炉膛安全给粉系统煤粉炉解决方案.docx

炉膛安全给粉系统煤粉炉解决方案.docx

《炉膛安全给粉系统煤粉炉解决方案.docx》由会员分享，可在线阅读，更多相关《炉膛安全给粉系统煤粉炉解决方案.docx（17页珍藏版）》请在冰豆网上搜索。

炉膛安全给粉系统煤粉炉解决方案

国臣SGS-炉膛安全给粉系统煤粉炉解决方案

据统计自1980年以来，至少有30台锅炉发生炉膛放炮事故，以致水冷壁焊缝开裂，刚性梁弯曲变形，顶棚被掀起，烟道膨胀节开裂等设备损伤屡屡发生。

　　究其原因：

　　①设计上缺乏可靠的灭火保护和可靠的联锁、报警、跳闸装置；

　　②炉膛刚性梁抗爆能力低；

　　③运行人员处理燃烧不稳或熄火时方法不对，错误采用“爆燃法”抢救，导致灭火放炮；

　　④燃料质量下降、负荷调节失当、给粉装置及控制机构突然失灵等。

　　防止锅炉灭火放炮被列入1992年能源部颁《二十项反措》之五，2001年国家电力公司又颁发了《二十五项反措》第六章，包括炉膛安全监控系统（FSSS）在内的灭火保护装置在许多电厂推广使用。

　　如今，FSSS已经成为火电厂的标准配置系统，在炉膛安全保护上起了关键的作用。

　　部颁二十项重点反措之五，称为防止锅炉灭火放炮事故。

《二十五项反措》第六章的提法是防止锅炉炉膛爆炸事故，因为炉膛发生爆炸而致炉膛损坏不仅发生在运行中灭火时，检修动火点燃聚集的可燃物及点火时吹扫不够同样会发生爆炸而导致炉膛损坏。

　　从引起锅炉炉膛爆炸的机理分析，当只有以下3个条件同时存在时才有可能发生爆炸。

　　1）锅炉炉膛内有一定浓度的燃料和空气积存。

　　2）积存的燃料和混合物具有爆炸性。

　　3）具有足够的点火能源。

　　常见炉膛中造成爆炸条件的情况是：

　　①运行中灭火，进入炉膛的燃料没有切，经过一段时间聚集的可燃物达至爆炸浓度并点燃；

　　②一个或几个燃烧器火焰熄灭，而其余燃烧器仍正常燃烧。

从未点燃的燃烧器进入燃料造成可燃物聚集；

　　③燃料漏入停用中的炉膛造成可燃物聚集；

　　④燃料或空气瞬时中断又恢复，造成可燃物聚集。

　　可燃物聚集后引燃造成的炉膛压力升高超过炉膛承压设计强度，以致发生损坏，称为炉膛放炮或炉膛爆炸。

不发生损坏的俗称“反正”或“打枪”。

部颁二十项重点反措引入以下反事故措施：

　　①一旦全炉灭火，应立即切断进入锅炉的全部燃料，包括给煤、给粉和点火用油、气等。

即所谓主燃料切断（MFT）；

　　②锅炉点火前必须通风，排除炉膛、烟风道及其他通道中的可燃物聚集。

通风时必须将烟风挡板及调风器打开到一定的位置，风量应大于满负荷风量的25％，时间不少于5min，以保证换气量大于全部容积的5倍（德国TRD规定是3倍）；

　　③点火时要维持吹扫风量；一个燃烧器投运10s内（不包括投煤及煤粉达到燃烧器所需的延滞时间）点不着，就应切断该燃烧器的燃烧。

　　《二十五项反措》防止锅炉炉膛爆炸事故的主要措施如下：

　　1）为防止锅炉灭火及燃烧恶化，应加强煤质管理和燃烧调整，稳定燃烧，尤其是在低负荷运行时更为重要。

　　2）为防止燃料进入停用的炉膛，应加强锅炉点火及停炉运行操作的监督。

　　3）保持锅炉制粉系统、烟风系统正常运行是保证锅炉燃烧稳定的重要因素。

　　4）锅炉一旦灭火，应立即切断全部燃料；严禁投油稳燃或采用爆燃法恢复燃烧。

　　5）锅炉每次点火前，必须按规定进行通风吹扫。

　　6）锅炉炉膛结渣除影响锅炉受热面安全运行及经济性外，往往由于锅炉在掉渣的动态过程中，引起炉膛负压波动或灭火检测误判等因素而导致灭火保护动作，造成锅炉灭火。

因此，除应加强燃烧调整和防止结渣外，还应保持吹灰器正常运行尤为重要。

　　7）加强锅炉灭火保护装置的维护与管理。

　　这些措施解决了常见炉膛中造成爆炸条件中的三个：

　　①运行中灭火，进入炉膛的燃料没有切，经过一段时间聚集的可燃物达至爆炸浓度并点燃；

　　②一个或几个燃烧器火焰熄灭，而其余燃烧器仍正常燃烧。

从未点燃的燃烧器进入燃料造成可燃物聚集；

　　③燃料漏入停用中的炉膛造成可燃物聚集；

　　但是，造成爆炸条件的④燃料或空气瞬时中断又恢复，造成可燃物聚集和反事故措施①一旦全炉灭火，应立即切断进入锅炉的全部燃料，包括给煤、给粉和点火用油、气等。

即所谓主燃料切断（MFT）逐渐成为现在电厂运行中的一个矛盾。

　　不少电厂通过FSSS给粉机全停逻辑延时来处理这个矛盾，这必然带来炉膛在燃料中断时的炉膛熄火，再恢复时爆燃法点炉。

　　但是，燃料中断的次数（如电网晃电时一般为两次）决定了炉膛给粉量的多少，也决定了爆燃的次数和强度。

当中断次数超过一次，而每次给粉量不足爆燃浓度，必然造成爆燃的强度增加，引起爆炉。

所以，延时，带来FSSS安全级别降低使用，存在爆炉隐患；不延时，因为给粉跳闸引起停炉，给生产带来巨大经济损失。

　　这种新的矛盾主要是因为电厂给粉变频调速系统的缺陷引起的。

　　1、电厂给粉变频调速系统的缺陷

　　目前，多数电厂的给粉系统使用的变频调速系统，通过DCS或操作台输出4～20mA信号控制变频器的转速来实现给粉调节。

变频器的起、停、故障和1C/2C电源等信号再返送给FSSS，FSSS通过这些信号来判断给粉全停逻辑，并引发MFT动作。

　　给粉调速系统的配电柜，多采用1C/2C分别供电、3C备自投切换方式，当有MFT动作时，采用大联锁切除给粉变频1C/2C电源，停止供粉。

这种给粉调速系统最大的问题就是抗晃电能力差。

　　1）控制电路抗晃电能力差。

这种给粉变频调速系统的成套比较陈旧，特别是靠操作台来控制调速的系统，控制电路都是设计安装在变频器柜内，当厂用电晃电时，控制电路失电，无法达到调速控制目的。

有些DCS的信号输入需要电压－电流信号转换，这种转换模块也成套在变频柜内，当电网晃电时，这些信号也一样无法送达DCS。

　　2）变频器本身抗晃电能力差。

当厂用电瞬间跌落或备自投切换时，变频器会欠压保护，当电压恢复时，变频重启动。

这是变频器设计原理决定的，所有厂家的变频器都存在这种问题。

　　3）1C/2C接触器抗晃电能力差，有很多电厂存在晃电时接触器先跳闸的问题，但这是表面问题，即使接触器不跳闸，变频器也会因为瞬间失电跳闸，给粉系统一样无法正常工作。

　　2、主要应对措施

　　从根源上杜绝和制止晃电基本上是无法实现的，解决这一问题目前主要的应对措施有：

　　1.FSSS的给粉机全停逻辑延时（2～5S），给粉机变频器设置快速重启动，等待电网恢复后给粉机变频器重启动，这既违反了电厂管理规程，又不能从根本上消除炉膛在晃电时的安全隐患。

延时短，不可避免停炉；延时长，有更严重的事故隐患，延时签字人员还要为事故埋单。

这种因为延时引起的爆炉事故也在很多电厂发生过。

　　2.更换给粉机变频器。

如ABpowerflex70s系列最大失电工作时间可以做140ms但也躲不过备自投切换的1.8S。

另外原给粉变频调速系统的控制电路在晃电时仍无法正常工作。

　　3.交流在线UPS。

电厂的其他自动控制系统无一例外的配有220VUPS。

但给粉调速系统为三相感性负载和单相阻性负载并存，因UPS容量、转换效率低、保护级别高、投资成本高等原因，也不适用于电厂给粉系统。

　　3、直流支撑技术

　　结合变频器原理和工作方式，直流支撑方式是解决变频器晃电跳闸的最好办法。

　　1、变频器的雏形是直流变频器，交流变频器只是在直流变频器的前端加上了整流器。

随着直流支撑技术的发展和开关电源技术的发展，变频器的控制电源（DC/DC）和主回路电源都来自于变频器内部的直流母线。

新型变频器都有直流母线端子。

　　2、直流支撑技术已经非常成熟。

该技术从美国引进，最早做为AB变频器的特殊行业应用方案。

随着变频器的技术发展，直流支撑解决变频器的低压跳闸，已在其他安全级别要求不高的行业有成熟的应用。

如：

江苏的美国醋纤（南通）公司，在1996年就使用了直流支撑技术解决变频器的低压跳闸。

　　4、使用瓶颈

　　火电厂要使用这种技术的瓶颈在哪儿？

　　1、安全级别高。

火电厂锅炉控制系统属于SIL3级，相当于AK5级。

　　2、火电厂使用直流电源的关键是既要适时供电，又要紧要关头断电，且断的可靠性要求更高。

　　3、安全给粉系统SIS部分要和FSSS联动，要进行FSSS的逻辑运算，厂商要熟悉电厂控制系统，要有电厂的现场经验，这是直流电源厂家不能做到的。

　　从系统安全级别入手，从断的可靠性入手我们专为热电厂提供安全给粉系统彻底解决您的后顾之忧。

　　第二章设计依据

　　[SHB-206-1999]石油化工紧急停车及安全联锁系统设计导则

　　[DLGJ116-93]火力发电厂锅炉炉膛安全监视系统设计技术规定

　　GB/T13337.1-1991固定型防酸隔爆式铅酸蓄电池订货技术条件

　　DL/T5044—1995火力发电厂、变电所直流系统设计技术规定

　　DL/T637—1997阀控式密封铅酸蓄电池订货技术条件

　　DL/T459—2000电力系统直流电源柜订货技术条件

　　DL/T724—2000电力系统蓄电池直流电源装置运行与维护技术规程

　　DL/T5120—2000小型电力工程直流系统设计规程

　　DL/T781—2001电力用高频开关整流模块

　　GB17478-1998低压直流电源设备的输出性能特性和安全要求

　　JB/T8948-1999电控设备用低压直流电源

　　B4208-1993外壳保护等级（IP代码）

　　GB4026-1992设备接线端子和规定电线端鉴别标志以及、文字和数字系统

　　一般应用原则

　　GB50150-91电气装置安装工程电气设备交接试验

　　GB50168-92电气装置安装工程电气电缆线路施工及验收

　　GB50172-92电气装置安装工程蓄电池施工及验收规范

　　GB50254-92电气装置安装工程低压电器施工及验收

　　GB50171-92电气装置安装工程盘、柜及二次回路结线施工及验收规范

　　第三章SIS炉膛安全给粉系统组成

　　1、SIS系统组成

　　1、直流电源子系统

　　2、炉膛安全联锁子系统（SafetyInterlockingSystem）

　　3、主站监控软件

　　2、直流电源子系统的原理

　　1）、单台电机工作原理图：

（图略）

　　系统由电池组、充电器、监测单元和SIS执行单元等组成

　　针对电厂的实际情况,我们决定采用多台电机工作模式

　　2）、下图是多台电机的工作模式图（图略）

　　多台电机工作模式：

　　M1，M2，M3同时设计于同一控制系统中为低压电机群的工作模式；

　　3、直流电源子系统主要设备

　　Ø蓄电池组

　　蓄电池采用免维护阀控式全密封铅酸电池。

　　Ø充电器

　　充电器的功率逆变管采用进口快速IGBT，其余元件采用进口工业等级器件，生产工艺严格完整，保证机器的可靠性和稳定性。

输出电压和电流均可连续调节。

具有强大的保护功能（输入过流、过压、欠压保护；输出短路，过流，过压保护；整机过热保护）。

模块内取消了所有电位器，基准校正和控制全部采用12位D/A转换，精度高，参数性能稳定，调节方便。

　　充电模块采用可带点插拔技术，输出采用隔离设计。

模块工作频率高，近300KHZ，体积小，抗干扰能力强。

内置E2ROM，通过人机界面设置的参数自动保存到充电模块，掉电不丢数据。

　　ØSIS执行单元

　　执行单元由断路器和接触器冗余组成，控制关系为断路器锁定接触器，能准确地执行直流电源子系统的投入撤出转换。

　　Ø监测单元

　　用监测单元和人机操作界面组成监控系统，具有充电模块输出电压设定,充电电流限值设定,运行参数显示,故障报警存储，SOE事件记录以及蓄电池状态监测和直流回路状态监测，并可通过485总线和主站通讯。

　　监测单元结构图

　　4、炉膛安全联锁子系统（SIS）

　　SIS是安全给粉系统（SGS）的主控系统，是FSSS的联锁控制部分。

负责监测各种交直流电源信号、保护动作信号，控制安全给粉系统直流电源的备份、投运和退出过程。

每一回路都由检测、控制和执行单元三部分组成。

采用工业级三相异步电机保护模块MDS-1做检测单元，保证系统的可用度。

采用通过美国SIL3认证的ABLOGIX顺序控制器做为每台炉的主控制单元。

　　采用ABBS2断路器和直流接触器做单一直流回路的冗余执行单元保证系统的可靠性。

　　4.1MDS-104工业级三相异步电机保护单元

　　4．1．1功能特点

　　三表法测量准确测量三相交流电压、电流、有功、无功、频率、功率因数、零序电流等电参量，可以测量变频器输出。

　　具有3路独立的开关量输出，可以作为遥控、跳闸或者告警

　　6路开关量输入，同时可以作为脉冲量输入

　　2路直流采样,可以接各种变送器

　　两路通信接口，支持MODBUS规约

　　FFT算法，可计算1－8次谐波

　　三相异步电动机的反时限过负荷（热过载）保护、不平衡（负序过流）保护、启动时间过长保护、堵转保护、接地（零序过流）保护、欠电压保护、过电压保护

　　三相电动机转子断条、轴承损坏、绝缘监测等故障诊断功能

　　4．1．2交流输入

　　交流输入包括A、B、C三相电压和电流。

电流是直接把线穿入小型电流互感器的圆孔。

电压则采用6个各端子。

分别为UA,UA1；UB,UB1；UC,UC1；其中UA,UA1为A相输入；UB,UB1为B相输入；UC,UC1为C相输入。

每相间相互独立。

　　这样设计的目的是为了用户可以选择不同的安装方式和测量方法。

如果用户选择角型接法则UA---UC1接A相UB---UA1接B相UC---UB1接C相。

如果用户选择星型接法则UA1---UB1—UC1接N线。

每路可以进行单独测量，用户还可以根据需要选择。

　　输入的交流电压信号通过小型的PT（电压互感器），变换为交流0.5V的信号，经过滤波处理，滤除干扰信号，然后进行电平平移，使得原来的交流信号，叠加1/2的VREF，直接送到A/D转换，进行采样。

　　输入的电流信号，通过导线穿入小CT（电流互感器），CT的输出接一个精密电阻，变换成电压信号，经过滤波处理，滤除干扰信号，然后进行电平平移，使得原来的交流信号，叠加1/2的VREF，直接送到A/D转换，进行采样。

　　采样好的信号存入单片机的RAM中供软件处理。

在软件中，我们每个周波采样16个点，根据采样定理，可以计算出输入信号的8次谐波。

但是在应用中对奇次谐波更为关心。

在数字信号处理中，由于电网的频率是在变化的，如果采样频率不是电网频率的整数倍，就会有所谓的频谱泄漏问题，详细内容请参考有关书籍。

在该问题上我们采用了我们的提出软件跟踪算法，效果非常优异。

　　对于6路输入信号，进行FFT变换，得出各次谐波的幅值和相角，并且计算零序电流和负序电流。

计算的方法和FFT变换请参考有关数字信号处理的书籍。

　　计算的结果存入RAM中，供通信程序、保护程序等其他程序使用。

　　4．1．3欠电压或过电压保护

　　系统电压太低会引起电动机过电流甚至堵转，烧毁电机。

有时为了保证重要电动机的自启动，有时也使用欠电压保护。

　　系统过电压一般对电动机没有太多的影响，但是如果过压范围过大，会导致电动机的励磁电流急剧增加，而且有大量的三次谐波。

在一些特殊的场合，会使用过电压保护。

　　定值包括3项内容：

动作的继电器、过电压或欠电压定值、过电压或欠电压的整定时间。

整定时间的单位为0.1S，电压的单位为V，最小分辨率为0.1V。

　　欠电压保护原理

　　过电压保护原理

　　本系统的设计为保护动作信号在整定时间到达时，送给SIS的中央控制单元处理，操作执行单元，控制各直流回路的备份、投运和退出。

　　4．2ABLOGIX顺序控制器

　　MicroLogix1200是处理器、电源、嵌入式输入输出点的集成。

它具有24点和40点两种规格，可满足许多应用场合。

　　MicroLogix1200采用模块化，无机架结构，可降低成本，减少备件。

I/O扩展模块提供了更大的应用灵活性。

　　存储器模块可用于用户程序的上载、下载和传送。

实时时钟RTC可用于定时控制等。

　　操作系统可闪速升级，无需更换硬件。

用户可通过Web网络下载控制器的最新的固件程序，来升级控制器。

　　MicroLogix1200还使用编程软件RSLogix500和通用的指令集，与MicroLogix1000、MicroLogix1500以及SLC系列控制器兼容。

　　特性：

　　·通过MicroLogix1200扩展模块来扩展高性能I/O，每个MicroLogix1200可最多扩展6个模块（决定于电源估算）。

　　·高级的通信选择，从对等通信到SCADA/RTU网络。

　　·6K用户存储器（4K程序、2K数据）。

　　·数据文件下载保护，可存储关键的用户数据，防止出错。

　　·实时时钟和存储器模块。

　　·32位带符号的整数的数学运算。

　　·内置PID功能。

　　·20K高速计数器，具有8种工作模式，当计数器技术达到预置的上限或下限时，可控制高速计数器的输出。

　　·高速处理时，有4路中断输入。

　　·4路锁存输入，在程序普通扫描时，可捕获毫秒脉冲的输入。

　　·控制器内置2个模拟量微调电位器，转3/4圈可在0-250之间调节。

　　·对于40点的控制器，其端子块是可拆卸的，允许用户预先接好线，节省安装时间。

　　·可拆卸的I/O标签，可写字记录现场设备的号码，以便减少系统的维护和维修时间。

　　·防手指接触的接线端子块，符合全球安全标准。

　　4．3执行单元－ABB直流断路器和直流接触器

　　根据各回路容量配置不同型号，冗余执行单元保障线路分断能力。

　　SOMAXS的基本的用途和特点：

　　ISOMAXS系列塑壳断路器性能优异，外形结构紧凑、通用性强、使用方法简便，设计简单、合理、而且质量可靠。

此新型断路器更配有一个改进的分断系统，获多项工业专利。

　　特别值得注意的是用于制造ISOMAXS系列塑壳断路器的材料，是按现代环保要求可回用的，ISOMAXS系列塑壳断路器更以其优异质量及引入注目的设计获得了欧洲最佳工业设计奖。

　　采用ISOMAXS系列塑壳断路器是电力生产和配电系统的理想方案，它能确保所有电力用户的安全性和可靠性，它特别适用于需保护和配合自动化控制的设备，ISOMAXS系列产品能最大范围地满足额定电流和故障电流的要求，并能达到与下级壳断路器的极限分断容量选择保护的要求。

　　由于本系列产品的通用性和匹配性强，它能配置在任何配电设备中：

　　一次配电（功力中心）

　　电动机控制（MCC）

　　二次配电（配电盘）

　　用户（DIN安装导轨的配电柜）

　　ISOMAXS系列塑壳断路器包括七种基本规格的产品（S1-S7），从10A到1600A额定不间断电流和高达100KA额定极限短路断容量，各种规格均具有下列额定分断容量等级：

　　B-基本分断容量

　　N-正常分断容量

　　S-标准分断容量

　　H-高分断容量

　　L-限流型

　　第四章系统工作模式

　　本系统有三种工作模式：

　　1）、正常工作模式：

给粉机变频器由交流母线供电；系统处于热备用状态，电池组由充电整流器充电。

　　2）、电网晃电或备自投切换时的工作模式

　　当电网电压下降，造成变频器直流母线电压低于直流电源母线电压时，系统转换成由安全给粉系统的直流电源向给粉机变频器的直流母线供电，给粉机变频器工作保持正常

　　3）、检修工作模式：

　　个别变频器检修,直流端由断路器、直流接触器和隔离器件隔离，该直流回路不再参与电网晃电时的投运。

　　第五章系统的控制逻辑

　　逻辑控制说明：

　　1．变频器启动、停止控制逻辑

　　根据变频器的原理，变频器在交流供电或直流供电正常情况下在接受到启动接点指令后，即可投入运行。

在变频器正常运行后有一反映变频器运行状态的接点信号闭合。

变频器运行调速指令由DCS或PLC送来的4－20mA模拟信号实现。

SIS系统只需变频器或FSSS提供变频器运行状态信号，对变频器控制方式和性能无任何改变。

　　2．安全给粉系统的逻辑图

　　安全给粉系统的逻辑判断由SIS的中央控制单元完成，并控制直流电源子系统的执行单元来完成安全给粉系统的备份、投运和退出过程。

　　a.输入逻辑条件有：

变频器运行状态接点信号，FSSS保护动作信号,排粉机的的工作状态信号和欠压保护动作信号等。

　　b.输出逻辑条件有：

断路器、直流接触器的闭合断开信号

　　c.变频器交流母线电压正常条件下直流支撑系统投入过程

　　变频器电源端送入正常电压，变频器受电，内部CPU准备运行；控制设备、DCS或PLC或控制继电器送来启动运行指令。

电机按模拟控制4－20mA电流决定变频器拖动电机的运行转速；等到系统正常运行后变频器状态接点闭合。

　　安全给粉系统的SIS中央控制单元接受到变频器运行状态同时排粉机运行正常、FSSS未给出保护动作信号、且没有欠压保护动作信号，SIS中央控制单元经过软件运算，满足系统备份条件时，向断路器、直流接触器发出合闸指令，这时各直流回路处于备份状态。

　　d.变频器电源晃电时其直流母线电压立刻下降；直流电源系统在变频器母线电压降到安全给粉系统直流电源母线电压时，开始对变频器供电，电机在这一过程中仍然保持不间断运行。

　　e.在电网晃电时间达到安全给粉系统设定的工作时间时或SIS中央控制单元接受到变频器运行状态变化或排粉机运行状态变化或FSSS给出MFT动作信号，经过运算满足退出条件时，向断路器、直流接触器发出断开指令，这时各直流回路处于退出状态。

　　退出后，SIS中央控制单元在检测到满足备份条件时，发出控制信号，系统又恢复到备份状态。

　　f.根据用户工艺条件，安全给粉系统直流电源具体工作时间可在调试时在人机界面上确定，单位为0.1S。

　　3、系统接线图（图略）

　　4、接制部分接线示意图（图略）

　　第六章系统安全性

　　IEC安全要求等级分为4级，安全性能由低到高为SIL1、SIL2、SIL3、SIL4。

　　美国对SIL4只承认其存在，标准中不包括在SIL4要求下如何实施安全系统的内容。

　　德国DINV19250及DINVVDE0804对安全要求等级（SafetyRequirementClasses）分为8级，安全要求从低到高为AK1～AK8，对应各标准的安全等级对比如表所示。

　　大多数使用安全系统的工业应用场合属于AK4～AK6级，其中一般锅炉、加热炉为AK4级，石化、化工为AK5级。

　　由图1可知，安全系统应分如下几类：

　　满足安全要求等级AK1～AK4的Z-1、

　　满足安全要求等级AK1～AK5的Z-2、

　　满足安全要求等级AK1～AK6的Z-3、

　　安全要求等级AK7～AK8的需要特殊考虑的共5类。

　　如监视设备的功能由一般控制系统（如DCS）实现，则安全控制系统分为4类。

　　Z-1类的安全系统可用性“一般”，一个中央CPU模块通过单总线与I/O模块相连，它与普通PLC不同之处为通过中央CPU的自我测试以及采用可测试I/O模块、失效时输出保证安全状态等满足系统安全要求。

　　Z-2类的安全系统可用性“较高”，中央CPU模块冗余，其他与Z-1相同，这样允许一个CPU模块出故障，另一个CPU模块维持正常工作，这样可以在AK5级安全要求等级以下的场合，维持72h之内。

　　Z-3类的安全系统可用性“很高”，结构为全冗余，即CPU模