基于变频驱动的自升式钻井平台升降控制系统

袁飞晖，张纪昱

（上海外高桥造船有限公司，上海 200137）

电气与自动化

基于变频驱动的自升式钻井平台升降控制系统

袁飞晖，张纪昱

（上海外高桥造船有限公司，上海 200137）

为进一步提高自升式钻井平台升降的安全性，基于JU2000E型自升式钻井平台升降系统的基本设计，提出结合故障安全型控制回路及冗余通信网络的综合保护措施设计方案。该保护方案在理论与实践层面适用于当前常规的变频驱动升降控制系统。故障失效模式与影响分析及升降试验的实施相互验证了综合保护措施在不同工况下的有效性和可靠性。

升降控制系统；安全；冗余；保护

0 引 言

升降控制系统作为自升式钻井平台的关键系统，其整体性能的优劣决定了平台的安全性和使用性，并直接关系到项目的建造、调试及交付使用。为进一步提高自升式钻井平台升降的安全性，依托上海外高桥造船有限公司在建的JU2000E型自升式钻井平台工程项目，基于基本设计方案开展变频驱动升降控制系统设计研究。JU2000E型自升式钻井平台为三角形船体，有3个三角形桁架桩腿，各个桩腿由其下端的桩靴支撑；配置有齿轮齿条升降机构，采用液压锁紧装置进行船体固定。

这里以基本设计的齿轮齿条升降机构设计方案为基础介绍升降控制系统的基本构成及操作功能要求，结合变频驱动的技术特点提出安全回路、双网络冗余的设计方法，归纳总结出升降控制系统的综合保护原则，以有效提高控制系统的设计冗余度及平台升降操作的安全性为目标，为系统的设计和选型提供参考。

1 升降控制系统的基本构成

升降系统除了包含结构升降单元安装架、桩腿及桩靴之外，还具有升降单元（包括减速齿轮箱）、交流驱动柜（包括电机控制中心和人机交互界面等组件）及控制系统（主要包括升降系统中央控制台、变频驱动柜、扭矩分配控制柜及相位偏差检测站）等机电设备。

1.1 升降中央控制台

整个平台升降装置的操作主要在升降控制台上进行，在升降控制台上通过发出升降指令实施平台的升降操作。控制台上安装有物理水平仪和电子水平仪（见图1），用以保障平台在安全倾斜范围之内。此外，控制台上还安装有3组显示屏，显示各个升降齿轮承受的动态负荷，弦管、桩腿的总动态负荷，升降电机的工作电流、功率及桩腿高度等，其中电子水平仪可在显示屏上模拟显示平台的水平状态。

1.2 交流传动系统

1.2.1 交流传动系统

1) 升降装置变频驱动系统。该系统由VFD驱动器及控制器协调电机控制中心控制各升降单元，正常情况下通过升降控制室内的升降中央控制台来操作；对于单桩腿操作模式，可对桩腿实行部分功能的就地操作。每个桩腿都配备一套独立的变频驱动柜，以实现单个桩腿的独立操作控制（见图2）。

2) 扭矩再分配控制及模式选择控制柜。扭矩再分配控制用于手动模式下任意选择桩腿的18个电机中的一个，通过变频器来调整该升降单元的输出力矩。由于采用的是单电机单驱动器模式，因此可使转矩控制精度大大提高，可覆盖30%～93%的转矩输出范围，并可按百分比模式选择输出转矩。

3) 负载转移控制系统。负载转移控制站用于将平台负重转移至锁紧装置时的负荷转移，或在需要将负荷逆向转移至升降单元时的刹车释放操作控制。上述模式的操作只能就地执行，且升降系统的控制位必须转移至就地的某个控制站，同时操作状态可在中央控制台的监视屏上实时显示出来。

1.2.2 升降驱动柜变压器

对于上述升降装置变频驱动装置，每个桩腿都配备一台容量为 1250kVA的变压器。区别于常见的双变压器组成虚拟24脉供电方案，该方案采用4组副边绕组集成式变压器，每组副边对应下游的一台整流器。这样配置是为了尽可能地降低变频器对平台电网的谐波注入，即使是单个桩腿操作也不会产生低次谐波电流，从而将总正弦波形畸变率控制在船级社规范要求的范围（总电压正弦波畸变率＜8%；单次正弦波畸变率＜5%）内。

1.2.3 电机控制中心（MCC）

电机控制中心是变频驱动系统的最后输出环节，通过现场总线与变频驱动器及主控制器连接。其主要功能包括：升降单元电机驱动输出执行、电机空间加热，升降单元刹车器输出执行、刹车空间加热、升降电机超速监测、电机负荷监测、安全回路监测等。

1.2.4 升降单元及电机

升降电机作为整个电气传动链的功率输出端，是完成电能向机械能转化的关键环节。基于JU2000E型自升式钻井平台的基本设计，整个平台共配置54套升降单元及电机，平均分布在3个桩腿上，即每个三角形桁架桩腿上有18套。针对升降系统多点同步传动的控制要求，结合固桩架结构设计，对升降单元（电机）必须采取沿升降单元安装架冠状面的非对称布置，且选用转差较大的电机。该项目中选用的升降电机的主要性能参数见表1。

表1 升降电机主要性能参数

1.3 相位偏差就地控制站及编码器

相位偏差控制站通过监测平台桩腿的各弦管高度求取相位差，即桩腿弦管相对于平台主体高度位置的位移累积差值。齿条相位差就地控制台共有 3处，分布于前桩腿、左桩腿和右桩腿，并配置相互独立的位置高度编码器。每条桩腿的基础上面都有一个高度检测齿片与桩腿齿条咬合，同轴连接一个转动小齿片，当大齿片带动小齿片转动时会给高度检测装置反馈信号，用以计算、显示每条桩腿的弦梁升降高度，以便于操作者进行监控和操作（见图1）。

2 控制系统的架构

升降控制采用PLC集控、分布式执行和反馈的结构，并与低压交流传动部分相交互。在升降中央控制室实现整个平台3个桩腿的提升和下放。就地控制只限于负荷转移及相位偏差调整，该控制功能需在负荷转换就地控制站与相位偏差就地控制站之间切换。

2.1 控制系统的结构

升降控制系统主要由可编程逻辑控制器（PLC）控制部分、变频驱动器（VFD）控制部分和人机交互界面（HMI）控制部分等3部分构成（见图3）。

2.2 子模块功能描述

2.2.1 PLC软件逻辑

PLC部分主要由 S7-400H 中央处理器及ET 200M远程输入、输出模块构成。状态监控模块用于接收输入、反馈信号至处理器，以采取合适的控制措施（如刹车释放、接触器及断路器状态）。位置高度模块用于实时监测各桩腿的高度。信号参考模块用于通信、发生变频器转速及转矩环的给定。操作控制模块用于操作者对控制系统的设置进行修改与输入。安全保护模块用于根据预设因果逻辑采取保护动作。

2.2.2 变频驱动器通信与控制

变频驱动器采用常见的通用型变频器（交—直—交型），整个机组包括整流、逆变及能量回馈制动单元，前端采用不可控器件进行整流，经移相变压器供电并联整流，通过直流母排向后端逆变单元馈电；而逆变回路多采用全控型器件构成主回路。该类型变频驱动器具有较宽的调频范围、较高的整体换能效率及较低的谐波畸变率。数据监测模块主要监测逆变模块的电压、电流、频率及输入端口和输出端口信号的状态。通信模块主要处理PLC与VFD间的双向通信。参数模块使软件能对输入设定进行存储和读取。保护模块实现VFD对自身及电机的各种物理保护。

2.2.3 人机交互界面

人机交互界面由2套工控计算机及3套触摸屏构成。监测模块主要负责处理所有的故障报警点、升降电机的运行电流和电压及各终端设备的通信。参数设置模块给升降操作人员提供一定范围内可设置的参数调整界面，如电子水平仪、桩腿高度、相位偏差的故障及报警。历史记录模块用于实时记录升降操作过程中的各主要参数，并能提供回放功能。

3 升降控制安保系统的架构

由于升降系统直接影响到平台的整体姿态控制，因此其可靠性尤为重要。基于船级社对故障失效模式与影响分析（FMEA）的要求[1]，目前的F&G VFD750系统在基本设计的基础上升级了控制网络和处理器，能对程序控制进行备份，提供应急情况下的继续操作；同时，在经历先前事故之后升级了安保控制回路，提供弦梁超速检测及应急停止措施，进一步提高了整个系统的可靠性和安全性。

3.1 升降控制系统失效模式与影响分析

由于升降系统涉及的硬件设备多、安装布置跨区域，平台的工况环境复杂，因此采用综合设计和操作的故障失效模式与影响分析来评估系统[2]。采用该分析方式的目的在于评估、正视故障失效发生的可能性及其带来的后果对升降控制系统的影响，通过采取必要的措施降低、排除潜在的故障，从而使评估结果在可接受的范围内。

分别识别出单一设备、操作环节发生的故障及故障的严重性，并对严重程度、发生频率和检测等级加以分级。需要注意的是，对于前一个故障造成的后果，若其能导致其他新的故障，则这样的后果必须考虑到故障模式分析中[3]。

在监测方式上：系统参量的物理量通常采用自动化检测，比如升降电机的实际工作电流采用电流变换器进行采样；弦管相对高度采用绝对式编码器测量；而控制系统的机械设备、逻辑控制器的运行状况等则通过报警系统的声光提示结合人工巡视获得。

3.1.1 故障失效模式分析

根据操作模式和功能设备对升降控制系统进行划分，对于每种故障失效模式，应尽可能地列举出其主要失效原因（见表2），从而构成故障失效模式识别矩阵表。因此，故障影响分析过程的最终结果是将故障风险分析从定性转化为定量，通过严重程度、发生频率和检测等级3者的评级与划分，得出该操作模式、功能设备的风险系数（RPN）。一般该矩阵表也是后续故障影响分析、补偿措施分析的基础。

表2 升降控制系统失效模式与影响分析

续表2 升降控制系统失效模式与影响分析

3.1.2 故障影响分析与补偿措施

由表2可知，各类故障可大致分为设备控制器和传感器元器件本身的故障及外围线路和操作流程导致的故障2类。

1) 对于第1类故障，必须采取对应的补偿措施来降低风险系数，通常通过增加通信设备的冗余、增加故障越控的选择开关等硬件冗余来补偿，以降低故障发生频次；

2) 对于第2类故障，诸如不当操作导致的故障，除了辅助加强升降操作手册的描述及培训之外，最主要的是通过软件流程干预来规避可能的不当操作。

在确立并实施以上所有补偿措施之后，应对故障失效的严重程度、发生频率及检测等级进行修订，再次重新考证，以完善、排除潜在的失效模式。若被分析项的最大风险系数落在故障严重程度的高危险等级区间内，则需重复进行该过程，改进系统保护措施，直至该项风险系数落在中、低可接受区间内，得到既满足规范和规格书要求，又满足故障失效模式与影响分析的风险系数。

3.2 控制系统综合保护措施设计与分析

综合保护的根本目的在于从多个角度采取措施，降低升降控制系统在操作过程中可能面临的潜在故障源和危险源。根据系统在国内外多个项目中的实际应用经验反馈，结合上述故障的影响与分析，参考IEC 61508[4]和IEC 61511-3[5]对安全完整性等级的要求，在升降控制系统设计初期就将其预规划为故障安全型。安全保护系统与驱动执行系统是各自独立运行的，当系统的软件和硬件发生故障时，在硬件最小容错设备（电子、电气、可编程电子器件）的基础上，预设的控制流程会将升降控制系统自动转入预定安全状态：保持平台当前的位置，降速停车或应急停止。控制系统综合保护措施主要体现在硬件线路配置、安全保护逻辑和通信网络冗余等3个方面，以保障与平台相关的生命财产安全和生产效益，防止造成海洋环境污染。

3.2.1 控制电源配置与线路设计

1) 应急控制回路设计：为获得可靠动作的应急控制回路，升降控制系统的主电源回路与升降中央控制台、各桩腿升降装置变频驱动装置（变频器柜）、升降就地控制站及相位偏差就地控制站的应急停止功能一一实现硬线联锁；换言之，任何一个桩腿的任何一处应急停止能使整个应急控制回路动作。

2) 控制电源冗余设计：根据桩腿升降单元传动区域划分电源供给，升降中央控制台及通信控制模块由平台生活区域220VAC电力二次系统控制类电源供电，各桩腿所属变频驱动装置、电机控制中心及其对应的各个就地控制站则由平台机舱区域二次系统控制类电源独立供电。特别是在中央控制台上加装了在线式不间断电源（UPS），确保检控、操作界面及通信单元的连续性供电。

3.2.2 安全保护回路逻辑设置

当遇到紧急情况需要停止升降作业时，安全控制从控制逻辑上分别采用降速停止及应急停止的原则，且只有当故障报警点及相关报警从系统中复位之后升降系统才能重启，以此确保系统的每次升降均满足所有安全控制逻辑的要求。

对于不同级别的应急停止，所采取的控制逻辑也是不同的，这是基于升降装置当前的状态直接影响到平台的姿态及安全设计的。对于中央控制台的应急停止命令，其属于最高级别，整个升降系统会被应急切断，包括所有的升降电机控制中心；但对于来自于桩腿电机驱动中心的应急停止命令，只使对应的桩腿升降电机控制中心的安全控制回路切断，而不会使整个平台升降系统被切断。这样的设计能综合应急响应的动作，避免事故扩大及对系统造成冲击。

安全控制回路同样设置了严格的逻辑判断条件（见图4），一旦任何一处的应急停止条件触发，都将直接使控制电源回路继电器动作，从而在硬件层面实现闭锁，继而在PLC程序上作为对桩腿电机控制中心（单个）的电气执行器件的控制输入条件，实现对该桩腿所有电机电源、刹车器电源及变频器进线电源的电气闭锁[6]。这些控制条件至少包括各主要操作站：中央控制台应急停止、各桩腿电机驱动中心应急停止及各桩腿相位偏差就地控制站应急停止。

3.2.3 控制系统冗余通信网络设计

升降系统的控制网络采用冗余环网的方案（见图5），因此1个环网只对应有1个主站，而整个控制系统有2个主站，分别位于中央控制台及左部桩腿电机控制中心，两者互为冗余，当其中一台主控制器出现故障时能实现切换和接管。

控制网络采用 PROFIBUSDP协议，能适应平台控制室和现场设备层的数据通信与控制并配合光纤通信，能满足海工平台作业的复杂、恶劣工况。传输介质可采用金属双绞线或光纤，对于这些JU2000E项目，桩腿现场至控制器I/O单元采用62.5/125的多模光纤连接，而控制柜内部则采用标准的PROFIBUS-DP线连接。

值得注意的是，该项目使用冗余备份的ET200M远程I/O站来实现数据、状态的采集及执行，从而使数据、状态采集的实效性和可靠性得到保障。该单元是一种被动设备，不享有总线访问权，只能对接收到的消息进行确认，或在主站请求时进行数据发送。

通过PROFIBUS协议连接起升降系统中央控制台、各桩腿电机控制中心、变频驱动器及相位偏差就地控制站等主要控制设备，以实现所谓的现场设备层到车间级监控的分散式数字控制和现场通信网络。为获得高等级的可靠性，采用冗余网络的组态，因此当通信电缆破损时仍能保证通信正常。相位偏差就地控制站同样采用现场总线技术，使用PROFIBUS电缆连接桩腿上所有的弦梁编码器，用数字通信的方式取代编码器的脉冲信号。

4 结 语

通过对多个 JU2000E型自升式钻井平台项目的升降控制系统进行故障失效模式与影响分析及升降试验，验证了综合安全保护系统在各工况、各意外情况下对自升式平台姿态控制的可靠性。综合安保分析为升降控制系统的改进和优化提供了借鉴与启示，为平台业主、平台设计单位及船厂对不同方案、不同性能进行选择和比较提供了依据，对建造成本控制及平台综合性能实现都具有一定的现实意义。

[1] ABS. Rules for building and classing mobile offshore drilling unit 2014： 6-1-9/7 Failure Modes and Effects Analysis [S]. 2014.

[2] BSS. Jacking System FMEA Report [R]. GustoMSC, 2013： 3-4

[3] EPE. E-Stop circuit design - FMECA Report [R]. CAMERON, 2015： 6-11

[4] IEC. Functional safety of electrical/electronic/programmable electronic safety-related systems： IEC 61508[S]. 2010.

[5] IEC. Guidance for the determination of the required safety integrity levels： IEC 61511-3[S] . 2003.

[6] 袁飞晖，王克虎，张纪昱，等. 用于钻井平台升降机构的安全保护控制系统：2014101913248[P]. 2014-10-19.

Study on the Jacking Control System for Jack-Up Drilling Platform Based on Variable Frequency Drive

YUAN Fei-hui，ZHANG Ji-yu
（Shanghai Waigaoqiao Shipbuilding Co., Ltd., Shanghai 200137, China）

This study proposes a design principle of comprehensive protection measures which combines the failure security control circuit and the redundancy communication network for the jacking control system of JU2000E jack-up drilling platform in order to improve the safety of jacking operation of the jack-up drilling platforms. The principle is suitable for the conventional variable frequency driven jacking control system both theoretically and practically. The failure mode influence analysis and the jacking experiments verify mutually the effectiveness and the reliability of the comprehensive protection measures under different conditions.

jacking control system; safety; redundancy; protection

TP273；TE951

A

2095-4069 (2017) 01-0031-08

10.14056/j.cnki.naoe.2017.01.006

2016-07-20

袁飞晖，男，高级工程师，工程硕士，1978年生。2011年毕业于华中科技大学工业工程专业，现从事船舶及海洋工程电气自动化设计与技术管理工作。