西门子T3000 DEH系统卡件通信中断逻辑优化及FM458故障在线处理方案

（浙江国华浙能发电有限公司，浙江宁海315612）

西门子T3000 DEH系统卡件通信中断逻辑优化及FM458故障在线处理方案

李剑，瞿丹波，徐兴臣，朱加胜

（浙江国华浙能发电有限公司，浙江宁海315612）

通过西门子T3000 DEH控制系统模拟试验发现，ADDFEM卡件故障或通信中断时，会导致调门大幅波动或误关；功率、主汽压力、转速等AI或PI信号，只有当偏差值超限时才会被切除；与主FM458连接的2路ADDFEM通信同时中断时，会导致DEH主控制器CPU417H和FM458交叉运行。针对以上隐患，宁海发电厂利用机组检修的机会及时进行逻辑优化，并积极探索FM458控制器故障在线处理方案。该方案经试验验证，取得了良好效果，消除了原控制逻辑设计隐患，提高了DEH主控制器FM458故障在线处理能力。

通信；故障；隐患；优化

0 引言

宁海发电厂二期2×1 000 MW机组采用西门子T3000型DEH控制系统，系统配置2对冗余的处理器417H和FM458，并分别配置通用的ET200M I/O卡件及汽轮机控制专用的ADDFEM接口模件。FM458为基于PM6的SIMADYN D CPU，完成汽轮机的基本闭环控制功能，如转速控制、功率控制、主汽压力控制、阀位控制等；CPU417H完成热应力计算和ATC及ETS保护的处理等。每套DEH控制系统共配置3块冗余的智能化ADDFEM接口模块，并通过各自冗余的PROFIBUS DP接口与冗余的FM458高速CPU模块相连接，三冗余的输入信号（如转速、功率、主汽压力等）分别接入3块ADDFEM，冗余的输入信号（如高、中压调门反馈等）分别接入其中任意2块ADDFEM接口模块，每个输出信号（如调节阀指令信号等）通过2块ADDFEM接口模块输出。

若ADDFEM卡件故障或通信中断，可能导致阀位、转速、功率、主汽压力等重要输入信号的二选、三选功能失真，调门大幅波动或误关。另外2对处理器CPU417H和FM458不能实现物理上的真正冗余，若主侧FM458卡件故障或内存卡故障，将导致控制器CPU417H和FM458交叉运行、机组失控，如处理不当，将直接导致机组跳闸。截至目前，此类故障还没有在线处理成功的先例，国内同类型机组已发生多起因FM458故障跳机或不得不停机处理的事故。

1 ADDFEM通信中断试验及逻辑优化

利用C603停机检修的机会，在线模拟ADDFEM卡各种通信中断故障状态，总结试验结果，及时进行逻辑优化，并进行逻辑验证。

1.1 停机前ADDFEM通信中断试验

机组在300 MW附近稳定稳定运行时，退出协调，此时高调1指令25.64%，反馈在25.40%～25.90%小幅波动，DEH控制器CPU417H和FM458左侧为主运行。某时刻断开ADDFEM1左侧DP通信端口，稍微减小高调指令后，画面显示高调1反馈保持25.69%不变，此时就地发现高调1逐渐关小，DEH画面上功率设定值保持不变，但实际功率快速下降，主汽压力快速上升，为了维持当前负荷指令，调门指令逐渐增大，当大于25.69%时，就地调门又开始逐渐开大。及时恢复ADDFEM1左侧DP通信端口插头，最终负荷、主汽压力、调门开度逐渐恢复稳定。

对试验进行如下分析：断开ADDFEM1左侧DP通信端口后，调门反馈1保持为拔掉通信插头的最后值。当机组降负荷关小调门时，由于逻辑设定调门反馈二选大的作用，反馈1值被选择且保持不变，由于PID（调门控制器）中指令、反馈始终存在负偏差，导致调门逐渐关小，实际功率快速下降，主汽压力快速上升。随后因实际功率低于功率设定值，负荷控制器要求开大调门，当调门指令大于反馈1的保持值时，调门才逐渐开大，实际负荷开始回升，主汽压力开始下降。

运行中只有当调门实际开度大于反馈1的保持值时，调门反馈2才会被选择。而当功率过调，调门指令减小时，又会重复上述现象，导致调门开度、功率和主汽压力频繁大幅波动，给机组的稳定运行带来很大的隐患。

1.2 停机后ADDFEM通信中断模拟试验

保持CPU417H和FM458为主侧运行，高/中压调门开至20%，盘车转速50 r/min。在控制柜内用信号发生器模拟AI（功率信号），用短接的方法模拟DI信号，通过DEH画面操作输出AO及DO信号。通过人为断开ADDFEM DP通信端口的方法，来模拟ADDFEM与FM458通信中断故障。

1.2.1 试验一：ADDFEM1左侧DP通信端口断开试验

（1）断开ADDFEM1左侧DP通信端口，运行操作调门指令由20%升至25%，画面调门指令、反馈显示正常，均为25%；调门指令由20%降至15%，画面调门指令显示正常，反馈保持20%，实际就地阀门逐渐关小，最终全关。

（2）断开ADDFEM1左侧DP通信端口，用信号发生器逐渐增大或减小功率值（3个同时增大或减小）。与初始值相比，当功率偏差小于104 MW时，画面功率值显示保持初始值；当功率偏差大于104 MW时，画面显示正常，为所加的功率值。

（3）断开ADDFEM1左侧DP通信端口，调整盘车使47 r/min＜转速＜53 r/min时，画面转速始终保持不变，显示为50 r/min；53 r/min＜转速或转速＜47 r/min时，画面转速显示正常。

（4）断开ADDFEM1左侧DP通信端口，在控制柜内短接或断开DI信号，画面和逻辑中信号显示正常。

（5）断开ADDFEM1左侧DP通信端口，通过逻辑组态，输出DO指令，画面和逻辑中信号显示正常。

对试验情况作如下分析：当断开ADDFEM1左侧DP通信端口时，调门反馈1保持为拔掉通信插头的最后值。由于逻辑中调门反馈信号二取大的作用，当开大调门时，调门反馈选择ADDFEM2中反馈2值，所以调门可以正常开大；当关小调门时，反馈1值被选择且保持不变，调门PID控制器中指令、反馈始终存在负偏差，导致调门逐渐关小，直至全关。

逻辑中功率和主汽压力信号采用3，2，1的顺序选择输出，转速信号采用1，2，3的顺序选择输出。当信号变坏点或偏差超限值（功率104 MW，主汽压力0.9 MPa，转速3 r/min）时，才剔除该点信号。

当断开ADDFEM1左侧DP通信端口时，ADDFEM1内DI及DO信号全部为0，而ADDFEM2内DI及DO信号为正常值，由于2块ADDFEM的DI及DO信号通过“或门”冗余输出，所以信号显示正常。

1.2.2 试验二：ADDFEM1左、右侧DP通信端口全断开试验

（1）ADDFEM1左、右侧DP通信端口全断开，ADDFEM1的AO输出将变为0，ADDFEM2的AO输出正常。保持调门指令为20%不变，画面反馈显示20%不变，实际就地阀门逐渐关小，直至全关；快速将调门指令由20%升至25%，画面调门开启正常，指令、反馈显示正常，但在25%附近维持短时间后，逐渐关小，直至全关，但调门反馈显示20%；调门指令由20%降至15%，画面反馈保持20%不变，实际就地阀门逐渐关小，最终全关。

（2）ADDFEM1左、右侧DP通信端口均断开，功率、转速、主汽压力DI及DO信号的试验现象同试验一。

AO卡指令主要包括汽轮机高、中压调阀指令，ADDFEM1卡AO指令对应伺服阀线圈1，ADDFEM2卡AO指令对应伺服阀线圈2，通过2个线圈共同控制调门开度。当ADDFEM1左、右侧DP通信端口都断开时，ADDFEM1的AI信号保持为拔掉通信插头的最后值，AO信号输出变为0（即伺服阀线圈1失电），此时只有线圈2作用在伺服阀上，无法承受原来的载荷，同时由于调门反馈的大选作用，反馈保持不变，使调门PID控制器中指令、反馈偏差始终为零，伺服阀指令输出不会增大，即伺服阀线圈2电流不会增大，最终导致调门逐渐关小，直至全关。

1.2.3 试验三：ADDFEM1和ADDFEM2左侧DP通信端口全断开试验

ADDFEM1和ADDFEM2左侧DP通信端口全断开时，CPU417未切换，FM458发生主从切换（由左侧切换到右侧），右侧FM458通过ADDFEM1和ADDFEM2的右侧DP通信端口来读取数据，此时所有信号测点显示正常、调门开关正常，所有试验正常，但ADDFEM卡失去通信冗余功能。

1.2.4 试验四：ADDFEM1和ADDFEM3的左侧DP通信端口断开试验

ADDFEM3卡里仅有3个AI信号正在使用：A主汽门前压力3、B主汽门前压力3、功率信号3。ADDFEM1和ADDFEM3的左侧DP通信端口断开时，CPU417和FM458不发生切换，试验现象同试验一。

1.2.5 试验结论

（1）ADDFEM1或ADDFEM2有1个通信接口与主侧FM458通信中断时，存在AI值保持不变的假象，系统无法显示小于通信中断后的实际值。开大调门时，阀门动作正常，但关小调门时，会导致调门全关；对于功率、主汽压力、转速等三选的冗余信号，只有当偏差值超限时，才会被剔除。

（2）ADDFEM1或ADDFEM2中2个DP通信接口都与FM458通信中断时，会导致1个伺服阀线圈失电，同时由于1个阀位反馈值保持不变的假象，使控制逻辑不能及时通过加大另一个伺服阀线圈的电流来保持调门的动作，导致调门逐渐关小，最终全关。

（3）ADDFEM1和ADDFEM2与主FM458连接的DP通信接口同时断开时，FM458会发生主从切换，而CPU417H不切换，导致DEH主控制器CPU417H和FM458交叉运行，ADDFEM卡失去通信冗余功能。

1.3 逻辑优化

利用组态中ADDFEM通信收发功能块“CRV”和“CTV”产生的通信报警，作为AI信号质量判断的切换条件。

（1）高/中压调门反馈

原逻辑：2个调门阀位信号经过MCPUV2模块大选。

逻辑修改：引入ADDFEM1和ADDFEM2通信中断报警，增加信号的通信品质判断，若判断信号中断，则将该侧的AI信号切换至另一侧的好值。

（2）功率、转速、主汽压力信号

这3个信号中3个测点分别送至3块ADDFEM卡。

逻辑修改：将ADDFEM通信中断故障与测点坏质量和偏差大报警相“或”，送至信号选择块的品质判断点，任一故障触发即自动剔除该信号。

1.4 逻辑验证试验

保持左侧CPU417H和FM458为主侧运行，高/中压调门开至20%，盘车转速50 r/min。在控制柜内用信号发生器模拟功率。通过人为断开ADDFEM DP通信端口的方法，来模拟ADDFEM与FM458通信中断故障。

1.4.1 试验一：拔掉ADDFEM1卡任一侧DP通信插头

（1）断开ADDFEM1左侧DP通信端口，逻辑里调门反馈1被反馈2替代；开大、关小调门，画面调门指令、反馈显示正常，就地阀门动作正常。

（2）断开ADDFEM1左侧DP通信端口，用信号发生器逐渐增加或减小功率值（3个同时增大或减小）。逻辑里功率1信号被自动剔除，画面功率值增、减显示正常。

（3）断开ADDFEM1左侧DP通信端口，调整盘车增、减转速，画面转速升、降正常。

1.4.2 试验二：拔掉ADDFEM1卡左、右两侧DP通信插头或ADDFEM1断电

调门开度略微下降后稳定在19%左右，测量ADDFEM1卡输出至调门伺服阀线圈1的电流值为0，ADDFEM卡2输出至调门伺服阀线圈2的电流，先瞬间增大后，恢复至正常值。调门开大、关小动作正常，但指令和反馈有1%左右的偏差。

1.4.3 总结

通过逻辑优化，引入ADDFEM通信收发功能块“CRV”和“CTV”产生的通信报警，作为AI信号质量判断条件，有效避免了当机组降负荷时，若ADDFEM通信中断会导致调门大幅波动或误关；以及功率、转速、主汽压力等三冗余信号只有当偏大超限值才能被剔除的隐患。但同一块ADDFEM卡2根通信线均断开或1块ADDFEM卡断电后，调门指令与反馈有1%左右的偏差。分析认为此时1个ADDFEM卡的AO指令变为0，导致汽轮机调门的1个伺服阀线圈失电，但冗余的ADDFEM卡会及时加大指令输出，增加另一个伺服阀线圈电流，保持调门稳定，由于2个线圈和单个线圈的零偏电流存在偏差，致使调门存在1%左右的偏差。经专家分析，1%的开度对机组负荷没有太大的影响。

2 FM458故障在线处理方案

针对宁海发电厂3号机（西门子TXP系统）FM458故障、5号机（西门子T3000系统）FM458内存卡故障导致DEH主控制器CPU417H和FM458交叉运行，最终机组跳闸和停机处理事故，并结合近年来国内同类型机组所发生的类似事故，利用C603机组检修的机会，模拟各种故障状态，进行在线试验，探索FM458故障在线处理方案。

2.1 CPU417H控制器冗余切换试验

左侧CPU417H和FM458为主侧运行，高/中压调门开至20%。

（1）复位主侧CPU417H控制器，CPU417H和FM458同时切至右侧，切换过程中高/中压调门反馈无异常。随后操作员站设定高调阀指令至30%，反馈至30%，动作正常。

（2）复位右侧CPU417H控制器，CPU417H和FM458同时切回左侧，切换过程中高/中压调门反馈无异常。随后操作员站设定高调阀指令至30%，反馈至30%，动作正常。

（3）试验期间对油动机伺服阀的接线进行了测量。测量调阀一路伺服阀线圈电流信号，拆高调阀1的1个指令线，反馈由20%下降至19%，与上一节试验结论相符；测量高调1伺服阀1组线圈指令电流值约为8 mA，电压约为0.8 V。

2.2 CPU417H控制器停电切换试验

左侧CPU417H和FM458为主侧运行，高/中压调门开至20%。

（1）停左侧CPU417H控制器电源，停电后CPU417H和FM458同时切至右侧，运行人员操作高调阀指令，动作正常。电源恢复后，左侧CPU417H控制器恢复正常，高/中压调门反馈无异常，DEH画面故障在电源恢复后消失。在恢复过程中操作高调阀指令，动作正常。

（2）停右侧AP414PG控制器电源，停电后CPU417H和FM458同时切回左侧，运行人员操作高调阀指令，动作正常。电源恢复后，右侧CPU417H控制器恢复正常，高/中压调门反馈无异常，DEH画面故障在电源恢复后消失。在恢复过程中操作高调阀指令，动作正常。

2.3 CPU417H控制器通信失去试验

左侧CPU417H和FM458为主侧运行，高/中压调门开至20%。

（1）断开左侧CPU417H Profibus DP通信插头，CPU417H和FM458同时切至右侧：卡件总线故障报警灯亮，两侧冗余检测信号REDF报警，高/中压调门反馈无异常。运行人员操作高调阀指令，动作正常。插头恢复后，上述报警灯灭，高/中压调门反馈无异常。

（2）断开右侧CPU417H Profibus DP通信插头，CPU417H和FM458同时切回左侧：卡件总线故障报警灯亮，两侧冗余检测信号REDF报警，高/中压调门反馈无异常。运行人员操作高调阀指令，动作正常。插头恢复后，上述报警灯灭，高/中压调门反馈无异常。

2.4 FM458内存卡拔插试验

左侧CPU417H和FM458为主侧运行，高/中压调门开至20%。

停左侧PS405电源，CPU417H和FM458同时切至右侧，无异常。插拔一次左侧FM458存储卡，送左侧PS405电源。第一次试验重新上电后，左侧CPU417和FM458重启、同步正常，高/中压调门无异常；第二次做试验时，插拔FM458存储卡重新上电后，左、右FM458重启后同步不成功，左侧FM458卡BUSF故障灯一直红闪，ADDFEM1故障灯B-F1常红，且左侧断电重启后BUSF故障仍然存在，把左侧FM458逻辑重新下装后，问题解决。FM458逻辑下装及同步过程中，高/中压调门无异常。怀疑是拔出存储卡时，程序出现问题所致。

2.5 FM458通信失去试验

左侧CPU417H和FM458为主侧运行，高/中压调门开至20%。

（1）断开左侧FM458 Profibus DP通信插头，FM458切至右侧，CPU417H未切，CPU417H和FM458交叉运行；高/中压调门无异常，DEH画面上左侧458故障报警。运行操作高/中压调阀指令，动作正常。插头恢复后，右侧458自动切回左侧，高/中压调门无异常，DEH画面上故障消失。

（2）断开右侧FM458 Profibus DP通信插头，CPU417H和FM458都不切换；高/中压调门无异常，DEH画面上右侧458故障报警，运行人员操作高/中压调阀指令，动作正常。插头恢复后，右侧状态灯恢复正常，高/中压调门无异常，DEH画面上故障消失。

（3）断开左侧FM458 Profibus DP通信插头后停左侧CPU417H控制器，先是FM458切至右侧，CPU417H和FM458交叉运行；左侧CPU417H控制器停运后，右侧CPU417H变为主运行。至此CPU417H和FM458成功切至右侧同侧运行。控制器切换及同步过程中，高/中压调阀无异常。运行操作高中压调阀指令，动作正常。

（4）断开左侧FM458 Profibus DP通信插头后停右侧CPU417H控制器，先是FM458切至右侧，CPU417H和FM458交叉运行；右侧CPU417H控制器停运后，两侧FM458同时报故障报警，触发ETS停机，但DEH画面调门阀位反馈显示上一时刻值（两侧FM458通信同时失去，跳闸电磁阀失电，实际门关闭）。

2.6 FM458存储卡更换、逻辑下装试验

左侧CPU417H和FM458为主侧运行，高/中压调门开至20%。

（1）停右侧控制器电源：将右侧电源卡PS405按钮切至STOP位，右侧CPU417H和FM458停运，左侧CPU417H和FM458报冗余故障报警，所有高中压调门状态正常。

（2）更换右侧FM458存储卡，右侧电源卡PS405送电重启：两侧CPU417H同步正常，左侧FM458报冗余故障报警，右侧FM458报冗余故障、内部故障、外部故障报警，所有高中压调门状态正常。

（3）在工程师站进行右侧FM458逻辑下装：选择RACK1（RACK0对应左侧FM458，RACK1对应右侧FM458）进行逻辑下装（如逻辑下装过程中提示逻辑编译，则进行逻辑编译后下装），下装过程中所有高/中压调门状态正常。

（4）FM458自动同步：逻辑下装完成，FM458开始自动同步（右侧FM458 UF灯闪烁），同步过程中高/中压调门状态正常，同步完成后（右侧FM458 UF灯灭），主从FM458所有故障报警消失，DEH画面故障报警消失，运行操作高/中压调阀指令，动作正常。

（5）主从CPU417H切换：停左侧CPU417H（按钮切至STOP位），再将左侧CPU417切至RUN位，主从CPU417和FM458切换正常、同步正常。

（6）重复步骤（3）和（4），对左侧FM458进行逻辑下装：下装及同步过程中所有高/中压调门状态正常，同步完成后，主从FM458所有故障报警消失，DEH画面故障报警消失，运行操作高中压调阀指令，动作正常。

2.7 总结

机组正常运行中，若主侧PS405或CPU417故障，CPU417和FM458会同步切至从侧，且主从切换过程一般不会出现问题；若主侧FM458卡件故障或其内存卡故障，则FM458会切至从侧，而CPU417不会切，即会出现CPU417和FM458交叉运行状态。

2.7.1 FM458故障处理

机组运行中，若出现FM458故障，导致CPU417和FM458交叉运行，故障处理步骤如下：

（1）首先查询故障信息，判断是FM458卡硬件故障还是内存卡故障。

（2）将故障FM458侧的CPU417按钮切至STOP位，CPU417和FM458切至同侧运行。

（3）若FM458卡硬件故障：停电更换FM458卡，重新上电，待主从同步完成后，故障消除（不需要逻辑下装）。

（4）若FM458内存卡故障：停电更换FM458内存卡，重新上电，进行FM458单侧或两侧逻辑下装，同步完成后故障消除。两侧FM458逻辑按以下方法下装：

同侧运行，逻辑下装：先进行CPU417主从切换，将CPU417和FM458切至同侧运行；下装故障的FM458逻辑（此时该侧FM458为从侧，CPU417为从侧）；同步完成后（UF灯不再闪烁），再做一次CPU417主从切换，对另一侧FM458进行逻辑下装。

交叉运行，逻辑下装：先下装故障的FM458逻辑（此时该侧FM458为从侧，CPU417为主侧），同步完成后（UF灯不再闪烁），FM458会自动切回为主侧运行；再下装另一侧FM458逻辑。

2.7.2 FM458逻辑下装注意事项

（1）运行中可以进行单侧FM458逻辑下装，但不能进行单侧CPU417逻辑下装（易导致调门误动）。

（2）在短时间内若无参数修改，下装时一般不会提示逻辑编译，即只需单侧FM458逻辑下装，若逻辑下装过程中提示逻辑编译，则两侧FM458都要逻辑下装。

（3）单侧FM458逻辑下装时，应首先确认此时软件里选择的是RACK0还是RACK1（RACK0对应左侧FM458，RACK1对应右侧FM458）。

（4）两侧FM458都要逻辑下装，建议采用“同侧运行，逻辑下装”方式，CPU417和FM458交叉运行时，进行逻辑下装存在较大风险，可能导致程序内控制紊乱，高/中压调门失控。

（5）当一侧FM458逻辑下装完后，一定要等两侧FM458同步完成后（即UF灯不再闪烁），再进行另一侧FM458的逻辑下装，否则会导致调门误关，机组跳闸。同类型机组FM458故障处理过程中跳机，多数可能因此原因引起。

（6）更换FM458内存卡时，最好用新的内存卡，且要求容量与原内存卡一致，否则会导致逻辑下装失败。

3 结语

通过ADDFEM通信中断试验，及时发现了当机组降负荷时，若ADDFEM通信中断会导致调门大幅波动或误关；功率、转速、主汽压力等三冗余信号只有当偏大超限值才能被剔除的隐患。经过试验验证，宁海发电厂采取的逻辑优化方案，可以有效避免以上隐患的发生。另外通过西门子控制器切换、通信丢失及FM458内存卡更换、逻辑下装试验，再现了故障处理过程及现象，并探索出了相对可靠的FM458故障在线处理方案。

[1]丁俊宏，丁宁，苏烨，等.2015年浙江省发电厂典型热控故障异常分析与建议[J].浙江电力，2017，36（1）∶27-30.

[2]DL/T 261-2012火力发电厂热工自动化系统可靠性评估技术导则[S].北京：中国电力出版社，2012.

[3]刘哲，刘林.大型火电机组分散控制系统网络通信性能试验[J].广东电力，2016，29（11）∶47-51.

（本文编辑：徐晗）

Logic Optimization for Card Communication Outage of Siemens T3000 DEH and Online Solution to FM458 Controller Fault

LI Jian，QU Danbo，XU Xingchen，ZHU Jiasheng
（Zhejiang Guohua Zheneng Power Generation Co.，Ltd.，Ninghai Zhejiang 315612，China）

Based on the simulation experiment on Siemens T3000 DEH control system，it is found that ADDFEM card fault and communication outage can lead to sharp fluctuation or misclosing of control valve；AI or PI signals such as power，main steam pressure，rotating speed may not be removed until the bias valve exceeds the limit；in the case of two FM458-connected ADDFEM communication outage，DEH main controller CPU417H and FM458 may operate in a crossing way.In view of the above concerns，Ninghai Power Plant optimized the logic during unit overhauling and actively explored online solution to FM458 controller fault.The solution was verified through test and turned out to be effective in eliminating hidden danger of the original control logic and improving online fault handling capacity of controller FM458 for the DEH system.

communication；fault；hidden danger；optimization

10.19585/j.zjdl.201707016

1007-1881（2017）07-0063-06

TK38

B

2017-03-31

李剑（1980），男，工程师，主要从事火电厂热工检修技术管理工作。