2022年EJT 1223-2007 核电厂安全重要仪表和控制系统多路数据传输的功能要求.doc

ICS 27.120.20F 69备案号：21972-2007布发国防科学技术工业委员会20080301施行20071010发布核电厂平安重要仪表和操纵系统多路数据传输的功能要求Nuclear power plants-Instrumentation and control systems important to safety-Functional requirements for multiplexed data transmission（IEC 61500:1996,MOD）EJ/T 12232007中华人民共和国核行业标准EJ目 次前言II1 范围12 标准性援用文件13 术语和定义14 总要求24.1 实体分隔和设备功能隔离24.2 毛病检测和重新组态34.3 输入和输出信号34.4 软件44.5 硬件45 功能要求45.1 可靠性45.2 内部冗余和独立性45.3 电气隔离45.4 信息传输55.5 维修和试验特性56 试验66.1 功能试验66.2 设备鉴定6附录A(材料性附录) 典型的多路数据传输系统7A.1 典型的多路数据传输系统7A.1.1 保护系统多路器7A.1.2 操纵系统多路器7A.1.3 数据多路器7A.1.4 数据传输单元7A.2 典型的多路数据传输器7A.2.1 保护系统多路器7A.2.2 操纵多路器8A.2.3 数据多路器8A.2.4 数据传输单元8附录 B(材料性附录) 操纵响应9附录C(材料性附录) 参考环境10前言本标准修正采纳IEC 61500：1996核电厂-平安重要仪表和操纵系统-多路数据传输的功能要求（英文版），进一步解释了HAD102/14中4.12关于多路数据传输的要求。本标准与IEC 61500的主要技术差异在于：“1 范围”按照GJB 6000-2001的规定进展了改写，删去了一些说明性的内容；在“2 标准性援用文件”中，对已有相应国家标准、核行业标准、核平安法规或导则的国际标准和文件，改为我国的标准或法规文件，删去了未在标准正文中出现的标准；本标准援用的GB/T 15474-1995核电厂仪表和操纵系统及其供电设备平安分级将设备分为平安级设备（1E）、平安有关的设备（SR）和非平安重要设备（NS）。GB/T 15474是修正采纳IEC 61226:1993核电厂-平安重要仪表和操纵系统-分级，但在平安分级上稍有差异。IEC 61226将平安重要仪表和操纵系统的平安级别分为A级、B级、C级。GB/T 15474中的1E级对应IEC 61226中的A级，GB/T 15474中的SR级对应IEC 61226中的B级和C级；对5.5.2的格式做出修正；删去原文中的附录A，原文附录B在本标准中为附录A，原文附录C在本标准中为附录B，原文中的附录D在本标准中为附录C。本标准的附录A、附录B和附录C均为材料性附录。本标准由中国核工业集团公司提出。本标准由核工业标准化研究所归口。本标准起草单位：核工业第二研究设计院。本标准主要起草人：王彦君、唐涛、姜宏。核电厂平安重要仪表和操纵系统多路数据传输的功能要求1 范围本标准规定了核电厂平安级系统之间、平安级系统与平安有关系统之间、平安有关系统之间、平安重要系统与非平安重要系统之间多路数据传输的功能要求，给出了固定数据发送周期、单向、每个周期数据量没有明显变化的数据传输要求。本标准适用于多路信号调制、多路信号解调和用点对点的形式将数据从一个设备送到另一个设备的数据传输系统。本标准不适用于在计算机处理器、存储和逻辑单元之间的内部连接和数据传输。本标准不包括详细的设备技术标准，也不包括非平安重要系统之间或直截了当用于屏幕显示（VDU）设备的多路数据传输应用和局域网（LAN）技术。本标准也不涉及仪表操纵计算机系统内部的数据处理。2 标准性援用文件以下文件中的条款通过本标准的援用而成为本标准的条款。但凡注日期的援用文件，其随后所有的修正单（不包含订正的内容）或修订版均不适用于本标准，然而，鼓舞依照本标准达成协议的各方研究是否可使用这些文件的最新版本。但凡不注日期的援用文件，其最新版本适用于本标准。GB/T 4083-2005 核反响堆保护系统平安准则GB/T 4796 电工电子产品环境参数分类及其严酷程度分级GB/T 5963 反响堆保护系统的隔离准则GB/T 8993 核仪器环境条件与试验方法GB/T 11684 核仪器电磁环境条件与试验方法GB/T 12727-2002 核电厂平安系统电气设备质量鉴定GB/T 13625 核电厂平安系统电气设备抗震鉴定GB/T 13628-1992 核反响堆保护系统用于非平安目的准则GB/T 13630 核电厂操纵室的设计GB/T 13631 核电厂辅助操纵点设计准则GB/T 15474 核电厂仪表和操纵系统及其供电设备平安分级EJ/T 529-1990 用于核电厂平安重要系统数字计算机EJ/T 1058-1998 核电厂平安系统计算机软件HAD 102/10（1988） 核电厂保护系统及有关设备HAD 102/14（1988） 核电厂平安有关仪表和操纵系统HAD 102/16 核动力厂基于计算机的平安重要系统的软件IEC 62138 核电厂平安重要仪表和操纵系统执行B或C类功能的计算机系统软件3 术语和定义以下术语和定义适用于本标准。3.1多路数据传输 multiplexed data transmission在单个数据通道内采纳时间划分、频率划分、脉冲编码技术或类似方法将两个或更多信号或信息从一个地点到另一个地点的传输。3.2多路信号调制 multiplexing从多个通道搜集数据并进展处理，用于多路数据传输单元传递数据。3.3多路信号解调 demultiplexing复原从多路数据传输单元发送过来的数据，以构成一组信号，这组信号维持原有的值或状态，直到新的发送才刷新。3.4多路数据传输系统 multiplexed data transmission system包括调制解调设备、电缆/光缆和软件，用于信号传输、检查和随后使用的信号解调。它不包括用于预处理信号、处理解调后信号的硬件和软件。注1：核电厂包括保护功能、操纵功能以及与其他系统之间的多路数据传输功能。其中每一个功能能够有独立的多路数据传输系统，也能够集中几个功能到一个系统。系统之间通过点对点或多站点的连接。局域网能够用于在平安重要功能中连接几个互相通讯的单元。注2：本标准所规定的多路数据传输的范围参见附录A。3.5 冗余 redundancy设置数量多于最低需求的部件或系统（一样的或不同的）的一种措施，使得任一部件或系统的失效不致引起总体功能的丧失。3.6通道 channel系统内信息流传输的途径，该途径也能够要求冗余。4 总要求4.1 实体分隔和设备功能隔离4.1.1 实体分隔GB/T 5963的要求适用于平安重要多路数据传输系统的电缆。当使用光缆传输信号时，则不必满足GB/T 5963关于动力电缆和信号电缆实体分隔的要求。不管是传递电信号依然光信号，优选的实体分隔和保护多路数据传输系统电缆/光缆的方法是：使用专用封闭托盘或通道，从而防止各种灾祸的妨碍。4.1.2 设备功能隔离假如要求设备隔离，应使用不同的硬件设备分别完成多路调制功能、接收和发送功能以及应用功能。应用软件应与用于调制、接收和发送功能的系统软件分开。用于数据传输功能的硬件和软件应与用于相关信号预处理和后处理功能的硬件和软件分开。用于对信号和信息进展数学和逻辑运算的软件模块应与用于数据传输和信息检查的软件模块分开。这将降低复杂度并简化验证和确认。平安系统之间的多路数据传输通道应只单向发送信息。由接收系统发送确实认失效或其他信号不应阻碍发送系统正确执行其功能。应由发送系统操纵此类通道。平安系统的多路数据传输通道只能发送信息。它在正常在线运转时，不应接收来自于平安级别较低系统的信息。接收系统发出确实认失效或其他信号不能阻碍发送系统正确执行其功能。应由平安级别较高的系统操纵此类通道。来自平安有关系统或平安有关系统之间的多路数据传输通道只能由平安级别高的系统向平安级别一样或较低的系统发送信息。接收系统发出确实认失效或其他信号不能阻碍发送系统正确执行其功能。应由发送系统操纵此类通道。不同平安级别之间应通过隔离缓冲组件连接，以防止对较高平安级别系统的电气和功能干扰。4.2 毛病检测和重新组态4.2.1 毛病检测HAD 102/14中4.12要求多路数据传输系统应具有毛病检测特性。按照EJ/T 529-1990的5.2和EJ/T 1058-1998的5.8，多路数据传输系统应提供毛病检测装置。应检测出以下毛病并向操纵员发出警告：a） 发送或接收的数据“位”毛病；b） 发送或接收的“信息块”毛病；c） 由于毛病，重复发送一样的信息块；d） 由于毛病或其他缘故，发送器或接收器独占发送设备；e） 冗余通道间传输的数据存在不一致；f） 进程或响应时间错误。HAD 102/14的4.12要求：假如提供过失检测装置来改善信号传输以满足可靠性目的，则应能够验证这些检测装置的运转情况是否良好。当系统包含自动纠错设备时，应满足该要求。当系统只具备过失检测功能而不具备纠错功能时，传输方法、设备和电缆应有足够的抗干扰才能。平安系统不应同意自动纠错。当多路信号调制或解调初始化时，应在多路调制器或解调器进入在线状态之前进展毛病检测。毛病检测处理应鉴别每个多路调制器或解调器是否可用或毛病并提供适当的信息和报警。4.2.2 毛病响应假如检测到输入信号毛病或信息没有被正确接收，多路数据传输系统应提供相应的信息，以便平安重要的仪表和操纵系统采取适当的动作，加强电厂平安。当探测到多路数据传输系统毛病或输入信号毛病时，发送或接收设备能够采取以下动作：a) 重新组态，使得系统接着运转，同时向操纵员给出毛病指示；b) 隔离发生毛病的传输途径；c) 提供信号有效性标识，以指明发生毛病的输入信号或由于设备毛病而不可用的信号。能够在显示器或日志中指示出这些信号；d) 提供信号有效性标识，使得操纵操作或保护动作按照预先规定的方式动作；e) 提供信号有效性标识，从而用指示或报警表示一个明确的状态。能够通过指示器的满量程或低于零刻度、报警装置或灯直截了当地表示出毛病状态，或当操纵员进展操作时，发出警告。4.2.3 系统毛病缘故多路数据传输系统可能发生系统的几个冗余部分同时出现毛病的情况。为排除或减少几个部件同时发生毛病的可能性，在设计时应考虑外部事件对设备造成的共模毛病，例如：a) 地震破坏或其他外部灾祸；b) 设备或电缆区火灾或烟的妨碍；c) 由于丧失环境操纵、加热或通风、过量放射性或其他妨碍多路数据传输系统的要素引起设备毛病；d) 多路数据传输系统的硬件或软件的共模毛病。在设计中所考虑的毛病应构成文件。4.3 输入和输出信号用于数据采集的多路数据传输系统应能够处理选择的标准仪表信号（例如：4mA20mA、0V5V热电偶信号、热电阻信号）以及标准状态（例如：触点闭合、0mA10mA）检测，或能够直截了当处理智能传感器（满足公认的标准协议）送来的信号。多路数据传输系统能够支持的输出设备包括白炽灯、发光二极管（LED）、用于开关柜接口的标准继电器和电磁阀。多路数据传输系统通过数模转换能够用标准信号（例如：4mA20mA）驱动指示仪或记录仪。当供电发生毛病时，多路设备输出信号以及回路能够被置于预定的输出状态。能够使用反响信号确认每个输出的状态。4.4 软件4.4.1 一般要求HAD 102/16和EJ/T 1058-1998的要求适用于平安重要的多路数据传输系统软件。对以下情况，使用成熟的系统软件是适当的：a) 多路数据传输的操纵；b) 多路数据传输组的任务排序；c) 仅由数据表定义的特别功能。它们能够是针对信号特性的组态和校验数据，或用于操纵、联锁或顺控的模件组态数据。非平安重要的多路数据传输系统的软件毛病不应妨碍平安重要设备的平安。低平安级别的多路数据传输系统的软件毛病不应妨碍高平安级别系统的平安。用于定义校准、阈值、系统设置和功能的数据，依照其平安等级，应按照相应等级软件的要求进展验证和确认。4.4.2 平安有关系统HAD 102/14的4.11给出了平安有关系统使用数字计算机系统应服从的原则。用于平安有关多路数据传输系统的软件（包括固件）应按照IEC 62138的要求来执行。4.5 硬件平安级多路数据传输系统应满足EJ/T 529-1990的要求。用于平安有关多路数据传输系统以及用于从平安重要系统向非平安重要系统传输的设备，应按照EJ/T 529-1990来评价。与EJ/T 529-1990要求不一致的的地点，要证明其潜在的毛病不会妨碍平安或平安有关功能。5 功能要求5.1 可靠性确定适用于模仿量或触点的输出以及输入的模件组时，应考虑系统的要求。关于平安系统的多路数据传输系统，应规定可靠性指标要求。这个要求应与相关系统的可靠性要求一致，并应进展评价以说明满足了这一可靠性的要求。多路数据传输系统由单独的一套设备构成，通过该套设备传输多个信号。因而它的可靠性应比任何单个仪表回路或操纵通道高。对每个所用的多路数据传输系统，都应分析其毛病效应。按照这个要求，一个搜集多于50个输入信号的多路数据传输系统，单一毛病不应使全部信息丧失。注：从工程的角度考虑，获得硬件模块化的可能的措施有：a） 操纵或供电的单一毛病应使全部输入或输出仍然可用。最低要求是：当发生此类毛病时，50%的全部输入或输出信号要保持可用；b） 单个多路输入组件的毛病不会引起多于8个模仿信号或16个开关量信号的丧失；c） 单个多路输出组件的毛病不会引起多于8个信号的丧失。应能通过单个插件的简单插拔更换来完全恢复可用性。5.2 内部冗余和独立性多路数据传输系统应设计成毛病不会在系统内部扩散，或扩散到另一系统。应依照可靠性要求确定内部冗余。为到达要求的可靠性，多路数据传输系统内部可能需要冗余的通道。当多路数据传输系统用于表决系统时，通道内部的冗余度应依照产生虚伪信号的频率(误动率)和当要求时不能动作的概率(拒动率)来确定。对误动率和拒动率的评价应结合表决逻辑一起来进展。5.3 电气隔离平安重要多路数据传输系统与其他系统的电气隔离应满足GB/T 13628-1992的第6章以及GB/T 4083-2005的5.5的要求。电气隔离所需的详细值取决于电厂供电电压以及电厂的特别要求。关于信息和操纵系统，优选的隔离方法是通过光纤连接或光电隔离器。在多路数据传输系统与连接的设备之间应进展互相隔离。这种隔离应足以防止连接的设备和电缆的毛病妨碍多路数据传输系统运转。连接的设备包括传感器、信号触点、供电电源以及其他多路数据传输系统。应评价可能妨碍设备和连接电缆的最高电压等级。假如电压低于150V，应按150V交流峰峰值或直流150V提供隔离。假如电压高于150V，应按1000V交流峰峰值或直流1000V提供隔离。应考虑直截了当或由于电缆毛病而施加于任何设备端子或插头/插座连接点上的电压。多路数据传输系统以及连接的设备都应满足这个要求。如在回路中应用了光电或变压器隔离、继电器线圈或触点隔离，能够通过理论来说明满足电气隔离的要求，但还应用型式试验来证明。按规定施加在连接的设备上的电压不应导致多路数据传输系统丧失其功能。按规定施加在多路数据传输系统上的电压不应导致连接的设备丧失其功能。连至多路数据传输系统的电缆或系统内部电缆与600V交流峰峰值或直流600V以上的电缆之间的间隔应不小于300mm。5.4 信息传输5.4.1 信息特点多路数据传输系统发送的信息应符合国际通用的格式和协议。应特别考虑信息的最大长度、信息传送的循环周期以及与通讯带宽和响应时间相关的传输系统才能。应细心评价通讯使用的CPU在峰值和异常情况下的负荷。通讯使用的CPU负荷在不同的电厂工况下或多路数据传输系统毛病的情况下不应有明显的变化。5.4.2 响应时间和循环周期多路数据传输系统应以连续的定周期方式运转，传输信息的数量或信息长度不应有明显变化。电厂和设备的不同情况以及毛病不应引起时间的不一致或信息的过负荷。信息的循环周期应与连接设备功能的时间要求相习惯。多路数据传输系统对操作（例如操纵开关动作）的响应，以及灯或指示仪对电厂状态的响应应按照GB/T 13630和GB/T 13631进展评价，参见附录B。5.5 维修和试验特性5.5.1 一般要求EJ/T 529-1990第10章有关维修和试验的要求适用于平安重要的多路数据传输系统。HAD 102/10的7.10(可试验性)、7.11（运转旁路）和7.12（接近保护系统设备的操纵）适用于平安级多路数据传输系统。HAD 102/14的4.5（可试验性）、4.6（可维修性）适用于平安有关多路数据传输系统。5.5.2 试验要求5.5.2.1 EJ/T 1058-1998和EJ/T 529-1990要求多路数据传输系统应具有自检的才能。多路数据传输系统应能够在电厂运转时进展试验。除非电厂平安功能可靠性分析规定了不同的定期试验时间间隔，否则，每年至少应进展一次试验，以测试多路数据传输系统能否正确运转。5.5.2.2 HAD 102/14的4.12 (2)4.12（5）要求提供适当的手段来测试多路数据传输系统。对没有运转的设备能够进展以下试验：a) 改变任意输入信号的状态或值，并在接收设备上监视变化；b) 中断发送，并确认接收设备探测到发送中断并采取正确的动作；c) 按照HAD 102/10的7.10.2的要求对平安重要系统的传感器进展试验和校准；d) 按照HAD 102/10的7.10.3的要求对平安重要系统的输出驱动器进展试验。5.5.2.3 HAD 102/14的4.12(3)要求应提供措施检查模数转换器的刻度漂移。应提供手段以便在设备运转时检查模数转换器（ADC）或数模转换器（DAC）的刻度漂移。为此目的可采纳定期参考电压和在ADC或DAC读出装置设置报警的方法。应提供短期刻度漂移的自动补偿功能。5.5.2.4 HAD 102/14的4.12(4)要求提供手段以便每次检查多路数据传输系统的一个输入。下面给出检查方法的导则：a) 应提供检查运转设备的模仿量输入信号是否超出量程的方法。还应提供检查开路或短路状态的方法。在毛病和超量程状态下，应对ADC提供的值和各个相关的被处理值规定标识码。这个标识应提供应相关信号的所有后续处理过程；b) 应提供运转设备的触点输入信号和信号组的毛病探测和指示的方法。应提供检查触点和电缆接地毛病以及输入处理毛病的方法。存在毛病的信号组应给出毛病指示，该指示应提供应相关信号的所有后续处理过程；c) 应提供从多路数据传输系统端子测试输入信号的方法。应提供用于此目的的VDU，这在安装和维修期间尤为重要。6 试验6.1 功能试验应按照HAD 102/14的4.4和HAD 102/10的7.9通过功能试验对多路数据传输系统进展鉴定。在这个过程中，应进展设备组件的型式试验，或提供在此之前已经按照GB/T 12727-2002的5.4进展过型式试验的证明。功能试验应包括在大量信息和高发送频率等极限条件下的试验。应证明信息的传送才能与设计才能相符合。在使用随机访咨询方式的场合，应进展模仿瞬态工况和峰值负荷的专门试验。6.2 设备鉴定多路数据传输系统应按GB/T 15474进展平安分级，并进展相应的环境质量鉴定。平安级多路数据传输系统应按照GB/T 12727-2002和GB/T 13625进展鉴定。这些文件要求对典型配置进展设备鉴定试验，以证明平安级多路数据传输系统能够满足以下要求：a) 当需要它们将反响堆带入平安状态时，即便在最恶劣的温度和湿度条件下也能执行其平安功能；b) 能够在正常操纵的环境范围内执行其功能。能够在正常环境的极限情况下，执行其功能而不失效。鉴定的参考环境参见附录C。附 录 A (材料性附录)典型的多路数据传输系统A.1 典型的多路数据传输系统A.1.1 保护系统多路器保护系统多路器（1E级系统），用于：a) 采集仪表测量值；b) 向驱动器发送保护命令；c) 向驱动器发送操纵室开关命令；d) 向操纵系统发送保护信号。A.1.2 操纵系统多路器构成系统一部分的操纵多路器，主要用于：a) 读取电厂状态并进展处理，将值或状态送往操纵室；b) 读取操纵室开关命令并进展处理，操作驱动器。能够由一个双向传输的多路数据传输系统执行功能a）和b）。A.1.3 数据多路器构成系统一部分的数据多路器，用于平安重要系统，它采集仪表信号并处理，发送处理结果。A.1.4 数据传输单元数据传输单元用于从平安重要系统向其他非平安重要系统传输信息。A.2 典型的多路数据传输器在以下每种情况中，“Mx”和“DMx”分别代表多路调制器和多路解调器。连接的线路能够是带有适当备用或具有重新组态特性的冗余通道。A.2.1 保护系统多路器保护系统多路器见图A.1至图A.4。MxDMx电厂参数 表决逻辑和设备状态 数据采集和传输 接收和处理图A.1MxDMx保护逻辑 驱动器数据传输 接收和处理图A.2MxDMx操纵室开关 驱动器数据采集和传输 接收和处理图A.3 平安系统 平安有关系统MxDMx 保护信号 操纵系统数据采集和传输 接收和处理隔离图A.4A.2.2 操纵多路器操纵多路器见图A.5和图A.6。MxDMx电厂参数 操纵室和设备状态数据采集和传输 接收和处理图A.5MxDMx操纵室开关 驱动器 数据采集和传输 接收和处理图A.6A.2.3 数据多路器多路器见图A.7。平安重要系统MxDMx电厂参数 显示、日志和设备状态数据采集和传输 接收和处理图A.7A.2.4 数据传输单元数据传输单元见图A.8。 平安重要系统 非平安重要系统MxDMx数据源 用户隔离图A.8附 录 B (材料性附录)操纵响应经历说明，核电厂的操纵员希望操纵响应具有以下时间特性：a) 对开/关或启/停功能，从操作一个操纵开关到指示出设备状态变化的响应时间在扣除设备动作需要的时间后应是1s；b) 对一个调理操作，从发出命令到显示出被调理流体状态的响应时间不大于被调理流体对操纵操作固有的响应时间的20%；c) 对一个调理阀位的操纵，从发出命令到显示出阀位变化的响应时间在1s以内，对某些类型的阀门，3s的响应时间是合理的。附 录 C (材料性附录)参考环境GB/T 12727-2002和GB/T 13625给出了平安级设备的质量鉴定要求。平安有关级设备的要求按照GB/T 15474来确定。设备制造厂应特别留意以下参考环境和要素：a）通常有必要评价最大辐射剂量率，假如需要应针对典型模件进展辐照试验。此外，还应考虑可能的大气污染物。b）通常还要求针对多路数据传输系统所处位置的环境进展鉴定试验。在GB/T 8993、GB/T 4796和GB/T 11684中给出了这方面的要求。c）正常环境制造厂应注明，多路数据传输系统可能位于正常可控的环境，也可能位于环境不可控的电厂设备间和开关柜房间。由于空调失效或处于极端的条件下，设备可能会暴露在恶劣的温度、湿度和压力环境下。d）事故环境在事故情况下，最大剂量可能到达1000Gy，仪控设备间或开关柜房间典型的辐射水平在1Sv/h50Sv/h范围内。平安级设备可能位于平安壳内或位于当发生严峻反响堆事故时会承受蒸汽释放和高放射性的环境。如今放射性可能到达上述情况下的100倍。在这种情况下，需要评价该设备在反响堆事故后所承担的功能，并需要针对这种环境进展设备鉴定。e）抗震要求可能要求多路数据传输系统在地震情况下和/或地震后运转。在这种情况下，一般要求设备进展抗震试验、抗震设计评价或鉴定。f）假如在有高能雷电冲击的环境工作，要求外部连接设备应具有抗2.5kV的干扰和浪涌的才能。