Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
IEC TR 61940:1998 — 核仪器：CAMAC系统可靠性与设计指南
IEC TR 61940:1998 是一份技术报告，为核仪器中使用的CAMAC（计算机自动测量与控制）系统的可靠性、可用性和系统设计提供全面指导。IEC 61939定义了CAMAC的功能和电气特性，而这份技术报告则阐明了确保基于CAMAC的数据采集系统满足核安全应用严格可靠性要求所需的工程实践。
📌 文件状态：作为技术报告（TR），IEC 61940:1998是信息性而非规范性文件。它基于全球核电站、研究反应堆和粒子加速器中CAMAC系统数十年的运行经验，提供了推荐实践和设计指导。
🔧 核CAMAC系统的可靠性要求
核仪器系统必须满足极高的可靠性目标。IEC TR 61940建立了在CAMAC生态系统中量化和实现这些目标的框架。定义的关键可靠性指标包括：
- 平均无故障时间（MTBF）：标准建议单个CAMAC模块的最小MTBF为10,000小时，完整机箱组件（包括电源和背板）在连续运行下为50,000小时。
- 平均修复时间（MTTR）：借助CAMAC的模块化热插拔设计，标准目标是在有经过培训的技术人员和充足备件库存的条件下，模块更换的MTTR小于30分钟。
- 可用性：对于安全关键的核应用，系统可用性目标为≥99.99%，相当于每年停机时间少于53分钟。
- 失效率（λ）：以FIT（Failures In Time，每10^9小时）表示，单个CAMAC模块的目标通常为100-500 FIT，取决于复杂度。
⚠️ 关键区分：IEC TR 61940区分了可检测故障和不可检测故障。对于核安全系统，不可检测故障与总故障的比率（诊断覆盖率）必须小于1%。这就要求CAMAC模块包含自检功能、看门狗定时器和定期在线验证程序。
| 组件 | 最小MTBF（小时） | MTTR（小时） | 可用性目标 | 诊断覆盖率 |
|---|---|---|---|---|
| 机箱电源 | 100,000 | 1.0 | 99.999% | 不适用（冗余） |
| 机箱控制器 | 50,000 | 0.5 | 99.999% | >99% |
| ADC模块（16位） | 30,000 | 0.5 | 99.998% | >99% |
| 数字I/O模块 | 100,000 | 0.5 | 99.9995% | >95% |
| 定标器/定时器模块 | 50,000 | 0.5 | 99.999% | >98% |
| CAMAC数据路背板 | 1,000,000 | 2.0 | 99.9998% | 无源 |
📊 冗余与容错架构
IEC TR 61940用了大量篇幅讨论即使在单个模块故障情况下仍能维持功能的冗余系统架构。标准描述了三种主要的冗余配置：
双冗余（1+1）配置
两个完整的CAMAC机箱并行运行，各自执行相同的测量或控制功能。一个比较器模块持续检查两个通道之间的一致性。出现不一致时，系统进入安全状态并通知操作员。这种配置的有效MTBF约为单系统的两倍，同时提供即时故障检测。
三模冗余（TMR，三取二）
三个独立的CAMAC通道同时运行。多数表决电路（三取二逻辑）确定正确的输出。TMR是反应堆保护系统（RPS）的首选架构，因为它能容忍单个模块故障而不降低任何安全功能。标准指出，在CAMAC中实现TMR需要特别注意共因故障——特别是机箱电源，应本身采用三重化或用三个独立的电源模块替代。
备用冗余（N+1）
额外的备用机箱或模块保持在通电待机状态。检测到运行单元故障后，备用单元投入服务，可以是自动或手动切换。这种架构常见于非安全但任务关键的应用，其中短暂中断（1-5分钟）是可接受的。
💡 工程洞察：在使用CAMAC实施TMR时，三个机箱之间的同步是主要的工程挑战。由于CAMAC数据路操作是异步的，三个机箱可能会产生相位漂移。IEC TR 61940建议使用专用同步模块，通过前面板LEMO或MCX连接器向所有三个机箱分配通用时钟和触发信号，绕过数据路固有的时序不确定性。这种时序信号的”星形”拓扑可在机箱之间实现约±10 ns的同步精度。
| 架构 | 模块数量 | 有效MTBF倍数 | 容错能力 | 应用 |
|---|---|---|---|---|
| 单一（1取1） | 1倍 | 1.0 | 无 | 非安全监测 |
| 双冗余（1+1） | 2倍 | 1.5-1.8 | 单故障（可检测） | 安全驱动 |
| TMR（三取二） | 3倍 | 5-10 | 单故障（任意） | 反应堆保护 |
| 备用（N+1） | N+1 | 1.2-1.5 | 单故障（有中断） | 数据采集 |
🏗️ 维护策略与生命周期管理
利用CAMAC自检的预测性维护
IEC TR 61940描述了利用CAMAC数据路内置诊断能力的全面自检方法。机箱控制器可以在系统空闲期间启动”模块健康检查”周期，向每个模块的寄存器写入已知模式并读回结果。参数漂移（例如ADC失调电压趋向规格极限）在导致测量误差之前即被标记——从而实现预测性而非反应性维护。
备件策略
标准基于模块MTBF和设施关键性提供了备件库存水平的详细指导。对于安全级模块，推荐备件比例为1:4（每四个已安装模块配一个备件）。对于非安全模块，1:10即被视为充分。标准还建议每个设施至少保留两个备用机箱控制器和一个备用电源。
老化和过时管理
考虑到CAMAC系统通常运行20年以上，IEC TR 61940包含了管理组件老化的指南。电源中的电解电容器应每10年更换一次。背板连接器应在500次插拔循环后检查镀金磨损（按典型维护间隔约20年）。ECL逻辑器件特别容易在核环境中发生辐射诱发的闩锁效应，应每年测试单粒子效应（SEE）耐受性。
🚨 过时警告：许多原始CAMAC芯片组组件（如AM9519通用中断控制器、74F系列数据路收发器）已不再生产。计划运行到2030年以后的设施应考虑基于FPGA的传统CAMAC模块重新实现。现代CPLD和FPGA器件可以在单个芯片中复制CAMAC数据路接口，将模块元器件数量减少60-80%，同时提高可靠性并简化备件管理。
❓ 常见问题解答
问：IEC 61939与IEC TR 61940有何不同？
答：IEC 61939是定义CAMAC在核仪器中功能和电气特性的规范性标准。IEC TR 61940是提供可靠性指导、设计建议和维护策略的信息性技术报告。IEC 61939规定CAMAC是什么，而IEC TR 61940建议如何在核应用中可靠地部署它。
问：CAMAC系统能否满足现代核安全要求（IEC 61513）？
答：可以。当按照IEC TR 61940设计并配备适当的冗余、诊断覆盖率和多样性时，CAMAC系统可以满足IEC 61513（核电站——安全重要的仪表和控制系统）的要求。多个运行中的核电站继续使用CAMAC执行经监管批准的1E级安全功能。然而，新装置通常需要进行多样性和纵深防御分析，以证明共因故障已得到充分缓解。
问：CAMAC数据路的可靠性如何测试？
答：数据路是无源背板，不含任何有源元件，因此具有固有的高可靠性（MTBF > 100万小时）。定期测试包括：（1）使用背板测试仪对所有86条线路进行连续性测试；（2）相邻线路之间的串扰测量（24位字在1 MHz下必须<5%）；（3）接触电阻测量（每触点<10 mΩ）；以及（4）绝缘电阻测试（任意两条线路之间>1000 MΩ）。标准建议在运行装置中每5年进行一次这些测试。
问：IEC TR 61940是否涵盖软件可靠性？
答：标准主要通过CAMAC模块识别方案和自检架构来涉及软件可靠性。它建议系统软件包括：（1）验证所有已安装模块的上电自检程序；（2）定期在线诊断（根据安全分级每1-10分钟一次）；（3）看门狗定时器管理及安全超时动作；以及（4）配置审计日志记录。对于详细的软件可靠性指导，应结合IEC TR 61940查阅IEC 60880（核安全系统软件）。
