论文部分内容阅读
【摘 要】目前系统的失效模式和影响分析（FMEA）工作多仅针对系统的自动驱动功能。为防止共模失效的发生，目前新一代数字化核电厂设计中广泛采用多样化驱动系统（DAS）作为反应堆保护系统的多样性后备系统。在相关可靠性分析工作中，必须针对DAS系统的特性进行分析，综合考虑其自动驱动、手动驱动和专设显示功能。本文基于保守的原则对该系统安全功能的失效进行了针对性分析。相关结论为系统后续分析工作奠定了基础，分析方法也为其他系统的类似工作提供了参考。
【关键词】多样化驱动系统 安全功能 自动驱动 手动驱动 专设显示
近年来，失效模式及影响分析（FMEA）作为国际标准[1]认可和推荐的分析方法，在系统的可靠性分析工作中被广泛采用。然而以上大部分FMEA工作，均仅针对系统的自动驱动功能。
目前新一代数字化核电厂设计中广泛采用多样化驱动系统（DAS）作为反应堆保护系统的多样性后备系统。两者采用不同的软件、硬件和设计团队，从而防止共模失效的发生。DAS系统主要功能为：自动驱动、手动驱动、专设显示。为真实的反映系统特性，必须综合考虑以上因素，才能得出客观的分析结果。
一、DAS系统简介
（一）功能简介
DAS系统负责显示并监控多个反应堆关键参数，在保护系统发生共模故障而不能執行相应的安全功能时，DAS系统自动驱动动作。DAS系统还在主控室内和机柜内提供了重要参数的专设显示和手动驱动。通过以上配置，DAS系统能够缓解事故后果，从而实现核电站的概率安全目标。
（二）系统功能结构简介
DAS系统由两序列组成，两序列分别接收冗余的模拟量参数输入信号。经过模数转换后的数字信号分别：
1.参与自动驱动逻辑的定值比较；
2.通过通信模块送至位于主控室DAS盘专设显示模块和位于DAS机柜内的就地专设显示模块。操纵员可以透过机柜门上的观测窗口对就地显示数值进行监视。
硬件上，DAS系统提供1套位于主控室的DAS盘手动驱动开关和1套位于DAS系统机柜内的就地手动驱动开关，两手动驱动开关间首先采取“与”逻辑。必要时，操纵员也可以根据专设显示提供的信息，手动驱动执行机构。
（三）系统功能结构简介
DAS 系统主要安全功能包括：
1.自动驱动（自驱）：当关键参数测量值超限时，提供独立于保护系统的多样化自动驱动信号给执行机构。
2.手动驱动（手驱）：手动驱动执行机构。
二、FMEA工作简述
FME作为一种系统级的用于确定失效模式和该失效所导致后果的分析方法。分析人员需要根据各失效对系统安全功能的严重程度等，对这些失效进行分级，为后续可靠性工作的开展提供有价值的参考信息。以上工作，必须以明确系统安全功能的失效为前提。
三、针对DAS系统安全功能失效的分析
（一）保守的前提和假设
1.纵深防御的考虑
DAS系统是保护系统的多样化后备系统。基于保守原则，本文分析过程不考虑保护系统可能提供的类似的安全功能。
2.不同参数间的关系
在某些工况下，DAS系统内参与自动驱动的不同参数间在物理关系上可能存在相互关联的关系（例如，通常情况下，反应堆温度升高的同时，反应堆压力也同时升高）。本次分析中假设并认为：DAS系统不同参数间相互独立。
3.电厂布局的考虑
DAS系统硬件主要包括：位于主控室DAS盘上的专显设备和手驱设备以及位于DAS机柜内的专显设备和手驱设备。一般电厂布局中，主控室DAS盘和DAS机柜位于不同的房间且距离较远。
（二）DAS系统自驱和手驱导致失效的分析
当满足下式时，认为DAS系统安全功能保持：
根据上式和摩根（Morgan）定律，DAS系统对单个关键参数发生拒动失效可表示为：
根据上式，当出现以下情况之一时， 认为DAS系统发生失效：1.自驱拒动失效且主控室手驱拒动失效且就地手驱拒动失效。2.自驱拒动失效且主控室手驱拒动失效且就地专显失效失效。3.自驱拒动失效且主控室专显失效失效且就地手驱拒动失效。4.自驱拒动失效且主控室专显失效且就地专显失效。
（三）系统误动的考虑
考虑到系统误动的可能，DAS系统安全功能失效定义为：
DAS系统发生如3.2节定义的失效或失效导致DAS系统发生误动。
（四）失效严重性的分级
根据以上分析，并参考各失效的严重程度，可进一步对DAS系统各失效进行分级。分级依据如下：
1.I级：该失效直接导致DAS系统丧失其安全功能。
2.II级：若该失效发生，DAS系统仍能完成其安全功能，但精度将受影响。
3.III级：该失效导致DAS系统冗余度将下降至以下程度：若再发生额外的单一失效，系统将丧失其安全功能。
4.IV级：发生该类失效时，需要进行相关的维护操作，但除此以外，不影响系统的安全功能。
四、结论
本文以DAS系统FMEA分析工作为例，基于DAS系统的安全功能，针对DAS系统特性，综合考虑各相关因素，对DAS系统安全功能丧失进行了针对性的分析。以上工作，为后续进一步的可靠性工作的开展奠定了基础。相关分析方法也可为其他系统的类似工作提供参考。
参考文献：
[1]GB09225，1999，核电厂安全系统可靠性分析一般原则
[2]IEEE 603，1991， Standard Criteria for Safety Systems for Nuclear Power Generating Stations （ANSI）
[3]MIL-STD-1629A， 1980， PROCEDURES FOR PERFORMING A FAILURE MODE，EFFECTS AND CRITICALITY ANALYSIS
【关键词】多样化驱动系统 安全功能 自动驱动 手动驱动 专设显示
近年来，失效模式及影响分析（FMEA）作为国际标准[1]认可和推荐的分析方法，在系统的可靠性分析工作中被广泛采用。然而以上大部分FMEA工作，均仅针对系统的自动驱动功能。
目前新一代数字化核电厂设计中广泛采用多样化驱动系统（DAS）作为反应堆保护系统的多样性后备系统。两者采用不同的软件、硬件和设计团队，从而防止共模失效的发生。DAS系统主要功能为：自动驱动、手动驱动、专设显示。为真实的反映系统特性，必须综合考虑以上因素，才能得出客观的分析结果。
一、DAS系统简介
（一）功能简介
DAS系统负责显示并监控多个反应堆关键参数，在保护系统发生共模故障而不能執行相应的安全功能时，DAS系统自动驱动动作。DAS系统还在主控室内和机柜内提供了重要参数的专设显示和手动驱动。通过以上配置，DAS系统能够缓解事故后果，从而实现核电站的概率安全目标。
（二）系统功能结构简介
DAS系统由两序列组成，两序列分别接收冗余的模拟量参数输入信号。经过模数转换后的数字信号分别：
1.参与自动驱动逻辑的定值比较；
2.通过通信模块送至位于主控室DAS盘专设显示模块和位于DAS机柜内的就地专设显示模块。操纵员可以透过机柜门上的观测窗口对就地显示数值进行监视。
硬件上，DAS系统提供1套位于主控室的DAS盘手动驱动开关和1套位于DAS系统机柜内的就地手动驱动开关，两手动驱动开关间首先采取“与”逻辑。必要时，操纵员也可以根据专设显示提供的信息，手动驱动执行机构。
（三）系统功能结构简介
DAS 系统主要安全功能包括：
1.自动驱动（自驱）：当关键参数测量值超限时，提供独立于保护系统的多样化自动驱动信号给执行机构。
2.手动驱动（手驱）：手动驱动执行机构。
二、FMEA工作简述
FME作为一种系统级的用于确定失效模式和该失效所导致后果的分析方法。分析人员需要根据各失效对系统安全功能的严重程度等，对这些失效进行分级，为后续可靠性工作的开展提供有价值的参考信息。以上工作，必须以明确系统安全功能的失效为前提。
三、针对DAS系统安全功能失效的分析
（一）保守的前提和假设
1.纵深防御的考虑
DAS系统是保护系统的多样化后备系统。基于保守原则，本文分析过程不考虑保护系统可能提供的类似的安全功能。
2.不同参数间的关系
在某些工况下，DAS系统内参与自动驱动的不同参数间在物理关系上可能存在相互关联的关系（例如，通常情况下，反应堆温度升高的同时，反应堆压力也同时升高）。本次分析中假设并认为：DAS系统不同参数间相互独立。
3.电厂布局的考虑
DAS系统硬件主要包括：位于主控室DAS盘上的专显设备和手驱设备以及位于DAS机柜内的专显设备和手驱设备。一般电厂布局中，主控室DAS盘和DAS机柜位于不同的房间且距离较远。
（二）DAS系统自驱和手驱导致失效的分析
当满足下式时，认为DAS系统安全功能保持：
根据上式和摩根（Morgan）定律，DAS系统对单个关键参数发生拒动失效可表示为：
根据上式，当出现以下情况之一时， 认为DAS系统发生失效：1.自驱拒动失效且主控室手驱拒动失效且就地手驱拒动失效。2.自驱拒动失效且主控室手驱拒动失效且就地专显失效失效。3.自驱拒动失效且主控室专显失效失效且就地手驱拒动失效。4.自驱拒动失效且主控室专显失效且就地专显失效。
（三）系统误动的考虑
考虑到系统误动的可能，DAS系统安全功能失效定义为：
DAS系统发生如3.2节定义的失效或失效导致DAS系统发生误动。
（四）失效严重性的分级
根据以上分析，并参考各失效的严重程度，可进一步对DAS系统各失效进行分级。分级依据如下：
1.I级：该失效直接导致DAS系统丧失其安全功能。
2.II级：若该失效发生，DAS系统仍能完成其安全功能，但精度将受影响。
3.III级：该失效导致DAS系统冗余度将下降至以下程度：若再发生额外的单一失效，系统将丧失其安全功能。
4.IV级：发生该类失效时，需要进行相关的维护操作，但除此以外，不影响系统的安全功能。
四、结论
本文以DAS系统FMEA分析工作为例，基于DAS系统的安全功能，针对DAS系统特性，综合考虑各相关因素，对DAS系统安全功能丧失进行了针对性的分析。以上工作，为后续进一步的可靠性工作的开展奠定了基础。相关分析方法也可为其他系统的类似工作提供参考。
参考文献：
[1]GB09225，1999，核电厂安全系统可靠性分析一般原则
[2]IEEE 603，1991， Standard Criteria for Safety Systems for Nuclear Power Generating Stations （ANSI）
[3]MIL-STD-1629A， 1980， PROCEDURES FOR PERFORMING A FAILURE MODE，EFFECTS AND CRITICALITY ANALYSIS