★ 北京广利核系统工程有限公司 李书凝，何志，李振林，于兴，贺宁

关键词：FirmSys；质量位；DCS；缺省值；故障安全值；逻辑降级

核电站DCS（Digital Control System，数字化控制系统）是核电站自动化控制的核心系统。它负责核电站各个部分的监控、控制和数据采集，并在异常工况下启动保护动作，其可靠性直接关乎机组的稳定运行与核安全，是核电厂的大脑和神经中枢。

在实际运行环境中，由于电源失电、通信中断、传感器或仪表故障、信号采集或输出板卡失效等多种原因可能导致信号失效。核安全导则HAD 102对故障安全明确提出要求，即当系统或其组成部件发生故障时，核电厂应无需人工介入，便可自动进入安全运行状态^[1]。 DCS系统可通过自诊断功能来检测故障，甄别信号的有效性，并采用质量位来标识该信号的有效性。对失效信号的处理应尽量减小信号失效对过程工艺系统的影响，保证DCS的控制、调节、保护功能不丧失，不应引起大的运行状态波动^[2]。为维持控制逻辑连续运行，避免失效信号引起下游设备误动或拒动， DCS系统中引入缺省值，作为输入信号预设的安全替代值；故障安全值为输出端的执行机构预设故障状态下的最终动作位置，确保在极端工况下无需人工干预即可直接导向安全状态；同时， 为满足单一故障准则，对冗余保护信号采用表决逻辑降级剔除失效通道，提升机组安全性与可用率，三者协同构建全链路故障安全保障体系。

本文基于华龙一号核电站FirmSys平台，系统性地阐述了核电站安全级DCS的信号失效诊断及处理全流程。该平台依托智能板卡的硬件自诊断与系统级软件策略，构建覆盖Level 0至Level 1的多层次故障检测体系，以质量位标识失效信号；针对输入/输出信号分别采用缺省值、故障安全值策略，确保故障工况下系统自动导向安全状态；对冗余保护信号采用表决逻辑降级剔除失效通道，在满足单一故障准则前提下维持系统功能，提升机组安全性与可用率。

1   DCS系统架构介绍

某华龙一号核电站DCS采用FirmSys（安全级DCS）与SH_N（非安全级DCS）平台实现。其DCS架构整体上可以分为三层： Level 0层主要由现场传感器和执行机构构成；Level 1层包括现场控制站、通讯站、系统间网关及通讯网络等；Level 2层是人机接口，主要负责显示、报警并下发控制指令。 DCS系统架构示意图如图1所示。

图1 DCS系统架构示意图

2   FirmSys平台信号失效诊断

2.1   信号失效的原因

在核电站DCS系统中，因电源模块失电、通信故障、传感器或仪表故障、采集模块故障、信号超量程、信号抖动（单位时间内信号变化率高过正常限值）等原因会导致信号失效。信号失效的原因分为^[3]：

（1）Level 0侧故障：主要涉及就地模拟量信号仪表故障、采集回路短路或断线。

（2）Level 1设备故障： IO信号处理板卡（AI、DI、AO、DO） 、主处理单元板卡等卡件故障或失电。

（3）Level 1设备间通信网络故障：包括通信卡件故障、网络链路故障等。

2.2   信号失效诊断

FirmSys平台的智能板卡和模块具备自诊断功能，可以对电源故障、卡件故障、通信故障等故障状态进行诊断，并通过数据的质量位来反映数据是否有效，质量位为“0”（False）表示信号有效，“1”（True）表示信号失效。当信号失效后，为不影响算法的实现和正常运行，不引起设备的误动和拒动，系统内采用设置缺省值、故障安全值及逻辑降级等方法对失效信号进行处理，同时通过机柜报警灯、Level 2层显示界面、板卡报警显示面板等手段提供报警信息。其故障诊断机制是一套围绕核安全级数字化仪控系统设计的、多维度且全流程的保障体系。

（1）Level 0侧故障诊断：由DCS智能采集板卡对就地传感器或信号采集回路的故障进行在线诊断，当检测到模拟量信号超量程、短路、断路等异常，导致采集电信号失真时，板卡会立即将对应输入信号的质量位置为“1”，并将故障信息上传至主控制器。

（2）Level 1设备故障诊断：针对IO信号处理板卡（AI、DI、AO、DO）、主处理单元板卡等设备， FirmSys平台通过动态自检、冗余比对、输出回读校验、看门狗监测、电压监控等方式，实时诊断设备故障。当检测到板卡故障、通信异常、电源失电等情况时，主控制器会将该设备关联的所有信号质量位置“1”，并触发本地机柜报警。

（3）Level 1设备间通信网络故障诊断：包括对IO通信单元板卡、点对点通信板卡、多节点通信板卡、网络链路故障进行诊断。 IO通信单元板卡故障，通信中断， 相关输入输出信号质量位置“1”。点对点通信板卡发生故障，模块进入故障状态，停止运行、通信中断， 相关输入输出信号质量位置“1”。多节点通信板卡发生故障，模块进入故障状态，本节点进入旁通状态，退出多节点通信环。当机柜间网络传输链路出现中断、数据丢帧等故障时，信号接收机柜通过CRC冗余循环校验、通信周期检测等网络诊断功能判断故障，将对应网络信号质量位置“1”， 同时启动链路冗余切换，最大限度降低通信故障对信号传输的影响。

3   信号失效处理

信号失效诊断仅完成“故障识别”环节，而科学处置是实现核安全导则HAD102“故障自动导向安全状态”要求的核心。若失效信号未经规范处理，可能导致控制逻辑中断、保护系统误动/拒动，或造成工艺参数波动影响机组稳定性。FirmSys平台针对信号传输全链路特性，构建信号失效处理方案：对AI/DI输入信号设置缺省值以填补采集端失效缺口，对AO/DO输出信号配置故障安全值以保障安全输出，对冗余配置的重要保护信号采用表决逻辑降级机制以剔除失效通道干扰，信号失效处理方案如图2所示。以下分别阐述各处理策略的设置原则与工程实现。

图2 信号失效处理方案

3.1   缺省值

3.1.1   缺省值的设置

缺省值针对系统输入信号，是指在DCS判定信号失效后, 在系统内预先设定的替代值^[4]。缺省值的选择直接关系到机组的安全运行和设备保护，意义重大^[5]。信号缺省值设置分为模拟量信号和数字量信号的缺省值设置。

（1）模拟量信号的缺省值一般设置为：

• 上一周期有效值

• 固定值

• 实际采集值

对于模拟量信号，在没有缺省值输入的情况下， DCS平台默认对卡件故障、信号超量程、计算错误、网络通信故障等失效情况的缺省值设置为上一周期有效值。对于有特殊要求的信号， 一般基于上游的缺省值参数要求进行设置。

（2）数字量信号缺省值一般设置为：

• “0”

• “1”

• 上一周期有效值

对于数字量信号，在没有缺省值输入的情况下，DCS平台默认对卡件故障、计算错误、网络通信故障等失效情况的缺省值设置为上一周期有效值。对于有特殊要求的信号， 一般基于上游的缺省值参数要求进行设置。

（3）质量位的处理

缺省值的生效和恢复是根据信号质量位实现的， DCS平台具备信号无效性管理（质量位判断和运算）的机制，处理过程中可以实现传递、提取和闭锁质量位的功能。在华龙一号项目中质量位传递和实现方式一般如下：

①信号采集后直接做显示/报警，需要带信号质量位。

②信号采集后参与逻辑运算：

参与表决运算的信号，质量位参与运算，输出结果需带运算后的综合信号质量位；参与单信号的运算（如取反、开方、指数等），且结果做显示/报警，结果的显示需带信号质量位，且质量位为源点信号质量位；参与其他逻辑运算，则运算结果的显示可不带信号质量位（除非有特别要求，如性能计算，报警抑制等）。

3.1.2   缺省值的实现

FirmSys平台缺省值支持两种工程实现方式：方式一在功能图中通过逻辑搭建的形式实现。方式二通过在变量清单中设置替代值，并进行组态下装至IO板卡的方式实现。

3.1.2.1   通过逻辑搭建的实现方式

（1）对于单控制站内的信号缺省值设置， 无需考虑旁通情况。

• 缺省值为上一周期有效值

图3 缺省值为上一周期有效值逻辑

如图3，信号正常时， 保持上一周期值模块输出与信号输入一致。当信号质量位为“1”，即信号失效时，保持上一周期值模块输出上一周期值，模块内提供两个可变参数，参数一设置为首周期的初始值，参数二实现质量位的处理：设置为“0”时， 质量位强制为“0”；设置为“1”时，质量位强制为“1”；设置为“2”时，质量位与输入信号保持一致。

• 缺省值为固定值

图4 缺省值为固定值逻辑

如图4，信号正常时，信号切换模块保持输出与输入一致。当信号失效时，信号切换算法块将输入端切换至“1”， 输出预设替代值， 替代值数值及质量位通过设定值参数值设定。

• 缺省值为实际采集值

当缺省值为实际采集值时，信号直接向下传递，功能图无需做额外处理。

（2）对于控制站间的信号传递，缺省值设置需要考虑信号发出站的旁通情况，以确保不影响控制站的旁通试验功能。

• 控制站间的信号传递缺省值为保持上一周期有效值

图5 缺省值为保持上一周期值逻辑（考虑旁通）

如图5，当信号发出站执行旁通实验时，旁通信号值为“1”， 触发旁通处理逻辑（此处为保持上一周期值），信号输出上一周期值。信号发出站出现机柜失电、通信故障或源点故障时，信号输入的质量位为“1”，信号输出缺省值—上一周期值。当信号有效且信号发出站未执行旁通实验时，信号输出与输入一致。

• 控制站间的信号传递缺省值为固定值

图6 缺省值为固定值逻辑（考虑旁通）

如图6，当信号发出站执行旁通实验时，旁通信号值为“1”，触发旁通处理逻辑（此处为保持上一周期值），信号输出上一周期值。信号发出站出现机柜失电、通信故障或源点故障时，信号输入的质量位为“1”，触发缺省值逻辑，信号切换为替代值。当信号有效且信号发出站未执行旁通实验时，信号输出与输入一致。

3.1.2.2   通过配置变量清单的实现方式

在FirmSys平台中，缺省值的设置也可以通过在变量清单中设置替代值的方式实现，如表1。在变量清单中，通过替代值使能、替代值类型、替代值数值和质量位这4个参数可以设置缺省值，替代值使能可设置为： “0”不作替代值处理、“1”需要替代值处理；替代值类型可设置为：“0”输出保持上一周期值、“1”输出为固定值；替代值数值可根据需要设置，默认值为“0”；数值替代后质量位根据系统文件要求可设置为：“0”质量位好、“1”质量位坏。

表1 配置变量清单设置缺省值

3.2   故障安全值

故障安全值即IO模块或主处理模块故障时的默认输出值， 当信号失效时， 为避免失效信号影响下游安全功能，保障机组与设备安全， DCS系统内会预先设定一个故障安全值。故障安全值的作用及设置方式与缺省值类似，其区别在于故障安全值的设置针对输出信号，缺省值的设置针对输入信号。

3.2.1   故障安全值的设置

故障安全值可设置为：上限值、下限值、保持上一周期值，其设置应基于全面的安全分析。对于无需求的信号，故障安全值默认设置为保持上一周期值。在华龙一号项目中故障安全值一般有以下设置原则：

（1）对于反应堆保护系统，用于失电停堆的DO故障安全值设置为“0”状态。用于通道旁通的DO故障安全值设置为“0”状态。

（2）对于专设安全设施驱动系统，用于序列旁通的DO缺省值设置为保持上一周期值。

（3）用于报警或其他功能的DO故障安全值设置为保持上一周期值。

（4）模拟量输出信号AO的故障安全值设置为保持上一周期值。

3.2.2   故障安全值的实现

故障安全值的设置主要通过配置变量清单实现，如表2， 通过在变量清单中设置故障安全值， 并进行组态，下装至IO板卡。当信号失效时， IO板卡会根据预设程序及参数自动进行处理。

表2 故障安全值设置

3.3   表决逻辑降级

3.3.1   表决逻辑降级的原则

信号失效后的降级机制是保障系统可靠性与安全性的关键环节。其设计初衷是为满足系统可用性、降低保护系统误动率和拒动率—由于重要工艺参数通常配置多路冗余传感器，当某路传感器失效时，需通过逻辑降级维持系统功能。逻辑降级一般应用于重要的保护信号，当单个保护通道发生故障，如果余下的保护通道不能满足单一故障准则，将产生紧急停堆信号，实现安全停堆。为防止保护系统内的单一故障造成核电厂误停堆，对于不同的可信失效模式，采用的设计一般包括以下情况：

（1）当发生电源丧失、冗余处理器均故障或IO模块通信均故障时，故障通道将输出局部停堆信号，余下通道的表决逻辑将降级。

（2） 当传感器信号故障或被旁通、采集设备发生故障，故障信号和余下通道的该信号表决逻辑将降级。

（3） 当接收或发送通信链路发生故障， 该通信链路对应接收端通道的表决逻辑将降级。

（4） 当保护通道被维修或试验旁通， 被旁通通道对应的停堆断路器保持闭合状态，余下通道的表决逻辑将降级。

（5）对于专设安全设施驱动功能，当RPC与ESFAC的通信链路故障，   ESFAC中的表决逻辑将降级。

降级机制通过剔除失效信号保障后续逻辑运算的可靠性，让剩余有效通道通过降级后的表决规则继续执行保护功能，严格满足核电“单一故障准则”，在信号失效时仍能有效实现系统的监测与保护。

3.3.2   表决逻辑降级的实现

信号失效的识别依赖质量位，信号输入的质量位由质量位提取模块（AUE/BUE）取出， 作为信号有效性的判断依据，当信号质量位为“1”，表决逻辑模块会剔除该失效信号，触发降级。  一般的表决逻辑包括“4 取 2”“3 取 2”和“2 取 1”逻辑，典型表决逻辑的降级规则如下表：

表3 典型表决逻辑的降级规则

在功能图中一般的实现方式如图7， 如果IP输入信号的有效性判断结果为“1”，相应的表决模块根据表决逻辑将IP表决信号剔除，表决逻辑进行对应的降级， “4 取 2”表决逻辑将降级为“3 取 2”；如有两个通道的表决信号为“1”，“3 取 2”降级为“2取1”，如有三个及以上的通道表决信号为“1”，逻辑输出“1”。

图7 表决逻辑降级

缺省值是第一道输入侧防线，保障了逻辑运算的连续性； 表决逻辑降级是运算中间环节， 剔除失效信号、满足单一故障准则；故障安全值是输出侧的安全屏障，保障设备导向安全状态，三者共同构成“输入-运算-输出”的信号失效诊断处理方案。

4   结语

本文基于华龙一号核电站FirmSys平台，对核电站DCS信号失效的诊断与处理展开了系统研究。从信号失效的原因、诊断方法到缺省值、故障安全值、表决逻辑降级的设置与实现，全方位剖析了DCS系统应对信号失效的策略。通过合理设置缺省值和故障安全值，结合智能板卡的自诊断功能与表决逻辑的降级处理，核电站能够在信号失效时有效防止设备误动或拒动，确保系统的控制、保护功能不受影响，为机组的安全运行提供保障。未来随着核电站自动化技术的进一步发展， 应不断深化对FirmSys平台诊断算法的研究，优化信号失效处理策略，不断提升DCS系统在信号失效场景下的响应速度与处理精度，提升核电站的安全性和可靠性。 

作者简介：

李书凝（1998-），女，山西人，工程师，本科，现就职于北京广利核系统工程有限公司，主要从事安全级DCS系统设计工作。

参考文献：

[1] 国家核安全局. 中华人民共和国核安全导则汇编[S]. 北京: 中国法制出版社, 1998 : 860.

[2] 徐海燕, 唐雷, 刘盈, 谢维波, 徐世豪. 核电DCS信号失效判断及处理分析[J]. 科技视界, 2020 (11) : 123 - 124.

[3] 户滕, 李广桥, 苏本新, 张宝龙. 基于和睦DCS系统信号质量位诊断机制问题的研究[J]. 电工技术, 2020 (14) : 1 - 2 + 42.

[4] 颜勇, 高俊成, 熊兴华. DCS核电站如何处理质量位的触发[J]. 山东工业技术, 2015 (12) : 60.

[5] 王振营, 李红林, 郑文波. 核电站数字化仪控系统缺省值分析研究[J]. 自动化仪表, 2011, 32 (05) : 24 - 27.

摘自《自动化博览》2026年9月刊