AP1000核电站数字化反应堆保护系统
文章编号：1001-9944(2013)02-0011-05
冀焕青
（中广核工程公司设计院上海分院，上海
200030）
摘要：三代核电技术AP1000将是我国今后长期发展的核电技术，已经过美国核管理委员会最终设计批准，应用于浙江三门1000MW 核电站。AP1000核电站核反应堆设计采用先进的非能动安全技术与数字化反应堆保护系统。该文介绍了AP1000核电站反应堆保护系统的数字化仪控平台Common Q 、反应堆保护系统的总体结构和设计特点等方面的内容。关键词：Common Q 平台；数字化反应堆保护系统；在线测试中图分类号：T P277
文献标志码：B
Digital Reactor Protection System of the AP1000Nuclear Power Plant
JI Huan -qing
（Shanghai Branch of China Guangdong Nuclear Power Design Institute ，Shanghai 200030，China ）
Abstract ：AP1000nuclear power plant was chosen as the next generation nuclear power plant in China.AP1000fi -nal design has been approved by U.S.nuclear regulatory commission and applied in Sanmen 1000MW nuclear power plant in Zhejiang province.AP1000uses advanced passive safety technology and digital reactor protection system.This paper introduces the digital instrument and control platform Common Q 、reactor protection system general archi -tecture and design characteristics.
Key words ：Common Q platform ；digital reactor protection system ；online test
收稿日期：2012-08-10；修订日期：2012-10-19
作者简介：冀焕青（1971—），女，工程师，研究方向为自动化控制。
反应堆保护系统是核电站重要的安全系统，它监测与反应堆安全有关的重要参数，当这些参数达到安全分析确定的整定值时自动触发紧急停堆和/或启动专设安全设施，以限制事故的发展和减轻事故后果，保证反应堆及核电站设备和人员的安全，防止放射性物质向周围环境释放[1]。AP1000核电站反应堆保护系统采用数字化仪控平台Common Q 。与模拟技术相比，数字技术在改善核电站可用性、可靠性、可维修性、经济性、抗过时性以及灵活性方面具有较大的优势。
1Common Q 平台概述
Common Q （common qualified platform ）平台是美国ABB 公司下属电力研究院利用ABB AC160PLC 系统和平板显示系统FPDS （flat panel display system ）开发的1E 级数字化软硬件平台，主要用于AP1000核电站反应堆保护和安全监测系统。Com -mon Q 平台是一套计算机系统，由专用于核电站的、
经过质量鉴定的商用级硬件和软件构成，装载了电厂专用应用软件，以执行核电站安全系统的功能[4]。
1.1硬件
Common Q平台硬件主要由下列部分组成：
（1）处理器模块PM646A，采用32位MC68360处理器，执行安全系统应用软件的保护算法。
（2）S600系列I/O模块，包括模拟量I/O模块、数字量I/O模块、脉冲计数和转动速度模块。
（3）电源模块。
（4）平板显示系统（FPDS）。
由处理器模块PM646A、I/O模块和总线接口模块组成AC160子系统，执行各个子系统的功能。1.2软件
Common Q平台软件主要由下列部分组成：
（1）系统软件：系统软件由实时操作系统、任务调度程序、诊断程序、通信接口程序等组成。
（2）应用软件：Common Q应用软件，使用组态软件ACC（AMPL control configuration）产生专用的逻辑应用程序，执行对工艺系统的监控。
1.3通信网络
Common Q平台使用三种类型的数据通信网络传输数据：
（1）AF100通信网络：AF100总线用于通道内部的通信，连接到AF100总线的设备包括BPL、LCL、MTP、ITP、ICP和OM子系统机架。
（2）HSL高速链路：HSL是PM646A处理器之间进行数据交换的RS422串行通道，是快速的点对点连接。
（3）与外部计算机系统之间通信：MTP单板计算机有两个独立的硬件通信接口，即以太/串行接口和AF100接口，每一个接口都有自己的缓冲区和固件。单板计算机上的微处理器和应用程序将AF100接口缓冲区上的数据复制到以太/串行接口上的缓冲区内，然后将数据发送到第三方系统。
2总体结构
AP1000核电站数字化反应堆保护系统的总体结构如图1所示。为了满足单一故障准则，系统采用了多重性的设计。反应堆保护系统由四个冗余的通道构成（CHANNEL A、B、C、D），采用四取二表决逻辑，从总体上保证了单一故障不会妨碍或误触发安全动作[2]。反应堆保护系统每个通道由一个核仪表子系统（NIS）、两个冗余双稳态处理子系统（BPS）、两个冗余局部表决及停堆子系统（LCL&RT）、两个冗余局部表决及专设安全子系统（LCL& ESFAS）、停堆触发逻辑矩阵、停堆断路器矩阵、一个接口和测试子系统（ITP）、一个维护和测试子系统（MTP）、一个集成通讯子系统（ICP）、一个操纵员模块子系统（OM）等组成。四个冗余通道的组成一样，下面以通道A为例来说明。
2.1核仪表系统（NIS）
核仪表系统用于采集和调理堆外中子探测器送来的表征核功率的中子通量信号，包括源量程探测器信号、中间量程探测器信号和功率量程探测器信号。核仪表系统将中子通量信号转换成数字保护系统的标准输入，送到BPL使用，同时为中子探测器提供高压电源。中子通量信号用于反应堆启动保护和超功率保护。
2.2双稳态处理子系统（BPS）
双稳态处理子系统实现以下功能：
（1）对保护系统的仪表信号进行采集。
（2）对堆外核仪表系统（NIS）信号进行采集。
（3）把这些采集的信号转换为数字量，与整定值比较后产生反应堆局部停堆信号和局部触发专设安全设施信号，并通过HSL送到下游子系统。
（4）允许手动触发停堆或旁通反应堆局部停堆功能，允许手动驱动或旁通专设安全设施局部驱动功能。
（5）每个BPL子系统将部分停堆信号和通道的旁路状态信息通过HSL传递给四个通道的LCL处理子系统。
（6）对控制系统和保护系统同时需要的同一个信号，提供隔离功能。
通道A包括两套相同的冗余双稳态子系统。每个双稳态子系统处理器经高速链路HSL输出至LCL局部表决子系统。因此，每一个安全参数在每个通道中被冗余地输入，在双稳态子系统中与整定值比较后产生部分停堆信号至LCL。在正常工作模式下，一个通道内的两个双稳态子系统引起的局部停堆信号在LCL中二取一作为一个局部停堆信号，这样就增加了系统的可靠性和可测试性。如果某个双稳态子系统被诊断出故障，包括处理器、输入模块或HSL链路故障，接收的LCL会报警该故障，并会选择另一个双稳态子系统的信号作为替代，在LCL中仍然按四取二表决，而不会降级为三取二或三取一。
2.3局部表决及停堆子系统（LCL &RT ）局部表决及停堆子系统执行下列功能：（1）接受来自四个通道中八个双稳态处理子系
统提供的局部停堆信号，并对这些数据进行四取二表决。
（2）每个通道最终形成一个停堆信号，并送至反应堆停堆断路器装置。
（3）处理来自主控制室和远程停堆室的系统级手动驱动命令。
每个通道接收八路双稳态子系统信号。其中，每个PM646A 接收两路来自不同通道的两个双稳态子系统的信号。四个PM646A 处理器使用CI631中的公用内存来共享接收到的四个通道的局部停堆信息。在正常情况下，LCL &RT 中表决逻辑是四取二，当一个通道的某个功能被旁路后，该功能自动
转换为三取二逻辑，LCL &RT 处理器仅允许一个通道被旁路。在正常运行时，来自每个通道的两个双稳态子系统中任一局部停堆信号，LCL &RT 都作为是一个通道局部停堆信号。如果通道诊断出某个双稳态子系统故障或HSL 链路丢失，LCL &RT 会拒绝该故障双稳态子系统的输入，而使用同一通道的另一双稳态子系统信号输入作为替代，音响会报警，并在MTP 上显示故障信息。因此，即使出现单个通道的单个双稳态处理器故障或HSL 链路故障仍可进行四取二表决。
2.4停堆触发逻辑矩阵
在两个或两个以上通道中出现部分停堆信号
时，四个LCL 的停堆处理器都对它们相应的数字输出进行断电处理。这些数字输出触点连接至两个四取二反应堆停堆触发逻辑矩阵：一个是欠压线圈逻
图1反应堆保护系统的总体结构
Fig.1Reactor protection system overall structure
OM
Channel A
Ethernet to DCS Gateway ICP PLS ITP NIS INPUT
BPS LCL ESF RT A F 100
H S L
ILP CIM To CHB To CHC To CHD From CHB From CHC From CHD
HSL
OM
Channel B
Ethernet to DCS Gateway ICP PLS
ITP NIS INPUT
BPS
LCL ESF RT A F 100
H S L
ILP CIM To CHA To CHC To CHD From CHA From CHC From CHD
HSL
OM
Channel C
Ethernet to DCS Gateway ICP PLS ITP NIS INPUT
BPS
LCL ESF RT A F 100
H S L
ILP CIM To CHA To CHB To CHD From CHA From CHB From CHD
HSL
OM
Channel D
Ethernet to DCS Gateway ICP PLS
ITP NIS INPUT
BPS
LCL ESF RT A F 100
H S L
ILP
CIM
To CHA To CHB To CHC From CHA From CHB From CHC
HSL
MTP MTP
MTP
MTP
HSL
HSL AF100HSL
硬接线以太网
RTC1RTD1RTD2RTB2
RTA1RTB1RTC2RTA2
To ROD DRIVE POWER BUS
缩写：
BPS-Bistable Processor System （双稳态处理子系统）CIM-Component Interface Module （部件接口模块）
ESFAS-Engineering Safeguard Feature Actuation System （专设安全子系统）HSL-High Speed Link （高速链路）
LCL-Local Coincidence Logic （局部表决）
ITP-Interface Test Panel （接口和测试子系统）
ICP-Integrated Communication Processor （集成通讯子系统）ILP-Integrated Logic Processor （集成逻辑处理器）PLS-Plant Logic System （电厂控制系统）
MTP-Maintenance Test Panel （维护和测试子系统）RT-Reactor Trip （停堆子系统）
OM-Operator Monitor （操纵员模块子系统）
辑矩阵，一个是分励线圈逻辑矩阵。对相关的欠压线圈断电或使分励线圈通电促使相应的停堆断路器打开。对于欠压线圈，欠压线圈通电而停堆断路器保持关闭，欠压线圈断电将使停堆断路器打开。对于分励线圈，分励线圈断电而停堆断路器保持关闭，分励线圈通电将使停堆断路器打开。
2.5停堆断路器矩阵
为了增加紧急停堆的可靠性和减少误停堆概率，四个保护通道各控制一对停堆断路器，设计了八个停堆断路器按四取二表决后触发反应堆停堆。它的电源来自于棒控系统的电动发电机组。当电源可用时，棒控系统维持控制棒在合适的位置。当停堆信号出现，四对停堆断路器中有两对以上打开时，就会切断控制棒驱动机构供电回路。控制棒在重力作用下插到底，触发停堆过程。
2.6局部表决及专设安全子系统（LCL&ESFAS）
专设安全子系统接收与局部表决及停堆处理子系统相同的四个通道的八个双稳态子系统信号，专设安全子系统的主要功能如下：
（1）接收来自四个通道的双稳态子系统的局部驱动信号，并执行四取二表决。
（2）每个通道最终形成一个驱动信号，并送至集成逻辑处理器（ILP）扇出。
（3）处理来自主控制室和远程停堆室的系统级手动驱动命令。
（4）部件接口模块CIM接收来自集成逻辑处理器的指令和非安全相关系统的控制信号，并根据用户设定的优先级进行信号表决，再送到单个安全相关电厂设备。CIM还可以对安全系统的命令，从控制器到CIM模件进行连续测试。
2.7维护和测试子系统（MTP）
每个通道配置一个MTP，由平板显示系统（FPDS）构成，装载有组态软件，作为维护和测试接口。通过MTP能够执行以下功能：
（1）周期性地执行监视测试以验证可操作性。
（2）执行正确的维护。
（3）设定保护系统处于部分停堆模式，以防止误动作。
（4）设定保护系统处于部分旁路模式，以防止误动作。
（5）显示每个通道中每个双稳态的部分停堆/触发和旁路状态。
（6）显示每个通道的反应堆停堆状态。
（7）查看详细的系统状态和诊断消息。
（8）向处理器模块中装载软件。
（9）MTP通过通信接口模块与AF100总线相连。MTP单片计算机处理收到的信号，发送给MTP 的平板显示器用于查看。MTP单片计算机处理平板显示命令和信息，通过通信接口模块发送给通道内各个子系统。
（10）MTP通过以太网卡对外广播数据向DCS （Ovation）系统提供隔离的、单向的数据链接，传输测得的信号值、中间计算值和安全系统状态。
（11）通过切换开关为每个双稳态子系统提供通道旁路能力。
（12）输入和变更设定值，调整常数。
MTP处理器应用HMI软件和通信软件，支持反应堆保护系统的显示、测试、维护，可显示BPL子系统、LCL&RT子系统、LCL&ESFAS子系统、ITP子系统信息。
2.8接口和测试子系统（ITP）
ITP子系统，提供通道运行测试、保护系统整定值的正确性和其他常量的验证，以此来比较四个通道间BPS参数。ITP主要功能如下：
（1）从通道内的AF100总线接收数据，通过隔离的单向的HSL向其他三个通道的ITP传送数据。
（2）通过隔离的单向的HSL从其他通道的ITP 接收数据。
（3）执行连续的在线通道间的比较以探测现场传感器、电源供应回路、输入信号调整和A/D转换过程的故障。
（4）正常运行期间，监测来自通道内其他子系统的失效和诊断信息，通道内失效时报警，以此来促进保护系统的维护。
（5）通过每个通道中的维护和测试面板子系统MTP为操纵员提供测试和维护的接口。
2.9集成通讯子系统（ICP）
ICP子系统，提供了与其他PMS通道和PLS的接口：
（1）从通道内的AF100总线接收数据，通过隔离的单向的HSL向其他三个通道的ICP传送数据。
（2）从通道内的AF100总线接收数据，转换为模拟或数字信号，通过隔离的硬接线传递给DCS （Ovation）系统。
（3）通过隔离的单向的HSL接收来自其他三个通道的ICP的数据。
（4）传送给其他通道或从其他通道接收来的数据只用于在主控室的显示，以满足事故后监测的需要和诊断。这些数据不会用于任何反应堆停堆或专设触发功能。
2.10操纵员模块子系统（OM）
OM子系统由平板显示系统（FPDS）构成，装载有人机接口软件，为安全级设备与操纵员之间的接口：
（1）对安全级设备提供手动部件级控制。
（2）对安全级设备提供手动系统级的允许、闭锁和复位功能。
3设计特点
AP1000核电站数字化反应堆保护系统的设计充分考虑了数字化技术的特点[3]，采取了诸如“反应堆保护系统在线测试”、“提高了电厂的安全性和可靠性”等设计。因此，不仅使该系统能更可靠地提供保护功能，而且又能提高电厂的可利用率。
3.1反应堆保护系统在线测试
在电厂正常运行期间，反应堆保护系统是不会触发保护动作的。为了检验整个系统的可用性，必须对保护系统的性能和功能进行检查。数字化设备中软件的引入使设备的自检更加容易。反应堆保护系统测试包括两种类型的测试，即自诊断测试和在线验证测试。其中，自诊断测试内置于AC160系统设备中，不需要人员干预。
通过ITP，维护人员能够手动激发在线验证测试程序，测试反应堆保护系统逻辑和硬件工作状态是否正确。针对每一个通道，ITP都能对BPS、LCL&RT、LCL&ESFAS、MTP子系统和停堆断路器进行测试。ITP也接收来自保护系统设备的自检信息，ITP与MTP一起完成反应堆保护系统在线验证测试。
在线验证测试包括下述测试：
（1）传感器输入测试。
（2）双稳态子系统局部停堆测试。
（3）LCL&RT和LCL&ESFAS测试。
（4）停堆触发逻辑矩阵测试。
（5）PM646A处理器测试。
（6）停堆断路器在线测试。3.1.1传感器输入测试
每个通道包括两个冗余的双稳态子系统，AI输入模块对输入执行信号调理和A/D转换。在正常运行期间传感器输入的数字值被发送到ITP，ITP也从其它三个通道接收同样的参数值。ITP比较冗余双稳态子系统的数值，并与来自其它三个通道的数值比较；如果全部数值一致，输入信号调理和A/D转换处理都正常工作；如果冗余双稳态数值一致但不同于其它通道值，那么产生传感器或传感器电源故障；如果冗余的双稳态数值不一致，则说明其中一个AI模块的信号调制或A/D转换故障，并指示出哪一个输入模块故障；当检测出故障后，ITP产生一个诊断报警去通知操纵员。
3.1.2双稳态子系统局部停堆测试
通过ITP手动测试BPS的PM646A处理器模块、双稳态逻辑算法、DO模块、通信模块和接口网络。
通过MTP、ITP、AF100网络，维护人员能够注入一个开关测试信号到BPS的输入去强迫双稳态产生局部停堆，这个局部停堆信号被发送至LCL&RT进行四取二表决处理；ITP验证这个局部停堆信号出现在所有通道的LCL&RT，并指示是否成功。
3.1.3LCL&RT和LCL&ESFAS测试
通过ITP手动测试LCL&RT和LCL&ESFAS的PM646A处理器模块、表决逻辑算法、DO模块、通信模块和接口网络。
每个通道的LCL&RT有四块PM646A处理器模块，LCL&ESFAS有两块PM646A处理器模块。四块PM646A处理器分别执行四取二表决，每块PM646A处理器控制一块对应的DO模块，其触点输出至四取二组合逻辑；这允许ITP在同一个时间内去测试一块PM646A处理器并产生一个单个输出；同时，ITP检测是否触点打开从而验证逻辑和DO正常输出。
3.1.4停堆触发逻辑矩阵测试
作为LCL&RT手动测试的一部分，通过ITP能够手动强制设定LCL&RT中的四个PM646A处理器的DO输出到停堆状态，这将引起一个通道的停堆断路器（RTCB）打开。ITP处理器监视RTCB的状态，并传送至其它三个通道的LCL&RT；当一个通道在测试，而且RTCB打开，（下转第60页）
4）酸性水罐液位控制
酸性水罐内容物是冷低分离罐油、气、水分离出的酸性水，采用PID调节，依据加氢工艺标准将其调至安全范围内，其酸性水排至含硫污水界区再处理设备，确保酸性水罐液位处于平衡上下游设备的良好状态。
4结语
CS3000控制系统自2009年在环烷基馏分油加氢装置实际使用以来，充分发挥了其配置灵活、运行稳定、控制可靠、信号测量和控制调节灵活准确、编程方便，系统的自动控制达到了预期的效果，提高了设备运行的稳定性和安全性，并在工艺过程的节能、降耗方面起着积极的作用，取得了良好的经济效益和社会效益。
参考文献：
[1]YOKOGAWA（Xi，an）CO.，LTD.CS1000/CS3000ENGINEERING
TE-02[Z]，2008.
[2]YOKOGAWA（Xi，an）CO.，LTD.CS1000/CS3000Operation and
Monitoring TE-03[Z]，2008.
[3]YOKOGAWA（Xi，an）CO.，LTD.CENTUM CS3000IM[Z]，2008.
■
其它通道的LCL&RT有互锁逻辑禁止进行测试；然后，测试的RTCB必须手动关闭后，其它通道才能执行同样的测试。
3.1.5PM646A处理器测试
在正常运行期间，MTP和ITP监视来自BPS、LCL&RT和LCL&ESFAS中的PM646A处理器的心跳（Heartbeat）信号，表明PM646A处理器程序正常执行；若在一定时间内未接收到心跳信号，MTP和ITP将报告处理器故障。
3.1.6停堆断路器在线测试
停堆断路器在线测试可以动作欠压线圈或分励线圈。停堆断路器包括以四取二组合的八个断路器单元，以及辅助部件和内部总线棒；每个断路器单元用钢质型材完全封装并相互物理隔离。停堆断路器组采用四取二连接方式，允许在一个停堆断路器进行试验时仍满足单一故障准则。
3.2提高了电厂的安全性和可靠性
为了满足单一故障准则，系统采用了多重性的设计，整个系统由四个冗余保护通道组成（A、B、C、D）。反应堆停堆和专设安全设施驱动系统都采用四取二表决逻辑。
提供维护和测试旁通功能，通道的旁通状态被自动地监测，同时对剩余通道的表决逻辑进行最优化组合，保证了在维护或试验期间电厂的安全性及可用性。
PM646A处理器之间的高速链路（HSL）通信，使通道间的双稳态数据通信可靠地进行。同时单个机架四个PM646A处理器组合可接收八路双稳态高速链路数据，且每个PM646A处理器分别控制一块DO模块。这样，从传感器输出、双稳态处理系统、ESFAS系统、RT表决系统、RT停堆的DO模块及其DO输出触点组合直到停堆断路器，系统设计都很好地满足了单一故障准则要求。
反应堆保护系统采用分散处理技术，将安全功能分配在不同子系统进行处理。采用光纤网络和数据通信技术，保证实体分隔和电气隔离。
系统设计有维护与测试子系统，可以得到详细的系统状态信息，提高系统的可维护性。系统设计有自动测试功能，除定期功能试验外还可在线检测系统的工作状况，及时发现故障。提供功能完备的故障诊断程序作为维护辅助手段。
4结语
AP1000核电站数字化反应堆保护系统的设计充分利用数字化技术带来的优势，使整个电厂在安全性和经济性上都有所提高。AP1000核电站数字化反应堆保护系统作为我国引进的先进技术，应用于在建工程浙江三门与山东海阳核电站，为我国数字化核电技术的自主设计树立了一个良好的开端，并为我国数字化核电技术的自主研发打下了坚实的基础。
参考文献：
[1]朱继洲.核反应堆安全分析[M].西安：西安交通大学出版社，
2004.
[2]广东核电培训中心.900MW压水堆核电站系统与设备[M].北京：
原子能出版社，2007.
[3]U.S.Nuclear Regulatory Commission.NUREG-1793，Final Safety
Evaluation Report Related to Certification of the AP1000 Standard Design[S].September，2004.
[4]Advant Fieldbus100User’s Guide[Z]，ABB，October，1999.■
（上接第15页）
■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■