Degradierung des Votingschemas einer SSPS

[LoKo]

Wenn ich es richtig verstanden habe, geht es darum dass das System selbst entscheiden soll wann es von "ganz Sicher" (2-aus-3-Auswertung), nach Ausfall eines Sensores auf "Sicher" (1-aus-2-Auswertung) herunterschalten soll.

In meiner durchaus längeren Praxis ist mir ein solcher Fall noch nie vorgekommen, könnte aber durchaus ein netter Ansatzpunkt sein um die Verfügbarkeit zu erhöhen. Da jedoch im Normalfall eine 2oo3 bzw. 1oo2 Entscheidung nach dem Risiko-/ Gefährdungsgrad entsprechend ausgeführt wird, denke ich wird das eine interessante Diskussion mit dem Auditor geben, warum die Kiste temporär mit einer 1oo2-Auswahl gefahren werden kann.

Kann ich mir aber vorstellen um bestimmte Prozesse kontrolliert zu beenden, bevor sie beim Ausfall des 2. Sensors radikal auf sicheren Zustand gebracht werden.

[williwuff]

Hallo,

wie Loko richtig erkannt hat, geht es darum die Sicherheitstechnische Verfügbarkeit zu erhöhen.
Gehen wir nochmal folgendes Beispiel an.

Initialvoting ist 2oo3:
Nun fällt ein Sensor aus, der Ausfall wird durch die Eigendiagnose aber nicht erkannt. Das heißt nur die beiden anderen Sensoren liefern noch zuverlässige Werte. Allerdings darf nun kein weiterer Sensor ausfallen. Fällt ein weiterer Sensor aus, wird nicht mehr die Schutzeinrichtung angesprochen.

Was passiert wenn das Voting geändert wird:
Fällt zusätzlich z.B. noch ein weiterer Sensor aus, bei dem der Ausfall diagnostiziert wurde (zusätzlich zu dem Sensor, bei dem der Ausfall nicht erkannt wurde), wird das Voting z.B. in ein 1oo2 Voting geändert. Das bedeutet, dass die Schutzeinrichtung noch ausgeführt werden kann. Im Gegensatz zu oben konnte dies dort nicht mehr.

Das lässt sich natürlich für viele Fälle betrachten, z.B. noch für Fehlalarme und so.
Letztendlich ergibt aus solchen Degradierungen eine bessere sicherheitstechnische Verfügbarkeit. Also die Anlage wird mit größerer Wahrscheinlichkeit ihre Schutzeinrichtung ausführen, wenn sie benötigt wird. Nachteil ist die Betriebstechnische Verfügbarkeit,die Anlage könnte öfters Stillstehen.

Durch eine Degradierung ist auch folgendes Szenario möglich. Bei einem 2oo3 müssen ja 2 Sensoren funktionsfähig sein. Passiert jetzt ein dummer Zufall und es fallen alle 3 Sensoren aus, und dies wird erkannt. Bei einem Standard-Voting kann die Schutzeinrichtung nicht mehr eingreifen; bei einer Degradierung inkl. Abschaltung kann die Anlage in den sicheren Zustand übergehen.

Hoffe es wird ein bisschen klarer. Ist ein schwieriges Thema

Gruß

[Flinn]

Hallo Williwuff,

was ich, auch nach mehrmaligem Lesen, noch nicht verstanden habe:

1) Wer degradiert? Die Steuerung per Programm selbst??
2) Soll die Anlage durch Degradierung wirklich sicherer werden oder nur verfügbarer?

Gruß
Flinn

PS: Sowas hatten wir in unserem Studiengang Automatisierungstechnik nicht... Oder war ich da krank...

[williwuff]

1) Wer degradiert? Die Steuerung per Programm selbst??

Die Steuerung degradiert selbstständig. Dies muss vorher natürlich in die Steuerung programmiert werden

2) Soll die Anlage durch Degradierung wirklich sicherer werden oder nur verfügbarer?

Sie soll sicherheitstechnisch verfügbarer gemacht werden
Also die Wahrscheinlichkeit für das Auslösen im Auslösefall.
Aber das ganze muss ich natürlich erst noch untersuchen. Bin ja noch am Anfang der Arbeit

PS: Sowas hatten wir in unserem Studiengang Automatisierungstechnik nicht... Oder war ich da krank...

Bei uns wurde sowas auch nicht in Vorlesungen behandelt. Es wurde nur kurz SIL-Berechnungen & Co eingeführt. Hast demnach also nix verpasst.n Und sicher dass du krank warst und nicht Lust auf spannende Vorlesungen hattest?

[LoKo]

Also ich finde das Thema äusserst spannend.

Nun fällt ein Sensor aus, der Ausfall wird durch die Eigendiagnose aber nicht erkannt.

Wenn es durch Eigendiagnose (z.B. Verschmutzungsanzeige einer Lichtschranke, um es zu konkretisieren) nicht erkannt wird kann bei einer dreifachen Redundanz ja bei jedem Schaltvorgang/jeder Wertänderung überprüft werden ob immer der gleiche Sensor nicht mitmacht. Wenn es gehäuft vorkommt, d.h. selbst wenn hin und wieder eine korrekete Zustandsänderung eintritt (ich bin hier wieder bei der verschmutzten Lichtschranke) kann nach einem Ueberschreiten eines Grenzwertes über ein Zeitintervall, eine Wartungsanforderung ausgegeben werden, bei einem nächsten Grenzwert, oder bei hohem Grenzwert und Ausfall des Sensors auf eine 1-aus-2-Auswahl zurückgestuft werden.

Preisfrage: Was passiert wenn bei einem hohen Grenzwert auf Sensor 2 nun plötzlich Sensor 3 ausfällt? Konsequenterweise müsste, da Sensor 2 ja schon zweifelhafte Signale liefert, abgeschaltet werden da nur noch 1 zuverlässiger Kanal zur verfügung steht. Das wiederspricht nun wieder der ganzen Idee, da mit höherer Komplexität auch das Risiko für einen Ausfall steigt.

Gruss, LoKo.