Standard B10-Werte bei kontinuierlicher Anforderungsrate und Ausfallraten bei niedriger Anforderungsrate elektromechanischer Komponenten

Transkript

1 s Siemens Norm SN Ausgabe/Edition ICS ; ; Deskriptoren: Sicherheitstechnik, B10, Ausfallrate, Funktionale Sicherheit Descriptors: Safety engineering, B10, failure rate, functional safety Funktionale Sicherheit Standard B10-Werte bei kontinuierlicher Anforderungsrate und Ausfallraten bei niedriger Anforderungsrate elektromechanischer Komponenten Functional Safety Standard B10 values with continuous demand rate and failure rates in low demand mode of electromechanical components Fortsetzung Seite 2 bis 19 Continued on pages 2 to 19 Siemens AG, 2007 A&D CD Standort Amberg - Amberg location

2 Seite 2 Foreword This standard has been coordinated with the Development departments and Product Management department of A&D CD CC. The reason for drafting this standard was a requirement specified in IEC Safety of machinery Functional safety of safety-related electrical, electronic and programmable electronic control systems and in ISO :2006 Safety of machinery Safety-related parts of control systems - Part 1: General design principles. They stipulate B10 values during operation in high or continuous demand mode (number of safety operations per time) for calculating the safety integrity or the safety integrity level (SIL) in connection with the functional safety, also of electromechanical switchgear. Another requirement is specified in IEC Functional safety: Safety instrumented for the process industry sector Part 1: Framework, definitions, system, hardware and software requirements. It stipulates a failure rate during operation in low demand mode of safety instrumented systems in the process industry for calculating the safety integrity or the safety integrity level (SIL). 1 Introduction The implementation of IEC Safety of machinery Functional safety of safety-related electrical, electronic and programmable electronic control systems, ISO :2006 Safety of machinery Safety-related parts of control systems - Part 1: General design principles and IEC Functional safety: Safety instrumented for the process industry sector Part 1: Framework, definitions, system, hardware and software mean that failure rates shall be specified for electromechanical components. The German version of the above-mentioned standards are entitled as - DIN EN (VDE ), October 2005, has been harmonized in a machinery directive called EN on December 31, DIN EN ISO : DIN IEC (VDE ) - DIN IEC (VDE ) 2 Application and purpose This standard applies to electromechanical switchgear manufactured by A&D CD CC: - based on the B10 values specified in this standard and the percentage of dangerous failures, the safety level of a safety system can be calculated in accordance with IEC and ISO :2006; - based on the failure rate specified in this standard and the percentage of dangerous failures, the safety level of a safety system can be calculated in accordance with IEC the above-mentioned standards for functional safety recommend a derating value for practical applications. The specified B10 values and failure rates ensure compliance with these recommendations. 3 Terms/definitions 3.1 Failure rate λ(t) dt is the probability that a unit which has not yet failed by a defined time t will fail during the next interval (t; t+dt). Failure rates are specified as follows: 1/time unit, e.g. 1/h. The failure rates of components are often specified as FIT (failures in time unit): 1 FIT ^ 10-9 /h. The failure rate results in a (mathematical) distribution function of the failure probability: F(t) = 1 exp(-λt); λ is the failure rate

3 Seite 3 Vorwort Diese Norm ist mit den Entwicklungsabteilungen und dem Produktmanagement von A&D CD CC abgestimmt. Die Veranlassung zur Erstellung dieser Norm war eine Anforderung innerhalb der IEC Sicherheit von Maschinen Funktionale Sicherheit von elektrischen, elektronischen und programmierbaren Steuerungen von Maschinen und der ISO :2006 Sicherheit von Maschinen Sicherheitsbezogene Teile von Steuerungen - Teil 1: Allgemeine Gestaltungsleitsätze. In der IEC und der ISO :2006 werden auch für elektromechanische Schaltgeräte die so genannten B10 Werte für die Berechnung der Sicherheitsintegrität bzw. des Sicherheits- Integritätslevels (SIL) in der funktionalen Sicherheit bei hoher bzw. kontinuierlicher Anforderungsrate (Anzahl der Sicherheitsbetätigungen pro Zeiteinheit) verlangt. Ein weitere Anforderung ist innerhalb der IEC Funktionale Sicherheit Sicherheitstechnische Systeme für die Prozessindustrie Teil 1: Allgemeines, Begriffe, Anforderungen an System, Hardware und Software formuliert. Es werden auch Ausfallraten für elektromechanische Schaltgeräte für die Berechnung der Sicherheitsintegrität bzw. des Sicherheits- Integritätslevel (SIL) in der funktionalen Sicherheit bei niedriger Anforderungsrate verlangt. 1 Einleitung Durch die Einführung der IEC Sicherheit von Maschinen Funktionale Sicherheit von elektrischen, elektronischen und programmierbaren Steuerungen von Maschinen, ISO :2006 Sicherheit von Maschinen Sicherheitsbezogene Teile von Steuerungen - Teil 1: Allgemeine Gestaltungsleitsätze und der IEC Funktionale Sicherheit Sicherheitstechnische Systeme für die Prozessindustrie Teil 1: Allgemeines, Begriffe, Anforderungen an System, Hardware und Software werden für elektromechanische Komponenten Ausfallraten verlangt. Die deutschen Fassungen der oben genannten Normen heißen: - DIN EN (VDE ), Oktober 2005, die seit dem als EN unter Maschinenrichtlinie harmonisiert ist; - DIN EN ISO : DIN EN (VDE ) - DIN IEC (VDE ) 2 Anwendungsbereich und Zweck Diese Norm gilt für elektromechanische Schaltgeräte von A&D CD CC: - auf der Basis der in dieser Norm angegebenen B10 Werte und dem prozentualen Anteil gefahrbringender Ausfälle kann unter Anwendung der DIN EN bzw. DIN EN ISO :2006 ein Sicherheitslevel für ein Sicherheitssystem ermittelt werden; - auf Basis der in dieser Norm angegebenen Ausfallraten und dem prozentualen Anteil gefahrbringender Ausfälle kann unter Anwendung der DIN IEC ein Sicherheitslevel ermittelt werden. - die in den angeführten Normen für die Funktionale Sicherheit geben Empfehlungen für eine Derating im Anwendungsfall. Die angegebenen B10 Werte und Ausfallraten gelten für die Einhaltung dieser Empfehlungen. 3 Begriffe/Definitionen 3.1 Ausfallrate λ(t) dt ist die Wahrscheinlichkeit, dass eine bis zum bestimmten Zeitpunkt t nicht ausgefallene Einheit im nachfolgenden Intervall (t; t+dt) ausfällt. Ausfallraten haben die Dimension 1/Zeiteinheit, z.b. 1/h. Ausfallraten für Bauelemente werden oft in FIT (failures in time unit) angegeben: 1 FIT ^ 10-9 /h Aus der Ausfallrate ergibt sich eine (mathematische) Verteilungsfunktion der Ausfallwahrscheinlichkeit mit: F(t) = 1 exp(-λt), mit λ als Ausfallrate

4 Seite 4 The mean value of this exponential distribution is also referred to as: - the mean time to failure (MTTF) of irreparable components (63.2% of all components fail before the mean time to failure); - as the mean operating time between failures (MTBF) of reparable components. MTTF = 1 / λ The MTTF is a statistical mean value, but not a guaranteed lifetime! Many electromechanical components are irreparable. The failure rate of the considered units normally changes as their age increases (see Fig. 1). Failure rate λ Early failure phase Phase with constant failure rate Late failure phase t Fig. 1 Failure rate as a function of time ( bathtub curve ) 3.2 Failure Termination of the ability of a SRECS, a subsystem, or a subsystem element to perform a specified function. [IEC , modified and ISO :2003, 3.32] 3.3 B10 value The B10 value for devices subject to wear is expressed as a number of duty cycles. This number refers to the number of duty cycles with which 10% of the units under test fail during the course of a life test (or the number of duty cycles after which 10% of these devices fail). 3.4 Functional safety Part of the safety of the machine and the machine control system. It depends on the correct functioning of the SRECS, other safety-related systems, and external risk reduction facilities [IEC 62061:2005, 3.2.9] or Part of the overall safety relating to the process and the BPCS (basic process control system). It depends on the correct functioning of the SIS and other protection layers [IEC , ]

5 Seite 5 Den Mittelwert dieser Exponentialverteilung bezeichnet man auch: - bei nicht Instand zu setzenden (irreparablen) Komponenten als mittlere Lebensdauer MTTF (en: Mean Time To Failure; 63,2% der Komponenten fallen bis zur mittleren Lebensdauer MTTF aus); - bei Instand zu setzenden (reparablen) Komponenten als mittlere Betriebsdauer zwischen zwei Ausfällen MTBF (en: Mean operating Time Between Failures). MTTF = 1 / λ Die MTTF ist ein statistischer Mittelwert, jedoch keine garantierte Lebensdauer! Elektromechanische Komponenten stellen häufig nicht Instand zu setzende (nicht reparierbare) Komponenten dar. Im Allgemeinen ändert sich die Ausfallrate von Betrachtungseinheiten mit dem Lebensalter (siehe Bild 1). Ausfallrate λ Phase mit konstanter Ausfallrate Frühausfallphase Spätausfallphase t Bild 1 Zeitlicher Verlauf der Ausfallrate ( Badewannenkurve ) 3.2 Ausfall Beendigung der Fähigkeit eines SRECS, eines Teilsystems oder eines Teilsystem-Elements, eine geforderte Funktion zu auszuführen. [IEC , modifiziert und ISO :2003, 3.32] 3.3 B10-Wert Der B10-Wert für verschleißbehaftete Geräte wird in Anzahl Schaltspiele ausgedrückt: dies ist die Anzahl der Schaltspiele bei der im Laufe eines Lebensdauerversuchs 10% der Prüflinge ausgefallen sind (oder: Anzahl Betätigungszyklen nach denen 10% der Geräte ausgefallen sind). 3.4 Funktionale Sicherheit Teil der Sicherheit der Maschine und des Maschinen-Steuerungssystems, der von der korrekten Funktion des SRECS, sicherheitsbezogener Systeme anderer Technologie und externer Einrichtungen zur Risikominderung abhängt. [DIN EN 62061:2005, 3.2.9] bzw. Teil der Gesamtsicherheit, der sich auf den Prozess und das BPCS (en: basic process control system) bezieht und der von der bestimmungsgemäßen Funktion des SIS und anderer Sicherheitsebenen abhängt [DIN IEC (VDE 0810 Teil 1), ]

6 Seite Dangerous failure Failure of an SRECS, subsystem or subsystem element that has the potential to cause a hazard or non-functional state [IEC 62061:2005, ] or Failure that has the potential to put the safety instrumented system in a hazardous or non-functional state [IEC , ] 3.6 SRECS (Safety-Related Electrical Control Systems) Safety-related electrical, electronic and programmable electronic control systems [IEC 62061:2005] 3.7 SIS (Safety Instrumented System) Instrumented system used to implement one or more safety instrumented functions. An SIS is composed of any combination of sensor(s), logic system(s), and actuator(s) [IEC , ] 3.8 Safety function Machine function; the failure of this function can result in an immediate increase of the associated risk(s) [ISO :2003, 3.28] 3.9 SIF (Safety Instrumented Function) Function with a specified Safety Integrity Level (SIL) which is necessary to achieve functional safety and which can be either a safety instrumented protection function or a safety instrumented control function [IEC , ] 3.10 Safety integrity Probability that an SRECS or its subsystem satisfactorily perform the required safety-related control functions under all stated conditions [IEC 62061:2005, ] or Average probability that a safety instrumented system satisfactorily performs the required safety instrumented functions under all the stated conditions within a defined period of time [IEC , ] 3.11 SIL (Safety Integrity Level) Discrete level (one out of a possible three) for specifying the safety integrity requirements of the safety-related control functions assigned to the SRECS. Safety integrity level three has the highest level of safety integrity and safety integrity level one has the lowest [IEC 62061:2005, ] or Discrete level (one out of four) for specifying the safety integrity requirements of the safety instrumented functions to be allocated to the safety instrumented systems. Safety integrity level 4 has the highest level of safety integrity and safety integrity level 1 has the lowest [IEC , ] 3.12 Device subject to wear In the context of this standard, a device subject to wear is an electromechanical switching device that is subjected to mechanical wear each time it is switched. In particular, this term refers to contact wear.

7 Seite Gefahrbringender Ausfall Ausfall eines SRECS, eines Teilsystems oder eines Teilsystem-Elements mit dem Potenzial eine Gefährdung oder einen funktionsunfähigen Zustand zu verursachen. [DIN EN 62061:2005, ] bzw. Gefährlicher Ausfall Ausfall mit dem Potential, das sicherheitstechnische System in einen gefahrbringenden oder funktionsunfähigen Zustand zu versetzen [DIN IEC (VDE 0810 Teil 1), ] 3.6 SRECS (en: Safety-Related Electrical Control Systems) Sicherheitsbezogene elektrische, elektronische und programmierbare elektronische Steuerungssysteme. [DIN EN 62061:2005] 3.7 SIS (en: Safety Instrumented System) sicherheitstechnisches System zur Ausführung einer oder mehrerer sicherheitstechnischer Funktionen. Ein SIS besteht aus Sensor(en), Logiksystem und Aktoren(n). [DIN IEC (VDE 0810 Teil 1), ] 3.8 Sicherheitsfunktion Funktion einer Maschine, wobei ein Ausfall dieser Funktion zur unmittelbaren Erhöhung des Risikos (der Risiken) führen kann. [ISO :2003, 3.28] 3.9 sicherheitstechnische Funktion (SIF, en: safety instrumented function) Funktion mit vorgegebenem Sicherheitsintegritätslevel (SIL), der zum Erreichen der funktionalen Sicherheit notwendig ist. Eine sicherheitstechnische Funktion kann entweder eine sicherheitstechnische Schutzfunktion oder eine sicherheitstechnische Regelfunktion sein [DIN IEC (VDE 0810 Teil 1), ] 3.10 Sicherheitsintegrität (en: safety integrity) Wahrscheinlichkeit, dass ein SRECS oder sein Teilsystem die erforderlichen sicherheitsbezogenen Steuerungsfunktionen unter allen festgelegten Bedingungen zufrieden stellend ausführt. [DIN EN 62061:2005, ] bzw. mittlere Wahrscheinlichkeit, dass ein sicherheitstechnisches System die geforderten sicherheitstechnischen Funktionen unter allen festgelegten Bedingungen innerhalb eines festgelegten Zeitraumes anforderungsgemäß ausführt [DIN IEC (VDE 0810 Teil 1), ] 3.11 Sicherheits-Integritätslevel SIL Diskrete Stufe (eine von drei möglichen) zur Festlegung der Anforderungen zur Sicherheitsintegrität der sicherheitsbezogenen Steuerungsfunktionen, die dem SRECS zugeordnet wird, wobei der Sicherheits-Integritätslevel 3 den höchsten und der Sicherheits-Integritätslevel 1 den niedrigsten Sicherheits-Integritätslevel darstellt. [DIN EN 62061:2005, ] bzw. eine von vier diskreten Stufen zur Spezifikation der Anforderungen für die Sicherheitsintegrität der Sicherheitsfunktionen, die dem sicherheitstechnischen System zugeordnet werden, wobei der Sicherheits-Integritätslevel 4 den höchsten Grad der Sicherheitsintegrität, der Sicherheits- Integritätslevel 1 den niedrigsten darstellt [DIN IEC (VDE 0810 Teil 1), ] 3.12 Verschleißbehaftetes Gerät Unter verschleißbehaftetem Gerät wird im Zusammenhang dieser Norm, ein elektromechanisches Schaltgerät verstanden, das bei jedem Schaltvorgang einen mechanischen Verschleiß unterworfen ist. Insbesondere wird hier der Verschleiß der Kontakte betrachtet.

8 Seite Probability of dangerous failure per hour PFH D Average probability of dangerous failure within 1 h [IEC 62061:2005, ] Note: PFH D = λ D x 1 h [no unit] 3.14 Probability of failure on demand PFD or average probability of failure on demand PFD avg [IEC , 3.1] Note: by using one component it can be assumed that PFD avg = λ D (DU) x t / 2 4 Technical requirements (operating in high or continuous demand mode) The implementation of IEC Safety of machinery Functional safety of safety-related electrical, electronic and programmable electronic control systems means that failure rates shall also be specified for electromechanical components. The German version entitled DIN EN (VDE ), October 2005, has been harmonized in a machinery directive called EN on December 31, These failure rates enable the probability of dangerous failure per hour PFH D of a safety function to be calculated. 4.1 Definitions The failure rate of electromechanical components is indicated by means of the B10 value. The B10 value for devices subject to wear is expressed as a number of duty cycles. This number refers to the number of duty cycles with which 10% of the units under test fail during the course of a life test (or the number of duty cycles after which 10% of these devices fail). 4.2 Calculation principle Taking the B10 value, the user can then calculate the total failure rate of an electromechanical component by means of a simplified formula (refer to section of DIN EN 62061): λ = 0.1 x C / B10 C = duty cycles per hour (information supplied by the user). The failure rate is made up of safe (λ S ) and dangerous (λ D ) failures: λ = λ S + λ D or λ D = [percentage of dangerous failures] x λ λ S = [percentage of safe failures] x λ The dangerous failure rate λ d of the installed component is required for further calculations. 4.3 Normal B10 values (operating in high or continuous demand mode) Owing to the large number of electromechanical components, it is useful from the point of view of the user to subdivide these components into product groups.

9 Seite Wahrscheinlichkeit eines gefahrbringenden Ausfalls pro Stunde PFH D (en: probabilitiy of dangerous failure per hour) mittlere Wahrscheinlichkeit eines gefahrbringenden Ausfalls innerhalb einer Stunde. [DIN EN 62061:2005, ] Anmerkung : PFH D = λ D x 1 h [ohne Dimension] 3.14 Wahrscheinlichkeit eines Ausfalls bei Anforderung PFD (en: probability of failure on demand) bzw. mittlere Wahrscheinlichkeit eines Ausfalls bei Anforderung PFD avg [DIN IEC (VDE 0810 Teil 1), 3.1] Anmerkung: für eine Komponente gilt PFDavg = λ D (DU) x t / 2 4 Technische Anforderungen bei hoher bzw. kontinuierlicher Anforderungsrate Durch die Einführung der IEC Sicherheit von Maschinen Funktionale Sicherheit von elektrischen, elektronischen und programmierbaren Steuerungen von Maschinen werden auch für elektromechanische Komponenten Ausfallraten verlangt. Die deutsche Fassung heißt: DIN EN (VDE ), Oktober 2005 und ist seit dem als EN unter der Maschinenrichtlinie harmonisiert. Mit diesen Ausfallraten kann die Wahrscheinlichkeit gefahrbringender Ausfälle pro Stunde PFH D (en: probabilitiy of dangerous failure per hour) einer Sicherheitsfunktion berechnet werden. 4.1 Begriffsbestimmung Die Ausfallrate elektromechanischer Komponenten wird mit Hilfe des B10-Wertes beschrieben. Der B10-Wert für verschleißbehaftete Geräte wird in Anzahl Schaltspiele ausgedrückt: Dies ist die Anzahl der Schaltspiele bei der im Laufe eines Lebensdauerversuchs 10% der Prüflinge ausgefallen sind (oder: Anzahl Betätigungszyklen nach denen 10% der Geräte ausgefallen sind). 4.2 Berechnungsgrundsatz Mit Hilfe des B10-Wertes kann der Anwender dann mit einer vereinfachten Formel (siehe Abschnitt der DIN EN 62061) die gesamte Ausfallrate einer elektromechanischen Komponente berechnen: λ = 0,1 x C / B10 mit C = Betätigungszyklus pro Stunde (en: operating cycle) (Angabe des Anwenders). Die Ausfallrate setzt sich aus ungefährlichen (λ S ) und gefahrbringenden (λ D ) Ausfällen zusammen: λ = λ S + λ D oder λ D = [Anteil gefahrbringender Ausfälle in %] x λ λ S = [Anteil ungefährliche Ausfälle in %] x λ Die Ausfallrate der gefahrbringenden Ausfälle λ d der eingesetzten Komponente wird für die weiteren Berechnungen benötigt. 4.3 Standard B10-Werte (bei hoher oder kontinuierlicher Anforderungsrate) Wegen der Vielzahl der elektromechanischen Komponenten ist es aus Anwendersicht hilfreich diese Komponenten in Produktgruppen zusammen zu fassen.

10 Seite 10 The table below lists the normal B10 values and the percentage of dangerous failures for SIRIUS product groups (operating in high or continuous demand mode). Siemens SIRIUS product group (electromechanical components) EMERGENCY STOP control devices - Turn-to-release - Pull-to-release Cable-operated switches for EMERGENCY STOP function Normal B10 value (duty cycles) 100,000 1) 30,000 1) 1,000,000 1) Ratio of dangerous failures Standard position switches Position switches with separate actuator Position switches with solenoid interlocking Hinge switches 10,000,000 2) 1,000,000 1) 1,000,000 1) 1,000,000 1) Pushbuttons (non-latching) 10,000,000 2) Contactors / motor starters (with positively driven contacts or mirror contacts) 1,000,000 2) 75% 3) 1) mainly limited by mechanical wear 2) mainly limited by contact wear 3) The SIL-Level can be improved by means of fault detection using positively driven auxiliary switches Table 1 Normal B10 values for SIRIUS electromechanical components (operating in high or continuous demand mode) The B10 d value used in DIN EN ISO :2006 can be determined as follows: B10 d = B10 ratio of dangerous failure 4.4 Calculation example A protective door is monitored by means of a position switch with a separate actuator. This door is opened four times per hour. The total failure rate of the position switch is as follows: λ = 0.1 * C / B10 [failure / h] λ = 0.1 * 4 / 1,000,000 = [failures / h] The dangerous failure rate is calculated as follows: λ D = of λ = 0.2 * [failures / h] λ D = 8 * 10-8 [failures / h]

11 Seite 11 In der folgenden Tabelle sind die Standard B10-Werte und der Anteil gefahrbringender Ausfälle für SIRIUS Produktgruppen (bei hoher bzw. niedriger Anforderungsrate) aufgelistet. Siemens SIRIUS Produktgruppe (elektromechanische Komponenten) NOT-AUS/NOT-HALT Befehlsgeräte - drehentriegelt - zugentriegelt Seilzugschalter für NOT-AUS/NOT-HALT Funktion Standard-Positionsschalter Positionsschalter mit getrenntem Betätiger Positionsschalter mit Zuhaltung Scharnierschalter Drucktaster (nicht verrastend) Standard B10-Wert (Schaltspiele) ) ) ) ) ) ) ) ) Anteil gefahrbringender Ausfälle Schütze / Motorstarter (mit zwangsgeführten Kontakten oder Spiegelkontakten) ) 75 % 3) 1) in erster Linie durch mechanischen Verschleiß begrenzt 2) in erster Linie durch Kontaktabnutzung begrenzt 3) durch Fehlererkennung mittels zwangsgeführter Hilfsschalter kann der SIL-Level verbessert werden. Tabelle 1 SIRIUS Standard B10-Werte elektromechanischer Komponenten (bei hoher bzw. kontinuierlicher Anforderungsrate) Der in der DIN EN ISO :2006 verwendete B10 d -Wert wird kann wie folgt ermittelt werden ermittelt werden: B10 B10 d = Anteil gefahrbringender Ausfälle 4.4 Berechnungsbeispiel Eine Schutztür wird mit einem Positionsschalter mit getrenntem Betätiger überwacht. Diese Schutztür wird 4-mal pro Stunde geöffnet. Die gesamte Ausfallrate des Positionsschalters lautet: λ = 0,1 * C / B10 [Ausfälle / h] λ = 0,1 * 4 / = [Ausfälle / h] Die gefahrbringende Ausfallrate errechnet sich mit: λ D = of λ = 0.2 * [Ausfälle / h] λ D = 8 * 10-8 [Ausfälle / h]

12 Seite 12 5 Technical requirements (operating in low demand mode) The implementation of IEC Functional safety: Safety instrumented for the process industry sector Part 1: Framework, definitions, system, hardware and software means that failure rates shall also be specified for electromechanical components. The German version is entitled DIN IEC (VDE ). These failure rates enable the probability of failure on demand PFD of a safety function to be calculated. For one component, the simplified formula PFD avg = λ D (DU) x t / 2 can be applied. 5.1 Definitions The dangerous failure rate of electromechanical components rate (λ DU ) is expressed in FIT. One FIT corresponds to a failure rate of failures per hour. Example: A λ value of 100 FIT results in an average probability of failure on demand PFD avg (in one year): PFD avg = * 365 * 24 / 2 = 4, Furthermore, the ratio of dangerous failures is specified and the ratio of non-dangerous failures can be determined (100% minus ratio of dangerous failures) based on this. This information is required to specify the required design or hardware redundancy for the safetyrelated control function. The minimum hardware fault tolerance concerning all subsystems except PE logic systems (e.g. sensors, actuators and non-programmable logic systems) shall be verified. Accordingly, it is referred to DIN IEC , table 6 or alternative DIN IEC , table 2 and 3 for this purpose. Additional requirements for electromechanical components are mentioned in section 5.2. Note: the hardware fault tolerance of table 6 in DIN IEC may be reduced by one if requirements according to IEC 61511, are fulfilled. DIN IEC table 6 Minimum hardware fault tolerance of sensors, actuators, and non-programmable logic systems SIL Minimum hardware fault tolerance (see and ) Special requirements apply (see IEC 61508) Alternative fault tolerance requirements may be applied, providing an assessment is made in accordance with the requirements of IEC , tables 2 and 3.

13 Seite 13 5 Technische Anforderungen (bei niedriger Anforderungsrate) Durch die Einführung der IEC Funktionale Sicherheit Sicherheitstechnische Systeme für die Prozessindustrie Teil 1: Allgemeines, Begriffe, Anforderungen an System, Hardware und Software werden auch für elektromechanische Komponenten Ausfallraten verlangt. Die deutsche Fassung heißt: DIN IEC (VDE 0810 Teil 1). Mit diesen Ausfallraten kann die Wahrscheinlichkeit eines Ausfalls bei Anforderung PFD (en: probability of failure on demand) einer Sicherheitstechnischen Funktion berechnet werden. Für eine Komponente kann die vereinfachte Formel: PFD avg = λ D (DU) x t / 2 angewendet werden. 5.1 Begriffsbestimmung Die Ausfallrate gefährlicher Fehler (λ DU ) elektromechanischer Komponenten wird in FIT angegeben. Dabei entspricht 1 FIT eine Ausfallrate von Fehlern pro Stunde. Beispiel: bei einem λ Wert von 100 FIT ergibt sich folgende mittlere Wahrscheinlichkeit eines Ausfalls bei Anforderung PFD avg (bezogen auf ein Jahr): PFD avg = * 365 * 24 / 2 = 4, Des Weiteren werden die Anteile gefahrbringender Ausfälle angegeben. Daraus lassen sich die Anteile ungefährlicher Ausfälle ermitteln (100% minus Anteil gefahrbringende Ausfälle). Diese Angabe wird benötigt, um für die sicherheitstechnische Steuerungsfunktion den erforderlichen Entwurf bzw. die erforderliche Hardware-Redundanz zu spezifizieren. Bei allen Teilsystemen außer PE-Logiksystemen (beispielsweise bei Sensoren, Aktoren und nicht programmierbaren Logiksystemen) muss die Mindest-Hardware-Fehlertoleranz nachgewiesen werden. Entsprechend dazu wird auf die DIN IEC , Tabelle 6 oder alternativ auf die DIN IEC , Tabelle 2 und 3 verwiesen. Zusätzlich werden bei den hier behandelten elektromechanischen Komponenten unter 5.2 weitere Forderungen erhoben. Anmerkung: Die Hardware-Fehlertoleranz der Tabelle 6 in der DIN IEC darf um 1 reduziert werden wenn die Bedingungen entsprechend nach der IEC 61511, erfüllt werden. DIN IEC Tabelle 6 Mindest-Hardware-Fehlertoleranz von Sensoren, Aktoren und nichtprogrammierbaren Logiksystemen SIL Mindest-Hardware-Fehlertoleranz (siehe Abschnitte und ) Es gelten besondere Anforderungen. Siehe IEC Alternative Anforderungen an die Fehlertoleranz dürfen verwendet werden, wenn eine Beurteilung nach den Anforderungen der IEC , Tabellen 2 und 3 durchgeführt wurde.

14 Seite 14 DIN IEC table 2 - Hardware safety integrity: Constraints due to architecture for type A safety-related subsystems Ratio of safe failures Hardware fault tolerance (see note 2) < 60% SIL 1 SIL 2 SIL 3 60% < 90% SIL 2 SIL 3 SIL 4 90% < 99% SIL 3 SIL 4 SIL 4 99% SIL 3 SIL 4 SIL 4 NOTE 1: See to for details on interpreting this table. NOTE 2: A hardware fault tolerance of N means that N + 1 fault could cause a failure of the safety function. NOTE 3: See annex C for details on how to calculate the safe failure ratio. Examples are electromechanical components and mechanical instruments (valves). DIN IEC table 3 - Hardware safety integrity: Constraints due to architecture for type B safety-related subsystems Ration of safe failures Hardware fault tolerance (see note 2) < 60% Impermissible SIL 1 SIL 2 60% < 90% SIL 1 SIL 2 SIL 3 90% < 99% SIL 2 SIL 3 SIL 4 99% SIL 3 SIL 4 SIL 4 NOTE 1: See to for details on interpreting this table. NOTE 2: A hardware fault tolerance of N means that N + 1 fault could cause a failure of the safety function. NOTE 3: See annex C for details on how to calculate the safe failure ratio. Example is processor-supported measuring technology (pressure transmitter). 5.2 Normal failure rates (operating in low demand mode) Based on the failure rates, the average probability of failure on demand PFD avg for a safety instrumented function (SIF) is calculated. The low demand mode is usually used, i.e. the frequency of demand for operation made on a safetyrelated system is no greater than once per year and no greater than twice the proof test frequency. This is most common demand mode in the process industry. For electromechanical components, a new test is recommended once annually in order to detect passive faults. For special applications, test intervals greater than 1 year may be specified in agreement with the responsible validating authority (TÜV, etc.) and if corresponding solutions are implemented (e.g. multichannel design, etc.). By complying with above-mentioned conditions and fulfilling the requirements of IEC 61511, a singlechannel system can achieve SIL 2 and a dual-channel system can achieve SIL3.

15 Seite 15 DIN IEC Tabelle 2 - Sicherheitsintegrität der Hardware: Einschränkungen aufgrund der Architektur für sicherheitsbezogene Typ A-Teilsysteme: Anteil ungefährlicher Fehlertoleranz der Hardware (siehe Anmerkung 2) Ausfälle < 60 % SIL 1 SIL 2 SIL 3 60 % < 90 % SIL 2 SIL 3 SIL 4 90 % < 99 % SIL 3 SIL 4 SIL 4 99 % SIL 3 SIL 4 SIL 4 ANMERKUNG 1 Siehe bis zu Einzelheiten bezüglich der Interpretation dieser Tabelle. ANMERKUNG 2 Eine Fehlertoleranz der Hardware von N bedeutet, dass N + 1 Fehler zu einem Verlust der Sicherheitsfunktion führen können. ANMERKUNG 3 Siehe Anhang C zu Einzelheiten bezüglich der Berechnung des Anteils ungefährlicher Ausfälle. Beispiele sind elektromechanische Komponenten und mechanische Armaturen (Ventile). DIN IEC Tabelle 3 - Sicherheitsintegrität der Hardware: Einschränkungen aufgrund der Architektur für sicherheitsbezogene Typ B-Teilsysteme: Anteil ungefährlicher Fehlertoleranz der Hardware (siehe Anmerkung 2) Ausfälle < 60 % nicht erlaubt SIL 1 SIL 2 60 % < 90 % SIL 1 SIL 2 SIL 3 90 % < 99 % SIL 2 SIL 3 SIL 4 99 % SIL 3 SIL 4 SIL 4 ANMERKUNG 1 Siehe bis zu Einzelheiten bezüglich der Interpretation dieser Tabelle. ANMERKUNG 2 Eine Fehlertoleranz der Hardware von N bedeutet, dass N + 1 Fehler zu einem Verlust der Sicherheitsfunktion führen können. ANMERKUNG 3 Siehe Anhang C zu Einzelheiten bezüglich der Berechnung des Anteils ungefährlicher Ausfälle. Beispiel ist eine prozessorgestützte Messtechnik (Drucktransmitter). 5.2 Standard Ausfallraten (bei niedriger Anforderungsrate) Aufgrund der Ausfallraten kann die durchschnittliche Wahrscheinlichkeit für das Versagen bei Anforderung PFD avg (en: probabilitiy of failure on demand) einer PLT-Schutzeinrichtung berechnet werden. Es wird dabei von einer sogenannten niedrigen Anforderungsrate ausgegangen, wobei die Anforderungsrate an das sicherheitsbezogene System nicht mehr als einmal pro Jahr beträgt und nicht größer als die doppelte Frequenz der Wiederholungsprüfung ist. Für elektromechanische Komponenten ist zur Aufdeckung passiver Fehler eine jährlich durchzuführende Wiederholungsprüfung zu empfehlen. Für den speziellen Anwendungsfall kann durch entsprechende Lösungen (z.b. mehrkanalige Ausführung usw.) und in Absprache mit der abnehmenden Institution (z.b. TÜV, Behörde usw.) eine Verlängerung der Prüfintervalle festgelegt werden. Unter den obengenannten Bedingungen und unter Einhaltung der Anforderungen der IEC kann mit einem 1-kanaligen Aufbau SIL 2 und mit einem 2-kanaligen Aufbau SIL 3 erreicht werden.

16 Seite 16 The table below lists the normal failure rates and the percentage of dangerous failures for SIRIUS product groups (operating in low demand mode). Siemens SIRIUS product group (electromechanical components) EMERGENCY STOP control devices Cable-operated switches for EMERGENCY STOP function Normal failure rate (in FIT) 1) 100 3) 100 3) Ratio of dangerous failures 2) Standard position switches Position switches with separate actuator Position switches with solenoid interlocking Hinge switches Pushbuttons (non-latching) Contactors / motor starters 100 <40% (with positively driven contacts or mirror contacts) 4) Circuit breakers 3RV 50 <40% 1) The failure rate data in the table is limited to 100 FIT (except circuit breakers, which are limited to 50 FIT) 2) Valid under the above-mentioned conditions 3) Also limited to 100 FIT due to protection against tampering together with latching 4) The SIL level can be improved by means of fault detection using positively driven auxiliary switches Table 2 Normal failure rates for SIRIUS electromechanical components (operating in low demand mode)

17 Seite 17 In der folgenden Tabelle sind die Standard-Ausfallraten und der Anteil gefahrbringender Ausfälle für SIRIUS Produktgruppen (bei niedriger Anforderungsrate) aufgelistet. Siemens SIRIUS Produktgruppe (elektromechanische Komponenten) NOT-AUS/NOT-HALT Befehlsgeräte Seilzugschalter für NOT-AUS/NOT-HALT Funktion Standard Ausfallrate (in FIT) 1) 100 3) 100 3) Anteil gefahrbringender Ausfälle 2) Standard-Positionsschalter Positionsschalter mit getrenntem Betätiger Positionsschalter mit Zuhaltung Scharnierschalter Drucktaster (nicht verrastend) Schütze / Motorstarter 100 <40 % (mit zwangsgeführten Kontakten oder Spiegelkontakten) 4) Leistungsschalter 3RV 50 <40 % 1) Die Angabe der Ausfallraten in der Tabelle wurde auf 100 FIT begrenzt (Ausnahme ist der Leistungsschalter, der mit 50 FIT begrenzt wurde) 2) Nur unter den vorher genannten Vorraussetzungen gültig. 3) Wegen Überlistschutz in Verbindung mit Verrastung ebenfalls auf 100 FIT begrenzt. 4) Durch Fehlererkennung mittels zwangsgeführter Hilfsschalter kann der SIL-Level verbessert werden. Tabelle 2 SIRIUS Standard Ausfallraten elektromechanischer Komponenten (bei niedriger Anforderungsrate)

18 Seite 18 6 Standards mentioned in this document IEC Functional safety of electrical/electronic/programmable electronic safety-related systems IEC Functional safety: Safety instrumented for the process industry sector IEC Safety of machinery - Functional safety of safety-related electrical, electronic and programmable electronic control systems ISO Safety of machinery - Safety-related parts of control systems - Part 1: General design principles ISO Safety of machinery - Safety-related parts of control systems - Part 2: Validation SN Failure rates of components

19 Seite 19 6 Normative Verweise IEC Funktionale Sicherheit sicherheitsbezogener elektrischer/elektronischer/programmierbarer elektronischer Systeme IEC Funktionale Sicherheit - Sicherheitstechnische Systeme für die Prozessindustrie DIN EN Sicherheit von Maschinen - Funktionale Sicherheit sicherheitsbezogener elektrischer, elektronischer und programmierbarer elektronischer Steuerungssysteme ISO Sicherheit von Maschinen - Sicherheitsbezogene Teile von Steuerungen - Teil 1: Allgemeine Gestaltungsleitsätze ISO Sicherheit von Maschinen - Sicherheitsbezogene Teile von Steuerungen - Teil 2: Validierung SN Ausfallraten Bauelemente