一种三重化冗余危急跳闸系统设计与实现

一种三重化冗余危急跳闸系统设计与实现

邹见效1,徐红兵1,张正迁1,曾　斌2

(1.电子科技大学自动化工程学院,四川省成都市610054;2.四川东方电气自动控制工程有限公司,四川省德阳市618000)

摘要:为提高汽轮机组危急跳闸系统(ETS )的可靠性,给出了一种三重化冗余(TMR )结构的ETS

控制系统设计。系统的信号输入、总线传输、决策、输出环节均采用独立无耦合的TMR 结构设计,同时,各环节模块具有自测试诊断功能和支持在线更换模块功能。采用主机参数同步策略保证系统响应的实时性和准确性,采用可预设的表决策略和模块自检故障表参与决策以提高系统可靠性。通过可靠性分析以及现场调试运行,验证了系统的可靠性及稳定性。关键词:三重化冗余;危急跳闸系统;可靠性;汽轮机;自测试中图分类号:TM76;TP277

收稿日期:2008210210;修回日期:2008212230。

0　引言

汽轮机危急跳闸系统(ETS )是用于监控对机组安全有重大影响的参数,以便在这些参数超过安全限值时,发出紧急停车信号,避免危险扩散造成重大损失,对于生产装置的安全、稳定、高效运行具有重

要意义[123]

。其工作过程是将汽轮机跳闸的信号进行汇总,然后输出跳闸信号至跳闸电磁阀,跳闸电磁阀卸掉保安系统的保安油,使汽轮机的主汽阀和调节阀迅速关闭,完成汽轮机跳闸功能。传统的ETS 采用继电器用硬接线连接而成,其特点是可靠性较低、信号不易改动等。针对以上问题,目前主要是通过分布式控制系统(DCS )、可编程逻辑控制器

(PL C )这2类系统实现ETS [425]

。由于ETS 是汽轮机组控制系统中负责汽轮机危急跳闸的控制系统,安全、可靠地执行跳闸指令是ETS 的重要指标。

三重化冗余(TMR )容错控制技术是近年来发展起来的一种容错设计技术,在航空航天、军事、铁路、石油、化工、电力等要求高可靠性的行业得到了广泛应用[629]。为提高ETS 控制系统的安全性、可靠性和可用性,保证系统安全、可靠、不间断工作,本文设计了一种TMR 结构的ETS 控制系统。

1　系统结构和原理

系统设计目标是:通过各环节采用TMR 的措

施提高系统可靠性和安全性;系统能够识别各组成模块故障并自动对其进行诊断;允许在不中断系统运行的情况下对其实施维修和更换部件。

系统主要包含智能输入模块、主控制器、总线控制器和智能输出模块,采用带隔离的满足CAN 2.0B 规范的高速CAN 总线作为模块间的传输总线。系统结构如图1所示

。

图1　系统原理Fig.1　System principle

由图1可知,3条独立的总线α,β,γ连接3组无耦合的输入模块、总线控制器、输出模块。每个主控制器通过3个总线控制器与3条总线相连。以主控制器A 为例:通过总线控制器A α与总线α相连;通过总线控制器A β与总线β相连;通过总线控制器A γ与总线γ相连。主控制器与它对应的3个总线控制器也是通过CAN 总线相连。主控制器主要实现TMR 结构的ETS 的输入信号表决、偏差报告、应用程序处理、故障诊断、自测试等功能。总线控制器主要完成输入、输出模块与主控制器之间的数据转发。输出部分以H 型冗余结构[10]实现输出信号的3取2表决及对输出负载的驱动。图1中的负载为ETS 的跳闸电磁阀,而系统输出即为多组跳闸电

第33卷　第7期2009年4月10

日Vol.33　No.7Apr.10,2009

磁阀的开关量控制信号。

1.1　TMR 系统数据处理过程

1)输入模块定时采集多通道输入信号,并在拥有总线控制权时将数据发送到总线上。同一条总线上的3个总线控制器接收数据包后,将输入信号数据包转发到各自对应的主控制器。

2)各个主控制器对3条总线上传来的同一输入通道的数据进行3取2表决,并将表决后的数据作为最终的输入信号参与应用程序运算。主控制器将运算结果发送至3个总线控制器中。

3)总线控制器在得到控制权时,将输出结果发送至输出模块。每个输出模块将接收到的3个主控制器的输出数据进行输出3取2表决,

得到最终输出结果。

4)4个输出模块组成H 型结构,在硬件上实现输出模块间的3取2表决,最终驱动负载。1.2　智能输入模块

输入模块实现系统开关量输入的同步采集、排序、编码、传输以及自测试功能。根据输入点数的不同,系统可包含多组输入模块,每组包含的3个输入模块分别连接3条独立的总线。智能输入模块采用定时的方式采集输入信号,采集模块将采集数据按顺序存放到数据缓存中,并将该采集数据通过地址广播方式发送至同一总线上的3个总线控制器。1.3　智能输出模块

系统采集的多路开关量输入信号提供给主控制器,主控制器根据输入数据及控制策略得到一组控制指令(即控制开关量)以驱动负载。输出模块通过总线接收3个主控制器上传送的控制指令,将其存储在存储区的固定位置并进行表决,得到最终的输出信号并输出给负载驱动电路以控制源型开关或漏型开关的动作。系统输出部分由2个源型输出模块和2个漏型输出模块构成H 型冗余结构,如图2所示。

图2　H 型输出模块示意图

Fig.2　Schem atic diagram of H 2type output structure

源输出模块通过负载驱动电路向负载提供正电压,漏型输出模块通过负载驱动电路向负载提供参考地电压。当负载一端为正电压、另一端为参考地

电压时,负载开通。H 型结构中,漏型输出模块D 的输出由源型输出模块A 和B 共同决定,即当输出模块A 和B 同时为负载提供正电压时,输出模块D 才为负载提供正电压,逻辑表达式为D =A &B 。

输出模块以逻辑1代表“通”状态,逻辑0代表“关”状态。H 型结构导通逻辑如表1所示。

表1　输出逻辑真值表

T able 1　Output logic truth table

模块A

模块B

模块C

模块D

负载输出

000000010001000011011000010101110111

1

1

1

1

2　系统表决方案设计

2.1　输入数据表决和偏差

主控制器根据取自3条总线的输入数据,按照3取2机制进行表决。如果在原始输入信号与表决

后的结果之间存在偏差,主控制器自动在I/O 故障表中记录偏差信息,并将此信息发送给上层监控软件。表决偏差如表2所示。

表2　输入数据及表决偏差

T able 2　I nput d ata and the voting deviation

输入数据

A 模块

B 模块

C 模块

表决结果

表决偏差

A 模块

B 模块

C 模块

00000000010001010001001111001000100101101011010011

1

1

1

2.2　表决适应方案

主控制器在执行控制策略之前,需对输入数据

进行表决。当某个或多个模块出现故障,导致其中一些数据无法获取时,需要采用相应的机制继续完成表决,本文定义此类机制为表决适应方案。根据设定的表决适应性方案不同,参与表决的数据除了3路现场输入信号,还有需要配置的双向状态默认值和缺省状态默认值。主控制器通过表决,将冗余的3路输入数据进行处理,得到一个最终的输入表决结果,并将这个结果送至用户程序逻辑进行运算,

?研制与开发?　邹见效,等　一种三重化冗余危急跳闸系统设计与实现

这样就完成了输入数据的表决。TMR 结构的ETS 中存在3个主控制器,每个主控制器同时独立地进行以上的操作。

系统设计了2种表决适应方案:32220和3222120。

“3”表示3路数据都有效,可以用于表决,采用的表决机制为完整的3取2表决方案。双向状态默认值和缺省状态默认值均不参与表决。表决情况如图3所示

。

图3　3路输入都正常时的表决情况Fig.3　V ote on three norm al inputs

“2”表示仅有2路数据有效,在这种情况下,无法完成3取2表决,所以必须产生一路数据来替代失效的那一路,这种在2路数据有效的情况下产生的数据称为双向默认值。双向默认值是在配置时设定的,根据操作人员的需要设定为“0”,“1”或者“保持”。其中“保持”表示失效路数据保持不变。如图4所示

。

图4　1路输入无效时的表决情况Fig.4　V ote on one fault input

“1”表示仅有1路有效,并且将这一路作为最终的表决结果,不再进行比较。

“0”表示3路全部无效,不进行任何的比较,而是采用一个称为单向默认值的数据作为最终的表决结果,单向默认值也是由操作人员根据需要通过上层软件配置生成的。

表决适应方案32220和3222120在3路、2路、0路有效的情况下采用的处理方式都相同。而32220中没有“1”这种配置,考虑仅1路有效的情况是不可靠的,因此不采用“1”的状态,直接用“单向默认值”作为表决结果;3222120方案则是将唯一的有效路作为表决结果。 2.3　主控制器参数同步策略[11213]

在同步过程中,新上电的主控制器初始化后,首先判断有无其他正常主控制器在线。TMR 系统中,一条总线上的3个总线控制器分别连接到3个主控制器并通过总线控制器进行信息交换。总线控制器把对应连接的主控制器的状态广播给另外的总线控制器。新上电主控制器对应连接的总线控制器汇总另外2个主控制器的状态,并发送给新上电主控制器。据此,新上电主控制器可以判断是否有其他正常的主控制器在线。

3　系统自测试功能

自测试是TMR 结构的ETS 实现故障诊断与定位的重要手段,自测试包含智能输入、输出模块和主控制器的自测试。系统自测试由主控制器控制执行。3.1　主控制器自测试

3个主控制器顺序执行自测试控制,如果1个或2个主控制器离线,其他在线主控制器继续进行自测试的控制。

当在自测试过程中发生了开关量I/O 检测故障时,主控制器将记录故障,并设置相应的故障响应。对于不能在一定时间内得到修复的开关量I/O 检测故障,则将被检测为故障的I/O 通道设置为安全状态;对于输出量而言是“关”状态,对于输入量,停车状态是其“默认”状态,由输入模块组设定。3.2　输入自测试

输入自测试是通过测试系统的输入信号确保输入信号能够对实际输入进行检测和反应。输入自测试能够检查出由某个输入信号导致的输入故障,不会影响系统输出的改变。3.3　输出自测试

输出自测试是检查输出模块驱动负载的能力。为了不影响输出模块的正常工作,在不需要自测试时,自测试回路断开。测试过程与其他输出模块或负载无关。输出自测试分为开通自测试和关断自测试:

1)开通自测试主要是检测输出模块的开通(驱动负载)能力,用来保证输出模块的正常开通;

2)关断自测试主要是检测输出模块关断负载的能力,用以确定输出模块能否正常关断。

只有在输出自测试的开通和关断都正常时,该路才有正常工作(开通和关断负载)的能力,否则诊断该路出现故障,向主控制器发送报告。如果主控

2009,33(7

)　

制器确认其他输出模块的同一路均不正常,则应使

该路处于不工作状态。

4　系统可靠性分析及现场调试

4.1　系统可靠性分析

系统可靠性是指系统在规定条件下和规定时间内完成规定功能的能力。可靠性只是一个定性的概念,而实际工作中往往需用可靠度定量地具体表现可靠性的高低。可靠度是指系统在初始时刻(t =0)时可靠度为1的条件下,在0～t 时间内正常工作的概率,用R S (t )表示[14]。由n 个模块组成的串联系统的可靠度为:

R Sc (t )=

∏n

i =0

R i

(t )

(1)

由n 个模块组成的并联系统的可靠度为:

R Sb (t )=1-

∏n

i =0

(1-

R i (t ))(2)

TMR 结构的ETS 为串联、并联单元组合而成的混合结构

,其可靠性逻辑关系如图5所示。

图5　系统可靠性逻辑关系

Fig.5　Logic relationship of system reliability

为计算简便及作为方案比较分析目的,假设输入模块与输出模块的可靠度相同,设为R IO (t ),总线控制器与主控制器均使用了相同的CPU 模块,设其可靠度为R CPU (t ),3取2表决器的可靠度为R V (t )。

由图5可知,ETS 的可靠度由输入部分、主控制器部分和输出部分串联而成。其中,输入部分的可靠度R IN (t )可表示为:

R IN (t )=1-(1-R IO (t ))

3

(3)主控制器部分的可靠度R MC (t )可表示为:　R MC (t )=[1-(1-R CPU (t ))3]R V (t )R CPU (t )

(4)

输出部分的可靠度R OU T (t )可表示为:

R OU T (t )=[1-(1-R V (t )R IO (t ))3(1-R IO (t ))]R V (t )

(5)ETS 的总可靠度可表示为:

R S (t )=R IN (t )R MC (t )R OU T (t )

(6)

在系统的设计阶段,对于实际系统部件的可靠

性数据无法精确获得,但若出于方案比较的目的,在可靠性评估中可用估计的数据进行理论上的比较分析。具体工程实现时可根据实际运行工程环境、系统部件可靠性数据等重新计算。本文假设CPU 模块(总线控制器和主控制器)的可靠度为0.999,I/O 模块的可靠度为0.99,3取2表决器的可靠度为0.9999,计算出TMR 系统的可靠度为:

R S (t )=0.998799

(7) 如果没有采用TMR 结构,则系统由输入模块、总线控制器、主控制器和输出模块串联组成,其可靠度为:

R (t )=R 2IO (t )R 2

CPU (t )=0.9781407

(8) 由式(7)、式(8)可见,在相同估值条件和相同可信性情况下,TMR 系统比单模系统大大提高了可靠度,是一个健壮的值得信赖的系统结构,验证了设计方案的正确性和可行性。4.2　系统现场调试

TMR 结构的ETS 调试环境如下:输入、输出智能模块每个模件采用16个I/O 点设计,通过组合4个模块构成输入、输出均为64点的系统,模件间采用背板方式相互连接并装入机柜。试验系统控制逻辑采用某300MW 汽轮机发电机组ETS 要求,运用梯形图编程并运行于主控制器中。该系统通过了厂内长期通电试验,并反复进行输入数据采集表决、输出表决、输入/输出自测试、总线通信及故障检测等方面的测试,系统运行良好,其稳定性得到证明。

5　结语

本文设计了一种用于ETS 的TMR 平台。针对系统高可靠性要求,提出了系统各组成部分的架构及运行策略,通过环境适应性实验、长期通电试验及实际工程的现场调试与运行,证明了系统的可靠性和稳定性。改变系统主控制器中的控制策略,平台也可用于其他高可靠性要求的场合。通过扩展模拟量输入及表决机制,还可用于存在开关量和模拟量混合输入的高可靠性要求系统。

参考文献

[1]DL/T 596—1996　电力设备预防性试验规程.北京:中国电力

?研制与开发?　邹见效,等　一种三重化冗余危急跳闸系统设计与实现

出版社,1997.

[2]ABBAS A A ,MORSY M S ,TALAA T H E A ,et al.A

generator tripping emergency control strategy for dynamic security enhancement using rule based fuzzy assessment//Proceedings of t he Mediterranean Electrotechnical Conference ,May 729,2002,Cairo ,Egypt.Piscataway ,NJ ,U SA :IEEE ,2002:1372141.

[3]ZOU Jianxiao ,DEN G Erqiang ,XU Hongbing ,et al.Study on

communication strategy in triple

module

redundant

ETS

system//Proceedings of t he Eight h International Conference on Electronic Measurement and Inst rument s :Vol 1,August 16218,2007,Xi ’an ,China.Piscataway ,NJ ,USA :IEEE ,2007:4812485.

[4]何湘杰,张静.PLC 在汽轮机ETS 系统中的应用研究.汽轮机技

术,2005,47(3):2252226.

H E Xiangjie ,ZHAN G Jing.Study on application of PLC to ETS system of steam turbine.Steam Turbine Technology ,2005,47(3):2252226.

[5]吴天一,王兵,崔旭东,等.ETS 系统在24MW 汽轮机的应用实

现.石油化工自动化,2007,2:23225.

WU Tianyi ,WAN G Bing ,CU I Xudong ,et al.The application of ETS system in t he 24MW turbine set.Automation in Petro 2chemical Industry ,2007,2:23225.

[6]齐蓉,谢利理,林辉,等.三状态系统的可靠性冗余设计及冗余优

化.系统工程与电子技术,2003,28(8):103921041.

QI Rong ,XIE Lili ,L IN Hui ,et al.The redundancy of design and optimization for a t hree state system.Systems Engineering and Electronics ,2003,28(8):103921041.

[7]V YTOPIL J.Formal techniques in real 2time and fault tolerant

systems.Boston ,MA ,USA :Kluwer Academic Publishers ,1993.

[8]ZHAN G Kening ,BEDET TE G ,DEMARA R F.

Triple modular redundancy wit h standby (TMRSB )supporting

dynamic

resource

reconfiguration//

Proceedings of

IEEE Systems Readiness Technology Conference ,September 17220,2007,Baltimore ,MD ,USA.Piscataway ,NJ ,USA :IEEE ,2007:6902696.

[9]曾广商,沈卫国,石立,等.高可靠三冗余伺服机构系统.航天控

制,2005,23(1):35240.

ZEN G Guangshang ,SH EN G Weiguo ,SHI Li ,et al.High 2reliability triple redundancy servo mechanism system.Aerospace Control ,2005,23(1):35240.

[10]Genius modular redundancy user ’s manual.GF K 21277D.GE

Fanuc Automation Nort h America ,Inc ,2002.

[11]朱昆,方勇杰,范文涛,等.自适应紧急控制系统中的多任务处

理.电力系统自动化,2000,24(3):42244,59.

ZHU Kun ,FAN G Y ongjie ,FAN Wentao ,et al.Multi 2task processing in t he

adaptive

emergency

control

system.

Automation of Electric Power Systems ,2000,24(3):42244,

59.

[12]马连川,刘波.一种分布式三模冗余控制系统的实现.北方交通

大学学报,2000,12(5):1562158.

MA Lianchuan ,L IU Bo.Implementation of a distributed triple 2modular redundancy control system.Journal of Nort hern Jiaotong University ,2000,12(5):1562158.

[13]陈中,杜文娟,王海风,等.后紧急控制多代理信息系统容错技

术.电力系统自动化,2006,30(19):17220.

CH EN Zhong ,DU Wenjuan ,WAN G Haifeng ,et al.Fault tolerance technology of multi 2agent information system in post 2emergency control.Automation of Electric Power Systems ,2006,30(19):17220.

[14]POWELL D.GUARDS :a generic upgradable architecture for

real 2time dependable systems.IEEE Trans on Parallel and Distributed Systems ,1999,10(6):5802597.

邹见效(1978—

),男,通信作者,副教授,主要研究方向:测控系统、电力系统自动化、故障诊断。E 2mail :jxzou @https://www.360docs.net/doc/ec10422496.html,

徐红兵(1966—

),男,教授,主要研究方向:智能信息处理与控制。

张正迁(1984—

),女,工程师,主要研究方向:电力系统自动化。

Design and Implementation of a T riple Modular R edundancy Emergency T rip System

ZOU J ianx iao 1,X U Hongbing 1,Z HA N G Zhenqian 1,Z EN G B in 2

(1.University of Electronic Science and Technology of China ,Chengdu 610054,China ;2.Sichuan Dongfang Electric Auto 2Control Engineering Co.L td.,Deyang 618000,China )

Abstract :A triple modular redundancy (TMR )emergency trip system (ETS )for steam turbine is presented in detail.The signal sampler ,system bus ,decision unit and output modular are designed in TMR structure to satisfy the high reliability requirements.All the system modules ,with self 2testing and diagnosis f unction ,can be replaced online without affecting system operations.The host parameter synchronization scheme is designed to ensure the real 2time and accuracy of system response.The adaptive voting scheme considering self 2testing fault table of system modular is used to ensure the system reliability.The stability and reliability are attested by reliability analysis as well as field commissioning and operating.K ey w ords :triple modular redundancy ;emergency trip system ;reliability ;steam turbine ;self 2testing

2009,33(7

)