摘要：儀表故障若不能及時被判斷和處理，將導致嚴重后果。介紹了過程控制系統如何識別現場故障，變送器故障模式時的電流走向。當儀表故障時，應根據各種不同條件，現場儀表及控制系統分別采用不同的動作方式，現場儀表故障模式設置應與控制系統相匹配，合理處理儀表故障，可以提升智能化工廠的自動化管理水平，當儀表用于安全儀表功能時，也可以提高其可靠性或可用性。
儀表的故障模式是指現場儀表功能失效或信號傳輸失效后的整個回路的處理方式，可參考ＩＥＣ６０８１２中的術語定義［１］。當前儀表大多數是智能儀表，在供電正常條件下，具有自診斷功能，能夠在線發現多種故障狀態，例如，膜盒溫度超溫、放大器元件故障、超壓等，當控制系統配置先進的資產管理系統時，可通過ＨＡＲＴ協議或ＦＦ總線通信方式上傳診斷信息，表明此時儀表故障模式不能正常工作。但是對于過程控制系統ＤＣＳ及SIS，這些儀表可能在工藝控制回路或SIS中充當重要的角色，若不能及時判斷儀表故障將導致嚴重后果，如何處理這些儀表故障也與安全息息相關。
１過程控制系統如何識別現場儀表故障
按照NAMURNE43標準，正常工作時儀表輸出到控制系統的電流信號為４～２０ｍＡ，當智能變送器自診斷到故障時，可以依據NAMURNE43標準改變輸出信號范圍使控制系統判斷出其處于故障狀態，根據NAMURNE43標準信號處理
方式如圖１所示。
變送器正常輸出電流為４～２０ｍＡ時，說明儀表工作于正常的標定范圍。如果輸出電流略微越限，例如在３．８ｍＡ，或２０．５ｍＡ時，說明變送器依然可以正常測量線性化工藝變量并輸出。例如壓力信號略微有一點超壓超過量程，此時
壓力變送器并不認為是故障，繼續正常工作，并輸出２０．５ｍＡ的電流信號。同時，控制系統也檢測到了
該越界信號，也不認為變送器有故障，僅僅是在線性化處理時屏蔽了超過標定量程以外的信號，此時控制系統人機界面上出現壓力位于非常高量程上限，但是工程師站在組態模塊的底層仍然可以看到２０．５ｍＡ的信號，只是無需處理。
NAMURNE43標準定義的“ｂｕｒｎｏｕｔ”指故障門檻電流，低限為３．６ｍＡ，高限為２１ｍＡ，當變送器發生斷偶或環境溫度高于正常工作范圍時，變送器自我診斷到故障。此時，輸出電流信號可以被強制趨向于兩個極端，可以上升、也可以下降，但是一定在標準規定的門檻電流以外，可能到２ｍＡ，也可能到２１．５ｍＡ以上。控制系統廠家一般也按照該標準識別故障，很多系統將故障門檻電流高限設置為２０．８ｍＡ也基本吻合NAMURNE43標準，控制系統檢測到變送器信號不大于故障門檻電流底限或不小于故障門檻電流高限時，控制系統將變送器信號處理為故障
信號。也有特殊情況，業主根據現場儀表的情況，將門檻值調得很寬，避免控制系統過激動作，增加可用性。根據現場儀表的工作狀態具體分析，一般多用于非常規特殊儀表，例如雷達液位計等。
２變送器故障模式時電流的走向
智能變送器一旦設置好故障信號走向，后期不宜修改。該信號走向的設計，相對來說，要具體結合ＤＣＳ，SIS的品牌型號以及工藝的具體特性來確定。
１）對于ＤＣＳ，沒有必要產生多余工藝誤報警，當斷線時，即使智能變送器也無法輸出高電流，電流走向一定是趨于低方向，所以通常所有的故障模式全部按照故障非常大概率———斷線故障處理，變送器全部按照“走低”模式設置，此時如果工藝有低限報警，將被觸發，但是高限報警將不會觸發，因為工藝并未真實改變，僅僅是儀表故障而已。
２）對于SIS，相對來說比較復雜，設置不準確將對安全有一定的影響。系統模擬輸入模塊檢測到現場變送器故障時，有兩種選擇，既可以選擇保持不觸發聯鎖動作，也可以選擇直接觸發。此時要全面綜合兼顧安全儀表功能的架構，以及安全儀表功能的可用性和可靠性綜合判斷。以下介紹幾種設計思路供參考。
２．１按照故障觸發聯鎖思路設計
在該模式下，SIS組態所有儀表故障全部觸發聯鎖。此時，安全儀表功能的可靠性增加，可用性降低，可能過于頻繁地誤停車，影響工藝的經濟性。此時，現場儀表推薦設計為容錯的架構來提高可用性，例如：采用“２ｏｏ３”架構，單臺變送器故障時電流信號“走低”或“走高”，SIS都觸發聯鎖，但因為架構容錯，不一定停車。當有報警記錄時，此時應使變送器電流的走向與聯鎖的設定方向保持一致，例如高高聯鎖時，輸出電流“走高”，低低聯鎖時，輸出電流“走低”。易于檢查儀表的歷史趨勢，判斷原因簡單，大多數國內項目都采用該設計方式，由此可見增加非必要的工藝報警對工藝操作都是無益的。
２．２按照故障觸發架構降級思路設計
該設計的基礎是控制系統可以實現表決架構自動降級處理。例如，有自動降級功能的“２ｏｏ３”模塊，即檢測到儀表故障時，儀表的信號走向可背離聯鎖方向，不觸發聯鎖，但是容錯的表決架構降級，使故障儀表在表決架構中失效被安全儀表功能屏蔽，不允許其參與表決，原“２ｏｏ３”降級為“１ｏｏ２”，繼續利用其他正常信號儀表進行表決，故障表歸類于故障的管理動作，不影響工藝生產，但是該降級與是否自動旁路以及表決架構有關，自動旁路和故障識別以及架構降級功能見表１所列。表１執行的條件是SIS有能力檢測故障，智能儀表基本都有內部診斷功能，而且都符合ＮＡＭＵＲＮＥ４３的標準，變送器的輸出需設定為正作用即測量值增大時，輸出電流也增大。
２．３現場儀表非智能儀表并用于安全儀表功能
當儀表與SIS匹配不具備檢測信號故障狀態，儀表輸出為模擬量時，儀表不能設置自動旁路，也不能同時兼具高高及低低聯鎖功能，除非這兩個聯鎖的動作一致，當儀表用于低低聯鎖時，儀表輸出需設置為正作用，用于高高聯鎖時，儀表輸出需設置為反作用，即與斷線故障處理方式一致，故障觸發聯鎖。
２．４當儀表出現斷路或短路故障
當變送器斷路或掉電時，檢測到信號電流在５００ｍｓ時間內從當前值降到０，現象為直接觸發該信號低低聯鎖。反之，短路引起的電流突升也一樣觸發高高聯鎖，此時儀表本身可能沒有問題，是線路出了故障，一般短時間故障不可恢復，儀表設置任何信號走向都沒有意義且作用也不大，此時控制系統也無需特殊處理，按照電流走向動作即可。
————————————————————
注：
１）自動旁路后報警并啟動計時器，一般小于１ｈ，作為操作工的處理時間，到直接聯鎖；
２）自動旁路優先用于“１ｏｏ１”表決；
３）不推薦該選項；
４）邏輯組態將故障儀表定義為無效，因此自動旁路失去意義，當儀表診斷到故障時，診斷報警將產生，當該信號也被用于其他安
全儀表功能時（例如３個信號的中間值表決），診斷報警信號應該在整個控制系統中廣播該儀表為“壞值”，讓其他相關安全儀表功能將其處理為故障；
５）如果同樣的檢測元件同時用于高高及低低聯鎖，儀表處于故障狀態時信號朝向ＳＩＬ等級非常高的設定點方向，如果信號變化走向為聯鎖方向，此時需設計聯鎖延時定時器來防止誤停車，說明需增加可用性，出于該考慮，故障狀態時信號走向推薦改為遠離聯鎖點；
６）如果同樣的檢測元件同時用于高高及低低聯鎖，儀表處于故障狀態時，信號走向遠離非常高例如ＳＩＬ等級的聯鎖設定點，如果加熱爐燃氣壓力高高聯鎖為ＳＩＬ１，低低聯鎖為ＳＩＬ２，當該變送器故障時，可設置為信號走向為“走高”，觸發高高聯鎖，背離低低聯鎖方向；
７）架構非常好次降級適用于當第１臺儀表或僅有１臺儀表被檢測為故障失效時；架構第二次降級適用于當第１臺儀表及第２臺儀表被檢測為故障失效時。架構降級的目的是維持正常信號儀表繼續表決并將故障的儀表從架構中除去，并修改架構；
８）“２ｏｏ２”僅用于輸入為火焰檢測器，以及其他情況誤停車將導致引起較大的經濟損失時；
９）如果同樣的檢測元件同時用于高高及低低聯鎖，當架構中所有檢測儀表全部故障時，同時觸發高高及低低聯鎖。
２．５故障后報警的處理當控制系統檢測到現場儀表輸出為異常信號時，需根據該儀表的用途來決定報警的處理方式。一般可列入報警抑制范疇，動態監控其是否恢復，規定時間內不報警，等待被維修，操作員畫面提示異常。
２．６控制系統增加單獨診斷報警信號
智能儀表可以在自診斷失效時，單獨輸出干觸點信號給控制系統，當該儀表非常重要且難于利用表決架構容錯時，控制系統無需通過模擬量判斷，可直接使用該故障硬接點信號聯鎖動作，多用于安全性要求非常高的場合。
３注意事項
當控制系統通過電流辨識現場儀表狀態時，應注意以下幾點：
１）注意安全柵的配置及遠距離傳輸時線路阻抗對回路電流的影響。例如，距離很遠，回路電阻很大，電流不可能超過２１ｍＡ時，齊納安全柵可能也影響回路阻抗時，電流可能永遠無法上升到控制系統設定的故障門檻電流高限，即便此時變送器已經按照輸出“走高”處理，控制系統也無法識別故障。
２）如果按照架構降級思路設計，儀表故障處理時間是有限制的，如果超時，將產生更高級別的報警或動作，設定時間及動作需結合工廠的管理水平設定。
３）當使用架構降級時，尤其是第二次降級，可能變更非常低硬件故障裕度（ＨＦＴ），降級期間可能影響ＳＩＬ等級對硬件結構的約束［２］。
４結束語
智能化儀表及控制系統的使用，對于提高未來智能化工廠的管理水平提供了更多的選擇。 變送器失效模式（ｆａｉｌｕｒｅｍｏｄｅ）的設計，不僅是現場變送器的設計，還一定要包含控制系統的組態及工廠管理模式統一考慮。本文提供的幾種設計思路可有選擇使用，當工廠自動化管理水平較高且安全許可情況下，可偏重選擇２．２，２．５節的設計思路；當需要簡單實施且偏重安全時，可偏重選擇參考２．１，２．３，２．４，２．６節的設計思路，供同行參考。
