Funktionale Sicherheit ist der Teil der Anlagensicherheit, der von der korrekten Funktion sicherheitsgerichteter Einrichtungen abhängt — typischerweise prozessleittechnische (PLT-)Schutzeinrichtungen wie „bei Grenzdruck automatisch abschalten". Dieser Artikel vertieft den in den Grundlagen der Prozesssicherheit eingeführten Begriff SIL.
SIF, SIS und die Abgrenzung zur Grundautomatisierung
- Sicherheitsfunktion (SIF, Safety Instrumented Function): eine konkrete Schutzfunktion, die einen definierten sicheren Zustand herstellt (z. B. „Zulauf schließen bei Füllstand HH"). Sie besteht aus Sensor → Logik (Auswerteeinheit) → Aktor (z. B. Messumformer, Sicherheits-SPS, Absperrventil).
- Sicherheitssystem (SIS, Safety Instrumented System): die Gesamtheit der SIF; getrennt von der Grundautomatisierung (BPCS), damit ein Fehler der Prozesssteuerung nicht zugleich die Schutzfunktion ausschaltet (Unabhängigkeit der Schutzebenen).
Sicherheitsintegritätslevel SIL 1–4
Der SIL beschreibt die geforderte Zuverlässigkeit einer Sicherheitsfunktion. Er wird aus dem Risiko abgeleitet (je größer die notwendige Risikoreduzierung, desto höher der SIL) — etwa über Risikograph oder LOPA. Vier Stufen: SIL 1 (geringste) bis SIL 4 (höchste Anforderung; in der Prozessindustrie selten).
Quantifiziert wird der SIL über die zulässige Versagenswahrscheinlichkeit — mit zwei Betriebsarten:
- Anforderungsmodus mit niedriger Anforderungsrate (low demand): Kenngröße ist die PFD_avg (mittlere Ausfallwahrscheinlichkeit bei Anforderung). Jede SIL-Stufe entspricht einem Faktor 10 an Risikoreduzierung (SIL 1 ≈ 10⁻¹…10⁻², SIL 2 ≈ 10⁻²…10⁻³, SIL 3 ≈ 10⁻³…10⁻⁴, SIL 4 ≈ 10⁻⁴…10⁻⁵).
- Hohe Anforderungsrate/kontinuierlich (high demand): Kenngröße ist die PFH (gefährliche Ausfälle pro Stunde).
Architektur: HFT, SFF und Redundanz
Zwei Größen bestimmen, welche SIL-Stufe eine Architektur erreichen darf:
- HFT (Hardware-Fehlertoleranz): Zahl der Fehler, die die Funktion noch toleriert (HFT 1 = ein Fehler wird beherrscht → Redundanz).
- SFF (Anteil ungefährlicher Ausfälle, Safe Failure Fraction): Anteil der Ausfälle, die nicht in den gefährlichen, unerkannten Zustand führen.
Redundante Strukturen werden als MooN angegeben (M out of N, z. B. 1oo2, 2oo3) — sie erhöhen entweder die Sicherheit oder die Verfügbarkeit. Zu beachten sind Ausfälle gemeinsamer Ursache (CCF), die Redundanz entwerten.
Sicherheitslebenszyklus
Funktionale Sicherheit ist ein Lebenszyklus, kein Einmalnachweis:
- Analyse: Gefährdung/Risiko, Festlegung der SIF und der Ziel-SIL.
- Realisierung: Auswahl und Auslegung nach SIL, Verifikation der erreichten PFD/PFH.
- Betrieb: Proof-Test in festgelegten Intervallen, Instandhaltung, Änderungsmanagement, Außerbetriebnahme.
Der Proof-Test ist zentral: Eine nie erprobte Schutzeinrichtung bietet keine gesicherte Wirkung; das Testintervall geht direkt in die PFD_avg ein.
Einordnung
SIL-Betrachtung, Auslegung und Verifikation sicherheitsgerichteter Einrichtungen begleiten wir im Rahmen der Leistung Sicherheitstechnik, eng verzahnt mit der Gefährdungsanalyse (HAZOP/PAAG). Dieser Artikel gibt einen Überblick; verbindlich sind die Normen zur funktionalen Sicherheit in ihrer geltenden Fassung.