Systems Engineering. ELTAS Elin Traction Automation System ETRIS. Antriebseinheiten Motor/Getriebe/Kupplung

Transkript

1 Dr. Daniel PROSTREDNIK ELIN EBG Traction Cumberlandstr A-1140 Wien ELIN EBG Traction GmbH All rights reserved ELTAS Elin Traction Automation System ETRIS Leittechnik ELIN Traction Inverter System Stromrichtersystem Antriebseinheiten Motor/Getriebe/Kupplung Systems Engineering Vollbahn Nahverkehr Modernisierung ELIN EBG Traction GmbH All rights reserved No. 2

2 Regionaler Verkehr / EMUs - DMUs BR 644 BR 4023 / 4024 OME BM 93 Integral BR 4090 ELIN EBG Traction GmbH All rights reserved No. 3 Nahverkehr / Straßenbahnen Portland/Tacoma Sevilla Cityrunner Linz/Lodz Tram Rom Phoenix / Seattle ULF Wien ELIN EBG Traction GmbH All rights reserved No. 4

3 Quantitative Bewertung einer Sicherheitsfunktion am Beispiel eines Schienenfahrzeuges Bahn = traditionell Sicher probabilistischer Ansatz Basis IEC EN ; EN und EN Sicherheit - Vermeidung entsprechender Risiken ELIN EBG Traction GmbH All rights reserved No. 5 Quantitative Bewertung einer Sicherheitsfunktion am Beispiel eines Schienenfahrzeuges *Häufigkeit eines Risikostufen nach EN50126 Gefahrenfalls häufig unerwünscht intolerabel intolerabel intolerabel wahrscheinlich tolerabel unerwünscht intolerabel intolerabel gelegentlich tolerabel unerwünscht unerwünscht intolerabel selten vernachlässigbar tolerabel unerwünscht unerwünscht unwahrscheinlich vernachlässigbar vernachlässigbar tolerabel tolerabel unvorstellbar vernachlässigbar vernachlässigbar vernachlässigbar vernachlässigbar unbedeutend marginal kritisch katastrophal Gefahrenstufen *Die quantitative Bewertung der Häufigkeit von Gefahrenfällen hängt von der jeweiligen Anwendung ab intolerabel unerwünscht tolerabel vernachlässigbar Muss ausgeschlossen werden Darf nur akzeptiert werden, wenn eine Risikoverminderung praktisch nicht durchführbar ist und eine Zustimmung des Bahnunternehmers vorliegt Akzeptierbar bei geeigneter Überwachung und mit der Zustimmung des Bahnunternehmens Akzeptierbar, ohne weitere Zustimmung des Bahnunternehmens ELIN EBG Traction GmbH All rights reserved No. 6

4 Quantitative Bewertung einer Sicherheitsfunktion am Beispiel eines Schienenfahrzeuges Aktuell verbleibendes Risiko Risiko um das erforderliche Sicherheitsniveau zu erreichen Risiko der Betriebseinheit Notwendige minimale Risikoreduzierung [Δ R] Aktuelle Risikoreduzierung Risikoerhöhung Teilrisiko abgedeckt durch SRS anderer Technologie Teilrisiko abgedeckt durch E/E/PES SRS Teilrisiko abgedeckt durch externe Einrichtungen zur Risikoreduzierung Risikoreduzierung die durch alle SRS & externen Risikoreduzierungen erreicht wird ELIN EBG Traction GmbH All rights reserved No. 7 Quantitative Bewertung einer Sicherheitsfunktion am Beispiel eines Schienenfahrzeuges Fehlerunterteilung systematische zufällige Es muss nachgewiesen werden, dass die E/E/P Einrichtung frei von systematischen Fehlern ist. Quantitativ muss zur Absicherung der geforderten SIL - Stufe nachgewiesen werden, dass die Ausfallswahrscheinlichkeit auf Grund von zufälligen Fehlern unter der für diese SIL Stufe definierten Grenze liegt. ELIN EBG Traction GmbH All rights reserved No. 8

5 V Modell (Prinzip) ELIN EBG Traction GmbH All rights reserved No. 9 Diversität Die IEC listet Architekturen der E/E/P Einrichtungen auf. Grundsätzlich wird zwischen ein-, zwei- und dreikanaligen Strukturen unterschieden. Diversitäre Struktur hat eine Sonderstellung wegen Verminderung bzw. Minimierung der systematischen Fehler. ELIN EBG Traction GmbH All rights reserved No. 10

6 Zug am Bahnsteig ELIN EBG Traction GmbH All rights reserved No. 11 Qualitative Sicherheitsbewertung (Beispiel Fahrzeugruck) Risikodiagramm: W 3 W 2 W 1 C A X 1 a Startpunkt Abschätzung der Risikoreduzierung C B C C C D F A F B F A F B F A F B P A P B P A P B P A P B P A P B X 2 X 3 X 4 X 5 X 6 1 a a 1 2 b 4 3 C Risikoparameter der Auswirkung F Risikoparameter der Häufigkeit und Aufenthaltsdauer P Risikoparameter der Möglichkeit das gefährliche Ereignis zu vermeiden W Wahrscheinlichkeit des unerwünschten Ereignisses X Zwischenergebnis des Risikographen --- keine Sicherheitsanforderungen a keine speziellen Sicherheitsanforderungen b ein einzelnes E/E/PES ist nicht ausreichend 1,2,3,4 sicherheitsbezogene Anforderungsstufe E/E/PES Elektrische-/Elektronische- /Programmierbare elektronische Sicherheitsvorrrichtung Die Ausfallrate - ein Ausfall der sicheren Funktion Stillstand (pro Stunde) im Bereich >= 10-8 to < 10-7 ELIN EBG Traction GmbH All rights reserved No. 12

7 Realisierungsansatz Antriebsstrang - Prinzip: Fahrzeugleitgerät Fahrleitung Stromrichterleitgerät Eingangskreis IGBT Wechselrichter Bremssteller Temp.Kühlkörper Temp.Kühlkörper Temp.Kühlkörper PH1 PH2 PH3 NTC1 NTC1 NTC1 Hauptschütz Netz+ Ladekreis Netz- ETRIS S2000 WRG EMV - Ausgangsfilter PE1 PE2 PE3 PE4 Masseanschlüsse U V W BC1 BC2 BCC M Asynchronmaschinen M Bremswiderstand Hauptschalter - generell - nach einer Bewegung v> Grenzwert ELIN EBG Traction GmbH All rights reserved No. 13 Lösungsansatz: Bildung eines Drehmomentes durch den Umrichter muss sicher verhindert werden Prinzip der sicheren Traktionssperre ELIN EBG Traction GmbH All rights reserved No. 14

8 SIL3 Anforderung = minimal zweikanalige Architektur Kanal Diagnose 1oo2 Kanal ELIN EBG Traction GmbH All rights reserved No. 15 Funktion der Ausfallswahrscheinlichkeit eines Sicherheitsprozesses (nach IEC 61508) PFD ( PFH ) = f ( β, β, λ, λ, λ, λ, T1, MTTR D du sd su ) λ λ du λ sd λ su Erkennbare (im Betrieb), sicherheitskritische Ausfälle (Fehler die durch Diagnose abgedeckt sind) Nicht erkennbare (im Betrieb), sicherheitskritische Ausfälle (Fehler die durch Diagnose nicht abgedeckt sind) Erkennbare, nicht sicherheitskritische Ausfälle (Fehler die durch Diagnose abgedeckt sind) Nicht erkennbare, nicht sicherheitskritische Ausfälle (Fehler die durch Diagnose nicht abgedeckt sind) Anmerkung: Erkennbarkeit bezieht sich auf Betrieb ELIN EBG Traction GmbH All rights reserved No. 16

9 Funktion der Ausfallswahrscheinlichkeit eines Sicherheitsprozesses (nach IEC 61508) PFD ( PFH ) = f ( β, β, λ, λ, λ, λ, T1, MTTR D du sd su ) T1 MTTR β β D Intervall der Wiederholungsprüfung in [h] mittlere Zeit zur Wiederherstellung (sinngemäß jene Zeit, die im defekten Zustand gefahren werden muss) in [h] Anteil unerkannter Ausfälle infolge gemeinsamer Ursache (β wird oft als 2xβ D angenommen) Der Anteil der Ausfälle infolge gemeinsamer Ursache, die durch den Diagnosetest erkannt werden ELIN EBG Traction GmbH All rights reserved No. 17 FMEA - ein zentrales Werkzeug zur quantitativen Sicherheitsbewertung ELIN EBG Traction GmbH All rights reserved No. 18

10 System-FMEA Aufgabe - alle möglichen Fehler aufzulisten. Zu jeder Art des Fehlers ist die entsprechende Ursache zu finden, so wie die mögliche Auswirkung festzuhalten. Fehlerbeherrschung führt die Maßnahme gegen den möglichen Fehler an. (Die FMEA dient auch dazu, mögliche, nicht beherrschbare Fehler aufzulisten.) Die Fehlererkennung beschreibt wie ein Fehler im System erkannt werden kann (event. Anforderung an die Ergänzung der Architektur). Die Ausfallrate auf der Systemebene - als vorläufige Orientierungshilfe ELIN EBG Traction GmbH All rights reserved No. 19 Block-FMEA Block-Ebene ermöglicht eine solidere Untersuchung (Die Block-FMEA kann für niedrigere Sicherheits- Anforderungsstufen unter bestimmten Annahmen bereits ausreichend sein) ELIN EBG Traction GmbH All rights reserved No. 20

11 Block FMEA Fehlermechanismen sind gut analysierbar Auswirkung und Beherrschung so wie die Quantifizierung der einzelnen Ausfallarten ist - auch wenn nur mit einer niedrigeren Genauigkeit - ausführbar. ELIN EBG Traction GmbH All rights reserved No. 21 Bauteil-FMEA Basisart der FMEA Zuverlässigste quantitative Sicherheitsbewertung. Ausfallswahrscheinlichkeit und die Ausfallart der Bauteile spielen eine besondere Rolle. ELIN EBG Traction GmbH All rights reserved No. 22

12 Ausfallswahrscheinlichkeit λ = λ ref. a. b. c. d... λ ref a b c d.. Ausfallrate bei Referenzbedingungen Faktor für Spannungsabhängigkeit Faktor für Stromabhängigkeit Faktor für Temperaturabhängigkeit Faktor für Abhängigkeit von Verschmutzung durch Staub Weitere Faktoren (chemische Einflüsse, Strahlung usw.) Berechnung der MTBF Werte nach MIL-HDBK-217F nach SN (Berechnungsprogramms EXAR) IEC TR und MIL-HDBK-338B führen auch die Basiswerte bzw. Korrekturparameter und Ausfallmodelle für die Berechnung der Ausfallraten an. ELIN EBG Traction GmbH All rights reserved No. 23 Ausfallsarten Der Wert λ (Ausfallrate) trägt keine Information über die Art eines Ausfalls, bzw. über die Aufteilung (oder der Wahrscheinlichkeit der Aufteilung) der Ausfallarten. Beispiel: Ein Widerstand kann (nach EN 50129) auf fünf Arten ausfallen: Unterbrechung Kurzschluss Vergrößerung des Widerstandes Verkleinerung des Widerstandes Kurzschluss zum Gehäuse Von der konkreten Schaltung hängt es ab, ob eine bestimmte Ausfallart einen gefährlichen oder einen ungefährlichen Ausfall verursacht und ob ein solcher Ausfall mit eigenen Diagnosemitteln erkannt werden kann. Ergebnis der Bauteil FMEA: Vier Summen der Ausfallswahrscheinlichkeiten (λ du, λ, λ su, λ sd ) für einen untersuchten Block/Kanal. ELIN EBG Traction GmbH All rights reserved No. 24

13 FMEA Um eine Bauteil FMEA durchführen zu können werden folgende Informationen gebraucht: Ausfallswahrscheinlichkeit eines Bauteils (λ) bereits behandelt Die Ausfallsarten, nach denen ein Bauteil ausfallen kann. Die Zuordnung des Anteiles der Ausfallswahrscheinlichkeit für die einzelnen Ausfallarten des behandelten Bauteiles. EN IEC führt keine Ausfallarten an. EN behandelt ausführlich die möglichen Ausfallarten gängiger Bauteile, führt aber keine Quantifizierung der einzelnen Ausfallarten an. ELIN EBG Traction GmbH All rights reserved No. 25 FMEA Birolini (Qualität und Zuverlässigkeit technischer Systeme) führt eine Zusammenstellung der relativen Häufigkeit der Ausfallarten elektronischer Bauteile (siehe Bild) an. Diese wurde auch bei den ersten Bauteil-FMEAs in der ELIN EBG Traction verwendet. Eine ausführliche Zusammenstellung der Ausfallarten und deren Quantifizierung führt das MIL-HDBK 338B. Die IEC TR Reliability Data Handbook behandelt grundsätzlich die Problematik der Ausfallswahrscheinlichkeit, ist aber bei jeder Bauteilgruppe ergänzt um Ausfallarten (siehe Bild) ELIN EBG Traction GmbH All rights reserved No. 26

14 Beispiel (Zenerdiode - Spannungsreferenz): Die ersichtlichen Unterschiede aus verschiedenen Quellen zeigen, dass die Problematik nicht als eine exakte Wissenschaft bezeichnet werden kann. ELIN EBG Traction GmbH All rights reserved No. 27 Beispiel der Durchführung einer Bauteil-FMEA (Zenerdiode): Eine Sicherheitsvorrichtung wird mit einem Netzgerät versorgt, welches eine Unter- und Überspannungsüberwachung eingebaut hat. Eine Zenerdiode bildet die Spannungsreferenz der Überwachungsvorrichtung. Beispielhaft die IEC TR unterscheidet für Zenerdioden zwischen drei möglichen Ausfallarten. In der untersuchten Schaltung: Eine Unterbrechung der Zenerdiode verursacht einen Anstieg der Referenzspannung, was sofort eine Unterspannungsabschaltung auslöst. Somit stellt sich ein sicherer Zustand ein. Unterbrechung wird also in Kategorie sd (Nicht-gefährlicher Ausfall erkannt) mit 20% des angegebenen fit-wertes eingeteilt. Ein Kurzschluss der Zenerdiode verursacht eine Abnahme der Referenzspannung, was sofort eine Überspannungsabschaltung auslöst. Auch hier ergibt sich ein sicherer Zustand. Kurzschluss wird also in Kategorie sd (Nicht-gefährlicher Ausfall erkannt) mit 70% des angegebenen fit-wertes eingeteilt. ELIN EBG Traction GmbH All rights reserved No. 28

15 Beispiel der Durchführung einer Bauteil-FMEA (Zenerdiode): Drift der Zenerdiode bleibt unerkannt und ist insofern gefährlich, als eine Über- oder Unterspannung des Versorgungsnetzgerätes nicht erkannt wird. Eine Versorgung außerhalb der erlaubten Spannungstoleranzen kann fehlerhafte Zustände in der Logik der Sicherheitsfunktion verursachen. Drift wird somit der Kategorie du (Gefährlicher Ausfall unerkannt) mit 10% des angegebenen fit-wertes eingeteilt. Die Kategorien Gefährlicher Ausfall erkannt () und Nicht-gefährlicher Ausfall unerkannt (su) bleiben unberührt, in der FMEA-Tabelle wird kein Wert eingegeben. Die Ausfallrate der Zenerdiode wird mit 1,3 fit angenommen (SN 29500). ELIN EBG Traction GmbH All rights reserved No. 29 Klasse A und Klasse B von Subsystemen Ein Subsystem wird der Klasse A zugerechnet wenn: Fehlermodelle von allen betrachteten Bauteilen bekannt sind und Das Fehlerverhalten des Subsystems bestimmbar ist und Ausreichend Daten über die tatsächliche Fehlerrate aus dem Feld vorliegen Ein Subsystem wird der Klasse B zugerechnet wenn: Fehlermodelle von mindestens einem betrachteten Bauteil nicht bekannt ist und Das Fehlerverhalten des Subsystems nicht bestimmbar ist und Ausreichend Daten über die tatsächliche Fehlerrate aus dem Feld nicht vorliegen Bei komplexeren elektronischen Systemen haben wir es praktisch ausschließlich mit der Klasse B zu tun. ELIN EBG Traction GmbH All rights reserved No. 30

16 Anteil ungefährlicher Ausfälle SFF (Safe Failure Fraction) wird nach folgender Formel berechnet: SFF = λ + λ + λ su λ sd total DC = λ λ + λ du ELIN EBG Traction GmbH All rights reserved No. 31 Anteil ungefährlicher Ausfälle SFF (Safe Failure Fraction) wird nach folgender Formel berechnet: SFF = λ + λ + λ su λ sd total DC = λ λ + λ du ELIN EBG Traction GmbH All rights reserved No. 32

17 Ausfälle infolge gemeinsamer Ursache Ein Ausfall der gleichzeitig in zwei (oder mehreren) getrennten Kanälen als Folge einer Ursache eintritt, führt zum Systemausfall und ist als besonders gefährlich zu betrachten. Typische Beispiele: EMV Störungen Übertemperatur Spannungsversorgung ELIN EBG Traction GmbH All rights reserved No. 33 Anteil ungefährlicher Ausfälle Bestimmung von β und β d : ELIN EBG Traction GmbH All rights reserved No. 34

18 Anteil ungefährlicher Ausfälle Bestimmung von β und β d : ELIN EBG Traction GmbH All rights reserved No. 35 Berechnung der Ausfallswahrscheinlichkeit einer Sicherheitsfunktion Bestimmung der PFD/PFH anhand der IEC tabellarisch: ELIN EBG Traction GmbH All rights reserved No. 36

19 Berechnung der Ausfallswahrscheinlichkeit einer Sicherheitsfunktion Bestimmung der PFD/PFH anhand der IEC rechnerisch: Architektur 1oo2D PFH = 2((1 β ) λ ((1 β ) λ ) + (1 β ) λ + λ ) t + β λ + β λ du du d sd CE d du tce = λ T du ( MTTR) + ( λ du λ + λ + λ + λ ) MTTR sd sd ELIN EBG Traction GmbH All rights reserved No. 37 Berechnung der Ausfallswahrscheinlichkeit einer Sicherheitsfunktion Berechnungen der PFD/PFH Werte in der ELIN EBG Traction mit dem bereits vorgestellten Tool: ELIN EBG Traction GmbH All rights reserved No. 38