DCS在國內大型火力發(fā)電機組上應用始于上世紀八十年代后期，到目前為止只有十幾年的運行經(jīng)驗。華能?chē)H電力股份有限公司整套引進(jìn)350MW機組，投資建設的南通、上安、大連、福州電廠(chǎng)是國內最早應用DCS的電廠(chǎng)。
隨著(zhù)火力發(fā)電機組自動(dòng)化水平的不斷提高，單元機組DCS系統的功能范圍不斷擴大。近兩年新建和改造機組的單元控制室內除用于緊急停機、停爐用的后備手操外，其余操作全部依賴(lài)于DCS。因而，由于DCS本身故障引起的跳機現象時(shí)有發(fā)生。所以，如何提高DCS的可靠性作為一個(gè)重要課題擺在了從事熱工自動(dòng)化工作的各位人士的面前。
由于工作關(guān)系，有機會(huì )到過(guò)三十多家火電廠(chǎng)收資、交流或驗收，接觸到應用DCS的100～700MW單元機組近八十臺，幾乎覆蓋了國內應用過(guò)的所有類(lèi)型的DCS，對各種類(lèi)型的DCS發(fā)生的故障有較多的了解，無(wú)論是進(jìn)口DCS，還是國產(chǎn)DCS
，盡管在原理、結構上迥異，包含的子系統也不一樣多，但都或多或少地出現過(guò)一些相類(lèi)似的故障，通過(guò)對典型故障進(jìn)行深入細致地分析，找出故障的真正原因，舉一反三，制定出防范措施，并正確地實(shí)施，可以很好地防止此類(lèi)DCS故障的重復發(fā)生。本文列舉了幾個(gè)典型的DCS故障案例，供從事熱工技術(shù)管理及檢修人員參考。
二、案例1：控制器重啟引發(fā)機組跳閘
2.1 事件經(jīng)過(guò)
2001年11月1日，A電廠(chǎng)4號機組停機前有功負荷270MW，無(wú)功96MVar，A、B勵磁調節器自動(dòng)并列運行，手動(dòng)50Hz柜跟蹤備用。
14時(shí)26分，事故音響發(fā)出，發(fā)電機出口開(kāi)關(guān)、勵磁開(kāi)關(guān)跳閘，"調節器A柜退出運行"、"調節器B柜退出運行"等報警信號發(fā)出，機組解列。對ECS控制系統檢查、試驗，發(fā)現#14控制器發(fā)生故障已離線(xiàn)，與之冗余的＃34控制器發(fā)生重啟，更換了#14和＃34控制器主機板后，機組重新啟動(dòng)，不久，發(fā)變組與系統并列。
2.2 原因分析
根據歷時(shí)數據分析，13時(shí)31分，#14控制器硬件故障而離線(xiàn)運行，熱備用的#34控制器自動(dòng)由輔控切為主控。14時(shí)26分，#34控制器由于通訊阻塞引起"WATCHDOG"誤判斷，致使控制器重啟。由于控制器控制勵磁調節器的方式為長(cháng)信號，沒(méi)有斷點(diǎn)保護功能，#34控制器重啟后，不能自動(dòng)回到斷點(diǎn)前的狀態(tài)，導致A、B調節器自動(dòng)退出運行，手動(dòng)50Hz柜自動(dòng)投入。由于發(fā)電機失磁，發(fā)電機端電壓下降，導致廠(chǎng)用電源電壓降低，手動(dòng)50Hz柜輸出電壓繼續降低，手動(dòng)50Hz柜投入后發(fā)電機沒(méi)有脫離失磁狀態(tài)，直至切除勵磁裝置，造成發(fā)電機失磁保護動(dòng)作，發(fā)電機出口開(kāi)關(guān)跳閘。
#14控制器和#34控制器控制發(fā)變組設備，包括廠(chǎng)用電切換的備自投繼電器接點(diǎn)BK，#34控制器重啟后，BK自動(dòng)復位，繼電器接點(diǎn)斷開(kāi)，BK投到退出位置，造成6KV電源開(kāi)關(guān)6410、6420開(kāi)關(guān)自投不成功。
2.3 防范措施
將故障控制器更換。后來(lái)制造廠(chǎng)確認這一批主板晶振存在問(wèn)題，同意免費更換，利用停機機會(huì )更換4號機組所有控制器主板。
增加任一控制器、I/O卡、通訊卡離線(xiàn)報警功能。
程序內部"WATCHDOG"的時(shí)間設置太短，易造成誤判斷，對所有控制器進(jìn)行軟件升級。
調節器AQK、BQK方式開(kāi)關(guān)和廠(chǎng)用電備自投BK開(kāi)關(guān)組態(tài)圖增加斷點(diǎn)保護功能，防止控制器自啟動(dòng)后，勵磁調節器和廠(chǎng)用電自投開(kāi)關(guān)退出運行。
檢查ECS系統的所有組態(tài)，對存在以上問(wèn)題的邏輯進(jìn)行修改。
聯(lián)系調節器廠(chǎng)家，使調節器內部可以作到運行狀態(tài)自保持，將控制器控制調節器的方式改為短脈沖信號控制。
在ECS內增加手動(dòng)50Hz柜輸出電壓自動(dòng)跟蹤功能。
三、案例2：在線(xiàn)傳代碼致使機組解列
3.1 事件經(jīng)過(guò)
2002年7月12日，B電廠(chǎng)＃5機組監盤(pán)人員發(fā)現機組負荷從552MW迅速下降，主汽壓力突升，汽輪機調門(mén)開(kāi)度，由原來(lái)的20%關(guān)閉到10%并繼續關(guān)閉，高調門(mén)繼續迅速關(guān)閉至0%，機組負荷降低至5MW，運行人員被迫手動(dòng)緊急停爐，汽輪機跳閘，發(fā)電機解列。
3.2 原因分析
DCS與汽輪機控制系統分別由兩家國外公司制造，兩系統差異較大，通訊問(wèn)題沒(méi)有很好地解決，存在一些難以消除的缺陷。熱控人員在DCS工程師站上向負責DCS與汽輪機控制系統通訊的PLC傳送通訊代碼時(shí)，DCS將汽輪機閥位限制由正常運行中的120%修改為0.25%，造成汽機1、2、3號調門(mén)由20%關(guān)閉至0%，機組負荷由552MW迅速降至5MW。
3.3 防范措施
機組運行期間，禁止DCS傳代碼工作。
機組停運期間，DCS傳代碼時(shí)，應經(jīng)運行班長(cháng)同意，并做好安全措施。
將DCS操作員站對汽輪機控制系統操作員站畫(huà)面進(jìn)行操作的功能閉鎖，但在DCS操作員站上仍能監視到汽輪機控制系統的信息。
四、案例3：DCS工作站時(shí)鐘混亂引發(fā)DCS失靈
4.1事件經(jīng)過(guò)
2001年 8月3日，C電廠(chǎng)2號機組負荷200MW，#1至#9控制器處于控制方式，#51至#59控制器處于備用方式。8時(shí)23分，各控制器依次發(fā)NTP報警，歷史站報警窗口顯示如下：
Aug 3 08：23：50 drop7 ＜7＞ NTP：too many recvbufs allocated（30）
Aug 3 08：23：50 drop4 ＜7＞ NTP：too many recvbufs allocated（30）
………
8時(shí)26分，#2控制器脫網(wǎng)，#52控制器切為主控；11時(shí)05分，#52控制器脫網(wǎng)；13時(shí)39分，#7控制器脫網(wǎng)，#57控制器切為主控，在#7控制器向#57控制器切換瞬間，由該控制器控制的A、B磨煤機跳閘；15時(shí)11分，#9控制器脫網(wǎng)，#59控制器切為主控，在#9控制器向#59控制器切換瞬間，由該控制器控制的E磨煤機跳閘；15時(shí)51分，#1控制器脫網(wǎng)，#51控制器切為主控，在#1控制器向#51控制器切換瞬間，由該控制器控制的A引風(fēng)機動(dòng)葉被強制關(guān)閉。
15時(shí)22分，重啟操作員站drop213（備用時(shí)鐘站），NTP報警未消失；15時(shí)35分，重啟歷史站，NTP報警未消失；15時(shí)59分，重啟工程師站（主時(shí)鐘站），NTP報警基本消失；16時(shí)09分，重啟歷史站，16時(shí)30分，系統恢復正常。
4.2 原因分析
NTP軟件的作用就是維持網(wǎng)絡(luò )時(shí)鐘的統一，主時(shí)鐘設置在工程師站上，備用時(shí)鐘設置在操作員站上�？刂破髅摼W(wǎng)原因為主時(shí)鐘與備用時(shí)鐘不同步造成系統時(shí)鐘紊亂，從而造成NTP報警導致控制器脫網(wǎng)。
NTP故障的原因有兩種可能，一種是主頻為400MHz工作站，不同于1號機組的270MHz(SUN公司在400MHz工作站上對操作系統有較大改進(jìn))工作站，2號機組所用的1.1版本軟件在400MHz工作站上未測試過(guò)，不能確保1.1版本軟件在此配置上不出問(wèn)題。另一種是主時(shí)鐘與備用時(shí)鐘不同步，在8月3日控制器脫網(wǎng)后，曾發(fā)現Drop214的時(shí)鐘比其它站快了2秒, 當時(shí)Drop214的畫(huà)面調用速度較慢，經(jīng)重啟后正常，并且NTP時(shí)鐘報警是在系統運行73-75天左右才出現的，估計是系統時(shí)鐘偏差積累到一定程度后導致主、備時(shí)鐘不同步，而引起系統時(shí)鐘紊亂，最終導致控制器脫網(wǎng)。
NTP時(shí)鐘故障使控制器脫網(wǎng)，處理不及時(shí)會(huì )使報警的控制器依次脫網(wǎng)，從而導致整個(gè)控制系統癱瘓。
4.3 防范措施
根據本次故障現象，制造商將軟件由1.1版本升級為1.2版本。
為確�？刂葡到y可靠運行，定期重啟主時(shí)鐘和備用時(shí)鐘站。
D電廠(chǎng)5號機組在2002年試運期間曾發(fā)生DCS時(shí)鐘與GPS時(shí)鐘不同步，引發(fā)DCS操作員站失靈事件。由于網(wǎng) 上傳送的數據均帶時(shí)間標簽，時(shí)鐘紊亂后會(huì )給運行機組帶來(lái)嚴重后果，基本情況與C電廠(chǎng)2號機組類(lèi)似。采取的措施是暫時(shí)斷開(kāi)GPS時(shí)鐘，待軟件升級和問(wèn)題得到根本解決后，再恢復GPS時(shí)鐘。
五、案例4：CABLETRON集線(xiàn)器總通訊板故障導致MFT誤動(dòng)
5.1 事件經(jīng)過(guò)
2002年 1月1日，E電廠(chǎng)1號機組負荷250MW，#51至#59控制器處于控制方式，#1至#9控制器處于備用方式，A、B、C、E、F磨煤機運行。18時(shí)57分，所有磨煤機跳閘（直吹爐），MFT動(dòng)作，機組跳閘。
5.2 原因分析
經(jīng)分析，確認是DCS集線(xiàn)器的總通訊板故障，導致連在其上的所有控制器同時(shí)發(fā)生切換，在控制器向備用控制器切換過(guò)程中，#57、#58、#59控制器PK鍵信號誤發(fā)（這三個(gè)控制器屬FSSS系統），即CRT上"磨煤機跳閘按鈕"的跳閘和確認指令同時(shí)發(fā)出，使所有磨煤機跳閘，導致MFT動(dòng)作。
5.3 防范措施
CABLETRON集線(xiàn)器屬于早期產(chǎn)品，目前在市場(chǎng)上購買(mǎi)備件已比較困難，采用CISCO集線(xiàn)器來(lái)取代CABLETRON集線(xiàn)器。
六、案例5：冗余控制器失靈造成機組跳閘
6.1 事件經(jīng)過(guò)
2003年3月23日，F電廠(chǎng)＃3機組停機前電負荷115MW，爐側主汽壓9.55MPa，主汽溫537℃，主給水調節門(mén)開(kāi)度43%，旁路給水調節門(mén)開(kāi)度47%（每一條給水管道均能滿(mǎn)足100%負荷的供水），汽包水位正常；其它各參數無(wú)異常變化。
監盤(pán)人員發(fā)現鍋爐側部分參數顯示異常，各項操作均不能進(jìn)行，同時(shí)爐側CRT畫(huà)面顯示各項自動(dòng)已處于解除狀態(tài)。調自檢畫(huà)面發(fā)現#3控制器離線(xiàn)，#23控制器處于主控狀態(tài)。運行人員立即聯(lián)系熱工人員處理，同時(shí)借助汽機側CRT畫(huà)面監視主汽壓、主汽溫，并對汽包電接點(diǎn)水位計和水位TV加強監視，主汽壓在9.0～9.6MPa波動(dòng)、主汽溫在510～540℃波動(dòng)、汽包水位在+75～-50mm波動(dòng)，維持運行。
幾分鐘后，熱工人員趕到現場(chǎng)，發(fā)現#3控制器離線(xiàn)、#23控制器為主控狀態(tài)，但#23控制器主控下的I/O點(diǎn)（汽包水位、主汽溫、主汽壓、給水壓力、等）均為壞點(diǎn)，自動(dòng)控制手操失靈。經(jīng)過(guò)多次重啟，#3控制器恢復升為主控狀態(tài)。在釋放強制的I/O點(diǎn)時(shí)，監盤(pán)人員發(fā)現汽包水位急劇下降，就地檢查發(fā)現旁路給水調節門(mén)在關(guān)閉狀態(tài)，手動(dòng)搖起三次均自動(dòng)關(guān)閉，汽包水位TV和顯示表監視不到水位，手動(dòng)停爐、停機。
6.2 原因分析
根據能追憶到的歷史記錄分析，可以推斷#3控制器（主控）故障前，#23控制器（輔控）因硬件故障或通訊阻塞，已經(jīng)同I/O總線(xiàn)失去了通訊。當#3控制器因主機卡故障離線(xiàn)后，#23控制器升為主控，但無(wú)法讀取I/O數據，造成參與汽水系統控制的一對冗余控制器同時(shí)失靈，給水自動(dòng)控制系統失控，汽包水位保護失靈。在新更換的＃3控制器重啟成功后釋放強制點(diǎn)的過(guò)程中，DCS將旁路給水調節門(mén)指令置零（邏輯如此設計是為了在控制器故障時(shí)，運行機組向更安全的方向發(fā)展），關(guān)閉旁路調節門(mén)。而旁路調節門(mén)為老型號的閥門(mén)，相當于解除了自保持的電動(dòng)門(mén)（接受脈沖量信號），切手動(dòng)時(shí)不能做到電氣脫扣，因此，緊急情況下不能順利打開(kāi)，造成汽包缺水。
6.3 防范措施
更換#3、#23控制器主機板，同時(shí)考慮增加主機板的備品儲備。
增加通訊卡，使控制器與I/O卡之間的通訊為冗余的。
對所有控制器、I/O卡、BC卡的通訊進(jìn)行監測，增加脫網(wǎng)邏輯判斷功能，生成報警點(diǎn)并進(jìn)行歷史記錄。一旦控制器工作異常，可及時(shí)報警并處理。
增加控制器超溫報警功能，在控制器出現故障之前可以采取措施，將事故消滅在萌芽之中。
汽包水位等重要調節、保護系統的輸入信號，一般應為三路相互獨立的信號，通過(guò)分流器將這三路信號變成六路信號，分別進(jìn)六塊端子板和AI卡件，送入兩對控制器，一對控制器用于調節、保護，另一對控制器只參與保護。這樣可以很好地解決一對冗余的控制器同時(shí)故障時(shí)，重要保護失靈的問(wèn)題。
更換重要自動(dòng)調節系統的執行機構，使之具有完善的操作功能。
DCS失靈時(shí)，若主要后備硬手操或監視儀表不能維持正常運行，運行人員應立即停機、停爐。
關(guān)閉MIS系統接口站中的所有硬盤(pán)共享功能，確保DCS系統同MIS系統只具備單向通訊功能。
七、結束語(yǔ)
以上案例只是在一定范圍內發(fā)生的DCS故障的幾個(gè)比較典型案例，即使將這些案例的反措全部應用到每套DCS中去，也不能避免DCS故障的再次發(fā)生。在更大范圍內，由DCS故障引發(fā)的停機事件也不會(huì )太少，有些事件肯定會(huì )涉及到控制器負荷率高、網(wǎng)絡(luò )通訊負荷率高等問(wèn)題，由于目前還沒(méi)有有效的手段監測控制器負荷率和網(wǎng)絡(luò )通訊負荷率，找出這類(lèi)事件的根本原因還有一定的難度，因此，消除這類(lèi)缺陷也比較困難。
要防止各類(lèi)事故的發(fā)生，必須從源頭-DCS的設計和制造抓起，將國內應用的各種類(lèi)型的DCS發(fā)生過(guò)的故障情況反饋到有關(guān)部門(mén)，由有關(guān)部門(mén)召集專(zhuān)家進(jìn)行分析研究，制定出相應的標準、制度和反措，強制執行，并形成一個(gè)大的閉環(huán)質(zhì)量控制體系，長(cháng)期良性循環(huán)
滬公網(wǎng)安備31010802001143號
