基于NuPAC的核电厂反应堆保护系统关键特性分析

曾 海

（国核自仪系统工程有限公司，上海 200233）

NuPAC是国核自仪系统工程有限公司和洛克希德马丁公司合作开发的安全仪控系统平台。NuPAC平台采用现场可编程门阵列技术（FPGA），具有和传统分散式控制系统（DCS）或可编程逻辑控制器（PLC）的集中式结构不同的分散式系统结构。

基于NuPAC 的大型先进压水堆核电厂反应堆保护系统为电厂在正常或异常情况下提供保护。反应堆保护系统设备（包括电气、机械、可编程逻辑和软件部件）监测反应堆的状态，并产生反应堆停堆和专设安全设施触发信号。此外，反应堆保护系统提供事故后监测功能来监测设计基准事故过程中和事故后反应堆的状态。为保证反应堆保护系统的可利用率，以及保证系统性能满足规定的要求，反应堆保护系统提供定期监督测试功能。基于NuPAC 的反应堆保护系统支持在线定期测试功能，同时也支持在线诊断和维护功能。基于NuPAC 的反应堆保护系统提供与其他仪控系统和设备的外部接口，如传感器、执行机构、开关以及非安全控制系统等。

本文分析基于NuPAC 的反应堆保护系统的关键特性，归纳的反应堆保护系统关键特性将体现于系统需求规范和系统详细设计需求规范中，以确保最终的反应堆保护系统设备具备本文描述的关键特性。

1 源数据分析

反应堆保护系统关键特性的分析开始于设计团队组织的一次头脑风暴会议。在头脑风暴会议中，每位团队成员均认真思考并提出他或她认为重要的系统特性。会议共发现了34个系统特性。进一步分析发现，有些系统特性只是风险而不是系统特性；而根据法规标准要求有必要增加新的系统特性；此外，有些系统特性相近，可合并。通过分析确定了14个系统关键特性（表1）。

本文对每个关键特性根据其分级因子如可能性（如果无正确设计则不满足该关键特性的可能性）、重要性及可检测性分配分值，表2列出分级因子及其对应的分值。根据3个分级因子分值的乘积，可确定关键特性的重要等级。

表1 关键特性Table 1 List of key characteristics

表2 分级因子及其分值Table 2 Grade factor and value

2 相关性分析

关键特性是反应堆保护系统最重要的设计特征。为保证系统设计满足关键特性，需进行相关性分析。此外，通过相关性分析也会显示关键特性如何体现于系统设计以及详细设计中。

2.1 单一故障准则

单一故障准则是反应堆保护系统需满足的一条系统顶层需求，10CFR 50［1］附件A 第21条规定“单一故障不能导致保护功能丧失”，IEEE 603—1991［2］第5.1 节 中 也 规 定“安全系统应在以下情况下执行设计基准事故要求的安全功能：1）安全系统发生单个可探测的故障，同时发生所有可识别但不可探测的故障；2）单一故障引起的所有故障；3）由于故障和误停堆引起的设计基准事故，或要求安全功能动作的设计基准事故导致的所有故障和误停堆。”

反应堆保护系统设计通过采用IEEE 379—2000［3］中规定的方法来满足单一故障准则。IEEE 379—2000［3］第5.1节规定“独立性原则是有效应用单一故障准则的基础。安全系统的设计应保证部件的单一故障不会影响独立的冗余部件或系统的正确运行。”由此可见，冗余和独立是反应堆保护系统设计采用的两种有效的满足单一故障准则的方法。

基于NuPAC 设计的反应堆保护系统由4个冗余序列组成，当某个序列被旁通进行维护或测试时，系统仍满足单一故障准则。系统的每个序列均具有双冗余的双稳逻辑子系统和符合逻辑子系统，可在不旁通该序列的情况下对每个子系统进行维护和测试，从而不降低系统的可利用率。4个序列设备的供电电源也是冗余的。

IEEE 384—1992［4］规定，实体分隔和电气隔离是获得系统冗余序列之间的独立性的方法。反应堆保护系统4个序列的设备分别位于4个隔离的设备间内。4个序列的电缆桥架之间及安全级电缆桥架和非安全电缆桥架之间通过屏障或距离进行分隔。此外，进出机柜的不同序列的电缆、机柜内不同序列的电缆槽及不同电压等级的电缆槽之间均按IEEE 384—1992的要求进行隔离。

系统序列之间的接口进行电气隔离以保证某序列内部部件的故障不会影响其他序列的功能。反应堆保护系统和非安全系统之间进行电气隔离和通信隔离，通信隔离满足IEEE 7-4.3.2—2003［5］附件E中通信独立性的要求。

单一故障准则以及与之相关的冗余和独立性原则与反应堆保护系统的结构设计、供电设计、电缆桥架和电缆槽设计、系统通信以及隔离设备等相关，在系统设计阶段将按IEEE 379—2000以及IEEE 352—1987［6］的要求进行单一故障分析。

2.2 完整性

IEEE 603—1991［2］中规定“安全系统应在设计基准所列的全部适用条件下完成所承担的安全功能”，这里“全部适用条件”包括设计基准事故引起的全部正常或异常的供电和环境条件，如电压、频率、温度、湿度、压力、冲击、振动、地震、电磁干扰以及辐射等。反应堆保护系统应进行各种环境鉴定试验，包括电压和频率瞬态试验、温度试验、湿度试验、压力试验、冲击试验、振动试验、抗震试验、电磁干扰试验、辐照试验等以确保系统的完整性。

反应堆保护系统设备安装于抗震机柜内，设备和部件的机械设计应满足相应的抗震要求。反应堆保护系统设备将根据IEEE 344—2004［7］的要求进行抗震分析，以保证系统在地震条件下的完整性。

反应堆保护系统机柜和机箱的散热设计确保系统运行时的温度条件在规定限值范围内。机柜冷却装置确保系统设备和部件在核电厂正常和异常温度条件下的充分冷却。

反应堆保护系统的信号处理部件的设计可确保在发生异常，如输入输出处理故障、精度或圆整问题、系统恢复错误、电压和频率波动等情况下保持安全功能。测试和校验功能及安全功能分别由不同的子系统承担，以保证测试和校验功能不影响安全功能。

反应堆保护系统设备机柜按IEEE 1050—1996［8］的要求进行正确接地，以降低外部干扰的影响。数字处理部件的自检功能以及系统的自诊断子系统可检测部件、子系统和序列的故障。系统完整性与整个系统、系统所有部件、系统功能设计及系统测试需求相关。

2.3 质量

反应堆保护系统的质量由系统设计、开发和生产过程的质保程序来保证。

反应堆保护系统的设计和开发过程按技术支持过程（TSP）的要求组织进行，TSP 是按10CFR 50附件B［9］以及HAF 003［10］的要求设计的反应堆保护系统设计开发流程；反应堆保护系统的生产制造也将符合HAF 003的要求；系统的独立验证和确认活动满足IEEE 1012—1998［11］的要求；对于系统采用的商业级物项，也将按EPRI 106439—1996［12］的要求进行商业级物项认证。

反应堆保护系统的质量特性与设计、开发以及生产活动中的质保程序相关，通过质保程序中规定的质保活动来保证。

2.4 确定性

反应堆保护系统的确定性特性和系统执行的安全功能相关。10CFR 50附件A 通用设计准则［1］第20条规定“保护系统应设计为（1）自动触发包括反应性控制系统在内的相关系统的动作，以确保在预期运行事件下不会超出规定的燃料设计限值，并且（2）探测事故状态，并触发安全重要的系统和设备运行。”基于NuPAC的反应堆保护系统将自动触发反应堆停堆和专设安全设施动作以缓解设计基准事故的后果。反应堆停堆和专设安全设施将自动触发直到动作完成。按IEEE 603—1991［2］第6.6 和6.7节的方法，系统的运行旁通和维护旁通不会影响安全功能的自动触发。

反应堆保护系统的确定性也与系统的故障安全模式相关。10CFR 50 附件A 通用设计准则［1］第23条规定“当发生下列情况，比如系统断开、失去动力源（如电源、仪表空气），或出现假设的恶劣环境时（如极热或极冷、火灾、压力、蒸汽、水和辐射），反应堆保护系统应设计为故障时进入安全状态，或故障时进入设计基准能够接受的状态。”反应堆停堆功能设计为失电触发以满足故障安全要求。专设安全设施触发功能设计为得电触发以防止安全系统的误动作。反应堆保护系统的自诊断功能能够检测系统部件的故障，出现严重故障（如核心FPGA 或应用FPGA 芯片故障）时，自动产生停堆触发命令。

反应堆保护系统的确定性也与反应堆停堆和专设安全设施触发功能的逻辑实现有关。FPGA 中的有限状态机将确保功能逻辑执行的确定性。

反应堆保护系统的确定性也与通信以及系统的安全显示相关。根据导则DI＆C-ISG-04—2009［13］的要求，系统序列间通信、序列内通信以及和非安全系统之间的通信将采用确定的点对点串行通信。此外，反应堆保护系统的安全显示是确定的，显示信息将以固定的刷新率周期性地进行传输和刷新。

2.5 多样性和纵深防御（D3）

仪控系统采用的数字计算机技术引起的影响安全的共模故障是安审机构关注的重点之一。SECY 93-087 ⅡQ—1993［14］指出“共模故障可导致硬件结构的冗余失效，也可导致由数字仪控系统执行的监测、控制、反应堆保护、专设安全功能提供的一道或多道纵深防御屏障的丧失。”导则NUREG 0493A［15］描述了对1 个基于数字计算机的反应堆保护系统的多样性和纵深防御分析，分析表明该系统采用纵深防御屏障之间的一定程度的隔离来实现对共因故障的防御（NUREG 0800BTP 7-19［16］）。

反应堆保护系统采用DI＆C-ISG-02—2009［17］和RG 1.152—2011［18］中规定的方法提供多样性和纵深防御措施。反应堆保护系统由反应堆停堆系统、专设安全设施触发系统和事故后监测系统组成，根据NUREG 0800BTP 7-19［16］的规定，这3个系统构成了抵御共因故障的3道屏障。此外，基于FPGA 技术的反应堆保护系统和基于CPU 及软件技术的控制系统之间是多样的。

反应堆保护系统在主控室为停堆和专设安全设施的手动触发提供了监测和控制手段。作为自动停堆的后备，手动停堆信号通过硬接线送至系统设备驱动输出的下游，即送至停堆断路器控制回路。来自主控室安全盘操作开关的专设安全设施的手动驱动信号通过硬接线送至符合逻辑子系统。

10CFR 50附件A 通用设计准则［1］第22条规定“设计技术，比如功能多样性、部件多样性和运行多样性，应尽可能采用以防止保护功能的丧失。”反应堆保护系统采用功能多样性设计技术，对核电厂的每个设计基准事故均设置了2个以上不同的保护参数进行监测和保护。

2.6 可靠性

反应堆保护系统应具有较高的可靠性：1）系统拒动概率应小于1.2×10-5；2）引起电厂停机的系统故障概率应小于0.002 次／年。反应堆保护系统的定性和定量可靠性分析将提供系统可靠性的分析和证明。

系统的4冗余设计极大地提高了系统的可靠性，此外，系统部件充分的平均无故障时间（MTBF）也为系统可靠性提供了保障。

2.7 安保性

2001年9月11日发生在美国纽约的恐怖袭击事件引起了核安全监管机构对核电厂安全系统安保问题的关注。10CFR 73.54［19］的部分条款中要求，电站许可证申请单位应确保数字计算机和通信系统及网络免受网络攻击。

RG 1.152—2011［18］规定反应堆保护系统应置于安全的开发环境和运行环境中。反应堆保护系统设计开发项目建立了数字安保计划，建立了与互联网隔离的并受控的集中式信息系统。对该信息系统的访问设置了物理和逻辑上的权限控制。安装于集中式信息系统上的配置管理系统，以及验证和确认活动可以消除对安全系统软件的无意的、不需要的和不期望的修改。

根据IEEE 603—1991［2］第5.9节的要求，反应堆保护系统将提供行政权限控制措施，这些措施将包括门锁、钥匙开关以及登陆密码。

反应堆保护系统和非安全控制系统之间的单向通信保证安全功能不会受到与之连接的非安全控制系统的影响，用户也无法通过控制系统访问反应堆保护系统。

当可编程逻辑下载烧写到FPGA 芯片形成FPGA 芯片内的硬件电路后，这些硬件电路不会受到数字攻击的影响。对FPGA 芯片的修改和访问需要特殊的工具和接口，当系统运行时这些工具和接口会被移除。

2.8 可操作性

虽然反应堆保护系统的设计可保证设计基准事故发生后72h内无需操纵员干预，但系统也提供了手动操作所需的人机界面资源。反应堆保护系统的人机界面资源包括主控室的安全盘、辅助控制室的非安全盘、主控室的安全显示界面以及设备控制机柜内的设备就地操作面板。所有人机界面的设计均满足IEEE 1023—2004［20］的要求。

主控室安全盘上的手操开关提供安全功能的手动触发手段，来自手操开关的手动触发信号送入反应堆保护系统的符合逻辑子系统中。主控室安全盘手操开关的设计应满足IEEE 603—1991［2］第5节和第6.2节的要求。

位于主控室的反应堆保护系统安全显示也提供软操界面。系统软操功能包括对某些可能导致严重后果的安全设备的部件级手动操作、保护功能的阻止和复位操作以及核测信号的校验功能。主控室安全显示界面设计满足IEEE 603—1991［2］第5.8节要求，提供的信息显示满足RG 1.97—2003［21］和IEEE 497—2002［22］的要求。安全显示的画面设计符合NUREG 700［23］和NUREG 711［24］的要求。

当发生火灾等事故导致主控室不可居留时，辅助控制室的非安全盘上的手操开关为操纵员提供了后备的手操手段。来自辅助控制点非安全盘手操开关的手动触发信号经光电隔离后送至反应堆保护系统符合逻辑子系统。操纵员在辅助控制点手动操作所需的信息来自非安全显示界面。主控室的手操开关和辅助控制点的手操开关间通过转换开关进行联锁，保证仅有来自一个地方（主控室安全盘或辅助控制点非安全盘）的反应堆保护系统手动操作有效。

反应堆保护系统安全显示界面也为引起严重后果的安全设备提供部件级的手动软操功能，此外所有反应堆保护系统控制的安全级和非安全级设备均可通过设备控制模块的就地操作面板进行手动操作。

2.9 兼容性

基于NuPAC平台的反应堆保护系统的目标用户是CAP系列大型先进压水堆核电厂，因此，反应堆保护系统的设计应和目前及未来的CAP系列核电厂设计相匹配，反应堆保护系统的性能，如通道精度和通道响应时间应满足目前CAP核电厂的要求。

NuPAC 平台提供足够的能力，可实现CAP系列核电厂要求的反应堆停堆、专设安全设施触发、事故后监测以及维护和测试等功能。NuPAC平台也可实现所要求的设备控制和优选控制逻辑功能。NuPAC 平台能实现复杂的算法，如超功率ΔT 计算、超温ΔT 计算，甚至偏离泡核沸腾比计算。NuPAC 平台为反应堆保护系统提供与其他系统和设备接口必需的输入输出信号接口和通信接口。

基于NuPAC的反应堆保护系统设备将满足CAP系列核电厂的土建设计要求，机柜尺寸、安装方式以及电缆布线都将和目前以及未来CAP系列核电厂设计相匹配。

反应堆保护系统设备供电将和目前及未来CAP系列核电厂供电系统设计相匹配，系统供电满足中国电源规范，系统耗电不超出目前CAP电站供电系统的容量范围。

基于NuPAC平台的反应堆保护系统也可用于已建核电厂的现代化升级改造。输入输出信号接口可覆盖已建核电厂的仪控系统接口类型。系统耗电小于模拟式系统，因而可满足已建核电厂供电系统的容量要求。

基于NuPAC平台的反应堆保护系统满足相关环保要求。反应堆保护系统设备将通过中国CCC 认证以防止设备对人员的人身伤害。反应堆保护系统设备满足除铅之外的其他RoHS要求，铅的使用仅限于印刷电路板的插针以及焊锡中，并严格限制使用量。废弃电路板将根据政府环保要求进行统一收集和处理。

2.10 性能

10CFR 50.36［25］规定必须确定安全仪表的保护定值，以确保自动保护功能能有效保护核电厂在安全限值范围内运行。根据RG 1.105—1999［26］和 其 背 书 的ISA 67.04—1994［27］规定，保护定值的计算应考虑安全仪表通道的所有误差，其中包括计算机系统信号输入卡件的测量误差。

根据RG 1.105—1999［26］和ISA 67.04—1994［27］，仪表通道的误差来自测量仪表以及电子测量电路的线性度、磁滞回环、死区和可重复度。仪表误差不在本文范围之内，但反应堆保护系统的电子测量电路应具有良好的精度以尽可能减小仪表通道的测量误差，并满足CAP系列核电厂的精度要求。基于NuPAC的反应堆保护系统提供稳定的测量精度，电压和频率波动不会影响精度。此外，在4～60 ℃范围内及考虑6、12、18和30个月时间漂移的影响情况下，系统输入卡件仍能满足基本的精度要求。

IEEE 603—1991［2］第4.10 节规定“设 计基准事故开始后的关键时间点和电厂条件”应作为反应堆保护系统需满足的设计基准，因此，反应堆保护系统的响应时间，即从保护参数超出定值，到执行机构的触发所经历的时间，应满足上述规定的设计基准的要求。反应堆保护系统的结构应保证系统响应时间满足CAP 系列核电厂响应时间要求。此外，由于FPGA 硬件电路的并行执行的特点，基于NuPAC 的反应堆保护系统的响应时间将优于基于CPU 和软件技术的系统。

2.11 可维护性

10CFR 50［1］附 件A 通 用 设 计 准 则 第21条规定“反应堆保护系统应能在反应堆运行时进行功能的定期测试，包括对通道的独立测试以确定故障，以及可能发生的系统冗余的丧失。”IEEE 603—1991［2］第5.7节也规定“应提供安全系统设备的定期测试和校验功能，同时保持执行相关安全功能的能力。”

反应堆保护系统的自诊断功能能探测大部分系统部件的可检测故障，通过4序列之间的比较也可检测序列故障。系统和部件自诊断功能不能覆盖的故障将通过定期测试来检测，定期测试由序列内的维护测试子系统实现。维护测试子系统可对相应序列进行维护和测试，其中包括IEEE 338—1987［28］规定的功能测试、精度测试和响应时间测试。系统的4冗余设计使得在对单个序列进行维护测试时，其他3个序列仍能有效地执行所需的安全功能。

根 据IEEE 603—1991［2］第5.10 节 的 要求，反应堆保护系统设备和部件应便于维护和替换。系统卡件可进行热插拔，卡件替换也无需特殊工具。此外卡件的维护、测试和替换无需断开或改变电缆接线。

根 据IEEE 603—1991［2］第5.11 节 的 要求，反应堆保护系统设备应进行清晰的标识以便于电厂运行人员识别系统设备。此外LED指示也为运行人员识别故障部件提供了方便。

2.12 设计裕量和可持续性

反应堆保护系统为今后系统扩展和升级提供足够的设计裕量，系统具有至少15%的输入输出裕量；FPGA 资源占用率不超过95%；设备机柜占用的设备厂房空间也为今后增加机柜留出了裕量。由于NuPAC 分散式的结构特性，如果不是安装空间和供电容量的限制，基于NuPAC的反应堆保护系统可无限扩展。

相比CPU 技术而言，FPGA 技术具有更好的可移植性，芯片的升级换代不会引起系统硬件和软件的重大变更。此外，FPGA 芯片具有更长的使用寿命。尽管如此，在系统设计开发过程中，也会建立反应堆保护系统主要部件的升级管理计划以及技术更新计划，以为用户提供长期的支持和备品备件服务保证。

2.13 灵活性

与集中式的分散控制系统或可编程逻辑控制器相比，NuPAC 平台具有分散式系统结构（图1）。每块通用逻辑模块均具备输入输出和处理功能。每块卡件均可任意配置不同的I／O子卡，从而执行不同的功能；由最多18块通用逻辑模块构成的机箱可执行更复杂的功能；机箱间可通过数据通信连接，形成更大的系统。基于NuPAC平台的反应堆保护系统可获得更大的灵活性和可扩展性。

2.14 经济性

NuPAC平台采用标准化模块设计，最大程度地减少卡件种类，从而降低核电厂的维护成本。此外，由于FPGA 技术良好的移植性，原有的开发好的可编程逻辑可移植到升级后的FPGA 芯片中，从而最大程度节约了核电厂在升级改造中需重新投入的软件开发成本。

此外，在设计开发过程中将建立供应链管理计划，以最大程度降低生产成本，因而降低核电厂备品备件的成本。

图1 NuPAC平台结构Fig.1 Architecture of NuPAC platform

3 结论

关键特性是反应堆保护系统为了满足法规标准要求和用户需求所需具备的最重要的设计特征。关键特性的分析和识别经过了头脑风暴、源数据分析及相关性分析过程。

在相关性分析中，每个关键特性均与有关的法规和标准相关联。关键特性分析是反应堆保护系统需求分析的第1步，关键特性及其相关性分析为下一步的需求分析提供了基础性的指导。系统需求将在关键特性分析基础上进行扩展和细化，保证系统设计满足关键特性要求，也满足有关法规和标准的要求。

［1］ NRC.10CFR 50 Domestic licensing of production and utilization facilities，Appendix A：General design criteria for nuclear power plants［S］.USA：NRC，2007.

［2］ IEEE.IEEE 603—1991 IEEE standard criteria for safety systems for nuclear power generating stations［S］.USA：IEEE，1991.

［3］ IEEE.IEEE 379—2003 IEEE standard application of the single-failure criterion to nuclear power generating station safety systems［S］.USA：IEEE，2000.

［4］ IEEE.IEEE 384—1992 IEEE standard criteria for independence of class 1eequipment and circuits［S］.USA：IEEE，1992.

［5］ IEEE.IEEE 7-4.3.2—2003 IEEE standard criteria for digital computers in safety systems of nuclear power generating stations［S］.USA：IEEE，2003.

［6］ IEEE.IEEE 352—1987 IEEE guide for general principles of reliability analysis of nuclear power generating station safety systems［S］.USA：IEEE，1987.

［7］ IEEE.IEEE 344—2004 IEEE recommended practice for seismic qualification of class 1eequipment for nuclear power generating stations［S］.USA：IEEE，2004.

［8］ IEEE.IEEE 1050—1996 IEEE guide for instrumentation and control equipment grounding in generating stations［S］.USA：IEEE，1996.

［9］ NRC.10CFR 50 Domestic licensing of production and utilization facilities，Appendix B：Quality assurance criteria for nuclear power plants and fuel reprocessing plants［S］.USA：NRC，2007.

［10］中国核安全局.HAF 003 核电厂质量保证安全规定［S］.北京：中国核安全局，1991.

［11］IEEE.IEEE 1012—1998 Standard for software verification and validation［S］. USA：IEEE，1998.

［12］TOROK R C.EPRI TR 106439—1996 Guideline on evaluation and acceptance of commercial grade digital equipment for nuclear safety applications［S］.USA：Electric Power Research Institute，1996.

［13］NRC.DI＆C-ISG-04—2009 Highly-integrated control rooms：Communications issues（HICRc）［S］.USA：NRC，2009.

［14］NRC.SECY 93-087ⅡQ—1993 Policy，technical，and licensing issues pertaining to evolutionary and advanced light-water reactor（ALWR）designs（Item ⅡQ）［S］.USA：NRC，1993.

［15］NRC.NUREG 0493A Defense-in-depth and diversity assessment of the RESAR-414integrated protection system［S］.USA：NRC，1979.

［16］NRC.NUREG 0800 BTP 7-19 Guidance for evaluation of diversity and defense-in-depth in digital computer-based instrumentation and control systems［S］.USA：NRC，2007.

［17］NRC.DI＆C-ISG-02—2009 Diversity and de-fense-in-depth interim staff guidance［S］.USA：NRC，2009.

［18］NRC.RG 1.152—2011 Criteria for digital computers in safety systems of nuclear power plants［S］.USA：NRC，2011.

［19］NRC.10CFR 73.54 Protection of digital computer and communication systems and networks［S］.USA：NRC，2009.

［20］IEEE.IEEE 1023—2004 IEEE recommended practice for the application of human factors engineering to systems，equipment，and facilities of nuclear power generating stations and other nuclear facilities［S］.USA：IEEE，2004.

［21］NRC.RG 1.97—2003 Demonstrating control room envelope integrity at nuclear power reactors［S］.USA：NRC，2003.

［22］IEEE.IEEE 497—2002 IEEE standard criteria for accident monitoring instrumentation for nuclear power generating stations［S］. USA：IEEE，2002.

［23］NRC.NUREG 700 Human-system interface design review guidelines［S］.USA：NRC，2002.

［24］NRC.NUREG 711 Human factors engineering program review model［S］.USA：NRC，2004.

［25］NRC.10CFR 50.36 Domestic licensing of production and utilization facilities-technical specifications［S］.USA：NRC，2008.

［26］NRC.RG 1.105—1999 Setpoints for safety-related instrumentation［S］.USA：NRC，1999.

［27］Instrument Society of America.ISA 67.04—1994 Setpoints for nuclear safety-related instrumentation［S］. USA：Instrument Society of America，1994.

［28］IEEE.IEEE 338—1987 IEEE standard criteria for the periodic surveillance testing of nuclear power generating station safety［S］. USA：IEEE，1987.