Tecnología / Guía técnica
Sensores redundantes: Votación, acuerdo y causas comunes.
Varias mediciones pueden proporcionar más información que una sola, pero el número de sensores por sí solo no establece una realimentación fiable. La votación puede suprimir una discrepancia aislada bajo supuestos especificados, mientras que los fallos o sesgos compartidos afectan a todos los canales. La concordancia y la corrección siguen siendo propiedades distintas.
Una mayoría puede estar de acuerdo en la misma información errónea.
Entender la cantidad representada, las suposiciones de independencia y la regla de decisión antes de interpretar la redundancia como tolerancia a fallas.
01 / Canales comparables
La redundancia requiere que se pretenda obtener la misma información.
Tres valores solo constituyen observaciones comparables cuando se refieren a la misma magnitud, al mismo límite y a la misma base temporal.
Tres valores solo constituyen observaciones comparables cuando se refieren a la misma magnitud, al mismo límite y a la misma base temporal. Un ángulo del motor, el rumbo de la góndola y la orientación solicitada no son tres mediciones independientes de la misma salida física.
Los canales con retardo o filtrados de manera diferente pueden discrepar durante un cambio sin que ningún componente esté defectuoso. El guía de filtrado Explica ese efecto. La validez y el significado de la señal preceden a una regla de votación.
02 / Regla de decisión
La mayoría binaria y una mediana analógica son diferentes.
Una regla binaria de dos de tres adopta el estado comunicado por al menos dos canales aptos.
Una regla binaria de dos de tres toma el estado indicado por al menos dos canales elegibles. Una mediana analógica selecciona el valor central de un conjunto ordenado. Cada una es una regla matemática definida; ninguna identifica automáticamente qué sensor es físicamente correcto.
Lecturas escalares hipotéticas: 40, 41 y 80 unidades tienen una mediana de 41 unidades. La mediana limita la influencia de un valor extremo en este conjunto. Sin una referencia o supuestos justificados sobre los canales, el cálculo no puede demostrar que 80 sea un valor erróneo ni que 41 sea igual a la magnitud física.
03 / Modelo independiente
El beneficio cuantitativo de la votación depende de los supuestos.
Considere un modelo binario inventado en el que cada uno de tres canales indica de forma independiente el estado incorrecto con una probabilidad q = 0.10 para una observación.
Considere un modelo binario inventado en el que cada uno de tres canales indica de forma independiente el estado incorrecto con una probabilidad q = 0.10 para una observación. La mayoría se equivoca cuando se equivocan exactamente dos canales o los tres: 3q²(1−q) + q³ = 0.028.
El resultado de 2.8% corresponde a ese modelo de canales independientes con idéntica probabilidad de error. No es una tasa de fallo por hora, un resultado de MARSTON ni una afirmación sobre la seguridad del sistema. Cambia si los canales comparten causas de error, tienen probabilidades distintas o no observan el mismo estado.
04 / Causas comunes
Las dependencias compartidas pueden socavar el modelo independiente.
Una alimentación común, el entorno, una influencia del montaje, un error de procesamiento o un sesgo de calibración copiado pueden afectar a varios canales conjuntamente.
Una alimentación común, un entorno común, una influencia del montaje, un error de procesamiento o un sesgo de calibración copiado pueden afectar a varios canales a la vez. Los canales adicionales no eliminan una dependencia que todos comparten. En ese caso, la probabilidad de varios errores no se obtiene multiplicando probabilidades independientes.
El borrador de gestión de fallos de la NASA destaca que un mecanismo de tolerancia cubre clases de fallos especificadas, en lugar de todos los fallos. La ventaja de la votación debe entenderse dentro de ese alcance. Los canales disímiles pueden cambiar las dependencias, pero también introducir magnitudes o características de respuesta diferentes.
05 / Límites del diagnóstico
La discrepancia y la localización de fallos no son lo mismo.
Puede detectarse una discrepancia sin identificar de manera unívoca su causa.
Puede detectarse una discrepancia sin identificar de manera unívoca su causa. Dos canales que coinciden pueden compartir un sesgo mientras un tercero proporciona la mejor observación. Si un canal deja de estar disponible, la información y el problema de decisión vuelven a cambiar.
El elemento de votación, la comunicación y la ruta de control resultante también son componentes del sistema. La fiabilidad de las observaciones individuales no establece la fiabilidad de la selección ni del comportamiento del actuador. El guía de respuesta ante fallos Aborda la totalidad de las consecuencias funcionales.
06 / Alcance del producto
El número de sensores no determina un nivel de seguridad.
Estos conceptos no confirman para MARSTON sensores de orientación redundantes, un sistema de votación, lógica de aislamiento de fallos ni una vía alternativa de realimentación.
Estos conceptos no confirman para MARSTON sensores de rumbo redundantes, un elemento de votación, lógica de aislamiento de fallos ni una vía alternativa de realimentación. Un cálculo ideal de probabilidad no puede sustituir la evaluación de seguridad funcional aplicable ni establecer un SIL.
Los ejemplos no proporcionan ningún umbral de votación, anulación de canales, inyección de fallos ni procedimiento de cableado. Su objetivo es explicar por qué una regla matemática seleccionada y sus supuestos de independencia deben mantenerse separados de un sistema de control implementado.
Continúe la revisión con Realimentación de orientación: consigna, medición y error en lazo cerrado.
Continúe la revisión con Seguridad y continuidad operativa ante fallos: conceptos de control eólico.
Continúe la revisión con Sensores de viento: Resolución, repetibilidad y histéresis..
Trasfondo general: Borrador del manual de gestión de fallos de la NASA: terminología de tolerancia a fallos y respuesta. Estas referencias explican conceptos del sector; son independientes de los documentos aplicables del producto y del proyecto MARSTON.
Conceptos y condiciones principales.
Lea cada cantidad con su referencia, unidades y condiciones especificadas. Una relación general no establece un valor específico para un modelo.
| Concepto / magnitud | Significado / relación | Condiciones / límites |
|---|---|---|
| Comparabilidad de los canales | Cantidad, ubicación y tiempo representado. | Las señales diferentes no tienen por qué ser observaciones redundantes. |
| Voto binario. | Dos estados válidos coincidentes de entre tres | La regla de decisión es distinta de la verdad física. |
| Mediana | Lectura escalar central tras ordenar los valores | Limita una situación extrema, pero no la diagnostica. |
| Probabilidad independiente | 3q²(1−q)+q³ | Se suponen errores binarios idénticos e independientes. |
| Causa común | Influencias comunes sobre varios canales | La multiplicación de probabilidades bajo el supuesto de independencia puede fallar. |
Preguntas de ingeniería.
¿Tres sensores demuestran automáticamente que la realimentación es correcta?
No. La comparabilidad, la validez y las dependencias compartidas son importantes.
¿Demuestra la mediana 41 que falló el canal que indica 80 unidades?
No. Las lecturas inventadas por sí solas no pueden identificar la verdad física.
¿Es 2.8% una probabilidad de fallo del producto?
No. Solo corresponde al modelo ideal de observación binaria indicado.
¿La votación entre sensores elimina un sesgo compartido?
No, no automáticamente. Varios canales pueden llegar a un mismo valor sesgado.
¿El número de elementos redundantes establece el SIL?
No. Un nivel de seguridad requiere su propia evaluación aplicable.
¿Se especifican sensores redundantes MARSTON aquí?
No se establece ningún número concreto de sensores ni ninguna implementación concreta de votación.
Consulta técnica
Comenta la cuestión técnica.
Varias mediciones pueden proporcionar más información que una sola, pero el número de sensores por sí solo no demuestra que la retroalimentación sea fiable. Comparta el modelo y la información de funcionamiento o diseño aplicable para una discusión técnica.