CPR1000,机组RGL,系统双夹持故障分析

姬海波，荆茂林，张恒

（1.广西防城港核电有限公司,广西 防城港 538001；
2.生态环境部华南核与辐射安全监督站,广东 深圳 518000；
3.重庆邮电大学 计算机科学与技术学院,重庆 400065）

棒控和棒位系统RGL（Rod Position Indication and Rod Control System）是核电机组最重要的控制系统之一，其性能好坏直接关系到电站的可用性。

RGL 系统在核电机组启堆、功率变化和停堆过程中，通过控制棒驱动机构CRDM（Control Rod Drive Mechanisms）来提升、插入和保持反应堆控制棒，并对每一束控制棒在堆芯的实时位置进行监视，从而控制反应堆的反应性，保证反应堆始终处于安全状态[1-3]。

RGL 系统是一个很复杂的系统，从国内外核电机组运行经验来看也出现过各种各样的故障模式[4-6]。当该系统出现双夹持故障（double-hold fault）时会将整个控制棒组闭锁，且故障棒束及故障原因无法在主控室查看，需要运行人员现场对机柜进行确认。该故障发生在机组进行瞬态工况运行时，可能会导致反应堆停堆。本文结合国内某CPR1000 核电机组的双夹持故障经验反馈,对故障原因进行了深入分析与研究。

1.1 RGL 系统功能[7-9]

1）RGL 系统通过控制棒驱动机构（CRDM）使控制棒组件在堆芯中进行提升、插入或保持等动作，实现对反应堆反应性的实时控制，并对控制棒的棒位信息进行指示和监测。

2）RGL 系统参与的自动控制功能包含反应堆堆芯功率控制功能和冷却剂平均温度控制功能。

3）RGL 系统控制和调节功率补偿棒组的棒位，使功率补偿棒组的棒位与功率需求棒位相一致，实现核电机组一回路功率与二回路功率的平衡，完成反应堆负荷跟踪模式（G 模式）的控制，实现堆跟机运行模式。

4）RGL 系统的温度棒组用于调节堆芯冷却剂的平均温度。通过使用反应堆冷却剂平均温度与参考温度之间的温度差值信号来驱动温度调节棒（R 棒）动作，控制棒的移动方向和速度由温度差值信号决定。

5）RGL 系统参与反应堆停堆操作。

1.2 RGL 系统组成[10-12]

RGL 系统结构图如图1 所示。

图1 RGL 系统结构图Fig.1 Structure of RGL system

1）棒位指示系统（RPI）接收位于反应堆压力容器的控制棒位置探测器的信号，通过译码产生每个棒束组件（RCCA）的实际测量位置。产生的位置信号通过网络数据传输送往与棒位指示系统（RPI）相关的外部系统。它也接受棒控系统（RCS）的指令，例如每个子棒束要求的位置和移动指令。通过这些指令操作，如果实际测量位置信号和设定值存在偏差，RPI 会产生报警信号。

2）反应堆功率控制机柜RCC（Reactor control cabinet or Reactor power control cabinet）：包括反应堆温度自动控制和反应堆功率自动控制两个功能。

3）控制棒驱动机构CRDM：属于RGL 系统的执行机构。每台CRDM 装置包括提升、传递、保持线圈各一个，3 个线圈按一定时序通电/断电，带动两副勾爪抓入或退出驱动轴齿槽，从而带动控制棒提升或插入。

4）棒控系统RCS（Rod control system）：接受自动提插棒及棒速信号实现反应堆温度和功率的自动调节；
接受主控指令和各种联锁信号实现手动或校1、校2 模式控制。

RCS 接收RCC 传输来的控制棒手自动、提插指令以及反应堆紧急停堆信号（P4 信号），经过与RPI传输来的测量棒位进行对比而产生指令控制供电单元向CRDM 提供相应的时序电流从而达到控制目标，双夹持故障发生在此系统。

RCS 系统主要由两部分组成[13-15](如图2 所示)：

图2 RCS 系统结构图Fig.2 Structure of RCS system

1）控制逻辑设备（CLE）：该设备用于根据外部动棒命令(movement order)、外部允许信号、棒位联锁和功率棒叠步程序，管理堆内子棒组的运动。控制逻辑功能分为两个主要的子功能：停堆和温度棒组控制逻辑和功率棒组控制逻辑，两个子功能均设置在控制逻辑处理单元（PLC）中。

2）动力设备：由16 个动力机柜组成，每个子棒组一个机柜。根据来自CLE 机柜的动棒指令，动力设备产生合适的电流时序给CRDM 线圈，使RCCA保持不动或移动。

每个动力机柜又由3 个动力机架和1 个逻辑控制单元（Cycler）机架组成：

3 个动力机架分别对应同一子棒组夹持线圈（SG）、传递线圈（MG）和提升线圈（LC）。每个动力机架产生电流给同一子棒组的4 个同样的线圈，同时能够执行输出电流监视和自测试功能。动力机架任何时候都根据来自CLE 的动棒指令产生相应的时序电流。

每个动力机架产生的电流值由供电模块中的预制参数决定。每个供电模块控制一个线圈，并且能产生3 中预制的电流值：全电流（FC）、半电流（RC）和零电流（ZC）。

Cycler 机架由一个PLC 处理单元和相应的硬件组成。Cycler 是一个逻辑处理单元，用来产生电流定值信号给3 个动力机架。Cycler 接受来自CLE 机柜的每一步子棒组动棒指令，根据指令产生时序电流定值来控制动力机架并使RCCA 移动一步；
当动棒指令缺失时，Cycler 将产生定值，使SG 线圈持续励磁保持RCCA 不动。

双夹持功能是嵌入到供电模块的，当发生故障可能导致落棒时，子棒组的所有供电模块转到安全状态：由夹持线圈SG 和移动线圈MG 夹住控制棒，LG 线圈闭锁不带电。在这种状态下，供电模块自动控制：不再接受动力机柜产生的电流整定值序列直到报警清除。内部电流序列如图3 所示：

图3 双夹持电流时序Fig.3 Double-hold current sequence

SG 线圈和MG 线圈产生FC 并持续300 ms，之后持续产生RC，LC 线圈电流为ZC。

只要SG 线圈和MG 线圈中有一个正常带电，控制棒就不会发生意外掉落的情形，双夹持被设计为低有效信号触发，用来防止控制棒失去电或者线路断线，触发信号如下：

2）Cycler 处理单元故障或者Cycler 不可用，继电器失电时，双夹持触发。

3）SG 线圈或者MG 线圈Rack Off Chain 单一故障，双夹持触发。

4）SG 线圈或者MG 线圈整定电流信息传输到机架故障，双夹持触发。

4.1 双夹持故障触发经验反馈

2013 年11 月 ，国内某CPR1000 核电机组 1 号机主控操作员执行R 棒下插1 步操作，动棒未成功，电站计算机信息及控制系统（KIC）上显示有RGL 001KA（RGL 故障）、RGL005KA （棒控系统运行故障）、RGL006KA （RGL 运行故障）和 RGL009KA（PWE 机柜运行故障）。仪控人员现场检查发现RGL016AR 机柜面板显示存在输出故障和运行故障，且机柜进入双夹持状态。

检查故障信号相关通道，未发现异常，重新进行功能验证，故障依然存在，怀疑控制器软件异常，执行控制器软件下装，验证R 棒的提插功能后，RGL系统恢复正常。

4.2 故障原因分析：

根据现场RGL 系统事件日志，最先触发的故障为输出故障 (output fault)，在输出故障触发的同时，机柜进入双夹持状态，并且输出运行故障（operation fault），此现象与输出故障逻辑相符。输出故障的逻辑如图4 所示：

图4 输出故障逻辑Fig.4 Output fault logic diagram

此逻辑的目的是确保在任意时刻（除存在落棒指令或首次提棒），SG 线圈和MG 线圈机架至少有一个处于夹持状态，以防止落棒事件发生。由逻辑图可以看出，一旦机柜控制器逻辑检测到SG 和MG 机架同时处于释放状态，就会立即触发输出故障，并发送双夹持指令到动力机架。对机架夹持状态的检测是通过对控制器输出到动力机架（SG/MG）全电流指令（FC）和零电流指令（ZC）的回读（re-read）来实现的。逻辑对于SG 或MG 机架处于夹持与释放状态的判断准则是：当全电流回读指令出现并保持一段时间（对于SG 机架，此时间为79 ms；
对于MG 机架，此时间为73 ms）后，逻辑即认为机架处于夹持状态；
当零电流回读指令出现后，逻辑就立即认为机架处于释放状态。机柜出现输出故障，说明在故障时刻，逻辑判断SG 和MG 机架同时处于释放状态。

Nano-ZS型动态光散射仪，英国Malvern公司；
UV-1800型紫外分光光度计， 日本岛津公司；
SC-3614型低速离心机，安徽中科中佳科学仪器公司；
扫描电镜， 日本Hitachi S-4500 .

查看现场RGL 系统报警视图，故障发生在控制器软件循环的 270 ms 处。而故障时刻R 棒正在执行插棒指令，插棒指令时序如图5 所示：

图5 插棒指令时序Fig.5 Rod insertion command sequence

从图5 可以看出，在267 ms 处，SG 机架正好从全电流指令变成零电流指令，即逻辑中SG 机架从夹持变成释放状态，而输出故障几乎在同一时刻（270 ms）触发，说明在270 ms 时刻控制器认为 MG 机架仍处于释放状态，但是在正常情况下，在 259 ms（186 ms+73 ms）时刻控制器就应当认为 MG 机架处于夹持状态。所以控制器在270 ms 未正确判断MG 机架处于夹持状态是导致该故障发生的最直接原因。

4.3 建议措施

可以看出系统软件缺陷是造成RGL 系统双夹持故障的重要因素，造成系统软件缺陷的原因包括：（1）设计缺陷，未能针对可能的软件缺陷问题设置相应的监测与预警手段；
（2）系统参数设置，参数设置应该准确说明参数调整作用以及会出现的问题；
（3）系统中存在隐藏的功能缺陷。

实际工程中需要从以下两个方面给予关注：

1）MG 机架的全电流指令回路或全电流回读信号回路接触是否不良。

2）RGL 系统动力机柜控制器软件或参数问题。

本文简述了双夹持故障原理，并从其设计原理的角度，结合某CPR1000 核电机组RGL 系统双夹持故障案例的回溯，分析指出由于时刻控制器软件误判MG 机架状态，从而输出错误信号导致了该双夹持故障触发。为防范由于系统软件缺陷对RGL系统造成不良影响，提出两点建议措施，并可为同类双夹持故障提供技术参考，保证RGL 系统的安全运行。