L’idea alla base di questo lavoro di tesi è l’evoluzione dell’architettura inter- na di ciascun sensore radar facente parte del generico nodo SIRIO. Questa esigenza nasce dalla necessità di ridurre i costi e la complessità del sistema che attualmente, per raggiungere le specifiche di sicurezza (SIL 4), necessita di due sensori radar in ridondanza (disposti uno di fronte all’altro). Questa evoluzione architetturale implica la duplicazione della parte digitale di ela- borazione e di controllo del sensore radar, ovvero la scheda digitale (modulo DIG descritto brevemente a pag. 35), permettendo l’utilizzo della metà dei sensori radar pur continuando a mantenere il livello di sicurezza SIL4 ed il 100% delle funzionalità precedenti. La conservazione del livello di sicurezza è resa possibile dal mantenimento della votazione tra i messaggi inviati al sottosistema di elaborazione, con la differenza che nella nuova configurazione del nodo SIRIO il messaggio non sarà inviato da due moduli DIG inseriti in altrettanti sensori radar ma da due moduli DIG inseriti nello stesso sen- sore (nuovo sensore radar a doppia scheda digitale). Le due schede digitali (moduli DIG), grazie allo duplicazione del segnale in arrivo dalla catena di ricezione, elaboreranno lo stesso flusso analogico ricevuto dalla parte radar del sensore che condividono. Un ulteriore vantaggio di questa soluzione risie- de nel fatto che le schede digitali processeranno il flusso di dati ricevuto dalla stessa scena osservata(inteso come medesimo ambiente fisico) mentre invece nella configurazione precedente le schede digitali risiedendo in due sensorei radar differenti posti uno di fronte all’altro monitoravano si la stessa zona, ma da un punto di vista differente. Questo si traduceva in una più alta possibilità di fallimento della votazione. Quindi di fatto questa evoluzione architetturale comporta un miglioramento della disponibilità del sistema.
Per realizzare l’architettura di cui sopra, è stata sviluppata la scheda RCB (Redundancy Control Board), oggetto di questo elaborato, alla quale andrà il compito di sdoppiare i segnali analogici in arrivo dalla catena di ricezio- ne del sensore e di effettuare un controllo di coerenza sui comandi inviati dalle schede digitali alla parte radar del sensore, mantenendo il principio di funzionamento di quest’ultimo invariato.
Nella figura seguente è possibile osservare il concetto appena espresso di evoluzione dell’architettura interna del sensore radar con le relative interfacce interne ed esterne coinvolte.
Figura 1.25: Evoluzione architetturale del sensore radar.
Nella figura 1.26 si può notare come dal punto di vista del sistema di ela- borazione la situazione sia rimasta del tutto invariata con quattro linee dati dedicate su cui fare la votazione (due a due). L’unica variazione riguarda il numero di alimentazioni inviate al sottosistema radar che essendo nella nuo- va configurazione costituito dalla metà dei sensori (sebbene a doppia scheda digitale), necessita di due sole linee di alimentazione.
Figura 1.26: Cambiamento di conformazione del generico nodo SIRIO introdotto dai nuovi sensori radar a doppia scheda digitale.
Di seguito, in figura 1.27, è possibile vedere il cambio di conformazio- ne introdotto all’interno del nodo SIRIO dai sensori radar a doppia scheda digitale e come il sistema continui a mantenere il livello di sicurezza SIL4.
Figura 1.27: Modifica della conformazione del nodo SIRIO introdotta dai nuovi sensori radar a doppia scheda. Notare il dimezzamento del numero di sensori.
La procedura di analisi dei rischi e delle situazioni pericolose effettuata sul sistema SIRIO per verificarne il rispetto degli standard di sicurezza im- posti dalle normative in ambito ferroviario, insieme alle considerazioni che hanno portato all’utilizzo di una nuova architettura più economica ed ancora conforme agli standard di sicurezza, sono affrontati nel capito 2 sebbene in maniera non esaustiva poiché non svolte durante lo stage lavorativo e quindi esulano dai fini di questo elaborato.
Capitolo 2
Concetto di RAMS in ambito
ferroviario
L’analisi del concetto di RAMS in ambito ferroviario e delle normative che lo tutelano aiuta a comprendere l’efficacia della nuova architettura del sensore radar motivando le scelte alla base della progettazione hardware e firmware della scheda RCB.
Il RAMS (Reliability, Availability, Maintainability and Safety) ovvero affidabilità, disponibilità, manutenibilità e sicurezza è una caratteristica d’e- sercizio a lungo termine di un sistema e viene ottenuta con l’applicazione di concetti, metodi, tecniche e strumenti d’ingegneria durante tutto il ciclo di vita del sistema. Il RAMS di un sistema può essere definito come un indicato- re qualitativo e quantitativo del grado con il quale il sistema, o i sottosistemi e i componenti che lo comprendono, possano contare sulla funzione svolta ed essere sia disponibili che sicuri.
Il RAMS nell’ambito ferroviario descrive la fiducia con la quale il sistema può assicurare un livello definito di traffico in un dato tempo in sicurezza ed ha una chiara influenza sulla qualità con la quale il servizio viene eroga- to al cliente. La qualità del servizio può dipendere da altre caratteristiche che riguardano la funzionalità e le prestazioni, per esempio la frequenza e la regolarità del servizio oppure la struttura delle tariffe. Sicurezza e disponibi- lità sono interdipendenti nel senso che un’insufficienza dell’una o dell’altra, o la cattiva gestione dei conflitti tra i requisiti di sicurezza e disponibilità, possono ostacolare l’ottenimento di un sistema di sicuro funzionamento. Le interdipendenze tra gli elementi RAMS nell’ambito ferroviario sono mostrate nella seguente figura:
Figura 2.1: Interdipendenza tra gli elementi RAMS in ambito ferroviario. Il raggiungimento degli obiettivi di disponibilità e sicurezza di un sistema in servizio può essere conseguito solo con il soddisfacimento di tutti i requisiti di affidabilità e manutenibilità e dal controllo, in corso di sviluppo e a lungo termine, delle attività di manutenzione e di esercizio. Quanto detto sottolinea come i vari aspetti costituenti i requisiti RAMS siano legati a doppio filo gli uni con gli altri.
La specificazione dei requisiti RAMS è un processo complesso basato sul concetto di rischio come combinazione di due elementi:
1. La probabilità di accadimento di un evento o di una combinazione di eventi che portano ad una situazione pericolosa (hazard), o la frequenza di tali avvenimenti.
2. Le conseguenze della situazione pericolosa.
Combinando la frequenza di accadimento di una situazione pericolosa con la gravità delle sue conseguenze si compone una matrice ”frequenza- conseguenze” che stabilisce il livello di rischio risultante dalla situazione pericolosa.
L’analisi del rischio deve essere svolta e documentata nelle varie fasi del ciclo di vita del sistema dall’autorità responsabile per quella fase.
2.1
Le normative CENELEC
Le normative CENELEC (dal francese: Comité Européen de Normalisation Électrotechnique) EN 50126, EN 50128 e EN 50129, sono un insieme di nor- mative applicabili ai sistemi elettronici correlati con la sicurezza (ivi compre- si i sottosistemi e le apparecchiature) per le applicazioni del segnalamento ferroviario. Queste normative formano la base operativa per un approccio coerente e sistematico alla sicurezza dei sistemi in ambito ferroviario e sono ormai d’uso generale in ambito europeo. Il loro campo di applicazione e le relazioni fra di esse sono illustrati nello schema sottostante:
Figura 2.2: Campo di applicazione delle principali norme CENELEC per applicazioni ferroviarie.
Mentre la EN 50126 tratta i problemi legati ad un sistema su ampia scala, fornendo alle autorità ferroviarie e all’industria fornitrice ferroviaria un processo che permette l’attuazione di una procedura coerente di gestione del RAMS, la EN 50129 si concentra sui processi che portano all’approvazione di ogni singolo sistema presente in apparecchiature volte al controllo e alla protezione in ambiente ferroviario.
La normativa CENELEC EN 50128 si concentra invece sui metodi che ri- sultano essere fondamentali per soddisfare i vincoli d’ integrità della sicurezza che le applicazioni software ferroviarie, filoviarie e metropolitane richiedono.
Queste norme sono applicabili alle fasi di specificazione, progettazione, realizzazione, installazione, accettazione, esercizio, manutenzione e modifica /estensione di sistemi completi di segnalamento e dei relativi sottosistemi.
Queste norme mostrano tutti i passi da eseguire durante il ciclo di vi- ta di un sistema per rispettare le esigenze RAMS prefissate. Esso viene tipicamente rappresentato con la sua caratteristica struttura a ”V”:
Figura 2.3: Diagramma a ”V” raffigurante la parte di progettazione e validazione del ciclo di vita del sistema descritta dalla norma CENELEC 50126.
Il ramo discendente (sul lato sinistro) è generalmente detto sviluppo ed è un processo di affinamento che si conclude con la fabbricazione dei componen- ti del sistema. Il ramo ascendente (sul lato destro) è collegato al montaggio, all’installazione, alla consegna e quindi all’esercizio del sistema globale. La rappresentazione a ”V” presuppone che le attività di accettazione siano in- trinsecamente collegate alle attività di sviluppo nella misura in cui ciò che viene contestualmente progettato debba essere alla fine verificato in base ai requisiti. Questa rappresentazione è efficace nel mostrare i compiti di veri- fica e validazione nel corso del ciclo di vita. L’obiettivo della verifica è di dimostrare che, per elementi di ingresso specifici, gli elementi di uscita di ogni fase soddisfino in tutti gli aspetti i requisiti di quella fase. L’obiettivo della validazione è di dimostrare che il sistema in esame, a qualsiasi stadio del suo sviluppo e dopo la sua installazione, soddisfi i suoi requisiti in tutti gli aspetti.
Questo capitolo non approfondirà le operazioni necessarie lungo l’intero ciclo di vita del sistema per il rispetto dei requisiti RAMS, ma si concentrerà principalmente sulla parte di analisi quantitativa volta a determinare la pro- babilità e l’entità di situazioni pericolose (hazard), ovvero l’hazard analysis, dimostrando così che i sottosistemi ed i componenti siano conformi ai requi- siti RAMS. Sebbene questa analisi non sia stata svolta durante il lavoro di tesi, si rende necessario illustrarla (seppur in maniera non dettagliata vista la sua vastità e complessità) per evidenziare gli aspetti che hanno portato alla realizzazione del generico nodo SIRIO con una determinata conformazione ed hanno evidenziato la possibilità di effettuare il cambio architetturale oggetto di questo elaborato.