Toiminnallisen turvallisuuden sovellusprosessimalli

Toiminnallisen turvallisuuden sovellusprosessimalli Paperikoneen linjakäyttö Turvakulttuuri (TurKu) hankkeen loppuraportti Julkaistu Työsuojelurahaston tuella copyright 2010 ABB Oy. All rights reserved. Kaikki oikeudet pidätetään. 3BFA01034130 REV A FI

Tiivistelmä TurKu-hankkeen loppuraportti: Toiminnallisen turvallisuuden sovellusprosessimalli paperikoneen linjakäyttöä varten. Koneenrakentajan tulee täyttää uusimpien standardien määrittelemät toiminnallisen turvallisuuden suorituskyvyn vaatimukset. Vasta toiminnalliseen turvallisuuteen liittyvien sovellusten toteuttaminen, niihin käytettyjen turvaluokiteltujen laitteiden lisäksi, takaa koko koneenohjauksen täyttävän viimeisimpien standardien asettamat elinkaarivaatimukset. TurKu-hankkeessa on VTT:n avustuksella kehitetty uusi sertifiointikelpoinen ohjelmoitavien turvatoimintojen sovellusprosessimalli, jolla saadaan aikaan uuden toimintatavan vaatima muutos. Työsuojelurahaston rahoittamassa TurKu-hankkeessa kehitetyt työkalut ja menetelmät varmistavat, että toimitettavat laitteet ja sovellukset täyttävät kaikki asiaankuuluvat turvallisuusvaatimukset. Esimerkkinä toimitettavasta laitteistosta on käytetty paperikoneen linjakäyttöä, joka on EY:n konedirektiivin 2006/42/EC mukaan koneen osa (puolivalmiste). Sovellusprosessi kattaa toiminnallisen turvallisuuden osalta toimitusketjun osat myynnistä aina luovutukseen asti. Loput sovelluksen elinkaaren aikaisista toimenpiteistä määritellään, mutta itse toimenpiteet jäävät sovelluksen uuden omistajan, asiakkaan, vastuulle. copyright 2010 ABB Oy. All rights reserved. Kaikki oikeudet pidätetään. 3BFA01034130 REV A FI 2

Abstract Final report of the TurKu project: Functional safety application process model for a sectional drive system of paper machine. A machine builder shall fulfill the functional safety performance demands specified in the latest standards. Only the execution of the functional safety applications, in addition to the safety related equipment, ensure if the whole machine control fulfills the life cycle demands of the latest standards. There has been developed a new application process model in the TurKu project with the assistance of the VTT (Technical Research Centre of Finland). With this model a demand of the new working method will be achieved. With the financial support of the The Finnish Work Environment Fund the tools and methods ensure that the equipment and applications to be delivered will fulfill all relevant safety demands. A sectional drive system of paper machine has been used as an example of the equipment to be delivered. It is part of the machine (partly completed machinery) according to European Union s Machinery Directive 2006/42/EC. The application process covers the delivery chain from sales to take over. The rest of the life cycle demands are specified but the actions remain to the responsibility of the new owner of the application, the customer. copyright 2010 ABB Oy. All rights reserved. Kaikki oikeudet pidätetään. 3BFA01034130 REV A FI 3

Sisällysluettelo SISÄLLYSLUETTELO... 4 1 JOHDANTO... 6 1.1 Turvallisuusohjeet... 6 1.2 Huomautukset... 6 1.3 Lyhenteiden selitykset... 7 2 YLEISTÄ SOVELLUKSESTA... 8 2.1 PMC800 linjakäyttöjärjestelmä... 8 2.2 Linjakäyttöjärjestelmän osat... 9 2.3 Yleiskuva linjakäyttöjärjestelmästä... 10 3 TOIMINNALLINEN TURVALLISUUS... 11 3.1 Toiminnallisen turvallisuuden määritelmä... 11 3.2 Toiminnallisen turvallisuuden johtaminen... 11 3.3 Toiminnallisen turvallisuuden johtamisprosessi... 12 3.4 Turvatoiminnot linjakäytön osalta... 14 4 SOVELLUSPROJEKTI... 15 4.1 Sovellusprojektin osat... 15 4.2 Sovellusprojektin toteuttaminen... 18 4.3 Yhteenveto... 22 5 VIITELUETTELO... 23 copyright 2010 ABB Oy. All rights reserved. Kaikki oikeudet pidätetään. 3BFA01034130 REV A FI 4

1 Johdanto Tämä loppuraportti kuvailee Turvallisuuskulttuuri-hankkeessa (TurKu) kehitetyn sovellusprosessimallin, jonka avulla täytetään ohjelmoitaville turvatoiminnoille asetetut sovellusvaatimukset. Esimerkkinä on käytetty paperikoneen linjakäyttöjärjestelmää. 1.1 Turvallisuusohjeet TurKu-prosessimallin käyttö ei tee tarpeettomaksi soveltajalta vaadittavaa pätevyyttä. Riittävät tiedot toiminnallisesta turvallisuudesta ovat välttämätön edellytys turvaluokiteltujen sovellusten toteuttamiseksi. TurKu prosessimallin käyttö tapahtuu täysin soveltajan vastuulla, eikä ABB Oy ota mitään vastuuta TurKu prosessimallin käytöstä. Lisäksi on huomattava, että standardeissa tapahtuvan kehityksen ja mahdollisesti lainsäädännössä tapahtuvien muutosten vuoksi soveltajan on tarvittaessa korjattava myös prosessimallia näiltä osin. 1.2 Huomautukset Koneiden ohjausjärjestelmissä käytetyissä turvaluokitelluissa sovelluksissa käytetään standardia EN 62061, joka pohjautuu standardiin IEC 61508, tai vaihtoehtoisesti standardia EN 13849-1. EN 62061 määrittelee SIL tasot ja EN13849-1 määrittelee PL tasot. Koska on erittäin vaikea saavuttaa PL-tasojen vaatimuksia laajoissa turvaluokitelluissa järjestelmissä, joihin kuuluu useita invertterimoduuleita (linjakäytöissä) tai taajuusmuuttajia, käytetään paperikoneiden PMC800-linjakäyttöjärjestelmissä turvallisuuden eheyden määrittelyssä SILtasoja. copyright 2010 ABB Oy. All rights reserved. Kaikki oikeudet pidätetään. 3BFA01034130 REV A FI 6

1.3 Lyhenteiden selitykset SoM Safety of Machinery, koneturvallisuus FS Functional Safety, toiminnallinen turvallisuus FSM Functional Safety Management, toiminnallisen turvallisuuden johtaminen FSM Add-on Toiminnallisen turvallisuuden johtamisen lisäosuus toiminnassa CoE Center of Excellence PM Drives Paper Machine Drives LBU Local Business Unit MD Machinery directive POUS Prevention of unexpected start-up STO Safe Torque Off (EN 61800-5-2) SLS Safely Limited speed (EN 61800-5-2) SSM Safe Speed Monitoring (output) (EN 61800-5-2) SS1 Safe Stop1 (Ramp stop) (EN 61800-5-2) INU Inverter Unit SIL Safety Integrity Level (IEC 61508 & EN 62061), turvallisuuden eheyden taso SILCL SIL claimed for a sub system (EN 62061) PFHd Probability of dangerous Failure per Hour CCF Common Cause Failure (EN 62061 or EN13849-1) PL Performance Level (EN13849-1) PLr Required Performance Level HW Hardware SW Software PMC800 ABB Sectional Drive System specified to the Pulp & Paper applications SRECS Safety Related Electronic Control System (IEC 61508 & EN 62061) AC Alternating Current, vaihtovirta FAT Factory Acceptance Test SafCa Safety Calculator (ABB specific Microsoft Excel based application tool) copyright 2010 ABB Oy. All rights reserved. Kaikki oikeudet pidätetään. 3BFA01034130 REV A FI 7

2 Yleistä sovelluksesta 2.1 PMC800-linjakäyttöjärjestelmä PMC800-linjakäyttöjärjestelmä pyörittää paperikoneen pumppuja, teloja, sylintereitä ja puhaltimia koordinoidusti yhdessä muun paperinvalmistusprosessin kanssa. Kuva 1. PMC800-linjakäyttöjärjestelmä. copyright 2010 ABB Oy. All rights reserved. Kaikki oikeudet pidätetään. 3BFA01034130 REV A FI 8

2.2 Linjakäyttöjärjestelmän osat PMC800-linjakäyttöjärjestelmä muodostuu multidrive-keskuksista (yksi tai useampia) käsittäen: - syöttöryhmän (AC-tehonsyöttö, joka tasasuunnataan), - tasasähkökiskoston, - invertterit (AC-moottoreiden tehonsyöttö), - ohjausryhmän (ohjelmoitavat sovellusohjaimet), - tietoliikennelinkit ja ohjauskaapeloinnin, - tehonsyöttökaapeloinnin syöttöryhmään ja moottoreille, - moottorit (induktio- tai kestomagneettimoottorit) asennettuna lopulliseen koneeseen, - käyttäjien operointiasemat ja ohjauskojeet lopullisen koneen yhteydessä, - työasemat kunnossapitoa ja huoltoa varten. Kuva 2. PMC800-linjakäyttöjärjestelmän keskus. copyright 2010 ABB Oy. All rights reserved. Kaikki oikeudet pidätetään. 3BFA01034130 REV A FI 9

1 R D Y R U N F L T 0 50 100 150 DCU ABB 2.3 Yleiskuva linjakäyttöjärjestelmästä Operator stations: Process Portal ACU 24VDC ~ = 115/230 VAC ~ ~ ICU AC DSU TSU ISU Filter Unit Supply Unit Common DC Bus Inver ter Inver ter Inver ter Inver ter AC800 I/O I/O 24 VDC ~ = Control Network DriveBus(8 Mbps) Modbus/ Profibus Drive tools: Drives Window Drives Analyzer Control Builder Process Portal (DSN) Operator panels: G2000 G2010 PT100 Permanent Magnet motors Induction motors Kuva 3. Yleiskuva PMC800-linjakäyttöjärjestelmästä. copyright 2010 ABB Oy. All rights reserved. Kaikki oikeudet pidätetään. 3BFA01034130 REV A FI 10

3 Toiminnallinen turvallisuus 3.1 Toiminnallisen turvallisuuden määritelmä Toiminnallinen turvallisuus (Functional Safety) on osa yleistä koneturvallisuutta ja sen toiminta on sidoksissa ohjelmoitavaan elektroniseen tai muuhun turvallisuuteen liittyvään ohjausjärjestelmään ja muihin riskin alentamiseen liittyviin toimenpiteisiin. B Toiminnallinen turvallisuus A Koneturvallisuus Kokonaisratkaisu = A + B Kuva 4. Toiminnallinen turvallisuus osana koneturvallisuutta. 3.2 Toiminnallisen turvallisuuden johtaminen Toiminnallisen turvallisuuden johtamisorganisaatio (FS-organisaatio) on osa laatujohtamisorganisaatiota. Se toimii laatupäällikön alaisuudessa ja raportoi laatupäällikölle toimenpiteistä sekä toiminnalliseen turvallisuuteen liittyvistä asioista neljännesvuosittain (kvartaaleittain) ja vuosittain. copyright 2010 ABB Oy. All rights reserved. Kaikki oikeudet pidätetään. 3BFA01034130 REV A FI 11

3.3 Toiminnallisen turvallisuuden johtamisprosessi 3.3.1 Toiminnallisen turvallisuuden päällikkö Toiminnallisen turvallisuuden toteuttamista valvoo tulosyksikön Toiminnallisen turvallisuuden päällikkö (Safety manager). Käytännössä tämä tapahtuu ylläpitämällä ohjeita ja järjestämällä henkilöstölle koulutusta toiminnallisen turvallisuuden alueelta. Lisäksi järjestetään auditointeja, joilla todennetaan, että toiminnallisen turvallisuuden prosessi toimii myös käytännössä. Myynti- ja projektointityötä tekevässä (insinööritoimisto) organisaatiossa on oma Toiminnallisen turvallisuuden päällikkö ja tuotteita valmistavissa yksiköissä omansa. Myös tuotteen elinkaaren muista vaiheista vastaavilla konetoimittajan ja loppuasiakkaan yksiköillä, asennus (kun tilaajan vastuulla), huolto, kunnossapito, purkaminen, tulee olla omat Toiminnallisen turvallisuuden vastuuhenkilönsä. 3.3.2 Myynti Myyntipäällikkö käyttää tarjousprosessissaan tarjouskirjettä, jossa asiakkaalle kuvaillaan tarjoukseen liittyvä toiminnallisen turvallisuuden osuus. Lisäksi tarjoukseen sisältyvässä teknisessä eritelmässä on turvatoiminnot määritelty ja käyttöpistekohtaisesti kuvattu sovelluksella saavutettavat turvallisuuden eheyden tasot (SIL-tasot). 3.3.3 Projektointi 3.3.3.1 Projektipäällikkö Projektipäällikkö hoitaa yhteydenpidon projektin osapuoliin. Hänen tehtävänsä on huolehtia toimituslaajuuden puitteissa toiminnallisen turvallisuuden elinkaarivaatimusten toteutumisesta luovutukseen saakka, jonka jälkeen uusi omistaja saa vastuulleen toimituksen elinkaarivaatimukset. 3.3.3.2 Pääsuunnittelija Pääsuunnittelija johtaa sovelluksen suunnittelua, käy teknisiä neuvotteluja asiakkaan ja konetoimittajan kanssa, vastaa riskinarvioinnista, sekä todentaa ja kelpoistaa suunnittelun kestäessä toiminnallisen turvallisuuden vaatimusten toteutumisen suunnittelun osalta. copyright 2010 ABB Oy. All rights reserved. Kaikki oikeudet pidätetään. 3BFA01034130 REV A FI 12

3.3.4 Sovellustuki 3.3.4.1 Teknologiapäällikkö Teknologiapäällikkö vastaa sovellusvakioiden tuottamisesta sovellussuunnittelun osalta ja lisäksi hän koordinoi tuotetehtaan vakioratkaisujen soveltamista sovellusvakioihin. 3.3.4.2 Tuotepäällikkö Tuotepäällikkö vastaa oman alansa sovellusvakioiden ja niihin liittyvien ohjeiden tuottamisesta sekä tuotetuesta. 3.3.4.3 Toiminnallisen turvallisuuden työryhmä Toiminnallisen turvallisuuden työryhmä (Safety team) tukee soveltajia, sekä vakioiden kehittämistä antamalla suosituksia ja ratkaisuja toiminnallisen turvallisuuden alueella havaittuihin pulmiin. 3.3.5 Valmistus Valmistavassa yksikössä on oma Toiminnallisen turvallisuuden päällikkö (Safety manager). Silloin kun projektin pääsuunnittelijaa ei ole valmistavan yksikön sovellussuunnittelun osalta nimetty, sovellussuunnittelun esimies on vastuussa toiminnallisen turvallisuuden toteutumisesta. Valmistavassa yksikössä on myös tuotteen elinkaarihallintaa varten tuotepäällikkö sekä toiminnallisen turvallisuuden seurantatyöryhmä (Safety follow-up team). 3.3.6 Asennus Asennusta varten linjakäytön mukana toimitetaan kokoonpano-ohjeet. Asennusvalvoja valvoo kaapeloinnin asiamukaista toteuttamista, sekä EMC ja ympäristövaatimusten toteutumista kokoonpano-ohjeiden mukaisesti. Asennusvalvoja raportoi projektipäällikölle. 3.3.7 Käyttöönotto Vastaavan käyttöönottajan tehtävänä on suorittaa toiminnallisen turvallisuuden vaatimat todentamis- ja kelpoistamistestit koko linjakäyttöjärjestelmälle. Käyttöönottaja raportoi projektipäällikölle. Toisinaan myös sovellussuunnittelijat osallistuvat käyttöönottoihin. Tällöin he osallistuvat toiminnallisen turvallisuuden toimintojen käyttöönottoon oman osaamisalansa osalta. copyright 2010 ABB Oy. All rights reserved. Kaikki oikeudet pidätetään. 3BFA01034130 REV A FI 13

3.4 Turvatoiminnot linjakäytön osalta Standardin EN 61800-5-2 määrittelemistä turvatoiminnoista ovat paperikoneen linjakäytön osalta asiaankuuluvia ja mahdollisia toteuttaa: STO SS1 SLS Safe Torque Off, jota käytetään odottamattoman käynnistymisen estämisessä Safe Stop 1, jota käytetään hätäpysäytyksessä Safely Limited Speed, nopeuden rajoittamiseen SSM Safe Speed Monitoring, valvontatieto turvallisesta nopeudesta SDI Safe Direction, turvallinen pyörimissuunta Käyttöpisteisiin valittavat turvatoiminnot perustuvat konetyyppikohtaisen C-tason standardin EN 1034 vaatimuksiin ja linjakäytön riskin arviointiin. Kuva 5. Linjakäytön ohjauspaikka, jossa hätäpysäytyspainike ja kytkimet odottamattoman käynnistymisen estämistä varten. copyright 2010 ABB Oy. All rights reserved. Kaikki oikeudet pidätetään. 3BFA01034130 REV A FI 14

4 Sovellusprojekti 4.1 Sovellusprojektin osat FSM Add On FSM Add On FSM Add On FSM Add On FSM Add On Myynti Projektointi Sovellustuki Lisenssit & standardit Pääsuunnittelu Sovellussuunnittelu FSM Add On Valmistus Testaus Koulutus Asennus Käyttöönotto Luovutus Loppudokumentit FSM Add On FSM Add On FSM Add On FSM Add On FSM Add On Kuva 6. Toiminnallisen turvallisuuden johtamisprosessi myynnistä luovutukseen asti. Myynnin tehdessä kaupan määritellään myös toimitukseen sisältyvät turvatoiminnot ja niiltä vaaditut suorituskykytasot. Vaatimukset perustuvat pääosin Paperi- ja paperin jälkikäsittelykoneiden turvallisuusvaatimukset määrittelevään C-tason standardiin EN 1034. Tilauksen toteuttamisvaiheessa projektin hoitava yksikkö, käytännössä projektipäällikkö yhdessä pääsuunnittelijan kanssa, käy asiakkaan kanssa läpi toimituslaajuuteen kuuluvat osakokonaisuudet koneturvallisuuteen liittyvien riskien arvioimiseksi. Riskianalyysin (riskin suuruuden ja merkityksen arviointi) jälkeen, mahdolliset riskit pyritään poistamaan suunnittelemalla riskiä aiheuttava toiminta tai osakokonaisuus uudelleen. Jos riski jää siitä huolimatta olemaan, pyritään käyttäjien turvallisuus takaamaan suojausteknisillä toimenpiteillä ja niihin kuuluvilla toiminnallisen turvallisuuden vaatimustason tason mukaan luokitelluilla laitteilla. Käyttäjiä jäännösriskeistä varoittamalla estetään ne vaarat, joita ei kokonaan voida poistaa suojausteknisillä toimenpiteillä. copyright 2010 ABB Oy. All rights reserved. Kaikki oikeudet pidätetään. 3BFA01034130 REV A FI 15

Käyttöpisteluettelon perusteella tehdään sovellukselle vakiopohjaan perustuen taulukko, johon sijoitetaan käyttöryhmäkohtaiset tiedot, myös käyttöpisteeltä vaadittava turvallisuuden eheyden taso. Sovellustuki tuottaa ohjeet, vakiolomakkeet ja ohjelmatiedostot riskin arvioinnin ja sovelluksen turvallisen toteuttamisen pohjaksi. Lisäksi se tukee tarvittaessa projektin suorittamista Safetyteam turvallisuustyöryhmän ja toiminnallisen turvallisuuden päällikön (Functional Safety manager) avulla. Sovellussuunnittelussa linjakäyttökeskuksen hardware-suunnittelija kokoaa tehoportaiden mukaisista vakio-osista linjakäyttökeskuksen ja siihen kuuluvat HW-releistyksellä sekä ohjelmoitavilla rele-, prosessinohjaus- tai PLC-järjestelmillä toteutetut turvajärjestelmät (SRECS). Lopuksi hän tekee Safety Calculator laskentatyökalulla laskelman saavutetusta turvallisuuden eheyden tasosta. Laskettavat osat on selvitetty kohdassa 4.2.4.2. Sovellussuunnittelun software suunnittelija rakentaa sovellustuen tuottamista ohjelmistokirjastoista ohjelmistot säätöjärjestelmään ja lisäksi ohjelmoitavaan turvalaitteistoon SRECS. Tehtaalla tapahtuvan valmistuksen jälkeen turvapiirit koestetaan ja koestuksen tulos dokumentoidaan testauspöytäkirjaan (FAT testi, turvapiirit testattu). Asiakaskoulutuksessa tuleville käyttäjille ja kunnossapitohenkilöstölle selvitetään sovelluksen turvatoiminnot ja turvapiirien rakenne. Lisäksi asiakkaalle kerrotaan toiminnallisen turvallisuuden elinkaarivaatimuksista, esim. käyttäjän on pidettävä lokikirjaa koneeseen tehtävistä korjauksista ja muutoksista, koska jäljitettävyys kuuluu FS-prosessin vaatimuksiin. (IEC 61508 periaatteiden mukainen hyvä käytäntö.) Asennusvaiheessa asennusvalvoja huolehtii, että kaapelointi tapahtuu kaapelointiohjeiden mukaisesti, EMC-plan (sähkömagneettisen yhteensopivuuden takaava suunnitelma) toteutuu ja seuraa, että toimitusspeksin ja asennuspaikan ympäristövaatimukset ovat yhdenmukaiset. Asennusvalvoja raportoi projektipäällikölle. Vastaavan käyttöönottajan tehtävänä on suorittaa todentamis- ja kelpoistamistestit koko järjestelmälle. Testiraportit allekirjoitetaan ja niihin pyydetään myös koneen rakentajan (loppuasiakas tai konetoimittaja) allekirjoitus, jolla voidaan myöhemmin todentaa, että testit on myös käytännössä tehty. Projektipäällikön ja asiakkaan sopiman luovutusajankohdan jälkeen omistusoikeus linjakäyttöön (Partly completed machinery) siirtyy asiakkaalle. Samalla myös ylläpitovastuu toiminnallisen turvallisuuden mukaisista elinkaaritoiminnoista siirtyy asiakkaalle. Projektipäällikkö toimittaa luovutuksen jälkeen loppudokumentit asiakkaalle. Niihin kuuluu asiakkaan tarvitsemat osat toimituksen rakennetiedostosta (Construction file) mukaan lukien Käyttäjän käsikirja (Instruction handbook). copyright 2010 ABB Oy. All rights reserved. Kaikki oikeudet pidätetään. 3BFA01034130 REV A FI 16

FS elinikä FS kunnossapitoväli FSM Add On FSM Add On FSM Add On Käyttöönotto Tuotanto Kunnossapito Tuotanto Uusinta FSM Add On Koulutus Tuotanto Kunnossapito Tuotanto Purkaminen FSM Add On Kuva 7. Toiminnallisen turvallisuuden johtamisprosessi luovutuksesta koneen purkamiseen asti. Asiakkaan vastuulla oleva tuotteen elinkaaren osa alkaa tuotantokäytöllä. Tuotannon lomassa suoritetaan tarvittavat kunnossapitotoimenpiteet, toiminnallisen turvallisuuden laitteille määriteltyjä kunnossapito- ja testausvälejä (Proof test) on noudatettava. Yleisesti käytetty elinikäarvo (Life time) toiminnallisen turvallisuuden laitteille on 20 vuotta. Rikkoutuneet SRECS-osat on huollettava tai vaihdettava uusiin valmistajan ohjeiden ja FS-prosessin mukaisesti. Mahdollisten koneuusintojen yhteydessä myös koneen turvallisuuden taso on nostettava teknisesti sillä hetkellä käytettävissä olevalle tasolle. Tästä on VTT:n tekemä selostus, joka on mainittu viiteluettelossa. Elinkaaren päässä koneen turvajärjestelmä (myös SRECS) ja mahdollisesti myös koko kone puretaan. Kone on purettava oikeassa järjestyksessä, eikä purkamista saa aloittaa turvajärjestelmistä, siten että muu osa koneesta jää vielä käyntiin. Purkamisen yhteydessä turvajärjestelmän osat yleensä hävitetään, niitä ei enää uusiokäytetä. copyright 2010 ABB Oy. All rights reserved. Kaikki oikeudet pidätetään. 3BFA01034130 REV A FI 17

4.2 Sovellusprojektin toteuttaminen 4.2.1 Suoritustason arviointi Koska on erittäin vaikeaa saavuttaa toiminnallisen turvallisuuden PL-suoritustasoja (EN 13849-1) laajoissa järjestelmissä, jotka sisältävät useita invertterimoduuleita, käytetään PMC800-linjakäyttöjärjestelmän suoritustason arviointiin SIL-tasoja (EN 62061). 4.2.2 Toiminnallisen turvallisuuden suunnitelma Toiminnallisen turvallisuuden osuus kuuluu käytännössä aina linjakäyttösovellukseen. Toiminnallisen turvallisuuden osuuden toteuttaminen paperikonekäyttösovellukselle aloitetaan tekemällä Toiminnallisen turvallisuuden suunnitelma (Functional safety plan) jo heti projektin alussa. Lisäksi tehdään turvallisuusvaatimusten erittely (Safety requirement specification), jossa ovat mukana sekä toiminnalliset vaatimukset (Functional requirements), että turvallisuuden eheyden vaatimukset (Safety integrity requirements). 4.2.3 Riskin arviointi Koko koneen koneturvallisuudesta vastaa koneen rakentaja. Koneen rakentaja voi olla koneen mekaanisten osien toimittaja, tai joku muu toimittajista, jos näin on sopimusteknisesti sovittu. Jos mitään ei ole sovittu, loppuasiakas on koneen rakentaja. Projektipäällikkö ja pääsuunnittelija käyvät koneen rakentajan ja tarvittaessa lisäksi asiakkaan kanssa läpi toimituslaajuuteen kuuluvat osakokonaisuudet koneturvallisuuteen liittyvien riskien arvioimiseksi. Riskianalyysin, jossa tehdään kunkin riskin suuruuden ja merkityksen arviointi, jälkeen mahdolliset riskit pyritään poistamaan suunnittelemalla riskiä aiheuttava toiminta tai osakokonaisuus uudelleen. Myös kohtuudella ennakoitavissa oleva väärinkäyttö on otettava huomioon. Jos riski jää siitä huolimatta olemaan, pyritään käyttäjien turvallisuus takaamaan suojausteknisillä toimenpiteillä, esimerkiksi suojuksilla ja niihin kytketyillä toiminnallisen turvallisuuden vaatimustason mukaan luokitelluilla laitteilla; esimerkiksi linjakäytön alennettu nopeus, kun suojukset ovat auki. Suojaustekniset toimenpiteet dokumentoidaan myös toiminnallisen turvallisuuden osalta Turvallisuusvaatimusten eritelmään (Safety requirement specification). Käyttäjiä varoitetaan mahdollisista jäännösriskeistä esimerkiksi lattiaan tehdyillä merkinnöillä ja varoituskylteillä. copyright 2010 ABB Oy. All rights reserved. Kaikki oikeudet pidätetään. 3BFA01034130 REV A FI 18

4.2.4 Saavutetun turvallisuustason todentaminen 4.2.4.1 Todentaminen suunnittelun kuluessa Vaadittavan turvallisuustason saavuttamisen todentaminen tehdään suunnittelun kuluessa testaamalla ohjelmoitavat turvakomponentit siinä laajuudessa, kuin se on mahdollista. Testauksen tulos dokumentoidaan testauspöytäkirjaan. Lisäksi linjakäyttösovelluksen toiminnallisen turvallisuuden osuuteen liittyvät hardwarepiirikaaviot tarkistetaan. Tarkistuksen suorittaa eri henkilö, kuin se, joka kaaviot on tehnyt. Hardware-suunnittelija laskee saavutetun toiminnallisen turvallisuuden eheyden tason (SIL). Laskentatyökalu tulostaa raportin, johon saavutettu taso on dokumentoitu. Tarkistusten tulokset sisältävät pöytäkirjat tallennetaan linjakäyttösovelluksen Tekniseen tiedostoon (Technical file for machinery), joka arkistoidaan. 4.2.4.2 Turvallisuuden eheyden laskeminen Turvallisuuteen liittyvän ohjaustoiminnon vaarallisesta satunnaisesta laitevikaantumisesta johtuvan vaarallisen vikaantumisen todennäköisyyden on oltava riittävän pieni, siten kuin on määritelty Turvallisuusvaatimusten erittelyssä (Safety requirement specification). Todennäköisyys, jonka arvosta riippuu ohjaustoiminnon turvallisuuden eheyden taso (SIL), on alajärjestelmien (SILCL) todennäköisyyksien summa (PFHd= PFHd1+ PFHdn+Pte). Pte on tiedonsiirron vaarallisen vikaantumisen todennäköisyys. Lisäksi on huomioitava yhteisvikaantumisen vaikutukset (CCF) ja toiminnallisen turvallisuuden prosessin vaatimukset. Ohjaustoiminnon turvapiirin osat laskelmassa ovat sensor (anturi) logic (logiikka) actuator (toimilaite). copyright 2010 ABB Oy. All rights reserved. Kaikki oikeudet pidätetään. 3BFA01034130 REV A FI 19

Sensor Safety logic Actuator E-Stop Subsystem 1 Subsystem 2 SIL CL PFHd SIL CL PFHd Subsystem 3 SIL CL PFHd SIL CL sys (SIL CL subsystem ) lowest SIL = PFH d = PFH d1 +PFH d2 + PFH d3 Kuva 8. Turvallisuuteen liittyvän ohjaustoiminnon osat. 4.2.4.3 Todentaminen käyttöönottopaikalla Käyttöönoton aikana on koko linjakäyttö koottuna, jolloin suojaustekniset ja muut turvallisuustoiminnot voidaan todentaa kokonaisuudessaan. Ensin todennetaan toiminnallisen turvallisuuden osuuteen kuuluvien hardware-piirien kytkennät, tulokset dokumentoidaan testauspöytäkirjaan ja sen jälkeen tapahtuu kelpoistaminen toimintakokeilla. 4.2.4.4 Kelpoistaminen käyttöönottopaikalla Linjakäyttö on tarkoitettu liitettäväksi paperikoneen osaksi asennuksen yhteydessä. Toiminnallisen turvallisuuden kelpoistaminen on tällöin yksinkertaisempaa, kuin lopullisen koneen osalta. Esimerkiksi hätäpysäytystoiminnon kelpoistaminen voi käsittää koneen käynnistämisen ja kiihdyttämisen ajonopeuteen, jonka jälkeen painetaan hätäpysäytyspainiketta, jolloin paperikoneen on pysähdyttävä asianmukaisesti. Koko koneen osalta edellä mainittuun hätäpysäytystoiminnon kelpoistamiseen liittyy myös hätäpysäytyspainikkeiden määrän ja sijoittelun arviointi, jossa pitää ottaa huomioon myös inhimilliset tekijät (Human-factors engineering). Testausten tulokset sisältävät pöytäkirjat allekirjoitetaan käyttöönottopaikalla ja myöhemmin tallennetaan linjakäyttösovelluksen Tekniseen tiedostoon (Technical file for machinery), joka arkistoidaan. copyright 2010 ABB Oy. All rights reserved. Kaikki oikeudet pidätetään. 3BFA01034130 REV A FI 20

4.2.5 Elinkaarivaatimukset Toiminnallisen turvallisuuden elinkaarivaatimukset (Life cycle demands) linjakäyttösovelluksen osalta, käsittävät vakioratkaisuista muodostettavan konseptisuunnitelman, jonka soveltaminen määritellään kaupanteon jälkeen projektin alkuvaiheessa. Toiminnallisen turvallisuuden suunnitelmaan (Functional safety plan) dokumentoidaan tarvittavat toimenpiteet ja lisäksi tehdään Turvallisuusvaatimusten erittely (Safety requirement specification). Riskin arvioinnin jälkeen tehtävien suojausteknisten toimenpiteiden määrittelyn jälkeen linjakäytön tehonsyöttö ja suojausjärjestelmät sisältävä keskus voidaan valmistaa. Valmistuksen jälkeen linjakäyttö asennetaan paikalleen asiakkaan luona ja käyttöönoton aikana suoritetaan todentamis- ja kelpoistamistestit. Samanaikaisesti on asiakkaan käyttö- ja kunnossapitohenkilöstö koulutettu toiminnallisen turvallisuuden osalta. Käyttöönoton jälkeen suoritetaan käyttäjän käsikirjassa annetuin määrävälein tarvittavat turvapiirien testaukset (Proof tests). Toiminnallisen turvallisuuden laitteiden eliniän (Life time) tullessa täyteen, ne täytyy vaihtaa uusiin. Silloin ja myös kun koneeseen ja turvapiireihin tehdään muita muutoksia, on ne tehtävä suunnitelmallisesti (modification plan), noudattaen elinkaaren sopivasta vaiheesta alkavaa järjestystä (IEC 61508-1 kuva 2). Yhteismuotoinen vikaantuminen (Common Cause Failure) on otettava huomioon muutoksia tehtäessä (sisältää esim. kaapelointi, EMC, ympäristöolosuhteet). Myös versionhallinnasta on huolehdittava ja kaikki muutokset on dokumentoitava, arkistoitava ja tallennettava koneen lokikirjaan, josta ne ovat myöhemmin jäljitettävissä. Elinkaaren lopuksi kone puretaan ja samalla toiminnallisen turvallisuuden laitteet on purettava oikeassa järjestyksessä. copyright 2010 ABB Oy. All rights reserved. Kaikki oikeudet pidätetään. 3BFA01034130 REV A FI 21

4.3 Yhteenveto Toiminnallisen turvallisuuden tulee olla suunnitelmallista toimintaa, jonka malli sovellusprojektia varten on esitetty oheisessa kaaviossa. Projektin aluksi pitää tunnistaa toimitukseen kuuluvat SRECS-turvatoiminnot; pohjana voi käyttää C-tason standardia, alustava linjakäytön (koneen) Riskien arviointia ja kokemuksia muista vastaavista koneista. V Toiminnan pitää tapahtua FS-prosessin mukaisesti (jäljitettävyys); FS-suunnitelma, Riskin arviointi, FS-erittely, todentaminen, kelpoistaminen ja lopuksi dokumentointi. Projektiin osallistuvan henkilöstön FS-pätevyydestä on huolehdittava. Aina tarvittaessa on tukeuduttava FS-organisaation apuun. Projektin FS-vastuuhenkilöt on nimettävä; projektipäällikkö, pääsuunnittelija, asiakaskouluttaja ja vastaava käyttöönottaja. Aina kun mahdollista, pitää käyttää SIL-luokiteltuja komponentteja SRECS järjestelmissä ja niistä muodostettuja tyyppitestattuja vakioratkaisuja. V V V V V Muutosten hallinnasta on huolehdittava laatujärjestelmän ja FS-prosessin mukaisesti (jäljitettävyys), luovutuksen jälkeen muutosten hallinta on asiakkaan vastuulla. SRECS-turvatoiminnot on todennettava SIL-laskelmien, FS-suunnitelman mukaisten testien ja FS-prosessin mukaisten Testauspöytäkirjojen avulla (Suunnittelija, käyttöönottaja). V V Linjakäyttöjärjestelmä on kelpoistettava käyttöönotossa Testauspöytäkirjojen avulla (Vastaava käyttöönottaja). Linjakäytön tekniset asiakirjat on arkistoitava (Construction file) laatujärjestelmän ja FSprosessin mukaisesti (Life time 20 vuotta). V copyright 2010 ABB Oy. All rights reserved. Kaikki oikeudet pidätetään. 3BFA01034130 REV A FI 22

5 Viiteluettelo ABB Drives Technical guide no. 10, code: 3AUA0000048753, ABB 2008 Safety and functional safety, a general guide, code: 1SFC001008B0201, ABB 2010 VTT tiedote 2359: Turvallisuustietoinen koneiden ja tuotantolinjojen modernisointiprosessi, VTT 2006 copyright 2010 ABB Oy. All rights reserved. Kaikki oikeudet pidätetään. 3BFA01034130 REV A FI 23

ABB Oy Prosessiteollisuus P.O. Box 94 FI-00381 HELSINKI FINLAND Telephone +358 10 22 11 Fax:+358 10 22 24181 Internet: http://www.abb.com copyright 2010 ABB Oy. All rights reserved. Kaikki oikeudet pidätetään. 3BFA01034130 REV A FI EFFECTIVE: 17.12.2010