主控室后備盤應對網絡故障的改進分析

馬 斌，原上草，高 穎

(中核核電運行管理有限公司，浙江 海鹽 314303)

1 背景

《HAF 0200核電廠設計安全規定》指出：核電廠必須設置主控室，使核電廠在各種工況下安全運行。在事故工況以及控制室設計中所采用的設計基準事件出現后，能采取相應措施使核電廠維持在安全狀態或使之返回安全狀態[1]。

主控室設計的目標是及時并準確地向核電廠操作員提供電廠工藝系統和就地設備的狀態信息，并完成對核電廠工藝系統和設備的控制。隨著計算機技術、控制技術和網絡技術的高速發展，新建核電廠的儀表控制系統大多采用更先進的數字化DCS技術。

方家山核電廠采用了先進的主控室設計方案，以基于數字化人機接口的操縱員工作站(Operator Work Place，OWP)為主要控制手段，同時設計了基于模擬卡件技術的后備盤(Back Up Panel，BUP)作為應對OWP 失效的多樣化后備手段。方家山核電廠控制方式見圖1。當OWP 可用時，操縱員利用OWP 對核電廠進行監督和控制；當OWP 不可用時，操縱員利用BUP 繼續進行操作。同時，還設立了遠程停堆站(Remote Shutdown Station，RSS)，當主控室失效時(例如火災)，操縱員可以在遠程停堆站對核電廠進行控制，確保核電廠的穩定運行[2]。

圖1 方家山核電廠控制模式示意圖

2 方家山核電廠BUP部分不可用事件

2.1 事件描述

2018年10月21日5：30，方家山核電廠1號機組主控室KIC所有操縱員站自動退出，無法通過OWP進行監控和操作，維修人員檢查發現DCS一層網絡有14個交換機端口被禁用，導致房間級交換機和機組級交換機通信部分中斷，造成KIC/BUP與一層鏈接異常，KIC全部控制功能、BUP的部分控制功能已不可用。

2.2 事件原因分析

如圖2所示，DCS一層MESH 網絡，由三層倒掛樹形結構組成，既每個機組配置四對房間級交換機與四個DCS設備間中的CP進行數據交互；同時每個交換機均與一對機組級交換機相連，完成跨房間CP 之間、工程師站與CP 之間、DCS一二層之間的數據交互工作；而機組級交換機則與根交換機進行通信，實現方家山核電廠兩臺機組間數據的交互。

圖2 DCS一層MESH網絡圖

在本次事件中，由于機組級交換機1U1ASW突發異常故障，導致方家山核電廠DCS一層MESH網絡發生RSTP(Rapid Spanning-Tree Protocol快速生成樹協議)失效，房間級交換機發送數據傳輸時，數據包經過1U1ASW時沒有屏蔽掉，短時間內形成了數據傳輸環路。為應對該網絡風暴事件，1號機組與1U1ASW產生數據交互的其他交換機，根據自身配置的CoS LDP(Loop Detection Policy環路檢測機制)將數據入站速率超限的級聯端口禁用，相關故障網絡狀態圖如下所示(紅色端口表示被禁用端口，紅色線表示網絡通信斷開，藍/黑色線表示網絡通信正常)。

由于被CoS LDP 機制禁用的交換機端口，必須由維修工程師手動解除，因此在禁用端口釋放前，1號機組DCS MESH 網絡上，1R3ASW/1R3BSW、1R4ASW/1R4BSW (L507/L509 兩個電子設備間控制器)處于網絡孤島狀態。

由于1KIC 系統用于判斷MCM/BUP/RSS 控制模式的4 個狀態點均在L507 和L509 房間，因此導致此時這些信號在二層均為無效狀態，1KIC 系統根據控制模式切換原則，自動退出MCM 模式至BUP 模式。

正常情況下，當電廠在主控室控制模式，將BUP 盤臺的切換開關旋至BUP 模式，電廠處于BUP 控制模式，此時按下盤臺上的釋放按鈕和工藝設備的控制按鈕就可將控制指令送至對應一層控制器。在BUP 設計中，針對同類型設備的集中性考慮，BUP 切換開關產生的“BUP 操作模式”和防止設備誤動作的“釋放按鈕”邏輯組合結果，通過一層MESH 網絡傳遞至待操作設備的BUP 控制邏輯中，導致當一層網絡失效時，BUP 上部分設備無法操作，工藝系統此時控制功能不完整，進而導致BUP 控制功能不完整。原因分析圖見圖3。

圖3 BUP不可用原因圖

3 BUP控制方式優化

3.1 切換開關的邏輯分析

BUP盤上切換按鈕有兩組：KSC901CC/903CC/905CC(A列)和KSC902CC/904CC/906CC(B列)。以方家山核電廠1號機組為例，其A列切換按鈕信號以繼電器擴展方式，有信號分別送至L507和L609房間；B列切換按鈕信號則送至L509房間。在方家山核電廠NC級DCS設計中，L507/L607/L609房間所在DCS機柜屬于A列，L509房間所在DCS機柜屬于B列。

因此，從邏輯上分析，B列切換按鈕信號沒有經過DCS一層網絡機組級交換機。而A列L607房間的釋放按鈕信號沒有從BUP直接輸入，而是從其他房間通過機組級交換機獲得。故在機組級交換機故障情況下，L607房間所在工藝設備無法通過BUP盤直接控制。

3.2 釋放按鈕的邏輯分析

方家山核電廠BUP盤需控制的工藝設備多，為了操作便捷性，BUP上分成了12板塊，對應的釋放按鈕分為12組。每一組釋放按鈕分A/B列，并有兩個按鈕互為冗余，防止單一故障造成設備無法控制。

通過對BUP盤上所有工藝系統控制按鈕的邏輯分析，核級(1E級)工藝設備有79個，其信號進入DCS Tricon平臺(核級)進行邏輯控制，與NC級網絡交換機不存在信號傳輸路徑，故假如DCS一層網絡機組級交換機故障情況下，BUP盤上核級工藝設備控制按鈕可用。

BUP盤上非核級工藝系統控制按鈕總283個，經對控制按鈕、釋放按鈕和切換開關的邏輯分析，確認在DCS一層網絡房間級交換機故障情況下，BUP盤上不可用工藝系統設備按鈕有93個，涉及系統有反應堆冷卻劑系統(RCP)、汽機旁排系統(GCT)、主給水流量控制系統(ARE)、安全殼噴淋系統(EAS)、化學和容積控制系統(RCV)、反應堆硼和水補給系統(REA)和設備冷卻水系統(RRI)等。

3.3 優化方案

為了解決DCS一層網絡機組級交換機故障造成BUP盤控制按鈕不可用的問題，擬將釋放按鈕、控制按鈕、切換開關及控制邏輯中間點/輸出點的邏輯組合在一個房間內部的DCS機柜內完成。如果保持釋放按鈕信號邏輯不變，將工藝系統的內部邏輯、輸出信號進行重新設計分配至釋放按鈕信號所在DCS房間，則需要改動的邏輯組態多，并需要重新改變DCS機柜至就地設備的電纜路徑，后續施工量很大，該方法在已投用商運機組不可取。

為了減少施工量，合理的方式是將BUP切換開關和釋放按鈕的信號通過硬接線擴展的方式引至所需房間[3]。硬接線擴展的方式有以下兩種方案。

方案一：在BUP盤增加繼電器，通過繼電器擴展、敷設信號電纜將切換開關和釋放按鈕信號送至DCS機柜所在各個房間。

方案二：在DCS機柜內，通過原有空余開關量通道，將原切換開關和釋放按鈕信號通過增加硬接線方式，引至DCS其他房間。

兩個方案的比較，見表1。

表1 兩方案比較

方家山核電廠主控室BUP盤控制方式優化變更申請在2019年2月初獲得秦山核電批準，計劃在2019年3月方家山104大修中實施，存在準備時間短和繼電器等設備采購周期較長的矛盾；同時，方案一的現場施工工作量較大，給方家山大修的主線工作造成一定壓力，故在本次優化變更中采用方案二來實施。

BUP盤切換開關的優化方案是敷設一組電纜，將A列切換開關KSC901CC/903CC/905CC的信號從L507房間引至L607房間，保證NC級DCS機柜所在每個房間都有硬接線的切換開關信號輸入。

BUP盤釋放按鈕的優化，是分析釋放按鈕與工藝系統的邏輯關系，將釋放按鈕的信號引至所需DCS機柜所在房間。通過BUP盤上每個控制按鈕的具體邏輯分析，需敷設兩組電纜，將A列釋放按鈕信號從L507房間分別引至L607房間和L609房間，如圖4所示。

圖4 BUP釋放按鈕接線圖

4 總結

故在方家山核電廠原DCS設計中，沒有考慮DCS一層網絡整體故障模式，也沒有DCS一層網絡整體故障后系統可用性分析和機組操作應對預案。

方家山核電廠1 號機組DCS 一層交換機端口禁用故障運行事件和后續發生的秦山第二核電廠4號機組DCS網絡故障導致自動停堆事件，說明I/A平臺DCS一層網絡也存在整體故障的可能性。尤其是DCS網絡其中一臺交換機故障導致網絡風暴或端口禁用，造成DCS一層網絡不可用是需要重點關注的。

本文是在假設方家山核電廠DCS一層網絡機組級交換機故障復現時、保證機組BUP可用并使機組處于可控狀態而提出的優化方案。通過變更后試驗的驗證，可確認本文中的優化方案可行。該應用方案具備向同類全數字化核電廠推廣的價值。

建議方家山核電廠BUP盤的后續再優化中，可利用大數據仿真分析方法，重點考慮DCS一層網絡房間級交換機部分故障或者整體故障的影響，并在DCS房間/機柜的工藝系統功能分組上予以考慮優化。

對新建核電廠，建議在設計初期即可借鑒“方家山核電廠1號機組DCS一層交換機端口禁用故障運行事件”的經驗教訓，在設計上考慮DCS一層網絡整體不可用的故障模式和應對預案，并優化DCS總體設計方案和工藝系統功能分組方案。