Standarder för säkra styrsystem - SS-EN ISO och SS-EN 62061

Transkript

1 Säkerhet Allmänt om maskinsäkerhet Standarder för säkra styrsystem - SS-EN ISO och SS-EN Båda kan användas för att uppfylla maskindirektivets krav. SS-EN ISO använder PL och SS-EN använder SIL. Information Det finns två harmoniserade säkerhetsstandarder att jobba med för att uppfylla maskindirektivets krav vad gäller personsäkerhet kring maskiner. SS-EN ISO :2008/AC:2009 SS-EN A 1 Säkerhetsrelaterade delar i styrsystem. Funktionssäkerhet hos säkerhetsrelaterade elektriska, elektroniska och programmerbara elektroniska säkerhetskritiska styrsystem. Vad skiljer SS-EN ISO och SS-EN 62061? SS-EN ISO omfattar styrsystem av alla energislag d.v.s. elektriska, elektroniska eller programmerbara styrningar såväl som hydrauliska, pneumatiska eller mekaniska styrkomponenter. SS-EN ISO innehåller även kvantitativa metoder för att bestämma lämplig feltålighetskategori. Dessutom kan man nu även använda standardkomponenter i sitt säkerhetssystem. I EN ISO betecknar man säkerhetsnivåerna med PL (Performance Level) klass a till e där e är högsta nivån. EN är inte en designstandard utan till skillnad mot SS-EN ISO ger den en metodologi som tillverkare kan följa för att verifiera att den valda styrsystemstrukturen uppfyller de uppställda säkerhetskraven. I SS-EN betecknar man säkerhetsnivåerna med SIL (Safety Integrity Level) nivå 1-3 där 3 är den högsta nivån.tillämpning av SIL innebär att man utför en systematisk granskning där fakta som t.ex. ett flödesschema, elschema och beräkningar tillsammans med riskbedömning och erfarenhetsgranskning ger ett mer kvalitativt säkerhetssystem. Det är valfritt att använda sig av antingen SS-EN ISO eller SS-EN 62061, d.v.s. båda standarderna leder till samma resultat men på olika tillvägagångssätt. Man kan alltså välja vilken standard som passar bäst från fall till fall. Vi på OEM Automatic rekommenderar våra kunder att arbeta efter SS-EN ISO då den standarden täcker in alla energislag. Koppling mellan olika funktionsäkerhetsstandarder

2 SS-EN SS-EN SS-EN ISO Industrisegment Allmänt Industriautomation Industriautomation Säkerhetsfunktion Säkerhetsfunktion Säkerhetsrelaterade Säkerhetsfunktion kontrollfunktioner (SCRF) Säkerhetsplattform Säkerhetsrelaterade system Säkerhetsrelaterade elektriska kontrollsystem (SRECS) Säkerhetsrelaterade delar av kontrollsystem (SRP/CS) Typ av produkter Komponenter System Komponenter/System Riskreduceringsnivåer SIL 1-4 SIL 1-3 PL a-e Kräver beräkning av Ja Ja Ja hårdvarufelssannolikhet Hårdvarufelssannolikhetsförkortning PFD/PFH PFH MTFF d Standarden inkluderar en Ja Ja Ja säkerhetslivscykel Riskgrupper som hanteras av Personsäkerhet, miljö, Personsäkerhet Personsäkerhet standarden ergonomi Risktyper som hanteras av standarden Generell Risker direkt relaterade till en maskin eller en grupp av maskiner Risker direkt relaterade till en maskin eller en grupp av maskiner Harmonisering under EU-direktiv Nej Ja, Maskindirektivet Ja, Maskindirektivet Gränssnitt mellan SS-EN ISO och SS-EN Teknik SS-EN ISO SS-EN A Inte elektrisk som hydraulik Behandlas Behandlas inte B Elektromekanisk som reläer, Begränsat till systemarkitektur och upp till PL e Alla arkitekturer och upp till SIL 3 och/eller inte komplex elektronik C Komplex elektronik som Begränsat till systemarkitektur och upp till PL d Alla arkitekturer och upp till SIL 3 programmeras D A kombinerad med B Begränsat till systemarkitektur och upp till PL e E C kombinerad med B Begränsat till systemarkitektur och upp till PL d Alla arkitekturer och upp till SIL 3 F C kombinerad med A, eller C kombinerad med A eller B Begränsat till systemarkitektur och upp till PL d Alla arkitekturer och upp till SIL 3 utom elektriska system SS-EN ISO :2008/AC:2009 SS-EN ISO ställer ett antal krav på att minimera sannolikheten för allvarliga fel i skyddsfunktionen. SRP/CS (Safety Related Parts of Control System) Säkerhetsrelaterade delar i system. MTTF d (Mean Time to Dangerous Failure) Komponenters tillförlitlighet ska beaktas för varje enskild kanal. DC (Diagnostic Coverage) Systemets feldetekteringsförmåga (feltålighetskategori 2, 3 och 4), kallas också för övervakning och gäller endast vid systemsäkerhet. DC uppskattas genom att bestämma systemets "feldetekteringsåtgärder" enligt tabeller i standarden. CCF (Common Cause Failure) Gäller endast vid systemsäkerhet (feltålighetskategori 2, 3 och 4). CCF uppskattas genom att värdera olika åtgärder mot gemensam felorsak i systemet enligt tabeller i standarden. I SS-EN ISO bedömer man vilken nivå på skyddet som behövs enligt nedan.

3 Konstruktionsprocessen för tillämpning av SS-EN ISO Konstruktionsprocessens olika steg. Den börjar med att identifiera nödvändiga skyddsfunktioner (t.ex. start-, stopp- och återställningsfunktioner) och att bestämma dess egenskaper (t.ex. startkriterier, reaktionstid, cykeltid och larm) som den aktuella tillämpningen kräver. Bestäm PL, konstruera SF och identifiera SRP/CS Nästa steg i processen är att för varje vald (nödvändig) skyddsfunktion, som realiseras av SRP/CS bestämma erforderlig prestandanivå PL. Bestämningen av PL, är kopplas till riskbedömningens resultat och relaterar till nivån på riskreducerade åtgärder (bilaga A i SS-EN ISO ). Fastställande av erforderlig prestandanivå (PL r) S= Skadans allvarlighetsgrad S1= Reversibel skada (läkbar skada) S2= Irreversibel skada på en eller flera personer eller dödsfall F= Frekvens och/eller exponeringstid för riskkällan F1= Sällan till mindre ofta och/eller kort exponeringstid F2= Ofta till kontinuerlig och/eller lång exponeringstid P= Möjlighet att undvika riskkällan eller begränsa skadan P1= Möjligt under vissa omständigheter P2= Knappast möjligt 1. Startpunkt för utvärdering av en skyddsfunktions bidrag till riskreduceringen Samband mellan kategorier och PL Feltålighetskategorierna B, 1, 2, 3 och 4 finns kvar men har fått mer preciserade egenskaper genom MTTF d, DC och CCF.

4 KategoriFeltålighetskrav (sammanfattning) Systemets uppträdande MTTF d DCavg CCF B Säkerhetsrelaterade delar utförs med standardkomponenter - rätt dimensionerade Fel kan leda till förlust av säkerhetsfunktionen Låg till medium Ingen 1 Säkerhetsrelaterade delar utförs med väl beprövade principer och säkerhetskomponenter - rätt dimensionerade - väl beprövade 2 System utförs med väl beprövade principer och är - rätt dimensionerat - enkelt och kontrollerat (lämpligt intervall) 3 System utförs med väl beprövade principer och är - rätt dimensionerat - har säkerhet mot enkelfel t.ex. dubblerat och övervakat (exklusive felackumulering) 4 System utförs med väl beprövade principer och är - rätt dimensionerat - har säkerhet mot enkelfel t.ex. dubblerat och övervakat (inklusive felackumulering) Fel kan leda till förlust av säkerhetsfunktionen, men sannolikheten är lägre i kategori B Fel kan leda till förlust av säkerhetsfunktionen, mellan kontrollerna - Vid enkelfel kvarstår säkerhetsfunktionen - Alla fel detekteras inte - Felackumulering kan leda till förlust av säkerhetsfunktionen - Vid enkelfel kvarstår säkerhetsfunktionen - Detektering av ackumulerade fel - Felen detekteras och hindrar förlust av säkerhetsfunktionen Ej relevant Hög Ingen Ej relevant Låg till hög Låg till hög Hög Låg till medium Bilaga F Låg till medium Bilaga F Hög inkl. Bilaga F ackumulering av fel Beräkning av MTTF d för komponenter utifrån B10d B 10d = medel antal cykler tills 10 % av komponenter har fått farliga fel. Omvandling från B 10d (operationscykler) till MTTF d (år). MTTF d= B 10d/0,1 xnop Medel antal arbetscykler/år n op= dop x hop x3600/t cycle n op= medelvärde antal operationer per år d op= genomsnittligt antal operationer per dag årligen h op= genomsnittligt antal operationer per dag t cycle= genomsnittligt krav på den säkra funktionen i S (t.ex. 4 x i timmen = 90S) Används mest för pneumatiska och elektromekaniska komponenter. Delberäkningsmetoden för att uppskatta MTTF d för varje kanal (MTTF d, Mean time to dangerous failure) medeltal till farligt fel, se bilaga D Den allmänna formeln: MTTF d för den kompletta kanalen

5 MTTF dl respektive MTTF d för varje komponent som bidrar till skyddsfunktionen Den 1:a summan är för varje separat komponent, den 2:a summan är en ekvivalent, förenklas form, där alla identiska komponenter med samma MTTF d är grupperade tillsammans Om man har olika MTTF d värde per kanal i en tvåkanalig krets, hanterar man det på två sätt: Använd det lägsta värdet eller nedan formel. Beteckning för MTTF d för varje kanal Låg Medel Hög Område för MTTF d 3 år MTTF d < 10 år 10 år MTTF d < 30 år 30 år MTTF d < 100 år Feldetekteringsförmåga (DC) gäller endast för systemsäkerhet, feltålighetskategori 2, 3 och 4. (DC, Diagnostic Coverage) feldetekteringsförmåga, se bilaga E. För SRP/CS bestående av flera delar används ett medelvärde DC avg. DCavg kan bestämmas som förhållandet mellan felfrekvens för detekterade farliga fel och felfrekvens för totalt antal fel. Beteckning för DC Område för DC Ingen DC avg < 60% Låg 60% DC avg < 90% Medium 90% DC avg < 99% Hög 99% DCavg Exempel på DC-värden: Dubbla övervakade kontaktorer ger DC 99 % Säkerhetsrelä ger DC 99 % Två seriekopplade nyckelbrytare ger DC 0-60 % (0 om man kan öppna båda samtidigt) Egensäkra givare typ SensaGuard ger DC 99 % Uppskattade värden för gemensam felorsak (CCF) gäller endast för systemsäkerhet, feltålighetskategori 2, 3 och 4 (CCF, Common Cause Failure ) gemensam felorsak, se bilaga F.

6 Fel hos olika individer som resultat av enstaka händelser, där dessa inte är konsekvenser av varandra. För att det ska vara godkänt måste man få ihop minst 65 poäng. Poäng samlas genom att vidta åtgärder enligt nedan tabell. Godkänt värde är 65 (max. 100). Åtgärd mot CCF Poäng Separation/segregering Fysisk (två-kanalig) separation mellan signalledare 15 Diversitet Användning av olika tekniker eller fysiska principer 20 Konstruktion/tillämpning/erfarenhet Skydd mot överspänning mm 15 Väl beprövade komponenter 5 Bedömning/analys Är resultaten från feleffektsanalysen beaktade för att undvika fel av samma orsak 5 Kompetens/utbildning Förstå orsak och verkan av fel av samma orsak 5 Omgivning Förebyggande åtgärder mot föroreningar och EMC 25 Har kraven på tålighet mot t.ex. temperatur och vibrationer beaktats? 10 Sammanlagt (max) 100 Verifiering av att uppnådd PL matchar PLr För varje individuell kanal/skyddsfunktion verifieras att PL hos säkerhetsrelaterade delar matchar PL, d.v.s. PL PLr och att specifierade krav uppfylls. Om så inte är fallet återförs arbetet till "konstruera SF och identifiera SRP/CS". Validering Validering innebär att systemet uppfyller tillämpningens funktions- och säkerhetskrav. Relation PL-SIL PL (SS-EN ISO ) SIL (SS-EN ) a Ingen motsvarighet b 1 c 1 d 2 e 3 OBS! Vid sidan av sannolikhetsmedelvärdet för farliga fel per timme behövs även andra åtgärder för att uppnå PL r. Arkitekturer för olika kategorier Förutbestämd arkitektur kategori B i m: Förbindningar I: Indata, t.ex. givare L: Logik O: Utdata, t.ex. kontaktorer OBS! Varken i indata, utdata eller i logiken detekteras fel. MTTF d är låg till medium. DC och CCF är inte relevant. Förutbestämd arkitektur kategori 1

7 i m: Förbindningar I: Indata, t.ex. givare L: Logik O: Utdata, t.ex. kontaktorer OBS! Varken i indata, utdata eller i logiken detekteras fel. MTTF d är hög. DC och CCF är inte relevant. Förutbestämd arkitektur kategori 2 i m: Förbindningar m: Övervakning I: Indata, t.ex. givare L: Logik O: Utdata, t.ex. kontaktorer TE: Testutrustning OTE: Utdata från TE OBS! Säkerhetsfunktionen testas. MTTF d är låg till hög. DC är låg till medium. Åtgärder mot CCF beaktas. Förutbestämd arkitektur kategori 3 i m: Förbindningar I1, I2: Indata, t.ex. givare L1, L2: Logik O1, O2: Utdata, t.ex. kontaktorer OBS! Enkelfelssäkerhet. Enkelfel detekteras. MTTF d är låg till hög. DC är låg till medium. Åtgärder mot CCF beaktas. Förutbestämd arkitektur kategori 4

8 i m: Förbindningar I1, I2: Indata, t.ex. givare L1, L2: Logik O1, O2: Utdata, t.ex. kontaktorer OBS! Enkelfelssäkerhet. Enkelfel detekteras före nästa cykel. MTTF d är hög. DC är hög. Åtgärder mot CCF beaktas. SS-EN Saker att ta hänsyn till när man arbetar med SS-EN SRECS (Safety Related Electrical Control System) Elektrisk del i en maskins styrsystem, fel i denna kan leda till farlig situation. SRCF (Safety Related Control Function) Säkerhetsfunktion med tilldelad SIL-nivå, upprätthåller säkert läge eller förhindrar olycka. SFF (Safe Failure Fraction) Feltolerans av hårdvaran. Lämnas av tillverkaren. DC (Diagnostic Coverage) Systemets feldetekteringsförmåga. PFH D(Probability of dangerous Failure per Hour) Sannolikhet av farligt fel/timme. Komponenttillverkaren deklarerar SIL, PFH D och SFF. SS-EN Arbetsgång Riskbedömning bestämning av SIL-nivå, Metoden i SS-EN har 4 olika parametrar att ta hänsyn till: Den eventuella skadans allvarlighetsgrad (Se) Hur ofta och hur länge behöver man vistas i riskområdet (Fr) Sannolikhet att riskhändelsen inträffar (Pr) Möjlighet att undvika eller begränsa skadan (Av) Den eventuella skadans allvarlighetsgrad (Se) Konsekvens Allvarlighetsgrad (Se) Inte reversibel: död, förlust av öga/ögon eller arm(ar) 4 Inte reversibel: benbrott, förlust av finger (fingrar) 3 Reversibel: kräver läkarbesök 2 Reversibel: kräver första hjälpen 1 Hur ofta och hur länge behöver man vistas i riskområdet (Fr)

9 Hur ofta krävs vistelse i riskområdet? 10 min. <10 min. 1 timme 5 5 >1 timme till <1 dag 5 4 >1 dag till <2 veckor 4 3 >2 veckor till <1 år 3 2 >1 år 2 1 Följande aspekter skall tas i beaktning vid bestämning av Fr: Hur ofta man måste befinna sig i det riskfyllda området i de olika driftsmoderna (normal drift, rengöring, underhåll, felsökning) Vilken typ av uppgifterna man genomför t.ex. manuell inmatning av material, parameterinställning etc. Sannolikhet att riskhändelsen inträffar (Pr) Sannolikhet att riskhändelsen inträffar Pr Mycket stor 5 Trolig 4 Möjlig 3 Ovanlig 2 Försumbar 1 Följande aspekter skall tas i beaktning i samband med uppskattning av sannolikheten för en viss riskfylld händelse: Vid uppskattning av frekvens skall man ej ta hänsyn till säkerhetsfunktioner (SRECS), detta är nödvändigt då man behöver uppskatta alla risker som kan uppkomma om (SRECS) falerar. Mänskligt beteende då riskfyllda situationer kan uppstå, t.ex. stress på grund av tidsbrist samt bristande information och kunskap om hur man skall hantera situationen. Möjlighet att undvika eller begränsa skadan (Av) Möjlighet att undvika eller begränsa skadan (Av) Omöjligt 5 Sällan 3 Sannolikt 1 Då man uppskattar möjligheten att kunna undvika eller begränsa skadan skall man ta hänsyn till maskinens uppbyggnad samt dess tilltänkta användning, där bland annat följande aspekter är viktiga: Plötslig, snabb eller långsam hastighet då den riskfyllda händelsen uppstår. Möjligheterna att ta sig bort från riskområdet, t.ex. utrymningsvägar. Nivå på sannolikhet för skada (Cl) Skriv in poängen för varje risk i respektive kolumn för Fr, Pr och Av. Summan av dessa läggs in i Cl-kolumnen. Pos Risk Se Fr Pr Av Cl 1 Krossning mellan maskin och robot Cl = Fr + Pr + Av = = 15

10 Enligt ovan tabell skulle SIL nivån hamna på SIL 3 på den aktuella SRCF i fråga. Exempel på riskbedömning