《控制器重启引发机组跳闸事故案例》由会员分享，可在线阅读，更多相关《控制器重启引发机组跳闸事故案例（4页珍藏版）》请在金锄头文库上搜索。
1、控制器重启引发机组跳闸事故案例2.1 事件经过 R* Y4 A7 ?, P# x: U! u2001 年 11 月 1 日，A 电厂 4 号机组停机前有功负荷 270MW，无功 96MVar，A 、B 励磁调节器自动并列运行，手动 50Hz 柜跟踪备用。- a# | k1 & N/ d4 S14 时 26 分，事故音响发出，发电机出口开关、励磁开关跳闸， 调节器 A 柜退出运行、调节器 B 柜退出运行等报警信号发出，机组解列。对 ECS 控制系统检查、试验，发现#14 控制器发生故障已离线，与之冗余的34 控制器发生重启，更换了#14 和34 控制器主机板后，机组重新启动，不久，发变组与系统并
2、列。2.2 原因分析根据历时数据分析，13 时 31 分，#14 控制器硬件故障而离线运行，热备用的#34 控制器自动由辅控切为主控。14 时 26 分，#34 控制器由于通讯阻塞引起 WATCHDOG误判断，致使控制器重启。由于控制器控制励磁调节器的方式为长信号，没有断点保护功能，#34控制器重启后，不能自动回到断点前的状态，导致 A、B 调节器自动退出运行，手动 50Hz柜自动投入。由于发电机失磁，发电机端电压下降，导致厂用电源电压降低，手动 50Hz 柜输出电压继续降低，手动 50Hz 柜投入后发电机没有脱离失磁状态，直至切除励磁装置，造成发电机失磁保护动作，发电机出口开关跳闸。: d+
3、 T s( , q8 O3 G; i8 i6 u# #14 控制器和#34 控制器控制发变组设备，包括厂用电切换的备自投继电器接点 BK，#34控制器重启后，BK 自动复位，继电器接点断开， BK 投到退出位置，造成 6KV 电源开关6410、6420 开关自投不成功。2.3 防范措施2.3.1 将故障控制器更换。后来制造厂确认这一批主板晶振存在问题，同意免费更换，利用停机机会更换 4 号机组所有控制器主板。 , Y) L$ C8 J: 8 V- A9 o, T2.3.2 增加任一控制器、I/O 卡、通讯卡离线报警功能。( x5 x0 A- - p6 X& * q9 l2.3.3 程序内部WA
4、TCHDOG 的时间设置太短，易造成误判断，对所有控制器进行软件升级。4 4 s6 F U* ?2.3.4 调节器 AQK、BQK 方式开关和厂用电备自投 BK 开关组态图增加断点保护功能，防止控制器自启动后，励磁调节器和厂用电自投开关退出运行。2.3.5 检查 ECS 系统的所有组态，对存在以上问题的逻辑进行修改。 6 r& r H: S, z5 E d2.3.6 联系调节器厂家，使调节器内部可以作到运行状态自保持，将控制器控制调节器的方式改为短脉冲信号控制。* x- O4 F l _- _# u r2.6.7 在 ECS 内增加手动 50Hz 柜输出电压自动跟踪功能。三、案例二在线传代码致
5、使机组解列 4 1 n! p8 * D( 0 |3.1 事件经过 0 6 G; $ D- T9 Y X# Y5 H2002 年 7 月 12 日，B 电厂 5 机组监盘人员发现机组负荷从 552MW 迅速下降，主汽压力突升，汽轮机调门开度，由原来的 20%关闭到 10%并继续关闭，高调门继续迅速关闭至0%，机组负荷降低至 5MW，运行人员被迫手动紧急停炉，汽轮机跳闸，发电机解列。 4 U 3 ( h9 u- _9 R 3.2 原因分析 DCS 与汽轮机控制系统分别由两家国外公司制造，两系统差异较大，通讯问题没有很好地解决，存在一些难以消除的缺陷。热控人员在 DCS 工程师站上向负责 DCS 与
6、汽轮机控制系统通讯的 PLC 传送通讯代码时，DCS 将汽轮机阀位限制由正常运行中的 120%修改为 0.25%，造成汽机 1、2、3 号调门由 20%关闭至 0%，机组负荷由 552MW 迅速降至 5MW。 j: B; e6 j/ 2 A* B/ C( 6 L3.3 防范措施 5 R1 s/ : p: f; C7 & E& W: L3.3.1 机组运行期间，禁止 DCS 传代码工作。8 6 |2 q1 W9 k% X6 z3.3.2 机组停运期间，DCS 传代码时，应经运行班长同意，并做好安全措施。, z9 R2 F* . X1 p4 j3 t2 I; m8 g3.3.2 将 DCS 操作员
7、站对汽轮机控制系统操作员站画面进行操作的功能闭锁，但在 DCS 操作员站上仍能监视到汽轮机控制系统的信息。四、案例三 DCS 工作站时钟混乱引发 DCS 失灵4.1 事件经过：, 6 - 6 g: |& n: L) R2001 年 8 月 3 日，C 电厂 2 号机组负荷 200MW，#1 至#9 控制器处于控制方式，#51 至#59 控制器处于备用方式。8 时 23 分，各控制器依次发 NTP 报警，历史站报警窗口显示如下：Aug 3 08：23 ：50 drop7 7 NTP：too many recvbufs allocated（30） d; 8 e. * |Aug 3 08：23 ：5
8、0 drop4 7 NTP：too many recvbufs allocated（30）8 B j/ X9 X# q( % V& O0 ?- n7 g7 e0 a- u5 N/ c8 & u( N2 l5 G( V8 时 26 分，#2 控制器脱网，#52 控制器切为主控；11 时 05 分，#52 控制器脱网；13时 39 分， #7 控制器脱网，#57 控制器切为主控，在#7 控制器向 #57 控制器切换瞬间，由该控制器控制的 A、B 磨煤机跳闸； 15 时 11 分，#9 控制器脱网，#59 控制器切为主控，在#9控制器向#59 控制器切换瞬间，由该控制器控制的 E 磨煤机跳闸；15
9、时 51 分，#1 控制器脱网，#51 控制器切为主控，在#1 控制器向#51 控制器切换瞬间，由该控制器控制的 A 引风机动叶被强制关闭。0 N7 F2 P6 7 L # a/ R1 f q15 时 22 分，重启操作员站 drop213（备用时钟站） ，NTP 报警未消失；15 时 35 分，重启历史站，NTP 报警未消失；15 时 59 分，重启工程师站（主时钟站） ，NTP 报警基本消失；16 时 09 分，重启历史站， 16 时 30 分，系统恢复正常。8 n3 D c E4.2 原因分析- J& V2 A- c4 r: O1 UNTP 软件的作用就是维持网络时钟的统一，主时钟设置在
10、工程师站上，备用时钟设置在操作员站上。控制器脱网原因为主时钟与备用时钟不同步造成系统时钟紊乱，从而造成NTP 报警导致控制器脱网。, L o1 l9 S- y 9 NTP 故障的原因有两种可能，一种是主频为 400MHz 工作站，不同于 1 号机组的270MHz(SUN 公司在 400MHz 工作站上对操作系统有较大改进) 工作站，2 号机组所用的 1.1版本软件在 400MHz 工作站上未测试过，不能确保 1.1 版本软件在此配置上不出问题。另一种是主时钟与备用时钟不同步，在 8 月 3 日控制器脱网后，曾发现 Drop214 的时钟比其它站快了 2 秒, 当时 Drop214 的画面调用速
11、度较慢，经重启后正常，并且 NTP 时钟报警是在系统运行 73-75 天左右才出现的，估计是系统时钟偏差积累到一定程度后导致主、备时钟不同步，而引起系统时钟紊乱，最终导致控制器脱网。1 y7 8 a1 d; % 1 ENTP 时钟故障使控制器脱网，处理不及时会使报警的控制器依次脱网，从而导致整个控制系统瘫痪。4.3 防范措施 8 n- k0 E( l; x9 ; j4.3.1 根据本次故障现象，制造商将软件由 1.1 版本升级为 1.2 版本。& q% F+ Y M+ A1 H2 e# % N4.3.2 为确保控制系统可靠运行，定期重启主时钟和备用时钟站。$ l0 ; c! t9 J; E:
12、Z4.4 D 电厂 5 号机组在 2002 年试运期间曾发生 DCS 时钟与 GPS 时钟不同步，引发 DCS 操作员站失灵事件。由于网 上传送的数据均带时间标签，时钟紊乱后会给运行机组带来严重后果，基本情况与 C 电厂 2 号机组类似。采取的措施是暂时断开 GPS 时钟，待软件升级和问题得到根本解决后，再恢复 GPS 时钟。五、案例四 CABLETRON 集线器总通讯板故障导致 MFT 误动5.1 事件经过 T8 & V2002 年 1 月 1 日，E 电厂 1 号机组负荷 250MW，#51 至#59 控制器处于控制方式，#1至#9 控制器处于备用方式，A 、B、C、E、F 磨煤机运行。1
13、8 时 57 分，所有磨煤机跳闸（直吹炉） ，MFT 动作，机组跳闸。5.2 原因分析 5 ?, n, J; a4 K, m i s+ s+ U8 D 经分析，确认是 DCS 集线器的总通讯板故障，导致连在其上的所有控制器同时发生切换，在控制器向备用控制器切换过程中，#57、#58、#59 控制器 PK 键信号误发（这三个控制器属 FSSS 系统） ，即 CRT 上 磨煤机跳闸按钮 的跳闸和确认指令同时发出，使所有磨煤机跳闸，导致 MFT 动作。5.3 防范措施CABLETRON 集线器属于早期产品，目前在市场上购买备件已比较困难，采用 CISCO 集线器来取代 CABLETRON 集线器。+
14、 K; J6 p & i5 L六、案例五 冗余控制器失灵造成机组跳闸) W7 R7 K- o/ y7 H& n G% 9 D6.1 事件经过2003 年 3 月 23 日，F 电厂3 机组停机前电负荷 115MW，炉侧主汽压 9.55MPa，主汽温 537，主给水调节门开度 43%，旁路给水调节门开度 47%（每一条给水管道均能满足100%负荷的供水） ，汽包水位正常；其它各参数无异常变化。监盘人员发现锅炉侧部分参数显示异常，各项操作均不能进行，同时炉侧 CRT 画面显示各项自动已处于解除状态。调自检画面发现#3 控制器离线，#23 控制器处于主控状态。运行人员立即联系热工人员处理，同时借助汽
15、机侧 CRT 画面监视主汽压、主汽温，并对汽包电接点水位计和水位 TV 加强监视，主汽压在 9.09.6MPa 波动、主汽温在 510540波动、汽包水位在+75-50mm 波动，维持运行。- A H2 W% l1 z4 A3 G3 Y几分钟后，热工人员赶到现场，发现#3 控制器离线、 #23 控制器为主控状态，但#23 控制器主控下的 I/O 点（汽包水位、主汽温、主汽压、给水压力、等）均为坏点，自动控制手操失灵。经过多次重启，#3 控制器恢复升为主控状态。在释放强制的 I/O 点时，监盘人员发现汽包水位急剧下降，就地检查发现旁路给水调节门在关闭状态，手动摇起三次均自动关闭，汽包水位 TV
16、和显示表监视不到水位，手动停炉、停机。7 p+ t1 w7 - o1 3 D o5 s6.2 原因分析# T) l+ W1 M, A; j2 ; c; R根据能追忆到的历史记录分析，可以推断#3 控制器（主控）故障前， #23 控制器（辅控）因硬件故障或通讯阻塞，已经同 I/O 总线失去了通讯。当#3 控制器因主机卡故障离线后，#23 控制器升为主控，但无法读取 I/O 数据，造成参与汽水系统控制的一对冗余控制器同时失灵，给水自动控制系统失控，汽包水位保护失灵。在新更换的3 控制器重启成功后释放强制点的过程中，DCS 将旁路给水调节门指令置零（逻辑如此设计是为了在控制器故障时，运行机组向更安全的方向发展） ，关闭旁路调节门。而旁路调节门为老型号的阀门，相当于解除了自保持的电动门（接受脉冲量信号） ，切手动时不能做到电气脱扣，因此，紧急情况
