EDPF－NT＋系统工程应用中的安全冗余设计

崔 倩，田 成

（1.北京国电智深控制技术有限公司，北京 102200；2.国电内蒙古东胜热电有限公司，内蒙古 鄂尔多斯 017000）

0 引言

分散控制系统（Distributed Control System，DCS）是工业自动化控制领域广泛采用的控制系统，目前已广泛应用于我国的火电机组自动化控制中。北京国电智深控制技术有限公司具有自主知识产权的EDPF－NT＋（electric distributed process family NT plus）是该行业的翘楚之作，在行业内处于领先位置，富含众多科技创新点，其先进的冗余技术就是其中的技术之一。

1 控制系统冗余技术理论

冗余（Redundant）技术，是为保障生产运行的安全性、可靠性而对关键设备或控制手段加若干倍相同的功能或备用的技术。

目前，控制系统的部件级热冗余通常采用并联结构，如图1所示。并联机构的热备用冗余是使若干同样装置并联运行，只有当组成系统的并联装置全部失效时系统才会停止工作。

图1 并联模型

设图1系统中各设备的可靠度分别为R1，R2，…，Rn，则系统的可靠度Rs可以表示为：

假设并联系统由可靠度为0.90的两台装置组成，则该并联系统的可靠度为：

用λ（t）表示设备的故障率，那么单个设备的可靠度可用以下函数表示：

系统的平均故障时间MTBFs为：

系统正常运行期间，设备故障率λ（t）＝λ，所以对MTBFs积分，可得：

则由两个装置组成的并联系统的平均故障时间：

与单装置相比，平均故障时间增长到1.5倍。

2 控制系统冗余技术案例

EDPF－NT＋DCS各个部件的冗余设计，实现了从数据库分配、I/O通道、电源、主控制器、过程控制网络、操作员站、历史站的冗余。该设计已成功地应用在300MW、600MW、1 000MW等各大型火力发电机组中。下面以600MW机组级别的DCS控制系统为例，介绍DCS冗余技术在生产过程中的应用。

2.1 数据库分配

EDPF－NT＋DCS设计中，对设计院提供的I/O测点清单按工艺（功能）子系统进行分类是将I/O测点清单分配到控制器中的至关重要的环节。按照危险分散、功能集中的大原则，将各I/O测点分配到对应控制器的相应卡件中，实现了子系统之间的冗余设计，既满足了机组安全生产的要求，又考虑到现场施工的便利性。表1为某600MW火力发电机组锅炉部分数据库分配原则。

表1中，FSSS为锅炉炉膛安全监控系统（Furance Safety Supervision System），MCS为模拟量控制系统（Modulating Control System），SOE为事件顺序记录系统（Sequence of Event），DPU为分布式处理单元（Distributed Processing Unit）。

表1 某600MW火力发电机组锅炉部分数据库分配原则

2.2 I/O通道的冗余

针对现场特别重要的信号，变送器及输入模块一般采用双冗余或三冗余。例如：汽包水位、主蒸汽温度信号等均采用三冗余，三路信号同时送到相应的控制器，在逻辑回路中将对三路信号进行取中值或取平均值处理，使其更科学、更有效地参与到控制中去。当一路信号异常时，控制回路将自动切除这一信号，而由另两路信号参与控制，在一定程度上提高了信号的准确性，也便于检修人员进行处理。双冗余的变送器在现场也较为常见。同时，卡件的输入输出通道也保证了一定的冗余度，即将其分配到不同的卡件上，这样有效地避免了一块卡件故障而影响整个系统的现象发生。

2.3 电源冗余设计

EDPF－NT＋工程上采用多组电源对系统供电。正常情况下，所有电源共同承担系统供电任务，按照供电能力分担负载。当某一组或几组电源出现故障无法正常工作时，则由其他电源供电。一般根据工程特点分为“单元机组电源柜”和“公用系统电源柜”，前者实现单元机组DCS设备的供电分配，后者实现公用系统DCS设备的供电分配。

2.3.1 单元机组电源

单元机组电源柜入口为两路220V交流电源，一路为UPS电源，另一路为保安电源。电源柜只为DCS设备供电，原则上不允许为非DCS设备供电。

2.3.2 公用系统电源

公用系统电源柜入口为四路220V交流电源，分别作为两台机组的UPS电源和保安段电源。具体做法是：第一台机组UPS电源（主）和第二台机组保安电源（备）切换后作为第一路电源进入公用系统电源柜；第一台机组保安电源（备）和第二台机组UPS电源（主）切换后作为第二路电源进入公用系统电源柜。

2.3.3 控制柜电源

控制柜内部设备采用直流24/48V供电，外部电源在电源柜分配后直接进入控制柜的两个直流电源模块。其中的供电模块内部集成24V直流电源和48V直流电源各一块，两个供电模块的24/48V直流输出采用预制电缆的形式接入中间的配电模块，在配电模块上进行隔离后输出，DPU底座和I/O模块底座的电源为两路独立电源，在外部没有任何联系；机柜风扇和控制器冷却风扇的电源采用双路24V直流隔离后并在一起冗余供电。

2.4 控制器冗余设计

控制器设计采用1∶1冗余热控备份工作方式，由一个主控制电路协调双机的运行，实现状态互检和数据同步，主控制器是整个系统的核心控制单元，完成系统的控制任务；互为冗余的两个控制器软件、硬件完全一致，它们执行同样的系统软件和应用程序，在工作/备用冗余逻辑电路的控制下，其中一个运行在工作状态，另外一个运行在备用状态。冗余技术的关键在于实现信息同步，而信息同步的最终目的是为了实现冗余部件之间的无扰动切换。当运行的控制器出现故障时，该电路可自动隔离故障控制器，并将I/O总线及该站与网络的控制权交给备用控制器。故障状态则立即上报工程师站，显示在LED显示器上，提示维护人员修理。此外也可在操作站上人为干预某过程控制子系统的双机切换，或在过程控制子系统用手动切换。

2.5 操作员站冗余

操作员站是EDPF－NT＋DCS的重要组成部分，是MMI站（Man Machine Interface，指具有人机交互功能的计算机）的一种。在实时监控状态下，操作员通过操作员站实现对生产过程的实时监控。一个系统中可以配置多台操作员站，每台操作员站具有自己独自的运行目录，各站相互独立，互不干扰。

2.6 历史站冗余

历史站在EDPF－NT＋DCS中发挥着极为重要的作用。历史站（Historical Storage and Retrieval Station）作为数据服务器，为其他人机交互设备MMI提供历史数据的检索服务，显示历史趋势曲线，产生报警历史画面，形成运行报表。

工程中配置两台历史站，同时进行历史数据采集，当一台历史站故障时，另一台历史站能保证历史数据采集工作的正常进行。

2.7 网络冗余设计

网络由上位机、DPU、交换机构成。上位机包括工程师站、历史站、操作员站等设备；DPU包括本地DPU（距离与网络柜较近）和远程DPU。网络冗余包括控制器网络冗余、上位机网络冗余、交换机设备冗余，真正实现了当其中一路故障（网卡损坏或出现线路故障）时，另一路自动地承担全部通信负载，保证通信的正常进行。图2为某2×600MW火力发电机组网络结构图。其中，实线表示网线连接，虚线表示光纤连接，A/B交换机指交换机采用A，B两台冗余结构。

3 小结

EDPF－NT＋DCS冗余措施在维持机组安全、稳定方面起到了很大的作用，近年来该技术在国内300 MW～1 000MW机组成功投入运行，表明该技术的 先进性和可靠性。

图2 某2×600MW火力发电机组网络结构图

［1］黄焕炮，潘钢.国产EDPF－NT分散控制系统在600MW～1 000MW级大型火电机组控制中的应用［J］.中国仪器仪表，2009，30（3）：42－45.

［2］黄焕炮，潘钢，曲云.分散控制系统及其应用［M］.北京：中国电力出版社，2013.