Herausforderung Funktionale Sicherheit Summer School: Trends und Impulse in der Elektromobilität. Dr. Jochen Hagel MBtech Group GmbH & Co.

Größe: px

Ab Seite anzeigen:

Download "Herausforderung Funktionale Sicherheit Summer School: Trends und Impulse in der Elektromobilität. Dr. Jochen Hagel MBtech Group GmbH & Co."

Edmund Jaeger
vor 8 Jahren
Abrufe

1 Herausforderung Funktionale Sicherheit Summer School: Trends und Impulse in der Elektromobilität Dr. Jochen Hagel MBtech Group GmbH & Co. KGaA

2 Inhalt Warum ist Funktionale Sicherheit zur Zeit in aller Munde? Was macht die Funktionale Sicherheit so spannend? Funktionale Sicherheit und die Norm ISO Übersicht über die Konzeptphase der ISO Funktionale Sicherheit eine Aufgabe für den gesamten Entwicklungsbereich Fotos (von links nach rechts): Daimler, Michael Specht, Daimler

Funktionale Sicherheit und die Norm ISO 26262 Übersicht über die Konzeptphase der ISO

3 Inhalt Warum ist Funktionale Sicherheit zur Zeit in aller Munde? Was macht die Funktionale Sicherheit so spannend? Funktionale Sicherheit und die Norm ISO Übersicht über die Konzeptphase der ISO Funktionale Sicherheit eine Aufgabe für den gesamten Entwicklungsbereich Fotos (von links nach rechts): Daimler, Michael Specht, Daimler

4 Innovation ohne Sicherheit hat keinen Bestand Investition in Sicherheit ist die Basis erfolgreicher Innovation Innovationen sind prinzipiell stets auch mit neuen Risiken verbunden Vollständige Sicherheit ist nicht erreichbar Risiko muss gesellschaftlich akzeptabel sein Entwicklung der Systeme muss Sicherheitsbedürfnis abdecken Stand aktueller Technik i.d.r. in Normen und Standards zusammengefasst Beispiele: Fotos (v. li. n. re.): Daimler, TRW Automotive, Spainair, Martin Storz/graffiti / Greenpeace, Michael Specht

akzeptabel sein Entwicklung der Systeme muss Sicherheitsbedürfnis abdecken Stand aktueller Technik i.d.r. in Normen und Standards zusammengefasst Beispiele: Fotos (v.

5 Verstärkte Sicherheitsanforderungen beim Übergang von der Kutsche zum rein elektrischen Fahrzeug Am Beispiel von Antriebssteuerung in Fahrzeugen: Pferdekutsche über mehrere Jahrhunderte - Halfter und Zügel - Mechanische Steuerung Sicherheit kein Thema Sportwagen Mitte 20. JH - Drosselklappe und Gaszug - Immer noch rein mechanisch Mechanische Sicherheit Modernes Mittelklassefahrzeug Ende 20. JH - E-Gas Drive by Wire - Rein elektrisch, keine mechanische Verbindung - Erste Sicherheitskonzepte Redundante Sensoren 3-Ebenen-Konzept (Funktion, Diagnose, Überwachung) Fahrzeug mit rein elektrischem Antrieb - Alle Kernaufgaben im Antrieb mit E/E Schwerpunkt - Komplexe Elektronik erfordert komplexe Sicherheitsmethoden - Neue Themen: Batterien, Werkstoffe, Gasentwicklung Fotos (von oben nach oben): Andrew Dunn, Daimler, Daimler, Michael Specht

JH - E-Gas Drive by Wire - Rein elektrisch, keine mechanische Verbindung - Erste Sicherheitskonzepte Redundante Sensoren 3-Ebenen-Konzept (Funktion, Diagnose, Überwachung) Fahrzeug mit rein

6 Neue Herausforderungen durch elektrische Antriebe Neue E/E-Architektur Bsp.: Serieller Hybrid für Nfz. Zwei Stromkreise: Nieder- / Hochvolt Nebenaggregate in beiden Stromkreisen CAN Wechselwirkung zwischen neuen und klassischen Teilsystemen, z. B. ESP Klima HV LV 12V + Neue Komponenten PTC LHP ECU1 ECU2 ECUx Battery Management System (BMS) Inverter (EMCU) DC/DC Wandler Power Control Unit (PCU) Energy Management Unit (EMU) Fuel Cell Control Unit (für Brennstoffzelle) Tank Control Unit (für Brennstoffzelle) Elektrische Nebenaggregate* BMS HV + Gen. Inverter Inverter Motor PCU ECU * z.b. Lenkhilfpumpe, elektrischer Kältemittelverdichter, Getriebeölpumpe

ESP Klima HV LV 12V + Neue Komponenten PTC LHP ECU1 ECU2 ECUx Battery Management System (BMS) Inverter (EMCU) DC/DC Wandler Power Control Unit (PCU) Energy

7 Neue Betriebsmodi Bsp.: Serieller Hybrid Fahren mit Verbrennungsmotor* Gen. ECU Motor aus Elektrisches Fahren ( Zero Emission ) BMS Inverter Power Control Generatorbetrieb Boosten HV + Inverter Notlauf Externes Laden der HV-Batterie E- Motor Rekuperation Stopp-Start Funktion Segeln inkl. Schubbetrieb etc.

Control Generatorbetrieb Boosten HV + Inverter Notlauf Externes Laden der

8 Inhalt Warum ist Funktionale Sicherheit zur Zeit in aller Munde? Was macht die Funktionale Sicherheit so spannend? Funktionale Sicherheit und die Norm ISO Übersicht über die Konzeptphase der ISO Funktionale Sicherheit eine Aufgabe für den gesamten Entwicklungsbereich Fotos (von links nach rechts): Daimler, Michael Specht, Daimler

9 Sicherheitsnorm ISO trockene Papierarbeit? PROJECT PHASES STAGES OF COMPLIANCE WITH IEC61508 SUGGESTED METHOD OF ANALYSIS START STAGE 1 Project Exploration Hazard Identification SWIFT Checklists STAGE 2 Preliminary Assessment Formal Hazard Identification HAZID Study STAGE 3 Design and Procurement STAGE 4 Construction Risk Assessment Determination of Safety Integrity Levels Risk ranking Risk Graph Analysis see validation requirements flowsheet STAGE 5 Precommissioning Numerical Analysis that Design Meets SIL Requirements Fault Tree Analysis STAGE 6 Commissioning and operation Develop Operational and Maintenance Plan Develop Installation and Commissioning Plan FINISH Develop Safety Validation Plan During Design Process Consider Plan for Decommissioning Quelle: ISO FDIS 26262

Identification HAZID Study STAGE 3 Design and Procurement STAGE 4 Construction Risk Assessment Determination of Safety Integrity Levels Risk ranking Risk Graph Analysis see validation requirements

10 Oder? Foto: Fisker Foto: Daimler

11 Warum ist die funktionale Sicherheit so spannend? Funktionale Sicherheit erfordert eine große Vielfalt an Kompetenzen fasziniert aber auch durch diese Vielfalt! Tiefgehende Kenntnis der Technologie - Übergreifendes Systemverständnis - Detaillierte SW-/HW Kenntnisse Projektmanagement Kenntnisse der normativen Anforderungen Systematische, sorgfältige Arbeitsweise Hohe Teamfähigkeit

12 Inhalt Warum ist Funktionale Sicherheit zur Zeit in aller Munde? Was macht die Funktionale Sicherheit so spannend? Funktionale Sicherheit und die Norm ISO Übersicht über die Konzeptphase der ISO Funktionale Sicherheit eine Aufgabe für den gesamten Entwicklungsbereich Fotos (von links nach rechts): Daimler, Michael Specht, Daimler

13 Grundidee: Strategie zur Reduzierung vorhandener Risiken Ziel Sicherheit:... frei von Schäden oder Unfällen Ansatz Safety Case: alles Sinnvolle zur Vermeidung wurde getan Gefahren identifizieren / analysieren Maßnahmen zur Gefahrenreduzierung no Ist verbleibendes Risiko akzeptabel? yes Sicheres System

Vermeidung wurde getan Gefahren identifizieren / analysieren Maßnahmen zur

14 Was ist sicher im Sinne der funktionale Sicherheit? Richtungsblinken funktioniert Richtungsblinken funktioniert nicht? Richtungsblinken funktioniert fehlerhaft Gefährdung: Zustand nicht funktional sicher!

15 Wo kommt Funktionale Sicherheit her? Im Automobilbau ist die Funktionale Sicherheit ein relativ junges Thema Ursprünge kommen aus anderen Industrien: - Anlagenbau - Kraftwerke - Luftfahrt - Bahnindustrie Funktionale Sicherheit - betrifft E/E Systeme (Gesamtsysteme mit relevanten E/E Anteilen) - betrachtet Funktion des Systems - zielt auf Vermeidung von Gefahren für Menschen - erweitert klassische Sicherheitsmaßnahmen (FMEA, Maschinenrichtlinie)

Industrien: - Anlagenbau - Kraftwerke - Luftfahrt - Bahnindustrie Funktionale Sicherheit - betrifft E/E Systeme

16 Roadmap der Entwicklung zur Norm ISO : Erste Arbeiten an der Norm 2007 / Q1: WD (Working Draft) BL. 8 (Baseline 8): Inhalte initial erarbeitet 2008 / Q1: CD (Committee Draft) BL. 11: Inhalte bewertet inhaltlicher Rahmen stabil 2009 / Juli: DIS (Draft International Standard) BL. 15: Erste öffentlich verfügbare Version 2011 / April: FDIS (Final DIS) Bl.19: Stand zur Normenfreigabe 2011 / Juni: International Standard (IS) under publication: nur redaktionelle Änderungen bis zur Veröffentlichung als IS

11: Inhalte bewertet inhaltlicher Rahmen stabil 2009 / Juli: DIS (Draft International Standard) BL.

17 Gliederung der Norm ISO FDIS

18 Das Glossar der ISO am Bsp. Funktionale Sicherheit Im Band 1 der Norm werden grundlegende Begriffe definiert Aktuell liegt die Norm nur in Englisch vor IEC liegt auch vor als DIN Z.B. Functional safety : Absence of unreasonable risk due to hazards caused by malfunctioning behaviour of E/E systems (ISO FDIS )

Aktuell liegt die Norm nur in Englisch vor IEC 61508 liegt auch vor als DIN 61508 Z.

19 Grundstruktur der Norm Requirements - Basic Requirements - ASIL unabhängig - Prozess Anforderungen - Methoden - ASIL abhängig - Fachliche Anforderungen der Entwicklungsbereiche - In Tabellen zusammengefasst Work Products - Dokumente - Analysen - Planung - Berichte - Audits - Reviews - Assessments Requirements Basic Requirements Core Elements Methods & Measures Work Products Fulfillment of Requirements Entscheidend für Nachweis in Safety Case

Dokumente - Analysen - Planung - Berichte - Audits - Reviews - Assessments Requirements Basic Requirements Core

20 Tabellen in der ISO no recommendation recommended highly recommended ISO FDIS Table 8

21 Die Phasen des Sicherheitslebenszyklus Konzeptphase Produktentwicklung ISO FDIS Phase nach SOP

22 Inhalt Warum ist Funktionale Sicherheit zur Zeit in aller Munde? Was macht die Funktionale Sicherheit so spannend? Funktionale Sicherheit und die Norm ISO Übersicht über die Konzeptphase der ISO Funktionale Sicherheit eine Aufgabe für den gesamten Entwicklungsbereich Fotos (von links nach rechts): Daimler, Michael Specht, Daimler

23 Gefährdungsanalyse und Risikobewertung (G&R) Die G&R ist die Basis aller weiteren Sicherheitsaktivitäten im Entwicklungsprojekt und besteht aus mehreren Schritten: Identifikation der Gefährdungen - Gefährdungen durch System - Berücksichtigung der Betriebsituationen im Straßenverkehr Bewertung des jeweiligen Risikos Risiko hängt ab von: - Schweregrad - Severity (S) - Wahrscheinlichkeit des Auftretens - Exposure (E) - Kontrollierbarkeit - Controllability (C) Festlegung des Safety Integrity Level (SIL / ASIL) Ableitung der Sicherheitsziele für jede Gefährdung

24 Bewertung des jeweiligen Risikos - Bewertungskriterien Classes of severity C1 C2 C3 S0 S1 S2 S3 E1 No injuries Light & moderate injuries Severe & lifethreating inj. Life-threaten. inj. Fatal injuries AIS 0 AIS 1 & 2 AIS 3 & 4 AIS 5 & 6 Classes of probability of exposure E1 E2 E3 E4 Very low probability Low probability Medium probability High probability S1 S2 E2 E3 E4 E1 E2 E3 ASIL A ASIL A ASIL A ASIL B ASIL A ASIL B Not spec. <0.01 <0.1 >0,1 E4 ASIL A ASIL B ASIL C Classes of controllability C0 C1 C2 Controllable in general Simply controllable Normally controllable Not spec ,1 C3 Difficult to control or uncontrollable 1 S3 E1 E2 E3 E4 ASIL A ASIL B ASIL A ASIL B ASIL C ASIL A ASIL B ASIL C ASIL D nach ISO , Tabelle 4 Anhand der Bewertungskriterien wird für jede Gefährdung (und Situation) ein Safety Integrity Level ermittelt

25 Kontakt: Dr. Jochen Hagel electronic solutions Manager Process Solutions MBtech Group GmbH & Co. KGaA Kolumbusstr Sindelfingen Germany Phone +49 (0) Fax +49 (0) jochen.hagel@mbtech-group.com Weiterführende Informationen:

Ähnliche Dokumente

Speziell angepasste Gefahrenanalyse / Risikobewertung für die Automobilindustrie nach ISO DIS 26262-3 Gudrun Neumann, SGS Germany GmbH

Speziell angepasste Gefahrenanalyse / Risikobewertung für die Automobilindustrie nach ISO DIS 26262-3 Gudrun Neumann, SGS Germany GmbH Stand: 22/06/2010 1 Vorstellung SGS Daten & Fakten SGS - Société Générale