Aanpassing maatregelen

[Koen Biermans]

We willen een wijziging doorvoeren in de manier waarop in planop de
maatregelen worden gedocumenteerd.

Het probleem met de huidige werkwijze is dat het maatregelobject twee
inhoudelijk verschillende functies invult.

Enerzijds worden maatregelen gebruikt in de risico-analyse als een
manier om een ongevalsscenario te onderbreken. Het betreft hier een
'veiligheidsfunctie' in de betekenis zoals die ook in IEC 61508
gebruikt wordt, namelijk hoe wordt een afwijkende toestand
gedetecteerd, hoe wordt beslist over een actie en hoe wordt de
afwikkeling van de ongewenste gebeurtenissenketen onderbroken.

Anderzijds worden maatregelen in planop gebruikt als oplijsting van de
'fysieke' elementen op het terrein die aanwezig zijn om de risico's te
beheersen. Met die oplijsting kan je de elementen van je VBS
aansturen: wat moet worden geinspecteerd, getest, opleiding over
gegeven enzovoorts.

In vele gevallen ligt de fysieke vorm en de functionaliteit erg dicht
bij elkaar en is deze koppeling evident. Dit is vaak zo bij
mechanische beveiligingen, die meestal maar één functie hebben. In
andere gevallen is dat helemaal niet zo. Elektronische kringen kunnen
verschillend reageren op verschillende situaties, vandaar ook het
onderscheid in IEC 61508 tussen het systeem (SIS) en de functie (SIF).
Ook bij procedurele maatregelen is er vaak een onderscheid: de functie
is wat de operator in welke situatie moet doen, de fysieke vorm is
bijvoorbeeld de procedure, maar in die ene procedure kan veel meer
beschreven staan.

Het is dit onderscheid dat aanleiding heeft gegeven m.i. tot de
invoering van het systeem van 'hergebruik van maatregelen' in planop.

Het resultaat is echter dat de naamgeving van maatregelen in planop
soms complex wordt of onvolledig wordt. Je kan bijvoorbeeld procedure
X in 6 scenario's invoegen, maar telkens is er net een iets ander
element belangrijk. In de oorzakenboom kan je wel invoeren 'procedure
X', maar dat is helemaal niet nauwkeurig genoeg en andersom, als je
later wil controleren of procedure X volledig is en wil kijken wat je
bij een training aan bod moet laten komen, moet je toch nog terug gaan
uitzoeken in welke scenarios dit aan bod komt en wat dat dan wil
zeggen.

Vandaar het voorstel om de manier van documenteren aan te passen.

We zouden een onderscheid willen maken tussen een beveiligingsfunctie
en een maatregel (= de implementatie). De beveiligingsfunctie zou de
vorm aannemen van een fiche met één benamingstekstveld (wat je in de
oorzakenboom te zien krijgt), aangevuld met een omschrijvingsveld.
Deze beveiligingsfuncties zijn NIET herbruikbaar tussen scenarios.
Anderzijds maken we een maatregelfiche, waar we de elementen behouden
die nu ook al in de maatregelfiche zitten, namelijk de aandachtspunten
en waar relevant de betrouwbaarheidscijfers.
Je kan dan aan een beveiligingsfunctie als implementatie een maatregel
koppelen, waarbij je een bestaande kan selecteren of een nieuwe
aanmaken.

Het voordeel is dat je elk element veel beter zal kunnen benoemen in
functie van waarvoor het dient.

We willen ook toelaten om nog géén implementatie te koppelen. Dit laat
toe om de chronologie bij de invoering van maatregelen die er nog niet
zijn te respecteren: er is een extra beveiliging nodig, je bepaalt
welke functionaliteit die moet hebben (= de beveiligingsfunctie), maar
de exacte implementatie komt waarschijnlijk pas later.

Ook voor de suggestielijst is dit een voordeel: voor een heleboel
beveiligingsfuncties zal er nog geen implementatie gekoppeld zijn: de
suggestie ivm wat er kan gebeuren is er wel, hoe je dit realiseert is
dan aan de gebruiker.

Eigenlijk verandert er softwarematig dus niet zo heel veel (een
tussenliggend extra beveiligingsfunctie object), maar we hopen dat dit
inhoudelijk toch een stuk duidelijker zal worden, zowel voor de
oorzakenbomen als voor de maatregellijsten. Het lost ook een user
interface probleempje op ivm het selecteren van bestaande maatregelen.

Ik ga proberen dit in de loop van volgende week aan te passen, maar
als er al concrete bedenkingen, suggesties enz. hierbij zijn, vuur
maar af.

mvg,

Koen

[Caro Liekens]

Koen,

Gaat het ook mogelijk zijn om meerdere maatregelen te koppelen aan de
beveiligingsfuncties? Zo kan procedure X, Y, Z van toepassing zijn
voor beveiligingsfunctie A en B. Procedure Y, Z voor
beveiligingsfunctie C en procedure X en Y voor beveiligingsfunctie D.
En als er meerdere maatregelen gekoppeld worden aan een
beveiligingsfunctie, welke betrouwbaarheid gaat er dan gekozen worden?
Hoe gaan we werken met afhankelijkheden? Moeten deze worden ingegeven
op het niveau van de maatregel? Of op het niveau van de
beveiligingsfunctie?

Misschien is het hergebruiken van aandachtspunten ook een oplossing
voor dit probleem. Als men een aandachtspunt toevoegd aan een
maatregel kan men de keuze maken tussen: bestaand aandachtspunt, copy
van bestaand aandachtspunt of nieuw aandachtspunt. Net zoals bij het
toevoegen van een nieuwe maatregel. Dan hoeft men een procedure
slechts eemaal in te geven. Bovendien lijkt het mij dan mogelijk om
een aandachtspunt te selecteren in een lijst en na te gaan in welke
maatregelen en/of scenario's het aandachtspunt voorkomt. Net zoals men
kan nagaan in welke scenario's een bepaalde maatregel voorkomt.
Bovendien geeft dit het bijkomd voordeel dat aanpassingen aan
aandachtspunten overal worden doorgevoerd. Bijvoorbeeld procedure
vervangen van breekplaten. Deze procedure staat als aandachtspunt bij
verschillende maatregels. Stel dat ik de trainingsfrequentie van de
procedure wil aanpassen, dan moet ik nu misschien 20 verschillende
aandachtspunten openklikken. Bij het hergebruik van aandachtspunten
moet ik slechts eenmaal de aanpassing doorvoeren.
Ook de overzichtelijkheid van de list met aandachtsputnen gaat
verbeteren. Stel dat ik een overzicht wil van alle aandachtspunten van
het type procedure op installatie X. Dan krijg ik nu een lijst van
procedures waarin een aantal meerdere keren voorkomen. Zo is het
risico reeël dat er bepaalde procedure niet opgemerkt wordt. Bij het
hergebruik van aandachtspunten zullen alle items slechts één keer
voorkomen in de lijst waardoor deze een beter overzicht geeft.

[Koen Biermans]

Ik heb net v012 op de demo site geplaatst.

Naast wat kleine verbeteringetjes, is het belangrijkste de splitsing
van de maatregelen in twee aparte objecten zoals aangekondigd.

In de oorzakenboom kan je een "protection layer" invoeren, wat
eigenlijk de beveiligingsfunctie is. Aan zo een protection layer kan
je als implementatie één of meerdere items koppelen (voorlopig
"measure" genoemd, de definitieve terminologie voor deze nieuwe items
moet nog worden bepaald). Voordeel is dat je verschillende componenten
van een beveiligingsfunctie dus als aparte items kan invoeren, wat
naar opvolging zeker voordelen biedt.

De protection layers kan je niet hergebruiken, maar de "measures" kan
je wel invoeren voor meerdere protection layers. Vandaar dat je bij de
Add functie ofwel bovenaan nieuwe maatregelinformatie kan invoeren
ofwel onderaan een bestaande maatregel kan selecteren om deze te
"linken". De bestaande maatregelen worden daar gegroepeerd weergegeven
per maatregeltype.

De informatie ivm betrouwbaarheden voor LOPA (FF, PFD etc), is
gebleven op het niveau van de protection layer. Daar gaat nog wat aan
veranderen als de oorzakenbomen aangepast worden, maar dat leg ik dan
uit.

Over het voorstel ivm herbruikbare aandachtspunten zijn we nog aan het
nadenken, daar kom ik later nog op terug.

Ik neem nu een weekje verlof,

mvg,

Koen