NL2000947C1

NL2000947C1 - Veiligheidsysteem, werkwijze en computerprogramma voor het vaststellen van een operationele veiligheid.

Info

Publication number: NL2000947C1
Application number: NL2000947A
Authority: NL
Inventors: Diderick Christian Oerlemans; Arij Wim Martin Rabenort
Original assignee: Covalent Ims
Priority date: 2007-10-19
Filing date: 2007-10-19
Publication date: 2009-04-21
Also published as: EP2050648B1; EP2050648A3; EP2050648A2

Description

NL10962-Ph/td

Veiligheidsysteem, werkwijze en computerprogramma voor het vaststellen van een operationele veiligheid

Achtergrond van de uitvinding

De onderhavige uitvinding heeft betrekking op een veiligheidsysteem, werkwijze en computerprogramma voor het vaststellen van een operationele veiligheid, welke in het bijzonder geschikt is voor het vaststellen van een operationele 5 veiligheid van een infrastructuur object, bijvoorbeeld een tunnelbuis voor treinverkeer.

Beschrijving van de stand der techniek 10 Een werkwijze en een computerprogramma voor het moni

toren van de integriteit van een trein zijn beschreven in US

7,222,003 B2. Virtuele blokken langs het spoor zijn in staat om de voorkant en achterkant van de trein te detecteren, om zo te bepalen of de gehele trein een virtueel blok is gepasseerd. 15 Zo kan worden bepaald of treinen onderling zich op een veilige afstand bevinden. Bovendien kan worden gedetecteerd of een trein is losgekoppeld. US 7,222,003 B2 maakt het niet mogelijk om de integriteit van de omgeving van de trein - bijvoorbeeld een van een treintunnel - te monitoren, maar is gericht op de 20 trein zelf.

Een systeem en een werkwijze voor het detecteren van een breuk in een constructie zoals een brug of weg zijn beschreven in US 6,972,687 BI. Bij het breken van de constructie zal een kabel, welke is verbonden aan de constructie, ook bre-25 ken. De breuk in de kabel wordt gedetecteerd, waarop wegverkeer kan worden gewaarschuwd middels bijvoorbeeld een stoplicht. US 6,972,687 BI maakt het niet mogelijk om nuances in de integriteit van de constructie aan te brengen. In US 6,972,687 BI is er enkel sprake van een breuk of geen breuk.

30 Bovendien beperkt de detectie zich tot het detecteren van een kabelbreuk.

2

Korte samenvatting van de uitvinding

Het doel van de onderhavige uitvinding is een verbe-5 terd veiligheidsysteem, een werkwijze en een computerprogramma te verschaffen voor het vaststellen van een operationele veiligheid.

Voor het bereiken van bovengenoemd doel wordt volgens de uitvinding in een eerste aspect daarvan een veiligheidsys-10 teem verschaft voor het vaststellen van een operationele veiligheid, waarbij het veiligheidsysteem een database, een deelsysteemanalysator voor het vaststellen van een beschik-baarheidswaarde van een deelsysteem, en een functieanalysator voor het vaststellen van een functiestatus omvat. De database 15 kan definities voor één of meerdere deelsystemen, weegfactoren van componenten, definities voor één of meerdere functies en/of grenswaarden van deelsystemen omvatten. Het onderbrengen van deze definities en waarden in de database heeft als voordeel dat ze op ieder moment kunnen worden aangepast, 20 verwijderd of aangevuld. Een operationele functie wordt gevormd door één of meerdere deelsystemen. Een definitie van een operationele functie bepaalt hoe een functie is samengesteld uit één of meerdere deelsystemen. De functieanalysator kan verbonden zijn met de deelsysteemanalysator en/of met de data-25 base. Dit maakt het mogelijk data uit te wisselen tussen deze elementen. De deelsysteemanalysator is voorzien van middelen voor het ontvangen van een definitie van het deelsysteem en één of meerdere weegfactoren uit de database. De deelsysteemanalysator is tevens voorzien van middelen voor het detecteren 30 van een componentenstatus van één of meerdere componenten die zijn omvat door het deelsysteem en middelen voor het berekenen van de beschikbaarheidswaarde op basis van weegfactoren van beschikbare componenten. Dit maakt het mogelijk om beschikbare componenten te onderscheiden van niet-beschikbare componenten 35 en bovendien de beschikbaarheid van de componenten uit te drukken in een waarde. De waarde kan absoluut zijn of relatief ten opzichte van een maximale beschikbaarheidswaarde die bereikt zou kunnen worden indien alle componenten beschikbaar 3 zijn. Componenten kunnen verschillende weegfactoren hebben afhankelijk van het deelsysteem waarvan zij onderdeel uitmaken. De functieanalysator is voorzien van middelen voor het ontvangen van een definitie van één of meerdere operationele 5 functies en één of meerdere grenswaarden uit de database, en middelen voor het ontvangen van één of meerdere beschikbaar-heidswaarden van één of meerdere deelsystemen uit de deelsysteemanalysator. De functieanalysator is tevens voorzien van middelen voor het berekenen van de functiestatus op basis 10 van de definitie van de operationele functie, de één of meerdere beschikbaarheidswaarden van één of meerdere deelsystemen en de één of meerdere grenswaarden. Dit maakt het mogelijk om voor de functie, dus een samenstel van deelsystemen, de actuele functiestatus te berekenen, waarbij rekening wordt gehouden 15 met grenswaarden voor beschikbaarheid van deelsystemen waaronder een deelsysteem minder betrouwbaar kan worden geacht. Het veiligheidsysteem is tevens voorzien van middelen voor het genereren van een outputsignaal omvattende een indicatie van de operationele veiligheid op basis van de berekende functiesta-20 tus. Dit maakt het mogelijk de indicatie van de operationele veiligheid te gebruiken in systemen binnen en/of buiten het veiligheidsysteem. Het outputsignaal kan bijvoorbeeld de berekende functiestatus omvatten.

In een uitvoeringsvorm is de deelsysteemanalysator 25 voorzien van middelen voor het verlagen van de beschikbaar-heidswaarde op basis van één of meerder componentregels. Dit maakt het mogelijk om bepaalde voorkomendheden met betrekking tot componenten extra zwaar mee te laten tellen in de berekening van de beschikbaarheidswaarde. Een voorbeeld van een 30 dergelijke voorkomendheid is het niet beschikbaar zijn van twee componenten die in serie voorkomen binnen het deelsysteem.

In een uitvoeringsvorm omvat het veiligheidsysteem tevens een beveiligingstoestandanalysator voor het vaststellen 35 van een beveiligingsstatus van een beveiligingsklasse. De beveiligingstoestandanalysator kan verbonden zijn met de functieanalysator en/of de database. Dit maakt het mogelijk data uit te wisselen tussen deze componenten. De database om- 4 vat tevens één of meerdere veiligheidsklassedefinities. De veiligheidsklassedefinities bepalen hoe de beveiligingsstatus afhangt van functiewaarden. De beveiligingstoestandanalysator is voorzien van middelen voor het ontvangen van een veilig-5 heidsklassedefinitie uit de database en middelen voor het ontvangen van één of meerdere functiestatussen uit de functie-analysator. De beveiligingstoestandanalysator is tevens voorzien van middelen voor het berekenen van de beveiligingsstatus op basis van de veiligheidsklassedefinitie en de één of 10 meerdere functiestatussen. Dit maakt het mogelijk om voor een bepaalde beveiligingsklasse de actuele beveiligingsstatus te berekenen, waarbij rekening wordt gehouden met de status van functies zoals deze voorkomen binnen de beveiligingsklasse.

Het outputsignaal kan bijvoorbeeld de berekende beveiligings-15 status omvatten.

In een uitvoeringsvorm krijgt de beveiligingsstatus een van de waarden niet aangetast, aangetast, ernstig aangetast, of doorbroken. Dit heeft als voordeel dat de berekening van de beveiligingsstatus een beperkt aantal mogelijke uitkom-20 sten heeft, wat de verwerking ervan vereenvoudigt.

In een uitvoeringsvorm wordt de beveiligingsstatus berekend voor ten minste een van de beveiligingsklassen preventie, mitigatie, zelfredzaamheid, en/of hulpverlening. Dit maakt het mogelijk om het aantal beveiligingsstatussen te be-25 perken, wat de verwerking ervan vereenvoudigt. Bovendien dekken deze beveiligingsklassen de belangrijkste aspecten rond operationele veiligheid.

In een uitvoeringsvorm is het veiligheidsysteem voorzien van middelen voor het berekenen van een veiligheidstatus 30 op basis van de beveiligingsstatus van één of meerdere beveiligingsklassen. Dit maakt het mogelijk om de uitkomsten van de verschillende beveiligingsklassen te aggregeren tot een enkele waarde voor de operationele veiligheid. Het outputsignaal kan bijvoorbeeld de berekende veiligheidstatus omvatten.

35 In een uitvoeringsvorm krijgt de veiligheidstatus een van waarden groen, geel of rood, en is het veiligheidsysteem voorzien van een webinterface voor het visualiseren van het outputsignaal in de vorm van een stoplicht op de webinterface.

5

Dit maakt het mogelijk om op een inzichtelijke manier de operationele veiligheid te visualiseren.

In een uitvoeringsvorm is de waarde van de veilig-heidstatus onderhevig aan één of meerdere van de volgende 5 rekenregels: als één beveiligingsstatus de waarde ernstig aangetast krijgt en de waarde van de veiligheidstatus was groen, dan krijgt de veiligheidstatus de waarde geel; als de waarde van de veiligheidstatus de waarde geel krijgt, dan start er een timer, welke wordt bijgehouden door een klok omvat door 10 het veiligheidsysteem; als de waarde van de veiligheidstatus geel was en de veiligheidstatus krijgt geen waarde groen binnen een gedefinieerd tijdsinterval, dan krijgt de veiligheidstatus de waarde rood; als meer dan één beveiligingsstatus de waarde ernstig aangetast krijgt, dan krijgt de 15 veiligheidstatus de waarde rood; als de waarde van de veiligheidstatus rood was en ten minste drie beveiligingsstatussen de waarde beschikbaar krijgen, dan krijgt de veiligheidstatus de waarde geel, waarbij de timer doorloopt vanaf de vorige keer dat de veiligheidstatus de waarde geel kreeg. Dit maakt 20 het mogelijk om de waarde van de veiligheidstatus op een gecontroleerde manier te doen laten veranderen.

In een uitvoeringsvorm is veiligheidsysteem voorzien van een log-database voor het opslaan van de indicatie van de operationele veiligheid op basis van de berekende functiesta-25 tus. Dit maakt het mogelijk om bijvoorbeeld de berekende functiestatus, de berekende beveiligingsstatus en/of de berekende veiligheidstatus op te slaan voor later gebruik.

In een uitvoeringsvorm betreft de operationele veiligheid een operationele veiligheid van een infrastructuur 30 object, bijvoorbeeld een tunnelbuis voor treinverkeer. Dit maakt het mogelijk om infrastructuur objecten zoals tunnelbuizen voor treinverkeer, waarvoor de operationele veiligheid zeer belangrijk is, te voorzien van een veiligheidsysteem.

In een tweede aspect van de uitvinding wordt een 35 werkwijze verschaft voor het vaststellen van een operationele veiligheid, in overeenstemming met het veiligheidsysteem zoals hierboven beschreven.

6

In een derde aspect van de uitvinding wordt een computerprogramma verschaft voor het vaststellen van een operationele veiligheid. Het computerprogramma omvat computer-codedelen welke, indien deze worden uitgevoerd door een 5 processor, zijn ingericht voor het uitvoeren van één of meerdere stappen van de werkwijze.

Korte beschrijving van de tekeningen 10 Het veiligheidsysteem, de werkwijze en het computerpro gramma volgens de onderhavige uitvinding worden verder beschreven onder verwijzing naar de bijgaande tekeningen waarin:

Fig.1 is een is een schematische weergave van een veilig- 15 heidsysteem in overeenstemming met een voorbeeld van een uitvoeringsvorm van de onderhavige uitvinding;

Fig.2 is een is een schematische weergave van een veiligheidsysteem in overeenstemming met een voorbeeld van een uitvoeringsvorm van de onderhavige uitvinding; 20 Fig.3 is een is een schematische weergave van een veilig heidsysteem in overeenstemming met een voorbeeld van een uitvoeringsvorm van de onderhavige uitvinding;

Fig.4 is een is een schematische weergave van een werkwijze in overeenstemming met een voorbeeld van een 25 uitvoeringsvorm van de onderhavige uitvinding;

Fig.5 is een schematische weergave van hoe een operationele veiligheid kan worden vastgesteld;

Fig.6 is een schematische weergave van een applicatiear-chitectuur waarin een veiligheidsysteem is opgenomen; 30 Fig.7 is een voorbeeld van een stoplicht zoals kan worden weergegeven in een webinterface in overeenstemming met een uitvoeringsvorm van de onderhavige uitvinding.

Gedetailleerde beschrijving 35 Een geschikte uitvoeringsvorm van de onderhavige uitvin ding zal nu hieronder worden beschreven onder verwijzing naar de figuren.

7

De uitvinding maakt het mogelijk om de status van componenten te vertalen naar de operationele veiligheid van een tunnelbuis.

Onder verwijzing naar de figuren 1 tot en met 3, worden 5 veiligheidsystemen getoond voor het vaststellen van een operationele veiligheid van een tunnelbuis.

Fig.1 toont een database 1, een deelsysteemanalysator 2 en een functieanalysator 3. De database 1 is verbonden met de deelsysteemanalysator 2. De database 1 en de deelsysteemanaly-10 sator 2 zijn verbonden met de functieanalysator 3. De deelsysteemanalysator 2 is voorzien van middelen 21 voor het detecteren van een componentenstatus 101 van één of meerdere componenten. De componentenstatus 101 wordt bijvoorbeeld als inputsignaal aangeboden. Deelsysteemanalysator 2 is voorzien 15 van middelen (24) voor het ontvangen van een definitie van het deelsysteem en één of meerdere weegfactoren uit de database. Deelsysteemanalysator 2 is voorzien middelen 22 voor het berekenen van de beschikbaarheidswaarde van een deelsysteem op basis van weegfactoren van beschikbare componenten. Deelsys-20 teemanalysator 2 is voorzien van middelen 23 voor het verlagen van de beschikbaarheidswaarde van het deelsysteem op basis van één of meerder componentregels. De functieanalysator 3 is voorzien van middelen 32 voor het ontvangen van een definitie van een operationele functie en één of meerdere grenswaarden 25 uit de database. Functiegenerator 3 is voorzien van middelen 31 voor het ontvangen van één of meerdere beschikbaarheids-waarden van één of meerdere deelsystemen uit de deelsysteemanalysator 2. Functiegenerator 3 is voorzien van middelen 34 voor het berekenen van de functiestatus op basis 30 van de definitie van de operationele functie, de één of meerdere beschikbaarheidswaarden van één of meerdere deelsystemen en de één of meerdere grenswaarden. Functiegenerator 3 is voorzien van middelen 33 voor het genereren van een outputsig-naal 102. Het outputsignaal omvat een indicatie van de 35 operationele veiligheid op basis van de berekende functiestatus. In dit voorbeeld omvat het outputsignaal de uitkomst van de berekende functiestatus.

8

De componentenstatus kan afkomstig zijn uit een computersysteem dat de componentenstatus bijhoudt. De componentenstatus kan ook direct van de componenten afkomstig zijn. Het is ook mogelijk dat de componentenstatus handmatig 5 wordt bij gehouden en vervolgens wordt ingevoerd in het computersysteem, bijvoorbeeld in het geval dat de status van een component wordt gecontroleerd door een controleur tijdens een visuele inspectie. Een component heeft de status Beschikbaar (B) of Niet Beschikbaar (NB). Een component behoort toe aan 10 een deelsysteem. Een component heeft een weegfactor, waarmee het relatieve belang voor het deelsysteem waartoe het hoort wordt weergegeven. Een component kan een positie hebben (volgorde) in de tunnelbuis. De componentenstatus wordt gemeld door het computersysteem, maar kan indien nodig ook handmatig inge-15 geven worden naar aanleiding van een inspectierapport. Een voorbeeld van een component is een sectieklep en een hoofd-klep. Hierbij zal de hoofdklep een hogere weegfactor hebben dan een sectieklep, vergelijkbaar met twee naastliggende sec-tiekleppen. Sectiekleppen zijn oplopend genummerd in de 20 tunnelbuis, waarmee de positie wordt vastgelegd.

Een deelsysteem bestaat uit één of meer componenten. Een deelsysteem heeft een maximum beschikbaarheidwaarde (BWmax), die wordt bepaald door de optelling van de weegfactor van alle onderliggende componenten (C): BWma, = som(C). Een deelsysteem-25 systeem heeft een beschikbaarheidwaarde (BW) die wordt bepaald door de weegfactoren van alle componenten met status B (CB)op te tellen: BW = som(CB) . Er kunnen speciale regels van toepassing zijn, waardoor het deelsysteem verder degradeert dan de individuele componenten opgeteld. In dat geval wordt de be-30 schikbaarheidwaarde verlaagd met een extra term (T). Een deelsysteem kan zijn toebedeeld aan meerdere bovenliggende operationele functies. Per operationele functie zal een weegfactor worden vastgelegd, om aan te geven wat de bijdrage van het specifieke deelsysteem aan die functie is. Een voorbeeld 35 van een deelsysteem is een sprinklersysteem. Het sprinklersysteem bestaat uit 100 sectiekleppen met weegfactor 1. Er is een speciale componentenregel die zegt dat er geen 2 aaneengesloten sectiekleppen de status NB mogen hebben. Is dat wel het 9 geval, dan volgt een extra aftrek van T=5. In onderstaand rekenvoorbeeld hebben 2 naastliggende sectiekleppen de status NB: BW = som(CB) - T = 98 - 5 = 93. Het systeem heeft dus een beschikbaarheidwaarde van 93 (of 93/100 = 93% uitgedrukt in 5 percentage).

De functiestatus is Beschikbaar (B) of Niet-Beschikbaar (NB). Een operationele functie wordt gerealiseerd door één of meer deelsystemen. Binnen een operationele functie kunnen ook overlappende deelsystemen zijn, zoals bijvoorbeeld de 10 handrail, verlichting en bebording op de vluchtweg. Voor verschillende combinaties van deelsystemen kunnen grenswaarden per deelsysteem worden vastgelegd. Door logische vergelijkingen vast te leggen, kan de functiestatus worden berekend. Een functie kan zijn toebedeeld aan meerdere bovenliggende bevei-15 ligingsklassen. Per operationele functie - beveiligingsklasse combinatie kan een veiligheidsklasse worden'gedefinieerd, om aan te geven wat de bijdrage van de specifieke operationele functie aan die beveiligingsklasse is. Bijvoorbeeld om de operationele functie "Koelen tunnels benedenwinds" te realiseren 20 dient het Sprinklersysteem voor minimaal 95% beschikbaar te zijn (zie ook het vorige voorbeeld). De Langsventilatie, met een maximum beschikbaarheid van 30, dient voor 80% aanwezig te zijn indien op netspanning wordt gewerkt. Indien op noodstroom gewerkt wordt, is een beschikbaarheid van 40% afgesproken. De 25 maximale beschikbaarheid van netspanning is 1, de maximale beschikbaarheid van noodstroom is ook 1 (aannames voor het voorbeeld):

Overlap deelsysteem Symbool be- BWmax grenswaarde schikbaarheidsw ___aarde___ __Sprinklersysteem BWsprinkler__100__95 (95%)_ 1 Langsventilatie BWvent__30__24 (80%) __netspanning__BWnet__1__1_ 2 Langsventilatie BWvent__30__12 (40%) __noodstroom__BWnood__10__10_ 30 De functiestatus (FS) is dan als volgt te berekenen: 10 FS = BWsprinkler >= 95 EN ([BWvent >= 24 EN BWnet >= 1] OF [BWvent >= 12 EN BWnood >= 1])

De uitkomst van de berekening kan worden opgeslagen in de log-5 database (6) voor later gebruik.

Fig.2 toont een uitbreiding op het veiligheidsysteem van Fig.1. Fig.2 toont bovengenoemde elementen en een beveili-gingstoestandanalysator 4, welke is verbonden met de database 10 en met de functieanalysator. De beveiligingstoestandanalysator 4 is voorzien van middelen 42 voor het ontvangen van een vei-ligheidsklassedefinitie uit de database.

Beveiligingstoestandanalysator 4 is voorzien van middelen 41 voor het ontvangen van één of meerdere functiestatussen uit de 15 functieanalysator 3. Beveiligingstoestandanalysator 4 is voorzien van middelen 44 voor het berekenen van de beveili-gingsstatus op basis van de veiligheidsklassedefinitie en de één of meerdere functiestatussen. Beveiligingstoestandanalysator 4 is voorzien van middelen 43 voor het genereren van een 20 outputsignaal 103 op basis van de berekende functiestatus. Het outputsignaal 103 omvat in dit voorbeeld de uitkomst van de berekende beveiligingsstatus. De uitkomst van de berekening kan worden opgeslagen in de log-database (6) voor later gebruik.

25 Een beveiligingsstatus heeft de status Niet Aangetast,

Aangetast, Ernstig Aangetast of Doorbroken. Een beveiligingsklasse is opgebouwd uit één of meer operationele functies. Er hoeft niet te worden gekeken naar een beschikbaarheidwaarde van een operationele functie, maar alleen of deze al dan niet 30 beschikbaar is. De beveiligingsstatus wordt bepaald op basis van het aantal uitgevallen operationele functies in de beveiligingsklasse, bijvoorbeeld door deze op te tellen. In onderstaande matrix wordt een voorbeeld van de relatie tussen beveiligingsklassen en operationele functies via de veilig-35 heidsklassedefinitie weergegeven.

11

Uitval aantal operationele _functies per beveiligingsklasse_

Veiligheids- 123 klassedefinitie____ 1 Aangetast Aangetast Ernstig aan- (som = 1) (som = 2) getast (som - 3) 2 Aangetast Ernstig aan- Doorbroken (som = 2) getast (som = 6) ___(som = 4)________ 3 Ernstig aan- Doorbroken Doorbroken getast (som = 6) (som = 9) __(som = 3)___

Door de beveiligingsstatus te berekenen voor de beveiligings-5 klassen preventie, mitigatie, zelfredzaamheid en hulpverlening, kunnen de belangrijkste aspecten rond operationele veiligheid worden afgedekt. Deze beveiligingsklassen worden gebruikt in diverse wet- en regelgeving, nationaal en internationaal. Een beveiligingsklasse wordt in internationale 10 toepassingen ook wel 'line-of-defense' genoemd.

Fig.3 toont een uitbreiding op het veiligheidsysteem van Fig.2. Fig.3 toont bovengenoemde elementen en middelen 5 voor het berekenen van een veiligheidstatus op basis van de beveiligingsstatus van één of meerdere beveiligingsklassen. De 15 beveiligingsstatus wordt ontvangen als outputsignaal 103 van de beveiligingstoestandanalysator 4. Middelen 51 zijn voorzien voor het genereren van een outputsignaal 104 op basis van de berekende functiestatus. Het outputsignaal 104 omvat in dit voorbeeld de uitkomst van de berekende veiligheidstatus. De 20 uitkomst van de berekening kan worden opgeslagen in de log-database (6) voor later gebruik.

In dit voorbeeld van een tunnelbuis voor treinverkeer krijgt de veiligheidstatus de waarde GROEN, GEEL of ROOD. Deze gekozen waarden moeten niet als limitatief worden gezien voor 25 de uitvinding. Het aantal mogelijke waarden en de mogelijke 12 waarden zelf kunnen per veiligheidsysteem worden bepaald. Zo zouden alleen de waarden groen en rood mogelijk kunnen zijn of kunnen andere kleuren worden gebruikt als waarden. Het is ook mogelijk dat de veiligheidstatus wordt uitgedrukt in waarden 5 anders dan kleuren, bijvoorbeeld als numerieke waarde, als waarde uit de verzameling {hoog, laag}, als waarde uit de verzameling {goed, matig, slecht}, als waarde uit de verzameling {veilig, onveilig}, en etcetera, De veiligheid van een tunnelbuis is opgebouwd uit de vier beveiligingsklassen. De 10 beveiligingsstatus Ernstig Aangetast bij één beveiligingsklasse heeft een statusovergang van GROEN naar GEEL tot gevolg.

Een tunnelbuis heeft een maximum tijd voor status GEEL. Deze maximum tijd kan worden vastgesteld op een willekeurige waarde, bijvoorbeeld op 168 uur. Als binnen de maximum tijd in 15 Status GEEL geen statusovergang naar GROEN plaatsvindt, vind automatisch statusovergang naar ROOD plaats. Ernstig Aangetast zijn van meer dan één beveiligingsklasse, of Doorbroken zijn van één beveiligingsklasse heeft een status ROOD tot gevolg, waarbij de timer voor status GEEL op de achtergrond doorloopt. 20 Indien in status ROOD weer 3 beveiligingsklassen beschikbaar komen vind statusovergang naar GEEL plaats, waarbij de timer niet opnieuw wordt gestart, maar doorloopt vanaf de vorige status GEEL.

Onder verwijzing naar figuur 4 wordt een werkwijze getoond 25 voor het vaststellen van een operationele veiligheid. De getoonde stappen 301-304 worden uitgevoerd in de functiegenerator 3. De getoonde stappen 401-404 worden uige-voerd in de beveiligingstoestandanalysator 4. De getoonde stappen 501-503 worden uitgevoerd in het veiligheidsysteem.

30 Fig.4 toont het ontvangen 301 van een definitie van een operationele functie en één of meerdere grenswaarden uit een database en het ontvangen 302 van één of meerdere beschikbaar-heidswaarden van één of meerdere deelsystemen uit een deelsysteemanalysator. Fig.4 toont het berekenen 303 van een 35 functiestatus op basis van de definitie van de operationele functie, de één of meerdere beschikbaarheidswaarden van één of meerdere deelsystemen en de één of meerdere grenswaarden.

Fig.4 toont het ontvangen 401 van een veiligheidsklassedefini- 13 tie uit de database en het ontvangen 402 van één of meerdere functiestatussen uit de functieanalysator. Fig.4 toont het berekenen 403 van een beveiligingsstatus op basis van de veiligheidsklassedefinitie en de één of meerdere functiesta-5 tussen. Fig.4 toont het berekenen 501 van een veiligheidstatus op basis van de beveiligingsstatus van één of meerdere beveiligingsklassen. Fig.4 toont het visualiseren 503 van het outputsignaal, bijvoorbeeld in de vorm van een stoplicht op een webinterface zoals getoond in Fig.5 in 5001 of Fig.7. Het 10 outputsignaal kan op verschillende momenten worden gegenereerd, wat is weergegeven in de stappen van het genereren 304,404,502 van een outputsignaal omvattende een indicatie van de operationele veiligheid. De uitkomsten van de berekeningen kunnen op verschillende momenten worden opgeslagen in een log-15 database. Dit is weergegeven in de stappen 305, 405 en 504.

In Fig.5 is schematisch weergegeven hoe de operationele veiligheid kan worden vastgesteld. Uitspraken over de operationele veiligheid van een tunnelbuis kunnen worden gedaan door te kijken naar functiestatussen 3001-3005 binnen vier beveili-20 gingsklassen 4001-4004 (preventie 4001, mitigatie 4002, zelfredzaamheid 4003 en hulpverlening 4004). Bij het (deels) wegvallen van een functie worden beveiligingsstatussen aangetast of doorbroken. Bij het doorbreken van één beveiligingsklasse kan een periode volgens waarin de beveili-25 gingsklasse hersteld moet worden. Indien de beveiligingsklasse binnen die periode niet hersteld wordt, dan krijgt de veiligheidstatus van de operationele veiligheid de laagste waarde, bijvoorbeeld 'rood'. Ook bij het doorbreken van twee of meer beveiligingsklassen kan de veiligheidstatus de laagste waarde 30 krijgen. De beveiligingsstatus volgt uit een keten waarin de status van deelsystemen 2011,2012 en componenten 2001-2004 via de functies 3001-3005 propageert naar de beveiligingsklassen 4001-4004. Stoplicht 5001 geeft in de kleur rood, geel of groen aan wat de veiligheidstatus van de operationele veilig-35 heid is.

Fig.6 toont een voorbeeld van een applicatiearchitectuur waarin een veiligheidsysteem volgens de uitvinding is opgenomen. De computersystemen waarin de componentenstatus wordt 14 bijgehouden kunnen extern zijn en zijn gekoppeld met de DATA APPLICATION SERVER via een netwerk, bijvoorbeeld een ATM of IP netwerk. Deze computersystemen leveren benodigde data aangaande de status van componenten aan. De gegevens uit de 5 componentenstatussystemen worden opgehaald uit de SQL database "DataLog" die bij iedere tunnel aanwezig is. Voor het automatisch ophalen en centraliseren van deze gegevens wordt bijvoorbeeld SQL Server Integration Services (SSIS) gebruikt. De database 1 van het veiligheidsysteem bevat de gegevens voor 10 het vaststellen van de operationele veiligheid en is bijvoorbeeld uitgevoerd als een SQL Server 2005 database. Op deze SQL Server draait tevens de SSIS. De Server bevat een computerprogramma voor het vaststellen van de operationele veiligheid.

Via de website is een webinterface beschikbaar die per tunnel 15 een pagina met de indicator in de vorm van een stoplicht laat zien. De website is benaderbaar via browser terminals. Voor eenvoudig zichtbaar maken van het stoplicht per tunnel kan gebruik gemaakt worden van een terminal per tunnel die via de ingebouwde webbrowser automatisch de juiste pagina toont, wel-20 ke periodiek wordt ververst. De server kan worden beheerd via een beheerwebsite door gebruik te maken van webbrowsers. De beheerapplicatie kan hierdoor benaderd worden met een browser vanaf iedere werkplek die toegang heeft tot de Webserver.

Fig.7 toont een geavanceerd stoplicht zoals kan worden 25 weergegeven in een webinterface. Bij voorkeur zal per tunnel een webpagina beschikbaar zijn. De pagina geeft de tunnelnaam (in het voorbeeld is dit ZEVENAAR) en per buis het stoplicht en de naam van de buis (in het voorbeeld zijn dit NOORD en ZUID). Het stoplicht toont de drie status kleuren Groen, Geel 30 en Rood, waarbij de actuele status helder van kleur is. Daarbij kan een groene urenteller worden getoond (niet zichtbaar in Fig.7) die de tijd in status Groen aangeeft indien deze status actueel is. Een gele aflopende timer in status Geel kan worden getoond (niet zichtbaar in Fig.7), die de uren, minuten 35 en seconden aangeeft die nog resteren voordat naar status Rood wordt overgegaan, indien status Geel actueel is. Het is mogelijk een onderbouwing van het tot stand komen van de veiligheidstatus op ieder niveau in de keten in te zien. De 15 veiligheidstatus van een tunnel met onderliggende hiërarchie wordt getoond als een boomstructuur, zoals weergegeven in Fig.7. Per tunnelbuis wordt de veiligheidstatus weergegeven en worden vier "lampjes" getoond, waarmee per beveiligingsklasse 5 wordt aangegeven of deze beschikbaar of doorbroken is. In de boomstructuur kan vervolgens per beveiligingsklasse worden ingezoomd naar de onderliggende operationele functies. Per operationele functie wordt aangegeven wat de status door kleurindicatie. Per operationele functie kan verder worden in-10 gezoomd naar de onderliggende deelsystemen, waarbij met een analoge indicator de status wordt aangegeven door het tonen van de beschikbaarheidswaarde van het deelsysteem (in de vorm van grijze vierkantjes), de grenswaarde (in de vorm van een verticaal streepje in de blak met vierkantjes) en de maximale 15 beschikbaarheidswaarde (in de vorm van grijze en witte vierkantjes tesamen). In Fig.7 werkt de tunnelbuis onder noodstroom, in dat geval zal de grenswaarde voor het systeem langsventilatie de bijbehorende waarde voor werking onder noodstroom tonen. Per deelsysteem kan de lijst met componenten 20 met bijbehorende componentenstatus en weegfactor worden weergegeven .

Alhoewel de onderhavige uitvinding hierboven uiteen is gezet met betrekking tot bepaalde uitvoeringsvormen daarvan, moeten worden begrepen dat de uitvinding niet bedoeld is hier-25 toe beperkt te worden. De uitvinding omvat alle mogelijke uitvoeringsvormen die binnen de omvang kunnen worden gemaakt met betrekking tot de maatregelen die in het bijzonder naar voren zijn gebracht in de bij gevoegde conclusies en alle equivalenten daarvan.

30

Claims

1. Veiligheidsysteem voor het vaststellen van een operationele veiligheid, omvattende: een database (1) omvattende definities voor één of meerdere deelsystemen, weegfactoren van componenten, defini-5 ties voor één of meerdere operationele functies en grenswaarden van deelsystemen, waarbij een operationele functie wordt gevormd door één of meerdere deelsystemen; een deelsysteemanalysator (2) voor het vaststellen van een beschikbaarheidswaarde van een deelsysteem; en 10 een functieanalysator (3) voor het vaststellen van een functiestatus, waarbij de functieanalysator (3) is verbonden met de deelsysteemanalysator (2) en met de database (1), waarbij de deelsysteemanalysator (2) is voorzien van: middelen (24) voor het ontvangen van een definitie 15 van het deelsysteem en één of meerdere weegfactoren uit de database; middelen (21) voor het detecteren van een compo-nentenstatus (101) van één of meerdere componenten van het deelsysteem voor het bepalen van een beschikbaarheidswaarde 20 van de componenten; en middelen (22) voor het berekenen van de beschikbaarheidswaarde van het deelsysteem op basis van weegfactoren van beschikbare componenten, en waarbij de functieanalysator (3) is voorzien van: 25 middelen (32) voor het ontvangen van een definitie van een operationele functie en één of meerdere grenswaarden uit de database; middelen (31) voor het ontvangen van één of meerdere beschikbaarheidswaarden van één of meerdere deelsystemen 30 uit de deelsysteemanalysator (2); en middelen (34) voor het berekenen van de functiestatus op basis van de definitie van de operationele functie, de één of meerdere beschikbaarheidswaarden van één of meerdere deelsystemen en de één of meerdere grenswaarden; en 35 middelen (33,43,51) voor het genereren van een outputsignaal (102,103,104) omvattende een indicatie van de operationele veiligheid op basis van de berekende functiesta-tus.

2. Veiligheidsysteem volgens conclusie 1, waarbij de deelsysteemanalysator (2) is voorzien van middelen (23) voor 5 het verlagen van de beschikbaarheidswaarde van het deelsysteem op basis van één of meerdere componentregels.

3. Veiligheidsysteem volgens een van de conclusies 1-2, het veiligheidsysteem tevens omvattende een beveiligings-toestandanalysator (4) voor het vaststellen van een 10 beveiligingsstatus van een beveiligingsklasse, de beveili-gingstoestandanalysator (4) zijnde verbonden met de functieanalysator (3) en met de database (1), waarbij de database (1) tevens omvat één of meerdere veiligheidsklassedefinities, en waarbij de beveiligingstoe-15 standanalysator (4) is voorzien van: middelen (42) voor het ontvangen van een veilig-heidsklassedefinitie uit de database (1); middelen (41) voor het ontvangen van één of meerdere functiestatussen uit de functieanalysator (3); en 20 middelen (44) voor het berekenen van de beveili gingsstatus op basis van de veiligheidsklassedefinitie en de één of meerdere functiestatussen.

4. Veiligheidsysteem volgens conclusie 3, waarbij de beveiligingsstatus een van de volgende waarden krijgt: niet 25 aangetast; aangetast; ernstig aangetast; doorbroken.

5. Veiligheidsysteem volgens een van de conclusies 3- 4, waarbij de beveiligingsstatus wordt berekend voor ten minste een van de volgende beveiligingsklassen: preventie; mitigatie; zelfredzaamheid; hulpverlening.

6. Veiligheidsysteem volgens een van de conclusies 3- 5, waarbij het veiligheidsysteem is voorzien van: middelen (5) voor het berekenen van een veilig-heidstatus op basis van de beveiligingsstatus (102a) van één of meerdere beveiligingsklassen.

7. Veiligheidsysteem volgens conclusie 6, waarbij de veiligheidstatus een van waarden groen, geel of rood krijgt, en het veiligheidsysteem is voorzien van een webinterface voor het visualiseren van het outputsignaal (102,103,104) in de vorm van een stoplicht op de webinterface.

8. Veiligheidsysteem volgens conclusie 7, waarbij de waarde van de veiligheidstatus onderhevig is aan één of meer- 5 dere van de volgende rekenregels: als één beveiligingsstatus de waarde ernstig aangetast krijgt en de waarde van de veiligheidstatus was groen, dan krijgt de veiligheidstatus de waarde geel; als de waarde van de veiligheidstatus de waarde 10 geel krijgt, dan start er een timer, welke wordt bijgehouden door een klok omvat door het veiligheidsysteem; als de waarde van de veiligheidstatus geel was en de veiligheidstatus krijgt geen waarde groen binnen een gedefinieerd tijdsinterval, dan krijgt de veiligheidstatus de 15 waarde rood; als meer dan één beveiligingsstatus de waarde ernstig aangetast krijgt, dan krijgt de veiligheidstatus de waarde rood; als de waarde van de veiligheidstatus rood was en 20 ten minste drie beveiligingsstatussen de waarde beschikbaar krijgen, dan krijgt de veiligheidstatus de waarde geel, waarbij de timer doorloopt vanaf de vorige keer dat de veiligheidstatus de waarde geel kreeg.

9. Veiligheidsysteem volgens een van de voorafgaande 25 conclusies, waarbij het veiligheidsysteem is voorzien van een log-database (6) voor het opslaan van de indicatie van de operationele veiligheid op basis van de berekende functiestatus.

10. Veiligheidsysteem volgens een van de voorafgaande conclusies, waarbij de operationele veiligheid betreft een 30 operationele veiligheid van een infrastructuur object, bijvoorbeeld een tunnelbuis voor treinverkeer.

11. Werkwijze voor het vaststellen van een operationele veiligheid, omvattende de stappen van: het ontvangen (301) in een functieanalysator van 35 een definitie van een operationele functie en één of meerdere grenswaarden uit een database; het ontvangen (302) in de functieanalysator van één of meerdere beschikbaarheidswaarden van één of meerdere deelsystemen uit een deelsysteemanalysator; het berekenen (303) in de functieanalysator- van een functiestatus op basis van de definitie van de operationele functie, de één of meerdere beschikbaarheidswaarden van één 5 of meerdere deelsystemen en de één of meerdere grenswaarden; en het genereren (304,404,502) van een outputsignaal omvattende een indicatie van de operationele veiligheid op basis van de berekende functiestatus.

12. Werkwijze volgens conclusie 11, waarbij de werk wijze tevens omvat de stappen van: het ontvangen (401) in een beveiligingstoestand-analysator van een veiligheidsklassedefinitie uit de database; het ontvangen (402) in de beveiligingstoestandana-15 lysator van één of meerdere functiestatussen uit de functieanalysator; en het berekenen (403) in de beveiligingstoestandana-lysator van een beveiligingsstatus op basis van de veiligheidsklassedefinitie en de één of meerdere functiesta-20 tussen.

13. Werkwijze volgens conclusie 12, waarbij de werkwijze tevens omvat de stap van: het berekenen (501) van een veiligheidstatus op basis van de beveiligingsstatus van één of meerdere beveili-25 gingsklassen.

14. Werkwijze volgens conclusie 13, waarbij de beveiligingsstatus een van de volgende waarden krijgt: niet aangetast; aangetast; ernstig aangetast; doorbroken; 30 de beveiligingsstatus wordt berekend voor ten min ste een van de volgende beveiligingsklassen: preventie; mitigatie; zelfredzaamheid; hulpverlening; en de veiligheidstatus een van waarden groen, geel of rood krijgt, 35 en de werkwijze tevens omvat de stap van het visualiseren (503) van het outputsignaal in de vorm van een stoplicht op een webinterface.

15. Werkwijze volgens een van de conclusies 13-14, waarbij de waarde van de veiligheidstatus onderhevig is aan één of meerdere van de volgende rekenregels: als één beveiligingsstatus de waarde ernstig aan-5 getast krijgt en de waarde van de veiligheidstatus was groen, dan krijgt de veiligheidstatus de waarde geel; als de waarde van de veiligheidstatus de waarde geel krijgt, dan start er een timer, welke wordt bijgehouden door een klok omvat door het veiligheidsysteem; 10 als de waarde van de veiligheidstatus geel was en de veiligheidstatus krijgt geen waarde groen binnen een gedefinieerd tijdsinterval, dan krijgt de veiligheidstatus de waarde rood; als meer dan één beveiligingsstatus de waarde ern-15 stig aangetast krijgt, dan krijgt de veiligheidstatus de waarde rood; als de waarde van de veiligheidstatus rood was en ten minste drie beveiligingsstatussen de waarde beschikbaar krijgen, dan krijgt de veiligheidstatus de waarde geel, waar-20 bij de timer doorloopt vanaf de vorige keer dat de veiligheidstatus de waarde geel kreeg.

16. Werkwijze volgens een van de conclusies 11-15, waarbij de werkwijze tevens omvat.de stap van: het opslaan in een log-database van de indicatie 25 van de operationele veiligheid op basis van de berekende func-tiestatus.

17. Werkwijze volgens een van de conclusies 11-16, waarbij de operationele veiligheid betreft een operationele veiligheid van een infrastructuur object, bijvoorbeeld een 30 tunnelbuis voor treinverkeer.

18. Computerprogramma voor het vaststellen van een operationele veiligheid omvattende computercodedelen welke, indien deze worden uitgevoerd door een processor, zijn ingericht voor het uitvoeren van de stappen van de werkwijze 35 volgens een van de conclusies 11-17.