Почему завод превращает электронику в тыкву. Как защитить промышленные контроллеры от электромагнитных бурь

Вы когда-нибудь задавались вопросом, почему устройство, которое три недели безупречно работало на этапе проектирования, порой умирает в первую же смену на производстве. Знакомый инженер рассказывал такую историю с интонацией человека, который увидел чудо. Микроконтроллерная плата отработала в тестах без единого сбоя, но стоило поставить ее в щиток и запустить линию, как контроллер сгорел через пять минут после пуска сварочного полуавтомата. Почему так произошло? Можно было бы подумать, что дело в плате, но нет.

Сейчас я расскажу, что происходит с вычислительной техникой на производстве, и что нужно знать, чтобы промышленный контроллер пережил его, а не сгорел в первую же смену. Мы разберем, почему между одним и тем же устройством, работающим дома и на заводе, бушует реальная электромагнитная буря, и кто чаще всего саботирует производства, вызывая крупномасштабные аварии и трагедии.

Невидимая буря

Верстак разработчика автоматизированных систем — это тихая гавань в сравнении с полем. В широком смысле «поле» — это место, где происходит реальная практическая работа, в отличие от кабинетов, где принимаются стратегические решения. Дома или в лаборатории всегда 220 В, и только фен сожителей может выступать в роли источника помех. Но контакторы и реле в цеху щелкают десятки раз в минуту, и в момент размыкания катушки индуктивность отвечает импульсом обратной ЭДС — коротким, но коварным выбросом напряжения, который норовит пролезть куда угодно. Пример того, что бывает из-за похожей коммутационной ошибки, можно увидеть на YouTube. На видео рабочий выкатывает автоматический выключатель под нагрузкой, и у щита вспыхивает дуговой разряд.

Частотные преобразователи для двигателей работают на широтно-импульсной модуляции, а значит, силовой кабель к двигателю фактически превращается в антенну, излучающую широкий спектр высокочастотных помех.

Работу сварочного аппарата можно рассмотреть как короткий мощный импульс тока, создающий наводку, которая ощутимо бьет по другим устройствами за десятки метров. Если речь идет о проводах, радио, микрофонах или гитарах, то наводка — это электрический мусор (помехи), который один прибор случайно передает другому по воздуху или через провода. Вспомните старые телефоны: когда на них кто-то звонил, стоящие рядом компьютерные колонки начинали противно трещать: «ты-ды-ды, ты-ды-ды». Телефон излучал невидимые волны, а кабель колонок поймал их как антенна. Этот треск и есть наводка.

Хотите устроить настоящую электромагнитную бурю, которая убьет оборудование? Добавьте скачки напряжения в сети из-за мощных соседей. Или пустите статический заряд и грозовые наводки по длинным кабелям. Да-да, гроза тоже может выступать в роли источника наводок.

Пример того, во что такая перегрузка может вылиться на практике, также можно посмотреть на YouTube: короткая яркая вспышка дугового разряда с характерным снопом искр.

Помехи приходят к контроллеру двумя путями. Если помеха распространяется напрямую по проводам питания или сигнальным линиям, то такой путь называется кондуктивным. Второй путь — излучаемый, когда помехи передаются по воздуху и наводятся на любой достаточно длинный провод, который в этот момент срабатывает как антенна. Обычная домашняя плата сталкивается и с тем, и с другим типом помех одновременно, и без специальной защиты у нее, как правило, нет шансов на выживание.

Почему домашние платы не доживают до обеда

Возьмем классический отладочный модуль, который так любят DIY-энтузиасты. Речь о платках вроде Arduino или ESP, из которых в гаражах собираются первые прототипы домашней автоматики. Главная их беда — абсолютно беззащитные GPIO (контакты ввода-вывода), через которые плата общается с внешним миром. Здесь также нет ни одной опторазвязки (но с этим мы разберемся позже). Ножки разъема ведут практически напрямую в микроконтроллер. А значит, любая разница потенциалов летит прямой наводкой прямо в нежный кремниевый кристалл.

Защиты на таких платах, как правило, нет. Также отсутствуют TVS-диоды и варисторы — элементы, которые должны работать как предохранительные клапаны и срезать опасные выбросы напряжения до подлета к логике. Ровно как и нет фильтрующих дросселей и конденсаторов по питанию, располагающихся для сглаживания помех. Обычно любители собирают или покупают пластиковый, а значит, не экранирующий от излучающих помех корпус. Но самым коварным является общий провод земли, делящийся с силовой (по которой идут наибольшие токи) частью щита напрямую.

Мне стоит остановиться и объяснить, почему это фатально, ведь интуитивно кажется, что земля может быть одна на всех, и хуже от объединения быть не должно. Однако «земля» в реальном щите никогда не бывает идеальной, и всегда важно учитывать, что в разных точках проводника, особенно длинного и нагруженного, потенциал чуть-чуть отличается.

Когда контактор щелкает где-то в другом углу шкафа, по земляному проводу на мгновение пробегает ток, и между двумя якобы одинаковыми точками земли возникает высокая разница напряжений. Если контроллер подключен к обеим этим точкам одновременно (например, землей платы к одной, а через сигнальный провод от датчика — к другой), то разница потенциалов гонит через плату паразитный ток напрямую сквозь микросхемы.

В случае, если не происходит защелкивание кристалла (когда внутренние паразитные структуры полупроводника открываются, и он начинает жрать ток, не подчиняясь логике программы, пока его не обесточить), может произойти мгновенный необратимый пробой входного каскада. Плата получает внезапный удар электричеством, пережить который невозможно.

Снижайте расходы до 80% в облачных серверах Selectel

Подключите прерываемые ВМ и функцию «Заморозка» в панели управления.

Подробнее →

Cтена, которая пропускает свет

Что если сделать так, чтобы сигнал доходил, а электрическая связь не проходила напрямую? Главная идея гальванической развязки и, пожалуй, самый удачный образ для нее — это окно со стеклом. Свет проходит свободно, вы прекрасно видите, что происходит по ту сторону, но пройти сквозь стекло физически нельзя. Также и развязка передает информацию через свет в оптопаре, или через магнитное поле в трансформаторе, но не дает токам двух разных земель перемешаться напрямую.

На практике это выглядит как сигнал, который со стороны цеха зажигает светодиод внутри оптопары, свет попадает на фототранзистор с совершенно другой, изолированной стороны, и уже этот фототранзистор включает вход контроллера.

Электрической связи между стороной датчика и стороной процессора нет, есть только фотон, который никакой паразитный ток через себя не тащит. Похожая логика в изолированных DC-DC преобразователях питания на линиях связи вроде RS-485 или CAN: важные для промышленности интерфейсы всегда разводятся на плате с гальваническим барьером.

Напряжение изоляции обычно составляет от полутора до нескольких киловольт. Это не значит, что через развязку пройдет киловольтный сигнал специально. Это означает запас такой прочности, по которой барьер физически выдержит бросок такой амплитуды и не пробьется, спасая логику по другую сторону.

Развязку ставят на дискретные входы и выходы, на аналоговые сигналы (где даже небольшая наводка искажает измерение), на линии связи и нередко на само питание контроллера. Смысл этого действия состоит в том, чтобы разорвать контур, по которому мог бы потечь паразитный ток, который на бытовой плате убивает вход за секунды.

Можно объяснить эту идею через переговорщика. Представьте, что вам нужно передать сообщение человеку, до которого напрямую лучше не дотрагиваться, потому что вы стоите на разных металлических поверхностях, и между ними гуляет непредсказуемое напряжение. Вы не идете к нему контактировать напрямую, а зовете третьего, у которого своя, отдельная пара рук с каждой стороны, и просите его повторить ваш жест.

Руки не соприкасаются, а информация из сообщения доходит в целости. Оптопара, изолированный трансформатор, цифровой изолятор — это ровно такой переговорщик, зашитый в несколько миллиметров кремния и пластика.

Земля одна

Развязка решает половину задачи, но она не решает правильное заземление, и тут я видел больше всего суеверий. Базовый принцип заключается в том, что отдельные ветки заземления не должны пересекаться между собой. Cиловая земля должна быть отдельно, сигнальная отдельно, и они встречаются только в этой одной точке.

Нельзя допускать ситуации, когда земля разбросана где попало по всему шкафу.DIN-рейка, корпус контроллера и металлические двери шкафа должны иметь надежный, толстый провод, надежный контакт с проводником, чтобы случайная утечка на корпус сразу ушла в землю, а не осталась гулять по конструкции.

Самая частая и самая обидная ошибка, которую я видел собственными глазами в щитах, — это экран сигнального кабеля, заземленный с обеих сторон «для надежности». Интуитивно хочется заземлить в большем количестве мест для уверенности, но на практике происходит ровно обратное.

Экран, посаженный на землю в двух разных точках, образует замкнутый контур, а если между этими двумя точками земли есть хоть малейшая разница потенциалов (а она почти всегда есть), то по этому контуру потечет ток, наведенный любой соседней силовой линией.

Экран, который должен был защищать кабель, сам превращается в антенну и в источник помехи внутри собственной оплетки. Нужно заземлять экран только с одной стороны, где стоит контроллер, а на другом конце оставлять изолированным. Дополнительно на длинные и уязвимые линии часто надевают ферритовые кольца. Они являются дешевым способом гашения высокочастотной наводки прямо на кабеле, еще до момента, как она доберется до разъема контроллера.

Пример аварии на производстве где к инциденту привела малейшая искра (в видео показано, что может происходить при ошибках в монтаже ПЛК и проблемах с заземлением).

Что знают контроллеры

Промышленный контроллер отличается от отладочной платы, однако по мощности даже может быть слабее. Отличие в том, что каждое слабое место, разобранное выше, там уже закрыто на этапе проектирования и лежит в основе конструкции. Металлический экранированный корпус заменяет самоделки из пластика и делает устройства более живучими. Также реализуется широкий диапазон питающего напряжения с запасом по броскам, и даже встроенная гальваническая развязка на входах и выходах прямо из коробки (пусть и не всегда).

Такие контроллеры проходят обязательные испытания по стандартам на устойчивость к электростатическим разрядам, к наносекундным импульсным помехам и к микросекундным выбросам большой энергии. На них лепится наклейка, подобная тем, что на блоках питания у ПК. Если производитель ее наклеил, то он тем самым пообещал, что железо переживет именно ту бурю, которую описывал мой знакомый наладчик.

Если сводить все это к тому, что реально надо проверить перед установкой контроллера в цех, получится несколько простых вопросов самому себе. Развязаны ли входы и выходы от силовой части, или сигнал идет прямо на кристалл? Разведены ли силовая и сигнальная земля отдельно, или где-то по пути они уже пересеклись? Экран кабеля посажен на землю с одной стороны или, на всякий случай, с двух? Стоит ли хоть какая-то защита на линиях, которые смотрят в сторону частотников и контакторов? И последний вопрос — самый неприятный: этот контроллер вообще рассчитан на цех, или просто оказался под рукой, потому что отлично работал на столе?

Пожалуй, единственная разница между хобби-электроникой и промышленной автоматикой — не в мощности процессора, а в количестве паранойи, заложенной в схему заранее.