控制系統(tǒng)可靠性及應急處理

1、1提高熱控系統(tǒng)可靠性提高熱控系統(tǒng)可靠性2控制系統(tǒng)的可靠性要求控制系統(tǒng)的可靠性要求故障安全故障安全。任一控制系統(tǒng)的部件故障，機。任一控制系統(tǒng)的部件故障，機組仍能安全運行。組仍能安全運行。影響最小影響最小。任一控制系統(tǒng)的部件故障，對。任一控制系統(tǒng)的部件故障，對機組運行影響最小。機組運行影響最小。容錯最大容錯最大?？刂葡到y(tǒng)保證機組安全運行允。控制系統(tǒng)保證機組安全運行允許的故障程度最大。許的故障程度最大。及時處理及時處理。及時的維護和應急處理，保證。及時的維護和應急處理，保證機組安全可靠運行。機組安全可靠運行。3控制系統(tǒng)可靠控制系統(tǒng)可靠(容錯容錯)配置配置電源冗余電源冗余容錯配置容錯配置“三重化三重化

2、”輸入輸入/ /輸出配置輸出配置控制器故障對機組影響最小控制器故障對機組影響最小通信冗余通信冗余容錯配置容錯配置4DCS電源電源須冗余配置須冗余配置DCSDCS供電電源、電源裝置冗余配置。任一供電電源、電源裝置冗余配置。任一電源或電源裝置故障時，也應能保證供電。電源或電源裝置故障時，也應能保證供電。二路電源物理上應分離。杜絕局部故障、二路電源物理上應分離。杜絕局部故障、維護不當、小動物進入等造成二路供電同時維護不當、小動物進入等造成二路供電同時失去的情況。失去的情況。通信設備和操作員站通過切換裝置實現(xiàn)供通信設備和操作員站通過切換裝置實現(xiàn)供電冗余。應分組采用不同的主電源，即使切電冗余。應分組采用

3、不同的主電源，即使切換裝置故障，在某路供電電源失去時，仍能換裝置故障，在某路供電電源失去時，仍能保證部分操作員站和通信正常運行。保證部分操作員站和通信正常運行。5DCS控制器須可靠冗余控制器須可靠冗余硬件故障、軟件出錯、通信故障及失去電硬件故障、軟件出錯、通信故障及失去電源等，仍能正常承擔控制任務。源等，仍能正常承擔控制任務。類故障控制器最少類故障控制器最少。只有。只有MFTMFT、ETSETS！l雙列布置輔機或設備分配在二對控制器中。雙列布置輔機或設備分配在二對控制器中。l同一工藝分配在同一控制器中，如制粉系同一工藝分配在同一控制器中，如制粉系統(tǒng)。統(tǒng)。能可靠在線組態(tài)。能可靠在線組態(tài)。l 單列

4、布置輔機分配在同一控制器中。單列布置輔機分配在同一控制器中。6DCS通信系統(tǒng)須冗余設置通信系統(tǒng)須冗余設置冗余通信設備應物理上分離。冗余通信設備應物理上分離。對于多對通信設備（如交換機），任一對對于多對通信設備（如交換機），任一對通信設備都故障，對機組影響最小。通信設備都故障，對機組影響最小。l操作員站應分散布置在不同的交換機上操作員站應分散布置在不同的交換機上l相關性強的控制器布置在同一對交換機上。相關性強的控制器布置在同一對交換機上。除一對互為冗余通信設備同時故障外，控除一對互為冗余通信設備同時故障外，控制系統(tǒng)的通信應能正常運行。制系統(tǒng)的通信應能正常運行。l對機組監(jiān)視影響最小。對機組監(jiān)視影響

5、最小。7I/O布置的可靠性要求布置的可靠性要求任一信號的測量原件、任一信號的測量原件、I/OI/O模件通道故障不能造模件通道故障不能造成保護誤動和拒動。成保護誤動和拒動。三重化冗余輸入要求同一物理參數應采用三個相三重化冗余輸入要求同一物理參數應采用三個相互獨立的一次測量元件測量，并由三根不同的電互獨立的一次測量元件測量，并由三根不同的電纜接入三塊不同的輸入處理模件。纜接入三塊不同的輸入處理模件。主輔機保護信號，應按三重化冗余原則配置，主輔機保護信號，應按三重化冗余原則配置，MFTMFT、ETSETS、單列布置輔機應三重化。、單列布置輔機應三重化。三重化冗余保護輸出要求動作指令由三塊不同的三重化

6、冗余保護輸出要求動作指令由三塊不同的輸出處理模件及其繼電器等構成一種三選二回路。輸出處理模件及其繼電器等構成一種三選二回路。8保護邏輯的可靠設計保護邏輯的可靠設計(民主表決民主表決)信號故障處理信號故障處理( (正確的證據正確的證據) )輔助輔助( (智能智能) )判斷判斷相關信號構成三重化判斷邏輯相關信號構成三重化判斷邏輯三重化判斷邏輯三重化判斷邏輯控制邏輯的可靠性要求控制邏輯的可靠性要求通過冗余判斷、輔助判斷、智能判斷等容錯邏輯通過冗余判斷、輔助判斷、智能判斷等容錯邏輯設計技術提高保護、聯(lián)鎖功能的可靠性，確?？卦O計技術提高保護、聯(lián)鎖功能的可靠性，確?？刂葡到y(tǒng)局部單一故障，不會造成保護拒動和

7、誤動。制系統(tǒng)局部單一故障，不會造成保護拒動和誤動。信號故障處理。在出現(xiàn)信號故障處理。在出現(xiàn)“壞質量壞質量”或或“變化率超變化率超限限”，防止保護誤動。及時報警。，防止保護誤動。及時報警。10三重化判斷邏輯三重化判斷邏輯三重化開關量判斷邏輯三重化開關量判斷邏輯跨控制器的三重化判斷邏輯跨控制器的三重化判斷邏輯三重化模擬量判斷邏輯三重化模擬量判斷邏輯跳閘信號2跳閘信號1跳閘信號3跳閘條件H/LH/LH/L2/3跳閘信號2跳閘信號1跳閘信號3跳閘條件中選H/L跳閘條件DO1DI12/3DO2DI2DO3DI3跳閘信號2跳閘信號1跳閘信號3H/LH/LH/L跳閘信號2跳閘信號1跳閘信號3跳閘條件中選H/

8、LDO1DI12/3DO2DI2DO3DI3跳閘信號2跳閘信號1跳閘信號3跳閘條件中選AO1AI1AO2AI2AO3AI3中選H/L相關信號構成三重化判斷邏輯相關信號構成三重化判斷邏輯運行2/3停止電流/L停止狀態(tài)N11雙模擬量信號保護判斷邏輯雙模擬量信號保護判斷邏輯12輔助判斷輔助判斷輔助判斷的主要作用防止保護誤動，但不能增加輔助判斷的主要作用防止保護誤動，但不能增加保護拒動的概率。保護拒動的概率。輔助條件應多個，任一滿足時，主保護條件滿足，輔助條件應多個，任一滿足時，主保護條件滿足，保護動作。保護動作。輔助條件與主保護條件存在著必然的聯(lián)系，而且輔助條件與主保護條件存在著必然的聯(lián)系，而且主保

9、護條件滿足，輔助判斷條件必然存在。如輔主保護條件滿足，輔助判斷條件必然存在。如輔助判斷定值應低于跳閘值，一般為報警值。助判斷定值應低于跳閘值，一般為報警值。輔助判斷條件在故障時，應退出保護判斷，不影輔助判斷條件在故障時，應退出保護判斷，不影響主保護動作。響主保護動作。應急處理應急處理分散控制系統(tǒng)（DCS）在運行中的故障，如電源失電、操作員站“黑屏”或“死機”、冗余控制器切換異常、通訊中斷以及模件損壞等，如果處理不當會導致故障擴大，造成機組跳閘甚至主設備損壞事故。為建立分散控制系統(tǒng)故障應急處理和長效管理機制，確保故障發(fā)生時能夠迅速、準確地組織故障處理，最大限度地降低故障造成的影響電力行業(yè)熱工自動

10、化技術委員會電力行業(yè)熱工自動化技術委員會 故障分級故障分級電力行業(yè)熱工自動化技術委員會電力行業(yè)熱工自動化技術委員會 按故障后果分級按故障后果分級一級一級跳機，或可能導致人身傷害、重要設備損壞跳機，或可能導致人身傷害、重要設備損壞二級二級處理不當會轉為一級處理不當會轉為一級三級三級暫不影響機組安全暫不影響機組安全6類：電源全失；操作站全失；網絡全癱瘓；類：電源全失；操作站全失；網絡全癱瘓；FSSSFSSS全失；全失；ETSETS全失；全失；DEHDEH全失；全失；電力行業(yè)熱工自動化技術委員會電力行業(yè)熱工自動化技術委員會 序號故障類型故障描述故障級別A1電源故障DCS系統(tǒng)電源失去DCS系統(tǒng)電源全部

11、失去一級A2DCS系統(tǒng)電源單路失去二級A3A類控制系統(tǒng)（除DCS系統(tǒng)）電源失去全部失去（見控制器故障）一級A4任一電源失去冗余二級B1網絡故障DCS網絡全部癱瘓（包括數據通訊服務器全部故障）一級B2A類控制系統(tǒng)任一網絡失去冗余（包括數據通訊服務器單個故障）二級C1控制器故障全部故障（包括電源失去）鍋爐/汽機主保護控制器、DEH基本控制器全部故障，或A類控制系統(tǒng)任一對冗余控制器全部故障且涉及安全的參數無必要后備監(jiān)視手段一級C2除一級外，A類控制系統(tǒng)控制器全部故障但有必要的后備監(jiān)視手段二級C3單側故障A類控制系統(tǒng)（FSSS、ETS 、DEH基本等）控制器失去冗余二級C4非A類控制系統(tǒng)控制器失去冗余

12、三級D1操作員站故障操作員站全部失去監(jiān)控一級D2部分操作員站失去監(jiān)控二級EI/O模件故障A類I/O模件故障二級分散控制系統(tǒng)設備重大故障源分級分散控制系統(tǒng)設備重大故障源分級電力行業(yè)熱工自動化技術委員會電力行業(yè)熱工自動化技術委員會 響應流程響應流程電力行業(yè)熱工自動化技術委員會電力行業(yè)熱工自動化技術委員會 一級一級停機判斷，或轉為二級停機判斷，或轉為二級二級二級處理評估，可轉為一級處理評估，可轉為一級三級三級日常維護程序日常維護程序電力行業(yè)熱工自動化技術委員會電力行業(yè)熱工自動化技術委員會 電力行業(yè)熱工自動化技術委員會電力行業(yè)熱工自動化技術委員會 故障處理、故障處理、DCS系統(tǒng)維護規(guī)范操作系統(tǒng)維護規(guī)范

13、操作 1） 故障快速查找表（現(xiàn)象、原因、處理步驟、故障快速查找表（現(xiàn)象、原因、處理步驟、安措、影響）安措、影響）2） 典型操作卡（送電、在線換卡、復位、下典型操作卡（送電、在線換卡、復位、下裝、備份、采用維護指令）裝、備份、采用維護指令）3） 應急預案應急預案4） 可靠性確認要點及異常處理注意點（設計、可靠性確認要點及異常處理注意點（設計、維護建議）維護建議）電力行業(yè)熱工自動化技術委員會電力行業(yè)熱工自動化技術委員會 應急處理原則應急處理原則l一級故障注重于跳閘后的恢復，重點是確保設備不損壞.l二級故障是故障應急處理中的重點，重點防止演變?yōu)橐患壒收?確保機組不跳閘或故障擴大。電力行業(yè)熱工自動化技

14、術委員會電力行業(yè)熱工自動化技術委員會 電力行業(yè)熱工自動化技術委員會電力行業(yè)熱工自動化技術委員會 電力行業(yè)熱工自動化技術委員會電力行業(yè)熱工自動化技術委員會 一級故障預案：電源全失、一級故障預案：電源全失、FSSSFSSS全失、全失、ETSETS全失、全失、DEHDEH全失全失 l 控制系統(tǒng)設計是否能保證被控設備和系統(tǒng)處于安全狀態(tài)？控制系統(tǒng)設計是否能保證被控設備和系統(tǒng)處于安全狀態(tài)？-由于由于各電廠控制系統(tǒng)在設計上存在差異，有必要進行安全性評估。各電廠控制系統(tǒng)在設計上存在差異，有必要進行安全性評估。l DCS全部電源失去以后，由于鍋爐風煙系統(tǒng)全部電源失去以后，由于鍋爐風煙系統(tǒng)“防內爆防內爆”保護邏輯

15、保護邏輯和控制回路均不能工作和控制回路均不能工作 ，應關注爐膛壓力的變化，必要時立即停止，應關注爐膛壓力的變化，必要時立即停止送引風機運行（通常是在送引風機運行（通常是在5min吹掃完成后停止）。吹掃完成后停止）。電力行業(yè)熱工自動化技術委員會電力行業(yè)熱工自動化技術委員會 電力行業(yè)熱工自動化技術委員會電力行業(yè)熱工自動化技術委員會 一級故障預案：操作站全失、網絡癱瘓一級故障預案：操作站全失、網絡癱瘓 判斷是否需要停機？判斷是否需要停機？-故障時間、后備監(jiān)視支持、網絡結構、聯(lián)鎖邏輯組態(tài)設計都故障時間、后備監(jiān)視支持、網絡結構、聯(lián)鎖邏輯組態(tài)設計都是要考慮的因素。是要考慮的因素。ABB、國電智深、和利時、

16、國電智深、和利時、 GE 新華、上海新華、南京科遠系統(tǒng)：新華、上海新華、南京科遠系統(tǒng)：無后備監(jiān)視，短時間內無法恢復，打閘停機。無后備監(jiān)視，短時間內無法恢復，打閘停機。日立系統(tǒng)：日立系統(tǒng)：無后備監(jiān)視，或無后備監(jiān)視，或15min內無法恢復半數以上，打閘停機。內無法恢復半數以上，打閘停機。Ovation 系統(tǒng)：系統(tǒng)：操作站失去可不停機，確認網絡癱瘓應打閘停機。操作站失去可不停機，確認網絡癱瘓應打閘停機。?？怂共_系統(tǒng)：福克斯波羅系統(tǒng)：操作站失電不停機，網絡癱瘓在規(guī)定時間內無法恢復，打閘停機。操作站失電不停機，網絡癱瘓在規(guī)定時間內無法恢復，打閘停機。西門子系統(tǒng)、國電南自系統(tǒng)：西門子系統(tǒng)、國電南自系統(tǒng)：

17、不停機，退出不停機，退出AGC，維持機組穩(wěn)定不操作。，維持機組穩(wěn)定不操作。國家電力公司國家電力公司25項反措項反措2000（國網（國網20項項2007、國華、國華25項項2010）：）： 12.2.2 當全部操作員站出現(xiàn)故障時（所有上位機當全部操作員站出現(xiàn)故障時（所有上位機“黑屏黑屏”或或“死機死機”），），若主要后備硬手操及監(jiān)視儀表可用且暫時能夠維持機組正常運行，則轉用后備操作若主要后備硬手操及監(jiān)視儀表可用且暫時能夠維持機組正常運行，則轉用后備操作方式運行，方式運行，同時排除故障并恢復操作員站運行方式，否則應立即停機、停爐。同時排除故障并恢復操作員站運行方式，否則應立即停機、停爐。若無可靠的

18、后備操作監(jiān)視手段，也應停機、停爐。若無可靠的后備操作監(jiān)視手段，也應停機、停爐。 電力行業(yè)熱工自動化技術委員會電力行業(yè)熱工自動化技術委員會 電力行業(yè)熱工自動化技術委員會電力行業(yè)熱工自動化技術委員會 l 2005年年6月月29日，某廠日，某廠#2機組（機組（130MW）FOXBORO I/A 系統(tǒng)系統(tǒng)2次出現(xiàn)次出現(xiàn)DCS網網絡故障，所有操作員站全部失去監(jiān)控絡故障，所有操作員站全部失去監(jiān)控 ，待續(xù)時間分別為，待續(xù)時間分別為3min和和30s。l 2005年年8月月12日，某廠日，某廠#3機組（機組（600MW）ABB Symphony系統(tǒng)系統(tǒng)DCS環(huán)路通訊環(huán)路通訊中斷，所有操作員站全部失去監(jiān)控中斷，

19、所有操作員站全部失去監(jiān)控 ， 40s后恢復正常。后恢復正常。l 2006年年9月月8日，某廠日，某廠#2機組（機組（600MW）ABB Symphony系統(tǒng)出現(xiàn)系統(tǒng)出現(xiàn)DCS網絡故網絡故障，所有操作員站全部失去監(jiān)控障，所有操作員站全部失去監(jiān)控 ，2min左右恢復正常。左右恢復正常。l 2010年年10月月4日，某廠日，某廠#4機組（機組（600MW）ABB Symphony系統(tǒng)出現(xiàn)系統(tǒng)出現(xiàn)DCS網絡網絡故障，所有操作員站全部失去監(jiān)控故障，所有操作員站全部失去監(jiān)控 ，45s后恢復正常。后恢復正常。 l 2009年年3月月11日，某廠日，某廠#3機組（機組（300MW）新華）新華XDPS-400系

20、統(tǒng)受病毒攻擊，操系統(tǒng)受病毒攻擊，操作員站和工程師站全部失去監(jiān)控作員站和工程師站全部失去監(jiān)控 ，僅能通過大屏進行監(jiān)控，僅能通過大屏進行監(jiān)控， 30min后恢復了后恢復了2臺臺操作員站，清理病毒全部處理時間持續(xù)了操作員站，清理病毒全部處理時間持續(xù)了7小時小時20分。分。l 2010年年2月月5日，某廠日，某廠4臺機組臺機組(4600MW ，1-3號運行，號運行，4號調停號調停)西門子西門子TXP DCS系統(tǒng)終端總線故障（系統(tǒng)終端總線故障（#2機機PI接口機故障，接口機故障，OPC數據洪流導致的網絡崩潰），數據洪流導致的網絡崩潰），所有操作員站全部失去監(jiān)控，所有操作員站全部失去監(jiān)控， 3臺運行機組的

21、處理恢復時間分別為臺運行機組的處理恢復時間分別為6min、8min、20min。近幾年浙江發(fā)生的幾起近幾年浙江發(fā)生的幾起DCS網絡故障的案例，沒有一例造成停機。網絡故障的案例，沒有一例造成停機。電力行業(yè)熱工自動化技術委員會電力行業(yè)熱工自動化技術委員會 l 2010年年2月月5日，某廠日，某廠4臺機組臺機組(4600MW ) ，1-3號運行（號運行（530MW 、465MW 、566MW ，全部在，全部在AGC方式方式 ），），4號調停（盤車、真空、軸封、定冷水、閉冷水、凝結水、號調停（盤車、真空、軸封、定冷水、閉冷水、凝結水、循環(huán)水等系統(tǒng)運行循環(huán)水等系統(tǒng)運行 ）。）。l 14:31，運行人員發(fā)

22、現(xiàn)公用系統(tǒng)所有畫面全部翻紅，運行人員發(fā)現(xiàn)公用系統(tǒng)所有畫面全部翻紅，1、2、3、4號機號機DCS所有操作員站所有操作員站的畫面全部翻紅，的畫面全部翻紅，DCS所有操作員站失去監(jiān)控。所有操作員站失去監(jiān)控。 l 熱控系統(tǒng)管理員檢查發(fā)現(xiàn)熱控系統(tǒng)管理員檢查發(fā)現(xiàn)1號、號、3號機組號機組PU、SU服務器狀態(tài)正常，服務器狀態(tài)正常，2號、號、4號機組號機組PU/SU服務器部分不正常，判斷為各臺機組服務器部分不正常，判斷為各臺機組DCS系統(tǒng)終端網絡故障。系統(tǒng)終端網絡故障。l 值長立即啟動值長立即啟動DCS系統(tǒng)終端網絡故障處理預案系統(tǒng)終端網絡故障處理預案。l 值長立即匯報省調并申請撤出值長立即匯報省調并申請撤出1、

23、2、3號機組號機組AGC，保持各臺機組負荷穩(wěn)定。，保持各臺機組負荷穩(wěn)定。 l 值長令值長令1、2、3號機組安排專人監(jiān)控機組所有重要參數，若有不正常變化立即打閘停機。號機組安排專人監(jiān)控機組所有重要參數，若有不正常變化立即打閘停機。令令4號機組派巡檢赴就地檢查盤車運行情況，以及所有運行系統(tǒng)及設備的運行情況。號機組派巡檢赴就地檢查盤車運行情況，以及所有運行系統(tǒng)及設備的運行情況。 l 各機組現(xiàn)場人員檢查后，匯報所有設備及系統(tǒng)都運行正常。各機組現(xiàn)場人員檢查后，匯報所有設備及系統(tǒng)都運行正常。 l 熱控人員處理故障，熱控人員處理故障，3、1、2號機組分別在號機組分別在6min、8min、20min后恢復正常

24、。后恢復正常。l 15:53，值長匯報省調，投入，值長匯報省調，投入1、2、3號機組號機組AGC 。l 16:20，4號機組終端網絡恢復正常；號機組終端網絡恢復正常；18:30，4號機組號機組DCS系統(tǒng)恢復正常。系統(tǒng)恢復正常。 故障原因：故障原因：2號機組號機組PI接口機故障，接口機故障，OPC數據洪流導致的網絡崩潰，數據洪流導致的網絡崩潰，2號號-公用公用-1號號-3號號-4號。號。按照預案處理，沒有造成停機。按照預案處理，沒有造成停機。某廠西門子某廠西門子TXP DCS系統(tǒng)終端總線故障的處理案例系統(tǒng)終端總線故障的處理案例例如：在MCS系統(tǒng)#19PCU柜失電后，機組不跳閘，空預器電機以1Hz

25、的速度運行，如果運行中發(fā)生此故障又沒有及時干預，必然導致空預器轉子嚴重變形。原因：我廠空預器的主、輔電機均采用變頻器控制，變頻器的420mA模擬量轉速指令來自MCS系統(tǒng)。MCS系統(tǒng)PCU柜失電時，420mA模擬量轉速指令消失，此變頻器無斷信號保持功能，斷信號后變頻器以內部設置的初始啟動轉速運行，而原生產廠家設置的初始啟動轉速是1Hz。整改：與鍋爐專業(yè)溝通，并經空預器生產廠家確認后，將空預器變頻器的初始啟動轉速由1Hz改為了10Hz，保證了MCS系統(tǒng)PCU柜失電或DCS失電時空預器不會損壞。發(fā)現(xiàn)的問題與隱患發(fā)現(xiàn)的問題與隱患例如:汽機順控#24PCU柜主要控制高低加、疏水、抽汽等設備，該控制柜失電

26、后，疏水氣動門（大部分為氣關式）會自動打開，電動門狀態(tài)不變，機組不會跳閘，但在恢復上電過程中，16段抽汽電動門全部自關，這種異?，F(xiàn)象如在機組運行中發(fā)生，極易導致給水流量低跳閘機組。原因：PCU柜上電后主控制器先于通訊模件恢復，從環(huán)路通訊過來的掛閘信號在SCS取非后導致跳閘信號為1所致。整改：增加一個延遲功能塊，延遲時間設置大于主控制器與通訊模件的啟動時間差。建議：解決此類問題的最好辦法是：盡量讓環(huán)路上的信號在機組運行期間以0傳輸（有其他特殊原因的除外）。指導或提醒指導或提醒指導或提醒28應急處理設想應急處理設想控制系統(tǒng)在設備選型、控制系統(tǒng)在設備選型、DCSDCS硬件配置、控制邏輯、硬件配置、控制邏輯、安裝等方面充分考慮便于應急處理。安裝等方面充分考慮便于應急處理。通過分析和試驗，明確各種故障造成的后果，并通過分析和試驗，明確各種故障造成的后果，并根據故障對機組安全運行的影響制訂應急預案。根據故障對機組安全運行的影響制訂應急預案。保護的信號在邏輯圖上應有標注?？刂破鏖g的通保護的信號在邏輯圖上應有標注?？刂破鏖g的通信信號應能方便地找到，便于控制器故障處理。信信號應能方便地找到，便于控制器故障處理。應急處理時應避免造成一對設備同時故障的情況，應急處理時應避免造成一對設備同時故障的情況，并按