JP2019501315A - 炭化水素制御モジュールを停止させるための安全システム - Google Patents

Abstract

本明細書に提示される例示的な実施形態は、炭化水素生産装置、特に、ロアー・ライザー・パッケージおよび緊急切断パッケージのうちの少なくとも１つを備える装置の構成要素を作動させるように構成された制御モジュールを停止させるための安全システム、たとえば、海底改修安全システムを対象とする。

Description

本明細書に提示される例示的な実施形態は、炭化水素生産装置、特に、ロアー・ライザー・パッケージ（ｌｏｗｅｒ ｒｉｓｅｒ ｐａｃｋａｇｅ）および緊急切断パッケージのうちの少なくとも１つを備える装置、の構成要素を作動させるように構成された制御モジュールを停止させるための安全システム、たとえば、海底改修安全システム、を対象とする。

坑井における炭化水素への海底インターベンション運用は、典型的には、以下を含む。

坑井制御パッケージ（「ＷＣＰ：Ｗｅｌｌ Ｃｏｎｔｒｏｌ Ｐａｃｋａｇｅ」）−典型的には、緊急切断パッケージ（「ＥＤＰ：Ｅｍｅｒｇｅｎｃｙ Ｄｉｓｃｏｎｎｅｃｔ Ｐａｃｋａｇｅ」）およびロアー・ライザー・パッケージ（「ＬＲＰ：Ｌｏｗｅｒ Ｒｉｓｅｒ Ｐａｃｋａｇｅ」）の２つの海底モジュールを備え、典型的には安全弁で坑井孔を取り囲むもの、

ライザー・システム−ＷＣＰと改修リグまたは船とを接続する、約３０〜５０ｍの長さを有する接続されたライザー・ジョイント、典型的にはパイプのセット、

改修制御システム（「ＷＯＣＳ：Ｗｏｒｋｏｖｅｒ Ｃｏｎｔｒｏｌ Ｓｙｓｔｅｍ」）−典型的には、ＷＯＳにおける実質的にすべての作動を制御する電気システム、電子システム、および液圧システムであって、前記作動は、弁の開閉、温度および圧力を含むパラメータの測定、電気および液圧を含む様々な機器へのエネルギー供給を含むもの。

現在、安全計装システム（「ＳＩＳ：Ｓａｆｅｔｙ Ｉｎｓｔｒｕｍｅｎｔｅｄ Ｓｙｓｔｅｍ」）に対する要求が高まっており、たとえば、ノルウェー石油公社は、人員、環境、および資産へのリスクを軽減するために、ＳＩＳの厳格な実施を要求している。改修事業セグメントでは、これは、主に３つの安全機能に関する。

生産シャットダウン（「ＰＳＤ：Ｐｒｏｄｕｃｔｉｏｎ Ｓｈｕｔｄｏｗｎ」）、

緊急シャットダウン（「ＥＳＤ：Ｅｍｅｒｇｅｎｃｙ Ｓｈｕｔｄｏｗｎ」）、および

緊急急速切断（「ＥＱＤ：Ｅｍｅｒｇｅｎｃｙ Ｑｕｉｃｋ Ｄｉｓｃｏｎｎｅｃｔ」）。

上記の機能は、リグまたは船を、処理領域または環境における炭化水素の流出または漏れ、およびライザーからの流出などの危険な状態から保護するように努力する。これらの機能は、さらに、たとえば、位置の喪失の場合に坑井の完全性を保護する。位置の喪失は、たとえば、船／リグが坑井の位置から所与の領域の外側に漂流する場合に生じる場合がある。

安全機能の最小限の範囲の実装は、通常、ＩＥＣ６１５０８およびＩＳＯ１３６２８−７などの国際規格によって規制されており、後者は、いくつかの改修に特有の要件も含んでいる。

ＵＳ４１７４０００は、海底坑井のための複数の制御システムをインターフェースするための方法および装置を記載している。

ＵＳ２００５／０１２１１８８Ａ１は、流体坑井を制御することを記載している。

ＷＯ２０１１／０４１５５０Ａ２は、交換可能なマンドレルを有する海底制御システムを記載している。

ＵＳ２０１４／０３７４１１４Ａ１は、海底インターベンションシステムを記載している。

従来のシステムでは、安全機能は、プロセス制御システムの不可欠な部分として実装され、ある種のソフトウェア分離がプロセス制御システムとＳＩＳとの間で実施される。いくつかの安全規則は、改修安全システム（「ＷＳＳ：Ｗｏｒｋｏｖｅｒ Ｓａｆｅｔｙ Ｓｙｓｔｅｍ」）がプロセス制御システムから隔離されるように、プロセス制御システムからのＷＳＳのさらなる分離を要求している。

要約すると、本明細書で提示される例示的な実施形態のいくつかは、海底インターベンション運用設備を制御するために使用されるシステムを対象とし、前記設備は、海底坑井からの炭化水素を取り扱うことができる。前記システムは、前記海底インターベンション運用設備内の様々な弁の開閉などの機能を制御するように適合された第１のコントローラを備える。前記第１のコントローラは、前記海底インターベンション運用設備内の様々なポイントにおける温度および圧力などのプロセス・パラメータを測定するように適合させることもできる。前記第１のコントローラは、前記海底インターベンション運用設備内の様々な機器および弁へのエネルギー供給を制御するように適合させることもできる。前記弁および前記様々な機器は、電気的、液圧的、空気圧的になど、単独または組み合わせて作動される。前記システムは、第１のコントローラからハードウェアに関して物理的に分離されるように適合された第２のコントローラをさらに備える。物理的に分離されたことによって、第１のコントローラおよび第２のコントローラが、２つの異なるエンティティとして、たとえば、２つの異なる電子モジュールとして実現されることを意味する。例示的な実施形態のうちのいくつかによれば、第１のコントローラおよび第２のコントローラのうちの少なくとも１つは、プログラマブル・ロジック・コントローラ（「ＰＬＣ：Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｃｏｎｔｒｏｌｌｅｒ」）などの論理コントローラとして実現される。前記第２のコントローラは、前記第１のコントローラから独立して前記様々な機器および弁のうちの少なくともいくつかを作動させることによって、前記海底インターベンション運用設備における安全機能を実行することができる。

本明細書で提示される例示的な実施形態のいくつかは、改修安全システム（「ＷＳＳ」）の実装のためのシステムおよび方法を対象とし、前記ＷＳＳは、プロセス制御システム（「ＷＯＣＳ」）１００から物理的に分離される。例示的な実施形態のうちのいくつかにおいて提案されるＷＳＳは、ある意味ではごく単純化されるように設計され、シャットダウンおよび／または切断を達成するために絶対に必要な機能のみを実装する。加えて、例示的な実施形態のうちのいくつかは、重要なイベント、たとえば、海底安全機能ＥＳＤおよびＥＱＤに関する応答時間を短縮しようとするものである。システムは、ＥＳＤ／ＥＱＤに関する重要な弁の数の低減、ブリード・オフ機能の実装、およびシャットダウン時のＷＯＣＭ１０４の必要性の排除を含む特徴を有して設計される。例示的な実施形態のうちのいくつかによる安全システムは、改修制御システムによってとられた任意のアクションを停止させるように設計される。安全イベントが発生すると、安全システムは、ＷＣＳによる任意のコマンドを無効化することができる。

ここで、例示的な実施形態のうちのいくつかについて、例として例示的な実施形態を示す添付図面を参照して以下に詳細に説明する。

一般性の限定または損失のない単純化のために、本明細書の議論の大部分は、例示的な実施形態のうちのいくつかを説明するために開放水域改修システムを使用する。当業者は、例示的な実施形態のうちのいくつかの特徴が、制御システムと安全システムとの間の強化された分離および信頼性などの利点が必要とされる他のタイプの改修システム、海底システム、または他のシステムに適用できることを理解するであろう。

さらに、単純化のために、同じサブシステムの範囲内にある機能、たとえば、ＷＳＳ機能を表すブロックは、典型的には、すべての図において同じ参照符号で示されている。当業者は、異なる図に示されたそのようなＷＳＳが、添付図面のすべてに示された全機能を備える正確に同じモジュールまたはコントローラである必要はなく、分散型制御トポロジなどで実装される異なるコントローラであってもよいことを理解するであろう。そのような分散型コントローラは、通信リンクを使用することによって、互いに、および／または主コントローラと通信している場合がある。実装形態におけるそのような変形例は、主題を単純に保つために以下の図に示されていないので、それらの不在は、例示的な実施形態のうちのいくつかの一般性の制限であるとみなされるべきではなく、または一般性の損失とみなされるべきではない。同様の理由付けは、以下の図に示された他のブロックにも当てはまる。

したがって、例示的な実施形態のうちのいくつかは、炭化水素生産装置、特に、ロアー・ライザー・パッケージおよび緊急切断パッケージのうちの少なくとも１つを備える装置の構成要素を作動させるように構成された改修制御モジュールをオーバライドするための改修安全システムを対象とする。改修制御モジュールは、構成要素への作動液を調整するように構成される。様々な実施形態は、噴出防止装置、掘削パッケージ、クリスマス・ツリー（たとえば、電気的に作動されるツリー）、ライザー・パッケージなどで実施することができる。

改修制御モジュールは、対応する作動液源から作動液を受け取るように構成された液圧入力部、および受け取った作動液を構成要素に送達するように構成された液圧出力部などの、動力入力部を備える。

改修安全システムは、トリガ信号を受信するように構成されたトリガ入力部を備え、液圧出力部と安全アキュムレータとの間に接続されるように構成された少なくとも１つの圧力弁を含むことができる。少なくとも１つの圧力弁は、安全アキュムレータから蓄積された作動液を受け取るように構成される。安全システムは、作動液が構成要素に送達されるのを防止するために、トリガ信号を受信すると、少なくとも１つのオーバライド弁を閉じるように、具体的には、機能ラインを閉じ、通気ラインを開くように構成され得る。

いくつかの例示的な実施形態は、制御モジュールを停止させることを含むことができる、設備の少なくとも一部を安全状態にするために炭化水素処理設備に結合されるように構成された安全システムを対象とする。設備は、制御モジュール、具体的には、改修制御モジュール（ＷＯＣＭ：Ｗｏｒｋｏｖｅｒ Ｃｏｎｔｒｏｌ Ｍｏｄｕｌｅ）、海底電子モジュール（ＳＥＭ：Ｓｕｂｓｅａ Ｅｌｅｃｔｒｏｎｉｃｓ Ｍｏｄｕｌｅ）、海底制御モジュール（ＳＣＭ：Ｓｕｂｓｅａ Ｃｏｎｔｒｏｌ Ｍｏｄｕｌｅ）、およびライザー制御モジュール（ＲＣＭ：Ｒｉｓｅｒ Ｃｏｎｔｒｏｌ Ｍｏｄｕｌｅ）のうちの少なくとも１つを備える。

制御モジュールは、設備の構成要素、具体的には、トップサイド生産設備、ロアー・ライザー・パッケージ（ＬＲＰ）、緊急切断パッケージ（ＥＤＰ）、噴出防止装置（ＢＯＰ：Ｂｌｏｗｏｕｔ Ｐｒｅｖｅｎｔｅｒ）、ライザー・パッケージ（ＲＰ：Ｒｉｓｅｒ Ｐａｃｋａｇｅ）、掘削パッケージ（ＤＰ：Ｄｒｉｌｌｉｎｇ Ｐａｃｋａｇｅ）、主制御ユニット（ＭＣＵ：Ｍａｓｔｅｒ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）、および液圧力ユニット（ＨＰＵ：Ｈｙｄｒａｕｌｉｃ Ｐｏｗｅｒ Ｕｎｉｔ）、クリスマス・ツリー、具体的には表面ツリー、具体的には海底ツリー、具体的には、電気作動弁、マニホールド、コイル状チューブ・フレーム、およびワイヤ・ライン・フレームを有するクリスマス・ツリーのうちの少なくとも１つを備える構成要素を作動させるように構成され得る。

制御モジュールは、エネルギー入力部、具体的には、電気入力部、空気圧入力部、および液圧入力部のうちの少なくとも１つを備え、エネルギー入力部は、構成要素、具体的には、電気アクチュエータ、具体的には、スクリュー駆動部およびソレノイドのうちの１つ、具体的には、液圧アクチュエータ、具体的には、空気圧アクチュエータを作動させるのに十分な対応する動力源からの動力流を受け取るように構成される。制御モジュールは、制御モジュールを介して調整された動力流を構成要素に送達するように構成された、エネルギー出力部、具体的には、液圧出力部、空気圧出力部、および電気出力部のうちの少なくとも１つをさらに備える。

安全システムは、トリガ信号を受信するように構成された制御入力部を備える。安全システムは、制御モジュールのエネルギー入力部と、動力を制御モジュールに適用する対応する動力源との間、および／または、制御モジュールのエネルギー出力部と構成要素との間に直列接続された、少なくとも１つのオーバライド用開閉部、具体的には、弁、およびスイッチ、具体的にはリレーのうちの少なくとも１つをさらに備えることができる。安全システムは、動力流が構成要素に送達されるのを防ぐために、トリガ信号を受信すると、少なくとも１つのオーバライド用開閉部を閉じるように構成され得る。

例示的な実施形態のうちのいくつかによれば、上記で説明したシステムは、動力を構成要素に送達するために制御モジュールのエネルギー出力部に並列接続で結合されるように構成され得る、少なくとも１つの圧力および／またはアキュムレータの開閉部に結合された安全アキュムレータをさらに備えてもよい。圧力開閉部は、弁またはリレーを備えてもよい。少なくとも１つの圧力開閉部は、からの動力流を受け取るように構成されてもよく、トリガ信号を受信すると、少なくとも１つの圧力開閉部は、開位置になり、液圧を、制御モジュールとは独立して、それぞれＥＤＰおよび／またはＢＯＰに提供するために、前記動力流を、緊急切断パッケージＥＤＰ内に配置された少なくとも１つの開閉部、ライザー制御モジュールＲＣＭ内の弁、および／または噴出防止装置ＢＯＰ内に配置された環状バッグに提供するように構成される。

例示的な実施形態のうちのいくつかは、炭化水素生産装置、具体的には、ロアー・ライザー・パッケージおよび緊急切断パッケージのうちの少なくとも１つを備える装置の構成要素を作動させるように構成された改修制御モジュールのための改修安全システムを対象とする。改修制御モジュールは、構成要素への作動液を調整するように構成されてもよい。場合によっては、安全システムは、制御モジュールによる構成要素を作動させない試みにもかかわらず、構成要素を作動させることができる。

改修制御モジュールは、対応する作動液源から作動液を受け取るように構成された液圧入力部と、受け取った作動液を構成要素に送達するように構成された少なくとも１つの液圧出力部とを備えることができる。

改修安全システムは、トリガ信号を受信するように構成されたトリガ入力部を備える。改修安全システムはまた、液圧出力部と並列接続された少なくとも１つの圧力弁を備えてもよく、少なくとも１つの圧力弁は、フェイル・セーフ・アキュムレータからの蓄積された作動液を受け取るように構成される。安全システムは、蓄積された作動液を構成要素に送達するために、トリガ信号を受信すると、少なくとも１つの圧力弁を開くように構成される。

例示的な実施形態のうちのいくつかは、設備の少なくとも一部を安全状態にするために、炭化水素処理設備に結合されるように構成された安全システムを対象とする。設備は、制御モジュール、具体的には、改修制御モジュール（ＷＯＣＭ）、海底電子モジュール（ＳＥＭ）、海底制御モジュール（ＳＣＭ）、およびライザー制御モジュール（ＲＣＭ）のうちの少なくとも１つを備える。

制御モジュールは、設備の構成要素、具体的には、トップサイド生産設備、ロアー・ライザー・パッケージ（ＬＲＰ）、緊急切断パッケージ（ＥＤＰ）、噴出防止装置（ＢＯＰ）、ライザー・パッケージ（ＲＰ）、掘削パッケージ（ＤＰ）、主制御ユニット（ＭＣＵ）、および液圧力ユニット（ＨＰＵ）、クリスマス・ツリー、具体的には表面ツリー、具体的には海底ツリー、具体的には、電気作動弁、マニホールド、コイル状チューブ・フレーム、およびワイヤ・ライン・フレームを有するクリスマス・ツリーのうちの少なくとも１つを備える構成要素を作動させるように構成され得る。

制御モジュールは、エネルギー入力部、具体的には、電気入力部、空気圧入力部、および液圧入力部のうちの少なくとも１つを備え、エネルギー入力部は、構成要素、具体的には、電気アクチュエータ、具体的には、スクリュー駆動部およびソレノイド、具体的には、液圧アクチュエータ、空気圧アクチュエータを作動させるのに十分な対応する動力源からの動力流を受け取るように構成され、エネルギー出力部、具体的には、液圧出力部、および電気出力部のうちの少なくとも１つは、制御モジュールを介して調整された動力流を構成要素に送達するように構成される。

安全システムは、トリガ信号を受信するように構成された制御入力部を備える。安全システムは、エネルギーを蓄積するように構成された、安全アキュムレータ、具体的には、液圧アキュムレータ、バッテリ、キャパシタ、フライホイール、およびＵＰＳのうちの少なくとも１つと、制御モジュールのエネルギー入力部および対応する動力源、ならびに、制御モジュールのエネルギー出力部および構成要素のうちの少なくとも１つと並列接続で配置されるように構成された、少なくとも１つのアキュムレータ開閉部、具体的には、弁およびリレーのうちの少なくとも１つとをさらに備える。安全システムは、蓄積されたエネルギーを構成要素に送達するために、トリガ信号を受信すると、少なくとも１つのアキュムレータ開閉部を開くように構成される。

例示的な実施形態のうちのいくつかによれば、様々なシステムは、制御モジュールのエネルギー入力部と対応するエネルギー源との間、および制御モジュールのエネルギー出力部と構成要素との間のうちの少なくとも一方で、直列接続された少なくとも１つのオーバライド用開閉部をさらに備えることをさらに備えることができる。安全システムは、動力流が構成要素に送達されるのを防ぐために、トリガ信号を受信すると、少なくとも１つのオーバライド用開閉部を閉じるように構成される。

例示的な実施形態のうちのいくつかは、トリガ入力部を備える動力管理システムを対象とする。システムは、プロセッサと、メモリと、メモリ内に記憶され、プロセッサによって実行可能な命令とを備える論理デバイスをさらに備える。論理デバイスは、トリガ入力部に結合し、電力線を含むアンビリカル、具体的には、３００メートルを超える、具体的には、３０００メートルを超えるを含む、１０００メートルを超える長さを有するアンビリカルに結合されるように構成される。システムはまた、電力線に接続された少なくとも１つの開閉部（たとえば、弁）、具体的には、オーバライド弁およびアキュムレータ弁のうちの少なくとも１つを備えることができる。

システムは、論理デバイスに結合された電源、具体的には、少なくとも３０ボルト、具体的には約５００ボルトまでを送達するように構成された、具体的にはＤＣ電源を備えることができる。実施形態は、論理デバイスとは別個のディスクリート電源を備えることができる。実施形態は、論理デバイスと一体化された電源を備えることができる。電源は、弁に接続されたときに電力線を介して弁を作動させるように構成され得る。システムはまた、論理デバイスおよび電源に結合された、スイッチ、具体的には、リレーを備えることができ、スイッチは、論理デバイスによって、電源が弁に接続されていない監視状態と、電源が弁に接続されている無効化状態との間で切り替えるように作動可能である。典型的には、アンビリカル回路は、実質的（および、しばしば変化する抵抗性）を有する。したがって、弁を作動させるために必要な実際の作動電圧を保証することは、アンビリカル回路を監視することから利益を得ることができる。

論理デバイスは、電力線および弁を含む電気回路を特徴付けるパラメータを測定することと、アンビリカルを介して送達されたときに弁を作動させるのに十分な所望の電圧を弁にもたらすように期待されるトップサイド電圧を計算することと、計算されたトップサイド電圧を電源に伝送することとを含む方法を実行するように構成される。電源は、アンビリカル上で受ける電圧損失にもかかわらず、弁を作動させるのに十分なトップサイド電圧に維持され得る。

例示的な実施形態のうちのいくつかによれば、電力管理システムは、非作動電圧を電力線に印加することと、印加された電圧から生じる電流を測定することと、測定された電流を、弁の抵抗に正規化すること、具体的には、弁の抵抗を減算することと、正規化された電流を使用してアンビリカルの抵抗を計算することとによって、さらに測定することができる。

例示的な実施形態のうちのいくつかによれば、論理デバイスは、トリガ入力部（１１２）を介してトリガ信号を受信し、電源を使用して弁を作動させるために監視状態から無効化状態に変更するようにスイッチを作動させるようにさらに構成される。

例示的な実施形態のうちのいくつかによれば、上記で説明した実施形態は、ソフトウェアおよびハードウェアに関して改修制御モジュールから分離された安全システムを備えることができる。

例示的な実施形態のうちのいくつかによれば、少なくとも１つのオーバライド弁は、第１の対応する作動液源と第１の対応する液圧入力部との間に直列接続された第１のオーバライド弁と、第２の対応する作動液源と第２の対応する液圧入力部との間に直列接続された第２のオーバライド弁と、改修制御モジュールの液圧出力部と構成要素との間に直列接続された少なくとも１つの第３のオーバライド弁とを備える。

例示的な実施形態のうちのいくつかによれば、少なくとも１つのオーバライド弁は、トップサイド制御モジュール弁と、表面生産ウイング弁に結合されたパイロット弁との間に直列接続されている。トリガ信号を受信すると、少なくとも１つのオーバライド弁は、閉位置になるように構成され、それによって、パイロット弁および表面生産ウイング弁への作動液の流れを防止する。

例示的な実施形態のうちのいくつかによれば、改修安全システムにおける弁またはゲートは、Ａ／Ｂ冗長性における複製ゲートおよび／または弁を備えることができる。

例示的な実施形態のうちのいくつかによれば、トリガ信号は、アナログ電圧、具体的には、２５Ｖまでを含む４８Ｖまでの、具体的には、直流、ＤＣを備えることができる。

例示的な実施形態のうちのいくつかによれば、安全システムは、上記で説明したような電力管理システムをさらに備えることができる。例示的な実施形態のうちのいくつかによれば、安全システムは、安全システムに結合された制御モジュールをさらに備えることができる。

前記第１のコントローラから独立することによって、第２のコントローラが、前記第１のコントローラをバイパスすること、前記第１のコントローラの機能を引き継ぐこと、前記第１のコントローラからのコマンドを無視することなどの機能ができることを意味する。第２のコントローラは、前記様々な機器および弁の少なくともいくつかを安全状態にするために前記機能を使用する。

第１のコントローラは、プロセス・コントローラであってもよい。第２のコントローラは、安全コントローラであってもよい。

例示的な実施形態のうちのいくつかによれば、第２のコントローラは、第１のコントローラのコマンドのうちの少なくともいくつかを無効化するように適合される。第２のコントローラは、システムを安全状態にすることができる。例示的な実施形態のうちのいくつかによれば、第２のコントローラは、前記様々な機器のうちの少なくともいくつかを安全状態にすることによって、システムを安全状態にする。

前記海底インターベンション運用設備は、海底配置機器のほかに、他の場所に配置されたトップサイドおよび関連する機能をさらに含むことができる。

前記第１のコントローラは、単一の電子モジュール、または複数のモジュールを備える分散配置のいずれかとして実現され得る。別の実施形態では、前記複数のモジュールは、バスまたはワイヤレス・リンクなどの通信媒体を介して互いに通信している。別の実施形態では、第１のコントローラは、第１のコントローラが第１の複数のコントローラを備えるという意味において冗長構成で実装され、冗長構成における少なくとも１つのコントローラは、動作可能で第１のコントローラの作動を扱うことができる少なくとも１つのコントローラが前記第１の複数のコントローラ内に存在する限り、前記第１の複数のコントローラからの少なくとも１つのコントローラが故障しても、バックアップ・コントローラとして作動することができる。

また、前記第２のコントローラは、単一の電子モジュール、または複数のモジュールを備える分散配置のいずれかとして実現され得る。別の実施形態では、前記複数のモジュールは、バスまたはワイヤレス・リンクなどの通信媒体を介して互いに通信している。別の実施形態では、第２のコントローラも、第２のコントローラが第２の複数のコントローラを備えるという意味において冗長構成で実装され得、冗長構成における少なくとも１つのコントローラは、動作可能で第２のコントローラの作動を扱うことができる少なくとも１つのコントローラが前記第２の複数のコントローラ内に存在する限り、前記第２の複数のコントローラからの少なくとも１つのコントローラが故障しても、バックアップ・コントローラとして作動することができる。

例示的な実施形態のうちのいくつかによれば、前記第２のコントローラは、第１のコントローラと通信することができる。

例示的な実施形態のうちのいくつかによるシステムの別の実施形態では、前記海底インターベンション運用は、海底坑井からの炭化水素を処理するプロセス・プラントを備え、坑井制御パッケージ（「ＷＣＰ」）は、海底に配置されてもよく、前記ＷＣＰは、緊急切断パッケージ（「ＥＤＰ」）とロアー・ライザー・パッケージ（「ＬＲＰ」）とをさらに備える。前記ＥＤＰおよびＬＲＰは、前記海底インターベンション運用設備における前記炭化水素の流れを制御するための複数の弁をさらに備える。前記海底インターベンション運用はまた、ライザー・システム、掘削デッキ、プラットフォーム、または類似物を備え、主制御ユニット（「ＭＣＵ」）が前記デッキまたはプラットフォーム上に配置されてもよく、液圧力ユニット（「ＨＰＵ」）が前記デッキまたはプラットフォーム上に配置されてもよい。

さらに別の実施形態では、前記掘削デッキまたはプラットフォームは、少なくとも部分的に、船または船の一部である。前記船は、船舶またはボートなどの浮遊物体であってもよい。

さらに別の実施形態では、前記第２のコントローラは、複数の最終要素の制御を停止させ、前記複数の最終要素は、海底インターベンション運用設備内の様々な機器および弁のうちの少なくともいくつかを備える。第２のコントローラは、安全イベントが開始されたとき、複数の最終要素の制御を停止させる。例示的な実施形態のうちのいくつかによれば、前記第２のコントローラは、前記第１のコントローラから前記複数の最終要素への制御コマンドに関係なく、前記制御を停止させる。第２のコントローラは、前記第１のコントローラから前記複数の最終要素への空気圧制御コマンドおよび／または液圧制御コマンドおよび／または電気制御コマンドのうちの少なくともいくつかを無効化することによって、複数の最終要素の制御を停止させる。したがって、第２のコントローラは、海底インターベンション運用設備内の前記様々な機器および弁のうちの少なくともいくつかに対する優先制御を達成することができる。

無効化によって、第２のコントローラまたは安全コントローラが、安全機能に関して、前記様々な機器のうちの少なくともいくつかに対する制御の最も高い優先順位を有することを意味する。したがって、第１のコントローラまたはプロセス・コントローラの制御コマンドは、前記様々な機器のうちの少なくともいくつかに対する制御のより低い優先順位を有する。第２のコントローラは、安全イベントが発生したとき、またはトリガされたときにこの優先順位を行使する。

例示的な実施形態のうちのいくつかによれば、第２のコントローラは、前記複数の最終要素内の各最終要素を前記各最終要素のそれぞれの所定の安全状態にする。最終要素によって、ソレノイド、弁、レギュレータ、回路遮断器、またはリレーなどの要素を意味する。

別の実施形態では、第２のコントローラは、安全イベントの検出または開始時に前記複数の最終要素の制御を停止させる。前記安全イベントは、生産シャットダウン（「ＰＳＤ」）、緊急シャットダウン（「ＥＳＤ」）、または緊急急速切断（「ＥＱＤ」）を含む。

例示的な実施形態のうちのいくつかによれば、システムは、複数の無停電電源（「ＵＰＳ：Ｕｎｉｎｔｅｒｒｕｐｔａｂｌｅ Ｐｏｗｅｒ Ｓｕｐｐｌｙ」）をさらに含む。前記複数のＵＰＳは、前記第１のコントローラの制御機能の実行のための電力を供給するために、第１のコントローラに電気的に結合される。前記複数のＵＰＳの少なくとも一部はまた、前記第２のコントローラに電気的に結合される。第２のコントローラは、電圧、電流、および、前記複数のＵＰＳ内の残りの電力またはエネルギーを含む所定のパラメータを監視するように適合される。第２のコントローラは、所定の条件下で、様々な機器および弁の少なくとも一部を前記複数のＵＰＳからの引き出し電力から隔離するようにさらに適合される。

別の実施形態では、前記所定の条件は、安全イベントの開始と、所定の範囲または限界未満の前記複数のＵＰＳ内の残りの電力またはエネルギーとを含む。

さらに別の実施形態では、システムは、少なくとも１つの制御弁、たとえば、ＤＣＶをさらに備える。前記制御弁は、前記第２のコントローラによって制御され、流体搬送供給ライン内の流れまたは圧力を制御するように適合される。前記流体搬送供給ラインは、液圧供給ライン、または空気圧供給ラインなどであり得る。前記流体搬送供給ラインは、前記流体搬送供給ライン内の圧力下の流体から動力を供給するように構成される。前記流体搬送供給ライン内の前記流体の圧力による動力は、複数の機器を作動させるために使用される。前記機器は、弁などの最終要素を含む。第２のコントローラは、前記少なくとも１つの制御弁を制御するために前記第２のコントローラによって使用される少なくとも１つの電源を含む。コントローラはまた、トリガ・イベントを生成するように構成された少なくとも１つの開始ユニットを備える。前記トリガ・イベントは、特定の安全イベントが開始されたことを第２のコントローラに通知する。前記トリガ・イベントを受信すると、第２のコントローラは、前記複数の機器内の機器のうちの少なくともいくつかが安全状態に設定されるように、前記流体搬送供給ライン内の流体の流れまたは圧力を適合させるための信号を前記少なくとも１つの制御弁に送るように構成される。システムは、たとえば、前記流体搬送供給ライン内の流体をブリード・オフする、遮断する、または追加の流体を注入することによって、前記流体搬送供給ライン内の圧力を適応させる。

例示的な実施形態のうちのいくつかによれば、システムは、電力管理システムをさらに備え、前記電力管理システムは、少なくとも１つの電気消費装置に電源ユニットを電気的に結合するための少なくとも１つの電気ケーブルを備える。前記電源ユニットは、高電圧電源ユニットであり得る。前記電源ユニットは、少なくとも１つの電気ケーブルに電力を供給するために使用される。前記少なくとも１つの電気消費装置は、前記電源ユニットの位置から遠隔に配置され得る。前記少なくとも１つの電気消費装置は、前記少なくとも１つの電気ケーブルを介して電源ユニットによって供給された電力を引き出すように適合される。提案された電力管理システムは、前記電気ケーブル上の所定の位置における電圧、電流、および電力を含む電気パラメータを測定するように適合された測定ユニットをさらに備える。電気パラメータの測定位置は、電源ユニットの近くであってもよい。システムは、構成ユニットをさらに備え、前記構成ユニットは、リレーまたは高電圧半導体などの少なくとも１つのスイッチング素子を備える。前記少なくとも１つのスイッチング素子は、電源と少なくとも１つのケーブルとの間に直列に接続され得る。前記構成ユニットの位置はまた、電源ユニットの位置の近くであってもよい。前記構成ユニットは、電源ユニットによって供給される電力のパラメータを構成するように適合される。前記第２のコントローラは、前記電源ユニット、前記構成ユニット、および前記測定ユニットと通信するように適合され、前記第２のコントローラは、前記少なくとも１つの電気消費装置によって受け取られた電力が常に所定の限度内にあるように、構成ユニットを動的に構成するようにさらに適合される。したがって、前記電気パラメータを監視することによって、提案された電力管理システムは、前記少なくとも１つの消費装置によって受け取られた電力が常に好ましい限度内にあるように、前記少なくとも１つの消費装置に供給される電力を構成することができる。システムは、各消費装置の電力パラメータが個別に追跡され、所望の限度内に維持されるように、複数の消費装置を個別に監視するように構成され得る。

例示的な実施形態のうちのいくつかは、海底インターベンション設備における安全機能を制御するための制御システムの実施形態を備える。前記制御システムは、流体搬送供給ラインの流れまたは圧力を制御するように適合された少なくとも１つの制御弁（「ＤＣＶ：Ｃｏｎｔｒｏｌ Ｖａｌｖｅ」）を備える。前記流体搬送供給ラインは、複数の機器を作動させるために前記流体搬送供給ライン内の圧力下の流体から動力を供給するように構成される。前記機器は、弁などの最終要素と、前記少なくとも１つの制御弁を制御するように適合された少なくとも１つの論理コントローラ、たとえば、プログラマブル・ロジック・コントローラ（「ＰＬＣ」）とを含む。前記制御コントローラはまた、前記少なくとも１つの制御弁を制御するために前記少なくとも１つの論理コントローラによって使用される少なくとも１つの電源を備える。制御システムはまた、トリガ・イベントを生成するように構成された、押しボタンなどの少なくとも１つの開始ユニットを含み、前記トリガ・イベントは、特定の安全イベントが開始されたことを少なくとも１つの論理コントローラに通知する。前記トリガ・イベントを受信すると、少なくとも１つの論理コントローラは、前記複数の機器内の機器のうちの少なくともいくつかが安全状態に設定されるか、または安全状態にされるように、前記流体搬送供給ライン内の流体の流れまたは圧力を適合させるための信号を前記少なくとも１つの制御弁に送るように構成される。

例示的な実施形態のうちの少なくともいくつかによれば、前記流体搬送供給ラインは、液圧供給ライン、または空気圧供給ライン、またはそれらの組み合わせである。

別の実施形態では、制御システムは、前記流体搬送供給ライン内の圧力をブリード・オフすることによって、前記流体搬送供給ラインの圧力を適合させる。

さらに別の実施形態では、制御システムは、前記流体搬送供給ライン内に追加の流体を注入することによって前記流体搬送供給ラインの圧力を適合させる。

さらに別の実施形態では、制御システムは、前記流体搬送供給ライン内の流体を遮断または再配向することによって前記流体搬送供給ラインの圧力を適合させる。

前記制御システムの別の実施形態では、少なくとも１つの論理コントローラは、複数の安全機能ステップを実行する。前記安全機能ステップは、前記複数の機器内の機器のうちの少なくともいくつかを制御するための所定のシーケンスにおいて前記少なくとも１つの論理コントローラによって実行されるコマンドのセットを備える。

制御システムのさらに別の実施形態では、前記少なくとも１つの電源はまた、電力源と、少なくとも１つのエネルギー蓄積ユニットとを備える。前記制御システムは、前記電源および前記少なくとも１つのエネルギー蓄積ユニットのパラメータを監視するようにさらに適合される。前記パラメータは、前記エネルギー蓄積ユニット内の残りの蓄積されたエネルギー、残りの安全機能ステップをうまく実行するために必要な電力またはエネルギーの予測、および前記電力源の作動パラメータを含む。所定の条件下で、制御システムは、前記少なくとも１つの電源から電力を引き出す任意の重要でない機器を隔離、トリップ、またはシャットダウンするように適合される。したがって、提案された制御システムは、前記安全機能ステップなどの重要な機能を実行するための残りの電力を確保することができる。

一実施形態では、前記少なくとも１つのエネルギー供給は、液圧であり、前記動力源は、液圧ポンプであり、前記少なくとも１つのエネルギー蓄積ユニットは、液圧アキュムレータである。

別の実施形態では、前記少なくとも１つのエネルギー供給は、電気であり、前記動力源は、発電機または配電盤であり、前記少なくとも１つのエネルギー蓄積ユニットは、ＵＰＳである。

さらに別の実施形態では、前記少なくとも１つのエネルギー供給は、空気圧であり、前記動力源は、ポンプであり、前記少なくとも１つのエネルギー蓄積ユニットは、空気圧アキュムレータである。

提案された制御システムの別の実施形態では、前記所定の条件は、前記動力源が利用可能ではないことと、前記残りの蓄積されたエネルギーが所定の限度未満であることとを含む。

さらに別の実施形態では、前記制御システムは、可動プラットフォームを含む海底インターベンション運用に関係し、前記開始ユニットは、前記プラットフォームの位置を含むパラメータの測定のための測定ユニットをさらに備える。前記開始ユニットは、前記パラメータが所定の限度を超えてドリフトする場合、安全イベントが開始されたことを前記論理コントローラに通知するトリガ・イベントを生成するように適合される。

別の実施形態では、前記制御システムは、より高い電圧で切り替えるためのリレーと、絶縁抵抗ライン監視ロジックと、ライン監視用の抵抗器とをさらに備える。

例示的な実施形態のうちのいくつかは、海底インターベンション設備において適用するための電力管理システムの実施形態を備える。前記電力管理システムは、少なくとも１つの電気消費装置に電源ユニットを電気的に結合するための少なくとも１つの電気ケーブルを備える。前記電源ユニットは、高電圧電源ユニットであり得る。前記電源ユニットは、少なくとも１つの電気ケーブルに電力を供給するために使用される。少なくとも１つの電気消費装置は、前記電源ユニットの位置から遠隔に配置され得る。少なくとも１つの電気消費装置は、前記少なくとも１つの電気ケーブルを介して電源ユニットによって供給された電力を引き出すように適合される。提案された電力管理システムは、前記電気ケーブル上の所定の位置における電圧、電流、および電力を含む電気パラメータを測定するように適合された測定ユニットをさらに備える。前記電気ケーブル上の所定の位置は、電源ユニット位置の近くである。電力管理システムは、構成ユニットをさらに備え、前記構成ユニットはまた、少なくとも１つのスイッチング素子を備える。前記スイッチング素子の可能な実施形態は、リレーと、高電圧半導体デバイスとを含む。前記少なくとも１つのスイッチング素子は、電源と少なくとも１つのケーブルとの間に直列に接続され得る。前記構成ユニットは、電源ユニットの位置の近くに配置され得る。前記構成ユニットは、電源ユニットによって少なくとも１つの電気ケーブルに供給される電力のパラメータを構成するように適合される。電力管理システムはまた、論理コントローラ、たとえば、プログラマブル・ロジック・コントローラ（「ＰＬＣ」）を備える。前記論理コントローラは、前記電源ユニット、前記構成ユニット、および前記測定ユニットと通信するようにさらに適合される。論理コントローラは、前記少なくとも１つの電気消費装置によって受け取られた電力が常に所定の限度内にあるように、構成ユニットを動的に構成することができる。

提案された電力管理システムの例示的な実施形態のうちのいくつかによれば、前記論理コントローラは、少なくとも１つの電気出力を使用して前記構成を制御するように適合される。前記電気出力は、デジタルであってもよいが、別の実施形態では、前記電気出力部は、少なくとも部分的にアナログであってもよい。

電力管理システムの例示的な実施形態によれば、前記論理コントローラは、少なくとも１つの電気入力を使用して、前記構成ユニットの状態および設定を監視するように適合される。前記電気入力は、デジタルであってもよいが、別の実施形態では、前記電気入力は、少なくとも部分的にアナログであってもよい。

電力管理システムの別の実施形態では、前記構成ユニットは、前記電源ユニット内に配置される。

電力管理システムの別の実施形態では、論理コントローラは、前記少なくとも１つの電気ケーブルを通って流れる電流をほぼ一定に維持する。

電力管理システムのさらに別の実施形態では、論理コントローラは、前記少なくとも１つの消費装置にわたる電圧をほぼ一定に維持する。

電力管理システムのさらに別の実施形態では、前記少なくとも１つの消費装置によって受け取られる電力のパラメータは、前記少なくとも１つの電気ケーブルにわたる電圧降下および前記少なくとも１つの電気ケーブルにおける抵抗変動とは無関係である。

電力管理システムの例示的な実施形態のうちのいくつかによれば、論理コントローラは、電力管理システム内の構成要素の初期モデルまたは公称値でインスタンス化される。前記公称値およびモデルは、ケーブルの電気パラメータと、少なくとも１つの電気ケーブルの物理パラメータと、少なくとも１つの消費装置の電気パラメータとを含む。

電力管理システムのさらに別の実施形態では、論理コントローラは、前記電気パラメータの経時的な変動を記録し、前記論理コントローラは、前記電力管理システム内の特定の構成要素がまもなく故障する可能性があるという信号を生成するように適合される。

例示的な実施形態のうちのいくつかの実施形態について、添付図面を参照して以下でさらに説明する。
典型的な従来の改修システムの簡略化された例を示す図である。 典型的な従来の改修システムの代替例を示す図である。 例示的な実施形態のうちのいくつかによるシステムの実施形態を示す図である。 例示的な実施形態のうちのいくつかによる安全システムの例示的な実施形態を示す図である。 例示的な実施形態のうちのいくつかによる図３ＡのシステムのＡ／Ｂ冗長構成の例を示す図である。 例示的な実施形態のうちのいくつかによる安全システムのトップサイド構成を示す図である。 例示的な実施形態のうちのいくつかによる安全システムの電圧調整機能を示す図である。 例示的な実施形態のうちのいくつかによるプロセス・シャットダウン（「ＰＳＤ：Ｐｒｏｃｅｓｓ Ｓｈｕｔｄｏｗｎ」）機能の実施形態を示す図である。 例示的な実施形態のうちのいくつかによる緊急シャットダウン（「ＥＳＤ」）機能の実施形態を示す図である。 例示的な実施形態のうちのいくつかによる緊急急速切断（「ＥＱＤ」）機能の実施形態を示す図である。 例示的な実施形態のうちのいくつかによる無停電電源（「ＵＰＳ」）原理の実施形態を示す図である。 例示的な実施形態のうちのいくつかによるアキュムレータ原理の第１の実施形態を示す図である。 アキュムレータ原理の第１の実施形態を使用するときの例示的な実施形態のうちのいくつかによるランディング・ストリングＥＳＤ機能の実施形態を示す図である。 例示的な実施形態のうちのいくつかによるアキュムレータ原理の第２の実施形態を使用するランディング・ストリングＥＳＤの実施形態を示す図である。 例示的な実施形態のうちのいくつかによるＵＰＳ原理の代替実施形態を示す図である。 例示的な実施形態のうちのいくつかによる電力管理システムの実施形態を示す図である。 例示的な実施形態のうちのいくつかによるフェイル・セーフ・クローズ構成の実施形態を示す図である。 例示的な実施形態のうちのいくつかによる最終要素の起動のためのフェイル・アズ・イズ（Ｆａｉｌ−ａｓ−Ｉｓ）構成の実施形態を示す図である。

図１は、ライザー・ベースの従来の改修制御システム（「ＷＯＣＳ」）１００の簡略化された例を示す。そのようなシステムは、ライザー１０８と、たとえば、掘削リグ・デッキまたはプラットフォーム１１０上に配置された主制御ユニット（「ＭＣＵ」）１０１と、液圧力ユニット（「ＨＰＵ」）１０２と、たとえば、改修アンビリカル１０３を備えるアンビリカルと、海底電子モジュール（「ＳＥＭ」）（たとえば、図２の２０１参照）と、典型的にはＷＣＰ１０５内に含まれる改修制御モジュール（「ＷＯＣＭ」）とを備える。これらの中で、

ＭＣＵ１０１は、典型的には、デッキ１１０上に配置されたコンテナである。前記コンテナは、典型的には、オペレータ制御パネルと、論理コントローラと、海底電力および通信ユニットと、他の電気、電子、またはプログラマブル・システム構成要素とを備える。ＭＣＵは、ＨＰＵ１０２、および１つまたは複数の海底電子モジュール２０１と通信する。

ＨＰＵ１０２は、典型的には、アキュムレータと、液圧機能制御弁とを備える。ＨＰＵ１０２は、空気圧弁と、電動式ソレノイド弁とをさらに備えてもよい。

ＳＥＭ２０１は、典型的には、１つの機器モジュールと１つの制御機能モジュールとに分割される。制御機能ＳＥＭは、トップサイド制御システムから信号を受信し、改修制御モジュール（「ＷＯＣＭ」）内の対応する液圧制御機能に電力を供給するドライバ・カードを備える。ＷＯＣＭ、たとえば、２０１参照、は、典型的には、海底に配置され、坑井制御パッケージ（「ＷＣＰ」）１０５の一部である。図１は、ライザー・システム１０８も示す。

言い換えれば、ＭＣＵ１０１は、典型的には、改修システム内の弁の作動を制御するためのデジタル制御信号をＨＰＵ１０２およびＷＯＣＭに送る。図１に示す他の部品は、当業者には明らかであるので、さらには論じない。

図２は、改修システムの代替図を示す。システム２００は、掘削リグ・デリック、または改修のためのタワーなどを備え、前記タワーまたはデリックは、たとえば、プラットフォームまたはデッキ１１０とプロセス・プラント２０２とを有するサービス船舶またはリグ上にあってもよい。前記デッキ１１０は、掘削リグ上に設置されてもよく、または、坑井インターベンション船舶上に設置されてもよい。掘削リグにおいて、このデッキ１１０は、しばしばドリル・フロアと呼ばれる。自動化側では、システムは、トップサイド上に位置するＭＣＵ１０１とＨＰＵ１０２とを備える。図は、坑井制御パッケージ（「ＷＣＰ」）１０５をより詳細に示す。ときには改修スタックとも呼ばれるＷＣＰ１０５は、主に、ロアー・ライザー・パッケージ（「ＬＲＰ」）２０４と、緊急切断パッケージ（「ＥＤＰ」）２０５とを備える。参考に、クリスマス・ツリー（「ＸＴ：Ｃｈｒｉｓｔｍａｓ Ｔｒｅｅ」）も示されている。ＬＲＰ２０４およびＥＤＰ１０５は、炭化水素の流れを制御し、隔離するための複数の弁を備える。改修システム内の典型的な弁の主な機能は、次の通りである。

表面生産ウイング弁（「ＳＰＷＶ：Ｓｕｒｆａｃｅ Ｐｒｏｄｕｃｔｉｏｎ Ｗｉｎｇ Ｖａｌｖｅ」）２０８は、典型的には表面フロー・ツリー２０９内に配置される。ＳＰＷＶ２０８は、ライザー・ベースの改修システム内の炭化水素の流れから船舶プロセス・プラントを隔離するために使用される。

典型的には本明細書ではリテーナー弁（「ＲＶ：Ｒｅｔａｉｎｅｒ Ｖａｌｖｅ」）２１１と名付けられたゲート弁は、ライザー・ベースの改修システム内の炭化水素の流れからライザー１０８を隔離するために使用される。ＲＶ２１１は、たとえば、緊急急速切断（「ＥＱＤ」）の場合にライザー内に潜在的な炭化水素を保持する。

本明細書では生産隔離弁（「ＰＩＶ：Ｐｒｏｄｕｃｔｉｏｎ Ｉｓｏｌａｔｉｏｎ Ｖａｌｖｅ」）２１２は、ライザー・ベースの改修システム内の炭化水素の流れからライザー１０８を隔離するために使用される。ＰＩＶ２１２はまた、たとえば、緊急急速切断（「ＥＱＤ」）の場合に２次坑井バリアとして機能する。

弁２３１、２３２、２３３、および２３４は、環状ボア弁、クロスオーバ弁、および注入弁を示す。これらの弁は、坑井を循環させることと、化学物質を注入することとを含む機能のために使用される。

典型的にはＥＤＰ海ダンプ弁と名付けられた２４１は、たとえば、緊急シャットダウン（「ＥＳＤ」）または緊急急速切断（「ＥＱＤ」）の場合の間、戻りシステムが制御流体の流れを制限しないように、液圧制御流体の海への戻りラインを開くために使用される。

典型的にはＬＲＰ海ダンプ弁と名付けられた２４２は、たとえば、緊急シャットダウン（「ＥＳＤ」）または緊急急速切断（「ＥＱＤ」）の場合の間、戻りシステムが制御流体の流れを制限しないように、液圧制御流体の海への戻りラインを開くために使用される。

ＥＤＰコネクタ１次アンロック２５１は、ＥＤＰコネクタを解除するために使用され、ＥＤＰ２０５がＬＲＰ２０４から切断することを可能にする。

ＥＤＰコネクタ２次切断２５２は、ＥＤＰコネクタ１次アンロック２５１へのバックアップ機能のために使用される。２次切断２５２の主な機能は、ＥＤＰ２０５がＬＲＰ２０４から切断することを可能にすることである。

典型的には、ＬＲＰ２０４内に２つの主ボア弁、２つのゲート弁または（たとえば、上部および下部ＰＩＶ）１つのゲート弁のいずれか、および１つのせん断シール・ラム（安全ヘッド（「ＳＨ：Ｓａｆｅｔｙ Ｈｅａｄ」））が存在する。

例示的な実施形態のうちのいくつかは、改修安全システム（「ＷＳＳ」）の実装のためのシステムおよび方法を対象とし、前記ＷＳＳは、プロセス制御システム（「ＷＯＣＳ」）１００から物理的に分離されている。例示的な実施形態のうちのいくつかにおいて提案されるＷＳＳは、シャットダウンおよび／または切断を達成するために絶対に必要な機能のみを実装するという意味においてごく単純化されるように設計される。加えて、例示的な実施形態のうちのいくつかは、重要なイベント、たとえば、海底安全機能ＥＳＤおよびＥＱＤに対する応答時間を短縮しようとする。システムは、減少した数のＥＳＤ／ＥＱＤ、ブリード・オフ機能の実装、およびシャットダウン・イベントにおけるＷＯＣＭ１０４の必要性の排除を含む機能を有して設計される。例示的な実施形態のうちのいくつかによる安全システムは、改修制御システムによってとられた任意のアクションを停止させるように設計される。安全イベントが発生すると、安全システムは、ＷＣＳによる任意のコマンドを無効化することができる。

例示的な実施形態のうちのいくつかは、任意の開放水域改修システム、ライザー・レス改修システムなどに後付けすることができるように実装される。トップサイド・コントローラおよび液圧安全アダプタは、大部分の直接液圧イン・ライザー改修システムまたはランディング・ストリング・システムと互換性がある。

ここで、提案されたＷＳＳ３０１ａ、３０１ｂ、および３０１ｃで拡張された図２に示すシステムの実施形態を示す図３を参照する。提案されたＷＳＳ３０１ａ、３０１ｂ、および３０１ｃは、以下を備える。

トップサイド部分３０１ａ、ｂ：ＷＳＳのトップサイド部分３０１ａ、ｂは、ＷＯＣＳ１００のトップサイド部分から独立するように実装される。唯一の例外は、ＷＳＳ３０１ａ、ｂとＷＯＣＳ１００との間で共有される無停電電源（「ＵＰＳ」）（図３には図示せず）である。ＷＳＳトップサイド部分３０１ａは、既存の改修コンテナに後付けすることができるように実装される。代替的には、ＷＳＳトップサイド部分３０１ａは、別個のコンテナ内に設置されてもよい。提案されたＷＳＳのトップサイド部分３０１ａは、順序付けロジックおよび通信インターフェース、ならびにイニシエータおよびコンディショニング監視システムを備える。加えて、ＷＳＳトップサイド部分３０１ａ、ｂは、液圧安全アダプタを含み、前記アダプタは、生産シャットダウン（「ＰＳＤ」）およびイン・ライザー改修ＥＳＤなどの直接液圧安全機能の開始のための方向制御弁をさらに備える。

改修安全モジュール（「ＷＳＭ」）３０２：本実施形態では、ＷＳＭ３０２は、典型的には、ＷＳＳの海底部分３０１ｃとして実装される。ＷＳＭ３０２は、緊急切断パッケージ（「ＥＤＰ」）２０５上に搭載され、海底制御モジュールおよび改修制御モジュールから独立している。ＷＳＭ３０２は、ＷＳＳの実行部分である。提案されたＷＳＳ３０１ａ、３０１ｂ、および３０１ｃは、典型的には、安全機能実行における完全な冗長性のための２つのＷＳＭが供給される。ＷＳＭは、典型的には、マニホールド搭載方向制御弁３０３を有する圧力補償エンクロージャである。ＷＳＭは、例示的な実施形態を上述した従来技術からさらに区別する機械的構成要素を本質的に含む。例示的な実施形態のうちのいくつかによれば、すべての制御ロジックは、必要に応じて容易にアクセスおよび維持することができるトップサイドに位置する。

方向制御弁３０３：非通電時閉（ｄｅ−ｅｎｅｒｇｉｚｅｄ−ｔｏ−ｃｌｏｓｅ）機能について、ＷＳＭ３０２内の方向制御弁３０３は、通常、ＷＯＣＭ２０１からの液圧出力を通過させる。重要なイベント、たとえば、ＥＳＤが開始されると、方向制御弁３０３は、位置をシフトし、改修制御モジュールからの液圧出力を戻すようにダンプする。これは、従来の改修スタックまたはＷＣＰにおける液圧システム設計に従って主ボア弁を閉じさせる。ＥＤＰコネクタは、通常、異なる機能を必要とし、ＷＳＭ３０２ブロックは、アキュムレータ供給を遮断し、重要なイベントでは、アキュムレータがＥＤＰコネクタ機能を加圧するためにラインを開く。ＤＣＶ３０３は、電気的に定位置に保持される（すなわち、非通電時トリップ（ｄｅ−ｅｎｅｒｇｉｚｅ ｔｏ ｔｒｉｐ））、または、たとえば、通常は非通電（すなわち、トリップするために電気的に動かされる）のいずれかであり得る。例示的な実施形態のうちのいくつかによれば、方向制御弁３０３は、直接制御される。ＤＣＶは、典型的にはＤＣ電圧を使用して、トップサイド安全コントローラからのハードワイヤード信号によって電気的に駆動される。１つまたは複数の方向制御弁は、トップサイド、またはアンビリカルの海底端のいずれかに並列に結合されることによって、同じＤＣ電圧信号によって制御され得る。

緊急のイベントまたは重大イベントにおいて、提案されたＷＳＳ３０１ａ、３０１ｂ、および３０１ｃによって動かされる約１４の海底弁および約１３のトップサイド弁が存在する。弁の数は、改修システム構成に依存する。図３は、提案されたＷＳＳ３０１ａ、３０１ｂ、および３０１ｃが１１の海底弁および１つのトップサイド弁を動かす標準的な開放水域改修構成の実施形態を示す。

例示的な実施形態のうちのいくつかの主な目的のうちの１つは、ＷＯＣＳとは独立した改修システムにおける緊急シャットダウン機能を実装することである。緊急シャットダウン機能は、典型的には、プロセス・シャットダウン（「ＰＳＤ」）、緊急シャットダウン（「ＥＳＤ」）、および緊急急速切断（「ＥＱＤ」）である。これらは、以下のように説明される。

図３は、ＷＳＳ、ＳＥＭ／ＷＯＣＭ、ＭＣＵ、ＨＰＵなどの間の例示的な相互接続を示しているが、そのような相互接続のすべてが示されているわけではないことが理解されるべきである。たとえば、ＷＳＳは、海底装置内の様々な構成要素または弁、たとえば、弁２１１〜２５２を作動させるように構成され得ることが理解されるべきである。

図３Ａは、例示的な実施形態のうちのいくつかによる安全システムの例示的な実施形態を示す。図３Ａに示すように、安全システム３０１は、制御モジュール２０１の周りに配置される。例示的な実施形態のうちのいくつかによれば、制御モジュール２０１は、炭化水素採掘装置の構成要素１０４を作動させるように構成された、改修制御モジュール（ＷＯＣＭ）、海底電子モジュール（ＳＥＭ）、および／またはライザー制御モジュール（ＲＣＭ）であり得る。具体的には、装置は、ロアー・ライザー・パッケージ（ＬＲＰ）、緊急切断パッケージ（ＥＤＰ）、噴出防止装置（ＢＯＰ）、ライザー・パッケージ（ＲＰ）、掘削パッケージ（ＤＰ）、主制御ユニット（ＭＣＵ）、および／または液圧力ユニット（ＨＰＵ）のうちの少なくとも１つを備える。

制御モジュール２０１は、構成要素への作動液または動力流を調整するように構成される。制御モジュールは、任意の数の流体源または動力源、たとえば、供給源１１６および１１８を備えることができる。図３Ａによって提供される例では、供給源１１６は、海底装置のトップサイドからのＬＰ液圧供給であり、供給源１１８は、フェイル・セーフ・アキュムレータである。供給源は、制御モジュールの入力部１０６＿１および１０６＿２に流体または動力の流れを提供するように構成される。制御モジュールは、流れを蓄積し、出力部１１０＿１、１１０＿２、および１１０＿３を介して様々な構成要素１０４に流れを送る。

通常の作動の間、安全システム内のいくつかの開閉部、たとえば、弁またはリレーは、最初は、開位置にあってもよい。具体的には、オーバライド用開閉部１１４＿１および１１４＿２は、通常の作動の間、開位置にあってもよく、それによって、供給源１１６および１１８からの流体または動力の流れが制御モジュールに提供されることを可能にする。同様に、オーバライド弁１２０＿１および１２０＿２はまた、蓄積された流体または動力が制御ユニットから様々な構成要素１０４に提供されることを可能にするために、通常の作動の間、開位置にあってもよい。

緊急イベントの間、トリガ１１２が安全システムに供給され、それによってシステムを作動させてもよい。そのような起動の間、オーバライド用開閉部１１１４＿１、１１４＿２、１２０＿１、および１２０＿２は、具体的には、機能ラインを閉じ、通気ラインを開くために、閉位置に置かれてもよい。オーバライド用開閉部が閉位置に置かれると、開閉部１１４＿１および１１４＿２は、動力または流体の流れが制御モジュールに入るのを防止し、開閉部１２０＿１および１２０＿２は、動力または流体の流れが制御モジュールから出て構成要素に供給されるのを防止する。そのような構成要素の例は、弁２１１、および２１２、２３１〜２３４に対するパイロット弁、ならびにコネクタ２５１および２５２に対するパイロット弁であり得る。

例示的な実施形態のうちのいくつかによれば、安全システムは、緊急イベントの間に構成要素に圧力が供給されることを保証するために使用され得る任意の数の開閉部をさらに備えることができる。たとえば、圧力開閉部１５０が安全システム内に含まれてもよい。圧力開閉部１５０は、供給源またはアキュムレータ１４０から作動液または動力流を供給され得る。

通常の作動の間、圧力開閉部１５０は、閉位置にある。トリガ信号を受信すると、安全システムは、圧力開閉部を開位置に置き、それによって、流れが制御モジュールとは独立して構成要素に直接提供されることを可能にする。そのような流れは、制御モジュールとは独立して液圧をＥＤＰおよび／またはＢＯＰにそれぞれ提供するために、ＥＤＰ内に配置された少なくとも１つの弁、ＲＣＭ内の弁、および／または噴出防止装置ＢＯＰ内に配置された環状バッグなどの構成要素に圧力を提供することができる。そのような圧力は、たとえば、輸送中に、たとえば、装置の様々な構成要素が互いに解除される手順の間に有用であり得る。

図３Ａの安全システムの開閉部のすべては、制御モジュールに対して独立していることが理解されるべきである。具体的には、安全システムの開閉部は、ソフトウェアおよびハードウェアに関して制御モジュールから分離され、したがって、制御モジュールとは独立して作動する。そのような特徴は、制御モジュールが正常に動かない場合に、そのような動作不具合が安全システムの作動に影響を与えないように、さらなる程度の安全性を付加する。そのような独立性は、図１および図２に示すシステムに対する明らかな変形ではないことが理解されるべきである。具体的には、ハードウェアおよびソフトウェアに関して独立して安全システムを設けることは、海底装置にかなりのコストを追加し、それによってそのような分離を思いとどまらせる追加のハードウェア・リソースおよびソフトウェア・リソースの使用を必要とする。

例示的な実施形態のうちのいくつかによれば、そのような安全システムはまた、図３Ｂに示すようなＡ／Ｂ冗長性を備えることができる。Ａ／Ｂ冗長性は、安全システムの要素の２つの別個の構成要素への二重化を提供する。たとえば、Ａ／Ｂ冗長性のＡ安全システム内のオーバライド用開閉部１１４＿１Ａが故障した場合、Ｂ安全システム内の対応するオーバライド用開閉部１１４＿１Ｂは、Ａシステム内の故障した開閉部の代わりに作動可能に構成される。したがって、冗長システムは、緊急イベントの場合に海底装置に作動の完全度をさらに付加する。

例示的な実施形態のうちのいくつかによれば、安全システムはまた、海底装置のトップサイド上に位置する要素を備えることができる。図３Ｃは、安全システムのトップサイド開閉部の例を示す。図３Ｃに示すように、オーバライド弁１２０＿３が動力源とパイロット弁３０５との間に直列接続され、パイロット弁３０５は、ＳＰＷＶ２０８に接続される。そのようなデバイスは、海底装置の構成要素１０４である。

作動中、トリガ信号を受信すると、オーバライド弁またはゲート１２０＿３は、安全システムを介して閉位置に置かれる。閉位置において、オーバライド弁１２０＿３は、流体または動力の流れがパイロット弁３０５に到達することを防止し、したがって、そのような流れは、ＳＰＷＶ２０８に到達することも防止される。

例示的な実施形態のうちのいくつかによれば、安全システムは、電力管理システム３１０をさらに備えることができる。電力管理システム３１０は、制御モジュールがしきい値の範囲内の供給電圧で作動していることを保証することができる。制御モジュールは、海面の数百マイル下である場合もあることが理解されるべきである。したがって、トップサイドで供給される電圧は、そのような電圧が制御モジュールに到達するまでにある程度の電気抵抗に耐えることになる。例示的な実施形態のうちのいくつかによれば、電力管理システム３１０は、海底受電電圧を定期的に測定するように構成され得る。受電電圧値を送られた電圧の値と比較する際に、制御モジュールは、アンビリカルを介して移動する電圧に関連する電流抵抗を決定することができる。抵抗の知識を用いて、送電電圧の量は、モジュールが適切に作動していること確実にするために、制御モジュールに提供される電圧が所定のしきい値の範囲内であることを保証するために変更され得る。

具体的には、例示的な実施形態のうちのいくつかによれば、トリガ入力部を備える電力管理システムを対象とし得る。システムは、プロセッサと、メモリと、メモリ内に記憶され、プロセッサによって実行可能な命令とを備える論理デバイスをさらに備える。論理デバイスは、トリガ入力部に結合し、論理デバイスは、電力線を含むアンビリカル、具体的には、３００メートルを超える、具体的には、１０００メートルを超える長さを有するアンビリカルに結合されるように構成される。システムはまた、電力線に接続された少なくとも１つの弁、具体的には、オーバライド弁およびアキュムレータ弁のうちの少なくとも１つを備える。

システムは、論理デバイスに結合された電源、具体的には、少なくとも３０ボルト、具体的には約５００ボルトまでを送達するように構成された、具体的にはＤＣ電源、具体的には、ディスクリート電源、またはロジックと一体化された電源をさらに備え、電源は、弁に接続されたときに電力線を介して弁を作動させるように構成される。システムはまた、論理デバイスおよび電源に結合された、スイッチ、具体的には、リレーを備え、スイッチは、論理デバイスによって、電源が弁に接続されていない監視状態と、電源が弁に接続されている無効化状態との間で切り替えるように作動可能である。

論理デバイスは、電力線および弁を含む電気回路を特徴付けるパラメータを測定することと、アンビリカルを介して送達されたときに弁を作動させるのに十分な所望の電圧を弁にもたらすように期待されるトップサイド電圧を計算することと、計算されたトップサイド電圧を電源に伝送することとを含む方法を実行するように構成される。

例示的な実施形態のうちのいくつかによれば、電力管理システムは、非作動電圧を電力線に印加することと、印加された電圧から生じる電流を測定することと、測定された電流を、弁の抵抗に正規化すること、具体的には、弁の抵抗を減算することと、正規化された電流を使用してアンビリカルの抵抗を計算することとによって、さらに測定することができる。

例示的な実施形態のうちのいくつかによれば、論理デバイスは、トリガ入力部（１１２）を介してトリガ信号を受信し、電源を使用して弁を作動させるために監視状態から無効化状態に変更するようにスイッチを動かすようにさらに構成される。

例示的な実施形態に関連する様々な概念について、ここでより詳細に論じる。

ＰＳＤ機能の主な特徴は、以下の通りである。
１．ＰＳＤは、改修システムの表面フロー・ツリー２０９、たとえば、表面生産ウイング弁（「ＳＰＷＶ」）２０８を閉じる。
２．ライザー・ベースの改修システムについて、ＰＳＤは、典型的には、トップサイドのみで実行され、そのため、改修アンビリカルを介する通信を必要としない。ライザー・レス改修システムでは、ＰＳＤは、通常はＷＣＰによって制御され、重要なイベントではＷＳＳによって停止するＸＴ上の機能である。
３．通常は、押しボタンで開始される。
４．ＰＳＤはまた、プロセス設備の内部ＥＳＤ機能によって開始され得る。
５．ＰＳＤはまた、船舶／リグの安全および自動化システムのＥＳＤ機能によって開始され得る。
６．ＰＳＤは、電力および／または液圧力の損失時の、フェイル・セーフ・タイプ、通常は、フェイル・セーフ・クローズ・タイプの安全機能である。
７．ＰＳＤは、通常、最終要素が、たとえば、電力、空気圧力、または液圧力、またはそれらの組み合わせによる動力供給によって開かれることを意味する、非通電時トリップの安全機能である。最終要素への動力をカットすることは、安全機能を安全状態に戻す。
８．この場合のシステムの安全状態は、典型的には、ＰＳＤイベントの開始から５秒以内にライザー／炭化水素の戻る内容物から隔離されたリグ／船舶プロセス設備である。
９．通常はＵＰＳを介して供給される電力供給は、ＷＯＣＳと共有される。
１０．液圧力および／または空気圧力供給は、通常、ＰＳＤ機能のために必要ではないが、前記液圧／空気圧供給は、通常、ＳＰＷＶ２０８を開に保持するために使用される。例示的な実施形態のうちのいくつかにおいて提案されるようなＷＳＳなしでは、電力は、空気圧弁を開いたままにし、それは、ＤＣＶを開いたままにし、それはさらに、ＳＰＷＶ２０８を開いたままでいるように加圧されたままにする。提案されたＷＳＳでは、第２のＤＣＶが追加され、電力は、ＷＳＳ ＤＣＶを開いたままにし（すなわち、前記ＤＣＶは、電気的に開いたままにされ）、それは、ＳＰＷＶ２０８を開いたままでいるように加圧されたままにする。

図４は、例示的な実施形態のうちのいくつかによる典型的なＰＳＤ原理の略図を示す。４５０におけるような実線の矢印は、電気信号を表し、４６０におけるような破線は、液圧信号を表す。当業者は、液圧信号および電気信号の範囲を拡張、縮小、置換、または組み合わせることによって、代替実施形態が可能であることを理解するであろう。いくつかの実施形態では、空気圧などの代替の動力源を用いて同様の機能を達成することも可能である。したがって、特定の実施形態は、簡潔にするために、かつ、例示的な実施形態の範囲を限定することなく、一般的な意味で提示される。

図４における丸いブロック４０１、４０４、および４０７は、例示的な実施形態のうちのいくつかによるＷＳＳ構成要素を表し、残りのブロック（矩形）は、ここでは、ＷＯＣＳ構成要素を表す。

先に論じたように、無停電電源（「ＵＰＳ」）４０２は、ＷＯＣＳ部分４０５とＷＳＳ部分４０４との間で共有される。

ＷＯＣＳは、典型的には、トップサイド部分、たとえば、ＭＣＵコンテナ１０１内に位置するヒューマン・マシン・インターフェース（「ＨＭＩ：Ｈｕｍａｎ Ｍａｃｈｉｎｅ Ｉｎｔｅｒｆａｃｅ」）４０３を介してオペレータがアクセス可能である。ＷＯＣＳ ＨＭＩは、ＷＯＣＳ論理コントローラ４０５と対話し、前記コントローラは、ＨＰＵコントローラ４０６、たとえば、典型的にはＨＰＵコンテナ１０２内に位置するプログラマブル・ロジック・コントローラ（「ＰＬＣ」）とさらに対話する。ＨＰＵ ＰＬＣ４０６は、表面生産ウイング弁（「ＳＰＷＶ」）の方向制御弁（ＤＣＶ）４０８を制御する。前記ＳＰＷＶ ＤＣＶ４０８は、ＷＯＣＳアキュムレータ・バンク４０９からの液圧力供給を制御する。前記液圧力供給は、典型的には、表面フロー・ツリー２０９内の、トップサイドに位置するＳＰＷＶ２０８を作動させるために使用される。

例示的な実施形態のうちのいくつかによるＷＳＳは、丸い形状のブロック４０１、４０４、および４０７に示されている。ＷＳＳ内のＰＳＤシーケンスは、ＰＳＤイベントをＷＳＳ論理コントローラ４０４に送信する押しボタン４０１を介して起動する。ＷＳＳ論理コントローラのいくつかの例示的な実施形態は、ＰＬＣを含む。さらなる実施形態では、システムはまた、より高い電圧でスイッチするためのリレーと、絶縁ライン監視ロジックと、ライン監視用の抵抗計とを含む。ＰＳＤは、通常は、非通電時トリップ・タイプの機能ではないので、より高い電圧でスイッチするためのリレーは、典型的には、ＰＳＤのために必要とされない。ＷＳＳ論理コントローラ４０４は、ＷＯＣＳを停止させるために、表面フロー・ツリー・サイド・アウトレットへの液圧供給をブリード・オフするように専用ＰＳＤ ＤＣＶ４０７を制御する。

ＰＳＤ安全機能は、典型的には、プロセス設備において重大な混乱イベント、たとえば、生産設備、または表面フロー・ツリー２０９から生産設備へのホースにおける炭化水素の漏れが存在するときに使用される。

ＥＳＤ機能の主な特徴は、以下の通りである。
１．ＥＳＤは、典型的には、坑井制御パッケージ内、すなわち、改修システムの海底部分内のすべての（通常は３つの）主ボア弁およびすべての環状ボア弁を閉じる。
２．ＥＳＤ機能は、典型的には、改修アンビリカルを介する、またはトップサイド・システムから海底システムへの同様の通信ケーブルを介する通信を必要とする。
３．ＥＳＤは、典型的には、押しボタンで起動／始動される。
４．ＥＳＤ機能は、船舶／リグの安全および自動化システムのＥＳＤ機能によって開始され得る。
５．ＥＳＤ機能は、典型的には、将来の自動開始機能のための追加のスペア計装イニシエータ・ポートを備える。
６．ＥＳＤは、典型的には、電力または液圧力の損失時のフェイル・アズ・イズ・タイプの安全機能である。言い換えれば、ＥＳＤは、海底の動力タイプのうちの１つの損失時のタイプ機能である。電力と液圧力の両方が同時に故障したイベントにおいて、ＥＳＤは、典型的には、フェイル・セーフ・クローズ機能である。
７．ＥＳＤは、典型的には、最終要素が、動力、たとえば、電力、空気圧力、または液圧力、またはそれらの組み合わせを適用することによって安全状態にされることを意味する、通電時トリップの安全機能である。前記動力の供給をカットすることは、通常、安全機能を安全状態にさせない。
８．安全状態によって、本明細書では、リグ／船舶および環境がリザーバ内容物から隔離されていることが意味される。
９．通常、ＵＰＳを介して供給される電力供給は、通常、ＷＯＣＳと共有される。電力の完全な損失時、たとえば、ＵＰＳの損失時、システムは、固有のフェイル・セーフ・クローズ機能によって安全状態になるが、必ずしもＥＳＤ機能に関するタイミング要求の範囲内にあるとは限らない。
１０．主ボア弁のための閉鎖援助のために使用される液圧力供給はまた、典型的には、ＷＯＣＳと共有される。
１１．パイロット機能のための液圧力供給は、典型的には、この機能において必要とされない。
１２．ＥＳＤ機能は、典型的には、さらに、上記で説明したＰＳＤ機能を開始する。

例示的な実施形態のうちのいくつかによるＥＳＤ機能のいくつかの例示的な実施形態が、図５に示されている。実線の矢印４５０は、電気信号を表し、破線４６０は、液圧信号を表す。当業者は、液圧信号および電気信号の範囲を拡張、縮小、置換、または組み合わせることによって、代替実施形態が可能であることを理解するであろう。いくつかの実施形態では、空気圧などの代替の動力源を用いて同様の機能を達成することも可能である。したがって、特定の実施形態は、本明細書では、簡潔にするために、かつ、例示的な実施形態の範囲を限定することなく、一般的な意味で提示される。

図５に示す丸いブロック５００、４０４、４０７、５０１、５０２、５０３、５０４、および５０５は、例示的な実施形態のうちのいくつかによるＷＳＳ構成要素を表し、残りのブロックは、ここでは、ＷＯＣＳ構成要素を表す。

先に論じたように、無停電電源（「ＵＰＳ」）４０２は、ＷＯＣＳ部分４０５とＷＳＳ部分４０４との間で共有され得る。

図５に示すＷＯＣＳ機能は、上記の図４の議論において説明したものと同様である。

ＥＳＤシーケンスは、ＥＳＤイベントをＷＳＳ論理コントローラ４０４に送信する押しボタン５００を介して起動／始動される。ＷＳＳコントローラ４０４のＰＳＤ ＤＣＶ４０７およびＳＰＷＶ２０８との対話は、上記の図４の議論において開示されている。ＷＳＳ論理コントローラ４０４の提案された実施形態も、上記で議論されている。

例示的な実施形態のうちのいくつかによれば、通常、坑井制御パッケージ５５０内の緊急切断パッケージ（「ＥＤＰ」）２０５に搭載された１つまたは複数の海底キャニスタは、典型的には、以下を含む最終要素の独立した制御を可能にする１４のＤＣＶ（５０１〜５０５を備える）を備える。
ａ．リテーナー弁（「ＲＶ」）２１１
ｂ．ＥＤＰ海ダンプ弁２４１（図５には図示せず）
ｃ．生産隔離弁（「ＰＩＶ」）２１２
ｄ．安全ヘッド（「ＳＨ」）５１５。ＳＨ５１５は、コイル状チューブを隔離するために設計されたラム・タイプ弁である。それは、典型的には、ゲート弁よりも優れた隔離／切断能力を有し、いくつかのシステムにおいてリスクを低減するために使用される。代替的には、他のシステムは、３つのゲート弁を使用し、ＳＨ５１５は、その場合は存在せず、ゲート弁は、それを置き換えるように挿入され、挿入されたゲート弁は、しばしば、下部生産隔離弁（「ＬＰＩＶ：Ｌｏｗｅｒ Ｐｒｏｄｕｃｔｉｏｎ Ｉｓｏｌａｔｉｏｎ Ｖａｌｖｅ」）と呼ばれる
ｅ．ＬＲＰ海ダンプ弁２４２（図５には図示せず）
ｆ．改修制御モジュール液圧供給（図５には完全には図示せず）
ｇ．改修制御モジュール内部液圧（図５には具体的に図示せず）
ｈ．ブリード・オフ弁（「ＢＯＶ：Ｂｌｅｅｄ−Ｏｆｆ Ｖａｌｖｅ」）（いずれの図にも図示せず）−ＥＱＤのみ（ＬＲＰからのＥＤＰの切断時に液圧ロック（真空）を防止するために使用される）
ｉ．たとえば、上部メタノール注入弁（「ＵＭＩＶ：Ｕｐｐｅｒ Ｍｅｔｈａｎｏｌ Ｉｎｊｅｃｔｉｏｎ Ｖａｌｖｅ」）（図示せず）−ＥＱＤのみ（ＢＯＶに冗長）
ｊ．緊急切断パッケージ・コネクタ１次アンロック２５１−ＥＱＤ機能のみ（図５には図示せず）
ｋ．緊急切断パッケージ・コネクタ２次アンロック２５２−ＥＱＤ機能のみ（図５には図示せず）
ｌ．スペア機能

ＥＳＤ安全機能は、典型的には、船舶／リグ上またはライザー／炭化水素戻りライン内のいずれかに大きな炭化水素漏れが存在するときにのみ起動される。ＥＳＤ機能は、典型的には、押しボタン５００によって開始され、それによって、ＷＳＳコントローラ４０４に信号を送り、前記安全コントローラ４０４は、シャットダウン・シーケンスを開始するリレー・ベースのコントローラであってもよい。前記信号を受信すると、安全コントローラ４０４は、さらに、プロセス制御システムに開始を通知する。シャットダウン・シーケンスは、安全コントローラ４０４によって実行される。別の実施形態によれば、安全コントローラ４０４は、少なくとも部分的にＰＬＣである。典型的なステップは、以下の通りである（必ずしも同じ順序である必要はない）。
１．安全コントローラ４０４は、ＥＳＤ開始をプロセス制御システムに通知する信号をＷＯＣＳに送る。
２．安全コントローラ４０４は、電気信号であり得る信号を、ＲＶハイ・フローＤＣＶの開放側におけるパイロット圧力をブリード・オフするＤＣＶ５０３に送り、それによってＲＶ２１１を閉じさせる。同じ信号は、ＥＤＰ海ダンプ弁の閉鎖側におけるパイロット圧力をブリード・オフするＤＣＶにも送られ、それによってＥＤＰ海ダンプ弁２４１を開かせる。これは、ＲＶ２１１のより短い閉鎖時間を可能にする。
３．安全コントローラ４０４は、電気信号であり得る信号を、ＰＩＶハイ・フローＤＣＶの開放側におけるパイロット圧力をブリード・オフするＤＣＶに送り、それによってＰＩＶ２１２を閉じさせる。同じ信号は、ＬＲＰ海ダンプ弁の閉鎖側におけるパイロット圧力をブリード・オフするＤＣＶにも送られ、それによってＬＲＰ海ダンプ弁２４２を開かせる。これは、ＰＩＶ２１２のより短い閉鎖時間を可能にする。
４．安全コントローラ４０４は、電気信号であり得る信号を、改修制御モジュールへの低圧液圧供給をブリード・オフする２つのＤＣＶ５０１および５０２に送り、それによって坑井制御パッケージ５５０内のすべての弁５１０をフェイル・セーフに導く。
５．安全コントローラ４０４は、電気信号であり得る信号を、改修制御モジュールの内部液圧をブリード・オフする２つのＤＣＶに送り、それによってさらに坑井制御パッケージ５５０のより短いフェイル・セーフ応答を可能にする。
６．安全コントローラ４０４は、電気信号であり得る信号を、安全ヘッド・ハイ・フローＤＣＶの開放側におけるパイロット圧力をブリード・オフするＤＣＶに送り、それによって安全ヘッド５１５を閉じさせる。

ＥＱＤ機能の主な特徴は、以下の通りである。
１．ＥＱＤは、典型的には、坑井制御パッケージ５５０内、すなわち、改修システムの海底部分内のすべての（通常は３つの）主ボア弁およびすべての環状ボア弁を閉じる。ＥＱＤは、さらに、ＥＤＰ２０５をＬＲＰ２０４から切断し、言い換えれば、ＷＣＰ５５０の上部と下部とを切断する。
２．ＥＱＤ機能は、典型的には、改修アンビリカルを介する、またはトップサイドから海底システムへの同様の通信ケーブルを介する通信を必要とする。
３．ＥＱＤは、典型的には、押しボタンで起動／始動される。
４．ＥＱＤ機能は、船舶／リグの安全および自動化システムのＥＳＤ機能によって開始され得る。
５．ＥＱＤ機能は、典型的には、将来の自動開始機能のための追加のスペア計装イニシエータ・ポートを備える。
６．ＥＱＤは、典型的には、電力または液圧力の損失時のフェイル・アズ・イズ・タイプの安全機能である。これは、この場合、フェイル・セーフ・アズ・イズ状態にあり、誤って切断するのではなく、故障時に接続され続けるほうがより安全であるためである。
７．ＥＱＤは、典型的には、最終要素が、動力、たとえば、電力、空気圧力、または液圧力、またはそれらの組み合わせを適用することによって安全状態にされることを意味する、通電時トリップの安全機能である。前記動力の供給をカットすることは、通常、安全機能を安全状態にさせない。
８．安全状態によって、本明細書では、リグ／船舶および環境が坑井／リザーバ内容物から隔離され、さらに、前記リグ／船舶が坑井から切断されていることが意味される。
９．通常、ＵＰＳを介して供給される電力供給は、通常、ＷＯＣＳと共有される。電力の完全な損失時、たとえば、ＵＰＳの損失時、システムは、固有のフェイル・セーフ・クローズ機能によって安全状態になるが、必ずしもＥＱＤ機能に関するタイミング要求の範囲内にあるとは限らない。
１０．主ボア弁のための閉鎖援助のために使用される液圧力供給はまた、典型的には、ＷＯＣＳと共有される。
１１．ＥＤＰ２０５のパイロット機能のための液圧力供給は、別個のアキュムレータを介して供給され得る。
１２．ＥＱＤ機能は、典型的には、さらに、上記で説明したようにＰＳＤ機能を開始する。

ＥＱＤ機能の例示的な実施形態のうちのいくつかが、図６に示されている。実線の矢印４５０は、電気信号を表し、破線４６０は、液圧信号を表す。当業者は、液圧信号および電気信号の範囲を拡張、縮小、置換、または組み合わせることによって、代替実施形態が可能であることを理解するであろう。いくつかの実施形態では、空気圧などの代替の動力源を用いて同様の機能を達成することも可能である。したがって、特定の実施形態は、簡潔にするために、例示的な実施形態の範囲を限定することなく、かつ、一般的な意味で提示される。

図６に示す丸いブロック６００、４０４、４０７、５０１、５０２、５０３、５０４、５０５、および６０１は、例示的な実施形態のうちのいくつかによるＷＳＳシーケンスを表し、残りのブロックは、ここでは、ＷＯＣＳシーケンスを表す。

先に論じたように、無停電電源（「ＵＰＳ」）４０２は、ＷＯＣＳ部分４０５とＷＳＳ部分４０４との間で共有され得る。

図６に示すＷＯＣＳ機能は、上記の図４の議論において説明したものと同様である。

ＥＱＤシーケンスは、ＥＱＤイベントをＷＳＳ論理コントローラ４０４に送信する押しボタン６００を介して起動／始動される。ＷＳＳ論理コントローラ４０４のＰＳＤ ＤＣＶ４０７およびＳＰＷＶ２０８との対話は、上記の図４の議論において開示されている。ＷＳＳ論理コントローラ４０４の提案された実施形態も、上記で議論されている。

例示的な実施形態のうちのいくつかによれば、通常、坑井制御パッケージ５５０内の緊急切断パッケージ（「ＥＤＰ」）に搭載された１つまたは複数の海底キャニスタは、典型的には、以下を含む最終要素の独立した制御を可能にする１４のＤＣＶを備える。
ａ．リテーナー弁（「ＲＶ」）２１１
ｂ．ＥＤＰ海ダンプ弁２４１（図５には図示せず）
ｃ．生産隔離弁（「ＰＩＶ」）２１２
ｄ．安全ヘッド（「ＳＨ」）５１５
ｅ．ＬＲＰ海ダンプ弁２４２（図５には図示せず）
ｆ．改修制御モジュール液圧供給（図６には完全には図示せず）
ｇ．改修制御モジュール内部液圧（図６には具体的に図示せず）
ｈ．ＢＯＶ−説明のためにＥＳＤ機能におけるリストを参照
ｉ．ＵＭＩＶ−説明のためにＥＳＤ機能におけるリストを参照
ｊ．緊急切断パッケージ・コネクタ１次アンロック２５１（図６において、一般的なブロック、ＥＤＰコネクタ６１１として示す）
ｋ．緊急切断パッケージ・コネクタ２次アンロック２５２（図６において、一般的なブロック、ＥＤＰコネクタＤＣＶ６０１によって制御可能なＥＤＰコネクタ６１１として示す）
ｌ．スペア機能

ＥＱＤは、通常、リグ／船舶が位置を損失した（ドライブ・オフ／ドリフト・オフ）とき、または、大きな炭化水素漏れがＥＳＤによって含まれておらず、リグ／船舶ができるだけ早く場所を移動する必要があるときに開始される。ＥＱＤ機能は、典型的には、押しボタン６００によって開始され、それによって、ＷＳＳコントローラ４０４に信号を送り、前記安全コントローラ４０４は、リレー・ベースのコントローラであるが、少なくとも部分的に、シャットダウン・シーケンスを開始するＰＬＣであってもよい。前記信号を受信すると、安全コントローラ４０４は、さらに、プロセス制御システムに開始を通知する。シャットダウン・シーケンスは、安全コントローラ４０４によって実行される。典型的なステップは、以下の通りである（必ずしも同じ順序である必要はない）。
１．安全コントローラ４０４は、ＥＱＤ開始をプロセス制御システムに通知する信号をＷＯＣＳに送る。
２．安全コントローラ４０４は、信号、たとえば、電気信号を、ＲＶハイ・フローＤＣＶの開放側におけるパイロット圧力をブリード・オフするＤＣＶに送り、それによってＲＶ２１１を閉じさせる。同じ信号は、ＥＤＰ海ダンプ弁の閉鎖側におけるパイロット圧力をブリード・オフするＤＣＶにも送られ、それによってＥＤＰ海ダンプ弁２４１を開かせる。これは、ＲＶ２１１のより短い閉鎖時間を可能にする。
３．安全コントローラ４０４は、信号、たとえば、電気信号を、ＰＩＶハイ・フローＤＣＶの開放側におけるパイロット圧力をブリード・オフするＤＣＶに送り、それによってＰＩＶ２１２を閉じさせる。同じ信号は、ＬＲＰ海ダンプ弁の閉鎖側におけるパイロット圧力をブリード・オフするＤＣＶにも送られ、それによってＬＲＰ海ダンプ弁２４２を開かせる。これは、ＰＩＶ２１２のより短い閉鎖時間を可能にする。
４．安全コントローラ４０４は、信号、たとえば、電気信号を、改修制御モジュールへの低圧液圧供給をブリード・オフする２つのＤＣＶに送り、それによって坑井制御パッケージ５５０内のすべての弁５１０をフェイル・セーフに導く。
５．安全コントローラ４０４は、信号、たとえば、電気信号を、改修制御モジュールの内部液圧をブリード・オフする２つのＤＣＶに送り、それによってさらに改修制御パッケージのより短いフェイル・セーフ応答を可能にする。
６．安全コントローラ４０４は、信号、たとえば、電気信号を、コネクタの１次機能および２次機能にパイロット圧力を加えるＤＣＶに送る。
７．安全コントローラ４０４は、信号、たとえば、電気信号を、安全ヘッド・ハイ・フローＤＣＶの開放側におけるパイロット圧力をブリード・オフするＤＣＶに送り、それによって安全ヘッド５１５を閉じさせる。

例示的な実施形態のうちのいくつかは、従来のＷＯＣＳベースのシステム対する以下の例示的な利点をもたらし、主なものを以下に列挙する。

ＰＳＤ機能について、例示的な実施形態のうちのいくつかは、以下をもたらす。
１．プロセス制御システムおよび機能から物理的に分離され、それによって、安全性が強化された、独立した、高速で信頼性の高いシステムをもたらす、安全関連のシステムおよび機能。
２．（上記で論じたような）開放水域改修システム、ランディング・ストリング、ライザー・レス改修システム、スルー・チュービング・ロータリー掘削改修システム、およびそれらの類似物または組み合わせを含む、異なるタイプの改修システムにおいて使用するための柔軟性。
３．安全システムによるプロセス制御システムのハードウェア停止。

ＥＳＤ機能について、例示的な実施形態のうちのいくつかは、以下をもたらす。
１．プロセス制御システムおよび機能から物理的に分離され、それによって、安全性が強化された、独立した、高速で信頼性の高いシステムをもたらす、安全関連のシステムおよび機能。
２．たとえば、上記の議論で示したような液圧配管を使用する、安全システムによるプロセス制御システムのハードウェア停止。電気、空気圧、または他のシステムにおける同等物も可能である。
３．安全機能を高い信頼性かつ堅牢にする、比較的簡略化された安全機能。加えて、システム内の任意の故障検出もより容易であり、それによって、システムの高い可用性をもたらす。
４．安全機能または完全性の損失のない海底回収可能プロセス制御。
５．（上記で論じたような）開放水域改修システム、ランディング・ストリング、ライザー・レス改修システム、スルー・チュービング・ロータリー掘削改修システム、およびそれらの類似物または組み合わせを含む、異なるタイプの改修システムにおいて使用するための柔軟性。

ＥＱＤ機能について、例示的な実施形態のうちのいくつかは、以下をもたらす。
１．プロセス制御システムおよび機能から物理的に分離され、それによって、安全性が強化された、独立した、高速で信頼性の高いシステムをもたらす、安全関連のシステムおよび機能。
２．コネクタ・アンロックのパイロット・ステージのための物理的に分離された液圧供給。
３．たとえば、上記の議論で示したような液圧配管を使用する、安全システムによるプロセス制御システムのハードウェア停止。電気、空気圧、または他のシステムにおける同等物も可能である。
４．安全機能を高い信頼性かつ堅牢にする、比較的簡略化された安全機能。加えて、システム内の任意の故障検出もより容易であり、それによって、システムの高い可用性をもたらす。
５．安全機能または完全性の損失のない海底回収可能プロセス。
６．（上記で論じたような）開放水域改修システム、ランディング・ストリング、ライザー・レス改修システム、スルー・チュービング・ロータリー掘削改修システム、およびそれらの類似物または組み合わせを含む、異なるタイプの改修システムにおいて使用するための柔軟性。

例示的な実施形態のうちのいくつかの別の目的は、典型的な改修システム内または同様のシステム内の既存の構成要素の信頼性および堅牢性を高めることである。例示的な実施形態のうちのいくつかは、安全システムの安全性および信頼性を向上させ、より新しい規制安全要件を満たすために、ＷＳＳに関する液圧供給、電力供給、および動力管理エリアに対する以下の変更を提案する。

より最近の規制要件の要求は、たとえば、以下の通りである。
１．ＩＥＣ６１５１１−１ １１．２．１１：動力の損失時に安全状態にならないサブシステムについて、以下の要件のすべてが満たされ、１１．３に従ってアクションがとられる。
ａ．回路の完全性の損失が検出される（たとえば、終端監視）。
ｂ．補助電源（たとえば、バッテリ・バックアップ、無停電電源）を使用して電源の完全性が保証される。
ｃ．システムへの電力の損失が検出される。
２．ＩＥＣ６１５１１−１ １１．２．４：基本プロセス制御システムをこの規格に適合させないことが意図されている場合、基本プロセス制御システムは、安全計装システムの機能的完全性が損なわれない程度に、別個かつ独立に設計されなければならない。

注記１ 作動情報は、交換され得るが、安全計装システム（「ＳＩＳ」）の機能安全を損なうべきではない。

注記２ 基本プロセス制御システムの故障が安全計装システムの安全計装機能を損なわない場合、ＳＩＳのデバイスはまた、基本プロセス制御システムの機能のために使用され得る。

上記の項目１は、液圧力供給の監視および見張りと、動力を蓄積するためのアキュムレータの使用とを必要とすると解釈される。ＳＩＬ２達成のために、冗長な蓄積が必要とされ、十分であることが仮定される。アキュムレータは、基本プロセス制御システム（「ＢＰＣＳ：Ｂａｓｉｃ Ｐｒｏｃｅｓｓ Ｃｏｎｔｒｏｌ Ｓｙｓｔｅｍ」）を使用する予防保守と、安全計装システム（「ＳＩＳ」）を使用する液圧力の損失の検出とについて監視されなければならない。ＳＩＬ２という用語は、当業者には知られているべきであり、ＳＩＬ２は、安全完全性レベル２を表し、これは、故障の確率が１０−２〜１０−３のオーダであることを意味し、システム・アーキテクチャおよびプロジェクト実行に対する特定の要件が満たされなければならない。

項目２は、ＳＩＳが可能な程度まで基本プロセス制御システムから分離されることと、任意のおよびすべての共有される要素および／または通信リンクがＳＩＳに悪影響を及ぼすことができないこととを要求すると解釈される。

安全規制を満たし、それを超えるために、以下の実現が提案される。

改修制御システム（「ＷＯＣＳ」）は、低圧（「ＬＰ」）機能と高圧（「ＨＰ」）機能の両方のための冗長アキュムレータ・バンクと、ＷＯＣＳ ＬＰ ＡとＷＯＣＳ ＬＰ Ｂとを備える。両方のバンクは、船舶／リグの動力供給の損失時、たとえば、液圧ポンプへの動力の損失時に、最低１時間ＢＰＣＳを活動状態に保つような大きさにされる。アキュムレータの寸法設定の計算に関する要件およびマージンのため、アキュムレータは、通常、１時間の最小限の要件よりも長くＢＰＣＳを活動状態に維持することができる。

ＷＯＣＳアキュムレータ４０９は、さらに、ＷＯＣＳオペレータが手動でシステムをその定義された安全状態にする能力を保証する。特定の作動条件に応じて、安全状態に到達するために要求されるステップは、変化する場合がある。アキュムレータ４０９は、通常、ＷＯＣＳ液圧力ユニット（「ＨＰＵ」）１０２内に配置される。

ここで図７を参照する。全体的なリグ／船舶の原理のために、ＷＯＣＳ ＵＰＳ４０２ａおよび４０２ｂは、電気的に保持されるスイッチ７０１ａおよび７０１ｂと、船舶／リグＥＳＤシステムが緊急のイベントにおいてＵＰＳを停止させ、船舶／リグ上のすべての電力をスイッチ・オフすることができる緊急電源オフ（「ＥＰＯ：Ｅｍｅｒｇｅｎｃｙ Ｐｏｗｅｒ Ｏｆｆ」）とを備える。これにより、電気的に保持されたダンプ弁７０５（コイル７０２ａおよび７０２ｂを使用する２оо２（ｔｗｏ−ｏｕｔ−ｏｆ−ｔｗｏ）投票回路にＷＯＣＳ ＵＰＳ４０２ａおよび４０２ｂによって直接保持される）を起動させる。ダンプ弁は、ＷＯＣＳ ＨＰＵ内の液圧をブリード・オフし、ＢＰＣＳをその定義された安全状態にさせ、すなわち、坑井が密封され。すべての機能が非通電にされる。ＷＯＣＳ冗長モジュール７０４は、ＵＰＳ４０２ａまたは４０２ｂが故障しても、ＷＯＣＳ４０５が電力を受け取ることを保証する。

いくつかの実施形態では、急速切断機能は、利用不可能であるが、音響バックアップ、ＲＯＶ無効化、およびライザー弱リンクが通常利用可能である。音響バックアップおよびＲＯＶ無効化は、（たとえば、ＥＰＯの後）ＷＣＰが電源および液圧力供給を損失したとき、ＥＤＰコネクタの切断を開始する手段である。ライザー弱リンクは、ライザー・ジョイントのうちの１つが過負荷時に破裂するように設計された機械的機能であり、リグ／船舶がドライブ・オフ／ドリフト・オフすることを可能にし、ＷＣＰを、電力および液圧力の損失によりフェイル・セーフ・クローズにする。これらは、緊急急速切断に対する追加の保護レイヤである。ＥＱＤは、改修システムが坑井に接続されている間にリグ／船舶が位置を損失する場合に必要な安全計装機能（「ＳＩＦ：Ｓａｆｅｔｙ Ｉｎｓｔｒｕｍｅｎｔｅｄ Ｆｕｎｃｔｉｏｎ」）である。

改修安全システム（「ＷＳＳ」）は、（サブ表面試験ツリー内のバリア要素が、高圧坑井孔を切断し、閉鎖し、密封することを必要とする）直接液圧ランディング・ストリング緊急シャットダウンなどの、安全状態に到達するためにトップサイドの蓄積された液圧力および電力に依存する安全機能を含む。このため、提案されたＷＳＳは、ＳＩＬ２要件を満たすために十分高い信頼性でこの機能に液圧力を提供する。

例示的な実施形態のうちのいくつかは、アキュムレータ原理の実装形態を示す以下の２つの実施形態を提案する。

実施形態１：共有アキュムレータ・バンク

第１の実施形態の簡略化された概要が図８に示されている。ここで、ボックス「８０１」の形状のような丸いブロックは、例示的な実施形態のうちのいくつかにおいて提案されるようなモジュール／機能を表す。ブロック「８０２」のような六角形のブロックは、ここでは、基本プロセス制御システム（「ＢＰＣＳ」）機能を表す。ＢＰＣＳは、ＷＯＣＳの別名である。「８０３」のような残りのブロックは、ここでは、ＳＩＳとＢＰＣＳとの間で共有される機能を表す。単純さのために、単一の構成要素が図８に示されているが、同じ原理は、複数の構成要素にも適合し、たとえば、アキュムレータ４０９は、複数のアキュムレータであってもよい。

図８に示すように、アキュムレータ４０９は、ＷＳＳ機能８０６とＷＯＣＳ機能８０５の両方のための液圧力を供給する。例示的な実施形態のうちのいくつかによれば、隔離弁８０８がアキュムレータ４０９とＷＯＣＳ機能８０５との間に配置される。前記隔離弁８０８は、アキュムレータ４０９のパラメータも監視するＷＳＳコントローラ４０４によって制御される。ＷＳＳコントローラ４０４によって監視される前記パラメータは、圧力とアキュムレータ・レベルとを含む。前記パラメータがそれらの所定の限度に達すると、たとえば、圧力が特定の限度未満になると、ＷＳＳコントローラ４０４は、アキュムレータ４０９内に蓄積された液圧容量が重要な機能、すなわちＷＳＳ機能８０６のために確保されるように、隔離弁８０８を閉じる。そうすることによって、システムは、安全機能を実行し、それによって、船舶またはプラントを安全にするのに十分な液圧供給が利用可能であることを保証することができる。パラメータが安全限度内に戻ると、ＷＳＳコントローラ４０４は、ＷＯＣＳ機能８０５が実行されることを可能にするために、隔離弁８０８を開く。

ＳＩＳが安全臨界機能を制御する能力を保証するＢＰＣＳへの供給を遮断すると、ＢＰＣＳは、通常、バリア弁を開に保持する液圧力の損失のために、自動的に安全状態になるように強制される。

アキュムレータ４０９は、ＳＩＳによって監視され、監視情報は、ＳＩＳとＢＰＣＳとの間の通信リンク、たとえば、既存の一方向Ｍｏｄｂｕｓリンク（図８には図示せず）を使用して、ＢＰＣＳ／ＷＯＣＳで共有される。

図９は、アキュムレータ原理の本実施形態による、この場合、ボール弁９１０ａおよび９１０ｂを介して高圧坑井孔９００を制御するために実装されているように見えるシステムの典型的な概要を示す。アキュムレータ４０９ａａ、４０９ａｂ、４０９ｂａ、および４０９ｂｂは、ＳＩＳ機能とＢＰＣＳ機能との間で共有される。弁９０４ａａ、９０４ａｂ、９０４ｂａ、および９０４ｂｂ、ならびに、９１０ａおよび９１０ｂも、ＳＩＳ機能とＢＰＣＳ機能との間で共有される。液圧ポンプ９０９ａａ、９０９ａｂ、９０９ｂａ、および９０９ｂｂは、ＢＰＣＳによって制御および監視される。これは、ＳＩＳをシンプルに保ち、安全臨界機能に限定し、それによって、システムの向上した堅牢性と短縮した応答時間とを含む利点を達成するために行われる。図９からわかるように、ＢＰＣＳアキュムレータは、完全に冗長であり、冗長なバリア要素の安全機能が別個の液圧力供給から制御されるように設計された液圧システムである。これは、安全システム設計における堅牢性および単純さをさらに保証する。

実施形態２：安全システムのための分離蓄積

第２の実施形態の簡略化された概要が図１０に示されている。本実施形態における改修安全システムは、それぞれＷＯＣＳポンプ９０９ａａ、９０９ａｂ、９０９ｂａ、および９０９ｂｂによって充填されるアキュムレータの別個のセット１００９ａａ、１００９ａｂ、１００９ｂａ、および１００９ｂｂを利用する。図１の実施形態におけるように、ポンプは、安全システムをリーンに保つための安全機能の一部ではない。システムは、安全状態に達するのに十分な蓄積容量および動力が常に存在することを保証する。安全機能の開始のような特定のイベントにおいて、改修安全システムのアキュムレータ４０９ａａ、４０９ａｂ、４０９ｂａ、および４０９ｂｂは、前記安全機能の開始時にバリア要素に液圧力を加えるために、液圧機能ラインにティード・イン（ｔｅｅｄ−ｉｎ）される。

上記で論じた第１の実施形態は、システム内の減少した数のアキュムレータなどの例示的な利点を備え、第１の実施形態は、第２の実施形態よりも比較的単純な実装形態である。

ここで再び最近の規制要件を参照する。
１．ＩＥＣ６１５１１−１ １１．２．１１：動力の損失時に安全状態にならないサブシステムについて、以下の要件のすべてが満たされ、１１．３に従ってアクションがとられる。
ａ．回路の完全性の損失が検出される（たとえば、終端監視）。
ｂ．補助電源（たとえば、バッテリ・バックアップ、無停電電源）を使用して電源の完全性が保証される。
ｃ．システムへの電力の損失が検出される。
２．ＩＥＣ６１５１１−１ １１．２．４：基本プロセス制御システムをこの規格に適合させないことが意図されている場合、基本プロセス制御システムは、安全計装システムの機能的完全性が損なわれない程度に、別個かつ独立に設計されなければならない。

注記１ 作動情報は、交換され得るが、安全計装システム（「ＳＩＳ」）の機能安全を損なうべきではない。

注記２ 基本プロセス制御システムの故障が安全計装システムの安全計装機能を損なわない場合、ＳＩＳのデバイスはまた、基本プロセス制御システムの機能のために使用され得る。

項目１は、ここでは、電源の監視および見張りと、無停電電源（「ＵＰＳ」）の使用とを必要とすると解釈される。ＳＩＬ２達成のために、冗長なＵＰＳが必要とされ、十分であることが仮定される。ＵＰＳは、基本プロセス制御システム（「ＢＰＣＳ」）を使用する予防保守と、安全計装システム（「ＳＩＳ」）を使用する電源の損失の検出とについて監視されなければならない。

項目２は、ここでは、ＳＩＳが可能な程度まで基本プロセス制御システムから分離されることと、任意のおよびすべての共有される要素および／または通信リンクがＳＩＳに悪影響を及ぼすことができないこととを要求すると解釈される。

安全規制を満たし、それを超えるために、以下の実現が提案される。

ここで再び図７を参照すると、改修制御システム（「ＷＯＣＳ」）は、２つの冗長ＵＰＳ、ＷＯＣＳ ＵＰＳ Ａ４０２ａとＷＯＣＳ ＵＰＳ Ｂ４０２ｂとを備える。両方のＵＰＳは、船舶／リグ電源の損失時にＢＰＣＳが最低１時間活動状態に保たれ得るように指定される。容量などのＵＰＳの仕様の計算に関する要件およびマージンのため、ＵＰＳは、通常、１時間の最小限の要件よりも長くＢＰＣＳを活動状態に維持することができる。

ＷＯＣＳＵＰＳ４０２ａおよび４０２ｂは、さらに、ＷＯＣＳオペレータが手動でシステムをその定義された安全状態にする能力を保証する。特定の作動条件に応じて、安全状態に到達するために要求されるステップは、変化する場合がある。

全体的なリグ／船舶の原理のために、ＷＯＣＳ ＵＰＳ４０２ａおよび４０２ｂは、電気的に保持されるスイッチ７０１ａおよび７０１ｂと、船舶／リグＥＳＤシステムが緊急のイベントにおいてＵＰＳの設定を無効化し、船舶／リグ上のすべての電力をスイッチ・オフすることができる緊急電源オフ（「ＥＰＯ：Ｅｍｅｒｇｅｎｃｙ Ｐｏｗｅｒ Ｏｆｆ」）とを備える。これにより、電気的に保持されたダンプ弁７０５（２оо２（ｔｗｏ−ｏｕｔ−ｏｆ−ｔｗｏ）投票回路にＷＯＣＳ ＵＰＳ４０２ａおよび４０２ｂによって直接保持される）を起動させる。ダンプ弁は、ＷＯＣＳ ＨＰＵ内の液圧をブリード・オフし、ＢＰＣＳをその定義された安全状態にさせ、すなわち、坑井が密封され。すべての機能が非通電にされる。

たとえば、船舶ＥＰＯ信号によって、または両方のＷＯＣＳ ＵＰＳ Ａ４０２ａおよびＷＯＣＳ ＵＰＳ Ｂ４０２ｂの故障によって引き起こされる、ＷＳＳ緊急シャットダウン（「ＥＳＤ」）およびプロセス・シャットダウンＳＩＦにおいて定義された安定状態の開始を改修制御システムに認識させるために、例示的な実施形態のうちのいくつかは、改修制御システムがバックアップ電源としてＷＯＣＳ ＵＰＳを使用すべきであることを提案する。これを行うことによって、提案されたシステムは、たとえば、電力損失のためにＷＯＣＳがシャットダウンしたときなどのインスタンスを回避し、ＷＳＳは、システムが安全状態に到達したかどうかを知らない。

万一、両方のＷＯＣＳ ＵＰＳが故障する場合、ＷＳＳが緊急急速切断（「ＥＱＤ」）を開始する能力を維持するために第３の独立したＵＰＳを含むことが可能である。この第３のＵＰＳもリグ／船舶ＥＰＯ信号の対象となり、グローバルな安全対策のためＥＱＤ機能を利用不可能にすることに留意されたい。前のセクションにおけるように、バックアップ・イニシエータ（音響ＲＯＶおよびライザー弱リンク）は、トップサイドの蓄積動力（電気または液圧）に依存しないので、依然として利用可能である。

図１１は、例示的な実施形態のうちのいくつかによる電力管理システムの別の実施形態を示す。この実施形態では、ＷＳＳ４０４は、専用ＵＰＳ１１０２を介して追加で電力が供給される。第１の冗長モジュール７０４ａは、ＵＰＳ Ａ４０２ａとＵＰＳ Ｂ４０２ｂとの間に冗長性を提供する。第２の冗長モジュール７０４ｂは、第１の冗長モジュールからの出力と専用ＷＳＳ ＵＰＳ１１０２との間の冗長性を提供する。この実施形態では、ＷＳＳは、ＷＯＣＳ ＵＰＳ４０２ａ、ｂの損失後であってもＥＱＤを利用可能に保つことができるが、ＷＳＳがＷＯＣＳへの電力の損失と、改修システムの固有のフェイル・セーフとを認識するように、ＷＯＣＳ ＵＰＳ４０２ａ、ｂへの接続を依然として有する。

ここで、最近の規制要件のうちの１つを再び参照する。
１．ＩＥＣ６１５１１−１ １１．２．１１：動力の損失時に安全状態にならないサブシステムについて、以下の要件のすべてが満たされ、１１．３に従ってアクションがとられる。
ａ．回路の完全性の損失が検出される（たとえば、終端監視）。
ｂ．補助電源（たとえば、バッテリ・バックアップ、無停電電源）を使用して電源の完全性が保証される。
ｃ．システムへの電力の損失が検出される。

項目１ａは、ここでは、海底ライン、および高電圧電源ユニット（「ＨＶＰＳＵ：ｈｉｇｈ−ｖｏｌｔａｇｅ ｐｏｗｅｒ ｓｕｐｐｌｙ ｕｎｉｔ」）出力ラインのライン監視を必要とすると解釈される。

項目１ｃは、ここでは、ＨＶＰＳＵ状態の監視および見張り、すなわち、内部故障の検出を必要とすると解釈される。

例示的な実施形態のうちのいくつかは、改修安全システムを単純化し、堅牢で信頼できるものにすることを対象とする。この目的を達成するための本発明者らによって認識された重要な要素は、ハードワイヤード電力を使用して海底機能を直接制御することである。

海底機能は、典型的には、作動するために直流２４Ｖにおいて４Ｗを必要とし、起動するために通電されるように構成される。言い換えれば、安全機能は、所与の範囲内の電力、たとえば、安全状態に到達するための所与の電圧における電力を必要とする。改修システムに関するＩＳＯ１３６２８−７などのいくつかの要件は、以下を遵守することが重要である。

例として、３６００ｍのオーダの長さを有するアンビリカル内のケーブルを介する海底ＤＣＶコイルの直接運用は、電力伝送ケーブルの長さにわたる電圧降下に遭遇する。アンビリカルの長さは、システムが展開される実際のフィールドの深さに応じて変化する。３６００ｍ長のＡＷＧ１９ケーブルを介してトップサイドに接続された海底に位置する４Ｗ２４ＶＤＣコイルに２４ＶＤＣを供給するために、約１９０ＶＤＣのトップサイド電圧が必要とされる。ケーブルにおける電圧降下は、ケーブル材料、長さ、断面、抵抗率、および、典型的には、材料の抵抗率を変化させる温度さえ含むいくつかの要因に依存する。

本発明者らは、ＤＣＶを含む海底構成要素に関する電源条件を改善するための、例示的な実施形態のうちのいくつかのさらに別の実施形態における以下の方法およびシステムを提供する。

ここで図１２を参照すると、例示的な実施形態のうちのいくつかによるシステムおよび方法の一般的な形態は、以下のように提案される。
１．可変のケーブル長、ケーブル断面、周囲温度、および、各ケーブルに並列に接続された構成要素またはソレノイドの数を用いて、ソレノイドなどの海底構成要素に通電するための必要なトップサイド電力を計算するための理論モデルを検証する。
２．電力システム設定のための初期値を生成し、前記設定を用いて、ＷＳＳ論理コントローラ４０４、たとえば、ＰＬＣを初期化するために論理モデルを使用する。
３．たとえば、電気測定機器１２０２を使用して、海底ライン・パラメータを監視し、高電圧電源ユニット（「ＨＶＰＳＵ」）１２０１設定を動的に調整するために、海底ラインにおいて印加される電圧および供給される電流を含む前記パラメータを使用する。前記設定は、たとえば、ＰＬＣ４０４とＨＶＰＳＵ１２０１との間の制御インターフェースまたはバス１２１１を使用して調整される。
４．ＨＶＰＳＵ１２０１設定を検証し、修正するために、電気測定機器１２０２からの測定パラメータを使用し、すなわち、命令された設定と実際の設定との間の比較および修正を実行する。
５．通信リンクまたはバス１２１１を使用してＨＶＰＳＵ１２０１を内部診断のために連続的に監視する。前記通信リンクは、たとえば、シリアル通信媒体を備える。
６．ＨＶＰＳＵ１２０１において故障が検出された場合、たとえば、オペレータによってアスクセス可能なＳＣＡＤＡ ＨＭＩおよびＳＩＬ２互換のＷＳＳステータス・ランプまたはディスプレイを介してＷＯＣＳオペレータに通知する。前記ランプは、ＢＰＣＳまたはＳＣＡＤＡ ＨＭＩが使用可能でなくてもオペレータにとって可視である。

当業者は、実際には、電源からのクリーンな冗長性をシステム内の最終要素に提供するためのＡブランチおよびＢブランチの各々について少なくとも１つのＨＶＰＳＵ１２０１が存在することを理解するであろう。

この実施形態の重要な利点は、システムを既製の構成要素を使用して構築し、それにもかかわらず高い信頼性の堅牢で単純な安全システムを達成することができることである。言い換えれば、高電圧電源ユニット１２０１（ＨＶＰＳＵ ＡおよびＨＶＰＳＵ Ｂ）は、比較的安価な既製の構成要素として選択され得る。これは、それらがＳＩＬ２安全機能において使用するために事前認証されることを必要としないことを意味する。上記で提案されているような閉ループ監視および修正機構は、汎用構成要素を使用し、注文品の構成要素なしで開発され得る高い信頼性の安全システムをもたらし、それによってコストを削減する。

例示的な実施形態のうちのいくつかに従って、上記の説明で言及したような特定の最終要素の起動について論じる。上記で論じたような安全システムの物理的独立性の目的を達成するために、最終要素を動かす以下の方法およびシステムが例示的な実施形態において提案される。

ＷＳＳ制御が、液圧供給源、たとえば、アキュムレータ４０２と最終要素との間に直列に配置されることが提案され、前記最終要素は、フェイル・セーフ・クローズ（「ＦＳＣ：Ｆａｉｌ−Ｓａｆｅ−Ｃｌｏｓｅ」）最終要素である。制御されるＷＳＳが、最終要素と並列に配置されることがさらに提案され、前記最終要素は、フェイル・アズ・イズ（「ＦＡＩ」）要素である。そうすることによって、ＷＳＳは、最終要素の制御のための支配的なシステムにされる。

図１３は、フェイル・トゥ・セーフまたはフェイル・セーフ・クローズ構成の単純化された概要を示す。ここで、ＷＯＣＳ２０１は、ＤＣＶモジュール１３０１を制御し、ＷＯＣＳ２０１とＤＣＶモジュール１３０１の両方は、海底に設置され得る。ＤＣＶモジュール１３０１は、ＷＳＳによって制御される少なくとも１つのＤＣＶを備え、ＤＣＶモジュール内の前記ＤＣＶは、ソレノイド弁、たとえば、１３０２などの、電気的に駆動される値であり得る。この場合、ソレノイド弁１３０２は、ＥＳＤ機能およびＥＱＤ機能を実施するために使用されるＷＳＳ制御ＤＣＶである。図示のように、ソレノイド弁１３０２は、ＷＯＣＳ２０１に直列に接続される。図１３において、ＷＳＳによって動かされるＤＣＶ１３０２は、作動させて示されており、したがって、ＷＯＣＳ２０１は、最終要素１３３０を制御していない。ＷＳＳが作動すると、ＷＳＳ内の前記ＤＣＶ１３０２は、ライン１３０７における液圧をブリード・オフし、したがって、ＷＯＣＳ２０１からの最終要素１３３０の制御を遮断する。図１３に示す最終要素１３３０は、たとえば、ＲＶ、ＰＩＶ、およびＳＨに関する典型的なメイン・ボア弁設定を示す。ブロック１３３０は、ライン１３０９を介してＤＣＶ１３１０に液圧力を供給するアキュムレータ１３０８を示す。第２のＤＣＶ１３２０は、ライン１３１９を介して液圧供給も受け取る。弁１３１０および１３２０への液圧供給は、同じアキュムレータまたは別個のアキュムレータのいずれかによって供給され得る。ＤＣＶ１３１０および１３２０は、弁１３４０のポートＣおよびＯを介してライン１３１０および１３１９内の液圧供給をルーティングすることによって弁１３４０を制御している。

図１３は、フェイル・セーフ・クローズ構成を示しているが、ＷＳＳは、フェイル・アズ・イズであり、すなわち、ＤＣＶモジュール１３０１が故障した場合、最終要素１３３０は、状態を変更しないことに留意されたい。誤ったトリップは、要求に応じてトリップを達成しないことと同等に危険であるので、この設計は、安全機能の誤ったトリップを回避するために、例示的な実施形態のうちのいくつかに従って選択される。ＤＣＶ弁１３０２は、図１３において作動させて示されていることに留意されたい。

図１４は、フェイル・アズ・イズ構成の単純化された概要を示す。ＤＣＶモジュール１３０１は、図１３において論じたのと同様であり、ＷＳＳによって制御される。図示のように、ＷＳＳは、ＤＣＶ１４１０および１４２０の内部パイロット１４０７とインターフェースするためにソレノイド弁１４０２を使用する。ＷＯＣＳ２０１は、ＤＣＶ１４１０および１４２０の外部パイロット１４３７とインターフェースする。安全シーケンス、たとえば、ＷＳＳ ＥＱＤが起動すると、アキュムレータ１４０８によってライン１４０６を介して供給されるＷＳＳからの圧力が印加され、それは、ＤＣＶ１４１０および１４２０に、弁１４４０のポートＣＵＬおよびＣＬを介して液圧供給を適用することによってコネクタをアンロックさせる。

本明細書の説明および特許請求の範囲を通して、「備える」および「含む」という単語、およびそれらの変形は、「限定はしないが含む」ことを意味し、それらは、他の部分、添加物、構成要素、整数、またはステップを除外することを意図しない（および除外しない）。本明細書の説明および特許請求の範囲を通して、文脈上他に要求されない限り、単数形は、複数形を包含する。具体的には、不定冠詞が使用される場合、明細書は、文脈上他に要求されない限り、複数性ならびに特異性を考慮するものとして理解されるべきである。

特定の態様に関連して説明される特徴、整数、特性、化合物、化学部分、またはグループは、矛盾しない限り、任意の他の態様、実施形態、または例に適用可能であると理解されるべきである。（任意の添付の特許請求の範囲、要約書、および図面を含む）本明細書に開示された特徴のすべて、および／または、そのように開示された任意の方法もしくはプロセスのステップのすべては、そのような特徴および／またはステップのうちの少なくともいくつかが互いに排他的である組み合わせを除いて、任意の組み合わせにおいて組み合わされ得る。例示的な実施形態は、任意の前述の実施形態の詳細に限定されない。例示的な実施形態は、（任意の添付の特許請求の範囲、要約書、および図面を含む）本明細書に開示された特徴のうちの任意の新規なもの、もしくは任意の新規な組み合わせ、または、そのように開示された任意の方法もしくはプロセスのうちの任意の新規なもの、もしくは任意の新規な組み合わせにわたる。

読者の注意は、本出願に関連して本明細書と同時にまたはその前に提出され、本明細書で公衆の閲覧に供せられるすべての書類および文書を対象とし、すべてのそのような書類または文書の内容は、参照により本明細書に組み込まれる。

Claims (36)

1. 炭化水素生産装置、特に、ロアー・ライザー・パッケージおよび緊急切断パッケージのうちの少なくとも１つを備える装置の構成要素（１０４）を作動させるように構成された改修制御モジュール（２０１）を停止させるように構成された改修安全システム（３０１）であって、
   前記改修制御モジュール（２０１）が、前記構成要素への作動液を調整するように構成され、前記改修制御モジュール（２０１）が、
   対応する作動液源（１１６、１１８）から作動液を受け取るように構成された液圧入力部（１０６＿１、１０６＿２）と、前記受け取った作動液を前記構成要素に送達するように構成された液圧出力部（１１０＿１、１１０＿２）とを備え、
   前記改修安全システムが、
   トリガ信号を受信するように構成されたトリガ入力部（１１２）と、
   前記改修制御モジュールの前記液圧入力部（１０６＿１、１０６＿２）と前記改修制御モジュール（２０１）の前記対応する作動液源（１１６、１１８）、および
   前記改修制御モジュール（２０１）の前記液圧出力部（１１０＿１、１１０＿２、１１０＿３）と前記構成要素（１０４）
   のうちの１つの間の直列接続の少なくとも１つのオーバライド弁（１１４＿１、１１４＿２、１２０＿１、１２０＿２、１２０＿３）とを備え、
   前記安全システムが、前記作動液が前記構成要素に送達されるのを防止するために、前記トリガ信号を受信すると、前記少なくとも１つのオーバライド弁（１１４＿１、１１４＿２、１２０＿１、１２０＿２、１２０＿３）を閉じるように、具体的には、機能ラインを閉じ、通気ラインを開くように構成された、改修安全システム。
2. ソフトウェアおよびハードウェアに関して前記改修制御モジュールから分離された、請求項１に記載の改修安全システム。
3. 作動液を貯蔵し供給するように構成された安全アキュムレータ（１４０）と、
   前記貯蔵された作動液を前記安全アキュムレータ（１４０）から受け取り、前記貯蔵された作動液を前記構成要素（１０４）に送達するように構成された少なくとも１つの圧力弁（１５０）とをさらに備え、前記トリガ信号を受け取ると、前記少なくとも１つの圧力弁（１５０）が、前記貯蔵された作動液を前記安全アキュムレータ（１４０）から前記構成要素に、具体的には、坑井制御パッケージ内に配置された遮断弁およびＢＯＰ内に配置された環状バッグ弁のうちの少なくとも１つに提供するために開くように構成された、請求項１または２に記載の改修安全システム。
4. 前記少なくとも１つのオーバライド弁（１１４＿１、１１４＿２、１２０＿１、１２０＿２、１２０＿３）が、第１の対応する作動液源（１１６）と第１の対応する液圧入力部（１６０＿１）との間に直列接続で配置されるように構成された第１のオーバライド弁（１１４＿１）と、第２の対応する作動液源（１１８）と第２の対応する液圧入力部（１０６＿２）との間に直列接続された第２のオーバライド弁（１１４＿２）と、前記改修制御モジュール（２０１）の前記液圧出力部（１１０＿１、１１０＿２）と前記構成要素（１０４）との間に直列接続された少なくとも１つの第３のオーバライド弁（１２０＿１、１２０＿２）とを備える、請求項１から３のいずれか一項に記載の改修安全システム。
5. 前記少なくとも１つのオーバライド弁（１２０＿３）が、トップサイド制御モジュール弁（３０２）と、表面生産ウイング弁（２０８）に結合されたパイロット弁（３０５）との間に直列接続で配置されるように構成され、前記トリガ信号を受け取ると、前記少なくとも１つのオーバライド弁（１２０＿３）が、閉位置になり、それによって、前記パイロット弁（３０５）および前記表面生産ウイング弁（２０８）への作動液の流れを防止するように構成された、請求項１から４のいずれか一項に記載の改修安全システム。
6. 前記改修安全システム内の弁が、Ａ／Ｂ冗長性を備える複製弁を備える、請求項１から５のいずれか一項に記載の改修安全システム。
7. 前記トリガ信号が、アナログ電圧、具体的には、２５Ｖまでを含む４８Ｖまでの、具体的には、直流、ＤＣを備える、請求項１から６のいずれか一項に記載の改修安全システム。
8. 請求項１から７および９から１４のいずれか一項に記載の改修安全システムと、
   前記改修制御モジュールと
   を備える装置。
9. 改修制御モジュール（２０１）とともに使用するように構成され、炭化水素生産装置、特に、ロアー・ライザー・パッケージおよび緊急切断パッケージのうちの少なくとも１つを備える装置の構成要素（１０４）を作動させるように構成された改修安全システム（３０１）であって、
   前記改修制御モジュール（２０１）が、前記構成要素への作動液を調整するように構成され、前記改修制御モジュールが、
   対応する作動液源（１１６、１１８）から前記作動液を受け取るように構成された液圧入力部（１０６＿１、１０６＿２）と、前記受け取った作動液を前記構成要素に送達するように構成された少なくとも１つの液圧出力部（１１０＿１、１１０＿２、１１０＿３）とを備え、
   前記改修安全システムが、
   作動液を貯蔵し提供するように構成された安全アキュムレータ（１４０）と、
   トリガ信号を受信するように構成されたトリガ入力部（１１２）と、
   前記貯蔵された作動液を前記安全アキュムレータ（１４０）から受け取り、前記貯蔵された作動液を前記構成要素（１０４）に送達するように構成された少なくとも１つの圧力弁（１５０）と
   を備え、
   前記安全システムが、前記貯蔵された作動液を前記安全アキュムレータ（１４０）から前記構成要素（１０４）に送達するために、前記トリガ信号を受け取ると、前記少なくとも１つの圧力弁（１５０）を開くように構成された、改修安全システム。
10. ソフトウェアおよびハードウェアに関して前記改修制御モジュールから分離された、請求項９に記載の改修安全システム。
11. 前記改修制御モジュール（２０１）の前記液圧入力部（１０６＿１、１０６＿２）と改修制御モジュール（２０１）の前記対応する作動液源（１１６、１１８）、および
    前記改修制御モジュール（２０１）の液圧出力部（１１０＿１、１１０＿２）と前記構成要素（１０４）
    のうちの１つの間の直列接続の少なくとも１つのオーバライド弁（１１４＿１、１１４＿２、１２０＿１、１２０＿２、１２０＿３）をさらに備え、
    前記安全システムが、前記作動液源（１１６、１１８）から受け取った前記作動液が前記構成要素に送達されるのを防止するために、前記トリガ信号を受信すると、前記少なくとも１つのオーバライド弁（１１４＿１、１１４＿２、１２０＿１、１２０＿２、１２０＿３）を閉じるように、具体的には、機能ラインを閉じ、通気ラインを開くように構成された、請求項９または１０に記載の改修安全システム。
12. 前記少なくとも１つのオーバライド弁（１１４＿１、１１４＿２、１２０＿１、１２０＿２、１２０＿３）が、第１の対応する作動液源（１１６）と第１の対応する液圧入力部（１６０＿１）との間に直列接続された第１のオーバライド弁（１１４＿１）と、第２の対応する作動液源（１１８）と第２の対応する液圧入力部（１０６＿２）との間に直列接続された第２のオーバライド弁（１１４＿２）と、前記改修制御モジュール（２０１）の前記液圧出力部（１１０＿１、１１０＿２）と前記構成要素（１０４）との間に直列接続された少なくとも１つの第３のオーバライド弁（１２０＿１、１２０＿２）とを備える、請求項１１に記載の改修安全システム。
13. 前記少なくとも１つのオーバライド弁（１２０＿３）が、トップサイド制御モジュール弁（３０２）と、表面生産ウイング弁（２０８）に結合されたパイロット弁（３０５）との間に直列接続し、前記トリガ信号を受け取ると、前記少なくとも１つのオーバライド弁（１２０＿３）が、閉位置になり、それによって、前記パイロット弁（３０５）および前記表面生産ウイング弁（２０８）への作動液の流れを防止するように構成された、請求項１１または１２に記載の改修安全システム。
14. 前記改修安全システム内の弁が、Ａ／Ｂ冗長性を有する複製弁を備える、請求項９から１３のいずれか一項に記載の改修安全システム。
15. 前記トリガ信号が、アナログ電圧、具体的には、２５Ｖまでを含む４８Ｖまでの、具体的には、直流、ＤＣを備える、請求項９から１４のいずれか一項に記載の改修安全システム。
16. トリガ入力部（１１２）と、
    プロセッサと、メモリと、前記メモリ内に記憶され、前記プロセッサによって実行可能な命令とを備え、前記トリガ入力部に結合され、
    電力線を含むアンビリカル、具体的には、３００メートルを超える、具体的には、１０００メートルを超える長さを有するアンビリカルと、
    前記電力線に接続された少なくとも１つの弁、具体的には、オーバライド弁およびアキュムレータ弁のうちの少なくとも１つと
    に結合されるように構成された論理デバイス（３１０Ａ）と、
    前記論理デバイスに結合された電源（３１０Ｂ）、具体的には、少なくとも３０ボルト、具体的には約５００ボルトまでを送達するように構成された、具体的にはＤＣ電源、具体的には、弁に接続されたときに電力線を介して弁を作動させるように構成された、ディスクリート電源、またはロジックと一体化された電源と、
    前記論理デバイスによって、
    前記電源が前記弁に接続されていない監視状態と、
    前記電源が前記弁に接続されている無効化状態と
    の間で切り替えるように作動可能な、前記論理デバイスおよび電源に結合されたスイッチ、具体的には、リレーと
    を備え、
    前記論理デバイスが、
    前記電力線および前記弁を含む電気回路を特徴付けるパラメータを測定することと、
    前記アンビリカルを介して送達されたときに前記弁を作動させるのに十分な所望の電圧を前記弁においてもたらすように期待されるトップサイド電圧を計算することと、
    前記計算されたトップサイド電圧を前記電源に伝送することと
    を含む方法を実行するように構成された、電力管理システム（３１０）。
17. 測定することが、
    非作動電圧を前記電力線に印加することと、
    前記印加された電圧から生じる電流を測定することと、
    前記測定された電流を、前記弁の抵抗に正規化すること、具体的には、前記弁の抵抗を減算することと、
    前記正規化された電流を使用して前記アンビリカルの抵抗を計算することと
    を含む、請求項１６に記載の電力管理システム。
18. 前記論理デバイスが、
    前記トリガ入力部（１１２）を介してトリガ信号を受信し、
    前記電源を使用して前記弁を作動させるために前記監視状態から前記無効化状態に変更するように前記スイッチを動かすようにさらに構成された、請求項１６または１７に記載の電力管理システム。
19. 炭化水素処理設備の少なくとも一部を安全状態にするために前記設備に結合されるように構成された安全システム（３０１）であって、前記設備が、制御モジュール（２０１）、具体的には、改修制御モジュールＷＯＣＭ、海底電子モジュールＳＥＭ、海底制御モジュールＳＣＭ、およびライザー制御モジュールＲＣＭのうちの少なくとも１つを備え、
    前記制御モジュール（２０１）が、前記設備の構成要素（１０４）、具体的には、
    トップサイド生産設備、ロアー・ライザー・パッケージＬＲＰ、緊急切断パッケージＥＤＰ、噴出防止装置ＢＯＰ、ライザー・パッケージＲＰ、掘削パッケージＤＰ、主制御ユニットＭＣＵ、および液圧力ユニットＨＰＵ、クリスマス・ツリー、具体的には表面ツリー、具体的には海底ツリー、具体的には、電気作動弁、マニホールド、コイル状チューブ・フレーム、およびワイヤ・ライン・フレームを有するクリスマス・ツリー
    のうちの少なくとも１つを備える構成要素を作動させるように構成され、
    前記制御モジュールが、
    前記構成要素（１０４）、具体的には、電気アクチュエータ、具体的には、スクリュー駆動部およびソレノイドのうちの１つ、具体的には、液圧アクチュエータ、具体的には、空気圧アクチュエータを作動させるのに十分な対応する動力源（１１６、１１８）からの動力流を受け取るように構成された、エネルギー入力部（１０６＿１、１６０＿２）、具体的には、電気入力部、空気圧入力部、および液圧入力部のうちの少なくとも１つと、
    前記制御モジュールを介して調整された前記動力流を前記構成要素に送達するように構成された、エネルギー出力部（１１０＿１、１１０＿２）、具体的には、液圧出力部、空気圧出力部、および電気出力部のうちの少なくとも１つと
    を備え、
    前記安全システムが、
    トリガ信号を受信するように構成された制御入力部（１１２）と、
    前記制御モジュール（２０１）の前記エネルギー入力部（１０６＿１、１０６＿２）と対応する動力源（１１６、１１８）、および
    前記制御モジュール（２０１）の前記エネルギー出力部（１１０＿１、１１０＿２）と前記構成要素（１０４）
    のうちの少なくとも１つの間に直列接続された、少なくとも１つのオーバライド用開閉部（１１４＿１、１１４＿２、１２０＿１、１２０＿２、１２０＿３）、具体的には、弁、およびスイッチ、具体的にはリレーのうちの少なくとも１つと
    を備え、
    前記安全システムが、前記動力流が前記構成要素（１０４）に送達されるのを防ぐために、前記トリガ信号を受信すると、前記少なくとも１つのオーバライド用開閉部（１１４＿１、１１４＿２、１２０＿１、１２０＿２、１２０＿３）を閉じるように構成された、安全システム（３０１）。
20. 前記安全システムが、ソフトウェアおよびハードウェアに関して前記制御モジュールから分離された、請求項１９に記載の安全システム。
21. 少なくとも１つの他の動力源（１４０）からの動力流を受け取るように構成された、前記構成要素の少なくとも１つの開閉部、具体的には、弁またはリレーに圧力を提供するように構成されたエネルギー出力部（１１０＿３）に並列接続された少なくとも１つの圧力開閉部（１５０）をさらに備え、前記トリガ信号を受信すると、前記少なくとも１つの圧力開閉部が、開位置になり、液圧を、前記制御モジュールとは独立して、それぞれ緊急切断パッケージＥＤＰおよび／または噴出防止装置ＢＯＰに提供するために、前記動力流を、前記ＥＤＰ内に配置された少なくとも１つの開閉部、ライザー制御モジュールＲＣＭ内の弁、および／または前記ＢＯＰ内に配置された環状バッグに提供するように構成された、請求項１９または２０に記載の安全システム。
22. 前記少なくとも１つのオーバライド用開閉部（１１４＿１、１１４＿２、１２０＿１、１２０＿２、１２０＿３）が、第１の対応する動力源（１１６）と直列接続された第１のオーバライド用開閉部（１１４＿１）と、第２の対応する動力源（１１８）と直列接続された第２のオーバライド用開閉部（１１４＿２）と、前記改修制御モジュール（２０１）の前記エネルギー出力部（１１０＿１、１１０＿２）と前記構成要素（１０４）との間に直列接続された少なくとも第３のオーバライド用開閉部（１２０＿１、１２０＿２）とを備える、請求項１９から２１のいずれか一項に記載の安全システム。
23. パイロット開閉部（３０５）と直列接続された少なくとも１つのトップサイド・オーバライド用開閉部（１２０＿３）と、表面生産ウイング開閉部（２０８）、具体的には、表面生産ウイング弁とをさらに備え、前記トリガ信号を受信すると、前記少なくとも１つのトップサイド・オーバライド用開閉部が、閉位置になり、それによって、動力流が前記パイロット開閉部（３０５）および前記表面生産ウイング開閉部（２０８）に提供されるのを防止するように構成された、請求項１９から２２のいずれか一項に記載の安全システム。
24. 前記改修安全システム内の開閉部が、Ａ／Ｂ冗長性における複製ゲートを備える、請求項１９から２３のいずれか一項に記載の安全システム。
25. 前記トリガ信号が、アナログ電圧、具体的には、２５Ｖまでを含む４８Ｖまでの、具体的には、直流、ＤＣを備える、請求項１９から２４のいずれか一項に記載の安全システム。
26. 請求項１６から１８のいずれか一項に記載の電力管理システムをさらに備える、請求項１から１４のいずれか一項に記載の改修安全システムまたは請求項１９から２５のいずれか一項に記載の安全システム。
27. 前記安全システムに結合された前記制御モジュールをさらに備える、請求項１９から２６のいずれか一項に記載の安全システム。
28. 炭化水素処理設備の少なくとも一部を安全状態にするために、前記設備に結合されるように構成された安全システム（３０１）であって、前記設備が、制御モジュール（２０１）、具体的には、改修制御モジュールＷＯＣＭ、海底電子モジュールＳＥＭ、海底制御モジュールＳＣＭ、およびライザー制御モジュールＲＣＭのうちの少なくとも１つを備え、
    前記制御モジュール（２０１）が、前記設備の構成要素（１０４）、具体的には、トップサイド生産設備、ロアー・ライザー・パッケージＬＲＰ、緊急切断パッケージＥＤＰ、噴出防止装置ＢＯＰ、ライザー・パッケージＲＰ、掘削パッケージＤＰ、主制御ユニットＭＣＵ、および液圧力ユニットＨＰＵ、クリスマス・ツリー、具体的には表面ツリー、具体的には海底ツリー、具体的には、電気作動弁、マニホールド、コイル状チューブ・フレーム、およびワイヤ・ライン・フレームを有するクリスマス・ツリーのうちの少なくとも１つを備える構成要素を作動させるように構成され、
    前記制御モジュールが、
    前記構成要素（１０４）、具体的には、電気アクチュエータ、具体的には、スクリュー駆動部およびソレノイド、具体的には、液圧アクチュエータ、空気圧アクチュエータを作動させるのに十分な対応する動力源からの動力流を受け取るように構成された、エネルギー入力部（１０６＿１、１０６＿２）、具体的には、電気入力部、空気圧入力部、および液圧入力部のうちの少なくとも１つと、
    前記制御モジュールを介して調整された動力流を前記構成要素に送達するように構成された、エネルギー出力部（１１０＿３）、具体的には、液圧出力部、および電気出力部のうちの少なくとも１つと
    を備え、
    前記安全システムが、
    トリガ信号を受信するように構成された制御入力部（１１２）と、
    エネルギーを蓄積するように構成された、安全アキュムレータ（１４０）、具体的には、液圧アキュムレータ、バッテリ、キャパシタ、フライホイール、およびＵＰＳのうちの少なくとも１つと、
    前記制御モジュール（２０１）のエネルギー入力部（１０６＿１、１０６＿２）および前記対応する動力源（１１６、１１８）、ならびに、
    前記制御モジュール（２０１）の前記エネルギー出力部（１１０＿３）および前記構成要素（１０４）
    のうちの少なくとも１つと並列接続で配置されるように構成された、少なくとも１つのアキュムレータ開閉部（１５０、１５０Ａ、１５０Ｂ）、具体的には、弁およびリレーのうちの少なくとも１つと
    をさらに備え、
    前記安全システムが、前記蓄積されたエネルギーを前記構成要素（１０４）に送達するために、前記トリガ信号を受信すると、前記少なくとも１つのアキュムレータ開閉部（１５０、１５０Ａ、１５０Ｂ）を開くように構成された、安全システム。
29. 前記改修安全システムが、ソフトウェアおよびハードウェアに関して前記改修制御モジュールから分離された、請求項２８に記載の安全システム。
30. 前記制御モジュール（２０１）のエネルギー入力部（１０６＿１、１０６＿２）と前記対応するエネルギー源（１１６、１１８）との間、および
    前記制御モジュール（２０１）のエネルギー出力部（１１０＿１、１１０＿２、１１０＿３）と前記構成要素（１０４）との間
    のうちの少なくとも一方で、直列接続された少なくとも１つのオーバライド用開閉部（１１４＿１、１１４＿２、１２０＿１、１２０＿２、１２０＿３）をさらに備え、
    前記安全システムが、前記動力流が前記構成要素に送達されるのを防ぐために、前記トリガ信号を受信すると、前記少なくとも１つのオーバライド用開閉部（１１４＿１、１１４＿２、１２０＿１、１２０＿２、１２０＿３）を閉じるように構成された、請求項２８または２９に記載の安全システム。
31. 前記少なくとも１つのオーバライド用開閉部（１１４＿１、１１４＿２、１２０＿１、１２０＿２、１２０＿３）が、第１の対応する動力源（１１６）と直列接続された第１のオーバライド用開閉部（１１４＿１）と、第２の対応する動力源（１１８）と直列接続された第２のオーバライド用開閉部（１１４＿２）と、前記改修制御モジュール（２０１）の前記エネルギー出力部（１１０＿１、１１０＿２）と前記構成要素（１０４）との間に直列接続された少なくとも第３のオーバライド用開閉部（１２０＿１、１２０＿２）とを備える、請求項３０に記載の安全システム。
32. パイロット開閉部（３０５）と直列接続された少なくとも１つのトップサイド・オーバライド用開閉部（１２０＿３）と、表面生産ウイング開閉部（２０８）、具体的には、表面生産ウイング弁とをさらに備え、前記トリガ信号を受信すると、前記少なくとも１つのトップサイド・オーバライド用開閉部が、閉位置になり、それによって、動力流が前記パイロット開閉部（３０５）および前記表面生産ウイング開閉部（２０８）に提供されるのを防止するように構成された、請求項２８から３１のいずれか一項に記載の安全システム。
33. 前記安全システム内の開閉部が、Ａ／Ｂ冗長性における複製ゲートを備える、請求項２８から３２のいずれか一項に記載の安全システム。
34. 前記トリガ信号が、アナログ電圧、具体的には、２５Ｖまでを含む４８Ｖまでの、具体的には、直流、ＤＣを備える、請求項２８から３３のいずれか一項に記載の安全システム。
35. 請求項１６から１８のいずれか一項に記載の電力管理システム（３１０）をさらに備える、請求項２８から３４のいずれか一項に記載の安全システム。
36. 前記安全システムに結合された前記制御モジュールをさらに備える、請求項２８から３５のいずれか一項に記載の安全システム。

Images