AFFIDABILITÀ E SICUREZZA Un approccio innovativo per l abbattimento dei costi e dei tempi di sviluppo delle applicazioni fino al SIL4

Transcript

1 AFFIDABILITÀ E SICUREZZA Un approccio innovativo per l abbattimento dei costi e dei tempi di sviluppo delle applicazioni fino al SIL4 Marco Nolletti

2 I diversi approcci alla safety Unità/anno Alta modularità (es. PLC), bassi costi di sviluppo, alta interoperabilità, mercato frammentato ma dominio dei grandi gruppi (Schneider, Siemens, ecc.) Industriale Modularità per sistemi (es. ABS, Airbag, ecc), medi costi di sviluppo, mercato sotto il controllo degli integratori Automotive E il mercato del trasporto ferroviario dove si colloca? Aeronautico Modularità bassa, altissimi costi di sviluppo, mercato chiuso N fornitori

3 L approccio del mercato ferroviario Unità/anno modularità bassa costi di sviluppo elevati l interoperabilità limitata ai grandi sistemi tendenza a riprogettare i sottosistemi ex novo alti margini consentivano di coprire i costi di sviluppo derivanti da tale approccio Un obiettivo possibile Ferroviario N fornitori

4 Perché non si standardizza? Per standardizzare sono necessari: investimenti iniziali elevati tecnici con esperienze consolidate la necessità di scendere a compromessi I volumi di produzione sono bassi In origine il mercato era nazionale Mancanza di fornitori affidabili e durevoli False illusioni: se faccio tutto in casa ne ho il pieno controllo I progetti appaiono molto diversi tra di loro Le spinte esterne sono ancora deboli Le infrastrutture sono distribuite su territori estesi e con diverse esigenze tecniche Ci sono barriere nella cultura aziendale Il mondo del lavoro sta cambiando

5 Un esempio: il distanziamento dei treni Misure di riluttanza Segnali a LED Trasmissione codici di blocco (SST) Funzioni di libero occupato Ricezione codici di blocco (SSB) Tratta occupata Tratta libera Tratta libera Tratta occupata Apparati in Garitta Apparati in Garitta Apparati in Garitta Apparati in Garitta Sistemi di controllo

6 Il payload di un progetto SIL4 Dal punto di vista funzionale tutte queste applicazioni differenti possono essere soddisfatte da una opportuna combinazione di funzioni elementari di cui sia garantita la sicurezza con l adeguato livello SIL (Safety Integrity Level): misura di grandezze fisiche elaborazione delle grandezze acquisite trasmissione dati attuazione delle uscite Quello che realmente differenzia due sottosistemi è l interfaccia e la logica applicativa

7 Cosa si può standardizzare? Se proviamo a dare un peso a ciascuna delle attività in cui è possibile scomporre lo sviluppo tecnico di un progetto, scopriamo che Scomposizione tipica di un progetto SIL4 Misure di grandezze 10% Piattaforma di elaborazione 28% Protocolli di trasmissione dati 14% 62% Attuazione delle uscite 10% Interfaccia con il campo 8% Logica applicativa 30% 38% oltre il 60% delle attività sono ripetibili!

8 I possibili approcci al SIL4 Prendiamo 100 come riferimento per il costo di un progetto non in sicurezza (solo sviluppo, no SIL) e rappresentiamo i costi, immaginando di svilupparne la versione sicura (SIL4) in contesti aziendali e di standardizzazione diversi: Cultura aziendale sulla Safety Scarsa Adeguata Adeguata Adeguata Standardizzazione - - Sì, SIL0 Sì, SIL4 Sviluppo V&V Omologazione Un obiettivo possibile

9 I costi nascosti L inaffidabilità (indisponibilità) degli apparati e la sempre più rapida obsolescenza sono diventate una voce di costo significativa nell esercizio; interventi efficaci sono possibili solo in fase di progetto: selezione accurata dei componenti (qualità, vita utile, derating) controllo del ciclo di produzione diagnostica fine e mirata alla previsione dei guasti (prognostica) prove di tipo accurate Per mitigare gli effetti dell obsolescenza si può: alzare il livello di astrazione basare i principi e le contromisure di sicurezza sulle architetture e non sui componenti standardizzare le interfacce ( open source ) incentivare la crescita di fornitori che sviluppino gli stessi oggetti standard

10 Riassumendo La riduzione dei costi che si può avere standardizzando è significativa ma richiede investimenti iniziali in grado di scoraggiare o mettere in difficoltà i più virtuosi Per diverse ragioni il mercato del trasporto ferroviario non ha affrontato in modo definitivo il problema Nelle applicazioni safety critical è più redditizio standardizzare le funzioni legate alla sicurezza Intervenendo opportunamente sul processo di sviluppo è possibile ridurre anche i costi nascosti La risposta a queste considerazioni si chiama Safety Core

11 Piattaforma Safety Core Application HW SAFETY CORE Application SW Il Safety Core è una piattaforma general purpose per realizzare sistemi safety critical fino al livello SIL4 secondo le normative CENELEC 5012x e IEC L idea di base è quella di racchiudere nel Safety Core un gran numero di generiche funzioni di sicurezza hardware e software e di renderle disponibili attraverso le rispettive interfacce L applicazione finale si realizza sviluppando attorno al Safety Core lo strato hardware e software specifico di ogni applicazione Tutte le funzioni di sicurezza del Safety Core, nell ambito delle condizioni applicative definite nella documentazione, sono certificate per il livello più alto di SIL e richiedono solo piccole attività di verifica che sono organizzate in forma di checklist Il ciclo di vita del SC è sviluppato in modo tale da risultare un sottoinsieme di quello richiesto per l omologazione dell applicazione finale.

12 Architettura del Safety Core Dal punto di vista hardware, il SC è un architettura 2oo2 (2 out of 2) e nasce per essere integrato a bordo di una scheda che ha il compito di adattare le funzioni generiche alla specifica applicazione (livelli di tensione/corrente, alimentazioni, etc.) Dal punto di vista del SW è costituito da una libreria di funzioni certificate che permettono il controllo in sicurezza della piattaforma con un alto livello di astrazione Duplicando la piattaforma è possibile aumentare il grado di ridondanza sia verso la sicurezza che verso la disponibilità Il Safety Core è composto da: Modulo di acquisizione ed elaborazione a doppio processore Modulo di attuazione carichi Moduli di interfaccia e misura

13 Modulo di acquisizione ed elaborazione Piattaforma hardware e software general purpose in architettura ridondata 2oo2 in grado di realizzare le seguenti funzioni SIL4: acquisizione ridondata di 16 ingressi analogici doppio canale di elaborazione isolato e indipendente monitor delle alimentazioni, dei riferimenti in tensione e delle base tempi canale veloce di intercomunicazione EN identificazione univoca del nodo scheduler real time con profiler votazione di variabili e segnali Ciascun canale dispone inoltre di orologio, sensore di temperatura, NVRAM, FLASH, RS232, DAC, ADC e di oltre 50 pin configurabili come GPIO e/o periferiche quali epwm, ecap, eqep, SCI, I2C, SPI, CAN ecc.

14 Modulo di attuazione Modulo di potenza (10W) basato su architettura ridondata 2oo2 in grado di realizzare le seguenti funzioni SIL4: switch elettronico in grado di interrompere vitalmente il trasferimento di energia tra ingresso e uscita generatore di tensione con uscita isolata, monitorata (V e I) e programmabile via software tra 3 e 24 Volt Il modulo è dotato di 2 switch indipendenti ideati per la messa in sicurezza del sistema in condizioni di guasto contrario alla sicurezza e di 4 generatori programmabili in grado di pilotare direttamente relé ferroviari o altri carichi

15 Moduli di interfaccia e misura Questi moduli molto compatti risolvono in modo scalabile il problema dell interfacciamento con il campo per effettuare misure ridondate mantenendo l isolamento galvanico Altre caratteristiche comuni a tutti i moduli: vita utile di 25 anni ciclo di vita secondo IEC e CENELEC 5012x alta affidabilità (calcoli MIL-HDBK-217F e SN 29500) impiego su sistemi di terra e bordo range di temperatura esteso compatibilità meccanica e dimensionale con rack 19 3U ambiente di sviluppo hardware e software per il debug

16 Applicazione: Segnale alto a 3 aspetti Funzioni fornite dal Safety Core: piattaforma di elaborazione sicura misura isolata della tensioni di linea misura ridondata della luminosità emessa attuazione relè di feedback verso il campo abilitazione e controllo energetico dei driver dei LED messa in sicurezza in caso di guasto grave diagnostica di manutenzione via RS232 Funzioni sviluppate ad hoc: selezione dell aspetto (Logica applicativa, software) interfaccia elettrica verso il campo driver dei LED condizionamento dei fotodiodi

17 Conclusioni Con l impiego del Safety Core è possibile ridurre fino al 40% i costi ed i tempi di sviluppo di applicazioni SIL4 raggiungere elevati target affidabilistici migliorare la diagnostica e la manutenzione degli apparati mitigare il problemi legati all obsolescenza della componentistica

18 srl c/o I3P Ufficio n 21 Via C. G. Massaia, Torino (TO) Italia T F Sito Internet: info@eulego.com Grazie per la cortese attenzione Ogni grande idea ne porta in grembo almeno un altra