ida.com Tool centered Safety Design Support excellence in dependable automation Copyrightexida.com 2013 V1R0 Seite 1

Transkript

1 e ida.com excellence in dependable automation Tool centered Safety Design Support Stephan Aschenbrenner exida.com GmbH Tel: Copyrightexida.com 2013 V1R0 Seite 1

2 Independent and neutral Network of Excellence in Safe Automation Development Safety Certification former Development Managers (Siemens Moore ) former TÜV Managers former PLC Safety + Product Managers Instrumentation Engineers (Air Products, Exxon, PDVSA, Honeywell, Siemens, etc.) Application Design + Operation Copyrightexida.com 2013 V1R0 Seite 2

3 Ermittlung von Kennzahlen SIL Berechnung VDE/DKE Kolloquium "Schutzeinrichtungen der Elektrotechnik und funktionale Sicherheit nach IEC (VDE 0803)" Köln 31. Januar 2013 Copyrightexida.com 2013 V1R0 Seite 3

4 Begriffe und Definitionen FMEA FMEDA SFF DC PFD PFH SIL Failure Modes and Effects Analysis Failure Modes, Effects and Diagnostics Analysis Safe Failure Fraction Diagnostic Coverage Probability of Failure on Demand Probability of dangerous Failure per Hour Safety Integrity Level λ Ausfallrate Copyrightexida.com 2013 V1R0 Seite 4

5 Was ist SIL? Berechnetes Prozess Risiko Prozess Änderungen Risiko Andere Risiko reduzierende Maßnahmen Akzeptiertes Risiko Sicherheits- System Copyrightexida.com 2013 V1R0 Seite 5

6 Geforderte Risikoreduzierung RRF (Risiko Reduzierung Faktor) PFD avg (Probability of Failure on Demand = 1/RRF) SIL (Safety Integrity Level) to >=10-5 to < Hohes Risiko 1/RRF = PFD Probability of Failure on Demand to 1000 >=10-4 to < to 100 >=10-3 to < to 10 >=10-2 to < Niedriges Risiko Copyrightexida.com 2013 V1R0 Seite 6

7 um zu vermeiden Copyrightexida.com 2013 V1R0 Page 7

8 Beispiel einer Sicherheitsfunktion Safety (Instrumented) Function Function, which is intended to achieve or maintain a safe state for the process, with respect to a specific hazardous event Transmitter (Power Supply, Ex Barrier) Logic Solver, e.g. PLC Actor + Valve (Driver, Ex Barrier) Copyrightexida.com 2013 V1R0 Page 8

9 Beispiel einer Sicherheitsfunktion SENSOR PART LOGIC SOLVER PART FINAL ELEMENT PART SENSOR SENSOR SENSOR GROUP 1 SENSOR GROUP 2 INTERFACE MODULE INTERFACE MODULE INTERFACE MODULE 1oo1 1oo1 1oo2 LOGIC SOLVER 1oo1 FINAL ELEMENT GROUP 1 2oo2 ACTUATOR ACTUATOR V A L V E V A L V E Copyrightexida.com 2013 V1R0 Seite 9

10 Überblick über eine Sicherheitsfunktion Parameter 1 Sensor Parameter 2 Sensor Sicherheits System Parameter 1 Aktuator Parameter 2 Aktuator 35% 15% 50% (Target reliability guideline.) Copyrightexida.com 2013 V1R0 Seite 10

11 Wie erreicht / berechnet man den SIL? Der erreichte SIL ist das Minimum aus: > Zufällige Ausfälle 1. SIL_PFD/PFH: SIL basierend auf PFDavg / PFH 2. SIL_AC: SIL basierend auf der Architektur 3. SIL_Cap: SIL basierend auf der Geräteeigenschaft > Systematische Ausfälle Copyrightexida.com 2013 V1R0 Seite 11

12 Fall 1: SIL basierend auf PFDavg / PFH Safety Integrity Level SIL 4 SIL 3 SIL 2 SIL 1 Probability of Failure on Demand (Low Demand Mode of Operation) >=10-5 to <10-4 >=10-4 to <10-3 >=10-3 to <10-2 >=10-2 to <10-1 Probability Frequency of Dangerous Hazardous Failure Events per (High Demand Mode + hour Continuous Mode of Operation) >=10-9 1/h to <10-8 1/h >=10-8 1/h to <10-7 1/h >=10-7 1/h to <10-6 1/h >=10-6 1/h to <10-5 1/h Copyrightexida.com 2013 V1R0 Seite 12

13 Fall 2: SIL basierend auf der Architektur TYPE A TYPE B Copyrightexida.com 2013 V1R0 Seite 13

14 Fall 3: SIL-Entwicklungsprozess cmp Safety Lifecycle System Improvement request Requirements «review» Tracking::Customer requirements Independent department SRS «trace» VTS: Test Obj ectiv es VTS: Test spec + test houses Requirements Tracking::Normativ e requirements «confirm» VTS: Testing + Reports Hardware System-FMEA add. diagnostics FMEDA Informal dev eloper test - HW add. diagnostics Improvement request «review» FIT «review» SRS- Attribure HW HDD Circuit diagram, layout,... Prototype HW «update» Safety Concept Software Integration + Fault Insertion Test Spec Integration + Faultt InsertionTest Modification - CCB add. diagnostics SCA MISRA + P2P Rev iew «review» Improvement request «review» Cov erage measurement Instrumented code SRS- Attribure SW SDD Code «update» Informal dev eloper test - SW Mechanics P2P Review Schematics + Description Prototype Mechanics Copyrightexida.com 2013 V1R0 Seite 14

15 Klare Anweisungen Copyrightexida.com 2013 V1R0 Page 15

16 Erfahrenes Personal Copyrightexida.com 2013 V1R0 Page 16

17 Was benötigt man zur Kennzahlenermittlung? IEC SIL PFD / PFH SFF Berechne Berechne λ safe, λ dd, λ du FMEDA Ausfallrate λ, Ausfallarten, Verteilung der Ausfallarten Copyrightexida.com 2013 V1R0 Seite 17

18 Was ist Lambda λ? Der elfte Buchstabe des griechischen Alphabets. Eine Ausfallrate, welche die Wahrscheinlichkeit angibt, dass eine Komponente innerhalb einer bestimmten Zeit ausfällt. Ausfälle pro Stunde (normalerweise: Ausfälle / 10 9 Stunden= FIT). Für die Wahrscheinlichkeitsberechnung geht man von einer konstanten Ausfallrate aus. Die Brauchbarkeitsdauer der Komponenten darf nicht überschritten werden. Die Referenzbedingungen müssen bekannt sein. Copyrightexida.com 2013 V1R0 Seite 18

19 Was muss mit Lambda λ gemacht werden? Die Ausfallrate λ muss in die folgenden klassifizierten Ausfallraten aufgeteilt werden: λ S (Ausfallrate aller sicheren Ausfälle) λ D (Ausfallrate aller gefährlichen Ausfälle) λ DD (Ausfallrate aller gefährlichen aber erkennbaren Ausfälle) λ DU (Ausfallrate aller gefährlichen nicht erkennbaren Ausfälle) Copyrightexida.com 2013 V1R0 Seite 19

20 Wie kommt man zur Ausfallrate Lambda λ? Vom Hersteller eines Teilsystems! Vom Assessor, von der Zertifizierungsstelle! Frage an den Endanwender??? Aus Datenbüchern! Aus der FMEDA! Copyrightexida.com 2013 V1R0 Seite 20

21 Quellen von Ausfallraten SN IEC Ed.1 /TR (auch bekannt als UTE C ) RAC FMD-91 exida Electrical & Mechanical Component Reliability Handbook Bellcore (Telcordia) Normen TR-332 Ausgabe 6 und SR-332 Ausgabe 1 MIL HDBK 217F Copyrightexida.com 2013 V1R0 Seite 21

22 Quellen von Ausfallarten / Verteilungen RAC FMD-91 und RAC FMD-97 MIL HBDK 338B IEC (zukünftig nicht mehr) ISO (nur Ausfallarten) IEC (nur Ausfallarten) EN 298 (nur Ausfallarten) IEC Ed.1 /TR (auch bekannt als UTE C ) exida Electrical & Mechanical Component Reliability Handbook Copyrightexida.com 2013 V1R0 Seite 22

23 Quellen von Ausfallarten / Verteilungen IEC (zukünftig nicht mehr) Copyrightexida.com 2013 V1R0 Seite 23

24 Quellen von Ausfallarten / Verteilungen RAC FMD-91 bzw. MIL HDBK 338B Copyrightexida.com 2013 V1R0 Seite 24

25 Quellen von Ausfallarten / Verteilungen ISO Copyrightexida.com 2013 V1R0 Seite 25

26 Quellen von Ausfallarten / Verteilungen IEC Copyrightexida.com 2013 V1R0 Seite 26

27 Quellen von Ausfallarten / Verteilungen EN 298 Copyrightexida.com 2013 V1R0 Seite 27

28 Was benötigt man zur Kennzahlenermittlung? IEC SIL PFD / PFH SFF Berechne Berechne λ safe, λ dd, λ du FMEDA Ausfallrate λ, Ausfallarten, Verteilung der Ausfallarten Copyrightexida.com 2013 V1R0 Seite 28

29 Spezifikation der Sicherheitsfunktion Was ist zu messen? Was ist die erlaubte Reaktionszeit? Wie oft ist mit der Anforderung der Sicherheitsfunktion zu rechnen? Wie schnell / häufig müssen Diagnosen durchgeführt werden? Was ist der sichere Zustand (Beispiele)? Ausgang wird abgeschaltet Ausgang wird eingeschaltet Ausgangsstrom ist kleiner 2.1mA Ausgangsfrequenz gleich 0Hz Copyrightexida.com 2013 V1R0 Seite 29

30 Sicherer Ausfall (S): Der Ausfall veranlasst das System / Teilsystem / Element, ohne Prozessanforderung in den definierten sicheren Zustand zu gehen. Gefährlicher Ausfall (D): Definition von Begriffen Das System / Teilsystem / Element reagiert nicht auf eine Prozessanforderung (d.h. ist unfähig, in den definierten sicheren Zustand überzugehen). Gefährlicher Erkennbarer Ausfall (DD): Ausfall ist gefährlich, kann aber mittels Diagnosen erkannt werden und das System in den definierten sicheren Zustand überführt werden. Copyrightexida.com 2013 V1R0 Seite 30

31 Failure Modes, Effects and Diagnostics Analysis IEC Table A.1 IEC Tables A.2 A.15 Copyrightexida.com 2013 V1R0 Seite 31

32 Ziele einer FMEDA IEC Tabelle A.1 IEC Tabellen A.2 A.15 IEC Tabelle 2?? PFD = 3.2E-02 ok τ Repair λ du λ dd λ s IEC Tabelle 3 (Type B Komponenten) du dd τ Test s Copyrightexida.com 2013 V1R0 Seite 32

33 FMEDA Beispiel 24V 9V 5V T2 H1 yellow R1 U1 R2 R3 R5 R4 D1 K1 D2 R1 C1 + T1 Copyrightexida.com 2013 V1R0 Seite 33

34 FMEDA Tool Copyrightexida.com 2013 V1R0 Seite 34

35 FMEDA der Mechanik / Sensorik Elektronik Schrauben O-Ring O-Ring Piezo-Element Isolierung Messsonde Bild: VEGA Grieshaber KG Copyrightexida.com 2013 V1R0 Seite 35

36 IEC Part 2 Annex C.1 Calculation of diagnostic coverage and safe failure fraction of a hardware element The analysis used to determine the diagnostic coverage and safe failure fraction shall include all of the components, including electrical, electronic, electromechanical, mechanicaletc, that are necessary to allow the element to process the safety function(s) as required by the E/E/PE safety-related system. All of the possible dangerous modes of failure that will lead to an unsafe state, prevent a safe response when such a response is demanded or otherwise compromise the safety integrity of the E/E/PE safety-related systems, shall be considered for each of the components. Copyrightexida.com 2013 V1R0 Page 36

37 FMEDA der Mechanik / Sensorik 1. Für die Beurteilung der Mechanik / Sensorik sollten nach Möglichkeit eigene Felddaten verwendet werden. 2. Periodisch sollten die Felddaten überprüft und ggf. angepasst werden. Hierzu sollten nach Möglichkeit auch die Erfahrungen der Endanwender berücksichtigt werden. 3. Die Beurteilung der Mechanik / Sensorik muss zusammen mit dem entsprechenden Entwickler durchgeführt werden, da seine Einschätzung wichtig für die Auswahl der entsprechenden Komponente, deren Ausfallrate und deren Fehlerarten und Verteilung ist. Hierzu ist eine Einflussanalyse sehr hilfreich. 4. Felddaten des kompletten Gerätes sollten zur Plausibilisierung der ermittelten Daten aus der FMEDA herangezogen werden. Copyrightexida.com 2013 V1R0 Seite 37

38 FMEDA der Mechanik / Sensorik 5. Die Aufteilung / Unterscheidung zwischen zufälligen und systematischen Ausfällen muss klar in der Datenbank und in den jeweiligen FMEDA Berichten dargestellt werden. exida s Datenbank beinhaltet folgende (zufällige) Ausfälle: Zufälliger Stress bedingt durch die Umgebung Materialausfälle Ausfälle auf Grund unvorhergesehener Änderungen in den Einsatzbedingungen Unbeabsichtigt falsche Anwendung Unbeabsichtigter Missbrauch in der endgültigen Anwendung. Copyrightexida.com 2013 V1R0 Seite 38

39 exida s mechanische Datenbasis Initial database creation process Warranty Failure Data Product λ Expert Opinion Estimate INITIAL MECHANICAL COMPONENT DATABASE Usage Assumptions Based on Expert Opinion Study Function of Each Mechanical Component Failure Mode Database % of λ Due to each Component Initial Failure Modes Draft Component λ s Failure Mode Distribution Copyrightexida.com 2013 V1R0 Seite 39

40 exida s mechanische Datenbasis Mechanical component database update process Field Failure Data Product λ Compare FMEDA Product λ MECHANICAL COMPONENT DATABASE Industry Database Significant Difference? YES Update Component Database NO Finish Copyrightexida.com 2013 V1R0 Seite 40

41 ISO Annex C.1 General This annex gives several methods for calculating or evaluating MTTF d values for single components: the method given in C.2 is based on the respect of good engineering practices for the different kinds of components; that given in C.3 is applicable to hydraulic components; C.4 provides a means of calculating the MTTF d of pneumatic, mechanical and electromechanical components from B10 (see C.4.1); C.5 lists MTTF d values for electrical components. Copyrightexida.com 2013 V1R0 Page 41

42 NAMUR NE 130 Copyrightexida.com 2013 V1R0 Page 42

43 Mechanical FMEDA Failure rates according to NPRD-95 (Nonelectronic Parts Reliability Data 1995) Examples: Electrical Motor (Summary), 2-83: 9244 FIT Gear Box (Summary), 2-104: 8708 FIT Gearshaft (Summary), 2-104: 620 FIT Spring (Summary), 2-191: 613 FIT Copyrightexida.com 2013 V1R0 Page 43

44 Mechanical FMEDA Failure rate calculation according to NSWC-98/LE1 Example Spring λ SP = λ SP,B C G C DW C DC C N C Y C L C K C CS C R C M Copyrightexida.com 2013 V1R0 Page 44

45 Wie erreicht man den SIL? Der erreichte SIL ist das Minimum aus: > Zufällige Ausfälle 1. SIL_PFD/PFH: SIL basierend auf PFDavg / PFH 2. SIL_AC: SIL basierend auf der Architektur 3. SIL_Cap: SIL basierend auf der Geräteeigenschaft > Systematische Ausfälle Copyrightexida.com 2013 V1R0 Seite 45

46 Fall 1: SIL basierend auf PFDavg The PFDavg for the total SIF in 1oo1 = PFH λ DU Copyrightexida.com 2013 V1R0 Seite 46

47 Ergebnis bzgl. anderer Architekturen Beispiele ohne Gewähr auf Vollständigkeit Copyrightexida.com 2013 Page 47

48 Ergebnis bzgl. PFDavg für 1oo1D Copyrightexida.com 2013 Page 48

49 Fall 1: SIL basierend auf PFDavg Copyrightexida.com 2013 V1R0 Seite 49

50 Fall 2: SIL basierend auf der Architektur Definiere die Hardware Fehler Toleranz (HFT) basierend auf: Safe Failure Fraction (SFF) Zu erreichender SIL SFF = λ SAFE + λ DD λ SAFE + λ DD + λ DU = 1 - λ DU λ Total Copyrightexida.com 2013 V1R0 Seite 50

51 Ergebnis bzgl. SFF Copyrightexida.com 2013 V1R0 Seite 51

52 Fall 2: SIL basierend auf der Architektur Copyrightexida.com 2013 V1R0 Seite 52

53 Fall 3: Geräteeigenschaft Process Sector Safety Instrumented System Standard Process Sector Hardware Process Sector Software Developing New Hardware Devices Follow IEC Using Proven-In- Use Hardware Devices Follow IEC Using Hardware Developed and Accessed According to IEC Follow IEC Developing Embedded (System) Software Follow IEC Developing Application Software Using Full Variability Languages Follow IEC Developing Application Software Using Limited Variability Languages or Fixed Programs Follow IEC Copyrightexida.com 2013 V1R0 Seite 53

54 Fall 3: Geräteeigenschaft SIL 2 Capable Copyrightexida.com 2013 V1R0 Seite 54

55 Beeinflussung der Ergebnisse Fehlerbeherrschung durch Design Verbesserung / Erweiterung der Diagnosen Copyrightexida.com 2013 V1R0 Seite 55

56 Fehlerbeherrschung durch Design Safe failure fraction Hardware Fault Tolerance 1 λ DU / λ (Type B complex subsystem) total 0 (1oo1D, 2oo2D) 1 (1oo2D, 2oo3D) Architekturen 2 (1oo3D) FMEDA < 60% Not allowed SIL1 SIL2 60%... < 90% SIL1 SIL2 SIL3 90%... < 99% SIL2 SIL3 SIL4 >= 99% SIL3 SIL4 SIL4 Fault Tolerance N means N+1 faults could cause a loss of the safety function. Copyrightexida.com 2013 V1R0 Seite 56

57 Wirkung der Diagnose ZUVERLÄSSIGKEIT VERFÜGBARKEIT PFD PFS Nuisance Trip ERFOLGREICHER BETRIEB ERFOLGLOSER BETRIEB PFS - Probability of Safe Failure PFD - Probability of Failure on Demand (Gefährlicher Fehler) RRF - Risiko Reduktions Faktor = 1/PFD Copyrightexida.com 2013 V1R0 Seite 57

58 Wirkung der Diagnose ZUVERLÄSSIGKEIT VERFÜGBARKEIT DIAGNOSE PFS ERFOLGREICHER BETRIEB PFD ERFOLGLOSER BETRIEB Copyrightexida.com 2013 V1R0 Seite 58

59 Fragen und Diskussion Copyrightexida.com 2013 V1R0 Seite 59

60 excellence in dependable automation Copyrightexida.com 2013 V1R0 Seite 60