Czy panele sterowania mogą samoczynnie się naprawiać? Projektowanie inteligentniejszych systemów odpornych na awarie

Co się dzieje, gdy przemysłowy panel sterowniczy wykryje rozwijającą się usterkę, zanim operator zauważy widoczny problem?

Napęd silnika może zacząć pobierać nieregularny prąd. Moduł zasilający może zacząć pracować w wyższej temperaturze niż zwykle. Między urządzeniami sterującymi mogą sporadycznie pojawiać się błędy komunikacji.

W konwencjonalnym systemie te stany często stają się problemami utrzymania ruchu dopiero po wystąpieniu alarmu, zadziałaniu zabezpieczenia lub wyłączeniu.

Bardziej inteligentne architektury sterowania mogą reagować wcześniej.

Mogą one wykrywać nieprawidłowe stany, izolować wybrane usterki, przełączać funkcje na urządzenia nadmiarowe i przekazywać personelowi utrzymania ruchu szczegółowe informacje diagnostyczne.

Koncepcja ta jest czasami określana jako samonaprawiający się panel sterowniczy.

Terminu tego nie należy interpretować dosłownie. Panel sterowniczy nie może samodzielnie naprawić uszkodzonego stycznika, przepalonego zacisku ani uszkodzonego napędu.

Może on rozpoznawać określone awarie i korzystać ze wstępnie zdefiniowanych strategii przywracania działania, aby ograniczyć ich wpływ na produkcję.

Rysunek 1. Modułowe przemysłowe panele sterownicze stanowią podstawę diagnostyki, izolowania usterek i uporządkowanej wymiany komponentów.

Słabym punktem często nie jest maszyna

Panele sterownicze koordynują znaczną część współczesnych urządzeń przemysłowych.

Sterowniki PLC, zasilacze, przekaźniki, napędy, moduły komunikacyjne i urządzenia I/O współpracują ze sobą, aby utrzymać przewidywalną sekwencję działania.

Awaria jednego niewielkiego komponentu może zatem wpłynąć na znacznie większy proces.

Uszkodzony przekaźnik może uniemożliwić uruchomienie silnika. Awaria zasilacza może jednocześnie wyłączyć wiele obwodów sterowania. Problem z komunikacją może sprawić, że sprawne urządzenia staną się niedostępne dla sterownika.

Tradycyjne strategie utrzymania ruchu ograniczają te zagrożenia za pomocą inspekcji, części zamiennych, prewencyjnej wymiany i interwencji operatora.

Te praktyki nadal pozostają konieczne.

Ograniczeniem jest czas reakcji.

Gdy wykrywanie usterek zależy głównie od zatrzymania maszyny lub zauważenia alarmu przez operatora, proces już wszedł w nieprawidłowy stan pracy.

Współczesne projekty systemów sterowania coraz częściej próbują wykrywać pogorszenie stanu, zanim do tego dojdzie.

Co właściwie oznacza samonaprawa

W ujęciu inżynierskim samonaprawę lepiej rozumieć jako połączenie wykrywania usterek, ich izolowania i automatycznego przywracania działania.

Praktyczna architektura może realizować kilka funkcji.

Po pierwsze system wykrywa nieprawidłowy sygnał lub stan pracy.

Po drugie logika diagnostyczna określa, którego urządzenia, obwodu lub obszaru procesu dotyczy problem.

Po trzecie system odizolowuje dotkniętą funkcję, jeśli pozwala na to architektura.

Wreszcie nadmiarowy sprzęt lub alternatywna ścieżka sterowania może podtrzymać część procesu do czasu podjęcia działań przez służby utrzymania ruchu.

Operator nadal otrzymuje alarmy, rejestry i informacje diagnostyczne.

Celem nie jest wyeliminowanie awarii. Chodzi o to, aby każda pojedyncza awaria nie powodowała automatycznie przestoju w całym zakładzie.

Architektura modułowa ułatwia praktyczną izolację awarii

Odporność na awarie zaczyna się od projektu fizycznego.

Panel zbudowany jako jeden ściśle połączony zespół elektryczny jest trudny do odizolowania, gdy ulegnie awarii komponent.

Architektura modułowa tworzy wyraźniejsze granice funkcjonalne.

Dystrybucję zasilania, sterowanie, komunikację, napędy i I/O można podzielić na możliwe do zidentyfikowania sekcje z odpowiednią ochroną i dostępem diagnostycznym.

Zapewnia to kilka korzyści operacyjnych.

Awarię można często przypisać mniejszemu obszarowi funkcjonalnemu. Personel utrzymania ruchu może szybciej zidentyfikować dotknięty problemem sprzęt, a wymiana staje się bardziej uporządkowana.

Modułowość wspiera również ustandaryzowane strategie zaopatrzenia w części zamienne.

Zamiast diagnozować każdy komponent do poziomu płytki, technicy mogą wymieniać określone moduły i przywracać działanie zgodnie z ustaloną procedurą utrzymania.

Sprzęt wymieniany pod napięciem może usprawnić to podejście, jeśli dana platforma sterowania i aplikacja obsługują wymianę podczas pracy.

Nie należy jednak zakładać, że wymiana pod napięciem jest możliwa tylko dlatego, że system ma budowę modułową.

Sterownik, platforma I/O, projekt elektryczny i procedura bezpieczeństwa muszą wyraźnie to wspierać.

W systemach opartych na wymiennym sprzęcie sterującym jasno sklasyfikowane moduły I/O mogą również uprościć utrzymanie w całym cyklu życia i planowanie części zamiennych.

Monitorowanie predykcyjne wykrywa zmiany przed awarią

Strategia sterowania zarządzająca się samodzielnie potrzebuje informacji o stanie urządzeń.

Właśnie dlatego technologie pomiarowe IIoT i konserwacja predykcyjna stają się ważne.

Nowoczesne systemy monitorowania mogą obserwować obciążenie elektryczne, temperaturę, drgania, jakość komunikacji i inne zmienne robocze.

Pojedynczy pomiar może nie wskazywać problemu.

Trend jest często bardziej użyteczny.

Złącze zaciskowe, którego temperatura stopniowo wzrasta, może wskazywać na stan elektryczny wymagający kontroli.

Silnik, w którym narasta trend drgań, może wymagać interwencji mechanicznej, zanim stan ten doprowadzi do nieplanowanego przestoju.

Powtarzająca się asymetria prądu może również dostarczać cennych informacji diagnostycznych, jeśli jest oceniana we właściwym kontekście elektrycznym i mechanicznym.

Przetwarzanie brzegowe umożliwia przeprowadzanie części tej analizy w pobliżu maszyny.

Zamiast przesyłać każdy surowy pomiar do zdalnego serwera, urządzenie brzegowe może lokalnie analizować wybrane sygnały i generować zdarzenia po wykryciu określonych warunków.

Może to skrócić czas reakcji i ograniczyć niepotrzebny ruch danych.

Diagnostyka musi wyjaśniać więcej niż „awaria”

Ogólny wskaźnik awarii ma ograniczoną wartość, gdy produkcja już się zatrzymała.

Skuteczna diagnostyka powinna wskazywać, gdzie wystąpił problem, i dostarczać wystarczającego kontekstu, aby personel utrzymania ruchu mógł go zbadać.

Nowoczesne sterowniki i inteligentne urządzenia mogą udostępniać informacje diagnostyczne na poziomie komponentów za pośrednictwem sieci sterowania.

Warstwa HMI lub SCADA może następnie prezentować bardziej szczegółowe informacje alarmowe.

Zamiast zgłaszać jedynie ogólną awarię napędu, system może wskazać, który napęd wygenerował alarm, i zarejestrować powiązane wartości robocze.

Historia zdarzeń pomaga również inżynierom ustalić, co wydarzyło się bezpośrednio przed wyłączeniem awaryjnym.

Staje się to szczególnie istotne, gdy jedna początkowa awaria powoduje kilka alarmów wtórnych.

Pierwszy alarm widoczny na ekranie może nie być przyczyną źródłową.

Prawidłowo oznaczone znacznikami czasu sekwencje zdarzeń pomagają inżynierom odtworzyć przebieg zdarzeń.

Izolowanie awarii zapobiega rozprzestrzenianiu się pojedynczego problemu

Samo wykrywanie nie zapewnia odporności na awarie.

Architektura musi również określać, co dzieje się po rozpoznaniu awarii.

W niektórych zastosowaniach dotknięty awarią moduł można logicznie usunąć z sekwencji działania.

W innych przypadkach proces może przełączyć się na urządzenia redundantne.

Zasilacze, ścieżki sieciowe, sterowniki, interfejsy komunikacyjne i urządzenia procesowe mogą wykorzystywać redundancję, gdy zastosowanie uzasadnia dodatkową złożoność.

Redundancja nie zawsze przynosi korzyści.

Źle zaprojektowany system redundantny może wprowadzać dodatkowe tryby uszkodzeń i utrudniać diagnozowanie.

Dlatego strategię przywracania działania należy projektować jednocześnie ze strategią wykrywania awarii.

Rysunek 2. Sekwencja odporna na awarie wykrywa nieprawidłowy stan, odizolowuje dotkniętą nim funkcję i przełącza działanie tam, gdzie dostępna jest redundancja.

Awaria napędu pokazuje, jak działa ta koncepcja

Rozważmy linię rozlewniczą wykorzystującą napędy o zmiennej częstotliwości do regulacji prędkości przenośnika.

Jeden z napędów zaczyna wykazywać nieregularny pobór prądu i rosnącą temperaturę.

W konwencjonalnej architekturze napęd może nadal pracować do momentu, gdy jego funkcje ochronne wygenerują wyłączenie awaryjne.

Przenośnik zatrzymuje się.

Następnie dział utrzymania ruchu rozpoczyna diagnozowanie uszkodzonej sekcji, podczas gdy produkcja nadal jest wstrzymana.

Architektura o większej odporności na awarie mogłaby zareagować inaczej.

Monitorowanie stanu jako pierwsze wykrywa nieprawidłowy przebieg elektryczny i cieplny.

System sterowania generuje ostrzeżenie dla utrzymania ruchu, zanim proces osiągnie stan wyzwolenia.

Jeśli aplikacja obejmuje zaprojektowany napęd rezerwowy lub redundantną ścieżkę mechaniczną, dana funkcja może zostać następnie przełączona zgodnie ze wstępnie zdefiniowaną logiką.

Oryginalny napęd zostaje odizolowany, a dział utrzymania ruchu otrzymuje szczegółowe informacje o usterce.

Produkcja może być kontynuowana z pełną lub zmniejszoną wydajnością, zależnie od konstrukcji procesu.

Ten przykład ilustruje istotne ograniczenie.

System sterowania nie może stworzyć redundancji, której nigdy nie przewidziano w konstrukcji maszyny.

Automatyczne odzyskiwanie jest możliwe tylko wtedy, gdy architektura elektryczna, mechaniczna i programowa zapewnia alternatywną ścieżkę.

Gdy stosowane jest sterowanie prędkością obrotową, odpowiednie architektury przemienników częstotliwości VFD i napędów AC mogą stanowić część szerszej strategii konserwacji i redundancji.

Komunikacja jest częścią architektury odzyskiwania

Współczesna diagnostyka w dużej mierze zależy od przemysłowych sieci komunikacyjnych.

Sterowniki potrzebują informacji o stanie z napędów, zdalnych modułów I/O, urządzeń ochronnych i innych inteligentnych komponentów.

EtherNet/IP, PROFINET i inne protokoły przemysłowe mogą zapewniać taką widoczność diagnostyczną, jeśli obsługuje ją sprzęt.

Jednak zastosowanie przemysłowego protokołu Ethernet nie sprawia automatycznie, że sieć jest odporna na awarie.

Odporność zależy od architektury sieci.

Zarządzalne przełączniki, redundantne ścieżki, możliwości sterowników, topologia i mechanizmy odzyskiwania wpływają na to, co dzieje się po awarii komunikacji.

Inżynierowie powinni zatem rozdzielić te dwa pytania.

Czy urządzenie może zgłosić awarię?

Czy sieć może nadal działać po awarii?

Są to powiązane, ale technicznie różne możliwości.

Bezpieczeństwo i automatyczne odzyskiwanie wymagają wyraźnych granic

Automatyczne odzyskiwanie nigdy nie powinno zastępować funkcji bezpieczeństwa maszyny ani procesu.

Niektóre awarie powinny skutkować kontrolowanym wyłączeniem, a nie automatycznym kontynuowaniem pracy.

Wyłącznika awaryjnego, blokady bezpieczeństwa ani niebezpiecznego stanu elektrycznego nie można po prostu obejść tylko dlatego, że pożądane jest utrzymanie produkcji.

Logika odzyskiwania musi rozróżniać awarie, które pozwalają na dalszą pracę, od awarii wymagających przejścia urządzenia do stanu bezpiecznego.

Jest to szczególnie ważne, gdy zastosowano redundantne ścieżki sterowania.

Inżynierowie muszą wiedzieć, które sygnały należą do standardowej automatyki, a które do architektury związanej z bezpieczeństwem.

Koncepcja samonaprawy działa zatem najlepiej, gdy ograniczanie skutków awarii jest zaprojektowane wokół określonych stref funkcjonalnych i bezpieczeństwa.

Cyfrowe bliźniaki dodają warstwę testowania

Cyfrowe bliźniaki mogą rozszerzyć projektowanie odporne na awarie poza fizyczny panel.

Wirtualna reprezentacja systemu sterowania pozwala inżynierom analizować sekwencje działania przed wdrożeniem zmian w działającym sprzęcie.

Do modelu można wprowadzać warunki awarii, aby sprawdzić reakcję logiki sterowania.

Inżynierowie mogą ocenić, czy pojawiają się właściwe alarmy, czy redundancja przełącza się prawidłowo oraz czy występują niezamierzone interakcje w procesie.

Jest to szczególnie przydatne, gdy logika odzyskiwania staje się złożona.

Testowanie każdej możliwej awarii na pracującym sprzęcie produkcyjnym może być niepraktyczne lub niebezpieczne.

Środowisko symulacyjne zapewnia dodatkowy sposób weryfikacji działania przed wdrożeniem.

Rysunek 3. Symulacja cyfrowa pomaga inżynierom oceniać sekwencje usterek i logikę odzyskiwania przed wprowadzeniem zmian do działającego sprzętu.

Inteligencja brzegowa rozszerza możliwości lokalnego podejmowania decyzji

Kolejnym kierunkiem rozwoju jest rosnąca moc obliczeniowa dostępna bezpośrednio w maszynie.

Tradycyjne architektury sterowania często przesyłają zadania analityczne wyższego poziomu do scentralizowanych serwerów.

Platformy brzegowe pozwalają pozostawić wybrane funkcje diagnostyczne lokalnie.

Może to być przydatne w zastosowaniach, w których decyzje dotyczące awarii muszą być podejmowane szybko lub nie można zakładać stałego połączenia z chmurą.

Analityka lokalna może wykrywać nietypowe wzorce i wysyłać tylko istotne zdarzenia do systemów nadrzędnych lub korporacyjnych.

Sterownik PLC nadal realizuje deterministyczne sterowanie.

Warstwa analityczna dostarcza dodatkowych informacji, które mogą wpływać na decyzje dotyczące utrzymania ruchu lub wstępnie zdefiniowaną logikę odzyskiwania sprawności.

Ważne jest wyraźne rozdzielenie tych funkcji.

Sterowanie maszyną nie powinno zależeć od nieprzejrzystego modelu analitycznego, którego działania nie można zweryfikować.

Pytania, które inżynierowie powinni zadawać podczas projektowania panelu

Panel odporny na awarie zaczyna się od pytań projektowych, a nie od funkcji programowej.

Inżynierowie powinni ustalić, czy w architekturze elektrycznej wyraźnie zdefiniowano poszczególne strefy usterek.

Powinny wskazywać, które awarie można odizolować bez wyłączania całej maszyny.

Urządzenia powinny dostarczać wystarczających informacji diagnostycznych na potrzeby strategii utrzymania ruchu.

Należy przeanalizować funkcje krytyczne, aby określić, czy redundancja jest uzasadniona pod względem technicznym i ekonomicznym.

Zespół projektowy powinien również zdecydować, które zmienne stanu wymagają ciągłego monitorowania wykraczającego poza proste zliczanie godzin pracy.

Zdalna diagnostyka może być przydatna, ale bezpieczeństwo sieci i uprawnienia do obsługi należy uwzględnić od samego początku.

Logikę odzyskiwania sprawności należy również testować w realistycznych scenariuszach awarii, a nie tylko podczas normalnych sekwencji pracy.

Celem jest kontrolowane pogarszanie działania, a nie niezniszczalny panel

Urządzenia przemysłowe nadal będą ulegać awariom.

Komponenty się starzeją. Połączenia ulegają pogorszeniu. Sieci tracą łączność. Napędy wyłączają się wskutek zadziałania zabezpieczeń. Zasilacze osiągają kres swojego okresu eksploatacji.

Celem inżynierskim nie jest więc nierealny panel sterowania, który nigdy nie ulega awarii.

Lepszym celem jest łagodne pogarszanie działania.

System powinien, o ile to możliwe, wcześnie wykrywać pogarszanie się stanu.

Gdy wystąpi awaria, jej skutki powinny pozostać ograniczone, o ile pozwala na to architektura.

Operatorzy powinni otrzymywać użyteczne informacje diagnostyczne zamiast ogólnych alarmów.

W razie potrzeby krytyczne procesy powinny przełączać się na zaprojektowane funkcje rezerwowe.

Personel utrzymania ruchu powinien otrzymać wystarczająco dużo informacji, aby naprawić uszkodzony sprzęt bez zbędnego dochodzenia.

Na tym polega praktyczne znaczenie samonaprawiającego się panelu sterowania.

Nie naprawia się sam.

Zaprojektowano go tak, aby lepiej rozumiał własny stan, inteligentnie reagował na przewidywalne awarie i utrzymywał możliwie szeroki zakres bezpiecznego działania do czasu wykonania fizycznej naprawy przez personel.