李园园，陈国明，耿向忠

（1.中国石油大学（华东）海洋油气装备与安全技术研究中心，山东东营257061；2.兰州理工大学，兰州730050） ①

防喷器安全仪表系统结构分析

李园园1，陈国明1，耿向忠2

（1.中国石油大学（华东）海洋油气装备与安全技术研究中心，山东东营257061；2.兰州理工大学，兰州730050）①

防喷器组作为海上钻完井作业的关键设备，可有效防止井涌、井喷等事故，对于保护人员、设备、海洋环境和油气资源免受惨重破坏和污染起到重要作用。根据功能安全国际标准的规定，将防喷器及其控制系统等看作一个广义的安全仪表系统，分析该系统的安全仪表功能及各部分可能存在的失效模式和冗余设置，可为防喷器的定量安全评估提供依据。

防喷器；安全仪表系统；安全功能

随着石油开采向海洋进军，在经历过几次大的海洋石油开采事故之后，海洋石油生产安全越来越受到关注［1］。安全仪表系统在保障平台安全生产方面发挥了重要作用，其本身的安全性受到各国的重视，国内外纷纷制定了相关的法律法规及对策措施来保障安全仪表系统的安全，从而预防和控制事故的发生。墨西哥湾“深水地平线”号钻井平台井喷爆炸着火事故的调查结果显示：事故发生后不断扩大的一个重要的原因是安全防护措施失效，防喷器胶芯刺漏和紧急关断系统等多项安全系统同时失效促进了事故的后续发展，最终导致了事故的严重后果。

海洋平台石油开采中，防喷器及其控制系统对预防井涌和井喷等危险事故、保护人员和设备的安全起了重要作用［2－4］，其可靠与否对于保护整个平台的安全都是至关重要的，因此很有必要展开防喷器

1 安全仪表功能分析

依据功能安全国际标准的规定及要求，防喷器及其控制系统以及用于井涌、井喷检测的设备设施等可以组成一个庞大复杂的安全仪表系统（以下称为防喷器安全仪表系统）［5－6］。防喷器安全仪表系统的核心部件是防喷器组，在需要的情况下，通过对防喷器组的控制关闭防喷器，以保护井口及平台的安全。因此，防喷器安全仪表系统的安全功能可根据防喷器组的功能确定，而防喷器组的安全功能则要考虑其组成部分的各个防喷器。

由于目前防喷器配置选型还没有统一的标准，水下防喷器根据水深和工作海域的不同而有所不同。防喷器的选配要根据地层压力和工作环境条件来确定，主要由环形防喷器和闸板防喷器组成。

1.1 环形防喷器

环形防喷器必须配备液压控制系统才能使用，可分为球形防喷器、锥形防喷器，通常与闸板防喷器配套使用，也可单独使用。主要功能包括：

1） 当井内有钻杆、方钻杆、钻杆接头、钻铤等工具时，密封其与工具之间的环形区域。

2） 当井内无钻具时，可短时间封闭整个井口，但通常情况下不允许做长时间关井用。

1.2 闸板防喷器

闸板防喷器是井控装置的重要组成部分，可以有效控制井口压力，防止井喷事故的发生。闸板防喷器按照闸板副数分为单闸板、双闸板和三闸板防喷器；按照闸板形状可分为全封、半封、剪切和变径闸板防喷器。其主要功能包括：

1） 当井内无钻具时，可封闭整个井口，又称为封零。

2） 井中有钻具时，可使用半封闸板封闭环形空间。

3） 紧急情况下，当井内有钻具需要完全封井时，可使用剪切闸板剪切钻具。

由以上环形防喷器和闸板防喷器的主要功能，归结防喷器安全仪表系统的安全功能如下：

1） 井内有钻具时，可用于密封环形钻柱区域。

2） 空井时密封整个井口。

3） 必要时切断钻具密封井口。

安全功能1）可以通过环形防喷器和管子闸板防喷器来执行；安全功能2）需要盲剪切闸板执行封井功能；安全功能3）在封井之前需要利用剪切闸板切断钻具。安全功能2）和安全功能3）可以归结为一个功能，即封闭整个井口。

2 安全仪表系统结构分析

确定了防喷器安全仪表系统的安全功能之后，接下来考虑执行安全功能所涉及到的各个结构与组成部分。防喷器安全仪表系统结构如图1，主要由检测部分、控制部分、功能执行部分以及辅助部分组成。

图1 防喷器安全仪表系统结构

2.1 检测部分

检测部分是指能够检测和预报井涌的仪器或设备，主要是指钻井多参数仪。钻井多参数仪是系统工作参数的集成仪表，有助于司钻及时掌握钻进状态，保证钻进安全。现场作业中，井眼和泥浆池是封闭的循环系统，发生井涌井漏时，在人机接口上会有所显示，如钻井液的性能及钻井液数量会发生变化等。钻井工程参数与井喷密切相关，通过对这些参数变化的监测，便可预测井喷发生的可能性。可用于识别和判断井涌发生的信号主要有：钻井液返出量和钻井液池体积增加、停泵后钻井液外溢、起钻时灌不进钻井液或灌入量少于起出的钻具体积、循环系统压力上升或下降、当井底压力失去平衡及钻井时悬重的变化、钻井时放空或钻入低压层时会发生井漏、出口钻井液密度降低、出口钻井液电导率升高、返出的钻井液中有油花气泡等［7］。这些参数是通过不同的传感器探测并在人机界面上显示，以便操作员能够随时了解和掌握井底情况。

用于监测上述井涌发生信号的传感器如图2所示。这些传感器都串联在CAN总线上［8－9］，当某处的传感器检测到异常时，都会在司钻操控面板和中央控制板上显示，司钻需要作出合理的分析并采取相应的措施。在现场作业中，能够警示发生井涌的信号不止以上这些，这就要求司钻或其他操作人员能够正确分析现场情况，熟悉钻井工艺。

图2 海洋钻井多参数仪系统现场分布

检测部分的主要失效模式包括各个传感器的单独失效、信号传输线（CAN总线）失效、脉冲失效、信号输入通道失效以及相互之间的共因失效等，对于不同参数的传感器所采用的不同结构（NooM）要分别进行分析评估。理论上讲，只要以上传感器或者参数发现异常时就要采取相应的措施，但实际操作中，应根据实际情况综合分析，在保证安全的情况下应尽量减少不必要的停车。

2.2 控制部分

控制部分实际上就是通常所讲的防喷器控制系统，主要包括司钻控制台、中央控制台、辅助控制台、水下电子模块（包括蓝箱和黄箱）以及作为操作主体的人。

水下防喷器控制系统主要有液－液先导控制系统、电－液控制系统和多路电液控制系统。对控制系统的选择主要是依据其响应时间来决定的，关闭闸板防喷器的时间不应超过45s，关闭环形防喷器的时间不应超过60s。由于液压先导控制信号在深水中的传输时间比较长，不能满足关闭时间的要求，而单路电液控制系统所需导线多，随水深增加其系统故障率比较高，因此，深水防喷器控制系统大都采用多路电液控制系统。多路电液控制系统信号衰减小，抗干扰能力强，可靠性高，是目前深水防喷器控制的最佳选择［10］。控制部分的主要结构如图3所示。

图3 打开环形防喷器功能电液控制系统

检测部分检测到的现场信号输送到中央控制系统，通过中央处理模块的处理后显示在操作界面上，同时在司钻面板上显示。司钻或其他操作人员根据面板上现场参数的显示来分析和判断井底情况，并通过司钻面板、中央控制面板和辅助面板（队长面板）以loo3的形式进行操作，即通过任何一个面板都可实现对现场的操作。之后信号通过海底蓝箱或黄箱以loo2的形式传输到海底电子模块，海底电子模块的处理模块对信号进行解码响应后，将信号传至执行机构。

控制部分的主要失效模式包括面板显示失效、中央处理单元的失效、各面板之间通讯失效、人员失误、输出通道失效、脉冲失效、水上与水下电子模块通讯失效、水下电子模块失效等。同时不能忽略各相关模块间的共因失效。共因失效在防喷器控制系统的失效中占有很重要的部分，因为结构的冗余在增加系统可靠性和可用性的同时也极大增加了系统的共因失效概率，应认真分析系统的冗余带来的可靠性与增加冗余所引进的失效之间的增减关系，合理经济地配置控制系统结构。

操作人员是控制系统的一部分，在IEC标准中要求当人作为安全仪表系统的一部分时，其动作的可用性和可靠性应在安全规范中加以规定，并包含在SIS的评估计算中。标准中规定当操作员的动作需要经过允许或者开锁设施（为防止偶然的动作而配备的）才能执行时，就可排除操作员失误。本系统中为防止操作员的失误，当需要执行关闭防喷器动作时，操作员需要同时按住防喷器的关闭按钮和电源按钮才能执行相应的关闭动作，这就有效降低了操作员的失误。但该系统中操作员需要对钻井参数仪检测到的井底异常或现场出现的异常情况作出分析判断，因此人员失误也应包括在其中。因此，要求操作人员必须是经过严格培训且持有相关的上岗证件。

2.3 执行部分

执行部分主要是指封闭井口的防喷器及其控制阀。深水防喷器组是由多个防喷器组成的，因此执行时应根据不同的钻井进度，采取不同的关井步骤，关闭不同的防喷器。这是防喷器安全仪表系统有多个安全功能的原因。

需要时，操作员需一手按住电源按钮，另一手按住所需关闭的防喷器的关闭按钮，发出关闭某个防喷器的命令，信号传到水下控制防喷器的电磁阀，将控制油路与防喷器的关闭腔接通，从而关闭防喷器。

执行部分的失效主要指防喷器控制电磁阀和防喷器自身的失效，以及不同的防喷器之间、防喷器控制电磁阀之间的共因失效等。此部分不能简单地表示为NooM结构，因为在不同的情况下所需关闭的防喷器类型及数量是不同的，应根据实际安全功能的需要来确定。同时每一个防喷器都有属于自己的一套控制系统，各个防喷器的控制信号都是通过蓝箱或黄箱控制，并以loo2冗余结构来控制的。单个防喷器的控制系统如图4所示。

图4 BOP控制系统

2.4 辅助部分

辅助部分主要指液压动力单元和电力系统，主要包括液压泵系统（主泵和辅助泵）、储液罐、混液罐、液压控制管汇、水上／下蓄能器组、水上／下电池组、液压管线和电缆线等。由于该系统不属于断电安全系统，所以应将系统的各个辅助部分考虑在SIL（安全完整性等级）评估范围之内。

辅助部分的失效主要是指各部件本身失效以及各部件之间的通讯线路失效。原则上，在水上蓄能器组和水上电池组都可用的情况下，首先使用水上蓄能器组和水上电池组，特殊情况下启动水下部分。但各个部分都可以独立完成关闭全部防喷器的功能，因此SIL评估时也可以看作是loo2结构。

根据功能安全相关标准的要求，安全仪表系统由传感器、逻辑控制器和最终执行元件的任意组合组成，但防喷器安全仪表系统不属于故障－安全型，要求其动作时需要液压动力单元和电力系统的支持才能完成相应的功能，因此结构分析及评估时需将其考虑在内，并将其作为一个单独的部分存在。

利用风险图法为防喷器安全仪表系统选择安全完整性水平为SIL3，而根据挪威石油工业的要求，防喷器安全仪表系统的最低安全完整性水平为SIL2，两者是一致的。通过对海洋平台防喷器安全仪表系统的安全完整性评估，使其结构配置和可靠性达到最优化水平。

3 结语

防喷器安全仪表系统涉及到录井、井控等多个阶段，包括多个庞大复杂的设备，对该系统的有效分析和评价是保障海洋石油开采安全的重要内容。展开对该系统的定量安全评估可有效地优化系统配置和可靠性，并将对该系统安全问题的关注贯穿于整个生产阶段，而不忽略任何环节，从而有效地预防和控制事故的发生。

［1］ 赵洪山，刘新华，白立业.深水海洋石油钻井装备发展现状［J］.石油矿场机械，2010，39（5）：68－74.

［2］ 肖力彤，宋振华，郑 泳，等.Cameron结构的防喷器壳体有限元分析［J］.石油矿场机械，2010，39（2）：38－40.

［3］ 王锡洲，付玉坤，朱海燕，等.闸板防喷器胶芯密封及损坏机理分析［J］.石油矿场机械，2010，39（2）：16－18.

［4］ 王存新，李嗣贵，王增国.深水钻井水下防喷器组配置选型研究［J］.石油矿场机械，2009，38（2）：72－75.

［5］ ANSI／ISA 84.01—1996，Application of Safety Instrumented Systems for the Process Industries［S］.

［6］ IEC61508—2000，Functional safety of electrical／electronic／programmable electronic safety－related systems［S］.

［7］ 宋树涛.钻井多参数仪的发展现状及趋势［J］.中国仪器仪表，2003（6）：1－4.

［8］ 邓忠彬，王 涛，王幼平.海洋钻井多参数仪系统设计研究［J］.石油矿场机械，2010，39（7）：54－59.

［9］ 牛文鉴，李砚藻.井涌井漏实时预测策略研究［J］.国外地质勘探技术，1996（2）：29－33.

［10］ 段明星，李明亮，陈瑞峰，等.深水防喷器系统可靠性探讨［J］.中国造船，2010，51（增刊2）：297－301.

Structure Analysis of BOP as Safety Instrumented System

LI Yuan－yuan1，CHEN Guo－ming1，GENG Xiang－zhong2
（1.Centre for Offshore Engineering and Safety Technology，China University of Petroleum，Dongying257061，China；2.Lanzhou University of Technology，Lanzhou730050，China）

As the key equipment of offshore drilling and completion work，BOPs can be used effectively to prevent the dangerous accidents，such as well kick and well blowout，and also play an important role on protecting people，equipment，marine environment and oil and gas resources from heavy damage and pollution.On the view of the important role of BOPs on offshore oil exploitation，and according to the requirements of functional safety international standards，the BOP and its control system is treated as a safety instrumented system，and its safety instrumented function is analyzed.By dividing the system into testing section，control section，function execution section and the auxiliary section，an investigation is made on the possible failure mode and redundancy settings of each part.The analysis on the structure and function of BOP may be used to provide certain ideas and guidance for BOP quantitative evaluation.

BOP；SIS；safety function

1001－3482（2011）12－0006－05

TE921.5

A

2011－06－15

中央高校基本科研业务费专项资金资助（09CX05008A）

李园园（1985－），女，山东东营人，硕士，主要从事海洋石油装备安全完整性研究。及其控制系统的整体安全评估。防喷器及其控制系统作为井控的重要装置，具备特定的安全功能，可以将其看作一个广义的安全仪表系统。本文根据功能安全标准的要求对其展开仪表功能和结构分析，为防喷器的定量安全评估提供分析基础。