Funktionale Sicherheit SIL Schutzeinrichtungen in der Prozessindustrie

Transkript

1 Products Solutions Services SIL Schutzeinrichtungen in der Prozessindustrie BASF - Pressefoto

2 2

3 section Vorwort rubric 3 Vorwort Das Thema ist seit dem Erscheinen der Norm IEC/EN und IEC/EN sehr stark in den Vordergrund getreten. Oft wird in diesem Zusammenhang der Begriff SIL (Safety Integrity Level) verwendet. Doch was ist SIL? Diese Broschüre soll einen ersten Überblick zum Thema bieten. Sie beschränkt sich inhaltlich im Wesentlichen auf die Bereiche und Anwendungen, in denen Endress+Hauser Produkte zum Einsatz kommen. Wer genauere Informationen benötigt, muss sich mit entsprechender Literatur und einschlägigen Regelwerken auseinandersetzen. Die Angaben in dieser Broschüre sind daher als Beispiele zu verstehen und können nicht für eine reale Auslegung herangezogen werden. Detailinformationen und SIL-Bescheinigungen über Endress+Hauser-Produkte finden Sie unter Inhalt 1. Gefahr und Risiko Normen für die funktionale Sicherheit Lebenszyklus Risikominderung Ermittlung des erforderlichen SIL Betriebsarten Welche Geräte können bei welchem SIL eingesetzt werden? Kenngrößen Glossar...14

4 4 1. Gefahr und Risiko Im täglichen Leben sind wir ständig den verschiedensten Gefahren ausgesetzt. Die Bandbreite dieser Gefahren reicht bis hin zu Katastrophen, die schwere Schäden an der Gesundheit der Menschen, der Umwelt sowie Sachwerten haben können. Nicht immer besteht die Möglichkeit, einer Gefahr und den damit verbundenen Risiken aus dem Weg zu gehen. So muss die Gesellschaft mit den Gefahren von Erdbeben oder Überschwemmungen und anderen Katastrophen leben. Schutz gegen diese Ereignisse gibt es nur begrenzt; Schutzmaßnahmen für die drohenden Folgen solcher Ereignisse können sehr wohl berücksichtigt werden. Daher hat der Gesetzgeber in den unterschiedlichen Bereichen Gesetze und andere Rechtsvorschriften erlassen, die die jeweiligen Anforderungen bezüglich der Sicherheit definieren. In Europa hat die EU-Kommission entsprechende Richtlinien zum Schutz von Menschen und Umwelt veröffentlicht. In Deutschland haben z. B. die Berufsgenossenschaften als gesetzliche Unfallversicherung Vorschriften erlassen und diese werden von ihnen überwacht. Anforderungen an Anlagen und Produkte zum Schutz der Gesundheit der Menschen und der Umwelt legen heute internationale Regeln fest. Diese legen bestimmte Produkteigenschaften fest, um die entsprechenden Sicherheitsziele zu erreichen. Definition von Risiko: Risiko = Wahrscheinlichkeit des Eintritts eines gefährlichen Ereignisses Schadensausmaß (Kosten) eines gefährlichen Ereignisses. Das akzeptierbare Restrisiko ist von verschiedenen Faktoren abhängig: Land/Region Gesellschaft Gesetze Kosten Das akzeptierte Restrisiko muss individuell eingeschätzt werden. Es muss für die Gemeinschaft akzeptabel sein. Risiko Risiko ohne Schutzmaßnahmen Risiko ohne Schutzmaßnahmen Schutzmaßnahmen SIL 1 4 tolerierbares Risiko Restrisiko Risikoreduzierung

5 Richtlinien section und Normen rubric 5 2. Richtlinien und Normen für die funktionale Sicherheit Auslöser war ein Giftgasunfall im norditalienischen Ort Seveso im Juli Die EU-Richtlinie 96/82/EU definiert seitdem die rechtlichen Bestimmungen für Anlagen mit großem Gefahrenpotential (Seveso II-Richtlinie). Die deutsche Umsetzung dieser Richtlinie erfolgt durch die Störfallverordnung im Bundes-Immissionsgesetz und der Betriebssicherheitsverordnung (12. BImSchV und BetrSichV). Hierbei ist zu unterscheiden zwischen der Produktsicherheit im allgemeinen Sinne und von Produkten, die speziell für Sicherheitsaufgaben entwickelt und konstruiert sind. Für die letzteren ist die IEC/DIN EN unumgänglich, da diese zwischenzeitlich den Stand der Technik für die funktionale Sicherheit definiert. Betrachtung des gesamten Systems und den Nachweis eines entsprechenden Sicherheits-Managementsystems. Der Betreiber und die Überwachungsorganisationen müssen klären, welche wirtschaftlich vertretbaren Maßnahmen gefordert werden. Zielsetzung ist es, systematische Fehler in sicherheitsbezogenen Systemen zu vermeiden und zufällige Ausfälle zu beherrschen, bzw. die Wahrscheinlichkeit gefährlicher Ausfälle (Risiko) auf definierte Weise zu begrenzen. Sie definiert vier Sicherheitsstufen: SIL 1 bis SIL 4. Die IEC/DIN EN ist eine generische, d. h. anwendungs-unabhängige Norm. Sie ist eine Basisnorm und daher allgemeingültig für alle elektrischen, elektronischen und programmierbaren elektronischen Systeme (E, E, PES). Sie ist das erste Regelwerk, das weltweit für Sicherheitsfunktionen in sicherheitskritischen Anwendungen veröffentlicht wurde. Für wen ist die IEC/DIN EN bzw. IEC/ DIN EN relevant? Anhand einer Gefährdungs- und Risikoanalyse können sämtliche Gefahren erfasst werden, die von einer Anlage ausgehen. Dadurch kann ermittelt werden, ob die funktionale Sicherheit erforderlich ist. Die funktionale Sicherheit findet Anwendung in der Prozessindustrie, wo bisher vergleichsweise Sicherheitssysteme mit entsprechendem Standard eingesetzt wurden. In anderen Anlagen mit vergleichbarem Sicherheitsrisiko können solche Produkte eingesetzt werden. Dabei muss berücksichtigt werden, dass die gesamte Sicherheitseinrichtung mit allen Komponenten zu betrachten ist und nicht Einzelgeräte zur Sicherheit bei-tragen. Zusätzlich wurde die IEC/ DIN EN als Grundnorm für die Prozessindustrie von der IEC/DIN EN abgeleitet. Ebenso werden für die Maschinenrichtlinie die DIN EN 62061, für Feuerungstechnik die Norm DIN EN 50156, daraus abgeleitet. BASF - Pressefoto Änderungen gegenüber den bisherigen Sicherheitsnormen In der Norm IEC/DIN EN für die funktionale Sicherheit sind die Anforderungen an sicherheitsbezogene Systeme eingeteilt. Sensoren, Steuerungen oder Aktoren (Stellglieder) müssen daher eine SIL-Einstufung im Sinne der Norm erhalten. Während bisher bei der sicherheitstechnischen Einstufung eine rein qualitative Betrachtung üblich war, verlangt die neue Norm eine quantitative

6 6 3. Lebenszyklus Die Betreiber von sicherheitstechnischen Anlagen haben während des gesamten Lebenszyklus geeignete Maßnahmen zur Risikobeurteilung und Risikominderung zu ergreifen. Hierzu schreibt die Norm IEC/DIN EN bestimmte Schritte vor: Risikodefinition und -bewertung nach detaillierten Versagenswahrscheinlichkeiten für den gesamten Sicherheitskreis (Loop) vom Sensor über die Steuerung bis zum Stellglied (Aktor) über den gesamten Lebenszyklus (Lifecycle). Festlegung und Umsetzung der Maßnahmen (Management der Funktionalen Sicherheit). Einsatz geeigneter (qualifizierter) Geräte. Sicherheits-Lebenszyklus Sicherheits- Management Spezifikation Fehlerursachen + Technische Anforderungen + Qualifikation Personal Planung und Implementierung Installation und Inbetriebnahme Betrieb und Wartung Änderung nach Inbetriebnahme Außerkraftsetzung

7 Risikominderung section or rubric 7 4. Risikominderung Wolfgang Jargstorff - Fotolia.com Jede Anwendung von Technik bedeutet gleichzeitig ein sicherheitstechnisches Risiko. Je größer die Gefährdung von Menschen, Umwelt und Sachwerten ist, desto mehr Maßnahmen müssen zur Risikominderung umgesetzt werden. In der Industrie gibt es viele Anlagen und Maschinen, die ein unterschiedliches Gefahrenpotential besitzen. Um die erforderliche Sicherheit solcher Anlagen zu erreichen, ist es notwendig, dass die sicherheitsrelevanten Teile der Schutzund Sicherheitseinrichtungen korrekt funktionieren und sich im Fehlerfall so verhalten, dass die Anlage in einem sicheren Zustand bleibt oder in einen sicheren Zustand gebracht wird. Zielsetzung der IEC EN ist es, Fehler in sicherheitsbezogenen Systemen zu vermeiden oder zu beherrschen und die Wahrscheinlichkeit gefährlicher Ausfälle auf definierte Weise zu begrenzen. Für das verbleibende Restrisiko wird ein quantitativer Nachweis gefordert. Die notwendige Risikominderung wird durch eine Kombination aller Schutzmaßnahmen erreicht. Das Restrisiko sollte höchstens gleich dem tolerierbaren Risiko sein. Das verbleibende Restrisiko muss letztlich von dem Anlagenbetreiber getragen und akzeptiert werden.

8 8 5. Ermittlung des erforderlichen SIL Von Anlagen gehen unterschiedliche Risiken aus. Somit steigern sich mit zunehmendem Risiko auch die Anforderungen an die Fehlersicherheit von sicherheitstechnischen Einrichtungen (Safety Instrumented Systems SIS). Die Normen IEC/DIN EN und IEC/DIN EN definieren dabei vier unterschiedliche Sicherheitsstufen, welche die Maßnahmen zur Risikobeherrschung dieser Komponenten beschreiben. Diese vier Sicherheitsstufen sind der sogenannte Safety Integrity Level SIL. Je höher der Zahlenwert des Safety Integrity Level (SIL) ist, desto größer ist die Risikoreduzierung. Der SIL ist somit das Maß für die Wahrscheinlichkeit, dass das Sicherheitssystem die geforderten Sicherheitsfunktionen für einen bestimmten Zeitraum korrekt erfüllen kann. Pro Sicherheitsstufe nimmt die mittlere Versagenswahrscheinlichkeit (PFD oder PFH) um den Faktor 10 ab. Eintrittswahrscheinlichkeit W3 W2 W1 Keine PLT-Schutzeinrichtung (z.b. technische Maßnahmen) S1 G1 A1 G2 S2 G1 A2 G2 A1 S3 A2 S4 Schadensausmaß Aufenthaltsdauer Gefahrenabwehr SIL 1 SIL 4 SIL 1 SIL 1 SIL 4 PLT-Schutzeinrichtung nicht ausreichend SIL 1 SIL 1 Schadensausmaß S1 leichte Verletzung einer Person oder kleinere schädliche Umwelteinflüsse, die z.b. nicht unter die Störfallverordnung fallen. S2 schwere, irreversible Verletzung einer oder mehrerer Personen oder Tod einer Person oder vorübergehende größere schädliche Umwelteinflüsse, z. B. nach Störfallverordnung. S3 Tod mehrerer Personen oder lang andauernde größere schädliche Umwelteinflüsse, z. B. nach Störfallverordnung. S4 katastrophale Auswirkung, sehr viele Tote. Aufenthaltsdauer A1 selten bis öfter A2 häufig bis dauernd Gefahrenabwehr G1 möglich unter bestimmten Bedingungen G2 kaum möglich Eintrittswahrscheinlichkeit W1 sehr gering W2 gering W3 relativ hoch Der erreichbare SIL wird durch folgende Kenngrößen bestimmt: Wahrscheinlichkeit gefährlicher Ausfälle einer Sicherheitsfunktion (PFD oder PFH), Hardware Fehlertoleranz (HFT), Anteil ungefährlicher Ausfälle (SFF), Art der Komponenten (Typ A oder Typ B), Proof-Test-Intervall (wiederkehrende Prüfung), Gebrauchsdauer

9 section Betriebsarten or rubric 9 6. Betriebsarten: Low Demand und High Demand Für die SIL-Einstufung eines Gerätes unterscheidet man zwei Betriebsarten: Low Demand Mode und High Demand Mode. Low Demand Mode Bei der Betriebsart mit niedriger Anforderungsrate (Low Demand Mode) nimmt man an, dass das Sicherheitssystem nicht häufiger als einmal pro Jahr angefordert wird. In diesem Fall ergibt sich der SIL- Wert aus dem PFD-Wert (Probability of failure on demand). Typischerweise findet man den Low Demand Mode in der Prozessindustrie. Betriebsart mit niedriger Anforderungsrate (Low Demand Mode) Sicherheits- Integritätslevel PFD (mittlere Ausfallwahrscheinlichkeit der Sicherheitsfunktion bei niedriger Anforderung) SIL bis < bis < bis < 10-2 SIL bis < 10-1 High Demand Mode Bei der Betriebsart mit hoher Anforderungsrate (High Demand Mode) nimmt man an, dass die Sicherheitsfunktion kontinuierlich oder durchschnittlich einmal pro Stunde angefordert wird. Typischerweise findet man den High Demand Mode bei Anlagen oder Maschinen, die eine ständige Überwachung erfordern (Fertigungsindustrie). Betriebsart mit hoher Anforderungsrate (High Demand Mode) Sicherheits- Integritätslevel SIL bis < bis < bis < 10-6 SIL bis < 10-5 PFH (Wahrscheinlichkeit eines gefahrbringenden Ausfalls pro Stunde)

10 10 7. Welche Geräte können bei welchem SIL eingesetzt werden? Wolfgang Jargstorff - Fotolia.com Um eine Sicherheits-Integrität (SIL 1 SIL 4) zu erreichen, muss das gesamte SIS die Forderungen für die systematischen Fehler (Software) und zufälligen Fehler (Hardware) erfüllen. Somit muss das Ergebnis bei der Berechnung des Schutzkreises dem geforderten SIL entsprechen. In der Regel ist dies abhängig vom Aufbau bzw. Architektur der Sicherheitseinrichtung. So können in -Anlagen auch -Geräte in redundanten Auswahlschaltungen eingesetzt werden. Durch den redundanten Aufbau des Systems mit gleichen -Geräten in homogener Redundanz muss bezüglich der systematischen Fehler darauf geachtet werden, dass die Software erfüllt oder betriebsbewährt ist. Fehlerarten Man unterscheidet in einem Schutzkreis sowohl systematische als auch zufällige Fehler. Um den geforderten SIL-Level zu erfüllen, müssen beide Fehlerarten jeweils für sich betrachtet werden. Zufällige Fehler Zufällige Fehler ergeben sich aus Fehlern der Hardware und treten in der Regel während des Betriebs auf. Die Fehler und die damit verbundene Höhe der Ausfallwahrscheinlichkeit sind berechenbar. Berechnet werden die einzelnen Komponenten auf Bauteilebene. Als Ergebnis erhält man den PFD-Wert. Dies ist die Berechnungsgrundlage zur Ermittlung des SIL-Wertes. Systematische Fehler Systematische Fehler sind typischerweise Entwicklungsfehler oder Fehler beim Aufbau oder der Projektierung. Der größte Anteil an systematischen Fehlern kann in der Regel in der Gerätesoftware auftreten. Um die Anforderung bei einem bestimmten SIL (z. B. ) an die systematischen Fehler zu erfüllen, muss das gesamte System entsprechend nach ausgelegt werden. Alternativ kann dies erreicht werden, wenn zwei unterschiedliche Geräte verwendet werden (diversitäre Redundanz).

11 section or Geräte rubric 11 Berechnung der Sicherheitsfunktion Bei der Auslegung und Berechnung eines Sicherheitskreises ist die Architektur mit zu berücksichtigen. Dabei ist zu unterscheiden, ob es sich um ein einkanaliges oder mehrkanaliges System handelt (MooN). Damit ein System tatsächlich auch die Anforderungen an einen geforderten SIL erfüllt, müssen systematische Fehler durch ein dem SIL entsprechendes Sicherheitsmanagement vermieden werden. Die hier aufgeführten Beispiele sind vereinfacht dargestellt und können nicht alle Anwendungen abdecken. Hier ist die VDE/VDI 2180 Teil 4 mit den vereinfachten Näherungsformeln für die häufigsten Auswahlschaltungen eine wichtige Unterstützung. Otto Durst - Fotolia.com Einkanalige Architektur Sensor Steuerung Aktor Bei der einkanaligen Struktur sind neben der Berücksichtigung des Sicherheits-Integritätslevel (SIL) auch die Addition der PFD- oder PFH-Werte der einzelnen Komponenten zu berücksichtigen. Nur dann ist sichergestellt, dass die gesamte Sicherheitskette den Anforderungen an einen geforderten SIL entspricht. Zweikanalige Architektur Wichtig: Der niedrigste SIL der Teilsysteme (Sensor, Steuerung, Aktor) bestimmt den Sicherheits-Integritätslevel des gesamten Systems. Sensor A Sensor B Steuerung 1oo2 Aktor Bei einer mehrkanaligen Architektur ist die Ermittlung des PFD- bzw. PFH-Wertes sehr komplex. Vereinfachte Näherungsformeln zur PFD-Berechnung kann der VDI/VDE 2180 Teil 4 entnommen werden. Quelle IEC/DIN EN Teil 1 Teil 7 IEC/DIN EN Teil 1 Teil 3 VDI/VDE 2180

12 12 8. Kenngrößen Sicherheitsintegrität der Hardware (HFT, SFF) Zusätzlich werden zur SIL-Klassifizierung folgende Kenngrößen verwendet: die Hardware-Fehlertoleranz HFT (Hardware Fault Tolerance) und der Anteil ungefährlicher Ausfälle SFF (Safe Failure Fraction). Die nachstehenden Tabellen zeigen den Zusammenhang. Dabei wird zwischen den Systemen vom Typ A und Systemen vom Typ B unterschieden. Systeme vom Typ A Ein System kann als Typ A betrachtet werden, wenn für die verwendeten Bauteile, die für die Sicherheitsfunktion erforderlich sind, das Ausfallverhalten einfach beschreibbar ist. Solche Bauteile sind z. B. Metallschichtwiderstände, Transistoren, Relais usw. Hardware Fehlertoleranz (HFT) Die Hardware Fehlertoleranz ist die Fähigkeit eines Gerätes, eine Sicherheitsfunktion bei Bestehen von Fehlern weiter korrekt auszuführen. Eine HFT von N bedeutet, dass N+1 Fehler zu einem Verlust der Sicherheitsfunktion führen können. Safe Failure Fraction (SFF) Die Safe Failure Fraction beschreibt den prozentualen Anteil von ungefährlichen Ausfällen. Je höher der erforderliche SIL-Wert ist, umso höher muss der SFF sein. Der SFF eines Systems wird aus den einzelnen Ausfallraten ( -Werte) der Einzelkomponenten ermittelt. Systeme vom Typ B Alle anderen Systeme sind komplexe Systeme (Typ B), wenn Bauteile verwendet werden, bei denen das Ausfallverhalten nicht vollständig bekannt ist. Solche Bauteile sind z. B. Mikroprozessoren, Halbleiterschaltungen. Die Ausfallraten von Bauteilen können aus einschlägigen Tabellenwerken entnommen werden. SFF HFT SIL Typ A, Typ B Safe Failure Fraction (SFF) Hardware Fehlertoleranz (HFT) (Typ A einfaches Betriebsmittel) Hardware Fehlertoleranz (Typ B komplexes Betriebsmittel) (0*) 2 (1*) < 60 % SIL 1 nicht erlaubt SIL 1 60 %... < 90 % SIL 4 SIL 1 90 %... < 99 % SIL 4 SIL 4 SIL 4 99 % SIL 4 SIL 4 SIL 4 SIL 4 * Mit Nachweis der Betriebsbewährung nach IEC/EN (nur für SIL < 4)

13 section Kenngrößen or rubric 13 Ausfallrate Eine wichtige Rolle ist die Fähigkeit eines Systems, Fehler aufzudecken und damit entsprechend zu reagieren. Deshalb unterscheidet man gefährliche und ungefährliche Fehler sowie die Möglichkeit, diese Fehler zu entdecken. Die Ausfallrate durch Fehler wird in der Größe λ definiert und teilt sich in vier Gruppen auf. λ SD = safe detected failure rate (entdeckte und ungefährliche Fehler) λ SU = safe undetected failure rate (unentdeckte und ungefährliche Fehler) λ DD = dangerous detected failure rate (entdeckte und gefährliche Fehler) λ DU = dangerous undetected failure rate (unentdeckte und gefährliche Fehler) Die unentdeckten und gefährlichen Fehler (λdu) führen zum nicht erkennbaren Verlust der Sicherheitsfunktion und müssen durch entsprechende Maßnahmen so gering wie möglich gehalten werden. Die Einheit für die λ-werte ist FIT (Fehler pro Zeit, pro h) Testintervall (Ti) Die wiederkehrende Funktionsprüfung (Ti) dient dazu, gefährliche Fehler aufzudecken. Die Funktionsfähigkeit eines Gerätes ist deshalb in angemessenen Zeitabständen durchzuführen. Dieser Wert geht in die Berechnung der Kenngröße PFD/PFH ein und ist so zu wählen, dass diese im für den angestrebten SIL geforderten Bereich liegt. Es liegt in der Verantwortung des Betreibers, die Art der Überprüfung und die Zeitabstände zu wählen. Die Prüfung ist so durchzuführen, dass die einwandfreie Funktion der Sicherheitseinrichtung im Zusammenhang aller Komponenten nachgewiesen wird. Empfehlungen zu wiederkehrenden Funktionsprüfungen können aus den Safety Manuals der Geräte entnommen werden. PFD 0,1 ohne Funktionsprüfung Funktionsprüfung (Testinterval Ti) SIL 1 DD DU 0,01 0,001 0,0001 PFDav Ti z. B. 1 Jahr PFDav = ½ λ DU x Ti SIL 4 Gebrauchsdauer SU SD Gebrauchsdauer Die Gebrauchsdauer von Sicherheitskomponenten hängt hauptsächlich von den internen Bauteilen und den Betriebsbedingungen ab (z. B. Umgebungstemperatur, Vibration, elektrische Auslastung). Für elektrische Komponenten gibt die IEC einen typischen Bereich zwischen 8-12 Jahren an, die ISO geht von einem Wert von 20 Jahren aus. Hinweis: IEC/DIN EN :2011 Absch Nationale Fußnote N3 Die Gebrauchsdauer hängt stark vom Gerät selbst und seinen Betriebsbedingungen ab. Nach Ablauf der Gebrauchsdauer kann die Ausfallwahrscheinlichkeit mit der Zeit ansteigen (ca Jahre). Durch entsprechende Maßnahmen des Herstellers und des Betreibers ist eine längere Gebrauchsdauer zu erreichen (z. B. Instandhaltungsmaßnahmen). Innerhalb der Gebrauchsdauer bleiben die Fehlerraten der Bauteile näherungsweise konstant. Wenn dieser Zeitrahmen überschritten wird, können Fehlerraten durch Verschleiß und Alterung allmählich ansteigen und die berechneten PFDav-Werte können nicht mehr angewandt werden. Der Betreiber muss dann entweder zusätzliche Maßnahmen ergreifen (z. B. das Prüfintervall verkürzen) oder die Sicherheitskomponenten ersetzen, um das geforderte SIL- Niveau zu erhalten. Wenn alterungskritische Bauteile vom Hersteller der Sicherheitskomponente vermieden werden und die Geräte unter normalen Umgebungsbedingungen eingesetzt werden, kann man davon ausgehen, dass die Gebrauchsdauer eher bei dem Wert des ISO-Standards liegt als bei der Angabe im IEC-Standard.

14 14 9. Glossar SIL (Safety Integrity Level) Der Sicherheits-Integritätslevel (SIL) ist ein Maß für die Sicherheitsintegrität eines Systems. Die Sicherheitsintegrität ist die Wahrscheinlichkeit, dass das System die erforderliche sicherheitstechnische Funktion unter allen festgelegten Bedingungen innerhalb eines festgelegten Zeitraumes ausführt. Der SIL ist in vier Stufen eingeteilt, wobei der Sicherheits-Integritätslevel 4 die höchste Stufe der Sicherheitsintegrität und der Sicherheits-Integritätslevel 1 die niedrigste darstellt. E/E/EPS Elektrische, elektronische und programmierbare elektronische Systeme (Functional Safety) Die Fähigkeit eines Systems, die notwendigen Aktionen durchzuführen, um einen definierten sicheren Zustand für Anlagen unter Systemkontrolle zu erlangen oder zu erhalten. Ausfallrate (Failure rate) Die Ausfallrate eines Systems durch Fehler teilt sich generell in vier Gruppen auf: SD = safe detected failure rate (entdeckte und ungefährliche Fehler), SU = safe undetected failure rate (unentdeckte und ungefährliche Fehler) DD = dangerous detected failure rate (entdeckte und gefährliche Fehler) DU = dangerous undetected failure rate (unentdeckte und gefährliche Fehler) FIT (Failure in Time) Fehler pro Zeit ( pro h) HFT (Hardware fault tolerance) Eine Fehlertoleranz der Hardware von N bedeutet, dass N+1-Fehler zu einem Verlust der Sicherheitsfunktion führen können. SFF (Safe failure fraction) Anteil ungefährlicher Ausfälle PFD (Probability of failure on demand) PFD ist eine Maßzahl für die Wahrscheinlichkeit eines Ausfalles der Sicherheitsfunktion in einer Betriebsart mit niedriger Anforderungsrate (Wahrscheinlichkeit, dass das System bei Anforderung gefährlich versagt). PFH (Probability of failure per hour) Für eine hohe oder kontinuierliche Anforderungsrate wird die Maßzahl PFH verwendet, die die Wahrscheinlichkeit eines Ausfalls der Sicherheitsfunktion pro Stunde angibt (gefährliche Versagensrate). MooN (M out of N) Sicherheitsarchitektur mit M aus N-Kanälen; z. B. bedeutet 1oo2 eine Architektur mit zwei Kanälen, wobei jeder der beiden Kanäle der Sicherheitsfunktion ausführen kann. Proof-Test (Ti) Der Proof-Test ist eine wiederkehrende Prüfung zur Aufdeckung von Ausfällen in einem SIL-System, sodass nötigenfalls das System in einen Quasi-Neu-Zustand gebracht werden kann. SIS Safety Instrumented System

15 section or Glossar rubric 15

16 Deutschland Vertrieb Service Technische Büros Österreich Schweiz Endress+Hauser Messtechnik GmbH+Co. KG Colmarer Straße Weil am Rhein Fax 0800 EHFAXEN Fax Beratung Information Auftrag Bestellung Tel 0800 EHVERTRIEB Tel info@de.endress.com Technischer Support Vor-Ort-Services Ersatzteile/Reparatur Kalibrierung Tel 0800 EHSERVICE Tel service@de.endress.com Hamburg Berlin Hannover Ratingen Frankfurt Stuttgart München Endress+Hauser GmbH Lehnergasse Wien Tel Fax info@at.endress.com Endress+Hauser Metso AG Kägenstraße Reinach Tel Fax info@ch.endress.com CP01008Z/11/DE/