FUNKTIONALE SICHERHEIT VON ELEKTRISCHEN ANLAGEN IN INDUSTRIELLEN BETRIEBSSTÄTTEN VON OTTO WALCH

Transkript

1 FUNKTIONALE SICHERHEIT VON ELEKTRISCHEN ANLAGEN IN INDUSTRIELLEN BETRIEBSSTÄTTEN VON OTTO WALCH Der störungsfreie und sichere Betrieb von industriellen Anlagen ist von großer Bedeutung, sowohl für die Sicherheit der Anlagen und des Personals als auch für den wirtschaftlichen Erfolg eines Unternehmens. Negative Einflüsse auf den Betrieb können vielfältig sein, z.b.: _ Störung oder Ausfälle in einem Prozessleitsystem _ Netzausfall _ Heißlaufen von Maschinenlagern _ Gefährlicher Hochlauf der Temperatur in einem Behälter _ Versagen eines NotAusschalters Zur Vermeidung daraus entstehender Folgeschäden wurde innerhalb der Elektrotechnik der Begriff Funktionale Sicherheit" eingeführt. Die Funktionale Sicherheit unterliegt einer Wahrscheinlichkeitsbetrachtung für jedes einzelne Gerät bzw. eine komplette Anlage, denn Fehler sind im Vorhinein nicht feststellbar. Sie hängen sowohl von der Qualität der Geräte und Anlagen, als auch von den Einsatz, Betriebs und Umgebungsbedingungen ab. Auf Grund der dadurch bestehenden Vielfalt der zu beachtenden Details zur Erfüllung der Funktionssicherheit sind deshalb anwendungsspezifische Richtlinien und Normen aufgestellt worden, von denen die hier wichtigsten nachstehend aufgeführt sind: DIN EN Funktionale Sicherheit sicherheitsbezogener elektrischer/ elektronischer/programmierbarer elektronischer Systeme; Teil 1 bis Teil 7 DIN EN Funktionale Sicherheit Sicherheitstechnische Systeme für die Prozessindustrie; Teil 1 bis Teil 3 DIN EN ISO Sicherheitsbezogene Teile von Steuerungen; Teil 1 bis Teil 3 DIN EN Funktionale Sicherheit sicherheitsbezogener elektrischer, elektronischer und programmierbarer elektronischer Steuerungssysteme DIN EN Sicherheitseinrichtungen für den sicheren Betrieb von Geräten im Hinblick auf Explosionsgefahren Neben diesen aufgeführten Normen gibt es noch weitere Normen und Abhandlungen zum Thema Einsatz der Sicherheitseinrichtungen". Beispielhaft werden Richtlinien für den Einsatz von Sicherheitseinrichtungen in Fahrzeugen, in Atomkraftwerken oder in Bahnanwendungen genannt. 40 EXZEITSCHRIFT 2014

2 FUNKTIONALE SICHERHEIT VON ELEKTRISCHEN ANLAGEN IN INDUSTRIELLEN BETRIEBSSTÄTTEN SICHERHEITS INTEGRITÄTS LEVEL WAHRSCHEIN LICHKEIT EINES AUSFALLS BEI ANFORDERUNG PFDWERT RATE GEFAHR BRINGENDER AUSFÄLLE DER SICHERHEITS FUNKTION (H 1) PFHWERT RISIKO REDUZIERUNG UM FAKTOR SIL 4 >= bis < bis SIL 3. >=10 4 bis < bis < bis SIL 2 >=10 3 bis < bis < bis 100 SIL 1 >=10 2 bis < bis < bis 10 TABELLE 1 Klassifizierung der SILWerte nach Wahrscheinlichkeit und Häufigkeit Gefahr bringender Ausfälle DIN EN Diese Norm ist eine Grundnorm für die Sicherheitsbetrachtungen. Aus ihr stammt die SIL Klassifizierung. SIL steht für Safety Integrity Level. In dieser Norm wird der SILWert definiert und in vier Stufen unterteilt. Die hier vorgegebene Ermittlung des SILWertes gilt für das komplette Sicherheitssystem. Deshalb müssen für die SILErmittlung des Sicherheitssystems die Daten aller Komponenten, aus denen der Sicherheitskreis besteht, vorhanden sein. Gegenstand zur Erhöhung der Funktionalen Sicherheit sind z.b. RedundanzBauteile oder Kreise sowie der Einsatz von Grenzwertgebern, die beim Ausfall von Reglern ansprechen. Die Norm gilt insbesondere für die Anwender von Sicherheitssystemen in der Prozessindustrie. In dieser Abhandlung wird hauptsächlich die Ermittlung des SILWertes betrachtet und daher wird auf die DIN EN nicht weiter eingegangen. Wichtig ist, dass neben systematischen und zufälligen Fehlern auch die Fehlertoleranz beachtet werden muss, und es werden Maßnahmen vorgegeben, wie die Sicherheitseinrichtungen auszulegen und eingesetzt werden müssen. Diese Maßnahmen müssen immer gleichzeitig ergriffen werden. Auch der Begriff Proven in Use" wird angesprochen. Dieser ist in der Norm DIN EN definiert und sagt aus, dass das verwendete Gerät betriebsbewährt ist. Für viele Komponenten, die in Sicherheitsanwendungen zum Einsatz kommen, waren bei deren Entwicklung die Vorgaben der DIN EN noch nicht bekannt oder wurden nicht beachtet. Auch die für die SILBerechnung notwendigen Werte sind nicht bekannt. Damit diese dennoch eingesetzt werden können, wird in der Norm DIN EN diese Möglichkeit gegeben und der Betreiber muss hierfür die entsprechende Verantwortung übernehmen. Auch die NAMUR (NormenAusschuss Mess und Regelungstechnik)Empfehlung NE 130, in der diese Vorgaben der DIN EN konkretisiert werden, muss in diesem Zusammenhang erwähnt werden. Die Klassifizierung (Ermittlung des SILWertes) der Sicherheitseinrichtung erfolgt nach TABELLE 1. Als Unterscheidungsmerkmal, welcher Wert zu verwenden ist, dient die Anforderungsrate. Im Low Demand Mode (Anforderung an die Sicherheitseinrichtung maximal einmal pro Jahr) muss der PFDWert (probability failure on demand) verwendet werden, im High Demand oder Continuous Mode dagegen der PFHWert (probability failure per hour). Für die Klassifizierung müssen auch noch folgende Informationen und Tabellen betrachtet werden. Zunächst muss die Sicherheitseinrichtung in Typ A oder Typ B eingestuft werden. Die Definition für den Typ A sagt aus, dass das Fehlverhalten für alle verwendeten Bauteile definiert sein muss. Sicherheitseinrichtungen, bei denen das Fehlverhalten nicht definiert ist oder deren Funktion von einer Software ab hängt, sind als Typ B zu deklarieren. Abhängig hiervon muss dann TABELLE 2 für Typ A oder TABELLE 3 für Typ B verwendet werden. Der Begriff Safe Failure Fraction (SFF) ist ein Wert, aus dem zu erkennen ist, wie viele der Fehler, bezogen auf die gesamte Anzahl der Fehler, als sichere Fehler anzusehen sind. SFF = 1 unentdeckte, gefährliche Fehler alle Fehler Ein Beispiel: bei einer SFF 99 % müssen mehr als 99 % aller Fehler als sichere Fehler deklariert werden, umgekehrt, maximal 1 % aller Fehler dürfen unentdeckt gefährlich sein. Die Hardware Fehler Toleranz (HFT), auch als Redundanz bekannt, gibt an, wie viele Sicherheitsfunktionen gleichzeitig im Einsatz sind. Beispiel: wenn zwei Sicherheitsfunktionen gleichzeitig im Einsatz sind (HFT = 1), ist die Sicherheitsfunktion noch gewährleistet, wenn eine der beiden ausfällt. In dieser Norm gibt es vorrangig zwei Möglichkeiten, die Sicherheitskennwerte für eine Sicherheitseinrichtung zu ermitteln. Eine ist die Entwicklung mit dem kompletten Lebenszyklus der Sicherheitseinrichtung. Die andere Möglichkeit ist die Ermittlung der Werte nach einer FMEDA (FehlerMöglichkeitsEinflußDiagnose Analyse) für bereits bestehende und in Sicherheitsanwendungen verwendete Produkte. è EXZEITSCHRIFT

3 SAFE FAILURE FRACTION (SFF) HARDWARE FEHLER TOLERANZ (HFT) < 60% SIL 1 SIL 2 SIL 3 60% < 90% SIL 2 SIL 3 SIL 4 90% < 99% SIL 3 SIL 4 SIL 4 99% SIL 3 SIL 4 SIL 4 TABELLE 2 Typ A: SILWerte als Funktion der SFF und der HFT für den Typ A SAFE FAILURE FRACTION (SFF) HARDWARE FEHLER TOLERANZ (HFT) < 60% Nicht erlaubt SIL 1 SIL 2 60% < 90% SIL 1 SIL 2 SIL 3 90% < 99% SIL 2 SIL 3 SIL 4 99% SIL 3 SIL 4 SIL 4 TABELLE 3 Typ B: SILWerte als Funktion der SFF und der HFT für den Typ B Der Lebenszyklus einer Sicherheitseinrichtung beginnt beim Konzept und endet über die Gefährdungsanalyse, der Ermittlung der Sicherheitsanforderungen, der Entwicklung, der Realisierung, dem Betrieb der Sicherheitssysteme mit den Außerbetriebnahmen. Hieraus ist zu erkennen, dass diese Norm vorrangig für Hersteller von Sicherheitssystemen bzw. deren Komponenten angewendet werden muss. Weiterhin müssen folgende Werte des Sicherheitskreises definiert werden: _ eine eindeutige Sicherheitsfunktion _ der sichere Zustand des Systems (Fail Safe) und _ der gefährliche Zustand des Systems (Fail Dangerous) Ein Beispiel für den Fail Safe Zustand ist die Abschaltung der elektrischen Energie eines explosionsgeschützten elektrischen Betriebsmittels, die zu einer überhöhten Oberflächentemperatur im Fehlerfalle führen würde. Ein Beispiel für den Fail Dangerous Zustand ist, wenn eine Niveauüberwachung im Fehlerfalle die Zufuhr des Mediums nicht abschaltet und dadurch zu einem Überfüllen des zu überwachenden Behälters führen würde. Auf eine Betrachtung aller weiteren in der Norm aufgeführten Werte wird nicht eingegangen. DIN EN Diese Norm gilt für die Maschinenindustrie. Auch hier wird der SILWert, wie in den Normenreihen DIN EN 61508, verwendet. Der Lebenszyklus in dieser Norm ist wie der in der DIN EN definiert, allerdings endet er in dieser Norm bei der Modifikation der verwendeten Komponenten. Bei der DIN EN wird alles, bis hin zur Außerbetriebnahme der Sicherheitseinrichtung, als Lebenszyklus betrachtet. In dieser Norm wird darauf eingegangen, welcher SILWert für die entsprechende Anwendung verwendet werden muss. Diese Vorgabe basiert auf der Risikoabschätzung. Hier wird, abhängig vom Ausmaß des Schadens" und der Wahrscheinlichkeit des Eintritts des Schadens" ermittelt, welchen SILWert die Sicherheitseinrichtung erfüllen muss. è 42 EXZEITSCHRIFT 2014

4 FUNKTIONALE SICHERHEIT VON ELEKTRISCHEN ANLAGEN IN INDUSTRIELLEN BETRIEBSSTÄTTEN SCHWERE KLASSE 3 BIS 4 5 BIS 7 8 BIS BIS UND 15 4 SIL2 SIL 2 SIL 2 SIL 3 SIL 3 3. Andere Maßnahmen SIL 1 SIL 2 SIL 3 2 Andere Maßnahmen SIL 1 SIL 2 1 Andere Maßnahmen SIL 1 TABELLE 4 SILWerte durch die Risikoabschätzung ermittelt PL SIL a kein SIL Wert b SIL 1 c SIL 2 d SIL 3 e SIL 4 TABELLE 5 Vergleich von SIL und PLWerten EXZEITSCHRIFT

5 S1 S2 PL a PL b PL c PL d PL e BILD 1 Risikograph zur Ermittlung des PLWertes DIN EN ISO Das Ausmaß des Schadens, auch Schwere des Schadens, wird in folgende 4 Stufen unterteilt: 1 reversibel 2 durch Medizin reversibel 3 schwer reversibel oder leicht irreversibel 4 sehr schwer oder irreversibel (Tod, ) Die Klasse der Wahrscheinlichkeit oder die Wahrscheinlichkeit des Eintritts des Schadens ist die Summe der folgenden 3 Einzelstufen: _ Vermeidung (P) mit den Werten 15 (wie kann der Schaden vermieden werden) _ Wahrscheinlichkeit (W) mit den Werten 15 (mit welcher Wahrscheinlichkeit tritt der Fehlerfall auf) und _ Häufigkeit / Dauer mit den Werten 25 (wie oft bzw. wie lange tritt der Fehler auf) und kann einen Wert zwischen 4 und 15 annehmen. Mit diesen Werten kann dann der geforderte SILWert aus TABELLE 4 ermittelt werden. Diese Norm gilt ebenfalls für die Maschinenindustrie. Der wesentliche Unterschied zur DIN EN ist, dass anstelle des SILWertes der Performance Level (PL), der in 5 Stufen unterteilt ist, verwendet wird. In dieser Norm ist die Beziehung zwischen dem Performance Level (PL) und dem SicherheitsIntegritätslevel (SIL) aufgeführt (TABEL LE 5). Hier ist zu erkennen, dass der Performance Level c einem SIL 2 Wert entsprechen kann (oder aber auch umgekehrt). Um diese Tabelle aber anwenden zu können, müssen alle Vorgaben der anderen Norm in Betracht gezogen werden. Vorausgesetzt, die vorhandenen Werte wurden normenkonform ermittelt, müssen bei einer Umwandlung von SIL in PL zusätzlich die Forderungen der DIN EN erfüllt werden und bei der Umwandlung von PL in SIL die der DIN EN In dieser Norm werden der Risikograph (BILD 1) und dessen Verwendung definiert. Um mit diesem Risikographen den geforderten PL Wert für die Anwendung zu ermitteln, müssen folgende Werte vorgegeben werden: S: Schwere der Verletzung: S1 = leichte, reversible Verletzungen S2 = schwere Verletzung, Tod F: Häufigkeit oder Dauer der Gefährdungsexposition = selten bis weniger häufig und/oder die Zeit der Gefährdungsexposition ist kurz F2 = häufig bis dauernd und/oder die Zeit der Gefährdungsexposition ist lang P: Möglichkeit zur Vermeidung der Gefährdung oder Begrenzung des Schadens = möglich unter bestimmten Bedingungen = kaum möglich All diese Werte müssen dann in den Risikograph eingesetzt werden, um den geforderten PLWert ermitteln zu können. Sowohl der Risikograph als auch die in der Norm DIN EN beschriebene Risikoabschätzung müssen vom Anwender der Sicherheitseinrichtung vorgenommen werden. 44 EXZEITSCHRIFT 2014

6 FUNKTIONALE SICHERHEIT VON ELEKTRISCHEN ANLAGEN IN INDUSTRIELLEN BETRIEBSSTÄTTEN EXPLOSIONS GEFÄHRDETER BEREICH ZONE 0 ZONE 1 ZONE 2 EUC Fehlertoleranz Sicherheitseinrichtung Fehlertoleranz SILWert O SIL 1 1 SIL 2 0 SIL 1 Kombiniertes System Kategorie TABELLE 6 Forderungen für Sicherheitseinrichtungen nach der SILQualifizierung bzw. nach der Kategorie der Betriebsmittel entsprechend den Explosionsschutzbestimmungen DIN EN In dieser Norm werden die beiden unterschiedlichen Sicherheitsbetrachtungen, zum einen die rechnerische Ermittlung durch die Wahrscheinlichkeit (Funktionale Sicherheit) und zum anderen die vorgegebene Fehlerbetrachtung beim Explosionsschutz angewendet. Der Scope dieser Norm ist, mit einer nach der Funktionalen Sicherheit ausgelegten Sicherheitsüberwachung eine potentielle Zündquelle, z.b. am Lager einer Maschine, zu überwachen und somit die komplette Anwendung für den Einsatz in der entsprechenden Zone zertifizieren zu lassen. Der Begriff Zone ist in der Norm DIN EN definiert und sagt aus, wie hoch die Gefahr der auftretenden explosionsfähigen Atmosphäre ist. In der Zone 0 kann diese explosionsfähige Atmosphäre ständig vorhanden sein, in der Zone 2 dagegen nur selten und kurzzeitig. Diese Norm ist keine neue Zündschutzart (siehe DIN EN ). Sie soll dazu verwendet werden, eine Zündquelle, die nicht mit den klassischen Zündschutzarten überwacht werden kann, mit Hilfe einer Sicherheitsüberwachung mit den entsprechenden Vorgaben zu überwachen. Die genauen Forderungen sind in TABELLE 6 gegeben. Hierzu ein Beispiel: Ein ExGerät ist für die Zone 2 zertifiziert, die Sicherheit ist nur für den Einsatz in dieser Zone gewährleistet. Um die Forderungen einer Zertifizierung für die Zone 1 zu erfüllen, muss die Sicherheit auch bei definierten Fehlerbedingungen gegeben sein. Die Überwachung des Verhaltens bei den Fehlerbedingungen kann durch eine Sicherheitseinrichtung mit einer Fehlertoleranz von 0 und einem SIL 1Wert realisiert werden. Die komplette Kombination (Equipment Under Control = EUC) und die Sicherheitseinrichtung müssen die ExAnforderungen der gewünschten Kategorie erfüllen und von einer unabhängigen Stelle (Notified Body) zertifiziert werden. Diese Norm ist derzeit nur als Europäische Norm gültig. Aktuell wird daran gearbeitet, sie als IEC Norm zu erstellen. FAZIT Der vorliegende Aufsatz zeigt, dass für den sicheren und störungsfreien Betrieb von industriellen Anlagen die Funktionale Sicherheit eine wichtige Rolle spielt. In diesem Zusammenhang müssen für explosionsgefährdete Betriebsstätten zusätzlich die Bau und Errichtungsbestimmungen (in Europa die ATEXRichtlinien) eingehalten werden. AUTOR OTTO WALCH [HEAD OF INTERNATIONAL CERTIFICATION / TEST LABORATORY, R. STAHL SCHALTGERÄTE GMBH, WALDENBURG] LITERATUR DIN EN Funktionale Sicherheit sicherheitsbezogener elektrischer/elektronischer/programmierbarer elektronischer Systeme; Teil 1 bis 7 DIN EN Funktionale Sicherheit Sicherheitstechnische Systeme für die Prozessindustrie; Teil 1 bis 3 DIN EN ISO Sicherheitsbezogene Teile von Steuerungen; Teil 1 bis 3 DIN EN 62061: Funktionale Sicherheit sicherheitsbezogener elektrischer, elektronischer und programmierbarer elektronischer Steuerungssysteme DIN EN 50495: Sicherheitseinrichtungen für den sicheren Betrieb von Geräten im Hinblick auf Explosionsgefahren ATEXRichtlinie 94/9/EG DIN EN Teil 1 ff Bauvorschriften für explosionsgeschützte elektrische Betriebsmittel und Errichtungsvorschriften für explosionsgefährdete Bereiche NE130 (NAMUR) Betriebsbewährte Geräte für PLTSchutzeinrichtungen und vereinfachte SILBerechnung in der Mess und Regelungstechnik EXZEITSCHRIFT