SIL-Eignung von Armaturen. Jan Schumacher

Transkript

1 SIL-Eignung von Armaturen Jan Schumacher

2 Agenda 1 Einleitung Funktionale Sicherheit Besonderheiten mechanischer Komponenten Bestimmung der Fehlerraten Vorgehen des TÜV Rheinland Zusammenfassung & Ausblick 2

4 Was ist Funktionale Sicherheit? Maschinen sind gebaut um zu funktionierten. Was passiert, wenn sie nicht funktionieren? Keine Verfügbarkeit Unfall Zeitverlust Finanzieller Schaden Zerstörte Maschine Tote Umweltschäden Funktionale Sicherheit 4

5 Sicherheitsketten Sensor Logik Aktor DIN EN ist auch für mechanische Komponenten gültig 5

6 Bewertung des Gesamtsystems + + = 75 % SIL 2 75 % SIL 2 75 % SIL % SIL 2 35 % SIL % SIL % SIL Zielgröße 2 = = 100 % SIL 2 Sensorik Steuerung Aktorik Gesamtsystem Einzelkomponenten können nur bezüglich ihrer SIL-Tauglichkeit bewertet werden 6

7 Bausteine der SIL Bewertung SFF Safe Failure Fraction PFD / PFH Probability of Failure on Demand / per Hour HFT Hardware Fault Tolerance SIL Safety Integrity Level Systematische Sicherheitsintegrität 7

9 Unterschiede zwischen E/E/PE und Mechanik Elektrik / Elektronik / Programmierbare Elektronik Zufällige Fehler überwiegen Konstante Fehlerrate während Gebrauchsdauer Verschleiß und Alterung beeinflussen Gebrauchsdauer Mechanische Komponenten λ ist nur eine Vereinfachung! Systematische Fehler überwiegen Fehlerrate kann als konstant angenähert werden Verschleiß und Alterung beeinflussen Fehlerrate 9

10 Umgebungsparameter 10

11 Besonderheiten mechanischer Komponenten Anwendung der DIN EN auf mechanische Komponenten 50 % der Gesamtausfallrate Systematische Ausfälle überwiegen Größere Vielfalt an Umgebungsparametern 11

12 Agenda 1 2 Einleitung Bestimmung der Fehlerraten Betriebsbewährtheit Datenbanken Dauertests 3 4 Vorgehen des TÜV Rheinland Zusammenfassung & Ausblick 12

13 Fehlerraten Statistische Rahmenbedingungen Die Einstufung in SIL basiert unter anderem auf Ausfallraten λ Um eine ausreichend niedrige Ausfallrate mathematisch berechnen zu können, ist eine entsprechend große Datenbasis erforderlich. Berücksichtigung von Konfidenzintervallen - Verhält sich die Zukunft wie die Vergangenheit? - Wie repräsentativ ist die Stichprobe? Wie groß soll die Wahrscheinlichkeit sein, dass das vergangene dem zukünftigen Verhalten entspricht? 1 Fehler auf Schaltungen p = α = 95 % p = 1,

14 Fehlerraten Woher wissen wir, dass es wirklich funktioniert? λ SD λ SU λ DD λ λ DU λ excl Betriebsbewährtheit Datenbanken Laborversuche 14

16 Voraussetzungen # Es wurden ausreichend viele Komponenten verkauft Die Verkaufs- und Rücklaufzahlen sind ausreichend gut dokumentiert t Die Komponenten sind lange genug im Einsatz Die Komponenten sind so wertvoll, dass sie reklamiert werden 16

17 Betriebsbewährtheit Dokumentation der Verkaufs- und Rücklaufszahlen Wann ist ein Vorfall aufgetreten? Was ist genau passiert? Wie wurde der Vorfall eingestuft? Wie wurde reagiert? Schlecht dokumentierte Daten müssen konservativ ausgewertet werden Endanwender verfügen oft über eigene Datenbanken Jahr Verkaufszahl Rückläufer

18 Rückläufer Wie werden die gemeldeten Fehler bewertet? Sicherer Fehler Gefährlicher Fehler Falsche Bestellung Hängenbleiben einer Klappe Gerissene Dichtung Falsche Durchflussrichtung Verschleiß durch Partikel Korrosion 18

20 Datenbanken Lässt der erfolgreiche Einsatz mechanischer Komponenten Rückschlüsse auf den betrachteten Aktor zu? Hat ein O-Ring immer die gleiche Ausfallwahrscheinlichkeit? Hat die Montagesituation keinen Einfluss auf die Ausfallwahrscheinlichkeit? Können alles Umgebungs- und Betriebsparameter pauschalisiert, bzw. vernachlässigt werden? Fehlerraten für mechanische Komponenten aus Datenbanken sollten vorsichtig verwendet werden! 20

22 Laborversuche Die Ausfallrate jedes Bauteils oder jeder Gruppe von Bauteilen kann unter Verwendung einer anerkannten industriellen Quelle und Berücksichtigung der Anwendungsumgebung abgeschätzt werden. Anwendungsbezogene Daten sind jedoch zu bevorzugen, dies gilt besonders, wenn das Element nur aus einer geringen Anzahl von Bauteilen besteht, so dass jede Abweichung in der Abschätzung der Wahrscheinlichkeit sicherer und gefahrbringender Ausfälle eines einzelnen Bauteils einen gravierenden Einfluss auf die Abschätzung des Anteils sicherer Ausfälle haben könnte. (DIN EN : C.1) 22

23 Laborversuche Vorgehen DIN EN , Anhang D.1 Notwendige Vorgeschichte zur Zuordnung von SIL bei gegebenem Vertrauensniveau Low Demand 1 Anforderung pro Jahr Faktor: High Demand 1 Anforderung pro Stunde SIL-Klasse n(0,95) n(0,99) SIL-Klasse n(0,95) n(0,99) , , , , % Der Aktor sollte ca. 10 % der Ausfallwahrscheinlichkeit beanspruchen 23

24 Testbedingungen Anzahl der durchzuführenden Schaltungen wird auf üblicherweise 11 Aktoren aufgeteilt Testtemperaturen werden wie folgt gewählt Tmax + 10 K Tmin TRaum Jeder Prüfling muss der Temperaturreihenfolge ausgesetzt werden Elektrische, pneumatische, hydraulische, Signale werden so gewählt, dass am ehesten Ausfälle zu erwarten sind 24

25 Schwächen der Laborversuche Kompatibilität mit Betriebsmedium wird nicht getestet Detaillierte Analyse in FMEA Gegebenenfalls sind zusätzliche Tests erforderlich Beispiele aus der Praxis Ein Kugelhahn soll für ein spezielles Öl freigegeben werden Der Temperaturbereich einer Armatur soll durch veränderte Dichtungsmaterialien erweitert werden 25

26 Schwächen der Laborversuche Je schneller das Prüfobjekt geschaltet wird, desto kürzer ist der Test. Aber Setzungseffekte können so nicht überprüft werden. Gesetz von Arrhenius kann nicht angewendet werden Setzungserscheinungen können durch geeignete Prooftests verhindert werden! Längere Stillstandszeiten werden bei Versuchen eingeplant 26

27 Längere Verweilzeiten Berücksichtigung von längeren Stillstandszeiten bei Versuchsplanung Insgesamt 11 Prüflinge werden getestet Prüftemperatur maximal zulässige Betriebstemperatur + 10 K minimal zulässige Betriebstemperatur Schaltfrequenz Zyklen für einen Prüfling Dauer 5 s (50%) 5 h 1/d 1 1 d 1/2d 1 2 d 1/4d 1 4 d 1/8d 2 16 d 5 s 500 (17%) 1:40 h 1/d 1 1 d 1/2d 1 2 d 1/4d 1 4 d 1/8d 2 16 d Raumtemperatur 5 s (33%) 3:20 h Total ~ 50 d 27

28 Agenda Einleitung Bestimmung der Fehlerraten Vorgehen des TÜV Rheinland Analyse der Komponente und Anwendung FMEA Fehlerraten Systematische Sicherheitsintegrität Ergebnis 4 Zusammenfassung & Ausblick 28

30 Analyse der Komponente und Anwendung Welche Komponente wird betrachtet und was ist deren Aufgabe? Definition der Sicherheitsfunktion - Was muss die Komponente im Anforderungsfall tun? - Alle Eigenschaften müssen quantifiziert werden Wie oft wird die Sicherheitsfunktion angefordert? - High Demand oder Low Demand - Dominieren Alterungs- oder Verschleißeffekte? Wie alt ist die Komponente? - Existieren Verkaufs- und Rücklaufzahlen? 30

32 FMEA Fehlermöglichkeits- und -einflussanalyse Systematische Analyse aller möglichen Fehler Sind alle verwendeten Werkstoffe geeignet? Sind alle Berechungen korrekt? Part Function Potential source of failure Kind of failure Failure induced by Effect on component function Effect on safety function Wrong design Systematic internal Wrong calculation Loss of tension Closing is not possible, Leakage Return Spring Move valve seat in fail-save position Wrong material Systematic internal Material is not qualified Corrosion Closing is not possible, Leakage Random failure Random internal Wrong assembly Wrong material Lower tension Corrosion Closing is not possible, Leakage Closing is not possible, Leakage 32

34 Fehlerraten Datenbanken Betriebsbewährtheit Laborversuche 34

36 Systematische Sicherheitsintegrität Nachweis der Qualifizierung des Herstellers Qualitätsmanagement Management der funktionalen Sicherheit Ziele/Fragen eines Audits: Wie sieht die Wareneingangskontrolle aus? Ist das Personal qualifiziert? Sind alle Abläufe geregelt? Wie sieht die Warenausgangskontrolle aus? Werden Verkaufs- und Rücklaufzahlen erfasst? 36

38 Ergebnis Ziel der Untersuchung: Bereitstellen aller nötigen Kennwerte, um das SIL einer kompletten Sicherheitskette zu bestimmen Zertifikat kann optional ausgestellt und auf veröffentlicht werden 38

39 Agenda Einleitung Bestimmung der Fehlerraten Vorgehen des TÜV Rheinland Zusammenfassung & Ausblick 39

40 Untersuchungsumfang hängt von Ausgangslage ab Weiterentwicklung Bewertung einer bewährten Komponente Auswertung von Verkaufs- und Rücklaufzahlen Verlängerung eines Zertifikats Baumusterprüfung FMEDA Laborversuche Bewertung einer Neuentwicklung 40

41 Zusammenfassung & Ausblick DIN EN ist auch auf mechanische Komponenten anwendbar Bewertung der SIL-Tauglichkeit einer Komponente hängt von drei Standbeinen ab - Safe Failure Fraction - Hardware Fehlertoleranz - Ausfallraten Quelle der Fehlerraten sollte vertrauenswürdig und transparent sein Laborversuche ermöglichen vertrauenswürdige Fehlerraten in akzeptabler Zeit 41

42 Wie interpretieren Sie die Informationen in Zertifikaten? Die Komponente ist geeignet um in allen SIL 3 Anwendungen eingesetzt zu werden. Die Komponente ist geeignet um einkanalig in SIL 3 Anwendungen eingesetzt zu werden Die Komponente ist geeignet um in Abhängigkeit der Architektur in Anwendungen bis zu SIL 3 eingesetzt zu werden. Die Armaturen sind zur Verwendung in einem sicherheitsgerichteten System bis SIL 2 geeignet. Unter Berücksichtigung der mindestens erforderlichen Hardware-Fehlertoleranz von HFT = 1 können die Armaturen in redundanter Ausführung auch bis SIL 3 eingesetzt werden. 42

43 Fragen? 43