国电长源荆门热电厂2x60OMW机组为四川东方电气集团制造的超临界机组、于2004年动工，2007年投产，机组热工控制系统为ABB公司Sym-phony分散控制系统，控制软件组态为第三方完成的。由于各种原因，在进行DCS控制策略逻辑组态时，遗留下不少欠缺之处，在机组投运过程中发生保护误动、机组跳闸现象。到目前为止，所暴露出的逻辑组态问题有如下几个方面。
一、功能块执行时序问题
DCS软件组态中，在将相关逻辑功能块按一定的控制策略连接起来的同时，需对所调用的每一个功能块赋予不同的块号，也就是每个功能块在扫描运算时的顺序号，控制器在执行周期内，一般是按序号从小到大的次序扫描的，所以信号来源端应先进行扫描，然后扫描信号运算处理及输出端，这样才能将相关信息及时传递到下一逻辑流程中去。机组锅炉临界火焰保护，就曾因扫描时序设置问题而出现误动。如图1所示，在临界火焰逻辑中，是将每台磨煤机的火焰独自计算，当所有磨煤机火焰数相加后，如炉膛当前火焰总数与前9s内火焰总数之比小于75%，即产生临界火焰。在磨煤机停运时，该磨火焰不参与逻辑计算，逻辑中对该磨前9s内火焰数进行了饥板置0逻银处理。可以看出，图中功能块序号顺序设置存在问题，按图中序号的顺序，在磨煤机停运后，不是先对磨煤机停运信号进行处理，而是首先计算出该磨前9s内火焰数，因该磨停运前9s内6个火咀均投入，故其前9s内火焰数为6;再计算该磨当前的火焰数，因磨停运该火焰数为0;然后扫描运算3118块，将磨煤机停运信号送至切换功能块T，等待下一周期执行时，切换块才将其输出端即该磨前9s内火焰数置0。在本执行周期内，因切换块T的扫描运算结果滞后一执行周期，该磨当前火焰数及前9s内火焰数已处理完送出，这样就会导致火焰比小于75%，形成临界火焰致使保护动作。
在负荷指令回路，也出现过在异常工况下因功能块时序问题引起协调波动。负荷指令逻辑中设计有在“协调方式”下迫降RUNDOWN目标值方有效，且目标值需经过变化速率限制后才输出。因负荷指令形成回路在“迫降RUNDOWN目标值”及“变化速率限制”这两个不同逻辑点，都调用了“协调方式”信号，而调用该信号的2个功能块因其扫描时序不同，在同一扫描周期内反映在这两个功能块上的调用信息出现差异。即在负荷迫降目标值逻辑中表现为“协调方式”，在负荷目标值速率限制逻辑中表现为非“协调方式”，导致在出现负荷迫降时的RUNDOWN目标值(此值当时设置不当)未经速率限制而直接加到机炉主控，造成汽机调门快速下关，汽压超限跳闸。
通过对相关逻辑组态的检查，不仅在信号的接受端、逻辑处理中间点存在时序问题，在逻辑处理后的信号送出端同样也存在信号送出的次序。当一个信号经过两个或多个相关联的逻辑处理后送出，其送出的次序颠倒，必然会导致后续的逻辑回路作出错误的结果，发出错误指令。
二、信号质量诊断问题
接入DCS系统的模拟量主要有热电偶、热电阻及4-20mA的信号，这几种信号在一次元件或线路故障情况下，所反映出的测量值是不同的，运用这些信号作为保护一次信号使用时，需对其测量值超出量程范围或跳变速率等进行品质判断。2台600MW机组在投运初期，就因没有对相关信号进行质量诊断出现过保护误动跳机。
汽机推力瓦温度是采用热电阻测量元件来测量的，在运行中现场接线出现松动，以致测量线路开路，温度检测值骤然上升至最大，因无信号跳变速率限制，推力瓦温高信号即被送出，汽机保护动作。在汽机主汽温度低保护逻辑中，同样因为没有信号跳变速率限制，当主汽温度测量热电偶测点引线因主汽阀门漏汽被烤坏短路时，造成温度检测值突然下降，引起汽机任一侧主汽温度低，保护动作。
同样，对于变送器或其它转换器来的4-20mA的信号，如液位、流量、压力、位移等，如受条件限制仅引用一个信号作为测量参数低保护信号使用时在保护信号逻辑回路，同样需对其测量值超出量程范围或跳变速率等进行品质判断。
三、保护信号容错问题
在机组保护中，一些重要的保护一次信号如：炉膛压力高、低、真空低、EH油压低、汽机润滑油压低、定冷水流量低、给水流量低等都按常规采取了三选二容错处理，但是也有一些保护信号是一取一的方式，其保护的可靠性难以保障。
锅炉风机喘振大保护信号是来自一个差压开关，因信号测量取样管路及开关安装等问题，出现误发信号引起过风机跳闸，加热器水位保护也曾因水位开关触点和线路故障而误动。在辅机的润滑油压低、给水泵进口水压低及其密封水温高、油箱油位低等信号均是采用一取一的保护逻辑联跳相应辅机设备。除氧器水位低保护及凝结器水位低保护作为主要保护，其保护动作的最终结果也是导致机组跳闸而其保护测量信号也只采用现场的一个水位开关接点。逻辑组态设计中，当除氧器水位过低时，保护动作联跳所有运行给水泵，其结果是锅炉断水停炉洞样，当凝结器水位过低时，联跳运行凝结水泵，造成除氧器水位低，导致锅炉断水停炉。除氧器及凝结器的水位低保护采用一个水位开关信号，其可靠性完全取决于这个水位开关及其信号回路，逻辑设计不太适合。
针对单点信号保护逻辑，我们根据现场情况做了一些改进，信号测量现场条件许可的改为三取二选择逻辑，如喘振大测量的差压开关信号，容许个别信号出错时保护不致误动。在现场条件不满足时对重要的保护信号可以采用开关量加模拟量二取二方式，如除氧器水位低及油箱油位低保护信号等另外通过在工艺流程中信号的因果关系，加入证实信号，如汽机轴振保护是采用其它任一轴振报警信号对轴振大进行证实，以免干扰信号引起保护误动当然保护信号逻辑的选用，应考虑工艺系统性质，分析具体保护误动及拒动的危害性孰重孰轻，从而确定在进行保护信号逻辑组态时，是采用二取二还是一取一的方式，高加水位保护直接采用水位高信号一取一的方式，以免因证实信号的加入产生拒动导致汽机进水。
四、结束语
上述暴露出的问题，目前已利用停机机会进行了修改完善，但难免以后在工况复杂时诱发出其它新的问题。作为新建机组，DCS逻辑组态往往不够完善，仅依靠常规的功能试验和对控制逻辑的检查，难以发现在控制参数或状态异常情况下所隐含的问题。对于使用者来说，更主要的是应该做好预防措施，举一反三地查证相关逻辑回路，避免同类问题重复出现，使DCS系统控制策略趋于完善。