PLC在汽轮机危急跳闸系统的冗余方案

（文章来源：电气新科技）

汽轮机紧急跳闸保护ETS系统是采用了可编程控制器PLC组成的冗余控制系统，主要介绍了几种PLC在ETS系统的冗余方案。

汽轮机危急跳闸系统(ETS)是汽轮机保护最重要的一环，它是汽轮机电跳闸的出口，其运行安全与否直接影响到汽轮机的安全运行。ETS监测汽轮机的一些重要参数，如:润滑油压力、凝汽器真空、汽机转速、转子振动、轴向位移等，当这些参数越限时，输出跳闸信号到跳闸电磁阀，跳闸电磁阀卸掉保安系统的保安油，使汽轮机的主汽阀和调节阀迅速关闭，完成汽轮机跳闸的功能，使汽轮机紧急停机，处于安全状态，以避免发生严重的后果。

汽轮机紧急跳闸系统是电厂重要的安全保护系统，系统的可靠性直接影响电厂机组的安全。由于ETS系统是确保机组安全运行的最后一道自动保护装置，因此，对系统的可靠性和快速性有非常高的要求。目前我国均已采用了以可编程控制器PLC控制取代继电器控制为核心组成的冗余配置的ETS系统。

ETS系统是采用两个互为主备运行的PLC代替继电器、由程序处理控制代替硬接线、I/O电平可与外部装置相连接以及结构易于扩展的工业检测、保护、控制设备。目前我国ETS系统采用的PLC冗余方案主要有西门子S7-300/400软冗余与S7-400H硬冗余、施耐德的Quantum硬冗余、罗克韦尔的ControlLogix硬冗余和SLC500软冗余、ABB 的AC800M硬冗余等方案。

在OB100里调用FC100 ‘SWR_START’块进行软冗余的初始化，用户需要在其中定义冗余部分的数据区，该数据区可以包括：一个过程映象区，一个定时器区，一个计数器区，一个位地址区和一个数据块区，S7-300同步的最大数据量为8 kBytes，S7-400同步的最大数据量64kBytes。在OB86里调用FC102 ‘SWR_DIAG’块进行软冗余的诊断，导致主从站通讯出错时CPU不会发生停机。

下载程序时A路与B路程序必须分别下载，下载完成后当CPU的RUN指示灯亮和仅一个ET200M模块的ACT指示灯亮，而CPU和ET200M模块无SF或BUSF灯闪烁，即代表该软冗余系统已正常工作。

该方案采用西门子S7—400H冗余的PLC控制系统，S7-400H系列PLC是西门子公司专为高端应用场合设计的冗余系统，采用双机热备的硬件冗余机制，其工作电源、通信网络设备、CPU、操作站均为冗余设置，一旦主系统发生故障，能够自动无缝切换到热备用系统，实现平稳的Master—Reserve转换，使整个系统可以容错运行．从而避免了传统的单机系统因故障停机而造成损失，大大增强了系统的稳定性和可靠性。

S7-400H 是容错自动化系统，只有在其它措施配合下控制安全相关过程时才需要使用。S7-400H的容错性是通过两个并行的中央控制器实现的，它们的CPU通过光纤连接，并通过冗余的PROFIBUS-DP线路对冗余I/O进行控制。每个CPU 需要两个同步模块，通过光缆成对连接。两个冗余的S7-400H CPU 之间的通讯使用同步模块。在发生错误时，将会出现一个无扰动的控制传输，即未受影响的热备设备将在中断处继续执行而不丢失任何信息。

标准S7-400 系统的设计和编程规则也适用于S7-400H。就用户程序的执行而言，S7-400H 的运行方式与标准系统完全相同。操作系统的集成同步功能会自动在后台执行，无需在用户程序中组态这些功能。在冗余操作中，用户程序会在两个CPU 上冗余地存储并由事件驱动同步执行。但我们提供了多个用来优化程序的块，用以改善其对因更新等操作而导致的任何周期延长情况的响应。

除S7-400和S7-400H系统中支持的块外，S7-400H 软件还另外提供了可用来影响冗余功能的块。通过STEP 7在用户程序中使用SFC 51“RDSYSST”执行该查询。使用OB 70- I/O 冗余错误与OB 72-CPU 冗余错误等组织块来响应S7-400H 的冗余错误。可以使用SFC 90 "H_CTRL"禁止主站CPU 上的链接、禁止主站CPU 上的更新和删除、恢复或立即启动周期性自检的测试组件三种方式影响容错系统。

下载用户程序至CPU0，将CPU0 的模式选择器开关设为RUN，然后再设置CPU1 上开关，以启动S7-400H自动化系统。CPU 执行暖启动，并调用OB 100。结果CPU0 作为主CPU 启动，CPU1 作为备用CPU 启动。 链接并更新备用CPU后，S7-400H 处于冗余模式并执行用户程序。当CPU0与CPU1的RUN指示灯亮， INTF、EXTF、 BUSF1 和BUSF2 、IFM1F 、IFM2F和REDF指示灯都熄灭后，S7-400H冗余系统已正常工作。

施耐德Quantum硬冗余系统（Modicon Quantum热备系统）需要在两个底板上配有相同的硬件、软件和固件。其中一个控制器(PLC) 作为主控制器，另一个控制器作为备用控制器。在每个扫描周期后主控制器都要对备用控制器进行更新。主控制器和备用控制器经常通信，对整个系统的健康状况进行监控。

如果主控制器故障，备用控制器会在一个扫描周期内代替主控制器起控制作用。主控制器执行应用程序，控制RIO，在每次扫描（程序周期）之后更新备用控制器。如果主控制器故障，备用控制器在一个扫描周期内将起控制作用。

Modicon Quantum热备系统是由Concept软件、配备热备套件、电源和远程I/O(RIO)等组成。经济型热备套件140由两只CPU、两只电源、两只热备模块140 CHS 11000组成。在热备控制站A和B上可以配备一套经济型热备套件和各配一只RIO通讯模块140 CRP 93200，在远程站配备了RIO适配器140 CRA 93200，外加电缆与分离器的连接可组成一套经济型的热备系统。

现在的Modicon Quantum控制器使用Concept软件，最多能传送应用数据约128Kb，包括已定位数据(在状态RAM中)和非定位数据。为传送非定位数据，系统必须使用状态RAM中一部分3x区域。施耐德电气选择这种方法是为了与现有的CHS 选项模块(140 CHS 11000)相兼容。

因此，有必要进行折衷：非定位数据越多，状态RAM就越少，反之亦然。在Concept软件中，CPU的“Configuration Extension”在“984 Hot Standby”选项选择后并确认。下载程序至一路PLC，下载完成后可按住另一路的热备模块140 CHS 11000上的Update按钮后完成程序自动传送。当除了“READY”、“Com Act”和“RUN”指示灯亮并不闪烁等，通过试验正常可得出该热备系统已正常工作。

ControlLogix冗余系统硬件结构由两个完全一样的控制器框架组成，每个ControlLogix冗余系统框架中控制器模块、通信模块和SRM模块。两个框架尺寸完全相同，模块一模一样，插放位置也一模一样，控制器中的程序也一模一样。两个控制器框架之间，完全靠系统冗余模块SRM来完成同步和数据的交换。

进入同步状态的主机控制器，自动地传送备份数据到辅机控制器，这些数据无须用户挑选和编程，只要在主机控制器中被程序运行时刷新过的数据，都会通过交叉装载传送到辅机控制器，传送的数据量可以非常大。控制器通过与SRM的连接，得知自己是主机控制器还是辅机控制器，从而决定是传送数据还是接收数据。这些完全不需要用户的介入，系统自动获取、自动判断、自动传送。两个控制器的同步运行和大量数据的复制，使得输出得到无扰切换。

在成对的冗余框架中，首先上电的框架成为主机框架，后上电的框架作为辅机框架，并建立与主机控制器的同步。当出现主机控制器所在框架掉电、拔插主机框架上的任何模块、控制器程序发生主要故障、断开CNBR模块上的ControlNet分接器或电缆等情况都会发生冗余切换。

冗余系统中，主控制器框架和从控制器框架上各个模块的版本必须严格一致，并到达到要求的版本号，否则无法正常工作。当版本不一致时，在通讯软件RSLinx中可能无法看到从控制器框架上的处理器，同时，从控制器框架的处理器状态指示灯(OK灯)变为红色长亮。因此，一般系统在第一次上电时，需要进行固件升级。升级工作需要使用Rockwell的固件升级软ControlFLASH，。

升级完毕后，主从控制器框架都重新上电，使用RSLogix5000将程序下载到主处理器中，然通过切换将程序自动备份至从处理器，最后通过软件RSNetWorx for ControlNet对网络进行规划。检查处理器RUN、I/O、RS232、OK指示灯绿色稳定和BAT指示灯灭，通过试验正常可得出该热备系统已正常工作。

SLC的冗余可以采用两个CPU机架，通过HSSL链路连接各自的1747-BSN冗余远程IO模块，并挂接RIO链路即可。其作用如下：主CPU控制远程IO，后备处理器也接收同样的实时控制数据，数据同步通过HSSL实现，以便后备处理器按实时数据不断更新，当主处理器出现故障时，系统自动切换到后备处理器以接管控制，从而为用户提供事实上不中断的运行功能。

SLC500软冗余系统的主从机架完全相同，每个机架上安装有一个CPU和一个BSN模块，其中一对配对的BSN与远程IO上的 1747-ASB远程I/O适配器模块实现冗余的RIO数据通讯。一个冗余SLC500系统最多支持8对BSN模块，亦即最多可接8个RIO通讯链路，每个RIO链最多1024点I/O，因此一个SLC500冗余系统最多可有8192点I/O。

SLC500的热备系统由1747-BSN构成，可以在Remote I/O、DH+和RS-232/485网络进行系统数据的备份。当在Remote I/O网络上进行热备的时候，1747-BSN具有和1747-SN模块完全相同的功能，只是在远程扫描器的基础上增加了数据备份的能力。系统中，一个1747-BSN模块处于主系统框架中，另外一个1747-BSN模块处于备用系统框架中，都通过RIO链路与远程框架的1747-ASB模块相连。在热备系统中，主系统框架和备用系统框架中都不插I/O模块。

在系统运行时，主系统中的控制器通过背板将数据传递到本地框架的BSN模块中，然后主系统中的BSN模块通过HSSL链路将数据传递到备用系统中的BSN模块中。在备用系统框架中，BSN模块再将接受到的数据通过背板传递到备用系统的控制器中，数据就是以这样的方式完成在热备系统中的备份。

当主系统发生故障的时候，热备系统进行切换，以使备用系统中的控制器接管主系统的控制器来控制远程框架的模块运行。这个切换的速度是很快的（一般在50ms之内便完成切换），以致于在主系统发生故障的时候，处于远程框架的输出还没有发生变化，备用系统已经代替出现故障的主系统运行了。
      （责任编辑：fqj）