福州电厂二期3、4号35OMW机组DCS采用的是西门子eperm-XP（简称为TXP）。TXP的锅炉保护系统与一期#1、#2机所用的保护系统有极大的不同。一期的锅炉保护系统均由继电器来完成;而二期机组DCS保护系统中广泛应用了计算机技术。下面介绍二期机组的锅炉保护系统。
　　
　　一、锅炉保护系统硬件配置
　　
　　二期机组锅炉保护系统（即MFT主燃料跳闸系统）的硬件装置是西门子的AS620F。AS620F是故障安全型设备，F代表Fail-Safe（故障安全）。AS620F符合德国DIN标准、美国VDE标准。图l为AS620F的组态示意图。　　从图中我们可以看到，AS620F主要由AP系统（自动处理单元）、AS620F系统（故障安全处理器）、FUM-F（故障安全I/0模块）组成。AS620F中的自动处理AP单元承担与非安全相关的任务，而所有与安全相关的功能均在AS620F处理通过使用FUM-F模块来实现。
　　
　　我厂使用的FUM-F模件有FUM310和FUM360两种。FUM310模件为开关量输入模件，它可采集16个单接点信号或8个双接点信号，并提供24VDC电源。该模件为智能型模件，可监测测点断线、短接情况，模块的前面板有模拟通道信号所用的16副插孔。FUM360模件为开关量输出模件，有24个开关量输出通道，每个通道提供24VDC/l2OmA电源，其用户可以是电磁阀，也可以是中间继电器或小型接触器。
　　
　　APFl20自动处理器通过同轴电缆与AP相连。为了满足锅炉安全方面的高要求，APFl20自动处理器特地设计成二取二内部组态方式，即APFl20有两块处理器，它们均运行相同的程序并拥有相同的时针脉冲，APFl20中的二取二比较装置（comparator）同时监测两块处理器是否统一（bitparity）。当比较装置触发动作时，如果是由于一块处理器故障或存贮器故障引发，此APFl20模件立即停运;由于是冗余设计，原先热备用的APFl20立即转为主机并接手故障APFl20的所有任务，机组并不会因为APFl20的主从切换而发生锅炉主燃料切断。图2为APFl20的内部组态图。　　APFl20中的比较装置（comparator）作为监测单元的重要性不言而喻。APFl20中两块处理器系统的所有地址电缆、数据电缆和重要控制电缆都连接到比较装置，比较装置是"*自我检查"的，并且在特定的时间间隔内*检查一次。
　　
　　我厂的锅炉保护系统设计可谓煞费苦心，它不仅要使APF作为一个故障安全控制系统，也要保证APFzui大限度的可用率。APFl20就象其上层结构AP一样，也采用冗余设计（二取一结构）。这样，每块APFl20内部是二取二结构，而APFl20之间是二取一结构，总的可用率至少可达到三取二的水平。两块APFl20处理单元内拥有同样的用户程序，它们通过更新接口在一个同步周期内相互通信。它们之间依据主从原则运行，即一块APFl20为主机;另一块为从机，随时可根据要求无扰地承担起原主机的功能。
　　
　　我厂的APFl20为冗余设计，其下层的功能模块FUM310和FUM360也采用冗余结构。APFl2O与FUM-F模块的通信设备，如通信模块、通信电缆、机柜总线等，同样也采用冗余设计。
　　
　　二、软件装载及运行
　　
　　（1）首先，在每块APFl20中插入2块RAM存贮卡，并将APFl20运行开关打在"STOP"停运位置。
　　
　　（2）将2块AP模块同时清空内存。
　　
　　（3）在工程师台ES680（连接在PlantBus电厂总线）将此AP的代码清空，执行以下命令（以#3机AP5为例）:
　　
　　Cleanas.sh-pfuzhou3-a5│teegenfile5
　　
　　清代码后，再进行该AP的硬件代码生成（AP及APE的软件需各自生成）：
　　
　　bmag.sh-pfuzhou3-a5│teegenfile5
　　
　　bmag.sh-pfuzhou3-a5-k1│tee-agenfile5
　　
　　下一步是软件代码的交叉域（PA、APF各自生成）:
　　
　　bmag.sh-pfuzhou3-a5-0│tee-agenfile5
　　
　　bmag.sh-pfuzhou3-a5-k1-0│tee-agenfile5
　　
　　zui后需要生成的是LAN：
　　
　　langen.sh-pfuzhou3│teelangen_protocoll
　　
　　（4）AP清代码、软件生成完成后，下面要做的就是将生成好的代码传送到AP、APF中去，让软件运行起来。
　　
　　①给AP传LAN
　　
　　在ES680软件图标上，选择Transfer→LAN→AP，在打开的对话窗口中填入AP号（如AP5），选择"确定"就可将LAN传到AP中。
　　
　　②给AP离线传代码
　　
　　确定APFl20在"STOP"位置。在ES680软件图标上，选择Transfer→AP→LOADAP（ofnnine），填入AP号后"确定"，AP和APF的系统软件及应用软件就传到了相应的AP、APF中。当然是先传AP的系统程序及应用程序，完成后再传APF的系统及应用程序。
　　
　　③代码传完后，AP机处于运行状态，通常左为主机，右为从机。APF机的软件存到了RAM卡中（一块APF有两块RAM卡，是因为APF模块有两块处理器，每块处理器使用自己的RAM卡。该RAM卡上配套有3.6V的钮扣电池，因此只要电池有电，即使将RAM卡从模块中拔出，RAM卡中的程序也不丢失。这种设计特别适用于机组在运行中APF模块损坏需要更换的情况）。将左侧APFl20操作开关由"STOP"打到"RUN"位置，几秒钟后它完成自检投入运行。左侧APFl20成功启动后，再将另一块APF投运。
　　
　　三、锅炉保护项目
　　
　　#3、#4机组锅炉保护项目具体有以下内容：
　　
　　（1）手动MFT;
　　
　　（2）两台送风机全部停运;
　　
　　（3）全燃料丧失;
　　
　　（4）两台引风机全部停运;
　　
　　（5）汽机跳闸时，若高压旁路阀全关、且任意一台及以上给煤机运行或投运油枪数≥11支，延时10s（过热器保护动作）;
　　
　　（6）汽机跳闸时，若低压旁路阀全关、且任意一台及以上给煤机运行或投运油枪数≥11支，延时10s（再热器保护动作）;
　　
　　（7）冷却蒸汽运行时，高压旁路阀全关，延时10s（再热器保护动作）;
　　
　　（8）汽包水位高保护:汽包水位≥+250mm，延时5s;
　　
　　（9）汽包水位低保护:汽包水位≥-350mm,延时5s;
　　
　　（10）全火焰丧失;
　　
　　（11）炉膛负压高保护:负压≥4kPa，延时2s;
　　
　　（12）负压低保护:负压≤-4kPa，延时2s;
　　
　　（13）仪用气压力≤0.55MPa，延时2s;
　　
　　（14）锅炉总风量≤25%，延时30s。
　　
　　四、锅炉保护系统工作原理
　　
　　以汽包水位＞＋250mm触发MFT为例，原理图如图3。图中的*部分是汽包高水位判断回路，它主要由5个水位测点和1个三取二软模件FX52构成。5个水位测点中包括2个水位开关（HADl0CLl13-XG5l和HADl0CLl23-XG5l）以及3个水位变送器（HADl0CL00l、HADl0CL002和HADl0CL003）。　　3个水位变送器送到计算机的值取平均后，经过汽包压力修正，成为汽包水位真值，该值经过"+250mm限值判断器"zui终形成开关量HADl0FL90l-XH51。开关量HADl0FL90l-XH51经开关量输出模块FUM5l1输出后，立即又输入到故障安全型模件FUM310，到达FX52三取二软模件。前面提到的2个汽包水位开关量HADl0CLl13-XG5l和HADl0CLl23-XG51也通过FUM310到达FX52三取二软模件。HADl0FL90l-XH5l、HADl0CLl13-XG5l和HADl0CLl23-XG51三个开关量分别走三块不同的FUM310模件。这样设计的目的是，即使有一块FUM310模块在运行中故障，也不会误发MFT信号，保证了保护回路的高可靠性及高可用率。计算机中的三取二软模件FX52对以上三个高水位开关量进行判断，以决定是否发出MFT指令。只要3个水位开关中的任意2个（即2个及2个以上）判断为高水位，则FX52发出MFT指令，也就是FX52软模件之gate输出为0，延时5秒后，HHY00EY00l-XV0l（NOTMFT）亦为0、HHY00EY00l-XVl0（MFT）则为l。HHY00EY00l-XV0l（NOTMFT）为0，经过DCM驱动模件、FUM2l0普通开关量输出模块，触发A磨煤机的跳闸继电器（TRIPRELAY-1）。
　　
　　MFT信号（HHY00EY00l-XVl0=l,HHY00EY00l-XV0l=0）则将炉侧相应的制粉、供油设备及相关通风风机等设备停运。图3中的第二部分就是MFT的动作回路，在这里我们以A磨煤机为例说明。
　　
　　该继电器由原先的带电变为失电状态，A磨煤机跳闸。同时，另一个MFT信号HHY00EY00l-XVl0所起的作用也是将A磨煤机跳闸。HHY00EY00l-XVl0经过软模件FX53将信号一分为二（FCl-XV53、FC2-XV54）。这2个信号经故障安全模块FUM360输出到2个中间继电器，2个中间继电器也变为失电状态，电气的跳闸继电器2-TRIPRELAY-2也因此失电，其结果也是A磨煤机跳闸。其它炉侧设备的MFT动作相类同。需要指出的是，A磨煤机采用2个跳闸继电器主要是保证磨煤机这种重要辅机在必要时能够安全、及时地停运;而在DCS的DCM软跳闸、FX53硬跳闸以及FX53硬跳闸中采用双FUM36*安全模块、双中间继电器、失电动作等，均是为了保证在发生MFT时和设备异常时保护系统所保护的对象能够往安全方向动作。
　　
　　五、锅炉保护系统的问题及解决方案
　　
　　（l）APFl20模件因制造原因在运行中死机，使锅炉发生MFT。
　　
　　解决方法:返修有制造问题的APFl20模件，即将某个系列号区间的所有APFl20模件返修，该问题没再发生过。
　　
　　（2）原来在退出汽包水位保护时，需由热控人员到炉顶手工退保护设备。
　　
　　解决方案:在软件中增加退出汽包水位MFT保护的逻辑，在某些异常情况下（如台风、下大雨，有可能使汽包电接点水位计误动）可在电子工程室轻松退出汽包水位保护。
　　
　　（3）*把油枪点火时，点不着即发生MFT。
　　
　　解决方案:使*把油枪点火点不着时不发出MFT。
　　
　　（4）手动MFT与A磨一次快关挡板关反馈共用电源。
　　
　　解决方案:待机组检修时将两个信号分开，使它们不使用同一电源，避免因模板关接点失电而误发手动MFT。
　　
　　（5）我厂检修和运行工程技术人员认为，炉侧设备MFT动作回路过于苛刻。就拿A磨煤机来说，只要它的控制回路中（2块故障安全模块FUM360、2个中间继电器及其电源、小开关、接线等）的任一个环节故障就会导致设备误跳。而对于同一机组中更为重要的汽机，却使用二取二的跳闸原则，即并行的两套保护同时动作时汽机才跳闸。我们将通过咨询西门子公司、到兄弟电厂调研等方法，拟出解决方案。
　　
　　我厂二期#3、#4机组使用的西门子TXP锅炉保护系统在安装调试期间，因为设计、制造、接线质量等原因，发生过多次MFT误动作。经过长时间的调试、改进后，现该套保护装置工作稳定，保护动作正确率，没有再发生过误动、拒动现象。由于该套设备采用冗余设计，运行中维护较轻松、容易，是一套不错的电厂锅炉保护系统。