3. ESD系统架构与安全要求

紧急关断系统（Emergency Shutdown System，ESD）是海洋平台上独立于过程控制系统的安全保护层。理解ESD，不能只停留在“出事故就关断”的直觉层面，而要从系统组成、安全完整性等级、逻辑求解器、安全I/O以及典型关断逻辑五个维度建立工程化认识。本节围绕这五个维度展开，帮助读者看清ESD“由什么构成、凭什么可信、如何实现关断”。

一、安全仪表系统的组成

安全仪表系统（SIS）在海洋平台上通常以ESD为核心实现，其标准结构可划分为三个部分：传感器子系统、逻辑子系统（逻辑求解器）和执行子系统（最终元件）。传感器子系统包括压力变送器、温度开关、火焰探测器、可燃气体探测器、液位开关等，负责感知危险状态；逻辑子系统即ESD逻辑求解器，负责按预定安全逻辑进行判断和输出；执行子系统包括关断阀、泄放阀、电机停机和消防泵启动回路等，负责把逻辑判断转化为实际的物理动作。

三者构成一条完整的“检测—判断—动作”安全链。任何一个环节失效，整条安全功能都可能失效，因此SIS设计强调“从传感器到最终元件”的全链路评估，而不是只关注逻辑求解器本身。海洋平台还要求ESD与F&G（火气系统）、PCS（过程控制系统）保持清晰的边界：PCS负责常规调节，ESD独立设置、独立供电、独立I/O，避免共因失效。

二、安全完整性等级（SIL）概念

SIL是衡量安全功能可信程度的等级指标，依据IEC 61508/61511，按要求时的平均失效概率（PFDavg）划分。SIL等级越高，要求安全功能在需要时成功执行的概率越大。工程上常用下表理解其量级关系（示例性归纳，具体项目以所选标准版本和评估结论为准）：

需要强调：SIL等级不是设备铭牌上的“质量等级”，而是针对某一条具体安全功能（Safety Instrumented Function，SIF）的评估结果。同一条关断阀，用于不同工艺段、不同冗余结构，其可达SIL可能不同。SIL评估通常结合HAZOP与LOPA分析确定目标等级，再通过PFD计算、结构约束（如硬件故障裕度HFT）和系统能力验证是否达标。海洋平台常见做法是将关键关断功能定为SIL 2，少数高风险场景提升至SIL 3，并通过冗余传感器、冗余输出和诊断覆盖率来支撑。

三、ESD逻辑求解器

逻辑求解器是ESD的“大脑”。海洋平台常用安全PLC或专用安全控制器，其核心特征是：通过TÜV等机构的安全认证、支持冗余配置（如双CPU、双电源）、具备在线诊断和故障安全（fail-safe）输出能力。逻辑求解器内部按扫描周期执行安全逻辑：读取安全输入映像、执行关断逻辑运算、刷新安全输出，并持续进行自诊断。

工程实现上，逻辑求解器通常采用“去能/使能”式设计：正常时输出保持使能（如继电器励磁、输出为1），一旦触发关断或检测到内部故障，输出失电（de-energize to trip），使最终元件回到安全位置。这种“失电关断”原则是ESD可靠性的关键——线路断线、电源丢失也会导向安全侧。下图展示了一个典型的ESD安全链结构及信号流向：

四、安全I/O与典型关断逻辑

安全I/O是逻辑求解器与现场设备之间的接口，其设计要点包括：输入通道具备线路监测（断线、短路检测），输出通道采用冗余或带诊断的开关量输出，模块本身支持热插拔和故障隔离。海洋平台常将安全I/O按关断等级分区，例如ESD-1级（单元关断）、ESD-2级（平台关断）、ESD-3级（全平台弃平台关断），不同等级对应不同的触发源和动作范围。

典型关断逻辑以“因果矩阵”形式表达：行是触发原因（如高高压、气体探测、火焰探测、手动ESD按钮），列是动作结果（关断某阀、停某泵、启动消防泵），交叉点表示该原因是否触发该动作。以某工艺段为例（示例参数，仅作教学说明）：当分离器压力达到高高压设定值（如高于正常操作压力10%），触发ESD-1，逻辑求解器输出使SDV-101失电关闭，同时停运入口压缩机；若可燃气体探测器达到25%LEL并持续2秒，则升级触发ESD-2，扩大关断范围并启动消防泵。逻辑中通常设置延时（如2～3秒）以抑制瞬时误报，同时保证不因延时过长而削弱保护效果。

实际组态时，工程师需要在安全逻辑中明确每个触发条件的投票逻辑（如2oo3）、复位方式（手动复位优先于自动复位）、旁路管理（旁路需审批并限时）以及首出记录，便于事故后追溯。关断逻辑的验证不能只看逻辑图，还要通过回路测试确认从传感器动作到阀门实际关闭的全链路响应时间满足安全要求。

综上，ESD系统架构的核心在于：以独立的安全链实现检测、判断与动作，以SIL量化其可信程度，以安全逻辑求解器和安全I/O承载关断逻辑，以失电关断和全链路验证保障安全功能在需要时可靠执行。掌握这几点，就掌握了海洋平台ESD集成的安全基础。