Analysis of Double-Hold Fault in RGL System of CPR1000 Unit

1） RGL系统通过控制棒驱动机构（CRDM）使控制棒组件在堆芯中进行提升、插入或保持等动作，实现对反应堆反应性的实时控制，并对控制棒的棒位信息进行指示和监测。

2） RGL系统参与的自动控制功能包含反应堆堆芯功率控制功能和冷却剂平均温度控制功能。

3） RGL系统控制和调节功率补偿棒组的棒位，使功率补偿棒组的棒位与功率需求棒位相一致，实现核电机组一回路功率与二回路功率的平衡，完成反应堆负荷跟踪模式（G模式）的控制，实现堆跟机运行模式。

4） RGL系统的温度棒组用于调节堆芯冷却剂的平均温度。通过使用反应堆冷却剂平均温度与参考温度之间的温度差值信号来驱动温度调节棒（R棒）动作，控制棒的移动方向和速度由温度差值信号决定。

5） RGL系统参与反应堆停堆操作。

RGL系统结构图如图1所示。

Figure 1.  Structure of RGL system

1） 棒位指示系统（RPI）接收位于反应堆压力容器的控制棒位置探测器的信号，通过译码产生每个棒束组件（RCCA）的实际测量位置。产生的位置信号通过网络数据传输送往与棒位指示系统（RPI）相关的外部系统。它也接受棒控系统（RCS）的指令，例如每个子棒束要求的位置和移动指令。通过这些指令操作，如果实际测量位置信号和设定值存在偏差，RPI会产生报警信号。

2） 反应堆功率控制机柜RCC（Reactor Control Cabinet or Reactor Power Control Cabinet）：包括反应堆温度自动控制和反应堆功率自动控制两个功能。

3） 控制棒驱动机构CRDM：属于RGL系统的执行机构。每台CRDM装置包括提升、传递、保持线圈各一个，3个线圈按一定时序通电/断电，带动两副勾爪抓入或退出驱动轴齿槽，从而带动控制棒提升或插入。

4） 棒控系统RCS（Rod Control System）：接受自动提插棒及棒速信号实现反应堆温度和功率的自动调节；接受主控指令和各种联锁信号实现手动或校1、校2模式控制。

RCS接收RCC传输来的控制棒手自动、提插指令以及反应堆紧急停堆信号（P4信号），经过与RPI传输来的测量棒位进行对比而产生指令控制供电单元向CRDM提供相应的时序电流从而达到控制目标，双夹持故障发生在此系统。

RCS系统主要由两部分组成^[13-15](如图2所示)：

Figure 2.  Structure of RCS system

1） 控制逻辑设备（CLE）：该设备用于根据外部动棒命令(movement order)、外部允许信号、棒位联锁和功率棒叠步程序，管理堆内子棒组的运动。控制逻辑功能分为两个主要的子功能：停堆和温度棒组控制逻辑和功率棒组控制逻辑，两个子功能均设置在控制逻辑处理单元（PLC）中。

2） 动力设备：由16个动力机柜组成，每个子棒组一个机柜。根据来自CLE机柜的动棒指令，动力设备产生合适的电流时序给CRDM线圈，使RCCA保持不动或移动。

每个动力机柜又由3个动力机架和1个逻辑控制单元（Cycler）机架组成：

3个动力机架分别对应同一子棒组夹持线圈（SG）、传递线圈（MG）和提升线圈（LC）。每个动力机架产生电流给同一子棒组的4个同样的线圈，同时能够执行输出电流监视和自测试功能。动力机架任何时候都根据来自CLE的动棒指令产生相应的时序电流。 每个动力机架产生的电流值由供电模块中的预制参数决定。每个供电模块控制一个线圈，并且能产生3中预制的电流值：全电流（FC）、半电流（RC）和零电流（ZC）。

Cycler机架由一个PLC处理单元和相应的硬件组成。Cycler是一个逻辑处理单元，用来产生电流定值信号给3个动力机架。Cycler接受来自CLE机柜的每一步子棒组动棒指令，根据指令产生时序电流定值来控制动力机架并使RCCA移动一步；当动棒指令缺失时，Cycler将产生定值，使SG线圈持续励磁保持RCCA不动。

双夹持功能是嵌入到供电模块的，当发生故障可能导致落棒时，子棒组的所有供电模块转到安全状态：由夹持线圈SG和移动线圈MG夹住控制棒，LG线圈闭锁不带电。在这种状态下，供电模块自动控制：不再接受动力机柜产生的电流整定值序列直到报警清除。内部电流序列如图3所示：

Figure 3.  Double-hold current sequence

SG线圈和MG线圈产生FC并持续300 ms，之后持续产生RC，LC线圈电流为ZC。

只要SG线圈和MG线圈中有一个正常带电，控制棒就不会发生意外掉落的情形，双夹持被设计为低有效信号触发，用来防止控制棒失去电或者线路断线，触发信号如下：

1） 如果一个动力机架同时检测到两个以上电流整定信号会触发双夹持指令。

2） Cycler处理单元故障或者Cycler不可用，继电器失电时，双夹持触发。

3） SG线圈或者MG线圈Rack Off Chain单一故障，双夹持触发。

4） SG线圈或者MG线圈整定电流信息传输到机架故障，双夹持触发。

2013 年11月 ，国内某CPR1000核电机组 1 号机主控操作员执行R棒下插1步操作，动棒未成功，电站计算机信息及控制系统（KIC）上显示有RGL001KA（RGL故障）、RGL005KA （棒控系统运行故障）、RGL006KA （RGL 运行故障）和 RGL009KA（PWE 机柜运行故障）。仪控人员现场检查发现 RGL016AR 机柜面板显示存在输出故障和运行故障，且机柜进入双夹持状态。

检查故障信号相关通道，未发现异常，重新进行功能验证，故障依然存在，怀疑控制器软件异常，执行控制器软件下装，验证R棒的提插功能后，RGL系统恢复正常。

根据现场RGL系统事件日志，最先触发的故障为输出故障 (output fault)，在输出故障触发的同时，机柜进入双夹持状态，并且输出运行故障（operation fault），此现象与输出故障逻辑相符。输出故障的逻辑如图4所示：

Figure 4.  Output fault logic diagram

此逻辑的目的是确保在任意时刻（除存在落棒指令或首次提棒），SG线圈和MG线圈机架至少有一个处于夹持状态，以防止落棒事件发生。由逻辑图可以看出，一旦机柜控制器逻辑检测到SG和MG机架同时处于释放状态，就会立即触发输出故障，并发送双夹持指令到动力机架。对机架夹持状态的检测是通过对控制器输出到动力机架（SG/MG）全电流指令（FC）和零电流指令（ZC）的回读（re-read）来实现的。逻辑对于SG或MG机架处于夹持与释放状态的判断准则是：当全电流回读指令出现并保持一段时间（对于SG机架，此时间为79 ms；对于MG机架，此时间为73 ms）后，逻辑即认为机架处于夹持状态；当零电流回读指令出现后，逻辑就立即认为机架处于释放状态。机柜出现输出故障，说明在故障时刻，逻辑判断SG和MG机架同时处于释放状态。

查看现场RGL系统报警视图，故障发生在控制器软件循环的 270 ms处。而故障时刻R棒正在执行插棒指令，插棒指令时序如图5所示：

Figure 5.  Rod insertion command sequence

从图5可以看出，在267 ms处，SG机架正好从全电流指令变成零电流指令，即逻辑中SG机架从夹持变成释放状态，而输出故障几乎在同一时刻（270 ms）触发，说明在270 ms时刻控制器认为 MG机架仍处于释放状态，但是在正常情况下，在 259 ms（186 ms+73 ms）时刻控制器就应当认为 MG机架处于夹持状态。所以控制器在270 ms未正确判断MG机架处于夹持状态是导致该故障发生的最直接原因。

可以看出系统软件缺陷是造成RGL系统双夹持故障的重要因素，造成系统软件缺陷的原因包括：（1）设计缺陷，未能针对可能的软件缺陷问题设置相应的监测与预警手段；（2）系统参数设置，参数设置应该准确说明参数调整作用以及会出现的问题；（3）系统中存在隐藏的功能缺陷。

实际工程中需要从以下两个方面给予关注：

1） MG机架的全电流指令回路或全电流回读信号回路接触是否不良。

2） RGL系统动力机柜控制器软件或参数问题。

本文简述了双夹持故障原理，并从其设计原理的角度，结合某CPR1000核电机组RGL系统双夹持故障案例的回溯，分析指出由于时刻控制器软件误判MG机架状态，从而输出错误信号导致了该双夹持故障触发。为防范由于系统软件缺陷对RGL系统造成不良影响，提出两点建议措施，并可为同类双夹持故障提供技术参考，保证RGL系统的安全运行。