Otimização do Tempo de Comutação do Controlador Redundante

O Que Realmente Significa o Tempo de Troca

Controladores redundantes operam em pares primário/reserva. O primário executa a lógica de controle e aciona as entradas/saídas (I/O). O reserva funciona em modo hot-standby — recebe todos os dados de entrada e executa a mesma lógica em paralelo, mas não aciona as saídas. Quando o primário falha, o reserva assume o acionamento das saídas. O intervalo entre a falha do primário e o reserva assumir o controle total das saídas é o tempo de troca.

Para os controladores Honeywell Experion PKS C300, o tempo de troca alvo é de 10 a 30 milissegundos para funções de segurança e de 50 a 100 ms para controle regulatório. Para o Allen-Bradley ControlLogix 1756-L85E, a especificação publicada de tempo de troca é inferior a 500 ms — mas na prática, engenheiros frequentemente observam entre 200 ms e 2 segundos, dependendo do tamanho do projeto, carga da rede e configuração do heartbeat.

Uma troca lenta causa congelamentos momentâneos nas saídas ou “picos”. Em um laço de controle de vazão, um congelamento de saída de 200 ms produz uma perturbação visível no fluxo. Em um laço de controle de velocidade de turbina, um congelamento de 500 ms durante rejeição de carga pode disparar uma parada por sobrerotação.

Mecanismo de Troca do Honeywell Experion PKS C300

O par de controladores C300 se comunica por meio de um link dedicado Redundant Data Interface (RDI) — uma conexão Ethernet de 100 Mbps em uma rede física separada da rede de controle da planta. O RDI transporta três tipos de dados: sinais heartbeat, sincronização do estado das I/Os e flags de estado do controlador. A bateria de backup do sistema C300 garante que o controlador reserva mantenha seu estado sincronizado durante breves interrupções de energia.

O intervalo do heartbeat no RDI do C300 é configurável de 5 ms a 100 ms. Um intervalo menor detecta falha do primário mais rapidamente, mas aumenta o tráfego na rede RDI. A configuração padrão de fábrica é 20 ms — o que significa que o reserva detecta a falha do primário em até 20 ms após o último heartbeat recebido. A troca real adiciona o tempo de verificação da sincronização (tipicamente 5 ms) e o tempo para assumir o acionamento das saídas (tipicamente 3 ms), resultando em um tempo total de troca de aproximadamente 28 ms nas configurações padrão.

Para otimizar: reduza o intervalo do heartbeat para 10 ms em controladores críticos para segurança. Isso gera um tempo teórico de troca de aproximadamente 18 ms. Verifique se o comprimento do cabo RDI não ultrapassa a especificação do C300 de 100 metros entre os gabinetes primário e reserva. Use cabo par trançado blindado Categoria 6 no link RDI para melhor imunidade eletromagnética. O pacote de baterias do controlador C300 deve ser testado anualmente para garantir disponibilidade de energia reserva durante eventos de troca.

Configuração da Redundância Allen-Bradley ControlLogix

A redundância ControlLogix usa um Módulo de Redundância do Sistema (SRM) dedicado com link de fibra óptica. O sistema de redundância sincroniza os controladores primário e reserva no nível das tarefas. Cada conclusão de tarefa do controlador primário dispara um evento de sincronização pelo link de redundância. O módulo de redundância 1756-RM2K oferece desempenho aprimorado de sincronização para projetos grandes.

O parâmetro chave de ajuste é o RPI (Requested Packet Interval) no caminho de redundância EtherNet/IP. O RPI padrão é 20 ms. Reduzir o RPI para 10 ms acelera a sincronização de estado entre os controladores. Contudo, um RPI menor aumenta a carga da CPU em ambos os controladores. Siga estas regras de otimização:

• Passo 1: Limite a tarefa periódica primária a uma única tarefa contínua com período de 50 ms. Evite múltiplas tarefas periódicas — cada tarefa adicional cria um ponto de sincronização separado no link de redundância.
• Passo 2: Defina todos os valores RPI dos módulos digitais de I/O para 50 ms. Valores de RPI mais rápidos (5 ms ou 10 ms) em módulos individuais aumentam o tráfego de sincronização sem beneficiar o tempo geral de troca.
• Passo 3: Reduza o número de tags Produzidos/Consumidos entre controladores. Cada tag consumido adiciona uma conexão CIP à carga de trabalho da redundância. Consolide dados multi-tag em arrays UDT para reduzir o número de conexões.
• Passo 4: Monitore a carga das tarefas do controlador usando o Studio 5000 Task Monitor. Se a utilização da tarefa do controlador primário ultrapassar 40%, o tempo de troca se degradará. O alvo é uma utilização máxima de 30% em condições normais para deixar margem para a sincronização da redundância.

Procedimento de Benchmarking de Troca em Cinco Passos

Meça o tempo real de troca em campo usando este procedimento. Realize este teste durante uma janela de parada programada — não teste a troca em um processo em operação sem o conhecimento do operador.

• Passo 1: Conecte um osciloscópio em um canal de saída digital. Configure o controlador para gerar uma onda quadrada com ciclo de trabalho de 50% a 1 Hz tanto no controlador primário quanto no reserva. O osciloscópio exibirá um sinal contínuo de 1 Hz durante a operação normal.
• Passo 2: Inicie uma falha no primário desconectando a alimentação do controlador primário. O traço do osciloscópio mostrará uma linha reta durante o intervalo de troca — meça a duração desse intervalo com a função cursor do osciloscópio.
• Passo 3: Para o Honeywell C300, o intervalo esperado é de 15 a 30 ms. Para o ControlLogix 1756-L85E, o intervalo esperado é de 50 a 500 ms. Se o intervalo medido exceder o alvo em mais de 20%, prossiga para o Passo 4.
• Passo 4: Verifique os indicadores de saúde do link de redundância. No C300, confirme que os LEDs do link RDI estejam verdes fixos em ambos os controladores. No ControlLogix, verifique os LEDs do módulo 1756-RM — os LEDs Primário e Secundário devem estar verdes fixos. Um link RDI ou SRM piscando indica comunicação intermitente que degrada o tempo de troca.
• Passo 5: Restaure a alimentação do primário e verifique a transferência sem picos. O controlador retoma o acionamento das saídas a partir do último estado sincronizado. Monitore as saídas analógicas para qualquer variação maior que 0,5% do span. Um pico indica sincronização incompleta do estado durante a troca anterior.

Conclusão e Recomendações

O tempo de troca de controladores redundantes é um parâmetro de projeto frequentemente ignorado pelos engenheiros após a comissionamento inicial. No Honeywell Experion PKS C300, reduza o intervalo do heartbeat RDI para 10 ms e verifique se o comprimento do cabo RDI permanece dentro de 100 metros para aplicações críticas de segurança. No Allen-Bradley ControlLogix 1756-L85E, consolide tarefas periódicas em uma única tarefa contínua de 50 ms, padronize os valores RPI das I/Os para 50 ms e mantenha a utilização das tarefas do controlador abaixo de 30%.

Realize o teste de benchmarking com osciloscópio após cada atualização de firmware ou modificação no projeto — uma alteração no código que aumente a utilização da tarefa em 5% pode aumentar o tempo de troca em 30%. Documente o tempo de troca medido no relatório de comissionamento e estabeleça uma ordem de serviço permanente para retestar anualmente durante a parada da planta. Uma troca controlada de 20 ms previne perturbações descontroladas no processo que levam a paradas não planejadas.

Autor: Chen Hao é engenheiro de automação industrial com mais de 10 anos de experiência em PLC, DCS e sistemas de controle.