Análise de Risco de Programação (Prevenção de Acidentes):
Considerando uma lógica emergencial onde a bomba inicia o seu funcionamento se:
- a botoeira B1 for acionada E;
- os sensores de Nível Superior e Inferior (SNI/SNS) estiverem ativados E;
- a botoeira B2 não estiver acionada.
Se o cabo de um dos sensores for rompido no campo (lendo “falso”), a bomba conseguirá ser ligada manualmente na IHM pelo operador em uma emergência de inundação? Justifique apontando a falha de intertravamento do projeto.
Passo 1
Vou deixar claro o que o enunciado pede e quais informações foram dadas.
- Pergunta: a bomba conseguirá ser ligada manualmente na IHM pelo operador em uma emergência de inundação se o cabo de um dos sensores for rompido (lendo “falso”)? Peço para justificar apontando a falha de intertravamento do projeto.
- Informações dadas:
- A bomba inicia se, simultaneamente:
- a botoeira
for acionada; - os sensores de nível superior e inferior (
e ) estiverem ativados; - a botoeira
não estiver acionada.
- a botoeira
- Se o cabo de um dos sensores for rompido no campo, o sinal lido será “falso” (ou seja, o PLC/IHM receberá valor lógico falso desse sensor).
- A bomba inicia se, simultaneamente:
- Não há informação no enunciado de que exista um bypass específico na IHM capaz de ignorar os sensores; portanto a análise assume a lógica de intertravamento descrita acima como o caminho que permite o acionamento da bomba.
Passo 2
Modelar a lógica do intertravamento com uma expressão booleana e explicar cada símbolo.
- Definição das variáveis (o que cada sinal representa):
-
: comando de partida (botoeira de start) — verdadeiro se a botoeira estiver acionada. -
: sensor de Nível Inferior — verdadeiro se indicar nível OK/ativado. -
: sensor de Nível Superior — verdadeiro se indicar nível OK/ativado. -
: botoeira de bloqueio (por exemplo um stop ou chave de bloqueio) — verdadeiro se acionada; condição pede que não esteja acionada.
-
- A condição dada para a bomba partir é uma conjunção de permissivos; em lógica booleana:
onde
significa “permitir partida da bomba”.
Explicação das operações usadas:
-
(E / AND): o resultado é verdadeiro só se todos os operandos forem verdadeiros. -
(NOT): nega o valor lógico (verdadeiro vira falso e vice-versa).
Passo 3
Entender o efeito de um sensor lendo “falso” numa conjunção (operador AND).
- Propriedade chave do AND: se qualquer fator for falso, toda a conjunção é falsa. Ou seja, para
ser verdadeira é necessário que , e . Se , então independentemente de e . - Aplicando isso à expressão da bomba: se
ou , então
Portanto um único sensor em falso bloqueia a partida.
Passo 4
Aplicar o caso do enunciado (cabo rompido lendo “falso”) e concluir se a IHM permitirá partida.
- Suponha que o cabo de um sensor (por exemplo
) seja rompido e passe a ler falso: . - Substituindo na expressão:
- Interpretação prática: mesmo que o operador na IHM tente dar o comando de partida (equivalente a acionar
via IHM) e mesmo que esteja liberado, o sinal do sensor rompido em falso impede que a lógica de intertravamento permita energizar a bomba. Logo, com a lógica tal como descrita, a bomba NÃO poderá ser ligada via IHM enquanto houver esse sensor lendo falso.
Passo 5
Explicar pedagogicamente por que isso é uma falha de projeto de intertravamento (o que exatamente está errado) e riscos associados.
- Tipo de falha: single point of failure (ponto único de falha) no caminho de permissivos. Os sensores estão em série lógica (AND) sem provisionamento de diagnóstico/bypass seguro.
- Consequência operacional: um rompimento de cabo — que é uma falha de instrumentação comum — produz um bloqueio que impede ação de emergência do operador, exatamente quando a ação (ligar a bomba) pode ser crítica para evitar inundação. Isso cria risco de agravamento do acidente por impedir remediação manual.
- Falta de detecção/diagnóstico: o projeto parece tratar o valor “falso” do sensor da mesma forma que um nível realmente baixo. Não há distinção entre “sensor indica nível baixo” e “sensor está com fio rompido”. Sem supervisão do circuito de entrada (ex.: detecção de circuito aberto, resistência de terminação, teste periódico) o sistema não informa claramente a causa da leitura.
- Violação de princípio fail-safe/princípio de manutenabilidade: o sistema não permite um procedimento de override seguro (por ex., bypass intertravamento com registro e confirmação dupla) que permita ao operador iniciar a bomba em emergência com controles compensatórios.
Passo 6
Sugestões de correções práticas (curto e médio prazo) para evitar essa vulnerabilidade — explicadas de forma simples.
- Adicionar diagnóstico de entrada: usar entradas supervisionadas (detectar circuito aberto/curto) para diferenciar “nível baixo” de “cabo rompido” e disparar alarme claro. Assim, o operador sabe que há um problema de instrumento.
- Implementar um bypass manual seguro na IHM/PLC:
- Bypass só possível com confirmação dupla (por exemplo, chave física + confirmação na IHM) e com log/alarme ativo e indicação clara de que permissivo foi ignorado.
- Esse bypass deve ser projetado para reduzir risco (por exemplo permitir partida mas com limites de operação e monitoramento adicional).
- Redundância de sensores: ter dois sensores independentes por nível e lógica de votação (por exemplo, usar “maioria” ou aceitar partida se ao menos um sensor indicar presença e o outro falhar detectado como circuito aberto), dependendo do risco e normas aplicáveis.
- Reavaliar tipo de contato e fiação: usar sensores com contatos normalmente fechados (NC) ou supervisionados para que um cabo rompido gere um diagnóstico diferenciado em vez de um simples “0”.
- Procedimento operacional: treinar para que, em emergência, haja procedimento documentado para override com registro e ações compensatórias (por ex., monitoramento humano do funcionamento da bomba após partida).
Passo 7
Resumo curto e incentivo (você consegue resolver isso na prova).
- Em poucas palavras: a lógica em série com AND torna qualquer sensor em falso um bloqueador absoluto; se um cabo rompe e lê falso, sem bypass ou diagnóstico o operador NÃO conseguirá ligar a bomba pela IHM. Isso é uma falha de intertravamento por ponto único de falha e falta de provisionamento de override seguro e de detecção de falha do sensor. Dá para consertar com diagnóstico, bypass seguro e/ou redundância.
Resposta
Não. A bomba não poderá ser ligada pela IHM enquanto um dos sensores estiver lendo “falso” devido a cabo rompido, porque a lógica de partida é uma conjunção (
) e um único sensor em falso força
. A falha de projeto é ter os sensores em série sem diagnóstico ou bypass seguro, criando um ponto único de falha que impede ação de emergência.