В последние несколько лет микропроцессоры играют все возрастающую роль в области техники безопасности. Поскольку целые компьютеры (т. е. центральный процессор, память и периферийные компоненты) теперь доступны в одном компоненте как «одночиповые компьютеры», микропроцессорная технология используется не только для управления сложными машинами, но и для защиты относительно простой конструкции. (например, световые решетки, устройства двуручного управления и защитные кромки). Программное обеспечение, управляющее этими системами, включает от одной тысячи до нескольких десятков тысяч одиночных команд и обычно состоит из нескольких сотен программных ветвей. Программы работают в режиме реального времени и в основном написаны на языке ассемблера программистов.

Внедрение автоматизированных систем в области техники безопасности сопровождалось во всех крупномасштабных технических средствах не только дорогостоящими НИОКР, но и существенными ограничениями, направленными на повышение безопасности. (Аэрокосмическая технология, военная технология и технология атомной энергии могут быть приведены здесь в качестве примеров крупномасштабного применения.) Коллективная область промышленного массового производства до сих пор рассматривалась лишь очень ограниченно. Отчасти это происходит по той причине, что быстрые циклы инноваций, характерные для проектирования промышленных машин, затрудняют передачу, за исключением очень ограниченного, знания, которое может быть получено в результате исследовательских проектов, связанных с окончательным тестированием крупномасштабных машин. устройства для обеспечения безопасности. Это делает разработку быстрых и недорогих процедур оценки необходимой (Reinert and Reuss, 1991).

В этой статье сначала рассматриваются машины и оборудование, в которых компьютерные системы в настоящее время выполняют задачи по обеспечению безопасности, на примерах несчастных случаев, происходящих преимущественно в области защиты машин, чтобы показать особую роль, которую компьютеры играют в технологиях безопасности. Эти несчастные случаи дают некоторое представление о том, какие меры предосторожности должны быть приняты, чтобы компьютеризированное оборудование для обеспечения безопасности, которое в настоящее время получает все более широкое распространение, не привело к увеличению числа несчастных случаев. В заключительном разделе статьи описывается процедура, которая позволит довести даже небольшие компьютерные системы до надлежащего уровня технической безопасности при оправданных затратах и ​​в течение приемлемого периода времени. Принципы, указанные в этой заключительной части, в настоящее время внедряются в международные процедуры стандартизации и будут иметь значение для всех областей техники безопасности, в которых находят применение компьютеры.

Примеры использования программного обеспечения и компьютеров в области защиты машин

Следующие четыре примера показывают, что программное обеспечение и компьютеры в настоящее время все больше и больше входят в приложения, связанные с безопасностью, в коммерческой сфере.

Индивидуально-аварийные сигнальные установки состоят, как правило, из центрального приемного пункта и ряда индивидуальных аварийных сигнализаторов. Устройства несут лица, работающие на объекте самостоятельно. Если кто-либо из этих лиц, работающих в одиночку, окажется в аварийной ситуации, он может использовать устройство для срабатывания сигнализации по радиосигналу в центральном приемном пункте. Такой волевой пусковой механизм может быть дополнен механизмом произвольного срабатывания, приводимым в действие датчиками, встроенными в персональные аварийные устройства. Как отдельные устройства, так и центральная приемная станция часто управляются микрокомпьютерами. Вполне возможно, что отказ отдельных отдельных функций встроенного компьютера может привести в аварийной ситуации к несрабатыванию сигнализации. Поэтому необходимо принять меры предосторожности, чтобы вовремя заметить и устранить такую ​​потерю функции.

Печатные станки, используемые сегодня для печати журналов, представляют собой большие машины. Бумажные полотна обычно подготавливаются на отдельной машине таким образом, чтобы обеспечить плавный переход на новый бумажный рулон. Отпечатанные страницы сгибаются на фальцевальной машине и затем проходят через цепочку других машин. В результате поддоны загружаются полностью сшитыми магазинами. Хотя такие установки автоматизированы, есть две точки, в которых необходимо выполнять ручное вмешательство: (1) при заправке трактов бумаги и (2) при устранении препятствий, вызванных разрывами бумаги в опасных местах на вращающихся роликах. По этой причине во время регулировки прессов технология управления должна обеспечивать пониженную скорость работы или режим толчкового перемещения с ограничением по траектории или времени. Из-за сложных процедур управления каждая отдельная станция печати должна быть оснащена собственным программируемым логическим контроллером. Любая неисправность, возникающая в системе управления типографией при открытых защитных решетках, должна не допускать, чтобы она приводила либо к неожиданному запуску остановленной машины, либо к работе с превышением допустимо сниженных скоростей.

На крупных фабриках и складах беспилотные автоматизированные роботизированные транспортные средства передвигаются по специально размеченным дорожкам. По этим путям в любое время могут пройти люди, или материалы и оборудование могут быть непреднамеренно оставлены на путях, поскольку они конструктивно не отделены от других путей движения. По этой причине необходимо использовать какое-либо оборудование для предотвращения столкновений, чтобы гарантировать, что транспортное средство будет остановлено до того, как произойдет опасное столкновение с человеком или объектом. В более поздних применениях предотвращение столкновений осуществляется с помощью ультразвуковых или лазерных сканеров, используемых в сочетании с защитным бампером. Поскольку эти системы работают под управлением компьютера, можно настроить несколько постоянных зон обнаружения, чтобы транспортное средство могло изменять свою реакцию в зависимости от конкретной зоны обнаружения, в которой находится человек. Неисправности защитного устройства не должны приводить к опасному столкновению с человеком.

Гильотины устройства контроля обрезки бумаги используются для прессования, а затем разрезания толстых стопок бумаги. Они запускаются двуручным устройством управления. Пользователь должен проникнуть в опасную зону станка после каждого разреза. Нематериальная защита, обычно легкая решетка, используется в сочетании с устройством управления двумя руками и безопасной системой управления машиной для предотвращения травм при подаче бумаги во время операции резки. Почти все более крупные и современные гильотины, используемые сегодня, управляются многоканальными микрокомпьютерными системами. Как управление двумя руками, так и световая сетка также должны гарантировать безопасное функционирование.

Аварии с компьютерными системами

Почти во всех областях промышленного применения сообщается об авариях с программным обеспечением и компьютерами (Neumann 1994). В большинстве случаев компьютерные сбои не приводят к травмам людей. Такие неудачи в любом случае предаются гласности только тогда, когда они представляют общественный интерес. Это означает, что случаи неисправности или несчастного случая, связанные с компьютерами и программным обеспечением, в результате которых пострадали люди, составляют относительно высокую долю всех получивших огласку случаев. К сожалению, аварии, которые не вызывают большой общественной сенсации, не расследуются в отношении их причин с такой же интенсивностью, как более серьезные аварии, как правило, на крупных предприятиях. По этой причине нижеследующие примеры относятся к четырем описаниям неисправностей или аварий, типичных для систем с компьютерным управлением, не относящихся к области защиты машин, которые используются для того, чтобы указать, что следует принимать во внимание при вынесении суждений, касающихся техники безопасности.

Аварии, вызванные случайными сбоями в оборудовании

Следующая авария была вызвана концентрацией случайных отказов в оборудовании в сочетании с программным сбоем: Реактор перегрелся на химическом заводе, после чего были открыты предохранительные клапаны, позволившие выпустить содержимое реактора в атмосферу. Эта авария произошла вскоре после того, как было дано предупреждение о том, что уровень масла в коробке передач слишком низкий. Тщательное расследование аварии показало, что вскоре после того, как катализатор инициировал реакцию в реакторе, вследствие чего реактору потребовалось бы дополнительное охлаждение, компьютер, на основании сообщения о низком уровне масла в коробке передач, заморозил все. величины, находящиеся под его контролем, на фиксированном уровне. Это удерживало поток холодной воды на слишком низком уровне, в результате чего реактор перегревался. Дальнейшее расследование показало, что индикация низкого уровня масла была вызвана неисправным компонентом.

Программное обеспечение отреагировало в соответствии со спецификацией срабатыванием аварийного сигнала и фиксацией всех рабочих переменных. Это было следствием исследования HAZOP (анализ опасностей и работоспособности) (Knowlton 1986), проведенного до события, которое требовало, чтобы все контролируемые переменные не изменялись в случае отказа. Поскольку программист не был подробно знаком с процедурой, это требование было истолковано как означающее, что управляемые исполнительные механизмы (в данном случае регулирующие клапаны) не должны были модифицироваться; не обращали внимания на возможность повышения температуры. Программист не учел, что после получения ошибочного сигнала система может оказаться в динамической ситуации типа требующей активного вмешательства компьютера для предотвращения аварии. Более того, ситуация, приведшая к несчастному случаю, была настолько маловероятной, что не была подробно проанализирована в исследовании HAZOP (Levenson 1986). Этот пример обеспечивает переход ко второй категории причин программно-компьютерных аварий. Это систематические сбои, которые есть в системе с самого начала, но которые проявляются только в определенных очень специфических ситуациях, которые разработчик не учел.

Несчастные случаи, вызванные сбоями в работе

В полевых испытаниях во время окончательной проверки роботов один техник позаимствовал кассету соседнего робота и заменил ее другой, не сообщив об этом своему коллеге. Вернувшись на свое рабочее место, коллега вставил не ту кассету. Так как он стоял рядом с роботом и ожидал от него определенной последовательности движений — последовательности, которая получалась иначе из-за обменной программы, — между роботом и человеком произошло столкновение. Эта авария описывает классический пример эксплуатационного отказа. Роль таких отказов в неисправностях и авариях в настоящее время возрастает в связи с усложнением применения управляемых компьютером механизмов безопасности.

Несчастные случаи, вызванные систематическими сбоями в оборудовании или программном обеспечении

Торпеда с боеголовкой должна была быть выпущена в учебных целях с боевого корабля в открытом море. Из-за дефекта приводного аппарата торпеда осталась в торпедном аппарате. Капитан решил вернуться в порт приписки, чтобы спасти торпеду. Вскоре после того, как корабль начал возвращаться домой, торпеда взорвалась. Анализ аварии показал, что разработчики торпеды были вынуждены встроить в торпеду механизм, предназначенный для предотвращения ее возвращения на стартовую площадку после выстрела и, таким образом, уничтожения запустившего ее корабля. Для этого был выбран следующий механизм: после выстрела торпеды с помощью инерциальной навигационной системы проверяли, не изменился ли ее курс на 180°. Как только торпеда почувствовала, что повернулась на 180°, она тут же взорвалась, предположительно на безопасном расстоянии от стартовой площадки. Этот механизм обнаружения срабатывал в случае неправильного пуска торпеды, в результате чего торпеда взорвалась после того, как корабль изменил курс на 180°. Это типичный пример аварии, произошедшей из-за несоблюдения спецификаций. Недостаточно точно сформулировано требование в ТУ о том, что торпеда не должна уничтожать собственный корабль при изменении курса; Таким образом, меры предосторожности были запрограммированы ошибочно. Ошибка проявилась только в конкретной ситуации, которую программист не учел как возможность.

14 сентября 1993 г. при посадке в Варшаве разбился самолет Airbus A 320 авиакомпании Lufthansa (рис. 1). Тщательное расследование авиакатастрофы показало, что за эту аварийную посадку частично ответственны изменения в логике посадки бортового компьютера, сделанные после аварии с самолетом Lauda Air Boeing 767 в 1991 году. Что произошло в аварии 1991 года, так это то, что отклонение тяги, которое отводит часть газов двигателя, чтобы затормозить самолет во время посадки, сработало еще в воздухе, что вынудило машину совершить неконтролируемое пикирование. По этой причине в машины Airbus была встроена электронная блокировка отклонения тяги. Этот механизм позволял вступать в силу отклонения тяги только после того, как датчики на обоих комплектах шасси подали сигнал о сжатии амортизаторов под давлением касания колес. На основании неверной информации пилоты самолета в Варшаве предвидели сильный боковой ветер.

Рис. 1. Lufthansa Airbus после аварии в Варшаве, 1993 г.

По этой причине они привезли машину с небольшим наклоном, и Airbus приземлился только правым колесом, оставив левый подшипник меньше, чем полный вес. Из-за электронной блокировки отклонения тяги бортовой компьютер в течение девяти секунд отказывал пилоту в таких маневрах, которые позволили бы самолету благополучно приземлиться, несмотря на неблагоприятные обстоятельства. Эта авария очень наглядно демонстрирует, что изменения в компьютерных системах могут привести к новым и опасным ситуациям, если заранее не учитывать диапазон их возможных последствий.

Следующий пример неисправности также демонстрирует катастрофические последствия, которые может иметь изменение одной единственной команды в компьютерных системах. Содержание алкоголя в крови определяют химическими тестами с использованием прозрачной сыворотки крови, из которой предварительно отцентрифугированы кровяные тельца. Таким образом, содержание алкоголя в сыворотке выше (в 1.2 раза), чем в более густой цельной крови. По этой причине значения алкоголя в сыворотке должны быть разделены на коэффициент 1.2, чтобы установить юридически и с медицинской точки зрения критические цифры в тысячных частях. В межлабораторном испытании, проведенном в 1984 г., значения содержания алкоголя в крови, установленные в идентичных испытаниях, проведенных в различных научно-исследовательских учреждениях с использованием сыворотки, должны были быть сопоставлены друг с другом. Поскольку речь шла только о сравнении, команда делить на 1.2 была, кроме того, стерта из программы в одном из учреждений на время эксперимента. После окончания межлабораторного испытания в этом месте ошибочно была введена в программу команда умножения на 1.2. В результате в период с августа 1,500 г. по март 1984 г. было рассчитано примерно 1985 неверных значений частей на тысячу. Эта ошибка была критической для профессиональной карьеры водителей-дальнобойщиков с уровнем алкоголя в крови от 1.0 до 1.3 промилле, поскольку юридическое наказание, влекущее за собой конфискацию водительских прав на длительный срок, является следствием значения 1.3 промилле.

Несчастные случаи, вызванные воздействием эксплуатационных нагрузок или стрессов окружающей среды

В результате помех, вызванных сбором отходов в рабочей зоне станка для вырубки и штамповки с ЧПУ (ЧПУ), пользователь ввел в действие «запрограммированную остановку». Когда он пытался удалить отходы руками, толкатель машины начал двигаться, несмотря на запрограммированную остановку, и серьезно ранил пользователя. Анализ аварии показал, что речь шла не об ошибке в программе. Неожиданный пуск воспроизвести не удалось. Подобные нарушения наблюдались и в прошлом на других машинах того же типа. Из них кажется правдоподобным сделать вывод, что авария должна была быть вызвана электромагнитными помехами. Подобные несчастные случаи с промышленными роботами зарегистрированы в Японии (Neumann 1987).

Неисправность космического корабля "Вояджер-2" 18 января 1986 года еще больше прояснила влияние стрессов окружающей среды на системы, управляемые компьютером. За шесть дней до максимального сближения с Ураном изображения с «Вояджера-2» покрывали большие поля черно-белых линий. Точный анализ показал, что один бит в командном слове подсистемы полетных данных вызвал сбой, наблюдаемый как изображения были сжаты в зонде. Этот бит, скорее всего, был выбит из памяти программы ударом космической частицы. Безошибочная передача сжатых фотографий с зонда была осуществлена ​​только через два дня с использованием программы-замены, способной обойти неисправную точку памяти (Laeser, McLaughlin and Wolff, 1987).

Краткое изложение представленных аварий

Проанализированные несчастные случаи показывают, что некоторые риски, которыми можно было бы пренебречь в условиях использования простой электромеханической технологии, приобретают значение при использовании компьютеров. Компьютеры позволяют выполнять сложные и зависящие от ситуации функции безопасности. По этой причине особенно важной становится однозначная, безошибочная, полная и проверяемая спецификация всех функций безопасности. Ошибки в спецификациях трудно обнаружить, и они часто являются причиной аварий в сложных системах. Свободно программируемые элементы управления обычно вводятся с намерением гибко и быстро реагировать на изменения рынка. Однако модификации, особенно в сложных системах, имеют побочные эффекты, которые трудно предвидеть. Поэтому все модификации должны подвергаться строго формальной процедуре управления изменениями, в которой четкое отделение функций безопасности от частичных систем, не связанных с безопасностью, поможет легко отслеживать последствия модификаций для технологии безопасности.

Компьютеры работают с низким уровнем электричества. Поэтому они чувствительны к помехам от внешних источников излучения. Поскольку модификация одного-единственного сигнала среди миллионов может привести к неисправности, стоит уделить особое внимание теме электромагнитной совместимости применительно к компьютерам.

Обслуживание систем с компьютерным управлением в настоящее время становится все более сложным и, следовательно, все более неясным. Таким образом, эргономика программного обеспечения пользователя и программного обеспечения для настройки становится все более интересной с точки зрения техники безопасности.

Ни одна компьютерная система не может быть протестирована на 100%. Простой механизм управления с 32 бинарными входными портами и 1,000 различных программных путей требует 4.3 × 10¹² тесты для полной проверки. При скорости выполнения и оценки 100 тестов в секунду полное тестирование заняло бы 1,362 года.

Процедуры и меры по совершенствованию компьютеризированных устройств безопасности

За последние 10 лет были разработаны процедуры, которые позволяют справиться с конкретными задачами, связанными с безопасностью, связанными с компьютерами. Эти процедуры относятся к сбоям компьютера, описанным в этом разделе. Описанные примеры программного обеспечения и компьютеров для обеспечения безопасности машин и проанализированные несчастные случаи показывают, что степень ущерба и, следовательно, также риск, связанный с различными приложениями, чрезвычайно различны. Поэтому ясно, что необходимые меры предосторожности для улучшения компьютеров и программного обеспечения, используемых в технике безопасности, должны быть установлены в отношении риска.

На рис. 2 показана качественная процедура, с помощью которой можно определить необходимое снижение риска, достигаемое с помощью систем безопасности, независимо от степени и частоты возникновения ущерба (Bell and Reinert 1992). Типы отказов в компьютерных системах, проанализированные в разделе «Аварии с компьютерными системами» (выше), могут быть соотнесены с так называемыми уровнями полноты безопасности, т. е. с техническими средствами снижения риска.

Рисунок 2. Качественная процедура определения риска

Рисунок 3 ясно показывает, что эффективность мер, принимаемых в любом конкретном случае для уменьшения ошибок в программном обеспечении и компьютерах, должна возрастать с увеличением риска (DIN 1994; IEC 1993).

Рисунок 3. Эффективность мер предосторожности против ошибок независимо от риска

Анализ приведенных выше аварий показывает, что отказ управляемых компьютером защит вызван не только случайными отказами компонентов, но и особыми условиями эксплуатации, которые не были учтены программистом. Не сразу очевидные последствия модификаций программы, сделанных в ходе обслуживания системы, представляют собой дополнительный источник ошибок. Отсюда следует, что в системах безопасности, управляемых микропроцессорами, возможны отказы, которые хотя и допущены при разработке системы, но могут привести к возникновению опасной ситуации только в процессе эксплуатации. Поэтому необходимо принимать меры предосторожности против таких отказов, пока системы, связанные с безопасностью, находятся на стадии разработки. Эти так называемые меры по предотвращению отказов должны приниматься не только на этапе разработки концепции, но и в процессе разработки, установки и модификации. Определенных отказов можно избежать, если они будут обнаружены и устранены в ходе этого процесса (DIN 1990).

Как ясно показывает последняя описанная авария, выход из строя одного транзистора может привести к техническому отказу очень сложного автоматизированного оборудования. Поскольку каждая отдельная схема состоит из многих тысяч транзисторов и других компонентов, должны быть приняты многочисленные меры по предотвращению отказов, чтобы распознать такие отказы, возникающие в процессе работы, и инициировать соответствующую реакцию в компьютерной системе. На рисунке 4 описаны типы отказов в программируемых электронных системах, а также примеры мер предосторожности, которые могут быть приняты для предотвращения и контроля отказов в компьютерных системах (DIN 1990; IEC 1992).

Рисунок 4. Примеры мер предосторожности, принимаемых для контроля и предотвращения ошибок в компьютерных системах

Возможности и перспективы программируемых электронных систем в технике безопасности

Современные машины и установки становятся все более сложными и должны решать все более сложные задачи за все более короткие промежутки времени. По этой причине компьютерные системы захватили почти все области промышленности с середины 1970-х годов. Одно только это увеличение сложности в значительной степени способствовало росту затрат, связанных с улучшением технологии безопасности в таких системах. Хотя программное обеспечение и компьютеры создают серьезную проблему для безопасности на рабочем месте, они также позволяют внедрять новые безошибочные системы в области техники безопасности.

Забавный, но поучительный стих Эрнста Яндла поможет объяснить, что подразумевается под понятием безошибочный. «Lichtung: Manche meinen lechts und rinks kann man nicht velwechsern, werch ein Illtum». («Направление: многие считают, что свет и свет нельзя поменять местами, что за эллол».) Несмотря на обмен письмами r и l, эта фраза легко понятна нормальному взрослому человеку. Даже человек с низким уровнем владения английским языком может перевести его на английский язык. Однако задача для переводящего компьютера практически невыполнима.

Этот пример показывает, что человек может реагировать гораздо более безошибочно, чем языковой компьютер. Это означает, что люди, как и все другие живые существа, могут терпеть неудачи, ссылаясь на них. Если посмотреть на машины, используемые сегодня, можно увидеть, что большинство машин наказывает пользователей за отказы не несчастным случаем, а снижением производительности. Это свойство приводит к манипулированию или обходу средств защиты. Современные компьютерные технологии предоставляют в распоряжение системы безопасности труда, которые могут реагировать интеллектуально, т. е. модифицированным образом. Таким образом, такие системы делают возможным безошибочный режим работы новых машин. Они в первую очередь предупреждают пользователей при неправильной работе и выключают машину только тогда, когда это единственный способ избежать аварии. Анализ несчастных случаев показывает, что в этой области существует значительный потенциал для снижения числа несчастных случаев (Reinert and Reuss, 1991).

Назад