Research on Digital Control Reliability of Pump Groups Under Different Redundancy Modes

泵广泛存在于核电厂各热力循环中，为冷却剂等介质提供动力，保证其对反应堆的冷却功能，如反应堆冷却剂系统的反应堆冷却剂泵、化学和容积控制系统(Reactor Chemical and Volume control system, RCV)的上充泵等，对于核电厂核电安全方面极为重要。核电厂中泵主要以冗余泵组的形式存在^[1]，而泵组又有双热备用、冷热备用和双冷备用等冗余模式，冗余泵组数字化控制在不同冗余模式下实现控制的可靠性不同，因此需对其可靠性进行建模并比较分析。从核电厂运行的安全性出发，对不同冗余模式下的数字化控制的可靠性进行分析，将为泵组数字化控制系统的设计提供有效依据。

在数字化控制可靠性研究方面，文献[2-3]多是基于数字化控制系统(Digital I&C System, DCS)如处理器、输入输出卡件、电源和传感器等单一功能设备的可靠性分析，很少考虑DCS其他功能设备如机柜、I/O接口等的可靠性。在可靠性建模和分析方面，文献[4]提出两种新的传统数字化保护系统冗余配置改进方案，并基于GO法进行建模分析。文献[5]基于故障树可靠性分析法，对田湾核电站数字化反应堆保护系统进行建模分析。文献[6]同样采用故障树可靠性分析法对核电厂反应堆功率数字化控制系统进行可靠性分析。文献[7]采用可靠性框图对核电厂非安全级仪控系统冗余控制器的架构配置进行可用率计算。以上故障树可靠性分析法均是静态故障模式下的可靠性建模分析，但静态模式下的建模无法准确反映系统动态过程。在冗余泵组研究方面，文献[8]虽采用动态建模，但只对上充泵数字化控制系统的无冗余模式和冷热备用冗余模式的可靠性进行了比较分析。文献[9]虽采用动态建模，但仅对单个泵和高阶单冗余泵组的可靠性进行了比较分析。以上对冗余泵组的研究未考虑泵组的多种冗余模式。综上，目前对冗余泵组以及数字化控制可靠性的研究存在的问题主要有：对DCS中机柜和I/O接口等关键设备失效考虑较少，大多采用无法反映系统动态过程的静态故障树可靠性分析法，且对泵组多种冗余模式的研究不足。

针对上述问题，本文基于多种设备的多种信号指令，在正常运行工况的前提条件下，从DCS实现控制的可靠性角度出发，以冗余泵组运行失效为顶事件，DCS机柜、I/O设备等关键设备失效为底事件，根据冗余泵组数字化控制系统在不同冗余模式下不同的运行和控制逻辑，建立双热备用、双冷备用和冷热备用三种冗余模式下的动态故障树模型，采用最小割集法并建立Markov模型进行冗余泵组数字化控制在三种冗余模式下可靠性的比较分析，旨在指导冗余泵组在不同应用场合下的冗余模式的设计。

核电厂冗余泵组结构如图1所示，其中002PO为工作泵，001PO和003PO为备用泵，备用泵分为冷备用和热备用。正常运行工况下，冷备用不启动，热备用启动成功后正常运行但不投入使用。

冗余泵组数字化控制系统结构^[10-11]如图2所示。当工作泵停止运行时，其停止状态信号通过I/O接口传入DCS一层机柜DPU，后者将自动控制备用泵投入使用，保证冗余泵组的正常功能，其过程如图3所示。

如图3(a)所示，当两个备用泵均为热备用时，机柜DPU发送切换指令，通过I/O接口传入第一个热备用完成切换。当I/O接口或机柜DPU失效导致切换失效或泵体本体故障导致泵体停止运行时，其状态信号再次通过I/O接口传入机柜DPU，后者将自动控制第二个热备用投入使用，其过程与第一个热备用投入使用过程相同。

如图3(b)所示，当两个备用泵均为冷备用时，在切换过程执行前需先执行启动过程。若启动成功，则启动成功状态信号通过I/O接口传入DCS一层机柜DPU，后者再执行切换过程，冷备用启动成功后的切换过程与热备用的切换过程相同。当I/O接口或机柜DPU失效导致启动失效或切换失效，或者泵体本体故障导致泵体停止运行时，其状态信号再次通过I/O接口传入机柜DPU，后者将自动控制第二个冷备用投入使用，其过程与第一个冷备用投入使用过程相同。

如图3(c)所示，当第一个备用泵为冷备用、第二个备用泵为热备用时，冷备用投入使用过程与图3(b)的过程相同，热备用投入使用过程与图3(a)的过程相同。

本文对DCS关键设备进行可靠性评价，需要明确其建模条件，其中不考虑执行机构的共因故障，建模条件如下：

1) 考虑开发人员在软件开发过程中出现的逻辑编制错误；

2) 考虑DCS一层自动控制层机柜、电器开关柜、就地接线箱和泵体等关键设备的硬件故障；

3) 只考虑DCS的自动动作，不考虑DCS二层操作和信息管理层的人为操作。

冗余泵组数字化控制中对冷、热备用的控制逻辑可用动态逻辑门优先与门^[12]表示，因此采用动态故障树模型^[12]分析系统的可靠性。

此模式下，002PO正常运行时，003PO和001PO也在运行。若002PO运行失效，则003PO投入使用；若003PO也失效，则001PO投入使用；若001PO也失效，则冗余泵组运行失效。故选择两个优先与门来表示顶事件T与中间事件M₁、M₂、M₃、M₄之间的逻辑关系。冗余泵组运行失效的动态故障树模型如图4所示。

002PO正常运行时，DCS二层停指令误触发和002PO设备故障二者中的任意一个事件发生，都会导致002PO运行失效，故选择或门来表示中间事件M₂和底事件X₁、X₂之间的逻辑关系。002PO运行失效的故障树模型如图5所示。因为003PO和001PO运行失效的触发逻辑与002PO基本相同，所以中间事件M₂、M₆、M₈的故障树模型相似。

002PO运行失效后，DCS切换热备用003PO失效和003PO运行失效二者中的任意一个事件发生，都会导致003PO失效，故选择或门来表示中间事件M₃、M₅、M₆之间的逻辑关系。DCS切换热备用003PO的过程中，DPU失效、I/O失效和003PO设备故障三者中的任意一个事件发生，都会导致DCS切换热备用003PO失效，故选择或门来表示中间事件M₅和底事件X₃、X₄、X₅之间的逻辑关系。003PO失效的故障树模型如图6所示。因为001PO失效的触发逻辑与003PO基本相同，所以中间事件M₃和M₄、M₅和M₇的故障树模型相似。001PO失效的故障树模型如图7所示。

根据上述各故障子树的建立与分析，可得到冗余泵组运行失效的完整动态故障树模型，如图8所示。

此模式下，002PO正常运行时，003PO和001PO都不运行。若002PO运行失效，则启动003PO，启动成功后投入使用；若003PO也失效，则启动001PO，启动成功后投入使用；若001PO也失效，则冗余泵组运行失效。

冷备用失效与热备用失效的不同之处在于，启动失效、切换失效和运行失效三者中的任意一个事件发生，都会导致冷备用失效。与切换失效的触发逻辑相似，DCS启动冷、热备用的过程中，DPU失效、I/O失效和设备故障三者中的任意一个事件发生，都会导致DCS启动冷、热备用失效。由于启动失效已考虑到设备故障，故此处的切换失效便不再考虑设备故障。冗余泵组运行失效的完整动态故障树模型如图9所示。

此模式下，002PO正常运行时，001PO也在运行而003PO不运行。若002PO运行失效，则启动003PO，启动成功后投入使用；若003PO也失效，则001PO投入使用；若001PO也失效，则冗余泵组运行失效。冗余泵组运行失效的完整动态故障树模型如图10所示，由双冷备用冗余模式下的子故障树M₉和双热备用冗余模式下的子故障树M₄组成。

本文先根据底事件的发生概率计算静态子树M₂、M₅~M₈、M₁₂~M₁₅的发生概率，再采用Markov模型求解三种不同冗余模式下顶事件T的发生概率。

Markov模型^[13]由一组概率P_ij来定义，P_ij表示系统由状态i转移到状态j的概率。根据状态方程：

再确定时间t即可求得事件在t时刻发生的概率。式中：P(t)为t时刻各状态概率的行向量；P(t+1)为t+1时刻各状态概率的行向量；A为P_ij构成的齐次状态转移矩阵。

为了便于动态故障树的求解，本文采用最小割集法^[7]先计算完整故障树的静态子树发生概率。以RCV003PO失效的故障子树M₅为例，可求得M₅的最小割集为C₁={X₃}；C₂={X₄}；C₃={X₅}，其中X_i(i=3, 4, 5)为图6中故障子树M₅对应标号的基本事件，由此可得M₅的发生概率P_M5：

同理可得：

对于动态故障树的求解，本文采用Markov模型。动态故障树模型中包含的动态逻辑门为优先与门。本文考虑到热备用的切换失效、运行失效两种失效状态以及冷备用的启动失效、切换失效、运行失效三种失效状态，比只考虑一种或两种失效状态建立的Markov链更复杂，但求解顶事件的失效概率更准确。

此模式下的Markov链如图11所示，图中圆圈代表系统当前时刻的状态，有向线段代表状态的转移方向。每个状态均有如状态S₁处表示转移后状态不变的有向线段，为使Markov链便于观察，除状态S₁外其他状态处的此类有向线段均未画出。

图中共有18种状态，与设备状态一一对应的关系见表1。根据图11可得18×18状态转移矩阵，如式(4)所示。

此模式下的Markov链如图12所示，每个状态均有如状态S₁处表示转移后状态不变的有向线段，为使Markov链便于观察，除状态S₁外其他状态处的此类有向线段均未画出。

图中共有22种状态，与设备状态一一对应的关系见表2。根据图12可得22×22状态转移矩阵，如式(5)所示。

此模式下的Markov链如图13所示，每个状态均有如状态S₁处表示转移后状态不变的有向线段，为使Markov链便于观察，除状态S₁外其他状态处的此类有向线段均未画出。

图中共有20种状态，与设备状态一一对应的关系见表3。根据图13可得20×20状态转移矩阵，如式(6)所示。

设初始条件：

式中，P₁(0)为1×18矩阵，P₂(0)为1×22矩阵，P₃(0)为1×20矩阵。

将初始条件P₁(0)、P₂(0)、P₃(0)与状态转移矩阵A₁、A₂、A₃代入式(1)，可得到各个状态随时间变化的失效概率。其中，冗余泵组在双热备用冗余模式下运行失效的发生概率P₁(t)为该模式下状态S₇~S₉、S₁₁~S₁₃、S₁₅~S₁₇的时间函数之和；其在双冷备用冗余模式下运行失效的发生概率P₂(t)为该模式下状态S₃~S₆、S₈~S₁₁、S₁₃~S₁₆、S₁₈~S₂₁的时间函数之和；其在冷热备用冗余模式下运行失效的发生概率P₃(t)为该模式下状态S₅~S₇、S₉~S₁₁、S₁₃~S₁₅、S₁₇~S₁₉的时间函数之和。

本文以压水堆核电厂RCV系统上充回路上充泵为例，运用上文构建的冗余泵组数字化控制系统可靠性模型，结合上充泵的运行方式^[14]和上充泵数字化控制的逻辑^[8]，对RCV系统上充泵数字化控制的可靠性进行评估。

假定设备失效率为常数，如果计算使命时间内设备的不可靠性，则对于i部件的故障概率公式^[2]为

式中：λ_i表示i部件的失效率。设备的可靠度公式^[2]为

本文对RCV系统上充泵数字化控制可靠性的分析中，考虑了三台上充泵的动态特性，相较于未考虑上充泵冷、热备用的系统静态故障树的可靠性分析，动态故障树对系统的可靠性分析更符合核电厂的实际情况。以下定量分析上充泵数字化控制在不同冗余模式下的可靠度。

基本事件失效率列于表4，其中各控制柜的失效率参考了文献[3]中机柜代表单元内含模块的数量及其失效率。

将表4的失效率和式(8)代入式(2)、式(3)中，得到静态子树M₂、M₅~M₈、M₁₂~M₁₅的发生概率函数如下：

将式(10)代入状态转移矩阵A₁、A₂、A₃，可得到上充泵在三种冗余模式下运行失效的发生概率P₁(t)、P₂(t)、P₃(t)，再利用式(9)可求出上充泵在三种冗余模式下的可靠度R₁(t)、R₂(t)、R₃(t)随时间变化的曲线，如图14所示。可观察到在0~200 000 h运行时间内，上充泵数字化控制在三种冗余模式下的可靠度有明显区别，且在双热备用冗余模式下的可靠度最高；在200 000~600 000 h运行时间内，该控制在三种冗余模式下的可靠度区别不明显，说明模型对于此段运行时间内不同冗余模式下控制可靠度的区分度较低，仍有改进空间。

本文提出的一种核电厂冗余泵组数字化控制的可靠性研究方法，将该方法运用于实例中得到如下结论：在正常运行工况下，以系统的可靠度作为分析指标，核电厂RCV系统上充泵数字化控制的双热备用冗余模式可靠性为三种冗余模式中最高，冷热备用冗余模式的可靠性居中，双冷备用冗余模式的可靠性最低。这一研究结果为核电厂冗余泵组提供一定的设计依据。

本研究方法可为可靠性研究提供一定的参考，但该方法在动态故障树模型建立的过程中侧重于DCS关键设备对DCS实现控制的可靠性的影响，亦可从网络或软件等特殊失效模式方向综合考虑，可使得改进后的可靠性模型对于不同模式下可靠性的区分度更高。