DP 船舶直流闭环母排短路压降穿越FMEA 分析

肖志成

（挪威船级社（中国）有限公司，上海 200000）

0 引言

目前，越来越多带有DP 功能的新造海洋工程船舶在DP 作业时选择将主配电板设置在合排甚至是闭环运行模式。合排运行模式是指主配电板除首尾两段母排之间的母联开关（或不设置此母联开关）处于分闸状态外，其余所有母排上的母联开关都处于闭合状态，这时各母排组成“一”字形，各母排上的在网发电机处于并联运行状态。而闭环运行模式则是在合排运行模式的基础上，将主配电板首尾两端母排之间的母联开关也闭合，使得电网呈现首尾相接的闭环状态，此时各母排上的在网发电机也处于并联运行状态。相较于以往为保证DP 作业时的冗余要求而采用的开排运行模式，合排或是闭环运行模式时无需将所有发电机都投入运行，而是在保证功率需求的前提下将其中几台发电机设置在备用状态。这就使得船舶在DP 作业时的燃油消耗量大为降低。而在配有直流母排电力系统的船舶上，由于发电机能够运行在各自最优燃油消耗曲线上，本就比交流配电系统更高效，而其采用合排或是闭环运行模式就更能发挥其节能减排的效果[1]。这对于需要长期处于动力定位状态的海洋工程船舶来说有着重要的经济意义。

相较于以往按照冗余分组独立运行的主配电板各段母排而言，合排运行模式使得主配电板合并成为一个公共系统。由于此公共组上的多种故障模式都会对各DP 冗余组同时产生影响，各大船级社因此对DP 作业时采用合排操作的电力系统设计提出了更高的要求。而短路压降就是其中的一种故障模式，所谓短路压降，即当主配电板其中一段母排发生短路故障时，并联运行的各母排上的发电机输出电压会瞬间下降甚至接近0 V，在故障母排被其两端母联开关隔离前，其余母排上的负载都会受到此压降的影响。如果对此影响不加以控制，船舶可能会因为重要负载失电而失去定位能力，因而发生严重的作业事故。

从压降发生到电压恢复正常的这段时间内，维持各DP 相关重要负载后续持续运行的能力即为压降穿越能力。可以理解为，其余母排上各DP重要设备不应由于短路压降导致其在电压恢复之后电源供给受到影响，比如，断路器因欠压导致脱扣，控制系统因电压过低而自动关闭等。DNV规范明确要求“FMEA 必须分析系统中瞬态电压骤降的影响，并确定必要的措施。……不属于直接受故障影响的冗余组的设备应在过渡期内运行，并在系统电压重新建立时立即可用，无需操作员干预。[2]因此压降穿越能力分析也成为各大船级社审核动力定位FMEA 分析报告的重点关注项。

直流配电系统作为未来海洋工程领域关键技术之一，其拓扑结构、保护技术及保护配置方面已有了广泛研究，如文献[3-5]。下面以某型自升式风电安装船为例，讨论公共直流母排系统短路压降FMEA 分析要点。

2 DP 作业时的电力系统运行模式

本船930 V 直流主配电板分成五段母排。按照最大单点故障冗余设计，每段母排及其对应的下级配电板上所有设备属于同一个冗余组，即本船共有5 个冗余组。DP 作业时五段母排处于闭环运行模式，如图1。本船发生单点故障后允许发生的最大影响为失去其中的一段母排和这段母排所带的推进器。若其中一段母排发生短路故障，由其导致的电压降不应使得其余母排上的DP 相关重要设备，比如发电机、推进器等，停止运行。FMEA 分析时要根据系统具体配置来分析系统短路压降穿越能力。

图1 DP 作业时电力系统闭环运行模式

图2 系统拓扑图

1 系统架构

ILC: 本船每段直流母排通过两个并联的西门子ILC(Intelligent Load Control)装置与相邻直流母排相连。ILC 是有IGBT 模块、续流二极管电路、扼流圈组成。每组ILC 由单独的DSP 控制。

DSP: 每个 ILC 配有独立的 DSP（Digital signal processor）。DSP 为ILC 单元提供快速保护（防止短路故障）和慢速保护（防止过载和其他类型的故障）功能。

ILC Control CPU: 每段排配有一套独立的ILC Control CPU。用来与上级MCU 交换ILC 状态及执行MCU 控制命令。同时控制ILC 两端隔离开关的开合。

隔离开关：每个ILC 两端配有隔离开关。断开后可以方便ILC 的维护、检修。短路故障发生及 ILC 断开后，其两端隔离开关会根据 ILC Control CPU 命令断开。

MCU: 整个配电系统设置了两个互为热备的MCU(Mian Control Unit)。MCU 负责处理电站功率管理系统所有控制及保护逻辑。

Scalance XC216 网络交换机：每段母排都配有一个Scalance XC216 网络交换机，用于所有母排I/O 模块、控制单元、MCU、工作站之间的数据传输。

3 保护策略

FMEA 在分析系统的短路电压穿越能力一般从三个方面入手：故障母排隔离时间、故障母排隔离前系统的电压降幅、是否有隐藏故障导致保护失效。

3.1 故障母排隔离时间：

在传统的交流闭环系统中，对母排短路故障的保护一般通过母联开关保护继电器的方向性过流保护功能（ANSI Code 67）来实现。当短路故障发生时，母排上电流流向故障点，通过比较每个母联开关保护继电器测得的故障电流方向判断出故障母排，并将离故障母排最近的母联开关脱扣。

与交流系统不同，本船直流母排主要由DSP的快速保护功能来提供短路故障保护，防止短路故障的影响由故障母排蔓延至其他健康母排。快速保护功能通过计算以下两个参数来实现：

电流变化率：通过检测流经ILC 的电流变化率来判断是否有短路故障发生。当ILC 一侧发生短路时，通过ILC 的电流将迅速上升。将最近ix测量值与先前测量值（当前测量值之前5 μs）的原始值之间的差值与DSP 内保护设定值进行比较。如果差值高于设定值，则触发DSP 快速保护功能。

电压变化率：通过检测ILC 两端的电压差来判断是否有短路故障发生。当ILC 一侧发生短路时，ILC 一侧的电压立即变为零，而另一侧的电压以较慢的速率降低。观察到的两侧电压差可用于尽可能快地检测短路的发生。将ILC 左侧Udc1和ILC 右侧Udc2之间的差异与DSP 内保护设定值进行比较。如果电压差高于此设定值，则触发DSP 快速保护功能。

从短路故障发生到短路故障点因短路保护装置动作而被隔离的这段时间可以认为是短路压降的时间。短路压降的时间是考量各DP 相关负载是否满足电压穿越的标准。各DP 相关负载设定的欠压保护动作时间应大于短路压降的时间。DSP 快速保护功能的检测频率为200kHZ，能够在微秒级检测以上两个参数。短路故障发生时，故障母排两端的ILC 离故障点最近，能够比其他ILC 更早检测到短路故障引起的电压、电流变化。其快速保护功能被触发后，DSP 在几微秒内向ILC 发送IGBT_OFF 信号，使得ILC 内IGBT 关断并强制中断短路电流，进而达到隔离故障母排的目的。IGBT 关闭且通过ILC 的电流变为零后，ILC Control CPU 将向直流隔离开关发送断开命令。整个隔离故障母排的过程大约只需要50μs。相比之下，交流系统的短路电流上升至短路保护设定需要十几ms，断路器固有分断动作时间不少于几十ms，整个隔离故障母排的过程大约需要100ms。由此可见，直流配电系统能够比传统交流母排更加快速的隔离短路故障母排。

3.2 故障母排隔离前系统的电压降幅

更快速的隔离故障意味着能够减小因短路带来的大电流、低电压的影响。在传统交流系统中，由于隔离故障需要较长时间，短路故障往往会导致整个系统的电压下降到一个非常底的水平。FMEA 在分析时需要结合故障隔离时间和系统电压降幅，考察所有DP 相关重要设备的供电方式、欠压保护设定，即，这些设备的电源采用UPS 供电或是其欠压保护延时设定应当比系统电压恢复时间长，才能保证这些设备有足够的电压穿越能力。这些设备包括但不限于：1）发电机AVR、调速器供电方式；2）发电机安保及就地控制系统供电方式；3）各电压等级配电板控制电源供电方式；4）各电压等级母排上重要DP 负载断路器欠压保护；5）推进变频器欠压保护；6）重要辅助设备马达启动器等；

而在直流系统中，由于ILC 能在几十微秒便将故障母排隔离，短路故障引起的大电流还未上升至很高的水平便被中断，同时也有效限制了健康母排电压的下降。虽然规范未要求在本船实际测试，但西门子曾在其他船上搭建测试平台，并在船东、船级社的见证下，对ILC 分断能力的有效性进行实际测试。测试平台原理如图3 所示。断开Stbd DC 母排上Fi-Fi 泵逆变器输入端，在此连接用于模拟短路点的断路器，闭合此断路器即可造成母排短路。实验测得的故障母排、健康母排及短路电流波形如图5 所示。

图3 传统交流闭合母排短路压降波形

图4 测试平台原理

图5 短路点连接

图6 短路测试实验波形

由波形图可见，右侧直流母排的电压在短路故障发生时由于ILC 的迅速分断，其电压没有太大波动。在ILC 分断前，在此过程中右侧母排的电压降仅为20V 左右，对其负载的影响可以认为微乎其微。因此，在FMEA 分析时，可以认为对健康母排下各负载的相关影响非常小。相比之下，传统交流系统在故障母排隔离后，其余母排上电压需要经历重新建立至额定电压的过程。这增加了系统电压穿越的时间，对系统的电压穿越能力提出了更苛刻的要求。需要指出的是，无论使用哪种品牌的类似产品，都需要与厂家进行详尽的沟通，并经过以上的分析过程才能对相关影响作出判断。

4 系统隐藏故障

为使系统拥有更高的可靠性，船级社规范还要求FMEA 需考虑是否有隐藏故障导致保护失效。DNV 规范明确要求“电力系统和配电板的保护功能是按需功能的典型例子，在这些功能中应该考虑到可能存在的隐藏故障。”[6]所谓隐藏故障，即‘操作和维护人员不能立即发现的故障’[6]可以理解为需要叠加其他故障影响才能被探知的故障。在本文的议题中，FMEA 应从两个方面进行考虑：系统控制电源布置及DSP 自身故障。

系统控制电源的布置应当考虑任一冗余组丢失都不会影响其他冗余组的运行。就每组ILC 而言，DSP、ILC Control CPU、隔离开关三者任意一个的控制电源丢失都会造成ILC 的关断。如果本船系统控制电源如图7 所示布置，在系统正常运行时，系统控制电源供电正常，此时不会有报警。但当冗余组2 或冗余组5 因短路故障丢失后，其下级配电系统也会丢失，进而会导致两组或以上的ILC 断开。假设故障前只有冗余组2 和冗余组4 上有发电机在网运行。则当冗余组2 因短路故障丢失后，除冗余组2 两端的ILC（ILC2-1/2和ILC3-1/2）因快速保护断开外, 冗余组1 和冗余组5 之间的ILC1-1/2 也会因为失去控制电源而断开。又因为冗余组1 没有发电机运行，所以冗余组也会因为失电而丢失。显然此结果已经超出了本船发生单点故障后允许发生的最大影响, 即丢失了超过一段以上的母排。因此，正确的做法应当是每组ILC 的控制电源由其对应的冗余组供电。

图7 系统控制电源的布置示例

DSP 内部故障也可认为是一种隐藏故障。这种内部故障可以是自身软件故障或内部元器件故障。它可能导致DSP 快速保护功能失效，无法检测故障的发生，或者即使检测到故障也无法分断IGBT 或向ILC control PLC 反馈状态。如果没有有效的手段监测软件运行状态，则在系统正常运行时不能发现这种隐藏故障。DSP 因此设计了watch dog 功能，用于监测自身软件运行状态，以及‘心跳’监测功能，用于监测内部微处理器运行状态。当自身软件运行响应时间高于预期的响应时间时，DSP 将触发watch dog 保护功能，关闭IGBT,切断对应ILC 连接。而‘心跳’监测功能则是在规定时间内，内部微处理器向DSP 反馈‘health’信号，如果超过预定时间没有收到‘health’信号，则DSP 认为有故障发生，随即关闭IGBT,切断对应ILC 连接。watch dog 或‘心跳’监测功能触发后只会断开对应的ILC,母排由环网连接变为“一”字形连接，对各母排运行不影响。

另外，从系统拓扑图可知，并联的两个ILC有独立工作的DSP，每个DSP 都与ILC Control CPU 有单独的通讯联系。当发生短路故障且其中一个DSP 失效时，ILC Control CPU 在收到另一个DSP 发出的IGBT 关闭状态指令后，会同时将两个ILC 两端的隔离开关断开，确保短路故障被隔离在故障母排。因此，此系统的设计上可以被认为对隐藏故障影响有了充分的保护措施。

5 结语

随着全球环境保护要求的日益提高，船舶行业节能减排的相关公约及法规要求也越来越严格。这促使越来越多的新概念、新技术应用到船舶的建造及改造中来。电力电子技术的发展，使得直流电力系统在节能减排、电能质量、系统架构方面的优势日益突显，使其顺理成章的成为船舶未来发展的方向之一。而动力定位船舶在作业中失位导致的结果往往是十分严重的，因此把守着第一道安全关的动力定位FMEA 分析责任重大。而短路压降由于影响面广且程度较深，在对采用直流闭环母排的DP 船舶进行FMEA 分析时应当重点从上述几个方面入手并加以全面的审视，将安全隐患杜绝在萌芽之中，保障船舶的安全运营。