核电厂安全系统定期试验方案研究及平台实现

李 菁，刘松林

（中国核电工程有限公司，北京 100840）

0 引言

核电技术是改善国内能源结构，应对世界气候变化的有效途径。数字化仪控系统（DCS）是对核电厂进行监视和控制的核心，其中的安全级DCS 部分需要完成事故工况下的安全停堆和事故后果缓解功能，对核电厂的安全可靠运行起到重要保障作用。

安全系统用于反应堆的安全停堆、堆芯余热排出或限制预计运行事件和设计基准事故的后果[1]，反应堆保护系统是整个核电厂中最重要的安全系统之一，由安全级DCS设备实现。

根据GB/T 5204-2021《核电厂安全系统定期试验与监测》中的要求，需要对安全系统的性能和功能进行定期试验以验证能否实现预期的系统可用性。虽然安全级DCS 平台都具备自诊断功能，但本功能不能覆盖安全系统存在的所有故障类型，无法替代定期试验，必须制定全面的定期试验方案，检测自诊断范围以外可能出现的故障，降低安全系统拒动的风险[2]。

本文基于中核集团自主研发的安全级DCS 平台NASPIC，提出了一种全新的安全系统定期试验方案。其定期试验方案覆盖范围完整、技术先进，并提高了定期试验的便利性。

1 安全系统定期试验种类

在核电厂保护系统定期试验的过程中，首先要明确定期试验的范围，然后对定期试验的种类进行划分。

保护系统的定期试验范围必须覆盖从传感器到保护逻辑、输出信号、相关驱动装置路径上所有的逻辑部件。由于其试验范围涵盖的路径非常长，通过单次试验无法完成全路径的实验目的，因而有必要对定期试验进行拆分，通过分段试验的方式，实现定期试验的全部功能。

通过上述分析，将定期试验种类分为：T1 试验（传感器通道试验）；T2 试验（逻辑功能试验）；T3 试验（DO 输出信号到执行器的试验）；响应时间试验[3]。从图1 中可以明确，本试验方案与标准中的交迭试验定义和要求是一致的，能覆盖安全系统中整个保护功能逻辑的处理通道，确保安全系统定期试验的完整性。

图1 定期试验的种类和范围Fig.1 Types and scope of regular tests

图2 RTS逻辑功能试验Fig.2 RTS Logic function test

图3 停堆断路器配置方案Fig.3 Configuration plan for shutdown circuit breakers

图4 PLM输出闭锁试验Fig.4 PLM output blocking test

2 安全系统定期试验方案

核电厂的安全系统按照序列A、B、C、D 的四重冗余组成，各个序列之间在实体、电气和功能上都是相互隔离的，满足独立性要求[4]。此冗余设计方案可以保证安全系统在进行定期试验时，保持系统对真实信号的响应能力，在必要时触发被试验通道的输出。

对于不同的定期试验类型，可分别在核电厂正常运行期间和停堆换料期间进行。

2.1 T1（传感器通道）试验

本试验内容分为交叉检验和通道试验两部分。

2.1.1 交叉检验

交叉检验是在电厂正常运行时，对设置冗余测量通道的参数进行通道之间的交叉检验；另外，对每个通道中进入不同子组的相同信号也进行交叉检验[5]。

交叉检验无需信号旁通，无需输入试验信号和额外的试验工具。在操纵员站的非安全级显示单元上实时监测采集的数据，是否在预期范围以内。如果发生故障和超预期的漂移，则会在非安全级显示单元上产生报警。

交叉检验的过程不介入安全系统的正常运行，对电厂的可用性指标无影响。

2.1.2 传感器通道试验

传感器通道试验分为模拟量输入通道可用性，及精度、开关量输入通道可用性两部分内容。

通过单个参数旁通面板上的开关将现场真实信号设置到“旁通”状态，手动注入试验信号，在MTS（维护试验单元）的在线监视软件上读取该信号在进行阈值比较前的数值，并与期望值进行比对，判断传感器通道的可用性和精度（仅模拟量）。

为了降低试验风险，T1 试验在停堆期间进行，并且一次只能对一个测量通道进行试验。如果该试验信号通过隔离分配模块传输至其他系统时，必须提前采取措施在其他系统中旁通该信号，以免试验信号的注入导致其他系统的误动作。

试验完成后，先将传感器通道的试验端恢复为正常采集端，通过MTS 确认本传感器信号开始正常采集以后，通过参数面板上的开关取消传感器的“旁通”状态，并断开MTS 与ALU（信号采集及逻辑处理单元）的连接，试验完成。

2.2 T2（逻辑功能）试验

逻辑功能试验是针对ALU 的内部逻辑以及不同序列之间通信进行的试验，包括停堆（RTS）逻辑功能试验和专设安全设施驱动系统（ESFAS）逻辑功能试验。

T2 试验与T1 试验在信号采集及逻辑处理单元的I/O 输入处实现重叠。

2.2.1 RTS逻辑功能试验

RTS 逻辑功能试验是验证ALU 中反应堆停堆逻辑功能的正确性，试验范围包括输入模块、停堆逻辑处理模块和信号输出模块。对于ACP1000 的安全系统，其反应堆保护系统为四序列冗余设计，每个序列中还设计了两个冗余子组ALU-X1 和ALU-X2 同时实现停堆功能。

RTS 逻辑功能试验以序列为单位，逐个进行。试验前，先旁通被试验的序列，此序列不再执行安全系统的保护功能，其旁通信号传递给其他3 个序列使安全系统可以正常执行保护功能，这样就可以保证RTS 逻辑功能试验不影响安全系统执行保护功能的能力。

进行RTS 逻辑功能试验时，必须保证本序列处于维护模式且输出信号闭锁。MTS 通过维护网络，在被试验的序列中，以强制手段注入试验信号。此信号替换ALU 中的输入数据，参与逻辑运算，逻辑运算后的结果通过维护网络送至MTS 进行显示，试验操作人员在MTS 上判断试验结果是否符合预期。

该试验可在核电厂功率运行期间进行。

2.2.2 ESFAS逻辑功能试验

ESFAS 逻辑功能试验是验证ALU 中专设安全设施逻辑功能的正确性，试验范围包括：输入模块、专设安全设施逻辑处理模块和信号输出模块。其试验分为专设安全设施局部触发逻辑功能试验和专设安全设施触发逻辑功能试验。

ESFAS 局部触发的逻辑功能试验是为了验证每个引起专设局部动作的输入信号组合，包括：安全注入、安全喷淋、安全壳隔离、主给水隔离、主蒸汽隔离和辅助给水6个安全功能。本试验检验反应堆保护系统中专设逻辑功能的正确性，试验方法与RTS 逻辑功能试验相同，可同步进行。

ESFAS 触发逻辑功能试验是为了检验专设启动逻辑功能的正确性，试验时需要旁通被试验通道。ESFAS 的保护变量分为两种情况，分别是启动专设的同时触发紧急停堆和启动专设但不触发紧急停堆。对于启动专设，但不触发紧急停堆的功能，保护通道被旁通时，其ESFAS 中的符合逻辑应当降级。

该试验可在核电厂功率运行期间进行。

2.3 T3（DO输出信号到执行器）试验

在核电厂正常运行期间，安全功能的设备一般都处于正常状态，保证在发生事故时，触发执行相关功能的设备。为了保证这些设备执行保护动作的可靠性和有效性，需要进行定期试验，即T3 试验。T3 试验主要分为：停堆断路器动作试验、多样化停堆功能试验、优先级处理（PLM）输出闭锁试验和专设驱动器动作试验。

T3 试验与T2 试验在信号采集及逻辑处理单元的I/O 输出处实现重叠。

2.3.1 停堆断路器动作试验

核电厂的停堆断路器共8 个，分为4 对，通过四取二逻辑触发紧急停堆。停堆断路器动作试验按照保护序列分别进行，每个保护序列中的ALU 控制一对停堆断路器，试验时不满足四取二逻辑，因而不会触发真实的反应堆紧急停堆。

停堆断路器动作试验的开关设置在SVDU（安全显示单元）画面上，每个ALU 控制两个停堆断路器，共设计两个试验开关。试验过程中根据规定的顺序对停堆断路器进行断开和复位操作，并通过SVDU 画面上的反馈信号判断试验是否通过。

本试验对核电厂的正常运行无影响，可在功率运行期间进行。

2.3.2 多样化停堆功能试验

本试验是为了检验安全系统输出到棒控和棒位系统电源柜的多样性紧急停堆信号的回路可用性。

安全系统的每个保护序列设有一个试验按钮，用于试验送至电源柜的多样性停堆信号。通过试验按钮，触发控制棒掉棒，在非安全级操纵员站上查看所有控制棒落入堆芯底部，确认多样性停堆机制的有效性。

该试验在停堆期间执行。

2.3.3 PLM输出闭锁试验

本试验是检查ALU 中涉及PLM 的两个子组及其通讯模块与PLM 模块之间的连接及相关设备的可用性。在试验时，按照安全系统的不同序列分别进行，因为此时对PLM输出进行了闭锁，不会触发驱动器真实动作，但本试验时不会闭锁非安全级的指令。

在进行本试验前，首先在SVDU 上确认本序列的ALU没有真实的专设驱动指令，并且PLM 机柜状态正常。通过SVDU 上的试验允许指令，对PLM 进行闭锁，然后才能发出某个PLM 机柜对应的试验指令。试验信号通过ALU 中的逻辑子组、通讯模块下发至对应的PLM。试验命令为3s宽度的脉冲信号，PLM 模块收到试验命令信号后，反馈的状态信号通过通讯模块传至SVDU 进行显示。当确认试验反馈信号满足预期要求后，通过SVDU 试验画面中试验允许的复位按钮，对软件闭锁进行复位。

本试验对核电厂的正常运行无影响，可在功率运行期间进行。

2.3.4 专设驱动器动作试验

本试验的目的是验证所有安全系统驱动设备的可运行性。试验时，通过位于主控室的非安全级操纵员站界面或安全级的SVDU 上触发驱动器真实动作，并监测驱动器的反馈状态。

该试验针对单个设备驱动器进行试验，每个试验开关都配有专门的试验授权按钮。在授权后，才可通过试验界面的试验开关发出指令。对于试验平台的选择遵循如下原则：

1）非安全级DCS 和安全级DCS 都可控制的驱动设备，可在非安全级界面进行。

2）只在安全级DCS 可控的驱动设备，只能在SVDU上进行。

大部分设备驱动器的试验在反应堆停堆期间进行，但堆芯冷却系统的部分驱动器需要在反应堆功率运行期间进行。

3 定期试验平台实现

在传统的安全系统定期试验平台，T1 试验和T2 试验分别在不同的试验台进行，在进行维护试验时，需要在核电厂不同的房间进行安装、调试和试验，这对试验的灵活性进行了限制。

本试验方案，基于中核集团自行研发的安全级DCS 平台，将T1 和T2 试验设备集成到统一的MTS 平台进行，T3试验根据不同的试验类型在非安全级操纵员站和安全级的SVDU 分别进行。对不同种类的试验，通过分段、交迭式的试验策略，优化了试验流程，节省了定期试验的时间，并提高了试验人机接口的友好型。

T1 和T2 试验的硬件设备包括MTS、测试结果打印机、网络交换机及电缆等四部分，只有处于旁通模式下的通道才可进行试验。

在MTS 的定期试验界面上可以选择不同的试验类型，其试验界面如图5 所示。

图5 MTS定期试验界面Fig.5 MTS Regular test interface

T2 试验的软件设计以MTS 为试验主体，其试验的软件设计流程如图6 所示。

图6 T2试验软件流程Fig.6 T2 Test software process

T3 定期试验在操纵员站和SVDU 上执行，安全级的SVDU 上，停堆断路器动作试验的试验界面如图7 所示。8个停堆断路器，分为4 对，组成了四取二的紧急停堆逻辑。每次试验时，只针对每套停堆断路器中的一个，因此不会触发反应堆紧急停堆。通过画面中的试验按钮，下发试验指令，并观察断路器的状态反馈信号，以确定定期试验是否通过。

图7 SVDU定期试验界面Fig.7 SVDU Regular test interface

非安全级的操纵员站上执行的试验为T3 不闭锁试验。T3 不闭锁试验的软件设计流程按照试验允许、试验指令、行程时间清零、观察设备状态、确定行程时间，并最终判断试验是否通过。其平台试验界面如图8 所示。

图8 操纵员站定期试验界面Fig.8 Operator station regular test interface

4 总结

在目前核电厂的安全系统设计中，必须要考虑反应堆保护系统定期试验的方案是否满足国内相关法规标准的要求。在此基础上，根据NASPIC 平台的特点设计了安全系统定期试验的实施方案。

根据上述分析可以看到，NASPIC 平台的定期试验方案充分考虑了平台特性，显著提高了核电厂运行人员定期试验的自动化水平，全面覆盖了定期试验的检测范围，在定期试验便利性、有效性方面得到了明显提升。

针对不同的试验需求和内容，可以在核电厂正常运行以及停堆换料期间分别进行，对核电厂的可用性和可靠性指标提供了正向增益，保证了核电厂的安全可靠运行。