Ausfallsicheres Design

Logikschaltungen, ob aus elektromechanischen Relais oder Festkörpergattern bestehen, können auf viele verschiedene Arten gebaut werden, um dieselben Funktionen auszuführen.

Es gibt normalerweise keinen "richtigen" Weg, eine komplexe Logikschaltung zu entwerfen, aber normalerweise gibt es Methoden, die besser sind als andere.

In Steuerungssystemen ist (oder sollte zumindest) Sicherheit eine wichtige Konstruktionspriorität.

Wenn es mehrere Möglichkeiten gibt, einen digitalen Regelkreis für die Ausführung einer Aufgabe zu entwerfen, und einer dieser Wege zufällig bestimmte Sicherheitsvorteile gegenüber den anderen bietet, dann ist dieser Entwurf die bessere Wahl.

Implementieren von Relaislogik in Steuerungssystemen

Schauen wir uns ein einfaches System an und überlegen, wie es in der Relaislogik implementiert werden könnte.

Angenommen, ein großes Labor- oder Industriegebäude soll mit einem Brandmeldesystem ausgestattet werden, das durch einen von mehreren im gesamten Gebäude installierten Verriegelungsschaltern aktiviert wird.

Das System sollte so funktionieren, dass die Alarmsirene aktiviert wird, wenn einer der Schalter betätigt wird.

Auf den ersten Blick scheint die Relaislogik denkbar einfach zu sein:Einfach Schließerkontakte verwenden und alle parallel miteinander schalten:

Im Wesentlichen ist dies die ODER-Logikfunktion, die mit vier Schalteingängen implementiert ist.

Wir könnten diese Schaltung um eine beliebige Anzahl von Schaltereingängen erweitern, wobei jeder neue Schalter dem parallelen Netzwerk hinzugefügt wird, aber ich werde es in diesem Beispiel auf vier beschränken, um die Dinge einfach zu halten.

Auf jeden Fall ist es ein elementares System und es scheint wenig Möglichkeiten für Probleme zu geben.

Außer im Falle eines Verdrahtungsfehlers, d. h. die Natur von Stromkreisen ist so, dass "offene" Fehler (offene Schaltkontakte, unterbrochene Kabelverbindungen, offene Relaisspulen, durchgebrannte Sicherungen usw.) statistisch wahrscheinlicher sind als jede andere Art von Fehlern.

Vor diesem Hintergrund ist es sinnvoll, eine Schaltung so zu konstruieren, dass sie so tolerant wie möglich gegenüber einem solchen Fehler ist. Nehmen wir an, eine Drahtverbindung für Schalter Nr. 2 würde nicht geöffnet werden:

Wenn dieser Fehler auftritt, würde der Schalter Nr. 2 bei Betätigung die Sirene nicht mehr aktivieren.

Dies ist offensichtlich nicht gut in einem Brandmeldesystem. Wenn das System nicht regelmäßig getestet wurde (eine gute Idee sowieso), würde niemand wissen, dass ein Problem aufgetreten ist, bis jemand versucht hat, diesen Schalter im Notfall zu verwenden.

Was wäre, wenn das System so umgebaut wurde, dass es im Falle eines offenen Fehlers Alarm schlägt?

Auf diese Weise würde ein Fehler in der Verkabelung zu einem Fehlalarm führen, ein Szenario, das viel vorzuziehen ist, als dass ein Schalter geräuschlos ausfällt und bei Bedarf nicht funktioniert.

Um dieses Designziel zu erreichen, müssten wir die Schalter so umverdrahten, dass ein offen Kontakt hat Alarm ausgelöst, anstatt ein geschlossenes Kontakt.

In diesem Fall müssen die Schalter normalerweise geschlossen und in Reihe geschaltet sein, um eine Relaisspule zu versorgen, die dann einen Öffnerkontakt für die Sirene aktiviert:

Wenn alle Schalter unbetätigt sind (der normale Betriebszustand dieses Systems), Relais CR₁ wird erregt, wodurch der Kontakt CR₁ gehalten wird geöffnet und verhindert, dass die Sirene mit Strom versorgt wird.

Wird jedoch einer der Schalter betätigt, Relais CR₁ wird stromlos und schließt den Kontakt CR₁ und der Alarm ertönt.

Auch wenn irgendwo in der obersten Sprosse des Stromkreises eine Unterbrechung in der Verkabelung auftritt, ertönt der Alarm.

Wenn festgestellt wird, dass der Alarm falsch ist, wissen die Arbeiter in der Einrichtung, dass etwas im Alarmsystem ausgefallen ist und repariert werden muss.

Zugegeben, die Schaltung ist komplexer als vor dem Hinzufügen des Steuerrelais, und das System könnte immer noch im "stillen" Modus mit einer unterbrochenen Verbindung in der untersten Sprosse ausfallen, aber es ist immer noch ein sichereres Design als die ursprüngliche Schaltung. und daher vom Standpunkt der Sicherheit vorzuziehen.

Anwendung fehlersicherer Designs in Steuerungssystemen

Dieses Schaltungsdesign wird als ausfallsicher bezeichnet , aufgrund seines beabsichtigten Designs, um im Falle eines allgemeinen Fehlers wie einer unterbrochenen Verbindung in der Schalterverkabelung standardmäßig in den sichersten Modus zu wechseln.

Das fehlersichere Design beginnt immer mit einer Annahme über die wahrscheinlichste Art von Verdrahtungs- oder Komponentenfehler und versucht dann, die Dinge so zu konfigurieren, dass ein solcher Fehler dazu führt, dass die Schaltung auf die sicherste Weise reagiert, wobei der „sicherste Weg“ bestimmt wird durch die physikalischen Eigenschaften des Prozesses.

Nehmen Sie zum Beispiel ein elektrisch betätigtes (Magnet-)Ventil zum Einschalten von Kühlwasser für eine Maschine.

Durch das Erregen der Magnetspule wird ein Anker bewegt, der dann den Ventilmechanismus entweder öffnet oder schließt, je nachdem, welche Art von Ventil wir spezifizieren.

Eine Feder bringt das Ventil in seine „normale“ Position zurück, wenn der Magnet entregt wird.

Wir wissen bereits, dass ein offener Fehler in der Verkabelung oder Magnetspule wahrscheinlicher ist als ein Kurzschluss oder eine andere Art von Fehler, daher sollten wir dieses System so entwickeln, dass es sich im sichersten Modus befindet, wenn das Magnetventil nicht erregt ist.

Wenn es sich um Kühlwasser handelt, das wir mit diesem Ventil steuern, ist es wahrscheinlich sicherer, dass das Kühlwasser bei einem Ausfall eingeschaltet wird, als es abzuschalten, da die Folgen einer Maschine, die ohne Kühlmittel läuft, normalerweise schwerwiegend sind.

Dies bedeutet, dass wir ein Ventil angeben sollten, das sich im stromlosen Zustand einschaltet (öffnet) und bei Erregung abschaltet (schließt). Dies mag "rückwärts" erscheinen, wenn das Ventil auf diese Weise eingerichtet ist, aber es wird am Ende zu einem sichereren System.

Eine interessante Anwendung des ausfallsicheren Designs liegt in der Stromerzeugungs- und -verteilungsindustrie, wo große Leistungsschalter durch elektrische Steuersignale von Schutzrelais geöffnet und geschlossen werden müssen.

Wenn ein 50/51-Relais (momentaner und zeitlicher Überstrom) einem Leistungsschalter das Auslösen (Öffnen) bei zu hohem Strom befehlen soll, sollten wir es so auslegen, dass das Relais schließt ein Schaltkontakt, um ein „Aus“-Signal an den Leistungsschalter zu senden, oder öffnet ein Schaltkontakt, um ein regelmäßig „Ein“-Signal zu unterbrechen, um eine Schalterauslösung einzuleiten?

Wir wissen, dass am wahrscheinlichsten eine offene Verbindung auftritt, aber was ist der sicherste Zustand des Systems:Leistungsschalter geöffnet oder Leistungsschalter geschlossen?

Auf den ersten Blick scheint es sicherer zu sein, im Falle eines offenen Fehlers im Steuerstromkreis des Schutzrelais eine große Leistungsschalterauslösung (Öffnen und Abschalten der Stromversorgung) zu haben, genau wie wir die Standardeinstellung der Brandmeldeanlage hatten ein Alarmzustand bei einem Schalter- oder Verdrahtungsfehler.

In der Welt der High Power liegen die Dinge jedoch nicht so einfach. Das wahllose Auslösen eines großen Leistungsschalters ist keine leichte Sache, insbesondere wenn Kunden auf die kontinuierliche Stromversorgung von Krankenhäusern, Telekommunikationssystemen, Wasseraufbereitungssystemen und anderen wichtigen Infrastrukturen angewiesen sind.

Aus diesem Grund haben sich die Ingenieure von Stromversorgungssystemen im Allgemeinen darauf geeinigt, Schutzrelaisschaltungen zu entwickeln, die ein geschlossenes . ausgeben Kontaktsignal (Strom angelegt) zum Öffnen großer Leistungsschalter, was bedeutet, dass jeder Unterbrechungsfehler in der Steuerverkabelung unbemerkt bleibt, indem der Leistungsschalter einfach in der Status-Quo-Position belassen wird.

Ist dies eine ideale Situation? Natürlich nicht. Wenn ein Schutzrelais einen Überstromzustand erkennt, während die Steuerverdrahtung ausgefallen ist, kann es den Leistungsschalter nicht auslösen.

Wie beim ersten Brandmeldesystemdesign wird der „stille“ Ausfall nur dann sichtbar, wenn das System benötigt wird.

Die Steuerschaltung in die andere Richtung zu konstruieren – so dass jeder offene Fehler den Leistungsschalter sofort abschaltet und möglicherweise große Teile des Stromnetzes ausschaltet – ist wirklich keine bessere Alternative.

Über die Prinzipien und Praktiken eines guten ausfallsicheren Systemdesigns könnte man ein ganzes Buch schreiben.

Zumindest hier kennen Sie ein paar Grundlagen:dass Leitungen häufiger offen als kurzgeschlossen werden und dass die (offene) Fehlerart einer elektrischen Steuerung so sein sollte, dass sie den realen Prozess anzeigt und/oder auslöst der sicherste alternative Modus.

Diese Grundprinzipien gelten auch für nichtelektrische Systeme:Identifizieren Sie die häufigste Fehlerart und konstruieren Sie das System dann so, dass die wahrscheinlichste Fehlerart das System in den sichersten Zustand versetzt.

RÜCKBLICK:

• Das Ziel von Ausfallsicherheit Design besteht darin, ein Steuerungssystem so tolerant wie möglich gegenüber wahrscheinlichen Verdrahtungs- oder Komponentenfehlern zu machen.
• Die häufigste Art von Verdrahtungs- und Komponentenfehlern ist ein „offener“ Stromkreis oder eine unterbrochene Verbindung. Daher sollte ein ausfallsicheres System so ausgelegt sein, dass es im Fall eines offenen Stromkreises auf seinen sichersten Betriebsmodus zurückgeht.

VERWANDTE ARBEITSBLÄTTER:

• Arbeitsblatt für hochzuverlässige Schaltkreise