核電廠儀表和控制系統(tǒng)縱深防御與多樣性分析
相關(guān)鏈接： 中國安全網(wǎng) 中國質(zhì)量網(wǎng) 中國論文網(wǎng) 中國資訊網(wǎng)
陳輝峰
(深圳中廣核工程設(shè)計有限公司上海分公司，上海200241)
摘 要：縱深防御與多樣性準(zhǔn)則貫穿于核電廠安全有關(guān)的所有活動中，儀表和控制系統(tǒng)作為核電廠的重要組成部分也不例外。基于NUREC/CR 6303對縱深防御和多樣性的技術(shù)要求，研究和總結(jié)了兩者之間的關(guān)系，并結(jié)合核電廠儀表和控制系統(tǒng)結(jié)構(gòu)，分別從縱深防御應(yīng)用以及多樣性在系統(tǒng)間和系統(tǒng)功能中的應(yīng)用等方面進行分析，認為在設(shè)計過程中引入縱深防御與多樣性準(zhǔn)則是非常必要的。通過在功能和系統(tǒng)設(shè)備中設(shè)置多重屏障和多樣化，可以有效地提高核電廠的安全性能，并且防止?jié)撛诠收系陌l(fā)生。
關(guān)鍵詞：核電廠數(shù)字化儀表和控制縱深防御安全系統(tǒng)可靠性
中圖分類號：TH7 文獻標(biāo)志碼：A DOI：10. 16086/j．cnki. issnl000 - 0380. 201511032
Abstract: Depth-in-defense and diversity criterion are throughout all the activities related to the safety of nuclear power plant, as one of the important components of the nuclear power plant, instrument and control( I&C) systems are not excluded. Based on NUREG/CR 6303, the technical requirements of depth-in-defense and diversity, the relationship between them is researched and summarized. In accordance with the structure of I&C system of nuclear power plant, the apprication of depth-in-defense and the application of diversity among systems and systematic functions are analyzed respectively; it is considered that introducing depth-in-defense and diversity criterion in design process is necessary. By setting up multiple barriers and diversification in functions and system equipment may effective improve the safety performance of nuclear power plant, and prevent occurrence of potential failures.
Keywords: Nuclear power plant Digital I&C system Depth in defenseSecurity systemReliability
O 引言
在核電廠中，縱深防御與多樣性( depth-in-defenseand diversity，D3)準(zhǔn)則貫徹于安全有關(guān)的所有活動中，包括與組織、人員行為或設(shè)計有關(guān)的各個方面，以確保這些活動均置于重疊措施的防御之下，即使有一種故障發(fā)生，它將由適當(dāng)?shù)拇胧┨綔y、補償或糾正。在整個核電廠設(shè)計和運行中始終貫徹縱深防御，以便對由廠內(nèi)設(shè)備故障或人員活動及廠外事件等引起的各種瞬變，預(yù)計運行事件及事故提供多層次的保護。作為核電廠重要組成部分的儀表和控制（instrumentation and control，I&C）系統(tǒng)，在設(shè)計和運行過程中也需要遵守lB設(shè)計準(zhǔn)則。本文將基于NUREG/CR 630B（反應(yīng)堆保護系統(tǒng)執(zhí)行多樣性和縱深防御分析方法）中對于lB的相關(guān)規(guī)定，并結(jié)合核電廠I&C系統(tǒng)的結(jié)構(gòu)，對IB在I&C系統(tǒng)中的應(yīng)用進行分析和總結(jié)。
1 D3技術(shù)分析
D3存在兩層概念，即縱深防御和多樣性，NUREC/CR 6303將縱深防御定義為保護屏障或手段的同心布置，僅當(dāng)這些屏障或手段遭到破壞時，有害的物質(zhì)或危險的能量才會對人類或環(huán)境造成不利的影響。對于I&C系統(tǒng)而言，縱深防御的理念貫穿于整個I&C系統(tǒng)，包括控制系統(tǒng)、停堆系統(tǒng)、專設(shè)安全設(shè)施系統(tǒng)( engineered safety feature，ESF)和監(jiān)測指示系統(tǒng)。當(dāng)控制系統(tǒng)發(fā)生失效事件時，那么反應(yīng)堆停堆系統(tǒng)就需要啟動緊急停堆；當(dāng)控制系統(tǒng)和反應(yīng)堆停堆系統(tǒng)失效時，那么ESF作為實體屏障通過冷卻堆芯和相應(yīng)的輔助設(shè)備來繼續(xù)支持和阻止放射性的釋放。在上述三道屏障相繼失效之后，第四道屏障監(jiān)測和指示系統(tǒng)進行事故后的監(jiān)測和全廠的應(yīng)急指揮。執(zhí)行上述四道屏障所需的信息來自于各防御層次的傳感器測量參數(shù)以及反饋信息，然后才能根據(jù)具體的參數(shù)來確定執(zhí)行相關(guān)預(yù)期功能的時機。在縱深防御層次的設(shè)計和實現(xiàn)過程中，需要特別關(guān)注的是相同的傳感器故障或其直接后果會導(dǎo)致多道屏障完整性破壞的風(fēng)險，因此需要在核電廠的縱深防御層次之間和層次內(nèi)的設(shè)計中引人多樣性的設(shè)計原則。
多樣性作為縱深防御原則的補充，增加了在需要啟動特定縱深防御層時的幾率。多樣性一般分為六種類型，即人員多樣性、設(shè)計多樣性、軟件多樣性、功能多樣性、信號多樣性設(shè)備多樣性。多樣性原則通常體現(xiàn)在不同技術(shù)、邏輯或算法，或者使用不同驅(qū)動手段來提供檢測和響應(yīng)重要事件等方面。多樣性是防止?jié)撛诘墓收习l(fā)生的一個有效的手段，它一般體現(xiàn)在冗余或獨立設(shè)備之間。
2 I&C系統(tǒng)結(jié)構(gòu)分析
核電廠I&C系統(tǒng)結(jié)構(gòu)如圖1所示，其由兩個主要部分組成，這兩部分由數(shù)據(jù)通信網(wǎng)絡(luò)分隔開。
數(shù)據(jù)通信網(wǎng)絡(luò)上方包括控制室和電廠控制、運行所需要的服務(wù)器等人機接口系統(tǒng)設(shè)備�？刂剖抑饕峁┌踩壓头前踩壍目刂坪惋@示設(shè)備，以實現(xiàn)必要的操作、顯示和報警功能。服務(wù)器主要提供數(shù)據(jù)的處理、存儲和記錄等功能。數(shù)據(jù)通信網(wǎng)絡(luò)下方主要包括控制設(shè)備和工藝接口設(shè)備，中間是反應(yīng)堆保護系統(tǒng)，其執(zhí)行反應(yīng)堆停堆（reactor trip，RT）、ESF和安全級數(shù)據(jù)顯示功能。I&C系統(tǒng)執(zhí)行的RT和ESF功能以及與它們相關(guān)的傳感器和RT開關(guān)設(shè)備大部分都設(shè)置為四路冗余，其使用的傳感器和執(zhí)行器為安全級，在圖l中用虛線框表示。反應(yīng)堆保護系統(tǒng)的右側(cè)和左側(cè)分別為電廠控制系統(tǒng)和多樣化驅(qū)動系統(tǒng)，電廠控制系統(tǒng)主要實現(xiàn)正常的反應(yīng)性控制和反應(yīng)堆的正常啟停，其使用的傳感器和執(zhí)行器為非安全級，在圖1中用實線框表示。多樣化驅(qū)動系統(tǒng)是一個獨立于DCS平臺的系統(tǒng)，其主要承擔(dān)因反應(yīng)堆保護系統(tǒng)發(fā)生共因故障( commoncause failure，CCF)而失效后的RT和選定的ESF功能，其通常使用專用的、與全廠I&C系統(tǒng)存在差異的平臺技術(shù)并設(shè)置專用的傳感器（在圖1中用雙點畫線框表示）。反應(yīng)堆保護系統(tǒng)與電廠控制系統(tǒng)之間存在少量的數(shù)據(jù)交換，而多樣化驅(qū)動系統(tǒng)與這兩個系統(tǒng)之間不存在直接的數(shù)據(jù)交換。
3 D3在I&C系統(tǒng)中的應(yīng)用分析
3.1縱深防御應(yīng)用分析
控制系統(tǒng)層的功能主要由非安全級的電廠控制系統(tǒng)來實現(xiàn)。電廠控制系統(tǒng)主要是在電廠正常工況下維持電廠在正常運行限值內(nèi)，并且對電廠狀態(tài)保持持續(xù)的檢測。如果電廠的運行偏離了正常運行限值，控制系統(tǒng)在它的控制范圍內(nèi)進行控制調(diào)節(jié)并予以糾正，以避免觸發(fā)RT和ESF等安全設(shè)施。反應(yīng)堆停堆層的功能主要由安全級的反應(yīng)堆停堆系統(tǒng)中的RT功能來實現(xiàn)；同時，非安全級的多樣化驅(qū)動系統(tǒng)也提供自動的RT功能。在該防御層中，雖然反應(yīng)堆保護系統(tǒng)和多樣化驅(qū)動系統(tǒng)都可以實現(xiàn)該層的功能，但它們實現(xiàn)RT功能的手段存在差異，這體現(xiàn)了多樣性原則，這里主要采用了設(shè)計多樣性、信號多樣性和設(shè)備多樣性等。專設(shè)安全設(shè)施驅(qū)動系統(tǒng)層主要由安全級的反應(yīng)堆停堆系統(tǒng)中的ESF自動驅(qū)動功能來實現(xiàn)；同時，非安全級的多樣化驅(qū)動系統(tǒng)也為部分指定的ESF部件驅(qū)動子設(shè)備提供自動驅(qū)動能力，這同樣體現(xiàn)了多樣性的原則。監(jiān)測與指示層由非安全級的服務(wù)器和安全級的反應(yīng)堆保護系統(tǒng)數(shù)據(jù)顯示設(shè)備提供。由監(jiān)測和指示層執(zhí)行的安全手動RT和手動ESF驅(qū)動功能包括在反應(yīng)堆保護系統(tǒng)中，非安全級的多樣化驅(qū)動系統(tǒng)也提供手動RT和手動ESF驅(qū)動能力，這同樣也體現(xiàn)了多樣性的原則。表1給出了核電廠I&C系統(tǒng)與四個縱深防御分層之間的對應(yīng)關(guān)系。
3.2多樣性應(yīng)用分析
3.2.1 系統(tǒng)間多樣性應(yīng)用分析
系統(tǒng)間多樣性特性如圖2所示。圖2給出了電廠控制系統(tǒng)、反應(yīng)堆保護系統(tǒng)和多樣化驅(qū)動系統(tǒng)之間的關(guān)系以及實現(xiàn)自動和手動功能的多樣性手段。同時，圖2也給出了自動RT和ESF驅(qū)動的多樣性信號源以及操縱員顯示，以及手動控制和操縱員動作所需的顯示。電廠控制系統(tǒng)、反應(yīng)堆保護系統(tǒng)和多樣化驅(qū)動系統(tǒng)分別采用各自專用的傳感器進行信號采集，并將信號送到自動邏輯單元進行處理，然后進行執(zhí)行器的控制，并將必要的信號送到主控室進行顯示。電廠控制系統(tǒng)的所有數(shù)據(jù)和反應(yīng)堆保護系統(tǒng)的部分?jǐn)?shù)據(jù)（在實際的核電廠中設(shè)置有單向的網(wǎng)關(guān)，其通過網(wǎng)關(guān)再到數(shù)據(jù)通信網(wǎng)）均通過數(shù)據(jù)通信網(wǎng)進行傳輸，然后在控制室行非安全級的顯示。在主控室設(shè)置有安全級的顯示設(shè)備，用于反應(yīng)堆保護系統(tǒng)在控制室內(nèi)的安全級顯示，安全級顯示使用反應(yīng)堆保護系統(tǒng)內(nèi)部的專用網(wǎng)絡(luò)進行傳輸。為了充分利用現(xiàn)有的設(shè)備，電廠控制系統(tǒng)需要的安全級傳感器信號來自于反應(yīng)堆保護系統(tǒng)進行采集和處理之后的數(shù)據(jù)。多樣化驅(qū)動系統(tǒng)則是一套獨立的系統(tǒng)，其從傳感器的數(shù)據(jù)采集、數(shù)據(jù)處理到最終的主控室顯示和對執(zhí)行器的操作均獨立于其他系統(tǒng)。
3.2.2功能中多樣性應(yīng)用分析
多樣性主要存在于安全級功能中，且在RT功能中應(yīng)用的最為典型。RT的主要功能是將反應(yīng)堆及時地引入次臨界狀態(tài)，并維持足夠的RT裕量。RT功能通常是通過控制棒的步進方式或自由落體的落棒方式將控制棒插入堆芯。
①電廠控制系統(tǒng)采用自動模式以控制棒步進方式插入堆芯，實現(xiàn)正常的RT功能。電廠控制系統(tǒng)也提供手動插入控制棒的RT功能。電廠控制系統(tǒng)的自動、手動RT功能均直接通過控制棒驅(qū)動機構(gòu)(control rod drive mechanism，CRDM)來實現(xiàn)。
②反應(yīng)堆保護系統(tǒng)通過反應(yīng)堆停堆斷路器實現(xiàn)落棒，從而實現(xiàn)自動RT功能。當(dāng)反應(yīng)堆停堆斷路器打開時，CRDM失電且控制棒通過重力產(chǎn)生的自由落體插入堆芯。反應(yīng)堆保護系統(tǒng)還提供手動RT功能，其直接與反應(yīng)堆停堆斷路器接口。
③多樣化驅(qū)動系統(tǒng)通過給CRDM供電的控制棒驅(qū)動電動／發(fā)電機組斷電來實現(xiàn)自動RT功能。這種間接通過CRDM停堆與前述的直接通過CRDM來實現(xiàn)停堆的方式之間存在多樣性，與直接打開停堆斷路器使CRDM失電的方式具有相同的作用。多樣化驅(qū)動系統(tǒng)也具有通過使控制棒驅(qū)動電動／發(fā)電機組斷電的手動停堆功能。
圖3給出了觸發(fā)RT的多樣性系統(tǒng)設(shè)備之間的關(guān)系。
4結(jié)束語
基于NUREG/CR 6303中的相關(guān)規(guī)定，對核電廠I&C系統(tǒng)縱深防御與多樣性的應(yīng)用進行分析和研究，認為在設(shè)計過程中引入D3的設(shè)計是非常有必要的。核電廠I&C系統(tǒng)通過設(shè)置多重屏障和多樣化的系統(tǒng)設(shè)備和功能，可以有效地提高核電廠的安全性能，并防止?jié)撛诠收系陌l(fā)生。同時，系統(tǒng)提高了核電廠的可用性和經(jīng)濟性，增加了核電廠的安全性，從而減少核電廠事故的發(fā)生概率，降低了其對人類和環(huán)境的威脅。
