Technologia / Poradnik techniczny
Fail-Safe i Fail-Operational: koncepcje sterowania turbiną wiatrową
Fail-safe i fail-operational opisują wymagane zachowanie w przypadku określonych awarii: odpowiednio przejście do stanu bezpiecznego i zachowanie działania. Nie określają jednej uniwersalnej reakcji fizycznej. Konstrukcja może zachować funkcję krytyczną, jednocześnie wstrzymując inną, a po utracie zasilania elektrycznego energia mechaniczna może nadal pozostawać w układzie.
Tolerowana awaria i zachowana funkcja określają zakres deklaracji.
Zrozum, co musi nadal skutecznie działać, zanim zinterpretujesz etykietę reakcji jako zatrzymanie, kontynuację lub przywrócenie działania.
01 / Usterka i awaria
Przyczyna i jej skutek funkcjonalny są różne.
Usterka dotyczy leżącego u podłoża nieprawidłowego stanu; awaria dotyczy utraty lub pogorszenia określonej funkcji.
Usterka dotyczy leżącego u podstaw nieprawidłowego stanu; awaria dotyczy utraty lub pogorszenia określonej funkcji. Ta sama usterka może mieć różne skutki na poziomie komponentu i systemu. Awaria czujnika nie oznacza automatycznie, że wszystkie inne funkcje przestały działać.
Z kolei wskazanie sugerujące sprawność urządzenia nie potwierdza, że wymagana funkcja systemu pozostaje dostępna. Rozumowanie dotyczące zarządzania awariami łączy przyczynę, informacje i skutki funkcjonalne, zamiast traktować etykietę komponentu jako pełny opis wyniku.
02 / Dwa cele
Utrzymanie pracy i zachowanie funkcji krytycznych to różne kwestie.
Fail-operational oznacza kontynuowanie wymaganego działania w określonym stanie uszkodzenia.
Fail-operational oznacza kontynuowanie wymaganego działania w określonym stanie uszkodzenia. Fail-safe dotyczy osiągnięcia lub utrzymania zdefiniowanego bezpiecznego zachowania, które może obejmować zachowanie krytycznego podzbioru funkcji przy zawieszeniu realizacji pozostałych celów.
Projekt podręcznika NASA dotyczącego zarządzania uszkodzeniami używa tych terminów w odniesieniu do wyraźnie określonych funkcji i założeń dotyczących uszkodzeń. To rozróżnienie pojęciowe nie określa wymagań dla urządzeń energetyki wiatrowej. Deklaracja bez wskazania funkcji i tolerowanego stanu nie pozwala ustalić, co jest kontynuowane, a z czego się rezygnuje.
03 / Znaczenie stanu bezpiecznego
Zatrzymanie nie jest definicją każdego bezpiecznego stanu.
Stan bezpieczny określa się na podstawie odpowiednich zagrożeń i wymaganych funkcji.
Stan bezpieczny jest określany przez odpowiednie zagrożenia i wymagane funkcje. Może wymagać utrzymania określonej zdolności zamiast prostego wyeliminowania wszelkiego sygnału lub mocy na wyjściu. Fizyczny stan końcowy i środki jego utrzymania to odrębne kwestie.
W układzie wirującym zerowa moc elektryczna na wyjściu nie musi oznaczać braku ruchu. Podobnie niedostępność wskazania zasilanego elektrycznie nie określa stanu hamulca mechanicznego. Te luki logiczne wyjaśniają, dlaczego określenia fail-safe nie należy automatycznie tłumaczyć jako „utrata zasilania oznacza zatrzymanie”.
04 / Energia i sygnały.
Reakcja zależy od tego, co pozostaje dostępne.
Reakcja może zależeć od zmagazynowanej energii mechanicznej, zasilania elementu wykonawczego lub prawidłowych informacji o stanie.
Reakcja może zależeć od zmagazynowanej energii mechanicznej, zasilania elementu wykonawczego lub prawidłowych informacji o stanie. Awaria jednej z tych ścieżek może zmienić to, jakie zachowanie jest fizycznie osiągalne. Nazwanie reakcji nie zapewnia energii ani obserwacji, których ona wymaga.
Utrata obserwacji i utrata działania elementu wykonawczego to różne stany awaryjne. Kontynuowanie pracy z niezweryfikowanym sprzężeniem zwrotnym różni się również od kontynuowania jej z ustaloną obserwacją alternatywną. przewodnik po redundancji Wyjaśnia granice tej ścieżki informacji.
05 / Zakres deklaracji
Tolerancja dotyczy określonych uszkodzeń i czasu ich trwania.
Projekt tolerujący jedną określoną klasę awarii może nie tolerować wspólnej przyczyny oddziałującej na kilka ścieżek.
Konstrukcja tolerująca jedną określoną klasę awarii może nie tolerować wspólnej przyczyny wpływającej na kilka torów. Znaczenie mają również wymagany czas działania i warunki pracy. Dalsza praca bezpośrednio po zdarzeniu różni się od utrzymywania pełnej funkcjonalności przez czas nieograniczony.
Początkowa reakcja nie gwarantuje przywrócenia działania. przewodnik po automacie stanów rozróżnia przejścia logiczne i skutki fizyczne; oznaczenie reakcji nie powinno zacierać różnic między tymi rezultatami.
06 / Zakres produktu
Konstrukcja nie przesądza o zachowaniu w razie awarii.
Elektryczny układ ustawiania gondoli względem wiatru jest potwierdzony dla wszystkich obecnych modeli MARSTON, ale nie określa się tutaj ich zachowania po utracie zasilania, awarii sprzężenia zwrotnego ani innych usterkach.
Elektryczny układ ustawiania gondoli względem wiatru jest potwierdzony dla wszystkich obecnych modeli MARSTON, ale nie określono tutaj ich zachowania po utracie zasilania, awarii sprzężenia zwrotnego ani innych usterkach. Sam opis konstrukcji hamulca nie pozwala ustalić jego działania przy zasilaniu i bez zasilania ani pełnej reakcji turbiny.
Nie podano czasu zachowania zdolności do pracy po uszkodzeniu, certyfikacji przejścia do stanu bezpiecznego w razie uszkodzenia, deklaracji poziomu SIL ani sekwencji działania zabezpieczeń. Pojęcia te wyjaśniają granice funkcjonalne bez sugerowania odłączania, celowego wprowadzania uszkodzeń, uruchamiania hamulca ani poleceń przywracania działania.
Kontynuuj przegląd, korzystając z Czujniki redundantne: głosowanie, zgodność i wspólne przyczyny.
Kontynuuj przegląd, korzystając z Automaty stanów sterowania turbinami wiatrowymi: stan, wyzwalacz i zakończenie.
Kontynuuj przegląd, korzystając z Hamowanie wirnika: wypadkowy moment obrotowy, opóźnienie i energia.
Informacje ogólne: Projekt podręcznika NASA dotyczącego zarządzania uszkodzeniami: terminologia tolerancji na uszkodzenia i reagowania na nie. Źródła wyjaśniają koncepcje branżowe; są odrębne od właściwych dokumentów produktów i projektów MARSTON.
Kluczowe pojęcia i warunki.
Odczytuj każdą wielkość wraz z odniesieniem, jednostkami i podanymi warunkami. Ogólna zależność nie ustala wartości właściwej modelowi.
| Pojęcie / wielkość | Znaczenie / zależność | Warunki / ograniczenia |
|---|---|---|
| Usterka | Nieprawidłowy stan leżący u podstaw zdarzenia | Wpływ na system zależy od tego, których ścieżek dotyczy. |
| Awaria | Utrata lub osłabienie danej funkcji. | Granice komponentów i systemów różnią się. |
| Zachowanie zdolności działania po awarii | Określone dalsze pełnienie wymaganej funkcji | Klasa awarii, warunki oraz czas trwania są jasno określone. |
| Bezpieczeństwo w razie uszkodzenia | Określone zachowanie zachowujące odpowiednie cele bezpieczeństwa | Nie oznacza tego samego co zatrzymanie każdej funkcji. |
| Zdolność do reagowania. | Pozostała energia oraz tory obserwacji i elementów wykonawczych | Etykieta nie może zapewnić brakujących zasobów. |
Pytania techniczne.
Czy „fail-safe” zawsze oznacza, że wirnik się zatrzymuje?
Nie. Jego wymagane bezpieczne zachowanie należy określić dla rzeczywistego systemu.
Czy brak oddawania energii elektrycznej oznacza brak energii mechanicznej?
Nie. Energia może pozostawać zgromadzona w ruchu obrotowym niezależnie od dostarczanej energii elektrycznej.
Czy niesprawność toru obserwacji oznacza to samo co niesprawność elementu wykonawczego?
Nie. Mają wpływ na różne ścieżki i możliwe reakcje.
Czy tolerowanie jednego uszkodzenia potwierdza ochronę przed wszystkimi uszkodzeniami?
Nie. Tolerancja uszkodzeń odnosi się do określonych warunków awarii.
Czy typ hamulca określa jego działanie przy zaniku zasilania?
Nie. Rzeczywiste zadziałanie i zachowanie całego systemu wymagają odrębnych dowodów.
Czy sformułowano deklarację dotyczącą poziomu SIL lub zdolności do dalszej pracy po awarii dla MARSTON?
Żadne certyfikaty, sekwencje odpowiedzi ani możliwości nie są tutaj przypisane.
Zapytanie techniczne
Omów zagadnienie techniczne.
Przejście do stanu bezpiecznego w razie awarii oraz zachowanie zdolności do działania mimo awarii opisują wymagane zachowanie przy określonych uszkodzeniach. Udostępnij model oraz odpowiednie informacje eksploatacyjne lub projektowe do omówienia kwestii inżynierskich.