Workflows de contrôle tolérants aux pannes pour entraînements électriques multiphases

Principaux enseignements

• Le contrôle tolérant aux pannes dans les entraînements multiphases ne fonctionnera que si la détection, l'isolation, la reconfiguration et le déclassement sont conçus comme un seul et même flux de travail avec des critères d'acceptation vérifiables.
• La redondance n'est utile qu'après une isolation sûre, car les déclenchements intempestifs et les réinitialisations dangereuses causent souvent plus de temps d'arrêt et de stress que le défaut d'origine.
• Simulation HIL transforme les délais de protection et les limites en mode dégradé en un comportement reproductible et vérifiable auquel vous pouvez vous fier en cas de défaillance.

Le contrôle tolérant aux pannes pour les entraînements multiphases ne fonctionne que si vous le considérez comme un flux de travail de bout en bout.

Les entraînements à moteur multiphase vous offrent une plus grande liberté, mais la redondance ne se gère pas toute seule. Le logiciel de commande doit détecter rapidement tout comportement anormal, isoler le composant concerné sans approximation et reconfigurer les commandes actuelles tout en respectant les limites thermiques et de tension. Les moteurs électriques et les systèmes à entraînement motorisé représentent environ 46 % de la consommation mondiale d'électricité , donc un entraînement qui se dégrade en douceur protège le temps de fonctionnement, Énergie et le matériel.

Les équipes les plus fiables considèrent les défaillances comme un mode de fonctionnement normal soumis à des règles claires, et non comme une exception rare traitée à la dernière minute à l'aide de correctifs.

Cette approche détermine tout ce qui suit, depuis le choix des capteurs jusqu'à la manière dont vous gérez les commandes de couple, enregistrez les événements et validez le comportement de protection. Lorsque ces éléments sont intégrés dans un seul et même flux de travail, le matériel multiphase devient une marge de sécurité que vous pouvez réellement exploiter.

Objectifs de contrôle tolérant aux pannes pour les systèmes d'entraînement à moteur multiphase

Le contrôle tolérant aux pannes vise à maintenir la stabilité et la prévisibilité d'un entraînement multiphase après une panne, tout en limitant les dommages et en assurant la sécurité des personnes. Vous souhaitez un couple contrôlé, des courants limités et un comportement thermique connu. Vous souhaitez également des transitions reproductibles entre les modes normal et dégradé. Une conception viable définit des critères d'acceptation mesurables avant le début du codage.

Commencez par des objectifs qui peuvent être testés, pas par des slogans. Les variations de couple, le courant de phase de crête, la surtension du bus CC et la température de jonction de l'onduleur se traduisent tous par des contrôles de réussite ou d'échec. Une deuxième série d'objectifs concerne le comportement du système, par exemple la durée pendant laquelle le couple peut être maintenu après une perte de phase et la rapidité avec laquelle le variateur doit réduire le courant lorsqu'un court-circuit est suspecté. Des objectifs clairs évitent aux équipes de régler les protections jusqu'à ce que « cela semble correct ».

Les entraînements multiphases offrent davantage d'options, mais ils peuvent également être source de problèmes. Les phases supplémentaires permettent de maintenir le couple, mais elles peuvent également masquer des défauts si la logique de détection est faible. Un workflow efficace traite la redondance comme une condition, ce qui signifie que vous ne l'utilisez qu'après avoir procédé à une isolation fiable et que le contrôleur est passé à un mode dont les limites sont connues.

Classes de défauts dans les onduleurs multiphases et les enroulements de machines

Les défauts dans les entraînements électriques multiphases se répartissent en un petit nombre de catégories qui déterminent la réponse de commande appropriée. Les défauts au niveau de l'étage de puissance comprennent les comportements d'ouverture et de court-circuit des commutateurs. Les défauts au niveau des machines comprennent les circuits ouverts de phase, les courts-circuits entre phases et les modèles de rupture d'isolation. Les défauts des capteurs et des estimateurs ressemblent souvent à des défauts de l'installation, ils nécessitent donc un traitement particulier.

La classification est importante car les mesures de protection ne sont pas interchangeables. Un court-circuit suspect nécessite une limitation immédiate du courant et un blocage logique de la porte, tandis qu'une phase ouverte peut souvent être gérée par une réattribution du contrôle. Les défauts des capteurs se situent entre les deux, car un seul capteur de courant défectueux peut déclencher une isolation incorrecte et un déclassement inutile. Les bonnes conceptions établissent une carte qui relie chaque classe aux signaux de détection, aux règles de confirmation et aux modes de contrôle autorisés par la suite.

La priorisation doit être fonction du risque, et non de la commodité. Les défauts électriques pouvant s'aggraver en quelques microsecondes bénéficient des voies de réponse les plus rapides, souvent mises en œuvre dans le micrologiciel ou la logique dédiée. Les défauts qui se développent sur une plus longue période, tels que la dégradation des enroulements, restent importants car ils peuvent biaiser les estimateurs et réduire les marges thermiques. En les traitant comme des classes distinctes, vous évitez une stratégie d'arrêt unique qui réduit à néant les avantages des variateurs multiphases.

Choix des signaux et seuils pour une détection rapide des défauts

Une détection rapide repose sur des signaux qui réagissent rapidement, restent observables en mode dégradé et restent stables à tous les points de fonctionnement. Les courants de phase, la tension du circuit intermédiaire CC et le comportement des nœuds de commutation sont généralement les premiers à présenter des signes avant-coureurs. Les résidus du modèle peuvent ajouter de la sensibilité lorsque les capteurs restent fiables. Une bonne stratégie de seuil permet d'équilibrer la vitesse et le risque de déclenchement intempestif.

La détection fonctionne mieux lorsque vous limitez votre première couche aux signaux fiables malgré le bruit et les transitoires. Ces cinq types de signaux offrent généralement une bonne couverture sans nécessiter de calculs complexes :

• Contrôles de l'amplitude et de l'asymétrie du courant de phase liés au courant commandé
• Indicateurs de séquence négative ou d'harmoniques dérivés des courants mesurés
• Taux de variation de la tension du bus CC pendant les événements de commutation
• Commande de grille et rétroaction de type désaturation provenant de l'étage de puissance
• Erreurs résiduelles entre les états électriques mesurés et estimés

Les seuils doivent s'adapter à l'état de fonctionnement, car le démarrage et la régénération sont différents du couple stable. Utilisez une logique à plusieurs niveaux, où une limite rapide réduit d'abord le courant, puis une étape de confirmation plus lente décide de l'isolation et du changement de mode. Les filtres sont utiles, mais les fenêtres longues masquent les défauts rapides. Veillez donc à ce que les constantes de temps soient liées à la fréquence électrique et à la vitesse de commutation. L'objectif est d'obtenir une alarme claire et fiable lorsqu'elle se déclenche.

Méthodes d'isolation des défauts qui évitent les déclenchements intempestifs et les réinitialisations

L'isolation des défauts identifie ce qui a échoué et où, afin que le contrôleur puisse choisir le mode dégradé approprié au lieu de deviner. Une isolation robuste utilise des preuves redondantes, et non un seul seuil dépassé. Elle évite également les comportements de réinitialisation automatique agressifs qui peuvent causer un stress répété. La logique d'isolation doit produire une décision claire et enregistrée que vous pouvez reproduire lors des tests.

Concevez l'isolation comme une séquence de vérifications qui réduisent les possibilités, puis confirmez avec une deuxième famille de signaux. Séparez les « défauts présumés » des « défauts confirmés » et associez chaque état aux actions autorisées. Cela empêche un bref problème de mesure de forcer un changement complet de mode. Cela aide également les opérateurs et les ingénieurs de test à comprendre pourquoi le variateur a réduit le couple alors que rien ne semblait cassé.

Le contrôle tolérant aux pannes n'est pas un algorithme unique, mais un ensemble de comportements testés que vous pouvez défendre sous pression.

Les règles d'isolation sont plus faciles à valider lorsque vous pouvez reproduire les cas limites à volonté. Un simulateur numérique en temps réel d'OPAL-RT peut exécuter des injections de défauts par rapport à votre code de contrôle et à votre timing de protection exacts, ce qui vous aide à régler les fenêtres de confirmation sans risquer d'endommager le matériel. Ce type de répétabilité est plus important que la fidélité parfaite de l'installation lors de la conception initiale de l'isolation. L'objectif pratique est simple : le variateur doit faire la même chose chaque fois que le même défaut se produit.

Reconfiguration de la commande pour maintenir le couple en cas de défauts de perte de phase

La reconfiguration du contrôle modifie les références de courant, les règles de modulation et les contraintes après isolation afin que le variateur reste stable avec moins de phases effectives. Le contrôleur doit préserver la production de couple tout en limitant les pertes dans le cuivre et la contrainte sur l'onduleur. Une approche propre consiste à passer à un contrôleur dégradé défini, et non à un ensemble de gains corrigés. Les systèmes multiphases peuvent redistribuer le courant, mais uniquement dans des limites connues.

Un moteur synchrone à aimant permanent à six phases permet d'illustrer la différence entre « tolérance aux pannes » et « stabilité en cas de panne ». Une phase en circuit ouvert peut être isolée, puis la référence de courant produisant le couple peut être projetée dans le sous-espace sain restant afin que le couple moyen reste contrôlé. Les limites de courant doivent être resserrées car les phases restantes transportent un courant RMS plus élevé, et la stratégie de modulation doit éviter de pousser une branche vers la saturation. Ce flux de travail permet de garder la machine contrôlable au lieu de simplement la maintenir en rotation.

La reconfiguration comporte des compromis que vous devez accepter dès le départ. L'ondulation du couple augmente généralement, ce qui peut provoquer des résonances mécaniques et augmenter le bruit acoustique. Le rendement diminue à mesure que les pertes dans le cuivre augmentent, ce qui réduit les marges thermiques et raccourcit la durée admissible à un couple élevé. Une bonne conception expose ces limites à un contrôle de niveau supérieur, de sorte que le système réduit le couple de manière intentionnelle plutôt qu'après une hausse des températures.

Règles et limites de déclassement pour un fonctionnement dégradé en toute sécurité

Le déclassement définit le couple, la vitesse et le cycle de service autorisés après un défaut afin que le variateur reste sûr et stable. Ces limites doivent être déterministes et liées à des grandeurs mesurables telles que la température des enroulements, la température du variateur et les conditions du bus CC. Le déclassement nécessite également une condition de sortie claire, car un fonctionnement prolongé en mode dégradé peut masquer une défaillance en cours de développement. L'objectif est de contrôler la capacité, et non d'atteindre la capacité maximale.

Le déclassement doit être établi à partir des contraintes qui existent déjà dans votre conception. Les modèles thermiques et les capteurs de température fixent des limites de courant continu, tandis que la marge de tension et les limites de modulation déterminent la capacité à haute vitesse. Les systèmes moteurs consomment environ 70 % de l'électricité utilisée dans l'industrie manufacturière aux États-Unis , de sorte qu'une politique de déclassement qui évite les pertes inutiles peut réduire les coûts d'exploitation, même en cas de défaillance. La clé est de faire du déclassement un ensemble de règles que tout le monde peut prévoir et tester.

Les opérateurs et les logiciels système ont besoin de sorties simples et explicites provenant de la logique de déclassement. Indiquez une limite de couple autorisée, une limite de vitesse autorisée et une durée maximale à ce point de fonctionnement si la marge thermique diminue. Liez la réinitialisation et la récupération à une stabilité vérifiée, et non à un simple minuteur, afin de ne pas réappliquer le couple maximal à un circuit encore défectueux. Une stratégie de déclassement rigoureuse transforme un fonctionnement dégradé en un état géré plutôt qu'en une situation d'urgence.

Workflow de validation utilisant des modèles en temps réel et Simulation HIL

La validation prouve que la détection, l'isolation, la reconfiguration et le déclassement fonctionnent correctement à tous les points de fonctionnement et à tous les moments de défaillance. Les tests purement logiciels ne permettent pas de capturer les délais de synchronisation, de quantification et d'E/S qui déterminent le comportement de la protection. Simulation HIL comblent cette lacune en utilisant un modèle d'installation en temps réel relié à votre matériel de contrôle. Le résultat devrait être une preuve traçable que les protections fonctionnent comme prévu.

La validation doit commencer par des plans d'injection de défauts qui correspondent à vos classes de défauts et à vos critères d'acceptation. Balayez la vitesse, la charge et les conditions du bus CC, puis injectez des défauts à plusieurs angles électriques afin de détecter les contraintes les plus défavorables. Enregistrez le temps écoulé entre l'apparition du défaut et la limitation du courant, l'exactitude de l'isolation et la stabilité du contrôleur dégradé. Considérez chaque réinitialisation inattendue ou déclenchement intempestif comme un échec du test, car les opérateurs y verront une perte de fiabilité.

La fiabilité à long terme résulte de la répétition de ce flux de travail jusqu'à ce que le comportement de protection devienne ennuyeux, car ennuyeux signifie prévisible. Les systèmes OPAL-RT sont souvent utilisés pour exécuter ces tests en boucle fermée en temps réel avec des injections de défauts et des vérifications de synchronisation reproductibles, ce qui aide les équipes à verrouiller les cas limites avant l'exposition du matériel. C'est cette discipline qui transforme la redondance multiphase en une capacité opérationnelle sur laquelle vous pouvez compter. Le contrôle tolérant aux défauts n'est pas un algorithme unique, mais un ensemble de comportements testés que vous pouvez défendre sous pression.