Esempio di applicazione delle norme EN ISO e EN IEC 62061

Transcript

1 Esempio di applicazione delle norme EN ISO e EN IEC 62061

2 Esempio: Pressa per cuscinetti Valutazione del rischio Secondo EN ISO 14121

3 Valutazione del rischio

4 Funzione di sicurezza SF: Il movimento del cilidro deve essere fermato quando il campo protetto della barriera viene infranto

5 Riduzione del rischio Analisi del rischio Determinare il PLr Realizzazione tecnica della SF Valutazione del PL Verifica del PL non ok ok Validazione della SF non ok ok

6 Determinazione del PLr Start S 1 F 1 P 1 P 2 F 2 S 2 F 1 P 1 P 2 F 2 P 1 P 2 P 1 P 2 rischio basso rischio elevato PL Performance Level richiesto a b c d e S: Gravità del danno S1: Reversibile S2: irreversibile F: Frequenza o tempo di esposizione al rischio F1: Rara / Breve F2: Continua / Lungo P: Possibilità di evitare il rischio o di limitare il danno P1: Possibile P2: Scarsamente possibile

7 Progettare il sistema di sicurezza

8 Parti relative alla sicurezza dei sistemi di controllo SRP/CS 1 SRP/CS 2 SRP/CS 3 Barriera Logica di Safety Related Parts of Control Systems Attuatore ottica controllo Fisico elettrico elettrico fisico PL1 r PL d PL2 r PL d PL3 r PL d Una funzione di sicurezza può essere composta da uno o più SRP/CS, e più funzioni di sicurezza possono utilizzare gli stessi SRP/CS

9 Determinare il PL per SRP/CS PL Performance Level Categoria MTTF d DC CCF Verifica STRUTTURA AFFIDABILITA DIAGNOSTICA RESISTENZA PROCESSO

10 Aspetti strutturali PL Performance Level Categoria MTTF d DC CCF VerifIca STRUTTURA AFFIDABILITA DIAGNOSTICA RESISTENZA PROCESSO

11 Circuito di stop di sicurezza SRP/CS 1 SRP/CS 2 SRP/CS 3 I 1 L 1 O 1 Barriera ottica I 2 L 2 O 2 I 1 L 1 O 1 Logica di controllo I 2 L 2 O 2 I L Attuatore O Categoria 4 Categoria 4 Categoria 1 PL1 r PL d PL2 r PL d PL3 r PL d

12 Aspetti di affidabilità PL Performance Level Category MTTF d DC CCF Verifica STRUTTURA AFFIDABILITA DIAGNOSTICA RESISTENZA PROCESSO

13 Relazione MTTF e Categoria con PL a Performance Level (PL) b c d e MTTF d = basso MTTF d = medio MTTF d = alto DC avg 0 0 basso medio basso medio alto Category B

14 Circuito di stop di sicurezza SRP/CS 1 SRP/CS 2 SRP/CS 3 Categoria 4 Categoria 4 Categoria 1 PL1 r PL d PL2 r PL d PL3 r PL d

15 Struttura alternativa Categoria 2 Category B, 1 Per categoria 2: freq. Della richiesta 1/100 freq. Di test

16 Struttura alternativa Categoria Categoria3, 24 Corto circuito controllato da un PLC di sicurezza

17 Relazione MTTF e Categoria con PL a Performance Level (PL) b c d e MTTF d = basso MTTF d = medio MTTF d = alto DC avg 0 0 basso medio basso medio alto Category B

18 Calcolo di MTTF d MTTF MTTF MTTF d d d = = = B10 d 0,1 n op B10 d 0,1 d h op d a op C , h d 1 h MTTF d = a a ISO 13849: B10 d = Cicli di commutazione Assumendo che: C = 60 /h d op = 220 d/a = 8 h/d h op MTTF d = alto

19 Aspetti di diagnostica PL Performance Level Category MTTF d DC CCF Verifica STRUTTURA AFFIDABILITA DIAGNOSTICA RESISTENZA PROCESSO

20 Diagnostic coverage λ du Percentuale di guasti pericolosi non rilevati λ d Percentuale di guasti pericolosi λ dd Percentuale di guasti pericolosi rilevati DC = λ dd λ dd + λ du dd du s

21 Stima del DC Table E.1 Abstract: Estimates for diagnostic coverage (DC) Measure DC Input Cyclic test stimulus by dynamic change of the input 90% signals Input Plausibility check, e.g. use of normally open and 99% normally closed mechanically linked contacts Input Monitoring some characteristics of the sensor 60% (response time, range of analogue signals, e.g. electrical resistance, capacitance) Input Cros monitoring if inputs without dynamic test 0%..99% (dependig on signal change frequency) Logic Dynamic principle (all components of the logic are 99% required to change the state ON-OFF-ON when the safety function is demanded), e.g. interlocking circuit implemented by relays Logic Processing unit: Self test by software 60%..90% Output Redundant shut-off path with monitoring of one of 90% the actuators either by logic or by test equipment Output Direct monitoring (e.g. electrical position monitoring 99% of control valves, monitoring of electromechanical devices by mechanically linked contact elements) General Fault Detection by process 0%..99% (not alone for PL e )

22 Valori legati al DC DC = alto

23 Aspetti legati alla resistenza PL Performance Level Categoria MTTF d DC CCF Verifica STRUTTURA AFFIDABILITA DIAGNOSTICA RESISTENZA PROCESSO

24 Cause comuni di guasto Categoria 3, 4 Guasto che causa guasti contemporanei su due o più canali in un sottoinsieme multicanale

25 Misure contro CCF Table I.1 - Estimation of the measures against CCF Item Max. Score Separation / segregation 15 Diversity 20 Design / application / experience 20 Assessment / analysis 5 Competence / training 5 Environmental 25 Other influences 10 Score 65 Totale 100

26 CCF - Tabella

27 PL per un SRP/CS Performance Level (PL) a b c d e MTTF d = basso MTTF d = medio MTTF d = alto DC avg 0 0 basso medio basso medio alto Categoria B

28 Performance level a Categoria 3/4 Performance Level (PL) b c d MTTF d = low MTTF d = medium e MTTF d = high DC avg 0 0 low medium low medium high Category B MTTF d = 100 a

29 Circuito di stop di sicurezza SRP/CS 1 SRP/CS 2 SRP/CS 3 I 1 L 1 O 1 Cat. 4, PL e I 1 L 1 O 1 Cat. 4, PL e I 1 L 1 O 1 Cat. 4, PL e I 2 L 2 O 2 I 2 L 2 O 2 I 2 L 2 O 2

30 Processo di progettazione PL Performance Level Categoria MTTF d DC CCF Verifica STRUTTURA AFFIDABILITA DIAGNOSTICA RESISTENZA PROCESSO

31 Riduzione del rischio Analisi del rischio Determinare il PLr Realizzazione tecnica della SF Valutazione del PL Verifica del PL non ok ok Validazione della SF non ok ok

32 Validazione e manutenzione La validazione serve a dimostrare che la combinazione dei vari SRP/CS che provvedono ad ogni funzione di sicurezza, è in accordo con tutte le richieste di questo standard Manutenzione preventiva o correttiva, possono essere necessarie per mantenere le performance specificate per le parti relative alla sicurezza. Le informazioni per l uso degli SRP/CS, devono contenere le istruzioni per la manutenzione (compresa l ispezione periodica)

33 Livello di sicurezza raggiunto Livello di sicurezza richiesto PL r a b c d e Livello raggiunto PL PL(low) n (low) PL a b c d e > 3 > 2 > 2 > 3 > 3 => => => => => -- a b c d => => => => => a b c d e

34 Rappresentazione numerica

35 Relazione PFH D - PL/SIL Probabilità di guasto pericoloso per ora PL ISO a b c d e Rischio basso Rischio alto SIL IEC non coperta 1 2 3

36 Identificare la funzione di sicurezza

37 Funzione di controllo relativa alla sicurezza SRCF: Il movimento del cilidro deve essere fermato quando il campo protetto della barriera viene infranto

38 Processo di riduzione del rischio

39 Stima del rischio Frequenza e durata dell esposizione Probabilità dell accadere di un evento pericoloso Probabilità di evitare o limitare il danno (Fr) (Pr) (Av)

40 Assegnazione del SIL Product: Issued: verified: Date: SIL assignment and safety measures Black area - Safety measures required Grey arey - Safety measures recommended Document No.: Part of: Pre risk assessment Intermediate risk assessment Follow up risk assessment Consequences Death, losing an eye or an arm Permanent, losing fingers Reversible, medical attention Reversible, first aid Severity Class Cl Frequency, Fr Probability of Avoidance, Se (duration > 10min) hzrd. Event, Pr Av 4 SIL 2 SIL 2 SIL 2 SIL 3 SIL 3 1 hour 5 Common 5 3 OM SIL 1 SIL 2 SIL 3 > 1hr - 1day 5 Likely 4 2 OM SIL 1 SIL 2 > 1day - 2wks 4 Possible 3 Impossible 5 1 OM SIL 1 > 2wks - 1yr 3 Rarely 2 Possible 3 > 1 year 2 Negligible 1 Likely 1 Ser. No. Hzd. No. Hazard Se Fr Pr Av Cl Avvicinamento del battente Safety measure Stop del cilindro RR

41 Funzione di controllo relativa alla sicurezza SRCF: Il movimento del cilidro deve essere fermato quando il campo protetto della barriera viene infranto Livello di sicurezza richiesto: SIL 2

42 Determinare il SIL per lo SRECS SIL Safety Integrity Level HFT PFH D DC/SFF CCF Verifica STRUTTURA AFFIDABILITA DIAGNOSTICA RESISTENZA PROCESSO

43 Aspetti strutturali SIL Safety Integrity Level HFT PFH D DC/SFF CCF Verifica STRUTTURA AFFIDABILITA DIAGNOSTICA RESISTENZA PROCESSO

44 Divisione in blocchi funzione FB 1 FB 2 FB 3 Dispositivo Logica di Safety Related Control Function Attuatore di controllo controllo Fisico elettrico elettrico Fisico Il più piccolo elemento di un SRCF, dove un guasto può causare la perdita della funzione di sicurezza

45 Definire i sottosistemi SS FB 1 SS FB 2 SS FB 3 Dispositivo Barriera di controllo ottica Logica PLC di di controllo sicurezza Attuatore Valvola

46 Elementi dei sottosistemi HFT = 0 HFT = 1 Subsystem element 1: λ D1 Subsystem A Subsystem element n: λ Dn Subsystem element 1: λ D1 Subsystem element 2: λ D2 Common cause failure: β Subsystem B Subsystem element 1: λ D1, DC 1 Subsystem C Subsystem element n: λ Dn, DC n Subsystem element 1: λ D1, DC 1 Diagnostic function(s) Diagnostics Common cause failure: β Subsystem element 2: λ D2, DC 2 Subsystem D Parte di un sottosistema, comprensivo di un singolo componente o ogni gruppo di componenti

47 Architectural requirements SS FB 1 SS FB 2 SS FB 3 Barriera Guard sensing ottica Logic PLC di sicurezza solving Power Valvola switching SIL richiesto 2 SIL richiesto 2 SIL richiesto 2 Ogni sottosistema deve essere conforme al SIL dichiarato per il completo SRCF

48 Aspetti di affidabilità SIL Safety Integrity Level HFT PFH D DC/SFF CCF Verifica STRUTTURA AFFIDABILITA DIAGNOSTICA RESISTENZA PROCESSO

49 Probabilità di guasti casuali pericolosi Probabilità di guasti SIL pericolosi per ora [1/h] PFH D < PFH D < PFH D <10-7 PFH D = PFH D PFH D2 + PFH TE

50 HW safety integrity requirements PFH D1 PFH D2 PFH D3 PFH D1 + PFH D2 + PFH D3 < 10-6

51 Aspetti di diagnostica SIL Safety Integrity Level HFT PFH D DC/SFF CCF Verifica STRUTTURA AFFIDABILITA DIAGNOSTICA RESISTENZA PROCESSO

52 Diagnostic coverage λ DU Percentuale di guasti pericolosi non rilevati λ D Percentuale di guasti pericolosi λ DD Percentuale di guasti pericolosi rilevati DC = λ dd λ dd + λ du dd du s

53 Safe failure fraction λ D SFF = (Σλ S + Σλ DD ) / (Σλ S + Σλ D )

54 Differenza di calcolo DC e SFF 1/3 λ s λ D DC = 0%? SFF = 50%?

55 Differenza di calcolo DC e SFF 2/3 λ s λ DD λ DU DC = 50%? SFF = 75%?

56 Differenza di calcolo DC e SFF 3/3 λ s λ DD λ DU DC = 90%? SFF = 95%?

57 Restrizioni dell architettura Safe Failure Fraction Hardware Fault Tolerance 0 1 < 60% -- SIL1 60% - < 90% SIL1 SIL2 90% - < 99% SIL2 SIL3 99% SIL3 SIL3 Il SIL Raggiunto dallo SRECS in accordo con le restrizioni dell architettura, è minore od uguale al SILCL di ogni sottosistema coinvolto nelle performance del SRCF

58 Hardware safety integrity - Target SILCL3 SILCL3 Safe Failure Fraction Hardware Fault Tolerance 0 1 < 60% -- SIL1 60% - < 90% SIL1 SIL2 90% - < 99% SIL2 SIL3 99% SIL3 SIL3 SILCL 2 SILCL 2 SILCL 2

59 I modi di guasto della valvola SFF = 70%

60 Hardware safety integrity - Risultato SFF HFT <60% SIL1 SIL2 60% to < 90% SIL1 SIL2 SIL3 90% to <99% SIL2 SIL3 SIL3 99% SIL3 SIL3 SIL3 SILCL 2 SILCL 2 SILCL 2

61 Sottosistemi a bassa complessità? Safe Failure Fraction Hardware Fault Tolerance 0 1 < 60% -- SIL1 60% - < 90% SIL1 SIL2 90% - < 99% SIL2 SIL3 99% SIL3 SIL3 Collegare in parallelo due sottosistemi a bassa complessità, entrambi rispondenti alle richieste dell architettura per SIL1

62 Aspetti di resistenza SIL Safety Integrity Level HFT PFH D DC/SFF CCF Verifica STRUTTURA AFFIDABILITA DIAGNOSTICA RESISTENZA PROCESSO

63 Causa di guasto comune Subsystem element 1: λ D1 Subsystem Subsystem element 1: element 2: λ D1 λ D2 Common cause failure: β Subsystem element n: λ Dn Subsystem A Subsystem B Guasto che causa guasti contemporanei su due o più canali in un sottoinsieme multicanale

64 Misure contro CCF Table F.1 - Criteria for estimation of CCF Table F.2 - Estimation of CCF factor (ß) Item Max. Score Separation / segregation 25 Diversity / redundancy 38 Complexity / design / application 2 Assessment / analysis 18 Competence / training 4 Environmental control 18 Overall score CCF factor (ß) < 35 10% % % % L allegato F fornisce un approccio semplice per il calcolo del CCF

65 Tabella CCF

66 Calcolo del PFH D Subsystem element 1: λ D1 Subsystem element 2: λ D2 Common cause failure: β Subsystem B PFH d β = β λ ( λ + λ ) D1 D λ λ D2 Valve 1 h = 5% 30% 0,1 C B10 1h = 5% 30% 0,1 2C 2 1 h 0,05 0,3 0, = B10 PFH D = 9, D h 1h 1h Table F.2 - Estimation of CCF factor (β) Overall score CCF factor (β) < 35 10% % % % ISO 13849: B10 D = Switching cycles Assumption: C = 60 /h

67 Aspetti di processo SIL Safety Integrity Level HFT PFH D DC/SFF CCF Verifica STRUTTURA AFFIDABILITA DIAGNOSTICA RESISTANCE PROCESSO

68 Safety related control function PFH D = 2, PFH D = 8, PFH D = 9, Σ PFH D = 4, < 10-6

69 Hardware safety integrity SILCL3 SILCL3 Safe Failure Fraction Hardware Fault Tolerance 0 1 < 60% -- SIL1 60% - < 90% SIL1 SIL2 90% - < 99% SIL2 SIL3 99% SIL3 SIL3 Σ PFH D = 4, < 10-6 SIL 2

70 Misure contro i guasti sistematici

71 Misure contro i guasti sistematici Per il controllo dei guasti sistematici, le seguenti misure devo essere applicate: : individuazione dei guasti con monitoraggio on-line; : test, tramite comparazione, dell hardware ridondante; : hardware diversi; : operare in logica positiva (es. Un interruttore di posizione è premuto con protezione aperta); : sovradimensionare con un fattore adatto, quando il produttore può dimostrare che questo aumenta l affidabilità.

72 Hardware safety integrity Con la diagnostica! SILCL3 SILCL3 Safe Failure Fraction Hardware Fault Tolerance 0 1 < 60% -- SIL1 60% - < 90% SIL1 SIL2 90% - < 99% SIL2 SIL3 99% SIL3 SIL3 Σ PFH D = 4, < 10-7 SIL 3

73 L importanza dell informazione