e ida.com excellence in dependable automation Tool centered Safety Design Support Stephan Aschenbrenner exida.com GmbH Tel: +49-8362-507274 email: Stephan.Aschenbrenner@exida.com Copyrightexida.com 2013 V1R0 Seite 1
Independent and neutral Network of Excellence in Safe Automation Development Safety Certification former Development Managers (Siemens Moore ) former TÜV Managers former PLC Safety + Product Managers Instrumentation Engineers (Air Products, Exxon, PDVSA, Honeywell, Siemens, etc.) Application Design + Operation Copyrightexida.com 2013 V1R0 Seite 2
Ermittlung von Kennzahlen SIL Berechnung VDE/DKE Kolloquium "Schutzeinrichtungen der Elektrotechnik und funktionale Sicherheit nach IEC 61508 (VDE 0803)" Köln 31. Januar 2013 Copyrightexida.com 2013 V1R0 Seite 3
Begriffe und Definitionen FMEA FMEDA SFF DC PFD PFH SIL Failure Modes and Effects Analysis Failure Modes, Effects and Diagnostics Analysis Safe Failure Fraction Diagnostic Coverage Probability of Failure on Demand Probability of dangerous Failure per Hour Safety Integrity Level λ Ausfallrate Copyrightexida.com 2013 V1R0 Seite 4
Was ist SIL? Berechnetes Prozess Risiko Prozess Änderungen Risiko Andere Risiko reduzierende Maßnahmen Akzeptiertes Risiko Sicherheits- System Copyrightexida.com 2013 V1R0 Seite 5
Geforderte Risikoreduzierung RRF (Risiko Reduzierung Faktor) PFD avg (Probability of Failure on Demand = 1/RRF) SIL (Safety Integrity Level) 100000 to 10000 >=10-5 to <10-4 4 Hohes Risiko 1/RRF = PFD Probability of Failure on Demand 10000 to 1000 >=10-4 to <10-3 3 1000 to 100 >=10-3 to <10-2 2 100 to 10 >=10-2 to <10-1 1 Niedriges Risiko Copyrightexida.com 2013 V1R0 Seite 6
um zu vermeiden Copyrightexida.com 2013 V1R0 Page 7
Beispiel einer Sicherheitsfunktion Safety (Instrumented) Function Function, which is intended to achieve or maintain a safe state for the process, with respect to a specific hazardous event Transmitter (Power Supply, Ex Barrier) Logic Solver, e.g. PLC Actor + Valve (Driver, Ex Barrier) Copyrightexida.com 2013 V1R0 Page 8
Beispiel einer Sicherheitsfunktion SENSOR PART LOGIC SOLVER PART FINAL ELEMENT PART SENSOR SENSOR SENSOR GROUP 1 SENSOR GROUP 2 INTERFACE MODULE INTERFACE MODULE INTERFACE MODULE 1oo1 1oo1 1oo2 LOGIC SOLVER 1oo1 FINAL ELEMENT GROUP 1 2oo2 ACTUATOR ACTUATOR V A L V E V A L V E Copyrightexida.com 2013 V1R0 Seite 9
Überblick über eine Sicherheitsfunktion Parameter 1 Sensor Parameter 2 Sensor Sicherheits System Parameter 1 Aktuator Parameter 2 Aktuator 35% 15% 50% (Target reliability guideline.) Copyrightexida.com 2013 V1R0 Seite 10
Wie erreicht / berechnet man den SIL? Der erreichte SIL ist das Minimum aus: > Zufällige Ausfälle 1. SIL_PFD/PFH: SIL basierend auf PFDavg / PFH 2. SIL_AC: SIL basierend auf der Architektur 3. SIL_Cap: SIL basierend auf der Geräteeigenschaft > Systematische Ausfälle Copyrightexida.com 2013 V1R0 Seite 11
Fall 1: SIL basierend auf PFDavg / PFH Safety Integrity Level SIL 4 SIL 3 SIL 2 SIL 1 Probability of Failure on Demand (Low Demand Mode of Operation) >=10-5 to <10-4 >=10-4 to <10-3 >=10-3 to <10-2 >=10-2 to <10-1 Probability Frequency of Dangerous Hazardous Failure Events per (High Demand Mode + hour Continuous Mode of Operation) >=10-9 1/h to <10-8 1/h >=10-8 1/h to <10-7 1/h >=10-7 1/h to <10-6 1/h >=10-6 1/h to <10-5 1/h Copyrightexida.com 2013 V1R0 Seite 12
Fall 2: SIL basierend auf der Architektur TYPE A TYPE B Copyrightexida.com 2013 V1R0 Seite 13
Fall 3: SIL-Entwicklungsprozess cmp Safety Lifecycle System Improvement request Requirements «review» Tracking::Customer requirements Independent department SRS «trace» VTS: Test Obj ectiv es VTS: Test spec + test houses Requirements Tracking::Normativ e requirements «confirm» VTS: Testing + Reports Hardware System-FMEA add. diagnostics FMEDA Informal dev eloper test - HW add. diagnostics Improvement request «review» FIT «review» SRS- Attribure HW HDD Circuit diagram, layout,... Prototype HW «update» Safety Concept Software Integration + Fault Insertion Test Spec Integration + Faultt InsertionTest Modification - CCB add. diagnostics SCA MISRA + P2P Rev iew «review» Improvement request «review» Cov erage measurement Instrumented code SRS- Attribure SW SDD Code «update» Informal dev eloper test - SW Mechanics P2P Review Schematics + Description Prototype Mechanics Copyrightexida.com 2013 V1R0 Seite 14
Klare Anweisungen Copyrightexida.com 2013 V1R0 Page 15
Erfahrenes Personal Copyrightexida.com 2013 V1R0 Page 16
Was benötigt man zur Kennzahlenermittlung? IEC 61508 SIL PFD / PFH SFF Berechne Berechne λ safe, λ dd, λ du FMEDA Ausfallrate λ, Ausfallarten, Verteilung der Ausfallarten Copyrightexida.com 2013 V1R0 Seite 17
Was ist Lambda λ? Der elfte Buchstabe des griechischen Alphabets. Eine Ausfallrate, welche die Wahrscheinlichkeit angibt, dass eine Komponente innerhalb einer bestimmten Zeit ausfällt. Ausfälle pro Stunde (normalerweise: Ausfälle / 10 9 Stunden= FIT). Für die Wahrscheinlichkeitsberechnung geht man von einer konstanten Ausfallrate aus. Die Brauchbarkeitsdauer der Komponenten darf nicht überschritten werden. Die Referenzbedingungen müssen bekannt sein. Copyrightexida.com 2013 V1R0 Seite 18
Was muss mit Lambda λ gemacht werden? Die Ausfallrate λ muss in die folgenden klassifizierten Ausfallraten aufgeteilt werden: λ S (Ausfallrate aller sicheren Ausfälle) λ D (Ausfallrate aller gefährlichen Ausfälle) λ DD (Ausfallrate aller gefährlichen aber erkennbaren Ausfälle) λ DU (Ausfallrate aller gefährlichen nicht erkennbaren Ausfälle) Copyrightexida.com 2013 V1R0 Seite 19
Wie kommt man zur Ausfallrate Lambda λ? Vom Hersteller eines Teilsystems! Vom Assessor, von der Zertifizierungsstelle! Frage an den Endanwender??? Aus Datenbüchern! Aus der FMEDA! Copyrightexida.com 2013 V1R0 Seite 20
Quellen von Ausfallraten SN 29500 IEC 62380 Ed.1 /TR (auch bekannt als UTE C 80-810) RAC FMD-91 exida Electrical & Mechanical Component Reliability Handbook Bellcore (Telcordia) Normen TR-332 Ausgabe 6 und SR-332 Ausgabe 1 MIL HDBK 217F Copyrightexida.com 2013 V1R0 Seite 21
Quellen von Ausfallarten / Verteilungen RAC FMD-91 und RAC FMD-97 MIL HBDK 338B IEC 62061 (zukünftig nicht mehr) ISO 13849-2 (nur Ausfallarten) IEC 61496-1 (nur Ausfallarten) EN 298 (nur Ausfallarten) IEC 62380 Ed.1 /TR (auch bekannt als UTE C 80-810) exida Electrical & Mechanical Component Reliability Handbook Copyrightexida.com 2013 V1R0 Seite 22
Quellen von Ausfallarten / Verteilungen IEC 62061 (zukünftig nicht mehr) Copyrightexida.com 2013 V1R0 Seite 23
Quellen von Ausfallarten / Verteilungen RAC FMD-91 bzw. MIL HDBK 338B Copyrightexida.com 2013 V1R0 Seite 24
Quellen von Ausfallarten / Verteilungen ISO 13849-2 Copyrightexida.com 2013 V1R0 Seite 25
Quellen von Ausfallarten / Verteilungen IEC 61496 Copyrightexida.com 2013 V1R0 Seite 26
Quellen von Ausfallarten / Verteilungen EN 298 Copyrightexida.com 2013 V1R0 Seite 27
Was benötigt man zur Kennzahlenermittlung? IEC 61508 SIL PFD / PFH SFF Berechne Berechne λ safe, λ dd, λ du FMEDA Ausfallrate λ, Ausfallarten, Verteilung der Ausfallarten Copyrightexida.com 2013 V1R0 Seite 28
Spezifikation der Sicherheitsfunktion Was ist zu messen? Was ist die erlaubte Reaktionszeit? Wie oft ist mit der Anforderung der Sicherheitsfunktion zu rechnen? Wie schnell / häufig müssen Diagnosen durchgeführt werden? Was ist der sichere Zustand (Beispiele)? Ausgang wird abgeschaltet Ausgang wird eingeschaltet Ausgangsstrom ist kleiner 2.1mA Ausgangsfrequenz gleich 0Hz Copyrightexida.com 2013 V1R0 Seite 29
Sicherer Ausfall (S): Der Ausfall veranlasst das System / Teilsystem / Element, ohne Prozessanforderung in den definierten sicheren Zustand zu gehen. Gefährlicher Ausfall (D): Definition von Begriffen Das System / Teilsystem / Element reagiert nicht auf eine Prozessanforderung (d.h. ist unfähig, in den definierten sicheren Zustand überzugehen). Gefährlicher Erkennbarer Ausfall (DD): Ausfall ist gefährlich, kann aber mittels Diagnosen erkannt werden und das System in den definierten sicheren Zustand überführt werden. Copyrightexida.com 2013 V1R0 Seite 30
Failure Modes, Effects and Diagnostics Analysis IEC 61508-2 Table A.1 IEC 61508-2 Tables A.2 A.15 Copyrightexida.com 2013 V1R0 Seite 31
Ziele einer FMEDA IEC 61508-2 Tabelle A.1 IEC 61508-2 Tabellen A.2 A.15 IEC 61508-1 Tabelle 2?? PFD = 3.2E-02 ok τ Repair λ du λ dd λ s IEC 61508-2 Tabelle 3 (Type B Komponenten) du dd τ Test s Copyrightexida.com 2013 V1R0 Seite 32
FMEDA Beispiel 24V 9V 5V T2 H1 yellow R1 U1 R2 R3 R5 R4 D1 K1 D2 R1 C1 + T1 Copyrightexida.com 2013 V1R0 Seite 33
FMEDA Tool Copyrightexida.com 2013 V1R0 Seite 34
FMEDA der Mechanik / Sensorik Elektronik Schrauben O-Ring O-Ring Piezo-Element Isolierung Messsonde Bild: VEGA Grieshaber KG Copyrightexida.com 2013 V1R0 Seite 35
IEC 61508 Part 2 Annex C.1 Calculation of diagnostic coverage and safe failure fraction of a hardware element The analysis used to determine the diagnostic coverage and safe failure fraction shall include all of the components, including electrical, electronic, electromechanical, mechanicaletc, that are necessary to allow the element to process the safety function(s) as required by the E/E/PE safety-related system. All of the possible dangerous modes of failure that will lead to an unsafe state, prevent a safe response when such a response is demanded or otherwise compromise the safety integrity of the E/E/PE safety-related systems, shall be considered for each of the components. Copyrightexida.com 2013 V1R0 Page 36
FMEDA der Mechanik / Sensorik 1. Für die Beurteilung der Mechanik / Sensorik sollten nach Möglichkeit eigene Felddaten verwendet werden. 2. Periodisch sollten die Felddaten überprüft und ggf. angepasst werden. Hierzu sollten nach Möglichkeit auch die Erfahrungen der Endanwender berücksichtigt werden. 3. Die Beurteilung der Mechanik / Sensorik muss zusammen mit dem entsprechenden Entwickler durchgeführt werden, da seine Einschätzung wichtig für die Auswahl der entsprechenden Komponente, deren Ausfallrate und deren Fehlerarten und Verteilung ist. Hierzu ist eine Einflussanalyse sehr hilfreich. 4. Felddaten des kompletten Gerätes sollten zur Plausibilisierung der ermittelten Daten aus der FMEDA herangezogen werden. Copyrightexida.com 2013 V1R0 Seite 37
FMEDA der Mechanik / Sensorik 5. Die Aufteilung / Unterscheidung zwischen zufälligen und systematischen Ausfällen muss klar in der Datenbank und in den jeweiligen FMEDA Berichten dargestellt werden. exida s Datenbank beinhaltet folgende (zufällige) Ausfälle: Zufälliger Stress bedingt durch die Umgebung Materialausfälle Ausfälle auf Grund unvorhergesehener Änderungen in den Einsatzbedingungen Unbeabsichtigt falsche Anwendung Unbeabsichtigter Missbrauch in der endgültigen Anwendung. Copyrightexida.com 2013 V1R0 Seite 38
exida s mechanische Datenbasis Initial database creation process Warranty Failure Data Product λ Expert Opinion Estimate INITIAL MECHANICAL COMPONENT DATABASE Usage Assumptions Based on Expert Opinion Study Function of Each Mechanical Component Failure Mode Database % of λ Due to each Component Initial Failure Modes Draft Component λ s Failure Mode Distribution Copyrightexida.com 2013 V1R0 Seite 39
exida s mechanische Datenbasis Mechanical component database update process Field Failure Data Product λ Compare FMEDA Product λ MECHANICAL COMPONENT DATABASE Industry Database Significant Difference? YES Update Component Database NO Finish Copyrightexida.com 2013 V1R0 Seite 40
ISO 13849-1 Annex C.1 General This annex gives several methods for calculating or evaluating MTTF d values for single components: the method given in C.2 is based on the respect of good engineering practices for the different kinds of components; that given in C.3 is applicable to hydraulic components; C.4 provides a means of calculating the MTTF d of pneumatic, mechanical and electromechanical components from B10 (see C.4.1); C.5 lists MTTF d values for electrical components. Copyrightexida.com 2013 V1R0 Page 41
NAMUR NE 130 Copyrightexida.com 2013 V1R0 Page 42
Mechanical FMEDA Failure rates according to NPRD-95 (Nonelectronic Parts Reliability Data 1995) Examples: Electrical Motor (Summary), 2-83: 9244 FIT Gear Box (Summary), 2-104: 8708 FIT Gearshaft (Summary), 2-104: 620 FIT Spring (Summary), 2-191: 613 FIT Copyrightexida.com 2013 V1R0 Page 43
Mechanical FMEDA Failure rate calculation according to NSWC-98/LE1 Example Spring λ SP = λ SP,B C G C DW C DC C N C Y C L C K C CS C R C M Copyrightexida.com 2013 V1R0 Page 44
Wie erreicht man den SIL? Der erreichte SIL ist das Minimum aus: > Zufällige Ausfälle 1. SIL_PFD/PFH: SIL basierend auf PFDavg / PFH 2. SIL_AC: SIL basierend auf der Architektur 3. SIL_Cap: SIL basierend auf der Geräteeigenschaft > Systematische Ausfälle Copyrightexida.com 2013 V1R0 Seite 45
Fall 1: SIL basierend auf PFDavg The PFDavg for the total SIF in 1oo1 = PFH λ DU Copyrightexida.com 2013 V1R0 Seite 46
Ergebnis bzgl. anderer Architekturen Beispiele ohne Gewähr auf Vollständigkeit Copyrightexida.com 2013 Page 47
Ergebnis bzgl. PFDavg für 1oo1D Copyrightexida.com 2013 Page 48
Fall 1: SIL basierend auf PFDavg Copyrightexida.com 2013 V1R0 Seite 49
Fall 2: SIL basierend auf der Architektur Definiere die Hardware Fehler Toleranz (HFT) basierend auf: Safe Failure Fraction (SFF) Zu erreichender SIL SFF = λ SAFE + λ DD λ SAFE + λ DD + λ DU = 1 - λ DU λ Total Copyrightexida.com 2013 V1R0 Seite 50
Ergebnis bzgl. SFF Copyrightexida.com 2013 V1R0 Seite 51
Fall 2: SIL basierend auf der Architektur Copyrightexida.com 2013 V1R0 Seite 52
Fall 3: Geräteeigenschaft Process Sector Safety Instrumented System Standard Process Sector Hardware Process Sector Software Developing New Hardware Devices Follow IEC 61508 Using Proven-In- Use Hardware Devices Follow IEC 61511 Using Hardware Developed and Accessed According to IEC 61508 Follow IEC 61511 Developing Embedded (System) Software Follow IEC 61508-3 Developing Application Software Using Full Variability Languages Follow IEC 61508-3 Developing Application Software Using Limited Variability Languages or Fixed Programs Follow IEC 61511 Copyrightexida.com 2013 V1R0 Seite 53
Fall 3: Geräteeigenschaft SIL 2 Capable Copyrightexida.com 2013 V1R0 Seite 54
Beeinflussung der Ergebnisse Fehlerbeherrschung durch Design Verbesserung / Erweiterung der Diagnosen Copyrightexida.com 2013 V1R0 Seite 55
Fehlerbeherrschung durch Design Safe failure fraction Hardware Fault Tolerance 1 λ DU / λ (Type B complex subsystem) total 0 (1oo1D, 2oo2D) 1 (1oo2D, 2oo3D) Architekturen 2 (1oo3D) FMEDA < 60% Not allowed SIL1 SIL2 60%... < 90% SIL1 SIL2 SIL3 90%... < 99% SIL2 SIL3 SIL4 >= 99% SIL3 SIL4 SIL4 Fault Tolerance N means N+1 faults could cause a loss of the safety function. Copyrightexida.com 2013 V1R0 Seite 56
Wirkung der Diagnose ZUVERLÄSSIGKEIT VERFÜGBARKEIT PFD PFS Nuisance Trip ERFOLGREICHER BETRIEB ERFOLGLOSER BETRIEB PFS - Probability of Safe Failure PFD - Probability of Failure on Demand (Gefährlicher Fehler) RRF - Risiko Reduktions Faktor = 1/PFD Copyrightexida.com 2013 V1R0 Seite 57
Wirkung der Diagnose ZUVERLÄSSIGKEIT VERFÜGBARKEIT DIAGNOSE PFS ERFOLGREICHER BETRIEB PFD ERFOLGLOSER BETRIEB Copyrightexida.com 2013 V1R0 Seite 58
Fragen und Diskussion Copyrightexida.com 2013 V1R0 Seite 59
excellence in dependable automation Copyrightexida.com 2013 V1R0 Seite 60