一、DCS通讯故障致机组跳闸
2017年某月25日，某厂1号机组负荷940MW，因DCS通讯故障导致机组跳闸。
1. 事件过程
2017年某月25日，某厂1号机组负荷940MW，机组处于协调方式，AGC投入、RB功能
投入。风烟系统A/B送风机、A/B引风机和A/B一次风机运行，制粉系统A、B、D、E、F五台磨煤机运行，给水系统A/B汽泵运行A汽泵转速4645r/min，A小机低压调门开度50.3%左右，B汽泵转速4650r/min， B小机低压调门开度49.3%左右。各项主参数为:总煤量373t/h，总风量3399t/h，给水流量2544t/h，炉膛负压-50Pa。
17时31分59秒，1号机组A给水泵三个转速反馈信号突然出现同步上升且无法调节，上升幅度达700r/min左右，此时B给水泵转速保持稳定。
17时32分6秒，A给水泵转速信号上升至5323r/min，与转速指令（4860r/min）偏差的绝对值超过300r/min，根据DCS逻辑，A给水泵自动控制功能退出，A泵MEH保持遥控及操作员自动状态。
随后在MEH调节器作用下，为降低A给水泵转速，A泵低调门持续关闭，但A泵转速信号无明显变化，而给水流量呈下降趋势，故此时A泵转速信号应为虚假指示。给水流量下降后，虽然给水主控指令及B给水泵指令在PID作用下快速上升，但仍无法维持锅炉给水流量。
17时33份06秒，给水流量降至2215t/h，与设定值（2554t/h）偏差的绝对值超过300t/h，根据1号机组DCS逻辑，B给水泵及给水主控切手动，协调控制随即切至汽机跟随方式。之后由运行人员手动控制锅炉系统各设备。
协调控制切除后，A给水泵转速信号出现反复波动，波动幅度达±700r/min，给水流量同时发生快速变化，此时垂直水冷壁出口混合集箱温度呈上升趋势。
17时34分48秒，A给水泵转速信号降至3710r/min，与设定值（4860r/min）偏差的绝对值超过1000r/min，触发MEH“转速故障”信号，根据METS逻辑，A给水泵跳闸，首出“MEH跳闸”。
此时由于协调控制、给水控制均已切除，按照1号机组RB逻辑，机组RB功能无法触发，A给水泵跳闸后仅能由手动控制机组运行。运行人员随后紧急干预，快速减少锅炉热负荷，并于17时35分13秒切除D磨煤机。但由于参数波动剧烈，17时41分20秒，锅炉垂直水冷壁混合集箱温度超出MFT值460℃（延时3秒），锅炉MFT，首出“垂直水冷壁出口混合集箱温度高”，1号机组跳闸。
2. 事件原因查找与分析
1）直接原因分析
查询DCS历史趋势，17时32分6秒，A给水泵转速信号上升至5323r/min，与转速指令（4860r/min）偏差的绝对值超过300r/min，根据DCS逻辑，A给水泵自动控制功能退出，A泵MEH保持遥控及操作员自动状态。随后，A给水泵转速信号降至3710r/min，与设定值（4860r/min）偏差的绝对值超过1000r/min，A给水泵METS动作，联锁跳闸。由于协调控制及给水控制此时均已切除自动，水煤比失衡严重，锅炉参数剧烈波动，运行人员虽紧急减少锅炉热负荷，但仍无法抑制水冷壁垂直集箱出口温度升高至MFT动作值。
因此,A给水泵在转速信号异常后，转速指令与实际转速偏差绝对值大于300r/min，造成A给水泵自动切除，但未切除MEH操作员自动，是本次非停的直接原因。此时由于MEH操作员自动仍然投入，MEH依据虚假的转速信号持续调节，进而在在转速示值与指令偏差大于1000r/min后导致给水泵联锁跳闸。
对给水自动中保护条件“转速指令与实际转速偏差绝对值大于300r/min，延时5秒后切除对应给水泵的给水自动（保持MEH操作员自动和遥控）”进行分析，当转速信号出现所述异常时仅切除对应给水泵自动控制，MEH依然会依据异常的转速信号进行调节，调节指令的正确性无法保证，安全运行的风险较大，本次非停即是明证。
2）根本原因分析
本次事件中，A给水泵切手动及跳闸、B给水泵切手动、给水主控及协调控制切除均源于A给水泵转速信号的异常波动，且根据历史数据分析，A泵转速信号波动均为虚假。
经查，该电厂1、2号机组给水泵的转速信号传输回路为：三个转速卡DP820将信号传送至一对冗余配置的CI840通讯卡，再经过一对冗余配置的PDP800通讯卡与DCS的总线控制器相连。
非停后，现场检查转速信号传输回路，发现冗余的CI840通讯卡中的主卡报故障信号，副卡接管，此时转速信号均为异常状态（失去实时更新能力）。手动复位通讯卡后，转速信号恢复正常。
电厂技术人员随即开展试验，用信号发生器模拟转速（脉冲）信号发至CI840通讯卡，并手动进行“主→备”通讯卡切换，发现控制器接收的转速信号再次出现示值异常的现象。进一步检查发现，原因为通讯卡CI840的参数配置不当。
因此给水泵转速传输回路中的CI840通讯卡参数配置不当、主卡故障后无法实现无扰切换是本次非停的根本原因。
其他原因分析
1号机组RB逻辑中设计有“协调控制投入”的触发条件，这是由于RB功能的完善、可靠必须建立在所有自动调节系统性能可靠且处于投入状态，才能保证在单侧辅机故障时利用自动控制系统将机组负荷安全降至目标值。
但从本次事件来看，“协调控制投入”反而限制了RB功能的触发，在事件过程中，如果RB触发，即使各子系统不在自动状态，DCS仍然可以及时按照被触发的RB项目进行联锁跳闸磨煤机和投入等离子等动作，对于运行人员手动操作有着极大的帮助。特别是在本次事件中给水泵跳闸后，快速的切除部分制粉系统对于及时调整煤水比、抑制垂直水冷壁出口混合集箱温度有着重要的作用。
3）暴露的问题
1）DCS厂家为电厂所配的CI840通讯卡参数配置不当，主卡故障后无法实现主、副卡的无扰切换，切换过程中通讯信号异常，进而造成后续保护动作、参数失稳。
2）MEH联锁保护条件设置不完善，“给水泵转速指令与反馈偏差绝对值大于300r/min”未作为切除对应给水泵MEH切除操作员自动的条件，导致转速异常时，MEH依据异常的转速信号持续调节。
3）RB逻辑设计不全面，忽视了未投入协调控制状态下单侧辅机跳闸时，RB联锁跳磨和投入等离子对于运行人员的重要帮助作用。
3. 事件处理与防范
1）联系DCS厂家，查明CI840通讯卡件故障、及无法实现主、副卡无扰切换的原因，对通讯卡的参数进行重新配置，并再次进行动态切换试验验证。并对全厂其他系统所用通讯卡进行切换试验，排查异常情况，制定完善的应急处理预案。
2）引出MEH控制柜CI840卡件故障信号，作为MEH切自动（转为阀位控制方式）条件。
3）将“给水泵转速指令与反馈偏差大于300r/min，延时5s”增加至MEH切除“操作员自动”的条件，定值由300r/min改为200r/min。
4）建议电厂删除RB触发逻辑中的“协调控制投入”条件。
二、DCS系统通讯模块故障致机组跳闸
2017年某月13日15时，某电厂4号机组运行，4号机组负荷112.6MW，因发生DCS系统通讯故障导致机组跳闸。
1. 事件过程
2017年某月13日15时，某电厂1号、4号机组运行，4号机组负荷112.6MW，甲、乙
磨煤机运行，甲、乙送风机运行，甲、乙引风机运行，厂用电系统正常运行方式、机炉电主保护均按规定投入运行。
15：00，4号机DCS系统故障报警，CP4002控制器下的所有设备自动调整功能及监视功能全部失灵，15:23锅炉燃烧不稳，运行人员手动MFT熄火，紧急降负荷至5MW。迅速将主机厂用电倒至备用电源，而脱硫厂用电切由#1脱硫变供给，15:55:15将#4机组与系统解列停运。
15:45，检查判断为4号机组DCS系统CP4002(机组MCS、FSSS系统)通讯模块故障，将其更换后，DCS系统于15：54恢复正常，重新启动锅炉点火、汽机冲转、于16:51：33机组与系统重新并列。机组总解列时间共计55分钟。
2. 事件原因查找与分析
4号机组DCS系统中至MCS、FSSS通讯模块故障，造成所有操作员站全部死机，所有自动调整功能和监视功能全部消失，最终导致锅炉熄火。
3. 事件处理与防范
模块老化，该模块已经运行16年。
1）由于机组运行年限较长，该通讯模块已停产，咨询相关厂家生产新模块更换。
2）加强DCS系统故障的事故处理应急预案、防范措施的修订和培训。
三、锅炉交换机故障导致机组降出力致机组跳闸
2017年某月22日，某电厂1号机组负荷为255MW，运行过程发生交换机故障导致机组跳闸。
2017年某月22日，某厂1号机组负荷为255MW，磨煤机A、B、C、D运行，负荷挡板开度分别为40%/37%/62%/65%,C磨投自动，瞬时耗煤：153t/h；一次风机A、B变频运行，一次风压7.76kPa；送风机A、B运行,送风量576t/h；引风机A、B运行，密封机A运行；小机A、B运行，三冲量方式投入，过热汽温540℃，再热汽温535℃，过热汽压15.4MPa；综合氧量3.1%，炉膛温度900℃，锅炉燃烧稳定。
1. 事件过程
2017年某月22日，某厂1号机组负荷为255MW，磨煤机A、B、C、D运行，负荷挡板开度分别为40%/37%/62%/65%,C磨投自动，瞬时耗煤：153t/h；一次风机A、B变频运行，一次风压7.76kPa；送风机A、B运行,送风量576t/h；引风机A、B运行，密封机A运行；小机A、B运行，三冲量方式投入，过热汽温540℃，再热汽温535℃，过热汽压15.4MPa；综合氧量3.1%，炉膛温度900℃，锅炉燃烧稳定。
03:54:47，1号机组小机A、B同时调门突然关闭、丧失出力，给水流量大幅下降，电泵联锁启动，锅炉汽包水位快速下降，快减负荷调整挽救无效，03:56:24锅炉MFT动作（首出汽包水位低低低），立即进行吹扫点火，04:25重新点火，逐步恢复，相继启动一次风机A/B、磨煤机A、D、C、B运行，05:28 负荷升至190MW，油枪全撤，机组恢复正常。
2. 事件原因查找与分析
1）运行人员操作情况
熄火前操作：锅炉熄火前半小时内，运行人员无重大调整操作。
2）历史数据查阅情况
事件发生后调阅DCS事故追忆记录和历史趋势曲线数据，主要记录情况如下:
调阅历史曲线:事故发生前30分钟内，无任何操作，锅炉稳定运行。
03:54:40，大机GV1、GV2、GV3、GV4、TV1、IV1调门控制卡（VPC)切手动状态，03:54:41，大机IV2调门控制卡（VPC)切手动状态，DEH切“汽机手动方式”，03:54:46，IV1、IV2调门指令由100%变为0%后恢复，IV1反馈由100%变为63.03%后恢复至100%，IV2反馈由100%变为72.86%后恢复至100%。03:55:28 机组负荷由257.67MW波动至280.31MW。
03:54:43，小机B低压调门控制卡（VPC)切手动状态，调门指令由1.53（30.6%）变为0，反馈由31.31%关至0%。03:54:45，小机A低压调门控制卡（VPC)切手动状态，调门指令由1.63（32.6%）变为0%，反馈由31.27%关至0%，总给水流量由736.59t/h降至92.24t/h。
03:54:46，小机B因“最小流量阀应开未开”脱扣，小机A因运行人员手动开启最小流量阀而未脱扣。3:54:47，电泵联启成功，电泵勺管未跟踪开出。03:55:47, 运行人员手动开出电泵勺管。03:55:15，运行人员投入DEH功率回路。03:56:01，汽包水位低三值信号（小于-280mm）发出，03:56:11，汽包水位低低保护动作，锅炉MFT。
3）控制逻辑检查情况
（1）汽包水位低三值保护动作值为-280mm，保护投入正常，保护动作正确。
（2）炉跳机逻辑设计为:汽包水位高三值联跳汽机，其它MFT动作不跳汽机，利用锅炉余热，快减负荷至70MW。保护投入正常，联锁动作正确。
（3）MFT联动设备正常。
4）直接原因
由于交换机故障，交换机由A切B过程中未能及时切换，从而造成DPU通讯中断、数据无法真实反映设备情况，控制器输出异常、导致小机A、B调门指令归零，引起给水流量大幅下降。在A交换机通讯阻塞、切换至B交换机成功后DPU通讯才得以恢复，切换时间长达8秒。切换完成后小机入口流量瞬间从300t/h降至跳闸值以下，引起小机B跳闸。电泵联启后，勺管输出跟踪MCS输出的小机A、B转速指令平均值。而MCS输出的小机A、B指令在小机切“锅炉自动”方式时跟踪实际转速折算值。小机A转速2461r/min，小机B转速2432r/min，折算值均为0%(低于3000r/min折算为0%）,因此勺管未开出。进而导致汽包水位快速下降，触发锅炉汽包低水位保护动作，锅炉熄火。
5）间接原因。1-4号机组DCS系统已服役11年，部件老化。
3. 事件处理与防范
1）针对交换机故障，热控专业人员及发电部运行人员要拟定事故措施处理预案，并严格执行落实。
2）对老化的控制设备，要及时更换备品备件。