儀表故障模式的設(shè)計與分析

皮宇

(中石化廣州工程有限公司，廣東 廣州 510620)

儀表的故障模式是指現(xiàn)場儀表功能失效或信號傳輸失效后的整個回路的處理方式，可參考IEC 60812中的術(shù)語定義[1]。當前儀表大多數(shù)是智能儀表，在供電正常條件下，具有自診斷功能，能夠在線發(fā)現(xiàn)多種故障狀態(tài)，例如，膜盒溫度超溫、放大器元件故障、超壓等，當控制系統(tǒng)配置先進的資產(chǎn)管理系統(tǒng)時，可通過HART協(xié)議或FF總線通信方式上傳診斷信息，表明此時儀表故障模式不能正常工作。但是對于過程控制系統(tǒng)DCS及SIS，這些儀表可能在工藝控制回路或SIS中充當重要的角色，若不能及時判斷儀表故障將導致嚴重后果，如何處理這些儀表故障也與安全息息相關(guān)。

1 過程控制系統(tǒng)如何識別現(xiàn)場儀表故障

按照NAMUR NE 43標準，正常工作時儀表輸出到控制系統(tǒng)的電流信號為4～20 mA，當智能變送器自診斷到故障時，可以依據(jù)NAMUR NE 43標準改變輸出信號范圍使控制系統(tǒng)判斷出其處于故障狀態(tài)，根據(jù)NAMUR NE 43標準信號處理方式如圖1所示。

圖1 根據(jù)NAMUR NE 43標準信號處理方式示意

變送器正常輸出電流為4～20 mA時，說明儀表工作于正常的標定范圍。如果輸出電流略微越限，例如在3.8 mA，或20.5 mA時，說明變送器依然可以正常測量線性化工藝變量并輸出。例如壓力信號略微有一點超壓超過量程，此時壓力變送器并不認為是故障，繼續(xù)正常工作，并輸出20.5 mA 的電流信號。同時，控制系統(tǒng)也檢測到了該越界信號，也不認為變送器有故障，僅僅是在線性化處理時屏蔽了超過標定量程以外的信號，此時控制系統(tǒng)人機界面上出現(xiàn)壓力位于最高量程上限，但是工程師站在組態(tài)模塊的底層仍然可以看到20.5 mA的信號，只是無需處理。

NAMUR NE 43標準定義的“burn out”指故障門檻電流，低限為3.6 mA，高限為21 mA，當變送器發(fā)生斷偶或環(huán)境溫度高于正常工作范圍時，變送器自我診斷到故障。此時，輸出電流信號可以被強制趨向于兩個極端，可以上升、也可以下降，但是一定在標準規(guī)定的門檻電流以外，可能到2 mA，也可能到21.5 mA以上?？刂葡到y(tǒng)廠家一般也按照該標準識別故障，很多系統(tǒng)將故障門檻電流高限設(shè)置為20.8 mA也基本吻合NAMUR NE 43標準，控制系統(tǒng)檢測到變送器信號不大于故障門檻電流底限或不小于故障門檻電流高限時，控制系統(tǒng)將變送器信號處理為故障信號。也有特殊情況，業(yè)主根據(jù)現(xiàn)場儀表的情況，將門檻值調(diào)得很寬，避免控制系統(tǒng)過激動作，增加可用性。根據(jù)現(xiàn)場儀表的工作狀態(tài)具體分析，一般多用于非常規(guī)特殊儀表，例如雷達液位計等。

2 變送器故障模式時電流的走向

智能變送器一旦設(shè)置好故障信號走向，后期不宜修改。該信號走向的設(shè)計，相對來說，要具體結(jié)合DCS，SIS的品牌型號以及工藝的具體特性來確定。

1)對于DCS，沒有必要產(chǎn)生多余工藝誤報警，當斷線時，即使智能變送器也無法輸出高電流，電流走向一定是趨于低方向，所以通常所有的故障模式全部按照故障最大概率——斷線故障處理，變送器全部按照“走低”模式設(shè)置，此時如果工藝有低限報警，將被觸發(fā)，但是高限報警將不會觸發(fā)，因為工藝并未真實改變，僅僅是儀表故障而已。

2)對于SIS，相對來說比較復雜，設(shè)置不準確將對安全有一定的影響。系統(tǒng)模擬輸入模塊檢測到現(xiàn)場變送器故障時，有兩種選擇，既可以選擇保持不觸發(fā)聯(lián)鎖動作，也可以選擇直接觸發(fā)。此時要全面綜合兼顧安全儀表功能的架構(gòu)，以及安全儀表功能的可用性和可靠性綜合判斷。

以下介紹幾種設(shè)計思路供參考。

2.1 按照故障觸發(fā)聯(lián)鎖思路設(shè)計

在該模式下，SIS組態(tài)所有儀表故障全部觸發(fā)聯(lián)鎖。此時，安全儀表功能的可靠性增加，可用性降低，可能過于頻繁地誤停車，影響工藝的經(jīng)濟性。此時，現(xiàn)場儀表推薦設(shè)計為容錯的架構(gòu)來提高可用性，例如： 采用“2oo3”架構(gòu)，單臺變送器故障時電流信號“走低”或“走高”，SIS都觸發(fā)聯(lián)鎖，但因為架構(gòu)容錯，不一定停車。

當有報警記錄時，此時應(yīng)使變送器電流的走向與聯(lián)鎖的設(shè)定方向保持一致，例如高高聯(lián)鎖時，輸出電流“走高”，低低聯(lián)鎖時，輸出電流“走低”。易于檢查儀表的歷史趨勢，判斷原因簡單，大多數(shù)國內(nèi)項目都采用該設(shè)計方式，由此可見增加非必要的工藝報警對工藝操作都是無益的。

2.2 按照故障觸發(fā)架構(gòu)降級思路設(shè)計

該設(shè)計的基礎(chǔ)是控制系統(tǒng)可以實現(xiàn)表決架構(gòu)自動降級處理。例如，有自動降級功能的“2oo3”模塊，即檢測到儀表故障時，儀表的信號走向可背離聯(lián)鎖方向，不觸發(fā)聯(lián)鎖，但是容錯的表決架構(gòu)降級，使故障儀表在表決架構(gòu)中失效被安全儀表功能屏蔽，不允許其參與表決，原“2oo3”降級為“1oo2”，繼續(xù)利用其他正常信號儀表進行表決，故障表歸類于故障的管理動作，不影響工藝生產(chǎn)，但是該降級與是否自動旁路以及表決架構(gòu)有關(guān)，自動旁路和故障識別以及架構(gòu)降級功能見表1所列。

表1執(zhí)行的條件是SIS有能力檢測故障，智能儀表基本都有內(nèi)部診斷功能，而且都符合NAMUR NE 43的標準，變送器的輸出需設(shè)定為正作用即測量值增大時，輸出電流也增大。

2.3 現(xiàn)場儀表非智能儀表并用于安全儀表功能

當儀表與SIS匹配不具備檢測信號故障狀態(tài)，儀表輸出為模擬量時，儀表不能設(shè)置自動旁路，也不能同時兼具高高及低低聯(lián)鎖功能，除非這兩個聯(lián)鎖的動作一致，當儀表用于低低聯(lián)鎖時，儀表輸出需設(shè)置為正作用，用于高高聯(lián)鎖時，儀表輸出需設(shè)置為反作用，即與斷線故障處理方式一致，故障觸發(fā)聯(lián)鎖。

2.4 當儀表出現(xiàn)斷路或短路故障

當變送器斷路或掉電時，檢測到信號電流在500 ms時間內(nèi)從當前值降到0，現(xiàn)象為直接觸發(fā)該信號低低聯(lián)鎖。反之，短路引起的電流突升也一樣觸發(fā)高高聯(lián)鎖，此時儀表本身可能沒有問題，是線路出了故障，一般短時間故障不可恢復，儀表設(shè)置任何信號走向都沒有意義且作用也不大，此時控制系統(tǒng)也無需特殊處理，按照電流走向動作即可。

表1 自動旁路和故障識別以及表決架構(gòu)降級功能

2.5 故障后報警的處理

當控制系統(tǒng)檢測到現(xiàn)場儀表輸出為異常信號時，需根據(jù)該儀表的用途來決定報警的處理方式。一般可列入報警抑制范疇，動態(tài)監(jiān)控其是否恢復，規(guī)定時間內(nèi)不報警，等待被維修，操作員畫面提示異常。

2.6 控制系統(tǒng)增加單獨診斷報警信號

智能儀表可以在自診斷失效時，單獨輸出干觸點信號給控制系統(tǒng)，當該儀表非常重要且難于利用表決架構(gòu)容錯時，控制系統(tǒng)無需通過模擬量判斷，可直接使用該故障硬接點信號聯(lián)鎖動作，多用于安全性要求非常高的場合。

3 注意事項

當控制系統(tǒng)通過電流辨識現(xiàn)場儀表狀態(tài)時，應(yīng)注意以下幾點：

1)注意安全柵的配置及遠距離傳輸時線路阻抗對回路電流的影響。例如，距離很遠，回路電阻很大，電流不可能超過21 mA時，齊納安全柵可能也影響回路阻抗時，電流可能永遠無法上升到控制系統(tǒng)設(shè)定的故障門檻電流高限，即便此時變送器已經(jīng)按照輸出“走高”處理，控制系統(tǒng)也無法識別故障。

2)如果按照架構(gòu)降級思路設(shè)計，儀表故障處理時間是有限制的，如果超時，將產(chǎn)生更高級別的報警或動作，設(shè)定時間及動作需結(jié)合工廠的管理水平設(shè)定。

3)當使用架構(gòu)降級時，尤其是第二次降級，可能變更最低硬件故障裕度(HFT)，降級期間可能影響SIL等級對硬件結(jié)構(gòu)的約束[2]。

4 結(jié)束語

智能化儀表及控制系統(tǒng)的使用，對于提高未來智能化工廠的管理水平提供了更多的選擇。

變送器失效模式(failure mode)的設(shè)計，不僅是現(xiàn)場變送器的設(shè)計，還一定要包含控制系統(tǒng)的組態(tài)及工廠管理模式統(tǒng)一考慮。本文提供的幾種設(shè)計思路可有選擇使用，當工廠自動化管理水平較高且安全許可情況下，可偏重選擇2.2，2.5節(jié)的設(shè)計思路；當需要簡單實施且偏重安全時，可偏重選擇參考2.1，2.3，2.4，2.6節(jié)的設(shè)計思路，供同行參考。