淺析EPR核電廠總體儀控試驗設(shè)計方法

李永進 劉洋

【摘 要】結(jié)合臺山EPR總體儀控試驗設(shè)計策劃的方法，系統(tǒng)闡述試驗程序結(jié)構(gòu)設(shè)計過程中的識別初始事件、排除驗證工況和優(yōu)化程序結(jié)構(gòu)三個關(guān)鍵過程。通過對試驗設(shè)計方法的淺析，旨在為后續(xù)中方企業(yè)自主規(guī)劃和設(shè)計先進核電站總體儀控試驗提供借鑒和參考。

【關(guān)鍵詞】總體儀控；最終安全分析報告；單一故障；失電試驗；切換試驗

中圖分類號： TM623 文獻標(biāo)識碼： A 文章編號： 2095-2457（2018）13-0045-003

DOI：10.19694/j.cnki.issn2095-2457.2018.13.020

【Abstract】Combined with Taishan EPR Overall I&C; test design methodology，this document will give a detail description about how to build the Overall I&C; test structure with three Key steps：Identify initial events，Eliminate tested scenarios，Optimize test structures.The purpose for this overview introduction is to support other Chinese groups to design and build the similar Overall I&C; test structures for new developed nuclear power plant.

【Key words】Overall I&C;；Finally Safety Analysis Report；Single Failure；Power loss test；Switchover test

0 引言

臺山核電廠1、2號機組采用歐洲壓水堆核電廠（EPRTM）機組。由AREVA聯(lián)合EDF以及德國用戶開發(fā)，以法國N4和德國KONVOI機組為基礎(chǔ)，采用先進核電技術(shù)演變而來。

EPR核電機組采用全新供電方式，廠用電系統(tǒng)接線設(shè)計為4列x 50%冗余，滿足N+2原則。執(zhí)行安全功能的電氣系統(tǒng)在各種運行瞬態(tài)和假設(shè)事故狀態(tài)下，即使一列檢修加上一列單一故障仍然可以保證安全功能。因此，EPR與CPR1000機組供電方式不同。

對于安全級系統(tǒng)，冗余序列的數(shù)量滿足N+2準(zhǔn)則：

N=正常運行時所需要的列數(shù)（如果單列=100%能力，則只需1列；如果單列=50%能力，則需2列；如果單列=33%能力，則需3列）

+2=除了正常運行所需的N外，還附加同樣容量的兩列作為備用，用于應(yīng)對兩種特殊運行工況：1）發(fā)生事故而喪失一列；2）計劃維修而導(dǎo)致一列不可用。

基于EPR全新的供電方式和儀控設(shè)計，AREVA聯(lián)合臺山調(diào)試團隊為臺山EPR設(shè)計和策劃了全新的總體儀控試驗程序結(jié)構(gòu)體系，并且將其命名為OIC試驗（Overall I&C; test）。該試驗為核島綜合性聯(lián)調(diào)試驗，包括機組降級運行試驗、儀控系統(tǒng)切換試驗、儀控系統(tǒng)性能試驗和特殊工況試驗等類別，用以驗證核島工藝和儀控系統(tǒng)設(shè)計，同時滿足儀控系統(tǒng)試驗驗證策略完整性的要求。

本分析報告將淺述EPR總體儀控試驗的設(shè)計策劃方法，用于為后續(xù)機組策劃類似大型試驗提供指導(dǎo)和借鑒。

1 EPR總體儀控試驗設(shè)計總述

EPR核電機組作為三代商用核電機組，其設(shè)計理念和運行方式不同與傳統(tǒng)的國內(nèi)二代核電機組CPR1000。僅僅在儀控系統(tǒng)和電氣系統(tǒng)設(shè)計方面，與CPR1000機組相比，就有非常大的變化，所以適用于CPR1000機組的總體儀控試驗設(shè)計策略不再適用于EPR核電機組。對于EPR機組來說，需要重新研究和設(shè)計與其相對應(yīng)的總體儀控試驗策略。

根據(jù)臺山核電站最終安全分析報告FSAR（Final Safety Analysis Report）第7章中的設(shè)計承諾，儀控系統(tǒng)要能夠防御內(nèi)部和外部災(zāi)害所導(dǎo)致的共模故障。在各種災(zāi)害之下，儀控系統(tǒng)可以通過降級運行、運行模式切換等手段實現(xiàn)電站的安全控制，嚴(yán)重事故情況時可以通過安全停堆來保護核電站。

由于EPR核電機組不僅工藝和電氣系統(tǒng)采用了冗余的安全序列供電方式，DCS設(shè)備也采用了雙路冗余供電的模式，所以單一電源失電（單一故障）不會對機組產(chǎn)生較大的影響。然而，在電站正常運行階段，仍然存在著其它各種誘因，使得儀控系統(tǒng)必然存在眾多潛在風(fēng)險，從而導(dǎo)致部分功能不能正常運行甚至不可用，此類潛在風(fēng)險來自于：

1）電站正常運行期間的維修工作，需要停運部分機柜或者設(shè)備；

2）電站外部災(zāi)害，導(dǎo)致某一區(qū)域的儀控設(shè)備無法正常工作。比如飛機撞擊；

3）電站內(nèi)部災(zāi)害，導(dǎo)致部分儀控設(shè)備不可用；比如特定區(qū)域的蓄電池組爆炸；

4）儀控系統(tǒng)組件故障，比如卡件故障、網(wǎng)關(guān)失效、總線通訊喪失等；

5）儀控支持系統(tǒng)故障，比如供電故障、通風(fēng)喪失、冷卻喪失等；

……

正因上述潛在風(fēng)險的存在，所以儀控系統(tǒng)在最初設(shè)計階段已經(jīng)協(xié)同機組總體設(shè)計，配套設(shè)計考慮了機組運行階段的降級運行及運行模式切換等各種運行方式。同時，上述風(fēng)險也為總體儀控試驗設(shè)計提出了新的要求。在設(shè)計策劃試驗階段，不應(yīng)該將總體儀控試驗僅僅定位于儀控系統(tǒng)自身的范疇，而應(yīng)該結(jié)合設(shè)計初始分析后適當(dāng)擴大試驗范圍，從總體儀控的角度出發(fā)考慮對機組整體運行的影響。

結(jié)合EPR機組最終安全分析報告的設(shè)計承諾，EPR總體儀控試驗設(shè)計從機組總體設(shè)計及運行的角度出發(fā)，統(tǒng)籌考慮了儀控、電氣及各工藝系統(tǒng)的設(shè)計特點，最終完成了試驗框架的設(shè)計和策劃工作。

總體而言，EPR核電廠總體儀控試驗設(shè)計可以分為如下三個階段：識別初始事件、排除驗證工況和優(yōu)化程序結(jié)構(gòu)。

2 EPR核電廠總體儀控試驗設(shè)計方法簡介

2.1 識別初始事件

作為設(shè)計策劃總體儀控試驗的第一步，識別初始事件主要通過對輸入文件的分析來完成。通過對最終安全分析報告（FSAR）、電站運行技術(shù)規(guī)范（OTS）、EPR核電廠應(yīng)急事故程序（EOP）和儀控系統(tǒng)總體設(shè)計文件等輸入文件的分析，確定導(dǎo)致儀控系統(tǒng)及電站降級運行的所有初始事件。

本階段工作主要基于如下設(shè)計分析展開：

1）EPR機組總體運行設(shè)計文件分析（源于FSAR，包括預(yù)防性維修策略PM），主要用于研究分析機組運行期間的特殊運行工況管理；

2）EPR設(shè)計基準(zhǔn)工況（DBC）/超設(shè)計工況（DEC）設(shè)計分析（源于FSAR，包括單一故障準(zhǔn)則），主要用于研究適用于總體儀控試驗的驗證工況；

3）運行技術(shù)規(guī)范分析（OTS），主要用于試驗驗證范圍及內(nèi)容的確定；

4）儀控總體設(shè)計分析（源于FSAR），主要用于研究分析試驗程序設(shè)置的范圍，比如PICS切換至SICS運行、MCR切換至RSS運行、T2000切換至HKS運行等；

5）災(zāi)害研究分析（源于FSAR），主要用于確定總體儀控試驗可以覆蓋驗證的災(zāi)害范圍，比如電氣廠房失火、通風(fēng)喪失等；

6）EPR核電廠應(yīng)急事故程序分析，主要用于研究分析試驗程序場景的設(shè)置和試驗邏輯的確定；

……

上述所有設(shè)計文件的分析工作，用于設(shè)計策劃總體儀控試驗的程序結(jié)構(gòu)，最終編制調(diào)試大綱文件SCP。在這些設(shè)計輸入中，DBC設(shè)計基準(zhǔn)工況的分析是核心關(guān)鍵。

DBC設(shè)計基準(zhǔn)工況分析中，首先通過分析研究，梳理出所有的初始事件（Postulated Initiating Events：PIE）；然后，結(jié)合單一事故準(zhǔn)則（SFC）、預(yù)防性維修（PM）的要求和EPR電站應(yīng)急事故管理策略（EOP），最終研究確定與電站運行及總體儀控設(shè)計相關(guān)的試驗驗證場景。

對于各種工況和試驗序列的設(shè)計驗證，可以通過不同的試驗場景設(shè)置來完成。比如，對于電氣和安全廠房通風(fēng)喪失（及火災(zāi)）而引起儀控設(shè)備失效的試驗場景設(shè)置，可以模擬環(huán)境溫度惡化來驗證設(shè)備的真實動作，也可以通過模擬設(shè)備斷電工況來驗證設(shè)備失效的動作響應(yīng)。

經(jīng)過全面分析和等效論證，最終選用了相對折中和保守的方案來策劃總體儀控試驗方案。以儀控系統(tǒng)環(huán)境惡化、部分失效等情況為例，最終確認(rèn)通過模擬機組失電的工況來進行驗證。

上述機組失電及降級運行模式的研究確認(rèn)，僅針對與總體儀控相關(guān)的設(shè)計工況，其它與儀控失效或者降級運行無關(guān)的設(shè)計工況不在試驗策劃考慮的范疇之內(nèi)。

通過研究分析發(fā)現(xiàn)，對于EPR核島設(shè)計而言，最有可能出現(xiàn)的工況為：

1）失去廠外電LOOP（>2H）工況疊加一臺柴油機單一故障或預(yù)防性維修（PM）工況，從而導(dǎo)致某單一核島電氣列完全失電（包括所在列儀控系統(tǒng)）；

2）失去廠外電LOOP（>2H）工況疊加一臺柴油機單一故障，再疊加其它列一臺柴油機預(yù)防性維修（PM）工況，從而導(dǎo)致產(chǎn)生核島兩個電氣列同時失電（包括所在列儀控系統(tǒng)）。

在機組正常運行過程中，結(jié)合EPR應(yīng)急事故管理策略（EOP），導(dǎo)致出現(xiàn)核島單列喪失事故的工況除了失電之外，還包括核島部分區(qū)域火災(zāi)工況。對于臺山EPR核電機組，當(dāng)核島某一區(qū)域出現(xiàn)火災(zāi)工況時，為了更好的控制機組狀態(tài)，避免操作人員不恰當(dāng)?shù)母深A(yù)，在應(yīng)急事故管理策略中，將要求操縱人員利用火災(zāi)處理程序（FAIOp）停運對應(yīng)列的所有電氣盤。這種特殊的運行干預(yù)措施，也進一步佐證了總體儀控試驗利用失電來模擬部分設(shè)備失效工況的合理性。

最后，結(jié)合DEC超設(shè)計工況、儀控總體設(shè)計要求（FSAR第七章節(jié)）和災(zāi)害分析，研究制定了其它總體儀控試驗相關(guān)的特殊驗證場景。

通過本階段的研究和策劃，總體儀控試驗的初始程序范圍如圖1所示。

2.2 排除驗證工況

在通過第一階段的研究策劃之后，已初步分析設(shè)計了所有與總體儀控試驗相關(guān)的特殊驗證工況。

然而，在這些特殊的試驗場景之中：一些驗證工作已在工廠測試期間進行了相應(yīng)的測試論證；另外一些工況由于在實際調(diào)試試驗中無法模擬，因而只能在軟件平臺進行驗證；還有一些工況已經(jīng)被分散安排在其它的各個單系統(tǒng)調(diào)試試驗中進行生效驗證……所有這些特殊的工況將在本階段中逐一分析排除。

2.2.1 工廠測試論證

對于EPR機組，在工廠測試期間，已經(jīng)全面對安全級和非安全級儀控功能進行了測試驗證。因此，與此相關(guān)的測試場景不需要進一步在現(xiàn)場進行重復(fù)驗證。

通過該階段分析論證后，可以排除初始程序清單中的如下場景：

1）儀控非抗震設(shè)備失效驗證

2）喪失保護系統(tǒng)PS

2.2.2 單系統(tǒng)試驗驗證

對于總體儀控試驗初始清單中部分場景所涉及的內(nèi)容，相關(guān)的試驗驗證工作已經(jīng)分解在單系統(tǒng)試驗驗證程序中。因此，在總體儀控試驗程序設(shè)計中，也將進一步進行排除。比如：

1）SAR喪失試驗

2）激活嚴(yán)重事故儀控SA I&C;

2.2.3 其它聯(lián)調(diào)試驗程序覆蓋

在EPR機組中，還設(shè)計有其它幾個與總體儀控試驗相似的虛擬系統(tǒng)聯(lián)調(diào)試驗，比如：電源切換試驗（BAS）。這些虛擬系統(tǒng)聯(lián)調(diào)試驗各自驗證的范圍雖然不盡相同，但是部分驗證內(nèi)容卻有交叉之處。

在電源切換試驗（BAS）最初設(shè)計中，其已經(jīng)考慮了部分總體儀控試驗所分析的試驗場景。

另外，部分總體儀控試驗場景也將覆蓋另外一部分試驗場景。比如：核島單列喪失試驗場景已經(jīng)覆蓋了單個機柜喪失場景的驗證測試。

因此，通過該步驟的分析，又可以進一步刪減部分總體儀控試驗場景：

1）失去兩列核島電氣列試驗工況

2）全廠失電（SBO）試驗工況

3）喪失單個DCS機柜工況

……

最終，經(jīng)過本階段分析之后，總體儀控試驗測試場景變化如圖2所示。

2.3 優(yōu)化程序結(jié)構(gòu)

結(jié)合參考電站的經(jīng)驗反饋，總體儀控試驗的試驗窗口基本都在熱停堆工況，每份試驗執(zhí)行的時間均在0.5-1天左右，耗時較長。如果在總體儀控試驗策劃初期沒有綜合考慮到試驗周期的影響，那么勢必將影響到熱試的整個工期。

因此，對于前兩個階段已經(jīng)初步設(shè)計確定的試驗測試場景必須進行進一步的程序結(jié)構(gòu)優(yōu)化，從而讓整個總體儀控試驗既能夠滿足全面驗證的要求，又可以在程序數(shù)量和時間窗口方面滿足工程進度的需要。

為了實現(xiàn)優(yōu)化程序結(jié)構(gòu)的目標(biāo)，在整個策劃過程中采取了如下的措施：

1）經(jīng)過研究分析發(fā)現(xiàn)，EPR機組的核島第一區(qū)和核島第四區(qū)、核島第二區(qū)和核島第三區(qū)在初始設(shè)計方面，已經(jīng)考慮了對稱設(shè)計的原則，所以在相同的試驗工況下可以精簡一半的程序數(shù)量；

2）在總體儀控試驗階段選擇方面，目前主要選定的試驗階段為標(biāo)準(zhǔn)熱停堆工況和標(biāo)準(zhǔn)冷停堆工況（RIS-RHR）兩種工況平臺；

3）對于喪失最終熱阱LUHS（Loss of Ultime Heat Sink）和喪失冷鏈LOCC（Loss of Coolant Chain）兩種工況，由于對機組總體運行和儀控的影響與部分總體儀控試驗及SBO工況相同，所以將統(tǒng)一在總體儀控及BAS SBO試驗中進行驗證；

4）對于部分區(qū)域火災(zāi)、通風(fēng)喪失、支持系統(tǒng)喪失等災(zāi)害或事故導(dǎo)致的工況，由于在調(diào)試期間無法正常模擬，所以可以通過失電的方式進行統(tǒng)一模擬驗證，從而達到程序結(jié)構(gòu)的優(yōu)化；

5）作為儀控總體測試策略完整性的補充，最終在總體儀控試驗程序中也添加補充了部分特殊試驗程序，來保證儀控試驗的完整性。

……

最終，經(jīng)過識別初始事件、排除驗證工況和優(yōu)化程序結(jié)構(gòu)的一體化研究分析，設(shè)計策劃了適用于臺山EPR的總體儀控試驗程序體系。

上述程序結(jié)構(gòu)中，目前共計包括12份試驗程序，該12份程序的設(shè)置、試驗工況的選擇和傳統(tǒng)CPR試驗相比有很大的不同之處。在EPR總體儀控試驗程序中，這12份試驗程序又可以按照試驗內(nèi)容的不同劃分為四個不同的子項：

1）機組降級試驗，包括TP OIC 101-104，主要通過在不同的試驗平臺下，依次停運核島四個分區(qū)的供電來模擬驗證機組控制策略和儀控系統(tǒng)響應(yīng)。此部分試驗通過失電來模擬。

2）總體儀控切換試驗：包括TP OIC 105-109，主要驗證EPR I&C;系統(tǒng)在整體儀控設(shè)計中的不同降級運行方式。此部分試驗分為：機組從PICS切換到SICS運行、機組從MCR切換到RSS運行及機組從SPPA-T2000控制切換到HKS運行控制等。

3）儀控系統(tǒng)性能試驗：此部分試驗作為EPR儀控系統(tǒng)完整性試驗策略的補充，包括TP OIC 112和901，主要用以驗證特定工況下的DCS響應(yīng)時間測量和DCS負荷率。

4）特殊工況試驗：此部分試驗為TP OIC 902，用于驗證確認(rèn)DCS對機組狀態(tài)計算的準(zhǔn)確性。

3 結(jié)論

總體儀控試驗是當(dāng)前EPR機組中復(fù)雜程度最高的幾項聯(lián)調(diào)試驗之一，在傳統(tǒng)二代機組中，該類型試驗設(shè)計方法一直掌握在以EDF為代表的法國公司手中。通過對臺山EPR總體儀控試驗程序結(jié)構(gòu)成型過程的研究分析，一方面將掌握核心調(diào)試技能；另一方面也將進一步加強和提升中方公司在總體儀控系統(tǒng)試驗策劃方面的能力，為后續(xù)其它技術(shù)路線核電站總體儀控試驗策劃提供參考。

【參考文獻】

[1]臺山核電廠1、2號機組最終安全分析報告[內(nèi)部資料].

[2]臺山核電廠運行技術(shù)規(guī)范[內(nèi)部資料].