徐 颖，王志先，张 强，许金泉

（中广核工程有限公司核电安全监控技术与装备国家重点实验室，广东 深圳 518172）

中国改进型三环路压水堆（CPR1000）电动主给水泵系统（APA）是核电厂二回路的关键系统，承担向蒸汽发生器二次侧供水的重要功能，其中每台机组配置三台电动主给水泵，单台泵承担向蒸汽发生器最大供水量的50%，正常功率运行时，两台主给水泵运行，一台作为备用，当其中一台运行泵跳泵后，要求备用泵立即自动启动，以确保对蒸发器二次侧存在足够的供水能力，若备用泵联启失败将导致机组快速甩负荷、蒸发器水位大幅波动甚至跳机跳堆等严重瞬态。2018 年2 月和2019 年12 月，CPR1000 H 核电厂1 号机组和L 核电厂4 号机组APA 系统分别发生因泵转速异常下降和电气盘差动保护跳泵而未联启备用泵的运行事件，虽因操纵员干预而未出现跳机跳堆等严重后果，但也造成机组快速降负荷、堆芯短时超功率、反应堆轴向功率偏差（ΔI）短时超限、蒸发器水位下降频临跳堆阈值等不良影响，给机组安全稳定运行带来很大风险。因此有必要以该运行事件为背景，研究CPR1000 主给水泵系统跳泵及联启逻辑的设计和组态实现方式，针对性提出改进措施并验证。

1 主给水泵跳泵及联锁启动逻辑概述

电动主给水泵组由前置泵、电动机、液力耦合器和压力级泵串联组成，电动机驱动压力级泵和液力耦合器，液力耦合器也叫液力联轴器，主要作用是传递电动机扭矩并驱动压力级泵。主给水泵转速控制系统通过调节液力耦合器中泵轮和涡轮间进油勺管的位置来控制电动机至压力级泵的传递功率，达到调节压力级泵转速的目的，最终将蒸发器给水母管与蒸汽母管之间压差维持在随负荷变化的整定值附近。正常功率运行时，两台主给水泵运行，一台作为备用，当一台运行泵跳泵后，备用泵将自动联锁启动，迅速调节给水母管与蒸汽母管压差，维持蒸发器给水流量，如备用泵无法正常联启，将触发汽轮机快速甩负荷（RB：Run Back）信号，机组以200%FP/min（FP：Full Power）速率快速降负荷至50%FP 功率平台，如初始功率大于80%FP，反应堆控制系统无法将机组稳定在50%FP，蒸发器水位会持续下降直至触发低低水位跳堆阈值（-1.26 m），如操纵员能够及时手动启动备用泵并进行相应干预，在干预期间也极易造成蒸发器水位大幅波动、一回路过冷、轴向功率偏差大等超出运行规范的情况。

为保护泵组各设备运行安全并维持对蒸发器持续稳定的供水能力，系统设计了一套保护跳泵和备用泵联启逻辑并通过数字化仪控系统（DCS）实现其功能。保护跳泵信号采用双通道冗余设计，包括给水泵润滑油压力低低、前置泵推力瓦温度高高、压力级泵推力瓦温度高高、给水泵液力耦合器推力瓦温度高高、泵出口压力低低等，当主给水泵保护跳泵后，系统将自动联启备用泵。为应对因电气盘和设备本体故障而发生的异常跳泵，系统同时设计了泵运行失效信号（Failed）联启备用泵的逻辑，总体逻辑简图如图1 所示。

2 H 核电厂1 号机联启失败事件分析及改进

2.1 事件过程

2018 年2 月20 日1 点40 分，H 核电厂1号机组在满功率运行工况下，主给水泵APA102PO 因液力耦合器勺管位置传感器故障，导致泵转速控制系统失效，在7 秒内转速由4 500 r/min 突降至786 r/min，出口压力由76.4 bar 下降至31.3 bar.g，三台蒸发器水位急剧下降，为维持蒸发器水位，事件发生后，主控操作员紧急手动启动备用泵APA202PO 并开始降功率操作，随后手动停运APA102PO，期间蒸发器水位最低降至-1.069 m，一回路出现短时过冷情况，导致堆芯热功率超过102%FP约20 s。

2.2 原因分析

本次事件中，由于液力耦合器勺管位置控制回路故障， 泵转速突降至最低转速（3 950 r/min）以下，泵出口压力随即迅速下降至压力低低跳泵阈值（35 bar）以下，但未产生跳泵和备用泵联启信号，导致蒸发器供水能力严重不足，水位迅速下降，若无操作员紧急干预，将直接触发蒸发器水位低低跳堆阈值（-1.26 m），同时主给水泵也可能因出口压力低产生气蚀而造成设备损坏。分析其根本原因为当前主给水泵保护跳泵及联启逻辑设计存在缺陷，根据当前逻辑设计（见图2），为保障给水泵能够正常启动，对泵出口压力低低跳泵增加了跳泵允许条件，允许条件为电机运行且压力级泵转速高于最低转速，当出现泵转速控制系统故障或电机抱闸等类似故障模式时，压力级泵转速突降至最低转速以下，此时因不存在允许条件，即使泵出口压力随后触发低低跳泵阈值，同样无法触发保护跳泵信号，进而不能联启备用泵。

2.3 改进措施及验证

通过本次事件原因分析，需对泵出口压力低低跳泵逻辑进行针对性改进，改进后的逻辑简图如图3 所示，即通过RS 触发器对压力低低跳泵允许条件增加自保持和复位功能，置位端（S）通过原跳泵允许条件触发，即泵转速大于3 950 r/min 与泵运行反馈信号同时存在并持续20 s，复位端（R）由泵停运反馈或手动控制模式触发，新增RS 触发器为置位优先触发器，真值表如表1 所示。为保障改进后的逻辑设计能够满足各不同工况下的功能需求，结合各工况下的泵运行状态进行了分析并通过半实物仿真装置（见图 4）进行了初步验证，最终通过现场再鉴定试验进行了全面验证。

表1 RS 触发器（置位优先）真值表Table 1 The RS flip-flop (set first) true value

（1）手动/自动启动工况

在APA 泵启动前，此时RS 触发器复位端为1，置位端为0，手动启动后，当泵转速达到3 950 r/min 并持续20 s 后，置位端为1，复位端无论是否存在手动模式信号，由于置位优先，此时RS 触发器输出均为1，但由于启动过程（20 s 内）已建立正常的泵出口压力，此时不会触发停泵和联启备用泵信号，与改进前逻辑一致。

（2） 正常运行工况

正常运行工况下，APA 泵转速高于最低转速（3 950 r/min），此时无论泵处于手动还是自动模式，S 端均为 1，若此时出口压力低于35 bar，即立即跳泵并联启备用泵，与改进前逻辑一致。

（3） 异常运行工况

针对本次事件中APA 泵转速控制回路故障而导致转速异常下降的情况，此时APA 泵处于自动模式，R 端为0，当转速降低至3 950 r/min后，S 端由1 变为0，但RS 触发器输出依然保持为1，当出口压力降低至35 bar 以下时，立即触发保护跳泵和联启备用泵信号，跳泵后，泵停运反馈将R 端置于1，此时RS 触发器输出为0，为确保备用泵联启成功，对出口信号增加2 s 后延时，以确保联启信号时间足够启动备用泵。

（4） 正常停运工况

正常停运时，APA 泵切换至手动模式，此时S 端和R 端均为1，RS 触发器输出为1，当泵转速下降至3 950 r/min 以下时，此时S 端为0，RS 触发器被复位，输出为0，闭锁压力低低跳泵及联启备用泵信号，与改进前逻辑一致。

（5） 紧急停运工况

紧急停运后，APA 泵转速迅速降低至3 950 r/min 以下，此时S 端为0，泵停运反馈立即复位RS 触发器，使其输出为0，闭锁压力低低跳泵及联启备用泵信号，与改进前逻辑一致。

3 L 核电厂3 号机组联启失败事件分析及改进

3.1 事件过程

2019 年12 月11 日，L 核电厂4 号机组主给水泵（APA102PO）电机W 相与U 相之间发生相间短路，电气盘差动保护动作，APA102PO故障跳闸，处于备用状态的给水泵（APA202PO）未联锁启动，机组快速甩负荷，蒸汽发生器水位迅速下降，最低达到-0.685 m，主控操纵员随后紧急手动启动APA202PO 为蒸汽发生器供水，2 min 34 s 后因机组负荷速降导致反应堆轴向功率偏差（ΔI）偏出功率分布运行梯形界限触发C21 信号（C21：汽轮机在每30 s 中以200% Pn/min 的速率降负荷1.2 s），3 min 53 s后，C21 信号消失，最终机组功率稳定在525 MW 左右。

3.2 原因分析

根据当前主给水泵跳泵及备用泵联启逻辑设计（见图 1），当运行泵产生运行失效信号（Failed）后立即联启备用泵，运行失效信号由泵停运反馈和状态偏差故障同时存在时触发，状态偏差故障由DCS 设备驱动算法块内部判断和产生，表示泵在DCS 未发出启/停指令的情况下设备状态发生了翻转，生成组态如图5 所示。本次事件中，APA102PO 因电气盘差动保护而跳泵，由于DCS 未发出跳泵指令而发生了泵的状态翻转，DCS 设备驱动算法块生成状态偏差信号并报故障，根据备用泵联启逻辑设计，状态偏差信号和泵的停运反馈同时存在时，应产生Failed 信号并立即联启备用泵。

设备驱动算法块故障模式分为操作故障（O故障）和仪控故障（F 故障），O 故障包括状态偏差和启/停超时，需要操作员手动复位，F 故障包括双0/1 故障和电气盘综合故障，由算法块接收外部信号后产生，只有当故障源消失后自动复位。进一步检查APA 泵联启逻辑在DCS中的组态实现方式，发现电气盘综合故障信号连接至O 故障的复位端，当APA102PO 电气盘差动保护跳泵时，泵停运反馈与电气盘综合故障信号同时送至DCS，在设备驱动算法块中，电气盘综合故障信号对状态偏差迅速进行了复位，使得Failed 信号仅持续了约20 ms，导致未能成功联启备用泵。

3.3 改进措施及验证

电气盘综合故障信号由电气盘中保护装置跳闸保护（差动、过流、过负荷）接点动作而触发、包括就地分合闸插头接点动作、SF6 压力低报警接点动作、电机保护装置看门狗接点动作、开关行程限位接点动作、试验锁接点动作等。在机组调试和大修期间，由于大范围进行电气盘检修和试验，大量设备会出现状态偏差故障，根据DCS 设备驱动算法块功能特性，状态偏差故障将自动闭锁手/自动指令的发出，因此出现状态偏差故障后，必须通过操纵员手动复位后才能正常投用设备。通过电气盘综合故障信号自动复位状态偏差，可避免操纵员在机组调试和大修期间的频繁复位操作，也可减少因不及时复位而造成设备不可用的风险，但却无法满足Failed 信号联启备用泵的设计功能。

为实现DCS 组态与Failed 信号设计功能的一致性，需取消电气盘综合故障自动复位状态偏差的组态方式，但为了保障操作员能够及时发现状态偏差故障并尽快处理，避免误触发备用泵联启信号或因控制指令闭锁而无法启动，需将主给水泵状态偏差信号引入主控计算机系统（KIC）并设置为最高响应级别的红色数字报警（KA），改进后组态方案如图6 所示。通过现场再鉴定试验对改进方案进行了全面验证，在模拟电气盘故障跳泵或设备本体故障跳泵的情况下，备用泵能够迅速联启，状态偏差信号触发主控报警后也能够及时提醒操纵员进行分析和复位。

4 总结

以近年来CPR1000 核电厂电动主给水泵系统两起重要运行事件为背景，基于事件中主给水备用泵联启失败原因的分析，针对泵出口压力低低跳泵逻辑设计、状态偏差信号复位方式、故障监视和干预问题提出了相应改进措施，改进措施通过理论分析及现场再鉴定试验充分验证后在CPR1000 机组得以推广实施，改善了在APA 液力耦合器勺管位置控制回路故障、电气盘差动保护等故障模式下的应对能力，有效避免了同类事件的重发，提高了机组运行的稳定性和安全性，为同类联启泵组和不同技术路线核电厂提供了良好经验反馈。