2. 联锁与ESD系统架构与组成

海洋平台上的联锁与紧急停车系统（ESD）并不是一台孤立的设备，而是一条从“感知”到“判断”再到“动作”的完整安全链。理解这条链的组成、冗余方式和安全完整性等级（SIL）概念，是后续学习联锁逻辑设计、测试与维护的基础。本节围绕三个基本环节——传感器、逻辑控制器、最终执行元件——展开，并说明冗余容错结构与SIL初步概念如何贯穿其中。

一、安全回路的三段式结构

一个典型的安全仪表功能（SIF）由三部分组成：传感器负责检测工艺参数是否越限，逻辑控制器（安全PLC或ESD控制器）按预定逻辑判断并输出停车指令，最终执行元件（关断阀、放空阀、机泵停机回路等）执行使工艺进入安全状态的动作。三者串联构成一个安全回路，任何一环失效都可能导致安全功能失效，因此每一环都需要单独评估其可靠性。

以海洋平台常见的井口超压保护为例：井口管汇上的压力变送器检测到压力达到高高限设定值（例如设定为9.5 MPa，量程0～15 MPa），信号送入ESD控制器，控制器经表决逻辑确认后输出指令，触发井口安全阀（SSV）关闭并联动关停相关生产泵。这个过程中，传感器、控制器、执行元件各自承担不同职责，缺一不可。

二、冗余与容错结构

海洋平台环境恶劣、维修窗口有限，单点故障可能导致安全功能失效或误停车，因此冗余配置是ESD系统的核心设计手段。冗余不是简单“多装一个”，而是通过表决方式在安全性和可用性之间取得平衡。

常见的表决结构包括：1oo1（单通道，无冗余，结构简单但单点故障即失效）、1oo2（双通道，任一通道动作即触发，安全性高但误停车概率增加）、2oo2（双通道，两票一致才动作，可用性高但安全性较低）、2oo3（三通道，两票通过即动作，兼顾安全性与可用性，是海洋平台ESD常用配置）。以井口压力保护为例，若采用2oo3配置三台压力变送器，当其中一台漂移或故障时，系统仍能依靠另外两台正常表决，既不会因单台误报而停车，也不会因单台失效而失去保护。

容错还体现在故障安全（Fail-Safe）设计上。例如关断阀选用失电关闭型（Fail-Close），电磁阀正常励磁保持开阀，一旦供电中断或信号丢失，电磁阀失电、阀门靠弹簧复位关闭。这种“故障即安全”的设计使系统在失去能源时自动进入安全状态，是海洋平台ESD的基本要求。控制器侧则采用双CPU热备，主CPU故障时备用CPU无扰切换，切换过程不丢失输出状态。

三、SIL初步概念

安全完整性等级（SIL）是对安全仪表功能可靠性的分级度量，分为SIL 1至SIL 4，等级越高，要求的安全功能失效概率越低。SIL等级由要求时的平均失效概率（PFDavg）或每小时危险失效概率（PFH）来量化。以低要求模式为例：SIL 1对应PFDavg在10⁻²～10⁻¹之间，SIL 2对应10⁻³～10⁻²，SIL 3对应10⁻⁴～10⁻³。海洋平台井口超压保护通常要求SIL 2或SIL 3，具体等级由工艺风险评估（如HAZOP与LOPA分析）确定。

SIL等级不是单个设备的属性，而是整条安全回路（传感器+控制器+执行元件）共同达到的指标。因此选型时需关注每个部件的SIL认证能力，并通过冗余结构、诊断覆盖率、定期测试周期等手段使整条回路满足目标PFDavg。例如某回路要求SIL 2，若传感器采用1oo2结构、控制器采用双冗余、执行元件采用失电关闭阀，再配合合理的定期功能测试（如每季度一次部分行程测试），即可通过计算验证整条回路的PFDavg是否落在10⁻³～10⁻²区间内。

四、工程配置示例

下面以井口超压保护回路为例，给出一个可参考的配置参数表（示例参数，仅用于教学说明）：

配置时需注意：传感器高高限设定值应低于安全阀起跳压力并留有一定裕量，避免正常波动误触发；控制器输入表决逻辑要与现场实际接线一致，2oo3配置需三台变送器独立供电与独立信号通道，防止共因失效；执行元件的部分行程测试（PST）可在不停产条件下验证阀门动作能力，是维持SIL等级的重要手段。