基于概率分析的连锁保护“三选一”逻辑算法可靠性分析

莫布林，柳长海，余小敏

（1.韶关市坪石发电厂有限公司（B 厂），广东 韶关 512229；2.华电电力科学研究院中南区域中心，武汉 430000）

0 引言

目前，对重要的发电厂主机和辅机的保护需要配置冗余的保护信号，且要求保护信号从取样点到输入模件全程相对独立[1]，一般采用“三取二”或“三选一”的逻辑判断方式。“三取二”和“三选一”逻辑算法在提高连锁保护动作的可靠性方面具有重要作用[2-3]。

相比于压力开关、温度开关、流量开关等输出信号类型为“开关量”的测量设备（指非连续性信号的采集和输出，它只有“1”和“0”2 种状态），压力变送器、温度变送器、流量变送器等输出信号类型为“模拟量”的测量设备（指在一定范围连续变化的量）具有更大的优势[4]，比如可以在线连续观察数值的变化情况，在线监视测量的准确度情况，能够作为自动调节回路的反馈信号，与控制系统配合使用能够取出多个报警点等。随着压力变送器、物位变送器等模拟量测量设备制造工艺的提高，其可靠性和测量反应时间与“开关量”型设备相差不大[5]，加上控制系统能够方便地处理和使用“模拟量”信号，运用“模拟量”信号作为连锁保护逻辑的输入信号起到越来越重要的作用，处理冗余模拟量信号的“三选一”逻辑算法的应用也越来越广泛[6]。至于该算法在实际应用中的可靠性及其缺点，则需要运用合适的方式去描述和评价，以便正确使用和提高其可靠性。

由测量仪表及控制系统构成的测量回路中，在各种各样内、外部因素的影响下，测量准确度将受到影响[7]，严重时会造成测量误差超过允许值，甚至使得测量值严重偏离实际值。影响测量准确度的常见因素有仪表制造质量不良，仪表安装或使用方式不正确，外部电磁干扰，高温、潮湿、振动的外部环境，供电电源不稳定，测量线路绝缘低，接线松动，被测工质参数超过仪表的测量范围等[8-10]。在测量线路绝缘不合格、被测工质参数超过仪表的测量范围、接线松动、电路开路等异常情况下，仪表输出通常表现为超过输出的上、下限范围；受到电磁信号的干扰，表现为信号波动的速率快；受到高温、潮湿或振动的影响，表现为测量误差超过允许误差值。测量回路在受到各种不良因素的影响下，测量输出常表现为超量程、超速率、超允许误差、输出不变化或无输出等情况。

本文采用坏点、正偏差、负偏差这3 项评价测量信号异常的重要指标，利用概率理论的有关性质，忽略各路信号之间出现的某些次要偏差情况，选取一定范围的事件作为研究对象，分析并计算出“三选一”算法在各种测量事件下的正确动作率、拒动率和误动率，并根据各种事件的正确动作率、拒动率和误动率的大小规律提出改进方法和应用的建议，以期达到提高“三选一”算法可靠性的目的。

1 算法逻辑介绍及应用

在热工连锁保护逻辑组态中，经常应用到质量判断算法逻辑、幅值判断算法逻辑、模拟量信号三选一算法逻辑等，其功能分别为：

质量判断算法逻辑功能是：当模拟量输入信号超过高、低限或变化太快（速率超限）时报警，输出保持[11]。

幅值报警算法逻辑功能是：当输入变量高于或低于设定值时，发出报警信号。

模拟量信号“三选一”算法逻辑功能是：根据3 个模拟量输入值、质量选择某一路输出，或者根据工作模式计算输出。该算法逻辑对3 路模拟量输入信号选择，实现模拟量信号的三选一功能。信号质量、信号间偏差、选择模式（均值、中值、大值、小值、第一路、第二路、第三路）都会影响最终输出值。

其输出选择算法如下：

（1）3 个输入质量全坏，输出保持。

（2）仅有1 个输入好点，输出好点值。

（3）有2 个输入好点：若2 个好点的偏差超限，则输出保持；若未超限，根据当前模式输出。

（4）有3 个输入好点：若3 组偏差均超限，则输出保持；若2 组偏差超限，则输出不超限偏差对应两输入的均值；若仅1 组偏差超限，则输出中值，即与另外2 点偏差都不超限的点；不存在偏差超限情况，则按照选择的模式输出。

当任一一路信号坏点或存在偏差超限情况时，该算法逻辑品质报警输出为TRUE；当输出为保持状态时，总品质输出为TRUE，其它情况为FALSE。

某“三选一”算法实际应用的逻辑组态如图1所示。

2 概率的定义及性质

2.1 概率的定义

在相同的条件下，重复进行大量的试验，若事件A 发生的频率稳定地逼近某常数p，称p 为事件A 发生的概率，记为P（A），即p=P（A）。

2.2 完备事件组的定义

若事件A1，A2，…，An满足在每次试验中，事件A1，A2，…，An至少有一个发生，称事件A1，A2，…，An构成完备事件组。

2.3 概率的性质

（1）任何事件的概率的范围是：0≤P（A）≤1。

（2）当事件A 与事件B 是对立事件时，有P（A）=1-P（B）。

（3）对于事件A 和B，当且仅当A 和B 中至少有一个发生的概率为：P（A∪B）=P（A）+P（B）-P（AB）。

（4）当事件A 与事件B 互斥时，有P（A∪B）=P（A）+P（B）。

（5）对于更多的互斥事件A1，A2，A3，…，An两两互斥时，当且仅当A1-An中至少有一个发生的概率为：P（A1∪A2∪…∪An）=P（A1）+P（A2）+…+P（An）。

（6）当A 和B 是独立事件时，有P（AB）=P（A）P（B）。

（7）在A 事件发生的条件下，事件B 发生的概率，用符号表示为P（B|A），有P（AB）=P（A）P（B|A）。

3 算法可靠性概率分析

3.1 算法评价指标

在设备连锁保护应用中，常用正确动作率、拒动率和误动率来评价一种算法的优劣情况。拒动率和误动率对于连锁保护来说越低越好，实际应用中应尽量避免保护拒动或误动情况的发生，特别是保护拒动，它的产生可能会造成严重的设备损坏事件[12]。

3.2 “三选一”算法输入信号类型

在异常情况下，测量仪表通常表现为超量程、超速率、超允许误差、输出不变化或无输出等情况。测量仪表的输出信号经过质量判断算法逻辑的处理，超量程和超速率的情况被统一为坏点情况，对于无输出的情况，也会被质量判断算法逻辑判定为超量程的一种，所以该情况也被统一为坏点情况。“三选一”算法逻辑具有输入信号之间偏差超限的判断功能，某一路测量信号输出不变化时易与另外的正常信号造成偏差超限的情况而被检测到，且被检测出来的概率非常大，所以输出不变化的情况在此被转化为偏差超限情况。为了便于研究算法的拒动率和误动率情况，将超过允许误差的情况细分为正偏差和负偏差2种情况，这2 种情况为互斥事件。所以，对于“三选一”算法而言，测量信号故障可以归结为坏点、正偏差和负偏差3 种类型。在此将正偏差（用“+”表示）定义为与真值的差值大于允许误差的绝对值的情况，负偏差（用“-”表示）定义为真值与其差值大于允许误差的绝对值的情况。未超过允许误差简称为未超差（用“0”或“0′”表示），“0”和“0′”表示2 个测量值均在允许误差范围内，但两者不相等。

3.3 异常事件概率定义

将“三选一”算法的某一路输入信号出现坏点的概率表示为a，当未出现坏点的条件下，出现正偏差的概率表示为b，出现负偏差的概率表示为c。由于各路输入信号出现坏点为独立事件，则其它2 路信号的坏点概率同样为a，同理，正、负偏差概率同样分别为b 和c。

3.4 测量故障率估算

图1 “三选一”逻辑组态

从设备技术指标看，应用广泛的某品牌压力变送器稳定性达7 年，另外一种常见的压力变送器稳定性为每年±0.01%。另外，有关技术规程规定：控制系统的非现场原因引起I/O 信号异常次数要求每台每年不大于10 次。从实际应用情况来看，测量仪表和控制系统的稳定度均优于以上指标[13]。一般600 MW 燃煤机组的I/O 信号点数为12 000 个，出现故障的概率小于每年10/12 000=1/1 200，所以可将整个测量回路的故障率估算为小于每年1/1 000，而组成故障率的分项故障（坏点、正偏差、负偏差）均小于每年1/1 000，因此将a，b，c 均估算为每年1/1 000。

3.5 偏差超限类型

“三选一”算法中2 路输入信号之间偏差的报警值假设设置为允许误差的值，则2 路信号之间偏差的可能类型如图2 所示。图2 中情况2 与偏差超限的设定值有关，假设将其设置为2 倍允许误差，则无此情况出现。另外，可以认为情况2是情况1，3，4 或5 的特殊情形，本文不将情况2 作为单独事件考虑。图2 中的情况6 是2 路信号均为正偏差且相互之间的偏差不超限，图2 中的情况8 是2 路信号均为正偏差且相互之间的偏差超限。由于2 路信号同时出现正偏差的概率很小（b2），同时出现正偏差的情况下又出现相互偏差超限的概率更小，为了简化问题，本文不考虑正正偏差超限和负负偏差超限的情况。基于上述，在此只研究图2 的情况1，3，4，5，6 和7，并且将这6 类事件作为任何2 路信号偏差的完备事件组。

图2 2 路信号偏差的可能情况

3.6 拒动和误动的定义

当实际值超过动作值而未发出保护动作信号时，则认为该保护是拒动情况，且认为是100%会拒动。当实际值未达到动作值而发出保护动作信号时，则认为该保护是误动情况，且认为是100%会误动。

3.7 概率统计

3.7.1 限定范围的统计

由以上的定义及规定条件，运用概率的基本性质，计算出“三选一”算法中各种事件的概率如表1 所示。这里假设连锁保护动作值是高报情况。

3.7.2 事件概率规律分析

从表1 上各事件的概率数据分析，得出以下规律或特点：

（1）出现1 个坏点事件的概率（3a）小于无坏点事件的概率（（1-a）3），出现2 个坏点事件的概率（3a2）小于1 个坏点事件的概率（3a）。同样，对于偏差超限事件，出现2 个同时偏差超限的概率小于1 个偏差超限的概率。表1 上的概率数据说明，大部分情况下3 个测点是处于好点和无偏差超限的状态，即“三选一”算法处于正确输出状态，出现故障是小概率事件。

（2）从表1 事件的概率看，无论是坏点事件还是正负偏差事件，整体上均呈降低趋势（越往后面，事件出现的概率越低）。即在通常情况下，故障是逐个出现，逐步向恶化的方向发展。

（3）当出现信号之间偏差超限的情况时，其中1 个不超差另外1 个正或负偏差的事件出现概率要比2 个均出现正或负偏差的事件出现概率大很多（前者是后者的1 000 倍），即出现偏差超限时，大概率出现了1 个点无偏差另外1 个点正或负偏差的事件，有1 个点处在正确测量状态。

表1 “三选一”算法可靠性概率计算

（4）表1 中事件9，12，16 和17，均存在着1个正确测量点，但由于相互偏差超限，算法输出保持，保护拒动。在有正确点的情况下，“三选一”算法仍然会出现异常输出状态。

（5）当没有出现偏差超限报警的情况时，仍有可能出现拒动和误动的情况。表1 事件2 和3是在既没有坏点又没有偏差超限报警的情况下发生的拒动或误动事件。表1 事件14，15，20 和21是在存在好点且没有偏差超限报警的情况下发生的拒动或误动事件。这6 种异常情况不能够被“三选一”算法发现。偏差超限情况与各测点是否出现正或负偏差没有必然的对应关系，当出现偏差超限时，必定有测点出现正或负偏差的情况（如表1 中事件4 出现了1 个测点正偏差情况），当未出现偏差超限时，也有可能出现正或负偏差的情况（如表1 中事件14 出现了2 个测点均是正偏差情况）。图3 所示为没有坏点且无偏差超限的事件示意。

4 防拒动改进

4.1 改进原因

连锁保护动作的目的是在异常工况下让设备停止运行或关闭某些阀门实现隔离，防止异常事件的扩大，达到保护设备和防止不安全事件的目的。当出现保护误动时，一般只是影响到系统的正常运行，当出现保护拒动时，将会造成设备损坏或不安全事件的产生，所以应当采取措施，尽量避免保护拒动事件的出现。

对于表1 事件12，16 和17，都存在1 个“0”型的点，然而输出却是保持的，导致保护拒动，这显然是“三选一”算法的不足之处。在输出保持的情况下，对于有3 个好点而言，出现2 个正或负偏差的概率要比出现3 个正或负偏差的概率大得多；对于有2 个好点而言，相互间偏差超限的“0+”和“0-”事件的概率比“+-”事件概率大得多（前两者是后者的1 000 倍）。因此，在此条件下存在1 个测量准确点是大概率事件，所以应选出也值得选出该准确点来，若“三选一”算法能够判断出哪些是正确测量点并输出该点，则能够提高正确输出率和降低拒动率。

4.2 关联参数

在生产流程中，某些参数之间的关系是相互关联的[14]，比如在饱和蒸汽条件下温度与压力是一一对应的；火电机组滑压运行方式下功率与主汽压力的关系较稳定；在机组正常运行中功率与主汽流量是函数关系；在自动状态下，反馈值通常维持在设定值附近。另外，某些参数往往保持在正常范围内，比如锅炉正常运行时的汽包水位保持在±50 mm 范围内。当其它参数较可靠时，可以作为与之有关联的参数的参考量。

4.3 设置参考量

4.3.1 算法改进

为“三选一”算法设置参考量，参考量或是与输入参数呈函数关系，或是某一固定的数值。当算法出现输出保持事件时，让相互之间偏差超限的输入信号分别与参考量比较，判断两者的差值落入允许误差范围内的情况，当有1 个点落入该范围内时，取该值作为算法的输出值（图2 情况3和4），当有2 个点落入范围，则取2 个点的平均值作为输出值（图2 情况2），当全部点比较完毕均无落入允许误差范围内时，则认为各点均超差，输出仍保持。

图3 3 点无坏点无偏差超限的事件示意

4.3.2 应用实例

火电厂的锅炉汽包通常设计有压力、温度等测点，汽包压力作为汽包的一项重要参数，通常设计有3 个以上的测点。对于汽包压力的“三选一”算法，将汽包温度对应的饱和蒸汽的压力作为该算法的参考量，若出现表1 中的12，16 和17事件，通过与参考量的对比，改进后的算法能够可靠地分辨出各自存在的1 个准确点并作为算法的输出，成功避免了输出保持导致保护拒动和压力测量失效的情况。由此可见，通过增加参考量判断功能后，能够将表1 事件12，16 和17 由拒动转化为正确动作，提高了算法的正确动作率，降低了拒动率。

4.4 设置报警量

4.4.1 偏差值确定

如图2 情况2 所示，由于测量值是在“真值±允许误差范围”内，所以要确保出现1 个测点超过允许误差的异常情况必须满足2 个测点之间的偏差大于2 倍允许误差，也就是说，当2 个测点之间的偏差超过2 倍允许误差时，必定有1 个及以上的测点超过允许误差。所以，应将偏差报警值设定为小于等于2 倍允许误差。若将2 个测点之间的偏差报警值设定为1 倍允许误差，如图4的情况1 和情况2 所示的极端情况下，有1 个测点超过2 倍允许误差时才能够被发现，存在异常晚发现的问题；当出现图2 的情况2 时，则又出现2 个测点均未超过允许误差却出现偏差超限报警的情况，存在提前报警的问题。由此可见，若将偏差报警值设置得偏低，虽能改善异常晚发现的情况，但增加了出现提前报警的可能性。偏差报警值的设置应根据具体应用场合可接受的误差值来定。由于出现偏差超限报警时，1 个测点在真值附近，另外1 个测点超过允许误差的概率很大，所以建议将偏差超限报警值设定为1 倍允许误差。

4.4.2 报警应对

当出现任何一个坏点或任何一组偏差超限而发出声光或语音报警时[15]，应当引起监控人员和维护人员的重视，并及时消除故障，使连锁保护保持有2 个或2 个以上的正确点，防止算法向低可靠性的方向发展，即让连锁保护保持在表1 中靠前面的事件状态下，则能够保证保护在较高的可靠度上。

图4 2 路信号1 倍允许误差偏差超限极端情况

当出现算法输出保持的情况且经过参考量判断并以某个值输出时，算法同时发出非可靠报警，提醒监视人员确认算法输出值是否准确，若不准确，则能够及时进行相应的操作干预，防止发生不安全情况。

5 结语

通过运用概率的有关性质公式计算出“三选一”算法各种事件的概率，并分析了各种事件概率的分布规律。根据各种事件概率的大小情况对该算法提出增加参考量的改进，该改进能够提高算法的正确动作率并降低拒动率。根据事件概率分布规律提出重视报警监视并及时处理异常的注意事项，该应用方式能够让算法维持在较高的可靠度上。通过采取以上2 项措施，提高了该算法的可靠性。

2 个点之间的偏差超限情况与各个点是否出现正或负偏差没有必然的对应关系，当未出现偏差超限时，也有可能出现正或负偏差的情况。当没有出现偏差超限报警的情况时，仍有可能出现拒动和误动的情况，如表1 事件2，3，14，15，20 和21，这是该算法的缺点。这6 种异常事件出现的概率虽然低，但仍需引起注意和防范，可以通过人工判断来进行干预。

该算法在正常判断和输出的状态下，仍然存在保护拒动或误动的情况，如表1 事件8，9，10和11，虽然这些异常事件比保护正确动作的概率低很多，但对生产系统来说仍然是安全隐患，如何减少或避免这些异常事件的发生，仍需对该算法进行进一步研究和改进。