Funksjonell sikkerhet i design av brann og gass-deteksjonssystemer

Vi fikk følgende oppgaver fra Autronica. Den andre av disse er relevant for meg som veileder, men må slik den står leses som 'hva Autronicas interesser er' - oppgaven er ikke ferdig utskrevet.

Hvis du er nyskjerrig på det veldig relevante grenselandet imellom sikkerhetskritiske systemer, sertifisering/regelverk og open-source så ta kontakt, så gjør vi en god oppgave ut av det.

Veiledere:

• Oppgave alternativ 1: Mary Ann Lundteigen, mary.a.lundteigen@ntnu.no
• Oppgave alternativ 2: Sverre Hendseth, sverre.hendseth@ntnu.no
• Biveileder: Morten Solli, Autronica

Anbefalt fordypningsmodul: TTK2 – Design og analyse for funksjonell sikkerhet. Den andre velges etter interesse og nærmere avtale.

Bakgrunn for prosjektet

Brann og gass-systemer inngår som del av instrumenterte sikkerhetssystemer i prosessindustrien. Dette betyr at produsenter av denne typen utstyr må følge krav i IEC 61508. Innenfor oljeindustrien er det satt et safety integrity level (SIL) 2 krav som forventet nivå. Når en følger IEC 61508 må man forholde seg til to typer krav: de funksjonelle kravene som har å gjøre med hovedfunksjonene til utstyret og diagnostikk og prosesskravene som sier noe om arbeidsmetodikk. Autronica utvikler i dag detektorer og styresystem («panel») etter kravene for SIL 2 og har allerede sertifisering for dette. Samtidig er det interessant å se inn må andre løsninger som kan tilfredsstille kravene, ut fra hensyn til hvilken basisteknologi og systemer man har.

Utstyret (som er sertifisert) som sendes ut på markedet ender til slutt i et anlegg eller på en plattform. For anleggseier eller operatør er ikke den største kostnaden forbundet med å kjøpe og installere utstyret, sammenlignet med kostnaden for inspeksjoner, testing og vedlikehold. Derfor ønsker eiere av utstyr at mer av dette arbeidet automatiseres, eksempelvis som en automatisert funksjonstest. Et tema som ofte blir debattert i bransjen er hvor «god» slik automatisk funksjonstest, og om man faktisk må gjøre noe manuell testing i tillegg. Jevnlig testing (ved å eksponere detektoren til en liten flamme eller testgass) gjøres for å sjekke at detektoren responderer som tiltenkt og dekkes normalt ikke av diagnostikk. Hensikten med slik testing er å avdekke feil som er skjult (ikke varslet med alarm) og som gjør at utstyret ikke virker. I IEC 61508 kalles disse feilene for farlig udetekterte (DU) feil.

Om fordypningsprosjektet:

I dette fordypningsprosjektet kan man ta for seg en av to problemstillinger som begge er interessante (og en bør velge en av de og ikke begge).

Alternativ 1: Analyse av automatisk selvtest av brann og gassdetektorer.

Autronica har introdusert et system for automatisk funksjonstesting som benevnes self-verify. Formålet med denne oppgaven er å studere hvor god en slik type test er i forhold til å avdekke alle farlige udetekterte feil. I dag tester allikevel operatørselskapene og anleggseierne detektorene jevnlig, fordi man ikke har ennå gjort en detaljert analyse for om noen feil kan forbli uoppdaget dersom man bare bruker systemer som self-verify. I denne fordypningsoppgaven er formålet:

• Sette seg inn i brann og gassdetektorer, inkludert sikkerhetskrav, feilmoder, feilårsaker og konsekvenser av feil. Gjennomføre en klassifisering av de ulike feilene.
• Gjennomføre en feilmode, effekt og kritikalitetsanalyse (FMECA) for en detektor
• Sette seg inn i self-verify og oppdatere systematisk (og på feilmodenivå) FMECA-resultatene utfra om self-verify kan detektere de ulike feilmodiene eller ikke.
• Kontakte Equinor for å sjekke hvilke DU feil de har avdekket på funksjonstester. Undersøke disse feilene og sjekke om de kunne vært detektert av self-verify
• Foreslå tiltak for bedre rapportering av feil for fremtidige analyser

Alternativ2: IEC 61508 og open source plattform for sikkerhetsysstemer.

Autronica bruker i dag linux-basert operativsystem og kode for en del utstyr, men ikke for det som er SIL sertifisert. Per i dag er dette ikke anerkjent for bruk i sikkerhetssystemer med SIL krav. Samtidig kan det være interessant å studere hvorfor det er slik, og hva som eventuelt er problemstillingene som må løses for at det kunne blitt vurdert som aktuelt.

I denne oppgaven inngår derfor:

• Sette seg inn i og beskrive hovedkrav og begrensninger knyttet til implementering av software for SIL 2 utstyr
• Gjennomføre en litteraturstudie for å:
  • Avdekke bruk av open source kode i sikkerhetssystem. Systematisere og diskutere funn.
  • Gjøre en systematisk sammenligning mellom krav (i iEC 61508 for programvare) og egenskaper ved open source kode
  • Identifisere tiltak som har vært foreslått i litteraturen