EMC trong nhà máy điện hạt nhân mới: I&C số, RG 1.180, IEC 62003

Những lò phản ứng mới đầu tiên sau nhiều thập kỷ ở Mỹ và Tây Âu có một điểm chung mà các nhà máy cũ không có khi mới vận hành: hệ thống đo lường và điều khiển (I&C) của chúng là kỹ thuật số, từ các card đầu vào đến phòng điều khiển dùng màn hình. Điều đó thay đổi vai trò của tương thích điện từ. Trong nhà máy tương tự, nhiễu chủ yếu làm số đọc dao động. Trong nhà máy số, một nhiễu loạn có thể làm bộ xử lý khởi động lại, làm hỏng một bản tin hoặc gây tác động giả trong hệ thống an toàn.

Tổng quan các dự án mới

Các dự án phương Tây gần đây dùng hai thiết kế: Westinghouse AP1000 ở Mỹ và EPR ở châu Âu. Cả hai đều được thiết kế ngay từ đầu với hệ thống bảo vệ và điều khiển dựa trên vi xử lý, thay vì gắn thêm thiết bị số vào một kiến trúc tương tự.

Vì sao EMC trở thành vấn đề an toàn với I&C số

Các kênh bảo vệ tương tự thường suy giảm dần dần: nhiễu chỉ cộng thêm tạp hoặc độ lệch vào bộ so sánh tác động, và sai số tăng theo độ lớn nhiễu loạn. Thiết bị số hỏng theo cách khác. Một quá độ nhanh thấp hơn rất nhiều so với mọi ngưỡng hư hỏng vẫn có thể gây trục trặc mà hậu quả không liên quan đến độ lớn của nhiễu loạn.

• Khởi động lại hoặc treo: một chuỗi xung (burst) trên cổng nguồn hoặc cổng I/O làm nhiễu đường xung nhịp hoặc đường reset. Watchdog đưa kênh ra khỏi vận hành hoặc, nếu thiết kế kém, kênh bị đứng ở giá trị đầu ra cuối cùng.
• Lỗi dữ liệu: khung tin bị hỏng trên liên kết giữa các tủ hoặc giữa các phân nhánh (division). Chúng phải được phát hiện và loại bỏ, không bao giờ được dùng để tác động.
• Tác động giả: trạng thái sai ở một đầu vào số có thể khởi động bơm hoặc điều khiển van, và trong hệ thống an toàn thì bản thân điều đó đã là một sự kiện cần phân tích.
• Hỏng hóc do nguyên nhân chung: các phân nhánh dự phòng thường dùng cùng một nền tảng phần cứng. Nếu một nhiễu loạn, chẳng hạn quá độ đóng cắt trên nguồn dùng chung hoặc một bộ đàm cầm tay ngoài hành lang, ảnh hưởng đồng thời đến mọi phân nhánh, thì dự phòng không còn bảo vệ được chức năng an toàn.

Kinh nghiệm vận hành nhà máy điện có những trường hợp tín hiệu giả được cho là do bộ đàm cầm tay, hàn trong thời gian dừng máy và đóng cắt tải lớn. Vì vậy các cơ quan pháp quy coi EMC là một phần của việc kiểm định thiết bị (equipment qualification), bên cạnh kiểm định môi trường và kiểm định địa chấn, chứ không chỉ là yêu cầu để đưa ra thị trường.

Các tài liệu yêu cầu chính

NRC Regulatory Guide 1.180 (Mỹ)

RG 1.180, Guidelines for Evaluating Electromagnetic and Radio-Frequency Interference in Safety-Related Instrumentation and Control Systems, mô tả một phương pháp mà NRC coi là chấp nhận được để chứng minh tính tương thích EMI/RFI của I&C liên quan đến an toàn. Nó không tạo ra phép thử mới. Nó chấp thuận các phương pháp thử của MIL-STD-461 (ví dụ CE101, CE102, RE101, RE102, CS114, CS115, CS116, RS101 và RS103), các phương pháp thay thế trong bộ IEC 61000-4, cùng IEEE C62.41 và C62.45 cho xung sét (surge), và nêu giới hạn phát xạ cùng mức thử cần dùng với chúng. Nó cũng chấp thuận IEEE Std 1050 cho thực hành nối đất và lắp đặt, và xử lý máy phát cầm tay bằng vùng cấm (exclusion zone).

IEC 62003 (I&C hạt nhân quốc tế)

IEC 62003, do tiểu ban SC 45A soạn thảo, đặt ra yêu cầu thử nghiệm EMC cho thiết bị I&C quan trọng về an toàn trong nhà máy điện hạt nhân. Nó dùng các phương pháp thử miễn nhiễm IEC 61000-4 và phương pháp thử phát xạ CISPR quen thuộc trong lĩnh vực thương mại, nhưng chọn mức thử theo môi trường nhà máy và yêu cầu tiêu chí chấp nhận gắn với chức năng an toàn. Nó thuộc bộ tiêu chuẩn của SC 45A cùng với IEC 61513 (yêu cầu cấp hệ thống cho I&C an toàn) và IEC 61226 (phân loại chức năng I&C), và thường được viện dẫn ở những nơi cấp phép dựa trên tiêu chuẩn hạt nhân IEC, như phần lớn châu Âu.

IEC 61000-6-5 (môi trường nhà máy điện và trạm biến áp)

IEC 61000-6-5 là tiêu chuẩn chung về miễn nhiễm của TC 77 cho thiết bị dùng trong nhà máy điện và trạm biến áp. Nó không dành riêng cho hạt nhân và chỉ đề cập miễn nhiễm, nhưng mô tả môi trường điện từ của nhà máy điện theo loại cổng và vị trí lắp đặt, bao gồm các nhiễu loạn điển hình do đóng cắt cao áp. Nó hữu ích cho thiết bị phần phụ trợ (BOP), cho thiết bị không có tiêu chuẩn sản phẩm riêng, và để kiểm tra chéo rằng mức thử chọn cho hệ thống an toàn không thấp hơn môi trường chung của nhà máy.

Thử nghiệm gì và mô phỏng điều gì

Tiêu chí chấp nhận là chỗ thử nghiệm hạt nhân khác thử nghiệm thương mại nhiều nhất. Các tiêu chuẩn miễn nhiễm thương mại như IEC 61000-6-2 chấp nhận, trong nhiều phép thử quá độ, việc mất chức năng tạm thời rồi tự phục hồi. Với chức năng an toàn, điều đó thường không chấp nhận được. Kế hoạch thử thường yêu cầu đầu ra an toàn không đổi trạng thái, chức năng tự chẩn đoán có thể báo lỗi nhưng không được gây tác động ngoài ý muốn, và lỗi truyền thông phải được phát hiện. Thiết bị được thử trong cấu hình đại diện với phần mềm ứng dụng đang chạy, và mọi đầu ra an toàn cũng như liên kết truyền thông được giám sát trong suốt thời gian đặt nhiễu, chứ không chỉ kiểm tra sau đó.

Biện pháp thiết kế hiệu quả trong nhà máy

• Liên kết cáp quang giữa các phân nhánh dự phòng và giữa hệ thống an toàn với hệ thống không an toàn. Chúng loại bỏ đường dẫn điện cho quá độ chế độ chung và hỗ trợ việc cách ly điện cần có giữa các phân nhánh.
• Tách cáp theo loại. Tín hiệu tương tự mức thấp, truyền thông số và cáp lực đi trên các máng cáp riêng hoặc với khoảng cách tách được ghi thành văn bản, điều này cũng hỗ trợ tính độc lập vật lý giữa các phân nhánh an toàn theo yêu cầu của IEEE Std 384.
• Đấu vỏ chống nhiễu tại lối vào tủ. Vỏ chống nhiễu của cáp được nối 360° tại tấm đầu vào cáp thay vì dùng đuôi heo (pigtail), và phương án nối đất của nhà máy (ví dụ theo IEEE Std 1050) được quyết định một lần và áp dụng nhất quán.
• Bảo vệ tại ranh giới tủ. Thiết bị chống sét lan truyền và bộ lọc tại các điểm vào dẫn quá độ đi trước khi chúng tới các bo mạch logic, thay vì dựa vào bảo vệ nằm sâu bên trong mạch điện tử.
• Hoạt động an toàn khi hỏng (fail-safe), watchdog và tính đa dạng. Ví dụ AP1000 có hệ thống tác động đa dạng (diverse actuation system) để một hỏng hóc do nguyên nhân chung ở nền tảng bảo vệ chính không làm mất toàn bộ chức năng bảo vệ.

Hai ước tính đơn giản rất hữu ích khi xem xét thiết kế: cường độ trường mà một bộ đàm cầm tay có công suất đã biết tạo ra ở một khoảng cách nhất định, từ đó đặt khoảng cách vùng cấm hợp lý, và công suất bộ khuếch đại cần thiết để tái tạo cường độ trường đã kiểm định trong buồng thử. Nếu dùng che chắn của tủ làm biện pháp, cần xác minh bằng phép đo suy hao xen thay vì giả định.

Sai lầm thường gặp và giới hạn

• Cho rằng sản phẩm công nghiệp có dấu CE đã được kiểm định. Báo cáo thử của nó chỉ cho thấy mức và tiêu chí thương mại; kế hoạch thử hạt nhân có thể yêu cầu mức khác, dải tần rộng hơn và tiêu chí hoạt động nghiêm ngặt hơn.
• Chỉ thử một card trên bàn. Chiều dài cáp, nối đất và tải phần mềm làm thay đổi kết quả, nên cấu hình thử phải giống cấu hình lắp đặt, hoặc phải giải trình các khác biệt.
• Quên rằng nhà máy luôn thay đổi. Một biến tần mới, một mạng không dây hay một tuyến cáp đi lại làm thay đổi môi trường; các thay đổi cần được xem xét EMC, và đo đạc tại hiện trường giúp xác nhận môi trường đã giả định.
• Coi EMC là phép thử cuối cùng. Việc tách cáp, nối đất và bố trí tủ được chốt sớm trong thiết kế nhà máy, và một lỗi phát hiện muộn trong dự án tốn kém hơn nhiều để khắc phục so với sản phẩm thương mại.