Fakulä Elekro- & Informaionsechnik, Insiu für Auomaisierungsechnik, rofessur für rozessleiechnik Vorlesung - rozessleiechnik LT Sicherhei und Zuverlässigkei von rozessanlagen - Sicherheislebenszyklus Teil : Enwurf und lanung des Safey Insrumened Sysem SIS - Forsezung A. Krause, L. Urbas Dresden,
Sicherheislebenszyklus nach DIN EN 61511 [1] Teil : Enwurf und lanung des Safey Insrumened Sysem SIS Sicherheislebenszyklus Enwurf Folie von 47
Anforderungen an Enwurf und lanung [1] 1 Allgemeine Anforderungen Anforderungen an das Sysemverhalen bei Endeckung eines Fehlers 3 Anforderungen an die Hardware-Fehleroleranz 4 Anforderungen an die Geräeauswahl 5 Feldgeräe 6 Schnisellen 7 Anforderungen an die Insandhalungs- und Teseinrichungen 8 Quanifizierung zufälliger Hardwareausfälle Sicherheislebenszyklus Enwurf Folie 3 von 47
ANFORDERUNGEN AN DIE GERÄTEAUSWAHL Sicherheislebenszyklus Enwurf Folie 4 von 47
Allgemeine Anforderungen [1] Gerä ensprich ODER in Hard- und Sofware DIN EN 61508 [] Anforderungen an Hardwarefehleroleranz Anforderungen für Beriebsbewährung Eine Komponene is beriebsbewähr, wenn eine ensprechend dokumeniere Unersuchung ergeben ha, dass Nachweise aus früheren Einsäzen belegen, dass die Komponene für den Einsaz in einem SIS geeigne is. Sicherheislebenszyklus Enwurf Folie 5 von 47
Beriebsbewährung / NE 93 [3] quaniaive Mindesanforderungen nach DIN EN 61511 in verfahrensechnischen Anlagen is of kein rechnerischer Nachweis möglich Ursache: äußers unerschiedliche Einsazbedingungen keine gesicheren Daen über individuelle Ausfallraen deshalb: Nachweis über Mehode, die summarisch saisisch belasbare Aussagen ermöglich Sicherheislebenszyklus Enwurf Folie 6 von 47
Anforderungen an LT-Schuzeinrichungen in der Beriebsar mi niedriger Anforderungsrae [1] SIL Wahrscheinlichkei eines gefährlichen Ausfalls FD avg pro Jahr 1 10 - bis 10-1 10-100 Zielwer für die Risikominderung 10-3 bis 10-100 - 1000 3 10-4 bis 10-3 1000-10000 4 10-5 bis 10-4 10000-100000 Sicherheislebenszyklus Enwurf Folie 7 von 47
Zu ermielnde Größen [3] Anzahl der LT-Schuzeinrichungen gerenn nach SIL 1/ SIL und SIL 3 Anzahl der im Kalenderjahr fesgesellen gefährlichen Ausfälle von LT-Schuzeinrichungen gerenn wie oben opional: Anzahl der im Kalenderjahr aufgereenen akiven Fehler Nuzung des Formblaes der NE 93 Sicherheislebenszyklus Enwurf Folie 8 von 47
Berechnee Größen [3] Ausfallrae bezüglich gefährlicher Fehler Ausfallrae bezüglich akiver Fehler Formbla der NE 93 [3] Sicherheislebenszyklus Enwurf Folie 9 von 47
Nachweis der Beriebswährung NE 130 [4] Ziele der NE 130: Konkree Anforderungen Definiion von Geräeklassen nach NE 130 qualifizieres Gerä is einkanalig für SIL und in mindesens 1oo-Redundanz für SIL 3 einsezbar Vereinfacher rechnerischer SIL-Nachweis Nich gülig für sicherheisgerichee SS SSS inkl. EA-Module und komplexe Analysegeräe Sicherheislebenszyklus Enwurf Folie 10 von 47
Vorgehen nach NE 130 [4] Sicherheislebenszyklus Enwurf Folie 11 von 47
. Meilensein rüfung [4] Auf Basis der NE 95 Messgenauigkei, Temperaurdrif, Ausfallverhalen EMV-Fesigkei Geräeunerlagen Bedienbarkei Konsrukive Ausführung Sicherheisechnische Aspeke Hersellererklärung Sicherheishandbuch Komplexiä der Konfiguraion Idenifikaion passiver Fehler Bewerung der Diagnose Abschäzung sicherheisechnischer Kenngrößen Sicherheislebenszyklus Enwurf Folie 1 von 47
3. Meilensein Beriebserprobung [4] Ziel is die Idenifizierung bisher unendecker Geräefehler Handhabungsfehler im berieblichen Umfeld und uner realen rozessbedingungen Beriebserprobung bei Seriengeräen in nich sicherheiskriischen Anwendungen möglichs mi koninuierlicher Beriebsar mind. 10 verschiedenarige Anwendungen Abdeckung unerschiedlicher rozessbedingungen Sicherheislebenszyklus Enwurf Folie 13 von 47
Beriebsbewähre Geräe [4] Nach erfolgreichem Abschluss der rüfungen Gerä arbeie wie spezifizier uner den gegebenen Beriebs- und Umgebungsbedingungen Geeigne für sicherheisechnischen Einsaz Zusammenführungen der Ergebnisse der Geräeprüfung der Beriebserprobung Fessellung des Saus Beriebsbewähr Sicherheislebenszyklus Enwurf Folie 14 von 47
Einsaz beriebsbewährer Geräe [4] rüfung der Eignung lieg in der eigenen Veranworung Sichersellen der Beriebs- und Umwelbedingungen Bei Abweichungen der Bedingungen müssen zusäzliche Maßnahmen geroffen werden Sicherheislebenszyklus Enwurf Folie 15 von 47
4. Meilensein Verifikaion [4] Ziel: koninuierliche Besäigung der sicherheisechnischen Leisungsfähigkei Mehode: Sörsaisik inklusive deaillierer Fehleranalyse mindesens nach NE 93 Zurückziehen des rädikas Beriebsbewähr : bei bekann werden von Sörungen, die die sicherheisechnische Funkion des Geräes beeinrächigen Sicherheislebenszyklus Enwurf Folie 16 von 47
SCHNITTSTELLEN Sicherheislebenszyklus Enwurf Folie 17 von 47
Bedienerschniselle [1] Mibenuzung der Bediener-Schniselle des BCS muss dessen Ausfall berücksichigen Schuz gegen Fehlbedienung Sicherung von Überbrückungsschalern durch Schlüsselschaler oder asswörer Enscheidende Sausinformaionen müssen abgebilde werden Änderungen am Anwendungsprogramm müssen verhinder werden Sicherheislebenszyklus Enwurf Folie 18 von 47
Insandhalungs- und Engineeringschniselle [1] geschüzer Zugriff auf SIS-Beriebsar, rogramm, Daen, SIS-Diagnose, Mehrheisenscheider, Fehlerbehandlungsrouinen Hinzufügen, Löschen oder Ändern des Anwendungsprogramms Fehlersuche darf nich als Bediener-Schniselle genuz werden Sicherheislebenszyklus Enwurf Folie 19 von 47
Kommunikaionsschniselle [1] Ausfall der Kommunikaion darf die Fähigkeien des SIS nich beeinrächigen Kommunikaion mi BCS und eripherie muss ohne Einfluss auf SIF sein Ausreichend unempfindlich gegen elekromagneische Beeinflussung einschließlich Spannungsschwankungen Kommunikaion mi Geräen, die sich auf anderen elekrischen oenialen befinden Sicherheislebenszyklus Enwurf Folie 0 von 47
QUANTIFIZIERUNG ZUFÄLLIGER HARDWARE- AUSFÄLLE Sicherheislebenszyklus Enwurf Folie 1 von 47
Begriff [] Ausfallgrenzwer zu erreichender Grenzwer der Wahrscheinlichkei gefahrbringender Ausfallaren, der aufgrund der Anforderungen an die Sicherheisinegriä fesgeleg wird als milere Wahrscheinlichkei eines gefahrbringenden Ausfalls einer Sicherheisfunkion bei Anforderung in der Beriebsar mi niedriger Anforderungsrae FD avg milere Häufigkei eines gefahrbringenden Ausfalls [h -1 ] in der Beriebsar mi hoher Anforderungsrae oder in der Beriebsar mi koninuierlicher Anforderung - FH Sicherheislebenszyklus Enwurf Folie von 47
Fakoren für berechneen Ausfallgrenzwer [1] Innerer Aufbau des SIS Geschäze Ausfallrae für zufällige Hardware- Ausfälle, die zu einem Gefahr bringendem Ausfall des SIS beiragen können und vorher durch Diagnose erkann werden und nich durch Diagnose erkann werden, wohl aber durch Funkionsprüfungen und weder durch Diagnose noch durch Funkionsprüfungen erkann werden Sicherheislebenszyklus Enwurf Folie 3 von 47
Weiere Fakoren [1] Anfälligkei gegen durch Funkionsprüfungen selbs verursache Ausfälle Anfälligkei für Ausfälle gemeinsamer Ursache Diagnose-Deckungsgrad, Tesinervall, Zuverlässigkei der Diagnoseeinrichung rüfabdeckung von Funkionsprüfungen, rüfvorschrif und Zuverlässigkei der rüfeinrichung Reparaurzei für erkanne Fehler und Zusand des SIS während Reparaur on-/offline geschäze Rae gefahrbringender Ausfälle aller Kommunikaionsprozesse geschäze Wahrscheinlichkei eines Ausfalls durch Bedienerreakion Sicherheislebenszyklus Enwurf Folie 4 von 47
Zuverlässigkeisdaen [1] Zuverlässigkeisdaen zur Berechnung müssen glaubwürdig, nachvollziehbar, dokumenier und begründe sein. Nuzung von Felddaen für ähnliche Geräe in ähnlicher Beriebsumgebung Fehlen von Zuverlässigkeisdaen mi ähnlichen Beriebsbedingungen is häufiger Mangel Erfassung von Zuverlässigkeisdaen im Berieb beschrieben in DIN EN 60300-3- [5] Sicherheislebenszyklus Enwurf Folie 5 von 47
Ausfallgrenzwer einer SIF nich erreich [1] 1. Idenifizierung der Geräe, die am meisen zum Ausfall beiragen Sensiiviäsanalyse. Ermilung der Auswirkung möglicher Verbesserungsmaßnahmen z.b. höhere Zuverlässigkei, zusäzliche Abwehrmaßnahmen, verbessere Diagnose oder rüfabdeckung, erhöhe Redundanz, verkleineres rüfinervall, 3. Auswahl und Implemenierung einer Maßnahme 4. Vergleich mi Ausfallgrenzweres und Wiederholung der Schrie 1-3, wenn nöig Sicherheislebenszyklus Enwurf Folie 6 von 47
Verfügbare Modellierungsmehoden zur Berechnung des Ausfallgrenzweres [1] Modellierungsmehoden Ursachen-Wirkungs-Analyse Zuverlässigkeisblockdiagramme Fehlerbaumanalyse Markov-Modelle erineze Berechnungsmehoden analyisch oder Mone-Carlo-Simulaion Sicherheislebenszyklus Enwurf Folie 7 von 47
MARKOV-MODELLE Sicherheislebenszyklus Enwurf Folie 8 von 47
Allgemeine Beschreibung in DIN EN 61165 [6] Zusandsübergangsdiagramm bildhafe Darsellung des Zuverlässigkeis- oder Sicherheisverhalens modellier das zeiliche Verhalen besonders geeigne für Syseme mi Redundanz mi reihenfolgenabhängigem Ausfallverhalen mi komplexen Insandhalungssraegien roblem: Modellierung vieler Zusände/Komponenen u.u. fehlerhafe Modelle, Rechenzei Sicherheislebenszyklus Enwurf Folie 9 von 47
Beispiel 1-Komponenen Sysem [6] Komponene ha Zusände 0: funkionierend 1: ausgefallen Ausfallrae und Wiederhersellungsrae sind konsan Sysembeschreibung: Sysem funkionier, wenn Komponene A funkionier Analyseziel: Verfügbarkei A Modelle: A 0 1 Sicherheislebenszyklus Enwurf Folie 30 von 47
Annahmen [3] Ausfallrae und Wiederhersellungsrae sind konsan zukünfiges Verhalen nur vom gegenwärigen Zusand abhängig gedächnislos Die Wiederhersellungsrae in DIN EN 61165 [6] wird in IEC 60050-191-13-0 auch als Insandsezungsrae bezeichne. 09.04.013 Sicherheislebenszyklus Enwurf Folie 31 von 47
Analyseziel feslegen [6] Folgende Maßgrößen können z. B. gesuch sein Wahrscheinlichkei, dass das Sysem vor der Zei ausfallen wird die Häufigkei gefährlicher Ereignisse die milere Dauer, bis der erse Sysemausfall einri die saionäre Verfügbarkei die Wahrscheinlichkei, dass das Sysem ausfallen wird, wenn seine Funkion angeforder wird Sicherheislebenszyklus Enwurf Folie 3 von 47
Auswerung [6] Enscheidung über Haupziel der Auswerung: saionäre oder ransiene Were berächlich größerer numerischer Aufwand erforderlich Allgemein können Funkionsfähigkeis- Verfügbarkeis- Insandhalbarkeis- und Sicherheismaßgrößen abgeleie werden Sicherheislebenszyklus Enwurf Folie 33 von 47
Beispiel für unerschiedliche Inerpreaionen von Ausfall- und Wiederhersellungszei [6] Sicherheislebenszyklus Enwurf Folie 34 von 47
Beispiel redundanes Sysem [6] idenische Komponenen, konsane Ausfall- und Wiederhersellungsrae Sysembeschreibung: 1oo-Sysem Sysem is ausgefallen, wenn beide Komponenen ausgefallen sind Analyseziel: Verfügbarkei Sicherheislebenszyklus Enwurf Folie 35 von 47
Beispiel redundanes Sysem [6] idenische Komponenen, konsane Ausfall/Wiederhersellungsrae Sysembeschreibung: 1oo-Sysem Sysem is ausgefallen, wenn beide Komponenen ausgefallen sind Analyseziel: Verfügbarkei Modell: 1 Zusände: 0 0: beide Komponenen funkionieren 1: Komponene A oder B is ausgefallen : beide Komponenen sind ausgefallen Sicherheislebenszyklus Enwurf Folie 36 von 47
Sicherheislebenszyklus Enwurf Folie 37 von 47 Differenialgleichungsverfahren zur Berechnungen zeilich homogener Markov-Modelle [6] i - Wahrscheinlichkei das Sysem zur Zei in einem Zusand i vorzufinden Differenialgleichungen am 1oo-Sysem: 1 1 0 1 1 0 0 d d d d d d 0 1
Sicherheislebenszyklus Enwurf Folie 38 von 47 Differenialgleichungsverfahren zur Berechnungen zeilich homogener Markov-Modelle [6] Zusandsübergangsmarix Q für 1oo-Sysem: Differenialgleichungssysem: wobei 0 0, Q, d d Q T T 1 0
Lösung des Differenialgleichungssysems im Lalace-Bereich Differenialgleichungssysem im Lalace-Bereich: s * s 0 Q T, * s Es Q T * s 0 Lösung: s i D Deerminane zu Es-Q T D i Deerminane D mi der i-en Spale durch 0 ersez D D i Anfangsbedingung: 0 0... 0 1 n T Rückransformaion in den Zeibereich: i L 1 i s Sicherheislebenszyklus Enwurf Folie 39 von 47
Berechnungen [6] Verfügbarkei momenane Verfügbarkei A asympoische/saionäre Verfügbarkei A=A Nichverfügbarkei momenane Nichverfügbarkei U=1-A Momenane sicherheisechnische Nichverfügbarkei FD=U Überlebenswahrscheinlichkei R MTTF Mean Time To Failure MTTF R d 0 FD avg average robabiliy of Failure on Demand FD avg 1 0 FDs d s Sicherheislebenszyklus Enwurf Folie 40 von 47
Berechnung der Verfügbarkei [6] Verfügbarkei A A j mi X Menge aller Zusände für die das Sysem funkionier j X 1oo-Sysem: A = 0 + 1 U = 1 - A = 1 0 + 1 = 1 = 0 + 1 + Sicherheislebenszyklus Enwurf Folie 41 von 47
Berechnung saionärer Verfügbarkei [6] Asympoische/saionäre Verfügbarkei A A j mi X Menge aller Zusände für die das Sysem funkionier j X j über lim A für oder lim s As für s 0 oder Gleichungssysem: der 3 Differenialgleichung mi d i /d=0 Summe aller i gleich 1 Beispiel 1oo-Sysem: 0 0 1 0 1 A 0 1 1 0 1 Sicherheislebenszyklus Enwurf Folie 4 von 47
Sicherheislebenszyklus Enwurf Folie 43 von 47 Überlebenswahrscheinlichkei [6] Modell des 1oo-Sysems für die Überlebens- wahrscheinlichkei Differenial- Gleichungs- sysem Sysemüberlebenswahrscheinlichkei und milere Dauer bis zum Sysemausfall d d d d d d 1 1 0 1 1 0 0 0 1 0 3 d R MTTF R 0 1 0 0 1 0 0 1
NÄCHSTE VORLESUNG Sicherheislebenszyklus Enwurf Folie 44 von 47
Sicherheislebenszyklus Teil 1: Analyse Gefahren erkennen & Risiken beweren Teil : Spezifikaion & Enwurf Risiken reduzieren Teil 3: Inberiebnahme & Berieb Sicherhei aufrech erhalen [1] Sicherheislebenszyklus Enwurf Folie 45 von 47
Auswerung [6] Enscheidung über Haupziel der Auswerung: saionäre oder ransiene Were berächlich größerer numerischer Aufwand erforderlich Allgemein können Funkionsfähigkeis- Verfügbarkeis- Insandhalbarkeis- und Sicherheismaßgrößen abgeleie werden Sicherheislebenszyklus Enwurf Folie 46 von 47
Quellen [1] DIN EN 61511: Funkionale Sicherhei - Sicherheisechnische Syseme für die rozessindusrie. [] DIN EN 61508: Funkionale Sicherhei sicherheisbezogener elekrischer/elekronischer/programmierbarer elekronischer Syseme. [3] NE 93: Nachweis der sicherheis-echnischen Zuverlässigkei von LT- Schuzeinrichungen. [4] NE 130: Beriebsbewähre Geräe für LT-Schuzeinrichungen und vereinfache SIL-Berechnung. [5] DIN EN 60300-3-: Anwendungsleifaden Erfassung von Zuverlässigkeisdaen im Berieb. [6] DIN EN 61165: Anwendung des Markoff-Verfahrens. Sicherheislebenszyklus Enwurf Folie 47 von 47