基于概率分析的連鎖保護“三選一”邏輯算法可靠性分析

莫布林，柳長海，余小敏

（1.韶關市坪石發電廠有限公司（B 廠），廣東 韶關 512229；2.華電電力科學研究院中南區域中心，武漢 430000）

0 引言

目前，對重要的發電廠主機和輔機的保護需要配置冗余的保護信號，且要求保護信號從取樣點到輸入模件全程相對獨立[1]，一般采用“三取二”或“三選一”的邏輯判斷方式。“三取二”和“三選一”邏輯算法在提高連鎖保護動作的可靠性方面具有重要作用[2-3]。

相比于壓力開關、溫度開關、流量開關等輸出信號類型為“開關量”的測量設備（指非連續性信號的采集和輸出，它只有“1”和“0”2 種狀態），壓力變送器、溫度變送器、流量變送器等輸出信號類型為“模擬量”的測量設備（指在一定范圍連續變化的量）具有更大的優勢[4]，比如可以在線連續觀察數值的變化情況，在線監視測量的準確度情況，能夠作為自動調節回路的反饋信號，與控制系統配合使用能夠取出多個報警點等。隨著壓力變送器、物位變送器等模擬量測量設備制造工藝的提高，其可靠性和測量反應時間與“開關量”型設備相差不大[5]，加上控制系統能夠方便地處理和使用“模擬量”信號，運用“模擬量”信號作為連鎖保護邏輯的輸入信號起到越來越重要的作用，處理冗余模擬量信號的“三選一”邏輯算法的應用也越來越廣泛[6]。至于該算法在實際應用中的可靠性及其缺點，則需要運用合適的方式去描述和評價，以便正確使用和提高其可靠性。

由測量儀表及控制系統構成的測量回路中，在各種各樣內、外部因素的影響下，測量準確度將受到影響[7]，嚴重時會造成測量誤差超過允許值，甚至使得測量值嚴重偏離實際值。影響測量準確度的常見因素有儀表制造質量不良，儀表安裝或使用方式不正確，外部電磁干擾，高溫、潮濕、振動的外部環境，供電電源不穩定，測量線路絕緣低，接線松動，被測工質參數超過儀表的測量范圍等[8-10]。在測量線路絕緣不合格、被測工質參數超過儀表的測量范圍、接線松動、電路開路等異常情況下，儀表輸出通常表現為超過輸出的上、下限范圍；受到電磁信號的干擾，表現為信號波動的速率快；受到高溫、潮濕或振動的影響，表現為測量誤差超過允許誤差值。測量回路在受到各種不良因素的影響下，測量輸出常表現為超量程、超速率、超允許誤差、輸出不變化或無輸出等情況。

本文采用壞點、正偏差、負偏差這3 項評價測量信號異常的重要指標，利用概率理論的有關性質，忽略各路信號之間出現的某些次要偏差情況，選取一定范圍的事件作為研究對象，分析并計算出“三選一”算法在各種測量事件下的正確動作率、拒動率和誤動率，并根據各種事件的正確動作率、拒動率和誤動率的大小規律提出改進方法和應用的建議，以期達到提高“三選一”算法可靠性的目的。

1 算法邏輯介紹及應用

在熱工連鎖保護邏輯組態中，經常應用到質量判斷算法邏輯、幅值判斷算法邏輯、模擬量信號三選一算法邏輯等，其功能分別為：

質量判斷算法邏輯功能是：當模擬量輸入信號超過高、低限或變化太快（速率超限）時報警，輸出保持[11]。

幅值報警算法邏輯功能是：當輸入變量高于或低于設定值時，發出報警信號。

模擬量信號“三選一”算法邏輯功能是：根據3 個模擬量輸入值、質量選擇某一路輸出，或者根據工作模式計算輸出。該算法邏輯對3 路模擬量輸入信號選擇，實現模擬量信號的三選一功能。信號質量、信號間偏差、選擇模式（均值、中值、大值、小值、第一路、第二路、第三路）都會影響最終輸出值。

其輸出選擇算法如下：

（1）3 個輸入質量全壞，輸出保持。

（2）僅有1 個輸入好點，輸出好點值。

（3）有2 個輸入好點：若2 個好點的偏差超限，則輸出保持；若未超限，根據當前模式輸出。

（4）有3 個輸入好點：若3 組偏差均超限，則輸出保持；若2 組偏差超限，則輸出不超限偏差對應兩輸入的均值；若僅1 組偏差超限，則輸出中值，即與另外2 點偏差都不超限的點；不存在偏差超限情況，則按照選擇的模式輸出。

當任一一路信號壞點或存在偏差超限情況時，該算法邏輯品質報警輸出為TRUE；當輸出為保持狀態時，總品質輸出為TRUE，其它情況為FALSE。

某“三選一”算法實際應用的邏輯組態如圖1所示。

2 概率的定義及性質

2.1 概率的定義

在相同的條件下，重復進行大量的試驗，若事件A 發生的頻率穩定地逼近某常數p，稱p 為事件A 發生的概率，記為P（A），即p=P（A）。

2.2 完備事件組的定義

若事件A1，A2，…，An滿足在每次試驗中，事件A1，A2，…，An至少有一個發生，稱事件A1，A2，…，An構成完備事件組。

2.3 概率的性質

（1）任何事件的概率的范圍是：0≤P（A）≤1。

（2）當事件A 與事件B 是對立事件時，有P（A）=1-P（B）。

（3）對于事件A 和B，當且僅當A 和B 中至少有一個發生的概率為：P（A∪B）=P（A）+P（B）-P（AB）。

（4）當事件A 與事件B 互斥時，有P（A∪B）=P（A）+P（B）。

（5）對于更多的互斥事件A1，A2，A3，…，An兩兩互斥時，當且僅當A1-An中至少有一個發生的概率為：P（A1∪A2∪…∪An）=P（A1）+P（A2）+…+P（An）。

（6）當A 和B 是獨立事件時，有P（AB）=P（A）P（B）。

（7）在A 事件發生的條件下，事件B 發生的概率，用符號表示為P（B|A），有P（AB）=P（A）P（B|A）。

3 算法可靠性概率分析

3.1 算法評價指標

在設備連鎖保護應用中，常用正確動作率、拒動率和誤動率來評價一種算法的優劣情況。拒動率和誤動率對于連鎖保護來說越低越好，實際應用中應盡量避免保護拒動或誤動情況的發生，特別是保護拒動，它的產生可能會造成嚴重的設備損壞事件[12]。

3.2 “三選一”算法輸入信號類型

在異常情況下，測量儀表通常表現為超量程、超速率、超允許誤差、輸出不變化或無輸出等情況。測量儀表的輸出信號經過質量判斷算法邏輯的處理，超量程和超速率的情況被統一為壞點情況，對于無輸出的情況，也會被質量判斷算法邏輯判定為超量程的一種，所以該情況也被統一為壞點情況。“三選一”算法邏輯具有輸入信號之間偏差超限的判斷功能，某一路測量信號輸出不變化時易與另外的正常信號造成偏差超限的情況而被檢測到，且被檢測出來的概率非常大，所以輸出不變化的情況在此被轉化為偏差超限情況。為了便于研究算法的拒動率和誤動率情況，將超過允許誤差的情況細分為正偏差和負偏差2種情況，這2 種情況為互斥事件。所以，對于“三選一”算法而言，測量信號故障可以歸結為壞點、正偏差和負偏差3 種類型。在此將正偏差（用“+”表示）定義為與真值的差值大于允許誤差的絕對值的情況，負偏差（用“-”表示）定義為真值與其差值大于允許誤差的絕對值的情況。未超過允許誤差簡稱為未超差（用“0”或“0′”表示），“0”和“0′”表示2 個測量值均在允許誤差范圍內，但兩者不相等。

3.3 異常事件概率定義

將“三選一”算法的某一路輸入信號出現壞點的概率表示為a，當未出現壞點的條件下，出現正偏差的概率表示為b，出現負偏差的概率表示為c。由于各路輸入信號出現壞點為獨立事件，則其它2 路信號的壞點概率同樣為a，同理，正、負偏差概率同樣分別為b 和c。

3.4 測量故障率估算

圖1 “三選一”邏輯組態

從設備技術指標看，應用廣泛的某品牌壓力變送器穩定性達7 年，另外一種常見的壓力變送器穩定性為每年±0.01%。另外，有關技術規程規定：控制系統的非現場原因引起I/O 信號異常次數要求每臺每年不大于10 次。從實際應用情況來看，測量儀表和控制系統的穩定度均優于以上指標[13]。一般600 MW 燃煤機組的I/O 信號點數為12 000 個，出現故障的概率小于每年10/12 000=1/1 200，所以可將整個測量回路的故障率估算為小于每年1/1 000，而組成故障率的分項故障（壞點、正偏差、負偏差）均小于每年1/1 000，因此將a，b，c 均估算為每年1/1 000。

3.5 偏差超限類型

“三選一”算法中2 路輸入信號之間偏差的報警值假設設置為允許誤差的值，則2 路信號之間偏差的可能類型如圖2 所示。圖2 中情況2 與偏差超限的設定值有關，假設將其設置為2 倍允許誤差，則無此情況出現。另外，可以認為情況2是情況1，3，4 或5 的特殊情形，本文不將情況2 作為單獨事件考慮。圖2 中的情況6 是2 路信號均為正偏差且相互之間的偏差不超限，圖2 中的情況8 是2 路信號均為正偏差且相互之間的偏差超限。由于2 路信號同時出現正偏差的概率很小（b2），同時出現正偏差的情況下又出現相互偏差超限的概率更小，為了簡化問題，本文不考慮正正偏差超限和負負偏差超限的情況。基于上述，在此只研究圖2 的情況1，3，4，5，6 和7，并且將這6 類事件作為任何2 路信號偏差的完備事件組。

圖2 2 路信號偏差的可能情況

3.6 拒動和誤動的定義

當實際值超過動作值而未發出保護動作信號時，則認為該保護是拒動情況，且認為是100%會拒動。當實際值未達到動作值而發出保護動作信號時，則認為該保護是誤動情況，且認為是100%會誤動。

3.7 概率統計

3.7.1 限定范圍的統計

由以上的定義及規定條件，運用概率的基本性質，計算出“三選一”算法中各種事件的概率如表1 所示。這里假設連鎖保護動作值是高報情況。

3.7.2 事件概率規律分析

從表1 上各事件的概率數據分析，得出以下規律或特點：

（1）出現1 個壞點事件的概率（3a）小于無壞點事件的概率（（1-a）3），出現2 個壞點事件的概率（3a2）小于1 個壞點事件的概率（3a）。同樣，對于偏差超限事件，出現2 個同時偏差超限的概率小于1 個偏差超限的概率。表1 上的概率數據說明，大部分情況下3 個測點是處于好點和無偏差超限的狀態，即“三選一”算法處于正確輸出狀態，出現故障是小概率事件。

（2）從表1 事件的概率看，無論是壞點事件還是正負偏差事件，整體上均呈降低趨勢（越往后面，事件出現的概率越低）。即在通常情況下，故障是逐個出現，逐步向惡化的方向發展。

（3）當出現信號之間偏差超限的情況時，其中1 個不超差另外1 個正或負偏差的事件出現概率要比2 個均出現正或負偏差的事件出現概率大很多（前者是后者的1 000 倍），即出現偏差超限時，大概率出現了1 個點無偏差另外1 個點正或負偏差的事件，有1 個點處在正確測量狀態。

表1 “三選一”算法可靠性概率計算

（4）表1 中事件9，12，16 和17，均存在著1個正確測量點，但由于相互偏差超限，算法輸出保持，保護拒動。在有正確點的情況下，“三選一”算法仍然會出現異常輸出狀態。

（5）當沒有出現偏差超限報警的情況時，仍有可能出現拒動和誤動的情況。表1 事件2 和3是在既沒有壞點又沒有偏差超限報警的情況下發生的拒動或誤動事件。表1 事件14，15，20 和21是在存在好點且沒有偏差超限報警的情況下發生的拒動或誤動事件。這6 種異常情況不能夠被“三選一”算法發現。偏差超限情況與各測點是否出現正或負偏差沒有必然的對應關系，當出現偏差超限時，必定有測點出現正或負偏差的情況（如表1 中事件4 出現了1 個測點正偏差情況），當未出現偏差超限時，也有可能出現正或負偏差的情況（如表1 中事件14 出現了2 個測點均是正偏差情況）。圖3 所示為沒有壞點且無偏差超限的事件示意。

4 防拒動改進

4.1 改進原因

連鎖保護動作的目的是在異常工況下讓設備停止運行或關閉某些閥門實現隔離，防止異常事件的擴大，達到保護設備和防止不安全事件的目的。當出現保護誤動時，一般只是影響到系統的正常運行，當出現保護拒動時，將會造成設備損壞或不安全事件的產生，所以應當采取措施，盡量避免保護拒動事件的出現。

對于表1 事件12，16 和17，都存在1 個“0”型的點，然而輸出卻是保持的，導致保護拒動，這顯然是“三選一”算法的不足之處。在輸出保持的情況下，對于有3 個好點而言，出現2 個正或負偏差的概率要比出現3 個正或負偏差的概率大得多；對于有2 個好點而言，相互間偏差超限的“0+”和“0-”事件的概率比“+-”事件概率大得多（前兩者是后者的1 000 倍）。因此，在此條件下存在1 個測量準確點是大概率事件，所以應選出也值得選出該準確點來，若“三選一”算法能夠判斷出哪些是正確測量點并輸出該點，則能夠提高正確輸出率和降低拒動率。

4.2 關聯參數

在生產流程中，某些參數之間的關系是相互關聯的[14]，比如在飽和蒸汽條件下溫度與壓力是一一對應的；火電機組滑壓運行方式下功率與主汽壓力的關系較穩定；在機組正常運行中功率與主汽流量是函數關系；在自動狀態下，反饋值通常維持在設定值附近。另外，某些參數往往保持在正常范圍內，比如鍋爐正常運行時的汽包水位保持在±50 mm 范圍內。當其它參數較可靠時，可以作為與之有關聯的參數的參考量。

4.3 設置參考量

4.3.1 算法改進

為“三選一”算法設置參考量，參考量或是與輸入參數呈函數關系，或是某一固定的數值。當算法出現輸出保持事件時，讓相互之間偏差超限的輸入信號分別與參考量比較，判斷兩者的差值落入允許誤差范圍內的情況，當有1 個點落入該范圍內時，取該值作為算法的輸出值（圖2 情況3和4），當有2 個點落入范圍，則取2 個點的平均值作為輸出值（圖2 情況2），當全部點比較完畢均無落入允許誤差范圍內時，則認為各點均超差，輸出仍保持。

圖3 3 點無壞點無偏差超限的事件示意

4.3.2 應用實例

火電廠的鍋爐汽包通常設計有壓力、溫度等測點，汽包壓力作為汽包的一項重要參數，通常設計有3 個以上的測點。對于汽包壓力的“三選一”算法，將汽包溫度對應的飽和蒸汽的壓力作為該算法的參考量，若出現表1 中的12，16 和17事件，通過與參考量的對比，改進后的算法能夠可靠地分辨出各自存在的1 個準確點并作為算法的輸出，成功避免了輸出保持導致保護拒動和壓力測量失效的情況。由此可見，通過增加參考量判斷功能后，能夠將表1 事件12，16 和17 由拒動轉化為正確動作，提高了算法的正確動作率，降低了拒動率。

4.4 設置報警量

4.4.1 偏差值確定

如圖2 情況2 所示，由于測量值是在“真值±允許誤差范圍”內，所以要確保出現1 個測點超過允許誤差的異常情況必須滿足2 個測點之間的偏差大于2 倍允許誤差，也就是說，當2 個測點之間的偏差超過2 倍允許誤差時，必定有1 個及以上的測點超過允許誤差。所以，應將偏差報警值設定為小于等于2 倍允許誤差。若將2 個測點之間的偏差報警值設定為1 倍允許誤差，如圖4的情況1 和情況2 所示的極端情況下，有1 個測點超過2 倍允許誤差時才能夠被發現，存在異常晚發現的問題；當出現圖2 的情況2 時，則又出現2 個測點均未超過允許誤差卻出現偏差超限報警的情況，存在提前報警的問題。由此可見，若將偏差報警值設置得偏低，雖能改善異常晚發現的情況，但增加了出現提前報警的可能性。偏差報警值的設置應根據具體應用場合可接受的誤差值來定。由于出現偏差超限報警時，1 個測點在真值附近，另外1 個測點超過允許誤差的概率很大，所以建議將偏差超限報警值設定為1 倍允許誤差。

4.4.2 報警應對

當出現任何一個壞點或任何一組偏差超限而發出聲光或語音報警時[15]，應當引起監控人員和維護人員的重視，并及時消除故障，使連鎖保護保持有2 個或2 個以上的正確點，防止算法向低可靠性的方向發展，即讓連鎖保護保持在表1 中靠前面的事件狀態下，則能夠保證保護在較高的可靠度上。

圖4 2 路信號1 倍允許誤差偏差超限極端情況

當出現算法輸出保持的情況且經過參考量判斷并以某個值輸出時，算法同時發出非可靠報警，提醒監視人員確認算法輸出值是否準確，若不準確，則能夠及時進行相應的操作干預，防止發生不安全情況。

5 結語

通過運用概率的有關性質公式計算出“三選一”算法各種事件的概率，并分析了各種事件概率的分布規律。根據各種事件概率的大小情況對該算法提出增加參考量的改進，該改進能夠提高算法的正確動作率并降低拒動率。根據事件概率分布規律提出重視報警監視并及時處理異常的注意事項，該應用方式能夠讓算法維持在較高的可靠度上。通過采取以上2 項措施，提高了該算法的可靠性。

2 個點之間的偏差超限情況與各個點是否出現正或負偏差沒有必然的對應關系，當未出現偏差超限時，也有可能出現正或負偏差的情況。當沒有出現偏差超限報警的情況時，仍有可能出現拒動和誤動的情況，如表1 事件2，3，14，15，20 和21，這是該算法的缺點。這6 種異常事件出現的概率雖然低，但仍需引起注意和防范，可以通過人工判斷來進行干預。

該算法在正常判斷和輸出的狀態下，仍然存在保護拒動或誤動的情況，如表1 事件8，9，10和11，雖然這些異常事件比保護正確動作的概率低很多，但對生產系統來說仍然是安全隱患，如何減少或避免這些異常事件的發生，仍需對該算法進行進一步研究和改進。