Ukendt

  • Ing.dk er under ombygning - vi er tilbage mandag med nyt udseende. Henover weekenden er alt vores indhold åbent, men man kan ikke logge ind og debattere.

Fjernstyret bro gik op uden grund: Styresystem var ikke sikret mod fejl

PLUS.
Kronprins Frederiks Bro ved Frederikssund begyndte pludselig at åbne sig, mens der var trafikanter på broen. Siden 2020 er klapbroen blevet fjernbetjent fra en vagtcentral i Aalborg. Illustration: Nils Jepsen/Wikimedia Commons

Det burde ikke kunne ske. Ikke desto mindre skete det alligevel.

Et tryk på en forkerte knap på et forkert tidspunkt udløste en pludselig og utilsigtet åbning af den fjernstyrede Kronprins Frederiks Bro ved Frederikssund, mens trafikanter var på vej over broen.

Det er konklusionen i to rapporter, der går bag om hændelsen i august, som kostede en smadret forskærm på en bil og en ødelagt trailer.

»Selvom den vagthavende brovagt ikke husker at have betjent broens bomme og klap (...), har undersøgelsen ikke kunnet kommet til anden konklusion, end at XX er kommet til at betjene broen, så det resulterer i hændelsen,« står der i den ene af de to rapporter, som Ingeniøren har fået aktindsigt i.

Ifølge rapporterne har Vejdirektoratet imidlertid fortalt alle brovagter, der fjernbetjener automatiserede klapbroer, at de ikke kan skabe farlige eller utilsigtede situationer.

Det er så sket på Kronprins Frederiks Bro.

Vejdirektoratets konstituerede afdelingsleder for bygværker, Lene Højris Jensen, fortæller, at det er en forudsætning for alle brovagters tryghed, at systemet ikke kan skabe farlige situationer, når det fjernbetjenes.

»Det er vigtigt at sige, at vi har hele tiden lært vores brovagter, at de ikke kan lave en fejl. Det kunne de så alligevel, fordi der var den her fejl i systemet,« siger hun.

Det skete der

Brovagten, der var på arbejde, erindrer ikke, at have fjernbetjent klapbroen manuelt fra vagtcentralen i Aalborg.

Men Survey Association, som har gennemgået hændelsesforløbet på Kronprins Frederiks Bro, har ikke kunne genskabe broåbningen uden brovagtens medvirken.

Hændelsen hænger sammen med broens styresystem af henholdsvis bom- og klapanlæg.

Det viser sig nemlig, at der har været et ‘vindue’ på få sekunder, hvor både broklappen og bommen, der skal holde trafikanter tilbage, blev åbnet næsten samtidig.

Det viser aktivitetsloggen for bom- og klapanlægget.

Selvom handlingen ‘broklap op’ var aktiveret, kunne ‘bom op’ også aktives, fordi systemet ved en fejl har opfattet broen som lukket.

I automatisk tilstand er der kun tre mulige aktiveringer for bomme og klapper: ‘Op’, ‘stop’ eller ‘ned.’

Men i manuel tilstand kan brovagten aktivere hver handling under broåbningen.

På ulykkesdagen var der valgt automatisk tilstand, men der var stadig mulighed for at åbne bomanlægget, hvis et udrykningskøretøj skulle forbi eller åbne klapanlægget, hvis et skib havde svært ved at nå igennem i tide.

Kronprins Frederiks Bro er blevet automatiseret, så et styresystem kan aktivere henholdsvis et bom- og broanlæg ved hjælp af to touchscreens. Det giver muligheden for, at brovagten kan fjernbetjene broen og følge med i omgivelserne via monitorer:

Illustration: Vejdirektoratet/Survey Association

Lene Højris Jensen mener, at de omfangsrige test af styresystemet ikke kunne have forudset en sådan handling, hvor to aktiveringer sker inden for et meget kort tidsrum.

»Så kan du godt kalde det en menneskelig fejl, men det er en programmeringsfejl, der har gjort det muligt at lave en menneskelig fejl,« siger hun.

Løsning er flere rutiner

Hændelsesrapporten konkluderer, at styresystemet ikke er i stand til at udføre aktivering af ‘broklap op’ og ‘bom op’, når systemet kører i automatisk tilstand.

Derfor er konklusionen, at den vagthavende brovagt må have foretaget en fejlbetjening af broåbningen på dagen.

Aflåsningen af broklappen giver en høj og karakteristisk lyd, som ikke ville være gået upåagtet hen, hvis brovagten havde været på broen.

En kollega til den pågældende brovagt påpeger i et interview, der er refereret i den ene rapport, at havde brovagten fysisk haft vagten i brotårnet på Kronprins Frederiks Bro, så ville hændelsen være blevet opdaget, inden broen blev åbnet på grund af larmen.

Lene Højris Jensen er ikke enig.

»Jeg er uenig i, at det ikke ville kunne ske, hvis man sad ude på broen, men det er vores brovagts opfattelse. Vi har en anden herinde,« siger hun.

Efter fejlen på Kronprins Frederiks Bro er der sat en aflåsning ind i styresystemet, så bommene ikke kan aktiveres, efter en aktivering af 'broklap op.' Desuden kan klapperne ikke aktiveres, før bommene er nede.

Det gælder også på tre klapbroer i Nordjylland, som har et system magen til Kronprins Frederiks Bro.

Nu kan brovagten kun fjernbetjene systemet i automatisk tilstand, men stadig med muligheden for et 'kontrolleret stop', så bomme og klap kan komme op, hvis en bil eller et skib ikke nåede med.

Kun når brovagten er fysisk til stede på broen, er det muligt at styre broen manuelt.

Efter rapporternes konklusion skal alle brovagter desuden lave mindst en broåbning på hver vagt, så de opretholder en rutine i betjeningen af systemet.

sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først

Så der var lavet et program hvor det var mugligt at skabe farlige situationer. tsk tsk tsk Der findes flere firmaer der kan evaluere maskinsikkerhed.

  • 13
  • 0

hvis en brovagt havde forårsaget dette på stedet?

Det samme bør naturligvis ske for den, der har besluttet fjernbetjeningen.

  • 0
  • 0

Når en sådan styring skal kravspecificeres, skal alle nødvendige krav til sikkerhed og spærringer medtages, så det ved afslutningen af projektet er muligt direkte at efterprøve, at kravene er opfyldt. Kravene skal være detaljerede nok til at undgå, at en leverandør, som ikke lige er topspecialist på det hele, overser en risiko. Kravspecifikationen skal også tage stilling til pludseligt opståede fejl i styringen, f eks spændingsudfald, HW-fejl eller elektriske forstyrrelser (EMC) og til ulogisk betjening. Det er ikke nok at kræve, at "styringen skal være sikker". Opfyldelsen af et sådant formuleret krav er ikke direkte målbart. Sikkerhed er til dels et spørgsmål om fantasi til at forestille sig, hvad der kan gå galt (risikoanalyse).

Det er kunden ansvar at stille alle nødvendige krav og at kontrollere, at de er opfyldt. Er kravspecifikationen kontrolleret af en uafhængig og kyndig person? Har testspecifikationen prøvet at fange de reaktioner, som ikke må ske?

Forløbet er ikke betryggende. Så kompliceret er en brostyring heller ikke.

  • 17
  • 0

Vejdirektoratet skal bede leverandøren om at læse standarden DS/EN/IEC 61508 og implementere kravene til functional safety, så er chancerne for den slags fejl meget meget mindre. Standarden rekvireres hos Dansk Standard.

  • 7
  • 0

Lene Højris Jensen mener, at de omfangsrige test af styresystemet ikke kunne have forudset en sådan handling, hvor to aktiveringer sker inden for et meget kort tidsrum.

Det er helt vildt utroligt at mene det. Har de ikke et sekvensdiagram, tilstandsmaskine eller noget lignende der beskriver funktionalitet ????

Helt helt enig med #5

Nu kan man ikke så meget her, men det er set før ( I Blues Brother filmen) ...

https://townsquare.media/site/174/files/20...

  • 19
  • 0

Lene Højris Jensen mener, at de omfangsrige test af styresystemet ikke kunne have forudset en sådan handling, hvor to aktiveringer sker inden for et meget kort tidsrum.

Hvis man tror, at man kan teste sig ud af sikkerhed, tager man fejl. Selv i en simpel brostyring kan man ikke teste alle muligheder, og i større anlæg er der så mange millioner kombinationsmuligheder, at det er aldeles urealistisk. Derfor må man dele systemet op i små blokke, hvor man så ved skrivebordet forvisser sig om, at alle aflåsninger til den blok er OK. Derefter går man videre til næste blok. På den måde har jeg lavet styresystemer til fabrikker med op til 400 automatisk styrede enheder og sat dem i drift på kort tid uden forudgående afprøvning og kravspecifikation. Det er også det princip, der ligger bag min gamle kommentar angående aflåsningerne: https://ing.dk/artikel/vejdirektoratet-sto... .

Derfor er konklusionen, at den vagthavende brovagt må have foretaget en fejlbetjening af broåbningen på dagen.

Ja, selvfølgelig tørrer man den af på brovagten; men det er i mine øjne en helt klar programmeringsfejl! Bortset fra nødstop og evt. nødstart må det aldrig være muligt for betjeningspersonalet at skabe en farlig situation, uanset hvordan anlægget betjenes. Det er nok én af de aller vigtigste årsager til at automatisere.

Efter fejlen på Kronprins Frederiks Bro er der sat en aflåsning ind i styresystemet, så bommene ikke kan aktiveres, efter en aktivering af 'broklap op.'

Aktiveringssignalerne ('broklap op') må da ikke have noget som helst med den primære sikkerhed at gøre, men bør selvfølgelig bruges som yderligere sikkerhed, så den fremhævede aflåsning burde i stedet erstattes af næstsidste kriterie i mit tidligere svar kombineret med 4. kriterie:

  • Bommene kan få tilladelse til at gå op igen, før klappen kvitterer for at være helt nede og evt. låst i den position.
  • Klappen kan køre op, hvis bommene ikke kvitterer for at være helt nede og have lukkesignal, og alarmklokkerne og lamperne kvitterer for at være aktiveret.

Bemærk, at aktiveringssignalet for bommene (lukkesignal) her ikke er den primære sikkerhed, som er, at bommene kvitterer for at være helt nede, men bruges til at forøge sikkerheden yderligere. Giver man åbnesignal til bommene, må de ikke længere betragtes som lukkede, uanset om de kvitterer for det.

På den måde kan man sætte lige så meget aktiveringssignal på bommene og/eller broklappen, som man vil. Broklappen går ikke op, før bommene og lysene har standset trafikken, og bommene går ikke op igen. før det er forsvarligt, dvs. klappen kvitterer for at være helt nede og evt. låst. Så snart bommene løftes det mindste og/eller får åbnesignal, er broklappen blokkeret - uanset aktiveringssignal.

I nogle af de styringer, jeg har lavet, kan hver enkelt enhed individuelt sættes i 3 betjeningsniveauer - fuldautomatisk med alle aflåsninger indkoblet, halvautomatisk, hvor ordren afgives manuelt; men alle aflåsninger stadig er indkoblet, og nødbetjening uden aflåsninger (nødstop og nødstart). Her må de to første niveauer naturligvis ikke muliggøre farlige fejl, og det sikres kun vha. aflåsningerne, da ordren jo kan afgives manuelt.

  • 8
  • 0

Vejdirektoratet skal bede leverandøren om at læse standarden DS/EN/IEC 61508 og implementere kravene til functional safety, så er chancerne for den slags fejl meget meget mindre.

Tja. I princippet bør broen leve op til IEC 61508 SIL 3 (død af 1-3 personer); men hvordan skal sikkerheden beregnes, og er der tale om kontinuert drift eller kun "failure on demand"? Er der desuden tale om software, hvor kravene er 10 gange højere end for en hardwareløsning?

I mine øjne bør al hardware naturligvis leve op til standarden, og det er også overkommeligt at garantere ved f.eks. at bruge sikkerhedsgodkendte PLC'er, aktuatorer, sensorer og kommunikation; men det er pokkers svært at gardere sig mod programmører uden erfaring og/eller logisk sans, som denne styring er et eksempel på.

Nogle fremhæver kravspecifikationer og test som vejen frem; men jeg tror ikke på den. Der er talrige fejl i styringen til F-35 jagerflyet på trods af formodentlig læssevis af den slags, og det samme gælder de fleste af statens IT-projekter. Det handler nok mere om en fornuftig programmeringsstruktur, hvor anlægget deles ned i så små blokke, at man har en chance for at overskue dem - gerne sammen med andre, og så handler det om at simplificere. Størsteparten af moderne IT-standarder er så sindsygt og unødigt komplicerede, at ingen kan overskue dem - bortset fra hackerne, og desværre ser dagens "digitalt indfødte" ikke andre muligheder. Hvad i alverden vil man f.eks med WiFi til styring af S-tog og to forskellige signalstandarder til styring af S-tog og fjerntog?

  • 2
  • 0

Med hændelsen på Storebælt, hvor en bilist blev ledt gennem det bevægelige autoværn så vedkommende blev spøgelsesbilist og hændelsen med broklap, så er der behov for at Vejdirektoratet underlægges en ekstern godkendelsemyndighed, så alle disse nye halv og helautomatiske systemer til vejtrafikken skal godkendes af en uafhængig myndighed mht sikkerhed. Dette har i over 20 år været praktiseret på jernbanen, hvor der er stringente krav til eftervisning af sikkerhed inden anlæg sættes i drift eller ændres. Se også #5 ovenfor mht tilgang til grundlaget for en sådan eftervisning.

  • 16
  • 0
Bidrag med din viden – log ind og deltag i debatten