Realisierung Des Sicherheitsrelevanten Steuerungssystems; Hardwareintegrität - Siemens SIRIUS Applikationsanleitung

Spezifikation und Design sicherheitsrelevanter Steuerungen für Maschinen
5.3 Entwurf und Realisierung der (sicherheitsrelevanten) Steuerung nach IEC 62061
5.3.4

Realisierung des sicherheitsrelevanten Steuerungssystems

Ein sicherheitsrelevantes Steuerungssystem muss so realisiert werden, dass es alle
Anforderungen entsprechend dem verlangten SIL erfüllt. Ziel ist es, die Wahrscheinlichkeit
sowohl systematischer als auch zufälliger Fehler, die zu gefährlichem Versagen der
Sicherheitsfunktion führen können, ausreichend klein zu machen. Folgende Aspekte sind zu
beachten:
● Hardwareintegrität, d. h. Architektureinschränkungen, (Fehlertoleranz) und begrenzte
Versagenswahrscheinlichkeit,
● Systematische Integrität, d. h. Anforderungen zur Vermeidung und Beherrschung von
Fehlern,
● Verhalten bei Aufdecken eines Fehlers und Softwaredesign / Softwareentwicklung
Hardwareintegrität
Jedes Subsystem muss eine für den SIL des Systems ausreichende Fehlertoleranz haben.
Diese ist abhängig davon, wie groß der Anteil der Fehler, die in eine sichere Richtung
gehen, bezogen auf die Wahrscheinlichkeit aller möglichen Fehler des Subsystems ist.
Potentiell gefährliche Fehler eines Subsystems, die durch Diagnose rechtzeitig aufgedeckt
werden, gehören dabei zu den Fehlern, die in eine sichere Richtung gehen.
Die erlaubte Wahrscheinlichkeit des Versagens einer Sicherheitsfunktion ist durch den in der
Spezifikation festgelegten SIL begrenzt.
Systematische Integrität
Es sind Maßnahmen sowohl zur Vermeidung systematischer Fehler als auch zur
Beherrschung im System verbliebener Fehler anzuwenden.
Vermeidung systematischer Fehler:
● Das System ist gemäß Sicherheitsplan zu installieren
● Die Herstellerangaben der verwendeten Geräte sind zu befolgen
● Die elektrische Installation gemäß IEC 60204-1 (7.2, 9.1.1 und 9.4.3) auszuführen
● Das Design auf seine Eignung und Korrektheit überprüfen
● Verwendung eines rechnergestützten Tools, das vorkonfigurierte und erprobte Elemente
benutzt.
Beherrschung systematischer Fehler:
● Verwendung des Prinzips der Energieabschaltung
● Maßnahmen zur Beherrschung temporärer Subsystemausfälle oder -störungen, z. B.
wegen Spannungsunterbrechungen
● Bei Verbindung der Subsysteme durch einen Bus sind die Anforderungen von IEC 61508-
2 an die Datenkommunikation zu erfüllen (z. B. PROFIsafe und ASIsafe)
● Fehler in der Verbindung (Verdrahtung) und den Schnittstellen der Subsysteme müssen
erkannt und geeignete Reaktionen veranlasst werden. Für die systematische Behandlung
150
Safety Integrated Application Manual
Applikationshandbuch, 10/2015, A5E03752040010A/RS-AC/004