Védelem a véletlenszerű egyedi hibák veszélyeztető hatása ellen Biztonsági stratégiák

Átírás

1 Védelem a véletlenszerű egyedi hibák veszélyeztető hatása ellen Biztonsági stratégiák Dr. Sághi Balázs diasorra alapján összeállította, készítette Dr. Baranyi Edit

2 KÖZLEKEDÉSI AUTOMATIKA FOLYAMATIRÁNYÍTÓ RENDSZEREK KIALAKÍTÁSA BIZTONSÁGI VONATKOZÁSOK BIZTONSÁG VESZÉLYEZTETÉS b = v B P B (t) A BIZTONSÁG MÉRTÉKE P B (t) = 1 - P V (t) l(t) [h -1 ] A BIZTONSÁG KÍVÁNT FOKA P B (t) P Bmin P V (t) P Vmax V P V (t)

3 VESZÉLYFORRÁSOK KIKÜSZÖBÖLÉSE HATÁS KIKÜSZÖBÖLÉSE HATÁS MÉRSÉKLÉSE AZ IRÁNYÍTÓ RENDSZER VÉLETLENSZERŰ MEGHIBÁSODÁSA IRÁNYÍTÓ- RENDSZER IRÁNYÍTÓ- RENDSZER FOLYAMAT FOLYAMAT

4 AZ IRÁNYÍTÓ RENDSZER VÉLETLENSZERŰ MEGHIBÁSODÁSAI ELLENI VÉDELEM ESZKÖZEI BIZTONSÁGI STRATÉGIÁK MÓDSZEREK ELJÁRÁSOK VESZÉLYFORRÁSOK KIKÜSZÖBÖLÉSE HATÁS KIKÜSZÖBÖLÉSE HATÁS MÉRSÉKLÉSE P B (t) P Bmin P V (t) P Vmax IRÁNYELVEK, INTÉZKEDÉSEK MŰSZAKI SZERVEZÉSI IRÁNYÍTÓ RENDSZER KIALAKÍTÁSA ÜZEMELTETÉSE (Karbantartás, javítás)

5 MŰKÖDŐKÉPESSÉG FENNTARTÁSA Megbízhatóságnövelő módszerek BIZTONSÁGI ÁLLAPOT ELÉRÉSE SAFE-LIFE Tökéletesség, hibakizárás FAULT-TOLERANT Hibatűrés, hibahatás maszkolása FAIL-SAFE Hibabiztos, akadályozó állapot Azonnali vagy szabályozott leállás AZ IRÁNYÍTOTT FOLYAMAT JELLEGÉTŐL FÜGGŐ VÁLASZTÁS BIZTONSÁG = MŰKÖDŐKÉPESSÉG Pl. repülés BIZTONSÁGOS HIBAÁLLAPOT Pl. energiaminimum (szárazföldi) SAFE-LIFE FAULT-TOLERANT FAIL-SAFE AZ IRÁNYÍTÓRENDSZER KARBANTARTÁSI, JAVÍTÁSI LEHETŐSÉGEI

6 Hibabiztos: hiba esetén biztonságos (akadályozó) állapotba jut, és a javításig ott is marad

7 Példa

8 AKADÁLYOZÓ ÁLLAPOT, VESZÉLYEZTETŐ ÁLLAPOT 0 P 0 (t) m a l a l v m v AKADÁLYOZÓ ÁLLAPOT hibafelismerés, lekapcsolás hibakatalógus hibaszituációk 1 P 1 (t) P P B V ( t) ( t) P ( t) 0 P 2 ( t) l v << l a m v << m a 2 P 2 (t) P ( t) 1 A hibafelismerő mechanizmus hibája is akadályozó állapotot kell, hogy kiváltson! VESZÉLYEZTETŐ ÁLLAPOT tudatos kockázatvállalás - hibakizárás kockázat-tűrés!!! nem tudatos kockázatvállalás ismeretlen alkatrészek, szoftverek Intézkedések a nem tudatos kockázatvállalás mérséklésére A rendszer az egyszer már elért akadályozó állapotot csak emberi beavatkozásra (javítás) hagyhatja el.

9 Önellenőrzés A hibafelismerő mechanizmus saját hibáját is ismerje fel, és ez a felismert hiba is akadályozó állapotot kell, hogy kiváltson!

10 EGY HIBA ELV a kapcsolásokat úgy kell kialakítani, hogy egy hiba önmagában ne okozhasson veszélyeztető állapotot; a hibafelismerő mechanizmus kialakításánál akkor elegendő egyidejűleg egy hibát feltételezni ha, ez a hiba felismerhető, és a hibafelismerő mechanizmusnak nem kell túl sok elemet ellenőriznie; a fellépő hibát még egy újabb hiba fellépése előtt, T a időn belül fel kell ismerni, és a rendszert akadályozó állapotba kell vezérelni, hogy az esetleges további hibák hatástalanok legyenek: T a 1, ahol a l1 l2 1000a amennyiben az első hiba nem ismerhető fel, úgy további egyidejű hibákat kell feltételezni mindaddig, amíg a hibakombináció felismerhetővé nem válik.

11 A veszélyeztető állapot átvezetése akadályozó állapotba 0 0 l a m v l a ma l v ma l v Egy hiba elv - kikapcsolási idő >> m v esetén

12 Valódi fail-safe rendszerek Alapfeltétel: aszimmetrikus meghibásodási tulajdonság Megvalósítás: egycsatornás kivitel Kvázi fail-safe rendszerek Alkalmazás: szimmetrikus meghibásodási tulajdonság esetén Megvalósítás: többcsatornás kivitel fail-safe összehasonlítóval

13 Valódi fail-safe rendszerek Alapfeltétel: aszimmetrikus meghibásodási tulajdonság Megvalósítás: egycsatornás kivitel

14 VALÓDI FAIL-SAFE RENDSZEREK Önellenőrző tulajdonság: kapcsolóelemek + kapcsolástechnika Egycsatornás kialakítás ASZIMMETRIKUS MEGHIBÁSODÁSI TULAJDONSÁG parciális meghibásodási ráták 0 Valódi FS l e l h X 1 2 Kapcsolóelemek biztonsági jelfogók speciális elektronika l = l e + l h l h << l e l v << l a

15 A PÉLDA Biztonsági jelfogóknál konstrukciós alapon kizárható, hogy a jelfogó állapotával ellentétes érintkező zárjon B P B Z A P A Z B Reset E Z B P B Z A P A Z A E Z B E E Z A Z B

16 FÉLVEZETŐ ELEMEK PROBLÉMÁJA +U T 0 l sa 0 1 l sa 1 2 U Be U Ki l sa0 l sa1 Stuck at 1 sa1 Stuck at 0 sa0 Szimmetrikus meghibásodási tulajdonság Nincs veszélytelen hibaállapot Megoldás: speciális,valódi FS elektronika többcsatornás kialakítás

17 Speciális, huzalozott félvezető logika 1 Szokásos H Speciális 0 0 L 1 0 Egycsatornás valódi FS feldolgozás Korlátozott alkalmazhatóság

18 Reaktív hibabiztosság VALÓDI FAIL-SAFE RENDSZEREK Ennél a technikánál megengedjük, hogy egy biztonságreleváns funkciót egyetlen egység lásson el, feltéve, hogy annak biztonságos működése bármely veszélyes hiba behatárolásával és hatálytalanításával biztosítható. Bár a tényleges biztonságreleváns funkciót csak egyetlen egység látja el, az ellenőrző/tesztelő/hibadetektáló funkciót másik egységként kell tekinteni, amely független a közös eredetű hibák elkerülése végett.

19 Reaktív hibabiztosság VALÓDI FAIL-SAFE RENDSZEREK A FUNKCIÓ HIBADETEKTÁLÁS BIZT. ÁLL.-BA VALÓ KÉNYSZERÍTÉS A FUNKCIÓ OUTPUT A FUNKCIÓ HIBÁJA DETEKTÁLÁS OUTPUT T BIZTONSÁGI ÁLLAPOT Az A -ban fellépő hiba felismerési és a biztonságos állapotba való kényszerítési ideje nem haladhatja meg a tranziens, potenciálisan veszélyes kimeneti jel időtartamára vonatkozó korlátot.

20 Kvázi fail-safe rendszerek Alkalmazás: szimmetrikus meghibásodási tulajdonság esetén Megvalósítás: többcsatornás kivitel fail-safe összehasonlítóval

21 Duál elektronikai felépítés KÉTCSATORNÁS KIALAKÍTÁS A KIMENETEK ÉS KAPCSOLATÁVAL Információfeldolgozás: nem fail-safe 2 v 2 (2-ből 2) rendszer

22 KVÁZI FAIL-SAFE RENDSZEREK 1 1 Információfeldolgozás: nem fail-safe 2 v 2 (2-ből 2) rendszer Kimenet: valódi fail-safe összehasonlító 1 2 Reset 2 ÖH 2 l a = 2l l ÖH l l Számítógépek 1 2 ÖH ÖH l ÖH <<l ÖH+K Valódi FS Időablak! Közös módusú hibák!!! Diverz kialakítás???

23 Összetett (kompozit) hibabiztosság KVÁZI FAIL-SAFE RENDSZEREK Minden egyes biztonságreleváns funkciót legalább két egység lát el. Ezeknek az egységeknek függetlenek kell lenniük minden más egységtől a közös eredetű hibák elkerülése végett. A nem akadályozó (restrictive) jellegű működések csak akkor hajtódhatnak végre, ha a szükséges számú egység egyetért. Egy egység veszélyes hibájának felismerése és hatástalanítása adott időn belül meg kell, hogy történjen annak érdekében, hogy a második egység azonos jellegű hibája elkerülhető legyen.

24 Összetett (kompozit) hibabiztosság KVÁZI FAIL-SAFE RENDSZEREK A FUNKCIÓ HIBADETEKTÁLÁS A FUNKCIÓ B FUNKCIÓ & BIZT. ÁLL.-BA VALÓ KÉNYSZERÍTÉS OUTPUT B FUNKCIÓ HIBADETEKTÁLÁS A FUNKCIÓ HIBÁJA DETEKTÁLÁS B FUNKCIÓ HIBÁJA OUTPUT T BIZTONSÁGI ÁLLAPOT Az első hiba fellépésének valószínűsége, együttesen az első hiba detektálási és biztonságos állapotba való kényszerítési ideje alatt fellépő második hiba valószínűségével, kisebb kell, hogy legyen, mint a valószínűségszámítással meghatározott biztonsági célkitűzés.

25 TÖBBSZINTŰ ÖSSZEHASONLÍTÁS 1 2 A beolvasott adatok cseréje és összehasonlítása A feldolgozott adatok cseréje és összehasonlítása ÖH+K FS összehasonlító és kapcsoló

26 ÖSSZEHASONLÍTÁS KÖZVETLEN VEZÉRLÉSSEL ÉS VISSZAOLVASÁSSAL BE1 BE2 KI1 V1 V2 KI2 + --

27 Ember-gép rendszer Az irányító rendszer akadályozó állapota esetén a forgalom fenntartása érdekében az ember beavatkozik. l a Ezzel részben vagy egészben átveszi P 1 (t) a meghibásodott műszaki rendszertől a biztonsági felelősséget is. 1 0 P 0 (t) m a l a l v m v l e 2 P 2 (t) Hibás emberi tevékenység következtében az ember-gép rendszer veszélyeztető állapotba kerülhet ( 3 ). 3 l e >> l a A szükséges emberi beavatkozások száma függ attól is, hogy az akadályozó állapot milyen hosszú ideig áll fenn m a

28 A humán hibagyakoriság mérséklése A hibás emberi cselekvés gyakorisága l e = / cselekvés. Mérséklési lehetőségek (forgalomirányító személyzet, járművezetők, javító személyzet): a biztonsági feladatot ellátó irányító rendszer minél ritkábban kerüljön akadályozó állapotba, és minél rövidebb ideig tartózkodjon ebben az állapotban; a rutinműveletektől való mentesítés (kevesebb cselekvés), vezetett cselekvéssor (check-listák, gépi támogató eszközök), hibajelzések, javítási eljárások a javító személyzet számára; megfelelő kiképzés, szinten tartás.

29 A humán hibagyakoriság mérséklése Hívójelzés kivezérlése

30 Példa

31 Példa

32 A rendszer, alrendszer, berendezés architektúrája (szabvány példa) Technikák, intézkedések SIL 1 SIL 2 SIL 3 SIL 4 1. A biztonságorientált és nem biztonságorientált rendszerek szétválasztása R R HR HR 2. Egyszerű elektronikai felépítés ön-teszteléssel és ellenőrzéssel R R Duál elektronikai felépítés R R Összetett fail-safe jellegen alapuló duál elektronikai felépítés fail-safe összehasonlítással R R HR HR 5. Belső fail-safe jellegen alapuló egyszerű elektronikai felépítés R R HR HR 6. Reaktív fail-safe jellegen alapuló egyszerű elektronikai felépítés R R HR HR 7. Diverziter elektronikai struktúra fail-safe összehasonlítással R R HR HR 8. Az architektúra igazolása a hardver mennyiségi megbízhatósági elemzésével HR HR HR HR

33 A hibakizárás stratégiája

34 TÖKÉLETESSÉG, HIBAKIZÁRÁS IDEÁLIS l = 0 VALÓSÁGOS 0 0 P 0 (t) = P B (t) KORLÁTOZOTT ALKALMAZÁS EGYSZERŰ ELEMEK, RENDSZEREK RÖVID BIZTONSÁGOS ÉLETTARTAM MEGELŐZŐ KARBANTARTÁS 1 l P 1 (t) = P V (t) 1 P B1 P B (t) P Bmin WORST CASE FELTÉTELEZÉS t 1 t

35 Bennfoglalt (inherens) hibabiztosság Ennél a technikánál megengedjük, hogy egyetlen egység lásson el egy biztonságreleváns funkciót, feltéve, ha annak valószínűsíthető meghibásodási módjai nem veszélyesek. Bármely olyan hibamódot, amelyet valószínűtlennek minősítenek (pl. belső fizikai tulajdonságok miatt), ilyen szempontból igazolni kell. A bennfoglalt hibabiztosságot összetett és reaktív hibabiztosságú rendszerekben fel lehet használni, például az egységek közötti függetlenség biztosítására, illetve veszélyes hiba észlelésekor a rendszer leállításának kikényszerítésére.

36 Példa Egymotoros kisrepülő nem állhat le Motor olaj cserélni kell xxx km után Gumiabroncs megfelelő mélység szükséges

37 Példa Szigeteltsín áramkör (biztonsági jelfogó)

38 Példa Mechanikus biztosítóberendezés

39 Hibatűrő rendszer: hiba esetén is működőképes és biztonságos marad Megvalósítás: több (legalább 3) csatornás kivitel és többségi elvű szavazás

40 A HIBA FELISMERÉSE ÉS HATÁSÁNAK MASZKOLÁSA HARDVER-REDUNDANCIA / TARTALÉKOLÁS m >> l m P 0 (t) l P 1 (t) l P ( t) P ( t) P 2 (t) P B V 1 ( t) Pi ( t) i 0 2 A biztonsági rendszerek működőképességének biztosítása teljes értékű tartalékolással (teljes funkcionalitás) csökkentett értékű tartalékolással (csökkentett funkcionalitás). EGYÉB REDUNDANCIA FORMÁK

41 2x(2v2) RENDSZER l l l l ÖH ÖH Jó, csak egy kicsit sok hardver kell.

42 TÖBBSÉGI LOGIKA (SZAVAZÓ) ALKALMAZÁSA 3-ból 2 szavazólogika l l l M

43 Diverz rendszerkialakítás Megvalósítható hardveresen (különböző alkatrészek) szoftveresen (különböző szoftverek ugyanarra a feladatra) eltérő specifikáció eltérő programozó csapatok eltérő programnyelv stb. A szisztematikus hiba megjelenésekor (üzem közben) észlelhető Megfelelő hibareakciót kell kiváltani Előny védelem a szisztematikus hibák veszélyes hatása ellen polcról levett komponensek (COTS, Commercial Off-The-Shelf) alkalmazhatósága Hátrány A hibadetektálás az üzem közbenre tolódik (kisebb rendelkezésreállás) A különböző csatornák szinkronizálása nehéz Drága (fejlesztés és üzemeltetés) 43

44 2x(2v2) RENDSZER B A A A B B A B 1 2 Reset 2 ÖH ÖH ÖH Bekapcsolási sorrend 44

45 TÖBBSÉGI LOGIKA (SZAVAZÓ) ALKALMAZÁSA 3-ból 2 0 l l l m 3l l l 3 Diverz kialakítás??? Közös módusú hibák!!! 45

46 TÖBBSÉGI LOGIKA KIKAPCSOLÁSSAL Reset 1/2 Reset 1/3 Reset 2/3 1/2 1/3 2/3 1/2 1/3 2/ l l l M l M <<l 46

47 Biztonsági architektúrák 1 hardver, 1 szoftver Lehet, h. a szoftver jól van megírva, de a hardver véletlen hibái ellen semmi nem véd. A

48 Biztonsági architektúrák 1 hardver, 2 szoftver Két különböző (diverz) szoftver fut (A és B) ugyanazon a gépen. Két szoftver futhat párhuzamosan, vagy egymás után. Az összehasonlító felfedi, ha a két szoftver mást mond felfedhetők a specifikációs és programozási hibák Mivel a két program eltérő, ezért egy HW hiba nem egyformán hat a két szoftverre, így a véletlen HW hibák is felfedhetők Pl. Ebilock (svéd) elektronikus bb. A B ÖH

49 Biztonsági architektúrák 2 hardver, 1 szoftver 2-ből 2 rendszer (2v2) Véd a hardver véletlen meghibásodásai ellen A szoftvert eleve jóra kell készíteni, mert az architektúra nem véd a specifikációs és programozási hibák ellen. Pl. Siemens SIMISelv A ÖH A

50 Biztonsági architektúrák 2 hardver, 2 szoftver Az architektúra véd a véletlen hardver hibák ellen és a szoftver hibák ellen. A két csatornában eltérő specifikációval, eltérő programnyelven kifejlesztett programok futnak Pl. Alcatel (Thales) Elektra A ÖH B

51 Rendelkezésre állás Az eddig bemutatott architektúrák biztonságosak ugyan, de már egy hiba esetén is működésképtelenek. Módszerek a rendelkezésre állás növelésére: Tartalékolás Egycsatornás rendszer: redundancia 2v2 2 (2v2) (pl. SIMIS IS: SIMIS PC) 2v2 2v3 (pl. SIMIS IS: ECC számítógépek)

52 2v2 2 mikroszámítógép óraszinkron utasításszinkron a mikroszámítógépektől független 2 összehasonlító összehasonlítja a kimeneteket és a processzor tartalmakat (memóriát)

53 Számítógép konfigurációk 2v2 konfiguráció Data input Microcomputer 1 Microcomputer 2 Input Input Data exchange Data exchange Processor Processor Comparison Synchronisation Synchronisation Memory Memory Comparison Output Output Channel 1 Channel 2

54 2v3 3 mikroszámítógép 6 független összehasonlító egység a 3. csatorna is aktív hiba esetén a hibás csatorna/modul leáll tovább működik 2v2 rendszerként

55 2v3 Data input Microcomputer A Microcomputer B Microcomputer C Input Input Input A Data exchange Data exchange Data exchange Data exchange Data exchange Data exchange A B B Processor Memory Processor Memory Processor Memory C Synchronisation Synchronisation Synchronisation C D D E Comparison Comparison Comparison Comparison Comparison Comparison E Output & Output & Output & Channel A Channel B Channel C

56 SIMIS PC 2 (2v2) diverz számítógéprendszer Kereskedelmi forgalomban kapható számítógépek és operációs rendszerek AMD, Intel alaplap/processzor Win2000, Linux operációs rendszerek a diverzitás, és az ECC-kben való összehasonlítás miatt lehetséges ezek alkalmazása Összehasonlítás az ECC-kben történik (időablakkal)

57 STOP RUN DEL PB ECC-CU STOP RUN DEL PB ECC-CU STOP RUN DEL PB ECC-CU SIEMENS SIEMENS SIEMENS SIEMENS SIEMENS STOP F1 F2 F3 F4 F5 F6 F7 F8 SOM PSS ERR F1 - F8 STOP PSS ERR SOM F1 - F8 F1 F2 F3 F4 F5 F6 F7 F8 STOP PSS ERR SOM F1 - F8 F1 F2 F3 F4 F5 F6 F7 F8 STOP PSS ERR SOM F1 - F8 F1 F2 F3 F4 F5 F6 F7 F8 STOP SOM PSS ERR F1 - F8 F1 F2 F3 F4 F5 F6 F7 F8 STOP PSS HS2 POM ERR M2+ M1+ M2- M1- L SHIFT HS1 R RUN STOP PSS HS2 POM ERR M2+ M1+ M2- M1- SIEMENS SIEMENS SIEMENS SIEMENS SIEMENS SIEMENS SIEMENS SIEMENS L SHIFT HS1 R RUN STOP PSS HS2 POM ERR M2+ M1+ M2- M1- L SHIFT HS1 R RUN STOP RUN DEL PB ECC-CU STOP RUN DEL PB ECC-CU STOP RUN DEL PB ECC-CU SIEMENS SIEMENS SIEMENS SIEMENS SIEMENS STOP F1 F2 F3 F4 F5 F6 F7 F8 SOM PSS ERR F1 - F8 STOP PSS ERR F1 F2 F3 F4 F5 F6 F7 F8 SOM F1 - F8 STOP PSS ERR F1 F2 F3 F4 F5 F6 F7 F8 SOM F1 - F8 STOP PSS ERR F1 F2 F3 F4 F5 F6 F7 F8 SOM F1 - F8 STOP SOM PSS ERR F1 - F8 F1 F2 F3 F4 F5 F6 F7 F8 STOP PSS HS2 POM ERR M2+ M1+ M2- M1- L SHIFT HS1 R RUN STOP PSS HS2 POM ERR M2+ M1+ M2- M1- SIEMENS SIEMENS SIEMENS SIEMENS SIEMENS SIEMENS SIEMENS SIEMENS L SHIFT HS1 R RUN STOP PSS HS2 POM ERR M2+ M1+ M2- M1- L SHIFT HS1 R RUN SIMIS PC Intel/Win2000 Intel/Win2000 AMD/Linux AMD/Linux SIMIS PC 2 x 2-ből 2 rendszer EIM ECC 3-ból 2 rendszer

58 ELEKTRA Rendszerfelépítés kezelőfelület kapcsoló Két diverz szoftver csatorna 2 VCA VCB 2 A két csatornában lévő gépeknek egyenként van 2- es vagy 3-as redundanciájuk 3 CCA VOTRICS CCB 3 VOTRICS 2 PCA PCB 2 Perifériavezérlő kártyák