Aktuelle Entwicklungen im Rahmen der Maintenance der IEC 61511

Transkript

1 Aktuelle Entwicklungen im Rahmen der Maintenance der IEC Dr.-Ing. Bernd Schrörs b130218_01

2 Neuerungen / Änderungen bei IEC Inhalt Überblick Planung Betrieb Vorläufige Einschätzung aus Anwendersicht Ausblick Page 2

3 Überblick Historie 1998 IEC IEC Ed IEC Alte Welt Neue Welt Deutschland bis 2005 Schutzeinrichtungen basierend auf determenistischen Modellen Deutschland ab 2005 PLT-Schutzeinrichtungen basierend auf probabilistischen Modellen Page 3

4 Überblick Vorherrschender Fokus in der letzten Dekade Robuster Prozess Robustes Design Page 4

5 Überblick Konsequente Weiterentwicklung des Standards Beseitigung von Widersprüchen Einfluss der IEC Ed.2 Erfahrungen der letzten zehn Jahre Berücksichtigung neuer technologischer Entwicklungen Einfache und praktische Anwendbarkeit IEC Komitee zur Überarbeitung System Team Applikationsprogramm Team Sicherheitshandbuch Team Teil 3 Team Redaktionsteam Page 5

6 Überblick MT Mitglieder Page 6

7 Überblick Wesentliche Änderungen (1/3) Definitionen ergänzt und angepasst Optimierte Fehlerdefinitionen, insb. mit Fokus auf systematische Fehler Abgrenzung der Betriebsbewährung nach IEC von IEC Neu: Typ A + B Geräte Neu: Systematic capability Neu: 3 Betriebsarten Alle Lebenszyklus-Anforderungen (HW+SW) sind in Abschnitt 6 zusammengeführt Anforderungen an Tests und Testplanung erweitert Anforderungen an Risikoanalyse für Security formuliert SIL4-Anforderungen überarbeitet und erweitert Page 7

8 Überblick Wesentliche Änderungen (2/3) Spezifikation von Schutzeinrichtungen erweitert um Anforderungen an Applikationssoftware Wiederholungsprüfungen Planung, Installation und Inbetriebnahme von PLT-Schutzeinrichtungen Systeme müssen gegen Security-Risiken abgesichert sein Manuelle Aktionen zur Aufrechterhaltung der Sicherheit sind Teil der Schutzeinrichtung HFT: Einfache Zuordnung des Redundanzgrades zum SIL bei Typ A Geräten Stärkerer Fokus auf betriebsbewährte Geräte bevorzugte Geräteart Auswahl von Geräten und Anforderungen an Betriebsbewährung spezifiziert Änderungsmanagement und Sicherheitshandbuch für betriebsbewährte Geräte Page 8

9 Überblick Wesentliche Änderungen (3/3) Anforderungen an quantitative SIL Verifizierung überarbeitet Fehlerraten vorzugsweise aus betrieblichen Erfahrungen Datenerhebung durch Endanwender Wirksamkeit der Wiederholungsprüfung zur Fehleraufdeckung beachten Abschnitt zur Applikationssoftware ist komplett überarbeitet worden Software Engineering! Anforderungen an Betrieb und Instandhaltung präzisiert und erweitert Wartungsplan mit Beachtung des Lebenszyklus Anforderungen an Überbrückung von PLT-Schutzeinrichtungen Page 9

10 Planung Verbesserte Sicherheitsspezifikation Die Sicherheitsanforderungen an das Applikationsprogramm sind jetzt Bestandteil der allgemeinen Spezifikation einer Sicherheitsfunktion Funktion Kapazität und Reaktionszeit Watchdogs im Applikationsprogramm Überprüfung der Datenbereiche Überwachung und automatische Tests von Feldgeräten Kommunikationsschnittstellen Page 11

11 Planung Prior Use vs. Proven In Use IEC Prior Use Anwender Hauptfokus auf Prozess und Prozessanschluss Mehrere Anwendungen mit ähnlichen Anforderungen und Umgebungsbedingungen Firmen- oder betriebsspezifische Auswahl von Geräten IEC Proven In Use Hersteller, Lieferant Hauptfokus auf Elektronik und Software Weitestgehend unabhängig von der Applikation Page 12

12 Planung Anforderungen an die Betriebsbewährung Eignungsnachweise (Informationen über Betriebsbewährung) müssen immer dokumentiert werden Funktionalität und Integrität des installierten Gerätes einschließlich des Prozessanschlusses, der Kommunikationsschnittstellen und Hilfsenergien Geräteverhalten unter ähnlichen Einsatzbedingungen Es muss ein Sicherheitshandbuch vorliegen, in dem die Randbedingungen für den Einsatz, die Instandhaltung und die Fehleraufdeckung (Prüfung) beschrieben sind. Eine installierte Basis mit mind Betriebsstunden in unterschiedlichen Anwendungen wird empfohlen. Dies erlaubt ausreichend Zeit für die Aufdeckung von frühen Fehlern. Bei einer ausreichenden Anzahl von Betriebsstunden können Fehlerraten abgeschätzt werden. Betriebsbewährte Geräte müssen einem Änderungsmanagement unterliegen. Wesentliches Ergebnis der Betriebsbewährung ist der Nachweis, dass keine gefährlichen systematischen Fehler im und beim Einsatz des Gerätes vorhanden sind Page 13

13 Planung Anforderungen an Fehlerraten Fehlerraten müssen belastbar, dokumentiert und nachvollziehbar sein Fehlerraten sollten auf Felderfahrung vergleichbarer Geräte und ähnlicher Einsatzbedingungen basieren o Expertenmeinungen können bei nicht ausreichenden Daten oder unterschiedlichen Einsatzbedingungen genutzt werden. Endanwender sind aufgerufen Felddaten zu erfassen. o Betriebsanweisung notwendig! Unsicherheiten in den Fehlerraten sollen untersucht und bei der Berechnung der sicherheitstechnischen Unverfügbarkeit beachtet werden Konfidenzintervall 70% Page 14

14 Planung Unterschiedliche Geräteklassen 2 Geräteklassen: Typ A und Typ B zur IEC abgegrenzt IEC Definition eines Typ A Gerätes deckt auch Feldgeräte ab Zusätzlich und abweichend zur IEC 61508: Ein Gerät, welches auch Software/Firmenware enthält (mit Ausnahme von programmierbaren Systemen) kann als Typ A Gerät betrachtet werden, wenn Folgendes zutrifft o o o die Hardware des Gerätes wurde auf Basis einer früheren Verwendung ausgewählt das Gerät ermöglicht nur die Einstellung prozessbezogener Parameter, z. B. Messbereich, Signalrichtung im Fehlerfall die Einstellung der prozessbezogenen Parameter des Gerätes ist geschützt, z. B. über eine Brücke oder ein Passwort o die Funktion hat einen geforderten Sicherheits-Integritätslevel von weniger als 4. Feldgeräte und nicht programmierbare Systeme sind typischerweise als Typ A Geräte klassifiziert Page 15

15 Planung HFT Anforderungen vereinfacht Minimal geforderte HFT für Typ A Geräte SIL (low demand mode) 2 (high demand mode) 3 4 Wenn eine Schutzeinrichtung in unabhängige Teilsysteme aufgeteilt werden kann, dann können die HFT Anforderungen auch auf die Teilsysteme angewendet werden. Bei der Beurteilung der HFT können bestimmte Fehler ausgeschlossen werden, wenn gezeigt werden kann, dass deren Auftreten sehr gering in Relation zu den geforderten Sicherheitsintegritätsanforderungen ist. Jeder Ausschluss muss begründet und dokumentiert werden. Page 16

16 Planung Entwicklung von Anwenderprogrammen SIS safety requirements specification SIS safety validation Validated SIS Endanwender Application program safety requirements specification Application program integration testing Sub-system architecture Application program architecture design Application program development Application program testing Programmierer Output Verification Application module development Application module testing Code development and test FVL only See IEC , SSPS Hersteller/Lieferant Page 17

17 Planung Angepasste Software Engineering Methoden Viel stärkere praktische Orientierung, wesentlich kompakter Software Engineering Methoden sind berücksichtigt Techniken für die Programmerstellung sind für alle SIL gleich Softwarearchitektur und Verifikationsumfang können für jeden SIL variieren Anforderungen an Konfigurationsmanagement und Versionskontrolle Nachverfolgbarkeit muss sicher gestellt sein IEC unterstützt Fixed Program Languages (FPL) oder Limited Variability Languages (LVL) aber nicht Full Variability Language (FVL) und befasst sich nicht mit SIL4 Applikationssoftware Page 18

18 Planung Neue Anforderungen an die IT-Sicherheit Für das sicherheitstechnische System und die zugehörigen Geräte muss eine Risikobeurteilung hinsichtlich der IT-Sicherheit durchgeführt werden. Diese muss ergeben: eine Beschreibung der Geräte, die durch diese Risikobeurteilung abgedeckt werden (z. B. sicherheitstechnisches System, Betriebs- und Überwachungseinrichtungen oder jedes andere Gerät, das mit dem sicherheitstechnischen System verbunden ist) eine Beschreibung aller festgestellten Bedrohungen, die möglicherweise Schwachstellen ausnutzen und zu IT- Sicherheits-Vorfällen führen können (einschließlich absichtlicher Angriffe auf die Hardware und zugehöriger Software sowie unbeabsichtigter irrtümlicher Angriffe) eine Beschreibung der möglichen Auswirkungen eines IT-Sicherheitsereignisses und die Wahrscheinlichkeit dessen Auftretens Berücksichtigung verschiedener Phasen wie Entwurf, Betrieb und Instandhaltung die Feststellung von Anforderungen zur weiteren Verminderung des Risikos eine Beschreibung der zur Beseitigung oder Verminderung der Bedrohung getroffenen Maßnahmen oder eine Verweisung auf Informationen hierüber Anleitungen zur SIS-Security ist in IEC , Anhang L enthalten Bisher war das Thema Security nicht im Umfang der IEC Jetzt ist es Teil der IEC Anforderungen auf hohem Niveau, keine detaillierten Anforderungen. Page 20

19 Betrieb Testanforderungen als Teil der Spezifikation Anforderungen an Prüfanweisungen sind Teil der Sicherheitsspezifikation Test Umfang Test Dauer Zustand des getesteten Gerätes während des Tests (off-line/on-line) Zustand des Prozesses während des Tests Aufdeckung von Fehlern gemeinsamer Ursache Methoden und Verfahren zur Überprüfung der Diagnosefunktionen Vermeidung von Fehlern (z.b. Schutzeinrichtung bleibt nach dem Test vollständig isoliert). Beim quantitativen Nachweis der Hardwaresicherheitsintegrität (PFD avg ) muss zukünftig der Fehleraufdeckungsgrad des manuellen Tests (PTC), das Testverfahren sowie die Zuverlässigkleit der Testeinrichtungen beachtet werden. Page 21

20 Betrieb Alarme und Bediener-Aktionen Geeignete Maßnahmen nach Entdeckung eines Fehlers, um den sicheren Prozess- Zustand wiederherzustellen oder aufrecht zu erhalten, sollten in den Sicherheitsanforderung (SRS) spezifiziert werden. Hängt die Maßnahme davon ab, dass ein Bediener als Reaktion auf einen Alarm besondere Aktionen einleitet (z. B. das Öffnen oder Schließen eines Ventils), dann ist dieser Alarm als Bestandteil des sicherheitstechnischen Systems anzusehen (d. h. unabhängig vom BPCS) Hängt die Maßnahme davon ab, dass ein Bediener die Instandhaltung mit einer Reparatur beauftragt, dann kann dieser Alarm zwar Teil des BPCS sein, muss aber einer geeigneten Funktionsprüfung und einem Änderungsmanagement unterliegen, und der Diagnosedeckungsgrad des Diagnosealarms muss auf 90% begrenzt sein Wenn die Reparatur nicht während des mittleren Zeitraums für die Wiederherstellung (MTTR) durchgeführt werden kann, welcher bei der Berechnung der Wahrscheinlichkeit für zufällige Hardware-Ausfälle zugrunde gelegt wurde, dann muss durch geeignete Maßnahmen der sichere Prozess-Zustand hergestellt oder aufrechterhalten werden Page 22

21 Betrieb Anforderungen an Betreiben und Instandhaltung Überlegungen zum SIS Lebenszyklus Ein ausführlicher Instandhaltungsplan muss für das SIS vorbereitet sein. Zur Vorhaltung von Ersatzteilen. Zur Durchführung von Instandhaltungs-Analysen (z.b. Zeit zwischen Gerätefehlern, Zeit für die Gerätereparatur) Zur Festlegung der Prüffristen. Zur Festlegung der Zeitpunkte für Upgrades, Modernisierung und Austauschs der Hardware. Zur Festlegung der Zeitpunkte Update, Backup und Wiederherstellung der Software Bedienungs- und Instandhaltungsprozeduren müssen vorhanden, sein wie z.b.: zur Sicherstellung der Qualität und Kontinuität der Prüfung, um eine angemessenen Überprüfung nach Austausch jeglicher Geräte sicherzustellen. zur Überprüfung von Aufschub und signifikanter Verzögerung der Prüfung zur Beschreibung der Methoden und Prozeduren, die gebraucht werden, um die Diagnostik zu prüfen; für die Datensammlung Page 23

22 Betrieb Anforderungen für Überbrückungen Ein Weiterbetrieb einer Anlage mit überbrückten Schutzeinrichtungen (Reparatur oder Test) ist nur erlaubt, wenn eine Risikoanalyse durchgeführt wurde, die nachweist, dass mit anderen Maßnahmen eine adäquate Risikoreduzierung erreicht werden kann. Diese Ersatzmaßnahmen sind unter Berücksichtigung der Limits der spezifischen Anlage festzulegen (Dauer, Prozessparameter,...) Es müssen Betriebsanweisungen für diese Maßnahmen definiert werden. Überbrückungen sowie deren Dauer müssen angezeigt und aufgezeichnet werden. Das Bedienpersonal muss über das Vorgehen vor und während der Überbrückungen informiert sein und es muss klar definiert sein, was vor der Rücknahme der Überbrückung gemacht werden muss. Ebenso muss es über die maximal erlaubte Zeit einer Überbrückung informiert sein. Page 24

23 Vorläufige Einschätzung aus Anwendersicht Viele Anforderungen und Erfahrungen der Endanwender wurden während der Überarbeitung berücksichtigt. Die IEC61511 ist nun praktikabler. Viele Ungereimtheiten wurden beseitigt, allerdings ist der Standard immer noch nicht aus einem Guss Anwendererfahrung wird viel stärker in den Vordergrund gestellt (z. B. Betriebsbewährung) Notwendigkeit von Betriebs- und Handlungsanweisungen wurde erhöht, aber dies ist notwendig um ein funktionales Sicherheitsmanagement zu gewährleisten Notwendigkeit der Sammlung von Zuverlässigkeitsdaten durch den Endanwender Safety vs. Security mehr Erfahrung ist noch notwendig IEC Ed.2 ist eine Evolution, keine Revolution Page 25

24 Ausblick 1998 IEC IEC Ed IEC IEC Ed. 2 CD-Version wurde im 2. Quartal 2012 an die nationalen Komitees zur Kommentierung versendet, Sammlung und Auswertung im 3. Quartal CDV Version für IEC ein Jahr nach der Kommentierung FDIS ist für 2014 vorgesehen Page 26

25 Vielen Dank! Page 27