Turvallisen tekniikan seminaari 5.6.2003 Tampereen teknillinen yliopisto, tietotalo Langattoman ohjauksen ja etäohjauksen turvallisuus Marita Hietikko, VTT Tuotteet ja tuotanto
VTT TUOTTEETJA TUOTANTO Jouko Suokas Heikki Kleemola TUOTANTO- TEKNIIKKA Risto Kuivanen Simo-Pekka Hannula Otaniemi Mati Lehtimäki Tre TUOTTEIDEN KEHITYS JA KÄYTTÖ Harri Soininen Aslak Siljander KÄYTTÖ- VARMUUS JA RISKIENHALLINTA Perttu Heino Kenneth Holmberg Otaniemi Veikko Rouhiainen Tre ÄLYKKÄÄT KONEET JA PALVELUT Pertti Peussa Pekka Koskinen Otaniemi Pasi Viitanen Tre TUOTANTO- JÄRJESTELMÄT Rauno Heinonen Olli Ventä RAKENTEIDEN ELINIKÄ JA KESTÄVYYS Rauno Rintamaa Pentti Kauppinen Ihminen-koneturvallisuus Jari Karjalainen Puhdas tuotanto Seppo Enbom Tuotannonkehitys Paavo Voho Pinta- ja sädetekniikka Jari Koskinen Elektroniikan tuotetekniikka Hannu Hossi Valmistusmenetelmät Pentti Eklund Laivat ja merirarakenteet Seppo Kivimaa Lentokonerakenteet Aslak Siljander Lujitemuovirakenteet ja veneet Gunnar Holm Meriliikenne ja ympäristötekniikka Jorma Rytkönen Simulointi ja virtuaalimallinnus Riikka Virkkunen Järjestelmien käyttövarmuus Helena Kortelainen Koneiden käyttövarmuus Erkki Jantunen Tuotannon riskienhallinta Jyrki Tiihonen Tuotteiden riskienhallinta Pekka Maijala Terveydenhuollon tuotetekniikka Kaarle Kylmälä Konenäkö Juha Korpinen Langaton automaatio Henrik Huovila Liikkuvan käyttäjän sovellukset Jari Kaikkonen Mobiletekniikka Hannu Lehtinen Äänenhallinta Lasse Lamula Pyörivät koneet Pekka Koskinen Ajoneuvot ja työkoneet Tero Kiviniemi Automaatio- ja informaatiojärjestelmät Olli Ventä Systeemidynamiikka Kaj Juslin Tuotantotalous Raimo Hyötyläinen Rakenteellinen eheys Heli Talja Ydinvoimalaitosten materiaalit Seppo Tähtinen Polttoprosessien materiaalit ja painelaitteet Liisa Heikinheimo Prosessiteollisuuden materiaalit Pekka Pohjanne Pintafilmien sähkökemia Timo Saario Materiaalien ja rakenteiden NDE Pentti Kauppinen
Koneiden kehittämispalvelut Koneautomaation turvallisuussuunnittelu Ohjausjärjestelmäanalyysit Koneen rakenteellisen lujuuden laskennan työkalujen kehittäminen Vahinkoselvitykset Koneiden EY-tyyppitarkastus Koneiden ja järjestelmien CEmerkintäkonsultointi Henkilönostolaitteet Kaivosautomaation laitteet ja järjestelmät Työkoneet Kappaletavara-automaatio Turvalaitteet
Yleisiä kauko-ohjauksen turvallisuuteen liittyviä tekijöitä Toiminta, jos viesti ei mene perille Virheellisen viestin tunnistaminen Viestin tunnistaminen, osoitteet Luvattoman käytön esto Sarjamuotoiseen tiedonsiirtoon liittyvien riskien minimoiminen
Konedirektiivi Analyysi Kategoria 3 Kvalitatiivinen analyysi EN 292 EN 1050 EN 954-1 EN 60204-1 Yksittäinen vika ei saa aiheuttaa turvatoiminnon menettämistä Hamming distance, IEC 60870-5-1 virheen paljastumismenettelyt Vaatimukset kommunikointijärjestelmälle 10-6 virhettä tunnissa Puolustuskeinot Tietoliikennestandardien vaatimukset Muunnos SIL2 Kvantitatiivinen analyysi IEC 61508-1 Analyysi Signaalit Virheet/puolustuskeinot Analyysimenetelmä EN 50159 BIA guidelines
EN 60204-1: Langaton ohjaus Toiminnalliset vaatimukset ohjausjärjestelmille, joissa käytetään langatonta tekniikkaa (esim. radio tai infrapuna) käskyjen ja viestien siirtoon koneen ohjausjärjestelmän ja ohjauspaikan (-paikkojen) välillä Yleiset vaatimukset: Ohjauspaikan tehonsyöttö on helposti erotettavissa tai poistettavissa Ohjauspaikan luvaton käyttö on tarvittaessa esitettävä (esim. avainkytkimellä tai pääsykoodilla) Jokaisessa ohjauspaikassa on oltava yksiselitteinen merkintä siitä, minkä koneen (koneiden) ohjaukseen se on tarkoitettu
Ohjauksen rajoitus On varmistettava, että ohjauskäskyt vaikuttavat ainoastaan tarkoitettuun kohteeseen ja tarkoitettuihin toimintoihin Muiden kuin ohjauspaikalta (-paikoilta) tulevien signaalien vaikutus koneeseen on estettävä Konetta voidaan ohjata vain yhdestä paikasta kerrallaan
Pysäytys Ohjauspaikoilla on oltava erillinen ja selvästi tunnistettava väline, joka käynnistää koneen tai kaikkien vaaratilanteen aiheuttavien liikkeiden pysäytystoiminnon. Tätä pysäytystoiminnon käynnistävää ohjauslaitetta ei saa merkitä hätäpysäyttimeksi, vaikka käynnistetty koneen pysäytystoiminto voi olla hätäpysäytystoiminto. Langatonta ohjausta käyttävässä koneessa on oltava koneen ja vaaraa aiheuttavan toiminnon estävä, seuraavissa tilanteissa automaattisesti käynnistyvä pysäytys: kun pysäytyssignaali vastaanotetaan kun järjestelmässä havaitaan vika kun tunnistussignaalia ei ole havaittu määrätyssä ajassa, paitsi kun kone tekee ennalta ohjelmoitua työtä langattoman ohjauksen ulkopuolella, jossa vaaratilannetta ei voi esiintyä. HUOM. Kelvollinen signaali käsittää signaalin, joka varmistaa, että yhteys on muodostunut ja on kunnossa.
Sarjaliikenne Koneessa, jossa turvallisuuteen liittyvien toimintojen ohjaus perustuu sarjamuotoiseen tiedonsiirtoon, virheetön yhteys on varmistettava virheenilmaisujärjestelmällä. Sen on selviydyttävä kolmesta virhebitistä jokaisessa käskyjaksossa. Standardissa IEC 60870-5-1 suosituksia virheenilmaisujärjestelmiksi Bittivirhetodennäköisyys (1/s) >10-3 radioyhteys 10-4 suojaamaton datayhteys 10-5 suojattu parikaapeli 10-6 - 10-7 ISDN 10-9 koaksiaalikaapeli 10-12 valokuitu Paljastumattomat viat Pariteettibitti 2-1 =0,5 16 bit CRC 2-16 =1,5*-5 32 bit CRC 2-32 =2,3*-10 Hamming disctance (HD) kahden sanoman välinen ero bitteinä Bittivirhetaajuuden ollessa huonohko (sanoma vastaanotetaan yleensä hyväksyttävästi) yleensä vain muutaman bitin virheitä. => HD on tärkeä.
Useamman kuin yhden ohjauspaikan käyttö Kun koneelle käytetään yhtä useampaa ohjauspaikkaa, on varmistettava, että vain yhtä ohjauspaikkaa voidaan käyttää tiettynä aikana. Koneen riskin arvioinnin edellyttämissä sopivissa paikoissa on oltava ilmaisu käytössä olevasta ohjauspaikasta. Poikkeus: Jos riskin arviointi edellyttää, jokaisen ohjauspaikan pysäytyskäskyn on oltava toteutettavissa. Jokaisen ohjauspaikan hätäpysäyttimen on oltava aina käytettävissä. Lähde: www.atomi.com/kcipictures Lähde: www.compaid.fi
Paristo- tai akkukäyttöiset ohjauspaikat Paristo- tai akkujännitteen vaihtelu ei saa aiheuttaa vaarallista tilannetta. Jos paristokäyttöiseltä ohjauspaikalta ohjataan yhtä tai useampaa liikettä, on käyttäjille annettava selvä varoitus kun jännitevaihtelu ylittää määrätyt rajat. Tällöin ohjauspaikan on kyettävä toimimaan niin kauan, että kone saadaan vaarattomaan tilaan. Lähde: www. porcat.bizland.com
Mitä tulee ottaa huomioon käytettäessä radioteitse tapahtuvaa kauko-ohjausta Uusi ohjaustapa tuo myös uusia riskejä Koneen ohjauksen ja kauko-ohjauslaitteen välisen tiedonsiirron luotettavuus Paikanmäärityksen tarpeellisuus, jotta estettäisiin operaattoria aloittamasta vaarallista liikettä silloin, kun näkyvyys ei ole riittävä, tai koneen sisältä kielletyltä alueelta Eri koneiden ohjaus samalta ohjauspaneelilta Ohjauspaneelin ergonomiasuunnittelu, loogiset ohjaussuunnat Kauko-ohjauspaneelin ei-aktiivinen tila esim. silloin kun akkujännite ei ole riittävä
LANGATON KAUKO-OHJAIN Nosturin kauko-ohjaus ja siihen liittyviä vaatimuksia VASTAANOTIN NOSTURIN OHJAUSYKSIKKÖ
Ohjaajaan ja kauko-ohjaimeen liittyviä turvatoimintoja Luvaton käyttö on estetty avaimella tai koodilla Nostureiden, joissa on vähintään kaksi nopeutta ja joita ihminen ohjatessaan seuraa kävellen, maksiminopeus on 1 m/s jos käytössä on ainoastaan yksi nopeus, maksiminopeus on 0,75 m/s Kun nosturi siirtyy toisen kauko-ohjaimen hallintaan, jälkimmäinen kauko-ohjain saa aktivoitua vasta, kun ensimmäisen ohjaimen käyttö on lopetettu
Nosturien tiedonsiirtoon liittyviä turvallisuustekijöitä LANGATON KAUKO-OHJAIN VASTAANOTIN osoitekoodi start- ja stop-käsky, varoitussignaali tarkistusosa, sanoman Hamming distance vähintään 3 tai sanoman bittien lukumäärä/10 kehystä lähetetään jatkuvasti langattoman ohjausjärjestelmän yksittäinen vika ei saa aiheuttaa vaaraa (EN 954-1 luokka 3)
Nosturin pääkontaktorin toiminta vastaanotossa NOSTURIN OHJAUSYKSIKKÖ Pääkontaktori saa vetää vasta, kun vastaanotetaan kehys, jossa ainoastaan start-käsky on aktiivisena Pääkontaktori päästää, kun vastaanotetaan stop-käsky, ohjaimen käyttö lopetetaan tai yhtään kehystä ei vastaanoteta 0,5 sekunnin aikana Lähde: pren 13557 Cranes - Controls and control stations.
Control room HAZOP HAZOP Communication system Radio links PHA WSA HAZOP Autonomous vehicles
Analyysimenetelmät Potentiaalisten vaarojen analyysi (PHA) Käytetty esim. oleellisten turvallisuusriskien ja mahdollisten vaarallisten tilanteiden tunnistamiseen liittyen automatisoitujen ja kauko-ohjattavien koneiden käyttöön ja ylläpitoon. Työn turvallisuusanalyysi (WSA) Systemaattinen tapa analysoida työtä ja työskentelyolosuhteita. Poikkeamatarkastelu (HAZOP) Käytetään sellaisten vaarojen tutkimiseen, jotka voivat aiheutua poikkeamista tai virheistä ohjausjärjestelmän normaalissa toiminnassa tai käytössä. Vaaratekijäluettelo (EN 1050) Vika- ja vaikutusanalyysi (FMEA) Vikapuuanalyysi (FTA)
HAZOP Toiminnallisten suureiden poikkeamat tunnistetaan systemaattisesti ns. ohjesanalistojen avulla, ja seuraukset analysoidaan. HAZOP auttaa myös vikojen paljastumistapojen ja suojauskeinojen tunnistamisessa. No Less More As well as Other than Part of Reverse Before After Early Late
Sarjamuotoisen liikennöinnin riskejä (EN 50159) Toisto Toisto Toisto Toisto Viestiä toistetaan niin tiheästi, että muu liikenne häiriintyy tai viesti ei muutu. Menetys Vastaanottaja ei saa viestiä vastaanotettua oikein. Lisäys Ylimääräinen viesti Vastaanottaja saa ylimääräisen viestin, joka voi olla tarkoitettu toiselle solulle, tai häiriöistä muodostuu ylimääräinen viesti.
Sarjamuotoisen liikennöinnin riskejä (EN 50159) Väärä järjestys järjestys Väärä Sanomat vastaanotetaan väärässä järjestyksessä. Virheellinen viesti Virheellinan vcesti Viestin sanoma on vääristynyt esim. häiriöiden seurauksena. Viive Sanoma saapuu myöhässä.
Sarjamuotoisen liikennöinnin riskejä (EN 50159) Väärä osoite Väärä osoite Tahaton tai tahallinen väärä osoite sanomassa. Ristiriitainen tila Tila < > Tila Järjestelmän soluilla on ristiriitainen käsitys järjestelmän tilasta. Tällöin vastaanottaja odottaa erimuotoista viestiä kuin lähettäjä lähettää.
Virheet ja puolustuskeinot niitä vastaan (EN 50159-2) Threats Defences Sequence Number Time stamp Repetition X X Deletion X Time out Source and destination Identifier Feedback message Identification Proc. Insertion X X X X Resequence X X Safety code Cryptographic techniques Corruption X X Delay X X Masquerade X X X
Virheet ja niitä vastaavat HAZOP-ohjesanat EN 50159-2 threat Repetition (duplication, replication or babbling idiot) Deletion (all or only part of the messages or part of the message content disappear) Insertion (incorrect messages, e.g. data from wrong source) Incorrect sequence (failure in event ordering of messages, e.g. due to priority inversion) Corruption Delay (too long latencies) Masquerade (mixing safety related message with non-safety related; authentication error) Inconsistency 1 (two or more receivers may have inconsistent view of the transmitted data or receivers may be in different states) 1 Inconsistency is not listed in EN 50159-2 HAZOP guide word More (in message rate), As well as No, Part of, Less (in message rate) As well as Before, After More (in value), Less (in value) Late Other than Other than
Tekniikoita langattoman ohjauksen toteuttamiseksi Radiotekniikka Infrapunatekniikka Mikroaaltotekniikka Lähde: Konecranes www-sivut Ultraäänitekniikka
Eri tekniikoiden vertailua Radiotekniikka sekä lyhyille että pitkille etäisyyksille näköyhteyttä ei tarvita => turvallisuusriski? laitteet kustannuksiltaan kalliita alttius häiriöille Infrapunatekniikka lyhyiden etäisyyksien tiedonsiirtoon laitteiden välillä oltava näköyhteys, tarkasti suunnattava käyttö mm. viihde-elektroniikan kaukosäädössä laitteet edullisia, kuluttavat vähän sähköä
Langattoman tiedonsiirron järjestelmiä Henkilökohtainen, huonekohtainen Bluetooth, WPAN Rakennus IEEE 802.11 Wireless LAN, HomeRF Suuralue, globaali taso GSM, GPRS, UMTS, EDGE, 3G Lähde: Prosessori ES Marraskuu 2002
Uudet langattomat teknologiat ohjaukseen: Bluetooth Toimii 2,4 GHz radiotaajuuksilla Kantama n. 10 metriä Mahdollistaa kommunikoinnin 2-8 laitteen välillä Perustuu taajuushyppelyyn, n. 1600 hyppyä/s => taajuutta vaihtamalla kanavasta tulee epäherkkä häiriöille tietoturva Virheenkorjausmenetelmiä: virheenkorjaava koodaus (Forward Error Correction) virheelliseksi havaittu paketti pyydetään lähettämään uudestaan (kuittausmenetelmä)
Bluetoothin etuja Kantomatka 10 m, jota voidan suuremmilla lähetystehoilla kasvatta sataan metriin asti Radiolähetin poistaa fyysisistä esteistä aiheutuvat ongelmat Voi toimia omia aikojaan ilman käyttäjän käskyä tai suuntaamista oikeaan kohteeseen Virrankulutus säästeliästä Voidaan toteuttaa esim. kiinteän ja pyörivän osan välinen liikennöinti (esim. liukurengas)
Bluetooth-teollisuussovelluksia Volvo-ABB-yhteistyössä toteutettu Bluetooth-robottisovellus Tarvitaan tarkat turvallisuusvarotoimet Uusia ohjausalgoritmeja ja tehonsyöttöratkaisuja tarvitaan Myös langattomia lähestymisantureita kehitetty Lähde: ABB:n www-sivut
WLAN Tarkoitettu lyhyen kantaman tiedonsiirtoon (< 100m) WLANin etuja Solmut voivat kommunikoida ilman lisärajoituksia radioaallot voivat tunkeutua seinien läpi lähettäjät ja vastaanottajat voivat sijaita missä tahansa Tiedonvälitys ilman etukäteissuunnittelua mahdollista (ad-hoc) Voi selvitä katastrofeista => kommunikointi myös hätätilanteessa mahdollista Lähde: www.netbook.cs.purdue.edu/images/
WLANin rajoituksia Tieto siirtyy hitaammin kuin kiinteissä verkoissa Palvelun laatu heikompi kuin langallisilla vastineilla kapeampi kaistanleveys häiriöiden takia suurempi virheiden määrä suurempi viive Säännökset pakottaneet käyttämään lisenssivapaita taajuuskaistoja => vähätehoiset lähettimet Radioaaltojen käyttö voi häiritä muiden laitteiden toimintaa Salakuuntelu helppoa
Lopuksi Tutkimusta langattomien tiedonsiirtoyhteyksien soveltamisesta teollisuudessa käynnissä Turvallisuutta ei vielä laajasti tutkittu Kiitos mielenkiinnosta! Marita.hietikko@vtt.fi