• Dokumentation
  Die SIL-Zertifikate stehen im Bereich "Handbücher und Zertifikate" zum downloaden bereit

Darunter versteht der Gesetzgeber die sichere Beherrschung der unerwartet eintretenden Störfälle. Zu diesen vorbeugenden Maßnahmen zählen Schutzeinrichtungen der Prozeßleittechnik (PLT-Schutzeinrichtungen), die zusätzlich zur regeltechnischen und inhärenten Bauweise verwirklicht werden müssen. Diese PLT-Schutzeinrichtungen sollen die Anlage im Fehlerfall sicher abschalten, so daß sie keine Gefahr mehr für Mensch und Umwelt darstellt. Auf diese Weise wird ein hohes Risikopotenzial auf ein vertretbares Risiko gesenkt. Als weltweit wichtigstes Normenwerk für die Generierung funktionaler Sicherheit gilt die IEC 61508. Diese Basisnorm schreibt vor, wie Einzelkomponenten und Baugruppen entwickelt und gebaut werden müssen, damit sie höchsten Sicherheitsanforderungen entsprechen. Die Norm bezieht sich ausschließlich auf Elektrische Geräte, Elektronische Geräte sowie Programmierbare Elektronische Geräte – sogenannte E/P/PE-Geräte. Diese Norm regelt außerdem die Dokumentation, die Prüfungs-und Serviceintervalle und den Lebenszyklus der Schutzeinrichtung von der Planung über die Errichtung bis zur Außerbetriebnahme. Aus der Basisnorm IEC 61508 wurde die IEC 61511 erarbeitet. Sie ist ein Leitfaden für die Vorgehensweise zur technischen Absicherung verfahrenstechnischer Anlagen. Ein wesentlicher Teil dieser Norm bezieht sich auf die quantitative Erfassung des Gefährdungspotenzials, das von der Anlage für Mensch und Umwelt ausgehen kann. Im Hinblick auf dieses Gefährdungspotenzial kann der Anlagenplaner PLT-Schutzeinrichtungen entwickeln, die diese Gefährdung minimieren und damit das Restrisiko auf ein tolerierbares Maß absenken. PLT-Schutzeinrichtungen sind etwa Schalt- und Regeleinrichtungen, für deren Einzelkomponenten ein Sicherheits-Integritäts-Niveau SIL ermittelt wurde – auf Basis der Betriebsbewährung, rechnerisch oder entwicklungsmethodisch.

In der nationalen Sicherheitsnorm DIN EN-61508, entstanden aus der internationalen Norm IEC 61508 wird der Sicherheits-Integritätslevel wie folgt definiert:
"Vier diskrete Stufen zur Spezifizierung der Anforderung für die Sicherheitsintegrität von Sicherheitsfunktionen, die dem E/E/PE-sicherheitsbezogenen System zugeordnet werden, wobei der Sicherheits-Integritätslevel 4 die höchste Stufe der Sicherheitsintegrität und der Sicherheits-Integritätslevel 1 die niedrigste darstellt." Dabei hat sich bei Systemen, die keinerlei Sicherheitsanforderungen genügen müssen, sich die Bezeichnung Sicherheits-Integritätslevel 0 eingebürgert.
Diese Sicherheitsfunktionen werden durch einen Sicherheitskreis, der aus verschiedenen Betriebsmitteln, wie z.B. Sensoren (Transmitter), Steuerungselementen (PLS, SPS, sicherheitsgerichtete Steuerungen) und Aktoren bestehen kann, realisiert. Die Sicherheitsanfordungsstufe stellt ein Maß für die Zuverlässigkeit des Systems in Abhängigkeit von der Gefährdung dar. Prozesse mit einer geringeren Gefährdung werden durch einen Sicherheitskreis mit geringerem Level aufgebaut als Prozesse mit höherer Gefährdung. Typische Sicherheitsfunktionen sind Notausschaltungen, Abschalten überhitzter Geräte oder auch die Überwachung gefährlicher Bewegungen.

Die Betreiber von Anlagen mit sicherheitsrelevanten Funktionen legen im Rahmen einer Gefährdungsbeurteilung den Sicherheits-Integritätslevel für die jeweilige Sicherheitsfunktion fest. Entsprechend dieser Festlegung werden die dafür geeigneten Geräte ausgewählt und zu einem System zusammengeführt.
Die Gerätehersteller beurteilen innerhalb eines Assessments ihre Geräte entsprechend der Normen. Bis zum Level 2 kann dies der Hersteller in eigener Verantwortung vornehmen; ab Level 3 wird dies durch einen unabhängigen Dritten durchgeführt, der nach erfolgreicher Zertifizierung ein entsprechendes Zertifikat ausstellt.
Für die Festlegung der Stufe der Sicherheitsintegrität ist zum einen eine Betrachtung des Ausfallverhaltens der betrachteten Baugruppe notwendig. Weiterhin wird in dem Assessment genau beurteilt ob redundante Strukturen vorliegen, wie das Verhältnis zwischen sicheren Fehlern und unsicheren Fehlern ist und ob die Sicherheitsfunktion kontinuierlich oder auf Anforderung zu betrachten ist. Aus diesen Angaben werden dann die Ausfallraten bestimmt. Diese Kennwerte dienen einer Beurteilung des Sicherheitsintegritäts-Levels entsprechend der Vorgaben der Norm.

Die Betrachtung der Kennzahlen ist aber für die Einstufung der Geräte nicht hinreichend. Es ist noch eine Betrachtung des Lebensdauerprozesses des Gerätes notwendig. Hierbei werden z.B. die sicherheitsgerichtete Konstruktion und ähnliche Bereiche betrachtet. Das Normenwerk gibt hier spezielle Maßnahmen für die einzelnen Stufen der funktionalen Sicherheit an. Erst die Betrachtung aller Punkte läßt eine Einschätzung zu, ob sich das Betriebsmittel in einem Sicherheitskreis der entsprechenden Sicherheitsanforderungsstufe einsetzen läßt.

Kennwerte für sicherheitsgerichtete Feldgeräte nach IEC 61508
Werden Feldgeräte auf der Grundlage der Norm IEC 61508 entwickelt, können daraus folgende Aussagen abgeleitet werden:

• PFD (Probability of Failure on Demand)
• SIL-Level 1-4 (Safety Integrity Level)
• HFT Hardware-Fehlertoleranz
• MTBF-Wert (mean Time Between Failure)

• Anzahl der gelisteten Systeme aus dem gesamten Bereich der Prozeßindustrie
• Alter dieser Systeme
• Testintervalle
• Art und Anzahl der gemeldeten Ausfälle

SFF - Safe Failure Fraction
SFF (Safe Failure Fraction) repräsentiert den Anteil der ungefährlichen und sicheren Fehler, die nicht zum Ausfall führen. Je höher dieser Wert ist, desto geringer ist die Wahrscheinlichkeit des gefährlichen Ausfalls. Ein Wert von 82% bedeutet, daß 82 von 100 Fehlern am Gerät im Hinblick auf seine sichere Funktion unbedenklich sind. Der Anteil sicherer Fehler setzt sich zusammen aus dem Anteil sicherer entdeckter und sicherer, aber unentdeckter Fehler. In diesem Fall führen diese Fehler nicht zum Ausfall bzw. haben keinen Einfluß auf die sichere Funktion. Folglich sind die Fehler, die unentdeckt bleiben und zum Versagen des Sicherheitssystems führen, als gefährlich definiert.

HFT Hardware Fault Tolerance
Der Begriff Hardwarefehlertoleranz HFT (Hardware Fault Tolerance) spiegelt die Güte der Sicherheitsfunktion wieder. HFT ist ein Wert, auf den sich die zu planende Systemarchitektur maßgeblich stützt.

• HFT = 0: einkanalige Ausführung - ein einzelner Fehler kann zum Sicherheitsverlust führen
• HFT = 1: redundante Ausführung - es müssen zwei Fehler gleichzeitig auftreten, um einen Sicherheitsverlust herbeizuführen.
• HFT = 2: zweifach redundante Ausführung - es müssen mindestens drei Fehler gleichzeitig auftreten, um einen Sicherheitsverlust herbeizuführen.

Weitere Annahmen auf Grund der Konstruktion des Gerätes
Unter dem Begriff Anforderungsmodus oder Demand Mode wird festgelegt, wie oft die Anforderung der Sicherheitsfunktion in einer bestimmten Zeit erfolgen darf:

• Low Demand-Mode = max. 1x Anforderung pro Jahr
• High Demand Mode = mehr als 1x Anforderung pro Jahr

Für die Auswahl eines geeigneten Transmitters für Anwendungen mit SIL-Klassifizierung sollten folgende Punkte beachtet werden:
1) Der Anteil gefährlicher, unentdeckter Fehler (Dangerous Undetected Failures = λ_DU) ist möglichst gering.
2) Der Kennwert für die Verfügbarkeit (Total Failures = λ_Du + λ_DD + λ_SU + λ_SD) des Transmitters ist möglichst hoch.

Es ist immer zu beachten, daß ein SIL-klassifizierter Transmitter nur ein Teil eines Sicherheitskreises ausmacht - erst die Bewertung der Zusammenschaltung aller Komponenten des Sicherheitskreises ergibt den SIL-Level der Schutzeinrichtung.