Directive Machines 2006/42/CE et retour d expérience: Magelis XBT GH. Christophe Deschamps 20 Octobre emes rencontres en sécurité fonctionnelle

Transcription

1 Directive Machines 2006/42/CE et retour d expérience: Magelis XBT GH Christophe Deschamps 20 Octobre emes rencontres en sécurité fonctionnelle

2 Magelis XBT GH 2

3 Magelis XBT GH Arrêt d urgence Ecran mobile de dialogue Homme-machine avec un dispositif de sécurité: Arrêt d urgence Données d entrée marketing: «L arrêt d urgence doit pouvoir être utilisé comme composant de fonctions de sécurité jusqu à catégorie 4 selon EN 954-1» 3

4 Fonction arrêt d urgence Démarche Analyse des risques Exigences Directives Cycle de vie Définition des exigences Fonctionnelles De sécurité Définition d une architecture «type» Analyse dysfonctionnelle AMDE Essais dysfonctionnels Détermination du Performance Level (PL) Détermination du niveau d intégrité de sécurité (SIL) Notice d instructions Conclusions 4

5 Organisation industrielle Schneider Automation (Sophia Antipolis, France) Marketing Qualité projet Certification Documentation Digital Electronic Corp (Izumi, Japon) R&D Fabrication 5

6 Démarche de validation de la sécurité Exigences Directive Machine 98/37/CE avant 12/2009 Le dispositif d arrêt d urgence n est pas cité dans la liste des composants de sécurité de l Annexe IV Directive Machine 2006/42/CE après 12/2009 Dispositif d arrêt d urgence cité dans l Annexe V, c est un composant de sécurité (10) Stratégie: Prise en compte des exigences normatives Validation de la conception Tests dysfonctionnels et essais d environnement Examen CE de type par un organisme notifié 6

7 Démarche de validation de la sécurité Normes harmonisées Principales normes harmonisées EN ISO 13850:2008 Sécurité des machines - Arrêt d'urgence - Principes de conception EN ISO :2008 Sécurité des machines - Parties des systèmes de commande relatives à la sécurité - Partie 1: Principes généraux de conception EN ISO :2008 Sécurité des machines - Parties des systèmes de commande relatifs à la sécurité - Partie 2: Validation EN 62061:2005 Sécurité des machines - Sécurité fonctionnelle des systèmes de commande électriques, électroniques et électroniques programmables relatifs à la sécurité 7

8 Analyse des risques Analyse des risque liés à l utilisation du produit Définition du cycle de vie et des modes d opération Identification des situations potentiellement dangereuses Start Power on Start E Stop activated or Fault detection Re-formulation du besoin L arrêt d urgence doit pouvoir être utilisé comme composant de fonctions de sécurité jusqu à PLe selon ISO SILCL3 selon IEC E Stop de-activated and no fault detection 8

9 Architecture «type» Définition d une fonction d arrêt d urgence «typique» 9

10 Analyse dysfonctionnelle AMDE réalisée selon les modes de défaillances selon ISO sans exclusion de défaut Aucune défaillance simple n entraîne la perte de la fonction de sécurité Les défaillances dangereuses sont détectées dès ou avant la prochaine sollicitation de la fonction de sécurité Item Item Failure type 1 Failure mode local effect final effect Detection method Remark function N D S D E U XBTGH S1 contact 1 contact will not close open circuit 1 Emergency stop performed by monitoring device X by monitoring device Contact will not open close circuit 1 Masking Estop actuation of channel 1, channel 2 remain active Coherency check of circuit 1&2 performed by monitoring device if function is triggered, monitoring circuit prevent start at next cycle X short circuit between adjacent contact insulated from each other short circuit between circuit 1 and circuit 2 Essais dysfonctionnels: Simulation de défauts Emergency stop performed by monitoring device Different power supply are used for each channel by monitoring device in order to detect short circuit Vérifier la non interférence entre le circuit de l arrêt d urgence et la partie fonctionnelle du terminal 10 X

11 Performance Level (ISO ) Pour la contribution du XBT GH à la fonction arrêt d urgence MTTFd AU XBTGH > 100 ans DC =0 Pour la fonction arrêt d urgence (avec relais de sécurité et contacteurs) Architecture Catégorie 4 (cf. AMDE) MTTFd Canal > 73 ans MTTFd élevé DC > 99% => détection de défaut réalisée par le relais de sécurité DC élevée Mesures contre les CCF (score >70) Niveau de performance PLe Probabilité de défaillance dangereuse 3,

12 Niveau d intégrité de sécurité (IEC62061) Pour la fonction arrêt d urgence (avec relais de sécurité et contacteurs) Architecture sous système type D Détection de défaut réalisée par le relais de sécurité SFF > 99% Hardware Fault Tolerance HFT=1 SFF < 60 % 60 % - < 90 % 90 % - < 99 % > 99 % Hardware fault tolerance Not allowed SIL1 SIL2 SIL1 SIL2 SIL3 SIL2 SIL3 SIL3 SIL3 SIL3 SIL3 Avec un intervalle de test de 1 an, PFH DssD = λ DssD x1h = 3, Les exigences de contraintes architecturales et PFH sont respectées pour un niveau SIL3 12

13 Documentation utilisateur Notice spécifique arrêt d urgence Instructions Données probabiliste Installation Maintenance Spécification Données techniques 13

14 Conclusions Nécessité de prendre en compte l aspect système DC=0 pour le BP arrêt d urgence; le relais de sécurité réalise la détection Des normes machines avec des formules de calculs probabilistes peu adaptées aux fonctions de sécurité à faible sollicitation B10d pour déterminer le MTTFd ou λd ISO ne prend pas en compte l intervalle de test périodique Importance de l AMDE dans la démarche de validation Nécessité d impliquer le certificateur le plus tôt possible dans le projet 14

15 Make the most of your energy * *Tirez le meilleur de votre énergie 15