Langattoman ohjauksen ja etäohjauksen turvallisuus

Transkriptio

1 Turvallisen tekniikan seminaari Tampereen teknillinen yliopisto, tietotalo Langattoman ohjauksen ja etäohjauksen turvallisuus Marita Hietikko, VTT Tuotteet ja tuotanto

2 VTT TUOTTEETJA TUOTANTO Jouko Suokas Heikki Kleemola TUOTANTO- TEKNIIKKA Risto Kuivanen Simo-Pekka Hannula Otaniemi Mati Lehtimäki Tre TUOTTEIDEN KEHITYS JA KÄYTTÖ Harri Soininen Aslak Siljander KÄYTTÖ- VARMUUS JA RISKIENHALLINTA Perttu Heino Kenneth Holmberg Otaniemi Veikko Rouhiainen Tre ÄLYKKÄÄT KONEET JA PALVELUT Pertti Peussa Pekka Koskinen Otaniemi Pasi Viitanen Tre TUOTANTO- JÄRJESTELMÄT Rauno Heinonen Olli Ventä RAKENTEIDEN ELINIKÄ JA KESTÄVYYS Rauno Rintamaa Pentti Kauppinen Ihminen-koneturvallisuus Jari Karjalainen Puhdas tuotanto Seppo Enbom Tuotannonkehitys Paavo Voho Pinta- ja sädetekniikka Jari Koskinen Elektroniikan tuotetekniikka Hannu Hossi Valmistusmenetelmät Pentti Eklund Laivat ja merirarakenteet Seppo Kivimaa Lentokonerakenteet Aslak Siljander Lujitemuovirakenteet ja veneet Gunnar Holm Meriliikenne ja ympäristötekniikka Jorma Rytkönen Simulointi ja virtuaalimallinnus Riikka Virkkunen Järjestelmien käyttövarmuus Helena Kortelainen Koneiden käyttövarmuus Erkki Jantunen Tuotannon riskienhallinta Jyrki Tiihonen Tuotteiden riskienhallinta Pekka Maijala Terveydenhuollon tuotetekniikka Kaarle Kylmälä Konenäkö Juha Korpinen Langaton automaatio Henrik Huovila Liikkuvan käyttäjän sovellukset Jari Kaikkonen Mobiletekniikka Hannu Lehtinen Äänenhallinta Lasse Lamula Pyörivät koneet Pekka Koskinen Ajoneuvot ja työkoneet Tero Kiviniemi Automaatio- ja informaatiojärjestelmät Olli Ventä Systeemidynamiikka Kaj Juslin Tuotantotalous Raimo Hyötyläinen Rakenteellinen eheys Heli Talja Ydinvoimalaitosten materiaalit Seppo Tähtinen Polttoprosessien materiaalit ja painelaitteet Liisa Heikinheimo Prosessiteollisuuden materiaalit Pekka Pohjanne Pintafilmien sähkökemia Timo Saario Materiaalien ja rakenteiden NDE Pentti Kauppinen

3 Koneiden kehittämispalvelut Koneautomaation turvallisuussuunnittelu Ohjausjärjestelmäanalyysit Koneen rakenteellisen lujuuden laskennan työkalujen kehittäminen Vahinkoselvitykset Koneiden EY-tyyppitarkastus Koneiden ja järjestelmien CEmerkintäkonsultointi Henkilönostolaitteet Kaivosautomaation laitteet ja järjestelmät Työkoneet Kappaletavara-automaatio Turvalaitteet

4 Yleisiä kauko-ohjauksen turvallisuuteen liittyviä tekijöitä Toiminta, jos viesti ei mene perille Virheellisen viestin tunnistaminen Viestin tunnistaminen, osoitteet Luvattoman käytön esto Sarjamuotoiseen tiedonsiirtoon liittyvien riskien minimoiminen

5 Konedirektiivi Analyysi Kategoria 3 Kvalitatiivinen analyysi EN 292 EN 1050 EN EN Yksittäinen vika ei saa aiheuttaa turvatoiminnon menettämistä Hamming distance, IEC virheen paljastumismenettelyt Vaatimukset kommunikointijärjestelmälle 10-6 virhettä tunnissa Puolustuskeinot Tietoliikennestandardien vaatimukset Muunnos SIL2 Kvantitatiivinen analyysi IEC Analyysi Signaalit Virheet/puolustuskeinot Analyysimenetelmä EN BIA guidelines

6 EN : Langaton ohjaus Toiminnalliset vaatimukset ohjausjärjestelmille, joissa käytetään langatonta tekniikkaa (esim. radio tai infrapuna) käskyjen ja viestien siirtoon koneen ohjausjärjestelmän ja ohjauspaikan (-paikkojen) välillä Yleiset vaatimukset: Ohjauspaikan tehonsyöttö on helposti erotettavissa tai poistettavissa Ohjauspaikan luvaton käyttö on tarvittaessa esitettävä (esim. avainkytkimellä tai pääsykoodilla) Jokaisessa ohjauspaikassa on oltava yksiselitteinen merkintä siitä, minkä koneen (koneiden) ohjaukseen se on tarkoitettu

7 Ohjauksen rajoitus On varmistettava, että ohjauskäskyt vaikuttavat ainoastaan tarkoitettuun kohteeseen ja tarkoitettuihin toimintoihin Muiden kuin ohjauspaikalta (-paikoilta) tulevien signaalien vaikutus koneeseen on estettävä Konetta voidaan ohjata vain yhdestä paikasta kerrallaan

8 Pysäytys Ohjauspaikoilla on oltava erillinen ja selvästi tunnistettava väline, joka käynnistää koneen tai kaikkien vaaratilanteen aiheuttavien liikkeiden pysäytystoiminnon. Tätä pysäytystoiminnon käynnistävää ohjauslaitetta ei saa merkitä hätäpysäyttimeksi, vaikka käynnistetty koneen pysäytystoiminto voi olla hätäpysäytystoiminto. Langatonta ohjausta käyttävässä koneessa on oltava koneen ja vaaraa aiheuttavan toiminnon estävä, seuraavissa tilanteissa automaattisesti käynnistyvä pysäytys: kun pysäytyssignaali vastaanotetaan kun järjestelmässä havaitaan vika kun tunnistussignaalia ei ole havaittu määrätyssä ajassa, paitsi kun kone tekee ennalta ohjelmoitua työtä langattoman ohjauksen ulkopuolella, jossa vaaratilannetta ei voi esiintyä. HUOM. Kelvollinen signaali käsittää signaalin, joka varmistaa, että yhteys on muodostunut ja on kunnossa.

9 Sarjaliikenne Koneessa, jossa turvallisuuteen liittyvien toimintojen ohjaus perustuu sarjamuotoiseen tiedonsiirtoon, virheetön yhteys on varmistettava virheenilmaisujärjestelmällä. Sen on selviydyttävä kolmesta virhebitistä jokaisessa käskyjaksossa. Standardissa IEC suosituksia virheenilmaisujärjestelmiksi Bittivirhetodennäköisyys (1/s) >10-3 radioyhteys 10-4 suojaamaton datayhteys 10-5 suojattu parikaapeli ISDN 10-9 koaksiaalikaapeli valokuitu Paljastumattomat viat Pariteettibitti 2-1 =0,5 16 bit CRC 2-16 =1,5*-5 32 bit CRC 2-32 =2,3*-10 Hamming disctance (HD) kahden sanoman välinen ero bitteinä Bittivirhetaajuuden ollessa huonohko (sanoma vastaanotetaan yleensä hyväksyttävästi) yleensä vain muutaman bitin virheitä. => HD on tärkeä.

10 Useamman kuin yhden ohjauspaikan käyttö Kun koneelle käytetään yhtä useampaa ohjauspaikkaa, on varmistettava, että vain yhtä ohjauspaikkaa voidaan käyttää tiettynä aikana. Koneen riskin arvioinnin edellyttämissä sopivissa paikoissa on oltava ilmaisu käytössä olevasta ohjauspaikasta. Poikkeus: Jos riskin arviointi edellyttää, jokaisen ohjauspaikan pysäytyskäskyn on oltava toteutettavissa. Jokaisen ohjauspaikan hätäpysäyttimen on oltava aina käytettävissä. Lähde: Lähde:

11 Paristo- tai akkukäyttöiset ohjauspaikat Paristo- tai akkujännitteen vaihtelu ei saa aiheuttaa vaarallista tilannetta. Jos paristokäyttöiseltä ohjauspaikalta ohjataan yhtä tai useampaa liikettä, on käyttäjille annettava selvä varoitus kun jännitevaihtelu ylittää määrätyt rajat. Tällöin ohjauspaikan on kyettävä toimimaan niin kauan, että kone saadaan vaarattomaan tilaan. Lähde: www. porcat.bizland.com

12 Mitä tulee ottaa huomioon käytettäessä radioteitse tapahtuvaa kauko-ohjausta Uusi ohjaustapa tuo myös uusia riskejä Koneen ohjauksen ja kauko-ohjauslaitteen välisen tiedonsiirron luotettavuus Paikanmäärityksen tarpeellisuus, jotta estettäisiin operaattoria aloittamasta vaarallista liikettä silloin, kun näkyvyys ei ole riittävä, tai koneen sisältä kielletyltä alueelta Eri koneiden ohjaus samalta ohjauspaneelilta Ohjauspaneelin ergonomiasuunnittelu, loogiset ohjaussuunnat Kauko-ohjauspaneelin ei-aktiivinen tila esim. silloin kun akkujännite ei ole riittävä

13 LANGATON KAUKO-OHJAIN Nosturin kauko-ohjaus ja siihen liittyviä vaatimuksia VASTAANOTIN NOSTURIN OHJAUSYKSIKKÖ

14 Ohjaajaan ja kauko-ohjaimeen liittyviä turvatoimintoja Luvaton käyttö on estetty avaimella tai koodilla Nostureiden, joissa on vähintään kaksi nopeutta ja joita ihminen ohjatessaan seuraa kävellen, maksiminopeus on 1 m/s jos käytössä on ainoastaan yksi nopeus, maksiminopeus on 0,75 m/s Kun nosturi siirtyy toisen kauko-ohjaimen hallintaan, jälkimmäinen kauko-ohjain saa aktivoitua vasta, kun ensimmäisen ohjaimen käyttö on lopetettu

15 Nosturien tiedonsiirtoon liittyviä turvallisuustekijöitä LANGATON KAUKO-OHJAIN VASTAANOTIN osoitekoodi start- ja stop-käsky, varoitussignaali tarkistusosa, sanoman Hamming distance vähintään 3 tai sanoman bittien lukumäärä/10 kehystä lähetetään jatkuvasti langattoman ohjausjärjestelmän yksittäinen vika ei saa aiheuttaa vaaraa (EN luokka 3)

16 Nosturin pääkontaktorin toiminta vastaanotossa NOSTURIN OHJAUSYKSIKKÖ Pääkontaktori saa vetää vasta, kun vastaanotetaan kehys, jossa ainoastaan start-käsky on aktiivisena Pääkontaktori päästää, kun vastaanotetaan stop-käsky, ohjaimen käyttö lopetetaan tai yhtään kehystä ei vastaanoteta 0,5 sekunnin aikana Lähde: pren Cranes - Controls and control stations.

17 Control room HAZOP HAZOP Communication system Radio links PHA WSA HAZOP Autonomous vehicles

18 Analyysimenetelmät Potentiaalisten vaarojen analyysi (PHA) Käytetty esim. oleellisten turvallisuusriskien ja mahdollisten vaarallisten tilanteiden tunnistamiseen liittyen automatisoitujen ja kauko-ohjattavien koneiden käyttöön ja ylläpitoon. Työn turvallisuusanalyysi (WSA) Systemaattinen tapa analysoida työtä ja työskentelyolosuhteita. Poikkeamatarkastelu (HAZOP) Käytetään sellaisten vaarojen tutkimiseen, jotka voivat aiheutua poikkeamista tai virheistä ohjausjärjestelmän normaalissa toiminnassa tai käytössä. Vaaratekijäluettelo (EN 1050) Vika- ja vaikutusanalyysi (FMEA) Vikapuuanalyysi (FTA)

19 HAZOP Toiminnallisten suureiden poikkeamat tunnistetaan systemaattisesti ns. ohjesanalistojen avulla, ja seuraukset analysoidaan. HAZOP auttaa myös vikojen paljastumistapojen ja suojauskeinojen tunnistamisessa. No Less More As well as Other than Part of Reverse Before After Early Late

20 Sarjamuotoisen liikennöinnin riskejä (EN 50159) Toisto Toisto Toisto Toisto Viestiä toistetaan niin tiheästi, että muu liikenne häiriintyy tai viesti ei muutu. Menetys Vastaanottaja ei saa viestiä vastaanotettua oikein. Lisäys Ylimääräinen viesti Vastaanottaja saa ylimääräisen viestin, joka voi olla tarkoitettu toiselle solulle, tai häiriöistä muodostuu ylimääräinen viesti.

21 Sarjamuotoisen liikennöinnin riskejä (EN 50159) Väärä järjestys järjestys Väärä Sanomat vastaanotetaan väärässä järjestyksessä. Virheellinen viesti Virheellinan vcesti Viestin sanoma on vääristynyt esim. häiriöiden seurauksena. Viive Sanoma saapuu myöhässä.

22 Sarjamuotoisen liikennöinnin riskejä (EN 50159) Väärä osoite Väärä osoite Tahaton tai tahallinen väärä osoite sanomassa. Ristiriitainen tila Tila < > Tila Järjestelmän soluilla on ristiriitainen käsitys järjestelmän tilasta. Tällöin vastaanottaja odottaa erimuotoista viestiä kuin lähettäjä lähettää.

23 Virheet ja puolustuskeinot niitä vastaan (EN ) Threats Defences Sequence Number Time stamp Repetition X X Deletion X Time out Source and destination Identifier Feedback message Identification Proc. Insertion X X X X Resequence X X Safety code Cryptographic techniques Corruption X X Delay X X Masquerade X X X

24 Virheet ja niitä vastaavat HAZOP-ohjesanat EN threat Repetition (duplication, replication or babbling idiot) Deletion (all or only part of the messages or part of the message content disappear) Insertion (incorrect messages, e.g. data from wrong source) Incorrect sequence (failure in event ordering of messages, e.g. due to priority inversion) Corruption Delay (too long latencies) Masquerade (mixing safety related message with non-safety related; authentication error) Inconsistency 1 (two or more receivers may have inconsistent view of the transmitted data or receivers may be in different states) 1 Inconsistency is not listed in EN HAZOP guide word More (in message rate), As well as No, Part of, Less (in message rate) As well as Before, After More (in value), Less (in value) Late Other than Other than

25 Tekniikoita langattoman ohjauksen toteuttamiseksi Radiotekniikka Infrapunatekniikka Mikroaaltotekniikka Lähde: Konecranes www-sivut Ultraäänitekniikka

26 Eri tekniikoiden vertailua Radiotekniikka sekä lyhyille että pitkille etäisyyksille näköyhteyttä ei tarvita => turvallisuusriski? laitteet kustannuksiltaan kalliita alttius häiriöille Infrapunatekniikka lyhyiden etäisyyksien tiedonsiirtoon laitteiden välillä oltava näköyhteys, tarkasti suunnattava käyttö mm. viihde-elektroniikan kaukosäädössä laitteet edullisia, kuluttavat vähän sähköä

27 Langattoman tiedonsiirron järjestelmiä Henkilökohtainen, huonekohtainen Bluetooth, WPAN Rakennus IEEE Wireless LAN, HomeRF Suuralue, globaali taso GSM, GPRS, UMTS, EDGE, 3G Lähde: Prosessori ES Marraskuu 2002

28 Uudet langattomat teknologiat ohjaukseen: Bluetooth Toimii 2,4 GHz radiotaajuuksilla Kantama n. 10 metriä Mahdollistaa kommunikoinnin 2-8 laitteen välillä Perustuu taajuushyppelyyn, n hyppyä/s => taajuutta vaihtamalla kanavasta tulee epäherkkä häiriöille tietoturva Virheenkorjausmenetelmiä: virheenkorjaava koodaus (Forward Error Correction) virheelliseksi havaittu paketti pyydetään lähettämään uudestaan (kuittausmenetelmä)

29 Bluetoothin etuja Kantomatka 10 m, jota voidan suuremmilla lähetystehoilla kasvatta sataan metriin asti Radiolähetin poistaa fyysisistä esteistä aiheutuvat ongelmat Voi toimia omia aikojaan ilman käyttäjän käskyä tai suuntaamista oikeaan kohteeseen Virrankulutus säästeliästä Voidaan toteuttaa esim. kiinteän ja pyörivän osan välinen liikennöinti (esim. liukurengas)

30 Bluetooth-teollisuussovelluksia Volvo-ABB-yhteistyössä toteutettu Bluetooth-robottisovellus Tarvitaan tarkat turvallisuusvarotoimet Uusia ohjausalgoritmeja ja tehonsyöttöratkaisuja tarvitaan Myös langattomia lähestymisantureita kehitetty Lähde: ABB:n www-sivut

31 WLAN Tarkoitettu lyhyen kantaman tiedonsiirtoon (< 100m) WLANin etuja Solmut voivat kommunikoida ilman lisärajoituksia radioaallot voivat tunkeutua seinien läpi lähettäjät ja vastaanottajat voivat sijaita missä tahansa Tiedonvälitys ilman etukäteissuunnittelua mahdollista (ad-hoc) Voi selvitä katastrofeista => kommunikointi myös hätätilanteessa mahdollista Lähde:

32 WLANin rajoituksia Tieto siirtyy hitaammin kuin kiinteissä verkoissa Palvelun laatu heikompi kuin langallisilla vastineilla kapeampi kaistanleveys häiriöiden takia suurempi virheiden määrä suurempi viive Säännökset pakottaneet käyttämään lisenssivapaita taajuuskaistoja => vähätehoiset lähettimet Radioaaltojen käyttö voi häiritä muiden laitteiden toimintaa Salakuuntelu helppoa

33 Lopuksi Tutkimusta langattomien tiedonsiirtoyhteyksien soveltamisesta teollisuudessa käynnissä Turvallisuutta ei vielä laajasti tutkittu Kiitos mielenkiinnosta!