Desain Aman-Gagal

Sirkuit logika, baik yang terdiri dari relai elektromekanis atau gerbang solid-state, dapat dibangun dengan berbagai cara untuk menjalankan fungsi yang sama.

Biasanya tidak ada cara yang "benar" untuk merancang rangkaian logika yang kompleks, tetapi biasanya ada cara yang lebih baik dari yang lain.

Dalam sistem kontrol, keselamatan (atau setidaknya harus) merupakan prioritas desain yang penting.

Jika ada beberapa cara di mana rangkaian kontrol digital dapat dirancang untuk melakukan suatu tugas, dan salah satu cara tersebut memiliki keunggulan keamanan tertentu dibandingkan yang lain, maka desain tersebut adalah yang lebih baik untuk dipilih.

Menerapkan Logika Relai dalam Sistem Kontrol

Mari kita lihat sistem sederhana dan pertimbangkan bagaimana sistem tersebut dapat diimplementasikan dalam logika relai.

Misalkan laboratorium besar atau bangunan industri harus dilengkapi dengan sistem alarm kebakaran, yang diaktifkan oleh salah satu dari beberapa sakelar pengunci yang dipasang di seluruh fasilitas.

Sistem harus bekerja sehingga sirene alarm akan menyala jika salah satu sakelar diaktifkan.

Sekilas, sepertinya logika relai seharusnya sangat sederhana:cukup gunakan kontak sakelar yang biasanya terbuka dan sambungkan semuanya secara paralel satu sama lain:

Pada dasarnya, ini adalah fungsi logika OR yang diimplementasikan dengan empat input sakelar.

Kita dapat memperluas sirkuit ini untuk menyertakan sejumlah input sakelar, setiap sakelar baru ditambahkan ke jaringan paralel, tetapi saya akan membatasinya menjadi empat dalam contoh ini agar semuanya tetap sederhana.

Bagaimanapun, ini adalah sistem dasar dan tampaknya hanya ada sedikit kemungkinan masalah.

Kecuali jika terjadi kegagalan pengkabelan, yaitu, sifat sirkit listrik sedemikian rupa sehingga kegagalan "terbuka" (kontak sakelar terbuka, sambungan kabel putus, koil relai terbuka, sekering putus, dll.) secara statistik lebih mungkin terjadi daripada jenis kegagalan lainnya.

Dengan mengingat hal itu, masuk akal untuk merekayasa sirkuit agar setoleran mungkin terhadap kegagalan seperti itu. Misalkan koneksi kabel untuk Switch #2 gagal dibuka:

Jika kegagalan ini terjadi, hasilnya adalah Sakelar #2 tidak akan lagi menghidupkan sirene jika digerakkan.

Ini, jelas, tidak baik dalam sistem alarm kebakaran. Kecuali jika sistem diuji secara teratur (ide yang bagus), tidak ada yang akan tahu ada masalah sampai seseorang mencoba menggunakan sakelar itu dalam keadaan darurat.

Bagaimana jika sistem direkayasa ulang untuk membunyikan alarm jika terjadi kegagalan terbuka?

Dengan begitu, kegagalan dalam pengkabelan akan menghasilkan alarm palsu, skenario yang jauh lebih disukai daripada memiliki sakelar yang gagal secara diam-diam dan tidak berfungsi saat diperlukan.

Untuk mencapai tujuan desain ini, kita harus memasang kembali sakelar sehingga terbuka kontak membunyikan alarm, bukan tertutup kontak.

Karena itu, sakelar harus ditutup secara normal dan dirangkai secara seri satu sama lain, memberi daya pada koil relai yang kemudian mengaktifkan kontak yang biasanya tertutup untuk sirene:

Saat semua sakelar tidak diaktifkan (status pengoperasian reguler sistem ini), relai CR₁ akan diberi energi, sehingga menjaga kontak CR₁ terbuka, mencegah sirene dinyalakan.

Namun, jika salah satu sakelar diaktifkan, relai CR₁ akan menghilangkan energi, menutup kontak CR₁ dan membunyikan alarm.

Juga, jika ada putusnya kabel di bagian atas sirkuit, alarm akan berbunyi.

Saat diketahui bahwa alarm salah, pekerja di fasilitas akan mengetahui bahwa ada sesuatu yang gagal dalam sistem alarm dan perlu diperbaiki.

Memang, sirkuitnya lebih kompleks daripada sebelum penambahan relai kontrol, dan sistem masih bisa gagal dalam mode "diam" dengan sambungan terputus di anak tangga bawah, tetapi ini masih merupakan desain yang lebih aman daripada sirkuit aslinya, dan karenanya lebih disukai dari sudut pandang keamanan.

Penerapan Desain Fail-Safe dalam Sistem Kontrol

Desain sirkuit ini disebut sebagai fail-safe , karena desain yang dimaksudkan untuk default ke mode teraman jika terjadi kegagalan umum seperti sambungan putus pada kabel sakelar.

Desain fail-safe selalu dimulai dengan asumsi jenis kabel atau kegagalan komponen yang paling mungkin dan kemudian mencoba untuk mengonfigurasi hal-hal sehingga kegagalan seperti itu akan menyebabkan rangkaian bertindak dengan cara yang paling aman, "cara teraman" ditentukan oleh karakteristik fisik dari proses.

Ambil contoh katup (solenoid) yang digerakkan secara elektrik untuk menyalakan air pendingin ke mesin.

Memberi energi pada kumparan solenoida akan menggerakkan angker yang kemudian membuka atau menutup mekanisme katup, tergantung pada jenis katup yang kita tentukan.

Pegas akan mengembalikan katup ke posisi "normal" saat solenoid dimatikan.

Kita sudah tahu bahwa kegagalan terbuka pada kabel atau koil solenoida lebih mungkin terjadi daripada kegagalan pendek atau jenis kegagalan lainnya, jadi kita harus merancang sistem ini agar berada dalam mode paling aman dengan solenoid tidak diberi energi.

Jika air pendingin yang kita kendalikan dengan katup ini, kemungkinan lebih aman menyalakan air pendingin saat terjadi kegagalan daripada mematikan, konsekuensi dari mesin yang berjalan tanpa pendingin biasanya parah.

Ini berarti kita harus menentukan katup yang menyala (membuka) saat tidak diberi energi dan mati (menutup) saat diberi energi. Ini mungkin tampak "mundur" untuk mengatur katup dengan cara ini, tetapi pada akhirnya akan membuat sistem yang lebih aman.

Salah satu aplikasi menarik dari desain fail-safe adalah dalam industri pembangkit listrik dan distribusi, di mana pemutus sirkuit besar perlu dibuka dan ditutup oleh sinyal kontrol listrik dari relai pelindung.

Jika rele 50/51 (arus lebih sesaat dan waktu lebih) akan memerintahkan pemutus sirkuit untuk trip (terbuka) jika terjadi arus berlebih, haruskah kita mendesainnya sehingga relai menutup kontak sakelar untuk mengirim sinyal "perjalanan" ke pemutus, atau membuka sakelar kontak untuk menghentikan sinyal "aktif" secara teratur untuk memulai perjalanan pemutus?

Kita tahu bahwa koneksi terbuka akan paling mungkin terjadi, tetapi apa status sistem yang paling aman:pemutus terbuka atau pemutus tertutup?

Pada awalnya, tampaknya akan lebih aman untuk memiliki trip pemutus arus yang besar (membuka dan mematikan daya) jika terjadi gangguan terbuka pada rangkaian kontrol relai pelindung, sama seperti sistem alarm kebakaran yang kita gunakan secara default. status alarm dengan sakelar atau kegagalan kabel apa pun.

Namun, hal-hal yang tidak begitu sederhana di dunia kekuasaan tinggi. Membuka pemutus arus besar tanpa pandang bulu bukanlah masalah kecil, terutama ketika pelanggan bergantung pada pasokan daya listrik yang berkelanjutan untuk memasok rumah sakit, sistem telekomunikasi, sistem pengolahan air, dan infrastruktur penting lainnya.

Untuk alasan ini, para insinyur sistem tenaga umumnya setuju untuk merancang sirkuit relai pelindung untuk mengeluarkan tertutup sinyal kontak (daya diterapkan) untuk membuka pemutus sirkuit besar, yang berarti bahwa setiap kegagalan terbuka pada kabel kontrol tidak akan diperhatikan, hanya membiarkan pemutus dalam posisi status quo.

Apakah ini situasi yang ideal? Tentu saja tidak. Jika relai pelindung mendeteksi kondisi arus lebih saat kabel kontrol gagal terbuka, relai tidak akan dapat membuka pemutus sirkuit.

Seperti desain sistem alarm kebakaran pertama, kegagalan "diam" hanya akan terlihat saat sistem dibutuhkan.

Namun, untuk merekayasa sirkuit kontrol dengan cara lain—sehingga kegagalan terbuka apa pun akan segera mematikan pemutus sirkuit, yang berpotensi mematikan sebagian besar jaringan listrik—benar-benar bukan alternatif yang lebih baik.

Seluruh buku dapat ditulis tentang prinsip dan praktik desain sistem yang aman dari kegagalan.

Setidaknya di sini, Anda mengetahui beberapa hal mendasar:bahwa pengkabelan cenderung gagal terbuka lebih sering daripada korsleting, dan bahwa mode kegagalan (terbuka) sistem kontrol listrik harus sedemikian rupa sehingga menunjukkan dan/atau menggerakkan proses kehidupan nyata di mode alternatif teraman.

Prinsip-prinsip dasar ini juga berlaku untuk sistem non-listrik:mengidentifikasi mode kegagalan yang paling umum, kemudian merekayasa sistem sehingga mode kegagalan yang mungkin terjadi menempatkan sistem dalam kondisi paling aman.

TINJAUAN:

• Tujuan dari fail-safe desainnya adalah membuat sistem kontrol setoleran mungkin terhadap kemungkinan kegagalan kabel atau komponen.
• Jenis kabel dan kegagalan komponen yang paling umum adalah sirkuit "terbuka", atau sambungan putus. Oleh karena itu, sistem gagal-aman harus dirancang secara default ke mode operasi teramannya dalam kasus sirkuit terbuka.

LEMBAR KERJA TERKAIT:

• Lembar Kerja Sirkuit Keandalan Tinggi