Funktionale Sicherheit - Methodik und technische Umsetzung

Transkript

1 Funktionale Sicherheit - Methodik und technische Umsetzung Technikforum Göppingen Prof. Dr. Ing. Karl- Heinz Kayser Hochschule Esslingen Dipl.-Ing.(FH) M.Eng. Christoph Weishaar Pilz GmbH & Co. KG, Ostfildern Vortrag Technik Forum GP Seite Christoph Weishaar

2 Funktionale Sicherheit - Methodik und technische Umsetzung Typische Applikation in der Sicherheitstechnik» Privater Bereich» Transportfahrzeuge» Fahrgeschäfte» Gebäudetechnik» Industrieller Bereich» Pressen» Transferstraßen» Verfahrenstechnische Anlagen» Windenergieanlage Vortrag Technik Forum GP Seite Christoph Weishaar

3 Funktionale Sicherheit - Methodik und technische Umsetzung Funktionsweise einer Windenergieanlage Quelle: Pilz GmbH & Co. KG» Die anströmende Luft wird in eine Rotationsbewegung umgesetzt» Die Rotationbewegung treibt eine Generator an» Ein Getriebe ist dem Generator vorgeschaltet» Der Generator wird auf konstantem Drehmoment und damit Nennleistung geregelt» Unterschiedliche Windgeschwindigkeiten werden über die Stellung der Rotorblätter ausgeregelt» Erzeugte Energie wird in ein Netz eingespeist Vortrag Technik Forum GP Seite Christoph Weishaar

4 Funktionale Sicherheit - Methodik und technische Umsetzung Steuerung einer Windenergieanlage Betriebsfunktion» Die Betriebsfunktionen haben das Ziel die Windkraftanlage innerhalb vorgegebener Grenzen wirtschaftlich zu betreiben, d. h. den erzielbaren Ertrag zu maximieren. Sicherheitsfunktion» Die Sicherheitsfunktion haben das Ziel dass die Windkraftanlage innerhalb vorgegebener Grenzen für eine definierte Zeitdauer keine Gefahr bewirkt bzw. eintreten lässt.» Ein Ausfall einzelner Komponenten erkannt wird und einen Ertragsverlust zu minimieren. Vortrag Technik Forum GP Seite Christoph Weishaar

5 Funktionale Sicherheit - Methodik und technische Umsetzung Betriebsfunktionen einer Windenergieanlage» Anlaufverhalten» Windausrichtung» Drehzahlregelung» Netzmanagement» Abschaltverhalten» Diagnose Quelle: Pilz GmbH & Co. KG Vortrag Technik Forum GP Seite Christoph Weishaar

6 Funktionale Sicherheit - Methodik und technische Umsetzung Sicherheitsfunktionen einer Windenergieanlage Quelle: Pilz GmbH & Co. KG» Windrichtung / Windgeschwindigkeit» Turmschwingen» Rotorblattverstellung / Pitch Winkel» Rotordrehzahl» Getriebekühlung» Generatordrehzahl und Temperatur» Bremssystem» Kabelverdrillung Turm / Gondel» Überspannung / Kurzschluss» Abschalten bei Netzverlust» Stillstand bei Not- Halt Vortrag Technik Forum GP Seite Christoph Weishaar

7 Funktionale Sicherheit - Methodik und technische Umsetzung Sicherheitsabschaltung Windenergieanlagen Bei einer Sicherheitsabschaltung werden die Rotorblätter aus dem Wind gedreht, der Generator und Umrichter werden vom Netz genommen die mechanische Rotorbremse fällt ein. Vortrag Technik Forum GP Seite Christoph Weishaar

8 Funktionale Sicherheit - Methodik und technische Umsetzung Gefahrenbeispiele einer Windenergieanlage» Mechanische Schäden Zu hohe Windgeschwindigkeit Wellenbruch Netzverlust Vereisung Video» Brand Kurzschluss Netzverlust Überhitzung mechanischer Teile In Folge von mechanischen Schäden oder Brand können Personen, die sich in der Nähe aufhalten zu Schaden kommen. Vortrag Technik Forum GP Seite Christoph Weishaar

9 Funktionale Sicherheit Methodik und tech. Umsetzung Functional Safety Die Funktionale Sicherheit eines technischen Systems ist das Ergebnis systematischer Ingenieursarbeit und kein Zufallsprodukt! Bewertung des sicherheitstechnischen Risikos eines Systems Technische Planung und Entwurf von Sicherheitskreisen Verifikation des technischen Entwurfs Nachweis der Sicherheit Realisierung der Sicherheitskreise und deren Validierung

10 Gliederung Vorbetrachtungen Fehler u. Fehlerklassifizierung Grundlagen Probabilistik und Methoden Norm(en) IEC (Erstveröffentlichung 1998) 11

11 Vorbetrachtungen Fehler sind Ursachen für das (gefährliche) Versagen eines technischen Systems - nicht jeder Fehler ist sicherheitsrelevant! Vorgehen und Maßnahmen: Fehlervermeidung -> Erhöhung von Zuverlässigkeit Fehlerbeherrschung -> rechtzeitiges Erkennung von Fehlern und Gegenmaßnahmen ergreifen: -> technisches System in den sicheren Zustand überführen (Fehlersicheres System) -> technisches System mit redundanten Kreisen weiterbetreiben (Hochverfügbares System) 12

12 Vorbetrachtungen Frage: Nach welchen Methodenund Maßstäbenerfolgt die Bewertungund der Nachweis der Sicherheit bzw. der Sicherungsmaßnahme? 13

13 Vorbetrachtungen - Fehlerklassifikation Systematische Fehler: Konstruktionsfehler - Programmierfehler Planungsfehler (Spezifikationsfehler) Zufällige Fehler: Zufälliger Ausfall einer Komponente / eines Bauteils Zufälliger Bedienfehler menschl. Versagen Art der technischen Umsetzung Verwendung von Komponenten / Bauteilen: Typ A: Alle Fehlermodi (Ausfallarten) der verwendeten Komponenten sind bekannt Typ B: Nicht alle Fehlermodi (Ausfallarten) sind bekannt 14

14 Vorbetrachtungen Methoden u. Prinzipien Beispiel: Not-Aus-Kreis Aufbau mit diskreten Bauteilen Typ A 15

15 Vorbetrachtungen Methoden u. Prinzipien Beispiel: Not-Aus-Kreis Aufbau mit diskreten Bauteilen Typ A Fehlermodell: Bauteile Fehlermodell Relais Kontakt Kurzschluss Kontakt Unterbrechung Erregung Kurzschluss Erregung Unterbrechung 16

16 Vorbetrachtungen Methoden u. Prinzipien Beispiel: Not-Aus-Kreis Aufbau mit diskreten Bauteilen Typ A Regel - Prinzip: 1-Fehlersicherheit Ein Fehler im Sicherheitskreis darf nicht zum Verlust der Sicherheitsfunktion führen, und Der Fehler muss entdeckt werden Jeder Fehler ist zu betrachten 17

17 Vorbetrachtungen Methoden u. Prinzipien Beispiel: Not-Aus-Kreis Aufbau mit diskreten Bauteilen Typ A Vorgehen und Bewertung: Funktionsanalyse Jeder einzelne Fehler wird hinsichtlich seiner Auswirkung und auf Einhaltung des 1-Fehler Prinzips überprüft Vorgehen: FMEA Fehlermöglichkeits-und Einfluss Analyse Anmerkungen: Qualitatives Nachweisverfahren Zufällige Bauteileausfälle werden erfasst Schaltungsfehler (systematische Fehler) werden erfasst 18

18 Vorbetrachtungen Methoden u. Prinzipien Beispiel: Not-Aus-Kreis Aufbau mit komplexen Komponenten Typ B Fehlermodell: Bauteile + Bildquelle: Fa. Pilz GmbH & Co.KG, Ostfildern Intelligente Sensorik Intelligente Aktoren Programmierbare Steuerungen - Kommunikationssysteme Fehlermodell: Mikroproz.? 3 Mio. Transistoren??? Fehlermodell: Software?????? 19

19 Vorbetrachtungen Methoden u. Prinzipien Beispiel: Not-Aus-Kreis Aufbau mit komplexen Komponenten Typ B Functional Safety Management (FSM) in allen Phasen eines Produktes: Verantwortlichkeiten Dokumentation Sicherheitsreviews Sicherheitstechnische Bewertung von Maßnahmen vor der Durchführung. Regel - Prinzip: Systematische Fehler Fehlervermeidung Fehlerbeherrschung Vorgehen und Bewertung: Systematische Fehler FSM Functional Safety Management Vorgehensmodell bei Entwicklung (V- Modell) Empfehlungen in einschlägigen Normen folgen.. -> Auswirkungen auf die Struktur der techn. Realisierung (Redundanz, Diagnose,..) 20

20 Vorbetrachtungen Methoden u. Prinzipien Beispiel: Not-Aus-Kreis Aufbau mit komplexen Komponenten Typ B Regel - Prinzip: Zufällige Fehler Grenzwerte probabilistischer Kenngrößen Vorgehen und Bewertung: Bildquelle: Fa. Pilz GmbH & Co.KG, Ostfildern Anmerkg.: Einhaltung von probabilistischen Grenzwerten hat Auswirkungen auf die Struktur der techn. Realisierung (Redundanz, Diagnose,..) Zufällige Fehler Rechnen mit: o Ausfallwahrscheinlichkeiten, Lebensdauer o Fehlertoleranz, CCF Common Cause Failure o DC Diagnostic Coverage, SFF Safe Failure Fraction o Marcov-Diagramme, Fehlerbaumanalyse o.. Bewertung durch: o Strukuranalysen o Probabilistische Kenngrößen 21

21 Grundlagen Statistische Kenngrößen Statistische Kenngrößen: Fehlerrate: λ [1/h], [FIT] -1 FIT (Failurein Time) = /h λ ist zeitabhängig λ const. f.d. Betriebsphase 22

22 Grundlagen Statistische Kenngrößen Statistische Kenngrößen: Fehlerwahrscheinlickeit (Propability of Failure): PF(t) [%] Überlebenswahrscheinlickeit (Prop. of Reliability): PR(t) [%] Für λ const. gilt: PF(t) = 1 -e -λt PR(t) = e -λt PR(t) + PF(t) = 1 Mittlere Überlebenszeit [h]: m = 1 / λ = MTBF (MTTF) Mean Time between (to) Failures 23

23 Grundlagen abgeleitete Größen Die Fehlerrate λgibt zunächst keine Auskunft, wie ein konkretes Bauteil ausfällt! Bei sicherheitstechnischen Betrachtungen können Ausfälle differenziert werden in: Ausfälle = Sichere Ausfälle + Gefährliche Ausfälle λ = λ S (safe) + λ D (dangereous) Falls Diagnosetechniken zum Einsatz kommen: Gefährliche = detektierbare + undetektierbare Ausfälle gef. Ausfälle gef. Ausfälle λ D (dangereous) = λ DD (danger. detected) + λ DU (danger. undetected) λ = λ S + λ DD + λ DU 25

24 Grundlagen abgeleitete Größen Abgeleitete Kenngrößen: DC - Diagnostic Coverage (Diagnose-Abdeckungsgrad): DC = λdd = λ + λ DD DU λ λ DD D SFF - Safe Failure Fraction (prozentualer Anteil der sicher erkannten Fehler): SFF = λ λs S + + λ DD λ + DD λ DU = λ + λ S λ DD = λ λ λ DU 26

25 Grundlagen - Methoden Frage: Fehlerraten von Bauteilen, Einzelkomponenten sind bekannt! (z.b. Norm Siemens Norm SN 29500: Ausfallraten Bauelemente) Wie lässt sich dadurch eine Fehlerrate für das gefährliche Versagen eines komplexen Systems bestimmen? Antwort: Das funktionale Zusammenwirken der Einzelkomponenten zur Funktion des Gesamtsystems muss analysiert werden! Grundlagen: Funktionale Serienschaltung - Funktionale Parallelschaltung 27

26 Grundlagen - Methoden Serienschaltung: System S Subsysteme SS n S SS1 SS2 SS3 SSn SerienSchaltung_1.cdr Aussage1 (Gutfall): S funktioniert, wenn: Aussage2 (Versagensfall): S fällt aus, wenn: SS1UND SS2UND SS3UND...SSn funktionieren SS1 ODER SS2 ODER SS3 ODER...SSn ODER (SS1 UND SS2) ODER (SS1 UND SS3) ODER... (SS1 UND SSn) ODER (SS2 UND SS3) ODER! (SS2 UND SSn) ODER (SS1 UND SS2 UND SS3)... ODER!...) ausfallen 28

27 Grundlagen - Methoden Parallelschaltung(Redundanz): System S Subsysteme SS n S SS1 SS2 Aussage1 (Gutfall): S funktioniert, wenn: SS3 SS1ODER SS2ODER SS3ODER...SSn ODER (SS1 UND SS2) ODER (SS1 UND SS3) ODER... (SS1 UND SSn) ODER (SS2 UND SS3) ODER! (SS2 UND SSn) ODER (SS1 UND SS2 UND SS3)... ODER!...) funktionieren Aussage2 (Versagensfall): S versagt, wenn: SS1UND SS2UND SS3UND...SSn versagen SSn ParallelSchaltung_1.cdr 29

28 Grundlagen - Methoden Bool scheverknüpfung von Wahrscheinlichkeiten -> Gleichungen von Poincare 18. Dezember Hochschule Esslingen Standort Göppingen Fakultät Mechatronik und Elektrotechnik 30 UND - Verknüpfung von Wahrscheinlichkeiten P(A i ) von Ereignissen A i... ) ( ) ( ) (...) ( = A P A P A P A A A P ODER - Verknüpfung von Wahrscheinlichkeiten P(A i ) von Ereignissen A i Wichtig: Die Einzelereignisse A i müssen voneinander unabhängig sein! Praxis: Unabhängigkeit Ai nicht immer gegeben -> Korrekturfaktor: Common Cause Failure CCF ) (... ) ( ) ( ( 1) (... )) ( ) ( ) ( ( )) ( ) ( ( ) ( ) ( ,, 1, n n i i n i i i i i i i i n i i i i i n i i Ai A P A P A P A P A P A P A P A P A P P n i + + = < < = < = = = U

29 Grundlagen - Methoden Methoden zur Beschreibung von Systemen: FMEA -Fehlermöglichkeits-und Einfluss Analyse (Failure Mode and Effects Analysis) FMEDA - Failure Mode Effects and Diagnostic Analysis RBD Zuverlässigkeitsblockdiagramme (Reliability Block Diagrams) FTA Fehlerbaumanalyse (Fault Tree Analysis) Zustandsorientierte Wahrscheinlichkeits-Modelle Marcov-Modelle Anmerkung: Bei der Beschreibung realer Systeme sind außer den bekannten statistischen Kenngrößen (Fehlerrate, Fehlerwahrscheinlichkeit) weitergehende Fakten zu berücksichtigen wie z.b: Inspektionsintervalle Marcov-Modell gut geeignet Nutzungszeit, Nutzungsintervall bei Diagnose Diagnoseabdeckungsgrad und Diagnose-Intervallzeit Fehler gemeinsamer Ursachen bei mehrkanaligen Systemen (CCF Common Cause Failure) 31

30 Grundlagen Marcov am Beispiel NOT-Aus-Kreis 0 In Ordnung Fehlerrate: λ S Fehlerrate: λ DD Fehlerrate: λ DU Diagnosezyklusrate: µ Diag 2 Gef. Fehler entdeckt 1 Sicherer Fehler Rate der Wiederholungsprüfung: µ Wdh 3 Gef. Fehler unentdeckt Vorgehen: 1. Sicherheitsrelevante Systemzustände 2. Übergänge zwischen den Systemzuständen sind statistische Größen wie: Fehlerraten Nutzungsrate Intervalle Wiederholungsprüfung Diagnosezykluszeiten!!.. 3. Berechnung mittl. Systemwahrscheinlichkeiten Nutzungsrate: µ Nutzung 4 Gefährliches Versagen 33

31 Norm - Grundnorm IEC Grundnorm IEC (1998) Beschreibt Verfahren zur Beherrschung und Beurteilung systematischer und zufälliger Fehler Zwischenzeitlich viele fachspez. Normen abgeleitet: DIN IEC 61511: Sicherheitstechnische Systeme für die Prozesstechnik DIN IEC 61513: Kernkraftwerke Leittechnik DIN EN 50129: Bahnanwendungen Telekommunikationstechnik, Signaltechnik. DIN EN 62061: Sicherheit von Maschinen (Automatisierungstechnik) ISO CD 26262: Road vehicles Fahrzeugtechnik.. 34

32 Norm - Safety Integrity Level (SIL) Das Sicherheitsrisiko eines technischen System wird durch den Safety Integrity Level SIL kategorisiert (SIL 1 bis 4) Je höher das Risiko (und SIL) desto höher die Anforderungen an die entspr. Sicherheitskreise Ein Kriterium (nicht das Einzige) sind Fehlerwahrscheinlichkeiten z.b. Propability offailure on Demand PFD Anforderungen an Probability of Failure Safety integrity level SIL Betrieb im Anforderungsmodus Wahrscheinlichkeit eines Ausfall einer vorgesehener Funktion bei Anforderung Propabiltyof Failureon Demand (Low Demand) Betrieb im ununterbrochenen / hohen Anforderungsmodus Wahrscheinlichkeit eines gefährlichen Ausfall pro Stunde Propability of Failure (High Demand) bis < bis < bis < bis < bis < bis < bis < bis <

33 Funktionale Sicherheit - Methodik und technische Umsetzung Software Criticality Analyse Methode zur Bewertung der Sicherheitsrelevanz von abgeschlossenen Softwareeinheiten. Diese wurde eingeführt um:» Die Auswirkung von Fehlern in Software basierenden Systemen abzuschätzen, die eine Abweichung der implementierten Software von der spezifizieren Funktion zur Folge haben kann.» Einen angemessenen Aufwand im Sicherheitsnachweis bei den Maßnahmen zur Erreichung der geforderten Sicherheitsintegrität zu betreiben. Hierbei wird sowohl die Software betrachtet, die auf dem Zielsystem läuft und die Sicherheitsfunktion erbringt als auch die Software um die Sicherheitsfunktion zu entwickeln. Vortrag Technik Forum GP Seite Christoph Weishaar

34 Funktionale Sicherheit - Methodik und technische Umsetzung Software Criticality Analyse Diese Methode setzt voraus, dass die Softwareeinheiten hinreichend rückwirkungsfrei sind. Die folgende Softwareentwurfstechniken sind notwendig die Rückwirkungsfreiheit Softwareeinheiten sicher zu stellen:» Strukturierter Entwurf mit einem genau definiertem Funktionsumfang» Kapselung und innerer Zusammenhalt der Softwareeinheiten» Geringe Kopplung über wohl definierte Schnittstellen» Zeitliche Überwachung der Laufzeit kritischer Programmpassagen Die Kapselung wird beispielsweise über strukturellen Maßnahmen wie geschützte Speicherbereiche abgesichert und nachgewiesen. Vortrag Technik Forum GP Seite Christoph Weishaar

35 Funktionale Sicherheit - Methodik und technische Umsetzung Software Criticality Analyse C- Klassifizierung der Softwareeinheiten: C3: Sicherheitskritische Softwareeinheit, bei der ein Fehler unmittelbar in einen gefährlichen Zustand führen kann. C2: Sicherheitsrelevante Softwareeinheit bei der ein Erstfehler in Kombinationen mit einem zweiten unabhängigen Fehler zu einem gefährlichen Versagen führen kann. C1: Softwareeinheit die ein nicht schreibendes Interface zu einer C2- oder C3- Funktionalität besitzt. C0: Nicht sicherheitsrelevante Softwareeinheit, die keinerlei Verbindung zu einer C1.. C3- Softwareeinheiten besitzt. Vortrag Technik Forum GP Seite Christoph Weishaar

36 Funktionale Sicherheit - Methodik und technische Umsetzung Software Criticality Analyse Beispiel: Windkraftanlage Klasse Softwarefunktion C3 C2 C1 C0 Simulationstool der Windlast des Turms Compiler zur Codegenerierung Emulator zum Debugging Projektmanagement Tool wr_stat: Statusanzeige Ausgangsbaugruppe Ram_Test: Speichertest der Verarbeitungs-einheit switchoffpower: Trennt Spannung vom Netz X X X X X X X Vortrag Technik Forum GP Seite Christoph Weishaar

37 Funktionale Sicherheit - Methodik und technische Umsetzung Software Criticality Analyse Beispiel: Windkraftanlage Klasse Softwarefunktion C3 C2 C1 C0 readpii: Funktion der sicheren SPS um das Prozessabbild der Eingänge einzulesen stoprotor: Stoppt den Rotor im Falle eines Not-Halts measurevoltage: Misst Generatorspannung writelogmessage: Gibt Debug Meldungen aus CalcExpPitchAngle: Berechnet den Pitch Winkel als Soll Wert für die Überwachung writecurrentstatustohistory: Daten Logger Funktion des aktuellen Status X X X X X X Vortrag Technik Forum GP Seite Christoph Weishaar

38 Funktionale Sicherheit - Methodik und technische Umsetzung Software Criticality Analyse Beispiel: Windkraftanlage Klasse Softwarefunktion C3 C2 C1 C0 measure_t: Temperaturmessung Generator writesms: SMS zur Anforderung eines Serviceeinsatz absenden X X Vortrag Technik Forum GP Seite Christoph Weishaar

39 Funktionale Sicherheit - Methodik und technische Umsetzung Vielen Dank für ihr Interesse Wir freuen uns auf ihre Fragen Vortrag Technik Forum GP Seite Christoph Weishaar