Ich erkläre Ihnen anhand meiner Erfahrungen den Prozess der Zertifizierung von Instrumenten hinsichtlich Sicherheit sowie die damit verbundenen Aspekte

Thread Content

Dieser Beitrag nimmt als Beispiel eine Sicherheitsbarriere mit digitaler Eingangssignale, die die TUV-Zertifizierung für Funktionssicherheit erhalten hat, und erläutert den Prozess der Funktionssicherheitszertifizierung nach dem IEC 61508-Standard. Dabei werden die Reihenfolge der einzelnen Schritte im Zertifizierungsprozess, die wichtigsten Aufgaben in den verschiedenen Phasen sowie die neuesten Anforderungen der deutschen Zertifizierungsprüfer ausführlich beschrieben. Dient als Referenz zur Erzielung einer Funktionssicherheitszertifizierung für Produkte wie Prozessprüf- und Steuergeräte. Um das Jahr 2010 herum verlangten viele Unternehmen von CNPC und Sinopec bei der Auswahl von Ausrüstung ausdrücklich in ihren Ausschreibungen ein Zertifikat für die Funktionssicherheit. Ohne Zertifizierung für die Funktionssicherheit verpassen Instrumentenhersteller viele Teilnahmemöglichkeiten. Allmählich wurde die Bedeutung der Funktionssicherheitszertifizierung erkannt, und man begann, aktiv darauf hinzuarbeiten, diese zu erhalten. Ich glaube, es gibt auch Menschen, die am Anfang der Zertifizierung genauso ratlos waren und nicht wussten, wo sie anfangen sollten. Dieser Artikel beschreibt auf der Grundlage eigener Erfahrungen mit der Sicherheitszertifizierung von Eingängen für digitale Signale die Anforderungen, den Zertifizierungsprozess sowie die zu berücksichtigenden Aspekte. Prozess der Sicherheitszertifizierung: yunrun.com.cn/news/1940.html. Die Bedeutung der Funktionssicherheitszertifizierung für die Sicherheit in der modernen Industrie – dazu möchte ich hier nicht weiter etwas sagen. Im Internet gibt es viele fachliche Artikel, die die Bedeutung der Funktionssicherheit erläutern. Dieser Artikel nimmt insbesondere die sicheren Eingänge für digitale Signale als Beispiel und erläutert den Prozess der Funktionssicherheitszertifizierung nach der IEC 61508-Norm. 1. Als explosionsgeschütztes Sicherheitsgerät müssen Zonenbegrenzer, die als explosionsgeschützte Produkte gelten, um auf den internationalen Markt zu gelangen, den gesetzlichen Anforderungen an internationale Explosionsschutzzertifizierungen entsprechen. Vor der Zertifizierung hinsichtlich Funktionssicherheit muss daher eine entsprechende Explosionsschutzzertifizierung erworben werden. Viele Zertifizierungsstellen bieten eine Einführung in den IECEX-Explosionsschutz-Zertifizierungsprozess. ①Die Antragstellende reicht dem von dem IECEX-System autorisierten Zertifizierungsunternehmen schriftlich einen Zertifizierungsantrag sowie die entsprechenden Produktdokumente ein. Nach der Annahme durch die Stelle schließt die Antragstellende ein Auftragszertifizierungsvertrag mit der Zertifizierungsstelle ab. ②Die Zertifizierungsstelle führt Prüfungen auf Explosionsfestigkeit bei den zur Zertifizierung eingereichten Produkten durch (einschließlich Prüfung der Zeichnungen und Unterlagen sowie Tests an Prototypen) ； Prüfung des Explosionsschutz-Prüfberichts. ③Die Zertifizierungsstelle führt bei den Antragstellern auf Zertifizierung Prüfungen der Qualitätsbedingungen in der Fabrik durch. ④Die Zertifizierungsstelle bewertet die Ergebnisse der Typprüfung sowie der Prüfungen in der Fabrik. Bei einer erfolgreichen Bewertung wird das IECEX-Zertifikat ausgestellt. ⑤Die Zertifizierungsstelle führt eine jährliche Überwachung der Antragstellenden durch. Tatsächlich ist aufgrund der Notwendigkeit einer Bewertung der Sicherheitshaltbarkeit der Geräte im Rahmen der Zertifizierung für Funktionssicherheit eine Änderung der Schaltungen möglich, was wiederum die explosionsgeschützten Eigenschaften beeinflussen kann ； Bei der Prüfung auf Explosionsgeschütztheit sind oft Anpassungen an den Schaltkreisen erforderlich, wodurch die Sicherheit des Produkts neu bewertet werden muss. Deshalb wird empfohlen, die Zertifizierung für Explosionsgeschütztheit und die Zertifizierung hinsichtlich Funktionssicherheit gleichzeitig durchzuführen, um unnötige Verluste in Bezug auf Zeit, Personal und Kosten zu vermeiden. Auf der Grundlage umfangreicher Erfahrungen bei der Dokumentenerstellung für Unternehmen wird empfohlen, zunächst die Entwürfe für die Explosionsschutzzertifizierung sowie die Konzepte zur Funktionssicherheitszertifizierung zur Prüfung einzureichen. Nachdem die Entwürfe im Zusammenhang mit dem Explosionsschutz geprüft und genehmigt wurden, kann man sich den Schritten der Funktionssicherheitszertifizierung zuwenden – wie beispielsweise der FMEA-Analyse, den FIT-Tests sowie den EMC/Umwelttests. Sobald dies erledigt ist, können der Schaltplan und die Stromkreisskizze im Großen und Ganzen festgelegt werden. Danach kann mit der Fertigstellung der weiteren Unterlagen für die Explosionsschutzzertifizierung, den Test des Prototyps sowie der Überprüfung der Fabrik fortgefahren werden. 2. Zertifizierung für Funktionssicherheit: Der Prozess der Zertifizierung für Funktionssicherheit kann in mehrere Phasen unterteilt werden: Prüfung in der Konzeptionsphase, Hauptprüfung, Prüfung im Werk sowie eine erneute Prüfung in Deutschland und Ausstellung des Zertifikats ； Wenn man es noch genauer unterteilt, lassen sich die Hauptaufgaben in Dokumentenverwaltung und -entwicklung, Berechnung und Bewertung der Hardwarezuverlässigkeit, EMC-Tests zur elektromagnetischen Kompatibilität sowie Umwelttests einteilen. Dieser Artikel beschreibt den Prozess der Funktionssicherheitszertifizierung am Beispiel eines Sicherheitsgitters für digitale Eingänge. Ein Sicherheitsgitter für digitale Eingänge ist ein rein hardwarebasiertes Bauteil – es ist daher keine Überprüfung der Software-Sicherheit erforderlich. Andere Geräte hingegen mögen eine solche Überprüfung der Software-Sicherheit benötigen. Sicherheitsbarriere: yunrun.com.cn/product/list_85.html ① Konzeptionsphase ◆ Sicherheitsplan (SP) Im Sicherheitsplan werden Informationen wie die Organisation des Projekts, die zuständigen Mitarbeiter sowie ihre Qualifikationen, die Aufteilung der Lebenszyklusphasen des Projekts, Maßnahmen zur Fehlervermeidung, Verfahren zur Bearbeitung von Änderungen sowie Informationen zur Konfigurationsverwaltung festgelegt. http://yunrun.com.cn/upload/201804/25/201804252126471238.png Abbildung 1: Organigramm des Projekts ◆ Validierungs- und Überprüfungsplan (VVP) Im Validierungs- und Überprüfungsplan werden die Validierungsaktivitäten in den verschiedenen Phasen des Sicherheitslebenszyklus sowie die erforderlichen Eingangs- und Ausgangsdokumente sowie die Personen, die für die Validierung zuständig sind, festgelegt. ◆ Sicherheitsanforderungsspezifikation (SRS): In der Sicherheitsanforderungsspezifikation werden die Sicherheitsfunktionen, die Sicherheitszustände, Beschreibungen sowie Parameter für Eingänge/Ausgänge, die Reaktionszeit bei Fehlern, das SIL-Niveau der Sicherheitseinhaltung, der Anteil der Sicherheitsbarrieren im gesamten Sicherheitskreislauf (TUV-Empfehlung: 10 %), der Sicherheitsversagen-Faktor SFF, die Fehlertoleranz des Hardwares, die Intervalle für Prüfungen und Tests, die Betriebsmodi sowie die Umgebungsanforderungen festgelegt. ◆ Sicherheitskonzept (SC): Im Sicherheitskonzept werden das Zuverlässigkeitsdiagramm sowie das Funktionsdiagramm festgelegt. Die Funktionen der einzelnen Funktionsblöcke werden angegeben; außerdem werden die Diagnosemaßnahmen, die für die jeweiligen Funktionsblöcke erforderlich sind (um den entsprechenden SIL-Grad zu erfüllen), sowie die Intervalle für die Diagnose der Funktionsblöcke angegeben. Zudem wird beschrieben, wie die Funktionsblöcke nach der Diagnose in einen sicheren Zustand versetzt werden. Tatsächlich werden zur Sicherstellung dafür, dass der Sicherheitsausfallwert den SIL-Standard erfüllt und spätere Anpassungen in den Dokumenten vermieden werden, die von unserem Unternehmen zertifizierten Sicherheitsgitter zunächst einer einfachen Leistungsreduzierung sowie einer FMEA-Analyse unterzogen, um ernsthafte Konstruktionsmängel möglichst auszuschließen. ◆ Ein weiteres äußerst wichtiges Dokument, das den gesamten Zertifizierungsprozess durchzieht, ist die Anforderungstrackierungsliste (RT). In Dokumenten wie den Sicherheitsanforderungsspezifikationen (SRS), den Sicherheitskonzepten (SC) sowie den Testplänen (TP) und Testberichten (TR) werden alle sicherheitsrelevanten Elemente mit Nummern wie SR1, SC1, TP1, TR1 usw. versehen. Dadurch wird die Beziehung zwischen den sicherheitsrelevanten Elementen in den verschiedenen Dokumenten deutlich, was die gegenseitige Verfolgung dieser Elemente erleichtert. Die Prüfmeinungen der Zertifizierungsstelle werden in Form eines LOP-Dokuments an den Antragsteller gesendet. Nach mehreren Überarbeitungsrunden, in denen alle Anmerkungen der Zertifizierungsstelle im LOP berücksichtigt werden, gilt dies als Bestätigung dafür, dass die Sicherheitsbarriere die Prüfung in der Konzeptphase erfolgreich bestanden hat. Dadurch tritt die Zertifizierung in die Hauptprüfphase ein. ② Hauptprüfphase: Aufgaben der Hauptprüfphase: Weitere Funktions-, Sicherheits- und Umwelttests, um zu überprüfen, ob die definierten Sicherheitsfunktionen sowie das SIL-Niveau erreicht werden. ◆ Herabsetzungsbericht: Rhein TUV verlangt eine Herabsetzung der Leistungsanforderungen an die Komponenten. Es soll das strengere der beiden Anforderungen gewählt werden – entweder das Prinzip der 2/3-Regel oder die Herabsetzung auf Stufe 2 gemäß GJB/Z 35-93 ； Die Abschaltwerte für Sicherungen und Zenerdioden in intrinsisch sicheren Geräten werden gemäß den Anforderungen der nationalen Norm GB 3836 festgelegt. Falls ein Bauteil aufgrund seiner Leistungsmerkmale nicht den Anforderungen entspricht, muss ein geeignetes anderes Bauteil ausgewählt werden. Tabelle 1: Herabstufung der Parameter von Komponenten
Name der Komponente | Spezifikationen | Herabstufungsparameter | Anforderungen aus der Bedienungsanleitung | Tatsächliche Werte | Fazit
Induktor L1 | 422776156 | Kurzzeitstrom (A): 0,8 | 0,67 | 0,06 | 0,09 – Erfüllt die Anforderungen
Spannungsfestigkeit des Isoliers (V): 800 | 0,5 | 30 | 0,0375 – Erfüllt die Anforderungen
Betriebsstrom (A): 0,4 | 0,6 | 0,03 | 0,075 – Erfüllt die Anforderungen
Thermische Temperatur (°C): 85 | THS-(25~10): 60,063 – Unterhalb von THS-(25~10) – Erfüllt die Anforderungen
Kondensator C1/C2012N102N101T | Betriebsspannung (V): 100 | 0,6 | 29 | 0,299 – Erfüllt die Anforderungen
Maximale zulässige Umgebungstemperatur (°C): 125 | TAM-10: 60 – Unterhalb von TAM-10 – Erfüllt die Anforderungen
◆ FMEA-Analysebericht: a) Bestimmung der Produktstruktur – Das gesamte Gerät wird gemäß dem Zuverlässigkeitsdiagramm in mehrere Funktionsblöcke unterteilt. b. Es muss eine geeignete Zuverlässigkeitsdatenbank ausgewählt werden. Der Referenzwert für die Ausfallrate der Komponenten, λref, kann aus der Siemens-Datenbank SN 29500 entnommen werden – oder direkt vom Hersteller ； Die erforderliche Zuverlässigkeitsrate für die Berechnung beträgt 70 %. Wenn der Hersteller eine Zuverlässigkeitsrate von 60 % angibt, muss diese umgerechnet werden: λ70% = λ60% × 1,204 / 0,917. c) Bestimmung der Umgebungsbedingungen (z. B. Temperatur, Druck usw.): Bei der FMEA-Analyse müssen anhand der tatsächlich bei der Verwendung des Bauteils anfallenden Werte wie Spannung, Strom und Temperatur sowie unter Berücksichtigung der Datenbanken von Siemens der tatsächliche Ausfallwert λ ermittelt werden. d) Unter Berücksichtigung der Versagenstypen der Komponenten sowie des Anteils dieser Versagenstypen gemäß Anhang D der IEC 62061 wird jeweils die Gesamtversagewahrscheinlichkeit der einzelnen Funktionsblöcke sowie der Sicherheitsversagewert SFF berechnet. Dabei muss der SFF-Wert jedes Funktionsblocks dem entsprechenden SIL-Niveau entsprechen. Tabelle 2: Berechnung der Sicherheitsfehlfallwerte für Funktionsblöcke
Anzahl der IDs | Spezifikationen | Funktion | Fehlermodi | Auswirkungen des Fehlers | Kriterien für die Gefährdungsbewertung | Diagnosemaßnahmen
DC | λ | λs | λD | λDD | λDU | SFF | U6 | 1 | MAX3256 – Vollbrücke | Offener Schaltkreis | Keine Auswirkungen oder Ausfall der Ausgabe; Übergang in den sicheren Zustand | 0 | Keine | 0 | 16,4 | 3,28 | 3,28 | 0 | 0 | Kurzschluss an beliebigen Enden | Keine Auswirkungen oder Ausfall der Ausgabe; Übergang in den sicheren Zustand | 0 | Keine | 0 | 3,28 | 0 | 0 | 0 | Blockade | Keine Auswirkungen oder Ausfall der Ausgabe; Übergang in den sicheren Zustand | 0 | Keine | 0 | 3,28 | 0 | 0 | 0 | Parasitäre Schwingungen der Ausgabe | Verlust der Sicherheitsfunktionen | 1 | Keine | 0 | 0 | 3,28 | 0 | 3,28 | Wertänderung | Keine Auswirkungen oder Ausfall der Ausgabe; Übergang in den sicheren Zustand | 1 | Keine | 0 | 3,28 | 0 | 0 | 0 | C62 | 2 | 0603 | 5% Filterung | Offener Schaltkreis | Keine Auswirkungen | 0 | Keine | 0 | 44 | 14,67 | 0 | 0 | 0 | C43 | CL10F101 | Kurzschluss | Offener Schaltkreis bei F3; Ausfall der Ausgabe; Übergang in den sicheren Zustand | 0 | Keine | 0 | 14,67 | 0 | 0 | 0 | Wertänderung | Keine Auswirkungen | 0 | Keine | 0 | 14,67 | 0 | 0 | 0 | Gesamt | 60,4 | 57,12 | 3,28 | 0 | 3,28 | 0,9457
◆ DC-Diagnoseabdeckung: Die Diagnoseabdeckung hängt von den ergriffenen Maßnahmen ab. Sie liegt etwa bei 60%, 90% und 99%. Tabelle A.2 bis Tabelle A.15 der IEC 61508-2 geben die für Diagnosetests empfohlenen Techniken und Maßnahmen an. Der Zuverlässigkeitsblockdiagramm der digitalen Eingänge mit zwei Ausgängen sowie des Sicherheitsgitters ist in Abbildung 3 dargestellt. Gemäß den neuesten Anforderungen der zertifizierten deutschen Ingenieure müssen Relais als eigenständiger Funktionsblock geprüft und in die FMEA-Analyse einbezogen werden. Es gibt einen gemeinsamen Versagensfaktor für Stromversorgung und Eingang; es werden PFD und PFH berechnet. http://yunrun.com.cn/upload/201804/25/201804252058206101.png Abbildung 2: Zuverlässigkeitsdiagramm und PFD-Berechnung ◆ Fehler-Einfügungstest (Fault Insert Test) Der FIT-Test wird von Zertifizierungsstellen verwendet, um die Richtigkeit des FMEA-Berichts zu überprüfen. Wenn die Ergebnisse des FIT-Tests nicht mit denen der FMEA übereinstimmen, muss die Designphase wieder aufgesucht werden, um Änderungen vorzunehmen. Alternativ muss der FMEA-Bericht anhand der tatsächlichen Messergebnisse angepasst werden. Anschließend müssen die Werte für das Sicherheitsversagen sowie die Versagewahrscheinlichkeit erneut berechnet werden, um die SIL-Klasse festzulegen. ◆ Leistungsprüfungen, EMC/Umweltprüfungen: Gemäß den Anforderungen von GB 3836 müssen Sicherheitsgitter streng unterzogen werden ； Gleichzeitig müssen gemäß den VVP-Anforderungen die Sicherheitsgitter einer Gesamtfunktionsprüfung unterzogen werden, um die Einhaltung der Sicherheitsfunktionen des gesamten Geräts zu überprüfen. Die EMC-Prüfungen für Sicherheitsgitter mit funktionaler Sicherheit sowie die Referenzstandards und Prüfniveaus richten sich nach den Anforderungen von Anhang E der IEC 2061. Bei den Prüfungen bezüglich statischer Entladungen, schneller elektrischer Impulswellen sowie Stromspitzen gelten erhöhte Anforderungen. ◆ Für Sicherheitsbarrieren mit Anforderungen an die Funktionssicherheit müssen die dazugehörigen Systemdokumente sowohl den Anforderungen des Managementsystems als auch denen von IEC 1508 entsprechen, um sicherzustellen, dass alle Arbeiten während des gesamten Lebenszyklus der Sicherheitstechologie ordnungsgemäß durchgeführt werden. ◆ Designhandbuch Das Designhandbuch ist ein grundlegendes Dokument, das zur Umsetzung der Designfunktionen erstellt wird. Es umfasst Informationen zu Gehäuse, strukturellen Anforderungen, Funktionsprinzipien, Listen sowie Funktionen und wird nach den geltenden Standards möglichst in grafischer Form dargestellt. ◆ Zertifizierungsbericht: Die Zertifizierung ist eine Selbstprüfung, die vom Hersteller nach Abschluss der Montage durchgeführt wird und Berichte über die Einhaltung der elektrischen Sicherheitsvorschriften sowie Berichte zu Grenzwerttests umfasst. ◆ Herstellungsanforderungen sind Vorschriften, die vom Hersteller festgelegt werden, um bestimmte Funktionen zu gewährleisten. Dazu gehören Funktionsanforderungen, Sicherheitsanforderungen sowie Umweltanforderungen. ◆ Bedienungsanleitung Die Bedienungsanleitung ist ein Dokument mit Angaben zu den Produktspezifikationen, Funktionen, Installation und Bedienung sowie zum Betrieb und zur Überprüfung. Sie enthält außerdem Sicherheitshinweise, Anleitungen zur Bedienung und Informationen zur Fehlerbehebung. Zweck der Überprüfung der Verwaltungsunterlagen ist es, festzustellen, ob die Mittel und Gründe zur Erfüllung der Sicherheitsanforderungen ausreichend und angemessen sind, ob der Inhalt der Unterlagen den Anforderungen der verschiedenen Phasen des Sicherheitslebenszyklus entspricht sowie ob er eine Grundlage für die Durchführung einer Funktionssicherheitszertifizierung bietet. Sobald alle oben genannten Dokumente geprüft wurden, ordnet die Zertifizierungsstelle die Ausstellung des Zertifikats für die Funktionssicherheit der Geräte an. Bereits heute gibt es zahlreiche Forschungseinrichtungen für Funktionssicherheit sowie entsprechende Prüfinstitute, wie das Shanghai Institute of Automation Instruments oder das Comprehensive Technical and Economic Research Institute for Instruments in der Maschinenbauindustrie. Diese Einrichtungen haben bereits mit der Durchführung von Zertifizierungsverfahren für Funktionssicherheit im Inland begonnen. Die Anzahl der Mitarbeiter nimmt stetig zu, und die Qualifikationen der Fachleute verbessern sich kontinuierlich. Somit ist die Zertifizierung der Funktionssicherheit von Sicherheitsgeräten im Inland möglich. Jede Organisation weist erhebliche Unterschiede in ihren Gepflogenheiten und Auffassungen auf. Es wird empfohlen, sich gründlich mit der IEC 6508 auseinanderzusetzen und diese Norm in Verbindung mit den tatsächlichen Eigenschaften der Produkte des eigenen Unternehmens anzuwenden – ohne sich an vorgefertigte Muster zu halten –, um so möglichst bald ein Zertifikat für die Funktionssicherheit zu erhalten. Autorin: Zhang Hongyun