一、前言
海洋石油平台上的生产作业具有操作人员少，自动化水平高的特点。在生产过程中，被处理的介质往往是高 温高压、易燃易爆的气体或液体，并且基于海上采油作业的特殊性，一旦发生问题，海上逃生和海上救援难度均比陆地生产大很多，人员安全、设备安全和环境安全 问题显得更为突出。当系统出现异常的工作状况时，快速可靠的用来实现保护功能的紧急关停装置的作用就更加重要。
二、概述
紧 急事故停车(ESD)控制系统的功能是在事故或故障状态下（包括设备事故和控制系统本身发生故障时），使生产能够安全有序的关停并处于安全状态下，从而避 免灾难的发生，即避免对生产设备和人员的伤害及对环境的影响等，因而控制系统本身设计必须遵循故障安全（Fail to Safe）的原则，整个系统的硬件和软件的可靠性要求都很高。
可编程控制器（PLC）最初作为替代传统顺序控制中的继电器控制的产品出现，系统可更改性，可重复使 用性能（灵活性）非常强，而且其稳定性及寿命都比较高。近年来PLC系统本身的计算速度、模拟量处理能力、网络功能的增强和相关HMI技术的发展使得 PLC系统在工业控制领域具有更广泛的应用空间。
三、系统构成
本系统控制器选用罗科韦尔自动化PLC-5系列中的PLC-5/40C，处理器通过BCM模块双机热 备，正常情况下两台处理器同时工作，主处理器从远程I/O中读写数据并把更新后的中间数据文件通过一条高速数据通道（HSSL）传到从处理器。当主处理器 发生故障时从处理器立即接管远程I/O，同时升级为主处理器。
系 统配置一台作为报警记录、状态显示的操作员站，该操作员站安装Rockwell的HMI组态软件Rsview32和PLC编程软件RSLogix 5。PLC通过冗余的ControlNet网络与该平台上其他PLC以及工作站/服务器进行数据交换，考虑紧急停车系统的独立性和安全性，HMI通过 DH+网络直接连接到CPU与处理器进行通讯。为节省空间，操作站直接安装在控制盘上，并通过RJ45接口连接到EtherNet网络打印机，用来打印报 警记录和操作记录。
另外，对于可能影响到系统其他设备运行的现场信号，系统控制柜上设计安装现场就地盘关停信号的硬旁路（BYPASS）开关，用来当现场信号不稳定或故障检修时屏蔽该信号，使生产不至于中断，同时在系统启动时可以用来启动压缩机建立仪表风和恢复生产。
为了更明确的对平台设备运行情况有更直观的了解，系统设立一套盘装报警器，上边罗列整个平台关键设备的报警以及级别比较高的设备关停状态。通过这个报警器，操作人员可以一目了然的知道系统运行过程中设备运行的状况并做出相关处理。
系统除了对生产设备进行关停控制外，还特别设计了和广播系统（PA）、水下井口控制系统（ECS）、 火焰/可燃气体探测（FIRE/GAS）系统的接口。当火焰/可燃气体探测（FIRE/GAS）系统检测到相关报警并发出关停请求时，ESD系统根据不同 请求级别做出相应关停动作，有关火灾报警系统的关停在级别上一般高于其他关停级别。当有系统关停动作或火灾报警系统报警时，触发广播系统提醒相关人员。
该系统系统结构见下图：
四、ESD系统PLC产品特点：
系统采用热备PLC-5/40C15控制系统。该系列的PLC及I/O模块均有UL，CE及美国安全认证 ，有多套稳定地安装运行于油气田各类生产控制系统中，已安全无故障运行多年，其具有如下特点：
- PLC-5/40处理器支持梯形图控制逻辑编程，顺序流程功能图编程和结构文本编程方式。
- 内置DH+接口可供编程或组成同级通讯网络。内置远程I/O口可以控制远至3公里以外的I/O。
- 内置RS-232/422/423 口可用来 编程或ascii 显示，指令系统为高级指令包括数据文件处理、顺序器、诊断、移位、立即输入输出和程序控制指令等。
- PLC5/40处理器多主程序功能包括处理器输入中断、可编程故障响应和定时中断，工作环境温度 0°C - 60°C, 可电池备份RAM 或 EEPROM 备份。
- 换I/O模块时不用断开接线，接线臂随模块发货。
- I/O模块与交流/直流传感器/执行机构之间有大范围的信号接口，可适合多种应用。
- 每个I/O均有发光二极管指示输入/输出状态，便于维护。
- 输出模块固态继电器中已有保险丝，可保护模块线路。
- 模块上的点数可以有多种配置，最大可配置为32点，以使用户得到最大的灵活性。
操作员站主要功能：
- 对PLC程序进行维护 。
- 报警数据的记录与管理，并提供相关报表。
- 形象的工艺流程显示各生产设备的运行或关停状态。
- 显示系统关停级别和系统本身运行状态。
- 故障首发记录和首发信息的查询和管理；
- 系统操作的记录和管理，并提供相关报表。
- 系统提供动态的因果图（CAUSE & EFFECT）使系统关停产生原因和相关结果一目了然。
- 提供完整的权限机制，保证系统操作安全可靠。
另外，Rockwell自动化为PLC-5系列处理器提供模拟软件EMULATE 5。这样在系统设计并制作完运抵现场前，给我们出厂测试和系统模拟运行提供良好的测试条件，为系统一次投运一次成功打下良好的基础。
五、控制逻辑与实现
该ESD/PSD系统根据生产环境的不同分为预报警和生产关停（PROCESS SHUTDOWN）、紧急关停（EMERGENCY SHUTDOWN）、火灾/天然气泄露（FIRE/GAS ESD）及放弃平台（ABANDON PLATFORM）四个关停级别。
考虑系统运行安全性和生产环境的特殊性，PLC控制柜放置在中央控制室，从生产现场来的报警/关停信 号通过电气压力开关输入到PLC系统中；所有去现场设备的关停信号则输出到现场气动就地控制盘，控制该气动控制盘的供气回路；到电气设备（如压缩机和泵） 的关停信号则通过干接点输出到电气控制室（MCC）或作为启动许可直接控制该电气设备的控制回路。
为保证系统的运行稳定可靠，整个系统设计时充分考虑故障安全的原则，主要有如下措施：
- 当仪表风系统压力不足时，现场压力开关信号将不稳定，此时系统紧急关停；
- 所有输入信号均定义为带电正常，当线路发生故障或连接有问题时触发相关报警和安全保护动作，排除因输入线路或电缆造成的误信号问题带来的事故隐患；
- 所有系统输出信号均采用常开触点（带电正常），当输出线路故障或系统本身发生故障时触发相关输出，关停该输出点所对应的控制设备。
- PLC系统I/O机架设置为故障时复位，当PLC处理器发生故障时，清除所有输出以关停控制设备。
- 报警器的输入信号设定为开路报警，也就是说当系统故障或从现场到PLC或从PLC到报警器的线路发生故障时均能及时的通知并提醒操作人员处理。
- 基于以上几点，整个系统电源发生问题时，能保证所有生产设备能关停到安全状态。
另外，为了保证系统可靠性所采取的设施还有：
- 系统供电采用两路UPS供电电源，当其中一路故障时，自动切换到另外一路。
- 系统使用的24V直流电源供电单元采用A-B公司的1605冗余电源，当其中一个电源组件发生故障时，自动切换到另一路而不影响系统的正常运行。
- 系统除常规报警外对关键关停信号做首发记录，当发生意外关停时能准确及时的了解关停的原因，该首发记录的精度大概为25ms。
- 设置完善的故障处理子程序，当扫描或程序运行出现可恢复故障时能及时恢复程序运行不影响正常生产。
- 系统采用热备处理器，每个处理器的机架、电源分离。主从处理器通过后备通讯模块交换数据及状态保持同步，当处理器电源故障或处理器本身发生故障时，从处理器将接替主处理器对网络及I/O系统进行控制。
- 在从处理器继续控制系统的同时，可更换出错的主处理器。热备系统可自动在<50ms内动态切换到从机接替系统控制，从而提供时间进行不停机维护或修改处理器程序。
五、结束语
该工程设计时考虑周全，于投入运行以来运行稳定、安全可靠，得到业主一致好评。