ISO 9001: 6.1 / 8.3. Vier UCA-Typen, Kontrollstruktur, Kausalszenarien und verifizierbare Entwicklungsanforderungen. Fiktives Industrie-Lernbeispiel. Alle Zahlen, Rollen und Belege sind simuliert; keine reale Freigabe, Kundenvalidierung oder Wirksamkeitsbestätigung.
STPA AI · Tool
Öffentliches Beispiel · schreibgeschützt
STPA-
Analyseblatt
System: HELION · Robotische Palettierzelle
Analyseziel: Unsichere Steueraktionen beim Wiederanlauf identifizieren
Systemgrenze: Roboter, Zellensteuerung, Schutztür, Bedienung; Sicherheitsintegrität separat nach einschlägigen Regeln bewerten.
Analyseziel: Unsichere Steueraktionen beim Wiederanlauf identifizieren
Systemgrenze: Roboter, Zellensteuerung, Schutztür, Bedienung; Sicherheitsintegrität separat nach einschlägigen Regeln bewerten.
Analyst / Team: Sicherheitsteam (fiktive Rollen)
Datum / Revision: 2026-10-01
Umfang: 2 L · 1 H · 4 UCA · 4 Szenarien
Datum / Revision: 2026-10-01
Umfang: 2 L · 1 H · 4 UCA · 4 Szenarien
Analysezweck
| Verluste (Losses) | |
|---|---|
| L1 | Verletzung einer Person im Roboterbereich |
| L2 | Beschädigung von Anlage und Produkt |
| Gefährdungen (Hazards) | ||
|---|---|---|
| H1 | Roboter bewegt sich, während eine Person im Gefahrenbereich ist. | L1 / L2 |
| Safety Constraints | ||
|---|---|---|
| SC1 | Bewegung nur nach gesichertem Freigabezustand; kein automatischer Neustart nach Türschluss. | H1 |
Kontrollstruktur
Controller / Steuerungseinheiten:
C1 ZellensteuerungC2 Bedienperson
| Steuerungsaktionen ↓ | ||
|---|---|---|
| Zellensteuerung | Roboter | Bewegung freigeben |
| Bedienperson | Zellensteuerung | Quittieren |
| Zellensteuerung | Roboter | Stop |
| Rückmeldungen / Feedback ↑ | ||
|---|---|---|
| Türüberwachung | Zellensteuerung | Türzustand und Diagnose |
Unsafe Control Actions
| Nr. | Steueraktion | UCA-Typ | Beschreibung (Kontext, warum gefährlich) | Hazard | Controller Constraint (Sicherheitsvorgabe) |
|---|---|---|---|---|---|
| UCA1 | Stop | 1 · Nicht gegeben | Stop wird bei offener Tür nicht erteilt. | H1 | |
| UCA2 | Bewegung freigeben | 2 · Falsch gegeben | Bewegungsfreigabe wird bei Person im Gefahrenbereich erteilt. | H1 | |
| UCA3 | Bewegung freigeben | 3 · Falsches Timing | Freigabe wird zu früh vor abgeschlossenem Wiederanlaufcheck erteilt. | H1 | |
| UCA4 | Bewegung freigeben | 4 · Zu lang / zu kurz | Bewegungsfreigabe bleibt nach Öffnung der Tür zu lange wirksam. | H1 |
Kausalszenarien & Maßnahmen
| Nr. | UCA | Szenario-Typ | Ursache / Szenario | Schnittstelle | Vorh. Absicherung | Maßnahme | Anforderung |
|---|---|---|---|---|---|---|---|
| S1 | UCA1 | A · UCA-Ursache | Veraltetes Prozessmodell: Türsignal wird nicht plausibilisiert. | Türüberwachung ↔ Zellensteuerung ↔ Roboter | Konservativer gesicherter Zustand bei Diagnosefehler; bewusster Wiederanlauf. | Validierung: Türwechsel, Signalverlust und Reihenfolgefehler injizieren; 100 Wiederholungen je Fall. Verantwortlich Automatisierung, 30.10.2026; unabhängiges Sicherheitsreview. | SC1: Kein Wiederanlauf ohne bestätigte sichere Bedingungen; Messzeiten gegen freigegebene Sicherheitsanforderung prüfen. |
| S2 | UCA2 | A · UCA-Ursache | Tür geschlossen wird mit Gefahrenbereich frei verwechselt. | Türüberwachung ↔ Zellensteuerung ↔ Roboter | Konservativer gesicherter Zustand bei Diagnosefehler; bewusster Wiederanlauf. | Validierung: Türwechsel, Signalverlust und Reihenfolgefehler injizieren; 100 Wiederholungen je Fall. Verantwortlich Automatisierung, 30.10.2026; unabhängiges Sicherheitsreview. | SC1: Kein Wiederanlauf ohne bestätigte sichere Bedingungen; Messzeiten gegen freigegebene Sicherheitsanforderung prüfen. |
| S3 | UCA3 | A · UCA-Ursache | Quittierung und Türsignal werden in falscher Reihenfolge ausgewertet. | Türüberwachung ↔ Zellensteuerung ↔ Roboter | Konservativer gesicherter Zustand bei Diagnosefehler; bewusster Wiederanlauf. | Validierung: Türwechsel, Signalverlust und Reihenfolgefehler injizieren; 100 Wiederholungen je Fall. Verantwortlich Automatisierung, 30.10.2026; unabhängiges Sicherheitsreview. | SC1: Kein Wiederanlauf ohne bestätigte sichere Bedingungen; Messzeiten gegen freigegebene Sicherheitsanforderung prüfen. |
| S4 | UCA4 | A · UCA-Ursache | Signalverlust wird als unveränderter Freigabezustand interpretiert. | Türüberwachung ↔ Zellensteuerung ↔ Roboter | Konservativer gesicherter Zustand bei Diagnosefehler; bewusster Wiederanlauf. | Validierung: Türwechsel, Signalverlust und Reihenfolgefehler injizieren; 100 Wiederholungen je Fall. Verantwortlich Automatisierung, 30.10.2026; unabhängiges Sicherheitsreview. | SC1: Kein Wiederanlauf ohne bestätigte sichere Bedingungen; Messzeiten gegen freigegebene Sicherheitsanforderung prüfen. |
Abschluss
Ergebnis: 4 Maßnahmen · 4 Anforderungen abgeleitet
Analyst / Unterschrift: Sicherheitsteam (fiktive Rollen)
Datum / Revision: 2026-10-01
STPA – System-Theoretische Prozessanalyse (nach Leveson/Thomas) · Analysezweck → Kontrollstruktur → UCAs → Kausalszenarien → Maßnahmen16.10.2026