一、前言
海洋石油平台上的生產作業具有操作人員少，自動化水平高的特點。在生產過程中，被處理的介質往往是高溫高壓、易燃易爆的氣體或液體，並且基於海上採油作業的特殊性，一旦發生問題，海上逃生和海上救援難度均比陸地生產大很多，人員安全、設備安全和環境安全問題顯得更為突出。當系統出現異常的工作狀況時，快速可靠的用來實現保護功能的緊急關停裝置的作用就更加重要。
二、概述
緊急事故停車(ESD)控制系統的功能是在事故或故障狀態下（包括設備事故和控制系統本身發生故障時），使生產能夠安全有序的關停並處於安全狀態下，從而避免災難的發生，即避免對生產設備和人員的傷害及對環境的影響等，因而控制系統本身設計必須遵循故障安全（Fail to Safe）的原則，整個系統的硬體和軟體的可靠性要求都很高。
可編程式控制制器（PLC）最初作為替代傳統順序控制中的繼電器控制的產品出現，系統可更改性，可重複使用性能（靈活性）非常強，而且其穩定性及壽命都比較高。近年來PLC系統本身的計算速度、模擬量處理能力、網路功能的增強和相關HMI技術的發展使得PLC系統在工業控制領域具有更廣泛的應用空間。
三、系統構成
本系統控制器選用羅科韋爾自動化PLC-5系列中的PLC-5/40C，處理器通過BCM模塊雙機熱備，正常情況下兩台處理器同時工作，主處理器從遠程I/O中讀寫數據並把更新后的中間數據文件通過一條高速數據通道（HSSL）傳到從處理器。當主處理器發生故障時從處理器立即接管遠程I/O，同時升級為主處理器。
系統配置一台作為報警記錄、狀態顯示的操作員站，該操作員站安裝Rockwell的HMI組態軟體Rsview32和plc編程軟體RSLogix 5。PLC通過冗餘的ControlNet網路與該平台上其他PLC以及工作站/伺服器進行數據交換，考慮緊急停車系統的獨立性和安全性，HMI通過DH+網路直接連接到CPU與處理器進行通訊。為節省空間，操作站直接安裝在控制盤上，並通過RJ45介面連接到EtherNet網路印表機，用來列印報警記錄和操作記錄。
另外，對於可能影響到系統其他設備運行的現場信號，系統控制柜上設計安裝現場就地盤關停信號的硬旁路（BYPASS）開關，用來當現場信號不穩定或故障檢修時屏蔽該信號，使生產不至於中斷，同時在系統啟動時可以採用啟動壓縮機建立儀錶風和恢復生產。
為了更明確的對平台設備運行情況有更直觀的了解，系統設立一套盤裝報警器，上邊羅列整個平台關鍵設備的報警以及級別比較高的設備關停狀態。通過這個報警器，操作人員可以一目了然的知道系統運行過程中設備運行的狀況並做出相關處理。
系統除了對生產設備進行關停控制外，還特別設計了和廣播系統（PA）、水下井口控制系統（ECS）、火焰/可燃氣體探測（FIRE/GAS）系統的介面。當火焰/可燃氣體探測（FIRE/GAS）系統檢測到相關報警併發出關停請求時，ESD系統根據不同請求級別做出相應關停動作，有關火災報警系統的關停在級別上一般高於其他關停級別。當有系統關停動作或火災報警系統報警時，觸發廣播系統提醒相關人員。
該系統系統結構.
四、ESD系統PLC產品特點：
系統採用熱備PLC-5/40C15控制系統。該系列的PLC及I/O模塊均有UL，CE及美國安全認證 ，有多套穩定地安裝運行於油氣田各類生產控制系統中，已安全無故障運行多年，其具有如下特點：
PLC-5/40處理器支持梯形圖控制邏輯編程，順序流程功能圖編程和結構文本編程方式。
內置DH+介面可供編程或組成同級通訊網路。內置遠程I/O口可以控制遠至3公里以外的I/O。
內置RS-232/422/423 口可用來 編程或ASCII顯示，指令系統為高級指令包括數據文件處理、順序器、診斷、移位、立即輸入輸出和程序控制指令等。
PLC5/40處理器多主程序功能包括處理器輸入中斷、可編程故障響應和定時中斷，工作環境溫度 0°C - 60°C, 可電池備份RAM 或 EEPROM 備份。
換I/O模塊時不用斷開接線，接線臂隨模塊發貨。
I/O模塊與交流/直流感測器/執行機構之間有大範圍的信號介面，可適合多種應用。
每個I/O均有發光二極體指示輸入/輸出狀態，便於維護。
輸出模塊固態繼電器中已有保險絲，可保護模塊線路。
模塊上的點數可以有多種配置，最大可配置為32點，以使用戶得到最大的靈活性。
操作員站主要功能：
對PLC程序進行維護 。
報警數據的記錄與管理，並提供相關報表。
形象的工藝流程顯示各生產設備的運行或關停狀態。
顯示系統關停級別和系統本身運行狀態。
故障首發記錄和首發信息的查詢和管理；
系統操作的記錄和管理，並提供相關報表。
系統提供動態的因果圖（CAUSE & EFFECT）使系統關停產生原因和相關結果一目了然。
提供完整的許可權機制，保證系統操作安全可靠。
另外，Rockwell自動化為PLC-5系列處理器提供模擬軟體EMULATE 5。這樣在系統設計並製作完運抵現場前，給我們出廠測試和系統模擬運行提供良好的測試條件，為系統一次投運一次成功打下良好的基礎。
五、控制邏輯與實現
該ESD/PSD系統根據生產環境的不同分為預報警和生產關停（PROCESS SHUTDOWN）、緊急關停（EMERGENCY SHUTDOWN）、火災/天然氣泄露（FIRE/GAS ESD）及放棄平台（ABANDON PLATFORM）四個關停級別。
考慮系統運行安全性和生產環境的特殊性，plc控制櫃放置在中央控制?遙?由??殖±吹謀ň?/關停信號通過電氣壓力開關輸入到PLC系統中；所有去現場設備的關停信號則輸出到現場氣動就地控制盤，控制該氣動控制盤的供氣迴路；到電氣設備（如壓縮機和泵）的關停信號則通過干接點輸出到電氣控制室（MCC）或作為啟動許可直接控制該電氣設備的控制迴路。
為保證系統的運行穩定可靠，整個系統設計時充分考慮故障安全的原則，主要有如下措施：
當儀錶風系統壓力不足時，現場壓力開關信號將不穩定，此時系統緊急關停；
所有輸入信號均定義為帶電正常，當線路發生故障或連接有問題時觸發相關報警和安全保護動作，排除因輸入線路或電纜造成的誤信號問題帶來的事故隱患；
所有系統輸出信號均採用常開觸點（帶電正常），當輸出線路故障或系統本身發生故障時觸發相關輸出，關停該輸出點所對應的控制設備。
PLC系統I/O機架設置為故障時複位，當PLC處理器發生故障時，清除所有輸出以關停控制設備。
報警器的輸入信號設定為開路報警，也就是說當系統故障或從現場到PLC或從PLC到報警器的線路發生故障時均能及時的通知並提醒操作人員處理。
基於以上幾點，整個系統電源發生問題時，能保證所有生產設備能關停到安全狀態。
另外，為了保證系統可靠性所採取的設施還有：
系統供電採用兩路UPS供電電源，當其中一路故障時，自動切換到另外一路。
系統使用的24V直流電源供電單元採用A-B公司的1605冗餘電源，當其中一個電源組件發生故障時，自動切換到另一路而不影響系統的正常運行。
系統除常規報警外對關鍵關停信號做首發記錄，當發生意外關停時能準確及時的了解關停的原因，該首發記錄的精度大概為25ms。
設置完善的故障處理子程序，當掃描或程序運行出現可恢復故障時能及時恢復程序運行不影響正常生產。
系統採用熱備處理器，每個處理器的機架、電源分離。主從處理器通過後備通訊模塊交換數據及狀態保持同步，當處理器電源故障或處理器本身發生故障時，從處理器將接替主處理器對網路及I/O系統進行控制。
在從處理器繼續控制系統的同時，可更換出錯的主處理器。熱備系統可自動在<50ms內動態切換到從機接替系統控制，從而提供時間進行不停機維護或修改處理器程序。
六、結束語
該工程設計時考慮周全，於投入運行以來運行穩定、安全可靠，得到業主一致好評。
