首臺全面集成了數(shù)字化儀表與控制系統(tǒng)的APR-1400型反應(yīng)堆現(xiàn)已在韓國投入運行。對此，DarylHarmon,BenRomeo和RobBeasley給出了他們針對儀控系統(tǒng)設(shè)計的看法。

2016年12月，大韓民國的Shin-Kori3成為了首臺投入商業(yè)運行的配有全面集成的數(shù)字化儀表與控制（I&C）系統(tǒng)的APR-1400反應(yīng)堆。這不僅在該堆型的設(shè)計中屬于首次，同時也是首個由西屋電氣公司為先進輕水反應(yīng)堆供貨并實現(xiàn)商業(yè)運行的全面集成的數(shù)字化儀表與控制系統(tǒng)。

從系統(tǒng)結(jié)構(gòu)設(shè)計到運行，這項工程的實施及其背后的工作，將有助于核工業(yè)對全面集成的數(shù)字化儀表與控制系統(tǒng)的擁躉。Shin-Kori3&4是韓國在建的其他APR-1400機組的參考電站，也是阿拉伯聯(lián)合酋長國布拉卡在建的四臺機組的參考電站。同樣亦配備有西屋所供的數(shù)字化儀表與控制系統(tǒng)的Shin-Kori4預(yù)計將于2018年年初裝載燃料。

集成的數(shù)字化儀控系統(tǒng)

儀表與控制系統(tǒng)不僅監(jiān)控著核電站狀態(tài)的各個重要方面，而且還能通過根據(jù)需要進行調(diào)整來幫助優(yōu)化核電站的運行。許多在投運之初采用了模擬的儀控系統(tǒng)的電站，已經(jīng)基于組件系統(tǒng)原則，用等同的數(shù)字化系統(tǒng)部分地替代了這些可靠但已老化的系統(tǒng)，但是，這些獨立的系統(tǒng)無法實現(xiàn)集成的數(shù)字化儀控系統(tǒng)的全部性能效益。集成的數(shù)字化儀控系統(tǒng)非?？煽浚⒛芴峁└玫碾姀S績效和額外的診斷能力。

韓國電力技術(shù)株式會社為Shin-Kori3&4設(shè)計了一個全面的數(shù)字化儀控結(jié)構(gòu)。作為總承包商斗山重工的承包商，西屋負責(zé)了組件的設(shè)計、設(shè)備的制造、軟件的編程，并負責(zé)測試、交付與支持所有安全相關(guān)的與非安全相關(guān)的數(shù)字化儀控系統(tǒng)的調(diào)試。

這些由西屋交付給Shin-Kori3&4的系統(tǒng)組成了人機界面系統(tǒng)。該系統(tǒng)含有先進的緊湊型工作站控制室，以及使用了CommonQTM與OvationTM平臺的分散式數(shù)字化控制與保護系統(tǒng)。這些平臺提供了數(shù)據(jù)采集、工藝組件控制、信息處理與顯示，以及電站保護功能。這些全數(shù)字化平臺的集成，能夠在提供實時在線診斷與測試的同時，實現(xiàn)高可靠性與高可用性的目標。

數(shù)字化儀控系統(tǒng)之所以能夠提供如此之高的性能，其秘訣就在于眾多組件與軟件高依附度的復(fù)雜集成。盡管這些因素不會影響所有儀控系統(tǒng)所固有的單一故障風(fēng)險，但它們會提高共因故障風(fēng)險的可能性。一個故障影響了整個系統(tǒng)時，即是單一故障發(fā)生；而當一個或多個事件造成在多系統(tǒng)中的同步故障，或造成在多通道系統(tǒng)中的兩個或更多單獨通道的同步故障，從而導(dǎo)致系統(tǒng)失效時，則即是共因故障發(fā)生。

減少這些風(fēng)險的方法包括多樣化（兩個或更多的性質(zhì)不同但執(zhí)行相同功能的平臺或組件）、冗余（包括可互相替代的系統(tǒng)或組件，如一個出現(xiàn)故障，任何其他的系統(tǒng)或組件可以執(zhí)行所要求的功能）、以及獨立化（電氣隔離、實體隔離以及系統(tǒng)間的獨立通信）。但是，縱深防御的層次增加了系統(tǒng)的復(fù)雜性，從而也增加了在設(shè)計、運行以及維護中所出現(xiàn)的人為失誤的風(fēng)險。這些問題在Shin-Kori3&4的系統(tǒng)結(jié)構(gòu)與設(shè)計中得到了解決。

韓國電力技術(shù)株式會社采用了兩個各不相同的安全平臺與非安全平臺設(shè)計了接口系統(tǒng)結(jié)構(gòu)。

西屋選用了兩個不同的，商業(yè)可得的平臺來支持這復(fù)雜的結(jié)構(gòu)，并減少人為失誤的可能性。非安全儀控系統(tǒng)采用了Ovation平臺，以在正常工況下運行電站；安全儀控系統(tǒng)采用了CommonQ平臺，能提供電站保護與事故緩減功能。

全電站范圍的數(shù)據(jù)網(wǎng)絡(luò)在設(shè)備之間提供通信，包括安全通道內(nèi)部、安全通道之間、非安全子系統(tǒng)內(nèi)部、以及某些情況下安全與非安全設(shè)備之間的通信。

主控制室

主控制室設(shè)計緊湊，操縱員能方便地從模塊化網(wǎng)絡(luò)工作站上訪問并控制數(shù)百個組件。此前的主控制室設(shè)計有很多獨立的硬接連組件控制，和遍布整個控制室的固定式指示儀，而先進的主控制室則考慮到了在任何運行工況下的更簡單更有效率的操縱員界面。在異常運行工況下，集成網(wǎng)絡(luò)化系統(tǒng)能夠?qū)⑿畔⑦M行優(yōu)化，并以快速訪問界面形式呈現(xiàn)給操縱員。

Shin-Kori3主控制室操縱員工作站布局

連接了很多設(shè)備的雙向數(shù)據(jù)高速網(wǎng)，實現(xiàn)了主控制室中安全性的效率、制約與平衡。允許電站工作人員從該中央位置來實施維護與監(jiān)督測試活動。例如，操縱員可以通過診斷警報，查看儀控設(shè)備故障情況，以及實時觀察映射輸入/輸出點的狀態(tài)來知曉故障的發(fā)生。同樣地，從中央觸摸屏的用戶界面可以實施系統(tǒng)級與組件級的測試功能。操縱員也可以使用維護與測試盤顯示屏來修改每個安全通道的工藝參數(shù)設(shè)定值。與此形成鮮明對比的是，傳統(tǒng)電站的運行要求操縱員使用裝有硬接線開關(guān)與控制器的多個分散式操作盤，設(shè)定值的更改則需要操縱員利用硬編碼值重建應(yīng)用，并在板卡級上修改設(shè)定值。

單獨硬件及軟控制案例

操縱員控制臺為安全與非安全系統(tǒng)配備了不同的電源，并配備有冗余數(shù)據(jù)連接。每個控制臺有四個冗余的非安全工作站和安全相關(guān)的“專設(shè)安全功能軟控制模塊”，操縱員必須使用這些模塊來驅(qū)動安全相關(guān)的組件（盡管操縱員可以從任一類型的工作站上進行過程監(jiān)控）。該控制采用了單向數(shù)據(jù)鏈接。

計算機化規(guī)程系統(tǒng)結(jié)合了實時電站數(shù)據(jù)，利用正常、異常與緊急操作，以及報警響應(yīng)，為操縱員提供指導(dǎo)。先進的報警系統(tǒng)依據(jù)電站模式和預(yù)期操作，對報警進行優(yōu)先與抑制處理，這有助于將操縱員的工作負擔(dān)降到最低。以上兩個系統(tǒng)均可從所有的工作站進行訪問，它們對電站數(shù)據(jù)進行梳理，并減輕操縱員的工作負擔(dān)。

操縱員還可利用控制室前方的大型顯示屏中的一個變量畫面，與其他控制室操縱員分享其工作站上的顯示內(nèi)容。固定的畫面模擬了電站的重要系統(tǒng)，因此操縱員可利用空間專門信息時刻保持對情況的了解。

單獨的備用控制臺

作為縱深防御措施，主控制室中設(shè)有一個安全控制臺，是單獨的備用控制臺，上面有多樣化的驅(qū)動器作為緊急安全保護。這些控制措施可用來關(guān)閉電站，或允許操縱員進行任何緊急操作。手動/自動操作站提供了一套多樣化的備用硬件，操作員可以用其來控制輔助給水流量與主蒸汽大氣排放閥。

西屋設(shè)計了信號多路轉(zhuǎn)接器來減少現(xiàn)場接線，簡化安全與非安全控制的修改。固定位置控制器將工藝模塊連接到多路轉(zhuǎn)接器，信號則通過光纖與銅纜網(wǎng)絡(luò)傳輸。

遠程停堆盤

作為在控制室之外的另一安全措施，還有一個遠程停堆盤，它配有數(shù)量有限的固定位置控制器。在全站范圍內(nèi)還設(shè)有數(shù)個僅可用于監(jiān)視的操縱員工作站，以便電站支持人員能方便地獲取信息。

分散式儀控系統(tǒng)

所有非安全相關(guān)的儀控系統(tǒng)、電站計算機應(yīng)用、非安全相關(guān)與安全相關(guān)的儀控系統(tǒng)的數(shù)據(jù)鏈接接口、以及實現(xiàn)系統(tǒng)間通信的網(wǎng)絡(luò)，均屬于分散式控制與信息系統(tǒng)的一部分。

它也有冗余與容錯功能。在Shin-Kori3&4中，設(shè)有75對冗余控制器用于操作電站儀控系統(tǒng)。儀控系統(tǒng)控制穩(wěn)壓器的壓力與水位；蒸汽發(fā)生器水位；各種化學(xué)與容積控制系統(tǒng)的功能；具有數(shù)字化棒控系統(tǒng)的反應(yīng)堆功率；放射性廢物控制系統(tǒng)；以及諸如斷路器、各種泵、風(fēng)機、閥門等其他組件。這些系統(tǒng)中的兩個系統(tǒng)被用作安全相關(guān)系統(tǒng)的備用，進而支持了縱深防御策略。

先進的報警系統(tǒng)采用了模塊化設(shè)計，它是基于軟件的具有高度可配置性的報警系統(tǒng)，包含有冗余的報警服務(wù)器。報警信息顯示在操縱員的工作站與大顯示屏上。計算機化規(guī)程系統(tǒng)通過監(jiān)測適當?shù)碾娬緮?shù)據(jù)、并對數(shù)據(jù)進行處理、并識別所建議的行動步驟，依據(jù)規(guī)程向操縱員提供逐步指導(dǎo)。這兩個系統(tǒng)均屬于分散式信息與控制系統(tǒng)（也稱之為信息處理系統(tǒng)）的子系統(tǒng)，歷史數(shù)據(jù)的收集也在此實現(xiàn)。

分散式信息與控制系統(tǒng)還通過采用專用四通道的單向數(shù)據(jù)鏈接，來監(jiān)測安全相關(guān)的儀表與組件信息。這樣，安全數(shù)據(jù)可以被所有連接到分散式信息與控制系統(tǒng)網(wǎng)絡(luò)上的系統(tǒng)進行訪問，包括報警系統(tǒng)與操縱員工作站顯示器。

集成的數(shù)字化安全系統(tǒng)

安全系統(tǒng)由互連處理、輸入/輸出機柜、以及操縱員界面組成，其作用為保護反應(yīng)堆、生成并執(zhí)行專設(shè)安全措施組件的驅(qū)動、監(jiān)視事故前與事故后的安全參數(shù)、控制離散的安全組件、以及進行系統(tǒng)級與組件級的測試。這些系統(tǒng)收集關(guān)鍵的核蒸汽供給系統(tǒng)參數(shù)，從而根據(jù)需要生成電站保護動作，如停堆、安全注水等。檢查工作要到位，以確認驅(qū)動信號的起源，系統(tǒng)故障要能自我連續(xù)監(jiān)測。

西屋采用了基于計算機的可編程邏輯控制器來實施控制與邏輯處理，因為它的軟件強大，用戶可定制，而且大量的數(shù)據(jù)可通過數(shù)據(jù)網(wǎng)絡(luò)進行分享。這些數(shù)據(jù)以及數(shù)據(jù)向操縱員的傳送，在很多方面改善了操縱員的體驗，這在模擬系統(tǒng)中是無法實現(xiàn)的，諸如，報警的優(yōu)化，從操縱員工作站進行控制。

安全系統(tǒng)結(jié)構(gòu)設(shè)計有四個冗余的設(shè)備通道，并在每個通道內(nèi)的機柜間實施進一步的冗余設(shè)計。安全系統(tǒng)的控制器和它們的通信鏈接具有自我診斷能力。在Shin-Kori3&4中，信息處理控制柜也設(shè)有冗余的備用的處理器模塊，能不間斷地監(jiān)測其自身故障和冗余處理器的故障，從而當探測到故障時，控制能被自動地?zé)o擾切換。

安全系統(tǒng)的確認

安全系統(tǒng)的驗證與確認是依據(jù)美國與韓國的法規(guī)導(dǎo)則、工業(yè)標準以及韓國水電核電公司的要求進行的。西屋實施的確認分為兩個主要部分：硬件確認，包括設(shè)備鑒定與商業(yè)級產(chǎn)品專用化；軟件確認，采用試驗與獨立的驗證與確認流程。西屋完成的測試使用了分階段方法。

對獨立系統(tǒng)的集成

西屋為其他核電站設(shè)計過許多獨立系統(tǒng)。這些系統(tǒng)最初被設(shè)計為在模擬儀控系統(tǒng)內(nèi)運行的獨立的數(shù)字化系統(tǒng)。

對這些系統(tǒng)的集成，可采用以下兩種方法中的一種：對這些系統(tǒng)進行全面的重新設(shè)計，將其集成到全數(shù)字化儀控系統(tǒng)中；或使用創(chuàng)新手段將這些數(shù)字化系統(tǒng)納入到全數(shù)字化人機界面系統(tǒng)結(jié)構(gòu)中。前一種方法意味著韓國水電核電公司要投入更大的投資成本。

在Shin-Kori3&4電站中，通過設(shè)計一個新的基于分散式控制系統(tǒng)的邏輯機柜和新的電源機柜來控制控制棒驅(qū)動機構(gòu)，西屋能將全數(shù)字化棒控系統(tǒng)進行集成。西屋還集成了數(shù)個狀態(tài)監(jiān)測系統(tǒng)。在無需付出全面重新設(shè)計的成本與開銷的前提下進行集成升級，這在核儀控系統(tǒng)現(xiàn)代化進程中，是了不起的成就。因為將這些系統(tǒng)的報警信息也集成到了電站的先進報警系統(tǒng)中，這是從分離式控制室界面向前邁出了革命性的一步。

調(diào)試中的挑戰(zhàn)

就像每一個敢為天下先一樣，Shin-Kori3的調(diào)試過程中充滿了挑戰(zhàn)，特別是在人機界面上。

舉例來說，在Shin-Kori3進行功率提升測試中（2016年5月到12月），測試程序包含了所有主要設(shè)備的動態(tài)測試，其中包括了數(shù)字化儀控系統(tǒng)。在進行80%的堆功率甩負荷測試時，發(fā)生了出乎意料的停堆事件。測試中一個意想不到的傳感器故障，對蒸汽旁路控制系統(tǒng)的動態(tài)響應(yīng)產(chǎn)生了始料未及的影響。負責(zé)順利傳輸控制輸入信號的控制系統(tǒng)方法，干擾了對甩負荷的預(yù)期響應(yīng)（反應(yīng)堆功率下降而不停堆）。

利用計算機仿真技術(shù)，對蒸汽旁路控制系統(tǒng)在多種不同的電站情況下的響應(yīng)進行模擬，西屋與韓國水電核電公司明白了該系統(tǒng)的動態(tài)響應(yīng)，從而找到了正確的調(diào)校方法。第二次試驗取得了圓滿成功。

處理器負荷

基于計算機的控制器能完善地執(zhí)行復(fù)雜功能，然而，每臺控制器內(nèi)可執(zhí)行的代碼數(shù)量受到了控制器處理能力的限制。為了把安全系統(tǒng)的處理器負荷降到最低，西屋對每臺控制器內(nèi)某些代碼塊的執(zhí)行時間做了修改，對于滿足響應(yīng)時間要求至關(guān)重要的邏輯以更高的頻率得到執(zhí)行（25-50毫秒）；其余的邏輯每500毫秒執(zhí)行一次。在極端情況下，這一方案能將處理器負荷從超過處理器制造商限制的90%，降低到符合限制的約60%。

雖然這些步驟大大降低了處理器負荷，但其結(jié)果卻對瞬時信號的信號定時產(chǎn)生了消極影響。在工廠集成測試期間，發(fā)現(xiàn)有些異步控制信號無法送達至其最終輸出。西屋對不同執(zhí)行塊之間的信號互動進行了分析，發(fā)現(xiàn)從高頻執(zhí)行塊所產(chǎn)生的瞬時信號會在低頻塊執(zhí)行之前即已完成，從而導(dǎo)致信號的丟失。為了解決這一問題，西屋將初始脈沖信號進行了拉長，這樣執(zhí)行時間的改變，或信號路徑的延遲，便不會引起信號丟失。在具體情況下，西屋需要將低位碼中單個信號的脈沖拉長以保證精確。

對于集成的數(shù)字化儀控系統(tǒng)來說，集成的開發(fā)與測試環(huán)境是至關(guān)重要的。

數(shù)字化儀控系統(tǒng)的未來

全球核電機組已經(jīng)驅(qū)動了對數(shù)字化儀控系統(tǒng)的功能強大、高效、最重要是安全技術(shù)方面的創(chuàng)新。配有緊湊的模塊化的操縱員控制臺、計算機化規(guī)程、與智能報警系統(tǒng)的先進控制室，滿足了對更加簡單、更加安全的操縱員環(huán)境的要求?？啥ㄖ频纳虡I(yè)化成品設(shè)備造就了一個任何功能均可實現(xiàn)的行業(yè)環(huán)境。能成功實現(xiàn)獨立系統(tǒng)集成的創(chuàng)新手段，則展示了集成的數(shù)字化儀控系統(tǒng)可以被安全地、按時地、經(jīng)濟地獲得實施。