三选二逻辑改造在渤海FPSO的应用

尉洪超(中海石油(中国)有限公司天津分公司秦皇岛32-6/渤中作业公司，天津 300456)

0 引言

以V-101A三相自由水分离器的罐体压力为例，此罐原本设有两块压力变送器(英文Pressure Transmitter，后文简称PT)PT-7111A和PT-7112A，其中PT-7111A接入中控PCS系统，负责罐顶PV阀的开度控制，而PT-7112A接入中控FPS系统的ESD系统，负责罐体和流程的压力保护，即当PT-7112A检测到压力高高或压力低低时，会触发相应的联锁逻辑保护。FPSO设有A、B两套油处理流程，因此当PT-7112A检测到压力高高或压力低低时，会触发流程单系列3A级生产关断，同时会产生ABCDF五个井口平台的3A级生产关断。

在油田关断数据统计中，我们发现因为PT或其线路等故障导致的误关断次数非常多，其中也有3级或3A级的误关断。经过统计发现PT导致的误关断主要有以下几个方面：(1)PT电子转换单元老化导致输出异常，造成误关断；(2)PT冬季保温伴热异常导致引压管或膜片冻堵冻坏，导致测量值异常，造成误关断；(3)相应PT的接线、保险、IO通道异常造成的误关断[1]。

对此我们针对性的开展了PT专项管理，即：(1)制定重点PT的档案，记录PT更换时间，定周期更换；(2)冬季来临前做好设备的保温防冻工作，视气温情况，进行PT保温伴热的日检、周检或月检；(3)定期对PT相应的接线箱和端子的接线进行紧固，并对AI通道输入保险进行定期检查和更换。自从2013年，油田全面开展PT专项管理工作以来，由于PT导致的误关断次数大幅度降低，然而却也偶有发生。尤其是冬季气温极低的情况下，保温伴热的有效性和PT电子元件的耐低温性能都会受到严苛的考验，这对于现场仪表人来说同样是如临大敌，因为误关断的代价太大，除了会直接导致产量的损失、设备损耗，往往还可能发生其他次生问题，特别是对于生产区那几个3级或3A级的PT，一旦误输出不仅对FPSO产生影响，更有可能对小平台、中心平台和混输海管造成影响。

不仅于此，我们在检查过程中还发现个别PT输出滞后、偏差大，甚至出现过示值呆滞，打压测试不变化的情况(往往是膜片老化或电子元件问题)。虽然这些隐藏问题不会导致误关断，但如果真的是设备或流程压力异常需要保护时，这些PT将不会检测到压力异常，从而使得设备或流程面临更加大的危险。

因此，迫切需要一种更为有效的方法来本质性的提升关键点PT的可靠稳定性，而要找到这种方法首先需要做好PT上述两种失效模式的分析。

1 PT失效模式分析

1.1 失效模式

失效模式是根据失效的表征不同对失效进行的分类，分类的依据是失效导致的后果和性质，而设备的不同故障会导致不同种类的失效和后果。

根据安全仪表系统SIS，失效的性质和影响进行分类，常见的失效模式有： 危险失效、安全失效、共因失效、检测到的失效、未检测到的失效、通报失效、无影响失效等，其中最常见也最重要的两种失效模式为“危险失效”和“安全失效”。危险失效和安全失效是对工业过程的运行产生直接影响的失效的分类，对这两种失效模式的定量评价是安全仪表系统性能分析的主要内容[2]。

1.2 危险失效

危险失效是那些有潜力使安全相关系统处于危险状态或失去安全功能执行能力的失效(IEC61508)。通常把安全仪表功能不动作的一类失效称之为危险失效。拿汽车举例来说，若汽车发生碰撞时其安全气囊没有打开就属于危险失效，因为它使车内人员处于危险状态，没有提供相应的保护。

上文中PT不输出或者输出呆滞就是一种危险失效。它也被称为“隐故障(Covert Fault)”，即不对危险产生报警，允许危险发展的故障，是故障危险故障(SHB-Z06-1999)。

1.3 安全失效

安全失效是那些没有潜力造成安全相关系统处于危险状态或失去安全功能执行能力的失效(IEC61508)。通常把安全仪表功能误动作的一类失效称之为安全失效。还是拿汽车举例来说，若汽车在正常行驶或未开动时安全气囊就错误地打开属于安全失效。它往往不会造成安全事故，但会造成汽车无法驾驶，影响正常使用。安全失效与安全性能无关，而与可用性相关。IEC61508的定义中，只要不属于危险失效的都是安全失效[3]。

之前说的PT误关断就是一种安全失效，而我们不但希望安全仪表系统是安全的，也希望由安全仪表系统所造成的误关断越低越好。

安全失效常被称为“显故障(Overt Fault)”，即能显示出故障自身存在的故障，是故障安全故障(SHB-Z06-1999)。

按照危险失效和安全失效的定义，将油田PT常见的故障和问题如表1所示，我们发现之前经常可能导致安全失效的原因同样存在着很大的可能导致危险失效。因此，PT的危险失效和安全失效都必须考虑进来。

表1 PT失效模式分析

2 三选二逻辑

要想兼顾PT的危险失效和安全失效，经过讨论我们认为完全可以参照SIS系统中常用的冗余选择来实现。即可通过对关键点的PT增加数量，达到冗余检测，表决输出的目的。经过查阅国内外相关资料和数据统计记录，我们发现2oo3(三选二冗余结构)可兼顾安全性和可用性，最适用于现场实际情况。

3 现场PT三选二改造简述

有了明确的改进思路后，工作就变得方向明确、思路清楚了。结合现场实际，渤海FPSOPT三选二改造主要从以下两个方面开展。

3.1 现场增加PT并接线至ESD系统

以生产分离器V-101A为例，原本此罐只有一个接入ESD系统的PT-7112A，通过利用备用取压点，现场增加了两台PT。改造后V-101A的关断保护PT就增加为三个，即PT-7112A1(即原本的PT-7112A，为了位号统一，改为PT-7112A1)、PT-7112A2、PT-7112A3。通过敷设电缆至新加的仪表接线箱，汇总成10PR电缆后，敷设至DCS系统远传IO间，接入ESD系统AI卡件的端子排。

3.2 中控修改ESD逻辑

对于原先的PT-7112A来说，当压力高高时会产生PAHH-7112A，当压力低低时会产生PALL-7112A，这两个开关量是ESD程序中设置的软开关，它们直接接到3A关断的与门上面。

现场PT增加后，当压力高高时三个PT分别会产生PAHH-7112A1、PAHH-7112A2、PAHH-7112A3，当 压 力 低低时三个PT分别会产生PALL-7112A1、PALL-7112A2、PALL-7112A3。以压力高高为例，由于FPSO使用的ESD系统为ABB公司的SG415系列，其程序数据块中并没有现成的三选二模块，通过借鉴数字电路设计原理，我们可以在系统中搭建与门和或门，使PAHH-7112A1、PAHH-7112A2、PAHH-7112A3这三个信号分别取反后，再两两相与，最后再共同连接到一个或门，达到三选二的效果。

通过这样修改后，就达到了PAHH-7112A1、PAHH-7112A2、PAHH-7112A3这三个信号，当只出现一个报警时不会触发，而只要任意两个或三个都报警了，就会触发最终的表决后的信号。

4 结语

最后我们通过对FPSOV-101进口、V-101A罐体、V-101B罐体、V-102A罐体、V-102B罐体、V-103A罐体、V-103B罐体共七处关键设备的压力点进行了三选二改造，实现了对于FPSO油流程上面3级和3A级压力变送器的可靠性提升。

同时现场还制定了对于三选二PT的管理办法，即当发现其中一个PT故障时，严禁进行旁通，必须立即进行现场确认，当确认是PT故障时，必须当天进行整改，如果因为其他原因需要隔天再做，需要开具信号旁通单，并将三选二逻辑变为一选一逻辑，以最大限度地保障现场的安全，避免危险失效带来的严重后果。

海上仪表秉持思深方益远、谋定而后动的思想，积极思考、勇于创新、落实践行，在没有依靠任何的外部力量情况下解决了PT安装位置困难、铺线走线工作量巨大、修改逻辑风险巨大等一个个艰难险阻。随着自主编写的逻辑成功经过了严密的功能测试，我们也更有信心自主解决一系列技术难题，保障现场安全仪表系统的可靠运行。