Praxistipps | Implementierungs- und Überprüfungsprozess der Sicherheitsinstrumentierungsfunktion SIF

Thread Content

SIF yunrun.com.cn/news/1713.html Autor: Jiang Ronghuai, Siemens (China) Co., Ltd. In diesem Artikel werden anhand der internationalen Sicherheitsstandards IEC61508, IEC61511 sowie ANAI/ISA-84.00.01 (IEC61511 Mod) die Methoden zur Realisierung von Sicherheitsfunktionen durch Sicherheitssteuerungssysteme (SIS) im Lebenszyklus der Sicherheit in der Prozessindustrie vorgestellt. Ebenso werden die Bewertung und Auswahl von Funktionssicherheitseinrichtungen, die Umsetzung von SIL-Werten sowie die Überprüfung der Sicherheitsfunktionen behandelt. Die Analysephase ist eine wichtige Phase im Sicherheitslebenszyklus nach IEC 61511. Dabei geht es darum, das Sicherheitssystem entsprechend den Anforderungen der Sicherheitsfunktionen (SIF) aus den Sicherheitsvorschriften zu entwerfen, geeignete Funktionssicherheitseinrichtungen auszuwählen sowie die Sicherheitsfunktionen mithilfe von Diagnose- und Prüftechniken zu überprüfen und zu bestätigen. Das sind entscheidende Aspekte in der Analysephase. Dieser Artikel beschreibt unter Berücksichtigung von Sicherheitsstandards und -vorschriften hauptsächlich den Implementierungs- und Überprüfungsprozess der Funktionen sicherer Instrumente. 1. Implementierungsprozess der Sicherheitsinstrumentenfunktion (SlF) Die Gestaltung der Sicherheitsinstrumentenfunktion (SlF) im Sicherheitsinstrumentensystem (SIS) muss gemäß den Anforderungen der Spezifikation für Sicherheitsinstrumente (SRS) erfolgen. Als wichtiges Dokument bezüglich des Sicherheitslebenszyklus gemäß IEC61511 enthält das SRS eine vollständige Auflistung aller Anforderungen an die Konzeption der Sicherheitssystemfunktionen (SIF). Dazu gehören insbesondere: ① Gefahren und ihre Folgen ； ②Die Wahrscheinlichkeit von gefährlichen Ereignissen ； ③Der entsprechende PID ； ④Prozessmessparameter und Auslösepunkte ； ⑤Anforderungen an die Reaktionszeiten der Haupt- und Hilfseinrichtungen ； ⑥Beziehung zwischen Prozessmessung und Ausgabe, einschließlich Logik, Algorithmusfunktionen und Zulässigkeiten – definiert für alle Betriebsmodi, wie z. B. Fahrbetrieb, Normalbetrieb, Störungsfall, Notstopp usw ； ⑦Erforderter Sicherheitsintegritätsgrad ； ⑧Zieltestzyklus ； ⑨Maximale zulässige Parkfreigrenze ； ⑩Maximale Anforderungen an die Reaktionszeit von SIF ； Anforderungen zur manuellen Aktivierung des SIF ； ⑪SIF-Reset-Anforderungen (Verriegelung oder automatischer Reset) ； ⑫SIF-Reaktion bei Fehlersuche (automatische Stopptätigkeit, nur Alarm oder anderes) ； ⑬Anforderungen an die Schnittstelle des Wärmemotors – Anzeige und Eingabe von Variablen ； ⑭Anforderungen an die Fähigkeit zur Wartung des Umleitungswegs ； ⑮Durchschnittliche Wiederherstellung nach Ausfall, geschätzte Betriebszeit ； ⑯Umgebungsbedingungen für normale Betriebsabläufe und Notfälle. Neben dem oben genannten Innenzylinder sollten je nach Anwendung sowie den unterschiedlichen Anforderungen der verschiedenen Branchen weitere Elemente hinzugefügt werden. Nach der Bestätigung der SIF-Designziele im SRS sollten die Auswahl der Geräte, die Prüfung der Redundanzanforderungen, die Testverfahren für SIF sowie die Überprüfungsrechnungen für SIF durchgeführt werden. Der vereinfachte Entwurfsprozess von SIF ist in Abbildung 1 dargestellt. http://yunrun.com.cn/upload/201801/10/201801102357046978.png Abbildung 1 Kurzer Entwurfsprozess des SIF. In der Entwurfsphase werden statistische Berechnungen durchgeführt, um zu überprüfen, ob der Entwurf den geforderten SIL-Standard erfüllt. Es wird überprüft, ob die Berechnungen den Vorgaben von IEC61508 oder ANSI/ISA 84.00.01 entsprechen. Häufig verwendete Berechnungsmethoden sind Fault Trees sowie Markov-Modelle. 2. Auswahl von Geräten für Sicherheitsinstrumentierungsfunktionen Die Geräte, die zur Erbringung von Sicherheitsinstrumentierungsfunktionen verwendet werden, müssen in ihrer Leistung vollständig den Anforderungen an diese Funktionen entsprechen. Neben der Auswahl von Materialien, die für den jeweiligen Prozess geeignet sind und den Umweltbedingungen standhalten, muss auch die funktionale Sicherheit der Geräte bewertet werden. Alle Designanpassungen und Änderungen müssen in schriftlicher Form als Teil der Projektunterlagen aufbewahrt werden. Nach ANSI/ISA-84.00.01 müssen die in einem SIS eingesetzten Geräte entweder nach IEC 61508 zertifiziert sein, um das erforderliche SIL-Niveau zu erreichen, oder gemäß dem Prinzip der vorherigen Verwendung (Prior use) (ANSI/ISA-84.00.01 Teil 1, Abschnitt 11.5.3) ordnungsgemäß eingesetzt werden. Der Begriff „Vorherige Verwendung“ ist in den Standards nicht ausführlich definiert. Im Allgemeinen gilt: Wenn eine bestimmte Version eines Instruments in den Dokumenten des Unternehmens, das es einsetzt, über viele Jahre hinweg als erfolgreich eingesetzt nachgewiesen werden kann – ohne dass es zu gefährlichen Störungen kam – dann kann dieses Instrument auch für Sicherheitsfunktionen verwendet werden, ohne dass eine Sicherzertifizierung erforderlich ist. Der Vorausnutzungsgrundsatz (Prior Use) verlangt, dass bei der Einsatz im Feld des Benutzers alle dort auftretenden Ausfälle sowie Ausfallmuster vollständig dokumentiert werden. In den Aufzeichnungen müssen außerdem die Hardware- und Softwareversionen der Geräte enthalten sein. Versionsschwankungen im Design können dazu führen, dass die Daten des vorherigen Gebrauchs (Prior use) ungültig werden. Viele Nutzer bitten die Hersteller von Messgeräten um Unterstützung bei der Prüfung des vorherigen Einsatzes. Die Hersteller beauftragen in der Regel Drittfirmen oder -institutionen mit der Bewertung des vorherigen Einsatzes auf unterschiedlichen Ebenen. Die Bewertungen werden von Experten dieser Drittfirmen oder -institutionen (z. B. TÜV, FM oder E*da) durchgeführt. In der Regel verlangen die Hersteller, dass zwei oder mehr Bewertungsunternehmen gemeinsam an der Bewertung arbeiten. 3. Methoden zur Bewertung der Funktionssicherheit von Produkten ① FMEDA-Bewertung Die FMEDA-Bewertung eines Geräts bezeichnet die Durchführung einer Hardware-Analyse mit Hilfe von FMEDA (Failure Modes, Effects and Diagnostics), um die Defektanfälligkeit sowie die möglichen Fehlermuster des Geräts zu ermitteln. FMEDA ist eine erweiterte Anwendung des traditionellen FMEA. Sicherheitstechniker können die durch die FMEDA-Methode gewonnenen Daten nutzen, um statistische Berechnungen durchzuführen sowie die Funktionalitäten der Sicherheitsinstrumente (SIF) zu überprüfen. In der FMEDA-Analyse werden der Lebenszyklus der Geräte sowie geeignete Verifizierungs- und Prüfverfahren berücksichtigt. Der Anteil der durchgeführten Verifizierungs- und Prüfungen wird zur Berechnung der Werte PFH/PFD/PFDavg verwendet. Es sollte beachtet werden, dass die FMEDA-Analyse nicht als ausreichende Voraussetzung für die Auswahl eines Produkts dienen kann. ②Bewertung der vorherigen Nutzung (Prior Use): Der ursprüngliche Zweck der Bewertung der vorherigen Nutzung bestand darin, mithilfe von Daten über Störungen in der tatsächlichen Anwendung vor Ort zu überprüfen, ob im Design des Produkts Mängel vorhanden sind. Obwohl einige Hersteller den Nutzern in der Regel dabei helfen, Daten und Informationen über die vorherige Nutzung eines Geräts zu erhalten, können einige Hersteller außerdem Bewertungen der Störungsprotokolle eines Geräts anhand von Einschätzungen durch Drittanbieter bereitstellen. Die Bewertung der vorherigen Nutzung muss jedoch vom Endnutzer selbst vorgenommen werden. Die Fehlerdaten sollten sowohl Hardware- als auch Softwarefehler umfassen. Die Bewertung muss den Prozess der Erfassung der Fehlerdaten sowie die Änderungen in den Produktversionen berücksichtigen. Der Hersteller muss einen ausreichend detaillierten Beschreibung des Datenerfassungsprozesses bereitstellen, um die Qualität der Daten zu gewährleisten. Die Art der Datenerhebung, die Vollständigkeit der Berichte sowie die Richtigkeit der Analyse müssen streng überprüft werden. Es ist zu beachten, dass die aus den Aufzeichnungen über Störungen vor Ort berechneten Störfrequenzen mit den durch die FMEDA-Analyse ermittelten Daten verglichen werden müssen. Wenn diese Werte deutlich unter denen der FMEDA-Daten liegen, dann zeigt das, dass im Design des Produkts keine gravierenden Mängel vorhanden sind. Außerdem darf aufgrund der Integrität der Daten die Fehlerrate in den Protokollen zu Vor-Ort-Fehlern nicht für die Berechnung der SIL-Validierung verwendet werden. ③Eine vollständige Bewertung gemäß IEC61508 umfasst die FMEDA, die vorherige Nutzung (Prior Use), sowie Maßnahmen zur Fehlervermeidung und -bekämpfung in der Hardware- und Softwareentwicklung des Produkts. Zudem gehören dazu auch detaillierte Analysen der Produkttests, der Änderungen, der Benutzerdokumentation sowie des Herstellungsprozesses. Die in der vorherigen Nutzung (Prior Use) erfassten Fehlerdaten spiegeln oft nicht alle Fehlerdaten wider, insbesondere Systemfehler, wie beispielsweise Softwarefehler. Einige Softwarefehler können durch eine „Wiederherstellung“ der Software oder durch das Umschalten der Stromversorgung behoben werden – es ist daher kein Austausch der Software notwendig. Deshalb können Softwarefehler in den von den Nutzern an den Hersteller gesendeten Reparaturberichten nicht vollständig dargestellt werden. Eine vollständige IEC61508-Bewertung gewährleistet die Zuverlässigkeit der Daten zu Systemfehlern. IEC61508 definiert verschiedene hardware- und softwarebasierte Techniken zur Fehlervermeidung und -kontrolle, um Systemfehler zu verringern. Insbesondere bei der Zertifizierung eines Produkts nach IEC65108 wird ausdrücklich der für das Produkt geltende Sicherheitsgrad angegeben, wie z. B. SIL2 oder SIL3. Tabelle 1 gibt eine kurze Übersicht über die Bewertungsprinzipien der verschiedenen Bewertungsmethoden. http://yunrun.com.cn/upload/201801/11/201801110015260026.png *Je nach Bewertungsstelle – nicht alle Drittanbieter bieten dies an. 4. Entwurf einer redundanten Struktur: Neben der Auswahl geeigneter Geräte kann auch durch den Entwurf redundanter Untersysteme das erforderliche Sicherheitsniveau erreicht werden. Tabelle 2 zeigt die in ANSI/ISA-84.00.01 angegebene Zuordnung zwischen der minimalen Hardware-Fehlertoleranz (HFT) für Feldgeräte und den SIF-Klassen. http://yunrun.com.cn/upload/201801/11/201801110020418111.png Tabelle 2 zeigt klar, dass ein höheres SIL-Niveau erreicht werden kann, indem man die Ausfallsicherheit der Hardware erhöht. Bei Eingabesystemen, für die im SIF ein SIL2-Niveau erforderlich ist, muss in der Konstruktion daher von zwei Transmittern ausgegangen werden ； Für das Eingabesubsystem der SIL3 sind 3 Transmitter erforderlich. Wenn die Auswahl des Produkts auf dem Kriterium der vorherigen Verwendung (Prior Use) beruht und den folgenden Einschränkungen entspricht. Dann kann bei derselben HFT um einen SIL-Grad erhöht werden: ① Das Gerät erlaubt nur Anpassungen von prozessbezogenen Parametern (z. B. Messbereich, oberer oder unterer Grenzwert) ； ②Die Anpassung der prozessbezogenen Parameter verfügt über Schutzmaßnahmen (z. B. Passwörter usw.) ； ③Die SIL-Klasse von SIF muss unter 4 liegen. Die obigen Angaben gelten unter bestimmten Einschränkungen: Ein Transmitter mit vorheriger Verwendung kann ebenfalls die Anforderungen von SIL 2 erfüllen; es ist auch möglich, einen Transmitter zu verwenden, der eine SIL-2-Zertifizierung besitzt. Für das Subsystem des Logikprozessors (Logic Solver) sollten in der Regel Produkte verwendet werden, die nach IEC 51508 zertifiziert sind. Das zugehörige SIL-Niveau muss dem im SIF geforderten SIL-Niveau entsprechen oder höher sein. Tabelle 3 zeigt die Anforderungen der IEC 61508 bezüglich des Zusammenhangs zwischen den SIL-Ebenen der logischen Prozessoren der Klasse B und dem Hardware-Fehlerpuffer (HFT). http://yunrun.com.cn/upload/201801/11/201801110026400460.png Aus Tabelle 3 lässt sich schließen, dass bei einem ausreichend hohen SFF-Wert ein hoher Sicherheitsgrad erreicht werden kann, ohne die Verwendung von HFT. Wenn beispielsweise SFF > 99% ist, kann auch bei HFT=0 (einfachere Struktur) ein SIL-3-Sicherheitsgrad erreicht werden. 5. Testverfahren und -methoden für SIF: IEC 61508 definiert für Geräte, die SIF-Funktionen ausführen, drei Betriebsmodi (Tabelle 4): Betriebsmodus mit kontinuierlichem Bedarf (Continuous Demand), Betriebsmodus mit hohem Bedarf (High Demand) sowie Betriebsmodus mit niedrigem Bedarf (Low Demand). Je nachdem, um welchen der drei Betriebsmodi es sich handelt, unterscheiden sich auch die zugehörigen Testverfahren. ①Kontinuierliche Anforderungsmodus (Continuous Demand): Da DI ≤ ATI und DI ≤ PTI gilt, haben weder die manuellen Überprüfungsverfahren noch die automatischen Diagnoseverfahren Auswirkungen auf das Ein-Kanal-System (loo1). Die Testverfahren beziehen sich ausschließlich auf Systeme mit Redundanz. ②Hochanforderungs-Modus (High Demand): Da DI > ATI und DI ≤ PTI gilt, hat die automatische Diagnosetechnik auch Auswirkungen auf Systeme mit einem einzigen Kanal (1ool), während manuelle Überprüfungen keine Auswirkungen haben. ③Modus mit geringen Anforderungen (Low Demand): Da DI > ATI und DI > PTI gilt, haben sowohl die manuellen Überprüfungsverfahren als auch die automatischen Diagnoseverfahren Auswirkungen auf das System – selbst bei einem Ein-Kanal-System (1ool). Im Bereich der Prozessindustrie liegen die SIF in den meisten Fällen im Modus mit geringem Bedarf (Low Demand). Insbesondere dann, wenn eine ordnungsgemäße Auslegung der separaten Schutzschicht vorliegt. 6. Überprüfung der Sicherheitsinstrumentenfunktion (SIF) Tabelle 5 zeigt das Verhältnis zwischen dem SIL-Niveau im Betriebsmodus mit geringem Bedarf (Low Demand) gemäß IEC 61508 und der erforderlichen durchschnittlichen Ausfallwahrscheinlichkeit PFDavg. http://yunrun.com.cn/upload/201801/11/201801110040425427.png Die SIF-Überprüfung im Betriebsmodus mit geringen Anforderungen (Low Demand) sollte Folgendes umfassen: Definition von Überprüfungsprotokollen ； Durch die Schätzung der Diagnoseabdeckung wird die Wirksamkeit des Überprüfungs-Testverfahrens bestimmt. Konkret sollten gemäß den Anforderungen von IEC 61508 oder ANSI/ISA 84.00.01 Berechnungen zur SIL-Klassifizierung für die Konstruktion des SIF durchgeführt werden, um zu überprüfen, ob die endgültige Konstruktion des SIF den Anforderungen aus dem SRS entspricht. Zu den Berechnungsmethoden gehören die Analyse mit Fehlertree-Methoden sowie Markov-Modelle usw., und es wird ein Prüfbericht in Form eines Dokuments erstellt. Im Folgenden werden anhand von Beispielen kurz die typischen Konstruktionsmerkmale sowie die Ergebnisse der Überprüfungsrechnungen für SIL2- und SIL3-Schaltkreissysteme vorgestellt. Beispiel 1: Die Aufbauweise eines typischen SIL2-Schaltkreises ist in Abbildung 2 dargestellt. http://yunrun.com.cn/upload/201801/11/201801110110451177.png Die Konfiguration des SIL2-Schaltkreises sowie die Ergebnisse der Überprüfungsrechnungen sind in Tabelle 6 aufgeführt. http://yunrun.com.cn/upload/201801/11/201801110130406676.png Anmerkung: Im obigen Beispiel wurde für die Sensoreinheit ein sicherer Transmitter mit TÜV-Zertifizierung nach SIL2 verwendet. Es ist auch möglich, einen Prior Use-Transmitter zu verwenden – oder zwei Transmitter (1oo2) bzw. drei Transmitter (2oo3) ； Als Endkomponente wurde eine DVC-Sperrventil mit PST-Funktion gewählt; es ist auch möglich, zwei Sperrventile mit Elektromagneten zu verwenden (1oo2) ； Aber letztendlich stellte sich heraus, dass die Berechnungsergebnisse der SIL2-Klasse entsprechen. Beispiel 2: Die typische SIL3-Schaltkreisstruktur ist in Abbildung 3 dargestellt. http://yunrun.com.cn/upload/201801/11/201801110105193150.png Die Konfiguration des SIL3-Schaltkreises sowie die Ergebnisse der Überprüfungsrechnungen sind in Tabelle 7 aufgeführt. http://yunrun.com.cn/upload/201801/11/201801110126380590.png Anmerkung: Im obigen Beispiel wurden für die Sensoreinheit 2 TÜV-zertifizierte, sicherheitsgeprüfte Transmitter der Klasse SIL2 verwendet. Für die Endkomponenteneinheit wurden wiederum 2 DVC-Abschaltventile mit PST-Funktion verwendet. In der Sensoreinheit können auch 2 Prior-Use-Transmitter oder 3 Transmitter (2oo3) eingesetzt werden. Aber letztendlich stellte sich heraus, dass die Berechnungsergebnisse der SIL3-Klasse entsprechen. Die Auswahl und Konzeption von Sicherheitsinstrumentierungssystemen sowie Sicherheitsfunktionen sind wichtige Bestandteile des Sicherheitslebenszyklus in der Prozessindustrie. Um die Risiken wirksam zu verringern und die Sicherheit von Menschen, Eigentum sowie der Umwelt zu gewährleisten, ist jede Phase des sicheren Lebenszyklus von großer Bedeutung – egal ob es sich um die Analysephase oder um die Umsetzungs- und Betriebsphase handelt. Endnutzer, Ingenieurbüros und Planungsinstitute können die Risiken wirksam verringern und die Sicherheit von Menschen, Eigentum sowie der Umwelt gewährleisten, indem sie Sicherheitsinstrumentiersysteme gemäß den entsprechenden internationalen Standards und Normen einsetzen.