¿Qué son los contactos normalmente abierto y normalmente cerrado?

Volver al glosario

El dispositivo físico frente a la instrucción de lógica

Un contacto físico tiene un estado de reposo, desenergizado. Un dispositivo normalmente abierto está abierto cuando nada actúa sobre él y cierra al ser accionado; un dispositivo normalmente cerrado está cerrado en reposo y abre al ser accionado. Esto es un hecho de hardware sobre el interruptor, botón o relevador, que describe lo que hace mecánicamente antes de que intervenga cualquier electricidad o lógica. No dice nada, por sí mismo, sobre lo que el PLC hará con la señal.

La instrucción de escalera es algo por completo distinto. Un XIC, examinar-si-cerrado, es un contacto de software que deja fluir la corriente por el renglón cuando el bit que examina es verdadero. Un XIO, examinar-si-abierto, deja fluir la corriente cuando el bit que examina es falso. Estas instrucciones prueban el estado de un bit en la imagen de entradas, y el valor de ese bit viene de si el cableado de campo está energizando o no el punto de entrada. La instrucción y el dispositivo son dos elecciones independientes, y el comportamiento que se obtiene depende de cómo se combinen.

Aquí es donde vive la confusión. Decir que un renglón tiene un contacto normalmente cerrado podría significar que el dispositivo de campo es un interruptor normalmente cerrado, o podría significar que el renglón usa una instrucción XIO, y las dos cosas no tienen por qué coincidir. Un interruptor de campo normalmente cerrado que alimenta una entrada examinada por un XIC produce una lógica muy distinta que el mismo interruptor examinado por un XIO. Mantener las dos ideas separadas en la cabeza, el cableado del dispositivo por un lado, la instrucción de examen por el otro, es toda la habilidad, y mezclarlas es lo que genera el clásico error de lógica invertida.

Cableado a prueba de fallas: dispositivos normalmente cerrados y XIO

El diseño a prueba de fallas para entradas críticas casi siempre usa un dispositivo de campo normalmente cerrado, cableado de modo que la condición sana y segura energice la entrada. Un interruptor de nivel, un presostato o un contacto de paro de emergencia se disponen para estar cerrados y pasando corriente cuando todo está normal. Si el proceso alcanza su condición peligrosa el contacto abre, pero igual de importante, si el hilo se rompe, el dispositivo falla o el lazo pierde alimentación, el contacto también queda abierto. Un hilo roto y un disparo real lucen igual para el controlador, que es exactamente lo que usted quiere para la seguridad: cualquier falla cae al estado disparado y seguro por defecto.

En la lógica, esa entrada sana y energizada se examina típicamente de modo que su estado verdadero signifique seguro y permita la operación. Cuando la entrada cae, ya sea por un disparo genuino o por una falla, se pierde el permiso y el equipo se detiene. Este emparejamiento de un dispositivo de campo normalmente cerrado, energizado-cuando-sano, con una lógica que trata la pérdida de señal como un disparo, es la esencia del diseño de entradas a prueba de fallas. Es por lo que tantas entradas de paro y de nivel se cablean normalmente cerradas aunque se sienta al revés para los novatos que esperan que un interruptor cierre cuando algo malo sucede.

La razón de ser deliberado sobre cuál instrucción de examen lee esa entrada es que elegir la equivocada invierte en silencio el significado. Si una entrada normalmente cerrada, energizada-cuando-sana, se examina con la instrucción que espera la polaridad opuesta, la lógica leerá un sitio sano como disparado o un disparo real como sano. En una entrada de ESD o de interruptor de nivel esto no es un defecto cosmético: puede dejar la protección derrotada o disparar por falsa alarma un pozo productor. La intención a prueba de fallas del cableado normalmente cerrado solo se realiza si la instrucción de examen se empareja correctamente con él.

Errores de lógica invertida en entradas de ESD y de nivel en el SCADA

Invertir la relación dispositivo-contra-instrucción es una causa principal de fallas de lógica invertida, y estas son especialmente peligrosas en las entradas de paro de emergencia y de interruptor de nivel porque la falla suele ser silenciosa. Todo luce bien en el banco, donde un técnico conmuta manualmente un interruptor y observa una luz, y la inversión solo se revela cuando llega una condición de campo real y la lógica responde en la dirección equivocada. Un interruptor de nivel alto que se supone que dispara un pozo en cambio se lee como normal, o un sitio sano se reporta como cerrado; de cualquier forma la confianza en el sistema se erosiona rápido.

La sutileza se agrava cuando una señal pasa por varias etapas, cada una de las cuales puede invertirla: el cableado normalmente abierto o normalmente cerrado del dispositivo de campo, la instrucción de examen, y cualquier operación de negación o complemento en el código. Cada inversión es fácil de razonar por sí sola, pero apiladas juntas son fáciles de perder de vista, y un número par de inversiones se cancela mientras que un número impar voltea el sentido. La documentación cuidadosa de la convención deseada de verdadero-significa-seguro o verdadero-significa-disparado para cada entrada crítica es la defensa práctica.

Cuando estas entradas alimentan una plataforma SCADA de nube, la polaridad tiene que estar bien de extremo a extremo o la imagen remota mentirá. Si un operador que observa un tablero de Merobix ve una entrada de paro reportando sano mientras el campo está en realidad disparado, la inversión se ha propagado hasta la pantalla, y las decisiones remotas se toman sobre información falsa. Por eso poner en marcha un sitio monitoreado incluye ejercitar de forma deliberada cada entrada de ESD y de nivel y confirmar que un disparo real en el campo se muestra como un disparo en el tablero, cerrando el lazo entre cómo se cablea el dispositivo, cómo lo examina la instrucción y lo que finalmente ven las personas.

Preguntas frecuentes