Electrosuisse. SEV Verband für Elektro-, Energie- und Informationstechnik. Wissenstransfer und Vermittlung branchenübergreifender

Transkript

1 Electrosuisse SEV Verband für Elektro-, Energie- und Informationstechnik Information, Ausund Weiterbildung, Normungstätigkeit Anerkannte schweizerische Fachorganisation Wissenstransfer und Vermittlung branchenübergreifender Kontakte ITG und ETG Wahrung der Branchen- und Berufsinteressen Qualitätssicherung und Weiterentwicklung elektrotechnischer Dienstleistungen und Produkte 1

2 Netze und Installationen - Beratung und Kontrollen für HS- und NS-Netze und NS-Installationen - Expertisen Schadenfälle / Störungen / Unfälle - Netzqualitäts- und Leistungsmessungen Industrie und Handel «Weltweiter Marktzutritt für Ihre Produkte» - Beratung Normen und EU-Richtlinien - Konformitätsprüfung zu int. Normen für EMV und elektr. Sicherheit - Produktzertifizierung (CB, ENELEC ) - Risikoanalyse und Risikobewertung - Typenprüfung und Expertisen Weiteres - Schulungszentrum - Fachverlag («Bulletin», Fachbücher) - Normenverkauf (IEC, EN, NIN etc.) - CES-Sekretariat (Comité Electrotechnique Suisse) int. Normung 2

3 Zukauf von - Albislab, Zürich - Montena emc sa, Rossens Abstimmung der bestehenden, grossen schweizerischen Markt-Player zu einem schlagkräftigen Unternehmen im EMV- und Safety- Prüf- und Beratungsgeschäft. 3 3

4 6 Laborstandorte in allen Regionen der Schweiz ZÜRICH ROSSENS GOLDACH (SG) FEHRALTORF BADEN BERN 4

5 - Messhallen in allen Grössen - - Unterwegs zu Ihnen in allen Regionen - 10m Halle in Rossens 3m - Hallen Zürich, Baden, Bern, Fehraltorf On-Site, z.b. Aeroporto Lugano 5

6 Risikobeurteilung in Bezug auf Funktionale Sicherheit Referent: Enrico Pagani, Electrosuisse, Fehraltorf Beratungs- uns Schulungsmandate bezüglich CE-Konformität, Risikobewertung und Risikomangement, sowie Produktprüfungen bezüglich funktionale Sicherheit 6

7 Was ist funktionale Sicherheit? schematisch Bildquelle: Pilz GmbH & Co.,

8 Funktionale Sicherheit Funktionale Sicherheit Betrifft aktive Steuer- und Überwachungssysteme die letzt-instanzlich sicherstellen, dass die Zusammenarbeit zwischen Mensch (Tier und Umwelt) und System (Geräte, Maschinen, Anlagen) jederzeit unfallfrei abläuft. Funktionssicherheitssysteme Hard- und Software die an der Ausführung der sicherheitsrelevanten Funktionen beteiligt ist. Sicherheitsrelevante Funktionen Funktion die durch Funktionssicherheitssysteme durchgeführt werden. Die sicherheitsrelevanten Funktionen sind Teil der Risikominderungs- Massnahmen. 8

9 Strategie zur Risikominderung bei technischen Systemen 1. Inhärent sichere Konstruktion: (inhärent = innewohnend) Die Sicherheit ist in die Konstruktion integriert. z.b. durch den - konzeptionellen Aufbau - die Funktionalität 2. Technische Schutzmassnahmen: Trennende oder nicht trennende Schutzeinrichtungen. z.b. Schutztüren, Lichtschranken, Überwachungssensoren mit Eingriff auf den Antrieb etc. ( Sicherheitsrelevante Funktionen) 3. Benutzerinformation: - an der Maschine, (ggf. bei der Bedienstation) - bei der Instruktion - in der Betriebs- und Wartungsanleitung Information sicherheitsrelevante Funktion Konstruktion akzeptiert R I S I K O zu hoch 9

10 Güte von sicherheitsrelevanten Funktionen bzw. Funktionssicherheitssystemen Güte wird erzeugt durch: - geeignete Hardware - geeignete (systematische) Entwicklungsprozesse Güte wird spezifiziert in den technischen Normen zur funktionalen Sicherheit. Geforderte Güte : Philosophie: Je höher das Risiko (oder Anteil davon) ist, dass durch die sicherheitsrelevanten Funktionen (bzw. durch die sie realisierende Hard- und Software) abzudecken ist, desto höher sind die Ansprüche an die Zuverlässigkeit der Sicherheitsfunktion (Sicherheitsintegrität). Sicherheitsintegrität RISKO 10

11 Auswahl von Normen zur funktionalen Sicherheit Bezeichnung Anwendung Harmonisierung IEC EN bis -7 Ausgaben: 2001 neu: 2010 EN ISO :2008 EN ISO :2013 Generische Grundnorm Funktionalen Sicherheit sicherheitsbezogener elektrischer/elektronischer/programmierbarer elektronischer Systeme ( elektronische Geräte allg.) Sicherheitsbezogene Teile von Steuerungen (elektrisch, pneumatisch und hydraulisch realisiert) Teil 1:Gestaltungsleitsätze (Performance Level); Teil 2 Validierung wird nicht harmonisiert MRL MRL (später) IEC EN 62061:2005 Elektrisch programmierbare, sicherheitsrelevante Funktionen ( SIL) MRL IEC EN ,-2,-3 Ausgabe 2004 Funktionale Sicherheit - Sicherheitstechnische Systeme für die Prozessindustrie - IEC EN :2004 Berührungslos wirkende Schutzeinrichtungen MRL IEC EN Ausgabe 2006 Elektrische Leistungsantriebssysteme mit einstellbarer Drehzahl; Teil 5-2: Anforderungen an die Sicherheit Funktionale Sicherheit MRL 11

12 Performance Level (ISO 13849) Safety Integrity Level (IEC 61508, IEC 61511, IEC ) Obgenannte Normen verfolgen im Wesentlichen gleiche Konzepte: Beschreiben die Güte in Stufen (PL a e bzw. SIL 1 4) Je höher PL oder SIL, umso höher ist das Potential Risiken zuverlässig zu reduzieren. Betrachten - die Robustheit gegenüber zufälligen Hardware-Ausfällen Mean Time To Failure MTTF d, Ausfallrate λ - die Architektur n zu m Redundanz, Diversität, Fehlerentdeckungsfähigkeit - die Systematik des Entwicklungsprozesses Vermeiden, dass sich systematische Fehler eingeschlichen haben. (gilt für Software- und Hardware-Entwicklung) 12

13 Gegenüberstellung der Stufen (Anforderungsgrade) PFH 10-5 bis <10-4 Ausfallrate in FIT *10-6 bis 3001 < bis 1001 < 3* Maschinensektor EN ISO generisch EN EN PL a - - PL b SIL1 SIL1 PL c SIL 1 SIL bis < PL d SIL 2 SIL bis < PL e SIL 3 SIL bis < SIL 4 Risiko 13

14 Verbindung von Risikobeurteilung mit Funktionaler Sicherheit In manchen Produktnormen sind für spezifische Sicherheitsfunktionen die zu erreichenden PLr und/oder SIL vorgegeben. Wenn es keine Vorgaben gibt, dann soll in der Risikobeurteilung (Risikobeurteilungsteam) bestimmt werden, welche Sicherheitsintegritätsklasse festzulegen ist! PLr (required Performance Level) geforderter SIL Der Erbauer / Betreiber des Funktionssicherheitssystems muss sicherstellen (dokumentieren!), dass die geforderte Sicherheitsintegritätsklasse erreicht wird! 14

15 Risikobeurteilung 15

16 Risikobeurteilung nicht Kür sondern Pflicht Die Maschinenrichtlinie (MRL) 2006/42/EG (CH MaschV), verlangt gemäss Anhang I, Abschnitt 1 ausdrücklich die Durchführung einer Risikobeuteilung und deren Dokumentation. Die Produktsicherheitsrichtlinie 2001/95/EG (CH: PrSG) verlangt, dass Hersteller nur sichere Produkte in Verkehr bringen dürfen: Anwendung von europäischen Produktenormen, Falls notwendig, zusätzliche Beurteilung (der nicht in den Normen behandelten) Risiken. Ausserdem: - Eine frühzeitige Risikobeurteilung (bereits im Konzept-Stadium) spart meist Kosten- und Zeitaufwand bei der Produktentwicklung. - Produktrisiken bezüglich Gesundheitsschutz sind erhebliche Geschäftsrisiken. 16

17 Prozess Start 1. Bewertungsmassstab festlegen 2. Bestimmung der Grenzen der Maschine 3. Identifizierung der Gefährdungen 4. Risikoeinschätzung 5. Risikobewertung Risikobeurteilung Risikobeurteilung Restrisiko tragbar? Nein 6. Risikominderung Ja Ende 17

18 Begriff Risiko - akzeptiertes Risiko Risiko (R) = f (P,S) Eintrittswahrscheinlichkeit P: Eintrittswahrsch. des Schadens (P) Schadensausmass (S) - Gefährdungsexpositions-Zeit - Präsenzzeit der Gefährdung - Erkennbarkeit der Gefährdung / Begrenzbarkeit des Schadens nicht akzeptiertes Risiko 18

19 Hinweise zum Vorgehen Vor / zu Beginn des Prozesses einen Bewertungsmassstab festlegen, welcher von den verantwortlichen Stellen (QM-Verantwortlicher, Leiter Technik, Geschäftsleitung) genehmigt ist. Legen sie fest, welches Bewertungssystem* sie anwenden wollen. Die Beurteilung ist Teamarbeit! Das optimale Team bestehet aus: Konstrukteur Steuerungs-Entwickler Service-Fachmann Ergonom / Ersteller des Bedienhandbuchs Prozess-Spezialist unabhängiger Moderator *) siehe weiter unten 19

20 Viele Bewertungs-Methoden Die EN ISO 12100:2011 legt keine spezifische Methode fest, sondern gibt das generelle Vorgehen vor. Auswahl von Methoden-Klassen: ALARP-Modell mit Risikomatrix SUVA 5x5 Matrix (Top-down, halb-quantitativ) IEC Teil 5 Anhang C Risikograph EN ISO Teil 1 Quantitative Methode EN ISO 12100: 2011 Hybride Methode (Scoring + Risikomatrix) IEC EN FMEA (Failure Mode and Effect Analisys) 20

21 Methode SUVA: Die 5 x 5 Matrix (1) Wird von der SUVA für die Bewertung von technischen Systemen verwendet.*) Eintretenswahrscheinlichkeit P häufig A gelegentlich B III selten C II unwahrscheinlich D I praktisch unmöglich E *) ONLINE möglich Schadenausmass D

22 Welcher PL oder welcher SIL? 22

23 FMEA Risikoprioritätszahl (RPZ) Risikoprioritätszahl RPZ = Wahrscheinlichkeit des Auftretens (A) x Bedeutung der Folgen (B) x Wahrscheinlichkeit der Entdeckung (E) Welcher PL oder welcher SIL? 23

24 Methode gemäss IEC EN Führt direkt zur SIL-Klassierung (Funkt. Sicherheit) EN 61508, EN 62061; EN 61511etc. S Klasse (K) = W + F + P 3 bis 4 5 bis 7 8 bis bis bis 15 4 SIL 2 SIL 2 SIL 2 SIL 3 SIL 3 3 a.mas. SIL 1 SIL 2 SIL 3 2 a.mas. SIL 1 SIL 2 1 a.mas. SIL 1 Schwere des Schadens / Verletzung Irreversibel; Verlust Augen, Gliedmassen, Tod 4 Gebrochene Gliedmassen, Verlust von Finger 3 Reversible Verletzung mit Arztkonsultation 2 Reversible Verletzung ohne Arztkonsultation 1 S Auftretensw. der Gefahr W Sehr hoch 5 wahrscheinlich 4 möglich 3 selten 2 vernachlässigbar 1 Expositionsdauer < 1 Std. 5 mehr als 1 Std. bis 1 Tag 4 mehr als 1 Tag bis 2 Wochen 3 mehr als 2 Wochen bis 1 Jahr 2 mehr als 1 Jahr 1 Möglichkeit zur Vermeidung (Flucht) unmöglich 5 F P selten 3 wahrscheinlich 1 24

25 Methode gemäss EN ISO EN :2008 Findet Anwendung in der Maschinenindustrie und führt direkt zum Performance Level (PLr) Beitrag zur Risikominderung?? S Schwere der Verletzung: S1: leicht (üblicherweise reversibel) S2: schwer (üblicherweise irreversibel) S1 F1 F2 P1 P2 P1 P2 a b L F Häufigkeit der Gefährdungsexposition: F1: selten bis öfter / kurze Dauer F2: häufig bis dauernd / lange Dauer P Möglichkeit zur Vermeidung der Ereignisses: P1: möglich unter bestimmten Bedingungen (z.b. langsame Bewegung) P2: kaum möglich (z.b. elektrischer Schlag) S2 F1 F2 P1 P2 P1 P2 c d e Risiko H 25

26 Beitrag zur Risikominderung bei PLr, SIL Sicherheitsrelevante Funktionen leisten gewöhnlich nur einen Beitrag zur Risikominderung. Daneben leisten auch konstruktive Massnahmen und Informationsmassnahmen ihren Teil zur Risikominderung! Das bedeutet, dass bei der Abschätzung des PLr oder SIL so zu tun ist, wie wenn die Sicherheitsfunktion versagen würde. Information sicherheitsrelevante Funktion Konstruktion akzeptiert R I S I K O zu hoch 26

27 Beispiel Betrachtungsstandpunkt für die Abschätzung des PLr oder SIL: Die Bearbeitungsstation verfügt über eine, mit gewöhnlichem Handgriff versehene Schutztüre. Die Schutztüre kann jederzeit geöffnet werden. Das Transportband wird nicht gestoppt und läuft u.u. Die Bearbeitungsstation läuft ebenfalls mit voller Geschwindigkeit, bzw. kann jederzeit anlaufen. Die Personen, die am häufigsten mit der Anlage in Kontakt sind, kennen die Gefahren. Sicherheitsfunktion: Bei offener Zugangstüre sind Transportband und Bearbeitungsstation (schrittweise) nur in der Betriebsart Revision betreibbar: Transportband über einen Zustimmschalter mit reduzierter Geschwindigkeit Bearbeitungsstation über Schrittschalter im Schrittbetrieb. In Betriebsart Automatik ist eine Zuhaltung der Revisionstüre aktiviert, welche öffnen der Türe verhindert. Betrachtungsstandpunkt: Es hat keine Schutztüre! 27

28 Schlusskontrolle angemessen sicher Nach der erfolgreichen Implementierung aller Risiko-Reduktions-Massnahmen: nochmalige Beurteilung des Risikos muss nun im akzeptablen Bereich oder mindestens Im ALARP-Bereich liegen. Sind durch die neuen Massnahmen keine neuen, unvertretbaren Risiken entstanden? Risikobeurteilungsdokumentation unterzeichnen (lassen) und ablegen bei der technischen Dokumentation des Systems. Der Kunde hat (aus Sicht des Gesetzes) kein Recht auf Einsicht. 28

29 Zusammenfassung der wichtigsten Punkte Risikobeurteilung wird idealer Weise durch ein multidisziplinäres Team durchgeführt und ist ein Muss. Risikominderung nach dem 3-Stufen-Prinzip. Funktionale Sicherheit: aktive technische Schutzmassnahmen (Stufe 2) Risikobeurteilung ist die Basis für die Festlegung der Güte der Sicherheitsfunktion. Je höher das abzudeckende Risiko, desto höher die Zuverlässigkeitsanforderung an das Funktionssicherheitssystem, desto höher der erforderliche PLr bzw. SIL. Ausgangspunkt für die Bestimmung der PLr / SIL: Zusätzlich Risikominderungsmassnahmen dürfen berücksichtigt werden. Nachkontrolle, ob Risiken genügend gemindert sind, wenn alle Massnahmen implementiert sind. 29

30 Fragen??? Vielen Dank für Ihr Interesse! 30