电厂事故案例之冗余控制器失灵造成机组跳闸

1事件经过     2003年3月23日，F电厂＃3机组停机前电负荷115MW，炉侧主汽压9.55MPa，主汽温537℃，主给水调节门开度43%，旁路给水调节门开度47%（每一条给水管道均能满足100%负荷的供水），汽包水位正常；其它各参数无异常变化。     监盘人员发现锅炉侧部分参数显示异常，各项操作均不能进行，同时炉侧CRT画面显示各项自动已处于解除状态。调自检画面发现#3控制器离线，#23控制器处于主控状态。运行人员立即联系热工人员处理，同时借助汽机侧CRT画面监视主汽压、主汽温，并对汽包电接点水位计和水位TV加强监视，主汽压在9.0～9.6MPa波动、主汽温在510～540℃波动、汽包水位在+75～-50mm波动，维持运行。     几分钟后，热工人员赶到现场，发现#3控制器离线、#23控制器为主控状态，但#23控制器主控下的I/O点（汽包水位、主汽温、主汽压、给水压力、等）均为坏点，自动控制手操失灵。经过多次重启，#3控制器恢复升为主控状态。在释放强制的I/O点时，监盘人员发现汽包水位急剧下降，就地检查发现旁路给水调节门在关闭状态，手动摇起三次均自动关闭，汽包水位TV和显示表监视不到水位，手动停炉、停机。 2原因分析     根据能追忆到的历史记录分析，可以推断#3控制器（主控）故障前，#23控制器（辅控）因硬件故障或通讯阻塞，已经同I/O总线失去了通讯。当#3控制器因主机卡故障离线后，#23控制器升为主控，但无法读取I/O数据，造成参与汽水系统控制的一对冗余控制器同时失灵，给水自动控制系统失控，汽包水位保护失灵。在新更换的＃3控制器重启成功后释放强制点的过程中，DCS将旁路给水调节门指令置零（逻辑如此设计是为了在控制器故障时，运行机组向更安全的方向发展），关闭旁路调节门。而旁路调节门为老型号的阀门，相当于解除了自保持的电动门（接受脉冲量信号），切手动时不能做到电气脱扣，因此，紧急情况下不能顺利打开，造成汽包缺水。 3防范措施 3.1更换#3、#23控制器主机板，同时考虑增加主机板的备品储备。 3.2增加通讯卡，使控制器与I/O卡之间的通讯为冗余的。 3.3对所有控制器、I/O卡、BC卡的通讯进行监测，增加脱网逻辑判断功能，生成报警点并进行历史记录。一旦控制器工作异常，可及时报警并处理。 3.4增加控制器超温报警功能，在控制器出现故障之前可以采取措施，将事故消灭在萌芽之中。 3.5汽包水位等重要调节、保护系统的输入信号，一般应为三路相互独立的信号，通过分流器将这三路信号变成六路信号，分别进六块端子板和AI卡件，送入两对控制器，一对控制器用于调节、保护，另一对控制器只参与保护。这样可以很好地解决一对冗余的控制器同时故障时，重要保护失灵的问题。 3.6更换重要自动调节系统的执行机构，使之具有完善的操作功能。 3.7 DCS失灵时，若主要后备硬手操或监视仪表不能维持正常运行，运行人员应立即停机、停炉。 3.8关闭MIS系统接口站中的所有硬盘共享功能，确保DCS系统同MIS系统只具备单向通讯功能。