Sottosistema di Terra SCMT

Транскрипт

1 Roma, 10 novembre 2008 Sottosistema di Terra SCMT Ing. Gavino Vargiu RFI Direzione Tecnica Mail:

2 SCMT Definizione del Sistema SCMT: Sistema di Controllo della Marcia del Treno ATP: Automatic Train Protection Garantisce il rispetto delle condizioni di marcia attraverso informazioni inviate al treno Si sovrappone ai sistemi di segnalamento tradizionali esistenti ed al segnalamento laterale (guida trasparente per il macchinista) La protezione del treno viene realizzata dal SSB agendo sul sistema di frenatura (allarmi e taglio trazione) nel momento in cui il Sistema stabilisce che non sono rispettate le condizioni di sicurezza della marcia Protezioni attuate: rispetto al Segnalamento, alla Velocità Massima e Pendenza della Linea, ai Rallentamenti e Riduzioni di Velocità 2

3 SCMT Architettura di Sistema Si divide in Sottosistema di Terra (SST) e Sottosistema di Bordo (SSB) SST: Trasmette al SSB, nella forma di telegrammi, i dati relativi allo stato della linea, necessari per la sicurezza della marcia del treno Dati: Variabili: aspetto dei segnali Semifissi: rallentamenti Fissi: velocità della linea, pendenza, ecc. Trasmissione di tipo Discontinua RSDD: telegrammi trasmessi solo in corrispondenza di determinati punti, detti Punti Informativi 3

4 SCMT Architettura di Sistema SSB: Capta le informazioni che giungono dal SST Elabora le informazioni ricevute per calcolare le curve di velocità e controllare punto per punto che il treno non superi la massima velocità di linea ammessa Uso di dati caratteristici del treno ad integrazione di quelli inviati dal SST: Lunghezza treno Percentuale massa frenata Velocità veicoli in composizione Rango di velocità ammesso dal materiale rotabile 4

5 SCMT Architettura di Sistema LOGICA Modello Treno Vigilante RSC RSDD MMI Frenatura d urgenza Encoder Boa Fissa Boa Commutata 5

6 CIRCUITO COMANDO APERTURA IR CHIUSURA IR Sottosistema di Bordo - Architettura Quadro di distribuzione CEA (commutatore escluditore ) Inseritore SCMT ARMADIO PRINCIPALE SUONERIA Piastra pneumatica Taglio trazione ALA (Apparato Logica SCMT) COMPUTER VITALE BTM CHIAVE DI BANCO G N Dati OK TACHIMETRO CMT 15:45 MAN PRE 130 SV RSC VM RIC AC RV SR RF CRUSCOTTO CABINE DI GUIDA Frenatura elettrica rubinetto elettronico freno EP Generatori tachimetrici ANTENNA Captatori RSC DISPOSITIVI DI INTERFACCIA PER IL VIGILANTE Condotta Generale BOA 6

7 Sottosistema di Bordo - Cruscotto G N CMT 15:45 Dati MAN 130 SV PRE RSC VM RIC OK SR AC RV RF 7

8 Sottosistema di Terra E costituito da: Armadio Encoder di Stazione e di Linea Boe Cavi di collegamento Apparato IS-Armadi Encoder e Armadi-Boe Impianti di stazione ACEI / ACS In linea PdB e PL Tool di configurazione, verifica e manutenzione Encoder e Boa e tool gestione rallentamenti Apparato IS Armadio Encoder Boa 8

9 Modulo Encoder Posto in Armadio di Stazione o di Linea Acquisisce in sicurezza le informazioni dagli Apparati IS Da 10 a 16 ingressi digitali (IDV Ingressi Digitali Vitali) Individua, per mezzo dello stato degli ingressi acquisiti, i telegrammi da inviare alle singole boe (via interfaccia C) Ogni telegramma viene selezionato fra un set preconfigurato di almeno 95 telegrammi per ogni boa gestita Pilota sino a 4 boe Gestione di situazioni di errore (stato ingressi non presente, ingressi instabili, ecc.) per mezzo della selezione di un telegramma di default con aspetto restrittivo E il cuore del Sottosistema di Terra 9

10 Modulo Encoder Interfaccia Segnali Aspetto segnale Interfaccia di programmazione Interrogazione tabella telegrammi in base all Aspetto del segnale Memoria Telegrammi Telegramma selezionato Selettore Telegrammi Telegramma inviato alla boa 10

11 Modulo Encoder - Alstom 11

12 Armadio Encoder di Stazione E ubicato in sala relè, in stazione Si compone di: Alimentatori ridondati per aumentare la disponibilità Massimo 8 Moduli Encoder ciascuno in grado di pilotare massimo 4 boe FED Front End Diagnostico. Massimo 2 FED in ogni Armadio GPS per la sincronizzazione oraria Eventuale interfaccia con ACS Nel caso di particolari situazioni impiantistiche, si possono avere 1 Armadio Principale e massimo 3 Armadi Secondari (questi ultimi aventi solo i Moduli Encoder e gli Alimentatori ridondati) 12

13 Armadio Encoder di Stazione - Ansaldo 13

14 Armadio Encoder di Linea E ubicato in linea Si compone di: Alimentatori ridondati per aumentare la disponibilità Massimo 2 Moduli Encoder FED Front End Diagnostico. Massimo 2 FED in ogni Armadio GPS per la sincronizzazione oraria 14

15 Armadio Encoder di Linea - Ansaldo 15

16 FED Front End Diagnostico Rappresenta il sistema di diagnostica di I Livello Compiti: Memorizzazione dei seguenti eventi: Circolazione (telegrammi inviati) Diagnostici (anomalie alimentazioni, ingressi encoder, anomalia generica encoder, mancata sincronizzazione oraria per 24h, guasti memoria) Ora e data Scarico dei dati tramite Tool di Manutenzione Per ogni evento, viene memorizzato l ente che lo ha causato (telegramma, guasto, ecc) ed ora e minuto in cui si è verificato 16

17 SSDT Sottosistema Diagnostico di Terra La tecnologia utilizzata consente la trasmissione via GSM-R degli allarmi All interno degli armadi è prevista la sistemazione di un modulo MRD (Modulo Remotizzazione Dati) che si interfaccia con il FED Il Modulo MRD ha al suo interno un modem GSM-R in grado di inviare i dati acquisiti a sistemi di gestione allarmi/diagnostica di livello gerarchico superiore E previsto un Posto Diagnostico SCMT Compartimentale che controlla gli armadi di propria competenza GPS CEI 1 Posto Diagnostico SCMT 1 AdS AdL 17

18 SSDT Sottosistema Diagnostico di Terra PD SCMT CEI 1 MRD INTRANET RFI RETE GSM_R Server Centrale Diagnostica Remota PI SCMT MRD PD SCMT CEI 2 18

19 Boa E il dispositivo che trasmette fisicamente al SSB le informazioni del SST E posta lungo i binari, fissata alle traversine E un dispositivo passivo: viene energizzata, al passaggio del treno, tramite un segnale di telepowering a 27,095 MHz emesso dall antenna posizionata sotto il rotabile Trasmette al treno, tramite un segnale di uplink, o il telegramma ricevuto tramite l interfaccia C dall encoder (boa commutata) o un telegramma di default in essa memorizzato (boa fissa) 2 tipi di boe: ASK (Amplitude Shift Keying) per telegrammi a 180 bit FSK (Frequency Shift Keying) EUROBALISE per telegrammi a 1023 bit Punto Informativo (PI): insieme di due boe (commutate,fisse,fissacommutata) 19

20 Boa Commutata e Boa Fissa air gap air gap Energia Sincronismo Trasmiss. Treno Energia Sincronismo Trasmiss. Treno boa Logica commutaz. Telegramma memorizz. Ricezione Encoder Telegramma memorizz. Tool programmazione Encoder Tool programmazione 20

21 Boa - Siemens 21

22 Tools Insieme di apparecchiature portatili per: Configurazione, Verifica e Manutenzione Boe Acquisire da PC il file di configurazione contenente il telegramma di default ed i dati di configurazione della boa Configurare la boa, rileggere via airgap il telegramma trasmesso e confrontarlo con quello atteso Configurazione, Verifica e Manutenzione Encoder Acquisire da PC il file di configurazione contenente i dati di configurazione dell encoder Configurare l encoder, rileggere il contenuto della sua memoria e confrontarlo con quello atteso Programmazione e gestione rallentamenti (telegrammi e fissaggio boe) 22

23 Kit Fissaggio Rapido Boe - Ansaldo 23

24 Tool Boa - Ansaldo 24

25 Tool Encoder - Bombardier 25

26 Sviluppo in Sicurezza dei Sistemi Nello sviluppo dei sistemi ferroviari aventi funzioni di sicurezza, fondamentale è il concetto di SAFETY (Sistemi safety-related) Safety: Assenza di rischi intollerabili che potrebbero arrecare danni a persone, cose e ambiente La Sicurezza di un sistema si raggiunge attraverso un processo di progettazione e sviluppo che consente il controllo e la mitigazione degli errori sistematici e casuali attraverso l applicazione di criteri e procedure dettati dalle normative durante tutte le fasi del Ciclo di Vita del sistema Integrità della sicurezza: grado di fiducia assegnato ad un sistema per svolgere le sue funzioni di sicurezza in tutte le condizioni fissate SIL (Safety Integrity Level): esprime il grado di confidenza con cui un sistema rispetta i suoi requisiti di sicurezza Sistemi Ferroviari Safety Related sono SIL4 (il massimo) 26

27 Errori Sistematici Fault Prevention Guasti legati al progetto ed alla sua gestione/organizzazione 50126: ciclo di vita del sistema ferroviario e metodologia per l analisi dei rischi (e la loro classificazione) 50128: procedure e tecniche per sviluppo, verifica e validazione di SW per sistemi di protezione e controllo ferroviari safety related 50129: attività e tecniche per l accettazione di sistemi elettronici in sicurezza per il segnalamento ferroviario Standard di qualità nello sviluppo HW/SW del sistema (programmazione strutturata, modularizzazione, no puntatori, ecc) e nell organizzazione Certificazioni di Qualità del Fornitore Pianificazione delle Attività Separazione di chi si occupa dello sviluppo e di chi si occupa della verifica e della validazione 27

28 Ciclo di Vita 28

29 Organizzazione V&V per sistemi SIL4 29

30 Errori Casuali Fault Tolerance Causati da malfunzionamenti HW/SW Capacità del sistema di comportarsi in maniera sicura a seguito tali guasti Il sistema è in grado di rilevare un guasto e di portarsi in uno stato SICURO Non ci devono essere guasti non rivelati in modo da non avere guasti latenti Sviluppo di apposite architetture di sicurezza sulle quali si basano i sistemi ferroviari di segnalamento e controllo: Inherent Fail Safe Composite Fail Safe Reactive Fail Safe 30

31 Architetture di Sicurezza Inherent Fail Safe Le funzioni di sicurezza sono realizzate da un singolo componente a patto che tutte le condizioni ipotizzabili di guasto per quel componente non siano credibili Relè Composite Fail Safe Le funzioni di sicurezza sono realizzate da almeno due componenti, ognuno indipendente dall altro per evitare guasti di modo comune. Un guasto in un componente va rilevato ed annullato in tempo prima che ne accada uno coincidente nell altro componente che possa mascherare il primo Ridondanza dei componenti Architetture 2oo2 (SST-SCMT) e 2oo3 (TMR Ansaldo) 31

32 Architetture di Sicurezza Reactive Fail Safe Le funzioni di sicurezza sono realizzate da un singolo componente a patto che che le sue funzioni siano assicurate in sicurezza per mezzo di una rapida rilevazione e negazione del guasto Testing continuo del componente, codifica dei dati 32

33 Applicazione Encoder SCMT Prodotto SIL4 Funzioni realizzate in sicurezza: Acquisizione stato apparati IS Selezione telegramma da inviare Principi di Safety Architettura Composite Fail Safe 2oo2 con doppia sezione/canale di elaborazione e CPU indipendenti ed isolate galvanicamente Le CPU, in caso di corretta elaborazione, mantengono alimentato un watchdog, ossia un dispositivo il cui eventuale intervento a seguito di anomalie è in grado di disalimentare in sicurezza le interfacce critiche dell apparato e portare il sistema in uno stato SICURO Presenza di test online eseguiti dal SW sulle risorse HW (test RAM, test FLASH, test configurazione impianto, test spegnimento rapido WDG, ecc) 33

34 Applicazione Encoder SCMT Principi di Safety Diagnostica SW all accensione della macchina Voting tra le due sezioni per individuare guasti Checksum e CRC per rilevare errori sui dati scambiati Tecniche di programmazione SW con assenza di allocazione dinamica della memoria, controllo su range variabili, numero e tipo di variabili scambiate (defensive programming) In caso di guasti/fallimenti, si possono avere le seguenti situazioni: Disabilitazione interfacce ed invio del telegramma di default della boa Invio del telegramma di default encoder 34

35 SW Encoder Separazione in SW Applicativo e SW di Base Sviluppo in accordo ad Cenelec per sistemi SIL4 SW di Base fornisce servizi di Sistema Operativo per comunicazione tra processi, voting, interfacciamento SW Applicativo implementa gli algoritmi specifici dell Encoder Responsabile dell esecuzione ciclica dei test online e dei test all accensione Utilizzo di linguaggi ad alto livello per avere cicli di vita ridotti, maggior riuso, facilità di manutenzione e validazione 35

36 Attività di sviluppo e V&V Attività di RFI preliminare di: Concezione e definizione del sistema Attività di Risk Analysis per determinare quali hazard il sistema può introdurre nella circolazione ferroviaria Definizione delle Specifiche di Sistema Allocazione e tracciatura dei requisiti RFI sul sistema SST del fornitore Analisi dei rischi e definizione di contromisure (requisiti di sicurezza) allocate dal fornitore sui suoi prodotti Prove di Tipo in accordo a IS402 (prove Climatiche, Meccaniche, Elettriche) 36

37 Attività di sviluppo e V&V FED (SIL 0): Specifica dei Requisiti Test dei Requisiti HW/SW Encoder (SIL4): Specifica Requisiti Specifiche dei moduli SW Analisi di sicurezza Prove guasti Test requisiti HW e SW Test modulo SW con analisi statica e dinamica Test integrazione SW Test integrazione HW/SW 37

38 Attività di sviluppo e V&V Per i Tool (SIL0): Specifica Requisiti SW Test Requisiti SW Manuale Test di sistema In laboratorio In campo Attività di RFI di Test Witnessing HW/SW nel laboratorio del fornitore Attività di Test presso i laboratori dell Istituto Sperimentale di RFI Attività di RFI in campo per l assessment Fine attività di V&V con redazione del Rapporto di Validazione e del Safety Case 38

39 Attività RFI 39

40 Altri sistemi di protezione della marcia: SSC SSC: Sistema di Supporto alla Condotta Linee scarso traffico SST+SSB Protezione rispetto ai segnali fissi e rallentamenti Sistema Cost Effective Encoder alimentato direttamente dal segnale e condizioni da trasmettere prelevate direttamente dalla cassetta di smistamento (riduzione costi installativi) Nessuna intrusività nei confronti dell impianto di segnalamento Trasmissione dei dati via microonde per mezzo di Transponder 40

41 SSC 41

42 SSC Transponder IS Encoder 42

43 Grazie per l attenzione