Research on Reliability of Nuclear Power Plant Steam Generator Liquid Level Control System Based on Dynamic Fault Tree

第一代基于模拟仪表和继电器的核电站控制系统经过几十年的应用与完善，已被证实可以可靠地应用到大多数核电站的控制运行中。但是在此过程中，第一代核电控制系统仍存在一些不可避免的缺陷，例如其系统的运算逻辑过于简单以至于无法实现更加精确的计算与分析，除此之外，过于频繁的设备维护与检修降低了核电站的发电效率。随着控制系统不断的数字化与进步，模拟仪表与继电器构成的传统仪控系统的主导地位已经逐渐被数字化仪控系统(Digital Instrument Control System, DICS)所取代^[1]，DICS在核电站仪控系统中的应用越来越广泛。反应堆紧急停堆系统、专设安全设施等安全级仪控系统都在积极尝试采用DICS。相比之下，DICS可以高效地对被控量的采集数据进行分析以及数据存储，实现更加复杂的逻辑计算，满足更高的设备可靠性，容易实现关键设备或者控制器的冗余与备用，利用高效的网络通信方式减少相关现场总线的数量^[2]。

Aldemir等^[3]提出了采用动态流图与马尔可夫单元映射法有效地描述了数字化给水系统，给出了分析结果和不确定度，但建模过程过于复杂，Chen等^[4]通过多层流模型方法进行建模，分析了数字给水系统在四种运行模式下蒸汽发生器液位控制系统的可靠性，但方法无法准确考虑系统中部件的冷、热备用。Kumar等^[5]采用统一建模语言方法获取系统特性，并转化为故障树模型，进一步对系统进行了定量安全评估，该技术在核电站主给水数字控制系统中得到了验证。Qian等^[6]采用动态故障树(Dynamic Fault Tree, DFT)对稳压器压力控制系统进行可靠性建模，引入优先与门反应失效模式，更加准确地描述了系统。

对于上述方法中存在建模过于复杂，静态方法无法准确描述系统状态关系等问题。本文采用DFT对蒸汽发生器液位控制系统(Steam Generator Water Level Control System, SGWLCS)进行可靠性建模分析。以SGWLCS在高负荷工况下发生液位控制失效为单一顶事件，主处理器、主电源、AI/AO卡件和主给水阀等关键设备失效作为底事件建立相应的动态故障树模型。采用马尔可夫(Markov)模型对其进行可靠性分析，得出SGWLCS中关键设备的设计中的不足，从而提高系统的可靠性，保证SGWLCS能够安全稳定地运行。

蒸汽发生器(Steam Generator, SG)是连接压水堆核电站一、二回路的热交换设备，核电站的安全性能和发电效率直接受到SG运行状态的影响。SG的工作原理是通过一回路冷却剂从反应堆获取热量，再利用SG的管壁将热量传递给二回路中的循环水，使其成为水蒸汽驱动汽轮机进行做功^[7]。影响出口蒸汽质量的主要因素是SG液位的高低，当液位过高时会导致主蒸汽中含水量增多使得二回路中汽轮机运行时发生水冲击，从而减少汽轮机的使用寿命，甚至使汽轮机发生严重损坏；当液位过低时会导致储水量减少，作为反应堆热阱的容量就降低了，甚至会发生传热管裸露，引起一回路冷却不充分，导致堆芯过热损坏。控制系统的主要功能是将蒸汽发生器液位控制在合理的范围之内，避免发生上述不良后果^[8]。

通常压水堆核电站中SGWLCS由两个子系统组成：给水阀液位调节系统和给水泵转速调节系统。每台SG都由其独立的控制系统进行控制，主要部件有主给水阀(Main Feed Valve, MFV)、旁路给水阀(Bypass Feed Valve, BFV)及相关控制器与测量元件等以及三台SG共用的给水泵(Feed Pump, FP)，具体如图1所示。SGWLCS的现场相关参数经过测量通过相应的变送器转化为模拟信号经过信号放大器经过优选，最后通过A/D转换器将模拟信号转变为数字信号输入处理器，根据测量信号处理计算得出相应的输出控制信号。再通过D/A转换器进行信号的数模转换，将得到的模拟控制信号传送到相应的控制器^[9]。标准运行工况下，主控制器控制给水阀门，备用控制器处于热备用状态，两者之间为自动切换的关系。处理器主要集成了主给水阀控制程序、旁路给水阀控制程序以及给水泵控制程序，同样采用备用处理器作为热备用。供电模块由主电源和备用电源构成。与此同时，备用处理器和备用控制器会分别采集测量信号和控制信号，当主处理器和主控制器失效时作为热备用投入运行，实现有效地控制，保障整个系统的安全运行。在三冲量的每个测量路径，均设置了一个独立的优选模块(Vote Module, VM)对测量信号进行逻辑优选后再将测量信号传送至处理器中，以确保获取的测量信号的精确性。对每个信号进行准确度检查后与其他信号进行比较，若采集正常则发送到处理器中。否则，将对测量信号一次进行自检与比较，剔除错误信号。

SG的液位调节是通过主给水阀和旁路给水阀进行调节的。参与主给水阀调节的蒸汽发生器液位调节参数有三个，分别为蒸汽发生器液位、蒸汽流量和给水流量，所以将其称为三冲量调节系统，其中被控量为蒸汽发生器液位，扰动量为蒸汽流量，调节量为给水流量。如图2所示为主给水阀调节原理示意图，它主要包括了闭环和开环两个调节回路^[10]。在闭环回路中，SG的测量液位值与由机组设定的蒸汽负荷所决定的程序液位定值进行比较，获得液位的差值信号，经过液位调节器进行计算，得出给水流量需求信号进入加法器。在开环回路中，给水流量的测量值与经过压力校正后的蒸汽流量进行相减，得到汽水流量的缺损信号。将此信号与液位调节器输出值通过加法器进行求和后，送到给水阀控制器决定给水阀的开度。上述调节系统用于高负荷工况下(汽轮机负荷18%~100%)的自动调节，此时调节机构是MFV，BFV处于全开的状态。

对SGWLCS而言，通过调节各台SG给水调节阀的开度改变给水流量来将液位维持在液位设定值的安全范围，可能存在一些问题。以某压水堆核电站为例，三台蒸汽发生器共用一组给水母管和蒸汽母管，当一台蒸汽发生器进行液位调节时，对其余蒸汽发生器的液位也会产生影响。在液位调节的过程中，通过调节给水泵的转速，保持给水母管和蒸汽母管的压差随着负荷变化可以解决上述问题。给水泵转速调节原理示意图如图3所示，将给水母管与蒸汽母管压差信号的测量值与压差整定值信号相比较，得到的偏差信号输入控制器进行处理，其输出信号为给水泵转速的定值信号，送往给水泵以控制给水泵的转速。

鉴于SGWLCS的复杂程度以及本文主要对其关键设备进行可靠性分析与重要度评价，进行以下几点假设：

(1) 人因失效需要考虑的条件比较多，应建立相应人员可靠性评估模型。故不在本文中进行讨论，因此忽略人因失效如操作员误操作对于数字化仪控系统的影响。

(2) 备用处理器和备用给水阀控制器作为热备用组件在备用状态下是处于工作状态的，在缺乏备用组件失效率的情况下，假设备用组件的失效率与正常运行状态的失效率一样。

(3) 本次可靠性建模假定该机组在大于18%负荷下运行，此时BFV处于全开的状态，只考虑MFV开度对系统的影响。

(4) 忽略测量信号与控制信号在传输的过程中出现短路或者断路的故障。

(5) 限于模型复杂程度，仅考虑单个SG，对其液位控制系统进行可靠性分析。

系统中关键设备的可靠性对系统整体的安全运行起到重要的影响，对其添加冷、热备用进行设备冗余的方法成为提高系统安全可靠性的主要手段。DFT可以有效改进静态故障树无法描述具有动态特性系统的故障模式的缺点^[11]。SGWLCS的处理器与MFV的热备用控制逻辑采用动态故障树中热备门表示更加接近系统的实际物理模型，因此采用动态故障树模型分析SGWLCS的可靠性。

SGWLCS的动态故障树模型如图4所示，主要包括了处理器模块，采用备用处理器作为主处理器的热备用，用热备用门(HSP)进行描述。电源模块采用的是主电源与备用电源的双冗余结构，两者都失效时，即认为供电失效，两者之间的关系用逻辑与门表示。同理，控制信号输出模块采用同样的逻辑与门表示。

测量信号输入模块的模型规模比较大，如图5所示子树，其主要包含三个子模块，分别是给水流量测量模块、蒸汽流量测量模块与液位测量模块。三个子模块中任意一个出现失效的情况，则整个测量信号模块失效，采用逻辑或门表示。给水流量测量模块采用三取二逻辑检测给水流量通路是否发生失效，采用表决门进行表示。蒸汽流量模块由两个测量通路组成，当其中一个测量通路失效时，则整个测量模块失效，采用或门表示。每台蒸汽发生器有四个液位测量通道，以四取二的逻辑采集液位信号是否产生偏差，当出现大于等于两个测量通路的失效，则整个液位测量模块失效。给水泵控制模块考虑了控制器故障与给水泵设备失效，采用逻辑或门进行表示。而主给水阀控制模块除了考虑设备失效之外还增加了备用给水阀控制器作为热备用，采用HSP门进行描述。

Markov模型有离散时间模型和连续时间模型这两种基本类型^[12]。一个Markov模型由状态和状态的转移这两种元素组成，可以用转移概率${X_{ij}}$来定义系统从状态$i$转移到状态$j$的概率。齐次马尔可夫链的齐次转移概率矩阵$P$中所有元素由${X_{ij}}$组成，则转移率矩阵$A$如式(1)^[6]所示：

其中$U$为$P$的同阶数的单位矩阵。由此可以得到状态方程为

式中，$X(t)$代表在$t$时刻时各个状态概率的行向量；而$X(t + \Delta t)$为过了$\Delta t$时刻后各状态的概率的行向量^[13]。求解上述方程即可得到设备的故障概率。

大部分复杂系统的部件在理想情况下都被认为服从指数分布，假设部件失效率为常数$\lambda $。即部件的可靠度^[14]为

不可靠度为

对整个SGWLCS的动态故障树进行模块化分析，对于动态部分采用Markov模型求解。主处理器和备用处理器的失效率分别为${\lambda _1}$和${\lambda _2}$，则可得到含热备用门的动态故障树可以转化为Markov模型如图6所示。图中的圆表示的是系统当前所处的状态，状态与状态之间的有向线段代表着状态的转移方向，有向线段上面的值表示的是状态的转移概率。

由图6可以得到系统状态之间转移概率如表1所列。

由表1可以列出如下微分方程组的矩阵形式为

设系统初始工作条件为

由式(5)所示微分方程组与式(6)推导得到处理器模块故障的概率为

同理采用上述相同的方法，可以计算得出给水阀门控制器模块故障的概率为

电源模块、测量信号输入模块、控制信号输出模块采用的是与门，利用式(9)进行计算：

蒸汽流量测量模块、主给水阀控制模块、给水泵控制模块采用的是或门，利用式(10)进行计算:

给水测量模块与液位测量模块采用的是表决门，利用式(11)进行计算。

具体计算结果如下：

电源模块故障概率为

给水流量测量模块故障概率为

蒸汽流量测量模块故障概率为

液位测量模块故障概率为

测量信号输入模块故障概率为

控制信号输出模块故障概率为

根据式(8)中求出的主给水阀控制器故障的概率，求出主给水阀控制模块G5的故障概率为

给水泵控制模块故障概率为

最后求出整个SGWLCS的可靠度为

本文中相关组件失效概率如表2所列。

针对蒸汽发生器液位控制系统中关键设备：主处理器、主给水阀控制器进行热备用冗余，当主处理器与主控制器发生故障失效时，可以切换到热备用继续维持系统正常工作，提高系统的可靠性。从定量分析的角度出发，查阅相关文献与资料获得上表2中相关设备出厂的资料。

将上述数据代入式(20)进行计算，即可得到考虑了热备用的动态故障树与传统静态故障树对系统可靠性分析的优劣。从图7可以看出，采用了热备用的动态故障树模型的可靠度更加高。

部件的重要度分析是可靠性分析重要的一个环节，重要度表征了基本事件发生时对于整个系统的影响，不同重要度评价指标分别从失效概率的变化、对于系统风险的影响等不同角度反映了底事件对于系统的重要度。对于系统的维护、改进、优化等方面有着重要意义。本文采用概率重要度与关键重要度进行分析。

(1)概率重要度

概率重要度^[16]分析表示第i个基本事件发生的概率的变化引起系统失效概率变化的程度。具体表达式如下。

式中：${P_i}(t)$表示基本事件${x_i}$的失效概率；${P_{\rm T}}(t)$表示系统的失效概率；$I[{1_i},{P_i}(t)]$和$I[{0_i},{P_i}(t)]$分别表示基本事件i发生概率为1或者0时系统失效概率。各基本事件的概率重要度可以通过上式求出，可以准确地确定降低哪个基本事件的概率能有效地降低系统的失效概率。

(2)关键重要度

基本事件失效概率的变化率与引起系统发生失效的概率之比为关键重要度^[17]。与上述概率重要度有所区别的是，关键重要度体现了改变基本事件失效概率对系统故障概率改变的影响程度大小。具体表达式如下：

式中${P_i}(t) * I_i^{\Pr }(t)$为基本事件影响系统失效的概率。其数值的大小代表该基本事件对于整个系统的重要程度的大小。

(3)结果分析

图8、图9为基本事件的概率重要度和关键重要度随着时间变化的曲线。由图8~9可知，在概率重要度方面，给水泵控制器、给水阀、给水阀的重要度数值较高。在关键重要度方面，重要度数值排序与概率重要度有所不同，主处理器、给水泵、给水阀、给水泵控制器的数值较高。

因此，如果需要进一步提高系统的可靠性，则需要从多角度分析系统的可靠度。从设备定期维修的角度，应该优先考虑主处理器、给水泵。从整个系统的优化设计方面，应该优先考虑水泵控制器、给水泵、给水阀。

本文主要研究的是压水堆核电站蒸汽发生器液位控制系统的可靠性，采用动态故障树进行可靠性建模，模块化的建模方式提高了建模的效率，利用Markov模型对其进行计算与可靠性分析。分析结果表明：(1) 主处理器与给水阀控制器的冗余和热备用有效地提高了SGWLCS的可靠性。(2) 通过重要度评价指标，可以有针对性地改善系统的薄弱环节，从设备定期维修的角度，应该优先考虑主处理器、给水泵。从整个系统的优化设计方面，应该优先考虑给水泵控制器、给水泵、给水阀。

本文目前以压水堆核电站蒸汽发生器液位控制系统工作在高负荷工况下(大于18%负荷)建立动态故障树可靠性模型，采用Markov模型进行计算分析，未来需要研究SGWLCS在不同工况下的可靠性，进一步完善可靠性模型。