Prüfstellen Info 926 Einführung in die Bestimmung des Performance Level nach EN ISO

Transkript

1 Prüfstellen Info 926 Einführung in die Bestimmung des Performance Level nach EN ISO Die Information dient als Hilfestellung für Maschinenhersteller zur Umsetzung der EN ISO Sicherheit von Maschinen Sicherheitsbezogene Teile von Steuerungen Teil 1 Allgemeine Gestaltungsleitsätze

2 Information 926 Einführung in die Performance Level Bestimmung nach ISO Inhalt 1 Neue Anforderungen an die Sicherheit von Steuerungen Bestimmung des Performance Level PL Sicherheitsfunktionen ermitteln Erforderlichen Performance Level PL r je Sicherheitsfunktion bestimmen Sicherheitsbezogenes Blockdiagramm erstellen und die Struktur ermitteln MTTF d Werte ermitteln Diagnosedeckungsgrad bestimmen Abschätzung von Ausfällen aufgrund gemeinsamer Ursache Bestimmung der PFH Werte und Abschätzung des PL Vergleich des erforderlichen Performance Level mit dem Performance Level Zusammenfassung Literatur A1 Tabelle 1: Zusammenfassung der Anforderungen für Kategorien A2 Tabelle C.1: MTTF d und B 10d Wert guter ingenieurmäßiger Praxis A3 A4 Tabelle F.1: Verfahren zur Quantifizierung für Maßnahmen gegen Fehler gemeinsamer Ursache (CCF) Tabelle K.1 Durchschnittliche Wahrscheinlichkeit eines gefährlichen Ausfalls pro Stunde [1/h] (PFH) und der zugehörige Performance Level (PL) (Ausschnitt der Tabelle K der ISO :2008)

3 1 Neue Anforderungen an die Sicherheit von Steuerungen Seit dem bestimmt die Norm ISO : Sicherheitsbezogene Teile von Steuerungen unter anderen die Sicherheitsanforderungen an die Steuerung von Maschinen. Sie löst damit die EN 954 1: Sicherheit von Maschinen Sicherheitsbezogene Teile von Regeleinrichtungen nach langjähriger Übergangsfrist ab. Ab diesem Datum ist die ISO als Anerkannte Regel der Technik wirksam und stellt bei Einhaltung die Vermutungswirkung sicher. Durch die Norm kommen auf den Maschinenhersteller wichtige Änderungen zu. So ändert sich die Klassifizierung der Sicherheitsniveaus von den Kategorien, die die Struktur der Steuerung in den Vordergrund stellen, hin zu den sogenannten Performance Leveln (PL). Aufgrund des neuen Ansatzes, ist es möglich auf Sicherheitsfunktionsebene unterschiedliche Strukturen bzw. unterschiedliche Technologien miteinander zu kombinieren und zu bewerten. Wird das Vorgehen zur Ermittlung der Sicherheitsanforderungen an Steuerungen entsprechend der Maschinenrichtlinie und den einschlägigen Normen gewählt, so werden über eine Risikoanalyse die Gefährdungen ermittelt. Ein Großteil der Gefährdungen kann durch inhärente sichere Konstruktion, z.b. durch feste trennende Schutzeinrichtungen, gemindert werden. Es bleibt ein Anteil von Gefährdungen, die weitere technische Schutzmaßnahmen erfordern. Diese werden teilweise durch Sicherheitsfunktionen in einer Steuerung verarbeitet, z.b. ein Lichtgitter anstatt einer festen trennenden Schutzeinrichtung. Wo produktionstechnisch sinnvoll, sind grundsätzlich inhärent konstruktive Maßnahmen gegenüber technischen Maßnahmen zu bevorzugen. Wie erwähnt werden technische Schutzmaßnahmen in der Regel durch Sicherheitsfunktionen in einer Steuerung verarbeitet. Der Performance Level (PL) gibt dabei die Wahrscheinlichkeit an, dass eine Sicherheitsfunktion versagt und es zu einer Gefährdung kommt (durchschnittliche Wahrscheinlichkeit eines gefährlichen Ausfalls je Stunde). Diese Wahrscheinlichkeiten werden durch die Buchstaben a bis e ausgedrückt, wobei ein Performance Level (PL) von a eine höhere Wahrscheinlichkeit des Versagens der Sicherheitsfunktion darstellt, als ein Performance Level (PL) von e. Bild 1 zeigt grob die Schritte, die zur Ermittlung des Performance Level nötig sind. Anhand dieser Schritte wird folgend das Vorgehen, teilweise beispielhaft, beschrieben. 3

4 Sicherheitsfunktionen ermitteln erforderliche Performance Level bestimmen (PL r ) sicherheitsbezogene Blockschaltbild erstellen und Struktur ermitteln MTTF d Wert ermitteln Diagnosedeckungsgrad bestimmen (DC) 6 Ausfälle gemeinsamer Ursache abschätzen (CCF) 7 8 Bestimmung des PFH Wert und Abschätzung des PL Vergleich des PL r mit dem PL Bild 1: Schritte zur Bestimmung des Performance Level 2 Bestimmung des Performance Level PL 2.1 Sicherheitsfunktionen ermitteln Bevor ein PL bestimmt werden kann, müssen alle Sicherheitsfunktionen die durch eine Steuerung realisiert werden ermittelt werden. Dieses erfolgt am besten direkt aus der Risikobeurteilung, wo die technischen Schutzmaßnahmen festgelegt wurden. Typische Sicherheitsfunktionen sind z.b. Funktionen zum Stillsetzten beim öffnen einer verriegelten Schutzeinrichtung und Verhinderung des unerwarteten Anlaufs. Eine weitere wichtige Sicherheitsfunktion ist die sicher reduzierte Geschwindigkeit im Tippbetrieb. Nach der Ermittlung aller Sicherheitsfunktionen der Maschine wird je Sicherheitsfunktion der erforderliche Performance Level PL r bestimmt. 2.2 Erforderlichen Performance Level PL r je Sicherheitsfunktion bestimmen Der erforderliche oder auch required Performance Level (PL r ) wird je Sicherheitsfunktion bestimmt. Der PL r ist quasi der Ziel Wert der Sicherheitsfunktion und beschreibt mit welcher Wahrscheinlichkeit ein gefährliches Versagen einer Sicherheitsfunktion noch zulässig ist. Für bestimmte Sicherheitsfunktionen ist der erforderliche Performance Level in C Normen bereits festgelegt worden. So z.b. in der EN 1010 Sicherheit von Maschinen 4

5 Sicherheitsanforderungen an Konstruktion und Bau von Druck und Papierverarbeitungsmaschinen. Für noch nicht festgelegte Sicherheitsfunktionen, kann der PL r über den Risikograph (Bild 2) bestimmt werden. Dabei wird der PL r anhand der Kriterien Schwere der Verletzung, Häufigkeit und der Dauer der Gefährdungsexposition und der Möglichkeit zur Vermeidung der Gefährdung bestimmt. Bild 2: Risikograph Schwere der Verletzung (S): Bei der Einschätzung des Risikos durch einen Ausfall einer Sicherheitsfunktion werden nur leichte Verletzungen (üblicherweise reversible) und schwere Verletzungen (üblicherweise irreversibel und Tod) berücksichtigt. Um eine Entscheidung treffen zu können, sollten die üblichen Auswirkungen der Unfälle und normale Heilungsprozesse bei der Bestimmung von S1 und S2 in Betracht gezogen werden. Zum Beispiel würden Quetschungen und/oder Fleischwunden ohne Komplikationen als S1 klassifiziert, wohingegen eine Amputation oder der Tod mit S2 einzustufen wären. 5

6 Häufigkeit und/oder Dauer der Gefährdungsexposition (F): Häufigkeit und Dauer der Gefährdungsexposition werden bewertet mit: F1 selten bis weniger häufig und/oder die Dauer der Gefährdungsexposition ist kurz F2 häufig bis dauernd und/oder die Dauer der Gefährdungsexposition ist lang Eine feste Grenze zur Auswahl zwischen F1 und F2 kann nicht angegeben werden. Erfolgt der Eingriff in den Gefahrenbereich häufiger als einmal pro Stunde, sollte F2 gewählt werden, ansonsten F1. Bei der Bewertung der Häufigkeit und Dauer ist es nicht zulässig zu unterscheiden, ob dieselbe oder unterschiedliche Personen der Gefährdung ausgesetzt werden. Möglichkeit zur Vermeidung der Gefährdung (P): An dieser Stelle soll bewertet werden, ob die Vermeidung einer Gefährdungssituation P1 unter bestimmten Bedingungen möglich, oder P2 kaum möglich ist. Bei der Festlegung dieses Parameters sind u.a. die physikalischen Eigenschaften einer Maschine und die mögliche Reaktion des Bedieners von Bedeutung. So hat der Bediener bei langsam auftretenden Gefährdungen die Möglichkeit, sich bei ausreichendem Bewegungsraum aus dem Gefahrenbereich zu entfernen (P1). P2 ist zu wählen, wenn schnell größere Geschwindigkeiten erreicht werden können und die Chance, den Unfall durch Ausweichen des Bedieners zu vermeiden, praktisch nicht gegeben ist. Wenn eine Gefährdungssituation auftritt, sollte P1 nur dann gewählt werden, wenn eine realistische Chance besteht, den Unfall zu vermeiden oder dessen Auswirkung maßgeblich zu reduzieren; P2 sollte gewählt werden, wenn fast keine Chance besteht, die Gefährdung zu vermeiden. 2.3 Sicherheitsbezogenes Blockdiagramm erstellen und die Struktur ermitteln Sicherheitsbezogenes Blockdiagramm erstellen: In den meisten Fällen existiert bereits eine Maschine mit einem Schutzkonzept, in dem ein Beitrag zur Risikominimierung durch steuerungstechnische Maßnahmen realisiert ist. Dieses kann mit wenig Aufwand in ein sicherheitsbezogenes Blockdiagramm umgesetzt werden. Eine große Hilfe bei der Erstellung des sicherheitsbezogenes Blockdiagramm ist der Stromlaufplans. Das sicherheitsbezogene Blockdiagramm beinhaltet alle an der Sicherheitsfunktion beteiligten logischen Einheiten (Bauteile) weshalb auch vom logischen Blockschaltbild gesprochen wird. Grob besteht ein sicherheitsbezogenes Blockdiagramm meist aus den drei Blöcken, Eingabe, Logik und Ausgabe. In der Praxis existieren meist mehrere Bauteile, die den Blöcken Eingabe, Logik und Ausgabe zugeordnet werden. 6

7 Beispiel: Bild 3 verdeutlicht anhand einer Beispielschaltung den Aufbau eines sicherheitsbezogenen Blockschaltbildes. Die Beispielschaltung soll den Ausschnitt eines Schaltplans darstellen, der auf die Bauteile zur Umsetzung einer Not Halt Funktion begrenzt wurde. Die Schaltung dient lediglich zur Veranschaulichung der Erstellung eines sicherheitsbezogenen Blockdiagramms und ist nicht der Praxis entliehen. Bild 3: Beispiel zur Erstellung des logischen Blockschaltbildes aus dem Stromlaufplan Das Beispiel soll in den weiteren Kapiteln weitergeführt werden. Daher eine kurze Beschreibung der Sicherheitsfunktion, eine Beschreibung der Funktionsweise und weitere Annahmen. Sicherheitsfunktion: Bei Auslösen des Not Halt Stellteils soll der Motor M unmittelbar stillgesetzt werden, dass stellsetzten erfolgt durch galvanische Trennung der Spannungsversorgung. Funktionsweise: Das Auslösen des Not Halt Stellteils wird vom Sicherheitsbaustein erkannt und die Schütze K1 und K2 geschaltet. Das Schütz K1 besitzt eine Kontakterweiterung auf K 1.1, welches mit dem Schütz K2 zur Abschaltung des Motors führt. Alle Schütze werden durch den Sicherheitsbaustein überwacht, so dass ein Fehler in den Schützen erkannt wird. Bauteil Merkmale: Das Not Halt Stellteil entspricht dem Stand der Technik und wurde nach Herstellerangaben installiert. Durch konstruktive Maßnahmen kann begründet für das Not Halt Stellteil ein Fehlerausschluss angenommen werden. 7

8 Für den Sicherheitsbaustein wird angenommen, dass der Hersteller in seiner Dokumentation folgenden Angaben entsprechend der ISO liefert: PL=e, Kategorie 4, PFH=4,9 x Die Schütze entsprechen ebenfalls dem Stand der Technik und sind nach Herstellerangaben installiert. Sie gelten als bewährte Bauteile. Erforderlicher Performance Level: Es wird angenommen, das auf Basis des Risikographen für die Not Halt Funktion ein PL r = d gefordert wird (vergleiche Bild 2). Struktur ermitteln: Die Struktur wird aus dem sicherheitsbezogenen Blockdiagramm entsprechend den vorgesehenen Architekturen und deren Systemverhalten zugeordnet (siehe Anhang Tabelle 1). Die vorgesehenen Architekturen entsprechen den aus der EN bekannten Kategorien. Beispiel: Um eine Normative Berechnung durchführen zu können, ist eine Unterteilung des Blockdiagrammes in sogenannte Subsysteme vorzunehmen und jedem Subsystem eine Kategorie zu zuordnen. Beim Einsatz des kostenfreien Softwareprogramm SISTEMA 1 ist eine Unterteilung in Subsysteme unvermeidbar. Übertragen auf das sicherheitsbezogene Blockdiagramm in Bild 3, ergeben sich die in Bild 4 dargestellten Subsysteme. Subsystem1: Das Not Halt Stellteil entspricht Kategorie 1 Subsystem2: Der Sicherheitsbaustein entspricht nach Herstellerangaben Kategorie 4 Subsystem3: Die Schütze wirken in zwei getrennten Kanälen. Ein Fehler in einem der Kanäle führt nicht zum Verlust der Sicherheit. Außerdem wird über die Testung ein Fehler erkannt. Aus diesen Gründen entspricht das Subsystem3 mindestens der Kategorie 3. 1 SISTEMA kann kostenfrei unter bezogen werden. 8

9 Bild 4: Aufteilung des sicherheitsbezogenem Blockdiagramms in Subsysteme 2.4 MTTF d Werte ermitteln In den folgenden Schritten geht es um die Ermittlung des MTTF d Wert. Der MTTF d Wert ist eine statistische Größe, die die mittlere Zeit bis zu einem Gefahr bringenden Ausfall eines Bauteils darstellt (Mean Time To Dangerous Failure). Der MTTF d Wert wird je Bauteil und Subsystem bestimmt. Beispiel: Subsystem1: Für das Not Halt Stellteil kann entsprechend der Herstellerangaben ein Fehlerausschluss gemacht werden. Daher ist eine Bestimmung des MTTF d Wert nicht erforderlich ( ). Subsystem2: Für den Sicherheitsbaustein, gibt der Hersteller Werte an (Kategorie 4; PL=e; PFH=4,90 x 10 9 ). Bei Angabe des PFH Wert ist eine Bestimmung des MTTF d Wert nicht zwingend erforderlich, da mit dem PFH Wert gerechnet werden kann (siehe Kapitel 2.7). Sollte dennoch der MTTF d Wert für andere Applikationen erforderlich sein, so kann er über die Tabelle in Anhang K der Norm bestimmt werden (siehe Tabelle K.1 und Kapitel 2.7). Subsystem3: Schütze unterliegen einem Verschleiß, so auch die Schütze K1, K1.1 und K2. Für alle verschleißbehafteten Bauteile wird der sogenannte B 10d Wert angegeben. Der B 10d Wert gibt die Anzahl von Schaltzyklen an, bis 10% der Bauteile gefährlich ausgefallen sind. Gibt der Hersteller keinen B 10d Wert an, so kann die Tabelle im Anhang C.2 der ISO für eine Auswahl von Bauteilen diese Werte liefern. Dieses Verfahren guter ingenieurmäßiger Praxis sollte nur angewendet werden, wenn keine Herstellerangaben vorliegen. Für unser Beispiel nutzen wir das Verfahren guter ingenieurmäßige Praxis. Die Tabelle C.1 im Anhang liefert für Schütze mit nominaler Last einen B 10d Wert von Zyklen. Diesen nutzen wir zur weitern Berechnung. 9

10 Über die Formel, kann der MTTF d Wert über den B 10d Wert ermittelt werden. ist dabei die mittlere Anzahl der jährlichen Betätigungen und berechnet sich nach folgender Formel: ist die mittlere Betriebszeit in Stunden je Tag; ist die mittlere Betriebszeit in Tagen je Jahr; ist die mittlere Zeit zwischen dem Beginn zweier aufeinander folgenden Zyklen des Bauteils (z. B. Schalten eines Ventils) in Sekunden je Zyklus. Die Werte zur Berechnung der mittleren Anzahl der jährlichen Betätigungen ( ) sind entsprechend der Erfahrung über den Einsatz der Maschine anzunehmen. In diesem Beispiel wird davon ausgegangen, dass die Maschine im Durchschnitt 260 Tage pro Jahr ( ), 16 Stunden pro Arbeitstag ( ) betrieben wird. Die Schütze werden nicht nur durch die Not Halt Funktion geschaltet sondern z.b. auch beim Öffnen einer verriegelten Schutzeinrichtung oder beim betriebsmäßigen STOPP. So wird davon ausgegangen, das die Schütze alle 2 min. schalten ( 120. Daraus berechnet sich ein Mit den Werten aus der Tabelle C.1 und der berechneten Anzahl von Operationen ergibt sich für die Schütze K1, K1.1 und K2 ein MTTF d Wert von je 160 Jahren.., Nach der Ermittlung der MTTF d Werte je Bauteil muss der MTTF d Wert je Kanal bestimmt werden. Alle Systeme der Kategorie 2 bis 4 bestehen aus zwei Kanälen. In unserem Beispiel besteht der erste Kanal aus den Schützen K1 und K1.1 und der zweite Kanal aus dem Schütz K2. Für den ersten Kanal wird mit Hilfe der folgenden allgemeinen Formel die MTTF d Werte des Kanals bestimmt.. Daraus ergibt sich ein. 10

11 Im zweiten Kanal ist nur das Schütz K2 vorhanden, so dass im Prinzip 160 wäre. Die ISO begrenzt aber den MTTF d Wert pro Kanal auf 100 Jahre, so dass jetzt ist. Bisher wurde der MTTF d Wert je Bauteil und Kanal ermittelt. Zur Ermittlung des MTTF d Wert des Subsystems, wird die sogenannte Symmetrierungsformel angewendet. Mit ihr werden Redundante Systeme mit unterschiedlichen MTTF d Werten je Kanal berechnet. Mit den oben ermittelten Werten ergibt sich für das Subsystem3 ein. 2.5 Diagnosedeckungsgrad bestimmen Der Diagnosedeckungsgrad (DC) ist ein Maß für die Wirksamkeit der Fehlererkennung einer Sicherheitsfunktion und ist bei Strukturen der Kategorie 2 bis 4 zu beachten. Durch Überwachung (Tests) der an der Sicherheitsfunktion beteiligten Bauteile kann ein Versagen oder ein Defekt der Bauteile erkannt werden. Der DC kann aus dem Verhältnis der Ausfallrate der erkannten gefährlichen Ausfälle und der Ausfallrate aller Ausfälle berechnet werden. Zur Bestimmung des durchschnittlichen Diagnosedeckungsgrad (DC avg ) einer sicherheitsbezogenen Steuerung wird die folgende Formel angewendet. Als Hilfe, welcher Diagnosedeckungsgrad unter welchen Umständen anzuwenden ist, gibt die ISO in der Tabelle in Anhang E Auskunft. Beispiel: Das Subsystem1 entspricht der Kategorie 1. Eine Fehlererkennung ist nicht vorhanden. In einem Kategorie 1 System ist der Diagnosedeckungsgrad grundsätzlich null. Für das Subsystem2, bestehend aus dem Sicherheitsbaustein, gibt der Hersteller PL=e und Kategorie 4 an. Dieses wird nach Tabelle K.1 nur erreicht, wenn der DC größer 99% ist. Für das Subsystem3, bestehend aus den Schützen, ist eine Diagnose (Testung) über den Sicherheitsbaustein realisiert. Eine Fehlfunktion der Schütze, die zwangsgeführte Kontakte besitzen, wird durch den Sicherheitsbaustein erkannt und die Stopp Funktion eingeleitet. Der einzelne Fehler im Schütz wird bei der nächsten Anforderung der Sicherheitsfunktion erkannt. Aus diesem Grund kann von einer direkten Überwachung entsprechend der Tabelle 11

12 in Anhang E der Norm, und damit einem Diagnosedeckungsgrad von 99%, ausgegangen werden. Der durchschnittliche Diagnosedeckungsgrad DC avg berechnet sich für das Subsystem3 wie folgt:... % % % % Einen DC avg = 99% bewertet die ISO mit hoch. Die Bewertungskriterien sind in der Folgenden Tabelle dargestellt. Bewertung Bereich keine DC < 60% niedrig 60% DC <90% mittel 90% DC < 99% hoch 99% DC 2.6 Abschätzung von Ausfällen aufgrund gemeinsamer Ursache Die Abschätzung der Ausfälle aufgrund gemeinsamer Ursache auch Fehler gemeinsamer Ursache (Common Cause Failure = CCF) genannt hat keinen direkten Einfluss auf die Abschätzung des PL. Es handelt sich dabei um eine notwendige Maßnahme, die auf redundante Systeme, also Subsystemen der Kategorien 2, 3 und 4, anzuwenden ist. Ziel ist der Nachweis, dass nicht durch einen Fehler gleichzeitig beide Kanäle eines redundanten Systems ausfallen. Der Nachweis erfolgt über die Tabelle im Anhang F der Norm (siehe Tabelle F.1). Dabei sind mindestens 65 Punkte zu erreichen. 2.7 Bestimmung der PFH Werte und Abschätzung des PL Der PFH Wert steht für Probability of dangerous Failure per Hour (Wahrscheinlichkeit eines Gefahrbringenden Ausfalls pro Stunde). Die PFH Werte der einzelnen Subsysteme lassen sich addieren. Dem entsprechend müssen die PFH Wert aller Subsysteme bekannt sein, damit der Performance Level abgeschätzt werden kann Beispiel: Für das Not Halt Stellteil in Subsystem1 haben wir einen Fehlerausschluss gemacht. Dieses entspricht einem PFH Sub1 = 0. 12

13 Für den Sicherheitsbausteins in Subsystem2 wurde vom Hersteller der PFH Wert mit PFH Sub2 =4,90 x 10 9 angegeben. Für das Subsystem3 ist eine Ermittlung des PFH Wert notwendig. Dieser ist am einfachsten über die Tabelle in Anhang K der Norm zu bestimmen (siehe Tabelle K.1). In Kapitel 2.3 wurde für das Subsystem3 die Kategorie 3 ermittelt. In Kapitel 2.4 wurde ein MTTF d von 90 Jahren berechnet. Mit diesen Werten kann aus der Tabelle in Anhang K der Norm, der Zugehörgen PFH Wert abgeschätzt werden. Dieses wird in der folgenden Grafik verdeutlicht. Bild 5: Ermittlung des PFH Wert In unserem Beispile wurde ein höherer Diagnosedeckungsgrad bewertet, als in der Tabelle in Verbindung mit der Kategorie angegeben wird. Für die Abschätzung wird immer der schlechtere Wert, der zur Verfügung gestellt wird, ausgewählt, also Kategorie 3 und DCavg = mittel. Ein MTTF d Wert von 90 Jahre ist ebenfalls in der Tabelle nicht aufgeführt. In einem solchem Fall, wird der niedrigere Wert angenommen. Der PFH Wert für das Subsystem3 lautet dem entsprechend PFH Sub3 = 5,79*10 8. Die Berechnung des PFH Wert des gesamten Sicherheitsfunktion erfolgt, wie bereits erwähnt, über Addition der einzelnen PFH Wert.,,, Um den Performance Level abzuschätzen geht man wieder in die Tabelle des Anhang K und schaut, welcher Wert größer oder gleich dem PFH Wert des Gesamtsystems ist und liest den zugehörigen PL ab. In unserem Beispiel ist der nächst größere PFH Wert 6,62 x 10 8 und entspricht damit einem PL von e. Da der PL unter der Anwendung eines Fehlerausschlusses ermittelt wurde, ist eine Bewertung der Steuerung mit einem PL von e nicht zulässig. Eine Verschlechterung auf einen PL=d ist in diesem Fall notwendig. 13

14 2.8 Vergleich des erforderlichen Performance Level mit dem Performance Level Im letzten Schritt wird geprüft, ob unsere Sicherheitsfunktion die Anforderung erfüllt, das der erforderliche Performance Level kleiner oder gleich dem Performance Level ist (. In unserem Beispiel war für die Sicherheitsfunktion PL r =d über den Risikograph gefordert (siehe Kapitel 2.2 und 2.3). Die Schaltung aus Bild 3 entspricht, wie in Kapitel 2.4, 2.5 und 2.7 berechnet einem PL=d. Damit ist der erreichte Performance Level der Schaltung gleich dem erforderliche Performance Level. Die Anforderungen der ISO werden also für die Not Halt Sicherheitsfunktion erfüllt. 3 Zusammenfassung Es wurde anhand eines Beispiels die Bestimmung des Performance Level für eine Not Halt Sicherheitsfunktion gezeigt. In der Praxis sind Sicherheitsfunktionen meist in vergleichbaren oder identischen sicherheitsbezogenen Steuerungen aufgebaut. So würden in der Praxis über den Sicherheitsbaustein weitere Sicherheitsfunktionen, wie z.b. das Stillsetzen von Antrieben beim Öffnen einer verriegelten Schutzeinrichtung, realisiert. Entsprechend können weitere Sicherheitsfunktion mit geringem Aufwand bestimmt und berechnet werden. Nachdem die realisierte Steuerung unter Beachtung der allgemeinen Gestaltungsgrundsätze für sicherheitsbezogenes Steuerungen entwickelt wurde, ist eine Validierung erforderlich. Sollte ein programmierbarer Sicherheitsbaustein eingesetzt werden, so ist auch die Validierung des eingesetzten Softwareprogramms notwendig. Die Schritte zur Validierung sind nicht Bestandteil dieses Infoblattes und sind ISO : Validierung zu entnehmen. 4 Literatur Folgende Literatur wurde zur Erstellung des Infoblatt herangezogen: DIN EN ISO :2008 Sicherheit von Maschinen Sicherheitsbezogene Teile von Steuerungen Teil 1: Allgemeine Gestaltungsleitsätze, DIN Deutsches Institut für Normung e.v., Beuth Verlag GmbH, Berlin BGIA Report 2/2008 Funktionale Sicherheit von Maschinensteuerungen Anwendung der DIN EN ISO 13849, Michael Hauke, Michael Schaefer, Ralf Apfeld, ; Deutsche Gesetzlich Unfallversicherung, Sankt Augustin Sichere Maschinen in Europa Teil 4 Sicherheitsrelevante Steuerungen, von der Kategorie zum Performance Level ; Berthold Heinke; Verlag Technik & Information, Bochum, Oktober 2009 Praktische Erfahrungen mit der DIN EN ISO , Ralf Apfeld, Thomas Bömer, Dr. Michael Huelke, Dr. Michael Schäfer, Openautomation 6/09 14

15 A1 Tabelle 1: Zusammenfassung der Anforderungen für Kategorien Kate - gori e Struktur Anforderungen Systemverhalten Prinzip zum Erreichen der Sicherheit max. PL MTTF d je Kanal DC avg CCF B SRP/CS(en) und/oder ihre Schutzeinrichtungen sowie ihre Bauteile müssen in Übereinstimmung mit den zutreffenden Normen so gestaltet, gebaut, ausgewählt, zusammengebaut und kombiniert werden, dass sie den zu erwartenden Einflüssen standhalten können. Grundlegende Sicherheitsprinzipien müssen verwendet werden. Das Auftreten eines Fehlers kann zum Verlust der Sicherheitsfunktion führen. Überwiegend durch die Auswahl von Bauteilen charakterisiert. b niedrig bis mittel Keine nicht relevant 1 Die Anforderungen von B müssen erfüllt sein. Bewährte Bauteile und bewährte Sicherheitsprinzipien müssen angewendet werden. Das Auftreten eines Fehlers kann zum Verlust der Sicherheitsfunktion führen, aber die Wahrscheinlichkeit des Auftretens ist geringer als in Kategorie B. Überwiegend durch die Auswahl von Bauteilen charakterisiert. C hoch Keine nicht relevant 2 Die Anforderungen von B und die Verwendung bewährter Sicherheitsprinzipien müssen erfüllt sein. Die Sicherheitsfunktion muss in geeigneten Zeitabständen durch die Maschinensteuerung getestet werden. Das Auftreten eines Fehlers kann zum Verlust der Sicherheitsfunktion zwischen den Tests führen. Der Verlust der Sicherheitsfunktion wird durch den Test erkannt. Überwiegend durch die Struktur charakterisiert. D niedrig bis hoch niedrig bis mittel 15

16 3 4 Die Anforderungen von B und die Verwendung bewährter Sicherheitsprinzipien müssen erfüllt sein. Sicherheitsbezogene Teile müssen so gestaltet werden, dass: ein einzelner Fehler in jedem dieser Teile nicht zum Verlust der Sicherheitsfunktion führt, und wenn immer in angemessener Weise durchführbar, der einzelne Fehler erkannt wird. Die Anforderungen von B und die Verwendung bewährter Sicherheitsprinzipien müssen erfüllt sein. Sicherheitsbezogene Teile müssen so gestaltet werden, dass: ein einzelner Fehler in jedem dieser Teile nicht zum Verlust der Sicherheitsfunktion führt, und der einzelne Fehler bei oder vor der nächsten Anforderung der Sicherheitsfunktion erkannt wird. Wenn diese Erkennung nicht möglich ist, darf eine Anhäufung von unerkannten Fehlern nicht zum Verlust der Sicherheitsfunktion führen. Wenn ein einzelner Fehler auftritt, bleibt die Sicherheitsfunktion immer erhalten. Einige, aber nicht alle Fehler werden erkannt. Eine Anhäufung von unerkannten Fehlern kann zum Verlust der Sicherheitsfunktion führen. Wenn ein einzelner Fehler auftritt, bleibt die Sicherheitsfunktion immer erhalten. Die Erkennung von Fehleranhäufungen reduziert die Wahrscheinlichkeit des Verlustes der Sicherheitsfunktion (hohe DC). Die Fehler werden rechtzeitig erkannt, um einen Verlust der Sicherheitsfunktion zu verhindern. Überwiegend durch die Struktur charakterisiert Überwiegend durch die Struktur charakterisiert e e niedrig bis hoch hoch niedrig bis mittel Hoch, einschl. der Fehleranhäufung 16

17 A2 Tabelle C.1: MTTF d und B 10d Wert guter ingenieurmäßiger Praxis Mechanische Bauteile Hydraulische Bauteile Typische MTTF d (Jahre) oder B 10d 2) (Zyklen) Werte MTTF d = 150 y MTTF d = 150 y Pneumatische Bauteile B 10d = Relais und Hilfsschütze mit geringer Last (mechanischer Belastung) B 10d = Relais und Hilfsschütze mit maximaler Belastung B 10d = Näherungsschalter mit geringer Last 3) (mechanischer Belastung) B 10d = Näherungsschalter mit maximaler Belastung B 10d = Schütze mit geringer Last (mechanischer Belastung) B 10d = Positionsschalter unabhängig von der Last, wenn der Fehlerausschluss für die Zwangsöffnung möglich ist Positionsschalter (mit separatem Aktor, Zuhaltung) unabhängig von der Last, wenn der Fehlerausschluss für die Zwangsöffnung möglich ist Not-Aus-Einrichtungen unabhängig von der Last, wenn der Fehlerausschluss für die Zwangsöffnung möglich ist Not-Aus-Einrichtungen mit maximaler Betätigungsanzahl, wenn der Fehlerausschluss für die Zwangsöffnung möglich ist Taster (z.b. Freigabetaster) unabhängig von der Last, wenn der Fehlerausschluss für die Zwangsöffnung möglich ist B 10d = B 10d = B 10d = B 10d = B 10d = Not-Halt-Geräte bei Einsatz unter normaler umwelttechnischer Fehlerausschluss bis 6050 Belastung, z.b. an Maschinen 1) Zyklen Zustimmungsschalter (3-stufig) unabhängig von der Last 1) Fehlerausschluss bis Zyklen 1) falls Fehlerausschluss für Zwangsöffnung möglich ist 2) B 10d wird angenommen als zweimal B 10 (50% gefährlicher Ausfall) 3) Geringe Last bedeutet z.b. 20% des Bemessungswertes; für weitere Informationen siehe EN

18 A3 Tabelle F.1: Verfahren zur Quantifizierung für Maßnahmen gegen Fehler gemeinsamer Ursache (CCF) Nr. Maßnahme gegen Fehler gemeinsamer Ursache (CCF) Punkte 1 Trennung/Abtrennung Physikalische Trennung zwischen den Signalpfaden z.b. Trennung der Verdrahtung/Verrohrung z. B. Ausreichende Luft- und Kriechstrecken auf gedruckten Schaltungen 2 Diversität Unterschiedliche Technologien/Gestaltung oder physikalische Prinzipien werden verwendet z.b. der erste Kanal in programmierbarer Elektronik und der zweite Kanal festverdrahtet, z. B. Art der Initiierung z.b. Druck und Temperatur Messung von Entfernung und Druck z.b. digital und analog Bauteile von unterschiedlichen Herstellern 3 Entwurf/Anwendung/Erfahrung 3.1 Schutz gegen Überspannung, Überdruck, Überstrom, usw Verwendung bewährter Bauteile 5 4 Beurteilung/Analyse Sind die Ergebnisse einer Ausfallart und Effektanalyse berücksichtigt worden, um Ausfälle infolge gemeinsamer Ursache in der Entwicklung zu vermeiden 5 Kompetenz/Ausbildung Sind Konstrukteure/Monteure geschult worden, um die Gründe und Auswirkungen von Ausfällen infolge gemeinsamer Ursache zu erkennen 6 Umgebung 6.1 Schutz vor Verunreinigung und elektromagnetischer Beeinflussung (EMC) gegen CCF in Übereinstimmung mit den angemessenen Normen Fluidische Systeme: Filtrierung des Druckmediums, Verhinderung von Schmutzeintrag, Entwässerung von Druckluft, z.b. in Übereinstimmung mit den Anforderungen des Herstellers für die Reinheit des Mediums, Elektrische Systeme: Wurde das System hinsichtlich elektromagnetischer Immunität geprüft, z.b. wie in zutreffenden Normen gegen CCF spezifiziert. Bei kombinierten fluidischen und elektrischen Systemen sollten beide Aspekte berücksichtigt werden. 6.2 Andere Einflüsse Wurden alle Anforderungen hinsichtlich Unempfindlichkeit gegenüber allen relevanten Umgebungsbedingungen wie Temperatur, Schock, Vibration, Feuchtigkeit (z.b. wie in den zutreffenden Normen festgelegt) berücksichtigt Gesamt Gesamtpunkte 65 oder besser Anforderungen erreicht kleiner als [max. erreichbar 100] Maßnahmen, um Fehler gemeinsamer Ursache zu vermeiden Verfahren gescheitert Auswahl zusätzlicher Maßnahmen 18

19 A4 Tabelle K.1 Durchschnittliche Wahrscheinlichkeit eines gefährlichen Ausfalls pro Stunde [1/h] (PFH) und der zugehörige Performance Level (PL) (Ausschnitt der Tabelle K der ISO :2008) Probability of Dangerous Failure per Hour (PFH) [1/h] und der zugehörige Performance Level (PL) Kat. B PL Kat. 1 PL Kat. 2 PL Kat. 2 PL Kat. 3 PL Kat. 3 PL Kat. 4 PL MTTF d für jeden Kanal [Jahre] DC DC avg =kein DC avg =kein avg DC avg DC avg DC avg DC avg =niedrig =mittel =niedrig =mittel =hoch 10 1, a 7, b 5, b 3, b 1, c 11 1, a 6, b 4, b 2, c 1, c 12 9, b 5, b 4, b 2, c 1, c 13 8, b 5, b 3, b 2, c 9, d 15 7, b 4, b 3, b 1, c 7, d 16 7, b 4, b 2, c 1, c 6, d 18 6, b 3, b 2, c 1, c 5, d 20 5, b 3, b 2, c 1, c 4, d 22 5, b 2, c 1, c 1, c 4, d 24 4, b 2, c 1, c 9, d 3, d 27 4, b 2, c 1, c 8, d 3, d 30 3, b 2, c 1, c 6, d 2, d 9, e 33 3, b 1, c 1, c 5, d 2, d 8, e 36 3, b 1, c 9, d 5, d 2, d 7, e 39 2, c 1, c 8, d 4, d 1, d 7, e 43 2, c 1, c 7, d 3, d 1, d 6, e 47 2, c 1, c 6, d 3, d 1, d 5, e 51 2, c 1, c 5, d 2, d 1, d 5, e 56 2, c 1, c 5, d 2, d 1, d 4, e 62 1, c 9, d 4, d 2, d 8, e 4, e 68 1, c 8, d 3, d 1, d 7, e 3, e 75 1, c 7, d 3, d 1, d 6, e 3, e 82 1, c 6, d 3, d 1, d 5, e 3, e 91 1, c 5, d 2, d 1, d 4, e 2, e 100 1, c 5, d 2, d 1, d 4, e 2, e 19

20 MTTFd (y) = PFHd (pro Stunde) [Kat 4; DC=hoch] Tabelle K.2: Erweiterung der Tabelle des Anhang K der ISO = 2, = 9, = 4, = 1, = 2, = 8, = 3, = 1, = 2, = 7, = 3, = 1, = 1, = 7, = 3, = 1, = 1, = 6, = 2, = 1, = 1, = 5, = 2, = 1, = 1, = 5, = 2, = 9, = 1, = 4, = 2, = 9, = 1, = 4, = 1, = 9,