Gestione allarmi e monitoraggio I/O: la logica di sicurezza del PLC senza scrivere una riga di codice

"L'intelligenza artificiale scrive solo esempi giocattolo"

È l'obiezione più diffusa, ed è legittima. Accendi un LED, leggi un sensore, stampa un valore: perfetto per una dimostrazione, inutile dentro un quadro elettrico.

Allora proviamo a darle il compito meno giocattolo che esista in automazione: filtrare gli ingressi, riconoscere una condizione anomala che dura nel tempo, e segnalarla in modo che qualcuno la prenda sul serio. E guardiamo cosa esce.

Perché esistono i filtri e i ritardi

Un ingresso digitale non è un interruttore ideale. È un contatto fisico, in fondo a un cavo, dentro un quadro pieno di carichi che commutano. Fra lo "zero" e l'"uno" ci sono sempre alcuni millesimi di secondo di confusione:

• Il rimbalzo meccanico. Un finecorsa o un relè, quando chiude, rimbalza per 5–20 millesimi di secondo prima di stabilizzarsi. Un controllore che guarda gli ingressi migliaia di volte al secondo, senza filtro, conta un solo evento come quindici.
• I disturbi indotti. Un teleruttore che apre a pochi centimetri inietta un picco nel cavo di segnale che gli corre accanto. L'optoisolatore blocca l'energia, ma non inventa un fronte pulito.
• Le condizioni transitorie legittime. Due sensori che si sovrappongono per quattro centesimi di secondo durante un normale trasferimento non sono un guasto. Gli stessi due sensori sovrapposti per mezzo secondo lo sono.

È per questo che ogni allarme serio ha un tempo associato. "Ingresso attivo" non è una condizione di allarme. "Ingresso attivo, senza interruzioni, più a lungo di quanto il processo possa legittimamente richiedere" lo è.

Sbagliare questo punto produce il guasto più costoso dell'automazione, e non è un guasto elettrico: è un allarme a cui gli operatori smettono di credere. Prima lo ignorano, poi lo tacitano per abitudine, infine qualcuno lo esclude. Il giorno in cui suona per un motivo vero, non lo guarda più nessuno.

Come fa l'intelligenza artificiale a conoscere i vincoli della macchina

Un modello che scrive codice generico sceglie quasi a caso fra il modo giusto e quello sbagliato di gestire i tempi. Un modello che lavora su un progetto GEVINO no, perché la regola è scritta dove la leggerà di sicuro: nel documento tecnico che accompagna ogni scheda, in prima pagina.

La regola dice, in sostanza: il programma non deve mai fermarsi ad aspettare. Deve sorvegliare tutto contemporaneamente, sempre. È il principio su cui funziona qualunque PLC, ed è esattamente ciò che distingue un programma industriale da uno da banco di prova.

Alla scheda è allegato anche un temporizzatore già pronto, con lo stesso comportamento dei temporizzatori dei PLC tradizionali: finché la condizione non è verificata resta azzerato, e scatta solo dopo che la condizione è rimasta vera ininterrottamente per il tempo impostato. L'assistente lo usa correttamente perché l'esempio è lì, accanto al programma.

Vale la pena dirlo a chi sta valutando questo modo di lavorare: la qualità del programma generato dipende molto meno dal modello di intelligenza artificiale che dal fatto che il costruttore della scheda si sia preso la briga di scrivere le proprie regole in un formato leggibile anche dalle macchine.

La prova: cosa abbiamo chiesto

"Scrivi la logica per GEVINO che sorveglia 4 ingressi digitali optoisolati. Se due ingressi restano attivi contemporaneamente per più di 500 millisecondi, attiva un cicalino di allarme e invia una notifica con la fotografia dello stato degli ingressi."

Cosa fa il programma consegnato

• Filtra i quattro ingressi uno per uno. Un segnale viene creduto solo dopo che è rimasto stabile per due centesimi di secondo.
• Conta quanti ingressi sono attivi in ogni istante, senza mai smettere di sorvegliare gli altri.
• Fa scattare l'allarme solo dopo mezzo secondo di sovrapposizione continua. Se nel frattempo uno dei due segnali cade, il conteggio riparte da capo.
• Attiva il cicalino e accende la spia frontale della scheda.
• Manda una sola notifica, nel momento in cui l'allarme scatta — non una raffica di messaggi ripetuti finché la condizione dura.
• Nella notifica allega la fotografia degli ingressi: quali erano attivi, quanti erano, e da quanto tempo la macchina era accesa. Il messaggio arriva su un computer collegato al PLC e si legge così: "ALLARME: sovrapposizione oltre 500 ms — ingressi attivi: 1 e 3".
• Segnala anche il rientro, quando la condizione si risolve.

Perché questo non è un esempio giocattolo

Quattro dettagli separano questo programma da una dimostrazione. Sono anche le quattro cose da verificare su qualunque logica di allarme, generata o scritta a mano.

• Ogni ingresso ha il proprio filtro. Un filtro unico e condiviso lascerebbe che un canale disturbato mascheri quello pulito accanto.
• Mezzo secondo continuo, non mezzo secondo dalla prima volta che l'ho visto. Sembra la stessa cosa e non lo è: la seconda formulazione fa scattare l'allarme anche su una serie di sovrapposizioni brevissime, cioè esattamente sul rumore che volevamo escludere.
• All'accensione non suona. Se il quadro viene alimentato con due sensori già impegnati — un pezzo rimasto in macchina dal turno precedente, per dire — l'allarme non parte all'istante, ma solo dopo il suo mezzo secondo regolare. È un errore in cui si cade facilmente e che si scopre sempre nel momento peggiore, cioè al primo riavvio dopo un fermo.
• La fotografia è scattata nell'istante dell'allarme, non dopo. È l'errore diagnostico classico: allegare al messaggio lo stato attuale degli ingressi. Quando qualcuno leggerà quella riga, i sensori si saranno mossi da un pezzo e la fotografia non racconterà più nulla.

L'unica decisione che resta al progettista

Così com'è, il cicalino segue la condizione: smette quando la sovrapposizione finisce. In molti impianti si vuole il contrario — un allarme ritenuto, che resti attivo finché un operatore non lo riconosce, così che un guasto di cinque secondi alle tre di notte sia ancora visibile la mattina dopo.

È una modifica di tre righe, e soprattutto è una decisione di processo, non di programmazione. L'intelligenza artificiale ha prodotto un comportamento difendibile e lo ha reso abbastanza esplicito da poterlo discutere. È esattamente quello che si chiede a un collaboratore.

Un confine va detto con chiarezza: questo è allarme di processo, non sicurezza funzionale. Funghi di emergenza, barriere fotoelettriche e ripari interbloccati appartengono a un modulo di sicurezza certificato, cablato in hardware. Nessun programma — scritto da un'intelligenza artificiale o da un ingegnere con vent'anni di esperienza — sostituisce quel componente.

Perché un'architettura aperta vince su un sistema chiuso

Confrontate cosa potete farne, di questa logica, sulle due piattaforme.

Su un sistema chiuso, il programma vive dentro un file proprietario, modificabile solo con il software del costruttore, su una postazione con licenza attiva. Le diagnostiche vanno dove ha deciso il costruttore. Estenderlo per mandare gli allarmi al gestionale significa comprare un modulo gateway.

Su GEVINO, la stessa logica è un file di testo. Potete conservarlo nel vostro archivio aziendale, confrontare due versioni per vedere cosa è cambiato e chi l'ha cambiato, farlo rivedere a un collega o a un'intelligenza artificiale, e aggiungerci — con gli stessi strumenti gratuiti — la registrazione su scheda di memoria, una pagina web consultabile dalla rete aziendale, il collegamento al PLC di linea, o un SMS al reperibile. La logica di allarme non cambia: si aggiunge soltanto.

Sotto, l'hardware è la parte che non deve lasciare spazio all'interpretazione: ingressi optoisolati a doppia polarità, uscite protette dal cortocircuito, protezione dai disturbi elettrostatici ed elettromagnetici, contenitore per barra DIN, morsetti industriali a vite. L'apertura sta nel software, dove fa risparmiare. La robustezza sta nell'hardware, dove evita i ritorni in garanzia.

I PLC GEVINO sono progettati e prodotti in Italia da GEVA Elettronica.
Scopri i modelli sullo shop online oppure scrivici a email@gevaelettronica.it: descrivici il quadro che devi realizzare e ti diciamo quale configurazione serve.