CN104252885B

CN104252885B - 一种核电站双数字量输出卡配置系统和方法

Info

Publication number: CN104252885B
Application number: CN201310269579.7A
Authority: CN
Inventors: 郑文波; 李红林; 胡明信; 李超; 蒋燕; 李敏
Original assignee: China General Nuclear Power Corp; China Nuclear Power Engineering Co Ltd
Current assignee: China General Nuclear Power Corp; China Nuclear Power Engineering Co Ltd
Priority date: 2013-06-28
Filing date: 2013-06-28
Publication date: 2017-11-14
Anticipated expiration: 2033-06-28
Also published as: CN104252885A

Abstract

本发明涉及一种核电站双数字量输出卡配置系统和方法，其中所述系统包括与第一CPU对接的第一DO卡，以及与第二CPU对接的第二DO卡，第一DO卡和第二DO卡中均包括继电器线圈及触点，继电器线圈与对应CPU的输出端口连接构成继电器控制回路，第一DO卡和第二DO卡的触点接入系统输出回路控制其通断，并且第一DO卡和第二DO卡的触点的类型相同，且与系统输出回路的故障安全状态相对应。本发明还提供了一种核电站数字化反应堆保护系统。本发明根据核电站双数字量输出卡配置系统的故障安全状态要求选用对应类型触点的DO卡，能够实现双CPU的完全并行冗余；即使两个CPU均故障也不会出现影响到设备和机组安全的非受控动作，并且只产生一种故障模式。

Description

一种核电站双数字量输出卡配置系统和方法

技术领域

本发明涉及核电站技术领域，更具体地说，涉及一种核电站双数字量输出卡配置系统、方法及核电站数字化反应堆保护系统。

背景技术

随着数字化技术的发展，数字化仪控系统（DCS）逐步应用于核电站中。反应堆保护系统（RPS）是核电站重要的安全系统，其作用是保护反应堆，防止反应堆运行超出安全限值，并限制意外超出限值时的后果。数字化RPS对DCS有极高的可靠性要求，为此其控制机柜通常采用双CPU主备或者并行冗余的配置，以保证一个CPU故障时DCS的可靠性。

如图1所示，型号为CPR1000的中国百万千瓦级核电机组采用了基于三菱MELTACDCS平台的数字化反应堆保护系统。图1所示的总体结构中，整个系统由4个反应堆保护机柜（RPC）和2个逻辑系列组成。其中，4个保护仪表组分别为RPC－IP、RPC－IIP、RPC－IIIP和RPC－IVP，由各自的子系统1和子系统2构成，采集核仪表系统（RPN）和传感器的信号，经过逻辑运算输出信号给逻辑系列。2个逻辑系列分别为冗余的A列逻辑系列和B列逻辑系统。每列逻辑系列包含专设安全驱动机柜（ESFAC）和3组安全逻辑处理机柜（SLC），如SLC-1、SLC-2和SLC-3。此外，每列逻辑系列还接有安全级显示器（S-VDU）及处理器等设备。其中ESFAC和SLC机柜采用了双CPU并行冗余技术。

在反应堆保护系统的现有技术方案中，对于采用双CPU并行冗余的控制机柜，如前述EFSAC和SCL，其数字量输出（DO）卡采用如图2所示的配置方式。在该配置方案中，两个DO卡采用并联方式分别与一个CPU接口，一个DO卡对应一个CPU，如第一DO卡21与第一CPU11对接，第二DO卡22与第二CPU12对接，分别采集对应CPU的输出信号。每个DO卡分别通过各自的继电器控制回路来决定常开触点状态，实现线路的通断，在常开触点闭合时对应输出信号为1，在常开触点断开时对应输出信号为0。第一DO卡21和第二DO卡22的两个常开触点之间采用并联的方式接入系统输出回路，接通电源30为负荷40供电。通过上述电路连接可知，两个DO卡中任何一个DO卡处于触发状态，即继电器上电、常开触点闭合时，都能够保证DO卡的输出信号处于触发状态（即输出信号为1，输出回路接通）。也就是说，当两个CPU和两个DO卡均正常运行时，能够实现一个CPU控制一个DO卡，两个DO卡的输出信号是冗余的。一旦一个CPU故障，如果故障前该DO卡的常开触点处于断开状态，即未触发，则另一个CPU和DO卡能够实现对输出信号的控制，保证了单CPU故障下控制可用。此外，CPU和DO卡的故障模式为维持上一有效值（Fail AS IS），即当CPU或者DO卡故障（DO卡失电故障除外）时，其输出信号维持在故障前的值。

然而，现有方案存在如下缺陷：

1）当CPU输出信号为“1”（即处于触发状态，对应DO卡常开触点处于闭合状态）时，由于CPU或DO卡的故障模式为保持上次有效值，此时如果出现一个CPU故障，则对应的DO卡将一直处于触发状态（即常开触点闭合状态）。即使另一个正常运行的CPU由于运算的参数变化，信号已经翻转为“0”，故障的CPU对应的DO卡也保持在触发状态，从而旁路了正常运行的CPU，强制输出故障的信号，从而破坏了两个CPU的冗余性；

2）当CPU输出信号为“1”时，如果出现两个CPU故障或者DO卡故障，信号将一直保持在触发状态，这种状态无法通过其它方式消除，将影响到其输出信号和所控制设备和机组运行的安全；

3）当CPU输出信号为“1”时，如果出现两个DO卡失电故障，则一方面所输出控制信号将出现翻转，这是由于在该方案中DO卡采用的输出触点为常开触点，失电时打开，因此会影响到输出信号和所控制设备的安全；另一方面，DO卡失电也属于DO卡一种故障，会导致DO卡存在两种故障模式，给故障诊断和维修带来困难。

发明内容

本发明要解决的技术问题在于，针对现有核电站双CPU并行冗余控制的机柜中双数字量输出卡配置的冗余性和安全性难以保障且可能存在两种故障模式的缺陷，提供一种核电站双数字量输出卡配置系统、方法及核电站数字化反应堆保护系统。

本发明解决其技术问题所采用的技术方案是：构造一种核电站双数字量输出卡配置系统，包括与第一CPU对接的第一DO卡，以及与第二CPU对接的第二DO卡，所述第一DO卡和第二DO卡中均包括继电器线圈及触点，所述继电器线圈与对应CPU的输出端口连接构成继电器控制回路，所述第一DO卡和第二DO卡的触点接入系统输出回路控制其通断，所述第一DO卡和第二DO卡的触点的类型相同，且与所述系统输出回路的故障安全状态相对应。

在根据本发明所述的核电站双数字量输出卡配置系统中，所述系统输出回路的故障安全状态为断开时，所述触点的类型为常开触点，且所述第一DO卡和第二DO卡的触点并联后接入所述系统输出回路。

在根据本发明所述的核电站双数字量输出卡配置系统中，所述系统输出回路的故障安全状态为接通时，所述触点的类型为常闭触点，且所述第一DO卡和第二DO卡的触点串联后接入所述系统输出回路。

本发明还提供了一种核电站数字化反应堆保护系统，包括多个反应堆保护机柜和冗余的两列逻辑系统，所述每列逻辑系列包括专设安全驱动机柜和多个安全逻辑处理机柜，所述专设安全驱动机柜和多个安全逻辑处理机柜均采用如上所述的核电站双数字量输出卡配置系统。

本发明还提供了一种核电站双数字量输出卡配置方法，包括以下步骤：

通过第一DO卡的继电器线圈采集第一CPU的输出信号，通过第二DO卡的继电器线圈采集第二CPU的输出信号；

所述第一DO卡的继电器线圈根据所述第一CPU的输出信号控制第一DO卡的触点的通断，所述第二DO卡的继电器线圈根据所述第二CPU的输出信号控制第二DO卡的触点的通断；其中，所述第一DO卡和第二DO卡的触点的类型相同，且与系统输出回路的故障安全状态相对应；

所述第一DO卡和第二DO卡的触点接入所述系统输出回路控制其通断。

在根据本发明所述的核电站双数字量输出卡配置方法中，所述系统输出回路的故障安全状态为断开时，所述第一DO卡和第二DO卡采用的触点的类型为常开触点，且所述第一DO卡和第二DO卡的触点并联后接入所述系统输出回路。

在根据本发明所述的核电站双数字量输出卡配置方法中，所述系统输出回路的故障安全状态为接通时，所述第一DO卡和第二DO卡的触点的类型为常闭触点，且所述第一DO卡和第二DO卡的触点串联后接入所述系统输出回路。

实施本发明的核电站双数字量输出卡配置系统、方法及核电站数字化反应堆保护系统，具有以下有益效果：本发明根据核电站双数字量输出卡配置系统的故障安全状态要求选用对应类型触点的DO卡，能够实现双CPU的完全并行冗余，而不会因为故障前CPU或者DO卡的状态而出现两个CPU不冗余的状况；即使在两个CPU故障时，也不会出现影响到设备和机组安全的非受控动作；同时只产生一种故障模式，降低了卡件故障所带来的诊断和维修困难。

附图说明

下面将结合附图及实施例对本发明作进一步说明，附图中：

图1是数字化反应堆保护系统的结构示意图；

图2是核电站双数字量输出卡配置系统的第一实施例的示意图；

图3是核电站双数字量输出卡配置系统的第二实施例的示意图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。

本发明提供的核电站双数字量输出卡配置系统可以实现双CPU并行冗余控制的逻辑输出，如图2中实现对第一CPU11和第二CPU12的输出信号的冗余逻辑输出，进而控制系统输出回路的通断，接通电源30为负荷40供电。该负荷40可以为所控制的设备和机组。本发明的独特之处在于可以根据双CPU并行冗余控制的逻辑输出要求，即系统输出回路的故障安全状态选择对应类型的DO卡，完成双数字量输出卡配置。

与图2所示的配置方式相似，本发明提供的核电站双数字量输出卡配置系统也包括与第一CPU11对接的第一DO卡21，以及与第二CPU12对接的第二DO卡22，其中第一DO卡21和第二DO卡22中均包括继电器线圈及触点。其中，继电器线圈与对应CPU的输出端口连接构成继电器控制回路，第一DO卡21和第二DO卡22的触点接入系统输出回路控制其通断。

本发明的核电站双数字量输出卡配置系统中所采用的第一DO卡21和第二DO卡22的触点的类型相同，且与系统输出回路的故障安全状态相对应。

根据系统输出回路的故障安全状态的不同要求，该核电站双数字量输出卡配置系统分为两种解决方案。

当系统输出回路的故障安全状态为断开，即两个DO卡的输出信号的故障安全位置为不触发（即输出信号为“0”）时，两个DO卡的触点的类型可以均采用常开触点，如图2所示第一实施例的配置电路。具体地，第一DO卡21和第二DO卡22的触点均为常开触点，且第一DO卡21和第二DO卡22的触点并联后接入系统输出回路。

因此，图2所示的配置系统具有以下特点，能够满足系统输出回路的故障安全状态要求且故障模式一致：

1）当单个CPU或者DO卡故障时，无论此前该CPU或者DO卡是否触发，故障的CPU或者DO卡所对应的触点都将断开，即输出信号都将翻转为0。另一个正常的CPU和DO卡将控制信号的输出，实现两个CPU的冗余控制。

2)当两个CPU或者DO卡都同时故障时，两个DO卡的输出信号均为“0”，无论此前信号是否触发。由于输出信号为“0”符合控制机柜故障后的故障安全位置，使得系统输出回路的故障安全状态为断开，满足了安全要求。

3)无论CPU故障，卡的失电故障还是除失电之外的卡的其它故障，继电器线圈均不带电，常开触点断开，系统输出回路的故障安全状态均为断开，即输出信号为“0”，故障模式均为Fail OFF，故障模式一致，有利于故障诊断和维修。

当系统输出回路的故障安全状态为接通，即两个DO卡的输出信号的故障安全位置为触发（即输出信号为“1”）时，两个DO卡的触点的类型可以均采用常闭触点，对应的配置方式如图3所示的第二实施例。具体地，第一DO卡21和第二DO卡22的触点均为常闭触点，且第一DO卡21和第二DO卡22的触点串联后接入系统输出回路。

因此，图3所示的配置系统具有以下特点，也能够满足系统输出回路的故障安全状态要求且故障模式一致：

1）当单个CPU或者DO卡故障时，无论此前该CPU或者DO卡是否触发，故障的CPU或者DO卡所对应的触点都将闭合，即输出信号都将翻转为1。另一个正常的CPU和DO卡将控制信号的输出，实现两个CPU的冗余控制。

2)当两个CPU或者DO卡都同时故障时，两个DO卡的输出信号均为“1”，无论此前信号是否触发。由于输出信号为“1”符合控制机柜故障后的故障安全位置，使得系统输出回路的故障安全状态为接通，满足了安全要求。

3)无论CPU故障，卡的失电故障还是除失电之外的卡的其它故障，继电器线圈均不带电，常闭触点闭合，系统输出回路的故障安全状态均为接通，即输出信号为“1”，故障模式均为Fail OFF，故障模式一致，有利于故障诊断和维修。

本发明还相应提供了一种核电站数字化反应堆保护系统，其可以如图1所示包括多个反应堆保护机柜和冗余的两列逻辑系统。每列逻辑系列包括专设安全驱动机柜和多个安全逻辑处理机柜。本发明提供的核电站数字化反应堆保护系统的专设安全驱动机柜和安全逻辑处理机柜均可以采用前述的核电站双数字量输出卡配置系统，实现其中的双CPU并行冗余控制的逻辑输出。

本发明还相应提供了一种核电站双数字量输出卡配置方法，其主要包括以下步骤：

首先，通过第一DO卡21的继电器线圈采集第一CPU11的输出信号，通过第二DO卡22的继电器线圈采集第二CPU12的输出信号。如图2和图3中所示，分别将第一DO卡21与第一CPU11对接，将第二DO卡22与第二CPU12对接，并由继电器线圈与对应CPU的输出端口连接构成继电器控制回路。

其次，第一DO卡21的继电器线圈将根据第一CPU11的输出信号控制第一DO卡21的触点的通断，同时第二DO卡22的继电器线圈也将根据第二CPU12的输出信号控制第二DO卡22的触点的通断。在本发明的核电站双数字量输出卡配置方法中，需要对系统输出回路的故障安全状态进行判断，并根据故障安全状态选用具有不同类型的触点的DO卡。如图2和图3中第一DO卡21和第二DO卡22的触点的类型相同，且与系统输出回路的故障安全状态相对应。

最后，将第一DO卡21和第二DO卡22的触点接入系统输出回路控制其通断。

根据系统输出回路的故障安全状态的不同要求，该核电站双数字量输出卡配置方法也有两种解决方案，分别对应前述图2和图3的具体描述。

当系统输出回路的故障安全状态为断开时，第一DO卡21和第二DO卡22的触点均为常开触点，且第一DO卡21和第二DO卡22的触点并联后接入系统输出回路。

当系统输出回路的故障安全状态为导通时，第一DO卡21和第二DO卡22的触点均为常闭触点，且第一DO卡21和第二DO卡22的触点串联后接入系统输出回路。

综上所述，本发明根据系统输出回路的故障安全状态的不同要求，采用了上述两种DO卡配置方案，能够实现双CPU的完全并行冗余，而不会因为故障前CPU或者DO卡的状态而出现两个CPU不冗余的状况。并且当两个CPU故障时，不会出现影响到设备和机组安全的非受控动作，即设备非受控启动或停运。同时，实现了DO卡只存在一种故障模式，降低卡件故障所带来的诊断和维修困难。

本发明是根据特定实施例进行描述的，但本领域的技术人员应明白在不脱离本发明范围时，可进行各种变化和等同替换。此外，为适应本发明技术的特定场合或材料，可对本发明进行诸多修改而不脱离其保护范围。因此，本发明并不限于在此公开的特定实施例，而包括所有落入到权利要求保护范围的实施例。

Claims

1.一种核电站双数字量输出卡配置系统，包括与第一CPU对接的第一DO卡，以及与第二CPU对接的第二DO卡，所述第一DO卡和第二DO卡中均包括继电器线圈及触点，所述继电器线圈与对应CPU的输出端口连接构成继电器控制回路，所述第一DO卡和第二DO卡的触点接入系统输出回路控制其通断，接通电源为所控制的设备和机组供电，其特征在于，所述第一DO卡和第二DO卡的触点的类型相同，且与所述系统输出回路的故障安全状态相对应；

所述系统输出回路的故障安全状态为断开时，所述触点的类型均为常开触点，且所述第一DO卡和第二DO卡的触点并联后接入所述系统输出回路，当发生CPU故障，卡的失电故障或除失电之外的卡的其它故障时，继电器线圈均不带电。

2.根据权利要求1所述的核电站双数字量输出卡配置系统，其特征在于，所述系统输出回路的故障安全状态为接通时，所述触点的类型为常闭触点，且所述第一DO卡和第二DO卡的触点串联后接入所述系统输出回路。

3.一种核电站数字化反应堆保护系统，包括多个反应堆保护机柜和冗余的两列逻辑系统，所述每列逻辑系列包括专设安全驱动机柜和多个安全逻辑处理机柜，其特征在于，所述专设安全驱动机柜和多个安全逻辑处理机柜均采用根据权利要求1所述的核电站双数字量输出卡配置系统。

4.一种核电站双数字量输出卡配置方法，其特征在于，包括以下步骤：

所述第一DO卡和第二DO卡的触点接入所述系统输出回路控制其通断；所述系统输出回路的故障安全状态均为断开时，所述第一DO卡和第二DO卡采用的触点的类型为常开触点，且所述第一DO卡和第二DO卡的触点并联后接入所述系统输出回路，当发生CPU故障，卡的失电故障或除失电之外的卡的其它故障时，继电器线圈均不带电。

5.根据权利要求4所述的核电站双数字量输出卡配置方法，其特征在于，所述系统输出回路的故障安全状态为接通时，所述第一DO卡和第二DO卡的触点的类型为常闭触点，且所述第一DO卡和第二DO卡的触点串联后接入所述系统输出回路。