核电站安全分级对DCS系统设计影响分析

审的基本出发点。系统或设备从技术规范书开始， 到设计、制造、安装、调试、质量控制以及运行 维护的整个过程，都需按照不同的安全级别应用 相应的标准规范。
对核电站仪控系统和设备的分级，依据的主 要标准 RCCE-C5000 以及 IEC61226。在升版的 RCC-E（2002）标准（主要在 C5000 章节）中[1]， 将安全分级定为安全级与非安全级；安全级又分 为 1E 及非 1E，有关硬件均要求满足抗震及相关 环境鉴定要求（K3：安全壳外正常工况下的鉴 定）；用于 1E 级系统及设备的软件应满足《数字 化系统安全功能的软件要求规范》（IEC60880） 的鉴定要求，非 1E 应满足《数字化系统安全相 关功能的软件要求规范》（IEC62138）“B 类”的 鉴定要求。（“B 类”为安全重要性分类，主要有 “A”、“B”、“C”及 NC 类，由 IEC61226 定义）。
关键词：核电站；安全分级；数字化仪控系统；总体方案设计 中图分类号：TL364 文献标志码：A
1前言
尽管数字化仪控系统（DCS）技术产品已在 非核电领域得到广泛应用，但由于核安全设计纵 深防御理念带来的系统与设备安全分级问题，使 得 DCS 在核电站工程总体方案的实施中滞后于 非核电 领域。
当前，三代核电站技术基本上在整个工艺设 计时就充分考虑了数字化仪控平台的特点，但对 于 CPR1000 以及其他早期（20 世纪）设计的核 电站，由于在其设计定型时没有成熟、定型的核 电站数字化产品，实施数字化过程中，可能因工 艺系统安全等级、电气设备安全等级和产品等级 的限制而不完全适应。这种不适应给核电站的数 字化仪控方案设计带来一系列安全分析和审评的 问题。
收稿日期：2009-12-23；修回日期：2011-06-12
24
核动力工程
Vol. 32. No. 5. 2011
表 1 安全分级定义在不同的标准、导则、用户要求文件中的比较
Table 1 Comparison of Definition of Safety Classification in Different Standards/Guides/Specifications
整个核电站 DCS 总体技术方案需满足正常 情况下（除了发生地震事故外）核电厂的操作和 监视，通过非安全级的“操作信息管理网络”和 “操作站”进行操作和监视；发生设计基准地震 或“操作信息管理网络”故障时，核电机组的中 央操作和监视通过“核安全级通信网络和硬接线” 和“后备安全操作台”进行。其总体技术方案是 基于不同安全分级，主要由 1E、SR/NC 的 DCS 系统构成，并结合 DCS 平台设备安全等级情况进 行设计[4～6]。 3.1 总体方案设计原则和要求
第 32 卷 第 5 期 2 0 11 年 10 月
文章编号：0258-0926(2011)05-0023-06
核动力工程
Nuclear Power Engineering
Vol.32. No.5 Oct. 2011
核电站安全分级对 DCS 系统设计影响分析
芶国楷，黎国民，王群峰
（中广核工程有限公司，广东深圳，518124）
防止假想事故事件（PIE）的发生或缓解 PIE 的后果。A 级的功能 某些 2 类工况下，用于达到可控状态 全 重 要 但 不 是 安 全
可能通过自动或手动来实现，当要求手动动作时，这些动作必须 所需的安全功能；
系统；
在操纵员的能力之内。此级功能丧失会直接导致事件的严重后果。 F1B：在设计基准 3 或 4 类工况或 安全系统：在任何
核电厂 DCS 总体结构设计应满足相关标准 和法规要求，同时满足电厂的可用率和可靠性要 求。结构方案设计中的一些重要原则和要求如下：
（1）应满足单一故障准则。 （2）冗余和多样性设计，以防止数字化系统 的共模故障（CMF）：①处理过程冗余，确定的 仪控功能需被处理多次；②功能冗余，对同一结 果使用 2 种不同的功能实现；③为提高可用率， 上述 2 种冗余措施应在不同或足够的独立处理单 元中完成。 （3）隔离设计原则：①1E、SR 仪控功能应 分别在相应的 1E/SR 设备中执行；②在 1E/SR 设 备中分配的功能应在一定范围之内，不宜过多， 整个功能的分配服从于系统性能，如响应时间， 以及安全级中央处理器（CPU）的负荷要求等； ③1E、 SR（或 NC）设备应互相分开并电气隔离， 避免故障从低安全等级的设备蔓延到高安全等级 的设备；④非抗震设备不能和抗震设备互联，除 非有电气隔离。
IEC60880 核电厂安全重要仪控系统——基 于计算机系统执行 A 类功能的软件：适用于自动 阶段反应堆保护和专设安全系统。
IEC62138 核电厂安全重要仪控系统——基 于计算机系统执行 B 类、C 类功能的软件：适用 于反应堆保护和专设安全系统动作后，用于缓解
事故的其他相关安全功能。 在采用 DCS 技术后，分级原则就可简单概
3 DCS 总体工程方案设计和实施
在核电 DCS 全面应用领域，具有标志性意义 的电厂计有：已投入商业运行的法国 1450 MW 的 N4 电厂、田湾 VVER 堆核电厂以及正在建设的 岭澳核电站二期 CPR1000 和三门 AP1000 核电 厂。 目前核电站主流的 DCS 技术平台计有： COMMON Q（AC160）+Ovation、TXS+ TXP、 MELTAC N PLUS+MR1500。N4 电厂所用的安全 级仪控平台 SPLINE III，由于公司整合而逐步退 出了市场。DCS 产品平台有不同的等级。就欧洲 标准体系而言，对于 CPY 机组，针对仪控服务的 电站工艺、电气系统功能的安全等级分为 1E、SR、 NC，所对应的产品平台分为 2 种类型：满足电站 1E 功能要求的平台是 TXS；满足电站 SR 功能及 满足 NC 功能的平台都是 TXP。对于 4 个环路的 机组（如 EPR），安全功能等级为 4 级，但是为 了适应产品，会将有些功能分别提高或降低。美 国标准体系对于电站仪控服务的工艺、电气系统 安全等级，只有 1E、NC。其对应的平台有 2 种： 满足 1E 功能的平台，如 COMMON Q、MELTACN；满足 NC 功能的平台，如 OVATION[2, 3]。
A 级的功能有较高的可用率要求，因此要限制它们的功能，来确 某些 2 类工况下，用于达到安全停堆 情况下，保证反应堆
保它们的可用率；
状态所需的安全功能。应能达到并维 停 堆 ， 堆 芯 的 热 排
B：B 级的功能在实现或维持电厂安全上起着补充的作用。B 级 持 24 h 在安全停堆状态；
除，以及限制预期事
ห้องสมุดไป่ตู้（2）中间安全级（安全相关级 SR）：对于规 模更大、更复杂的中间安全级功能的控制系统， 基于非核工业专用的技术，具有中、长期安全功 能的系统和控制设备。这样能够获取广泛的经验 反馈，这些标准系统的开发周期按照高标准进行 检查、验证。
岭澳核电站的安全分级如图 1 所示。图中，
芶国楷等：核电站安全分级对 DCS 系统设计影响分析
括为： （1）1E 级：针对最重要的、少数几个相当简
单的功能，它遵循最高标准，并基于核工业专用 的技术功能。满足以下 3 条准则：①它们在事故 工况下的状态必须与在电厂正常运行时不同；② 该状态的改变是自动发出的命令，不经过人工干 预；③该自动保护动作是安全验证所必须的。如 执行下述功能所必需的电气系统和设备定义为 1E 级：反应堆紧急停堆、安全壳隔离、应急堆芯 冷却、反应堆余热排出、反应堆厂房热量的排出、 防止放射性物质向环境释放。
国际原子能机构
标准
国际电工委员会（IEC）（61226）
欧洲用户要求组织（EUR）
（IAEA）
（No.NS-G-1.3）
A
安全重要
B
功能分级
C
F1A
—
F1B
—
F2
—
非安全重要
NC
—
1
系统及
安全重要
2
设备分级
3
L1A
安全重要：安全
L1B
安全重要：安全相关
L2
—
非安全重要
NC
非安全重要
各级的定义
A：A 级功能在实现或维持电厂安全上起着重要作用。这些功能 F1A：在设计基准 3 或 4 类工况或 安全相关系统：安
笔者结合岭澳核电站二期（LA2）这一采用 “翻版＋改进”的原则设计的 CPR1000 核电厂， 对系统及设备的安全分级、DCS 总体方案设计和 实施过程的问题进行探讨，以期形成可供参考的 核电厂 DCS 总体方案。
2 DCS 功能及其系统和设备安全分级
正确划分仪控系统的功能及其相关系统和设 备的安全级别，是正确选择和采用标准规范的前 提，也是指导设计人员、运行人员以及安全局对 不同安全级别的系统和设备进行设计、审查和评
摘要：根据核电站设计总体要求，特别是对仪控系统可用性和可靠性的要求，通过分析核电站中系统、 设备及其功能的安全分级，解析现代数字仪化控系统（DCS）的技术特点。结合实际在建核电站中不同 DCS 总体技术方案设计实施过程中的差异，从满足核电站安全运行以及安全评审相关法规标准的需求出发，阐明 核电站中不同安全分级的系统和设备对 DCS 总体方案设计实施的影响。
故响应的一部分，但不直接参与缓解事故的物理后果；
类工况有关的某些功能；
NS：在实现或保持电厂安全方面无明显作用
NC：对电厂安全没有影响
和分配，而是依据翻版原则保持原事故分析不变 （安全状态为热停堆不变）。显然，在岭澳核电站 二期的工艺设计中未考虑安全相关级（SR）等级。 由于是翻版设计，考虑到岭澳核电站一期的控制 功能是由传统的继电器柜执行，对于安全级、非 安全级功能，均采用同一技术，继电器柜均为 K3 级鉴定，在安全功能仪表控制中不涉及软件问 题，所以在岭澳核电站二期最初的总体设计中， 仪控系统及其工艺设计均未引入安全相关级。参 照 N4 核电站/田湾核电站国际经验及相关标准 （IEC61226）的规定，在岭澳核电站二期 DCS 合同签定后，根据岭澳核电站二期 DCS 的产品平 台特性引入了 SR 安全等级。国际电工学会（IEC） 标准相关规定如下。