陳偉杰

［中海石油（中國）有限公司蓬勃作業(yè)公司，天津 300452］

1 GMR原理及典型結(jié)構(gòu)

Genius Modular Redundancy（Genius總 線 模 塊冗余系統(tǒng)），本質(zhì)上是一種表決系統(tǒng)，并不是一般意義上的冗余系統(tǒng)。該系統(tǒng)由一系列模塊子系統(tǒng)組成，綜合形成柔性且強(qiáng)有力的整體。GMR 系統(tǒng)由輸入子系統(tǒng)、控制器子系統(tǒng)和輸出子系統(tǒng)組成。利用90-70PLC、Genius I/O模塊、VersaMax I/O產(chǎn)品、GMR提供了從輸入設(shè)備，1/2/3個(gè)PLC CPU，到輸出設(shè)備不同的組合表決方式。作為緊急停車系統(tǒng)（或稱安全儀表系統(tǒng)），GMR系統(tǒng)在渤海某油田群得到了廣泛的應(yīng)用，每個(gè)設(shè)施包含兩套系統(tǒng)，分別為ESD和PSD。GMR系統(tǒng)增加了正常運(yùn)行時(shí)間，降低平均修理時(shí)間，對(duì)于系統(tǒng)明顯及隱藏的故障方面實(shí)現(xiàn)高級(jí)診斷。統(tǒng)組成。輸入子系統(tǒng)由兩重化DI 模塊（Genius IO 模塊）和三重化的AI 模塊（VersaMax 模塊）組成；控制器子系統(tǒng)由兩臺(tái)90-70PLC 系統(tǒng)組成；輸出子系統(tǒng)由兩重化的DO 模塊組成。

控制器子系統(tǒng)的兩臺(tái)90-70PLC可以通過硬件和軟件組態(tài)實(shí)現(xiàn)數(shù)據(jù)通信。在GMR 組態(tài)中，必須指定作為“Alpha/Beta”總線的GBC 模塊。作為“Alpha/Beta”總線的GBC 模塊，可以是單獨(dú)的兩塊GBC 專職，也可以是某組（一般是第1 組）Genius IO 總線組LAN-A 和LAN-B 的GBC 兼任。軟件進(jìn)行邏輯編程，對(duì)于“Alpha/Beta”總線提供的G變量進(jìn)行適當(dāng)編程，從而實(shí)現(xiàn)兩臺(tái)PLC 之間的數(shù)據(jù)通信。

圖1為典型的GMR三重化系統(tǒng)結(jié)構(gòu)圖。

圖1 典型的GMR三重化系統(tǒng)結(jié)構(gòu)圖

2 GMR應(yīng)用

渤海某海上油田群采用GE90-70系列PLC作為關(guān)斷系統(tǒng)，采取的是雙重化CPU[1]。其中ESD系統(tǒng)主要與火氣系統(tǒng)有關(guān)，負(fù)責(zé)一級(jí)關(guān)斷和二級(jí)關(guān)斷的控制；PSD主要與生產(chǎn)安全有關(guān)，負(fù)責(zé)三級(jí)關(guān)斷（生產(chǎn)整體）和四級(jí)關(guān)斷（生產(chǎn)單元）的控制[2]。每套系統(tǒng)GMR系統(tǒng)由輸入子系統(tǒng)，控制器子系統(tǒng)和輸出子系

DO是兩重化模塊，每個(gè)DO模塊斗魚PLCA/B通過Genius總線連接，即在通信正常的情況下，每個(gè)DO模塊都能接受到PLCA/B的輸出值，再加上Duplex值，進(jìn)行“3取2表決”。輸出分為“I型輸出”和“T型輸出”，兩者應(yīng)用和接線方法也不同?！癐 型輸出”：接線圖2，主要用于“正常得電，Trip 失電”的關(guān)斷閥/電機(jī)等類型的現(xiàn)場(chǎng)設(shè)備?！癉uplex 設(shè)定值”和“Default 設(shè)定值”均為“0”?！癟 型輸出”：接線如圖2所示，主要用于“正常失電，Trip得電”的公共廣播/報(bào)警燈等類型的現(xiàn)場(chǎng)設(shè)備?！癉uplex 設(shè)定值”設(shè)為1，“Default 設(shè)定值”設(shè)為“0”。

圖2 DO輸出類型和結(jié)構(gòu)形式

當(dāng)通信正常情況下：不論是I 型還是T 型的模塊，一對(duì)模塊上的通道指示燈應(yīng)該是相同狀態(tài)，同為1 或0。當(dāng)Genius 總線通信不正常時(shí)：需要考慮該模塊與1 臺(tái)還是2 臺(tái)PLC 通信中斷；DO 模塊的類型；Duplex 值/Default值的設(shè)定等多種因素來分析DO 模塊的輸出狀態(tài)。

HMI 主要用于ESD/PSD 系統(tǒng)的監(jiān)控，關(guān)鍵報(bào)警點(diǎn)的監(jiān)控，SOE 的記錄和其他一些輔助功能。但是，絕不參與生產(chǎn)的操作和控制。該油田2期項(xiàng)目的HMI 均用Cimplicity 6.1/SP6 軟件。運(yùn)行HMI 軟件的計(jì)算機(jī)一般稱為“SOE 站”。各平臺(tái)上的SOE 站中游安裝了Proficy Machine Edition 5.6/SIM8。因此，在各平臺(tái)上，SOE 站又作為工程師站使用。

大部分系統(tǒng)中的PLC由兩個(gè)機(jī)架組成，主機(jī)架和擴(kuò)展機(jī)架，兩個(gè)機(jī)架分別由獨(dú)立的電源模塊供電[3]。由于投用時(shí)間較長，以及電源模塊設(shè)計(jì)缺陷，電源模塊導(dǎo)致的關(guān)斷次數(shù)較多。

雙重化，可使用以下任何一種輸入/輸出的配置。系統(tǒng)可以是容錯(cuò)的，每個(gè)系統(tǒng)都能獨(dú)立處理數(shù)據(jù)。運(yùn)作時(shí)，檢查的數(shù)據(jù)在兩臺(tái)處理器中進(jìn)行比較。

當(dāng)主機(jī)架電源模塊損壞之后，主機(jī)架卡件包括CPU均會(huì)掉電，PLC會(huì)切換為單CPU運(yùn)行，系統(tǒng)正常，不會(huì)產(chǎn)生關(guān)斷。當(dāng)擴(kuò)展機(jī)架電源模塊損壞之后，主機(jī)架卡件包括CPU會(huì)正常運(yùn)行，擴(kuò)展機(jī)架卡件掉電，CPU與擴(kuò)展機(jī)架通信丟失，會(huì)產(chǎn)生關(guān)斷。

3 擴(kuò)展機(jī)架掉電現(xiàn)象

某平臺(tái)發(fā)生關(guān)斷，發(fā)現(xiàn)GE工程師站HMI顯示PSD 診斷中PLC A擴(kuò)展機(jī)架全部卡件報(bào)警?，F(xiàn)場(chǎng)設(shè)備部分關(guān)停，部分正常運(yùn)行。DELTA V畫面顯示PSD系統(tǒng)大多數(shù)變送器數(shù)值均為滿量程值，當(dāng)DELTA V與PSD PLC的通信由PLC A切換到PLC B后，數(shù)值恢復(fù)正常；有三級(jí)關(guān)斷變送器信號(hào)為滿量程值。

打開PLC機(jī)柜，檢查發(fā)現(xiàn)PLC A擴(kuò)展機(jī)架電源模塊指示燈是滅的狀態(tài)。測(cè)量該機(jī)架電源模塊輸入端有220V電壓輸入，判斷擴(kuò)展機(jī)架電源模塊故障。后拆下電源模塊發(fā)現(xiàn)內(nèi)部元器件有及電路有燒毀跡象，確認(rèn)為電源模塊故障。

此次關(guān)斷的直接原因是PSD PLC A擴(kuò)展機(jī)架電源失效，導(dǎo)致三級(jí)關(guān)斷信號(hào)觸發(fā)三級(jí)關(guān)斷。當(dāng)PLC A擴(kuò)展機(jī)架電源失效，該機(jī)架上GBS失電，PLC A無法讀取該GBC卡件下掛的所有卡件，根據(jù)故障安全原則以及最初設(shè)計(jì)，在現(xiàn)場(chǎng)I/O通信中斷的情況下，對(duì)于模擬量輸入AI點(diǎn)，將采用最大值作為當(dāng)前輸入的狀態(tài)，這個(gè)值對(duì)于一般火氣探頭而言都會(huì)導(dǎo)致高高報(bào)警產(chǎn)生，對(duì)壓力變送器也類似，對(duì)于數(shù)字量輸入DI點(diǎn)，將采用值作為當(dāng)前輸入值，默認(rèn)狀態(tài)為TRIP狀態(tài)，因此PLC A發(fā)出三級(jí)關(guān)斷指令，PLC B工作正常，未發(fā)出關(guān)斷指令。

PSD PLC A發(fā)出三級(jí)關(guān)斷指令，同時(shí)PSD PLC B處于正常狀態(tài)，發(fā)出的是正常運(yùn)行指令；但是由于PLC A擴(kuò)展機(jī)架GBC卡件失電，導(dǎo)致掛在擴(kuò)展機(jī)架上的所有DO輸出模塊無法接收到關(guān)斷指令，只有掛在PLC A主機(jī)架GBC卡件上的所有DO輸出模塊接收到關(guān)斷指令；所有掛在PLC主機(jī)架的DO輸出模塊收到了兩個(gè)不同的指令，對(duì)收到的兩個(gè)指令，并與默認(rèn)值進(jìn)行表決，執(zhí)行關(guān)斷指令，關(guān)斷執(zhí)行的DO模塊均為I型輸出；而所有掛在PLC擴(kuò)展機(jī)架的DO輸出模塊接收到的兩臺(tái)PLC的指令均為正常運(yùn)行，表決后不執(zhí)行關(guān)斷；這就是本次三級(jí)關(guān)斷只有部分關(guān)停的原因。

系統(tǒng)中兩臺(tái)PLC，如果CPU發(fā)生故障，可以自動(dòng)切換到另一臺(tái)正常運(yùn)行，但是如果一臺(tái)PLC中其他卡件發(fā)生故障，因?yàn)閱蝹€(gè)卡件故障類型在硬件組態(tài)中未診斷故障，PLC CPU只是報(bào)警，不會(huì)停止運(yùn)行，但是往往每個(gè)卡件上有AI點(diǎn)或者DO點(diǎn)，因?yàn)榭墓收霞由瞎收习踩偷脑O(shè)計(jì)理念，會(huì)因此產(chǎn)生不必要的關(guān)斷。

4 解決方案分析

根據(jù)系統(tǒng)架構(gòu)分析以及故障現(xiàn)場(chǎng)，解決該問題的進(jìn)一步措施有以下幾種：

（1）如保持這種架構(gòu)設(shè)計(jì)建議每5年計(jì)劃關(guān)斷更換全部電源模塊。全油田大概有幾百塊，而計(jì)劃關(guān)停的機(jī)會(huì)很少，油田處于正常生產(chǎn)狀態(tài)不會(huì)因?yàn)殡娫茨K的問題每隔一段時(shí)間就計(jì)劃關(guān)停進(jìn)行檢修。

（2）如定期更換電源不能實(shí)現(xiàn)，就要改變之前三重冗余SIL3等級(jí)設(shè)計(jì)，徹底變成冗余熱備系統(tǒng)，重新刷網(wǎng)絡(luò)架構(gòu)，但需要停產(chǎn)實(shí)施，還要做充分的SAT進(jìn)行驗(yàn)證。這種方法可以改變現(xiàn)狀，一次計(jì)劃停車檢修即可以解決問題。

（3）由于GE 90-70關(guān)斷系統(tǒng)存在設(shè)計(jì)缺陷，導(dǎo)致擴(kuò)展機(jī)架電源故障導(dǎo)致部分關(guān)停，增加對(duì)卡件的診斷功能。

一種方法是更改硬件診斷中擴(kuò)展機(jī)架故障類型，這就需要修改PSD系統(tǒng)的硬件組態(tài)，將其中的Loss of or Missing Rack 由Diagnostic（診斷型故障）改為Fatal（致命故障）（見表1），可以參考圖3將報(bào)警屬性更改后，當(dāng)發(fā)生擴(kuò)展機(jī)架掉電或者其他原因?qū)е碌臒o法檢測(cè)到擴(kuò)展機(jī)架時(shí)，會(huì)使CPU 停止運(yùn)行。按照這種方法進(jìn)行更改后，發(fā)生擴(kuò)展機(jī)架掉電后，會(huì)造成系統(tǒng)處于單PLC運(yùn)行的狀態(tài)，需要現(xiàn)場(chǎng)及時(shí)對(duì)故障進(jìn)行處理，盡快恢復(fù)雙PLC運(yùn)行。

表1 故障類型

為進(jìn)一步減少因?yàn)閱蝹€(gè)卡件故障造成的關(guān)斷，可以添加對(duì)PLC卡件的檢測(cè)，當(dāng)檢測(cè)到卡件故障時(shí)，自動(dòng)切換到另一臺(tái)PLC運(yùn)行，并做出相應(yīng)的報(bào)警，避免發(fā)生關(guān)斷。以上兩種修改，涉及PSD系統(tǒng)的硬件組態(tài)修改和下裝，需要停掉PLC才能實(shí)現(xiàn)下裝，可在停產(chǎn)檢修期間修改。

另一種方法是在主程序中增加兩條語句，加在調(diào)用子程序語句之前。#slot—10是系統(tǒng)檢測(cè)擴(kuò)展機(jī)架電源狀態(tài)，1代表Rack，0代表0槽，如果擴(kuò)展機(jī)架電源故障，該點(diǎn)得電并觸發(fā)M04097，之后調(diào)用功能塊 SVC REQ，F(xiàn)NC 13 代表停止CPU。這種方法優(yōu)點(diǎn)是可以在線更改。但要注意下面程序用到的寄存器地址，各個(gè)平臺(tái)可能會(huì)不一樣，用錯(cuò)會(huì)有風(fēng)險(xiǎn)，再有就是這段程序是測(cè)試用的，是在實(shí)驗(yàn)室環(huán)境下取得的結(jié)果，還需要論證一下，在系統(tǒng)正常運(yùn)行的情況下這段程序是否有效穩(wěn)定。程序修改示意圖見圖4。

圖4 診斷設(shè)置示意圖

圖4 程序修改示意圖

（4）從GE獲悉此產(chǎn)品到2019年徹底停產(chǎn)，第三種就是升級(jí)改造更換設(shè)計(jì)、應(yīng)用更加成熟的產(chǎn)品。

5 結(jié)論

當(dāng)主機(jī)架電源模塊損壞之后，主機(jī)架卡件包括CPU均會(huì)掉電，PLC會(huì)切換為單CPU運(yùn)行，系統(tǒng)正常，不會(huì)產(chǎn)生關(guān)斷。當(dāng)擴(kuò)展機(jī)架掉電之后，主機(jī)架卡件包括CPU會(huì)正常運(yùn)行，擴(kuò)展機(jī)架掉電，CPU與擴(kuò)展機(jī)架通信丟失，會(huì)產(chǎn)生關(guān)斷或者部分關(guān)斷。

這種現(xiàn)象是由于GE90-70系統(tǒng)框架電源組成的三重冗余架構(gòu)的電源為單電源模式，是不符合ESD/PSD系統(tǒng)設(shè)計(jì)規(guī)范的。而且該框架不支持雙電源，這就是設(shè)計(jì)缺陷。而電源模塊故障率很高，這就屬于質(zhì)量問題。

為了避免因?yàn)殡娫垂收显斐傻念愃脐P(guān)停，最便捷以及投入最低的方法就是修改硬件診斷中擴(kuò)展機(jī)架故障類型，由Diagnostic（診斷型故障）改為Fatal（致命故障），當(dāng)無法檢測(cè)到擴(kuò)展機(jī)架時(shí)，停止該P(yáng)LC的運(yùn)行；為進(jìn)一步優(yōu)化，還可以增加單獨(dú)的卡件故障檢測(cè)，當(dāng)發(fā)生單獨(dú)的卡件故障時(shí)，自動(dòng)切換到另一臺(tái)PLC運(yùn)行。

解決該問題最根本的方法還是升級(jí)改造，應(yīng)用更為成熟，更為穩(wěn)定的產(chǎn)品和系統(tǒng)架構(gòu)。