Anforderungen an moderne Steuerungssysteme für Sicherheitsaufgaben an Maschinen

Transkript

1 Automation Anforderungen an moderne Steuerungssysteme für Sicherheitsaufgaben an Maschinen Anwendung der zukünftigen EN ISO (EN 954-1) und EN IEC 62061

2 1 1 Anwendungsbereiche Die EU-Maschinenrichtlinie verlangt, dass Maschinen sicher sein müssen und fordert als erstes Konstruktionsziel inhärente Sicherheit. Für konstruktiv nicht zu beseitigende Gefahren müssen zusätzliche Schutzeinrichtungen angebracht werden. EN ISO Teile 1 und 2 beschreiben grundlegende Gestaltungsleitsätze und technische Prinzipien, mit denen dieses Ziel erreicht werden kann. Wenn die Sicherheit von Steuerungsfunktionen abhängt, muss die Steuerung so realisiert werden, dass die Wahrscheinlichkeit von Funktionsfehlern ausreichend gering ist. Bei Verwendung programmierbarer elektronischer Systeme ist dazu die Norm IEC zu beachten. EN ISO und EN IEC geben Anleitungen spezifisch für die Sicherheit von Maschinensteuerungen. Konstruktion und Risikobewertung der Maschine ISO Sicherheit von Maschinen Grundbegriffe, allgemeine Gestaltungsleitsätze EN 1050 / ISO Safety of maschinery Principles of risk Assessment Funktionale und Safety Performance Anforderungen für sicherheitsrelevante Steuerung Design und Realisierung sicherheitsrelevanter elektrischer Steuerung Beliebige Architekturen, alle SIL 1-3 (ab PL b) Nur festgelegte Architekturen, eingeschränkter maximaler PL bei Elektronik IEC ISO Sicherheit von Maschinen Sicherheit von Maschinen Sicherheit sicherheitsrelevanter Sicherheitsbezogene elektrischer, elektronischer Teile von und programmierbarer Steuerung elektronischer Steuerungssysteme Elektrische Sicherheitsaspekte IEC Sicherheit von Maschinen Elektrische Ausrüstung von Maschinen Teil 1: Allgemeine Anforderungen

3 Für die möglichen Gefährdungen einer Maschine müssen Risikobewertungen gemäß EN 1050 (zukünftig EN ISO 14121) gemacht werden, um festzustellen, ob ausreichende Sicherheit erreicht ist. Die Anforderungen von EN IEC und EN ISO zur Implementierung sicherheitsrelevanter Steuerungsfunktionen sind entsprechend der Höhe des zu beseitigenden Risikos abgestuft. Die Bemessungsgröße für diese Abstufung ist bei EN IEC (wie in IEC 61508) der Safety Integrity Level (SIL) und bei EN ISO der Performance Level (PL). Performance Level (PL) Performance Average probability SIL level of adangerous [EN (PL) failure per hour [1/h] (IEC )] for information a 10-5 to < 10-4 no special safety requirements b to < c 10-6 to < d 10-7 to < e 10-8 to < NOTE 1 The performance for each hazardous situation in this standard is divided into five levels a to e where the risk reduction contributed by the SRP/CS in a is low and in e is high. NOTE 2 It should be noticed that performance levels b and c together cover only one order of magnitude on the scale of average probability of a dangerous failure per hour (or one step on the SIL scale). Da es bei komplexen Maschinensteuerungen aussichtslos ist, alle Fehler nachträglich herauszuprüfen, verwirklichen diese Normen außerdem den ganzheitlichen Ansatz, die gesamte Entwicklung und Projektierung von sicherheitsgerichteten Steuerungen von vornherein auf Fehlervermeidung auszurichten. Beiden Normen gemeinsam ist auch der probabilistische Ansatz bei der Ermittlung gefährlicher Ausfallraten. Die qualitative Betrachtung nach EN ist für moderne Steuerungen aufgrund deren Technologie nicht ausrei-

4 chend. Die EN berücksichtigt u.a. kein Zeitverhalten (z.b. Testintervall bzw. zyklischer Test, Lebensdauer). Dies führte zu dem probabilistischen Ansatz in IEC 61508, EN IEC und EN ISO (Ausfallwahrscheinlichkeit pro Zeiteinheit). Die Anwendungsbereiche der EN ISO und der EN IEC ähneln sich laut Scope weitgehend. Zur Entscheidungshilfe für den Anwender haben deshalb die IECund ISO-Gremien die Anwendungsbereiche beider Normen in einer gemeinsamen Tabelle in der Einleitung der Normen präzisiert. Je nach Technologie (Mechanik, Hydraulik, Pneumatik, Elektrik, Elektronik, programmierbare Elektronik), Risikoeinstufung und Architektur wird EN ISO oder EN IEC Anwendung finden. Technologie zur EN ISO EN IEC Ausführung von (rev) sicherheitsrelevanten Steuerungsfunktionen A Nicht-elektrisch z.b. X Nicht abgedeckt Hydraulik, Pneumatik B Elektromechanik z.b. Beschränkt auf vorge- Alle Architek- Relais und/oder sehene Architekturen turen und einfache Elektronik (siehe Anm. 1) und maximal maximal bis PL = e bis SIL 3 C Komplexe Elektronik Beschränkt auf vorge- Alle Architek- (z.b. Programmierbare sehene Architekturen turen und Elektronik)(siehe Anm. 1)und maximal maximal bis PL = d bis SIL 3 D A kombiniert mit B Beschränkt auf vorge- X siehe sehene Architekturen Anmerkung 3 (siehe Anm. 1) und maximal bis PL = e E C kombiniert mit B Beschränkt auf vorge- Alle Architeksehene Architekturen turen und (siehe Anm. 1) und maximal maximal bis PL = d bis SIL 3 F C kombiniert mit A oder X siehe X siehe C kombiniert mit A und B Anmerkung 2 Anmerkung 3 Anmerkung 1: Vorgesehene Architekturen sind im Anhang B der EN ISO beschrieben und geben einen vereinfachten Ansatz für die Quantifizierung Anmerkung 2: Für komplexe Elektronik: Verwendung vorgesehener Architekturen in Übereinstimmung mit der EN ISO bis PL = d oder jede Architektur in Übereinstimmung mit EN IEC Anmerkung 3: Für nicht elektrische Technologien: Verwenden Sie Teile, die der EN ISO (rev) entsprechen, als Subsysteme

5 Die Anwendung einer der beiden Normen reicht grundsätzlich für die Erfüllung der Schutzziele der Maschinenrichtlinie aus EN IEC 62061: Sicherheitsrelevante, elektrische Steuerungen für Maschinen Die EN IEC stellt eine sektorspezifische Norm unterhalb der IEC dar. Sie beschreibt die Realisierung sicherheitsrelevanter elektrischer Steuerungssysteme von Maschinen und betrachtet den gesamten Lebenszyklus von der Konzeptphase bis zur Außerbetriebnahme. Basis bilden quantitative und qualitative Betrachtungen von Sicherheitsfunktionen. Dabei wendet die Norm konsequent ein Top-Down-Verfahren in der Realisierung komplexer Steuerungssysteme, Functional Decomposition genannt, an. Hierbei wird ausgehend von den aus der Risikoanalyse hervorgehenden Sicherheitsfunktionen eine Aufteilung in Teilsicherheitsfunktionen und schließlich eine Zuordnung dieser Teilsicherheitsfunktionen auf reale Geräte, Subsysteme und Subsystemelemente genannt, vorgenommen. Es wird sowohl Hardware als auch Software behandelt. Die EN IEC beschreibt auch Anforderungen an die Realisierung von Applikations-Programmen. Subsystem 1 Subsystemelement 1.1 λ, T1 Subsystemelement 1.2 λ, T1 DC, T2, β Subsystem 1 (Sensor A) SILCL, PFHD, T1 Subsystem 2 (Sensor B) Subsystem 3 (SPS nach IEC 61508) SILCL, PFHD, T1 Subsystem 4 (Aktor) SILCL, PFHD, T1 SILCL, PFHD, T1 SIL 1 Vorbehaltlich der Harmonisierung dieser Normen

6 Ein sicherheitsgerichtetes Steuerungssystem besteht aus verschiedenen Subsystemen. Die Subsysteme sind durch die Kenngrößen (SIL-Eignung und PFH) sicherheitstechnisch beschrieben. Sicherheitstechnische Kenngrößen für Subsysteme: SILCL: SIL-Eignung (en: SIL claim limit) PFHD: Wahrscheinlichkeit gefährlicher Ausfälle pro Stunde (en: probability of dangerous failure per hour) T1: Lebensdauer (en: lifetime) Diese Subsysteme wiederum können aus unterschiedlich verschalteten Subsystemelementen (Geräten) mit den Kenngrößen zur Ermittlung des entsprechenden PFH-Wertes des Subsystems bestehen. Sicherheitstechnische Kenngrößen für Subsystemelemente (Geräte): λ: Ausfallrate (en: failure rate); für verschleißbehaftete Elemente: B10-Wert T1: Lebensdauer (en: lifetime) Bei elektromechanischen Geräten wird die Ausfallrate λ vom Hersteller bezogen auf eine Anzahl Schaltspiele angegeben. Die zeitbezogene Ausfallrate und die Lebensdauer müssen an Hand der Schalthäufigkeit für die jeweilige Anwendung bestimmt werden. Beim Entwurf / Konstruktion festzulegende Parameter für das Subsystem, das aus Subsystemelementen zusammengesetzt wird: T2: Diagnose-Testintervall (en: diagnostic test interval) β: Empfindlichkeit für Fehler gemeinsamer Ursache (en: susceptibility to common cause failure) DC: Diagnosedeckungsgrad (en: diagnostic coverage) Der PFH-Wert der sicherheitsgerichteten Steuerung ermittelt sich aus der Addition der einzelnen PFH-Werte der Subsysteme. Beim Aufbau einer sicherheitsgerichteten Steuerung hat der Anwender folgende Möglichkeiten: Verwendung von Geräten und Subsystemen, die die EN bzw. IEC oder EN IEC bereits erfüllen. Dabei werden in der Norm Angaben gemacht, wie qualifizierte Geräte bei der Realisierung von Sicherheitsfunktionen integriert werden können. Entwicklung eigener Subsysteme. Programmierbar, elektronische Systeme bzw. komplexe Systeme: Anwendung der IEC Einfache Geräte und Subsysteme: Anwendung der EN IEC

7 Angaben zu nicht-elektrischen Systemen sucht der Anwender jedoch vergebens. Die Norm stellt ein umfassendes System für die Realisierung sicherheitsrelevanter elektrischer, elektronischer und programmierbarer elektronischer Steuerungssysteme dar. Für nicht-elektrische Systeme ist die EN / EN ISO anzuwenden. 3 3 EN ISO soll die EN ersetzen und ergänzen Die EN ISO setzt auf den bekannten Kategorien der EN 954-1: 1996 auf. Sie betrachtet nun ebenfalls komplette Sicherheitsfunktionen mit allen an ihrer Ausführung beteiligten Geräte. Mit der EN ISO erfolgt über den qualitativen Ansatz der EN hinaus auch eine quantitative Betrachtung der Sicherheitsfunktionen. Aufbauend auf den Kategorien werden hierfür Performance Level (PL) verwendet. Für Bauteile / Geräte sind folgende sicherheitstechnische Kenngrößen notwendig: Kategorie (strukturelle Anforderung) PL: Performance Level MTTFd: Mittlere Zeit bis zu einem gefährlichen Ausfall (en: mean time to dangerous failure) DC: Diagnose-Deckungsgrad (en: diagnostic coverage) CCF: Fehler gemeinsamer Ursache (en: common cause failure) Die Norm beschreibt die Berechnung des Performance Level (PL) für sicherheitsrelevante Teile von Steuerungen auf Basis vorgesehener Architekturen (designated architectures). Bei Abweichungen hiervon verweist die EN ISO auf die IEC Bei Kombination mehrerer sicherheitsrelevanter Teile zu einem Gesamtsystem macht die Norm Angaben zur Ermittlung des resultierenden PL. Für weitere Hinweise zur Validation verweist die EN ISO auf den Teil 2, der bereits Ende 2003 veröffentlicht wurde. Dieser macht Angaben zur Fehlerbetrachtung, Wartung, technischer Dokumentation und Hinweisen zum Gebrauch.

8 Hinweise: IEC und EN IEC sind auch als EN ratifiziert. EN ISO (rev) liegt als Entwurf vor. Bis zu ihrer Verabschiedung, die für September 2005 angestrebt wird, gilt noch die EN 954-1: ISO IEC CEN CENELEC DKE DIN International Organization for Standardization Internationale Organisation für Standardisierung International Electrotechnical Commission Internationale Elektrotechnische Kommission European Committee for Standardisation (Comité Européen de Normalisation) Europäisches Komitee für Normung European Committee for Electrotechnical Standardization Comité Européen de Normalisation en ÉLECtronique Deutsche Kommission Elektrotechnik und Elektronik Deutsches Institut für Normung Kontakt: ZVEI - Zentralverband Elektrotechnik- und Elektronikindustrie e. V. Fachverband Automation Technischer Ausschuss Sicherheitssysteme in der Automation Gunther Bernd Stresemannallee Frankfurt am Main Fon: Fax: Mail: bernd@zvei.org November 2004 TROTZ GRÖSSTER SORGFALT KEINE HAFTUNG FÜR DEN INHALT