Applikationen & Tools. Bewertung der Anwahl einer sicherheitsbezogenen Betriebsart mittels nicht-sicherheitsgerichteten Komponenten

Transkript

1 Deckblatt Bewertung der Anwahl einer sicherheitsbezogenen Betriebsart mittels nicht-sicherheitsgerichteten Komponenten SINUMERIK 840D sl SINUMERIK Safety Integrated Applikationsbeschreibung Februar 2015 Applikationen & Tools Answers for industry.

2 Siemens Industry Online Support Dieser Beitrag stammt aus dem Siemens Industry Online Support. Durch den folgenden Link gelangen Sie direkt zur Downloadseite dieses Dokuments: Vorsicht: Die in diesem Beitrag beschriebenen Funktionen und Lösungen beschränken sich überwiegend auf die Realisierung der Automatisierungsaufgabe. Bitte beachten Sie darüber hinaus, dass bei Vernetzung Ihrer Anlage mit anderen Anlagenteilen, dem Unternehmensnetz oder dem Internet entsprechende Schutzmaßnahmen im Rahmen von Industrial Security zu ergreifen sind. Weitere Informationen dazu finden Sie unter der Beitrags-ID Beitrags-ID:

3 s Aufgabe 1 Begriffe 2 Betriebsartenanwahl- Einrichtung (ISO 16090) 3 SINUMERIK 840D sl Betriebsartenanwahl mit Standard-Komponenten Applikationsbeispiel 4 Ansprechpartner 5 SINUMERIK Safety Integrated Beitrags-ID:

4 Gewährleistung und Haftung Gewährleistung und Haftung Hinweis Die Applikationsbeispiele sind unverbindlich und erheben keinen Anspruch auf Vollständigkeit hinsichtlich Konfiguration und Ausstattung sowie jeglicher Eventualitäten. Die Applikationsbeispiele stellen keine kundenspezifischen Lösungen dar, sondern sollen lediglich Hilfestellung bieten bei typischen Aufgabenstellungen. Sie sind für den sachgemäßen Betrieb der beschriebenen Produkte selbst verantwortlich. Diese Applikationsbeispiele entheben Sie nicht der Verpflichtung zu sicherem Umgang bei Anwendung, Installation, Betrieb und Wartung. Durch Nutzung dieser Applikationsbeispiele erkennen Sie an, dass wir über die beschriebene Haftungsregelung hinaus nicht für etwaige Schäden haftbar gemacht werden können. Wir behalten uns das Recht vor, Änderungen an diesen Applikationsbeispielen jederzeit ohne Ankündigung durchzuführen. Bei Abweichungen zwischen den Vorschlägen in diesem Applikationsbeispiel und anderen Siemens Publikationen, wie z.b. Katalogen, hat der Inhalt der anderen Dokumentation Vorrang. Für die in diesem Dokument enthaltenen Informationen übernehmen wir keine Gewähr. Unsere Haftung, gleich aus welchem Rechtsgrund, für durch die Verwendung der in diesem Applikationsbeispiel beschriebenen Beispiele, Hinweise, Programme, Projektierungs- und Leistungsdaten usw. verursachte Schäden ist ausgeschlossen, soweit nicht z.b. nach dem Produkthaftungsgesetz in Fällen des Vorsatzes, der groben Fahrlässigkeit, wegen der Verletzung des Lebens, des Körpers oder der Gesundheit, wegen einer Übernahme der Garantie für die Beschaffenheit einer Sache, wegen des arglistigen Verschweigens eines Mangels oder wegen Verletzung wesentlicher Vertragspflichten zwingend gehaftet wird. Der Schadensersatz wegen Verletzung wesentlicher Vertragspflichten ist jedoch auf den vertragstypischen, vorhersehbaren Schaden begrenzt, soweit nicht Vorsatz oder grobe Fahrlässigkeit vorliegt oder wegen der Verletzung des Lebens, des Körpers oder der Gesundheit zwingend gehaftet wird. Eine Änderung der Beweislast zu Ihrem Nachteil ist hiermit nicht verbunden. Weitergabe oder Vervielfältigung dieser Applikationsbeispiele oder Auszüge daraus sind nicht gestattet, soweit nicht ausdrücklich von Siemens Industry Sector zugestanden. 4 Beitrags-ID:

5 Inhaltsverzeichnis Inhaltsverzeichnis Gewährleistung und Haftung... 4 Inhaltsverzeichnis Aufgabe Hinweis Einführung Beschreibung Normative Verweise Begriffe Betriebsartenanwahl-Einrichtung (ISO 16090) Applikationsbeispiel Verwendete Komponenten Kategorie 2 gemäß ISO Beispiel einer Betriebsartenanwahl Merkmale und Fehlermodi Taster für MSO 1 oder MSO Standard Eingangsbaugruppe IM (Anschaltung) CPU Ermittlung des erreichbaren PL oder SIL Kategorie 2 oder 1-kanalige Architektur mit Fehlererkennung Berechnung des PFHD-Wertes Berechnung des Teilsystems Input nach ISO Berechnung des Teilsystems Input nach IEC Berechnung des Teilsystems L/O/OTE Gesamt-PFHD Wert Erreichbarer PL oder SIL Ansprechpartner Beitrags-ID:

6 1 Aufgabe 1 Aufgabe 1.1 Hinweis Die nachfolgenden Applikationsbeispiele sollen als Anhaltspunkt dienen, wie die Berechnung eines Performance Levels nach EN ISO bzw. eines Safety Integrity Levels nach IEC für die Anwahl einer Betriebsart über Standard- Komponenten erfolgen könnte. Grundlage für den Aufbau einer Sicherheitsfunktionen ist immer eine Risikobeurteilung, die der Hersteller einer Maschine oder sein Bevollmächtigter vorzunehmen hat, um die für die Maschine geltenden Sicherheits- und Gesundheitsschutzanforderungen zu ermitteln. Die Maschine muss dann unter Berücksichtigung der Ergebnisse der Risikobeurteilung konstruiert und gebaut werden. 1.2 Einführung Seit dem 29. Dezember 2009 gelten in der Europäischen Gemeinschaft die Anforderungen der neuen Maschinenrichtlinie 2006/42/EG für die funktionale Sicherheit und damit für den Schutz von Mensch, Maschine und Produktionsgut. D. h. alle Maschinen, die in der Europäischen Gemeinschaft in Verkehr gebracht werden, müssen die Anforderungen dieser Maschinenrichtlinie erfüllen. Konformität mit der neuen Maschinenrichtlinie und somit Exportfähigkeit und Haftungssicherheit erreichen Sie u. a. durch die Anwendung der Normen EN ISO oder EN Der in beiden Normen geforderte Sicherheitsnachweis muss offenlegen, dass der in der Risikobeurteilung ermittelte SIL- (Safety Integrity Level) oder PL- (Performance Level) Wert mit der angewandten Sicherheitslösung erreicht wurde. Eine klar strukturierte Risikobeurteilung ist die Basis für den Sicherheitsnachweis! Diese Risikobeurteilung ist also der erste Schritt auf dem Weg zur sicheren Maschine und das bereits in der Planungsphase. Aus der Risikobeurteilung leiten sich Schutzmaßnahmen zur Risikominderung ab, die durch Sicherheitsfunktionen beschrieben werden. Anschließend wird die Lösung der Sicherheitsfunktion überprüft und bewertet, ob die in der Risikobeurteilung geforderte Sicherheitsintegrität bzw. der Performance Level erreicht ist. 1.3 Beschreibung Mit Hilfe eines Beispiels soll aufgezeigt werden, wie mit Standard -Komponenten (nicht-sicherheitsgerichtet) von Steuerungen eine Betriebsartenanwahl mit einem Performance Level PL d, Kategorie 2 gemäß ISO bzw. SIL 2 gemäß IEC erreicht werden kann. 6 Beitrags-ID:

7 1 Aufgabe 1.4 Normative Verweise pren ISO 16090:2014 Werkzeugmaschinen Sicherheit - Bearbeitungszentren, Fräsmaschinen, Transfermaschinen - Teil 1: Sicherheitsanforderungen ISO Sicherheit von Maschinen - Sicherheitsbezogene Teile von Steuerungen - Teil 1: Allgemeine Gestaltungsleitsätze IEC Sicherheit von Maschinen - Funktionale Sicherheit sicherheitsbezogener elektrischer, elektronischer und programmierbarer elektronischer Steuerungssysteme Beitrags-ID:

8 2 Begriffe 2 Begriffe Die folgenden Begriffe sind in der pren ISO 16090:2014 definiert: Betriebsartenwahl-Einrichtung Diese Einrichtung besteht generell aus den nachfolgenden Einzelkomponenten: Zugangssystem Einrichtung, die den Zugang auf eine eingeschränkte bestimmte Personengruppe beschränkt und versehentliche oder missbräuchliche Betätigung eines Auswahlsystems verhindert. Diese Einrichtung ist nicht Bestandteil der sicherheitsbezogenen Teile einer Steuerung (SRP/CS). Auswahlsystem Einrichtung, die es ermöglicht, eine sicherheitsbezogene Betriebsart in Verbindung mit der Berechtigung über das Zugangssystem auszuwählen. Aktivierungssystem Aktiviert eine bestimmte Anzahl von Funktionen für die ausgewählte sicherheitsbezogene Betriebsart. Security Zugangssystem z. B. Schlüssel Passwort Elektronisches Schlüsselsystem Weitere gleichwertige Sicherheitsmaßnahmen Auswahlsystem z. B. Befehlsgerät/ Stellteil Safety (SRP/CS) Aktivierungssystem z. B. Sicherheitsbezogene Eingänge der Steuerung Abbildung 2-1 Das Auswahl- und Aktivierungssystem ist Bestandteil der betrachteten SRP/CS und wird beispielhaft in diesem Dokument betrachtet. 8 Beitrags-ID:

9 3 Betriebsartenanwahl-Einrichtung (ISO 16090) 3 Betriebsartenanwahl-Einrichtung (ISO 16090) In diesem Beispiel besteht: das Zugangssystem aus einem elektronischem Key-System, das Auswahlsystem aus Tastern, Leuchtdrucktastern und Lampen für z. B. Betriebsarten-Anwahl, Schutztüre, u.s.w. und das Aktivierungssystem aus einer PLC (Steuerung) in Kombination mit einer sicherheitsgerichteten Steuerung. Elektronisches Zugangssystem Sicherheitsbezogene Betriebsarten Abbildung 3-1 Sichere Betriebsart ISO 369 / ISO 7000 MSO 1 Automatischer Betrieb Referenz ISO ISO Symbol MSO 2 Einrichtebetrieb ISO ISO MSO 3 Automatischer Betrieb mit manuellem Eingriff ISO ?? a ISO MSO SE Servicebetrieb ISO ISO Tabelle 3-1: Exemplarische Betriebsartenanwahl-Einrichtung, Betriebsarten gemäß pren ISO 16090:2014 a Dieses Symbol und ein neuer Unterabschnitt Symbole für sichere Betriebsarten sollten mit der nächsten Revision in ISO 369 aufgenommen werden MSO = Mode of Safe Operation Beitrags-ID:

10 4 Applikationsbeispiel Mit dem nachfolgenden Applikationsbeispiel soll exemplarisch eine Bewertung für die Betriebsarten-Anwahl mit Hilfe von Standard-Komponenten durchgeführt werden. 4.1 Verwendete Komponenten Der in Abbildung 4-1 abgebildete Druck-Taster wird von einer Standard-PLC, die mit einer sicherheitsgerichteten Steuerung verknüpft ist, eingelesen und ausgewertet. Abbildung 4-1: Verwendete Komponenten des zugehörigen Steuerungssystems *) Abhängig vom Hardware-Aufbau, siehe Kapitel Beitrags-ID:

11 4.2 Kategorie 2 gemäß ISO Die logische Darstellung einer Kategorie 2 gemäß ISO ist in Abbildung 4-2 dargestellt. Abbildung 4-2: Logische Darstellung der Kategorie 2 gemäß ISO Abbildung 4-3: Logische Darstellung der Kategorie 2 gemäß ISO auf Basis der verwendeten Komponenten (eine IM Baugruppe muss nur dann berücksichtigt werden, wenn sich keine fehlersichere Baugruppe im Rack der DI befindet) Die sicherheitsgerichtete Steuerung (L) erzeugt bei der Betriebsartenauswahl und dem fehlerfreiem Test (TE und OTE) eine Software-Freigabe (O) für diese Betriebsartenauswahl, in Form eines sicherheitsgerichteten Merkers. Die Erkennung einer fehlerhaften Auswahl (TE und OTE) während der Auswahl- Sequenz durch die sicherheitsgerichtete Auswertung, führt zur Rücksetzung des sicherheitsgerichteten Merkers (O). Anmerkung: Die Fehlerreaktion (OTE) ist keine physikalische Reaktion sondern eine sicherheitsgerichtete Software-Freigabe und muss hinsichtlich des PFHD nicht zusätzlich bewertet werden, da dies bereits Teil der sicherheitsgerichteten Auswertung ist. Beitrags-ID:

12 4.3 Beispiel einer Betriebsartenanwahl Das nachfolgende Beispiel soll die Anwahl-Sequenz als zeitlichen Ablauf von Bedienhandlungen darstellen. Ausgangssituation (siehe Abbildung 4-4): Die Betriebsart MSO 1 (Automatik Betrieb) ist aktiv und die Lampe des Leuchtdrucktasters für MSO 1 leuchtet. Das Betätigen des Leuchtdrucktasters MSO 2 (Einrichtebetrieb), zur Umschaltung der Betriebsart, hat keine Auswirkungen, solange der Key des Zugangssystems nicht gesteckt ist. Der Key des Zugangssystems wird gesteckt und der Leuchtdrucktaster MSO 2 wird nachfolgend betätigt. Die Lampe des Leuchtdrucktasters für MSO 2 fängt an zu blinken. Die Schutztür wird angefordert (Taste Schutztür wird betätigt) und die Lampe Schutztür fängt an zu blinken, die Umschaltung zur Aktivierung der MSO 2 wird angestoßen (Anforderung SBH, Abschaltung hydraulischer/pneumatischer Funktionen, Abschaltung Kühlmittelhochdruck, etc.). Mit den Rückmeldungen der o.g. Anforderungen (SBH aktiv, Rückmeldungen von Schützkontakten, Achsen und Spindeln stehen, etc.) wird die Ansteuerung des Sperrmittels der Zuhaltung durchgeführt. Mit der Ansteuerung des Sperrmittels der Zuhaltung hört die Lampe Schutztüre auf zu blinken und geht in Dauerlicht. Die Lampe des Leuchtdrucktasters für MSO 1 erlischt und die Lampe des Leuchtdrucktasters für MSO 2 geht in Dauerlicht. Nun ist die Betriebsart MSO 1 abgewählt und MSO 2 ist angewählt. Obwohl der Key des Zugangssystems noch gesteckt ist, führt das Betätigen der Taste für die Schutztüranforderung zu keiner weiteren Reaktion im System, da dies nur in MSO 1 möglich ist. Der Key des Zugangssystems wird abgezogen. Ein Betätigen der Leuchtdrucktaste MSO 1 hat keine Auswirkungen auf das System, da hierfür die Zugangsberechtigung (Key des Zugangssystem ist abgezogen) fehlt. Ein erneutes (alleiniges) stecken des Key des Zugangssystems hat keine Auswirkungen auf das System. 12 Beitrags-ID:

13 Abbildung 4-4: Betriebsartenanwahl von MSO 1 nach MSO 2 (Auswahl-Sequenz) Beitrags-ID:

14 Ausgangssituation (siehe Abbildung 4-5) Die Betriebsart MSO 2 (Einrichtebetrieb) ist aktiv und die Lampe des Leuchtdrucktasters für MSO 2 leuchtet. Die Achsen befinden sich im sicheren Betriebshalt und die o.g. genannten Voraussetzungen für die MSO 2 sind ebenfalls erfüllt. Das Betätigen des Leuchtdrucktasters MSO 1 hat keine Auswirkungen, solange der Key des Zugangssystems nicht gesteckt ist. Der Key des Zugangssystems wird gesteckt. Der Leuchtdrucktaster MSO 1 wird betätigt und die Lampe des Leuchtdrucktasters für MSO 1 fängt an zu blinken, falls sicherheitstechnische Umschaltungen erforderlich sind. Ansonsten geht die Lampe des Leuchtdrucktasters für MSO 1 sofort auf Dauerlicht und die Lampe des Leuchtdrucktasters für MSO 2 erlischt. Sind Umschaltungen erforderlich so erlischt die Lampe des Leuchtdrucktasters für MSO 2 zeitversetzt (abhängig der Rückmeldungen) und die Lampe des Leuchtdrucktasters für MSO 1 geht in Dauerlicht. Die Taste Schutztüre kann nun bei geschlossener Schutztür wieder betätigt werden. Die Schutztüre wird durch das Rücksetzen der Ansteuerung des Sperrmittels der Zuhaltung wieder zugehalten und die o.g. Anforderungen werden wieder aufgehoben. Die Lampe Schutztüre erlischt. Die Maschine kann in der Betriebsart MSO 1 betrieben werden. 14 Beitrags-ID:

15 Abbildung 4-5: Betriebsartenanwahl von MSO 2 nach MSO 1 (Auswahl-Sequenz) Beitrags-ID:

16 4.4 Merkmale und Fehlermodi Taster für MSO 1 oder MSO 2 Nachfolgende Fehlermodi können bewertet werden: Bauteil/ Einheit / Eigenschaft Druck-Taster: Auswertung des Schließer-Kontakts Ruhezustand: Kontakt geöffnet Flankenauswertung: Wenn Kontakt schließt Tabelle 4-1 Möglicher Ausfall / Fehlermodi 2) Kontakt schließt nicht bei betätigen des Tasters Kontakt schließt von alleine; trotz nicht betätigten Tasters Kontakt öffnet nicht (mehr) bei nicht mehr betätigten Taster Kontakt öffnet von alleine, trotz betätigten Tasters Prozentuale Aufteilung 1) Summe 100 % Fehlerart 49 % Sicher: Es kann keine Betriebsart angewählt werden; dies betrifft die Verfügbarkeit << 1% Gefährlich: Bewertung aufgrund der Auswahl-Sequenz erforderlich 50 % Sicher: Es ist keine weitere Flankenauswertung mehr möglich << 0,1 % Sicher: Es ist keine weitere Flankenauswertung mehr möglich 1) Aufteilung der Zustände Kontakt Schließen und Kontakt Öffnen wird mit 50% angenommen. 2) Ein fehlerhaftes Betätigen des Drucktasters wird durch die sicherheitsgerichtete Auswertung auf Basis der Auswahl-Sequenz aufgedeckt. 16 Beitrags-ID:

17 Technische Merkmale: B10 Schaltzyklen RDF 1) (%) B10d (= B10/RDF) (Schaltzyklen) Betätigungszyklus (pro Stunde) MTTFd (Jahre) D (Ausfälle pro Stunde) ) 50% ,4 1,00 E-05 10% ,1 2,00 E-06 1% n op = ,7 2,00 E ) 50% ,3 5,00 E-07 10% ,5 1,00 E-07 1% n op = ,5 1,00 E-08 Tabelle 4-2 1) RDF (en: ratio of dangerous failure): Anteil der gefahrbringender Ausfälle bezogen auf die Anwendung, d.h. Kontakt schließt von alleine (siehe Tabelle Fehlermodi). 2) Entspricht einer Mechanik eines Schlüsselschalters und wird zur Worst Case Betrachtung verwendet. 3) Drucktaster weisen eine einfachste mechanische Direktbetätigung auf: Dieser Wert ist typisch. Die hier dargestellten Werte sollen die möglichen MTTFd-Werte verdeutlichen Standard Eingangsbaugruppe Technische Merkmale mit Fehlerart (RDF): Für dieses Beispiel wurde die digitale Standard Eingabebaugruppe 6ES7131-4BD00-0AA0 zu Grunde gelegt. MTBF (Jahre) Tabelle 4-3 1) MTTF (Jahre) RDF 1) (%) MTTFd (= MTTF/RDF) (Jahre) D (Ausfälle pro Stunde) ,07 E-07 RDF (en: ratio of dangerous failure): Anteil der gefahrbringender Ausfälle bezogen auf die Anwendung, bei Elektronik wird 50% angenommen. Ein gefährlicher Ausfall liegt dann vor, wenn ein nicht betätigter Taster das Signal eines betätigten Tasters an die sicherheitsgerichtete Software meldet. Beitrags-ID:

18 4.4.3 IM (Anschaltung) Nur wenn keine F-Baugruppe im Rack der DI vorhanden ist, dann muss die Kommunikations-Anschaltung (z. B. IM 151-1, 6ES7151-1AA05-0AB0) für die PROFIBUS Kommunikation mit berücksichtigt werden. Technische Merkmale mit Fehlerart (RDF): Für dieses Beispiel wurde die digitale Standard Anschaltung 6ES7151-1AA05-0AB0 zu Grunde gelegt. MTBF (Jahre) Tabelle 4-4 MTTF (Jahre) RDF 1) (%) MTTFd (= MTTF/RDF) (Jahre) D (Ausfälle pro Stunde) ,07 E-07 1) RDF (en: ratio of dangerous failure): Anteil der gefahrbringender Ausfälle bezogen auf die Anwendung, bei Elektronik wird 50% angenommen. Ein gefährlicher Ausfall liegt dann vor, wenn ein nicht betätigter Taster das Signal eines betätigten Tasters an die sicherheitsgerichtete Software meldet CPU Technische Merkmale mit Fehlerart (RDF) Für dieses Beispiel wurde die NCU730.3PN (6FC5373-0AA30-0AA1) zu Grunde gelegt. MTBF (Jahre) Tabelle 4-5 1) MTTF (Jahre) RDF 1) (%) MTTFd (= MTTF/RDF) (Jahre) D (Ausfälle pro Stunde) ,26 E-06 RDF (en: ratio of dangerous failure): Anteil der gefahrbringender Ausfälle bezogen auf die Anwendung, bei Elektronik wird 50% angenommen. Ein gefährlicher Ausfall liegt dann vor, wenn ein nicht betätigter Taster das Signal eines betätigten Tasters an die sicherheitsgerichtete Software meldet. 18 Beitrags-ID:

19 4.5 Ermittlung des erreichbaren PL oder SIL Grundsätzlich basiert eine Betriebsartenauswahl auf einer vorgegebenen Reihenfolge von Bedienhandlungen des Bedieners, als eine sogenannte Auswahl- Sequenz. Durch die Auswahl-Sequenz kann zu jederzeit eine Diagnose erfolgen: Die Zustände sind vorhersehbar, können zur Diagnose ausgewertet werden und somit mit einer definierten Erwartungshaltung verglichen werden Kategorie 2 oder 1-kanalige Architektur mit Fehlererkennung Durch die umfangreichen Diagnosemöglichkeiten kann ein DC von 90% und höher angenommen werden, siehe Kapitel 4.3 Beispiel einer Betriebsartenanwahl (Auswahl-Sequenz). Nicht erkannte Zustände werden durch folgende Maßnahmen vermieden und rechtfertigen diesen DC: Das Elektronische Zugangssystem stellt eine Zugangsberechtigung, zusätzlich zu der Auswahl Sequenz dar und erlaubt nur, dass geschultes Personal mit der entsprechenden Berechtigung eine Betriebsartenauswahl vornehmen kann. D. h. ein Bediener mit Zugangsberechtigung für MSO 2, MSO 3 und MSO SE kann eine fehlerhafte Freigabe eines Auswahlsystems (es könnte eine höhere MSO ausgewählt sein als dass es das Zugangssystem zulässt) erkennen. Bsp.: Key in Zugangssystem max. für MSO 2 gesteckt, trotzdem ist eine Auswahl von MSO 3 möglich. Ein solcher Fehlerzustand wird durch den geschulten Bediener erkannt. Die Auswahl-Sequenz stellt eine systematische Aufdeckung möglicher Fehler dar. Wenn die PLC (DI, CPU) fehlerhaft einen gedrückten Taster für eine Betriebsartenauswahl an die sicherheitsgerichtete Steuerung übergibt, dann wird aufgrund der Auswahl-Sequenz und der damit verbundenen Interaktion des Bedieners eine ungewollte Betriebsartenauswahl nicht stattfinden Berechnung des PFHD-Wertes Der Grenzwert von PL d gemäß ISO oder SIL 2 gemäß IEC62061 ist : 1,00 E-06. Beitrags-ID:

20 Berechnung des Teilsystems Input nach ISO ISO : Verwendung des Parts Count Verfahren und Anhang K. Taster für MSO 1 oder MSO 2 (MTTF d1) Standard DI (MTTF d2) NCU/CPU (MTTF d3) Ergebnis (MTTF dg) ISO Anhang K (Kategorie 2 und DC mittel) (PFH D) 570 Jahre 280 Jahre 90 Jahre 60,8 Jahre 4,56 E-07 Tabelle = + + MTTF dg MTTF d1 MTTF d2 MTTF d3 Die Berechnung des Teilsystems Input mit einer IM-Baugruppe entnehmen Sie bitte der SET- bzw. SISTEMA-Datei Berechnung des Teilsystems Input nach IEC IEC 62061: Verwendung der Formel Basis-Teilsystemarchitektur C DC Taster für MSO 1 oder MSO 2 ( 1) Standard DI ( 2) NCU/PCU ( 3) Ergebnis (PFH D) ( g) 0% 2,00 E-07 4,07 E-07 1,26 E-06 1,88 E-06 60% 8,00 E-08 1,63 E-07 5,07 E-07 7,51 E-07 90% 2,00 E-08 4,07 E-08 1,26 E-07 1,88 E-07 Tabelle 4-7 g = 1 (1 - DC 1 ) + 2 (1 - DC 2 ) + 3 (1 - DC 3 ) Die Berechnung des Teilsystems Input mit einer IM-Baugruppe entnehmen Sie bitte der SET- bzw. SISTEMA-Datei Berechnung des Teilsystems L/O/OTE Das Teilsystem L/O/OTE besteht aus dem sicheren Teil (sichere programmierbare Logik) der SINUMERIK 840D sl (NCU PN) Der PFH-Wert der NCU PN (6FC5373-0AA30-0AA1) beträgt 6,60 E Beitrags-ID:

21 Gesamt-PFHD Wert Berechnung nach ISO PFH D Wert Input PFH D Wert L/O/OTE Summe 4,56 E-07 6,60 E-08 5,22 E-07 Tabelle 4-8 Der Gesamt-PFH D Wert entspricht einem PL d. Berechnung nach IEC PFH D Wert Input PFH D Wert L/O/OTE Summe 1,88 E-07 6,60 E-08 2,54 E-07 Tabelle 4-9 Der Gesamt-PFH D Wert entspricht einem SIL Erreichbarer PL oder SIL Alle verwendeten Standard Komponenten erfüllen die Anforderungen für einen PL d gemäß ISO mit einer Kategorie 2 oder einem SIL 2 gemäß IEC mit einer 1-kanaligen Architektur mit Diagnose. Der Fehler gemeinsamer Ursache ist hinsichtlich der Fehlererkennung durch die sicherheitsgerichtete Auswertung mitbetrachtet. Beitrags-ID:

22 5 Ansprechpartner 5 Ansprechpartner Jürgen Strässer Siemens AG Industry Sector Digital Factory Motion Control Systems I DT MC MTS SP1 Frauenauracher Str Erlangen, Germany Tel.: Fax: mailto:juergen.straesser@siemens.com 22 Beitrags-ID: