Maskinsikkerhet. Maskinforskriften. Maskindirektivet Relevante standarder. Tor Onshus

Transkript

1 1 Maskinsikkerhet Tor Onshus Teknisk kybernetikk Norges teknisk naturvitenskaplige universitet, NTNU tlf: fax: Maskinforskriften Maskindirektivet Relevante standarder 1

2 EØS regelverket 3 Produktansvar Maskinforskriften & Bruksforskriften Direktiver er for myndigheter Harmoniserte EN standarder Oppfyller forskriftens krav hvis en følger den Kvalitetssystem Ny maskinforskrift Lovdata Fra nyttår 2010 har vi ny forskrift Fra 1/ er ikke lenger EN 954 en harmonisert standard For sikkerhetsrelaterte deler av styresystemet må en da bruke EN-ISO eller EN-IEC

3 Maskinforskriften gjelder for 5 Maskinbyggeren Ja, men jeg bare kjøper ferdige maskiner og setter dem sammen Jeg skal bare gjøre en liten endring I Maskinforskriftens betydning er du da uansett en maskinbygger Hva er en maskin? 6 En enhet som er utstyrt med eller beregnet til å utstyres med et drivsystem, som ikke kommer fra direkte drivkraft fra mennesker eller dyr Ventiler er ikke maskiner Deler av anlegget kan være maskin andre deler kan være prosess Gjør klar avgrensing 3

4 Bruksforskriften Forskrift om bruk av arbeidsutstyr Lovdata Maskiner regnes som arbeidsutstyr For de som i sin bedrift bruker en maskin Krav til Godkjent utstyr Opplæring Sakkyndig kontroll Sertifisering 7 Harmonisert standard 8 Hvis en følger den standarden så har en oppfylt kravene som stilles innenfor det området 4

5 Hierarki av standarder 9 Type A Grunnleggende prinsipper og begreper Type B Generell standard som dekker en eller flere sikkerhets aspekter Type B1 Dekker et sikkerhetsaspekt (avstand, temp., støy osv) Type B2 Dekker sikkerhesttiltak (to hånds kontroll, forrigling osv) Type C Dekker en bestemt maskin eller gruppe av maskiner Noen relevante standarder harmoniserte under maskindirektivet 10 EN ISO 12100:2003 (A) Safety of machinery - Basic concepts, general principles for design EN ISO 14121:2007 (A) Safety of machinery - Risk assessment EN IEC :2006 (B2) Safety of machinery - Electrical equipment of machines EN ISO :2006 (B1) Safety of machinery - Safety-related parts of control systems 5

6 For å vise samsvar 11 Oppfylle kravene i forskriften Følger relevante harmoniserte standarder Utføre nødvendige analyser Utstede samsvarserklæring Påføre CE merke Ha dokumentasjon tilgjengelig 12 EN-IEC Ikke harmonisert EU standard Generisk standard som de andre bygger på 6

7 Livsløp Concept 2 3 Overall Scope Definition Hazard & Risk Analysis Overall Safety Requirements Safety Requirements Allocation 6 Overall 7 Overall 8 Operation & Maintenance Planning Overall Planning Validation Planning Overall Installation & Commissioning Planning 9 System Safety Requirements Specification 10 Safety-related Systems Realization 11 Other Risk Reduction Measures Specification and Realization 12 Overall Installation & Commissioning 13 Overall Safety Validation Back to appropriate Overall Safety Lifecycle phase 14 Overall Operation & Maintenance 15 Overall Modification & Retrofit 16 Decommissioning Arbeidsmetodikk IEC konsekvenser av SIL Kvalitetssikring Tiltak mot systematiske feil Sviktsannsynlighet (PFD, PFH) Testing i drift Krav til systemstruktur Andel sikre feil (SFF) Antall redundante enheter (HFT) 14 7

8 15 SIL-Safety Integrity Level SAFETY INTEGRITY LEVEL DEMAND MODE OF OPERATION (Probability of Failure to perform its design function on Demand) > = 10-5 to < 10-4 > = 10-4 to < 10-3 > = 10-3 to < 10-2 > = 10-2 to < 10-1 CONTINUOUS/HIGH DEMAND MODE OF OPERATION (Probability of a dangerous Failure per Hour) > = 10-9 to < 10-8 > = 10-8 to < 10-7 > = 10-7 to < 10-6 > = 10-6 to < 10-5 Når kontinuerlig/ofte behov? behov oftere enn en gang pr. år eller behov oftere enn to ganger pr. testintervall 16 PFD-Probability of Failure on Demand PFD DU 2 τ - tid mellom funksjonsprøving [timer] 1 år = 8760 timer DU -farlig udetekterte feil [feil/time] 8

9 17 PFH-Probability of Failure per Hour PFH DU DU -farlig udetekterte feil [feil/time 18 PFD Få behov per år Ulykke hvis samtidig: Behov for funksjon Funksjon svikter PFH Mange behov per år Ulykke hvis: Funksjonen svikter R C DR PFD R C PFH R - Risiko C - Konsekvens DR- Behovsrate 9

10 19 Nye krav til Sikkerhetsfunksjoner 20 Maskinstandarder Harmoniserte EU standard 10

11 Standarder EN 954, del 1 og 2 Utgår 31/ Category (B-4) erstattes av Krav til kvalitet, struktur og feildeteksjon Ikke ytelseskrav ISO 13849, del 1 og 2 Category Performance level (a-e) IEC Safety Integrity Level (SIL 1-3) Ytelseskrav (PFH) 21 Sammenheng mellom standardene? 22 11

12 Eksempel -heisspill 23 Antar følgende ved utilsiktet fall av blokk: Fall av blokka vil kunne føre til irreversibel skade eller død Det oppholder seg som regel minst en person på boredekk under operasjon av heisespillet. Personell er kontinuerlig eller svært ofte utsatt for denne risikoen Det er i spesielle tilfeller mulig å komme unna Heisspill - EN954 S2 F2 P1 Kategori 3 Motstå forventet påvirkning Enkeltfeil skal ikke føre til tap av funksjon Prøve å oppdage enkeltfeil Akkumulering av feil kan gi svikt 24 12

13 25 EN-ISO Harmonisert under maskindirektivet Performance levels (PL) SIL 26 PL PFH SIL a b SIL 1 c SIL 1 d SIL 2 e SIL 3 13

14 Kategorier Beskrivelse Oppførsel ved feil Metode 27 B Beskyttelsen er konstruert, valgt og montert i henhold til "state of art", slik at de kan motstå de forventede påvirkninger 1 Kravene for B skal oppfylles Bruk "well-tried" sikkerhetsutstyr og sikkerhetsprinsipper 2 Kravene for B skal oppfylles og det skal benyttes "well-tried" sikkerhets prinsipper Sikkerhetsfunksjonen skal sjekkes med passende intervaller av sikringssystemet 3 Kravene for B skal oppfylles og det skal benyttes "well-tried" sikkerhets prinsipper Sikkerhetssystemet skal lages slik at: En enkelt feil skal ikke føre til tap av sikkerhetsfunksjonen og Når det er praktisk mulig skal den enkle feilen detekteres 4 Kravene for B skal oppfylles og det skal benyttes well-tried sikkerhets prinsipper Sikkerhetssystemet skal lages slik at: En enkelt feil skal ikke føre til tap av sikkerhetsfunksjonen og Den enkle feilen detekteres før det neste gang er behov for sikkerhetsfunksjonen. Hvis deteksjon ikke er mulig, skal ikke akkumulering av feil føre til tap av sikkerhetsfunksjonen Når feil inntreffer, kan det føre til farlige feil Noen feil blir ikke detektert Som for B, men mindre sannsynlig med farlige feil Feil kan føre til farlige feil mellom hver gang systemet sjekkes Feilen finnes ved sjekken Ved enkle feil vil en fremdeles ha sikkerhetsfunksjonen inntakt Alle feil vil ikke bli oppdaget Akkumulering av feil kan føre til tap av sikkerhetsfunksjonen Sikkerhetsfunksjonene er inntakt selv etter feil Feil vil bli oppdaget tidsnok til å hindre tap av beskyttelsen Ved valg av komponenter Ved struktur Trengs for å finne PL 28 Feildata for komponenter (MTTF d =1/ D ) Andel detekterte feil (DC) Andel fellesfeil (CCF) Struktur (Kategori) Oppførsel ved feil Krav til programvare Tiltak mot systematiske feil Tilpasset miljøet 14

15 Hovedkrav 29 PFH Basert på data for komponenter og teknisk løsning Struktur Kategori (Kapittel 6 i 13849) DC avg (Tabell6 i 13849, Annex E) MTTF d (Tabell 5 i 13849) Tiltak mot systematiske feil i maskin og programvare Kategori for å oppfylle PL Tabell Kategori B DCavg Ingen Ingen Lav Middels Lav Middels Høy MTTFd Lav a NC a b b c NC Middels b NC b c c d NC Høy NC c c d d d e NC Not Covered 15

16 Nødvendig PL 31 Heisspill ISO S2 F2 P1 PL= d SIL 2 16

17 33 EN-IEC Harmonisert under maskindirektivet Hovedkrav 34 PFH Basert på data for komponenter og teknisk løsning Struktur SFF HFT Tiltak mot systematiske feil i maskin og programvare 17

18 Category SIL 35 Category HFT SFF Max SIL 1 0 <60% % SIL <60% 60-90% SIL 1 SIL 2 4 > % >90% SIL 3 SIL 3 Category PFH Category HFT DC PFH 1 0 0% App D % % > % >90% DC - % farlige feil som finnes ved selvtest 18

19 37 Krav til sikkerhetsfunksjonene Risikovurdering Severity (Se) 38 Konsekvens Se Irreversibel: død, tap av arm osv. 4 Irreversibel: brudd, tap av finger 3 Reversibel: medisinsk hjelp 2 Reversibel: bare førstehjelp 1 S i ISO

20 Frequency (Fr) 39 Eksponeringsfrekvens Fr 1 h 5 > 1h til 1 dag 5 >1 dag til 2 uker 4 > 2 uker til 1 år 3 > 1 år 2 F i ISO 13849? Probability (Pr) Sannsynlighet for hendelsen Pr Svært høy 5 Sannsynlig 4 Mulig 3 Tvilsomt 2 Neglisjerbart 1 40 F i ISO 13849? 20

21 Probability of avoiding (Av) 41 Mulighet for å unngå hendelsen Av Umulig 5 Tvilsomt 3 Sannsynlig 1 P i ISO Tilordning av SIL 42 Se Class (Cl=Fr+Pr+Av) SIL 2 SIL 2 SIL 2 SIL 3 SIL 3 3 (OM) SIL 1 SIL 2 SIL 3 2 (OM) SIL 1 SIL 2 1 (OM) SIL 1 OM Andre tiltak anbefalt (Other Measures) 21

22 Krav til systemstruktur Safe failure Hardware fault tolerance fraction < 60 % not allowed SIL1 SIL2 60 % - 90 % SIL1 SIL2 SIL3 90 % - 99 % SIL2 SIL3 SIL3 > 99 % SIL3 SIL3 SIL3 43 SFF = Andel sikre feil HFT = Antall redundante enheter (1oo2=2oo3=1, 1oo3=2) SFF ( DD DU SU DD ( SD ) 100 TOT SU DU TOT SD ) 100 Heisspill IEC Se = 4 Fr = 4 Pr = 3 (Fr Pr her) Av = 3 Cl = Fr + Pr + Av = 9 SIL 2 22

23 Heisspill oppsummert 45 EN 954 IEC ISO Category 3 SIL 2 PL = d Tåler en feil PFH < 10-6 [f/h] PFH < 10-6 [f/h] Category 3 med SFF > 60% tilsvarer SIL 2 PL = d tilsvarer SIL 2 Sammenligning 46 ISO Ikke for kompliserte systemer (programvare) Lav risikoreduksjon fra styresystemet Styresystemet må tilfredsstille IEC Elektromekaniske sikkerhetsfunksjoner IEC Både Type A og B Programvare i henhold til IEC Bare kontinuerlig behov for funksjonen Generiske feildata gitt Programmerbare sikkerhetsfunksjoner 23

24 For å vise samsvar 47 ISO PFH Strukturkrav Kategori DC MTTFd Tiltak mot fellesfeil Programvareutvikling IEC PFH Strukturkrav SFF HFT Tiltak mot fellesfeil Programvareutvikling 48 Risikoanalyse og Akseptkriterier 24

25 Utvikling av sikkerhetskritisk system (ISO 13849) Utføre en risikovurdering (ISO 14121) 2. Fjerne risiko ved konstruksjon 3. Identifiser nødvendige sikkerhetsfunksjoner og deres ytelse (PL) 4. Konstruer sikkerhetsfunksjonen 5. Vis at løsningen gir en akseptabel risiko Risikoanalyse Konsekvens av farlig hendelse Liv/Helse, Indre/Ytre miljø og Økonomi Sannsynlighet for farlig hendelse Frekvens Eksponeringstid Mulighet for å unngå 50 Summere over hele anlegget? 25

26 Risikoreduksjon Akseptkriterium (eksempel) Vi skal ikke ha ulykker som fører til flere dødsfall oftere enn hvert år Dvs. sjeldnere enn 10-5 ganger per år Bør ha kriterier for Mennesker Miljø Matriell/Økonomi 26

27 Risikovurdering for maskiner 53 Akseptkriterium gitt i standardene Metodikk gitt i standardene Resultat: Ytelse til sikkerhetsfunksjon som hvis den implementeres rett gir akseptabel risiko Arbeidsflyt 54 Figur

28 Konstruksjon av sikkerhetsfunksjon 55 Figur 3 i Beregning av ytelse Vise at PFH er oppfylt Vise at strukturen er akseptabel 28

29 Feildata 57 Konstante Oppgir midlere tid til feil (Integrerte kretser, transistorer, dioder, kondensatorer, motstander, spoler osv) λ, MTTF=1/λ Avhengig av hvor ofte de brukes Oppgir midlere antall operasjoner før feil (Mekanisk, elektromekanisk, bevegelige deler) B10 Feildata basert på testing ( Annex C) Antall operasjoner før 10% av komponentene har feilet farlig, B 10d Antall forventede operasjoner per år, n op Midlere tid før farlig feil, MTTF d 58 MTTF d B10d 0.1 n op 1 d 1 PFH d 29

30 Eksempel 59 Feil når: nærhetsdetektor eller kontaktor feiler Typiske tallverdier ( Tabell C.1) 60 PFH = = timer (SIL 4, PL e) Ett år = 8760 timer Hva skjer hvis komponenten brukes 10x så ofte? 30

31 Effekt av ofte bruk 61 Komponenten brukes hvert minutt n op = 365*24*60 = per år PFH = = timer (SIL 1, PL b) Men vi trenger PL d (<10-6 ) Hvordan forbedre en funksjon? 62 Bedre komponenter Sjeldnere bruk/behov Sikkerhets redundans To kontaktorer Nok at en virker 31

32 PFH Pålitelighetsblokkdiagram PFH N 2 PFHK PFHK β - Andelen fellesfeil τ tid mellom funksjonstest [timer] Feil når: nærhetsdetektor feiler eller feil av begge kontaktorene 63 Effekten av redundans doble kontaktorer Komponent B 10d n op MTTF d (år) λd (timer) Mekanisk nærhetsdetektor E 07 Kontaktor E PFH = ( ) * = ( )10-6 = timer Vi klarte PL d (<10-6 ) 32

33 Effekt av selvtest 65 DC = λ DD / λ D Må finne feilen tidsnok til at risikoen kan fjernes/unngås på annen måte λ DU =(1-DC) λ D Sjekke strukturkrav B 10 Antall operasjoner før 10% har sviktet 66 λ TOT B 10d - Antall operasjoner før 10% har en farlig svikt λ D SFF ( TOT DU ) 100 TOT 33

34 Eksempel 67 B10 = B10d = n op = 60 operasjoner per time DC = 90% λ TOT = 0.1*n op /B10 = 0.1*60/ = λ DU = (1-DC)*0.1*n op /B10d = SFF = ( λ TOT - λ DU )/ λ TOT = 99% Ytelse begrenses av den laveste Kategori 2 DC=90%=Medium MTTFd=1/ λ DU = 3805 år=high Struktur Max PLd PFH Max PLe SFF = 99% HFT = 0 Struktur Max SIL 2 PFH Max SIL 3 PLd = SIL 2 34

35 69 Oppsummering Maskinsikkerhet Risikoreduksjon 70 35

36 Risikovurdering for maskiner 71 Akseptkriterium gitt i standardene Metodikk gitt i standardene Resultat: Ytelse til sikkerhetsfunksjon som hvis den implementeres rett gir akseptabel risiko Utvikling av sikkerhetskritisk system (ISO 13849) Utføre en risikovurdering (ISO 14121) 2. Fjerne risiko ved konstruksjon 3. Identifiser nødvendige sikkerhetsfunksjoner og deres ytelse (PL) 4. Konstruer sikkerhetsfunksjonen 5. Vis at løsningen gir en akseptabel risiko 36

37 Arbeidsflyt 73 Figur Konstruksjon av sikkerhetsfunksjon 74 Figur 3 i

38 For å vise samsvar 75 ISO PFH Strukturkrav Kategori DC MTTFd Tiltak mot fellesfeil Programvareutvikling IEC PFH Strukturkrav SFF HFT Tiltak mot fellesfeil Programvareutvikling 38