新25项反措之防止分散控制系统控制、保护失灵事故

1、防止电力生产事故的二十五项重点要求防止分散控制系统控制、保护失灵事故9.1分散控制系统DCS配置的根本要求分散控制系统配置应能满足机组任何工况下的监控要求 包括紧急故障处理 ，控制站及人机接口站的中央处理器CPU负荷率、系统网络负荷率、分散控制系统与其他相关 系统的通信负荷率、控制处理器周期、系统响应时间、事件顺序记录SOE分辨率、抗干扰性能、控制电源质量、全球定位系统 GPS时钟等指标应满足相关标准的要求。分散控制系统的控制器、系统电源、为 I/O 模件供电的直流电源、通信网络等均应采 用完全独立的冗余配置，且具备无扰切换功能；采用B/S、C/S结构的分散控制系统的效劳器应采用冗余配置，效劳

2、器或其供电电源在切换时应具备无扰切换功能。分散控制系统控制器应严格遵循机组重要功能分开的独立性配置原那么，各控制功能应遵循任一组控制器或其他部件故障对机组影响最小的原那么。重要参数测点、 参与机组或设备保护的测点应冗余配置， 冗余 I/O 测点应分配在不同 模件上。按照单元机组配置的重要设备 如循环水泵、 空冷系统的辅机 应纳入各自单元控制 网，防止由于公用系统中设备事故扩大为两台或全厂机组的重大事故。分散控制系统电源应设计有可靠的后备手段， 电源的切换时间应保证控制器不被初始 化；操作员站如无双路电源切换装置，那么必须将两路供电电源分别连接于不同的操作员站； 系统电源故障应设置最高级别的报警

3、； 严禁非分散控制系统用电设备接到分散控制系统的电 源装置上； 公用分散控制系统电源， 应分别取自不同机组的不间断电源系统， 且具备无扰切 换功能。分散控制系统电源的各级电源开关容量和熔断器熔丝应匹配，防止故障越级。分散控制系统接地必须严格遵守相关技术要求， 接地电限满足标准要求； 所有进入分 散控制系统的控制信号电缆必须采用质量合格的屏蔽电缆，且可靠单端接地； 分散控制系统与电气系统共用一个接地网时，分散控制系统接地线与电气接地网只允许有一个连接点。机组应配备必要的、 可靠的、 独立于分散控制系统的硬手操设备 如紧急停机停炉按 钮，以确保平安停机停炉。分散控制系统与管理信息大区之间必须设置经

4、国家指定部门检测认证的电力专用横 向单向平安隔离装置。分散控制系统与其他生产大区之间应当采用具有访问控制功能的设 备、防火墙或者相当功能的设施， 实现逻辑隔离。 分散控制系统与广域网的纵向交接处应当 设置经过国家指定部门检测认证的电力专用纵向加密认证装置或者加密认证网关及相应设 施。分散控制系统禁止采用平安风险高的通用网络效劳功能。 分散控制系统的重要业务系统 应当采用认证加密机制。分散控制系统电子间环境满足相关标准要求， 不应有 380V 及以上动力电缆及产生较 大电磁干扰的设备。机组运行时，禁止在电子间使用无线通信工具。远程控制柜与主系统的两路通信电光缆要分层敷设。 对于多台机组分散控制系

5、统网络互联的情况， 以及当公用分散控制系统的网络独立配 置并与两台单元机组的分散控制系统进行通信时，应采取可靠隔离措施、防止交叉操作。交、直流电源开关和接线端子应分开布置， 直流电源开关和接线端子应有明显的标示。9.2 防止水电厂站电脑监控系统事故监控系统配置根本要求。.1 监控系统的主要设备应采用冗余配置，效劳器的存储容量和中央处理器负荷率、系 统响应时间、事件顺序记录分辨率、抗于扰性能等指标应满足要求。.2 并网机组投入运行时，相关电力专用通信配套设施应同时投入运行。.3 监控系统网络建设应满足电气二次系统平安防护根本原那么要求。.4 严格遵循机组重要功能相对独立的原那么， 即监控系统上位

6、机网络故障不应影响现地 控制单元功能，监控系统控制系统故障不应影响单机油系统、调速系统、励磁系统等功能， 各控制功能应遵循任一组控制器或其他部件故障对机组影响最小， 继电保护独立于监控系统 的原那么。.5 监控系统上位机应采用专用的、冗余配置的不间断电源供电，不应与其他设备合用 电源，且应具备无扰自动切换功能。交流供电电源应采用两路独立电源供电。.6 现地控制单元及其自动化设备应采用冗余配置的不间断电源或站内直流电源供电。 具备双电源模块的装置，两个电源模块应由不同电源供电且应具备无扰自动切换功能。.7 监控系统相关设备应加装防雷强电击装置，相关机柜及柜间电缆屏蔽层应通过 等电位网可靠接地。.

7、8 监控系统及其测控单元、变送器等自动化设备子站必须是通过具有国家级检测 资质的质检机构检验合格的产品。.9 监控设备通信模块应冗余配置，优先采用国内专用装置，采用专用操作系统；支持 调控一体化的厂站间隔层应具备双通道组成的双网， 至调度主站 含主调和备调 应具有两 路不同路由的通信通道主 /备双通道。.10 水电厂基改、扩建工程中监控设备的设计、选型应符合自动化专业有关规程 规定。现场监控设备的接口和传输规约必须满足调度自动化主站系统的要求。.11 自动发电控制 AGC 和自动电压控制 AVC 子站应具有可靠的技术措施，对 调度自动化主站下发的自动发电控制指令和自动电压控制指令进行平安校核，

8、 确保发电运行 平安。.12 监控机房应配备专用空调、环境条件应满足有关规定要求。防止监控系统误操作措施。.1 严格执行操作票、工作票制度，使两票制度标准化，管理标准化。.2 严格执行操作指令。当操作发生疑问时，应立即停止工作，并向发令人汇报，待发 令人再行许可，确认无误后，方可进行操作。.3 电脑监控系统控制流程应具备闭锁功能，远方、就地操作均应具备防止误操作闭锁 功能。.4 非监控系统工作人员未经批准， 不得进入机房进行工作 运行人员巡回检查除外 防止网络瘫痪要求。.1 电脑监控系统的网络设计和改造方案应与技术开展相适应， 充分满足各类业务应用 需求， 强化监控系统网络薄弱环节的改造力度，

9、力求网络结构合理、运行灵活、坚强可靠和 协调开展。同时，设备选型应与现有网络使用的设备类型一致，保持网络完整性。.2 电站监控系统与上级调度机构、集控中心站之间应具有两个及以上独立通信路 由。.3 通信光缆或电缆应采用不同路径的电缆沟竖井进入监控机房和主控室；防止与 一次动力电缆同沟架 布放， 并完善防火阻燃和阻火分隔等平安措施，绑扎醒目的识别标 志；如不具备条件，应采取电缆沟竖井内局部隔离等措施进行有效隔离。.4 监控设备含电源设备的防雷和过电压防护能力应满足电力系统通信站防雷和过 电压防护要求。.5 在基建或技改工程中， 假设改变原有监控系统的网络结构、 设备配置、 技术参数时， 工程建设

10、单位应委托设计单位对监控系统进行设计， 深度应到达初步设计要求， 并按照基建 和技改工程建设程序开展相关工作。.6 监控网络设备应采用独立的自动空气开关供电，禁止多台设备共用一个分路开关。 各级开关保护范围应逐级配合， 防止出现分路开关与总开关同时跳开， 导致故障范围扩大的 情况发生。.7 实时监视及控制所辖范围内的监控网络的运行情况，及时发现并处理网络故障。.8 机房内温度、湿度应满足设计要求。监控系统管理要求。.1 建立健全各项管理方法和规章制度，必须制定和完善监控系统运行管理规程、监控 系统运行管理考核方法、 机房平安管理制度、 系统运行值班与交接班制度、 系统运行维护制 度、运行与维护

11、岗位职责和工作标准等。.2 建立完善的密码权限使用和管理制度。.3 制订监控系统应急预案和故障恢复措施， 落实数据备份、 病毒防范和平安防护工作。.4 定期对调度范围内厂站远动信息进行测试。遥信传动试验应具有传动试验记录，遥 测精度应满足相关规定要求。.5 标准监控系统软件和应用软件的管理，软件的修改、更新、升级必须履行审批授权 及责任人制度。在修改、更新、升级软件前，应对软件进行备份。未经监控系统厂家测试确 认的任何软件严禁在监控系统中使用， 必须建立有针对性的监控系统防病毒、 防黑客攻击措 施。.6 定期对监控设备的滤网、防尘罩进行清洗，做好设备防尘、防虫工作。9.3 分散控制系统故障的紧

12、急处理措施已配备分散控制系统的电厂， 应根据机组的具体情况， 建立分散控制系统故障时的应 急处理机制， 制订在各种情况下切实可操作的分散控制系统故障应急处理预案， 并定期进行 反事故演习。当全部操作员站出现故障时所有上位机“黑屏或“死机，假设主要后备硬手操及监视仪表可用且暂时能够维持机组正常运行， 那么转用后备操作方式运行， 同时排除故障 并恢复操作员站运行方式， 否那么应立即执行停机、 停炉预案。 假设无可靠的后备操作监视手 段，应执行停机、停炉预案。当局部操作员站出现故障时， 应由可用操作员站继续承当机组监控任务， 停止重大操 作，同时迅速排除故障，假设故障无法排除，那么应根据具体情况启动

13、相应应急预案。当系统中的控制器或相应电源故障时，应采取以下对策：.1 辅机控制器或相应电源故障时，可切至后备手动方式运行并迅速处理系统故障，假 设条件不允许那么应将该辅机退出运行。.2 调节回路控制器或相应电源故障时，应将执行器切至就地或本机运行方式，保持机 组运行稳定，根据处理情况采取相应措施，同时应立即更换或修复控制器模件。.3 涉及机炉保护的控制器故障时应立即更换或修复控制器模件， 涉及机炉保护电源故 障时那么应采用强送措施， 此时应做好防止控制器初始化的措施。 假设恢复失败那么应紧急停机 停炉。冗余控制器包括电源故障和故障后复位时， 应采取必要措施，确认保护和控制信 号的输出处于平安位

14、置。加强对分散控制系统的监视检查， 当发现中央处理器、 网络、电源等故障时，应及时 通知运行人员并启动相应应急预案。标准分散控制系统软件和应用软件的管理， 软件的修改、 更新、 升级必须履行审批授 权及责任人制度。在修改、更新、升级软件前，应对软件进行备份。拟安装到分散控制系统 中使用的软件必须严格履行测试和审批程序，必须建立有针对性的分散控制系统防病毒措 施。加强分散控制系统网络通信管理， 运行期间严禁在控制器、 人机接口网络上进行不符 合相关规定许可的较大数据包的存取，防止通信阻塞。9.4 防止热工保护失灵除特殊要求的设备外 如紧急停机电磁阀控制 ，其他所有设备都应采用脉冲信号控 制，防止

15、分散控制系统失电导致停机停炉时， 引起该类设备误停运， 造成重要主设备或辅机 的损坏。涉及机组平安的重要设备应有独立于分散控制系统的硬接线操作回路。 汽轮机润滑油 压力低信号应直接送入事故润滑油泵电气启动回路， 确保在没有分散控制系统控制的情况下 能够自动启动，保证汽轮机的平安。所有重要的主、辅机保护都应采用 “三取二的逻辑判断方式， 保护信号应遵循从取 样点到输入模件全程相对独立的原那么，确因系统原因测点数量不够，应有防保护误动措施。热工保护系统输出的指令应优先于其他任何指令。 机组应设计硬接线跳闸回路， 分散 控制系统的控制器发出的机、 炉跳闸信号应冗余配置。 机、 炉主保护回路中不应设置

16、供运行 人员切投保护的任何操作手段。独立配置的锅炉灭火保护装置应符合技术标准要求， 并配置可靠的电源。 系统涉及的 炉膛压力取样装置、 压力开关、 传感器、 火焰检测器及冷却风系统等设备应符合相关规程的 规定。定期进行保护定值的核实检查和保护的动作试验， 在役的锅炉炉膛平安监视保护装置 的动态试验指在静态试验合格的根底上，通过调整锅炉运行工况，到达 MFT 动作的现场 整套炉膛平安监视保护系统的闭环试验间隔不得超过 3 年。汽轮机紧急跳闸系统和汽轮机监视仪表应加强定期巡视检查， 所配电源应可靠， 电压 波动值不得大于± 5%，且不应含有高次谐波。汽轮机监视仪表的中央处理器及重要跳机保

17、 护信号和通道必须冗余配置，输出继电器必须可靠。汽轮机紧急跳闸系统跳机继电器应设计为失电动作，硬手操设备本身要有防止误操 作、动作不可靠的措施。手动停机保护应具有独立于分散控制系统或可编程逻辑控制器 P 优装置的硬跳闸控制回路， 配置有双通道四跳闸线圈汽轮机紧急跳闸系统的机组， 应定期 进行汽轮机紧急跳闸系统在线试验。重要控制回路的执行机构应具有三断保护断汽、断电、断信号功能，特别重要的 执行机构，还应设有可靠的机械闭锁措施。主机及主要辅机保护逻辑设计合理， 符合工艺及控制要求， 逻辑执行时序、 相关保护 的配合时间配置合理，防止由于取样延迟等时间参数设置不当而导致的保护失灵。重要控制、保护信

18、号根据所处位置和环境，信号的取样装置应有防堵、防震、防漏、 防冻、防雨、防抖动的等措施。 触发机组跳闸的保护信号的开关量仪表和变送器应单独设置， 当确有困难而需与其他系统合用时，其信号应首先进入保护系统。假设发生热工保护装置系统、包括一次检测设备故障，应开具工作票，经批准后 方可处理。 锅炉炉膛压力、 全炉膛灭火、 汽包水位 直流炉断水 和汽轮机超速、 轴向位移、 机组振动、 低油压等重要保护装置在机组运行中严禁退出， 当其故障被迫退出运行时， 应制定可靠的平安措施，并在 5h 内恢复；其他保护装置被迫退出运行时，应在24h 内恢复。检修机组启动前或机组停运 15 天以上，应对机、炉主保护及其

19、他重要热工保护装置 进行静态模拟试验， 检查跳闸逻辑、 报警及保护定值。热工保护连锁试验中，尽量采用物理 方法进行实际传动， 如条件不具备， 可在现场信号源处模拟试验， 但禁止在控制柜内通过开 路或短路输入端子的方法进行试验。9.5 防止水机保护失灵水机保护设置。.1 水轮发电机组应设置电气、机械过速保护、调速系统事故低油压保护、导叶剪断销 剪断保护导叶破断连杆破断保护、机组振动和摆度保护、轴承温度过高保护、轴承冷却 水中断、轴承外循环油流中断、快速闸门或主阀、真空破坏阀等水机保护功能或装置。.2 在机组停机检修状态下，应对水机保护装置报警及出口回路等进行检查及联动试 验，合格后在机组开机前按

20、照相关规定投入。.3 所有水机保护模拟量信息、开关量信息应接入电站电脑监控系统，实现远方监视。.4 设置的紧急事故停机按钮应能在现地控制单元失效情况下完成事故停机功能， 必要 时可在远方设置紧急事故停机按钮。.5 水机保护连接片应与其他保护压板分开布置，并粘贴标示。防止机组过速保护失效。.1 机组电气和机械过速出口回路应单独设置，装置应定期检验，检查各输出触点动作 情况。.2 装置校验过程中应检查装置测速显示连续性，不得有跳变及突变现象，如有应检查 原因或更换装置。.3 电气过速装置、输入信号源电缆应采取可靠的抗干扰措施，防止对输入信号源及装 置造成干扰。防止调速系统低油压保护失效。.1 调速系统油压监视变送器或油压开关应定期进行检验，检查定值动作正确性。