GE90-70系列PLC電源故障后果及處理措施

陳偉杰

［中海石油（中國）有限公司蓬勃作業公司，天津 300452］

1 GMR原理及典型結構

Genius Modular Redundancy（Genius總 線 模 塊冗余系統），本質上是一種表決系統，并不是一般意義上的冗余系統。該系統由一系列模塊子系統組成，綜合形成柔性且強有力的整體。GMR 系統由輸入子系統、控制器子系統和輸出子系統組成。利用90-70PLC、Genius I/O模塊、VersaMax I/O產品、GMR提供了從輸入設備，1/2/3個PLC CPU，到輸出設備不同的組合表決方式。作為緊急停車系統（或稱安全儀表系統），GMR系統在渤海某油田群得到了廣泛的應用，每個設施包含兩套系統，分別為ESD和PSD。GMR系統增加了正常運行時間，降低平均修理時間，對于系統明顯及隱藏的故障方面實現高級診斷。統組成。輸入子系統由兩重化DI 模塊（Genius IO 模塊）和三重化的AI 模塊（VersaMax 模塊）組成；控制器子系統由兩臺90-70PLC 系統組成；輸出子系統由兩重化的DO 模塊組成。

控制器子系統的兩臺90-70PLC可以通過硬件和軟件組態實現數據通信。在GMR 組態中，必須指定作為“Alpha/Beta”總線的GBC 模塊。作為“Alpha/Beta”總線的GBC 模塊，可以是單獨的兩塊GBC 專職，也可以是某組（一般是第1 組）Genius IO 總線組LAN-A 和LAN-B 的GBC 兼任。軟件進行邏輯編程，對于“Alpha/Beta”總線提供的G變量進行適當編程，從而實現兩臺PLC 之間的數據通信。

圖1為典型的GMR三重化系統結構圖。

圖1 典型的GMR三重化系統結構圖

2 GMR應用

渤海某海上油田群采用GE90-70系列PLC作為關斷系統，采取的是雙重化CPU[1]。其中ESD系統主要與火氣系統有關，負責一級關斷和二級關斷的控制；PSD主要與生產安全有關，負責三級關斷（生產整體）和四級關斷（生產單元）的控制[2]。每套系統GMR系統由輸入子系統，控制器子系統和輸出子系

DO是兩重化模塊，每個DO模塊斗魚PLCA/B通過Genius總線連接，即在通信正常的情況下，每個DO模塊都能接受到PLCA/B的輸出值，再加上Duplex值，進行“3取2表決”。輸出分為“I型輸出”和“T型輸出”，兩者應用和接線方法也不同?！癐 型輸出”：接線圖2，主要用于“正常得電，Trip 失電”的關斷閥/電機等類型的現場設備。“Duplex 設定值”和“Default 設定值”均為“0”?！癟 型輸出”：接線如圖2所示，主要用于“正常失電，Trip得電”的公共廣播/報警燈等類型的現場設備?！癉uplex 設定值”設為1，“Default 設定值”設為“0”。

圖2 DO輸出類型和結構形式

當通信正常情況下：不論是I 型還是T 型的模塊，一對模塊上的通道指示燈應該是相同狀態，同為1 或0。當Genius 總線通信不正常時：需要考慮該模塊與1 臺還是2 臺PLC 通信中斷；DO 模塊的類型；Duplex 值/Default值的設定等多種因素來分析DO 模塊的輸出狀態。

HMI 主要用于ESD/PSD 系統的監控，關鍵報警點的監控，SOE 的記錄和其他一些輔助功能。但是，絕不參與生產的操作和控制。該油田2期項目的HMI 均用Cimplicity 6.1/SP6 軟件。運行HMI 軟件的計算機一般稱為“SOE 站”。各平臺上的SOE 站中游安裝了Proficy Machine Edition 5.6/SIM8。因此，在各平臺上，SOE 站又作為工程師站使用。

大部分系統中的PLC由兩個機架組成，主機架和擴展機架，兩個機架分別由獨立的電源模塊供電[3]。由于投用時間較長，以及電源模塊設計缺陷，電源模塊導致的關斷次數較多。

雙重化，可使用以下任何一種輸入/輸出的配置。系統可以是容錯的，每個系統都能獨立處理數據。運作時，檢查的數據在兩臺處理器中進行比較。

當主機架電源模塊損壞之后，主機架卡件包括CPU均會掉電，PLC會切換為單CPU運行，系統正常，不會產生關斷。當擴展機架電源模塊損壞之后，主機架卡件包括CPU會正常運行，擴展機架卡件掉電，CPU與擴展機架通信丟失，會產生關斷。

3 擴展機架掉電現象

某平臺發生關斷，發現GE工程師站HMI顯示PSD 診斷中PLC A擴展機架全部卡件報警?，F場設備部分關停，部分正常運行。DELTA V畫面顯示PSD系統大多數變送器數值均為滿量程值，當DELTA V與PSD PLC的通信由PLC A切換到PLC B后，數值恢復正常；有三級關斷變送器信號為滿量程值。

打開PLC機柜，檢查發現PLC A擴展機架電源模塊指示燈是滅的狀態。測量該機架電源模塊輸入端有220V電壓輸入，判斷擴展機架電源模塊故障。后拆下電源模塊發現內部元器件有及電路有燒毀跡象，確認為電源模塊故障。

此次關斷的直接原因是PSD PLC A擴展機架電源失效，導致三級關斷信號觸發三級關斷。當PLC A擴展機架電源失效，該機架上GBS失電，PLC A無法讀取該GBC卡件下掛的所有卡件，根據故障安全原則以及最初設計，在現場I/O通信中斷的情況下，對于模擬量輸入AI點，將采用最大值作為當前輸入的狀態，這個值對于一般火氣探頭而言都會導致高高報警產生，對壓力變送器也類似，對于數字量輸入DI點，將采用值作為當前輸入值，默認狀態為TRIP狀態，因此PLC A發出三級關斷指令，PLC B工作正常，未發出關斷指令。

PSD PLC A發出三級關斷指令，同時PSD PLC B處于正常狀態，發出的是正常運行指令；但是由于PLC A擴展機架GBC卡件失電，導致掛在擴展機架上的所有DO輸出模塊無法接收到關斷指令，只有掛在PLC A主機架GBC卡件上的所有DO輸出模塊接收到關斷指令；所有掛在PLC主機架的DO輸出模塊收到了兩個不同的指令，對收到的兩個指令，并與默認值進行表決，執行關斷指令，關斷執行的DO模塊均為I型輸出；而所有掛在PLC擴展機架的DO輸出模塊接收到的兩臺PLC的指令均為正常運行，表決后不執行關斷；這就是本次三級關斷只有部分關停的原因。

系統中兩臺PLC，如果CPU發生故障，可以自動切換到另一臺正常運行，但是如果一臺PLC中其他卡件發生故障，因為單個卡件故障類型在硬件組態中未診斷故障，PLC CPU只是報警，不會停止運行，但是往往每個卡件上有AI點或者DO點，因為卡件的故障加上故障安全型的設計理念，會因此產生不必要的關斷。

4 解決方案分析

根據系統架構分析以及故障現場，解決該問題的進一步措施有以下幾種：

（1）如保持這種架構設計建議每5年計劃關斷更換全部電源模塊。全油田大概有幾百塊，而計劃關停的機會很少，油田處于正常生產狀態不會因為電源模塊的問題每隔一段時間就計劃關停進行檢修。

（2）如定期更換電源不能實現，就要改變之前三重冗余SIL3等級設計，徹底變成冗余熱備系統，重新刷網絡架構，但需要停產實施，還要做充分的SAT進行驗證。這種方法可以改變現狀，一次計劃停車檢修即可以解決問題。

（3）由于GE 90-70關斷系統存在設計缺陷，導致擴展機架電源故障導致部分關停，增加對卡件的診斷功能。

一種方法是更改硬件診斷中擴展機架故障類型，這就需要修改PSD系統的硬件組態，將其中的Loss of or Missing Rack 由Diagnostic（診斷型故障）改為Fatal（致命故障）（見表1），可以參考圖3將報警屬性更改后，當發生擴展機架掉電或者其他原因導致的無法檢測到擴展機架時，會使CPU 停止運行。按照這種方法進行更改后，發生擴展機架掉電后，會造成系統處于單PLC運行的狀態，需要現場及時對故障進行處理，盡快恢復雙PLC運行。

表1 故障類型

為進一步減少因為單個卡件故障造成的關斷，可以添加對PLC卡件的檢測，當檢測到卡件故障時，自動切換到另一臺PLC運行，并做出相應的報警，避免發生關斷。以上兩種修改，涉及PSD系統的硬件組態修改和下裝，需要停掉PLC才能實現下裝，可在停產檢修期間修改。

另一種方法是在主程序中增加兩條語句，加在調用子程序語句之前。#slot—10是系統檢測擴展機架電源狀態，1代表Rack，0代表0槽，如果擴展機架電源故障，該點得電并觸發M04097，之后調用功能塊 SVC REQ，FNC 13 代表停止CPU。這種方法優點是可以在線更改。但要注意下面程序用到的寄存器地址，各個平臺可能會不一樣，用錯會有風險，再有就是這段程序是測試用的，是在實驗室環境下取得的結果，還需要論證一下，在系統正常運行的情況下這段程序是否有效穩定。程序修改示意圖見圖4。

圖4 診斷設置示意圖

圖4 程序修改示意圖

（4）從GE獲悉此產品到2019年徹底停產，第三種就是升級改造更換設計、應用更加成熟的產品。

5 結論

當主機架電源模塊損壞之后，主機架卡件包括CPU均會掉電，PLC會切換為單CPU運行，系統正常，不會產生關斷。當擴展機架掉電之后，主機架卡件包括CPU會正常運行，擴展機架掉電，CPU與擴展機架通信丟失，會產生關斷或者部分關斷。

這種現象是由于GE90-70系統框架電源組成的三重冗余架構的電源為單電源模式，是不符合ESD/PSD系統設計規范的。而且該框架不支持雙電源，這就是設計缺陷。而電源模塊故障率很高，這就屬于質量問題。

為了避免因為電源故障造成的類似關停，最便捷以及投入最低的方法就是修改硬件診斷中擴展機架故障類型，由Diagnostic（診斷型故障）改為Fatal（致命故障），當無法檢測到擴展機架時，停止該PLC的運行；為進一步優化，還可以增加單獨的卡件故障檢測，當發生單獨的卡件故障時，自動切換到另一臺PLC運行。

解決該問題最根本的方法還是升級改造，應用更為成熟，更為穩定的產品和系統架構。