二十五項反措之防止分散控制系統(tǒng)熱工保護(hù)失靈事故講解

1、防止分散控制系統(tǒng)、熱工保護(hù)失靈事故一、 DCS的設(shè)計1、CPU負(fù)荷率應(yīng)控制在設(shè)計指標(biāo)之內(nèi)，并留有適當(dāng)裕度（一般控制器CPU負(fù)荷率，最忙時，不大于60，操作員站CPU負(fù)荷率，最忙時，不大于40）。 黃島公司根據(jù)ABB廠家提供的方法制定了環(huán)路、各PCU節(jié)點(diǎn)，以及各BRC負(fù)荷率的實時監(jiān)控。通過將BRC控制模件版本升級、NIS通訊模件由F3版本升級為F8版本、刪除各BRC中廢塊、廢邏輯等舉措，優(yōu)化各BRC負(fù)荷率，將控制器負(fù)荷率控制在40%以內(nèi)，在開停機(jī)等繁忙時也未超過60；操作員站CPU負(fù)荷率也能滿足要求，對不能滿足要求的操作員站可通過升級工作站來實現(xiàn)負(fù)荷率的優(yōu)化，黃島公司就曾經(jīng)先后將#5、6機(jī)組歷史

2、站，#5機(jī)組5CWE01操作員站升級，將原先DELL380機(jī)型更換為T5500機(jī)型，CPU處理能力大大提高。根據(jù)ABB廠家提供的方法制定的環(huán)路、各PCU節(jié)點(diǎn)，以及各BRC負(fù)荷率的實時監(jiān)控二、DCS的配置1、 DCS系統(tǒng)配置應(yīng)能滿足機(jī)組任何工況下的監(jiān)控要求（包括緊急故障處理）。以黃島公司三期Symphony系統(tǒng)為例，根據(jù)功能分散和物理位置分散相結(jié)合的原則，單元機(jī)組的控制系統(tǒng)在DCS系統(tǒng)中遵循了以下配置原則： 1）模擬量控制系統(tǒng)（MCS）的主要回路、鍋爐爐膛安全監(jiān)控系統(tǒng)（FSSS）、汽輪機(jī)控制系統(tǒng)（DEH）、給水泵汽輪機(jī)控制系統(tǒng)（MEH）的控制處理器均單獨(dú)配置，其控制柜（模件柜）和相應(yīng)的I/O端子

3、柜集中布置在電子設(shè)備間。 2）數(shù)據(jù)采集與處理系統(tǒng)（DAS）、模擬量控制（MCS）得簡單回路和順序控制系統(tǒng)（SCS）的控制處理器和I/O端子柜根據(jù)工藝系統(tǒng)統(tǒng)籌配置，其控制機(jī)柜和相應(yīng)的I/O端子柜按照靠近被監(jiān)控對象的原則分別布置在電子設(shè)備間和其它輔助電子設(shè)備間；數(shù)據(jù)采集與處理系統(tǒng)(DAS)的遠(yuǎn)程智能測量前端(IDAS，用于爐頂壁溫監(jiān)測和發(fā)電機(jī)本體溫度點(diǎn)監(jiān)測)布置在現(xiàn)場）電氣廠用電監(jiān)控系統(tǒng)(ECS)的發(fā)電機(jī)/變壓器組及廠用電源系統(tǒng)的控制處理器單獨(dú)配置）海水泵房的遠(yuǎn)程站布置在海水泵房控制設(shè)備間海水泵房系統(tǒng)應(yīng)分設(shè)兩個I/O柜，每個I/O柜設(shè)有獨(dú)立的電源裝置，確保兩個I/O柜的受控對象的安裝施工和分開檢修

4、工作順利進(jìn)行而在系統(tǒng)硬件配置方面，黃島公司三期單臺機(jī)組按FSSS、DEH、MEH、MCS、DAS、ECS、SOE等系統(tǒng)配置了13個控制柜，每一控制柜配置冗余通訊模件、冗余電源模塊、冗余控制模件。、操作員站的配置應(yīng)能滿足機(jī)組各種工況下的操作要求，特別是緊急故障處理的要求。黃島公司三期單臺機(jī)組操作員站配置了5臺，其中三臺是服務(wù)器，作為環(huán)路的節(jié)點(diǎn)(NODE)，通過控制網(wǎng)絡(luò)交換相應(yīng)的數(shù)據(jù)，另外兩臺作為客戶端通過冗余的交換機(jī)與服務(wù)器實現(xiàn)數(shù)據(jù)的交換。 由此可見，無論是電源、控制、通訊，還是操作員站都按照冗余配置，完全能滿足機(jī)組任何工況下的監(jiān)控及操作要求。、 少數(shù)重要操作按鈕的配置，應(yīng)能滿足機(jī)組緊急故障處理

5、的要求。、 緊急停機(jī)停爐按鈕配置，應(yīng)采用與DCS分開的單獨(dú)操作回路比如黃島公司三期單臺機(jī)組在操作臺配置了手動停機(jī)、手動MFT、發(fā)電機(jī)跳閘、鍋爐PCV閥、汽輪機(jī)真空破壞門、直流潤滑油泵、交流潤滑油泵、手動停小機(jī)等應(yīng)急按鈕，作為獨(dú)立于DCS的后備操作手段，從而確保機(jī)組緊急安全停機(jī)。、 公用系統(tǒng)的重要設(shè)備（如循環(huán)水泵、空冷系統(tǒng)的輔機(jī)）應(yīng)納入各自單元控制網(wǎng)，避免由于公用系統(tǒng)中設(shè)備事故擴(kuò)大為兩臺或全廠機(jī)組的重大事故。、 在沒有充分技術(shù)保證的情況下，嚴(yán)禁將單元機(jī)組控制網(wǎng)、公用控制網(wǎng)、輔控網(wǎng)相互連接。三、事故處理、 已配備DCS的電廠，應(yīng)根據(jù)機(jī)組的具體情況，制定出在各種情況下DCS故障情況下的事故處理預(yù)案、

6、 運(yùn)行人員應(yīng)熟悉DCS故障情況下的事故處理預(yù)案4、 DCS系統(tǒng)維護(hù)、 應(yīng)制定DCS系統(tǒng)軟件和應(yīng)用軟件的管理制度、 與非生產(chǎn)信息系統(tǒng)聯(lián)網(wǎng)時，應(yīng)采取有效的隔離措施(DCS系統(tǒng)只單向發(fā)送)SIS、機(jī)組在線監(jiān)控等系統(tǒng)需要與DCS系統(tǒng)聯(lián)網(wǎng)，通過OPC協(xié)議讀取機(jī)組數(shù)據(jù)，為了防止病毒侵入，必須配置有效的隔離防護(hù)措施，一般在接口機(jī)后、交換機(jī)前配置單向隔離器，只允許數(shù)據(jù)由DCS側(cè)向外傳輸，禁止外部數(shù)據(jù)向DCS側(cè)傳輸，保證了DCS的安全運(yùn)行。、 應(yīng)定期檢查DCS中存在的“被強(qiáng)制點(diǎn)”，與批準(zhǔn)手續(xù)核對并作記錄。車間安排專人負(fù)責(zé)，每天檢查邏輯組態(tài)及保護(hù)投停記錄本，發(fā)現(xiàn)問題，追根溯源，考核責(zé)任人。、 應(yīng)定期檢查電源回路端

7、子排、配線、電纜接線螺絲無松動和過熱現(xiàn)象，電源保險絲容量是否保持與設(shè)計圖紙一致。利用大小修、臨修等機(jī)會，檢查端子松動及保險容量。、 應(yīng)定期對用于UPS的蓄電池進(jìn)行充放電試驗。、 應(yīng)定期檢查冗余配置的過程控制單元、通訊借口、通訊環(huán)路是否處于良好的熱備用工作狀態(tài)。、 應(yīng)定期進(jìn)行各控制站、計算站、數(shù)據(jù)管理站、數(shù)據(jù)通訊總線的負(fù)荷率在線測試工作，并建立技術(shù)檔案登記本。5、 系統(tǒng)配置、 主要控制器應(yīng)采用冗余配置，其對數(shù)應(yīng)嚴(yán)格遵循機(jī)組重要保護(hù)和控制分開的獨(dú)立性原則配置，不應(yīng)以控制器能力提高為理由，減少控制器的配置數(shù)量，從而降低系統(tǒng)配置的分散度。黃島公司三期FSSS、DEH、SCS、MCS等系統(tǒng)根據(jù)控制容量及

8、風(fēng)險分散要求都配置了一至三對的冗余控制模件，實現(xiàn)重要輔機(jī)、重要參數(shù)分BRC控制，比如甲側(cè)的送風(fēng)機(jī)、引風(fēng)機(jī)、一次風(fēng)機(jī)、空預(yù)器等設(shè)備控制布置在PCU14M3，而乙側(cè)的送風(fēng)機(jī)、引風(fēng)機(jī)、一次風(fēng)機(jī)、空預(yù)器等設(shè)備控制布置在PCU14M5。利用機(jī)組大小修、臨修、調(diào)停等機(jī)會定期對冗余控制器作切換試驗，以檢查備用控制器的可靠性，試驗步驟及標(biāo)準(zhǔn)如下：雙控制器切換試驗試驗步驟序號試驗步驟及標(biāo)準(zhǔn)1確認(rèn)并記錄切換前雙控制器工作正常，控制系統(tǒng)無異常報警2調(diào)出與當(dāng)前試驗控制器相關(guān)的過程畫面、報警畫面及各類型IO點(diǎn)的實時趨勢，檢查無異常3復(fù)位處于控制狀態(tài)的控制器，檢查備用控制器自動切換為控制狀態(tài)，各狀態(tài)燈指示正常，各過程畫面

9、、報警畫面及實時趨勢無異常4按上述步驟將控制器切換至試驗前狀態(tài)試驗記錄站號切換前狀態(tài)切換后狀態(tài)結(jié)論試驗人員 時間：、重要I/O點(diǎn)是否考慮采用非同一板件的冗余配置。根據(jù)可靠性配置原則，機(jī)組負(fù)荷、汽輪機(jī)轉(zhuǎn)速、凝汽器真空、主蒸汽壓力、主蒸汽溫度、主給水流量等重要模擬量監(jiān)控信號以及主保護(hù)信號等應(yīng)三重冗余配置，即重要參數(shù)應(yīng)配置三個測點(diǎn)，而且三個不同測點(diǎn)分別配置在三塊I/O模件上，避免因一塊模件故障而引起兩個以上測點(diǎn)故障導(dǎo)致保護(hù)誤動作或失去重要參數(shù)的監(jiān)控。、系統(tǒng)電源設(shè)計應(yīng)有可靠的兩路供電電源（如一路為UPS電源，一路為保安電源）。黃島公司三期DCS即設(shè)計兩路供電，一路為UPS電源，一路為保安段電源，正常運(yùn)

10、行時，保安電源為備用電源，一旦UPS電源出現(xiàn)故障時，備用電源迅速切為工作電源。利用機(jī)組大小修、臨修、調(diào)停等機(jī)會定期對冗余電源作切換試驗，以檢查備用電源的可靠性，試驗步驟及標(biāo)準(zhǔn)如下：雙電源切換試驗試驗步驟序號試驗步驟及標(biāo)準(zhǔn)1測量記錄兩路電源參數(shù)，確認(rèn)符合技術(shù)要求（電壓波動<10額定電壓，頻率范圍為50Hz±0.5Hz）2檢查確認(rèn)兩路電源總開關(guān)及各站電源分開關(guān)全部處于合閘位置3拉開主電源總開關(guān)，各站應(yīng)自動無擾切換至副電源供電，檢查并記錄切換前后各站運(yùn)行狀態(tài)及失電報警情況4合上主電源總開關(guān)，各站應(yīng)自動無擾切換至主電源供電，檢查并記錄切換前后各站運(yùn)行狀態(tài)及失電報警情況5拉開副電源總開關(guān)

11、，各站應(yīng)不受任何影響，檢查失電報警情況試驗記錄主電源參數(shù)測量副電源參數(shù)測量操作站號切換前狀態(tài)切換后狀態(tài)拉開主電源失電報警情況：合上主電源失電報警情況：試驗結(jié)論試驗人員 時間：備注：本試驗僅適用于設(shè)計為雙路電源并能實現(xiàn)自動無擾切換的控制系統(tǒng)，對某些雖然設(shè)計兩路電源供電但不能自動切換的控制系統(tǒng)，不能進(jìn)行此項試驗?？刂葡到y(tǒng)正常運(yùn)行時，應(yīng)由主電源即UPS電源供電，發(fā)生電源切換至副電源后，應(yīng)及時消除故障，恢復(fù)主電源供電方式。黃島公司#3爐FSSS火檢系統(tǒng)最早的設(shè)計是單路UPS電源輸入，曾經(jīng)發(fā)生過因UPS電源故障導(dǎo)致FSSS火檢放大器全部失電，所有火檢發(fā)“無火”信號，全爐膛滅火保護(hù)動作，鍋爐MFT，這是典

12、型的因電源故障，造成保護(hù)誤動的事故。為了避免類似事故的發(fā)生，結(jié)合25項反措中“系統(tǒng)電源設(shè)計應(yīng)有可靠的兩路供電電源”，我們利用機(jī)組大小修機(jī)會，對3、4機(jī)組TSI、火檢等系統(tǒng)進(jìn)行電源改造，將單路交流電源輸入改為雙路自動切換。雙路自動切換電源裝置的兩路輸入電源分別來自UPS和保安段，輸出到保護(hù)系統(tǒng)，實現(xiàn)兩路電源的冗余配置，確保熱工保護(hù)系統(tǒng)在任一路電源故障的情況下都能正?？煽康墓ぷ?，不發(fā)生保護(hù)誤動或拒動，保證機(jī)組安全穩(wěn)定運(yùn)行。雙路自動切換電源裝置的原理如圖一：、操作員站如無雙路電源切換裝置，是否將兩路供電電源分別連接于不同的操作員站。黃島公司三期操作員站電源是DCS電源柜UPS、保安段兩路電源轉(zhuǎn)換后的

13、，任意一路失電都不會影響操作員站的正常工作。、系統(tǒng)電源故障是否在控制室內(nèi)設(shè)有獨(dú)立于DCS之外的聲光報警。黃島公司三期最初并未設(shè)計獨(dú)立于DCS之外的聲光報警，只在監(jiān)控畫面中設(shè)計了聲光報警，后來在控制室增加了光字牌，將ETS、DEH、METS、FSSS、火檢放大器柜等系統(tǒng)電源故障信號引入。、非DCS系統(tǒng)用電設(shè)備，嚴(yán)禁接到DCS系統(tǒng)的UPS電源裝置上。、所有重要的主輔機(jī)保護(hù)都應(yīng)采用三取二（或四取二）的邏輯判斷方式，保護(hù)信號必須是相互獨(dú)立的一次元件和輸入通道。一般保護(hù)可采用一取一或二取二的邏輯判斷方式，但必須采取防止誤動和拒動的措施。黃島公司機(jī)組在最初設(shè)計時有部分保護(hù)是單點(diǎn)設(shè)計，如小汽輪機(jī)保安油壓低停

14、機(jī)保護(hù)，最初只設(shè)計了一個壓力開關(guān)，很容易造成保護(hù)誤動。經(jīng)過改造，增加兩個壓力開關(guān)，實現(xiàn)保護(hù)三取二的優(yōu)化。對于溫度測點(diǎn)，由于測溫元件老化、振動等導(dǎo)致斷線或接觸不良、接線松動時容易引起保護(hù)誤動。解決這個問題，我們可以利用DCS的判斷功能，正確區(qū)分溫度示值超限時是元件故障還是實際溫度確實超限。我們知道，測點(diǎn)實際溫度的升高都有一定的速率，尤其是主機(jī)和輔機(jī)軸承溫度的升高更不會太快，而由于溫度測量回路發(fā)生故障引起溫度飛升的時間一般很短，甚至為一個很短的高值脈沖。引入溫變速率概念可以很好地解決由于斷線或干擾等因素造成的溫度飛升問題，將溫度信號進(jìn)行速率計算，如果溫升速率超過預(yù)定值，則屏蔽該信號，認(rèn)為該信號為“

15、壞點(diǎn)”，禁止輸出，同時發(fā)出聲光報警信號，提醒運(yùn)行人員聯(lián)系檢修人員處理。若溫升速率小于預(yù)定值，即當(dāng)溫升速率未超限且溫度達(dá)到保護(hù)定值時，保護(hù)動作。當(dāng)然，速率限制的作用也不是絕對的，尤其是在測溫元件導(dǎo)線接觸不良、接線松動的情況下，電阻的變化是沒有規(guī)律的，緩慢而持續(xù)的變化也可能出現(xiàn)，使速率限制失去作用。因此，對帶保護(hù)的測溫元件一定要加強(qiáng)維護(hù)，在有條件的情況，最好多設(shè)置幾個測點(diǎn)，作到測量信號“三取中”的原則，避免單個測點(diǎn)的失靈導(dǎo)致保護(hù)誤動。汽泵推力軸承溫度、DCS的系統(tǒng)接地必須嚴(yán)格遵守技術(shù)要求，所有進(jìn)入DCS系統(tǒng)控制信號的電纜必須采用質(zhì)量合格的屏蔽電纜，且有良好的單端接地。、所有進(jìn)入熱控保護(hù)系統(tǒng)的就地一次檢測元件以及可能造成機(jī)組跳閘的就地元部件，必須有明顯的標(biāo)志，以防人為原因造成熱工保護(hù)誤動。不僅要求有標(biāo)志，而且標(biāo)志必須正確可靠，否則將