一起DCS程序下装引起的设备事故分析

1引言

　　随着企业生产变化，方大特钢4500nm3/h制氧由最初定位的过渡机组变成了主力机组，为提高该制氧机组运行的性能，2010年1月对该机组控制系统实施了全面改造，由常规仪表结合小型plc控制改为dcs系统控制，所采用的dcs系统为hollias-macs系统，所有控制信号点均进入dcs系统，经过1个余月时间安装、调试，完成了改造工程。实现了：空压机、膨胀机、氧压机、氮压机启停自动控制及联锁，分子筛系统自动控制、空分装置调节阀自动控制、空压机、膨胀机双油泵互备控制等功能。

　　2010年4月初，4500nm3/h制氧开机，从运行情况看，所设计的主控制方案满足了系统需要，但由于4500制氧机组本身的特性，加上组态时局部的漏项，部分报警参数、画面的设置仍存有一定的不合理性，为此在设备运行期间多次进行了在线修改、下装， hollias-macs系统良好的无扰动下装、增量下装功能，在线下载一直没有影响设备的正常运行。但2010年6月20日的一次程序下载，不仅引起了空分装置停机，同时造成了空压机烧瓦重大事故发生。dcs程序下载引起装置停机可以想象(行业内有事例)；造成空压机烧瓦却难以理解，表明空压机的自动联锁都没有发生作用。为此专门组织力量对本次事故进行剖析。

2 事故描述

　　2010年6月20日10:30左右，由于v1212阀门阀开信号未在规定的时间闭合，造成分子筛切换系统控制程序自动转为暂停。

　　分子筛系统控制程序是制氧机组的主控制程序，是通过dcs系统控制14个阀及电加热器的周期动作。执行1#分子筛吸附器“卸压→加热→冷吹→充压→切换”——2#分子筛吸附器“卸压→加热→冷吹→充压→切换”动作，除系统初始化步，控制系统共分10步动作，不断循环，两个分子筛吸附器轮流工作、再生。一旦不能正常运行或故障较长时间不能发现，将影响生产正常运行，甚至较长时间停产。v1212阀位开关不到位造成分子筛程序暂停已出现数次，虽经处理，但经过一段时间运行后，总是不理想(并且经常处于报警临界状态)，给生产造成了一定影响。

　　v1212阀门实际动作是正常的，只是阀位反馈不正常。程序设计是：阀位反馈与阀门动作不同步超30s报警，且联锁程序转为手动。为此对程序进行修改，同时进行了下装(考虑到和利时系统可以增量下装)，但在本次下装后，却最终造成了制氧机组的停机，空压机烧瓦事故。

3 事故分析

　　程序下装因素造成设备停机是可预测的，但程序下装造成空压机烧瓦事故难以理解。在本案例中，程序下装后，各联锁都没有发生作用，油泵没有联锁启动，压缩机没有联锁停机，这是很不正常的现象。

　　3.1 下装事后检查

　　本次程序修改做了两部分工作：

　　首先进入控制算法组态，对下位控制程序进行修改，将v1212阀门不同步时间修改为40秒。点击在线登录，系统弹出确定小画面，提示需重新下装(增量下装)，点击确认下装正常。

　　其次对数据库中四个参数进行修改：

　　(1)“阀门故障”；

　　(2)“v1212阀门不同步”；

　　(3)“v1213阀门不同步”；

　　(4)ticas1223量程，由0-300℃，改为0-250℃(对它的修改是为了与ticas1224量程一至，使趋势图直观方便操作人员的对比)进行了数据库的编译，编译正常。

　　再次进入控制算法组态，检查程序运行情况，编译程序、在线登录，系统提示下装，点击确认下装。点确认，即发生“制氧机组分子筛系统突然停止工作，转为手动、各阀门自动关闭；其它系统设备工作也不正常；参数异常，设备并没有联锁停机”事故。

　　事后分析，第二次下装速度较快，系统其实是提示初始化下装。为什么数据库没有实质性变化，系统却要进行初始化下装？为此与和利时服务工程师联系得知：系统软件对于热电阻测温认定0～275℃为一档，量程由由0～300℃改为0～250℃，系统自动认为跳档，要初始化下装。初始化下装后，所有do自动置于off，用于空分装置中分子筛切换阀的电磁阀自动失电，阀门关闭，初始化下装是造成本次停机事故的直接因素。

　　3.3 查联锁未发生作用原因

　　图1为空压机联锁停车弹出式画面。从图中可以看到，对各工艺参数是否参与联锁，都设置了手动控制按键。

图1空压机联锁停车弹出式画面

　　本例中，程序下装后，发现只有“切除空压机联锁/投入空压机联锁”处于投入空压机联锁位置，联锁停空压机的其它参数的“取消联锁/投入联锁”均处于取消联锁位置。调出氧压机、氮压机、膨胀机等其它设备弹出式画面(联锁画面)，发现绝大多数“取消联锁/投入联锁”处于取消联锁位置。“取消联锁/投入联锁”处于取消联锁位置，造成设备(含空压机)不能正常联锁停机，油泵也不能自动启动，设备缺油运行，这是造成空压机最终烧瓦事故主要原因，dcs程序在设计上存在缺陷。

4 处置措施

　　4.1 dcs程序修改

　　根据生产工艺、设备安全运行要求，各类装置都设置了报警、联锁控制参数，一旦参数异常，当参数超过报警值时，dcs发出报警提示，当参数超过联锁值时，dcs系统联锁停机。保护设备，是设置联锁参数的主要目的，一台设备设置了联锁参数，除特殊情况，都应该及时投入联锁，如表1所示。

表1 事故前空压机联锁“取消联锁/投入联锁”参数表

　　表1为空压机联锁“取消联锁/投入联锁”参数表，这些点均为dcs自定义一字节变量点，专门用于各测点联锁是否投用，是为了仪表检修、设备调试等因素设置。这些参数在系统进行初始化下装时有的为on，有的为off，是由于系统初始化设置不同。

　　为此进入控制算法→资源→变量设置程序段，对联锁用变量按实际需要进行修改，表2为修改前后，空压机变量设置部分程序段。变量属性修改后，在初始化下装时，参数的联锁能自动投用，油泵能自动随设备、工艺参数变化自动控制，设备能联锁停机，提高了设备运行的安全性。

表2 修改前后空压机变量设置部分程序段对比

　　4.2 完善应急操作措施

　　在程序下装后，从dcs操作画面上可以看到分子筛系统阀门全部关闭，空压机自动放空，一系列参数报警发生了。空压机两油泵均停止了工作，油压只有0.04mpa(低于联锁停车值)，空压机仍在运行，操作人员立即在dcs上手动启动空压机油泵(约10s时间)，而后空压机轴承温度、轴位移等参数出现报警，轴位移超过联锁设定值，操作人员到现场确认空压机运行情况，空压机有异声响，为此，操作人员在dcs上紧急将空压机停下来(整个过程约45s)。通知维护人员检查空压机状况，拆开空压机，发现止推瓦、径向瓦受到严重的损伤，空压机轴承亦有一定量的磨损。

　　整个事故发生在不足1分钟的时间，但空压机却受到了较大的损坏(该空压机还带有高位油箱)。如果一发现空压机油泵停止运行，且油压低于联锁值，立即将空压机停下来，设备的损伤可能会更小一些。为此，一是在dcs每幅操作画面上设置紧急停机操作键；二是修改应急操作措施，明确规定，一旦出现类似情况，立即实施停机操作。

5结束语

　　事故发生瞬间，损失很大，教训深刻，笔者有三点体会，希望对同行有所启发：

　　(1)在dcs系统维护方面存在问题：多次在线下装程序，设备运行正常，主要是和利时系统具备增量下装功能，多次在线下装成功又致使维护人员思想麻痹，以至系统提示都未能认真看清，dcs系统是工艺、设备的控制核心，从安全角度考虑，最好是不要在线下装。

　　(2)厂家在dcs维护手册上说明存在缺陷：275℃为热电阻测温分界点之一，这是系统软件上的一个隐性点(厂家许多工程人员都知道，可能在有的地方也出现过类似事故)，但dcs维护手册上没能说明，这样，即使系统提示，维护人员看到了，也不能发现问题所在。

　　(3)dcs程序设计存在缺陷，程序设计人员未能考虑设备运行的安全性，主机厂现场工程师没有与用户充分交流，用户系统维护工程师亦未能领悟到一字节变量是否设置为true的意义，这一点理解不透，事故出现都不知道是什么原因。