Funktionale Sicherheit ist aus der Industrie nicht mehr wegzudenken, sei es das Verwenden einer STO-Funktion (Safe Torque Off) anstelle eines zusätzlichen Schützes oder der sichere Einsatz von Robotern und insbesondere von Cobots. Zudem hat man erkannt, dass der Einsatz von Safety-zertifiziertem Equipment die allgemeine Zuverlässigkeit verbessert, und dass Diagnosefunktionen in vielen Fabriken den Durchsatz steigern können.

Unterschied Safety und Safety-Funktion

Man versteht unter Safety die Abwesenheit inakzeptabler Risiken und gewissermaßen den Schutz der Umgebung vor Gefahren, die von dem betreffenden System ausgehen. Unter einer Safety-Funktion versteht man eine Operation, welche zum Erreichen beziehungsweise Aufrechterhalten der funktionalen Sicherheit ausgeführt werden muss. Eine Safety-Funktion hat also den Zweck, das Risikoniveau in einem System zu senken. Wenn beispielsweise eine rotierende Maschine mit einem Lichtvorhang versehen ist, besteht die Safety-Funktion darin, die Unterbrechung des Lichtstrahls beispielsweise durch eine Hand zu erkennen und die Maschine zum Stillstand zu bringen, bevor sie von der Hand erreicht werden kann.

Safety-Funktionen gliedern sich in der Regel in drei Subsysteme:

• Ein Eingangs-Subsystem detektiert den aktuellen Wert oder Zustand, z.B. mit einem Sensor.
• Ein Logik-Subsystem entscheidet, ob der aktuelle Zustand gefährlich ist (speicherprogrammierbare Steuerung, SPS).
• Ein Ausgangs-Subsystem kann eine Aktion zum Aufrechterhalten der Sicherheit auslösen (Aktor).

Bei Safety geht es um das Vertrauen darauf, dass ein System seine vorgesehene Safety-Funktion ausführt, wenn dies erforderlich ist. Im Prinzip ist die funktionale Sicherheit also ein Maß dafür, wie sicher man sich sein kann, dass der Lichtvorhang und die Abschaltfunktion des Motors tatsächlich funktionieren, wenn der Lichtstrahl unterbrochen wird.

Einem System wird funktionale Sicherheit attestiert, wenn die Hardwarekennzahlen (zufällige Fehler), die systematische Fähigkeit (Systematic Capability, SC) und gemeinsam verursachte Ausfälle (GVA bzw. engl. Common Cause Failures, CCF) zu keinen Fehlfunktionen des Safety-Systems, zu Verletzungen oder zum Tod von Menschen, zu Schäden an der Umwelt oder zu Produktionsausfällen führen.

Die meisten der zahlreichen Safety-Normen wurden von der Norm IEC 61508 abgeleitet und 90 bis 95 Prozent der darin enthaltenen Anforderungen sind in allen diesen Normen identisch. Dieser Artikel befasst sich schwerpunkt- mäßig mit der Norm IEC 61508 für industrielle Anwendungen und geht insbesondere darauf ein, wie sich mit SIL-2-Komponenten unter Nutzung identischer Redundanz eine SIL-3-Lösung entwickeln lässt.

Redundanz, hohe Verfügbarkeit und Hardwarefehlertoleranz

Bild 1. Alle elektronischen Systeme fallen irgendwann aus. Unterschieden wird zwischen zwei Ausfallarten: systematische und zufällige Ausfälle.

© Analog Devices

Ungeachtet dessen, wie zuverlässig ein System ist, wird es unweigerlich irgendwann von einem Ausfall betroffen sein. Dabei muss zwischen systematischen und zufälligen Ausfällen unterschieden werden (Bild 1).

Unter Redundanz versteht man einen als Rückfallebene dienenden (redundanten) Pfad, der die vorgesehene Safety-Funktion ausführen kann, falls es im Safety-System zu einem Fehler kommt. Dabei ist jedoch zu betonen, dass ein System nicht automatisch eine hohe Verfügbarkeit besitzt, wenn es einen gewissen Grad an Redundanz aufweist. Hochverfügbar ist es vielmehr nur dann, wenn der redundante Pfad automatisch eingeschaltet oder aktiviert werden kann. Ein weiterer Begriff, der im Zusammenhang mit der Norm IEC 61508 häufig verwendet wird, ist die Hardwarefehlertoleranz (HFT). Eine HFT von N bedeutet, dass es ab einem Minimum von N+1 Fehlern zum Ausfall der Safety-Funktion kommen kann. Hervorzuheben ist in diesem Zusammenhang, dass keine weiteren Maßnahmen (z. B. Diagnosefunktionen) berücksichtigt werden, mit denen sich die Auswirkungen von Fehlern kontrollieren lassen. Die HFT ist effektiv eine Möglichkeit, die Ausfallbeständigkeit der Hardware zu gewährleisten, wobei zwischen HFT und SFF abgewogen werden kann (Tabelle 1). Bei der SFF (Safe Failure Fraction) handelt es sich um den Anteil der sicheren Ausfälle.

Safety Integrity Level (SIL)

© Analog Devices

Der SIL-Wert beschreibt die Integrität einer Safety-Funktion und die erzielte relative Risikoreduzierung. Die Norm IEC 61508 spezifiziert vier SILs, wobei SIL 1 für das niedrigste und SIL 4 für das höchste Maß an Sicherheitsintegrität steht. Tabelle 2 vergleicht die SILs der Industrienorm IEC 61508 mit den ASILs der Automobilindustrie (ISO 26262) und den Safety-Levels der Avionik, wobei die Übereinstimmungen jedoch nur ungefährer Natur sind. Je größer die SIL-Kennzahl wird, umso geringer wird der zulässige FIT-Wert (Failures In Time). Ein FIT-Wert von ‚1‘ entspricht einem Ausfall auf eine Milliarde (109) Betriebsstunden – das sind etwa 100.000 Jahre. Natürlich übersteht kein Gerät eine Milliarde Betriebsstunden, aber dieser Wert sagt beispielsweise aus, dass ein zufälliger Hardwareausfall zu erwarten ist, wenn 100.000 Geräte ein Jahr lang in Betrieb sind. Der SFF-Wert (Safe Failure Fraction) gibt für eine Safety-Funktion die Gesamtzahl der detektierten sicheren und gefährlichen Fehler, dividiert durch die Gesamtzahl aller Fehler an (siehe Formel).

Tabelle 3 gibt Auskunft über den Zusammenhang zwischen SFF und SIL bei einer Hardwarefehlertoleranz von null (HFT = 0).

Das Problem und die derzeitige Lösung

Besonders beim Design mit integrierten Schaltungen (ICs) ergibt sich im Functional-Safety-Kontext das Problem, dass sich die Zertifizierung schwierig und kostspielig gestalten kann, und dass das Risiko des Nichtbestehens durchaus real ist. Auf Systemebene ist daher ein Verfahren zur detaillierten Ermittlung von Fehlerursachen und deren Auswirkung auf das System, kurz FMEDA für „Failure Modes Effects and Diagnostic Analysis“, durchzuführen. Hierbei sind ASICs als Blackboxes zu behandeln, weil die Anzahl ihrer Transistoren, ihre internen Ausfallmechanismen, ihre Layoutblock-Größen und ihre Zuverlässigkeit nicht bekannt sind.

Die FIT-Berechnungen müssen somit übermäßig konservativ durchgeführt werden, und auch bei den übrigen Teilen des Safety-Systems ist mit zusätzliches Sicherheitspolster erforderlich, um den insgesamt angestrebten SIL-Wert zu erreichen. In der Regel bedeutet dies die Verwendung externer Diagnosefunktionen wie etwa eines externen A/D-Umsetzers, womit man sich jedoch einen höheren Kosten- und Platzaufwand, ein Plus an Komplexität, aufwändigere Systemsoftware und eine längere Entwicklungszeit einhandelt. Verschärft wird die Situation dadurch, dass mit der Revision 3 eine neue Version der Norm IEC 61508 erscheint.

Zu den derzeit geplanten Änderungen in IEC 61508, Revision 3, gehören explizite Warnhinweise bezüglich der Verwendung chipinterner Diagnosefunktionen zur Aufdeckung von Ausfällen im selben Chip, sofern der IC nicht gemäß IEC 61508 entwickelt wurde. Vorgesehen ist ferner die Einbeziehung von Anforderungen der Kennzahl der Norm ISO 26262 zu latenten Fehlern. Neben einer Art SFF für Diagnosefunktionen werden die Diagnoseschaltungen auch eine bestimmte SC-Vorgabe erfüllen müssen.

Bild 2. Blockschaltbild des Safety-zertifizierten Datenwandler ADFS5758.

© Analog Devices

Der ADFS5758 ist ein einkanaliger 16-bit-D/A-Umsetzer (DAC) mit Stromausgang, integrierter DPC-Funktionalität (Dynamic Power Control) und eingebauter Referenz sowie zahlreichen chipintegrierten Diagnosefunktionen (Bild 2).

Diagnose- und Safety-Features im ADFS5758

Die wichtigste chipinterne Diagnosefunktion ist ein ADC (A/D-Umsetzer). Wie bereits erwähnt, wird in der IEC 61508, Revision 3, voraussichtlich klargestellt werden, dass die Verwendung chipinterner Diagnosefunktionen zum Detektieren interner Ausfälle nicht generell zulässig ist, solange der IC nicht gemäß IEC 61508 entwickelt wurde. Zusätzlich wird auf gültige Schreib- und Leseadressen geprüft, und außerdem sind eine ECC-Funktion (Error Correcting Code), ein Watchdog-Timer und die Möglichkeit zum Sperren der Konfigurationsregister vorhanden. Die interne Bias-Spannung wird ebenso überwacht wie die Temperatur.

Der Baustein ist für die industrielle Fabrikautomation und Prozesssteuerungs-Anwendungen vorgesehen und trägt den beengten Platzverhältnissen auf analogen I/O-Karten von speicherprogrammierbaren Steuerungen Rechnung.