张献峰

（中核核电运行管理有限公司 维修二处，浙江 嘉兴 314300）

0 引言

汽轮机在电厂中承担着把蒸汽的热能转化为机械能的作用，汽轮机监测（GME）系统是反映汽轮发电机工况状态的信息载体，用于准确、可靠反映整个汽轮机在启动、运行和停机过程中各项重要参数的变化，是汽轮机安全稳定运行的关键。各监测信号通道的合理布置及逻辑组态的准确性，可以有效保证系统监测及跳机保护的安全性与准确性，防止保护拒动或误动的情况发生。一旦汽轮机监视（GME）系统发生故障，将对汽轮机安全运行造成严重隐患，甚至导致汽轮机误跳机。

方家山汽轮机监测（GME）系统采用EPRO 公司的MMS 系列产品，实现GME 系统各项参数的监测和保护，其指示、报警和保护逻辑由东方汽轮机公司设计实现。

机组的GME 系统GGR 轴系中的监测温度，主要包括支撑轴承和推力轴承的金属温度。当轴承的润滑不足或轴承出现异常时，会导致支撑轴承温度升高，严重时会导致轴瓦磨损或轴承损坏；当机组轴向位移过大，转子部分与静止部分发生摩擦甚至碰撞，会使推力轴承温度升高[1]，其风险不可预估。因此，高效的轴瓦温度跳机保护设计颇为重要。

1 原汽轮机轴承金属温度监测系统设计方案分析

1.1 原轴承金属温度信号分配方案分析

方家山汽轮机监测（GME）系统在汽轮机的每组支撑轴承和推力轴承均设计了两个温度测点，用于实时监测轴承金属温度，每台机组共20 个轴承金属温度测点和8 个轴承回油温度测点。当两个温度信号均到达高高设定值后，即达成二取二逻辑，触发汽轮机保护跳机信号[2]。

表1 汽轮机轴承金属温度测点清单及逻辑Table 1 List and logic of temperature measurement points of steam turbine bearing metal

方家山汽轮机监测系统在其控制机柜中，用于监测不同的汽轮机信号，采用MMS6000 系统不同类型的测量模块。其中，汽轮机温度测量模块、功率测量模块都采用型号为MMS6620 的模块卡。汽机温度测量探头使用K 型热电偶，测量的毫伏电压信号经过温度变送器处理，转变为4 mA～20 mA 标准电流信号送入MMS6620 测量卡件中，每个卡件中有4 个测量通道。这些模块卡安装在GME002AR 机柜内的GME004CQ 框架中[3]，示意图和清单见图1 和表2。

图1 GME002AR机柜内GME004CQ框架示意图Fig.1 Schematic diagram of the GME004CQ frame in the GME002AR cabinet

表2 GME004CQ框架内卡件信号分配表Table 2 GME004CQ Frame gard signal allocation table

由表2 可以看出，构成汽轮机跳机逻辑的10 组轴承金属温度信号均分布在同一块MMS6620 CT 模块中。当该卡故障时，所对应的信号可能出现异常，包括信号失效、触发高高信号等多种可能。

以GME403CT 模块卡为例，该卡有GGR305MT 和GGR315MT，GGR306MT 和GGR316MT 共两组停机信号。逻辑[4]如图2 所示。

图2 汽轮机轴承金属温度跳机逻辑Fig.2 The logic of the metal temperature tripping of the steam turbine bearing

当出现该卡故障时，有两种可能的风险：

第一种可能是：这4 个温度高高信号中的任意一组停机信号误动，触发温度高高信号，触发汽轮机停机信号，导致机组非计划停机。

第二种可能是：这4 个温度高高信号中的任意一组停机信号拒动，无法触发应有的相应逻辑，导致对应的停机保护功能失效，严重时导致汽轮机设备损坏。

1.2 原轴承金属温度传感器接线及供电方式分析

方家山现场汽轮机轴承金属温度信号分别布置在GME001CR、GME002CR、GME010CR、GME011CR、GME012CR、GME013CR、GME017CR、GME018CR 共8 个接线箱内，信号清单见表3。

表3 汽轮机轴承金属温度就地机柜内信号分布清单Table 3 List of signal distribution in local cabinet of steam turbine bearing metal temperature

以上8 个接线箱采用相同的接线方式对温度变送器供电。以GME013CR 机柜接线为例进行分析[5]，柜内接线图如图3 所示。

图3 汽轮机LP2后轴承瓦温变送器电源供电接线图Fig.3 Power supply wiring diagram of steam turbine LP2 rear bearing tile temperature transmitter

GME013CR 就地接线箱内存在表1 中第8 组汽轮机停机信号：GGR306MT 和GGR316MT。GGR306MT、GGR316MT 和GGR326MT 3 个温度变送器共用一路24V电源。当共用端子接线松脱时，该路电源下挂载的所有温度都失去指示，即GGR306MT 和GGR316MT 这两个停机信号将失去监测。这会导致机组失去停机保护功能，造成拒动，该种接线方式存在极大的隐患。

1.3 原设计隐患小结

综上所述，原设计的方家山核电汽轮机监测系统在功能上存在以下两个问题：

方家山汽轮机监视系统控制机柜中，如果轴承金属温度处理模块发生故障，由于卡件故障模式存在不确定性，可能导致汽轮机停机信号拒动（停机保护功能失效），或者汽轮机停机信号误动（机组非计划停机），存在误动风险。

方家山现场每个就地接线箱内都存在至少1 组汽轮机轴承金属温度停机信号，且使用同一路电源供电。如果共用端子接线松脱，该路电源下挂载的所有温度都将失去指示，即对应的停机信号将失去监测。这会导致汽轮机停机信号拒动（停机保护功能失效），存在拒动风险。

以上问题导致方家山1、2 号机组存在非计划停机和停机保护功能失效的隐患，不利于机组安全稳定运行。同时，如果相关设备发生故障，功率运行期间开展消缺工作时存在的风险较高。

2 针对汽轮机轴承金属温度监测系统的对策

2.1 单一故障准则在关键非安全级仪控系统中的应用需求

仪控系统以为机组的安全和稳定运行提供可靠保障为目标，其实质是追求仪控整体系统级的可靠性，也就是设计中固有的可靠性，仪控系统的设计应通过分区、分散、独立性、冗余和其他措施，使之具有充分防故障蔓延的能力[6]。目前，核电厂部分仪控系统已经具备分散、独立性、冗余等能力，为非安全级仪控信号处理满足单一故障准则提供了基本条件，而单一故障准则应用将极大地提高系统整体可靠性。

HAF 102《核动力厂设计安全规定》[7]对单一故障准则的定义：“导致单一系统或部件不能执行其预定安全功能的一种故障，以及由此引起的各种继发故障”。

基于安全考虑，HAF102 将单一故障准则的要求限定在安全级系统。出于对电站建造投入成本的考虑，对于单一非安全级部件故障直接影响机组运行的情况，在目前的法规标准中还没有明确要求。在核电厂非安全级仪控系统中，单一故障准则的应用无强制和明确的要求，在设计和安装过程中也未得到严格考虑，尤其是在汽轮发电机、主给水系统、润滑油系统、循环水泵等与机组出力直接相关的控制和保护处理过程中，据不完全统计，仪控系统已发生多起因单一仪控部件故障导致的停机、停堆和机组瞬态降功率运行事件，对电厂机组造成巨大经济损失。

在美国三代轻水堆用户需求文件（ALWR-URD）中：“M-MIS（仪控系统）设备与电厂系统设计必须尽可能地满足任何仪控设备或它的支持设备的单一随机故障，不会引起电厂停役强迫或危及安全系统功能，或安全系统误动作，或引起电厂处于某一应急状态的情况……”[8]。如本文中的描述，用户在部分关键重要的非安全级数字化系统，同样有满足单一故障准则的需求。

2.2 汽轮机轴承金属温度的调整原则

方家山原汽轮机轴承金属监测系统，可实现汽轮机轴承温度高高停机的设计功能，但在停机信号分配和温度变送器供电两方面均不能满足单一卡件故障的保护功能，即未遵循二取二跳机保护的实质性要求。原设计不符合单一故障准则的要求，易造成汽轮机轴承金属温度误停机或温度高高停机保护功能的丧失。

遵循单一故障准则的要求，可按以下原则对汽机轴承金属温度进行调整[9]：

1）将汽轮发电机在同一块卡件上具有跳机逻辑的两个轴承金属温度信号，分配到两块不同的卡件上进行测量，以避免出现测量卡件故障造成某组轴承温度信号失去监测及触发停机情况。且在进行轴承金属温度信号分配设计时，应尽量避免增加硬件数量，尽量减少柜内继电器和电缆的修改数量，降低实施时的难度。

2）对每一路构成跳机逻辑的轴承温度变送器单独敷设供电电缆，提供独立供电，用于避免单一端子松动造成某轴承温度信号失去监测及触发停机情况。

3 汽轮机轴承金属温度监测系统变更方案

3.1 信号重新分配方案

将构成汽轮机停机逻辑的同一组汽轮机轴承金属温度信号分布在不同的模块卡内，还是以GGR305MT 和GGR315MT，GGR306MT 和GGR316MT 共两组 停机信 号为例，变更完成后，GGR305MT 和GGR315MT 分别分布 在GME401CT、GME402CT 卡件中，GGR306MT 和GGR316MT 分别分布在GME403CT、GME404CT 中，单一模块故障将触发报警提醒操纵员，但不再造成停机功能误动的可能性。变更后的信号分布清单见表4。

表4 GME004CQ框架内卡件信号分布清单（变更后分布）Table 4 List of card signal distribution in GME004CQ frame (distribution after change)

3.2 温度传感器接线及供电方式改进方案

现场接线箱内布设拥挤，已无改造的空间，对每个汽机轴承增加一个现场接线箱，同时将构成跳机逻辑的轴承温度变送器重新分布安装在不同的接线柜内。

变更后移出原就地机柜内信号清单见表5。

表5 原有就地机柜内信号分布清单1（变更后）Table 5 Signal distribution list 1 in the original local cabinet(after change)

新增就地接线箱信号清单见表6。

表6 新增就地机柜内信号分布清单2（变更后）Table 6 Signal distribution list 2 in the newly added local cabinet(after change)

以GME013CR 和GME106CR 这组跳机信号为例，变更后的柜内接线方式如图4 和图5 所示。

图4 GME013CR接线箱端子连接图（变更后）Fig.4 GME013CR Junction box terminal connection diagram(after change)

图5 GME113CR接线箱端子连接图（变更后）Fig.5 GME113CR Junction box terminal connection diagram(after change)

变更实施后，因构成跳机逻辑的一组信号GGR306MT和GGR316MT 已分布至不同接线柜且均已实现独立供电[10]，柜内任一单一端子松动或故障，将触发报警提醒操纵员，但不再造成停机功能误动的可能性。

4 汽轮机轴承金属温度监测改进效益

1）2017 年3 月17 日，方家山1 号机组报缺陷“1GGR340MT、341MT 闪发故障报警”，经排查故障原因为温度处理模块1GME405CT 故障，未触发停机。原GME405CT 一块卡件中包含“GGR340MT AND GGR342MT 停机” 和“GGR341MT AND GGR343MT 停机”两路停机逻辑。变更后，将GGR340MT/ GGR342MT和GGR341MT/ GGR343MT 两组有停机逻辑关系的分散处理，消除了单一部件故障对汽轮机停机逻辑的影响，避免了1GME405CT 故障而触发汽轮机停机信号。

2）2017 年4 月6 日，方家山1 号机组报缺陷“KIC闪发1GGR010KA 润滑油测量错误报警”，经查故障原因为处理模块1GME402CT 故障，未触发停机。原GME402CT一块卡件中包含“GGR303MT AND GGR313MT 停机”和“GGR304MT AND GGR314MT 停机” 两路停机逻辑。变更后，将GGR303MT/ GGR313MT 和GGR304MT/GGR314MT 两组有停机逻辑关系的分散处理，消除了单一部件故障对汽轮机停机逻辑的影响，避免了1GME402CT故障而触发汽轮机停机信号。

可以看出，通过对信号重新布置，将构成跳机逻辑的信号进行分散式分布，有效地避免单一模块故障后产生的汽轮机跳机可能，对核电机组的安全稳定运行做出贡献。

5 结束语

通过对方家山汽轮机轴承金属温度监测系统的信号分布和传感器接线及供电方式的深入分析，发现原设计存在可能造成机组非计划停机及停机保护功能失效的设计隐患。遵循单一故障准则要求进行改进，通过提高冗余度达到提高汽轮机监测系统可靠性的目的，避免了单一部件故障造成影响系统安全及可靠性问题，使方家山汽轮机监测系统可靠性有效提升，为核电机组的安全稳定运行提供了坚实的技术基础。