Funktionale Sicherheit

Transkript

1 SA(R) 07.2 SA(R) 16.2/SA(R)Ex 07.2 SA(R)Ex 16.2 SA(R) 07.1 SA(R) 16.1/SA(R)ExC 07.1 SA(R)ExC 16.1 SG(R) 05.1 SG(R) 12.1/SGExC 05.1 SGExC 12.1 mit Stellantriebs-Steuerung AM 01.1/AM 02.1/AMExB 01.1/AMExC 01.1 Ausführung SFC Handbuch Funktionale Sicherheit

2 Inhaltsverzeichnis mit AM 01.1/AM 02.1/AMExB 01.1/AMExC 01.1 HINWEIS zur Verwendung! Dieses Dokument ist nur in Verbindung mit der aktuellen, dem Gerät beiliegenden Betriebsanleitung gültig. Zweck des Dokumentes: Dieses Dokument informiert über die notwendigen Maßnahmen, die für den Einsatz des Gerätes in sicherheitsbezogenen Systemen nach IEC bzw. IEC erforderlich sind. Referenzunterlagen: exida Report No. AUMA 07/07-32 R003 Betriebsanleitung (Montage, Bedienung, Inbetriebnahme) zum Stellantrieb Referenzunterlagen sind erhältlich über Internet: oder direkt bei AUMA (siehe <Adressen>). Inhaltsverzeichnis 1. Terminologie Abkürzungen und Begriffe 2. Anwendung und Gültigkeit Anwendungsbereich 2.2. Normen 2.3. Gültige Gerätetypen 3. Projektierung, Konfiguration und Einsatzbedingungen Projektierung (Antriebsauslegung) 3.2. Konfiguration (Einstellung) 3.3. Einsatzbedingungen (Umweltbedingungen) 4. Sicherheitstechnische Systeme und Sicherheitsfunktionen Sicherheitstechnisches System mit einem Stellantrieb 4.2. Sicherheitsfunktionen 4.3. Redundanter Systemaufbau 5. Installation, Inbetriebnahme und Betrieb Installation 5.2. Inbetriebnahme 5.3. Betrieb 5.4. Lebensdauer 5.5. Außerbetriebsetzung 6. Prüfungen und Wartung Sicherheitseinrichtung überprüfen 6.2. Proof-Test (Überprüfung auf sichere Funktion des Antriebs) 6.3. Wartung 7. Sicherheitstechnische Kennzahlen Bestimmung der Kennzahlen 7.2. Spezifische Kennzahlen für die Steuerung AM 01.1/AM 02.1 in Ausführung SFC mit Stellantrieben der Baureihe SA Spezifische Kennzahlen für die Steuerung AM 01.1/AM 02.1 in Ausführung SFC mit Stellantrieben der Baureihe SA.2 Seite

3 mit AM 01.1/AM 02.1/AMExB 01.1/AMExC 01.1 Inhaltsverzeichnis 8. SIL-Konformitätserklärung (Beispiel)... Stichwortverzeichnis... Adressen

4 Terminologie mit AM 01.1/AM 02.1/AMExB 01.1/AMExC Terminologie Informationsquellen IEC , Funktionale Sicherheit sicherheitsbezogener elektrischer/elektronischer/programmierbarer elektronischer Systeme Teil 4: Begriffe und Abkürzungen IEC , Funktionale Sicherheit Sicherheitstechnische Systeme für die Prozessindustrie Teil 1: Allgemeines, Begriffe, Anforderungen an Systeme, Software und Hardware 1.1. Abkürzungen und Begriffe Für die Bewertung der Sicherheitsfunktionen werden in erster Linie die Lambda-Werte bzw. der PFD-Wert (Probability of Dangerous Failure on Demand) und der SFF-Wert (Safe Failure Fraction) benötigt. Zur Bewertung der Einzelkomponenten sind weitere Kennzahlen notwendig. In nachfolgender Tabelle werden diese kurz erläutert. Tabelle 1: Abkürzungen Sicherheitstechnische Kennzahlen Kennzahl λ S λ D λ DU λ DD DC MTBF SFF PFD avg HFT T proof Englisch Lambda Safe Lambda Dangerous Lambda Dangerous Undetected Lambda Dangerous Detected Diagnostic Coverage Mean Time Between Failures Safe Failure Fraction Average Probability of dangerous Failure on Demand Hardware Failure Tolerance Proof test interval Beschreibung Anzahl der sicheren Ausfälle Anzahl der gefährlichen Ausfälle Anzahl der unentdeckten gefährlichen Ausfälle Anzahl der entdeckten gefährlichen Ausfälle Diagnosedeckungsgrad - Verhältnis der Ausfallrate der durch Diagnosetests erkannten gefährlichen Fehler zur Gesamtrate gefährlicher Fehler der Komponente oder des Teilsystems. Der Diagnosedeckungsgrad beinhaltet keine bei Wiederholungsprüfungen (proof tests) festgestellten Fehler Mittlere Zeit zwischen dem Auftreten von zwei aufeinander folgenden Fehlern Anteil ungefährlicher sowie detektierbarer gefährlicher Ausfälle Mittlere Wahrscheinlichkeit gefahrbringender Ausfälle einer Sicherheitsfunktion im Anforderungsfall Fähigkeit einer Funktionseinheit, eine geforderte Funktion bei Bestehen von Fehlern oder Abweichungen weiter auszuführen. Eine HFT = n bedeutet, dass die Funktion bei bis zu n gleichzeitig auftretenden Fehlern noch sicher ausgeführt werden kann. Intervall für Wiederholungsprüfung SIL Sicherheitsfunktion Sicherheitstechnische Funktion (SIF) Sicherheitstechnisches System (SIS) Sicherheits-Integritätslevel (Safety Integrity Level). Die internationale Norm IEC definiert 4 Level (SIL 1 bis SIL 4). Funktion, die von einem SIS oder einem sicherheitsbezogenen System zur Risikominderung ausgeführt wird, mit dem Ziel, im Falle eines festgelegten gefährlichen Vorfalls einen sicheren Zustand für die Anlage/Einrichtung zu erreichen oder aufrechtzuerhalten. Funktion mit vorgegebenem Sicherheitsintegritätslevel (SIL), die zum Erreichen der funktionalen Sicherheit notwendig ist. Sicherheitstechnisches System zur Ausführung einer oder mehrerer sicherheitstechnischer Funktionen. Ein SIS besteht aus Sensor(en), Logiksystem und Aktor(en). 4

5 mit AM 01.1/AM 02.1/AMExB 01.1/AMExC 01.1 Terminologie Sicherheitsbezogenes System Wiederholungsprüfung MTTR (Mean Time To Restoration) Ein sicherheitsbezogenes System schließt alles (Hardware, Software, menschliche Faktoren) ein, das zur Ausführung von einer oder mehreren Sicherheitsfunktionen erforderlich ist. Dabei würden Ausfälle der Sicherheitsfunktion eine signifikante Zunahme des Sicherheitsrisikos für Personen und/oder Umwelt bedeuten. Ein sicherheitsbezogenes System kann eine eigenständige Anlage zur Ausführung einer bestimmten Sicherheitsfunktion sein oder in eine andere Anlage integriert sein. Eine wiederkehrende Prüfung zur Aufdeckung von Ausfällen in einem sicherheitsbezogenen System, so dass nötigenfalls das System in einen "Wie-Neu"-Zustand gebracht oder so nah wie unter praktischen Gesichtspunkten möglich an diesen Zustand herangebracht werden kann. Mittlere Zeit bis zur Wiederherstellung nach dem Auftreten eines Fehlers. Diese gibt an, wie lange die Wiederherstellung des Systems im Mittel dauert. Sie ist somit ein wichtiger Parameter für die Systemverfügbarkeit. In dieser Zeit ist auch die Zeit bis zur Entdeckung des Fehlers, das Planen der Aufgaben sowie der Betriebsmittel enthalten. Sie sollte so kurz wie möglich gehalten werden. 5

6 Anwendung und Gültigkeit mit AM 01.1/AM 02.1/AMExB 01.1/AMExC Anwendung und Gültigkeit 2.1. Anwendungsbereich 2.2. Normen 2.3. Gültige Gerätetypen Tabelle 2: Übersicht über die geeigneten Gerätetypen AUMA Stellantriebe und Stellantriebs-Steuerungen mit den in diesem Handbuch genannten Sicherheitsfunktionen sind für die Betätigung von Industriearmaturen bestimmt und eignen sich für den Einsatz in sicherheitstechnischen Systemen nach IEC bzw. IEC Die Stellantriebe und Stellantriebs-Steuerungen erfüllen folgende Anforderungen: IEC :2000: Die sicherheitstechnischen Kennzahlen der beschriebenen Geräte erfüllen die Anforderungen der IEC in entsprechenden SIL bezüglichen Ausfallraten und Architekturanforderungen. Dies bedeutet jedoch nicht, dass alle weiteren Anforderungen der IEC erfüllt werden. Die in diesem Handbuch enthaltenen Angaben zur Funktionalen Sicherheit sind für die hier angegebenen Gerätetypen gültig. Typ Stellantrieb Typ Steuerung Motor Spannungsversorgung Betriebsart Ansteuerung Kennzahlen Tabelle SA 07.1 SA 16.1 SAR 07.1 SAR 16.1 AM 01.1/ AM 02.1 in Ausführung SFC 3 ph AC S2-15 min S2-30 min S4-25 % S4-50 % AUF, ZU ESD AUF/ZU Sicherer STOPP (NOT-Signal) 3 SAEx 07.1 SAEx 16.1 SAREx 07.1 SAREx 16.1 AMExB 01.1/ AMExC 01.1 in Ausführung SFC 3 ph AC S2-15 min S2-30 min S4-25 % S4-50 % AUF, ZU ESD AUF/ZU Sicherer STOPP (NOT-Signal) 3 SA 07.2 SA 16.2 SAR 07.2 SAR 16.2 AM 01.1/ AM 02.1 in Ausführung SFC 3 ph AC S2-15 min S2-30 min S4-25 % S4-50 % AUF, ZU ESD AUF/ZU Sicherer STOPP (NOT-Signal) 4 SAEx 07.2 SAEx 16.2 SAREx 07.2 SAREx 16.2 AMExC 01.1 in Ausführung SFC 3 ph AC S2-15 min S2-30 min S4-25 % S4-50 % AUF, ZU ESD AUF/ZU Sicherer STOPP (NOT-Signal) 4 SG 05.1 SG 12.1 AM 01.1 in Ausführung SFC 3 ph AC 1 ph AC S2-15 min AUF, ZU Sicherer STOPP (NOT-Signal) SGR 05.1 SGR 12.1 AM 01.1 in Ausführung SFC 3 ph AC S4-25 % AUF, ZU Sicherer STOPP (NOT-Signal) SGExC 05.1 SGExC 12.1 AMExC 01.1 in 3 ph AC Ausführung 1 ph AC SFC S2-15 min AUF, ZU Sicherer STOPP (NOT-Signal) Die Hardware, Software und die Konfiguration des Stellantriebs und/oder der Stellantriebs-Steuerung darf ohne schriftliche Zustimmung von AUMA nicht verändert werden. Unauthorisierte Veränderungen können die Sicherheitskennzahlen und die SIL-Fähigkeit der Produkte negativ beeinflussen. 6

7 mit AM 01.1/AM 02.1/AMExB 01.1/AMExC 01.1 Anwendung und Gültigkeit Information In Anwendungen mit Anforderungen zur Funktionalen Sicherheit dürfen nur AUMA Stellantriebs-Steuerungen in Ausführung SFC oder SIL zum Einsatz kommen. Dabei steht SFC für Safety Figure Calculated. Diese Bezeichnung kennzeichnet AUMA Produkte, bei denen sicherheitstechnische Kennzahlen mit Hilfe einer FMEDA aus Felddaten und generischen Daten bestimmt wurden (für Details siehe Kapitel <Bestimmung der Kennzahlen>). AUMA Stellantriebs-Steuerungen in Ausführung SFC sind u.a. daran zu erkennen, dass auf dem Typenschild hinter der Typenbezeichnung die Buchstabenfolge SFC zu finden ist. Bild 1: Beispiel Typenschild mit Kennzeichnung SFC 7

8 Projektierung, Konfiguration und Einsatzbedingungen mit AM 01.1/AM 02.1/AMExB 01.1/AMExC Projektierung, Konfiguration und Einsatzbedingungen 3.1. Projektierung (Antriebsauslegung) Für die Projektierung (Antriebsauslegung) der Stellantriebe werden in erster Linie die benötigten maximalen Drehmomente, Laufmomente und die Stellzeiten berücksichtigt. Falsche Antriebsauslegung kann zu Schäden an den Geräten im sicherheitsbezogenen System führen! Mögliche Folgen sind z.b.: Schäden an der Armatur, Überhitzung des Motors, Verkleben der Schütze, defekte Thyristoren, Erwärmung bzw. Beschädigung von Leitungen. Die technischen Daten der Stellantriebe sind bei der Antriebsauslegung unbedingt zu berücksichtigen. Es muss genügend Reserve eingeplant werden um sicherzustellen, dass die Stellantriebe in der Lage sind, die Armatur auch im Störfall und bei Unterspannungsbedingungen zuverlässig zu Schließen bzw. zu Öffnen. Information Die Abschaltart der NOT Funktion entspricht immer der Abschaltart der normalen, betrieblichen Funktion. Bei der Abschaltart Abschaltung in der Weg-Endlage" findet die Abschaltung in der Endlage über die Wegschalter statt. Da diese Elemente eine unvermeidliche Hysterese haben, verlässt der Antrieb die Endlage minimal bevor die Endlagenmeldung gelöscht wird. Folglich gibt es einen an die Sicherheitsposition angrenzenden Bereich der Stellantriebspositionen, in dem bei Fahren aus der Sicherheitsposition heraus noch die Endlage gemeldet wird, der Antrieb diese aber bereits verlassen hat. In diesem Bereich führt ein Auslösen der ESD Funktion (sicheres SCHLIESSEN oder ÖFFNEN) zum Stillstand des Antriebs. Wird der fragliche Bereich aus der Gegenrichtung erreicht, so besteht die beschriebene Einschränkung nicht. Normalerweise ist dieser Bereich klein, er kann jedoch in ungünstigen Konfigurationen (geringe Anzahl Umdrehungen pro Hub) bis über 10 % des Gesamthubs betragen. Sollte auf Grund ungünstiger Rahmenbedingungen der oben beschriebene Effekt eine für die Sicherheitsfunktion inakzeptable Einschränkung darstellen, so empfehlen wir Stellantrieb und Stellantriebs-Steuerung in der Konfiguration Abschaltung in der Drehmoment-Endlage" zu verwenden Konfiguration (Einstellung) 3.3. Einsatzbedingungen (Umweltbedingungen) Die Konfiguration (Einstellung) der sicherheitsbezogenen Funktionen erfolgt wie in der Betriebsanleitung bzw. wie hier im Handbuch (Funktionale Sicherheit) beschrieben. Bei der Projektierung und beim Einsatz der Stellantriebe in sicherheitstechnischen Systemen ist darauf zu achten, dass die zulässigen Einsatzbedingungen, aber auch die EMV Anforderungen durch die umgebenden Geräte eingehalten werden. Die Einsatzbedingungen sind im technischen Datenblatt angegeben: Schutzart Korrosionsschutz Umgebungstemperatur Schwingungsfestigkeit (Vibration) Wenn die tatsächlichen Umgebungstemperaturen eine höhere durchschnittliche Temperatur als +40 C aufweisen, müssen die Lambdawerte mit einem Sicherheitsfaktor beaufschlagt werden. Bei einer Durchschnittstemperatur von +60 C beträgt dieser Faktor 2,5. 8

9 mit AM 01.1/AM 02.1/AMExB 01.1/AMExC 01.1 Sicherheitstechnische Systeme und Sicherheitsfunktionen 4. Sicherheitstechnische Systeme und Sicherheitsfunktionen 4.1. Sicherheitstechnisches System mit einem Stellantrieb Typischerweise besteht ein sicherheitstechnisches System mit einem Stellantrieb aus den im Bild dargestellten Komponenten. Bild 2: Typisches sicherheitstechnisches System 4.2. Sicherheitsfunktionen [1] Sensoren [2] Steuerung (Standard- und Sicherheits-SPS) [3] Stellantrieb mit Stellantriebs-Steuerung [4] Armatur [5] Prozessleitsystem Der Safety Integrity Level ist immer einem gesamten sicherheitstechnischen System, nicht einer Einzelkomponente zugeordnet. Für eine einzelne Komponente (z.b. einem Stellantrieb) werden sicherheitstechnische Kennzahlen ermittelt. Anhand dieser Kennzahlen können die Geräte dann einem möglichen Safety Integrity Level (SIL) zugeordnet werden. Die endgültige Einstufung des sicherheitstechnischen Systems ergibt sich allerdings erst anhand der Betrachtung und Berechnung aller Teilsysteme. Zur Bestimmung der SIL Kennzahlen muss die Sicherheitsfunktion des Gerätes (Funktion, welche im Notfall ausgeführt werden muss, um die Anlage in einen sicheren Zustand zu fahren) berücksichtigt werden. Für die Stellantriebe wurden zur Berechnung der sicherheitstechnischen Kennzahlen folgende Sicherheitsfunktionen berücksichtigt: 9

10 Sicherheitstechnische Systeme und Sicherheitsfunktionen mit AM 01.1/AM 02.1/AMExB 01.1/AMExC 01.1 ESD Funktion (Emergency Shut Down): sicheres ÖFFNEN/SCHLIESSEN mit Reaktionsüberwachung - Durch ein Signal (Standard: Low Aktiv) fährt der Stellantrieb in die konfigurierte Richtung (AUF/ZU). STOP Funktion: sicherer Stillstand/Stopp - Ein Fahrbefehl (in Richtung AUF oder ZU) wird nur dann ausgeführt, wenn kein STOP-Befehl anliegt Redundanter Systemaufbau Neben dem bereits beschriebenen typischen sicherheitstechnischen System mit einem Stellantrieb kann zur weiteren Erhöhung der Sicherheit auch ein zweiter, redundanter Stellantrieb mit Stellantriebs-Steuerung in das sicherheitstechnische System eingebaut werden. Welche Variante gewählt werden muss ist vom Gesamtsystem abhängig. Bild 3: Redundantes System mit ESD für sicheres SCHLIESSEN Bild 4: Redundantes System mit ESD für sicheres ÖFFNEN 10

11 mit AM 01.1/AM 02.1/AMExB 01.1/AMExC 01.1 Installation, Inbetriebnahme und Betrieb 5. Installation, Inbetriebnahme und Betrieb Information Installation und Inbetriebnahme muss durch einen Montagebericht und ein Abnahmeprüfzeugnis dokumentiert werden. Die Installation und Inbetriebnahme darf nur durch autorisiertes Fachpersonal durchgeführt werden, das in Funktionaler Sicherheit geschult ist Installation Die allgemeine Installation (Montage, Elektroanschluss) muss entsprechend der zum Gerät zugehörigen Betriebsanleitung und dem beigefügten, auftragsbezogenen Schaltplan durchgeführt werden. Bild 5: Beispiel Schaltplan mit Eingängen AUF, ZU und Sammelstörmeldung K9 [1] Eingangssignale AUF und ZU [2] Sammelstörmeldung über Melderelais K9 Bild 6: Beispiel Schaltplan mit ESD Eingang NOT-ZU und Sammelstörmeldung K9 [1] ESD Eingang NOT-ZU [2] Sammelstörmeldung über Melderelais K9 11

12 Installation, Inbetriebnahme und Betrieb mit AM 01.1/AM 02.1/AMExB 01.1/AMExC 01.1 Bei der AUMA MATIC in Ausführung SFC mit ESD Funktion (sicheres ÖFF- NEN/SCHLIESSEN) ist eine Fahrt in die sichere Position über die Eingänge AUF und ZU nur möglich, wenn der Wahlschalter in Stellung Fernbedienung (FERN) steht. Um ein unbefugtes Bedienen des Wahlschalters zu vermeiden, empfehlen wir, den Wahlschalter in Stellung FERN abzuschließen. Die Wegschalter, Drehmomentschalter und Thermoschalter sind aktiv. In diesem Fall kann die Auswertung der Meldung FERN empfehlenswert sein um die Verfügbarkeit der ESD Funktion zu überwachen. Bei der AUMA MATIC in Ausführung SFC mit ESD Funktion (sicheres ÖFF- NEN/SCHLIESSEN) über den ESD Eingang NOT wird der Antrieb bei Anforderung unabhängig von der Wahlschalterstellung in die sichere Position gefahren. Bei der ESD Funktion muss die sichere Position (AUF oder ZU) vorab im Werk eingestellt werden. Bei AUMA Stellantrieben mit der Stellantriebs-Steuerung AUMA MATIC hat das Signal HALT stets Priorität. Dies gilt auch gegenüber dem Eingang NOT. Bei Ansprechen des Thermoschutzes oder der Drehmomentschalter, wird über die Sammelstörmeldung K9 ein Signal gegeben. Diese Fehlermeldung muss in der Sicherheits-SPS unbedingt ausgewertet werden. Im Falle einer Störmeldung ist der Antrieb unverzüglich zu überprüfen und in Stand zu setzen. Die ESD Funktion (sicheres ÖFFNEN/SCHLIESSEN) steht bei Ansprechen des Thermoschutzes oder des Drehmomentschalters nicht zur Verfügung. Für die Ausführung der ESD Funktion (sicheres ÖFFNEN/SCHLIESSEN) muss eine 3-phasige Spannungsversorgung verfügbar sein. Bei Phasenausfall oder Unterspannung wird über das Störmelderelais ebenfalls ein Alarm angezeigt. Die mittlere LED an der Ortssteuerstelle der Stellantriebs-Steuerung AUMA MATIC in Ausführung SFC leuchtet entsprechend der Konfiguration. Information Die Anzeige der Armaturenstellung über ein Potentiometer- oder 4 20 ma Signal ist möglich. Dies ist jedoch nicht Bestandteil der Ermittlung der sicherheitstechnischen Kennzahlen Inbetriebnahme Für die allgemeine Inbetriebnahme muss die zum Gerät zugehörige Betriebsanleitung beachtet werden. Antrieb kann beim Einschalten sofort losfahren! Personenschäden oder Schäden an Armatur möglich. Sicherstellen, dass das Eingangssignal ESD (NOT) entsprechend der Konfiguration beim Einschalten anliegt. Nach der Inbetriebnahme muss eine Überprüfung auf sichere Funktion des Antriebs erfolgen Betrieb 5.4. Lebensdauer Voraussetzung für einen sicheren Betrieb ist die regelmäßige Wartung und die Überprüfung des Gerätes in den vom Anlagenbetreiber festgelegten T proof Intervallen. Für den Betrieb muss die zum Gerät zugehörige Betriebsanleitung beachtet werden. Die Lebensdauer der Stellantriebe ist in den technischen Daten bzw. in der Betriebsanleitung beschrieben. Die sicherheitsrelevanten Kennzahlen gelten für die in den technischen Daten festgelegten Zyklen bzw. Regelschritte und für einen Zeitraum von typischer Weise bis zu 10 Jahren (das zuerst erreichte Kriterium zählt). Danach steigt die Ausfallwahrscheinlichkeit an. 12

13 mit AM 01.1/AM 02.1/AMExB 01.1/AMExC 01.1 Installation, Inbetriebnahme und Betrieb 5.5. Außerbetriebsetzung Falls der Antrieb mit Sicherheitsfunktion außer Betrieb gesetzt wird, muss Folgendes beachtet werden: Der Einfluss der Außerbetriebsetzung auf zugehörige Geräte, Einrichtungen oder andere Arbeiten muss evaluiert werden. Die Sicherheits- und Warnhinweise der zum Stellantrieb gehörenden Betriebsanleitung müssen eingehalten werden. Die Außerbetriebsetzung darf nur durch ausgebildetes Fachpersonal erfolgen. Die Außerbetriebsetzung muss sachgerecht dokumentiert werden. 13

14 Prüfungen und Wartung mit AM 01.1/AM 02.1/AMExB 01.1/AMExC Prüfungen und Wartung Prüfung- und Wartungsarbeiten dürfen nur durch autorisiertes Fachpersonal durchgeführt werden, das in Funktionaler Sicherheit geschult ist. Die Prüfungs- und Wartungsmittel müssen kalibriert sein. Information Die Durchführung einer Prüfung/Wartung muss durch einen Prüf-/Wartungsbericht dokumentiert werden Sicherheitseinrichtung überprüfen Der Einfluss der Prüfung/Wartung auf zugehörige Geräte, Einrichtungen oder andere Arbeiten muss evaluiert werden. Sämtliche Schutzfunktionen in einer Sicherheitseinrichtung müssen in angemessenen Intervallen auf ihre Funktionsfähigkeit und Sicherheit überprüft werden. Die Intervalle für die Überprüfung der Sicherheitseinrichtung muss der Betreiber festlegen. Um systematische Fehler zu vermeiden, muss der Anlagenbetreiber eine Sicherheitsplanung für den gesamten Sicherheitslebenszyklus des SIS vornehmen. Darin sollten z.b. die Politiken und Strategien zum Erreichen der Sicherheit und die verschiedenen Tätigkeiten während des Sicherheitslebenszykluses genannt sein Proof-Test (Überprüfung auf sichere Funktion des Antriebs) Mit dem Proof-Test werden die sicherheitsbezogenen Funktionen des Stellantriebs und der Stellantriebs-Steuerung geprüft. Der Proof-Test soll gefährliche Fehler aufdecken, die sonst bis zum Auslösen einer Sicherheitsfunktion unentdeckt bleiben und dann zu einer Gefahr werden könnten. Zur Prüfung der sicherheitsbezogenen Funktion wird der sicherheitsrelevante Signaleingang ZU/AUF/NOT entsprechend beschaltet. Der Antrieb muss in der Folge die Sicherheitsfunktion ohne Fehlermeldung am Melderelais K9 ausführen. Checkliste zur Überprüfung und Validierung der Sicherheitsfunktionen: Fahrt in Richtung ZU über Eingang ZU wurde durchgeführt? Fahrt in Richtung AUF über Eingang AUF wurde durchgeführt? ESD Eingang NOT (falls vorhanden) über Eingang überprüft? Sammelstörmelderelais (K9) überprüft? Das Sammelstörmelderelais kann über die manuelle Prüfung der Drehmomentschalter mit den Testknöpfen aktiviert werden. Siehe dazu die entsprechenden Kapitel in der Betriebsanleitung. Intervalle: Ein Proof-Test-Intervall beschreibt die Zeit zwischen zwei Proof-Tests. Die Funktionsfähigkeit muss in angemessenen Intervallen überprüft werden. Die Intervalle muss der Betreiber festlegen. In jedem Fall müssen nach der Inbetriebnahme und nach jeder Wartung oder Reparatur, sowie bei den in der Sicherheitsbetrachtung festgelegten T proof Intervallen die sicherheitsrelevanten Funktionen überprüft werden Wartung Wartungs- und Servicearbeiten dürfen nur durch autorisiertes Fachpersonal durchgeführt werden, das in Funktionaler Sicherheit geschult ist. Nach Wartungs- und Servicearbeiten ist zusätzlich zur Funktionsprüfung eine Validierung der Sicherheitsfunktion die mindestens alle unter den Kapiteln <Sicherheitseinrichtung überprüfen> und <Proof-Test (Überprüfung auf sichere Funktion des Antriebs)> beschriebenen Prüfungen enthält unbedingt erforderlich. Falls bei der Wartung ein Fehler festgestellt wird, muss dieser an die AUMA Riester GmbH & Co. KG gemeldet werden. 14

15 mit AM 01.1/AM 02.1/AMExB 01.1/AMExC 01.1 Prüfungen und Wartung Information Bei AUMA Stellantrieben hat der Motorbetrieb Vorrang vor dem Handbetrieb. Das heißt, dass der Antrieb im Anforderungsfall selbstständig in den Motorbetrieb zurückschaltet. Dennoch empfehlen wir, nach Wartungs- oder Servicearbeiten den Motorbetrieb zu aktivieren. 15

16 Sicherheitstechnische Kennzahlen mit AM 01.1/AM 02.1/AMExB 01.1/AMExC Sicherheitstechnische Kennzahlen 7.1. Bestimmung der Kennzahlen Bei der Berechnung der sicherheitstechnischen Kennzahlen wurden die genannten Sicherheitsfunktionen zu Grunde gelegt. Die Bewertung der Hardware erfolgte auf Basis einer Failure Modes, Effects and Diagnostic Analysis (FMEDA). Eine FMEDA ist ein Schritt zur Bewertung der Funktionalen Sicherheit eines Gerätes gemäß IEC Auf Basis der FMEDA werden die Ausfallraten und der Anteil ungefährlicher Ausfälle des Gerätes bestimmt. Die Ausfallquoten für mechanische Teile wurden aus Feldrücklaufdaten und aus der exida Datenbank für mechanische Teile abgeleitet. Die elektronischen Ausfallraten sind die Basisausfallraten aus der SIEMENS- Norm SN Gemäß Tabelle 2 der IEC , liegt der durchschnittliche PFD Wert für Systeme, welche für Low Demand Mode ausgelegt sind, bei: - SIL 1 Sicherheitsfunktionen: 10-2 bis < SIL 2 Sicherheitsfunktionen: 10-3 bis < SIL 3 Sicherheitsfunktionen: 10-4 bis < 10-3 Da Stellantriebe aber nur einen Teil der gesamten Sicherheitsfunktion darstellen, sollte der PFD Wert des Stellantriebes nicht mehr als ca. 25 % des zulässigen Gesamtwertes (PFD avg ) einer Sicherheitsfunktion betragen. Dies ergibt folgende Werte: - PFD Stellantrieb für SIL 1 Anwendungen: 2,50E-02 - PFD Stellantrieb für SIL 2 Anwendungen: 2,50E-03 Die elektrischen Stellantriebe mit Stellantriebs-Steuerung sind als Typ A Komponenten mit einer Hardwarefehlertoleranz von 0 eingestuft. Für das Typ A Teilsystem soll die SFF < 60 % gemäß Tabelle 2 aus IEC für SIL 1 (Teilsysteme mit einer Hardwarefehlertoleranz von 0) sein. Für das Typ A Teilsystem soll die SFF zwischen 60 % und < 90 % gemäß Tabelle 2 der IEC für SIL 2 (Teilsysteme mit einer Hardwarefehlertoleranz von 0) sein. Wie bereits bei der Projektierung erwähnt, ist für die Sicherstellung der Energieversorgung und die daraus resultierenden Berechnungen der Anlagenbetreiber zuständig. Der Anlagenbetreiber ist dafür verantwortlich, Fehler innerhalb der MTTR zu beheben, da ansonsten die Angaben der quantitativen Ergebnisse nicht mehr gültig sind Spezifische Kennzahlen für die Steuerung AM 01.1/AM 02.1 in Ausführung SFC mit Stellantrieben der Baureihe SA.1 Die nachfolgende Kennzahlentabelle zeigt beispielhaft die sicherheitstechnischen Kennzahlen für die verschiedenen Ausführungen. Die sicherheitstechnischen Kennzahlen sind abhängig von der Sicherheitsfunktion. Sie sind zudem variantenbzw. schaltplanspezifisch. Über die relevanten Kennzahlen gibt die jeweilige Herstellererklärung Auskunft. Tabelle 3: Baureihe SA.1 mit Steuerung AM 01.1/AM 02.1 in Ausführung SFC SA 07.1 SA 16.1 / SAR 07.1 SAR 16.1 Schaltplan MSP 1110KC3--F18E1 KMS TP110/001 oder 114/001 Fehlerauswertung durch Sammelstörmelderelais K9 Sicherheitsfunktion ESD ESD mit PVST 1) Referenz λ SAFE λ DD STOP AUMA 07/07-32 R003 AUMA 07/07-32 R003 AUMA 07/07-32 R003 Version V13 Version V14 Version V FIT 290 FIT 681 FIT 634 FIT 1267 FIT 0 FIT λ DU 521 FIT 61 FIT 223 FIT DC D 36 % 91 % 0 % MTBF 72 Jahre 79 Jahre 74 Jahre SFF T Proof = 1 Jahr 65 % PFD avg = 2,28 x % PFD avg = 3,82 x 10 4 PFD avg = 9,75 x

17 mit AM 01.1/AM 02.1/AMExB 01.1/AMExC 01.1 Sicherheitstechnische Kennzahlen SA 07.1 SA 16.1 / SAR 07.1 SAR 16.1 Schaltplan MSP 1110KC3--F18E1 KMS TP110/001 oder 114/001 Fehlerauswertung durch Sammelstörmelderelais K9 Sicherheitsfunktion ESD ESD mit PVST 1) Referenz T Proof = 2 Jahre T Proof = 5 Jahre SIL AC 2) STOP AUMA 07/07-32 R003 AUMA 07/07-32 R003 AUMA 07/07-32 R003 Version V13 Version V14 Version V15 PFD avg = 4,55 x 10 3 PFD avg = 6,87 x 10 4 PFD avg = 1,95 x 10 3 PFD avg = 1,13 x 10 2 SIL2 fähig PFD avg = 1,52 x 10 3 SIL2 fähig PFD avg = 4,86 x ) 2) Partial Valve Stroke Test soll mindestens 10 Mal häufiger durchgeführt werden als die zu erwartende Anforderungsrate. SIL AC bedeutet, dass die errechneten Daten innerhalb der Reihe für die entsprechende SIL liegen, aber bedeutet nicht, dass alle IEC relevanten Bedingungen erfüllt werden Spezifische Kennzahlen für die Steuerung AM 01.1/AM 02.1 in Ausführung SFC mit Stellantrieben der Baureihe SA.2 Die nachfolgende Kennzahlentabelle zeigt beispielhaft die sicherheitstechnischen Kennzahlen für die verschiedenen Ausführungen. Die sicherheitstechnischen Kennzahlen sind abhängig von der Sicherheitsfunktion. Sie sind zudem variantenbzw. schaltplanspezifisch. Über die relevanten Kennzahlen gibt die jeweilige Herstellererklärung Auskunft. Tabelle 4: Baureihe SA.2 mit Steuerung AM 01.1/AM 02.1 in Ausführung SFC SA 07.2 SA 16.2 / SAR 07.2 SAR 16.2 Schaltplan MSP 1110KC3--F18E1 TPA 00R1AB Fehlerauswertung durch Sammelstörmelderelais K9 Sicherheitsfunktion ESD ESD mit PVST 1) Referenz λ SAFE λ DD STOP AUMA 07/07-32 R003 AUMA 07/07-32 R003 AUMA 07/07-32 R003 Version V56 Version V57 Version V FIT 290 FIT 646 FIT 600 FIT 1190 FIT 0 FIT λ DU 472 FIT 46 FIT 219 FIT DC D 38 % 93 % 0 % MTBF 79 Jahre 87 Jahre 81 Jahre SFF T Proof = 1 Jahr T Proof = 2 Jahre T Proof = 5 Jahre SIL AC 2) 66 % PFD avg = 2,06 x 10 3 PFD avg = 4,12 x 10 3 PFD avg = 1,03 x 10 2 SIL2 fähig 96 % PFD avg = 3,09 x 10 4 PFD avg = 5,45 x 10 4 PFD avg = 1,18 x 10 3 SIL2 fähig PFD avg = 9,59 x 10 4 PFD avg = 1,92 x 10 3 PFD avg = 4,78 x ) 2) Partial Valve Stroke Test soll mindestens 10 Mal häufiger durchgeführt werden als die zu erwartende Anforderungsrate. SIL AC bedeutet, dass die errechneten Daten innerhalb der Reihe für die entsprechende SIL liegen, aber bedeutet nicht, dass alle IEC relevanten Bedingungen erfüllt werden. 17

18 SIL-Konformitätserklärung (Beispiel) mit AM 01.1/AM 02.1/AMExB 01.1/AMExC SIL-Konformitätserklärung (Beispiel) 18

19 mit AM 01.1/AM 02.1/AMExB 01.1/AMExC 01.1 SIL-Konformitätserklärung (Beispiel) 19

20 Stichwortverzeichnis mit AM 01.1/AM 02.1/AMExB 01.1/AMExC 01.1 Stichwortverzeichnis A Anteil ungefährlicher Ausfälle 4, 16, 17 (SFF) Antriebsauslegung 8 Anwendungsbereich 6 Ausfallwahrscheinlichkeit 4, 12 Außerbetriebsetzung 13 B Betrieb 12 D DC 4 Diagnosedeckungsgrad 4 E Einsatzbedingungen 8 Einstellung 8 G Gerätetypen 6 S SFF 4 Sicherheitsbezogenes System 5 Sicherheitsfunktion 4 Sicherheitsfunktionen 9 Sicherheitstechnische Funktion 4 (SIF) Sicherheitstechnisches System 9 Sicherheitstechnisches System 4 (SIS) SIL 4 T T proof 4 U Umweltbedingungen 8 W Wartung 14 Wiederholungsprüfung 5, 14 H HFT 4 I Inbetriebnahme 12 Installation 11 Intervall für Wiederholungsprüfung 4 K Kennzahlen 16 Konfiguration 8 Konformitätserklärung 18 L Lambda-Werte 4, 16, 17 Lebensdauer 12 Low Demand Mode 16 M Mittlere Ausfallwahrscheinlichkeit (MTBF) 4 MTBF 4 MTTR (Mean Time To Restoration) 5 N Normen 6 P PFD 4 PFD Stellantrieb 16 Projektierung 8 Proof-Test 14 Prüfungen 14 20

21 AUMA weltweit Europa AUMA Riester GmbH & Co. KG Werk Müllheim DE Müllheim Tel Werk Ostfildern-Nellingen DE Ostfildern Tel Service-Center Bayern DE Eching Tel Service-Center Köln DE Köln Tel Service-Center Magdeburg DE Niederndodeleben Tel AUMA-Armaturenantriebe Ges.m.b.H. AT 2512 Tribuswinkel Tel AUMA BENELUX B.V. B. A. BE 8800 Roeselare Tel ProStream Group Ltd. BG 1632 Sofia Tel [email protected] OOO Dunkan-Privod BY Minsk Tel [email protected] AUMA (Schweiz) AG CH 8965 Berikon Tel [email protected] AUMA Servopohony spol. s.r.o. CZ Brandýs n.l.-st.boleslav Tel [email protected] GRØNBECH & SØNNER A/S DK 2450 København SV Tel [email protected] IBEROPLAN S.A. ES Madrid Tel [email protected] AUMA Finland Oy FI Espoo Tel [email protected] AUMA France S.A.R.L. FR Taverny Cedex Tel [email protected] AUMA ACTUATORS Ltd. GB Clevedon, North Somerset BS21 6TH Tel [email protected] D. G. Bellos & Co. O.E. GR Acharnai, Athens Tel [email protected] APIS CENTAR d. o. o. HR Bestovje Tel [email protected] Fabo Kereskedelmi és Szolgáltató Kft. HU 8800 Nagykanizsa Tel / [email protected] Falkinn HF IS 108 Reykjavik Tel [email protected] AUMA ITALIANA S.r.l. a socio unico IT Cerro Maggiore (MI) Tel [email protected] AUMA BENELUX B.V. LU Leiden (NL) Tel [email protected] NB Engineering Services MT ZBR 08 Zabbar Tel [email protected] AUMA BENELUX B.V. NL 2314 XT Leiden Tel [email protected] SIGUM A. S. NO 1338 Sandvika Tel [email protected] AUMA Polska Sp. z o.o. PL Sosnowiec Tel [email protected] AUMA-LUSA Representative Office, Lda. PT Barcarena Tel [email protected] SAUTECH RO Bucuresti Tel [email protected] OOO PRIWODY AUMA RU Khimki, Moscow region Tel [email protected] OOO PRIWODY AUMA RU Moscow Tel [email protected] ERICHS ARMATUR AB SE Malmö Tel [email protected] ELSO-b, s.r.o. SK Nitra Tel / [email protected] Auma Endüstri Kontrol Sistemleri Limited Sirketi TR Ankara Tel [email protected] AUMA Technology Automations Ltd UA Kiev Tel [email protected] Afrika Solution Technique Contrôle Commande DZ Bir Mourad Rais, Algiers Tel /18 [email protected] A.T.E.C. EG Cairo Tel [email protected] SAMIREG MA Casablanca Tel [email protected] MANZ INCORPORATED LTD. NG Port Harcourt Tel [email protected] 21

22 AUMA weltweit AUMA South Africa (Pty) Ltd. ZA 1560 Springs Tel Amerika AUMA Argentina Rep.Office AR Buenos Aires Tel AUMA Automação do Brazil ltda. BR Sao Paulo Tel TROY-ONTOR Inc. CA L4N 8X1 Barrie, Ontario Tel AUMA Chile Representative Office CL Buin Tel [email protected] Ferrostaal de Colombia Ltda. CO Bogotá D.C. Tel [email protected] Transcontinental Trading Overseas SA. CU Ciudad Habana Tel / [email protected] AUMA Región Andina & Centroamérica EC Quito Tel [email protected] Corsusa International S.A.C. PE Miraflores - Lima Tel / 0044 / 2321 [email protected] Control Technologies Limited TT Marabella, Trinidad, W.I. Tel / AUMA ACTUATORS INC. US PA Canonsburg Tel AUMA (2862) [email protected] Suplibarca VE Maracaibo, Estado, Zulia Tel [email protected] Asien AUMA Actuators UAE Support Office AE 287 Abu Dhabi Tel [email protected] AUMA Actuators Middle East BH Salmabad Tel [email protected] Mikuni (B) Sdn. Bhd. BN KA1189 Kuala Belait Tel / [email protected] AUMA Actuators (China) Co., Ltd. CN Taicang Tel [email protected] PERFECT CONTROLS Ltd. HK Tsuen Wan, Kowloon Tel [email protected] PT. Carakamas Inti Alam ID Jakarta Tel [email protected] AUMA INDIA PRIVATE LIMITED. IN Bangalore Tel [email protected] ITG - Iranians Torque Generator IR Teheran [email protected] Trans-Jordan Electro Mechanical Supplies JO Amman Tel [email protected] AUMA JAPAN Co., Ltd. JP Kawasaki-shi, Kanagawa Tel +81-(0) [email protected] DW Controls Co., Ltd. KR Gasan-dong, GeumChun-Gu,, Seoul Tel [email protected] Al-Arfaj Engineering Co WLL KW Salmiyah Tel [email protected] TOO Armaturny Center KZ Atyrau Tel [email protected] Network Engineering LB JBEIL, Beirut Tel [email protected] AUMA Malaysia Office MY Seremban, Negeri Sembilan Tel [email protected] Mustafa Sultan Science & Industry Co LLC OM Ruwi Tel [email protected] FLOWTORK TECHNOLOGIES CORPORATION PH 1550 Mandaluyong City Tel [email protected] M & C Group of Companies PK Cavalry Ground, Lahore Cantt Tel , [email protected] Petrogulf W.L.L QA Doha Tel [email protected] AUMA Saudi Arabia Support Office SA Al Khobar Tel [email protected] AUMA ACTUATORS (Singapore) Pte Ltd. SG Singapore Tel [email protected] NETWORK ENGINEERING SY Homs [email protected] Sunny Valves and Intertrade Corp. Ltd. TH Yannawa, Bangkok Tel [email protected] Top Advance Enterprises Ltd. TW Jhonghe City, Taipei Hsien (235) Tel [email protected] AUMA Vietnam Hanoi RO VN Hanoi [email protected] Australien BARRON GJM Pty. Ltd. AU NSW 1570 Artarmon Tel [email protected] 22

23 AUMA weltweit 23

24 AUMA Riester GmbH & Co. KG Werk Müllheim Postfach 1362 DE Muellheim Tel Fax Werk Ostfildern-Nellingen Postfach 1151 DE Ostfildern Tel Fax Service-Center Köln DE Köln Tel Fax Y /001/de/1.15 Detaillierte Informationen zu den AUMA Produkten finden Sie im Internet unter: