Die IEC 61508 ist eine internationale Normenserie zur Entwicklung von elektrischen, elektronischen und programmierbaren elektronischen (E/E/PE) Systemen, die eine Sicherheitsfunktion ausführen. Sie wird von der Internationalen Elektrotechnischen Kommission (IEC) herausgegeben. Vom Europäischen Komitee für Normung (CEN) wurde die Norm inhaltsgleich als EN 61508 übernommen.
Die Serie besteht aus sieben Teilen und trägt den Titel Funktionale Sicherheit sicherheitsbezogener elektrischer/elektronischer/programmierbarer elektronischer Systeme. Sie wurde erstmals 1998 veröffentlicht. Seit 2010 gibt es eine neue Edition, die seit Februar 2011 auch in der deutschen Übersetzung vorliegt.
Inhalt und Zielsetzung Die Anwendung der Norm in Unternehmen wird vorwiegend durch das Produkthaftungsrecht getrieben. Speziell in Deutschland gilt nach §4 ProdHaftG, dass der Hersteller des Endproduktes sowohl bei der Haftung (wie auch bei eventuellen Imageschäden) selbst dann in Mithaftung genommen wird, wenn der Verursacher ausschließlich ein Unterlieferant war. Im Zuge ihrer Anwendung kann der Hersteller im Produkthaftungsprozess darlegen, dass er eine anerkannte Methode zur Risikobewertung und zur sicheren Produktentwicklung und -herstellung angewandt hat.
Ziel dieser Norm ist es, Verfahrensweisen zu definieren, die es erlauben, Produkte herzustellen, die nach dem aktuellen Stand der Technik keine unverhältnismäßigen oder unvertretbaren Gefahren für Anwender und Umwelt bedeuten. Die Norm beschreibt, welche Gesichtspunkte auf welche Weise schon mit Beginn der Entwicklung zu berücksichtigen sind, wie die Produktarchitektur beschaffen sein soll (beispielsweise durch einkanalige oder mehrkanalige Systeme), welche Tätigkeiten und betrieblichen Organisationsstrukturen notwendig sind, wie diese zu dokumentieren sind und dass alle Schritte in der internen Dokumentation des Herstellers zu seinem Produkt nachvollziehbar und rückverfolgbar niedergelegt werden müssen. Dabei wird in der Norm vom sog. „Lebenszyklus-Modell“ ausgegangen, d. h., ein Produkt wird von der ersten Planungsstufe über die Markteinführung und das Änderungsprozedere bis hin zu seiner Außerbetriebnahme und Entsorgung betrachtet. Über all diese Lebensphasen sind vom Hersteller Nachweise der Abläufe zu erzeugen, die das Produkt durchlaufen hat. Er hat ferner nachzuweisen, dass seine übergeordneten innerbetrieblichen Abläufe geeignet sind, Produkte herzustellen, von deren Funktion – auch im Versagensfall – keine unvertretbaren Schäden an Mensch, Ausrüstung und Umwelt entstehen.
In der Praxis verlangen immer mehr Unternehmen von ihren Zulieferern, dass sie die Entwicklung und Herstellung ihrer Produkte nach dieser oder einer vergleichbaren Norm (beispielsweise ISO 26262 im Automobil-Bereich) nachweisen, um vom Abnehmer als Lieferant qualifiziert zu werden. Zusätzlich wird oft noch die Begutachtung/Zertifizierung der Produkte durch ein unabhängiges Prüfunternehmen gefordert, welches akkreditiert und qualifiziert ist (z. B. nach der EN ISO/IEC 17025 – „Allgemeine Anforderungen an die Kompetenz von Prüf- und Kalibrierlaboratorien“), derartige Prüfungen durchzuführen. Ein Zwang zur Anwendung der Norm besteht jedoch nicht, sofern die Produkte nicht durch der Norm übergeordnete Gesetze oder Vorschriften, z. B. die europäische Maschinenrichtlinie, einer Prüfpflicht unterliegen. Hierbei wird unterschieden zwischen der Ausstellung eines Prüfberichtes/Zertifikates des beauftragten Prüfinstitutes und einer sog. EG-Baumusterprüfbescheinigung durch eine Benannte Stelle („Notified Body“). Produkte die unter den Anhang IV der europäischen Maschinenrichtlinie fallen, benötigen hierbei eine EG-Baumusterprüfbescheinigung, die eine weltweit eindeutige Nummerierung trägt.
Die IEC 61508 geht davon aus, dass es nach aktuellem Stand der Technik keine Möglichkeit gibt, eine über den Produktionszeitraum stetig wachsende Anzahl gleichartiger Produkte mit wirtschaftlich vertretbarem Aufwand derart herzustellen, dass diese über den Zeitraum ihres Betriebes in ihrer Gesamtheit 100 % fehlerfrei funktionieren oder interne Fehler vollständig diagnostizieren und angemessen darauf reagieren. Hierbei stehen Sicherheit und Verfügbarkeit im Gegensatz zueinander, da hohe Sicherheit nur durch Einschränkungen der Verwendbarkeit erreicht werden kann (z. B. durch häufige Tests, bei welchen das Produkt außer Betrieb genommen werden muss und nicht dem Verwendungszweck zur Verfügung steht). Der höchste anerkannte Diagnosedeckungsgrad bspw. wird daher auch mit 99,9 % angenommen.
Je nach Gefährdungsgrad, den das Produkt in seinem Einsatzbereich verursacht, steigen die Anforderungen an Maßnahmen zur Fehlervermeidung, Fehlerbeherrschung und erforderliche Dokumentation.
Wichtiger Punkt der normativen Empfehlungen sind neben der Dokumentation auch Reviews, bei denen die erreichten Meilensteine der Wertschöpfung unabhängig auf Form und Inhalt überprüft werden. Reviews sind Verfahren zur Fehlervermeidung auf der Grundlage der Annahme, dass die Beteiligung mehrerer Personen mit vergleichbarer Qualifikation an einem Verfahren auch eine reduzierte Fehlerhäufigkeit bedeutet. Die Verfahren, nach denen diese durchzuführen sind, werden im sog. „V-Modell“ als Bestandteil der Produktvalidierung beschrieben. Auch hier hängt der Grad der Unabhängigkeit der Prüfung vom Gefährdungsgrad ab.
Anwendungs- und Geltungsbereich Die Norm kann auf alle sicherheitsbezogenen Systeme, die elektrische, elektronische oder programmierbare elektronische Komponenten enthalten (E/E/PES) und deren Ausfall ein maßgebliches Risiko für Mensch, Ausrüstung oder Umwelt bedeutet, herangezogen werden. Sie ist allerdings in der EU nicht entsprechend dem New Approach harmonisiert. Daher kann ihre Erfüllung nicht allein zur Konformitätsvermutung zu den europäischen Richtlinien beitragen. Sie bezieht sich nicht auf bestimmte Anwendungen. Systeme, die auf Anforderung eine Sicherheitsfunktion ausführen, sind zum Beispiel das Antiblockiersystem bei einem Kraftfahrzeug und Systeme, die auf ständige Ausführung der Sicherheitsfunktion angewiesen sind, zum Beispiel die Steuerungseinheit einer Trägerrakete. Gemäß der Norm bilden die Funktionen der sicherheitsbezogenen Systeme die funktionale Sicherheit des Gesamtsystems. Die IEC 61508 ist als „Sicherheitsgrundnorm“ ausgewiesen, das heißt, sie kann als Basis für anwendungsspezifische Normen dienen.
Folgende veröffentlichte oder in Arbeit befindliche Normen stellen die Implementierung der IEC 61508 für ein bestimmtes Anwendungsgebiet dar: IEC 61511: Funktionale Sicherheit – Sicherheitstechnische Systeme für die Prozessindustrie IEC 61513: Kernkraftwerke – Leittechnik für Systeme mit sicherheitstechnischer Bedeutung – Allgemeine Systemanforderungen EN 50128: Bahnanwendungen – Telekommunikationstechnik, Signaltechnik und Datenverarbeitungssysteme – Sicherheitsrelevante elektronische Systeme für Signaltechnik IEC 62061: Sicherheit von Maschinen – Funktionale Sicherheit sicherheitsbezogener elektrischer, elektronischer und programmierbarer elektronischer Steuerungssysteme ISO 26262: Road vehicles – Functional safety ISO 25119: Tractors and machinery for agriculture and forestry – Safety-related parts of control systems – Functional SafetyISO 25119
Der Geltungsbereich der Norm erstreckt sich über Konzept, Planung, Entwicklung, Realisierung, Inbetriebnahme, Instandhaltung, Modifikation bis hin zur Außerbetriebnahme und Deinstallation sowohl des gefahrverursachenden Systems als auch der sicherheitsbezogenen (risikomindernden) Systeme. Die Norm bezeichnet die Gesamtheit dieser Phasen als „gesamten Sicherheitslebenszyklus“.
Zentrale Begriffe
Ein Element ist die Bestimmung der Sicherheitsanforderungsstufe („Safety Integrity Level“ – SIL; es gibt SIL 1 bis SIL 4). Diese ist ein Maß für die notwendige bzw. erreichte risikomindernde Wirksamkeit von Sicherheitsfunktionen. Wenn keine sicherheitsrelevanten Anforderungen gelten, so ist die Entwicklung nach den normalen Standards des betrieblichen Qualitätsmanagements (in der Norm mit QM bezeichnet) durchzuführen. Die geringsten Anforderungen nach der Norm stellt SIL 1. Wenn nach der Entwicklung sicherheitsbezogener Systeme gezeigt werden kann, dass für die Sicherheitsfunktionen die Anforderungen für eine SIL erfüllt werden, dient die SIL als Maß für die Wirksamkeit der Sicherheitsfunktionen. Da die Wirksamkeit sowohl durch die Zuverlässigkeit der Ausübung der Sicherheitsfunktion im Gefährdungsfall als auch durch unmittelbare Abschaltung der gefahrverursachenden Systeme im Falle einer Fehlererkennung in den sicherheitsbezogenen Systemen auch außerhalb von Gefährdungssituationen erreicht werden kann, darf nicht allein von „Zuverlässigkeit“ der Sicherheitsfunktion gesprochen werden. Die notwendige SIL kann durch eine Gefährdungs- und Risikoanalyse ermittelt werden. SIL 4 stellt hierbei eine derart hohe Sicherheitsanforderungsstufe dar, dass sie in der Praxis in den meisten Bereichen nicht relevant ist, so etwa im Bereich der Sicherheit von Maschinen oder Personenkraftwagen.
Als wesentliche Parameter für die Zuverlässigkeit der Sicherheitsfunktion von Geräten werden die Berechnungsgrundlagen für PFH (probability of dangerous failure per hour − Wahrscheinlichkeit des gefahrbringenden Versagens pro Stunde) und PFD (probability of dangerous failure on demand – Wahrscheinlichkeit eines gefahrbringenden Versagens bei Anforderung) geliefert. Ersterer bezieht sich auf High-Demand-Systeme, also solche mit einer hohen Anforderungsrate („hoch“: mindestens eine Anforderung pro Jahr), letzterer auf Low-Demand-Systeme, die während ihrer Betriebsdauer seltener als einmal jährlich betätigt werden. Letztere sind vornehmlich in der Prozessindustrie von Bedeutung, wobei für diesen Industriezweig die weitergehende IEC 61511 heranzuziehen ist. Die besondere Problematik einer Low-Demand-Anwendung besteht darin, dass die allermeisten Geräte, die eine Sicherheitsfunktion ausüben, durch den regelmäßigen Zustandswechsel ihrer Schaltglieder (morgendliches Einschalten im Betrieb, abendliches Ausschalten) eine interne Diagnose durchführen, dieser Zustandswechsel aber in manchen Anlagen nicht gewährleistet ist, die über Monate oder Jahre dauerhaft in Betrieb sind. Im Falle von zwangsgeführten Relais gemäß EN 50205, die in großer Zahl in Sicherheitsgeräten verbaut werden, ist somit die Diagnose dieser Relais mit 0 % anzunehmen und nicht mehr mit 99 %, wenn regelmäßige Zustandswechsel erfolgen.
Die Wahrscheinlichkeit einzelner Ausfälle steigt proportional mit der Anzahl der in Verkehr befindlichen Produkte und deren Alterung, wobei Ausfälle, deren Ursachen systematischer Art sind (z. B. Fehler in der Software, fehlerhafte Dimensionierung von Bauteilen, fehlerhafte oder ungenaue Werkzeuge oder Messmittel) alle Produkte betreffen, während zufällige Fehler nur einen gewissen Anteil der Produkte betreffen. Ein weltweit bekannt gewordener „systematischer Fehler“ war das Jahr-2000-Problem, da Millionen elektronischer Geräte und Systeme auf Mikrochips und deren Software basierten, die nur eine zweistellige Kodierung der Jahreszahl zuließen. Systematischen Fehlern – die lange Zeit unentdeckt bleiben können, weil die auslösenden Randbedingungen selten oder unwahrscheinlich sind – wird daher eine besonders hohe Aufmerksamkeit gewidmet, und zu ihrer Vermeidung werden umfangreiche Tabellen in der Norm bereitgestellt, die geeignete Maßnahmen aufzeigen, diese Fehler zu vermeiden.