汽轮机.docx

1、汽轮机紧急停车连锁系统的可靠性分析1DCS和ESD炼油化工装置通常是连续生产，工艺介质易燃易爆。为了提高企业的经济效益，安全、平稳、长周期的连续生产是至关重要的。这就要求生产装置在工程设计、设备选型和安装各个阶段对生产操作系统的安全性要进行认真地考虑，这是作好安全生产的先决条件。在自控工程设计中，通常设置控制系统即采用常规仪表或DCS系统对生产装置的工艺参数进行检测、控制，以保证它们在设计指标下平稳运行。DCS对生产过程的参数进行连续地动态调整，它需要人为干预，是过程控制系统。DCS至今发展日趋完善，在过程控制领域完全取代了常规仪表，取得了无可非议的成功。但是当控制系统或者是某些工艺设备发生故

2、障，造成工艺指标出现异常，有可能超越安全许可范围的时候，就需要设置一套安全连锁系统，立即动作，该关的阀立即关死，该打开的阀立即打开，从而避免事故的发生。我们知道，人在危险时刻的判断和操作往往是滞后的、不可靠的。据有关资料报道，当操作人员面临生命危险的情况下，要在60s内作出反应，作出错误决策的概率高达99.9%。因此为了使生产装置安全运行，凡是涉及安全的回路从来不允许置于手动由操作人员来进行操作。设置独立于控制系统的安全连锁是十分必要的。这是作好安全生产的重要准则。由于生产装置越来越复杂，设计操作指标离安全临界点越来越近，造成发生故障的可能性增加。过去采用的安全连锁系统都是由继电器线路构成逻辑

3、控制实现的，由于继电器线路构成的连锁系统存在可靠性不高、无法与DCS通讯、无自诊断功能等缺点，无法适应生产日益提出的高要求。于是近年来推出专用的ESD(Emergency Shut Down)紧急停车系统取代以往的继电器线路。这种专用的安全保护设备是90年代发展起来的，以它的高可靠性、实现与DCS通迅以及具有自诊断功能等特点受到好评。ESD紧急停车系统，独立于DCS控制系统，其安全级别高于DCS系统。在正常情况下，ESD系统是处于静态的，不需要人为干预，凌驾于生产过程控制之上，是安全保护系统。它永远在线。只有当生产出现紧急情况时，它才发出保护信号。该动则动，不该动则不动，这是ESD的一个显著特

4、点。为什么要独立设置ESD系统呢?当然一般安全连锁保护也可以由DCS来实现。但是，对于较大规模的紧急停车系统通常都采用单独的ESD来实现，并且与DCS分开设置比较合适。这样做主要考虑以下几个方面。1)降低控制功能和安全功能同时失效的概率，当需要维修DCS部分故障时也不会危及安全系统。2)对大型动设备而言，紧急停车系统响应速度越快越好。这有利于保护设备，避免事故扩大，并且有利于分辨事故序列记录。但DCS有大量的信息处理，因此其响应速度难以作得很快。有关资料数据表明，某些系统当连锁信号发出到控制停车的电磁阀动作仅隔75ms。3)DCS系统是过程控制系统。它是动态的，需要不断地进行人为干预，操作人员

5、通过CRT画面对生产过程进行调整，进行频繁的人为操作，这就有可能引起人为的误动作。而ESD是静态的，不需要人为干预，这样独立于DCS设置ESD就可避免人为误动作的发生。2显性故障与隐性故障早些时候设计的安全连锁系统都是采用继电器线路。比如压缩机润滑油压力低于大降值(主机润滑油压力过低连锁跳闸值)引起压缩机停机这样一个连锁，按过去设计通常如图1所示。图1采用常开触点的安全连锁系统当润滑油压力处于正常值时，用于控制润滑油压力的压力开关的触点PSALL001是断开的，即常开触点。而当压力低于大降值时，常开触点PSALL001闭合，于是中间继电器R1线圈带电，R1触点闭合，使压缩机停机的连锁电磁阀US

6、Y001带电。当压缩机正常时，电磁阀USY001是失电的。这种设计基于这样一个原则，即当工艺参数正常时，事故触点是常开的，继电器线圈是失电的，用于连锁动作的电磁阀也是失电的。这种设计由于绝大多数时间生产是正常运行的，压力开关又是安装在现场，其常开触点的触头时间一长，触头受空气中杂质腐蚀、材料老化、触头磨损等因素影响，事故一旦出现，将造成常开触点不能准确闭合，导致连锁不动作。这种连锁时该动作拒动作的故障通常称为隐性故障。同样，连锁电磁阀绝大多数时间都处于失电状态，而当事故发生时，电磁阀带电，但因长时间不动作，电磁阀也可能在事故发生时却动作不了，同样也会出现隐性故障。这种隐性故障一旦发生时，对生产

7、装置的影响是十分危害的，后果不堪设想。于是人们就想从设计角度出发如何来防止隐性故障的发生。目前设计ESD系统时，通常采用故障安全设计原则，我们仍以上述连锁为例来加以说明。如图2所示。图2采用常闭触点的安全连锁系统1)采用压力开关的常闭触点。2)电磁阀采用正常通电方式。当润滑油压力正常时，压力开关触点PSALL001是闭合的，继电器R1线圈带电，连锁电磁阀USY001也带电。而当润滑油压力低于大降值时，触点PSALL001断开，继电器R1失电，连锁电磁阀失电。采用上述原则后，可有效地防止连锁该动作时拒动作的稳性故障发生。事物总是一分为二的，采用以上原则后虽然有效地防止隐性故障的发生，但是对仪表可

8、靠性要求高，仪表接线松动，电磁阀和压力开关的故障都会引起压缩机停机。我们把在生产正常运行时由于仪表故障、线路松动所引起的连锁动作，也就是连锁时不该动时发生的误动作称之为显性故障。如何从设计角度来考虑消除这种可能发生的显性故障呢?二取二“与门”连锁动作就是为了防止这种显性故障而设计的。仍以上述连锁为例来加以说明。如图3所示。图3二取二“与门”连锁方案原先润滑油压力只用一台表检测，现改为用两台仪表同时检测，即PSALL001A和PSALL001B。当润滑油压力低于大降值时，用来检测润滑油压力的压力开关PSALL001A与PSALL001B。同时动作，其常闭触点都断开，中间断电器R1才失电，导致电磁

9、阀USY001失电。当生产正常时，其中一台压力开关故障而引起触点断开，如PSALL001A断开，但由于另一台压力开关PSALL001B触点处于闭合，所以继电器并不失电，电磁阀仍然带电，并不能引起连锁动作。这样就消除了由于某一台仪表故障可能引起连锁的误动作，即防止了显性故障的发生。只有当两台压力开关同时检测到压力低，连锁才能动作，即“与门”动作，采用这种“与门”逻辑后，有效地防止了仪表误动作显性故障的发生。但仔细推敲起来，这种“与门”逻辑动作也有可能产生连锁动作不及时，比如说其中一台压力开关已检测到了压力低的信号，而另一台压力开关其连锁整定值由于某种原因变化了，因而未及时动作，这时连锁就不能及时

10、动作。为解决上述情况，在我厂的连锁中，对一些尤为重要的参数采用了三取二逻辑线路，如图4所示。当然这样做可靠性增加了，但投资也相应上去了。图4三取二逻辑线路图用3台压力开关(即PSALL001A，PSALL001B，PSALL001C)同时检测润滑油压力，只要3台压力开关中任意两台(或AB；或AC；或BC)检测到润滑油压力低，连锁动作信号都会通过“或门”送出去。这种逻辑关系对于防止隐性故障和显性故障的发生都是有效的。3小降值与大降值为了确保机组的安全运行，润滑油是十分重要的。在我厂大机组中润滑油通常由主油泵供给，使润滑油压力达到正常值(比如0.2MPa以上)，而当驱动主油泵电机故障或者泵本身故障

11、时，造成润滑油压力低于小降值(比如0.07MPa)时，ESD连锁动作，启动备用油泵，使润滑油压力迅速恢复到正常数值，从而保证机组的安全正常运行。然而在实际运行过程中，我厂某些装置都曾发生过如下情况：当润滑油压力低于小降值后，虽然备用油泵也自启动，但是在一个很短暂的时间内，由于润滑油压力继续下降，越过了大降值(比如0.05MPa)使机组停机的连锁值，此时ESD产生连锁停机信号送至电气停主机，相应的连锁阀全部动作，从而对生产造成很大的损失。首先我们应该分析清楚是什么原因造成上述事故，然后才能找出相应的对策予以解决。图5是我厂某装置主风机由于电网晃电造成主油泵停车，润滑油压力下降，电机跳闸，使整个装

12、置全面停工时记录下来的润滑油压力p与时间t的关系图。图5润滑油压力与时间的关系图从图5可知，由于液体的不可压缩性，所以在19.186s时，主油泵停车后，润滑油压力呈指数曲线很快衰减；在19.980s时，润滑油压力降到0.07MPa(小降值)，此时ESD发出讯号，启动备用油泵，由于备用油泵从接到启动讯号至到达额定输出功率尚需一定的时间间隔t，这个时间间隔t的长短和诸多因素有关，我们要求t越小越好。然而在实际运行中由于t影响，使润滑油压力继续下降；在20.214s时，润滑油压力低于0.05MPa(大降值)，ESD发出连锁停机讯号停主风机。随后在20.828s，压力回升到0.05MPa，在20.92

13、2s，压力回升到0.07MPa，在21.524s时油压恢复正常(见图5)。整个过程极为短暂，从润滑油压力低于0.07MPa即从发出启动备用油泵信号19.980s算起，到压力低于大降值0.05MPa，再到油压恢复到0.05MPa，即20.828s止，时间间隔为0.848s，而出现低于大降值的时间间隔仅为0.614s，正是这个0.614s间隔内，润滑油压力低于大降值(0.05MPa)，造成连锁停机。我厂有的机组也发生过在机组停机后，仪表维护人员现场实地反复试验主、辅油泵的切换时，润滑油压力往往都跟得上，并没有发生在切换过程中因润滑油压力低于大降值而造成连锁停机的情况。但是当机组正常运行一段时间后，

14、突然发生主油泵故障，辅助油泵自启动，而此时润滑油压力却跟不上，出现在切换过程中因润滑油压力低于大降值而造成连锁停机的事故。如何来避免主、辅油泵切换过程中润滑油压力过低造成连锁停机的故障呢?我们的主导思想主要是从两个方面来考虑:首先是如何提早发出启动备用油泵的讯号?其次是在一定的条件下延缓停主风机信号的发出。根据以上指导思想，并结合一些具体的实际问题逐个进行分析。1)检测仪表的选择为了检测润滑油压力的高低，我们可以采用触点式压力开关，也可以采用变送器加设定器的方法。压力开关其接收信号元件通常是由波纹管组成。如图6所示。图6压力开关接收信号元件工作原理简图当润滑油压力变化时，引起波纹管的伸缩，从而

15、产生一定的位移，其位移量通常达几个毫米的变化，然后推动微动开关或使水银开关翻转，从而发出触点讯号。而变送器其接收信号元件是膜盒，基于力平衡原理，所以膜盒内元件几乎没有位移，或者说位移很微小，只有微米级。对比以上两种方法可知，当压力变化时，压力开关的发讯由于受机械惯性的影响要来得慢些，为了在润滑油压力一旦低于小降值时，仪表立即发出讯号启动备用油泵，建议还是采用变送器为好。此外压力开关，特别是国产开关的元器件稳定性差，连锁整定值重复性不好、回差大等缺点，所以宜采用电子式仪表取代机械式仪表。2)变送器的安装位置采用压力变送器来测量润滑油压力时，我们还要注意变送器安装的位置。当测量液体压力时，变送器安

16、装位置通常低于取压口，而避免安装位置高于取压口。如图7所示。图7测量液体压力时变送器的安装位置若变送器位置高于取压口时，当设备停车检修时，润滑油管道内压力为零，这时候从润滑油管道引至变送器的导压管内贮存的润滑油就会漏掉，等到设备检修完后重新开车时，导压管内充有气体，而气体是可压缩的，这样当润滑油压力低于小降值时由于气泡存在就会延迟了变送器发出启动备用泵的讯号。3)取压口位置的选择根据有关资料报道，九江石化总厂一套催化装置，老D800主风机在运行时也曾发生过因主油泵停，油压下降，辅助油泵启动，但油压继续降到停机值(大降值)，导致机组停机。辅助油泵启动的压力开关是装在润滑油集合管上的。分析研究认为

17、主油泵停运后，需要经过一个短暂的时间间隔压力开关触点才能翻转，因此辅助油泵启动滞后时间较长。为了克服这一弱点，该厂决定在油泵出口处增加一个压力开关，其设定值为0.4MPa，与原安装在集合管上的压力开关进行“或”运算，只要主油泵一停运，油泵出口处压力开关反应快，立即使辅助油泵启动，油压及时得到回升。从而保证机组继续正常运行。对照他们的经验，结合我厂具体情况，制定了切实可行的方案。4)提高小降值上面已提到图5所显示的我厂某装置主风机由于电网晃电造成主油泵停车，润滑油压力下降，电机跳闸的例子。当时小降值为0.07MPa，而大降值为0.05MPa，为了提早发出启动备用油泵的信号，经分析和反复试验，将小

18、降值由0.07MPa提高到0.15MPa，这样图5的曲线就变成如图8所示。图8小降值提高后的p-t曲线压力曲线上移，这样就可以避免低油压连锁动作。反复试验的结果也证实了上述分析预测。当然小降值也不能无限制地提高，否则润滑油压力稍有下降就会引起备泵自启动，也会影响机组正常运行，因此提高小降值是有限的。5)增加延时逻辑大机组润滑油系统通常都设置高位油槽，一般高位油槽底部离机组中心线约6m高，高位油槽直径约1.5m，储油量约2500L。在正常情况下，机组消耗润滑油大约5L/s左右。当主油泵停后，备用油泵自启动，但在这交替的很短时间内，由于备用泵输出功率未达到额定值，这时主机高位油槽的润滑油液面下降来

19、补充润滑油供给，以保证机组正常运行。假如在主油泵停止后造成低油压时开始计算2s内，不考虑备用油泵的输出功率，消耗的润滑油完全由高位油槽供给，经估算，高位油槽液面下降不超过10mm。所以说在主油泵停后2s钟内即使辅助油泵输出功率为零，高位油槽液面的下降也很少，不会影响机组正常运转。鉴于以上分析，我们可以设想，在保证备用泵已启动的前提下增加一个2s钟的延时逻辑，也就是说，润滑油压力低于大降值(0.05MPa)需持续2s钟，才能发出停主机的逻辑信号，如果在2s钟内油压又恢复超过大降值，此时就不会发出停主机的逻辑信号。当然这一条需得到机械技术人员的认可。6)检查备用泵出口管线内是否始终充满润滑油主机正

20、常运行时，由于备用泵长期处于停止状态，需检查备用泵出口管线，包括润滑油走向、单向阀等是否存在泄漏。如果存在泄漏，由于备用泵停用时间较长，管道内的润滑油漏掉了，造成一段空隙，这样当备用泵再启动时，由于管道内存在的空隙而增加了响应时间。这就是造成检修时仪表人员反复试连锁，润滑油压力跟得上(因为这时备用泵出口管道内充满油)，而当主机运行一段时间后(此时备用泵出口管道内存在空隙)突然发生主油泵跳车，备用泵自启动，但润滑油压力却跟不上而造成主机停机的一个重要原因。另外一个原因是备用油泵状态也不同，反复试验时，备用泵的状态比长期停用后再启运时为好。7)润滑油系统配蓄压器通常大机组润滑油路系统都配有蓄压器。

21、常用的蓄压器有两种。一种为密封容器内装有橡皮气囊，气囊内预先充满氮气，其气压小于润滑油正常工作时的压力，而高于大降值。密闭容器装在润滑油路上，主机正常工作时，润滑油压力将气囊压缩，而当主油泵故障时，由于润滑油液体的不可压缩性有可能使其压力很快衰减。然而此时润滑油路上安装了气囊式蓄压器，平时受压的气囊此时就扩张，相当于不可压缩性的润滑油路上串联了一个可压缩性的环节。从而在短时间内可以延缓润滑油压力下降的速度。避免机组因低油压跳车；另一种蓄压器为密封容器内注油并充氮气，同样也利用氮气的可压缩性来延缓润滑油压力的下降。因此在日常维护中，应该定期检查蓄压器，确保正常运行。8)连锁电磁阀紧急停车连锁系统

22、应选用单电控电磁阀。由于双电控电磁阀具有记忆功能，因此无法设计成故障安全型电路，并且存在由于信号线开路而不能动作的可能性，因而不适用于紧急停车连锁系统。其次应选用高品质电磁阀。还有一点要提请注意的是一般采用的24V DC电磁阀，其敷设距离有限，有关资料介绍，例如ASCD-RHB8230型电磁阀，额定功率为9.7W，工作电压允许范围为-5%10，在允许最低电压下的工作电流为0.425A。在24V供电时，导线上允许的压降仅为1.2V，允许阻抗2.8，国产截面积为2.5mm2的铜芯软导线电阻率为8/km，这样计算结果表明，最大允许导线长度为175m，考虑各种因素后，最大敷设距离为130m。当敷设距离

23、较远时，应考虑采用110V AC电磁阀。9)润滑油出口压力调节阀为了保证润滑油压力恒定，通常都装有气动薄膜调节阀。就目前调节阀采用的类型来看，主要有单座阀、双座阀和笼式阀。单座阀：阀体内只有一个阀芯和阀座。特点是容易关严，全关时泄漏量小。但是也由于它只有一个阀芯，阀门上下游的压差会对阀杆产生一个不平衡力，因此单座阀仅适应于阀前、阀后压差小的场合。单座阀尤其是在“流闭”状态下(见图9所示)。流体产生不平衡力F。这个不平衡力F有将阀芯下推，趋于使阀关闭的作用。图9单座阀在“流闭”状态下不平衡力示意图假如气动薄膜调节阀内反力弹簧刚度不大，将导致阀不稳定，严重时甚至会出现阀门关死的可能。双座阀有两个阀

24、芯和阀座(见图10所示)。图10双座阀简图这样阀前阀后的压差在两个阀芯上所产生的不平衡力方向相反，因此相互抵消。由于两个阀芯的截面积不可能完全一致，通常下面的阀芯比上面的略小(否则阀芯放不进去)，所以不平衡力虽不能完全抵消，但与单座阀相比要小得多。这是双座阀获得广泛使用的主要原因。但其缺点是阀门关不严，泄漏量大。而笼式阀其阀芯和阀座是由两个相对运动的套筒所代替，作为阀座的套筒上开有窗口，由于阀杆的相对动作，其窗口面积即阀开度随之变化。笼式阀既克服了不平衡力，又可以关严。我厂某装置机组润滑油出口调节阀由于采用单座阀，当压差大时，也曾发生过因不平衡力造成阀门动作不稳定，威胁机组正常运行。后经加装阀

25、门定位器后有所改善，但当压差过大时，阀门仍不稳定，这种情况下建议改用双座阀或笼式阀。4DCS和ESD的供电DCS和ESD均属于计算机系统，供电的连续性对系统的正常、安全运行极为重要，通常认为计算机系统停电超过(1015)ms，数据便会丢失，CRT也会失去显示(如Regent的ESD系统断电时间不能超过11ms)，因此，DCS及ESD均应配置不间断供电电源装置UPS。采用UPS供电至少给DCS和ESD带来两个好处：其一，供电系统瞬时失电，可以保证连续供电，不会造成DCS及ESD数据丢失；其二，当供电系统因为事故而中断较长时间时，UPS可利用其本身的蓄电池经逆变来维持DCS和ESD的供电，一般UP

26、S的后备时间可达1530min，这样操作人员就可以有充分的时间，安全地将装置停下来，以避免不必要的损失。目前所使用的UPS典型接线图见图11所示。图11UPS典型接线图图11中，UPS正常通过电源1(主电源)供给整流器整流，整流后的直流电一路给蓄电池充电，一路经逆变器逆变成交流到用户。当主供电源失电时，蓄电池放电继续通过逆变器供电，当蓄电池容量不足或故障时，立即由电子开关切换到旁路电源供电，电子开关切换时间一般为几毫秒，不会影响计算机系统，在检修UPS时，可以切换到检修通道供电。上面图例所采用的UPS属于“在线式”，即UPS内部的蓄电池充电和逆变器是一直工作的，在主电源失电时，UPS的输出没有

27、切换时间，也就是没有电源的中断，这些完全可以满足DCS等的供电可靠性要求。因此，许多专家都认为有了UPS后电源故障停电的影响可不予考虑。事实上，广泛应用UPS的各石油化工厂，包括我厂都经历过由于UPS本身故障而造成ESD误动，至使装置切断进料而停工的严重情况。UPS是电子装置，再好的电子装置(包括进口名牌产品)也不能完全保证不出故障，应该说故障率还比较高，因此，如何正确认识和使用UPS，也成为一个应考虑的课题，主要有以下几点。1)UPS工作的环境通常较好，但其蓄电池所要求的环境温度(202）)一般达不到，因此蓄电池寿命不如预期长。先进的UPS可以随时监测每个电池的状态，而一般的UPS均无此项功

28、能，为此需要定期认真检查蓄电池的状况。2)UPS至DCS或ESD的输出电源线，一般用电缆，电缆的故障主要包括机械损坏、鼠害以及本身电气性能的恶化，而且其线路越长，故障可能性越大，当该电缆故障时，UPS实际已失去作用。3)UPS逆变器故障已经在许多厂发生过，我厂也不例外，由于多数UPS在其逆变器发生故障时采用先“合”(旁路电源)后“分”(逆变电源)的工作模式，有可能在某种特定条件下，造成“旁路”电源熔断器熔断的情况(尽管UPS厂家否认会出现这种情况，实际上还是有多起这样的事故发生)，最后使UPS的输出完全丧失。为保证生产装置的安全运行，尽量减少因为电源(含UPS)故障而造成非计划停工次数，为此，

29、建议：1)将DCS的供电与ESD供电分开，分别由两个不同的UPS供电，其中应优先考虑ESD的供电可靠性。由于ESD的CPU通常有三冗余配置，3个CPU可以来自不同的电源见图12。图12DCS和ESD分别供电示意图图12表示UPS1专供ESD，UPS2专供DCS，也同时供ESD，这样即使有一台UPS故障，ESD不会误动，如UPS2故障时，极端情况DCS可能会短时黑屏，但可以很快开起来，并不会太大影响装置的生产。若不采用两台UPS，至少ESD应除一路由UPS供电外，还应有另一路市电供电，这比单有一台UPS供电的可靠性大为提高。2)UPS应安装在仪表间(主控室)附近，尽量减少配电电源线的长度，以确保减少电线、电缆故障，并保证较好的环境条件。3)UPS输出电气设备，含空气开关、电源端子等电气元件，均应选用优质产品并正确整定，避免因开关误动造成电源中断。4)选用优质品牌的UPS，减少故障，提高性能。