陳偉杰

［中海石油（中國）有限公司蓬勃作業(yè)公司，天津 300452］

1 GMR原理及典型結(jié)構(gòu)

Genius Modular Redundancy（Genius總 線 模 塊冗余系統(tǒng)），本質(zhì)上是一種表決系統(tǒng)，并不是一般意義上的冗余系統(tǒng)。該系統(tǒng)由一系列模塊子系統(tǒng)組成，綜合形成柔性且強(qiáng)有力的整體。GMR 系統(tǒng)由輸入子系統(tǒng)、控制器子系統(tǒng)和輸出子系統(tǒng)組成。利用90-70PLC、Genius I/O模塊、VersaMax I/O產(chǎn)品、GMR提供了從輸入設(shè)備，1/2/3個PLC CPU，到輸出設(shè)備不同的組合表決方式。作為緊急停車系統(tǒng)（或稱安全儀表系統(tǒng)），GMR系統(tǒng)在渤海某油田群得到了廣泛的應(yīng)用，每個設(shè)施包含兩套系統(tǒng)，分別為ESD和PSD。GMR系統(tǒng)增加了正常運(yùn)行時間，降低平均修理時間，對于系統(tǒng)明顯及隱藏的故障方面實(shí)現(xiàn)高級診斷。統(tǒng)組成。輸入子系統(tǒng)由兩重化DI 模塊（Genius IO 模塊）和三重化的AI 模塊（VersaMax 模塊）組成；控制器子系統(tǒng)由兩臺90-70PLC 系統(tǒng)組成；輸出子系統(tǒng)由兩重化的DO 模塊組成。

控制器子系統(tǒng)的兩臺90-70PLC可以通過硬件和軟件組態(tài)實(shí)現(xiàn)數(shù)據(jù)通信。在GMR 組態(tài)中，必須指定作為“Alpha/Beta”總線的GBC 模塊。作為“Alpha/Beta”總線的GBC 模塊，可以是單獨(dú)的兩塊GBC 專職，也可以是某組（一般是第1 組）Genius IO 總線組LAN-A 和LAN-B 的GBC 兼任。軟件進(jìn)行邏輯編程，對于“Alpha/Beta”總線提供的G變量進(jìn)行適當(dāng)編程，從而實(shí)現(xiàn)兩臺PLC 之間的數(shù)據(jù)通信。

圖1為典型的GMR三重化系統(tǒng)結(jié)構(gòu)圖。

圖1 典型的GMR三重化系統(tǒng)結(jié)構(gòu)圖

2 GMR應(yīng)用

渤海某海上油田群采用GE90-70系列PLC作為關(guān)斷系統(tǒng)，采取的是雙重化CPU[1]。其中ESD系統(tǒng)主要與火氣系統(tǒng)有關(guān)，負(fù)責(zé)一級關(guān)斷和二級關(guān)斷的控制；PSD主要與生產(chǎn)安全有關(guān)，負(fù)責(zé)三級關(guān)斷（生產(chǎn)整體）和四級關(guān)斷（生產(chǎn)單元）的控制[2]。每套系統(tǒng)GMR系統(tǒng)由輸入子系統(tǒng)，控制器子系統(tǒng)和輸出子系

DO是兩重化模塊，每個DO模塊斗魚PLCA/B通過Genius總線連接，即在通信正常的情況下，每個DO模塊都能接受到PLCA/B的輸出值，再加上Duplex值，進(jìn)行“3取2表決”。輸出分為“I型輸出”和“T型輸出”，兩者應(yīng)用和接線方法也不同?！癐 型輸出”：接線圖2，主要用于“正常得電，Trip 失電”的關(guān)斷閥/電機(jī)等類型的現(xiàn)場設(shè)備?！癉uplex 設(shè)定值”和“Default 設(shè)定值”均為“0”?！癟 型輸出”：接線如圖2所示，主要用于“正常失電，Trip得電”的公共廣播/報警燈等類型的現(xiàn)場設(shè)備。“Duplex 設(shè)定值”設(shè)為1，“Default 設(shè)定值”設(shè)為“0”。

圖2 DO輸出類型和結(jié)構(gòu)形式

當(dāng)通信正常情況下：不論是I 型還是T 型的模塊，一對模塊上的通道指示燈應(yīng)該是相同狀態(tài)，同為1 或0。當(dāng)Genius 總線通信不正常時：需要考慮該模塊與1 臺還是2 臺PLC 通信中斷；DO 模塊的類型；Duplex 值/Default值的設(shè)定等多種因素來分析DO 模塊的輸出狀態(tài)。

HMI 主要用于ESD/PSD 系統(tǒng)的監(jiān)控，關(guān)鍵報警點(diǎn)的監(jiān)控，SOE 的記錄和其他一些輔助功能。但是，絕不參與生產(chǎn)的操作和控制。該油田2期項(xiàng)目的HMI 均用Cimplicity 6.1/SP6 軟件。運(yùn)行HMI 軟件的計(jì)算機(jī)一般稱為“SOE 站”。各平臺上的SOE 站中游安裝了Proficy Machine Edition 5.6/SIM8。因此，在各平臺上，SOE 站又作為工程師站使用。

大部分系統(tǒng)中的PLC由兩個機(jī)架組成，主機(jī)架和擴(kuò)展機(jī)架，兩個機(jī)架分別由獨(dú)立的電源模塊供電[3]。由于投用時間較長，以及電源模塊設(shè)計(jì)缺陷，電源模塊導(dǎo)致的關(guān)斷次數(shù)較多。

雙重化，可使用以下任何一種輸入/輸出的配置。系統(tǒng)可以是容錯的，每個系統(tǒng)都能獨(dú)立處理數(shù)據(jù)。運(yùn)作時，檢查的數(shù)據(jù)在兩臺處理器中進(jìn)行比較。

當(dāng)主機(jī)架電源模塊損壞之后，主機(jī)架卡件包括CPU均會掉電，PLC會切換為單CPU運(yùn)行，系統(tǒng)正常，不會產(chǎn)生關(guān)斷。當(dāng)擴(kuò)展機(jī)架電源模塊損壞之后，主機(jī)架卡件包括CPU會正常運(yùn)行，擴(kuò)展機(jī)架卡件掉電，CPU與擴(kuò)展機(jī)架通信丟失，會產(chǎn)生關(guān)斷。

3 擴(kuò)展機(jī)架掉電現(xiàn)象

某平臺發(fā)生關(guān)斷，發(fā)現(xiàn)GE工程師站HMI顯示PSD 診斷中PLC A擴(kuò)展機(jī)架全部卡件報警?，F(xiàn)場設(shè)備部分關(guān)停，部分正常運(yùn)行。DELTA V畫面顯示PSD系統(tǒng)大多數(shù)變送器數(shù)值均為滿量程值，當(dāng)DELTA V與PSD PLC的通信由PLC A切換到PLC B后，數(shù)值恢復(fù)正常；有三級關(guān)斷變送器信號為滿量程值。

打開PLC機(jī)柜，檢查發(fā)現(xiàn)PLC A擴(kuò)展機(jī)架電源模塊指示燈是滅的狀態(tài)。測量該機(jī)架電源模塊輸入端有220V電壓輸入，判斷擴(kuò)展機(jī)架電源模塊故障。后拆下電源模塊發(fā)現(xiàn)內(nèi)部元器件有及電路有燒毀跡象，確認(rèn)為電源模塊故障。

此次關(guān)斷的直接原因是PSD PLC A擴(kuò)展機(jī)架電源失效，導(dǎo)致三級關(guān)斷信號觸發(fā)三級關(guān)斷。當(dāng)PLC A擴(kuò)展機(jī)架電源失效，該機(jī)架上GBS失電，PLC A無法讀取該GBC卡件下掛的所有卡件，根據(jù)故障安全原則以及最初設(shè)計(jì)，在現(xiàn)場I/O通信中斷的情況下，對于模擬量輸入AI點(diǎn)，將采用最大值作為當(dāng)前輸入的狀態(tài)，這個值對于一般火氣探頭而言都會導(dǎo)致高高報警產(chǎn)生，對壓力變送器也類似，對于數(shù)字量輸入DI點(diǎn)，將采用值作為當(dāng)前輸入值，默認(rèn)狀態(tài)為TRIP狀態(tài)，因此PLC A發(fā)出三級關(guān)斷指令，PLC B工作正常，未發(fā)出關(guān)斷指令。

PSD PLC A發(fā)出三級關(guān)斷指令，同時PSD PLC B處于正常狀態(tài)，發(fā)出的是正常運(yùn)行指令；但是由于PLC A擴(kuò)展機(jī)架GBC卡件失電，導(dǎo)致掛在擴(kuò)展機(jī)架上的所有DO輸出模塊無法接收到關(guān)斷指令，只有掛在PLC A主機(jī)架GBC卡件上的所有DO輸出模塊接收到關(guān)斷指令；所有掛在PLC主機(jī)架的DO輸出模塊收到了兩個不同的指令，對收到的兩個指令，并與默認(rèn)值進(jìn)行表決，執(zhí)行關(guān)斷指令，關(guān)斷執(zhí)行的DO模塊均為I型輸出；而所有掛在PLC擴(kuò)展機(jī)架的DO輸出模塊接收到的兩臺PLC的指令均為正常運(yùn)行，表決后不執(zhí)行關(guān)斷；這就是本次三級關(guān)斷只有部分關(guān)停的原因。

系統(tǒng)中兩臺PLC，如果CPU發(fā)生故障，可以自動切換到另一臺正常運(yùn)行，但是如果一臺PLC中其他卡件發(fā)生故障，因?yàn)閱蝹€卡件故障類型在硬件組態(tài)中未診斷故障，PLC CPU只是報警，不會停止運(yùn)行，但是往往每個卡件上有AI點(diǎn)或者DO點(diǎn)，因?yàn)榭墓收霞由瞎收习踩偷脑O(shè)計(jì)理念，會因此產(chǎn)生不必要的關(guān)斷。

4 解決方案分析

根據(jù)系統(tǒng)架構(gòu)分析以及故障現(xiàn)場，解決該問題的進(jìn)一步措施有以下幾種：

（1）如保持這種架構(gòu)設(shè)計(jì)建議每5年計(jì)劃關(guān)斷更換全部電源模塊。全油田大概有幾百塊，而計(jì)劃關(guān)停的機(jī)會很少，油田處于正常生產(chǎn)狀態(tài)不會因?yàn)殡娫茨K的問題每隔一段時間就計(jì)劃關(guān)停進(jìn)行檢修。

（2）如定期更換電源不能實(shí)現(xiàn)，就要改變之前三重冗余SIL3等級設(shè)計(jì)，徹底變成冗余熱備系統(tǒng)，重新刷網(wǎng)絡(luò)架構(gòu)，但需要停產(chǎn)實(shí)施，還要做充分的SAT進(jìn)行驗(yàn)證。這種方法可以改變現(xiàn)狀，一次計(jì)劃停車檢修即可以解決問題。

（3）由于GE 90-70關(guān)斷系統(tǒng)存在設(shè)計(jì)缺陷，導(dǎo)致擴(kuò)展機(jī)架電源故障導(dǎo)致部分關(guān)停，增加對卡件的診斷功能。

一種方法是更改硬件診斷中擴(kuò)展機(jī)架故障類型，這就需要修改PSD系統(tǒng)的硬件組態(tài)，將其中的Loss of or Missing Rack 由Diagnostic（診斷型故障）改為Fatal（致命故障）（見表1），可以參考圖3將報警屬性更改后，當(dāng)發(fā)生擴(kuò)展機(jī)架掉電或者其他原因?qū)е碌臒o法檢測到擴(kuò)展機(jī)架時，會使CPU 停止運(yùn)行。按照這種方法進(jìn)行更改后，發(fā)生擴(kuò)展機(jī)架掉電后，會造成系統(tǒng)處于單PLC運(yùn)行的狀態(tài)，需要現(xiàn)場及時對故障進(jìn)行處理，盡快恢復(fù)雙PLC運(yùn)行。

表1 故障類型

為進(jìn)一步減少因?yàn)閱蝹€卡件故障造成的關(guān)斷，可以添加對PLC卡件的檢測，當(dāng)檢測到卡件故障時，自動切換到另一臺PLC運(yùn)行，并做出相應(yīng)的報警，避免發(fā)生關(guān)斷。以上兩種修改，涉及PSD系統(tǒng)的硬件組態(tài)修改和下裝，需要停掉PLC才能實(shí)現(xiàn)下裝，可在停產(chǎn)檢修期間修改。

另一種方法是在主程序中增加兩條語句，加在調(diào)用子程序語句之前。#slot—10是系統(tǒng)檢測擴(kuò)展機(jī)架電源狀態(tài)，1代表Rack，0代表0槽，如果擴(kuò)展機(jī)架電源故障，該點(diǎn)得電并觸發(fā)M04097，之后調(diào)用功能塊 SVC REQ，F(xiàn)NC 13 代表停止CPU。這種方法優(yōu)點(diǎn)是可以在線更改。但要注意下面程序用到的寄存器地址，各個平臺可能會不一樣，用錯會有風(fēng)險，再有就是這段程序是測試用的，是在實(shí)驗(yàn)室環(huán)境下取得的結(jié)果，還需要論證一下，在系統(tǒng)正常運(yùn)行的情況下這段程序是否有效穩(wěn)定。程序修改示意圖見圖4。

圖4 診斷設(shè)置示意圖

圖4 程序修改示意圖

（4）從GE獲悉此產(chǎn)品到2019年徹底停產(chǎn)，第三種就是升級改造更換設(shè)計(jì)、應(yīng)用更加成熟的產(chǎn)品。

5 結(jié)論

當(dāng)主機(jī)架電源模塊損壞之后，主機(jī)架卡件包括CPU均會掉電，PLC會切換為單CPU運(yùn)行，系統(tǒng)正常，不會產(chǎn)生關(guān)斷。當(dāng)擴(kuò)展機(jī)架掉電之后，主機(jī)架卡件包括CPU會正常運(yùn)行，擴(kuò)展機(jī)架掉電，CPU與擴(kuò)展機(jī)架通信丟失，會產(chǎn)生關(guān)斷或者部分關(guān)斷。

這種現(xiàn)象是由于GE90-70系統(tǒng)框架電源組成的三重冗余架構(gòu)的電源為單電源模式，是不符合ESD/PSD系統(tǒng)設(shè)計(jì)規(guī)范的。而且該框架不支持雙電源，這就是設(shè)計(jì)缺陷。而電源模塊故障率很高，這就屬于質(zhì)量問題。

為了避免因?yàn)殡娫垂收显斐傻念愃脐P(guān)停，最便捷以及投入最低的方法就是修改硬件診斷中擴(kuò)展機(jī)架故障類型，由Diagnostic（診斷型故障）改為Fatal（致命故障），當(dāng)無法檢測到擴(kuò)展機(jī)架時，停止該P(yáng)LC的運(yùn)行；為進(jìn)一步優(yōu)化，還可以增加單獨(dú)的卡件故障檢測，當(dāng)發(fā)生單獨(dú)的卡件故障時，自動切換到另一臺PLC運(yùn)行。

解決該問題最根本的方法還是升級改造，應(yīng)用更為成熟，更為穩(wěn)定的產(chǎn)品和系統(tǒng)架構(gòu)。