鍋爐保護安全儀表系統設計

田小兵

(西南電力設計院有限公司，四川 成都 610021)

鍋爐保護安全儀表系統設計

田小兵

(西南電力設計院有限公司，四川 成都 610021)

生產企業健康、安全與環境(HSE)正越來越多地受到人們的關注，火力發電廠的關鍵設備之一，蒸汽鍋爐的容量和參數也正逐步提高，它的安全運行關系著電廠的安全生產。因此鍋爐保護有必要采用安全性和可靠性都更高的安全儀表系統。本文就將結合多個工程實例，對鍋爐保護采用安全儀表系統的工程設計展開研究論述。

鍋爐保護；安全儀表系統；FSS；SIL3。

1 概述

近年來火力發電領域為了提高發電效率和降低排放，主機容量和參數都越來越高，但同樣也增大了其潛在的HSE風險。正因為如此，2011年頒布實施的《大中型火力發電廠設計規定》GB50660中提出了“火力發電廠鍋爐和汽輪機的跳閘保護系統可采用電子邏輯系統或繼電器硬邏輯系統，系統宜采用經認證的、SIL3級的安全相關系統”，第一次正式地將安全儀表系統引入火力發電領域。

現階段火力發電領域對于安全儀表系統無論是理論研究、工程實踐都還處于探索階段，工程設計中在許多關鍵問題上容易產生分歧和困惑。本文就將結合參與設計的多個采用安全儀表系統的火力發電項目，對鍋爐保護安全儀表系統的工程設計展開論述。

2 安全儀表系統的特點

2.1 安全儀表系統的安全性

安全性通常以IEC61508/61511中定義的安全完整性等級(Safety Integration Level，SIL)來衡量，指“在規定的條件下、規定的時間內，安全相關系統成功實現所要求安全功能的平均概率”。SIL共分為1，2，3，4四個等級，數字越大，安全完整性等級越高，SIL等級需要經過專門機構認證后方能被認可，SIL等級的選擇是由工藝流程或生產裝置的安全要求決定的。

2.2 安全儀表系統的整體性

安全儀表系統的整體性既包括安全控制器，還包括所有跟控制器接口的部件，如安全型儀表等檢測裝置以及安全型執行器等輸出部件。整體性還體現在其整個生命周期的規范，如設計、施工調試、運行評估、維護、拆除等，都需要接受第三方認證機構的審查。操作人員行為的可用性和可靠性也必須納入安全要求規范和性能考慮。據統計，安全儀表系統全生命周期故障比例中，安裝調試、工程實施、操作維護所引起的故障比例達到56%。

2.3 安全儀表系統的可用性

安全儀表系統的可用性是指系統在冗余配置的條件下，當某一子系統發生故障時，系統在保證安全功能的前提下仍能保證生產過程不中斷的能力。安全性與可用性是矛盾的兩個方面，某些措施會提高安全性，但會導致可用性下降，反之亦然。例如冗余系統采用二取二邏輯時，則可用性提高，安全性下降；而當采用二取一邏輯時，則正好相反；采用故障安全原則設計的系統安全性高，采用非故障安全原則設計的系統可用性好。

2.4 安全儀表系統組成

安全儀表系統由檢測單元、邏輯運算器和執行單元組成，其SIL等級是由其構成的三個部分中最低的SIL等級決定，因此不能只強調邏輯運算器達到所需的安全等級，而忽略整體性要求，因為僅使用一個SIL3的邏輯解算器是無法保證整個系統成為一個SIL3系統的。

2.5 安全儀表系統結構

安全儀表系統結構主要包括如下幾種：1oo1、1oo2、2oo2、2oo3、1oo1D、1oo2D等，不同結構所能達到的安全等級也有所不同，目前通過SIL3認證的結構主要有1oo2D、2oo3、2oo4等。可見SIL3系統并非一定要配置為三重冗余的結構，而三重冗余結構配置的系統，如果未經認證也不能稱之為SIL3。

3 火力發電廠安全儀表系統配置方案

火力發電廠安全儀表系統的配置和安全完整性等級的選擇，需要對工藝生產過程進行危險辨識和風險評價，如采用化工行業中常用的HAZOP(危險性與可操作性分析)方法，通過系統、詳細地對工藝過程和操作進行檢查，以確定過程的偏差是否會導致不希望的后果。安全完整性等級也需要通過SIL風險評估，大多采用簡化計算、故障樹分析或者馬爾可夫過程分析等方法進行確定，而目前火力發電廠工藝過程的安全需求、安全完整性等級分析等還基本處于剛起步狀態，我們可以通過借鑒石化行業設計規范以及GB50660的規定，火力發電廠安全儀表系統安全完整性等級選擇SIL3，同時配置原則如下。

3.1 檢測單元配置原則

安全儀表系統的檢測單元和過程控制系統的應分開，并冗余獨立設置，不宜采用開關量儀表。檢測單元根據安全性或可用性的側重采用“或”或“與”邏輯結構。當系統的安全性和可用性均需保障時，采用三取二邏輯結構。

目前火力發電廠工程設計中，檢測單元根據重要性已經考慮了雙重甚至三重化配置，構成了1oo2，2oo3結構，因此只要選擇符合相應SIL認證要求的傳感器即可。譬如通過三個SIL2認證的壓力變送器三取一求中值或者三取二表決使得輸入檢測回路達到SIL3等級。

3.2 執行單元配置原則

執行單元一般是安全儀表系統專用的關斷閥或者是與過程控制系統共用的控制閥，SIL3安全儀表系統宜采用冗余的閥門(如串聯安裝的兩個同類閥門或一個控制閥和一個切斷閥)。氣動控制閥或氣動關斷閥均應帶接受安全儀表系統控制信號的電磁閥，電磁閥宜冗余配置(根據側重點不同電磁閥采用“與”或“或”邏輯)，失電動作，由安全儀表系統供電。

目前工程設計中工藝閥門配置通常采用1oo1結構，但要求采用失效安全原則，即執行單元設備在特定的故障發生時轉入預定義的安全狀態(向人員和過程安全的方向動作)，但電磁閥配置目前尚未考慮冗余配置。

3.3 邏輯解算單元配置原則

邏輯解算單元可以遵循以下基本原則：

(1)保護系統獨立于過程控制(IEC61508建議)。

(2)采用冗余或容錯結構。

(3)系統采用故障安全型。

(4)不允許采用現場總線或其它通訊方式作為安全儀表系統的輸入信號。

3.4 安全儀表系統的軟件要求

安全儀表系統軟件是安全整體性的組成部分，安全工程師站安裝的安全組態軟件需要符合工藝過程的安全規則并具有安全認證，編程語言需要符合《可編程控制器》IEC61131-3標準要求。安全儀表系統的軟件、編程、升級或修改等文檔都應有備份。

4 系統設計方案

4.1 功能要求

爐膛安全監控系統FSSS是大型火電機組鍋爐必備的安全監控系統，它監控燃燒系統參數和工作狀態，在必要時通過安全連鎖功能使燃燒設備安全部件按照既定的安全程序動作，完成必要的操作和緊急跳閘。FSSS包括燃燒器控制系統(BCS)和燃料安全系統(FSS)，燃燒器控制系統包括鍋爐點火準備、點火槍點火、油槍點火、煤燃燒；燃料安全系統(FSS)又稱為鍋爐保護系統，它的功能包括爐膛吹掃、油燃料系統泄漏試驗、燃料跳閘。

對于安全儀表系統在火電廠中的應用范圍，歐洲傾向于全部FSSS功能均采用安全系統，但實際上FSS中最重要的安全功能就是燃料跳閘(MFT)，是為了當出現危及鍋爐安全運行的危險情況時，快速切斷所有進入爐膛的燃料，以保證安全。有鑒于此，國標中規定了鍋爐跳閘保護采用經認證的SIL3安全儀表系統。本文討論也正是基于這一原則，所指的鍋爐保護均是指鍋爐燃料跳閘保護。

4.2 一般原則

鍋爐保護設計基礎是根據NFPA85系列標準《鍋爐和燃燒系統危險標準》和《多燃燒器鍋爐爐膛防內爆/外爆標準》的要求，鍋爐跳閘保護原則性框圖見圖1。工程設計中應按照鍋爐型式和制造廠提供的《鍋爐保護說明書》等資料作為跳閘條件和跳閘對象設計依據。其中：

煤燃料跳閘對象包括：給煤機、磨煤機、一次風機等煤燃料相關設備；

油燃料跳閘對象包括：燃油關斷閥、油角閥、油槍/點火槍等油燃料相關設備；

其它跳閘子對象包括：煤、油燃料設備之外的所有其它跳閘對象，如減溫水關斷門、跳閘信號至DCS/ETS/ESP/FGD等等。

燃料跳閘邏輯實現有兩種方式：第一種方式更趨近于傳統不采用安全儀表系統的設計，即除安全儀表系統保護外，FSS控制器中仍保留完整的MFT“軟”跳閘邏輯，“軟”邏輯的驅動回路利用跳閘對象順控回路。第二種方式是除安全儀表系統保護之外，FSS控制器中僅保留爐膛吹掃、油燃料系統泄漏試驗等公共邏輯，不再保留MFT“軟”跳閘邏輯，但安全儀表系統同樣保留和順控回路的接口，以實現雙重跳閘。第二種方式安全可靠性高，邏輯更加簡潔明了，可作為工程設計的首選。

因此設備跳閘指令來源有兩個：一個是安全儀表系統輸出模件輸出的“軟”邏輯跳閘指令(通過正常的順控邏輯指令驅動執行單元)；另一個則是主燃料跳閘繼電器輸出的“硬”邏輯跳閘指令。

主燃料跳閘繼電器由滿足NFPA標準的安全繼電器實現，采用失電跳閘邏輯，由來自安全儀表系統的“鍋爐跳閘信號”觸發，回路在觸發MFT動作后實現自保持，且僅能由DCS輸出的“爐膛吹掃完成信號”復位，所有信號均按三重冗余設置。同時主燃料跳閘繼電器也接受來自操作臺的緊急停機按鈕信號，緊急停機按鈕信號同時也提供給安全儀表系統作為“軟”邏輯跳閘條件輸入。

圖1 鍋爐跳閘保護原則性框圖

MFT跳閘繼電器輸出的常閉跳閘接點(繼電器不帶電時狀態)或常開跳閘接點，和分散控制系統順控“停指令”接點并聯(當停指令為常開接點時)或串聯接線(當停指令為常閉接點時)，串并聯接線可以在分散控制系統順控機柜內進行，也可以在就地設備側進行，從而實現停爐時需要跳閘的設備既通過正常順控回路停止，也通過MFT跳閘回路停止。為了增加線路冗余度，建議串并聯接線在就地設備側進行。

此外，MFT跳閘繼電器輸出的常開接點(繼電器不帶電時狀態)和分散控制系統正常順控“啟指令”接點串聯(當啟指令為常開接點時)或并聯接線(當啟指令為常閉接點時)，串并聯接線在分散控制系統順控機柜內進行，從而停爐時需要跳閘的設備只有在MFT跳閘繼電器復位后才能在順控指令下啟動。

4.3 信號設計

安全儀表系統的輸入信號分兩三類，且必須是以硬接線的方式，不允許采用現場總線或其它通訊方式輸入：

第一類：信號直接來自現場儀表。如主蒸汽壓力、爐膛壓力、火檢冷卻風壓力、給水流量、總風量等。這些信號均按三冗余設置，宜采用變送器。其中給水流量、總風量等需要溫度補償計算，同時模擬量調節MCS也需要該信號，常規設計中往往是在DCS中計算后輸出給FSS系統，這實際上有違保護優先的原則。建議這些信號優先接入安全儀表系統，MCS所需要的信號單獨設置或由安全儀表系統輸出，如果安全儀表系統不能直接輸入熱電偶等溫度信號，可選用溫度變送器。

第二類：信號不是通過儀表直接測量，而是經邏輯判斷后產生。如臨界火焰、爐膛火焰喪失等。這類信號在DCS中產生后再硬接線接入安全儀表系統。

第三類：電氣信號。如三大風機、磨煤機等重要電動機的跳閘狀態信號。這些狀態信號建議采取三取二表決，以增加信號的可靠性。順控需要的狀態信號由電氣開關柜單獨送出。

4.4 電源設計

(1)主燃料跳閘繼電器電源采用兩路直流電源(220 V或110 V)供電，直接取自直流蓄電池不同段饋線柜。電源監視繼電器在兩路電源失電時應發出報警信號。跳閘回路設計為失電動作，兩路進線電源失電時將自動觸發MFT動作。安全儀表系統根據主燃料跳閘繼電器的信號同時觸發“軟”邏輯跳閘。

(2)安全儀表系統電源采用兩路220 V AC電源供電，一路電源取自UPS，另一路電源取自事故保安電源。兩路電源也可取自UPS的不同饋線柜。電源監視繼電器在兩路電源失電時發出報警信號，同時接點送至主燃料跳閘繼電器回路，觸發MFT動作。

(3)DCS同樣設計為在失電時觸發MFT動作。工程項目在基建期間往往存在DCS單路電源運行的情況，為了避免DCS突然失電時運行人員手動打閘不及時造成機組失控，在主燃料跳閘硬回路中增加DCS失電保護就非常有必要。電源監視繼電器在兩路電源失電時發出報警信號，同時接點送至主燃料跳閘繼電器回路，觸發MFT動作。

(4)電源報警按要求在集控室進行聲光報警。

5 進一步研究的內容

(1) IEC61508標準強烈建議過程控制系統和安全儀表系統兩種系統分離，但并沒有要求兩者必須獨立(石化GB/T50770規定了兩個系統必須獨立)。兩者之間可采用同種分離也可采用異種分離，同種分離意味著兩者可使用同一制造商的不同產品；而異種分離則意味著兩者使用不同制造商的不同產品。同種分離有助于降低隨機失效，降低了維護錯誤的可能性；而異種分離有利于降低系統失效和共因失效。

近年來一些制造商開始在其分散控制系統中提供安全儀表系統，兩者采用同一的通信網絡，但使用不同硬件結構的控制器和I/O模件，如Ovation系統中就可以集成其安全儀表系統SIS。安全儀表系統有和分散控制系統逐漸融合集成的趨勢，這種趨勢是滿足IEC61508標準還是突破值得討論。

(2)本文討論的鍋爐保護方案，仍然保留了鍋爐跳閘繼電器硬接線回路。繼電器硬接線回路是在保護系統采用分散控制系統的背景下產生的，采用安全儀表系統后，可以考慮取消傳統的繼電器硬接線回路。但目前受限于規程規范，工程設計中仍然保留了跳閘繼電器硬接線回路。

(3)隨著安全儀表系統概念的引入，涉及許多原有名詞術語涵義的變化。比如爐膛安全系統FSS，包括鍋爐跳閘保護、鍋爐爐膛吹掃、油燃料系統泄漏試驗三功能，常規做法是在同一控制器內實現。鍋爐跳閘保護采用安全儀表系統后，爐膛吹掃、油燃料系統泄漏試驗功能仍在分散控制系統中實現，這就涉及到原有FSSS和FSS涵義和內容的變化。

[1] 安全儀表系統及其功能安全[R]．中國石化青島安全工程研究院，2009．

[2] 李鵬，王彥剛，陳建平．工廠安全儀表系統設計要求及實現[J]．石油化工自動化，2009，(5)．

[3] 蔡松郁．安全儀表系統的工程設計[J]．煉油與化工，2007，(3)．

[4] GB/T 50770-2013．石油化工安全儀表系統設計規范[S]．

[5] 左信，朱春麗．安全儀表系統設計與SIL的計算方法[M]．中國石油大學(北京)自動化研究所，2008．

[6] IEC61508．Functional safety of electrical / electronic / programmable electric safety related system (2000)[S]．

[7] IEC61511．Functional safety: safety instrumented system for the process sector．(2003)[S]．

Design of Safety Instrument System for Boiler Protection

TIAN Xiao-bing
(Southwest Electric Power Design Institute Co., Ltd., Chengdu 610021, China)

The Health, Safety and Environment (HSE)are more and more focused. Meanwhile, the steam generator, one of the key equipments in TPP, its capacity and parameter is getting higher and higher; its safety operation also is getting more important. Higher safe and reliable Safety Instrument System is expected for boiler protection. Based on engineering practice, this paper explained the detail engineering issues of Safety Instrument System application in the boiler protection.

boiler protection; safety instrument system; FSS; SIL3.

TM621

B

1671-9913(2017)02-0025-05

2016-03-15

田小兵(1977- )，男，四川閬中人，碩士，高級工程師，現從事火力發電儀表與控制專業設計工作。