Wat is de enige zekerheid in de techniek F U S A C O N. Wat is de enige zekerheid. Wat doet D&F Consulting? Consulting / Software / Training

Transcriptie

1 Learnshop SIL-PL in de praktijk Door: Nick de With Fusacon en Harry Krosse D&F Onderwerpen: - Introductie D&F en Fusacon - Herkomst en achtergrond SIL en PL - Gebruik standaard PLC versus veiligheid PLC - Uitgewerkt voorbeeld in Softwarepakket Sistema van IFA (case) - Voorbeeldschema met valkuil - Veiligheidsfuncties dynamische signalen - Voorbeeld schema; welke fouten worden ontdekt (validatie) - Methodiek SIL met voorbeeld (case) - Random en systematische fouten - Serieschakeling veiligheidschakelaars volgens nieuwe EN 1088 Wat doet D&F Consulting? Consulting / Software / Training Onze missie is het voorkomen van ongevallen in de industriële en logistieke sector. D&F een onafhankelijke specialist voor mens- en machineveiligheid. BU Machine Safety - risicobeoordeling, adviestrajecten voor machineveiligheid, veiligheidsbesturingen en elektrische installaties - opstellen gebruikershandleidingen, technische dossiers, werkinstructies BU Process Safety - explosieveiligheid - drukapparat (PED) - procesveiligheid, uitvoeren van HAZOP s, verificatie safety instrum. systems (SIS) - Begeleiding Notified Body -trajecten Page 1 Page 2 BU Safety Management & Culture - online veiligheidscult in uw bedrijf meten - bewustwording onveilig gedrag en invloed leidinggevenden - betrokkenheid medewerkers Software -Database Veiligheidsnormen (normbewerkingen met zoekfunctie en hyperlinks) -Safety Control (software voor het opstellen en beheren van Risicobeoordelingen) Trainingen - explosieveiligheid, machineveiligheid, elektrische veiligheid, SIL/PL, drukapparat, TRA, HAZOP, cult & gedrag - in company - open inschrijving - masterclass 4 tot 8 dagen - coachingstrajecten F U S A C O N B.V. info@fusacon.nl Page 3 Page 4 Wat is de enige zekerheid in de techniek Wat is de enige zekerheid in de techniek Na een storing door een foutieve aansluiting van een meetwaardeomvormer door een monteur zei Murphy tegen hem:? Edward Aloysius Murphy, Jr. Amerikaanse ruimtevaartingenieur die aan veiligheidkritieke systemen werkte. "If there is any way to do it wrong, he'll find it. Later is dit geworden: "If anything can go wrong, it will Page 5 Page 6 1

2 Wat is de enige zekerheid in de techniek Facts: Elk product kan falen.. Murphy s law geldt ook hier. Wanneer het faalt is de? Faalkans is te berekenen! NBN/NEN-EN houdt helemaal GEEN rekening met faalkans component(en) Machinesector: 2 nieuwe normen Twee nieuwe normen houden WEL rekening met de faalkans van componenten/subsystemen: NIEUW: NBN/NEN-EN-IEC 62061:2005, functionele veiligheid SRECS; Safety Integrity Level 3 niveau s: SIL1, SIL2, SIL3. NIEUW: NBN/NEN-EN-ISO :2006, veilig ontwerp en integratie SRP/CS; Performance Level: 5 niveau s: PLa, PLb, PLc, PLd, PLe Page 7 Page 8 Gebruik EN-IEC 61508/61511/62061 of ISO /ISO verplicht? VOORBEELD: Milieuvergunning Provincie Groningen (jan. 2004) Meet- en regelapparat en -systemen Elke instrumentele beveiliging dient SIL geclassificeerd te zijn volgens IEC In het documentatiesysteem dient een actueel overzicht te zijn opgenomen van de SIL geclassificeerde instrumentele beveiligingen Elke wijziging in de als SIL 1 of hoger geclassificeerde instrumentele beveiliging mag alleen via een, vooraf opgestelde, schriftelijke procedure gebeuren. Indien een veilige voortgang van het proces het noodzakelijk maakt om direct wijzigingen aan te brengen, dan moet hiervan een aantekening worden gemaakt in het documentatiesysteem. Stelling: De SIL-norm IEC is speciaal gemaakt voor de procesindustrie Wie van u is het hier mee eens? Page 9 Page 10 VDE 0801 DIN DIN Etc. IEC Start 1985 Einde pag. Ontstaansreden IEC Machinesector Start 1998 Einde 2004 IEC 90 pag IEC Start 1998 Einde pag. Processector Medische sector IEC IEC IEC Transportsector Nucleaire sector Is gebruik EN-IEC verplicht? Systeemopbouw Faalfrequentie Testfrequentie Etc. Formules Tabellen IEC 62061:2005 de SIL norm voor machines EN-IEC is eind 2005 MRL geharmoniseerd! Met IEC kunnen veiligheids-plc s wel gebruikt worden (eisen voor applicatiesoftware) IEC geeft eisen voor random EN systematische fouten Life cycle benadering voor SRECS: ALLE fasen! SIL Page 11 Page 12 2

3 Wat betekent SIL? SIL geldt, in tegenstelling tot de PL uit ISO :2006, ALLEEN voor een complete veiligheidsfunctie!!!! SENSOR Schakelaar LS 1oo2 SIL NIET voor componenten!!!!!!! Veiligheidsrelais/ Veiligheids-PLC MOTOR CONTACTOR Motorcontactor SIL level geeft faalkans hele keten SIL PFH bovengrens Max. kans op falen 1 < 10-5 < 0, in < 10-6 < 0, in < 10-7 < 0, in < 10-8 < 0, in Page 13 Page 14 Ontstaansreden ISO Faalkans niet meegenomen EN 954 d1: 1996 d2: pr1999 ISO d1: 1999 d2: 2003 IEC ISO d1: 2006 d2: 2003 (unchanged) Is gebruik EN-ISO verplicht? Categorie MTTFoc DCavg Black box EN-ISO :2006 de PL norm voor machines EN-ISO in 2007 MRL geharmoniseerd ISO : eisen ontwerp en integratie SRP/CS Ook software eisen! EN vervalt per: PL EN pren ISO ISO ISO ISO EN-ISO :2003 : MRL geharmoniseerd sinds: Moet nog aan PL systematiek aangepast worden! Page 15 Page 16 Wat betekent PL? PL zegt iets over de kans op falen van de componenten en OOK de complete veiligheidsfunctie!!!! SENSOR Schakelaar LS 1oo2 PL PL PL PL Veiligheidsrelais/ Veiligheids-PLC MOTOR CONTACTOR Motorcontactor PFH versus PL versus SIL Probability of a dangerous failure per hour [1/h] 10-5 < PFH < x10-6 < PFH< < PFH < < PFH < 10-6 PL, ISO Performance Level a b c d SIL, - IEC Safety Integrity Level No special safety requirements < PFH < 10-7 e 3 Page 17 Page 18 3

4 Veiligheidscomponent als veiligheidspal! Standaard-PLC Problemen met standaard PLC s 65= Veiligheidssysteem vormt veilige schil tegen defect raken van de standaard besturing! Sensor S1 Input Module Logic Module Output Module Actuator One Bit Failure =97 Overig Motoren/ Cilinders Veiligheidspal Als T> 65 C dan sluit de klep Process Page 19 Page 20 Basisprincipes Fail-safe PLC Kanaal 0 Ingang Adr. E x.00 Kanaal 31 Ingang Adr. E x.31 * wordt door BS aangestd 12V 12V * alleen biji PSS DI 2 / PSS DIF 2 I 00 0 V I 31 0 V 24 V 0 V 0 V Basisprincipes Fail-safe PLC: 1. Redundantie HW + SW 2. Zelftests CPU + HW 3. Redundantie I/O s +diagnose 4. Scheiding standaard en veiligheidsprogramma 5. Goedkeuring NOBO ALLE logische eenheden voor VHF s verplicht MRL 2006/42/EG Bijl. IV! 3.Redundantie I/O + diagnose Ingangskring na optocoupler redundant Test van optocoupler door signaalinjectie Page 21 IEC en eigenbouw PE VHC Producenten en leveranciers van veiligheidscomponenten EN-IEC Machinesector SIL normen EN-IEC volgen bij zelfbouw veiligheidscomponent met programmeerbare logica Systeem integratoren en gebruikers EN-IEC LET OP: ISO laat meer toe! Page 22 Learnshop SIL-PL in de praktijk Door: Nick de With Fusacon en Harry Krosse D&F Onderwerpen: - Introductie D&F en Fusacon - Herkomst en achtergrond SIL en PL - Gebruik standaard PLC versus veiligheid PLC - Uitgewerkt voorbeeld in Softwarepakket Sistema van IFA (case) - Voorbeeldschema met valkuil - Veiligheidsfuncties dynamische signalen - Voorbeeld schema; welke fouten worden ontdekt (validatie) - Methodiek SIL met voorbeeld (case) - Random en systematische fouten - Serieschakeling veiligheidschakelaars volgens nieuwe EN 1088 Veiligheidsbesturingen volgens PL - ISO Safety of machinery safety related parts of control systems (SRP/CS) Type B1 norm conform de ISO Kwalitatief Gebaseerd en voortbordurend op toegewezen architecturen uit de EN cat. B, Kwantitatief Nieuwe begrippen: - Performance Levels (PL), - Mean Time To Failure (MTTF), - Diagnostic Coverage (DC), - Common Cause Failure (CCF) Page 23 Page 24 4

5 Stappenplan PL ISO ontwerp SRP/CS iteratief proces Bepaal keuze Architect (categorie), DC en MTTF om PLr te halen. 1. Bepaal de PLr met de risicograaf (zie Annex A) 2. Bepaal de ontwerp architect (blokschema), categorie B en het gedrag bij storingen(zie Hfdst 6) 3. Bepaal de MTTFd (zie Annex C en D) 4. Bepaal de DC (zie Annex E) 5. Bepaal de CCF (zie Annex F) 6. Bepaal de eisen van de veiligheids gerelateerde software (zie Hfdst 4.6 en Annex J) 7. Verifieer of PL PLr (zie Hfdst 4.7) 8. Beoordeel op systematische fouten (zie Annex G) 9. Geschikt voor de omgevingscondities 10. Validatie; voldaan aan alle eisen? (zie Hfdst 8 en details ISO ) Te verdelen in kwantitatieve en niet kwantitatieve aspecten. Page 25 Page Bepaal de ontwerparchitect met blokschema 2. Bepaal de PL uit de data-sheet van fabrikant (input) Sensor (INPUT) Controller (LOGIC) Actuator (OUTPUT) Sensor (INPUT) SRP/CS1 PL C4000 SRP/CS2 PL Control SRP/CS3 PL Contactors Page 27 Page Bepaal de PL uit de data-sheet van fabrikant (logic) 4. Bepaal de Categorie van de Output - Contactors (zie Annex E) Symbool Betekenis Im Tussenliggende verbindingen Controller (LOGIC) I1, I2 Input (Sensor) L1, L2 Logische Besturing O1, O2 Output (Contactor) m Controle C Cross Monitoring Categorie 3-4 Actuator (OUTPUT) Page 29 Page 30 5

6 5. Bepaal de MTTFd contactors (zie Annex C en D) (1) Gegevens : SN29500 B = schakelingen Aannames C = 60 cycli per d = 220 dagen per jaar op h = 16 per dag op n = dop hop C = = cycli per jaar op MTTF d 10 B10 D 2 B = = 56 jaren 0,1 n 0,1 n 0, op op Actuator (OUTPUT) 6. Bepaal de MTTFd contactors (zie Annex C en D) (2) Uit het rekenvoorbeeld van de vorige slide blijkt een MTTFd van jaar. MTTF d Aanduiding Bereik Low 3 jaar MTTF d < 10 jaar Medium 10 jaar MTTF d < 30 jaar Actuator (OUTPUT) High 30 jaar MTTF d 100 jaar Page 31 Page Bepaal de DC van de Contactors (zie tabel Annex E) DC Aanduiding Bereik Actuator (OUTPUT) None DC < 60 % Low 60 % DC < 90 % Medium 90 % DC < 99 % High 99 % DC 8. Bepaal de CCF van de Contactors (zie Annex E) (1) Nr. Maatregel tegen CCF Score Score 1 Scheiding Fysieke scheiding tussen signalen, zoals gescheiden bedrading/bekabeling. 2 Diversiteit Verschillende technologieën/ontwerpen worden toegepast. (digitaal/analoog, verschillende fabricaten) 3 Ontwerp/Applicatie/Ervaring 3.1 Beveiliging tegen overspanning, overdruk, overstroom, etc Er worden beproefde veiligheidscomponenten toegepast Beoordeling/Analyse Zijn de resultaten van de Failure Mode and Effect Analysis (FMEA) meegenomen in het ontwerp om de Common Cause Failure (CCF) te voorkomen. 5 5 Page 33 Page Bepaal de CCF van de Contactors (zie Annex E) (2) 10. Bepaal het performance level van de Contactors Nr. Maatregel tegen CCF Score Score 5 Deskundigheid/training Zijn de ontwerpers getraind op voldoende kennis over de oorzaken en gevolgen van Common Cause Failures (CCF). 6 Omgevingscondities 6.1 Voorkomen van verontreiniging en elektromagnetische Compatibiliteit (EMC) volgens de daarbij behorende normen. 6.2 Zijn de omgevingscondities in overweging genomen, zoals, temperat, trillingen, schokken, luchtvochtigheid Totaal: Max. 100 Page 35 Page 36 6

7 11. Bepaal het performance level van het geheel PL= e PL= e PL= e 12. Verifieer of PL PLr (tabel 11, ) (1) Tabel hoeft alleen toegepast te worden als de PFHd-waarden niet bekend zijn maar alleen de Performance Levels a, b, c, d, of e PL laag N la a g > PL a > 3 > niet toegestaan 3 > a Sensor (INPUT) Controller (LOGIC) Actuator (OUTPUT) SRP/CS1 PL C4000 SRP/CS2 PL Control SRP/CS3 PL Contactors De sr bestaat uit 3 subsystemen Met elk PL laag = e Volgens deze tabel is het eindresultaat Dan ook PL = e b > 2 > a 2 > b c > 2 > b 2 > c d > 3 > c 3 > d e > 3 > d 3 > e Page 37 Page 38 Voldoet deze architect aan categorie 3? Welke fouten komen aan het licht? NS op VHC Foutdetectie bij: 1. Direct 2. Direct 3. Direct 4. Direct 5. Bediening NS 6. Bediening NS 7. Direct A CH1 CH2 +24VDC met A-puls +24VDC met B-puls B t Page 39 Page 40 Learnshop SIL-PL in de praktijk Door: Nick de With Fusacon en Harry Krosse D&F Onderwerpen: - Introductie D&F en Fusacon - Herkomst en achtergrond SIL en PL - Gebruik standaard PLC versus veiligheid PLC - Uitgewerkt voorbeeld in Softwarepakket Sistema van IFA (case) - Voorbeeldschema met valkuil - Veiligheidsfuncties dynamische signalen - Voorbeeld schema; welke fouten worden ontdekt (validatie) - Methodiek SIL met voorbeeld (case) - Random en systematische fouten - Serieschakeling veiligheidschakelaars volgens nieuwe EN 1088 Een veilige MACHINE-besturing vereist! Een machineongeval leidt vaak tot erge verwondingen zoals amputaties, etc. Veiligheidssystemen vragen om veilige hardware EN veilige software gedurende de gehele life cycle, dus: Safety Integrity Page 41 Page 42 7

8 Safety Integrity van een brug Safety Integrity van een brug 4 oktober 2009 Page 43 Page 44 Safety Integrity van een brug 24/3/10: Schil beveiligt Ketelbrug tegen onbekende bug Het bedieningssysteem van de Ketelbrug heeft een extra beveiligingsmodule gekregen. Het gaat om een combinatie van hardware en software die als een schil om de bestaande besturingsmodule is gebouwd. Dat zegt een woordvoerder van Rijkswaterstaat. De ketelbrug ging op 4 oktober 2009 open terwijl de slagbomen open waren en de lichten op groen stonden. Door deze bedieningsfout raakten vier automobilisten gewond. Het is nog onduidelijk waardoor de oude bedieningsmodule, die eveneens bestaat uit een combinatie van hardware en software verzuimde te controleren of de slagbomen dicht waren en de stoplichten op rood stonden. De politie van Flevoland onderzoekt dat momenteel nog. Wat is Safety Integrity? De kans dat een veiligheidsgerelateerd systeem de vereiste veiligheidsfuncties goed uitvoert onder (1) alle gespecificeerde omstandigheden en (2) binnen het gespecificeerde tijdsbestek * SIL 1/ SIL 2/ SIL 3 of SIL 4 * Machinesector max. SIL 3 Page 45 Page 46 Falen van veiligheidssystemen Veiligheidssystemen falen als gevolg van: Random failures; spontaan falen van hardware Common Cause failures; falen van 2 kanalen door dezelfde faaloorzaak (meestal omgevingsfactoren) Systematic failures; falen door verborgen HW/SW fout in bijv. de fase concept- of detailontwerp LET OP: Systematische fouten zijn het slechtst te voorkomen en krijgen vaak de minste aandacht! Random en systematische fouten Fysieke (random) Fouten beheersen d.m.v. keuze juiste component/struct Fouten Functionele (systematische) Fouten vermijden d.m.v. Functional Safety Management Page 47 Page 48 8

9 Voorbeelden systematische fouten Risicobeoordeling fout; S faktor wordt te rooskleurig genomen of RI na maatregel Catalogus VHC; foute keuze schakeling ingang door ontbreken aanduiding bij fabrikant Inbedrijfstelling; tijdens integratietest worden geen fouten geïntroduceerd slechte test Uitwisseling VHC; onderhoudsengineer wisselt defecte VHC uit, laat strapjes zitten Functional Safety Management Een voorbeeld uit de dagelijkse praktijk.. Functional Safety Management is de oplossing!!!!! Page 49 Page 50 Functional Safety Management Waarom willen we eigenlijk (functionele) veiligheid managen? De uitkomst van een project moet veilig zijn Veiligheid is geen rusissche roulette Veiligheid moet herhaalbaar en navolgbaar zijn En dat gedurende alle levensfasen v.d. SRECS.. Life Cycle Concept IEC Management van functionele veiligheid Functional Safety plan Verification plan Ontwerp en installatie Documentatie Specificatie van eisen voor veiligheidsrelevante besturingsfuncties Ontwerp en ontwikkeling van SRECS Integratie en testen van SRECS Informatie voor gebruik en onderhoud van de SRECS Validatie van de SRECS Wijziging van een SRECS Gebruikers Documentatie Validation plan Page 51 Page 52 Wie tot 10 kan tellen. IEC in tien stappen.. Page 53 Page 54 9

10 Concept-ontwerp Stap 3 Veiligheidsfunctie met blokkeerscherm Energy flow Voorbeeld SRCF (Target SIL = 2) Target-SIL afhankelijk van Severity (Se) en Class (Cl), waarbij: Cl = Fr + Pr + Av Se = 3, Fr = 5, Pr = 5, Av = 3 Cl = 13 Stap 4 Veiligheidsfunctie: Openen afscherming inside blokkeert cabinet energievoorziening naar motor outside cabinet Risicobeoordeling Annex A => Target SIL = SIL 2 Page 55 Page 56 SIL level geeft PFH hele keten SRS = veiligheidsbestek SRECS SIL PFH bovengrens Max. kans op falen 1 < 10-5 < 0, in < 10-6 < 0, in < 10-7 < 0, in < 10-8 < 0, in SRECS Safety Requirements Specification Safety function requirements Type veiligheidsfunctie Prioriteit Responstijd Span of control, Etc. Stap 5 Safety integrity requirements Architect (redundant) Faalkans PFD/PFH/SIL niveau Prooftest interval Page 57 Page 58 Concept-ontwerp VHF 1e Conceptontwerp blokkeerscherm Stap 6 Energy flow Functionele ontleding Systeem Subsystemen SW1 LS1 MC1 SW2 inside cabinet INGANG LOGIC SOLVING UITGANG outside cabinet Target-SIL = 2 Subsysteemelementen Page 59 Page 60 10

11 Functionele ontleding Betrouwbaarheidsblokschema (RBD) blokkeerscherm Subsysteem 1 Subsysteem 2 Subsysteem 3 Stap 6 Bepaling SIL claim limit Stap 7 De hoogste Safety Integrity Level (SILclaim limit) waaraan een veiligheidsfunctie kan voldoen, is beperkt door de hardware-fouttolerantie en de safe failure fraction van de componenten uit het subsysteem SW 1 SW 2 LS ch1 LS ch2 MC1 SFF HWFT Het systeem faalt als de combinatie van SW1 & SW2 of LSch1 & LCch2 of MC1 falen SIL claim limit Tabel 5, Hfdst. 6 Page 61 Page 62 Voorbeeld: Bepaling SIL claim limit Stap 7 SIL claim limit totale SRCF Betrouwbaarheidsblokschema blokkeerscherm Stap 7 SFF Tabel 5 IEC Type B component/systeem Hardware fouttolerantie Geen (SFF< 60 %) - SIL 1 SIL 2 Laag (60% - <90%) SIL 1 SIL 2 SIL 3 Medium (90% - <99%) SIL 2 SIL 3 SIL 4 Hoog (> 99%) SIL 3 SIL 4 SIL 4 Subsysteem 1 Subsysteem 2 Subsysteem 3 SW 1 LS ch1 MC1 SW 2 LS ch2 Subsysteem 1 HWFT=1 SFF = 70% SILcl = SIL 2 Subsysteem 2 HWFT=1 SFF = 99,7% SILcl = SIL4 Subsysteem 3 HWFT=0 SFF = 65% SILcl = SIL 1 SILcl totaal is gelijk aan laagste SILclaim SIL claim limit: SIL 2 Dus: SIL 1 Page 63 Page 64 2e Concept-ontwerp VHF Bepaling SIL claim limit totale SRCF 2e Conceptontwerp blokkeerscherm Stap 6 Energy flow Betrouwbaarheidsblokschema blokkeerscherm Stap 7 SW1 1oo2D MC1 SW 1 LS ch1 MC1 LS1 SW 2 LS ch2 MC2 SW2 inside cabinet MC2 Subsysteem 1 HWFT=1 Subsysteem 2 HWFT=1 Subsysteem 3 HWFT=1 SILcl totaal is gelijk aan SFF = 70% SFF = 99,7% SFF = 65% laagste outside cabinet Target-SIL = 2 SILcl = SIL 2 SILcl = SIL4 SILcl = SIL 2 SILclaim Dus: SIL 2 Page 65 Page 66 11

12 Formules PFH berekening Enkelvoudig Subsystem A: 1oo1 zonder diagnose Subsystem C: 1oo1D (met diagnose) Stap 8 Redundant Subsystem B: 1oo2 zonder diagnose Subsystem D optie 1: 1oo2D (met diagnose) Basic subsystem B: 1oo2 no diagnostics Diversitair Subsystem D optie 2: 1oo2D (met diagnose) λdssb = (1-β) 2 x λde1 X λde2 X T 1 + β X (λde1 + λde2)/2 PFH DssB = λ DssB x 1h Page 67 Page 68 Definitie proof test (T1) Een speciale periodieke functionele test, waarin aangetoond wordt dat de SRECS en zijn subsystemen als nieuw kunnen worden gezien. Deze test moet vooral gevaarlijke en normaal niet te detecteren fouten (DUF) opsporen. (vrij vertaald) Bijvoorbeeld: 1. Meting onderlinge sluiting 2 kanaals systeem; 2. Controle bedrading op sluitingen/beschadigingen 3. Optische controle mechanische sensoren, etc. PFH berekening voor de SRCF Sensing & Input Interface Section LOGIC SOLVING SECTION OUTPUT INTERFACE & FINAL ELEMENT SECTION S LS FE SW 1 LS ch1 MC1 SW 2 LS ch2 MC2 Stap 8 PFH = ΣPFH S + ΣPFH LS + ΣPFH FE Page 69 Page 70 IEC in tien stappen.. Target SIL = SIL 2, SILclaim = SIL 2, SILcalculated = SIL 3 OK! Resumé Machinesector: 2 normen voor SRCF s SIL-norm whitebox / PL-norm blackbox SISTEMA tool voor PL-norm 10 stappen methodiek voor SIL-bepaling Ontdekken systematische fouten uitermate belangrijk!! Bedank voor uw aandacht! Heeft u nog vragen? Page 71 Page 72 12