火電機組DCS通訊典型故障案例分析與治理

闞俊超

(大唐華東電力試驗研究院，合肥 230031)

0 引 言

隨著DCS控制系統在大型發電機組的廣泛應用，其可靠性對機組安全、穩定、經濟運行和電網穩定的影響逐漸增大，因此DCS系統的冗余功能顯得尤為重要，控制器、系統電源、I/O模件電源、通訊網絡等均應采用完全獨立的冗余配置，在發生設備故障時，應具備無擾切換功能。從通訊故障導致機組非停的案例入手，對DCS典型通訊故障問題進行原因分析，總結故障處理的經驗教訓，并制定相應的預防措施，旨在提高DCS控制系統的安全可靠性。同時各發電企業應在設計、生產準備、基建、出廠驗收和調試等階段，按照相關規程規范對DCS通訊功能進行全面檢查及性能調試，使各項指標滿足規程要求。確保發電機組不因DCS通訊問題造成非停損失甚至失控[1]。

1 典型案例分析

1.1 通訊卡件切換失敗案例分析

1.1.1 事件經過

某1 000 MW超超臨界機組運行期間，負荷940 MW，機組處于CCS方式，AGC投入、RB功能投入。給水系統A、B汽泵運行，A汽泵轉速4 645 r/min，B汽泵轉速4 650 r/min。17∶31∶59，A汽泵3個轉速反饋信號突然出現同步上升至5 323 r/min且無法調節，與當前轉速指令4 860 r/min偏差超限，A汽泵自動控制功能退出，A汽泵MEH保持遙控及操作員自動狀態。在MEH調節器作用下，為降低A汽泵轉速，A汽泵低調門持續關閉，轉速信號無明顯變化，而給水流量呈下降趨勢，故此時A汽泵轉速信號應為虛假指示。給水流量下降后，雖然給水主控指令及B汽泵指令在PID作用下快速上升，但仍無法維持鍋爐給水流量。17∶33∶06，給水流量降至2 215 t/h，與設定值(2 554 t/h)偏差超限，給水主控及CCS方式隨即切除，由運行人員手動控制機組運行。

CCS方式切除后，A汽泵轉速信號出現反復波動，波動幅度達±700 r/min，給水流量發生快速變化，此時垂直水冷壁出口混合集箱溫度呈上升趨勢。17∶34∶48，A汽泵轉速信號突降至3 710 r/min，與設定值偏差超限，觸發MEH“轉速故障”信號，A汽泵跳閘。由于CCS、給水主控均已切除，機組RB功能未觸發。此時運行人員手動控制機組運行，由于參數波動劇烈，17∶41∶20，鍋爐垂直水冷壁混合集箱溫度超過鍋爐MFT動作值，1號機組跳閘。跳閘曲線如圖1所示。

圖1 非停前后給水系統主要參數趨勢

1.1.2 原因分析

A汽泵轉速信號突升至5 323 r/min，與轉速指令(4 860 r/min)偏差的絕對值超過300 r/min，A汽泵自動控制功能退出，但A汽泵MEH仍保持遙控及操作員自動狀態，MEH依據虛假的轉速信號持續調節。因此A汽泵在轉速信號異常后，轉速指令與實際轉速偏差絕對值超限，造成A汽泵自動切除但未切除MEH操作員自動，是本次非停的直接原因。MEH操作員自動未能及時切除，轉速指令與反饋偏差大于1 000 r/min后，A汽泵聯鎖跳閘。

該電廠1號機組給水泵的轉速信號傳輸回路為：3個DP820轉速卡將轉速信號傳送至一對冗余配置的CI840通訊卡，再經過一對冗余配置的PDP800通訊卡與ABB總線控制器相連。非停后，現場檢查轉速信號傳輸回路，發現CI840通訊卡中的主卡報故障信號，通信傳輸由副卡接管。而此時回傳的轉速信號均為異常狀態，無法更新。手動復位通訊卡后，轉速信號恢復正常。

停機后開展試驗，利用信號發生器模擬轉速脈沖信號發至CI840通訊卡，并手動進行“主→備”通訊卡切換，發現此時控制器接收的轉速信號再次出現示值異常的現象。經進一步檢查發現，通訊卡CI840的參數配置不當，導致主卡故障后無法實現無擾切換，是本次非停的根本原因，切換過程中通訊信號異常，引發后續保護動作、參數失穩。

1.2 控制器未設置冗余切換案例分析

1.2.1 事件經過

某600 MW超超臨界機組運行期間，CCS方式運行，機組負荷576 MW，凝汽器A真空為90.7 kPa，凝汽器B真空為92.2 kPa。1A、1B循環水泵運行。09∶05∶53，1號機組DCS循環水遠程站畫面所有模擬量信號顯示異常，調閱歷史記錄檢查發現遠程站AI信號變成壞點：部分DI信號出現翻轉，原有的“0”信號均翻轉為“1”，而原有的“1”信號保持不變；RTD信號未報“壞質量”但數值錯誤。此時1A、1B循環水出口蝶閥全關信號誤發，09∶06∶08，1A、1B循環水泵停運。凝汽器A、B真空開始快速下降，1號機組凝汽器A真空壓力開關63-1/LV1-1、63-4/LV1-1動作，滿足真空低保護條件，觸發凝汽器真空低主保護動作，汽機ETS動作，鍋爐MFT、發電機出口開關聯跳。跳閘曲線如圖2所示。

圖2 機組真空低停機曲線

1號機組循泵出口蝶閥狀態、指令以及循泵溫度等信號均由就地遠程站通過遠程節點卡，經光纖與1號機組電子間的CTRL16控制器進行數據通訊。異常工況發生時，負責與CTRL16控制器通訊的循泵系統遠程節點卡故障，循環水泵出口蝶閥關反饋信號(DI)翻轉，開關量點由“0”變“1”，信號誤發，而1A、1B循環水泵跳閘指令是由汽機電子間CTRL16/66控制器通過硬接線直接送至電氣回路進行控制，誤跳1A、1B循環水泵。

1.2.2 原因分析

1號機組2臺循泵出口蝶閥全關信號誤發造成循環水泵停運，出口蝶閥因通訊中斷無法及時關閉，導致1號機組循環水流量和母管壓力快速下降引發機組凝汽器真空低保護動作，是此次非停的直接原因。

該機組16 號控制器配置有一套遠程控制站，由16號控制器下MAU A 卡通過光纖連接至遠程站的REMOTE NODE 卡做為遠程站與16號控制器的通訊連接；66號控制器下MAU B 卡通過光纖連接至遠程站的REMOTE NODE 卡做為遠程站與66號控制器的通訊連接，如圖3所示。16號和66號控制器為冗余的一對控制器。MAU A 卡與B 卡之間無直接物理連接，兩者之間的切換通過控制器切換實現。該遠程站主要控制1A、1B 循環水泵出口蝶閥指令及狀態反饋。1A、1B 循環水泵啟停指令及反饋在汽機電子間通過CTRL16/66控制器使用硬接線直接送至電氣回路進行控制。

圖3 遠程NODE卡與MAU卡連接示意圖

由于遠程站通訊中斷，導致CTRL16/66控制器至遠程站指令輸出通道阻斷，運行發出1A、1B循環水泵出口蝶閥關指令(D0)，就地液壓機構未動作，母管循環水通過1號機組出口蝶閥倒流，未能進入凝汽器，進而造成1號機組循環水流量和母管壓力快速下降，循環水流量不足以維持機組真空，最終導致1號機組凝汽器真空低保護動作。

DCS系統CTRL16/66控制器為主輔冗余配置，循環水系統遠程站的遠程節點卡(包括電源、光纖等通訊回路)也是對應的冗余配置。該控制器組態設置時將“Disable Controller Failover on Node Failure”功能開啟，即當遠程節點卡故障時不觸發控制器切換，因此負責與CTRL16控制器通訊的循泵系統遠程節點卡故障后，CTRL66控制器未能及時接管是本次非停的根本原因。

1.3 卡件與控制器單網配置停機案例分析

1.3.1 事件經過

某200 MW燃-汽輪機再熱循環機組運行期間，AGC投入，其中3號燃機負荷100 MW，排氣溫度550 ℃，4號汽機負荷42 MW，抽汽供熱流量69 t/h。12∶24∶31，3號燃機報警界面發出L30COMM_IOIO PACK COMMUNICATIONS FAULT(卡件通訊故障)、L27DZ_ALM(直流電壓低)、L94BLN_ALM(直流電壓低觸發自動停機)等報警，此時3號燃機自動停機程序異常觸發，3號燃機開始降負荷，12∶25∶25，3號燃機發變組負荷降到0 MW，3號燃機發變組解列。

1.3.2 原因分析

經檢查報警列表信息和相關控制邏輯發現：觸發3號燃機自動停機程序的直接原因是報警信號L94BLN_ALM的觸發，即MarkVIe控制盤125 V電壓低于90 V時，延時3 s觸發L94BLN_ALM信號報警，觸發自動停機程序。經查閱歷史曲線，如圖4所示，發現燃機MarkVIe控制盤電壓在12∶24∶31開始下降，到 12∶24∶37恢復正常，持續時間6 s，期間電壓值最低下降至0 V。

圖4 直流電壓降低導致機組停機曲線

經過對MarkVIe控制盤報警信息、PPDA電源卡報警日志、現場控制設備檢查及停機后相關驗證性試驗得知，導致此次3號燃機自動停機的根本原因是3號燃機的PPDA電源卡電源監測與MarkVIe控制盤之間發生通訊故障。

在機組停機后，對3號燃機PPDA電源卡件進行網線熱插拔試驗，模擬PPDA電源卡通訊故障狀態，發現MarkVIe控制盤直流電壓直接變為0 V，并顯示電壓壞質量，檢查MarkVIe控制盤報警信息、電源卡件報警日志信息與自動停機前觸發的報警完全一致。

控制盤內網絡交換機發生軟故障導致發生卡件通訊故障(L30COMM_IO)，導致3號燃機的PPDA電源卡電源監測與MarkVIe控制盤之間發生通訊故障，控制器內接收到的直流電壓信號變為0 V，且時間超過3 s，觸發L94BLN_ALM報警，執行3號燃機自動停機程序。

2 問題分類分析

通過上述案例的分析，機組因通訊問題導致的機組非停原因主要集中在以下幾方面：通訊卡件切換失敗，通訊功能未完善以及機組未配置網絡通訊冗余，也存在諸如電子元器件損壞、網絡堵塞等原因。

在1.1案例中，該廠所配的CI840通訊卡參數配置不當，主卡故障后無法實現主副卡無擾切換，切換過程中通訊信號異常，進而造成后續保護動作、參數失穩。由于MEH功能設置不完善，導致轉速異常時MEH仍然依據異常的轉速信號持續調節。此外，在RB邏輯設計方面不全面，忽視了未投入協調控制狀態下單側輔機跳閘時，RB聯鎖跳磨和投入等離子點火裝置等運行方式對于運行人員的重要幫助作用。

在1.2案例中，DCS故障報警功能不完善，出現遠程節點卡故障等現象時，缺少監視和報警方式。在通訊功能設置方面，遠程節點卡故障不觸發控制器切換設置不當(即開啟“Disable Controller Failover on Node Failure”功能)。該機組DCS系統卡件已連續運行8 年之久，即將到達DCS設備的劣化周期，維護人員對DCS系統卡件劣化程度掌握不深入，風險預控不到位。在機組運行方面，對循環水遠程站通訊異常中斷的風險認識不足，未考慮到通訊中斷可能造成的開關量點狀態翻轉這種極端情況。

在1.3案例中，PPDA電源卡為單網運行，不能實現雙重冗余功能。在機組停備時，對PPDA電源卡進行驗證性試驗，發現拔出其中一根送至R-SW2的網線時，電壓信號立即丟失；恢復后，拔出另一根送至S-SW2的網線時，PPDA卡件及MarkVIe盤沒有任何報警，即該機組未設置通訊冗余功能。在試驗過程中，發現缺少關于MarkVIe的完整的網絡拓撲圖，每塊卡件送至交換機的走向不明確。維護人員對MarkVIe控制盤內交換機的設備性能劣化情況和潛在缺陷了解不充分，對可能出現的異常狀況處理手段不足。

在國內其他因DCS通訊問題導致的非停案例中，也存在部分老舊機組通訊卡件局部電路板腐蝕的情況。如大多數沿海地區機組，循環水泵往往在就地設置了遠程IO站，通過通訊方式與主機DCS連接。沿海地區空氣濕度大、鹽分含量高，對電子元器件的損害嚴重，導致與本地控制器通訊異常，甚至導致部分DO指令誤發現象[2]。

還有一些機組出現了因通訊網絡風暴造成機組異常運行的情況。某機組正常運行，各運行參數正常。突然所有電腦顯示故障，CRT畫面無數據顯示，運行人員無法監視調整。經查發現機組DCS系統通訊癱瘓，人機界面完全失控。將A網徹底隔離，只留B網工作，然后重新啟動操作員站，逐個控制器恢復通訊，DCS系統監控功能基本恢復正常。檢查為DCS系統通訊主干網絡A、B 網發生通訊網絡風暴，在DCS系統通訊主干網絡A、B 網有大量垃圾數據包存在，存在一定風險，將DCS系統通訊主干網絡A、B 網及下屬所有站點(包括DPU)同時斷電重啟，重新檢查、清空下裝控制組態，徹底清除網絡上的信息。

機組的安全穩定運行，除了與通訊冗余功能是否成熟可靠有關外，還與通信網絡暢通情況相關。隨著智慧電廠的逐步推進，越來越多的數據將會與MIS、SIS等系統進行通訊連接，讀取生產實時數據，在網絡中接進動態數據服務器，網絡堵塞現象就變得十分頻繁，使得各種人機界面的節點出現死機現象。此外，軟硬件的更新不同步也會造成程序與功能不匹配，在控制器切換時，因個別點的擾動造成控制器的網絡驅動和網絡任務啟動失敗，造成控制器的故障離線。

機組從基建到正常生產運行期間，由于專業人員的不斷更替，各控制器的組態也隨之變化，但隨著時間的推移，控制器只會增加邏輯，沒有刪除原有的無用的邏輯組態，DPU讀取數據時仍會讀取原有數據點，也會造成DPU的負荷率過高，甚至造成網絡堵塞，進而導致機組DCS出現異常現象[3]。

3 治理措施

由于現場的工作環境較差，通訊鏈路受到各種負面因素的干擾較大，例如機械碰撞、電磁場干擾、人為檢修等等，故障率較高。通訊同軸電纜任何一處節點中斷，所有設備的通信全部斷開，數據丟失，甚至造成更大的經濟損失[4]。

針對DCS發生通訊故障的原因，通常可以對整個通訊回路的接線進行檢查及緊固、通過與其他通訊卡件類比進行故障排查、通過短接方式測量同軸通訊電纜的電阻確認電纜正常、通過檢查網絡交換機等方式進行通訊鏈路的全過程排查。

在日常機組運行及檢修維護過程中，可從以下幾方面加強日常DCS的維護工作，確保DCS網絡的穩定運行：

1)加強巡檢周期制度的落實。機組正常運行時，加強對DCS光字牌中控制器的報警、負荷率及存儲容量等關鍵信息的監視。定期對電子間，特別是所處環境惡劣的遠程IO站進行系統維護，檢查控制機柜散熱風扇是否運轉正常、環境溫濕度、機柜濾網及通風口是否清潔通風無阻；運行期間，不宜在控制機柜3 m以內的范圍內使用對講機；對引入干擾的現場設備，除檢查回路接線應完好外，還應對該設備加裝屏蔽罩。

2)在機組檢修期間，嚴格按照規范要求開展控制器及網絡冗余功能、接地電阻、抗射頻干擾、模件信號處理精度、網絡負荷率以及網絡風暴等定期測試工作。在開展通信冗余試驗時，投切通信網絡上任意節點的設備，應自動無擾動切換至冗余總線進行；檢查系統數據應無丟失、設備故障報警正確、診斷畫面顯示應與試驗實際相符。遠程IO站通訊卡件應設置主備，信號通過通信方式分別傳輸至DCS主備控制器，當任一遠程IO站通訊卡件故障時，數據傳輸功能應立即切換至備用卡件，此時對應的DCS控制器應立即切換。根據測試結果制定備品備件計劃、系統維護計劃及相關應急預案。

3)對于通訊信號采用光纖傳輸的，應嚴格按照規范要求對光纖的反射率及衰減率進行測試。在機組檢修期間應對光纖進行端面潔凈度測試并清洗。為了保證通訊質量，光纖電纜應盡可能遠離動力電纜，特別要遠離變頻設備的動力電纜。檢修維護過程中做好防護措施，應避免人員觸電及誤操作、卡件損壞、光纖接頭污染及尾纖受潮、光纖插拔更換過程中可能造成的灰塵掉落、手指觸碰、插拔損耗等。

4)隨著機組運行時間的推移，應做好DCS設備的劣化分析和設備的及時改造工作，確保控制系統內任一組件發生故障，均不應影響整個系統的工作。系統的參數、報警和自診斷功能應高度集中在LCD上顯示和控制，控制系統需在功能上和物理上分散配置[5]。

5)DCS系統網絡與其他如MIS、SIS等系統連接，應在DCS內設置符合電力系統二次防護要求的防火墻，對DCS網絡與所有外部系統之間的通訊。接口(網關、端口)進行實時在線監視，有效杜絕病毒的運行和傳播，有效防范外部系統的非法入侵和信息竊取。保證系統的安全性、可靠性，外部計算機系統設備或外部網絡通訊方面的故障，不影響整個DCS系統的正常運行。

4 結 語

通過對幾起非停案例的分析，對DCS通訊故障的原因進行了解析，有些問題已經嚴重影響了機組的安全穩定運行。因此在日常生產及維護過程中，應注意搜集各類DCS通訊故障問題，并進行分析總結，做到舉一反三。同時，加強日常技術監督工作的深度和力度，堅決貫徹執行各項規程及標準的相關要求，并制定出有效的安全措施。針對DCS網絡系統的全過程鏈路，注意日常維護過程中的問題防范，加強性能測試過程中的問題模擬，發現和解決設備及系統隱患。通過日常工作的做優做細，以及設備技術改造，努力減少DCS的不安全因素，可以提高DCS通訊網絡的可靠性。