Standaard software Sluiscomplex Functional Safety Requirements

Transcriptie

1 Standaard software Sluiscomplex Functional Safety Requirements Provincie Zuid-Holland Waddinxveen SY-011 Datum : 20 januari 2011 Uw projecten zijn bij ons in goede handen.

2 1. Documentidentificatie Projectnaam: Standaard software Sluiscomplex Projectnummer : Documentnaam: Functional Safety Requirements Documentnr: SY-011 Datum: Document: Naam: Getekend: Datum: Auteur: A. Verhoeven Pilz Nederland Project Manager: J. v.d. Wetering Pilz Nederland Engineering Manager: A. Verhoeven Pilz Nederland Geaccepteerd door klant: de heer P. Frijn Provincie Zuid- Holland Project : Standaard software Sluiscomplex Pagina 2 van 30

3 INHOUDSOPGAVE 1. Documentidentificatie Documentbeheer Revisiecodering Documentversies Algemeen Afkortingen en definities Normatieve verwijzingen Uitgangspunten en gerelateerde documenten Veiligheidsketens Algemeen Berekening veiligheidsketens Veiligheidsketens beweegbare brug Landverkeersseinen Afsluitboom gesloten voor openen VAL Retarderingscontrole VAL Val volledig open Scheepvaartseinen rood Val volledig gesloten/vergrendeld afsluitboom uit bovenste positie Veiligheidsketens sluiskolk Retarderingscontrole sluisdeur Sluisdeur volledig open Sluisdeur volledig gesloten/vergrendeld Omloopschuiven gesloten Afscherming omloopschuif gesloten Niveau gelijk Noodstop Lokale bediening Centrale bediening Bijzondere situaties Spuien Instellen retardeerbewaking Additionele risico s In beweging komen van afsluitbomen In beweging komen van val FIGUREN Geen gegevens voor lijst met afbeeldingen gevonden. TABELLEN Project : Standaard software Sluiscomplex Pagina 3 van 30

4 Tabel 1 - Versielijst... 6 Tabel 2 - Afkortingen... 7 Tabel 3 - Definities... 7 Tabel 4: gerelateerde normen... 8 Tabel 5 - Gerelateerde documenten... 9 REQUIREMENTS FSR_SW_ASB_001 gesloten controle FSR_SW_ASB_002 gesloten actie FSR_SW_ASB_003 gesloten filter FSR_SW_ASB_004 open controle FSR_SW_ASB_005 open actie FSR_SW_ASB_006_actie FSR_SW_DEUR_001 SPES controle FSR_SW_DEUR_002 SPES actie FSR_SW_DEUR_003 encoder controle FSR_SW_DEUR_004 encoder actie FSR_SW_DEUR_005 beweging controle FSR_SW_DEUR_006 beweging actie FSR_SW_DEUR_007 snelheid controle FSR_SW_DEUR_008 snelheid actie FSR_SW_DEUR_009 open controle FSR_SW_DEUR_010 open actie FSR_SW_DEUR_011 gesloten controle FSR_SW_DEUR_012 grendel controle FSR_SW_DEUR_013 gesloten actie FSR_SW_DEUR_014 gesloten actie FSR_SW_DEUR_015 gesloten filter FSR_SW_Inleer_001_ activering FSR_SW_Inleer_002_actie FSR_SW_Inleer_003_actie FSR_SW_LVS_001 aansturing FSR_SW_LVS_002 controle FSR_SW_LVS_003 actie FSR_SW_NIVEAU_001 controle FSR_SW_NIVEAU_002 controle FSR_SW_NIVEAU_003 controle FSR_SW_NIVEAU_004 actie FSR_SW_NIVEAU_005 actie FSR_SW_NS_001 controle FSR_SW_NS_002 actie FSR_SW_NS_003 omloopschuif FSR_SW_NS_004 lokaal Project : Standaard software Sluiscomplex Pagina 4 van 30

5 FSR_SW_NS_005 lokaal actie FSR_SW_OSL_001 gesloten controle FSR_SW_OSL_002 gesloten actie FSR_SW_OSL_003 afscherming controle FSR_SW_SPUI_001 controle schakelaar FSR_SW_SPUI_002 functie FSR_SW_SPUI_003 actief FSR_SW_SVS_001 aansturing FSR_SW_SVS_002 controle FSR_SW_SVS_003 actie FSR_SW_SVS_004 actie groen FSR_SW_VAL_001 SPES controle FSR_SW_VAL_002 SPES actie FSR_SW_VAL_003 encoder controle FSR_SW_VAL_004 encoder actie FSR_SW_VAL_005 beweging controle FSR_SW_VAL_006 beweging actie FSR_SW_VAL_007 snelheid controle FSR_SW_VAL_009 open controle FSR_SW_VAL_010 open actie FSR_SW_VAL_011 gesloten controle FSR_SW_VAL_012 gendel controle FSR_SW_VAL_013 gesloten actie FSR_SW_VAL_014 beweging actie FSR_SW_VAL_015 beweging actie Project : Standaard software Sluiscomplex Pagina 5 van 30

6 2. Documentbeheer 2.1. Revisiecodering Alle projectdocumenten zijn voorzien van een revisiecodering. Hieronder is een mogelijke codering weergegeven. De versies worden genummerd als A.B.C.D. Hierin hebben de posities de volgende betekenis: A Vrijgegeven versie met toegevoegde functionaliteit; B Vrijgegeven versie met opgeloste fouten en/of restpunten; C Vrijgegeven versie met kleine aanpassingen; D Vrijgegeven versie met aanpassingen in enkel de documentatie. Opmerking: De laatste twee karakters in de codering zijn facultatief en worden niet altijd toegepast Documentversies Versie Datum Beschrijving WP Review PZH verwerkt Niveau meting uitgebreid Interne review Tabel 1 - Versielijst Project : Standaard software Sluiscomplex Pagina 6 van 30

7 3. Algemeen 3.1. Afkortingen en definities Afkorting ARL Arbeidsmiddelenrichtlijn MRL Machinerichtlijn PLC Programmable Logic Controller PSS Pilz Safety System TCD Technisch constructiedossier SCADA Supervisory Control And Data Acquisition TBP Touch Bedien Paneel SPES SPil Eind Schakelaar SR Systeem Requirement FSR Functional Safety Requirement ASB AfSluitBoom LVS Land Verkeer Sein SVS ScheepVaartSein OLS OmLoop Schuif Tabel 2 - Afkortingen Definities Object Beweegbare brug of sluiscomplex inclusief bruggen Duowerkplek Werktafel bestaande uit twee bedienplekken Bedienplek Deel van een duowerkplek vanaf de bedienplek kan een object worden bediend Noodstop Bediening in noodgevallen bedoeld om een proces of beweging die gevaarlijk is geworden te stoppen Toekennen Koppelen van een object aan een bedienplek Omloopschuif Nivelleerschuif tussen kolk en buitenwater Rinket Nivelleerschuif geplaatst in de sluisdeur Tabel 3 - Definities Project : Standaard software Sluiscomplex Pagina 7 van 30

8 3.2. Normatieve verwijzingen Hieronder zijn alleen de normen weergegeven die direct op de ontwikkeling van de software van toepassing zijn. Er zijn geen referenties opgenomen met betrekking tot mechanische of elektrotechnische installaties mits van toepassing. Norm Afkorting: Internationaal: ISO ISO Norm Afkorting: Europees EN ISO EN ISO Omschrijving: Veiligheid van machines. Basisbegrippen, algemene ontwerpbeginselen. Deel 1: Basisterminologie, methodologie Veiligheid van machines. Basisbegrippen, algemene ontwerpbeginselen. Deel 2: Technische principes en specificaties ISO EN 418 Veiligheid van machines. Noodstopvoorzieningen, functionele aspecten. Ontwerpbeginselen ISO EN Veiligheid van machines. Onderdelen van besturingssystemen met een veiligheidsfunctie. Deel 1: algemene ontwerpbeginselen ISO EN 1037 Veiligheid van machines. Voorkoming van onbedoeld starten ISO EN 1088 Veiligheid van machines. Blokkeerinrichtingen gekoppeld aan afschermingen. Grondbeginselen voor het ontwerp en de keuze IEC : 2006 IEC 62061:2005 EN : 2006 EN 62061: NEN 6787:2003 Tabel 4: gerelateerde normen Veiligheid van machines. Elektrische uitrusting van machines Veiligheid van machines: Functionele veiligheid van veiligheidgerelateerde elektrische, elektrotechnische en programmeerbare besturingssystemen Het ontwerpen van beweegbare bruggen - Veiligheid 3.3. Uitgangspunten en gerelateerde documenten De volgende documenten zijn gerelateerd aan de projectscope en dienen als basis voor deze beoordeling: # Document Auteur Referentie Revisie/Datum 1 Systeem requirements AV SY Project : Standaard software Sluiscomplex Pagina 8 van 30

9 # Document Auteur Referentie Revisie/Datum Tabel 5 - Gerelateerde documenten Project : Standaard software Sluiscomplex Pagina 9 van 30

10 4. Veiligheidsketens 4.1. Algemeen Het gehele complex moet voldoen aan SIL 3 volgens EN-IEC Dit niveau is gespecificeerd door de opdrachtgever. Voor het grootste deel van de van de omschreven veiligheidsketens zou een lagere classificering voldoende zijn. In dit document zijn de verschillende veiligheidsketens beschreven inclusief de maatregelen om de gewenste betrouwbaarheid te realiseren. Binnen het sluiscomplex zijn de volgende veiligheidsketens gedefinieerd: Landverkeersseinen rood Afsluitbomen gesloten voor vrijgave val Retardeerbeveiliging val Val volledig geopend Scheepvaartseinen rood Val volledig gesloten en vergrendeld/opgezet Afsluitbomen uit de bovenste positie Noodstop Niveau gelijk Sluisdeur volledig geopend Sluisdeur volledig gesloten en vergrendeld Retardeerbeveiliging sluisdeur Omloopschuiven of rinketten gesloten Afscherming omloopschuif Bovengenoemde ketens worden gedeeltelijk gebruikt voor het vergrendelen van opvolgende deelprocessen Berekening veiligheidsketens De in hoofdstuk 4.1 genoemde ketens zijn doorgerekend met behulp van een gecertificeerd calculatietool voor het berekenen van de PFHD van een veiligheidsketen volgens IEC De resultaten van deze berekeningen zijn in de bijlage van dit document te vinden. Project : Standaard software Sluiscomplex Pagina 10 van 30

11 4.3. Veiligheidsketens beweegbare brug Landverkeersseinen Omschrijving veiligheidsfunctie Aan iedere zijde van de weg moet minimaal 50% van de verlichting juist functioneren zodat de weggebruiker altijd gealarmeerd wordt op het sluiten van de afsluitbomen. Risico niet functioneren veiligheidsfunctie Bij niet functionerende landverkeersseinen is het mogelijk dat de weggebruiker niet of niet op tijd geattendeerd wordt op het afsluiten van de doorgang. Dit kan leiden tot aanrijdingen tegen de sluitende afsluitbomen. Bij het uitvallen van de veiligheidsbesturing worden alle uitgangen uitgeschakeld. Dit betekent dat het niet mogelijk meer is om de seinen aan te sturen. Hoewel niet direct noodzakelijk voor het bereiken van SIL3 is ervoor gekozen om iedere LED lamp te controleren met een betrouwbaarheid overeenkomstig SIL3. De reden hiervoor is dat in alle instelbare situaties SIL3 gegarandeerd moet blijven, wanneer er namelijk slechts een set is geconfigureerd moet de in het slechtste geval laatste functionerende sein gecontroleerd worden met de juiste betrouwbaarheid. FSR_SW_LVS_001 aansturing: Om te voorkomen dat de lichten niet aangaan bij een storing van de PSS worden de lichten aangestuurd via een relais met verbreekcontacten, zodat bij een storing de lichten gaan branden. FSR_SW_LVS_002 controle: De werking van de VB99 stuurkaart van NMA wordt gecontroleerd door een stroombewakingsrelais (S1IM Pilz) in het stuurcircuit van de LED te plaatsen. De controle wordt gerealiseerd door het toepassen van een gekeurd softwareblok voor de controle van externe relais. Dit blok controleert de plausibiliteit van de beide terugmeldingen in combinatie met de aansturing van de seinen. FSR_SW_LVS_003 actie: Project : Standaard software Sluiscomplex Pagina 11 van 30

12 Tijdens het sluiten van de afsluitbomen moet de werking van de seinen gegarandeerd zijn. Hierom moet het gehele sluitproces de vrijgave aanwezig zijn. Het wegvallen van de vrijgave stopt het sluiten direct Afsluitboom gesloten voor openen VAL Omschrijving veiligheidsfunctie Om het val te kunnen openen moeten de afsluitbomen zijn gesloten. Risico niet functioneren veiligheidsfunctie Bij het niet gesloten zijn van de afsluitbomen is het mogelijk dat de weggebruiker in aanraking komt met de bewegende delen van het val of hij kan in het water vallen. FSR_SW_ASB_001 gesloten controle: Voor detecteren van de positie van de afsluitbomen wordt gebruik gemaakt van SIL3 gecertificeerde sensoren PSEN cs1.1. De werking van de sensor wordt gecontroleerd door middel van gekeurd softwareblok FSR_SW_ASB_002 gesloten actie: Tijdens het openingsproces van het val moet de vrijgave van de afsluitbomen continu aanwezig zijn. Het wegvallen van deze vrijgave heeft het stoppen van de beweging tot gevolg FSR_SW_ASB_003 gesloten filter: In de praktijk is gebleken dat jongeren aan de afsluitbomen gaan jutteren als deze gesloten zijn. Het gevolg is dat de brug stopt. Om dit te ondervangen is besloten om een filter van 2 seconden op de gesloten positie van de afsluitboom te zetten. Als de afsluitboom langer dan 2 seconden de gesloten positie heeft verlaten zal de beweging van de brug alsnog stoppen. Een normale afsluitboom beweging duurt minimaal 10 seconden. In het slechtste geval kan een afsluitboom dus 18 graden geopend zijn voordat de brugbeweging stopt. Een opening van 18 graden geeft nog steeds een volledige afscherming van het verkeer. Daar komt bij dat alle afsluitbomen gesloten moeten zijn geweest om het proces brug openen te kunnen starten en de afsluitbomen niet te openen zijn als de brug niet in gesloten positie is. Project : Standaard software Sluiscomplex Pagina 12 van 30

13 Retarderingscontrole VAL Omschrijving veiligheidsfunctie De snelheid van het val moet worden gereduceerd zodat het opleggen van de brug soepel en zonder schade verloopt. Dit zelfde geldt voor de volledig open positie van de brug. Om deze vertraging te controleren wordt de snelheid van het val gemeten en gecontroleerd dat de vertraging is ingezet. Tevens wordt gecontroleerd of de maximale snelheid van het val niet wordt overschreden, hiermee kan worden vastgesteld of wind een te grote invloed heeft op de beweging. Risico niet functioneren veiligheidsfunctie Als de vertraging niet functioneert zal er schade ontstaan aan de brug. In de geopende positie kan dit tot overtrekken van de brug leiden (afhankelijk van de constructie). Om te bepalen op welke positie de brug zich bevind wordt gebruikgemaakt van SPES (SPil Eind Schakelaar) contacten op deze SPES worden minimaal de volgende posities ingesteld: Niet gesloten Niet Voor gesloten Niet Voor Voor gesloten Niet Voor Voor geopend Niet Voor geopend Niet geopend FSR_SW_VAL_001 SPES controle: Om te controleren of de SPES juist functioneert wordt de volgorde van de schakeling gecontroleerd, tevens wordt gecontroleerd of de SPES draait door de posities te vergelijken met de veilige open en gesloten stand (hoofdstuk en 4.3.6). De positieschakelaars zijn uitgevoerd als verbreekcontacten, tevens wordt de bedrading van deze contacten gecontroleerd op onderlinge sluiting of sluiting met 24V door het toepassen van testpulsen. FSR_SW_VAL_002 SPES actie: Project : Standaard software Sluiscomplex Pagina 13 van 30

14 Bij het constateren van een fout in een van de controles zal een noodstop worden uitgevoerd. FSR_SW_VAL_003 encoder controle: Voor het meten van de snelheid wordt gebruikgemaakt van twee encoder ingangen van de PLC en twee encoders in samenspel met een gekeurd softwareblok. Dit softwareblok vergelijkt de positie en snelheid van de beide ingangen om zo de plausibiliteit van de signalen vast te stellen. FSR_SW_VAL_004 encoder actie: Bij het ontdekken van een plausibiliteitsfout wordt een noodstop uitgevoerd. FSR_SW_VAL_005 beweging controle: Om vast te kunnen stellen dat de encoders nog aan het draaipunt zijn verbonden wordt gecontroleerd of er beweging is zodra er aansturing is naar de regelaar. FSR_SW_VAL_006 beweging actie: Wanneer er geen beweging wordt gedetecteerd is het mogelijk de beweging af te maken maar wordt een volgende bediening geblokkeerd bij het kiezen van een vaarrichting. FSR_SW_VAL_007 snelheid controle: Tijdens het openen en sluiten van de brug wordt gecontroleerd of de snelheid van de brug niet boven de ingestelde maxima komt. Er zijn drie maximale snelheden aangegeven namelijk: 1. snelheid tussen voor op en op; 2. maximale snelheid over het gehele traject; 3. snelheid tussen voor neer en neer. FSR_SW_VAL_008 snelheid actie: Tijdens de beweging moet de snelheid altijd onder de ingestelde snelheid blijven. Bij het overschrijden van de snelheid zal direct een noodstop worden uitgevoerd. Buiten de besturing om zijn er een aantal maatregelen aanwezig die als extra veiligheid worden toegepast. De boven positie is voorzien van een noodeindschakelaar. Deze schakelaar is direct in de aansturing van de hoofdstroom opgenomen zodat overtrekken is uitgesloten. De meeste bruggen zijn voorzien van een mechanische retardering. Dit houdt in dat de aandrijving zo is geconstrueerd dat bij gelijkblijvende snelheid van de motor de snelheid van de brugbeweging afneemt. (slakkenhuisconstructies of gecurvde tandheugels) Project : Standaard software Sluiscomplex Pagina 14 van 30

15 De toegepaste SPES contacten worden sinds de eerste elektrische aandrijving van bruggen toegepast. Hierdoor kan worden geconcludeerd dat deze een grote betrouwbaarheid hebben. Door het gebruik van testpulsen op de bedrading van de schakelaars kunnen bedradingsproblemen worden ondervangen. Tevens wordt de volgorde van schakelen van de contacten in de software gecontroleerd Val volledig open Omschrijving veiligheidsfunctie Om de rode scheepvaartseinen uit te kunnen schakelen moet de brug in een volledig geopende positie zijn. Risico niet functioneren veiligheidsfunctie Als de rode lichten uitschakelen voordat de brug in de bovenste positie is kan het scheepvaart verkeer in aanvaring komen met de brug. FSR_SW_VAL_009 open controle: Voor detecteren van de positie van brug wordt gebruik gemaakt van SIL3 gecertificeerde sensoren PSEN cs1.1. De werking van de sensor wordt gecontroleerd door middel van gekeurd softwareblok Het signaal brug open bestaat uit de uitgang van het gekeurde softwareblok en het positiesignaal van de SPES. FSR_SW_VAL_010 open actie: Om een rood scheepvaartsein uit te kunnen schakelen moet het signaal brug open aanwezig zijn. Valt dit signaal weg zullen de lichten weer op rood gaan Scheepvaartseinen rood Omschrijving veiligheidsfunctie Aan iedere zijde van de brug of landhoofd moet minimaal 50% van de rode verlichting juist functioneren zodat het scheepvaart verkeer altijd gealarmeerd wordt op het verspert zijn van de vaarweg. Project : Standaard software Sluiscomplex Pagina 15 van 30

16 Risico niet functioneren veiligheidsfunctie Bij niet functionerende scheepvaartseinen kan een aanvaring ontstaan met de brug of met tegemoetkomend verkeer. Bij het uitvallen van de veiligheidsbesturing worden alle uitgangen uitgeschakeld. Dit betekent dat het niet mogelijk meer is om de seinen aan te sturen. Hoewel niet direct noodzakelijk voor het bereiken van SIL3 is ervoor gekozen om iedere LED lamp te controleren met een betrouwbaarheid overeenkomstig SIL3. De reden hiervoor is dat in alle instelbare situaties SIL3 gegarandeerd moet blijven FSR_SW_SVS_001 aansturing: Om te voorkomen dat de lichten niet aangaan bij een storing van de PSS worden de lichten aangestuurd via een relais met verbreekcontacten, zodat bij het uitvallen van de PLC de lichten gaan branden. FSR_SW_SVS_002 controle: De werking van de VB99 stuurkaart van NMA wordt gecontroleerd door een stroombewakingsrelais (S1IM Pilz) in het stuurcircuit van de LED te plaatsen. De controle wordt gerealiseerd door het toepassen van een gekeurd softwareblok voor de controle van externe relais. Dit blok controleert de plausibiliteit van de beide terugmeldingen in combinatie met de aansturing van de seinen. FSR_SW_SVS_003 actie: Tijdens het sluiten van het val en de sluisdeur moet de werking van de seinen gegarandeerd zijn. Hierom moet het gehele sluitproces de vrijgave aanwezig zijn. Het wegvallen van de vrijgave stopt het sluiten direct. FSR_SW_SVS_004 actie groen: Tevens wordt er gecontroleerd op de terugmelding van de groene seinen, als een terugmelding aanwezig is tijdens het sluiten van het val of de sluisdeur wordt de beweging gestopt Val volledig gesloten/vergrendeld Omschrijving veiligheidsfunctie Project : Standaard software Sluiscomplex Pagina 16 van 30

17 Als de brug niet volledig is gesloten of vergrendeld (afhankelijk van het type brug). Mogen de afsluitbomen niet omhoog kunnen. In de configuratie van de besturing is het mogelijk te kiezen uit drie opties namelijk: 1. Brug met overgewicht op het val, hierbij wordt er alleen gekeken naar de positie van het val voor het openen van de bomen; 2. Brug met vergrendeling, hierbij moet de brug zowel vergrendeld zijn als op positie voor het openen van de bomen; 3. Brug met opzetwerk, hiervoor geldt hetzelfde als bij een vergrendelde brug dat moet zijn opgezet en op positie; Risico niet functioneren veiligheidsfunctie Als de brug niet goed op positie ligt kan dit gevaar opleveren voor de weggebruikers. Dit kan struikelgevaar, maar ook gevaar voor de verkeersveiligheid tot gevolg hebben. FSR_SW_VAL_011 gesloten controle: Voor detecteren van de gesloten positie van het val wordt gebruik gemaakt van SIL3 gecertificeerde sensoren PSEN cs1.1. De werking van de sensor wordt gecontroleerd door middel van gekeurd softwareblok FSR_SW_VAL_012 gendel controle: Voor detecteren van de vergrendelde positie van het val wordt gebruik gemaakt van SIL3 gecertificeerde sensoren PSEN cs1.1. De werking van de sensor wordt gecontroleerd door middel van gekeurd softwareblok. FSR_SW_VAL_013 gesloten actie: Tijdens het openingsproces van de afsluitbomen moet de vrijgave aanwezig zijn. Valt dit signaal weg zal direct het openen worden onderbroken. Als extra veiligheid moet de regelaar zijn uitgeschakeld voordat de afsluitbomen omhoog kunnen. Als het signaal wegvalt bij geopende afsluitbomen worden de LVS ingeschakeld afsluitboom uit bovenste positie Omschrijving veiligheidsfunctie Project : Standaard software Sluiscomplex Pagina 17 van 30

18 Als de afsluitbomen niet in de bovenste positie zijn moeten de landverkeerseinen worden ingeschakeld om te voorkomen dat er een aanrijding ontstaat met de dalende afsluitboom. Risico niet functioneren veiligheidsfunctie De weggebruiker wordt geconfronteerd met een onaangekondigde afgesloten rijbaan. Hierdoor kan schade aan de afsluitboom of een ernstig ongeval ontstaan. FSR_SW_ASB_004 open controle: Voor detecteren van de positie van de afsluitbomen wordt gebruik gemaakt van SIL3 gecertificeerde sensoren PSEN cs1.1. De werking van de sensor wordt gecontroleerd door middel van een gekeurd softwareblok. FSR_SW_ASB_005 open actie: Zodra bovengenoemde positie detectie wegvalt zullen automatisch de landverkeerseinen worden aangestuurd Veiligheidsketens sluiskolk Retarderingscontrole sluisdeur Omschrijving veiligheidsfunctie De snelheid van de deur moet worden gereduceerd zodat het sluiten soepel en zonder schade verloopt. Dit zelfde geldt voor de volledig open positie van de deur. Om deze vertraging te controleren wordt de snelheid van de sluisdeur gemeten en gecontroleerd dat de vertraging is ingezet. Tevens wordt gecontroleerd of de maximale snelheid van de sluisdeur niet wordt overschreden, hiermee kan worden vastgesteld of stromingen een te grote invloed hebben op de beweging. Risico niet functioneren veiligheidsfunctie Als de vertraging niet functioneert zal er schade ontstaan aan de sluis. Project : Standaard software Sluiscomplex Pagina 18 van 30

19 Om te bepalen op welke positie de deur zich bevind wordt gebruikgemaakt van SPES (SPil Eind Schakelaar) contacten op deze SPES worden minimaal de volgende posities ingesteld: Niet gesloten Niet Voor gesloten Niet Voor Voor gesloten Niet Voor Voor geopend Niet Voor geopend Niet geopend FSR_SW_DEUR_001 SPES controle: Om te controleren of de SPES juist functioneert wordt de volgorde van de schakeling gecontroleerd, tevens wordt gecontroleerd of de SPES draait door de posities te vergelijken met de veilige open en gesloten stand (hoofdstuk en ). De positieschakelaars zijn uitgevoerd als verbreekcontacten, tevens wordt de bedrading van deze contacten gecontroleerd op onderlinge sluiting of sluiting met 24V door het toepassen van testpulsen. FSR_SW_DEUR_002 SPES actie: Bij het constateren van een fout in een van de controles zal een noodstop worden uitgevoerd. FSR_SW_DEUR_003 encoder controle: Voor het meten van de snelheid wordt gebruikgemaakt van twee encoder ingangen van de PLC en twee encoders in samenspel met een gekeurd softwareblok. Dit softwareblok vergelijkt de positie en snelheid van de beide ingangen om zo de plausibiliteit van de signalen vast te stellen. FSR_SW_DEUR_004 encoder actie: Bij het ontdekken van een plausibiliteitsfout wordt een noodstop uitgevoerd. FSR_SW_DEUR_005 beweging controle: Om vast te kunnen stellen dat de encoders nog aan het draaipunt zijn verbonden wordt gecontroleerd of er beweging is zodra er aansturing is naar de regelaar. FSR_SW_DEUR_006 beweging actie: Wanneer er geen beweging wordt gedetecteerd is het mogelijk de beweging af te maken maar wordt een volgende brugdraai geblokkeerd. FSR_SW_DEUR_007 snelheid controle: Project : Standaard software Sluiscomplex Pagina 19 van 30

20 Tijdens het openen en sluiten van de brug wordt gecontroleerd of de snelheid van de deur niet boven de ingestelde maxima komt. Er zijn drie maximale snelheden aangegeven namelijk: 1. snelheid tussen voor open en open; 2. maximale snelheid over het hele traject; 3. snelheid tussen voor dicht en dicht. FSR_SW_DEUR_008 snelheid actie: Tijdens de beweging moet de snelheid altijd onder de ingestelde snelheid blijven. Bij het overschrijden van de snelheid zal direct een noodstop worden uitgevoerd. Buiten de besturing om zijn er een aantal maatregelen aanwezig die als extra veiligheid worden toegepast. De open positie is voorzien van een noodeindschakelaar. Deze schakelaar is direct in de aansturing van de hoofdstroom opgenomen zodat overtrekken is uitgesloten. De meeste sluisdeuren zijn voorzien van een mechanische retardering. Dit houdt in dat de aandrijving zo is geconstrueerd dat bij gelijkblijvende snelheid van de motor de snelheid van de deur afneemt. (panamawiel of gecurvde tandheugels) De toegepaste SPES contacten worden sinds de eerste elektrische aandrijving van bruggen toegepast. Hierdoor kan worden geconcludeerd dat deze een grote betrouwbaarheid hebben. Door het gebruik van testpulsen op de bedrading van de schakelaars kunnen bedradingsproblemen worden ondervangen. Tevens wordt de volgorde van schakelen van de contacten in de software gecontroleerd Sluisdeur volledig open Omschrijving veiligheidsfunctie Om de rode scheepvaartseinen uit te kunnen schakelen moet de sluisdeur in een volledig geopende positie zijn. Risico niet functioneren veiligheidsfunctie Als de rode lichten uitschakelen voordat de sluisdeur in de geopende positie is kan het scheepvaart verkeer in aanvaring komen met de deur. Project : Standaard software Sluiscomplex Pagina 20 van 30

21 FSR_SW_DEUR_009 open controle: Voor detecteren van de positie van brug wordt gebruik gemaakt van SIL3 gecertificeerde sensoren PSEN cs1.1. De werking van de sensor wordt gecontroleerd door middel van gekeurd softwareblok Het signaal deur open bestaat uit de uitgang van het gekeurde softwareblok en het positiesignaal van de SPES. Het signaal wordt niet gegeven als er een storing in de volgorde schakeling van de SPES is gesignaleerd FSR_SW_DEUR_010 open actie: Om een rood scheepvaartsein uit te kunnen schakelen moet het signaal deur open aanwezig zijn. Valt dit signaal weg zullen de lichten weer op rood gaan Sluisdeur volledig gesloten/vergrendeld Omschrijving veiligheidsfunctie Als de sluisdeur(en) van een landhoofd niet volledig gesloten zijn mogen de sluisdeuren van het andere landhoofd niet geopend kunnen worden Een uitzondering hierop is de spuistand, in deze situatie is dit wel mogelijk, hiervoor zijn extra maatregelen noodzakelijk.(zie ) In de configuratie van de besturing is het mogelijk te kiezen uit twee opties voor het gesloten houden van de deur namelijk: 1. Sluisdeur die geen invloed ondervindt van niveau verschillen (b.v. roldeur) in gesloten positie en daarop niet voorzien is van een vergrendeling.; 2. Sluisdeur met vergrendeling. Risico niet functioneren veiligheidsfunctie Als de sluisdeuren niet goed gesloten zijn kan dit schade aan de deuren veroorzaken als de deuren van het andere landhoofd worden geopend. De stroming die kan ontstaan kan de deuren uit de geleiding duwen. In het ergste geval is de deur niet meer te sluiten en kan het achterland onder water lopen of het kanaal leeg lopen. FSR_SW_DEUR_011 gesloten controle: Project : Standaard software Sluiscomplex Pagina 21 van 30

22 Voor detecteren van de gesloten positie van het val wordt gebruik gemaakt van SIL3 gecertificeerde sensoren PSEN cs1.1. De werking van de sensor wordt gecontroleerd door middel van een gekeurd softwareblok FSR_SW_DEUR_012 grendel controle: Voor detecteren van de vergrendelde positie van de deur wordt gebruik gemaakt van SIL3 gecertificeerde sensoren PSEN cs1.1. De werking van de sensor wordt gecontroleerd door middel van gekeurd softwareblok. FSR_SW_DEUR_013 gesloten actie: Voordat het nivelleren kan starten moeten alle deuren gesloten zijn, dit signaal moet de volledige processtap aanwezig zijn. Bij het wegvallen van het signaal moeten de rioolschuiven sluiten. FSR_SW_DEUR_014 gesloten actie: Om de sluisdeuren van een landhoofd te openen moet het signaal dat de deuren van het andere landhoofd gesloten zijn continu aanwezig zijn. Als het signaal wegvalt tijdens het openen moet de beweging worden omgekeerd en de deuren weer worden gesloten, dit om schade te voorkomen. Ter indicatie voor het scheepvaartverkeer worden de seinen op SPER gezet (object niet bedienbaar). FSR_SW_DEUR_015 gesloten filter: Om te voorkomen dat de sluis onnodig buiten bedrijf gaat wordt er een filter op de gesloten positie van 2 seconden geplaatst. De reden hiervoor is dat het mogelijk is dat trillingen er voor kunnen zorgen dat de detectie van de gesloten positie tijdelijk weg valt. Het toepassen van het filter heeft geen verdere consequenties voor de veiligheid aangezien de gesloten positie volledig moet zijn gerealiseerd voordat de stap sluisdeuren openen kan worden gestart (hierop zal geen filter worden geplaatst). In de praktijk zal deze situatie niet voor kunnen komen tenzij er mechanische defecten zijn ontstaan, want het openen van de deuren via de besturing is niet mogelijk omdat de posities onderling vergrendeld zijn Omloopschuiven gesloten Omschrijving veiligheidsfunctie Project : Standaard software Sluiscomplex Pagina 22 van 30

23 Voordat de sluisdeuren van het ene landhoofd geopend kunnen worden moeten de omloop of rioolschuiven van het andere landhoofd zijn gesloten, dit geldt ook voor het openen van de sluisdeuren Risico niet functioneren veiligheidsfunctie Bij het niet gesloten zijn van de omloopschuiven is het mogelijk dat het nivelleren in de sluiskolk niet mogelijk is, aangezien evenveel water de kolk in stroomt als er uit. De constructie van de schuiven is zo dat ook bij grote stroming er geen schade kan ontstaan. FSR_SW_OSL_001 gesloten controle: Voor detecteren van de positie van schuif wordt gebruik gemaakt van SIL3 gecertificeerde sensoren PSEN cs1.1. De werking van de sensor wordt gecontroleerd door middel van gekeurd softwareblok FSR_SW_OSL_002 gesloten actie: Om de omloopschuiven of de sluisdeuren te openen moeten de omloopschuiven van het andere landhoofd gesloten zijn. Is het proces eenmaal gestart zal het verliezen van de gesloten positie slechts een foutmelding genereren, het proces zal niet worden afgebroken Afscherming omloopschuif gesloten Omschrijving veiligheidsfunctie De omloopschuiven moeten zijn voorzien van een mechanische afscherming met interlocking. De interlocking moet de beweging van de omloopschuif vergrendelen. Risico niet functioneren veiligheidsfunctie Als de interlocking niet functioneert is er het risico dat iemand bekneld raakt in de aandrijving van de schuif. Dit risico wordt vergroot door het feit dat bij een noodstop de omloopschuiven worden gesloten. FSR_SW_OSL_003 afscherming controle: Project : Standaard software Sluiscomplex Pagina 23 van 30

24 Voor detecteren van de positie van afscherming wordt gebruik gemaakt van een of meerdere SIL3 gecertificeerde sensoren PSEN cs1.1. De werking van de sensor wordt gecontroleerd door middel van gekeurd softwareblok. Na het terugplaatsen van de afscherming moet de veiligheidsfunctie worden gereset met behulp van een drukknop op de schakelkast. FSR_SW_OSL_004 afscherming actie controle: De aansturing van de omloopschuif wordt geblokkeerd. Dit betekend dat bij een geopende afscherming de schuif niet zal sluiten bij een noodstop. Het is aan de aannemer de afscherming zo te ontwerpen dat er geen risico voor beknelling meer aanwezig is bij een gesloten afscherming. Tevens moet de afscherming zo worden ontworpen dat het openen van de afscherming altijd leidt tot het onderbreken van het ingangscircuit Niveau gelijk Omschrijving veiligheidsfunctie Om de sluisdeuren te kunnen openen moet het waterniveau aan beide zijden van de deur op een gelijk niveau zijn. Risico niet functioneren veiligheidsfunctie Schade aan de sluisdeuren zodat deze niet meer te sluiten zijn FSR_SW_NIVEAU_001 controle: Er worden per meet positie twee analoge niveau meters toegepast met een uitgangssignaal van 4-20mA er zijn in totaal 3 meetposities voorzien, een binnen de kolk en een aan iedere zijde buiten de kolk. FSR_SW_NIVEAU_002 controle: De meetsignalen worden gekoppeld aan twee fail-safe analoge ingangen. Door de software worden de meetwaarden van de beide sensoren met elkaar vergeleken om zo te controleren of de waarden plausibel zijn. FSR_SW_NIVEAU_003 controle: Op de meetwaarden worden ook een controle uitgevoerd om vast te stellen dat ze binnen de gestelde grenswaarden liggen. FSR_SW_NIVEAU_004 actie: Project : Standaard software Sluiscomplex Pagina 24 van 30

25 De meetwaarden van buiten de kolk en binnen de kolk moeten gelijk zijn (binnen een instelbare bandbreedte van maximaal een aantal centimeters). Om de sluisdeur te kunnen openen. Na het starten van de beweging wordt er niet meer naar de niveaus gekeken. FSR_SW_NIVEAU_005 actie: Als er een plausibiliteitfout op een van de meetposities wordt vastgesteld kunnen de bijbehorende deuren niet geopend worden 4.5. Noodstop Omschrijving veiligheidsfunctie De noodstop is een ondersteunende veiligheidsfunctie maar is essentieel voor het veilig bedienen van een sluiscomplex. Met de noodstop moeten alle bewegingen van het complex te stoppen zijn. In de praktijk komt dit neer op het stoppen van de afsluitbomen, het val en de sluisdeuren. Uitzondering hierop zijn de omloopschuiven of rioolschuiven, deze moeten juist sluiten bij een noodstop om zo het nivelleren van de sluiskolk te stoppen. Er is een onderverdeling gemaakt in de bediening vanaf de locatie ofwel lokale bediening of van afstand. Risico niet functioneren veiligheidsfunctie Als er een gevaarlijke situatie ontstaat is het niet mogelijk deze situatie af te wenden Lokale bediening FSR_SW_NS_001 controle: De noodstopdrukkers zijn tweekanalig uitgevoerd en worden door middel van een gekeurd softwareblok gecontroleerd op juist functioneren. FSR_SW_NS_002 actie: De lokale noodstopdrukkers zijn altijd actief. Bij het indrukken van een noodstop zal softwarematig de aansturing naar alle bewegende delen worden weggenomen (behalve de omloopschuiven). Een lokale noodstop is alleen te resetten op de locatie. Project : Standaard software Sluiscomplex Pagina 25 van 30

26 FSR_SW_NS_003 omloopschuif: De omloopschuiven zullen bij een noodstop dicht worden gestuurd, de reden hiervoor is dat de noodstop regelmatig wordt gebruikt voor het stoppen van het nivelleren. Wanneer de bewegingen zouden worden gestopt betekent dit dat het nivelleren niet kan worden onderbroken. FSR_SW_NS_004 lokaal: Bij lokale bediening is de bediening vanuit de centrale vergrendeld, tevens wordt de vrijgave (noodstop) van de centrale overbrugd. Omdat het hier om een overbrugging gaat is deze met een gelijke betrouwbaarheid uitgevoerd als de noodstop. Het omschakelen naar lokaal wordt gedaan door een sleutelschakelaar voorzien van twee maakcontacten de werking van de schakelaar wordt gecontroleerd door middel van een gekeurd softwareblok. FSR_SW_NS_005 lokaal actie: Bij het falen van de schakelaar schakelt de installatie altijd naar bediening op afstand zijn er geen overbruggingen actief Centrale bediening Voor het bedienen op afstand moet de vrijgave van de centrale bediening aanwezig zijn. Deze vrijgave is alleen aanwezig met de volgende voorwaarden: Geen lokale noodstop ingeslagen; Geen noodstop ingeslagen op de centrale; Goede verbinding tussen console en centrale besturing (controle via watchdog) Console toegewezen aan de brug. Voor de verbinding tussen de lokale en de centrale besturing wordt gebruik gemaakt van SafetyNET p deze busverbinding heeft een goedkeuring voor SIL3. bij het uitvallen van deze verbinding worden alle signalen automatisch naar 0 gezet waardoor ook de vrijgave naar de besturing wegvalt en deze in noodstop gaat. De toewijzing van de consoles aan de bruggen wordt in het niet failsafe programma opgeslagen de toewijzing van de bruggen aan de consoles is opgeslagen in het failsafe programma. (zie hoofdstuk van document SY-0031) Door bovenstaande opzet is het onmogelijk de brug te bedienen als deze niet is geselecteerd door de operator. De software in de centrale besturing geeft alleen Project : Standaard software Sluiscomplex Pagina 26 van 30

27 de vrijgave als aan bovenstaande eisen is voldaan (zie hoofdstuk en van document SY-0031). Daarnaast is er een beveiliging ingebouwd dat een brug niet dubbel kan worden toegewezen of een console dubbel wordt toegewezen. Bij het uitzetten van de centrale besturing of het verliezen van de verbinding zal altijd de vrijgave wegvallen. (zie hoofdstuk en van document SY-0031) Bij het verliezen van de koppeling tussen console en brug (bij koudestart PSS verzetten selectie centrale) moet lokaal het bedienproces worden afgerond aangezien het complex niet meer opnieuw is toe te wijzen tot het proces is afgerond. (zie van technisch ontwerp centrale besturing) 4.6. Bijzondere situaties Spuien Omschrijving veiligheidsfunctie In sommige situaties moet er de mogelijkheid zijn om de sluisdeuren tegen elkaar open te zetten. Risico niet functioneren veiligheidsfunctie Schade aan de sluisdeuren en onderlopen van het achterland of het leeglopen van de waterweg FSR_SW_SPUI_001 controle schakelaar: Omdat in de situatie van spuien de veiligheidsketens als omschreven in moet worden overbrugd is hier een bewuste actie nodig om om te schakelen naar de spuistand. Omdat het hier om een overbrugging gaat is deze met een gelijke betrouwbaarheid uitgevoerd als de noodstop. Het omschakelen naar spuistand wordt gedaan door een sleutelschakelaar voorzien van twee maakcontacten de werking van de schakelaar wordt gecontroleerd door middel van een gekeurd softwareblok. FSR_SW_SPUI_002 functie: Het is alleen mogelijk de spuistand te activeren als de besturing in lokale mode staat. Om vanuit het inschakelen van de spuistand de deuren werkelijk te openen moet aan het waterniveau aan beide zijden van de sluis op een gelijkwaardig niveau zijn om schade aan de deuren te voorkomen. Project : Standaard software Sluiscomplex Pagina 27 van 30

28 FSR_SW_SPUI_003 actie: Als het complex in spuistand is kan niet worden omgeschakeld naar centrale bediening Instellen retardeerbewaking Omschrijving risico Om de retardeerbewaking in te stellen is het wenselijk een leerbeweging te maken. Tijdens deze beweging is er geen retardeerbewaking actief, maar wordt enkel de gemeten waarde op de verschillende bewakingspunten opgeslagen. Scenario Als blijkt dat de brug of sluisdeur regelmatig een retardeerfout heeft wordt de inleermode geactiveerd zodat de retardeercontrole niet meer functioneert. FSR_SW_Inleer_001_activering: Het activeren van de inleermode wordt gedaan op een volledige positieve puls van de gereserveerde ingangen. FSR_SW_Inleer_002_actie: De inleermode moet per object worden geactiveerd, dus alleen voor val1 of sluis1, alleen het geselecteerde object zal kunnen bewegen. Dit betekent dat er geen normale sluisbeweging mogelijk is. FSR_SW_Inleer_003_actie: Na activering blijft de inleermode slechts een beweging actief, na het afronden van de beweging wordt de inleermode weer uitgeschakeld Additionele risico s In beweging komen van afsluitbomen Omschrijving risico Het bewegen van een afsluitboom terwijl dit niet geoorloofd is. Scenario Project : Standaard software Sluiscomplex Pagina 28 van 30

29 De enige manier dat een afsluitboom ongeoorloofd in bedeweging kan komen is door een externe inkoppeling van 24V op de magneetschakelaar. FSR_SW_ASB_006_actie: De afsluitbomen worden aangestuurd via speciale redundante PNOZ po3.3 veiligheidscontactors. Deze worden gestuurd door een uitgang van de veiligheids PLC. Als een probleem met de terugmelding van een magneetschakelaar wordt onderkent zal dit leiden tot het afschakelen van de voeding naar de afsluitbomen In beweging komen van val Omschrijving risico Het bewegen van het val nadat deze tot stilstand is gekomen. Scenario Door een storing in het elektrische circuit kan de brug in beweging komen nadat deze is gestopt. FSR_SW_VAL_014 beweging actie: Na een brugdraai (brug gesloten) wordt altijd de voeding naar de regelaar afgeschakeld. De afsluitbomen kunnen pas worden geopend als de regelaar uit is. FSR_SW_VAL_015 beweging actie: In een niet gesloten positie wordt de voeding naar de rem afgeschakeld en het safe-stop signaal van de regelaar weggeschakeld. Als beweging wordt gedetecteerd terwijl het val stil zou moeten staan wordt een noodstop uitgevoerd. Opmerking: Als het systeem wordt beïnvloed door handmatig ingrijpen zoals het lichten van de rem kan de besturing geen actie ondernemen. Project : Standaard software Sluiscomplex Pagina 29 van 30

30 Project : Standaard software Sluiscomplex Pagina 30 van 30