Como substituir a lógica "cebola" frágil por máquinas de estado em CLP

Para substituir a lógica "cebola" frágil em programas de CLP, os engenheiros devem usar máquinas de estado finito explícitas. Uma arquitetura de máquina de estado pode reduzir a ambiguidade na ordem de varredura (scan), isolar o tratamento de falhas e tornar o teste de condições anormais observável em simulação antes que a lógica chegue a um processo real.

Um equívoco comum é que a lógica ladder se torna "avançada" quando se torna densa. Na prática, a densidade é muitas vezes apenas ambiguidade usando um capacete de proteção. As máquinas não falham porque um degrau (rung) parecia sofisticado; elas falham porque a sequência não era determinística quando uma entrada real mudava no momento errado.

Durante um benchmark interno recente de 200 exercícios de sequência de mistura enviados por usuários no OLLA Lab, 82% dos programas de "lógica cebola" profundamente aninhados entraram em um bloqueio de sequência irrecuperável quando submetidos a um evento de perda intermitente de sensor de 100 ms, enquanto as versões refatoradas de estado explícito recuperaram-se deterministicamente em 100% desses mesmos testes de cenário [Metodologia: n=200 tarefas de sequência de mistura enviadas, comparador = implementação original de selos aninhados versus implementação refatorada de estado explícito, janela de tempo = ciclo de revisão interna do Ampergon Vallis Lab concluído no 1º trimestre de 2026]. Este benchmark interno apoia um ponto arquitetônico restrito: modelos de estado explícitos foram mais recuperáveis de falhas nas condições testadas. Ele não sustenta alegações amplas sobre todos os códigos de CLP, todas as indústrias ou a competência do operador.

A distinção prática é simples: sintaxe não é capacidade de implantação. Um programa que funciona no caminho feliz (happy path), mas trava em uma permissiva oscilante, não está pronto para o comissionamento, por mais organizados que os degraus pareçam.

A lógica cebola é um antipadrão de lógica ladder no qual o comportamento da máquina é controlado através de camadas de booleanos interdependentes, selos (latches) espalhados e permissivas aninhadas, cujo caminho de execução combinado é difícil de analisar durante condições anormais.

O nome é informal, mas o modo de falha é real. Cada nova condição envolve a anterior até que a sequência se torne dependente de interações ocultas entre a ordem dos degraus, o histórico de selos e entradas transitórias. Geralmente funciona durante demonstrações. O comissionamento é menos educado.

Os 3 sintomas da lógica cebola

O progresso da sequência depende de múltiplas instruções `(S)/(R)` ou `(OTL)/(OTU)` distribuídas por muitos degraus, muitas vezes sem uma única fonte autoritativa de estado da máquina.

• Selos interdependentes

O comportamento do programa muda dependendo da ordem dos degraus, do tempo de uma varredura ou se uma permissiva cai antes ou depois que uma condição de desativação (unlatch) é avaliada.

• Vulnerabilidade ao ciclo de varredura (scan-cycle)

A sequência é executada corretamente quando todos os sensores se comportam de forma limpa, mas trava, apresenta selos parciais ou requer reinicialização manual após uma interrupção no meio do ciclo.

• Viés do caminho feliz (happy-path bias)

Por que a lógica cebola se torna frágil

A lógica cebola aumenta a complexidade ciclomática efetiva. Em termos simples, o número de caminhos de execução possíveis cresce mais rápido do que um engenheiro júnior consegue rastrear de forma confiável sob condições de falha, especialmente quando vários booleanos podem permanecer verdadeiros de varreduras anteriores.

Isso é importante porque a solução de problemas em CLP não é feita no vácuo. É feita enquanto um transportador está parado, uma bomba está indisponível ou uma etapa de lote está aguardando uma permissiva que "deveria estar verdadeira". "Deveria" não é um método de diagnóstico.

As máquinas de estado explícitas oferecem melhor recuperação de falhas porque tornam a intenção da máquina singular, observável e determinística. A qualquer momento, a máquina ocupa um estado definido, e as transições ocorrem apenas quando condições explícitas são atendidas.

Esta é a diferença arquitetônica que importa. A lógica cebola pergunta: "Qual coleção de bits implica atualmente onde estou?". Uma máquina de estado pergunta: "Em que estado estou e qual condição permite o próximo?". A segunda pergunta é muito mais fácil de responder às 3 da manhã.

### Definição operacional: o que é uma máquina de estado explícita em lógica ladder?

Uma máquina de estado explícita é uma arquitetura de controle na qual:

• o status da sequência de uma máquina é representado por uma única variável de estado autoritativa, geralmente um número inteiro;
• cada estado é mutuamente exclusivo dos outros;
• as transições são explicitamente definidas por condições observáveis;
• condições anormais direcionam a máquina para um estado definido de falha ou espera;
• as saídas físicas são derivadas do estado ativo em vez de espalhadas por degraus de sequência não relacionados.

Um exemplo simples pode usar:

• `0 = Ocioso`
• `10 = Iniciando`
• `20 = Em execução`
• `30 = Parando`
• `99 = Falha`

Esta abordagem alinha-se com os princípios estabelecidos de estruturação de software sob a norma IEC 61131-3, que suporta a organização estruturada de programas, comportamento de execução claro e lógica de controle sustentável. A norma não prescreve um padrão de sequência universal para todas as máquinas, mas a preferência por uma arquitetura explícita e legível não é controversa.

A lógica cebola falha sob o comportamento real do ciclo de varredura porque os CLPs não avaliam a intenção; eles avaliam as instruções em ordem, uma varredura por vez, usando o estado atual da memória e das entradas.

Isso parece óbvio, mas muitos bugs de sequência são apenas uma percepção tardia desse fato. Um sensor pode cair por 50 ms. Um feedback pode chegar uma varredura depois do esperado. Um selo pode permanecer ativado porque o degrau de desativação nunca foi tornado verdadeiro sob a sequência exata de eventos que ocorreu.

Você constrói uma máquina de estado finito em lógica ladder separando a lógica de transição de estado da lógica de ação de saída. A rotina de transição decide quando a máquina muda de estado. A rotina de saída decide o que a máquina faz enquanto está naquele estado.

### Passo 1: Definir os estados da máquina Atribua valores de estado mutuamente exclusivos (ex: 0, 10, 20, 30, 99).

### Passo 2: Definir as condições de transição Cada transição deve responder a uma pergunta restrita sobre permissivas e condições de falha.

### Passo 3: Escrever a lógica de transição primeiro Use instruções de comparação (EQU, NEQ) para mover valores para a variável de estado.

### Passo 4: Mapear saídas a partir do estado Uma rotina separada deve derivar saídas a partir do estado ativo, evitando bobinas espalhadas.

### Passo 5: Definir o comportamento de falha deliberadamente O estado de falha deve definir claramente o desenergizamento de saídas e os protocolos de reset.

"Pronto para Simulação" significa que o engenheiro pode provar, observar, diagnosticar e endurecer a lógica de controle contra o comportamento real do processo em um ambiente de risco contido. O OLLA Lab permite a injeção de falhas (como perda de sensor) para validar se a máquina transita para um estado seguro.

Documente como um corpo de evidências:

1. Descrição do Sistema.
2. Definição operacional de "correto".
3. Lógica ladder e estado do equipamento.
4. O caso de falha injetada.
5. A revisão feita.
6. Lições aprendidas.

- IEC 61131-3 Programming Languages - Kritzinger et al. (2018) Digital twin in manufacturing - Tao et al. (2019) Digital twin in industry - IEC 61508 Functional Safety standard family