核电厂主控制室控制模式切换方案分析及改进

王眷卫，孔伟力

(中核控制系统工程有限公司，北京 102401)

0 引言

随着社会的日益发展，工业生产规模日趋庞大，对电力的需求在不断地提高。核电以高效、清洁、经济等特点得到广泛关注。核电厂控制室作为设备及工艺过程信息的监控中心，是核电厂的重要组成部分。多种控制方法在必要条件下通过相互切换才能完成对核电厂的整体控制，而更优化的控制室模式切换设计方案是电厂安全、可靠运行的关键。

目前的核电机组中，出现过由于一层网络交换机频繁故障导致停堆的事件。而在传统的切换方案中，会有大量切换信号需要通过一层网络在控制器之间传递。一旦一层网络出现故障，将导致切换信号传输中断，无法由主要控制模式(main control means,MCM)切换到后备盘(backup panel,BUP)控制模式。基于某核电站控制室系统切换功能需求分析，本文以减少一层网络对切换功能的影响为目标，提出更优化的切换方案，以确保核电厂在各种运行工况下能够安全、可靠地运行。

1 控制模式概述

主控制室(main control room，MCR)和远程停堆站(remote shutdown station，RSS)集中了核电厂运行相关的监控设备[1-2]。当MCR可用时，操纵员在MCR完成对核电厂运行的监视和控制，即MCR控制模式。MCR控制模式根据操作设备的不同，又分为MCM控制模式、BUP控制模式、特殊控制模式。当MCR失效时，操纵员从MCR撤离到RSS进行操作，即RSS控制模式。MCR和RSS是两个物理隔离且互相独立的控制点[3]。当其中一个控制点工作时，另一个控制点需要通过对命令进行闭锁或者通过权限管理来防止相互之间有误命令发出。

网络结构如图1所示。

由图1可知，MCR接收Level1或数据服务器(data server,DS)提供的信息，完成显示及控制命令下发功能。其中，BUP相关的信号通过硬接线接入分布式控制系统(distributed control system,DCS)，并在一层控制器中完成各功能的逻辑组态。

图1 网络结构图

1.1 MCR控制模式

主控制室操纵员站(main control room operator working place,MCR-OWP)、BUP、紧急控制盘(emergency control panel,ECP)、安全级显示器(safety visual display unit,SVDU)是MCR模式下的主要控制设备，对电厂的安全、可靠运行起到了至关重要的作用[4-5]。

①MCM:通过MCR的OWP、ECP、SVDU，实现对电厂运行的监视和控制。

②BUP:MCR信息控制系统OWP、ECP、SVDU失效后，即在MCM设备不可用情况下，需转移至BUP操作。

③特殊控制模式:当工艺系统产生专用控制权限需求时，可单独为其设置专用控制权管理功能。

正常运行工况下，主控室主要采用MCM完成对电厂运行状态的监视和控制。BUP处于监视模式，不允许发出指令。RSS处于监视模式，不能发出指令。

1.2 RSS控制模式

当MCR不可用时，操纵员需要从MCR尽快撤离至RSS，并利用RSS内配置的简化操纵员站和常规控制盘完成适当的操作，使反应堆热停堆，从而使反应堆安全进入并维持在冷停堆状态。

2 控制模式需求及设计分析

2.1 控制模式功能需求

控制模式切换功能实现了操纵员多点位控制权的转换。控制权的转换如图2所示。控制权切换主要发生在MCM与BUP控制模式之间,以及MCR控制模式与RSS控制模式之间[6-7]。

图2 控制权的转换

MCM、BUP和RSS这三种控制模式的共存方式要求如下:同一时间电厂处于且仅处于一种控制模式；控制权在三种控制模式切换时，须通过切换逻辑准确执行，以保证不影响投运设备正常工作[8]；控制权管理功能逻辑均在DCS层实现。

传统设计中:MCM与BUP控制模式切换通过切换开关实现。切换开关触点分别送至安全级机柜和非安全级机柜。其中:安全级机柜采用硬线分配；非安全级机柜采用硬线和网络分配信号。三取二的切换逻辑在每个机柜单独处理。此方案可避免因单个控制器执行切换逻辑出问题而影响其他控制器切换的情况，但是不能保证一层网络整体失效情况下还能有效进行切换。

改进方案提出了行政手段切换方式，即通过具有强制性、隶属性的命令、指示等干预切换执行。行政手段限定操纵员依据操作规程在指定区域完成监控及操作任务。同时，改进方案取消了MCM与BUP控制模式切换开关，保证了在上述情况下，仍然可以有效切换到BUP控制模式，并通过释放按钮及BUP设备操作按钮下发BUP指令。

2.1.1 MCM需求

当MCR信息控制系统未发生故障或部分失效，且MCR可用的MCR-OWPs可以满足操纵员的运行需求时，操纵员在MCM下对电厂进行监视和控制。MCM流程如下。

①MCR-OWPs处于控制模式。

②通过行政手段管理，使BUP处于监视模式。

③MCR-SVDU可发出控制命令。

④ECP可发出控制命令。

⑤BUP上的CRU设备失效报警灯未点亮(不同序列各一个)。

⑥远程停堆站紧凑操纵员站(remote shutdown station-compact operator working place,RSS-COWP)处于监视模式，命令被闭锁。

⑦RSS-常规控制盘(包括SVDU和常规设备)处于监视模式，命令被闭锁。

当CRU全部或部分失效，但MCR-OWPs能够提供的可用工位无法满足操纵员的运行需求时，需立即转入BUP控制模式。BUP控制模式流程如下。

①通过行政手段管理，使MCR-OWPs处于监视模式。

②MCR-SVDU可发出控制命令。

③BUP处于控制模式，BUP 可发出控制命令。

④ECP可发出控制命令。

⑤BUP上的CRU设备失效报警灯被点亮(不同序列各一个)。

⑥RSS-COWPs处于监视模式，命令被闭锁。

随着国内赛事经济的红火，体育赛事转播权这一“新兴事物”引起了业界内外人士的高度关注。近有咪咕视频和优酷网从央视手中高价购得2018年世界杯的新媒体转播权；远有体奥动力体育传播有限公司斥资80亿购买5年的“中超版权”。然而本文细究后发现，无论是对体育赛事转播权的界定，还是它的保护方式都众说纷云。换言之，体奥动力等公司以80亿元天价所购得的究竟是什么东西，是否属于法律意义上的“权利”，在目前的法律语境中尚未有定论。故本文希望厘清：体育赛事转播权并非局限于知识产权领域的权利；它的法律保护路径需要在更为宏观的视野下才能绘制成型。

⑦RSS-常规控制盘(包括 SVDU 和常规设备)处于监视模式，命令被闭锁。

2.1.3 RSS控制模式需求

当MCR不能正常使用时(如发生火灾)，需要撤离MCR，退到RSS对电厂进行控制。在此控制模式下，除 ECP-S 上的反应堆停堆控制开关外，其他所有的MCR控制功能都应被闭锁。RSS控制模式流程如下。

①MCR-OWPs功能丧失(MCR失效前可能处于控制模式或监视模式)，命令被闭锁。

②MCR-SVDU被闭锁。

③BUP功能丧失(MCR失效前可能处于控制模式或监视模式)，BUP命令被闭锁。

④ECP上除停堆按钮可用外，其余命令被闭锁。

⑤RSS-COWPs处于控制模式。

⑥RSS-常规控制盘(包括SVDU和常规设备)处于控制模式。

MCR/RSS切换开关的位置如下。

①MCR/RSS的切换开关(序列 1、序列 2 各 3 个)每列至少2个位于RSS位。

②BUP上的RSS 处于工作模式报警灯被点亮(不同序列各一个)。

2.2 控制模式转换设计

2.2.1 MCM与BUP切换计算逻辑。

传统的MCM与BUP控制模式的切换方案大多需要手动操作位于后备盘的切换开关。切换开关共有三个。每个开关均有两个位置(MCM与BUP)。通过三个开关的位置三取二逻辑实现MCM与BUP控制模式的选择。当有且仅有一个切换开关处于BUP位置时，为BUP测试模式；当两个或两个以上切换开关处于BUP位置时，为BUP控制模式；当两个或两个以上切换开关处于MCM位置时，为MCM。

传统控制权管理计算逻辑如图3所示。

图3 传统控制权管理计算逻辑

本方案MCM与BUP控制模式的转换通过行政手段完成。BUP控制命令的发出需通过位于主控制室BUP上的释放按钮实现。双手操作原则不变，同样需要按下控制命令后，再按下释放按钮才能发出控制命令，避免了切换逻辑过多带来的不稳定因素。

改进控制权管理计算逻辑如图4所示。

图4 改进控制权管理计算逻辑

2.2.2 MCR与RSS切换计算逻辑

MCR与RSS的切换与传统方案相同，通过手动操作MCR/RSS切换开关完成。BUP控制命令释放按钮和MCR/RSS切换开关的状态决定了相同序列设备所采用的控制模式(MCM、BUP以及RSS)。此切换仍然保留了每个序列的三个切换开关。三取二切换逻辑较传统切换方案无明显差异。

3 控制器测试方法改进

切换方案的改进势必会引起控制器测试方法的变化，BUP、紧急控制盘和RSS常规控制盘上的安全级控制器需要根据相关要求进行定期试验。BUP上的非安全级控制器也需要通过控制器测试指示灯进行测试[9-10]。

3.1 控制器测试功能实现

控制器测试功能在DCS层控制器测试逻辑如图5所示。

图5 控制器测试逻辑

BUP设备控制采用“两手”控制原则，即操纵员需要按下控制命令后再按下释放按钮，才能发出相应的控制命令。当单独按下控制命令按钮时，按钮对应BUP上的相应序列控制器测试指示灯点亮。

3.2 控制器测试信号分配

每个机柜完成控制器测试逻辑，并通过网络送至一个非安全级(non classified,NC)机柜。NC机柜汇总后通过硬接线与BUP相应序列的控制器测试指示灯连接。控制器测试信号分配如图6所示。

图6 控制器测试信号分配

4 BUP信号分配原则改进

4.1 传统分配方案

传统分配方案中，BUP相关信号在机柜分配过程中相对分散。大多数BUP中的监视和控制信号会跟随本系统其他信号所在控制器进行分配。传统分配方案主要缺点如下。

①造成大量的机柜中都包含BUP信号，势必会在这些机柜对BUP切换、报警、灯试等逻辑进行组态，产生较多的网络传输信号，可靠性差。

②送至BUP的报警及显示等信号会使用大量的DO输出继电器，占用机柜空间较多，增加机柜布置难度，而且对机柜电源设计及柜体设计产生影响，不利于机柜设计标准化。

③释放命令多以硬接线方式接入机柜，参与控制命令下发，使BUP控制信号分散，造成释放命令串联较多机柜，降低了可靠性。

4.2 改进分配方案

改进分配方案中，根据系统所在的功能分区进行信号分配，将不同的BUP中相同功能分区、相同安全等级、相同供电方式的信号尽可能集中分配到同一机柜。机柜可划分为如下几种: NC/正常/序列1、NC/正常/序列2、UJD厂房/NC/正常/序列1、UJD厂房/NC/正常/序列2、NC(S)/可靠/序列1、NC(S)/可靠/序列2、NC(S)/应急/序列1、NC(S)/应急/序列2。BUP信号分配如图7所示。

图7 BUP信号分配示意图

5 结论

本文详细分析了核电厂控制模式切换需求，并针对设计需求提出了改进切换方案。相比传统切换方案，改进方案具有以下特点。

①MCM和BUP控制模式的切换由逻辑切换改为行政手段切换，使控制命令可以通过控制按钮加释放按钮组合下发至设备。这减少了大量因切换逻辑产生的信号传递，避免了传统方案中一层网络失效或控制器通信故障情况下，BUP控制模式在逻辑中不能有效触发而导致BUP命令不能通过一层逻辑触发的问题。

②控制器测试方式改进。传统方案中控制器测试需要在BUP测试模式下触动控制器进行。改进方案通过单独按下控制命令和对应指示灯判断控制器是否可用。相对传统方案，改进方案实现测试功能的方式操作简单、测试效率高、牵扯软硬件逻辑少、可靠性高。

③BUP中设备的控制及监视信号分配集中化，即将一块或多块BUP在同一功能分区的信号尽可能集中在较少控制柜内，以减少硬接线信号交互、提高可靠性、便于维护管理；同时，集中处理有助于机柜结构设计标准化。BUP功能性的控制信号同样相对集中，即不涉及BUP控制及监视信号的机柜无需接入BUP功能性控制信号，减少了柜间软、硬点信号交互，简化了控制逻辑，并提高了可靠性。

本文研究的改进方案极大限度地降低了控制室切换信号在一层网络中的传输，有效规避了一层网络故障引起的切换功能失效。目前，改进方案已在部分新建电站应用，且得到较好应用效果。方案的改进为电站安全、稳定运行提供了基础保障。