Sicherheits-SPS IEC (VDE 0803) oder EN 5012x

Transkript

1 DKE Tagung zur IEC Ed. 2 Sicherheits-SPS IEC (VDE 0803) oder EN 5012x IEC 61508: Anwendungen / Konsequenzen aus der 2. Ausgabe Abteilung: Rail Automation

2 Einführung Zertifizierung von nach ist EN 5012x IEC wenig sinnvoll und sehr schwer IEC IEC 5012x möglich Abteilung: Rail Automation

3 Einführung Warum nicht von EN 5012x zu IEC 61508? Kein SFF, kein DC, keine HFT andere probabilistische Betrachtungen üblich andere CCF-Betrachtungen üblich meist sehr spezifisch entwickelte Geräte viele Anwendungsvorschriften mit Bezug zur Applikation Einschränkungen, die nur für den Bahnbereich anwendbar sind Abteilung: Rail Automation

4 Einführung Warum von IEC zu EN 5012x? EN 5012x ist prinzipiell aus IEC abgeleitet. Hinzugekommene Einfach- und Mehrfachfehlerbetrachtungen müssen in der Industriewelt meist auch erfüllt werden (ISO , EN 81-1, ). Abteilung: Rail Automation

5 Prüfgrundlage Bahn / Industrie Fachgrundnorm IEC Ableitungen Industrie Bahn EN 50126/ 50128/ Automotive ISO WD Ableitungen Prozessindustrie IEC Automatisierung Maschinensicherheit IEC Abteilung: Rail Automation

6 Prüfgrundlage Bahn / Industrie Einschränkung nur generisches Produkt aus EN korreliert mit IEC Abteilung: Rail Automation

7 Zusammenhang HR, PFD und PFH EN 50129: Hazard Rate, HR IEC 61508: Betriebsart mit kontinuierlicher Anforderungsrate Probability of a dangerous Failure per Hour, PFH, in Ed. 2 average frequency of dangerous failure of the safety function Umrechnung: HR = PFH Niedrige Anforderungsrate PFD bei Bahntechnik/Stellwerken nicht anwendbar Abteilung: Rail Automation

8 Prüfgrundlage Bahn / Industrie IEC EN 50126: Prozess / RAMS IEC EN System und Hardware IEC EN Software EN EN 5012x ist ebenfalls in Überarbeitung, vorraussichtlich Anpassung der Struktur: part 1: Generic RAMS process part 2: Systems approach to safety part 4: Functional Safety Electric and electronic systems part 3: [Safety management system for RU and IM] part 5: Functional Safety - Software part 6 bis x offen für weitere Normenteile (z.b. RAM) Abteilung: Rail Automation

9 Unterschiede Was ist zu tun? Was sollte sich ändern? Abteilung: Rail Automation

10 Unterschiede EN 5012x vs. IEC EN 5012x, SIL IEC 61508, SIL 1 / / Grobe Einteilung für qualitative Anforderungen 4 abgestufte Klassen in der Industrie, IEC Klassengesellschaft SIL 1/2 und SIL 3/4 in der Bahn, EN 5012x Unterschiede - Software hier sind kaum Unterschiede zwischen den Welten vorhanden - Hardware - Dokumentation - Sicherheitsprozess Softwareaspekte und Risikoanalyse werden hier nicht betrachtet! 2 Abteilung: Rail Automation

11 Unterschiede EN 5012x vs. IEC EN 5012x IEC Sicherheitsgerichtete Kommunikation EN ohne absolutes Limit Safety Management - Sicherheitsnachweis - Genaue Vorgabe der Unabhängigkeiten der Rollen Übertragungsstrecken dürfen nur 1% vom SIL beanspruchen (EN ) Management der Funktionalen Sicherheit - Nur impliziter SiNa Dokumentierter Lebenszyklus - Unabhängigkeit des Assessors definiert - Unabhängigkeit Validierer nicht definiert in der Praxis aber meist unabhängig SIL 3 and 4 PM DES VER VAL Org A ASS Org B Abteilung: Rail Automation

12 Unterschiede EN <-> IEC EN IEC Komplexe Komponenten wenig Information zu neuen Komponenten, z.b. ASIC, FPGA Komplexe Komponenten Spezielle Anforderungen hinsichtlich der Architektur von integrierten Bausteinen (ICs) mit On-Chip Redundanz, IEC , Anhang E (normativ) Technik/ Maßnahme 1 Watchdog auf dem Chip wird zur Überwachung genutzt Delta Bemerkung β-factor [ %] 5 Überwachungselemente, die als WD benutzt werden sollten extern realisiert sein um die benötigte SFF bzw. DC zu erreichen. Hier sind auch die common cause Fehler zu berücksichtigen. Tabelle E.1 Techniken und Maßnahmen, die β B-IC erhöhen Technik/ Maßnahme 1a Diverse Maßnahmen um Fehler in verschiedenen Kanälen zu beherrschen Delta β-factor [ %] 4 Bemerkung Tabelle E.2 Techniken und Maßnahmen, die β B-IC reduzieren Abteilung: Rail Automation

13 Unterschiede EN <-> IEC EN IEC Einfach- und Mehrfachfehlerbetrachtungen: ab SIL3 Nachweis zu fail-safe- Verhalten für Einzelfehler gefordert. Bei SIL1/SIL2 nur Nachweis der HR nötig. Einfachfehlerbetrachtung mit Anforderungen an die Redundanz (HFT 0,1,2) Fehlerbetrachtung berücksichtigt Fehleraufdeckung, SFF (Anteil ungefährlicher Ausfälle) Anteil ungefährlicher Ausfälle Fehlertoleranz der Hardware Typ B, Komplexe Teilsysteme <60 % Nicht erlaubt SIL 1 SIL 2 60 % <90 % SIL 1 SIL 2 SIL 3 90 % <99 % SIL 2 SIL 3 SIL 4 schwer zu erreichen ³ 99 % SIL 3 SIL 4 SIL 4 Eine Fehlertoleranz der Hardware von N bedeutet, dass N+1 Fehler zum Verlust der Sicherheitsfunktion führen können. Diese mögliche Architektur kann im Sinne der EN ein Problem darstellen. Mehrfachfehlerbetrachtungen sind durch C-Normen, z.b. IEC gefordert. Abteilung: Rail Automation

14 Unterschiede EN <-> IEC EN IEC Architekturvorschriften keine normativen Vorgaben Table E.4 - Architektur des/der Systems/Teilsystems/Einrichtung à lediglich informativ Technik/Maßnahme SIL 3 SIL 4 1. Trennung von sicherheitsrelevanten Systemen von nicht sicherheitsrelevanten System HR HR 4. Zweikanalige elektronische Struktur basierend auf der failsafe Struktur durch Redundanz (composite fail-safety) mit fail-safe Vergleich 5. Einkanalige elektronische Struktur basierend auf der failsafe Struktur durch unverlierbare Eigenschaften (inherent fail-safety) 6. Einkanalige elektronische Struktur basierend auf der failsafe Struktur durch sicherheitsgerichtete Ausfallreaktion (reactive fail safety) 7. Diversitäre elektronische Struktur mit fail-safe Vergleich Fehlerausschlüsse sind in beiden Welten zulässig HR HR HR HR HR HR HR HR Architekturvorschriften: HFT/SFF/Zugehörige Architektur Fehlertoleranz der Hardware Typ B, Komplexe Teilsysteme Nicht erlaubt SIL 1 SIL 2 SIL 1 SIL 2 SIL 3 SIL 2 SIL 3 SIL 4 SIL 3 SIL 4 SIL 4 Eine Fehlertoleranz der Hardware von N bedeutet, dass N+1 Fehler zum Verlust der Sicherheitsfunktion führen können. Bei IEC 61508, SIL 4 ausgeschlossen Abteilung: Rail Automation

15 Unterschiede EN <-> IEC EN IEC Common cause Analysen um physikalische Unabhängigkeit nachzuweisen. Dadurch wird die Verwendung von UND- Verknüpfungen in der probabilistischen Berechnung möglich. ABER: Keine spezielle Methode vorgegeben. Quantifizierung von Common Cause Faktor Beta Faktor Umfangreiche Anleitung vorhanden IEC Trennung der Betrachtungseinheiten explizit gefordert. Merkmal Logik- Teilsystem Sensoren und Stellglieder X LS Y LS X SF Y SF Trennung Werden alle Signalkabel an allen Stellen für die Kanäle getrennt geführt? 1,5 1,5 1,0 2,0 Sind die Kanäle des Logik-Teilsystem auf getrennten Leiterplatten? 3,0 1,0 Sind die Kanäle des Logik-Teilsystem in getrennten Schaltschränken? 2,5 0,5 Wenn die Sensoren/Stellglieder zugeordnete Steuerelektroniken haben, befinden sich 2,5 1,5 diese für jeden Kanal auf getrennten Leiterplatten? Wenn die Sensoren/Stellglieder zugeordnete Steuerelektroniken haben, befinden sich diese für jeden Kanal im Innenraum und in getrennten Schaltschränken? 2,5 0,5 Tabelle D.1 Anrechnung programmierbarer Elektronik oder Sensoren/Stellglieder Abteilung: Rail Automation

16 Unterschiede EN <-> IEC EN IEC Diagnosedeckungsgrade werden nicht betrachtet Genauere Info zu Diagnosedeckungsgraden skalierbar (IEC , Table A.1) Größter Unterschied zwischen EN und IEC Bauteil Interrupt- Behandlung SieheTa bellen Anforderungen zum beanspruchten Diagnosedeckungsgrad oder Anteil der ungefährlichen Ausfälle niedrig (60 %) mittel (90 %) hoch (99 %) A.4 Keine oder ständige Interrupts Keine oder ständige Interrupts Gegenseitige Beeinflussung von Interrupts Keine oder ständige Interrupts Gegenseitige Beeinflussung von Interrupts Nicht Veränderlicher Speicher A.5 Stuck-at für Daten und Adressen DC-Fehlermodell für Daten und Adressen Alle Fehler, die Daten im Speicher beeinflussen Veränderlicher Speicher A.6 Stuck-at für Daten und Adressen DC-Fehlermodell für Daten und Adressen DC-Fehlermodell für Daten und Adressen Wechsel von Informationen bedingt durch transiente Fehler (soft-errors) bei DRAM mit einer Größe von 1Mbit und größer Dynamisches Übersprechen für Speicherzellen Keine, falsche oder mehrfache Adressierung Wechsel von Informationen bedingt durch transiente Fehler (soft-errors) bei DRAM mit einer Größe von 1Mbit und größer Abteilung: Rail Automation

17 Unterschiede EN <-> IEC EN IEC Probabilistische Berechnung Große Freiheit bei der Wahl der Berechnungsmethode Diagnosemaßnahmen werden nicht berücksichtigt Umfangreiche Beispiele zur Berechnung unter Berücksichtigung von Diagnosemaßnahmen und Beta-Faktor Formeln für gängige Architekturen in IEC FMEDA mit genauer Fehleraufteilung und Diagnosedeckungsgraden Abteilung: Rail Automation

18 Unterschiede EN <-> IEC EN IEC Probabilistische Berechnung Diagnosemaßnahmen werden nicht berücksichtigt Probabilistische Berechnung Diagnosemaßnahmen und Beta-Faktor werden berücksichtigt Es ist nicht klar, welche Methode zu konservativeren Ergebnissen führt. Lösungsvorschläge - EN akzeptiert die Vorgehensweise aus der IEC Fachgrundnorm (A) -Begründung - EN macht keine Aussagen zur Wertung von Diagnosemaßnahmen - EN spricht von geeigneter Methode zur probabilistischen Berechnung oder - Systeme werden nach beiden Methoden berechnet doppelter Aufwand Abteilung: Rail Automation

19 Berechnungsbeispiel IEC Berechnung TOP EVENT = Verlust der Sicherheitsfunktion mit Modellierung nach IEC mit Einteilung Safe/Dangerous, DC, Betafaktoren: PFH= 7,43E-11 (20 Jahre Lebensdauer) Abteilung: Rail Automation

20 Berechnungsbeispiel EN Berechnung TOP EVENT = Verlust der Sicherheitsfunktion mit Modellierung nach EN mit voller Ausfallrate aller Bauteile, ABER alle DC-Liefernden Teile aus IEC Betrachtung modelliert: HR=7,07E-11 (20 Jahre Lebensdauer) Abteilung: Rail Automation

21 Theoretische Ausfallratenprognose vs. realen Ausfallverhalten sicherheitsrelevanter Baugruppen hat gezeigt, das reale Ausfallverhalten ist um den Faktor 4-5 geringer als es die Berechnung vorhersagt! Damit ist die Ausfallrate mindestens um den gleichen Faktor zu konservativ berechnet mit der Konsequenz, dass bereits heute etliche SIL3 - Baugruppen die THR für bahntechnische Anwendungen nach SIL 4 erfüllen! Abteilung: Rail Automation

22 Unterschiede EN <-> IEC EN IEC Probabilistische Berechnung -> Umfangreiche Vorgaben zur Berechnung -> Modellierung des Anstiegs von PFH/PFD während eines Testintervalls und durch l DU, IEC Bild B.22 zeigt die resultierende Sägezahnkurve wenn folgende Komponenten zu einem bestehenden System hinzugefügt werden Komponente, die nie getestet wird -> PFD steigt kontinuierlich Komponente, die alle 2 Jahre getestet wird -> PFD sinkt alle 2 Jahre 1.8e-3 PFD(t) 1.6e-3 1.4e-3 1.2e-3 1.0e-3 8.0e-4 6.0e-4 4.0e-4 2.0e-4 PFDavg: 5.7 e-4 PFDavg: 6.3 e-4 PFDavg: 6.9 e-4 PFDavg: 7.5 e-4 PFDavg: 8.1 e-4 0.0e Abteilung: Rail Automation

23 Ergebnis des Vergleichs IEC allein nicht ausreichend für Bahnbereich wegen Ein- und Mehrfachfehlerbetrachtungen Kombination beider Welten sicherheitstechnisch sinnvoll und kommerziell wünschenswert bei Neuentwicklungen ist Mehraufwand überschaubar Akzeptanz der Methode der probabilistischen Berechnung muss geklärt werden Abteilung: Rail Automation

24 Ergebnis des Vergleichs Wenn ein System aus der Industrie, das gemäß - IEC und - z.b. IEC (Maschinensicherheit Mehrfachfehlerbetrachtung vorhanden) zertifiziert ist und besonderes Augenmerk auf - probabilistische Berechnung - unabhängige Validierung - zusätzliche Dokumentation gelegt wird, ist die Überführung nach EN 5012x möglich! Abteilung: Rail Automation

25 Neue Systeme In Zukunft sollten Systeme, die für Bahn und Industrie vorgesehen sind von vorneherein entwicklungsbegleitend gemäß IEC 61508, Applikationsnormen und EN 5012x begutachtet werden. Minimierung des Aufwandes! Abteilung: Rail Automation

26 Anregungen, Ausblick Generische Produkte aus dem Industrieumfeld sollten nur bis SIL 4 betrachtet werden. Höhere Anforderungen, die aus Bahn-Risikoanalysen stammen ( SIL 5 bei hohen THR Anforderungen), sind über die generische Applikation abzudecken. EN ist hier unklar: SIL5 -Anforderungen sind in der Signaltechnik realistisch, in EN aber ausgeschlossen werden. Abteilung: Rail Automation

27 Anregungen, Ausblick Erstellung eines Leitfadens zum Mapping von IEC Anforderungen auf CENELEC Bahn- Anforderungen für generische Produkte ist sowohl für Gutachter als auch für Zulassungsbehörden sicherlich hilfreich. Im Zuge der laufenden Überarbeitungen der CENELEC - Bahnnormen könnte ein solcher Leitfaden erstellt werden. In RG 2 Part 2: Systems Approach to Safety der EN ist eine Comparison with IEC vorgesehen. Abteilung: Rail Automation

28 Anregungen, Ausblick Generische Produkte von Inspektions- und Zertifizierstellen begutachten und zertifizieren lassen, die gemäß - EN Allgemeine Anforderungen an Stellen, die Produktzertifizierungssysteme betreiben und - ISO/IEC Allgemeine Kriterien für den Betrieb verschiedener Typen von Stellen, die Inspektionen durchführen akkreditiert sind. Abteilung: Rail Automation

29 Applikationsbeispiel Kabellose Einklemmerkennung an Türen: Übertragungssystem auf Transponderbasis für Bus und Bahn Abteilung: Rail Automation

30 } Anwendungen sicherer SPS Einsatz der PSS 3000 in österreichischen Urlaubsgebieten Bis zu 150 Fahrgäste können in einer Gondel transportiert werden Allein auf Österreich bezogen gilt, dass im Winter 2008/ Millionen Personen mit Seilbahnen befördert wurden Abb.: Gletscherbus, Hintertux, Dopplmayer-Garaventa Group Zum Vergleich: die ÖBB hat 2007 ca.200 Mio. Fahrgäste (30Mio Fernverkehr, 170Mio Nahverkehr) befördert. Quellen: Fachverband der Seilbahnen Österreichs, ÖBB Abb.: ÖBB Fernverkehrszug ÖBB Persoinenverkehr AG Abteilung: Rail Automation

31 Referent Vielen Dank für Ihre Aufmerksamkeit! Guido Neumann Ridlerstr. 57 D München Germany Abteilung: Rail Automation