Tecnología / Guía técnica
Seguridad y continuidad operativa ante fallos: conceptos de control eólico
La seguridad ante fallos y la continuidad operativa ante fallos describen el comportamiento requerido bajo fallos definidos. No identifican una respuesta física universal. Un diseño puede preservar una función crítica mientras suspende otra, y una pérdida de alimentación eléctrica puede dejar energía mecánica presente.
El fallo tolerado y la función conservada definen la afirmación.
Entender qué debe permanecer efectivo antes de interpretar una etiqueta de respuesta como "detener", "continuar" o "recuperar".
01 / Defecto y fallo.
Causa y efecto funcional son diferentes.
Un defecto se refiere a una condición anormal subyacente; un fallo se refiere a la pérdida o al deterioro de una función definida.
Una anomalía se refiere a una condición anormal subyacente; un fallo se refiere a la pérdida o al deterioro de una función definida. La misma anomalía puede tener efectos diferentes a nivel de componente y de sistema. Que un sensor haya fallado no significa automáticamente que todas las demás funciones hayan cesado.
A la inversa, una indicación aparentemente normal de un dispositivo no permite establecer que la función requerida del sistema siga disponible. El razonamiento sobre la gestión de fallos conecta la causa, la información y la consecuencia funcional, en lugar de tratar una etiqueta de componente como el resultado completo.
02 / Dos objetivos.
Mantener el servicio y mantener las funciones críticas son dos conceptos distintos.
Fail-operational describe la continuidad del funcionamiento requerido durante una condición de fallo especificada.
Fail-operational describe la continuidad del funcionamiento requerido ante una condición de fallo especificada. Fail-safe se refiere a alcanzar o mantener el comportamiento seguro definido, que puede conservar un subconjunto crítico de funciones mientras se suspenden otros objetivos.
El borrador del manual de gestión de fallos de la NASA utiliza estos términos con funciones y supuestos de fallo explícitos. Esa distinción conceptual no proporciona requisitos para equipos eólicos. Una afirmación sin su función y la condición tolerada no permite establecer qué continúa ni a qué se renuncia.
03 / Significado de estado seguro.
La parada no define todas las condiciones seguras.
Una condición segura se define por los peligros relevantes y las funciones requeridas.
Una condición segura se define por los peligros relevantes y las funciones requeridas. Puede implicar mantener una capacidad específica, en lugar de simplemente eliminar toda la salida. El estado físico final y los medios para sostenerlo son cuestiones separadas.
En un sistema giratorio, una salida eléctrica nula no implica necesariamente ausencia de movimiento. Del mismo modo, que una indicación alimentada eléctricamente deje de estar disponible no determina el estado de un freno mecánico. Estas lagunas lógicas explican por qué «a prueba de fallos» no debe traducirse automáticamente como «la pérdida de alimentación implica que está parado».
04 / Energía y señales.
La respuesta depende de lo que siga disponible.
Una respuesta puede depender de la energía mecánica almacenada, de la alimentación de un actuador o de información de estado válida.
Una respuesta puede depender de la energía mecánica almacenada, de la alimentación de un actuador o de información de estado válida. El fallo de una de esas vías puede cambiar qué comportamiento es físicamente posible. Nombrar una respuesta no crea la energía ni la observación que requiere.
La pérdida de observación y la pérdida de actuación del actuador son condiciones de fallo diferentes. Continuar con realimentación no verificada también difiere de continuar con una observación alternativa establecida. El guía de redundancia explica los límites de esa vía de información.
05 / Alcance de la afirmación
La tolerancia se aplica a las fallas declaradas y a la duración.
Un diseño que tolera una clase de fallo especificada puede no tolerar una causa común que afecte a varias vías.
Un diseño que tolera una clase de fallo especificada puede no tolerar una causa común que afecte a varias vías. La duración requerida y las condiciones de funcionamiento también importan. Continuar funcionando inmediatamente después de un evento es diferente de mantener un servicio completo indefinidamente.
La recuperación no está garantizada por la primera respuesta. El guía de máquina de estados distingue las transiciones lógicas de los efectos físicos; una etiqueta de respuesta no debe fusionar estos resultados.
06 / Alcance del producto
La construcción no establece el comportamiento de fallo.
La orientación eléctrica de la góndola está confirmada para todos los modelos actuales de MARSTON, pero aquí no se especifica su comportamiento tras una pérdida de alimentación, un fallo de realimentación u otros fallos.
La orientación eléctrica de la góndola está confirmada para todos los modelos MARSTON actuales, pero aquí no se especifica su comportamiento tras una pérdida de alimentación, un fallo de realimentación u otros fallos. Una descripción de la construcción del freno por sí sola no permite determinar su acción al estar energizado o desenergizado ni la respuesta completa de la turbina.
No se proporciona ninguna duración de funcionamiento tras un fallo, certificación de seguridad ante fallos, declaración de nivel SIL ni secuencia de protección. Estos conceptos explican los límites funcionales sin sugerir desconexión, inyección de fallos, accionamiento del freno ni órdenes de recuperación.
Continúe la revisión con Sensores redundantes: Votación, acuerdo y causas comunes..
Continúe la revisión con Máquinas de estados del control eólico: estado, desencadenante y finalización.
Continúe la revisión con Frenado del rotor: par neto, desaceleración y energía.
Trasfondo general: Borrador del manual de gestión de fallos de la NASA: terminología de tolerancia a fallos y respuesta. Estas referencias explican conceptos del sector; son independientes de los documentos aplicables del producto y del proyecto MARSTON.
Conceptos y condiciones principales.
Lea cada cantidad con su referencia, unidades y condiciones especificadas. Una relación general no establece un valor específico para un modelo.
| Concepto / magnitud | Significado / relación | Condiciones / límites |
|---|---|---|
| Fallo | Condición anormal subyacente | Su efecto en el sistema depende de las rutas afectadas. |
| Fallo | Pérdida o deterioro de una función específica. | Los límites de los componentes y los sistemas son diferentes. |
| Operativo en caso de fallo | Continuidad especificada de la función requerida | La clase de fallo, las condiciones y la duración son explícitas. |
| Seguridad ante fallos | Comportamiento definido que preserva objetivos de seguridad relevantes. | No equivale a detener cada función. |
| Capacidad de respuesta. | Energía restante y vías de observación y de actuación | Una etiqueta no puede proporcionar los recursos que faltan. |
Preguntas de ingeniería.
¿El funcionamiento a prueba de fallos implica siempre que el rotor se detenga?
No. El comportamiento seguro requerido debe definirse para el sistema real.
¿La ausencia de salida eléctrica significa la ausencia de energía mecánica?
No. La rotación puede conservar energía independientemente de la electricidad suministrada.
¿Es una observación fallida lo mismo que un actuador averiado?
No. Influyen en diferentes caminos y posibles respuestas.
¿Tolerar un fallo demuestra protección frente a todos los fallos?
No. La tolerancia se aplica a las condiciones de fallo especificadas.
¿El tipo de freno determina su actuación ante una pérdida de alimentación?
No. La activación real y el comportamiento del sistema completo requieren evidencia separada.
¿Se declara para MARSTON algún nivel SIL o capacidad de mantener el funcionamiento ante un fallo?
No se asigna ninguna certificación, secuencia de respuesta o capacidad aquí.
Consulta técnica
Comenta la cuestión técnica.
Los conceptos de fallo seguro y de continuidad de funcionamiento ante fallos describen el comportamiento requerido ante fallos definidos. Comparte el modelo y la información de funcionamiento o diseño aplicable para una discusión de ingeniería.