Co się dzieje, gdy przemysłowy panel sterowniczy wykryje rozwijającą się usterkę, zanim operator zauważy widoczny problem?

Napęd silnika może zacząć pobierać nieregularny prąd. Moduł zasilający może zacząć pracować w temperaturze wyższej niż zwykle. Między urządzeniami sterującymi mogą sporadycznie pojawiać się błędy komunikacji.

W konwencjonalnym systemie te stany często stają się problemami utrzymania ruchu dopiero po wystąpieniu alarmu, zadziałaniu zabezpieczenia lub wyłączeniu.

Bardziej inteligentne architektury sterowania mogą reagować wcześniej.

Mogą wykrywać nieprawidłowe stany, izolować wybrane usterki, przełączać funkcje na redundantne urządzenia i dostarczać personelowi utrzymania ruchu szczegółowych informacji diagnostycznych.

Koncepcja ta jest czasami określana jako samonaprawiający się panel sterowniczy.

Terminu tego nie należy interpretować dosłownie. Panel sterowniczy nie może samodzielnie naprawić uszkodzonego stycznika, spalonego zacisku ani niesprawnego napędu.

Może rozpoznawać określone awarie i stosować zdefiniowane strategie przywracania działania, aby ograniczyć ich wpływ na produkcję.

Rysunek 1. Modułowe przemysłowe panele sterownicze stanowią podstawę diagnostyki, izolowania usterek i uporządkowanej wymiany komponentów.

Słabym punktem często nie jest maszyna

Panele sterownicze koordynują znaczną część współczesnych urządzeń przemysłowych.

Sterowniki PLC, zasilacze, przekaźniki, napędy, moduły komunikacyjne i urządzenia wejścia/wyjścia współpracują ze sobą, aby utrzymać przewidywalną sekwencję pracy.

Awaria jednego niewielkiego komponentu może zatem wpłynąć na znacznie większą część procesu.

Uszkodzony przekaźnik może uniemożliwić uruchomienie silnika. Awaria zasilacza może jednocześnie wyłączyć wiele obwodów sterowania. Problem z komunikacją może sprawić, że sprawne skądinąd urządzenia staną się niedostępne dla sterownika.

Tradycyjne strategie utrzymania ruchu ograniczają te zagrożenia za pomocą inspekcji, części zamiennych, profilaktycznej wymiany i interwencji operatora.

Te praktyki nadal są niezbędne.

Ograniczeniem jest czas reakcji.

Gdy wykrywanie usterek zależy głównie od zatrzymania maszyny lub zauważenia alarmu przez operatora, proces już znalazł się w nieprawidłowym stanie pracy.

Współczesne projekty układów sterowania coraz częściej próbują wykrywać pogorszenie stanu, zanim do tego dojdzie.

Co naprawdę oznacza samonaprawianie

W ujęciu inżynierskim samonaprawianie lepiej rozumieć jako połączenie wykrywania uszkodzeń, ich izolowania i automatycznego przywracania działania.

Praktyczna architektura może realizować kilka funkcji.

Po pierwsze, system wykrywa nieprawidłowy sygnał lub stan pracy.

Po drugie, logika diagnostyczna określa, którego urządzenia, obwodu lub obszaru procesu dotyczy problem.

Po trzecie, system sterowania izoluje dotkniętą funkcję, jeśli pozwala na to architektura.

Wreszcie redundantny sprzęt lub alternatywna ścieżka sterowania może podtrzymać część procesu do czasu podjęcia interwencji przez służby utrzymania ruchu.

Operator nadal otrzymuje alarmy, logi i informacje diagnostyczne.

Celem nie jest wyeliminowanie awarii. Chodzi o to, aby każda pojedyncza awaria nie przeradzała się automatycznie w przestój całego zakładu.

Architektura modułowa ułatwia izolowanie usterek

Odporność na awarie zaczyna się od projektu fizycznego.

Panel zbudowany jako jedna ściśle połączona instalacja elektryczna jest trudny do odizolowania, gdy komponent ulegnie awarii.

Architektura modułowa tworzy wyraźniejsze granice funkcjonalne.

Dystrybucję zasilania, sterowanie, komunikację, napędy i I/O można podzielić na identyfikowalne sekcje z odpowiednią ochroną i dostępem diagnostycznym.

Zapewnia to kilka korzyści operacyjnych.

Awarię można często powiązać z mniejszym obszarem funkcjonalnym. Personel utrzymania ruchu może szybciej zidentyfikować dotknięty problemem sprzęt, a wymiana staje się bardziej uporządkowana.

Modułowość wspiera również ustandaryzowane strategie zarządzania częściami zamiennymi.

Zamiast diagnozować każdy komponent aż do poziomu płytki, technicy mogą wymieniać określone moduły i przywracać działanie zgodnie z ustaloną procedurą utrzymania.

Sprzęt umożliwiający wymianę pod napięciem może usprawnić to podejście, jeśli dana platforma sterowania i aplikacja obsługują wymianę podczas zasilania.

Nie należy jednak zakładać, że wymiana modułów pod napięciem jest możliwa tylko dlatego, że system ma budowę modułową.

Sterownik, platforma I/O, projekt elektryczny i procedura bezpieczeństwa muszą wyraźnie to obsługiwać.

W systemach opartych na wymiennym sprzęcie sterującym jasno skategoryzowane moduły I/O mogą również uprościć utrzymanie w całym cyklu życia oraz planowanie części zamiennych.

Monitorowanie predykcyjne wyszukuje zmiany, zanim dojdzie do awarii

Strategia sterowania niewymagająca ciągłego zarządzania potrzebuje informacji o stanie urządzeń.

Właśnie tutaj ważne stają się czujniki IIoT i konserwacja predykcyjna.

Nowoczesne systemy monitorowania mogą obserwować obciążenie elektryczne, temperaturę, drgania, jakość komunikacji i inne zmienne robocze.

Pojedynczy pomiar może nie wskazywać na problem.

Trend jest często bardziej użyteczny.

Złącze zaciskowe, którego temperatura stopniowo rośnie, może wskazywać na stan elektryczny wymagający kontroli.

Silnik, w którym rozwija się trend wzrostu drgań, może wymagać interwencji mechanicznej, zanim stan ten doprowadzi do nieplanowanego zatrzymania.

Powtarzająca się asymetria prądu może również dostarczyć cennych informacji diagnostycznych, jeśli zostanie oceniona we właściwym kontekście elektrycznym i mechanicznym.

Przetwarzanie brzegowe pozwala przeprowadzać część tej analizy w pobliżu maszyny.

Zamiast przesyłać każdy surowy pomiar do zdalnego serwera, urządzenie brzegowe może lokalnie analizować wybrane sygnały i generować zdarzenia po wykryciu określonych warunków.

Może to skrócić czas reakcji i ograniczyć niepotrzebny ruch danych.

Diagnostyka musi wyjaśniać więcej niż „awaria”

Ogólny wskaźnik awarii ma ograniczoną wartość, gdy produkcja już się zatrzymała.

Skuteczna diagnostyka powinna wskazywać, gdzie wystąpił problem, i dostarczać wystarczającego kontekstu, aby personel utrzymania ruchu mógł go zbadać.

Nowoczesne sterowniki i inteligentne urządzenia mogą udostępniać informacje diagnostyczne na poziomie komponentów za pośrednictwem sieci sterowania.

Warstwa HMI lub SCADA może następnie prezentować bardziej szczegółowe informacje o alarmie.

Zamiast zgłaszać jedynie ogólną usterkę napędu, system może wskazać, który napęd wygenerował alarm, i zarejestrować powiązane wartości robocze.

Zdarzenia historyczne pomagają również inżynierom ustalić, co wydarzyło się bezpośrednio przed wyłączeniem awaryjnym.

Jest to szczególnie ważne, gdy jedna początkowa usterka powoduje kilka alarmów wtórnych.

Pierwszy alarm widoczny na ekranie może nie być przyczyną źródłową.

Prawidłowo oznaczone sygnaturą czasową sekwencje zdarzeń pomagają inżynierom odtworzyć przebieg zdarzeń.

Izolowanie usterek zapobiega rozprzestrzenianiu się pojedynczego problemu

Samo wykrycie usterki nie zapewnia odporności na uszkodzenia.

Architektura musi również określać, co dzieje się po rozpoznaniu usterki.

W niektórych zastosowaniach uszkodzony moduł można logicznie wyłączyć z sekwencji działania.

W innych przypadkach proces może przełączyć się na urządzenia redundantne.

Zasilacze, ścieżki sieciowe, sterowniki, interfejsy komunikacyjne i urządzenia procesowe mogą wykorzystywać redundancję, gdy zastosowanie uzasadnia dodatkową złożoność.

Redundancja nie zawsze przynosi korzyści.

Źle zaprojektowany system redundantny może wprowadzić dodatkowe tryby uszkodzeń i utrudnić diagnozowanie.

Dlatego strategię przywracania działania należy projektować razem ze strategią wykrywania usterek.

Rysunek 2. Sekwencja odporna na uszkodzenia wykrywa nieprawidłowy stan, odizolowuje daną funkcję i przełącza działanie tam, gdzie dostępna jest redundancja.

Awaria napędu pokazuje, jak działa ta koncepcja

Rozważmy linię rozlewniczą wykorzystującą przemienniki częstotliwości do regulacji prędkości przenośnika.

Jeden z napędów zaczyna wykazywać nieregularny pobór prądu i wzrost temperatury.

W konwencjonalnej architekturze napęd może nadal pracować do momentu, gdy jego funkcje ochronne wywołają wyłączenie awaryjne.

Przenośnik zatrzymuje się.

Następnie dział utrzymania ruchu rozpoczyna diagnozowanie uszkodzonej sekcji, podczas gdy produkcja pozostaje wstrzymana.

Architektura o większej odporności na uszkodzenia mogłaby zareagować inaczej.

Monitorowanie stanu jako pierwsze wykrywa nieprawidłowy przebieg elektryczny i termiczny.

System sterowania generuje ostrzeżenie dla działu utrzymania ruchu, zanim proces osiągnie stan wyłączenia awaryjnego.

Jeśli aplikacja obejmuje zaprojektowany napęd rezerwowy lub redundantną ścieżkę mechaniczną, dana funkcja może następnie zostać przełączona zgodnie ze wstępnie zdefiniowaną logiką.

Oryginalny napęd zostaje odizolowany, a dział utrzymania ruchu otrzymuje szczegółowe informacje o usterce.

Produkcja może być kontynuowana z pełną lub zmniejszoną wydajnością, zależnie od konstrukcji procesu.

Ten przykład ilustruje istotne ograniczenie.

System sterowania nie może stworzyć redundancji, której nie zaprojektowano w maszynie.

Automatyczne przywrócenie działania jest możliwe tylko wtedy, gdy architektura elektryczna, mechaniczna i programowa zapewnia alternatywną ścieżkę.

W przypadku sterowania prędkością obrotową odpowiednie architektury VFD i napędów AC mogą stanowić element szerszej strategii utrzymania ruchu i redundancji.

Komunikacja jest częścią architektury przywracania działania

Współczesna diagnostyka w dużej mierze zależy od przemysłowych sieci komunikacyjnych.

Sterowniki potrzebują informacji o stanie z napędów, zdalnych modułów I/O, urządzeń ochronnych i innych inteligentnych komponentów.

EtherNet/IP, PROFINET i inne protokoły przemysłowe mogą zapewniać taką widoczność diagnostyczną, jeśli urządzenia ją obsługują.

Jednak zastosowanie przemysłowego protokołu Ethernet nie sprawia automatycznie, że sieć jest odporna na awarie.

Odporność zależy od architektury sieci.

Zarządzalne przełączniki, redundantne ścieżki, możliwości sterowników, topologia i mechanizmy przywracania działania wpływają na to, co dzieje się po awarii komunikacji.

Inżynierowie powinni zatem rozdzielić te dwa pytania.

Czy urządzenie może zgłosić usterkę?

Czy sieć może nadal działać po wystąpieniu usterki?

Są to powiązane, ale technicznie różne możliwości.

Bezpieczeństwo i automatyczne przywracanie działania wymagają wyraźnych granic

Automatyczne przywracanie działania nigdy nie powinno zastępować funkcji bezpieczeństwa maszyny ani procesu.

Niektóre awarie powinny skutkować kontrolowanym wyłączeniem, a nie automatycznym kontynuowaniem pracy.

Wyłącznika awaryjnego, blokady bezpieczeństwa ani niebezpiecznego stanu elektrycznego nie można po prostu omijać tylko dlatego, że pożądane jest utrzymanie produkcji.

Logika przywracania działania musi rozróżniać usterki pozwalające na kontynuowanie pracy od usterek wymagających przejścia urządzenia do stanu bezpiecznego.

Jest to szczególnie ważne, gdy wykorzystywane są redundantne ścieżki sterowania.

Inżynierowie muszą wiedzieć, które sygnały należą do standardowej automatyki, a które do architektury związanej z bezpieczeństwem.

Koncepcja samonaprawy działa zatem najlepiej, gdy ograniczanie skutków usterek jest zaprojektowane wokół określonych stref funkcjonalnych i bezpieczeństwa.

Cyfrowe bliźniaki dodają warstwę testowania

Cyfrowe bliźniaki mogą rozszerzyć projektowanie odporne na uszkodzenia poza fizyczny panel.

Wirtualna reprezentacja systemu sterowania umożliwia inżynierom analizę sekwencji działania przed wdrożeniem zmian na pracującym urządzeniu.

Do modelu można wprowadzać warunki awaryjne, aby sprawdzić reakcję logiki sterowania.

Inżynierowie mogą ocenić, czy pojawiają się właściwe alarmy, czy przełączanie nadmiarowych elementów przebiega prawidłowo oraz czy występują niezamierzone interakcje w procesie.

Jest to szczególnie przydatne, gdy logika przywracania działania staje się złożona.

Testowanie każdej możliwej awarii na pracującym urządzeniu produkcyjnym może być niepraktyczne lub niebezpieczne.

Środowisko symulacyjne umożliwia dodatkową walidację działania przed wdrożeniem.

Rysunek 3. Symulacja cyfrowa może pomóc inżynierom ocenić sekwencje usterek i logikę przywracania działania, zanim zmiany trafią do pracującego urządzenia.

Inteligencja brzegowa rozszerza lokalne podejmowanie decyzji

Kolejnym kierunkiem rozwoju jest coraz większa moc obliczeniowa dostępna bezpośrednio w maszynie.

Tradycyjne architektury sterowania często przesyłają zadania analityczne wyższego poziomu do scentralizowanych serwerów.

Platformy brzegowe pozwalają zachować wybrane funkcje diagnostyczne lokalnie.

Może to być przydatne w zastosowaniach, w których decyzje dotyczące awarii muszą być podejmowane szybko lub nie można zakładać stałej łączności z chmurą.

Analityka lokalna może wykrywać nietypowe wzorce i wysyłać tylko istotne zdarzenia do systemów nadrzędnych lub systemów przedsiębiorstwa.

PLC nadal realizuje sterowanie deterministyczne.

Warstwa analityczna dostarcza dodatkowych informacji, które mogą wpływać na decyzje dotyczące utrzymania ruchu lub zdefiniowaną wcześniej logikę przywracania działania.

Ważne jest, aby te funkcje pozostały wyraźnie rozdzielone.

Sterowanie maszyną nie powinno zależeć od nieprzejrzystego modelu analitycznego, którego działania nie można zweryfikować.

Pytania, które inżynierowie powinni zadać podczas projektowania szafy

Panel odporny na uszkodzenia zaczyna się od pytań projektowych, a nie od funkcji programowej.

Inżynierowie powinni ustalić, czy poszczególne strefy usterek są jasno zdefiniowane w architekturze elektrycznej.

Powinny wskazywać, które awarie można odizolować bez wyłączania całej maszyny.

Urządzenia powinny dostarczać wystarczających informacji diagnostycznych na potrzeby strategii utrzymania ruchu.

Należy przeanalizować funkcje krytyczne, aby ustalić, czy redundancja jest uzasadniona pod względem technicznym i ekonomicznym.

Zespół projektowy powinien również zdecydować, które zmienne stanu wymagają ciągłego monitorowania wykraczającego poza proste rejestrowanie godzin pracy.

Zdalna diagnostyka może być przydatna, ale bezpieczeństwo sieci i uprawnienia do obsługi należy uwzględnić od samego początku.

Logikę przywracania działania należy również testować w realistycznych scenariuszach awarii, a nie tylko podczas normalnych sekwencji pracy.

Celem jest kontrolowana degradacja, a nie niezniszczalna szafa

Urządzenia przemysłowe nadal będą ulegać awariom.

Komponenty się starzeją. Połączenia ulegają pogorszeniu. Sieci tracą komunikację. Napędy wyłączają się wskutek zadziałania zabezpieczeń. Zasilacze osiągają koniec okresu eksploatacji.

Celem inżynierskim nie jest zatem nierealistyczna szafa sterownicza, która nigdy nie ulega awarii.

Lepszym celem jest kontrolowana degradacja.

System powinien, tam gdzie to możliwe, wcześnie wykrywać pogarszanie się stanu.

W razie awarii jej skutki powinny pozostać ograniczone, o ile architektura na to pozwala.

Operatorzy powinni otrzymywać przydatne informacje diagnostyczne zamiast ogólnych alarmów.

W razie potrzeby procesy krytyczne powinny przełączać się na zaprojektowane funkcje rezerwowe.

Personel utrzymania ruchu powinien wtedy dysponować wystarczającymi informacjami, aby naprawić uszkodzony sprzęt bez zbędnego dochodzenia.

Na tym polega praktyczne znaczenie samonaprawczej szafy sterowniczej.

Nie naprawia się samodzielnie.

Zaprojektowano je tak, aby lepiej rozumiało własny stan, inteligentnie reagowało na przewidywalne awarie i utrzymywało możliwie dużo bezpiecznych funkcji do czasu wykonania fizycznej naprawy przez personel.