I pannelli di controllo possono autoripararsi? Progettare sistemi tolleranti ai guasti più intelligenti
I pannelli di controllo autoriparanti non possono riparare fisicamente l’hardware guasto, ma la diagnostica moderna, la progettazione modulare, la ridondanza...
Cosa accade quando un quadro di controllo industriale rileva un guasto in fase di sviluppo prima che l’operatore riconosca un problema visibile?
Un azionamento per motori può iniziare ad assorbire una corrente irregolare. Un modulo di potenza può iniziare a funzionare a una temperatura superiore al normale. Tra i dispositivi di controllo possono comparire errori di comunicazione intermittenti.
In un sistema convenzionale, queste condizioni spesso diventano problemi di manutenzione solo dopo che si verifica un allarme, uno scatto o un arresto.
Le architetture di controllo più intelligenti possono rispondere prima.
Possono rilevare condizioni anomale, isolare determinati guasti, trasferire le funzioni ad apparecchiature ridondanti e fornire al personale addetto alla manutenzione informazioni diagnostiche dettagliate.
Questo concetto viene talvolta descritto come quadro di controllo auto-riparante.
Il termine non deve essere interpretato alla lettera. Un quadro di controllo non può riparare autonomamente un contattore danneggiato, un morsetto bruciato o un azionamento guasto.
Ciò che può fare è riconoscere determinati guasti e utilizzare strategie di ripristino predefinite per limitarne l’effetto sulla produzione.
Figura 1. I quadri di controllo industriali modulari forniscono la base per la diagnostica, l’isolamento e la sostituzione strutturata dei componenti.
Il punto debole spesso non è la macchina
I quadri di controllo coordinano gran parte delle apparecchiature industriali moderne.
PLC, alimentatori, relè, azionamenti, moduli di comunicazione e dispositivi di I/O collaborano per mantenere una sequenza operativa prevedibile.
Un guasto in un singolo componente di piccole dimensioni può quindi influire su un processo molto più ampio.
Un relè danneggiato può impedire l’avviamento di un motore. Un alimentatore guasto può disattivare simultaneamente più circuiti di controllo. Un problema di comunicazione può rendere indisponibili al controllore apparecchiature altrimenti funzionanti.
Le strategie di manutenzione tradizionali affrontano questi rischi attraverso ispezioni, parti di ricambio, sostituzioni preventive e intervento dell’operatore.
Queste pratiche restano necessarie.
Il limite è il tempo di risposta.
Quando il rilevamento dei guasti dipende principalmente dall’arresto di una macchina o dal fatto che un operatore veda un allarme, il processo è già entrato in uno stato operativo anomalo.
La progettazione dei sistemi di controllo moderni mira sempre più a rilevare il deterioramento prima che si arrivi a quel punto.
Cosa significa realmente auto-ripristino
In termini ingegneristici, l’auto-ripristino si comprende meglio come una combinazione di rilevamento dei guasti, isolamento dei guasti e ripristino automatizzato.
Un’architettura pratica può svolgere diverse funzioni.
Innanzitutto, il sistema rileva un segnale anomalo o una condizione operativa anomala.
In secondo luogo, la logica diagnostica determina quale dispositivo, circuito o area del processo è interessata.
In terzo luogo, il sistema di controllo isola la funzione interessata, laddove l’architettura lo consenta.
Infine, l’hardware ridondante o un percorso di controllo alternativo può mantenere parte del processo operativa finché la manutenzione non può intervenire.
L’operatore continua a ricevere allarmi, registri e informazioni diagnostiche.
L’obiettivo non è eliminare i guasti, ma impedire che ogni singolo guasto si trasformi automaticamente in un’interruzione dell’intero stabilimento.
L’architettura modulare rende pratico l’isolamento dei guasti
Il comportamento tollerante ai guasti inizia dalla progettazione fisica.
Un quadro realizzato come un unico gruppo elettrico strettamente interconnesso è difficile da isolare quando un componente si guasta.
Un’architettura modulare crea confini funzionali più chiari.
La distribuzione dell’alimentazione, il controllo, la comunicazione, gli azionamenti e l’I/O possono essere suddivisi in sezioni identificabili, dotate di protezione adeguata e accesso alla diagnostica.
Questo offre diversi vantaggi operativi.
Spesso un guasto può essere associato a un’area funzionale più circoscritta. Il personale addetto alla manutenzione può identificare più rapidamente l’hardware interessato e la sostituzione diventa più strutturata.
La modularità supporta inoltre strategie standardizzate per i ricambi.
Invece di diagnosticare ogni componente fino al livello della scheda, i tecnici possono sostituire moduli definiti e ripristinare il servizio secondo una procedura di manutenzione stabilita.
L’hardware sostituibile a caldo può migliorare questo approccio quando la specifica piattaforma di controllo e l’applicazione supportano la sostituzione sotto tensione.
Tuttavia, non si dovrebbe mai dare per scontato che sia possibile sostituire i componenti a caldo semplicemente perché un sistema è modulare.
Il controllore, la piattaforma I/O, la progettazione elettrica e la procedura di sicurezza devono supportarlo esplicitamente.
Per i sistemi basati su hardware di controllo sostituibile, i moduli I/O chiaramente categorizzati possono inoltre semplificare la manutenzione lungo il ciclo di vita e la pianificazione dei ricambi.
Il monitoraggio predittivo cerca i cambiamenti prima del guasto
Una strategia di controllo autogestita richiede informazioni sulle condizioni delle apparecchiature.
È qui che il rilevamento IIoT e la manutenzione predittiva diventano importanti.
I moderni sistemi di monitoraggio possono osservare il carico elettrico, la temperatura, le vibrazioni, la qualità della comunicazione e altre variabili operative.
Una singola misurazione potrebbe non indicare alcun problema.
Spesso è più utile osservare la tendenza.
Un collegamento dei morsetti la cui temperatura aumenta gradualmente può indicare una condizione elettrica che richiede un’ispezione.
Un motore che mostra una tendenza crescente alle vibrazioni potrebbe richiedere un intervento meccanico prima che la condizione provochi un arresto non pianificato.
Uno squilibrio di corrente ripetuto può fornire inoltre utili elementi diagnostici, se valutato nel corretto contesto elettrico e meccanico.
L’edge computing consente di eseguire parte di questa analisi vicino alla macchina.
Invece di trasmettere ogni misurazione grezza a un server remoto, un dispositivo edge può valutare localmente i segnali selezionati e generare eventi quando vengono rilevate condizioni definite.
Questo può ridurre la latenza di risposta e limitare il traffico dati non necessario.
La diagnostica deve spiegare più di un semplice «guasto»
Un indicatore generico di guasto offre un valore limitato quando la produzione si è già arrestata.
Una diagnostica efficace dovrebbe identificare dove si è verificato il problema e fornire un contesto sufficiente affinché il personale addetto alla manutenzione possa analizzarlo.
I controllori moderni e i dispositivi intelligenti possono rendere disponibili informazioni diagnostiche a livello di componente attraverso la rete di controllo.
Il livello HMI o SCADA può quindi presentare informazioni di allarme più specifiche.
Invece di segnalare solo un guasto generico dell’azionamento, il sistema può identificare quale azionamento ha generato l’allarme e registrare i relativi valori operativi.
Gli eventi storici aiutano inoltre gli ingegneri a determinare cosa è accaduto immediatamente prima dello sgancio.
Questo diventa particolarmente importante quando un guasto iniziale produce diversi allarmi secondari.
Il primo allarme visibile sullo schermo potrebbe non essere la causa principale.
Le sequenze di eventi con timestamp corretti aiutano gli ingegneri a ricostruire l’accaduto.
L’isolamento dei guasti impedisce la propagazione di un problema
Il solo rilevamento non crea tolleranza ai guasti.
L’architettura deve inoltre definire cosa accade dopo il riconoscimento di un guasto.
In alcune applicazioni, il modulo interessato può essere rimosso logicamente dalla sequenza operativa.
In altri casi, il processo può trasferirsi ad apparecchiature ridondanti.
Alimentatori, percorsi di rete, controllori, interfacce di comunicazione e apparecchiature di processo possono utilizzare la ridondanza quando l’applicazione giustifica la complessità aggiuntiva.
La ridondanza non è automaticamente vantaggiosa.
Un sistema ridondante progettato male può introdurre ulteriori modalità di guasto e rendere più difficile la ricerca dei guasti.
La strategia di recupero deve quindi essere progettata insieme alla strategia di rilevamento dei guasti.
Figura 2. Una sequenza tollerante ai guasti rileva la condizione anomala, isola la funzione interessata e trasferisce il funzionamento quando è disponibile la ridondanza.
Un guasto dell’azionamento mostra come funziona il concetto
Consideriamo una linea di imbottigliamento che utilizza azionamenti a frequenza variabile per regolare la velocità del trasportatore.
Un azionamento inizia a mostrare un comportamento irregolare della corrente e un aumento della temperatura.
In un’architettura convenzionale, l’azionamento può continuare a funzionare finché le sue funzioni di protezione non generano uno sgancio.
Il trasportatore si arresta.
La manutenzione inizia quindi a individuare il guasto nella sezione interessata, mentre la produzione rimane interrotta.
Un’architettura più tollerante ai guasti potrebbe reagire diversamente.
Il monitoraggio delle condizioni rileva per primo l’andamento elettrico e termico anomalo.
Il sistema di controllo genera un avviso di manutenzione prima che il processo raggiunga la condizione di sgancio.
Se l’applicazione include un azionamento di riserva progettato ad hoc o un percorso meccanico ridondante, la funzione interessata può quindi essere trasferita secondo una logica predefinita.
L’azionamento originale viene isolato e la manutenzione riceve informazioni dettagliate sul guasto.
La produzione può continuare a piena capacità o a capacità ridotta, a seconda della progettazione del processo.
Questo esempio illustra un’importante limitazione.
Il sistema di controllo non può creare una ridondanza che non è mai stata progettata nella macchina.
Il recupero automatico è possibile solo quando l’architettura elettrica, meccanica e software prevede un percorso alternativo.
Quando è coinvolto il controllo della velocità variabile, appropriate architetture per VFD e azionamenti AC possono entrare a far parte di una strategia più ampia di manutenzione e ridondanza.
La comunicazione fa parte dell’architettura di ripristino
La diagnostica moderna dipende fortemente dalle reti di comunicazione industriali.
I controller hanno bisogno di informazioni sullo stato provenienti da azionamenti, I/O remoti, dispositivi di protezione e altri componenti intelligenti.
EtherNet/IP, PROFINET e altri protocolli industriali possono fornire questa visibilità diagnostica quando supportati dalle apparecchiature.
Tuttavia, l’uso di un protocollo Ethernet industriale non rende automaticamente una rete tollerante ai guasti.
La resilienza dipende dall’architettura di rete.
Gli switch gestiti, i percorsi ridondanti, le capacità dei controller, la topologia e i meccanismi di ripristino influenzano tutti ciò che accade dopo un guasto di comunicazione.
Gli ingegneri dovrebbero quindi distinguere due domande.
Il dispositivo può segnalare il guasto?
La rete può continuare a funzionare dopo il guasto?
Sono capacità correlate, ma tecnicamente diverse.
Sicurezza e ripristino automatico richiedono confini chiari
Il ripristino automatico non deve mai sovrascrivere la funzione di sicurezza di una macchina o di un processo.
Alcuni guasti dovrebbero comportare un arresto controllato anziché la prosecuzione automatica.
Un arresto di emergenza, un interblocco di sicurezza o una condizione elettrica pericolosa non può essere semplicemente bypassato perché si desidera mantenere la produzione.
La logica di ripristino deve distinguere tra i guasti che consentono di proseguire il funzionamento e quelli che richiedono alle apparecchiature di entrare in uno stato sicuro.
Ciò è particolarmente importante quando sono coinvolti percorsi di controllo ridondanti.
Gli ingegneri devono sapere quali segnali appartengono all’automazione standard e quali all’architettura correlata alla sicurezza.
Un concetto di autoripristino funziona quindi al meglio quando il contenimento dei guasti è progettato attorno a zone funzionali e di sicurezza definite.
I gemelli digitali aggiungono un livello di test
I gemelli digitali possono estendere la progettazione fault-tolerant oltre il quadro fisico.
Una rappresentazione virtuale del sistema di controllo consente agli ingegneri di studiare le sequenze operative prima di implementare modifiche sulle apparecchiature in esercizio.
È possibile introdurre condizioni di guasto nel modello per esaminare la risposta della logica di controllo.
Gli ingegneri possono valutare se vengono visualizzati gli allarmi corretti, se la ridondanza commuta correttamente e se si verificano interazioni indesiderate tra i processi.
Ciò è particolarmente utile quando la logica di ripristino diventa complessa.
Testare ogni possibile guasto sulle apparecchiature di produzione in funzione può essere impraticabile o pericoloso.
Un ambiente di simulazione offre un ulteriore metodo per convalidare il comportamento prima della messa in servizio.
Figura 3. La simulazione digitale può aiutare gli ingegneri a valutare le sequenze di guasto e la logica di ripristino prima che le modifiche raggiungano le apparecchiature in esercizio.
L’intelligenza edge amplia il processo decisionale locale
Un altro sviluppo è la crescente disponibilità di capacità di elaborazione direttamente presso la macchina.
Le architetture di controllo tradizionali inviano spesso le attività analitiche di livello superiore a server centralizzati.
Le piattaforme edge consentono di mantenere localmente determinati strumenti diagnostici.
Ciò può essere utile per le applicazioni in cui le decisioni sui guasti devono essere prese rapidamente o in cui non si può dare per scontata una connettività continua al cloud.
L'analisi locale può identificare schemi anomali e inviare solo gli eventi rilevanti ai sistemi di supervisione o aziendali.
Il PLC continua a eseguire un controllo deterministico.
Il livello analitico fornisce informazioni aggiuntive che possono influenzare le decisioni di manutenzione o la logica di ripristino predefinita.
È importante mantenere queste funzioni chiaramente separate.
Il controllo della macchina non dovrebbe diventare dipendente da un modello analitico opaco il cui comportamento non può essere convalidato.
Domande che gli ingegneri dovrebbero porsi durante la progettazione del quadro elettrico
Un quadro elettrico tollerante ai guasti nasce da domande progettuali, non da una funzionalità software.
Gli ingegneri dovrebbero determinare se le singole zone di guasto sono chiaramente definite all'interno dell'architettura elettrica.
Dovrebbero identificare quali guasti possono essere isolati senza arrestare l'intera macchina.
I dispositivi dovrebbero fornire un feedback diagnostico sufficiente per la strategia di manutenzione.
Le funzioni critiche dovrebbero essere riesaminate per determinare se la ridondanza sia giustificata dal punto di vista tecnico ed economico.
Il team di progettazione dovrebbe inoltre decidere quali variabili di stato richiedono un monitoraggio continuo oltre alle semplici ore di funzionamento.
La diagnostica remota può essere utile, ma la sicurezza della rete e l'autorità operativa devono essere prese in considerazione fin dall'inizio.
Anche la logica di ripristino dovrebbe essere testata su scenari di guasto realistici, non solo su sequenze operative normali.
L'obiettivo è un degrado controllato, non un quadro indistruttibile
Le apparecchiature industriali continueranno a guastarsi.
I componenti invecchiano. Le connessioni si deteriorano. Le reti perdono la comunicazione. Gli azionamenti vanno in trip. Gli alimentatori raggiungono la fine della loro vita operativa.
L'obiettivo ingegneristico non è quindi un quadro elettrico impossibile che non si guasta mai.
Un obiettivo migliore è il degrado controllato.
Il sistema dovrebbe identificare tempestivamente il deterioramento, ove possibile.
Quando si verifica un guasto, il suo effetto dovrebbe rimanere circoscritto ogni volta che l'architettura lo consente.
Gli operatori dovrebbero ricevere informazioni diagnostiche utili anziché allarmi generici.
Quando appropriato, i processi critici dovrebbero passare a funzioni di backup progettate appositamente.
Il personale addetto alla manutenzione dovrebbe quindi disporre di informazioni sufficienti per riparare l'hardware interessato senza indagini superflue.
Questo è il significato pratico di un quadro elettrico autoriparante.
Non si ripara da solo.
È progettato per comprendere meglio il proprio stato, reagire in modo intelligente ai guasti prevedibili e mantenere il più possibile un funzionamento sicuro finché il personale non può completare la riparazione fisica.
Informazioni sull'autore
Redazione di PLC Pro Tech | Analisi dei sistemi industriali
Il team editoriale si occupa di sistemi PLC, reti industriali, protezione dei macchinari, azionamenti, monitoraggio delle condizioni e manutenzione durante l'intero ciclo di vita nelle applicazioni di processo e manifatturiere.
