Tecnologia / Guia técnico
Fail-Safe e Fail-Operational: conceitos de controle de turbinas eólicas
Fail-safe e fail-operational descrevem o comportamento exigido diante de falhas definidas. Eles não identificam uma única resposta física universal. Um projeto pode preservar uma função crítica enquanto suspende outra, e a perda de alimentação elétrica pode deixar energia mecânica presente.
A falha tolerada e a função preservada definem a alegação.
Entenda o que deve permanecer eficaz antes de interpretar uma designação de resposta como parar, continuar ou recuperar.
01 / Defeito e falha
Causa e efeito funcional são diferentes.
Um defeito diz respeito a uma condição anormal subjacente; uma falha diz respeito à perda ou ao comprometimento de uma função definida.
Um defeito diz respeito a uma condição anormal subjacente; uma falha diz respeito à perda ou ao comprometimento de uma função definida. O mesmo defeito pode ter efeitos diferentes nos níveis de componente e de sistema. Um sensor que falhou não significa automaticamente que todas as outras funções cessaram.
Por outro lado, uma indicação de que um dispositivo está em boas condições não permite estabelecer que a função exigida do sistema permanece disponível. O raciocínio de gestão de falhas conecta a causa, as informações e a consequência funcional, em vez de tratar um rótulo de componente como o resultado completo.
02 / Dois objetivos
Manter o serviço e preservar as funções críticas são coisas distintas.
Fail-operational descreve a continuidade da operação requerida durante uma condição de falha especificada.
Fail-operational descreve a continuidade da operação requerida durante uma condição de falha especificada. Fail-safe diz respeito a alcançar ou manter o comportamento seguro definido, que pode preservar um subconjunto crítico de funções enquanto suspende outros objetivos.
A versão preliminar do manual de gerenciamento de falhas da NASA usa esses termos com funções e premissas de falha explícitas. Essa distinção conceitual não fornece requisitos para equipamentos eólicos. Uma alegação sem sua função e a condição tolerada não permite estabelecer o que continua ou do que se abre mão.
03 / Significado de estado seguro.
A parada não define todas as condições seguras.
Uma condição segura é definida pelos perigos relevantes e pelas funções exigidas.
Uma condição segura é definida pelos perigos relevantes e pelas funções exigidas. Ela pode envolver a manutenção de uma capacidade específica em vez de simplesmente eliminar toda a saída. O estado físico final e os meios de sustentá-lo são questões distintas.
Em um sistema rotativo, uma saída elétrica nula não significa necessariamente ausência de movimento. Da mesma forma, a indisponibilidade de uma indicação alimentada eletricamente não estabelece o estado de um freio mecânico. Essas lacunas lógicas explicam por que o termo fail-safe não deve ser traduzido automaticamente como “falta de energia significa parado”.
04 / Energia e sinais.
Uma resposta depende do que permanece disponível.
Uma resposta pode depender de energia mecânica armazenada, de uma alimentação para o atuador ou de informações de estado válidas.
Uma resposta pode depender de energia mecânica armazenada, da alimentação de um atuador ou de informações de estado válidas. A falha de um desses caminhos pode alterar qual comportamento é fisicamente possível. Dar um nome a uma resposta não cria a energia ou a observação que ela exige.
A perda de observação e a perda de ação do atuador são condições de falha diferentes. Continuar com realimentação não verificada também difere de continuar com uma observação alternativa estabelecida. O guia de redundância explica os limites desse caminho de informação.
05 / Limite da alegação
A tolerância se aplica a falhas declaradas e à duração.
Um projeto que tolera uma classe especificada de falhas pode não tolerar uma causa comum que afete vários caminhos.
Um projeto que tolera uma classe de falha especificada pode não tolerar uma causa comum que afete vários caminhos. A duração exigida e as condições de operação também importam. Continuar operando imediatamente após um evento é diferente de manter um serviço completo indefinidamente.
A recuperação não é garantida pela resposta inicial. O guia de máquina de estados distingue as transições lógicas dos efeitos físicos; uma designação de resposta não deve confundir esses resultados.
06 / Escopo do produto
A construção não estabelece um comportamento de falha.
A orientação elétrica da nacele está confirmada para todos os modelos atuais da MARSTON, mas seu comportamento após perda de alimentação, falha de realimentação ou outras falhas não é definido aqui.
A orientação elétrica da nacele é confirmada para todos os modelos atuais da MARSTON, mas seu comportamento após perda de alimentação, falha de realimentação ou outras falhas não é definido aqui. A descrição da construção de um freio, por si só, não permite estabelecer sua ação quando energizado ou desenergizado, nem a resposta completa da turbina.
Não são fornecidas duração de operação em caso de falha, certificação de segurança em caso de falha, alegação de SIL ou sequência de proteção. Esses conceitos explicam os limites funcionais sem sugerir desconexão, injeção de falhas, acionamento do freio ou comandos de recuperação.
Continue a análise com Sensores Redundantes: Votação, Concordância e Causas Comuns.
Continue a análise com Máquinas de estados do controle eólico: estado, gatilho e conclusão.
Continue a análise com Frenagem do rotor: torque resultante, desaceleração e energia.
Contexto geral: Minuta do manual de gerenciamento de falhas da NASA: tolerância a falhas e terminologia de resposta. Essas referências explicam conceitos do setor; elas são distintas dos documentos aplicáveis de produto e projeto da MARSTON.
Conceitos-chave e condições.
Interprete cada grandeza com sua referência, unidades e condições declaradas. Uma relação geral não estabelece um valor específico de um modelo.
| Conceito / grandeza | Significado / relação | Condições / limites |
|---|---|---|
| Defeito. | Condição anormal subjacente. | Seu efeito no sistema depende dos caminhos afetados. |
| Falha. | Perda ou comprometimento de uma função específica. | Os limites de componentes e sistemas são diferentes. |
| Mantém a operação em caso de falha | Continuidade especificada da função requerida | A classe de falha, as condições e a duração são especificados. |
| Segurança em caso de falha | Comportamento definido, preservando objetivos de segurança relevantes. | Não significa que todas as funções param. |
| Capacidade de resposta. | Energia remanescente, vias de observação e de atuação | Um rótulo não pode fornecer os recursos que faltam. |
Questões de engenharia.
Um comportamento seguro em caso de falha sempre significa que o rotor para?
Não. O comportamento seguro necessário deve ser definido para o sistema real.
A ausência de saída elétrica significa a ausência de energia mecânica?
Não. A rotação pode reter energia independentemente da eletricidade fornecida.
Uma falha na observação é o mesmo que uma falha no atuador?
Não. Eles afetam diferentes caminhos e possíveis respostas.
Tolerar uma falha estabelece proteção contra todas as falhas?
Não. A tolerância está associada às condições de falha especificadas.
O tipo de freio determina sua atuação em caso de perda de alimentação elétrica?
Não. A ativação real e o comportamento do sistema completo precisam de evidências separadas.
É feita alguma alegação de SIL ou de manutenção da operação após uma falha para a MARSTON?
Nenhuma certificação, sequência de resposta ou capacidade é atribuída aqui.
Consulta técnica
Discuta a questão técnica.
Fail-safe e fail-operational descrevem o comportamento exigido sob falhas definidas. Compartilhe o modelo e as informações aplicáveis de operação ou projeto para uma discussão de engenharia.