★ 北京广利核系统工程有限公司 何志，王潇，李书凝

关键词：故障安全；FirmSys平台；跨序列信号；核电站DCS系统

1   引言

数字化控制系统（DCS） 作为核电站的“中枢神经”，已在国内外不同核电机组中得到广泛应用。 HAD 102/10-2021要求当某个仪控部件失电或出现故障时，系统应被置于一个预定状态下，这个状态应已被证明对于安全是可接受的[1]。为了应对因仪控部件失电或故障等原因导致的信号失效， DCS系统通常设计有故障安全功能，在诊断出故障后将失效信号替代为预设的具有故障安全值属性的数值，以避免造成重要的控制和保护功能丧失。

核电站安全级DCS系统的信号故障安全设计，  一般通过DCS自身诊断机制对系统部件的故障进行识别，使用质量位对信号的有效性进行标识，触发预设的故障安全值[2]。DCS的故障安全设计一般考虑输入信号的替代值和输出信号的故障安全值。某华龙一号核电站在工艺设备、仪控系统功能冗余的设计方面参考了EPR核电机组的设计理念。在单序列仪控系统失电时，需要通过序列间传输信号的替代值和故障安全值设置，使其他序列的仪控系统维持机组工艺功能[3]。对于此类信号，需要在基于质量位的故障安全设计基础上，综合考虑信号源系统失电对故障安全设计方案的影响。本文基于北京广利核系统工程有限公司的安全级平台FirmSys产品特点，分析DCS产品故障和单序列仪控系统失电对DCS信号的影响，提出核电站跨序列DCS信号的故障安全设计方案。

2   基于FirmSys的核电站DCS系统功能与架构简介

某华龙一号核电站安全级DCS和非安全级DCS分别采用FirmSys平台和SH-N平台产品实现。根据核电站仪控系统总体架构设计以及仪控功能分配，安全级DCS和非安全级DCS均采用三个冗余序列对现场工艺系统进行监控。仪控系统中跨序列DCS信号包括：①安全级DCS内部冗余序列之间的信号；②非安全级DCS内部冗余序列之间的信号；③安全级DCS与非安全级DCS不同序列之间的信号。其中，基于FirmSys的安全级DCS故障安全设计主要考虑的信号为安全级DCS内部冗余序列之间、安全级DCS与非安全级DCS不同序列之间的信号。

根据独立性要求和DCS产品特点，安全级DCS内部冗余序列之间基于FirmSys平台采用网络通信方式进行数据传输，以降低DCS系统的硬接线规模。网络通信通过光电转换装置、光纤实现电气隔离。安全级DCS和非安全级DCS之间的控制联锁信号则通过硬接线进行交互，并通过调理模块、继电器等装置实现隔离。

3   FirmSys平台故障诊断机制

在DCS系统中故障安全值指DCS信号失效或故障时输出的预设安全状态值，适用于输出信号；替代值指信号失效时用于逻辑运算的替代参数，适用于输入信号， FirmSys平台具有完善的故障诊断机制和信号有效性管理功能。其智能板卡可以对自身状态进行实时监视，当诊断出板卡故障、通信故障等故障状态时，将系统中传递的信号质量位设为故障， 以表征信号处于失效状态[4]。典型的FirmSys平台信号处理过程如图1所示， DCS板卡部件可归类为I/O信号处理板卡（包括模拟量AI板卡、开关量DI板卡、模拟量AO板卡和开关量DO板卡）、网络通信单元板卡、主处理单元板卡三种类型。

图1 典型的FirmSys平台信号处理过程

根据不同类型板卡的实现方式及其用途， FirmSys平台产品为不同DCS板卡设计了不同的故障诊断措施以及故障后的信号处理方式[4]。

（1）I/O信号处理板卡

I/O信号处理板卡中的AI和DI板卡用于采集来自外部的硬接线模拟量信号和开关量信号，  AO和DO板卡用于向外部发送硬接线模拟量信号和开关量信号。 FirmSys平台产品分别采用AI通道动态自检和DI冗余硬件采集比较的方式对板卡采集通道进行诊断，通过输出回读的方式对AO/DO输出通道进行诊断。此外， I/O信号处理板卡还可以通过独立时基看门狗等方式对板卡的处理功能异常进行诊断。

当诊断出AI或DI板卡故障时， DCS将采集信号的质量位设为故障。除板卡自身故障外，  AI板卡还支持对信号超量程进行监测， 当采集信号电流超出预设值时， DCS同样将信号质量位设为故障。主处理单元可以基于质量位的状态对故障信号进行处理，以减少信号故障后的影响。

当诊断出AO或DO板卡故障时，输出通道信号的质量位设为故障，板卡输出预设的故障安全值，以使被控对象或外部系统功能处于预期的确定性状态。

（2）网络通信单元板卡

网络通信单元板卡包括用于内部I/O通信功能的I/O通信单元板卡， 以及用于与外部系统通信的点对点/多节点通信板卡。各通信单元板卡通过独立时基看门狗等方式对板卡的处理功能异常进行诊断，同时通过循环冗余校验（CRC校验）、通信周期检测、数据帧序列号等方式对数据通信链路进行诊断。

当诊断出I/O通信单元板卡故障时， AI/DI板卡采集的信号质量位设为故障， 数据默认保持上一周期有效值；AO/DO板卡输出通道信号的质量位同样设为故障，板卡输出预设的故障安全值。

当诊断出点对点/多节点通信板卡故障时，通信链路中各控制站接收的网络通信信号质量位设为故障，数据默认保持上一周期有效值。

（3）主处理器单元板卡

主处理器单元板卡用于执行控制站的主要逻辑运算功能。主处理单元可以通过独立时基看门狗、电压监控、硬件板卡自诊断等方式对自身状态进行诊断。当主处理器单元板卡故障时，本控制站与外部系统的通信中断，AO/DO板卡输出预设的故障安全值。

4   跨序列信号故障安全方案设计

为了满足核电站仪控系统在单序列失电后的工艺功能控制要求，不同的跨序列信号存在不同的故障安全需求。对于同一个信号而言，在信号源失电和接收侧DCS部件故障时，替代值的要求一般是相同的。该核电站中， 跨序列开关量信号故障安全要求包括“0” “1”和“保持上一周期值”， 模拟量信号故障安全要求通常为“固定值”和“保持上一周期值”。

根据不同数据传输方式，结合仪控系统失电的后果以及FirmSys平台自身故障诊断机制的特点，工程应用会针对不同替代值和故障安全值要求制定相应的故障安全设计方案。

4.1   安全级DCS内部冗余序列之间的信号故障安全设计

安全级DCS内部冗余序列之间的信号采用网络通信的数据传输方式。当某一序列仪控系统失电时，该序列与其他序列之间的通信中断。其他序列的网络通信板卡通过数据通信链路诊断，可以识别到该故障，并将接收信号的质量位设为故障。

由于接收侧网络通信板卡自身故障也将导致信号质量位故障，因此替代值设计时，可以使用一个来自信号源所在控制站的独立网络信号作为状态监测，采用其质量位的状态，覆盖信号源控制站失电和接收侧通信板卡自身故障两种故障模式。

安全级DCS内部冗余序列之间替代值的实现方案如图2所示。当独立网络信号质量位故障时， 在接收侧控制站中通过软件用替代值对信号进行替代。

图2 安全级DCS内部冗余序列之间替代值的实现方案

4.2   安全级DCS与非安全级DCS不同序列之间的信号故障安全设计

安全级DCS与非安全级DCS不同序列之间的信号采用硬接线的数据传输方式。当非安全级DCS失电时，其输出的不同数据类型信号表现出不同特征。根据SH-N平台DCS板卡的输出特点，当DCS失电时，开关量输出板卡DO的输出触点断开（信号状态为“0”），模拟量输出板卡AO输出0毫安。对于开关量信号， FirmSys平台产品的诊断机制无法识别失电后的信号状态是否异常。不同故障安全需求的开关量信号，需要结合失电后的信号特征以及DCS故障诊断机制综合考虑故障安全设计方案。对于模拟量信号，则可以通过FirmSys平台产品的超量程监测功能判断信号是否失效。

4.2.1   硬接线开关量信号的故障安全实现方案

（1）故障安全要求为“0”

对于故障安全要求为“0”的硬接线开关量信号，可以通过信号源DO输出板卡失电特性和信号接收侧基于质量位的替代值替代逻辑配合实现故障安全功能。

当信号源所在系统失电时， DO输出板卡的失电特性将使接收侧获取的信号状态默认为“0”，已经可以满足故障安全要求。当信号接收侧DI板卡故障或I/O通信板卡故障时， DCS平台产品可以将信号质量位设为故障，此时通过控制器软件中的替代值替代逻辑，将信号切换为“0”。

（2）故障安全要求为“1”

对于故障安全要求为“1”的硬接线开关量信号，在接收侧无法对信号源失电进行诊断的情况下，可以考虑在接收侧对信号进行取反，依靠信号源DO输出板卡的失电特性（默认状态为“0”），将接收侧的信号置为“1”。

针对信号接收侧DI板卡故障或I/O通信单元板卡故障，则通过FirmSys平台智能板卡自诊断特性产生的质量位，在软件逻辑中将取反前的信号值切换为“0”，或将取反后的信号切换为“1”，以实现相同的故障安全功能。

此外，为了使正常情况下信号的逻辑功能正常执行，需要同时在信号源所在系统中对输出信号取反，故障安全的实现方案如图3所示。

图3 硬接线开关量信号故障安全的实现方案

（3）故障安全要求为“保持上一周期值”

对于故障安全要求为“保持上一周期值”的硬接线开关量信号，由于信号上一周期的状态是一个不确定的状态，信号接收侧无法再利用信号源DO输出板卡失电特性进行故障安全设置。

为了避免因此类故障导致重要控制功能误动或拒动， 一些重要信号可采用图4所示的冗余信号诊断方案。由信号源系统输出两个冗余信号，两个信号在正常运行过程中处于互斥状态。信号接收侧通过两个采集通道进行采集，并在控制器中进行逻辑判断。

图4 冗余信号诊断方案

当信号源系统正常运行时，信号接收侧判断两个信号状态不同，默认采用其中一个信号参与逻辑运算。当信号源系统失电时， 两个信号的板卡失电状态均为“0”，信号接收侧通过双“0”判断识别上述故障，并将参与逻辑运算的信号置为“保持上一周期值”。

结合DCS接收侧的DI板卡和I/O通信单元板卡故障诊断机制， 当两个冗余信号的任一采集通道出现故障时，通过质量位剔除故障信号；当两个冗余信号采集通道均故障时，根据两者的质量位将参与逻辑运算的信号置为“上一周期有效值”。

对于开关量信号，为了判断信号源控制站是否正常，可以引入一个生命监测信号。该生命监测信号在信号源控制站正常运行时为有效状态“1”，当信号源控制站失电或发生故障时，生命监测信号将变为无效状态“0”。通过检测生命监测信号的状态变化， DCS接收侧能够准确判断信号源控制站是否处于正常工作状态，从而为后续的失效处理和故障安全设计提供可靠的依据。

4.2.2   硬接线模拟量信号故障安全实现

模拟量信号的信号源失电时，信号状态为0毫安。 FirmSys平台DCS产品采集的模拟量信号正常电流范围为4～20毫安，在超出该范围时，可以通过预先设置的超量程监测阈值对信号有效性进行判断，并将信号质量位设为故障。

此外，AI板卡或I/O通信单元板卡故障时模拟量信号的质量位同样被设为故障。信号接收侧控制站软件中，可以使用信号的质量位对信号进行替代值替代，将故障信号替代为某一固定值或“上一周期有效值”。

5   结束语

本文基于FirmSys平台的特点，提出了一种针对核电站DCS跨序列信号故障安全设计实现方案。通过分析FirmSys平台的故障诊断机制及其在信号失效事件中的处理逻辑，结合跨序列信号的传输特点，分别设计了基于网络通信和硬接线传输的故障安全实现方案。核电站工程应用表明，该方案能够有效应对信号失效问题，确保DCS系统在故障状态下的运行可靠性，为核电站的安全稳定运行提供了技术保障。本研究为后续核电站DCS系统的设计与实现提供了重要参考，具有较高的工程应用价值和推广意义。

随着故障安全功能在核电站DCS中的日益广泛应用，在故障安全设计中信号故障模式逐渐不再局限于信号接收侧DCS部件自身的故障，而是考虑信号路径中各类不同的故障模式。例如在信号源处理功能故障、信号链路断线等不同的故障模式下，如何采用合适的故障诊断方法，发挥DCS系统的故障安全功能的作用，是后续故障安全功能设计时重点关注的研究方向。

作者简介：

何   志（1991-），河北邯郸人，工程师，硕士，现就职于北京广利核系统工程有限公司，主要从事核电DCS控制系统的设计与研究。

参考文献：

[1] 国家核安全局. 核动力厂仪表和控制系统设计: HAD.102/10[S]. 北京: 国家核安全局, 2021.

[2] 胡清仁, 彭浩, 刘宏春, 等. 核电厂安全级DCS缺省值设置策略研究[J]. 自动化仪表, 2024 (9) : 14 - 19.

[3] 宋玉亮, 李永进, 陈信仁, 等. EPR机组基于单列仪控丧失的缺省值设计策略研究[J]. 科技视界, 2020 (22) : 101 -103.

[4] 齐敏, 莫昌瑜, 谢逸钦, 等. 基于和睦系统的ACPR1000核电厂反应堆保护系统自诊断方案设计[J]. 核动力工程, 2018, 39 (1) : 112 - 116.

摘自《自动化博览》2026年8月刊