独立于DEH系统的三重冗余OPC功能设计

冀树春

(国家能源集团国神技术研究院，陕西 西安 710065)

0 引言

汽轮机发电机是高速旋转设备，其超速限制(overspeed protection control，OPC)系统是防止汽轮机超速、保证发电机组安全运行的重要安全控制系统。OPC系统功能一般包含在数字电液(digital electric hydraulic，DEH)调节系统中。DL/T1055-2007《发电厂汽轮机、水轮机技术监督导则》5.1.19条要求“超速保护限制系统宜与DEH在设计上分开，采用独立的硬件和软件实现”[1]；DL/T338-2010《并网运行汽轮机调节系统技术监督导则》5.8条要求“为防止汽轮机超速应设计OPC功能，快速关闭调节汽门而机组不停机，并采用独立的软件和硬件实现”[2]。由此可见，汽轮机OPC系统应独立于DEH系统。独立的OPC系统主要是指OPC控制应不完全依赖于DEH系统的硬件和软件，且不能与DEH系统集成的OPC系统功能相冲突。所以，研究一种采用通用紧急停机装置(emergency stop device，ESD)设计的OPC系统装置非常必要。它既能弥补DEH系统没有独立硬件的OPC系统装置缺点，又能满足相关技术监督标准规程导则等要求，使汽轮发电机运行更安全、可靠。

1 OPC系统的相关概念

DL/T996-2006《火力发电厂汽轮机电液控制系统技术条件》5.3.1.1条，规定了汽轮机的OPC系统的四个功能。

①转速达到103%额定转速(overspeed protection，OS)。

②负荷大于30%(再热机组)、发电机解列(load drop anticipator，LDA)。

③汽机转子加速度大于或等于设定值(acceleration overspeed protection，ACC )。

④汽轮机机械功率与发电机有功功率不平衡(power load unbalance，PLU)。

DL/T996-2006的5.3.1.2条和5.3.1.3条指出，前两项为OPC系统的基本条件，后两项为可选条件。ACC和PLU既可作为超速限制条件，又可作为阀门快控(fast valve action，FVA)的判断依据[3]。

1.1 OPC系统的OS功能

DL/T996-2006的8.10.3条指出：“当机组转速达到103%额定转速时,OPC电磁阀动作，关闭调速汽门，负荷给定自动置零，系统切为转速控制。当机组转速低于102%额定转速时，OPC电磁阀恢复，维持机组在额定转速3 000 r/min下运行”[3]。也就是说，OPC系统OS功能的动作转速为3 090 r/min，恢复转速为3 060 r/min，死区为30 r/min。当DEH系统正常时，则DEH系统切换为转速控制。

1.2 OPC系统的LDA功能

DL/T996-2006的8.10.2条指出：“当汽轮机负荷大于30%额定负荷(再热机组)、并确认发电机出口开关跳闸时，OPC电磁阀动作，关闭调速汽门；负荷给定自动置零，系统切为转速控制；OPC电磁阀延时恢复，维持机组在额定转速3 000 r/min下稳定运行”[3]。也就是说，LDA功能需要同时满足“汽轮机负荷大于30%的信号”与“发电机解列信号”两个条件。LDA动作信号为脉冲信号，调速汽门关闭后，系统切为转速控制。根据转速再控制调速汽门开度，维持机组在额定转速3 000 r/min。

1.3 OPC系统的ACC功能

DL/T996-2006的8.10.4条指出:“当汽机转子加速度大于或等于设定值、并确认发电机出口开关在合闸状态时，OPC电磁阀动作，迅速关闭中压调节汽门(或高中压调节汽门)，实现阀门快控FVA，OPC电磁阀延时恢复开启调节汽门，接带负荷”；“当发电机出口开关跳闸时，迅速关闭高、中压调节汽门，OPC电磁阀延时恢复，维持汽机在3 000 r/min下稳定运行”[3]。

也就是说，ACC功能分为机组并网和解列两种情况。机组并网情况的动作，称作FVA。FVA功能的投入以及相关定值，按照DL/T338-2010的5.6条“应根据电网要求及机组本身实际情况决定调节汽门是否具有快控FVA功能”[2]，但其不影响OPC系统的硬件选型。机组解列情况下的ACC功能，与LDA功能大同小异，ACC的动作信号同样为脉冲信号。

1.4 OPC系统的PLU功能

DL/T996-2006的8.10.5条指出：“当汽轮机机械功率与发电机有功功率不平衡、并确认发电机出口开关在合闸状态时，OPC电磁阀动作，迅速关闭中压调节汽门(或高、中压调节汽门)，实现阀门快控FVA，OPC电磁阀延时恢复开启调节汽门，接带负荷”；“当发电机出口开关跳闸时，迅速关闭高、中压调节汽门，OPC电磁阀延时恢复，维持机组在3 000 r/min下稳定运行”；“非再热机组可采用调节级后压力代表汽轮机机械功率，中间再热机组可采用中压调节汽门后压力代表汽轮机机械功率”[3]。

由此可知，PLU的动作逻辑与ACC功能基本一致，也同样分为并网情况下FVA和非并网情况下的OPC两种。同样，无论采用哪个参数代表机械功率，都不影响OPC系统的硬件选型。

2 独立OPC系统参数分析

2.1 OPC系统I/O信号设计分析

由第1节可知，按照《防止电力生产事故的二十五项重点要求》(国能安全[2014]161号)以及DL/T1055-2007、DL/T338-2010、DL/T996-2006等相关标准规程导则冗余配置要求，采用“3取2”独立取源、冗余配置的原则，OPC系统主要输入信号至少应该设计如下。

①转速信号，3个脉冲量。

②机械功率信号，3个模拟量。

③发电机有功功率信号，3个模拟量。

④发电机解列或并网信号，3个开关量，并分别对应反馈至DEH、联关伺服卡、报警、事故记忆事件顺序记录(sequence of event,SOE)系统。

⑤超速试验(OS解除或投入)信号，1个开关量。

⑥LDA解除或投入信号，1个开关量。

⑦ACC解除或投入信号，1个开关量。

⑧PLU除或投入信号，1个开关量。

OPC系统主要输出信号应该设计如下。

①OPC动作反馈至DEH系统信号，3个开关量。

②OPC动作表决信号或动作信号，单通道3个开关量；如采用双通道冗余设计，则6个开关量。

③OPC动作报警信号，1个开关量，并分别反馈至DEH、DCS、SOE。

如采用安全完整性等级符合SIL3标准的装置，由于其I/O取样和电源互相独立，不允许互联共用信号，还需增加相应信号I/O点。

2.2 OPC系统软件功能逻辑算法设计

同样，由第1节可知，OPC系统装置的软件应至少支持“与(and)”、“或(or)”、“非(no)”、“异或(xor)”等逻辑运算，支持“三重冗余(TMR)”、“阀值检测(Threshold detection)”、“延时(delay)”、“脉冲(pulse)”等软件逻辑，支持“加(+)”、“减(-)”、“折线函数[f(x)]”等数学运算；同时，还需支持转速测量和加速度计算，并满足输入频率信号范围的算法要求。

2.3 OPC系统可靠性要求

独立的OPC系统装置，作为DEH系统的OPC逻辑功能的后备手段，必须具有高稳定性、高可靠性，且至少应满足双路电源输入、输入通道隔离和输出通道隔离、容错技术、性能检测和预警、故障和检测诊断、故障报警及屏蔽技术等要求。

2.4 OPC系统实时性要求

OPC动作响应时间应满足DL/T996-2006的6.8条“对于超速保护跳闸( overspeed protection trip，OPT)和超速限制OPC无专用模件的系统。为满足超速保护OPT和超速限制OPC的响应速度，宜采用独立的控制器，其工作周期应不大于20 ms”[3]。DL/T656-2016《火力发电厂汽轮机控制及保护系统验收测试规程》5.10.3条“对于无专用模件完成超速保护跳闸OPT和超速保护控制OPC功能的系统，宜采用独立的控制器，其处理周期不应大于20 ms”的要求[4]。同时，OPC动作的响应时间应满足GB/T30372-2013《火力发电厂分散控制系统验收导则》5.9.3条“采用硬件的OPC动作回路的响应时间应不大于20 ms，采用软件系统的OPC处理周期应不大于50 ms”的要求[5]。

因此，作为通用的OPC系统，采用软件处理器完成OPC功能比较合适，软件处理器可方便地通过组态适应任何机组情况。而选择OPC处理器硬件的扫描周期应小于20 ms，处理周期不应大于50 ms。

3 独立OPC系统设计

OPC系统首先要硬件可靠，其次I/O配置和软件功能、扫描周期等要满足特定OPC系统需要。针对OPC系统的通用要求，以Woodward公司的数学增加型超速保护系统(total protection system，TPS)装置为例进行设计。

3.1 OPC系统硬件选型可靠性设计

Woodward公司的数学增加型TPS为满足安全仪表IEC61508 SIL3标准的ESD装置[6]，常用于小型机械的紧急停机系统。该装置具有三个冗余的独立模块，支持三重冗余(triple modular redundant，TMR)的三重表决逻辑；每个模块支持“两路高压交流电源”或“一路高压交流、一路低压直流电源”；支持IRIG-B格式的时间同步信号；支持内部I/O电源；支持转速6～32 kHz信号，精度±0.04%，加速度精度±1%；支持转速通道寻循环测试。该装置I/O检测卡件电源独立。

3.2 OPC系统I/O模件配置设计

Woodwar的TPS系统每个模块可提供1个转速专用输入通道，13个AI/DI通用输入通道(其中10个通道可组态)，5个固态继电器输出通道(其中3个通道可组态)，1个模拟量输出通道；支持模件内、模件间三重冗余逻辑[7]。对于OPC系统装置应用设计，根据2.1节的I/O信号参数分析结果，该OPC系统装置的I/O信号及模块预分配如表1所示。

表1 OPC系统的I/O信号及模块预分配表

由表1可知：转速和负荷合用一块模件1，发电机解列信号每块输入模件的一个输入信号对应四个输出信号给DEH系统、关联伺服卡、报警、SOE。

3.3 OPC系统软件功能设计

采用增强型TPS，其处理器必须具有较强的数学运算能力，至少需要支持的逻辑、数学等运算类型和相应数量。OPC的TPS软件算法模块数量如表2所示。其中，转速信号和加速度信号三重冗余是共享冗余，其他模拟量信号可在其模块内冗余、也可共享冗余。OPC系统装置支持事件记录功能，包括超速和加速度事件、跳闸事件、报警事件、自定义的其他事件等信息。

表2 OPC的TPS软件算法模块数量

3.4 OPC系统响应时间设计

OPC系统响应时间应在4～19 ms之间。这是因为具体响应时间取决于是否应用三取二表决逻辑、转速信号频率和设定点，以及是否应用转速三重冗余管理模块等因素。在满足OPC系统技术指标的相关标准规范下，采用三取二表决逻辑和转速三重冗余管理模块设计。

3.5 独立OPC系统逻辑设计

在无独立OPC系统装置的DEH系统中，增加独立OPC保护功能。其逻辑回路应与DEH系统的OPC软件逻辑保持一致，这里不赘述。其中，ACC和PLU功能采用转速和额定转速的偏差，与转子加速度值、负荷偏差值联合作用的方法实现，即ACC、PLU保护的设定值按照转速和额定转速的偏差修正OPC动作设定值，以便更好地预防汽轮机超速，并防止该超速保护误动。

转速信号、负荷信号、功率信号可采用共享三重冗余逻辑，也可采用单一逻辑和三重冗余表决模块的形式。对于发电机解列(并网)信号，每个模块引入三个信号后三重冗余，也可每个模块各引入一个信号，采用共享冗余的方式。本设计采用转速信号、负荷信号共享三重冗余逻辑，解列(并网)信号采用1个模块各引入一个信号的共享冗余方式，形成共享三重冗余、双道通跳闸回路OPC系统装置。

按照TPS装置的手册，对于表决模块，采用共享或非共享三重冗余模块后的转速、转子加速度、负荷和功率信号，进行OPC逻辑运算的系统，可以不配置三重冗余表决模块。该OPC系统采用共享三重冗余表决模块设计。

Woodwar增强型TPS系统逻辑组态采用填表形式，首先画出逻辑图并为相关模块编号；然后按照逻辑图顺序填入相关功能中相应序号模块的输入、输出和参数。如果配置了图形组态软工具(graphical configuration software tools，GCT)[7]，则可采用图形化组态软件进行逻辑功能状态，下装到相应模块中。

3.6 独立OPC系统示意图

采用内部表决模块的共享三重冗余、双道通跳闸OPC系统设计[8]如图1所示。如果OPC电磁阀采用直流电源，则跳闸回路需要正、负极同时切断。另外，可以选用不带表决模块的TPS装置，通过另外配置两个三重冗余表决模块(三个输入、三个以上输出)实现。每个表决模块有两个输出：一个用于控制OPC电磁阀，另一个作为硬件逻辑联锁使伺服卡输出到零。而反馈至DEH逻辑的OPC动作信号，也可以采用其他可编程输出串联后实现。

图1 OPC系统设计示意图

外部配置三重冗余表决模块时，宜选用固态继电器输出，以保证OPC系统响应时间符合要求。如果表决模块需要电源，应配置为双电源输入。三重冗余表决模块[9]如图2所示。该模块具有两路24 VDC输入，三路独立的表决信号输入，三路表决输入信号的反馈，三路独立的固态继电器表决输出。

图2 三重冗余表决模块示意图

4 独立OPC系统可靠性分析

对第3节设计的独立OPC系统可靠性进行初步定量分析。独立OPC系统可靠性是指系统在规定条件下和规定时间内完成规定功能的能力。可靠性是定性的概念，在实际工作中往往用可靠度来定量地具体表现可靠性的高低。而可靠度是系统在初始时刻(t=0)时可靠度为1的条件下，在0～t时间内正常工作的概率，用R(t)表示[10]。设n个模块组成的串联系统的可靠度Rc(t)为：

(1)

设n个模块组成的并联系统可靠度Rb(t)为：

(2)

如图1所示，由串联单元、并联单元组合而成的混合逻辑结构的三重冗余输入、两重冗余表决、双道通跳闸的独立OPC系统，可靠性度计算如下。

假设输入模块、输出模块的可靠度相同，设为Rio(t)，三重冗余表决可靠度为Rv(t)，双道通跳闸可靠度为Rz(t)。由图1可知，独立OPC系统的可靠度由输入部分、主控三重冗余表决部分和输出部分串联形成，则输入部分的可靠度Rin(t)由式(2)可得：

Rin(t)=1-[1-Rio(t)]3

主控两个三重冗余表决部分的可靠度Rmc(t)由式(2)可得：

Rmc(t)=1-[1-Rv(t)]2

因为输出部分由两个输出模块控制双道通跳闸回路组成，所以输出部分的可靠度Rout(t)由式(1)、式(2)可得：

Rout(t)=[1-(1-Rio(t)]2[1-(1-Rz(t)]2

独立OPC系统的总可靠性度R(t)为：

R(t)=Rin(t)Rmc(t)Rout(t)

(3)

每个输入模块、输出模块、三重冗余表决块、双道通跳闸回路等部分的可靠性都是概率事件，无精确数据。但在方案比较中，可以采用可靠性评估中的估算数据进行理论分析。假如设计的该独立OPC系统的输入/输出I/O模块可靠度Rio(t)为0.990，三重冗余表决可靠度Rv(t)为0.998，双道通跳闸可靠度Rz(t)为0.995，通过式(3)计算该独立OPC系统的可靠度为：

R(t)=0.999 87

(4)

如果不采用冗余设计，则由输入/输出模块、三重冗余表决块和单跳闸回路串联组成的OPC系统的可靠度Rd(t)为：

Rd(t)=[Rio(t)]2Rv(t)Rz(t)=0.977

(5)

由式(4)、式(5)可见，在相同硬件及其可靠性估值环境下，设计的三重冗余OPC系统比单模回路OPC系统可靠性大幅提高。

5 结束语

通过对OPC保护功能和技术参数及配置的相关行业标准规范条款的阐述，确认了研究和设计DEH系统的独立硬件OPC保护装置的必要性。开展OPC系统的功能完整性、保护动作的及时性和准确性、保护的冗余和容错性等技术层面的研究，选用Woodward公司的满足安全仪表IEC 61508 SIL3标准的数学增加型ESD装置和通用三重冗余表决模块，进行独立于DEH系统的硬件OPC系统装置设计。分析评估研究成果证明，独立于DEH系统的三重冗余OPC系统装置比独立于DEH系统的单回路OPC系统装置可靠性高。所以，研究、设计的该OPC系统装置，可以弥补没有独立硬件OPC功能的DEH系统的不足，满足相关国家标准、行业规程规范要求，使汽轮发电机的保护控制更完善和可靠。另外，由于个别标准、规程、导则对汽轮机OPC保护功能的逻辑回路要求条款不统一，加上不同专业人员对汽轮机OPC保护功能相关规程条款理解程度及角度不同，使电站关于OPC保护的设计在每个工程中也不尽相同。该OPC保护装置系统的设计对于规范热控设计也有着重要意义。