Design à prova de falhas

Os circuitos lógicos, sejam eles compostos de relés eletromecânicos ou portas de estado sólido, podem ser construídos de muitas maneiras diferentes para executar as mesmas funções.

Normalmente não existe uma maneira “correta” de projetar um circuito lógico complexo, mas geralmente existem formas que são melhores do que outras.

Em sistemas de controle, a segurança é (ou pelo menos deveria ser) uma importante prioridade de projeto.

Se houver várias maneiras pelas quais um circuito de controle digital pode ser projetado para realizar uma tarefa, e uma dessas maneiras tiver certas vantagens em segurança sobre as outras, então esse projeto é o melhor a escolher.

Implementação da lógica de relé em sistemas de controle

Vamos dar uma olhada em um sistema simples e considerar como ele pode ser implementado na lógica do relé.

Suponha que um grande laboratório ou prédio industrial seja equipado com um sistema de alarme de incêndio, ativado por qualquer um dos vários interruptores de travamento instalados em toda a instalação.

O sistema deve funcionar de forma que a sirene de alarme seja energizada se qualquer um dos interruptores for acionado.

À primeira vista, parece que a lógica do relé deve ser incrivelmente simples:basta usar contatos de chave normalmente abertos e conectá-los todos em paralelo entre si:







Essencialmente, esta é a função lógica OR implementada com quatro entradas de switch.

Poderíamos expandir este circuito para incluir qualquer número de entradas de switch, cada novo switch sendo adicionado à rede paralela, mas vou limitá-lo a quatro neste exemplo para manter as coisas simples.

De qualquer forma, é um sistema elementar e parece haver pouca possibilidade de problemas.

Exceto no caso de uma falha de fiação, isto é, a natureza dos circuitos elétricos é tal que as falhas "abertas" (contatos de chave aberta, conexões de fio rompidas, bobinas de relé abertas, fusíveis queimados, etc.) são estatisticamente mais prováveis ​​de ocorrer do que qualquer outro tipo de falha.

Com isso em mente, faz sentido projetar um circuito para ser o mais tolerante possível a tal falha. Suponhamos que uma conexão de fio para o Switch # 2 falhe ao abrir:







Se esta falha ocorresse, o resultado seria que o interruptor # 2 não iria mais energizar a sirene se acionado.

Isso, obviamente, não é bom em um sistema de alarme de incêndio. A menos que o sistema fosse testado regularmente (uma boa ideia de qualquer maneira), ninguém saberia que havia um problema até que alguém tentasse usar esse switch em uma emergência.

E se o sistema fosse reprojetado para soar o alarme no caso de uma falha aberta?

Dessa forma, uma falha na fiação resultaria em um falso alarme, um cenário muito mais preferível do que ter uma chave falhando silenciosamente e não funcionando quando necessário.

Para atingir esse objetivo de design, teríamos que religar os interruptores para que um aberto contato soou o alarme, em vez de um fechado contato.

Sendo assim, as chaves deverão estar normalmente fechadas e em série umas com as outras, alimentando uma bobina de relé que então ativa um contato normalmente fechado para a sirene:







Quando todos os interruptores estão desativados (o estado operacional normal deste sistema), retransmitir CR ₁ será energizado, mantendo assim o contato CR ₁ aberto, evitando que a sirene seja ligada.

No entanto, se algum dos interruptores for acionado, retransmitir CR ₁ irá desenergizar, fechando o contato CR ₁ e soando o alarme.

Além disso, se houver uma quebra na fiação em qualquer ponto do degrau superior do circuito, o alarme soará.

Quando for descoberto que o alarme é falso, os trabalhadores da instalação saberão que algo falhou no sistema de alarme e que precisa ser consertado.

Concedido, o circuito é mais complexo do que era antes da adição do relé de controle, e o sistema ainda pode falhar no modo "silencioso" com uma conexão interrompida no degrau inferior, mas ainda é um projeto mais seguro do que o circuito original, e, portanto, preferível do ponto de vista da segurança.

Aplicação de projetos à prova de falhas em sistemas de controle

Este projeto de circuito é conhecido como à prova de falhas , devido ao seu design pretendido para padrão para o modo mais seguro no caso de uma falha comum, como uma conexão interrompida na fiação do switch.

O projeto à prova de falhas sempre começa com uma suposição quanto ao tipo mais provável de fiação ou falha de componente e, em seguida, tenta configurar as coisas de modo que tal falha faça com que o circuito atue da maneira mais segura, a "maneira mais segura" sendo determinada por as características físicas do processo.

Tomemos, por exemplo, uma válvula eletricamente atuada (solenóide) para ligar a água de resfriamento de uma máquina.

Energizar a bobina solenóide moverá uma armadura que então abre ou fecha o mecanismo da válvula, dependendo do tipo de válvula que especificarmos.

Uma mola retornará a válvula à sua posição “normal” quando o solenóide for desenergizado.

Já sabemos que uma falha aberta na fiação ou bobina do solenóide é mais provável do que um curto ou qualquer outro tipo de falha, portanto, devemos projetar este sistema para estar em seu modo mais seguro com o solenóide desenergizado.

Se for água de resfriamento que estamos controlando com esta válvula, é provável que seja mais seguro ligar a água de resfriamento em caso de falha do que desligar, as consequências de uma máquina funcionando sem refrigerante geralmente são graves.

Isso significa que devemos especificar uma válvula que liga (abre) quando desenergizada e desliga (fecha) quando energizada. Pode parecer "ao contrário" ter a válvula configurada dessa maneira, mas tornará o sistema mais seguro no final.

Uma aplicação interessante do projeto à prova de falhas é na indústria de geração e distribuição de energia, onde grandes disjuntores precisam ser abertos e fechados por sinais de controle elétrico de relés de proteção.

Se um relé 50/51 (sobrecorrente instantâneo e temporizado) vai comandar um disjuntor para desarmar (abrir) no caso de corrente excessiva, devemos projetá-lo de forma que o relé feche um contato de interruptor para enviar um sinal de “trip” ao disjuntor ou abre um contato de interruptor para interromper um sinal regularmente “ligado” para iniciar um desarme do disjuntor?

Sabemos que uma conexão aberta será a mais provável de ocorrer, mas qual é o estado mais seguro do sistema:disjuntor aberto ou disjuntor fechado?

A princípio, pareceria que seria mais seguro ter um grande desarme do disjuntor (abrir e desligar a energia) no caso de uma falha aberta no circuito de controle do relé de proteção, assim como tínhamos o sistema de alarme de incêndio padrão para um estado de alarme com qualquer chave ou falha na fiação.

No entanto, as coisas não são tão simples no mundo do alto poder. Ter um grande disjuntor aberto indiscriminadamente não é pouca coisa, especialmente quando os clientes dependem do fornecimento contínuo de energia elétrica para abastecer hospitais, sistemas de telecomunicações, sistemas de tratamento de água e outras infraestruturas importantes.

Por esta razão, os engenheiros do sistema de energia geralmente concordam em projetar circuitos de relé de proteção para produzir um fechado sinal de contato (potência aplicada) para abrir grandes disjuntores, significando que qualquer falha aberta na fiação de controle passará despercebida, deixando simplesmente o disjuntor na posição status quo.

Esta é uma situação ideal? Claro que não. Se um relé de proteção detectar uma condição de sobrecorrente enquanto a fiação de controle está aberta, ele não será capaz de abrir o disjuntor.

Como o primeiro projeto de sistema de alarme de incêndio, a falha “silenciosa” será evidente apenas quando o sistema for necessário.

No entanto, projetar o circuito de controle de outra forma - de modo que qualquer falha aberta desligue imediatamente o disjuntor, potencialmente apagando grandes porções da rede elétrica - realmente não é uma alternativa melhor.

Um livro inteiro poderia ser escrito sobre os princípios e práticas de um bom projeto de sistema à prova de falhas.

Pelo menos aqui, você conhece alguns dos fundamentos:que a fiação tende a abrir mais frequentemente do que em curto, e que o modo de falha (aberto) de um sistema de controle elétrico deve ser tal que indique e / ou ative o processo da vida real em o modo alternativo mais seguro.

Esses princípios fundamentais se estendem a sistemas não elétricos também:identificar o modo de falha mais comum e, em seguida, projetar o sistema de forma que o modo de falha provável coloque o sistema na condição mais segura.



REVER:

• O objetivo de segurança contra falhas design é tornar um sistema de controle o mais tolerante possível a prováveis ​​falhas de fiação ou componentes.
• O tipo mais comum de fiação e falha de componente é um circuito “aberto” ou conexão interrompida. Portanto, um sistema à prova de falhas deve ser projetado para usar como padrão seu modo de operação mais seguro no caso de um circuito aberto.

PLANILHAS RELACIONADAS:

• Planilha de circuitos de alta confiabilidade