Bewertung von Sicherheitssteuerungen: Von der Sicherheitsfunktion zum Performance Level (PL)

Transkript

1 : Von der Sicherheitsfunktion zum Performance Level (PL) Dr. Michael Huelke, BGIA - Institut für Arbeitsschutz der Deutschen Gesetzlichen Unfallversicherung (DGUV), Sankt Augustin Aufgrund der Beratungs- und Prüfungstätigkeit des BGIA rund um die EN ISO und mit dem BGIA Tool SISTEMA gibt es ein deutliches Feedback, wo die wesentlichen Herausforderungen und die dringlichen Fragen bei der Anwendung der EN ISO liegen. Diese Fragen sind auch auf die Anwendung der EN übertragbar. Beide Steuerungsnormen liefern die Anforderungen und (Rechen-)Methoden, aber wenig praktikable Informationen zur Vorgehensweise bei der Definition von Sicherheitsfunktionen und der Modellierung der Steuerungshardware. Viele Unternehmen bewerten derzeit ihre existierenden Schaltungskonzepte, die auch noch nächstes Jahr in Verkehr gebracht werden sollen. Ein wichtiger Erfolgsfaktor ist die korrekte Analyse der Steuerungsschaltung. Wenn dies nicht gelingt, dann wird daraus auch der Performance Level bzw. der Safety Integrity Level falsch berechnet. Dieser Vortrag möchte etwas Orientierung geben: Anhand von Beispielen einer zelle werden die wichtigsten Prinzipien bei der Definition von Sicherheitsfunktionen dargestellt. Ist eine bestimmte Sicherheitsfunktion erst korrekt definiert, dann gelingen die Modellierung der zugehörigen Steuerungsstruktur und der Nachweis des erreichten Performance Level recht schnell. Der Vortragende macht dabei auf mögliche Fallen aufmerksam und verweist auf weitere Informationen und Hilfsmittel. Dieser Nachweis geht besonders einfach, wenn die heute verfügbaren Sicherheitsbauteile verwendet werden. Ist die Steuerungsstruktur identifiziert, beginnt die Berechnung der Wahrscheinlichkeit gefahrbringender Ausfälle (PFH). Hier stellt sich die Frage nach den Zuverlässigkeitsdaten der verwendeten Bauteile: welche Daten muss der Bauteilehersteller liefern? Welche Ersatzwerte kann man nehmen (wenn nur MTBF oder B10 vorliegen)? Wie werden die in der Norm gelisteten typischen Bauteilewerte verwendet? Der Vortrag geht abschließend kurz auf die Frage ein: Wie werden die Anforderungen der , Absatz 6.4, für die Anwendungsprogrammierung einer Sicherheits-SPS ausgewählt? Dr. Michael Huelke war 13 Jahre in Unternehmen der Automatisierungstechnik tätig und ist seit 2002 beim BGIA. Im Fachbereich 5 Unfallverhütung Produktsicherheit leitet er das Referat 5.1 Neue Technologien, Mensch und Technik. In diesem Referat wurden zum Beispiel die Methoden zur Bestimmung der Ausfallwahrscheinlichkeit für die EN ISO erarbeitet. Dieses Referat entwickelt auch das kostenlose Softwaretool SISTEMA. michael.huelke@dguv.de INFOTAG SICHERHEITSSTEUERUNGEN IM FOKUS DER NEUEN MRL,

2 VDMA-INFOTAG SICHERHEITSSTEUERUNGEN - BEWERTUNG VON SICHERHEITSSTEUERUNGEN 1 : Von der Sicherheitsfunktion zum Performance Level (PL) Infotag Sicherheitssteuerungen im Fokus der neuen MRL, 10. November 2009 Dr. Michael Huelke Aufgrund der Beratungs- und Prüfungstätigkeit des BGIA rund um die EN ISO und mit dem BGIA Tool SISTEMA gibt es ein deutliches Feedback, wo die wesentlichen Herausforderungen und die dringlichen Fragen bei der Anwendung der EN ISO liegen. Diese Fragen sind auch auf die Anwendung der EN übertragbar. Beide Steuerungsnormen liefern die Anforderungen und (Rechen-)Methoden, aber wenig praktikable Informationen zur Vorgehensweise bei der Definition von Sicherheitsfunktionen und der Modellierung der Steuerungshardware. Viele Unternehmen bewerten derzeit ihre existierenden Schaltungskonzepte, die auch noch nächstes Jahr in Verkehr gebracht werden sollen. Ein wichtiger Erfolgsfaktor ist die korrekte Analyse der Steuerungsschaltung. Wenn dies nicht gelingt, dann wird daraus auch der Performance Level bzw. der Safety Integrity Level falsch berechnet.

3 VDMA-INFOTAG SICHERHEITSSTEUERUNGEN - BEWERTUNG VON SICHERHEITSSTEUERUNGEN 2 Übersicht Prinzipien zur Definition von Sicherheitsfunktionen Berechnen des Performance Level in der Praxis Zuverlässigkeitsdaten für Bauteile Auswahl der Anforderungen an Anwendungssoftware BGIA, Dr. Michael Huelke VDMA-Infotag Sicherheitssteuerungen/MRL Seite Dieser Vortrag möchte etwas Orientierung geben: Anhand von Beispielen einer zelle werden die wichtigsten Prinzipien bei der Definition von Sicherheitsfunktionen dargestellt. Ist eine bestimmte Sicherheitsfunktion erst korrekt definiert, dann gelingen die Modellierung der zugehörigen Steuerungsstruktur und der Nachweis des erreichten Performance Level recht schnell. Der Vortragende macht dabei auf mögliche Fallen aufmerksam und verweist auf weitere Informationen und Hilfsmittel. Dieser Nachweis geht besonders einfach, wenn die heute verfügbaren Sicherheitsbauteile verwendet werden. Ist die Steuerungsstruktur identifiziert, beginnt die Berechnung der Wahrscheinlichkeit gefahrbringender Ausfälle (PFH). Hier stellt sich die Frage nach den Zuverlässigkeitsdaten der verwendeten Bauteile: welche Daten muss der Bauteilehersteller liefern? Welche Ersatzwerte kann man nehmen (wenn nur MTBF oder B10 vorliegen)? Wie werden die in der Norm gelisteten typischen Bauteilewerte verwendet? Der Vortrag geht abschließend kurz auf die Frage ein: Wie werden die Anforderungen der EN ISO , Absatz 6.4, für die Anwendungsprogrammierung einer Sicherheits-SPS ausgewählt?

4 VDMA-INFOTAG SICHERHEITSSTEUERUNGEN - BEWERTUNG VON SICHERHEITSSTEUERUNGEN 3 Vorgehensweise 1. Sicherheitsfunktionen SF1 SFx festlegen SF: Eindringen in das Schutzfeld des Laserscanners führt zu einem Stillsetzen der Gefahr bringenden Bewegung 2. Hardware identifizieren, die jeweils eine SF realisiert 3. Für jede SF Hardware strukturieren: in Subsysteme mit zugekauften Sicherheitsbauteilen bzw. kombinierten Standardbauteilen gliedern Blöcke: Subsysteme : BGIA, Dr. Michael Huelke VDMA-Infotag Sicherheitssteuerungen/MRL Seite B1 B1 K1 K1 1V3 1V3 1V5 1V5 1V4 1V4 1S3 1S3 SB1 SB2 SB3 Performance Level berechnen Auf dieser Folie sind die drei wesentlichen Schritte dargestellt, damit der erreichte Performance Level PL (oder auch der SIL) von sicherheitsbezogenen Teilen einer Maschinensteuerung berechnet werden kann. Diese Berechnung kann nur korrekt und vollständig sein, wenn diese drei Aufgaben richtig bearbeitet werden. Ausgehend von einer Risikobeurteilung und im Rahmen der Risikominderung werden u.a. steuerungsbasierte technische Schutzmaßnahmen festgelegt. Dazu werden an einer Maschine in der Regel mehrere Sicherheitsfunktionen definiert. Für jede Gefährdungssituation wird separat das Risiko bewertet (mit Risikograf). Diese Bewertung ergibt das Maß der Risikoreduzierung und damit die erforderliche Qualität der Steuerung: den erforderlichen Performance Level PLr. Dieser Vorgang Definition der Sicherheitsfunktion ist in Normen wenig beschrieben. Von diesem Vorgang hängt aber das richtige Ergebnis PL wesentlich ab. Daher konzentriert sich der Vortrag auf diesen Schritt. Im zweiten Schritt gilt es, für jede einzelne Sicherheitsfunktion SFx getrennt, diejenige Hardware (Bauteile, Komponenten, etc) zu identifizieren, von deren Zuverlässigkeit genau diese eine Sicherheitsfunktion SFx abhängt. Im dritten Schritt müssen die jeweiligen Hardwareketten modelliert werden: es entsteht für jede einzelne Sicherheitsfunktion SFx das sogenannte sicherheitsbezogene Blockdiagramm. Anhand dieses Diagramms kann dann der erreichte PL (der SIL) für jede SFx separat berechnet werden.

5 VDMA-INFOTAG SICHERHEITSSTEUERUNGEN - BEWERTUNG VON SICHERHEITSSTEUERUNGEN 4 Prinzipien zur Definition von Sicherheitsfunktionen Sicherheitsfunktion ist Schutzmaßnahme zur Risikominderung: Immer vom Gefährdungsbereich Schutzzaun aus definieren! Bediener Schutztür Gefährdungs- Bereich (GB) mit erforderlichem Performance Level (PLr) Sicherheitsfunktion SF für Gefährdungsbereich GB: Wenn Schutztür geöffnet wird, dann wird stillgesetzt BGIA, Dr. Michael Huelke VDMA-Infotag Sicherheitssteuerungen/MRL Seite In den folgenden Folien werden die wichtigsten Prinzipien zur Definition von Sicherheitsfunktionen dargestellt. Als Beispiel wird eine zelle verwendet, die von einer Person durch eine Schutztür betreten wird. Rund um den entsteht für diese Peron ein Gefährdungsbereich. In diesem Gefährdungsbereich können mindestens eine Gefährdung gleichzeitig auf die Person wirken. Das Risiko wird pro Gefährdungsbereich bewertet und die Risikominderung durch eine Sicherheitsfunktion soll das Risiko auf ein angemessen vermindertes Risiko reduzieren. Eine Sicherheitsfunktion wird daher vom Gefährdungsbereich GB aus definiert und bezieht sich in der Regel auf eine Schutzeinrichtung: Pro Kombination von GB und Schutzeinrichtung (hier Stellungserfassung der Schutztür) ergibt sich eine Sicherheitsfunktion. In dem hier gezeigten Fall lautet die Sicherheitsfunktion SF: Wenn die Schutztür geöffnet wird, dann wird der stillgesetzt. Diese Wenn.., dann.. Formulierung ist typisch für eine saubere Definition. Es wird erst das auslösende Ereignis benannt (warum bzw. wann wird die SF angefordert?) und dann die sicherheitsgerichtete Reaktion (alle Gefährdungen beseitigen). Eine SF lautet also nie nur Öffnen der Schutztür oder Stillsetzen des s.

6 VDMA-INFOTAG SICHERHEITSSTEUERUNGEN - BEWERTUNG VON SICHERHEITSSTEUERUNGEN 5 Hardware identifizieren und strukturieren Sicherheitsfunktion SF für Gefährdungsbereich GB: Wenn Schutztür geöffnet wird, dann wird stillgesetzt * Hardwarekomponenten, die diese eine SF realisieren Schutztür Logik Antrieb 1 Antrieb 2 Sicherheitsbezogenes Sicherheitsblockdiagramm * Stillgesetzt durch integrierte sichere Antriebsfunktionen BGIA, Dr. Michael Huelke VDMA-Infotag Sicherheitssteuerungen/MRL Seite Wenn die Sicherheitsfunktion der vorherigen Folie richtig definiert ist, dann werden im zweiten Schritt die zugehörigen Hardwarekomponenten identifiziert: - Stellungserfassung der Schutztür - Logik (z.b. Sicherheits-SPS) - und die Antriebssteuerungen des s (in diesem Beispiel nur zwei Antriebe) Es sei angenommen, dass der durch integrierte sichere Antriebsfunktionen stillgesetzt würde. Im dritten Schritt wird diese Kombination der Hardware bezüglich der Zuverlässigkeit modelliert. In diesem Beispiel führt jeder gefahrbringende Ausfall einer Komponente zum Verlust der Sicherheitsfunktion. Im sicherheitsbezogenen Blockdiagramm (siehe Folie) ergibt dies eine Reihenschaltung von Subsystemen. Keines der Subsysteme ist zueinander redundant. Im unten dargestellten Bildschirmausdruck ist die zugehörige Konfiguration im BGIA-Tool SISTEMA dargestellt.

7 VDMA-INFOTAG SICHERHEITSSTEUERUNGEN - BEWERTUNG VON SICHERHEITSSTEUERUNGEN 6 Prinzipien zur Definition von Sicherheitsfunktionen Getrennte Gefährdungsbereiche GB2 (PLr2) 2 1 GB1 (PLr1) BGIA, Dr. Michael Huelke VDMA-Infotag Sicherheitssteuerungen/MRL Seite Wie sind die Sicherheitsfunktionen zu definieren, wenn durch die Schutztür zwei oder mehrere Gefährdungsbereiche (um jeden herum) erreicht werden können? Auf der Folie sind zwei räumlich getrennte Gefährdungsbereiche dargestellt, deren Gefährdungen für eine Person sich nicht überlagern. Die eintretende Person wird entweder nur im GB1 gefährdet oder nur im GB2. Es wird pro GB in Kombination mit der Schutztür je eine SF definiert. Für jede SF wird das Risiko, das zu mindern ist, getrennt bewertet. Für jede SF ergibt sich ein erforderlicher Performance Level PLr. In diesem Beispiel werden sie in der Regel gleich sein. Aber es könnte sich auch ergeben, dass bei gleichem Schadensausmaß die Aufenthaltsdauer oder frequenz in den GBen unterschiedlich sind. Dann können PLr1 und PLr2 auch verschieden sein.

8 VDMA-INFOTAG SICHERHEITSSTEUERUNGEN - BEWERTUNG VON SICHERHEITSSTEUERUNGEN 7 Definition der Sicherheitsfunktionen Sicherheitsfunktion SF1 für Gefährdungsbereich GB1: Wenn Schutztür geöffnet wird, dann wird 1 stillgesetzt Schutztür Logik 1 Antrieb 1 1 Antrieb 2 Sicherheitsbezogenes Sicherheitsblockdiagramm Sicherheitsfunktion SF2 für Gefährdungsbereich GB2: Wenn Schutztür geöffnet wird, dann wird 2 stillgesetzt Schutztür Logik 2 Antrieb 1 2 Antrieb 2 BGIA, Dr. Michael Huelke VDMA-Infotag Sicherheitssteuerungen/MRL Seite In dem Beispiel der vorherige Folie werden zwei Sicherheitsfunktionen SF1 und SF2 definiert. Für beide wird das Blockdiagramm dargestellt. Es wird für beide SF der erreichte PL getrennt berechnet. Falls die steuerungstechnisch identisch sind (und auch die Anzahl der Betätigungen verschleißbehafteter Bauteile), wird der erreichte PL für beide SF gleich sein.

9 VDMA-INFOTAG SICHERHEITSSTEUERUNGEN - BEWERTUNG VON SICHERHEITSSTEUERUNGEN 8 Prinzipien zur Definition von Sicherheitsfunktionen Mehrere Schutzeinrichtungen sichern einen Gefährdungsbereich jeweils eine eigene Sicherheitsfunktion Schutztür 2 Schutztür 1 GB (PLr1, PLr2) BGIA, Dr. Michael Huelke VDMA-Infotag Sicherheitssteuerungen/MRL Seite Wie werden die SF definiert, wenn es einen GB gibt, aber mehrere Zugänge und damit mehrere Schutzeinrichtungen? In diesem Beispiel steht nur ein mit einem GB, der aber über zwei Schutztüren zugänglich ist. Hier wird davon ausgegangen, dass eine Person zu einem betrachteten Zeitpunkt immer nur durch eine Schutztür gehen kann. Seine Sicherheit ist also zu einem Zeitpunkt von der Zuverlässigkeit dieser einen Stellungserfassung abhängig. In diesem Beispiel ergeben sich zwei SF durch die Kombination von einem GB mit zwei Schutzeinrichtungen. Das Schadensausmass und wahrscheinlich auch die Möglichkeit, die Gefährdung zu vermeiden, werden im selben GB identisch sein. Die Person könnte aber unterschiedlich häufig durch die Schutztüren eintreten, somit könnte PLr1 und PLr2 für beide SF verschieden sein.

10 VDMA-INFOTAG SICHERHEITSSTEUERUNGEN - BEWERTUNG VON SICHERHEITSSTEUERUNGEN 9 Definition der Sicherheitsfunktionen Sicherheitsfunktion SF1 für Gefährdungsbereich GB: Wenn Schutztür 1 geöffnet wird, dann wird stillgesetzt Schutztür 1 Logik Antrieb 1 Antrieb 2 Sicherheitsbezogenes Sicherheitsblockdiagramm Sicherheitsfunktion SF2 für Gefährdungsbereich GB: Wenn Schutztür 2 geöffnet wird, dann wird stillgesetzt Schutztür 2 Logik Antrieb 1 Antrieb 2 BGIA, Dr. Michael Huelke VDMA-Infotag Sicherheitssteuerungen/MRL Seite In dem Beispiel der vorherige Folie werden wiederum zwei Sicherheitsfunktionen SF1 und SF2 definiert. Für beide wird das Blockdiagramm dargestellt. Es wird für beide SF der erreichte PL getrennt berechnet. Falls die Stellungserfassung der Schutztüren steuerungstechnisch identisch sind (und auch die Anzahl der Betätigungen verschleißbehafteter Bauteile), wird der erreichte PL für beide SF gleich sein.

11 VDMA-INFOTAG SICHERHEITSSTEUERUNGEN - BEWERTUNG VON SICHERHEITSSTEUERUNGEN 10 Prinzipien zur Definition von Sicherheitsfunktionen Überlagerte Gefährdungen GB2 GB3 GB1 BGIA, Dr. Michael Huelke VDMA-Infotag Sicherheitssteuerungen/MRL Seite Wie definieren sich die SF, wenn Gefährdungsbereiche überlappen? Eine Person kann in diesem Beispiel in dem GB3 zwischen den beiden n stehen und von beiden n gleichzeitig gefährdet sein. Seine Sicherheit in diesem GB3 ist offensichtlich davon abhängig, dass beide (und ihre Antriebe) zuverlässig stillgesetzt werden.

12 VDMA-INFOTAG SICHERHEITSSTEUERUNGEN - BEWERTUNG VON SICHERHEITSSTEUERUNGEN 11 Definition der Sicherheitsfunktionen Sicherheitsfunktion SF3 für Gefährdungsbereich GB3: Wenn Schutztür geöffnet wird, dann werden 1 und 2 stillgesetzt GB3 (PLr3) Schutztür Logik 1 Antrieb 1 1 Antrieb 2 2 Antrieb 1 2 Antrieb 2 BGIA, Dr. Michael Huelke VDMA-Infotag Sicherheitssteuerungen/MRL Seite Neben den Sicherheitsfunktionen SF1 und SF2 für die getrennten GB1 und GB2 wird eine dritte SF3 definiert. Hier sind in der Sicherheitsfunktion, im Blockschaltbild und in der Konfiguration im SISTEMA alle Antriebe beider gleichzeitig zu berücksichtigen. Vorausgesetzt, dass sich aus der Risikobewertung für alle drei SF derselbe erforderliche Performance Level PLr ergibt, ist dies der ungünstigste Fall mit der größten summierten Ausfallwahrscheinlichkeit. Hier kann es genügen, anstelle aller drei SF nur die SF3 zu berechnen, um den PLr zu verifizieren.

13 VDMA-INFOTAG SICHERHEITSSTEUERUNGEN - BEWERTUNG VON SICHERHEITSSTEUERUNGEN 12 Berechnen und verifizieren des Performance Level PL Beim Performance Level einer SF werden die Zuverlässigkeit der zugehörigen Hardware und Software betrachtet: - Software: der erforderliche PL (PL r ) bestimmt Anforderungen - Hardware: Ausfallwahrscheinlichkeiten addieren zum PL - PL der SF und auch PL der einzelnen Subsysteme mit PL r vergleichen BGIA, Dr. Michael Huelke VDMA-Infotag Sicherheitssteuerungen/MRL Seite Wenn der erreichte Performance Level einer Sicherheitsfunktion bestimmt wird, ist dies oft mehr als nur die Berechnung der Summe der Ausfallwahrscheinlichkeiten der Hardware. Falls z.b. für eine Sicherheits-SPS ein Anwendungsprogramm geschrieben wird, muss dieses die Softwareanforderungen entsprechend dem erforderlichen PL erfüllen. Die Ausfallwahrscheinlichkeiten der einzelnen Hardwarekomponenten werden durch die verfügbaren Tools addiert und ergeben in der Summe den erreichten PL der Sicherheitsfunktion. Abschließend die Verifikation in zwei Schritten: 1) Ist der erreichte PL der SF gleich oder größer als der erforderliche PL? Gleichzeitig ist zu prüfen: 2) Sind auch alle PL der einzelnen Hardwarekomponenten gleich oder größer als der erforderliche PL? Bei den verfügbaren Komponenten kann es Konstellationen geben, bei denen Verifikationsschritt 1) erfüllt ist, aber nicht Schritt 2). Das BGIA-Tool führt beide Verifikationsschritte durch.

14 VDMA-INFOTAG SICHERHEITSSTEUERUNGEN - BEWERTUNG VON SICHERHEITSSTEUERUNGEN 13 Berechnen und verifizieren des Performance Level PL Schutztür Logik Antrieb 1 Antrieb 2 PFH SF = PFH 1 + PFH 2 + PFH 3 + PFH 4 PL 1 PL 2 PL 3 PL 4 PL SF PL r und auch PL 1-4 PL r BGIA, Dr. Michael Huelke VDMA-Infotag Sicherheitssteuerungen/MRL Seite Der auf der vorherigen Folie beschriebene Vorgang der Verifizierung des Performance Level ist hier anhand einer der Sicherheitsfunktionen der zelle dargestellt. Für jede Komponente bescheinigt deren Hersteller einen PLx und eine Ausfallwahrscheinlichkeit PFHx. Die PFHx werden addiert und ergeben die PFH SF für die Sicherheitsfunktion. Anhand der Tabelle 3 der EN ISO wird der zugehörige PL SF für die Sicherheitsfunktion abgelesen. Dieser PL SF wird mit dem PLr der Sicherheitsfunktion verglichen. Zusätzlich werden auch die vier PLx der Komponenten mit dem PLr der Sicherheitsfunktion verglichen.

15 VDMA-INFOTAG SICHERHEITSSTEUERUNGEN - BEWERTUNG VON SICHERHEITSSTEUERUNGEN 14 Welche Daten für Komponenten (Subsysteme) erforderlich? Beispiele: Lichtvorhang, Sicherheits-SPS, integrierte Antriebsfunktion STO erreichter Performance Level (PL) durchschnittliche Wahrscheinlichkeit eines gefährlichen Ausfalls je Stunde (PFH) Kategorie Gebrauchsdauer (T M ), wenn kleiner als 20 Jahre applikationsabhängige Voraussetzungen, z.b. für Fehlerausschlüsse BGIA, Dr. Michael Huelke VDMA-Infotag Sicherheitssteuerungen/MRL Seite Auf dieser Folie ist zusammengestellt, welche Daten für komplexe (Sicherheits)- komponenten zur Anwendung nach EN ISO , z.b. mit dem Tool SISTEMA, erforderlich sind. Diese Daten sind oft durch Prüfstellen zertifiziert.

16 VDMA-INFOTAG SICHERHEITSSTEUERUNGEN - BEWERTUNG VON SICHERHEITSSTEUERUNGEN 15 Welche Daten für Bauteile (Elemente) erforderlich? Beispiele: Elektrischer Schalter, Relais, Ventil Mittlere Zeit bis zum gefahrbringenden Ausfall MTTF d (a) oder λ d (FIT), alternativ bei Verschleißteilen: B10 d wenn zutreffend: bewährtes Bauteil wenn zutreffend: Diagnosedeckungsgrad DC, der mit eingebauten Testmöglichkeiten erreichbar ist Bei MTTF d : Gebrauchsdauer (T M ), wenn kleiner als 20 Jahre applikationsabhängige Voraussetzungen, z.b. für Fehlerausschlüsse BGIA, Dr. Michael Huelke VDMA-Infotag Sicherheitssteuerungen/MRL Seite Auf dieser Folie ist zusammengestellt, welche Daten für nicht-komplexe (Standard)-Bauteile zur Anwendung nach EN ISO , z.b. mit dem Tool SISTEMA, erforderlich sind. Diese Daten sind in der Regel nicht durch Prüfstellen bestätigt.

17 VDMA-INFOTAG SICHERHEITSSTEUERUNGEN - BEWERTUNG VON SICHERHEITSSTEUERUNGEN 16 Quellen für Zuverlässigkeitsdaten Werte für Bauteilegüte: MTTF d bzw. B10 d Die Norm EN ISO :2008 gibt Rangfolge vor: 1) Herstellerangaben (Recherche erforderlich!) 2) Typische Bauteilewerte der Norm, Anhang C 3) MTTF d = 10 Jahre verwenden Annahme: 50 % gefahrbringende / 50 % sichere Ausfälle, dann gilt: B10 d = 2 mal B10 MTTF d = 2 mal MTTF 2 mal MTBF BGIA, Dr. Michael Huelke VDMA-Infotag Sicherheitssteuerungen/MRL Seite Bei der Anwendung der Norm durch den Maschinenhersteller bzw. Steuerungsbauer stellt sich die Frage: Woher erhält man die auf den vorherigen Folien benannten Zuverlässigkeitsdaten? Dies ist besonders bei nicht-komplexen Bauteilen (die nicht zertifiziert werden) nicht ganz einfach. Für diese Bauteile (Beispiele: Elektrischer Schalter, Relais, Ventil) benötigt man einen der beiden Werte: - MTTF d bzw. -B10 d für verschleißbehaftete Bauteile. Die EN ISO gibt eine Rangfolge vor: zuerst ist der Hersteller zu fragen, ob dieser Werte angeben kann. Erst wenn dies nicht möglich ist, können die in der Norm hinterlegten typischen Bauteilewerte (Anhang C) für die verschiedenen Technologien verwendet werden. Dabei ist das Verfahren guter ingenieurmäßiger Praxis zu beachten. Falls für ein exotisches Bauteil auch dort keine typischen Werte vorhanden sind, kann nach Norm ein Ersatzwert von MTTF d = 10 Jahre angenommen werden. Gelegentlich sind Lebensdauerwerte in anderer Form angegeben, vor allem wenn die Anteile der gefahrbringenden Ausfälle nicht bekannt sind. Wenn ein Hersteller z.b. Werte für B10 oder MTTF oder MTBF angibt, dann können unter Annahme einer Verteilung von 50 % gefahrbringende zu 50 % sichere Ausfälle die in der Folie unten dargestellten Umrechnungen verwendet werden: B10 d = 2 mal B10 MTTF d = 2 mal MTTF 2 mal MTBF

18 VDMA-INFOTAG SICHERHEITSSTEUERUNGEN - BEWERTUNG VON SICHERHEITSSTEUERUNGEN 17 Anforderungen an die Anwendungssoftware für eine Sicherheitsfunktion Schutztür Logik Antrieb 1 Antrieb 2 Anw.- SW Anforderungen für PL r = d oder e Anforderungen an SW-Entwicklung * Beispiel: Sicherheits- Funktion mit PL r = d PL r * EN ISO , Absatz Sicherheitsbezogene Anwendungssoftware BGIA, Dr. Michael Huelke VDMA-Infotag Sicherheitssteuerungen/MRL Seite Wenn eine Sicherheitsfunktion auch durch eine vom Steuerungsbauer zu programmierbare Logik realisiert wird, dann muss dieses Anwendungsprogramm ebenfalls normative Anforderungen erfüllen. Dadurch wird die zur Risikominderung notwendige Qualität sichergestellt. In der EN ISO ist dazu der Absatz Sicherheitsbezogene Anwendungssoftware zu beachten, in der EN siehe Absatz 6.10 und Bei der EN ISO sind die fehlervermeidenden Maßnahmen nach dem erforderlichen Performance Level abgestuft (z.b. für PLr = e mehr und wirksamere Maßnahmen als für PLr = c). Die Auswahl der Maßnahmen orientieren sich also nicht an dem PL, den der Hersteller für seine Sicherheits- SPS angibt, sondern an dem PLr der Sicherheitsfunktion, die durch das Anwendungsprogramm realisiert wird. In der Praxis werden durch eine Logik mehrere Sicherheitsfunktionen mit durchaus unterschiedlichen PLr in einem Programm zusammen realisiert. Es vereinfacht die Qualitätssicherung, wenn die Auswahl und Anwendung von fehlervermeidenden Maßnahmen sich für das gesamte Programm an dem höchsten erforderlichen Performance Level orientiert (Beispiel: SF1 mit PLr = c, SF2 mit PLr = d, SF3 mit PLr = e: Anforderungen für PLr = e für das gesamte Programm anwenden).

19 Institut für Arbeitsschutz der Deutschen Gesetzlichen Unfallversicherung (DGUV) Sankt Augustin Fachbereich Unfallverhütung- Produktsicherheit Referatsleiter Neue Technologien, Mensch und Technik Beratungen 28,7% Prüfungen 13,6% Aktivitäten... 1/3 im Bereich Unfallverhütung 2/3 im Bereich Berufskrankheiten und arbeitsbedingte Gesundheitsgefahren Forschung 25,0% Infrastruktur 9,3% Gefahrstoffanalytik 23,4% Institut für Arbeitsschutz der Deutschen Gesetzlichen Unfallversicherung (DGUV) Kostenlose Hilfsmittel zur Anwendung der DIN EN ISO PLC-Drehscheibe Einfache Abschätzung des Performance Level BGIA-Report 2/2008 Steuerungen Einführung und Hinweise zur Norm Viele mit SISTEMA berechnete Schaltungsbeispiele Softwaretool SISTEMA Berechnung des Performance Level Deutsch/Englisch/weitere Sprachen vorbereitet Unterstützt Bibliotheken für Zuverlässigkeitsdaten Portalseite: