三選二邏輯改造在渤海FPSO的應用

尉洪超(中海石油(中國)有限公司天津分公司秦皇島32-6/渤中作業公司，天津 300456)

0 引言

以V-101A三相自由水分離器的罐體壓力為例，此罐原本設有兩塊壓力變送器(英文Pressure Transmitter，后文簡稱PT)PT-7111A和PT-7112A，其中PT-7111A接入中控PCS系統，負責罐頂PV閥的開度控制，而PT-7112A接入中控FPS系統的ESD系統，負責罐體和流程的壓力保護，即當PT-7112A檢測到壓力高高或壓力低低時，會觸發相應的聯鎖邏輯保護。FPSO設有A、B兩套油處理流程，因此當PT-7112A檢測到壓力高高或壓力低低時，會觸發流程單系列3A級生產關斷，同時會產生ABCDF五個井口平臺的3A級生產關斷。

在油田關斷數據統計中，我們發現因為PT或其線路等故障導致的誤關斷次數非常多，其中也有3級或3A級的誤關斷。經過統計發現PT導致的誤關斷主要有以下幾個方面：(1)PT電子轉換單元老化導致輸出異常，造成誤關斷；(2)PT冬季保溫伴熱異常導致引壓管或膜片凍堵凍壞，導致測量值異常，造成誤關斷；(3)相應PT的接線、保險、IO通道異常造成的誤關斷[1]。

對此我們針對性的開展了PT專項管理，即：(1)制定重點PT的檔案，記錄PT更換時間，定周期更換；(2)冬季來臨前做好設備的保溫防凍工作，視氣溫情況，進行PT保溫伴熱的日檢、周檢或月檢；(3)定期對PT相應的接線箱和端子的接線進行緊固，并對AI通道輸入保險進行定期檢查和更換。自從2013年，油田全面開展PT專項管理工作以來，由于PT導致的誤關斷次數大幅度降低，然而卻也偶有發生。尤其是冬季氣溫極低的情況下，保溫伴熱的有效性和PT電子元件的耐低溫性能都會受到嚴苛的考驗，這對于現場儀表人來說同樣是如臨大敵，因為誤關斷的代價太大，除了會直接導致產量的損失、設備損耗，往往還可能發生其他次生問題，特別是對于生產區那幾個3級或3A級的PT，一旦誤輸出不僅對FPSO產生影響，更有可能對小平臺、中心平臺和混輸海管造成影響。

不僅于此，我們在檢查過程中還發現個別PT輸出滯后、偏差大，甚至出現過示值呆滯，打壓測試不變化的情況(往往是膜片老化或電子元件問題)。雖然這些隱藏問題不會導致誤關斷，但如果真的是設備或流程壓力異常需要保護時，這些PT將不會檢測到壓力異常，從而使得設備或流程面臨更加大的危險。

因此，迫切需要一種更為有效的方法來本質性的提升關鍵點PT的可靠穩定性，而要找到這種方法首先需要做好PT上述兩種失效模式的分析。

1 PT失效模式分析

1.1 失效模式

失效模式是根據失效的表征不同對失效進行的分類，分類的依據是失效導致的后果和性質，而設備的不同故障會導致不同種類的失效和后果。

根據安全儀表系統SIS，失效的性質和影響進行分類，常見的失效模式有： 危險失效、安全失效、共因失效、檢測到的失效、未檢測到的失效、通報失效、無影響失效等，其中最常見也最重要的兩種失效模式為“危險失效”和“安全失效”。危險失效和安全失效是對工業過程的運行產生直接影響的失效的分類，對這兩種失效模式的定量評價是安全儀表系統性能分析的主要內容[2]。

1.2 危險失效

危險失效是那些有潛力使安全相關系統處于危險狀態或失去安全功能執行能力的失效(IEC61508)。通常把安全儀表功能不動作的一類失效稱之為危險失效。拿汽車舉例來說，若汽車發生碰撞時其安全氣囊沒有打開就屬于危險失效，因為它使車內人員處于危險狀態，沒有提供相應的保護。

上文中PT不輸出或者輸出呆滯就是一種危險失效。它也被稱為“隱故障(Covert Fault)”，即不對危險產生報警，允許危險發展的故障，是故障危險故障(SHB-Z06-1999)。

1.3 安全失效

安全失效是那些沒有潛力造成安全相關系統處于危險狀態或失去安全功能執行能力的失效(IEC61508)。通常把安全儀表功能誤動作的一類失效稱之為安全失效。還是拿汽車舉例來說，若汽車在正常行駛或未開動時安全氣囊就錯誤地打開屬于安全失效。它往往不會造成安全事故，但會造成汽車無法駕駛，影響正常使用。安全失效與安全性能無關，而與可用性相關。IEC61508的定義中，只要不屬于危險失效的都是安全失效[3]。

之前說的PT誤關斷就是一種安全失效，而我們不但希望安全儀表系統是安全的，也希望由安全儀表系統所造成的誤關斷越低越好。

安全失效常被稱為“顯故障(Overt Fault)”，即能顯示出故障自身存在的故障，是故障安全故障(SHB-Z06-1999)。

按照危險失效和安全失效的定義，將油田PT常見的故障和問題如表1所示，我們發現之前經?？赡軐е掳踩У脑蛲瑯哟嬖谥艽蟮目赡軐е挛ｋU失效。因此，PT的危險失效和安全失效都必須考慮進來。

表1 PT失效模式分析

2 三選二邏輯

要想兼顧PT的危險失效和安全失效，經過討論我們認為完全可以參照SIS系統中常用的冗余選擇來實現。即可通過對關鍵點的PT增加數量，達到冗余檢測，表決輸出的目的。經過查閱國內外相關資料和數據統計記錄，我們發現2oo3(三選二冗余結構)可兼顧安全性和可用性，最適用于現場實際情況。

3 現場PT三選二改造簡述

有了明確的改進思路后，工作就變得方向明確、思路清楚了。結合現場實際，渤海FPSOPT三選二改造主要從以下兩個方面開展。

3.1 現場增加PT并接線至ESD系統

以生產分離器V-101A為例，原本此罐只有一個接入ESD系統的PT-7112A，通過利用備用取壓點，現場增加了兩臺PT。改造后V-101A的關斷保護PT就增加為三個，即PT-7112A1(即原本的PT-7112A，為了位號統一，改為PT-7112A1)、PT-7112A2、PT-7112A3。通過敷設電纜至新加的儀表接線箱，匯總成10PR電纜后，敷設至DCS系統遠傳IO間，接入ESD系統AI卡件的端子排。

3.2 中控修改ESD邏輯

對于原先的PT-7112A來說，當壓力高高時會產生PAHH-7112A，當壓力低低時會產生PALL-7112A，這兩個開關量是ESD程序中設置的軟開關，它們直接接到3A關斷的與門上面。

現場PT增加后，當壓力高高時三個PT分別會產生PAHH-7112A1、PAHH-7112A2、PAHH-7112A3，當 壓 力 低低時三個PT分別會產生PALL-7112A1、PALL-7112A2、PALL-7112A3。以壓力高高為例，由于FPSO使用的ESD系統為ABB公司的SG415系列，其程序數據塊中并沒有現成的三選二模塊，通過借鑒數字電路設計原理，我們可以在系統中搭建與門和或門，使PAHH-7112A1、PAHH-7112A2、PAHH-7112A3這三個信號分別取反后，再兩兩相與，最后再共同連接到一個或門，達到三選二的效果。

通過這樣修改后，就達到了PAHH-7112A1、PAHH-7112A2、PAHH-7112A3這三個信號，當只出現一個報警時不會觸發，而只要任意兩個或三個都報警了，就會觸發最終的表決后的信號。

4 結語

最后我們通過對FPSOV-101進口、V-101A罐體、V-101B罐體、V-102A罐體、V-102B罐體、V-103A罐體、V-103B罐體共七處關鍵設備的壓力點進行了三選二改造，實現了對于FPSO油流程上面3級和3A級壓力變送器的可靠性提升。

同時現場還制定了對于三選二PT的管理辦法，即當發現其中一個PT故障時，嚴禁進行旁通，必須立即進行現場確認，當確認是PT故障時，必須當天進行整改，如果因為其他原因需要隔天再做，需要開具信號旁通單，并將三選二邏輯變為一選一邏輯，以最大限度地保障現場的安全，避免危險失效帶來的嚴重后果。

海上儀表秉持思深方益遠、謀定而后動的思想，積極思考、勇于創新、落實踐行，在沒有依靠任何的外部力量情況下解決了PT安裝位置困難、鋪線走線工作量巨大、修改邏輯風險巨大等一個個艱難險阻。隨著自主編寫的邏輯成功經過了嚴密的功能測試，我們也更有信心自主解決一系列技術難題，保障現場安全儀表系統的可靠運行。