O Dual Safety do AutroSafe 4 liga dois sistemas, primário e secundário, aos mesmos laços de detecção. Se o primário falhar no controle dos laços, o secundário assume e a detecção continua, sem duplicar cabos e detectores. A transferência depende das condições de acesso ao laço e de o secundário estar pronto para assumir.
Resumo
- Dois sistemas AutroSafe, primário e secundário, ficam ligados aos mesmos laços de detecção.
- O AutroKeeper BN-180 garante que só um sistema controle cada laço e faz a troca se o ativo falhar.
- Não é preciso dobrar cabos nem detectores; os Loop Drivers seguem regras próprias de ligação.
Artigo educacional e independente, não é documentação oficial da Autronica.
O que é o Dual Safety no AutroSafe
Disponível desde a versão 4.3, o conceito aumenta a disponibilidade da detecção em navios e plataformas. A documentação o relaciona à convenção SOLAS, de segurança da vida humana no mar, e ao requisito “Safe Return to Port” (retorno seguro ao porto).
A redundância envolve painéis, alimentação e módulos de entrada e saída (E/S) duplicados. Os equipamentos de campo compartilham o mesmo conjunto de laços.
Como o AutroKeeper controla o acesso
O AutroKeeper BN-180 fica entre o módulo controlador e o laço. Os dois AutroKeepers comunicam-se pelo próprio laço para manter um ativo e outro em standby (reserva), evitando controle simultâneo.
Em standby, o AutroKeeper cria isolamento galvânico, uma separação elétrica entre seu sistema e o laço, permitindo fontes de energia diferentes. Uma falha à terra no laço só é detectada e afeta o lado ativo. Desabilitar o laço deixa ambos em standby, com o laço sem alimentação e eletricamente flutuante.
Quando acontece a transferência
Os AutroKeepers monitoram os sistemas e um ao outro. O comportamento depende do evento, conforme o System Description, capítulo 3.10.3:
| Situação | O que acontece |
|---|---|
| Transferência manual por laço | Se aceita, a solicitação provoca transferência imediata daquele laço. |
| Comandos “Take” ou “Give” | AutroSafe ou AutroMaster solicita assumir ou ceder o controle por painel, podendo abranger todos os seus laços, mediante aceitação. |
| Troca automática | Pode ocorrer com atraso, por laço, quando o monitoramento identifica uma alternativa melhor. |
| Colisão de controladores | O AutroKeeper que primeiro detecta o conflito recua para standby. |
| Laço perde energia ou é desconectado | A troca é imediata. |
| Curto-circuito | O lado que estava ativo tenta restabelecer o laço. |
| AutroKeeper perde a alimentação de 24 V | Continua alimentado pelo laço, mas tenta sair do modo ativo. Perdidas ambas as fontes, há troca se o outro estiver pronto. |
Essas ações podem falhar, inclusive por conflito de acesso ou indisponibilidade do standby. O sistema conectado é sempre informado do modo atual ou novo.
Como ligar os módulos do laço
No Dual Safety, a capacidade aumenta de 6 para até 12 laços por painel. Cada pilha de E/S admite até 6 Loop Driver Modules; acima disso, usam-se outras pilhas. Só o BSD-310 é permitido, não o BSD-311.
A ligação direta usa cabo AL_Com+ de até 3 m. Acima dessa distância, usa-se AutroFieldBus (AFB) com conversor BSD-321: até 12 conversores e cabo AFB de até 1.000 m, extensível com booster (reforçador). Essas regras valem para ambos os sistemas.
No exemplo naval do manual, a zona de incêndio 1 reúne o primário, o laço e os módulos controladores do secundário. Os painéis secundários ficam na zona 2; nessa ligação, só o AFB cruza a divisa. No passadiço, o AutroMaster supervisiona ambos via AutroCom e permite solicitar transferências nos dois sentidos.
Capacidade do sistema
O System Description (capítulos 3.9 e 3.10.4) traz estes limites máximos. Os demais limites de unidades e módulos variam com a configuração e devem ser conferidos no manual da versão instalada.
| Item | Sistema padrão | Dual Safety |
|---|---|---|
| Painéis por sistema | 64 | 16 primários + 16 secundários |
| Laços por painel | Até 6 | Até 12 |
O que observar no painel
Normalmente, o primário fica ativo. O indicador amarelo “Dual Safety Stdby” fixo informa que aquele painel está em standby e o outro sistema controla os laços. Piscando, indica controle incompleto dos laços ou unidades, ou transferência em curso: é preciso agir.
Para solicitar a mudança, acesse “Service” → “Dual Safety” → “Transfer to Primary” ou “Transfer to Secondary”, conforme o destino desejado.
Configuração que muda o comportamento
O Safety Manual, item 4.7.1, permite transferir apenas os laços perdidos ou todos os laços quando o critério de um deles for atendido, pela opção “Swap loop control for all loops”. Por padrão, o Dual Safety não inicializa automaticamente; a opção “Dual Safety automatic initialisation” permite configurar essa inicialização no primário.
O Dual CPU, de processamento redundante, usa a mesma base e transfere todos os laços de uma vez nos eventos previstos no capítulo 3.11, podendo o painel secundário ficar em outro local.
Redundância, zona e isolador
Dual Safety fornece controle redundante; a zona de operação organiza os pontos logicamente. O isolador atua sobre curtos no circuito, função abordada no artigo sobre módulos e laços do AutroSafe 4. SIL 2 (nível de integridade de segurança 2) é assunto de outro artigo.
Erro comum x boa prática
| Erro comum | Boa prática |
|---|---|
| Usar BSD-311 no Dual Safety | Especificar BSD-310, conforme o manual. |
| Achar que precisa duplicar laços e detectores | Compartilhar os laços, duplicando painéis, alimentação e módulos previstos. |
| Deixar o secundário sem monitorar falhas | Manter automonitoramento e sinalização de falhas mesmo em standby, conforme o Safety Manual. |
| Não testar a transferência nos dois sentidos | Verificar ida e retorno no comissionamento e na manutenção, conforme o projeto. |
A R2 Safety é distribuidor autorizado Autronica e Assistência Técnica Autorizada Autronica, e atende projetos, retrofit e manutenção de sistemas AutroSafe, inclusive com Dual Safety.
Perguntas frequentes
O que é o Dual Safety do AutroSafe?
É o controle redundante dos mesmos laços por dois sistemas AutroSafe, um primário e outro secundário, com acesso coordenado por AutroKeepers.
Preciso de dois laços de detecção para ter Dual Safety?
Não é necessário duplicar o conjunto de laços e detectores. Os dois sistemas compartilham os laços, com painéis, alimentação e módulos duplicados.
O que o AutroKeeper BN-180 faz?
Coordena qual controlador acessa o laço, monitora as condições para transferência e mantém isolamento galvânico no lado em standby.
Quanto tempo leva a troca para o sistema secundário?
O manual descreve uma troca curta o suficiente para as unidades continuarem funcionando com energia do capacitor interno, conforme a versão. Não informa um tempo numérico nesse trecho.
Dual Safety atende o Safe Return to Port?
A documentação apresenta o conceito para atender ao requisito SOLAS “Safe Return to Port”. A aplicação deve seguir os manuais correspondentes à versão instalada e o projeto.
Referências
Este artigo é educacional e independente. Não é documentação oficial da Autronica e não substitui os manuais nem o projeto da instalação. Vale sempre a edição correspondente à versão instalada.
- AutroSafe: System Description (Doc-1004720-3, 06/02/2026), capítulos 3.9 a 3.11.
- AutroSafe: Operator’s Handbook (Doc-1004716-4, 01/09/2026), item 14.9.
- AutroSafe: Safety Manual (Doc-1002867, rev. 8), itens 3.2.2, 4.2.2 e 4.7.1.
- Ficha técnica AutroKeeper BN-180 (116-P-BN180/CGB, rev. C, 27/09/2011).
Precisa de apoio técnico ou cotação formal para sua operação?
Nossa equipe de engenharia atende cotações de locação industrial, aquisição de equipamentos e calibração acreditada RBC (CAL 0826 exclusiva para detectores de gases) em horário comercial.