主油箱液位低保护逻辑设计缺陷，导致机组跳闸！
一、 事件经过
2018年某月19日9时35分，2号机组负荷281MW，主蒸汽流量868t/h，主蒸汽压力19.8MPa，主蒸汽温度567℃，再热汽温度565℃；主给水流量835t/h，2A、2B汽动给水泵运行；总燃料量132t/h，2B、2C、2D、2E磨煤机运行。2号机主机油箱油位分别为油位1为-148.78mm、油位2为-145.84mm、油位3为750mm系统判断为坏点（运行值班人员在8时13分发现缺陷并登陆在缺陷系统）。9时35分23秒运行人员发现2号机组跳闸，锅炉MFT，发变组解列；ETS首出为：DEH跳闸，检查DEH保护动作首出为：主油箱油位低跳闸。机组动作曲线见图1：
图1 机组动作曲线
二、原因分析
1. 事件原因检查
1）就地检查2号机主油箱导波雷达液位计3表头显示“*Status* EOP High”故障（见图2），联系厂家到厂进行检测，未发现具体原因，已发往原厂进行全面检测分析。
图2 主油箱导波雷达液位计3故障显示
2）检查历史趋势，主油箱油位低保护动作时液位1和液位2显示正常，没有出现跳变现象，液位3由750mm跳变至-826mm又变为-597mm,见图3。
图3 机组停机过程中相关测点历史曲线
3）逻辑检查：主油箱液位保护逻辑和模拟量三取二MSL3SEL2封装块逻辑见图4。（MSL3SEL2封装块实现功能：三个测点均好，三取二；一个测点坏，另两个测点二取一；两个测点坏，另一个测点一取一；三个坏质量保护不动作）该MSL3SEL2封装块说明显示“2011年7月8日版本，数据流排序已完成”。查2011、2013、2015年DCS系统备份文件，该封装块逻辑和数据流与当前所用相同。
图4 主油箱液位保护逻辑和MSL3SEL2封装块原逻辑
检查发现封装逻辑算法块存在时序问题。封装逻辑的3个中间变量（图四红色方框内）执行顺序号分别为0、1、2，任一坏质量算法块“OR”执行顺序号为18，存在时序问题。正确的执行顺序号应将3个中间变量及“OR”算法块的执行顺序分配在现有的21-24号之间。按现有算法顺序，当测点3超量程坏质量后,“OR”块会输出“1”；当测点3恢复正常且超限保护动作时，由于“OR”先执行，质量判断在后，输出并不会被及时更新为“0”，仍会保持上一个扫描周期的结果“1”。当21、23等算法正常输出“1”时，坏质量闭锁功能会失效，造成保护误动。
2.模拟试验
发现封装块内部数据流顺序有问题后，对封装块进行模拟试验，确认当单个液位由高低限外的液位值跳变至高低限内并且跳变至保护动作设定值-580mm以下时，该保护会动作。对现有封装块内部数据流顺序和正确排序的数据流进行了模拟对比试验，试验情况如图5、图6所示。为进一步探究数据流产生错误的原因，对系统的“按数据流排序”功能进行了对比试验，试验结果如图5、图6所示。
1）模拟试验一：
验证现有算法执行顺序（异常时）保护动作规律。
图5-1 模拟测点正常状态，功能正常
图5-2模拟-800mm工况状态，坏质量闭锁功能正常
图5-3模拟-800mm跳变至-597mm工况状态，坏质量闭锁功能异常
结论：原逻辑内部数据流的执行顺序在此次异常测量情况下会发出保护动作信号，坏质量闭锁功能会出现异常。
2）模拟试验二：
验证改进后的算法执行顺序（正常时）保护动作规律。
图6-1 模拟测点正常状态，功能正常
图6-2 模拟-800mm工况状态，坏质量闭锁功能正常
图6-3模拟-800mm跳变至-597mm工况状态，坏质量闭锁功能正常
模拟试验二结论：正确的数据流在此次异常工况下不会导致保护误动，坏质量闭锁功能均正常。
3）模拟试验三：
对原封装块进行“按数据流排序”(此功能为和利时DCS系统自带功能)，排序结果如图24，进行试验发现仍会导致保护信号误发。分析后发现：封装块内的中间变量（图7红色框内）可能造成数据流排序功能异常。虽然3个中间变量序号正确，但17号“OR”块（图7蓝色框内）序号分配小于测点3的坏质量判断算法块，仍会造成坏质量闭锁功能失效。
图7 按数据流排序后的封装块逻辑图，含中间变量
4）模拟试验四：
将封装块内的中间变量删除，对原封装块进行“按数据流排序”，排序结果如图8，算法序号分配正常，进行试验后未出现保护信号误发现象。
图8 按数据流排序后的封装块逻辑图，不含中间变量
试验总结论：（1）当测点从坏质量恢复到好点时，若同时触发保护动作，数据流异常会造成坏质量闭锁功能失效，导致保护误动。（2）当系统封装块中存在中间变量时，数据流排序功能并不能保证序号分配完全正确，需进行人工复查和试验确认。
3. 事件原因分析:
根据上述检查分析，2号机主油箱液位低保护逻辑中三取二MSL3SEL2封装块设计存在缺陷，当主油箱液位3测点信号发生跳变，液位3测点由-826mm跳变至-597mm（液位低定值为-580mm），MSL3SEL2封装块内部数据流计算顺序错误，信号误发，导致机组跳机。
4. 暴露问题:
1）热控人员隐患排查不彻底，2号机组DCS逻辑MSL3SEL2封装块存在设计缺陷，从基建期到机组运行至今未发现潜在的隐患。
2）热控专业重要保护参数检测装置可靠性差，投入运行2年左右便出现测量异常的问题。
3）热控管理提升工作开展不扎实，控制逻辑内部隐患排查工作不细致。
4）热控人员技术水平欠缺，对重要保护的逻辑设计认识不足，在增加2号机组主油箱液位低保护时直接引用原有的封装块，未模拟全部异常情况进行逻辑验证，未考虑增加跳闸延时信号防范测点的测量异常导致的误动作。
5）热控人员对机组重要保护测点出现问题后重视程度不够，2号机主油箱液位3测点出现问题后未及时采取安全措施进行消缺工作。
三、防范措施
1. 讨论修改1、2号机组汽轮机主油箱油位低保护逻辑，增加延时模块，适当增加延时时间，防止出现时序问题或油位测点测量异常导致信号误发。
2. 排查全厂DCS系统，对MSL3SEL2封装块及相关类型的封装块使用情况进行排查，并根据排查情况采取防误动措施；利用停机机会进行改装，重新梳理内部数据流问题，确保数据流排列正确。
3. 全面排查此型号液位计的测量使用问题，对发现问题的液位计及时进行检查更换。
4. 加强热控人员技术培训工作，强化分析问题和处理问题的能力。重点对机组重要的保护自动逻辑进行讲解培训，提高班组人员对重要保护逻辑排查问题、解决问题的能力。
5. 加强对重要信号故障或重要参数测量异常时消缺工作的管理，保证出现异常时，能及时消除缺陷或制定可靠的安全措施
编辑：兰陵王