Fiabilité de la plateforme Arduino pour un usage industriel

Je ne suis pas ingénieur électricien (juste mécanique) mais je voudrais appliquer une partie de mon expérience d'amateur à mon travail et mettre en œuvre divers systèmes automatisés dans un environnement industriel (fabrication).

Traditionnellement, l'automatisation en milieu industriel consiste soit en systèmes d'ingénierie, soit en automates programmables. Les systèmes d'ingénierie sont trop chers et les automates manquent de flexibilité (et ils peuvent aussi devenir assez chers).

Je voudrais remplacer les automates traditionnels par des Arduinos plus flexibles, puissants et moins chers, mais je suis préoccupé par la fiabilité de l'Arduino. Les API ont évolué dans le contexte industriel et sont donc très robustes et fiables, mais comment la plate-forme Arduino se compare-t-elle?

En supposant que des mesures appropriées soient prises pour protéger l'Arduino contre les dommages mécaniques et électriques, quelle est la fiabilité de la plate-forme? Croiriez-vous qu'il remplace un API traditionnel qui contrôle, disons, le système de verrouillage de sécurité d'une machine pour empêcher les gens de s'approcher trop près d'une machine en fonctionnement?

Edit: Qu'en est-il des systèmes non critiques pour la sécurité? Par exemple, introduire de l'intelligence dans, disons, un appareil dont un PLC ne serait pas capable?

Les fabricants d'automates voudraient vous faire croire que leur logiciel est plus fiable et plus testé. Mon impression est que les principaux composants du système d'exploitation des automates sont généralement assez bien conçus et testés, mais les pilotes pour le matériel externe (systèmes de mouvement et similaires) sont souvent des bibliothèques piratées ensemble par des ingénieurs d'applications, puis transmises à l'entreprise. Le matériel des automates est souvent dépassé - beaucoup d'entre eux exécutent de vieux processeurs Geode chauds.

Lorsque vous achetez un automate auprès d'Allen-Bradley, de B&R, de Siemens ou de l'un des autres grands acteurs, vous payez principalement pour l'assistance en cas de problème. Leur matériel est fabriqué avec les mêmes processus de fabrication que les Arduinos, et il n'y a rien de magique dans les systèmes d'exploitation en temps réel fonctionnant sur des automates qui les rend sans bug. Mais je pense que le soutien vaut souvent la peine d'être payé. Si c'est une machine qui coûte 1 million de dollars à l'entreprise chaque jour, elle ne fonctionne pas, je serais sacrément sûr qu'en cas de problème, une équipe de professionnels pourrait aider à le réparer, pas seulement moi et Google. Pour le cas spécifique des barrières immatérielles ou d'autres verrouillages de sécurité, je voudrais m'assurer que le fabricant avait une police d'assurance lourde en place, plutôt qu'une déclaration qui essaie de nier toute qualité marchande pour un usage particulier.

Même ainsi, si je concevais (par exemple) un peu d'actionnement pneumatique simple pour certains appareils, et j'étais prêt à assumer la charge de support de la réparation de la machine lorsqu'elle était en panne (ou si je n'étais pas en mesure d'obtenir les ressources allouées pour payer l'automate), et la sécurité n'était pas un problème, j'utiliserais volontiers un Arduino.

Je protesterais probablement le système avec un Arduino, puis réécrirais le code en C pur une fois qu'il fonctionnerait, de sorte que mon code était le seul code sur le microcontrôleur.

Arduino lui-même n'est pas bon pour les applications industrielles en raison du manque de protection et de blindage appropriés. Mais il est possible de fabriquer des contrôleurs AVR de qualité industrielle:

Vous devriez avoir un blindage, un filtrage / régulation / protection de l'alimentation, des paires opto pour piloter des objets externes, des bouchons de découplage décents sur chaque puce numérique.

Vous devez le tester très soigneusement lors de la mise sous / hors tension de charges élevées, il est préférable de vérifier si vous avez des problèmes sur les lignes de masse / d'alimentation / de données lors de cette commutation avec l'oscilloscope (jusqu'à 1 ns de plage).

Vous devriez vérifier votre source d'horloge très attentivement - l'AVR ne retombe pas dans l'oscillateur RC en cas de défaillance de l'oscillateur à cristal. Donc, vous feriez mieux de vous en tenir à la RC interne si vous n'avez pas besoin de précision d'horloge ou de porter une attention particulière au routage du cristal, aux condensateurs de charge, à la qualité des PCB (= rappels de flux, protection contre l'humidité) et au blindage autour du cristal.

Il existe de meilleures uC pour les applications industrielles, notamment avec cette fonction de repli RC.

Avant l' API , le contrôle des processus industriels était effectué par des relais logix (pour le contrôle numérique) et des contrôleurs PID pour le contrôle analogique. Les relais étaient notoirement peu fiables, dont l'échec dans certains cas avait de graves conséquences. Malgré cela, la suggestion que cela pourrait être mieux réalisé par un ordinateur exécutant un logicielavec des sorties semi-conductrices au lieu de relais a horrifié la plupart des ingénieurs électriciens de l'époque. Les arguments contre l'adoption des PLC à cette époque étaient similaires à certains des arguments dans les réponses de ce forum. Résistez aux suggestions intéressantes et vous êtes certain d'être en bonne compagnie. Des considérations économiques, de temps d'arrêt et de maintenance ont conduit (lentement) la transition du contrôle câblé au contrôle micro-contrôleur / logiciel. Je me souviens plus récemment de l'horreur avec laquelle Ethernet et les différents protocoles associés à l'époque ont été salués par l'établissement de contrôle. Ethernet est désormais en passe de devenir la norme de facto pour le contrôle des processus.

De nos jours, dans les systèmes de contrôle les plus sophistiqués, les processus critiques pour la sécurité ont toujours une sauvegarde câblée / pneumatique / hydraulique / mécanique, ou au moins un état de sécurité. L'interface opérateur avec le système de contrôle est une partie essentielle du système de contrôle qui, en dehors du contrôle de la machine, est dans la plupart des cas un ordinateur de bureau du magasin PC local, avec un système d'exploitation sujet à buggy / crash qui exécute buggy / crash- applications de contrôle de processus sujettes. Ce n'est pas exagéré. Nous avons conçu et construit des usines dans les environnements les plus difficiles des industries chimiques et minières où les poussières et les fumées font partie de la vie, même dans la salle de contrôle, et nous n'avons pas plus de défaillances de la part des équipements commerciaux / grand public standard que de équipement industriel. Les disques durs tombent en panne mais ils sont scellés. Ils échouent quand même. Nous soufflons régulièrement des nuages ​​de poussière industrielle de cartes mères PC qui exécutent les IHM. L'astuce est d'avoir une redondance double / triple dans tous les systèmes importants / critiques. Tout peut échouer. C’est pourquoi les éléments critiques pour la sécurité sont toujours sauvegardés par du matériel, ce qui est une exigence législative dansla plupart des pays et le bon sens dans d’autres.

Si l'on veut faire entrer l'aviation dans la discussion, souvenez-vous de l'horreur avec laquelle les avionneurs non Airbus ont rencontré la suggestion du vol par câble. Dans les accidents aériens, l'erreur humaine (principalement le pilote mais aussi le personnel de maintenance), et non la défaillance de l'ingénierie / des systèmes, représente toujours de loin la plupart des accidents. Dans l'espace industriel / commercial de l'automate / microcontrôleur, je dirais que l'humain au terminal de programmation est toujours l'élément le plus critique. LA CONCEPTION, LA STRUCTURE et LA MAINTENABILITÉ du logiciel sont les ingrédients essentiels plutôt que le matériel.

Rockwell propose le produit SoftLogix qui est un automate logiciel fonctionnant sur un PC de magasin standard. Penses-y. L'argument selon lequel les PC fonctionnent dans un environnement électrique / atmosphérique plus protégé que les automates / contrôleurs peut être vrai dans certains cas, mais pas dans la plupart, et très peu dans les usines que nous desservons. L'ironie est que la prolifération d'Ethernet nécessite des commutateurs Ethernet sur le terrain. En règle générale, nous n'utilisons pas de commutateurs industriels, mais des équipements commerciaux standard et nous n'avons toujours pas de défaillance de commutateur après 10 ans et des centaines d'installations. Ces commutateurs résident dans les mêmes panneaux que les E / S API. Ce qui échoue, mais rarement, c'est l'alimentation électrique bon marché qui accompagne le commutateur. Évitez cela et le commutateur ne sera pas le composant le moins fiable de l'installation.

En ce qui concerne les tests rigoureux / le contrôle de la qualité des équipements PLC industriels, j'ai récemment mis en service une usine où TOUTES LES 8 ou 10 cartes d'entrées / sorties analogiques à distance étaient DOA. Le fournisseur, l'une des plus grandes marques de renommée mondiale, n'a pas hésité et a tout remplacé immédiatement. Je suppose que c'était un mauvais lot et ils auraient pu connaître le problème avant notre rapport. Les remplacements ont parfaitement fonctionné et fonctionnent encore 3 ans plus tard.

La peur est utilisée partout ces jours-ci pour nous intimider. Utilisez la raison et comme certains anciens le disaient, «sucez-le et voyez (par vous-même)». Je n'hésiterais pas à tester des microcontrôleurs «non industriels» n'importe où. Suivez simplement les bonnes pratiques d'ingénierie, quantifiez le risque et agissez de manière appropriée. Soit dit en passant, les véhicules à moteur fonctionnent dans des conditions qui ne sont pas trop différentes de certaines conditions industrielles (humides, chaudes, vibrantes) mais disposent de nombreux systèmes électroniques critiques pour la sécurité. Essayez maintenant de suggérer à un ingénieur en systèmes de contrôle industriel que vous êtes sur le point de tester un composant automobile dans votre usine! CANbus ou DNET quelqu'un? Allez comprendre (:)

Je ne suis ingénieur d'aucune sorte. Je suis technicien en électronique dans une grande entreprise aérospatiale et je dois constamment moderniser et / ou mettre à niveau des machines à commande numérique comme celle-ci en raison d'équipements anciens pour lesquels nous ne pouvons plus acheter de pièces. Bien que le coût soit un gros problème, celui qui vous causera de gros ennuis est le problème de sécurité.

Dans l'édition 2012 de la sous-partie 9.4.3.4.2 de la norme NFPA 79 (La norme électrique pour les machines industrielles), elle stipule:

"Les systèmes de commande incorporant des contrôleurs logiciels et micrologiciels exécutant des fonctions liées à la sécurité doivent être auto-contrôlés et conformes à tous les éléments suivants:

1. En cas de défaillance unique, la défaillance doit:
   a. ne pas entraîner la perte des fonctions liées à la sécurité
   b. Conduire à l'arrêt du système dans un état sûr
   c. Empêcher toute opération ultérieure jusqu'à ce que la défaillance du composant ait été corrigée
   d. Empêcher le démarrage involontaire de l'équipement lors de la correction de la panne

2. Fournit une protection équivalente à celle des systèmes de contrôle intégrant des composants câblés / matériels

3. Être conçu conformément à une norme approuvée qui fournit des exigences pour de tels systèmes "

Si vous êtes en mesure de vous assurer de respecter les dispositions 1 et 2, je sais que vous ne pourrez pas respecter la disposition 3 (sauf si vous avez l'habitude de traiter avec les autorités réglementaires)

CEPENDANT,

Si vous utilisez l'arduino uniquement pour surveiller et informer qu'une condition de sécurité s'est produite et non pour contrôler le circuit de sécurité lui-même, vous ne devriez pas violer cette exigence légale.

C'est-à-dire qu'une chaîne d'arrêt d'urgence est en place qui déconnecte l'alimentation de tous les contacteurs / entraînements du moteur d'un contacteur d'arrêt d'urgence principal en cas de rupture par un interrupteur d'arrêt d'urgence du circuit. Vous ne voudriez pas utiliser l'arduino pour contrôler le circuit d'arrêt d'urgence, mais vous devriez bien utiliser un interrupteur de contact auxiliaire sur les boutons d'arrêt d'urgence pour indiquer à l'opérateur quel arrêt d'urgence a été enfoncé sur un écran.

De cette façon, même si l'arduino essaie de faire fonctionner un moteur avec des signaux de commande, il n'y aura pas de puissance réelle disponible car un contacteur d'arrêt d'urgence principal est tombé, contrôlé par une chaîne d'arrêt d'urgence sous tension - pas votre microcontrôleur .

Assurez-vous que vous êtes au courant de toutes les réglementations de la NFPA70E et de la NFPA79 et que vous les respectez toutes. Croyez-moi, vous ne voulez pas vous retrouver dans un contexte de litige en essayant de répondre à des questions sans avoir pleinement connaissance de ces réglementations avant de concevoir quelque chose.

c'est-à-dire que d'autres choses à considérer sont d'arrêter le mouvement trop rapidement - parfois les choses doivent rester sous tension pendant une période de temps définie avant de s'arrêter pour éviter un danger pour la sécurité - c'est-à-dire qu'une grande meule doit tourner à une vitesse définie afin qu'elle n'explose pas de s'arrêter brusquement - dans ce cas, vous voudriez une grande résistance qui utiliserait les moteurs Counter EMF pour ralentir en toute sécurité la vitesse de rotation. Vous voudriez que le contacteur qui a abandonné l'entraînement du moteur mette cette résistance en ligne avec les enroulements du moteur - pas l'arduino

Ces scénarios sont également traités dans la NFPA79.

Assurez-vous que vous et votre employeur êtes à l'aise de respecter ces réglementations et d'accepter toute responsabilité potentielle.

utilisez certainement un ruggeduino (il vaut le 45.oo pour la protection supplémentaire) et une isolation optique pour tout ce qui est attaché aux circuits sur 24 volts. La plupart des commandes de relais compatibles Arduino sur le même site sont OMRON et utilisées pour de nombreuses applications industrielles. Demandez à quelqu'un ayant de l'expérience et des qualifications de revoir votre conception avant la mise en œuvre - rappelez - vous qu'aucun de nous n'est aussi intelligent que nous tous

La seule façon de tester sa durabilité pour votre application serait de le concevoir et de voir combien de temps il fonctionne. Ayez certainement une pièce de rechange identique prête à remplacer sur l'étagère si le coût / temps sont de grandes considérations.

Faites moi savoir si vous avez des questions.

Il y a ce qui est censé être un clone Arduino de qualité industrielle nommé Ruggeduino qui a une protection d'entrée et de sortie, leur site Web fait une lecture intéressante sur le sujet de la durcissement d'un Arduino.

Ils vendent du MSP430 avec des circuits pour une utilisation dans les voitures.

Parce que je ne connais rien aux agréments industriels, je ne connais pas le type d'agrément pour les applications de sécurité de ces "micro-automates".

Cependant, pour un verrouillage de sécurité, je ne ferais confiance à rien avec un logiciel plus compliqué qu'un simple interrupteur.

Fondamentalement ... je n'ai pas de support pour Arduino. Arduino est exposé, il n'a pas de boîtier et ne donne aucune garantie sur certaines normes CEI que vous devez respecter. Par exemple, comment Arduino fonctionne avec 2 ou 3 ans de poussière sur son sommet.

À long terme, comme quelqu'un l'a déjà dit, si une machine coûte 1 M $ par jour, il est moins cher de ne pas utiliser Arduino. Principalement parce qu'il mourra, plus tard que tôt et dans 6 à 10 ans, l'Arduino que vous utilisez aujourd'hui ne sera plus disponible pour réparer une machine dans un délai approprié (étant open source, vous pouvez le produire ... mais).

OTOH ... si vous utilisez Arduino comme API, vous devez développer des circuits auxiliaires, développer des tonnes de logiciels et à la fin, après des tonnes de temps et d'équipement, vous verrez que vous aurez les mêmes qu'Allen Bradley, Siemens et al. mais avec un coût supérieur.

Non seulement le coût de fabrication est énorme, mais sa modification dans quelques années le sera, surtout si vous essayez d'intégrer la technologie de bus de terrain comme Profibus ou ASi.

C'est amusant de jouer ... mais ce n'est pas LA solution.

La plus grande partie de la robustesse vient de l'EE mis derrière la conception électrique de l'ensemble du schéma et du PCB. Il n'y a rien de spécial dans l'utilisation des puces «certifiées» par les entreprises - elles sont juste moins chères en quantité et ont peut-être leurs propres certifications. Mais je suppose qu'Atmel et Microchip correspondent déjà à ceux-ci. La vraie force vient de nombreux tests, de diverses méthodes de sauvegarde (détecteurs de surtension / surtension, chiens de garde) et d'une mise en page soignée. Mon impression est que PIC / Arduino ne sont pas utilisés à grande échelle car ils sont plus chers et fournissent plus que nécessaire en réalité.

Je suis ingénieur électronique et j'utilise une méga carte Arduino pour mes quelques applications éducatives et je suis également l'utilisateur de modules Labview DAQ comme DAQ-6009/6008 et etc ... je suis également l'utilisateur d'un automate allen-bradelly et etc. .mais je trouve que l'adéquation d'Arduino doit être testée dans des environnements industriels difficiles comme les fluctuations de température, les conditions de poussière et d'humidité et aussi les vibrations et les rayonnements EM et même une connexion fiable aux capteurs ou actionneurs et également aux autres cartes de traitement de données nécessaires avant donner le signal i? p et avant de le donner aux effecteurs finaux finaux comme les valves et etc ...

à partir de cette page Web et de cette discussion, je vais générer la facilité de test des cartes Arduino pour les applications industrielles .. pour différents types d'environnements .. et pour différents paramètres .. etc.

Le microcontrôleur Atmel qui exécute l'Arduino est également disponible pour les systèmes de contrôle automobiles et industriels. Jusqu'ici tout va bien!

[quote] Leur matériel est fabriqué avec les mêmes processus de fabrication que les Arduinos [/ quote]

Malheureusement, le reste de la carte Arduino n'est probablement pas aussi robuste.

Il existe un certain nombre de compromis de conception qui peuvent réduire la durée de vie à moindre coût. Par exemple, les condensateurs peuvent ne pas être évalués à 10 000 heures à 105 ° C, mais à la place à 2 000 heures à 80 ° C, et il y a là une réelle différence de durée de vie! De même, le régulateur de l'Arduino est une version bon marché à haut taux de chute, plutôt qu'une version ultra-faible plus efficace. (Vous êtes-vous déjà demandé pourquoi l'Arduino a besoin de 7 V ou plus pour générer 5 V? C'est pourquoi - avec un régulateur ULDO, 5,3 V aurait été suffisant.) Et votre alimentation électrique tombera-t-elle jamais en panne? Comment savez-vous que l'ensemble du système est dans un état sûr s'il le fait? Il n'y a même pas de fusible sur la carte!

De même, il n'y a pratiquement aucune protection contre un environnement hostile sur la carte Arduino. Les contacts sont des contacts femelles bon marché, de qualité grand public, évalués à quelques dizaines d'insertions, et non des contacts classés IP-65 (pour le coût.) Les broches d'E / S reposent sur la faible protection ESD intégrée du microcontrôleur Atmega, sans externe protection.

Si je devais construire un système critique pour la sécurité, je pourrais très bien utiliser un MCU Atmega, mais je n'utiliserais pas la carte Arduino telle quelle. Le coût de la rotation d'une nouvelle carte avec de nouveaux composants conçus pour la situation serait faible en comparaison. Et sur cette carte, je pouvais mettre tout le matériel de pilote dont j'ai besoin, et la protection d'interface, et utiliser de vrais connecteurs renforcés. Non pas que je sois réellement qualifié pour construire un système électronique critique pour la sécurité - je suis un gars du logiciel!

Pour un aperçu de l'Arduino avec une protection électrique (mais toujours pas de protection sur les autres modes de défaillance), consultez le Ruggeduino: http://ruggedcircuits.com/html/ruggeduino.html

Je pense que les problèmes de poussière, d'humidité, de vibrations, etc., peuvent être facilement résolus. Je travaille dans la réparation de carrosseries automobiles depuis 30 ans et je suis au service de toutes sortes de contrôleurs. La solution simple utilisée dans les automobiles pour faire face à l'environnement hostile consiste à enfermer le module de commande dans une résine non conductrice qui empêche toute humidité ou poussière d'entrer en contact avec le contrôleur tout en rendant le contrôleur imperméable aux vibrations.

Je suis également kayakiste et j'ai construit un système de pompe électrique pour mon bateau afin de résoudre le problème potentiellement mortel d'essayer de pomper un bateau inondé dans des conditions de tempête. Au fil des ans, le problème des pompes électriques dans les kayaks a été l'électronique accessible à l'utilisation mais protégée de l'eau salée. Personne ne semblait avoir d'autre succès que temporaire.

Il s'avère que, en utilisant un interrupteur magnétique et un interrupteur et un contrôleur enfermés dans de l'uréthane, j'ai un système qui a survécu à 3 ans de sel, et des submersions d'eau douce ainsi que tous les coups que les vagues et le transport de voitures peuvent jeter sur bateau.

Je ne suis pas un expert en électronique, attention. Alors peut-être qu'il y a une faiblesse dans Arduinos qui les rend inadaptés aux systèmes de sécurité mais il n'y a rien dans l'environnement contre lequel ils ne pourraient pas être protégés avec un peu de réflexion.

L'utilisation d'Arduino en environnement industriel peut être acceptable si:

1. Vous protégez vos entrées et sorties aussi bien que les automates
2. Vous implémentez la détection de brownout et le chien de garde dans votre application ou à l'aide de matériel externe
3. Votre application veille à ce que vos sorties soient toujours dans un état sûr connu
4. Vous implémentez tous les verrouillages et la sécurité directement dans le code
5. Vous passez plus de temps à tester qu'à écrire du code
6. Vous n'avez pas besoin de certification pour votre appareil personnalisé

Vous devrez probablement fournir MODBUS ou PROFIBUS interface de protocole et créer des pilotes pour interfacer 0..20mA, 4..20mA, 0..10V, TC, moteurs, encodeurs (ou utiliser des cartes esclaves MODBUS / PROFIBUS avec de tels pilotes intégrés ) ...

Si vous souhaitez programmer votre appareil en logique à relais au lieu de C / ASM / PAS / BAS, vous le pouvez. Ce logiciel fournit cela.