摘要：MFT作为大型燃煤机组的主要保护装置之一，在电厂热工保护系统中占有重要地位，是锅炉安全保护的核心。当危及锅炉安全运行的工况出现时，为避免事故进一步扩大，MFT应快速动作切除所有进入炉膛的燃料，以保证安全停炉。本文对天津大港发电厂MFT的触发条件、MFT继电器回路的设计以及MFT触发后的联锁作一介绍，并对其安全可靠性进行分析。
关键词：MFT 设计 联锁
1、系统概况
大港发电厂一期锅炉为上海锅炉厂制造的亚临界、单炉膛、一次中间再热、四角切园燃烧、燃烧器摆动调温、平衡通风、露天布置、固态排渣、控制循环汽包炉。锅炉设计燃用高挥发份烟煤，采用中速磨煤机正压直吹冷一次风制粉系统。制粉系统配有5台型号为GM-BSC21的称重式计量给煤机；配有5台北京电力设备总厂的ZGM95G中速磨（4台运行，1台备用）；配有2台密封风机（1台运行，1台备用）。燃油系统采用二级点火方式：轻油——煤粉。配意大利ANSALDO公司生产的亚临界、单轴、双缸、双排汽、凝汽式汽轮发电机组。
分散控制系统（DCS）采用ABB公司的Symphony系统，炉膛安全监控系统（FSSS）采用DCS一条化的设计方案。FSSS软件由公用控制逻辑、燃油控制逻辑、燃煤控制逻辑组成，主要完成炉膛吃扫、油泄漏实验、主燃料投资、主燃料跳闸（MFT）、炉膛吹扫、油泄漏试验点火允许、油燃料跳闸（OFT）、减负荷控制（RUNBACK）、火检冷却风机控制、供油快关阀控制、点火油/启动油系统控制、煤层控制等功能。
炉膛安全监控系统（Furnace Safeguard Supervisory System， 简称FSSS）是现代化大型锅炉都具有的一种监控系统，当进入炉膛的燃料由于不具备燃烧条件，或由于设备或其它原因对其失去控制与监视的时候，有可能造成燃料的积累，并且这种积累遇到正在运行的锅炉或正在点火的锅炉中的能量时，会使炉膛发生爆炸。为防止这种现象的发生，FSSS发出主燃料跳闸命令MFT（Master Fuel Trip），迅速切断全部燃料，以免炉膛发生爆炸等恶性事故。
近年来，随着发电机组容量增大，参数提高，机组主保护控制系统误动作对电网安全和电厂经济性的影响相应增大。虽然DCS在电站控制领域覆盖面越来越广，DCS系统本身的可靠性以及故障预防处理越来越得到重视，尤其是DCS系统关键的冗余器件同时故障时，怎样保证机组安全性的问题越来越引起注意。 大多数大机组将炉膛安全监控系统（FSSS）设计为DCS的子控制系统，其中MFT是FSSS的核心部分。MFT包括DCS软逻辑跳闸回路与后备硬跳闸回路两部分，MFT后备硬跳闸回路同时接受DCS软逻辑跳闸信号与手动跳闸信号，因此可在FSSS控制器故障失效或紧急情况下手动停炉，直接切断燃料。
2、设计方案
2.1 MFT软逻辑的实现
每个电厂锅炉的 MFT 触发条件并不完全相同，主要根据锅炉厂的要求以及同类型机组的运行经验进行设计。
以下任一条件满足时MFT动作：
手动MFT
送风机全跳
引风机全跳
汽包水位高3值（3取2，延时3秒）
汽包水位低3值（3取2，延时3秒）
丧失燃料
全炉膛火焰丧失─ 有煤层投运且所有燃料层层失火（燃料层失火：层火检3/4无火）
锅炉总风量过低（延时3秒）
炉膛压力高2值（3取2，延时2秒）
炉膛压力低2值（3取2，延时2秒）
空预器全跳 （延时30秒）
丧失FSSS电源
再吹扫请求 （30分钟）
炉水循环不良（三台炉水循环泵跳闸延时5S）
丧失一次风（只有煤层在运行时，全部一次风机跳闸）
汽机跳闸
2.2MFT跳闸后处理
MFT后跳闸的设备：
关供油快关阀
关回油快关阀
停所有一次风机
关一级，二级过热器减温水闭锁阀，过热器减温水总电动门
关左，右侧再热器减温水闭锁阀，再热器减温水总电动门
停所有给煤机和磨煤机，关所有磨煤机出口门，入口快关门，磨冷热风挡
关所有油角阀
退所有油枪和点火枪
跳所有除尘器（A1，A2，B1，B2）
送热工信号光字牌
切除程控吹灰器
停止烟气脱硫
送信号给CCS，SCS，MCS
送风机调节从自动切手动
引风机调节从自动切手动
开所有辅助风，燃料风挡板
2.3 MFT跳闸回路
大机组采用的MFT控制方案如图1所示。DCS将采集的参数及联锁信号送至MFT跳闸逻辑进行判断，一旦输人信号满足锅炉跳闸条件，则触发MFT动作，切断燃料。为确保保护功能的可靠性，采用2路同时控制设备保护动作方式，一路由DCS保护控制逻辑直接动作设备；另一路由DCS输出MFT继电器组通过硬跳闸回路动作设备。另外，在紧急情况下由手动方式动作硬跳闸回路。
当MFT被触发后，应快速、可靠地切除所有进入炉膛的燃料，以保证锅炉的安全。为防止保护拒动，确保停炉，大港电厂将重要辅机设备采用软、硬两套保护。DCS一方面通过DO卡件输出计算机软件发出的指令；另一方面，输出3个冗余的指令至继电器回路，通过硬回路判断后，最终各继电器输出的接点与软指令输出的DO接点分别进行串联或并联，从而控制辅机使锅炉跳闸。
为减少MFT误动的概率，跳闸继电器采用得电动作的原则，而为了降低电源丧失引起保护拒动，整个回路的电源独立于DCS电源，由两路冗余的电源供电，当一路电源故障时，另一路电源立即投入供电。任何一路电源故障都在DCS操作员站上进行报警。
DCS电源失去时，可通过手动方式跳闸；若MFT硬跳闸回路失电，可通过DCS控制逻辑跳闸。但是，如果MFT硬跳闸回路电源与DCS电源同时失去则MFT拒动。
手动急停跳闸按钮，由运行人员根据实际情况，同时按动操作台上的两个按钮，产生MFT信号。跳闸按钮采取串联，当两个按钮同时按下时，跳闸继电器和系统才动作，这样设计能防止误操作，但有可能有一只按钮出现故障时出现拒动，为了保证回路的可靠性，采取手动跳闸和DCS输出指令并行的设计原则。
回路共设置了10个带机械闭锁的MFT继电器，选用美国A-B继电器，型号为A/B 700DC一PL500Z1。每个继电器共有2个线圈，分别设置为跳闸线圈和复位线圈。当收到DCS输出的MFT指令或收到来自手动MFT按钮的跳闸指令后，回路中的10个MFT继电器的跳闸线圈同时带电，导致其接点动作。延时5秒后，自动使跳闸线圈失电，而其接点位置仍然保持在跳闸线圈带电时的位置，直到其复位线圈被接通。当收到DCS输出的MFT复位指令后，MFT 继电器的复位线圈接通，接点回到发生MFT前的位置，其控制的辅机设备可重新投入运行。
当吹扫条件都满足后， 可按下“启动吹扫按扭”，开始 5 分钟的 吹扫计时。 在这期间内，若任一吹扫条件不满足， 则吹扫中断。否则，5分钟之后， 吹扫完成， 复位 MFT。
2.4电源安全性
控制电源是整个DCS系统的生命线，重要电源发生故障，将直接影响保护逻辑和其他控制逻辑的正常工作。
（1） 电源冗余
MFT保护回路采用两路独立于DCS的直流电源，二路电源通过二极管切换回路实现互为冗余，任何一路电源的故障不会影响系统的保护功能。本设计确保在一路电源故障时，自动、无扰切换到另一路。该电源由现场直接提供，在本回路中实现两路工作电源的自动投切。
（2） 失电跳闸（报警）
DCS系统中，锅炉安全保护（FSSS）控制站采用双重冗余AC110V电源供电，当双路电源均失去时，直接触发MFT跳闸，保证机组安全，或根据实际情况确认条件，设计为其他安全动作方式。
（3） 缺电报警
当MFT电源故障时，报警直接上光子牌，提醒运行人员。
2.5 信号可靠性
凡涉及MFT跳闸信号采用三重冗余，开关量信号采用三取二处理，模拟量信号采用三取中处理，三重冗余信号分别从不同的卡件输入DCS系统。如炉膛压力保护三取二，锅炉炉膛压力保护采用六个压力开关，分别安装在锅炉左右侧边三台。三台炉膛正压开关，三台炉膛负压开关。
总之，锅炉保护系统采用的“三取二”逻辑，是从每个信号的采集、逻辑判断到跳闸出口均为“三取二”。
2.6 得电跳闸与失电跳闸的考量
现在对锅炉继电器后被保护的设计过程，有些要求 “失电跳闸”，即：“失电安全”的意思。这种保护采用的是“反逻辑”设计思想，正常运行时所监控的设备接点闭合，产生逻辑“1”信号，动作设备得电打开；故障时所监控的设备接点打开，产生逻辑“0”保护动作，动作设备失电关闭，锅炉跳闸。这种设计目的是使系统在失电时，锅炉保护跳闸，保证机组的安全性。
而在实际工程中，由于对电源已经做了充分的安全保障性的考虑和设计，所以一般跳闸继电器是采用“得电跳闸”方式。“失电跳闸”方式使跳闸继电器线圈长期带电工作，对继电器的工作寿命和弹簧触点工作的稳定性、可靠性存在不确定因素，值得质疑。同理，产生MFT的信号基本上是采用“得电跳闸”方式。大港电厂为了在机组安全稳定运行，避免跳闸继电器线圈长期带电工作，保障主燃料跳闸（MFT）正确动作，现将跳闸动作方式改造继电器带电动作。
3、锅炉MFT保护动作停炉后机电炉大联锁
大型单元机组的特点是机、电、炉在生产过程中组成一个有机的整体，加之有大量复杂的控制系统及装置，其相互间的关系又都非常密切。当其中某些环节发生故障后将会影响整个机组的安全运行，严重的故障可能导致停机停炉，甚至危及设备和人身安全。机电炉大联锁保护的作用就是将机、电、炉通过一定的逻辑联系起来，当其中某一部分出现故障时，其他部分则会作出相应的反应。下图2为机电炉大联锁保护系统的原则性框图。
3.1 当发生锅炉跳闸后应及时采取措施保证汽轮机、发电机的安全，一般按以下措施处理：
（1）锅炉灭火保护MFT动作后，锅炉值班员应立即查看跳闸报警首出，确保锅炉设备安全，条件允许时尽快恢复机组运行。
（2）检查各磨煤机跳闸，其出入口闸板、挡板关闭，检查燃油跳闸阀各油枪燃油阀均已关闭，否则手动关闭。
（3）检查给水泵运行情况，维持汽包水位在正常范围。
（4）开启省煤器再循环门以保护省煤器，关闭主给水电动门，用给水低负荷调节门控制汽包水位，给水泵保留一台运行，汽包水位控制在-50～-100mm。
（5）跳闸后根据负荷的高低，适当开启过热器空气门3～5min后关闭，以冷却过热器，若主汽管道疏水门已开启，应联系汽机人员适当关小，避免汽压、汽温迅速下跌。关闭锅炉连续和定期排污阀。
（6）关小或关闭空加汽源母管的进汽调节门，关小各级空加蒸汽调节阀，以免超压。检查一、二级过热器和再热器减温水调节阀、闭锁阀和隔离电动门均关闭，注意汽温变化。
（7）汽机值班员应将轴封供汽切换至备用汽源，将高加汽侧退出运行。
（8）保持发电机密封油压及氢压正常。
（9）保持凝汽器真空正常。
（10）查明灭火原因并消除，炉膛进行5分钟吹扫工作后，接值长令，重新点火恢复。如故障不能消除，按机组正常停运处理。
目前我国许多300MW等燃煤机组的联锁保护设计为：当锅炉MFT动作灭火后联跳气轮机，解列发电机。这样的设计比较安全，但不利于机组快速恢复，对发电单位的经济效益有很大影响。鉴于这种原因，部分300MW机组的发电单位修改了机炉联锁保护逻辑，改为：当锅炉汽包水位低保护动作导致MFT动作灭火后才联跳气轮机，其它情况导致锅炉跳闸不联跳汽轮机，而是迅速降低发电机负荷，使机组在锅炉灭火后维持较低负荷运行，根据锅炉灭火情况决定是否解列发电机组或者锅炉迅速点火带负荷运行。大量的事实证明，锅炉MFT动作灭火后，如果事故处理及时，措施完善，操作合理，不仅能够保证机组的安全，而且能较快速度恢复机组正常运行。
3.2 锅炉MFT动作后不联跳气轮发电机的优点：
（1）锅炉灭火后迅速采取措施，利用锅炉余热产生蒸汽维持机组保持较低负荷运行，在短时间内恢复机组运行，避免一次停机事故。
（2）锅炉MFT动作后，从查明原因到恢复点火大约需要10分钟，从重新产生主蒸汽到主汽压力、主汽温度合格，以及恢复到事故前运行。
（3）锅炉灭火不联跳气轮发电机大大减少了汽机值班员的操作。
（4）在处理过程中由于时间较短，所以由于热应力的变化对气轮机本体产生的影响较小。
（5）可以降低本厂由于灭火停机而带来的各种经济损失。
（6）灭火不跳机可以降低由于事故而对电网产生的影响。
3.3热工保护MFT动作以下情况不停机：
（1）失去全部火焰
（2）失去全部燃料
（3）炉膛压力高二值
（4）炉膛压力低二值
（5）手动MFT动作
检查状态大约需要15分钟，整个事故处理大约需要25分钟。
3.4 进行停炉不停机操作措施处理如下：
（1）锅炉跳闸故障报警，锅炉灭火。
（2）控制锅炉汽包水位不能过高。在-100MM左右。
（3）关闭过热、再热减温水闭锁阀。
（4）减少锅炉汽水损失。关连排。关高排、中排至联箱辅汽。
（5）控制锅炉总风量适当。在400T/H左右。
（6）锅炉尽快吹扫，恢复锅炉点火。
（7）RB紧急降机组负荷到3-7MW。防止逆功率动作。
（8）监视汽机排汽缸温度，投入低压缸喷水旁路开启。
（9）调整轴封联箱压力。
（10）倒厂用电。注意厂用电负荷。
（11）加强锅炉主汽温度和主汽管温度的监视。
（12）当主汽温度下降到400℃锅炉还没有点着火应立即打闸停机。
4、结束语：
主燃料跳闸保护是一个非常重要的保护系统，在这个保护控制回路中，要从软件和硬件上通盘考虑，设计时注意逻辑判断，I＼O设置、动作继电器和动合触点布置等，每个环节都要保证逻辑系统失电时能使其控制的设备处于安全状态，确保机组处于安全运行工作状态。机炉联锁保护关系复杂，各发电单位的实际情况也有所区别，所以各发电单位应根据实际情况正确对待，认真处理机炉联锁保护的问题，的确保机组安全第一电厂利益最大化。
参考文献
[1] 天津大港发电厂一期机组锅炉运行规程
[2]陈 盈 大型机组FSS系统及手动MFT跳闸逻辑设计
作者简介：张相东（1982.10- ），男，2006年毕业于华北电力大学自动化专业，助理工程师，研究方向热工自动控制。