TÜV Cooperation Functional Safety (Home)

Vorwort zur vorläufigen Version 3.0
Diese überarbeitete Version soll folgenden Aspekte mit berücksichtigen:

• Wartungseingriffe mit Tools (PC/Laptop/Workstation/Prozeßleitsysteme)
• Wartung über Verbindungen über öffentliche Netze (Internet, Telekommunikationsnetze, Funknetze, Remote Servicing)
• Allgmeine Anforderungen an sicherheitsgerichtete Kommunikationsprotokolle
• Security Aspekte zusätzlich zur sicherheitsgerichteten Kommunikation
• Verfügbarkeitsaspekte
• Änderungen von Systemdaten (Set-Points, Schwellwerte, Rezepturen, Parameter, etc.)
• Austausch von Sensoren und Stellgliedern und damit verbundene Anpassungen des Applikationsprogrammes

Übersicht
In diesem Papier werden Vorgehensweisen für Wartungseingriffe im Bereich sicherheitsrelevanter Steuerungen, Geber und Stellglieder vorgeschlagen. Daneben werden auch Vorschläge gemacht, die Sicherheitsprobleme und die Unannehmlichkeiten der festverdrahteten Lösungen zu bewältigen.
 

Wartungseingriffe
Es gibt zwei Grundmethoden zur Überprüfung der an die SPS angeschlossenen sicherheitsrelevanten Peripherie:

• Spezielle Schalter sind mit Eingängen der SPS verbunden. Diese Eingänge werden genutzt um Stellglieder und Geber im Wartungsbetrieb abzuschalten. Die Wartungsvorraussetzungen sind ein Teil des Anwenderprogramms der SPS.
• Während des Wartungsbetriebs werden Geber und Stellglieder von der SPS spannungsfrei getrennt und manuell mit besonderen Maßnahmen überprüft.

• Wartungseingriffe durch Kommunikation mit der SPS.

Diese Möglichkeit ist mit Sorgfalt zu handhaben und wird im folgenden vorgestellt.

Es sollte auf jeden Fall vermieden werden, die gleichen Werkzeuge zu verwenden, die auch bei der Programmerstellung verwendet werden. Programmerstellung und Inbetriebnahmewerkzeuge sollen streng von Wartungswerkzeugen getrennt sein.

Verfahren für Wartungseingriffe

Die Verwendung nicht zugelassener Tools bedingt nach jeder Änderung einen vollständigen Nachweis der geforderten Eigenschaften in einem Umfang wie er auch bei der Erstabnahme zu fordern ist. Die Prüfungen müssen sich dann auch auf nicht geänderte Programmteile erstrecken, da nicht gewährleistet werden kann, dass diese nicht unzulässig verändert wurden.
Aus Aufwandgründen ist der Einsatz nicht zugelassener Tools daher oftmals nicht möglich.

Mit Hilfe von zugelassenen Tools kann eine Programmänderung unter Einhaltung  des geforderten Sicherheitsniveaus angemessen erfolgen.

Nach Programmänderungen können Verifikationen auf die geänderten Programmteile eingeschränkt werden, dies sollte jedoch nur auf Basis einer Analyse der erforderlichen Regressionsprüfungen erfolgen.

Die Verfahren, die bei Override oder Online-Change anzuwenden sind, sind im jeweiligen Sicherheitshandbuch beschrieben.

Die zugelassenen Tools beinhalten in der Regel folgende Massnahmen:

• Maßnahmen zur Beherrschung zufälliger Fehler bei der Programmerstellung oder Änderung
• Maßnahmen zur Beherrschung zufälliger Fehler bei der Datenübertragung zur SPS
• Tools zur Versionsverfolgung und Versionsfeststellung
• Tools zur Verifikation von Änderungen
• Tools zur Verifikation der Programme

Leitlinien für  die Ausführung der Wartungseingriffe

Die Leitlinien beziehen sich im wesentlichen auf die beiden Phasen Projektierung und Betrieb einer Anlage.

Projektierung

1. Schon während der Projektierung muß die Wartungsstrategie und Wartungsprozedur festgelegt werden.
2. Während  der Erstellung des Applikationsprogrammes für  die SPS, sollte festgelegt werden, ob ein Signal  später überschrieben werden darf.
3. Wartungseingriffe werden für die komplette SPS oder ein Teilsystem (Prozeßteil) durch das Prozeßleitsystem (PLS) oder andere geeignete Authorisierungsprozeduren freigegeben (Schlüsselschalter, Passwortauthorisierung).
4. Der Bediener muß die Eingriffsvorraussetzungen aus organisatorischen Gründen bestätigen.
5. Direkte Eingriffe auf Ein- und Ausgänge (z.B. an den Klemmen) sind nicht erlaubt. Eingriffe sind in Verbindung mit der Anwendung zu überprüfen und durchzuführen. Mehrere Eingriffe in einer SPS sind erlaubt, solange nur ein Eingriff in einer zusammengehörigen sicherheitsrelevanten Gruppe ausgeführt wird.

Betrieb

1. Der Alarm soll nicht überschrieben werden. Es muss immer erkennbar sein, dass sich Signale im Wartungszustand befinden.
2. Die SPS alarmiert den Bediener (z.B. über PLS) durch Anzeige der Eingriffe. Der Bediener wird gewarnt bis alle Eingriffe zurückgesetzt worden sind.
3. Während der Zeit der Eingriffe müssen angemessene organisatorische Maßnahmen  getroffen werden, um sicherzustellen, dass die Eingriffe zurückgenommen werden.
4. Während der Zeit der Eingriffe müssen angemessene organisatorische Maßnahmen  getroffen werden, sicherzustellen, dass die Eingriffe den Prozess nicht in unzulässige Zustände bringen.
5. Ein Programm des Prozeßleitsystems (PLS) überwacht kontinuierlich die Übereinstimmung der Eingriffe durch das PLS mit den von der SPS mitgeteilten Eingriffen.
6. Die Wartungseingriffe müssen dokumentiert werden. Die Dokumentation muß beinhalten:
• Zeitstempel über Anfang und Ende des Wartungseingriffes.
• Identifikation der Person, die den Wartungseingriff aktiviert
• Falls Informationen nicht ausgedruckt werden können, müssen sie im Arbeitsauftrag enthalten sein.
• Die Bezeichnung des beeinflußten Signale muss eindeutig dokumentiert werden.

Diese Version 3.0  soll die Version 2.2 vom  8.9.94 ersetzen.
Zuletzt wurde diese Version editiert am 29.06.2007.