CN107949884B - 核电站安全控制系统 - Google Patents

Abstract

本发明涉及自动化和计算机工程，可用于建立核电站的安全控制系统。本核电站的安全控制系统包含了许多相同的安全通道，每个通道包括用于处理信号的输入/输出站，致动器优先执行控制站_1‑m，所述站与单元控制室和备份控制点连接，自动安全调节器，输入/输出安全措施总线。每个通道通过交叉双工光纤连接线与其他的安全通道连接在一起。本发明防止致动器的虚假控制和保护指令的发布，减少系统恢复时间，增加系统准备状态，并增加远程控制和诊断的功能。

Description

核电站安全控制系统

技术领域

本发明属于自动化和计算机技术领域，并可用于核电站的自动检测和控制系统中以建立核电站的安全控制系统。

背景技术

一种已知核电站数字保护系统(美国专利号：6049578，国际专利分类号(IPC)：G21C 7/36，公布日期：2000年4月11日，模拟)由四个相同的处理和控制通道组成，通过测量参数的数字值与指定的定值比较，如参数超出定值限制，将确保设施上的紧急情况的识别，并执行用户所制定的保护措施。彼此物理隔离的安全通道通过光纤链路以交叉方式连接。各通道均有与该通道连接的模拟和数字传感器；模数转换器，在输出端提供被测量的模拟信号的数字显示；双稳态处理器；符合性逻辑处理器和启动致动器和自动保护反应堆控制程序的逻辑处理器。双稳态处理器接收其自身通道的被测量信号的数字值，将其转换为技术参数，检查被测量的参数是否存在超出指定限制的偏差，对每个参数作出偏差的二进制符号，并将这种符号通过光纤线路传输到其他处理和控制通道。符合性逻辑处理器从其双稳态处理器的通道接收该通道的信号参数偏差的二进制符号，并通过光纤线路从其他通道接收相应参数偏差的二进制符号。对于每个参数，符合性逻辑处理器检查超出4条通道中的2条通道的允许界限的符号。如果符合性逻辑处理器检测到4条通道中有2条通道在允许参数值中有偏差，则启动逻辑处理器给出必要的信令以停顿反应堆并驱动数字安全装置。

本模拟有下列缺点。

通过光纤通信线路在通道间数据交换及其根据“4取2”多数冗余原理的处理仅在来自过程传感器的输入信号的收集和处理初始阶段进行。这会降低保护系统的可靠性，并由于处理逻辑的故障和致动器控制的启动可引起在安全通道中假控制信号的出现。

系统的应用软件分布于执行单独保护任务的几个处理器中。这降低可靠性，使保护应用程序复杂化，并使采用自动方法来研发应用程序变得更困难，该方法在应用算法级允许避免因常见原因在保护系统所有通道会引起程序错误。

四通道保护系统的每条通道均有单独检测设备和测试面板，但是没有可从单元控制室和备用控制室能对保护措施提供远程手动控制的软件硬件工具。

此外，没有与正常操作系统连接的通信工具来把执行保护功能和保护设备状态的检测信息传输到上级控制级。

一种已知核电站控制数字安全系统(DCSS)和确保安全参数的方法 (俄罗斯专利号：2356111，国际专利分类号(IPC)：G21C7/36，公布日期：2009年，原型)，该系统由三个独立的相同安全通道组成，并通过从过程传感器接收的参数值的分析执行设施状态的评估，且在应急情况下指定操作保护动作。物理分开的安全通道通过光纤链路相互交联。每个通道包括输入装置、比较器置、控制信号产生装置、选择封锁装置以及致动器控制装置。输入装置执行过程模拟信号的输入，并将其转换为数字形式。比较器将读取的参数值与预定的数字值进行比较，并启动控制信号产生装置，根据这种控制信号，选择封锁装置启动致动器控制信号的产生。

该原型有下列缺点。

核电站安全控制系统通道中的应用程序分布于几个数字处理装备，这降低可靠性，难以开发可允许避免由于应用算法的错误并因常见原因而失灵的应用软件。

在核电站安全控制系统中的各安全通道数字化处理装置通过交叉通道间光线路与其它通道中的每个相应装置连接，这样构成4级通道间线路及安全通道多数冗余。这种根据多数冗余原理而进行的几台处理和控制装置中的每一台冗余是无效的，因为该设备在整个通道设备中所占的比例很小，因此其多数冗余不会大力增加安全控制系统的可靠性，但是对通道间的线路需要大大的硬件费力。此外，无法控制向执行器给出的控制信号。

原型所有的执行器控制装置与单元控制盘和备用控制盘的线路不足以获取有关发现失灵和恢复核电站安全控制系统的执行器、执行器控制器和处理和控制装置应用算法状态的充分信息。

此外，上述核电站安全控制系统没有与正常操作系统的通信手段，将无法向正常操作系统上级传达有关执行保护功能和安全设备状态的检测信息。

发明内容

本发明消除了上述缺点。

本发明有下列技术成果：

·各安全通道内采用一台处理器来解决分析核电站状态和控制保护的所有问题，这样提高了多通道安全控制系统的可靠性，

·在应用软件中因隐蔽错误，并通过以自动化手段开发整个应用软件的可能性，取消了常见原因的失灵，

·将数字化处理器装置数减少至一台，且把这种装置的通道间交换级和多数冗余级相应减少，从而提高了多数冗余的效率，

·取消了因两级多数冗余而引起的输入信号装置和处理装置故障而给出假信令，

·通过各通道处理器与正常操作系统和安全控制系统的信息链路的采用，扩展了远程控制和检测功能，

·通过基于通讯模块和以“树”形结构“点对点”双工接口的故障稳定和被检测的输入/输出总线的采用，减少了安全控制系统的恢复时间和提高准备状态。

技术结果以下列事实而实现的：数字化的核电站安全控制系统包含多个相同的安全通道，每个安全通道具有过程信号输入/输出站1-n、致动器优先控制站1-m、安全装置自动化控制器和安全装置输入/输出总线，所述优先控制站与单元控制室和备用控制室连接，所述安全装置输入/输出总线用于所述安全装置自动化控制器与输入/输出站和优先控制站交换数据，每个安全通道通过双工光纤线与其他安全通道相连；输入/输出站包含过程信号通信模块和安全装置输入/输出总线的通讯接口转换器；优先控制站包含致动器优先控制模块和安全装置输入/输出总线的表决通讯模块和表决模块；安全装置自动化控制器包含安全装置自动化处理模块和安全装置输入/输出总线的分支模块，每一安全通道的安全装置自动化处理模块通过基于Ethernet接口和数据级专设通信协议构建的“点对点”式处理器间接口的交叉链路与其它安全通道的安全装置自动化处理模块连接。

安全通道的安全装置输入/输出总线有“树”形结构，其上级根节点是安全通道的安全装置自动化处理模块，下层终点节点是输入/输出站的过程信号通信模块及本安全通道的优先控制站的致动器优先控制模块和其它安全通道的优先控制站的致动器优先控制模块，中间节点则是安全装置自动化控制器的分支模块、输入/输出站的通讯接口转换器和优先控制站的表决通讯模块和表决模块，中间节点基于现场可编程门阵列执行从根节点即安全装置自动化处理模块向终点节点即过程信号通信模块和致动器优先控制模块分支下行命令流和数据的功能，此外将从过程信号通信模块和致动器优先控制模块来的上行数据流集中到安全装置自动化处理器模块，

位于安全装置输入/输出总线节点中的模块之间的通信路径实施为“点对点”串行双工接口的线路形式，其执行在一条线路传输下行命令和数据而在另一条线路传输上行数据的功能，每个安全通道的安全装置自动化控制器和其他安全通道的优先控制站之间的通道间通信线路用光缆制成，其中所有模块均设计为统一替换模块，而输入/输出站、优先控制站和安全装置自动化控制器设计为放置在只用来放置输入/输出站、优先控制站和安全装置自动化控制器的单独机柜里的统一板条箱，每个机柜里有4个板条箱，

每个安全通道均使用安全装置自动化处理模块中的一个处理器而实现，其中，以两级通道间通信实施根据“N取2”命令和数据选择规则的多数冗余，N是安全通道的数量，其定值等于4；即，在安全装置自动化处理模块级，各安全通道的安全装置自动化处理模块通过处理器间接口从其它安全通道的安全装置自动化处理模块接收命令和测量的参数，和在优先控制站级、即在致动器优先控制模块的表决通讯模块内，控制命令通过安全装置输入/输出总线从所有安全通道的安全装置自动化处理模块传输到优先控制站。

优先控制站的优先控制模块内的执行器优先控制逻辑即现场可编程门阵列(FPGA)输出口连接到执行器输入口，并通过安全装置的FPGA和安全装置输入/输出总线，经反馈链路接连执行器输入口。

执行器输出口连接到执行器优先控制逻辑FPGA，并通过安全装置的 FPGA连接到备用控制室和安全装置自动化控制器。

安全通道的安全装置自动化控制器通过基于Ethernet接口和数据及通讯协议“点对点”式而制成的处理器间接口连接到单元控制室和备用控制室。

所有的安全通道的安全装置自动化控制器通过基于Ethernet拨号接口、网络交换机和数据层通信协议环形连接结构的EN备用总线连接到正常使用系统。

各安全通道的输入/输出站，根据安全通道的安全装置自动化处理模块分支模块(МР-4)的安全装置输入/输出总线分支线数等于4，并把各站组放置于单独板条箱里，而全站组放置于用来放置本站组的机柜联合为4台站每个组。

安全通道的各输入/输出站组通过用来在通道内的安全装置自动化控制器被分配的MP-4分支模块的4条分支线数连接到安全通道的安全装置自动化控制器的安全装置自动化处理器模块，每组的各输入/输出站通过其连接到分支模块的安全装置输入/输出总线4条分支线之一的通讯接口转换器的通讯模块连接到安全装置自动化处理模块，每个输入/输出站的通讯接口转换器的通信模块通过其分支线路将安全通道的安全装置自动化控制器连接到输入/输出站的每个过程信号通信模块。

根据安全通道数(例如等于4)和每个机柜中放置的优先控制站数，将优先控制站分为4个站一组；

第一组中的第一优先控制站的表决通信模块通过用来被分配连接优先控制站的通道1的自动化控制器分支模块MP-4的第一通信模块第一条分支线连接到第一安全通道的安全装置自动化处理模块，第一优先控制站的表决通讯模块通过其4条分支线连接到该组所有站的表决模块；

第一组的优先控制站_2-4通过安全通道的安全装置自动化控制器分支模块的通讯模块的第1条分支线分别与安全通道2-4的安全装置自动化处理模块相连，每台优先控制站的表决通讯模块通过其4条分支线与组中的所有站的表决模块相连；根据“4取2”原理用来对从所有安全通道的安全装置自动化处理器模块传来的数据进行表决的第1组的每台优先控制站_1–4的表决模块通过其分支线与本站每台优先自动化处理器模块_1-4，相应与第一组优先控制站_1-4相连；

下列优先控制站2-4台的3个组通过安全通道的分支模块(MP-4)第2-4 分支线与安全通道1-4的安全装置自动化处理器模块相连，每个下一4个站组5-9，10–13通过每个安全通道的相应第二，第三…分支模块(MP-4)的第1——第4分支线相同第一组优先控制站的相连与通道的安全装置自动化处理器模块相连。

输入/输出总线在“点对点”串行双工接口有两组通信线路：从安全装置自动化处理器模块的处理模块到过程信号通信模块的输入/输出模块和优先控模块的信令和数据下行流量线路及从过程信号通信模块和优先控制模块到安全装置自动化处理模块的输上行流量线路。对于下行数据流量，每个通信模块用来分支从上级总线节点沿着“树”线之一来的数据，向下层总线节点分支多条通信线路，设计到从总线的下层节点通过“树”几条线路输入到总线的上级节点的通讯线路的数据上行流量执行集中功能。对于输入/ 输出总线的所有的“树”分支，下行传输速率均设置为恒定，以便由于总线链路的超载避免数据丢失。总线通信模块还包含用于上行数据的FIFO式缓冲存储器，安全系统设备发生故障时，该缓冲存储器可抑制总线中的局部短期过载。优先级控制站中的表决通信模块(表决模块)还在第二级通道间交换和多数冗余按照“4取2”原理执行信令和来自所有安全通道的数据下行流量的多数处理。

总线的这种结构排除总线用户(过程信号通信模块或致动器优先控制模块)因单个通信故障使总线用户中的通信故障定位变得更加复杂。由于在用户连接到安全装置输入/输出总线级上没有传输数据的，并对干线结构总线同类的共同介质，而引起与本总线用户通过输入/输出总线的通讯故障不能影响与其它用户通过总线的通讯。通信模块中的故障会破坏总线上的多台过程信号通信模块、致动器优先控制模块的运行，但是这种“树”式结构的总线的故障基于对总线被连接用户的信息可容易的定位，精度为替换一台(通讯模块)。

在安全装置输入/输出分支总线定位故障，定位至替换模块(通讯模块)的可能性确保安全控制系统的最短恢复时间和高度可用性。

由于一组有4台优先控制站，每组通过3条通道间和1条通道内链路连接到1-4通道的安全装置自动化处理模块，

优先控制站合并为组将安全装置自动化控制器机柜与优先控制站机柜间的输入/输出总线的通道间外线路和通道内线路的长度减少N倍(N是通道数，定值为4)，替4条外线联络一条外线一台优先控制站，并将每组各站通过优先控制站组被放置的机柜里的短内线路连接到各4条通道的安全装置自动化处理模块。

通道间交换一级结构实现安全通道的优先控制站设备和安全装置自动化控制器的多数冗余(通过安全装置输入/输出总线，将安全装置自动化处理模块和安全装置自动化处理模块通讯设备与输入/输出站)，即如输入 /输出总线的任何安全通道内(N-2)的输入/输出站设备、安全装置自动化处理模块及其与输入/输出站通信设备失灵时，其他设备一部分在所有的安全通道内保持可用性。

在通道间交换二级结构将从所有的安全通道的安全装置自动化处理模块接收信令及其按照“N取2”原理的处理被实现在根据本原理形成的信令通过优先控制站的输入/输出总线内线路直接传输到优先控制站的优先逻辑控制以前。这种通道间交换级采用安全装置自动化处理模块的通讯设备与优先控制站通过任何(N-2)通道的输入/输出总线的多数冗余，并保持安全通道的优先控制站的可用性。

通道间数据交换两级结构以及使用一台处理器来解决保护逻辑的所有任务，确保了多通道的安全控制系统的高可靠性，并取消由于输入//输出站、安全装置自动化处理模块和输入/输出总线故障而在优先控制站发出的假信令，且比原型四级结构减少对硬件的费力。在结合以上故障和至少一个安全通道中的优先控制站的正常性，安全控制系统保持整个可用性。

用于所有安全任务的一个处理器的通统一软件环境可确保以自动化方法开发安全控制系统的应用软件，从而消除由于通用原因引起通道内出现故障的应用程序中的隐藏错误。

安全装置自动化处理模块在通过输入/输出总线向优先控制模块启动控制器控制信令以后，经FPGA输出口的反馈联络，读取信令，并控制向控制器发出的信令，且与指定的信令作比较。如果信令不符合指定的信令，安全装置自动化控制器记录优先控制站的故障，并把其报告通过EN总线传输到正常操作系统的上级控制水平，且通过优先控制接口₁传输到单元控制室，通过优先控制接口₂传输到备用控制室。这保证执行器控制链内的故障定位，精度为替换模块——优先控制模块，并经过优先控制模块的替换保持最小的恢复运行时间。

安全装置自动化控制器分别与单元控制室和备用控制室通过优先控制模块₁和控制模块₂的补充线路扩展单元控制室和备用控制室的安全控制系统的检测功能，并确保安全装置自动化控制器将从优先控制模块通过输入/输出总线有关优先逻辑和执行其状态而发出的仔细信息传输到单元控制室和备用控制室，并把有关安全装置自动化控制器内执行保护算法的信息传输到单元控制室和备用控制室。

安全装置自动化控制器与正常操作系统通过EN总线的线路从上级控制水平上再扩展检测安全控制系统的可能性。

附图说明

发明的实质说明在图1-7 。

图1和图2简明示出四通道安全控制系统；1、输入/输出站(СВВ_1–n)， n是安全控制系统一条通道的输入/输出站的数量；2、安全装置自动化控制器；3、优先控制站_1-m，m是安全控制系统一条通道的优先控制站的数量； 4、EN总线的网络转换器；5、正常操作EN冗余总线；6、各安全通道的安全装置自动化控制器与其它安全通道的安全装置自动化控制器的处理器间接口；7、安全装置输入/输出总线；8、执行器控制信令；9、保护控制站的控制信令；10₁、安全控制系统各通道的优先控制站与单元控制室的有线通讯线；10₂、安全控制系统各通道的优先控制站与备用控制室的有线通讯线；11₁、各安全通道的安全装置自动化控制器与单元控制室的处理器间接口；11₂、各安全通道的安全装置自动化控制器与备用控制室的处理器间接口₂。

图3示出输入/输出站的结构图(以第1条通道的输入/输出站₁为例)： 7、安全装置输入/输出总线的一部分；12₁-12_k、与过程信号通信模块的通讯模块，k是输入/输出站中过程信号通信模块的数量；13、通讯接口转换器；14、通讯接口转换器13与过程信号通信模块12₁-12_k通过安全装置输入/输出总线7的通讯线路；15₁、输入/输出站₁的通讯接口转换器13与安全装置自动化控制器通过安全装置输入/输出总线7的通讯线路。

图4示出优先控制站的结构图方案(以进入4台站一组，与4条通道中的各条通道的安全装置自动化控制器通过输入/输出总线的一条线路有连接的优先控制站为例)，其中：7、输入/输出总线一部分；16₁–16_e、优先控制模块，e是优先控制站的优先控制模块的数量；17、据“4取2”原理的表决模块；18、表决通讯模块；19、表决通讯模块18与本通道或其他安全通道的安全装置自动化控制器通过输入/输出总线7的通讯线路；20、优先控制站组的表决通讯模块(表决模块)与其他3台站组的表决模块(表决通讯模块)通过输入/输出总线的站间通讯线路；21、表决模块17通过输入/输出总线7与优先控制模块16₁–16_e的通讯线路；22、优先控制站内的表决通讯模块与表决模块的通讯线路。

图5示出4台优先控制站_1-4构成的一组优先控制站通过输入/输出总线与安全通道1-4的安全装置自动化控制器的线路结构，其中：7、输入/ 输出总线的一部分；17、表决模块；18、表决通讯模块；19(19₁₁,19₁₂,19₁₃, 19₁₄)、优先控制站第一组的表决通讯模块通过输入/输出总线与安全通道的安全装置自动化控制器的通讯线路；20(20₁₂,20₁₃,20₁₄,20₂₁,20₂₃,20₂₄, 20₃₁,20₃₂,20₃₄,20₄₁,20₄₂,20₄₃)、各优先控制站_1-4的表决通讯模块与其他3 台组的表决模块通过输入/输出总线的站间线路；21、表决模块17通过输入/输出总线7与优先控制站的优先控制模块16₁–16_e的通讯线路；22、优先控制站内表决通讯模块与表决模块的通讯线路。

图6示出优先控制模块的结构图，其中：10₁、单元控制室的执行器远程控制通讯线路；10₂、备用控制室的执行器远程控制有线线路；21、输入/输出总线的通讯线路；23、安全装置现场可编程逻辑陈列(FPGA)的可编程逻辑图；24、FPGA优先控制逻辑；25、输入控制器状态信号的线路；26、向控制器发出的读取控制信令状态的反馈联络。

图7示出安全通道1的安全装置自动化控制器及其安全装置自动化处理模块和安全通道2-4的安全装置自动化处理模块通过输入/输出总线与安全系统的所有输入/输出站和优先控制站的线路结构图，通道1通过处理器间接口与通道2-4的安全装置自动化处理模块、通过处理器间接口₁，处理器间接口₂与单元控制室和备用控制室的线路，并通过EN总线与正常操作系统的线路，其中：5₁,5₂是正常操作系统的EN总线、6₁₂,6_13,6₁₄是通道1的安全装置自动化处理模块与通道2，3，4的安全装置自动化处理模块的处理器间通讯接口；7、输入/输出总线的一部分；11₁₁,11₂₁、通道27 的自动化处理模块通过处理器间接口₁，处理器间接口₂分别与单元控制室和备用控制室的通讯接口；15₁,15₂,15₃,15₄、分支模块28的通讯模块的通讯线路；19₁₁,19₁₂,19₁₃,19₁₄、通道1，2，3，4的分支模块28与第1组的优先控制站_1-4的通讯线路；27、安全装置自动化处理模块；28₁、安全通道1-4的分支模块4的第一通讯模块之间的设置为连接输入/输出站，并用来把第一组输入/输出站的通讯模块连接到安全装置自动化处理模块。

具体实施方式

图1和图2所示的安全控制系统以4通道安全控制系统为例的硬件软件整套是以下列方式操作的。

每个安全通道的输入/输出站1-n接收工艺过程的模拟和二进制信号，将其转换为数字形式，然后通过安全输入/输出总线7传输到安全通道的安全装置自动化控制器2。根据安全装置自动化控制器2的信令，输入/输出站也形成并向保护控制站输出控制信号9。

安全装置自动化控制器2将接收到的模拟和二进制信号的数字值转换为过程的技术参数，通过处理器间接口6将其传输到其他安全通道的安全装置自动化控制器2，接收来自其他安全通道的过程参数，并根据“4取2”多数原理在第一通道间交换级和多数冗余对参数进行软件选择来进行进一步处理。安全装置自动化控制器2将根据多数原理选择的过程参数与核电站的指定安全限值进行比较。过程参数进一步的处理在多个阶段执行保护算法而实行，包括中间结果的转换处理，通过处理器间接口6进行通道间交换，和在每个阶段进行的多数处理。

如果在分析输入参数时，安全装置自动化控制器2发现紧急情况，它通过输入/输出总线形成并向本安全通道的优先控制站3及以第二通道间交换级向其他安全通道的优先控制站3传输启动保护操作的信令。如果紧急情况要求核反应堆的停堆，安全装置自动化控制器2通过输入/输出总线7 向输入/输出站3发出控制保护站的控制信令。

安全装置自动化控制器2在操作过程中产生并通过正常操作系统的 EN冗余总线5向正常操作系统上级发出有关输入/输出站和优先控制站的自动化控制器的情况。从正常操作系统通过EN总线发来的并在自动化控制器接收的信息是闭锁的。

优先控制站3接收本通道的自动化控制器2以及其他安全通道发出的控制执行器的信令，并在第二通道间交换级根据“4取2”原理以硬件方法进行该信令的处理。

优先控制站3根据“4取2”原理所选择的信令形成控制执行器8的信令。执行器8控制命令发送到执行器。优先控制站的优先控制结构还引入反馈线路，根据这种线路自动化控制器2读取向执行器8所发出的指令，并验证本指令与指定指令是否符合。优先控制站3接收检查执行器8对控制信令的反应的信令。

安全通道的优先控制站3也接收其他控制中心的控制信令：单元控制室、备用控制室，并根据控制中心的优先级发出执行器8的控制信令。

根据图2，单元控制室和备用控制室通过有线线路直接被连接到各安全通道的优先控制站3，并通过“点对点”式专设数据级通讯协议的Ethernet 接口的处理器间接口₁11₁、处理器间接口₂ 11₂的通讯线路连接到安全装置自动化控制器2。

通过有线线路10₁,10₂从单元控制室和备用控制室发出的二进制控制信号传输到优先控制站3，而从优先控制站3发出的反应优先控制站和执行器8情况的信号传输到单元控制室和备用控制室以显示在安全面板指示器上。

通过处理器间接口₁ 11₁、处理器间接口₂ 11₂的通信接口，有关执行保护算法的检测信息和有关执行器和优先控制模块的扩充检测信息从安全通道的自动化控制器2传输到单元控制室和备用控制室。

以通道1的输入/输出站为例，图3所示的输入/输出站结构包含有：安全装置输入/输出总线7的通讯接口转换器13、工业过程通讯模块 12₁-12_k。通讯接口转换器模块通过输入/输出总线14的点对点串联双工接口的单独通讯线路连接到每个工业过程通讯模块12₁-12_k，并且通过输入/ 输出总线15₁的通讯线路与安全装置自动化控制器相连。

通讯接口转换器13这一通讯模块将从自动化控制器2通过线路15₁发来的信令和数据分配到工业过程通讯模块的通讯线路14，并把从工业过程通讯模块通过线路14发出的信令集中到将优先控制站与自动化控制器相连的通讯线路15₁。通过通讯线路15₁可输入各工业过程通讯模块来向/ 从自动化控制器传输/接收数据。

工业过程通讯模块执行下列功能：接收和显示过程的模拟和二进制信号、将过程输入信号转换为数字形式并将输出信号的数字值转换为模拟形式、进行输入信号的预处理、通过输入/输出总线7的通讯线路14，15与自动化控制器进行通信。

以通道1的优先控制站为例，图4示出4台站组的优先控制站结构，每个通道的自动化控制器与该站通过输入/输出总线的一条通讯线路进行数据交换。输入/输出站包含有：表决通讯模块18、表决模块17、优先控制模块16₁-16_е。表决模块通过输入/输出总线7的点对点式串联双工接口的单独分支线21与每个优先控制模块16₁-16_е相连；通过输入/输出总线7的集中线路20的3条集中线路与其他3台优先控制站的表决通讯模块相连。

表决通讯模块18：通过输入/输出总线22的线路与本优先控制站的表决模块相连；通过输入/输出总线的3条分支线路20与安全通道1的其他3 台优先控制站的表决模块相连；通过其他3台优先控制站的输入/输出总线 7的集中线路与其他安全通道的自动化控制器相连。

图5示出4台站组的优先控制站_1-4通过输入/输出总线与安全通道1-4 的自动化控制器的线路结构。优先控制站₁的表决通讯模块18通过线路19₁₁与通道1的自动化控制器相连，优先控制站₂的表决通讯模块18通过线路 19₁₂与通道2的自动化控制器相连，优先控制站₃的表决通讯模块18通过线路19₁₃与通道3的自动化控制器相连，优先控制站₄的表决通讯模块18 通过线路19₁₄与通道4的自动化控制器相连。每个优先控制站_1–4中的表决通讯模块18与其他3台优先控制站的表决模块17相连：在优先控制站₁中通过分支线20₁₂,20₁₃,20₁₄，在优先控制站₂中通过分支线20₂₁,20₂₃,20₂₄，在优先控制站₃中通过分支线20₃₁,20₃₂,20₃₄，在优先控制站₄中通过分支线20₄₁,20₄₂,20₄₃。

通过输入/输出总线的上述线路，各4条通道的自动化控制器的指令和数据传输到各站组的表决模块，以便根据“4取2”原理执行多数处理，并通过表决模块17的分支线把选择的指令和数据传输到优先控模块。

图6示出优先控制模块结构图。优先控制模块根据几个下列控制中心的启动信令控制执行器的操作：从自动化控制器通过输入/输出总线的通讯线路21；从单元控制室通过有线线路10₁及从备用控制室通过优先线路10₂。通过线路21,10_1,10₂将执行器情况分别传输到自动化控制器、单元控制室和备用控制室。将优先控制模块的情况通过输入/输出总线7传输到自动化控制器。

执行器控制信令形成在FPGA可编程逻辑环境，通过自动化控制器、单元控制室和备用控制室发来的启动命令而执行的。安全装置FPGA发来的执行器控制信令传输到优先控制逻辑FPGA24，在优先控制逻辑FPGA 根据控制中心的优先级形成执行器控制信令。

安全装置自动化控制器在向优先控制模块通过输入/输出总线的通讯线路21发出执行器控制信令以后，通过优先控制逻辑FPGA输出口的反馈读取并检查向执行器发出的信令，并把它与指定的信令比较。如果信令不符合指定的信令，图1所示的自动化控制器2记录优先控模块的故障，并将与此相关的信息通过EN 5总线传输到正常操作系统的上级控制水平，并通过优先控制模块₁传输到单元控制室以及通过优先控制模块₂传输到备用控制室(见图2)。

以通道1的安全装置自动化控制器为例，图7示出自动化控制器结构图。安全装置自动化控制器的安装装置自动化处理模块27通过输入/输出总线7从本安全通道的优先输入/输出站_1-n的工业过程通讯模块接收过程数据，进行其处理，并在发现紧急情况时，根据安全算法形成并通过输入/ 输出总线7向本通道及其他安全通道的优先控制站_1-m的优先控制模块发出控制保护动作的信令。在执行安全算法过程时，安全装置自动化处理模块 27与第2、第3和第4通道的安全装置自动化处理模块分别通过处理器间接口6₁₂,6₁₃,6₁₄进行数据的交换，并根据“4取2”原理进行所有安全通道发来的数据处理。通过第1条安全通道的安全装置自动化处理模块与单元控制室的优先控制模块₁的通讯接口11₁₁和与备用控制室的优先控制模块₂的通讯接口11₂₁，处理器模块从单元控制室和备用控制室接收远程控制信令，并把实行保护算法的监测信息传输到单元控制室和备用控制室。通过冗余总线EN 5₁,5₂安全装置自动化处理模块将安全系统的监测信息传输到正常操作系统。

安全装置自动化处理模块接收优先控制站和输入/输出站所发来的数据和向优先控制站发出信令和数据是根据下列方法进行：通过输入/输出总线的线路29₁,29₂与第一分支模块4的通讯模块28₁,28₂分别与输入/输出站和优先控制站相连；还通过分支模块4的通讯线路15与1组输入/输出站相连，并通过通讯线路19与一组优先控制站相连。各分支模块4的通讯模块通过4条通信线路可与本安全通道的一组输入/输出站_1-4的4台输入/输出站或与4台优先控制站间的4个组相连。

分支模块4的通讯模块28₁通过通讯线路15₁连接到本安全通道(1) 输入/输出站₁，通过通讯线路15₂连接到输入/输出站₂，通过通讯线路15₃连接到输入/输出站₃，通过通讯线路15₄连接到输入/输出站₄。

分支模块4的通讯模块28₂通过其第一通讯线路19₁₁,19₁₂,19₁₃,19₁₄连接到1组(通道1)的优先控制站_1-4，通过其第二通讯线路19₂₁,19₂₂,19₂₃, 19₂₄连接到2组(通道2)的优先控制站_1-4，通过其第二通讯线路19₃₁,19₃₂, 19₃₃,19₃₄连接到3组(通道3)的优先控制站_1-4，通过其第二通讯线路19₄₁, 19₄₂,19₄₃,19₄₄连接到4组(通道4)的优先控制站_1–4。

Claims (3)

1.一种核电站安全控制系统，其包含多个相同的安全通道，每个安全通道具有用于过程信号的输入/输出站、用于致动器的优先控制站、安全装置自动化控制器和安全装置输入/输出总线，所述优先控制站与单元控制室和备用控制室连接，所述安全装置输入/输出总线用于所述安全装置自动化控制器与输入/输出站和优先控制站交换数据，每个安全通道通过双工光纤线与其他安全通道相连，

其特征在于：输入/输出站包含过程信号通信模块和安全装置输入/输出总线的通讯接口转换器，优先控制站包含致动器优先控制模块和安全装置输入/输出总线的表决通讯模块和表决模块，安全装置自动化控制器包含安全装置自动化处理模块和安全装置输入/输出站总线的分支模块，

安全通道的安全装置输入/输出总线有“树”形结构，其上层根节点是安全通道的安全装置自动化处理模块，下层终点节点是过程信号输入/输出站的过程信号通信模块及本安全通道的优先控制站的致动器优先控制模块和其他安全通道的优先控制站的致动器优先控制模块，中间节点则是安全装置自动化控制器的分支模块、输入/输出站的通讯接口转换器和优先控制站的表决通讯模块和表决模块，中间节点基于现场可编程门阵列执行从根节点即安全装置自动化处理模块向终点节点即过程信号通信模块和致动器优先控制模块分支下行命令流和数据的功能，此外，将从过程信号通信模块和致动器优先控制模块来的上行数据流集中到安全装置自动化处理模块，

位于安全装置输入/输出总线节点中的模块之间的通信路径实施为“点对点”串行双工接口的线路形式，其执行在一条线路传输下行命令和数据而在另一条线路传输上行数据的功能，每个安全通道的安全装置自动化控制器和其他安全通道的优先控制站之间的通道间通信线路用光缆制成，其中所有模块均设计为统一替换模块，而输入/输出站、优先控制站和安全装置自动化控制器设计为放置在只用来放置输入/输出站、优先控制站和安全装置自动化控制器的单独机柜里的统一板条箱，每个机柜里有4个板条箱，

每个安全通道均使用安全装置自动化处理模块中的一个处理器而实现，其中，以两级通道间通信实施根据“N取2”命令和数据选择规则的多数冗余，N是安全通道的数量，其定值等于4，在优先控制站级、即在优先控制站的表决通讯模块中，控制命令通过安全装置输入/输出总线从所有安全通道的安全装置自动化处理模块传输到优先控制站。

2.根据权利要求1所述的核电站安全控制系统，其特征在于：每个安全通道的输入/输出站根据安全通道的安全装置自动化控制器分支模块中的安全装置输入/输出总线分支线路的数量联合为站组，每个站组有4个输入/输出站，各站放置在机柜里的单独板条箱，各站组放置于用来放置该站组的机柜里，

安全通道的输入/输出站的每站组通过4条分支线连接到安全通道的安全装置自动化控制器的安全装置自动化处理模块，在用来连接输入/输出站的安全通道的安全装置自动化控制器分支模块数量中的每一组的输入/输出站通过已连接到的安全装置输入/输出总线的分支模块的4条分支线之一连接到安全装置自动化处理模块，每个输入/输出站的通讯接口转换器根据本模块的分支线将安全通道的安全装置自动化控制器连接到输入/输出站的每个过程信号通信模块。

3.根据权利要求1所述的核电站安全控制系统，其特征在于：根据安全通道数以及放置于每个机柜里的优先控制站的数量，四个优先控制站构成一个站组，每个站组放置于用来放置本站组的单独板条箱；第一站组的第一台优先控制站的表决通讯模块通过第一安全通道自动化控制器的分支模块的第1分支线与第一安全通道的安全装置自动化处理模块相连，第一台优先控制站的表决通讯模块通过其4条分支线与第一站组中的所有优先控制站的表决模块相连；

第一站组的第二至四台优先控制站通过相应安全通道自动化控制器的分支模块的第1分支线分别与第二至第四安全通道的安全装置自动化处理模块相连，每台优先控制站的表决通讯模块通过其4条分支线与第一站组中的所有优先控制站的表决模块相连；根据“4取2”原理用来对从所有安全通道的安全装置自动化处理模块传来的数据进行表决的第一站组的每台优先控制站的表决模块通过其分支线与该优先控制站的致动器优先控制模块相连；

第二至第四站组中的每台优先控制站分别通过第一至第四安全通道自动化控制器的分支模块的第2-4分支线与第一至第四安全通道的安全装置自动化处理模块相连。

Images