Meghibásodáshoz kapcsolódó fogalmak

Műszaki kockázatok menedzsmentjének elsődleges célja biztonságkritikus rendszer fejlesztése, azaz az elfogadható kockázatnak megfelelő biztonsági szint elérése.

Egy komplex műszaki rendszer esetén általában a rendszer valamely jellemzőjével szemben a szokásosnál nagyobbak a követelmények. Az ilyen rendszereket kritikus rendszernek nevezzük. A biztonságkritikus rendszer elsődleges követelménye, hogy ne veszélyeztesse az emberi életet, egészséget és ne okozzon gazdasági vagy környezeti károkat. A biztonságkritikus rendszerek tervezésével és üzemeltetésével szemben támasztott követelmények túlmutatnak a nem-kritikus rendszerekkel szemben támasztott követelményeken. A legfontosabb különbség, hogy a biztonságkritikus rendszerek esetében kiegészítő intézkedések szükségesek a hibák következményinek csökkentésére. Azokban az esetekben, ahol a következmény súlyossága oly jelentős, hogy a megengedhető kockázati gyakoriság megköveteli, hogy a nem kívánt esemény csaknem elhanyagolgató valószínűséggel következzen be, a megfelelő biztonság eléréséhez hibatűrő rendszerek alkalmazására van szükség.

A hibatűrő rendszerekben nincs egyetlen olyan pont sem, amelynek meghibásodása meghiúsíthatja a rendszer működését, azaz a legfontosabb előírt feladatait bármikor ne tudná végrehajtani. A hibák alacsony szinte tartásához kapcsolódó intézkedések a termék teljes életciklusára ki kell hogy terjednek:

• A hiba okok elkerülése kapcsán cél, hogy a fejlesztési tevékenységet olyan körültekintően és szisztematikusan végezzük, hogy az esetleges hibákat megelőzzük.

• A hiba okok eltávolítása kapcsán cél olyan HW és SW tesztelési technikák kifejlesztése melyek üzembe helyezés előtt való alkalmazásával háríthatók el a hibák.

• A hibák detektálása kapcsán a cél, hogy üzemeltetés során a detektált hibák hatásának időbeni mérséklése céljából a megfelelő beavatkozások elvégzésére alkalmasak legyünk. Ez gyakran a meghibásodott komplex funkció nélküli üzemállapotra történő átállást jelent.

Tekintettel arra, hogy az előzőekben említett hibamenedzselési technikák (elkerülés, eltávolítás, detektálás) kombinációja önmagában soha nem tökéletesen hatékony, e technikák hatékony kombinálása, integrált alkalmazása szükséges.

A funkcionális biztonság elérhető:

• komplexitásra ható fejlesztésekkel

o a rendszer komplexitásának növelésével, például diagnosztikai funkciók fejlesztésével vagy redundancia növelésével

o szoftver funkciók növelésével

o biztonsággal kapcsolatos elektronos/elektronikus rendszerelemek számának növelésével

• vevői igények és végfelhasználói elégedettség fokozott figyelemmel történő kezelésével o funkcionális biztonsággal kapcsolatos szabvány szerinti fejlesztéssel

o igények és megjegyzések módszeres kezelésével

• törvényi szabályozás és szabványok széles körű alkalmazásával.

40

A fenti szempontok szisztematikus, hierarchikus, integrált és funkcióorientált rendszerfejlesztési tevékenység során érvényesíthetők.

Az integrált hibamenedzselés megfelelő eszközeinek fejlesztéséhez elengedhetetlen a meghibásodási folyamat alapos modellezése.

E modellezés alapja, hogy a hibák bekövetkeztését a hibák hármas szintjével írjuk le.

Az első szint a hibaok (fault) nem más, mint az az elsődleges ok, amely esetlegesen összetett hatásláncon keresztül a meghibásodáshoz vezet. A hibaok bekövetkezése lehet véletlenszerű vagy szisztematikus. Véletlenszerű hibák elsődlegesen hardver komponensek esetében jelennek meg fizikai folyamatok eredményeként, míg szisztematikus hibák inkább az emberi tényezőknek, nem megfelelő specifikációnak, kivitelezésnek az eredményeként fordulnak elő. A szoftverhibának szisztematikusak, az a tény, hogy nincs véletlenszerű szoftverhiba a biztonságkritikus rendszer fejlesztését is döntően meghatározza, ugyanis a szisztematikus hibák a fejlesztésben alkalmazott módszerek alapos megválasztásával küszöbölhetők ki.

A véletlen hibák kapcsán egyszeres/többszörös hibáról beszélhetünk, annak függvényében, hogy egymástól függenek-e a meghibásodások (kaszkád-hiba; közösok-hiba). A kétpont-hiba (dual-point failure) olyan meghibásodás, mely két független, közvetlenül egy biztonsági cél megsértését célzó hiba kombinációjának következménye, például az egyik hiba a biztonsággal kapcsolatos elemet érinti, míg a másik hiba biztonsági mechanizmust, mely az adott elemet védi.

A bekövetkezés időtartama szerint tartós vagy átmeneti hiba okokat különböztethetünk meg. Fontos megjegyezni, hogy annak ellenére, hogy a hiba ok átmeneti jelleggel, csak egy rövid időszakra jelenik meg, hatása a lehet tartós.

A második szint a hiba (error) szintje az az eseményt jelenti, amikor a hiba ok aktiválódik. Azaz a hiba a műszaki rendszer azon rendszerállapota, amely hibajelenséghez vezet.

Hibajelenség (failure) a hiba azon következménye melynek köszönhetően a rendszer nem képes a megkövetelt funkciók végrehajtására.

A jármű esetében a jármű szintjén (az ISO 26262 szabvány fogalomhasználata szerint a tétel szinten) megjelenő hibajelenség értelmezhető veszélyhelyzetként, míg a komponens szintjén előforduló hibajelenség a tétel (jármű) szintjén gyökérokként (fault) jelenik meg.

(komponens: nem rendszer szintű, logikailag és műszakilag szeparálható elem, azaz a rendszer összetevője).

Működőképesség – túlélési valószínűség (Reliability) Annak a valószínűsége, hogy egy rendszer meghibásodása csak adott időpont után következik be

Rendelkezésre állás (Availability) Adott időpontra vonatkozó működőképesség valószínűsége Javíthatóság (Maintainability) Adott időpontra a meghibásodott rendszer újra üzembe helyezésének valószínűsége

Biztonság – ellenálló képesség (Safety) a veszélyeztetettségtől mentes állapot valószínűsége 41

A megbízhatóság vizsgálatot a teljes életciklusra (a berendezés tervezése, a gyártása, és az üzemelése) az IEC 61508 szabvány terjesztette ki, mely számos iparág és alkalmazás számára egységes nyelvezetet és eljárástechnikát ajánl. Az alapfogalmak bevezetésétől, a szakkifejezések definiálásán keresztül, a számítási és intézkedési eljárások áttekintéséig ad az egyes eszközök, valamint az eszközökből felépített rendszerek megbízhatóságára a szakhatóságok számára ellenőrizhető választ.

Az IEC 61508 szabvány szerint az irányított berendezés (EUC – equipment under control) irányító rendszere el kell, hogy különüljön a független vész-, védelmi rendszertől. A két különálló irányítási rendszer eltérő jellegű hibás üzemmódjait sorolja fel az alábbi táblázat.

3.1. táblázat. Meghibásodási üzemmódok.

Irányítási rendszer Vész, védelmi rendszer

A beavatkozó alsó, felső véghelyzetben, vagy kifagyott Működtetéskor fellépő hiba (Fail-Danger = Veszélyes hiba)

Az szabályozó kimenete túl alacsony, vagy túl magas

(előjelzés) Késleltetett működés

(Fail-Danger = Veszélyes hiba)

A távadó jele, vagy a beavatkozó eszköz reagálása akadozó Hamis működtetés

(Fail-Safe = Kezelhető hiba)

A két különálló irányítási rendszer alkalmazását az indokolja, hogy amíg az alapirányításban a hibajelenséget a kezelőszemélyzet általában azonnal észleli, addig a vész, védelmi rendszerek hónapokig, vagy jó esetben akár több évig sem hajtanak végre beavatkozásokat.

Az alapfolyamat irányítás tehát aktív, ezért a rejtett hibák hamar kiderülnek. A kezelő személyzet hamar észleli, ha a berendezés nem megfelelően működik és gyorsan korrigál, elkerülve a nagyobb bajt. A vész-, védelmi rendszer passzív. Szerencsés esetben a kezelő személyzet sohasem észleli működését, így nem veszi észre a baljós előjeleket. Csak az intenzív teszt (úgynevezett proof teszt) és karbantartás biztosítja, hogy e védelmi eszközök szükség esetén megfelelő biztonsággal történő működőképességét. A 90-es évek közepéig a szabványok kategorikusan az alapfolyamat irányítás, és a vész-, védelmi rendszer fizikai szétválasztását írták elő. Manapság, amikor az alapfolyamat irányítása, és a vész-, védelmi rendszer kialakítása jórész programozható eszközökkel történik, és az eszközök egyre megbízhatóbbak, valamint képesek, akár többszörös redundáns működésre számos szakértő felveti a két rendszer integrálhatóságát. A szabvány azonban előírja, hogy a vész-, védelmi rendszer érzékelői és a programozható irányító berendezése fizikailag is független legyen.

Ugyanakkor az adatátvitel amennyiben az nem befolyásolja a vész-, védelmi rendszer működését, történhet az alapfolyamat irányítással közös hálózaton.

Az irányítási rendszerek független működésének hasznát az alábbi ábrán vázolt „sajtmodell“ is jól szemlélteti. Az alapfolyamat irányítását, az alarm és kezelői beavatkozásokat és a védelmi rendszert reprezentáló felületen lyukak vannak, mert az alapfolyamat technológiai, és/vagy gépészeti és/vagy irányítástechnikai tervezésekor elkerülte a figyelmet néhány kölcsönhatás és/vagy határérték, vagy, mert a kezelő téveszt és/vagy ignorálja az alarmjelzést, vagy, mert a vész-, védelmi rendszer valamely eleme meghibásodott és/vagy karbantartás állapotban van. E lyukak a különböző környezeti

42

hatásoknak, meghibásodásoknak, felhasználói viselkedéseknek megfelelően dinamikusan vándorolnak. Mindezek miatt fontos e rendszerek függetlensége és célirányos, adott kockázati szint elérését szem előtt történő tervezése.

3.1. ábra. A baleset kialakulását reprezentáló sajtmodell.

A fenti modell alapján immár látható, hogy a hibákat detektált és nem detektált osztályokba is sorolhatjuk, illetve a hiba bekövetkezte után kialakult állapotokat is kétféle minősítéssel jellemezhetjük:

• Biztonságos állapot: a meghibásodás eredményeképpen a rendszer biztonságos állapotba kerül (spurious trip)

• Veszélyes állapot: a meghibásodás eredményeképpen a rendszer védelmi igény esetén sem tudja ellátni a feladatát.

Jegyzetünkben jelentős hangsúlyt szánunk a kockázatelemzési technikáknak, melyekkel a hiba okok szisztematikus módon feltárhatók, kockázatuk elemezhető.