（福建福清核电有限公司福建350315）
摘要：在M310电厂采用DCS控制系统后，其反应堆保护系统中引入了仪表“BAD”导致逻辑退化的功能，这提高了保护系统的自动化功能。但是在处理仪表缺陷时，电厂误停堆的风险也大幅增加。本文以主泵转速表故障处理为例，讨论确定降低仪表相关工作过程中误停堆风险的最佳方案。
关键词：核电厂；质量位；超温；超功率
1超温/超功率△T保护及其产生信号
超温/超功率△T保护紧急停堆的目的是防止包壳烧毁，即防止包壳温度超过1204℃。由于包壳温度无法测量，只能通过已知的参数进行表征。通过工程计算表征，只要确保部分参数在可控范围内，可确保包壳功能完整。这些参数分别是：核功率、一回路平均温度（含一回路冷端、热端温度计各一个），主变转速、稳压器压力。上述仪表计算得到超温超/功率△T温差整定值，与实际的反应堆进出口温差比较，如果实际值大于整定值，则出发单通道超温/超功率△T保护紧急停堆信号。超温/超功率△T停堆保护采用2/3逻辑，任意两个通道符合触发，则触发紧急停堆信号。
同时参与上述保护的仪表任何一个仪表故障，将导致该通道逻辑降级触发。
2反应堆保护系统质量位及逻辑降级设计原理
传统核电厂采用继电器等硬接线方式搭建反应堆保护的逻辑，在仪表故障或保护触发时，继电器通过得电或者失电触发保护逻辑。在采用DCS控制后，其阈值判断通过DCS内部软件功能模块实现。为确保护系统可靠，在阈值判断模块加入仪表“BAD”信号用于判断模拟量信号可用与否。当模拟量信号不可用时，触发“BAD”信号，会使得逻辑降级，退化原则为：2/4→2/3→1/2→直接触发。
通常DCS接收到的仪表电流范围为4-20mA，当信号范围超过额定的5%时，即产生质量位BAD信号，常见仪表质量位触发原因有，仪表失电、变送器故障、线路断线或仪表超量程。
根据超温、超功率△T设计逻辑和DCS质量位判定准则，参与保护的任意仪表触发质量位“BAD”信号，超温、超功率△T停堆的逻辑将由2/3降级为1/2。因此研究上述逻辑降级逻辑和仪表处理过程中的安全措施，对电厂安全稳定运行有至关重要的作用。
3反应堆保护系统仪表故障时对电厂的影响
根据核电厂反应堆控制系统仪表故障处理到则的要求，单个参与反应堆保护功能的仪表不可用时，不允许将仪表/通道置于使RPR保护无法触发状态。因此，即使某些仪表故障，未导致保护系统触发，但在处理缺陷时，维修人员往往会将该仪表所在的通道置于触发状态，以满足核安全保守决策的原则。通常将保护系统置于触发状态有两种方法：一、修改保护系统中的逻辑定值到保护阈值以下；另一种是将需要闭锁的信号置为故障状态。在实际执行仪表缺陷消除工作是，通常都使用将仪表置故障状态的方式或者同时使用两种方法（避免单个方法实施失效）。上述两种方法均强制触发仪表质量位”BAD”信号，并导致逻辑降级。逻辑降级后，将导致符合逻辑的拒动和误动概率发生变化。
假如入在某一时期内，停堆保护发生的拒动故障概率为q，而误动故障概率为p，那么根据概率论二项式分布公式可推出符合逻辑的拒动和误动故障概率（见表1）。考虑到p、q<<1，在1/2和2/3逻辑中，其拒动率差别仅为3倍，但是1/2逻辑误动率则乘平方比大幅增加。如反应堆紧急停堆动作将对电厂和电网产生引入较大瞬态，降低电厂的安全性能和经济效益，因此核电厂设计中，广泛采用3/4，2/3的符合逻辑。
电厂在处理类似仪表缺陷的过程中，为了遵守保守决策的原则，通常会通过同时采用上述的两种闭锁方法，人为触发单通道停堆逻辑。但是在处理超温/超功率△T保护相关仪表时，如主泵转速表故障时，采用此方法进行闭锁，不仅不保守，还会导致误停堆率大幅增加，对电厂的安全性造成威胁。
4参与超温/超功率△T保护的仪表故障时的处理原则讨论
参与超温/超功率△T保护的仪表并非通过阈值计算直接引入，而是通过计算产生保护整定值，整定值与实际温差进行比较，如此，即是某个仪表出现偏差，但其计算结果不一定会使保护触发。但是对于超温/超功率△T保护逻辑来讲，任何单一仪表“BAD”，均直接触发该通道的逻辑降级，因此，在类型仪表故障时，直接导致通道逻辑降级的功能并不保守。下面以主泵转速表为例，对该类型仪表故障处理原则详细讨论。
主泵转速表共参与4个反应堆保护功能，分别主泵转速低、低低保护触发甩厂用电和紧急停堆，通过参与超温/超功率△T整定值运算，产生超温和超功率△T紧急停堆信号。考虑到M310主泵特点，转速表正常输出存在两种运行极端情况，即最低转速0rpm，最高转速1500rpm。如某环路参与超温/超功率△T运算的转速表卡件故障需处理时，维修人员有两种闭锁方案可供选择，方案一：即强制转速为0rpm，又强制质量位为触发状态；方案二：仅强制转速为0rpm
4.1仅强制转速为0rpm的误停堆分析分析
在反应堆额定功率运行工况下，超温△T保护定值随主泵转速下降而下降，因此其超温△T的定值在0转速时最小，因此，强制其为0，对超温△T保护来讲，已足够保守。根据电厂运行经验，满功率工况下，强制转速为0后，超温△T保护整定值从144%降为109%，距离实测值101%尚有较大裕量，该环路超温△T保护停堆没有触发，也不触发逻辑降级。
对于超功率△T，由于其保护定值随主泵转速增加而降低，因此参与超功率△T保护的转速表可强制在1500rpm，原理与超温△T相同。
如假设单个仪表发生故障的概率为m（m<<1），对于2/3逻辑，此时因仪表”BAD”反应堆误停堆的几率为：
。
因需要2/3逻辑符合，在实际工作中，不同通道两个表同时故障的风险极低。
4.2即强制转速为0rpm，又强制质量位为触发状态的误停堆风险分析
在在强制质量位触发后，超温/超功率△T保护的2/3逻辑退化为1/2，因此10块仪表中任一一块故障将导致超温/超功率△T保护1/2逻辑触发，因此反应堆紧急停堆误动率为：m*5*2=10m
因超温、超功率△T属于两个冗余的保护，实际的误停堆几率将增加至20m。
同时由于1/2的逻辑原因，任何一个仪表偶发故障，将导致反应堆停堆变为确定性效应。
5结论
因此，对于单个参与超温/超功率△T保护的仪表故障时，只需强制仪表处于保护阈值以下或以上，而不必强制仪表为故障状态。如此即可以在保证拒动几率不变的情况下，大幅降低反应堆紧急停堆动作的几率，大大提高核电厂的安全稳定性能。