Vorlesung - Prozessleittechnik 2 (PLT 2)

Transkript

1 Fakultät Elektro- & Informationstechnik, Institut für Automatisierungstechnik, Professur für Prozessleittechnik Vorlesung - Prozessleittechnik 2 (PLT 2) Sicherheit und Zuverlässigkeit von Prozessanlagen - Sicherheitslebenszyklus Teil 2: Entwurf und Planung des Safety Instrumented System (SIS) - Fortsetzung A. Krause, L. Urbas Dresden,

2 Sicherheitslebenszyklus nach DIN EN [1] Teil 2: Entwurf und Planung des Safety Instrumented System (SIS) Sicherheitslebenszyklus Entwurf Folie 2 von 36

3 MARKOV-MODELLE Sicherheitslebenszyklus Entwurf Folie 3 von 36

4 Analyseziel festlegen [2] Folgende Maßgrößen könnten z. B. gesucht sein Wahrscheinlichkeit, dass das System vor der Zeit t ausfallen wird die Häufigkeit gefährlicher Ereignisse die mittlere Dauer, bis der erste Systemausfall eintritt die stationäre Verfügbarkeit die Wahrscheinlichkeit, dass das System ausfallen wird, wenn seine Funktion angefordert wird Sicherheitslebenszyklus Entwurf Folie 4 von 36

5 Berechnungen [2] Verfügbarkeit momentane Verfügbarkeit A(t) asymptotische/stationäre Verfügbarkeit A=A( ) Nichtverfügbarkeit momentane Nichtverfügbarkeit U(t)=1-A(t) momentane sicherheitstechnische Nichtverfügbarkeit (t)=u(t) Überlebenswahrscheinlichkeit R(t) MTTF Mean Time To Failure avg average Probability of Failure on Demand Sicherheitslebenszyklus Entwurf Folie 5 von 36

6 Unterschied zwischen PLT-Betriebseinrichtungen und PLT-Schutzeinrichtungen PLT-Betriebseinrichtungen PLT-Schutzeinrichtungen Kenngrößen A, U, MTTF, MTBF, avg, PFH Abhängig u.a. von = S + D D= DD + DU + ND S D DD DU ND Fehler, die einen sicheren Ausfall verursachen Fehler, die einen Gefahr bringenden Ausfall verursachen D, die durch automatische Diagnose detektierbar sind D, die nur bei Wiederholungsprüfungen entdeckt werden können D, die nicht detektierbar sind Sicherheitslebenszyklus Entwurf Folie 6 von 36

7 Formeln zur Ausfallrate Ausfallrate Failure rate S D S SD DU D SU DD ND Bedeutung der Indizes S = safe = sicher/ungefährlich D = dangerous = gefahrbringend D/d = detected = erkannt U/u = undetected = unerkannt ND/Nd = not detectable = nicht erkennbar Safe Failure Fraction Anteil sicherer Ausfälle SFF S DD Diagnostic Coverage Diagnosedeckungsgrad DC DD D Proof Test Coverage PTC Deckungsgrad der Wiederholungsprüfung DU DU ND Sicherheitslebenszyklus Entwurf Folie 7 von 36

8 Begriffe zur Ausfallrate Safe Failure Fraction Anteil sicherer Ausfälle Diagnostic Coverage Diagnosedeckungsgrad Proof Test Coverage Deckungsgrad der Wiederholungsprüfung Sicherheitslebenszyklus Entwurf Folie 8 von 36

9 Berechnung von avg nach DIN EN [3] Formeln für gebräuchliche Strukturen (1oo1-, 1oo2-, 2oo3-Syteme) gegeben nur für homogene Strukturen vollständige Wiederholungsprüfungen und Reparaturen ( ND =0) Beispiel 1oo1-System 1oo1 T 2 ( DU DD) DU 1 D MRT DD D Sicherheitslebenszyklus Entwurf Folie 9 von 36

10 Modellierung eines homogenen 1oo2-Systems zur Berechnung des / avg Formeln nach [2]: (t) = U(t) avg 1 t t 0 (s) ds 0 DU 2 DU DU 2 DD DD 1 DD 2 DU DD DU DD 3 4 DD 5 Systembeschreibung/Analyseziel und Instandhaltungsstrategie sind entscheidend für das Modell Sicherheitslebenszyklus Entwurf Folie 10 von 36

11 BERECHNUNG HETEROGENER 1-OUT-OF-2-STRUKTUREN HILDEBRANDT Sicherheitslebenszyklus Entwurf Folie 11 von 36

12 Begriff [1] Diversität (en. diversity) Vorhandensein ungleichartiger Mittel zur Ausführung einer geforderten Funktion. Diversität kann durch unterschiedliche physikalische Methoden oder unterschiedliche Lösungen für die gleiche Aufgabenstellung erreicht werden. Beispiel: Heterogenes 1oo2-System ZBD 1 2 bzw. DD1 DD2, DU1 DU2 Komponente 1 Komponente 2 aber: gilt für gesamtes System Sicherheitslebenszyklus Entwurf Folie 12 von 36

13 Herleitung 1oo2 in Anlehnung an die EN [3] 1. Ermittlung der mittleren Systemausfalldauer bei erkannten bzw. unerkannten Fehlern 2. Berechnung der relativen Systemausfalldauern (Bezug auf Zeitintervall zwischen Wiederholungsprüfungen) 3. Berechnung der Wahrscheinlichkeiten für den Systemausfall 4. Multiplikation der relativen Ausfalldauern (2.) mit der Wahrscheinlichkeit für den Systemausfall (3.) 5. Addition der Teilergebnisse für erkannten und unerkannten Fehler 6. Berücksichtigung von Fehlern mit gemeinsamer Ursache Sicherheitslebenszyklus Entwurf Folie 13 von 36

14 Bei erkannten Fehlern (1/3) Schritt 1 - Mittlere Systemausfalldauer Ein erkannter Fehler wird sofort repariert Schritt 2 - Relative Systemausfalldauer wobei T 1 das Zeitintervall für die Wiederholungsprüfung ist T 1 Sicherheitslebenszyklus Entwurf Folie 14 von 36

15 Bei erkannten Fehlern (2/3) Schritt 3 - Wahrscheinlichkeit für einen Systemausfall Ausfall von Kanal 1 aufgrund erkanntem Fehler während Kanal 2 nicht verfügbar und umgekehrt P erk DD1 T1 K 2 DD2 T1 K 1 Schritt 4 - Anteil an der gesamten erk erk P ( erk DD1 T T 1 1 K 2 DD2 T 1 K1 ) T 1 Sicherheitslebenszyklus Entwurf Folie 15 von 36

16 Bei erkannten Fehlern (3/3) Fortsetzung Schritt 4 - Anteil an der gesamten erk ( DD1 K 2 DD2 K 1) mit erk ( K1 K 2 DU1 DU2 T1 2 T1 2 T 2 DD1 DD2 1 2 DU1 DD2 DU2 DD1) 2 DD1 DD2 Sicherheitslebenszyklus Entwurf Folie 16 von 36

17 Bei unerkannten Fehlern (1/3) Schritt 1 - Mittlere Systemausfalldauer 1 T 1 3 Schritt 2 - Relative Systemausfalldauer 1 T 3 1 T 1 Sicherheitslebenszyklus Entwurf Folie 17 von 36

18 Bei unerkannten Fehlern (2/3) Schritt 3 - Wahrscheinlichkeit eines Systemausfalls P unerk T DU1 1 K2 DU2 1 K1 T Schritt 4 - Anteil an der gesamten unerk unerk P ( unerk DU1 T1 3 T 1 Sicherheitslebenszyklus Entwurf Folie 18 von 36 T 1 K 2 DU2 T 1 K1 ) T1 3 T 1

19 Bei unerkannten Fehlern (3/3) Fortsetzung Schritt 4 - Anteil an der gesamten mit K1 K 2 unerk 2 ( DU1 DU2 T1 2 T1 2 DD1 DD2 T1 2 DU1 DD2 DU2 DD1 DD2 T1 3 DD1 ) T1 3 Sicherheitslebenszyklus Entwurf Folie 19 von 36

20 Addition der Teilergebnisse Schritt 5 - Addition der Teilergebnisse für erk. und unerk. Fehler 1oo2 ( 2 2 ( erk DU1 DU1 DD2 DU2 DD1 DD2 DU1 DU2 unerk DD2 DU2 DD1 2 ) T1 2 DD1 ) T1 2 T1 3 T1 3 Sicherheitslebenszyklus Entwurf Folie 20 von 36

21 Berücksichtigung von CCF Schritt 6 - Berücksichtigung von Fehlern mit gemeinsamer Ursache (en. Common Cause Failure) 1oo2 CCF erk DU1 DU2 unerk CCF T1 2 D DD1 DD2 Bei Vernachlässigung von ergibt sich die Formel T1 1 oo2 (1 ) DU1 DU2 T1 DD1 DD2 3 2 Sicherheitslebenszyklus Entwurf Folie 21 von 36

22 Markov-Modell einer heterogenen 1oo2- Struktur [4] Markov-Modell mit CCF (Common Cause Failure) rot gefahrbringender Systemausfall grün kein Systemausfall Berechnung von durch Nichtverfügbarkeit U(t)=P 5 (t)+p 6 (t)+p 7 (t)+p 8 (t)+p 9 (t)+p 10 (t) Sicherheitslebenszyklus Entwurf Folie 22 von 36

23 GENERISCHE ERZEUGUNG VON MARKOV-MODELLEN GABRIEL, LITZ, SCHRÖRS Sicherheitslebenszyklus Entwurf Folie 23 von 36

24 Generische Erzeugung (1/2) [5] Motivation Mit den Formeln nach DIN EN [3] sind nur homogene Systeme & Standardsysteme mit bis zu 3 Kanälen berechenbar Ansätze zur Erweiterung auf heterogene Systeme wurden in [4] vorgestellt Ansatz Norm verweist auf weitere zulässige Berechnungsverfahren u.a. Fault Tree Analysis und Markov-Modelle Markov-Modelle eignen sich gut zur Berechnung von Sicherheitslebenszyklus Entwurf Folie 24 von 36

25 Generische Erzeugung (2/2) [5] Nachteile des Markov-Modells Zusandsraumexplosion Händische Erstellung für große Systeme uneffizient Lösung Genenerische Erzeugung von Markov-Modellen basierend auf üblichen Beschreibungsterminologien Sicherheitslebenszyklus Entwurf Folie 25 von 36

26 Fehlertypen SD DD DU ND Safe detected Dangerous detected Dangerous undetected Not detectable Sicherheitslebenszyklus Entwurf Folie 26 von 36

27 Annahmen (1/2) A1 A2 A3 Präsentierte Werte beziehen sich auf SIF (Safety Integrated Function) Sensorik, Logik u. Aktorik Nur ein Fehler pro Kanal, d.h. ein Kanal mit Fehler DU kann nicht zusätzlich einen Fehler DD haben Kanal o.k., wenn keine untergeordnete Komponente ausgefallen ist. Ansonsten entspricht der Zustand des Kanals dem der ausgefallenen Komponente. Sicherheitslebenszyklus Entwurf Folie 27 von 36

28 Annahmen (2/2) A4 A5 Wiederholungsprüfung entdeckt und repariert alle Fehler vom Typ SD, DD, DU Alle Kanäle gehen von SD-, DD- und DU-Status nach o.k. über Kanäle mit ND verbleiben in diesem Zustand Fehler können nicht zeitgleich auftreten Ausnahme: Common Cause Failure Sicherheitslebenszyklus Entwurf Folie 28 von 36

29 Strukturregeln R1 R2 R3 Sichere Fehler werden automatisch erkannt Reparaturen eines SD- oder DD-Fehlers ziehen einen Funktionstest nach sich, der auch DU-Fehler aufdeckt ND-Fehler sind davon nicht betroffen System geht in sicheren Zustand, wenn mehr als M Kanäle eines MooN-Systems im Zustand SD sind Sicherheitslebenszyklus Entwurf Folie 29 von 36

30 Eingabeparameter Kanalausfallraten Wiederherstellungsrate M und N aus MooN Fehlerraten getrennt nach Ausfallart, d.h. SD, DD, DU, ND, SDCC,, DDCC,, DUCC,, NDCC, Sicherheitslebenszyklus Entwurf Folie 30 von 36

31 Markov-Modell für 1oo2-System 16 Zustände Nr. Kanal 1 Kanal 2 System 1 o.k. o.k. Nein 2 DD o.k. Nein 3 DU o.k. Nein 4 ND o.k. Nein 5 o.k. DD Nein 6 DD DD Ja 7 DU DD Ja 8 ND DD Ja Nr. Kanal 1 Kanal 2 System 9 o.k. DU Nein 10 DD DU Ja 11 DU DU Ja 12 ND DU Ja 13 o.k. ND Nein 14 DD ND Ja 15 DU ND Ja 16 ND ND Ja Sicherheitslebenszyklus Entwurf Folie 31 von 36

32 Modellen für heterogenes 1oo2-System [5] Wiederholungsprüfungen Sicherheitslebenszyklus Entwurf Folie 32 von 36

33 NÄCHSTE VORLESUNG Sicherheitslebenszyklus Entwurf Folie 33 von 36

34 Sicherheitslebenszyklus Teil 1: Analyse Gefahren erkennen & Risiken bewerten Teil 2: Spezifikation & Entwurf Risiken reduzieren Teil 3: Inbetriebnahme & Betrieb Sicherheit aufrecht erhalten [1] Sicherheitslebenszyklus Entwurf Folie 34 von 36

35 Anwendungssoftware Sicherheitslebenszyklus Entwurf Folie 35 von 36

36 Quellen [1] DIN EN 61511: Funktionale Sicherheit - Sicherheitstechnische Systeme für die Prozessindustrie. [2] DIN EN 61165: Anwendung des Markoff-Verfahrens. [3] DIN EN 61508: Funktionale Sicherheit sicherheitsbezogener elektrischer/elektronischer/programmierbarer elektronischer Systeme. [4] A. Hildebrandt: Berechnung der Probability of Failure on Demand () einer heterogenen 1-aus-2-Struktur in Anlehnung an die EN 61508, atp Automatisierungstechnische Praxis, 10/2007, Oldenbourg. [5] T. Gabriel, L. Litz, B. Schrörs: Generische Erzeugung von Markov-Modellen zur Berechnung sicherheitstechnischer Kenngrößen in PLT-Schutzeinrichtungen, atp Automatisierungstechnische Praxis, 07/2008, Oldenbourg. Sicherheitslebenszyklus Entwurf Folie 36 von 36