Il problema

Il recente articolo sugli allarmi e successive richieste di monitoraggio dell' integrità dei cavi di collegamento, mi hanno fatto ricordare studi (di ormai molti anni fa) su come rendere più sicure le segnalazioni che dai punti più remoti degli impianti convergono verso il centro di controllo.

Mi limiterò a considerare la più semplice forma di segnalazione data dall'apertura o chiusura di un contatto che può indicare sia lo stato di un particolare dell'impianto (es. finecorsa), oppure situazioni di consenso (es. presenza tensione), oppure di allarme (es. antincendio).

Il fatto è che di questi "contatti" in un impianto industriale moderno ce ne possono essere centinaia o addirittura migliaia. Non tutti ovviamente hanno la stessa importanza, ma si capisce che ce ne sono almeno alcuni che sono vitali per la sicurezza dell'impianto stesso.

La loro mancata (oppure errata) rilevazione può provocare danni enormi.

E' quindi giustificata una riflessione sui metodi che consentono una rilevazione più affidabile, cioè consentono di rendere in definitiva più "sicuro" l'impianto (si pensi per es. alle stazioni di pompaggio non presidiate, alle produzioni robotizzate, alle centrali nucleari, ecc.).

Non sono certo queste delle soluzioni "economiche". Spesso si sentono le frase fatte "la sicurezza non ha prezzo" "..si sarebbe potuto evitare" e altre idiozie del genere.

La verità è che spesso non siamo disposti a sostenere i costi (generalmente alti) che una maggior sicurezza comporta.

Fatte queste premesse, veniamo alle soluzioni tecniche, con la precisazione che non verranno qui considerati gli aspetti realizzativi (non si entrerà quindi negli aspetti tecnologici delle soluzioni), ma verranno semplicemente indicati i principi fondamentali su cui queste possono essere sviluppate.

Principio rilevazione

Molti si chiederanno <dov'è il problema?: basta mettere un cavo che vada dal contatto del sensore al centro di supervisione, e lì trasformarlo in indicazione (luminosa, o altro)>.

Già, ma chi ci garantisce che il cavo non venga interrotto?

Allora alcuni diranno <basta fare in modo che il contatto aperto indichi allarme. In tal caso l'interruzione del cavo darebbe un "falso allarme", quindi si potrebbe intervenire e verificare>

Già (ribatterebbe il pignolo), ma se invece il cavo andasse in corto?....

E allora?

Una soluzione (effettivamente adottata in molti impianti di particolare importanza) può essere, in linea di principio, questa:

La simulazione (in Multisim) mostra un circuito di rilevazione dello stato di un sensore remoto mediante sì un cavo, ma con una serie di accorgimenti per rilevare anche eventuali anomalie.

Vediamo nel dettaglio: Se il contatto è aperto (come mostrato in figura), circola ugualmente una corrente (a causa di R4) che provoca cadute di tensione su R2 ed R5, rilevabili mediante appositi trasduttori di tensione o corrente (nella simulazione rappresentati dai 2 voltmetri).

Se però il contatto si chiude, ad R4 viene messa in parallelo R3, facendo aumentare la corrente circolante, quindi le letture sui voltmetri.

Si ribadisce (a scanso di equivoci) che gli strumenti sono qui utilizzati per la simulazione: nella realtà non si legge un voltmetro per sapere se un contatto è aperto o chiuso !

Come detto, appositi trasduttori riportano l'informazione al sistema di acquisizione allarmi, oppure ad un PLC, oppure ad un calcolatore di processo che li devono elaborare per poi utilizzarli.

Rilevazioni anomalie

Abbiamo visto i casi di funzionamento normale, rispettivamente con contatto aperto e chiuso, ma la premessa era che il circuito doveva rilevare anche casi di "anormalità" nell'acquisizione della segnalazione.

E'già stato menzionato il caso di interruzione del cavo: è evidente (e non serve nemmeno la simulazione) concludere che entrambi i voltmetri andrebbero in questo caso a zero.

Nel caso invece di chiusura in corto, si avrebbe questa situazione:

Rimane la possibilità di dispersione a terra, con l'evidente scambio di indicazioni nei voltmetri a seconda di quale conduttore perde isolamento. Ecco la simulazione di questa situazione:

Si noti che in quest'ultimo caso, sarebbe ancora possibile rilevare lo stato del contatto (da parte del voltmetro non a fondo scala).

Tabella segnalazioni

Tutte queste situazioni possono essere riportate in una tabella che serve da specifica per la stesura del software interpretativo della singola segnalazione. Eccola:

Il circuito indicato è solo un aspetto della soluzione: è ovvio che bisogna evitare le conseguenze di eventuali malfunzionamenti del sistema stesso di rilevazione.

Quindi deve essere prevista una ridondanza totale sia delle alimentazioni che delle unità di elaborazione (che devono essere continuamente monitorate ed eventualmente sostituite senza interrompere il servizio).

Poiché il guasto può verificarsi anche negli stessi sensori, è spesso prevista la loro triplicazione per la medesima rilevazione, adottando inoltre percorsi cavi diversi.

Il motivo è la possibilità di adottare per questi la "logica maggioritaria" (cioè se 2 sensori danno una segnalazione ed il terzo quella contraria, si prende per buona l'indicazione maggioritaria e si provvede a sostituire il sensore "guasto").

Non credo a questo punto sia il caso di dilungare oltre il discorso, che voleva essere solo una breve escursione nelle problematiche della sicurezza degli impianti industriali.