【摘要】本文基于某核电基地仪控（I&C）DCS 图纸的工程实施，说明如何将 EPLAN 接线图与控制逻辑图转化为可计算的结构化拓扑，并依据 T/CNEA 335-2025《核电厂系统单点失效排查及治理技术导则》执行单点失效（SPF）检测。
实施范围覆盖 FCS 接线图、KDS 多样性驱动逻辑图与 ARE 逻辑图三大类，合计数百页已进入解析管线。
已形成 356 条可回溯至页号与端子编号的认证连接、23 项 SPF3 检出结论（含 13 项共因失效），并建成图纸脱敏代理与L2 金标准门禁两条可复制交付链路。文中指标均为项目实测值。
作者：羽山数据（羽山数智）仪控数字化团队
一、背景与目标
核电厂仪控系统普遍采用冗余设计，包括双路供电、双通道信号、三取二表决及多样化驱动。团体标准 T/CNEA 335-2025 要求对上述系统开展单点失效排查，识别可导致安全功能整体丧失的单点故障。
现行排查方式以人工审图为主。一个机柜的 EPLAN 接线图通常为数十页，一个系统的控制逻辑图为数百页。工程师需按回路逐页核对，遇到跨页引用需跳转续查。单个回路的排查周期以半天计，且设计变更后既有结论全部失效，须重新排查。
本项目的目标不是提升"图纸识别"本身，而是将图纸转化为可计算的结构化模型：设备、端子、连接关系与跨页引用统一入库，在拓扑上执行失电与信号影响分析。由此实现两项目标：单次解析可复用，设计变更后按影响范围增量重算。
二、实施结果
2.1 FCS 接线图（1KCP1004AR 机柜，22 页）
- 22 页全部完成 PDF 至结构化拓扑的解析
- 其中 9 页通过 L2 金标准认证（五道门禁全部通过），合计 356 条认证连接
- 设备识别准确率 ≥92%，端子匹配准确率 ≥87%
- 支持设备级电源路径追踪，失电影响面按 high / medium / low / has_redundancy 四级输出
认证页分布如下，每条连接均可回溯至图纸页号与端子编号：
| 页面 | 页面类型 | 认证连接数 | 关键特征 |
|---|---|---|---|
| P9 | 24VDC 电源 | 46 | A/B 双路冗余供电正确识别 |
| P10 | 母线电源 | 77 | RD/BU 极性无反转 |
| P11 | 48VDC 查询 | 67 | 24 位端子排分配无误 |
| P12 | 48VDC 跨页 | 51 | 跨页延续追踪正确 |
| P13 | 综合配电 | 57 | 电源/信号/接地三类分类准确 |
| P14 | 主控底座 | 32 | 12 路总线双通道分配准确 |
| P15 | 纯接地 | 10 | 接地汇流完整匹配 |
| P17 | 辅助配电 | 12 | 辅助端子排分配完整 |
2.2 KDS 多样性驱动控制逻辑图（3 个 L2 认证页）
分析范围为 P30 / P33 / P42 三个 L2 认证页，合计 98 个功能块、303 条信号连接。按团标 6 个 SPF3 相关维度检测，共检出 23 项问题，其中共因失效（橙色）13 项、潜在风险（黄色）10 项。
主要检出结论：
- P30（RPN 核测仪表信号处理，40 功能块 / 103 连接）：6 项发现全部为共因失效。双冗余 RPN 机柜输出汇聚至同一批下游块，多通道 HC/KS 信号共享 10 个下游块，冗余通道未形成有效物理隔离。
- P33（三取二表决器输出级）：VOTE_2OF3 的三路输出汇聚至 OR_1，OR_1 同时驱动跳闸信号 1313KS 与安全级电平信号 0010，构成单点放大路径。
- P42（主给水隔离信号逻辑）：LC / KS / MN 三重冗余信号汇聚至有限下游块（0011、0107LC）。
检测维度与团标条款对应关系：
| 检测维度 | 团标条款 | 检测对象 |
|---|---|---|
| 信号链断裂 | §6 信号完整性 | 功能块有输入无输出 |
| 冗余信号共用 | §5 冗余信号处理 | 同系列冗余信号汇聚至共享下游 |
| 信号路径汇聚 | §2 中继逻辑缺陷 | 多条独立路径汇入单一功能块 |
| 互锁旁路 | §4 互锁逻辑 | 强制/旁路型功能块的上游绕过风险 |
| 跨页断裂 | §7 跨页追踪 | 跨页引用在本页无对应入口 |
| 品质位断裂 | §6 缺省值/质量位 | 品质信号接收后无下游传播 |
2.3 ARE 控制逻辑图
347 页原始数据完成提取，进入与 KDS 相同的分析管线。
三、关键技术判断
3.1 图纸解析是多源交叉的工程问题，单一模型不可靠
EPLAN 导出的图纸存在四类结构性障碍：设备位号位于文本层但排版位置与视觉位置不一致；端子号与线号、电缆规格在版面上高度邻近；线缆走向仅能通过视觉判断，文本层不含连接关系；页面混合矢量图与位图两种形态。
实施路径为多引擎交叉提取：pypdfium2、pdfminer、pdftotext 分别抽取文本层，规则引擎（wire_matcher）执行连线推断，视觉模型负责连线识别，不一致项进入人工标注与训练集。
该路径的实测结果为设备识别 ≥92%、端子匹配 ≥87%。在 356 条连接的规模下，剩余误差须由人工复核兜底——这一点直接决定了后续的门禁设计。
3.2 共因失效判据须落到物理回路，而非图纸连线
在 FCS 机柜执行逐设备失电穷举时，检出大量形如下述的连接关系：
E01JB[PE] → E02JB[PE]
即两个设备的保护接地并接。接地共用导致单点接地故障、浪涌或等电位干扰可同时影响两个"图面独立"的通道，构成共因失效路径。
由此得出判据要求：共因失效的识别不能停留在图面连线重合判定，必须落到物理回路的共用路径，包括共用电源、共用接地、共用信号地（模拟量回路中负端并接于同一端子排）。
实现方式为：设备连接建成拓扑图后执行逐设备失电穷举，计算受影响信号范围并按影响面分级。共用接地点由该过程自动检出，而非依赖预设规则枚举。
3.3 领域本体与可解释规则必须显式建模
视觉模型可完成图元与文本识别；通道归属（A/B 通道）、冗余组归属、以及信号在工艺上的等级（保护信号或指示信号）则需由知识层承担。此类语义属于领域本体，不能由文本相似度推导。
实施方式为建立显式知识层：冗余组、通道编号、保护等级、设备类型（空开、继电器、电源模块、端子排等 20 余类，经 BOM 关联注入型号与品牌）。模型承担结构化抽取与对齐，判定由规则与图算法执行。
该分工同时满足评审要求：任一判定结论须可追溯至具体规则与图纸页号，不采用"模型判定"作为结论依据。
3.4 交付门槛是金标准认证，而非识别准确率
工业场景的验收标准不是"大部分正确"，而是"每一页可签字"。因此项目设置 L2 金标准认证：单页须通过结构完整性、几何一致性、证据完备性、逻辑自洽性、回归通过五道门禁方可进入交付。
22 页中当前 9 页全绿（356 条认证连接），其余 14 页为配置页与接地/辅助页，需继续增强解析管线。这一比例本身即为交付现状的客观反映，也说明"准确率"与"可验收"是两个不同指标。
3.5 涉密场景的本地化路线：已建立可验证基线
涉密场景（核电、军工、电网）的核心约束为图纸不得上传外部服务。项目就此建立学生模型蒸馏路线：以 Qwen2.5-VL-3B 在本地 L2 标注数据上微调，替代云端视觉模型执行端子级识别。
训练算力使用 SCNet 集群（DCU/GPU 资源），本地仅承担推理验证。
三轮迭代指标如下：
| 轮次 | 训练数据 | F1 | 该轮确立的能力 |
|---|---|---|---|
| V1 | 114 条样本，5 轮 | 0.150 | 打通端到端链路，定位数据量瓶颈 |
| V2 | 508 条 + 负样本 | 0.109 | 负样本机制有效抑制误报，确认数据配方方向 |
| V3 | 246 条，按页切分 | 0.227 | 按页切分消除数据泄漏，指标具备可比性 |
关于指标口径需作说明：V3 得分低于 V2，但 V3 是首个可用于决策的数值。V2 存在同页数据泄漏，分数偏高；V3 采用按页切分后消除该偏差。评测口径校准优先于指标提升，这是本项目在数据处理上确立的基本纪律。
该管线当前处于本地可验证阶段，三项条件均已成立：
- 可复现：相同数据与切分方式下，指标稳定可重跑
- 可归因：每轮指标变动可归因至单一变量（数据量、负样本、切分方式）
- 可扩展：训练侧具备集群资源，数据规模到位后即可放大训练
后续瓶颈集中于两个变量：输入分辨率与标注数据规模。
本地推理阶段，32GB 统一内存环境下 3B 模型支持 384px 输入规格，A3 图纸缩至该尺寸后端子的可辨识度低于识别所需阈值；对应措施为在集群侧提升输入分辨率，并以视觉模型批量预标扩充数据（439 页预标成本约 25 元、耗时约 1.5 小时）。
结论是明确的：方法可行性已验证，剩余约束为资源投入而非技术路线。
3.6 并行交付路径：图纸脱敏代理
本地模型扩规模期间，涉密客户仍需可用交付形态。项目并行实施图纸脱敏代理，机制如下（已投产）：
- 从 PDF 文本层提取设备名、位号、柜号等敏感字符串
- 送图前将图面真实位号（如
A03JA）替换为DEV_001、DEV_002等占位符 - 将设备清单注入提示词，向模型提供该页设备上下文
- 云端模型返回结果后，将占位符还原为真实位号
- 全程留存审计材料：脱敏图、映射表、API 调用日志、识别结果
该机制的效果为：敏感位号体系不出内网，模型能力保持可用，且全链路可审计、可复现。这是当前涉密客户实际采用的交付形态。
四、能力成熟度与推进计划
项目按"已交付 / 推进中 / 规划中"三级管理能力成熟度，各级现状如下。
4.1 已交付（可进入评审与验收）
| 能力 | 支撑证据 |
|---|---|
| FCS 接线图全量解析 | 22 页完成解析，9 页通过 L2 金标准认证，356 条认证连接 |
| 端子级拓扑建库 | topology.db，每条连接可回溯至图纸页号与端子编号 |
| 设备级电源路径追踪 | 可自电源入口 BFS 遍历至终端负载 |
| 失电影响面分级 | high / medium / low / has_redundancy 四级输出 |
| KDS 逻辑图 SPF3 检测 | 3 页 98 功能块、303 条连接，检出 23 项（13 项共因失效 / 10 项潜在风险） |
| 同系列冗余汇聚识别 | P30 检出 RPN 双机柜输出汇聚等 6 项共因失效，P33 检出表决器输出单点放大路径 |
| 图纸脱敏代理 | 已投产，敏感位号体系不出内网，全链路可审计 |
| 金标准门禁与生产 SOP | 五道门禁 + 回归测试 + 归档 JSON 可恢复，新页可按 SOP 入库 |
上述能力已构成一条完整的生产链路：图纸进入 → 结构化建库 → 拓扑分析 → 检出结论与依据 → 门禁验收 → 可视化交付。项目在此基础上具备按机柜、按系统规模复制的能力。
4.2 推进中（已具备明确实现路径）
- 团标 SPF1~8 自动分类器：8 类故障码的概念映射与知识图谱已完成，自动分类引擎进入实现阶段
- SPV（跳机跳堆）合规判定：阈值式影响面分级已在产线运行，正在对齐团标语义判定树
- SPF3 扩展覆盖：信号链断裂与冗余共用 2 类已落地，参数审查、时序逻辑、仿真模式等 6 类按优先级推进
- 本地蒸馏模型：已完成可验证基线（V3 F1 0.227，无数据泄漏），依托集群资源扩分辨率与数据规模
- 跨页/跨图号串联：KDS→ARE、KDS→FCS 的引用关系已识别入库，串联路径分析在开发中
4.3 规划中
- 7 维度 / 6 因素评分模型：评分框架已定义，待分类器与判定树落地后接入
- 表决器输出端定义补全：修复 KDS 中 2/3 表决器被标记为 input 类型导致的链断裂误报
部署形态说明：本项目客户接受在线模型处理，当前采用在线视觉模型管线。离线能力（本地视觉模型蒸馏）已建立可验证基线并具备集群训练资源，按计划扩规模。
4.4 实施成效
三项成效可作为同类项目的参照基准：
- 检测能力：单机柜接线图在无人工预分类的前提下完成全量结构化，端子级连接认证精度达到可评审、可签字水平；逻辑图 3 页检出 13 项共因失效，其中包括双冗余机柜输出汇聚、三取二表决器输出单点放大等典型结构性缺陷。
- 交付形式：形成"解析—建库—分析—门禁—可视化"的完整链路，新增机柜可按 SOP 复制，改版后按影响范围增量重算，避免全量返工。
- 涉密适配：在敏感位号不外传的约束下仍保持模型能力可用，并留存完整审计链，为核电、军工、电网等场景提供了可落地的实施范式。
五、方案评估要点
针对"AI 能否承担单点失效排查"的评估，建议核对以下五项：
- 交叉验证机制：仅使用单一模型抽取图纸的方案，其准确率与可复现性难以支撑评审
- 共因失效覆盖类别：电源、接地、信号地三类中，仅做图面连线比对的方案将遗漏风险最高的一类
- 金标准与回归门禁：缺少门禁机制时，"准确率 90%"无法转化为验收指标
- 结论可追溯性：无法追溯至页号与端子编号的结论，不具备评审价值
- 团标条款覆盖清单：能明确列出未覆盖条款的方案，通常具备真实实施经验
断网场景的方案选择可参照下表：
| 场景 | 推荐方案 | 主要代价 |
|---|---|---|
| 完全断网，且要求端子级精度 | 本地小模型（检测 + OCR）+ 规则引擎 + 人工复核兜底 | 需投入蒸馏与验证周期 |
| 允许上云，但位号不得外传 | 脱敏代理（当前主力形态） | 需维护替换/还原与审计链路 |
| 允许上云，图纸不涉密 | 云端视觉模型直连 | 精度最高，按页计费 |
需要指出的是，"断网"与"必须本地大模型"并非等价命题。多数场景的真实诉求是敏感信息不出内网，而非算力必须在本地。区分这两类需求后，前者当前即可交付，后者可通过集群资源与已验证管线分阶段推进。
关于羽山数据
羽山数据（上海羽山数据服务有限公司）提供企业级数据服务与行业 AI 落地，覆盖金融、保险、人力、政务、能源等领域。本文所述核电厂仪控图纸分析系统，是公司在工业图纸场景的实施案例。
对外产品化版本：工业仪控图纸单点失效分析智能体（当前为演示版，按上述方法持续完善）。
如贵方具备 EPLAN 导出的接线图并希望验证该方法在实际项目中的效果，可提供单个机柜图纸进行验证。我方将输出检测结论及依据，供贵方先行判断结论可用性。联系方式：400-110-8298。