核電站儀控系統(tǒng)可靠性和可用性分析計算

任莉華 郎愛國 李世欣 吳彩霞

(環(huán)境保護部核與輻射安全中心，北京 100082)

0 引言

儀控系統(tǒng)是整個核電站的“中樞神經(jīng)”系統(tǒng)，它對確保核電站的安全、經(jīng)濟運行起著至關(guān)重要的作用。隨著控制系統(tǒng)從傳統(tǒng)的常規(guī)儀表向數(shù)字化的計算機控制系統(tǒng)方向發(fā)展，原有核電站分島控制的格局逐步被打破，形成了新一代的基于數(shù)字通信網(wǎng)絡(luò)的全數(shù)字化儀控系統(tǒng)。核電站數(shù)字化儀控系統(tǒng)將成熟的常規(guī)電站分布式控制系統(tǒng)(distributed control system，DCS)加以移植改進，并全面應(yīng)用在核島、常規(guī)島、輔助廠房部分。全數(shù)字化儀控系統(tǒng)已有在國內(nèi)外新建和改造核電站項目中成功應(yīng)用的實例，這些應(yīng)用證明了建設(shè)全數(shù)字化儀控系統(tǒng)的重要意義和經(jīng)濟性。

核電站的安全問題一直是核電發(fā)展的重要課題，儀控系統(tǒng)作為核電站的神經(jīng)系統(tǒng)，其安全可靠性要求是非常嚴格的［1］。伴隨著儀控系統(tǒng)的發(fā)展，尚無一種得到廣泛接受的數(shù)字化儀控系統(tǒng)可靠性建模方法［2］，如何分析和計算數(shù)字化儀控系統(tǒng)的安全性、可靠性、可用性和可維護性，還缺少標準規(guī)范的方法和統(tǒng)一的結(jié)論，研究數(shù)字化儀控系統(tǒng)的可靠性分析和計算方法在核電站的應(yīng)用就顯得尤為迫切。新技術(shù)的采用不能以降低系統(tǒng)可靠性和可用性為代價［3］。本文介紹了典型的核電站數(shù)字化儀控系統(tǒng)中所采用的各種高可靠性技術(shù)，提出了一種分析和計算儀控系統(tǒng)可靠性和可用性的方法。該方法將儀控系統(tǒng)劃分為現(xiàn)場控制層、系統(tǒng)服務(wù)層、監(jiān)測控制層等子系統(tǒng)，利用可用性框圖，分別計算每個子系統(tǒng)可靠性參數(shù)，然后通過系統(tǒng)可用性框圖，計算出整個系統(tǒng)的可靠性參數(shù)。

1 核電站儀控系統(tǒng)

對于一個完整的核電站來說，目前比較公認的自動化控制系統(tǒng)結(jié)構(gòu)分級是將整個系統(tǒng)縱向地從底層到高層分為四級，稱為Level 0 到Level 3。Level 0 為現(xiàn)場儀表級自動化設(shè)備，主要包括傳感器、變送器、執(zhí)行器等。這個級別的設(shè)備基本上由儀表類的產(chǎn)品組成。Level 1 為現(xiàn)場控制級自動化設(shè)備，主要包括將現(xiàn)場儀表的模擬信號轉(zhuǎn)化為數(shù)字化過程數(shù)據(jù)的過程輸入輸出設(shè)備和執(zhí)行回路控制、邏輯控制和順序控制的現(xiàn)場控制器。這個級別的自動化設(shè)備一般由可編程序控制器(programmable logic controller，PLC)或分布式控制系統(tǒng)(DCS)組成。Level 2 為監(jiān)督控制級自動化設(shè)備，主要包括過程數(shù)據(jù)的集中處理和存貯設(shè)備以及人機界面設(shè)備。這個級別的設(shè)備主要由多臺計算機(服務(wù)器、工作站等)以及將這些計算機連接在一起的計算機局域網(wǎng)絡(luò)組成。Level 3 是核電站全廠管理級自動化設(shè)備，主要由多臺廠級管理計算機和連接各計算機的廠域計算機網(wǎng)絡(luò)或廣域網(wǎng)組成。

1.1 系統(tǒng)結(jié)構(gòu)

圖1 為百萬千瓦級壓水堆核電機組的全數(shù)字化儀控系統(tǒng)的典型系統(tǒng)結(jié)構(gòu)圖，該系統(tǒng)主要由現(xiàn)場控制層、系統(tǒng)服務(wù)層和監(jiān)測控制層三層組成，完成數(shù)據(jù)采集和數(shù)據(jù)集中處理功能。儀控系統(tǒng)是核島、常規(guī)島及其輔助設(shè)備在正常運行工況、系統(tǒng)檢修工況、事故工況及事故后工況等場合下的重要監(jiān)視手段，為操作人員及其他有關(guān)人員提供正常操作、事故診斷及其事故后分析所需的各種信息，完成現(xiàn)場開關(guān)量和模擬量數(shù)據(jù)采集與處理、報警處理和顯示監(jiān)視、日志記錄、歷史數(shù)據(jù)管理、報表打印等功能。

圖1 典型核電站數(shù)字化儀控系統(tǒng)結(jié)構(gòu)圖Fig.1 Typical system architecture of I＆Csystem for nuclear power plant

整個系統(tǒng)構(gòu)架分為三個層次。

①現(xiàn)場控制層:主要包括控制器、過程I/O 模塊等?？刂破魍ㄟ^現(xiàn)場總線與I/O 進行通信，I/O 設(shè)備將采集數(shù)據(jù)傳輸給控制器，控制器進行算法運算并將信息發(fā)送給I/O 設(shè)備進行輸出。

②系統(tǒng)服務(wù)層:主要包括核島(NI)實時服務(wù)器、常規(guī)島(CI)實時服務(wù)器、計算服務(wù)器和歷史服務(wù)器等。服務(wù)器分別與監(jiān)控層操作站和現(xiàn)場控制層控制器連接，一方面接收控制器中的采集和運算的數(shù)據(jù)，另一方面發(fā)送監(jiān)控層的控制指令給控制器。

③監(jiān)測控制層:主要包括各類操作員站和工程師站等。通過從服務(wù)器獲取各種數(shù)據(jù)信息并進行顯示，將人機交互的控制指令等信息傳遞給服務(wù)器。

1.2 高可靠性和高可用性設(shè)計

核電站的高安全標準對相應(yīng)控制系統(tǒng)的安全性和可靠性提出了高要求［4］，儀控系統(tǒng)應(yīng)采用有效的設(shè)計方法和技術(shù)方案來提高系統(tǒng)的可靠性和可用性，以滿足系統(tǒng)安全可靠運行的要求。

(1)控制站硬件可靠性設(shè)計。

相對常規(guī)控制系統(tǒng)，核電儀控系統(tǒng)對硬件模塊的可靠性提出了更高的要求。在核電產(chǎn)品的研發(fā)過程中，應(yīng)全面應(yīng)用電子可靠性設(shè)計的理論和方法，并廣泛借鑒通信、航空、航天等領(lǐng)域的電子可靠性設(shè)計的最佳實踐，建設(shè)滿足核電硬件產(chǎn)品研發(fā)制造的高可靠平臺。

核電儀控系統(tǒng)最小組成單元是電子元器件，其質(zhì)量與可靠性是保證整個儀控系統(tǒng)可靠性的基礎(chǔ)［5］。在進行硬件模塊設(shè)計時，應(yīng)根據(jù)各個硬件模塊內(nèi)電阻、電容、電感、二極管、三極管、集成電路等元器件種類和數(shù)目，參考國家軍用標準《GJBZ 299C-2006 電子設(shè)備可靠性預(yù)計手冊》［6］，計算相應(yīng)硬件模塊的工作失效率和平均故障間隔(mean time between failures，MTBF)。典型的硬件模塊可靠性預(yù)測計算如表1 所示。

表1 硬件模塊可靠性預(yù)測Tab. 1 Reliability prediction for a typical hardware module

續(xù)表1

失效率為9.628 780，平均故障間隔時間MTBF =1/總失效率× 106× 103 855. 32。數(shù)據(jù)依據(jù):GJB/Z 299C-2006。每個I/O 模塊的通道電路都應(yīng)采用獨立的電路設(shè)計，進行有效的通道隔離和通道診斷設(shè)計，減少通道間的耦合性，保證模塊在單通道故障不會對模塊的其他通道帶來影響和干擾。

在系統(tǒng)設(shè)計中，采用冗余技術(shù)是提高控制系統(tǒng)可靠性的有效方法和主要措施。冗余控制使得系統(tǒng)在運行時不受局部單一故障的影響，可實現(xiàn)在線更換和維護。同時，故障部件離線修理不影響系統(tǒng)正常運行，從而可達到提高系統(tǒng)可靠性和降低失效率的目的［7］。整個控制站采用雙電源、雙CPU 控制器和雙通信總線的冗余配置設(shè)計方案，如圖2 所示，減少了系統(tǒng)停機的概率，提高了系統(tǒng)的可靠性。

圖2 控制站冗余設(shè)計Fig. 2 Redundant design of the control station

機籠的電源模塊采用冗余配置，當一個電源模塊故障后，另一個電源模塊仍可為機籠提供足夠的功率。CPU 控制器模塊也采用冗余配置，當一個控制器模塊故障后，自動切換到另一個控制器模塊工作。

(2)集群式多重冗余服務(wù)器架構(gòu)。

核電站數(shù)字化系統(tǒng)采用統(tǒng)一系統(tǒng)架構(gòu)，實現(xiàn)對核島、常規(guī)島和輔機系統(tǒng)的一體化監(jiān)控，系統(tǒng)I/O 點數(shù)規(guī)模由幾千點擴大到幾萬點，這對儀控系統(tǒng)的處理能力提出了更高的要求。為滿足上述需求，系統(tǒng)采用了集群式數(shù)據(jù)服務(wù)器結(jié)構(gòu)，支持多臺甚至數(shù)10 臺冗余服務(wù)器協(xié)同工作，滿足單一故障準則和防止共模故障［8］。系統(tǒng)服務(wù)器根據(jù)不同功能可以劃分為核島(NI)實時服務(wù)器、常規(guī)島(CI)實時服務(wù)器、歷時服務(wù)器、計算服務(wù)器、通信服務(wù)器和配置服務(wù)器［9］。

實時服務(wù)器采用雙冗余設(shè)置，完成實時采集和處理、實時數(shù)據(jù)庫管理和存取和系統(tǒng)下裝等功能。其中，核島(NI)實時服務(wù)器覆蓋核島側(cè)，常規(guī)島(CI)實時服務(wù)器覆蓋常規(guī)島側(cè)和輔助系統(tǒng)。這些實時服務(wù)器收集和提供實時電廠數(shù)據(jù)，并將數(shù)據(jù)存儲在各自的數(shù)據(jù)庫。

計算服務(wù)器接收來自核島和常規(guī)島實時服務(wù)器的報警和事件信息，整理和存儲這些數(shù)據(jù)在本地的存儲器，并且提供實時的報警和事件信息到整個機組。

歷史服務(wù)器收集來自核島和常規(guī)島部分的數(shù)據(jù)信息，并且存儲到長期歷史數(shù)據(jù)庫中，包括操作日志、過程值等信息。

通信服務(wù)器具有通信網(wǎng)關(guān)功能，提供與安全級DCS 系統(tǒng)、三廢(KSN)系統(tǒng)、汽輪機DCS 系統(tǒng)以及管理信息MIS 系統(tǒng)的通信接口功能，實現(xiàn)與接口系統(tǒng)的數(shù)據(jù)交換。

配置服務(wù)器提供對整個系統(tǒng)工程配置數(shù)據(jù)的統(tǒng)一管理、版本控制和下裝部署等功能。

(3)冗余網(wǎng)絡(luò)設(shè)計。

核電儀控系統(tǒng)采用冗余的網(wǎng)絡(luò)通信鏈路確保信息傳輸?shù)目捎眯裕?］。當工作鏈路由于某種原因出現(xiàn)故障而不能正常工作時，冗余鏈路就可以代替故障鏈路繼續(xù)完成相同的功能，從而實現(xiàn)系統(tǒng)的不中斷工作，保障現(xiàn)場設(shè)備和人員的安全性，減少損失。

系統(tǒng)網(wǎng)絡(luò)由A、B 兩網(wǎng)構(gòu)成，兩網(wǎng)互為備份并互相監(jiān)控對方的工作狀態(tài)。其中A 網(wǎng)交換機狀態(tài)能通過B網(wǎng)進行狀態(tài)監(jiān)視和遠程配置管理，反之B 網(wǎng)的交換機狀態(tài)也能通過A 網(wǎng)進行狀態(tài)監(jiān)視和遠程配置管理。核電站數(shù)字化儀控系統(tǒng)實現(xiàn)對核島、常規(guī)島和輔機系統(tǒng)的一體化管理，系統(tǒng)和工藝復(fù)雜，生產(chǎn)過程中需要監(jiān)控大量的設(shè)備和工況處理過程。在核電站現(xiàn)場實際操作中，一個操作員往往需要同時監(jiān)控和操作多個畫面，獲取多方面的信息。系統(tǒng)可為一個操作員提供多達4屏的顯示屏，并可通過使用一套鼠標鍵盤在4 個顯示屏間平滑移動和實現(xiàn)交互操作。多屏操作站設(shè)計示意圖如圖3 所示。

圖3 多屏操作站設(shè)計示意圖Fig.3 Schematic diagram of the design for multi-screen workstation

整個控制室根據(jù)調(diào)度員工作職責不同，分別設(shè)置多個操作員站、值班長站、安全工程師站等操作站。任何一臺操作站的硬件和軟件配置完全相同，均可實現(xiàn)核電調(diào)度員所需的各種功能，并通過不同的用戶身份和角色登錄，獲取不同的監(jiān)控操作權(quán)限，激活相應(yīng)的人機界面，實現(xiàn)圖形化顯示、對話管理和信息編輯等功能?？刂剖业亩嗯_操作站互為備份，提供相同的功能，通過權(quán)限管理可以互相替代。

(4)自診斷與在線維護。

系統(tǒng)在運行中，除上述高可靠性和可用性保障外，還充分應(yīng)用系統(tǒng)強大的自診斷、報警和維護等功能，及時通告系統(tǒng)運行中的問題并加以及時處理，包括所有站點的在線診斷及故障通告、設(shè)備的在線診斷及故障通告以及硬件模塊的帶電插拔和在線更換等［10］。

2 可靠性和可用性計算

2.1 可靠性和可用性定義

可靠性是指系統(tǒng)在規(guī)定的條件下和規(guī)定的時間段內(nèi)完成規(guī)定功能的能力，通常關(guān)注系統(tǒng)的平均無故障時間MTBF(系統(tǒng)相鄰2 次故障發(fā)生時刻之間的時間的平均值，h)和故障率λ?？删S護性是指系統(tǒng)恢復(fù)到能夠履行其職能狀態(tài)的能力，其指標為平均故障修復(fù)時間MTTR(系統(tǒng)失效恢復(fù)到其正常功能狀態(tài)的期望時間，h)［11］。可用性是指系統(tǒng)在規(guī)定時間內(nèi)能夠履行職能的概率，其指標為可用度A。相應(yīng)計算公式如下:

圖4 說明了MTBF 與MTTR 的含義及關(guān)系，也說明了MTBF 和MTTR 的統(tǒng)計性質(zhì)。

圖4 MTBF 與MTTR 的含義及關(guān)系Fig.4 Meanings of MTBF and MTTR，and their relationship

由上圖可得出:

一個系統(tǒng)的MTBF 和MTTR 是由統(tǒng)計計算得出的，是一個概率統(tǒng)計值，而不是由確定性公式計算出來的。核電站儀控系統(tǒng)由現(xiàn)場控制層、系統(tǒng)服務(wù)層和監(jiān)測控制層三層組成，系統(tǒng)可用率應(yīng)大于99.99%。

為了有序計算整個系統(tǒng)的可靠性和可用性指標，采用以下方法進行計算:①對系統(tǒng)逐層向下分解，自頂向下建立系統(tǒng)可靠性框圖;②根據(jù)最低單個設(shè)備提供的可靠性數(shù)據(jù)，自底向上計算系統(tǒng)的可靠性和可用性指標。

2.2 系統(tǒng)可靠性框圖

核電站儀控系統(tǒng)的設(shè)備可以劃分為關(guān)鍵設(shè)備和非關(guān)鍵設(shè)備。如果一個設(shè)備故障影響到整個系統(tǒng)的運行，它被視為關(guān)鍵設(shè)備。例如，實時服務(wù)器是關(guān)鍵設(shè)備，而打印機則是非關(guān)鍵設(shè)備。因為服務(wù)器故障會導致系統(tǒng)崩潰(在冗余服務(wù)器已故障的前提下)，但如果打印機發(fā)生故障，僅僅會影響打印功能。

根據(jù)2.1 節(jié)系統(tǒng)結(jié)構(gòu)，識別出系統(tǒng)關(guān)鍵設(shè)備，可得出如圖5 所示的系統(tǒng)可靠性框圖。

圖5 系統(tǒng)可靠性框圖Fig.5 Block diagram of system reliability

2.3 典型設(shè)備MTBF 和MTTR 數(shù)據(jù)

典型核電儀控系統(tǒng)單個設(shè)備的可靠性和可用性數(shù)據(jù)如表2 所示。

表2 設(shè)備可靠性和可用性數(shù)據(jù)Tab.2 Data of reliability and availability of equipment

為構(gòu)建一個開放的核電站數(shù)字化儀控系統(tǒng)，除現(xiàn)場控制站采用專用硬件模塊外，監(jiān)測控制層和系統(tǒng)服務(wù)層硬件多采用商用現(xiàn)貨(commercial off the shelf，COTS)設(shè)備，包括各臺式計算機、服務(wù)器和交換機等硬件設(shè)備。對于商用現(xiàn)貨COTS 硬件設(shè)備，可從設(shè)備廠家獲取相應(yīng)設(shè)備的可靠性數(shù)據(jù);對于現(xiàn)場控制站專用硬件模塊，可參考相關(guān)標準如國家軍用標準《GJBZ 299C-2006 電子設(shè)備可靠性預(yù)計手冊》等，預(yù)測相應(yīng)硬件模塊的工作失效率和平均故障間隔MTBF。

系統(tǒng)的維修性取決于系統(tǒng)各個部件的維修性以及系統(tǒng)的物理結(jié)構(gòu)和功能結(jié)構(gòu)，其中，物理結(jié)構(gòu)影響到存取的難易程度和更換性;功能結(jié)構(gòu)影響到診斷更換等的難易程度［12］。平均故障修復(fù)時間(MTTR)應(yīng)包括設(shè)備從發(fā)現(xiàn)故障到設(shè)備修復(fù)完成所有過程需要花費的時間，這些過程主要考慮了如通知儀控維修人員、問題的溝通、現(xiàn)場勘查故障定位、獲取故障設(shè)備的備件、隔離部件、拆卸故障設(shè)備、更換、組裝、檢查和測試等環(huán)節(jié)［13］。為確定典型設(shè)備的平均故障修復(fù)時間MTTR，本文假定所有設(shè)備都有合理的備品備件和允許在線更換;對于專用硬件，系統(tǒng)提供相關(guān)的診斷功能和在線熱插拔功能;對于COTS 商用現(xiàn)貨，系統(tǒng)提供快捷的備份和恢復(fù)手段。

2.4 計算過程

以下提供的計算過程，假定系統(tǒng)所用硬件包括計算機、硬件模塊等設(shè)備在可用期的失效時間服從電子器件的指數(shù)分配規(guī)律。

(1)MTBF 計算。

系統(tǒng)采用冗余設(shè)計方案，在出現(xiàn)某設(shè)備單點故障時不會導致該系統(tǒng)的任何功能的喪失，只有冗余設(shè)備全部失效才導致系統(tǒng)功能喪失。因此，采用以下并聯(lián)計算模型計算系統(tǒng)冗余設(shè)備的MTBF:

對于主備冗余系統(tǒng)，n=2。根據(jù)上式，可分別計算出冗余工作站、交換機和服務(wù)器的MTBF，如表3 所示。其中，冗余工作站按照雙冗余簡化計算。

表3 冗余設(shè)備的平均無故障時間Tab.3 MTBF of redundant equipment

根據(jù)系統(tǒng)可靠性框圖，整個系統(tǒng)由冗余工作站、冗余系統(tǒng)網(wǎng)交換機、冗余實時服務(wù)器、冗余控制網(wǎng)交換機、冗余控制器和I/O 模塊串聯(lián)而成。串聯(lián)系統(tǒng)內(nèi)任意一個元件的失效都會導致整個系統(tǒng)的完全故障，因此，采用以下串聯(lián)計算模型計算整個系統(tǒng)的MTBF:

(2)MTTR 計算。

串聯(lián)和并聯(lián)系統(tǒng)的MTTR 都是按系統(tǒng)的各個設(shè)備失效率進行加權(quán)平均的平均值:

對于冗余設(shè)備，單個設(shè)備的平均故障修復(fù)時間MTTR 和設(shè)備失效率λ 是完全相同的，設(shè)n =2，λ1=λ2，MTTR1=MTTR2，按上述公式可得出相應(yīng)的MTTR計算結(jié)果為:

可見，任何2 個冗余設(shè)備，其MTTR 仍為單個設(shè)備的MTTR。因此，可計算整個系統(tǒng)的MTTR 如下:

(3)可用性計算。

系統(tǒng)可用性結(jié)果為:

通過計算結(jié)果可以看出，該核電儀控系統(tǒng)可用率滿足相應(yīng)指標需求。

3 結(jié)束語

核電站儀控系統(tǒng)由現(xiàn)場控制層、系統(tǒng)服務(wù)層和監(jiān)測控制層三層組成，系統(tǒng)單個設(shè)備故障后，可以通過在線維修和更換的手段恢復(fù)系統(tǒng)的功能。本文介紹了典型的核電站數(shù)字化儀控系統(tǒng)中所采用的各種高可靠性技術(shù)，提出了一種分析和計算儀控系統(tǒng)的可靠性和可用性的方法。該方法將儀控系統(tǒng)劃分為現(xiàn)場控制層、系統(tǒng)服務(wù)層、監(jiān)測控制層等子系統(tǒng)，通過對系統(tǒng)自頂向下逐層分解得到系統(tǒng)的可靠性框圖，分別計算每個子系統(tǒng)可靠性參數(shù)，然后通過系統(tǒng)可靠性框圖，計算出整個系統(tǒng)的可靠性參數(shù)。計算結(jié)果表明，通過采用適當?shù)目煽啃栽O(shè)計措施，系統(tǒng)能夠滿足高可靠性和可用性要求。本文專注于核電站儀控系統(tǒng)本身的可靠性分析，而核電廠整體儀控系統(tǒng)可靠性應(yīng)結(jié)合工藝過程和現(xiàn)場設(shè)備進行綜合分析［14］。

［1］ 李明利，唐環(huán)，謝逸欽，等. 核電廠數(shù)字化儀控系統(tǒng)可靠性指標計算方法研究［C］//第一屆中國(國際)核電儀控技術(shù)大會論文集，北京:中國核學會，中國儀器儀表學會，2011.

［2］ 周世梁，杜文. 基于故障樹方法的核電廠數(shù)字化儀控系統(tǒng)可靠性分析［C］//第一屆中國(國際)核電儀控技術(shù)大會論文集，北京:中國核學會，中國儀器儀表學會，2011.

［3］ 侯偉宏，張沛超，胡炎. 數(shù)字化變電站系統(tǒng)可靠性與可用性研究［J］. 電力系統(tǒng)保護與控制，2010，38(14):34 -38.

［4］ 鄭養(yǎng)波，彭小強，董志彬. AP1000 儀控系統(tǒng)的高可靠性技術(shù)應(yīng)用分析［C］//第一屆中國(國際)核電儀控技術(shù)大會論文集，北京:中國核學會，中國儀器儀表學會，2011.

［5］白濤，金成日，張春雷. 核電廠儀控設(shè)備研制中元器件篩選問題的討論［J］. 自動化博覽，2013(4):83 -88.

［6］ 中國人民解放軍總裝備部. GJBZ 299C-2006 電子設(shè)備可靠性預(yù)計［M］. 北京:總裝備部軍標出版發(fā)行部，2007.

［7］ 劉沖，付江梅. 雙重冗余PLC 控制系統(tǒng)的可靠性和可用性研究［J］. 自動化儀表，2010，31(9):44 -46.

［8］ 萄國楷，黎國民，王群峰. 核電站安全分級對DCS 系統(tǒng)設(shè)計影響分析［J］. 核動力工程，2011，32(5):23 -28.

［9］ 鄒志勵，郭東玲. 防城港核電廠非安全級DCS 網(wǎng)絡(luò)結(jié)構(gòu)和設(shè)備功能淺議［J］. 機電信息，2012(3):46 -47.

［10］王維建，馬駿. XDC800 控制系統(tǒng)的可靠性分析［C］ //第一屆中國(國際)核電儀控技術(shù)大會論文集，北京:中國核學會，中國儀器儀表學會，2011.

［11］邸麗清，袁湘鄂，王永年. CTCS-3 級列控系統(tǒng)RAM 指標評價方法研究［J］. 中國鐵道科學，2010，31(6):92 -97.

［12］韓毅，張允煒. 核電站運維的DCS 可信性研究和應(yīng)用［J］. 儀器儀表用戶，2014，21(4):5 -7.

［13］徐冬苓. 基于RBD 方法的數(shù)字化反應(yīng)堆保護系統(tǒng)可靠性分析［J］. 核電子學與探測技術(shù)，2013，33(7):802 -807.

［14］王眷衛(wèi)，楊棟. 基于故障樹的核電廠過程控制DCS 系統(tǒng)可靠性分析［J］. 數(shù)字化用戶，2013(13):100 -101.