O que um watchdog do controlador comprova e o que deixa sem ensaio?

Resposta direta

Um watchdog pode detectar uma falha definida de atualização ou execução, mas não comprova que todos os cálculos de controle, sensores ou dispositivos de saída funcionam corretamente. Sua cobertura depende do evento monitorado e da resposta configurada.

Entender a decisão sobre a interface

Um sinal periódico de atividade saudável pode coexistir com uma lógica incorreta ou um atuador com falha. A perda de alimentação também pode produzir comportamento diferente de um tempo limite excedido do watchdog. Portanto, o projeto deve identificar exatamente o que está sendo supervisionado e evitar tratar o watchdog como uma demonstração completa da segurança do sistema.

O desempenho do controle depende do significado dos sinais, da temporização e dos limites operacionais aprovados. Mantenha a otimização normal separada das restrições de proteção e identifique qual função é responsável por cada decisão. A documentação da turbina e do controlador selecionados deve definir os ajustes reais.

Registrar estas informações na revisão

Use uma planilha específica do projeto para registrar as informações seguintes. Em cada item, indique o documento, a revisão e a pessoa responsável por resolver qualquer incerteza.

A tarefa, a comunicação ou o evento de atualização monitorado pelo watchdog. Identifique a configuração exata e o documento de apoio.
A base do tempo limite e as condições pertinentes de execução ou rede. Mantenha as premissas de projeto visíveis no registro do projeto.
Os estados físicos das saídas após a falha detectada. Indique o revisor responsável e resolva as informações pendentes.
Outras falhas que exigem diagnósticos ou medidas de proteção separados. Especifique como este item será verificado durante a aceitação.

Definir o escopo de aceitação

Aceite a função watchdog por meio de um ensaio que crie a falha que ela afirma detectar. Verifique o comportamento resultante do hardware, além da indicação do software. Não presuma que uma reinicialização do controlador sempre estabeleça o estado de proteção pretendido da turbina.

O registro deve declarar qual falha foi induzida e quais funções permaneceram fora do ensaio. Isso torna as evidências do watchdog utilizáveis sem ampliar um resultado diagnóstico restrito para uma alegação mais abrangente de confiabilidade ou segurança.