DCS软件设置不当造成安全隐患的典型案例及分析

1、DCS软件设置不当造成安全隐患的典型案例及分析安全与综合湖南电力第26卷/2006年第3期DCS软件设置不当造成安全隐患的典型案例及分析朱晓星,刘武林(湖南省电力试验研究院,湖南长沙410007)摘要:DCS系统在工业控制过程中占有极其重要的地位,其安全性是不容忽视的.通过对某火电厂DCS系统在调试中出现的虚假启动故障现象的分析,原因查找,指出DCS软件设置不当造成的安全隐患,强调DCS软件设置的重要性.关键词:DCS;软件设置;安全隐患;分析中图分类号:TM76;TP273文献标识码:A文章编号:10080198(2006)03002004O刖吾DCS自1975年问世以来,经历了20多年的发

2、展历程,软硬件日趋成熟稳定,已经在我国各重要工业生产控制领域取得了广泛的应用.但同时应该看到,在DCS系统逐渐更新,功能日益强大的同时,软件设置也更加复杂.对这些设置没有完全掌握或稍有疏忽,就可能给工业控制带来潜在的安全隐患.1典型案例某火电厂正在调试中的600MW机组采用了某公司当时最先进的Composer+PGP(版本为V3.1SP1HF2)架构的Symphony控制系统:PGP站共6台,其中3台为服务器,通过ICI接口连人环网,分别命名为ServerIServer3;1台做历史站,命名为His;另2台为客户端.6台PGP通过网线组成局域网互连.某日下午15:25左右,正在进行空气动力场试

3、验的运行人员突然惊异地发现风烟系统画面上的所有风机和绝大多数二位式阀门的状态都显示为红色(代表运行/于丁开);查看其它画面,也发现绝大多数设备均呈现红色,这些全体运行的设备立刻引起了运行人员的恐慌.热控调试人员当即对画面和组态进行了检查,发现绝大多数用129号功能块(MSDD,多状态设备驱动器)驱动的设备以及用62号功能块(RCM,远程控制存储器)驱动的设备均呈现红色;但调出的MSDD操作面板上并无已收稿日期;20060214启/已开反馈(原本是停/关的设备应是已停/已关反馈),只是代表指令的红色圆点都在表示设备初始状态的第4个按钮上;而RCM操作面板上代表指令的红色圆点确实在启动位置.经相关

4、人员对组态就地检查,绝大多数出现上述现象(以下统称为虚假启动现象)的MSDD驱动设备并没有真正启动/打开,经确认后只有2号小机,2号主油泵被实际启动;但RCM驱动的设备/按钮确实在无人操作的情况下发出了启动/投入指令:2个RCM驱动的继电器被证实动作,10余个联锁开关确实被投入.虽然大多数都是虚假启动,但确实动作了的几个开关,设备,还是引起了各方面的重视:正在运行的设备当即停了下来,准备试运的设备也都往后推迟,重大设备全部中断动力电源,运行人员严密监视,巡查,热控调试人员查找原因.通过画面操作或对模件复位,所有设备操作面板恢复正常状态.但次日下午16:O0许,又发现部分设备/按钮出现虚假启动和

5、误发指令现象,其中由MSDD驱动的有电泵,磨煤机,制粉系统/风烟系统/开式水等系统的部分电动f-i;由RCM驱动的有C磨低压油泵的联锁开关.2现象分析2.1MSDD所驱动设备的虚假启动现象经过后来的试验验证:MSDD所驱动设备的虚假启动现象与MSDD在规格参数5.一0且S第26卷/2006年第3期湖南电力安全与综合一0(缺省状态)时所表现的画面状态一致.但组态中所有MSDD的规格参数:都连接到常数1,所以这种状态不应该出现.2.2RCM所驱动设备的误发指令现象2号小机2号主油泵被实际启动,已经证实是由于联锁开关(RcM驱动)被投入导致,当时在组态中检查发现该RCM确实发出了投人指令.但由于当时

6、画面尚未完善,该RCM块还没有做相应的操作按钮,且组态中S(置位)位没有连接任何信号,故无任何外部方法可使其输出1.其它误发指令的RCM站也均证实非人为操作或逻辑导致.3原因探讨3.1DCS供电电压不稳DCS供电电源电压不稳可能导致主模件不能正常工作.但不能正常工作的主模件应该被初始化,现象应该表现为所有控制设备及测点全显示预定义的紫色.有人认为可能电压的波动并没有大到使主模件初始化,但造成了主模件工作紊乱,使MSDD功能块:的常数1变为0,并使RCM自动输出1.分析:由于当时刚启动了6kV的设备(1号引风机),且电气系统正在调试中,不一定完善,故由于电压不稳引起的说法有一定可能性.只是当时给

7、DCS系统供电的UPS电源没有进行故障录波,不能查到当时电压是否波动,故无法证实.不过由于这种现象以前从未出现,当时电气也未进行特殊工作,却在2d内接连出现同样现象,这个理由就略显牵强.3.2接地系统有问题接地系统有问题也可能导致主模件不能正常工作,引起各种特殊现象的出现.但经过对接地系统的详细检查,除FECS系统中通过MODBUS与DCS通讯的6对双绞线存在2点接地(电缆的屏蔽在FECS,DCS侧均接地)外,其它均按照设计图纸规范接地,没有发现异常.虽然接地方式与以往工程不同,不再区分交流地和直流地,每个PCU柜的接地通过电源的地线接到DCS电源柜的接地铜条上,再接到地网DCS专用地极上,但

8、这符合某公司对该版本DCS系统的接地要求.所以接地系统有问题的说法也很难成立,而且第1天出现该现象后,已经把2点接地的问题处理好,而第2天又出现了该现象,说明该现象与2点接地的问题没有关系.3.3软件层面的问题由于2d接连出现类似现象,且第1次发生的那天是将历史站(His)架设好的第2天;第2次发生的时刻又是DCS现场服务人员将His站重新启用后不久;而以前没有启用历史站时,该现象从未发生过,所以从这些迹象上看,历史站的启用和设置与该现象的发生似乎存在某种关联.4试验验证通过以上分析及检查,基本排除了接地系统的问题.而由于降电压试验危险性较大,不能贸然进行,故决定先进行软件层面的试验:试验目的

9、:重现MSDD操作面板虚假启动及RCM误发指令现象.试验准备:为尽量模拟当时状态,将His工作站停用;为保证设备安全,将所有设备断电或置试验位或置就地方式;将画面上所有的MSDD虚假启动现象全部复位;记下所有RCM操作面板上的指令位置.试验进行:启用His工作站,再重启Server1,试验结束.试验结果:Server1工作站重新启动之后,当即检查所有画面,发现果然有部分MSDD操作面板又出现了虚假启动现象,但数量不多,而且RCM误发指令现象没有发生.观察约30min,一直是这个状态.之后恢复了除6kV电机之外的其它设备的正常操作.4.5h后再检查画面,发现MSDD操作面板虚假启动现象的数量明显

10、增多,RCM站也有1个误发了指令.试验结论:从试验现象上可以很明显地看出,MSDD操作面板虚假启动及RCM误发指令现象确实是由于软件层面的原因所引起的,而与系统电源电压及接地系统等没有关系.5解决方法及分析5.1降低His站PGP版本使用中发现,His站原PGP的版本(V3.1SP1HF2)在历史归档方面存在一些BUG,而V3.1SP1经过长期的使用验证是比较稳定的,故将His站PGP的版本降低为V3.1SP1.5.2更正His站PGP的License?2】?安全与综合湖南电力第26卷/2006年第3期经过检查发现,当时His站PGP使用临时Iicense,在权限方面与正式License有些差

11、异.故将该站的License更正为正式License.5.3修改标签库设置检查中发现,在标签库中各标签属性的Network页面中的所有选项都被选中,如图1所示.图1各标签Network的初始设置查某公司的相关技术文档可知,SourceNodesforValues栏列出了本节点(指挂在环网上的操作员服务器站)上本标签的数值将从哪些节点上获得;DestinationNodesfor0peratorActions栏列出了操作员关于本标签的操作将送达的环网上的目标节点;DestinationNodesforConfiguration栏列出了关于本标签的修改将送达的环网上的目标节点;Destinatio

12、nNodesforValues栏列出了本标签的数值将送达的环网上的目标节点.因此,将所有选项全部选上会使其它节点也试图向His站取数据;操作员的操作将在各站之间互传;各标签的修改将试图送到各个站点;各标签的数值将在各站间互传.由于历史站没有ICI接口,不能直接从模件获得数据,故SourceNodesforValues栏中His站不应被选中;Serverl3站上操作员的操作通过各自的ICI接口传给模件执行,不必要通过其它站的tCI接口传递,故DestinationNodesfor0perator?22?Actions栏中Serverl3不应选中,而Hist需要记录操作员的操作记录,故需要选中;S

13、erverl3站都能通过各自的ICI接口获取实时数据,故标签数值不需要在Serverl3站之间传递,而His需要记录历史数据,故DestinationNodesforValues栏中应该仅选中His.修改后的各标签设置如图2所示.图2修改后的各标签Network设置经过改动,重复文中第4部分中的试验,没有再出现如前所述的特殊现象.经过几天的正常运行操作,没有再发生异常现象.从本案例中可以得出几点注意事项,采用了DCS的单位应引以为鉴.a.DCS发生故障不仅可能由于电源,接地或硬件等原因造成,还可能是因为软件上的设置不当.所以在DCS新投用,或改造,升级时,一定要详细了解并认真设置;b.DCS相

14、关画面,组态设计时应考虑到各种可能的情况,尽量采取措施避免特殊现象引起操作人员的误解.如本案例中MSDD画面符号的缺省颜色就不应该使用红色;C.电源的保障是最基础,最根本的,所以UPS故障录波应该尽早投入使用并将其完善,以便问题发生时能够尽快排查原因.2006NO.3HUNANE1ECTR1CPOWERVo1.266结语DCS系统现在工业控制过程中占有极其重要的地位,其安全性是最不能忽视的.当今DCS软件版本升级比较快,一般来说升级后性能更加可靠,功能也日益完善,但一定要全面,详细地了解其各项(上接第3页)到15:00,正好与人们的午饭午休时间相契合;冬季午峰则要短很多,一般只持续到13:o0

15、前.d.夏季负荷从15:O0开始下滑进入下午谷,至19:00附近到达谷底后迅速飙升进入晚峰;冬季负荷在13:o0前就开始下滑,随后维持一个平缓的下午谷,至18:o0左右迅速攀升进入晚峰.上升速度都会达到1O20MW/min.e.夏季在19:0020:O0,冬季在18:o019:O0进入晚峰,晚峰高度超出午峰较多;夏季晚峰延续到24:o0之前,在23:O0后,由于空调负荷与避峰用谷负荷共同作用,加上非统调小水电在此时退出,使得统调负荷出现一个新尖峰.冬季晚峰要短一些,纯低谷用户和非统调小水电的影响也要小很多.4结论和建议通过以上分析,可以得出以下结论:f1.峰谷电价的实施对日负荷特性起到了较好的

16、修正作用,但无法抑制日间和月间负荷波动和负荷峰谷差的快速增长,尤其难以磨平年负荷高峰期的负荷钉;b.降温,取暖,排渍,抗旱等季节性,气候敏感性负荷比重的加大,使得湖南电网负荷的峰谷差矛盾呈现明显的季节集中特性,即集中在冬夏季节;同时湖南电网的峰谷矛盾还呈现明显的地域集中特性,部分地区出现峰谷倒挂;C.同样由于上述负荷,并与避峰用谷负荷及小水电趋峰避谷的叠加作用,使得湖南电网的日统调负荷特性呈现出晨峰减弱或消失,晚峰升高并延长的新变化,传统的3峰或多峰形状演变为设置的作用,仔细,合理地将其配置好;否则,升级后可能带来无尽的安全隐患.作者简介:朱晓星(198O一).男.主要从事热工控制技术的研究.

17、,一,双V形状,峰谷时段发生明显位移,晚峰和低谷延迟,上,下午峰消失,中午峰出现.由以上结论,同时考虑到湖南电力供需形势已从季节性紧张阶段进入全年容量冗余阶段,提出以下建议:f1.增供促销和需求侧管理相结合,以经济和价格手段促进厨卫用电的增长,尤其注重双燃料厨卫和空调的推广,以抬高常态负荷,同时压制负荷钉.加强对季节性负荷的需求侧管理工作,加大季节差价力度;将峰谷电价和季节电价政策尽快推广到商业用电及居民用电;并考虑引入关键峰荷电价政策.b.考虑到湖南电网峰谷矛盾的季节集中特性和地域集中特性,建议设置两段式峰谷电价比例;冬夏季节采用高峰谷比例,春秋季节采用低峰谷比例;对已经发生严重峰谷倒挂的地区如永州地区,则全年采用低比例;对长沙,邵阳,益阳等峰谷矛盾较严重的地区,可以考虑作为扩大峰谷