1. 引言
EPR核电机组设计上采用4列ARE系统向蒸汽发生器SG供水并调节给水流量以控制蒸汽发生器SG水位，根据功率水平的不同，ARE系统配置了极小流量调节阀VLLCV、小流量调节阀LLCV或大流量调节阀FLCV将SG水位维持在正常运行范围。
ARE主给水调节阀为气动调节阀，失气关闭。由Teleperm-XP非安全级DCS系统(SPPA-T2000)控制，驱动卡为FUM280卡件。DCS中经过逻辑计算的ARE阀门开度指令，通过FUM280卡件转换为4~20 mA (对应0~100%开度)的电流信号送达阀门气源回路上的定位器。定位器将阀门开度指令电流信号转换为气源信号送至流量放大器。流量放大器根据定位器的气信号控制阀门的进气量，最终控制阀门的开度。如果FUM280故障导致信号失去，阀门将失气关闭，进而导致SG失去主给水，液位降低而跳堆。
本文通过FUM280卡件冗余配置的方式，实现单一FUM280卡件故障后自动切换至备用卡件，有效提升ARE流量调节阀门的稳定性，防止单一卡件故障导致的ARE阀门意外关闭，进而导致的机组跳堆，保障EPR机组安全稳定运行，后续可根据现场使用经验大范围推广，从而保证核电厂给水流量调节系统的安全稳定运行。
2. 主给水调节阀信号链路SPV排查方法
可靠性表征设备在一定的时间内和特定的条件下，无故障地执行指定功能的能力，可通过平均无故障时间、合格率两个维度来衡量[1]。因此，在分析寻找影响设备或系统的可靠性因素时，关键是要发现设备或系统中的受环境和时间影响的短寿命部件、受工艺材料影响的故障率高的设备、单一故障导致整个设备或系统丧失指定功能的部件以及造成该部件失效的外部因素。在识别设备SPV点时，需要根据动力回路、控制回路中关键设备、电源、部件、环境温度、人因失效风险等因素进行甄别。并可根据如下表1所示的SPV点特性制定处理措施。
Table 1. Treatment methods of SPV points with various characteristics
表1. 各种特性SPV点的处理方式
SPV点特性 |
处理措施 |
平均故障时间长，可靠度高的部件 |
预防误碰等外部因素，通过CCM管理 |
故障率低，可靠度高的部件 |
预防性维修，如定期更换和校验等 |
可靠度低、故障率高 |
配置冗余、增加限定条件等提高部件健壮性 |
EPR核电机组配置4列ARE系统，每列配置3个调节阀调节向SG的供水，包括极小流量调节阀(VLLCV) AREi120VL、小流量调节阀(LLCV) AREi220VL和大流量调节阀AREi320VL，其中i = 1, 2, 3, 4。每个流量调节阀对应单一的FUM280卡件进行调节。满功率时极小阀关闭，小流量阀LLCV全开，大流量阀FLCV提供主要的给水流量。如果大流量调节阀开启期间，出现FUM280卡件故障，会导致大流量调节阀关闭，则会由于蒸发器供水不足导致跳堆。从整个系统进行分析，单个主给水大调节阀为SPV设备，它的可靠性直接影响电站的安全稳定运行。
根据上述对SPV甄别的方法，识别出主给水调节阀信号链路上FUM280卡件作为主要的SPV点进行分析，研究提升气动调节阀控制回路可靠性的改进策略。
2.1. 气动调节阀结构介绍
EPR核电机组配置的流量调节阀为单作用气动调节阀，用来调节蒸汽发生器液位以及主给水流量等参数，阀门的开度指令来自于ARE的液位变送器实测数据，与给定值的偏差通过PID计算后生成流量调节阀的开度指令，再通过FUM280卡件计算转化生成标准的4~20 mA信号，对应阀门0~100%开度，电流信号送达阀门气源回路上的定位器。定位器将阀门开度指令电流信号转换为气源信号送至流量放大器。流量放大器根据定位器的气信号控制阀门的进气量，最终控制阀门的开度。如果FUM280故障导致信号失去，阀门将失气关闭，阀门供气控制回路如下图1所示。
Figure 1. Schematic diagram of ARE pneumatic valve air supply control loop
图1. ARE气动阀门供气控制回路示意图
2.2. 信号链路SPV点分析
如果发生以下问题，则会导致阀门失气而关闭：
分别对以上三种故障模式进行分析，西门子SPPA-T2000 DCS控制系统中常用到AP自动处理器、I/O输入输出卡件、网关、通讯卡件等，电子卡件上布置包括电阻、电容等各类元器件，随着在机柜中长时间运行，叠加温度、湿度等环境因素的影响，可能出现偶发故障，导致卡件输出异常，进一步导致阀门误动，可能给机组安全稳定运行带来巨大隐患。
EPR机组DCS机柜中配置有冗余的AP自动处理器，一个AP正常运行，另一个AP热备用[2]，当出现在线运行的AP故障时会自动切换到备用的AP进行逻辑计算及信号处理，计算后输出的阀门开度指令经过I/O卡件转换为标准的电流信号，送到阀门定位器进行阀门开度控制。AP自动处理器与I/O输入输出卡件的通讯有独立的现场总线实现通讯，不存在SPV故障点。
不同于AP自动处理器，FUM280输出卡没有配置冗余，一块卡件对应一个执行器，因此存在单一输出卡件故障就导致下游执行器异常的问题，成为影响设备和系统稳定性的关键设备。
FUM280卡件和定位器之间的接线也是单一的，如果FUM280与定位器之间的接线断开，电流指令信号变为0，将导致单个ARE阀门关闭。如果大流量调节阀关闭，将有跳堆风险。但是线缆无法增加冗余配置，可通过定期的检查进行维护。
阀门定位器故障也有可能导致大流量调节阀调节异常，EPR核电机组ARE大流量调节阀定位器采用连杆式角行程阀位反馈，可能存在因振动较大输出异常甚至阀杆断裂的情况，因此也存在影响阀门运行的情况，但是一个阀门配置一个定位器是常规配置，无法增加冗余，可通过定期维护校验的方式保证设备的可靠性。
3. 主给水调节阀信号链路SPV解决方案
根据第2章中对多种特性SPV设备的分析，I/O输入输出卡件包含了老化部件、单一电源等因素，属于可靠度低、故障率高的设备，因此可选择增加冗余配置的方式，提升设备和系统的健壮性。
3.1. FUM280冗余配置方案
为EPR核电机组ARE流量调节阀FUM280卡件存在SPV点问题提供的解决方案是增加控制卡FUM280冗余配置，单一FUM280故障后切换至备用卡。考虑到卡件的稳定性，使用现有版本FUM 280/6DP1280-8AB进行冗余配置，台山定位器为艾默生生产的Fisher DVC6200系列定位器，定位器DVC6205位置反馈DVC6215，如下图2所示。
Figure 2. Schematic diagram of DVC6205 locator
图2. DVC6205定位器示意图
DVC6200为一体式(处理器和位置反馈一体)。FUM280冗余配置下，要求负载的阻抗最大为450 Ω (22 mA × 450 ≤ 10 V)。根据FUM280供应商西门子澄清，FUM280能提供最大为12 V的驱动电压，只要电流值乘以负载阻抗小于或等于12 V，FUM280卡件则能提供相应的驱动电流。意味着在22 mA时，即使负载阻抗达到550 Ω，也能正常工作。定位器20 mA时的输入阻抗等效为500 Ω；根据实际测量DVC6200在22 mA下，定位器两端电压约为8.8 V，满足要求。且该型定位器已有使用经验，功能正常，所以ARE流量调节阀门定位器满足FUM280冗余配置要求。
3.1.1. 硬件配置
修改前DCS机柜内FUM280卡件接线图，如下图3所示，修改后，在DCS机柜内部将两块FUM280的PAR端使用硬接线互相连接，形成冗余配置，如下图4所示。
增加原卡与新增冗余卡件之间的信号接线(指令线、指令反馈线和接地线)。
Figure 3. Single FUM280 card wiring diagram
图3. 单一FUM280卡件接线图
Figure 4. FUM280 redundant card wiring diagram after modification
图4. 修改后FUM280冗余卡件接线图
增加冗余FUM280卡件后，需要按如下图5所示要求进行卡件拨码配置。
Figure 5. Schematic diagram of FUM280 redundant card DIP configuration
图5. FUM280冗余卡件拨码配置示意图
3.1.2. 软件配置
西门子SPPA-T2000 DCS控制系统中数据包与通讯连接的分配，以及通讯连接与CP443-1的分配均是通过ES680在功能图的生成过程中实现的；FUM280模件的所有参数都可以在ES680工作站上进行设定，其中RED参数功能为定义两个FUM280卡件是否为并行连接，将两块FUM280硬件安装后需要在ES680中将对应DCM参数RED改为1，如下图6所示配置成冗余模式。
Figure 6. Schematic diagram of redundant configuration on the ES680 interface
图6. ES680界面冗余配置示意图
此外，需要在SPPA-T2000 DCS控制系统逻辑图TEC4中，将对应MACRO模块的参数Generate Type由原来的“without desk tile (2225)”模式改为“Red without desk tile (2289)”模式，如下图7所示。
Figure 7. Schematic diagram of parameter configuration on the TEC4 interface
图7. TEC4界面参数配置示意图
3.2. FUM280冗余配置方案验证及实施效果
FUM280冗余配置后，通过模拟卡件故障验证卡件冗余切换后阀门工作正常。主要模拟以下故障模式，验证FUM280卡件冗余切换功能正常。
1) FUM280保险故障。
故障现象：退出保险模拟后卡件故障，FUM280切换成功；切换过程中，指令信号消失约2 ms。
影响分析：电流波动时间很短(约2 ms)，阀门反馈变化约1%，不影响阀门控制。
2) 退出FUM280卡件。
退出FUM280卡件模拟卡件故障，FUM280切换成功；切换过程中，指令信号瞬时高漂约2 ms。
影响分析：电流波动时间很短(约2 ms)，阀门反馈变化约1%，不影响阀门控制。
3) 分别断开主从卡件单侧的指令线接线，模拟指令通道故障。
4) 断开就地指令线，模拟执行器故障。
执行第3)、4)项断线测试，断开主卡每个通道的指令线，模拟指令通道故障，验证主从切换正常。FUM280切换过程中，阀门通道故障导致FUM280切换后，电流会有小幅变化，阀门反馈变化约1%；切换期间会有20~50 ms的电流指令中断，单从自动控制的功能影响分析可忽略，基本实现了无扰切换的目的。
每次主从切换过程中，阀门开度会有小幅变化(约1%的开度变化)。其中，两块FUM280之间的冗余连接线(PAR)断开或者接地，两块FUM280均输出指令，导致阀门的开度增加一倍，FUM280与AP通讯失去，主控件全红，产生影响的故障日志，提醒主控室操纵员关注，对故障设备进行维护，恢复原有的冗余功能。
从验证效果来看，修改后，单块FUM280卡件故障后切换至备用卡，不影响阀门控制。由于每列3个ARE阀门保持由相同的FUM280卡件控制，极小调节阀或者小调节阀接线松动，会造成FUM280主从切换。ARE阀门的定位器为分体式，定位器安装在房间墙壁上的固定支架上，接线松动的风险较小，且即使发生切换也不影响阀门控制[3]。
修改后会引入两个新的SPV点(PAR端和YN-的接地端)，导致阀门误动，无法保持原位。两块FUM280卡件PAR端之间的接线断开或者接地后，阀门开度会增大一倍且失去控制；YN-的接地端断开，导致阀门关闭。DCS机柜内部接线为绕线，接线牢固可靠，自然松动概率很低；且接线在机柜内部，平时因外力导致断线的情况可以排除。
整体来看，对EPR核电机组增加FUM280冗余控制卡件后，冗余配置的状态能通过DCS系统进行实时监测。当一块卡件故障后，会实时产生故障日志送至主控室，以通知运维人员及时进行维修，恢复冗余配置状态[4]，有效地解决了原有阀门单一卡件故障给机组带来的隐患，且冗余FUM280卡件配置稳定有效。
4. 总结
EPR核电机组ARE主给水调节阀对机组安全稳定运行扮演至关重要的角色，在原始设计中没有考虑到单一FUM280卡件故障时，会导致一系列ARE流量调节阀全关，进而导致蒸汽发生器失去主给水，液位降低而跳堆。而本文采用的解决方案通过增加FUM280卡件的冗余，很好地解决了流量调节阀信号链路中的关键失效环节，并且有执行简单的优点，只需要调整FUM280卡件的硬件与软件配置，不改变就地阀门侧的控制结构，提升了ARE流量调节阀的整体稳定性。总而言之，该方案的实施能有效保证气动调节阀控制回路的可靠性，对后续电站建设有一定的借鉴意义。