（阳江核电有限公司 广东阳江 529500）
摘要：CPR1000核电机组未能紧急停堆预期瞬态保护（ATWT）功能采用三菱设计的硬件机柜ATWS实现。本文介绍了ATWS实现ATWT功能的方法及存在的缺陷。并提出一种改进方法解决了ATWS定期试验不能完整覆盖保护逻辑的缺陷。
关键词：未能紧急停堆预期瞬态
1 背景概述
未能紧急停堆的预期瞬态保护（ATWT）是核电站保护系统的重要组成部分。在CPR1000项目中，采用三菱提供的ATWS机柜实现ATWT功能。
ATWS作为反应堆保护系统，需要定期试验测试其功能完整性。为避免ATWS真实动作，ATWS试验分为T1/T2/T3三部分，分别验证ATWS输入、逻辑计算和输出功能。如果T1/T2/T3能覆盖ATWS保护的所有功能且测试结果正常，则可以保证ATWS功能完整。
在审查中发现三菱设计的ATWS T2和T3试验覆盖范围之间有空隙，导致ATWS部分区域故障时不能被定期试验发现。有可能在真实跳堆工况下发生拒动，危害核安全。
2 ATWS功能和结构介绍
2.1 ATWS功能
ATWS执行ATWT的功能，其本身不属于1E级系统。ATWT是建立在反应堆紧急停堆和专设安全设施不同技术基础之上的，是以往压水堆核电站没有的系统。它指的是没有紧急停堆的预期瞬态，采用蒸汽发生器给水流量监测和中间量程中子通量监测，一旦满足逻辑条件，即给水流量低且中间量程中子通量超过30%，系统将送出停堆、跳机、辅助给水启动及闭锁第三组GCT排放阀的信号。它相当于提供了一种针对机组处于紧急状况中，而相应的停堆保护系统出现故障的纵深防御措施。由于这部分是机组整体设计完成后增加的内容，所以在设计上不是很完善，主要表现为：ATWS系统只有一列（Train-A）。但是，ATWS内部是冗余的，这样就能避免由于单一故障而引起的虚假信号的产生。
2.2 ATWS硬件设计
3个流量计将信号先送到RPC机柜，然后RPC将信号通过分配卡送隔离卡再送到ATWS机柜。而RPN信号2路信号则从RPN直接送来。送入的流量和中子通量信号先分别进行阈值比较，比较分为两列。然后流量低信号先进行3取2逻辑，中子通量高信号取与。当满足条件后产生单列保护信号。两列保护信号取与后产生跳堆等动作信号。
.png)
图1 ATWS逻辑图
如上图所示。为保证T2试验时不触发跳堆等信号，在内部A/B两列取与之前有一个开关可以把保护信号闭锁。T2试验时从上游注入虚假信号触发跳堆，但因为此开关断开，跳堆信号不能送到真实设备。T2试验的覆盖范围就从ATWS输入板卡到这个开关。而T3试验则从与门之后开始，当处于测试模式时，上图左右两侧的开关取与可以保证同时只有一路跳堆信号送出，这不足以触发跳堆。
因此，ATWS设计的T2和T3试验不足以完整验证ATWS保护功能。内部A/B两列取与的逻辑没有得到验证。
下面从硬件设计角度描述未被覆盖的取与逻辑。如下面两张硬接线图所示，T2试验时B列保护动作信号送到S111A板卡后被开关截断，T2试验只覆盖到S111A板卡。A列和B列保护信号取与逻辑通过串联的两个继电器实现，即S112C和S112D板卡。而T3试验注入的模拟信号是在这两个继电器下游的或门上注入。因此如果继电器励磁后开关不动作，没有试验可以发现其失效。
.png)
图2 B列ATWS硬接线图
.png)
图3 A/B列ATWS取与和T3试验相关硬接线图
3 改进方案
在下图所示红框位置处，将ATWS所有输出端子排改造为带开关的端子排。当进行T2试验时，不动作图2中236CCR开关，即保护动作信号可以继续往下游送。但输出信号在输出端子排上被截断，不会使设备真实动作。这样A/B列取与逻辑就可以被测试到。当T2试验结束后，恢复所有输出端子排上开关。之后尽快进行T3试验，T3试验从与门和端子排之间的或门注入信号，信号可以送到下游设备并检测反馈信号。这样就可以验证所有端子排上的开关都被正确恢复了。T2和T3试验通过这种方法实现了有重叠的验证，保证了ATWS功能长期运行时的完整性。
.png)
图4 改进方法
4 结语
ATWS机柜用于实现CPR1000机组ATWT功能，在实现过程中发现其定期试验无法完整验证ATWS逻辑，存在柜内故障导致ATWS逻辑失效后无法被发现的风险。本文提出的改进方法已在CPR1000机组实践，实践结果证明改造效果良好。ATWS机柜的可靠性通过本次改造得到了很大提升，解决了部分部件单一故障无法被定期试验发现的隐患。
参考文献：
[1] Equipment Operation & Maintenance Manual，三菱电机株式会社，2009.11
[2] Diverse Actuation Cabinet Equipment Specification，三菱电机株式会社，2009.11