【自动脱扣系统（ETS系统）的可靠性】

由于汽轮机“自动脱扣”是紧急停机的一种特殊的保护手段，为正确地达到保护的目的，“自动脱扣”装置的设计应最大限度地保证可靠，将“拒动”和“误动”的可能性降到最低。

ETS系统是由大量元器件组成的，元器件的可靠性是整个系统可靠性的保证。

元器件的故障率λ定义为单位时间内发生故障的概率，元器件在整个寿命期内故障率λ(t)与时间的关系曲线如下图所示：

故障率曲线形状如“浴盆”，故又称浴盆曲线。曲线分为三个阶段：第一阶段称为早期失效期，在这一段，由于元器件的质量以及生产工艺等因素，故障率较高。但随着时间的推移，故障率逐渐下降，进入第二阶段偶然故障期，在这期间，基本稳定，故障的发生是偶然的，随机的。随着使用时间的增加，元器件逐渐老化，特性改变，接近使用寿命，故障率再度上升，这一阶段称为耗损故障期。

元器件的早期失效期可以用提高生产质量，改善生产工艺，经过严格的筛选，老化试验后再进入使用期，让早期失效杜绝在使用期前，在元器件开始使用就进入偶然故障期是最理想的选择。在偶然故障期内，故障率的λ(t)随时间变化很小，应该是一个常数。但在实际使用过程中，因使用不当或受工作环境影响，也会造成故障率的升高，引发频繁的故障，尤其是机械器件，例如开关类器件的接点接触不良和粘结，机械移动类器件，像电磁阀，油动机的卡涩，动力油液的超温老化变质等都与工作状态、工作环境和环境污染有直接关系。

为了降低故障率，可采用冗余或容错的理念来弥补因元件故障失效造成的系统可靠性降低。所谓冗余是指使用多元件或多通道；所谓容错是指“冗余+表决”，取用表决后的有效信号，容许有错信号的存在。

冗余在使用中有二种方式可供选择：即工作性冗余和非工作性冗余，前者是所有冗余器件都处在工作状态；后者则只有一个器件处在工作状态，其余都处在备用状态。

二冗余、三冗余是常用的工作性冗余，非工作性冗余一般都采用二冗余：即一个器件在工作，另一个处在非工作的备用状态，当工作的器件出现故障时，另一个备用器件立即投入工作，不使系统功能中断。也就是俗称的一用一备。

容错需要所有冗余的器件都处在工作状态，并且必须在冗余器件中采用表决的方法选取有效可信的元件供系统使用。

对开关量器件的二冗余表决有“与”逻辑和“或”逻辑二种，“与”逻辑只有在二个都有效时才有效，如果有一个失效，不会影响整体，有利于防止误动，但不利于防止拒动；“或”逻辑只要有一个器件有效就整体有效，一个失效将影响整体，有利于防止拒动，但却存在误动的隐患。

对模拟量器件的二冗余表决有“高值选择”和“低值选择”二种。“高值选择”选用二个模拟量的高值作为有效输出；“低值选择”选用二个模拟量的低值作为有效输出。但器件故障，造成其信号是低还是高，有时无法确定，这是这种冗余的不足之处。

对开关量器件的三冗余通常采用“三选二”的逻辑表决方式，即多数服从少数的表决方式，其输出与二个相同状态的一致。三个器件中容许有一个失效的存在。

下图是三选二逻辑的原理图：
开关量1、2；1、3以及2、3分别经三个“与”逻辑，其输出再经“或”逻辑，最终有效输出S。1，2，3三个开关量中的多数（二个以上）有状态变化时（由0变1或由1变0），输出S响应变化，谓之有效； 少数（一个）有状态变化时，输出S不响应变化，谓之无效。这种冗余的方式，虽能使故障率大为降低，但要检测出失效的器件，只能通过在线试验才能做到。

对模拟量器件的三冗余则采用“三选中”的表决方式，选用三个器件输出的中间值作为有效输出。其选择原理如下图所示：A，B，C分别是三个器件的模拟量，经三个高选功能运算，将三个模拟量中的最低值剔除，然后经一个低选功能运算，把余下的二个模拟量中的高值剔除，D就是三个模拟量的中值有效输出。

从上面的分析来看，采用开关量器件的二冗余的“与”逻辑和“或”逻辑都存在不足之处。从汽轮机“自动脱扣”系统的使用角度出发，防止“拒动”和防止“误动”是头等大事：一旦出现脱扣状态，说明汽轮机已经处在故障的边缘，必须紧急停用。如果此时“自动脱扣”系统“拒动”，必然会造成设备的损坏，事故的进一步扩大；正常运行的汽机，如果因“自动脱扣”系统的“误动”，造成不明的停机，同样也会带来巨大的损失。因此既能防止“拒动”，又能防止“误动”是汽轮机“自动脱扣”系统最理想选择。

“双通道四元件”的逻辑组合吸取了二冗余的“与”逻辑和“或”逻辑的各自长处，是“自动脱扣”系统的一种优选方式。

“双通道四元件”的控制逻辑原理如下图：

4个“停机条件”分成2个通道，每个通道以“或”逻辑建立输入输出关系，当2个“停机条件”中只要有一个成立，其输出就成立；2个通道的输出以“与”逻辑确定停机是否有效。

由于这个逻辑需要两个通道同时成立才能有效停机，如果有一个通道因故障“误动”，则不至于发生有效停机，防止了“误动”的发生；由于每个通道只要有一个“停机条件”成立而成立，若有一个停机条件因故障“拒动”，也不至影响有效停机，防止了“拒动”的可能。从设计角度出发实现了既能防止“拒动”，又能防止“误动”的功能，保证了“自动脱扣”系统的可靠性。

实践证明，采用在线诊断技术，在运行中对冗余的元器件进行诊断，判断其是否失效，然后在不影响汽机正常运行的情况下将失效元件更换是减少故障修复时间MTTR（Mean Time To Repair），延长平均故障间隔时间MTBF的有效措施。

对开关量器件的诊断通常用定期在线试验的方法实现，“双通道四元件”的组合方式为在线试验提供了有利的条件，可以分别对每个通道进行不影响汽机运行的在线试验，验证各个元件动作的正确性，诊断元器件的有效性。然后在线更换失效的器件。使“自动脱扣”系统始终处于热备用状态，时刻准备着，应对脱扣信号的来临。

对模拟量器件的诊断通常采用不间断的信号质量检查，并配合逻辑诊断，来确认失效的器件。质量检查鉴于模拟量信号是否超越正常的工作范围的原理，通常以标准的4~20mA作为信号范围对诊断较为有利，不建议使用以0作为起点的0~10V或0~10mA信号，因为这些信号的起始点与0故障不易判别。

三冗余模拟量的诊断的典型鉴别逻辑原理如下图所示：

将三个模拟量二二比较，获得差值不超过容许范围的3个状态变量：ABEQ，ACEQ，BCEQ；同时对三个模拟量A、B、C的质量进行检查，鉴别其是否超过正常的工作范围：以＜102%及＞-2%作为正常范围的界定，获得不超过上限及下限的6个状态变量：AHLN，BHLN，CHLN；ALLN，BLLN，CLLN。将上述9个状态变量通过鉴别逻辑最终可输出“失效”（Fail）和“报警”（Alarm）2个信号。

“报警”信号提示，三个模拟量中至少有一个不正常。如果取用AOK，BOK，COK三个变量，则可进一步判断三个模拟量的“好”“坏”结果。当“失效”信号建立时，说明三个模拟量已不可用，提示已经失效。

总之，ETS系统采用冗余和容错的设计理念，对开关量信号采用“双通道四元件”加在线试验作为设计原则；对模拟量信号采用三冗余及诊断技术作为设计依据，既能达到设计所要求的功能，也能保证其可靠性，用这两种方式来设计ETS系统，都是一种理想的选择。