企业官网建设流程全解析

1. 什么是DEH系统？它真不是“电厂里的黑盒子”

很多人第一次听说DEH，是在电厂巡检时看到控制室里那排带LED状态灯的机柜，或是听老师傅说“汽轮机一跳闸，先查DEH日志”。但DEH到底是什么？它和DCS什么关系？为什么汽轮机超速保护必须由它独立完成？这些疑问背后，藏着一个被低估却极其关键的工业控制系统。

DEH，全称Digital Electro-Hydraulic Control System（数字电液调节系统），是专为汽轮发电机组设计的高可靠性、高实时性、硬接线优先的闭环控制系统。它不处理锅炉燃烧、脱硫脱硝这些外围流程，只干一件事：精确、快速、可靠地控制汽轮机转速与负荷——从冷态启动冲转、并网带初负荷，到满负荷运行、甩负荷紧急停机，全程由它主导液压执行机构的动作。它的核心价值，不是“自动化”，而是“可信赖的自主响应”：当电网频率突变、主蒸汽压力骤降或发电机出口开关跳开时，DEH必须在毫秒级时间内完成判断与动作，容不得半点延迟或误判。

这直接决定了它的架构逻辑——六大硬件模块不是随意堆砌，而是按功能隔离、故障域划分、信号流向严格定义的物理实体。它们分别是：操作员站（Operator Station）、工程师站（Engineer Station）、主控制器（Main Controller）、I/O模件（Input/Output Modules）、伺服阀驱动单元（Servo Valve Driver）和液压执行机构（Hydraulic Actuator）。你可能觉得“不就是几台电脑加几个卡件吗”，但实测中，我见过某厂因把工程师站和操作员站共用一台工控机，导致组态下载时画面卡死3秒，恰好遇上一次电网扰动，DEH未能及时响应超速预测逻辑，最终触发了非计划停机。这个教训让我彻底理解：DEH的每一个硬件，都是为承担特定安全等级任务而生，它的选型、布线、供电、接地，没有一处是“差不多就行”。

这篇文章不讲教科书定义，也不罗列厂商手册参数。我会带你一层层拆开这六个硬件，告诉你它们在真实电厂里怎么协同工作、为什么必须这样设计、哪些细节决定成败，以及当你面对一台正在运行的DEH系统时，该看什么、查什么、改什么。无论你是刚入行的热控新人，还是需要做技改方案的工程师，或者只是想搞懂电厂“心脏”如何跳动的技术管理者，这篇内容都基于我十年间在20多座火电厂、核电站、燃机电厂的现场调试、故障排查与升级改造经验写成。它不承诺“五分钟学会”，但保证每一句话，都来自控制柜前拧过螺丝、在DCS画面上盯过曲线、在深夜抢修时换过卡件的真实场景。

2. DEH系统整体设计思路：为什么必须是“六大硬件”而非“一套软件”

2.1 安全等级倒逼硬件分离：IEC 61508与SIL3的硬约束

很多初学者会疑惑：现在DCS平台这么强大，为什么DEH不能直接集成进DCS？答案藏在国际功能安全标准IEC 61508里。汽轮机超速保护属于安全完整性等级SIL3的应用场景——这意味着系统在要求动作时，失效概率必须低于10⁻⁷/小时。简单换算：如果一台机组年运行7000小时，那么DEH的超速保护功能，在100年生命周期内，允许的误动或拒动次数不能超过1次。

这个指标，单靠软件冗余或网络通信根本无法满足。原因有三：

第一，通信链路不可信。DCS内部网络（如FOUNDATION Fieldbus或Profibus）虽有冗余，但其通信周期通常在100ms量级，且存在报文重传、地址冲突、交换机缓存溢出等不确定延迟。而DEH对转速信号的采样周期要求≤20ms，对OPC（Overspeed Protection Control）逻辑的执行周期要求≤50ms。一旦网络抖动，数据就可能滞后一个周期，这对超速保护是致命的。

第二，软件平台风险叠加。DCS上同时运行着锅炉MFT、汽机ETS、电气同期等多个安全相关应用。任何一个应用的内存泄漏、组态错误或第三方驱动兼容问题，都可能引发整个控制器CPU占用率飙升，进而影响DEH逻辑扫描。我曾参与某600MW机组改造，原DCS厂家承诺“DEH模块可嵌入DCS控制器”，但试运行中发现，当锅炉吹灰程序启动时，DEH转速PID调节出现0.3%的周期性波动——这不是精度问题，而是CPU资源争抢导致的确定性延迟。

第三，故障域必须物理隔离。SIL3要求“共因失效”的概率极低。如果DEH与DCS共用同一电源模块、同一接地排、同一散热风扇，那么一次雷击浪涌、一次UPS切换失败或一次机柜风扇停转，就可能同时让两个系统瘫痪。而六大硬件的设计，本质是将不同安全等级的功能，分配到物理上完全独立的设备中：操作员站只负责人机交互（SIL0），主控制器承担核心控制（SIL3），I/O模件实现信号隔离（SIL2），伺服驱动单元则直接对接液压油路（SIL3执行端）。

提示：判断一个DEH系统是否真正满足SIL3，并非看它有没有“双机热备”标签，而是要查它的硬件故障模式分析报告（FMEA）和共因失效分析（CCFA）。这两份文件必须由第三方认证机构（如TÜV Rheinland）签发，且明确列出每块卡件的失效率、诊断覆盖率（DC）和安全失效分数（SFF）。没有这些，所谓“SIL3认证”只是营销话术。

2.2 信号流驱动架构：从传感器到油动机的“零信任”路径

DEH的六大硬件，本质上是一条高度定制化的信号流水线。它的设计哲学是“零信任”：任何一级设备都不假设下一级必然正确，必须通过物理隔离、电气隔离、时间戳校验、双通道比对等方式，层层设防。这条流水线的起点是转速传感器，终点是高压抗燃油（EH油）驱动的汽门油动机，中间每一步都对应一个硬件模块：

• 转速信号：通常由3个独立的磁阻式传感器（TSI系统提供）接入I/O模件。DEH主控制器不直接采样原始脉冲，而是接收I/O模件预处理后的“三取二”转速值（即3路信号中取2路一致的值），并持续监控各路偏差。若某路偏差＞5rpm，立即报警并标记该通道失效。

• 阀门位置反馈：采用双线性位移传感器（LVDT），两路信号分别接入不同I/O模件的独立通道。主控制器不仅比对两路读数，还计算其变化率——若一路突变而另一路平滑，说明前者可能受电磁干扰，自动屏蔽该路。

• 伺服阀指令输出：主控制器生成的4-20mA电流指令，不直接驱动伺服阀。它先送至伺服阀驱动单元，该单元内置H桥功率放大电路和电流闭环反馈回路。驱动单元实时检测输出电流，并将实测值回传给主控制器。若指令与实测值偏差＞0.5mA，即判定为“指令丢失”，立即切至备用通道或触发跳闸。

这种设计带来的直接结果是：DEH的I/O模件绝不是普通DCS卡件的翻版。它必须具备：

• 每通道独立的24VDC隔离电源（非共地供电）；
• 通道间≥1500VAC的电气隔离强度；
• 内置硬件滤波器（截止频率可调，通常设为10Hz以滤除油动机振动噪声）；
• 支持“断线检测”和“短路检测”的主动诊断功能。

我曾帮某电厂排查一起“负荷波动”故障，最终发现是I/O模件一块AI卡的公共端子排松动，导致4路压力信号共地异常。虽然DCS历史趋势看不出明显异常，但DEH主控制器的日志里，连续3天记录了“通道X-Y偏差超限”告警。这恰恰印证了硬件分离的价值：DCS只管“显示”，DEH必须“诊断”。

2.3 实时性保障机制：毫秒级响应背后的“三重时钟”

DEH对实时性的苛刻要求，决定了其硬件必须内置专用时钟体系。这不是操作系统的时间戳，而是由硬件晶振驱动的三级时钟链：

1. 主控制器系统时钟（System Clock）：由高稳定性温补晶振（TCXO）提供，精度±0.5ppm，用于调度所有控制任务。其周期被严格锁定为10ms（不可更改），所有PID运算、逻辑判断、通讯扫描均在此周期内完成。

2. I/O模件本地时钟（Local Clock）：每块I/O模件自带独立晶振，用于对模拟量进行同步采样。例如，一块8通道AI卡，其8路输入并非分时复用ADC，而是8个独立ADC芯片，在同一时刻（由本地时钟边沿触发）完成采样。这避免了因通道切换引入的相位差——对转速测量至关重要，因为汽轮机转子每转一圈，3个传感器产生的脉冲序列必须严格对齐。

3. 伺服驱动单元事件时钟（Event Clock）：当主控制器发出跳闸指令时，该指令不经过任何软件队列，而是通过专用硬接线（如“OPC Trip”干接点）直连伺服驱动单元。驱动单元内部的FPGA芯片在检测到该电平跳变的瞬间（纳秒级），立即切断伺服阀电流，整个过程耗时＜15ms。这个时间，与主控制器的10ms扫描周期无关，是真正的“硬接线跳闸”。

这三重时钟的存在，解释了为什么DEH主控制器的CPU负载率常年维持在30%以下——它不做通用计算，只做确定性任务；也解释了为什么DEH的“历史数据”采样间隔最细只能到100ms（由系统时钟决定），而DCS可以做到1s甚至更细——DEH的存储不是为了“看趋势”，而是为了“做追溯”，其数据库结构专为快速定位跳闸前500ms内的所有变量变化而优化。

3. 六大硬件模块深度解析与实操要点

3.1 操作员站：不只是“看画面”，更是人机协同的决策界面

操作员站（OS）是DEH与运行人员的唯一交互窗口，但它绝非简单的“显示器+鼠标”。一台合格的操作员站，需满足三个硬性条件：独立供电、专用网络、无后台服务。

• 独立供电：必须由UPS单独供电，且与DCS操作员站的UPS回路物理隔离。我见过最典型的教训是某厂将DEH与DCS共用一路UPS，一次UPS电池老化导致切换时间长达80ms，DEH操作员站黑屏2秒。虽然DEH主控制器仍在运行，但运行人员无法确认当前阀门开度，被迫手动打闸停机。

• 专用网络：DEH操作员站必须连接DEH专用网（通常为100Mbps工业以太网），严禁接入电厂信息网（MIS）或DCS骨干网。其网络交换机需关闭SNMP、Telnet等非必要服务，仅开放OPC UA或Modbus TCP协议端口。某次安全审计中，我们发现一台DEH操作员站安装了微信客户端，其自动更新机制在后台建立了多个外网连接，虽未造成事故，但已严重违反《电力监控系统安全防护规定》。

• 无后台服务：操作系统必须精简。Windows平台需禁用Windows Update、Defender实时扫描、OneDrive同步等所有非DEH必需服务。我们推荐使用Windows 10 LTSC版本，其生命周期长达10年，且默认关闭所有消费者功能。实测表明，启用Windows Defender后，DEH画面刷新延迟从8ms增至25ms，对需要频繁调整阀门开度的AGC（自动发电控制）运行模式极为不利。

在画面设计上，DEH操作员站遵循“黄金三屏”原则：

• 左屏：实时趋势，固定显示转速、主汽压、调节级压力、EH油压、各调门开度，采样间隔100ms，历史长度≥72小时；
• 中屏：主控制画面，包含启动曲线、目标转速/负荷设定区、阀门管理矩阵（Valve Management Matrix）、OPC/AST状态指示；
• 右屏：报警总览，按优先级排序，红色为跳闸级报警（如“转速＞110%额定”），黄色为警告级（如“EH油温＞60℃”），绿色为提示级（如“暖机时间到”）。

注意：所有画面中的数值显示，必须带单位、小数位数和量程标识。例如转速显示为“3000.0 rpm（0~3300）”，而非“3000”。这是防止运行人员误读的关键细节。我曾处理过一起误操作：运行人员将“3000”理解为“3000r/min”，实际画面量程是“0~3300Hz”，导致设定值错误，机组在2900Hz时即触发超速保护。

3.2 工程师站：组态的“手术刀”，不是配置的“复印机”

工程师站（ES）是DEH系统的“大脑开发环境”，其核心价值在于可追溯、可验证、可回滚。它不是用来“改个参数就走”的临时工具，而是承载着整个机组控制逻辑的数字孪生体。

首先，工程师站必须与主控制器物理隔离。组态下载时，需断开其与DEH控制网的连接，通过专用编程电缆（如RS232或USB转串口）直连主控制器的调试口。这是为了杜绝“在线组态”风险——DCS常见的“在线下装”在DEH中是绝对禁止的，因为任何组态变更都可能触发控制器重启或逻辑重载，导致控制中断。

其次，组态文件必须实施三级版本管理：

• Level 1：基础库文件（.lib），包含所有标准化功能块（如PID、Ramp、Selector），由系统厂商提供，电厂不得修改；
• Level 2：工程库文件（.prj），包含本机组特有的控制策略（如高中压缸联合启动逻辑）、报警定义、趋势组态，由调试单位创建，经电厂审核后固化；
• Level 3：现场修改文件（.chg），仅记录每次现场变更的差异（diff），如“2023-05-12 修改#1高调门LVDT零点偏移量，由0.25V改为0.28V”），必须附带修改原因、审批签字和测试报告。

我坚持一个实操铁律：任何组态修改，必须先在工程师站仿真环境中完整测试，再导出“.sim”仿真文件，交由运行人员在离线仿真机上操作验证，最后才允许下载至在线系统。某次修改“阀位限制逻辑”，我们仿真发现新逻辑在50%负荷突增时会导致#2中调门开度震荡，及时修正，避免了实机试验中的阀门剧烈抖动。

最后，工程师站的备份策略必须是“三地四份”：

• 本地硬盘一份（每日自动备份）；
• 外置加密U盘一份（锁在集控室保险柜）；
• 厂级服务器一份（通过单向光闸导入，仅允许读取）；
• 厂家云端一份（仅限固件升级包，不含组态源码）。

3.3 主控制器：DEH的“心脏”，冗余不是目的，是手段

DEH主控制器（MC）是整个系统的核心计算单元，其设计目标只有一个：在任何单点故障下，控制不中断、逻辑不紊乱、输出不跳变。因此，“双机热备”只是表象，其底层是“三模冗余表决”（TMR）与“无缝切换”的结合。

主流DEH主控制器（如西门子TXP、艾默生DeltaV SIS、国电智深EDPF-NT）均采用“主-副-监视”三CPU架构：

• 主CPU：执行全部控制逻辑，输出指令；
• 副CPU：同步执行相同逻辑，但输出被硬件锁存，仅用于比对；
• 监视CPU：不参与控制，只做“健康检查”——它持续比对主、副CPU的指令输出、内部寄存器状态、内存校验码。一旦发现两者偏差，立即触发切换。

切换过程是毫秒级的：当监视CPU判定主CPU失效，它在下一个10ms周期开始前，就已将副CPU的输出使能信号置位，整个过程无扰动。关键在于，切换不是“接管”，而是“继承”。副CPU的内存镜像与主CPU完全一致，包括所有PID的积分项、Ramp的发生器状态、延时定时器的剩余时间。这保证了切换后，阀门开度、转速设定值等所有过程变量保持连续。

实操中，主控制器的维护要点有三：

1. 温度监控：控制器机架必须配备独立温度传感器，报警阈值设为55℃。我曾发现某机柜空调滤网堵塞，控制器表面温度达62℃，导致内部晶振漂移，转速采样误差增大至±3rpm。
2. 电池更换：主控制器的SRAM后备电池（通常为3V锂电）寿命为5年，到期必须更换。更换时需在控制器断电状态下操作，且新旧电池电压差不得超过0.1V，否则可能导致组态丢失。
3. 固件升级：必须使用厂商发布的“补丁包”（Patch），而非完整固件。补丁包经过严格回归测试，确保不改变原有逻辑行为。某厂曾自行编译固件，导致OPC逻辑中一个布尔变量的初始化顺序错误，在冷态启动时偶发误跳闸。

3.4 I/O模件：信号的“海关”，隔离与诊断是生命线

I/O模件是DEH系统的“神经末梢”，它直接面对现场恶劣环境：高温、高湿、强电磁干扰、油污腐蚀。因此，其选型与安装，远比DCS I/O严苛。

以最常用的AI模件（模拟量输入）为例，其关键参数必须满足：

• 通道隔离：每通道独立隔离，隔离电压≥1500VAC，隔离方式为变压器隔离（非光耦），因光耦在长期高温下易老化导致增益漂移；
• 输入类型：必须支持“两线制/四线制”可切换，因现场变送器型号混杂；
• 诊断功能：必须具备“断线检测”（Open Wire Detection）、“短路检测”（Short Circuit Detection）、“超量程检测”（Over Range Detection）三项硬件诊断，且诊断结果需实时上传至主控制器，而非仅点亮模件LED。

安装时，必须遵守“三隔离”原则：

• 空间隔离：AI模件与DO（数字量输出）模件必须分槽安装，中间至少隔开2个空槽位，防止DO驱动大电流时产生的磁场干扰AI采样；
• 接地隔离：AI模件的信号地（SG）与机柜保护地（PE）必须通过1MΩ电阻连接，而非直接短接。这是为了阻断地环路电流，我曾用示波器测得某厂AI通道存在120Hz的工频干扰，根源就是AI信号地与PE直连；
• 供电隔离：AI模件的24VDC工作电源，必须由专用DC-DC隔离电源模块提供，该模块输入取自DEH UPS，输出与输入间隔离耐压≥2500VAC。

对于DO模件（数字量输出），其核心是驱动能力与响应速度。DEH的DO不用于启停电机，而是驱动电磁阀（如AST、OPC电磁阀）。因此，DO模件必须：

• 单通道驱动电流≥500mA（电磁阀典型吸合电流为350mA）；
• 开关时间≤10ms（从指令发出到触点闭合）；
• 具备“反向电动势吸收”电路，防止电磁阀断电时产生的高压尖峰损坏模件。

实测技巧：用万用表二极管档测量DO通道输出端，正常应显示约0.7V（内部续流二极管压降）；若显示OL（开路），说明该通道已损坏。

3.5 伺服阀驱动单元：从电信号到液压动力的“翻译官”

伺服阀驱动单元（SVDU）是DEH系统中技术含量最高、也最容易被忽视的硬件。它位于主控制器与液压执行机构之间，承担着“电信号→电流→液压流量→阀门开度”的关键转换。

其核心部件是高精度电流源电路。主控制器输出的4-20mA指令，是一个“理想电流源”信号，但现场电缆存在分布电容与电阻，长距离传输（＞100米）会导致信号衰减与相位滞后。SVDU的作用，就是将这个“弱信号”放大为能驱动伺服阀线圈的“强电流”，同时实现闭环反馈。

SVDU的实操要点有三：

1. 电流精度：输出电流误差必须≤±0.1% F.S.（满量程）。测试方法：在SVDU输出端串联一个0.1Ω精密采样电阻，用六位半万用表测量其两端电压，换算电流值。我曾校准一台SVDU，发现其20mA点实测为19.92mA，偏差0.4%，超出允许范围，导致#1高调门在100%开度时实际只到98%。
2. 响应时间：从接收指令到输出电流达到90%目标值的时间，必须≤15ms。测试需用示波器捕捉指令信号（DI）与输出电流（通过采样电阻）的波形。若超时，常见原因是SVDU内部功率器件老化或散热不良。
3. 故障安全模式：SVDU必须具备“断指令保位”功能。当主控制器与SVDU的通讯中断时，SVDU应保持当前输出电流不变（而非归零），以维持阀门开度。这一功能由SVDU内部的“保持电容”和“掉电检测电路”实现。检查方法：在运行中拔掉SVDU的通讯线缆，观察阀门开度是否突变。

注意：SVDU的散热片必须定期清洁。某燃机电厂因SVDU散热片积灰，导致夏季环境温度35℃时，内部温度达85℃，电流源芯片进入热保护状态，输出电流周期性跌落，引发负荷波动。清洗后，温度降至65℃，问题消失。

3.6 液压执行机构：DEH的“肌肉”，油路清洁度决定系统寿命

液压执行机构（HEA）是DEH的最终执行单元，它将SVDU输出的电流，转化为推动汽门的机械力。其核心是伺服阀+油动机+LVDT反馈组成的闭环。

伺服阀是整个液压系统的“心脏瓣膜”，其精度与寿命，直接取决于EH油的清洁度。EH油（磷酸酯抗燃油）的NAS等级必须长期维持在≤6级（NAS 1638标准）。这意味着每毫升油中，尺寸≥5μm的颗粒数不能超过32000个。

实操中，油质管理是重中之重：

• 日常监测：每班次用便携式颗粒计数器检测EH油箱取样口油液，记录NAS等级；
• 滤油周期：在线再生滤油机必须24小时连续运行，滤芯更换周期按厂家规定（通常为3个月），不得延长；
• 检修规范：每次解体伺服阀，必须在百级洁净间内进行，所有零件用航空煤油清洗后，用洁净压缩空气吹干，严禁用棉布擦拭。

油动机的密封性是另一关键。其活塞杆密封采用“斯特封+格来圈”组合，设计寿命为5年。但实测中，若EH油中水分含量＞0.1%，密封件会在1年内硬化开裂。因此，EH油水分检测必须每周一次，超标立即投入真空滤油机脱水。

LVDT反馈装置的安装，必须保证“零位”准确。其零位定义为：当油动机活塞处于全关位置时，LVDT输出电压为0V（或4mA，依型号而定）。校准方法：用千分表测量活塞杆行程，同时用万用表监测LVDT输出，调整LVDT铁芯位置，直至全关点输出符合要求。此步骤必须在机组冷态、EH油温20~30℃时进行，温度变化会导致铁芯热胀冷缩，影响零位精度。

4. 核心环节实现：从冷态启动到满负荷运行的全流程解析

4.1 冷态启动：DEH如何“温柔”唤醒沉睡的汽轮机

冷态启动是DEH最复杂、风险最高的工况，其核心挑战是：在金属温差约束下，以最慢的升速率，实现最稳的转速控制。整个过程分为四个阶段，每个阶段DEH的控制策略截然不同。

阶段一：挂闸与冲转（0→600rpm）
挂闸（Tripping）是启动的第一步，即建立AST（Automatic Stop Trip）油压，使主汽门、调节汽门具备开启条件。DEH此时处于“挂闸待命”状态，不输出任何阀门指令。冲转指令由运行人员在操作员站点击“Start”按钮发出，DEH随即启动“转速升速率”（Ramp Rate）功能块，设定初始升速率0.5rpm/s。此时，DEH只控制#1高调门，其他阀门全关。关键参数是“临界转速避开逻辑”：当转速接近一阶临界转速（如1800rpm）时，DEH自动将升速率提升至3rpm/s，快速通过共振区，避免叶片振动过大。此逻辑的触发点，必须根据机组实测的Bode图设定，而非照搬设计值。

阶段二：中速暖机（600→2000rpm）
转速达600rpm后，DEH切换至“转速PID控制”，目标值设为2000rpm。此时，#1、#2高调门参与调节，开度按“阀门管理矩阵”分配。重点监控“高压缸上下缸温差”，若温差＞42℃，DEH自动暂停升速，维持当前转速，直至温差回落。此功能依赖于I/O模件采集的12个缸壁温度测点，DEH主控制器每10ms计算一次最大温差，并与设定值比较。

阶段三：高速暖机（2000→2900rpm）
此阶段目标是使转子中心孔温度均匀上升。DEH启用“目标转速保持”功能，将转速稳定在2900rpm，持续时间由“转子应力计算模型”动态给出。该模型基于转子材料特性、当前金属温度、升速率，实时计算残余应力，当应力＜允许值时，才允许升至3000rpm。模型参数（如弹性模量、热膨胀系数）必须由制造厂提供，并在工程师站中精确录入。

阶段四：定速与并网（2900→3000rpm）
转速达2900rpm后，DEH启动“同步器”功能，微调转速至3000.0rpm±0.1rpm，精度要求极高。此时，运行人员操作同期装置，当DEH显示的“发电机频率”与“电网频率”相位差＜5°、幅值差＜0.05Hz时，同期装置发出合闸指令。并网瞬间，DEH立即从“转速控制”切换至“负荷控制”，目标负荷设为5MW，升负荷率设为3MW/min。

实操心得：冷态启动中最易被忽视的是“轴承振动监控”。DEH操作员站必须开启“瓦振趋势”画面，设置报警值为50μm（峰峰值）。我曾处理过一起故障：机组在2000rpm暖机时，#3轴承振动缓慢爬升至48μm，运行人员未重视，升至2900rpm时振动突增至120μm，紧急打闸。事后检查发现，是#3轴承润滑油温调节阀卡涩，导致油温过高，油膜刚度下降。这提醒我们：DEH不仅是“调速器”，更是“健康监护仪”，所有关联参数必须纳入监控视野。

4.2 并网带负荷：DEH如何精准“踩油门”

并网后，DEH的核心任务是“按需供能”，即根据电网调度指令（AGC）或运行人员设定，精确控制机组负荷。其控制策略分为三层：

第一层：主控回路（Master Loop）
接收外部负荷指令（如AGC的MW设定值），输出“目标负荷”信号。此信号经过“负荷变化率限制器”（Rate Limiter），防止负荷突变对锅炉造成冲击。例如，设定升负荷率为5MW/min，则目标负荷每10ms增加0.000833MW。

第二层：负荷PID回路（Load PID）
以目标负荷为设定值，以发电机有功功率（由电气侧PT/CT提供）为反馈，进行闭环调节。其输出为“阀门开度总指令”，范围0~100%。

第三层：阀门管理回路（Valve Management）
将总指令分配给各个汽门。DEH采用“顺序阀控制”（Sequential Valve Control）策略：先全开#1高调门，再开#2，依此类推，以减少节流损失，提高热效率。当所有高调门全开后，再开启中压调门。此策略的切换点（如“#1高调门开度＞95%”）必须在工程师站中精确设定，并在每次大修后重新标定。

关键实操点是“负荷指令跟踪”。当机组处于“协调控制”（CCS）模式时，DEH必须实时跟踪锅炉主控输出的“燃料量指令”，确保机炉匹配。若DEH负荷指令与锅炉燃料指令偏差＞5%，DEH自动发出“机炉不匹配”报警，并限制负荷变化率。此功能通过DEH与DCS之间的专用硬接线（非网络通讯）实现，确保可靠性。

4.3 甩负荷与紧急停机：DEH的“终极防线”

甩负荷（Load Rejection）是DEH最考验性能的工况，指机组在满负荷运行时，因电网故障导致发电机出口开关跳开，机组瞬间失去全部负荷。此时，DEH必须在100ms内将转速控制在110%额定转速（3300rpm）以下，否则触发机械超速保护。

DEH的甩负荷响应分为三步：

1. 检测：通过发电机出口开关辅助接点（硬接线）和有功功率突降（＞90%额定值）双重判据，确认甩负荷发生；
2. 快关：立即发出“快关指令”，将所有高调门、中调门在0.3秒内关闭至5%开度，切断蒸汽通流；
3. 转速调节：切换至“转速PID控制”，目标值设为3000rpm，比例带（P）设为极小值（如2%），积分时间（I）设为极短（如0.5s），以获得最强调节作用。

实测中，甩负荷试验是检验DEH性能的“试金石”。标准流程是：机组带100%负荷稳定运行，人为跳开发电机出口开关，用高速摄像机记录转速飞升曲线。合格标准是：转速峰值≤3270rpm，且在10秒内稳定在3000rpm。

注意：甩负荷试验前，必须确认OPC（Overspeed Protection Control）功能已退出。OPC是电子超速保护，动作值为103%额定转速（3090rpm），其作用是“预防性快关”，在甩负荷初期即动作，防止转速飞升。而甩负荷试验要测试的是DEH在OPC动作后的“转速恢复能力”，因此必须暂时屏蔽OPC，仅依靠DEH自身调节。

4.4 日常运行与维护：让DEH“老当益壮”的七个习惯

DEH系统设计寿命为20年，但能否用满，取决于日常维护质量。我总结出七个必须养成的习惯：

1. 每日“三查”：查操作员站报警总览（有无新增报警）、查EH油压（正常范围12.5~14MPa）、查主控制器CPU负载率（应＜40%）；
2. 每周“一测”：用校验仪测试1个关键AI通道（如转速信号），记录零点、量程、线性度误差；
3. 每月“一清”：清洁主控制器、I/O模件、SVDU的散热片与风扇滤网；
4. 每季“一校”：校准所有LVDT反馈装置的零位与满度，使用千分表与万用表联合校验；
5. 每年“一检”：委托专业机构对伺服阀进行静态特性测试（流量-电流特性、滞环、分辨率）；
6. 大修“必做”：解体检查所有汽门油动机的密封件，更换已到寿命周期的LVDT电缆（标准寿命5年）；
7. 永久“备份”：每次组态修改、固件升级、参数调整，必须生成带时间戳的备份文件，并注明修改人、原因、审批单号。

最后一个习惯，也是最重要的：永远相信硬件，怀疑软件。当DEH出现异常时，我的第一反应不是查组态逻辑，而是用万用表量测I/O模件的输入电压、SVDU的输出电流、伺服阀线圈的电阻。90%以上的“疑难杂症”，根源都在硬件信号链上。逻辑再完美，信号失真了，一切归零。

5. 常见问题与排查技巧实录

5.1 转速波动：是传感器问题，还是控制逻辑缺陷？

现象：机组在3000rpm定速运行