6.5: Diseño a prueba de fallas

Los circuitos lógicos, ya sean compuestos por relés electromecánicos o puertas de estado sólido, se pueden construir de muchas maneras diferentes para realizar las mismas funciones. Por lo general, no hay una forma “correcta” de diseñar un circuito lógico complejo, pero generalmente hay formas que son mejores que otras.

En los sistemas de control, la seguridad es (o al menos debería ser) una prioridad de diseño importante. Si hay múltiples formas en las que se puede diseñar un circuito de control digital para realizar una tarea, y una de esas formas pasa a tener ciertas ventajas en seguridad sobre las demás, entonces ese diseño es el mejor para elegir.

Echemos un vistazo a un sistema simple y consideremos cómo podría implementarse en la lógica de relevos. Supongamos que un gran laboratorio o edificio industrial se va a equipar con un sistema de alarma contra incendios, activado por cualquiera de los varios interruptores de enclavamiento instalados en toda la instalación. El sistema debe funcionar para que la sirena de alarma se energice si se acciona alguno de los interruptores. A primera vista, parece que la lógica del relé debería ser increíblemente simple: solo use contactos de interruptor normalmente abiertos y conéctelos todos en paralelo entre sí:

Esencialmente, esta es la función lógica OR implementada con cuatro entradas de conmutación. Podríamos expandir este circuito para incluir cualquier número de entradas de switch, cada nuevo switch se agrega a la red paralela, pero lo limitaré a cuatro en este ejemplo para mantener las cosas simples. En todo caso, es un sistema elemental y parece haber pocas posibilidades de problemas.

Excepto en caso de fallo de cableado, es decir. La naturaleza de los circuitos eléctricos es tal que las fallas “abiertas” (contactos de interruptor abiertos, conexiones de cable rotas, bobinas de relé abiertas, fusibles soplados, etc.) son estadísticamente más probables que cualquier otro tipo de falla. Con eso en mente, tiene sentido diseñar un circuito para que sea lo más tolerante posible a tal falla. Supongamos que una conexión de cable para el Switch #2 iba a fallar al abrirse:

Si se produjera esta falla, el resultado sería que el Interruptor #2 ya no activaría la sirena si se accionara. Esto, obviamente, no es bueno en un sistema de alarma contra incendios. A menos que el sistema fuera probado regularmente (una buena idea de todos modos), nadie sabría que había un problema hasta que alguien intentara usar ese interruptor en caso de emergencia.

¿Y si el sistema fuera rediseñado para hacer sonar la alarma en caso de una falla abierta? De esa manera, una falla en el cableado resultaría en una falsa alarma, un escenario mucho más preferible que el de tener un interruptor fallar silenciosamente y no funcionar cuando sea necesario. Para lograr este objetivo de diseño, tendríamos que volver a cablear los interruptores para que un contacto abierto hiciera sonar la alarma, en lugar de un contacto cerrado. Siendo ese el caso, los interruptores tendrán que estar normalmente cerrados y en serie entre sí, alimentando una bobina de relé que luego activa un contacto normalmente cerrado para la sirena:

Cuando todos los interruptores están inactivados (el estado de funcionamiento regular de este sistema), el relé CR ₁ se energizará, manteniendo así el contacto CR ₁ abierto, evitando que la sirena sea alimentada. Sin embargo, si alguno de los interruptores es accionado, el relé CR ₁ se desenergizará, cerrando el contacto CR ₁ y haciendo sonar la alarma. Además, si hay una interrupción en el cableado en cualquier parte del peldaño superior del circuito, sonará la alarma. Cuando se descubra que la alarma es falsa, los trabajadores de la instalación sabrán que algo falló en el sistema de alarma y que necesita ser reparado.

Concedido, el circuito es más complejo de lo que era antes de la adición del relé de control, y el sistema aún podría fallar en el modo “silencioso” con una conexión rota en el peldaño inferior, pero sigue siendo un diseño más seguro que el circuito original, y por lo tanto preferible desde el punto de vista de la seguridad.

Este diseño de circuito se conoce como a prueba de fallas, debido a su diseño previsto para predeterminado al modo más seguro en caso de una falla común, como una conexión rota en el cableado del interruptor. El diseño a prueba de fallas siempre comienza con una suposición sobre el tipo más probable de falla de cableado o componente y luego trata de configurar las cosas para que tal falla haga que el circuito actúe de la manera más segura, estando determinada la “forma más segura” por las características físicas del proceso.

Tomemos, por ejemplo, una válvula accionada eléctricamente (solenoide) para encender el agua de refrigeración en una máquina. Al energizar la bobina del solenoide se moverá una armadura que luego abre o cierra el mecanismo de la válvula, dependiendo del tipo de válvula que especifiquemos. Un resorte devolverá la válvula a su posición “normal” cuando el solenoide esté desenergizado. Ya sabemos que una falla abierta en el cableado o bobina solenoide es más probable que una falla corta o cualquier otro tipo de falla, por lo que debemos diseñar este sistema para que esté en su modo más seguro con el solenoide desenergizado.

Si se trata de agua de refrigeración que estamos controlando con esta válvula, lo más probable es que sea más seguro tener el agua de refrigeración encendida en caso de falla que apagarla, las consecuencias de que una máquina funcione sin refrigerante suelen ser severas. Esto significa que debemos especificar una válvula que se encienda (se abra) cuando se desenergiza y se apague (se cierre) cuando esté energizada. Esto puede parecer “al revés” tener la válvula instalada de esta manera, pero al final hará que el sistema sea más seguro.

Una aplicación interesante del diseño a prueba de fallas es en la industria de generación y distribución de energía, donde los disyuntores grandes necesitan ser abiertos y cerrados por señales de control eléctrico de relés de protección. Si un relé 50/51 (instantánea y sobrecorriente de tiempo) va a ordenar a un disyuntor que se dispare (abra) en caso de corriente excesiva, debemos diseñarlo de manera que el relé cierre un contacto de interruptor para enviar una señal de “disparo” al disyuntor, o abra un contacto de interruptor para interrumpir un regularmente “on” señal para iniciar un disparo de interruptor? Sabemos que una conexión abierta será la más probable que ocurra, pero ¿cuál es el estado más seguro del sistema: disyuntor abierto o disyuntor cerrado?

Al principio, parecería que sería más seguro tener un disparo de disyuntor grande (abrir y apagar la alimentación) en caso de una falla abierta en el circuito de control del relé de protección, al igual que teníamos el sistema de alarma contra incendios predeterminado a un estado de alarma con cualquier falla de interruptor o cableado. No obstante, las cosas no son tan simples en el mundo del alto poder. Tener un gran disyuntor indiscriminadamente abierto no es poca cosa, especialmente cuando los clientes dependen del suministro continuo de energía eléctrica para abastecer hospitales, sistemas de telecomunicaciones, sistemas de tratamiento de agua y otras infraestructuras importantes. Por esta razón, los ingenieros de sistemas de energía generalmente han acordado diseñar circuitos de relé de protección para emitir una señal de contacto cerrado (potencia aplicada) para abrir disyuntores grandes, lo que significa que cualquier falla abierta en el cableado de control pasará desapercibida, simplemente dejando el disyuntor en el status quo posición.

¿Es esta una situación ideal? Por supuesto que no. Si un relé de protección detecta una condición de sobrecorriente mientras el cableado de control falla abierto, no podrá abrir el disyuntor. Al igual que el primer diseño del sistema de alarma contra incendios, la falla “silenciosa” será evidente solo cuando se necesite el sistema. Sin embargo, diseñar los circuitos de control de otra manera, para que cualquier falla abierta apague inmediatamente el disyuntor, potencialmente apagando grandes pociones de la red eléctrica, realmente no es una mejor alternativa.

Se podría escribir un libro completo sobre los principios y prácticas del buen diseño de sistemas a prueba de fallas. Al menos aquí, conoces un par de los fundamentos: que el cableado tiende a fallar abierto más a menudo que en cortocircuito, y que el modo de falla (abierto) de un sistema de control eléctrico debe ser tal que indique y/o accione el proceso de la vida real en el modo alternativo más seguro. Estos principios fundamentales también se extienden a los sistemas no eléctricos: identificar el modo de falla más común, luego diseñar el sistema para que el modo de falla probable coloque al sistema en la condición más segura.

Revisar

• El objetivo del diseño a prueba de fallas es hacer que un sistema de control sea lo más tolerante posible a fallas probables de cableado o componentes.
• El tipo más común de cableado y falla de componentes es un circuito “abierto” o una conexión rota. Por lo tanto, un sistema a prueba de fallas debe diseñarse de manera predeterminada a su modo de operación más seguro en el caso de un circuito abierto.