Sicherheitsrelevante Steuerungen

Transkript

1 Sicherheitsrelevante Steuerungen Bild von Euch Rainer Will Belimo Stellantriebe Vertriebs GmbH Welfenstr. 27, Stuttgart Telefon: (030) Agenda 1 Einleitung Die "Lücke" im Gesetz VDMA , Vorgehensweise und Schwächen neuer Ansatz Ausblick

2 Sicherheitsrelevante Steuerungen "SIL"?? Das Abschottungsprinzip Quelle: brandschutz-balter.de

3 Nutzungseinheiten? Als Nutzungseinheit gilt: eine in sich abgeschlossene Folge von Aufenthaltsräumen, die einer Person oder einem gemeinschaftlichen Personenkreis zur Benutzung zur Verfügung stehen. Dabei können auch einzelne Räume als Nutzungseinheit ausgebildet werden. Brandschutztechnisch sind Nutzungseinheiten räumlich definierte Abschnitte, die gegeneinander brandschutztechnisch geschützt sind und so die Brandbekämpfung begünstigen und über eigene Rettungswege verfügen. Das Abschottungsprinzip Brandabschnitt F90 F30 Rauchabschnitt Quelle: brandschutz-balter.de

4 lüftungsseitige Abschottung Brandfallsteuerung der Lüftung

5 besser noch: RDA Sicherheits-Integritätslevel (SIL)...eine von vier diskreten Stufen zur Spezifizierung der Anforderung für die Sicherheitsintegrität der Sicherheitsfunktionen, die dem E/E/PEsicherheitsbezogenen System zugeordnet werden, wobei der Sicherheitslevel 4 die höchste Stufe der Sicherheitsintegrität und der Sicherheits- Integritätslevel 1 die niedrigste darstellt. zulässige Versagenswahrscheinlichkeit maximal zulässige Hardwarefehlertoleranz Anteil sicherer Ausfälle Diagnoseaufdeckungsgrad

6 "SIL-Objekte" Umweltbundesamt, Dessau Terminal 2, Flughafen München Beispiel: Klinikum Aachen

7 ungeregelter Bereich DIBt Mitteilungen 6/2002 Die Bauregelliste B Teil 2 wird im Kapitel 1 wie folgt geändert: Lfd. Nr. Bauprodukt Vorschriften zur Umsetzung der genannten EG- Richtlinien In den Vorschriften nach Spalte3 nicht berücksichtigte wesentliche Anforderungen nach 5 Abs. 1 Bauproduktengesetz und die hierfür noch nachzuweisenden Produktmerkmale Zusätzlich zur CE-Kennzeichnung erforderlicher Verwendbarkeits- und Übereinstimmungsnach-weis für die Anforderungen nach Spalte Automationseinheit zur Steuerung von Brandschutzklappen in Lüftungsanlagen oder von Entrauchungsklappen in Entrauchungsanlagen 73/23/EWG 89/336/EWG Nutzungssicherheit: Funktionssicherheit, Datensicherheit Brandschutz: Funktionserhalt unter Brandeinwirkung Z -1) Z - Allgemeine bauaufsichtliche Zulassung 73/23/EWG - In Deutschland umgesetzt durch die 1.GSGV vom (BGBl. I S.629) 89/336/EWG - In Deutschland umgesetzt durch das EMVG vom (BGBl. I S ) - Der erforderliche Übereinstimmungsnachweis wird in der Zulassung geregelt

8 Bauregelliste B Teil 2, 2012/1 DIN V und DIN EN Quelle: Gall, TÜV-Rheinland

9 VDMA-Einheitsblatt Vorgehen nach VDMA Definition erforderlicher Umweltprüfungen Aussagen zum Funktionserhalt von Komponenten und Leitungen Festlegung von "Systemreaktionszeiten" Festlegung von SIL-Anforderungen auf Basis eines Risikographen gemäß DIN EN 61508

10 Der Risikograph Ausfallgrenzwerte des Gesamtsystems Sicherheits-Integritätslevel: Ausfallgrenzwerte für die Sicherheitsfunktion, die in der Betriebsart mit niedriger Anforderungsrate betrieben wird Sicherheits- Integritätslev el Betriebsart mit niedriger Anforderungsrate (mittlere Ausfallwahrscheinlichkeit der entworfenen Funktion bei Anforderung) 4 > 10-5 bis < > 10-4 bis < > 10-3 bis < > 10-2 bis < 10-1

11 Beispiel aus Kommentar M-LüAR RDA für innen liegenden Sicherheitstreppenraum kein 2. baul. Rettungsweg vorhanden Schwachstellen der VDMA Risikograph an sich grobes Raster unkonkrete und nur bedingt geeignete Risikoparameter vorweggenommenes Ergebnis bezüglich SIL- Anforderung, das bei konsequenter Anwendung des Risikographen nicht reproduzierbar ist Aufteilung der Ausfallwahrscheinlichkeiten von Aktorik, Sensorik und Steuerung der "sichere Zustand" relevante Faktoren, die unberücksichtigt bleiben

12 Versagenswahrscheinlichkeit Aufteilung nach VDMA Sensor AE Aktorik 30% 20% 50% Ausfallsicherheit durch Zulassung gewährleistet Versagenswahrscheinlichkeit prozentuale Aufteilung?! Sensor AE Aktorik 30% 20% 50% SIL1 3*10-2 2*10-2 5*10-2 SIL2 3*10-3 2*10-3 5*10-3

13 "sicherer Zustand" und SIL-Anforderung Anteil der sicheren Ausfälle < 60 % nicht erlaubt Hardware-Fehlertoleranz SIL1 SIL2 60 % - < 90 % SIL1 SIL2 SIL3 90 % - <99 % SIL2 SIL3 SIL4 > 99 % SIL3 SIL4 SIL4 Ausfall gefährlich, unerkannt Ausfall gefährlich, erkannt Ausfall sicher (Σλ S + Σλ DD ) / (Σλ S + Σλ D ) λ S Ausfall in sichere Richtung λ D gefährlicher Ausfall λ DD gefährlicher Ausfall, erkannt "sicherer Zustand" nach VDMA Brandschutzklappe: Stellung ZU Entrauchungsklappe: Verharren in der bestehenden Position

14 "sicherer Zustand" Brandschutzklappe BSK (Normalfall) mit thermischer Auslösung: Stellung ZU (eigensicher) BSK (Normalfall) mit zusätzlicher Rauchauslösung: Stellung ZU (u.u. aber bezügl. Rauchauslösung nicht eigensicher) BSK in Laboren, OP-Bereichen, Reinräumen.. Stellung ZU (bezüglich Brandfall), aber vorzeitiges oder grundloses Schließen problematisch BSK bei Kaltentrauchung oder Nachströmung MRA Stellung AUF im Entrauchungsfall Stellung ZU erst ab 72 /95 C "sicherer Zustand" Entrauchungsklappe Im betroffenen Brandbereich: Stellung AUF (zur Entrauchung) In nicht befroffenen Bereichen: Stellung ZU (zur Verhinderung des Brandüberschlags) Ein Verharren in der bestehenden Position könnte nur dann als sicherer Zustand gewertet werden, wenn vor einer Störung ein korrekter Befehl abgegeben und auch ausgeführt wurde kann nicht gewährleistet werden

15 unberücksichtigte Faktoren Lässt sich (tatsächlich) ein sicherer Zustand definieren? Sind anzusteuernde Komponenten (bezüglich der gewünschten Funktion) "eigensicher"? Gibt es Prioritäten bezüglich der Funktion des Systems (z.b. Abschottung geht vor Entrauchung)? Lässt sich ein Versagen des Systems kompensieren? Tatsächliche Ausfallwahrscheinlichkeit von Aktoren und Sensoren. Funktionale Verknüpfung von Aktoren und Sensoren. Umfang und Zyklen von Funktionskontrollen. Schnellverfahren Festlegung von Anforderungen unter folgenden Gesichtspunkten: Lässt sich ein sicherer Zustand definieren? Wird der sichere Zustand bei Versagen der Steuerung selbsttätig eingenommen? Ist bei Versagen der Steuerung die Entrauchung und/oder die Abschottung gefährdet? Lässt sich ein Versagen des Systems kompensieren? unterstellte Annahmen: kein sicherer Zustand bei Entrauchungsklappen Ausfallwahrscheinlichkeit von Aktorik und Sensorik bleibt unberücksichtigt die anzusteuernde Aktorik ist für den Personenschutz notwendig

16 Vorschläge Schnellverfahren Kategorie a, z.b: Ansteuerung von BSK mit direkter Rauchauslösung Endlagenüberwachung BSK Ansteuerung von Rauchschutzklappen SIL 1, z.b.: Ansteuerung von BSK mit indirekter Rauchauslösung Ansteuerung von Lüftungsklappen zur Kaltentrauchung SIL 2, z.b.: Ansteuerung von Entrauchungsklappen Ansteuerung von BSK zur Nachströmung von MRA SIL 3, z.b.: Ansteuerung von Kombiklappen RDA-Klappen für nicht redundante Sicherheitstreppenräume modifizierter Risikograph modifizierter Risikograph unter Beibehaltung der Grobstruktur des Risikographen aus VDMA mit Risikoparametern C: Schadensausmaß F: Häufigkeit P: Gefahrenabwehr W: Eintrittswahrscheinlichkeit, aber insgesamt 20 (statt bisher 8) Klassifizierungen mit Wichtung dieser Klassifizierungen sowie differenzierter SIL-Einteilung

17 Risikoparameter C: Schadensausmaß C A : das ABE hat keinen Einfluss auf den Personenschutz, oder (z.b. Entrauchung zur Brandnachbehandlung) C B : das ABE unterstützt die Selbstrettung von Personen, oder (z.b. Kaltentrauchung von Verkaufsstätten) C C : Personen sind zur Selbstrettung auf das ABE zwingend angewiesen, oder (z.b. maschinelle Entrauchung einer Versammlungsstätte) C D : das ABE dient der Rettung von Personen, die auf Fremdrettung angewiesen sind (z.b. Rauchfreihaltung Krankenhaus, OP-Bereiche) C E : die anzusteuernde Aktorik ist bezüglich ihrer Funktionsstellung nicht eigensicher (z.b. Ansteuerung von Entrauchungsklappen) C F : bei Versagen des ABE ist die Abschottung gefährdet (z.b. Ansteuerung von Kombiklappen) Risikoparameter F: Häufigkeit (Aufenthaltsdauer, Personenzahl, Personendichte) F A : zeitweiser Aufenthalt (unter 6 Stunden pro Tag), oder F B : normale Aufenthaltsdauer (6-14 Stunden pro Tag), oder F C : durchgängiger Aufenthalt (14-24 Stunden pro Tag) F D : unter 200 Personen, oder F E : Personen, oder F F : über 1000 Personen F G : normale Personendichte F H : hohe Personendichte

18 Risikoparameter P: Gefahrenabwehr P A : das ABE ist redundant verfügbar, oder (z.b. zweiter Sicherheitstreppenraum mit RDA) P B : das ABE ist "tolerant", oder (z.b. Parallelschaltung separat angesteuerter Ventilatoren) P C : ein Versagen des ABE ist durch andere Maßnahmen (teilweise) kompensierbar, oder (z.b. durch zusätzliche andere brandschutztechnische Maßnahmen) P D : ein Versagen des ABE ist nicht durch andere Maßnahmen kompensierbar Risikoparameter W: Eintrittswahrscheinlichkeit W A : durchschnittlich W B : erhöht (z.b. Erlebnisbad mit Saunalandschaft, Labore)

19 Punkte-Wichtung und SIL- Differenzierung Beispiel: Krankenhaus Verhinderung der Kaltrauchübertragung durch die Lüftungsanlage motorische Brandschutzklappen werden bei Auslösung der BMA über die GLT angesteuert schnelles Schließen der BSK im betroffenen Bereich durchgängiger Betrieb Fremdrettung <200 Personen norm. Personendichte teilw. kompensierbar durchschn. Brandrisiko 8 jeder 60. Brandfall?

20 Risikograph-Darstellung ganzheitlicher Ansatz Ableitung der Anforderungen an die Steuerung unter Berücksichtigung der tatsächlichen Ausfallwahrscheinlichkeit von Aktorik und Sensorik (ansatzweise) Berücksichtigung von Faktoren wie: konstruktive Unterschiede Verknüpfungsstruktur von Aktorik und Sensorik Möglichkeiten der Fehlerdiagnose

21 Konkrete Ausfallwahrscheinlichkeit PFDSteuerung = 1- (1-PFDges) / ((1-PFDAktorik) * (1-PFDSensorik)) aus modifiziertem Risikograph Abschätzung Ausfallwahrscheinlichkeit von Aktorik und Sensorik "Basisausfallwahrscheinlichkeit" BSK: 0,001 (SIL2; 21 Punkte) EK: 0,0002 (SIL3; 25 Punkte) EV: 0,0002 (SIL3; 25 Punkte) BMA: 0,00125 (SIL2; 19 Punkte)

22 Korrekturfaktoren und Wichtung A 1 : funktionale Verknüpfung Aktorik, Sensorik, Steuerung A 1A : einfache Struktur 1 bis 2 A 1B : durchschnittliche Struktur 0 A 1C : komplexe Struktur -1 bis -4 A2: konstruktive Verbesserungsmaßnahmen Aktorik A 2A : besonders sichere Konstruktion 1 A 2B : Zyklenfestigkeit höher als gefordert 1 A3: Funktionstests der Einzelkomponenten der Aktorik A 3A : gemäß Zulassung 0 A 3B : zusätzliche Funktionstests 1 S1: Maßnahmen zur Erhöhung der Ausfallsicherheit der Sensorik S 1A : durchschnittliches Niveau 0 S 1B : zusätzliche Maßnahmen 1 bis 2 T1: Funktionstests des Gesamtsystems T 1A : regelmäßige Black Box Tests 1 bis 3 T 1B : regelmäßige Vollprobetests 1 bis 4 funktionale Verknüpfung Entrauchungsanlage Brandschutzklappen

23 Funktionstests Risiko Hoch 1 Monat 2 Mittel Niedrig 6 Monate (Monate) Zeit Inbetriebsetzung Elektrischer Funktionstest Inspektion vor Ort Elektrischer Funktionstest Inspektion vor Ort Elektrischer Funktionstest Inspektion vor Ort Ergebnis praxistaugliche Ergebnisse Bewertungskriterien nachvollziehbar geregelt (Akzeptanz!) wirtschaftliches Optimierungspotenzial (Heben von Sicherheitsreserven) "ehrliche" Ergebnisse (bei hohen Anforderungen an die funktionale Sicherheit wird die zulässige Versagenswahrscheinlichkeit vollständig von der Aktorik und Sensorik "aufgebraucht") Vorgehensweise zwingt den Anwender zu einer komplexeren Risikoanalyse

24 Ausblick