Einige spezifische Hintergrundinformationen zu EN ISO :2006* für Schmersal-/Elan-Vertriebsmitarbeiter sowie interessierte Kunden

Transkript

1 Einige spezifische Hintergrundinformationen zu EN ISO :2006* für Schmersal-/Elan-Vertriebsmitarbeiter sowie interessierte Kunden Ausgangspunkt zur Einschätzung der Risikominderung F 1 S 1 F 2 F 1 Niedriges Risiko Erforderlicher Performance- Level PL r P 1 a P 2 P 1 P P 1 P 2 b c d P2 F2 P1 S2 F1 P1 P2 S1 * EN ISO :2006 wurde zwischenzeitlich durch eine Ausgabe EN ISO :2008 ersetzt. Der Unterschied betrifft aber lediglich die Inbezug nahme der neuen EG-Maschinenrichtlinie 2006/42/EG im neuen Anhang ZB der Norm. Nachfolgend bleiben wir bei EN ISO :2006. Category B

2 Abkürzungserklärungen (nachfolgend häufiger verwendet) B 10d -Wert: Anzahl der Zyklen, bis 10 % der Komponenten einer Stichprobe von mindestens 7 Baumustern gefährlich ausgefallen sind (für verschleißbehaftete, d. h. mechanische, pneumatische und elektromechanische Komponenten) CCF: Common Cause Failure (auch Common Mode Failure genannt): Fehler gemeinsamer Ur sache, bei denen Bauteile, die aus Sicherheitsgründen das Gleiche mehrfach gleichzeitig bearbeiten, zur gleichen Zeit ausfallen (Beispiel am Auto: Alle 4 Bremsen versagen gleichzeitig ihren Dienst). DC: Diagnostic Coverage (Diagnosedeckungsgrad, Fähigkeit der meist automatischen Fehleraufdeckung) MTTF d : Mean Time To dangerous Failure (mittlere Zeit bis zu einem Gefahr bringenden Ausfall eines Bauteils/Gerätes). Diese Angabe darf nicht verwechselt werden mit einer garantierten Lebensdauer (1). PFH/PFH d : Probability of dangerous Failure per Hour (Wahrscheinlichkeit eines Gefahr bringenden Ausfalls pro Stunde) (2). PL: Performance Level (EN ISO :2006) Es gibt 5 PL s ( a, b, c, d, e ), wobei die sicherheitstechnische Qualität entsprechend einer zunehmenden abzudeckenden Risikohöhe von a nach e ansteigt. SIL: Safety Integrity Level (EN IEC :2005) Es gibt 3 SIL s (1, 2, 3), wobei die sicherheitstechnische Qualität entsprechend einer zunehmenden abzudeckenden Risikohöhe von 1 nach 3 ansteigt. SILCL: SIL-Anspruchsgrenze bzw. SIL-Claim-Limit (IEC :2005) Maximaler SIL, der für ein Teilsystem (Subsystem) in Bezug auf strukturelle Einschränkungen und systematische Fehlerintegrität in Anspruch genommen werden kann. SK: Steuerungskategorie (B, 1, 2, 3, 4); maßgeblich (deterministisch) bestimmt die Kategorie bereits die sicherheitstechnische Qualität eines SRP/CS. Während SK B und SK 1 auf die Qualität der verwendeten Bauteile eingehen, verlangen die höheren Kategorien zusätzliche Bauteile (Kanäle), die den Ausfall einzelner Bauteile kompensieren können. SRP/CS: Safety Related Part of (a) Control System(s) (sicherheitsgerichtete(r) Teil(e) einer Steuerung) Sub-PL/Sub-SIL: PL bzw. SIL auf Subsystemebene. Ein Subsystem ist ein System, das bezogen auf eine Teilaufgabe eine Sicherheitsfunktion bereits angemessen ausführt (zum Beispiel eine Eingangsbaugruppe, die die Eingänge sicher erfasst). T 10d -Wert: Richtwert für einen vorbeugenden Austausch (10 % des aus dem B 10d -Wert ausgerechneten MTTF d -Werts in Jahren). Bis hierhin unterstellt die Norm ein konstantes Ausfallverhalten und empfiehlt zu diesem Zeitpunkt einen vorbeugenden Geräteaustausch. (1) Die Indexierung d steht für Ausfälle in eine gefährliche Richtung. Beispiel: Ein Transistor fällt aus und schaltet nicht ab (= gefährlich im Sinne der funktionalen Maschinensicherheit); umgekehrt schaltet nicht ein = ungefährlich im Sinne der funktionalen Maschinensicherheit, wenngleich die Verfügbarkeit berührend. (2) Bei diesem Wert ist die Unterscheidung über die Indexierung d nicht besonders üblich, d. h. sowohl mit einem PFH- als auch mit einem PFH d -Wert ist im Regelfall die Gefahr bringende Ausfallrichtung gemeint. 2

3 Vorwort zur 3. Auflage (2011) Wir freuen uns, dass es an dieser Broschüre, die hiermit in 3. Aufl age erscheint, ein unverändert großes Interesse gibt. Vermutlich spielt hier hinein, dass noch bis Ende dieses Jahres (bis ) der Ausführung sicherheitsgerichteter Teile von Maschinensteuerungen die harmonisierte Norm EN 954-1:1996 zugrunde gelegt werden kann (und sie nicht wie ursprünglich geplant bereits am die sogenannte Vermutungswirkung verloren hat und zurückgezogen wurde). Erst für Maschinensteuerungen, die ab in der EU bzw. im Europäischen Wirtschaftsraum (EWR) erstmals in Verkehr oder Betrieb gesetzt werden, ist EN 954-1:1996 nicht mehr der Maßstab, will man sich zum Konformitätsnachweis harmonisierter Normung bedienen, sei es in Form von EN ISO :2008 (2006) (1) oder siehe a.a.o. in speziellen Fällen EN IEC :2005 (2008) (1). Nicht vertiefen wollen wir an dieser Stelle die juristische Fachdiskussion, ob EN 943-1:1996 noch dem Primat des Stands der Technik genügt und unter diesem Gesichtspunkt ihre weitere Anwendung bereits schon heute zweifelhaft ist. Nachdem im Vergleich zum ursprünglichen Redaktionsstand dieser Broschüre, nämlich Mitte 2008, schon einige Zeit ins Land gegangen ist, haben wir den vorliegenden Nachdruck noch einmal inhaltlich überprüft. Trotz sorgfältigen Korrekturlesens (Erratum human est!) sind dabei einige Druckfehler aufgefallen und beseitigt worden. Darüber hinaus haben wir den einen oder anderen Aspekt, der uns und anderen seinerzeit noch nicht so deutlich war, detaillierter ausgeführt. Erfreulicherweise brauchten wir uns aber nirgendwo grundsätzlich zu korrigieren. Act now! Wir gehen hier und heute davon aus, dass die neue Norm EN ISO :2006 (bzw. EN IEC :2005) die bisherige Norm EN 954-1:1996 nun endgültig ab ablösen wird, wenngleich nicht ausgeschlossen werden kann, dass es an der einen oder anderen Stelle noch Ergänzungs-, Hilfs- und Uminterpretationen geben mag. Dies ist jedenfalls das Ergebnis einer großen Fachkonferenz der EU-Kommission zu diesem Thema im September 2010 in Brüssel. Auf eine Zusammenlegung der Normen EN ISO :2006 und EN IEC :2005 wird man hingegen sicherlich noch ein paar Jahre warten dürfen. Mit anderen Worten: Wenn Ihre Maschinensteuerungen dem Stand der Technik entsprechen wollen, wie es der Gesetzgeber von Ihnen erwartet, sollten Sie spätestens jetzt auf die neuen Anforderungen umstellen. Wuppertal/Wettenberg, im Februar 2011 Friedrich Adams K.A. Schmersal Holding GmbH & Co. KG, Wuppertal Leiter Schmersal tec.nicum (1) Zum Verhältnis der Ausgaben 2006 vs siehe Fußnote auf dem Titel der Broschüre; sinngemäß gilt die Fußnote auch für die Ausgaben EN IEC :2006 vs

4 Vorwort Mit dem Inkrafttreten der Normen EN ISO :2006 und EN IEC :2005 bekommt das Thema der Gestaltung sicherheitsbezogener Teile von Steuerungen ein neues Bild, in dem sich ein SRP/CS künftig aus einer Kombination von deterministischen (1) und probabilistischen (2) Betrachtungsweisen zusammensetzt. Hinzu kommen noch ein paar weitere nicht minder wichtige neue Anforderungen unter den Stichwörtern Systematische Fehler und Software (siehe auch Seite 82 ff. sowie Lexikonteil, Stichwörter Anhang G und Software ). Das vorliegende Papier soll dazu dienen, Ihnen einige Hintergrundinformationen zum Thema Neue SRP/CS-Normung, die für Ihre tägliche Arbeit nützlich sind, bereitzustellen. Im Hinblick auf die künftige Kombination deterministischer und probabilistischer SRP/CS-Betrachtungsweisen gibt es künftig einige neue Anforderungen, die unsere Kunden berücksichtigen müssen. Es gibt aber auch mehr Gestaltungsspielräume für unsere Kunden. Als Hersteller von Sicherheitsbauteilen sind wir von diesen Änderungen unmittelbar betroffen und werden gefordert, hierzu Aussagen treffen zu müssen. Obwohl wir unseren Kunden aus praktischen Gründen empfehlen, für die künftige SRP/CS- Gestaltung EN ISO :2006 (und die PL-Philosophie dieser Norm) zugrunde zu legen, nehmen wir nachfolgend überall dort, wo es alternativ in Frage käme auch die SIL-Philosophie gemäß EN IEC :2005 in Bezug. Aufgrund von Zuständigkeitsquerelen der Normengremien bewerben sich in der Tat beide Normen um die Nachfolge von EN 954-1:1996. Dennoch wird nichts verbaut, wenn man sich für EN ISO :2006 entscheidet, da PL und SIL zueinander im Wesentlichen kompatibel sind und die dahinter stehende Denke in einem hohen Maße gleich ist (siehe auch Lexikonteil, Stichwort Normen ). EN IEC :2005 halten wir nur in Sonderfällen für besser geeignet als EN ISO :2006. Die nachfolgende Broschüre basiert auf einer Erstausgabe mit Redaktionsstand Mitte Die vorliegende Ausgabe ist jedoch noch einmal wesentlich überarbeitet, präzisiert und erweitert worden, sie ist wie schon gehabt in mehrere Teile mit unterschiedlichen Schwerpunkten, teils Schmersal-/Elan-spezifisch, teils Grundlagen- und Hintergrund-bezogen unterteilt. Siehe hierzu auch Inhaltsverzeichnis ab Seite 4 ff. Darüber hinaus fi nden Sie im Teil 7 (ab Seite 93) einen kleinen Lexikonteil mit weiterführenden Informationen in Zusammenhang mit der neuen SRP/CS-Normung. Wenn Sie sich erst einmal in die Philosophie von EN ISO :2006 einlesen wollen, beginnen Sie mit dem Teil 6 Seite 81 ff. Danke! zu sagen ist an dieser Stelle allen Kolleginnen und Kollegen, die durch aktives Mitmachen, Anregungen und Kritik zum Gelingen dieser Broschüre beigetragen haben. Wuppertal/Wettenberg, im Januar 2009 Friedrich Adams K.A. Schmersal Holding GmbH & Co. KG, Wuppertal Leiter Schmersal tec.nicum (1) Deterministisch/Determinismus (D): Begrifflichkeit der philosophischen Wissenschaftstheorie; D meint die eindeutige Bestimmtheit und Vorherbestimmtheit von Geschehnissen durch Ursachen (defi nier- und reproduzierbar), z. B. Fehlertoleranz durch Redundanz (Toleranzen und Zufälligkeiten spielen keine Rolle!). (2) Probabilistisch/Probabilistik: Einstufung von Ereignissen nach dem Grad ihrer Gewissheit = Wahrscheinlichkeitsrechnung/Wahrscheinlichkeitstheorie (Teilgebiet der Mathematik). 4

5 Inhalt Teil 1: Zum Hintergrundverständnis... Seite 9 Teil 2: Angaben (als Grundlage der Berechnungen im Sinne von EN ISO :2006 und EN IEC :2005)... Seite 15 Einfache Einzelgeräte im Schmersal-/Elan-Programm... Seite 21 Einfache Einzelgeräte im Schmersal-/Elan-Programm... Seite 22 Geräteangaben im Einzelnen... Seite 25 Exkurs: Fragen zur Architektur bzw. Steuerungskategorie... Seite 29 Exkurs zum Thema Fehleraufdeckung bei einfachen Einzelgeräten mit Sicherheitsfunktion... Seite 32 Geräte mit komplexerer sicherheitstechnischer Funktionalität... Seite 35 Geräte mit komplexerer sicherheitstechnischer Funktionalität... Seite 36 Geräte mit komplexerer sicherheitstechnischer Funktionalität im Schmersal-/Elan-Programm... Seite 38 Gerätekombinationen... Seite 41 Sicherheitsbussystem ASi-SaW/Geräte mit ASi-SaW-Schnittstelle... Seite 42 Teil 3: Kombination von Sub-PL s zu einem Gesamt-PL... Seite 45 Wie berechne ich selbst einen PL für ein Subsystem (einen Sub-PL)?... Seite 53 Einführung/Präambel... Seite 54 Beispiele... Seite 56 Wie berechne ich selbst einen Sub-PL mit Geräten des Schmersal-/Elan-Programms... Seite 63 Teil 4: Exkurse... Seite 67 Fehleraufdeckung... Seite 68 Einfluss der Definition der Sicherheitsfunktion auf die PL-Berechnung Beispiele... Seite 70 Teil 5: Schaltungsbeispiele aus dem BGIA-Report... Seite 73 1) BGIA-Schaltungsbeispiel : Schutztürüberwachung mit nachfolgender Signalweiterverarbeitung mittels SRB-Baustein oder Sicherheits-SPS (der klassische Fall)... Seite 74 2) BGIA-Schaltungsbeispiel : Kaskadierung bzw. Reihenschaltungen... Seite 75 3) BGIA-Schaltungsbeispiel : Kaskadierung bzw. Reihenschaltungen... Seite 76 5

6 4) BGIA-Schaltungsbeispiel : Schutztürzuhaltung mit nachfolgender Signalverarbeitung mittels SRB-Baustein oder Sicherheits-SPS (Kanal 1) und Standard-SPS (Kanal 2)... Seite 77 5) BGIA-Schaltungsbeispiel : Schutztürzuhaltung... Seite 78 Teil 6: Merkmale und Handhabung von EN ISO :2006 im Überblick... Seite 81 Zielsetzung der SRP/CS-Normung... Seite 82 Performance Level (1)... Seite 85 Performance Level (2)... Seite 87 Performance Level (3)...Seite 92 Teil 7: Lexikonteil/ Weitere Infos zu einigen Stichwörtern und Begriffen... Seite 93 Abschätzung von PL und SIL... Seite 94 Addition von Ausfallwahrscheinlichkeiten... Seite 94 AMD 1 zu EN 1088: Seite 94 Anhang E... Seite 95 Anhang G (gemäß EN ISO :2006)... Seite 95 Anhang K (gemäß EN ISO :2006)... Seite 96 Architekturen... Seite 97 Ausfälle... Seite 98 Ausfälle (systematische Ausfälle)... Seite 99 Ausfälle (zufällige Ausfälle)... Seite 99 Ausfallraten... Seite 99 B 10d -Werte... Seite 101 Badewannenkurve... Seite 103 Berechnungen (PL-Berechnungen)... Seite 104 Betriebsbewährung... Seite 105 BGIA... Seite 105 BGIA-Drehscheibe... Seite 105 BGIA-Report 2/08... Seite 106 CCF (Common Cause Failure), CCF-Maßnahmen, CCF-Management... Seite 106 CCF-Management/-Maßnahmen... Seite 107 (Type-) C-Normen... Seite 108 Designated Architectures... Seite 108 Diagnosedeckungsgrad DC... Seite 108 Diagnostic Coverage DC... Seite 108 6

7 Ergebnisgrafik PL... Seite 108 Exponentialverteilung... Seite 108 Fehleraufdeckungsgrad DC... Seite 109 Fehlerausschluss... Seite 109 Fehlerausschluss bei handbetätigten Geräten... Seite 110 Fehlerausschluss bei Verriegelungseinrichtungen... Seite 110 Fehlerausschluss: Leitungsebene... Seite 110 Fehleraufdeckung (extern)... Seite 111 Good Engineering Practices (GEP)... Seite 111 Hardware-Zuverlässigkeit MTTF d... Seite 112 Inkrafttreten... Seite 112 Kappung/Kappungsgrenze... Seite 112 Kompatibilität SIL PL/PL SIL... Seite 112 Leitungsebene... Seite 113 Literatur... Seite 113 Low Demand Mode... Seite 114 Maschinen-Richtlinie (MRL)... Seite 114 Mission Time (Lebensdauer)... Seite 114 MTTF d -Hardware-Zuverlässigkeit... Seite 114 Normen: (Type-) A-, B- und C-Normen... Seite 114 EN 954-1: Seite 114 EN Seite 114 EN ISO : Seite 115 EN ISO : Seite 115 EN IEC : Seite 115 EN IEC : Seite 115 EN ISO :2006 EN IEC :2005 (Vergleich)... Seite 116 EN ISO :2006 EN IEC :2005 (Vergleich zu EN 954-1:1996)... Seite 117 Parts-Count-Method... Seite 118 Performance Level... Seite 118 PFD (Probability of Failure on Demand)... Seite 118 PL-Ergebnisgrafik... Seite 119 PL Performance Level... Seite 119 PL r = required... Seite 119 Proof-Test/Proof-Test-Intervall... Seite 119 Proven in use... Seite 120 Reihenschaltungen... Seite 120 Reihenschaltungen elektromechanischer Geräte... Seite 120 Reset... Seite 120 7

8 Risiko, Risikoanalyse, Risikobewertung... Seite 120 Risikograf, Risikobewertung... Seite 121 Risikograf-Betrachtung gemäß EN ISO : Seite 121 Risikograf-Betrachtung gemäß EN IEC : Seite 122 Rückführkreis... Seite 123 Säulendiagramm... Seite 123 Sicherheitsfunktion... Seite 123 SIL (Safety Integrity Level)... Seite 123 SIL Claim Limit (SILCL)... Seite 124 SISTEMA... Seite 124 Software... Seite 125 Steuerungskategorien... Seite 126 Steuerungskategorien/Steuerungskategorie 2... Seite 127 Symmetrisierungsformel... Seite 127 T 10d -Wert-Betrachtung... Seite 127 Testeinrichtungen... Seite 128 Übergangsfrist... Seite 128 Vorgesehene Architekturen... Seite 128 Wiedereinschaltkreis... Seite 128 Zielsetzung der SRP/CS-Normung... Seite 128 Zusätzlicher Überwachungsschalter... Seite 128 Zuverlässigkeitstechnik (Zuverlässigkeits-Engineering)... Seite 129 Teil 8: Auszug aus unserer Broschüre Neuer Ansatz für die Sicherheit von Maschinen: EN ISO :2006 Sicherheitsbezogene Teile von Steuerungen... Seite 131 Teil 9: Schmersal-/Elan-Merkblätter... Seite 137 Teil 10: Umgang mit der PFH d -Begrenzung auf 100 y MTTF d... Seite 141 Impressum... Seite 147 Die Informationen in dieser Broschüre erfolgen besten Wissens und Gewissens. Wir übernehmen jedoch ausgenommen gegenteiliger und zwingender gesetzlicher Vorschriften keine Haftung für etwaige Fehler und Missverständnisse. Der Nutzer dieser Informationen ist nicht davon entbunden, unsere Angaben und Empfehlungen für den eigenen Gebrauch selbstverantwortlich zu prüfen. Wir bitten um Verständnis und um Beachtung dieses Hinweises. 8

9 Zum Hintergrundverständnis 9

10 Zum Hintergrundverständnis (1) (weitere Informationen: siehe Teil 6, Seite 81 ff.) Grob zusammengefasst ist ein Performance Level, wie ihn die neue Norm EN ISO :2006 künftig (1) für die Gestaltung von SRP/CSen fordert, eine Betrachtung mehrerer Einfluss größen, die heute weltweit anerkannt sind, die Sicherheit und die Zuverlässigkeit von Systemen zum Messen, Steuern und Regeln zu bestimmen, d.h. Einflussgrößen, die die Sicherheitsintegrität eines Systems ausmachen. Im Unterschied zu dem, was heute im Maschinenbau üblich ist, entspricht ein Performance Level dabei einer multidimensionaleren Betrachtung. Anstelle komplexer Modellierungen verwendet EN ISO :2006 dazu jedoch einen vereinfachten Ansatz, in dem 4 Hilfsgrößen betrachtet werden. Bitte beachten Sie jedoch, dass an einen Performance Level unbeschadet seiner Höhe zusätzlich grundlegende Anforderungen (Basisanforderungen) gestellt werden, d. h. Maßnahmen zur Vermeidung und Beherrschung systematischer Ausfälle und Fehler, während es bei einer PL-Klassifikation (PL a e ) im Wesentlichen um die Vermeidung und Beherrschung zufälliger Ausfälle und Fehler geht (siehe auch Lexikonteil, Stichwörter zu Ausfällen ). Ausgangspunkt einer PL-Betrachtung ist die Bestimmung verschiedener Sicherheitsfunktionen einer Maschine bzw. einer Maschinensteuerung. Es folgt die Bestimmung des erforderlichen Performance Levels PL r für die betreffende Sicherheitsfunktion. Welcher von 5 Performance Leveln ( a e ) auszuwählen ist, ergibt sich aus der jeweiligen C-Norm (Produktnorm) oder per Risikograf-Betrachtung. Der Performance Level spiegelt dabei das erforderliche Maß an Maßnahmen zur Risikominderung wider. Restrisiko a b c Risikohöhe d e a) Risiko muss in sehr geringem Maß reduziert werden b) Risiko muss in geringem Maß reduziert werden c) Risiko muss in größerem Maß reduziert werden d) Risiko muss in hohem Maß reduziert werden e) Risiko muss in bedeutendem Maß reduziert werden Ausgedrückt wird die Wirksamkeit der (erforderlichen) Maßnahmen in Form eines PFH d - Werts (eines Werts der verbleibenden maximal tolerierten durchschnittlichen Wahrscheinlichkeit eines gefährlichen Ausfalls pro Stunde = Average Probability of a dangerous Failure per Hour). Der PFH d -Wert ist dabei auch die Klammer zu den internationalen Safety Integrity Leveln (SIL s), wie sie EN IEC :2000 bzw. EN IEC :2005 kennen. Die Abschätzung (Berechnung) eines Performance Levels erfolgt nun gemäß EN ISO :2006 aufgrund der Betrachtung von 4 Einzelparametern (Hilfsgrößen): (1) Nach heutiger Beschlusslage wird EN 954-1:1996 (bzw. ISO :1999) spätestens am zurückgezogen werden (ursprünglich am vorgesehen). Siehe hierzu auch Amtsblatt der Europäischen Gemein schaften C 321/18 vom

11 1. der Architektur, im Wesentlichen identisch mit der Betrachtung der Steuerungskategorien, wie man sie aus der Anwendung von EN 954-1:1996 (ISO :1999) kennt, die in EN ISO :2006 übernommen worden ist; 2. der Beurteilung der Hardware-Zuverlässigkeit, ausgedrückt als Mean Time to dangerous Failure MTTF d in Jahren (einer unter Bezugnahme auf die Exponentialverteilung Wahrscheinlichkeitsmathematik-basierten Annahme über das Hardware-Ausfallverhalten; siehe hierzu auch Seite 88/89); 3. der Beurteilung (der Wahrscheinlichkeit) der Wirksamkeit der fehleraufdeckenden Maßnahmen im SRP/CS oder im betreffenden SRP/CS-Abschnitt, ausgedrückt als Diagnosedeckungsgrad DC (für Diagnostic Coverage) in %; 4. der Beurteilung von Maßnahmen gegen sogenannte Common-Cause- bzw. Common- Mode-Ausfälle (CCF = Common Cause Failures = Ausfälle, die den sicherheitstechnischen Nutzen der Mehrkanaligkeit eines Systems zerstören könnten). Mittels einer Grafik eines Säulen-Diagramms oder des Anhangs K von EN ISO :2006 lässt sich dann der erreichte Performance Level PL bestimmen und mit dem für die jeweilige Sicherheitsfunktion benötigten PL r vergleichen und validieren. Schematische Zusammenfassung Performance Level PL r Quelle: C-Norm oder Risikograf- Betrachtung Wahrscheinlichkeit eines Gefahr bringenden Fehlers pro Stunde (PFH d ) PL Safety Integrity Level (SIL) a 10 5 < 10 4 = Keine Entsprechung b < 10 5 SIL 1 c 10 6 < d 10 7 < 10 6 SIL 2 e 10 8 < 10 7 SIL 3 Vorgesehene Architektur (Steuerungskategorien): Frühere EN 954-1:1996- Betrachtungen Hardware-Fehlerqualität (Mean Time To dangerous Failure): Hersteller-, Norm- oder Nachschlagewerke-Angaben Diagnosedeckungsgrad DC (Fehleraufdeckungsrate): Anhang E von EN ISO :2006 oder Herstellerangaben Common-Cause-Failure-Maßnahmen CCF: 65 Punkte kann bei Sicherheitsbauteilen grundsätzlich unterstellt werden (siehe Tabelle im Lexikonteil, Stichwort CCF ) Ergebnisgrafik PFH (1/h) a b c d e PL MTTF d = niedrig MTTF d = mittel MTTF d = hoch Kategorie B DC avg = 0 Kategorie 1 DC avg = 0 Kategorie 2 DC avg = niedrig Kategorie 2 DC avg = mittel Kategorie 3 DC avg = niedrig Kategorie 3 DC avg = mittel Kategorie 4 DC avg = hoch Numerische Darstellung gemäß EN ISO :2006 Anhang K Tabell ek.1 ek1 Numerische Darst ellung von B ild 5 (aus EN ISO :200-1:2006 [D] Anha Anhang ng K [inform ormativ]) Durchschnittliche Wahrscheinlichkeit eines gefährlichen Ausfalls je Stunde [1/h] und der zugehörige Performance Level (PL) MTTF d Kat. B PL Kat. 1 PL Kat. 2 PL Kat. 2 PL Kat. 3 PL Kat. 3 PL Kat. 4 PL für jeden Kanal Jahre DC avg = DC avg = DC avg = DC avg = DC avg = DC avg = DC avg = kein kein niedrig mittel niedrig mittel hoch 3 3, a 2, a 1, a 1, a 6, b 3,3 3, a 2, a 1, a 1, a 5, b 3,6 3, a 2, a 1, a 1, a 4, b 3,9 2, a 1, a 1, a 9, b 4, b 4,3 2, a 1, a 1, a 8, b 3, b 4,7 2, a 1, a 1, a 7, b 3, b 5,1 2, a 1, a 1, a 6, b 3, b 5,6 2, a 1, a 9, b 6, b 2, c 6,2 1, a 1, a 8, b 5, b 2, c 6,8 1, a 1, a 7, b 4, b 2, c 75 7, , a 975 9, b 710 7, b 445 4, b 195 1, c 82 8, , a 887 8, b 643 6, b 402 4, b 174 1, c 11

12 Zum Hintergrundverständnis (2) Die vorliegende Broschüre konzentriert sich im Wesentlichen auf Informationen, die die Berechnung (Abschätzung) eines Performance Levels betreffen, wie ihn EN ISO :2006 künftig zugrunde legt, und bezieht sich dabei schwerpunktmäßig auf die Methode der sogenannten Subsystem-Betrachtung. Anmerkung: Die Wortwahl Berechnung und Abschätzung eines Performance Levels (PL s), wie sie nachfolgend häufig verwendet wird, ist gleichsinnig zu verstehen. In EN ISO :2006 wird regelmäßig von Abschätzung gesprochen. Abschätzung darf zwar nicht mit Schätzen verwechselt werden (vielmehr ist hiermit eher der mathematische Fachbegriff für Hilfsgrößen in Zusammenhang mit Ungleichungen gemeint), jedoch kommt es umgekehrt auch auf die absolute rechnerische Genauigkeit nicht an. Vielmehr geht es um die richtige Richtung bzw. um die richtige Größenordnung. Es gibt im Prinzip zwei Möglichkeiten, für eine Sicherheitsfunktion einen Performance Level (PL) zu berechnen: Möglichkeit 1 basiert auf der sogenannten Blockmethode gemäß Anhang B von EN ISO :2006 und ist eine Betrachtung des gesamten SRP/CS. Eine Gesamt-Betrachtung gemäß der Blockmethode ist beispielsweise das Normbeispiel, das Sie im Anhang I von EN ISO :2006 finden (siehe Anhang im Anschluss an den Lexikonteil Seite 131 ff.). Die Anwendung der Blockmethode empfiehlt sich am Ehesten für komplexe ineinander verwobene SRP/CS und in Sonderfällen (als Alternative zur Subsystem-Methode). Gesamt-Betrachtung einer Sicherheitsfunktion Blockmethode Normbeispiel Open Close + + SW1B + L SW2 K1B SW1B K1B API PLC SPS SW2 PLC CC CC: Current Converter PLC: Programmable Logic Controller M: Motor RS: Rotation Sensor : Switch shown in actuated position Control signal RS n CC M RS Möglichkeit 2 ist die als Vereinfachung gedachte Subsystem-Methode (nachfolgend auch häufiger Sub-PL-Betrachtung oder Sub-PL-Methode genannt), die unter Bezugnahme auf die sogenannte Kombinationstabelle (Tabelle 11 von EN ISO :2006, siehe Seite 45 ff.) erfolgt. Siehe hierzu auch Anhang H der Norm. Vorteil der Subsystem-Methode ist, dass man zum einen Geräte und Systeme am Markt findet, die bereits ein Subsystem bilden und die seitens ihrer Hersteller schon mit einem Sub-PL (bzw. Sub-SIL) und einem zugehörigem PFH d -Wert qualifiziert sind, d. h. man in diesen Fällen selbst nicht zu rechnen braucht, zum anderen wenn man einen Sub-PL selbst abzuschätzen hat die Abschätzung (Berechnung) wesentlich einfacher (weniger komplex) ist. Aber auch wenn Tabelle 11 nicht sinnvoll anzuwenden ist, gibt es den Vorteil der Entkomplexisierung. 12

13 Aufteilung der Sicherheitsfunktion in I, L und O Sub-PL-Methode siehe Seiten 47 ff. Safety function B Safety function A Function block B 1 Function block B 2 Function block B 3 Sensor I Auswerteeinheit L Aktor O Function block A 1 Function block A 2 Function block A 3 oder Subsystem 1 Subsystem 2 Subsystem 3 SRECS Sub-PL s bzw. Sub-SIL s (1) liegt eine Modularisierung eines Gesamt-SRP/CS in Teil-SRP/CSen (= Teil- bzw. Subsysteme) zugrunde, die aus Funktionsblöcken (typischerweise Funktionsblöcke für die Eingangs-, Signalverarbeitungs- und Ausgangsebene = I für Input + L für Logik + O für Output) abgeleitet werden. Siehe hierzu die obige Abbildung. Die Aufteilung erlaubt wie schon ausgeführt später eine vereinfachte Berechnung des Gesamt-PL s (bzw. Gesamt-SIL s). Mit aller gebotenen Vorsicht lässt sich aber auch sagen, dass die Blockmethode die rechnerisch genauere Methode ist, die zudem auch mehr Gestaltungsmöglichkeiten erlaubt, weil nicht das einzelne Subsystem, sondern die gesamte Sicherheitskette I + L + O (geometrisch) gemittelt wird. Legt man das Schmersal-/Elan-Lieferprogramm (und auch die Lieferprogramme unserer Wettbewerber) zugrunde, gilt es im Hinblick auf eine Sub-PL- bzw. Sub-SIL-Betrachtung zwischen zwei Arten von Geräten zu unterscheiden, nämlich der Gruppe Einfache Einzelgeräte mit Sicherheitsfunktion (auch passive Geräte, Elemente oder Teilsystem-Elemente genannt) und der Gruppe Geräte mit komplexerer sicherheitstechnischer Funktionalität (auch aktive Geräte, Sub-Systeme oder Teilsysteme genannt). Die vorgenannte Unterscheidung in zwei Gerätegruppen bedeutet keine Qualifizierung, d. h. beide Gerätegruppen können ihre jeweilige sicherheitstechnische Aufgabenstellung im SRP/CS gleich gut erfüllen; lediglich ist die Handhabung (siehe auch Seite 15 ff.) unterschiedlich. (1) Sub-PL s und Sub-SIL s werden nachfolgend häufiger im gleichen Atemzug genannt, weil auch EN IEC :2005 die Methode der Subsystem-Betrachtung bevorzugt beschreibt. 13

14 Der wesentliche Unterschied zwischen beiden Gruppen liegt in unterschiedlichen Gerätearchitekturen. Es gibt einmal Architekturen siehe Abbildung links mit (automatischer) Fremddiagnose und Architekturen siehe Abbildung rechts mit (automatischer) Selbstdiagnose (siehe auch Seite 15 ff.). Automatisch bedeutet in diesem Zusammenhang und in beiden Fällen im Wesentlichen ausgeführt vom System bzw. willensunabhängig. Einfache Einzelgeräte mit Sicherheitsfunktion Geräte mit komplexerer sicher heitstechnischer Funktionalität Unterschied: Fremddiagnose vs. Selbstdiagnose Zugeordnete Funktions- und Integritätsanforderungen Zugeordnete Funktions- und Integritätsanforderungen Schalter Verriegelung TSE 1.1 Schalter Verriegelung TSE 1.2 TS 1 Geschwindigkeitssensor TSE 2.1 Geschwindigkeitssensor TSE 2.2 TS 2 D D SPS in Übereinstimmung mit IEC TS 3 D Schütz TSE 4.1 Schütz TSE 4.2 TS 4 Teilsysteme (TS) implementieren Funktionsblöcke und sind Elemente in dem Entwurf der Architektur auf oberster Ebene, wobei ein Ausfall irgend eines Teilsystems zu einem Ausfall der sicherheitsbezogenen Steuerungsfunktion führt. Teilsystem-Elemente (TSE) sind Baugruppen, die die zu den Teilsystemen zugeordneten Funktionsblock-Elemente implementieren. Diagnosefunktionen (D) werden als separate Funktionen betrachtet, die eine von der sicherheitsbezogenen Steuerungsfunktion separate Struktur haben können. Sie können ausgeführt werden SRECS SRECS ist. Schalter Verriegelung TSE 1.1 Schalter Verriegelung TSE 1.2 TS 1 Geschwindigkeitssensor TSE 2.1 Geschwindigkeitssensor TSE 2.2 D D SPS in Übereinstimmung mit IEC D Schütz TSE 4.1 Schütz TSE 4.2 TS 2 TS 3 TS 4 D Teilsysteme (TS) implementieren Funktionsblöcke und sind Elemente in dem Entwurf der Architektur auf oberster Ebene, wobei ein Ausfall irgend eines Teilsystems zu einem Ausfall der sicherheitsbezogenen Steuerungsfunktion führt. Teilsystem-Elemente (TSE) sind Baugruppen, die die zu den Teilsystemen zugeordneten Funk-tionsblock-Elemente implementieren. Diagnosefunktionen (D) werden als separate Funktionen betrachtet, die eine von der sicherheitsbezogenen Steuerungsfunktion separate Struktur haben können. Sie können ausgeführt werden SRECS SRECS ist. Einfache Einzelgeräte mit Sicherheitsfunktion (in der obigen Grafik auch Teilsystem-Elemente TSE genannt) sind insbesondere dadurch gekennzeichnet, dass sie von Haus aus über keine eigenen Fähigkeiten zur Fehleraufdeckung verfügen, sondern es hierzu anderer Teile des SRP/CS bedarf (= Fremddiagnose). Siehe hierzu auch die getrennte Anordnung von D in der obigen Grafik. Gesamthaft (TSE bzw. TSE s + D ) ergibt sich dann ein Teilsystem (ein Subsystem), das sich für eine (höhere) Sub-PL-Berechnung eignet. Für niedrigere PL s genügt eine Beurteilung der Hardware-Zuverlässigkeit der einfachen Einzelgeräte (TSE s). Geräte mit komplexerer sicherheitstechnischer Funktionalität verfügen bereits von Haus aus über eine Architektur, die alle Merkmale hat, die für einen (höheren) Sub-PL erforderlich sind, insbesondere die Fähigkeit der eigenen Fehleraufdeckung (= Selbstdiagnose). Siehe hierzu auch die direkte Zuordnung von D in der obigen Grafik, d. h. TSE und D bilden bereits eine Einheit (ein Teil- oder ein Subsystem mit im Regelfall höherem Sub-PL). Darstellung EN IEC entlehnt! 14

15 Angaben (als Grundlage der Berechnungen im Sinne von EN ISO :2006 und EN IEC :2005) 15

16 Angaben (als Grundlage der Berechnungen im Sinne von EN ISO :2006 und EN IEC :2005) Alle namhaften Hersteller werden ihre technischen Daten wenn sie es nicht ohnehin schon tun nach und nach um Angaben im Sinne von EN ISO :2006 und EN IEC :2005 erweitern bzw. werden solche Angaben auf Anfrage zur Verfügung stellen können. Neben den Herstellerangaben gibt es eine Vielzahl anderer Quellen, derer man sich ggf. bedienen kann (angefangen bei EN ISO :2006 [Anhang C] und EN IEC :2005 selbst, über die Norm SN bis hin zu [relativ veralteten] MIL-Handbüchern u. Ä.). Beide Normen geben aber die klare Aussage, dass bevorzugt Herstellerangaben verwendet werden sollen. Je nach Geräteart fallen die Angaben aber unterschiedlich aus. Zu unterscheiden ist, ob es sich um Bauteile (z. B. elektronische Bauelemente), um einfache Einzelgeräte, z. B. um einfache Sicherheitsschaltgeräte, oder um Geräte mit komplexerer sicherheitstechnischer Funktionalität handelt. Hierzu gehören ggf. auch Gerätekombinationen. Bauteile werden im Folgenden nicht weiter betrachtet. Der wesentliche Unterschied im Übrigen ist, dass Geräte mit komplexerer sicherheitstechnischer Funktionalität und Gerätekombinationen bereits von Haus aus über eine spezifische sicherheitsgerichtete Architektur (sprich SK 2 und höher) und über eigene Fähigkeiten der Fehleraufdeckung (über eine unter diesem Aspekt eigene Intelligenz ) verfügen. Man könnte auch von der Fähigkeit der Selbstdiagnose sprechen. Geräte mit komplexerer sicherheitstechnischer Funktionalität haben deshalb von Haus aus schon einen höheren Sub-PL bzw. Sub-SIL. Einfache Einzelgeräte, zum Beispiel einfache Sicherheitsschalter, haben dagegen im Regelfall nur eine einfache Architektur (sie sind bestenfalls 2-kanalig). Insbesondere ist aber die Fähigkeit der Selbstdiagnose nicht gegeben. Vielmehr erfolgt bei diesen Geräten die Fehleraufdeckung von anderen den einfachen Einzelgeräten vor- oder nachgeordneten SRP/CS-Teilen, zum Beispiel bei AZ 16-Schaltern durch einen SRB-Baustein. Insofern kann man dann hier auch von Fremddiagnose sprechen. Einfache Einzelgeräte werden in der Normung auch Teil- oder Subsystem-Elemente genannt. Einfache Einzelgeräte (ohne zusätzliche Fremddiagnose) haben im Regelfall nur einen niedrigen Sub-PL bzw. Sub-SIL (je nach Ausfallwahrscheinlichkeit max. PL c bzw. SIL 1); sie können jedoch bei entsprechender Anordnung (Stichwort: Architektur ) und in Verbindung mit zusätzlichen fehleraufdeckenden Maßnahmen (Stichwort: Fremddiagnose ) bis zu Sub- PL e bzw. Sub-SIL 3 ertüchtigt werden. Ggf. ist hierfür zusätzlich eine 2-kanalige Anordnung/Ausführung zu realisieren (1). Typische Beispiele für einfache Einzelgeräte sind Ventile und Zylinder der Fluidtechnik (Hydraulik, Pneumatik), Hilfs- und Leistungsschütze, Not-Halt-Befehlsgeräte, Positionsschalter, Verriegelungseinrichtungen einschließlich Sicherheits-Magnetschaltern, Zustimmungsschalter etc. Für Geräte dieser Art wird künftig im Regelfall eine Zuverlässigkeitsgröße in Form eines B 10d -Werts (max. Schalthäufigkeit), weil sie einem Verschleiß bei der Benutzung unterliegen, angegeben, ggf. aber auch bei neuen Geräten in Zukunft ein MTTF d -Wert (in Jahren). Zur B 10d -Wert-Betrachtung: siehe Seite 22 ff. (1) Im Klartext bedeutet dies, dass (bis auf Ausnahmen) einfache Schalter, auch wenn sie elektrisch zweikanalig sind, keine Kategorie höher als 1 und keinen Sub-PL höher als c bzw. keinen Sub-SIL höher als 1 haben können. Erst wenn eine nachgeschaltete Intelligenz auch Fehler erkennt, kann man z. B. in Verbindung mit einer 2-Kanaligkeit solchen Schaltern höhere Kategorien, PL s bzw. SIL s zuordnen. Alternativ steht die Möglichkeit begründeter Fehlerausschlüsse zur Verfügung. Siehe hierzu auch Seiten 23 f. und 29 ff. 16

17 Schematische Zusammenfassung: Aufteilung von Schmersal-/Elan-Geräten in zwei Gruppen Einfache Einzelgeräte mit Sicherheitsfunktion Geräte mit komplexerer sicherheitstechnischer Funktionalität Im Regelfall: 1-kanalig (manchmal 2-kanalig) Stand-alone: Max. PL c bzw. SIL 1 Keine eigene Diagnose Für höhere PL s + höherwertige Architektur (oder Fehlerausschlüsse, siehe u.a. Seite 29 ff.) + Fremddiagnose erforderlich! Im Regelfall: 2-kanalig Selbstdiagnose-Fähigkeit Ertüchtigt für höhere Sub- PL s Wie bereits ausgeführt, lässt sich auch mit den sogenannten einfachen Einzelgeräten ein (Sub-)PL d oder (Sub-)PL e erreichen, bezieht man fehleraufdeckende Maßnahmen, die ihnen von anderen SRP/CS-Teilen zu Teil werden, mit in die Betrachtung ein; ggf. zusätzlich erforderlich ist noch eine Redundanz der Geräte, wenn sie von Haus aus selbst nicht die Anforderungen an eine 2-kanalige Architektur erfüllen. Im Grunde genommen handelt es sich bei diesen Betrachtungen um nichts anderes als um die aus EN 954-1:1996 bekannte Kombination solcher Geräte mit zum Beispiel Sicherheits-Relais-Bausteinen oder Sicherheits-SPSen, deren Eingangs- und Rückführkreise als fehlersicherer Vergleicher wirken, der etwaige Ausfälle und Fehler auf der I - oder O -Ebene erkennt. Sicherheitsschalter mit getrenntem Betätiger Sicherheits-Sensoren mit magnetischem Wirkprinzip Sicherheitszuhaltungen in Kunststoff- und Metallausführungen Verdrahtungslose Systeme/Schlüsseltransfersysteme Positionsschalter mit Sicherheitsfunktion Not-Halt-Befehlsgeräte Zustimmungsschalter Seilzug-Notschalter Sicherheits-Fußschalter 17

18 Ergänzende Anmerkungen zu den Begriffen Hardware-Zuverlässigkeit, MTTF d u. ä. bei einfachen Einzelgeräten mit Sicherheitsfunktion: In anderen Normen und in anderen Zusammenhängen des Zuverlässigkeits-Engineerings fi nden sich auch andere Ausdrucksweisen für Ausfallwahrscheinlichkeiten, z. B. λ- oder FIT-Werte. Diese Angaben lassen sich per Kehrwert-Bildung einfach in MTTF d -Werte umrechnen. Sogenannte MTBF-Werte (= Mean Time Between Failures) können in Zusammenhang mit EN ISO :2006 MTTF-Werten gleichgestellt werden. Zu beachten ist die Indexierung d für dangerous bzw. gefährliche Ausfälle. Werte ohne d werden gemäß EN ISO :2006 im Regelfall im Verhältnis 50:50 aufgeteilt (man geht davon aus, dass statistisch nur jeder zweite Ausfall ein Ausfall in die gefährliche Richtung ist), d. h. ein MTTF d ist doppelt so hoch wie der MTTF (für alle möglichen Ausfälle). Der gleiche Zusammenhang besteht zwischen B 10d - und B 10 -Werten. Geräte mit komplexerer Funktionalität (Subsysteme und mehr) sind dagegen von Haus aus bereits so aufgebaut, dass sie sicherheitstechnisch eigenständig bewertet werden können, ohne dass dafür andere Teile des SRP/CS in Bezug genommen werden müssen. Die Herstellerangaben sind dann ein Sub-PL bzw. ein Sub-SIL (jeweils mit einem zugehörigen PFH d -Wert). Typische Beispiele für Geräte mit komplexerer sicherheitstechnischer Funktionalität sind Sicherheits-Relais-Bausteine, Mikroprozessor-basierte Sicherheitssensoren, Sicherheits-SPSen, sicherheitsgerichtete Bussysteme u. Ä. Berührungslose Sicherheits-Zuhaltungen mit induktivem Wirkprinzip Sicherheitssensoren mit induktivem Wirkprinzip Sicherheits-SPSen Geräte für ASi-SaW Sicherheits-Lichtgitter/ -vorhänge AOPD Typen 2 und 4 wahlweise mit Muting-, Blanking- und Kombi- Funktionen, mit Taktbetrieb wahlweise mit Schutzart IP 69K, auch in hygienegerechter Ausführung Einweg-Sicherheitslichtschranken AOPD Typen 2 und 4 PS: Bei PFH-Werten ist die Unterscheidung über die Indexierung d nicht besonders üblich, d. h. sowohl mit einem PFH-Wert als auch mit einem PFH d -Wert ist im Regelfall die Gefahr bringende Ausfallrichtung gemeint. Geräten mit komplexerer sicherheitstechnischer Funktionalität gleichgestellt sind Gerätekombinationen, z. B. die Kombination von Sicherheitsmagnetschaltern BNS und speziellen dazugehörigen Auswertebausteinen AES, die so (in der Kombination) ebenfalls eine sicherheitstechnisch in sich abgeschlossene Funktionalität darstellen, für die ein höherer Sub-PL bzw. Sub-SIL bestimmt werden kann. 18

19 Beispiel einer Gerätekombination BNS/AES ACHTUNG Stolperstein: Werden in einem SRP/CS einfache Einzelgeräte und Geräte mit komplexerer sicherheitstechnischer Funktionalität gemischt, z. B. Sicherheitsschalter auf der Eingangsebene und eine Sicherheits-SPS auf der Logikebene, kann es vorkommen, dass man für das eine Subsystem (hier im Beispiel für das Subsystem Eingangsebene ) MTTF d -Werte hat (oder B 10d -Werte, woraus sich dann MTTF d -Werte ableiten, siehe auch Seite 22 f.) und für das andere Subsystem (hier im Beispiel für das Subsystem Logikebene ) PFH d -Werte. Ggf. (wenn die Werte addiert werden müssen) ist einer der beiden Werte umzuwandeln. Hierzu dient dann Anhang K von EN ISO :2006 (leider nur bis 100 y MTTF d ; siehe Lexikonteil, Stichwort Anhang K ) oder eine grobe eigene Abschätzung/Hochrechnung der Anhang K-Zahlen oder die vereinfachte Rückrechnung eines PFH d -Werts in einen Block-MTTF d -Wert (1/PFH d : 8.760) (siehe auch Seite 50 sowie entsprechende Stichwörter im Lexikonteil). Sie können ggf. aber auch insbesondere wenn die vereinfachende Tabelle 11 der Norm, siehe hierzu Seite 46 ff., nicht sinnvoll anwendbar ist, aber auch bei komplexeren Gemengelagen Block- und Sub-Systemmethoden der Norm mischen. Siehe hierzu Beispiel im Nachtrag zur Ausgabe 2011 (Seite 141 ff.). Hintergrund für diesen Stolperstein ist, dass hinter einem PL neben deterministischen Anforderungen eigentlich ein PFH d -Wert steht, der sich wahrscheinlichkeits-mathematisch aus den bereits angesprochenen 4 Betrachtungsparametern ergibt. Mit anderen Worten ist der PFH d -Wert der übergeordnete Wert (mit dem sich Geräte komplexerer sicherheitstechnischer Funktionalität beschreiben lassen), wohingegen der MTTF d -Wert nur ein Teilaspekt im Rahmen einer diskreten Betrachtung für einfache Einzelgeräte ist, zu der dann noch die Architektur (die Steuerungskategorie), die Fehleraufdeckung (DC) und das CCF- Management hinzukommen und die sich dann insgesamt mit einem PFH d -Wert beschreiben lassen. Die dahinterstehende Mathematik wurde vom BGIA (1) ermittelt. (1) BGIA: Institut für Arbeitsschutz der Deutschen Gesetzlichen Unfallversicherung (siehe Lexikonteil) 19

20 Exkurs: Einsatz von Dual-Use-Produkten in SRP/CSen (1) Gemeint sind mit dem Begriff Dual-Use-Produkte Gerätschaften, die vom Hersteller nicht ausdrücklich als Sicherheitsbauteil in Verkehr gebracht werden, sondern von Haus aus für betriebsmäßige Anwendungen bestimmt sind, aber auch in Sicherheitsfunktionen verwendet werden können, z. B. handelsübliche Näherungsschalter, Positionsschalter, Schütze, Ventile, SPSen u. Ä. Gemäß EN ISO :2006 ist der Einsatz auch solcher Geräte im Rahmen von Sicherheitsfunktionen grundsätzlich zulässig (deshalb auch der Begriff Dual-Use-Produkte ), wenn entsprechende qualifizierte Anforderungen erfüllt werden. Im Regelfall geben die Hersteller von Produkten dieser Art richtigerweise nur einen MTTFoder MTTF d -Wert (2) bzw. einen B 10 - oder B 10d -Wert (2) mit anderen Worten: einen Hardware- Zuverlässigkeitswert an. Im Rahmen 1-kanaliger Architekturen ist beim Einsatz von Dual-Use-Produkten zu überprüfen, ob es sich bei dem betreffenden Produkt um ein sogenanntes bewährtes Bauteil handelt (siehe EN ISO :2003 Anhänge A bis D) oder nicht. Im letzteren Fall kommt max. ein PL b infrage (zum Beispiel bei handelsüblichen SPSen). Handelt es dagegen um ein bewährtes Bauteil ist max. ein PL c möglich (Beispiele: Ventile der Fluidik, Schütze, Relais, traditionelle Positionsschalter etc.). Im Rahmen 2-kanaliger Strukturen kann beim Einsatz von Dual-Use-Produkten bei sorgfältiger Auswahl und Ausführung max. ein PL d erreicht werden. Bitte beachten Sie in diesem Zusammenhang aber dringend, dass den Designer solcher SRP/CSen ein hohes Maß an Eigenverantwortlichkeit bei der Beurteilung der sicherheitstechnischen Eignung trifft, insbesondere wenn es sich dabei um elektronische Technologie handelt, die ihm Hersteller von Sicherheitsbauteilen in einem hohen Maß bereits abgenommen haben. Gemeint sind damit z. B. Maßnahmen zum Schutz vor Manipulationen, ggf. spezielle Software- und/oder erhöhte EMV-Anforderungen etc. Schmersal-/Elan-Herstellerangaben über Dual-Use-Produkte : auf Anfrage! (1) Der Begriff Dual-Use-Produkt (Produkt mit doppeltem Verwendungszweck) ist ein dem Englischen entlehnter Begriff, der eigentlich in der Exportkontrolle angewendet wird und die prinzipielle Verwendbarkeit eines Wirtschaftsgutes (z. B. einer Maschine oder auch Software und Technologie) zu sowohl zivilen als auch militärischen Zwecken bezeichnet. Hier wird der Begriff zweckentfremdet (sowohl für sicherheitsgerichtete als auch für betriebsmäßige Anwendungen bestimmt). (2) Zum Verhältnis MTTF- : MTTF d -Wert (bzw. B 10 - : B 10d -Wert): siehe Seite 18 oben. 20