核电站执行机构接收不同安全级指令的控制方法研究

唐立学，张 楠，范 瑾，李 亮

（1.中国核电工程有限公司，北京100840；2.环境保护部核与辐射安全中心，北京100082）

核电站中，安全级执行机构不仅执行电站常规运行的指令，还在事故工况下或运行偏离正常工况时执行安全功能产生的指令。显然从核电站安全角度考虑，安全功能发来的指令优先级要高于常规运行所发指令，即，非1E级指令不干扰1E级指令正确执行。

目前国内核电站控制系统多采用数字化集散控制系统（DCS），分1E级和非1E级控制系统。大体上，1E级系统负责安全功能指令的产生，非1E级控制系统负责电站的常规运行（多样化控制系统除外）。但是，当二者指令相反并同时作用于同一安全级设备时，相互就会产生冲突。对安全级执行机构进行控制是核电控制中的重点和难点。本文结合国内某新建核电站对安全级执行机构控制的结构和方案，提出并分析一种优化思路。

1 核电站中已实施的控制方法

在该实际核电项目中，安全级执行机构要接收的控制指令来自应急安全盘、1E级控制系统、多样化控制系统、非1E级控制系统，如图1所示。为讨论突出重点，这里主要针对1E级系统和非1E级系统对同一执行机构的控制（框起部分）。

在图1中，信号优选模块为安全级设备。此模块接收来自不同安全级的控制指令，通过固化在模块中的信号优选逻辑对信号进行处理，产生一条优先级最高的指令送给执行机构去执行，同时接收来自执行机构的状态反馈信号，并将其反馈控制系统。正常生产运行时，1E级控制系统不发控制指令，由非1E级控制系统根据运行需求对执行机构进行操控，信号优选模块接收的控制指令只来自非1E级控制系统。

图1 实际项目已采用的典型安全级执行机构控制示意图Fig.1 The sketch of the typical safety actuator control adopted in a real nuclear power project

但是在事故工况下或运行偏离正常工况时，1E级控制系统的安全功能被启动，此时的执行机构接收来自不同控制系统的指令。对此，图1所示的控制结构要解决以下两个关键问题：

（1）执行机构对指令执行的不一致性判定。当1E级指令和非1E级指令同时出现且相反，优选模块会根据固化的逻辑把1E级指令送到执行机构去执行，非1E级指令将被屏蔽而未被执行。但非1E级控制系统中需要对设备指令是否正确执行作出判定。显然，此时在非安全级中将会产生一条假的设备故障信号。

（2）安全级执行机构在执行安全功能发出的命令期间，在1E级指令发出后，应当屏蔽掉非1E级信号，以使得非1E级指令不会影响到安全功能的执行，但在安全功能被复位后，非1E级控制系统应能立即对执行机构进行正常的操控。

解决以上两个问题，该核电项目的处理方法为：1E级系统在向优选模块发送指令的同时也向非1E级系统传输该指令。为此，增加由1E级到非1E级控制系统的单向信号传输线路，同时在非1E级控制系统增加相应逻辑，以强制非1E级控制系统发出的相关设备的指令与和1E级控制系统发出的控制指令方向保持一致。

2 控制方法修改

我们知道，在设备常规控制中，当设备处在就地模式时，控制系统对其命令失效，只接收设备反馈的状态或故障信号。这里对信号优先模块引入设备常规控制的“就地控制模式”概念，即：将信号优选模块和执行机构视为一体，在优选模块设置“就地控制模式”功能，修改后的结构见图2所示。

图2 修改后优选模块带就地模式执行机构控制示意图Fig.2 The sketch of the actuator control which priority logic module is introduced“local mode”

基于此思路，针对上述两个关键问题，具体的修改方案为：

表1 正常运行工况下方案结果对比Table 1 Results of comparison under normal operation condition without 1Ecommand

表2 安全命令工况下方案结果对比Table 2 Results of comparison under the condition with 1Ecommand

（1）信号优选模块增加“就地控制模式”功能。在信号优选模块中，当模块接收到更高安全级别的控制信号时，则信号优选模块针对低级别的控制系统进入就地控制模式，即当有1E级指令进入信号优选模块后，信号优选模块相对于非1E级系统进入就地控制模式，同时产生一条“就地控制模式”信号送至非1E级控制系统中。当安全功能被复位后，1E级指令也相应被复位，则相对于非1E级系统的就地控制模式终止，此时信号优选模块开始正常接收并执行非1E级系统指令。

（2）1E级系统对执行机构动作可不作不一致判定（包括多样化控制系统和应急安全盘），将该不一致性判定逻辑在优选模块内固化下来，设备不一致判定结果以设备故障信号的形式返回给非1E级系统用于指示。

（3）在非1E级控制系统中，在执行机构的设备级控制模块中设置“远程／就地”控制逻辑。数字化仪控系统目前均采用模块化设计，普遍采用分级控制方式。设备级控制模块中的“远程／就地”控制逻辑是比较成熟且标准化的，实现起来并不困难。

（4）去掉1E级系统向非1E级系统的单向传输线路。在优选模块针对非1E级系统进入就地控制模式后，非1E级系统无法通过信号优选模块控制设备，从而实现了1E级命令对非1E级指令的屏蔽。

3 修改后方案逻辑正确性验证

核电领域中工程方案的采用非常严格，故本修改方案不便于通过实际工程来验证其正确性，但是可以从逻辑上通过仿真进行验证。这里我们利用工控软件CONCEPT及其模拟软件来实现。

基于前面的叙述，选取典型设备（如泵、阀门），在CONCEPT中分别对改进前后的方案创建“典型执行机构”“信号优选模块”“1E级控制系统”“非1E级控制系统”四个模块，然后按照图1和图2分别建立信号连接。

模拟两种工况下，方案修改前后执行机构在监控系统上的反馈是否一致：

工况1：正常运行工况（无1E级命令）下，如表1所示，方案修改前后执行机构在监视系统上反馈的状态是一致的。

工况2：事故工况（1E级命令启动）下，如表2所示，方案修改前后执行机构在监视系统上反馈的状态是一致的。

从表1和表2所示的验证结果，可以看出，修改后的方案对执行机构的逻辑控制是正确的。

4 修改前后方案对比分析

在修改后的方案中，当信号优选模块接收到1E级指令（或多样化控制系统指令）后，其针对非1E级系统进入就地控制模式。非1E级系统不需要对设备动作进行任何的判定，此任务由固化在信号优选模块中的不一致性逻辑完成。此时的非1E级控制系统只接收来自优选模块的反馈，而对执行机构不能执行任何控制功能。

相对于修改前的方案，结合上述及其验证结果，对信号优选模块引入设备就地控制模式的思路后，优点有：

（1）取消控制系统间的信号传输，降低对每个执行机构控制的复杂度，各控制系统间相对更加独立，整个系统间的关系更加清晰、简单，有利于控制系统间的功能隔离；

（2）取消非1E级系统中相应安全级指令屏蔽非安全级指令的逻辑，很大程度上简化非1E级控制系统中执行机构的控制逻辑；

（3）减少1E级向非1E级系统单向信号传输线路。由此减少接口和故障点，无需考虑通讯线路断开或再恢复会产生一些不可预计的后果，提高了整个系统的可靠性、安全性和经济性。

虽然信号优选模块中增加不一致性判定，但此逻辑简单成熟、易于实现，不会对现有信号优先模块的设计增加多少复杂度。对于数字化的仪控系统来说，普遍采用分级控制方式且模块化，其设备级控制模块中的“远程／就地”控制逻辑是比较成熟的技术，故修改后的方案在可行性上也没有问题。

但修改后的方案有一个缺点，就是需要增加优选模块和非1E级控制系统间至少3个信号连接（开／关故障+远程模式）。但优选模块产生的故障信号并非安全或运行相关，可以和优选模块的诊断信号通过通讯送到监视系统显示和存档，因此只剩下了远程信号连接。

5 结论

综合来说，对信号优选模块引入“就地控制模式”概念后，修改后的控制方法有利于增强执行机构控制的可靠性、安全性和经济性。有利于不同安全级控制系统间的功能隔离和控制简化，降低对执行机构控制的复杂度。基于现有的经验和技术，修改后的方案在可行性上没有任何问题。

［1］ 晁平.核电站数字化1E级仪控系统的设计目标分析［J］.数字技术与应用，2012，（07）.

［2］ 孙凯.核电站安全级DCS系统多样性分析［J］.自动化博览，2012，（05）.

［3］ 佘磊春，孙旭，房俊龙.核反应堆保护系统优选逻辑模块［J］.微型机与应用，2012，（07）.

［4］ 郑伟智.集散控制系统在核电站保护系统中的应用［J］.核电子学与探测技术，2012，（04）.

［5］ IEEE Std.603，Standard Criteria for Safety Systems for Nuclear Power Generating Stations［S］.1991.

［6］ IEC Std.60880，Nuclear power plants-Instrumentation and control systems important to safety-Software aspects for computer-based systems performing category A functions［S］.2006.