Siemens SIRIUS Applikationsanleitung Seite 154

Spezifikation und Design sicherheitsrelevanter Steuerungen für Maschinen
5.3 Entwurf und Realisierung der (sicherheitsrelevanten) Steuerung nach IEC 62061
Systematische Integrität eines Subsystems
Bei Design und Implementierung eines Subsystems müssen Maßnahmen sowohl zur
Vermeidung als auch zur Beherrschung systematischer Fehler getroffen werden, z. B.:
● Die eingesetzten Geräte müssen die entsprechenden internationalen Normen erfüllen.
● Die vom Hersteller angegebenen Anwendungsbedingungen müssen eingehalten werden.
● Das Design und die verwendeten Materialien müssen so sein, dass sie allen zu
erwartenden Umgebungsbedingungen standhalten.
● Das Verhalten aufgrund von Umgebungseinflüssen muss vorherbestimmt sein, sodass
ein sicherer Zustand der Maschine erhalten werden kann.
● Online Fehleraufdeckung
● Zwangsbetätigung zur Initiierung einer Schutzmaßnahme
Die in IEC 62061 beschriebenen Anforderungen betreffen nur das Design elektrischer
Subsysteme geringer Komplexität, also keine Subsysteme mit Mikroprozessoren. Die
geforderten Maßnahmen gelten für alle SIL gleichermaßen.
Ausfallwahrscheinlichkeit (PFH
Die möglichen Ausfälle werden unterschieden in "sichere" oder "gefahrbringende" Ausfälle.
Dabei sind die gefahrbringenden Ausfälle eines Subsystems wie folgt definiert.
Gefahrbringender Ausfall
Ausfall eines SRECS, eines Subsystems oder Subsystemelements mit dem Potenzial, eine
Gefährdung oder funktionsfähigen Zustand zu verursachen.
Anmerkung: Ob ein solcher Zustand eintritt oder nicht, kann von der Systemarchitektur
abhängen; in Systemen mit mehrfachen Kanälen zur Verbesserung der Sicherheit führt ein
gefahrbringender Hardwareausfall mit geringerer Wahrscheinlichkeit zum gefahrbringenden
Gesamtzustand oder zu einem Funktionsausfall.
Das bedeutet z. B.: Bei einem redundanten Subsystem (d. h. Fehlertoleranz 1) wird ein
Fehler eines Kanals als gefahrbringend bezeichnet, wenn er potenziell gefahrbringend ist,
d. h. bei nicht vorhandenem zweiten Kanal zu einem gefährlichen Zustand der Maschine
führen kann.
Für die Sicherheitsanforderungen ist nur die Wahrscheinlichkeit gefahrbringender Ausfälle
maßgebend. Die so genannten "sicheren Fehler" verschlechtern zwar die Verfügbarkeit des
Systems, verursachen aber keine Gefährdung.
Die Ausfallwahrscheinlichkeit eines Subsystems ist abhängig von den Ausfallraten der
Geräte aus denen das Subsystem aufgebaut ist, der Architektur und den
Diagnosemaßnahmen. Für die beiden gebräuchlichsten Architekturen sind die Formeln in
der IEC 62061 angegeben.
154
) eines Subsystems
D
Safety Integrated Application Manual
Applikationshandbuch, 10/2015, A5E03752040010A/RS-AC/004