一種三冗余架構ETS保護裝置設計

1、    一種三冗余架構ets保護裝置設計    任曉琨摘 要：為實現對汽輪發(fā)電機組的安全保護，設計三冗余帶表決機制的緊急跳閘保護系統(tǒng)ets。采用全硬件加邏輯的方式進行設計，無需編程，通過搭配不同的接線端子板可適應絕大多數應用場合。通過與分布式控制系統(tǒng)dcs的系統(tǒng)聯試，ets工作穩(wěn)定，反應速度快，任務可靠性高，故障自診斷覆蓋率高，故障指示清晰準確，能夠安全可靠地實現透平機械故障停機保護。關鍵詞：安全保護;裝置互聯;三冗余;表決機制;ets;dcs：tp23 ：a ：2095-1302（2019）05-00-030 引 言緊急跳閘系統(tǒng)（emergency t

2、rip system，ets）保護裝置是通用透平機械安全保護系統(tǒng)的重要組成部分，主要針對小型透平機械的保護需求，為用戶提供純凝（背壓）機組、單抽（抽背）機組、拖動機組等類型機組的緊急跳閘保護功能。本文介紹一種采用三冗余架構實現的專用ets保護裝置設計，可用來取代傳統(tǒng)由plc組成的ets保護系統(tǒng)。與傳統(tǒng)plc構成的緊急跳閘系統(tǒng)相比，本文設計的專用ets保護裝置具有以下明顯優(yōu)點：（1）采用三冗余架構純硬件邏輯設計，可靠性高;（2）響應迅速且有虛警判別機制，可用率高;（3）通用性強，提供可適配絕大多數工業(yè)環(huán)境的外部端子板，通過開放的總線通信接口可與任意dcs系統(tǒng)相連;（4）無需組態(tài)且各子模塊采用熱插

3、拔設計，系統(tǒng)構建成本低，維護簡單;（5）自帶狀態(tài)顯示界面，系統(tǒng)狀態(tài)顯示直觀、清晰、準確，使用方便。1 整體設計框架ets保護裝置與分布式控制系統(tǒng)（distributed control system，dcs）、超速調速保護裝置一起構成汽輪機組，具有控制與調節(jié)保護功能，整體系統(tǒng)框圖如圖1所示。ets保護裝置通過可自適配的端子板分別將外部離散量輸入類型的跳機點信號送入3個冗余架構的i/o模塊，每個i/o模塊獨立采集跳機點信號后進行異步兩兩通信，通過fpga硬件進行第一級三取二邏輯表決，通過各自模塊上的離散量輸出通道輸出保護信號。3個i/o模塊的離散量輸出通道交叉連接構成第二級三取二表決。經過兩級表

4、決后的離散量輸出信號通過控制繼電器邏輯單元（relay logic unit，rlu）進而控制外部電磁閥，從而實現汽輪機緊急情況下的保護停車。此外，該裝置還設計了通信模塊，提供標準的modbus，profibus-dp以及rs 422/485接口，將ets保護裝置現行狀態(tài)和停機事件序列（sequence of event，soe）上報至dcs系統(tǒng)或操作員站，以供停機后分析查找跳機原因，前面板模塊提供當前系統(tǒng)狀態(tài)指示。2 關鍵技術描述ets的技術核心在于高可靠性的表決機制，高可靠性跳機信號的采集和處理電路。本文選擇ets保護裝置中的表決機制構建、全自檢隔離di采集方案、異步do輸出自檢機制3個關

5、鍵技術進行描述。2.1 表決機制構建由于ets在整個汽輪機控制與保護系統(tǒng)中處于特別重要的位置，因此其必須設計為容錯系統(tǒng)，且具有高可用性。容錯系統(tǒng)是指在系統(tǒng)的一個或多個組件出現錯誤時仍能保證系統(tǒng)整體運行安全性的技術1。目前，已經有一些方法來保證系統(tǒng)的容錯能力2，多系冗余就是其中一種3。iec61508推薦了5種安全系統(tǒng)的結構，并計算了各種結構的可靠性，三取二是其中可靠性最高的一種4。本文系統(tǒng)采用兩級三取二表決機制構成冗余系統(tǒng)。三個獨立運行可熱插拔的iom模塊通過周期為1 ms的兩兩異步通信交換各自采集到的跳機信號，在內部邏輯中構成第一級邏輯表決機制。三個iom模塊根據第一級邏輯表決結果，通過硬件

6、接口輸出跳機/不跳機信號，通過6個mos管硬件結構搭成第二級表決機制。若兩級跳機信號表決均通過，則mos管輸出驅動rlu內部繼電器，實現汽輪機停機保護。第一級邏輯表決機制如圖2所示，第二級邏輯表決機制如圖3所示。在第二級表決機制中，通過6個mos管構成三取二表決機制。第二級mos驅動控制信號1和控制信號2均來自第一級的表決結果。當任意兩系或者兩系以上輸出mos管控制信號后，24 v冗余電源通過2個mos管后可驅動rlu單元繼電器，實現停機保護。由于ets系統(tǒng)需要在工業(yè)現場全天候實時進行停機保護，因此必須保證其高可用性。在三系板卡高自檢率與可熱插拔更換維修的基礎上，設計降級判決機制，具體見表1所

7、列。通過構建兩級三取二表決機制語故障時的降級處理機制，可保證ets保護裝置的高任務可靠性，降低虛警率。2.2 全自檢隔離di采集方案工控系統(tǒng)的實際應用環(huán)境較為嚴苛，干擾因素較多。若di采集電路與外部信號直連，則易引入外部干擾，降低系統(tǒng)可靠性與穩(wěn)定性，易出現誤動作等故障。因此，本文選用光耦隔離器對外部信號與內部采集電路進行隔離，既能使輸入信號無阻通過，同時又能抑制尖峰脈沖與各種噪聲干擾。di采集接口整體框架如圖4所示。2.3 異步do輸出自檢機制ets保護裝置正常工作時，rlu繼電器原邊線圈處于接通狀態(tài)，mos管控制信號為高電平信號，但絕大部分時間不會進行緊急跳閘動作，即絕大多數時間不會斷開表決

8、mos的控制信號。為了既保證緊急跳閘時do輸出通道的可用性，又能實現對do輸出通道的周期自檢，特設計一種基于表決mos管的異步do輸出自檢機制。參照圖4，對a系do輸出自檢方案進行分析。a板的兩個控制端自主發(fā)出自檢脈沖，其中a1控制端每個do自檢周期發(fā)出1個脈沖，a2控制端每個do自檢周期發(fā)出3個脈沖。在實際do輸出通道中，c1與a2構成一個通道，系統(tǒng)剛剛上電時，a1控制端與c1控制端發(fā)出脈沖的時間應一致，此時a2回讀端在一個周期t內應回讀到4個脈沖信號。而系統(tǒng)運行一段時間后，由于各板的晶振精度不一致或出現板卡拔插的情況，導致c1控制端與a1控制端不一致，即有可能發(fā)生c1控制發(fā)出的脈沖與a2自

9、主發(fā)出的3個脈沖之一有重合，那么此時a2回讀端一個周期t內應收到3個脈沖信號。自檢過程如圖5所示。如果do通道無故障，a2回讀端至少應接收到3個或4個脈沖信號，出現其他情況可判定是繼電器輸出控制通道出現了故障。另外，rlu內大繼電器典型的動作時間為5 ms，因此將輸出脈沖持續(xù)時間設置為10 s，自檢周期間隔設置為10 s，這樣既可保證實現do輸出的自檢，又可保證繼電器線圈端能量不會累積，不會導致rlu大繼電器誤動作。3 結 語本文ets保護系統(tǒng)裝置采用多種新型獨創(chuàng)技術，實現了高可靠性多余度汽輪機跳閘保護功能。在實際應用中，ets保護裝置運行穩(wěn)定可靠，故障自檢機制完備，通用性強，使用維護方便，適

10、用于絕大多數dcs系統(tǒng)級應用。參 考 文 獻1 chen l m ，avizienis a.n-version programming： afault tolerance approach to reliability of software operationc.proc.of the 8th annual international symposium on fault tolerant computing，new york，usa：s.n.， 1978.2涂雪紅，王強，張運德.核電汽輪機三取二表決、四取二液壓遮斷保護裝置通道試驗設計j.東方汽輪機，2018（1）：56-59.3鄭博.繼電

11、保護裝置自動測試系統(tǒng)設計j.電子測試，2017（19）：15-16.4王治國，于哲，篤峻.繼電保護裝置整機智能測試及其關鍵技術研究j.計算技術與自動化，2018，37（4）：21-26.5 butler r w. the sure approach to reliability analysisj.ieee trans.on reliability，1992，41（2）：210-218.6 anderson t， lee p a.fault tolerance， principles and practicem.s.l.：springer-verlag，1990.7 international electrotechnical commission.iec 61508-1997 functional safety of electrical/electronicprogrammableelectronic safety-related systemss.1997.8白剛，賈新強.plc型dcs控制