Die funktionale Sicherheit (abgekürzt FuSi oder im englischen „FuSa“ für Functional Safety) ist ein Werkzeug der technischen Entwicklung, um Gefährdungen von Menschen und Objekten durch Fehlfunktionen technischer, sicherheitsrelevanter Systeme zu vermeiden oder auf ein akzeptables Maß zu reduzieren. Die funktionale Sicherheit ist Teil der Systementwicklung und -betrachtung in Bereichen, in denen Fehlfunktionen von technischen Einrichtungen zu Gefährdungen führen können, wie z. B. Kraftwerkstechnik, Medizin, Maschinenbau, Luftfahrt, Raumfahrt, Fahrzeuge oder Eisenbahn. Basis des Verfahrens der funktionalen Sicherheit sind mathematische Verfahren - hier Wahrscheinlichkeiten.
Überblick Von technischen Anlagen oder auch Beförderungssystemen entstehen bei nicht bestimmungsgemäßen Betriebszuständen größere materielle Schäden oder Gefährdungen für Personen, die Umwelt oder für die Anlage selbst. Für diese Systeme muss am Anfang der Projektierung eine Risiko- und Gefahrenanalyse erstellt werden. Dabei werden oft systematische Verfahren wie LOPA (Layer Of Protection Analysis) oder HAZOP herangezogen, um Risiken zu ermitteln. An erster Stelle zur Risikominimierung steht die Auslegung der Systeme durch Anwendung produktspezifischer Anwendungsrichtlinien und Normen. So wird ein Druckbehälter nach dem europäisch harmonisiertem Regelwerk (EN 13445 ff) unter Berücksichtigung der im Betrieb auftretenden Beanspruchungen ausgelegt, um Gefährdungen im bestimmungsgemäßen Betrieb auf ein akzeptiertes Niveau zu senken.
Die in der Risikoanalyse ermittelten Restgefahren für die spezielle Anlage müssen durch Sicherheitseinrichtungen abgesichert werden. Dies kann durch mechanische Einrichtungen erfolgen (z. B. durch ein abblasendes Sicherheitsventil) oder durch elektrische Sicherheitsschaltungen SIF (z. B. Einbau eines Druckbegrenzers, der das Schließen einer Armatur bewirkt). Die funktionale Sicherheit umfasst nur die Anforderungen an die elektrischen Sicherheitsschaltkreise. In der Begriffsbestimmung der EN 61511-1 wird die funktionale Sicherheit beschrieben durch: Teil der Gesamtsicherheit, der sich auf den Prozess und die PLT-Betriebseinrichtungen bezieht und der von der korrekten Funktion der PLT-Sicherheitseinrichtung(en) und anderer Schutzebenen abhängt.
Im Rahmen der Risikoanalyse müssen die Gefährdungen quantitativ abgeschätzt werden. Dabei werden die Parameter Schadensausmaß, Aufenthaltswahrscheinlichkeit im gefährdeten Bereich, Möglichkeit zum Ergreifen von Gegenmaßnahmen und Eintrittswahrscheinlichkeit des gefährlichen Ereignisses festgelegt. Mit diesen Größen kann anhand eines Risikographens der erforderliche Sicherheitsniveaulevel der einzelnen Sicherheitsfunktionen SIF ermittelt werden. So kann das Schadensausmaß von leichten reversiblen Verletzungen bis zu dem Tod mehrere Personen reichen. Je höher das Schadensausmaß ist und umso wahrscheinlicher der Eintritt umso höher ist der Sicherheitsniveaulevel. In den Anwendungsnormen sind unterschiedliche Risikographen aufgeführt. In der Prozessindustrie wird zumeist der SIL (Sicherheits-Integritätslevel) verwendet,DIN EN 61511-3, Funktionale Sicherheit – Sicherheitstechnische Systeme für die Prozessindustrie – Teil 3: Anleitung für die Bestimmung der erforderlichen Sicherheits-Integritätslevel der von den Stufen SIL1 bis SIL4 mit zunehmenden Anforderungen reicht. Bei der Maschinensicherheit wird bei hoher Anforderung der Sicherheitsfunktion zumeist der PL (Performance Level) verwendet, der von PLa bis PLe reicht.DIN EN 13849-1, Sicherheit von Maschinen – Sicherheitsbezogene Teile von Steuerungen – Teil 1: Allgemeine Gestaltungsleitsätze
Bei der funktionalen Sicherheit wird der Gesamtlebenszyklus der Sicherheitsschaltkreise betrachtet. Die Normen zur funktionalen Sicherheit beinhalten die Themen Risikoanalyse, Spezifizierung der Anforderungen, Validierung, regelmäßige Funktionsprüfungen, Änderungsmanagement und Außerbetriebnahme.
Die Sicherheitsintegrität bezeichnet nach der EN 61508 Teil 4 die Wirksamkeit der Sicherheitsfunktionen eines sicherheitsbezogenen Systems. Bei der Betrachtung der Schaltfunktionen zur Ermittlung der Wirksamkeit wird immer der gesamte Schaltkreis, bestehend aus Sensor, Sicherheitsschaltung, Aktor und ggf. Schaltverstärkern betrachtet. Für Sicherheitsschaltungen können fest verdrahtete Schaltkreis mit Relais genutzt werden oder fehlersichere speicherprogrammierbare Steuerungen (F-SPS).
Mit der Komplexität der Anlagen und der sicherheitstechnischen Anforderungen werden vermehrt elektronische, insbesondere programmierbare Systeme eingesetzt. Diese werden z. B. verwendet, um den Druck und Wasserstand im Dampfkessel zu überwachen, die Überfüllung von Lagerbehältern zu vermeiden, die Inertisierung von Lagerbehältern bei Verwendung explosionsgefährdender Stoffe in der Chemie sicherzustellen, Absperrbereiche um Industrieroboter zu überwachen oder die Fahrstrecken von Zügen zu überwachen.
Nach der EN 61511-1 ist ein Ausfall die Beendigung der Fähigkeit einer Funktionseinheit, eine geforderte Funktion auszufüllen. Es wird unterschieden zwischen zufälligen und systematischen Fehlern.
Zufällige Fehler sind Hardware-Ausfälle, die statistisch und mit einer reproduzierbaren Wahrscheinlichkeit an elektronischen Komponenten auftreten. Die in der funktionalen Sicherheit ermittelten Ausfallraten können sich daher nur auf zufällige Fehler beziehen. Die Ausfallraten, die für zufällige Fehler ermittelt werden, basieren auf einem Betrieb unter den zulässigen Betriebsbedingungen, wie Umgebungstemperatur, Strahlung und der zulässigen Lebensdauer eines Gerätes.
Systematische Fehler sind statistisch nicht quantifizierbar,DIN EN 61511-1, Funktionale Sicherheit – Sicherheitstechnische Systeme für die Prozessindustrie – Teil 1: Allgemeines, Begriffe, Anforderungen an Systeme, Software und Hardware so dass keine Ausfallraten angegeben werden können. Systematische Ausfälle können auf bestimmte Ursachen zurückgeführt werden, die nur durch eine Modifikation des Entwurfs, des Fertigungsprozesses, des Betreibens, der Medieneinflüssen, Korrosion oder Verschleiß beeinflusst werden können. Systematische Fehler treten auch an den mechanischen Kompontenten in dem Sicherheitssystem auf. Dies sind z. B. die Verbindungen der elektronischen Sensoren zu den Betriebsmedien als auch die mechanischen Komponenten der Aktoren.
Typische systematische Fehler in der Planungsphase sind: Spezifikations- und Implementierungsfehler, Fehler in der Umsetzung des Lastenheftes in das Anwenderprogramm für die Sicherheitssteuerung und im Betrieb: Verstopfen von Impulsleitungen, Korrosion, Erosion, Kondensat in Impulsleitungen, Verkleben von Armaturensitzen, Federbruch, Seilbruch, erhöhte Reibung in Antrieben durch Ablagerungen, menschliches Versagen, Änderungen an der Anlage. Systematische Fehler können reduziert werden, wenn die spezifischen Einsatzbedingungen eingehalten werden, indem die Geräte entsprechend der Betriebsanweisung verwendet werden und soweit zutreffend für die Anwendung baumustergeprüfte Geräte verwendet werden. Ein gefährlicher Ausfall einer Schutzfunktion infolge systematischer Fehler kann reduziert werden durch (diversitäre) Redundanz, Wartung- und Prüfung, Austausch der Geräte bei Erreichen des Lebensdauer.
Nicht zur funktionalen Sicherheit gehören u. a. elektrische Sicherheit, Brandschutz oder Strahlenschutz.
Prozessindustrie Die spezielle Normenreihe für die funktionale Sicherheit in der Prozessindustrie ist die DIN EN 61511. bzw. international als IEC 61511. Grundsätzlich wird bei den PLT-Sicherheitseinrichtungen zwischen der Betriebsart niedrige Anforderung (low demand - Anforderung der Sicherheitsfunktion max. 1 Mal/Jahr) und hohe Anforderung bzw. kontinuierliche Anforderung unterschieden. In der Fertigungsindustrie und im Bereich der Maschinensicherheit wird meistens der high demand mode angewandt. Für ein Notabschaltsystem an einer technischen Anlage ist oft die Auslegung im low demand mode relevant. mini|RI-Fließbild der Wasserseite eines Grosswasserraumdampfkessels mit Darstellung der Sensorik. Die Sicherheitsfunktionen (rot umrandet) sind mit dem Schaltzeichen „Z“ dargestellt, das für einen sicherheitsrelevanten Schalteingriff steht. Nachdem im Rahmen eines Sicherheitsgesprächs mögliche Gefährdungen für eine Anlage ermittelt worden sind, ist festzulegen, ob die Gefährdungen durch konstruktive Maßnahmen, Änderung des Verfahrens oder Einsatz anderer Stoffe aufgehoben werden können, und so eine inhärente Sicherheit bezogen auf bestimmte Gefährdungen erreicht werden kann. Soweit Gefährdungen weiter bestehen, sind mechanische Schutzeinrichtungen und/oder Maßnahmen der Prozessleittechnik für einen sicheren Betrieb vorzusehen. Im Rahmen der Umsetzung der funktionalen Sicherheit sind folgende Schritte erforderlich: Auswahl geeigneter physikalischer Größen, die zur Überwachung bestimmter Sicherheitsfunktionen genutzt werden sollen. Bei hohen Sicherheitsanforderungen kann eine Redundanz der Sensoren und Aktoren erforderlich sein. Die Anwendung unterschiedlicher physikalischer Verfahren oder die Auswahl unterschiedlicher Geräte können Fehler gemeinsamer Ursache (Common-Cause-Failure) ausschalten oder vermindern (diversitäre Redundanz). Definition des sicheren Zustandes der Prozessanlage. Hier sind neben Abschaltungen ggf. auch Notfunktionen zum sicheren Abfahren (Notkühlkreise, Entlastungsklappen) einzubeziehen. Erstellung einer Ursache-Wirkungs-Matrix, um für jede Sicherheitsfunktion eine Schaltfolge zum Erreichen des sicheren Zustandes zu beschreiben, Abschätzung der Auswirkung potentieller Gefährdungen unter Anwendung eines Risikographens,DIN EN 61511-3 (IEC 61511-3) Funktionale Sicherheit – Sicherheitstechnische Systeme für die Prozessindustrie – Teil 3: Anleitung für die Bestimmung der erforderlichen Sicherheits-Integritätslevel Auswahl geeigneter zertifizierter Geräte zur Realisierung der einzelnen Sicherheitsfunktionen, Rechnerischer Nachweis, dass der erforderliche Sicherheitsniveaulevel mit den ausgewählten Elementen des Sicherheitsschaltkreises erreicht wird.
+ Sicherheitsintegrität für Sicherheitsfunktionen im low demand mode (Ansprechen der Sicherheitseinrichtung max. 1 Mal/Jahr) Sicherheitsintegritätslevel (SIL) PFD avg - Mittlere Wahrscheinlichkeit eines gefährlichen Ausfalls bei Anforderung Erforderliche Risikominimierung 4 >= 10−5 bis < 10−4 > 10000 bis <= 100000 3 >= 10−4 bis < 10−3 > 1000 bis <= 10000 2 >= 10−3 bis < 10−2 > 100 bis <= 1000 1 >= 10−2 bis < 10−1 > 10 bis <= 100 alt=Risikograph für die Ermittlung des Sicherheitsanforderungslevels SIL|mini|Risikograph in Anlehnungen an die IEC 61511-3 zur Ermittlung des SIL-levels einer Sicherheitsfunktion Für die einzelne Sicherheitsfunktion SIF muss die erforderliche Risikominimierung nachgewiesen werden. Der Nachweis erfolgt auf Grundlage der Wahrscheinlichkeitsrechnung, indem die Ausfallraten der einzelnen Geräte einer SIF vom Sensor bis zum Aktor betrachtet werden. Da die Ausfallwahrscheinlichkeiten der Bauteile addiert werden, bestimmt das Bauteil mit der höchsten Ausfallrate wesentlich die gesamte Schaltkette. Die Ermittlung der Ausfallwahrscheinlichkeit bei Anforderung (Probability of dangerous failure on demand) einer SIF erfolgt aus: