新版二十五項反措“9.5 防止保護系統失靈事故”單獨對熱工保護系統提出了要求，在2014版此部分內容同樣有13條，但大部分內容都發生了變化。今天昌暉儀表對此進行對比分析，找出變化的原因和機理，供大家參考。
9.5.1 除特殊要求的設備外(如緊急停機電磁閥等)，其他所有設備都應采用脈沖信號控制，防止分散控制系統失電導致停機停爐時，引起該類設備誤停運，造成重要主設備或輔機的損壞。
2023版二十五項反措9.5.1條與2014版9.4.1條完全相同，這一條是對熱工保護信號類型的表述。我們知道對于開關量動作信號分為保持信號和脈沖信號，而脈沖信號又分為長脈沖和短脈沖。一般情況下，反映設備狀態的信號都是保持信號，狀態發生變化后信號發生變化，比如某個設備的啟停狀態。而對于指令信號一般使用脈沖信號，設備的控制信號當然是一種指令信號，所以一般采用脈沖信號。但是對于緊急停機電磁閥等主保護信號，要求使用保持信號，以達到保護的安全性。
9.5.2 所有重要的主、輔機保護都應采用“三取二”、“四取二”等可靠的邏輯判斷方式，保護信號應遵循從取樣點到輸入模件全程相對獨立的原則，確因系統原因測點數量不夠，應有防保護誤動及拒動措施，保護信號供電亦應采用分路獨立供電回路。
2023版二十五項反措9.5.2條是對2014版9.4.2的修訂，2014版保護信號要求使用“三取二”的方式，而2023版修訂為了“三取二”和“四取二”兩種方式。其實在日常工作中我們也會經常用到“四取二”的邏輯保護，比如上面提到的停機電磁閥主流設計都是“四取二”，一些小型的工業汽輪機則是“三取二”。
另一個變化是要求在測點數量不夠時，應有防止保護誤動和拒動的措施，2014版只提到了保護誤動。實際上，測點數量不夠造成保護拒動的情況也存在，比如筆者在之前工作中遇到過兩個DEH轉速探頭故障，但是由于品質判斷信號沒有發出，造成汽輪機轉速異常升高的現象。在這種情況下，即便轉速超過保護定值，DEH超速保護也不會發出。
這一條還調到了保護信號供電應采用分路獨立信號，2014版未做規定。這一條是對保護信號獨立性的一個重要補充，之前我們提保護信號獨立性往往想到的是信號取樣點的獨立性，信號采集卡件的獨立性，相關電源系統也需要獨立布置。這里同樣可以參考汽輪機停機電磁閥，作為保護的執行機構，一般也是獨立的電源布置。
9.5.3 熱工保護系統輸出的指令應優先于其它任何類型指令。控制系統的控制器發出的機、爐跳閘信號及相應的動作回路應冗余配置，且應設計機組硬接線跳閘回路。機、爐主保護回路中不應設置供運行人員切(投)保護的任何操作手段。
2023版二十五項反措9.5.3條與2014版9.4.4條基本相同，但是描述更加確切。比如2014版說的是“分散控制系統的控制器發出的~~”修訂為了“控制系統的控制器發出的~~”，比如單獨配置的ETS系統就不能作為分散控制系統，所以這里描述更加精確。當然也提到了機組設置硬接線跳閘回路。需要說明的是，硬接線跳閘回路是完全獨立于控制系統的，也就是說即便控制系統癱瘓掉，也要具備緊急停機、停爐的功能。之前在工作中遇到過潤滑油控制系統單獨設置有PLC控制器，而聯啟潤滑油備用泵的硬接線需要經過控制器才能動作，這種設計也是危險的，大家可以自查一下自己家的系統是不是也有這樣的設計。
9.5.4 汽輪機緊急跳閘系統應設計為失電動作，硬手操設備本身要有防止誤操作、動作不可靠的措施。手動停爐、停機保護應具有獨立于分散控制系統(或可編程邏輯控制器(PLC))裝置的硬跳閘控制回路，配置有雙通道四跳閘線圈汽輪機緊急跳閘系統的機組，應定期進行汽輪機緊急跳閘系統在線試驗。
2023版二十五項反措9.5.4條與2014版9.4.8條基本相同，首先強調的是汽輪機跳閘系統設計為失電動作，2014版描述的是“繼電器失電動作”。這一條是原則設計，不能因為任何理由改變。之前遇到某垃圾焚燒電廠“三取二”的電磁閥設計為得電動作，后來工作中因為電磁閥多次異常故障，領導要求改為得電動作。這種要求不僅愚蠢而且置機組安全于不顧，設計為得電動作，一旦電磁閥在長期運行中故障，在緊急情況下都無法停機，后果不堪設想。后面提出的保護裝置的獨立性原則，與上文我們舉的潤滑油系統的例子其實是一個道理，必須保證保護系統的完全獨立和后備手段獨立。
9.5.5 主機及主要輔機保護邏輯設計合理，符合工藝及控制要求，邏輯執行時序、相關保護的配合時間配置合理，防止由于取樣延遲等時間參數設置不當而導致的保護失靈。
2023版二十五項反措9.5.5條與2014版8.4.10條相同。這一條強調的保護邏輯的合理性原則，包括邏輯時序和相關延時時間、脈沖時間等設置合理。可以舉個簡單的例子，如下圖所示的保護邏輯，同樣的延時2S，延時放在取三取二或者三取二后，其實效果會有很大差別。當延時2S在三取二前，如果信號時長不夠2S，可以避免動作輸出。如果延時2S在三取二后，當汽包水位高1時長1.5秒后消失，汽包水位高2持續，汽包水位高3在汽包水位高1觸發的第1.5秒內觸發，并且兩個信號的時長和達到了2S，那么也會觸發保護動作。而單獨看兩個信號其實都沒達到保護動作的條件，所以設計就存在不合理之處。
9.5.6 重要輔機的“已啟動”和“已停機”信號應真實反映輔機的啟停狀態，防止由于虛假信號造成機組跳閘。
2023版二十五項反措9.5.6條是新增，強調重要輔機的啟停狀態必須真實，這里需要注意的是設備的啟停狀態、設備電源的合分狀態、設備變頻器的啟停狀態，分別代表不同的意義。
9.5.7 對于重要被調量或主要保護、聯鎖有關的模擬量，如果需做溫度、壓力修正，引入修正計算的測點應做冗余配置，防止修正測點單點故障導致測量異常事故。如果冗余配置的修正測點發生故障，應做相應報警，模擬量調節系統應切手動。
2023版二十五項反措9.5.7條是新增，對參與保護的模擬量信號進行了單獨規定。比較經典的案例是汽包的平衡容器測量水位，需要引入溫壓補償，一般是汽包壓力和汽包壁溫，這里的溫壓信號就不能使用單測點，需要多個測點取平均后參與到水位的補償計算中。
9.5.8 送風機、引風機、一次風機、空氣預熱器、給水泵、凝結水泵、真空泵、重要冷卻水泵等、以及非母管制的循環水泵等多臺組合或主/備運行重要輔機(輔助)設備的保護及控制功能，應分別配置在不同的控制器中。
2023版二十五項反措9.5.8條是新增，還是強調的保護信號的分散性原則，這里指的是參與保護的重要輔機控制要獨立。之前的文章我們舉過類似的例子，比如設計有五套制粉系統，要分別布置于不同的站點，避免一個站點故障引起多套制粉系統的跳閘。
9.5.9 重要輔機采用單臺配置方式的機組(如單臺給水泵、單臺送風機、單臺引風機、單臺一次風機等)，其入口門(擋板)、出口門(擋板)設備的全開、全關信號判斷邏輯應增加工質特性信號判斷(如流量、壓力等信號)，并對全開、全關狀態進行光字報警，避免出現閥門全開、全關信號同時觸發或閥門全開信號瞬間消失、全關信號同時出現等故障導致跳機。
2023版二十五項反措9.5.9條是新增，強調單臺配置的重要輔機要避免保護誤動的情況。比如某個擋板門的關閉會引起設備跳閘，如果擋板門的關閉狀態使用的單信號，就會存在誤動的可能。因此一般引入擋板門關閉狀態、開狀態取非、擋板門位置反饋＜5%和相關流量信號限值等作為在最終的判斷信號。如下圖所示，需要注意的是，未必是單設備才能采取此類方式，一般我們在邏輯組態時，相關信號都采用這種方式。
9.5.10 機組和主要輔機跳閘的輸入信號，通過硬接線直接接入對應保護單元的輸入通道。不同系統間的重要聯鎖與控制信號，除通信連接外還應硬接線連接并冗余配置硬接線信號。
2023版二十五項反措9.5.10條是新增，是對輔機跳閘信號的規定。以引風機保護為例，如出口擋板關閉信號，直接以硬接線的方式進入DCS系統中，中間不做任何轉換。不同系統間的重要聯鎖和控制信號，包括保護信號，比如汽輪機打閘信號去發電機，正常要配置冗余的硬接線信號。
9.5.11 涉及機組安全的重要設備(如汽輪機交流潤滑油泵、汽動給水泵潤滑油泵)應有獨立于分散控制系統的硬接線操作回路。潤滑油壓力低信號應直接送入電氣啟動回路，確保在沒有分散控制系統控制的情況下能夠自動啟動，保證汽機的安全。
2023版二十五項反措9.5.11條與2014版9.4.2條基本相同，與前文我們提到的9.5.3條其實類似，都是對于重要設備的硬接線手操手段的要求。這里單獨舉例了潤滑油壓力低信號直接送入到電氣啟動回路，避開相關DCS或者PLC等控制設備，前文昌暉儀表也提到過。
9.5.12 涉及機組保護的壓力開關安裝位置與取樣點位置存在明顯影響測量準確性的標高差時，應按照機組保護定值對壓力開關動作值進行相應修正。
2023版二十五項反措9.5.12條是新增，提到了測點取樣的規范性問題，如果卻因客觀因素存在一些準確性問題，需要進行相關的修正。
9.5.13 冗余控制器(包括電源)故障和故障后復位時，應采取必要措施，確認保護和控制信號的輸出處于安全位置。
2023版二十五項反措9.5.13條是新增，是對近幾年出現的冗余控制器故障問題進行了規定，尤其是電子設備出現故障時進行重啟后會自動恢復的情況，基本恢復后正常，也要切換至備用狀態或者更換。昌暉儀表查了一些資料，以2019年為例，中國自動化學會統計了當年發生的控制器故障造成的機組異常事故7起，甚至造成了機組跳閘，還是需要格外重視。
上述是2023版二十五項反措“9.5 防止保護系統失靈事故”的簡單分析，保護系統失靈在行業內部屬于重大問題，也是日常檢修、維護的重要方面，涉及機爐電化熱多個專業，需要引起格外重視。
