《仪控信号质量位设置原则》（征求意见稿）

1T/CNEAXXXX—XXXX仪控信号质量位设置原则本标准规定了核电厂信号及质量位故障管理原则。本标准规定了核电厂仪控信号质量位故障判断原则。本标准规定了仪表信号质量位故障生效（仪表故障）后的处理原则。本标准规定了仪表信号质量位故障后数字化控制系统缺省值分析方法。本部分适用于新建、扩建、在运核电厂的调试、启动、运行等工作。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。HAD102/10-2021核动力厂仪表和控制系统设计3术语和定义下列术语和定义适用于本文件。3.1仪控信号质量：用于表示信号是否有效，信号有效时信号质量为“好”，失效时信号质量变“坏”。信号一般包含两部分，一个是信号值，另一个是信号的有效性。信号质量的好坏会影响信号的处理。数字控制系统通过对IO通道的参数进行监视（电流或电压、绝缘、电阻等参数），实现对通道健康状态的智能判断，对参数超出正常范围的通道发质量位失效。有的通道还在组态时定义了缺省值，意在发生质量位失效后该通道维持在缺省值状态。对模拟通道进行质量监测的参数包括仪表的输出有效范围，通过在数字化系统组态中设定该信号的上/下限定值，作为判断该通道质量依据。T/CNEAXXXX—XXXX3.2控制系统信号缺省值：当控制系统探测到某信号失效时，系统自动启用预先设定的值，此预设值为缺省值。失效：因失电、线路故障、传感器故障、模块故障等导致信号质量位为坏。信号分级：NC、SR、1E。3.3仪表饱和电流：仪表正常输出电流范围,通常要大于4-20mA量程范围。3.4智能仪表：可以设置仪表故障电流和饱和电流的仪表。3.5非智能仪表：无法设置仪表故障电流和饱和电流的仪表。3.6AI模拟量输入、AO模拟量输出、DI开关量输入、DO开关量输出、PI脉冲量输入、SOE开关量事件记录3.7VOT2模拟量二选算法块、VOT3模拟量三选算法块。3.8LD/AD指逻辑图和模拟图。3.9SP压力开关、ST温度开关、SN液位开关。3.10KIC数字化系统显示画面。T/CNEAXXXX—XXXX34仪控信号概述4.1仪控信号在数字化系统应可处于两种工作状态：4.1.1正常状态：仿真开关在正常位置时，算法的输出由信号质量来确定，来自算法内部逻辑。4.1.2仿真（强制）状态：操作员在人机交互界面对算法的任意上传点项进行强制，使其不根据算法输值进行运算，而根据强制值进行运算。4.2仪控信号质量位故障管理原则：4.2.1在控制系统内部通过网络传输的信号，一般都伴随着该信号是否有效的质量位，对故障信号来说，该质量位信号可以触发该信号的功能逻辑（故障安全准则也可以触发数字化控制系统的仪控报警，指示信号故障，操纵员可以根据报警信号去分析判断故障的原因，故障状态还可以使相应的信号缺省值生效，在对控制系统内部传输和处理过程中必须考虑故障管理。4.2.2系统信号质量传递原则，各物理点（AI\AO\DI\DO\PI）本身有信号质量，并且此信号质量只受信号本身及所在通道影响。中间点有信号质量，在信号点传递的过程中，信号有效性默认向下一级传递，在信号源一侧已经做过信号的质量处理，经处理后的数据认为是可信的数据，下一级可直接使用。5仪控信号质量位故障判断原则5.1仪控信号质量位故障判断主要分两部分，通道质量位故障和模块质量位故障。5.1通道质量位故障判断如下：5.1.1信号通道硬件故障。主要包括热电阻、模拟量输入模块。当热电阻输入模块ADC转换器故障、模拟量输入模块固件故障时，数字化系统判断通道质量位故障。5.1.2信号通道短路或断路故障。主要包括所有输入输出模块，当信号模块通道短路或断路故障时，数字化系统判断通道质量位故障。5.1.3信号通道输出故障。主要包括模拟量输出、数字量输出模块。当模拟量输出、数字量输出模块回读与输出不一致时，数字化系统判断通道质量位故障。5.1.4信号通道超量程故障。主要包括模拟量输入模块，分为超上限量程和超下限量程。当信号模块通道超上限或者下限量程时，数字化系统判断通道质量位故障。模拟量超量程故障判断规则分为智能仪表和非智能仪表两部分。T/CNEAXXXX—XXXX5.1.4.1智能仪表模拟量信号回路质量位判断原则如下（附录A)：5.1.4.1.1正常输出范围应小于上层信号处理平台质量位识别范围；仪表自检故障输出应大于上层信号处理平台质量位识别范围。5.1.4.1.2如果由于现场技术原因（平台或仪表未开放参数设置权限且目前参数配置不满足准则要求，平台和仪表参数设置无法完全避开通道精度以及信号回差，平台和仪表组合起来参数设置范围无法满足准则要求）无法实现上述原则设置，开展风险评估，应秉持减少误判原则，删除质量位判断。后续可以通过改造满足此准则后恢复质量位判断。5.1.4.1.3需尽量实现高于阈值动作时需要将仪表自检故障输出改为低电流，低于阈值动作时需要将仪表自检故障电流改为高电流。仪表故障后保护动作信号由上层控制平台设置判5.1.4.2非智能仪表模拟量信号回路质量位故障判断原则如下(附录B)：5.1.4.2.1非智能仪表一般指核级仪表，无法设置故障电流和饱和电流，其仪控信号回路由安全级数字化系统、隔离模块、非安全级数字化系统，信号回路质量位判断由非安全级数字化系统进行判断，当其回路控制电流由隔离模块限制时，当非智能仪表超量程时，非安全级数字化系统无法判断是否仪表真实高还是仪表信号回路故障时，应根据实际工艺和仪控角度综合分析，确定平台质量位设置。一般情况应以工艺系统需求为主设置仪表信号回路质量位。5.1.5开关量信号通道信号抖动质量位故障。主要包括数字量输入、SOE模块。判断开关量信号在短时间内发生频繁非正常的跳变，数字化系统判断质量位故障。开关量触点故障（信号抖动）判断条件为触点1分钟变化60次。5.2模块质量位故障判断如下：5.2.1模块通讯链路故障。当数字化系统控制器与输入、输出模块链路无法通讯时，数字化系统判断模块质量位故障。5.2.2模块内部芯片自检故障。当模块内部芯片出现故障时，数字化系统判断模块质量位故障。5.3.3模块内部掉电故障。主要指数字量输入、输出模块。当数字量输入模块查询电压、数字量输出模块内部电源故障时，数字化系统判断模块质量位故障。5.3.4模块内部在线校准/检验状态。主要指模拟量输入、热电阻、热电偶模块。当模块处于内部在线校准/检验状态时，数字化系统判断模块质量位故障。6仪表信号质量位故障生效（仪表故障）后的处理原则T/CNEAXXXX—XXXX56.1对于保护逻辑建议方案如下：6.1.1在反应堆保护设计功能中，通常采用保护偏向动作逻辑（有例外）。6.1.1.13取2逻辑，若1路信号的质量位生效，则变为2取1逻辑。若2路或3路信号质量位生效，保护直接动作。6.1.1.22取1逻辑，若1路信号的质量位生效，则变为1取1逻辑（例外）。若2路信号的质量位生效，保护直接动作。6.1.1.34取2逻辑，若1路信号的质量位生效，则变为3取2逻辑（例外）。6.1.2在汽机或其他设备保护功能中，根据系统设计需求，有些保护采取偏向动作逻辑，如3取2逻辑，若1路信号的质量位失效，则变为2取1逻辑；有些保护采取偏向不动作逻辑，如3取2逻辑变为2取2逻辑。6.1.3对重要泵组保护设计功能中，对中压（6.6kV）电机驱动的重大泵组的保护通常采用保护偏向动作逻辑，对低压（380V）电机驱动的重要功能泵组的保护偏向不动作逻辑。6.1.3.1对中压（6.6kV）电机驱动的重大泵组的保护中，2取2跳泵的进行判断，1个信号失效时降级为1取1，双重失效时保护动作。3取2跳泵的1个信号失效时降级为2取2，2个信号失效时再降级为1取1，全部信号失效时保护动作。6.1.3.2对低压（380V）电机驱动的重要功能泵组的保护中，2取2跳泵的进行判断，1个信号失效时降级为1取1，双重失效时保护功能丧失。3取2跳泵的1个信号失效时降级为2取2，2个信号失效时再降级为1取1，全部信号失效时保护功能丧失。6.1.4在安全功能的通道中，以保护设备/人员的安全功能有效性作为优先的缺省值输出；在非安全功能的通道中，以保证机组可用性作为优先的缺省值输出。6.2对于控制逻辑建议方案如下：6.2.1当有3个仪表信号控制时，当其中1个信号质量位生效时，由VOT3算法将此仪表剔除，当其中2个或以上信号质量位生效时，VOT3算法失效，算法输出上一时刻好值，强制切手动控制。（采集3个仪表信号时，设置5%的偏差比较逻辑，当两两偏差均大于5%时切手动控制。仪表量程范围内的偏差无法通过质量位来识别）6.2.2当有2个仪表信号控制时，当其中1个信号质量位生效时，由VOT2算法将此仪表剔除，当其中2个信号质量位生效时，VOT2算法失效，算法输出上一时刻好值，强制切手动控制。（采T/CNEAXXXX—XXXX集2个仪表信号时，设置5%的偏差比较逻辑，偏差大于5%时切手动控制。仪表量程范围内的偏差无法通过质量位来识别）6.2.3当有1个仪表信号控制时，信号质量位生效后切手动控制。在切手动控制时，设置报警信息并保持最后有效值（无扰切换）。6.2.4比较偏差设置为5%时在动态过程中可能出现误切，可据实际情况设置为10%或更大的值。7仪表信号质量位故障后数字化控制系统缺省值分析方法缺省值分析是一项综合工作，涉及电厂系统设计、仪控、电气、运行等专业。在缺省值分析时，要基于单一故障准则，尽可能考虑那些涉及到机组安全、设备及人员的保护信号的缺省值。根据设计参考文件，包括LD/AD图、报警手册，信号质量位故障原则等文件分析信号的缺省值，主要从以下方面分析：7.1分析信号失效的监视，主要考虑信号失效能否被运行人员监视到，其难易程度如何。7.1.1首先判断传感器是否在KIC画面上显示，根据LD/AD图设计如传感器送到KIC显示，另外一些开关量信号（SP/ST/SN），这些信号没有要求在KIC上显示，但这类传感器一般都设计到画面上，根据信号质量位故障原则，这些传感器失效都可以在KIC上监视（I&C仪控报警）。7.1.2其次判定是否可以通过KIC或就地其它传感器对比，来确认仪表故障。7.1.3最好通过就地仪表本身或就地信号指示灯判定仪表是否故障。7.2分析失效后的影响，考虑信号失效后对工艺系统的影响和程度如何，假设系统级机组状态（大多数状态-满功率运行）-根据该型号的功能分析失去该功能的后果影响，定性对影响大小及后果进行判定，如有补救措施也可进行一定描述。7.3分析信号功能冗余情况，主要考虑是否有其它仪表信号代替失效仪表信号自动完成此仪表的功能。或者是人工通过代替仪表手动控制执行器完成该功能。7.4分析执行机构的安全功能位置，考虑仪表正常运行状态和故障安全位置，缺省值是否与安全位置设置一致。7.5缺省值取值理由，可通过对各取值的优劣描述分析，正反论证后确定最终取值并对取值理由进行简要分析。T/CNEAXXXX—XXXX7（规范性附录）仪表信号质量原则坐标系T/CNEAXXXX—XXXX（资料性附录）非智能仪表模拟量信号回路质量位故障判断说明：以ARE044MD调节信号链路为例：ARE044MD--分配卡（安全级DCS）--隔离卡（安全级DCS）--模拟量输入卡（非安全级DCS）。整体仪表链路上非安DCS直接接受安全级DCS隔离卡电流信号，由于隔离卡本身输出电流在3.2-20.8mA范围内，因此如ARE流量出现超出量程上限情况时，非安DCS的超高限质量位设置无法判断此时流量是真实高还是由于仪表回路故障导致的。对于是否设置AREMD超上限量程质量位设置分析：从仪控角度分析，如果不设置质量位判断，对于单个仪表及通道故障超上限VOTE块（小选）会自动剔除，对控制系统无影响。但对于两个仪表及通道同时故障超上限（概率低），这时就会导致阀门突然关小，如果操纵员来不及干预，存在跳堆风险。同时《核电厂仪控设计规范中HAD102/10/2021》明确规定仪表故障后要报警并切手动控制功能的要求。国家能源局《防止二十五项反措重点要求》2023版也明确规定模拟量调节系统被调量坏质量时应报警，并且手动。从工艺角度分析，如果不设置质量位判断，DCS没有设计报警通知操纵员仪表超上限量程，操纵员无法及时识别仪表超上限量程。综合分析：建议设置AREMD超上限质量位判断。对于是否设置AREMD同时超上限量程质量位VOTE2切手动设置分析：从工艺角度分析，如果MD同时真实上涨超量程上限的情况可能是操纵干预，这时机组可以维持功率运行状态。