IEC 61511 – en oversikt over endringer fra IEC 61508 som kan få betydning Mary Ann Lundteigen NTNU Medlem av IEC 61511 komiteen PDS forum – 26. oktober 2010

Innhold IEC 61508 og relaterte standarder IEC 61511 – tidsskjema Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 Innhold IEC 61508 og relaterte standarder IEC 61511 – tidsskjema Et utvalg av endringer i: Del 1 Del 2 Del 4 Del 6 Unntak: Jeg dekker ikke endringer i del 3 og del 5.

IEC 61508 og relaterte standarder Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 IEC 61508 og relaterte standarder IEC 61508 IEC 62425 IEC 62269 (Jernbane) IEC 61511 (Prosessindustri inkl. O&G) IEC 62061 (Maskineri) IEC 61513 (Kjernekraft) ISO 26262 (Bil)

Endringer i IEC 61511 – hva kan vi vente Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 Nasjonale kommentarer Hvilke endringer er relevante for IEC 61511? IEC 61508 (ed 2) IEC 61511 ( under revision)

Tidsplan 2000 2010 2020 Jan Ståle Austbø (Statoil), Cato Bratt (ABB), Mary Ann Lundteigen (NTNU) Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 Tidsplan IEC 61511 (Draft) (2011 eller 2012?) IEC 61511 (ed 1) (2003) 2000 2010 2020 Ed 2(2004) Ed 1(2001) IEC 61508 (ed1) (1998-2000) IEC 61508 (ed2) (2010) OLF 070 Mats Gunnmarker (Exida)

Endringer IEC 61508 – i korthet Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 Tema Endring Del Safety lifecycle En ny fase introdusert 1 Feil-klassifisering To nye feiltyper introdusert “No part” og “no effect” 2 Krav-spesifikasjon Tydeligere skille mellom SIS SRS og SIS design SRS 1,2 SIL 4 Døren til SIL 4 åpnes på gløtt… Hardware design Egne krav til ASIC design Ny “vei” til architectural constraints Systematic capability – et nytt begrep for ”systematic safety integrity” Må lage safety manual (1), 2 Ref AC Ref SC Ref SM Ledelse/ management Krav til grad av uavhengighet er “normativt” Pålitelighets-analyse Ønske om bruk av mer “avanserte metoder”. Mer fokus på usikkerhetsvurdering. CMooN introdusert . 6

IEC 61511 – status endringer Generelt: Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 Generelt: Møysommelig implementering av nasjonale kommentarer HFT/AC: Rute 2H velges som utgangspunkt Samme klassifisering (A og B) som i IEC 61508 Programvare: Hele seksjon 12 er under omskriving Safety manual for ”prior use”: Klargjøring Diskusjoner om hva dette skal være – leverandørens del versus brukerens ansvar for ”deklarasjon”

Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4

Et utvalg av endringer i del 1 Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 Et utvalg av endringer i del 1

Endring i SIS safety lifecycle Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 Endring i SIS safety lifecycle Forenklet begrepsbruk (Tidligere fase 10 og 11 er blitt ny fase 11) Fase 9 splittet i to deler

Kravspesifikasjoner – i tre ”nivåer” (Ed 2) Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 Documentation of allocation Overordnede krav til alle sikkerhetsfunksjoner . Begrunnelse for allokering. E/E/PE system SRS: Prosessingeniørens krav” til SIS funksjoner (responstid, SIL krav, safe state, mode of operation, etc) SIS design requirements specification: SIS designerens design krav for SIS

Kravspesifikasjoner – i tre ”nivåer” (Ed 2) Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 Documentation of allocation: Krav i kapittel 7.6 I del 1. E/E/PE system SRS: Krav til innhold står i kapittel 7.10 i del 1. SIS design requirements specification: Krav til innhold står i kapittel 7.2 i del 2.

”SIL 4 diskusjonen” “SIL 4 krav er et resultat av dårlig design” Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 “SIL 4 krav er et resultat av dårlig design” Tradisjonelt vært prosess Industriens standpunkt Jernbane stiller SIL 4 krav til sine systemer – og kravene bygger på analyser av eksisterende signalanlegg “SIL 4 systemer er et naturlig resultat av stadig mer pålitelig teknologi”

”SIL 4 diskusjonen” Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 Er det å tro at vi kan bygge og ikke minst drifte SIL 4 funksjoner det samme som å tro på julenissen?

SIL 4 – kravene har i alle fall endret seg… Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 IEC 61508 (ed 1): Krav til (betydelig) operasjonell erfaring med utstyret som skal inngå i SIL 4 funksjoner Analyser og tester må vise at SIL 4 kravet kan oppfylles IEC 61508 (ed 2): Er SIL 4 virkelig nødvendig? – mulig å allokere SIL 4 kravet til flere systemer? Hvis SIL 4 krav allikevel stilles til enkeltsystemer: Tilleggsanalyser for å sikre uavhengighet fra andre systemer (CCF analyse)

Kompetanse – blitt mer eksplisitte krav Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 IEC 61508 (ed 1): Annex B som dekket krav til kompetanse var ”informativt” IEC 61508 (ed 2): Tilsvarende krav er tatt i i seksjon 6 ”Management of functional safety”

Et utvalg av endringer i del 2 Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 Et utvalg av endringer i del 2

Feil og feilklassifisering Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 Sikre (S*) No part No effect No effect failure: failure of an element that plays a part in implementing the safety function but has no direct effect on the safety function. No part failure: failure of a component that plays no part in implementing the safety function. Ed 2 Farlige detektert (DD) Farlige udetektert (DU) Feil Sikre (safe/S) Farlige (Dangerous/D) Ed 1

Feil og feilklassifisering Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 Ed 1 Sikre (S*) Ed 2 Sikre (safe/S) No part No effect Feil Farlige detektert (DD) Farlige (Dangerous/D) Farlige udetektert (DU) Kommentar: No part + No effect feil tilsvarer det vi kaller ”non-critical” feil i PDS metoden

Endringen i feil og feilklassifisering betyr… Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 … at No part og No effect ikke skal tas med i safe failure fraction (SFF) – se anneks C.1. Betydning?

Feil og feilklassifisering Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 Kommet inn en presisering om hva som kan regnes som en DD feil i beregning av SFF. τDT + Repair time ≤ MTTR (i beregning)

Endringen i feil og feilklassifisering betyr… Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 Endringen i feil og feilklassifisering betyr… … at partial stroke testing ikke kan brukes til å forbedre SFF…

Hardware fault tolerance (HFT) Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 Mange har satt spørsmålstegn ved behovet for arkitekturbegrensninger (”architectural constraints” /minimum HFT) I all fall i forhold til bruken av SFF I ny revisjon har vi fått et kompromiss: Arkitekturbegrensninger påvirkes av SFF (Rute 1H) Arkitekturbegrensninger påvirkes ikke av SFF (Rute 2H)

Slik det var i ed 1… A eller B? SFF? SIL krav Krav til HFT Sensors Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 Sensors Logic solver Actuating devices A eller B? SFF? SIL krav Krav til HFT *eller ”architectural constraints” (AC)

Nå i ed 2… Alternativ 1 - Route 1H Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 Alternativ 1 - Route 1H Vi gjør som før… (men husk at utstyr nå kan få en ny beregnet SFF) Alternativ 2 - Route 2H SIL krav Min HFT HFT 4 2 0 (LD) / 1 (HD) 3 1 Betinger: Usikkerhet presenteres (”90% konfidens eller vise distribusjon”) Mengde og relevans av pålitelighetsdata vurderes SFF i alle fall er > 60%

Systematic safety integrity Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 Krav til systematic safety integrity (i ed 1) hindret i prinsippet bruk av, for eksempel, SIL 2 komponenter i SIL 3 funksjoner. I ed 2 er systematic capability (SC) blitt introdusert SC bestemmes på komponentnivå (4 nivåer som for SIL) Under gitte betingelser kan komponentene – når de sammenstilles – oppnå en høyere SC

Slik var det i ed 1 … Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 Subsystem vurdert til Hardware SIL 2 ut fra HFT/AC SIL1 Subsystem vurdert til systematic safety integrity level 1 Systematic safety integrity level (komponentnivå) : Alternativ 1: Følge krav for “control and avoidance of systematic failures” – noen ”SIL-avhengig”, mens andre er generelle Alternativ 2: Dokumentere “proven in use”, inkludert det å sannsynliggjøre at systematiske feil vil ha neglisjerbart bidrag (i forhold til SIL krav).

= Slik er det blitt i ed 2 Systematic capability (komponentnivå): Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 Subsystem vurdert til Hardware SIL 2 ut fra HFT/AC SIL1 = Subsystem NÅ vurdert til systematic capability level 2 SIL1 Begrensning: SC (subsystem) kan ikke bli høyere enn SC N+1 Systematic capability (komponentnivå): Alternativ 1S : Tilsvarende alternativ 1 i ed 1 Alternativ 2S : Tilsvarende alternativ 2 i ed 1 (med noen endringer) Alternativ 3S : Ny: Hvis gjenbruk av software – må oppfylle egne 3S krav i IEC 61508-3

Kommentar – HFT/SC inkonsistens? Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 1oo3 SIL2 SIL1 N = HFT (= 2 i figuren) Her kan systemet betraktes som SIL 4 (ut fra ”AC”) SIL1

Kommentar – HFT/SC inkonsistens? Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 1oo3 N er her SC level Her kan systemet betraktes som SIL 2 (basert på SC) SC2 SC1 SC1

Andre endringer – Safety manual må utarbeides Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 osv… Ligner litt på det som kalles ”SAR” I OLF 070

Andre endringer – Safety manual må utarbeides Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 Innhold beskrevet i egen anneks. Merk at denne er normativ!

– Krav til ”Proven in use” Andre endringer – Krav til ”Proven in use” Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 IEC 61508 (ed 1): En liste av krav som skal oppfylles Feilraten skal ha en konfidens på minst 70% (70% confidens: Minst 70% sannsynlighet for at feilraten er mindre enn den det som er estimert) IEC 61508 (ed2): Omtrent samme kravlisten Men krav til konfidens 70% er tatt ut her (i stedet nevnt i 7.4.9.5, del 2)

Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 Andre endringer – hvordan kommunikasjon skal inngå i pålitelighetsvurderinger

Andre endringer: Integrated circuits (IC) Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 To typer: Masseproduserte Applikasjonsspesifikke (ASIC) ”On-chip redundancy” Krav for hvordan dette oppnås innenfor samme kort opp til SIL 3 (annex E) Merk: Egen metode for å bestemme fellesfeilandel (βIC) Application specific IC (ASIC) Egne krav for å hindre systematiske feil under utvikling (annex F)

Et utvalg av endringer i del 4 Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 Et utvalg av endringer i del 4

Endringer definisjoner og fortolkninger Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 Dangerous /safe failures: Tydeliggjort at klassifisering av farlige og sikre feil skjer på komponentnivå. Mode of operation: Skilles mellom high demand, continuous demand og low demand. Dette med ”2xtest frekvens” er fjernet PFD og PFH: Definisjon tatt inn. PFH er en frekvens!

Et utvalg av endringer i del 6 Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 Et utvalg av endringer i del 6

Beregning av PFD (IEC 61508-6) Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 IEC 61508 (ed 1) Nytt i IEC 61508 (ed 2) Tilnærmingsformler ”λτ/2 ”– uten hensyn til votering ved fellesfeil Tilnærmingsformler ”λτ/2 ”– hensyn til votering ved fellesfeil. CMooN introdusert. Feiltre –PFD som funksjon av tid. % over og under PFDavg ”Dynamiske” analyser - Multifase Markov og Petri Nets

CMooN i IEC 61508 Litt andre verdier enn i PDS Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 CMooN i IEC 61508 Litt andre verdier enn i PDS Ikke tatt inn i formelverk

Feiltreanalyse i IEC 61508 Agenda Generelt Endringer Del 1 Del 2 Del 4 Konklusjon Del 4 Feiltreanalyse i IEC 61508

Dynamiske analyser i IEC 61508 Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 Dynamiske analyser i IEC 61508

λτ/2 Hva betyr dette for oss? Og PDS metoden? eller Agenda Generelt Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 λτ/2 eller

Hva betyr dette for oss? Og PDS metoden? Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 Blir nok viktigere fremover å si noe om usikkerhet i analysen!

Konklusjoner – IEC 61508 og IEC 61511 Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 IEC 61508 har fått en mer rendyrket profil som en ”utviklingsstandard” for nytt utstyr Skillet mellom IEC 61511 vil dermed fremstå klarere Endringer i IEC 61508 vil gi behov for noen oppdateringer i OLF 070 – og kanskje mer utvikling av PDS metoden? Men når skal vi gjøre det? Vente på IEC 61511?

Konklusjoner – fremdrift IEC 61511 Agenda Endringer Del 1 Del 2 Del 6 Generelt Konklusjon Del 4 Konklusjoner – fremdrift IEC 61511 Neste møte i desember 2010 Dato for CDV bestemmes da

ROSS Geminisenter www.ntnu.edu/ross Min mailadresse: mary.a.lundteigen@ntnu.no Min hjemmeside: www.ntnu.edu/ross/rams/maryann ROSS Geminisenter www.ntnu.edu/ross

Forkortelser β Beta factor. Andel av feilrate som er fellesfeil CMooN Korreksjonsfaktor for fellesfeil ved andre voteringer enn 1oo2 λ Symbol brukt for feilrate τ Symbol brukt for funksjonstestintervall DD Dangerous detected DU Dangerous undetected S Safe HFT Hardware fault tolerance OLF Oljeindustriens landsforbund PDS Pålitelighet av databaserte styringssystemer PFD Probability of failure on demand SAR Safety analysis report SFF Safe failure fraction SIL Safety integrity level SRS Safety requirement specification SC Systematic capability