电厂主油箱液位低保护逻辑缺陷非停事件分析报告

电厂主油箱液位低保护逻辑缺陷非停事件分析报告

电厂12月19日2号机组非停事件分析报告一、事件经过（一）事件前机组运行工况2号机组于2011年11月18日投产。三大主机均为上海电气电站集团生产，超临界参数，容量350MW。2018年12月19日9时35分，2号机组负荷281MW，主蒸汽流量868t/h，主蒸汽压力19.8MPa，主蒸汽温度567℃，再热汽温度565℃；主给水流量835t/h，2A、2B汽动给水泵运行；总燃料量132t/h，2B、2C、2D、2E磨煤机运行。2号机主机油箱油位分别为油位1为-148.78mm、油位2为-145.84mm、油位3为750mm系统判断为坏点（运行值班人员在8时13分发现缺陷并登陆在缺陷系统）。（二）事件详细过程12月19日9时35分23秒运行人员发现2号机组跳闸，锅炉MFT，发变组解列；ETS首出为：DEH跳闸，检查DEH保护动作首出为：主油箱油位低跳闸。检查交流润滑油泵、顶轴油泵联启正常；联系相关专业人员检查跳闸原因，与热力公司保持沟通，通过调整无影响供热情况；同时汇报省调、河南公司安生部。专业人员检查主油箱油位测量信号，油位1和油位2测量正常，油位3测点显示坏点，判断主油箱油位低跳闸信号误发，申请省调开机，12点33分18秒机组重新并网。机组SOE信号和动作曲线如图一所示：\n图一2号机组DCS系统SOE事件记录情况及机组动作曲线（三）事件后检查情况1.班组办理工作票及保护退出手续后对2号机主油箱导波雷达液位计3进行检查，就地检查表头显示“*Status*EOPHigh”故障（如图二），查阅说明书为“超上限”。液位计型号:Magnetrol\n705-510A-110/MR-A110-145(变送器型号/探杆型号)。联系厂家到厂进行检测，未发现具体原因，已发往原厂进行全面检测分析。图二主油箱导波雷达液位计3故障显示2.检查历史趋势，主油箱油位低保护动作时液位1和液位2显示正常，没有出现跳变现象，液位3由750mm跳变至-826mm又变为-597mm,如下图。\n图三机组停机过程中相关测点历史曲线3.主油箱液位保护逻辑和模拟量三取二MSL3SEL2封装块逻辑见图四。（MSL3SEL2封装块实现功能：三个测点均好，三取二；一个测点坏，另两个测点二取一；两个测点坏，另一个测点一取一；三个坏质量保护不动作）该MSL3SEL2封装块说明显示“2011年7月8日版本，数据流排序已完成”\n。查2011、2013、2015年DCS系统备份文件，该封装块逻辑和数据流与当前所用相同。图四主油箱液位保护逻辑和MSL3SEL2封装块原逻辑4.封装逻辑算法块存在时序问题。封装逻辑的3个中间变量（图四红色方框内）执行顺序号分别为0、1、2，任一坏质量算法块“OR”执行顺序号为18，存在时序问题。正确的执行顺序号应将3个中间变量及“OR”算法块的执行顺序分配在现有的21-24号之间。按现有算法顺序，当测点3超量程坏质量后,“OR”块会输出“1”；当测点3恢复正常且超限保护动作时，由于“OR”\n先执行，质量判断在后，输出并不会被及时更新为“0”，仍会保持上一个扫描周期的结果“1”。当21、23等算法正常输出“1”时，坏质量闭锁功能会失效，造成保护误动。5.发现封装块内部数据流顺序有问题后，对封装块进行模拟试验，确认当单个液位由高低限外的液位值跳变至高低限内并且跳变至保护动作设定值-580mm以下时，该保护会动作。对现有封装块内部数据流顺序和正确排序的数据流进行了模拟对比试验，试验情况如图五、图六所示。为进一步探究数据流产生错误的原因，对系统的“按数据流排序”功能进行了对比试验，试验结果如图七、图八所示。模拟试验一：验证现有算法执行顺序（异常时）保护动作规律。按照现场数据流进行模拟，搭建仿真逻辑（增加RS触发器以记录时序差异，不会影响输出结果），将坏质量输出块“AND”执行顺序分配为20号，先于坏质量判断块“DQ1”的21号。图五（1）模拟测点正常状态，功能正常\n图五（2）模拟-800mm工况状态，坏质量闭锁功能正常图五（3）模拟-800mm跳变至-597mm工况状态，坏质量闭锁功能异常结论：原逻辑内部数据流的执行顺序在此次异常测量情况下会发出保护动作信号，坏质量闭锁功能会出现异常。模拟试验二：验证改进后的算法执行顺序（正常时）保护动作规律。图六（1）模拟测点正常状态，功能正常\n图六（2）模拟-800mm工况状态，坏质量闭锁功能正常图六（3）模拟-800mm跳变至-597mm工况状态，坏质量闭锁功能正常模拟试验二结论：正确的数据流在此次异常工况下不会导致保护误动，坏质量闭锁功能均正常。模拟试验三：对原封装块进行“按数据流排序”(此功能为和利时DCS系统自带功能)，排序结果如图七，进行试验发现仍会导致保护信号误发。分析后发现：封装块内的中间变量（图七红色框内）可能造成数据流排序功能异常。虽然3个中间变量序号正确，但17号“OR”块（图七蓝色框内）序号分配小于测点3的坏质量判断算法块，仍会造成坏质量闭锁功能失效。\n图七按数据流排序后的封装块逻辑图，含中间变量模拟试验四：将封装块内的中间变量删除，对原封装块进行“按数据流排序”，排序结果如图八，算法序号分配正常，进行试验后未出现保护信号误发现象。图八按数据流排序后的封装块逻辑图，不含中间变量\n试验总结论：（1）当测点从坏质量恢复到好点时，若同时触发保护动作，数据流异常会造成坏质量闭锁功能失效，导致保护误动。（2）当和利时系统封装块中存在中间变量时，数据流排序功能并不能保证序号分配完全正确，需进行人工复查和试验确认。二、原因分析（一）直接原因2号机主油箱液位低保护逻辑中MSL3SEL2封装块设计存在缺陷，主油箱液位3测点信号跳变，MSL3SEL2封装块计算错误，信号误发，是导致本次非停的直接原因。2号机主油箱液位3测点跳变至750mm保持不动，09：35：21秒液位3测点开始向下突变至-826mm，09：35：23秒液位3测点由-826mm跳变至-597mm（液位低定值为-580mm），由于三取二MSL3SEL2封装块内部数据流计算顺序错误导致2号机主油箱液位低保护误发。（二）间接原因2号机主油箱液位3测点故障，测点输出值跳变，是导致本次非停的间接原因。三、暴露问题1.热控人员隐患排查不彻底，2号机组DCS逻辑MSL3SEL2封装块存在设计缺陷，从基建期到机组运行至今未发现潜在的隐患。2.热控专业重要保护参数检测装置可靠性差，投入运行2年左右便出现测量异常的问题。\n3.热控管理提升工作开展不扎实，控制逻辑内部隐患排查工作不细致。4.热控人员技术水平欠缺，对重要保护的逻辑设计认识不足，在增加2号机组主油箱液位低保护时直接引用原有的封装块，未模拟全部异常情况进行逻辑验证，未考虑增加跳闸延时信号防范测点的测量异常导致的误动作。5.热控人员对机组重要保护测点出现问题后重视程度不够，2号机主油箱液位3测点出现问题后未及时采取安全措施进行消缺工作。四、防范措施1.讨论修改1、2号机组汽轮机主油箱油位低保护逻辑，增加延时模块，适当增加延时时间，防止出现时序问题或油位测点测量异常导致信号误发。2.排查全厂DCS系统，对MSL3SEL2封装块及相关类型的封装块使用情况进行排查，并根据排查情况采取防误动措施；利用停机机会进行改装，重新梳理内部数据流问题，确保数据流排列正确。间：2018.12.30；改装完成时间：2019.10.31。3.全面排查此型号液位计的测量使用问题，对发现问题的液位计及时进行检查更换。4.\n加强热控人员技术培训工作，强化分析问题和处理问题的能力。重点对机组重要的保护自动逻辑进行讲解培训，提高班组人员对重要保护逻辑排查问题、解决问题的能力。5.加强对重要信号故障或重要参数测量异常时消缺工作的管理，保证出现异常时，能及时消除缺陷或制定可靠的安全措施。五、责任考核根据公司《安全生产奖惩管理办法》（林热电公司〔2016〕94号），对相关责任单位、责任部门及责任人考核如下：1.设备管理部热控二班技术员，作为主油箱设备的直接责任人，隐患排查不到位，未能及时发现和消除隐患，负主要责任和技术管理责任，给予经济处罚1500元。2.设备管理部热控二班班长，作为班组管理第一责任人，隐患排查不到位，未能及时发现和消除隐患，负主要责任，给予经济处罚1500元。3.设备管理部热控二班副班长，作为班组安全员，组织隐患排查不到位，未能及时发现和消除隐患，负次要责任，给予经济处罚1000元。4设备管理部热控专业主管，专业管理不到位，负直接管理责任，给予经济处罚1000元。5.设备管理部副部长，分管热控专业，负管理责任，给予经济处罚500元。6.设备管理部部长，作为设备管理部安全第一责任人，负管理责任，给予经济处罚300元。\n7.设备管理支部书记，负管理责任，给予经济处罚300元。8.设备管理安全主管，负安全管理责任，给予经济处罚200元。9.公司总工程师，负有技术管理责任，给予经济处罚200元。10.公司生产副总经理，负有领导责任，给予经济处罚200元。六、河南公司要求1.各企业立即对DCS系统三取二逻辑进行排查，尤其对和利时系统的封装块使用情况进行排查，并根据排查情况采取防误动措施；利用停机机会进行修改，确保数据流排列正确。2.加强热控人员技术培训工作，强化分析问题和处理问题的能力。重点对机组重要的保护自动逻辑进行讲解培训，提高班组人员对重要保护逻辑排查问题、解决问题的能力。3.按照河南公司《关于下发热工专业专项提升工作要求的通知》要求，重新对各企业的主保护进行排查，要深入到每一个触发条件，不能停留在表面上。4.各企业组织对DCS保护试验卡重新进行修订，增加相关试验内容，利用机组停备机会，重新进行模拟试验，确保传动正确。5.各企业立即排查整改，要求所有列入主保护的测点，必须设置在操作员站一级画面。