T/CNEA 030-2022 核电厂反应堆保护系统信号故障处理技术导则

　　ICS 27.120.10

　　CCS F69

　　团 体 标 准

　　T/CNEA 030—2022

　　核电厂反应堆保护系统故障信号处理 技术规范

　　Technical specification for fault signal handling of reactor protection system in nuclear power plant

　　2 0 2 2 - 0 9 - 2 1 发 布

　　中国核能行业协会 发 布

　　T/CNEA 030—2022

　　目 次

　　T/CNEA 030—2022

　　前 言

　　本文件按照GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规 定起草。

　　请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。

　　本文件由中国核能行业协会提出并归口，技术支持单位为上海核工程研究设计院有限公司、核工 业标准化研究所、苏州热工研究院有限公司。

　　本文件起草单位：江苏核电有限公司、生态环境部核与辐射安全中心。

　　本文件主要起草人：刘永生、李伟、张云波、管运全、穆海洋、乔宁、谢国宝、刘景宾、管海飞、 郑佳慷、史东亮、支凤春、段鹏、刘敏。

　　本文件为首次发布。

　　T/CNEA 030—2022

　　引 言

　　核电厂安全重要仪表和控制系统越来越计算机化后，其设计和故障模式也呈现出一定的复杂化趋 势。根据IEC 61513—2011中的相关要求，执行安全功能的仪控系统检测到故障时，仍然需要通过逻 辑降级、故障安全和闭锁输出的方式使安全系统保持在备用模式安全运行，为了规范核电厂反应堆保 护系统信号故障后的处理原则，特制定本文件。

　　T/CNEA 030—2022

　　核电厂反应堆保护系统故障信号处理技术规范

　　1 范围

　　本文件规定了核电厂数字化的反应堆保护系统应对故障信号的总体原则、设计与实现、系统集成、 系统确认、安装和调试、运行和维护、变更和修改等要求。

　　本文件适用于核电厂反应堆保护系统的设计与改进。

　　2 规范性引用文件

　　下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文 件，仅该日期对应的版本适用于本文件;不注日期的引用文件，其最新版本(包括所有的修改单)适 用于本文件。

　　GB/T 20438 电气/电子/可编程电子安全相关系统的功能安全

　　GB/T 15474 核电厂安全重要仪表和控制功能分类

　　IEC 61508 Functional safety of electrical/electronic/programmable electronic safety-related Systems IEC 61513 Nuclear power plants-Instrumentation and control important to safety

　　3 术语和定义

　　GB/T 20438 和GB/T 15474界定的以及下列术语和定义适用于本文件。

　　3.1

　　(反应堆)保护系统 protection system(of reactor)

　　监测反应堆的运行，并根据探测到的异常工况信号，自动触发动作以防止发生不安全或潜在的不 安全工况的系统。

　　[HAF 102(2016),名词解释]

　　3.2

　　安全生命周期 safety life cycle

　　安全相关系统在实现功能的过程中所必需的活动，这些活动发生在从一项工程的概念阶段开始， 直至所有的安全相关系统停止使用为止的一段时间内。

　　3.3

　　安全系统 safety system

　　安全上重要的系统，用于保证反应堆安全停堆、从堆芯排出余热或限制预计运行事件和设计基准 事故的后果。

　　[HAF 102(2016),名词解释]

　　3.4

　　冗余 redundance

　　除本身外，设置另外一个或多个(相同的或不同的)构筑物、系统和部件，以便其中一个能执行 所要求的功能，不管任何其他的是处于运行状态还是故障状态。

　　[GB/T 4960.6—2008,定义4.1.10]

　　3.5

　　通道 train

　　系统内相互连接的几个部件发出单一输出信号的配置，在单一输出信号与来自其他通道(例如： 监测通道或安全驱动通道)的信号结合在一起的地方，通道就告终止。

　　[GB/T 4960.6—2008,定义4. 1.30]

　　3.6

　　系统逻辑 system logic

　　监测两个或两个以上通道的输出并按预定的组合规则(如3取2、4取2等)给出信号的设备。

　　3.7

　　信号质量位 signal quality bit

　　表征信号品质优劣或信号是否故障的开关量信号。

　　3.8

　　故障 fault

　　不能执行某要求功能的一种特征状态，它不包括在预防性维护和其他有计划的行动期间，以及因 缺乏外部资源条件下不能执行要求的功能。

　　[GB/T 5226.1—2019,定义3.1.30]

　　4 总体原则

　　4.1 故障信号处理功能用于应对反应堆保护系统中可能出现的故障信号，故障信号处理功能应满足与 反应堆保护系统一致的安全等级要求，实现该功能的系统软件和硬件平台应与反应堆保护系统相同。

　　4.2 为了保证故障信号处理功能满足核电厂安全要求，需要把与故障信号处理功能的设计、实现和运 行相关的活动置于仪控系统的安全生命周期的框架内。

　　典型的仪控系统生命周期包括下列阶段：

　　a) 系统需求分析;

　　b) 系统设计与实现;

　　c) 系统集成;

　　d) 系统确认;

　　e) 系统安装与调试;

　　f) 系统运行与维护;

　　g) 系统设计变更与修改。

　　5 系统需求分析

　　5.1 对于反应堆保护系统及其部件的失效模式(包括应对失效的响应、应对失效的措施等)应当明

　　T/CNEA 030—2022

　　确要求，要求应清晰、准确、可验证、可测试及可维护，应切实可行，生命周期任一阶段应能方便理 解;对于必需的测试项目，指标可以量化。

　　5.2 对于反应堆保护系统信号故障后的系统提示要求(报警等)应当详细说明。

　　6 系统设计与实现

　　6.1 故障假设

　　6.1.1 设计和开发核电厂反应堆保护系统时，应对可能发生的故障信号进行假设，并根据其假设制 定具体的防护措施。

　　6.1.2 故障假设的基础宜是对完整信号回路的故障理论分析和对已发生故障的总结和正确估计， 例如：

　　a) 信号源故障，例如，取样管线故障、变送器故障等;

　　b) 信号回路故障，例如，供电保险、信号保险熔断或者线路故障等;

　　c) 通道间信号交换故障，例如，信号分配通道错误、通道间通讯故障等;

　　d) 系统软件故障，例如，反应堆保护系统软件故障等;

　　e) 系统硬件故障，例如，控制机柜供电模块、信号模块、通讯模块、逻辑处理模块等硬件故 障等。

　　6.1.3 组成安全相关信号回路的元器件性能和环境条件应根据产品标准或生产厂家的规定，结合信 号回路的安全要求正确选用，并应考虑故障后果，例如：

　　a) 超量程;

　　b) 板卡故障;

　　c) 通道故障;

　　d) 信号逻辑处理设备故障等。

　　6.2 故障监测

　　6.2.1 信号回路应具备必要的自诊断功能及必要的监(检)测设备。监(检)测设备工作或故障时， 不能影响其他安全功能的正常工作。

　　6.2.2 出现故障时应及时发出报警，发现故障信号不应引起危险状态或导致运行的危险状态。

　　6.3 故障识别

　　6.3.1 参与反应堆保护系统的工艺信号从生成到仪控系统安全功能的触发，整个信号链路发生的信 号故障均应被有效识别。

　　6.3.2 就地仪表、传感器故障和信号传输线路径故障产生的模拟量信号，通常可在仪控系统逻辑单 元中根据信号电流是否处于正常工作区间判断，信号偏差可通过冗余仪表信号的交叉比较判断。

　　6.3.3 传感器故障和信号传输路径故障产生的模拟量信号，可通过单独的质量位信号判断。

　　6.3.4 信号触点故障和信号传输路径故障产生的开关量信号，通常需配置双触点，在仪控系统逻辑 单元中通过双触点信号互异的特点判断。

　　6.3.5 系统数据传输故障、系统软件故障、系统硬件故障产生的信号，若是由仪控系统本身引起的， 可通过系统自检有效监视和识别。

　　6.4 故障标识

　　6.4.1 在仪控系统逻辑单元处理中的信号，应包含信号值和质量位两个方面的信息。其中，质量位

　　表征该信号是否处于故障的状态。

　　6.4.2 当信号被识别为故障时，该信号的质量位应标识故障状态。

　　6.4.3 质量位信号应能被仪控系统逻辑单元提取，以便在后续传输过程中能掌握该信号的隔离、标 识、逻辑降级及触发默认值输出等情况。

　　6.4.4 在仪控系统的人机接口或可视化界面中，应通过有效的标识方法使工程师、管理员、运行人 员能够辨识信号是否处于故障状态。

　　6.4.5 对于故障信号的标识，应防止多个通道同时故障后，因标识不清晰而对系统多个通道产生影 响，导致安全功能不可用。

　　6.5 故障报警

　　6.5.1 信号发生故障时，应能向核电厂运行人员及时发出警报或报警，以利于及时采取相应的行动。

　　6.5.2 故障信号的报警应根据信号冗余故障程度和信号类别分等级设置，既充分引起运行人员注意， 又不会过分地分散运行人员的注意力。

　　6.6 功能独立性和隔离

　　不同安全等级的系统和功能之间应相互独立，控制信号故障时的影响范围，主要体现在：

　　a) 相互间的数据通信隔离要求;

　　b) 高等级系统相对较低等级系统的单向通信设计;

　　c) 安全级系统内部不同安全组或系列之间也应充分独立。

　　6.7 故障失效应对

　　6.7.1 故障信号组合

　　反应堆保护系统的设计者应明确反应堆保护系统应对故障信号的策略，策略应涵盖冗余故障信号 的全部组合：

　　a) 单个冗余故障信号;

　　b) 多个冗余故障信号;

　　c) 所有冗余故障信号。

　　6.7.2 故障信号应对策略

　　通常，故障信号应对策略宜在系统逻辑中预先设置，包括：

　　a) 降级运行：当冗余的信号中有数量较少(通常是1个或者2个)的故障信号时，剔除发生故 障的信号，剩余冗余信号参与下一步功能计算，如果有多个故障信号时(通常≥3个),则触 发相应的安全功能。四个冗余通道的反应堆紧急停堆系统出现故障信号后的降级运行方案示 例见附录A;

　　b) 输出默认值，根据安全分析的要求，当冗余信号中有多个或者全部(通常≥3个)发生故障 时，输出事先设定的默认值;

　　c) 闭锁输出，当参与一个功能的冗余信号中有多个或者全部发生故障时，闭锁该功能的输出。

　　6.8 功能完整性

　　故障信号处理功能设置的闭锁/剔除的总体要求是，在出现内外部故障信号或条件劣化且可能会造 成安全功能失效的情况下，系统仍有能力完成其规定的安全功能。其他辅助性功能、支持性功能都不 能对系统执行安全功能产生有害影响，也不应使安全系统产生误动作。

　　T/CNEA 030—2022

　　6.9 工艺状态的影响

　　核电机组不同的运行工况(工艺状态)可能会影响反应堆保护系统某些特定信号的质量位，可结 合安全功能设计者对于参数监测的要求，根据工艺参数条件排除受影响信号的部分或全部故障应对策 略。当核电机组不在额定功率下运行、处于检修、检修前的冷却或者检修后的加热状态时，部分就地 仪表或传感器可能受到工艺状态的影响，导致反应堆保护系统错误地识别出故障信号，从而错误地根 据故障信号应对策略响应或触发安全功能。应考虑这种可能性，并考虑设置闭锁条件。

　　6.10 其他一般要求

　　6.10.1 核电厂反应堆保护系统中的信号传输(包括硬件和软件),应具有必要的安全性和可靠性。

　　a) 核电厂反应堆保护系统的所有硬件和软件应满足所有核级设备鉴定、设计和测试等的标准。

　　b) 核电厂反应堆保护系统信号故障的应对策略应贯穿系统的整个生命周期，并按照系统的安全 功能级别执行各阶段的质量控制。

　　6.10.2 故障安全的要求应是从技术上能够实现的，研究和设计各种安全级信号回路，均应满足故障 安全的原则。

　　7 系统集成

　　7.1 通用要求

　　7.1.1 故障信号处理功能的集成应与仪控系统的集成同步进行。

　　7.1.2 安全要求等级较高时，应集成系统设计中所有的功能模块，以验证这些模块在测试过程中的 相互影响和作用。

　　7.2 一般要求

　　7.2.1 测试前应选择测试用例，测试用例应考虑：

　　a) 覆盖故障信号处理功能相关的所有信号;

　　b) 覆盖故障假设中设定的所有故障类型;

　　c) 对同一类别的信号，应覆盖此类信号涉及的所有应对策略;

　　d) 应验证故障信号处理功能不会影响反应堆保护系统的执行。

　　7.2.2 应通过静态和动态模拟输入信号测试、验证故障信号处理功能在正常运行工况、预期运行事 件、事故工况的响应。

　　7.2.3 测试中应关注出现故障信号时仪控系统的响应，例如，故障信号的影响范围、相关逻辑的连 锁反应。

　　7.2.4 在集成测试中，应对集成系统的任何修改或改变进行影响分析，以确定是否需要对修改或改 变涉及的模块进行重复测试。

　　7.2.5 集成测试应形成文档报告，记录测试结果是否满足测试目的和准则;如测试失败或故障引起 仪控系统功能失效，应记录失败原因，并评估是否需要进行修改和重复验证。

　　8 系统确认

　　8.1 对集成的系统(包括故障信号处理功能)进行试验以证明其符合功能、性能和接口的技术规范。

　　8.2 系统确认应在最终配置(包含最终版本的软件)的系统上进行。

　　8.3 宜对每个反应堆保护系统故障信号及其相关组合进行测试。

　　9 系统安装与调试

　　9.1 在完成现场安装后，故障信号处理功能应通过调试试验得到验证和确认。

　　9.2 结合现场信号源相关的故障，宜通过现场实际的案例测试、验证各种类别的故障的响应与预期

　　一 致 。

　　9.3 宜通过现场实际的案例测试、验证其他各种类别的典型故障的响应是否与预期一致。

　　9.4 宜结合工艺系统在各种工况的工作情况，评估对仪控系统测量的影响及是否会导致信号故障。

　　10 系统运行与维护

　　10.1 核电厂反应堆保护系统故障信号的维修等级应与反应堆保护系统一致，宜制定定期巡检、定期 试验或其他预防性维修策略。

　　10.2 针对核电厂反应堆保护系统可预见的故障、干扰或失效，宜制定应急方案或者预案，宜有相应 的规程指导事故处理的过程。

　　11 系统设计变更与修改

　　11.1 应当为故障信号处理功能的每次修改建立文档，文档应包括：

　　a) 变更或修改的详细描述;

　　b) 变更或修改对整个系统的相互作用的影响分析;

　　c) 变更或修改带来的改进或提升;

　　d) 变更或修改验证的方案;

　　e) 系统规程及相关文档的变更。

　　11.2 故障信号处理功能变更或修改的设计、实施和测试应与系统开发时的水平保持一致。

　　11.3 故障信号处理功能变更或修改完成后，应对系统功能及相互影响重新进行验证。

　　11.4 故障信号处理功能变更或修改应获得批准后才能执行。

　　T/CNEA 030—2022

　　附 录 A

　　(规范性)

　　降级运行方案示例

　　4个冗余通道的反应堆紧急停堆系统出现故障信号后的降级运行方案示例见表A.1。

　　表 A.1 降级运行方案示例