一、 概述
华能丹东电厂为2×350MW燃煤发电机组，两台机组分别于98年11月23日及12月12日完成168小时试运行后正式投产。DCS系统采用美国西屋公司WDPFⅡ分散控制系统。整个系统覆盖了CCS、SCS、BMS、DEH、DAS、UAM等功能。两台机组的DCS系统各由27对冗余的486DPU、两台非冗余的486DPU、五台操作员站、一台工程师站、一台SUN/SPARC5历史数据站、一台SUN/SPARC5性能计算站及多台打印机组成。另外还有两对冗余DPU实现公用系统与#1、#2机组之间的数据传送。该系统配备的486DPU是西屋公司推出的基于INTEL486基础上的过程控制器，可执行简单及复杂的连续调节、顺序控制及数据采集并为I/O信号提供与数据高速公路的接口；DPU配有可组态多速处理器，可同时以10ms～30s五种组态速度进行控制，SOE记录分辨率可达0.125ms。
各DPU实现的功能如下：
#1DPU汽动给水泵控制；#2～#4DPU DEH系统；#11～#15DPU BMS系统；#16～#21DPU CCS系统；#22～#25DPU、#29DPU SCS系统；#26～28DPU UAM系统；#30～35DPU DAS系统；#36～#37DPU功用系统；By Pass功能包含在CCS和SCS系统中。
二、 出现的问题及处理办法
1 #1机组发生电器甩负荷后汽轮机超速
我厂#1机组在2002年12月份发生的一次电气甩负荷后，汽轮机发生了比较严重超速现象，汽机转速超过OPC保护动作值（3090RPM）。由于超速对汽轮机的危害极大，所以针对这一异常现象，厂部组织了运行部、检修部相关人员进行了专题研讨，从机务、电气、热控三方面分析可能造成汽机严重超速的原因，并就着#1机组停机的机会，从机务、电气、热控三方面进行试验，以确定真正原因。经过试验，排除了机务、电气方面造成超速的可能性。
我们热工专业在试验中发现，从立盘汽机打闸按钮动作经QCI卡（DPU内部I/O卡件）触发跳闸时，1DPU02/52的反应时间很快，从信号输入到指令输出，仅用50毫秒左右，可是从电气86-1跳闸继电器（即远方跳闸信号）经QSE卡触发跳闸时，1DPU02/52的反应时间就很慢，从信号输入到指令输出最快也需要2秒多。这2秒多的时间，对于调速系统而言，是根本无法容忍的，开始我们怀疑超速是1DPU02/52内接受该信号输入的QSE卡反应太慢所致。于是我们就对QSE卡进行了仔细研究，并在ETS的QSE卡上做了多次试验，排除硬件了上的原因。我们又将QSE卡的组态进行仔细地比较检查，还是未发现可疑之处。最后我们怀疑到DPU可能有些问题。但DPU内部组态在设备出厂时就设置好了，DCS系统调试时DPU内部参数由外方专家来整定，我们没有这方面的工作经验。只能将1DPU02/52内部控制源程序重装一遍，恢复到调试后的最初备份。
在重装完DPU程序并更新完系统点目录后，我们在将1DPU02的控制区进行组态时，发现有一项“DPU MANAGER”的组态很陌生，对此项组态的意义不清楚，它的组态值是800。于是我们就跟#2机组核对了一下，发现2号机组相应的值是100，于是我们又将另外三项组态即LOGIC SCAN、ANALOG SCAN、GROUP SCAN又核对了一下，发现也不一样。1号机组分别是1000、1000、1000；而2号机组分别是100、100、1000。我们又检查了其他DPU在这几项值上的组态值，也都不太一样。于是我们查阅了外方提供的原版维护手册，得知这几项数值确实是设定DPU与DIOB也即DPU与I/O点的通讯速率，单位是毫秒，而且该数值可以被用户修改。于是我们大约猜测到了问题的症结所在：因为#1机组1DPU02/52对I/O点的扫描频率是1秒，而2号机组2DPU02/52对I/O点的扫描频率是0.1秒，所以同样是发电机跳闸信号进入1DPU02/52的处理时间就会比进入2DPU02/52的处理时间长，使控制汽机阀门关闭的输出指令信号反应慢，从而会导致汽机产生比较严重的超速现象。于是我们就按照#2机组的参数对#1机组的三个值也都分别修改为100毫秒。然后我们在将1DPU02组态完后，重新又进行了测试，这次的测试结果是从信号输入到指令输出最慢的也就300毫秒，比以前2秒多快了很多。实际做电气甩负荷实验汽机转速值低于3090RPM。说明问题确实是参数设置不合适造成的。
所以我们这次解决了一项存在于DCS内部的重大隐患。
2、#1机组19DPU直流24V电源保险越级熔断
2002年12月8日下午14：38，#1机汽包水位三个模拟量测点突然间同时变坏点，并且指示汽包水位最低,汽包水位调节失控，水位保护动作造成机组跳闸。分析事故原因时调看历史记录显示在同一瞬间19DPU内所有由24VDC供电的模拟量变送器输入测点均变坏点。检查19DPU发现接线端子柜内24VDC电源第一路总保险越级熔断。测试供电回路无接地，所有支路分保险未熔断。更换新保险后所有坏点恢复正常。
我厂所有压力、流量、差压参数测量均采用ROSEMOUNT1151SMART（两线制）变送器。变送器所需24VDC电源由DPU内部两个冗余变压器提供，并分三路向接线柜内的端子排供电。由变压器输出端到接线端子排的连线为厂家设置的预制电缆。按照DCS系统危险分散的基本原则，接线柜内任一端子排应由冗余的两路甚至三路同时供电。或者重要的测点（两冗余或三冗余）应分别接入到不同的两个或三个端子排，且这两个或三个端子排应分别由不同的两路或三路电源供电。而实际上我们检查发现19DPU接线柜内的所有端子排均被厂家设置为由第一路电源供电。其他两路被闲置。这种接法只能保证两个冗余的变压器其中的一个故障另一个可接替供电；而一旦像19DPU这样第一路24VDC电源保险熔断则所有端子排上24V电源消失，其他两路所谓冗余供电电源失去意义。整个供电回路设置并未实现真正意义上的危险分
我们在作实验验证系统电源的安全性时，也被厂家承诺的所谓“冗余”误导，只将两个变压器输出端分别解掉测量端子排有电就认为系统是安全的，而没有仔细检查DPU内部的预制电缆实际接线方式。
为防止类似情况再次发生提高系统安全性，我们对DPU内部24VDC电源回路进行整改，重要的冗余测点分散接入到不同的端子排，每个端子排由两路24VDC电源供电。这样就实现真正意义上的危险分散。
3、#2机组实现汽机油系统设备启停控制的2DPU27/77同时离线
2003年7月1日15：39，#2机组控制汽轮机油系统设备启停的2DPU27/77同时离线。该DPU基本上控制着#2机组汽轮机全部油系统设备的启停，包括润滑油泵、润滑油备用泵、顶轴油泵1、顶轴油泵2、空侧密封油泵1、空侧密封油泵2、氢侧密封油泵、氢侧密封油备用泵、汽机盘车、汽机排烟风机等。
离线的DPU是处于死机状态，这时所有的I/O点处于超时保位状态，所以运行中的油泵没有因DPU的死机而发生跳闸。但如果此时机组由于其他原因而跳闸，运行中的油泵会由于控制功能丧失而不会联锁跳闸；停机后必须启动的润滑油泵、顶轴油泵、盘车等也将无法启动，这就可能会使汽轮机面临磨瓦弯轴的危险。所以如果不及时处理，后果不堪设想。
按照这套DCS系统的设计承诺，DPU在离线后重新RESET即可恢复工作。可依我们实际操作的经验，在多次DPU离线时执行RESET操作后其内部的控制程序已全部丢失，而仅有少数几次在DPU 执行RESET操作后控制功能会恢复。关于这一问题我们曾向上海西屋方面提出咨询，对方也在就这一问题进行研究。
一但复位这两个离线的DPU后其内部控制程序丢失，就必须重新从工程师站下载源文件，并且要更新系统点目录。这种操作在机组运行时是非常危险的。因为在DPU更新系统点目录后，系统会进行初始化，从而会发生当前值回零状态。这就可能使当前运行中的油泵、排烟风机等设备跳闸。如果措施采取不当，不仅会使#2机组跳闸，出现大量漏氢的危险，而且会发生全厂停电事故（当时#1机组已停机）。所以处理方案务必确保万无一失。
厂部当即组织了运行部、检修部相关人员对这一事件进行详细研究，对可能发生的事故做充分预想并制订出了安全、详细、可行的处理方案，并要求立即实行。所有参与事故处理的人员按照方案进行临时分工，并逐一排查危险点。最后经过仔细确认，我们将机组正常运行期间已启动的油泵及风机的控制继电器接线进行短接，事故备用油泵的输出指令继电器在发生跳机后，马上进行短接启动设备，这样就做到了尽量保证机组不跳闸，即使万一机组跳闸也发生不了漏氢爆炸及磨瓦弯轴等重大事故。
在确认所有的预防措施正确实施后，我们先对主DPU（2DPU27）进行RESET操作。2DPU27 复位成功，控制功能全部恢复，运行中的油泵等也未见任何异常发生。但在RESET 冗余DPU（2DPU77）时未成功，其内部控制程序全部丢失。因为主DPU恢复控制功能，所以原定的危险性较高的下载源程序及更新点目录的工作就不必做了，需要做的工作仅仅是对2DPU77重新进行组态，并将主DPU（2DPU27）中的程序拷贝至2DPU77中即可。
当2DPU27/2DPU77恢复正常工作，检查确认所有设备状态正确、机组运行工况稳定后，解除工作措施。
三、 结束语
自98年末我厂两台机组投产以来，WDPFⅡ型DCS系统一直运行良好。该系统也被其他电厂所采用。以上列举的三个问题均是我厂机组在实际运行当中出现的，其状况也比较特殊。但通过这三起事件使我们意识到在DCS内部有可能还存在着一些隐患，非到特殊情况不容易被发现。导致问题出现的原因可能有厂家出厂测试疏忽或现场调试服务人员遗漏的因素，也有我们调试维护工作中出现纰漏的因素。这也敦促我们在以后的工作当中深入学习，更全面了解WDPFⅡ型DCS系统软/硬件设置，发挥它的最佳效能为发电机组的安全稳定运行服务。