Erfahrungsbericht ISO13849

Transkript

1 Erfahrungsbericht ISO13849 Datum: Erfahrungen im Umgang mit DIN EN ISO Dr.-Ing. Siegmund Chmielnicki MAG-IAS GmbH Eislingen Als 2007 die Norm DIN EN ISO : publiziert wurde, waren die wenigsten Werkzeugmaschinenhersteller auf diese Norm vorbereitet. Verschiedene Hersteller von Baugruppen für sicherheitsrelevante Teile von Steuerungen der Werkzeugmaschinen konnten oft die Werkzeugmaschinenhersteller mit den für die Analyse notwendigen Daten und Informationen nicht unterstützen. Bisher war man gewohnt, dass eine Risikobeurteilung nach DIN EN 954 zu einer erforderlichen Sicherheitskategorie führte. Man hatte sein Ziel erreicht, wenn man Strukturen in der Steuerung der Werkzeugmaschinen realisierte, welche die Vorgaben der Sicherheitskategorien befriedigten. Nun stürmten neue Begriffe und Methoden auf die Werkzeugmaschinenhersteller ein, welchen den meisten davon noch unbekannt waren. Welcher Verantwortliche für Sicherheitsfunktionen hat sich bis dahin mit Markoff-Prozessen befasst und was ist eigentlich ein Performance Level? Nun ist die Definition des Performance Levels relativ leicht zu verstehen. Aber wer sich im Alltag nicht mit Statistik und Probabilistik (also mit den Methoden der Wahrscheinlichkeitslehre) befasst oder darin eine Ausbildung genossen hat, der tut sich mit dem theoretischen Unterbau der Norm schwer. Die Geburt der Sicherheitsfunktionen einer Maschine findet in der Konstruktion statt. Dort ist Herr Gauß ein Begriff, aber Herrn Markoff kennt man weniger. Nun soll DIN EN ISO dazu dienen, dass man nicht unbedingt die profanen Kenntnisse der Wahrscheinlichkeitslehre und Statistik besitzen sollte, um sicherheitsrelevante Teile einer Steuerung einer Werkzeugmaschine analysieren zu können hat das BGIA (Institut für Arbeitsschutz der Deutschen Gesetzlichen Unfallversicherung, Sankt Augustin) den BGIA- Report 2/2008 Funktionelle Sicherheit von Maschinensteuerung Anwendung der DIN EN ISO publiziert. Mit diesem Report hatte man nun erstmals eine zusammengefasste Erläuterung der Norm und konnte sich an den darin enthaltenen Analysebeispielen orientieren. Bis dato gab es weitgehend nur Stellungnahmen, verschiedene Aufsätze und Informationsvorträge zur Norm, die aber sehr allgemein gehalten und nicht immer einfach zugänglich waren. Leider war es so, dass gerade für typische Elemente der funktionalen Sicherheit von Steuerungen in Werkzeugenmaschinen keine Beispiele im BGIA-Report enthalten waren. Zum Beispiel gibt es kein Modell von CNC-gesteuerten Achsen einer Werkzeugmaschine im Report, die oft Maßstäbe und motorinterne Drehgeber sowie motorintegrierte Haltebremsen besitzen, wobei die Steuerungskomponenten miteinander über Feldbusse kommunizieren. Der Verein Deutscher Werkzeugmaschinenfabriken, VDW, hat daraufhin einen Arbeitkreis ins Leben gerufen, der sich zur Aufgabe gestellt hat, exemplarisch solche typischen Elemente von Werkzeugmaschinen als Beispiele zur Ergänzung des Reports zu erstellen und zu veröffentlichen. Der Arbeitskreis wurde von Experten der Berufsgenossenschaften tatkräftig unterstützt. Viele der Arbeitskreisteilnehmer konnten dabei zum ersten Mal die Norm verstehen und anwenden. Es haben sich aber auch deutliche Lücken gezeigt, bei welchen selbst die Experten Schwierigkeiten hatten, eine Musteranalyse zu erstellen. Die Ergebnisse des VDW-Arbeitkreises können über die Geschäftsstelle des VDWs beschafft werden. M:\Forschung und Technik\EN ISO 13849\Aufsätze\Dr Chmielnicki\Erfahrungsbericht ISO13849_V03.doc Seite 1

2 Aber trotz diesen Ergebnissen haben sich in der täglichen Praxis Probleme ergeben, die bisher nicht allgemein behandelt wurden. Es handelt sich bei verschiedenen davon um sehr häufig vorkommende Probleme. Aus den Arbeitskreisen heraus unterhalten einige Firmen einen regelmäßigen Erfahrungsaustausch. In diesem Rahmen haben Mitglieder dieses latent bestehenden Arbeitskreises die Idee entwickelt, dass sie ihre Erfahrungen in verschiedenen Veröffentlichungen weitergeben. Darin sehen sie eine Hilfestellung für andere. Es steckt aber auch ein gewisser Eigennutz dahinter, weil auch über solche Veröffentlichungen eine Diskussion entsteht und zu einem einheitlichen Meinungsbild führt, das dann auch den Stand der Technik prägt, wie ihn die Maschinenrichtlinie 2006/42/EG fordert. Die Themen der Erfahrungsberichte konzentrieren sich auf bestimmte Schwerpunkte: - Modellbildung für die Berechungen - Not-Halt, Betriebsarten, Zustimmfunktion, Schutztüren - Spannvorrichtungen - Werkzeuge spannen Sie erheben nicht den Anspruch eine Art Lehrbuch zu sein, sondern sollen Impulse geben, wie bestimmte Probleme angegangen werden können. Es gibt meist noch weitere Möglichkeiten diese Probleme zu lösen. Leider gibt es auch Probleme, die bisher nicht zufriedenstellend gelöst werden konnten. Auf solche Probleme kann in diesen Publikationen nur hingewiesen werden. Das kann aber auch nützlich sein, damit man aufgrund solcher Hinweise Alternativen ausarbeiten und so das Problem manchmal umgehen kann. Der VDW hat nun im öffentlichen Teil seiner Homepage die Möglichkeit geschaffen, Dokumente über Themen aus dem Anwendungsbereich im Umgang mit DIN EN ISO zur Verfügung zu stellen. Es gibt unter < ein Register Leistungen/Technik/Funktionale Sicherheit - Informationsplattform, in welchem diese Dokumente zu finden sind. Sie sollen unverbindlich informieren und Anregungen für die tägliche Arbeit geben. Sie sollen aber auch dazu dienen, noch ungelöste Probleme anzupacken. M:\Forschung und Technik\EN ISO 13849\Aufsätze\Dr Chmielnicki\Erfahrungsbericht ISO13849_V03.doc Seite 2

3 Bild 1: Downloadbereich auf der Homepage des VDWs Am Anfang steht die Risikobeurteilung. Sie ist in DIN EN ISO geregelt. Aber sie stellt in Bezug auf DIN EN ISO ein organisatorisches Problem dar. Die Konzeption einer Maschine beginnt in der Regel in der mechanischen Konstruktion. Damit beginnt die Risikobeurteilung schon in dieser Phase und begleitet ab jetzt kontinuierlich die Konstruktionsarbeiten. Aufgrund der erkannten Gefährdungen werden nun Lösungen zur Beseitigung der Gefahren oder zumindest zur Reduzierung des Risikos festgelegt. Das ist ein iterativer Vorgang, der auch so in DIN EN ISO beschrieben ist. Wird in diesen Vorgang noch die Überprüfung der Sicherheitsfunktionen durch eine Analyse und Berechnung nach DIN EN ISO und DIN EN ISO eingebracht, so steigt insgesamt der Aufwand zur Festlegung von Sicherheitsfunktionen beträchtlich. Im Absatz der Norm wird eine Sicherheitsfunktion als Funktion einer Maschine, wobei ein Ausfall der Funktion zur unmittelbaren Erhöhung des Risikos (der Risiken) führen kann, definiert. In der Regel beschränkt man sich bei der Risikobeurteilung zunächst auf die Festlegung der Art der Risikominderung ohne ihre Qualität zu nachprüfen. Das können Schutzmaßnahmen aber auch Sicherheitsfunktionen sein. Oft kann man dabei auf seine Erfahrung in früheren Analysen zurückgreifen. Jedoch ist Erfahrung dann Voraussetzung und muss zuerst erarbeitet sein. Erst bei der Konzeption des Steuerungssystemes wird dann die Analyse nach DIN EN ISO durchgeführt. Stößt man bei dieser Konzeption auf Probleme, welche nicht allein durch die sicherheitsbezogenen Funktionen der Steuerung lösen kann, dann wird an manchen Stellen noch eine vertiefende Risikobeurteilung notwendig sein. Es ergibt sich ein iterativer Prozess, in welchem diejenigen Mitarbeiter, welche die Analyse nach EN ISO und DIN EN ISO durchführen oft sehr spät Veränderungen von Maschinenfunktionen und Maschinenbaugruppen herbeiführen müssen. Wenn die Steuerung nicht mehr im notwendigen Maß eine Risikominderung erwirken kann, dann geht es oft darum, dass man diese Risiken mechanisch verringert, z.b. durch zusätzliche Schutzeinrichtungen. Im Konzept wurde dies deshalb nicht erkannt, weil über den gesamten Konstruktionsbereich gestreut nicht die Kenntnisse über die Analyse nach DIN EN ISO und DIN EN ISO vorliegen, da man sie nicht beliebig streuen kann. Sie sind so komplex, dass sie meist von einzelnen Mitarbeitern mit speziellen Kenntnissen durchgeführt werden. Die Risikobeurteilung nach DIN EN ISO ist somit ein Gemeinschaftswerk im Konstruktionsbereich. Beispiel: Ein Konstrukteur der Mechanik stellt in einer Risikobeurteilung fest, dass der Arbeitsraum einer Maschine Gefahren wie Quetschen, Schneiden, Stoßen und Erfassen aufweist. Er wird deshalb eine trennende Schutzeinrichtung zur Risikominderung konstruieren. Da Bedienpersonen sich nicht häufig im Gefahrenbereich befinden, wird er nach dem Risikograph gemäß DIN EN ISO und unter der Annahme, dass eine mögliche Verletzung, welche durch diese Gefahren verursacht werden können, schwer ist, der Aufenthalt selten bis öfter ist und er unter bestimmten Bedingungen die Gefährdungen vermeiden kann (er steht außerhalb des Gefahrenbereichs mit einem sichern Stand und kann die Maschine für Arbeiten im Gefahrenbereich stillsetzen) einen erforderlichen Performance Level PL r = c nach DIN EN ISO finden. Er konstruiert die Maschinenverkleidung und es ist darin eine Schutztür enthalten. Diese Schutztür wird nun abgesichert mit einem Sicherheitsschalter mit Zuhaltung. Nun entsteht der Bedarf von zusätzlichen Sicherheitsfunktionen, welche in der bisherigen Risikobeurteilung nicht berücksichtigt wurden: Die Funktion der Zuhaltung, die Auswertung der Kontakte des Sicherheitsschalters in der Steuerung, der sichere Betriebshalt bei geöffneter Schutztür, die Stoppfunktion, wenn die Schutztür geöffnet wird, die Freigabe des Öffnens der Schutztür. M:\Forschung und Technik\EN ISO 13849\Aufsätze\Dr Chmielnicki\Erfahrungsbericht ISO13849_V03.doc Seite 3

4 Jede dieser Sicherheitsfunktionen kann dann einen eigenen erforderlichen Performance Level besitzen, der über eine Risikobeurteilung gefunden werden muss. DIN EN ISO verlangt in 5.4 dass die Risikobeurteilung sämtliche Lebensphasen der Maschine (Transport, Montage, Installation, in Betrieb nehmen, Verwenden, Demontage, außer Betrieb nehmen und Entsorgen) berücksichtigen soll. Vernünftigerweise orientiert sich eine solche Risikobeurteilung dann an Tätigkeiten, welche in diesen Phasen durchgeführt werden. Nun ist es aber so, dass eine Sicherheitsfunktion, wie z.b. der Schutz gegen den unerwarteten Anlauf, keine Tätigkeit einer Person ist, sondern eine technische Schutzmaßnahme ist. Sie wird im bisherigen Raster der Risikobeurteilung meist aufgelistet, aber nicht analysiert. Man steht nun vor der Aufgabe eine Form der Risikobeurteilung zu finden, in welcher auch Schutzmaßnahmen abgebildet werden können. Dabei hat man zwei prinzipielle Möglichkeiten. - Integration der Risikobeurteilung für Sicherheitsfunktionen in ein einziges Dokument der Risikobeurteilung - Aufteilen der Risikobeurteilung in verschiedenen Dokumente Risikobeurteilung Dokumentation der Analyse nach DIN EN ISO und DIN EN ISO Erweiterung der Risikobeurteilung in der Dokumentation der Analyse nach DIN EN ISO und DIN EN ISO Bild 2: Beispiel einer Aufteilung der Risikobeurteilung In der Praxis hat es sich bewährt, dass man eine relativ detaillierte Dokumentation der Analyse nach EN ISO und DIN EN ISO erstellt. Es trägt zum Verständnis dieser Analyse bei, wenn dort auch die Risikobeurteilung für die Sicherheitsfunktion bzw. die Schutzmaßnahme nachzulesen ist. Damit ist die Risikobeurteilung nicht mehr zwangsläufig ein in sich geschlossenes Dokument. Empfehlung: Die Anforderungen, welche an sicherheitsbezogenen Teile von Steuerungen gestellt werden, stammen aus der Risikobeurteilung. In der Dokumentation der Analyse nach EN ISO und DIN EN ISO sollte dieser Zusammenhang zum Verständnis der Analyse dargestellt werden. M:\Forschung und Technik\EN ISO 13849\Aufsätze\Dr Chmielnicki\Erfahrungsbericht ISO13849_V03.doc Seite 4

5 Natürlich kann man die Berechungen nach DIN EN ISO ohne ein Berechnungshilfsmittel durchführen. Es empfiehlt sich aber ein solches anzuwenden. Es gibt von verschiedenen Herstellern von Komponenten sicherheitsbezogener Teile von Steuerungen und Schaltgeräten Programmsysteme, welche die Analyse nach DIN EN ISO unterstützen. Sie haben alle ihre eigenen Vor- und Nachteile. Das wohl am weitesten verbreitete Programmsystem ist SISTEMA. Es wurde von Institut für Arbeitsschutz der Deutschen Gesetzlichen Unfallversicherung IFA, Sankt Augustin, entwickelt und kann vom Institut kostenlos bezogen werden. Es gibt aber vom IFA kein ausgewiesenes Schulungsangebot für SISTEMA. Als begleitende Information gibt das IFA sogenannte SISTEMA-Kochbücher /4/, /5/, /6/, /7/ heraus. Darin findet man Hinweise für den Umgang mit SISTEMA als Vorschläge zur Lösung verschiedener Probleme. Inzwischen gibt es SISTEMA der Version 1.5. Ab der Version 1.2 konnten die früher erarbeiteten Daten in den neuen Versionen weiterhin benutzt werden. Der Vorteil von Programmsystemen wie z.b. SET der Firma Siemens oder PasCal der Firma PILZ liegt darin, dass Anwendern dieser Programmsysteme von diesen Firmen Schulungen angeboten werden. Die Daten der Produkte dieser Hersteller sind darin schon enthalten. Daten von Geräten anderer Hersteller müssen jedoch zusätzlich in die Systeme eingegeben werden. Man hat früher über einen gemeinsamen Standard dieser Daten diskutiert, jedoch ist es nicht gelungen einen solchen Standard aufzubauen (siehe /8/ VDMA ). Das bedeutet, dass es umso schwieriger wird, ein solches System zu wechseln, je umfangreicher der schon gesammelte Datenbestand aufgebaut ist. Viele Firmen haben sich dazu bereit erklärt, Datenbibliotheken für SISTEMA zur Verfügung zu stellen. Diese Bibliotheken kann man über den Internetzugang des IFA auf seinen eigenen Datenbestand herunterladen. Am Anfang hat man noch sehr viele Daten über die verwendeten Geräte und Baugruppen anzulegen. Der Aufwand kann beträchtlich sein. Da ist schon oft die erste Hürde, dass einige Hersteller von Geräten die Daten nicht allgemein zugänglich machen. Man muss dann die Daten anfragen und bekommt sie manchmal erst nach mehreren Wochen. Empfehlung: Zuverlässigkeitsdaten für Geräte frühzeitig bei den Herstellern anfragen Jedoch reduziert sich dieser Aufwand nach einiger Zeit deutlich, weil doch meist mit einem relativ gleichbleibenden Gerätestamm gearbeitet wird. Viel variantenreicher ist sind aber die sicherheitsbezogenen Blockdiagramme. Darunter versteht man nach DIN EN ISO eine schematische Darstellung der Kombination sicherheitsbezogener Teile von Steuerung zur Verarbeitung einer typischen Sicherheitsfunktion. In einem Modell einer solchen Sicherheitsfunktion kann da schon eine recht komplexe Struktur eines sicherheitsbezogenen Blockdiagramms zusammenkommen. Die datenmäßige Darstellung ist unter den verschiedenen marktgängigen Systemen zur Analyse nach DIN EN ISO nicht austauschbar. In der Regel ist man schon nach kurzer Zeit nicht mehr ohne großen Aufwand in der Lage, auf ein anderes System zu wechseln. Hier gilt: D rum prüfe wer sich ewig bindet. Empfehlung: Die verschiedenen angebotenen Programmsysteme zur Analyse nach DIN EN sorgfältig auswählen, da der Aufwand beträchtlich werden kann, wenn man später zu einem anderen System wechseln will. Es kommt vor, dass sich die Daten bestimmter Geräte ändern, weil die Hersteller dieser Geräte sie später neu ermittelt haben. Bisher verbesserten sich die Daten meist, so dass vorausgegangene Analysen mit den schlechteren Werten nicht neu durchgeführt werden mussten. Es empfiehlt sich aber die Quellen der Daten zu archivieren. Diese Quellen sind sehr unterschiedlich: M:\Forschung und Technik\EN ISO 13849\Aufsätze\Dr Chmielnicki\Erfahrungsbericht ISO13849_V03.doc Seite 5

6 - Werte, welche von Herstellern von Bauteilen in Bibliotheken für Analyseprogramme zur Verfügung gestellt werden, - Werte aus Katalogen und sonstigen veröffentlichten Firmenschriften, - Werte aus Antworten zu direkt gerichteten Anfragen, - Empfohlene Werte aus Veröffentlichungen von Experten. Empfehlung: Die Quellen der Zuverlässigkeitswerte von Geräten und Bauteilen, welche bei der Analyse benutzt werden, sind sorgfältig mit den zugehörigen Angaben zur Quelle (Datum, Fundstelle) archivieren. Die Dauerbrenner von Problemen findet man meist in Strukturen von sicherheitsbezogen Teilen von Steuerungen nach Kategorie 2. Die Kategorie gliedert die Struktur eines sicherheitsbezogenen Teils einer Steuerung (SRP/CS). DIN EN ISO definiert in ein SRP/CS als Teil einer Steuerung, das auf sicherheitsbezogene Eingangssignale reagiert und sicherheitsbezogene Ausgangssignale erzeugt. Dies wird in einem sicherheitsbezogenen Blockdiagramm als Modell veranschaulicht, in dem eine Architektur gezeigt wird, die jeweils einen Block für Eingang, Logik und Ausgang enthält. I Eingang (Input) L Logik (Logic) O Ausgang (Output) Bild 3: Prinzipstruktur sicherheitsbezogener Teile von Steuerungen. Die Norm spricht an verschiedenen Stellen von Kanälen. Jedoch ist der Begriff des Kanals in der Anwendung für diese Norm nicht definiert worden. Allgemein versteht man unter einem Kanal eine Architektur von Elementen eines SRP/CS, in welcher sich ein oder mehrere Fehler so auswirken kann bzw. können, dass der Verlust von einer oder mehrerer Sicherheitsfunktion(en) möglich ist. Bei einer zweikanaligen Struktur führt ein Fehler in einem Kanal nicht zum Verlust der Sicherheitsstruktur. Kategorie 2 ist eine einkanalige Struktur, bei welcher die betroffenen Sicherheitsfunktionen nach bestimmten Vorgaben zu testen sind. Man kann mit einer Struktur nach Kategorie 2 durchaus einen passablen Performance Level PL = d erreichen. Dies ist im Bild 5 in ISO übersichtlich dargestellt. M:\Forschung und Technik\EN ISO 13849\Aufsätze\Dr Chmielnicki\Erfahrungsbericht ISO13849_V03.doc Seite 6

7 Bild 4: Beziehung zwischen Kategorien, Diagnosedeckungsgrad und MTTF d jedes Kanals und PL Detaillierte Werte findet man in der Tabelle K.1 im Anhang K der Norm. Man kann für einen Kanal mit einem Diagnosedeckungsgrad von mittel und MTTF d größer als 36 Jahren noch PL = d erreichen. Das klingt verlockend, denn man kann sich einen zweiten Kanal sparen. So ganz kann man sich aber einen zweiten Kanal nicht sparen, denn Kategorie 2 fordert den Test der Sicherheitsfunktion(en) und eine Reaktion auf den erkannten Fehler. Die Elemente des SRP/CS, welche bei diesem Test beteiligt sind, bilden wiederum eine Architektur, welche man als Testkanal bezeichnet. Da die Bezeichnung Kanal in dieser Struktur nicht eindeutig ist, nennt man den Kanal, welcher die Sicherheitsfunktion an sich ausübt, Funktionskanal. Damit ist eine Struktur eines SRP/CS keine einkanalige Struktur. Sie ist aber auch keine ausschließliche zweikanalige Struktur. Hydraulikschaltungen sind in Werkzeugmaschinen oft in Kategorie 2 ausgeführt. Eine hydraulisch gesteuerte Spannbewegung ist meist eine Gefahrenstelle für das Bedienpersonal der Maschine. Wenn wir den Risikographen nach DIN EN ISO ansetzen, so werden wir häufig einen erforderlichen Performance Level PL r = d ermitteln. Nach DIN EN ISO Tabelle 4 kann man Quetschgefahren erst dann ausschließen, wenn der Zugang zur Gefahrenstelle für Finger kleiner als 4 mm ist. Bei den meisten Spannbewegungen führen die Spannelemente eine größere Bewegung durch. Das bedeutet, dass die unerwartete Bewegung von Spannelementen mit einer Sicherheitsfunktion mit PL r = d unterbunden sein muss, wenn für Personen der Zugang zu Gefahrenstellen besteht. Das ist in der Regel der Fall, wenn Schutztüren zum Arbeitsraum der Maschinen geöffnet sind. Ein Ventil selber kann man mit einem typischen MTTF d -Wert von 150 Jahren (DIN EN ISO Tabelle C.1) ansetzen. M:\Forschung und Technik\EN ISO 13849\Aufsätze\Dr Chmielnicki\Erfahrungsbericht ISO13849_V03.doc Seite 7

8 K1B K1 K4 ZH K2 ~ G K3 K5 V Q M Bild 5 Beispiel einer Beschaltung eines Spannzylinders Konstruieren wir einmal ein einfaches Beispiel (in der Praxis sind Hydraulikschaltungen etwas komplexer, da z. B. Druckspeicher eingesetzt oder Spannbewegungen zusätzlich verblockt werden), um die Probleme aufzuzeigen, welche sich hier bei einer Kategorie-2- Struktur ergeben. In diesem Beispiel wird das Ventil V über einen sicherheitsgerichteten Ausgang angesteuert, der zu einer sicherheitsgerichteten Steuerung K1 gehört. Der Spanndruck wird durch einen Druckschalter überwacht, dessen Signal über eine Eingangsbaugruppe von einer nicht sicherheitsgerichteten speicherprogrammierbaren Steuerung eingelesen wird. Im Fehlerfall wird der Pumpenmotor M von dem Leistungsschütz Q abgeschaltet. Das Leistungsschütz Q wird von der speicherprogrammierbaren Steuerung K1B überwacht, indem das Signal des zwangsgeführte Hilfskontakts über die Eingangsbaugruppe K5 eingelesen und verarbeitet wird. Mit Hilfe des sicherheitsgerichteten Blockdiagramms kann man die sich daraus entstehende Kategorie-2-Struktur aufzeigen. K1 K2 V K1B K4 G K3 Q Bild 6: Sicherheitsbezogenes Blockdiagramm für das Beispiel eines Spannzylinders M:\Forschung und Technik\EN ISO 13849\Aufsätze\Dr Chmielnicki\Erfahrungsbericht ISO13849_V03.doc Seite 8

9 K1, K2 und V bilden den Funktionskanal. Er wird insgesamt z.b. ein MTTF d = 100 erreichen. Der Testkanal mit K1B, K4, G, K3 und Q besitzt mehrere Elemente, welche schon geringere MTTF d -Werte besitzen können. Vor allem durch die nicht sicherheitsgerichteten Baugruppen kann sich für den Testkanal sehr schnell ein MTTF d ergeben, das zwischen 10 und 20 Jahren liegt. Jetzt muss man beachten, dass MTTF d des Funktionskanals höchstens das Doppelte von MTTF d des Testkanals sein kann. Diese Vorgabe findet man leider nicht im Abschnitt Kategorie 2 der Norm, sondern in Abschnitt Vereinfachtes Verfahren zur Abschätzung eines PL. Dort ist zwar angegeben, dass MTTF d des Testkanals größer als die Hälfte von MTTF d des Funktionskanals sein soll, was aber im Rückschluss auch bedeutet, dass MTTF d des Funktionskanals nicht kleiner als das Doppelte der MTTF d des Testkanals sein darf. Damit kommt man schnell in die Schwierigkeit, dass man das in der Tabelle K.1 geforderte MTTF d mit 36 Jahren für PL = d nicht erreicht. Empfehlung: Überprüfen, ob MTTF d für den Testkanal so niedrig wird, dass das Zweifache dieses Werts kein MTTF d ergibt, das den erforderlichen Performance Level erfüllt. Eine weitere Schwierigkeit bei Kategorie-2-System ist die erforderliche Testrate von häufiger oder gleich 1/100 der Anforderungsrate der Sicherheitsfunktion. Zuerst fordert Abschnitt der Norm, dass in angemessenen Zeitabständen durch die Maschinensteuerung getestet werden soll. Der Test muss aber - beim Anlauf der Maschine, und - vor dem Einleiten einer Gefährdungssituation, wenn die Risikobeurteilung und die Betriebsart es zeigen, dass dies notwendig ist, durchgeführt werden. Die Schwierigkeit ist, dass der Begriff der Anforderungsrate einer Sicherheitsfunktion in der Norm nicht definiert ist. In /3/ finden wir nähere Angaben zur Testhäufigkeit in Dort wird für ein System nach Kategorie 2 erklärt, dass eine 100-mal höherer Testrate als die gefahrbringende Ausfallrate l d bzw. als die mittlere Anforderungsrate der Sicherheitsfunktion als ausreichend angesehen wird. Auch hier finden wir keine Definition des Begriffs der Anforderungsrate. Wir können aber daraus schließen, dass die Testrate mit der Ausfallrate der Sicherheitsfunktion zusammenhängt. Aber oft wird die Anforderungsrate auch so verstanden, dass sie diese Rate ist, in welchem eine potentielle Gefährdung und damit Erhöhung des Risikos vorliegt und die Sicherheitsfunktion dieses Risiko mindert. Wenn man diese beiden Ansichten am obigen Beispiel der Spannvorrichtung verdeutlicht, dann sieht man wie groß der Unterschied ausfallen kann. Nehmen wir an, dass eine Person durchschnittlich einmal in der Stunde sich den Gefahren der Spannvorrichtung aussetzt. Wobei aber die Zuverlässigkeit der verwendeten Bauelemente ein MTTF d von beispielsweise 40 Jahren ergibt. Wenn man daraus die Testhäufigkeit als Funktion der mittleren Ausfallrate ansieht, dann müsste die Testrate 2,5 mal im Jahr durchgeführt werden. Geht man von der Anforderung aus, bei der die potentielle Gefährdung als Grundlage dient, dann ergibt sich daraus eine Testrate von alle 36 Sekunden oder man testet einmal in der Stunde und verhindert den Zugang zur Gefahrenstelle bis ein Test erfolgt ist. In Praxis ergeben sich daraus oft unsinnige Prozesse. Dies stört vor allem bei schwerkraftbelasteten Achsen in Maschinen, wenn der Zugang zum Arbeitsraum, in dem solche Achsen wirken, verhindert wird, weil Tests anstehen. Aus dieser Problematik hat die Berufsgenossenschaft Holz und Metall das Fachbereich-Informationsblatt Nr /7/ erstellt, im welchem in Tabelle 2 für Systeme von Vertikalachsen in Kategorie 2 eine Stellungnahme zur Testrate gemacht wird: M:\Forschung und Technik\EN ISO 13849\Aufsätze\Dr Chmielnicki\Erfahrungsbericht ISO13849_V03.doc Seite 9

10 Anmerkung: Nach DIN EN ISO ist für Steuerungssysteme der Kategorie 2 (Testung) die Testrate 100-mal häufiger als die Anforderung der Sicherheitsfunktion anzusetzen. Aufgrund der für Vertikalachsen gegeben Risiken, d.h. insbesondere aufgrund des Unfallgeschehens wird eine derart hohe Testrate als praktisch nicht erforderlich gesehen. Eine Berechnung des Performance-Levels ist deshalb mit den nach DIN EN ISO vorgesehenen vereinfachten Modellen nicht möglich und kann entsprechend DIN EN ISO Abschnitt entfallen. Die Anmerkung im Fachbereich-Informationsblatt kann aber nicht einfach auf andere Kategorie-2-Strukturen übertragen werden. Im Moment besteht damit der Zustand, dass die Interpretation des Begriffs der Anforderungsrate einer Sicherheitsfunktion mehr oder weniger willkürlich ist und sich auch nicht abzeichnet, wann dieses Problem behoben ist. Will man sicher gehen, dann verwendet man die Anforderungsrate einer Sicherheitsfunktion nach der Ansicht, dass sie von der Häufigkeit abhängt, in welcher sich Personen in eine potentielle Gefahr begeben. Ist dies nicht realisierbar, dann sollte man auf eine andere Systemstruktur ausweichen, z.b. redundanter Aufbau nach Kategorie 3. Bei Kategorie-3-Systemen ist keine Testrate von Sicherheitsfunktionen vorgeschrieben. Durch den redundanten Aufbau der Sicherheitsfunktion ist gewährleistet, dass ein einzelner Fehler nicht zum Verlust der Sicherheitsfunktion führt. Ein einzelner Fehler muss aber bei oder vor der nächsten Anforderung der Sicherheitsfunktion wie es in DIN EN ISO so schön heißt wenn immer in angemessener Weise durchführbar erkannt werden. Damit ist man in solchen Systemen von einem Rhythmus entbunden. Tests können aber dennoch notwendig sein, um Fehler zu erkennen. Zusammenfassung In der Praxis bestehen im Umgang mit DIN EN ISO noch deutliche Schwierigkeiten. Firmen, welche sich keine ausgeprägten Spezialisten für die Analyse von sicherheitsbezogenen Teilen von Steuerungen leisten können, fällt es nicht leicht, die Norm anzuwenden. Einige Firmen, welche nun auf eine mehrjährige Erfahrung mit der Norm zurückblicken können, haben sich entschlossen über ihre Erfahrungen zu berichten, die als Hilfe für weniger erfahrene Firmen dienen können. Der Verein Deutscher Werkzeugmaschinenfabriken hat in dem öffentlichen Teil seiner Homepage eine Möglichkeit geschaffen, solche Erfahrungsberichte zu sammeln und Interessenten als Downloads unverbindlich zur Verfügung zu stellen. Im vorliegenden Erfahrungsbericht werden verschiedene Ratschläge für die systematische Vorbereitung der Analyse gegeben. Hilfsmittel für die Berechungen der Zuverlässigkeiten sollten sorgfältig ausgewählt werden. Bei Strukturen von sicherheitsbezogenen Teile von Steuerungen sind Strukturen nach Kategorie 2 nicht immer einfach umzusetzen. Der Einfluss des Testkanals muss unbedingt berücksichtig werden und der macht häufig Schwierigkeiten. Weitere Erfahrungsberichte sollen folgen. Abkürzungen: BGIA IFA MTTFd PL Ehemalige Bezeichung des IFAs Institut für Arbeitsschutz der Deutschen Gesetzlichen Unfallversicherung Mittlere Zeit bis zum gefahrbringenden Ausfall (Mean Time to Failure Dangerous) Performance Level M:\Forschung und Technik\EN ISO 13849\Aufsätze\Dr Chmielnicki\Erfahrungsbericht ISO13849_V03.doc Seite 10

11 PLr SRP/CS VDW Erforderlicher Performance Level (Performance Level Requested) Sicherheitsbezogenes Teil einer Steuerung (Safety-related Part of Control Systems) Verein Deutscher Werkzeugmaschinenfabriken Quellen /1/ DIN EN ISO : Sicherheit von Maschinen Sicherheitsbezogene Teile von Steuerungen Teil 1: Allgemeine Gestaltungsleitsätze (ISO :2006); Deutsche Fassung EN ISO :2008 /2/ DIN EN ISO : Sicherheit von Maschinen Sicherheitsbezogene Teile von Steuerungen Teil 2: Validierung (ISO :2003); Deutsche Fassung EN ISO :2008 /3/ BGIA-Report 2/2008: Funktionale Sicherheit von Maschinensteuerungen Anwendung der DIN EN ISO Deutsche Gesetzliche Unfallversicherung (DGUV) Alte Heerstraße 1111, D Sankt Augustin /4/ Ralf Apfeld, Michael Hauke, Michael Schaefer, Paul Rempfer, Björn Ostermann: Das SISTEMA-Kochbuch Vom Schaltbild zum Performance Level Quantifizierung von Sicherheitsfunktionen mit SISTEMA Version 1.0 Institut für Arbeitsschutz der Deutschen Gesetzlichen Unfallversicherung (IFA) Alte Heerstraße 1111, D Sankt Augustin /5/ Andy Lungfiel, Michael Huelke: Das SISTEMA-Kochbuch 2 Verwendung von Netzwerkbibliothekenl Version 1.0 Institut für Arbeitsschutz der Deutschen Gesetzlichen Unfallversicherung (IFA) Alte Heerstraße 1111, D Sankt Augustin /5/ Andy Lungfiel, Michael Huelke: Das SISTEMA-Kochbuch 3 Mehrere SISTEMA-Instanzen parallel ausführen (Terminal Server) M:\Forschung und Technik\EN ISO 13849\Aufsätze\Dr Chmielnicki\Erfahrungsbericht ISO13849_V03.doc Seite 11

12 Version 1.0 Institut für Arbeitsschutz der Deutschen Gesetzlichen Unfallversicherung (IFA) Alte Heerstraße 1111, D Sankt Augustin /6/ Michale Haucke, Ralf Apfeld: Das SISTEMA-Kochbuch 4 Wenn die vorgesehenen Architekturen nicht passen Version 1.0 Institut für Arbeitsschutz der Deutschen Gesetzlichen Unfallversicherung (IFA) Alte Heerstraße 1111, D Sankt Augustin /7/ Fachbereich-Informationsblatt N5. Schwerkraftsbelastete Achsen Vertikalachsen Ausgaben 09/2012 DGUV Fachbereich Holz und Metall Berufsgenossenschaft Holz und Metall /8/ VDMA-Einheitsblatt VDMA Funktionale Sicherheit Universelle Datenbasis für sicherheitsbezogene Kennwerte von Komponenten oder Teilen von Steuerungen 10/2012 Verband Deutscher Maschinen- und Anlagenbau e.v. (VDMA) M:\Forschung und Technik\EN ISO 13849\Aufsätze\Dr Chmielnicki\Erfahrungsbericht ISO13849_V03.doc Seite 12