关键词：核电站;数字化;冗余性;多样性;拓扑结构;共模故障
0 引言
由于核电站对核安全的特殊要求，一直以来核电站大都采用传统的模拟控制系统，数字化仪控系统在核电站的应用较少，以分散控制系统（DCS）为设计思想的数字化控制系统在常规火电厂得到了普遍应用 [7]。随着计算机软硬件的快速发展，数字化仪控系统所具有的开放性、高可靠性、快速性和可操作性逐渐被认可，同时由于数字化仪控系统可靠性的逐步提高以及使用经验的积累，核电站采用数字化控制系统成为可能，是发展趋势。目前，已经采用全范围数字化控制系统的核电站有田湾核电站、岭澳一期核电站常规岛系统和设备[4,5]。数字化控制系统具有常规模拟量控制系统无法比拟的优越性，也是提高核电站综合自动化水平的必要手段。作为核电站最重要系统之一，反应堆保护系统逐步采用数字化保护系统已成为趋势，它是核电站全范围DCS的安全级部分。目前在建的核电站，例如岭澳二期、红沿河核电站、宁德核电站等，均采用数字化反应堆保护系统。
1 反应堆保护系统
1.1. 功能
反应堆保护系统是核电站最重要的安全系统，属于核电厂1E级电气设备，它包括紧急停堆系统和专设安全设施驱动系统。反应堆保护系统监测与反应堆安全有关的参数，当这些参数超过预设的保护定值时，自动触发紧急停堆及启动相应专设安全设施，以限制事故的发展和减轻事故后果，防止放射性物质向周围环境释放，保证核电站设备和人员的安全。同时还应向操作人员提供手动控制手段和相关系统和设备状态信息。
1.2. 设计准则
反应堆保护系统设计应遵循如下准则[1]：自动保护、单一故障准则、多样性、可试验性以及独立性原则等。“单一故障准则”是指单一保护系统通道或系统部件故障都不得妨碍保护系统的正常动作，要满足单一故障准则，反应堆保护系统应具有足够的冗余度;通过功能多样性和设备多样性来避免共模故障是核电站仪控设计的基本原则之一[6];“故障安全准则”是指在失去能源条件下能够发生停堆，系统通道或部件发生故障时，不需要采取任何操作而使保护系统的功能处于安全状态。
2 宁德核电站数字化反应堆保护系统设计
2.1 总体结构
宁德核电站反应堆保护系统采用日本三菱公司的MELTAC-Nplus R3系统，主要完成核安全级系统和设备控制功能，如反应堆跳闸保护逻辑、专设安全设施驱动、事故后监测等，它是一体化全范围DCS系统的安全级部分，其总体结构见图1。
图1 数字化反应堆保护系统结构示意图
为满足保护系统各方面的设计要求，宁德核电站反应堆保护系统总体结构采用A、B两列，四个冗余的保护测量通道，两个冗余的逻辑处理单元，在列与列、通道与通道之间，实现物理与电气隔离[2]，具有独立性，互不影响。数字化反应堆保护系统主要包括：安全级的测量仪表、反应堆保护柜（RPC）、专设安全设施驱动柜（ESFAC）、安全逻辑机柜（SLC）、通讯网络、多样性驱动系统（DAS）及停堆断路器等。
在安全级测量仪表与数据采集通道之间、逻辑处理输出与停堆断路器之间、主控室手动控制设备与保护系统之间采用硬接线方式连接，其它均采用网络方式通讯，网络采用双网冗余环形拓扑结构。
2.2 安全级显示单元（SVDU）
采用SVDU是本系统的一大特点，SVDU是三菱公司基于最小化后备盘思想而设计的，SVDU具有触摸屏功能，主要用来控制安全级设备的操作。运行操作人员从NC-VDU调用安全级设备，通过网络将调用信号传送至SVDU，在SVDU上弹出操作面板，运行操作人员利用触摸功能实现对对象的控制。本系统共有16个SVDU，分别分布在后备盘（BUP）、操作台（OWP）、远程停堆站（RSS）上，为满足不同功能需求，三种SVDU的人机界面不尽相同。
2.3 反应堆保护柜（RPC）
每个保护通道由一组反应堆保护柜（RPC）及相关联设备组成，每组反应堆保护柜（RPC）包含了两个处理器子组，每个子组处理器冗余配置。RPC对传感器输入信号进行采集、运算处理，产生触发信号分别送往紧急停堆断路器和专设安全设施驱动系统，使反应堆紧急停堆，并根据需要驱动专设安全设施。RPC有四个通道，每个通道通过接受其它通道的触发信号进行4取2逻辑表决，产生反应堆跳闸信号。每通道输出通过硬接线输出信号至相应的停堆断路器，每个通道驱动两个停堆断路器。RPC保护通道之间进行电气及实体隔离，通道之间相互独立，互不影响。
2.4 安全专设驱动机柜（ESFAC）
ESFAC通过接收RPC信号并进行4取2逻辑表决完成系统级的逻辑驱动，同时ESFAC也接受来自后备盘、紧急操作盘手动控制信号。
2.5 安全逻辑控制柜（SLC）
SLC逻辑子系统通过接收系统级ESFAC逻辑驱动信号及其它系统信号（包括控制室手动指令）完成部件级的逻辑控制，并从DO输出卡件输出驱动信号至PIF卡控制现场安全级设备。
2.6 网络结构
宁德核电数字化反应堆包含系统有Safety Bus、Safety System Bus和HM Data Bus三个网络，其中Safety Bus属于IE级， Safety System Bus和HM Data Bus属于NC级，但三种网络的物理结构相同，都为双层网，拓扑结构采用双网冗余环形结构。双层网可靠性高，双层网之间相互冗余备用，当单层网络中有一处发生故障时，另一层网络起作用，不会导致整个网络瘫痪，不会影响数据传输，保证了系统的安全。
2.7 多样性驱动系统（DAS）
多样性驱动系统（DAS）由多样性驱动机柜、后备操作盘及紧急操纵盘相关设备组成，多样性驱动机柜由基于模拟技术的卡件组成，后备盘和紧急操纵盘由硬接线开关和继电器等组成，DAS为数字化反应堆保护系统共模故障提供多样性后备。
2.8 优选逻辑控制模块（PIF）
PIF卡安装在SLC机柜里，其主要功能为逻辑优选。PIF卡分别接受来自SLC机柜、后备盘（BUP）、紧急操作盘（ECP）的信号，这些信号经过PIF卡的优选逻辑选择后直接控制现场安全级设备。
2.9 停堆断路器
停堆断路器有8个，A、B列各4个，A列为AX、AX′AY、AY′;B列为BX、BX′BY、BY′，每个通道的跳堆信号驱动2个断路器，8个（4组）断路器接点通过硬接线方式实现“四取二”逻辑跳堆,断路器硬接线连接见“图2”。
图2 紧急停堆断路器硬接线连接图
当4个通道任何两个通道有跳堆信号，对应断路器接点断开，切断棒控系统电源，使控制棒落入堆底，实现紧急停堆。
停堆断路器除接受来自数字化保护系统自动停堆信号外，还直接接受来自紧急控制盘（ECP）的手动停堆信号，实现反应堆保护的多样性。
2.10 系统接口
数字化反应堆保护系统与其它系统或设备的接口设计原则：连锁保护信号采用硬接线方式;安全级参数通过网络传输到NC-VDU进行显示;重要1E级显示参数通过硬接线送到后备盘（BUP）常规指示仪表或PAMS系统显示。
3 定期试验（T1、T2、T3）
反应堆保护系统设计必须允许在功率运行期间从传感器到最终的执行元件输入信号的所有环节进行试验和检查，保护系统的试验不得影响保护系统的正常保护功能，这种试验不会引起保护动作，除非实际存在实际保护的工况[3]。
宁德核电站数字化反应堆保护系统具有可试验性，能够完成从传感器输入、逻辑运算到驱动执行机构完整试验，定期试验内容包括T1、T2、T3三个部分，定期试验示意图见“图3”
图3数字化反应堆保护系统定期试验示意图
3.1 T1试验
T1试验是对反应堆保护系统模拟量保护通道试验，主要包括参数互校 、探头校验等。
3.2 T2试验
T2试验是对反应堆保护系统逻辑量保护通道的试验。
3.3 T3试验
T3试验是对反应堆保护系统执行器及保护信号输出功能试验，包括三个方面的内容：
Ø T3-1：停堆功能测试，通过断路器定期试验完成;
Ø T3-2：SLC和ESFAC功能试验，可以真正触发部分试验;
Ø T3-3：SLC和ESFAC功能试验，正常运行期间不能真正动作的执行器，运行期间定期进行连续性试验，大修期间执行真正动作试验。
4 结论
宁德核电站反应堆保护采用数字化保护系统，为防止共模故障，采用ATWS、ECP等多样性[6]系统作为后备，系统设计满足单一故障、多样性、独立性以及可试验性等设计准则，其设计思想和理念具有科学性、先进性，值得其它新上马核电站借鉴。反应堆保护采用数字化保护系统是趋势，但鉴于反应堆保护系统的高安全性、高可靠性，以及目前我国安全级数字化控制系统的设计、制造水平较低，数字化反应堆保护系统还没有实现国产化，国外系统价格比较昂贵，且备品备件容易受制于人，因此，实现数字化反应堆保护系统的国产化将是我国自动化控制系统科技人员的使命和目标。
5 参考标准及文献
[1] GB/T 13629-2008 . 核电站安全系统中数字计算机的适用准则.
[2] GB/T5963-1995，反应堆保护系统的隔离准则.
[3] GB5204-94. 核电厂安全系统的定期试验与监测.
[4] 伍广俭，卓文标. 岭澳核电站常规岛控制系统的技术特点[J]. 广东电力，2003，16（1）：23-26,45.
[5] 伍广俭. 分散控制系统在核电站常规岛的应用[J]. 电力建设，2001，22（9）：52-55,59.
[6] 曹建亭. 采用DCS实现核电站多样性保护控制分析.现代电力，2007年 第24卷第06期.
[7] 印江，冯江涛. 电厂分散控制系统[M]. 北京：中国电力出版社，2006.
