田小兵

(西南電力設(shè)計(jì)院有限公司，四川 成都 610021)

鍋爐保護(hù)安全儀表系統(tǒng)設(shè)計(jì)

田小兵

(西南電力設(shè)計(jì)院有限公司，四川 成都 610021)

生產(chǎn)企業(yè)健康、安全與環(huán)境(HSE)正越來越多地受到人們的關(guān)注，火力發(fā)電廠的關(guān)鍵設(shè)備之一，蒸汽鍋爐的容量和參數(shù)也正逐步提高，它的安全運(yùn)行關(guān)系著電廠的安全生產(chǎn)。因此鍋爐保護(hù)有必要采用安全性和可靠性都更高的安全儀表系統(tǒng)。本文就將結(jié)合多個工程實(shí)例，對鍋爐保護(hù)采用安全儀表系統(tǒng)的工程設(shè)計(jì)展開研究論述。

鍋爐保護(hù)；安全儀表系統(tǒng)；FSS；SIL3。

1 概述

近年來火力發(fā)電領(lǐng)域?yàn)榱颂岣甙l(fā)電效率和降低排放，主機(jī)容量和參數(shù)都越來越高，但同樣也增大了其潛在的HSE風(fēng)險。正因?yàn)槿绱耍?011年頒布實(shí)施的《大中型火力發(fā)電廠設(shè)計(jì)規(guī)定》GB50660中提出了“火力發(fā)電廠鍋爐和汽輪機(jī)的跳閘保護(hù)系統(tǒng)可采用電子邏輯系統(tǒng)或繼電器硬邏輯系統(tǒng)，系統(tǒng)宜采用經(jīng)認(rèn)證的、SIL3級的安全相關(guān)系統(tǒng)”，第一次正式地將安全儀表系統(tǒng)引入火力發(fā)電領(lǐng)域。

現(xiàn)階段火力發(fā)電領(lǐng)域?qū)τ诎踩珒x表系統(tǒng)無論是理論研究、工程實(shí)踐都還處于探索階段，工程設(shè)計(jì)中在許多關(guān)鍵問題上容易產(chǎn)生分歧和困惑。本文就將結(jié)合參與設(shè)計(jì)的多個采用安全儀表系統(tǒng)的火力發(fā)電項(xiàng)目，對鍋爐保護(hù)安全儀表系統(tǒng)的工程設(shè)計(jì)展開論述。

2 安全儀表系統(tǒng)的特點(diǎn)

2.1 安全儀表系統(tǒng)的安全性

安全性通常以IEC61508/61511中定義的安全完整性等級(Safety Integration Level，SIL)來衡量，指“在規(guī)定的條件下、規(guī)定的時間內(nèi)，安全相關(guān)系統(tǒng)成功實(shí)現(xiàn)所要求安全功能的平均概率”。SIL共分為1，2，3，4四個等級，數(shù)字越大，安全完整性等級越高，SIL等級需要經(jīng)過專門機(jī)構(gòu)認(rèn)證后方能被認(rèn)可，SIL等級的選擇是由工藝流程或生產(chǎn)裝置的安全要求決定的。

2.2 安全儀表系統(tǒng)的整體性

安全儀表系統(tǒng)的整體性既包括安全控制器，還包括所有跟控制器接口的部件，如安全型儀表等檢測裝置以及安全型執(zhí)行器等輸出部件。整體性還體現(xiàn)在其整個生命周期的規(guī)范，如設(shè)計(jì)、施工調(diào)試、運(yùn)行評估、維護(hù)、拆除等，都需要接受第三方認(rèn)證機(jī)構(gòu)的審查。操作人員行為的可用性和可靠性也必須納入安全要求規(guī)范和性能考慮。據(jù)統(tǒng)計(jì)，安全儀表系統(tǒng)全生命周期故障比例中，安裝調(diào)試、工程實(shí)施、操作維護(hù)所引起的故障比例達(dá)到56%。

2.3 安全儀表系統(tǒng)的可用性

安全儀表系統(tǒng)的可用性是指系統(tǒng)在冗余配置的條件下，當(dāng)某一子系統(tǒng)發(fā)生故障時，系統(tǒng)在保證安全功能的前提下仍能保證生產(chǎn)過程不中斷的能力。安全性與可用性是矛盾的兩個方面，某些措施會提高安全性，但會導(dǎo)致可用性下降，反之亦然。例如冗余系統(tǒng)采用二取二邏輯時，則可用性提高，安全性下降；而當(dāng)采用二取一邏輯時，則正好相反；采用故障安全原則設(shè)計(jì)的系統(tǒng)安全性高，采用非故障安全原則設(shè)計(jì)的系統(tǒng)可用性好。

2.4 安全儀表系統(tǒng)組成

安全儀表系統(tǒng)由檢測單元、邏輯運(yùn)算器和執(zhí)行單元組成，其SIL等級是由其構(gòu)成的三個部分中最低的SIL等級決定，因此不能只強(qiáng)調(diào)邏輯運(yùn)算器達(dá)到所需的安全等級，而忽略整體性要求，因?yàn)閮H使用一個SIL3的邏輯解算器是無法保證整個系統(tǒng)成為一個SIL3系統(tǒng)的。

2.5 安全儀表系統(tǒng)結(jié)構(gòu)

安全儀表系統(tǒng)結(jié)構(gòu)主要包括如下幾種：1oo1、1oo2、2oo2、2oo3、1oo1D、1oo2D等，不同結(jié)構(gòu)所能達(dá)到的安全等級也有所不同，目前通過SIL3認(rèn)證的結(jié)構(gòu)主要有1oo2D、2oo3、2oo4等?？梢奡IL3系統(tǒng)并非一定要配置為三重冗余的結(jié)構(gòu)，而三重冗余結(jié)構(gòu)配置的系統(tǒng)，如果未經(jīng)認(rèn)證也不能稱之為SIL3。

3 火力發(fā)電廠安全儀表系統(tǒng)配置方案

火力發(fā)電廠安全儀表系統(tǒng)的配置和安全完整性等級的選擇，需要對工藝生產(chǎn)過程進(jìn)行危險辨識和風(fēng)險評價，如采用化工行業(yè)中常用的HAZOP(危險性與可操作性分析)方法，通過系統(tǒng)、詳細(xì)地對工藝過程和操作進(jìn)行檢查，以確定過程的偏差是否會導(dǎo)致不希望的后果。安全完整性等級也需要通過SIL風(fēng)險評估，大多采用簡化計(jì)算、故障樹分析或者馬爾可夫過程分析等方法進(jìn)行確定，而目前火力發(fā)電廠工藝過程的安全需求、安全完整性等級分析等還基本處于剛起步狀態(tài)，我們可以通過借鑒石化行業(yè)設(shè)計(jì)規(guī)范以及GB50660的規(guī)定，火力發(fā)電廠安全儀表系統(tǒng)安全完整性等級選擇SIL3，同時配置原則如下。

3.1 檢測單元配置原則

安全儀表系統(tǒng)的檢測單元和過程控制系統(tǒng)的應(yīng)分開，并冗余獨(dú)立設(shè)置，不宜采用開關(guān)量儀表。檢測單元根據(jù)安全性或可用性的側(cè)重采用“或”或“與”邏輯結(jié)構(gòu)。當(dāng)系統(tǒng)的安全性和可用性均需保障時，采用三取二邏輯結(jié)構(gòu)。

目前火力發(fā)電廠工程設(shè)計(jì)中，檢測單元根據(jù)重要性已經(jīng)考慮了雙重甚至三重化配置，構(gòu)成了1oo2，2oo3結(jié)構(gòu)，因此只要選擇符合相應(yīng)SIL認(rèn)證要求的傳感器即可。譬如通過三個SIL2認(rèn)證的壓力變送器三取一求中值或者三取二表決使得輸入檢測回路達(dá)到SIL3等級。

3.2 執(zhí)行單元配置原則

執(zhí)行單元一般是安全儀表系統(tǒng)專用的關(guān)斷閥或者是與過程控制系統(tǒng)共用的控制閥，SIL3安全儀表系統(tǒng)宜采用冗余的閥門(如串聯(lián)安裝的兩個同類閥門或一個控制閥和一個切斷閥)。氣動控制閥或氣動關(guān)斷閥均應(yīng)帶接受安全儀表系統(tǒng)控制信號的電磁閥，電磁閥宜冗余配置(根據(jù)側(cè)重點(diǎn)不同電磁閥采用“與”或“或”邏輯)，失電動作，由安全儀表系統(tǒng)供電。

目前工程設(shè)計(jì)中工藝閥門配置通常采用1oo1結(jié)構(gòu)，但要求采用失效安全原則，即執(zhí)行單元設(shè)備在特定的故障發(fā)生時轉(zhuǎn)入預(yù)定義的安全狀態(tài)(向人員和過程安全的方向動作)，但電磁閥配置目前尚未考慮冗余配置。

3.3 邏輯解算單元配置原則

邏輯解算單元可以遵循以下基本原則：

(1)保護(hù)系統(tǒng)獨(dú)立于過程控制(IEC61508建議)。

(2)采用冗余或容錯結(jié)構(gòu)。

(3)系統(tǒng)采用故障安全型。

(4)不允許采用現(xiàn)場總線或其它通訊方式作為安全儀表系統(tǒng)的輸入信號。

3.4 安全儀表系統(tǒng)的軟件要求

安全儀表系統(tǒng)軟件是安全整體性的組成部分，安全工程師站安裝的安全組態(tài)軟件需要符合工藝過程的安全規(guī)則并具有安全認(rèn)證，編程語言需要符合《可編程控制器》IEC61131-3標(biāo)準(zhǔn)要求。安全儀表系統(tǒng)的軟件、編程、升級或修改等文檔都應(yīng)有備份。

4 系統(tǒng)設(shè)計(jì)方案

4.1 功能要求

爐膛安全監(jiān)控系統(tǒng)FSSS是大型火電機(jī)組鍋爐必備的安全監(jiān)控系統(tǒng)，它監(jiān)控燃燒系統(tǒng)參數(shù)和工作狀態(tài)，在必要時通過安全連鎖功能使燃燒設(shè)備安全部件按照既定的安全程序動作，完成必要的操作和緊急跳閘。FSSS包括燃燒器控制系統(tǒng)(BCS)和燃料安全系統(tǒng)(FSS)，燃燒器控制系統(tǒng)包括鍋爐點(diǎn)火準(zhǔn)備、點(diǎn)火槍點(diǎn)火、油槍點(diǎn)火、煤燃燒；燃料安全系統(tǒng)(FSS)又稱為鍋爐保護(hù)系統(tǒng)，它的功能包括爐膛吹掃、油燃料系統(tǒng)泄漏試驗(yàn)、燃料跳閘。

對于安全儀表系統(tǒng)在火電廠中的應(yīng)用范圍，歐洲傾向于全部FSSS功能均采用安全系統(tǒng)，但實(shí)際上FSS中最重要的安全功能就是燃料跳閘(MFT)，是為了當(dāng)出現(xiàn)危及鍋爐安全運(yùn)行的危險情況時，快速切斷所有進(jìn)入爐膛的燃料，以保證安全。有鑒于此，國標(biāo)中規(guī)定了鍋爐跳閘保護(hù)采用經(jīng)認(rèn)證的SIL3安全儀表系統(tǒng)。本文討論也正是基于這一原則，所指的鍋爐保護(hù)均是指鍋爐燃料跳閘保護(hù)。

4.2 一般原則

鍋爐保護(hù)設(shè)計(jì)基礎(chǔ)是根據(jù)NFPA85系列標(biāo)準(zhǔn)《鍋爐和燃燒系統(tǒng)危險標(biāo)準(zhǔn)》和《多燃燒器鍋爐爐膛防內(nèi)爆/外爆標(biāo)準(zhǔn)》的要求，鍋爐跳閘保護(hù)原則性框圖見圖1。工程設(shè)計(jì)中應(yīng)按照鍋爐型式和制造廠提供的《鍋爐保護(hù)說明書》等資料作為跳閘條件和跳閘對象設(shè)計(jì)依據(jù)。其中：

煤燃料跳閘對象包括：給煤機(jī)、磨煤機(jī)、一次風(fēng)機(jī)等煤燃料相關(guān)設(shè)備；

油燃料跳閘對象包括：燃油關(guān)斷閥、油角閥、油槍/點(diǎn)火槍等油燃料相關(guān)設(shè)備；

其它跳閘子對象包括：煤、油燃料設(shè)備之外的所有其它跳閘對象，如減溫水關(guān)斷門、跳閘信號至DCS/ETS/ESP/FGD等等。

燃料跳閘邏輯實(shí)現(xiàn)有兩種方式：第一種方式更趨近于傳統(tǒng)不采用安全儀表系統(tǒng)的設(shè)計(jì)，即除安全儀表系統(tǒng)保護(hù)外，F(xiàn)SS控制器中仍保留完整的MFT“軟”跳閘邏輯，“軟”邏輯的驅(qū)動回路利用跳閘對象順控回路。第二種方式是除安全儀表系統(tǒng)保護(hù)之外，F(xiàn)SS控制器中僅保留爐膛吹掃、油燃料系統(tǒng)泄漏試驗(yàn)等公共邏輯，不再保留MFT“軟”跳閘邏輯，但安全儀表系統(tǒng)同樣保留和順控回路的接口，以實(shí)現(xiàn)雙重跳閘。第二種方式安全可靠性高，邏輯更加簡潔明了，可作為工程設(shè)計(jì)的首選。

因此設(shè)備跳閘指令來源有兩個：一個是安全儀表系統(tǒng)輸出模件輸出的“軟”邏輯跳閘指令(通過正常的順控邏輯指令驅(qū)動執(zhí)行單元)；另一個則是主燃料跳閘繼電器輸出的“硬”邏輯跳閘指令。

主燃料跳閘繼電器由滿足NFPA標(biāo)準(zhǔn)的安全繼電器實(shí)現(xiàn)，采用失電跳閘邏輯，由來自安全儀表系統(tǒng)的“鍋爐跳閘信號”觸發(fā)，回路在觸發(fā)MFT動作后實(shí)現(xiàn)自保持，且僅能由DCS輸出的“爐膛吹掃完成信號”復(fù)位，所有信號均按三重冗余設(shè)置。同時主燃料跳閘繼電器也接受來自操作臺的緊急停機(jī)按鈕信號，緊急停機(jī)按鈕信號同時也提供給安全儀表系統(tǒng)作為“軟”邏輯跳閘條件輸入。

圖1 鍋爐跳閘保護(hù)原則性框圖

MFT跳閘繼電器輸出的常閉跳閘接點(diǎn)(繼電器不帶電時狀態(tài))或常開跳閘接點(diǎn)，和分散控制系統(tǒng)順控“停指令”接點(diǎn)并聯(lián)(當(dāng)停指令為常開接點(diǎn)時)或串聯(lián)接線(當(dāng)停指令為常閉接點(diǎn)時)，串并聯(lián)接線可以在分散控制系統(tǒng)順控機(jī)柜內(nèi)進(jìn)行，也可以在就地設(shè)備側(cè)進(jìn)行，從而實(shí)現(xiàn)停爐時需要跳閘的設(shè)備既通過正常順控回路停止，也通過MFT跳閘回路停止。為了增加線路冗余度，建議串并聯(lián)接線在就地設(shè)備側(cè)進(jìn)行。

此外，MFT跳閘繼電器輸出的常開接點(diǎn)(繼電器不帶電時狀態(tài))和分散控制系統(tǒng)正常順控“啟指令”接點(diǎn)串聯(lián)(當(dāng)啟指令為常開接點(diǎn)時)或并聯(lián)接線(當(dāng)啟指令為常閉接點(diǎn)時)，串并聯(lián)接線在分散控制系統(tǒng)順控機(jī)柜內(nèi)進(jìn)行，從而停爐時需要跳閘的設(shè)備只有在MFT跳閘繼電器復(fù)位后才能在順控指令下啟動。

4.3 信號設(shè)計(jì)

安全儀表系統(tǒng)的輸入信號分兩三類，且必須是以硬接線的方式，不允許采用現(xiàn)場總線或其它通訊方式輸入：

第一類：信號直接來自現(xiàn)場儀表。如主蒸汽壓力、爐膛壓力、火檢冷卻風(fēng)壓力、給水流量、總風(fēng)量等。這些信號均按三冗余設(shè)置，宜采用變送器。其中給水流量、總風(fēng)量等需要溫度補(bǔ)償計(jì)算，同時模擬量調(diào)節(jié)MCS也需要該信號，常規(guī)設(shè)計(jì)中往往是在DCS中計(jì)算后輸出給FSS系統(tǒng)，這實(shí)際上有違保護(hù)優(yōu)先的原則。建議這些信號優(yōu)先接入安全儀表系統(tǒng)，MCS所需要的信號單獨(dú)設(shè)置或由安全儀表系統(tǒng)輸出，如果安全儀表系統(tǒng)不能直接輸入熱電偶等溫度信號，可選用溫度變送器。

第二類：信號不是通過儀表直接測量，而是經(jīng)邏輯判斷后產(chǎn)生。如臨界火焰、爐膛火焰喪失等。這類信號在DCS中產(chǎn)生后再硬接線接入安全儀表系統(tǒng)。

第三類：電氣信號。如三大風(fēng)機(jī)、磨煤機(jī)等重要電動機(jī)的跳閘狀態(tài)信號。這些狀態(tài)信號建議采取三取二表決，以增加信號的可靠性。順控需要的狀態(tài)信號由電氣開關(guān)柜單獨(dú)送出。

4.4 電源設(shè)計(jì)

(1)主燃料跳閘繼電器電源采用兩路直流電源(220 V或110 V)供電，直接取自直流蓄電池不同段饋線柜。電源監(jiān)視繼電器在兩路電源失電時應(yīng)發(fā)出報警信號。跳閘回路設(shè)計(jì)為失電動作，兩路進(jìn)線電源失電時將自動觸發(fā)MFT動作。安全儀表系統(tǒng)根據(jù)主燃料跳閘繼電器的信號同時觸發(fā)“軟”邏輯跳閘。

(2)安全儀表系統(tǒng)電源采用兩路220 V AC電源供電，一路電源取自UPS，另一路電源取自事故保安電源。兩路電源也可取自UPS的不同饋線柜。電源監(jiān)視繼電器在兩路電源失電時發(fā)出報警信號，同時接點(diǎn)送至主燃料跳閘繼電器回路，觸發(fā)MFT動作。

(3)DCS同樣設(shè)計(jì)為在失電時觸發(fā)MFT動作。工程項(xiàng)目在基建期間往往存在DCS單路電源運(yùn)行的情況，為了避免DCS突然失電時運(yùn)行人員手動打閘不及時造成機(jī)組失控，在主燃料跳閘硬回路中增加DCS失電保護(hù)就非常有必要。電源監(jiān)視繼電器在兩路電源失電時發(fā)出報警信號，同時接點(diǎn)送至主燃料跳閘繼電器回路，觸發(fā)MFT動作。

(4)電源報警按要求在集控室進(jìn)行聲光報警。

5 進(jìn)一步研究的內(nèi)容

(1) IEC61508標(biāo)準(zhǔn)強(qiáng)烈建議過程控制系統(tǒng)和安全儀表系統(tǒng)兩種系統(tǒng)分離，但并沒有要求兩者必須獨(dú)立(石化GB/T50770規(guī)定了兩個系統(tǒng)必須獨(dú)立)。兩者之間可采用同種分離也可采用異種分離，同種分離意味著兩者可使用同一制造商的不同產(chǎn)品；而異種分離則意味著兩者使用不同制造商的不同產(chǎn)品。同種分離有助于降低隨機(jī)失效，降低了維護(hù)錯誤的可能性；而異種分離有利于降低系統(tǒng)失效和共因失效。

近年來一些制造商開始在其分散控制系統(tǒng)中提供安全儀表系統(tǒng)，兩者采用同一的通信網(wǎng)絡(luò)，但使用不同硬件結(jié)構(gòu)的控制器和I/O模件，如Ovation系統(tǒng)中就可以集成其安全儀表系統(tǒng)SIS。安全儀表系統(tǒng)有和分散控制系統(tǒng)逐漸融合集成的趨勢，這種趨勢是滿足IEC61508標(biāo)準(zhǔn)還是突破值得討論。

(2)本文討論的鍋爐保護(hù)方案，仍然保留了鍋爐跳閘繼電器硬接線回路。繼電器硬接線回路是在保護(hù)系統(tǒng)采用分散控制系統(tǒng)的背景下產(chǎn)生的，采用安全儀表系統(tǒng)后，可以考慮取消傳統(tǒng)的繼電器硬接線回路。但目前受限于規(guī)程規(guī)范，工程設(shè)計(jì)中仍然保留了跳閘繼電器硬接線回路。

(3)隨著安全儀表系統(tǒng)概念的引入，涉及許多原有名詞術(shù)語涵義的變化。比如爐膛安全系統(tǒng)FSS，包括鍋爐跳閘保護(hù)、鍋爐爐膛吹掃、油燃料系統(tǒng)泄漏試驗(yàn)三功能，常規(guī)做法是在同一控制器內(nèi)實(shí)現(xiàn)。鍋爐跳閘保護(hù)采用安全儀表系統(tǒng)后，爐膛吹掃、油燃料系統(tǒng)泄漏試驗(yàn)功能仍在分散控制系統(tǒng)中實(shí)現(xiàn)，這就涉及到原有FSSS和FSS涵義和內(nèi)容的變化。

[1] 安全儀表系統(tǒng)及其功能安全[R]．中國石化青島安全工程研究院，2009．

[2] 李鵬，王彥剛，陳建平．工廠安全儀表系統(tǒng)設(shè)計(jì)要求及實(shí)現(xiàn)[J]．石油化工自動化，2009，(5)．

[3] 蔡松郁．安全儀表系統(tǒng)的工程設(shè)計(jì)[J]．煉油與化工，2007，(3)．

[4] GB/T 50770-2013．石油化工安全儀表系統(tǒng)設(shè)計(jì)規(guī)范[S]．

[5] 左信，朱春麗．安全儀表系統(tǒng)設(shè)計(jì)與SIL的計(jì)算方法[M]．中國石油大學(xué)(北京)自動化研究所，2008．

[6] IEC61508．Functional safety of electrical / electronic / programmable electric safety related system (2000)[S]．

[7] IEC61511．Functional safety: safety instrumented system for the process sector．(2003)[S]．

Design of Safety Instrument System for Boiler Protection

TIAN Xiao-bing
(Southwest Electric Power Design Institute Co., Ltd., Chengdu 610021, China)

The Health, Safety and Environment (HSE)are more and more focused. Meanwhile, the steam generator, one of the key equipments in TPP, its capacity and parameter is getting higher and higher; its safety operation also is getting more important. Higher safe and reliable Safety Instrument System is expected for boiler protection. Based on engineering practice, this paper explained the detail engineering issues of Safety Instrument System application in the boiler protection.

boiler protection; safety instrument system; FSS; SIL3.

TM621

B

1671-9913(2017)02-0025-05

2016-03-15

田小兵(1977- )，男，四川閬中人，碩士，高級工程師，現(xiàn)從事火力發(fā)電儀表與控制專業(yè)設(shè)計(jì)工作。