摘要：DCS在電站控制領域覆蓋面越來越廣，DCS系統本身的可靠性以及故障預防處理越來越得到重視，尤其是DCS系統關鍵的冗余器件同時故障時，怎樣保證機組安全性的問題越來越引起注意。對于重要控制、保護環節，如果冗余控制器均脫離雙網且無法自恢復，則認定該控制器失效，造成控制器失效有多種可能原因，如失電、控制器死機、網絡接口故障等，在此情況下，需要設計后備安全保護方案。

       一、引言
　　
　　隨著機組容量的不斷增加，處理事故的過程更為復雜，熱工保護裝置也在不斷發展和完善。近幾年發展起來的以微處理器為核心的各種保護系統和大規模分散控制系統已使滅火保護系統的邏輯處理能力大為提高，功能大為增強。現代的滅火保護系統和分散控制系統中的鍋爐滅火保護系統的數據處理能力已不是邏輯設計的限制因素，系統的控制邏輯可以設計成任何復雜程度。
　　
　　雖然DCS在電站控制領域覆蓋面越來越廣，DCS系統本身的可靠性以及故障預防處理越來越得到重視，尤其是DCS系統關鍵的冗余器件同時故障時，怎樣保證機組安全性的問題越來越引起注意。
　　
　　一般系統卡件或控制器的故障采用軟光字牌報警的方式通知運行人員采取相應措施。而對于重要控制、保護環節，如果冗余控制器均脫離雙網且無法自恢復，則認定該控制器失效，造成控制器失效有多種可能原因，如失電、控制器死機、網絡接口故障等，在此情況下，需要設計后備安全保護方案。
　　
　　二、MFT動作繼電器跳閘回路的設計
　　
　　在DCS系統中，用于鍋爐安全保護控制站（FSS）及其相關控制站（BCS）的重要控制器失效情況下，設計采取后備MFT保護措施是保證鍋爐安全的重要手段。
　　
　　FSSS到主燃料跳閘MFT硬控制回路的輸出，在鍋爐保護設計工程設計中極為重要性，一般工程MFT均按照220VAC和220VDC兩個硬回路設計，采取任一回路勵磁跳閘的原則，MFT出口到每個硬回路按6個接點作三取二處理。MFT動作后應切斷所有進入爐膛的燃料和產生其它的聯動，硬MFT接點形式（常開、常閉）和數目應滿足工程需要。包括切斷燃油系統設備和制粉系統設備、一次風機、電除塵器、吹灰系統，以及到ETS系統和鍋爐減溫水總門、高壓旁路系統的控制子系統等。
　　
　　直接MFT設計范圍及相互關系，如圖1虛線所示部分。　　
　　在圖1中，MFT跳閘回路的備用順序（由高→低）依次為：緊急停爐按鈕手動MFT→鍋爐保護控制站（FSS）自動MFT→燃料基本控制站（BCS）正常狀態下設備啟/停控制及保護。
　　
　　考慮了DCS系統故障工況，按照上述備用關系設計了周全的安全保護措施，直接MFT跳閘回路*由硬接線實現跳閘控制邏輯，跳閘功能確保機組在緊急工況下能切斷所有燃料的供料設備，MFT硬跳閘回路的繼電器和電源的電氣設計原理如圖2所示。
　　
　　在直接MFT設計中綜合考慮了以下因素。
　　
　　2.1電源安全性
　　
　　控制電源是整個DCS系統的生命線，重要電源發生故障，將直接影響保護邏輯和其他控制邏輯的正常工作。
　　
　　（1）電源冗余
　　
　　MFT保護回路采用兩路獨立于DCS的DC220V（或DC110V）直流電源，二路電源通過二極管切換回路實現互為冗余，任何一路電源的故障不會影響系統的保護功能。本設計確保在一路電源故障時，自動、無擾切換到另一路。該電源由現場直接提供，在本回路中實現兩路工作電源的自動投切。
　　
　　（2）失電跳閘（報警）
　　
　　DCS系統中，鍋爐安全保護（FSS）控制站采用雙重冗余AC220V電源供電，當雙路電源均失去時，直接觸發MFT跳閘，保證機組安全，或根據實際情況確認條件，設計為其他安全動作方式。
　　
　　（3）缺電報警
　　
　　無論DC220V（或DC110V）直流電源和AC220V交流電源中，任一路電源故障缺失情況下，均在CRT上報警顯示。見圖2電源監視繼電器回路部分。　　
　　2.2信號可靠性
　　
　　凡涉及MFT跳閘信號采用三重冗余，開關量信號采用三取二處理，模擬量信號采用三取中處理，三重冗余信號分別從不同的卡件輸入DCS系統。如爐膛壓力保護三取二，鍋爐爐膛壓力保護采用六個壓力開關，分別安裝在鍋爐左右側邊三臺。三臺爐膛正壓開關，三臺爐膛負壓開關；變送器測量三級故障，一些重要變送器測量三級故障直接進入跳閘通道。變送器三級故障的意義是：①三個測量信號均無效；②一個測量信號無效，另兩個測量信號偏差大；③三個測量信號均有效，兩個測量信號偏差均大。
　　
　　由FSS控制站輸出的MFT跳閘信號，先實現了“硬”三取二邏輯（參見MFT硬跳閘回路電氣原理圖中相應部分），經過MFT繼電器回路，FSS系統輸出的三路獨立的信號分別取自FSS控制站不同的開關量輸出卡件，如圖3所示。　　
　　在DCS系統設計中，FSSS功能一般設置3對控制器，根據這3對控制器控制的配置情況，它們之間有硬接線信號傳輸，如火焰檢測信號組合的判斷、油（氣）、煤燃料組合的判斷等信號應通過硬接線完成。像送、引、一次風機、給水泵的狀態信號幾個子系統都需要，將每個輔機的運行、停止狀態信號各取三付接點全部送到FSSS進行三取二處理，然后送到需要該信號的其它子系統（MCS、SCS），這樣可保證信號的一致性。
　　
　　總之，鍋爐保護系統采用的“三取二”邏輯，是從每個信號的采集、邏輯判斷到跳閘出口均為“三取二”。
　　
　　2.3繼電器可靠性
　　
　　（1）繼電器選型
　　
　　跳閘繼電器選用的應是具有成功應用經驗的產品，如OMRON繼電器，在上述圖2、3中采用的繼電器分別是：
　　
　　Ry1....Ry12、Ry13、Ry17、Ry18、Ry19的型號為：MM2XP_DC220V；
　　
　　Ry20、Ry21、Ry21的型號為：MM2XP_DC24V；
　　
　　Ry1、Ry2的型號為：MM2XP_AC220V；
　　
　　其中，MFT跳閘出口繼電器的輸出接點容量為：220VDC7.。
　　
　　（2）冗余設計
　　
　　直接MFT跳閘總出口的兩只繼電器采用冗余設計（圖2Ry13、Ry19繼電器），分別接受來自主控臺上一對MFT跳閘按鈕和DCS輸出（圖3Ry20、Ry21、Ry22繼電器）三取二的接點。
　　
　　其中，回路設了兩個可靠的MFT手動按鈕，一對按鈕的各自兩副接點兩兩串聯后分別接至兩只MFT跳閘出口繼電器的跳閘閉合線圈。既可防誤動，又可在緊急狀況下保證鍋爐安全停爐。
　　
　　2.4保護動作安全性
　　
　　（1）MFT保持
　　
　　在邏輯回路中，采用了保護跳閘的動作保持設計，為此增加了保持繼電器Ry18，如圖2所示。當MFT保護發生時，J18-C1、C2接點閉合，復歸HD指示燈亮，使跳閘繼電器Ry1~Ry12一直處于跳閘位置，保持動作的延續性，以防止意外出現，保證鍋爐的安全。
　　
　　（2）MFT復歸
　　
　　在主控臺上，與保持相配用提供一付手動復歸按鈕PB；同時，DCS提供一路由FSS控制站來的“吹掃完成”信號輸出到繼電器跳閘回路中，作為自動“MFT復歸”條件。當延時復位500ms脈沖的“吹掃完成”信號輸出時，出口繼電器Ry13、Ry19動作，J13_C1、J19_C1常閉觸點斷開，使繼電器Ry18復位，復歸指示燈HD熄滅，從而使繼電器回路自動恢復保護功能，為下一次保護作初始化準備。吹掃完成后才能啟用保護跳閘功能，這是對鍋爐的安全保證措施。
　　
　　2.5“動合型”/“動斷型”的考量
　　
　　現在對鍋爐繼電器后被保護的設計過程，有些要求“失電跳閘”，即：“失電安全”的意思。這種保護采用的是“反邏輯”設計思想，正常運行時所監控的設備接點閉合，產生邏輯“1”信號，動作設備得電打開；故障時所監控的設備接點打開，產生邏輯“0?保護動作，動作設備失電關閉，鍋爐跳閘。這種設計目的是使系統在失電時，鍋爐保護跳閘，保證機組的安全性。
　　
　　而在實際工程中，由于對電源已經做了充分的安全保障性的考慮和設計，所以一般跳閘繼電器是采用“得電跳閘”方式。“失電跳閘”方式使跳閘繼電器線圈長期帶電工作，對繼電器的工作壽命和彈簧觸點工作的穩定性、可靠性存在不確定因素，值得質疑。同理，產生MFT的信號基本上是采用“動合型”方式。
　　
　　一般情況下，FSS控制站的MFT跳閘輸出，同樣要經過直接MFT回路的繼電器出口執行，即FSS控制站的MFT跳閘動作輸出與直接MFT跳閘共用同一出口的繼電器。
　　
　　當故障發生后，為了能夠提供準確的分析依據，直接MFT邏輯回路中，手動MFT按鈕的一付節點一定要進S.O.E；AC電源監視信號，DC電源監視信號要同時進S.O.E；FSS控制站MFT輸出信號要直接進S.O.E，不要中間繼電器的接點轉接信號，如果信號輸入中間環節多，當通道定義為常閉接點輸入時，系統誤動作次數將會增加；當通道定義為常開接點輸入時，將增大系統拒動的可能性。這些都會影響S.O.E.提供準確的事故線索。另一方面，信號輸入中間環節多也增大了檢修人員對其它系統的維護難度。