Dieser Artikel behandelt den Entwurf und die Implementierung sicherheitsbezogener Steuerungssysteme, die sich mit allen Arten von elektrischen, elektronischen und programmierbaren elektronischen Systemen (einschließlich computergestützter Systeme) befassen. Der Gesamtansatz entspricht dem vorgeschlagenen International Electrotechnical Commission (IEC) Standard 1508 (Funktionale Sicherheit: Sicherheitsbezogen 

Systeme und Techniken) (IEC 1993).

Hintergrund

In den 1980er Jahren wurden zunehmend computerbasierte Systeme – allgemein als programmierbare elektronische Systeme (PES) bezeichnet – zur Ausführung von Sicherheitsfunktionen eingesetzt. Treibende Kräfte hinter diesem Trend waren (1) verbesserte Funktionalität und wirtschaftliche Vorteile (insbesondere unter Berücksichtigung des Gesamtlebenszyklus des Geräts oder Systems) und (2) der besondere Nutzen bestimmter Designs, der nur durch den Einsatz von Computertechnologie realisiert werden konnte . Bei der frühen Einführung computergestützter Systeme wurden eine Reihe von Erkenntnissen gewonnen:

• Die Einführung der Computersteuerung war schlecht durchdacht und geplant.
• Es wurden unzureichende Sicherheitsanforderungen festgelegt.
• Hinsichtlich der Validierung von Software wurden unzureichende Verfahren entwickelt.
• Es wurden Beweise für schlechte Verarbeitung in Bezug auf den Standard der Anlageninstallation offengelegt.
• Es wurde eine unzureichende Dokumentation erstellt und nicht ausreichend validiert in Bezug auf das, was sich tatsächlich in der Anlage befand (im Unterschied zu dem, was sich vermutlich in der Anlage befand).
• Weniger als vollständig wirksame Betriebs- und Wartungsverfahren wurden eingeführt.
• Es bestanden offensichtlich berechtigte Bedenken hinsichtlich der Kompetenz der Personen, die von ihnen verlangten Aufgaben zu erfüllen.

Um diese Probleme zu lösen, haben mehrere Gremien Richtlinien veröffentlicht oder mit der Entwicklung begonnen, um die sichere Nutzung der PES-Technologie zu ermöglichen. In Großbritannien hat die Health and Safety Executive (HSE) Richtlinien für programmierbare elektronische Systeme für sicherheitsrelevante Anwendungen entwickelt, und in Deutschland wurde ein Normentwurf (DIN 1990) veröffentlicht. Innerhalb der Europäischen Gemeinschaft wurde im Zusammenhang mit den Anforderungen der Maschinenrichtlinie ein wichtiger Teil der Arbeit an harmonisierten europäischen Normen für sicherheitsbezogene Steuerungssysteme (einschließlich solcher mit PES) begonnen. In den Vereinigten Staaten hat die Instrument Society of America (ISA) einen Standard für PES zur Verwendung in der Prozessindustrie erstellt, und das Center for Chemical Process Safety (CCPS), eine Direktion des American Institute of Chemical Engineers, hat Richtlinien erstellt für den chemischen Prozesssektor.

Derzeit findet innerhalb der IEC eine große Normungsinitiative statt, um eine generisch basierte internationale Norm für elektrische, elektronische und programmierbare elektronische (E/E/PES) sicherheitsbezogene Systeme zu entwickeln, die von den vielen Anwendungssektoren verwendet werden könnte, einschließlich der Prozess-, Medizin-, Transport- und Maschinensektor. Die vorgeschlagene internationale IEC-Norm umfasst sieben Teile unter dem allgemeinen Titel IEC 1508. Funktionale Sicherheit elektrischer/elektronischer/programmierbarer elektronischer sicherheitsbezogener Systeme. Die verschiedenen Teile sind wie folgt:

• Teil 1.Allgemeine Anforderungen
• Teil 2. Anforderungen an elektrische, elektronische und programmierbare elektronische Systeme
• Teil 3. Softwareanforderungen
• Teil 4.Definitionen
• Teil 5.Beispiele für Verfahren zur Bestimmung von Sicherheitsintegritätsstufen
• Teil 6.Leitlinien zur Anwendung der Teile 2 und 3
• Teil 7. Überblick über Techniken und Maßnahmen.

Nach ihrer Fertigstellung wird diese generisch basierte Internationale Norm eine grundlegende IEC-Sicherheitsveröffentlichung darstellen, die die funktionale Sicherheit für elektrische, elektronische und programmierbare elektronische sicherheitsbezogene Systeme abdeckt und Auswirkungen auf alle IEC-Normen haben wird, die alle Anwendungsbereiche in Bezug auf die zukünftige Gestaltung und Verwendung abdecken elektrische/elektronische/programmierbare elektronische sicherheitsbezogene Systeme. Ein Hauptziel des vorgeschlagenen Standards ist es, die Entwicklung von Standards für die verschiedenen Sektoren zu erleichtern (siehe Abbildung 1).

Abbildung 1. Generische Standards und Anwendungssektorstandards

PES Vorteile und Probleme

Die Einführung von PES für Sicherheitszwecke hatte viele potenzielle Vorteile, aber es wurde erkannt, dass diese nur erreicht werden würden, wenn geeignete Design- und Bewertungsmethoden verwendet würden, weil: (1) viele der Merkmale von PES die Sicherheitsintegrität nicht ermöglichen (dass ist die Sicherheitsleistung der Systeme, die die erforderlichen Sicherheitsfunktionen ausführen), die mit dem gleichen Grad an Zuverlässigkeit vorhergesagt werden können, der traditionell für weniger komplexe hardwarebasierte („festverdrahtete“) Systeme verfügbar war; (2) Es wurde anerkannt, dass Tests für komplexe Systeme zwar notwendig, aber allein nicht ausreichend sind. Dies bedeutete, dass selbst wenn das PES relativ einfache Sicherheitsfunktionen implementierte, der Komplexitätsgrad der programmierbaren Elektronik deutlich höher war als der der festverdrahteten Systeme, die sie ersetzten; und (3) dieser Anstieg der Komplexität bedeutete, dass den Entwurfs- und Bewertungsmethoden viel mehr Beachtung geschenkt werden musste als zuvor, und dass das Maß an persönlicher Kompetenz, das erforderlich war, um ein angemessenes Leistungsniveau der sicherheitsbezogenen Systeme zu erreichen, anschließend höher war.

Zu den Vorteilen computergestützter PES gehören:

• die Fähigkeit, Online-Diagnoseprüfungen an kritischen Komponenten mit einer deutlich höheren Häufigkeit durchzuführen, als dies sonst der Fall wäre
• das Potenzial, ausgeklügelte Sicherheitsverriegelungen bereitzustellen
• die Fähigkeit, Diagnosefunktionen und Zustandsüberwachung bereitzustellen, die verwendet werden können, um die Leistung von Anlagen und Maschinen in Echtzeit zu analysieren und darüber zu berichten
• die Fähigkeit, tatsächliche Bedingungen der Anlage mit „idealen“ Modellbedingungen zu vergleichen
• das Potenzial, den Betreibern bessere Informationen bereitzustellen und somit die Entscheidungsfindung zu verbessern, die sich auf die Sicherheit auswirkt
• die Verwendung fortschrittlicher Kontrollstrategien, um es menschlichen Bedienern zu ermöglichen, entfernt von gefährlichen oder feindlichen Umgebungen lokalisiert zu werden
• die Möglichkeit, das Steuersystem von einem entfernten Standort aus zu diagnostizieren.

Der Einsatz computergestützter Systeme in sicherheitsbezogenen Anwendungen wirft eine Reihe von Problemen auf, die angemessen angegangen werden müssen, wie z. B. die folgenden:

• Die Ausfallarten sind komplex und nicht immer vorhersehbar.
• Das Testen des Computers ist notwendig, aber allein nicht ausreichend, um festzustellen, dass die Sicherheitsfunktionen mit der für die Anwendung erforderlichen Sicherheit ausgeführt werden.
• Mikroprozessoren können geringfügige Abweichungen zwischen verschiedenen Chargen aufweisen, und daher können unterschiedliche Chargen unterschiedliches Verhalten zeigen.
• Ungeschützte computerbasierte Systeme sind besonders anfällig für elektrische Störungen (Störstrahlung; elektrische „Spitzen“ in den Stromnetzen, elektrostatische Entladungen etc.).
• Es ist schwierig und oft unmöglich, die Ausfallwahrscheinlichkeit komplexer sicherheitsbezogener Systeme mit Software zu quantifizieren. Da keine Quantifizierungsmethode allgemein akzeptiert wurde, basierte die Softwaresicherung auf Verfahren und Standards, die die Methoden beschreiben, die beim Entwurf, der Implementierung und der Wartung der Software zu verwenden sind.

Sicherheitssysteme in Betracht gezogen

Die betrachteten Arten von sicherheitsbezogenen Systemen sind elektrische, elektronische und programmierbare elektronische Systeme (E/E/PES). Das System umfasst alle Elemente, insbesondere Signale, die von Sensoren oder anderen Eingabegeräten an der zu steuernden Ausrüstung ausgehen und über Datenautobahnen oder andere Kommunikationswege zu den Aktuatoren oder anderen Ausgabegeräten übertragen werden (siehe Abbildung 2).

Abbildung 2. Elektrisches, elektronisches und programmierbares elektronisches System (E/E/PES)

Die elektrische, elektronische und programmierbare elektronische Geräte wurde verwendet, um eine Vielzahl von Geräten zu umfassen, und deckt die folgenden drei Hauptklassen ab:

1. elektrische Geräte wie elektromechanische Relais
2. elektronische Geräte wie elektronische Festkörperinstrumente und Logiksysteme
3. programmierbare elektronische Geräte, zu denen eine Vielzahl von computergestützten Systemen gehören, wie z. B. die folgenden:

• Mikroprozessoren
• Mikrocontroller
• speicherprogrammierbare Steuerungen (PCs)
• Anwendungsspezifische integrierte Schaltungen (ASICs)
• Speicherprogrammierbare Steuerungen (SPS)
• andere computerbasierte Geräte (z. B. „intelligente“ Sensoren, Sender und Aktuatoren).

Per Definition dient ein sicherheitsbezogenes System zwei Zwecken:

1. Es implementiert die erforderlichen Sicherheitsfunktionen, die erforderlich sind, um einen sicheren Zustand für das gesteuerte Gerät zu erreichen oder einen sicheren Zustand für das gesteuerte Gerät aufrechtzuerhalten. Das sicherheitsbezogene System muss die Sicherheitsfunktionen ausführen, die in der Sicherheitsfunktions-Anforderungsspezifikation für das System spezifiziert sind. Beispielsweise kann die Anforderungsspezifikation für Sicherheitsfunktionen angeben, dass, wenn die Temperatur einen bestimmten Wert erreicht x, Ventil y muss sich öffnen, damit Wasser in das Gefäß eindringen kann.
2. Es erreicht allein oder zusammen mit anderen sicherheitsbezogenen Systemen die erforderliche Sicherheitsintegrität für die Umsetzung der erforderlichen Sicherheitsfunktionen. Die Sicherheitsfunktionen müssen von den sicherheitsbezogenen Systemen mit dem der Anwendung angemessenen Vertrauensgrad ausgeführt werden, um das erforderliche Sicherheitsniveau für die zu steuernde Ausrüstung zu erreichen.

Dieses Konzept ist in Abbildung 3 dargestellt.

Abbildung 3. Hauptmerkmale sicherheitsbezogener Systeme

Systemfehler

Um einen sicheren Betrieb von sicherheitsbezogenen E/E/PES-Systemen zu gewährleisten, ist es erforderlich, die verschiedenen möglichen Ursachen für sicherheitsbezogene Systemausfälle zu erkennen und dafür zu sorgen, dass jeweils angemessene Vorkehrungen getroffen werden. Fehler werden in zwei Kategorien eingeteilt, wie in Abbildung 4 dargestellt.

Abbildung 4. Fehlerkategorien

1. Zufällige Hardwarefehler sind solche Fehler, die aus einer Vielzahl normaler Verschlechterungsmechanismen in der Hardware resultieren. Es gibt viele solcher Mechanismen, die in unterschiedlichen Komponenten mit unterschiedlichen Raten auftreten, und da aufgrund von Fertigungstoleranzen Komponenten nach unterschiedlichen Betriebszeiten aufgrund dieser Mechanismen ausfallen, treten Ausfälle eines Gesamtgeräts aus vielen Komponenten zu unvorhersehbaren (zufälligen) Zeitpunkten auf. Messungen der Systemzuverlässigkeit, wie die mittlere Zeit zwischen Ausfällen (MTBF), sind wertvoll, beziehen sich jedoch normalerweise nur auf zufällige Hardwareausfälle und beinhalten keine systematischen Ausfälle.
2. Systematische Ausfälle entstehen durch Fehler in der Konstruktion, Konstruktion oder Verwendung eines Systems, die dazu führen, dass es unter einer bestimmten Kombination von Eingaben oder unter bestimmten Umgebungsbedingungen versagt. Wenn ein Systemausfall auftritt, wenn eine bestimmte Reihe von Umständen eintritt, dann wird es immer einen Systemausfall geben, wenn diese Umstände in der Zukunft eintreten. Jeder Ausfall eines sicherheitsbezogenen Systems, der nicht auf einen zufälligen Hardwarefehler zurückzuführen ist, ist per Definition ein systematischer Ausfall. Systematische Ausfälle im Zusammenhang mit sicherheitsbezogenen E/E/PES-Systemen umfassen:

• systematische Ausfälle aufgrund von Fehlern oder Auslassungen in der Anforderungsspezifikation für Sicherheitsfunktionen
• systematische Ausfälle aufgrund von Fehlern in Konstruktion, Herstellung, Installation oder Betrieb der Hardware. Dazu gehören Ausfälle aufgrund von Umweltursachen und menschliche Fehler (z. B. Bedienerfehler).
• systematische Ausfälle aufgrund von Fehlern in der Software
• systematische Ausfälle durch Wartungs- und Änderungsfehler.

Schutz sicherheitsbezogener Systeme

Die Begriffe, die verwendet werden, um die Vorsichtsmaßnahmen anzugeben, die ein sicherheitsbezogenes System zum Schutz vor zufälligen Hardwareausfällen und systematischen Ausfällen erfordert, sind Hardware-Sicherheitsintegritätsmaßnahmen und systematische Sicherheitsintegritätsmaßnahmen beziehungsweise. Vorkehrungen, die ein sicherheitsbezogenes System sowohl gegen zufällige Hardwareausfälle als auch gegen systematische Ausfälle treffen kann, werden genannt Sicherheitsintegrität. Diese Konzepte sind in Abbildung 5 dargestellt.

Abbildung 5. Begriffe zur Sicherheitsleistung

Innerhalb des vorgeschlagenen internationalen Standards IEC 1508 gibt es vier Stufen der Sicherheitsintegrität, die als Sicherheitsintegritätsstufen 1, 2, 3 und 4 bezeichnet werden. Sicherheitsintegritätsstufe 1 ist die niedrigste Sicherheitsintegritätsstufe und Sicherheitsintegritätsstufe 4 ist die höchste. Der Sicherheitsintegritätslevel (ob 1, 2, 3 oder 4) für das sicherheitsbezogene System hängt von der Bedeutung der Rolle ab, die das sicherheitsbezogene System beim Erreichen des erforderlichen Sicherheitsniveaus für die gesteuerte Ausrüstung spielt. Es können mehrere sicherheitsbezogene Systeme erforderlich sein, von denen einige auf pneumatischer oder hydraulischer Technologie basieren können.

Entwurf sicherheitsbezogener Systeme

Eine kürzlich durchgeführte Analyse von 34 Vorfällen mit Steuerungssystemen (HSE) ergab, dass 60 % aller Fehlerfälle „eingebaut“ waren, bevor das sicherheitsbezogene Steuerungssystem in Betrieb genommen wurde (Abbildung 7). Die Betrachtung aller Phasen des Sicherheitslebenszyklus ist notwendig, um adäquate sicherheitsbezogene Systeme herzustellen.

Abbildung 7. Hauptursache (nach Phase) des Ausfalls des Steuerungssystems

Die funktionale Sicherheit sicherheitsbezogener Systeme hängt nicht nur davon ab, sicherzustellen, dass die technischen Anforderungen ordnungsgemäß spezifiziert sind, sondern auch sicherzustellen, dass die technischen Anforderungen effektiv umgesetzt werden und dass die ursprüngliche Designintegrität während der gesamten Lebensdauer der Ausrüstung erhalten bleibt. Dies kann nur verwirklicht werden, wenn ein wirksames Sicherheitsmanagementsystem vorhanden ist und die an einer Tätigkeit beteiligten Personen in Bezug auf die von ihnen zu erfüllenden Aufgaben kompetent sind. Gerade wenn es um komplexe sicherheitsrelevante Systeme geht, ist ein adäquates Sicherheitsmanagementsystem unerlässlich. Dies führt zu einer Strategie, die Folgendes sicherstellt:

• Ein wirksames Sicherheitsmanagementsystem ist vorhanden.
• Die technischen Anforderungen, die für die sicherheitsbezogenen E/E/PES-Systeme spezifiziert sind, reichen aus, um sowohl zufällige Hardware- als auch systematische Fehlerursachen zu bewältigen.
• Die Kompetenz der beteiligten Personen ist für die von ihnen zu erfüllenden Aufgaben ausreichend.

Um alle relevanten technischen Anforderungen der funktionalen Sicherheit systematisch zu adressieren, wurde das Konzept des Safety Lifecycle entwickelt. Eine vereinfachte Version des Sicherheitslebenszyklus in der neuen internationalen Norm IEC 1508 ist in Abbildung 8 dargestellt. Die wichtigsten Phasen des Sicherheitslebenszyklus sind:

Abbildung 8. Rolle des Sicherheitslebenszyklus beim Erreichen funktionaler Sicherheit

• Spezifikation
• Gestaltung und Umsetzung
• Installation und Inbetriebnahme
• Betrieb und Instandhaltung
• Änderungen nach der Inbetriebnahme.

Sicherheitsstufe

Die Entwurfsstrategie zum Erreichen angemessener Sicherheitsintegritätsniveaus für die sicherheitsbezogenen Systeme ist in Abbildung 9 und Abbildung 10 dargestellt. Ein Sicherheitsintegritätsniveau basiert auf der Rolle, die das sicherheitsbezogene System beim Erreichen des Gesamtniveaus spielt der Sicherheit für die zu kontrollierende Ausrüstung. Der Sicherheitsintegritätslevel gibt die Vorkehrungen an, die bei der Konstruktion sowohl gegen zufällige Hardware- als auch gegen systematische Ausfälle zu berücksichtigen sind.

Abbildung 9. Rolle der Sicherheitsintegritätsstufen im Designprozess

Abbildung 10. Rolle des Sicherheitslebenszyklus im Spezifikations- und Designprozess

Das Konzept der Sicherheit und des Sicherheitsniveaus gilt für die zu steuernde Ausrüstung. Für die sicherheitsbezogenen Systeme gilt das Konzept der funktionalen Sicherheit. Die funktionale Sicherheit der sicherheitsbezogenen Systeme muss erreicht werden, wenn ein angemessenes Sicherheitsniveau für die gefährdenden Geräte erreicht werden soll. Das spezifizierte Sicherheitsniveau für eine bestimmte Situation ist ein Schlüsselfaktor in der Spezifikation der Anforderungen an die Sicherheitsintegrität für die sicherheitsbezogenen Systeme.

Das erforderliche Sicherheitsniveau hängt von vielen Faktoren ab, z. B. der Schwere der Verletzung, der Anzahl der gefährdeten Personen, der Häufigkeit, mit der Personen einer Gefahr ausgesetzt sind, und der Dauer der Exposition. Wichtige Faktoren werden die Wahrnehmung und Ansichten derjenigen sein, die dem gefährlichen Ereignis ausgesetzt sind. Um ein angemessenes Sicherheitsniveau für eine bestimmte Anwendung zu ermitteln, werden eine Reihe von Eingaben berücksichtigt, darunter die folgenden:

• rechtliche Anforderungen, die für die spezifische Anwendung relevant sind
• Richtlinien der zuständigen Sicherheitsaufsichtsbehörde
• Diskussionen und Absprachen mit den verschiedenen am Antrag beteiligten Parteien
• Industrie-Standards
• nationale und internationale Normen
• die beste unabhängige industrielle, fachliche und wissenschaftliche Beratung.

Zusammenfassung

Beim Entwerfen und Verwenden von sicherheitsbezogenen Systemen muss berücksichtigt werden, dass es die zu steuernden Geräte sind, die die potenzielle Gefahr erzeugen. Die sicherheitsbezogenen Systeme sind darauf ausgelegt, die Häufigkeit (oder Wahrscheinlichkeit) des gefährlichen Ereignisses und/oder die Folgen des gefährlichen Ereignisses zu reduzieren. Sobald das Sicherheitsniveau für die Ausrüstung festgelegt wurde, kann das Sicherheitsintegritätsniveau für das sicherheitsbezogene System bestimmt werden, und es ist das Sicherheitsintegritätsniveau, das es dem Konstrukteur ermöglicht, die Vorsichtsmaßnahmen anzugeben, die in das Design eingebaut werden müssen sowohl gegen zufällige Hardware als auch gegen systematische Ausfälle eingesetzt werden.

Zurück