基于数字化仪控平台的反应堆保护系统热试投运方案研究及风险控制

1、基于数字化仪控平台的反应堆保护系统热试投运方案研究及风险控制关键词： 核电站；RPR；保护投运；热试；数字化仪控系统；风险控制0 引言 作为核电站最重要的安全系统之一，RPR系统相关设备是否可靠，是否存在潜在的保护误动和拒动风险，将会对整个机组的调试进度、安全运行产生很大的影响。岭澳二期三号机组热试开始之前，RPR系统经过精心的调试，已经达到可用的状态。热试期间，将对核蒸汽供应相关系统进行热态联调及设备运行考验，如果能在热试期间有条件地投运RPR系统，不但能够检验RPR系统的可靠性，提高调试及运行人员的风险意识和故障分析、处理的能力，同时也能够为反应堆临界前的RPR保护正式投运提供宝贵的经验反

2、馈。 1 热试期间RPR保护投运的可行性 RPR系统的功能是采集核电站相关安全参数信号，并将其与预设置的保护阈值进行对比，对比结果经过逻辑表决后输出去触发紧急停堆断路器跳闸和专设安全设施动作。因此，反应堆保护的投运，须确保以下四个环节的可用性： 1）上游传感器及其采集通道的可用性； 2）RPR系统逻辑功能的可用性； 3）RPR至下游紧急停堆断路器和专设安全设施保护指令通道的可用性； 4）RPR下游重大、易损设备的可隔离性。 上游传感器及其采集通道的异常将引起反应堆保护的误触发。热试前，除堆外核仪表系统及汽轮机中压缸截止阀阀位相关传感器还没有安装外，RPR相关上游传感器已安装、校验完毕，信号采集

3、通道的功能测试已经完成。经过现场测试，在探头不安装的情况下，堆外核仪表系统送往RPR的信号为4mA，不会因信号故障而引起保护的误触发。汽轮机中压缸截止阀阀位信号可以利用RPR专用试验平台进行模拟，能够满足RPR保护投运的需求。 热试前，紧急停堆断路器的机械、电气性能，RPR系统的逻辑功能及报警显示功能已经验证完毕，完成了RPR系统保护通道阈值检查，完成了RPR至下游系统重要保护接口的联合测试，能够确保RPR系统逻辑功能及至下游系统保护指令通道的可用性。 反应堆保护触发后将引起核电站大量重要设备的联锁动作，如果防范措施不得当，有损坏设备的风险。为了安全起见，保护投运前，重大、易损的执行机构必须做

4、好隔离措施。RPR系统到下游执行机构的保护指令可以通过以下几个方式进行有效的隔离： 1）电气盘置隔离位或试验位（泵、风机、电动阀等执行机构）； 2）执行机构置安全状态并挂锁（气动阀门等执行机构）； 3）拆除RPR至下游执行机构的保护指令接线； 4）拔出RPR保护指令相应的光电耦合器。 2 RPR保护热试投运方案选择 RPR保护投运方案有两种选择：全部投运和保守投运。 热试期间，需要做大量的系统联调试验，机组的状态变化很大，很难保证RPR保护不会被误触发，如果RPR系统全部投运，一旦误触发保护，有损坏设备的风险，后果将无法接受。 保守投运就是投运RPR上游保护信号，对重大、易损的设备进行现场实体

5、隔离或仪控隔离，投运其他反应堆保护指令。这种投运方式既能达到验证RPR系统可靠性的目的，一旦保护误触发，又能将后果控制在可接受的范围内。 为了保证热试能够安全、顺利进行，根据热试对RPR系统的具体需求及数字化仪控系统的特点，我们采用了RPR系统有条件投运的保守方案，并遵循以下原则。 1）放开入口，把握出口。为了满足热试期间机组的运行需求，并检验RPR系统潜在的误动风险，除汽轮机的四个中压缸截止阀的阀位信号（模拟量信号）用RPR专用试验平台模拟外，投运RPR系统相关的其它上游保护信号。对下游重大、易损坏的设备采取现场实体隔离或仪控隔离，投运其它RPR保护指令。 2）以稳为主、逐步投运。热试前，为

6、了方便RPR系统的日常试验工作、避免频繁触发保护对下游执行机构的影响，RPR上游保护信号利用RPR专用试验平台进行模拟，隔离了RPR至下游执行机构的所有保护指令。保护投运时，应严格按照既定的步序，在确保风险可控的前提下，逐步投运RPR系统，避免保护投运期间误触发反应堆保护。 3）加强日常监护。热试期间，定期核查RPR相关上游保护信号及报警信息，对发现的异常信息及时进行分析、排查，必要时通知机组运行人员紧急干预。 3 RPR保护热试投运准备 RPR保护投运在保证RPR逻辑功能可用的基础上，必须保证上游系统保护信号的可用，下游执行机构误动风险的可控。为了尽量避免风险、确保设备的安全 ，我们进行了充

7、分的准备。 3.1 RPR保护热试投运准备会 热试开始前，组织召开了由调试方各工艺、电气系统试验负责人，生产方运行及仪控维修人员参加的RPR保护热试投运准备会。会议对热试期间RPR保护是否投运、投运方式、投运时间、投运期间的风险分析及防范措施进行了讨论。并分析了各工艺、电气系统试验在热试期间对RPR系统的具体需求（在什么平台、进行什么试验、涉及RPR的哪些保护）、需要现场实体隔离的工艺、电气系统重要设备、需要仪控隔离的RPR保护信号。3.2 文件准备 1）RPR上游保护信号通道状态确认单。该清单梳理了RPR相关上游保护信号通道功能测试的完成情况，确定了未完成试验的最晚完成期限。对遗留问题是否影

8、响RPR 投运进行了分析，并制定了相应的预防及补救措施。 2）相关系统提出的RPR保护指令临时隔离措施清单。调试期间，为了避免RPR保护指令触发影响下游执行机构的调试，相关工艺、电气系统负责人向RPR 系统提出了保护指令临时隔离申请。该清单梳理了与RPR保护投运相关的保护指令临时隔离措施，对于热试期间仍要实施的临时隔离措施，作为RPR投运方案的一部分，列入需仪控隔离的RPR保护指令隔离操作确认单中；对于热试期间不需实施的临时隔离措施，与相关系统试验负责人讨论后，确定了取消临时隔离措施的最晚期限，并推动相关系统试验负责人及时提出取消临时隔离措施的申请，以保证保护投运后，RPR保护指令状态信息的唯

9、一性。 3）热试期间RPR上游保护信号风险分析单。根据RPR上游保护信号的仪表类型、量程范围、冗余程度进行风险分析，分析各个仪表是否存在单一故障风险，故障后可能触发的保护，应对措施。分析各仪表在投运时是否会因信号的不可用而引起保护的误触发，以及各仪表投运期间需要特别关注的事项和需要执行的应急措施。对于因机组状态无法及时投运的传感器，分析单中列出了仪表投运所需的机组工况，并将仪表投运工作列入热试总体计划，在仪表具备投运条件时，由主控运行人员通知RPR系统调试人员解除信号的模拟。 4）执行机构现场实体隔离操作确认单。哪些设备必须隔离、如何隔离、隔离措施实施及取消的窗口和执行人是该清单的主要内容。热

10、试期间，执行机构现场实体隔离措施的取消和再实施由相关工艺、电气系统试验负责人根据试验的具体需求及RPR热试保护投运方案中的要求进行控制，重要执行机构隔离措施的实施、取消工作列入热试总体计划，在重大试验的工前会、工后会行动单中进行跟踪。 5）仪控保护指令隔离操作确认单。热试期间，由于机组的运行需求，RPR相关的部分执行机构无法进行现场隔离，需要仪控隔离执行机构相关的RPR保护指令。该清单列出了热试期间需要隔离的RPR系统保护指令清单，并列出了每个保护指令隔离的原因、需求方，涉及的执行机构，具体隔离措施，是否对其他试验有影响，保护重新投运和隔离的窗口。重要保护指令的隔离和重新投运工作列入热试总体计

11、划，并在重大试验的工前会、工后会行动单中进行跟踪。 6）热试期间RPR系统日常巡视单。RPR系统的上游保护信号及保护逻辑通道多采用冗余设计，单个信号故障或触发保护阈值时，不会触发保护动作，但会在主控室产生相应的报警。调试期间，主控室报警比较多，运行人员难以及时发现潜在保护触发风险。 该巡视单包含了RPR上游保护信号的当前值及相应的保护阈值，RPR各保护通道的报警信息和参考值。利用脚本进行编程，在安全级DCS的工程师站上定期运行脚本，读取RPR相关信息，对发现的异常信息进行快速分析、排查，及时发现潜在的保护触发风险。 4 RPR保护投运期间的主要风险及防范措施 热试期间，RPR保护的误动风险主要

12、有以下几个方面： 1）取消RPR上游保护信号模拟期间的保护误动作风险。取消RPR上游保护信号模拟期间，相应的保护信号会短时不可用，将导致该通道的保护阈值触发，如果此时，冗余的其他保护通道上的传感器、测量通道存在故障，将导致相应保护的误触发。 取消RPR上游保护信号模拟之前，核查RPP至下游执行机构的保护指令均被安全隔离。以保护组为单位，逐一取消RPR上游信号模拟，并核查DCS采集的数据与现场仪表测量值的一致性，确保传感器、测量通道功能正常。取消下一个保护组保护信号模拟前，核查上一个保护组的RPR相关信号处于无故障状态，相关保护阈值没有触发，逻辑表决没有降级。如果部分信号不具备取消模拟的条件，仍

13、用RPR专用试验平台进行模拟。 2）保护指令隔离措施取消期间的RPR保护误动作风险。由于数量比较大，保护指令隔离措施的取消工作需要几个小时的时间。在此期间，如果现场重大、易损的设备没有进行现场实体隔离或仪控隔离，一旦保护指令误投入或者保护误触发，将导致后果不可控。 保护指令隔离措施取消期间，核查RPR相关的重大、易损设备处于现场实体隔离或仪控隔离状态。在DCS工程师站上确认RPR相关保护指令没有触发，逻辑表决没有降级。对于已正常触发的保护指令，与系统试验负责人核实相应的现场执行机构处于安全状态。取消隔离措施期间，安排专人进行监护，确保相关隔离措施得到正确的取消。最后，再次确认需实施仪控隔离的R

14、PR保护指令处于仪控隔离状态。 3）RPR保护投运期间，上游保护信号异常引起的保护误动作。为了保证保护投运后，RPR上游保护信号的可靠性，向安装、调试、运行、维修部门发通告，RPR保护投运后，禁止在RPR上游相关传感器、机柜上进行试验活动，并在相关传感器及机柜上悬挂警示牌。如试验活动必须进行，需征得RPR系统负责人的同意，并做好风险分析，执行必要的防范措施。制定热试期间RPR系统日常巡视表，定期检查RPR相关上游保护信号及保护通道报警信息。4）由于操作不当或设备异常而引起的RPR保护误动作风险。热试期间，需要进行大量的机组性能试验，机组状态变化频繁，再加上数字化仪控系统在岭澳二期机组上的首次应

15、用，一旦操作不当或设备异常，有误触发RPR保护的可能性。 与机组调试及运行人员就RPR的投运情况及风险进行充分沟通，介绍经过数字化改进后，RPR系统的新特点。RPR系统调试小组参与热试期间重大试验的工前会，参与试验方案、风险预案的制定。热试期间，RPR调试小组参与热试保运值班，全程跟踪热试期间的各项试验，及时解决热试期间发现的RPR相关问题。 5）重大试验执行期间，由于保护指令隔离措施执行或者取消不到位可能引起的保护误动或拒动风险。热试期间，需要执行RPR相关的多项重大试验，试验开始前后，RPR部分保护指令需要临时隔离或再投入，如果执行不到位，可能引起保护的误动或者拒动，影响试验的正常进行，甚

16、至会影响相应设备的安全。 试验开始前，认真分析试验需求，列出需要投入或隔离的保护指令清单，选择恰当的隔离措施，并派专人审核。措施实施或取消时，派专人监护。 5 RPR保护投运的现场实施 5.1 保护投运窗口 核岛一回路压力达到0.3MPa。 5.2 保护投运步骤 1）确认RPP至下游执行机构的保护指令均处于隔离状态； 2）以保护组为单位，逐一取消RPR上游保护信号模拟，核查RPR上游保护信号传感器及采集通道功能正常。利用RPR专用试验平台模拟汽轮机中压缸截止阀阀位信号； 3）确认RPR保护相关的重大、易损设备已被实体隔离或仪控隔离； 4）确认RPR相关保护指令没有触发，表决器没有降级。对于已正

17、常触发的保护指令，与系统试验负责人核实相应的现场执行机构处于安全状态； 5）取消RPR至下游执行机构保护指令的隔离措施，核查需实施仪控隔离的RPR保护指令处于仪控隔离状态； 6）宣布RPR保护投运。 5.3 RPR保护退出窗口 热试正式宣布结束后。 5.4 保护退出步骤 1）隔离RPR至下游执行机构的所有保护指令； 2）工艺、电气系统试验负责人将热试期间实体隔离的执行机构置于工艺、电气系统所需的状态； 3）利用RPR专用试验平台模拟RPR上游保护信号； 4）宣布RPR保护退出。 6 结束语 岭澳二期RPR保护在热试期间的成功投运，是经过数字化改进后，RPR系统调试的良好实践。该方案的顺利实施不但有效控制了保护投运前后的各种风险，保证了热试的安全、顺利进行，提高了调试、运行人员发现问题、解决问题的能力，而且发现并解决了反应堆保护系统的一些设计缺陷，为机组装料后各项试验的顺利开展，减少装料后反应堆非计划跳堆次数起到了至关重要的作用。 岭澳二期RPR保护热试投运方案的选择、文件的准备、人员的组织、风险的控制为岭澳二期反应堆临界前RPR保护投运以及其它CPR1000新建核电站的RPR保护投