Funktionale Sicherheit. Theoretische und gesetzliche Grundlagen.

Transkript

1 Funktionale Sicherheit Theoretische und gesetzliche Grundlagen

2 Funktionale Sicherheit: Theoretische Grundlagen Von funktionaler Sicherheit spricht man, wenn die Sicherheit von der korrekten und zuverlässigen Funktion eines elektrischen (E), elektronischen (E) und programmierbar elektronischen (PE) Systems abhängt. Um funktionale Sicherheit zu erreichen, müssen zunächst alle Risiken analysiert werden, die von einer Anlage oder einem Prozess ausgehen. Hier bieten die einschlägigen Normen mit Bezug auf die Basisnorm DIN EN eine anerkannte Methode zur Risikobeurteilung. Die sicherheitstechnische Beurteilung, häufig als Risikoanalyse bezeichnet, ist eine Untersuchung jener Prozesse einer Anlage, von denen Gefahren ausgehen. Üblicherweise sind dies nur wenige Prozesse. Basisprozesse für die Prozessregelung, die keine Schutzfunktion besitzen, werden nicht betrachtet. Für jeden der gefahrbringenden Prozesse wird untersucht, welches Ausmass Gefahr und Schaden infolge einer Fehlfunktion annehmen könnten. Zur Beurteilung wird oft ein Risikograph, wie rechts dargestellt, zu Hilfe genommen. Je nach Grösse der Gefahr und Eintrittswahrscheinlichkeit wird festgestellt, ob ein Prozess durch eine Sicherheitsfunktion abgesichert werden muss und welchen Sicherheits-Integritätslevel (SIL) diese Sicherheitsfunktion (SIF) erreichen muss. Entsprechend des erforderlichen Sicherheits-Integritätslevels (SIL) werden die geeigneten Komponenten zur Realisierung der Sicherheitsfunktion (SIF) ausgewählt. Um dies zu vereinfachen, lassen Gerätehersteller ihre Produkte für die verschiedenen Sicherheits-Integritätslevels (SIL) überprüfen. Hier stehen dann normalerweise die Sicherheitskennzahlen wie Ausfallraten (λ-lambda) oder ein PFD avg -Wert zur Verfügung. Anhand von Sicherheitskennzahlen der eingesetzten Geräte wird für jede Sicherheitsfunktion (SIF) überprüft, ob sie den geforderten Sicherheits- Integritätslevel (SIL) erreicht. Ist dies nicht der Fall, müssen zusätzliche Massnahmen ergriffen werden, wie zum Beispiel ein redundanter Aufbau. Beispiel eines Risikographen Sicherheitsfunktionen Sicherheitsfunktionen sind Schutzmassnahmen, die nur im Störfall aktiviert werden und dann verhindern, dass Personen, Umwelt und Sachwerte Schaden nehmen. Funktionale Sicherheit wird erreicht, wenn SIF in einer solchen Situation korrekt und zuverlässig arbeiten. Eine Sicherheitsfunktion (SIF) wird durch die Komponenten eines sogenannten sicherheitstechnischen Systems (SIS), wie nächste Seite dargestellt, realisiert. Ein solches System besteht aus einem Sensor, einer übergeordneten Sicherheitssteuerung (S-SPS) sowie allenfalls aus Sicherheitsrelais und Aktor.

3 Funktionale Sicherheit Theoretische Grundlagen Gefahrenbeurteilung Bei der Gefahrbeurteilung eines Prozesses wird für jede SIF bestimmt, welchen SIL sie erfüllen muss, und erst danach werden wie zum Beispiel gemäss der Abbildung eines kombinierten Systems (SIS) mit Regelung (BPCS) und Sicherheitsfunktion geeignete Geräte zur Realisierung der SIF ausgewählt. Um die SIL-Fähigkeit eines Geräts ermitteln zu können, verwendet die Basisnorm DIN EN bzw. VDI / VDE 2180, Blatt 4, die Methoden der Wahrscheinlichkeitsrechnung. Bei der Betrachtung der Ausfallraten (λ) wird unterschieden, welche Fehler gefährlich und welche ungefährlich sind, also keinen Einfluss auf das korrekte Ausführen der SIF haben. Die Ausfallrate λ DU (Rate unerkannter gefahrbringender Fehler je Stunde) stellt die wichtigste Sicherheitskennzahl dar. Abbildung eines kombinierten Systems (SIS) mit Regelung (BPCS) und Sicherheitsfunktion (SIF) Verteilung der Ausfallrate λ Der PFD avg -Wert beschreibt die mittlere Wahrscheinlichkeit, dass die SIF bei Anforderung nicht ausgeführt werden kann. In den einschlägigen Normen ist für jeden der vier SIL ein zulässiger Bereich für die Ausfallwahrscheinlichkeit festgelegt. SIL1 stellt die niedrigste Sicherheitsstufe dar, SIL4 die höchste. Je höher die Sicherheitsstufe, desto geringer darf die Wahrscheinlichkeit sein, dass die SIF bei Anforderung ausfällt. Nicht nur die Grösse des Risikos im Störfall spielt eine Rolle für die Sicherheit eines Systems. Entscheidend ist auch die Häufigkeit, mit der ein Störfall erwartet und somit die entsprechende SIF angefordert wird. Die Basisnorm DIN EN unterscheidet dazu die Betriebsarten «Low Demand Mode» und «High Demand Mode» (Continuous Mode). Low Demand Mode SIL Low Demand Mode [PFD] bis < bis < bis < bis < 10 4 Bei einer Betriebsart mit niedriger Anforderungshäufigkeit wird die Sicherheitsfunktion nicht häufiger als einmal pro Jahr angefordert. Dies trifft typischerweise auf Sicherheitsfunktionen für die Prozessindustrie zu, die Stellantriebe einsetzt, wie zum Beispiel bei der Überwachung des minimalen Wasserstands eines Kessels und der nachfolgenden Abschaltung der Brennstoffzufuhr.

4 Funktionale Sicherheit Theoretische Grundlagen High Demand Mode (Continuous Mode) Bei einer Betriebsart mit hoher bzw. kontinuierlicher Anforderungsrate arbeitet die Sicherheitsfunktion entweder kontinuierlich oder sie wird häufiger als einmal pro Jahr angefordert (üblicherweise Maschinensicherheit, zum Beispiel Türenüberwachung einer Fräsmaschine). SIL High Demand Mode [PFH] bis < bis < bis < bis < 10 8 Berechnung des Gesamt-PFD-Werts Für die Berechnung des Gesamt-PFD- Werts einer SIF müssen zunächst die PFD-Werte für jede Komponente eines sicherheitstechnischen Systems SIS einzeln berechnet werden. Ein SIL beschreibt eine Eigenschaft einer gesamten SIF und nicht die einer Einzelkomponente. Daher muss aus den PFD-Werten der Einzelkomponenten der Gesamt-PFD-Wert für die SIF berechnet werden. Der PFD-Wert hängt immer mit einem Intervall der Wiederholungsprüfung zusammen. Je öfter eine SIF getestet wird, umso höher ist der SIL, der erreicht werden kann. Sensor PFD = 3, = SIL2 Sicherheit-SPS PFD =1, = SIL2 Antrieb PFD = Armatur PFD = 2, = SIL2 2, = SIL2 Gesamt-PFD-Wert Sicherheitsfunktion PFD = 1, = SIL = Anteil sicherer Fehler [SFF] Anteil sicherer Fehler (SFF) Der Anteil sicherer Fehler (SFF) beschreibt den prozentualen Anteil ungefährlicher Fehler an der Gesamtfehlerzahl. Fehler sind ungefährlich, wenn sie das System nicht in einen gefährlichen Zustand versetzen können. Ein Wert von beispielsweise 78% bedeutet, dass 78 von 100 Fehlern keine Auswirkung auf die sichere Funktion des Systems haben. Hardware-Fehlertoleranz [HFT] Typ A Typ B 0 [1oo1, 2oo2] 1 [1oo2, 2oo3] 2 [1oo3] 0% bis < 60% SIL1 SIL2 0% bis < 60% 60% bis < 90% SIL1 SIL2 SIL3 60% bis < 90% 90% bis < 99% SIL2 SIL3 SIL4 90% 99% SIL3 SIL4 SIL4 Hardware-Fehlertoleranz (HFT) Die Hardware-Fehlertoleranz (HFT) definiert die Fähigkeit einer Funktionseinheit, eine geforderte SIF bei Bestehen von Fehlern oder Abweichungen weiter auszuführen. Beträgt die HFT zum Beispiel null, kann bereits ein Fehler zu einem Ausfall der SIF führen. Die HFT lässt sich in der Regel durch einen redundanten Systemaufbau erhöhen. In der Praxis wird der redundante Aufbau auch als Voting bezeichnet. Die meist verwendeten Architekturen (Voting) sind zum Beispiel: 1oo1, 1oo2 und 2oo3. Sie unterscheiden sich in Fragen der Sicherheit sowie der Verfügbarkeit. DIN EN DIN EN Die DIN EN unterscheidet zwischen einfachen und komplexen Geräten. Typ A sind «einfache» Geräte, bei denen das Ausfallverhalten der Bauteile vollständig bekannt ist. Sie enthalten z.b. Relais, Widerstände und Transistoren, jedoch keine komplexen elektronischen Bauelemente wie z.b. Mikrokontroller. Typ B sind «komplexe» Geräte, die elektronische Bauelemente wie Mikrokontroller, Mikroprozessoren und ASIC enthalten. Bei diesen Bauelementen, insbesondere bei softwaregesteuerten Funktionen, ist es schwierig alle Fehler vollständig zu bestimmen. Um einen bestimmten SIL zu erreichen, muss jede einzelne Komponente eines SIS sowohl anhand der mittleren Ausfallwahrscheinlichkeit (λ DU, PFD-Wert) als auch der Architektureinschränkungen (SFF, HFT) beurteilt werden. Zur funktionalen Sicherheit gehört neben den Hardware- und Software-Einrichtungen selbst zwingend auch das Management der funktionalen Sicherheit!

5 Gesetzliche Grundlagen Warum sind Systeme der funktionalen Sicherheit heutzutage zwingend anzuwenden? Aktuelle, einschlägige Normen (die grundsätzlich nur einen Mindeststandard abbilden) weisen auf die Anwendung der Systeme der funktionalen Sicherheit hin. Die Anwendung solcher Normen (insbes. DIN, ISO, IEC) erfüllt die Anforderungen der «anerkannten Regeln der Technik». Zu den Systemen der funktionalen Sicherheit gehört neben den Hardware- und Software-Einrichtungen selbst zwingend auch das Management der funktionalen Sicherheit! Um die Anforderungen gemäss dem «Stand der Technik» zu erfüllen, müssen Hersteller bzw. Betreiber alle ihnen zugänglichen technischen und wissenschaftlichen Erkenntnisse nutzen und anwenden, auch wenn die einschlägig bekannten Normen geringere Sicherheitsstandards definieren. Auszüge aus den verschiedenen Gesetzestexten Bundesgesetz über die Unfallversicherung, UVG Art. 82, Abs.1: Der Arbeitgeber ist verpflichtet, zur Verhütung von Berufsunfällen und Berufskrankheiten alle Massnahmen zu treffen, die nach der Erfahrung notwendig, nach dem Stand der Technik anwendbar und den gegebenen Verhältnissen angemessen sind. Verordnung über die Unfallverhütung, VUV Art. 3 Schutzmassnahmen und Schutzeinrichtungen Abs. 1: Der Arbeitgeber muss zur Wahrung der Arbeitssicherheit alle Anordnungen und Schutzmassnahmen treffen, die den Vorschriften dieser Verordnung und den für seinen Betrieb sonst geltenden Vorschriften über die Arbeitssicherheit sowie im Übrigen den anerkannten sicherheitstechnischen und arbeitsmedizinischen Regeln entsprechen. Abs. 2: Der Arbeitgeber muss dafür sorgen, dass die Schutzmassnahmen und Schutzeinrichtungen in ihrer Wirksamkeit nicht beeinträchtigt werden. Art. 30 Steuer- und Schalteinrichtungen Abs. 2: Schalteinrichtungen für den Betrieb von Arbeitsmitteln, die Einfluss auf die Sicherheit haben, müssen ihre Funktion zuverlässig erfüllen, deutlich sichtbar angebracht, eindeutig identifizierbar und entsprechend gekennzeichnet sein. Verordnung über den Schutz vor Störfällen Störfallverordnung, StFV Art. 3 Allgemeine Sicherheitsmassnahmen Abs. 1: Der Inhaber eines Betriebs, eines Verkehrswegs oder einer Rohrleitungsanlage muss alle zur Verminderung des Risikos geeigneten Massnahmen treffen, die nach dem Stand der Sicherheitstechnik verfügbar, aufgrund seiner Erfahrung ergänzt und wirtschaftlich tragbar sind. Art. 4 Besondere Sicherheitsmassnahmen für Betriebe Muss der Inhaber aufgrund der Art des Betriebs sowie dessen Gefahrenpotentials und dessen Umgebung offensichtlich erwarten, dass er eine Risikoermittlung durchführen muss oder steht dies nach Artikel 6 fest, so muss er neben den allgemeinen Sicherheitsmassnahmen auch die im Anhang 3 festgelegten besonderen Sicherheitsmassnahmen treffen. Bundesgesetz über die Produktesicherheit, PrSG Art. 3 Grundsätze Abs. 2: Sie müssen den grundlegenden Sicherheits- und Gesundheitsanforderungen nach Artikel 4 oder, wenn keine solchen Anforderungen festgelegt worden sind, dem Stand des Wissens und der Technik entsprechen. EKAS-Richtlinie Nr (Druckgeräte), Ausgabe Dezember 2014 Art. 7.6 Inspektion von funktionalen Sicherheitssystemen Solche Sicherheitssysteme (z.b. MSR-Systeme, Systeme für den Betrieb ohne ständige Beaufsichtigung) sind aufgrund der Angaben in der Betriebsanleitung und der Erfahrungen im Betrieb von einer dafür qualifizierten Stelle regelmässig auf einwandfreies Funktionieren aller beteiligten Elemente zu überprüfen. Art. 10 Instandsetzungen und Änderungen Instandsetzungen fallen unter die Bestimmungen der Druckgeräteverwendungsverordnung (DGVV). Der Betrieb ist verantwortlich für eine den anerkannten Regeln der Technik entsprechende Ausführung.

6 Funktionale Sicherheit Gesetzliche Grundlagen Erläuterungen zu den Schlüsselbegriffen Anerkannte Regeln der Technik Ist die technische Festlegung, welche von einem breiten Kreis repräsentativer Fachleute als Wiedergabe des Standes der Technik angesehen wird (aus DIN EN 45020:1993 Nrn. 1.5). Sind Regeln, die folglich als theoretisch richtig erkannt, in der Praxis überwiegend bekannt sind und sich aufgrund praktischer Erfahrung bewährt haben und erprobt sind, z.b. Normen (DIN, ISO, IEC). Stand der Technik Der Stand der Technik ist eine Technikklausel und stellt die technischen Möglichkeiten zu einem bestimmten Zeitpunkt, basierend auf gesicherten Erkenntnissen von Wissenschaft und Technik, dar. Er beschreibt folglich den Entwicklungsstand, dessen praktische Eignung entweder breite Anerkennung geniesst oder zumindest als gesichert erscheint, weil er einem beschränkten Kreis von Spezialisten bekannt ist und bei vergleichbaren Anlagen erfolgreich eingesetzt wurde oder in Versuchen mit Erfolg erprobt und auf gleiche oder ähnliche Anlagen übertragen werden kann. Stand der Technik ist mit dem Einhalten der einschlägigen veröffentlichten Normen (insbes. DIN, ISO, IEC) nicht automatisch gleichzusetzen. Normen können überholt sein und daher nicht mehr dem aktuellen Stand der Technik entsprechen. Nach dem Stand der Technik bedeutet: Nach herrschender Auffassung führender Fachleute (z.b. Fachkommissionen, Gutachter, Sachverständige) bzw. Branchenüblichkeit. Ohne Berücksichtigung wirtschaftlicher Aspekte. Es genügt nicht, technische Regelwerke zu erfüllen, wenn die technische Entwicklung darüber hinausgegangen ist oder wenn sich bei der Benutzung eines technischen Geräts Gefahren zeigen, die noch nicht berücksichtigt sind. Im Rahmen des neuen Kompetenzzentrums für technische Sicherheit und Risikomanagement der SVTI Gruppe bietet die Swiss TS eine umfassende Dienstleistungspalette auf dem Gebiet der Sicherheits-, der Umwelttechnik und der Qualitätssicherung sowie dem Qualitätsmanagement an: von sicherheitstechnischen Prüfungen, Konformitätsbewertungen und Zertifizierungen, Dienstleistungen in den Bereichen Arbeitssicherheit und Gefahrgut, über Begutachtungen und Expertisen bis hin zur Aus- und Weiterbildung. Ein Unternehmen des SVTI und des TÜV SÜD Kontakt: Ing. Anton Sulovsky Sachverständiger Elektro- und MSR-Technik TÜV-Functional Safety Expert Telefon Swiss TS Technical Services AG Richtistrasse 15 CH-8304 Wallisellen Tel Fax