一起冗余DPU全停引起的机组跳闸分析.pdf

S 电 力 安 全 技 术 第14 卷( 2 0 1 2 年 第 4 期) 一 起冗余D P U 全停引起的机组跳闸分析 邸若冰 ( 阳城 国际发 电有限责任 公司，山西 阳城0 4 8 1 0 2 ) 摘要通过一起西门子T - X P冗余D P U故障全停引起的机组跳闸事件，分析了 引起异常发 生的设备和设计方面的原因，并提 出了相应的技术防范措施。 关键词T - XP ；DP U；冗余全停 ；技术措施 1 设备与系统概况 某公司总装机容量 6 X 3 5 0 MW ，机组采用单 元 制配置。锅炉为美 国福斯特 惠勒公司设计制 造 的亚临界 自然循环 汽包炉 ，汽轮机为德 国西 门 子 公 司 设 计 制 造 的 K3 0 4 0 一l 6 N3 0 2 X1 0型 反 动 式 单轴、双 缸 、双 排 汽、亚 临 界、一 次 中间 再 热、节 流调 节 凝 汽式 汽 轮机。DC S采用 西 门 子 T E L E P E R M x P自动 控 制 系统，D E H采 用 西 门子 S I MAD YN- D数 字 电液调 节 系统。每 台 机组 DC S系统 共配置 1 1 对 冗余 DP U，1 对 冗余 S I MA D Y N D负责 D E H系统控制，另外还配置 了专用的 E T S 、T S I 系统。l 1 对冗余的 D P U融合 了 机 组 的 D AS 、MC S 、C C S 、S C S 、F S S S 、E C S 等 功 能，并 按 照 热力 系 统 划 分 到 1 l 对 D P U 中 ( AP 0 1 一 AP 0 8 ，A P 3 4 一A P 3 6 ) ，每对 D P U通 过配 置各种 I O模件实现具体的控制功能。 2 事故经过 2 0 1 1 -1 0 - 1 l T0 5 ： 1 0 ，3号机组以协调控制方式 运行，负荷为 2 9 0 Mw，主汽压力为 l 4 5 MP a 。 0 5 ： l 0 ： 0 6 ， 操作监视画面发 DP U AP 0 3 I M3 2 4 3 0 4 冗余通讯耦合故 障、AP 0 3全停故 障、AP AP连 接 故 障等大 量报警 ，机 组协调 控 制 CC S和 电气 控 制 E C S画面数据失去且无法操作。同时 ，机组 负荷 和主汽压力开始逐渐下降 ，汽机调 门快速开 大并维持全开 ，锅炉燃料指令快速降低，高低 旁 阀门快开。为 了稳定燃烧维持汽压 ，运行 人员将 燃料主控解为手动控制，随后将高旁解为手动关 闭。0 5 ： 2 l ： 2 7 ，热工值 班人 员现场检查 发现 ，负 责 CC S及 E C S的 DP U A P 0 3双侧全停。后手动 聱 鞭尊 #豢 带肇 带 幸 尊尊 静静尊 棒糖 辨棒棒 # 尊 尊尊 弗雌 替 特弗特 謦臻 举#糖 尊幸 尊静 彝尊 囊謦 #幸 尊 赫尊 臻 # 舡尊 臻静 静掌尊 姆# 舡幸 #尊 雌豢 替# ( 2 )由于厂 内排水泵出 口闸阀为常开阀，故延 长阀门启闭时间这一措施只能在减压阀上实施，但 由于逆止阀的结构造成了调节的困难 ，经过实践后 证明，效果并不明显；因此，应将闸阀改造为电动 阀门，同时降低阀门电动装置电动机转速或改变减 速机构的传动比。这就意味着不能采用标准的阀门 电动装置，需要重新设计和制造阀门。对单个水电 厂来说 ，这种方法也不切实际。 ( 3 )在阀门迎水面加装空放 阀，这需要增加空 放阀的设备投资 ，并增设一段管道。 能否在现有设备的基础上 ，稍作改动就能达到 上述 目的。通过对系统图 l 和设备实际布置位置的 仔细研究，采用缩短受水击的管道长度这一方法简 一 一 便可行。从图 l中的标注可以看出，潜水泵泵体 的 高程为 l 6 0 3 5 m，出口阀高程在 1 6 2 2 8 m，管路 长度为 l 9 3 m，故出口阀较原来受到较大正向水 锤压力。只要将 出口阀 P 2 1 l 、P 2 2 1 和逆止阀移至 接近水源端的位置，就可以减少受水击的管道十来 米。这一方法投资小， 设备改动量也小， 效果明显。 5 结束语 综上所述，通过移动排水阀至水源端，减少受 水击的管道长度 ，从而减小该阀门在关闭时所受到 的水击压力 ，并采用高质量的阀门，就能从根本上 解决排水闸阀破裂的问题。( 收 稿日 期： 2 O l 卜0 8 2 4 ) 第 1 4 卷 ( 2 0 1 2 年第 4 期 ) 电 力 安 全 技 术 启 动 A P 0 3 单侧 C P U成功，画面恢复正常，协 调切为机跟随方式运行，汽机负责调节主汽压力。 O 5 ： 2 5 ： 0 l ，调 门逐渐关小 ，主汽压力逐渐 回升 ，而 机 组负荷 仍持续 下降。0 5 ： 2 6 ： 1 6 ，主汽压 力升 至 9 MP a左右，但较设定值仍偏小。汽机高调门快速 关至 7 ，同时低旁调节打开，实际负荷快速降至 7 0 MW ， 而机组负荷小于 2 5 ， 协调切为基本方式 ， 即启动状态 ，汽机控制负荷 ，锅炉控制燃烧，维持 主汽压力。高旁在启动方式下负责调节启动压力 7 5 MP a ，这导致高旁逐渐全开。0 5 ： 2 6 ： 5 0 ，负荷 波动至 5 O MW 左右，发电机零功率保护跳闸，连 锁汽机跳闸。 3 原因分析 3 1 引起冗余 D P U 全停的原因分析 在 T - XP系统 中，互为 冗余 的 2块 D P U( AP ) 控 制卡 ，件 软、硬 件 完 全相 同，它们 执 行 相 同 的系统软件和应用程序，通过主从冗余逻辑电路 ( I M3 2 4 I M3 0 4模件 ) 的控制 ，其 中一块运行在工 作状态，另一块运行在备用状态。主从冗余 A P通 过各 自的高速数据总线都能访问同一现场 I O数 据，通过各 自的通讯模件 ( C P 1 4 3 0 ) 都能访问同一 过程控制网络 ( 工厂总线 ) 。这样 ，2块 AP可随时 刷新最新的控制数据，实现 “ 自然同步” ，以保证 工作 备用的无扰切换。互为冗余的 AP通过主侧 的 I M3 2 4模件和从侧 的 I M3 0 4 模件 实现主从信息 交互、故障诊断、控制权切换 。 T X P系统经过多年 的软硬件升级 已经成为 一 种十分成熟稳定的控制系统，在国内应用 T - X P 系统的发电厂中，出现冗余 D P U全停的案例是罕 见的。单侧 AP卡件故障停运导致 AP失去冗余或 者发生故 障后主从切换失去冗余 ，多出现在 旧版 AP卡件上，这是 由于 旧版 AP卡件的抗射频干扰 能力较差 ，易出现奇偶校验错误导致的，但 6台机 组从未 出现过冗余 AP卡件全停的先例 。由于 A P 卡件全停后，故 障数据不全，只能结合部分故 障数 据和机组事故报表分析 ，并通过模拟试验确认故障 原 因。A P 0 3出现 I M3 2 4 3 0 4冗余通讯耦合故 障， 会导致冗余逻辑回路失灵，出现 2 个 A P都为主控 制器。但设计上，从 A P冗余耦合故障切换为主控 制器时，为保证安全禁止其输出。当冗余通讯耦合 事 故 分 析 hi guf enxi 故障恢复后，为保证安全防止出现 2 个主 A P抢夺 控制权， 从 A P会自 动停运。在从 A P自动停运时， 主 AP由于 RA M 缓存 中的数据出现奇偶校验错误 而停运。 当I M3 2 4 3 0 4 卡件故障或连接 电缆断开时， 都会导 致 I M3 2 4 3 O 4冗余通讯耦合故 障，但 同时 出现 AP奇偶校验错误是很罕见的。经过模拟试验 ， 在 I M3 2 4 3 0 4冗余通讯耦合链路上 的故 障通常导 致从侧停运 ，但无法导致主侧停运。只有在主侧也 存在故 障点时才有可能出现主从全停 ，所 以主侧的 I M3 2 4模件故 障应是导致双侧全停 的根本原因。该 厂 5号机组 曾经出现过在机组停运期间一对 A P的 I M3 2 4模件故障导致主从全停的先例。 3 2 引起机组控制异常的原因分析 AP 0 3卡件柜 负责 CC S协调控 制系统和 E C S 电气控 制系统 ，其 中 E C S系统控 制的 电气开 关， 由于控 制设备全部为短 指令启停 ，在 AP启停 过 程 中控制信号未突变 ，故无设备 跳 闸，系统在 单 侧 AP恢 复后 正常 。CC S系统 由 AP 0 3通讯 送 至 DE H S I MADY N D的负荷设 定值、主汽压力设 定值 等信号，以及 C C S由 AP 0 3 通讯送至锅炉主 控 AP 0 6卡件的锅炉指令信号等 ，则在 AP 0 3 全停 后全部突变为 0 。当锅炉指令突变为 0 后，燃料指 令快速下降，导致锅炉燃烧减弱，主汽压力持续下 降， 随后运行人员为稳定燃烧将锅炉解为手动控制 ， 但仍未有效阻止主汽压力下降。而当 A P 0 3送至高 低旁路的并网信号丢失，导致高低旁误判断，机组 甩负荷全部快开 ，也加剧了机组的蒸汽参数下降。 当 AP 0 3全 故 障 时，S I MADYN D 中 负 荷 控 制器 有 效，负荷设 定值 P S由 2 9 0 MW 突变 为 0 ，压 力 设 定 值 F D S由 1 4 5 MP a突 变 为 0 。 在 S I MA D Y N- D内部，为防止设定值突变，都设计 有限速回路 ，延时负荷设定值 P S V以 1 0 MW mi n 下降 ，延 时压力设定值 F D S V 以 2 5 MP a mi n速 率下降。负荷控制器为限制主汽压力在控制负荷 时偏差过大而设计 了压力补偿 回路 ，通 过修 正汽 机负荷配合锅 炉控制主汽压力。负荷控制逻辑 中， 通过 P S V加上 5 MW MP a的压力偏差修正系数 ， 形成最 终有效负荷设定值 P S W。由于实 际主汽压 力下降速率约为 0 5 MP a mi n ，延时压力设定值 F D S V 以 2 5 MP a mi n下 降，压 力偏差持续变大 导 致 P S W 由 2 9 0 MW 先基本 不变然后逐渐变大 ， 且 在 O 5 ： 1 6 ： 4 2时达 到最 大值 3 0 0 MW ，然后开始 一 一 S 电 力 安全 技术 第1 4 卷( 2 0 1 2 年 第 4 期) 逐渐下降。有效负荷设定值 P S W 下降较慢 ，而机 组负荷 由于主汽压力降低持续下降，这就导致负荷 控制器为维持负荷输出指令快速变大，直至将汽机 所有调 门全开。 0 5 ： 2 l ： 2 7 ， AP 0 3单侧 C P U启 动成 功， 由于 锅炉解为手动控制汽机遥控 ，S I MADYN- D切为 机跟随方式运行调节主汽压力， 锅炉控制机组负荷 ， 负荷控制器切为压力控制器。此时，负荷设定值在 机跟随下跟踪实际负荷 ，负荷控制器入 口偏差被切 换 回路增加一 固定正偏差 ，但此 时输 出早 已经维 持 1 0 0 不变。压力控制器在切换前跟踪负荷控制 器 的输出也达到最大 1 0 0，而 内部实际压力设定 值在通讯恢复后 以 2 5 MP a mi n的速率 由0逐渐 变为滑压曲线中实际负荷对应的数值 ，压力控制器 人 口偏差为负导致压力控制器输出维持 1 0 0 ( 反 向调 节器 ) ，导致切机 跟随后所有调 门仍维持全 开。0 5 ： 2 5 ： 0 l ，当实际延时压力设定值恢复升至大 于主汽压力，压力控制器入 口偏差反向使其输出减 小 ，开始关 闭调 门，压力控 制器激 活。由于随后 主汽压力值波动下 降导致压力控 制器输 出快速减 小 ，关小所有调 门，憋压 。当汽机高调 门关至 7 时，由于低旁调节 打开 ，负荷跌至 7 0 MW。此 时 机组 负荷小于 2 5，控制方式 由机跟随切为启动 状态，汽机控制负荷，锅炉控制燃烧，维持启动压 力 7 5 MP a 。由于高旁在启动状态下负责维持主汽 压力 7 5 MP a ，而此 时主汽压 较 7 5 MP a高，导 致阀门调节打开，导致机组负荷进一步下降。当机 组负荷在 6 0MW 左右波动时 ，触发发电机零功率 保护动作，连锁汽机跳闸。 4 事故教训及防范措施 ( 1 )机组跳闸后 ，由于 I M3 2 4 3 0 4耦合故障一 直存在 ，导致从侧 AP多次尝试一直无法启动 ，后 对 I M3 2 4 3 0 4卡件断 电后系统才恢复正常。随后 ， 对 I M3 2 4 3 0 4卡件及连接 电缆反复测试均未发现 异 常，基 本确定 为 I M3 2 4卡件 出现偶 发性故 障。 为彻底避免故 障的再 次发生，对 I M3 2 4 3 0 4卡件 和连接 电缆全部进行了更换。对于出现奇偶校验错 误故 障的 AP卡件，西 门子一般都采取拔 出模件 ， 彻底放 电后重新上 电使用，只有短期连续 出现奇偶 校验错误的 AP卡件才建议更换。 一 一 ( 2 )西门子 T X P系统 中，冗余 A P总体稳定 性较好，除旧版 AP易出现干扰导致的奇偶校验错 误停运外 ，整体的可靠性一直较高 。严格的软硬件 版本匹配、循环 自检机制和主从冗余切换等机制提 高了T - X P系统的可靠性，但也同时影响了其稳 定性 ，这正恰恰体现了西门子控制系统在设计时遵 循的 “ 保人身设备而非保负荷”理念 。在出现冗佘 A P全停之后 ，目前只能从常规措施上保证其稳定 性。例如 ：严格控制设备运行环境 ( 包括 温湿度、 空气粉尘含量 ) 、降低 AP负荷率、规范接地、防 止静 电及射频干扰等。 ( 3 )S I MADYN D是 一 种 全 数 字 化、模 块 化、高动态特性 、高精度的控制系统 ，西 门子将 其 应用于 D E H控 制正是利 用其快速 的开 闭环 控 制和具备 的复杂运算操作能力，同时也可完美地 和 DC S系统 融为一 体。由于 S I MADYN D硬 件 采取 l ： 1 的 1 0 0 冗余 ，即内部软硬件完全冗余工 作 ，所有的硬接线信号和通讯信号 ，以及所有的输 出信号均在柜 内实现 1 0 0 冗余采集和输出，同时 上下 2层 S I MAD YN D通过主从通讯模件 C S 1 2 、 C S 2 2进 行数据 比较 ，在主层 发生硬 件损 坏或检 测到 致命性故 障时系统就 自动切换至从 层输 出。 S I MAD YN- D汽机控制器软件 主要 由转速 负荷 控制器、主汽压力控制器、高排冷却蒸汽压力控制 器 、高压排汽温度控制器、高压 叶片压力控制器组 成 。并网前转速控制器控制汽机转速 ，并网后主要 由负荷控制器控制机组负荷，在机跟随时压力控制 器控制主汽压力，其余控制器在相关参数超限时限 制控制器的输出。所有控制器的输出都经过小选器 小选后输出，从而实现了不同控制方式下控制器的 无扰切换。S I MAD YN- D的控制软件是一个逻辑 复杂 、 功能完善、 设计精密的十分成熟的控制逻辑 ， 能实现机组在各种控制方式下、 各种工况下的控制， 能完全 自动控制汽机从盘车挂闸、暖阀、启机、冲 转 、暖机直至同期并网、带初负荷。 S I MAD YN- D完善的功能极大地提高 了 D E H 的 自动化程度 ，同时也严重削弱了手动操作功能和 人工干预手段。例如 ，S I MADYN D系统 中没有 配置专用的后备上位机 ，只能在 DC S操作终端上 通过通讯实现操作监视功能 ；D E H 系统 中除并网 信号等少量采集信号和阀门控制信号等少量输出信 号外，其余所有信号都完全依赖于 DC S的数据 总 第 1 4 卷 ( 2 0 1 2 年第 4 期 ) 电力安全技 术 线通讯至指定 A P进行操作显示 ，没有预留后备控 制操作接 口；在 DE H 中任何 时候只能通过改变外 部设定值 ( 如转速设定值、负荷设定值、压力设定 值等 ) 来影响控制器的输出，无法手动直接干预控 制器输出，导致系统连基本的阀控等手动功能也没 有；D E H所有外部设定值在逻辑中都进行了限幅 限速功能，任何时候改变设定值都必须经过限速时 间后才能真正实际改变输出。所 以，控制逻辑并非 自动程度越高越好， 更不应完全抛弃手动操作模式。 为 了提高 DE H系统 的可靠性 ，必须重新合理 配置硬接线信号和通讯信号，对重要的信号要考虑 设置冗余后备硬接线输入。在操作员站画面增加应 急操作功能，当 D E H系统控制功能异常时将控制 器快速切为启动方式，直接手动控制负荷，同时闭 锁 D E H中的限速功能使控制器立即激活，从而避 免控制器反复切换造成的参数恶化。如有可能，应 扩展 S I MA D Y N - D系统功能，使其具备上位机操 作功能，以紧急后备。 ( 4 ) 为 了 统 一 ，DC S系 统 中 将 所 有 送 至 S I MADY N D 的 通 讯 信 号 都 先 送 至 AP 3 5中 ( 负责汽机保护 ) 并 由A P 3 5 统一转 发，而所有 S I MADYN D送 出的信 号则 由各 个 AP通过工厂 总线各 自接收采集。当A P 0 3 故障时，A P 0 3 送至 AP 3 5的信号变为 0 ， 而 AP 3 5 则仍然将 0信号发送 ， 这样无疑增加了 S I MADYN D信号质量判断的难 度，又导致中转信号的可靠性下降。所以，在充分 考虑信号可靠性的前提下应优化通讯信号的配置和 内部控制程序 ， 当出现单个或多个 AP通讯 中断时 ， 在保证机组安全 的前提 下应提供可行的操作方式 ， 事 故 分 析 h i guf enx| 使操作员能干预 S I MADYN- D的输 出，使汽机处 于可控状态 。例如 ，在相关 AP中增加控制器紧急 情况下的设定值、设定值变化率、控制器输出上下 限值 、控制器输出速率等 ，同时在操作画面上增加 对所有阀门的限制输出功能，如最小开度、最大开 度等。 ( 5 )优化 DE H 中通讯信号的参数 ，增加信号 质量检测灵敏度和可信度。例如压力设定值信号原 量程为 02 0 MP a ，根据机组实 际工作压力可改 为 7 5 1 6 6 7 MP a ，对通讯信号应进行三取 中等 多重选择， 信号源也可考虑一