De realisatie van een veiligheidsbesturingssysteem voor de bruginstallaties van één van de grootste hefbruggen van Europa. Marc Schröder 10/19/2015

Transcriptie

1 De realisatie van een veiligheidsbesturingssysteem voor de bruginstallaties van één van de grootste hefbruggen van Europa Marc Schröder 10/19/2015

2 2 De realisatie van een veiligheidsbesturingssysteem voor de bruginstallaties van één van de grootste hefbruggen van Europa Marc Schröder 10/19/2015

3 Introductie Marc Schröder Consultant bij ICT Automatisering sinds 2008 Business unit Industrial Automation Consultancy binnen de Industriële Automatisering Systeemontwerp en softwareontwikkeling voor PLC/ SCADA of DCS systemen van Siemens ( Step 7/ WinCC/ PCS7) Migratietrajecten van Siemens S5/ Coros/ Teleperm naar Siemens S7/ WinCC/ PCS7 Ontwerp en programmering van veiligheidssystemen in de industrie en Infra gebaseerd op Siemens Distributed Safety of Siemens F-systems ( o.a. bij Sappi Maastricht/ Lanaken, Sekisui Resins, Sekisui Alveo, CSA-15) 3 10/19/2015

4 Business Unit Industrial Automation (Proces)automatiseringsprojecten PLC/ SCADA/ DCS, Siemens, ABB, Wonderware, etc. vanaf klantvraag t/m inbedrijfname Consultancy Projecten fixed price of op detacheringsbasis Migratietrajecten, controller/hmi upgrade Service 24/7 4 10/19/2015

5 Project A-15 A-Lanes A15 een samenwerking tussen Ballast Nedam, John Laing, Strabag en Strukton voert namens Rijkswaterstaat de werkzaamheden uit voor de verbreding van de A15 tussen de Maasvlakte en het Vaanplein. Bovendien gaat A-Lanes A15 dit deel van de rijksweg voor 25 jaar onderhouden. Doel: minder files en een betere doorstroming op dit stuk van het wegennet 5 10/19/2015

6 Gegevens huidige Botlekbrug vs. nieuwe Botlekbrug Lengte: 1200 m Gewicht 1 brugdeel: 5000 ton Afmetingen brugdeel:92 x 50 m Hoogte open: 46 m Brugbeweging: 90 s 6 10/19/2015

7 Voordelen nieuwe Botlekbrug Alle binnen- en recreatievaart kan er onderdoor als de brug gesloten is Het aantal brugopeningen per dag sterk wordt teruggebracht naar 1 per uur i.p.v. 6 a 7 per uur Scheepvaartverkeer kan van beide kanten tegelijk onder de brug door Doordat er 2 rijstroken per rijbaan zijn is er een betere verkeersdoorstroming ( 100 km/h) 7 10/19/2015

8 Projectomschrijving Deze brug moet bestuurd worden en aan ICT was gevraagd om de software ( safe en non-safe) te ontwikkelen voor het BTI deel, de brugtechnische installatie, van het brugproces. 8 10/19/2015

9 Veiligheidsbesturing BTI Taken veiligheidsbesturing BTI deel 9 10/19/2015

10 Fysiek procesoverzicht BTI deel Visualisatie op HMI volgens RWS standaard 10 10/19/2015

11 Eisenpakket Hoge beschikbaarheid: Uitval van een component mag geen uitval van het hele systeem, in dit geval de botlekbrug, veroorzaken. Dit heeft zowel betrekking op het controller deel als de bediening. Bedienconcept: Bedienconcept dat is ontwikkeld volgens de standaard die bij de klant ( RWS) vereist is. Hoge betrouwbaarheid: Systeemkeuze met een hoge betrouwbaarheid. Onderhoudbaarheid: Transparant systeem, soft- en hardware, waardoor de kennisdrempel voor onderhoud laag is, nu en in de toekomst. Lifecycle: Componentkeuze die een voldoende lange gebruikerstermijn waarborgt Changemanagement: wijzigingen ( zowel hardware als software) kunnen on the fly worden doorgevoerd zodat er geen stilstand van het systeem noodzakelijk is. Foutdetectie en reactie: Een fout op een externe component wordt gesignaleerd via de hardware waarna via de applicatiesoftware een gedefinieerde foutreactie plaatsvindt en er geen gevaar voor mens en omgeving ontstaat. Tijdens het ontwerpproces zijn deze functionele eisen geformuleerd in zgn. SDS-en. SDS is een afkorting voor Safety Design Specification. Een eis m.b.t. functionaliteit die door een veiligheidsketen moet worden uitgevoerd /19/2015

12 Voorbeeld veiligheidseis, SDS Safety Design Specification req SDS-011 SDS SDS SDS SDS-011* SDS SDS SDS SDS SDS ID [SDS-011] Omschrijving ALS van een vaarrichting één doorvaartsein gefaald heeft DAN: wordt de voeding van het gefaalde doorvaartsein uitgeschakeld (Dit geldt voor alle vier de vaarrichtingen (opvaart doorvaart Oost, afvaart doorvaart Oost en opvaart doorvaart West, afvaart doorvaart West) Een doorvaartsein faalt als SDS-031 van een lamp optreedt of SDS-032 of SDS /19/2015

13 Basis opbouw veiligheidssysteem Hardware en software Als je aan de gestelde eisen wilt voldoen volstaat het niet alleen om de juiste hardware componenten in te zetten. Zowel hardwarekeuze als veiligheidssoftware bepalen het functioneren van een veiligheidssysteem Hardware: Systeemopbouw, fysieke netwerkinfrastructuur zowel op het niveau van bedieningen en visualisatie als op het niveau van sensor actuator ( het aansturen van een afsluitboom en het inlezen van de stand van de afsluitboom) Hardwarecomponenten bestaande uit controllers, IO componenten ( safe en non-safe) Software: Ontwikkelpakket inc. bibliotheek met gecertificeerde software veiligheidscomponenten ( Tüv gecertificeerd) Applicatiesoftware ( De functionele software gemaakt vanuit SDS-en) 13 10/19/2015

14 Safety lifecycle installatie Engineeringsfase In bedrijf Proces ontwerp Gevaar identificatie HAZOP/ RI&E Risicobepaling SIL classificatie Ontwerp veiligheidsketens SIL verificatie Realisatie Test Validatie Ingebruikname Onderhoud 14 10/19/2015

15 1 Procesontwerp 15 10/19/2015

16 2. Gevaar identificatie en HAZOP ( RI&E) Mogelijke fout Oorzaak Gevolg Maatregel DVS rode lamp functioneert niet Defecte stroombewaking Watkaner allemaal mis gaan??? Foutief seinbeeld = gevaar Doorvaartseinen Geheel Uitschakelen ( SDS-011) 16 10/19/2015

17 3 Risicobepaling en SIL classificatie Kwantificeren van gevaren en risico s uit HAZOP of RI&E SIL = een maat voor de hoogte van het risico voor veiligheid, milieu en eventueel financieel risico Risico = Kans dat het gevaar optreedt X Gevolgen van het optreden van het gevaar 17 10/19/2015

18 3 Risicobepaling en SIL classificatie IEC61508/61511 methodieken om risico s te bepalen en om te zetten in SIL niveau Risicograaf Veiligheids pyramide 18 10/19/2015

19 4 Ontwerp veiligheidsketens die voldoen aan het SIL niveau Hardwareschakeling SIL classificering = Safety Integrated Level geeft het betrouwbaarheidsniveau aan van de beveiliging ( tijdens risicobepaling was SIL gelijk aan hoogte risico) 19 10/19/2015

20 5 SIL verificatie Identificatie van de beveiliging: uit welke elementen is de beveiliging opgebouwd?? Voldoet de gebruikte component aan het bepaalde SIL scenario: meestal vastgelegd in de component specificaties ( reactiesnelheden, betrouwbaarheid, failsafe opgezet..) Beveiligingen dienen een onafhankelijke layer of protection te zijn: functie is niet afhankelijk van een andere functionele veiligheid De architectuur dient correct te zijn: Bij hogere SIL niveau s dient er redundantie te zijn van componenten, SIL 2 vergt al 2 transmitters De faalkans, PFD, dient aan het gewenste SIL niveau te voldoen: De faalkans van een component wordt uitgedrukt door het PFD getal ( Probability of Failure on Demand) 20 10/19/2015

21 5 SIL verificatie, PFD getal 21 10/19/2015

22 6 Realisatie nieuwe Botlekbrug vereenvoudigd schema Visualisatie ( WinCC OA redundant) Netwerk Controllerlaag ( Siemens S7-400 FH) Veldbus ( Profibus/Profisafe) IO modules 22 10/19/2015

23 6 Realisatie applicatiesoftware Safety software Siemens F-systems ( Distributed safety) Bibliotheek met Tüv gevalideerde softwarecomponenten ( F-Systems library V1.3) Ontwerpproces: Functioneel ontwerp -> Softwareontwikkeling -> I-FAT -> FAT -> FIT -> SAT -> SIT Opbouw applicatiesoftware 23 10/19/2015

24 7,8 Test en validatie Testplan ( grotendeels identiek aan testplan FAT situatie) Testscripts voor iedere individuele component ( grotendeels identiek aan testscripts FAT situatie) Rapportage van testbevindingen Eventuele hertest van geconstateerde afwijkingen 24 10/19/2015

25 9 Ingebruikname Opening 1 rijbaan, West naar Oost juli /19/2015

26 10 Onderhoud Doel: Zeker stellen dat de ontworpen functional safety nog in tact is Opstellen onderhoudsplannen specifiek voor SIL beveiligingen ( SIL beheerssysteem) Uitvoeren van periodieke SIL specifieke inspecties en tests volgens vastgelegde testprocedures Zorgdragen voor voldoende kennisniveau van onderhoudspersoneel 26 10/19/2015

27 Voorbeeld 1: Doorvaartseinen Hardware Software ID [SDS-011] Omschrijving ALS van een vaarrichting één doorvaartsein gefaald heeft DAN: wordt de voeding van het gefaalde doorvaartsein uitgeschakeld, uitgang logisch 1 (Dit geldt voor alle vier de vaarrichtingen (opvaart doorvaart Oost, afvaart doorvaart Oost en opvaart doorvaart West, afvaart doorvaart West) Dat betekent dus dat alle doorvaartseinen geen seinbeeld meer hebben Intrinsiek en functioneel 0 = voeding aan 27 10/19/2015

28 Voorbeeld 2: Afsluitbomen in combinatie met LVS 0 = voeding aan Intrinsiek en functioneel 28 10/19/2015

29 Conclusies Hoge beschikbaarheid: Door het doorvoeren van redundantie op diverse niveaus is het correct functioneren van het systeem gewaarborgd bij het falen van een enkele component. In de bediening zijn er drie mogelijkheden om de installatie te bedienen: vanuit VMC in Rhoon, lokaal via MMI in het brugwachtershuis of via een noodbedienpaneel. Welke bediening plaatsvindt wordt door de brugwachter beslist afhankelijk van de situatie. Hoge betrouwbaarheid: Keuze voor een redundant systeem heeft ook bijgedragen aan de betrouwbaarheid van het systeem /19/2015

30 Conclusies Onderhoudbaarheid: Door het inzetten van standaard componenten waarvan de kennisdrempel relatief laag is, is er een goede onderhoudbaarheid gewaarborgd. Ook nalevering van componenten ( voor zover geen spareparts) is binnen een kort tijdsbestek mogelijk doordat het standaard componenten betreft die wereldwijd verkrijgbaar zijn. Bedienbaarheid: Daarnaast is door het invoeren van een bediening via drie mogelijkheden, bedienbaarheid onder alle omstandigheden gewaarborgd. ( schematische weergave bedienconcept) Lokale bediening brugwachter VMC Rhoon 30 10/19/2015

31 Conclusies Lifecycle: Componentkeuze die een voldoende lange gebruikerstermijn waarborgt Changemanagement: Door de keuze voor een redundant systeem zijn wijzigingen on the fly door te voeren doordat het systeemdeel dat gewijzigd wordt functioneel kan worden overgenomen door zijn redundante partner. Nadat de wijziging heeft plaatsgevonden kan dan weer teruggeschakeld worden naar de het gewijzigde deel waarna de wijziging in de redundante partner kan plaatsvinden. Foutdetectie en reactie: Een fout op een externe component wordt gesignaleerd via de hardware die daarvoor geschikt is, waarna via de applicatiesoftware een gedefinieerde foutreactie plaatsvindt en er geen gevaar voor mens en omgeving ontstaat /19/2015

32 Vragen? 32 10/19/2015

33