Análise de Risco de Programação (Prevenção de Acidentes):
Considerando uma lógica emergencial onde a bomba inicia o seu funcionamento se:
  • a botoeira B1 for acionada E;
  • os sensores de Nível Superior e Inferior (SNI/SNS) estiverem ativados E;
  • a botoeira B2 não estiver acionada.
Se o cabo de um dos sensores for rompido no campo (lendo “falso”), a bomba conseguirá ser ligada manualmente na IHM pelo operador em uma emergência de inundação? Justifique apontando a falha de intertravamento do projeto.

Passo 1

Vou deixar claro o que o enunciado pede e quais informações foram dadas.
  • Pergunta: a bomba conseguirá ser ligada manualmente na IHM pelo operador em uma emergência de inundação se o cabo de um dos sensores for rompido (lendo “falso”)? Peço para justificar apontando a falha de intertravamento do projeto.
  • Informações dadas:
    • A bomba inicia se, simultaneamente:
      • a botoeira B_1 for acionada;
      • os sensores de nível superior e inferior ( S_{NI} e S_{NS}) estiverem ativados;
      • a botoeira B_2 não estiver acionada.
    • Se o cabo de um dos sensores for rompido no campo, o sinal lido será “falso” (ou seja, o PLC/IHM receberá valor lógico falso desse sensor).
  • Não há informação no enunciado de que exista um bypass específico na IHM capaz de ignorar os sensores; portanto a análise assume a lógica de intertravamento descrita acima como o caminho que permite o acionamento da bomba.

Passo 2

Modelar a lógica do intertravamento com uma expressão booleana e explicar cada símbolo.
  • Definição das variáveis (o que cada sinal representa):
    • B_1: comando de partida (botoeira de start) — verdadeiro se a botoeira estiver acionada.
    • S_{NI}: sensor de Nível Inferior — verdadeiro se indicar nível OK/ativado.
    • S_{NS}: sensor de Nível Superior — verdadeiro se indicar nível OK/ativado.
    • B_2: botoeira de bloqueio (por exemplo um stop ou chave de bloqueio) — verdadeiro se acionada; condição pede que não esteja acionada.
  • A condição dada para a bomba partir é uma conjunção de permissivos; em lógica booleana:
P = B_1 \land S_{NI} \land S_{NS} \land \lnot B_2,
onde P significa “permitir partida da bomba”.
Explicação das operações usadas:
  • \land (E / AND): o resultado é verdadeiro só se todos os operandos forem verdadeiros.
  • \lnot (NOT): nega o valor lógico (verdadeiro vira falso e vice-versa).

Passo 3

Entender o efeito de um sensor lendo “falso” numa conjunção (operador AND).
  • Propriedade chave do AND: se qualquer fator for falso, toda a conjunção é falsa. Ou seja, para X\land Y\land Z ser verdadeira é necessário que X=1, Y=1 e Z=1. Se Y=0, então X\land Y\land Z=0 independentemente de X e Z.
  • Aplicando isso à expressão da bomba: se S_{NI}=0 ou S_{NS}=0, então
P = B_1 \land 0 \land (\text{algo}) \land \lnot B_2 = 0.
Portanto um único sensor em falso bloqueia a partida.

Passo 4

Aplicar o caso do enunciado (cabo rompido lendo “falso”) e concluir se a IHM permitirá partida.
  • Suponha que o cabo de um sensor (por exemplo S_{NS}) seja rompido e passe a ler falso: S_{NS}=0.
  • Substituindo na expressão:
P = B_1 \land S_{NI} \land 0 \land \lnot B_2 = 0.
  • Interpretação prática: mesmo que o operador na IHM tente dar o comando de partida (equivalente a acionar B_1 via IHM) e mesmo que B_2 esteja liberado, o sinal do sensor rompido em falso impede que a lógica de intertravamento permita energizar a bomba. Logo, com a lógica tal como descrita, a bomba NÃO poderá ser ligada via IHM enquanto houver esse sensor lendo falso.

Passo 5

Explicar pedagogicamente por que isso é uma falha de projeto de intertravamento (o que exatamente está errado) e riscos associados.
  • Tipo de falha: single point of failure (ponto único de falha) no caminho de permissivos. Os sensores estão em série lógica (AND) sem provisionamento de diagnóstico/bypass seguro.
  • Consequência operacional: um rompimento de cabo — que é uma falha de instrumentação comum — produz um bloqueio que impede ação de emergência do operador, exatamente quando a ação (ligar a bomba) pode ser crítica para evitar inundação. Isso cria risco de agravamento do acidente por impedir remediação manual.
  • Falta de detecção/diagnóstico: o projeto parece tratar o valor “falso” do sensor da mesma forma que um nível realmente baixo. Não há distinção entre “sensor indica nível baixo” e “sensor está com fio rompido”. Sem supervisão do circuito de entrada (ex.: detecção de circuito aberto, resistência de terminação, teste periódico) o sistema não informa claramente a causa da leitura.
  • Violação de princípio fail-safe/princípio de manutenabilidade: o sistema não permite um procedimento de override seguro (por ex., bypass intertravamento com registro e confirmação dupla) que permita ao operador iniciar a bomba em emergência com controles compensatórios.

Passo 6

Sugestões de correções práticas (curto e médio prazo) para evitar essa vulnerabilidade — explicadas de forma simples.
  • Adicionar diagnóstico de entrada: usar entradas supervisionadas (detectar circuito aberto/curto) para diferenciar “nível baixo” de “cabo rompido” e disparar alarme claro. Assim, o operador sabe que há um problema de instrumento.
  • Implementar um bypass manual seguro na IHM/PLC:
    • Bypass só possível com confirmação dupla (por exemplo, chave física + confirmação na IHM) e com log/alarme ativo e indicação clara de que permissivo foi ignorado.
    • Esse bypass deve ser projetado para reduzir risco (por exemplo permitir partida mas com limites de operação e monitoramento adicional).
  • Redundância de sensores: ter dois sensores independentes por nível e lógica de votação (por exemplo, usar “maioria” ou aceitar partida se ao menos um sensor indicar presença e o outro falhar detectado como circuito aberto), dependendo do risco e normas aplicáveis.
  • Reavaliar tipo de contato e fiação: usar sensores com contatos normalmente fechados (NC) ou supervisionados para que um cabo rompido gere um diagnóstico diferenciado em vez de um simples “0”.
  • Procedimento operacional: treinar para que, em emergência, haja procedimento documentado para override com registro e ações compensatórias (por ex., monitoramento humano do funcionamento da bomba após partida).

Passo 7

Resumo curto e incentivo (você consegue resolver isso na prova).
  • Em poucas palavras: a lógica em série com AND torna qualquer sensor em falso um bloqueador absoluto; se um cabo rompe e lê falso, sem bypass ou diagnóstico o operador NÃO conseguirá ligar a bomba pela IHM. Isso é uma falha de intertravamento por ponto único de falha e falta de provisionamento de override seguro e de detecção de falha do sensor. Dá para consertar com diagnóstico, bypass seguro e/ou redundância.

Resposta

Não. A bomba não poderá ser ligada pela IHM enquanto um dos sensores estiver lendo “falso” devido a cabo rompido, porque a lógica de partida é uma conjunção ( P = B_1 \land S_{NI} \land S_{NS} \land \lnot B_2) e um único sensor em falso força P=0. A falha de projeto é ter os sensores em série sem diagnóstico ou bypass seguro, criando um ponto único de falha que impede ação de emergência.

Exercícios relacionados