摘要：海阳核电厂一期工程两台机组采用AP1000核电技术。本文假定EDS1发生故障，重点从PMS机柜供电、ComQ与Ovation平台间信号隔离模块失电影响以及PLS侧信号联锁逻辑开展分析，并给出可能避免此类影响发生的解决方案。

关键词：ComQ平台，Ovation平台，信号传输，故障分析

1引言

AP1000保护与安全监测系统（PMS）主要用于监视机组关键参数，探测机组异常状态，通过触发紧急停堆及相应专设安全设施，使机组处于安全状态，该功能由ComQ平台执行。电厂控制系统（PLS）主要用于完成反应堆及汽机相关控制功能，该功能由Ovation平台执行。ComQ与Ovation平台间信号传输通过隔离模块完成单向传输，而信号隔离模块则由EDS1和EDS2通过PMS系统SOE机柜提供供电。EDS故障将导致ComQ与Ovation平台间信号传输异常，从而对机组控制产生影响。

2系统介绍

AP1000仪控系统主要由ComQ平台和Ovation平台组成，两个平台间的接口涉及EDS系统供电，以下将分别对此进行介绍。

2.1 ComQ平台

保护与安全监视系统基于ComQ平台实现，属1E级，设备具有抗震要求。该平台配置有四个冗余序列，基本停堆及专设驱动逻辑为四取二。主要用于完成监测电厂关键参数、触发反应堆停堆、驱动专设安全设施动作以及事故后监视等安全功能。

2.2 Ovation平台

电厂控制系统、数据处理和显示系统等基于Ovation平台实现，属非1E级。Ovation硬件主要由控制器、操作员站、工程师站、历史站以及I/O模件等组成。主要用于完成电厂参数控制、为操纵员提供人机接口、为维护人员提供人机接口以及电站参数历史信息的存储和调用等功能。

2.3 EDS供电系统

PMS系统A序列和C序列的SOE机柜均由EDS1供电，PMS系统B序列和D序列的SOE机柜均由EDS2供电。

3ComQ与Ovation平台间的信号隔离模块失电故障影响

ComQ和Ovation两个平台通过隔离器实现彼此间信号的传输，以支持各自系统完成其相关功能。信号传输方式主要如下图所示：

由于PMS系统A序列和C序列的SOE机柜均由EDS1供电，因此EDS1故障导致PMS系统A和C列SOE机柜同时失电，由SOE机柜供电的信号隔离模块均失电。

3.1 ComQ至Ovation平台的信号传输

3.1.1现场传感器信号直接送至Ovation

现场传感器信号未经处理器补偿计算便送往保护和安全监视系统处理的同时，通过I/I隔离器将4-20mA标准电流信号送至电厂控制系统用于完成控制功能。该隔离器由事故序列记录机柜供电，为非1E级直流供电。

EDS1故障失电将导致A和C序列SOE机柜失电，从而导致隔离器失电，PMS经隔离器送至PLS的信号变为0mA，此类信号由于超量程变为坏点。主要涉及以下信号：

A和C序列稳压器压力信号由15.41MPa 瞬间降为10MPa，PLS侧的信号中选值降至低于报警值，备用电加热器全部自动投入运行，喷淋阀被关闭，稳压器压力升高;随后，A和C序列稳压器信号变为坏点，导致备用电加热器和喷淋阀切换为手动控制，操纵员手动控制稳压器压力;

A和C序列SG窄量程液位信号变坏点，基于三取中逻辑判断，主给水调节阀和启动给水调节阀切换至手动控制，直至A和C序列的EDS恢复供电;

A和C序列SG蒸汽管线压力信号变坏点，基于三取中逻辑判断，大气释放阀切换至手动控制，直至A和C序列的EDS恢复供电;

3.1.2现场传感器信号经ComQ处理后送至Ovation

现场传感器信号经ComQ处理后，部分信号需发送至电厂控制系统用于完成控制功能。这些信号通过E/I隔离器和D/D隔离器发送至电厂控制系统。

E/I隔离器由事故序列记录机柜供电，为非1E级直流供电。若EDS1失电，则会造成A和C序列的此类隔离器失电，导致隔离器输出信号值异常。主要包括以下信号：

A和C序列PR功率瞬间由98%变为0且变为坏点，由于PLS侧逻辑为剔除差异最大一个序列后的三取中，故其输入核功率瞬时降为0，导致控制棒切换至手动控制;

A和C序列的RCS平均温度变为坏点，导致ALR自动退出。

稳压器液位信号由正常值瞬间降至低于下限且变为坏点，短时造成稳压器液位低，导致稳压器自动控制功能丧失。

D/D隔离器不由SOE机柜供电，因此若EDS1失电，并不会造成该隔离器失电，包括影响E/I信号质量的ICP处理器健康状态信号。

3.1.3ComQ信息通过网关送至Ovation

ComQ传输至Ovation的狀态点、报警、显示、及计算机点等对响应时间要求不很高的信号通过它们间的网关来进行传输，通过光纤实现两个平台间的信息单向传输。由于网关信号传输均与EDS无关，因此若EDS1失电，对此类信号传输无影响。

3.1.4ComQ的保护驱动信号通过高速数据总线发送至事故序列记录子系统打时间标记并送至Ovation

保护和安全监测系统运行过程中产生的单序列局部停堆信号、系统级停堆信号及系统级专设驱动信号会通过高速数据总线送至事故序列记录子系统打时间标记，并通过Ovation的事故序列记录卡件将信号传输至服务器进行存储。

若EDS1失电，则将导致A和C序列的SOE机柜失电，故A和C序列的事故序列记录功能丧失，但不影响安全功能。

3.2Ovation平台至ComQ平台的信号传输

3.2.1 Ovation平台发送信号至ComQ平台用于设备现场设备控制

电厂控制系统将对就地设备的控制信号通过光纤发送至ComQ平台的远程节点控制器，繼而发送至设备接口模件，与保护和安全监测系统对就地设备的控制信号一同完成对就地设备的控制功能。

若EDS1失电，则仅造成PLS机柜丧失冗余供电，并不会影响其正常执行控制功能，故该功能不会受影响。

3.2.2 Ovation平台发送现场设备状态至ComQ平台

部分非1E级就地设备将状态反馈信号先送至电厂控制系统，然后通过D/D隔离器送至保护和安全监测系统用于相关的保护功能驱动。

若EDS1失电，则仅会造成PLS机柜丧失冗余供电，并不会影响其正常执行控制功能，故该功能不会受影响。

4基于假定故障现象产生影响分析的优化方案

方案一：将PMS系统四个序列SOE机柜共享两路EDS供电改为由四个单独的EDS进行供电。如单独一个EDS失电，仅有一个PMS序列的SOE机柜及信号隔离模块失电，不会对机组工艺系统控制造成影响;

方案二：将PMS系统SOE机柜失电报警信号作为该PMS序列发送至PLS侧信号的质量位信号。由PLS充分利用该信号对PLS侧信号质量位进行辅助判定，且PLS对该质量位信号的采集速度及响应优先于通过I/I隔离器和E/I隔离器传输的工艺信号，确保如SOE机柜发生断电情况下，PLS侧在收到工艺信号变化前优先通过质量位信号将PLS侧相关信号变为坏点，PLS中选控制逻辑优先将变为坏点的工艺信号剔除，避免影响控制功能;

方案三：将由PMS系统经信号隔离模块送至PLS侧的模拟量冗余信号中值选择逻辑进行优化。由于隔离模块失电后传输至PLS侧的信号将变为0mA，因此可将此类冗余信号选择逻辑由中值选择改为四取第二大，即使出现两个序列SOE机柜同时失电的情况，选择逻辑也可将异常信号自动剔除，从而确保控制输出不受影响。

5小结

ComQ平台主要用于实现反应堆保护及事故后监测功能。Ovation平台主要用于完成反应堆及汽机相关控制功能。1E级设备平台与非1E级设备平台间通过隔离器实现数据单向传输。作为ComQ平台，除仅接收一小部分设备状态反馈信号外，其安全功能的执行几乎不依赖于非1E级信号，从而能更加独立可靠的完成其安全功能。两个平台间信号绝大部分是由保护系统送至控制系统。因此，假定的EDS1断电对保护功能执行无直接影响，但A和C两个序列隔离器失电，导致PLS侧控制功能受影响。本文提出三种优化解决当前EDS失电带来问题的解决方案，对后续问题解决提供思路。

参考文献

[1]冀焕青. AP1000核电站数字化反应堆保护系统 [J]. 自动化与仪表. 2013 （02）

[2]林诚格. 非能动安全先进核电厂AP1000 [J]. 原子能出版社. 2008

[3]张淑慧，任永忠. AP1000核电厂仪控系统介绍 [J]. 自动化仪表. 2010 （10）

[4]李蔚，吴帆，王峰. AP1000全数字化仪控系统安全分析[J]. 电力安全技术. 2006 （06）

[5]周晓宁. AP1000与ERP仪控系统平台对比分析 [J]. 电力与能源. 2014 （12）

注：赵瑜龙：仪控维修处