基于Tricon平台的DCS软件测试技术研究
TRICON硬软件介绍
• 冗余=> 无单点故障
• Isolated architecture
• 隔离构造
• On-line repair possible
• 在线维护
• Triplication - Fully implemented. Transparent to user
• 三重化 -- 遍布于整个系统
• Diagnostics - Transparent to user
无单点故障 – 承受隔离技术，每一通道内部的 三重电路都是独立的.
Tricon TMR Architecture Tricon三重化构造
Input Termination
Auto Spare
Input Leg
A
Input Leg
B
Inห้องสมุดไป่ตู้ut Leg
C
I/O Bus
TriBus
Main Processor
Tricon System Hardware Introduction
Tricon 系统硬件及软件介绍
Tricon Hardware Architecture
Tricon 硬件构造
Tricon－Triple Modular Systems
Tricon－三重化模块式系统
• Over 6,300 TMR ESD/CPC Solutions Installed Worldwide
B
Main Processor
A
TriBus I/O Bus
TriBus I/O Bus
Main Processor
C
Auto Spare
Output Leg A
Output Leg B
Output Leg C
DCS系统与TRICON系统时钟同步施工方案
1 项目概况该项目是针对现场GPS的修复和相关装置时钟同步组态的检查完善工作提出的检修项目。
时钟同步组态检查完善涉及到多套控制系统有美国霍尼韦尔公司PKS控制系统, 康吉森公司的TRICON系统，西门子公司的STEP7系统。
2 组织机构组长：项目负责人施工及监护人员：3 材料/工具准备4 控制系统GPS功能恢复购买外部GPS时钟源接收天线，并进行更换。
对PKS系统时钟组态设置。
关于PKS系统设置外部GPS时钟源的设置方法,这里介绍两种模式：4.1 各系统单独和GPS时钟源连接假设GPS时钟源IP为：192.168.1.1我们以服务器A作为接受时钟的客户端IP地址为 10.1.1.13.在服务器A中按照C:\ProgramFiles\Honeywell\Experion PKS\Utilities\NTPSetup 路径打开NTPSetup.exe执行文件.如下图4-1:.图4-1点击change/configure client进入下图4-2图4-2在First ntp server中写入GPS时钟源的IP地址192.168.1.1，如下图4-3图4-3第二个不用填写。
完成后保存退出，而对于PKS其他操作站统一以服务器A作为时钟源，设置与服务器A设置方法相同，只是时钟源的IP地址填写填写服务器A的IP地址如图4-4图4-4完成这些设置以后需要重新启动控制器，但是如果现场条件不允许可以等到停车或者检修的时候再进行重启。
4.2 其他系统以PKS系统作为时钟源PKS系统以外部时钟GPS作为时钟源，而其他系统以PKS系统为时钟源，这时候需要PKS系统给其他系统一个信号，以每天的00:00:00给其他系统一个信号为例，其他系统根据这个信号统一修改自己的时钟，PKS系统的实现方法如下图4-5。
将最终信号送给一个DO点，以硬接线的方式实现信号传递给其他系统。
图4-54.2 TRICON系统以PKS系统作为时钟源来矫正内部时钟TRICON系统利用每天00:00:00时刻PKS系统发给TRICON系统的DO信号作为启动源，在每天00:00:00的时刻自动调整本系统CPU的内部时钟。
TRICON系统在ITCC中的应用
TRICON系统在ITCC中的应用蔡波【摘要】TRICON系统硬件是由美国TRICONEX公司生产.TRICON控制系统,在石油、化工、冶金、铁路等联锁、控制方面应用较广.下面针对TRICON的TS3000在中国神华煤制油化工有限公司鄂尔多斯煤制油分公司煤制氢装置K1301机组综合控制系统中的应用进行说明.【期刊名称】《内蒙古石油化工》【年(卷),期】2011(037)021【总页数】3页(P18-20)【关键词】TRICON系统;硬件;系统软件;上位机软件;DDE【作者】蔡波【作者单位】中国神华煤制油化工有限公司鄂尔多斯煤制油分公司,内蒙古,鄂尔多斯,017209【正文语种】中文【中图分类】TP273+.5;TQ许多生产装置及机组联锁控制系统由于没有采用冗余控制系统,在长周期运行情况下,造成生产装置停车事故频频发生。
为避免事故的发生,多数炼油、化工企业,已经采用三冗余容错控制系统。
目前在石油、化工、冶金、铁路等广泛应用的机组集成综合控制系统是美国TR ICON EX公司生产的TS-3000机组集成综合控制系统(机组集成综合控制系统包括:机组联锁,即ESD功能、SOE即事件顺序记录功能、还有指示、记录、控制功能及诊断功能等。
例如:典型的控制方案是防喘振控制功能,调速功能、P ID控制功能等),它由北京康吉森自动化设备有限责任公司集成。
下面从TS-3000应用中的硬件、通讯、系统软件、上位机应用软件等方面进行说明。
1.1 TS3000系统一般的配置一个主机架加1～3个扩展机架;配二至三套互为备用的操作站。
采用工程师站进行站进行编程组态或故障诊断,利用通讯卡可以与DCS进行通讯等。
1.2 主机架组成(见图1)第一个槽位为双冗余电源卡(任一电源卡能满足一个机架的全部负载),一个电源卡失效不会影响控制器的运行。
电源卡为上下分布,上边的电源兼系统故障报警显示;第二、三、四个槽位为三块互为冗余的主处理器CPU卡,现有3006、3007、3008三种。
某核电厂DCS(IA)系统概述
某核电厂DCS（IA）系统概述发表时间：2018-05-29T17:03:06.983Z 来源：《基层建设》2018年第7期作者：张俊龙[导读] 摘要：本文主要论述了某核电厂DCS（IA）的软硬件结构，并简单介绍了IA系统中重要设备的作用、功能和特点。
同时说明了IA系统和其他系统的外部接口、IA系统和1E tricon系统信号处理过程等。
中国核电工程有限公司华东分公司浙江嘉兴 314300 摘要：本文主要论述了某核电厂DCS（IA）的软硬件结构，并简单介绍了IA系统中重要设备的作用、功能和特点。
同时说明了IA系统和其他系统的外部接口、IA系统和1E tricon系统信号处理过程等。
关键词：IA DCS系统；核电厂；FBM；Mesh网1 某核电厂DCS现状某核电厂一层DCS用的是INVENSYS公司的IA平台（NC/NC+）和tricon（1E）平台，其中DAS和ATWT是依据IA平台搭建的。
DCS二层有Atos和TCN共同完成，TCN负责画面，Atos负责画面组态。
一二层有API服务器连接。
本文主要论述IA平台。
2 硬件一层IA DCS 设备有IO机柜、gateway机柜、服务器机柜、DAS机柜、Mesh网交换机及一层工作站等。
2.1 DCS控制机柜IA控制柜按安全级别可分为NC及NC+机柜，全部采用G12套装，控制柜尺寸800×800×2000。
内部控制器使用FCP270，IO卡件使用FBM200系列，内部供电采用冗余的电源模块，有220V AC、48V DC、24V DC三种类型，FBM及FCP采用24V DC供电。
前后柜门各装有一个报警指示灯，在以下三种情况下，报警灯会亮：a.机柜门开。
不管机柜正面门开还是机柜背面门开，两个指示灯都会亮。
b.机柜温度高。
在每个机柜内设有温度传感器，温度设定值在0～60℃可调，若机柜环境温度高于设定值，便会触发机柜报警。
因此，保持机柜内温度在可接受范围内，是机柜正常、长期可靠工作的重要条件之一。
DCS仿真软件的研究
华 东 理 工 大 学 学 报 Journal of East Ch ina U niversity of Science and T echno logyV o l .28增刊2002209收稿日期:2002204206作者简介:甄成刚(19642),男,博士生,研究方向为计算机仿真。
文章编号:100623080(2002)NN 2S 020096204DCS 仿真软件的研究甄成刚, 韩 璞3, 刘长良(华北电力大学仿真与控制技术研究所,保定071003) 摘要:DCS 仿真软件是以数据库为基础,采用面向对象的程序设计方法实现的。
本文分析了DCS 仿真软件的系统结构,并按功能设计了组态模块、实时驱动模块、网络通讯模块。
阐述了各模块的设计思想及实现方法。
关键词:DCS ;数据库;仿真中图分类号:T P 391.9文献标识码:ADCS Si m ulation Sof tware for Power StationZH EN Cheng 2g ang , H A N P u 3, L IU Chang 2liang(R esea rch Institu te of S i m u la tion and Con trol ,N orthCh ina E lectric P o w er U n iverity ,B aod ing 071003,Ch ina )Abstract :O n analyzing the system structu re of DCS si m u lati on softw are fo r pow er stati on ,it is divided in to several functi onal m odu les ,i.e .the grap h ic configu rati on m odu le ,the real 2ti m e driver m odu le and the netw o rk s comm un icati on m odu le and then devised resp ectively on the basis of database and ob ject 2o rien ted p rogramm ing .T he design m ethodo logy and i m p lem en tati on of m odu les are also discu ssed in th is p ap er .Key words :DCS ;database ;si m u lati on 随着电厂自动化水平的不断提高,电厂主控制室中盘台设备越来越少,取而代之的是功能完备的分散控制系统(DCS )及形式多样的各种操作员站[1]。
康吉森1_DCS系统与SIS系统的本质区别及TRICONEX硬件介绍
MTTF: Mean Time To Failure MTTR: Mean Time To Repair MTBF: Mean Time Between Failure MTBF = MTTF + MTTR Failure Rate: λ= 1/MTTF
PFDavg( Failure Rate)—Can’t refuse action
可靠性－不能 拒动
Availability—Can’t false action
可用性－不能 误动
Safety Control System Theory, Standards and Attestation安全控制 系统的理论、标准和认证 Theory:
程进行动态控制，确保产品的质量和产量； SIS是“静态”系统，正常工况时，它始终监视生产装置的运行，系统输出不变，
对生产过程不产生影响，非正常工况下时，它将按照预先的设计进行逻辑运算，
使生产装置安全联锁或停车； SIS比DCS在可靠性、可用性上要求更严格，IEC61508、IEC61511、ISA S84.01、 SH/T3018强烈推荐SIS与DCS硬件独立设置。 DCS用于生产过程的连续测量、常规控制（连续、顺序、间歇等）、操作控制管 理，保证生产装置的平稳运行；
其中CCR1包括7个部分： 乙烯-1，乙烯-2，丁二烯，芳烃抽提，苯乙烯，全压、常压灌区，苯类 灌区。 其中CCR2包括6个部分： 全密度乙烯，高密度乙烯，聚丙烯，聚苯乙烯，丁苯橡胶1号，丁苯橡 胶2号。 其中CCR3包括7个部分： 常减压，延迟焦化，80万焦化汽柴油加氢，加氢裂化，300万直馏柴油 加氢，制氢，硫磺回收。 具体情况见CAD.
TRICON Trident TMR系统介绍
TRIDENT TMR Analog Input Module
32 点，TMR 三重化的 A/D 转换器 精度无须手动校验 0.1% 满量程精度 回路自检并故障报警 无单点故障失效
B
电 路 或
表
决
Input Module
MPC
Output Module
器
C
C
C
件
Triconex TMR 的主要特点
1.
无单点故障停机
2.
全面的系统诊断
3.
在线维护
诊断功能集成在系统硬件和软件中，无须用户干预
TRIDENT 诊断系统覆盖率
高故障诊断覆盖率满足 IEC 61508 和SIL3 （Safety Integrity Level） 认证标准
功能块图逻辑在线监视
信号点监视面板
Tricon & Trident 比较
I/O count I/O type
Signal type Environment
TRICON 48-2,500 Full range 27 modules Full range Cabinet
TRIDENT 48 - 450
不同标准间的等效关系
99.999
0.00001
99.99
0.0001
99.90
0.001
3
99.00
0.01
2
90.00
0.1
1
AK8
8
核电厂DCS安全级应用软件的集成测试方法
核电厂DCS安全级应用软件的集成测试方法徐展;夏丹阳【摘要】核电厂DCS安全级系统是整个DCS系统的重要组成部分,确保核电厂DCS安全级系统应用软件的安全可靠性是至关重要的,软件验证和确认活动给核电厂安全可靠性提供了重要保障,这其中包括一些相关测试活动,软件集成测试是验证和确认活动的重要环节.本文遵循标准IEEE-1012软件验证与确认,针对安全级平台Tricon系统,给出了一套完整的软件集成测试方法.%The safety-level system is the most important part of the whole distributed control system (DCS) in nuclear power plant. It's important to ensure the safety and reliability of safety-level system application software for nuclear power plant. Software verification and validation provide the important protection for the safety and reliability of nuclear power plant, which include several related test activities. Software integration test is an important part of verification and validation activities. A useful and powerful method of the software integration test on Tricon system for safety related system is given in this article based on IEEE standard 1012 software verification and validation.【期刊名称】《自动化博览》【年(卷),期】2015(000)006【总页数】3页(P103-105)【关键词】软件集成测试;验证和确认;DCS安全级应用软件【作者】徐展;夏丹阳【作者单位】中核控制系统工程有限公司,北京100176;中核控制系统工程有限公司,北京100176【正文语种】中文【中图分类】TM623.8数字化技术已经在各工业领域得到了广泛成功的应用。
Tricon 系统硬件软件介绍
Tricon I/O 模块
5rator
Interrupt Controller
Floating Point Processor NS32381 Internal System Bus
DMA
Dual Port RAM Comm Processor
Dual Port RAM I/O Processor
Tricon系统 的组成
Up Stream
TriBus
Debug Comm Port
Fault Tolerant I/O Bus
Down Stream
Fault Tolerant Communication Bus
图片介绍
Up Stream Down Stream
图片介绍
康吉森
Tricon I/O模块 —— 主处理器模件（3）
Dual Power Rails
Tricon控制 器及其特点
Dual Power Regulators
Vcc
Failure Detect Circuitry
Status Indicators Main Processor NS32GX32
软件表决
Tricon系统 的组成
模拟量脉冲量输入信号，选择中值 诊断数据保存在 I/O 组件内
图片介绍
康吉森
Tricon I/O模块 —— 主处理器模件（1）
Tricon控制 器及其特点
Tricon I/O 模块
Tricon系统 的组成
图片介绍
康吉森
康吉森
Tricon I/O模块 —— 数字输入模件（1）
Independent triplicated signal conditioning, power and communications paths 独立的三重化的信号转换器、电源和通讯通道 Per point series/parallel Fault Tolerant Quad Voter hardware circuitry 串/并联容错的四方表决电路 Field Loopback Sensing Diagnostics 现场回路故障检测 No single point of failure 无单点故障 Opto isolation between channels 输出通道间光电隔离 Full noise immunity 抗干扰能力强 On-line replacement 在线更换 sources
DCS系统与TRICON系统时钟同步施工方案
DCS系统与TRICON系统时钟同步施工方案一、项目背景我们知道，DCS系统和TRICON系统是工业自动化领域的重要系统。
它们在运行过程中，需要保持时钟同步，以确保数据的一致性和准确性。
本项目旨在实现DCS系统与TRICON系统时钟同步，提高系统运行效率。
二、施工目标1.实现DCS系统与TRICON系统时钟同步，误差不超过1秒。
2.确保时钟同步后，系统运行稳定，数据传输无误。
3.提高系统抗干扰能力，降低故障率。
三、施工步骤1.准备工作（1）检查DCS系统和TRICON系统的硬件设备，确保设备完好、运行正常。
（2）了解DCS系统和TRICON系统的时钟同步原理，熟悉相关操作。
（3）准备好所需工具，如网线、交换机、时钟同步软件等。
2.网络搭建（1）根据现场情况，合理规划网络布局，确保网络畅通。
（2）连接DCS系统和TRICON系统的网络设备，配置IP地址。
（3）设置网络设备，使DCS系统和TRICON系统能够互相通信。
3.时钟同步配置（1）在DCS系统中，设置时钟同步源，如NTP服务器或GPS接收器。
（2）在TRICON系统中，设置时钟同步源，与DCS系统保持一致。
（3）配置时钟同步参数，如同步周期、同步精度等。
4.测试与调试（1）开启DCS系统和TRICON系统的时钟同步功能，观察同步效果。
（2）检查系统运行是否稳定，数据传输是否存在异常。
（3）针对发现的问题，调整时钟同步参数，直至满足要求。
5.系统优化与验收（1）对系统进行优化，提高时钟同步的稳定性和准确性。
（2）对系统进行验收，确保时钟同步效果达到预期目标。
四、注意事项1.在施工过程中，要确保设备安全，防止误操作导致设备损坏。
2.时钟同步配置时要仔细，避免参数设置错误。
3.测试与调试阶段，要密切关注系统运行情况，发现问题及时处理。
注意事项：1.确保网络稳定性施工中一旦发现网络波动，可能导致同步失败。
解决办法就是提前对网络进行充分测试，确保网络质量。
核电厂调试期间DCS最小控制系统设计
核电厂调试期间DCS最小控制系统设计张俊龙; 江润; 李康乐【期刊名称】《《化工自动化及仪表》》【年(卷),期】2019(046)011【总页数】6页(P937-942)【关键词】核电厂; I/A; tricon; 安全级; MESH网; DCS最小平台【作者】张俊龙; 江润; 李康乐【作者单位】中国核电工程有限公司华东分公司【正文语种】中文【中图分类】TH865核电厂调试过程中，PX(对二甲苯)泵房进水节点能否顺利完成关系到该节点之后的一系列重大里程碑节点能否如期实现。
某核电项目由于DCS设备延期到场，造成电厂控制系统不可用，制约着各项节点的顺利实现。
为了确保泵房进水等各节点的按时完成，依托现有设备搭建一个DCS最小控制系统，临时替代正式控制系统，以保证现场各项试验如期进行。
该项目DCS采用INVENSYS开发的数字化平台，总体上分为两部分：tricon平台和I/A平台，其中tricon平台是安全级仪控系统，主要用于反应堆保护系统和专设安全系统控制的实现；I/A平台是非安全级仪控系统，主要包括安全相关级(NC+)和非安全级(NC)，内部采用MESH网络通信，其功能主要是对电站的正常调节控制和监测[1]。
1 核电厂DCS系统结构1.1 DCS结构划分核电厂DCS主控制系统按照安全等级分为两部分：安全级DCS控制系统和非安全级DCS控制系统。
DCS是基于满足实时控制要求的工业计算机与网络通信技术、数据库技术、图形显示技术、过程控制与保护算法、I/O、流程画面、报警及运行规程等的自动组态编程技术而实现的[2]。
除承担电站机组的安全与经济运行等控制任务以外，还需承担重要的电站核安全监控与保护任务[3]。
按照功能划分，可以分为3层，即1层、2层、3层。
1层：DCS信息处理层，接收仪表、传感器及执行机构相关的信号并进行逻辑处理，通过网络传送信息给2层。
2层：操作、监视、历史趋势、报警层，即人机界面层，实现对电厂的正常运行。
TRICON系统实现堆芯冷却监测功能的可行性分析
123中国设备工程Engineer ing hina C P l ant中国设备工程 2018.03 （下）核电厂的堆芯冷却监测系统在正常、事故时、事故后不间断地监测堆芯温度分布、过冷裕量与压力容器水位等参数，这些参数属于事故后1级，因此系统可靠运行对机组的安全稳定有着重要的影响。
为满足该系统的高可靠性需求，本文提出利用TRICON 实现堆芯冷却监测功能，并分析其可行性。
1 系统要求1.1 系统功能堆芯冷却监测系统分为完全冗余独立的A、B 两列，每列采集如下信号：（1）15个K 型热电偶。
（2）12个1~5V 模拟量信号：2个冷却剂压力、3个稳压器压力、2个环路热管段温度、2个环路冷管段温度、1个窄量程差压、1个宽量程差压、1个参考量程差压。
（3）3个开关量信号：1个P10信号、两台主泵运转状态。
对上述信号进行处理，可以实现连续温度测量，监测堆芯温度、饱和温度和过冷余裕度，在主泵都不工作时监测压力容器水位精确数值，在至少一台主泵工作时指示监测压力容器水位趋势。
产生的主要监测信号有：（1）4个模拟量：窄量程水位、宽量程水位、堆芯饱和温度、堆芯最低过冷裕度。
（2）4个开关量：过冷裕度低报警、水位低报警、水位低低报警、系统失效报警。
1.2 系统指标系统运行需要满足如下指标：（1）系统工作电源：电压187~242V，频率47~53Hz，并且掉电10ms 不会产生故障或者电源重启的报警信号。
（2）运行环境：温度10~30℃；湿度≤80%。
（3）通道精度要满足：模拟量输入通道误差不超过±0.2%满量程；模拟量输出通道误差不超过±0.2%满量程；热电偶输入通道误差不超过±0.25%满量程。
（4）响应时间：包括信号的采集、处理和输出过程，总时间应小于5s。
（5）自检功能：系统具备自检功能，当执行自检时，系统功能不受影响，可定位出发生故障的部件，并具有就地指示功能。
（6）采用独立的输入、输出端子模件。
基于TRICON和SVDU安全级平台的PLM T3试验
装 过程以及封装 的材料本身都会极 大地提高产 品的成 本。组装芯 片以及封装 的成本可 以用一些 基本的成本再加上一些 随着封装 管脚 数增 多所施加 的增量成本来模拟 。 封装 成本＝ 基本封装成本＋ （ 每个管脚的成本 管脚数 目） 基本 封装成本主要 是由这个封装能够 散逸的最大功率 密度来决定 的 ， 低成本 的塑料封装其基 本成本可能只有数美元 ， 每增加
［ ３ 】 余永廉， 钟文耀． 电路学入 门与进 阶（ 下） 【 Ｍ］ ． 台北 ： 全华图书公司出版， １ ９ ９ ５ ．
（ 上接 第 ２ ４ ７ ５ 页）
３ ） 将 对应于 Ｄ Ｖ Ｎ ０ １ ７ Ｒ Ｓ Ｐ Ｌ Ｍ上 的Ｔ Ｅ ２ 开关 由 ３ （ Ｎ Ｏ Ｒ ＭＡ Ｌ ） 切至 Ｉ （ Ｔ Ｅ Ｓ Ｔ ） 。Ｓ Ｖ Ｄ Ｕ画面上 Ｔ Ｅ Ｓ Ｔ Ｅ ｎ ａ ｂ ｌ ｅ 一 ２ ｓ ｔ ａ ｔ ｕ ｓ 的“ Ａ ｃ ｔ ｉ ｖ ｅ ” 指示灯
品成本 中更大 的部 分。
６总 结
每一个处理 器都开始于一个 立意 。设计规 划是处理器设计 的第 一个步骤 ， 它也可能是其 中最重要 的一 步。也就是说 ， 设 计规
划要 回答 的是处理 器设计 的类 型 、 目标性能 、 设计 时间 、 没计人员 、 最终成本 的问题 。所 以 ， 设计 的真正挑 战是 如何充分地 了解 自
参 考 文献 ：
【 １ ］ ９ ０ ０ ＭＷ压水堆核 电站 系统 与设备［ Ｍ］ ． 北京 ： 原子能出版社， ２ ０ ０ ５ ．
［ ２ 】 Ｒ Ｐ Ｓ Ｓ ｙ ｓ ｔ ｅ ｍ Ｒ ｅ ｑ ｕ ｉ ｒ ｅ ｍｅ ｎ ｔ Ｓ ｐ ｅ ｃ ｉ ｆ ｉ ｃ ａ ｔ ｉ ｏ ｎ ， Ｎ ｕ ｃ ｌ ｅ ａ ｒ Ｐ ｏ ｗ ｅ ｒ Ｉ ｎ ｓ ｔ ｉ ｔ ｕ ｔ ｅ Ｏ ｆ Ｃ ｈ ｉ ｎ ａ ［ Ｚ ］ ． 【 ３ ］ Ｓ Ｖ Ｄ Ｕ Ｕ Ｓ Ｅ Ｒ’ Ｓ Ｇ Ｕ Ｉ Ｄ Ｅ ， Ｉ ｎ ｖ ｅ ｎ ｓ ｙ ｓ Ｔ ｒ ｉ ｃ ｏ ｎ ｅ ｘ ＠ 【 ｚ ］ ．
基于Tricon平台的安全级DCS多样性分析
基于Tricon平台的安全级DCS多样性分析宿俊海; 杨萌; 李颖【期刊名称】《《仪器仪表用户》》【年(卷),期】2019(026)004【总页数】3页(P86-87,56)【关键词】共因故障; 多样性; 安全级DCS【作者】宿俊海; 杨萌; 李颖【作者单位】中核控制系统工程有限公司北京 102401; 中国核电工程有限公司北京 100840【正文语种】中文【中图分类】TL362+70 引言作为一种清洁能源，核能日益受到重视。
但是核能又是一种非常特殊的能源，对安全有特殊的要求，一旦发生事故，会对环境和社会公众造成巨大的危害，后果不堪设想。
在福岛核事故之后，如何提高核电站可靠性，确保充分利用核能优势，又能将潜在风险降到最低，已成为业内普遍关注的问题。
DCS系统是核电站的神经中枢，可以确保核电站的正常运行；其中的安全级DCS 系统则可在异常工况下为核电站提供保护功能，即：在事故工况下能够安全停堆，并在事故发生后能够缓解事故，将事故后果限制在可接受的范围内。
随着数字化技术在核电站安全级DCS中的应用，其在带来便于维护、可用性强和可自诊断等优点的同时，也因为具有高集成性和复杂性的特点，使其无法进行全面测试，尤其不能证明软件没有错误，因而增加了发生共因故障的风险。
一旦发生共因故障，可能会使运行相同软件的冗余系统同时失效。
所以，共因故障是非常危险的。
因此，在核电站安全级DCS系统设计和实施过程中，必须采取针对性措施即多样性设计，以确保在发生共因故障时，核电站的安全功能得以正确执行。
1 安全级DCS多样性设计的目的和原则系统的多样性设计是克服共因故障，提高系统可靠性的重要手段[1]。
美国核管理委员会在NUREG/CR-6303-1994提出数字化的保护系统增加了软件共因故障的风险，需要通过多样性来克服共因故障[2]。
在该标准中，提出了多样性设计的原则。
在NUREG/CR-7007-2009中提出了在需要进行多样性设计时，如何进行满足要求的多样性设计的方法[3]。
Tricon系统硬件软件介绍
高度安全性 —— 取决于TMR硬件结构, 自诊断以及在线维修 高可用性 —— 消除误停车 高维护性 —— 在线更换故障卡件，不必停车，维护操作无 需培训
Tricon系统 的组成
C BBuuss
XXccvvrr
PPrroocc
PPooiinntt RReeggiisstteerr
图片介绍
FIELD CIRCUIT RY -- T YPICAL POINT (16)
A
Output Switch Drive Circuitry
A ?B
* A
Output Switch Drive Circuitry
图片介绍
康吉森 Tricon三重化结构的特点（3）
Tricon控制 器及其特点
Tricon I/O 模块
Tricon系统 的组成
图片介绍
硬件表决 通过三重化总线对数字量输入信号进行表决 在 DO 组件内实现数字量输出表决 在 AO 组件内实现模拟量输出选择表决
软件表决
Opto isolation between channels 输出通道间光电隔离
Full noise immunity 抗干扰能力强
On-line replacement 在线更换
康吉森 Tricon I/O模块 —— 数字输入模件（2）
Tricon控制 器及其特点
独立的三重化的信号转换器、电源和通讯通道
Per point series/parallel Fault Tolerant Quad Voter hardware circuitry
基于TRICON平台的反应堆保护系统外部输出连接T3试验优化
基于TRICON平台的反应堆保护系统外部输出连接T3试验
优化
李强
【期刊名称】《仪器仪表用户》
【年(卷),期】2018(025)003
【摘要】反应堆保护系统外部输出连接T3试验,是验证反应堆保护系统与第三方系统连接的重要方式.如果设计存在漏洞或者设备存在缺陷,试验可能导致目标设备的真实动作.本文介绍了基于TRICON平台的核电站数字化反应堆保护系统的结构和定期试验的目的,概括分析了两起外部输出连接T3试验引发柴油发电机真实动作事件的过程和根本原因,并提出了相应的优化方案.该方案的实施,可以极大地降低外部输出连接T3试验的风险,对同类型的电厂和厂家设计具有一定的参考意义.【总页数】5页(P85-89)
【作者】李强
【作者单位】中核武汉核电运行技术股份有限公司,武汉 430223
【正文语种】中文
【中图分类】TL36
【相关文献】
1.基于FirmSys平台的反应堆保护系统改造应用 [J], 王平;赵远洋;范欣欣;孟庆军;张弋
2.基于Tricon平台的保护系统T2试验研究及优化 [J], 夏浩
3.基于Tricon平台的核电厂反应堆保护系统单点失效导致机组停运的故障模式分析 [J], 王岩;许勇;高云飞
4.基于FitRel系统平台的多样化反应堆保护系统定期试验设计 [J], 陈鹏;李谢晋;罗炜;周继翔;蒋天植
5.基于FirmSys平台的核电厂反应堆保护系统设计 [J], 罗炜;王银丽;陈学坤;陈智;金远;杜枢;杨静瑞;吴启涛;侯丽强
因版权原因，仅展示原文概要，查看原文内容请购买。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
基于Tricon平台的DCS软件测试技术研究
摘要：福清核电厂采用数字化仪控技术，其1E级过程控制部分采用Tricon平台。
Tricon平台是比较成熟的DCS控制系统，具有高容错能力的可编程逻辑及过程控
制技术。
本文在介绍Tricon平台的基础上，对1E级机柜的软件测试和测试过程
中遇到的问题及其解决方案也进行了相应的介绍。
关键词：Tricon平台；软件测试
1 背景概述
在福清核电，数字化控制系统可分为不带抗震要求的非安全级（NC）、带抗
震要求的非安全级（NC+）和安全级（1E）三类[1]，其中NC和NC+级可以统一归为非安全级。
其中安全级主要完成在事故工况下的保护和事故缓解功能，主要包
括反应堆跳堆、专设安全设施控制、事故后监视等功能。
其中1E机柜采用Tricon
平台，实现了福清核电的反应堆保护系统的所有功能。
2 福清核电反应堆保护系统及Tricon平台介绍
2.1 福清核电反应堆保护系统介绍
福清核电1、2号机反应堆保护系统根据功能分为：反应堆停堆系统（RTS）
和专设安全设施驱动系统（ESFAS）。
RTS分为4个保护通道（IP、IIP、IIIP、IVP），每个保护通道由两个独立的子系统构成（Sub1、Sub2），四个保护组的子系统间相互交换“局部脱扣信号”。
每个保护通道的每个多样性子系统都要进行逻
辑表决（2/4、2/3或1/2）以产生紧急停堆信号。
ESFAS由两个保护系列组成（TrainA、TrainB），每个保护系列也包含两个子系统，子系统1和子系统2。
另外，RPR数据服务器（TrainA Server、TrainB Server）的主要功能是采集和处理并
将其送到安全级显示单元（S-VDU）进行显示，同时间S-VDU上发出的闭锁/复位
指令送到RTS或ESFAS。
同时服务器作为1E相关数据在KIC及BUP上进行显示；
两个A、B列服务器分别与A、B列的SVDU服务器通过网络相连接。
2.2 Tricon平台介绍
Tricon采用三重模件冗余（Triple Modular Redundant，TMR）结构实现容错。
系统由三个完全相同的系统支路组成（电源模件除外，该模件是双重冗余）。
每
个系统支路独立地执行控制程序，并与其它两个支路并行工作。
2.2.1 硬件介绍
一般地，一个基本的Tricon控制器由下列部件组成：主处理器、I/O模件、
通讯模件、用于安装模件的机架、现场连接线、以及一台TriStation PC。
每个Tricon系统需要三个主处理器，而每个主处理器独自操控一条支路。
每个主处理
器通过Tribus总线与其他主处理器通讯。
其中主处理器主要实现对送入主处理器
的数据进行表决、进行控制逻辑并将运算结果输送至输出模件等功能。
而I/O模件分为四种：数字量输入模件、数字量输出模件、模拟量输入模件
和模拟量输出模件。
其中数字量输入模件每5-10ms扫描输入点，并且3个通道
独立传输信号，传递的信号在主处理器中进行表决后的值才能被程序使用。
数字
量输出模件则获取从主处理器传达过来的输出指令。
模拟量输入模件仅接受电压
输入。
模拟量输出模件也有三条支路，正常输出时，三条支路只会有一条被选中，一旦发生错误，系统将停止使用出错的支路，并切换到其它正常的支路继续输出。
2.2.2 软件介绍
在福清核电站的Tricon系统中，采用Tristation 1131编写其控制程序。
在Tristation 1131软件中，可以使用三种程序语言：梯形图逻辑（LD）、功能块逻
辑（FBD）和结构语言逻辑（ST）。
而在福清核电站主要使用FBD和ST两种编程
语言。
3 福清核电1E机柜测试介绍
1E机柜测试是为了验证供货商提供的最终产品是否满足核电需求设计规格书
中的技术要求，以及验证是否满足核安全级产品所必须遵守的国内和国际相关法
规标准规范的要求，以确保机柜到达现场后的安装、调试和运行时能够具有良好
的质量[4]。
3.1福清核电1E软件测试过程
福清核电软件测试过程，大体可以分为软件测试用例编写、机柜出厂前预测
试和机柜出厂前测试。
软件测试用例的编写依据软件需求、系统需求和软件设计说明书，对软件测
试中的每一部分进行详细的说明。
软件测试用例根据现场的需求，分不同的模块，测试用例也根据测试的需求，大小不一。
机柜出厂前预测试是根据编写好的测试
用例对机柜进行测试，这时需要执行每一个测试用例，以发现Tricon系统的软件
或硬件问题。
3.2软件测试中遇到的问题及其解决方案
第三方接口功能测试主要验证Tricon的安全级软件输出到柴油机、堆芯控制
系统等第三方系统信号硬接线连接的完整性。
如安全级软件产生安注信号后，会
触发柴油机启动命令，对于安全级软件送出的柴油机启动命令，软件中将其分为
三个信号，分别LHP（Q）523EY1/523EY2/523EY3，三个信号经过硬接线送往柴油
机系统，柴油机侧有2/3逻辑触发柴油机启动，同时，1/3的逻辑产生的信号反
馈回测试反馈信号。
在柴油机接受侧，信号通过常开型继电器接受信号，如存在柴油机启动信号，则相应继电器闭合，启动信号消失，则继电器打开。
试验时，LHP（Q）
523EY1/523EY2/523EY3分别按照100->010->001进行试验，每一组信号持续5s。
这样，既可以通过1/3的逻辑检查反馈信号，又不至于2/3触发柴油机误启动。
在软件测试时，由于没有连接实际的柴油机系统，通过使用Cape采集Tricon侧
的开关量信号，在Cape系统中软件模拟2/3的柴油机触发逻辑和1/3的试验反馈信号。
在试验程序启动期间，持续监测柴油机触发信号和试验反馈信号变化是否
与试验输入信号100->010->010的试验顺序吻合。
由于Cape系统的扫描周期为
50-100ms左右，Tricon的扫描周期为50ms，Cape 数字量输入DI卡的和Tricon 数
字量输出DO卡的动作时间极短，可认为无滞后。
软件中试验信号按照100->010->010变化时，Cape模拟的柴油机侧也是按照100->010->010变化。
但在调试过程中，对处于热备用状态的柴油机进行试验时，由于柴油机侧的继电器有得电闭合
到失电断开的过程中，有2ms左右的滞后时间，导致在进行100->010->010试验
顺序时，柴油机侧的继电器的动作为100->110->（2ms后）010->011->（2ms后）001.这样导致在试验过程中，由于柴油机侧存在110或011的情况，导致有一定
概率经过2/3逻辑产生柴油机启动信号，从而误启柴油机。
该问题是现场设备的特殊性引起，在软件测试阶段无法模拟和预见该情况，
故在经过现场反馈后，调整软件中的试验信号的顺序为100->000->010->000->001，每组信号同样持续5s。
这样由于000信号的存在，可以使得柴油机侧的继电器有
足够的时间从得点闭合状态恢复到失电断开状态，不会导致柴油机误启动。
4 小结
本文在介绍1E机柜的反应堆保护系统前提下，详细介绍了Tricon平台的软
件和硬件，及1E机柜软件测试过程中遇到的问题及解决方案。
基于Tricon平台的1E级机柜测试，是一个非常重要的环节，为机组的正常运行提供了很大的保障，提高了机组运行的安全性。