基于故障樹分析法（FTA）的阿爾塔什水利樞紐電氣二次系統(tǒng)可靠性設(shè)計

姜 睿

（新疆水利水電勘測設(shè)計研究院有限責(zé)任公司，新疆 烏魯木齊 830000）

0 引言

電氣二次系統(tǒng)是水電站的“大腦與神經(jīng)”，其所包含的計算機(jī)監(jiān)控系統(tǒng)、繼電保護(hù)系統(tǒng)、通信系統(tǒng)等環(huán)節(jié)對電力生產(chǎn)與水利調(diào)度起著至關(guān)重要的作用。隨著我國信息化與數(shù)字化進(jìn)程的不斷推進(jìn)，水力發(fā)電廠計算機(jī)技術(shù)也不斷發(fā)展進(jìn)步，電氣二次系統(tǒng)功能越發(fā)完備和全面，采用新技術(shù)、新設(shè)備對水利工程項目的設(shè)備與管理進(jìn)行現(xiàn)代化和智能化建設(shè)已是歷史發(fā)展的必然趨勢，但隨著計算機(jī)通信網(wǎng)絡(luò)和自動裝置的大量采用，也使系統(tǒng)內(nèi)控制保護(hù)設(shè)備及通信網(wǎng)絡(luò)的數(shù)據(jù)交互日漸龐大、系統(tǒng)結(jié)構(gòu)愈發(fā)復(fù)雜，影響其穩(wěn)定性的故障環(huán)節(jié)也呈現(xiàn)增多趨勢。水電站、大壩、水庫作為重要的基礎(chǔ)設(shè)施，其監(jiān)視、控制及保護(hù)系統(tǒng)的可靠性關(guān)乎生產(chǎn)安全與社會穩(wěn)定，在此背景之下，探究電氣二次系統(tǒng)的可靠性設(shè)計的分析與研究具有非常重要的現(xiàn)實意義。

阿爾塔什水利樞紐工程作為國家“十三五”期間的重大項目之一，是國家172項節(jié)水供水重大項目之一，同時也是目前新疆規(guī)模最大的水利樞紐工程，是具有防洪、灌溉和發(fā)電等綜合利用任務(wù)的控制性水利樞紐工程[1]。工程水庫總庫容22.49億m3，灌溉控制面積630.89萬畝，工程同時具有主電站及生態(tài)流量電站，總裝機(jī)容量755 MW，主電站廠房內(nèi)裝設(shè)4臺175 MW水輪發(fā)電機(jī)組，發(fā)電機(jī)變壓器組合方式為單元接線，升壓站電壓等級為220 kV，采用雙母線接線，母線配置有220 kV并聯(lián)電抗器，出線5回。生態(tài)電站裝設(shè)2臺額定功率27.5 MW水輪發(fā)電機(jī)組，發(fā)電機(jī)變壓器組合方式為單元接線，升壓站電壓等級為220 kV，采用單母線接線，出線1回至主電站220 kV升壓站。

阿爾塔什水利樞紐具有“一庫兩站”的特點，其電氣二次系統(tǒng)按照“無人值班（少人值守）”原則配置，具有系統(tǒng)復(fù)雜、設(shè)備數(shù)量多、系統(tǒng)接口多的特點，擔(dān)負(fù)著監(jiān)視、控制、保護(hù)樞紐各部生產(chǎn)環(huán)節(jié)的重大使命，若電氣二次系統(tǒng)因其自身故障或自然人為災(zāi)害破壞失效，將引發(fā)更加嚴(yán)重的次生災(zāi)害后果，因而其可靠性需要高度關(guān)注，在設(shè)計中有必要對電氣二次系統(tǒng)的可靠性進(jìn)行研究。

1 可靠性理論及可靠性工程應(yīng)用

可靠性是指系統(tǒng)或設(shè)備產(chǎn)品在規(guī)定條件下和規(guī)定時間內(nèi)完成規(guī)定功能的能力[2]。隨著科技高速發(fā)展，技術(shù)裝備日趨復(fù)雜，其目標(biāo)是提高技術(shù)裝備的效能，然而越復(fù)雜的設(shè)備，其失效概率就越大。若系統(tǒng)的復(fù)雜性對裝備可靠性最終造成了負(fù)面影響，則裝備的復(fù)雜性也就變得毫無意義。可靠性理論于20世紀(jì)30年代由此起源，初期被應(yīng)用于機(jī)械維修領(lǐng)域的研究，收到良好效果，隨著科學(xué)技術(shù)不斷進(jìn)步及可靠性理論的迅速發(fā)展，可靠度研究已推廣到機(jī)電、建筑等工程行業(yè)，形成了可靠性工程。

可靠性工程是提高系統(tǒng)在整個壽命周期內(nèi)可靠性的有關(guān)設(shè)計、分析、試驗的工程技術(shù)。通過可靠性理論的應(yīng)用，可提高工程結(jié)構(gòu)和工程系統(tǒng)抵御自然災(zāi)害和人為災(zāi)害的能力，已廣泛應(yīng)用于航天軍工、電力系統(tǒng)、結(jié)構(gòu)工程、通信工程等交叉學(xué)科領(lǐng)域的研究，并各自總結(jié)出一套保證元件及系統(tǒng)有效完成其預(yù)定功能的科學(xué)方法[2]。目前系統(tǒng)工程可靠性分析常用的方法主要有馬爾可夫模型法、蒙特卡洛模型法、故障樹分析法（FTA）、FMEA方法等。

蒙特卡洛法主要理論基礎(chǔ)是概率統(tǒng)計理論，主要手段是隨機(jī)抽樣及統(tǒng)計試驗[3]；馬爾可夫模型是一種基于一組具有馬爾可夫性質(zhì)的離散隨機(jī)變量集合的統(tǒng)計模型；這兩種方法需要較多的數(shù)學(xué)支撐與試驗數(shù)據(jù)，水電站二次系統(tǒng)是一個由多個部件構(gòu)成的特定控制系統(tǒng)，難以通過試驗來獲得其失效時間的分布，從而無法對其進(jìn)行可靠度的判定。由于各組成部分及各子系統(tǒng)的失效對整個系統(tǒng)的失效造成直接的影響，因而可將各部件及各子系統(tǒng)的失效概率作為評估系統(tǒng)失效的依據(jù)。因此，電站二次系統(tǒng)可靠性研究的核心問題，就轉(zhuǎn)化成了電力二次系統(tǒng)可靠性與部件可靠性的關(guān)聯(lián)，及其對部件性能的影響。

目前故障樹分析（FTA）被廣泛應(yīng)用于各大工程領(lǐng)域的系統(tǒng)安全性與可靠性分析，用以理解系統(tǒng)發(fā)生故障的原因，并尋找減少風(fēng)險的最佳方法，或確定某個安全事故或某個系統(tǒng)發(fā)生故障的概率，其研究成果還可應(yīng)用于復(fù)雜系統(tǒng)的風(fēng)險辨識。

2 故障樹可靠性分析方法

故障樹分析（FTA）是一種特殊的因果關(guān)系圖，它用邏輯門（與門、或門等）和規(guī)定符號描述系統(tǒng)中各事件間的因果關(guān)系，邏輯門的輸入事件是因，輸出事件是果[3]。

故障樹分析（FTA）是一類以與門、或門等邏輯門及指定的符號來刻畫系統(tǒng)內(nèi)所有事件關(guān)聯(lián)的因果聯(lián)系圖，故障樹從不希望出現(xiàn)的初始事件開始，根據(jù)可能的系統(tǒng)事件而得到一系列的最終結(jié)果。FTA分析法多遵循以下步驟進(jìn)行：

(1)給出對系統(tǒng)失效進(jìn)行分析的指標(biāo)，作為FTA的頂部事件。

(2)建立基于頂部事件的系統(tǒng)失效樹。

(3)在此基礎(chǔ)上，通過對故障樹整體極小割集和最小路集的計算，對所有的故障類型進(jìn)行定量分析，并對各個基礎(chǔ)事件的重要性進(jìn)行分析，從而實現(xiàn)對故障的定性分析。

(4)求解最大事故的出現(xiàn)幾率、各個基礎(chǔ)事故的概率重要性以及各個基礎(chǔ)事故的重要性，完成事故樹的量化分析。

通過故障樹分析法，綜合考慮水電站內(nèi)機(jī)械、電氣、通風(fēng)等多個專業(yè)工作流程及其對應(yīng)的電氣二次系統(tǒng)內(nèi)的控制、保護(hù)原理，分別對信號采集、通信、處理、執(zhí)行進(jìn)行可靠性分析，同時還需考慮系統(tǒng)部件或元件失效對系統(tǒng)造成的可靠性下降。在可靠性理論中，根據(jù)技術(shù)系統(tǒng)組件之間的連接與幾何圖形相似的特點分為串聯(lián)系統(tǒng)、并聯(lián)系統(tǒng)、旁聯(lián)系統(tǒng)、串-并聯(lián)系統(tǒng)、并-串聯(lián)系統(tǒng)和M/N（G）表決系統(tǒng)等。根據(jù)各控制系統(tǒng)原理圖，繪制可靠性框圖并將其簡化為可靠性等效圖，進(jìn)而可將其轉(zhuǎn)化為可靠性數(shù)學(xué)模型，水電站內(nèi)控制系統(tǒng)的方式有多種，必須依據(jù)具體的系統(tǒng)選型分析其可靠性，為方便處理，假設(shè)各元件壽命均服從參數(shù)為λ的指數(shù)分布，其元件可靠度為R0（t），失效率為F0（t），則常見系統(tǒng)可靠性等效圖及其可靠度數(shù)學(xué)函數(shù)見圖1。

圖1 可靠性等效圖及其可靠度數(shù)學(xué)函數(shù)

水電站電氣二次系統(tǒng)的可靠與否，不僅依賴于各個部件的可靠度，還依賴于部件間的邏輯關(guān)系。為了確定整個系統(tǒng)的可靠度指標(biāo)，需對造成該系統(tǒng)失效的部件進(jìn)行分析計算。通過擬定出分析對象的簡圖，對維持系統(tǒng)可靠度所需的組元數(shù)量及其組合進(jìn)行分析，可得出該系統(tǒng)的可靠度指數(shù)。以水輪發(fā)電機(jī)組功率、頻率調(diào)節(jié)系統(tǒng)為例，作為水力發(fā)電廠電能生產(chǎn)的核心調(diào)節(jié)指標(biāo)，上位機(jī)對于水輪發(fā)電機(jī)組的功率、頻率的調(diào)節(jié)分別通過勵磁系統(tǒng)及調(diào)速系統(tǒng)完成，其簡化的系統(tǒng)原理框圖見圖2。

圖2 功率、頻率調(diào)節(jié)系統(tǒng)原理框圖

根據(jù)其系統(tǒng)原理框圖、相關(guān)的系統(tǒng)組成及環(huán)節(jié)可知功率與頻率調(diào)節(jié)由勵磁系統(tǒng)及調(diào)速系統(tǒng)各自完成，向上接受機(jī)組監(jiān)控系統(tǒng)發(fā)出指令，最終作用于水輪發(fā)電機(jī)組，勵磁系統(tǒng)及調(diào)速系統(tǒng)并無功能替代關(guān)系，因此其總體可靠性結(jié)構(gòu)為串聯(lián)結(jié)構(gòu)，簡化合并各環(huán)節(jié)后，得出其串聯(lián)結(jié)構(gòu)可靠性等效框圖見圖3。

圖3 功率、頻率調(diào)節(jié)系統(tǒng)串聯(lián)結(jié)構(gòu)可靠性等效圖

由可靠性框圖可表明，使系統(tǒng)正常運行時哪些元件或設(shè)備必須工作，哪些元件和設(shè)備可以退出，此處引出一個可靠性設(shè)計概念，如果某一元件或設(shè)備發(fā)生故障而導(dǎo)致系統(tǒng)失靈，這一元件稱作最弱故障點。根據(jù)功率、頻率調(diào)節(jié)串聯(lián)結(jié)構(gòu)特性可知，其系統(tǒng)可靠度為各單元可靠度之積，只要其各單元可靠度不為100%，則其系統(tǒng)可靠度低于各單元可靠度。假定其各環(huán)節(jié)可靠度均為99%，則該系統(tǒng)可靠度R(t)=0.996=0.941，即其功率、頻率調(diào)節(jié)可靠度為94.1%，且采集、傳輸、勵磁控制、調(diào)速控制、監(jiān)控系統(tǒng)、執(zhí)行元件均為最弱故障點，顯然對于水力發(fā)電廠最重要的調(diào)節(jié)控制指標(biāo)而言，若使用串聯(lián)結(jié)構(gòu)其可靠度是不能夠令人滿意的。

任何系統(tǒng)的可靠性，取決于他們組件的可靠性，實際應(yīng)用中由于各組件的生產(chǎn)廠家已對其設(shè)備開展了可靠性設(shè)計，所以實際連接結(jié)構(gòu)并不是簡單系統(tǒng)，多為混合連接，其中主要為串-并聯(lián)系統(tǒng)及并-串聯(lián)系統(tǒng)，由可靠性理論可知，只要系統(tǒng)中單元的可靠度不為1，并-串聯(lián)系統(tǒng)的可靠度高于串-并系統(tǒng)，以此為出發(fā)點，對功率、頻率調(diào)節(jié)系統(tǒng)各環(huán)節(jié)進(jìn)行冗余設(shè)計，可得到優(yōu)化后的功率、頻率調(diào)節(jié)系統(tǒng)并-串聯(lián)結(jié)構(gòu)可靠性等效圖見圖4。

圖4 功率、頻率調(diào)節(jié)系統(tǒng)冗余設(shè)計后并-串聯(lián)結(jié)構(gòu)可靠性等效圖

圖5 冗余設(shè)計后繼電保護(hù)系統(tǒng)串-并聯(lián)結(jié)構(gòu)可靠性等效圖

根據(jù)功率、頻率調(diào)節(jié)并-串聯(lián)結(jié)構(gòu)特性可知，只要其各單元可靠度不為1，則其系統(tǒng)可靠度高于各單元可靠度。假定其各環(huán)節(jié)可靠度均為99%，則該系統(tǒng)可靠度R(t)={1-[1-R0(t)]2}6={1-[1-0.99]2}6=0.999 4，即其功率、頻率調(diào)節(jié)系統(tǒng)可靠度為99.94%，且無最弱故障點，顯然使用并-串聯(lián)結(jié)構(gòu)其可靠度得到顯著提升。

在實際配置中，電氣二次系統(tǒng)內(nèi)各控制單元由于其功能及配置需求特性不同，并非都適合采用并-串聯(lián)結(jié)構(gòu)，如繼電保護(hù)系統(tǒng)為防止雙套故障，更適宜采用串-并聯(lián)結(jié)構(gòu)。

對于機(jī)械系統(tǒng)、電路系統(tǒng)和自動控制系統(tǒng)設(shè)備及裝置而言，較多采用最簡單的2/3（G）表決系統(tǒng)[1]，水電站內(nèi)防水淹廠房水位信號判別單元組件要求3個信號器2臺發(fā)信即判別為有效，也是典型的2/3（G）表決系統(tǒng)。其可靠性等效圖見圖6。

圖6 防水淹廠房水位信號2/3表決系統(tǒng)可靠性等效圖

圖7 阿爾塔什水利樞紐工程防水淹廠房緊急關(guān)閉系統(tǒng)示意圖

本文僅對水電站功率、頻率調(diào)節(jié)系統(tǒng)的可靠性進(jìn)行了研究，并簡單舉例了繼保系統(tǒng)及防水淹廠房信號系統(tǒng)，其他類型可根據(jù)相同的原理與方法進(jìn)行分析。

3 可靠性設(shè)計方法與實現(xiàn)

當(dāng)控制保護(hù)回路較復(fù)雜時，可能因為一個或是多個子系統(tǒng)失效而讓整個電氣二次系統(tǒng)失效，因此需通過系統(tǒng)可靠性設(shè)計降低系統(tǒng)整體失效的可能性。系統(tǒng)的可靠性設(shè)計是指在系統(tǒng)設(shè)計階段遵循系統(tǒng)工程規(guī)范的基礎(chǔ)上，在事先就考慮系統(tǒng)可靠性諸多因素影響，采用以提高系統(tǒng)可靠性為目的的設(shè)計技術(shù)和措施，預(yù)先采用系統(tǒng)抗災(zāi)抗干擾等措施，從而滿足系統(tǒng)可靠性要求的設(shè)計方法。

水電站電氣二次系統(tǒng)中，多系統(tǒng)及組部件的組成方式多為混聯(lián)結(jié)構(gòu)，提高各子系統(tǒng)的可靠性是提高整個系統(tǒng)可靠性的主要途徑，其總體思路是通過在各子系統(tǒng)或組件加設(shè)旁聯(lián)結(jié)構(gòu)或并聯(lián)結(jié)構(gòu)，從而構(gòu)成比單一結(jié)構(gòu)更加可靠的并-串結(jié)構(gòu)或串-并結(jié)構(gòu)，通過可靠性設(shè)計消除最弱故障點。

可靠性設(shè)計可以分為兩個出發(fā)點，第一個就是“完美性設(shè)計”，盡量在各個環(huán)節(jié)保障最終產(chǎn)品的完美，但由于設(shè)備及組件的自限性，系統(tǒng)不可能完美無缺，即100%可靠度并不真實存在，因而需要考慮可靠性設(shè)計第二個出發(fā)點，即 “容錯設(shè)計”，提前考慮若系統(tǒng)出現(xiàn)問題應(yīng)如何應(yīng)對。通過采用逆向的容錯設(shè)計，先判斷可能導(dǎo)致故障事件的組件或環(huán)節(jié)，進(jìn)而分析故障事件的檢測方法、隔離措施以及安全防護(hù)措施等。對于阿爾塔什水利樞紐而言，其電氣二次系統(tǒng)主要的關(guān)鍵環(huán)節(jié)和可靠性設(shè)計主要總結(jié)為以下幾個方面。

（1）針對軟硬件故障進(jìn)行關(guān)鍵部位冗余設(shè)計

系統(tǒng)結(jié)構(gòu)冗余：主電站及生態(tài)電站實時控制區(qū)網(wǎng)絡(luò)結(jié)構(gòu)采用冗余設(shè)計，網(wǎng)絡(luò)型式上組成了雙星型網(wǎng)，傳輸介質(zhì)采用了雙路單模光纖，接入系統(tǒng)的主機(jī)實時檢測冗余網(wǎng)絡(luò)的狀態(tài)，并及時由故障部分網(wǎng)絡(luò)切換到冗余的正常網(wǎng)絡(luò)[4]。主電站及生態(tài)電站的廠站層關(guān)鍵設(shè)備，如數(shù)據(jù)采集服務(wù)器、通信服務(wù)器均采用冗余設(shè)備，設(shè)備工作在熱備狀態(tài)，單臺設(shè)備故障或維護(hù)時不影響系統(tǒng)的正常工作。主電站及生態(tài)電站與省網(wǎng)調(diào)度中心及地網(wǎng)調(diào)度中心均采用冗余通信設(shè)備和通信通道。各LCU與主控級網(wǎng)絡(luò)之間的網(wǎng)絡(luò)通信設(shè)備、通信通道也采用冗余設(shè)計。

系統(tǒng)配置冗余：現(xiàn)地LCU中可編程控制器采用雙CPU、雙CPU熱備方式運行時相互之間采用心跳檢測，在線運行的備用控制器同步接收數(shù)據(jù)，一旦主控制器出現(xiàn)故障，備用控制器立即執(zhí)行控制任務(wù)，并與主用控制器之間采用內(nèi)存映射技術(shù)同步內(nèi)存中的數(shù)據(jù)，使整個系統(tǒng)的控制流程不會發(fā)生停頓，控制指令也不會重復(fù)或遺漏[4]。現(xiàn)地LCU同時配置雙機(jī)架背板、雙I/O總線、雙電源模塊、雙通信模塊等冗余設(shè)計，構(gòu)成高可靠性現(xiàn)地控制系統(tǒng)。主電站及生態(tài)電站主控級的UPS電源采用冗余技術(shù)，給具備冗余電源模塊的主控級設(shè)備或機(jī)柜分別供電。現(xiàn)地控制單元供電電源采用冗余方式，采用雙高頻開關(guān)電源、雙電源切換器、雙供電母線設(shè)計為LCU控制設(shè)備CPU、機(jī)架供電，采用獨立的直流電源為水機(jī)保護(hù)PLC供電。對機(jī)組水力機(jī)械事故，除了在LCU 的雙套主控制器中設(shè)置機(jī)組電氣事故停機(jī)功能、水力機(jī)械事故停機(jī)功能，另外還配置了獨立的水力機(jī)械事故停機(jī)PLC及其配套電源及繼電器回路，構(gòu)建冗余的自動保護(hù)功能?；赑LC的水機(jī)后備保護(hù)可以方便的通過編程實現(xiàn)各種保護(hù)邏輯，同時其信號采集能力強(qiáng)，事故信號的開入、開出均由相關(guān)模件完成，并且可以有效防止外部自動化元件信號抖動造成的誤動作，依靠PLC的自診斷及通信功能，通過雙網(wǎng)卡將之與監(jiān)控系統(tǒng)上位機(jī)相連接，便可實現(xiàn)水機(jī)后備保護(hù)裝置其本身的運行狀態(tài)監(jiān)測，并將相關(guān)信息記錄于歷史數(shù)據(jù)庫，便于事故分析[5]。運用先進(jìn)的計算機(jī)網(wǎng)絡(luò)技術(shù)，克服了傳統(tǒng)繼電器回路水機(jī)后備保護(hù)的可靠性較低、可擴(kuò)展性差、可追憶性差等局限性，適應(yīng)了智能化潮流發(fā)展。

控制調(diào)節(jié)冗余：對機(jī)組有功、無功、轉(zhuǎn)速調(diào)節(jié)采用功能冗余設(shè)計，勵磁、調(diào)速器均采用雙套完全獨立的、并聯(lián)冗余容錯結(jié)構(gòu)控制器，兩套系統(tǒng)采用雙機(jī)在線熱備用運行方式，兩套調(diào)節(jié)器同時接收輸入的控制與調(diào)節(jié)信號并執(zhí)行操作與調(diào)節(jié)，但只有處于工作狀態(tài)的有輸出信號和觸發(fā)脈沖，一旦工作調(diào)節(jié)器發(fā)生故障則備用調(diào)節(jié)器自動投入運行，兩套系統(tǒng)的采樣、控制回路完全獨立，實現(xiàn)無擾動切換。

繼電保護(hù)冗余：作為電氣二次系統(tǒng)最后一道防線，對于電氣事故等嚴(yán)重故障，主要電氣設(shè)備如發(fā)電機(jī)、主變壓器、220 kV GIS升壓站、220 kV線路等均采用了雙重化保護(hù)冗余設(shè)計，各雙重配置的繼電保護(hù)裝置的電壓、電流及控制信號通過完全獨立的回路采集自不同的互感器或裝置，并作用于各自獨立的斷路器跳、合閘線圈，形成了前述串-并聯(lián)系統(tǒng)，提升了繼電保護(hù)系統(tǒng)的可靠度。同時雙重化配置的保護(hù)裝置采用不同廠家產(chǎn)品，有效避免因制造廠商家族化故障導(dǎo)致的雙套同時失效。

信息采集冗余：為了避免重要信號在采樣環(huán)節(jié)出錯而導(dǎo)致控制策略的錯誤執(zhí)行，在計算機(jī)監(jiān)控系統(tǒng)和現(xiàn)地智能設(shè)備設(shè)計時，各機(jī)組現(xiàn)地LCU分別使用主控SOE模板及水利保護(hù)獨立PLC SOE模板同步采集發(fā)變組繼電保護(hù)裝置的電氣事故停機(jī)信號，并從不同的DO開出板卡輸出跳GCB、跳直流滅磁開關(guān)信號至雙路跳閘回路[5]，形成重要繼保信號的冗余。監(jiān)控系統(tǒng)采用功率變送器和交流采樣裝置兩種類型的元器件對機(jī)組的有功功率、無功功率進(jìn)行采集，獲取定子電壓、定子電流、轉(zhuǎn)子電流、轉(zhuǎn)子電壓、功率因數(shù)等關(guān)鍵信息，對于機(jī)組勵磁信息及調(diào)速器導(dǎo)葉信號，現(xiàn)地控制設(shè)備均采用雙路配置，機(jī)組LCU也采用雙路檢測，兩組信號互為驗證，保證重要電氣信息的不間斷冗余輸入。機(jī)組測溫系統(tǒng)所采集的機(jī)組軸瓦及定子RTD溫度傳感器，采用雙支路配置，一路采集至主控PLC的RTD溫度采集回路，一路采集進(jìn)機(jī)組LCU配置的溫度巡檢裝置，同時獨立的水機(jī)后備保護(hù)PLC溫度采集回路同步采集對稱配置的軸瓦及定子RTD溫度傳感器和上層定子繞組RTD溫度傳感器，如果同一軸承的任意2個RTD溫度同時超標(biāo)，監(jiān)控系統(tǒng)將執(zhí)行減負(fù)荷、事故停機(jī)，形成重要軸瓦的溫度保護(hù)的冗余[4]。滲漏排水及檢修排水的水位信號分別采用壓力式液位傳感器和投入式液位開關(guān)，監(jiān)控系統(tǒng)分別采集開關(guān)量及模擬量兩種不同原理的水位信號，互為驗證，實時監(jiān)視和報警，同時在電站廠房最低層要設(shè)置不少于3套水位信號器，當(dāng)同時有2套水位信號器第二上限信號動作時，作用于緊急事故停機(jī)，避免出現(xiàn)集水井水位過高造成水淹廠房事故或誤動作[5]。

（2）針對網(wǎng)絡(luò)安全攻擊進(jìn)行防范攻擊能力設(shè)計

2010年伊朗核電站“震網(wǎng)”病毒事件打破了封閉系統(tǒng)“絕對安全”的神話，需針對網(wǎng)絡(luò)安全攻擊及內(nèi)網(wǎng)不安全行為進(jìn)行可靠性設(shè)計，其中分為靜態(tài)防御及動態(tài)管控兩個方式。

靜態(tài)防御：阿爾塔什水利樞紐計算機(jī)監(jiān)控系統(tǒng)按照“安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認(rèn)證”的方針部署了電力專用安全設(shè)備和通用安全設(shè)備，具備完善的柵格狀電力監(jiān)控系統(tǒng)安全防護(hù)靜態(tài)防御體系。主電站及生態(tài)電站的生產(chǎn)控制大區(qū)與調(diào)度數(shù)據(jù)網(wǎng)的縱向連接處設(shè)置有電力專用縱向加密認(rèn)證裝置，實現(xiàn)雙向身份認(rèn)證、數(shù)據(jù)加密及訪問控制[6]；生產(chǎn)控制大區(qū)主干網(wǎng)A、B套交換機(jī)部署有入侵檢測系統(tǒng)（IDS）以及日志審計系統(tǒng)，在生產(chǎn)控制大區(qū)和管理信息大區(qū)之間還部署了經(jīng)國家指定部門檢測認(rèn)證的惡意代碼防護(hù)裝置以及電力專用橫向單向安全隔離裝置[7]；安全Ⅰ區(qū)與安全Ⅱ區(qū)、安全I(xiàn)II區(qū)與互聯(lián)網(wǎng)之間存在數(shù)據(jù)通信或交換需求處還部署有硬件防火墻。

動態(tài)管控：為進(jìn)一步貫徹網(wǎng)絡(luò)安全事件“事中發(fā)現(xiàn)處置、事后審計分析”的設(shè)計原則，阿爾塔什水利樞紐計算機(jī)監(jiān)控系統(tǒng)在設(shè)計中，在主電站及生態(tài)電站的涉網(wǎng)區(qū)域安全Ⅰ、Ⅱ區(qū)各部署一臺網(wǎng)絡(luò)安全監(jiān)測裝置，由網(wǎng)絡(luò)安全監(jiān)測裝置通過連接計算機(jī)監(jiān)控系統(tǒng)主干控制網(wǎng)A、B套交換機(jī)和調(diào)度專網(wǎng)交換機(jī)，采集電廠涉網(wǎng)部分各服務(wù)器、工作站、網(wǎng)絡(luò)設(shè)備和安全防護(hù)設(shè)備的操作信息、運行信息及安全事件，并將告警信息轉(zhuǎn)發(fā)至調(diào)度端網(wǎng)絡(luò)安全管理平臺[6]，將網(wǎng)絡(luò)安全監(jiān)測關(guān)口前移到主機(jī)設(shè)備，在網(wǎng)絡(luò)接觸發(fā)生之時、攻擊條件建立之前，發(fā)現(xiàn)風(fēng)險位置并進(jìn)行阻斷，防止形成事實的危害，保障樞紐監(jiān)控系統(tǒng)安全，實現(xiàn)了全站計算機(jī)監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全的動態(tài)管控，阻斷各種形式的網(wǎng)絡(luò)攻擊行為，維持樞紐計算機(jī)監(jiān)控系統(tǒng)安防體系的強(qiáng)健性。

（3）針對核心控制系統(tǒng)癱瘓進(jìn)行防災(zāi)備份設(shè)計

為吸取國內(nèi)外如俄羅斯薩揚水電站“8.17”水淹廠房事故的經(jīng)驗教訓(xùn)，作為全站二次系統(tǒng)癱瘓時的防災(zāi)備份，應(yīng)用旁聯(lián)結(jié)構(gòu)原理，全站配置獨立的防水淹廠房緊急關(guān)閉系統(tǒng)作為全站計算機(jī)監(jiān)控系統(tǒng)癱瘓時的防災(zāi)備份系統(tǒng)。系統(tǒng)要求能夠在監(jiān)控系統(tǒng)發(fā)生故障或者水淹廠房的情況下，主電站及生態(tài)電站值班人員仍然能在任一電站的中控室及機(jī)旁通過獨立于監(jiān)控系統(tǒng)硬布線回路，完成事故閘門緊急關(guān)閉及機(jī)組緊急停機(jī)操作[1]。通過在主電站和生態(tài)電站的中控室設(shè)置緊急關(guān)閉按鈕、在兩站機(jī)旁部署防水淹廠房控制柜中設(shè)置事故閘門緊急關(guān)閉按鈕，在緊急情況下值班人員可以在任一中控室及機(jī)旁區(qū)域通過緊急關(guān)閉按鈕直接作用機(jī)組LCU水機(jī)保護(hù)回路與事故閘門啟閉機(jī)控制回路，實現(xiàn)值班人員在任一中控室完成事故閘門緊急關(guān)閉及機(jī)組緊急停機(jī)操作，保持對大壩閘門設(shè)備、機(jī)組流道及其他重要設(shè)備的控制[1]。

4 結(jié)語

通過文中分析對比可知，實施可靠性設(shè)計的電氣二次系統(tǒng)的可靠性顯著提高，隨著數(shù)字化、信息化的不斷推進(jìn)以及水利數(shù)字孿生建設(shè)，控制系統(tǒng)的安全穩(wěn)定要求將越來越高，隨著系統(tǒng)本身的復(fù)雜程度不斷增加以及外部影響因素的日益變化，加強(qiáng)可靠性理論在水利水電工程的電氣二次系統(tǒng)中應(yīng)用的研究具有重要的現(xiàn)實意義。阿爾塔什水利樞紐工程6臺機(jī)組已全部并網(wǎng)發(fā)電，其主電站在一個月內(nèi)實現(xiàn)4臺機(jī)組高質(zhì)量并網(wǎng)投產(chǎn)發(fā)電，機(jī)組運行期間各項試驗數(shù)據(jù)及運行參數(shù)均優(yōu)于標(biāo)準(zhǔn)要求，全站電氣二次系統(tǒng)運行穩(wěn)定動作可靠，系統(tǒng)設(shè)計與實施過程中的可靠性分析及設(shè)計應(yīng)用，為后續(xù)其他新建工程的設(shè)計及已建工程，提供了可行的分析手段及設(shè)計思路，具有一定參考意義。