Отказоустойчивый дизайн

Логические схемы, будь то электромеханические реле или твердотельные вентили, могут быть построены множеством различных способов для выполнения одних и тех же функций.

Обычно не существует «правильного» способа спроектировать сложную логическую схему, но обычно есть способы, которые лучше других.

В системах управления безопасность является (или, по крайней мере, должна быть) важным приоритетом проектирования.

Если существует несколько способов, которыми цифровая схема управления может быть спроектирована для выполнения задачи, и один из этих способов имеет определенные преимущества в безопасности по сравнению с другими, тогда лучше выбрать эту конструкцию.

Реализация релейной логики в системах управления

Давайте посмотрим на простую систему и рассмотрим, как ее можно реализовать в релейной логике.

Предположим, что большая лаборатория или производственное здание должно быть оборудовано системой пожарной сигнализации, активируемой одним из нескольких фиксирующих выключателей, установленных по всему объекту.

Система должна работать так, чтобы сирена тревоги включалась при срабатывании любого из переключателей.

На первый взгляд кажется, что логика реле должна быть невероятно простой:просто используйте нормально разомкнутые контакты переключателя и подключите их все параллельно друг другу:

По сути, это логическая функция ИЛИ, реализованная с четырьмя переключаемыми входами.

Мы могли бы расширить эту схему, включив в нее любое количество входов переключателя, каждый новый переключатель добавляется в параллельную сеть, но в этом примере я ограничусь четырьмя, чтобы упростить задачу.

В любом случае, это элементарная система, и вероятность возникновения проблем невелика.

За исключением случая отказа проводки, то есть природа электрических цепей такова, что «открытые» отказы (разомкнутые контакты переключателя, разорванные соединения проводов, разомкнутые катушки реле, перегоревшие предохранители и т. Д.) Статистически более вероятны, чем любой другой тип сбоев.

Имея это в виду, имеет смысл спроектировать схему, чтобы она была максимально устойчивой к такому отказу. Предположим, что проводное соединение для коммутатора №2 не открылось:

Если бы произошел этот сбой, то в результате выключатель № 2 больше не подавал бы питание на сирену при срабатывании.

Это, очевидно, плохо для системы пожарной сигнализации. Если система не будет регулярно тестироваться (в любом случае, это хорошая идея), никто не узнает о проблеме, пока кто-нибудь не попытается использовать этот переключатель в аварийной ситуации.

Что, если бы система была модернизирована, чтобы подавать сигнал тревоги в случае открытого отказа?

Таким образом, отказ в проводке приведет к ложному срабатыванию сигнализации, что гораздо предпочтительнее, чем случай, когда переключатель тихо выходит из строя и не функционирует, когда это необходимо.

Для достижения этой цели проектирования нам пришлось бы перемонтировать переключатели так, чтобы открытый контакт забил тревогу, а не закрыл связаться.

В этом случае переключатели должны быть нормально замкнутыми и включены последовательно друг с другом, запитывая катушку реле, которая затем активирует нормально замкнутый контакт для сирены:

Когда все переключатели не сработали (нормальное рабочее состояние этой системы), реле CR ₁ будет под напряжением, таким образом сохраняя контакт CR ₁ открытый, предотвращая включение сирены.

Однако, если какой-либо из переключателей срабатывает, реле CR ₁ обесточится, замыкая контакт CR ₁ и бить тревогу.

Кроме того, при обрыве проводки в любом месте верхнего звена цепи раздастся звуковой сигнал.

Когда обнаруживается, что сигнал тревоги ложный, рабочие на предприятии будут знать, что что-то вышло из строя в системе сигнализации и что ее необходимо отремонтировать.

Конечно, схема более сложная, чем была до добавления управляющего реле, и система все еще могла выйти из строя в «тихом» режиме из-за разрыва соединения в нижнем звене, но это все еще более безопасная конструкция, чем исходная схема, и поэтому предпочтительнее с точки зрения безопасности.

Применение отказоустойчивых конструкций в системах управления

Такая конструкция схемы называется отказоустойчивой . , из-за его предполагаемой конструкции по умолчанию используется самый безопасный режим в случае общей неисправности, такой как обрыв соединения в проводке коммутатора.

Отказоустойчивое проектирование всегда начинается с предположения о наиболее вероятном типе отказа проводки или компонента, а затем пытается настроить вещи так, чтобы такой отказ заставлял схему действовать самым безопасным образом, причем «самый безопасный способ» определялся физические характеристики процесса.

Возьмем, к примеру, электрический (соленоидный) клапан для подачи охлаждающей воды в машину.

Подача энергии на катушку соленоида приведет в движение якорь, который затем либо открывает, либо закрывает механизм клапана, в зависимости от того, какой тип клапана мы укажем.

Пружина вернет клапан в его «нормальное» положение, когда соленоид обесточен.

Мы уже знаем, что обрыв в проводке или катушке соленоида более вероятен, чем короткое замыкание или любой другой тип отказа, поэтому мы должны спроектировать эту систему так, чтобы она работала в наиболее безопасном режиме с обесточенным соленоидом.

Если это охлаждающая вода, которую мы контролируем с помощью этого клапана, скорее всего, безопаснее включить охлаждающую воду в случае неисправности, чем отключать, поскольку последствия работы машины без охлаждающей жидкости обычно очень серьезны.

Это означает, что мы должны указать клапан, который включается (открывается) при обесточивании и выключается (закрывается) при подаче напряжения. Такая установка клапана может показаться «обратной», но в конечном итоге это сделает систему более безопасной.

Одно интересное применение отказоустойчивой конструкции - в электроэнергетике и распределительной отрасли, где большие автоматические выключатели должны отключаться и замыкаться электрическими управляющими сигналами от защитных реле.

Если реле 50/51 (мгновенная и временная перегрузка по току) будет подавать команду на отключение (размыкание) автоматического выключателя в случае чрезмерного тока, следует ли нам спроектировать его так, чтобы реле замыкалось контакт переключателя для отправки сигнала отключения на выключатель или размыкания переключающий контакт для прерывания регулярного сигнала «включено», чтобы инициировать срабатывание выключателя?

Мы знаем, что с наибольшей вероятностью произойдет разомкнутое соединение, но какое состояние системы является наиболее безопасным:выключатель разомкнут или прерыватель замкнут?

Сначала может показаться, что безопаснее было бы иметь большое отключение автоматического выключателя (размыкание и отключение питания) в случае обрыва цепи управления защитным реле, точно так же, как у нас была система пожарной сигнализации по умолчанию. состояние тревоги при любом отказе переключателя или проводки.

Однако в мире высоких мощностей не все так просто. Непроизвольное отключение большого автоматического выключателя - непростая задача, особенно когда клиенты зависят от непрерывного электроснабжения больниц, телекоммуникационных систем, систем водоподготовки и других важных инфраструктур.

По этой причине инженеры энергосистем в целом согласились разработать схемы защитных реле для вывода замкнутого контактный сигнал (подано питание) для размыкания крупных автоматических выключателей, что означает, что любой обрыв цепи управления останется незамеченным, просто выключатель останется в положении статус-кво.

Это идеальная ситуация? Конечно, нет. Если защитное реле обнаруживает перегрузку по току при отказе цепи управления, оно не сможет отключить автоматический выключатель.

Как и в случае с первой системой пожарной сигнализации, «тихий» отказ будет очевиден только тогда, когда система понадобится.

Однако другой способ спроектировать схему управления - так, чтобы любой обрыв в цепи немедленно отключал автоматический выключатель, потенциально отключая большие участки электросети, - на самом деле не лучшая альтернатива.

Можно написать целую книгу о принципах и методах проектирования надежных отказоустойчивых систем.

По крайней мере, здесь вы знаете несколько основных моментов:что проводка имеет тенденцию к отказу разомкнуться чаще, чем закорочена, и что (разомкнутый) режим отказа электрической системы управления должен быть таким, чтобы он указывал и / или запускал реальный процесс в самый безопасный альтернативный режим.

Эти фундаментальные принципы распространяются и на неэлектрические системы:определить наиболее распространенный режим отказа, а затем спроектировать систему так, чтобы вероятный режим отказа переводил систему в наиболее безопасное состояние.

ОБЗОР:

• Цель отказоустойчивости Дизайн должен сделать систему управления максимально устойчивой к вероятным отказам проводки или компонентов.
• Самым распространенным типом неисправности проводки и компонентов является «разрыв» цепи или разрыва соединения. Следовательно, отказобезопасная система должна быть спроектирована таким образом, чтобы по умолчанию работать в наиболее безопасном режиме в случае обрыва цепи.

СВЯЗАННЫЕ РАБОЧИЕ ТАБЛИЦЫ:

• Таблица схем высокой надежности