Anti-windup por integração condicional

No PI já conhecido, o controlador calcula um comando solicitado, aqui chamado de u_calculado. O atuador só pode receber valores dentro de sua faixa; depois do limitador, temos u_aplicado.

Se a faixa permitida é de 0 a 100 e o PI solicita 128, então:

• u_calculado = 128
• u_aplicado = 100

Isso é saturação superior. A diferença não é erro de registro: ela mostra a ação do limitador. De modo simétrico, um comando calculado abaixo de 0 resulta em comando aplicado igual a 0.

Para distinguir uma saturação passageira de windup, registre grandezas sincronizadas a cada atualização:

• referência r e medição y, para conferir o erro;
• erro e = r − y;
• estado integral I;
• u_calculado = P + I, antes do limite;
• u_aplicado, depois do limite.

O estado I não é o comando aplicado. Comparar essas colunas ao longo do tempo mostra se a memória integral está mudando sem produzir aumento adicional de atuação.

Nas amostras 2 a 8, a saída já está saturada em 100. Mesmo assim, I cresce de 54 para 162 e u_calculado se afasta de 114 para 222. O comando aplicado permanece em 100.

Esse acúmulo de I no mesmo sentido da saturação é windup. Uma única amostra limitada evidencia saturação, mas não basta para evidenciar windup. Para isso, observe uma sequência: estado integral crescendo, comando calculado se afastando do limite e atuação sem aumento correspondente.

Analise as duas tabelas em conjunto. A igualdade com um limite pertence à faixa permitida: u_calculado = 100 não excede o máximo de 100. Portanto, diferencie o instante em que a saturação termina daquele em que o comando passa a ficar estritamente abaixo do máximo.

Limitar apenas o comando final protege o atuador, mas não impede que I continue crescendo enquanto a saída já está no limite. Já limitar I a uma faixa fixa é uma regra diferente e pode ser inadequado: o comando é a soma u = P + I.

Por exemplo, mesmo que I = 90 esteja dentro de uma faixa de 0 a 100, uma parcela P = 80 produz u = 170. Portanto, limitar I à mesma faixa da saída não limita o comando total.

A integração condicional toma uma decisão mais direta: bloqueia somente o incremento integral que empurra o comando ainda mais para fora de um limite.

Ainda não altere o estado integral persistente. Primeiro, calcule valores provisórios:

1. I_candidato = I_anterior + ΔI
2. u_candidato = P + I_candidato

Depois classifique o efeito de ΔI. Só então I poderá ser aceito ou preservado. Essa separação mantém disponível o valor anterior caso a atualização precise ser bloqueada.

A convenção deste tutorial é:

• Bloquear se u_candidato > u_max e ΔI > 0.
• Bloquear se u_candidato < u_min e ΔI < 0.
• Aceitar nos demais casos.

O teste do limite identifica onde está o candidato. O sinal de ΔI mostra se a atualização aponta para fora da faixa ou de volta para ela.

A existência de saturação não basta para bloquear a integral. Acima do limite superior, um ΔI negativo reduz I e ajuda o comando a retornar. Abaixo do limite inferior, um ΔI positivo faz o equivalente no outro sentido.

Assim, uma atualização corretiva é aceita mesmo quando um único passo ainda não traz u_candidato de volta para dentro da faixa.

Agora aplique a regra a casos novos. Em cada situação, some I_anterior + ΔI para obter I_candidato; depois some P para obter u_candidato. Relacione cada caso ao resultado completo correto.

Considere sempre u_min = 0 e u_max = 100.

A atualização protegida é uma sequência de cálculo e decisão. Trate state.i como o estado confirmado da chamada anterior: ele não deve mudar enquanto você avalia o candidato.

1. Calcule p e deltaI.
2. Forme iCandidate e uCandidate.
3. Decida se deltaI agrava uma saturação.
4. Confirme o candidato ou preserve state.i.
5. Recalcule o comando com o I escolhido.
6. Limite o comando final que será aplicado.

O último limite continua necessário. Mesmo com a integral bloqueada, a parcela proporcional pode manter uCalculated além da faixa permitida.

A função abaixo é autocontida: recebe erro, ganhos, período e limites; recebe o estado integral por referência; e devolve os valores úteis para registro. Ela não lê sensores nem escreve em periféricos.

uCandidate é usado apenas na decisão. Após a decisão, uCalculated é recomposto com o estado efetivamente escolhido. Já uApplied é sempre o comando dentro dos limites.

Trecho de referência para estudar ou adaptar em seu próprio editor.

Ordene as operações de uma chamada da função, da primeira à última.

A ordem correta evita confirmar um estado que ainda precisava ser bloqueado. O limite final vem depois da recomposição de P + I com o estado escolhido.

Complete os trechos que implementam o bloqueio, a confirmação do estado e a limitação final.

Uma matriz de testes para a regra

Teste cada atualização como um caso independente. Fixe u_min = 0 e u_max = 100 e registre P, I_anterior, ΔI, u_candidato, decisão, I_resultante e u_aplicado.

A regra já implementada é:

• bloquear se u_candidato > u_max e ΔI > 0;
• bloquear se u_candidato < u_min e ΔI < 0;
• aceitar nos demais casos.

Após escolher o estado integral, recalcule u_calculado = P + I_resultante e limite esse valor para obter u_aplicado. Casos pontuais isolam erros de sinal e evitam que um resultado anterior esconda uma atualização incorreta.

Fronteiras que expõem erros sutis

A comparação é estrita. Se u_candidato for exatamente 100 ou exatamente 0, a atualização é aceita: não há comando além do limite. No ciclo seguinte, qualquer avanço para fora será avaliado novamente.

Se ΔI = 0, então I_candidato é igual a I_anterior. Logo, o estado integral não muda, independentemente de a lógica classificar a chamada como aceita ou bloqueada.

Examine também saltos grandes: não basta concluir que uma mudança de sinal “recupera” o sistema. O candidato final deve ser comparado aos dois limites.

Complete a condição geral de bloqueio superior e avalie-a no caso a seguir: uMin = 0, uMax = 100, P = 80, I anterior = 10 e deltaI = 10.

Nesse caso, iCandidate = 20 e uCandidate = 100. A primeira comparação da condição geral deve resultar falsa, pois a igualdade com o limite é permitida. Portanto, a atualização não é bloqueada.

Avalie a afirmação considerando que ΔI pode ser grande o bastante para levar o comando candidato de uma região acima do máximo para uma região abaixo do mínimo em uma única chamada.

Use dois controladores com os mesmos parâmetros: Kp = 0,2, Ki × Ts = 0,1, limites numéricos de comando de −10 a +10 e I inicial igual a 0.

A única diferença é a política da integral:

• Somente limitação da saída: atualiza I em toda chamada e limita apenas u_aplicado.
• Integração condicional: bloqueia apenas o ΔI que agravaria uma saturação.

Para dar sentido às referências do teste, suponha uma variável medida com faixa alcançável de 0 a 40. Assim, r = 70 e r = −50 ficam propositalmente fora dessa faixa; os retornos para r = 20 ficam dentro dela. Esta faixa é uma hipótese para rastrear a lógica, não um modelo nem uma previsão de uma planta RC.

Sem anti-windup, I chega a +18. Mesmo quando o erro se torna corretivo, o comando calculado fica acima do máximo até a atualização 8. Na atualização 9, u_calculado = +10: ele volta à faixa porque a igualdade com o limite é permitida.

Portanto, são necessárias seis atualizações corretivas, da 4 à 9, para o comando calculado deixar de exceder o limite superior.

Repita o raciocínio no limite inferior, reiniciando I = 0. Nas três primeiras atualizações, use r = −50 e y = 10. Então, e = −60, P = −12 e ΔI = −6. Depois, use r = 20 e y = 10: e = +10, P = +2 e ΔI = +1.

Os valores negativos são somente dados numéricos para testar a simetria da lógica. Eles não indicam aplicar tensão negativa, alterar a alimentação ou executar esse caso no circuito.

Na versão protegida, as três tentativas de ΔI = −6 são bloqueadas, pois o candidato está abaixo de −10 e o incremento é negativo. Na primeira atualização de retorno, ΔI = +1 é aceito: I passa de 0 para +1 e u_calculado = +2 + 1 = +3, dentro da faixa.

A simetria é exata: no limite superior bloqueia-se o incremento positivo que agrava o excesso; no inferior, bloqueia-se o negativo que agrava a falta.

Complete dois pontos do registro superior sem anti-windup. Após as três chamadas saturadas, I = +18. No retorno, P = −2 e cada chamada acrescenta ΔI = −1 ao estado integral.

Observe que o comando calculado é obtido antes do limitador. O comando aplicado continua em +10 enquanto o calculado estiver acima desse limite.

O bloqueio por saturação e uma pausa de controle resolvem problemas diferentes. Na saturação, o PI continua ativo e decide se aceita ou bloqueia apenas o incremento integral que agravaria um limite. Já com o controle desabilitado ou uma medição inválida, não há uma atualização de controle confiável: não calcule erro, ΔI nem comandos candidatos.

A política usada neste tutorial é explícita:

1. Durante a pausa, aplicar um comando seguro e congelar I.
2. Só sair da pausa com controle habilitado, medição válida e recente e autorização de retomada.
3. Na primeira atualização autorizada, fazer I = 0 antes de calcular o PI.

Nos exemplos numéricos do RC de baixa energia, o comando seguro é 0. Isso não é uma regra universal: outro atuador pode exigir outro comando seguro, definido pelo seu contexto.

Congelar I durante a pausa evita modificar o estado sem dados válidos. Porém, congelar não autoriza reutilizar esse valor indefinidamente: ele pode ter sido acumulado para uma condição anterior da planta e da referência.

Por isso, a retomada adotada reinicializa I antes da primeira atualização normal. Não some o erro durante o intervalo parado e não tente compensar a pausa executando várias atualizações atrasadas. A primeira amostra válida e autorizada inicia uma nova sequência de controle.

Use esta porta de entrada antes do cálculo do PI protegido. Se ela retornar false, mantenha o comando seguro e não calcule erro nem atualize a integral nesta chamada.

Complete a condição que detecta uma pausa. Enquanto ela for verdadeira, o estado fica pausado, o comando seguro é aplicado e a função deve retornar antes de qualquer cálculo do PI.

A validação final é um rastreamento lógico: ela não energiza uma planta nem demonstra estabilidade. Para cada chamada permitida, registre error, deltaI, uCandidate, a decisão, I, uCalculated e uApplied.

O contrato está atendido quando:

• I não avança no sentido que agrava uma saturação;
• um deltaI corretivo é aceito, mesmo se o candidato ainda estiver fora da faixa;
• uApplied sempre respeita os limites;
• desabilitação ou medição inválida interrompem o cálculo, congelam I e aplicam o comando seguro;
• uma retomada autorizada, com medição válida, zera I antes da primeira atualização.

Essas evidências verificam a lógica do software. A resposta do circuito RC e a sintonia dos ganhos serão tratadas no próximo tutorial.

A função final calcula deltaI internamente, preservando a relação do PI discreto: deltaI = ki × ts × error. Assim, com ki e ts positivos, deltaI tem o mesmo sinal do erro.

O campo persistente pausado impede uma retomada implícita. Uma entrada inválida marca a pausa e retorna sem calcular erro, candidato ou integral. Mesmo quando a medição volta a ser válida, o comando seguro permanece até existir autorização de retomada. Só então a integral é zerada, a pausa é limpa e uma atualização protegida pode ocorrer.

Função autocontida para estudo, rastreamento ou execução local opcional. Ela calcula deltaI a partir de ki, ts e error.

Use kp = 1, ki = 1, ts = 0,2 s, limites de 0 a 10 e estado inicial deliberadamente elevado: I = 14, pausado = false. Portanto, em toda chamada válida, deltaI = 0,2 × error.

Esse estado inicial é um dado de teste para verificar a recuperação de uma integral já alta. O estado confirmado em cada linha alimenta a linha seguinte. O caso começa dentro da faixa, passa por saturação superior, aceita uma correção ainda saturada, testa o limite inferior e então atravessa pausa e retomada.