雷躍強(qiáng),孫 萱,張 琪
(中國石油寧夏石化公司,銀川 750026)
爐膛安全監(jiān)控系統(tǒng)研究及實(shí)現(xiàn)
雷躍強(qiáng),孫 萱,張 琪
(中國石油寧夏石化公司,銀川 750026)
根據(jù)IEC61511和IEC61508規(guī)范,開發(fā)一種基于三重化的容錯(cuò)系統(tǒng)的爐膛安全監(jiān)控系統(tǒng)(FSSS),對提高安全生產(chǎn)有十分重要的意義,重點(diǎn)針對集成過程中外圍設(shè)備的設(shè)計(jì)考慮和程序的開發(fā)進(jìn)行論述。對原系統(tǒng)進(jìn)行改造之前,必須先確定總體方案,根據(jù)目前安全儀表系統(tǒng)發(fā)展的現(xiàn)狀和設(shè)備的實(shí)際狀況提出系統(tǒng)需要達(dá)到的性能指標(biāo),論證采用何種技術(shù)路線,并確定適當(dāng)?shù)挠布脚_,通過合理的硬件集成達(dá)到安全性能。針對復(fù)雜工藝,軟件開發(fā)過程中要定義好鍋爐運(yùn)行的各種工況,再開發(fā)相應(yīng)的吹掃邏輯、點(diǎn)火邏輯、安全停車邏輯。只有硬件和軟件合理、規(guī)范,整個(gè)系統(tǒng)才能達(dá)到期望的安全性和可靠性。
爐膛安全監(jiān)控系統(tǒng);安全性能;三重化;邏輯
隨著中國的經(jīng)濟(jì)發(fā)展,煤炭逐漸變?yōu)榫o缺資源,煤質(zhì)成為制約鍋爐安全運(yùn)行的重要因素,常常因?yàn)槊禾拷M分突然變化造成鍋爐滅火,在開車、停車或負(fù)荷變動(dòng)過程中,也容易因?yàn)槿剂狭颗c風(fēng)量控制不當(dāng)造成鍋爐突然熄火,此時(shí)若繼續(xù)讓燃料進(jìn)入爐膛,由于爐膛內(nèi)部溫度仍然很高,燃料有可能瞬間爆燃,造成鍋爐嚴(yán)重?fù)p壞,甚至造成人員傷亡,所以大型鍋爐必須采用鍋爐爐膛安全監(jiān)控系統(tǒng)(FSSS)進(jìn)行安全保護(hù)。
早期的 FSSS都是基于普通的 PLC集成的,安全等級沒有經(jīng)過認(rèn)證,設(shè)計(jì)也沒有依據(jù)相應(yīng)的規(guī)范,所以其可靠性沒有保證。隨著對安全生產(chǎn)更嚴(yán)格的要求,國際電工委員會(huì)發(fā)布了 IEC61511和IEC61508標(biāo)準(zhǔn),中國也發(fā)布類似的規(guī)范,根據(jù)新的規(guī)范對原系統(tǒng)進(jìn)行改造,開發(fā)一種基于三重化容錯(cuò)系統(tǒng) TMR(Triplex ModularRedundancy)的FSSS,對提高安全生產(chǎn)有十分重要的意義,該文以220 t/h鍋爐為實(shí)例介紹基于 TMR的FSSS的開發(fā)。重點(diǎn)針對集成過程中外圍設(shè)備的設(shè)計(jì)考慮和程序的開發(fā)進(jìn)行論述。
寧夏石化公司二化肥高壓鍋爐 FSSS由 GE Fanuc90-30雙冗余系統(tǒng)構(gòu)成。該系統(tǒng)配置了2臺CPU,通過Genius總線實(shí)現(xiàn)熱備冗余,并且配置了1臺遠(yuǎn)程 I/O的CPU。但從安全功能的角度看,該系統(tǒng)存在以下問題。
a)CPU沒有實(shí)現(xiàn)真正的冗余。由于采用遠(yuǎn)程I/O結(jié)構(gòu)的冗余系統(tǒng),有1臺遠(yuǎn)程CPU沒有冗余,當(dāng)該CPU故障時(shí),整個(gè)系統(tǒng)失效。另外 I/O卡件也沒有冗余。
b)程序做了加密處理。由于沒有注釋,當(dāng)出現(xiàn)故障時(shí)無法通過邏輯圖分析內(nèi)、外部故障,使系統(tǒng)的故障維修時(shí)間沒有保證。
c)系統(tǒng)的文檔不全。文檔不全導(dǎo)致維護(hù)操作過程中出現(xiàn)錯(cuò)誤的幾率增大,影響了設(shè)備的本質(zhì)安全。
與一般控制系統(tǒng)不同,SIS在許多方面提出了新的要求,影響最大的有:失效模式、自診斷功能、共因失效、維修狀況。對原系統(tǒng)進(jìn)行改造之前必須先確定總體方案,根據(jù)當(dāng)今SIS發(fā)展的現(xiàn)狀和設(shè)備的實(shí)際狀況提出系統(tǒng)需要達(dá)到的性能指標(biāo),論證采用何種技術(shù)路線,并確定適當(dāng)?shù)挠布脚_,通過合理的硬件集成達(dá)到安全性能[1]。
2.1 硬件平臺的選擇和相關(guān)性能考慮
2.1.1 系統(tǒng)的容錯(cuò)類型
系統(tǒng)有兩種容錯(cuò)類型:軟件容錯(cuò)(SIFT)和硬件容錯(cuò)(HIFT)。HIFT是指通過硬件電路來實(shí)現(xiàn)故障的檢測和冗余管理功能,與之相對,SIFT是通過復(fù)雜的軟件算法在SIS中實(shí)現(xiàn)容錯(cuò)。HIFT和 SIFT最基本的區(qū)別就是為實(shí)現(xiàn)容錯(cuò)而需要的軟件復(fù)雜程度不一樣。只有軟件的作用得到了限制,才能提高安全水平。所以相對而言硬件實(shí)現(xiàn)系統(tǒng)容錯(cuò)更加可靠,另外,HIFT可減少處理器的工作負(fù)荷,使控制功能速度更快,可靠性更高[2]。
2.1.2 TMR
TMR系統(tǒng)中,所有重要電路都實(shí)現(xiàn)三重化,三重化的每個(gè)部分是獨(dú)立的,但三個(gè)部分的功能又完全相同。三重化電路的輸出信號在成為系統(tǒng)輸出之前,經(jīng)過一個(gè)“三選二”的表決芯片。當(dāng)三個(gè)電路中有一路發(fā)生故障從而輸出錯(cuò)誤信號,經(jīng)過“三選二”表決后該錯(cuò)誤信號被屏蔽掉,系統(tǒng)仍然輸出正確的信號。系統(tǒng)不會(huì)因?yàn)閮?nèi)部故障而對過程產(chǎn)生影響,所以對安全系統(tǒng),配置TMR技術(shù)是必須的。
2.1.3 系統(tǒng)體系結(jié)構(gòu)的選擇
SIS目前存在以下幾種體系結(jié)構(gòu):
“二選一”體系結(jié)構(gòu)(1oo2),“二選二”體系結(jié)構(gòu)(2oo2),帶診斷的“二選一”體系結(jié)構(gòu)(1oo2D),帶診斷的“四選二”體系結(jié)構(gòu)(2oo4D),帶診斷的“三選二”體系結(jié)構(gòu)(2oo3D)。
如果能夠?qū)崿F(xiàn)4-3-2-0降級模式,2oo4D結(jié)構(gòu)是可靠性最高的一種方式,但在實(shí)踐中,一般將其做成4-2-0降級模式[3],如圖1所示,當(dāng)Watchdog模件出故障時(shí)很容易降級為雙冗余。而 TMR結(jié)構(gòu)很容易設(shè)計(jì)成3-2-0模式或3-2-1-0降級模式。
圖1 四重化技術(shù)結(jié)構(gòu)示意
2.1.4 模件在線更換
在線更換是在不中斷系統(tǒng)正常運(yùn)行的條件下,對故障模塊進(jìn)行維護(hù)的手段。TMR技術(shù)最大的優(yōu)勢就是能夠及時(shí)發(fā)現(xiàn)故障,并實(shí)施在線修復(fù)或模塊在線更換。
2.2 TMR硬件平臺的集成
TMR硬件平臺的集成和普通PLC的集成類似,但由于在冗余性能上的嚴(yán)格要求,所以在細(xì)節(jié)上應(yīng)該堅(jiān)決避免留下安全瓶頸。該系統(tǒng)在集成過程中做了以下幾點(diǎn)改進(jìn),使系統(tǒng)的安全性能大大提高。
2.2.1 動(dòng)力源的改造
2.2.1.1 電源的設(shè)計(jì)
目前的工程設(shè)計(jì)中,一般采用1臺UPS,2路供電的模式,PLC的CPU電源采用220 V,二次電源通過機(jī)柜內(nèi)部的24 V開關(guān)電源獲得,這種配置缺點(diǎn)為UPS常常成為供電中的最薄弱環(huán)節(jié);UPS的逆變器將24 V變?yōu)?20 V,在機(jī)柜內(nèi)部又變?yōu)?4 V,增加了故障率和能耗。
此次改造對電源系統(tǒng)做了較大改進(jìn)。因?yàn)?4 V電源比220 V交流有更好的電磁兼容性,電磁干擾更小,運(yùn)行更穩(wěn)定,因此配電間采用冗余直流屏提供2路24 V電源,CPU的2路電源分別來自獨(dú)立的直流電源,所以選擇了輸入電源為24 V的機(jī)架,如圖2所示,這樣使供電更加簡潔可靠。夠獲得較好的抗干擾性能和防雷擊性能[4]。
圖3 雙電磁閥雙卡件配置
圖2 安全儀表系統(tǒng)的配置方式
2.2.3 系統(tǒng)接線的考慮
接線也是故障頻發(fā)的部分,接線設(shè)計(jì)和集成過程中應(yīng)杜絕多回路采用同一公共線;進(jìn)入電機(jī)控制中心的回路必須經(jīng)過繼電器隔離;線型規(guī)范化,采用相對呼應(yīng)法接線,可以在很大程度上避免由于接線沒有確認(rèn)清楚導(dǎo)致的操作錯(cuò)誤。
由于原系統(tǒng)資料不完善,現(xiàn)存邏輯圖與實(shí)際運(yùn)行的邏輯存在差異,且程序沒有注解,程序中的中間變量非常多,從而導(dǎo)致解讀程序非常困難,因此必須對FSSS的應(yīng)用程序進(jìn)行重新開發(fā)。
3.1 應(yīng)用程序的結(jié)構(gòu)
該裝置的燃料有煤和天然氣兩種,其工作狀況可以分為氣專燒、煤氣混燒、煤專燒三種情況,邏輯結(jié)構(gòu)分為三部分:吹掃邏輯——空氣吹掃邏輯和燃?xì)夤艿来祾哌壿?點(diǎn)火邏輯——點(diǎn)火邏輯實(shí)際上是一個(gè)順序控制程序,該鍋爐有煤層4層,氣層3層,每一層都有火焰檢測裝置(火檢),而點(diǎn)火邏輯和火檢邏輯緊密聯(lián)系;安全停車邏輯——安全停車邏輯又分為主燃料跳閘邏輯(MFT)和氣體燃料跳閘邏輯(GFT)。由于三種工況對應(yīng)三部分邏輯,相互交叉,導(dǎo)致邏輯比較復(fù)雜。
3.2 三種工況的定義
由于不同工況的邏輯不同,所以必須在邏輯中判斷出不同的工況。
煤專燒:給煤機(jī)運(yùn)行且所有氣支閥關(guān)閉。
氣專燒:給煤機(jī)未運(yùn)行,即鍋爐未燒煤的情況,同時(shí)燃?xì)饪傞y開并且任一角的燃?xì)忾y未關(guān)。
煤氣混燒:給煤機(jī)運(yùn)行,氣總閥全開且任一氣支閥未關(guān)。
2.2.1.2 氣 源
石油化工裝置由于現(xiàn)場存在易燃易爆物質(zhì),所以現(xiàn)場執(zhí)行元件通常使用壓縮空氣作為動(dòng)力源。然而氣源的質(zhì)量對執(zhí)行元件的影響非常大,如果空氣壓縮機(jī)為往復(fù)式,壓縮空氣中不可避免地會(huì)帶油污,氣動(dòng)元件的故障率會(huì)明顯升高。該裝置的空氣壓縮機(jī)出口配置1臺干燥器,露點(diǎn)在-50℃以下,另外,壓縮空氣的管網(wǎng)和另一套裝置的儀表空氣互連,此裝置也配置了1臺離心式壓縮機(jī),2臺壓縮機(jī)一用一備,并且配備了自啟動(dòng)聯(lián)鎖,當(dāng)儀表空氣的壓力下降時(shí)備用壓縮機(jī)自啟動(dòng),這些措施使氣源故障的概率降至非常低的水平。
圖3雙通道雙電磁閥配置,這種模式下2路供電完全獨(dú)立,但集成過程中必須注意2路繼電器的供電和電磁閥的供電應(yīng)避免交叉,否則安全性能將大幅度降低。
2.2.2 系統(tǒng)接地模式的選擇
原系統(tǒng)采用2臺24 V直流開關(guān)電源,電源的負(fù)極沒有接入大地,形成所謂的浮空地,將儀表的工作接地和電工接地網(wǎng)連接起來,形成等電位連接。由于石化裝置的設(shè)備一般都接入均壓等電位接地網(wǎng),所以整個(gè)裝置的地電位相等,這種方式能
3.3 爐膛內(nèi)部火焰狀態(tài)的定義
全爐膛無火。MFT復(fù)位狀態(tài)下,若8支煤火檢中檢到火檢數(shù)不大于1,8支煤火檢和8支氣火檢中檢到火檢數(shù)不大于2時(shí)且8支氣火檢中全部檢不到火,三個(gè)條件的與為1,此時(shí)MFT復(fù)位,且G1-AF_BYP氣層一模擬火焰旁路開關(guān)不在旁路則會(huì)產(chǎn)生聯(lián)鎖動(dòng)作。
全爐膛火焰喪失分以下兩種情況討論:
煤專燒情況。煤火焰喪失,即8支煤火檢中檢到火的火檢數(shù)不大于時(shí)則認(rèn)為煤專燒火焰喪失。
煤氣混燒情況。若8支煤火檢和8支氣火檢中檢到火的火檢數(shù)不大于2時(shí)則認(rèn)為煤氣混燒火焰喪失。在氣專燒的情況下,檢測不到火焰將造成GFT動(dòng)作,所以在此不用考慮。
3.4 吹掃邏輯
吹掃邏輯分爐膛吹掃邏輯和氮?dú)獯祾哌壿嫛?/p>
爐膛吹掃邏輯。鍋爐點(diǎn)火前必須對爐膛進(jìn)行吹掃,以稀釋或吹盡爐膛內(nèi)可能存在的可燃物,防止點(diǎn)火前爆燃,吹掃前和吹掃過程中必須滿足一定的條件。
氮?dú)獯祾哌壿嫛榱朔乐谷細(xì)夤艿纼?nèi)部的可燃?xì)膺M(jìn)入爆炸極限,在進(jìn)氣前和停車后都要用氮?dú)鈱θ細(xì)夤芫€進(jìn)行吹掃,此邏輯的實(shí)現(xiàn)較為復(fù)雜,對于燒天然氣的鍋爐,這是一項(xiàng)非常重要的保護(hù)措施,若考慮不完善有可能造成鍋爐爆燃的重大事故。
此邏輯的難點(diǎn)是一定要考慮到開閥的順序和關(guān)閥的順序,避免造成程序的死循環(huán)。在此程序的實(shí)現(xiàn)中,必須要巧用脈沖信號來實(shí)現(xiàn)。
3.5 點(diǎn)火控制邏輯
點(diǎn)火控制邏輯包括預(yù)點(diǎn)火邏輯和程控點(diǎn)火邏輯。
預(yù)點(diǎn)火邏輯實(shí)際是對點(diǎn)火條件的限制,也是一種安全保護(hù)限制條件。點(diǎn)火控制方式分兩種情況:中控點(diǎn)火,就地點(diǎn)火。點(diǎn)火控制邏輯有以下3個(gè)難點(diǎn)。
a)中控點(diǎn)火開關(guān)的選擇。若為兩位式開關(guān)則邏輯會(huì)出現(xiàn)問題,實(shí)現(xiàn)起來非常復(fù)雜,操作不當(dāng)容易造成危險(xiǎn),經(jīng)過反復(fù)論證,最終投氣開關(guān)采用了瞬動(dòng)開關(guān),與現(xiàn)場投氣開關(guān)保持一致,使得程序大大簡化并且控制更加安全。
b)點(diǎn)火過程控制邏輯。此邏輯實(shí)際為一個(gè)順控邏輯,如點(diǎn)1號角時(shí),經(jīng)過判斷命令可以執(zhí)行時(shí),此時(shí)1號推進(jìn)器動(dòng)作,待推進(jìn)器推到位15 s后,點(diǎn)火槍激勵(lì)點(diǎn)火,同時(shí)點(diǎn)火閥打開,30 s后,推進(jìn)器自動(dòng)后退。待火檢檢測到火,燃?xì)忾y打開,現(xiàn)場點(diǎn)火箱內(nèi)點(diǎn)火成功燈亮。
c)點(diǎn)火間隔確認(rèn)。退出點(diǎn)火槍60 s以內(nèi),即使所有點(diǎn)火條件具備,如果再點(diǎn)火,不會(huì)成功。點(diǎn)火后,30 s內(nèi)仍未檢測到火,則退出點(diǎn)火模式。30 s內(nèi)檢測到火為點(diǎn)火成功,否則為失敗,此時(shí)現(xiàn)場點(diǎn)火箱內(nèi)點(diǎn)火失敗燈亮。點(diǎn)火失敗后,必須人為將點(diǎn)火開關(guān)打到退出位置。
3.6 安全停車邏輯
安全停車邏輯又分為MFT和GFT,造成主燃料跳閘的條件:運(yùn)行人員手動(dòng)跳閘,爐膛壓力高,“三選二”產(chǎn)生;爐膛壓力低,汽包水位高,“二選二”產(chǎn)生;送風(fēng)機(jī)停,引風(fēng)機(jī)停,失去全部燃料。安全停車聯(lián)鎖有以下幾個(gè)難點(diǎn)。
a)給水泵全停信號聯(lián)鎖跳車的實(shí)現(xiàn)。給水泵全停需延時(shí)10 s,這個(gè)用簡單延時(shí)上升沿觸發(fā)即可完成,但因?yàn)殚_車點(diǎn)爐時(shí),不要求給水泵運(yùn)行,所以為了不影響開車,此聯(lián)鎖信號后加了一脈沖,使得開車時(shí)給水泵未開MFT可以復(fù)位。
b)天然氣母管壓力低低。此信號是指燃?xì)鈮毫τ烧=油ㄌ優(yōu)閿嚅_,它來自現(xiàn)場的壓力開關(guān),但此壓力開關(guān)安裝位置在燃?xì)饪傞y和點(diǎn)火氣總閥之后,經(jīng)中間繼電器隔離之后,進(jìn)ESD的信號為斷開跳車。因?yàn)樘烊粴鈮毫Φ偷吐?lián)鎖是發(fā)生在鍋爐正常運(yùn)行時(shí),所以僅取燃?xì)鈮毫Φ偷托盘柎寺?lián)鎖信號無法實(shí)現(xiàn)聯(lián)鎖功能。經(jīng)研究實(shí)際工藝狀況和原有PLC的設(shè)計(jì)程序,此聯(lián)鎖條件加了氣總閥未全關(guān)的綁定條件,且為防止開車時(shí)因這兩個(gè)條件影響造成GFT無法復(fù)位,此兩個(gè)信號均采用了下降延時(shí)觸發(fā)聯(lián)鎖,并利用了脈沖信號達(dá)到聯(lián)鎖后的自復(fù)位,至此才完全達(dá)到了真正鍋爐燒氣運(yùn)行時(shí)天然氣母管壓力低低安全聯(lián)鎖 GFT跳車的目的[1]。
4.1 流程圖畫面的開發(fā)
原系統(tǒng)的人機(jī)界面在觸摸屏中,存在以下缺點(diǎn):速度慢,給操作帶來了很大的不便,只有1臺觸摸屏,當(dāng)觸摸屏故障時(shí),整個(gè)系統(tǒng)將失效;存在較大的安全風(fēng)險(xiǎn);由于兩個(gè)系統(tǒng)沒有通信,操作人員必須同時(shí)監(jiān)控DCS和觸摸屏兩個(gè)系統(tǒng)。
由于該公司DCS為 TPS,蒸汽管網(wǎng)及鍋爐的一部分操作畫面在DCS上,所以將觸摸屏的操作功能和DCS的操作畫面整合到一套系統(tǒng)中,不但可以使工藝人員操作切換方便、熟練,而且達(dá)到較高的安全系數(shù)。
4.2 時(shí)鐘同步
DCS作為基本過程控制系統(tǒng),系統(tǒng)配置了大容量的趨勢記錄和一般報(bào)警記錄,而SIS作為安全保護(hù)系統(tǒng),配置了精確到毫秒級的事件順序記錄,但發(fā)生事故時(shí),必須將DCS中的模擬量趨勢和ESD的SOE相互結(jié)合,來分析觸發(fā)事故的第一原因及造成事故的根本原因。原系統(tǒng)由于 DCS, ESD,FSSS三套系統(tǒng)的時(shí)間基準(zhǔn)不一致,給事故分析帶來了很大的不便,此次改造過程中用軟件和硬件相結(jié)合的方法實(shí)現(xiàn)了兩個(gè)系統(tǒng)的時(shí)鐘同步。
具體方案:DCS端在每天固定時(shí)間發(fā)出時(shí)鐘同步請求,SIS端接收到同步信號后將自身的系統(tǒng)時(shí)間改為該固定時(shí)間。DCS端的信號通過數(shù)字量輸出點(diǎn)發(fā)出,當(dāng)預(yù)定的時(shí)刻到時(shí),該DO點(diǎn)接通5 s;軟件通過PM(Process Module)點(diǎn)實(shí)現(xiàn),SIS端通過數(shù)字量輸入點(diǎn)結(jié)束閉合信號,通過邏輯圖對系統(tǒng)時(shí)間的修改。
FSSS的改造必須和裝置的現(xiàn)有情況結(jié)合,充分開發(fā)現(xiàn)有系統(tǒng)的功能,依據(jù)功能安全的相關(guān)國際標(biāo)準(zhǔn),對整個(gè)系統(tǒng)安全性全面考慮,對系統(tǒng)內(nèi)部的配置和安全評價(jià)已經(jīng)比較充分,所以開發(fā)過程中更應(yīng)該注意外圍系統(tǒng)的可靠性,周密考慮外部動(dòng)力源、人為等因素的影響,可以使裝置的可靠性和安全性大大提高。
[1] 劉時(shí)中.熱工自動(dòng)化[M].北京:中國電力出版社,2000:38-52.
[2] 邊 華.軟件容錯(cuò)與可靠性評估方法[J].核工程研究與設(shè)計(jì),2006,(58):50-53.
[3] CCPS.Guidelines for Safe Automation of Chemical Proceses [G].CCPS,1993.
[4] 黃步余,王建民,王玉華.石油化工安全儀表接地規(guī)范[S].北京:中國石化出版社,2004.
[5] HONEYWELL.High-Performance Process Manager Control Functions and Algorithms[G].Release530,(99):25-55.
[6] 國家經(jīng)濟(jì)和貿(mào)易委員會(huì).工業(yè)生產(chǎn)過程中安全儀表系統(tǒng)的應(yīng)用[S].2003:16-17.
The Research and Implementation of the Boiler Safety Supervisory System
Lei Yueqiang,Sun Xuan,Zhang Qi
(The PetroChina Ningxia Co.,Yingchuan,750026,China)
According to IEC61511 and IEC61508,the development of a triple-based fault-tolerant systems of the boiler safety supervisory system has great significance on the improvement of safety,it is described focusing on the process of external integration equipment design consideration and the program development process.Before the reform of original system,the comprehensive scheme should be decided,the performance target should be proposed based on present situation of safety instrument development and equipment situation of system,the technology and suitable hardware should be adopted to reach safety performance.Particularly for complex process.vary cases of boiler operation should be defined during sofeware development,following by development on corresponding blowing logic, ignition logic and ESD logic.Only when software and hardware are rational and regulated,the whole system can achieve expected safety and reliability.
FSSS;safety performance;triple;logic
TP202
B
1007-7324(2010)06-0045-04
2010-08-29(修改稿)。
雷躍強(qiáng)(1972—),男,甘肅天水人,1996年畢業(yè)于華東理工大學(xué)生產(chǎn)過程自動(dòng)化專業(yè),現(xiàn)任中國石油寧夏石化公司機(jī)動(dòng)處儀表主管工程師,已發(fā)表論文4篇。