Risicoanalyse volgens de nieuwe normen

Transcriptie

1 Risicoanalyse volgens de nieuwe normen INLEIDING OVERZICHT VAN DE NORMEN: DE NORM EN ISO (PL) DE NORM EN (SIL) OPBOUW VAN EEN VEILIGHEIDSFUNCTIE RISICOBEPALING VOLGENS DE NORM EN ISO (PL) METHODIEK VOLGENS EN ISO TE VOLGEN STAPPEN... 7 Stap 1: risicobeoordeling van de machine uitvoeren... 7 Stap 2: veiligheidsfuncties definiëren... 7 Stap 3: bepalen van het vereiste Performance Level (PLr)... 7 Stap 4: vormgeving en technische realisatie van veiligheidsfuncties... 9 Stap 5: bepalen van het bereikte PL en kwantitatieve beschouwing... 9 Stap 6: Bepalen van de Performance Level Stap 7: verificatie Stap 8: valideren Stap 9: Documentatie OVERZICHT VAN DE VERSCHILLENDE STAPPEN RISICOBEPALING VOLGENS DE NORM EN (SIL METHODIEK VOLGENS NORM EN (SIL) RISICOBEPALING VOLGENS DE NORM EN (SIL) SILR >=SIL? OMZETTING VAN SIL EN PL WANNEER SIL EN WANNEER PL GEBRUIKEN? BIJLAGEN... 23

2 Inleiding Een uitgebreide risicobeoordeling, en zo nodig risicoreductie, zijn essentieel om de restrisico s bij de bouw van een machine binnen toelaatbare grenzen te houden. risicobeoordeling biedt aan de ene kant de geleidelijke optimalisering van machineveiligheid en aan de andere kant bewijs in geval van een ongeval. De documenten beschrijven de beoordelingsprincipes en de te nemen maatregelen voor het minimaliseren van gevaar. Deze documentatie legt ook de basis voor veilige bediening van de machine. De kaderrichtlijn veiligheid werknemers vereist ook dat de machine-/installatiebeheerder personeel uitgebreid training geeft voor veilige bediening van een machine. Dit geldt voor de machinebouwer maar wanneer de machine-/installatiebeheerder afzonderlijke machines combineert in een installatie, aanpassingen aan een machine uitvoert of de functionaliteit van een machine uitbreidt, fungeert hij zelf als machinebouwer en zal in de meeste gevallen ook de machinerichtlijn voor hem van toepassing zijn. Naleving van de machinerichtlijn kan op verschillende manieren worden bereikt: - binnen de scope van een machineacceptatie door een geautoriseerde instantie (een Notified Body ) - door te voldoen aan de vereisten van geharmoniseerde normen - door een bewijs van veiligheid te bieden, welke gekoppeld is aan uitgebreide testen en documenten (de verklaring van vereenstemming). Samen met dit respectievelijk bewijs van veiligheid is de CE-markering een op de machine zichtbare bevestiging van naleving van de machinerichtlijn. De CE-markering is een bindende vereiste van de EU-kaderrichtlijn veiligheid werknemers. Binnen afzienbare tijd zal de norm EN vervangen worden. Ter vervanging zijn er twee normen EN en de EN ISO De normen hebben verschillende herkomst: de EN maakt deel uit van de norm IEC 1508 die gebruikt wordt voor veilige elektronica, -software en veiligheidsbesturingen. De EN ISO is de herziene opvolger van de EN De uiteindelijke resultaten van beide nieuwe normen zijn wel onderling uitwisselbaar. De afschaffing van deze norm zal voor de machinebouwer een totaal andere manier van denken met zich meebrengen. In tegenstelling tot de EN 954-1, die zich uitsluitend baseert op de analyse van de structuur ( deterministische aanpak ), vereisen de nieuwe normen een analyse van de betrouwbaarheid en de uitvalwaarschijnlijkheid van de onderdelen van besturingssystemen met een veiligheidsfunctie ( probabilistische aanpak ). In de IEC EN en de IEC EN weegt de probabilistische aanpak nog zwaarder door in de vorm van wiskundige waarschijnlijkheidsberekeningen en modellen dan in de norm EN ISO :2006

3 . De normalisatiecommissie van de EN ISO :2006 heeft echter getracht een evenwicht te vinden tussen de deterministische en de probabilistische aanpak. De veiligheidsvoorschriften en richtlijnen voor het ontwerpen en evalueren van de onderdelen van besturingssystemen met een veiligheidsfunctie werd in een praktische en uitvoerbare vorm gegoten om de doorsneegebruikers van de norm het leven iets te vergemakkelijken (zie onderstaande figuur ). Achterliggende reden voor de revisie van de EN De ware reden voor de revisie van de EN ligt niet in het feit dat ongevallen aan en met machines te wijten zijn aan de onvolkomenheden van de EN Wel is er vanaf het begin al veel kritiek op de EN Zo zou de norm niet altijd eenduidig zijn, waardoor heel veel discussie ontstaan is over de praktische uitvoering ervan. De normcommissie die zich bezighoudt met de verbetering van de EN heeft uiteindelijk geconcludeerd dat het beter was een totaal nieuwe norm te schrijven dan de huidige norm verder aan te passen. Dit heeft dus geresulteerd in de EN ISO :2006.

4 1. Overzicht van de normen: 1.1 De norm EN ISO (PL) EN ISO bevat niet alleen de kwaliteitsaanpak van EN (architectuur / opbouwstructuur), maar geeft de veiligheidsfuncties tevens een kwantitatieve waardering voor de kans van gevaarlijke uitval. Op basis van de categorieën worden prestatieniveaus gebruikt (Performance Levels, PL). De norm kan worden toegepast op veiligheidgerelateerde onderdelen van besturingssystemen (Safety Related Part of Control Systems, SRP/CS) (bv veiligheidrelais, noodstop, contactoren, ) en op alle typen machines, onafhankelijk van de gebruikte technologie en krachtbron (elektrisch, hydraulisch, pneumatisch, mechanisch, enzovoort).

5 1.2 De norm EN (SIL) De norm omvat aanbevelingen voor de ontwikkeling, integratie en validatie van veiligheidrelevante elektrische, elektronische en programmeerbare besturingssystemen voor machines (Safety Related Electrical Control Systems, SRECS). (BV veiligheids PLC met sensoren als ingang, contactoren als uitgang) Ondanks dat de norm geen vereisten bevat voor de betrouwbaarheid van niet-elektrische besturingselementen met een veiligheidsfunctie machines (bijv. hydraulische, pneumatische of elektromechanische), kan de kwantitatieve berekening voor de kans van gevaarlijke uitval hiervoor toch net zo gemaakt worden als bij de EN ISO Opmerking: Als niet-elektrische besturingselementen met een veiligheidsfunctie via passende elektrische feedback-informatie worden bewaakt, dan kunnen voor de risicobeoordeling deze nietelektrische besturingselementen zelf bij het bepalen van de veiligheidvereisten verwaarloosd worden De overgangsperiode van EN naar EN ISO eindigt in Vanaf 1 januari 2010 mag alleen de norm EN ISO worden toegepast. 1.4 Opbouw van een veiligheidsfunctie Een veiligheidsbesturingssysteem bestaat meestal uit meerdere onderleden: detecting, evaluating en reacting. Hiervoor vinden volgende naamgeving in de normen terug: SRP/CS: SRECS: Safety-related parts of control systems Veiligheidgerelateerde onderdelen van besturingssysteem EN ISO safety-related electrical, electronic and programmable electronic control systems) Veiligheidgerelateerde elektrisch besturingssysteem volgens EN 62061

6 2. Risicobepaling volgens de norm EN ISO (PL) 2.1 Methodiek volgens EN ISO Samengevoegde en vereenvoudigde procedure: 1. Beoordeling van het PL/SIL van elk subsysteem of SRP/CS en afleiding van deelresultaten : Twee mogelijkheden: a. Gebruik van gecertificeerde componenten (veiligheidscomponenten) met gegevens van de fabrikant (bijvoorbeeld SIL CL, PFH of PL) b. Op basis van de geselecteerde architectuur (met een of twee kanalen) worden de uitvalkansen van de elementen of componenten van het subsysteem berekend. Vervolgens kan de uitvalwaarschijnlijkheid van het subsysteem of SRP/CS worden bepaald. 2. De deelresultaten voor de structurele vereisten (SIL CL of PL) moeten worden beoordeeld en de waarschijnlijkheid van willekeurige hardwarestoringen ( Probability of Failure per Hour, PFH) moet hierbij worden opgeteld.

7 2.2 Te volgen stappen Stap 1: risicobeoordeling van de machine uitvoeren Vooraleer aan het stappenplan van de norm ISO te beginnen, wordt een risicobeoordeling, volgens de norm EN 1050, uitgevoerd om te zien of aan de machine wel degelijk veiligheidsfuncties toegevoegd dienen te worden. Stap 2: veiligheidsfuncties definiëren De eerste stap bestaat uit het vastleggen van de vereiste eigenschappen voor alle veiligheidsfuncties. Deze stap is de belangrijkste en soms ook de moeilijkste stap. In deze stap worden buiten de collectieve beschermingsmaatregelen ook de veiligheidsfuncties, zoals stopen startfuncties en noodstoppen, beschreven. De noodstopvoorziening moet voldoen aan de eisen uit de Europese norm EN 418. Opmerking: de noodstopvoorziening mag niet worden gebruikt als alternatief voor afdoende veiligheidsmaatregelen en evenmin als alternatief voor automatische beveiligingen. Wel mag deze voorziening worden gebruikt als ondersteunende veiligheidsvoorziening. Stap 3: bepalen van het vereiste Performance Level (PLr) Van elk veiligheidsrelevant besturingssysteem moet het Performance Level worden bepaald. Het niveau van deze Performance Level wordt aangegeven met een letter a, b, c, d of e. Dit wordt het required performance level (PLr ) ofwel het vereiste PL genoemd. Nieuwe risicograaf De EN ISO : 2006 maakt nog altijd gebruik van het diagram voor het selecteren van de categorieën, de risicograaf. Als eindresultaat moet men echter niet langer een categorie toekennen, zoals bij de EN 954-1, maar een Performance Level (PL) van a (laag) tot e (hoog). Het PL vertegenwoordigt het vermogen van een SRP/CS om een veiligheidsfunctie uit te voeren, zodat de verwachte risicovermindering bereikt wordt. Volgende parameters dienen we in te vullen in de risicograaf: - S: mate van verwonding S1 = licht (normaal omkeerbare) verwonding S2 = zware (normaal onomkeerbare) verwonding, inclusief dood. - F: de frequentie en/of blootstellingtijd aan gevaar F1 = zelden tot minder vaak en/of korte duur van de expansie F2 = veelvuldig tot continu en/of lange duur van de expansie

8 - P: de mogelijkheid tot het afwenden van het gevaar (dit is onder andere afhankelijk van de snelheid en frequentie waarmee het gevaar brengende deel beweegt en de afstand tot de gevaarlijke zone) P1 = mogelijk onder bepaalde omstandigheden P2 = nauwelijks mogelijk De individuele risicoparameters S (ernst van de verwonding), F (frequentie en/of duur van blootstelling aan het gevaar) en P (mogelijkheid tot gevaarafwending) van EN ISO : 2006 blijven ongewijzigd ten opzichte van EN Toepassing van de norm De ontwerper moet alle veiligheidsfuncties die vereist zijn voor het uitvoeren van de veiligheidsmaatregelen van het besturingssysteem voor de toepassing beoordelen en analyseren, bijvoorbeeld stilzetten in noodgeval (noodstop), het vergrendelen van beweegbare veiligheidsvoorzieningen, enz. Voor iedere geselecteerde veiligheidsfunctie moet een vereist Performance Level PLr ( r = required ) bepaald en gedocumenteerd worden.

9 Stap 4: vormgeving en technische realisatie van veiligheidsfuncties De onder stap 1 beschreven veiligheidsfunctie wordt in deze fase besturingstechnisch gerealiseerd: Opstellen elektrische schema s en keuze materialen. Stap 5: bepalen van het bereikte PL en kwantitatieve beschouwing Dit doen we aan de hand van een vereenvoudigde methode en onderstaande grafiek Voorbeeld: We bekomen een Performance Level d voor een structuur volgens categorie 2, met MTTFd hoog en DC gemiddeld. Vanaf categorie 2 moeten de CCF altijd in de beoordeling opgenomen worden. Voor het bepalen van het bereikte PL wordt de veiligheidsfunctie onderverdeeld in de deelsystemen: sensoren, logica en actuatoren. Elk van deze deelsystemen levert een bijdrage aan de veiligheidsfunctie. De subsystemen worden in de norm ISO Safety Related Part of a Control System (SRP/CS) genoemd. Aangezien het vereiste PLr gekend is, zal men de volgende beslissingen moeten nemen ten behoeve van de componenten van het systeem: - Volgens welke structuur (categorie) moet het systeem worden opgebouwd? - Welke MTTFd heeft het systeem? - B10d waarde voor slijtagegevoelige componenten - Welke Diagnostic Coverage (DC) heeft het systeem? - Welke gemeenschappelijke fouten (CCF common cause failure) worden geaccepteerd? 1 Structuur (categorie) De architectuur van een systeem heeft te maken met het fysieke uiterlijk van het systeem. Simpel gezegd kan het gehele systeem dubbel (redundant) of enkel zijn. Het doel van het verdubbelen van een systeem, is het verhogen van de betrouwbaarheid (met betrekking tot het

10 veilig uitschakelen), zodat op het moment dat het systeem nodig is de gevraagde functie ook daadwerkelijk vervuld wordt. In verband met de categorieën kan gesteld worden dat de veiligheidscategorieën B, 1 en 2 enkelpolig zijn uitgevoerd. De categorieën 3 en 4 zijn redundant uitgevoerd. 2 MTTFd waarden MTTFd is een statistische gemiddelde waarde die de verwachte werkduur zonder gevaarlijke fout of storing in jaren uitdrukt (= MTTFd, Mean Time To Dangerous Failure). MTTF is een statistische gemiddelde waarde die de verwachte werkduur zonder fout of storing in jaren uitdrukt (= MTTF, Mean Time To Failure). MTBF is een statistische gemiddelde waarde die de verwachte werkduur tussen 2 fouten of storingen in jaren uitdrukt (= MTBF, Mean Time Between Failure). PFHd is de waarschijnlijkheid van gevaarlijke uitval per uur (Probality of Dangerous Failure per Hour) Na het verstrijken van de MTTF of MTTFd, is een (gevaarlijke) fout opgetreden aan 63% van alle eenheden of, anders gezegd: de overlevingswaarschijnlijkheid van de betroffen eenheden na het verstrijken van de MTTF of MTTFd bedraagt nog slechts 37%. Opgelet: Het betreft hier elektronische componenten, deze zijn niet slijtagegevoelig. Bij het berekenen van de MTTFd waarden in het kader van de EN ISO : 2006, moet men er rekening mee houden dat SRP/CS altijd een zeker percentage restrisico s inhouden, die de veiligheidsfunctie kunnen beïnvloeden (namelijk de waarschijnlijkheid van toevallige gevaarlijke fouten). Het komt er dus op aan deze restrisico s te beheersen en tot een aanvaardbaar niveau terug te dringen. Een schakelcontact kan bijvoorbeeld niet openen of sluiten. Gewoonlijk veroorzaakt deze toestand in de machinebesturing een gevaarlijke situatie bij gebrek aan een gepast redundant systeem of een geschikte bewaking. Alle contacten zijn echter niet hetzelfde: er bestaan kwaliteitsverschillen op het gebied van hun ontwerp, het gebruikte materiaal, enz. In onderstaande figuur is de betekenis van MTTFd schematisch weergegeven. De snijding op 63% geeft de onderverdeling van 3, 10, 30 en 100jaar

11 MTTF moet > 20 jaar aangezien dit de verwachte levensduur van een machine is. kans op fouten (gevaar) Nieuwe investering Tijdens ontwerp en testen Toelaatbaar risico Lifetime 20j tijd OPGELET! Slijtagegevoelige componenten hebben een verschillende levensduur en worden uitgesloten uit deze veronderstelling van exponentiële verdeling, die typisch is voor elektrische componenten. De EN ISO : 2006 houdt rekening met dit soort componenten via de uitkomst van de berekening van de B10d waarde. De gebruikers van EN ISO : 2006 die gebruiksklare veiligheidscomponenten kopen bij firma s (zoals de Schmersal Groep, Sick, Pils, Siemens) zullen zich voortaan in een bevoorrechte positie bevinden. Het is immers logisch dat alle bekende fabrikanten van veiligheidscomponenten op de situatie zullen inspelen en zo snel mogelijk de volgens de EN ISO : 2006 vereiste waarden in hun productspecificaties zullen opnemen Deze waarden moeten eveneens meegedeeld worden voor componenten, apparaten en systemen die volgens de Europese Machinerichtlijn strikt genomen geen veiligheidscomponenten, maar eerder dual use producten zijn, dit wil zeggen componenten en toestellen voor dubbel gebruik, dus voor veiligheidsgerichte en gewone toepassingen zoals contactoren. Deze worden bij een noodstop gebruikt voor het uitschakelen van de installatie (veiligheid) maar kunnen ook voor starten en stoppen van motoren gebruikt worden

12 Indien een kanaal van een veiligheidskring bestaat uit meerder componenten dienen we a.h.v. de MTTFd waarde van de afzonderlijke componenten de MTTFd waarde te berekenen van het bijbehorende kanaal. In onderstaande voorbeeldberekening bestaat het kanaal uit 5 componenten die één of meermaals voorkomen. De formules voor de berekening vallen buiten het bestek van deze cursus. Als de uitkomst van de MTTFd voor een kanaal van een SRP/CS > 100 jaar wordt het getal boven 100 buiten beschouwing gelaten, omdat de maximale MTTFd waarde van een kanaal van een SRP/CS beperkt is tot 100 jaar (dit in tegenstelling tot een afzonderlijke (veiligheids)component, die een hogere score kan hebben). Door deze limiet op 100 jaar vast te stellen wil het normalisatiecomité een te rooskleurige voorstelling van de MTTFd waarden vermijden om zo tot een hoger Performance Level te komen. Deze procedure verhindert eveneens het gebruik van berekeningsmethodes, waardoor uiteindelijk het gebruik van 1 kanalige structuren toegelaten is, als de toepassing in feite 2-kanalige structuren vereist. 3 B10d waarden Bij het berekenen van de MTTFd waarde voor slijtagegevoelige (mechanische, elektromechanische) componenten moet een tussengrootte, de zogeheten B10d waarde, gebruikt worden. Deze stemt min of meer overeen met het aantal schakelingen waarvoor de veiligheidsgerichte functie, volgens de Weibull benadering, als aanvaardbaar beschouwd wordt. De B10d waarde wordt omgezet in een MTTFd waarde met inachtneming van de toepassingsvoorwaarden, namelijk de levensduur en de gemiddelde belastingsgraad van de veiligheidsfunctie van de betroffen component. Daarnaast vermeldt EN ISO :2006 aanbevolen B10d waarden voor typische slijtagegevoelige componenten, die de ontwerper van de SRP/CS kan gebruiken bij gebrek aan specificaties van de fabrikant. Hierbij houdt de norm (bijvoorbeeld voor contactgevers en relais) rekening met de belasting van de component. Belasting moet hier niet uitsluitend in de elektrische betekenis gezien worden; de omgevingsvoorwaarden en de bedrijfsomstandigheden moeten in hun geheel bekeken worden.

13 T10d waarden EN ISO voorziet dat uit de berekende B10d waarde vervolgens een T10d waarde afgeleid wordt. Deze stemt overeen met 10% van de berekende MTTFd waarde. In dit verband wordt dan ook aanbevolen de veiligheidsgerichte componenten te vervangen zodra zij hun T10d waarde bereiken. 4 Diagnostic Coverage Fouten die mogelijk in een systeem optreden, kunnen leiden tot het falen van dit systeem. Door middel van door het systeem uitgevoerde zelftests, kunnen fouten ontdekt worden en kan de kans op falen kleiner worden gemaakt. Het aantal fouten dat kan worden ontdekt door het systeem zelf, wordt aangegeven met de term Diagnostic Coverage. Vanuit veiligheidstechnisch standpunt is het onderwerp foutdetectie van groot belang om de accumulatie of opeenstapeling van fouten te vermijden, d.w.z. vermijden dat een tweede fout aan de eerste fout, die in de SRP/CS niet gedetecteerd werd, toegevoegd wordt, waardoor de veiligheidsfunctie verloren gaat. In de zin van de vereenvoudiging verdeelt de EN ISO : 2006 de kwaliteit van de foutendekking of de Diagnostic Coverage DC in verschillende niveaus: none (geen), low (laag), medium (gemiddeld) en high (hoog) zie figuur. Bijlage E van EN ISO :2006 biedt een extra vereenvoudiging.

14 Bijlage E: EN ISO :2006 De berekende gemiddelde DC, DCavg, vertegenwoordigt de kwaliteit van de Diagnostic Coverage of de foutdetectie van alle SRP/CS die de veiligheidsfunctie uitvoeren. 5 CCF Common Cause Failures Maatregelen ter voorkoming van fouten met een gemeenschappelijke oorzaak (CCF) Naast de Designated architectures, de MTTFd (ev B10d ) waarde en de DC bepaalt nog een vierde (vijfde ) parameter het Performance Level PL, namelijk de fouten met een gemeenschappelijke oorzaak (Common Cause Failures CCF). De beoordeling van de invloed van CCF is alleen vereist voor 2-kanalige structuren vanaf categorie 2, omdat EN ISO alleen rekening houdt met de maatregelen ter voorkoming van fouten met een gemeenschappelijke oorzaak van een SRP/CS. Dit soort fouten kan tot een kritieke veiligheidstoestand van beide kanalen tegelijk leiden. Een voorbeeld: een blikseminslag op de redundante halfgeleideruitgangen (overspanning of surge effect) berooft beide kanalen tegelijk van hun in- of uitschakelvermogen.

15 Er moet aan minimaal 65 punten voldaan zijn om het gewenste PL te bereiken. Stap 6: Bepalen van de Performance Level Via de bekomen MTTFd-waarde, de DC-waarde en de vastgestelde structuur (categorie) kan de bekomen Performance Level uit de grafiek worden afgelezen. Dit werkt als volgt. De categorie van de beveiligingsfunctie wordt gekozen. Daarna wordt via de tabellen van MTTFd en DC bepaald wat de kwalificatie van deze factoren is.(geen/ hoog /laag ). Onder aan de grafiek staan de verschillende combinaties van categorie en DC. De verschillende arceringen van de staven geven de mogelijke kwalificaties van MTTFd aan. Als al deze parameters zijn ingevuld kan je op de linkse kant de gehaalde Performance Level aflezen. Stap 7: verificatie Verschillende componenten vormen samen één veiligheidssysteem. Er moet gecontroleerd worden of het geheel voldoet aan de vereiste PLr. Het bereikte PL moet minstens gelijk zijn aan het, op basis van de risicobeoordeling, vereiste PLr. Wanneer het gewenste niveau (PLr) behaald is, mag het systeem worden geïmplementeerd. Wanneer het behaalde niveau te laag is, zal het systeem opnieuw ontworpen moeten worden. Dit kan betekenen dat er andere, meer betrouwbare componenten worden ingezet of dat de structuur van het veiligheidssysteem wordt gewijzigd.

16 PL>= PLr Stap 8: valideren Behalve de kwantitatieve eisen die gesteld worden aan de vormgeving van veiligheidssystemen is het belangrijk ook systematische fouten te vermijden. Indien aan alle eisen wordt voldaan mag het veiligheidssysteem worden geïmplementeerd. De validatie is bedoeld om te controleren of het veiligheidssysteem (SRECS) voldoet aan de vereisten die door de specificatie van de veiligheidsgerelateerde besturingsfunctie (SRCF) zijn gedefinieerd. Het veiligheidsplan dient als de basis voor die validatie. De volgende validatieprocedure moet worden gevolgd: - Verantwoordelijkheden definiëren en documenteren - Het documenteren van alle tests - Validatie van elke SRCF op basis van tests en/of analyses - Validatie van de systematische veiligheidsintegriteit van de SRECS Stap 9: Documentatie De documentatie is een basisonderdeel van de beoordelingsprocedure in het geval van een ongeval. De inhoud van de documentatielijst is opgegeven in de machinerichtlijn en wordt het Technisch Constructie Dossier (TCD) genoemd. Dit omvat de volgende documenten: - Risicoanalyse - Risicobeoordeling - Specificatie van veiligheidsfuncties - Hardwarecomponenten, certificaten, enzovoort - Bedradingschema s - Testresultaten - Softwaredocumentatie, inclusief handtekeningen, certificaten, enzovoort - Informatie over gebruik, inclusief veiligheidsinstructies en beperkingen voor de operator

17 2.3 Overzicht van de verschillende stappen

18 3. Risicobepaling volgens de norm EN (SIL 3.1 Methodiek volgens norm EN (SIL) We bepalen het SIL level van ieder subsysteem, vervolgens bepalen we het veiligheidsniveau van de veiligheidsfunctie

19 3.2 Risicobepaling volgens de norm EN (SIL) Bepalen van SILr a.d.h. van een risicograaf.

20 3.3 SILr >=SIL? 1 Subsysteem Detecting sensoren De fabrikant levert de vereiste waarden (SIL CL en PFH) voor gecertificeerde componenten (SIL CL is de SIL- Claim : de maximaal haalbare SIL-limiet voor desbetreffend component). Bij het gebruik van elektromechanische componenten voor systemen die door de gebruiker zijn samengesteld, kunnen de waarden van SIL CL en PFH als volgt worden bepaald: Bepaling van SIL CL SIL CL 3 kan voor het voorbeeld worden aangenomen aangezien de gebruikte architectuur voldoet aan categorie 4 volgens EN en de juiste diagnose beschikbaar is. Berekening van de uitvalkansen (λ) van de eindschakelaars van de subsysteem-elementen Op basis van de B10-waarde en de schakelcycli C kan de uitvalkans l van een elektromechanisch component worden berekend met een formule uit deel van EN 62061: l = 0,1 x C / B10 = 0,1 x 1/ = 10-8 C = schakelcyclus per uur, opgegeven door de gebruiker (hier 1 keer per uur) B10-waarde = opgegeven door de fabrikant (voor een eindschakelaar, B10-waarde = zie bijlage) De uitvalkans is opgebouwd uit veilig (λs) deel en een gevaarlijke (λd) deel: λ = λs+λd λd = λ x deel van storingen met gevaar in % (opgegeven door fabrikant, hier 20% zie bijlage) = 10-8 x 0,2 = Berekening van de waarschijnlijkheid van gevaarlijke uitval per uur ( Probality of Dangerous Failure per Hour, PFHD) in overeenstemming met de gebruikte architectuur De norm EN definieert vier architecturen voor subsystemen (basissubsysteem architecturen A t/m D). De norm bevat voor elke architectuur berekeningsformules voor het bepalen van de uitvalwaarschijnlijkheid (PFH). Voor een 2-kanaals subsysteem met diagnose (basissubsysteem architectuur D) met identieke elementen (en identieke diagnosewaarden DC), kan de uitvalkans voorgevaarlijke uitval voor de afzonderlijke subsystemen (ld) als volgt worden afgeleid: λd = (1 λ)2 x {[λde ² *DC * T2] + [λde²x (1 - DC) x T1]} + λ x λde, = PFHD = λd x 1 h λde = uitvalkans voor gevaarlijke uitval voor een subsysteemelement Voor de berekening in dit voorbeeld wordt het volgende aangenomen: β = 0,1 DC = 0,99 T2 = 1/C CCF-factor; uitval door gemeenschappelijke oorzaak bij dit 2-kanaals subsysteem (voorzichtige aanname als maximumwaarde van norm) Diagnosedekking; via discrepantie- en kortsluitingbewaking Testinterval Proof Test ; via verwerking in het veiligheidsprogramma. T2 is omgekeerd evenredig met het aantal schakelcycli (C) per uur T1 = uur (10 jaar) Levensduur van het component 2 Subsysteem Evaluating besturingsunit: De fabrikant levert voor gecertificeerde componenten (veiligheidscomponenten) de vereiste waarden: Voorbeeldwaarden: SIL CL = SIL 3 PFHD = < Subsysteem Reacting actuatoren: De fabrikant levert de vereiste waarden voor gecertificeerde componenten. Voorbeeldwaarden: SIL CL = SIL 2 PFHD = 1, Als het Subsysteem Reacting door de gebruiker is samengesteld, wordt dezelfde procedure toegepast als bij het Subsysteem Detecting.

21 Bepaling van het veiligheidsniveau (Safety Integrity) van de veiligheidsfunctie De minimum SIL-limiet (SIL CL) van alle subsystemen van de veiligheidsgerelateerde besturingsfunctie (SRCF) moet worden bepaald: SIL CL Min = Minimum (SIL CL (subsysteem 1)..SIL CL (subsysteem n)) = SIL CL 2 Totale waarschijnlijkheid van willekeurige hardwarestoringen (PFH) van de subsystemen PFHD = PFHD (subsysteem 1) + + PFHD (subsysteem n) = 1, = <10-6, dit komt overeen met SIL 2 Resultaat: de veiligheidsfunctie voldoet aan de vereisten van SIL 2

22 4 Omzetting van SIL en PL Zoals al is getoond, kan de veiligheidsfunctie op twee verschillende manieren worden beoordeeld. SIL en PL kunnen worden vergeleken op basis van de waarschijnlijkheid van gevaarlijke uitval door willekeurige hardwarestoringen. In onderstaande tabel is beschreven hoe SIL en PL zich verhouden ten opzichte van deze uitvalwaarschijnlijk. 5 Wanneer SIL en wanneer PL gebruiken? U bent als machinebouwer / installatiebeheerder vrij in de keuze welke van de twee normen EN en EN ISO te gebruiken voor uw beoordelingsmethode van de functionele veiligheid van uw machine en installatie. Feit is wel dat de beoordelingsmethode volgens EN62061 minder beperkingen heeft en een nauwkeuriger resultaat biedt. Dit verschil kan al merkbaar worden in de veiligheidsintegriteitberekening, als de opbouw van de veiligheidsfunctie meer dan 3 sub-systemen bevat.

23 BIJLAGEN

24