基于NASPIC的反应堆保护系统数字化旁通设计研究

姜 静，何玉鹏，臧锴钰，贾小东，关朦朦，彭 浩

（中国核动力研究设计院 核反应堆系统设计技术重点实验室，成都 610213）

0 引言

反应堆保护系统检测电厂异常工况并且触发必要的安全相关功能来达到并保持电厂处于安全停堆状态[1]。反应堆保护系统执行的核安全相关功能主要有3个：反应堆停堆功能、专设安全设施触发功能以及事故后监视功能。

根据GB/T 13626《单一故障设计准则应用于核电厂安全系统》[2]，当反应堆保护系统发生单一设备故障时，整个系统应能保持设计功能。因此，反应堆保护系统有必要设计旁通功能。通俗来说，旁通指在核电厂运行、维护和试验期间，为了确保在反应堆保护系统进行相关操作不影响电站的运行，并能保证保护系统执行安全功能的能力，而采用一系列特殊手段将系统某部分安全功能闭锁或置于不工作状态，以阻止不需要或不希望的保护动作触发[3]。

按照旁通的影响范围，旁通功能分为通道旁通和参数旁通，对应不同的应用场景。旁通功能是核电厂运维工作中频繁使用的重要功能，其信号与接口将直接影响反应堆执行安全相关功能。因此，合理且可靠的旁通手段将有助于提高核电厂维护过程中的经济性和安全性，对核电厂的安全稳定运行具有重要意义。

1 反应堆保护系统的旁通设计

反应堆保护系统往往设计为多个冗余的信号采集与处理保护组，以华龙一号为例，反应堆保护系统分为4个保护子组和2个专用安全设施驱动系列，每个保护组内部又进一步划分为不同的多样性子组，以提高系统架构的多样性与可靠性。4个保护组有独立的传感器，传感器信号隔离分配到本保护组的两个子组，独立运算处理后，产生局部脱扣信号，4个保护组之间局部脱扣信号相互传递，在每个保护组进行“四取二”表决逻辑。

当单个仪表信号链路的设备故障时，因设备更换需要，电厂运维人员可以在机柜内手动切换旁通开关的档位，触发特定的旁通功能，将相关的控制功能退出运行以避免误动作。

在信号处理链路层面，由于当本保护组的拨动开关切换位置后，产生旁通信号并以硬接线的方式传输到两个子组的开关量输入（Digital Input，DI）模块采集，传输到停堆处理器，将对应的仪表信号质量位置于“坏”，四取二符合逻辑自动剔除该信号。按预期设计退化，停堆逻辑由四取二降级为三取二（或三取一）。此外，该开关量信号还会传输到指定的面板位置，表征旁通信号已触发。

旁通触发后，虽然本保护组的仪表通道不参与符合逻辑，但其他保护组的输入信号依然有效，满足降级后的符合条件时，仍可触发预定的安全功能，不影响系统整体的可用性。

2 硬旁通面板设计

以漳州核电为例，每个保护组均设置一个通道旁通钥匙开关，用于旁通本保护组。本保护组的两个子组使用带两副触点的通道旁通开关（一个开关、两对触点）进行操作，两个子组的旁通信号处理逻辑相同[4]。除钥匙开关外，旁通面板还设计有指示灯，用于指示本保护组两个子组和其他保护组的旁通状态。

参数旁通功能主要应用于单个保护参数仪表在线维修（手动参数旁通）及传感器信号无效（自动参数旁通）。所有参与保护或专设安全设施的模拟量采集信号都需要设置参数旁通按钮[5]。参数旁通实现方式也采用拨动开关和指示灯的方式实现。每个参数在保护组配置有1个拨动开关，用于发出旁通指令，同时送往本保护组的两个子组，将各处理器相关的信号质量位置于坏点，对应的符合逻辑退化，再发出开关量输出信号用于驱动对应的指示灯，用于指示旁通已成功触发。

每个保护组配置1块参数旁通面板，2块通道旁通面板。参数旁通面板如图1所示。

图1 参数旁通面板示意图Fig.1 Schematic of parameter bypass board

对于漳州、海南等华龙一号机组，目前普遍采用硬旁通面板的设计，虽然硬旁通面板设计较为成熟，应用项目多，可靠性较高。但根据用户实际体验反馈，由于硬接线的方式占据空间较大，存在维护不便的问题。此外，在核电厂长期的运行维护周期内，因定期试验或仪表检验等工作，频繁使用拨动开关，存在长期使用过程中触点磨损导致接触不良的可能。因此，有必要开展设计优化研究工作，以提高设备的可维护性。

3 数字化旁通设计

安全显示单元（Safety Video Display Unit，SVDU）是核电厂安全级DCS平台的一个组成部分，主要作用为显示及存储[6]。龙鳞平台SVDU具有采用安装和维护方便的一体机设计，使用实体按键和触摸屏两种人机输入设备（可以有效地防止触摸屏不灵敏或实体按键失效导致的设备不可用）[7]。SVDU示意图如图2所示，主要由电阻触摸屏、显示屏、图像处理模块、接口模块、实体按键、电源接口等组成。SVDU既支持在盘台安装，也支持在标准19英寸机柜内安装，安装方式可兼容旁通面板。

图2 SVDU示意图Fig.2 Schematic of SVDU

SVDU画面显示区可根据上游需求定制化设计，NASPIC平台已开发功能丰富的操作与显示控件，满足不同功能场景下的使用要求，同时满足人因工程要求。针对个性化需求，还可开展定制化开发以满足应用需求。

SVDU可通过自定义安全通信协议与NASPIC平台的传输站进行网络通信，进而可将信号链路扩散至整个平台控制站，SVDU典型的通信架构如图3所示。

图3 SVDU典型通信架构Fig.3 Typical communication schematic of SVDU

SVDU往往布置在主控室，以支持定期试验、单设备操作、事故后监视等需求场景。由于SVDU已通过安全级自有协议与控制站通信，因而可以在SVDU集成通道旁通、参数旁通等按钮，以替代硬旁通面板的拨动开关，同时设计画面显示，表示旁通的状态，以替代旁通面板的指示灯。

数字化旁通信号流向可设计为：点击SVDU屏幕触发旁通指令后，旁通信号经安全级通信网络传输至数据传输站，再透传到对应的控制站，将相关信号的质量位置于坏，四取二逻辑随之发生退化，退化模式可与硬旁通方式一致，质量位为坏时，返回一个旁通功能已触发的反馈信号，点亮SVDU对应的画面，以提示操作人员旁通操作已正常下发。

对于目前拨动开关的防误旁通手段，可以在控制屏画面组态增加二次确认的窗口，避免人员误操作导致信号通道不可用。

4 两种旁通方式的对比

为了客观、全面、详细地评估数字化旁通手段替代硬接线旁通手段的可行性，两种旁通方式的对比如下：

1）安全等级

SVDU和旁通面板均为NASPIC平台已获得监管认可的核安全级产品，完整经历鉴定试验考察，并在多个安全级DCS工程供货项目验证，二者安全等级、质保等级相同，采用数字化旁通方案，不会降低设备的安全等级。

2）系统复杂度

单个保护组存在约30个参数旁通开关，旁通触发、指示灯驱动等开关量信号都需设计单独的硬接线传输信号。按单台机组估算，硬旁通面板占据400余个开关量的输入/输出信号通道。

按照华龙一号标准设计，主控室已配置SVDU，因此数字化旁通设计无需增加设备，仅需调整现有的功能划分与二次集成，增加少量的通信负荷，可节约数百个开关量输入/输出信号通道，系统架构更为简洁。

3）可维修性

硬旁通面板设计时，为防止误操作，拨动式开关带有位置自锁，改变位置状态时需要先向外拔起再进行置位操作，否则在原位拨动很容易发生拨杆断裂。当人员忽略操作细节直接切换或衣服刮蹭等无意操作时，都将导致开关损坏。当维护单个旁通开关时，繁杂密集的接线限制了人员操作空间，几乎无法独立维修，而且为避免误碰导致其他信号受到影响，需要将旁通面板的所有接线全部解列，将面板整体拆下以更换拨动开关。由于旁通面板涉及该通道安全级DCS所有的模拟量输入信号，因而维护工作的影响范围从单个信号扩大为整个通道。由于维护影响范围广，工作量大，耗时较长，对核电机组的经济性造成一定影响。SVDU为一体机设计，可整机进行替换，降低了维护的工作量，缩短了维护时间，可显著提高设备的可维护性。

按照旁通典型设计，通道旁通面板尺寸为482.6mm×44.45mm，参数旁通面板尺寸为482.6mm×176.4mm，占据机柜1/4的安装空间，取消旁通面板后，可提高整柜的可维护性。

4）设计与制造便捷性

为确保旁通面板外观的一致性与美观性，在机械加工时在固定的位置打孔以安装拨动开关，同时以丝印的方式标注信号名称，文字内容一旦丝印喷涂即无法修改，不便于后续可能存在的增减信号、名称修改等设计变更实施。采用数字化旁通手段后，当设备设计出现变更时，如增加或减少旁通信号、修改信号点名等变更修改，可直接在软件组态中修改，更为快速便捷。

从占据安装空间、占据信号通道、通信负荷变化、接线数量、制造与设计便捷度、可维护性、设备集成度等7个维度，对比两种旁通方式的特点，总结见表1。

表1 旁通手段对比Table 1 Comparison of bypass methods

5 结束语

虽然旁通功能并不直接执行核安全相关功能，但旁通功能触发会导致停堆功能逻辑退化。除此之外，XQ旁通功能是核电厂日常故障处理、定期试验等工作必需的支持手段，因此旁通功能的设计便捷程度，将影响电站的安全性和经济性。

本文提出一种基于NASPIC平台的数字化旁通的手段，将功能集成到已布置在主控室的SVDU，采用安全级网络通信替代硬旁通手段。数字化旁通节约了机柜内安装空间，系统架构更为简洁，提高了系统产品的简洁和美观程度。相比于原来的硬接线传输方式，数字化替代后，安全级网络传输信号更为稳定可靠，提高了设备的可维护性。总体来看，数字化旁通手段提高了设备集成度，大幅简化了设计、制造、检验、维护的复杂程度，具有较高的工程应用价值，对于后续华龙一号核电机组的批量建设具有一定的借鉴意义。