IEC 61508 erklärt: Leitfaden zu funktionaler Sicherheit und Sicherheitsintegritätsstufen (SIL)

IEC 61508 ist eine internationale Norm für funktionale Sicherheit, die von der Internationalen Elektrotechnischen Kommission (IEC) veröffentlicht wurde. Der vollständige Titel lautet „Funktionale Sicherheit sicherheitsbezogener elektrischer/elektronischer/programmierbarer elektronischer Systeme“ (oft abgekürzt als E/E/PE oder E/E/PES). Der Standard bietet einen systematischen Rahmen, um die funktionale Sicherheit und Zuverlässigkeit von Systemen über den gesamten Sicherheitslebenszyklus hinweg zu gewährleisten.

IEC 61508 dient als grundlegender Standard für viele branchenspezifische funktionale Sicherheitsstandards wie IEC 61511 und IEC 62061. Er wird in vielen Bereichen wie der industriellen Automatisierung, der Prozesssteuerung und dem Maschinenbau eingesetzt.

1.0 Kernkonzepte der IEC 61508

Die IEC 61508 deckt die folgenden Hauptaspekte ab:

• Funktionale Sicherheit: Die Norm betont, dass Systeme oder Geräte ihre Sicherheitsfunktionen unter definierten Bedingungen korrekt erfüllen müssen. Bei einem Ausfall muss der Ausfall vorhersehbar und sicher erfolgen.
• Sicherheitslebenszyklus: Es führt einen umfassenden Lebenszyklusansatz ein, der alle Phasen vom ersten Konzept über Design und Entwicklung, Betrieb und Wartung bis hin zur Außerbetriebnahme abdeckt und so die kontinuierliche Einhaltung der Sicherheitsanforderungen gewährleistet.
• Risikobasierter Ansatz: Durch die Identifizierung von Gefahren, die Bewertung der damit verbundenen Risiken und die Anwendung geeigneter Kontrollmaßnahmen trägt der Standard dazu bei, das Risiko auf ein Niveau zu reduzieren, das so niedrig wie vernünftigerweise praktikabel ist (ALARP).
• Sicherheitsintegritätslevel (SIL): SIL ist ein quantitatives Maß für die Zuverlässigkeit von Sicherheitsfunktionen und reicht von SIL 1 (niedrigste Stufe) bis SIL 4 (höchste Stufe). Jede SIL-Stufe wird anhand von drei Hauptkriterien bestimmt:
  • Systemfähigkeit: Zuverlässigkeit des Hardware- und Softwaredesigns
  • Architektonische Einschränkungen: Einschränkungen durch die Systemarchitektur
  • PFDavg / PFH: Die Wahrscheinlichkeit eines gefährlichen Ausfalls, entweder bei Bedarf (PFDavg) oder pro Stunde (PFH)
    Die endgültige SIL-Stufe wird durch die niedrigste Stufe dieser drei Kriterien definiert.

1.1 Aufbau und Umfang der IEC 61508

Die IEC 61508 besteht aus acht Teilen. Die Teile 1 bis 7 wurden zwischen 1998 und 2000 veröffentlicht, und IEC/TR 61508-0 wurde 2005 hinzugefügt. Die Norm wurde ab 2002 einem umfassenden Überprüfungsprozess unterzogen, der zur Veröffentlichung der zweiten Ausgabe im April 2010 führte.

Der vollständige Titel der Norm lautet „Funktionale Sicherheit sicherheitsbezogener elektrischer/elektronischer/programmierbarer elektronischer Systeme (E/E/PE-Systeme)“, und seine Struktur umfasst:

1. Teil 0: Funktionale Sicherheit und IEC 61508
2. Teil 1: Allgemeine Anforderungen
3. Teil 2: Anforderungen an sicherheitsrelevante E/E/PE-Systeme
4. Teil 3: Softwareanforderungen
5. Teil 4: Definitionen und Abkürzungen
6. Teil 5: Beispiele für Methoden zur Bestimmung von Sicherheitsintegritätsstufen
7. Teil 6: Leitlinien zur Anwendung der Teile 2 und 3
8. Teil 7: Übersicht über Techniken und Maßnahmen

Darüber hinaus wurden aus der IEC 61508 mehrere branchenspezifische Normen abgeleitet, wobei die Grundsätze für bestimmte Bereiche angepasst wurden:

• IEC 61511– Für die Prozessindustrie (z. B. Chemie- und Petrochemieanlagen)
• IEC 62061– Für die Maschinensicherheit
• ISO 26262– Für elektronische Systeme im Automobilbereich
• DO-178C– Für Avionik-Softwaresysteme

Das Beispiel zeigt ein typisches elektrisches, elektronisches und programmierbares elektronisches Sicherheitssystem, das üblicherweise als E/E/PE-Sicherheitssystem bezeichnet wird.

1.2 Implementierung und Compliance

Um die Konformität mit IEC 61508 zu erreichen, müssen Organisationen:

• Verstehen und befolgen Sie die vorgeschriebenen Validierungs- und Verifizierungsprozesse
• Kritische Fehlermodi identifizieren und eindämmen
• Stellen Sie sicher, dass Hardware- und Softwaresysteme innerhalb der Grenzen der geltenden SIL-Stufe funktionieren
• Beherrschen Sie die Komplexität während des Systemdesigns, um das Ausfallrisiko zu verringern
• Wenden Sie geeignete Sicherheitsstrategien für Komponenten an, die häufig verwendet oder nur bei Gefahrenereignissen aktiviert werden.

1.3 Praktische Anwendungen der IEC 61508

Die IEC 61508 wird häufig in sicherheitskritischen elektrischen, elektronischen und programmierbaren elektronischen Systemen eingesetzt. Typische Anwendungsbeispiele sind:

• Maschinenbau: Abkantpressen, Laserschneider, Stanzmaschinen, Sicherheitssysteme für Industrieroboter
• Prozessindustrie: Not-Abschaltsysteme (ESD), Sicherheitsventile, Druckentlastungseinrichtungen
• Energiesektor: Schutzrelais, Fehlertrenneinrichtungen, intelligente Leistungsschalter
• Transport: Eisenbahnsignalsysteme, automatische Zugsteuerungseinheiten (ATC), Sicherheitsmodule für Kraftfahrzeuge
• Medizinische Geräte: Lebenserhaltungssysteme, Sicherheitsüberwachungsmodule

Durch die Einhaltung der IEC 61508 werden diese Systeme nach funktionalen Sicherheitsprinzipien entwickelt, die dazu beitragen, Unfälle zu verhindern und im Falle eines Fehlers sowohl Menschenleben als auch die Umwelt zu schützen.

1.4 Warum IEC 61508 entwickelt wurde

In den 1990er Jahren wurden immer mehr Sicherheitsfunktionen durch elektronische oder programmierbare elektronische Systeme implementiert. Diese Systeme weisen oft eine hohe Komplexität auf, die es praktisch unmöglich macht, alle möglichen Fehlermodi zu identifizieren oder alle Betriebsszenarien zu testen.

Die größte Herausforderung bestand darin, Systeme zu entwickeln, die gefährliche Ausfälle entweder verhindern oder im Falle ihres Auftretens sicher bewältigen können. Solche Ausfälle können folgende Ursachen haben:

• Falsche Spezifikationen für sicherheitsrelevante Steuerungssysteme
• Unvollständige Definitionen der Sicherheitsanforderungen (z. B. fehlende Definition der Funktionen für alle Betriebsarten)
• Zufällige Hardwarefehler
• Hardwarefehler auf Systemebene
• Software-Designfehler
• Ausfälle aufgrund gemeinsamer Ursache
• Menschliche Fehler
• Umweltfaktoren (z. B. elektromagnetische Störungen, extreme Temperaturen, mechanische Belastung)

2.0 Was ist IEC 61508 und SIL (Safety Integrity Level)?

IEC 61508 ist eine international anerkannte Norm für funktionale Sicherheit, die für sicherheitsrelevante elektrische, elektronische und programmierbare elektronische Systeme gilt. Sie bietet systematische Sicherheitsrichtlinien für Design, Entwicklung, Betrieb und Wartung solcher Systeme. Eine ihrer Schlüsselkomponenten ist die Sicherheitsintegritätslevel (SIL), ein kritisches Maß für die Fähigkeit einer Sicherheitsfunktion, das Risiko unter gefährlichen Bedingungen zu reduzieren.

2.1 Definition und Rolle von SIL

IEC 61508 definiert Sicherheitsintegrität wie folgt:

„Die Wahrscheinlichkeit, dass ein sicherheitsrelevantes System die erforderliche Sicherheitsfunktion unter allen angegebenen Bedingungen und innerhalb einer angegebenen Zeit erfolgreich ausführt.“

SIL-Stufen geben den Grad der Risikominderung an, den eine Sicherheitsfunktion im Falle eines gefährlichen Ereignisses bietet. Es gibt vier SIL-Stufen, von SIL 1 bis SIL 4. Höhere Stufen entsprechen strengeren Sicherheitsanforderungen und komplexeren Entwicklungs- und Verifizierungsprozessen.

SIL-Stufe	Wahrscheinlichkeit der Gefahr	Entsprechende Entwicklungsanforderungen
SIL 1	Höchste Wahrscheinlichkeit	Mindestanforderungen
SIL 2	Medium	Empfohlene Maßnahmen
SIL 3	Niedrig	Strenge Maßnahmen
SIL 4	Niedrigste Wahrscheinlichkeit	Strengste Kontrollen

2.2 So wird SIL bestimmt

IEC 61508 bietet sowohl qualitative als auch quantitative Methoden zur Bestimmung des SIL, darunter die folgenden:

1. Gefahren- und Risikobewertung (Teil 5)

• Identifizieren Sie potenzielle Gefahren
• Bewerten Sie die Häufigkeit und Schwere des Risikos
• Bestimmen Sie das erforderliche Maß an Risikominderung (Anhang A)

2. Bewertung der Ausfallwahrscheinlichkeit

SIL kann quantitativ bewertet werden durch:

• PFDavg (Durchschnittliche Wahrscheinlichkeit eines gefährlichen Ausfalls bei Anforderung)für Modi mit geringer Nachfrage
• PFH (Wahrscheinlichkeit eines gefährlichen Ausfalls pro Stunde)für kontinuierliche Modi

PFDavg – Low Demand Mode:

SIL-Stufe	PFDavg-Bereich
SIL 4	≥ 10⁻⁵ bis < 10⁻⁴
SIL 3	≥ 10⁻⁴ bis < 10⁻³
SIL 2	≥ 10⁻³ bis < 10⁻²
SIL 1	≥ 10⁻² bis < 10⁻¹

PFH – Dauerbetrieb:

SIL-Stufe	PFH [1/h] Bereich
SIL 4	≥ 10⁻⁹ bis < 10⁻⁸
SIL 3	≥ 10⁻⁸ bis < 10⁻⁷
SIL 2	≥ 10⁻⁷ bis < 10⁻⁶
SIL 1	≥ 10⁻⁶ bis < 10⁻⁵

2.3 Systemfähigkeit und architektonische Einschränkungen

Das System muss bestimmte Design-, Test- und Verifizierungsfunktionen erfüllen (z. B. FMEDA, SFF).

SFF (Sicherer Ausfallanteil) = (Sichere Ausfälle + Erkannte gefährliche Ausfälle) / Gesamtausfälle

2.4 Vergleich der Sicherheitsintegritätsstufen verschiedener Standards

Während SIL Teil des IEC 61508-Rahmenwerks ist, definieren andere Industriestandards ähnliche Sicherheitsstufen, die nicht direkt austauschbar sind:

Standard	Sicherheitsstufen (Niedrig → Hoch)
IEC 61508	SIL 1, SIL 2, SIL 3, SIL 4
ISO 26262	ASIL A, ASIL B, ASIL C, ASIL D
DO-178C	Niveau E, D, C, B, A
IEC 62304	Klasse A, B, C
EN 50128	SSIL 0, 1, 2, 3, 4

2.5 SIL und Softwareentwicklung

IEC 61508 Teil 3 („Softwareanforderungen“) spezifiziert Entwicklungsmaßnahmen für eingebettete Software in Abhängigkeit vom SIL-Level. Gängige Praktiken und ihre empfohlenen Stufen umfassen:

Technik/Übung	SIL 1	SIL 2	SIL 3	SIL 4
Verwendung von Kodierungsstandards	R	Personalwesen	Personalwesen	Personalwesen
Vorwärtsrückverfolgbarkeit	R	R	Personalwesen	Personalwesen
FMEA / FMEDA-Analyse	Optional	Empfohlen	Dringend empfohlen	Obligatorisch

Notiz: HR = Sehr empfehlenswert, R = Empfohlen, — = Nicht empfohlen

2.6 Wie wird SIL bewertet und berechnet?

Zur Bestimmung des geeigneten SIL müssen gemäß IEC 61508 drei Kernkriterien berücksichtigt werden:

• Systemfähigkeit– Ob das Design den funktionalen Anforderungen entspricht
• Architektonische Einschränkungen– Ob das Design Redundanz- und Strukturanforderungen erfüllt (z. B. SFF)
• Wahrscheinlichkeit zufälliger Hardwarefehler– Quantifiziert mit PFDavg oder PFH

Empfohlene Bewertungstools:

• Gefahrenanalyse (HAZOP)
• Risikomatrix oder Anforderungsrückverfolgbarkeitsmatrix
• Fehlermöglichkeits- und Einflussanalyse (FMEA)
• Fehlermöglichkeits-, Einfluss- und Diagnoseanalyse (FMEDA)

3.0 Was ist funktionale Sicherheit

Schlüsselkonzepte der funktionalen Sicherheit:
Um die IEC 61508 und ihre Anwendung effektiv zu verstehen, ist es notwendig, die folgenden grundlegenden Konzepte und Kernbegriffe zu beherrschen:

Funktionale Sicherheit
Definition:
Die funktionale Sicherheit ist Teil der Gesamtsystemsicherheit und konzentriert sich darauf, ob das System beim Empfang bestimmter Eingaben ordnungsgemäß funktioniert und dadurch gefährliche Ereignisse verhindert oder die Risiken im Fehlerfall auf ein akzeptables Maß reduziert werden.
Objektiv:
Um das System proaktiv zu steuern und auf potenzielle Gefahren zu reagieren, ist die Sicherheit von Menschen, Geräten und der Umwelt gewährleistet. Zum Beispiel:

Ein Rauchmelder, der eine automatische Sprinkleranlage auslöst;

Industrielle Heizgeräte schalten sich bei Überhitzung automatisch ab.

Sicherheitsintegritätslevel (SIL)
SIL ist ein quantitatives Maß für die Leistung und Zuverlässigkeit einer Sicherheitsfunktion und gibt die Fähigkeit des Systems an, Sicherheitsfunktionen bei Bedarf zuverlässig auszuführen.
Es gibt vier SIL-Stufen (SIL 1 bis SIL 4), wobei höhere Stufen strengere Sicherheitsanforderungen und eine anspruchsvollere Softwareentwicklung und -überprüfung bedeuten.

SIL-Stufe	Durchschnittliche Wahrscheinlichkeit eines gefährlichen Ausfalls bei Bedarf (PFDavg) – Modus mit geringer Nachfrage	Wahrscheinlichkeit eines gefährlichen Ausfalls pro Stunde (PFH) – Dauerbetrieb
SIL 1	≥ 10⁻² bis < 10⁻¹	≥ 10⁻⁶ bis < 10⁻⁵
SIL 2	≥ 10⁻³ bis < 10⁻²	≥ 10⁻⁷ bis < 10⁻⁶
SIL 3	≥ 10⁻⁴ bis < 10⁻³	≥ 10⁻⁸ bis < 10⁻⁷
SIL 4	≥ 10⁻⁵ bis < 10⁻⁴	≥ 10⁻⁹ bis < 10⁻⁸

⚠ Notiz: Die in IEC 61508 definierten SIL-Stufen dürfen nicht mit denen in anderen Normen wie ISO 26262 oder IEC 61511 verwechselt werden.

Sicherheitslebenszyklus
IEC 61508 definiert einen strukturierten Prozess zur Verwaltung funktionaler Sicherheitsprobleme während des gesamten Projektlebenszyklus – vom ersten Konzept bis zur Außerbetriebnahme des Systems.
Der Sicherheitslebenszyklus legt den Schwerpunkt auf:

Gefahrenidentifizierung und Risikobewertung

Definition der Sicherheitsanforderungen;

Umsetzung des Sicherheitsdesigns;

Verifizierung und Validierung;

Wartung und kontinuierliche Verbesserung.
Durch diesen Prozess wird sichergestellt, dass das System während seines gesamten Lebenszyklus kontinuierlich die Sicherheitsanforderungen erfüllt.

3.1 Bedeutung der funktionalen Sicherheit

Warum ist funktionale Sicherheit so wichtig?
Mit zunehmender Systemkomplexität, insbesondere in risikoreichen Umgebungen wie Industrie, Transport und Energie, steigen auch die potenziellen Gefahren. Ziel der funktionalen Sicherheit ist es, Ausfallrisiken proaktiv zu erkennen und zu minimieren, um Folgendes zu gewährleisten:

• Sicherheit des Personals und der Benutzer;
• Zuverlässiger Betrieb der Geräte;
• Minimierung wirtschaftlicher Verluste für Unternehmen.

In der Fertigung helfen funktionale Sicherheitssysteme Fabriken dabei, ihre Anlagen besser zu steuern, die Effizienz zu steigern und Ausfallzeiten zu reduzieren, wodurch die Gesamtproduktivität gesteigert wird.

Warum eine Zertifizierung anstreben?

• Gesetzliche Anforderungen:In einigen Branchen und Regionen ist eine Zertifizierung der funktionalen Sicherheit gesetzlich vorgeschrieben.
• Marktzugang:Produkte ohne Zertifizierung können von bestimmten Märkten ausgeschlossen werden.
• Kundenvertrauen:Endbenutzer und Systemintegratoren verlangen von Lieferanten häufig eine unabhängige Zertifizierung durch Dritte.
• Versicherungskonformität:Viele Versicherer verlangen als Voraussetzung für den Versicherungsschutz eine Zertifizierung der funktionalen Sicherheit.
  Zertifizierungsstandards basieren typischerweise auf IEC 61508 oder seinen branchenspezifischen Derivaten.

3.2 IEC 61508: Der grundlegende Standard für funktionale Sicherheit

IEC 61508 ist die „Mutternorm“ für funktionale Sicherheit und gilt für alle Branchen ohne spezifische Normen. Sie basiert auf einer Risikobewertungsmethode und bietet umfassende Anleitungen vom Systemdesign und der Implementierung bis zur Verifizierung.

IEC 61508 deckt sicherheitsrelevante Systemkomponenten ab, darunter:

• Sensoren (Signalerkennung);
• Steuerlogikeinheiten (wie SPS oder eingebettete Controller);
• Aktuatoren (z. B. Relais, Bremsen, Alarmsysteme);
• Softwarekomponenten (einschließlich Firmware und Anwendungslogik).

Der Standard legt SIL-Anforderungen auf Grundlage einer quantitativen Risikobewertung fest und berücksichtigt dabei:

• Systemausfälle;
• Zufällige Hardwarefehler;
• Softwarelogik- oder Systemfehler.

3.3 Branchenspezifische Normen zur funktionalen Sicherheit (abgeleitet von IEC 61508)

Industrie	Abgeleiteter Standard	Beschreibung
Prozessindustrie	IEC 61511	Für kontinuierliche Regelprozesse wie Chemie- und Petrochemieanlagen
Maschinen	IEC 62061	Für Maschinenausrüstung und Robotersysteme
Automobilelektronik	ISO 26262	Für elektronische/elektrische Systeme von Straßenfahrzeugen
Luft- und Raumfahrt	DO-178C / DO-254	Für die Software-/Hardware-Entwicklung und -Verifizierung in der Zivilluftfahrt
Medizinische Geräte	IEC 62304	Deckt das Lebenszyklusmanagement medizinischer Software ab
Nuklearindustrie	IEC 61513	Für Instrumentierungs- und Steuerungssysteme in Kernkraftwerken
Haushaltsgeräte/Konsumgüter	IEC 60730	Fokus auf die Sicherheit automatischer Steuergeräte

4.0 Warum die IEC 61508 ein Schlüsselstandard für Industrie 4.0 ist

Mit der Entwicklung von Industrie 4.0 und der zunehmenden Automatisierung und Vernetzung ist die IEC 61508 zu einem wichtigen Standard für die Gewährleistung der funktionalen Sicherheit geworden. Sie ist besonders wichtig für:

• Verwaltung der Systemkomplexität:IEC 61508 bietet einen strukturierten Ansatz für den Umgang mit den zunehmend komplexen Architekturen von Industrie 4.0-Systemen, einschließlich des koordinierten Betriebs von Sensoren, Aktoren und Steuerungssystemen, und stellt sicher, dass die Komplexität nicht die Sicherheit beeinträchtigt.
• Risikominderung:Mit zunehmender Automatisierung steigt auch das Risiko von Systemausfällen. Die IEC 61508 bietet Leitlinien zur Risikoidentifizierung und -minimierung während des gesamten Systemlebenszyklus – von der Konstruktion bis zur Außerbetriebnahme – und gewährleistet so kontinuierliche und zuverlässige Sicherheit.
• Sicherstellung der Interoperabilität:Industrie 4.0 erfordert die nahtlose Integration unterschiedlicher Systeme und Geräte. IEC 61508 bietet einen einheitlichen Sicherheitsrahmen und gewährleistet die Interoperabilität verschiedener Anbieter und Plattformen ohne Sicherheitseinbußen.
• Verbesserung der Zuverlässigkeit autonomer Systeme:Angesichts der zunehmenden Verbreitung softwaregesteuerter Industriesysteme ist die Softwarezuverlässigkeit von entscheidender Bedeutung. IEC 61508 definiert explizite Anforderungen für die Entwicklung sicherheitskritischer Software und unterstützt Unternehmen beim Aufbau stabiler und zuverlässiger intelligenter Systeme.
• Nachweis der Konformität:Die Einhaltung der IEC 61508 hilft Unternehmen nicht nur dabei, gesetzliche Vorschriften und Branchenstandards einzuhalten, sondern demonstriert gegenüber Märkten und Aufsichtsbehörden auch ihr Engagement für die Sicherheit und stärkt so den Ruf ihrer Marke und ihre Wettbewerbsfähigkeit. Dies ist insbesondere dann wichtig, wenn sie sich um sicherheitskritische Aufträge bewerben oder regulierte Märkte betreten.

IEC 61508 legt nicht nur den Grundstein für funktionale Sicherheit in allen Branchen, sondern bietet auch einen Fahrplan für den Aufbau belastbarer, zuverlässiger und zertifizierbarer Systeme im Zeitalter der digitalen Transformation.

5.0 Empfohlene Ressourcen zu „IEC 61508 IEC 61508:2010 PDF“

🔗 IEC 61508:2010 PDF herunterladen

🔗 IEC 61508 und Funktionale Sicherheit – 2022

6.0 IEC 61508 & SIL – Häufig gestellte Fragen (FAQ)

 

Verweise

dra.com/iec-61508/#61508-1

www.tuvsud.com/en-sg/services/funktionale-sicherheit/iec-61508

www.perforce.com/blog/qac/what-iec-61508-safety-integrity-levels-sils

www.gt-engineering.it/en/insights/functional-safety-300321/iec-61508-all-parts/