一、前 言 
   DCS在国内大型火力发电机组上应用始于上世纪八十年代后期，到目前为止只有十几年的运行经验。华能国际电力股份有限公司整套引进350MW机组，投资建设的南通、上安、大连、福州电厂是国内最早应用DCS的电厂。 

    随着火力发电机组自动化水平的不断提高，单元机组DCS系统的功能范围不断扩大。近两年新建和改造机组的单元控制室内除用于紧急停机、停炉用的后备手操外，其余操作全部依赖于DCS。因而，由于DCS本身故障引起的跳机现象时有发生。所以，如何提高DCS的可靠性作为一个重要课题摆在了从事热工自动化工作的各位人士的面前。 

    由于工作关系，有机会到过三十多家火电厂收资、交流或验收，接触到应用DCS的100～700MW单元机组近八十台，几乎覆盖了国内应用过的所有类型的DCS，对各种类型的DCS发生的故障有较多的了解，无论是进口DCS，还是国产DCS 

，尽管在原理、结构上迥异，包含的子系统也不一样多，但都或多或少地出现过一些相类似的故障，通过对典型故障进行深入细致地分析，找出故障的真正原因，举一反三，制定出防范措施，并正确地实施，可以很好地防止此类DCS故障的重复发生。本文列举了几个典型的DCS故障案例，供从事热工技术管理及检修人员参考。 

    二、案例1：控制器重启引发机组跳闸 

    2.1 事件经过 

    2001年11月1日，A电厂4号机组停机前有功负荷270MW，无功96MVar，A、B励磁调节器自动并列运行，手动50Hz柜跟踪备用。 

    14时26分，事故音响发出，发电机出口开关、励磁开关跳闸，"调节器A柜退出运行"、"调节器B柜退出运行"等报警信号发出，机组解列。对ECS控制系统检查、试验，发现#14控制器发生故障已离线，与之冗余的＃34控制器发生重启，更换了#14和＃34控制器主机板后，机组重新启动，不久，发变组与系统并列。 

    2.2 原因分析 

    根据历时数据分析，13时31分，#14控制器硬件故障而离线运行，热备用的#34控制器自动由辅控切为主控。14时26分，#34控制器由于通讯阻塞引起"WATCHDOG"误判断，致使控制器重启。由于控制器控制励磁调节器的方式为长信号，没有断点保护功能，#34控制器重启后，不能自动回到断点前的状态，导致A、B调节器自动退出运行，手动50Hz柜自动投入。由于发电机失磁，发电机端电压下降，导致厂用电源电压降低，手动50Hz柜输出电压继续降低，手动50Hz柜投入后发电机没有脱离失磁状态，直至切除励磁装置，造成发电机失磁保护动作，发电机出口开关跳闸。 

    #14控制器和#34控制器控制发变组设备，包括厂用电切换的备自投继电器接点BK，#34控制器重启后，BK自动复位，继电器接点断开，BK投到退出位置，造成6KV电源开关6410、6420开关自投不成功。 

    2.3 防范措施 

将故障控制器更换。后来制造厂确认这一批主板晶振存在问题，同意免费更换，利用停机机会更换4号机组所有控制器主板。 
增加任一控制器、I/O卡、通讯卡离线报警功能。 
程序内部"WATCHDOG"的时间设置太短，易造成误判断，对所有控制器进行软件升级。 
调节器AQK、BQK方式开关和厂用电备自投BK开关组态图增加断点保护功能，防止控制器自启动后，励磁调节器和厂用电自投开关退出运行。 
检查ECS系统的所有组态，对存在以上问题的逻辑进行修改。 
联系调节器厂家，使调节器内部可以作到运行状态自保持，将控制器控制调节器的方式改为短脉冲信号控制。 
在ECS内增加手动50Hz柜输出电压自动跟踪功能。 
    三、案例2：在线传代码致使机组解列 

    3.1 事件经过 

    2002年7月12日，B电厂＃5机组监盘人员发现机组负荷从552MW迅速下降，主汽压力突升，汽轮机调门开度，由原来的20%关闭到10%并继续关闭，高调门继续迅速关闭至0%，机组负荷降低至5MW，运行人员被迫手动紧急停炉，汽轮机跳闸，发电机解列。 

    3.2 原因分析 

    DCS与汽轮机控制系统分别由两家国外公司制造，两系统差异较大，通讯问题没有很好地解决，存在一些难以消除的缺陷。热控人员在DCS工程师站上向负责DCS与汽轮机控制系统通讯的PLC传送通讯代码时，DCS将汽轮机阀位限制由正常运行中的120%修改为0.25%，造成汽机1、2、3号调门由20%关闭至0%，机组负荷由552MW迅速降至5MW。 

    3.3 防范措施 

机组运行期间，禁止DCS传代码工作。 
机组停运期间，DCS传代码时，应经运行班长同意，并做好安全措施。 
将DCS操作员站对汽轮机控制系统操作员站画面进行操作的功能闭锁，但在DCS操作员站上仍能监视到汽轮机控制系统的信息。 
    四、案例3：DCS工作站时钟混乱引发DCS失灵 

    4.1事件经过 

    2001年 8月3日，C电厂2号机组负荷200MW，#1至#9控制器处于控制方式，#51至#59控制器处于备用方式。8时23分，各控制器依次发NTP报警，历史站报警窗口显示如下： 

    Aug 3 08：23：50 drop7 ＜7＞ NTP：too many recvbufs allocated（30） 
    Aug 3 08：23：50 drop4 ＜7＞ NTP：too many recvbufs allocated（30） 
    ……… 
8时26分，#2控制器脱网，#52控制器切为主控；11时05分，#52控制器脱网；13时39分，#7控制器脱网，#57控制器切为主控，在#7控制器向#57控制器切换瞬间，由该控制器控制的A、B磨煤机跳闸；15时11分，#9控制器脱网，#59控制器切为主控，在#9控制器向#59控制器切换瞬间，由该控制器控制的E磨煤机跳闸；15时51分，#1控制器脱网，#51控制器切为主控，在#1控制器向#51控制器切换瞬间，由该控制器控制的A引风机动叶被强制关闭。 

    15时22分，重启操作员站drop213（备用时钟站），NTP报警未消失；15时35分，重启历史站，NTP报警未消失；15时59分，重启工程师站（主时钟站），NTP报警基本消失；16时09分，重启历史站，16时30分，系统恢复正常。 
4.2 原因分析 

    NTP软件的作用就是维持网络时钟的统一，主时钟设置在工程师站上，备用时钟设置在操作员站上。控制器脱网原因为主时钟与备用时钟不同步造成系统时钟紊乱，从而造成NTP报警导致控制器脱网。 

    NTP故障的原因有两种可能，一种是主频为400MHz工作站，不同于1号机组的270MHz(SUN公司在400MHz工作站上对操作系统有较大改进)工作站，2号机组所用的1.1版本软件在400MHz工作站上未测试过，不能确保1.1版本软件在此配置上不出问题。另一种是主时钟与备用时钟不同步，在8月3日控制器脱网后，曾发现Drop214的时钟比其它站快了2秒