A System kann als ein Satz voneinander abhängiger Komponenten definiert werden, die so kombiniert sind, dass sie unter bestimmten Bedingungen eine bestimmte Funktion erfüllen. Eine Maschine ist ein greifbares und besonders deutliches Beispiel für ein System in diesem Sinne, aber es gibt andere Systeme, die Männer und Frauen in einem Team oder in einer Werkstatt oder Fabrik einbeziehen, die weitaus komplexer und nicht so einfach zu definieren sind. Sicherheit suggeriert das Fehlen einer Gefahr oder eines Unfall- oder Schadensrisikos. Um Mehrdeutigkeiten zu vermeiden, wird das allgemeine Konzept von an ungewolltes Auftreten wird angestellt. Absolute Sicherheit im Sinne der Unmöglichkeit eines mehr oder weniger unglücklichen Zwischenfalls ist nicht erreichbar; realistischerweise muss man eher eine sehr geringe als eine Null-Wahrscheinlichkeit unerwünschter Ereignisse anstreben.

Ein bestimmtes System kann nur im Hinblick auf die Leistung, die tatsächlich von ihm erwartet wird, als sicher oder unsicher angesehen werden. Vor diesem Hintergrund kann das Sicherheitsniveau eines Systems wie folgt definiert werden: „Für jede gegebene Menge unerwünschter Ereignisse wird das Sicherheitsniveau (oder die Unsicherheit) eines Systems durch die Wahrscheinlichkeit bestimmt, dass diese Ereignisse über einen bestimmten Zeitraum auftreten Zeitspanne". Beispiele für unerwünschte Ereignisse, die im vorliegenden Zusammenhang von Interesse wären, sind: mehrere Todesfälle, Tod einer oder mehrerer Personen, schwere Verletzungen, leichte Verletzungen, Umweltschäden, schädliche Einwirkungen auf Lebewesen, Zerstörung von Anlagen oder Gebäuden und größere oder begrenzte Material- oder Ausrüstungsschäden.

Zweck der Sicherheitssystemanalyse

Ziel einer Systemsicherheitsanalyse ist es, die Faktoren zu ermitteln, die die Wahrscheinlichkeit der unerwünschten Ereignisse beeinflussen, die Art und Weise zu untersuchen, in der diese Ereignisse stattfinden, und letztendlich präventive Maßnahmen zu entwickeln, um ihre Wahrscheinlichkeit zu verringern.

Die analytische Phase des Problems kann in zwei Hauptaspekte unterteilt werden:

1. Identifizierung und Beschreibung der Typen von Funktionsstörungen oder Fehlanpassungen
2. Identifizierung der Sequenzen von Funktionsstörungen, die miteinander (oder mit „normaleren“ Ereignissen) kombiniert werden, um letztendlich zu dem unerwünschten Ereignis selbst zu führen, und die Bewertung ihrer Wahrscheinlichkeit.

Nachdem die verschiedenen Störungen und ihre Folgen untersucht wurden, können die Systemsicherheitsanalysten ihre Aufmerksamkeit auf vorbeugende Maßnahmen richten. Die Forschung in diesem Bereich wird direkt auf früheren Erkenntnissen aufbauen. Diese Untersuchung präventiver Maßnahmen folgt den beiden Hauptaspekten der Systemsicherheitsanalyse.

Methoden der Analyse

Eine Systemsicherheitsanalyse kann vor oder nach dem Ereignis (a priori oder a posteriori) durchgeführt werden; in beiden Fällen kann das verwendete Verfahren entweder direkt oder umgekehrt sein. Vor dem unerwünschten Ereignis findet eine a priori Analyse statt. Der Analytiker nimmt eine bestimmte Anzahl solcher Ereignisse und macht sich daran, die verschiedenen Stadien zu entdecken, die zu ihnen führen können. Im Gegensatz dazu wird eine a posteriori-Analyse durchgeführt, nachdem das unerwünschte Ereignis stattgefunden hat. Sein Zweck besteht darin, eine Orientierungshilfe für die Zukunft zu geben und insbesondere Schlussfolgerungen zu ziehen, die für spätere a priori-Analysen nützlich sein können.

Obwohl es den Anschein haben mag, dass eine A-priori-Analyse sehr viel wertvoller wäre als eine A-posteriori-Analyse, da sie dem Vorfall vorausgeht, ergänzen sich beide tatsächlich. Welche Methode verwendet wird, hängt von der Komplexität des betreffenden Systems und dem, was bereits über das Thema bekannt ist, ab. Bei greifbaren Systemen wie Maschinen oder Industrieanlagen können Vorerfahrungen in der Regel dazu dienen, eine recht detaillierte a priori Analyse zu erstellen. Aber selbst dann ist die Analyse nicht unbedingt unfehlbar und wird sicherlich von einer nachfolgenden a posteriori-Analyse profitieren, die im Wesentlichen auf einer Untersuchung der Vorfälle basiert, die sich im Laufe des Betriebs ereignen. Bei komplexeren Systemen, an denen Personen beteiligt sind, wie beispielsweise Schichten, Werkstätten oder Fabriken, ist eine nachträgliche Analyse noch wichtiger. In solchen Fällen reichen Erfahrungen aus der Vergangenheit nicht immer aus, um eine detaillierte und verlässliche a priori-Analyse zu ermöglichen.

Eine A-posteriori-Analyse kann sich zu einer A-priori-Analyse entwickeln, wenn der Analytiker über den einzelnen Prozess hinausgeht, der zu dem fraglichen Vorfall geführt hat, und beginnt, die verschiedenen Vorkommnisse zu untersuchen, die vernünftigerweise zu einem solchen Vorfall oder ähnlichen Vorfällen führen könnten.

Eine andere Art und Weise, wie eine A-posteriori-Analyse zu einer A-priori-Analyse werden kann, besteht darin, den Schwerpunkt nicht auf das Ereignis (dessen Verhinderung der Hauptzweck der aktuellen Analyse ist), sondern auf weniger schwerwiegende Vorfälle zu legen. Diese Vorfälle, wie technische Störungen, Sachschäden und mögliche oder kleinere Unfälle, die für sich genommen von relativ geringer Bedeutung sind, können als Warnsignale für schwerwiegendere Ereignisse identifiziert werden. In solchen Fällen wird die Analyse, obwohl sie nach dem Eintreten kleinerer Vorfälle durchgeführt wird, eine a priori-Analyse in Bezug auf schwerwiegendere Vorfälle sein, die noch nicht stattgefunden haben.

Es gibt zwei mögliche Methoden, um den Mechanismus oder die Logik hinter der Abfolge von zwei oder mehr Ereignissen zu untersuchen:

1. Das Direkt, oder induktivsetzt die Methode bei den Ursachen an, um deren Auswirkungen vorherzusagen.
2. Das rückgängig machen, oder deduktiv, Methode betrachtet die Wirkungen und arbeitet rückwärts zu den Ursachen.

Abbildung 1 ist ein Diagramm einer Steuerschaltung, die zwei Tasten erfordert (B₁ und B₂) gleichzeitig gedrückt werden, um die Relaisspule (R) zu aktivieren und die Maschine zu starten. Dieses Beispiel kann verwendet werden, um dies in praktischer Hinsicht zu veranschaulichen Direkt und rückgängig machen Methoden, die in der Systemsicherheitsanalyse verwendet werden.

Abbildung 1. Steuerschaltung mit zwei Tasten

Direkte Methode

Im direkte Methodebeginnt der Analytiker damit, (1) Fehler, Funktionsstörungen und Fehlanpassungen aufzulisten, (2) ihre Auswirkungen zu untersuchen und (3) festzustellen, ob diese Auswirkungen eine Bedrohung für die Sicherheit darstellen oder nicht. Im Fall von Bild 1 können folgende Fehler auftreten:

• ein Drahtbruch zwischen 2 und 2´

• unbeabsichtigter Kontakt bei C₁ (oder C₂) infolge mechanischer Blockierung

• versehentliches Schließen von B₁ (oder b₂)

• Kurzschluss zwischen 1 und 1´.

Der Analytiker kann dann die Folgen dieser Fehler ableiten und die Ergebnisse tabellarisch darstellen (Tabelle 1).

Tabelle 1. Mögliche Funktionsstörungen einer Zwei-Knopf-Steuerschaltung und ihre Folgen

* Auftreten mit direktem Einfluss auf die Zuverlässigkeit des Systems
** Ereignis, das für eine schwerwiegende Verringerung des Sicherheitsniveaus des Systems verantwortlich ist
*** Zu vermeidendes gefährliches Ereignis

Siehe Text und Bild 1.

In Tabelle 1 können Folgen, die gefährlich sind oder das Sicherheitsniveau des Systems ernsthaft verringern können, durch herkömmliche Zeichen wie *** gekennzeichnet werden.

Hinweis: In Tabelle 1 führt ein Drahtbruch zwischen 2 und 2´ (dargestellt in Abbildung 1) zu einem Ereignis, das nicht als gefährlich angesehen wird. Sie hat keinen direkten Einfluss auf die Sicherheit des Systems; Die Wahrscheinlichkeit, dass ein solcher Vorfall auftritt, hat jedoch einen direkten Einfluss auf die Zuverlässigkeit des Systems.

Die direkte Methode eignet sich besonders für die Simulation. Abbildung 2 zeigt einen analogen Simulator, der zur Untersuchung der Sicherheit von Pressensteuerkreisen entwickelt wurde. Die Nachbildung des Regelkreises ermöglicht den Nachweis, dass der Kreis im fehlerfreien Zustand tatsächlich in der Lage ist, die geforderte Funktion zu gewährleisten, ohne die Sicherheitskriterien zu verletzen. Darüber hinaus kann der Simulator dem Analytiker ermöglichen, Fehler in die verschiedenen Komponenten der Schaltung einzuführen, ihre Folgen zu beobachten und somit die Schaltungen, die richtig entworfen sind (mit wenigen oder keinen gefährlichen Fehlern), von denen zu unterscheiden, die schlecht entworfen sind. Diese Art der Sicherheitsanalyse kann auch mit einem Computer durchgeführt werden.

Abbildung 2. Simulator zur Untersuchung von Druckregelkreisen

Umgekehrte Methode

Im umgekehrte Methode, arbeitet der Analytiker von dem unerwünschten Ereignis, Zwischenfall oder Unfall rückwärts zu den verschiedenen vorangegangenen Ereignissen, um festzustellen, welche möglicherweise zu den zu vermeidenden Ereignissen führen können. In Abbildung 1 wäre das letzte zu vermeidende Ereignis das unbeabsichtigte Anlaufen der Maschine.

• Das Starten der Maschine kann durch eine unkontrollierte Aktivierung der Relaisspule (R) verursacht werden.

• Die Aktivierung der Spule kann wiederum durch einen Kurzschluss zwischen 1 und 1´ oder durch ein unbeabsichtigtes und gleichzeitiges Schließen der Schalter C erfolgen₁ und C₂.

• Unbeabsichtigtes Schließen von C₁ kann die Folge einer mechanischen Blockierung von C sein₁ oder des versehentlichen Drückens von B₁. Ähnliche Überlegungen gelten für C₂.

Die Ergebnisse dieser Analyse können in einem baumähnlichen Diagramm dargestellt werden (deshalb wird die umgekehrte Methode als „Fehlerbaumanalyse“ bezeichnet), wie in Abbildung 3 dargestellt.

Abbildung 3. Mögliche Ereigniskette

Das Diagramm folgt logischen Operationen, von denen die wichtigsten die „ODER“- und „UND“-Verknüpfungen sind. Die „ODER“-Operation bedeutet, dass [X₁] tritt auf, wenn entweder [A] oder [B] (oder beide) stattfinden. Die „UND“-Operation bedeutet, dass vor [X₂] auftreten kann, müssen sowohl [C] als auch [D] stattgefunden haben (siehe Abbildung 4).

Abbildung 4. Darstellung zweier logischer Operationen

Die umgekehrte Methode wird sehr häufig in der A-priori-Analyse von konkreten Systemen verwendet, insbesondere in der Chemie-, Luftfahrt-, Raumfahrt- und Nuklearindustrie. Es hat sich auch als äußerst nützliche Methode zur Untersuchung von Arbeitsunfällen erwiesen.

Obwohl sie sehr unterschiedlich sind, ergänzen sich die direkten und umgekehrten Methoden. Die direkte Methode basiert auf einer Reihe von Fehlern oder Dysfunktionen, und der Wert einer solchen Analyse hängt daher weitgehend von der Relevanz der verschiedenen Dysfunktionen ab, die zu Beginn berücksichtigt werden. So gesehen scheint die umgekehrte Methode systematischer zu sein. Wenn der Analytiker weiß, welche Arten von Unfällen oder Vorfällen passieren können, kann er diese Methode theoretisch anwenden, um auf alle Funktionsstörungen oder Kombinationen von Funktionsstörungen zurückzuarbeiten, die diese verursachen können. Da jedoch nicht unbedingt alle gefährlichen Verhaltensweisen eines Systems im Voraus bekannt sind, können sie durch die direkte Methode, beispielsweise durch Simulation, entdeckt werden. Sind diese entdeckt, können die Gefährdungen mit der umgekehrten Methode genauer analysiert werden.

Probleme der Systemsicherheitsanalyse

Die oben beschriebenen analytischen Verfahren sind nicht nur mechanische Verfahren, die nur automatisiert angewendet werden müssen, um zu sinnvollen Schlussfolgerungen zur Verbesserung der Systemsicherheit zu gelangen. Im Gegenteil, Analysten stoßen im Laufe ihrer Arbeit auf eine Reihe von Problemen, und der Nutzen ihrer Analysen hängt weitgehend davon ab, wie sie diese lösen. Einige der typischen Probleme, die auftreten können, werden im Folgenden beschrieben.

Verständnis des zu untersuchenden Systems und seiner Betriebsbedingungen

Die grundlegenden Probleme jeder Systemsicherheitsanalyse sind die Definition des zu untersuchenden Systems, seine Grenzen und die Bedingungen, unter denen es während seiner gesamten Existenz arbeiten soll.

Wenn der Analyst ein zu begrenztes Subsystem berücksichtigt, kann das Ergebnis eine Reihe willkürlicher Präventivmaßnahmen sein (eine Situation, in der alles darauf ausgerichtet ist, bestimmte besondere Arten von Ereignissen zu verhindern, während ebenso schwerwiegende Gefahren ignoriert oder unterschätzt werden ). Wenn andererseits das betrachtete System in Bezug auf ein bestimmtes Problem zu umfassend oder zu allgemein ist, kann dies zu einer übermäßigen Unschärfe des Konzepts und der Verantwortlichkeiten führen, und die Analyse führt möglicherweise nicht zur Annahme geeigneter Präventivmaßnahmen.

Ein typisches Beispiel, das die Problematik der Definition des zu untersuchenden Systems verdeutlicht, ist die Sicherheit industrieller Maschinen oder Anlagen. In einer solchen Situation könnte der Analytiker versucht sein, nur die eigentliche Ausrüstung zu betrachten und die Tatsache zu übersehen, dass sie von einer oder mehreren Personen bedient oder kontrolliert werden muss. Vereinfachung dieser Art ist manchmal gültig. Analysiert werden muss jedoch nicht nur das Subsystem Maschine, sondern das gesamte System Mensch plus Maschine in den verschiedenen Lebensphasen der Anlage (darunter beispielsweise Transport und Handhabung, Montage, Prüfung und Einstellung, Normalbetrieb). , Wartung, Demontage und gegebenenfalls Zerstörung). Auf jeder Stufe ist die Maschine Teil eines spezifischen Systems, dessen Zweck, Funktionsweise und Fehlfunktion sich vollständig von denen des Systems auf anderen Stufen unterscheiden. Es muss daher so konstruiert und hergestellt werden, dass die Erfüllung der geforderten Funktion unter guten Sicherheitsbedingungen in jeder der Phasen möglich ist.

Generell gibt es bei Sicherheitsstudien in Unternehmen mehrere Systemebenen: die Maschine, den Arbeitsplatz, die Schicht, die Abteilung, die Fabrik und das Unternehmen als Ganzes. Je nachdem, welche Systemebene betrachtet wird, sind die möglichen Arten von Funktionsstörungen – und die entsprechenden präventiven Maßnahmen – sehr unterschiedlich. Eine gute Präventionspolitik muss die auf verschiedenen Ebenen auftretenden Funktionsstörungen berücksichtigen.

Die Betriebsbedingungen des Systems können hinsichtlich der Art und Weise, wie das System funktionieren soll, und der Umgebungsbedingungen, denen es ausgesetzt sein kann, definiert werden. Diese Definition muss realistisch genug sein, um die tatsächlichen Bedingungen zu berücksichtigen, unter denen das System voraussichtlich betrieben wird. Ein System, das nur in einem sehr eingeschränkten Betriebsbereich sehr sicher ist, ist möglicherweise nicht so sicher, wenn der Benutzer den vorgeschriebenen theoretischen Betriebsbereich nicht einhalten kann. Ein sicheres System muss daher robust genug sein, um angemessenen Schwankungen der Bedingungen, unter denen es funktioniert, standzuhalten, und es muss bestimmte einfache, aber vorhersehbare Fehler seitens der Bediener tolerieren.

Systemmodellierung

Oft ist es notwendig, ein Modell zu entwickeln, um die Sicherheit eines Systems zu analysieren. Dies kann bestimmte Probleme aufwerfen, die es wert sind, untersucht zu werden.

Für ein prägnantes und relativ einfaches System wie eine herkömmliche Maschine ist das Modell fast direkt aus den Beschreibungen der materiellen Komponenten und ihrer Funktionen (Motoren, Getriebe usw.) und der Art und Weise, wie diese Komponenten miteinander in Beziehung stehen, ableitbar. Die Anzahl möglicher Komponentenausfallmodi ist ähnlich begrenzt.

Ein besonderes Problem stellen moderne Maschinen wie Computer und Roboter dar, die komplexe Komponenten wie Mikroprozessoren und elektronische Schaltungen mit sehr hoher Integration enthalten. Dieses Problem wurde weder im Hinblick auf die Modellierung noch auf die Vorhersage der unterschiedlichen möglichen Ausfallarten vollständig gelöst, weil es so viele Elementartransistoren in jedem Chip gibt und weil verschiedene Arten von Software verwendet werden.

Wenn das zu analysierende System eine menschliche Organisation ist, liegt ein interessantes Problem, das bei der Modellierung auftritt, in der Auswahl und Definition bestimmter nicht-materieller oder nicht vollständig materieller Komponenten. Eine bestimmte Arbeitsstation kann beispielsweise durch ein System dargestellt werden, das Arbeiter, Software, Aufgaben, Maschinen, Materialien und Umgebung umfasst. (Die Komponente „Aufgabe“ kann sich als schwierig zu definieren erweisen, da nicht die vorgeschriebene Aufgabe zählt, sondern die Aufgabe, wie sie tatsächlich ausgeführt wird).

Bei der Modellierung menschlicher Organisationen kann sich der Analyst dafür entscheiden, das betrachtete System in ein Informationssubsystem und ein oder mehrere Aktionssubsysteme zu zerlegen. Die Analyse von Fehlern in verschiedenen Phasen des Informationssubsystems (Informationserfassung, -übertragung, -verarbeitung und -nutzung) kann sehr aufschlussreich sein.

Probleme im Zusammenhang mit mehreren Analyseebenen

Probleme im Zusammenhang mit mehreren Analyseebenen entstehen oft, weil der Analyst ausgehend von einem unerwünschten Ereignis möglicherweise auf zeitlich immer weiter zurückliegende Vorfälle zurückarbeitet. Je nach betrachteter Analyseebene variiert die Art der auftretenden Funktionsstörungen; gleiches gilt für die vorbeugenden Maßnahmen. Es ist wichtig, entscheiden zu können, auf welcher Ebene die Analyse gestoppt und auf welcher Ebene vorbeugende Maßnahmen ergriffen werden sollen. Ein Beispiel ist der einfache Fall eines Unfalls, der aus einem mechanischen Versagen resultiert, das durch die wiederholte Verwendung einer Maschine unter anormalen Bedingungen verursacht wurde. Dies kann durch mangelnde Bedienerschulung oder schlechte Arbeitsorganisation verursacht worden sein. Abhängig von der betrachteten Analyseebene kann die erforderliche vorbeugende Maßnahme der Austausch der Maschine durch eine andere Maschine sein, die härteren Einsatzbedingungen standhält, die Verwendung der Maschine nur unter normalen Bedingungen, Änderungen in der Personalschulung oder eine Neuorganisation arbeiten.

Wirksamkeit und Umfang einer Präventionsmaßnahme hängen von der Ebene ab, auf der sie eingeführt wird. Vorbeugende Maßnahmen in unmittelbarer Nähe des unerwünschten Ereignisses haben eher eine direkte und schnelle Wirkung, aber ihre Auswirkungen können begrenzt sein; Andererseits sollte es möglich sein, durch ein vernünftiges Rückwärtsgehen bei der Analyse von Ereignissen Funktionsstörungen zu finden, die zahlreichen Unfällen gemeinsam sind. Alle auf dieser Ebene ergriffenen vorbeugenden Maßnahmen werden einen viel größeren Umfang haben, aber ihre Wirksamkeit kann weniger direkt sein.

Bedenkt man, dass es mehrere Analyseebenen gibt, kann es auch zahlreiche Muster präventiven Handelns geben, von denen jedes seinen eigenen Anteil an der Präventionsarbeit trägt. Dies ist ein äußerst wichtiger Punkt, und man braucht nur auf das Beispiel des gegenwärtig betrachteten Unfalls zurückzukommen, um die Tatsache zu würdigen. Der Vorschlag, die Maschine durch eine andere Maschine zu ersetzen, die härteren Einsatzbedingungen standhalten kann, legt die Verantwortung für die Vorbeugung auf die Maschine. Die Entscheidung, dass die Maschine nur unter normalen Bedingungen verwendet werden soll, bedeutet, dass die Verantwortung dem Benutzer auferlegt wird. Ebenso kann die Last auf die Personalschulung, die Arbeitsorganisation oder gleichzeitig auf die Maschine, den Benutzer, die Schulungsfunktion und die Organisationsfunktion gelegt werden.

Auf jeder Analyseebene scheint ein Unfall häufig die Folge der Kombination mehrerer Funktionsstörungen oder Fehlanpassungen zu sein. Je nachdem, ob gegen die eine oder andere Funktionsstörung oder gegen mehrere gleichzeitig vorgegangen wird, variiert das Muster der vorbeugenden Maßnahmen.

Zurück