通过一起330MW汽轮机组异常跳闸过程分析，阐明基于汽轮机逻辑保护卡（LPC卡）实现的危急遮断系统（ETS）原理，发现其存在保护与首出不一致的设计隐患。在无事件顺序记录（SOE）状况下，透过首出假象，分析跳闸过程数据，结合一系列EH油系统排查、比对试验，合理解释了ETS 系统动作的真实原因，同时从设计原则、防止拒动、完善重要测点等方面，提出了改进ETS系统可靠性的具体措施。
【关键词】：汽轮机组；危急遮断系统；汽轮机逻辑保护卡；首出；EH 油压；自动停机遮断；可靠性
0 引言
汽轮机危急遮断系统（emergency trip system，ETS）的可靠性对汽轮机安全运行以及快速、准确分析机组跳闸原因具有十分重要的作用。从ETS 系统控制装置实现形式看，现阶段ETS 系统主要有3 种类型，一是采用冗余PLC 装置实现，这也是当前多数运行机组采用的主要配置。二是采用D C S 一体化平台， 核心逻辑运算单元由DCS 控制器或专用模件实现，如各类DCS 产品、新华XDPS LPC 卡等。三是采用安全等级更高的专用平台，如GE 公司的三重化安全表决系统（GMR）、Tricon 系统、本特利三冗余ETS 控制器等。ETS 系统可靠性综合表现在硬件和软件等多个方面，包含设计、制造、调试、维护等各个环节。
某公司一期2 台3 3 0 MW 汽轮机组为采用ALSTOM 技术生产的亚临界压力、单轴、三缸、两排汽、一次中间再热、凝汽式汽轮机，型号为N330-17.5/540/540。机组DCS 采用XDPS-400 系统，汽轮机控制使用DEH-ⅢA 型双机冗余全数字汽轮机电液调节系统，ETS 系统由北京北重汽轮电机有限公司成套供货，通过DCS 一体化平台，采用XDPS 汽轮机逻辑保护卡（ logic rotection card，LPC 卡）方式实现。
2017 年1 月，2 号机组发生ETS 首出显示为“电气-液压（electro-ydraulic，EH）油压低”的停机故障，由于ETS 系统设计存在一定不足和故障的复杂性，ETS 首出曾一度严重困扰故障分析过程。最终在大量试验、比对和分析的基础上，找到了故障停机的真正原因。鉴于采用类似设计的电厂用户还有很多，问题的分析和解决过程对改进ETS 系统可靠性具有一定的参考价值。
1 故障过程
2017 年1 月12 日故障前，2 号机组负荷162MW，2 套制粉系统运行，主要参数正常，EH 油系统A 泵运行，电流为20.83 A，EH 油母管压力为13.64 MPa。23:35:36，EH 油A 泵电流开始在19.9~23.5 A 震荡，EH 油母管压力由13.64 MPa 持续下降。2 3 : 3 6 : 4 8， 发电机功率3 s 内从1 6 2MW 迅速减至2.76 MW， EH 油母管压力最低为11.216 MPa，EH 油压低（连锁压力开关，定值≤11.30 MPa）动作，成功联启EH 油B 泵。
23:36:49，发电机功率低至–2.679 MW，发电机主保护停机动作，汽轮机跳闸。ETS 首出显示时间先于发电机解列，内容为“EH 油压低”。故障过程历史趋势如图1 所示。
图 1 EH 油压低跳闸历史趋势
2 初步原因分析
2.1故障过程特点
EH 油压低汽轮机跳闸保护设置4 个保护压力开关，采用串-并联关系实现保护，整定值为≤9.5MPa。但因事件顺序记录（ sequence of event，SOE）配置文件路径错误，SOE 功能未能正确显示，初步跳闸分析主要依据XDPS 历史趋势（XDPSTrend）和XDPS 报警历史（XDPS AlmHis）进行，故障过程存在如下2 个基本特点。
（1）EH 油压模拟量测点并未下降到9.5 MPa，但ETS 首出显示EH 油压低保护动作。跳闸前EH 油母管压力最低为11.216 MPa，且油压下降到11.500 MPa 时，连锁启动备用泵的压力开关也正常动作，两者定值基本一致。事后现场对所有保护、连锁压力开关进行了包括安装布置、定值校验、组态逻辑等可疑环节在内的二次复核，均未发现疑点。
（2）DCS 操作员站“EH 油压低”首出（图1中ETSSC1 测点）和报警历史“EH 油压低”（图2中LPCTRIP2 测点）显示内容一致，动作时间接近23:36:34，而发电机在23:36:49 解列，两者相差15 s；此外报警历史共记录到3 次“EH 油压低”信号，分别在23:36:34，23:36:38，23:36:44 3 个时刻出现，且在同一秒复归，前后3 次报警记录规律相似，第一次报警信号如图2 所示。
图 2 EH 油压低报警信号
2.2 跳闸原因初步分析
汽轮机专业通过查询停机历史趋势，排除了机组跳闸时自动停机遮断（ automatic shift trip，AST）电磁阀跳闸信号和EH 油压低信号同时动作的可能性；通过现场试验和历史趋势否定了EH油泵停止时油压瞬间波动造成保护误动的可能。机组跳闸后，除采取切换至EH 油B 泵运行的主要措施外，未安排其他相关工作，且已连续运行40 余日，EH 油系统稳定，基本可以排除因系统内、外部件明显泄漏造成EH 油压下降的因素。
现场分析XDPS Trend 模拟量采集和记录的时间间隔是1 s，且压力开关动态响应时间要快于模拟量变送器，XDPS AlmHis 也记录到了3 次油压低过程，倾向于支持EH 油母管压力曾下降到9.5MPa、进而触发了EH 油压低保护的结论，并推测模拟量因动态响应慢和历史趋势采集速度精度低，故未能记录到油压瞬间下降过程。
初步分析未能对跳闸时EH 油母管压力高出跳闸保护值约2 MPa 的现象作出更加合理的解释， 也未能对连续出现3 次的EH 油压低记录，以及ETS 系统动作过程、首出记录作出深入的分析。因此，需要进一步对ETS 系统的软、硬件组成和机组实际跳闸过程进行更加全面、详细的排查和分析。
3 机组跳闸过程全面分析
3.1 基于LPC卡的ETS 硬件结构
2 号机组ETS 系统采用基于LPC 卡的DCS 一体化系统，LPC 卡采用专门设计，执行周期小于5 ms； 相比之下， XDPS 系统的分散处理单元（DPU）逻辑页执行周期一般在50 ms~10 s。此外，LPC 卡专门进行了可靠性冗余优化，具有智能CPU，可将所有保护信号通过I/O 总线送到DPU 供显示、记录、报警，并记录机组跳闸首出原因；LPC 卡还具有SOE 功能，时间分辨率小于1 ms。
ETS 系统采用双冗余LPC 配置， 共分2 组，每组3 块LPC 卡， 第一组编号依次为1、3、5，组内3 块卡功能相同， 差异仅在于保护项目不同；第二组编号依次为2、4、6。LPC 卡的组与组保护逻辑完全相同，采用二取一动作，双冗余结构可最大程度上防止保护拒动。2 组LPC 卡通过3 块端子板（ L P C - T B） 及其预制电缆连接I/O 信号，每块端子板集成有24 个开关量输入和6 个继电器输出通道。
任一块L PC 卡保护动作时， 对应的L P C -TB 板4 个（另有2 个备用）继电器线圈均得电，常闭点断开，硬跳闸回路中的AST1~AST4 电磁阀失电，高压安全油泄油通道打开，所有蒸汽阀关闭实现停机。LPC 卡驱动的ETS 跳闸回路原理如图3 所示。
图 3 基于L PC 卡的ETS 继电器跳闸回路原理
3.2 ETS 保护和首出逻辑实现
ETS 保护逻辑由LPC 卡预制实现，逻辑经烧录后，生产现场无法更改。ETS 首出功能未能在LPC 卡内实现，需另外在DPU 组态实现，DCS 操作员站显示的“E T S 首出”是D PU 逻辑处理LPC 卡输入点的结果。显然，该ETS 首出功能只用于DCS 显示，但并不是导致AST 跳闸继电器动作的首个原因；只有当LPC 卡保护逻辑触发后，AST 跳闸电磁阀才真正动作。
一般情况下，ETS 动作和首出逻辑应在同一处理器内实现，如果将两者在不同的处理器（如LPC 卡和DPU）中实现，即使采用相同的输入信号，考虑到两者在扫描周期、逻辑组态和通信速率等环节上存在的差异，当输入信号脉冲宽度较短时，两者的输出理论上会存在差别。
3.3 LPC 卡动作对输入信号脉冲宽度的要求
ETS 系统设计应遵循简洁、直接、独立、快速的基本原则，尽量减少各种中间环节和时间延迟，尽量避免转接、扩展和转换，但对输入信号脉冲宽度或持续时间并无明确要求和测试，加上LPC 卡本身有上电防误动、输入防误动、输出防误动等设计， 当输入信号脉冲宽度过短时，ETS 跳闸输出不一定动作。对同类LPC 卡脉冲宽度测试结果表明：输入脉冲信号宽度大于27 ms时，ETS 完全能触发动作；输入脉冲信号宽度在24~26 ms 时， ETS 有时能触发动作， 有时不动作；输入脉冲信号宽度小于23 ms 时，ETS 不动作。
3.4 EH 油系统现场排查和对比试验
影响EH 油压跌落的因素较多，包括高压蓄能器排油门漏流、EH 油泵工作异常、压力开关定值飘移、打闸后EH 油压异常降低、伺服阀漏流、调节门频繁摆动、快速卸荷阀故障等因素。现场进行的排查、比对和验证性试验的主要内容如下。
（1）跳闸前1 周，EH 油箱油位稳定，油温及回油温度正常，油质定期化验指标无异常，滤网差压无报警。可排除油质明显恶化、气蚀、滤网堵塞等因素。
（ 2） 2 号机组在倒换到B 泵后已稳定运行40 余天，各阀门供、回油管路温度均正常，证实伺服系统、卸荷阀和供油系统无明显内漏。专项检查EH 油试验模块和EH 油母管溢流阀，相关试验模块电源、试验电磁阀、手动门、就地压力表、远传压力开关、取样管路和溢流阀等均未发现明显外漏和异常。
（3）检查高、低压蓄能器手动截止阀和充氮压力，发现压力值均略低于正常数值，截止阀无明显漏流。
（4）检查现场热工和动力电缆走向，布置规范；查询数次EH 油泵启动历史趋势，未发现启动电流对EH 油保护压力开关造成干扰现象。
（5）检查隔膜阀和危急遮断系统电磁阀组件正常。故障前后DCS 润滑油压测点无明显变化，现场比对试验证实隔膜阀工作正常。检查AST 跳闸电磁阀定期试验记录、对比试验数据，可排除跳闸电磁阀组件异常情况。
（ 6） 一次调频功能设计有发电机功率小于50%Pe 时切除功能。故障前机组低负荷调峰，电负荷在160 MW 附近波动， 一次调频功率频繁“切除与恢复”，但因未设置限速环节，造成顺序阀方式下的GV3、GV4 同时在51%~84% 大幅快速开关，伺服系统大量用油，需要EH 油泵快速增加出力。
（7）测点LPCTRIP2 描述虽为“EH 油压低跳机”， 但却是输入中间点， 并不是首出运算结果。该输出直接送DCS 操作员站显示。
（ 8） 进行EH 油泵大出力动态试验。启动1 号机组E H 油泵， 大幅动作G V 1 ~ G V 4 、IV1~IV2 等调节门，观察EH 油母管压力和油泵电流，正常时，两者呈现负相关性。只要油压略微下降，EH 油泵电流就会快速上升，从正常的20A 上升到46 A 左右；反之亦然，电流与压力的关系如图4 所示。
图 4 电流与油压呈负相关性
（9）实际打闸1 号汽轮机组，区分EH 油泵全停和EH 油泵运行2 种工况，获得汽轮机跳闸后EH 油压变化曲线以及LPC 卡正常动作时的跳闸过程数据。试验表明， EH 油压低正常动作时，报警历史应在同一秒内记录到油压低保护开关测点和AST1~AST4 电磁阀同时动作的记录，而不应只有所谓“首出”，如图5 所示。
图 5 A ST 跳闸电磁阀同时动作
3.5 “EH 油压低”是假首出
整理机组跳闸前后主要参数变化数据，如表1所示。
表 1 机组跳闸前后主要参数变化数据
追溯故障基本过程如下。
23:36:34 和23:36:38，EH 油压在振荡下行中瞬间触发了保护开关，LPC 卡DI 输入通道（时间分辨率小于1 ms）快速记录到了状态变化，并在报警历史中留下了前两次记录，DPU 逻辑在第一次就“正确”运算出“EH 油压低”首出， 但由于LPC 卡的防误动设计，未与首出逻辑同步动作，AST 跳闸电磁阀没有失电动作。
23:36:44，报警历史显示在第三次EH 油压低出现时，表征AST 母管安全油压正常的3 个挂闸压力开关同时发生状态翻转（ 整定值为≥ 7MPa），汽阀关闭；炉侧“机跳炉”逻辑采用安全油压低压力开关“三取二”触发MFT 动作。
23:36:49，发电机主保护停机动作，LPC 卡保护逻辑才真正动作输出，AST1~AST4 跳闸电磁阀同时失电动作。因此，ETS 跳闸的真正原因是“发电机主保护停机”，而不是15 s 前DCS 显示并保持住的“EH 油压低”首出。
3.6 EH 油泵出力异常导致母管油压下降
EH 供油系统配置2 台DENISON（丹尼逊）PV29 恒压变量柱塞泵，当天多个时段多次发生EH 油压持续下降和电流波动。故障前再次出现EH 油压下降时，A 泵并没有快速增加出力，说明油泵出力异常。
恒压变量柱塞泵通过泵出口压力变化自动调整泵的输出流量来维持压力恒定。EH 油压波动主要是由于泵的调节装置动作不灵活造成的，主要包括调压阀和变量活塞两部分故障。当油质劣化出现调压阀阀芯或变量活塞部分卡涩时，都会引起压力波动故障。
3.7 AST 母管安全油压下降的一种合理解释
故障前EH 油母管压力和自动停机先导油压(autostop pressure， ASP) 油压下降过程曲线如图6 所示，两者表现出一致的同步下降特征。
图 6 A SP 油压同步下降
该机型AST 母管安全油是由EH 母管高压油直接节流和高、中压主汽门的卸荷阀节流孔并联形成，在通向AST 母管接口处各安装了一只逆止（单向）阀，目的是防止安全油倒流，也避免阀门全行程活动试验时对母管油压的影响。ASP 油压由AST 母管安全油节流而来，正常情况下，前后两支节流孔大小相同，加上回油管道为无油回油，正常时ASP 油压是AST 母管油压的一半。因此，通过ASP 压力变化，可以间接推断AST 母管安全油压的变化。
EH 母管油压、AST 母管油压和ASP 油压三者的简要关系如图7 所示。
图 7 EH 油系统油压简要关系
一般情况下，由于逆止阀的存在，AST 母管安全油压并不会受EH 母管供油压力下降的影响，但逆止阀如发生卡涩、内漏，将导致AST 母管安全油直接受EH 母管油影响。
ASP 油压下降包括前置节流孔堵塞或后置节流孔、下游电磁阀组任一阀芯的内漏加大等因素，由于前置节流孔的作用，单一的故障因素虽可以造成ASP 油压下降，但很难直接造成AST 母管油压、EH 母管油压下降。因此，安全油逆止阀因油质劣化出现了短时卡涩故障可以比较合理地解释AST 母管油压与EH 油母管压力同步下降的现象。
3.8 机组实际跳闸的详细过程
综上所述，由于一次调频功能在50%Pe 时无速率限制的反复投切， 高压调节门快速大幅动作，伺服系统大量用油；EH 油泵出力调节异常时，EH 油母管压力不能维持恒定，油压波动并衰减下行，在某一主汽门的安全油逆止阀因油质劣化卡涩时，直接影响AST 母管安全油压以及再次节流后的ASP 油压同步下降。23:36:44， 当EH 母管油压下降到11.463 MPa 时，AST 母管安全油压已下降到小于7 MPa（报警历史中3 个挂闸压力开关信号均同时消失），在DEH 阀门管理逻辑和VCC 卡（新华智能型阀门伺服卡）超驰作用下，所有汽轮机阀门指令自动归零，汽门全部关闭，发电机快速减负荷。同时触发了“机跳炉”MFT 动作， 锅炉灭火。此时汽轮机事实上已跳闸，但ETS 系统并未能正确判断并送出汽轮机跳闸信号。23:36:49，发电机出现逆功率，“电跳机”真正动作LPC 卡，AST 电磁阀失电，汽轮机跳闸。
4 ETS 系统改进
（ 1） 采用专用模件、P LC 等装置实现的ETS 系统，保护和首出逻辑应在同一处理器中实现，并测试结果一致。
（2）ETS 系统保护项目应根据生产工艺过程特点设置。装置的响应速度既要满足转速测量回路（小于20 ms）等快速变化参数的要求，也要在逻辑处理环节兼顾EH 油压低及其他慢速变化参数的防误动措施，EH 油压低保护可以增加1~3 s的延时设置。
（3）ETS 系统逻辑设计中的保护测点、重要中间量应定义清晰，保证组态规范性和易读性，并设置完整的SOE 记录功能，设备维护阶段定期测试SOE 功能正常。
（4）ETS 系统逻辑设计应充分考虑保护拒动风险。当就地油系统故障或误动导致AST 母管安全油压失去时，各汽门实际已关闭，但ETS 系统表征的“汽轮机跳闸”信号并未动作，直接使用“ETS 动作”装置信号会造成汽轮机主保护拒动、汽轮机本体连锁保护设备拒动，增加锅炉超压和汽轮机超速的风险。可采用主汽门关闭信号（脉冲）或AST 母管安全油压低信号（脉冲）反跳一次的ETS 逻辑解决。
（5）增加危急遮断系统的重要模拟量监视测点。从设备维护和测点可靠性出发，模拟量信号可靠性和实用性要好于开关量信号，AST 母管安全油压、ASP 油压和隔膜阀上腔室润滑油压等危急遮断系统的重要模拟量测点均应远传进入DCS 监视。
5 结语
ETS 系统是机炉电大连锁保护的中心环节，ETS 系统设计本身虽并不复杂，但每个保护环节都需要反复斟酌，并理清与DEH、FSSS、发变组保护等系统的具体接口。只有充分考虑ETS 系统实现特点以及相关系统间的内在联系，才能全面提高和改进ETS 系统的可靠性。
閱讀更多 電力鷹 的文章
