前言
上世纪九十年代初，DCS刚开始在火电厂尝试应用时，由于DCS技术尚处于发展的初期阶段，且没有应用经验，因此，在配置DCS的同时，还设计了大量后备监控设备。后来的实践证明，DCS不仅提高了机组自动化水平，而且相比传统控制设备来说也是最可靠、最安全的设备。但是，实践同样证明，DCS仍然不可避免会出现故障，而且由于DCS是一个大系统，将机组的众多控制系统通过网络熔合成为一个不可分割的、相互独立性差的大系统，局部故障常常会演变成全局性故障，因此，配置必要的独立于DCS的后备监控设备仍然是国内外的共识，但是，目前的DCS后备监控设备配置是否合理，究竟应当怎样配置，仍然需要我们再思考和研究。
一、DCS后备监控设备配置的现状
上世纪九十年代中后期，DCS被火电厂广泛应用，其控制功能范围也日益扩大。电力规划设计总院于1993年4月19日和1996年11月29日二次颁发的《单元机组分散控制系统设计若干技术问题规定》（以下简称《规定》），以及后来发布的《火力发电厂设计技术规程》（DL5000-2000）（以下简称《规程》）对DCS后备监控设备配置原则和要求均做出了较详细的规定。《规程》要求后备监控设备的设置应满足“当分散控制系统发生全局性或重大故障时(例如分散控制系统电源消失、通讯中断、全部操作员站失去功能、重要控制站失去控制和保护功能等)”应“确保机组紧急安全停机”。第一版《规定》还明确要求“当一个控制站故障时，能保证稳定负荷下短时安全运行和安全停机”。
根据当时的认识，具体规定如下：
1)应设置独立于DCS的后备操作手段
汽轮机跳闸
总燃料跳闸
发电机-变压器组跳闸
锅炉安全门(机械式可不装)
汽包事故放水门
汽轮机真空破坏门
真流润滑油泵
交流润滑油泵
发电机灭磁开关
柴油机启动
2)顺序控制系统和模拟量控制系统可不配置后备操作器
3)机炉不宜配置常规报警装置，必要时可按下列原则为每个单元机组设置不超过20个光字牌报警窗口。
目前，火电厂DCS后备监控设备基本上均按上述要求进行配置，后备仪表只配置汽包水位和炉膛火焰工业电视，而常规报警装置大多均已不再配置。
二、对DCS后备监控设备配置原则的再思考
2.1DCS配置后备监控设备的指导思想
我国火电厂应用DCS的十几年历史中，DCS后备监控设备的配置方案经历了不断思考和演变的过程。今天，随着实践经验的增加以及电力体制改革提出的新要求，在研究DCS后备监控设备的配置时，有下面两个问题需要我们重新思考：
1)目前的后备监控设备配置在DCS局部故障维持短时稳定负荷下运行和全局性或重大故障而紧急停机的过程中是否能够真正做到是安全的？遗憾的是，系统分析和实践无法给我们以肯定无误的回答。
当DCS发生全局性或重大故障时，目前机组配置的后备操作设备为我们提供了发出停机、停炉，启动交、流润滑油泵，打开真空破坏门等指令的手段，但是，停机、停炉是一个复杂的过程，需要进行一系列操作，这将全部依赖独立于DCS的保护和联锁回路去自动执行。任何一个熟悉运行的人都很清楚，其中有相当一部分操作如果没有被正确执行将不能保证停机过程中机组的安全，例如：发出停炉指令后一台磨煤机没有停止运行、给水阀门或减温水阀门没有关闭，发出停机指令后主汽门或调速汽门没有关闭，抽汽逆止门没有关闭，润滑油泵不能正常供油等这都将严重危及机组安全。事故调查也证明，保护和联锁拒动的现象也不是完全罕见的。
当DCS发生局部故障时，例如，一对冗余的给水控制器、汽温控制器或炉膛负压控制器故障，如果我们仍想维持短时运行，那么目前的DCS控制器配置以及后备监控设备配置是否能满足要求呢？答案也是否定的。
综上所述，按当今DCS及其后备监控设备配置的情况下，当DCS故障维持短时运行或紧急停机的过程中，均是在对机组主要安全操作和状态完全失去监控的情况下进行的，是否安全，听天由命！
2)减少非计划停运事故的要求对DCS及其后备监控设备配置的影响随着电力体制改革深化和厂网分开的实施，电力企业竞争日益加剧，各发电集团日益要求在确保机组安全的前提下，尽最大可能减少非计划停运(启动)造成的损失。而从部分范围的事故统计来看，由于DCS故障导致机组非计划停运大约平均每台机组2～4年发生一次，因此，减少由于DCS故障导致机组非计划停运次数成为当前一个新的迫切需求。
令人担心的是，在日益强化考核的压力下，有些电厂当DCS故障时，为了减少非计划停机，在完全失去安全监控的情况维持运行和发电，显然这样做潜伏着发生重大人身、设备事故的隐患。
为了解决新形势下出现的这个课题，既要减少非计划停机，又要确保安全，这也要求我们重新思考DCS及其后备监控设备如何配置的问题。
2.2DCS后备监控设备配置的原则
根据我们的研究，DCS后备监控设备的配置原则应规定如下：
1)当DCS总电源消失时，凭借后备监视和报警设备，通过硬接线回路，确保机组安全停止运行。
2)当DCS操作员站显示器出现“黑屏”或“死机”现象时，凭借后备监视和报警设备判别控制器工作状况，当判断控制器工作不正常或无法判别其工作正常与否时，运行人员可以通过后备操作设备，凭借后备监视和报警设备，通过硬接线回路，确保机组安全停止运行。
3)当DCS操作员站显示器出现“黑屏”或“死机”现象时，凭借后备监视和报警设备明确断定涉及安全的主要控制器工作正常时，运行人员可借助后备监控设备能安全的维持机组在稳定负荷下短时运行，以提供迅速修复这类局部故障的机会，减少机组非计划停运所造成的重大损失。
4)当DCS的任何一对冗余的控制器（DEH控制器除外）故障时，通过该控制器中的重要安全信号在其它控制器中的备份配置，以及必要的后备监控设备能安全的维持机组在稳定负荷下短时运行，以提供迅速修复这类局部故障的机会，减少机组非计划停运造成的重大损失。
新的DCS后备监控设备配置原则与过去的相比有如下特点：
1)提高可操作性根据过去规定，当DCS发生全局性或重大故障时应确保机组紧急安全停机，那么全局性或重大故障如何判别呢？除DCS电源消失和重要控制站失去功能较易判别外，其它故障的现象均表现为操作员站显示器出现“黑屏”或“死机”，此时，有可能仅仅是操作员站、服务器或通讯故障引起，也可能同时伴有控制站一起故障，而前者和后者的事故处理方式显然可以是不同的。因此，新的配置原则从操作员站出现“黑屏”或“死机”现象出发，提出判别DCS故障范围的要求，使设计和运行可操作性大大提高。
2)减少DCS故障非计划停运的次数新的后备监控设备配置原则规定，当操作员站全部出现“黑屏”或“死机”而判别涉及安全的主要控制器工作正常，或者DCS的任何一对冗余控制器(DEH控制器除外)故障时，应确保维持机组在稳定负荷下短时安全运行。
三、DCS后备监控设备的具体配置意见
根据作者提出的新的DCS后备监控设置配置原则，其具体配置要求如下：
3.1后备监视仪表
1)锅炉汽包电接点水位表(必须选用经实践证明安全可靠，全程测量准确)
2)锅炉炉膛火焰工业电视
3)凝汽器真空表
4)汽机转速表
5)发电机功率表
与过去规定相比，主要修改是：
1)汽包水位工业电视和电接点水位表均需电源供电，但从可靠性和准确性看，现代电接点水位表要更好些。
2)增加了凝汽器真空表，目的是紧急停机时监视破坏真空情况。
3)增加了汽机转速表，因为它是非常重要、且快速变化的安全参数，当DCS故障停机过程中必须监视，以便异常时及时采取应急措施。
4)增加了发电机功率表，因为它是机组重要仪表，平时可让运行人员一目了然，当DCS局部故障维持短时稳定运行时，也是一个重要监视参数。
3.2后备操作设备
后备操作设备是确保DCS故障、厂用电源消失等严重事故情况安全停机的重要手段，至少应包括下列设备：
1)锅炉停炉(MFT)
2)汽机跳闸
3)发电机解列
4)锅炉安全门(机械式除外)
5)汽包事故放水门
6)凝汽器真空破坏门
7)交流润滑油泵
8)直流润滑油泵
9)发电机灭磁
10)柴油机起动
为了确保安全，后备操作还必须满足下列要求：
1)后备操作设备的输出控制接点应有两个或以上常开接点冗余(根据被控回路情况而定)，以防操作时拒动或误动。输出直接引入执行部分的继电器逻辑回路或被控设备的单个强电控制回路。
2)机组跳闸操作还应设置确认按钮。
3.3后备报警装置
根据前面论述，为了确保DCS故障时维持机组稳定负荷下短时运行或紧急停机过程中安全，必须监视一些重要安全参数是否在安全范围内，主要跳闸或联锁保护是否正确动作，但是，由于装设过多后备仪表和后备操作设备问题较多，因此，适当增加后备报警装置，用较小代价换取机组的安全就是最好的选择了。因此，我们建议单元机组必须按下列原则配置足够数量的报警信号：
1)主要安全参数达到Ⅱ值和Ⅲ值。
2)主要电源和气源消失。
3)机组跳闸和主要保护联锁动作。
四、结束语
DCS后备监控设备经历着从很多到很少的演变，现在又否定之否定，提出适当再增加DCS后备监控设备。
只要大家看一下《火力发电厂设计技术规程》就会发现，当时对DCS后备监控设备配置的规定是针对DCS恐惧症背景下提出的，因此，通篇都是“宜只配以极少量确保停机安全的操作设备”，顺序控制系统和模拟量控制系统“可不配置后备操作器”，“机炉不宜配置常规光字牌报警装置，必要时可设置不超过20个光字牌报警窗口”等等。当前，我们的出发点已经完全不同，我们着眼于安全，而对DCS的认识虽然早已不再恐惧，但也不能盲目乐观。因此，通篇都是“必须配置”“足够数量”的语气。我们认为，为了安全不必斤斤计较于适当付出的一些小小代价。
（转载）
