Maschinensicherheit: Abschied von der EN 954-1?

Transkript

1 Maschinensicherheit: Abschied von der EN 954-1? Sicherheit im System. Schutz für Mensch und Maschine. Frank Schmidt K.A. Schmersal GmbH, Wuppertal Der Konstrukteur, der sicherheitsbezogene Teile von Steuerungen auswählt, nutzt die EN als wichtige Grundlage der Risikoanalyse. Nun ist absehbar, dass diese Norm durch die EN ersetzt wird. Damit ergeben sich Änderungen in der Vorgehensweise z.b. bei der Risikoanalyse. Der Konstrukteur wird also umdenken müssen was muss er künftig berücksichtigen? Schon wieder eine neue Norm so mag der Konstrukteur denken, wenn er mit der Tatsache konfrontiert wird, dass er bei der Auswahl von sicherheitsbezogenen Teilen von Steuerungen künftig nicht mehr die EN als Grundlage nutzen wird, sondern die EN , die zurzeit in ihrer vorläufigen Version ( draft ) als pren vorliegt. Allerdings war die EN nie unumstritten: Kritiker wiesen zum Beispiel darauf hin, dass diese Norm einen vergleichsweise einfachen deterministischen Ansatz verfolgt und Aspekte wie die Zuverlässigkeit und die Ausfallwahrscheinlichkeit von Bauelementen (d.h. die probabilistische Sichtweise) außer Acht lässt. Damit wurde ein wesentlicher Aspekt vernachlässigt, der in der Praxis die Verfügbarkeit von Maschinen und Anlagen und damit auch die Akzeptanz der Schutzeinrichtung beeinflussen kann (Bild 1). Bild 1: Sicherheit an Schutztür und Schutzzaun: Die neuen Normen berücksichtigen auch die Ausfallwahrscheinlichkeit von Bauelementen und somit die Verfügbarkeit von Maschinen und Anlagen. Damit tragen sie zur erhöhten Akzeptanz von Schutzeinrichtungen bei. 1

2 Diese Kritik ist bei den Normungsgremien nicht ungehört geblieben. Und da Normen, anders als Gesetze, nicht auf eine lange Gültigkeitsdauer angelegt sind, sondern jeweils den technischen Fortschritt zu berücksichtigen haben, wurde beschlossen, diesem Aspekt bei der anstehenden Revision der EN stärker Rechnung zu tragen. Damit war implizit auch die Entscheidung getroffen, die bekannten Steuerungskategorien durch eine Kategorisierung abzulösen, die diese Faktoren einbezieht. DIN EN 61508: Nicht unbedingt für den Maschinenbau Hinzu kam ein anderer Aspekt, der eine Anpassung der EN und eine stärkere probabilisitische Sichtweise quasi erzwingt. Im Jahr 2002 wurde die DIN EN veröffentlicht, die zunächst als IEC gültig war und später als EN-Norm übernommen wurde. Allerdings ist diese Norm zurzeit nicht unter der Maschinenrichtlinie gelistet, d. h. für den europäischen Maschinenbau gilt in Bezug auf die DIN EN nicht die Konformitätsvermutung. Die Norm beschreibt die Funktionale Sicherheit sicherheitsbezogener elektrischer / elektronischer / programmierbarer elektronischer Systeme und berücksichtigt ebenfalls die probalistischen Faktoren: Diese Faktoren finden sich in den so genannten Safety Integrity Levels (SIL) wieder, die das verbleibende Restrisiko quantifizieren. Nun kann man sich die Frage stellen: Warum wurde diese Norm nicht einfach für den Maschinenbau übernommen? Diese Frage beantwortet sich von selbst, wenn man einen Blick in das rund 350 Seiten starke Normenwerk tut: Die EN wurde für komplexe Anlagen der Prozesstechnik (bis hin zu chemischen Anlagen und Kraftwerken) erarbeitet und ist für den Maschinen- und Anlagenbau eindeutig überdimensioniert. Fairerweise muss man hinzufügen: Der stattliche Umfang ergibt sich auch aus der Tatsache, dass diese Norm, da sie außerhalb Europas entstanden ist, nicht auf der Maschinenrichtlinie aufbauen kann. DIN IEC 62061: In Großbritannien bereits verabschiedet Um aber ein durchgängiges, auf identischen Prinzipien aufbauendes IEC-Normenwerk zu schaffen, erstellte das IEC auf der Basis der DIN EN eine weitere Norm (IEC 62061), die die Grundgedanken und prinzipien der DIN IEC auf den Maschinenbau überträgt und explizit eine Brücke zur Maschinenbaunorm EN schlagen soll. Wohlgemerkt: Bei der DIN IEC handelt es sich, genau wie bei der DIN EN 61508, im Ursprung um eine IEC-Norm, die vom IEC (International Elektrotechnical Commission) erstellt wurde, weltweit gültig sein wird und sich im Gegensatz zur EN ausschließlich auf elektrische bzw. elektronische Steuerungssysteme für Sicherheitsaufgaben bezieht. Darüber hinaus wird sie vermutlich zu einem späteren Zeitpunkt unter der Maschinenrichtlinie harmonisiert. Die Meinung über diese Norm ist geteilt: in Großbritannien wurde sie bereits verabschiedet, Experten in Kontinentaleuropa hingegen halten sie für zu kompliziert und bemängeln darüber hinaus, dass sie als IEC-Norm nur die Elektrik bzw. Elektronik berücksichtigt und keine anderen Technologien. 2

3 Ziel: Eine einheitliche Normenwelt Unabhängig von dieser Meinung liegt es auf der Hand, dass das normensetzende Gremium (in diesem Falle das CEN), dessen Aufgabe die Revision von EN ist, dem Grundgedanken des IEC folgt und einen probalistischen Ansatz wählt. Ansonsten würden die Normenwelten von IEC und EN/ CEN auseinanderdriften, und das hätte negative Folgen für den freien Handelsverkehr und würde erhebliche Unsicherheit im Maschinen- und Anlagenbau sowie bei den Anwendern der Maschinen hervorrufen. Dies ist der zweite Grund dafür, dass die neue EN Faktoren wie die Ausfallsicherheit von Komponenten berücksichtigt. Die Vorgehensweise bleibt, die Kategorien ändern sich Soweit die Vorgeschichte zur Entstehung der Normen. Den Konstrukteur wird aber viel mehr interessieren: Was ändert sich konkret? Was muss er künftig bedenken, wie soll er vorgehen, wenn er normengerechte Schutzeinrichtungen bzw. sicherheitsbezogene Teile von Steuerungen konfiguriert? Zunächst die beruhigende Nachricht: Die grundsätzliche Vorgehensweise bleibt gleich. Auch die Risikoparameter des bekannten Risikographen bleiben nahezu erhalten, und es wird weiterhin fünf Steuerungskategorien bzw. Kategorien geben. Diesen Kategorien und das ist eine grundsätzliche Neuerung sind jedoch Performance Levels (PL; ae) zugeordnet. Bei der Ermittlung dieser Performance Levels werden u.a. die Faktoren Mean Time to Dangerous Failure (Zuverlässigkeit; durchschnittliche Zeit zwischen sicherheitsrelevanten Fehlern oder Ausfällen; MTTFd), Fehleraufdekkungsgrad (DC; Diagnostic Coverage) und Maßnahmen gegen Ausfälle gemeinsamer Ursache (CCF; Common Cause Failure) herangezogen. Hier wird also der probabilistische Ansatz sichtbar. Wie aber geht der Konstrukteur mit diesen Faktoren um? Er wäre überfordert, wenn er die Mean Time to Dangerous Failure z.b. eines Sicherheitsrelais ermitteln sollte. Das ist auch nicht seine Aufgabe, sondern die des Herstellers von Sicherheits-Schaltgeräten und anderer Komponenten von sicherheitsgerichteten Steuerungen. Sie die Hersteller müssen die Größen, die man zur Ermittlung des Performance Levels heranzieht, angeben und dabei die Anforderungen der EN berücksichtigen. Der Konstrukteur der Maschine bzw. der Sicherheitseinrichtungen ermittelt dann aufgrund der Risikoanalyse das Performance Level, das er benötigt (PLR; das R steht für required ). Dann wählt er die Komponenten aus, die er für den Aufbau der Sicherheitstechnik einsetzen will und ermittelt auf der Basis der von den Herstellern angegebenen Daten (das können konkrete Zahlenwerte für die einzelne Messgrößen sein oder Angaben wie geeignet für Performance Level e bzw. SIL-Level 3 ) durch Addition das tatsächliche Performance Level (PL) dieser Lösung. Durch den Abgleich von PL und PLR stellt er fest, ob er eine normenkonforme Lösung ausgewählt hat. Ganz praktisch bedeutet diese Vorgehensweise: Wenn Gefahrenbereiche abzusichern sind, bei denen im Gefährdungsfall schwere Verletzungen wahrscheinlich sind, dann muss der Konstrukteur Geräte auswählen, die eine hohe Ausfallsicherheit und Fehlersicherheit aufweisen. Dabei gibt die EN so genannte vorgegebene Architekturen ( designated architectures ) vor, die einen vereinfachten Ansatz zur Quantifizierung der zu ermittelnden Werte beinhalten. 3

4 Normen ergänzen sich Die beiden Normen DIN EN und EN ergänzen sich somit: Der Hersteller von Sicherheitskomponenten arbeitet gemäß den Anforderungen der EN 61508, während der Maschinenbauer nach EN vorgeht. Dies dürfte in der Praxis einen gewissen Mehraufwand mit sich bringen, stellt aber kein grundsätzliches Problem dar, weil die Performance Levels der EN in direkter Beziehung zu den Safety Integrity Levels der EN stehen, auch wenn die Bezeichnungen verschiedene sind (Beispiel: SIL 2 entspricht Performance Level d; Tafel 1). Das Bindeglied zwischen beiden Werten ist die Größe Mittlere Wahrscheinlichkeit eines gefährlichen Ausfalls pro Stunde. Tafel 1 Zusammenhang zwischen den Performance Levels der EN und den SIL-Levels der EN Neue Kriterien für die normengerechte Auswahl Zurzeit wird die EN in den Gremien diskutiert. Schon jetzt steht jedoch fest: Der Konstrukteur wird sich auf andere Kriterien einstellen müssen, wenn er sicherheitsbezogene Teile von Steuerungen auswählt. Die für die jeweilige Gesamtlösung geltenden Performance Levels werden ein wichtiges Thema bei der Zusammenarbeit zwischen dem Maschinenbauer und den Herstellern von Sicherheitskomponenten vom Sensor bis zum Aktor sein. Letztere müssen sich mit den neuen Normen vertraut machen, um dem Konstrukteur die für die Ermittlung des Performance Levels wichtigen Parameter (CCF, DC, MTTB) zur Verfügung zu stellen. und wann ist es so weit? Der zeitliche Fahrplan der Normungsgremien und der EU sieht so aus, dass die EN vermutlich noch in diesem Jahr verabschiedet wird. Die zahlreichen Einsprüche gegen einzelne Punkte in der Norm, die es im Laufe des Verfahrens gegeben hat, sind bis dahin eingearbeitet. Diese Änderungswünsche der einzelnen EU-Länder betrafen im Wesentlichen nur Details, so dass sich bis zur Verabschiedung der Norm nichts Grundsätzliches ändern dürfte. Es wird dann so ist es zumindest aktuell geplant eine Übergangsfrist bis 2008 geben, so dass die Norm ab Anfang 2009 voll wirksam ist. 4

5 Warten bis 2009? Es versteht sich von selbst, das man gut daran tut, mit der Umsetzung der Norm nicht bis 2009 zu warten. Die Erfüllung der Norm zu einem frühen Zeitpunkt ist für die Kunden ein Indikator dafür, dass man sich frühzeitig auf neue Situationen einstellt und zukunftssichere Komponenten bzw. Maschinen anbietet. Die Schmersal Gruppe hat hier frühzeitig Vorarbeiten geleistet. Zum Beispiel wurde bei der Entwicklung der neuen Sicherheits-Sensor-Baureihe CSS 180 (Bild 2) schon die EN berücksichtigt. Diese Sensoren können in SIL 3-Anwendungen (dies entspricht dem Performance Level e der EN eingesetzt werden. Nach der alten EN erfüllen sie bei Verwendung entsprechender Nachschaltgeräte die Anforderungen der Steuerungskategorie 4. Bild 2: Schon nach IEC entwickelt: Die Sicherheits-Sensoren CSS 180 Ganzheitliche Betrachtung So kompliziert das neue Normenwerk auf den ersten Blick auch sein mag es empfiehlt sich, den Blick auf die positiven Seiten von EN und EN zu richten, und die sind zweifellos gegeben., Es entspricht der betrieblichen Praxis, dass man bei der Auswahl von sicherheitsrelevanten Komponenten auch Faktoren wie Ausfallsicherheit und Betriebsfestigkeit in Betracht zieht, denn die sicherste Steuerung ist nicht hilfreich, wenn sie ausfällt oder nur eingeschränkte Lebensdauer aufweist. Auch die ganzheitliche Betrachtungsweise ist zweifellos ein großer Fortschritt gegenüber den zurzeit gültigen Normen: Es wird nicht die einzelne Komponente bewertet, sondern ein Performance Level für die gesamte Sicherheitskette ermittelt. Quellen Bilder: K.A. Schmersal GmbH, Wuppertal 5

6 Autor Frank Schmidt, Fachbereichsingenieur Sicherheitstechnik K.A. Schmersal GmbH Möddinghofe 30 D Wuppertal Tel.: +49 (0) 2 02 / Fax: +49 (0) 2 02 / Internet: 6