Safety Neue Trends - Nutzen für den Anwender?! am 27. März 2006 Dipl.-Ing. Udo Hug. Bekanntgegebener 29a Gutachter nach BImSchG

Transkript

1 Safety 2006 Neue Trends - Nutzen für den Anwender?! am 27. März 2006 Dipl.-Ing. Udo Hug Bekanntgegebener 29a Gutachter nach BImSchG Agenda Neue nationale Anwenderrichtlinie DIN EN / 61511/ und VDI/VDE 2180 Neue Technologien Integrierte / Autarke Systeme Neue Sicherheitskonzepte und Methoden zur Auslegung von Sicherheitsfunktionen Prüfzeitenverlängerung Einfluss auf Planung und Betrieb (SIL-Assessment) 1

2 VDI / VDE 2180: Stand der Richtlinie Sicherung von Anlagen der Verfahrenstechnik mit Mitteln der Prozessleittechnik VDI / VDE 2180 (neue Blätter 1-3 ) liegen seit Oktober 2005, Blatt 4 liegt seit Februar 2006 als Gründruck vor. VDI / VDE 2180 soll dem Anwender konkrete Beispiele zu den Anforderungen der IEC geben. Gliederung der VDI / VDE 2180 Blatt 1: Einführung, Begriffe, Konzeption Blatt 2: Managementsystem, Lebenszyklus Blatt 3: Anlagenplanung, errichtung und -betrieb Blatt 4: Berechnungsmethode 2

3 Im Blatt 3 zur Anlagenplanung und -errichtung 2.1 Spezifikation der Schutzeinrichtungen 2.2 Entwurf und Planung der Schutzeinrichtung 2.3 Montage und Inbetriebnahme der Schutzeinrichtungen 2.4 Prüfung der Schutzeinrichtungen 2.5 Flexibilisierung von Prüfabständen für Schutzeinrichtungen Im Blatt 3 im Teil 3: Anlagenbetrieb 3.1 Organisatorische Festlegungen 3.2 Betrieblicher Umgang mit Schutzeinrichtungen 3.3 Instandhaltung der Schutzeinrichtungen 3.4 Änderungen an Schutzeinrichtungen 3

4 Integration ein modernes Schlagwort Integrierte Sicherheitstechnik SIS und BPCS als Einheit Trennung zwischen Sicherheitssystem und Basissystem SIS BPCS - ABB - Emerson - Yokogawa - Siemens usw. - HIMA - Honeywell - Pilz usw. Integriertes System (SIS und BPCS) SIS SIS-Sensorik BPCS BPCS-Sensorik Remote I/O BUS-Anschaltung BUS-Anschaltung Remote I/O Hardwaremäßige Trennung und rückwirkungsfreie Konvertierungsbausteine SIS-Aktorik BPCS-Aktorik 4

5 ABB - System 800xA mit integrierter SIS Operations Information Management Asset & Device Management Engineering BPCS BPCS & SIS SIS Gleiche Konfigurationswerkzeuge Gleiche Datenarchivierung Gleiches Asset- und Gerätemanagement Gleiche Bedienstation Gleicher Audit Trail Gleiche oder gemeinsam genutzte Feldinstrumentierung Getrennte Applikationen für BPCS und SIS Instrumentierung Zentraleinheit - AC 800M HI PM865 CPU - 96Mhz, 32MB - Einfache / Redundante CPUs - Proprietärer System-Bus (Optisch) - Remote I/O sind S800, S900 - Kommunikationsschnittstellen: 2 x RS232 und 2 x Ethernet SM810 Safety Module (Co-processor) - 96Mhz, 32MB - Einfache / Redundante CPUs (wie auch PM) - Eingangssignal für Zugriffsschutz und Force-Reset - Ausgangssignal für Forcen aktiv und Systemalarm max. SIL 2 (SIL 3 in Vorbereitung) Unter Spannung austauschbar bei einfacher und redundanter Konfiguration 5

6 Systemsicherheit und integrierte Firewalls Processor Module SM810 PM 865 S 880 E/A Modules RAF C Zugang Erlaubt P Force - Reset Force Aktiv System Alarm Redundante Konfiguration - AC 800 M HI SM 810 BC 810 PM 865 TB 840 Remote I/O SM 810 BC 810 PM 865 Optical Systembus CEX bus RCU Link Einfache und redundante Struktur Zulassung bis SIL 3 6

7 DeltaV SI - System Programmieroberfläche ist Delta V - auf gemeinsamer Engineeringstation - über Passwortebene geschützt dezentrale autarke Sicherheitsmodule Signalaustausch zwischen den SIS- Modulen über proprietäres Bussystem SIL 3 gemäß IEC bereits in nichtredundanter Ausführung Redundanz zur weiteren Erhöhung der Verfügbarkeit Alarmauflösung 1 ms Planung und Programmierung nur über eigenes firmeninternes Personal Yokogawa System mit ProSafe RS Eigenschaften der SIS ProSafe RS Sicherheitskommunikation auf PLS Systembus realisiert Layout wie CS 3000 PNK Bedienung auf CS 3000 ABK Engineering auf CS 3000 ENG SIL 3 gemäß IEC bereits in nicht-redundanter Ausführung Redundanz zur weiteren Erhöhung der Verfügbarkeit Alarmauflösung 1 ms 7

8 F-Technik bei SIEMENS SIS und BPCS als Einheit Maschinen bezogene Sicherheitstechnik Safety integrated S F S F Verfahrenstechnische Sicherheit PCS 7 mit AS 400 F /HF Aufbau: S7-300/400F (Siemens) S7-300F / -400F Zentral mit Standard- und sicherheitsgerichteten Peripheriebaugruppen E-/A- Baugruppen - ET 200M Dezentral mit Standard- und sicherheitsgerichteten Peripheriebaugruppen - ET 200S mit Standard- und sicherheitsgerichteten Peripheriemodulen (auch in Verbindung mit sicherheitsgerichteten Motorstartern) 8

9 Programmaufbau S7-300/400F Koexistenz von Standard- und sicherheitsgerichtetem Programm auf einer CPU. Änderungen am Standardprogramm haben keine Auswirkung auf die Integrität des sicherheitsgerichteten Programmteils. Standard Programm Fail-safe Programm Standard Programm Fail-safe Programm Standard Programm S7-400F/FH - Prüfung der Software Zeitüberwachung / Diversität anstelle von struktureller Redundanz Operatoren A, B Operation C Ausgang UND Diversitäre Operatoren Codierung /A, /B ODER Diversitäre Operation Vergleich D = /C F-Stop wenn D /C Diversitärer Ausgang Zeitüberwachung Zeit 9

10 Autarke Systeme (z.b. PES) SIS Sensorik E-Karte SSPS (PES) A-Karte C O M BPCS Aktorik rückwirkungsfrei entkoppelt Dezentrale Automatisierung mit safeethernet der Fa. HIMA Dezentrale Struktur mit zentraler Intelligenz mit dezentraler Intelligenz HMI / Programmierstation Zentrale und dezentrale intelligente Steuerungen dezentrale Remote I/O ohne Intelligenz sichere Datenübertragung mit Safe Ethernet nicht sicherer Bus für Visualisierung, Programmierung, nicht sicheren Datenaustausch konventionelle Verdrahtung zur Sensor- / Aktor- Ebene Anbindung an BPCS mit OPC konventionelle Verdrahtung zur Sensor- / Aktor-Ebene Ethernet Standard PES F3 DIO 20/8 F3 DIO 20/8 10

11 S7-400 / PCS 7 zu HIMA H51q über OPC Systemfamilie Hi Quad Zentrale Steuerungen H 41 / 51 qc MS/HS keine Remote I/O - Anbindung sichere Datenübertragung mit Safe Ethernet zur Visualisierung, Programmierung kein sicherer Datenaustausch konventionelle Verdrahtung zur Sensor-/ Aktor-Ebene Anbindung der SIS an BPCS mit OPC Zuverlässige Planung Nur zertifizierte Systeme werden verwendet. Zertifizierungsauflagen (Sicherheitshandbücher) müssen beachtet werden. Eindeutige Trennung zwischen sicherheitsrelevanten und nicht sicherheitsrelevanten Anwendungen Komplette Systemdokumentation ist erforderlich! Auslegung der Feldbusbasierten Systeme muss nachgemessen werden - Sicherheitszeitbetrachtung! Vorgehensweise ist über einen Fertigungsplan der Sicherheitstechnik zu dokumentieren. Erstellung von Verifikations-/ Validationsplänen EMR-Anweisungen im Umgang mit SIS sind zu erzeugen und zu leben. Aktivierung von Lebensläufen (Hard- / Software) Generelle Dokumentationspflicht. 11

12 Feldbus-Technologie NE 97 Feldbus für Sicherungsaufgaben Entwurf VDI/VDE 2184 Zuverlässiger Betrieb und Wartung von Feldbussystemen pr IEC Leitfäden für die Installation von Feldbussystemen Basis ist die NAMUR Empfehlung NE97 Stand März 2003 erarbeitet durch AK 4.5 "Anlagensicherung" Strukturen und Architektur Konfiguration / Parametrierung Verfügbarkeitsbetrachtung Zertifizierung 12

13 ISO-Modell Safety- Protokollzellen 7 Application layer Anwendungsfunktionen Read/Write Start/Stop File Transfer 2 Data link layer Zugriffsverfahren Gesicherte Übertragung CRC-Check CSMA/CD Token 1 Physical-layer Physik der Übertragungsstrecke Koax/Triaxkabel LWL-Kabel 2-Draht-Leitung PROFIsafe zur PROFINET IO PROFINET IO / Ethernet Gleiche Architektur wie bei PROFIBUS 13

14 Status der Sicherheitsfeldbusse Die beiden hauptsächlichen Feldbussysteme in der Feldebene der Prozessautomatisierung, basierend auf IEC : FOUNDATION Fieldbus H1 PROFIBUS PA PROFIsafe für PA Geräte PROFIsafe für PA Geräte V1.0 freigegeben Dezember 2004 Basiert auf PROFIsafe Profil V1.3 mit den folgenden Charakteristiken: - Ein Kabel für standard- und sicherheitsgerichtete Anwendungen - Black channel Prinzip - Sicherheitslayer unabhängig von Protokollayer Inhalt des Profildokumentes: - Anforderungen - Mapping des PA Profils auf PROFIsafe Zertifizierung von PROFIsafe in PA Geräten verfügbar ab Nov Achema Vorstellung der ersten Produkte 14

15 Sichere Basis für Sicherheitsfeldbusse Feldbus Installationstechnik: - muss Anlagenstillstand aufgrund von Problemen im Physikal Layer (Layer 1) vermeiden. - muss die maximale Verfügbarkeit des Sicherheitssystems gewährleisten. - muss einfache Fehlerlokalisierung und behebung unterstützen durch klare, eindeutige Netzwerktopologien. - muss die Verzerrung von sicherheitsgerichteten Signalen durch externe Störeinstrahlung und negative Einflüsse, z.b.: Spannungsstöße, minimieren. - muss den notwendigen Explosionsschutz bereitstellen. - darf die Vorteile der Feldbustechnologie bei Investitions- und Betriebskosten nicht unnötig reduzieren Verlängerte Prüffristen - Regelwerke Entwurf NE Prüfabstände von PLT Schutzeinrichtungen VDI/VDE Sicherung von Anlagen der Verfahrenstechnik mit Mitteln der Prozessleittechnik (PLT) Blatt 3 - Anlagenplanung, -errichtung und -betrieb Blatt 4 - Berechnungsmethoden für Zuverlässigkeitskenngrößen von PLT-Schutzeinrichtungen DIN EN Funktionale Sicherheit sicherheitsbezogener elektrischer/ elektronischer/ programmierbarer elektronischer Systeme Teil 6: Anwendungsrichtlinie für IEC und IEC

16 Prüffristen Verlängerung! Wann sinnvoll? Nur in besonderen Ausnahmefällen Bei Konti - Betrieb mit hohen Ausfallkosten bei Stillstand Bei sehr aufwendiger zeitintensiver Wiederinbetriebnahme! Welche Anforderung muss beachtet werden? NAMUR-Empfehlung (NE) 106 Was ist SIL Einstufung und Prüfung SIL 1 SIL 2 SIL 3 PFD = ½ λτ λ DU λ DD λ SD λ SU Eine Prüfzeitverkürzung reduziert nicht automatisch λ DU! Zur Reduzierung ist eine Prüfung erforderlich, die alle passiven Fehler offenbart! 16

17 Theoretische Grundlage Güte verbessern! PFD = ½ λ DU τ dann Prüfzeit verlängern! Prüfintervall Güte der PLT- Schutzeinrichtung Ermitteln der Problematik Erkenntnisse über Fehlerrate vom Gesamtkreis, inklusive Produkteinfluss, für quantitative Bewertung der Schutzeinrichtung nötig! PFD SFF HFT PFD SFF HFT PFD SFF HFT Problemkind Aktor verschlechtert Ergebnis 17

18 Ansätze zur Prüfintervall-Verlängerung Optimierung des Prüfungsmanagements durch gezielte Einbindung der Prüfungen in den Betriebsablauf oder Nutzung von anderen Produktionsunterbrechungen. Erhöhung des Redundanzgrads der PLT-Schutzeinrichtung Erhöhung des Diagnoseabdeckungsgrads des Sensorund Aktorteilsystems Optimierung der Prüfung 1. Teillösung Teilprüfungen mit unterschiedlichen Prüfintervallen, weil Diagnosegrad sehr unterschiedlich. Hoch Sehr hoch Mittel PFD SFF HFT PFD SFF HFT PFD SFF HFT 18

19 Erhöhung des Redundanzgrades 2. Teillösung Struktur verbessert die Güte der PLT- Schutzeinrichtung mit zusätzlicher Diagnose. Zusätzliche Diagnose 3. Teillösung Einkanalige Ventilansteuerung Logiksystem L - Diagnoseprinzip: Ruhestrom erreichbarer DC: 30-40% Ventilanlauf-Test mit Beobachtung der Stellungsrückmeldung Diagnoseprinzip: Dynamisierung erreichbarer DC: 60-70% 19

20 Einfluss auf Planung und Betrieb Wie geht der Planer, der Betreiber dieses Thema an? Sicherheitsmanagement SIL Assessment SIL - Bewertung Welche Forderungen stellen die Normen Verfahrenstechnisches Regelwerk DIN EN (VDE 0810) SIL 1 4 mit Nachweis (rechnerisch oder per Dokument) Maschinentechnisches Regelwerk DIN EN und DIN pren (Ersatz f. EN 954-1) Performance level (PL a d) = SIL 1 3 mit Nachweis (rechnerisch oder per Dokument) Elektrische Ausrüstung für Feuerungsanlagen DIN EN (VDE 0116) Sicherheitsniveaustufe 1 4 (keine rechnerischer Nachweis, nur Fehlerausschlussverfahren und baumustergeprüfte Geräte / Komponenten) 20

21 SIL Assessment Start Grob-Planung Beratung Geräte und Loop-Auswahl Detail-Planung SIL - Eignung Inbetriebnahme Betrieb Ende Prüfung der Planung, der Anwender-SW SIL - Eignung Strukturen von Sicherheitssystemen 1oo1 1oo1D 1oo2 2oo2 1oo2D 2oo3 Ein Kanal, nicht sicherheitsgerichtet. Ein Kanal mit Diagnose und inhärenter Sicherheit, energieloser Zustand im Fehlerfall. 2 Kanäle, UND-Verknüpfung, erhöht SIL um eins. Im Fehlerfall eines Kanals garantiert der andere Kanal die Sicherheit. 2 Kanäle, ODER-Verknüpfung keine Sicherheit, evtl. Diagnose. 2 Kanäle, ODER-Verknüpfung jeder mit Diagnose und inhärenter Sicherheit, erhöht die Verfügbarkeit. 2oo3 Auswahl hauptsächlich in Sensorkreisen zur Erhöhung von Sicherheit und Verfügbarkeit 21

22 Architektur der PLT-Schutzeinrichtung Kenndaten zu den Geräten Vorgaben nach NAMUR-Empfehlung (NE) 79 Herstellererklärung zur Konformität mit IEC Wir bestätigen, dass das Gerät... mit der Softwareversion xx.yy.zz nach NE 53 nach IEC für SIL 2 entwickelt und gefertigt wurde. Die Software erfüllt die Anforderungen für SIL 3. Einkanalig SIL 2 Zweikanalig SIL 3 Die durchgeführte FMEA ergab folgende Parameterwerte: -Anteil sicherer Ausfälle (SFF):... -mittlerer Ausfallabstand (MTBF):... -Versagenswahrscheinlichkeit bei Anforderung:... -Lambda-Raten für -sicherheitsgerichte unentdeckte Fehler:... -sicherheitsgerichte entdeckte Fehler:... -gefährliche unentdeckte Fehler:... -gefährliche entdeckte Fehler:... -Anteil der durch eine manuelle Prüfung erkennbaren Fehler:... Sensor 1 Sensor 2 E / E / PES 22

23 Struktur und Nachweis der SIS Sensor Umformer Umformer Aktor Sensor Umformer E/E/PES Sensor Umformer Umformer Aktor Festlegung der Struktur (z.b. 2oo3-Sensorik,1oo2-Aktorik) Ermittlung der PFD AVG -bzw. λ-werte pro Strang Ermittlung der β-werte gemäß Tabelle 6.x aus IEC Berechnung der SIL-Eignung der SIS Vorgaben der Prüfintervalle Eindeutige Kennzeichnung der SIS! Beiblatt 2 der Sicherheitsrichtlinie SR 4 [6/99] 1. Hiermit wird die ordnungsgemäße Prüfung der Planung bescheinigt: 1.1 Prüfung der Hardware Datum Unterschrift des Prüfers / Name (Klartext) 1.2 Prüfung der Anwendersoftware (falls gegeben) Datum Unterschrift des Prüfers / Name (Klartext) 2. Hiermit wird die ordnungsgemäße Errichtung nach Vorgaben des planenden Ingenieurs bescheinigt: Datum Unterschrift des verantwortlichen Bau- oder Montageleiters / Name (Klartext) 3. Hiermit wird die ordnungsgemäße Erstprüfung vor Inbetriebnahme bescheinigt: 3.1 Montageendprüfung (funktional) Datum 3.2 Erstmalige Funktionsprüfung gemäß Prüfanweisung vom: Datum Unterschrift des Prüfers / Name (Klartext) Datum Unterschrift Betrieb / Name (Klartext) Datum Unterschrift des EMR-Fachbetriebsingenieurs / Name (Klartext) 23

24 Zusammenfassung SIL - Bewertung: Auswirkung auf die Beschaffung und Planung Erstellung von Nachweise zur Betriebsbewährung Erzeugung von Dokumenten, Quellennachweise, Berechnung und Bewertung von Sicherheitskreisen Herstellervorgaben zum Erreichen der spezifischen λ-werte sind notwendig (Montageanleitung, Einsatzbedingungen usw.). Ergänzende Maßnahmen Zusätzliche Funktionen in der Signalverarbeitung Prüfung der Planung Prüfung der Anwendersoftware Erarbeitung eines SIL-Bewertungsverfahren im Betrieb Erarbeitung von Typicals (Sensorik, Signalverarbeitung, Aktorik) Sicherheitsmanagementsystem! Ganzheitliche Betrachtung SIL-Eignung PLT- Schutzeinrichtung SIS Einhaltung der Regelwerke Gesetze Verordnungen Technische Regeln Allgemein anerkannte Regeln der Technik SIF Betreiber Planer Prüfer durch Methoden Dokumentation 24

25 Vielen Dank! Haben Sie noch Fragen? Überleitung zur Podiumsdiskussion Das ist Safety! Was ist mit Security? Zugriffsschutz - Keine einheitliches Konzept - Zu einfache Umgehung Hart-Parametrierung Vor Ort Bedien-/ Parametrierbarkeit der Feldgeräte usw. 25