核电应急柴油发电机组保护跳机原因分析

(江苏核电有限公司，江苏 连云港 222042)

为了确保安全系统的可靠供电，每个核电厂均设计有应急柴油发电机组(以下简称柴油机)作为厂用正常运行可靠供电系统的交流备用电源。

某核电厂每个机组设置两台应急柴油发电机，按照核电厂系统设计，当厂内正常运行可靠供电系统中的6 kV母线失电，同时备自投闭锁或拒动时，主仪控系统触发应急信号DA21，柴油机将应急起动并在15 s内到达额定转速和额定电压，进入应急运行模式，同时按主仪控系统中预先设定好的程序逐级加载对应母线上相应的负荷，应急信号在触发10 min后方可进行复位。应急信号复位后方可进行对应母线段进线开关的合闸操作，此操作称为反同期。进线开关合闸后，母线段恢复正常供电，此时应急柴油发电机由应急运行模式切换至正常运行模式，即恢复与外电网的并网状态。应急运行模式下，能触发应急停机信号有：手动应急停机信号、超速信号、差动保护信号。正常运行模式下，除了应急停机信号外，保护停机信号还有润滑油压力低、润滑油温度高、冷却水温度高、燃油压力低、发电机轴瓦温度高、发电机定子和转子绕组温度高、发电机过流保护、发电机欠电压保护、膨胀水箱液位低等信号。

逐级加载试验即将正常运行可靠母线段的进线开关手动分闸，人为触发应急信号，柴油机应急启动并到达额定转速和额定电压后分7步逐级加载母线上的负荷，加载结束10 min后复位应急信号，实施反同期操作，重新将母线段的进线开关手动合闸，恢复母线正常供电，加载逻辑见图1所示。该试验是验证应急柴油发电机应急功能最直接、最有效的方式。根据试验过程中出现的故障现象，分析故障可能原因，采取有效的排查措施，找到故障的直接原因和根本原因，提出切实有效的纠正行动，对保障核电站的安全有着至关重要的作用。

1 缺陷描述

某核电厂在实施柴油机逐级加载试验期间，负荷按程序加载结束后，运行操作人员在执行正常复位应急信号DA21的操作时，柴油机发生异常停运，事件序列如下：

1)负荷按程序逐级加载结束后，运行操作人员根据操作步骤按下应急信号DA21的“release”和“reset”按钮，DA21信号随即消除；

2)发电机出口断路器跳开，对应的出口母线段失电；

3)柴油机保护跳机，就地控制屏上出现应急停机 “Emergency Tripping”和润滑油压力低 “lube oil low low low pressure”等信号，试验过程的报警序列记录见表1所示；

图1 柴油机逐级加载逻辑图Fig.1 The logic of step-by-step loading for the diesel generator

序号时间报警序列109/13/2017 14:34:49Normal Tripping & Trip UDG Circuit Breaker209/13/2017 14:34:49General Alarm309/13/2017 14:34:49Generator over frequency (81.1)409/13/2017 14:34:53Over excitation limitation509/13/2017 14:34:55Generator under voltage(27.1)609/13/2017 14:35:03Lube oil low pressure709/13/2017 14:35:09Lube oil lowlow pressure809/13/2017 14:35:14Emergency Tripping909/13/2017 14:35:14Lube oil lowlow low pressure1009/13/2017 14:35:14UDG start order1109/13/2017 14:35:14Engine lube oil low pressure

4)应急信号DA21消除后约3 s，由于出口母线失电，该应急信号再次被触发，柴油机再次应急启动四次，其中前三次启动均失败，第四次启动成功；

5)柴油机再次启动后运行无异常，润滑油压力也正常，但出口断路器未按逻辑自动合闸，导致出口母线处于失电状态，辅助工艺系统和设备未启动，柴油机因失去冷源而导致冷却水温度和润滑油温度逐步上升，在主控操作人员闭锁应急信号DA21后，就地操作人员按下就地紧急停机按钮停运柴油机。

2 原因分析和排查

根据故障现象，结合柴油机和主仪控系统的设计逻辑，初步分析认为此次试验导致柴油机保护跳机的可能原因如下：

原因1：在无报警信号存在的情况下，因逻辑设计不合理或接线错误等问题，复位按钮“release”和“reset”时触发保护跳机信号；

原因2：柴油机运行时润滑油实际压力低触发保护跳机信号；

原因3：正常停机信号“Normal Tripping & Trip UDG Circuit Breaker”存在的情况下，因逻辑设计不合理或接线错误等问题，“release”和“reset”按钮与停机信号连锁，按钮动作时触发保护跳机信号；

原因4：试验过程中出现的正常停机信号“Normal Tripping & Trip UDG Circuit Breaker”因应急信号DA21复位后被解锁并触发保护跳机。

根据上述可能原因，制定排查方案，排查过程如下：

1)针对原因1，试验人员在后备盘上检查应急信号DA21的“release”和“reset”按钮，动作均正常，且无逻辑设计不合理或接线错误等问题，由此排除按钮“release”和“reset”导致保护跳机信号被触发的可能性。

2)针对原因2，运行操作人员将发电机出口断路器置于试验分闸位，试验人员在就地控制柜上将与主仪控相连的DA21信号线解开，通过就地模拟DA21信号触发柴油机应急启动，柴油机启动后运行无异常，润滑油压力正常，未出现低压报警信号。约10分钟后，试验人员取消模拟的DA21信号，就地检查柴油机运行无异常，润滑油压力正常，未出现低压报警信号，运行操作人员正常停运柴油机。

由此排除润滑油压力低触发保护停机信号的可能原因。

3)针对原因3，运行操作人员将发电机出口断路器置于试验分闸位，试验人员在就地控制柜上将与主仪控相连的DA21信号线解开，通过就地模拟DA21信号触发柴油机应急启动，柴油机启动后运行无异常，润滑油压力正常，试验人员实施如下验证：

① 保持DA21信号存在，在后备盘上按下“release”和“reset”按钮，就地检查确认柴油机未保护停运；

② 保持DA21信号存在，松开“release”和“reset”按钮，就地模拟正常停机信号“Normal Tripping & Trip UDG Circuit Breaker”，就地检查确认柴油机未保护停运；

③ 保持模拟正常停机信号“Normal Tripping &Trip UDG Circuit Breaker”和DA21信号持续存在，同时按下“release”和“reset”按钮，就地检查确认柴油机未保护停运；

④ 保持模拟正常停机信号“Normal Tripping & Trip UDG Circuit Breaker”持续存在，取消模拟的DA21信号，就地检查发现柴油机保护跳机，发电机出口断路器试验位跳开。

通过上述方式验证，排除了在正常停机信号“Normal Tripping & Trip UDG Circuit Breaker”持续存在的情况下因逻辑设计不合理或接线错误等问题导致“release”和“reset”按钮动作连锁触发保护跳机的可能原因。

4)针对原因4，试验人员在机组就地控制柜上拆除启动电磁阀的继电器以防止柴油机反复启动，在就地控制柜上再次模拟DA21信号触发柴油机应急启动，柴油机启动后运行无异常，润滑油压力正常，试验人员实施如下验证：

① 在就地控制柜上模拟正常停机信号“Normal Tripping & Trip UDG Circuit Breaker”并持续保持，取消DA21信号，现场检查确认柴油机保护跳机；

② 在柴油机保护跳机后3秒，在就地控制柜上再次模拟DA21信号，就地控制屏出现应急停机信号“Emergency Tripping”和润滑油压力低信号“lube oil low low low pressure”，报警序列记录与正常逐级加载试验期间的报警序列记录一样。

由此可确定，DA21信号复位后，正常停机信号“Normal Tripping & Trip UDG Circuit Breaker”的存在是导致机组保护跳机的直接原因。

查询柴油机设计逻辑发现：柴油机的运行模式分为试验模式和应急模式，以DA21信号是否被触发作为判定依据。在试验模式下，当启动命令发出4 s后如柴油机转速仍小于300 r/min，则触发启机失败信号，保护停运柴油机并将发电机出口断路器跳开，同时在就地控制屏上出现正常停机信号“Normal Tripping & Trip UDG Circuit Breaker”。在应急模式下，虽然正常停机信号“Normal Tripping & Trip UDG Circuit Breaker”也被触发，但由于DA21信号的存在而被闭锁，只是出现报警信号而无法停运柴油机，如图2所示。

图2 修改前逻辑图Fig.2 The logic before modification

当运行操作人员从主控后备盘复位DA21信号后，DA21信号消除，柴油机由应急模式切到试验模式，正常停机信号“Normal Tripping & Trip UDG Circuit Breaker”被解锁，柴油机保护停运，发电机出口断路器跳开，出口母线失电，3 s后DA21信号被再次触发，此时，柴油机处于惰转过程，转速下降，润滑油压力下降，而启机命令“UDG start order”因转速未到限值而无法复位，控制系统判定柴油机正处于正常运行状态，由此触发了应急停机信号“Emergency Tripping”和润滑油压力低信号“lube oil low low low pressure”。

停机命令发出后，停机电磁阀根据逻辑设定保持120 s打开状态，在此期间柴油机无法启动，造成再次应急启动的前三次均失败，120 s后停机电磁阀关闭，第四次启动才成功。

柴油机保护停机后，发电机出口断路器同时分闸，柴油机再次应急启动成功后，出口断路器因暂态故障未能触发分位信号，导致无法触发再次合闸信号。

查询该柴油机转速曲线历史记录，发现柴油机本体应急启动启机时间长达27.4 s，启动命令发出6.1 s后转速才达到300 r/min，超过设计逻辑要求不大于4 s的限值，从而触发正常停机信号“Normal Tripping & Trip UDG Circuit Breaker”。

查询该柴油机上一次成功启动与本次逐级带载试验之间的维修记录，发现仅有一次维修活动：拆除柴油机燃油进机管线的临时压力表。拆装过程因排放了部分管内燃油，造成了燃油管内存在部分空气。试验前手动启动燃油增压泵仅运行了5 min，未能将管道内的空气排净，启机阶段燃油短时供应不足，导致启机时间过长而触发正常停机信号。由此可知拆除柴油机燃油进机管线的临时压力表后燃油增压泵运行时间过短，未将管内的空气排除干净为柴油机保护跳机的根本原因。

3 处理方案

为避免此类事件再次发生，根据本次事件的现象和原因，采取的处理方案如下：

1)修改逻辑，如图3所示，将出口母线段进线开关的状态与柴油机的模式相连锁，确保出口母线的进线开关处于分闸状态时，柴油机仍处于应急模式，从而闭锁正常停机信号，保证其应急功能；

图3 修改后逻辑图Fig.3 The logic after modification

2)在柴油机燃油进口管线解体检修工作结束恢复热备用后需启动柴油机进行验证，在进行试验前需启动燃油增压泵运行至少20 min，以彻底排除燃油管线中的空气，避免实施逐级加载试验时柴油机无法启动或出现正常停机信号；

3)根据逻辑设计，每次试验结束后，在试验模式下正常停机时都会触发正常停机信号“Normal Tripping & Trip UDG Circuit Breaker”，需要在就地控制柜和综保仪上对正常停机信号“Normal Tripping & Trip UDG Circuit Breaker”进行复位操作。

4 结 论

本文针对某核电厂应急柴油发电机组调试期间实施逐级加载试验时出现的保护跳机问题，通过对缺陷现象进行描述，对缺陷原因进行分析，提出了建议纠正行动，理论上可以从根本上避免同类事件在同类型系统和设备上再次发生，同时该事件的分析和处理过程可以供同行电站的相关技术人员在分析和处理类似事件时参考使用。