1 Maskinsikkerhet Tor Onshus Teknisk kybernetikk Norges teknisk naturvitenskaplige universitet, NTNU tlf: 73594388 fax: 73594399 Tor.Onshus@itk.ntnu.no http://www.itk.ntnu.no/ansatte/onshus_tor 2 Maskinforskriften Maskindirektivet Relevante standarder 1
EØS regelverket 3 Produktansvar Maskinforskriften & Bruksforskriften Direktiver er for myndigheter Harmoniserte EN standarder Oppfyller forskriftens krav hvis en følger den Kvalitetssystem Ny maskinforskrift Lovdata Fra nyttår 2010 har vi ny forskrift Fra 1/1 2011 er ikke lenger EN 954 en harmonisert standard For sikkerhetsrelaterte deler av styresystemet må en da bruke EN-ISO 13849 eller EN-IEC 62061 4 2
Maskinforskriften gjelder for 5 Maskinbyggeren Ja, men jeg bare kjøper ferdige maskiner og setter dem sammen Jeg skal bare gjøre en liten endring I Maskinforskriftens betydning er du da uansett en maskinbygger Hva er en maskin? 6 En enhet som er utstyrt med eller beregnet til å utstyres med et drivsystem, som ikke kommer fra direkte drivkraft fra mennesker eller dyr Ventiler er ikke maskiner Deler av anlegget kan være maskin andre deler kan være prosess Gjør klar avgrensing 3
Bruksforskriften Forskrift om bruk av arbeidsutstyr Lovdata Maskiner regnes som arbeidsutstyr For de som i sin bedrift bruker en maskin Krav til Godkjent utstyr Opplæring Sakkyndig kontroll Sertifisering 7 Harmonisert standard 8 Hvis en følger den standarden så har en oppfylt kravene som stilles innenfor det området 4
Hierarki av standarder 9 Type A Grunnleggende prinsipper og begreper Type B Generell standard som dekker en eller flere sikkerhets aspekter Type B1 Dekker et sikkerhetsaspekt (avstand, temp., støy osv) Type B2 Dekker sikkerhesttiltak (to hånds kontroll, forrigling osv) Type C Dekker en bestemt maskin eller gruppe av maskiner Noen relevante standarder harmoniserte under maskindirektivet http://www.newapproach.org/ 10 EN ISO 12100:2003 (A) Safety of machinery - Basic concepts, general principles for design EN ISO 14121:2007 (A) Safety of machinery - Risk assessment EN IEC 60204-1:2006 (B2) Safety of machinery - Electrical equipment of machines EN ISO 13849-1:2006 (B1) Safety of machinery - Safety-related parts of control systems 5
For å vise samsvar 11 Oppfylle kravene i forskriften Følger relevante harmoniserte standarder Utføre nødvendige analyser Utstede samsvarserklæring Påføre CE merke Ha dokumentasjon tilgjengelig 12 EN-IEC 61508 Ikke harmonisert EU standard Generisk standard som de andre bygger på 6
Livsløp 2010 1 Concept 2 3 Overall Scope Definition Hazard & Risk Analysis 13 4 5 Overall Safety Requirements Safety Requirements Allocation 6 Overall 7 Overall 8 Operation & Maintenance Planning Overall Planning Validation Planning Overall Installation & Commissioning Planning 9 System Safety Requirements Specification 10 Safety-related Systems Realization 11 Other Risk Reduction Measures Specification and Realization 12 Overall Installation & Commissioning 13 Overall Safety Validation Back to appropriate Overall Safety Lifecycle phase 14 Overall Operation & Maintenance 15 Overall Modification & Retrofit 16 Decommissioning Arbeidsmetodikk IEC 61508 -konsekvenser av SIL Kvalitetssikring Tiltak mot systematiske feil Sviktsannsynlighet (PFD, PFH) Testing i drift Krav til systemstruktur Andel sikre feil (SFF) Antall redundante enheter (HFT) 14 7
15 SIL-Safety Integrity Level SAFETY INTEGRITY LEVEL 4 3 2 1 DEMAND MODE OF OPERATION (Probability of Failure to perform its design function on Demand) > = 10-5 to < 10-4 > = 10-4 to < 10-3 > = 10-3 to < 10-2 > = 10-2 to < 10-1 CONTINUOUS/HIGH DEMAND MODE OF OPERATION (Probability of a dangerous Failure per Hour) > = 10-9 to < 10-8 > = 10-8 to < 10-7 > = 10-7 to < 10-6 > = 10-6 to < 10-5 Når kontinuerlig/ofte behov? behov oftere enn en gang pr. år eller behov oftere enn to ganger pr. testintervall 16 PFD-Probability of Failure on Demand PFD DU 2 τ - tid mellom funksjonsprøving [timer] 1 år = 8760 timer DU -farlig udetekterte feil [feil/time] 8
17 PFH-Probability of Failure per Hour PFH DU DU -farlig udetekterte feil [feil/time 18 PFD Få behov per år Ulykke hvis samtidig: Behov for funksjon Funksjon svikter PFH Mange behov per år Ulykke hvis: Funksjonen svikter R C DR PFD R C PFH R - Risiko C - Konsekvens DR- Behovsrate 9
19 Nye krav til Sikkerhetsfunksjoner 20 Maskinstandarder Harmoniserte EU standard 10
Standarder EN 954, del 1 og 2 Utgår 31/12-2011 Category (B-4) erstattes av 13849 Krav til kvalitet, struktur og feildeteksjon Ikke ytelseskrav ISO 13849, del 1 og 2 Category Performance level (a-e) IEC 62061 Safety Integrity Level (SIL 1-3) Ytelseskrav (PFH) 21 Sammenheng mellom standardene? 22 11
Eksempel -heisspill 23 Antar følgende ved utilsiktet fall av blokk: Fall av blokka vil kunne føre til irreversibel skade eller død Det oppholder seg som regel minst en person på boredekk under operasjon av heisespillet. Personell er kontinuerlig eller svært ofte utsatt for denne risikoen Det er i spesielle tilfeller mulig å komme unna Heisspill - EN954 S2 F2 P1 Kategori 3 Motstå forventet påvirkning Enkeltfeil skal ikke føre til tap av funksjon Prøve å oppdage enkeltfeil Akkumulering av feil kan gi svikt 24 12
25 EN-ISO 13849-1 Harmonisert under maskindirektivet Performance levels (PL) SIL 26 PL PFH SIL a 10-4 -10-5 - b 3 10-6 -10-5 SIL 1 c 10-6 -310-6 SIL 1 d 10-7 -10-6 SIL 2 e 10-8 -10-7 SIL 3 13
Kategorier Beskrivelse Oppførsel ved feil Metode 27 B Beskyttelsen er konstruert, valgt og montert i henhold til "state of art", slik at de kan motstå de forventede påvirkninger 1 Kravene for B skal oppfylles Bruk "well-tried" sikkerhetsutstyr og sikkerhetsprinsipper 2 Kravene for B skal oppfylles og det skal benyttes "well-tried" sikkerhets prinsipper Sikkerhetsfunksjonen skal sjekkes med passende intervaller av sikringssystemet 3 Kravene for B skal oppfylles og det skal benyttes "well-tried" sikkerhets prinsipper Sikkerhetssystemet skal lages slik at: En enkelt feil skal ikke føre til tap av sikkerhetsfunksjonen og Når det er praktisk mulig skal den enkle feilen detekteres 4 Kravene for B skal oppfylles og det skal benyttes well-tried sikkerhets prinsipper Sikkerhetssystemet skal lages slik at: En enkelt feil skal ikke føre til tap av sikkerhetsfunksjonen og Den enkle feilen detekteres før det neste gang er behov for sikkerhetsfunksjonen. Hvis deteksjon ikke er mulig, skal ikke akkumulering av feil føre til tap av sikkerhetsfunksjonen Når feil inntreffer, kan det føre til farlige feil Noen feil blir ikke detektert Som for B, men mindre sannsynlig med farlige feil Feil kan føre til farlige feil mellom hver gang systemet sjekkes Feilen finnes ved sjekken Ved enkle feil vil en fremdeles ha sikkerhetsfunksjonen inntakt Alle feil vil ikke bli oppdaget Akkumulering av feil kan føre til tap av sikkerhetsfunksjonen Sikkerhetsfunksjonene er inntakt selv etter feil Feil vil bli oppdaget tidsnok til å hindre tap av beskyttelsen Ved valg av komponenter Ved struktur Trengs for å finne PL 28 Feildata for komponenter (MTTF d =1/ D ) Andel detekterte feil (DC) Andel fellesfeil (CCF) Struktur (Kategori) Oppførsel ved feil Krav til programvare Tiltak mot systematiske feil Tilpasset miljøet 14
Hovedkrav 29 PFH Basert på data for komponenter og teknisk løsning Struktur Kategori (Kapittel 6 i 13849) DC avg (Tabell6 i 13849, Annex E) MTTF d (Tabell 5 i 13849) Tiltak mot systematiske feil i maskin og programvare Kategori for å oppfylle PL Tabell 7 13849 30 Kategori B 1 2 2 3 3 4 DCavg Ingen Ingen Lav Middels Lav Middels Høy MTTFd Lav a NC a b b c NC Middels b NC b c c d NC Høy NC c c d d d e NC Not Covered 15
Nødvendig PL 31 Heisspill ISO 13849 32 S2 F2 P1 PL= d SIL 2 16
33 EN-IEC 62061 Harmonisert under maskindirektivet Hovedkrav 34 PFH Basert på data for komponenter og teknisk løsning Struktur SFF HFT Tiltak mot systematiske feil i maskin og programvare 17
Category SIL 35 Category HFT SFF Max SIL 1 0 <60% - 2 0 60-90% SIL 1 3 1 1 <60% 60-90% SIL 1 SIL 2 4 >1 1 60-90% >90% SIL 3 SIL 3 Category PFH Category HFT DC PFH 1 0 0% App D 2 0 60-90% 10-6 3 1 60-90% 2 10-7 4 >1 60-90% 3 10-8 1 >90% 3 10-8 36 DC - % farlige feil som finnes ved selvtest 18
37 Krav til sikkerhetsfunksjonene Risikovurdering Severity (Se) 38 Konsekvens Se Irreversibel: død, tap av arm osv. 4 Irreversibel: brudd, tap av finger 3 Reversibel: medisinsk hjelp 2 Reversibel: bare førstehjelp 1 S i ISO 13849 19
Frequency (Fr) 39 Eksponeringsfrekvens Fr 1 h 5 > 1h til 1 dag 5 >1 dag til 2 uker 4 > 2 uker til 1 år 3 > 1 år 2 F i ISO 13849? Probability (Pr) Sannsynlighet for hendelsen Pr Svært høy 5 Sannsynlig 4 Mulig 3 Tvilsomt 2 Neglisjerbart 1 40 F i ISO 13849? 20
Probability of avoiding (Av) 41 Mulighet for å unngå hendelsen Av Umulig 5 Tvilsomt 3 Sannsynlig 1 P i ISO 13849 Tilordning av SIL 42 Se Class (Cl=Fr+Pr+Av) 3-4 5-7 8-10 11-13 14-15 4 SIL 2 SIL 2 SIL 2 SIL 3 SIL 3 3 (OM) SIL 1 SIL 2 SIL 3 2 (OM) SIL 1 SIL 2 1 (OM) SIL 1 OM Andre tiltak anbefalt (Other Measures) 21
Krav til systemstruktur Safe failure Hardware fault tolerance fraction 0 1 2 < 60 % not allowed SIL1 SIL2 60 % - 90 % SIL1 SIL2 SIL3 90 % - 99 % SIL2 SIL3 SIL3 > 99 % SIL3 SIL3 SIL3 43 SFF = Andel sikre feil HFT = Antall redundante enheter (1oo2=2oo3=1, 1oo3=2) SFF ( DD DU SU DD ( SD ) 100 TOT SU DU TOT SD ) 100 Heisspill IEC 62061 44 Se = 4 Fr = 4 Pr = 3 (Fr Pr her) Av = 3 Cl = Fr + Pr + Av = 9 SIL 2 22
Heisspill oppsummert 45 EN 954 IEC 62061 ISO 13849 Category 3 SIL 2 PL = d Tåler en feil PFH < 10-6 [f/h] PFH < 10-6 [f/h] Category 3 med SFF > 60% tilsvarer SIL 2 PL = d tilsvarer SIL 2 Sammenligning 46 ISO 13849 Ikke for kompliserte systemer (programvare) Lav risikoreduksjon fra styresystemet Styresystemet må tilfredsstille IEC 62061 Elektromekaniske sikkerhetsfunksjoner IEC 62061 Både Type A og B Programvare i henhold til IEC 61508 Bare kontinuerlig behov for funksjonen Generiske feildata gitt Programmerbare sikkerhetsfunksjoner 23
For å vise samsvar 47 ISO 13849 PFH Strukturkrav Kategori DC MTTFd Tiltak mot fellesfeil Programvareutvikling IEC 62061 PFH Strukturkrav SFF HFT Tiltak mot fellesfeil Programvareutvikling 48 Risikoanalyse og Akseptkriterier 24
Utvikling av sikkerhetskritisk system (ISO 13849) 49 1. Utføre en risikovurdering (ISO 14121) 2. Fjerne risiko ved konstruksjon 3. Identifiser nødvendige sikkerhetsfunksjoner og deres ytelse (PL) 4. Konstruer sikkerhetsfunksjonen 5. Vis at løsningen gir en akseptabel risiko Risikoanalyse Konsekvens av farlig hendelse Liv/Helse, Indre/Ytre miljø og Økonomi Sannsynlighet for farlig hendelse Frekvens Eksponeringstid Mulighet for å unngå 50 Summere over hele anlegget? 25
Risikoreduksjon 51 52 Akseptkriterium (eksempel) Vi skal ikke ha ulykker som fører til flere dødsfall oftere enn hvert 100000 år Dvs. sjeldnere enn 10-5 ganger per år Bør ha kriterier for Mennesker Miljø Matriell/Økonomi 26
Risikovurdering for maskiner 53 Akseptkriterium gitt i standardene Metodikk gitt i standardene Resultat: Ytelse til sikkerhetsfunksjon som hvis den implementeres rett gir akseptabel risiko Arbeidsflyt 54 Figur 1 13849 14121 27
Konstruksjon av sikkerhetsfunksjon 55 Figur 3 i 13849 56 Beregning av ytelse Vise at PFH er oppfylt Vise at strukturen er akseptabel 28
Feildata 57 Konstante Oppgir midlere tid til feil (Integrerte kretser, transistorer, dioder, kondensatorer, motstander, spoler osv) λ, MTTF=1/λ Avhengig av hvor ofte de brukes Oppgir midlere antall operasjoner før feil (Mekanisk, elektromekanisk, bevegelige deler) B10 Feildata basert på testing (13849-1 Annex C) Antall operasjoner før 10% av komponentene har feilet farlig, B 10d Antall forventede operasjoner per år, n op Midlere tid før farlig feil, MTTF d 58 MTTF d B10d 0.1 n op 1 d 1 PFH d 29
Eksempel 59 Feil når: nærhetsdetektor eller kontaktor feiler Typiske tallverdier (13849-1 Tabell C.1) 60 PFH = 0.21 + 2.1 = 2.2 10-9 timer (SIL 4, PL e) Ett år = 8760 timer Hva skjer hvis komponenten brukes 10x så ofte? 30
Effekt av ofte bruk 61 Komponenten brukes hvert minutt n op = 365*24*60 = 525 600 per år PFH = 0.3 + 3.0 = 3.3 10-6 timer (SIL 1, PL b) Men vi trenger PL d (<10-6 ) Hvordan forbedre en funksjon? 62 Bedre komponenter Sjeldnere bruk/behov Sikkerhets redundans To kontaktorer Nok at en virker 31
PFH Pålitelighetsblokkdiagram PFH N 2 PFHK PFHK β - Andelen fellesfeil τ tid mellom funksjonstest [timer] Feil når: nærhetsdetektor feiler eller feil av begge kontaktorene 63 Effekten av redundans doble kontaktorer Komponent B 10d n op MTTF d (år) λd (timer) Mekanisk nærhetsdetektor 20 000 000 525 600 381 3.0E 07 Kontaktor 2 000 000 525 600 38 3.0E 06 64 PFH = 3 10-7 + (3 10-6 ) 2 8760 +0.1*3 10-6 = (0.3 + 0.079 + 0.3 )10-6 = 0.68 10-6 timer Vi klarte PL d (<10-6 ) 32
Effekt av selvtest 65 DC = λ DD / λ D Må finne feilen tidsnok til at risikoen kan fjernes/unngås på annen måte λ DU =(1-DC) λ D Sjekke strukturkrav B 10 Antall operasjoner før 10% har sviktet 66 λ TOT B 10d - Antall operasjoner før 10% har en farlig svikt λ D SFF ( TOT DU ) 100 TOT 33
Eksempel 67 B10 = 2 000 000 B10d = 20 000 000 n op = 60 operasjoner per time DC = 90% λ TOT = 0.1*n op /B10 = 0.1*60/2000000=3 10-6 λ DU = (1-DC)*0.1*n op /B10d = 3 10-8 SFF = ( λ TOT - λ DU )/ λ TOT = 99% Ytelse begrenses av den laveste 68 13849 Kategori 2 DC=90%=Medium MTTFd=1/ λ DU = 3805 år=high Struktur Max PLd PFH Max PLe 62061 SFF = 99% HFT = 0 Struktur Max SIL 2 PFH Max SIL 3 PLd = SIL 2 34
69 Oppsummering Maskinsikkerhet Risikoreduksjon 70 35
Risikovurdering for maskiner 71 Akseptkriterium gitt i standardene Metodikk gitt i standardene Resultat: Ytelse til sikkerhetsfunksjon som hvis den implementeres rett gir akseptabel risiko Utvikling av sikkerhetskritisk system (ISO 13849) 72 1. Utføre en risikovurdering (ISO 14121) 2. Fjerne risiko ved konstruksjon 3. Identifiser nødvendige sikkerhetsfunksjoner og deres ytelse (PL) 4. Konstruer sikkerhetsfunksjonen 5. Vis at løsningen gir en akseptabel risiko 36
Arbeidsflyt 73 Figur 1 13849 14121 Konstruksjon av sikkerhetsfunksjon 74 Figur 3 i 13849 37
For å vise samsvar 75 ISO 13849 PFH Strukturkrav Kategori DC MTTFd Tiltak mot fellesfeil Programvareutvikling IEC 62061 PFH Strukturkrav SFF HFT Tiltak mot fellesfeil Programvareutvikling 38