防止分散控制系统事故的预防措施.docx

防止分散控制系统事故的预防措施.docx

《防止分散控制系统事故的预防措施.docx》由会员分享，可在线阅读，更多相关《防止分散控制系统事故的预防措施.docx（12页珍藏版）》请在冰点文库上搜索。

防止分散控制系统事故的预防措施

防止分散控制系统（DCS）失灵事故

1、防止分散控制系统（DCS）失灵事故

为了防止分散控制系统（DCS）失灵的事故，要认真贯彻《火力发电厂设计技术规程》

（DL5000—2000）、《电力建设施工及验收技术规范》（第5部分:

热工仪表及控制装置,DL/T5190.5-2004）、《火力发电厂锅炉炉膛安全监控系统在线验收测试规程》（DL／T655－1998）、《火力发电厂汽轮机控制系统在线验收测试规程》（DL／T656－1998）《火力发电厂模拟量控制系统在线验收测试规程》（DL／T657－1998）、《火力发电厂顺序控制系统在线验收测试规模》（DL／T658－1998）、《火力发电厂分散控制系统在线验收测试规程》（DL／T659－1998）、《火力发电厂安全性评价》（国家电网生[2003]409号）、《火力发电厂热工自动化系统检修运行维护规程》（DL/T774-2004）、《发电企业设备检修导则》（DL/T838—2003）等有关技术规定，并提出以下重点要求：

1.1分散控制系统及其工作环境的配置基本要求。

1.1.1DCS系统配置应能满足机组在任何工况下的监控要求（包括故障发生后的紧急处理），CPU负荷率应控制在设计、招标规范书规定的指标之内。

1.1.2主厂房内的热力系统（包括发变组、电气厂用及升压站内系统设备

）管理用DCS控制器，应采用冗余配置，重要I／0点应考虑采用非同一板件的冗余配置，同类型的I/O点最少应留有10%的备用余量。

附属及外围公用系统管理用DCS（包括PLC），可以配置单DPU（CPU），同类型的I/O

点最少应留有10%的备用余量。

1.1.3系统设备中除打印机、性能计算站外，其余各设备的工作电源必须设计有可靠的后备手段（如采用UPS电源），主/备用电源之间的切换速度应满足该控制系统的需要（应保证控制器不被初始化）。

系统电源故障时应在控制室内设有独立于DCS之外的声光报警，双电源均故障后要有解列机组的手段。

1.1.4DCS主系统及与DCS主系统相连的所有相关辅助二次系统（包括电气二次系统中的专用装置、SIS、总线控制系统中的就地设备）的负荷率设计，应保证在最高负荷运行时，负荷率不超过40%（共享式乙太网不应超过

20%）。

其接口设备（板件及通讯电缆）应稳定可靠，通信速率应符合设计要求。

应有两条同时运行、互为冗余的高速数据总线，数据总线的通讯速率，应保证任何时候任何指令都可在1秒钟内被执行完毕

1.1.5DCS系统接地的设计、施工,必须严格遵守DCS制造厂的技术要求。

所有进入DCS系统控制信号的电缆必须采用质量合格的屏蔽、阻燃电缆，屏蔽层应有良好的单端接地。

1.1.6DCS机柜安装时，与底座之间必须加装10mm厚的减震胶皮，对于机柜要求与底座绝缘的，机归固定螺丝也要用专用绝缘套进行绝缘，绝缘电阻值必须符合技术要求。

1.1.7独立于DCS之外的少数重要操作按钮的配置,应能满足在紧急故障发生后保证机组安全停运的要求。

紧急停机、紧急停炉、发电机解列、解列灭磁、汽包事故放水门开（关）、柴油发电机启动、真空破坏门开（关）

、汽轮机和驱动给水泵汽轮机交、直流润滑油泵启动等后备操作，应采用与DCS分开的单独操作回路，所有这些操作按钮应带防误操作罩、设备（阀门）状态指示灯。

在逻辑回路中，应为两个按钮且接点采用相互串联接线

方式完成同一操作功能。

1.1.8操作员站的主频和硬盘等参数要选择合理，确保在执行任务量最大时调用任何一幅画面均应能在不大于2秒种的时间内将执行结果由CRT

显示出来。

任何时候任何指令均应能在1秒钟内被执行完毕。

显示器还应有防尘、防静电、防震动、防受潮等措施。

数量的配置应符合设计规程要求。

对于触摸式屏幕和轨迹球的选用，要认真论证。

1.1.9历史站的参数配置要符合技术要求，

应能实现将每个操作员站的主要操作（包括对模拟量控制系统进行的手/

自动切换等操作）信息进行详细记录，历史数据死区的设置要合理，采样周期不得大于1秒。

1.1.10当DCS系统时钟为互为备用的双时钟时,要有使双时钟之间定期对时、同步等消除累积误差的措施。

当DCS系统时钟为单时钟时,要有防止时钟产生装置故障而导致DCS失去时钟的后备措施。

1.1.11MIS（SIS）与DCS的接口，必须有专用网关装置，不得将

MIS网线直接连在DCS的设备上，数据信号读取只能是丛DCS送向MIS（SIS

），而不得相反。

1.1.12设置公用的DCS网络时，公用网络的负荷率、系统通讯速率也应满足

1.1.4条的要求，应确保在任何时候，公用网络所管理的设备只能在一台机组的DCS上进行操作。

1.1.13新（改、扩）建电厂DCS的设计应遵循下列安全准则。

1.1.13.1DCS单一故障不应造成（引起）DCS系统的整体故障。

1.1.13.2DCS单一故障不应造成（引起）锅炉、汽轮机、发电机系统的保护拒动（包括误动）。

1.1.13.3控制功能的划分，应充分考虑危险分散。

2

1.1.13.4控制设备的构成应能反映电厂设备的冗余配置，以使控制系统内单一故障不会导致运行设备与备用设备同时不能监控。

1.1.14DCS（PLC）硬件装置的工作环境（温度、湿度、空气中的粉尘浓度等）应符合技术要求。

当环境中含有可能对装置造成电磁和光线等干扰的干扰源时，应采取特殊措施。

近范围环境中有水、汽、油、粉等管道设施时，现场安装设备（包括远程I/O装置）应有防止设备受到污染、超温、受潮的特殊措施。

1.2DCS故障紧急处理的基本措施。

1.2.1所有新（改、扩）建电厂，在机组启动前，电厂应组织调试和DCS

应用软件开发单位根据机组的具体情况，共同制定针对DCS失灵后机组在各种运行工况下的紧急停机、停炉预案并对相关人员进行培训。

1.2.2机组已投运的电厂，除要制定针对DCS失灵后机组在各种运行工况下的紧急停机、停炉预案外,还应制定使用DCS工程师站进行工作的管理制度，点强制（定值修改）管理制度，电子间环境卫生清洁管理制度，备用卡件存放管理制度，热工人员（包括系统维护员）定期工作管理制度，缺陷处理管理制度，系统软件和应用软件定期备份管理制度等。

1.2.3当操作员站总数的一半以下（或一台上位机）同时死机而无法使用时，应由可用操作员站（或另一台上位机）继续承担对机组的管理任务（此时严禁进行任何非紧急情况下的重大操作）

，同时迅速排除故障，若故障在短期内无法排除，则应根据当时运行状

况制定应急预案。

当操作员站总数的一半及以上（或所有上位机）同时死机而无法使用时，应启动DCS失灵的预案。

1.2.4当系统中的控制器或相应电源故障时，应采取以下对策。

1.2.4.1当外围辅助网络的控制器或相应电源故障时，如果此控制器不带对设备的保护功能，可切至后备手动方式运行而停运控制器，并迅速处理系统故障，若带有保护功能，则应将该辅机退出运行后再进行检修处理。

1.2.4.2当主厂房内的控制器或电源装置其中之一故障时，应能实现控制器或电源自动切至与之冗余的维持运行，同时迅速处理故障，并根据处理后的情况制定相应预案。

1.2.4.3当主厂房内的互为冗余的控制器（包括电源装置）均发生故障时，应将其控制的设备停运后进行处理，如果是用于机炉主保护的互为冗余的一对控制器（包括电源装置）同时故障时，应立即用后备手段打闸停机、停炉，然后进行处理。

1.2.4.4当网络交换机（或数据总线）发生故障时,应将该列上的所有设备停运,然后进行检查处理，短期内无法恢复时，应制定相应的预案。

1.3预防DCS故障（或DCS故障扩大）的基本措施.1.3.1系统画面组态时,应有一幅显示DCS各硬件设备运行状况的画面,当硬件设备在不同的状况时,要有不同的颜色显示。

1.3.2运行人员在监控一次设备运行的同时,要有一幅画面专门用于监视DCS

各设备的运行状况,发现CPU、网络、电源等故障时，应及时通知检修人员，并迅速做好相应对策。

1.3.3新（扩、改）建电厂，在DCS（PLC）进行FAT验收前，应用软件开发商应提出测试DPU（CPU）、网络负荷率、通讯速率的方案并进行初步测试。

机组168h结束后，应对DCS控制器、操作员站、通讯设备及接口装置的负荷率、通讯速率，按照招标文件、设计规程、国家的相关标准规定，再次进行专项检验、测试，并应有检验报告，对不合格项，要有整改、完善措施。

1.3.4新投机组在168h结束后，电厂要对系统维护员口令进行修改，对系统软件和应用软件进行一次全面的备份，备份资料要能够长期保存。

1.3.5已投产机组，要定期对系统软件和应用软件进行备份，备份资料的保存期限，应不低于档案管理的要求。

1.3.6应规范DCS系统软件和应用软件的管理，软件的修改、更新、升级必须履行审批授权、执行责任人及监护人制度。

在修改、更新、升级软件前，修改二次系统图并办理相关审批手续，开工前应对运行软件进行备份，软件修改、更新、升级结束并经测试合格、验收后，应再次进行全面的系统备份。

未经测试确认的各种软件，严禁下载到已运行的DCS系统中使用。

必须建立有针对性的DCS系统防病毒措施。

系统维护用的笔记本电脑等

电子设备，应专人专用，严禁作为它用。

1.3.7热工检修人员（包括系统维护员）在操作员站（包括工程师站）上进行点（包括联锁、保护）的强制、定值的修改、下装、软件备份等任何工作时，在办理工作票的基础上，还应使用标准操作卡和实行监护人制度，所有工作应有专用的书面记录。

1.3.8对系统维护人员的选拔，应首先注重其在日常工作中是否具备严谨的工作态度，正式上岗前，应接受DCS国内合作单位的系统维护专职培训并经考试合格。

新（改、扩）建电厂应丛DCS组态前的首次上电时开始，直到

FAT结束，电厂系统维护人员应参与全过程的所有软件开发工作。

1.3.9每次大修应严格执行项目标准，重大项目应办理验收单。

机柜内检修工作结束后，应进行如下试验。

1.3.9.1对所有的卡件进行通道测试，

1.3.9.2对网络交换机、控制器及其电源（包括扩展柜电源）进行切换试验，对电压值进行测量、记录。

1.3.9.3对接地系统电阻值进行测量、记录。

1.3.9.4对柜内设备的防电磁干扰能力进行测试。

1.3.9.5对DCS主系统及与之相连的辅助系统的负荷率、通讯速率进行测试。

1.3.10每次小修应严格执行标准项目。

机柜内的检修工作结束后，应进行如下试验。

1.3.10.1应对转速、汽轮机（包括驱动给水泵用小汽轮机）阀位反馈等特殊卡件进行通道测试。

1.3.10.2对接地电阻值进行测量、记录。

1.3.10.3对机柜的防电磁干扰能力进行试验。

1.3.10.4对网络交换机、控制器及其电源（包括扩展柜电源）进行切换试验，对电压值进行测量、记录。

1.3.11DCS定期管理制度中，至少要包括如下内容。

1.3.11.1热工系统维护员应每天两次巡回检查DCS工程师站、历史站、控制器、网络交换机、时钟收发器、控制器电源的工作情况，并作详细的记录。

1.3.11.2最少每天两次检查DCS的工作环境温度、湿度等并做详细记录。

1.3.11.3定期重新启（关电源法）主时钟和备用时钟站，以消除其累积误差。

对于发生过系统通讯不明原因的故障的设备，在没有找到真正的原因之前，也应定期重新启动（采用关工作电源法）该设备及更换网络识配器

75欧姆标准电阻（如果有），以防止通讯系统有时钟累积误差。

对于掉站后会突发指令翻转而误输出的设备，如果无法安装补丁包软件，则应将突法指令的软件包重新生成，采用分解的软件，而不应用打包软件。

1.3.11.4定期备份数据。

1.3.11.5定期检查系统中存在的“被强制点”，与批准手续核对并做录

1.3.12在DCS（PLC）卡件或DPU（CPU）上进行任何需要人体与设备接触的工作时，除应办理工作票外，还应实行监护人制度，进行过程中工作人员应带防静电手环。

1.3.13新（改、扩）建电厂在DCS进行FAT验收时，应全面的测试其各项功能，并办理相应的验收手续。

1.3.14对于主厂房内设备管理用的控制器，如果是单控制器或单电源的，要尽快改造完善，在改造之前，要制定预防措施。

1.3.15当发生DCS（PLC）设备因通讯故障而无法正常工作、掉站时，应在全面检查其硬件设备的基础上，还应重点对系统时钟系统进行检查、复核，以确保其工作正常。

1.3.16对于老电厂（机组），如果因为设计原因使得DCS的负荷率和（或）通讯速率达不到

1.1.4条的规定，应按如下原则处理。

1.3.16.1虽然达不到指标要求，但没有发生过因此项而导致的一类及以上事故，应采取可行的预防措施监视运行。

1.3.16.2发生过因此而导致的一类及以上事故的，应尽快改造，在改造前，应制定切实可行的预防措施。

1.3.17对现场总线控制系统在运行中出现的问题，应及时总结分析，采取相应的预防措施。

在日常工作中，尤其对现场设备的防污染、防（进水）受潮措施严格落实。

2、防止热工主保护及主要辅机保护拒（误）动事故为了防止热工主保护及主要辅机保护拒（误）动事故，要认真贯彻《火力发电厂设计技术规程》（DL5000—2000）、《电力建设施工及验收技术规范》（第5部分:

热工仪表及控制装置,DL/T5190.5-2004）、《火力发电厂锅炉炉膛安全监控系统在线验收测试规程》（DL／T655－1998）、《火力发电厂顺序控制系统在线验收测试规模》（DL／T658－1998）、《火

力发电厂分散控制系统在线验收测试规程》（DL／T659－1998）、《火力发电厂安全性评价》（国家电网生[2003]409号）、《火力发电厂热工自动化系统检修运行维护规程》（DL/T774-2004）、《200MW级锅炉运行导则》（DL/T610-1996）、《300MW级锅炉运行导则》（DL/T611-1996

）、《200MW级汽轮机运行导则》（DL/T608-1996）、《300MW级汽轮机运行导则》（DL/T609-1996）、《电力工业锅炉压力容器监察规程》（DL612-1996）、《发电企业设备检修导则》（DL/T838—2003）等有关技术规定，并提出以下重点要求：

2.1热工保护（顺控）配置的基本要求。

2.1.1新（改、扩）建电厂在进行系统的设计时，应统一考虑防止热工保护（顺控）拒动、误动的措施。

2.1.2热工保护（顺控）设计应遵循下列独立性原则。

2.1.2.1实现机、炉及主要辅机跳闸逻辑的控制器应单独、冗余设置。

2.1.2.2保护系统应有独立的I/O通道，并有与强电隔离的措施。

2.1.2.3冗余的I/O信号应通过不同的I/O卡件引入。

2.1.2.4启动机组跳闸保护信号的开关量仪表和变送器及其取样装置应单独设置，当确有困难而需与其他系统合用时，其信号应首先进入保护系统。

对于风（粉）系统用于保护信号的取样装置（包括管路），还应有防堵塞措施。

对于水、汽、气系统取样管路及一次元件，根据地理位置的实际情况还应有防冻措施。

2.1.2.5机组跳闸命令不应通过数据总线传送。

2.1.3300MW及以上容量的机组跳闸保护回路，要有能确保不影响机组运行并实现在线试验其各项功能的手段。

2.1.4必须单独设立直接动作于锅炉总燃料跳闸、解列汽轮机和发电机的硬手操回路，操作按钮本身要有防止误操作、接点受潮的措施。

2.1.5停机、停炉保护动作首出原因应在装置本身有记录，单元机组历史站还应有事故追忆功能。

2.1.6热工保护（包括辅机联锁）系统输出的指令应优先于其它任何指令。

2.1.7锅炉、汽轮机主保护回路不应设置供运行人员切（投）保护的任何操作设备。

2.1.8对于老厂（机组），如果保护功能不是用DCS实现的，其PLC的CPU

应冗余设置，同时应与DCS有通讯，监视信号应送入DCS显示。

2.1.9现场一次元件来的信号，应有防止接点抖动、信号受到干扰的滤过措施。

2.1.10热工保护及顺控应根据热力系统安全、稳定运行的需要，具有在一定条件下管理相关的模拟量控制系统的功能。

2.2热工保护配置的基本策略。

2.2.1锅炉水系统应设置下列保护。

2.2.1.1汽包炉应设缺水、满水保护。

2.2.1.2直流炉应设给水流量低保护。

2.2.1.3直流炉的水冷壁宜设超压保护。

2.2.1.4应解列锅炉主燃料。

2.2.2锅炉蒸汽系统应设下列保护。

2.2.2.1汽包压力高保护。

2.2.2.2主蒸汽压力高保护。

2.2.2.3主蒸汽温度高保护。

2.2.3锅炉炉膛应具有下列保护。

2.2.3.1炉膛压力高低保护。

2.2.3.2锅炉全炉膛灭火保护。

2.2.3.3炉膛角火焰消失保护。

2.2.3.4

锅炉运行而失去燃料保护。

2.2.4火焰检测系统应有下列保护。

2.2.4.1火检探头冷却风压力低保护。

2.2.4.2火检冷却（扫描）风机全停保护。

2.2.5运行中的锅炉失去一次风、二次风时应解列主燃料。

2.2.6运行中的锅炉失去烟气输送动力设备时应解列主燃料。

2.2.7锅炉应有Runback保护。

2.2.8汽轮机应最少设下列保护。

2.2.8.1汽轮机超速保护。

2.2.8.2凝汽器真空（汽轮机背压）低保护。

2.2.8.3润滑油压力低保护。

2.2.8.4EH油压力低保护。

2.2.8.5轴承振动大保护。

2.2.8.6轴向位移过大保护。

2.2.8.7缸体与转子之间防碰、防摩擦保护。

2.2.8.8汽轮机防进水保护。

2.2.9锅炉、汽轮机各辅机的保护和顺控联锁，应根据制造厂的技术要求和热力系统安全、稳定运行的需要来设置，对于保护锅炉、汽轮机的设备（如润滑油泵等），还要根据锅炉、汽轮机制造厂的技术要求来设置，标准可以比制造厂的更高而绝对不能更低。

2.3防止保护拒（误）动的基本措施。

2.3.1锅炉炉膛安全监控系统（FSSS）的系统配置应符合《防止DCS失灵事故》中1.l条中的要求，FSSS的控制器必须冗余配置且可自动无扰切换，同时FSSS装置应具有在线自动／手动火焰检测器和全部逻辑的试验功能。

2.3.2对于独立配置的锅炉灭火保护装置应保证装置（系统）本身完全符合相应技术规范的要求，所配的电源必须可靠，系统中使用的炉膛负力取压装置、压力开关、变送器、火焰检测器及冷却风系统等外围设备必须处于完好状态。

2.3.3  新（改、扩）建电厂在热工取样装置的施工及工程管理中，应严格执行《电力建设施工及验收技术规范》（第5部分:

热工仪表及控制装置,DL/T5190.5-2004）、《火电施工质量检验及评定标准》（热工仪表及控制装置篇）（1998年版）、最新版的《电力工程施工组织设计导则》以及《电力工程施工组织设计手册（火电卷）》（各相关分册）等技术规定。

所有带主保护的一次元件必须是有成熟经验和稳定可靠的，在保护的配置中应执行“三取二”的原则。

2.3.4 定期进行制造厂说明书的要求与本厂制定的保护定值单核对工作，当热力系统有改造时，应重新复核并修订保护定值。

在机组每次检修中，应对现场所有元件实际整定的保护定值进行校核并办理验收手续。

2.3.5保护的试验应严格按照相关规程进行。

在役的锅炉炉膛安全监视保护装置的动态试验（指在静态试验合格的基础上。

通过调整锅炉运行工况，达到MFT动作的现场整套炉膛安全监视保护系统的闭环试验）间隔不得超过3年。

2.3.6 对汽轮机紧急跳闸系统（ETS）和汽轮机监视仪表（TSI）应加强定期巡视检查，所配电源必须可靠。

电压波动值不得大于±5％。

TSI的CPU及重要跳机保护信号和通道必须冗余配置，输出继电器必须稳定、可靠。

新机组投产前，应对所有振动测量用探头的安装支架、套管进行自振频率测试，不合格的应进行处理。

老厂（机组）在每次大修后，应认真检查紧箍探头及二次接线。

2.3.7汽轮机紧急跳闸系统（ETS）各功能应按照相关规程的要求，进行定期在线试验，发现问题应及时处理。

2.3.8 汽轮机超速、轴向位移、振动、低油压保护、低真空等保护（装置）每季度及每次机组检修后起动前应进行静态试验。

以检查跳闸逻辑、报警及停机动作值。

所有检测用的传感器必须在规定的有效检验周期内。

2.3.9 DCS装置的控制器发出的机组主设备跳闸指令，应同时有两条回路分别启动跳闸继电器。

2.3.10 若发生热工保护装置（系统、包括一次检测设备）故障，必须开具工作票、办理保护退役申请单经主管生产的副厂长（总工程师）批准后迅速处理，执行过程中应实行监护人制度。

锅炉炉膛压力、全炉膛灭火、汽包水位和汽轮机超速、轴向位移、振动、低油压等锅炉、汽轮机本体的保护，在机组运行中严禁长期退出，确因缺陷无法处理而导致一项主保护需长期退出运行时，应报上级主管单位（部门）批准；其他保护装置被迫退出运行的，必须在24h内恢复，否则应立即停机、停炉处理。

2.3.11机组大修（包括小修）中，应严格执行保护系统及其装置的标准检修项目，非标准项目的实施，要有可行性报告、二次系统图，应严格执行项目论证和审批程序，项目结束后，要进行认真的试验并办理验收手续。

2.3.12机组大修结束后，宜进行RUNBACK的试验。

机组正常运行中发生下列情况之一时，应启动Runback，Runback减负荷动作的速率，应达到设计要求。

2.3.12.1 其中一台旋转式空气预热器跳闸。

 2.3.12.2 其中一台引风机跳闸。

 2.3.12.3 其中一台送风机跳闸。

2.3.12.4 其中一台一次风机（给粉机）跳闸。

2.3.13 当锅炉采用了等离子点火装置时，FSSS（BMS）跳闸指令应同时解列等离子点火装置及其燃烧器，禁止投燃料的指令应能同时禁止等离子点火装置的投入。

2.3.14   DEH中的相关保护，应达到保护配置的相关要求，检修结束后的试验中，应在进行仿真试验合格的基础上，完成在线试验，合格后方可投入运行。

2.3.15 为配合热力系统检修，而需退出一些辅机保护时，应严格执行审批程序，执行时应落实工作票制度和监护人制度。

2.3.16 运行人员在交接班检查时，要逐台检查核对备用辅机联锁（备用）是否投入，未投的要核实原因并对上级管理人员汇报和做详细记录。

2.3.17辅机故障跳闸、联锁启动在CRT上的状态显示，应有快捷键，快捷键应有相应的颜色变化进行提醒。

2.3.18 热工检修人员在每天的定期巡检中，要按照职责划分，巡检各自管辖范围内设备的联锁（或备用）的投入情况、保护装置电源运行情况、分析（评估）带保护的一次元件的运行状况、检查一次元件取样管接头、阀门有无渗漏介质的现象，发现问题应及时制定对策。

对于风（粉）系统的取样管路应定期吹扫疏通。

2.3.19 DCS系统维护员应严格执行定期工作规定中关于保护联锁部份的相关内容。

2.3.20 现场安装的所有一次元件（包括变送器、逻辑开关、电（气）动执行机构及其热工附件）应有防进水（受潮）、粉尘污染、电磁干扰的措施，因机组运行短期内没条件解决的，要有预防其拒动、误动的措施。

冬季应严格执行仪表管路及一次元件的防冻预案。

3、防止模拟量控制系统（MCS）失灵的事故 

为了防止热工模拟量控制系统（MCS）失灵的事故，要认真贯彻《火力发电厂设计技术规程》（DL 5000—2000）、《电力建设施工及验收技术规范》（第5部分:

热工仪表及控制装置,DL/T5190.5