Specifieke achtergrondinformatie bij EN ISO :2006* voor de verkoopsmedewerkers en geïnteresseerde klanten van Schmersal en Elan

Transcriptie

1 Specifieke achtergrondinformatie bij EN ISO :2006* voor de verkoopsmedewerkers en geïnteresseerde klanten van Schmersal en Elan F 1 Laag Risiko Vereiste Performance- Level PL r P 1 a b Uitgangspunt voor de beoordeling van de risicovermindering S 1 S 2 F 2 F 1 P 2 P 1 P 2 P 1 P 2 P 1 c d e F 2 P 2 Hohes Risiko P2 F2 P1 S2 F1 P1 P2 S1 * EN ISO :2006 werd ondertussen door een nieuwe uitgave van EN ISO :2008 vervangen. Het enige verschil is het opnemen van de nieuwe Europese Machinerichtlijn 2006/42/EG in de nieuwe bijlage ZB aan de norm. Hierna houden we het bij EN ISO :2006. Categorieën B

2 Uitleg van veelgebruikte afkortingen B waarde: aantal cycli, totdat 10 % van de componenten van een steekproef van minstens 10d 7 monsters gevaarlijk uitgevallen is (voor slijtagegevoelige, dus mechanische, pneumatische en elektromechanische componenten) CCF: Common Cause Failure (ook Common Mode Failure genoemd): fouten met een gemeenschappelijke oorzaak, waarbij onderdelen of componenten, die om veiligheidsredenen hetzelfde meermaals gelijktijdig bewerken, tegelijkertijd uitvallen (bijvoorbeeld: bij een auto weigeren de 4 remmen tegelijkertijd dienst). DC: Diagnostic Coverage (Foutendekking: vermindering van de waarschijnlijkheid van een gevaarlijke fout van het materiaal als resultaat van de automatische diagnosetests) MTTF : Mean Time To dangerous Failure (gemiddelde werkingsduur voor het optreden van d een gevaarlijke fout in een onderdeel/component). Deze aanduiding mag niet verwisseld worden met een gegarandeerde levensduur (1). PFH/PFH : Probability of dangerous Failure per Hour (waarschijnlijkheid van het optreden d van een gevaarlijke fout per uur) (2). PL: Performance Level (EN ISO :2006) Er zijn 5 PL s ( a, b, c, d, e ), waarbij de kwaliteit van de veiligheidstechnologie in overeenstemming met de ernst van het af te dekken risico van a naar e oploopt. SIL: Safety Integrity Level (EN IEC :2005) Er zijn 3 SIL s (1, 2, 3) waarbij de kwaliteit van de veiligheidstechnologie in overeenstemming met de ernst van het af te dekken risico van 1 naar 3 oploopt. SILCL: SIL Claim Limit (IEC :2005) Maximale SIL die voor een subsysteem (deelsysteem) aangenomen kan worden, rekening houdend met de structurele beperkingen en de systematische uitvalintegriteit. Cat. (B, 1, 2, 3, 4): de categorie bepaalt maatgevend (deterministisch) al de kwaliteit van de veiligheidstechnologie van een SRP/CS. Waar cat. B en cat. 1 op de kwaliteit van de gebruikte componenten/onderdelen ingaan, vereisen de hogere categorieën bijkomende onderdelen (kanalen), die de fouten van individuele onderdelen/componenten kunnen compenseren. SRP/CS: Safety Related Part of (a) Control Systeem(s) (onderdeel/onderdelen van een besturingssysteem met veiligheidsfunctie) Sub-PL/Sub-SIL: PL of SIL op het niveau van het subsysteem. Een subsysteem is een systeem dat, met betrekking tot een deelopdracht een veiligheidsfunctie al correct uitvoert (bijvoorbeeld een ingangsmodule, die de ingangen veilig detecteert). T waarde: richtwaarde voor een preventieve vervanging (10 % van de op basis van de 10d B 10d waarde berekende MTTF d waarde in jaren). Bij deze waarde is al ongeveer 63 % van alle componenten gevaarlijk uitgevallen. Hier raadt de norm EN ISO :12006 de vervanging aan. (1) De index d vertegenwoordigt de richting van de gevaarlijke fouten. Voorbeeld: een transistor valt uit en schakelt niet uit (= gevaarlijk in de zin van de functionele machineveiligheid); omgekeerd schakelt niet in = ongevaarlijk in de zin van de functionele machineveiligheid, zelfs als de beschikbaarheid beïnvloed wordt. Zie ook Lexicon, trefwoord: foutpercentages. (2) Bij deze waarde is het onderscheid via de index d niet gebruikelijk, m.a.w. gewoonlijk wordt de richting van de gevaarlijke fout met een PFH- of met een PFH d waarde aangeduid. 2

3 Voorwoord Door het in voege treden van de normen EN ISO :2006 en EN IEC :2005 krijgt het thema van het ontwerpen van onderdelen van een besturingssysteem met een veiligheidsfunctie een nieuw uitzicht, waarbij een SRP/CS voortaan samengesteld wordt uit een combinatie van deterministische (1) en probabilistische (2) beoordelingsmethodes. Hier komen nog een aantal andere niet minder belangrijke nieuwe vereisten bij onder de trefwoorden systematische fouten en software (zie lexicon, trefwoorden Bijlage G en Software. Deze scriptie heeft tot doel u achtergrondinformatie over het thema De nieuwe SRP/CS norm te verstrekken, die nuttig kunnen zijn voor uw dagelijkse werk. Met het oog op de toekomstige combinatie van deterministische en probabilistische SRP/CS beoordelingsmethoden moeten onze klanten voortaan met enkele nieuwe vereisten rekening houden. Zij beschikken echter wel over meer speelruimte bij het ontwerp. Als fabrikant van veiligheidsonderdelen worden wij door deze wijzigingen rechtstreeks getroffen en worden wij verzocht hierover uitspraken te doen. Hoewel wij onze klanten om praktische redenen aanraden voortaan EN ISO :2006 (en het PL filosofie van deze norm) te gebruiken voor het ontwerpen van hun SRP/CS, houden wij in deze scriptie ook rekening met de SIL filosofie volgens EN IEC :2005 overal waar deze alternatief in aanmerking komt. Omwille van bevoegdheidsperikelen van de normalisatiecommissies komen inderdaad beide normen in aanmerking om de EN 954-1:1996 op te volgen. Er is echter geen probleem als men voor EN ISO :2006 kiest, omdat PL en SIL in principe compatibel met elkaar zijn en de achterliggende gedachte in hoge mate identiek is (zie ook lexicon, trefwoord Normen ). Volgens ons is EN IEC :2005 slechts in enkele uitzonderlijke gevallen beter geschikt dan EN ISO :2006. Deze brochure is gebaseerd op de eerste uitgave met redactiestand medio Deze uitgave is echter nogmaals grondig bewerkt, gepreciseerd en uitgebreid geworden. Zij is zoals gewoonlijk onderverdeeld in meerdere delen met verschillende accenten, deels specifiek voor Schmersal/Elan, deels met betrekking tot de basisprincipes en de achtergrond. Raadpleeg hiervoor ook de inhoudsopgave vanaf pagina 4 en volgende. Bovendien vindt u in deel 7 (vanaf pagina 93) een kort lexicon met verdere informatie over de nieuwe SRP/CS normen. Als u zich eerst in de filosofie van EN ISO :2006 wil onderdompelen, begint u met deel 6, pagina 81 en volgende Wij willen hier onze dank betuigen aan alle collega s die door hun actieve medewerking, hun suggesties en opmerkingen aan het welslagen van deze brochure hebben bijgedragen. Wuppertal/Wettenberg, januari 2009 Friedrich Adams K.A. Schmersal Holding GmbH & Co. KG, Wuppertal Hoofd Schmersal tec.nicum (1) Deterministisch/Determinisme: begrip uit de filosofische wetenschapstheorie; bedoeld wordt hier de eenduidige zekerheid en de voorbestemdheid van gebeurtenissen door (definieerbare en reproduceerbare) gebeurtenissen, bijvoorbeeld fouttolerantie door redundantie (toleranties en toevalligheden spelen geen rol!). (2) Probabilistisch/Probabilisme: classificatie van gebeurtenissen volgens de graad van hun zekerheid = waarschijnlijkheidsberekening/waarschijnlijkheidstheorie (deelgebied van de wiskunde). 3

4 Inhoudsopgave Deel 1: Verklaring van de achtergrond... Pagina 9 Deel 2: Specificaties (berekeningsbasis in de zin van van EN ISO :2006 en EN IEC :2005)... Pagina 15 Eenvoudige individuele componenten in het Schmersal/Elan programma... Pagina 21 Eenvoudige individuele componenten in het Schmersal/Elan programma... Pagina 22 Specificaties van de individuele componenten... Pagina 25 Bespreking: vragen bij de architectuur of categorie... Pagina 29 Bespreking van het thema foutendekking bij eenvoudige individuele componenten met een veiligheidsfunctie... Pagina 32 Componenten met een complexere veiligheidstechnische functionaliteit... Pagina 35 Componenten met een complexere veiligheidstechnische functionaliteit... Pagina 36 Componenten met een complexere veiligheidstechnische functionaliteit in het Schmersal/Elan programma... Pagina 38 Combinaties van componenten... Pagina 41 ASi-SaW veiligheidsbussysteem/componenten met ASi-SaW interface... Pagina 42 Deel 3: Combinatie van sub-pl tot een globale PL... Pagina 45 Hoe bereken ik zelf een PL voor een subsysteem (een sub-pl)?... Pagina 53 Inleiding/voorwoord... Pagina 54 Voorbeelden... Pagina 56 Hoe bereken ik zelf een sub-pl voor componenten uit het Schmersal/Elan programma?... Pagina 63 Deel 4: Besprekingen... Pagina 67 Foutendekking... Pagina 68 Invloed van de definitie van de veiligheidsfunctie op de PL berekening voorbeelden... Pagina 70 Deel 5: Schakelvoorbeelden uit het BGIA rapport... Pagina 73 1) BGIA schakelvoorbeeld : veiligheidsdeurbewaking met nageschakelde signaalverwerking via een SRB veiligheidsmodule of veiligheids-plc (het klassieke geval)... Pagina 74 2) BGIA schakelvoorbeeld : cascadering of serieschakelingen... Pagina 75 3) BGIA schakelvoorbeeld : cascadering of serieschakelingen... Pagina 76 4

5 4) BGIA schakelvoorbeeld : veiligheidsdeurvergrendeling met nageschakelde signaalverwerking via SRB veiligheidsmodule of veiligheids-plc (kanaal 1) en standaard-plc (kanaal 2)... Pagina 77 5) BGIA schakelvoorbeeld : veiligheidsdeurvergrendeling... Pagina 78 Deel 6: Overzicht van de eigenschappen en toepassing van EN ISO : Pagina 81 Doelstelling van de SRP/CS standaardisatie... Pagina 82 Performance Level (1)... Pagina 85 Performance Level (2)... Pagina 87 Performance Level (3)... Pagina 92 Deel 7: Lexicon/Meer informatie over trefwoorden en begrippen... Pagina 93 Afronding/afrondingsgrens... Pagina 94 Amendement 1 aan EN 1088: Pagina 94 Architecturen... Pagina 94 B 10d waarden... Pagina 95 Badkuipcurve... Pagina 97 Bedradingsniveau... Pagina 98 Beoordeling van PL en SIL... Pagina 98 Berekeningen (PL berekeningen)... Pagina 98 Betrouwbaarheidstechnologie (betrouwbaarheidsengineering)... Pagina 99 BGIA... Pagina 100 BGIA draaischijf... Pagina 101 BGIA rapport 2/08... Pagina 101 Bijkomende bewakingsschakelaar... Pagina 101 Bijlage E... Pagina 101 Bijlage G (volgens EN ISO :2006)... Pagina 101 Bijlage K (volgens EN ISO :2006)... Pagina 102 (Type-) C-normen... Pagina 104 Categorieën... Pagina 104 Categorieën/categorie 2... Pagina 104 CCF (Common Cause Failure), CCF maatregelen, CCF management... Pagina 106 CCF management/maatregelen... Pagina 106 Compatibiliteit SIL PL/PL SIL... Pagina 107 Designated Architectures... Pagina 108 Diagnostic Coverage DC... Pagina 108 5

6 Doelstelling van de SRP/CS normen... Pagina 108 Exponentiële verdeling... Pagina 108 Foutendekking DC... Pagina 109 Foutendekking (extern)... Pagina 109 Foutuitsluiting... Pagina 110 Foutuitsluiting: bedradingsniveau... Pagina 110 Foutuitsluiting bij manueel bediende componenten... Pagina 111 Foutuitsluiting bij vergrendelvoorzieningen... Pagina 111 Functionele geschiktheid... Pagina 111 Good Engineering Practices (GEP)... Pagina 111 Hardwarebetrouwbaarheid MTTF d... Pagina 111 Herstartcircuit... Pagina 111 Inwerkingtreding... Pagina 112 Literatuur... Pagina 112 Low Demand Mode... Pagina 112 Machinerichtlijn (MRL)... Pagina 112 Mission Time (levensduur)... Pagina 113 MTTF d hardwarebetrouwbaarheid... Pagina 113 Normen:... Pagina 113 (Type) A, B en C normen... Pagina 113 EN 954-1: Pagina 113 EN Pagina 113 EN ISO : Pagina 114 EN ISO : Pagina 114 EN IEC : Pagina 114 EN IEC : Pagina 114 EN ISO :2006 EN IEC :2005 (vergelijking)... Pagina 115 EN ISO :2006 EN IEC :2005 (vergelijking met EN 954-1:1996). Pagina 116 Optelling van uitvalwaarschijnlijkheden... Pagina 117 Overgangstermijn... Pagina 117 Parts Count Method... Pagina 118 Performance Level... Pagina 118 PFD (Probability of Failure on Demand)... Pagina 118 PL Performance Level... Pagina 118 PL r = required... Pagina 118 PL resultaatsgrafiek... Pagina 119 Proof Test/Proof Testinterval... Pagina 119 6

7 Proven in use... Pagina 119 Reset... Pagina 119 Resultaatsgrafiek PL... Pagina 119 Risico, Risicoanalyse, Risicobeoordeling... Pagina 119 Risicograaf, Risico-evaluatie... Pagina 120 Risicograafbeoordeling volgens EN IEC : Pagina 120 Risicograafbeoordeling volgens EN ISO : Pagina 121 Serieschakelingen... Pagina 122 Serieschakelingen van elektromechanische componenten... Pagina 122 Staafdiagram... Pagina 122 SIL (Safety Integrity Level)... Pagina 122 SIL Claim Limit (SILCL)... Pagina 123 SISTEMA... Pagina 123 Software... Pagina 124 Symmetrieformule... Pagina 125 T 10d waardeberekening... Pagina 125 Terugkoppeling... Pagina 125 Testvoorzieningen... Pagina 125 Uitvallen... Pagina 126 Uitvallen (systematische uitvallen)... Pagina 126 Uitvallen (toevallige uitvallen)... Pagina 127 Uitvalpercentages... Pagina 127 Veiligheidsfunctie... Pagina 129 Voorziene architecturen... Pagina 129 Deel 8: Uittreksel uit onze brochure Een nieuwe norm voor de machineveiligheid: EN ISO :2006 Onderdelen van een besturingssysteem met veiligheidsfunctie... Pagina 131 Voorbeeld uit de norm volgens bijlage I van EN ISO :2006 Impressum... Pagina 137 De informatie in deze brochure wordt naar eer en geweten verstrekt. Met uitzondering van tegenstrijdige en dwingende wettelijke voorschriften, aanvaarden wij echter geen aansprakelijkheid voor eventuele fouten en misverstanden. De gebruiker van deze informatie is verplicht op eigen verantwoordelijkheid onze aanbevelingen en specificaties voor eigen gebruik te controleren. Wij hopen op uw begrip hiervoor. 7

8 8

9 Verklaring van de achtergrond 9

10 Verklaring van de achtergrond (1) (meer informatie: zie Deel 6, Pagina 81 en volgende) Kort samengevat is een Performance Level, zoals dit voortaan (1) door de nieuwe norm EN ISO :2006 voor het ontwerp van SRP/CS geëist wordt, een beschouwing of een beoordeling van meerdere invloedsgrootheden die vandaag wereldwijd erkend zijn om de veiligheid en de betrouwbaarheid van meet-, regel- en besturingssystemen te bepalen, d.w.z. invloedsgrootheden die de veiligheidsintegriteit van een systeem vormen. In tegenstelling tot de momenteel gangbare procedures in de machinebouw, stemt een Performance Level overeen met een meerdimensionale beschouwing. In plaats van complexe modelleringen gebruikt EN ISO :2006 daarvoor echter een vereenvoudigde aanpak, waarbij 4 hulpgrootheden beoordeeld worden. Opgelet! Een Performance Level moet bijkomend, ongeacht zijn waarde, aan essentiële vereisten (basisvereisten) voldoen, d.w.z. maatregelen ter vermijding en ter beheersing van systematische uitvallen en fouten, terwijl het bij een PL classificatie (PL a e ) in principe om de vermijding en de beheersing van toevallige uitvallen en fouten gaat (zie elders). Het uitgangspunt van een PL beoordeling is het bepalen van de diverse veiligheidsfuncties van een machine of een machinebesturing. Dan volgt de bepaling van het vereiste Performance Level PL voor de veiligheidsfunctie in r kwestie. Welk van de 5 Performance Levels ( a e ) gekozen moet worden, wordt afgeleid uit de C-norm (productnorm) in kwestie of uit de risicograaf. Het Performance Level weerspiegelt daarbij de vereiste mate aan maatregelen voor de risicovermindering. Restrisico a b c d Ernst van het risico e a) Het risico moet in zeer geringe mate gereduceerd worden b) Het risico moet in geringe mate gereduceerd worden c) Het risico moet in grote mate gereduceerd worden d) Het risico moet in hoge mate gereduceerd worden e) Het risico moet in aanzienlijke mate gereduceerd worden De doeltreffendheid van de (vereiste) maatregelen wordt uitgedrukt in de vorm van een PFH d waarde (een waarde van de overblijvende maximaal te tolereren gemiddelde waarschijnlijkheid van het optreden van een gevaarlijke uitval per uur = Average Probability of dangerous Failure per Hour). De PFH d waarde is daarbij ook het verbindend element met de internationale Safety Integrity Levels (SIL s) die in de EN IEC :2000 of EN IEC 62061:2005 gebruikt worden. De beoordeling (berekening) gebeurt nu volgens EN ISO :2006 op basis van de beoordeling van 4 individuele parameters (hulpgrootheden): (1) Uiterlijk vanaf 2010; EN 954-1:1996 (of ISO :1999) wordt in december 2009 afgeschaft. 10

11 1. De architectuur, die in principe identiek is aan de beoordeling van de categorieën zoals deze uit EN 954-1:1996 (ISO :1999) gekend zijn en die in EN ISO :2006 overgenomen wordt; 2. de beoordeling van de betrouwbaarheid van de hardware, uitgedrukt als Mean Time to dangerous Failure (Gemiddelde werkingsduur voor het optreden van een gevaarlijke fout in een kanaal van een systeem) MTTF d in jaren (een statistisch gebaseerde vermoeden van de tijd, waarin de hardware zonder toevallige uitvallen veiligheidstechnisch foutloos zal functioneren); 3. de beoordeling (de waarschijnlijkheid) van de werkzaamheid van de foutendekkende maatregelen in de SRP/CS of in het betrokken onderdeel van de SRP/CS, uitgedrukt als foutendekking DC (voor Diagnostic Coverage) in %; 4. de beoordeling van maatregelen tegen zogeheten Common Cause of Common Mode fouten (CCF = Common Cause Failures = fouten met een gemeenschappelijke oorzaak die het veiligheidstechnische gebruik van de meerkanaligheid van een systeem kunnen verstoren. Via een grafiek een staafdiagram of Bijlage K van EN ISO :2006 kan dan het bereikte Performance Level PL bepaald en met het voor de veiligheidsfunctie vereiste PL r vergeleken en gevalideerd worden. Schematische samenvatting Performance Level PL r Bron: C norm of beoordeling via de risicograaf Waarschijnlijkheid van een gevaarlijke fout per uur (PFH d ) PL Safety Integrity Level (SIL) a 10 5 < 10 4 = Geen overeenkomst b < 10 5 SIL 1 c 10 6 < d 10 7 < 10 6 SIL 2 e 10 8 < 10 7 SIL 3 Voorziene architectuur (categorieën): Beoordelingen uit de oude EN Hardwarefouttolerantie MTTF d (Mean Time To dangerous Failure): Specificaties van de fabrikant, de norm of uit naslagwerken Diagnostic Coverage DC (foutendekkingsgraad): Bijlage E van EN ISO :2006 of fabrikantspecificaties Common-Cause-Failure CCF: In principe kan voor veiligheidscomponenten > 65 punten aangenomen worden Resultaatsgrafiek PFH (1/h) a b c d e PL MTTF d = laag MTTF d = gemiddeld MTTF d = hoog Categorie B DC avg = 0 Categorie 1 DC avg = 0 Categorie 2 DC avg = laag Categorie 2 DC avg = gemiddeld Categorie 3 DC avg = laag Categorie 3 DC avg = gemiddeld Categorie 4 DC avg = hoog Numerieke weergave volgens EN ISO :2006 Bijlage K Tabel K.1 Numerieke weergave van afbeelding 5 (uit EN ISO :2006 [D] Bijlage K [informatief]) MTTF d voor ieder kanaal Gemiddelde waarschijnlijkheid van een gevaarlijke fout per uur [1/u] en het bijbehorende Performance Level PL Cat. B PL Cat. 1 PL Cat. 2 PL Cat. 2 PL Cat. 3 PL Cat. 3 PL Cat. 4 PL Jaren DC avg = geen DC avg = geen DC avg = laag DC avg = gemiddeld DC avg = laag DC avg = gemiddeld 3 3, , , , , a 5 a a 5 a b 3,3 3,46 10 a 2,33 10 a 1,79 10 a 1,13 10 a 5,41 10 b ,6 3,17 10 a 2,13 10 a 1,62 10 a 1,03 10 a 4,86 10 b ,9 2,93 10 a 1,95 10 a 1,48 10 a 9,37 10 b 4,40 10 b ,3 2,65 10 a 1,76 10 a 1,33 10 a 8,39 10 b 3,89 10 b ,7 2,43 10 a 1,60 10 a 1,20 10 a 7,58 10 b 3,48 10 b ,1 2,24 10 a 1,47 10 a 1,10 10 a 6,91 10 b 3,15 10 b ,6 2,04 10 a 1,33 10 a 9,87 10 b 6,21 10 b 2,80 10 c ,2 1,84 10 a 1,19 10 a 8,80 10 b 5,53 10 b 2,47 10 c ,8 1,68 10 a 1,08 10 a 7,93 10 b 4,98 10 b 2,20 10 c ,5 1,52 10 a 9,75 10 b 7,10 10 b 4,45 10 b 1,95 10 c ,2 1,39 10 a 8,87 10 b 6,43 10 b 4,02 10 b 1,74 10 c ,1 1,25 10 a 7,94 10 b 5,71 10 b 3,57 10 b 1,53 10 c DC avg = hoog + CCF 11

12 Verklaring van de achtergrond (2) Deze brochure concentreert zich kort samengevat op informatie die betrekking heeft op de berekening (beoordeling) van een Performance Level op basis van EN ISO :2006 en baseert zich daarbij voor de belangrijkste zaken op de methode van de zogeheten subsysteembeoordeling. Opmerking: de woorden berekening en beoordeling, zoals ze hierna frequent gebruikt worden, moeten in de context van het Performance Level (PL) als gelijkluidend beschouwd worden. EN ISO :2006 spreekt regelmatig van beoordeling. Beoordeling mag echter niet met schatten verward worden (hiermee wordt eerder het mathematische jargon voor hulpgrootheden in verband met ongelijkheden bedoeld), maar omgekeerd wordt de rekenkundige absolute nauwkeurigheid ook niet zo nauw genomen. Het gaat eerder om de juiste richting of beter gezegd de juiste grootteorde. In principe bestaan er twee mogelijkheden voor het berekenen van de veiligheidsfunctie van een Performance Level (PL): Mogelijkheid 1 is gebaseerd op de zogeheten blokmethode volgens Bijlage B van EN ISO :2006, waarbij de volledige SRP/CS beoordeeld wordt. Een totaalbeoordeling volgens de blokmethode is bijvoorbeeld het voorbeeld uit d enorm, dat u in bijlage I4 van EN ISO :2006 vindt (zie Bijlage achter het lexicongedeelte pagina 131. Het gebruik van de blokmethode wordt bij voorkeur aanbevolen voor complexe met elkaar verweven SRP/ CS en voor speciale gevallen (als alternatief voor de subsysteemmethode. Globale beoordeling van een veiligheidsfunctie Blokmethode Voorbeeld uit de norm open gesloten + A + SW1B + L SW2 P K1B SW1B K1B API PLC PLC SW2 PLC CC CC: PLC: M: RS: P: Besturingssignaal Stroomomvormer Programmeerbare logische besturingseenheid RS Motor Draaisensor Schakelaar afgebeeld in bediende positie n CC M RS Mogelijkheid 2 is de subsysteemmethode, die als vereenvoudiging bedoeld is, (hierna ook wel sub-pl beoordeling of sub-pl methode genoemd) die uitgevoerd wordt met behulp van de zogeheten combinatietabel (tabel 11 van EN ISO :2006, zie pagina 45). Zie hiertoe ook Bijlage H van de norm. Het voordeel van de subsysteemmethode is dat hiervoor enerzijds componenten en systemen op de markt zijn, die al een subsysteem vormen, waaraan door de fabrikant al een sub-pl (of sub-sil) en een bijbehorende PFH d waarde toegekend is (d.w.z. in dit geval moet men niet meer zelf rekenen) en anderzijds als men zelf een sub-pl moet beoordelen de beoordeling of berekening in feite gemakkelijker (minder complex) is. 12

13 Indeling van de veiligheidsfunctie in I, L en O Sub-PL methode zie pagina 47 en volgende Veiligheidsfunctie B Veiligheidsfunctie A Sensor Function I block B 1 Veiligheidsmodule Function block L B 2 Function Actuator block O B 3 Function block A 1 Function block A 2 oder Function block A 3 Subsysteem 1 Subsysteem 2 Subsysteem 3 SRECS (1) Aan de basis van sub-pl s of sub-sil s ligt een modularisering of opsplitsing van een totale SRP/CS in deel-srp/cs-en (= deel- of subsystemen), die uit functieblokken (typisch functieblokken voor ingangs-, signaalverwerkings- en uitgangsniveau = I voor input + L voor logica + O voor output) afgeleid worden. Zie hiertoe de afbeelding hierboven. Zoals hiervoor al gezegd, zorgt deze opsplitsing later voor een vereenvoudiging van de berekening van de globale PL (of globale SIL) met behulp van de combinatietabel (zie pagina 45 en volgende). Als men het productengamma van Schmersal/Elan (en van onze concurrenten) bekijkt, moet men voor een sub-pl of een sub-sil beoordeling twee types componenten onderscheiden, namelijk de groep eenvoudige individuele componenten met veiligheidsfunctie en de groep componenten met een complexe veiligheidstechnische functionaliteit. Het eerder genoemde onderscheid in twee componentengroepen houdt geen kwalificatie in, d.w.z. de beide componentengroepen kunnen hun veiligheidstechnische taken in de SRP/CS op dezelfde correcte manier vervullen; alleen hun gebruik (zie pagina 15 en volgende) is verschillend. (1) Sub-PL s en sub-sil s worden hierna vaak in een adem genoemd, omdat EN IEC :2005 bij voorkeur ook de methode voor de subsysteembeoordeling beschrijft. 13

14 Het essentiële verschil tussen de beide groepen ligt in de architectuur van de componenten, die verschillend is. Er bestaan architecturen zie afbeelding links met (automatische) externe diagnose en architecturen zie afbeelding rechts met (automatische) zelfdiagnose (zie ook pagina 15 en volgende). In deze context en in beide gevallen betekent automatisch grotendeels door het systeem uitgevoerd of onafhankelijk van de wil. Eenvoudige individuele componenten met veiligheidsfunctie Componenten met een complexere veiligheidstechnische functionaliteit Verschil: externe diagnose vs. zelfdiagnose Toegekende functie- en integriteitsvereisten Toegekende functie- en integriteitsvereisten Schakelaar vergrendeling TSE 1.1 Schakelaar vergrendeling TSE 1.2 TS 1 Snelheidssensor TSE 2.1 Snelheidssensor TSE 2.2 TS 2 D D PLC conform aant IEC TS 3 D Relais TSE 4.1 Relais TSE 4.2 TS 4 Deelsystemen (TS) implementeren functieblokken en zijn elementen in het ontwerp van de architectuur op het hoogste niveau, waarbij een uitval van een deelsysteem tot een uitval van de besturingsfunctie met betrekking tot de veiligheid leidt. Elementen van een deelsysteem (TSE) zijn bouwgroepen die de elementen van de functieblokken die aan de deelsystemen toegekend zijn, implementeren Diagnosefuncties (D) worden als afzonderlijke functies beschouwd, die een aparte structuur kunnen hebben ten opzichte van de veiligheidsgerichte besturingsfunctie. Zij kunnen uitgevoerd worden binnen het deelsysteem, door een ander deelsysteem van de SRECS, door een deelsysteem dat niet tot de SRECS behoort. Schakelaar vergrendeling TSE 1.1 Schakelaar vergrendeling TSE 1.2 TS 1 Snelheidssensor TSE 2.1 Snelheidssensor TSE 2.2 D D PLC conform aan IEC D Relais TSE 4.1 Relais TSE 4.2 TS 2 TS 3 TS 4 D Deelsystemen (TS) implementeren functieblokken en zijn elementen in het ontwerp van de architectuur op het hoogste niveau, waarbij een uitval van een deelsysteem tot een uitval van de besturingsfunctie met betrekking tot de veiligheid leidt. Elementen van een deelsysteem (TSE) zijn bouwgroepen die de elementen van de functieblokken die aan de deelsystemen toegekend zijn, implementeren Diagnosefuncties (D) worden als afzonderlijke functies beschouwd, die een aparte structuur kunnen hebben ten opzichte van de veiligheidsgerichte besturingsfunctie. Zij kunnen uitgevoerd worden binnen het deelsysteem, door een ander deelsysteem van de SRECS, door een deelsysteem dat niet tot de SRECS behoort. Eenvoudige individuele componenten met veiligheidsfunctie (in de grafiek hierboven ook elementen van een deelsysteem TSE genoemd, kenmerken zich in het bijzonder door het feit dat zij van huis uit niet zelf tot foutendekking in staat zijn, maar hiervoor andere onderdelen van de SRP/CS nodig hebben (= externe diagnose. Zie ook de gescheiden uitvoering van D in de grafiek hierboven. In zijn geheel (TSE of TSE s + D ) leidt dit dan tot een deelsysteem (of subsysteem) dat voor een (hogere) sub-pl berekening geschikt is. Voor lagere PL s volstaat een beoordeling van de hardwarebetrouwbaarheid van de eenvoudige individuele componenten (TSE s). Componenten met een complexere veiligheidstechnische functionaliteit beschikken al van huis uit over een architectuur, die alle kenmerken bezit die voor een (hogere) sub-pl vereist zijn, en vooral het vermogen tot eigen foutendekking (= zelfdiagnose). Zie ook de directe indeling van D in de grafiek hierboven, d.w.z. TSE en D vormen al een eenheid (een deel- of een subsysteem met gewoonlijk een hogere sub-pl). 14

15 Specificaties (berekeningsbasis in de zin van EN ISO :2006 en EN IEC :2005) 15

16 Specificaties (berekeningsbasis in de zin van EN ISO :2006 en EN IEC :2005) Alle grote fabrikanten zullen hun technische gegevens als zij het ondertussen al niet doen meer en meer uitbreiden met specificaties in de zin van EN ISO :2006 en EN IEC 62061:2005 of deze specificaties op aanvraag ter beschikking stellen. Naast de fabrikantenspecificaties zijn er een groot aantal andere bronnen, waarvan men zich eventueel kan bedienen (bijvoorbeeld EN ISO :2006 [Bijlage C] en EN IEC :2005, de norm SN en de [relatief verouderde] MIL handboeken). Beide normen vermelden echter duidelijk dat bij voorkeur de fabrikantenspecificaties gebruikt moeten worden. Afhankelijk van het componenttype zijn de specificaties echter verschillend. Men moet een onderscheid maken of het om componenten (bijvoorbeeld elektronische bouwelementen), eenvoudige individuele componenten, bijvoorbeeld eenvoudige veiligheidsschakelcomponenten of componenten met een complexere veiligheidstechnische functionaliteit gaat. Hiertoe behoren eventueel ook combinaties van componenten. Bouwelementen worden hierna niet verder besproken. Het essentiële verschil is overigens dat componenten met een complexere veiligheidstechnische functionaliteit en componentencombinaties al van huis uit over een specifieke veiligheidsgerichte architectuur (categorie 2 en hoger) en een eigen vermogen tot foutendekking (via een uit dit standpunt bekeken eigen intelligentie ) beschikken. Men zou dit ook het vermogen tot zelfdiagnose kunnen noemen. Componenten met een complexere veiligheidstechnische functionaliteit hebben dus van huis uit al een hogere sub-pl of sub-sil. Eenvoudige individuele componenten zoals eenvoudige veiligheidsschakelaars, daarentegen bezitten gewoonlijk slechts een eenvoudige architectuur (in het beste geval zijn ze 2-kanalig uitgevoerd). Zij beschikken echter niet over het vermogen tot zelfdiagnose. Bij deze componenten gebeurt de foutendekking eerder door andere voor- of nageschakelde SRP/ CS onderdelen, bijvoorbeeld bij AZ16 schakelaars door een SRB module. In dat opzicht kan men hier dan ook van externe diagnose spreken. Eenvoudige individuele componenten worden in de norm ook wel elementen van een deel- of subsysteem genoemd. Eenvoudige individuele componenten (zonder bijkomende externe diagnose) hebben gewoonlijk een lage sub-pl of sub-sil (afhankelijk van de uitvalwaarschijnlijkheid max. PL c of SIL 1); mits een aangepaste uitvoering (trefwoord: meerkanaligheid ) en in combinatie met bijkomende foutendekkende maatregelen (trefwoord: externe diagnose ) kunnen zij echter goedgekeurd worden tot sub-pl e of sub-sil 3. Eventueel moet hiervoor bijkomend een 2-kanalige opstelling/uitvoering gerealiseerd worden (1). Typische voorbeelden van eenvoudige individuele componenten zijn ventielen en cilinders in de fluïdumtechnologie (hydraulica, pneumatiek), hulp- en controlerelais, noodstopbedienorganen, positieschakelaars, vergrendelvoorzieningen inclusief veiligheidsmagneetschakelaars, toestemschakelaars, enz. Voor componenten van dit type wordt voortaan gewoonlijk een betrouwbaarheidsgrootheid in de vorm van een B 10d waarde (max. schakelfrequentie) aangegeven, omdat zij onderhevig zijn aan slijtage tijdens het gebruik, en bij nieuwe componenten in de toekomst eventueel ook een MTTF d waarde (in jaren). (1) In verstaanbare taal betekent dit dat (op enkele uitzonderingen na) de categorie van eenvoudige schakelaars niet hoger dan 1 en hun sub-pl niet hoger dan c of hun sub-sil niet hoger dan 1 kan zijn, zelfs als zij elektrisch 2-kanalig zijn. Pas als een nageschakelde intelligentie ook fouten herkent, kan men bijvoorbeeld in combinatie met een 2-kanaligheid en dergelijke dergelijke schakelaars een hogere categorie, PL of SIL toekennen. Zie hiervoor ook pagina 23 en volgende en pagina 29 en volgende. 16

17 Schematische samenvatting: Indeling van de Schmersal/Elan componenten in twee groepen Eenvoudige individuele componenten met veiligheidsfunctie Componenten met complexere veiligheidstechnische functionaliteit Gewoonlijk 1-kanalig (soms 2-kanalig) Stand-alone: max. PL c of SIL 1 Geen eigen diagnose Voor hogere PL s + hoogwaardigere architectuur + externe diagnose vereist! Gewoonlijk 2-kanalig In staat tot zelfdiagnose Geschikt voor hogere sub- PL s Zoals al gezegd kan ook met de zogeheten eenvoudige individuele componenten een (sub) PL d of (sub)pl e behaald worden, mits er in de beoordeling rekening gehouden wordt met foutendekkende maatregelen, die hen door andere SRP/CS onderdelen ter beschikking gesteld worden. Eventueel is bijkomend nog een redundantie van de componenten vereist, als zij van huis uit niet zelf aan de vereisten voor een 2-kanalige architectuur voldoen. In feite gaat het bij deze beoordelingen om niets anders dan de uit EN 954-1:1996 gekende combinatie van dergelijke componenten met, bijvoorbeeld, veiligheidsmodules of veiligheids-plc s, waarvan de ingangscircuits of terugkoppelingen als failsafe vergelijker dienst doen, die eventuele fouten en uitvallen op het I - of O niveau herkennen. Veiligheidsschakelaar met gescheiden bediensleutel Veiligheidssensor met magnetisch werkingsprincipe Veiligheidsvergrendelingen in kunststof en metaal Kabelvrije systemen/ Sleuteltransfersystemen Positieschakelaar met veiligheidsfunctie Noodstopbedienorganen Toestemschakelaar Noodstoptrekkoordschakelaar Veiligheidsvoetschakelaar 17

18 PS: in andere normen en in andere contexten van de betrouwbaarheidsengineering vindt men ook andere manieren om de uitvalwaarschijnlijkheid uit te drukken, bijv. λ- of FIT waarden. Deze specificaties kunnen heel eenvoudig via de omgekeerde waarde in een MTTFd waarde omgerekend worden. De zogeheten MTBF waarden (= Mean Time Between Failures, de gemiddelde correcte werkingsduur of de gemiddelde tijd voor het optreden van een fout) kunnen in samenhang met EN ISO :2006 gelijkgesteld worden aan MTTF waarden. De index d voor dangerous of gevaarlijke fouten moet in acht genomen worden. Waarden zonder d worden volgens EN ISO :2006 gewoonlijk in de verhouding 50:50 opgesplitst (men gaat ervan uit dat statistisch gezien alleen iedere tweede fout een gevaarlijke fout is), d.w.z. een MTTF d is tweemaal zo hoog als de MTTF (voor alle mogelijke fouten). Hetzelfde verband geldt voor de B 10d - en B10 waarden. Componenten met een complexere functionaliteit (subsystemen en dergelijke) bezitten daarentegen van huis uit al een zodanige structuur, dat zij veiligheidstechnisch autonoom geëvalueerd kunnen worden, zonder dat hierbij andere onderdelen van de SRP/CS betrokken moeten worden. De fabrikantenspecificaties bestaan dan uit een sub-pl of een sub-sil (telkens met een bijbehorende PFH d waarde). Typische voorbeelden voor componenten met een complexere veiligheidstechnische functionaliteit zijn veiligheidsmodules, microprocessorgebaseerde veiligheidssensoren, veiligheids-plc s, veiligheidsgerichte bussystemen, enz. Aanrakingsvrije veiligheidsvergrendelingen met inductief werkingsprincipe Veiligheidssensoren Veiligheids-PLC s met inductief werkingsprincipe Componenten voor ASi-SaW Veiligheidslichtgordijnen/-lichtschermen Veiligheidsfotocellen Veiligheidslaserscanner PS: bij PFH waarden is het onderscheid via de d index niet echt gebruikelijk, d.w.z. de gevaarlijke uitvalrichting wordt gewoonlijk zowel met een PFH waarde als met een PFH d waarde aangegeven. 18

19 Gelijkgesteld met componenten met een complexere veiligheidstechnische functionaliteit zijn componentencombinaties, bijvoorbeeld de combinatie van BNS veiligheidsmagneetschakelaars en speciale bijbehorende AES veiligheidsmodules, die op die manier (in de combinatie) ook een veiligheidstechnisch op zich afgesloten functionaliteit vormen, waarvoor een hogere sub-pl of sub-sil bepaald kan worden. Voorbeeld van een componentencombinatie BNS/AES OPGELET! Struikelblok: bij gemengd gebruik van eenvoudige individuele componenten en componenten met een complexere veiligheidstechnische functionaliteit in een SRP/CS, bijvoorbeeld een veiligheidsschakelaar op ingangsniveau en een veiligheids-plc op logicaniveau, dan kan het gebeuren dat men voor een subsysteem (in dit voorbeeld voor het subsysteem ingangsniveau ) MTTF d waarden heeft (of B 10d waarden, waaruit dan MTTF d waarden afgeleid worden, zie ook pagina 22 en volgende) en voor het andere subsysteem (in dit voorbeeld voor het subsysteem logicaniveau ) PFH d waarden. Eventueel (als de waarden opgeteld moeten worden) moet een van beide waarden geconverteerd worden. Hiervoor dient dan Bijlage K van EN ISO :2006 (jammer genoeg alleen maar tot 100 j MTTF d ; zie lexicongedeelte, trefwoord Bijlage K ) ofwel gebruikt men een ruwe eigen schatting/ berekening van de getallen van Bijlage K of de vereenvoudigde omrekening van een PFH d waarde in een blok-mttf d waarde (1/PFH d : 8.760) (zie ook pagina 50 en lexicongedeelte). De achterliggende reden voor dit struikelblok is, dat achter een PL naast de deterministische vereisten eigenlijk een PFHd waarde staat die waarschijnlijkheidsmathematisch het resultaat is van de reeds besproken 4 beoordelingsparameters. Met andere woorden: de PFH d waarde is de hogere waarde (waarmee componenten met een complexere veiligheidstechnische functionaliteit beschreven worden, in tegenstelling tot de MTTF d waarde die slechts een deelaspect is in het kader van een discrete beoordeling voor eenvoudige individuele componenten, waar dan nog de architectuur (de categorie), de foutendekking (DC) en het CCF management bij komen en die dan in hun geheel via een PFHd waarde beschreven worden. De achterliggende mathematica werd door de BGIA (1) bepaald. (1) BGIA: Berufsgenossenschaftliches Institut für Arbeitssicherheit, Beroepsorganisatie voor Arbeidsbescherming (zie lexicongedeelte) 19

20 20

21 Eenvoudige individuele componenten in het Schmersal/Elan programma 21

22 Eenvoudige individuele componenten in het Schmersal/Elan programma B 10d waardeberekeningen Voor componenten van dit type wordt voortaan gewoonlijk een specificatie over de veiligheidstechnische betrouwbaarheid vermeld in de vorm van een zogeheten B 10d waarde. De integratie in de architectuur (categorie), de foutendekking (DC) en het CCF management (zie elders) is de vormgevende aangelegenheid van de klant (en zijn raadgevers). De B waarde is een soort bruto grootheid voor het berekenen van een MTTF waarde 10d d voor componenten die omwille van hun technologie onderhevig zijn aan slijtage door het aantal schakelingen en eventueel de schakellast. De B waardeberekening is vereist, omdat voor slijtagegevoelige componenten de 10d zogeheten badkuipcurve met een constant percentage toevallige fouten niet precies geldt tijdens de zogeheten Mission Time (zie lexicongedeelte, trefwoorden B 10d waarde, badkuipcurve en Mission Time ). Dit betekent dat bij slijtagegevoelige componenten het uitvalpercentage na de vroegtijdige fouten niet constant in de tijd is, maar in regel stijgt. Anders gezegd: het uitvalpercentage is hier tijdafhankelijk. Uitvalpercentage Vroegtijdige fouten Fase van constante fouten Bedrijfstijd Fouten veroorzaakt door slijtage De formules voor het omrekenen van een B waarde naar een MTTF waarde zijn als volgt: 10d d MTTF d = B d op h op s 10d h nop = 0,1 n op t cycle n op = Gemiddeld aantal schakelingen per jaar d op = Gemiddeld aantal bedrijfsdagen per jaar h op = Gemiddeld aantal bedrijfsuren per dag t cycle = Gemiddelde activering van de veiligheidsfunctie in s (bijvoorbeeld 4 per uur = 1 per 15 min. = 900 s) Bijkomend moet bij slijtagegevoelige technologieën een zogeheten T 10d waarde berekend worden (10 % van de MTTF d afgeleid uit de B 10d waarde). De T 10d waarde is een indicator voor het preventieve onderhoud van een dergelijke component (bij T 10d < 20 j). De reden voor het aandeel van 10 % is dat men daarvoor uitgaat van een gelijk- 1 0,9 0,8 F(t) 0,7 0,6 0,5 0,4 0,3 0,2 0,1 Levensduur Schakelingen 2 t [T] blijvend uitvalgedrag (gelijk aan het uitvalgedrag van de badkuipcurve). Bij de T 10d waarde zijn net zoals bij de MTTF d waarde ca. 63 % van de componenten bij een steekproef gevaarlijk uitgevallen. Zie ook lexicongedeelte, trefwoord exponentiële verdeling. T M Lijn voor de B waarde 10 b=0,8 b=1 b=2 b=3 b=4 b=5 b=6 b=7 3 22

23 Voorbeeld van een B 10d waardeberekening: De B waarde van een veiligheidsdeurbewakingsschakelaar is d De machine-installatie met veiligheidshekken, waar hij gebruikt wordt, werkt 200 dagen (d ) op per jaar in 2 ploegen (h op ) en de veiligheidsdeuren worden 2 per uur (hop) geopend. Het aantal schakelingen per jaar bedraagt dus 200 (d op ) 16 (h op, 2 ploegen) 2 (activeringen/ uur hetzij t cycle = 1.800) = n op. Hieruit volgt een MTTF waarde van d j(1) ( : 0, = 2.381). In dit voorbeeld is de T waarde (238 j) irrelevant, omdat hij ver boven de aangenomen gebruiksduur (Mission Time) van een machinebesturing (20 j) ligt, zoals die in EN : d vermeld wordt. Herkomst van onze cijfergegevens Indien geen andere vermeldingen: EN ISO :2006 en BGIA rapport 2/2008 (zie lexicongedeelte, trefwoord: BGIA rapport 2/08 ). Vragen over de architectuur of categorie De vraag of, in individuele gevallen, de problematiek, welke categorie een eenvoudige individuele component heeft, blijft ook in de toekomst onveranderd behouden, omdat de categorieën als essentiële eigenschap voor een PL behouden blijven. Hiermee wordt de oude discussie aangekaart, of voor een architectuur, waarbij het optreden van een fout niet tot het verlies van de veiligheidsfunctie leidt, zoals dit voor de categorieën 3 en 4 geëist wordt, een component met redundante veiligheidscontacten (gedwongen verbrekend of vergelijkbaar) volstaat of dat er twee componenten voorzien moeten worden (een fysische 2-kanaligheid). Het gebruik van slechts een component met redundante veiligheidscontacten betekent dat men voor de mechanische bediening (het bedieningsmechanisme) uitgaat van een foutuitsluiting, d.w.z. dat men kan uitsluiten dat hier gevaarlijke uitvallen, bijvoorbeeld door slijtage, beschadiging, vervuiling, enz. kunnen optreden. (1) De begrenzing van MTTF d waarden tot max. 100 jaar geldt hier niet, in de eerste plaats omdat het om een individuele waarde gaat. De afronding op 100 jaar per kanaal gebeurt in combinatie met andere MTTF d waarden pas aan het einde van een PL beoordeling. OPGELET: in de SISTEMA software (zie lexicongedeelte, trefwoord SISTEMA ) leidt iedere subsysteembeoordeling daarentegen tot een afronding. In dit opzicht is het aanbevolen, identieke architecturen van een SRP/CS in een SISTEMA-specifiek subsysteem (= meerdere subsystemen volgens onze definitie, maar dezelfde architecturen) samen te vatten, om niet te veel afrondingen te krijgen. 23

24 Foutuitsluitingsbeoordelingen zijn ook volgens EN ISO :2006 toegestaan, rekening houdend met paragraaf 7.3 en in samenhang met EN ISO :2003. Anderzijds is er de vereiste in een opmerking bij paragraaf 3.3 van de norm, waarin gesteld wordt dat de beoordeling van uitvalmogelijkheden in een SRP/CS begint op de plaats waar het veiligheidsrelevante signaal gegenereerd wordt, bijvoorbeeld aan de rol van een positieschakelaar en aan het regelcontact van de actuator eindigt. In ieder geval is een zorgvuldige afweging vereist! Advies over onze componenten vindt u in de onderstaande lijst van componenten onder het trefwoord 1-/2-kanaligheid en in de bespreking Foutuitsluitingen voor Schmersal-/Elancomponenten op pagina 29 en volgende. Tot slot is de vraag betreffende een foutuitsluiting echter ook afhankelijk van de beoordeling door de klant en de toepassingsvoorwaarden. Foutendekking DC Afhankelijk van de onderstaande signaalverwerking tot 99 % (zie ook pagina 32 en volgende en pagina 68 en volgende). CCF maatregelen (maatregelen tegen fouten met een gemeenschappelijke oorzaak) CCF maatregelen (maatregelen tegen fouten (met een gemeenschappelijke oorzaak): de stand-alone beoordeling is iets of wat moeilijk. Beter is een beoordeling in de context met de integratie van de eenvoudige individuele componenten in de SRP/CS, omdat ook hier weer de vraag opduikt, of en hoe een eventuele 2-kanaligheid bewerkstelligd werd (bijvoorbeeld via fysische of elektrische redundantie). Op zijn minst zorgen de eenvoudige individuele componenten van het Schmersal-/Elanprogramma ook van uit huis weer voor het vereiste minimumaantal van 65 voor het subsysteem, waarin zij gebruikt worden (zie lexicongedeelte, trefwoord CCF, tabel vanaf 3.). De reden hiervoor is, onder meer, het naleven van de productnorm van de EN IEC reeks en hun veiligheids- en milieutechnische vereisten, de EMC-ongevoeligheid van de componenten. Daarbij komen nog de (eventueel evenredige) punten van de beoordelingseenheden 1. Fysieke scheiding tussen de signaalpaden (1) en eventueel 2. Diversiteit (2). Opgelet: CCF maatregelen moeten pas vanaf categorie 2 beoordeeld en geëvalueerd worden, omdat SRP/CS vanaf categorie meerkanalig zijn (hetzij in de vorm van een klassieke 2-kanaligheid hetzij in de vorm van een 1-kanaligheid + testkanaal). Verdere informatie: zie lexicongedeelte, trefwoord CCF (1) De individuele contacten van de componenten zijn galvanisch gescheiden. In het andere geval moeten de kabels beveiligd of gescheiden getrokken worden. (2) Bijvoorbeeld en afhankelijk van de beoordelingsmethode bij NO/NG combinaties. 24

25 Individuele componentspecificaties (zie ook de online catalogus van Schmersal Opmerking (1): als hierna over NG contacten (verbreekcontacten) gesproken wordt, worden altijd gedwongen verbrekende contacten bedoeld, behalve voor de veiligheidsmagneetschakelaars. Bij gedwongen verbrekende NG contacten moeten de specificaties ook omwille van deze speciale veiligheidstechnische eigenschap als lastonafhankelijk geïnterpreteerd worden. Zie ook lexicongedeelte, trefwoord Foutuitsluiting. Opmerking (2): men kan zich terecht de vraag stellen, waarom B 10d waarden deels zo verschillend zijn, hoewel de producten in kwestie met uitzondering van de veiligheidsmagneetschakelaars allemaal gedwongen verbrekende NG contacten hebben. De reden hiervoor is dat ook andere gevaarlijke fouten in deze beoordeling opgenomen zijn, bijvoorbeeld de slijtage van de mechaniek voor de sprongfunctie van een noodstopbedienorgaan of het resetvermogen van een drukknop. Bij de zogeheten type 2 schakelaars spelen bij de normwaarde slechte ervaringen in verband met de levensduur van concurrerende merken in het verleden mee. Noodstopbedienorganen B waarde (lastonafhankelijk): (NG contact) 10d 1-/2-kanaligheid: afhankelijk van de voorziene architectuur (categorie) ALTERNATIEF: foutuitsluiting in het kader van de B waarde (zie pagina 29 en 75) 10d Opmerking (1): bij een maximale belasting van een noodstopbedienorgaan mag volgens de norm alleen een B 10d waarde van aangenomen worden, anders Bij onze componenten volgen wij de normbeoordeling niet om de volgende reden: de B 10d waarde van is een minimale testwaarde uit EN IEC voor de correcte functie van het vasthoudmechanisme van een noodstopbedienorgaan volgens paragraaf 7.3. Hierbij is alleen de minimumwaarde, die bereikt moet worden, van belang. Omgekeerd: vanaf welk aantal schakelingen het vasthoudmechanisme dienst weigert, is niet van belang in de norm. Uit onderzoeken van ons testlaboratorium weten wij echter dat onze componenten minstens vasthoudcycli correct functioneren. Opmerking (2): wij raden aan, een 2-kanaligheid van noodstopbedienorganen te realiseren door het gebruik van twee contactelementen (trefwoord: fysische redundantie). Trekkoord-noodstopschakelaars Zie noodstopbedienorganen Meer en eventueel meer recente specificaties vindt u in de online catalogus op 25

26 3-traps toestemschakelaars/drukknoppen B waarde (lastonafhankelijk): (NG contact) 10d 1-/2-kanaligheid: afhankelijkheid van de voorziene architectuur (categorie) ALTERNATIEF: foutuitsluiting in het kader van de B waarde 10d Veiligheidsvoetschakelaars (3-traps modellen) Zie 3-traps toestemschakelaar/drukknop Tweehandbedieningen (NG/NO combinaties) B waarde: (NG contact/verbreekcontact)(1) 10d (NO contact/maakcontact) (2) (NO contact/maakcontact) (3) (1) lastonafhankelijk (2) bij ohms of quasi-ohms last en overdimensionering, d.w.z. 10 % van de nominale last (3) bij inductieve last en overdimensionering ( 10 % van de nominale last) Opmerking: in combinatie met SRB tweehandmodules gelden de beperkingen van (1) tot (3) niet of worden zij via de veiligheidsmodule afgedekt! Positieschakelaars met geïntegreerde aandrijfkop (zogeheten type 1 schakelaars) B waarde: (NG contact/verbreekcontact)(1) 10d (NO contact/maakcontact) (2) (NO contact/maakcontact) (3) (1) lastonafhankelijk (2) bij ohms of quasi-ohms last en overdimensionering, d.w.z. 10 % van de nominale last (3) bij inductieve last en overdimensionering ( 10 % van de nominale last) 1-/2-kanaligheid: bij individuele 2-polige componenten afhankelijk van de C-norm of foutuitsluiting volgens EN ISO :2003 vereist (zie ook voetnoot pagina 16 en pagina 29 en volgende). Positieschakelaars met gescheiden bediensleutel (zogeheten type 2 schakelaars) B waarde: (NG contact/verbreekcontact)(1) 10d (NO contact/maakcontact) (2) (NO contact/maakcontact) (3) (1) lastonafhankelijk (2) bij ohms of quasi-ohms last en overdimensionering, d.w.z. 10 % van de nominale last (3) bij inductieve last en overdimensionering ( 10 % van de nominale last) 1-/2-kanaligheid: bij individuele 2-polige componenten afhankelijk van de C-norm of foutuitsluiting volgens EN ISO :2003 vereist (zie ook voetnoot pagina 16 en pagina 29 en volgende). Meer en eventueel meer recente specificaties vindt u in de online catalogus op 26

27 Positieschakelaars met gescheiden bediensleutel en vergrendeling B waarden: zie hoger (positieschakelaars met gescheiden bediensleutel) 10d 1-/2-kanaligheid: onder inachtneming van foutuitsluitingen (zie ook voetnoot pagina 16 en pagina 29 en volgende) kan een individuele component echter uitsluitend in een uitvoering met sluitbeveiliging (1) de vereisten voor een 2-kanaligheid vervullen (= cat. 3, max. PL d ). Ook het BGIA rapport 2/08 houdt rekening met deze mogelijkheid en verkiest een tweede schakelaar uitsluitend als bijkomende bescherming tegen manipulatie (die echter ook via andere maatregelen gerealiseerd kan worden). (1) In samenhang met een vergrendeling betekent sluitbeveiliging dat de blokkeervoorziening bij geopende veiligheidsdeur niet in blokkeerpositie geplaatst kan worden, d.w.z. loze vergrendelingen kunnen uitgesloten worden. Daarom kan bij verhoogde veiligheidsvereisten een tweede detector ook wegvallen. Opgelet bij categorie 3: Positiebewaking veiligheidsdeur = kanaal 1 Positiebewaking vergrendeling = kanaal 2 of Positiebewaking veiligheidsdeur = mechanisch via sluitbeveiliging Positiebewaking vergrendeling (veiligheidscontact 1) = kanaal 1 (elektrisch) Positiebewaking vergrendeling (veiligheidscontact 2) = kanaal 2 (elektrisch) Anders: zie boven en BGIA schakelvoorbeeld op pagina 78 Veiligheidsmagneetschakelaars (1) B waarde (lastafhankelijk): (bij 20 % last) 10d (bij 100 % last) (bij 40 % last) (2) (bij 60 % last) (2) (bij 80 % last) (2) (2) Eigen waarden volgens overleg met BGIA 1-/2-kanaligheid: 2-kanaligheid ook met een individuele component mogelijk (uitgezonderd BNS 30, 300 en 333 = 1-kanalig); Componentencombinatie BNS/AES of BNS-geschikte SRB veiligheidsmodules: het gaat hier om een combinatie van componenten (zie pagina 41), die een subsysteem (met sub-pl of sub-sil en PFH d waarde) vertegenwoordigt. Een B 10d waardebeoordeling en een Derating zoals hiervoor is irrelevant, d.w.z. we kunnen uitgaan van , omdat de Reed contacten in de sensoren met een maximale last van 20 % geschakeld worden. Anders gezegd: de bijkomende beoordeling geldt alleen bij een andere signaalverwerking. Hieruit mag niet geconcludeerd worden dat het met veiligheidsmodules van onze concurrenten niet zou gaan, maar dat dit gecontroleerd moet worden (stroom- en spanningsbegrenzing, schakellast, enz.). In combinatie met AES veiligheidsmodules (of een andere geschikte signaalverwerking) kan indien nodig voor een individuele BNS een PFH d waarde van 2, (bij 0,1 h 1 ) aangenomen worden (uitgezonderd BNS 30, 300 en 333 = 1, bij 0,1 h 1, 1-kanalig, max. PL c ). (1) In EN ISO :2006 worden veiligheidsmagneetschakelaars als (slijtagegevoelige) naderingsschakelaars omschreven. Meer en eventueel meer recente specificaties vindt u in de online catalogus op 27