核电站高压缸压力表故障风险及改进

高压缸入口压力表在核电机组上作为二回路负荷信号，参与了反应堆的控制及保护。介绍了核电机 组高压缸入口压力表对反应堆的保护功能，以及大亚湾岭澳和岭澳二期百万千瓦核电机组反应堆的不同保 护方式，分析了高压缸入口压力表故障有触发安全注入动作的风险，发生的几起故障，都与高压缸压力仪表的 供电方式有关。为了防止安注信号的误启动，有必要对仪表的供电进行改进。通过回顾，总结了几起高压缸 入口压力表故障及其处理的经验，并提出了一些改进的建议。

1.高压缸调节级压力仪表的作用

核电站汽轮机一般采取喷嘴调节，喷嘴分为 几组，每组各由一只调节阀控制，运行时通过依次 启闭这些调节阀来调节进汽量。由于高压缸调节 级喷嘴后的压力与汽机功率之间有很好的线性关 系，因此喷嘴后的高压缸入口压力，可以用来表征 核电机组汽机功率。其中大亚湾/岭澳核电站采 用GRE023/024MP表征，岭澳二期采用 GRE022/023/024/MP表征，两种表征方法在相 关控制保护实现方式上存在一些差异。

1. 1汽机旁路排冷凝器系统的逻辑与控制

大亚湾/岭澳核电站采用GRE023MP产生 汽机旁路排冷凝器允许信号（C7A、C7B)及短电 网故障信号（GCT406XU)。

岭澳二期核电站采用GRE022/023/024MP， 通过表决器或手动选择其一产生C7A、C7B及 GCT406XU 信号。

大亚湾/岭澳核电站的GRE024MP把高压 缸的入口压力作为汽机负荷的表征，与最终功率 整定值高选生成汽机旁路排冷凝器系统（GCT- C)在温度模式下用于控制其开度的参考温度 (U，与一回路最高温度（T?gm?)进行比较产生 温差AT，然后与GRE024MP和最终功率整定值 比较，形成一二回路功率偏差产生的温度偏差信 号相加，用于控制GCT-C排放阀的开启（快开或 调制开启)和开度。

岭澳二期核电站采用GRE022/023/024MP， 通过表决器或手动选择其一作为高压缸入口压 力，代表汽机负荷，与最终功率整定值高选生成 GCT-C在温度模式下用于控制其开度的7，与 -回路Ta,g m?相比较，产生温差AT，最终功率整 定值比较形成一二回路功率偏差产生的温度偏差 信号相加以控制GCT-C排放阀的开启方式（快 开或调制开启)和开度。

1. 2蒸发器水位、控制棒及稳压器水位控制

大亚湾/岭澳核电站通过选择开关（402CC) 高选或二者之一后参与控制汽机负荷，与除氧器 排放（ADG)及冷凝器排放（GCT)的有效信号相 加后，作为总的二回路负荷，生成形成蒸汽发生器 (SG)水位控制中的水位整定值（L?r)。作为二回 路负荷，先与最终功率整定值选大后送往控制棒 控制（RGL)系统生成Te，与T-比较产生温度 偏差，控制温度控制棒的动作。作为二回路负荷， 还与最终功率整定值选大后送往RGL系统生成 T-，与Tavg比较后作为前馈信号，对稳压器 (PZR)水位整定值进行修正。

岭澳二期核电站GRE022/023/024MP通过表决器或手动选择其一参与控制，实现SG水位 控制中的，控制温度控制棒的动作及对PZR 水位整定值进行修正。

1.3反应堆停堆保护信号

大亚湾/岭澳核电站GRE023/024MP用于2取 1生成P13(汽机功率大于12%Pn)，进而产生P7 (核功率大于10%Pn)。P7参与稳压器（86%水位， 13 MPa)、蒸发器（75%水位）、主栗（1 365 r/min， 88.8%Qn，主泵断路器跳闸）6个停堆信号保护。

岭澳二期核电站GRE022/023/024MP用于 3取2生成P13(汽机功率大于12%Pn)，进而产 生P7(核功率大于10%代)。P7参与稳压器 (86%水位，13 MPa)蒸发器（75%水位）、主泵（1 365 r/min,88. 8% Qn，主泵断路器跳闸）6个停堆 信号保护。

1.4安全注入信号

大亚湾/岭澳核电站及岭澳二期核电站均为 GRE023/024MP分别经函数发生器（GRE401/ 402GD)形成蒸汽流量高整定值，与蒸汽发生器的 蒸汽流量(VVP004/005/006MD)或 VVP001/002/ 003MD比较，决定是否发出蒸汽流量高20%信 号，或者产生蒸汽发生器蒸汽流量高信号。在一 回路温度低低及蒸汽发生器压力低低的情况下， 触发安全注入信号。

通过上面的分析，可以看到在生成蒸汽流量 高的安全注入保护信号方面，岭澳二期与大亚湾/ 岭澳相同，由此导致相应的保护触发的可能性增 大，甚至发生事故。事实上，大亚湾/岭澳及岭澳 二期核电站发生的几起高压缸入口压力表故障的 事件，分析结果都表明触发安注信号或存在着安 注风险。

2.大亚湾核电站的故障及处理

2004年8月的某日，大亚湾2号机主控发现 GRE023MP缓慢下漂，立即执行核蒸汽供应系统 控制装置和安全设施故障处理（IRRC/RPR)规程 进行处理，将相关控制切至备用仪表GRE024MP 位置。不久GRE023MP阶跃下漂至8%，现场报 告其仪表的下游管道断裂。事故发生后立即采取 措施，将GRE023MP置安全位置，将所有调节系 统的供电由控制电源第三组（SIP3)切换到SIP4。 由于GRE023MP置于安全位置，因此触发的是 P13(汽机功率大于10%匕，1/2)和三台SG的蒸 汽流量高信号（高于定值20% )。其中P13进而 产生P7，P7参与稳压器（86%水位，13 MPa)、蒸 汽发生器（75%水位）、主泵（1 365 r/min, 88. 8% Q。，主泵断路器跳闸）6个停堆信号保护。正常情 况下，GRE023/024MP 分别经 GRE401/402GD 形成蒸汽流量高整定值，与VVP004/005/006MD 或VVP001/002/003MD比较，决定是否发出蒸 汽流量高20 %信号。GRE023MP置安全位置 后，触发每台SG各一列蒸汽流量高信号，输送至 反应堆保护系统（RPR)。

每台SG蒸汽流量高信号2取1，然后3台 SG蒸汽流量高信号3取2。两台以上SG蒸汽流 量高加主蒸汽压力低低（3. 55 MPa，2/3)或一回 路平均温度低低（P12)时会导致安注信号触发。

从事件本身分析，GRE023MP下游管道泄漏 进而断裂，导致GRE023MP阶跃下降至8%，触发 C7A/C7B信号。C7A/C7B信号一直存在，增加了 一回路温度下降，P12信号出现风险。GRE023MP 置于安全位置后，触发P13和蒸汽流量高信号，增 加了停堆保护信号和安注信号触发的可能性。

3.岭澳二期核电站的故障及处理

2010年1月的某日，岭澳二期3号机主控室 应急停堆（ECP)盘上出现安注/安全壳隔离A阶 段/停堆信号，操纵员确认安注信号已触发，并确 认安注动作对机组状态无影响。原因是由于 GRE024MP上的录波工作导致VVP001/002/ 003MD产生蒸汽流量高信号，再叠加蒸汽压力低 低与无一回路P12闭锁，最终产生安注信号以及 安注后相应系统的保护动作。

再从信号源头查得，由于GRE024MP的信 号采集回路显示坏点（之后查得是由于 GRE024MP卡件保险烧毁引起），即数据为 FAULT状态，该信号去SF019功能组的sheet2 来生成VVP001/002/003MD的整定值，使得 VVP流量整定值为FAULT状态。因为先前无 P4(停堆）或C8(跳机）信号，如果此时有P4或C8 信号存在，则选择模块SWS将VVP001/002/ 003MD整定值选为40%FFR不变，就不会触发 VVP流量整定值故障信号。所以，由安注引发 P4立即导致VVP流量高信号消失，故安注信号 闪发后立即消失。

VVP流量整定值信号进入SF019的sheet6， 由于VVP001/002/003MD的蒸汽流量整定值为 FAULT 状态，不与 SI022 采集的 VVP001/002/ 003MD实际值作差也不进行阈值判断，直接输出 FAULT状态的开关量进入ALU1/2表决模块 12Y的4路输入信号中的2路信号来自SIP IV 中的APU3和APU4均为FAULT,导致3个1/2 表决模块12Y都输出FAULT状态的开关量去 表决模块23 V表决。根据表决模块23 V的说明 书，个输入量都为FAULT时输出为1，则降级 驱动，故最终产生安注（SI)信号。

4.改进建议

大亚湾/岭澳和岭澳二期核电站都曾出现过 因GRE压力仪表故障可能及触发安注动作的事 件。由于大亚湾/岭澳核电站仅有两个仪表 (GRE023MP/024MP)，必须有一个作为蒸汽流 量的参考值参与反应堆保护。但是由于设计中考 虑到独立性及冗余性，采用了 GRE023/024MP 分别对应单个蒸汽发生器一个蒸汽流量表，结果 造成了安注风险。大亚湾/岭澳核电站采取模拟 控制保护，较难避免单个GRE仪表故障可能出 现安注动作的现象，必须通过培训及规程强调防 止事件发生。

岭澳二期采用DCS控制技术，增加了仪表的 GRE022MP，而且在其他的控制保护中广泛采用 表决器，防止出现单一仪表故障造成保护动作，但 是高蒸汽流量保护部分没有采取相应的设计。为 了降低此类事件的风险是否需要改进，如何改进 都是值得进一步探讨的。GRE仪表在参与高蒸 汽流量保护中仅提供参考值，而且仪表取自汽轮 机同一部分，因此在满足相应保护设计准则的前 提下可以改造，改造的关键是利用三个GRE压 力表对蒸汽发生器流量计进行比较。

保护系统设计准则包括单一故障准则、冗余 性和独立性、多样性、故障安全、逻辑符合、可试验 性和可维修性，其中冗余性和独立性是仪表设计 中必须考虑的。在把冗余性的原则应用到逻辑系 统、执行器和电源时，为了排除由于环境因素和电 气物理现象的相关影响，要求具有相同保护功能 的重复通道之间应彼此独立，保持物理上的分离 和电气上的隔离，以免丧失冗余性。独立性是采 用冗余技术的前提，也是克服由单一故障引起故 障，实现在线检验和维修的重要措施，因此也要求 在保护系统与控制乃至与其他系统之间，保持电 气上和结构上的相互独立。

根据前面的讨论，为防止单个仪表故障的安 注风险，可以将GRE022/023/024MP经过表决 器产生_个压力值作为二回路负荷的参考值，对 每一个蒸发器的蒸汽流量进行比较。但是这样又 会造成不同电源的仪表间信号传递问题，违反电 源的独立性和冗余性。

为了避免单一仪表故障触发安注，同时保证 电源的独立性和冗余性，可以将GRE022MP加 入对蒸汽发生器流量计的校正，由其供电为SIP I 保证独 立 性 要 求 。 根 据 供 电 电 源 对 蒸 汽 流 量 及 GRE压力，可以采用表1的设置。

由于岭澳二期采用DCS技术，因此相应的修 改只要在对应的机柜上修改程序，并对仪表的供 电（包括对蒸汽流量表的供电）稍作修改即可。仪 表的电源如表2。

如果按照表2配置，可以防止出现单一GRE 仪表故障触发保护动作的可能性。

5.结论

由于设计的缺陷，岭澳二期核电站GRE023/ 024MP —旦发生故障有触发安注误动作的风险。 建议采取改造的方式，将GRE022MP引入蒸汽 流量高的保护，并对GRE各仪表的供电及相应 的对蒸汽发生器蒸汽流量的比较作修改，保证单 个GRE仪表的故障不再有安注误动作的风险， 提高机组的安全可靠性。