安全儀表系統(tǒng)在二次再熱機組的應(yīng)用研究

李維聰，秦桐，柯察今

（中國能源建設(shè)集團廣東省電力設(shè)計研究院有限公司，廣州510663）

安全儀表系統(tǒng)（Safety Instrumentation System，SIS）是保證工業(yè)生產(chǎn)安全性的重要手段。安全儀表系統(tǒng)已廣泛應(yīng)用于化工、石油、電力等重大國際工程項目中［1］。項目前期，建設(shè)方對安全保護等級進行評估分析，從而有效對工藝設(shè)備、控制系統(tǒng)和儀表等設(shè)計有明確的安全保護指向性建議。

在國外工程，安全完整性等級或者危險與可操作性分析在重大工程項目中已普遍應(yīng)用。往往在項目前期建設(shè)方已要求對安全保護等級進行評估分析，從而有效對控制系統(tǒng)、儀表、工藝設(shè)備等設(shè)計有明確的安全保護指向性建議。相比較于國內(nèi)工程項目中，安全完整性等級也已廣泛應(yīng)用于化工、石油、航天等行業(yè)，而電力行業(yè)也在逐步推廣應(yīng)用。相比較于國際工程，安全儀表系統(tǒng)在國內(nèi)工業(yè)項目中的研究和應(yīng)用起步較晚，最近十年開始重視和逐漸推廣安全儀表系統(tǒng)在工業(yè)生產(chǎn)過程中的應(yīng)用。國家陸續(xù)頒布了相關(guān)的標準和規(guī)范（GB/T 20438 和GB/T 21109）；化工行業(yè)，國家安全監(jiān)管總局針對安全儀表系統(tǒng)下發(fā)了《關(guān)于加強化工安全儀表系統(tǒng)管理的指導(dǎo)意見》（安全監(jiān)管三（2014）116 號）［2］，要求進一步充分認識安全儀表系統(tǒng)重要性并加強其基礎(chǔ)工作及管理，要按照安全完整性設(shè)計相關(guān)控制回路。2011年開始，國內(nèi)火電行業(yè)逐步對汽輪機緊急跳閘系統(tǒng)（Emergency Trip System，ETS）和燃料安全系統(tǒng)（Fuel Safety System，F(xiàn)SS）等進行安全風(fēng)險評估分析和等級評定，并開始嘗試應(yīng)用儀表安全系統(tǒng)［3］，而在其之前國內(nèi)石化行業(yè)的自備電廠和海外機組已有使用。

1 安全儀表系統(tǒng)

1.1 安全儀表系統(tǒng)簡介

安全儀表系統(tǒng)（SIS）是生產(chǎn)過程中十分重要的保護系統(tǒng)，能確保生產(chǎn)長期安全穩(wěn)定運行，其主要由傳感器、邏輯控制器以及最終執(zhí)行元件等分布組成［4］。在實際的工業(yè)生產(chǎn)控制系統(tǒng)中以現(xiàn)場檢查儀表傳感器為監(jiān)視輸入，進入控制系統(tǒng)的核心邏輯控制器對信號進行分析處理及提示報警，最終由執(zhí)行元件對生產(chǎn)流程進行聯(lián)鎖動作。安全儀表系統(tǒng)（SIS）使工業(yè)過程控制形成閉環(huán)，目前工業(yè)上更先進的優(yōu)化運行分析、性能預(yù)測等均基于安全儀表系統(tǒng)（SIS）上配置的。

在生產(chǎn)過程中出現(xiàn)的安全事故往往由于安全儀表系統(tǒng)存在問題無法確保生產(chǎn)安全，其信號設(shè)置控制應(yīng)滿足工藝生產(chǎn)流程需求。從而在設(shè)計的原則上需要遵循傳感器獨立/冗余原則、最終執(zhí)行元件的獨立/冗余/閥門電機配合原則、邏輯控制單元的獨立/冗余/通信接口原則。同時在滿足設(shè)計原則上也需要對工業(yè)生產(chǎn)過程進行安全完整性評估，通過評估等級選擇相適應(yīng)的安全儀表系統(tǒng)從而準確監(jiān)測生產(chǎn)過程出現(xiàn)或潛在的問題，對問題進行邏輯分析及報警動作，有效降低或防止事故發(fā)生，減少生產(chǎn)過程的危害及其影響。

1.2 安全完整性等級簡介

1）安全完整性等級概述

安全完整性等級在電廠中的應(yīng)用主要針對安全儀表系統(tǒng)在生產(chǎn)過程中的質(zhì)量及可靠性的度量分析。根據(jù)等級的劃分選擇相應(yīng)的對保護系統(tǒng)進行配置［5］。根據(jù)IEC 61508 定義，安全完整性等級（Safety Integrity Level，SIL）劃分為四個等級，由度量的質(zhì)量及可靠性低到高為SIL1～SIL4［6］。

實際上，對于不同的安全保護功能使用的頻率不同會直接影響其運行過程中的設(shè)置。根據(jù)運行過程故障的頻率劃分為低頻率功能和高頻率功能。對于電廠的鍋爐安全事故保護系統(tǒng)屬于低頻率使用功能。對于低頻率功能主要由保護系統(tǒng)使用的頻率和投入運行后保護系統(tǒng)發(fā)生故障的頻率（PFD）兩種因素構(gòu)成。PFD為無量綱量參數(shù)。在低頻率模式下，SIL 是 PFD 的代表，以下如表 1 所示是 IEC 61508 中SIL等級與PFD的對應(yīng)關(guān)系表格［7］：

表1 低頻率SIL定義Tab. 1 Low frequency SIL definition

2）安全完整性等級的分析

SIL 等級的確定根據(jù) IEC 61508 和 IEC 61511 有較多方法，比如：風(fēng)險圖表法、定量法、安全層級矩陣模型、保護層分析法（LOPA）等。而在工業(yè)過程控制的應(yīng)用中，主流的兩種方法為風(fēng)險圖表法和保護層分析法。相較兩種分析法中，風(fēng)險圖表法是一種半定性/半定量的方法，不需要精確的傷害發(fā)生速率、后果以及其他參數(shù)的值，不需要專業(yè)的計算或復(fù)雜的建模。在項目初期或項目風(fēng)險頻率較低的工業(yè)過程中較為適用，同時可以結(jié)合危險與可操作性分析 （Hazard And Operability Analysis，HAZOP）對工藝流程的進行SIL 分析［6］。風(fēng)險圖表法可相對快速地、直接地用于大量的保護功能以排除事故頻率/危險性較低的工況，從而凸顯故障頻率/危險性較高的工況。本文使用風(fēng)險圖表法對電廠鍋爐安全監(jiān)控系統(tǒng)實際保護動作進行分析。

風(fēng)險圖表法由四個主要因素如表2所示：

在四個因素中表示C等級越高后果影響越大，F(xiàn)越大頻率發(fā)生概率越高或時間越長，P越大避免傷害的可能性越低，W越大危險發(fā)生的速率越高。表格中農(nóng)的后果參數(shù)僅為典型參考值，由于IEC 標準中對該部分無定量說明，因此該部分參數(shù)需具體項目實施進行調(diào)整。

表2 風(fēng)險圖表法因素定義Tab. 2 Risk chart factor definition

1.3 安全儀表系統(tǒng)在發(fā)電行業(yè)的應(yīng)用

安全儀表系統(tǒng)在發(fā)電行業(yè)中廣泛應(yīng)用于鍋爐爐膛安全監(jiān)控系統(tǒng)（Furnace Safeguard Supervisory System，F(xiàn)SSS）和汽輪機緊急跳閘保護系統(tǒng)ETS［7］。以下是以FSSS 系統(tǒng)作為安全儀表系統(tǒng)應(yīng)用例子做分析。FSSS 是確保大型火電機組鍋爐長期安全穩(wěn)定運行的一種監(jiān)控系統(tǒng)。其系統(tǒng)通過實時監(jiān)控鍋爐部分重要的設(shè)備、儀表等大量的參數(shù)與狀態(tài)，通過取值判斷、邏輯運算方式對設(shè)備發(fā)出相關(guān)聯(lián)鎖動作指令，以保證鍋爐燃燒安全。FSSS 系統(tǒng)由燃燒器控制系統(tǒng)（Burner Control System，BCS）和燃料安全系統(tǒng)FSS，系統(tǒng)組成［8］。以下如圖1 所示為電廠鍋爐控制監(jiān)控系統(tǒng)的網(wǎng)絡(luò)組態(tài)圖：

在鍋爐控制監(jiān)控系統(tǒng)網(wǎng)絡(luò)中，鍋爐FSS 系統(tǒng)通過接收鍋爐DCS、鍋爐BCS、鍋爐就地保護儀表設(shè)備的保護動作信號進行邏輯判斷并送至MFT 機柜進行繼電器回路控制保護。

常規(guī)火力發(fā)電廠的鍋爐FSSS 型鍋爐爐膛安全保護系統(tǒng)由爐膛安全系統(tǒng)（FSS）和燃燒控制系統(tǒng)（BCS）組成，F(xiàn)SS應(yīng)包括三大風(fēng)機保護、給水保護和汽機故障保護；BCS 應(yīng)是煤、油和氣燃燒器管理與控制［9］。鍋爐DCS 控制包括鍋爐本體汽水、煙風(fēng)、吹灰、后煙道輔助等系統(tǒng)。

2 二次再熱機組安全儀表系統(tǒng)的實施方案

某二次再熱百萬機組電廠項目采用國內(nèi)某鍋爐廠生產(chǎn)的百萬兆瓦級二次再熱超超臨界鍋爐。鍋爐主要技術(shù)特點有直流п 型爐、單爐膛、平衡通風(fēng)、固態(tài)排渣；六層煤粉燃燒器，采用四角切圓燃燒方式；設(shè)置有一層微油點火系統(tǒng)，并保留常規(guī)燃油系統(tǒng)。

電廠基于對國內(nèi)領(lǐng)先水平的總線和硬接線結(jié)合控制方式的二次再熱機組保護考慮，在燃料安全系統(tǒng)（FSS）的處理器模件采用了專用、獨立、滿足SIL3標準的系統(tǒng)。以下以某二次再熱百萬兆瓦機組電廠中緊急停爐保護回路進行風(fēng)險圖表法分析。其鍋爐緊急保護回路由鍋爐安全監(jiān)控系統(tǒng)（FSS）完成，當鍋爐運行中發(fā)生下列情況之一時，MFT 動作，切斷進入爐膛的所有燃料：

1） 爐膛火焰喪失， 風(fēng)險因素劃分為CB/FA/PB/W3。若爐膛火焰喪失，則經(jīng)過燃燒器送進鍋爐的燃料未進行燃燒，很有可能或出現(xiàn)鍋爐內(nèi)爆燃、爆炸等事故工況，而導(dǎo)致人身事故［10］。

2） 爐膛負壓過高/過低，風(fēng)險因素劃分為CB/FA/PB/W2。負壓過高會使爐膛煙氣量加大，風(fēng)速加大后從而加劇受熱面的磨損以及風(fēng)機效能降低。鍋爐效率降低燃燒不充分，產(chǎn)生結(jié)焦情況。若鍋爐處于低負荷運行或燃燒不穩(wěn)時，可能會導(dǎo)致鍋爐滅火以及影響鍋爐的鋼架結(jié)構(gòu)。而鍋爐爐膛內(nèi)瞬時滅火，則有可能導(dǎo)致爐膛負壓在短時間內(nèi)急劇升高或急劇降低時，還可能發(fā)生爐膛內(nèi)爆事故。內(nèi)爆會造成水冷壁損壞或人身事故［11］。

3） 引風(fēng)機/送風(fēng)機全停，風(fēng)險因素劃分為CB/FA/PB/W2。該情況下，會導(dǎo)致爐膛內(nèi)的煙氣無法通過后煙道排出，而爐膛內(nèi)燃燒不穩(wěn)定，最壞情況會人身事故。

4）總風(fēng)量低，風(fēng)險因素劃分為CB/FA/PB/W2?？刂葡到y(tǒng)正常運行下應(yīng)通過邏輯保護最小總風(fēng)量為B-MCR 的30%風(fēng)量，若風(fēng)量低于設(shè)定值，會導(dǎo)致爐膛內(nèi)燃燒不充分，部分燃料過剩。

5）給水流量過低或給水喪失，風(fēng)險因素劃分為CB/FA/PB/W2?？刂葡到y(tǒng)正常運行下應(yīng)通過邏輯保護最小給水流量，若給水量低于設(shè)定值，會導(dǎo)致鍋爐水冷壁過熱產(chǎn)生膜態(tài)沸騰。

6） 控制系統(tǒng)失電， 風(fēng)險因素劃分為CA/FA/PA/W2?？刂葡到y(tǒng)失電，則導(dǎo)致鍋爐控制部分、保護系統(tǒng)失效不能操作監(jiān)視。

2.1 鍋爐FSS系統(tǒng)在技術(shù)規(guī)范書的應(yīng)用說明

在二次再熱機百萬兆瓦機組電廠鍋爐FSS 系統(tǒng)采用安全儀表系統(tǒng)廠家提供的故障安全系統(tǒng)。在規(guī)范書的編制明確“鍋爐FSS 系統(tǒng)產(chǎn)品的制造必須滿足安全等級并遵循國際相關(guān)標準（如IEC 61508，IEC 61511， ANSI/ISA. 84.01.1996， DIN. V. VDE 0801，DIN.V.19250 等），并通過國際權(quán)威機構(gòu)認證（國際萊茵TUV 認證）。MFT 應(yīng)用的安全級別和選用的故障安全型控制器所采用的國際標準及達到的安全等級?！痹诰唧w工程實施中，可根據(jù)各個工程的實際情況，參照本規(guī)范書中的有關(guān)內(nèi)容進行編制。需要注意的是，因每個安全保護控制系統(tǒng)廠家使用標準、認證機構(gòu)不盡相同，具體應(yīng)根據(jù)實際工程情況及標準使用情況配置。同時在規(guī)范書內(nèi)也需要明確鍋爐FSS 系統(tǒng)的主要保護控制設(shè)備、功能聯(lián)鎖、保護動作等。

2.2 鍋爐FSS系統(tǒng)的控制器冗余設(shè)置

根據(jù)某二次再熱電廠的鍋爐FSS 系統(tǒng)使用SIL3等級，相應(yīng)的控制器配置為三冗余設(shè)計方式。并根據(jù)國際某知名安全儀表系統(tǒng)廠家選用TMR 故障安全型控制器應(yīng)是DCS 的一部分或同DCS 實現(xiàn)無縫連接。其冗余控制原理圖如圖2所示：

三重化冗余結(jié)構(gòu)特點在于由輸入模塊至控制器至輸出模塊完全的單獨通道。其三個完全相同的分支控制回路，每一支回路能獨立地執(zhí)行控制程序，并與其他兩路并行同時工作，系統(tǒng)中含有安全保護軟硬件機制對信號進行三取二邏輯判斷［12］。三個主控制器之間使用總線進行通訊，每一個掃描周期均與其他兩個控制器進行通訊和同步?？偩€的通信過程為每個掃描周期開始同步各主控制器，對于DI信號輸入表決并對偏差值進行標識，同理DO 和AO 的運算結(jié)果也進行比較偏差值進行標識；控制器之間的程序數(shù)據(jù)和診斷信息進行傳送，并通過總線把DI表決和AI計算值傳送至各控制器。

針對安全儀表控制系統(tǒng)維護，在工程師站內(nèi)有對系統(tǒng)診斷監(jiān)視軟件，可對控制器的數(shù)據(jù)采集時間、最大存儲和剩余空間、當前操作控制器狀態(tài)、安全鑰匙位置、掃描周期等進行查詢監(jiān)控。同時系統(tǒng)針對每個控制器的卡件故障、電源故障、表決故障均有獨立的報警設(shè)置，確保系統(tǒng)安全穩(wěn)定運行。

對于國際主流的安全保護系統(tǒng)有雙重冗余自診斷的Honeywell-FSC 系統(tǒng)、三重化自診斷的施耐德的TRICONEX 系統(tǒng)、四重化自診斷的HIMA-HIQuard、系統(tǒng)雙處理器架構(gòu)（1oo2）的AB-Guard-logix系統(tǒng)等。

2.3 燃料安全系統(tǒng)的電源配置

某二次再熱百萬兆瓦電廠采用的國際知名某安全儀表控制系統(tǒng)，其使用容錯雙電源模塊。在電源的配供上一定要滿足機組安全穩(wěn)定運行，因此電廠項目在電源配供上來自兩路220 VAC不同的UPS饋線柜的不停電電源，任何一路電源均可以承擔(dān)系統(tǒng)的全部供電負荷，確保電源的品質(zhì)及可靠性。同時在機柜設(shè)置機柜溫度監(jiān)視及電源監(jiān)視繼電器并其失電、過壓、過流報警信號送至DCS系統(tǒng)進行聯(lián)鎖保護動作。其系統(tǒng)中按照電源等級劃分120 V AC/DC、24 V DC和230 V AC的相對獨立電源模塊。

2.4 鍋爐FSS系統(tǒng)的儀表設(shè)備及控制信號冗余性

根據(jù)DL/T 5512—2016 對鍋爐工藝流程上設(shè)置依據(jù)規(guī)范要求的測點信號，同時滿足鍋爐FSS 保護動作相應(yīng)的儀表設(shè)備應(yīng)考慮冗余性的配置［13］，例如：鍋爐給水流量值保護，應(yīng)設(shè)置三冗余流量測量變送器；引風(fēng)機全停保護，單臺機組應(yīng)設(shè)置2×50%容量風(fēng)機設(shè)備。而對于重要的控制信號，應(yīng)采用冗余信號考慮，例如：風(fēng)機跳閘信號應(yīng)采用三個狀態(tài)信號進行邏輯判斷。

3 結(jié)論

本文分析鍋爐爐膛安全監(jiān)控系統(tǒng)在電廠工程中結(jié)構(gòu)組成，對安全完整性等級應(yīng)用進行討論。根據(jù)IEC 61508 和IEC 61511 標準對燃料安全系統(tǒng)進行SIL 等級風(fēng)險圖表法分析，并結(jié)合國內(nèi)某電廠二次再熱百萬兆瓦機組項目在實際中應(yīng)用的實施方案。方案中從系統(tǒng)技術(shù)規(guī)范書、控制器設(shè)置、電源配供、儀表設(shè)備及信號設(shè)計四方面進對安全完整性等級進行分析。最后結(jié)合國內(nèi)外SIL 等級在各領(lǐng)域的應(yīng)用情況，電力行業(yè)可利用分析評估提高工程安全可靠性。

安全完整性等級也已廣泛應(yīng)用于化工、石油、航天等行業(yè)，而電力行業(yè)也在逐步推廣應(yīng)用。從國際安全保護系統(tǒng)的推廣及發(fā)展趨勢，電力行業(yè)未來也應(yīng)廣泛應(yīng)用SIL 等級，同時應(yīng)由專業(yè)認證機構(gòu)在項目前期對工程進行評估分析，可為設(shè)計、采購、施工、運行維護提供更有安全可靠的全生命周期管理方式。