从清管站电动阀门误动作事件探讨自控系统安全管理

宋丽明

国家管网集团广东省管网有限公司

 

摘要：输气站发生电动阀门误动作，易导致生产停输、系统憋压或引发火灾爆炸。现对某输气站发生的一起典型电动阀门误动作事件进行讨论，分析原因，实施优化改进措施，探讨自控系统的安全与管理，以保障生产平稳运行。

关键词：清管站；电动阀门；误动作；隔离锁定

 

电动阀门作为输气站重要设施，有远程控制和就地控制两种操作方式，其稳定性是保障输气系统安全运行的关键。在生产运行过程中，为保护工艺系统、设备设施安全及防止误操作，需要对未投运的装置设备和相关阀门实施隔离锁定。2021年4月 1日0时37分许，某清管站远程自动控制电动阀发生误打开事件，造成下游未投运管段充压，经现场及时处置，未对生产安全造成影响。

1  清管站工艺流程及控制系统

1.1  清管站工艺简介

该清管站于2021年3月投产，管道干线压力约8.9 MPa，是一座RTU 控制系统远程监控的无人值守分输站。功能主要为干线紧急截断、放空及向某支干线分输。由于支干线工程在建，考虑后续动火连头安全风险，暂未投用去支干线方向收发球筒及相关管段，工艺流程及压力如图 1所示。

此次误动作电动阀门位号为 XV1103，误动作前，站内除干线气液联动阀 HV1101 处于全开状态外，其他阀门均处于全关状态。XV1103 误开后， 使 XV1103 与 HV1102 阀后至 XV1204 与 XV1203 阀前之间约10米管段充压。

1.2  RTU控制系统

清管站RTU控制系统型号为施耐德 SCADAPack535E。RTU监控数据通过管道光缆及公网数字电路上传至有人管理的上下游站场和调控中心。

有人管理站场及调控中心均使用阿克泰姆 ViewStar ICS SCADA 软件进行数据采集和监控，使用前置通讯服务器 RCI 实现数据通讯和协议转换，数据流向如图 2所示。

图 2 监控数据流向图

2  事件调查过程

2.1  SCADA系统事件记录

通过查询调控中心和上游分输站的 SCADA 系统事件记录，发现4月1日0点35分19秒起，SCADA 系统多次交替出现与 RTU 通讯中断及通讯恢复事件记录。0点37分07秒，记录清管站阀门XV1103全开到位。但该时间段内无远程下发开阀命令及其他相关操作事件记录。

2.2  相关设备检查

（1）阀门 XV1103 电动执行机构未发现进水，阀头无异常显示。

（2）配电设备 UPS没有发现报警记录。检查时断开市电输入，UPS 自动切换至电池逆变输出，工作状态正常。

（3） RTU 机柜内部连接线缆、开关电源、浪涌保护器、继电器、断路器、保险管等没有发现故障。

（4）触摸屏功能正常，并记录到该时间段内交替出现与 RTU 通讯中断及通讯恢复事件。

2.3  RTU运行核查

使用 RTU 软件 SCADAPack E Configurator 上载运行参数， RTU 记录了电动阀XV1103 在误开时段重启。使用 Modscan 软件查询 RTU 寄存器数据状态，发现 XV1103 开阀命令数据位仍处于置位状态。

2.3  管理因素

投产结束后，阀门 XV1103未进行隔离锁定和断电，处于远程关闭状态。

3  原因分析

3.1  自控系统异常

（1）RTU功能结构。清管站 RTU将功能分为相对独立的两部分，即完成数据通讯和逻辑编程，分别使用 SCADAPack E Configurator 和 SCADAPack Workbench 两个软件进行配置和编程。如图 3所示，数据在通讯部分和逻辑编程部分的传送，读、写是单向的。读、写函数配置完成后，不能对同一地址点既读又写。

测试表明，RTU 重启时内部数据点的数值是保持不变的。即如果内部数据点重启前为1 ，RTU 重启后将仍为1 。但是，程序变量在 RTU 重启时将自动初始化为零，再由RTU_BIN_READ 读函数进行赋值。此时该变量将产生由0到1的数值改变，程序将判断为得到控制命令。因此，如果 RTU 重启前控制命令对应的内部数据点为1，重启时，程序将再次执行此控制命令。

（2）SCADA 系统控制命令。调控中心及有人管理站场的操作员在控制面板点击阀门操作命令后，通过 IEC104 协议发送给通讯服务器 RCI，RCI进行协议转换，再通过 Modbus TCP 协议向 RTU 发送指令。一个开阀命令操作，SCADA实际向 RTU 发出两条指令，前一条对命令点进行置位、延时，再发出一条对命令点进行复位。实际操作中，发出开阀命令点击“确定”按钮或“应用”按钮后，RTU按置位、延时、复位执行指令。

如果操作员点击“确定”或“应用”按钮，又在延时期间内点击“取消”按钮，则控制面板窗体将关闭，不会执行指令。如果下发命令时恰遇网络中断或拥塞，也可能致使第二条复位指令无法送达。

3.2  事件原因

SCADA 系统对上一次XV1103远程开阀的操作命令未复位，在RTU异常重启时，控制程序再次获取该阀未复位开阀命令，阀门开启。判断RTU异常重启可能为软件看门狗重置所致。此外，现场人员未对XV1103进行隔离锁定，也未切断动力电源实现硬隔离。

4  系统优化与管理改进

4.1  系统优化措施

（1）RTU和SCADA功能优化。为将命令点异常状态及时反馈给 SCADA系统，拟在 RTU增加阀门开、关控制命令异常状态判断程序。如果延时6 秒后命令仍未复位，则报警上传至 SCADA系统。在操作面板增加命令点异常状态显示，以红色指示灯警示并发出告警。

（2）通讯服务器 RCI 功能优化。为提高开阀命令、关阀命令复位的可靠性，将 RCI 中 SCADA 软件对 RTU 下发的开阀命令、关阀命令设置为自复位类型，主动进行复位。

4.2  管理改进措施

（1）对自控系统进行全面系统检查和参与新项目的验收工作，减少经验与专业能力不足无法识别设备隐患的情况。举一反三，避免控制系统不完善导致其他站场出现类似误动作事件发生。

（2）对站场阀室与新建工程、未投运管线间的隔离阀门的系统锁定、能量隔离、现场上锁等情况进行全面排查，做到应锁尽锁、应断尽断，并建立现场隔离阀门位号、照片等相关信息台账，定期更新及时上报调控中心及管理部门。

 

作者简介：宋丽明，1989年生，工程师，现为国家管网集团广东省管网有限公司汕头管理处生产科高级主管，主要从事天然气长输管道生产管理工作。联系方式：15920399195，songlm@gdngg.com.cn。