儀表故障模式的設計與分析

皮宇

(中石化廣州工程有限公司，廣東 廣州 510620)

儀表的故障模式是指現場儀表功能失效或信號傳輸失效后的整個回路的處理方式，可參考IEC 60812中的術語定義[1]。當前儀表大多數是智能儀表，在供電正常條件下，具有自診斷功能，能夠在線發現多種故障狀態，例如，膜盒溫度超溫、放大器元件故障、超壓等，當控制系統配置先進的資產管理系統時，可通過HART協議或FF總線通信方式上傳診斷信息，表明此時儀表故障模式不能正常工作。但是對于過程控制系統DCS及SIS，這些儀表可能在工藝控制回路或SIS中充當重要的角色，若不能及時判斷儀表故障將導致嚴重后果，如何處理這些儀表故障也與安全息息相關。

1 過程控制系統如何識別現場儀表故障

按照NAMUR NE 43標準，正常工作時儀表輸出到控制系統的電流信號為4～20 mA，當智能變送器自診斷到故障時，可以依據NAMUR NE 43標準改變輸出信號范圍使控制系統判斷出其處于故障狀態，根據NAMUR NE 43標準信號處理方式如圖1所示。

圖1 根據NAMUR NE 43標準信號處理方式示意

變送器正常輸出電流為4～20 mA時，說明儀表工作于正常的標定范圍。如果輸出電流略微越限，例如在3.8 mA，或20.5 mA時，說明變送器依然可以正常測量線性化工藝變量并輸出。例如壓力信號略微有一點超壓超過量程，此時壓力變送器并不認為是故障，繼續正常工作，并輸出20.5 mA 的電流信號。同時，控制系統也檢測到了該越界信號，也不認為變送器有故障，僅僅是在線性化處理時屏蔽了超過標定量程以外的信號，此時控制系統人機界面上出現壓力位于最高量程上限，但是工程師站在組態模塊的底層仍然可以看到20.5 mA的信號，只是無需處理。

NAMUR NE 43標準定義的“burn out”指故障門檻電流，低限為3.6 mA，高限為21 mA，當變送器發生斷偶或環境溫度高于正常工作范圍時，變送器自我診斷到故障。此時，輸出電流信號可以被強制趨向于兩個極端，可以上升、也可以下降，但是一定在標準規定的門檻電流以外，可能到2 mA，也可能到21.5 mA以上。控制系統廠家一般也按照該標準識別故障，很多系統將故障門檻電流高限設置為20.8 mA也基本吻合NAMUR NE 43標準，控制系統檢測到變送器信號不大于故障門檻電流底限或不小于故障門檻電流高限時，控制系統將變送器信號處理為故障信號。也有特殊情況，業主根據現場儀表的情況，將門檻值調得很寬，避免控制系統過激動作，增加可用性。根據現場儀表的工作狀態具體分析，一般多用于非常規特殊儀表，例如雷達液位計等。

2 變送器故障模式時電流的走向

智能變送器一旦設置好故障信號走向，后期不宜修改。該信號走向的設計，相對來說，要具體結合DCS，SIS的品牌型號以及工藝的具體特性來確定。

1)對于DCS，沒有必要產生多余工藝誤報警，當斷線時，即使智能變送器也無法輸出高電流，電流走向一定是趨于低方向，所以通常所有的故障模式全部按照故障最大概率——斷線故障處理，變送器全部按照“走低”模式設置，此時如果工藝有低限報警，將被觸發，但是高限報警將不會觸發，因為工藝并未真實改變，僅僅是儀表故障而已。

2)對于SIS，相對來說比較復雜，設置不準確將對安全有一定的影響。系統模擬輸入模塊檢測到現場變送器故障時，有兩種選擇，既可以選擇保持不觸發聯鎖動作，也可以選擇直接觸發。此時要全面綜合兼顧安全儀表功能的架構，以及安全儀表功能的可用性和可靠性綜合判斷。

以下介紹幾種設計思路供參考。

2.1 按照故障觸發聯鎖思路設計

在該模式下，SIS組態所有儀表故障全部觸發聯鎖。此時，安全儀表功能的可靠性增加，可用性降低，可能過于頻繁地誤停車，影響工藝的經濟性。此時，現場儀表推薦設計為容錯的架構來提高可用性，例如： 采用“2oo3”架構，單臺變送器故障時電流信號“走低”或“走高”，SIS都觸發聯鎖，但因為架構容錯，不一定停車。

當有報警記錄時，此時應使變送器電流的走向與聯鎖的設定方向保持一致，例如高高聯鎖時，輸出電流“走高”，低低聯鎖時，輸出電流“走低”。易于檢查儀表的歷史趨勢，判斷原因簡單，大多數國內項目都采用該設計方式，由此可見增加非必要的工藝報警對工藝操作都是無益的。

2.2 按照故障觸發架構降級思路設計

該設計的基礎是控制系統可以實現表決架構自動降級處理。例如，有自動降級功能的“2oo3”模塊，即檢測到儀表故障時，儀表的信號走向可背離聯鎖方向，不觸發聯鎖，但是容錯的表決架構降級，使故障儀表在表決架構中失效被安全儀表功能屏蔽，不允許其參與表決，原“2oo3”降級為“1oo2”，繼續利用其他正常信號儀表進行表決，故障表歸類于故障的管理動作，不影響工藝生產，但是該降級與是否自動旁路以及表決架構有關，自動旁路和故障識別以及架構降級功能見表1所列。

表1執行的條件是SIS有能力檢測故障，智能儀表基本都有內部診斷功能，而且都符合NAMUR NE 43的標準，變送器的輸出需設定為正作用即測量值增大時，輸出電流也增大。

2.3 現場儀表非智能儀表并用于安全儀表功能

當儀表與SIS匹配不具備檢測信號故障狀態，儀表輸出為模擬量時，儀表不能設置自動旁路，也不能同時兼具高高及低低聯鎖功能，除非這兩個聯鎖的動作一致，當儀表用于低低聯鎖時，儀表輸出需設置為正作用，用于高高聯鎖時，儀表輸出需設置為反作用，即與斷線故障處理方式一致，故障觸發聯鎖。

2.4 當儀表出現斷路或短路故障

當變送器斷路或掉電時，檢測到信號電流在500 ms時間內從當前值降到0，現象為直接觸發該信號低低聯鎖。反之，短路引起的電流突升也一樣觸發高高聯鎖，此時儀表本身可能沒有問題，是線路出了故障，一般短時間故障不可恢復，儀表設置任何信號走向都沒有意義且作用也不大，此時控制系統也無需特殊處理，按照電流走向動作即可。

表1 自動旁路和故障識別以及表決架構降級功能

2.5 故障后報警的處理

當控制系統檢測到現場儀表輸出為異常信號時，需根據該儀表的用途來決定報警的處理方式。一般可列入報警抑制范疇，動態監控其是否恢復，規定時間內不報警，等待被維修，操作員畫面提示異常。

2.6 控制系統增加單獨診斷報警信號

智能儀表可以在自診斷失效時，單獨輸出干觸點信號給控制系統，當該儀表非常重要且難于利用表決架構容錯時，控制系統無需通過模擬量判斷，可直接使用該故障硬接點信號聯鎖動作，多用于安全性要求非常高的場合。

3 注意事項

當控制系統通過電流辨識現場儀表狀態時，應注意以下幾點：

1)注意安全柵的配置及遠距離傳輸時線路阻抗對回路電流的影響。例如，距離很遠，回路電阻很大，電流不可能超過21 mA時，齊納安全柵可能也影響回路阻抗時，電流可能永遠無法上升到控制系統設定的故障門檻電流高限，即便此時變送器已經按照輸出“走高”處理，控制系統也無法識別故障。

2)如果按照架構降級思路設計，儀表故障處理時間是有限制的，如果超時，將產生更高級別的報警或動作，設定時間及動作需結合工廠的管理水平設定。

3)當使用架構降級時，尤其是第二次降級，可能變更最低硬件故障裕度(HFT)，降級期間可能影響SIL等級對硬件結構的約束[2]。

4 結束語

智能化儀表及控制系統的使用，對于提高未來智能化工廠的管理水平提供了更多的選擇。

變送器失效模式(failure mode)的設計，不僅是現場變送器的設計，還一定要包含控制系統的組態及工廠管理模式統一考慮。本文提供的幾種設計思路可有選擇使用，當工廠自動化管理水平較高且安全許可情況下，可偏重選擇2.2，2.5節的設計思路；當需要簡單實施且偏重安全時，可偏重選擇參考2.1，2.3，2.4，2.6節的設計思路，供同行參考。