★ 北京广利核系统工程有限公司 胡光耀

关键词： 故障探测；安全级DCS；隔离继电器；设备接口模块；自诊断；电源监视

自诊断功能是核电厂数字化仪控系统（Digital Instrument & Control System， DCS）的关键功能之一。安全级DCS平台通过其自诊断功能对影响系统功能执行的故障进行探测[1] ，并根据故障的等级进行相应的报警[2]。在资源允许的情况下， DCS应配置充足的故障诊断措施，以覆盖故障时对仪控系统主要功能产生影响的功能单元[3]。DCS的诊断覆盖率越高，故障报警指示越清晰、准确，越有利于系统的维护，从而提升核电厂运行的安全性和经济性。

某核电厂安全级执行器采用FirmSys[4]平台设备接口模块（Component Interface Module， CIM）进行指令优先级管理和驱动控制。作为执行专设安全设施驱动功能的重要环节之一， CIM的驱动电源需要进行监视以确保安全级执行器驱动功能的可用性。在该核电厂安全级DCS项目工厂测试期间发现，现有CIM驱动电源监视方案无法完整覆盖驱动控制回路的实际供电状态，难以快速、准确发现和修复故障。为解决该问题，本文结合FirmSys平台DCS系统的特点，对CIM驱动电源监视方案进行分析并提出改进设计方案。

1   系统概述

某核电厂安全级DCS中， FirmSys平台配置的CIM板卡可接收来自专设安全设施驱动机柜（Engineered Safety Features Actuation Cabinet， ESFAC）、安全相关机柜（Safety Related Cabinet， SRC）、多样性驱动系统（Diverse Actuation System， DAS）和非安全级（Non-classified， NC）DCS系统等不同仪控系统/设备的硬接线或通信驱动指令。 CIM板卡对上述不同驱动指令进行优先级管理后， 选择输出具有最高优先级的驱动控制指令至现场执行器。通常情况下，每一个CIM板卡用于控制一个执行器。

基于FirmSys平台的CIM板卡主要功能包括：

（1）驱动指令采集功能；（2）优先级管理功能； （3）驱动控制功能；（4）反馈信号采集功能；（5）自诊断和定期试验功能。CIM板卡的原理结构示意图如图1所示。

图1 CIM板卡的原理结构示意图

2   驱动电源监视方案分析

CIM板卡的驱动控制回路采用MOS型开漏输出，通过外接24V或48V驱动电源，实现驱动控制指令的高电平或低电平输出，并通过硬接线直接与对应的执行器控制线圈相连接。CIM板卡可以对自身接入的外部驱动电源状态进行监测，并通过通信路径上传至与其连接的控制器。

基于以上应用方式和产品特性， 某核电站安全级DCS在设计时，使用CIM板卡的驱动电源状态监测的结果判断驱动控制回路的供电状态。

驱动电源监视方案如图2所示。部署于各机柜中的CIM板卡可独立监视自身的驱动电源状态（电源状态正常为Ture，异常为False），并通过IO总线上传至与之连接的安全级控制器中。安全级控制器主处理单元（Main Processing Unit， MPU）接收该状态后，将本控制器涉及的所有CIM板卡对应的驱动电源监视状态以CIM板卡所在机柜为单位进行合并，再通过通信输出至非安全级显示单元中进行报警显示。当某一机柜中任意一个CIM板卡对应的驱动电源监视状态为False时，则触发该机柜的CIM驱动电源状态报警。

图2 驱动电源监视方案

图2所示驱动电源监视方案的设计前提为CIM板卡的驱动控制回路直接与现场执行器相连接。通常情况下，采用CIM驱动的执行器安全级别与CIM板卡的安全级别相同。因此， CIM板卡可以直接与安全级执行器连接，无需增设额外的隔离装置。当CIM板卡的驱动控制回路因电源模块故障、空开跳闸、供电回路断线等原因导致供电丧失时， CIM板卡将提示自身接入的驱动电源异常，表征该板卡无法再继续驱动执行器动作。

某核电项目中，部分由CIM控制的执行器安全分级为非安全级。根据GB/T 13286-2021的要求，非安全级电路与安全级电路之间相互连接时，应采用安全级隔离装置进行电气隔离[5]。因此，此类情况下需要在安全级机柜中增加继电器，实现CIM板卡与非安全级执行器的电气隔离，以满足独立性的要求。同时为了满足驱动现场执行器的要求， DCS设计时在继电器触点侧引入独立的48VDC驱动电源。 CIM板卡及驱动电源接线图如图3所示。

图3 CIM板卡及驱动电源接线图

该架构中，继电器线圈侧的电源（电源1）以及触点侧的电源（电源2）均属于该执行器驱动电源，任意一路电源失效均会导致执行器无法正常动作。因此，当任意一路电源故障时， DCS均应产生实时的报警。基于现有的驱动电源监视方案，当电源1出现故障或电源1和电源2同时故障时， CIM板卡接入的24V/48V供电状态将出现异常。此时， CIM板卡可以通过自身的驱动电源状态监视功能识别故障状态。但是，当仅电源2出现故障时，该故障既无法被CIM板卡的驱动电源状态监视功能所覆盖，也难以通过其他诊断功能识别。

3   驱动电源监视方案改进

针对上述CIM驱动控制回路中配置隔离继电器的应用方式，原驱动电源监视方案无法满足继电器线圈侧和触点侧的电源状态监视需求。为解决该问题，本文提出了2种改进方案。

3.1   改进方案1

改进方案1采用驱动电源2空开辅助触点串联监视方式。该方案以机柜为单位，将机柜内所有隔离继电器触点侧供电电源空开的辅助触点状态进行汇总，通过硬件串联的接线方式接入安全级控制器，实现对电源2状态的集中监视。

改进方案1的设计原理如下：

（1）将机柜内所有隔离继电器触点侧供电电源空开的辅助触点进行串联；

（2）将串联后的回路接入安全级控制器的数字量输入（Digital Input， DI）模块；

（3）在控制器软件中，将DI输入状态与机柜内所有CIM板卡自诊断电源状态进行逻辑运算；

（4）当任意一路隔离继电器供电空开跳闸或其辅助触点状态异常时，串联回路断开，控制器检测到状态变化；

（5）控制器将合并后的报警状态通过通信输出到非安全级显示单元。

改进方案1接线示意图如图4所示。当机柜中所有隔离继电器供电空开均处于闭合状态且辅助触点正常时，串联回路导通， DI模块检测到高电平（逻辑状态“1”）；当任意一个隔离继电器供电空开跳闸或其辅助触点故障导致触点断开时，串联回路中断，  DI模块检测到低电平（逻辑状态为“0”）。在安全级控制器中，对新增的触点侧电源状态与原有的CIM板卡自诊断电源状态进行合并处理。该逻辑确保了无论是电源1 （CIM板卡自诊断）故障，还是电源2（隔离继电器电源）故障，均能触发统一的机柜级报警。

图4 改进方案1接线示意图

改进方案1硬件架构简单， 仅使用供电空开的辅助触点，无需新增继电器等中间器件，接线直观、成本低；监视回路完全由纯硬件无源触点构成，不依赖软件逻辑实现回路通断检测，抗电磁干扰能力强，硬件故障率极低，在空开状态正常、回路无断线的场景下，能够稳定实现电源2的状态监视。但是，使用空开辅助触点，仅能监视空开分合闸状态，无法覆盖空开闭合但后端供电回路断线的故障场景。

3.2   改进方案2

针对改进方案1无法监测“空开闭合但后端回路断线”的问题，本文提出了改进方案2采用驱动电源电压采集的设计方式。在隔离继电器触点侧（驱动电源2）引入独立的电压采集回路，将电压信号转换为数字量信号输入至安全级控制器。通过在MPU内部构建逻辑运算，将新增的驱动电源状态信号与CIM板卡自诊断电源状态信号进行深度融合，从而实现对驱动电源2全链路（包括空开本体、供电线路及负载端）的无死角监视。

改进方案2接线示意图如图5所示。该方案以驱动电源2本身的24V/48V电源作为激励源，驱动专用中间继电器，当供电回路正常时，采集点获得高电平；一旦供电丢失（无论是由空开跳闸还是线路断路引起），采集点电平立即跌落。以机柜为单位，若机柜内存在多个需要隔离的设备，将每个设备的中间继电器触点串联，通过DI通道，采集串联后的驱动电源的电源状态信号。在安全级控制器软件中，对该路新采集的电源状态信号与驱动电源1的CIM板卡自诊断电源状态信号执行“与非”安全逻辑运算，整合生成驱动电源监视报警，并将状态发送至非安全级显示单元。

正常工况： 驱动电源1与驱动电源2供电回路均正常，驱动电源电压稳定， MPU检测到双路电源状态均为逻辑“1力，系统运行正常。

故障工况：若驱动电源2空开跳闸，电压消失， DI输入状态为“0力，触发报警；若驱动电源2空开处于闭合状态，但后端线路发生断线或接触不良，采集点取自负载侧或回路末端，电压同样跌落，  DI输入状态为“0力，同样触发报警。

改进方案2通过直接监测回路电压，能够覆盖空开跳闸、回路断线、接线端子松动、电源模块失效等全场景故障模式。该方案采用独立的电压采集回路，搭配专用中间继电器，信号传输稳定，抗干扰能力强，能够通过电平变化精准反映供电状态。通过独立的电压监视通道，运维人员可快速区分是电源侧故障还是控制逻辑侧故障。

图5 改进方案2接线示意图

需要说明的是， 改进方案1和改进方案2均可实现驱动电源状态监视的核心目的。改进方案1采用电源空开的辅助触点，无需考虑新增物资、机柜空间、柜内电缆布线等问题。鉴于空开辅助触点故障概率，以及机组正常运行中“空开闭合但后端回路断线力的概率相对较低，因此对于机柜空间较为紧凑的应用场景，可以优先选择改进方案1。改进方案2需要增加中间继电器及电源供电接线， 需要考虑新增物资、机柜空间、柜内电缆布线等问题。对于新增物资较少、机柜空间余量充足的应用场景， 可以优先选择改进方案2实现对驱动电源2全链路（包括空开本体、供电线路及负载端）的监视。

本文所述某核电厂中， CIM驱动控制回路中配置隔离继电器的应用场景较少，每个序列仅涉及1个CIM。因此， 本项目选择改进方案2作为工程实施方案。此外，改进方案1也已经成功应用于其他核电机组。经工厂测试和现场实际运行验证，2种改进方案均能够有效实现CIM驱动电源的监视功能，工程应用效果良好。

4   总结

自诊断功能作为核电安全级DCS的关键特性之一，不仅能够实时监测系统的运行状态，还能够在故障发生时及时上报诊断信息， 为运行维护和故障处理提供重要依据[6]。本文针对CIM驱动控制回路在配置隔离继电器后出现的电源监视覆盖不全问题，提出了针对性的改进方案。改进方案1利用驱动电源空开辅助触点构建硬件串联回路，整体架构简单、成本低廉且抗干扰能力强，能够高效识别空开跳闸及触点故障；改进方案2则通过驱动电源电压采集技术， 实现对空开跳闸、线路断线及电源模块失效等全场景故障的全覆盖监测。上述2种改进方案均已通过严格的工厂测试及现场运行验证，在多台核电机组中表现良好。本研究不仅解决了特定项目的技术难题， 同时为后续核电机组的驱动电源监视方案设计提供了参考。

作者简介：

胡光耀（1989-） ，男，湖北人，工程师，硕士，现就职于北京广利核系统工程有限公司，主要从事核安全级仪控系统的设计工作。

参考文献：

[1] IEC. Nuclear Power Plants - Instrumentation and Control Important to Safety - General Requirements for Systems: IEC 61513[S].Switzerland: IEC, 2011.

[2] IEC. Nuclear Power Plants - Instrumentation and Control Systems Important to Safety - Surveillance Testing: IEC 60671[S].Switzerland: IEC, 2007.

[3] 杜乔瑞, 齐敏, 石桂连, 等. 核安全级仪控系统(FirmSys)平台软件设计技术研究与实现[J]. 自动化博览, 2018, (05) : 66 - 71.

[4] 张弋. "华龙一号"核电技术自主化DCS设计与实现[J]. 自动化仪表, 2021, 42 (S1) : 46 - 51.

[5] GB/T 13286-2021, 核电厂安全级电气设备和电路独立性准则[S].

[6] 江国进, 李富, 莫昌瑜, 等. 核安全级数字化仪控系统自诊断功能研究与设计[J]. 核科学与工程, 2019, (01) : 146 - 154.

摘自《自动化博览》2026年7月刊