DP 船舶直流閉環母排短路壓降穿越FMEA 分析

肖志成

（挪威船級社（中國）有限公司，上海 200000）

0 引言

目前，越來越多帶有DP 功能的新造海洋工程船舶在DP 作業時選擇將主配電板設置在合排甚至是閉環運行模式。合排運行模式是指主配電板除首尾兩段母排之間的母聯開關（或不設置此母聯開關）處于分閘狀態外，其余所有母排上的母聯開關都處于閉合狀態，這時各母排組成“一”字形，各母排上的在網發電機處于并聯運行狀態。而閉環運行模式則是在合排運行模式的基礎上，將主配電板首尾兩端母排之間的母聯開關也閉合，使得電網呈現首尾相接的閉環狀態，此時各母排上的在網發電機也處于并聯運行狀態。相較于以往為保證DP 作業時的冗余要求而采用的開排運行模式，合排或是閉環運行模式時無需將所有發電機都投入運行，而是在保證功率需求的前提下將其中幾臺發電機設置在備用狀態。這就使得船舶在DP 作業時的燃油消耗量大為降低。而在配有直流母排電力系統的船舶上，由于發電機能夠運行在各自最優燃油消耗曲線上，本就比交流配電系統更高效，而其采用合排或是閉環運行模式就更能發揮其節能減排的效果[1]。這對于需要長期處于動力定位狀態的海洋工程船舶來說有著重要的經濟意義。

相較于以往按照冗余分組獨立運行的主配電板各段母排而言，合排運行模式使得主配電板合并成為一個公共系統。由于此公共組上的多種故障模式都會對各DP 冗余組同時產生影響，各大船級社因此對DP 作業時采用合排操作的電力系統設計提出了更高的要求。而短路壓降就是其中的一種故障模式，所謂短路壓降，即當主配電板其中一段母排發生短路故障時，并聯運行的各母排上的發電機輸出電壓會瞬間下降甚至接近0 V，在故障母排被其兩端母聯開關隔離前，其余母排上的負載都會受到此壓降的影響。如果對此影響不加以控制，船舶可能會因為重要負載失電而失去定位能力，因而發生嚴重的作業事故。

從壓降發生到電壓恢復正常的這段時間內，維持各DP 相關重要負載后續持續運行的能力即為壓降穿越能力。可以理解為，其余母排上各DP重要設備不應由于短路壓降導致其在電壓恢復之后電源供給受到影響，比如，斷路器因欠壓導致脫扣，控制系統因電壓過低而自動關閉等。DNV規范明確要求“FMEA 必須分析系統中瞬態電壓驟降的影響，并確定必要的措施。……不屬于直接受故障影響的冗余組的設備應在過渡期內運行，并在系統電壓重新建立時立即可用，無需操作員干預。[2]因此壓降穿越能力分析也成為各大船級社審核動力定位FMEA 分析報告的重點關注項。

直流配電系統作為未來海洋工程領域關鍵技術之一，其拓撲結構、保護技術及保護配置方面已有了廣泛研究，如文獻[3-5]。下面以某型自升式風電安裝船為例，討論公共直流母排系統短路壓降FMEA 分析要點。

2 DP 作業時的電力系統運行模式

本船930 V 直流主配電板分成五段母排。按照最大單點故障冗余設計，每段母排及其對應的下級配電板上所有設備屬于同一個冗余組，即本船共有5 個冗余組。DP 作業時五段母排處于閉環運行模式，如圖1。本船發生單點故障后允許發生的最大影響為失去其中的一段母排和這段母排所帶的推進器。若其中一段母排發生短路故障，由其導致的電壓降不應使得其余母排上的DP 相關重要設備，比如發電機、推進器等，停止運行。FMEA 分析時要根據系統具體配置來分析系統短路壓降穿越能力。

圖1 DP 作業時電力系統閉環運行模式

圖2 系統拓撲圖

1 系統架構

ILC: 本船每段直流母排通過兩個并聯的西門子ILC(Intelligent Load Control)裝置與相鄰直流母排相連。ILC 是有IGBT 模塊、續流二極管電路、扼流圈組成。每組ILC 由單獨的DSP 控制。

DSP: 每個 ILC 配有獨立的 DSP（Digital signal processor）。DSP 為ILC 單元提供快速保護（防止短路故障）和慢速保護（防止過載和其他類型的故障）功能。

ILC Control CPU: 每段排配有一套獨立的ILC Control CPU。用來與上級MCU 交換ILC 狀態及執行MCU 控制命令。同時控制ILC 兩端隔離開關的開合。

隔離開關：每個ILC 兩端配有隔離開關。斷開后可以方便ILC 的維護、檢修。短路故障發生及 ILC 斷開后，其兩端隔離開關會根據 ILC Control CPU 命令斷開。

MCU: 整個配電系統設置了兩個互為熱備的MCU(Mian Control Unit)。MCU 負責處理電站功率管理系統所有控制及保護邏輯。

Scalance XC216 網絡交換機：每段母排都配有一個Scalance XC216 網絡交換機，用于所有母排I/O 模塊、控制單元、MCU、工作站之間的數據傳輸。

3 保護策略

FMEA 在分析系統的短路電壓穿越能力一般從三個方面入手：故障母排隔離時間、故障母排隔離前系統的電壓降幅、是否有隱藏故障導致保護失效。

3.1 故障母排隔離時間：

在傳統的交流閉環系統中，對母排短路故障的保護一般通過母聯開關保護繼電器的方向性過流保護功能（ANSI Code 67）來實現。當短路故障發生時，母排上電流流向故障點，通過比較每個母聯開關保護繼電器測得的故障電流方向判斷出故障母排，并將離故障母排最近的母聯開關脫扣。

與交流系統不同，本船直流母排主要由DSP的快速保護功能來提供短路故障保護，防止短路故障的影響由故障母排蔓延至其他健康母排。快速保護功能通過計算以下兩個參數來實現：

電流變化率：通過檢測流經ILC 的電流變化率來判斷是否有短路故障發生。當ILC 一側發生短路時，通過ILC 的電流將迅速上升。將最近ix測量值與先前測量值（當前測量值之前5 μs）的原始值之間的差值與DSP 內保護設定值進行比較。如果差值高于設定值，則觸發DSP 快速保護功能。

電壓變化率：通過檢測ILC 兩端的電壓差來判斷是否有短路故障發生。當ILC 一側發生短路時，ILC 一側的電壓立即變為零，而另一側的電壓以較慢的速率降低。觀察到的兩側電壓差可用于盡可能快地檢測短路的發生。將ILC 左側Udc1和ILC 右側Udc2之間的差異與DSP 內保護設定值進行比較。如果電壓差高于此設定值，則觸發DSP 快速保護功能。

從短路故障發生到短路故障點因短路保護裝置動作而被隔離的這段時間可以認為是短路壓降的時間。短路壓降的時間是考量各DP 相關負載是否滿足電壓穿越的標準。各DP 相關負載設定的欠壓保護動作時間應大于短路壓降的時間。DSP 快速保護功能的檢測頻率為200kHZ，能夠在微秒級檢測以上兩個參數。短路故障發生時，故障母排兩端的ILC 離故障點最近，能夠比其他ILC 更早檢測到短路故障引起的電壓、電流變化。其快速保護功能被觸發后，DSP 在幾微秒內向ILC 發送IGBT_OFF 信號，使得ILC 內IGBT 關斷并強制中斷短路電流，進而達到隔離故障母排的目的。IGBT 關閉且通過ILC 的電流變為零后，ILC Control CPU 將向直流隔離開關發送斷開命令。整個隔離故障母排的過程大約只需要50μs。相比之下，交流系統的短路電流上升至短路保護設定需要十幾ms，斷路器固有分斷動作時間不少于幾十ms，整個隔離故障母排的過程大約需要100ms。由此可見，直流配電系統能夠比傳統交流母排更加快速的隔離短路故障母排。

3.2 故障母排隔離前系統的電壓降幅

更快速的隔離故障意味著能夠減小因短路帶來的大電流、低電壓的影響。在傳統交流系統中，由于隔離故障需要較長時間，短路故障往往會導致整個系統的電壓下降到一個非常底的水平。FMEA 在分析時需要結合故障隔離時間和系統電壓降幅，考察所有DP 相關重要設備的供電方式、欠壓保護設定，即，這些設備的電源采用UPS 供電或是其欠壓保護延時設定應當比系統電壓恢復時間長，才能保證這些設備有足夠的電壓穿越能力。這些設備包括但不限于：1）發電機AVR、調速器供電方式；2）發電機安保及就地控制系統供電方式；3）各電壓等級配電板控制電源供電方式；4）各電壓等級母排上重要DP 負載斷路器欠壓保護；5）推進變頻器欠壓保護；6）重要輔助設備馬達啟動器等；

而在直流系統中，由于ILC 能在幾十微秒便將故障母排隔離，短路故障引起的大電流還未上升至很高的水平便被中斷，同時也有效限制了健康母排電壓的下降。雖然規范未要求在本船實際測試，但西門子曾在其他船上搭建測試平臺，并在船東、船級社的見證下，對ILC 分斷能力的有效性進行實際測試。測試平臺原理如圖3 所示。斷開Stbd DC 母排上Fi-Fi 泵逆變器輸入端，在此連接用于模擬短路點的斷路器，閉合此斷路器即可造成母排短路。實驗測得的故障母排、健康母排及短路電流波形如圖5 所示。

圖3 傳統交流閉合母排短路壓降波形

圖4 測試平臺原理

圖5 短路點連接

圖6 短路測試實驗波形

由波形圖可見，右側直流母排的電壓在短路故障發生時由于ILC 的迅速分斷，其電壓沒有太大波動。在ILC 分斷前，在此過程中右側母排的電壓降僅為20V 左右，對其負載的影響可以認為微乎其微。因此，在FMEA 分析時，可以認為對健康母排下各負載的相關影響非常小。相比之下，傳統交流系統在故障母排隔離后，其余母排上電壓需要經歷重新建立至額定電壓的過程。這增加了系統電壓穿越的時間，對系統的電壓穿越能力提出了更苛刻的要求。需要指出的是，無論使用哪種品牌的類似產品，都需要與廠家進行詳盡的溝通，并經過以上的分析過程才能對相關影響作出判斷。

4 系統隱藏故障

為使系統擁有更高的可靠性，船級社規范還要求FMEA 需考慮是否有隱藏故障導致保護失效。DNV 規范明確要求“電力系統和配電板的保護功能是按需功能的典型例子，在這些功能中應該考慮到可能存在的隱藏故障。”[6]所謂隱藏故障，即‘操作和維護人員不能立即發現的故障’[6]可以理解為需要疊加其他故障影響才能被探知的故障。在本文的議題中，FMEA 應從兩個方面進行考慮：系統控制電源布置及DSP 自身故障。

系統控制電源的布置應當考慮任一冗余組丟失都不會影響其他冗余組的運行。就每組ILC 而言，DSP、ILC Control CPU、隔離開關三者任意一個的控制電源丟失都會造成ILC 的關斷。如果本船系統控制電源如圖7 所示布置，在系統正常運行時，系統控制電源供電正常，此時不會有報警。但當冗余組2 或冗余組5 因短路故障丟失后，其下級配電系統也會丟失，進而會導致兩組或以上的ILC 斷開。假設故障前只有冗余組2 和冗余組4 上有發電機在網運行。則當冗余組2 因短路故障丟失后，除冗余組2 兩端的ILC（ILC2-1/2和ILC3-1/2）因快速保護斷開外, 冗余組1 和冗余組5 之間的ILC1-1/2 也會因為失去控制電源而斷開。又因為冗余組1 沒有發電機運行，所以冗余組也會因為失電而丟失。顯然此結果已經超出了本船發生單點故障后允許發生的最大影響, 即丟失了超過一段以上的母排。因此，正確的做法應當是每組ILC 的控制電源由其對應的冗余組供電。

圖7 系統控制電源的布置示例

DSP 內部故障也可認為是一種隱藏故障。這種內部故障可以是自身軟件故障或內部元器件故障。它可能導致DSP 快速保護功能失效，無法檢測故障的發生，或者即使檢測到故障也無法分斷IGBT 或向ILC control PLC 反饋狀態。如果沒有有效的手段監測軟件運行狀態，則在系統正常運行時不能發現這種隱藏故障。DSP 因此設計了watch dog 功能，用于監測自身軟件運行狀態，以及‘心跳’監測功能，用于監測內部微處理器運行狀態。當自身軟件運行響應時間高于預期的響應時間時，DSP 將觸發watch dog 保護功能，關閉IGBT,切斷對應ILC 連接。而‘心跳’監測功能則是在規定時間內，內部微處理器向DSP 反饋‘health’信號，如果超過預定時間沒有收到‘health’信號，則DSP 認為有故障發生，隨即關閉IGBT,切斷對應ILC 連接。watch dog 或‘心跳’監測功能觸發后只會斷開對應的ILC,母排由環網連接變為“一”字形連接，對各母排運行不影響。

另外，從系統拓撲圖可知，并聯的兩個ILC有獨立工作的DSP，每個DSP 都與ILC Control CPU 有單獨的通訊聯系。當發生短路故障且其中一個DSP 失效時，ILC Control CPU 在收到另一個DSP 發出的IGBT 關閉狀態指令后，會同時將兩個ILC 兩端的隔離開關斷開，確保短路故障被隔離在故障母排。因此，此系統的設計上可以被認為對隱藏故障影響有了充分的保護措施。

5 結語

隨著全球環境保護要求的日益提高，船舶行業節能減排的相關公約及法規要求也越來越嚴格。這促使越來越多的新概念、新技術應用到船舶的建造及改造中來。電力電子技術的發展，使得直流電力系統在節能減排、電能質量、系統架構方面的優勢日益突顯，使其順理成章的成為船舶未來發展的方向之一。而動力定位船舶在作業中失位導致的結果往往是十分嚴重的，因此把守著第一道安全關的動力定位FMEA 分析責任重大。而短路壓降由于影響面廣且程度較深，在對采用直流閉環母排的DP 船舶進行FMEA 分析時應當重點從上述幾個方面入手并加以全面的審視，將安全隱患杜絕在萌芽之中，保障船舶的安全運營。