Como detectar um sensor de máquina desconectado com segurança

Um sensor desconectado não é automaticamente distinguível de um estado legítimo de DESLIGADO. Em uma entrada convencional normalmente aberta, um alvo ausente, um condutor aberto, a perda de alimentação do sensor e um conector removido podem produzir o mesmo zero. A resposta correta começa pela definição do que o sensor faz e do risco existente caso esse zero seja aceito como condição saudável.

Uma fiação que torna as falhas visíveis melhora o diagnóstico, mas a proteção das pessoas depende da função de segurança completa e validada.

Separe o diagnóstico do processo da segurança funcional

Um sensor de processo pode detectar uma peça, o nível de um tanque, a posição de um cilindro ou um congestionamento no transportador. Se o cabo abrir, a resposta apropriada pode ser um alarme de manutenção, a inibição do ciclo ou uma parada controlada. Um dispositivo de proteção, como uma proteção intertravada, uma cortina de luz ou uma parada de emergência, pertence a uma função de segurança derivada da avaliação de riscos da máquina. Sua arquitetura, cobertura de diagnóstico, tempo de resposta, comportamento de rearme e verificação devem atender ao desempenho de segurança exigido.

Uma entrada de CLP padrão pode fornecer informações valiosas para a manutenção, mas chamar sua lógica de “segurança” não lhe confere tolerância a falhas certificada. As decisões de proteção devem ser tomadas por dispositivos e lógicas de segurança apropriados. O controle padrão pode receber o status de diagnóstico para mensagens, registros de data e hora e solução de problemas, sem se tornar o único elemento responsável por remover o movimento perigoso.

As categorias de hardware relevantes podem ser consultadas na coleção de Sensores e em Sistemas de CLP e PAC do site, mas o dispositivo selecionado, o módulo de entrada e o método de fiação devem ser validados como uma única aplicação.

Escolha um circuito cujo estado saudável seja observável

Um contato normalmente fechado conduz corrente em seu estado normal saudável, portanto um condutor rompido tende a fazer a entrada desligar. Isso revela mais falhas do que um circuito normalmente aberto, mas não oferece proteção completa. Um curto-circuito em paralelo com o contato pode manter o sinal ligado, um condutor comum pode neutralizar vários canais e o software pode tratar a transição de forma incorreta.

Os dispositivos modernos de proteção eletrossensíveis normalmente usam duas saídas semicondutoras monitoradas, frequentemente chamadas de canais OSSD. Um controlador de segurança compatível avalia os dois canais, incluindo seu sincronismo e comportamento de teste. Dispositivos eletromecânicos de proteção podem usar contatos de abertura positiva em uma configuração de canal duplo. O objetivo não é simplesmente ter “dois fios”, mas obter detecção independente de falhas, comportamento de teste controlado e uma resposta segura definida.

Entenda o que uma entrada com detecção de fio aberto realmente mede

Os módulos de entrada de diagnóstico conseguem distinguir um condutor aberto ao esperar uma pequena corrente mesmo quando o contato de campo está aberto. O manual atual de E/S digital ControlLogix da Rockwell Automation informa que a detecção de fio aberto verifica a fiação de campo e exige uma corrente de fuga mínima. Em uma entrada de contato, um resistor de fuga é instalado em paralelo ao contato para que o módulo espere corrente durante o estado lógico DESLIGADO. A perda dessa corrente gera uma falha no ponto.

O 1756-IB16D é um módulo de entrada de diagnóstico de 10–30 V CC. As informações de fiação publicadas especificam valores de resistor de fuga conforme a tensão de alimentação, incluindo 15 kΩ a 24 V CC. Esses valores são dados de engenharia específicos do dispositivo, não uma receita universal. Os limiares de entrada, a tolerância e a potência nominal do resistor, a corrente de fuga no estado desligado do sensor, os indicadores do módulo de interface e a variação da alimentação afetam a faixa de diagnóstico.

Uma corrente de fuga muito baixa pode fazer um contato aberto saudável parecer um fio rompido. Uma corrente muito alta pode manter a entrada ligada, gerar calor ou mascarar outra falha. Lâmpadas indicadoras e módulos de interface também podem alterar a corrente no estado desligado. Use o manual exato da série do módulo, calcule a corrente e a dissipação no pior caso e teste o circuito de campo montado na tensão mínima e máxima de alimentação.

Projete os caminhos de alimentação e retorno para permitir o diagnóstico

O diagnóstico de um ponto individual nem sempre consegue distinguir um condutor de sinal rompido da perda do retorno comum ou da alimentação de campo. Se um grupo de entradas relatar falhas de fio aberto simultaneamente, investigue a alimentação e o retorno compartilhados antes de substituir vários sensores. Monitore a alimentação de campo sempre que possível e agrupe os canais de modo que uma perda comum não crie um estado ambíguo da máquina.

Sensores de proximidade e fotoelétricos de três fios acrescentam outro modo de falha: o condutor de saída pode estar íntegro enquanto a alimentação do sensor está ausente. Use diagnósticos do dispositivo, status auxiliar, monitoramento de corrente ou uma arquitetura de entrada que revele a perda de alimentação. Para sensores inteligentes em rede, o status da comunicação pode acrescentar evidências, mas não deve substituir silenciosamente o caminho de proteção cabeado, a menos que a função de segurança em rede seja especificamente projetada e validada para essa finalidade.

Defina um comportamento determinístico para as falhas

Para cada sinal, documente a resposta segura ou controlada a fio aberto, curto-circuito, discrepância entre canais, perda de alimentação de campo, dados de rede obsoletos e falha interna do dispositivo. Uma entrada de processo pode registrar um alarme e bloquear o próximo ciclo automático. Uma entrada de segurança deve acionar a função de segurança definida dentro do tempo de resposta permitido.

Não permita que uma filtragem genérica ou um atraso de alarme oculte a falha. A filtragem pode ser apropriada para eliminar repiques de contato ou ruído elétrico, mas o atraso deve ser menor do que o risco do processo permite. Registre os bits brutos de diagnóstico separadamente do status de processo condicionado, para que a equipe de manutenção veja por que a máquina parou.

A restauração é igualmente importante. Reconectar um sensor não deve causar uma partida inesperada. Exija as condições de rearme definidas pela avaliação de riscos, confirme que a área perigosa está livre e separe o reconhecimento da falha do comando que inicia o movimento.

Faça o teste funcional do circuito instalado

Uma revisão do desenho não comprova o comportamento em campo. Durante o comissionamento, teste a atuação normal e depois desconecte o sensor no dispositivo e nos conectores intermediários. Abra cada condutor individualmente, remova a alimentação de campo, interrompa o retorno comum e crie os casos de discrepância entre canais permitidos pelo procedimento de teste do fabricante. Confirme que o controlador identifica o ponto esperado e que a resposta da máquina corresponde aos requisitos de segurança.

Quando forem usados dois canais, teste um canal de cada vez, a detecção de falhas cruzadas conforme especificado, o tempo de discrepância, o rearme e a inibição da partida. Registre o tempo real de parada se ele contribuir para a distância de proteção. Após uma manutenção ou substituição de dispositivo, repita os testes funcionais relevantes em vez de presumir que a pinagem idêntica do conector garante comportamento idêntico.

Mantenha a cobertura de diagnóstico durante toda a vida útil da máquina

Alterações em blocos de terminais, módulos indicadores, comprimento dos cabos, cartões de entrada, tipos de sensor ou configuração do controlador de segurança podem deslocar a faixa de corrente ou alterar o tempo de diagnóstico. Submeta esses itens ao controle de mudanças. Revise periodicamente os registros de diagnóstico em busca de eventos intermitentes de fio aberto; eles frequentemente revelam esteiras porta-cabos danificadas, terminais frouxos, contaminação ou conectores em deterioração antes de uma parada total.

O limite de engenharia é claro: a detecção de fio aberto é um excelente recurso de manutenção e pode contribuir para a detecção de falhas, mas não constitui, por si só, uma função de segurança completa. Máquinas confiáveis tornam cada falha visível, atribuem a ela uma resposta determinística e verificam essa resposta no dispositivo de campo real.