大型FPSO应急关断系统设计研究

刘国贞

（上海中远船务工程有限公司 上海 200231）

0 引 言

近年来，新能源在船舶及海工领域的应用已有一定突破，新材料新产品不断涌现，但在以石油为主的不可再生能源被新能源彻底取代前，浮式生产储油和卸油装置（floating production storage and offloading，FPSO）作为海上油气生产的主要设施，仍占有较大的市场。

FPSO系海上油气加工厂，生产及装卸过程中伴生大量碳氢气体，如其未配置一套可靠的应急关断系统及制定有效的应急处置预案，可燃气体一旦泄漏， 将会发生灾难性的事故。因此，在设计应急关断系统时，必须对各系统和部件进行充分的风险评估，同时考虑其可靠性、安全性和功能完善性，以保证在发生意外事故时能有效和安全地关断相关设备，以限制不期望的后果发生，从而保护生命、环境、资产和公司声誉，最大限度地减少经济损失。

本文以巴西石油公司30万吨级FPSO为依托，重点研究应急关断系统的配置、关断逻辑、功能特性和安全可靠性。该FPSO最大载重352 710 t、储油能力160万桶、日产原油12万桶、日产天然气超过500万m，是世界上最先进的FPSO之一。随着FPSO不断大型化，其应急关断系统的设计日趋复杂、关断要求也越来越高。

1 设计基础和适用规范

1.1 系统安全完整性等级

本船的应急关断系统是按照IEC 61508标准中3级安全完整性（SIL3）等级设计；火气关断系统（fire and gas system，FGS）是按照IEC 61508标准中2级安全完整性（SIL2）等级设计；单个元件、仪表或控制器采用多台同时运行通过表决方式达到所要求的安全完整性等级。

1.2 适用的规范规则

2 系统架构和配置

FPSO上设有中央控制和安全系统 （control &safety system，CSS），作为生产工艺流程系统、船舶系统和公用系统的指挥、控制和安全保障中心。该系统包括过程控制系统（process control system，PCS）、应急关断（emergency shutdown，ESD）系统和火气关断系统，各系统既可独立运行、亦可根据需要进行数据交换，形成一个有机的整体。

本FPSO船体部分和上部工艺处理流程部分各自搭建自己的控制和安全系统，船体部分控制和安全系统（hull control & safety system，HCSS）包括船体流程控制系统（hull control system，HCS）、船体安全关断系统（hull shutdown system，HSD）和船体火气关断系统（hull fire and gas system，HFGS）；上部工艺处理流程部分控制和安全系统包括工艺流程控制系统（PCS）、工艺流程关断（process shutdown，PSD）系统和火气关断系统（FGS）。船体部分和上部工艺处理流程部分的工作站、打印机等终端与外围设备各自配置、各有分工且可以互换使用；两部分之间通过网关交换数据。主控制网络采用双冗余光纤搭建的数据高速公路，控制器内中央处理器（central processing unit，CPU）、电源模块、I/O模块及通讯模块均热备冗余，通讯协议为TCP/IP。船体部分中央控制系统总架构如下页图1所示，上部工艺处理流程部分中央控制系统总架构如下页图2所示。本文着重对HSD和HFGS进行重点阐述。

图1 FPSO中央控制系统总架构-船体部分

图2 FPSO中央控制系统总架构-上部工艺处理流程部分

3 应急关断系统设计

FPSO应急关断系统分为工艺流程关断系统（PSD）和船体安全关断系统（HSD）。PSD主要用于保证原油和天然气流程处理模块等上部模块的安全；HSD主要负责船体部分、立管连接区域等的安全。设计应围绕保证人员安全、设施安全和保证生产连续性的原则来确定应急关断级别和关断逻辑。

3.1 设计原则

根据《巴西国家石油公司海上生产装置安全设计规则》，应急关断系统设计成独立于其他的控制系统，有其专门的一套关断逻辑，其安全级别高于过程控制系统（PCS）。当FPSO上发生任何与安全相关的紧急情况时，直接作用于ESD逻辑，发出报警和关断指令，关停相应设备，从而避免因意外事故造成严重损失。PSD系统设计结合上部工艺处理流程的特点及操作中所发生的安全案例等经验教训为设计依据。HSD系统设计是在保证装置安全的前提下，尽可能地保护人的生命安全、保护环境及减小对上部工艺处理流程的影响，保证连续生产。

3.2 安全关断层级

FPSO的应急关断系统包含4个等级，代表对不断增加的危险等级的阶段性响应，其中1级最低，4级最高、最严重。具体级别划分如下：

● 应急关断4级-ESD-4：准备弃平台关断。

● 应急关断3级-ESD-3：火气关断，又分如下2个子级别：

（1）ESD-3T：关断主电源和电力分配系统；

（2）ESD-3P：保持主电源接通，仅关断火灾或可燃气体泄漏区域相关设备。

● 应急关断2级-ESD-2：生产工艺流程关断。

● 应急关断1级-ESD-1：装置或设备关断。

ESD-1、2、3或4的手动启动由设在中控制室和无线电室的按钮触发。如图3的应急关断系统层级图所示: ESD-4的级别最高、ESD-1的级别最低，ESD-4动作可触发其下所有级别的关断。

图3 应急关断系统层级图

3.3 应急关断系统因果逻辑

各等级ESD的触发及引起的结果如下：

此级关断为准备弃平台关断，也叫总关断。该级关断级别最高，分别由设在中控室和无线电室的应急操作板上的ESD-4按钮手动触发。

启动后，触发中控室报警；自动触发ESD-3T、ESD-3P、ESD-2和ESD-1级关断；FPSO上除应急情况下需工作的系统延时关断外，所有的生产和公共流程均关停。此时工艺流程设备自动减压，至井口平台的安全阀关断。此级关断能触发FPSO各级关断、发布弃船警报、关断主电源并在半小时后切断消防设备及应急电源，随后在12 h后切断UPS。ESD-4的声音报警为独立的按钮，由安装在ESD-4旁的独立按钮触发，触发后报警声音为连续音，由广播系统自动发布全船报警。

此级关断为火气关断。该级关断由FPSO火灾或可燃气体泄漏引起，可手动触发，也可由火气系统根据逻辑自动触发。该级关断除执行ESD-3级关断内容外，还将触发ESD-2和ESD-1级关断。此级关断又分为ESD-3T和ESD-3P 2个子级别。

（1）ESD-3T级关断

由设在中控室和无线电室的应急操作板上的ESD-3T按钮手动触发；由上部主发电机模块和电力分配区域发生着火或可燃气体泄漏触发，即：上部模块的主配电板室、主变压器室、自动化设备室、电池室及2个动力模块同时着火或可燃气体泄漏。

启动后，触发中控室报警、广播系统全船报警，报警音为间断音；自动触发ESD-3P、ESD-2和ESD-1级关断； ESD-3T信号传送至上部模块流程关断系统（PSD）自动触发流程部分相关设备的关断，包括：关停动力模块的主电站；主配电板停电；关断通风空调和冷媒水系统；关断柴油分配泵、柴油溢流驳运泵、氮气发生器和海水提升泵；关断ESD阀；启动应急发电机、应急海水提升泵、应急冷却水泵和非危险区域冷却水循环泵；手动启动消防系统。

（2）ESD-3P级关断

由设在中控室和无线电室的应急操作板上的ESD-3P按钮手动触发；来自于可寻址火灾探测系统，由重要处所即船体重要配电板室、船体正常配电板室、船体变压器室、公用配电板室、应急发电机室和压缩机室安装3个及以上的可寻址探测器，并由火灾逻辑表决出的确认的着火信号触发；由确认的敞开区域和进风口的可燃气体（只探测器中2只探测器60% LEL）、有毒气体（HS≥2×10）或CO（CO≥4×10）气体泄漏信号自动触发；由主甲板油舱上面区域、原油处理模块、可燃气体压缩处理模块、CO气体压缩处理模块、化学品储存区域、立管连接区域、外输油区域、计量撬及管廊等危险区域着火自动触发。

启动后，触发中控室报警、广播系统全船报警，报警音为间断音；自动触发ESD-2和ESD-1级关断；自动触发非重要流程和公用设备关断；关断风机、油泵；关断非重要仪表空气和日用空气速关阀；关断应急发电机和压缩机仪表空气供气阀；关断惰气发生器燃气供给阀；关断外输总管应急解脱速关阀；通风空调系统及防火风闸根据影响到的区域成组关断。同时，ESD-3P信号传送至上部模块自动触发流程部分相关设备的关断， ESD-3P级关断自动启动消防泵。仅1台燃气透平主发电机组保持工作，其他主发电机组关停。对于燃气透平发电机组进气或排气口可燃气体泄漏，仅触发中控室报警，受影响的透平机组关停；生活楼内起居服务处所着火不自动触发ESD-3P关断，仅在中控室报警及视具体情况采取灭火措施。

由设在中控室、无线电室、登乘处和直升机甲板处的ESD-2按钮手动触发；由污油水舱甚高压触发；由储油舱和污油水舱高高液位触发；由惰气系统压力异常触发；由探测到重要仪表空气总管压力甚低压触发；由流程部分探测到的甚高压、甚低压、甚高液位和甚低流量自动触发。

启动后，触发中控室报警；自动触发ESD-1级关断；信号送至上部模块触发流程部分相关设备的关断：泄压阀动作系统自动减压、关停化学喷射泵和生产水泵、关停CO处理模块、生产水系统、进口日用泵、海底生产总管关断阀等与流程相关的设备和阀组；单个的货油舱和污油水舱高高液位，仅关断相应舱供油管线上的阀门，当所有舱高高液位时，将引起ESD-2级关断。

该级关断为独立运行的装置或序列的关断。由ESD-2及以上层级触发；由设备本身故障、流程变量异常、过度机械磨损触发；由安装在就地的手动紧急停止按钮触发。启动后，关断受影响的单个设备、启动备用设备、流程和公用系统部分关断。

3.4 火气关断系统表决逻辑

FPSO上以A级及以上钢围壁和钢甲板为界限面，共划分成约500个火区。

FPSO上关闭风闸以由1个独立的加热通风空调（HVAC）进出风循环系统构成的封闭处所为原则划分成42个区。其中生活楼12个区、机械处所30个区。由于风机与风闸联锁，每个区域若关闭风闸后将自动关闭风机，此类关断属于ESD-3P关断级别中的一类。

生活楼110人, 配置了中央控制室、无线电室、厨房、餐厅、会议室及应急避难所等重要处所，是FPSO的大脑和中枢神经，因此安全系统设计的核心，是最大限度地保护生活楼内人员和重要设施。

对于大型FPSO，其发生火灾、可燃气体和硫化氢气体泄漏的潜在可能性增大，且一旦发生火气蔓延很难控制。相对于中小型FPSO将生活楼划分为1～2个区域，本系列FPSO结合通风系统的设计原则，将生活楼划分为12个关闭风闸分区。其划分原则为：① 控制站、危险区域、较大危险失火处所、应急情况下需要运行的系统和需要使用的设备存放处所为独立分区；② 由独立的加热通风空调循环系统构成的封闭处所为独立分区。其关断原则：区域内探测到火灾或进风口探测到可燃气体浓度高，即关断相应区域内的通风、空调、火气风闸和燃油速关阀等，其他区域不受影响。关断风闸的操作按钮和继电器箱位于保护区域之外。生活楼用于关断的风闸共58只。生活楼关闭风闸分区详见表1。

表1 生活楼关闭风闸分区表

主船体机械处所的分区方法与生活楼类似，即当可燃气体泄漏时，以关闭相应区域的风机风闸为原则，尽量缩小关断影响区域，以保障生产的连续性。机械区域共84只风闸，分成30个组，各组分别被划入3个关断区域，每个关断区域的风闸关断分别由各自的继电器箱驱动。主船体机械处所关闭风闸分区详见表2。

表2 主船体关闭风闸分区表

根据巴西国家石油公司海上生产装置安全设计规则，各火区内火灾探测器的位置及设定值和表决逻辑如表3所示。

表3 火灾探测器的布置位置和表决逻辑

另外，洗手间等不易着火处所，无需探测；中控室和紧急集合站的进风口的探测器动作需要关闭风闸。

根据巴西国家石油公司海上生产装置安全设计规则，成组安装的的可燃气体探测器的位置及设定值和表决逻辑如表4所示。

表4 可燃气体探测器的布置位置和表决逻辑

3.5 ESD应急操作板

ESD应急操作板位于中控室和无线电室，采用硬线与HSD/HFGS系统相连，控制逻辑相对独立。

3.6 与消防系统的联动

FPSO上配备水消防系统、泡沫消防系统、机舱局部水雾灭火系统和CO消防系统。一般的FPSO火气关断逻辑会与消防系统联动，自动启动消防泵、释放水喷淋、释放CO等。此巴西石油FPSO的主消防水泵会在ESD-3P时自动启动，CO消防系统系手动启动，按表5所示分区执行。

表5 CO2释放分区表

3.7 系统硬件设备

巴西石油FPSO应急关断系统的硬件配置如下：

应急关断系统和火气关断系统各自配置冗余热备控制器、HSD I/O 624点、远程I/O柜7台；HFGS I/O 752点、远程I/O柜7台；所有I/O点在I/O柜内预留至少30%备用，用于将来扩容， HSD和HFGS的I/O柜之间采用双冗余的PROFIBUS现场总线相连接； 在中控室配置操作员工作站（HMI）11台、工程师站5台、打印机2台，船体部分和工艺流程部分可以互换使用。

3.8 与电气系统的接口

当关断电力系统中的泵和风机等供电设备时，除通过硬线传输外，还通过配电板/马达控制中心内每个马达功能单元内智能电子通讯模块（IED）将信号通过冗余的光纤网传送至电气系统独立的网关，再传送至火气关断（FGS）系统执行相应的关断，即：与配电系统相关的关断已达到了三重冗余配置。 数据传输协议和性能标准根据《IEC 61850- 变电站通讯网络和系统标准》，定义4种标准的电气系统智能化网络通讯模块，即：EA01、EA02、EA03和EA04。

● EA01：功能单元由过程控制器或火气控制器控制，并配有能够通过网络与CSS通信的设备。

● EA02：功能单元不受过程控制器和火气控制器控制，仅通过硬线信号与这些控制器进行通信。

● EA03：功能单元不受过程控制器和火气控制器控制，仅在停机时与CSS通信。

● EA04：成套设备功能单元。这些装置通过硬接线信号与机组控制器通信。这些功能单元与CSS的通信，仅用于关断目的。

4 系统主要功能和设计特点

与以往FPSO应急关断系统相比，巴西石油大型FPSO的应急关断系统，有以下特点：

（1）火区和气区（即：关闭风闸分区）有各自独立的分区原则和对应的关断逻辑，火区划分精细至每个A级防火分割的界限面，表决逻辑更加严密苛刻，不重要处所的探测器动作仅在中控室报警并需到现场确认，谨防误判误报；气区（即：关闭风闸分区）与加热通风空调（HVAC）系统的设计原则相吻合，其进出风循环系统构成的封闭处所视为1个分区，这样由于通风系统失灵关断面最小、造成的损失最低。

（2）火气关断时根据严重程度决定是否关停主电站和停止生产；

（3）火气关断除了重要区域和危险区域，尽量不采用自动表决，在报警后人为判断关断类型；

（4）CO施放均系手动。

（5）电力系统中断路器脱扣采用智能电子通讯模块取代大量的中间继电器及硬接线，可实现快速准确地切断供电电路。

（6）用于生活楼关闭风闸分区方法具创新性。常规FPSO只将厨房划分为独立的1个区、应急发电机室和应急配电板室划分为独立的1个区，其他控制、起居和服务处所都统一归为生活楼区域。这样的分区原则将导致初期、局部的火灾或可燃气体泄漏关断影响面较大，特别是关断中央控制系统，影响FPSO上部工艺处理流程的正常运行。

5 结 语

该应急关断系统的一整套设计方法，是为巴西国家石油公司系列FPSO量身定做，符合巴西海域海上设施的安全要求和惯例，应急预案响应快速，并通过了第三方公司的预先危险性分析、危险与可操作性分析、危险源辨识、爆炸分析、气体扩散分析及火灾和烟雾扩散分析，能正确协调和处理好安全与经济效益之间的关系，满足海上浮式生产存储装置大型化的要求，对未来开发天然气、可再生的新能源船舶及海上设施，设计和建造超大型FPSO、FSRU及FLNG有一定的借鉴意义。