上過程工業領域的安全問題引起了高度關注，以電工委員會（IEC）為首的標準化組織對此快速做出了反應，分別于1998年和2003年發布了標準《電氣/電子/可編程安全相關系統的功能安全》（IEC61508）和《過程工業領域安全儀表系統的功能安全》（IEC61511），與此同時，安全儀表系統技術和產品也飛速得到應用和發展。
　　
　　我國火電廠隨著以DCS為中心的*設備的應用，以及控制和保護技術的完善，大型火電機組的安全狀況有了很大的改善。但是，應當看到，近年來，汽機超速、爐膛（煙道）爆炸、汽包滿缺水導致鍋爐爆管和汽機帶水、大軸彎曲，甚至造成人身傷害的重大事故仍時有發生，熱工自動化系統造成的機組、甚至全廠非計劃停運的事故也頻頻發生。因此，我們仍應對火電廠的安全問題給予高度關注。
　　
　　目前，我國火電廠熱工自動化安全技術雖有了長足的進步，也積累了較豐富的實踐經驗，但是，要使這些技術成為共識、形成規范需要我們從安全指導思想層面對它進行討論，統一認識。因此，本文重點不探討具體的安全技術問題，而著重于探討熱工自動化安全技術配置的指導思想問題。
　　
　　一、熱工保護設計指導思想
　　
　　如何處理“保人身、保電網、保設備”和“保發電”的關系，以及如何對待事故處理中依靠人還是依靠熱工保護，決定了火電廠熱工保護設計的指導思想，而不同的指導思想又決定了各個歷史階段的具體熱工保護系統的配置。縱觀歷史，我國火電廠熱工保護發展經歷了不同指導思想的三個發展階段：
　　
　　1）熱工保護的低級階段
　　
　　上世紀八十年代，我國火電廠熱工保護處于發展的低級階段，它的特征是：以報警為主，跳閘保護項目很少；事故處理時強調人的作用，依靠運行人員處理；處理事故的原則是盡量不跳機、保發電。這在當時熱工自動化技術落后、可靠性低，機組容量小、參數變化慢，以及電網容量小、比較脆弱的情況下，這種指導思想是*正確的。
　　
　　2）熱工保護適應大機組的發展階段
　　
　　上世紀九十年代，我國電力行業逐步進入大電網、大機組的時期，熱工自動化技術飛躍發展，這種背景下，產生了一種全新的熱工保護設計理念，主要體現在以下兩個方面：
　　
　　①堅持“保人身、保電網、保設備”*的安全指導思想，在大電網條件下，決不可將不跳機、保發電等同于保電網。
　　
　　②發揮人的能動性主要體現在精心設計和選型、精心調試上，而在事故處理的緊急情況下，則應首先依靠熱工保護，運行人員則發揮輔助作用。
　　
　　根據新的保護指導思想，大機組熱工跳閘保護項目相當完善；事故處理時主要依靠保護；保護設計原則是保人身、保設備的安全*，“寧愿誤動，不應拒動”。在新舊兩種保護理念更替中，引起了激烈的爭論，有些問題至今仍爭論不斷，其中zui典型的問題表現在要不要堅持設置“停爐停機”保護問題的爭論。目前有一部分電廠沒有按照設計規程執行，停爐不停機，理由是：停爐后不停機，運行人員可通過手動操作把負荷降下來，利用鍋爐蓄熱，汽輪機帶低負荷運行，一旦檢查沒有什么大故障，便立即點爐啟動，省去汽機啟動并網過程。首先，這種做法潛伏著重大人身傷害和設備損壞事故的危險。實踐告訴我們，鍋爐MFT和汽機快速降負荷需要運行人員監視大量信息，并執行一系列操作，稍有不慎，可能因操作不當而擴大事故。汽機降低負荷不及時，汽壓急劇下降有可能導致蒸汽帶水、管道和汽輪機水沖擊；此外，這種降負荷過程以及突降到低負荷下運行將造成汽包和汽機極大的熱應力和脹差。實踐證明，這類事故并不少見；至于帶廠用電的好處，對于大電網和多機組電廠來說，作用并不明顯；而對于孤網運行，且由于系統解列導致鍋爐MFT停運情況，帶廠用電是有重要意義的。但是，目前傳統的DEH和AVR系統無法滿足這方面要求，對于這類特殊電廠需要做專門設計。
　　
　　談到恢復快和電網考核，這屬于經濟方面的考慮了。大型單元機組解列與否對恢復時間的差別并不是很大，此外，這種考核方法也值得商討，不正確的考核會產生錯誤的導向。對于電網來說，如果機組帶不上負荷，并網與否差別不大（僅差帶無功），電廠多臺機組，恢復略慢所差負荷*可有其它機組補上。為了經濟上這點區區小利而冒如此大的風險，而將如此大的責任壓到運行人員身上，顯然是不妥的。
　　
　　3）熱工保護向進一步完善化的發展階段
　　
　　我國大機組熱工保護理念及其配置從引進到現在的十多年來，人身傷害和設備損壞等重大事故大幅減少，但是，保護誤動造成非計劃停運的事故與初期相比雖有所減少，但仍然高達平均每臺機組2-4年發生一次，由此帶來的經濟損失仍然不可忽視，因此，客觀上要求熱工保護進一步完善化，即在堅持“保人身、保電網、保設備”的前提下盡可能減少誤動，以獲取機組的發電經濟效益。《火力發電廠熱工自動化安全技術指南》（文獻1）中規定的一些保護邏輯修改正是反映了這一發展階段的部分成果，例如：
　　
　　①四角噴燃鍋爐的中速磨煤機跳閘條件應改為：A（B/C/D/E）層相鄰兩角或三角火焰喪失，且相鄰層火焰和該層點火能源都喪失。
　　
　　②對于汽機振動保護常誤動、可靠性差以致該保護不能投入的機組，允許汽機振動大跳機的邏輯修改為：一個軸承振動達到事故值，且相鄰軸承任一振動達到報警值，經一定延時后應立即停機。邏輯修改后，當任一軸承振動達到事故值時，應有明顯的聲光報警，此時，運行人員應及時進行判別，除非明確斷定是振動信號誤發，否則運行人員應及時手動停機。
　　
　　二、分散控制系統及其后備監控設備配置指導思想
　　
　　目前DCS不僅覆蓋了熱工自動化方面所有功能，還包括了電氣監控功能，后備監控設備也幾乎全部取消。這在提高儀表與控制（I&C）水平的同時也使DCS對火電廠安全性的影響日益增大，DCS故障導致機組安全隱患、機組非計劃停運，甚至全廠（或兩臺機組）停電事故的機率明顯增加，為了進一步提高火電機組運行的安全性，需要我們進一步發展DCS的安全技術。
　　
　　DCS安全技術包括兩個方面：
　　
　　1）提高DCS可靠性，從源頭上減少DCS故障發生率，例如，提高DCS電磁兼容性，開發安全控制器等。
　　
　　2）合理配置DCS及其后備監控設備，減少DCS故障的影響程度。這是本章要重點討論的課題。
　　
　　根據當DCS故障時zui大限度減小對機組安全運行的影響這一指導思想，《火力發電廠熱工自動化安全技術指南》中提出一系列新的DCS配置要求，例如：
　　
　　1）對于循環水泵、空冷機組的冷卻水泵以及儀用空壓機等重要公用系統（或擴大單元系統），應按單元或分組納入單元機組DCS中，以免因公用DCS故障而導致全廠或兩臺機組同時停止運行。
　　
　　2）控制器宜按工藝系統功能區配置。重要的多臺冗余或組合的輔機（輔助設備）應按下列原則配置，以確保一對控制器故障不會造成機組被迫停止運行：
　　
　　①送風機、引風機、一次風機、凝結水泵和循環水泵等兩臺冗余的重要輔機，以及A、B段廠用電應分別配置在不同的控制器中，但允許送風機和引風機等縱向組合在一個控制器中。
　　
　　②給水泵、磨煤機和油燃燒器等多臺冗余或組合的重要設備應適當分組配置到幾個控制器中。
　　
　　3）為了減少一對控制器故障對模擬量控制系統失靈造成的影響，重要模擬量控制回路應適當分散配置，影響同一重要參數的控制回路應盡量配置在不同控制器中，例如，主汽一級和二級減溫控制系統、再熱汽擺動火嘴和噴水控制系統、送風和引風控制系統等不宜配置在同一對控制器中。
　　
　　4）控制器（包括汽包水位）的配置必須嚴格遵循重要保護和控制分開配置的獨立性原則。
　　
　　5）DEH控制器應按失電或故障時自動停止機組運行的故障安全原則配置。FSS和ETS控制器在其繼電器執行回路已按故障安全原則配置時，其跳閘輸出可按帶電動作原則配置。
　　
　　6）除DEH控制器外，當任何一對控制器故障時，為確保短時恢復期間機組在穩定負荷能安全運行，除應按照要求配置硬接線后備監控設備外，至少對下列重要安全參數，應在二對控制器中同時予以配置：
　　
　　①汽包水位（超臨界壓力機組除外）
　　
　　②主蒸汽壓力
　　
　　③主蒸汽溫度
　　
　　④再熱蒸汽溫度
　　
　　⑤爐膛壓力
　　
　　至于DCS后備監控設備，我們也應根據下述問題對目前的配置方案重新進行思考：
　　
　　1）在DCS局部故障時能否維持短時穩定負荷下運行？
　　
　　2）DCS在發生全局性或重大故障而緊急停機過程中能否確保機組真正安全？遺憾的是，系統分析和實踐無法給我們以肯定無誤的回答。
　　
　　當DCS發生全局性或重大故障時，目前機組配置的后備操作設備為我們提供了發出停機、停爐，啟動交、流潤滑油泵，打開真空破壞門等指令的手段，但是，停機、停爐是一個復雜的過程，需要進行一系列操作，這將全部依賴獨立于DCS的保護和聯鎖回路去自動執行。任何一個熟悉運行的人都很清楚，其中有相當一部分操作如果沒有被正確執行將不能保證停機過程中機組的安全，例如：發出停爐指令后一臺磨煤機沒有停止運行、給水閥門或減溫水閥門沒有關閉，發出停機指令后主汽門或調速汽門沒有關閉，抽汽逆止門沒有關閉，潤滑油泵不能正常供油等這都將嚴重危及機組安全。事故調查也證明，保護和聯鎖拒動的現象也不是*罕見的。
　　
　　當DCS發生局部故障時，例如，一對冗余的給水控制器、汽溫控制器或爐膛負壓控制器故障，如果我們仍想維持短時運行，那么目前的DCS控制器配置以及后備監控設備配置是否能滿足要求呢？答案也是否定的。
　　
　　根據上述配置指導思想，作者認為目前的后備監控儀表和報警裝置應按下列要求修改配置：
　　
　　1）后備監視儀表
　　
　　①鍋爐汽包電接點水位表（必須選用經實踐證明安全可靠，全程測量準確）
　　
　　②鍋爐爐膛火焰工業電視
　　
　　③凝汽器真空表
　　
　　④汽機轉速表
　　
　　⑤發電機功率表
　　
　　2）后備報警裝置
　　
　　根據前面論述，為了確保DCS故障時維持機組穩定負荷下短時運行或緊急停機過程中安全，必須監視一些重要安全參數是否在安全范圍內，主要跳閘或聯鎖保護是否正確動作，但是，由于裝設過多后備儀表和后備操作設備問題較多，因此，適當增加后備報警裝置，用較小代價換取機組的安全就是的選擇了。因此，我們建議單元機組必須按下列原則配置足夠數量的報警信號：
　　
　　①主要安全參數達到Ⅱ值和Ⅲ值。
　　
　　②主要電源和氣源消失。
　　
　　③機組跳閘和主要保護聯鎖動作。
　　
　　三、“開放”思想，引進電控安全技術
　　
　　目前DCS不僅覆蓋機組熱工自動化功能，而且早已將機組電控也納入其中，甚至不久將出現在一個電廠內用同型DCS實現電氣網絡監控功能。但是，由于DCS的開發和應用長期來一直以熱工自動化專業為主體，因此，為了推動DCS技術進步，開發和應用DCS的熱工自動化公司和人員應當“開放”思想，跳出狹隘的圈子，研究電控的需要，引進電控的技術，特別是安全技術，使DCS的開發和應用全面吸收二個專業發展的技術成果，并使DCS充分滿足機組（或全廠）的，而不是某個專業用的自動化系統。舉例來說，在電氣專業領域內，為了確保可靠性，規定繼電保護裝置EMC試驗（包括靜電放電抗擾度、射頻電磁場輻射抗擾度、電快速瞬變脈沖群抗擾度、浪涌（沖擊）抗擾度以及磁性抗擾度等試驗）各項指標應達到GB/T17626（IEC61000-4）Ⅳ級要求，測控單元應達到Ⅲ級要求。但是，目前國內外DCS對EMC等級均無明確要求，僅有個別DCS通過測試正式宣布達到Ⅲ級有以上。這種現狀很不適應DCS應用范圍日益擴展和安全性提高的要求。因此，我們應參考電氣設備標準制訂的EMC要求。考慮到目前實際情況，《火力發電廠熱工自動化安全技術應用指南》建議“DCS的EMC等級應達到GB/T17626Ⅲ級及以上等級要求”，其中個別項目暫時達到有困難時，“zui低也不允許低于Ⅱ級”，但是應盡快改進以達到上述標準。
　　
　　四、結束語
　　
　　我國火電廠熱工自動化安全技術飛速發展，并積累了豐富的經驗，為了統一認識正確總結經驗需要我們有一個適應形勢發展的新的安全技術指導思想。但是，當這些安全技術還沒有成為行業規范或適當的行政指令時，一個設計單位或電力企業往往是不敢應用的。例如，汽包水位測量和保護技術近七、八年有了重大突破，并已取得大量成功應用經驗，但由于沒有一個與之相適應的標準，嚴重束縛了它的推廣應用，使不少電廠仍存在嚴重隱患；又如，十年前人們已經認識到許多參數使用變送器代替開關量儀表取得保護信號更為可靠，但是，由于規程至今沒有修改，設計依然照舊。可見，加強行業技術管理，、不適時機的制訂安全技術規范和行政指令是何等重要。遺憾的是，我國電力行業技術管理相對比較落后，特別是國家電力公司解體以來，行業技術管理明顯削弱，業內人士無不憂心重重。由于這涉及深層次體制問題，也超出了本文范圍，因此，只是提出來作為本文的結束語。