9防止分散控制系统控制、保护失灵事故
9.1分散控制系统(DCS)配置的基本要求
9.1.1分散控制系统配置应能满足机组任何工况下的监控要求（包括紧急故障处理），控制站及人机接口站的中央处理器(CPU)负荷率、系统网络负荷率、分散控制系统与其他相关系统的通信负荷率、控制处理器周期、系统响应时间、事件顺序记录(SOE)分辨率、抗干扰性能、控制电源质量、全球定位系统(GPS)时钟等指标应满足相关标准的要求。
9.1.2分散控制系统的控制器、系统电源、为I/O模件供电的直流电源、通信网络等均应采用完全独立的冗余配置，且具备无扰切换功能；采用B/S、C/S结构的分散控制系统的服务器应采用冗余配置，服务器或其供电电源在切换时应具备无扰切换功能。
9.1.3分散控制系统控制器应严格遵循机组重要功能分开的独立性配置原则，各控制功能应遵循任一组控制器或其他部件故障对机组影响最小的原则。
9.1.4重要参数测点、参与机组或设备保护的测点应冗余配置，冗余I/O测点应分配在不同模件上。
9.1.5按照单元机组配置的重要设备（如循环水泵、空冷系统的辅机）应纳入各自单元控制网，避免由于公用系统中设备事故扩大为两台或全厂机组的重大事故。
9.1.6分散控制系统电源应设计有可靠的后备手段，电源的切换时间应保证控制器不被初始化；操作员站如无双路电源切换装置，则
必须将两路供电电源分别连接于不同的操作员站；系统电源故障应设置最高级别的报警；严禁非分散控制系统用电设备接到分散控制系统的电源装置上；公用分散控制系统电源，应分别取自不同机组的不间断电源系统，且具备无扰切换功能。分散控制系统电源的各级电源开关容量和熔断器熔丝应匹配，防止故障越级。
9.1.7分散控制系统接地必须严格遵守相关技术要求，接地电阻满足标准要求；所有进入分散控制系统的控制信号电缆必须采用质量合格的屏蔽电缆，且可靠单端接地；分散控制系统与电气系统共用一个接地网时，分散控制系统接地线与电气接地网只允许有一个连接点。
9.1.8机组应配备必要的、可靠的、独立于分散控制系统的硬手操设备（如紧急停机停炉按钮），以确保安全停机停炉。
9.1.9分散控制系统与管理信息大区之间必须设置经国家指定部门检测认证的电力专用横向单向安全隔离装置。分散控制系统与其他生产大区之间应当采用具有访问控制功能的设备、防火墙或者相当功能的设施，实现逻辑隔离。分散控制系统与广域网的纵向交接处应当设置经过国家指定部门检测认证的电力专用纵向加密认证装置或者加密认证网关及相应设施。分散控制系统禁止采用安全风险高的通用网络服务功能。分散控制系统的重要业务系统应当采用认证加密机制。
9.1.10分散控制系统电子间环境满足相关标准要求，不应有380V 及以上动力电缆及产生较大电磁干扰的设备。机组运行时，禁
止在电子间使用无线通信工具。
9.1.11远程控制柜与主系统的两路通信电（光）缆要分层敷设。
9.1.12对于多台机组分散控制系统网络互联的情况，以及当公用分散控制系统的网络独立配置并与两台单元机组的分散控制系统进行通信时，应采取可靠隔离措施、防止交叉操作。
9.1.13交、直流电源开关和接线端子应分开布置，直流电源开关和接线端子应有明显的标示。
9.2防止水电厂（站）计算机监控系统事故
9.2.1监控系统配置基本要求。
9.2.1.1监控系统的主要设备应采用冗余配置，服务器的存储容量和中央处理器负荷率、系统响应时间、事件顺序记录分辨率、抗于扰性能等指标应满足要求。
9.2.1.2并网机组投入运行时，相关电力专用通信配套设施应同时投入运行。
9.2.1.3监控系统网络建设应满足电气二次系统安全防护基本原则要求。
9.2.1.4严格遵循机组重要功能相对独立的原则，即监控系统上位机网络故障不应影响现地控制单元功能，监控系统控制系统故障不应影响单机油系统、调速系统、励磁系统等功能，各控制功能应遵循任一组控制器或其他部件故障对机组影响最小，继电保护独立于监控系统的原则。
9.2.1.5监控系统上位机应采用专用的、冗余配置的不间断电源
供电，不应与其他设备合用电源，且应具备无扰自动切换功能。交流供电电源应采用两路独立电源供电。
9.2.1.6现地控制单元及其自动化设备应采用冗余配置的不间断电源或站内直流电源供电。具备双电源模块的装置，两个电源模块应由不同电源供电且应具备无扰自动切换功能。
9.2.1.7监控系统相关设备应加装防雷（强）电击装置，相关机柜及柜间电缆屏蔽层应通过等电位网可靠接地。
9.2.1.8监控系统及其测控单元、变送器等自动化设备（子站）必须是通过具有国家级检测资质的质检机构检验合格的产品。
9.2.1.9监控设备通信模块应冗余配置，优先采用国内专用装置，采用专用操作系统；支持调控一体化的厂站间隔层应具备双通道组成的双网，至调度主站（含主调和备调）应具有两路不同路由的通信通道（主／备双通道）。
9.2.1.10水电厂基（改、扩）建工程中监控设备的设计、选型应符合自动化专业有关规程规定。现场监控设备的接口和传输规约必须满足调度自动化主站系统的要求。
9.2.1.11自动发电控制(AGC)和自动电压控制(AVC)子站应具有可靠的技术措施，对调度自动化主站下发的自动发电控制指令和自动电压控制指令进行安全校核，确保发电运行安全。
9.2.1.12监控机房应配备专用空调、环境条件应满足有关规定要求。
9.2．2防止监控系统误操作措施
9.2.2.1严格执行操作票、工作票制度，使两票制度标准化，管理规范化。
9.2.2.2严格执行操作指令。当操作发生疑问时，应立即停止工作，并向发令人汇报，待发令人再行许可，确认无误后，方可进行操作。
9.2.2.3计算机监控系统控制流程应具备闭锁功能，远方、就地操作均应具备防止误操作闭锁功能。
9.2.2.4非监控系统工作人员未经批准，不得进入机房进行工作（运行人员巡回检查除外）。
9.2.3防止网络瘫痪要求
9.2.3.1计算机监控系统的网络设计和改造计划应与技术发展相适应，充分满足各类业务应用需求，强化监控系统网络薄弱环节的改造力度，力求网络结构合理、运行灵活、坚强可靠和协调发展。同时，设备选型应与现有网络使用的设备类型一致，保持网络完整性。
9.2.3.2电站监控系统与上级调度机构、集控中心（站）之间应具右两个及以上独立通信路由。
9.2.3.3通信光缆或电缆应采用不同路径的电缆沟（竖井）进入监控机房和主控室；避免与一次动力电缆同沟（架）布放，并完善防火阻燃和阻火分隔等安全措施，绑扎醒目的识别标志；如不具备条件，应采取电缆沟（竖井）内部分隔离等措施进行有效隔离。
9.2.3.4监控设备（含电源设备）的防雷和过电压防护能力应满足电力系统通信站防雷和过电压防护要求。
9.2.3.5在基建或技改工程中，若改变原有监控系统的网络结构、设备配置、技术参数时，工程建设单位应委托设计单位对监控系统进行设计，深度应达到初步设计要求，并按照基建和技改工程建设程序开展相关工作。
9.2.3.6监控网络设备应采用独立的自动空气开关供电，禁止多台设备共用一个分路开关。各级开关保护范围应逐级配合，避免出现分路开关与总开关同时跳开，导致故障范围扩大的情况发生。
9.2.3.7实时监视及控制所辖范围内的监控网络的运行情况，及时发现并处理网络故障。
9.2.3.8机房内温度、湿度应满足设计要求。
9.2.4监控系统管理要求
9.2.4.1建立健全各项管理办法和规章制度，必须制定和完善监控系统运行管理规程、监控系统运行管理考核办法、机房安全管理制度、系统运行值班与交接班制度、系统运行维护制度、运行与维护岗位职责和工作标准等。
9.2.4.2建立完善的密码权限使用和管理制度。
9.2.4.3制订监控系统应急预案和故障恢复措施，落实数据备份、病毒防范和安全防护工作。
9.2.4.4定期对调度范围内厂站远动信息进行测试。遥信传动试验应具有传动试验记录，遥测精度应满足相关规定要求。
9.2.4.5规范监控系统软件和应用软件的管理，软件的修改、更新、升级必须履行审批授权及责任人制度。在修改、更新、升级软件
前，应对软件进行备份。未经监控系统厂家测试确认的任何软件严禁在监控系统中使用，必须建立有针对性的监控系统防病毒、防黑客攻击措施。
9.2.4.6定期对监控设备的滤网、防尘罩进行清洗，做好设备防尘、防虫工作。
9.3分散控制系统故障的紧急处理措施
9.3.1已配备分散控制系统的电厂，应根据机组的具体情况，建立分散控制系统故障时的应急处理机制，制订在各种情况下切实可操作的分散控制系统故障应急处理预案，并定期进行反事故演习。
9.3.2当全部操作员站出现故障时（所有上位机“黑屏”或“死机”），若主要后备硬手操及监视仪表可用且暂时能够维持机组正常运行，则转用后备操作方式运行，同时排除故障并恢复操作员站运行方式，否则应立即执行停机、停炉预案。若无可靠的后备操作监视手段，应执行停机、停炉预案。
9.3.3当部分操作员站出现故障时，应由可用操作员站继续承担机组监控任务，停止重大操作，同时迅速排除故障，若故障无法排除，则应根据具体情况启动相应应急预案。
9.3.4当系统中的控制器或相应电源故障时，应采取以下对策：
9.3.4.1辅机控制器或相应电源故障时，可切至后备手动方式运行并迅速处理系统故障，若条件不允许则应将该辅机退出运行。
9.3.4.2调节回路控制器或相应电源故障时，应将执行器切至就地或本机运行方式，保持机组运行稳定，根据处理情况采取相应措施，
同时应立即更换或修复控制器模件。
9.3.4.3涉及机炉保护的控制器故障时应立即更换或修复控制器模件，涉及机炉保护电源故障时则应采用强送措施，此时应做好防止控制器初始化的措施。若恢复失败则应紧急停机停炉。
9.3.5冗余控制器（包括电源）故障和故障后复位时，应采取必要措施，确认保护和控制信号的输出处于安全位置。
9.3.6加强对分散控制系统的监视检查，当发现中央处理器、网络、电源等故障时，应及时通知运行人员并启动相应应急预案。
9.3.7规范分散控制系统软件和应用软件的管理，软件的修改、更新、升级必须履行审批授权及责任人制度。在修改、更新、升级软件前，应对软件进行备份。拟安装到分散控制系统中使用的软件必须严格履行测试和审批程序，必须建立有针对性的分散控制系统防病毒措施。
9.3.8加强分散控制系统网络通信管理，运行期间严禁在控制器、人机接口网络上进行不符合相关规定许可的较大数据包的存取，防止通信阻塞。
9.4防止热工保护失灵
9.4.1除特殊要求的设备外（如紧急停机电磁阀控制），其他所有设备都应采用脉冲信号控制，防止分散控制系统失电导致停机停炉时，引起该类设备误停运，造成重要主设备或辅机的损坏。
9.4.2涉及机组安全的重要设备应有独立于分散控制系统的硬接线操作回路。汽轮机润滑油压力低信号应直接送入事故润滑油泵电气
启动回路，确保在没有分散控制系统控制的情况下能够自动启动，保证汽轮机的安全。
9.4.3所有重要的主、辅机保护都应采用“三取二”的逻辑判断方式，保护信号应遵循从取样点到输入模件全程相对独立的原则，确因系统原因测点数量不够，应有防保护误动措施。
9.4.4热工保护系统输出的指令应优先于其他任何指令。机组应设计硬接线跳闸回路，分散控制系统的控制器发出的机、炉跳闸信号应冗余配置。机、炉主保护回路中不应设置供运行人员切（投）保护的任何操作手段。
9.4.5独立配置的锅炉灭火保护装置应符合技术规范要求，并配置可靠的电源。系统涉及的炉膛压力取样装置、压力开关、传感器、火焰检测器及冷却风系统等设备应符合相关规程的规定。
9.4.6定期进行保护定值的核实检查和保护的动作试验，在役的锅炉炉膛安全监视保护装置的动态试验（指在静态试验合格的基础上，通过调整锅炉运行工况，达到MFT 动作的现场整套炉膛安全监视保护系统的闭环试验）间隔不得超过3年。
9.4.7汽轮机紧急跳闸系统和汽轮机监视仪表应加强定期巡视检查，所配电源应可靠，电压波动值不得大于±5%，且不应含有高次谐波。汽轮机监视仪表的中央处理器及重要跳机保护信号和通道必须冗余配置，输出继电器必须可靠。
9.4.8汽轮机紧急跳闸系统跳机继电器应设计为失电动作，硬手操设备本身要有防止误操作、动作不可靠的措施。手动停机保护应具
有独立于分散控制系统(或可编程逻辑控制器PLC) 装置的硬跳闸控制回路，配置有双通道四跳闸线圈汽轮机紧急跳闸系统的机组，应定期进行汽轮机紧急跳闸系统在线试验。
9.4.9重要控制回路的执行机构应具有三断保护（断汽、断电、断信号）功能，特别重要的执行机构，还应设有可靠的机械闭锁措施。
9.4.10主机及主要辅机保护逻辑设计合理，符合工艺及控制要求，逻辑执行时序、相关保护的配合时间配置合理，防止由于取样延迟等时间参数设置不当而导致的保护失灵。
9.4.11重要控制、保护信号根据所处位置和环境，信号的取样装置应有防堵、防震、防漏、防冻、防雨、防抖动的等措施。触发机组跳闸的保护信号的开关量仪表和变送器应单独设置，当确有困难而需与其他系统合用时，其信号应首先进入保护系统。
9.4.12若发生热工保护装置（系统、包括一次检测设备）故障，应开具工作票，经批准后方可处理。锅炉炉膛压力、全炉膛灭火、汽包水位（直流炉断水）和汽轮机超速、轴向位移、机组振动、低油压等重要保护装置在机组运行中严禁退出，当其故障被迫退出运行时，应制定可靠的安全措施，并在8h 内恢复；其他保护装置被迫退出运行时，应在24h 内恢复。
9.4.13检修机组启动前或机组停运15天以上，应对机、炉主保护及其他重要热工保护装置进行静态模拟试验，检查跳闸逻辑、报警及保护定值。热工保护连锁试验中，尽量采用物理方法进行实际传动，如条件不具备，可在现场信号源处模拟试验，但禁止在控制柜内通过
开路或短路输入端子的方法进行试验。
9防止分散控制系统控制、保护失灵事故
9.1分散控制系统(DCS)配置的基本要求
9.1.1分散控制系统配置应能满足机组任何工况下的监控要求（包括紧急故障处理），控制站及人机接口站的中央处理器(CPU)负荷率、系统网络负荷率、分散控制系统与其他相关系统的通信负荷率、控制处理器周期、系统响应时间、事件顺序记录(SOE)分辨率、抗干扰性能、控制电源质量、全球定位系统(GPS)时钟等指标应满足相关标准的要求。
9.1.2分散控制系统的控制器、系统电源、为I/O模件供电的直流电源、通信网络等均应采用完全独立的冗余配置，且具备无扰切换功能；采用B/S、C/S结构的分散控制系统的服务器应采用冗余配置，服务器或其供电电源在切换时应具备无扰切换功能。
9.1.3分散控制系统控制器应严格遵循机组重要功能分开的独立性配置原则，各控制功能应遵循任一组控制器或其他部件故障对机组影响最小的原则。
9.1.4重要参数测点、参与机组或设备保护的测点应冗余配置，冗余I/O测点应分配在不同模件上。
9.1.5按照单元机组配置的重要设备（如循环水泵、空冷系统的辅机）应纳入各自单元控制网，避免由于公用系统中设备事故扩大为两台或全厂机组的重大事故。
9.1.6分散控制系统电源应设计有可靠的后备手段，电源的切换时间应保证控制器不被初始化；操作员站如无双路电源切换装置，则
必须将两路供电电源分别连接于不同的操作员站；系统电源故障应设置最高级别的报警；严禁非分散控制系统用电设备接到分散控制系统的电源装置上；公用分散控制系统电源，应分别取自不同机组的不间断电源系统，且具备无扰切换功能。分散控制系统电源的各级电源开关容量和熔断器熔丝应匹配，防止故障越级。
9.1.7分散控制系统接地必须严格遵守相关技术要求，接地电阻满足标准要求；所有进入分散控制系统的控制信号电缆必须采用质量合格的屏蔽电缆，且可靠单端接地；分散控制系统与电气系统共用一个接地网时，分散控制系统接地线与电气接地网只允许有一个连接点。
9.1.8机组应配备必要的、可靠的、独立于分散控制系统的硬手操设备（如紧急停机停炉按钮），以确保安全停机停炉。
9.1.9分散控制系统与管理信息大区之间必须设置经国家指定部门检测认证的电力专用横向单向安全隔离装置。分散控制系统与其他生产大区之间应当采用具有访问控制功能的设备、防火墙或者相当功能的设施，实现逻辑隔离。分散控制系统与广域网的纵向交接处应当设置经过国家指定部门检测认证的电力专用纵向加密认证装置或者加密认证网关及相应设施。分散控制系统禁止采用安全风险高的通用网络服务功能。分散控制系统的重要业务系统应当采用认证加密机制。
9.1.10分散控制系统电子间环境满足相关标准要求，不应有380V 及以上动力电缆及产生较大电磁干扰的设备。机组运行时，禁
止在电子间使用无线通信工具。
9.1.11远程控制柜与主系统的两路通信电（光）缆要分层敷设。
9.1.12对于多台机组分散控制系统网络互联的情况，以及当公用分散控制系统的网络独立配置并与两台单元机组的分散控制系统进行通信时，应采取可靠隔离措施、防止交叉操作。
9.1.13交、直流电源开关和接线端子应分开布置，直流电源开关和接线端子应有明显的标示。
9.2防止水电厂（站）计算机监控系统事故
9.2.1监控系统配置基本要求。
9.2.1.1监控系统的主要设备应采用冗余配置，服务器的存储容量和中央处理器负荷率、系统响应时间、事件顺序记录分辨率、抗于扰性能等指标应满足要求。
9.2.1.2并网机组投入运行时，相关电力专用通信配套设施应同时投入运行。
9.2.1.3监控系统网络建设应满足电气二次系统安全防护基本原则要求。
9.2.1.4严格遵循机组重要功能相对独立的原则，即监控系统上位机网络故障不应影响现地控制单元功能，监控系统控制系统故障不应影响单机油系统、调速系统、励磁系统等功能，各控制功能应遵循任一组控制器或其他部件故障对机组影响最小，继电保护独立于监控系统的原则。
9.2.1.5监控系统上位机应采用专用的、冗余配置的不间断电源
供电，不应与其他设备合用电源，且应具备无扰自动切换功能。交流供电电源应采用两路独立电源供电。
9.2.1.6现地控制单元及其自动化设备应采用冗余配置的不间断电源或站内直流电源供电。具备双电源模块的装置，两个电源模块应由不同电源供电且应具备无扰自动切换功能。
9.2.1.7监控系统相关设备应加装防雷（强）电击装置，相关机柜及柜间电缆屏蔽层应通过等电位网可靠接地。
9.2.1.8监控系统及其测控单元、变送器等自动化设备（子站）必须是通过具有国家级检测资质的质检机构检验合格的产品。
9.2.1.9监控设备通信模块应冗余配置，优先采用国内专用装置，采用专用操作系统；支持调控一体化的厂站间隔层应具备双通道组成的双网，至调度主站（含主调和备调）应具有两路不同路由的通信通道（主／备双通道）。
9.2.1.10水电厂基（改、扩）建工程中监控设备的设计、选型应符合自动化专业有关规程规定。现场监控设备的接口和传输规约必须满足调度自动化主站系统的要求。
9.2.1.11自动发电控制(AGC)和自动电压控制(AVC)子站应具有可靠的技术措施，对调度自动化主站下发的自动发电控制指令和自动电压控制指令进行安全校核，确保发电运行安全。
9.2.1.12监控机房应配备专用空调、环境条件应满足有关规定要求。
9.2．2防止监控系统误操作措施
9.2.2.1严格执行操作票、工作票制度，使两票制度标准化，管理规范化。
9.2.2.2严格执行操作指令。当操作发生疑问时，应立即停止工作，并向发令人汇报，待发令人再行许可，确认无误后，方可进行操作。
9.2.2.3计算机监控系统控制流程应具备闭锁功能，远方、就地操作均应具备防止误操作闭锁功能。
9.2.2.4非监控系统工作人员未经批准，不得进入机房进行工作（运行人员巡回检查除外）。
9.2.3防止网络瘫痪要求
9.2.3.1计算机监控系统的网络设计和改造计划应与技术发展相适应，充分满足各类业务应用需求，强化监控系统网络薄弱环节的改造力度，力求网络结构合理、运行灵活、坚强可靠和协调发展。同时，设备选型应与现有网络使用的设备类型一致，保持网络完整性。
9.2.3.2电站监控系统与上级调度机构、集控中心（站）之间应具右两个及以上独立通信路由。
9.2.3.3通信光缆或电缆应采用不同路径的电缆沟（竖井）进入监控机房和主控室；避免与一次动力电缆同沟（架）布放，并完善防火阻燃和阻火分隔等安全措施，绑扎醒目的识别标志；如不具备条件，应采取电缆沟（竖井）内部分隔离等措施进行有效隔离。
9.2.3.4监控设备（含电源设备）的防雷和过电压防护能力应满足电力系统通信站防雷和过电压防护要求。
9.2.3.5在基建或技改工程中，若改变原有监控系统的网络结构、设备配置、技术参数时，工程建设单位应委托设计单位对监控系统进行设计，深度应达到初步设计要求，并按照基建和技改工程建设程序开展相关工作。
9.2.3.6监控网络设备应采用独立的自动空气开关供电，禁止多台设备共用一个分路开关。各级开关保护范围应逐级配合，避免出现分路开关与总开关同时跳开，导致故障范围扩大的情况发生。
9.2.3.7实时监视及控制所辖范围内的监控网络的运行情况，及时发现并处理网络故障。
9.2.3.8机房内温度、湿度应满足设计要求。
9.2.4监控系统管理要求
9.2.4.1建立健全各项管理办法和规章制度，必须制定和完善监控系统运行管理规程、监控系统运行管理考核办法、机房安全管理制度、系统运行值班与交接班制度、系统运行维护制度、运行与维护岗位职责和工作标准等。
9.2.4.2建立完善的密码权限使用和管理制度。
9.2.4.3制订监控系统应急预案和故障恢复措施，落实数据备份、病毒防范和安全防护工作。
9.2.4.4定期对调度范围内厂站远动信息进行测试。遥信传动试验应具有传动试验记录，遥测精度应满足相关规定要求。
9.2.4.5规范监控系统软件和应用软件的管理，软件的修改、更新、升级必须履行审批授权及责任人制度。在修改、更新、升级软件
前，应对软件进行备份。未经监控系统厂家测试确认的任何软件严禁在监控系统中使用，必须建立有针对性的监控系统防病毒、防黑客攻击措施。
9.2.4.6定期对监控设备的滤网、防尘罩进行清洗，做好设备防尘、防虫工作。
9.3分散控制系统故障的紧急处理措施
9.3.1已配备分散控制系统的电厂，应根据机组的具体情况，建立分散控制系统故障时的应急处理机制，制订在各种情况下切实可操作的分散控制系统故障应急处理预案，并定期进行反事故演习。
9.3.2当全部操作员站出现故障时（所有上位机“黑屏”或“死机”），若主要后备硬手操及监视仪表可用且暂时能够维持机组正常运行，则转用后备操作方式运行，同时排除故障并恢复操作员站运行方式，否则应立即执行停机、停炉预案。若无可靠的后备操作监视手段，应执行停机、停炉预案。
9.3.3当部分操作员站出现故障时，应由可用操作员站继续承担机组监控任务，停止重大操作，同时迅速排除故障，若故障无法排除，则应根据具体情况启动相应应急预案。
9.3.4当系统中的控制器或相应电源故障时，应采取以下对策：
9.3.4.1辅机控制器或相应电源故障时，可切至后备手动方式运行并迅速处理系统故障，若条件不允许则应将该辅机退出运行。
9.3.4.2调节回路控制器或相应电源故障时，应将执行器切至就地或本机运行方式，保持机组运行稳定，根据处理情况采取相应措施，
同时应立即更换或修复控制器模件。
9.3.4.3涉及机炉保护的控制器故障时应立即更换或修复控制器模件，涉及机炉保护电源故障时则应采用强送措施，此时应做好防止控制器初始化的措施。若恢复失败则应紧急停机停炉。
9.3.5冗余控制器（包括电源）故障和故障后复位时，应采取必要措施，确认保护和控制信号的输出处于安全位置。
9.3.6加强对分散控制系统的监视检查，当发现中央处理器、网络、电源等故障时，应及时通知运行人员并启动相应应急预案。
9.3.7规范分散控制系统软件和应用软件的管理，软件的修改、更新、升级必须履行审批授权及责任人制度。在修改、更新、升级软件前，应对软件进行备份。拟安装到分散控制系统中使用的软件必须严格履行测试和审批程序，必须建立有针对性的分散控制系统防病毒措施。
9.3.8加强分散控制系统网络通信管理，运行期间严禁在控制器、人机接口网络上进行不符合相关规定许可的较大数据包的存取，防止通信阻塞。
9.4防止热工保护失灵
9.4.1除特殊要求的设备外（如紧急停机电磁阀控制），其他所有设备都应采用脉冲信号控制，防止分散控制系统失电导致停机停炉时，引起该类设备误停运，造成重要主设备或辅机的损坏。
9.4.2涉及机组安全的重要设备应有独立于分散控制系统的硬接线操作回路。汽轮机润滑油压力低信号应直接送入事故润滑油泵电气
启动回路，确保在没有分散控制系统控制的情况下能够自动启动，保证汽轮机的安全。
9.4.3所有重要的主、辅机保护都应采用“三取二”的逻辑判断方式，保护信号应遵循从取样点到输入模件全程相对独立的原则，确因系统原因测点数量不够，应有防保护误动措施。
9.4.4热工保护系统输出的指令应优先于其他任何指令。机组应设计硬接线跳闸回路，分散控制系统的控制器发出的机、炉跳闸信号应冗余配置。机、炉主保护回路中不应设置供运行人员切（投）保护的任何操作手段。
9.4.5独立配置的锅炉灭火保护装置应符合技术规范要求，并配置可靠的电源。系统涉及的炉膛压力取样装置、压力开关、传感器、火焰检测器及冷却风系统等设备应符合相关规程的规定。
9.4.6定期进行保护定值的核实检查和保护的动作试验，在役的锅炉炉膛安全监视保护装置的动态试验（指在静态试验合格的基础上，通过调整锅炉运行工况，达到MFT 动作的现场整套炉膛安全监视保护系统的闭环试验）间隔不得超过3年。
9.4.7汽轮机紧急跳闸系统和汽轮机监视仪表应加强定期巡视检查，所配电源应可靠，电压波动值不得大于±5%，且不应含有高次谐波。汽轮机监视仪表的中央处理器及重要跳机保护信号和通道必须冗余配置，输出继电器必须可靠。
9.4.8汽轮机紧急跳闸系统跳机继电器应设计为失电动作，硬手操设备本身要有防止误操作、动作不可靠的措施。手动停机保护应具
有独立于分散控制系统(或可编程逻辑控制器PLC) 装置的硬跳闸控制回路，配置有双通道四跳闸线圈汽轮机紧急跳闸系统的机组，应定期进行汽轮机紧急跳闸系统在线试验。
9.4.9重要控制回路的执行机构应具有三断保护（断汽、断电、断信号）功能，特别重要的执行机构，还应设有可靠的机械闭锁措施。
9.4.10主机及主要辅机保护逻辑设计合理，符合工艺及控制要求，逻辑执行时序、相关保护的配合时间配置合理，防止由于取样延迟等时间参数设置不当而导致的保护失灵。
9.4.11重要控制、保护信号根据所处位置和环境，信号的取样装置应有防堵、防震、防漏、防冻、防雨、防抖动的等措施。触发机组跳闸的保护信号的开关量仪表和变送器应单独设置，当确有困难而需与其他系统合用时，其信号应首先进入保护系统。
9.4.12若发生热工保护装置（系统、包括一次检测设备）故障，应开具工作票，经批准后方可处理。锅炉炉膛压力、全炉膛灭火、汽包水位（直流炉断水）和汽轮机超速、轴向位移、机组振动、低油压等重要保护装置在机组运行中严禁退出，当其故障被迫退出运行时，应制定可靠的安全措施，并在8h 内恢复；其他保护装置被迫退出运行时，应在24h 内恢复。
9.4.13检修机组启动前或机组停运15天以上，应对机、炉主保护及其他重要热工保护装置进行静态模拟试验，检查跳闸逻辑、报警及保护定值。热工保护连锁试验中，尽量采用物理方法进行实际传动，如条件不具备，可在现场信号源处模拟试验，但禁止在控制柜内通过
开路或短路输入端子的方法进行试验。