HIMA. Auswirkungen auf die Automatisierungstechnik und Umsetzung im Hause HIMA. Die Sicherheitsnorm IEC 61508

Transkript

1 Die Autoren: Uwe Jülly Hans-Leo Ross Auswirkungen auf die Automatisierungstechnik Die Entwicklung ist abgeschlossen, die Umsetzung hat begonnen: Im August 2002 wurde die Sicherheitsnorm IEC europaweit als EN veröffentlicht und damit gültig. Weltweit erfolgt derzeit die nationale Implementierung, so beispielsweise in Australien (AS 61508), Großbritannien (BS IEC 61508) und Deutschland (DIN EN (VDE 0803)). Diese Grundnorm, die als erste umfassend die Sicherheitsanforderungen in der Automatisierungstechnik definiert, gilt zukünftig als Basis für die Sicherheitsnormierung. Sie deckt alle Bereiche ab, in denen mit elektrischen, elektronischen oder (speicher-) programmierbaren Systemen sicherheitsrelevante Schutzfunktionen realisiert werden. Im Mittelpunkt stehen alle Anwendungen, bei denen ein Fehlverhalten des Sicherheitssystems einen massiven Einfluss auf die Sicherheit von Personen und/oder der Umwelt hat. Zusätzlich dient die IEC der Verhinderung oder wirtschaftlichen Begrenzung von Schäden an Produkten und Produktionseinrichtungen. Der Ursprung von Sicherheitsnormen Wozu Sicherheitsnormen? Jede Anwendung von Technik bedeutet gleichzeitig ein sicherheitstechnisches Risiko. Je mehr Menschen, Sachwerte oder Umweltbereiche betroffen sind, desto mehr Maßnahmen müssen auch zur Risikominimierung umgesetzt werden. Den Maßstab dafür bilden die Sicherheitsnormen. Bisherige Sicherheitsnormen wurden eher anwendungsorientiert entwickelt und das häufig erst nach einem Schadensfall. Allgemein anerkannte Grundsätze spielten eine eher untergeordnete Rolle. Dieser Zusammenhang ist deutlich in dem 1984 erschienenen Buch des TÜV Microcomputer in der Sicherheitstechnik dargestellt. Bestehende Normen aus verschiedenen Anwendungsbereichen wurden entsprechend der Schärfe ihrer Anforderungen in fünf Sicherheitsklassen eingestuft. So finden sich beispielsweise Bahnsignalanlagen in der gleichen Kategorie wie eine Pressensteuerung. Eine der ersten anwendungsorientierten Normen für sicherheitsgerichtete elektrische/elektronische Steuerungen war die VDE 0116 (Elektrische Ausrüstung von Feuerungsanlagen). Mit der Ausgabe im Jahr 1989 berücksichtigte sie auch Mikroprozessorsysteme. Zukünftig wird VDE 0116 durch die Norm EN ersetzt. HIMA Paul Hildebrandt GmbH + Co KG Industrie-Automatisierung Postfach Brühl Telefon: ( ) Telefax: ( ) info@hima.com Internet: Der Fortschritt ließ nicht lange auf sich warten: Die DIN V Grundlegende Sicherheitsbetrachtungen für MSR-Schutzeinrichtungen orientierte sich erstmals an einer grundsätzlichen Risikobetrachtung. Sie beschrieb Verfahren zur Einteilung von acht Sicherheitsklassen (AK 1 bis AK 8) nach DIN (Allgemeine Leitsätze für das sicherheitsgerichtete Gestalten technischer Erzeugnisse) und zwar vollkommen unabhängig von Anwendungsbereichen. Diese Norm wurde ergänzt durch die DIN V VDE 0801 (Grundsätze für Rechner in Systemen mit Sicherheitsaufgaben). Sie dient der Beschreibung möglicher Maßnahmen in sicheren Rechnersystemen, um die in der DIN V (Leittechnik MSR-Schutzeinrichtungen Anforderungen und Maßnahmen zur gesicherten Funktion) definierten Anforderungsklassen zu erreichen. Seite 1/6

2 Parallel zur DIN V entstand die EN 954: Sie bezieht sich auf Basis von DIN V VDE 0801 auf mikroprozessorbasierende Systeme und hat sich in einer anderen Ausprägung als Sicherheitsnorm für die Fertigungsautomatisierung etabliert. Mit einer Zertifizierung eines Systems nach DIN V und DIN V sowie DIN V VDE 0801 war damit der qualitative, nicht aber der quantitative Nachweis erbracht. Zur Abschätzung des Restrisikos herrschte somit weiterhin Klärungsbedarf. Die nachstehende Übersicht zeigt vereinfacht die zeitliche Entwicklung der Sicherheitsnormen. Spezifizierung der Grundnorm IEC für Sektoren IEC (FDIS) DIN IEC IEC (CD) Sicherheitsgrundnorm (quantitativer Nachweis) IEC EN Speicherprogrammierbare Steuerung EN EN EN Anwendungsunabhängig (quantitativer Nachweis) DIN DIN V DIN V VDE 0801 DIN V Anwendungsorientiert (Beispiele) DIN VDE 0116 DIN EN 954 PrEN Bewertung bestehender Normen TÜV-Buch, Microcomputer in der Sicherheitstechnik Seite 2/6

3 Die Norm IEC Die IEC ist in verschiedenen Publikationen sehr ausführlich dargestellt. Die folgenden Darstellungen beziehen sich auf die wesentlichen Aspekte. Mit Einführung der IEC wird erstmals der quantitative Nachweis für das verbleibende Restrisiko gefordert. Zur Reduzierung dieses Risikos schreibt die Norm folgende Schritte vor: Risikodefinition und -bewertung nach detaillierten Versagenswahrscheinlichkeiten sowohl für den gesamten Schutzkreis (Loop) von der Messstelle über die Steuerung bis zum Aktor als auch für den gesamten Lebenszyklus (Overall Safety Lifecycle) der Anwendung Festlegen und Umsetzung der Maßnahmen (Management of Functional Safety) zur Restrisikominimierung Einsatz geeigneter (zertifizierter) Geräte Periodische Überprüfung der korrekten Einhaltung von Vorgaben Eine Übersicht über die systematische Vorgehensweise gibt folgende Grafik: Sicherheits-Lebenszyklus Sicherheits- Management Technische Anforderungen Spezifikation Planung & Implementierung Installation & Inbetriebnahme Fehlerursachen Qualifikation Personal Betrieb & Wartung Änderung nach Inbetriebnahme Der Lebenszyklus (Overall Safety Lifecycle) der Anwendung ist in 16 Teilaspekte untergliedert. Schon bei der Ideenfindung einer Anwendung mit möglichem Gefährdungspotenzial fordert die IEC die Untersuchung der erforderlichen Sicherheitsaspekte. Die Gefahrenanalyse und die Definition der Gefahrengegenstände stehen dabei im Vordergrund (Hazard and Risk Analysis). Im Bereich des Management of Functional Safety hat die sichere Durchführung aller Arbeitsabläufe und Maßnahmen oberste Priorität. Dazu gehören auch die Definition und Qualifikation verantwortlicher Personen. Alle Maßnahmen sind mit dem Ziel der einfachen Nachvollziehbarkeit nach genauen Vorschriften zu dokumentieren und in allen 16 Phasen des Lebenslaufs nach demselben Prinzip zu bearbeiten: Definition von Sicherheitszielen für jede Phase inklusive untergeordneter Teilphasen Definition der notwendigen Anforderungen sowie deren Spezifizierung für die jeweils gültigen Anwendungsbereiche Erarbeitung und Dokumentieren eines Ergebnisses für jede Teilphase unter Einbezug von physikalischen, chemischen, verfahrenstechnischen, MSR-technischen und organisatorischen sowie personellen Maßnahmen Seite 3/6

4 Die bisherigen Anforderungsklassen AK 1 bis AK 8 werden durch die sicherheitsbezogenen Anforderungsstufen SIL (Safety Integrity Levels) 1 bis 4 ersetzt. Die Abschätzung des Risikos zur Definition des SIL wird über einen Risikographen vorgenommen. Für jedes Element des sicherheitsgerichteten Loops ist die Versagenswahrscheinlichkeit als PFH (Probability of Failure per Hour) oder PFD (Probability of Failure on Demand) zu definieren. Die für alle Einzelelemente berechneten Versagenswahrscheinlichkeiten werden addiert unter Berücksichtigung sicherheitstechnischer Verschaltungen, z.b. 1oo2 oder 2oo3. Eine bedeutende Rolle spielt dabei die Fähigkeit eines Systems, Fehler aufzudecken und in Abhängigkeit seiner Auswirkung entsprechend zu reagieren. Deshalb unterscheidet man gefährliche und ungefährliche Fehler sowie die Möglichkeit, die Fehler zu entdecken oder nicht. Fehler im Detail λ DU λ DD λ SD = safe detected failure rate, entdeckte und ungefährliche Fehler λ SU = safe undetected failure rate, unentdeckte und ungefährliche Fehler λ DD = dangerous detected failure rate, entdeckte und gefährliche Fehler λ DU = dangerous undetected failure rate, unentdeckte und gefährliche Fehler λ SU λ SD Ebenfalls relevant für eine entsprechende SIL-Einstufung sind die Art der Gefahr und der genutzten Technologie, die Größe der Anlage und/oder des zu schützenden Objekts, die Anzahl der beteiligten Arbeitsgruppen und die physikalische Ausbreitung der Anlage. Diese Faktoren sind unter dem Gesichtspunkt Erfahrung bzw. Neuigkeit der Applikation zu betrachten. Ein weiterer Aspekt der Norm erlaubt die Verwendung von nicht-sicherheitsgerichteten Systemen für sicherheitsgerichtete Anwendungen, sofern diese Proven in Use sind. Diese sind jedoch ausführlich auf die Anwendung bezogen zu definieren und zu dokumentieren. Darüber hinaus müssen sie jederzeit einem entsprechenden Audit oder Assessment lückenlos und nachvollziehbar dargelegt werden können. Ein Blick in die Zukunft zeigt, dass jede widersprüchliche nationale CENELEC- oder CEN- Norm bis August 2004 angepasst oder zurückgezogen werden muss. Auf Basis der IEC sind zurzeit sektorspezifische Normen in Ausarbeitung, z. B. die IEC für die Prozessindustrie, die IEC für die Nuklearindustrie und die IEC für die Fertigungsindustrie. Diese Sektornormen sind für Planer und Betreiber entsprechender Anlagen wichtig. Seite 4/6

5 Die Umsetzung der IEC im Hause HIMA Als technologischer Marktführer in der Sicherheitstechnik hat HIMA die Sicherheitsnormen der Vergangenheit nicht nur beeinflusst, sondern deren Erfüllung auch stets als Messlatte für den Erfolg des Unternehmens gesehen. Für alle seit 1998 von HIMA eingeführten Systeme und Baugruppen wurde die IEC bereits als Prüfnorm angewendet. Für die Standardbaugruppen des Planar4-Systems konnte HIMA eine Einsatzfähigkeit bis Sicherheitsklasse SIL 4 nachweisen ein besonders für HIPPS-Anwendungen im Offshore- Bereich wichtiges Kriterium. Zahlreiche weitere Applikationen für unterschiedliche Anforderungen nach verschiedenen Standards tragen außerdem die Handschrift des Marktführers. Auch die neu entwickelte HIMatrix-Serie (SIL3), das dazugehörige Programmiertool ELOP II Factory sowie zahlreiche Kundenprojekte wurden entsprechend der IEC im Hause HIMA entwickelt, dokumentiert und gefertigt. Mit der Revision des neuen Betriebssystems V 7.08 hat HIMA im Jahr 2002 die IEC auch für die H41q/H51q-Systeme als Prüfnorm vollständig übernommen. Es wurde nachgewiesen, dass die gesamte Systemfamilie H41q/H51q sowie das Programmiertool ELOP II alle Anforderungen der IEC in Bezug auf Entwicklung, Dokumentation und Fertigung erfüllt. Die TÜV-Zertifikate für die Anwendung bis einschließlich SIL 3 folgten im August Die H41q/H51q-Systeme sind damit die ersten 2oo4D/QMR-Systeme der Welt, die der neuen Norm entsprechen. Durch die frühzeitige Orientierung an der neuen Norm erhielt HIMA als weltweit erster Hersteller für sicherheitsgerichtete Automatisierungssysteme das Zertifikat Functional Safety Management IEC Dieses Management-Tool kommt allen Entwicklungen und Produkten von HIMA hinsichtlich Qualität und Sicherheit zugute ein entscheidender Wettbewerbsvorteil im Markt. Neue Lösungen im Bereich der sicherheitsgerichteten Automatisierung ergeben sich auch aus dem Zusammenspiel verschiedener Normen. Standards, zum Beispiel ATEX 95, verlangen eine gesamte Betrachtung des Gefahrenpotenzials aller Sicherheitskomponenten. Zusammen mit der Forderung der IEC hat HIMA die langjährige Kompetenz im Ex- Bereich und in der Sicherheitstechnik in weitere neue Produkte einfließen lassen. Das Ex- Programm der H41q/H51q-Familie wurde um eine analoge Ex-Eingabebaugruppe und eine digitale Ex-Ausgabebaugruppe erweitert die Voraussetzung für den Aufbau kompletter SIL3-Loops im Ex-Bereich. Durch diese Maßnahme lassen sich Sicherheitskreise mit zuverlässigeren Baugruppen aufbauen. Detailliertere Diagnosen sowie die Reduzierung von Fehlerquellen erhöhen die Anlagenverfügbarkeit und senken somit die Produktionskosten. Seite 5/6

6 Durch die Betrachtung ganzer Loops gewinnt auch die Kommunikation zwischen einzelnen Komponenten an Bedeutung. Durch die Vernetzung mit safeethernet können HIMA- Systeme IEC konform bis SIL 3 in ein Sicherheitsnetzwerk eingebunden werden. Da diese Kommunikation flexibel und redundant ausgeführt werden kann, lassen sich hieraus neben der Sicherheit und der typischen Einsparungspotenziale der Dezentralisierung, z. B. reduzierte Trassenkosten, auch eine wesentliche Erhöhung der Anlagenverfügbarkeit ableiten. Die Einführung von IEC liefert wie gezeigt auch neue Ansatzpunkte für wirtschaftliche Optimierungen. Entscheidende Kostenvorteile, gerade zu Projektbeginn, sind die Argumente des Unternehmens HIMA für Beratungsgespräche zu diesem Thema. Seite 6/6