畅小龙（三门核电有限公司 设备管理处，浙江 台州 317112）

0 引言

三门核电的OCS系统即运行和控制中心系统，是电站数字化仪控系统的重要组成部分，处于AP1000电站仪控系统2层（电站监控层）[1]。

出于结构紧凑化设计和安全冗余配置的角度，OCS系统设计了非安全级的主控/远停切换功能，在正常运行工况下，操纵员在主控室执行电站的运行监控。发生主控撤离事件时，操纵员将主控功能切换到远程停堆室，实现安全停堆。除了非安全级切换，还有安全级硬操开关的切换，以辅助安全停堆，其主要通过硬触点在安全保护系统不同层级中触发功能，本文不做赘述。

本文将结合三门项目实际情况，对非安全切换功能进行分析，并就故障诊断给出建议。

1 主控/远停切换简介

1.1 三门项目主控/远停切换功能与布置

图1 KVM控制网构架Fig.1 KVM Control network architecture

核电站先进控制室区域主要涉及主控制室、应急控制室、技术支持中心等，主控室不可用时，一般都有应急控制室辅助完成停堆任务，应急控制室布置人机接口和后备仪表盘[2]。三门项目的应急控制室即远程停堆室。

三门项目主控室MCR配置3个操作台，1个高操台；远程停堆室RSR配置1个操作台，每个操作台都配有不同序列电源供电的两个操纵员站，每个站有两块显示器，一套鼠标键盘接口设备。

在正常运行时，MCR执行电站监控功能，所有操纵员站正常可用，RSR的操纵员站显示功能保持可用状态，但鼠标键盘不可用。

当发生MCR撤离事件时，运行人员从MCR向RSR撤离。远程停堆室RSR位于主控室MCR下方，在撤离至即将进入RSR时，通过操作楼梯旁的切换面板上的相关硬操开关，操纵员能实现MCR/RSR功能切换，通过RSR的人机接口建立并维持电厂处于安全停堆状态。

1.2 切换逻辑与信号流

通过硬操开关和画面软操两种方式均可触发相应的切换逻辑。硬切换的触发信号是由同一个切换开关的两副不同触点共同生成，任何一个触点故障都会导致对应序列的硬切换失效。

硬操切换面板为仅有的RSR相关的1E级设备，切换面板的开关触发后，触点信号由控制器机柜DPU002/DPU003采集，硬操触点信号和软操触发信号进行逻辑运算，生成执行切换对应序列的切换指令。该命令经由DPU047/DPU048机柜DO模块输出到同房间的VX80A/B中，完成切换，同时VX80将执行结果反馈给PLS，用于判断切换是否成功。

1.3 服务器配置

切换分为序列1和序列2两个序列，由切换开关PLSI和PLSII实施。远程停堆室的两个站和主控室对应站共用服务器，切换的实质只是切换人机接口的控制，即鼠标键盘的操作权限，切换后会导致主控室对应序列的所有站只可以显示。

2 MCR/RSR切换功能分析

2.1 MCR/RSR切换功能优点

2.1.1 布局紧凑，便于管理，安全可靠

非安全级主控/远停切换功能采用先进的光纤矩阵式路由器VX80和KVM技术，通过KVM网络实现切换控制，KVM控制网络如图1所示。

三门项目采用该技术，所有的服务器布置在网络柜中，不仅节省主控空间资源，也便于服务器集中管理，主控室布局更为紧凑。人机接口和服务器在空间上的隔离也确保了主控丧失时后台的可靠性。

VX80路由器接口各工作站用户端和服务器I/O端口间的映射可配置，从而实现了同一个服务器可以切换到分布在不同的工作站进行操作，同一个工作站也可以切换管理多个服务器，通过较少的资源就可以进行复杂的管理。

三门项目OCS采用的KVM型号为VEL-24DH，含有4个光纤口：L1，L3，K1，K2。KVM是显示器、鼠标、键盘和服务器接口VX80路由器的中间设备。

VX80光纤矩阵式路由器可以通过串口访问，可以通过配置访问权限密码确保安全，此外还有两种策略保证安全路由：

1）映射约束设置

80对I/O光纤端口可设置优先级1～80，输出端口只能连接到优先级不低于它的端口。优先级设置格式为：“Port direction”“Port number”“Port Priority”，并保存为csv格式的文件。其中，端口方向为i或o，即输入或输出。

2）分区设置

分区设置功能可以将VX80输入源和目标设备分区，分区后目标工作站只能接收同个分区的源计算机传输来的信号，VX80最多可以有80个分区，并且分区允许重叠。分区设置格式为：“Port”“Partition”，默认分区为1[3]。

2.1.2 冗余配置，可靠性高

冗余配置体现在以下几个方面：

◇ 切换方式冗余，有软硬切之分

MCR和RSR的两个操纵员站共享服务器，有软硬两种切换方式，硬切换面板布置在RSR外撤离楼梯口，软操界面则布置在DDS工程师站。

◇ 序列配置冗余，有两个独立的序列，由独立的VX80控制切换

主控室操纵员站和DDS服务器的配置都是冗余的两列。相应地，有两个切换开关可以独立地实现两列设备的切换，相互之间并不影响。

◇ 单开关双触点输出，通过逻辑运算防止误触发

图2 VX80路由器关键报警Fig.2 Key alarms of VX80 router

如前文所述，每个序列的硬切换开关都通过同一个开关的一副NC和一副NO触点进行输出，生成硬操触发信号，避免了单触点故障造成切换误触发。

◇ 面板门限报警和切换触发报警双重保障

切换面板布置于主控--远程撤离楼梯旁、远程停堆室门口，为了便于事故状态下迅速便捷地进行控制权的无扰切换，面板带透明窗且不设锁。虽然不设锁，但切换面板的门一旦打开，就会在主控及远程停堆室产生报警，提前提醒操纵人员注意。此外，任意一个序列触发切换同样会在主控及远程停堆室产生报警。

2.2 MCR/RSR切换功能的不足

2.2.1 VX80的维护

非安全级主控/远停切换功能的实现使用了光纤矩阵式路由器VX80。VX80为Thinklogical产品，本身带有信号端子，用于系统报警，如图2所示。

由于MCR/RSR切换功能的需求，要求VX80具有接收触点信号的能力，以便接收切换控制指令。VX80配置必须与Ovation DO输出在供电方式等接口方面兼容。

现场使用的VX80信号端子可以采集外部触点控制信号，由电厂控制系统PLS通过DO模块提供有源控制指令信号，VX80采集后触发其内部配置，通过预先配置的宏文件实现I/O光口的映射切换，从而完成MCR到RSR的功能切换。

而根据图2可知：Thinklogical标准VX80产品的信号端子只能输出触点信号，并对外提供报警信息。因此，VX80的备件需要充分考虑其改造的因素。

2.2.2 备用软切换的时效性和可达性

RSR的操纵员站和RO-A及RO-B中的操纵员站共享服务器，节约成本的同时能快速实现操纵员站控制功能的无扰切换。硬切换面板布置在RSR门外撤离楼梯旁，面板面罩含透明窗且不设锁，在可达性上非常好。

而软切接口则布置在位于附属厂房（40厂房）的DDS工程师站，距离远程停堆室有一段距离：

其一，完成操作需要的距离被拉长，耗费时间。DDS工程师站位于计算机房间，当运行人员撤离到RSR，有序列未切换成功时，首先需要确认硬切换失效的序列，再走到对应的计算机房间。从RSR走到计算机房间，耗费的时间大概是从MCR撤离到RSR的4倍。

其二，需要联系仪控工程师，耗费时间。正常运行时，工程师站并无人值班，当硬切换故障时，操纵员并不具备工程师站操作的权限，一般情况下需要通过LAN工作站查找并联系当值仪控人员进行处理，耗费时间比撤离和软切本身所花的时间还要长。

其三，登入工程师站需要耗费较长时间。正常电厂运行期间，计算机房间是锁着的。而工程师站是可以离线的，甚至关机的。工程师站有锁屏设置，需要有相应授权的人员使用特定账号密码才能登陆，这些都为快速切换造成阻碍。

2.3 常见故障及诊断

对于主控/远停操作台及其切换，调试期间由于光纤链路问题或设备问题，常出现故障。常见故障现象有：

◇ 显示器无信号

◇ 鼠标键盘无效

◇ 切换失效

在故障排查时，应对光纤及其接头给予足够的重视，光纤及其接头故障会影响信号的品质。针对上述故障，具体的排查策略如下：

1）显示器无信号

显示器无信号，故障排查策略应该为：

①显示器/服务器电源→②服务器运行确认→③VX80运行确认→④KVM配置确认→⑤电缆/光纤线路连接检查

2）鼠标键盘无效

鼠标键盘失效，故障排查策略为：

①鼠标键盘功能确认→②VX80运行确认→③切换状态检查→④鼠标键盘信号传输光纤连接检查

3）切换失效

切换失效处理应该从切换实现的整个链路考虑，排查策略为：

①采集硬操触点信号的PLS卡件检查→②切换指令输出PLS卡件检查→③VX80运行检查→④光纤连接检查

3 结语

工程调试和运行阶段，OCS系统始终处在核心地位，承担着监控现场工艺系统的重要功能。MCR/RSR切换功能对于保证OCS功能完整性、稳定性特别重要，对于运行人员在主控撤离发生时管理电站，实现安全停堆意义重大。相信随着不断地总结和发展，切换功能必会更加稳定可靠地保障电站安全运行。