核电厂数字化仪控系统测试综述

刘朋波 周 韦 张淑慧

(上海核工程研究设计院，上海 200233)

0 引言

仪控系统负责核电厂的检测、显示、控制和保护等功能［1］，是核电厂的重要组成部分。随着计算机软硬件和控制理论、控制技术的快速发展，核电厂仪控系统已经可以完全数字化，且其自动化程度越来越高。核电厂仪控系统的发展经历了三个阶段:模拟阶段、部分数字化阶段和全数字化阶段［2］。目前正在我国建造的AP1000和EPR采用的都是全数字化分布式仪控系统，其安全性和可靠性得到很大提升［3－4］。

核电作为特殊领域，对仪控系统的性能和可靠性要求特别高，国际原子能机构(IAEA)、美国核管会(NRC)和国际电工委员会(IEEE)都制定了有关核电厂仪控系统的法规、导则和行业标准［5］。

核电厂仪控系统在设计、制造、现场安装和调试过程中都要经过严格的测试，以便及时发现问题、改进设计，保证最终产品满足核电厂特殊要求，达到提高核电厂可靠性和经济性的目的。

1 I＆C 测试

1.1 测试目的和范围

I＆C测试是I＆C验证和确认的重要组成部分，伴随着I＆C验证和确认的全过程。在核电厂仪控系统的设计、制造、现场安装和调试过程中，I＆C用于检测每个阶段的仪控产品是否满足用户要求;证明仪控系统或者设备是否可以进行整个电厂测试且能够支持电厂运行，最终为软硬件的集成系统能够实现所要求的功能并具有足够的可靠度提供依据;减少后期的设计缺陷和制造、安装、调试问题;缩短仪控系统设计、制造周期，减少资源浪费，降低成本。

核电厂仪控系统测试项目包括新建电厂项目和改造项目。测试范围以系统界定，可以是整个电厂仪控系统，也可以按照是否是安全级系统、控制系统来分，或以子系统、机柜进行划分，甚至以更低层次(如电源模块、处理器、I＆O模块)划分。测试对象是每个项目中仪控系统设计、制造、现场安装和调试各阶段的产品，包括设计规范、要求文件、软件、硬件和软硬件集成设备或者系统。

1.2 测试分级和测试地点

整个测试过程包括多个等级的测试，不同等级的测试从低到高依次进行。高一级的测试均基于低一级的测试结果，测试等级随着软硬件集成度和系统接口集成度的增加而增加。每一级的测试都只关注与本级相关的要求。一些细节要求会在较低等级的测试中完成，一般不在更高级的测试中再次进行。

测试等级总共有9级，其中0～4级测试在工厂环境内完成(供货商的场地)，5～8级测试在现场完成。1～3级测试由产品组负责，第4级测试由来自于产品组的测试人员依据集成活动的要求进行测试，5～8级由电厂调试和测试小组负责。与测试分级对应的是系统中的部件集成分级。表1给出了测试分级和集成分级(IEEE-1220，《IEEE系统工程程序应用和管理标准》)之间的对应关系［6］。

表1 测试分级Tab.1 Leveling of tests

整个测试过程有三个可能的测试地点:分包供货商的生产厂、工厂和现场。测试地点不是强制规定的，在选择测试地点时，必须考虑测试的目的，以便证明系统或设备在现场安装后能够执行相关功能。测试过程中还应考虑到产品封装以及系统或者设备从测试地点运到下一个地点可能受到的影响。如果运输会使测试失效，且必须在下一个地点再测一次，就有必要延后这一测试。当然，是否做出延后的决定还需要同时考虑是否在早期发现并解决问题更为有利(很多问题都可以较容易地在工厂或供货商处解决)。风险管理能够在延后或重复测试之间作出权衡。

1.3 测试要求和原则

1.3.1 测试独立性要求

在确定测试计划时，为了更有效地在设计和制造的过程中发现错误，测试大纲必须独立于发生这些错误的源头。在测试计划中引入独立性可能会导致测试计划忽略设计细节而没有探测到潜在的错误。为降低这个几率，测试者应该基于设计要求来编写测试规程，而不是基于设计执行文件。对于功能测试，测试规程的基础是功能要求，设计文件的输入应尽可能地少。对于制造测试，由于该测试的目的是证明将设计文档转化到所制造的系统时不会产生错误，所以设计文档应作为测试规程的基础。

编写测试说明和规范的工程师不应是系统或设备的设计者或系统和部件的测试者，从而避免设计和测试规程中都出现对于特定功能的错误理解。由于测试说明对测试程序规定了总的方向和范围，包括明确了具体测试实例，所以在整个开发过程中保证测试组与设计组相互独立是十分重要的。

1.3.2 质量控制要求

测试作为仪控系统寿期内的主要活动，测试质量管理系统(quality management system，QMS)中《检查和测试》和《检查和测试状态》有相应的规程描述。表2列举了部分规程。其他可能影响到测试的策略和规程应当被列入具体项目的项目质量计划(project quality plan，PQP)中，这包括测试使用的相关工业标准(如IEEE-829，1008)和导则 (如 RG 1.170，1.171)［6－8］。

表2 相关测试规程Tab.2 Associated test policies and procedures

1.3.3 测试人员资质要求

测试人员应由接受过与本测试工作相关资质的教育(通过培养和培训)或由具有同等的相关工作经验的人员担任。这些测试人员按照 ANSI N45.2.6，“Qualifications of Inspection，Examination，and Testing Personnel for the Construction Phase of Nuclear Power Plants”进行测试活动，并通过相关的资质认证［9］。

1.3.4 测试文件体系要求

测试文件体系要求包括:测试前要制定相应的测试方案和测试规程;测试过程中应仔细记录方案实施情况以及测试数据，受测设备(或者系统配置数据)和测试过程中遇到的问题;测试结束后要对测试过程和测试数据进行分析，形成测试报告。这些记录文件和报告组成相应的测试文件体系，如图1所示。

基本测试文件包括:①通用性顶层集成I＆C确认和测试策略;②通用性具体平台测试策略和测试程序;③项目集成测试方案;④系统/子系统测试计划;⑤系统/子系统测试说明;⑥通用性测试规程;⑦系统/子系统测试规程;⑧系统/子系统测试数据表;⑨系统/子系统测试记录;⑩系统/子系统测试报告。

图1 测试文件体系Fig.1 Architecture of the testing documentation

1.3.5 测试原则

测试过程中，遵循的原则主要有以下八条。

①测试应该有条理地从底层模块或组件开始，然后逐步扩展到更大的设备或子系统，最后证明仪控系统所有部分能够一起正常工作。测试应该尽量在集成度最低的层次上实施，这样在整个产品开发周期的早期就能够发现缺陷并更改，代价就越低。

②若高等级的测试内容包含低等级的测试内容，应尽量避免在高等级重复低等级测试。除非集成流程改变了系统，使其不能满足给定要求，否则之前的测试凭证仍然被接受。每个集成等级都会有新的错误出现，在给定等级上进行的测试应该只关注该给定等级上可能引进的错误，而不是较低等级引进的潜在失误。

③如果能充分证明集成度低的要求，同时在集成度较高的测试中与高层次的要求一致(并且导致低层次要求无法满足的风险应尽可能低)，则可以省去低层测试。例如，输入模块现场接线端的连通性测试可以在低层(通过“检测”接线)进行。然而，经验表明制造阶段会出现少数错误，连通性的低层次要求可以在高层次输入通道要求测试时得到证明。因此，输入模块机柜线详细的“检测”可省去。

④没有必要在工厂测试中复制实际的安装环境或支持系统接口，但是应该说明工厂测试环境和现场测试环境的不同之处。例如，如果电厂失电不是测试关注点，则不要求供电冗余，测试使用单一供电。

⑤仪控系统和测试执行系统工具可以提供诊断信息，测试中应该根据这些诊断信息合理缩减测试范围。在测试中，使用诊断信息之前要确保诊断能够提供测试所需要的信息，且上一步的测试能够保证诊断的正确实施。

⑥测试大纲中每项测试与明确定义的验收准则应能证实一个具体的目标和功能可以实现或特定的要求得到满足。测试应该通过最简单易懂的方式证明其目标。同样地，排除目标设计或制造错误的影响，应该评估测试的有效性。另外测试大纲开发者应该考虑影响系统的错误类型。

⑦测试并不一定是确认满足要求的最佳途径。在一些情况下，分析和检查可作为测试的补充，合理缩小测试范围。分析和检查(包括设计报告检查，如资料库列表)可以提高目标证实过程的效率，减少执行测试所需要的时间，以便安排测试时间。用分析和检查来完成目标测试证明时，在测试说明中应清楚描述，并且需要记录分析和检查结果，以便形成一个完整的、系统可接受的证明记录。

⑧为改善标准设计、执行、测试流程，建议制定和使用格式化的信息(如出处、原因、号码、影响)来跟踪项目偏差影响。这些信息有助于项目经理选择最好的测试流程和资源分配。每个测试阶段都应明确受测设备的确切配置，这样测试结果才有意义。受测软件和设备的试验配置应在试验数据档案中按照一定的要求记录。由于修改会经常出现，知道更改的影响会为后期决定先前测试是否有效提供依据。所以应该记录设备在测试过程中的所有更改。

1.4 测试规范和测试计划

测试规范是测试的设计文件，它提供了充足的信息，可以让用户在测试规程出版前了解其意图并同意测试方法。因此，应为每一个测试过程编写一份测试规范。测试规范书确定了测试的目的、目标、范围、适用标准、约束条件以及测试结果的使用。测试规程是测试规范书的具体执行，一份测试规范书可以用于创建一个或多个测试规程。

测试规范书是质量文件，应放入电子文档管理系统中。虽然测试规范可以与测试规程合并为一份文件，但一般推荐将测试规范作为独立的文件出版。这是因为测试规范书需要在相关测试规程前准备好，以得到足够的用户审查和反馈意见。如果测试规范书与测试规程并为一份文件，则用于满足测试规范要求的信息必须清晰，且区别于满足测试规程要求的信息。

测试计划提供了测试项目的具体环节。对具体平台编制的测试计划可以用于完整的集成仪控系统、独立系统及其子系统测试。它列出了标准测试方法与经用户同意的测试方法的不同之处。测试计划应包含足够的细节信息(测试的地点、系统范围和测试范围等)，以便用户能够进行资源规划。测试计划应明确用户参加的测试项目和合同里程碑事件。测试计划还应该特别定义测试文件树状图，以显示后续生成的测试文件。尽管这个阶段不需要特殊的文件编号，但预留编号和测试方案记录可减轻整个项目的跟踪难度。用户审查和批准的要求、质量规程、测试策略、标准过程、工业标准和规章指南等也应写入测试计划中。

1.5 测试流程和内容

仪控系统测试伴随着整个仪控系统的验证和确认，仪控系统验证和确认的流程如图2所示。

图2 仪控系统验证和确认流程图Fig.2 Verification and validation process of I＆C

依据测试项目的目的和时间安排，测试方法可能多种多样［10］。按时间顺序测试可分为以下几个阶段。

①原型测试阶段，这个阶段的测试用于证明和估量设计理念的关键特性，测试结果用于指导进一步的产品设计开发和确定最终要求。

②设计测试阶段，这个阶段的测试用于证明部件、组件或系统的既定设计要求能够得到满足，在这个意义上测试目标接口可以被仿真。这些测试可在设备上进行，而不是在目标系统上进行。如控制逻辑可以在仿真控制器环境中进行。

③制造测试阶段，这个阶段的测试用于证明产品能根据组装图和其他的设计文件正确组装。

④集成式测试阶段，这个阶段的测试应在系统验证和确认前进行，以检查计算机系统软硬件的兼容性和一致性。

⑤接口测试阶段，这个阶段的测试主要是在目标设备所在的主要子系统(安全系统、控制系统、运行控制和检测系统等)或模拟机上进行。该测试同时包含系统之间的接口测试。

⑥安装测试阶段，这个阶段的测试用于证明设备在从工厂运输到现场过程中未被损坏以及系统间的电缆接线(包括供电、传感器信号和网络)正确。

⑦运行测试阶段，这个阶段的测试用于证明仪控系统满足设计要求，在各种工况下能够使核电厂安全可靠运行，包括电厂运行前流体系统功能测试以及电厂运行时瞬态性能证明。

有效的测试是“自下而上”、有条理地进行的。首先测试独立组件，然后测试构成子系统或者机柜的相互联系组件，最后测试整体直至整个电厂仪控系统测试完成。不同的集成等级使用不同的术语标记(如部件、设备、单元、模块、组件)。各项测试随着集成度的增加依次进行，I＆C测试流程如图3所示。

图3 I＆C测试流程图Fig.3 I＆C testing flowchart

1.6 测试记录和测试报告

测试记录文件记录了测试执行过程中的原始数据。完整的测试数据表和电子版的数据记录表也是测试记录文件的重要组成部分。如果测试日志被保留下来，那么日志也属于测试记录文件。测试记录文件还应包括测试中被变更的测试规程页面的拷贝。

测试报告用于测试完成后对测试和结果的描述和总结，由测试者或者指定的人员在测试后尽快完成。测试中的任何异常问题都被记录在测试报告中，任何列出的异常问题都应同时被真实地记录到异常报告中并被跟踪直到问题关闭。异常报告包括由设计团队提供的解决方案。每个测试过程应撰写一份测试报告，相关的测试过程也可以撰写一份合并的测试报告。

1.7 测试问题和处理

问题报告和处理对结束测试及对测试结果的确认是十分重要的。因此，应提供关于问题报告和跟踪的通用要求，通用要求应根据具体项目写入测试计划中。当产品与规定的设计、特性、文件说明、规程不一致，项目质量或活动不能令人满意或不确定时，认为该产品不合格。测试中记录下与预期测试结果不一致的部分，并且根据需要在状态审查会议中与设计和测试小组进行讨论。这些不一致项会变成问题并由合适的解决方案跟踪处理。

当相关问题记录进跟踪系统并且已确定问题负责人员时，项目经理可以根据现有资源和相应数据来处理问题。如果出现的问题妨碍了测试进行或之后的测试阶段，则应尽快解决;仅在问题妨碍测试进行或之后的测试阶段时才需要进行临时变更，临时进行变更必须遵循项目配置管理计划。解决问题的具体计划应该包含在项目日程中，回归测试证明问题已被解决并且没有新的问题产生。这样完整的测试才算结束。

2 结束语

在整个核电厂I＆C系统的设计、制造、安装和调试过程中进行相应的测试，可以尽早地发现问题或者缺陷并改进，提高核电厂仪控系统的可靠性;同时，也可最大限度地避免返工，促进仪控系统设计、制造、安装和调试进度;节约资源，降低整个工程的成本。

［1］史觊，蒋明瑜，郑健超，等.核电站仪表与控制(I＆C)系统数字化关键技术研究现状［J］.测控技术，2004，23(2):29 －32.

［2］郑明光，张劲舜，沈增耀，等.压水堆核电厂仪表控制与计算机化的发展概况［J］.核技术，2000，23(12):899 －903.

［3］林诚格，郁祖盛，欧阳予.非能动安全先进核电厂AP1000［M］.北京:原子能出版社，2008:5－30.

［4］李臻.AP1000和EPR仪控系统简介与对比［J］.电力科学与工程，2009，25(10):74 －78.

［5］IEEE.1220-1998 IEEE standard for application and management of the systems engineering process［S］.Institute of Electrical and Electronics Engineers，Inc，1998.

［6］IEEE.829-1998 IEEE standard for software test documentation［S］.Institute of Electrical and Electronics Engineers，Inc，1998.

［7］US NRC.RG1.170 Software test documentation for digital computer software used in safety system of nuclear power plant［S］.US Nuclear Regulatory Commission，1997.

［8］US NRC.RG1.171 Software unit testing for digital computer software used in safety system of nuclear power plant［S］.US Nuclear Regulatory Commission，1997.

［9］ANSI/ASME.N45.2.6 Qualifications of inspection，examination，and testing personnel for the construction phase of nuclear power plants［S］.American National Standards Institute，1978.

［10］Song Fei，Zhang Shuhui.Human factors engineering verification and validation:a case study of a nuclear power plant［C］∥18th International Conference on Nuclear Engineering(ICONE18)May 17 －21，2010，Xi’an，China，2010:715 －721.