热控系统故障分析处理与预控

单击此处编辑母版标题样式,*,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,浙江省电力试验研究院,兼：电力行业热工自动化技术委员会 付秘书长,孙长生：电话,3,手机,邮箱：,;,网址,:,Http/,兼：电力行业热工自动化技术委员会 付秘书长,交流讨论,1,概述,1,随着技术的发展，热工自动化系统已基本覆盖发电厂的各个角落，其可靠性决定着机组运行的安全经济运行。由于各种原因，如,热控系统设计的科学性与可靠性、控制逻辑的条件合理性和系统完善性、保护信号的取信方式和配置、保护联锁信号定值和延时时间设置、系统安装调试和检修维护质量、热控技术监督力度和管理水平，,都还存在不尽人意之处（尤其是随着新建机组容量的不断增大和机组数量的不断增加，为其工作的设计、安装调试、运行维护和检修人员的技术素质跟不上需要） ，引发热控保护系统可预防的误动仍时有发生。,我们归类统计分析了电厂多年因热工原因引起的设备二类及以上障碍原因，其,面上,基本比例如图：,1,）编写起因,2,a,）现场设备异常引起的占据首位约,36.4%,，,b,）控制系统软、硬件引起的占据次位约,28%,，,c,）电缆接线、模件松动引起的约占,1,8.2,%,d,）检修维护不当引起的为,13.6%,这些事件除涉及设备质量还与热工人员检修运行维护质量有关。为进一步贯彻落实“坚持预防为主，落实安全措施，确保安全生产”的方针，深化管理，完善系统配置，减少热控系统故障，提高热控系统可靠性和机组运行安全稳定性，热工委员会特组织制定、发布了本技术措施。,2,）编写起因,3,根据热工委员会的安排和组织，浙江省电力试验研究院、浙江省能源集团有限公司等单位成立,热控系统状态评估及可靠性控制措施研究,项目组，在调研、收集、分析、总结全国近年来热控系统故障发生的原因及事故教训、热控设备运行检修维护管理经验与问题的基础上，进行了,基建阶段的热控系统可靠性过程控制,、,分散控制系统可靠性评估方法,、,分散控制系统故障应急处理导则,、,提高,TSI,系统运行可靠性的若干技术措施,、,提高热控接地系统可靠性和抗干扰能力的技术措施,、,热工保护与控制逻辑优化,、,提高汽包水位测量与保护信号可靠性的技术措施,、,热控设备可靠性分类与测量仪表合理校验周期及方法,等专题研究。本技术措施是项目中的一部份。,3,）专题研究涉及课题,4,技术措施内容的基本结构：,3,、,4,单元机组控制系统和公用与辅助控制系统。,5,、,6,二节分别热工保护、控制逻辑与设备。,7,11,节，对热工测量信号与报警、炉膛火焰、,TSI,装置、汽包水位测量与保护内容、硬接线设计和后备监控设备提出了规范。,12,、,13,电源系统、气源系统。,14,、,15,节，电缆与接线、取样装置和管路。,16,18,节，主要提出了热控设备环境及防护、控制系统故障应急处理预案、定期试验与管理方面的技术措施。,附录,B,“热工保护逻辑可靠性优化”建议,附录,A,“单点信号保护联锁系统可靠性优化”建议,附录,D“,分散控制系统故障应急处理预案,”,编写导则,附录,C“,通讯故障防范措施建议”,接下来重点交流编写过程的依据。,5,）内容结构,5,本技术措施专题研究过程中，我们收集、汇类分析了大量因热工原因引起的事件和所采取的值得借鉴的预防措施：,1,。控制系统硬软件故障案例分析处理与预控措施,2,。现场设备故障案例分析处理与预控措施,3,。接地与干扰,问题,分析处理与预控措施,4,。检修维护不当引起的案例分析处理与预控措施,5,。,汽包水位测量系统问题分析,与预控措施,6,。最简单逻辑优化问题讨论与方法,热控系统故障案例分析处理与预控措施,2,6,主要有一般模件故障和控制器故障，前者引起设备误动作但导致机组跳闸的较少，更换模件都得以解决；后者则出现以下,3,种情况：,（,1,）控制器误发信号直接导致机组跳闸。,（,2,）控制器,A,、,B,切换过程异常直接导致机组跳闸。,（,3,）控制器,A,、,B,切换过程出现异常，热工人员处理过程中，操作不当导致机组跳闸。,硬件故障,控制系统硬软件故障,2.1,7,控制逻辑存在的缺陷，运行多年相安无事，但在某特定运行环境和综合因素影响下，则可能显露而导致机组运行异常事件的发生。如：,（,1,）某,600MW,机组,435MW,时切换制粉系统，过程中 “炉膛压力高高”导致,MFT,。事件原因是炉膛压力调节系统在大扰动情况下调节品质欠佳，一次风机动叶控制回路设计不合理引起。,（,2,）某,600MW,机组因“汽包水位高”,MFT,动作，事件起因是一台给煤机运行信号瞬间消失，引起给水泵,RB,后不成功，最终引起,MFT,。经查导致故障扩大的原因，与原逻辑设计中的一个缺陷有着直接关系，该逻辑在这种情况下，将给水泵调节指令置于最大且,30min,（事件后改为,30s,）之内禁止运行干预，加上运行对事故处理经验不足。,软件、逻辑不完善,8,2,）当,DCS,与,DEH,为不同系统时，为防止,DEH,系统出现异常时，汽轮机失去监视和控制，宜在,DCS,操作站画面上，实现主重要参数的监视和操作功能。该操作功能在机组正常运行时应予以屏蔽，当,DEH,操作员站发生异常时即时开放。,3,）对输入输出模件（,I/O,模件）的冗余配置给出了指导意见，如：,冗余信号,/,多台同类设备各自控制回路的,I/O,信号，,所有的,I/O,模件的通道间，应具有信号隔离功能。,用于机组和主要辅机跳闸的保护输入信号，必须直接接人对应保护控制器的输入模件。,控制系统软硬故障预防,1,） 为便于检修与维护，工程师站宜具备操作员站显示功能，否则应在工程师站中配置仅开放显示功能的操作员站。,9,4,）,为隔离或增加容量等需要在测量和控制系统的,I/O,回路中加装隔离器时：,宜采用无源隔离器，否则隔离器电源宜与对应测量或控制仪表为同一电源。,应采取有效措施，防止积聚电荷而导致信号失真、漏电流导致执行器位置漂移、电源异常导致测量与控制失常。,隔离器安装位置，用于输入信号时应在控制系统侧，用于输出信号时宜在现场侧。,5,）在两台及以上机组的控制系统均可对公用系统进行操作的情况下，必须设置优先级并增加闭锁功能，确保任何情况下，仅一台机组的控制系统可对公用系统操作。,6,）采用多机一控的电厂，必须保证机组之间的操作隔离和网络设备上的逻辑隔离，确保机组间不能相互访问，减少网络风暴对系统的影响。,10,热工逻辑与现场设备故障案例与预控措施,2.2,当用作联锁保护的测量信号本身不可靠时，系统的误动概率会大大增加。而热控保护联锁系统中的触发信号采用了不少单点测量信号，由于这些设备和系统运行在一个强电磁场环境，来自系统内部的异常和外部环境产生的干扰（接线松动、电导耦合、电磁辐射等），都可能引发单点信号保护回路的误动。如温度测量和振动信号受外界因素干扰，变送器故障，位置开关接触不良或某个挡板卡涩不到位，一些压力开关稳定性差等。统计数据表明，热控单点信号保护回路的异动，很多情况是外部因素诱导下的瞬间误发信号引起，不少故障仅仅是因为某个位置开关接触不良或某个挡板卡涩而造成机组跳闸。,11,【,事件过程,】,10,年,9,月,12,日,15:00,，某厂,1,号机负荷,300MW,，真空泵,B,运行，,A,联锁备用，真空,-83.5kPa,时，开始真空严密性试验。解除真空泵,A,联锁，停运,B,，入口蝶阀联关正常。,15:09:15,真空严密性试验完成，此时真空,-81.29kPa,，联系现场的巡操准备启,B,真空泵，在,CRT,上点击启动后，,B,真空泵状态未由绿色变为红色，也无电流显示，其入口蝶阀已联开，联系现场的巡操询问得知真空泵未启动，蝶阀已开出，此时真空为,-80.69kPa,，马上在,CRT,上点击停运后，其入口蝶阀未关闭，,15:09:56,时真空降到,-78.79kPa,，联系巡操就地关闭,B,真空泵的入口蝶阀，准备启,A,真空泵，到,15:10:08,，真空很快降至,-71.09kPa,，汽机跳闸，首出是“低真空保护”动作。,开关误发信号,ETS,动作,1,）,热工逻辑与现场设备故障案例,2.2,12,【,事件原因,】,（,1,）造成这次跳机的原因是在做完真空严密性试验后，启动,B,真空泵时因真空泵开关本体上发故障信号，真空泵启动不起，但,其入口门却联开且关不下，与大气接通而迅速垮真空跳机,。,（,2,）事后检查,B,真空泵无故障电流，无保护动作，关闭,B,真空泵入口手动门后在工作位置和试验位置试启停、联开关入口蝶阀均正常，因此判断开关是误发故障信号。,（,3,）按设计真空泵启动后，应在入口蝶阀后前压差达到,3kPa,才允许开蝶阀，现为什么会联开？,事后检查是该差压开关因运行中经常不可靠被热工人员短接了，造成泵未启动无出力就联开了入口蝶阀与大气接通垮真空跳机。,13,【,事件教训与防范措施,】,（,1,）因入口蝶阀后前压差开关不可靠，更改成真空泵启动后应在入口蝶阀前真空达到,-78 kPa,才允许开蝶阀，有效防止泵无出力就联开入口蝶阀与大气接通垮真空事故。,（,2,）原厂设计的发启动指令后，分别启动真空泵和开启入口蝶阀的控制逻辑不合理，入口蝶阀设计无远方操作功能。增加了入口蝶阀远方操作功能后，紧急情况可在远方操作开关。,（,3,）真空泵开关启动时误发故障信号已发生多次，经联系开关厂家处理后正常。,（,4,）针对真空泵磁翻板水位计磁柱长期运行后易卡涩，造成水位误判断，水位低后出力降低引起真空下降的问题，增加玻管水位计监视水位。,14,【,事件过程,】,05,年,2,月,20,日,02,：,52:07,某电厂,#1,机组,CRT,出现过热汽,B,出口温度低报警，,02:53:50,光字牌出现过热汽温度低报警，,02:56:05,磨煤机热风调节挡板自动跳出，,02:56:15CRT,出现一次风和炉膛差压报警。当时一号机组负荷,350MW,，磨煤机,A,、,B,、,C,、,F,四台运行。运行人员发现磨煤机,C,热风调节挡板全开，磨煤机,C,出口温度,52,，机组负荷下降,15MW,判断磨煤机,C,进水，减给煤机,1C,煤量，同时锅炉炉膛压力大幅晃动，运行人员撤出送风机自动，在准备撤出引风机自动时，,02:57:02,炉膛压力低低,MFT,，汽机跳闸。机组跳闸时磨煤机,C,出口温度最低到,42,，机组跳闸后检查磨煤机,C,看不出有进水现象。机组跳闸前主汽压力和机组功率大幅度上升,02:56:29,主汽压力,11.0MPa,机组功率,328.7MW,，,02:57:08,机组,MFT,前主汽压力,11.66MPa,机组功率,355.8MW,。,反馈信号不可靠,+,运行操作不当,2,）,15,曲线显示,02,：,50,左右,1C,磨煤机马达电流有一突增并迅速回落至正常值，磨煤机磨碗差压、密封风差压等均有不同程度波动，,给煤机煤量反馈瞬时到零后又恢复,（,FSS,回路检查时发现有给煤机,OFF,信号触发）；约,30,秒后磨煤机热风隔离挡板关闭，但关到一定位置时该挡板卡涩，磨煤机一次风流量急剧下降，同时由于一次风出口温度持续下降，热风调节挡板在自动位置，冷风调节挡板在手动位置，造成热风调节挡板持续开大，冷风调节挡板由于前馈回路的作用而持续关小，造成一次风流量持续下降。大约,6,分钟后磨煤机,C,的热风隔离挡板卡涩自动消除关到位，引起一次风流量的再度急剧下降，,BCS,收到热风隔离挡板关闭信号后逻辑要求自动全开冷风隔离挡板，此时一次风流量迅速恢复到磨煤机正常运行值。此后,炉膛压力三个波的在扰动后,低低,MFT,。,【,事件原因,】,一次风流量小造成磨煤机中的煤粉积蓄，恢复后将磨煤机,C,中大量蓄煤迅速喷向炉膛，造成锅炉局部爆燃，引风机控制系统来不及调节，导致 炉膛压力低低,MFT,。,16,根据上述分析，事件原因是给煤机煤量反馈信号误发，磨煤机,C,热风隔离挡板关闭过程中的卡涩引起。但运行人员事件处理不当，发现磨煤机出口温度低时虽采取一定措施，如减少给煤机,C,煤量指令,撤出送风机自动,但不够果断，未能及时作出停给煤机或磨煤机处理，在随后的炉膛压力发生振荡时也未能作出有效的干预，则导致了,MFT,。,【,事件教训与防范措施,】,（,1,） 更换给煤机,C,就地控制柜的相关卡件。,（,2,）处理磨煤机,C,热风隔离挡板开位置开关的缺陷。,（,3,）将给煤机,OFF,延时,30,秒关热风隔离挡板改为保持,30,秒；关热风隔离挡板同时，关闭热风调节挡板。,（,4,）调整放慢冷风调节挡板,TRACK,全开的速率。,（,5,）增加,#1,机组磨煤机温度低报警和低风量报警。报警信号进行优化，提供不同等级报警信号指导运行操作,（,6,）进一步完善,#1,机组炉膛压力的调节品质。,17,【,事件过程,】,某机组运行中突然跳闸，首次故障信号显示为“轴承温度高”，经检查,4,号轴承推力瓦温度显示,167,，,3,小时后万用表测量值约为,200 ,的,mV,数且有波动，大约,10,分钟后再检查无,mV,信号。,连接线损坏,【,事件原因,】,（,1,）检查曲线该温度信号,48s,内由,85,升高至,167,，超过设计条件（任一轴瓦温度升高至,115,延时,2,秒）触发,ETS,动作跳机，其它点显示未变化。,（,2,）检查该回路设置的温升速率保护值为,18/s,，但曲线变化最快时也未达,8/s,。,？,（,3,）分析认为测温元件热电偶的引出尾线（多股软线）逐步损伤断线碰地，地电位叠加在测量回路，引起温度变化。,机组检修时，开缸检查发现引线处于油冲刷位置，与金属间磨擦导致热偶引出尾线磨损已断。,3,）,18,（,1,）基建安装时，引线未可靠固定，未考虑油冲刷因素影响。,（,2,）单点温度信号保护，可靠性差，,600MW,机组东方汽轮机作为保护，但上海汽轮机不作为保护，该信号是否可以仅作为报报警，或与相邻报警信号组成与逻辑判断，建议组织讨论。,（,3,）速率保护定值设置,18/s,太大，降低了其保护功能，建议改为,5/s,。,【,事件教训与处理措施,】,19,【,事件过程,】,某电厂燃机机组运行中跳闸，首次故障信号显示“排气温度分散度高”。检查,CRT,上参数显示为,1170,华氏度。,【,事件原因,】,经检查排气热电偶元件故障，正常情况下热电偶元件故障，,CRT,显示将被置为,-118,华氏度并作为环点信号被自动剔除。但由于同时补偿电缆绝缘不好，地电位串入信号回路，使得,CRT,显示为,1170,华氏度，由于速率保护未设，控制系统不能识别该点为坏信号，造成该机组因跳闸。,【,事件教训,】,？,（,1,）重要保护电缆绝缘检查列入机组检修内容,（,2,）重要保护信号回路设置速率保护。,4,）电缆损坏,20,21,1,）保护回路中不应设置运行人员可投、撤保护和手动复归保护逻辑的任何操作设备。,200MW,及以下机组的工程师站中，已设计有投切开关的保护系统应设置有状态显示和投、撤开关操作的确认功能。,2,）,MFT,、,ETS,、,GTS,间的跳闸指令，必须至少有两路信号，通过各自的输出模件，并按二选一或三选二逻辑启动跳闸继电器,3,）单元机组的锅炉、汽轮机和发电机之间跳闸保护间的联锁关系 （,5,。,8,。,4,）保护逻辑组态时，应合理配置逻辑页面和正确的执行时序，,5,）应对热工保护联锁信号进行全面梳理，从提高动作可靠性的角度出发进行优化,。,逻辑与现场设备故障预防措施,22,为避免单个部件或设备故障而造成机组跳闸，在新机组逻辑设计或运行机组检修时，应采用容错逻辑设计方法，对运行中易出现故障的设备、部件和元件，从控制逻辑上进行优化和完善，通过预先设置的逻辑措施来降低或避免控制逻辑失效：,1,）通过增加测点的方法，将单点信号保护逻辑，改为信号三选二选择逻辑。,2,）无法实施,1,）的，通过对单点信号间的因果关系研究，加入证实信号改为二取二逻辑。,3,）无法实施,1,）和,2,）的单测点信号，通过专题论证，在信号报警后可通过人员操作处理保证设备安全的前提下可改为报警。,4,）实施上述措施的同时，对进入保护联锁系统的模拟量信号，合理设置变化速率保护、延时时间和缩小量程（提高坏值信号剔除作用灵敏度）等故障诊断功能，设置保护联锁信号坏值切除与报警逻辑，减少或消除因接线松动、干扰信号或设备故障引起的信号突变而导致的控制对象异常动作。,23,热工测量信号与报警,2.3,测量信号不可靠，机组软报警点未分级或分级不完善，描述错误，报警值设置与设计或运行实际不符，由此导致操作画面上不断出现误报警信号，使运行人员疲倦于报警信号，无法及时发现设备异常，或通过软报警去发现、分析问题。,提高报警信号的可靠性，对软报警点组织专项核对整理并修改数据库里软报警量程和上、下限报警值；通过数据库和在装软件逻辑的比较，矫正和修改错误描述，删除重复和没有必要的软报警点，对所有软报警重新进行分组、分级，采用不同的颜色并开通操作员站声音报警。使软报警在运行人员监盘中发挥作用。,必要性,1,）,24,7.2,模拟量信号可靠性预控措施,;,7.3,热工报警信号的定值设置,;,应能正确反映设备运行状况,。,7.4 DCS,的报警信号分级，应按运行实际要求进行一级、二级、三级分级,;,7.5,随着机组环境的运行状况的变化，机组热工报警信号须不断完善（新建机组整套启动前、新建机组试运行结束后,30,天内、新建机组试生产结束后的第一次机组检修中、运行机组应每两年修订一次,),7.6,进行热工报警信号的综合管理和分析研究工作，通过对报警信号功能的不断完善，提高报警信号对可能发生事故的预告能力。,热工测量信号与报警预控措施,25,测量与控制电缆、管路,2.4,1,）冗余设备电缆未分开敷设：某机组,#1EH,油泵跳泵后,#2EH,油泵不能自启，油压低保护动作跳机。起因是两台,EH,油泵共用一根,DCS,柜至油泵就地柜的控制电缆短路接地，两台,EH,油泵的控制电源熔丝熔断引起。事故后两油泵分电缆控制，从本例事故可看到 “同用途设备分模件、分电缆、分电源控制”的重要性。,2,）电缆不符环境要求，引起过热、绝缘损坏,3,）电缆绝缘下降、接线不规范（松动、毛刺等）、信号线拆除后未及时恢复等，引起热工系统异常情况也有发生，此外随着机组运行时间的延伸，电缆原先紧固的接头和接线，可能会因气候、氧化等因素而引起松动，电缆绝缘可能会因老化而下,必要性,1,）,26,27,14.1,热控系统,DCS,电子室设计无电缆夹层时，其电缆桥架应设计供检修维护用人行通道。,14.3,控制和信号电缆的安装敷设,14.4,电缆的连接,14.5,应列入基建机组电缆安装质量验收和运行机组,A,级检修电缆检修质量验收并建档的内容,15.2,炉膛压力取样点,标高，取样管直径应不小于,60mm,，与炉墙间的夹角小于,45,。,15.3,汽轮机润滑油压测点须位置（注油器出口处）。,15.4,冗余信号从取样点到测量仪表的全程，均应互相独立分开设置。,15.5,测量蒸汽或液体介质的仪表与测点,安装位置。,测量与控制电缆、管路预控措施,28,接地与干扰,问题案例与预控,2.5,【,事件过程,】,某电厂,#1,机组,DCS,，采用,OVATION,系统进行改造，上电不久发现,600,个左右的热电偶信号中，有大约,200,个信号，白天在大幅跳跃，而到了晚上这些信号的跳跃幅度会小很多。,二点接地引起干扰,1,）,29,经一段时间的分析检查，发现这些信号跳变的热电偶元件均为搭壳式，其负端在现场都处于接地状态。而根据,OVATION,热电偶模件的结构，其负端在,DCS,侧也接地。这样就造成了热电偶测量回路的二端接地，由于现场的地与,DCS,的地之间存在着电势差，且这个电势差不稳定（白天现场施工比较多，电动设备的启停比较频繁，晚上干扰相对较小），因此导致了热电偶信号的跳跃，且白天与晚间信号跳跃幅度上的不同。,【,事件原因,】,30,（,1,）实际上,OVATION,系统为解决此问题，在热电偶的特性模件内部专门设置有,2,个跨片。如果热电偶负端现场不接地，那么屏蔽线必须在,OVATION,侧单端接地，此时二个跨片须同时保留。如果热电偶现场接地，那么屏蔽线也必须在现场接地，二个跨片须同时去掉。但由于是改造机组，原来安装的热电偶屏蔽线都是,DCS,侧接地，现场的接地线已经被剪掉了，处理起来非常困难，经讨论后采用了一种折中的方案：凡是参与控制的热电偶信号，都严格按照西屋公司的标准连接回路，但对于,DAS,信号，如果热电偶是搭壳式的，特性模件中只去掉一个跨片，即热电偶现场接地，而屏蔽线,OVATION,侧接地。经过多年的运行观测，精度基本符合要求，没有发生因接地方式的不同出现问题。,【,事件教训与处理措施,】,31,（,2,）热电偶可分为搭壳式和非搭壳式两大类，其中非搭壳式热电偶的测量电极与外面的保护管绝缘，而搭壳式热电偶的测量负极与外面的保护管则是导通的。国内生产的热电偶绝大多数是非搭壳式，而国外生产的热电偶搭壳式的居多。该电厂的,1,、,2,号机组为进口机组，搭壳式的热电偶比较多，上述案例告诉我们，如果在安装调试中不熟悉这一点，有时会在无意中造成二点接地而导致测量异常情况发生。此外由于现场环境比较恶劣，有时也会出现热电偶正极或负极接地的情况，在这种情况下，,OVATION,系统由于自身一侧热电偶接地，就会出现信号大幅跳跃的情况。如果这个信号参与控制，就容易引起设备的误动。,【,事件教训与处理措施,】,32,【,事件过程,】,某机组开始,冲管，当时两侧,送,/,引风机运行，,热井换水，锅炉,水冲洗。,16:48,分突然发生送风,机,B,跳闸。检查,报警记录和历史,曲线如图,8,所示，发现送风机,B,轴承三点温度同时发,生大幅度跳变且超过,90,，检查该保护为三取二方式，当三点温度同时超过,90,后风机跳闸。,二点接地引起干扰,2,）,33,(1),从曲线分析三点温度信号同时发生变化，趋势基本一致，可以排除接线松动和模件故障的可能。,(2),检查,DCS,机柜侧接线情况，端子接线紧固无松动现象。且该三点温度为四线制热电阻信号，,12,根信号线用同一根,16,芯电缆。,该电缆屏蔽线浮空未接至机柜接地排，原因为该电缆屏蔽线已存在接地现象，为避免两点接地故暂时未在机柜侧接地。当晚在机柜侧和就地接线盒处用对讲机模拟干扰源，未发生温度信号跳变。,(3),次日早晨在做好保护逻辑强制后，对该电缆进行了拆线检查，发现在就地接线盒处电缆屏蔽层引出时，,有毛刺碰到金属电缆套管,，形成两点接地产生地环电流，引起信号误动。,(4),虽该温度信号保护，已设计为三取二逻辑方式，但因未设置信号变化速率大撤出保护的逻辑功能，三点温度同时发生跳变时，导致了风机跳闸。,【,事件原因,】,34,（,1,）热工人员对该处屏蔽接线整理，确保,DCS,侧机柜处单点接地后，信号恢复正常，投运后至今未再发生类似现象。,（,2,）三取二的保护信号同时误动的情况不多见，但从本事件来看，除了做好系统接地及抗干扰措施外，,对涉及的保护信号，即使已采用了三取二信号判断逻辑，仍然应考虑增加变化速率大撤出保护的逻辑。,（,3,） 本事件中，“,12,根信号线用同一根,16,芯电缆”不符合全程冗余要求。基建机组应分电缆进行敷设。,【,事件教训与处理措施,】,35,1,）,除非控制系统制造商有特殊要求，否则控制与测量信号电缆屏蔽层应保持良好的单端接地；其中信号端不接地的回路其屏蔽线应直接接在机柜地线上；信号端接地的回路其屏蔽线应在信号端接地。屏蔽层接至信号源的公共端，避免形成屏蔽层环路，增加抗干扰能力。,4,）具有“一点接地”要求的控制系统，机组大修时，应在解开总接地母线连接的情况下，进行,DCS,接地、屏蔽电缆屏蔽层接地、电源中性线接地、机柜外壳安全接地等四种接地系统对地的绝缘电阻测试，以及接地电极接地电阻值测试,接地与干扰问题预防措施,2,）控制与测量信号电缆的屏蔽层不应作为信号地线，以防止电缆屏蔽层产生磁场感应电流形成干扰；,。,3,）现场过渡连接时，电缆屏蔽线应通过端子可靠连接，保证屏蔽层接地的全程贯通连续性，不得有断层存在 。,36,5,）同轴电缆和模拟信号回路控制电缆宜采用集中一点接地的方式，且一般将接地点选取在控制室。当经过电磁干扰严重区域的电缆或露天安装的控制设备信号和电源电缆屏蔽，宜采用双重屏蔽或复合式总屏蔽，内屏蔽层为一点接地，外层蔽层为两点接地，或在现场侧安装防雷浪涌保护器,SPD,并保证安装可靠。（非正式）,7,）通常继电保护装置通常从抗高频干扰考虑而要求屏蔽电缆采用两点接地。而热工控制系统主要是考虑抗低频干扰而要求屏蔽电缆一点接地。当电气信号进入,DCS,时，则应按热工要求一点接地，或加装信号隔离器。,（非正式）,接地干扰预防措施,6,）信号电缆在控制系统侧单点接地解决不了的干扰问题，可以在干扰源侧单点接地试验，看是否有利于干扰电压对地放电，减少或防止干扰电压的串入,。 （非正式）,37,热控系统故障应急处理措施,2.6,需要指出的是热工保护系统误动作的次数，与有关部门的配合、运行和热工人员对事故的处理能力密切相关，类似的故障有的转危为安，有的导致机组停机。一些异常工况出现或辅机保护动作，若运行操作得当，本可以避免,MFT,动作。此外有关部门与热工良好的配合，可减少或加速一些误动隐患的消除；因此要减少机组跳闸次数，除热工需在提高设备可靠性和自身因素方面努力外，需要热工和机务的协调配合和有效工作，达到对热工自动化设备的全方位管理。需要运行和热工人员做好事故预想，完善相关事故操作指导，提高监盘和事故处理能力。,38,热控系统故障应急处理措施,2.6,制定有可操作的,热控系统故障应急处理预案,是基础，但目前各电厂编写的,热控故障应急处理预案,（简称预案）内容参差不齐，有的内容不能满足故障时的处理需求，起不到指导作用，有的无预案，多数是凭着运行和检修人员的经验处理。结果发生了一些本可避免的机组跳闸。,有些机组跳闸，向上汇报是热工系统不好引起，实际上却是运行操作不当引起。有的机组出现异常，运行人员操作手忙脚乱，本可以不停机的停了机,，,本该停机的未停机。,同样热工人员也存在故障处理不当，导致了机组跳闸。,必要性,1,）,39,为确保机组运行过程中发生控制系统故障时能够迅速、准确地组织故障处理，最大限度地降低故障造成的影响，发电厂必须根据本厂配置的具体情况，将控制系统危险源进行分级列表，制订切实可操的热工控制系统应急处理预案，并定期进行反事故演习。,根据故障可能造成的后果，将危险源分为两级，处理不及时会引起机组跳闸的为,级；暂时不会引起机组跳闸，但处理不当会使得事故扩大并引发机组跳闸的为,级。,17.5,中提出了制订,DCS,或,DEH,系统故障时的处理措施与安全对策包含内容,。,目前委员会在组织全国,9,个电科院或集团技术中心、,11,个电厂，,11,家,DCS,厂家在编制分散控制系统故障应急处理预案规范,编制热控系统故障应急处理措施,40,电缆接线错误,9,）,电缆插头接线松动,10,）,检修维护不当,8,）,11,）,维护人员跳错间隔,报警信号未及时复归,7,）,与检修维护不当有关的热工考核事件分析,2.7,电焊作业不当,1,）,控制器故障处理不当,2,）,保护试验方法不当,3,）,4,）,5,）,通讯软件配置失误,页面执行时序不当,DC24V,异常,6,）,反馈信号不可靠,12,）,41,【,事件,1,过程,】,尾部烟道爆炸，压塌烟道下方的控制室，导致人员死亡,【,事件原因,】,热工人员修改组态后下载时，操作及措施不当，引起增压风机档板关闭，导致尾部烟道爆炸，炸塌的烟道压塌烟道下方的控制室，导致人员死亡。,事件一,:,人员死亡,组态下载时，操作及措施不当,1,）,42,【,事件过程,】,2008,年,1,月,17,日凌晨,3,时,10,分当时,#1,机负荷,100MW,左右，,1,时,40,分运行发现,#1,炉,CRT,画面上部分锅炉参数指示失真，“,DCS,控制器故障”光字牌亮运行通知检修部热工和设备部。热工到现场发现,3B,两个控制器现场都故障报警，经值长同意，对,3A,和,3B,两个控制器分别进行断电、断网络、重启试验，均无法恢复，在此期间,1#,炉锅炉火焰强度信号、过热器、再热器汽包壁温、粉仓温度、一次风风速、一次风混合温度、一次风喷口温度、送引风液耦温度、部分油枪油角伐位置信号；旁路烟道、减温水系统位置及控制信号等等均失去监视及无法控制。设备部专工报经设备部门领导同意，按照,DCS,厂家技术人员要求，再次对控制器外部回路进行检查，均无法恢复。,3A3B,两个控制器工作。此时运行人员已经对上述信号失去监视达,1,个半小时，厂家技术人,事件二,:,MFT,动作,43,员要求解决此问题唯一途径是对,3A3B,控制器进行组态重新下载，设备部专工再次报经设备部门领导同意，,3,时,10,分对控制器组态进行下载，发生数据传输混乱，发生,#1,炉全炉膛灭火，,MFT,事故跳闸，经控制器组态进行下载后，,3B,两个控制器恢复正常工作。,【,事件原因,】,经查事故追忆，,#1,炉,MFT,首出原因是全炉膛灭火引起，保护动作原因是,DCS940,控制器,3A,，,3B,两个控制器故障，热工为了消除故障，并经设备部领导和制造厂技术人员同意下载，下载时,DCS940,控制器,3A,，,3B,所涉及的一次风门全部关闭，导致燃料失去，全炉膛灭火保护动作。,【,事件教训与防范措施,】,安全措施不完善，控制器组态进行下载前，未将所有该控制器涉及的硬、软信号采取相应措施。如将现场设备切至手动，本次事件本可以避免,44,【,事件,3,过程,】,07,年,4,月,21,日某电厂,#2,机,DCSSYS,报警。经检查系,#3PCU,柜,M3,、,M4,冗余控制模件组,BRC100,中的主控制模件状态灯绿闪，指示灯,7,、,8,亮，从模件状态灯绿色，但冗余指示,8,灯不亮。因该对,BRC100,控制模件的控制对象包括：机炉协调系统、,RB,、风门等控制。,热工人员采取相关安全措施：,1,）撤出,#2,机组协调控制，改为基本级控制：汽机主控切手动方式，锅炉主控切手动方式，燃料主控切手动控制。给煤机各自手动控制；,2,）,DEH,控制系统中，撤出,CCS,控制，改为投入,DEH,的功率回路控制机组的负荷，不再接受,CCS,来的控制信号。,3,）撤出送风机出口压力控制系统、引风机出口压力控制系统、一次风,控制系统、,炉前燃油压力和流量,控制,系统,自动,，均改为手动控制；,4,）降负荷至,200MW,。,在制定相关处理方案并咨询,ABB,公司后，于,16,时,06,分进行手动冗于切换，但不成功，操作员站上对应的该对,BRC,状态量显示紫颜色。对该对,BRC,模件进行离线下载，,16,时,09,分回到执行状态时，送风机动叶自关，引起炉膛压力低,MFT,。,事件三,:,MFT,动作,45,【,事件原因,】,根据上述故障现象分析，主控制模件状态灯绿闪，其错误信息为,NVRAM,内存检查错误；主模件指示灯,7,、,8,亮、表明主模件继续在执行状态运行，主模件出错时没能完成冗余切换；从模件状态灯绿色，表明从模件在执行状态，但冗余指示,8,灯不亮，表明从模件冗余切换不成功。这种情况下不能强制手动冗余切换。由于电厂热工人员就该问题的判断与处理，过于相信,DCS,厂家技术人员的水平，在未制订完善安全措施的情况下，进行了手动冗于切换，切换不成功后对该对,BRC,模件进行了离线下载，控制模件下载后在回到执行状态时有初始扫描过程，将赋予初始值使控制输出至零，从而导致控制对象状态失控。,46,【,事件教训与防范措施,】,1,）基于以上分析，暴露出故障分析处理过程中，技术人员考虑问题的全面性有待进一步提高。对,DCS,公司技术人员提出的问题的判断和处理方案，应经过充分论证和确认。,2,）上述故障需通过离线下载，对故障控制模件初始化来解决。但进行问题处理前，应制定完善的安全措施并邀请,DCS,厂家、电试院等技术人员一起论证，为防止离线下载后，在回到执行状态时的初始扫描过程中，软件初始值导致失控状态值输出，引起对象异常动作，下述条件必须满足：, 将,控制模件所有控制的设备能全部切就地手操，（看运行能否满足）, 对该控制模件所有通讯的点进行全部隔离，并强制与之对应的控制模件的连锁关系点。, 对不同,PCU,柜的硬接线点进行强制。,47,【,事件过程,】,某热电厂,#4,机组,100MW,，某日新华公司工程师应电厂要求，在现场进行,ASDPU,实时数据通讯。目的是将,#3,机组中的公用系统的控制,通过通讯功能在,4,机组中能进行监视和操作。调试通讯软件的工作中，因配置失误将,3,机组中的大量实时数据广播到,#4,机组的实时网中，导致,#4,机组的通讯紊乱，,DPU,的负荷率急剧升高，多个,DPU,先后复位，导致机组,MFT,，运行人员手动打闸停机后，,6KV,开关自投成功，但,#0,高备变高压侧,303,开关自投不成功。两台交流润滑油泵失电，由于该厂润滑油压低联启直流油泵的联锁未做电气硬逻辑联锁，故直流油泵未自动联启，同时没有及时手动启动直流油泵，导致汽机,#4,瓦烧瓦,机组,MFT,调试通讯软件的工作中，因配置失误引起机组通讯紊乱，导致机组,MFT,2,）,48,【,事件原因,】,经现场调查，,4,机组控制器的负荷率偏高，有半数控制器高于,75%,，因此,#4,机组的,DCS,系统在通讯异常的情况下容易导致控制器复位，但该,DCS,相同配置在同类型,100MW,机组的使用中，控制器负荷率都在“规范书”允许的范围内。经当地省电科院、热电厂、,DCS,生产厂家三方联合调查后，认为,DCS,系统本身软硬件工作是稳定可靠。事件与安全管理不善有关，因人为失误导致控制器复位。,49,【,事件教训与防范措施,】,（,1,）投入商业运行的控制系统，无论是,DCS,厂家的工程师，还是用户的维护人员，原则上不准在机组运行时对系统再进行软、硬件的改动。尤其不得进行与,A,、,B,实时网络有关的更改或调试工作。,（,2,）如果在机组运行时的确需要进行在线修改，,DCS,厂家的工程师必须与用户单位的技术部门共同制定安全措施并得到批准后方可实施。在线实施时必须要有监护人员。,（,3,）系统设计必须坚持,规范书,中的安全原则，在电气保护逻辑中设置交、直流润滑油泵的掉闸直联和低油压联动的硬逻辑。其他涉及机组安全停机的联锁功能，也应考虑设计硬逻辑联锁。,（,4,）对使用,DCS,硬件从事工程项目的工程公司或代理商，,DCS,生产厂商应加强对项目整体质量的监督，委派项目经理，及时进行组态优化的指导和机组投运前的检查。,（,5,）,DCS,生产厂家将会同当地省电科院及电厂，在停机时对组态进行检查和优化。,50,1,）控制系统的逻辑组态及参数修改、软件的更新、升级保护连锁信号的临时强制与解除，均应履行审批授权及责任人制度，严格执行规定的程序，实行监护制，做好记录备案。,3,）控制器故障处理时的安全措施应通过论证，并经试验验证正确后，制成标准处理卡；离线下载时应保证所有相关控制对象处于安全状态。,组态下载出错预防措施,4,）原则上不对在线运行控制系统进行软、硬件的改动。尤其不得进行与,A,、,B,实时网络有关的更改或调试工作。如在机组运行时的确需要进行在线修改，,DCS,厂家工程师必须与用户单位技术部门共同制定安全措施并得到批准后方可实施。,2,）保护逻辑组态时，应合理配置逻辑页面和正确的执行时序，注意相关保护逻辑间的时间配合，防止由于取样延迟和延迟时间设置不当而导致保护联锁系统动作时序不当。,51,【,事件过程,】,某电厂机组检修启动后运行不到半个月，机组故障润滑油压下跌，低于保护动作值时,ETS,保护未动作，导致大轴烧损。,【,事件原因,】,检修后启动前的试验，未启动油泵建立油压通过物理试验润滑油压低保护系统的可靠性，而是通过短接压力开关接点端子进行回路试验，使得压力开关接点氧化导致接触不良问题未能得到及时发现，机组故障润滑油压下跌低于保护动作值时，压力开关动作，但触点接触电阻大，,ETS,保护未动作，从而导致大轴烧损。,大轴烧损,保护试验不规范致汽机大轴烧损,3,）,52,1,）热工保护联锁试验中尽量采用物理方法进行实际传动，如条件不具备可在测量设备校验准确的前提下，在现场信号源点处模拟试验条件进行试验，但禁止在控制柜内通过开路或短路输入端子的方法进行试验。,试验出错预防措施,2,）规范热工保护联锁系统试验过程，减少试验操作的随意性，确保试验项目或条件不遗漏，保护联锁系统试验，应编制规范的试验操作卡（操作卡上对既有软逻辑又有硬逻辑的保护系统应有明确标志），检修、改造或改动后的控制系统，均应在机组起动前，严格按照修改审核后的试验操作卡逐步进行试验。,。,53,【,事件过程,】,某热电厂机组容量为,300MW,，,DCS,控制系统采用,WDPFB,型，正常运行时给水泵运行状态为：,1,号泵备用，,2,号泵,A,段运行，,3,号泵,B,段运行。运行人员发现,3,号给水泵有缺陷需停泵检修，决定做倒泵检修。考虑到倒泵后，,1,号和,2,号给水泵同时运行在,6kVA,段电源，为保证,6kVA,、,B,段电源负荷的平衡，,2,号泵也需倒电源。步骤为：启,1,号泵、停止,2,号泵,A,段、启,2,号泵,B,段、停,3,号泵并停电。运行人员按照步骤开始正常操作：启动,1,号泵，停止,2,号泵,A,段。在稳定系统操作过程中发现,1,号泵润滑油湿逐渐升高并报警，随即迅速启动,2,号给水泵,B,段，,2,号泵启动后马上跳闸，立即启动,2,号泵,A,段，启动成功。但此时汽包水位波动剧烈，汽包水位低保护动作，触发锅炉主保护,MFT,动作，锅炉灭火。,机组,MFT,控制逻辑及执行时序问题，导致,MFT,保护动作,4,）,54,【,事件原因,】,造成此次锅炉主保护动作的直接原因为：,2,号给水泵启动失败，汽包水位失控，汽包水位低保护动作。经逻辑查找分析，,3,台给水泵的控制逻辑存放在同一个,DPU,的同一个控制区，回路时间定义为,ls,。,2,号给水泵,A,段控制逻辑放在回路号,1220,1224,中，,A,段控制逻辑放在回路号,1240,1244,中。,2,号泵,A,、,B,段启动指令和运行信号均为过程,I,O,信号。由于,2,号泵在停运后仍处于备用方式。当,1,号泵因泵润滑油湿升高导致跳闸并联动,2,号泵,A,段合闸时，正好运行手动启动,2,号泵,B,段，在这个,ls,的执行周期中，控制回路检测到的,2,号泵状态为,A,段停、,B,段停，因此,A,段和,B,段允许合闸，控制指令有效，,A,段和,B,段同时合闸，在这个执行周期中,A,段、,B,段互锁逻辑失效。在第二个执行周期中，过程,I,O,检测到,A,段合闸、,B,段合闸，两段同时保护动作，导致,2,号泵跳闸。,【,事件教训与防范措施,】,针对,2,号泵控制逻辑存在的问题，以及控制时序在逻辑控制中的作用，对,2,号泵控制逻辑进行了修改。,55,【,事件过程,】,某机组负荷,160MW,，,#3,机跳闸，锅炉首出“汽机跳闸”，发电机首出“汽机跳闸”，,ETS,无首出，,ETS,通道显示“遥控,1”“,遥控,2”,。经过,SOE,确认，在,1,时,12,分,42,秒,764,毫秒到,1,时,12,分,42,秒,766,毫秒,2,毫秒内出现“超速遮断”、“凝汽器真空低低遮断”、“轴承油压低低遮断”、“,EH,油压低低遮断”，,1,时,12,分,42,秒,788,毫秒“装置遮断报警”（四个,AST,电磁阀指令信号），这些信号由,ETS,装置（,PLC,）,DO,输出，,1,时,12,分,42,秒,789,毫秒到,1,时,12,分,42,秒,801,毫秒,2,毫秒内“超速遮断”、“凝汽器真空低低遮断”、“轴承油压低低遮断”、“,EH,油压低低遮断”四个信号复归，从信号出现到复归间隔约,25,毫秒，在后,12,秒内又反复出现十几次信号反复。,ETS,动作,外部,DC24V,故障致机组,ETS,动作,5,）,56,【,事件原因,】,根据以下分析认为，,ETS,装置误动原因为外部,DC24V,故障所引起。,（,1,）汽机转速在并网运行时，只要系统周波正常，一般不可能出现“超速遮断”，根据转速信号分析也正常，“凝汽器真空”、“轴承油压”、“,EH,油压”根据,DCS,信号也正常，无任何其他报警，也没有连锁启动备泵，这四个信号也无同时触发的必然联系，可以判定是,ETS,装置误动。,（,2,）,ETS,装置动作条件“凝汽器真空低低遮断”、“轴承油压低低遮断”、“,EH,油压低低遮断”信号，均由四个开关串并连结构组成（可同时有效地防止误动和拒动）；“超速遮断”信号则由三取二判断逻辑组成，因此这四个信号构成的合理性与可靠性没有问题，,ETS,其他信号没有触发。分析这四个信号区别于其他信号不同处，发现这四个信号的共同特点是由常闭点,57,组成，其他信号如“轴向位移”、“振动”、“差涨”等信号由常开点组成。,ETS,本次事件能区分“常开点”与“常闭点”信号，且随着“常闭点”信号触发机组跳闸后，控制系统会发出“遥控,1”,、“遥控,2”,信号。再检查“装置遮断报警”在没有挂闸前一直保持，说明,ETS,的,PLC,扫描运行正常，,PLC,工作电源是由自己所配的电源模件构成，主、丛,CPU,同时工作，而数字量输入驱动由外部,DC24V,供,DI,模件，如果外部,DC24V,故障时，所有的常闭点由于没有驱动电源，,PLC,的,DI,模件将会判定常闭点状态改变。为了验证分析的正确性，确认事件误动原因，进行了试验论证，人为拉,24V,电源，所出现的信号跟跳机时现象吻合，因此判定,ETS,装置误动为外部,DC24V,故障引起。,58,【,事件教训与防范措施,】,（,1,）停机时对可能的故障点加以检查：并且对所有电源接线点加以紧固。,（,2,）,DC24V,虽然有冗余设计，但它是经整流桥堆并接，并没有分卡分端子输出，负端共用线连接也未形成环路，因此在检修时对电源回路加以优化，再加一路冗余,DC24V,分卡分端子供,DC24V,，并形成环路连接。,59,将下列检查、确认工作列入新建机组安装和运行机组检修计划及验收内容并建立专用试验记录档案：,1,）热工电源的专用性，电源故障诊断系统的完备性；,2,）热工交直流柜和,DCS,电源的切换试验，切换时间的可靠性；,3,）电源熔断器容量和型号（应速断型）与已核准发布的清册的一致性，,DI,通道熔断器的完好性，电源上下级熔比的合理性；,4,）电源回路间公用线的连通性、所有接线螺丝的紧固性（包括盘内厂家的电源连接电缆的接触可靠性）；,5,）电源电缆的绝缘、温度符合性，各级电源电压测量值的正确性。,电源系统预防措施,60,装置内报警信号未及时复归,7,）,1,）某机组因,#3,轴承,X,向相对振动信号误发跳闸，按保护逻辑组态不应动作（本轴承的,X,向相对振动高报警信号和本轴承的,Y,向绝对振动跳机信号组成与逻辑），但检查发现,1,个月前，,#3,轴承,Y,向绝对振动信号曾误发，由于其继电器输出信号触发后运行人员未复位（装置设置为“闭锁”）被保留，使跳机逻辑条件满足。,2,）某新建机组进行试验，连接录波器监视转速过程中，转速信号跳机。检查发现,DEH,测速卡故障报警信号消失后的复归设置为手动，工作人员将录波器连接第一个转速信号时，录波器上无显示（录波器接地造成），而,CRT,报警未引起运行人员注意，测速卡该通道报警输出被保留，当工作人员未查明原因又去连接第二个转速信号，转速“三选二”条件满足，,ETS,动作。,61,为减少单点保护信号误动，有的改为三选二，有的增加证实信号改为二选二。但系统或装置内部软件设置不当和维护不及时，同样会导致保护误动。建议将装置内部的信号复归改为自动方式，信号报警改为手动复归，同时将次一级的报警信号在大屏上设立综合报警信号牌。,预 防 措 施,62,8,）,1,）某厂,#5,机组负荷,400MW,，运行人员在执行阀活动性全行程试验过程中，再热器保护动作，锅炉,MFT,。原因是,B,侧中压调门位置信号接线错误，当运行人员执行“中联门,A,全行程活动性试验”时，再热器保护动作条件之一“当机组负荷大于,25%,，低旁阀门均关闭且中联门,AB,均关闭延时,10,秒”满足，导致机组跳闸。,2,）某厂,#6,机负荷,250MW,，,AGC,运行方式，进行,ETS,定期试验。在进行真空保护通道试验时，因真空开关,2,和,3,安装位置交叉（开关为,SOR,，真空开关至接线端子的引线与真空开关一体），当对一真空通道进行试验时，真空开关,1,和真空开关,2,同时动作（原本应该为真空开关,1,和,3,动作），使,ETS,保护动作，汽机跳闸。,3,）某电厂,#3,机负荷,400MW,，高旁不明原因快开，运行人员立即将高旁切至手动后关闭。后查明原因是将高旁慢开反馈信号串入了,DCS,高旁快开逻辑中所致。,事件反映了检修后的联锁试验内容和步骤不规范。,电缆接线错误,63,9,）,1,）某电厂,#1,机组辅机由,PLC,控制，某日引风机控制系统,1B,因“马达轴承温度高”而跳闸，联跳送风机,1B,，,RB,动作正常。原因是就地接线松动导致接触电阻增大，温度跳变超过跳闸定值而引起。事后热工在热电阻引出线连接处安装弹簧垫片。机组改造中将重要辅机控制引入,DCS,，设置热电偶断线逻辑处理。,2,）某,300MW,机组，负荷,160MW,时跳闸，首出“汽机跳闸”，,ETS,无首出，,SOE,记录,2,毫秒内出现“超速遮断”、“凝汽器真空低低遮断”等信号、原因是,ETS,装置外部,DC24V,负端接线松动引起。,3,）某电厂,#1,机组,PLC#4/5/6/7B,柜,A,路故障或,B,路故障多次报警，两路通讯曾短时同时失去，导致部分设备显示异常或动作。