Grundsätzliches

Funktionale Sicherheit

Automatisierung und Sicherheitstechnik sind zwei eng zusammengehörende Bereiche. Projektierung, Installation und Betrieb komplexer Automatisierungslösungen werden durch integrierte sicherheitsbezogene Funktionen und Module vereinfacht.

Im Allgemeinen sind die sicherheitstechnischen Anforderungen anwendungsabhängig. Die Höhe der Anforderungen richtet sich unter anderem nach dem Risiko und dem Gefährdungspotenzial, das von der Anwendung ausgeht sowie nach den geltenden gesetzlichen Anforderungen.

Die sicherheitstechnische Gestaltung von Maschinen hat den Schutz von Personen zum Ziel. Bei Maschinen mit elektrisch geregelten Antrieben geht die Gefährdung in erster Linie von bewegten Maschinenteilen und der Elektrizität selbst aus.

Nur Sie als Anwender, Maschinenbauer oder Systemintegrator sind mit allen Bedingungen und Faktoren vertraut, die bei Installation, Einrichtung, Betrieb, Reparatur und Wartung der Maschine oder des Prozesses zum Tragen kommen. Daher können nur Sie die Automatisierungslösung und die damit verbundenen Sicherheitseinrichtungen und Verriegelungen für eine ordnungsgemäße Verwendung festlegen und diese Verwendung validieren.

Gefährdungs- und Risikoanalyse

Die Norm IEC 61508 "Funktionale Sicherheit sicherheitsbezogener elektrischer/elektronischer/programmierbarer elektronischer Systeme" definiert die sicherheitsbezogenen Aspekte von Systemen. Die Norm betrachtet nicht nur eine einzelne Funktionseinheit eines sicherheitsbezogenen Systems, sondern alle Elemente einer Funktionskette (zum Beispiel vom Sensor über die logischen Verarbeitungseinheiten bis zum Aktor) als eine Gesamteinheit. Diese Elemente müssen in ihrer Gesamtheit die Anforderungen des jeweiligen Sicherheits-Integritätslevels erfüllen.

Die Norm IEC 61800-5-2 "Elektrische Leistungsantriebssysteme mit einstellbarer Drehzahl – Anforderungen an die Sicherheit – Funktionale Sicherheit" ist eine Produktnorm, die die sicherheitsbezogenen Anforderungen an Antriebsverstärker festlegt. In dieser Norm werden unter anderem sicherheitsbezogene Funktionen für Antriebsverstärker definiert.

Auf Basis der Anlagenkonfiguration und ‑verwendung muss eine Gefährdungs- und Risikoanalyse der Anlage (zum Beispiel nach EN ISO 12100 oder EN ISO 13849-1) durchgeführt werden. Die Ergebnisse dieser Analyse müssen bei der Konstruktion der Maschine und der anschließenden Ausstattung mit sicherheitsbezogenen Einrichtungen und sicherheitsbezogenen Funktionen berücksichtigt werden. Die Ergebnisse Ihrer Analyse können von in dieser Dokumentation oder mitgeltenden Dokumentationen enthaltenen Anwendungsbeispielen abweichen. Es können zum Beispiel zusätzliche sicherheitsbezogene Komponenten erforderlich sein. Grundsätzlich haben die Ergebnisse aus der Gefährdungs- und Risikoanalyse Vorrang.

Die Norm EN ISO 13849-1 (Sicherheit von Maschinen – Sicherheitsbezogene Teile von Steuerungen – Teil 1: Allgemeine Gestaltungsleitsätze) beschreibt einen iterativen Prozess für die Auswahl und Gestaltung der sicherheitsbezogenen Teile von Steuerungen, um das Risiko für die Maschine auf ein vertretbares Maß zu begrenzen.

So führen Sie eine Risikobeurteilung und -minimierung nach EN ISO 12100 durch:

1. Grenzen der Maschine festlegen.

2. Gefährdungen der Maschine identifizieren.

3. Risiko beurteilen.

4. Risiko bewerten.

5. Risiko verringern durch:

   • Die Konzeption

   • Schutzeinrichtungen

   • Informationen für die Benutzer (siehe EN ISO 12100)

6. Sicherheitsbezogene Teile der Steuerung (SRP/CS, Safety-Related Parts of the Control System) in einem iterativen Prozess gestalten.

Gestalten Sie die sicherheitsbezogenen Teile der Steuerung in einem interaktiven Prozess wie folgt:

Weitere Informationen finden Sie unter https://www.se.com.

Safety Integrity Level (SIL)

Die Norm IEC 61508 spezifiziert 4 Sicherheits-Integritätslevel (Safety Integrity Level (SIL)). Sicherheits-Integritätslevel SIL1 ist die niedrigste Stufe und Sicherheits-Integritätslevel SIL4 ist die höchste Stufe. Grundlage für die Ermittlung des Sicherheits-Integritätslevels, das für die Anwendung erforderlich ist, ist eine Beurteilung des Gefährdungspotenzials anhand der Gefährdungs- und Risikoanalyse. Daraus wird abgeleitet, ob die betreffende Funktionskette als sicherheitsbezogen gelten muss und welches Gefährdungspotenzial damit abgedeckt werden muss.

Average Frequency of a Dangerous Failure per Hour (PFH)

Zur Aufrechterhaltung der Funktion des sicherheitsbezogenen Systems erfordert die Norm IEC 61508, abhängig vom erforderlichen Sicherheits-Integritätslevel (Safety Integrity Level (SIL)), abgestufte fehlerbeherrschende sowie fehlervermeidende Maßnahmen. Alle Komponenten müssen einer Wahrscheinlichkeitsbetrachtung unterzogen werden, um die Wirksamkeit der getroffenen fehlerbeherrschenden Maßnahmen zu beurteilen. Bei dieser Betrachtung wird die mittlere Häufigkeit eines gefahrbringenden Ausfalls je Stunde (Average Frequency of a Dangerous Failure per Hour (PFH)) ermittelt. Dies ist die Häufigkeit pro Stunde, mit der ein sicherheitsbezogenes System gefahrbringend ausfällt und die Funktion nicht mehr korrekt ausgeführt werden kann. Die mittlere Häufigkeit eines gefahrbringenden Ausfalls je Stunde darf abhängig vom Sicherheits-Integritätslevel bestimmte Werte für das gesamte sicherheitsbezogene System nicht überschreiten. Die einzelnen PFH-Werte einer Funktionskette werden zusammengerechnet. Das Ergebnis darf den in der Norm vorgegebenen Maximalwert nicht überschreiten.

Hardware Fault Tolerance (HFT) und Safe Failure Fraction (SFF)

In Abhängigkeit vom Sicherheits-Integritätslevel (Safety Integrity Level (SIL)) für das sicherheitsbezogene System fordert die Norm IEC 61508 eine bestimmte Hardware-Fehler-Toleranz (Hardware Fault Tolerance (HFT)) in Verbindung mit einem bestimmten Anteil ungefährlicher Ausfälle (Safe Failure Fraction (SFF)). Die Hardware-Fehler-Toleranz ist die Eigenschaft eines sicherheitsbezogenen Systems, die geforderte Funktion selbst dann ausführen zu können, wenn ein oder mehrere Hardwarefehler vorliegen. Der Anteil ungefährlicher Ausfälle eines sicherheitsbezogenen Systems ist definiert als das Verhältnis der Rate der ungefährlichen Ausfälle zur Gesamtausfallrate des sicherheitsbezogenen Systems. Gemäß der IEC 61508 wird das maximal erreichbare Sicherheits-Integritätslevel eines sicherheitsbezogenen Systems durch die Hardware-Fehler-Toleranz und den Anteil ungefährlicher Ausfälle des sicherheitsbezogenen Systems mitbestimmt.

Die Norm IEC 61800-5-2 unterscheidet zwei Typen von Teilsystemen (Typ A-Teilsystem, Typ B-Teilsystem). Diese Typen werden anhand von Kriterien festgelegt, die in der Norm für die sicherheitsbezogenen Bauteile definiert sind.

Fehlervermeidende Maßnahmen

Systematische Fehler in der Spezifikation, in der Hardware und der Software, Nutzungsfehler und Instandhaltungsfehler des sicherheitsbezogenen Systems müssen so weit wie möglich vermieden werden. Die Norm IEC 61508 schreibt hierfür eine Reihe von fehlervermeidenden Maßnahmen vor, die je nach angestrebtem Sicherheits-Integritätslevel (Safety Integrity Level (SIL)) durchgeführt werden müssen. Diese fehlervermeidenden Maßnahmen müssen den gesamten Lebenszyklus des sicherheitsbezogenen Systems begleiten, also von der Konzeption bis zur Außerbetriebnahme des sicherheitsbezogenen Systems.

Daten für Wartungsplan und für Berechnungen zur funktionalen Sicherheit

Die Sicherheitsfunktion muss in regelmäßigen Abständen überprüft werden. Das Intervall ist abhängig von der Gefährdungs- und Risikoanalyse des Gesamtsystems. Das Mindestintervall ist 1 Jahr (hohe Anforderungsrate nach IEC 61508).

Verwenden Sie die folgenden Daten der Sicherheitsfunktion STO für Ihren Wartungsplan und für die Berechnungen zur funktionalen Sicherheit:

Weitere Daten erhalten Sie auf Wunsch bei Ihrem Schneider Electric Ansprechpartner.

Die Daten für das Sicherheitsmodul eSM finden Sie in dem Produkthandbuch zum Sicherheitsmodul.