Im Bereich der funktionalen Sicherheit muss eine Sicherheitsfunktion einer Maschine mehr leisten, als nur einmal zu reagieren. Sie muss unter vorhersehbaren Einsatz- und Fehlerbedingungen zuverlässig funktionieren.
Hier kommen die Performance Levels, kurz PL, ins Spiel. Der Performance Level gibt die Fähigkeit der sicherheitsgerichtete Teile eines Steuerungssystems an, eine definierte Sicherheitsfunktion auszuführen In der Praxis hilft dies dem Engineering-Team zu bewerten, ob eine Sicherheitsschaltung oder -Teilschaltung das erforderliche Maß an Risikoreduzierung bietet.
Dieser Artikel bietet einen kompakten Überblick über die wichtigsten Parameter, die zur Bestimmung des Performance Levels herangezogen werden. Er ist als technischer Leitfaden gedacht und nicht als Ersatz für eine projektspezifische Risikoanalyse, Validierung oder Normenprüfung.
Der Performance Level beschreibt die Fähigkeit einer Sicherheitsschaltung, eine Sicherheitsfunktion unter vorhersehbaren Bedingungen auszuführen. Performance Levels werden in fünf diskrete Stufen unterteilt:
PL a stellt die niedrigste Stufe und PL e die höchste Stufe innerhalb dieser Klassifikation dar.
Performance Levels werden nur für vollständige Sicherheitsschaltungen oder vollständige Sicherheits-Teilschaltungen bestimmt. Sie werden nicht einfach isolierten Standard- Komponenten zugewiesen, ohne die gesamte sicherheitsgerichtete Funktions- und Schaltungsarchitektur zu berücksichtigen.
Bevor ein Performance Level bewertet werden kann, muss das Maschinenrisiko beurteilt werden. Die Risikobewertung definiert das erforderliche Maß an Risikoreduzierung für jede Sicherheitsfunktion.
Basierend auf dieser Risikoanalyse wird jeder Sicherheitsschaltung, die eine Sicherheitsfunktion oder -unterfunktion ausführt, ein erforderlicher Performance Level zugewiesen. Der erreichte Performance Level der implementierten Schaltung muss anschließend mit dieser Anforderung abgeglichen werden.
Dabei ist diese Reihenfolge zu beachten:
1. Erkennen Sie die Gefahr
2. Bestimmen Sie den erforderlichen Performance Level
3. Definieren Sie die erforderliche Sicherheitsfunktion
4. Konstruieren Sie die Sicherheitsschaltung oder -Teilschaltung
5. Bewerten Sie, ob der erreichte Performance Level die Anforderung erfüllt
6. Validieren Sie die Sicherheitsfunktion im Maschinenkontext
Mehrere quantitative und qualitative Parameter beeinflussen den erreichten Performance Level. In der folgenden Übersicht werden die wichtigsten davon erläutert.
Der Aufbau einer Sicherheitsschaltung hängt von der Anordnung der Komponenten, der Diagnose sowie den Maßnahmen zur Gewährleistung der Zuverlässigkeit ab. Diese Strukturen sind in die Kategorien B bis 4 unterteilt.
Die Kategorien beschreiben, wie fehleranfällig die Sicherheitsschaltung ist und wie sich die Schaltung verhält, wenn ein Fehler auftritt. Beispielsweise kann die Architektur beeinflussen, ob ein einzelner Fehler zum Ausfall der Sicherheitsfunktion führt oder ob der Fehler erkannt und bewältigt wird.
Die mittlere Zeit bis zum ersten gefährlichen Ausfall, oder MTTFD, berücksichtigt die Zuverlässigkeit der in der Sicherheitsschaltung verwendeten Komponenten.
Die MTTFD konzentriert sich auf gefahrbringende Ausfälle. Dies sind Ausfälle, die das korrekte Ausführen der Sicherheitsfunktion verhindern können. Die Zuverlässigkeitsdaten aller relevanten sicherheitsgerichteten Komponenten müssen im Kontext der gesamten Schaltung berücksichtigt werden.
Der Diagnosedeckungsgrad, oder DC, misst die Effektivität der Diagnose in der Sicherheitsschaltung.
Er beschreibt den Anteil gefahrbringender Ausfälle, die erkannt werden können, im Vergleich zu gefahrbringenden Ausfällen, die unentdeckt bleiben. Im Allgemeinen erfordert ein höheres Risiko eine effektivere Diagnose. Diagnosemaßnahmen können daher einen erheblichen Einfluss auf den erreichten Performance Level haben.
Ausfälle in Folge gemeinsamer Ursache, oder CCF, treten auf, wenn zwei oder mehr separate Fehler durch dasselbe Problem verursacht werden.
Dies ist insbesondere bei Mehrkanal-Sicherheitsschaltungen relevant. Selbst wenn zwei Kanäle separat ausgelegt sind, kann eine gemeinsame Ursache – wie beispielsweise Umwelteinflüsse, eine fehlerhafte Installation, ungeeignete Konstruktionsannahmen oder ein gemeinsames Versorgungsproblem – beide Kanäle beeinträchtigen. Maßnahmen gegen Ausfälle in Folge gemeinsamer Ursache verringern die Wahrscheinlichkeit, dass mehrere Kanäle aus demselben Grund ausfallen.
Das Verhalten einer Sicherheitsschaltung unter Fehlerbedingungen muss ausgewertet werden. Wichtige Fehler und Störungen sollten mithilfe geeigneter Methoden analysiert werden, wie zum Beispiel:
Je nach Anwendung, Schaltungskategorie und ausgewählten Komponenten können zusätzliche Konstruktions- oder Diagnosemaßnahmen erforderlich sein, um die Anforderungen der Norm ISO 13849 zu erfüllen.
Wenn sicherheitsgerichtete Anwendersoftware Teil des Steuerungssystems ist, muss der Produktentstehungsprozess Maßnahmen zur Fehlervermeidung enthalten.
Ein strukturiertes Entwicklungsmodell wie das V-Modell kann die Spezifikation, Implementierung, Verifikation und Validierung unterstützen. Das Ziel ist eine Software, die lesbar, verständlich, testbar, wartbar und so fehlerfrei wie möglich ist.
Systematische Fehler sind keine zufälligen Hardwarefehler. Sie sind häufig auf menschliche, prozess- oder konstruktionsbezogene Ursachen zurückzuführen.
Beispiele sind:
Ein Plan zur funktionalen Sicherheit ist eines der wichtigsten Instrumente zur Bewältigung systematischer Fehler. Er definiert Maßnahmen, um fehlerhafte Spezifikationen, Implementierungen, Verifikationen, Validierungen oder spätere Modifikationen sicherheitsgerichteter Funktionen zu verhindern.
Die endgültige PL-Bewertung bringt alle relevanten Parameter zusammen. Die Übersicht sollte zeigen, wie die Schaltungskategorie, MTTFD, Diagnosedeckungsgrad, Maßnahmen gegen Ausfälle in Folge gemeinsamer Ursache, Fehlerverhalten, Softwarequalität und Maßnahmen gegen systematische Fehler zum erreichten PL der Sicherheitsfunktion beitragen.
Die Evaluierung des Performance Levels ist nicht nur eine Rechenaufgabe. Es handelt sich um eine sicherheitstechnische Aufgabe, die vom gesamten Maschinenkontext abhängt.
Ein und dieselbe Komponente kann sich je nach Sicherheitsfunktion, Schaltungsstruktur, Diagnose, Software, Umgebung und Validierungskonzept unterschiedlich verhalten. Aus diesem Grund sollten sicherheitsgerichtete Schaltkreise im Hinblick auf die Gesamtfunktionen oder Teilfunktionen und nicht im Hinblick auf die einzelnen Komponenten bewertet werden.
Festo bietet Maschinenbauern Automatisierungskomponenten, Dokumentation und Anwendungswissen, um sie bei der sicherheitsgerichteten Konstruktionsarbeit zu unterstützen. Die endgültige Verantwortung für die Risikobewertung, Umsetzung und Validierung liegt beim jeweiligen Maschinenbauer oder Engineering-Team.