福州电厂二期3、4号35omw机组dcs采用的是西门子eperm-xp（简称为txp）。txp的锅炉保护系统与一期#1、#2机所用的保护系统有极大的不同。一期的锅炉保护系统均由继电器来完成;而二期机组dcs保护系统中广泛应用了计算机技术。下面介绍二期机组的锅炉保护系统。
一、锅炉保护系统硬件配置
二期机组锅炉保护系统（即mft主燃料跳闸系统）的硬件装置是西门子的as620f。as620f是故障安全型设备，f代表fail-safe（故障安全）。as620f符合德国din标准、美国vde标准。图l为as620f的组态示意图。
从图中我们可以看到，as620f主要由ap系统（自动处理单元）、as620f系统（故障安全处理器）、fum-f（故障安全i/0模块）组成。as620f中的自动处理ap单元承担与非安全相关的任务，而所有与安全相关的功能均在as620f处理通过使用fum-f模块来实现。
我厂使用的fum-f模件有fum310和fum360两种。fum310模件为开关量输入模件，它可采集16个单接点信号或8个双接点信号，并提供24vdc电源。该模件为智能型模件，可监测测点断线、短接情况，模块的前面板有模拟通道信号所用的16副插孔。fum360模件为开关量输出模件，有24个开关量输出通道，每个通道提供24vdc/l2oma电源，其用户可以是电磁阀，也可以是中间继电器或小型接触器。
apfl20自动处理器通过同轴电缆与ap相连。为了满足锅炉安全方面的高要求，apfl20自动处理器特地设计成二取二内部组态方式，即apfl20有两块处理器，它们均运行相同的程序并拥有相同的时针脉冲，apfl20中的二取二比较装置（comparator）同时监测两块处理器是否统一（bitparity）。当比较装置触发动作时，如果是由于一块处理器故障或存贮器故障引发，此apfl20模件立即停运;由于是冗余设计，原先热备用的apfl20立即转为主机并接手故障apfl20的所有任务，机组并不会因为apfl20的主从切换而发生锅炉主燃料切断。图2为apfl20的内部组态图。
apfl20中的比较装置（comparator）作为监测单元的重要性不言而喻。apfl20中两块处理器系统的所有地址电缆、数据电缆和重要控制电缆都连接到比较装置，比较装置是*自我检查的，并且在特定的时间间隔内*检查一次。
我厂的锅炉保护系统设计可谓煞费苦心，它不仅要使apf作为一个故障安全控制系统，也要保证apfzui大限度的可用率。apfl20就象其上层结构ap一样，也采用冗余设计（二取一结构）。这样，每块apfl20内部是二取二结构，而apfl20之间是二取一结构，总的可用率至少可达到三取二的水平。两块apfl20处理单元内拥有同样的用户程序，它们通过更新接口在一个同步周期内相互通信。它们之间依据主从原则运行，即一块apfl20为主机;另一块为从机，随时可根据要求无扰地承担起原主机的功能。
我厂的apfl20为冗余设计，其下层的功能模块fum310和fum360也采用冗余结构。apfl2o与fum-f模块的通信设备，如通信模块、通信电缆、机柜总线等，同样也采用冗余设计。
二、软件装载及运行
（1）首先，在每块apfl20中插入2块ram存贮卡，并将apfl20运行开关打在stop停运位置。
（2）将2块ap模块同时清空内存。
（3）在工程师台es680（连接在plantbus电厂总线）将此ap的代码清空，执行以下命令（以#3机ap5为例）:
cleanas.sh-pfuzhou3-a5│teegenfile5
清代码后，再进行该ap的硬件代码生成（ap及ape的软件需各自生成）：
bmag.sh-pfuzhou3-a5│teegenfile5
bmag.sh-pfuzhou3-a5-k1│tee-agenfile5
下一步是软件代码的交叉域（pa、apf各自生成）:
bmag.sh-pfuzhou3-a5-0│tee-agenfile5
bmag.sh-pfuzhou3-a5-k1-0│tee-agenfile5
zui后需要生成的是lan：
langen.sh-pfuzhou3│teelangen_protocoll
（4）ap清代码、软件生成完成后，下面要做的就是将生成好的代码传送到ap、apf中去，让软件运行起来。
①给ap传lan
在es680软件图标上，选择transfer→lan→ap，在打开的对话窗口中填入ap号（如ap5），选择确定就可将lan传到ap中。
②给ap离线传代码
确定apfl20在stop位置。在es680软件图标上，选择transfer→ap→loadap（ofnnine），填入ap号后确定，ap和apf的系统软件及应用软件就传到了相应的ap、apf中。当然是先传ap的系统程序及应用程序，完成后再传apf的系统及应用程序。
③代码传完后，ap机处于运行状态，通常左为主机，右为从机。apf机的软件存到了ram卡中（一块apf有两块ram卡，是因为apf模块有两块处理器，每块处理器使用自己的ram卡。该ram卡上配套有3.6v的钮扣电池，因此只要电池有电，即使将ram卡从模块中拔出，ram卡中的程序也不丢失。这种设计特别适用于机组在运行中apf模块损坏需要更换的情况）。将左侧apfl20操作开关由stop打到run位置，几秒钟后它完成自检投入运行。左侧apfl20成功启动后，再将另一块apf投运。
三、锅炉保护项目
#3、#4机组锅炉保护项目具体有以下内容：
（1）手动mft;
（2）两台送风机全部停运;
（3）全燃料丧失;
（4）两台引风机全部停运;
（5）汽机跳闸时，若高压旁路阀全关、且任意一台及以上给煤机运行或投运油枪数≥11支，延时10s（过热器保护动作）;
（6）汽机跳闸时，若低压旁路阀全关、且任意一台及以上给煤机运行或投运油枪数≥11支，延时10s（再热器保护动作）;
（7）冷却蒸汽运行时，高压旁路阀全关，延时10s（再热器保护动作）;
（8）汽包水位高保护:汽包水位≥+250mm，延时5s;
（9）汽包水位低保护:汽包水位≥-350mm,延时5s;
（10）全火焰丧失;
（11）炉膛负压高保护:负压≥4kpa，延时2s;
（12）负压低保护:负压≤-4kpa，延时2s;
（13）仪用气压力≤0.55mpa，延时2s;
（14）锅炉总风量≤25%，延时30s。
四、锅炉保护系统工作原理
以汽包水位＞＋250mm触发mft为例，原理图如图3。图中的*部分是汽包高水位判断回路，它主要由5个水位测点和1个三取二软模件fx52构成。5个水位测点中包括2个水位开关（hadl0cll13-xg5l和hadl0cll23-xg5l）以及3个水位变送器（hadl0cl00l、hadl0cl002和hadl0cl003）。
3个水位变送器送到计算机的值取平均后，经过汽包压力修正，成为汽包水位真值，该值经过+250mm限值判断器zui终形成开关量hadl0fl90l-xh51。开关量hadl0fl90l-xh51经开关量输出模块fum5l1输出后，立即又输入到故障安全型模件fum310，到达fx52三取二软模件。前面提到的2个汽包水位开关量hadl0cll13-xg5l和hadl0cll23-xg51也通过fum310到达fx52三取二软模件。hadl0fl90l-xh5l、hadl0cll13-xg5l和hadl0cll23-xg51三个开关量分别走三块不同的fum310模件。这样设计的目的是，即使有一块fum310模块在运行中故障，也不会误发mft信号，保证了保护回路的高可靠性及高可用率。计算机中的三取二软模件fx52对以上三个高水位开关量进行判断，以决定是否发出mft指令。只要3个水位开关中的任意2个（即2个及2个以上）判断为高水位，则fx52发出mft指令，也就是fx52软模件之gate输出为0，延时5秒后，hhy00ey00l-xv0l（notmft）亦为0、hhy00ey00l-xvl0（mft）则为l。hhy00ey00l-xv0l（notmft）为0，经过dcm驱动模件、fum2l0普通开关量输出模块，触发a磨煤机的跳闸继电器（triprelay-1）。
mft信号（hhy00ey00l-xvl0=l,hhy00ey00l-xv0l=0）则将炉侧相应的制粉、供油设备及相关通风风机等设备停运。图3中的第二部分就是mft的动作回路，在这里我们以a磨煤机为例说明。
该继电器由原先的带电变为失电状态，a磨煤机跳闸。同时，另一个mft信号hhy00ey00l-xvl0所起的作用也是将a磨煤机跳闸。hhy00ey00l-xvl0经过软模件fx53将信号一分为二（fcl-xv53、fc2-xv54）。这2个信号经故障安全模块fum360输出到2个中间继电器，2个中间继电器也变为失电状态，电气的跳闸继电器2-triprelay-2也因此失电，其结果也是a磨煤机跳闸。其它炉侧设备的mft动作相类同。需要指出的是，a磨煤机采用2个跳闸继电器主要是保证磨煤机这种重要辅机在必要时能够安全、及时地停运;而在dcs的dcm软跳闸、fx53硬跳闸以及fx53硬跳闸中采用双fum36*安全模块、双中间继电器、失电动作等，均是为了保证在发生mft时和设备异常时保护系统所保护的对象能够往安全方向动作。
五、锅炉保护系统的问题及解决方案
（l）apfl20模件因制造原因在运行中死机，使锅炉发生mft。
解决方法:返修有制造问题的apfl20模件，即将某个系列号区间的所有apfl20模件返修，该问题没再发生过。
（2）原来在退出汽包水位保护时，需由热控人员到炉顶手工退保护设备。
解决方案:在软件中增加退出汽包水位mft保护的逻辑，在某些异常情况下（如台风、下大雨，有可能使汽包电接点水位计误动）可在电子工程室轻松退出汽包水位保护。
（3）*把油枪点火时，点不着即发生mft。
解决方案:使*把油枪点火点不着时不发出mft。
（4）手动mft与a磨一次快关挡板关反馈共用电源。
解决方案:待机组检修时将两个信号分开，使它们不使用同一电源，避免因模板关接点失电而误发手动mft。
（5）我厂检修和运行工程技术人员认为，炉侧设备mft动作回路过于苛刻。就拿a磨煤机来说，只要它的控制回路中（2块故障安全模块fum360、2个中间继电器及其电源、小开关、接线等）的任一个环节故障就会导致设备误跳。而对于同一机组中更为重要的汽机，却使用二取二的跳闸原则，即并行的两套保护同时动作时汽机才跳闸。我们将通过咨询西门子公司、到兄弟电厂调研等方法，拟出解决方案。
我厂二期#3、#4机组使用的西门子txp锅炉保护系统在安装调试期间，因为设计、制造、接线质量等原因，发生过多次mft误动作。经过长时间的调试、改进后，现该套保护装置工作稳定，保护动作正确率，没有再发生过误动、拒动现象。由于该套设备采用冗余设计，运行中维护较轻松、容易，是一套不错的电厂锅炉保护系统。