AP1000核电厂仪控系统介绍

　　我国从2003年开始启动第三代核电技术的国际招标工作，最终选择了美国西屋联队提供的第三代先进压水堆核电技术-AP1000，并在2007年7月与其正式签署了第三代核电自主化依托项目的核岛采购合同。2007年12月，AP1000依托项目的首个机组三门核电厂一期工程正式启动。

　　AP1000 核电厂为单堆布置两环路机组，电功率为1250MWe，设计寿命为60年。AP1000核电厂的主回路系统和设备均采用成熟的电厂设计，主要安全系统采用简化的非能动设计，大大提高了安全性和经济性。针对可能发生的严重事故，计中设置了多种预防与缓解措施;在仪控方面，采用了数字化仪控系统和先进主控制室设计。与以往核电厂的建造不同，AP1000采用模块化建造技术，从而提高了建造质量，有利于现场施工及缩短建造周期。

　　一、AP1000 仪控系统总体结构

　　AP1000核电厂仪控系统为电厂安全有效地运行提供了基本信息和控制功能，如持续地为操纵员提供电厂的状态、事件以及对安全和可用性重要的变量信息，帮助操纵员对上述信息进行分析和决策;同时，提供相应方式使得操纵员能够对电厂设备进行操作，并获得电厂的反馈信息。

　　AP1000采用全数字化集散式仪控系统，从数据处理的角度可划分为五层，即电厂接口层、处理层、电厂仪控网络层、人机接口层和外部通信层。在总体结构中，随着层级向上，数据处理的复杂度逐步递增。

　　电厂接口层是仪控系统与现场设备发生接口的界面，现场设备包括传感器、变送器和执行机构等，相关接口包括安装/固定设备的实体接口、供电、接地以及信号接口。通过这些接口，用户可以实现对过程参数和设备状态等数据的采集以及对设备的控制。

　　处理层由安全级和非安全级系统平台共同支持。系统控制器提供处理层的各种功能，包括数据采集、计算、过程控制和保护功能等。

　　电厂仪控网络层由“中枢”通信网络和与仪控系统相关的下层网络构成。

　　人机接口层通过对数据分析、信息显示和报警进行信息的综合整理，并将相关信息提供给操纵员，使其了解电厂的运行状态。

　　外部通信层将数据传输到其他工业标准通信网络，如应急指挥中心。

　　从实现功能的角度分析，仪控系统总体结构可划分为运行和控制中心系统、电厂控制系统、保护和安全监测系统、多样化驱动系统、数据显示和处理系统、特殊监测系统以及堆芯仪表系统。根据执行功能对安全控制的重要程度，这些系统又可分为安全级和非安全级两大部分。安全级系统各序列之间通过安全级网络进行通信;非安全级系统通过冗余的高速通信网络向主控制室、远距离停堆室以及技术支持中心等发送信息。安全级系统与非安全级系统之间的数据通信通过安全级网关执行，此网关将安全级网与非安全级网连接起来。为保证安全级系统不受非安全级系统的故障或误操作影响，网关为单向通信。AP1000仪控系统总体结构如图1所示。

　　二、仪控系统介绍

　　2.1运行和控制中心系统

　　运行和控制中心系统包括操作和控制电厂的设施，即主控制室、远距离停堆室、运行支持中心、技术支持中心、就地控制站及应急指挥中心等。

　　AP1000的主控制室布局集中紧凑，设置了先进的人机接口资源，包括显示画面(含大屏幕画面)、先进的报警系统和计算机化规程系统等，为操纵员监视和控制电厂提供支持。主控制室中仅保留少量必需的硬接线控制开关，用于安全系统及重大投资设备的控制。在正常运行和事故工况下，操纵员使用统一的非安全级人机接口对安全级和非安全级的电厂设备进行监控;仅在丧失非安全级人机接口的情况下，操纵员使用安全级人机接口监视电厂的安全稳定运行，必要时则停闭电厂。

　　AP1000安全系统的设计使得事故运行大大简化，设计基准事故后72h不需要操纵员操作，由此极大地降低了人因失误的可能性。

　　AP1000控制室和人机接口的设计系统地应用了人因工程，符合美国NUREG 0711的要求。西屋公司在设计阶段早期，对西屋和非西屋的核电厂以及运用类似技术的其他行业的运行经验进行了评审，从而在AP1000的设计中吸取优点，避免问题的发生。为保证安全功能的分配，并且充分考虑人和机器的特性以及局限性，对电厂安全功能进行了功能要求分析和功能分配。通过任务分析，获得执行任务所需的信息和控制手段需求，并对完成任务的工作负荷进行评估，从而使得人机接口的设计充分支持电厂运行任务的执行。同时针对关键人员操作和风险重要的任务，通过人员可靠性分析进行辨别，在设计中给予充分的关注并在设计结束后对这些操作和任务进行验证和确认。AP1000人机接口的设计严格遵循了设计导则，在设计过程中对关注的问题进行了多次工程试验，避免了后期修改带来的进度和投资风险。在设计过程结束之后进行人因验证和确认活动，以确保最终设计满足运行需求。以上设计过程和设计要素的执行使人因工程系统性地结合到控制室和人机接口的设计中，从而确保了操纵员能够安全有效地对电厂实施监控。

　　2.2电厂控制系统

　　电厂控制系统使用统一的软硬件平台(Ovation)为电厂系统提供集成的电厂控制，包括基于Ovation平台部分和基于非Ovation平台部分。

　　①核岛(NI)、常规岛(CI)和BOP监控由Ovation平台实施。NI、CI和BOP控制柜也通过硬接线和/或数据链的方式提供与非Ovation平台系统之间的接口。

　　主汽轮机控制和诊断系统涉及的汽机保护和控制功能也包括在电厂控制系统中，由Ovation平台实施，从而更容易获得全厂人机接口良好的一致性。

　　②数字化控制棒控制系统包括非Ovation的电源设备、 Ovation 逻辑控制器和I/O机柜等。

　　③棒位指示系统包括非Ovation的棒位探测器接口数据柜，这些数据柜与Ovation平台控制器之间有接口。

　　核蒸汽供应系统NSSS(Nuclear Steam Supply System)按照五大控制功能(功率控制、稳压器液位控制、稳压器压力控制、蒸汽发生器水位控制、蒸汽旁排)进行分组，各组控制功能在独立的处理器上运行。所有控制器都是冗余设置的，故障时自动切换到备用控制器，单一控制器故障不会引起反应堆停堆。

　　AP1000的 NSSS控制策略在设计过程中进行了动态模型分析，从而确保了系统在整个电厂运行期间获得良好的动态响应特性;同时，也保证了控制系统整定值与保护整定值之间拥有适度的裕量。控制系统的设计保证了电厂在设计基准运行瞬态时不会引起反应堆停堆、专设安全设施驱动、汽机脱扣、稳压器安全阀打开、自动卸压系统阀门打开及蒸汽发生器安全阀打开等。

　　在API000实现上述五大控制功能的五大控制系统中，与传统控制系统不同的是功率控制系统和蒸汽发生器水位控制系统。功率控制系统采用灰棒进行功率控制，不必进行日常调硼控制;同时，功率分布控制的引入尽可能地提高了活性区的功率密度。AP1000采用数字化控制系统之后，蒸汽发生器水位控制系统分别采用低功率和高功率控制模式，在整个功率运行范围内，实现全自动控制而不需要操纵员的干预。

　　2.3保护和安全监测系统

　　保护和安全监测系统为电厂的正常运行提供必要的保护，并具有电厂停堆功能，可以将电厂维持在安全停堆工况下。当电厂工况超出安全限值时，系统提供自动的反应堆停堆功能、手动反应堆停堆功能和汽轮机停机功能;提供自动的专设安全设施驱动功能，以减轻设计基准事故后果，以及手动驱动专设安全设施功能;提供必要的安全级设备在事故期间和事故后监测电厂安全相关功能。

　　保护和安全监测系统基于Common Q平台实施，所有的组成设备均经过鉴定。在使用该系统进行监控时，操纵员主要通过鉴定的计算机人机接口进行监视和设备级控制操作，少量必需的IE级的系统级硬手操仅在自动驱动失效时使用。

　　保护和安全监测系统各序列内的冗余设置使单一故障不会引起整个序列丧失功能，允许一半序列进行交迭试验而不引起停堆。序列间通信用于传送停堆和

　　专设安全设施驱动的信息、事故监测信息以及用于交叉比较的信息，从而能够连续进行在线故障诊断。

　　保护和安全监测系统通过鉴定的隔离设备将信号传送给电厂控制系统。数据通信网关为单向通信，数据通信功能不会影响安全功能的执行。通过设备接口模块，操作员可以在非安全级系统对安全级设备进行手动设备级控制。

　　2.4多样化驱动系统

　　多样化驱动系统是非安全级系统，其设计满足对未能停堆系统的预期瞬态(ATWS)要求。该系统针对概率极低的保护和安全监测系统假想共因故障和假想瞬态同时发生的事件，提供了另外一种触发反应堆紧急停堆和汽轮机停机、驱动所选的专设安全设施和监测电厂信息的功能。这些功能是基于概率安全分析的评估结果进行的。

　　在总体架构、硬件和软件上，多样化驱动系统同保护和安全监测系统以及电厂控制系统不同，它设置了专用的传感器。多样化驱动系统采用FPGA(现场可编程门阵列)技术实现，没有基于软件的控制。设计中采用了二取二、通电驱动等措施，以尽可能避免误触发。

　　2.5数据显示和处理系统

　　在电厂正常工况和应急工况下，数据显示和处理系统为报警和显示功能提供数据，它包括电厂仪控网络、显示画面、报警系统、核应用程序、计算机化规程、报告功能和存档功能等。

　　2.6特殊监测系统

　　特殊监测系统由独立的诊断系统组成，这些诊断系统对来自专用传感器的数据进行预处理。特殊监测系统包括用于检测反应堆冷却剂系统内金属碎片的松动部件监测系统、反应堆冷却剂泵振动监测系统和堆芯吊篮振动监测系统，且均在单独的平台上实施。

　　2.7堆芯仪表系统

　　堆芯仪表系统(IIS)的主要功能是给其他系统提供堆芯仪表信号。该系统采用固定式自给能探测器，能够提供三维的堆芯中子注量率分布图，以标定保护和安全监测系统的中子注量率探测器，优化堆芯性能。堆芯出口温度分别送往保护和安全监测系统以及多样化驱动系统，以提供事故信息指示。

　　三、法规标准

　　AP1000仪控系统的设计遵守了适用的美国法规、标准及管理要求。

　　AP1000仪控系统遵守的主要法规是美国联邦法规10 CFB21、10 CFR50、10 CFR52等。NUREG-0800“核电厂安全分析报告的标准审查大纲”给出了满足10 CFR50和10 CFR52中要求的方法。

　　标准提供了安全一致地设计和运行设备刃系统的导则，不具备法律的强制性;而一旦政府部门(如NRC)将一份标准法律化后，该标准即成为“法规”。USNRC通常对工业标准进行背书，发布管理导则(RG) ，以作为满足特定法规要求的可接受的方案。IEEE 603作为核领域仪控方面唯一被10 CFRSO背书的标准，是仪控系统设计中必须要遵守的一份基础标准。IEEE 603涵盖了整个安全系统，提出了安全系统各个组成部分必须满足的准则。

　　管理导则及其背书的工业标准为设计提供了信息、推荐和指南。NRC在AP1000安全评价报告(SER)中声明，对于安全有关数字化系统的软件和硬件特性，这些管理导则和工业标准可以作为实施联邦法规及通用设计准则( GDC )要求的验收基础。

　　除了NRC颁发许可证引用的标准，AP1000在设计中还参考了其他工业标准，以提供相关支持信息、推荐和指南。

　　四、数字化仪控关注焦点

　　4.1最新的数字化仪控关注焦点

　　虽然美国在核电厂仪控系统领域已发布了一系列的管理导则和IEEE标准，但大量运行核电厂都提出了数字化仪控系统的改造计划以及大量核电新机组提出建造和运行许可申请，所有项目均设计采用了数字化仪控系统。因此，NRC认为有必要改进NRC的导则及规程，从而使设计和取证过程更有预见性并且更高效，以满足运行电厂改造和新电厂建造中使用数字化安全仪控系统的需要。

　　2007年1月，NRC建立了数字化仪控管理委员会，对关键的仪控技术和法规相关的问题提供管理和指导，并与工业界和仪控系统供应商进行合作，共同开发和更新其管理基础和程序，积极监督和促进数字化仪控相关问题的解决。

　　NRC确定了7个需要进一步改进管理导则和程序的关键领域，相应地批准成立了7个工作组。7个工作组经过与公众和工业界的充分交流，确定了每个领域的关注问题，并在NRC的数字化仪控项目计划中共计提出了25个值得关注的焦点问题。经过2年多的努力，第1-第5工作组已完成了初步的使命，发布了ISC01-ISG05这5份过渡性审查导则，相关工作正在进一步完善中。5份过渡性审查导则为：①ISG01计算机安全;②ISG02多样性和纵深防御困;③ISC03风险导向的数字化仪控系统;④ISG04高度集成的控制室-通信;⑤ISG05高度集成的控制室―人因工程。

　　4.2 AP1000仪控系统的设计考虑

　　在计算机安全方面，AP1000制定了安全防护策略，将计算机系统根据其功能划分为不同的等级，并针对不同的级别确定不同的安全防护措施。

　　在多样性和纵深防御方面，AP1000仪控系统中保护和安全监测系统提供自动停堆和专设安全设施驱动的功能，并提供事故信息监测以及系统级保护功能驱动硬手操;同时，多样化驱动系统提供停堆和选定的专设安全设施驱动的功能，设有自动驱动和手动控制功能，并提供了必需的参数指示。在总体架构、硬件和软件上，多样化驱动系统与保护和安全监测系统以及电厂控制系统完全不同，并且设置了专用的传感器。

　　作为确定性设计方法的辅助，对AP1000系统的设计进行了定性和定量的风险评价。针对系统设备和物项的分级，除了从确定性的执行安全功能的角度进行分级，还辅以概率安全分析的方法进行可靠性分级，并对风险重要的物项提出了质量保证的特定要求。在系统设计方面，应用风险分析的典型例子是多样化驱动系统的设计，其功能的选择也是基于概率安全分析的结果。

　　AP1000的设计中采用了高度集成的控制室，通信安全被给予高度重视。保护和安全监测系统各序列之间以及该系统同非安全级控制系统之间的通信保证了任何故障都不会影响安全系统执行其功能;安全级设备接口模块的采用实现了命令优选功能，使得保护系统和控制系统都能发送命令给安全级设备，同时，保证了安全功能的执行不受非安全级设备故障的影响;保护和安全监测系统使用了多序列的控制和显示工作站，保证了独立和隔离，满足人因工程要求。

　　针对NRC关注的数字化控制室中的人因问题，AP1000采用了计算机化规程系统，并且保留了后备的纸质规程。计算机化规程系统为操纵员在事故工况下执行应急运行规程提供了各种信息，帮助操纵员进行决策，但并不限制操纵员对电厂状态的认知和控制功能。经过认证的APl000提供了必需的报警、显示和控制功能，这些信息和控制手段为操纵员在异常和事故工况下将电厂维持在安全状态提供了保证。由于APl000的设计保证了在设计基准事故情况下72h不需要操纵员采取任何操作，因此大大降低了人因失误带来的风险。

　　五、结束语

　　本文介绍了AP1000仪控系统的总体结构、主要系统功能和设计特点，并针对数字化仪控系统关注的焦点问题，阐述了AP1000设计采取的应对措施。三代核电技术的引进、消化和吸收现还处于起步阶段，本文所介绍的AP1000仪控系统的内容还较为粗浅，随着依托项目和后续国产化项目的建设推进，相关的认识理解也必将逐步深入。