Fakultet for informasjonsteknologi, matematikk og elektroteknikk Institutt for teknisk kybernetikk Skrevet av KG Løsningsforslag til EKSAMEN VÅR 2009 I TTK4175 INSTRUMENTERINGSSYSTEMER Pensumbok: Instrumenteringssystemer, Tor Onshus, 1994. Bokmål Hjelpemidler: D - Ingen trykte eller håndskrevne hjelpemidler tillatt. - Bestemt enkel kalkulator tillatt (HP30S) NB! Tallene i parantes angir den relative vekt oppgaven tillegges ved bedømmelse.
NORGES TEKNISK - NATURVITENSKAPELIGE UNIVERSITET Side 2 av 11 Kommentarer til løsningsforslag: Løsningsforslagene gir en pekepinn på hva svarene skal inneholde og må ikke ses på som maksimale svar. For mer utfyllende informasjon må man slå opp på de referanser som det er gitt til pensumstoffet. Der svaret finnes direkte ved oppslag i pensumstoffet, refereres det kun til dette. Poengfordeling Følgende poengfordeling skal benyttes Oppgave Del Max poeng 1 a 4 (16 poeng) b 4 c 4 d 4 2 a 8 (24 poeng) b 8 c 8 3 a 5 (24 poeng) b 5 c 5 d 5 e 4 4 a 4 (16 poeng) b 4 c 4 d 4 Total 80 poeng (av totalt 100, der eksamen teller 80%, prosjekt 15%, lab 5%)
NORGES TEKNISK - NATURVITENSKAPELIGE UNIVERSITET Side 3 av 11 Oppgave 1 Diverse (16 poeng) I eksamensoppgaven var det ved en feil blitt oppgitt 30% vekt, ikke 20% som er den riktige vekten. a ) [Relevant pensumlitteratur: Avsnitt 1.4.4 i pensumboka] Forutsetninger: i) Feilen fantes da produktet forlot produsenten ii) Skaden har forutsaket et økonomisk tap eller mén iii) Skaden ble forårsaket av feil (en sikkerhetsmangel) ved produktet, og det må foreligge en påviselig årsakssammenheng iv) Den skadelidte brukte produktet til tiltenkt formål og i samsvar med anvisningene eller på annen vanlig eller forutsigbar måte v) Feilen innebar et urimelig fare- eller risikomoment Krav til full uttelling: De fire første av totalt fem punkter skal være nevnt. b ) [Relevant pensumlitteratur: Avsnitt 1.2 i pensumboka] Se sider 1-5 til 1-7 i pensumboka. i) Distribuert manuell styring (formannens rute, styring utføres ved manuell observasjon og manuelle setpunkt ute i prosessen) ii) iii) iv) Distribuert automatisert styring, distribuert overvåking (regulatorer ute i prosessen, formannen går rundt i prosessen og overvåker) Sentralisert automatisk styring, sentralisert overvåkning (reguleringssløyfene kjøres og overvåkes sentralt) Distribuert automatisert styring, sentralisert overvåkning (reguleringssløyfer kjøres distribuert i feltbussystemer, prosessen overvåkes sentralt) Krav til full uttelling: Alle fire styringsmåter skal være prinsippielt korrekt beskrevet. c ) [Relevant pensumlitteratur: Avsnitt 5.2 i pensumboka] Se sider 5-6 til 5-7 i pensumboka. i) SFC - Sequential Function Chart ii) LD - Ladder Diagram
NORGES TEKNISK - NATURVITENSKAPELIGE UNIVERSITET Side 4 av 11 iii) ST - Structured Text iv) IL - Instruction List v) FBD - Function Block Diagram Krav til full uttelling: Alle fem programmeringsspråk skal være prinsippielt korrekt beskrevet. d ) [Relevant pensumlitteratur: Avsnitt 6.1 i pensumboka] Se side 6-2 i pensumboka. i) Svikt --> Feil (Fault) - tilstand ii) --> Avvik (Error) - tilstand iii) --> Svikt (Failure) - hendelse Krav til full uttelling: Feil/fault, Avvik/error og svikt/failure skal alle være nevnt og korrekt beskrevet, samt satt i riktig rekkefølge. Oppgave 2 Arbeidsprosess og informasjonspresentasjon (24 poeng) a ) [Relevant pensumlitteratur: Kapittel 4 i pensumboka] Egonometriske hensyn ved valg av fysisk utstyr for informasjonspresentasjon i felt Fysiologi, persepsjon og sansing: Utstyret må være tilpasset operatørens fysiologiske egenskaper som syn og berøring i relasjon til arbeidsmiljøet. Siden utstyret skal være bærbart, kan man ikke anta at operatøren til en hver tid har et sted å sitte ned når utstyret skal benyttes. Valg av skjerm og berøringsorganer er derfor viktig. Grafisk brukergrensesnitt må være leselig i tenkelige situasjoner observasjon og interaksjon er påkrevd. Berøringsorganet må kunne betjenes i alle situasjoner der interaksjon med fysisk utstyr er påkrevd. Anatomi og antropometri: Dimensjoner og vekt til utstyret må være slik at alle operatører enkelt og effektivt kan bære det med seg rundt i prosessen, hele dagen uten at dette sliter dem ut eller skader dem på noen måte. Sosiologi: Utstyret må også kunne fungere i den arbeidsprosessen som det inngår i. Siden de fleste arbeidsprosesser på et eller annet tidspunkt krever interaksjon mellom flere personer må utstyret muliggjøre slik interkasjon. For eksempel. utstyret bør ha mulighet for trådløs kommunikasjon mellom flere operatører. Krav til full uttelling: Studentens besvarelse skal inneholde referanser til fysiologi/ persepsjon, anatomi/antropometri og sosiologi.
NORGES TEKNISK - NATURVITENSKAPELIGE UNIVERSITET Side 5 av 11 b ) [Relevant pensumlitteratur: Kapittel 4 i pensumboka] Feltoperatører arbeider ute i prosessen. Generelt vil hver feltoperatør ha et sett med arbeidsordrer (arbeidsoppgave med spesifiserte krav til gjennomføring) som skal gjennomføres i løpet av et skift, i tillegg til de løpende oppgaver som feltoperatøren eventuelt har. Et eksempel på arbeidsordre er vedlikehold eller test av en funksjon ihht SIL krav. Et eksempel på løpende oppgaver er løsning av umiddelbare problememer som resetting av alarmer manuelt ute i prosessen, observasjon og vurdering av prosessen i forbindelse med driftsforstyrrelser. Feltoperatøren kan med andre ord ikke antas å være generelt tilgjengelig for å håndtere uventede situasjoner. For eksempel, hvis en feltoperatør holder på med å gjennomføre en arbeidsordre som ikke er mulig å gå i fra, vil denne feltoperatøren være utilgjengelig. Hvis en uventet situasjon oppstår må denne tildeles en annen feltoperatør, hvis dette er mulig. Hvis en feltoperatør er tilgjengelig, betyr det nødvendigvis ikke at feltoperatøren sitter å venter på en oppgave. Det betyr kun at oppgaven som feltoperatøren holder på med kan legges til siden (fokusbytte er mulig). Feltoperatørens evne til denne formen for fleroppgavekjøring er avhengig av den totale kognitive belastningen som samtlige oppgaver belaster feltoperatøren med. Den kognitive belastningen har sammenheng med hvilke handlingsmønster som feltoperatøren benytter seg av til å løse problemet. I følge Rasmussen, kan disse handlingsmønstrene deles inn i tre hovedmønster: 1) ferdighetsbasert handlingsmønster, som er det mønsteret gir minst kognitiv belastning, 2) regelbasert handlingsmønster, som krever at feltoperatøren må analysere stimuli for deretter å planlegge sine handlinger, og 3) kunnskapsbasert handlingsmønster, som krever at feltoperatøren må analysere stimuli, identifisere og løse problemet gjennom planlagte handlinger. Sistnevnte handlingsmønster gir dermed størst kognitiv belastning. Distribuert alarmhåndtering er en form for håndtering av uønskede hendelser. Fordelen med å distribuere alarmer til feltoperatører, er at man kan håndtere flere alarmer samtidig, samt at den som løser problemer står nærmere prosessen og har dermed større mulighet til å skaffe til veie førstehåndsinformasjon fra prosessen. Feltoperatører er imidlertid ikke egnet til å løse hvilke som helst alarmer. Alarmer som er vanskelig å finne en løsning på krever handlingsmønster som mye kognitiv kapasitet, noe feltoperatører ikke nødvendigvis har da feltoperatører kan ha flere parallelle oppgaver, samt at komplekse problemer krever mye informasjon, noe bærbare enheter har begrenset mulighet til. Kun et utvalg av alarmer er dermed egnet for distribuering til feltoperatører. En annen fordel med distribuering av enkle alarmer til operatører som er i nærheten av der alarmen skjer er redundans. Så lenge det overordnede systemet sørger for at alle alarmer blir håndtert av en operatør, vil systemet i teorien kunne håndtere flere alarmer på et tidligere tidspunkt og på denne måten redusere sannsynligheten for uønskede nedstegninger av prosessen. Krav til full uttelling: Dette er en drøftningsoppgave der flere forskjellige svar kan gi full uttelling. Drøftingen skal imidlertid inneholde vurdering av hvilke type alarmer som ikke bør distribueres med tanke på kritikalitet for prosessens og sikkerheten, kognitiv belastning og bærbare enheters mulighet til å presentere kompleks informasjon, samt muligheten for redundant håndtering av alarmer på et tidligere tidspunkt enn ved sentralisert alarmhåndtering.
NORGES TEKNISK - NATURVITENSKAPELIGE UNIVERSITET Side 6 av 11 c ) [Relevant pensumlitteratur: Avsnitt 4.7.5 i pensumboka] Alarmfiltrering benyttes til å redusere den kognitive belastningen til operatøren gjennom fjerning, omprioritering eller undertrykking av alarmer. Distribuert alarmhåndtering imidlertid, er en form for parallellisert og redundant alarmhåndtering som reduserer behovet for filtrering gjennom å øke antall operatører tilgjengelige til å håndtere alarmer. Krav til full uttelling: Dette er en drøftningsoppgave der flere forskjellige svar kan gi full uttelling. Drøftingen skal imidlertid inneholde en tydelig forståelse for at distribuering ikke er det samme som filtrering, da distribuering i motsetning til filtrering muliggjør parallell håndtering av alarmer. Oppgave 3 (24 poeng) a ) [Relevant pensumlitteratur: Avsnitt 6.4 i pensumboka, presentasjon fra forelesning i IEC 61508 og OLF-070 (Onshus, 2009) og vedlegg til eksamen] i) Siden det kun er én komponent av hver type, er dette 1oo1 votering. Det tilsvarer HFT lik 0 for samtlige komponenter. ii) I følge vedlegg 1 er solenoide og nedstengingsventil av type A, og trykktransmitter og logikk er av type B, da trykktransmitter i dag er smarte intrumenter med høy kompleksitet. iii) Siden funksjonens fire komponenter ikke er uavhengige, må funksjonens PFD beregnes ved å summere PFD for hver enkelt element. Da funksjonen benytter 1oo1 votering, er PFD for hver enkeltkomponent gitt ved uttrykket PFD i = DU --. Hver enkelt PFD beregnes ved å sette inn korrekte verdier fra 2 tabell 1 i vedlegget og PFD i. Generell uttrykk for funksjonens PFD blir da PFD 3a = PFD PT + PFD Logikk + PFD Solenoide + PFD Ventil. Innsetting av verdier fra tabell 1 i vedlegget gir da en PFD lik PFD 1.8 10 2. Krav til full uttelling: Riktig votering, riktig klassifisering av enkeltkomponenter, riktig utregning av PFD, samt korrekt PFD verdi. b ) Når man skal dokumentere at en funksjon oppfyller et gitt Safety Integrity Level (SIL) er det tre krav som må dokumenteres (prensentasjon Onshus, side 33). Disse er kvalitetssikring av arbeidsmetodikk, strukturkrav (architectural constraints) og funksjonskrav (typisk at PFD tilfredstiller gitt SIL når funksjonen opereres On Demand). Siden kvalitetssikring av arbeidsmetodikk er upraktisk å trekke inn i eksamensoppgaven antas det at denne tilfredsstiller alle SIL krav. i) Når funksjonen opereres On Demand oppfyller funksjonen kravet til SIL 1 ihht
NORGES TEKNISK - NATURVITENSKAPELIGE UNIVERSITET Side 7 av 11 tabell 8.1 i vedlegget, da funksjonens PFD ligger i mellom 10 1 og 10 2. Det er imidlertid ikke nok å kun dokumentere funksjonens PFD. For at en funksjon skal oppfylle SIL 1 ihht IEC 61508-2 må det dokumenteres at hver enkelt komponent oppfyller strukturkravet for SIL 1 eller høyere. Siden samtlige komponenter i funksjonen har HFT=0 (gitt av 1oo1 votering) tilfredstiller strukturen til trykktransmitter, solenoide, ventil og logikk, i følge tabell 8.2 og 8.3 i vedlegget, SIL 2, da solenoide og ventil og har SFF mellom 60% og 90 % og trykktransmitter og logikk har SFF mellom 90 % og 99%. Siden strukturen til samtlige komponenter oppfyller SIL 1 eller høyere og funksjonen tilfredstiller SIL 1 når den opereres On Demand, er det herved dokumentert at funksjonen oppfyller kravet for SIL 1. ii) I oppgave 3a-i) er det dokumentert at funksjonen oppfyller SIL 1. Da kravet er at funksjonen skal oppfylle SIL 3, må funksjonen endres. En mulig endring er å innføre 1oo2 votering på alle enkeltkomponenter i funksjonen, eventuelt et fornuftig utvalg. Vi velger her å innføre 1oo2 votering på alle komponenter i funksjone. I følge vedlegget kan uttrykket PFD = DU -- benyttes for å 2 beregne PFD for hver enkelt komponent. Ved innsetting av verdier fra tabell 1 i vedlegget blir PFD verdien for den nye funksjonen nå PFD 3.2 10 4. Siden denne verdien ligger i mellom 10 3 og 10 4 oppfyller nå den nye funksjonen SIL 3. For å kunne dokumentere at funksjonen oppfyller alle krav til SIL 3 må man også dokumentere at strukturen for hver enkeltkomponent tilsfredstiler SIL 3 eller høyere. Da det nå benyttes 1oo2 votering er HFT=1 for alle enkeltkomponenter. I følge tabell 8.2 og 8.3 oppfyller da alle enkeltkomponenter SIL 3 ut i fra de SFF verdier som er gitt i tabell 1. Det er dermed dokumentert at hvis det innføres 1oo2 votering vil den endrede funksjonen oppfylle kravet for SIL 3. Krav til full uttelling: Avvik mellom faktisk og ønsket SIL må være dokumentert. Hvis SIL i 3b-i) er lik 3 eller 4 som resultat av feil utregning, kan de likevel gis full uttelling hvis studenten viser god forståelse av hvordan man kan endre en funksjon ved hjelp av votering for å imøtekomme økt SIL. c ) [Relevant pensumlitteratur: Side 6 i presentasjon fra forelesning i IEC 61508 og OLF- 070 (Onshus, 2009)] Figur i fra presentasjon (s. 6, Onshus, 2009)
NORGES TEKNISK - NATURVITENSKAPELIGE UNIVERSITET Side 8 av 11 Fire feilmodi som er definert i IEC61508: 1. Dangerous Undetected (DU) 2. Dangerous Detected (DD) 3. Safe Detected (SD) 4. Safe Undetected (SU) Følgende tiltak kan overføre en feil fra en tilstand til en annen DU til DD: Self-Test DU til SD : Fail-Safe Design DD til SD : Operating Philosophy SD til SS : Self-Test og Operating Philosophy Krav til full uttelling: Alle fire feilmodi må være med. Det samme gjelder de tre tiltakene. d ) e ) [Relevant pensumlitteratur: Kapittel 6.4 i pensumboka] I følge tabell 1 i vedlegget har IR gassdetektorer en feilrate DU på 0.7 10 6. Denne feilraten er basert på antakelsen at 50 % av alle Dangerous failures oppdages ved hjelp av detektorens interne Self-Test. Med andre ord reduseres antall Dangerus Undetected (DU) failures med 50 % ved hjelp Self-Test. Hvis feilene detektert av Self-Test ikke registreres av funksjonen som IR gassdetektoren inngår i, må antall udekteterte feil økes med 50%. Den nye feilraten kan dermed beregnes ved hjelp av relasjonen 0.5 x = 0.7 10 6. Feilraten vi må benytte når detektoren kobles til en 4-20mA inngang som ikke klarer å skille mellom 3mA og 4mA er da x = 1.4 10 6. Krav til full uttelling: Begrunnelse må være lik eller ekvivalent til den gitt over, samt at beregnet feilrate må være riktig. [Relevant pensumlitteratur: Generelt fra pensumboka, samt logikk sunn fornuft] I denne oppgaven har SIL kravet har ikke direkte relevans for besvarelsen. Hensikten her er å se om studenten har tilstrekkelig generell forståelse av sikkerhet i prosessanlegg.
NORGES TEKNISK - NATURVITENSKAPELIGE UNIVERSITET Side 9 av 11 i) Kravet til responstid er satt ut i fra kunnskap om dynamikken til systemet som separatoren inngår i. Hvis ventilen ikke stenger i løpet av for eksempel 20 sekunder etter at en feilmodus er oppdaget, vil trykket i separatoren under gitte forutsetninger kunne stige forteren enn ventilen klarer å bløde ut, med den følge at separatoren til slutt sprenges. ii) Det finnes flere måter å finne maksimalt tillatt responstid til ventilen. En måte er å benytte ekperimentelle data fra sammenlignbare systemer, en annen måte er å beregne verdien analytisk ut i fra en dynamisk modell av systement. En tredje metode er dynamisk simulering. Hvilken metode som er å foretrekke er vanskelig å si noe konkret om. Imidlertid må metoden som benyttes sikre at Test Uavhengige Feil (TUF) er lav nok til at SIL 2 oppfylles av sikkerhetsfunksjonen. Hvis metoden som benyttes er for unøyaktig, slik at faktisk maksimalt tillatt responstid er laveren enn beregnet, vil TUF nødvendigvis øke. Krav til full uttelling: Studenten må vise god generell forståelse av temaet. Flere forskjellige svar kan gi samme uttelling. Studenten skal imidlertid ha nevnt betydningen av dynamikk og nøyaktighet til metode for beregning av maksimalt tillatt responstid. Oppgave 4 (16 poeng) a ) [Relevant pensumlitteratur: 9-18 til 1-19 i pensumboka] Billig Katalytisk Ikke mulig med automatisk selvtest/ kalibrering Ingen mulighet for fail-safe design Kort vedlikeholdsintervall Forgiftes av mange stoffer Mettes ved høye gasskonsentrasjoner Takler høye lufthastigher dårlig Avhengig av oksygen Krever mindre strøm Tre ganger så dyr Selv-test er mulig Optisk Mulighet for fail-safe design Lengre vedlikeholdsintervall Ingen forgiftningsfenomener Ingen metningsfenomener Takler høye lufthastigheter Ikke avhengig av oksygen Krever mye strøm (dyrere Exbeskyttelse) Krav til full uttelling: Minst fem av ni sammenlignbare egenskaper skal være med i besvarelsen. Egenskaper som ikke er sammenlignet skal ikke telles med i bedømningen.
NORGES TEKNISK - NATURVITENSKAPELIGE UNIVERSITET Side 10 av 11 b ) [Relevant pensumlitteratur: side 9-19 til 9-20 i pensumboka] Krav til full uttelling: Prinsipiellt riktig skisse og beskrivelse av måleprinsipp.
NORGES TEKNISK - NATURVITENSKAPELIGE UNIVERSITET Side 11 av 11 c ) [Relevant pensumlitteratur: 9-20 i pensumboka] I pensumboka står det at linjedetektorer ikke gir absolutt nivp men for eksempel LEL/ meter. Av dette kan det utledes at gassdetektorer generelt måles i prosent av LEL. Krav til full uttelling: Det er tilstrekkelig at studenten svarer LEL. d ) [Relevant pensumlitteratur: 9-7 i pensumboka] Infrarød flammedetektor benytter optisk deteksjon av bølgetopp for en gitt bølgelendge. Dektektorer som kun dektekterer én bølgelengde, såkalt enkeltstråle IRdetektorer, må dektektere en bølgelengde som sammenfaller med en strålingstopp i spekteret fra en flamme. Dette gir oftere trip da sensorenen blir mer følsom enn flerstråle IR-detektorer. I motsetning til enstråle IR-detektorer, benytter flerstråle IRdetektorer differansen mellom deteksjon av flere forskjellige bølgetopper som måleprinsipp. På denne måten sikrer man at så lenge det er brann med strålingstopp som samsvarer med en eller flere målte bølgetopper vil en differense eksistere. Hvis alle bølgetopper er tilstede vil ingen dekteksjon oppstå. Så lenge man er sikker på at dette kun skjer når det ikke er en flamme, vil færre trip oppstå. For å skille mellom åpen flamme og andre strålingskilder benyttes det et blafre/flikker filter (båndpassfilter 1-10Hz). Siden lys fra sveising varierer med mye høyere frekvens enn 1-10Hz, vil sveising ikke bli dektektert, selv om stråling i fra sveisepunktet har strålingstopper som sammenfaller med en eller flere stråler i detektoren. Krav til full uttelling: Studenten må ha med måleprinsippet både for enkelt- og flerstråledetektorer, samt benytte blafte/flikker filter som forklaring for hvorfor sveising ikke blir dektektert av en flammedetektor.