Tecnologia / Guida tecnica
Fail-safe e fail-operational: concetti di controllo eolico
Fail-safe e fail-operational descrivono il comportamento richiesto in presenza di guasti definiti. Non identificano un'unica risposta fisica universale. Un progetto può preservare una funzione critica sospendendone un'altra, e la perdita dell'alimentazione elettrica può lasciare presente energia meccanica.
Il guasto tollerato e la funzione preservata definiscono l'affermazione.
Comprendi che cosa deve rimanere efficace prima di interpretare un'etichetta di risposta come arresto, prosecuzione o ripristino.
01 / Anomalia e guasto
Una causa e il suo effetto funzionale sono diversi.
Un'anomalia riguarda una condizione anomala sottostante; un guasto riguarda la perdita o la compromissione di una funzione definita.
Un difetto riguarda una condizione anomala sottostante; un'avaria riguarda la perdita o la compromissione di una funzione definita. Lo stesso difetto può avere effetti diversi a livello di componente e di sistema. Un sensore guasto non significa automaticamente che tutte le altre funzioni siano cessate.
Viceversa, un'indicazione di apparente buon funzionamento di un dispositivo non può dimostrare che la funzione di sistema richiesta rimanga disponibile. Il ragionamento sulla gestione dei guasti collega la causa, le informazioni e la conseguenza funzionale, anziché considerare l'etichetta di un componente come l'esito completo.
02 / Due obiettivi
Preservare i servizi e preservare le funzioni critiche sono due concetti distinti.
Fail-operational descrive il mantenimento del funzionamento richiesto in presenza di una condizione di guasto specificata.
Fail-operational descrive il proseguimento del funzionamento richiesto in presenza di una condizione di guasto specificata. Fail-safe riguarda il raggiungimento o il mantenimento del comportamento sicuro definito, che può preservare un sottoinsieme critico di funzioni sospendendo altri obiettivi.
La bozza del manuale NASA sulla gestione dei guasti utilizza questi termini con funzioni e ipotesi di guasto esplicite. Tale distinzione concettuale non fornisce requisiti per le apparecchiature eoliche. Una dichiarazione priva della relativa funzione e della condizione tollerata non può stabilire che cosa continui a funzionare o a che cosa si rinunci.
03 / Significato dello stato sicuro.
L'arresto non definisce ogni condizione sicura.
Una condizione sicura è definita dai pericoli pertinenti e dalle funzioni richieste.
Una condizione sicura è definita dai pericoli pertinenti e dalle funzioni richieste. Può comportare il mantenimento di una particolare capacità anziché la semplice eliminazione di tutte le uscite. Lo stato fisico finale e i mezzi per mantenerlo sono questioni separate.
Per un sistema rotante, una potenza elettrica in uscita nulla non implica necessariamente l'assenza di movimento. Analogamente, l'indisponibilità di un'indicazione alimentata elettricamente non permette di stabilire lo stato di un freno meccanico. Queste lacune logiche spiegano perché fail-safe non dovrebbe essere tradotto automaticamente con “la perdita di alimentazione implica l'arresto”.
04 / Energia e segnali
La risposta dipende da ciò che rimane disponibile.
Una risposta può dipendere dall'energia meccanica immagazzinata, dall'alimentazione di un attuatore o da informazioni valide sullo stato.
Una risposta può dipendere dall'energia meccanica immagazzinata, dall'alimentazione di un attuatore o da informazioni valide sullo stato. Il guasto di uno di questi percorsi può modificare i comportamenti fisicamente realizzabili. Dare un nome a una risposta non crea l'energia o l'osservazione che essa richiede.
La perdita dell'osservazione e la perdita dell'azione dell'attuatore sono condizioni di guasto diverse. Proseguire con una retroazione non verificata è inoltre diverso dal proseguire con un'osservazione alternativa consolidata. Il guida alla ridondanza spiega i limiti di quel percorso informativo.
05 / Limiti delle dichiarazioni
La tolleranza si applica ai guasti e alla durata specificati.
Un progetto che tollera una classe specificata di guasti potrebbe non tollerare una causa comune che interessa più percorsi.
Un progetto che tollera una determinata classe di guasti potrebbe non tollerare una causa comune che interessa più percorsi. Anche la durata richiesta e le condizioni operative contano. Continuare a funzionare immediatamente dopo un evento è diverso dal mantenere un servizio completo a tempo indeterminato.
La risposta iniziale non garantisce il ripristino. Il guida alla macchina a stati distingue le transizioni logiche dagli effetti fisici; una dicitura di risposta non dovrebbe confondere questi esiti.
06 / Ambito del prodotto
La costruzione non dimostra il comportamento in caso di guasto.
L'imbardata elettrica è confermata per tutti gli attuali modelli MARSTON, ma qui non viene specificato il loro comportamento in seguito a una perdita di alimentazione, a un guasto della retroazione o ad altri guasti.
L'imbardata elettrica è confermata per tutti gli attuali modelli MARSTON, ma qui non viene specificato il loro comportamento dopo una perdita di alimentazione, un guasto della retroazione o altri guasti. La sola descrizione costruttiva di un freno non può stabilirne l'azione con e senza alimentazione né la risposta completa della turbina.
Non sono forniti alcuna durata di funzionamento in presenza di guasti, alcuna certificazione fail-safe, alcuna dichiarazione SIL né alcuna sequenza di protezione. Questi concetti spiegano i confini funzionali senza suggerire disconnessioni, iniezione di guasti, azionamento del freno o comandi di ripristino.
Prosegui la verifica con Sensori ridondanti: votazione, concordanza e cause comuni.
Prosegui la verifica con Macchine a stati per il controllo eolico: stato, evento di attivazione e completamento.
Prosegui la verifica con Frenatura del rotore: coppia netta, decelerazione ed energia.
Informazioni generali: Bozza del manuale NASA sulla gestione dei guasti: terminologia della tolleranza ai guasti e della risposta. Questi riferimenti spiegano concetti del settore; sono distinti dai documenti MARSTON di prodotto e di progetto applicabili.
Concetti e condizioni fondamentali.
Leggere ogni grandezza insieme al riferimento, alle unità e alle condizioni dichiarate. Una relazione generale non stabilisce un valore specifico di un modello.
| Concetto / grandezza | Significato / relazione | Condizioni / limiti |
|---|---|---|
| Guasto | Condizione sottostante anomala | Il suo effetto sul sistema dipende dai percorsi interessati. |
| Guasto | Perdita o compromissione di una funzione specifica. | I confini del componente e quelli del sistema differiscono. |
| Operativo anche in caso di guasto | Mantenimento della funzione richiesta, come specificato | La classe di guasto, le condizioni e la durata sono esplicite. |
| Sicurezza in caso di guasto | Comportamento definito che preserva obiettivi di sicurezza rilevanti. | Non è sinonimo dell'arresto di tutte le funzioni. |
| Capacità di risposta | Energia residua, percorsi di osservazione e di attuazione | Un'etichetta non può fornire le risorse mancanti. |
Domande ingegneristiche.
Fail-safe significa sempre che il rotore si arresta?
No. Il comportamento sicuro richiesto deve essere definito per il sistema reale.
Assenza di uscita elettrica significa assenza di energia meccanica?
No. La rotazione può mantenere l'energia indipendentemente dall'elettricità fornita.
Un malfunzionamento dell'osservazione equivale a un guasto dell'attuatore?
No. Influenzano percorsi diversi e possibili risposte.
La tolleranza a un singolo guasto dimostra la protezione contro tutti i guasti?
No. La tolleranza riguarda le condizioni di guasto specificate.
Il tipo di freno determina il suo comportamento in caso di perdita dell'alimentazione?
No. L'attuazione effettiva e il comportamento del sistema completo richiedono evidenze separate.
Viene formulata una dichiarazione SIL o di mantenimento dell'operatività in caso di guasto per MARSTON?
Qui non viene attribuita alcuna certificazione, sequenza di risposta o capacità.
Richiesta tecnica
Discutere la questione tecnica.
Fail-safe e fail-operational descrivono il comportamento richiesto in presenza di guasti definiti. Condividi il modello e le informazioni operative o di progettazione applicabili per una discussione tecnica.