Chapitre I : Introduction et bibliographie
4 Tissus vivants : généralités et histologie
5.3 Modélisation du comportement mécanique des tissus vivants
Como introduzido anteriormente, este teste corresponde à simulação de falhas em sen- sores e atuadores do sistema. Esperava-se que os CLPs, na forma como foram programados e dispostos, fossem capazes de conduzir a operação da planta e identificar o defeito injetado no sistema via software emulador. A Figura 33 mostra o recurso de simulação de falhas. O ícone de exclamação próximo a sensores e atuadores no canto direito da tela indica que os elementos estão em falha, ou seja, desconectados do sistema. Assim, a leitura do sensor em falha é “zero”.
Figura 33 – Injeção de falhas em sensores e atuadores do sistema através do emulador de processos.
Fonte: Autoria própria.
Alguns cenários de teste foram escolhidos para verificar o funcionamento da planta. Os elementos em falha e os resultados da simulação estão indicados na Tabela 12.
Tabela 12 – Tabela de situações de falha na planta simulados para avaliação do método de detecção de falhas por watchdogs.
Ensaio Componente em falha Subsistema do componente em falha Subsistema em falha indicado pelo CLP de Supervisão Concordância do resultado com o algoritmo em RdP
Ensaio 1 Atuador 1 Subsistema 1 Subsistema 1 Sim Ensaio 2 Sensor 6 Subsistema 2 Subsistema 2 Sim Ensaio 3 Atuador 4 Subsistema 2 Subsistema 2 Sim Ensaio 4 Sensor 5 Subsistema 2 Subsistema 2 Sim Ensaio 5 Sensor 8 Subsistema 4 Nenhuma falha
identificada Sim Ensaio 6 Atuador 5 Subsistema 4 Subsistema 4 Sim
Fonte: Autoria própria.
Nota-se que na maior parte dos testes, o CLP de Supervisão indicou corretamente o subsistema em que a falha estava localizada. Isto indica que a metodologia de detecção de falhas por temporização é uma alternativa viável para detecção de falhas em SEDs e colabora para o aumento da segurança dos sistemas de automação. Os testes realizados, porém, apontaram uma fragilidade do método de detecção de falhas por (watchdogs).
Quando o componente em falha é um sensor que inicia a contagem, o watchdog não é capaz de detectar esta falha. Uma vez que o temporizador não é iniciado, não há estouro e logo não há detecção. Nota-se que o resultado é concordante com a RdP, mas a falha não foi detectada. Neste caso específico, os sensores que iniciam a contagem dos temporizadores são majoritariamente os responsáveis por habilitar os atuadores na lógica de controle. Desta forma,
se este sensor não é acionado por conta de uma falha, logo o atuador correspondente também não é habilitado e assim o sistema permanece em estado seguro (parado), não apresentando risco para equipamentos ou operadores. Porém, esta limitação do método deve ser avaliada caso a caso para que se garanta a manutenção de um estado seguro.
Uma possibilidade de correção deste problema seria a duplicação (redundância) de sen- sores nos pontos de “disparo”, o que possibilitaria a comparação constante das leituras de am- bos. Desta forma, quando as leituras forem discordantes, tem-se que um deles está em falha. Observa-se no entanto que o uso de elementos adicionais acarreta em aumento de custo de im- plementação.
Outra possibilidade é o uso de watchdogs com maior abrangência. Neste ensaio foram implementados apenas temporizadores para medir o tempo entre dois sensores consecutivos, entre os quais apenas um atuador deve funcionar. Poderiam ser implementados temporizadores que medissem, por exemplo, o tempo entre o Sensor 1 e o Sensor 6 da planta, sendo que dois atuadores estariam em ação durante a contagem do tempo. Isto reduz a precisão da identificação do ponto da falha, mas, se utilizado em conjunto com os temporizadores consecutivos propostos inicialmente, ajudaria no caso de uma falha do Sensor 3, que é um sensor de disparo, logo não seria identificada a princípio.
Uma possibilidade mais radical seria o uso de um watchdog global que medisse o tempo de processamento de uma caixa desde o Sensor 1 até os Sensores 9 ou 10 (de acordo com o ta- manho da caixa). Este tipo de temporizador não teria sozinho a capacidade de indicar o local da falha, entretanto estaria apto a identificar qualquer falha ocorrida no meio do processo, salvo a falha no sensor de disparo (Sensor 1), como já foi discutido. Entretanto, este tipo de medi- ção acarreta uma perda de desempenho na planta, uma vez que não haveria como processar simultaneamente duas caixas no intervalo entre os Sensores 1 e 9 ou 1 e 10, porque haveria reinicialização dos temporizadores.
4.2 TESTE DE MASCARAMENTO DE FALHAS
Este teste teve por finalidade mostrar que a planta permaneceria operante mesmo na incidência de um erro com o CLP principal. Na primeira etapa deste teste, a fonte do CLP de aplicação foi desligada, provocando o desligamento de todos os módulos.
Na segunda etapa o CLP foi induzido ao modo de erro por meio do desligamento do suprimento de energia do módulo Ethernet. Isto causa o congelamento do barramento de saídas e, por conseguinte, o estouro do timer de monitoramento do CLP redundante, que deve assumir o controle do barramento.
Esperava-se que em ambos os casos o CLP redundante assumisse o comando da planta, passando a controlar seus atuadores. Também deveria desligar o suprimento de energia do barra- mento de saídas do CLP principal para evitar que saídas bloqueadas interferissem no andamento
do processo.
Nesta etapa os watchdogs utilizados anteriormente foram mantidos em funcionamento para verificar se a alternância de comando é rápida o suficiente para não forçar o disparo dos temporizadores.
A Tabela 13 indica os resultados obtidos nos dois cenários de teste.
Tabela 13 – Tabela de síntese dos testes e resultados obtidos quanto ao mascaramento de falhas no sistema de automação.
Ensaio Falha simulada Alternância de comando Acionamento do relé de alimentação do CLP principal Disparo de watchdogs Ensaio 1 Desligamento do CLP
principal Sim Sim Não
Ensaio 2 Estado de erro forçado
no CLP principal Sim Sim Não
Fonte: Autoria própria.
Nota-se que o método de mascaramento de falhas adotado apresentou resultados posi- tivos, mostrando-se capaz de efetuar a alternância de comando da planta e mantendo o funci- onamento normal do sistema. Observa-se, entretanto, que a implementação deste método está baseada na troca de informações via barramento de E/S. Embora a princípio não haja problemas quanto a isso, tem-se por desvantagem a perda de 1 bit de saída do CLP principal e 1 bit de entrada do CLP redundante. Há a possibilidade de superar esta limitação com o uso de redes industriais.
O uso de redes PROFIBUS é comum em aplicações industriais com essa finalidade. O uso de um CLP mestre permite que os barramentos de E/S sejam distribuídos ao longo da planta de automação. Os escravos da rede possuem módulos de E/S (chamados de E/S Remotos), que são conectados aos instrumentos de campo. As leituras das entradas são repassadas para o mestre, que realiza o processamento dos dados e envia os comandos de saída para os módulos remotos.
O diagnóstico de falhas nos módulos remotos é facilitado pelas instruções de comuni- cação utilizadas pelos instrumentos na rede. Existem mensagens predefinidas pelos fabricantes que indicam a ocorrência e, em alguns casos, indicam também o motivo da falha. Isto favorece o diagnóstico e a manutenção de bases de dados para o levantamento das causas mais frequentes de falhas no sistema.
O uso da rede industrial se tornaria viável neste trabalho se houvesse a disponibilidade de escravos PROFIBUS que permitissem a inserção de barramentos de E/S remotos no sistema. São possíveis muitas formas de combinar estes equipamentos de forma a obter maior tolerância a falhas. A seguir alguns exemplos de aplicações são discutidos. O primeiro, apresentado na Figura 34 corresponde a um arranjo com redundância de escravos, onde o mestre pode identificar um escravo em falha e passar a utilizar o redundante para controlar o sistema.
Figura 34 – Esquemático de rede industrial PROFIBUS com redundância de escravos. Fonte: Adaptado de (SINGH; CHARY; RAHMAN, 2014).
A segunda possibilidade é um sistema com redundância de mestre PROFIBUS mos- trado na Figura 35. Com dois mestres, criam-se duas redes idênticas ligadas à mesma UCP. Caso um dos escravos entre em falha, a própria UCP pode passar a se utilizar do outro, que está ligado a outra rede sem necessidade de lógica adicional como o pulso periódico.
Figura 35 – Esquemático de rede industrial PROFIBUS com redundância de mestre. Fonte: Adaptado de (SINGH; CHARY; RAHMAN, 2014).
Uma terceira alternativa é uma rede com redundância de UCP, apresentada na Figura 36. Duas UCPs são ligadas, cada uma com um mestre e um escravo PROFIBUS próprios, novamente formando duas redes idênticas. Entretanto, neste caso seria necessária uma lógica de sincronia (tal como o pulso periódico) para garantir a exclusão mútua entre os processadores.
Figura 36 – Esquemático de rede industrial PROFIBUS com redundância de UCP. Fonte: Adaptado de (SINGH; CHARY; RAHMAN, 2014).
5 CONCLUSÕES
Neste trabalho foi apresentada a implementação de uma plataforma remota de detecção e mascaramento de falhas. A principal meta deste trabalho foi abordar o problema da detecção e mascaramento de falhas em sistemas de automação industrial, utilizando para isso estratégias implementáveis em CLPs e redes de comunicação industrial. A plataforma proposta dispõe de recursos que possibilitam a exploração de diversas estratégias para o desenvolvimento de siste- mas tolerantes a falhas.
Os CLPs podem ser utilizados em aplicações paralelas, redundantes ou como elementos de supervisão. A rede industrial PROFIBUS amplia as possibilidades de comunicação entre os controladores, conferindo potencial de expansão do número de entradas e saídas através da inserção de barramentos de E/S remotos. As mensagens de diagnóstico dos escravos são fontes de dados para o gerenciamento do sistema de automação e facilitam a correção de eventuais problemas.
O uso da rede Ethernet baseada em TCP/IP confere ao sistema a capacidade de ser acessado remotamente, como apresentado em Rolle et al. (2016). Os estados dos CLPs podem ser acessados na rede local, que pode ser conectada à Internet com o acréscimo de infraestrutura de informática adequada. Cada CLP dispõe de um servidor web integrado, que pode ser utilizado para criação de telas de supervisão, viabiliza a intervenção remota no sistema (acionamento remoto de um comando, por exemplo) e permite a implementação de bancos de dados para o armazenamento de logs, históricos de alarmes e outros dados de processo.
O estudo de caso desenvolvido neste trabalho ilustrou a utilização da plataforma. Foi implementada uma arquitetura mista, com o uso de dois CLPs voltados para o controle da planta industrial e um CLP de supervisão da evolução dos estados da planta. O CLP de supervisão im- plementou o método de detecção de falhas através de watchdogs, temporizadores que verificam se os estados da planta evoluem conforme o esperado. Os CLPs destinados ao controle foram ligados num arranjo de redundância hot-standby. O CLP principal é responsável por coman- dar a planta, enquanto o redundante deve assumir o comando do barramento apenas quando o principal entrar em falha.
A coordenação dos CLPs principal e redundante foi realizada por meio de um pulso de sincronização enviado do CLP principal para o redundante. Ocorrendo uma falha no CLP principal, o redundante detecta a parada do pulso de sincronização, desliga o suprimento de energia do CLP principal comutando um relé posicionado para esta finalidade e passa a enviar comandos elétricos para os atuadores do barramento. O relé foi utilizado para evitar que saídas do CLP em falha permanecessem ativadas, atrapalhando a continuidade do processo.
A validação das estratégias implementadas foi realizada por meio de experimentos com injeção de falhas no sistema, tanto nos instrumentos da planta como nos CLPs. A modelagem através de Rede de Petri serviu como base para a validação da estratégia de detecção de falhas, constatando a corretude das indicações de subsistemas em falha feitas pelo CLP de supervisão.
Os watchdogs foram utilizados também para validar a estratégia de mascaramento de falhas. A detecção de um problema no CLP principal e a troca de comando ocorreram em tempo curto o bastante para não provocar o estouro dos watchdogs. Isto indica eficiência da estratégia de coordenação dos CLPs e demonstra que as duas estratégias podem ser utilizadas em conjunto, conferindo ao sistema tolerância tanto a falhas de instrumentos como a falhas de controladores. Neste trabalho foram utilizados três CLPs por questões de validação, porém as estra- tégias poderiam estar incluídas num único controlador. Bastaria que, num mesmo CLP, fosse implementada a lógica de controle do sistema, os temporizadores e o mecanismo de redun- dância. Seriam necessários barramentos adicionais de entrada e saída ou escravos redundantes PROFIBUS para a implementação da redundância. Do ponto de vista da detecção de falhas, não haveria prejuízo com tal mudança. Entretanto, do ponto de vista do mascaramento de fa- lhas, seria necessário rever a questão das quedas de energia pois, uma vez que não há mais dois CLPs alimentados independentemente, este CLP único deve receber atenção especial quanto à alimentação, seja pelo uso de no-breaks ou quaisquer outras formas de suprimento emergencial de energia.
Para trabalhos futuros, sugere-se a inserção de escravos PROFIBUS no sistema. Estes possibilitariam a implementação de estratégias diferentes sobretudo quanto ao mascaramento de falhas. Algumas das alternativas possíveis com estes dispositivos foram discutidas no capítulo anterior, das quais se destaca a redundância de módulos escravos e redes PROFIBUS, de forma a minimizar as possibilidades de perda de controle do sistema, como mostrado por Singh, Chary e Rahman (2014).
REFERÊNCIAS
BARBOSA, H. A. Detecção de intrusão em redes de automação industrial. Monografia de
Especialização, 2006.
BOLTON, W. Programmable Logic Controllers. [S.l.]: Newnes, 2009. CARDOSO, J.; VALETTE, R. Redes de Petri. [S.l.]: Editora da UFSC, 1997.
CASSANDRAS, C. G.; LAFORTUNE, S. Introduction to discrete event systems. [S.l.]: Springer Science & Business Media, 2009.
CASTRUCCI, P. d. L.; MORAES, C. d. Engenharia de automação industrial. Rio de Janeiro:
LTC, 2001.
CHEN, X. et al. A newly developed safety-critical computer system for china metro. Intelligent
Transportation Systems, IEEE Transactions on, IEEE, v. 14, n. 2, p. 709–719, 2013.
CURY, J. E. R. Teoria de controle supervisório de sistemas a eventos discretos. V Simpósio
Brasileiro de Automação Inteligente (Minicurso), 2001.
DAVID, R. Grafcet: A powerful tool for specification of logic controllers. Control Systems
Technology, IEEE Transactions on, IEEE, v. 3, n. 3, p. 253–268, 1995.
DRAGFFY, G. The design of a highly reliable safety critical emergency shutdown system.
Reliability Engineering & System Safety, Elsevier, v. 61, n. 3, p. 215–227, 1998.
FRANCHI, C.; CAMARGO, V. Controladores lógicos programáveis–1a edição. São Paulo:
Érica, 2008.
JÚNIOR, R. S. Diagnóstico e tratamento de falhas críticas em sistemas instrumentados de
segurança. Tese (Doutorado) — Universidade de São Paulo, 2011.
KOREN, I.; KRISHNA, C. M. Fault-tolerant systems. [S.l.]: Morgan Kaufmann, 2010. MADUREIRA, L. Desenvolvimento de uma plataforma didática para controladores
lógicos programáveis. Trabalho de conclusão de curso, 2011.
MAINARDES, R. Integração de inversores de frequência na arquitetura de um sistema
digital de controle distribuído. Trabalho de conclusão de curso, 2016.
MOLINA, F. et al. Using industrial standards on plc programming learning. In: IEEE. Control
& Automation, 2007. MED’07. Mediterranean Conference on. [S.l.], 2007. p. 1–6.
MONIRUZZAMAN, M.; GOHARI, P. Implementing supervisory control maps with plc. In: IEEE. American Control Conference, 2007. ACC’07. [S.l.], 2007. p. 3594–3599.
PRADHAN, D. K. Fault-tolerant computer system design. [S.l.]: Prentice-Hall, Inc., 1996. RAMADGE, P. J.; WONHAM, W. M. The control of discrete event systems. Proceedings of
the IEEE, IEEE, v. 77, n. 1, p. 81–98, 1989.
ROLLE, R. P. et al. Remote laboratory for plc training. In: Congresso Brasileiro de
RONQUI, L. A. P. d. S. Laboratório remoto de automação para aprendizagem de conceitos
de redes de Petri. Dissertação de Mestrado, 2015.
SALLAK, M.; SIMON, C.; AUBRY, J.-F. A fuzzy probabilistic approach for determining safety integrity level. Fuzzy Systems, IEEE Transactions on, IEEE, v. 16, n. 1, p. 239–248, 2008.
SINGH, S.; CHARY, V. M.; RAHMAN, P. A. Dual redundant profibus network architecture in hot standby fault tolerant control systems. In: IEEE. Advances in Engineering and
Technology Research (ICAETR), 2014 International Conference on. [S.l.], 2014. p. 1–5.
VELAGIC, J. et al. Networked based control and supervision of induction motor using opc server and plc. In: IEEE. ELMAR, 2011 Proceedings. [S.l.], 2011. p. 251–255.
WEBER, T. S. Um roteiro para exploração dos conceitos básicos de tolerância a falhas.
APÊNDICE A – LISTA DE INSTRUMENTOS DE ENTRADA E SAÍDA
As Tabelas 14 e 15 apresentam as Listas de Instrumentos de Entrada e Saída, respecti- vamente, da planta industrial Sorting emulada no software ITS PLC Professional Edition.
Tabela 14 – Lista de instrumentos de entrada da planta industrial Sorting. Nome Subsistema Observação
Sensor 0 1
Sensor 1 1
Sensor 2 1 Se a caixa é grande, S2=1
Sensor 3 1
Sensor 4 2
Se a esteira rotativa está alinhada com o Subsistema 1, S4=1; caso esteja alinhada com os Subsistemas 3 e 4, S4=0.
Sensor 5 2
Se a esteira rotativa está alinhada com o Subsistema 1, S5=0; caso esteja alinhada com os Subsistemas 3 e 4, S5=1.
Sensor 6 2 Se há caixa no fim da esteira rotativa, S6=1.
Sensor 7 3
Se há caixa saindo da esteira rotativa e entrando no Subsistema 3, S7=1.
Sensor 8 4
Se há caixa saindo da esteira rotativa e entrando no Subsistema 4, S8=1.
Sensor 9 3
Sensor 10 4
Tabela 15 – Lista de instrumentos de saída da planta industrial Sorting. Nome Subsistema Observação
Atuador 0 1 Atuador 1 1
Atuador 2 2
Permite o posicionamento das caixas sobre a esteira rotativa, girando roletes para a frente.
Atuador 3 2
Permite o posicionamento das caixas sobre a esteira rotativa, girando roletes para trás.
Atuador 4 2 Realiza o movimento de rotação da esteira rotativa.
Atuador 5 4 Atuador 6 3
APÊNDICE B – PARAMETRIZAÇÃO DOS CLPS E IMPLEMENTAÇÃO DAS ESTRATÉGIAS DE DETECÇÃO E MASCARAMENTO DE FALHAS
Neste Apêndice são apresentados os passos de implementação do sistema de detecção e mascaramento de falhas utilizando os CLPs Altus série Ponto disponíves na plataforma de testes e ensaios.
O diagrama elétrico básico da implementação é apresentado na Figura 37.
Figura 37 – Esquema elétrico utilizado na conexão dos CLPs e barramento de entradas e saídas.
Fonte: Autoria própria.
O passo comum para todos os CLPs é a declaração dos módulos presentes no barra- mento através da ferramenta MasterTool ProPonto (Figura 38).
Figura 38 – Declaração dos módulos ligados à UCP. Fonte: (MADUREIRA, 2011).
O passo seguinte é realizar a configuração dos parâmetros do sistema. A configuração do endereço IP deve ser realizada para possibilitar a conexão à rede local (Figura 39). Caso seja utilizada a rede PROFIBUS, a configuração deve ser feita no aplicativo PROFItool.
Figura 39 – Janela de configuração dos parâmetros do CLP. Fonte: (MADUREIRA, 2011).