Funktionale Sicherheit

Funktionale Sicherheit

Kurz erklärt

Die funktionale Sicherheit (FuSi) bezeichnet einen essenziellen Bereich der Systemsicherheit, der darauf abzielt, Gefahren durch Fehlfunktionen in elektrischen, elektronischen oder programmierbaren elektronischen Systemen zu beherrschen. Sie stellt sicher, dass Systeme bei auftretenden Fehlern, wie Hardware-Ausfällen oder Software-Logikfehlern, in einen definierten sicheren Zustand übergehen, statt in einem gefährlichen Betriebszustand zu verbleiben. Im modernen Engineering dient die FuSi als notwendiges Korrektiv, um die Zuverlässigkeit komplexer technischer Systeme über deren gesamten Lebenszyklus hinweg zu garantieren.

Definition

Funktionale Sicherheit ist die Summe aller Maßnahmen, die sicherstellen, dass die sicherheitsbezogene Steuerung oder Logik korrekt funktioniert. Sie fokussiert sich auf das Verhalten eines Systems in Anwesenheit von Fehlern (Fault Tolerance). Das Ziel ist die Reduktion von Risiken auf ein tolerierbares Niveau durch deterministische technische Risikominimierung. Sie unterscheidet sich von der reinen 'Safety' (welche auch mechanische Integrität und physische Schutzvorrichtungen umfasst) primär dadurch, dass sie aktiv steuernd in den Prozess eingreift, sobald eine Abweichung von der Soll-Funktion erkannt wird. Ein Kernkriterium ist die Einhaltung des Fault Tolerant Time Interval (FTTI) – die Zeitspanne, innerhalb derer eine Sicherheitsreaktion eingeleitet werden muss, um eine Gefährdung zu verhindern.

Bedeutung im Fachkontext

Die FuSi fungiert als methodisches Rückgrat für die Validierung technischer Anforderungen, besonders im Automobilsektor (ISO 26262) und der Industrieautomation (IEC 61508). In der FMEA-Methodik nach AIAG/VDA stellt sie den Standard dar, um die Entdeckung (E) von Fehlern nicht subjektiv zu schätzen, sondern physikalisch durch Diagnosekonzepte nachzuweisen. Sie ist somit entscheidend für die AP-Bewertung (Aufgabenpriorität), da sie Sicherheitsrelevanz und Zeitverhalten der Fehlererkennung in die Risikopriorisierung einbezieht.

Input, Verarbeitung, Output, Outcome, Impact

Schritte der Methode in Übersicht

Die funktionale Sicherheit folgt einem vierstufigen Prozess, der die HARA als Ausgangspunkt mit der abschließenden Verifikation durch Fehlereinspritzung verbindet. Die Schritte umfassen: 1. Gefahrenanalyse und Risikobeurteilung (HARA), 2. Festlegung technischer Sicherheitsanforderungen, 3. Integration in die FMEA, 4. Verifikation durch Fault-Injection.

Beschreibung der Einzelschritte mit Ziel & Vorgehen

Anwendung und Vorgehen

Die praktische Anwendung der Funktionalen Sicherheit (FuSi) folgt einem disziplinierten Lebenszyklus-Modell, das weit über die reine Designphase hinausgeht. Sie beginnt mit der "Konzeptphase", in der das System im Kontext seiner Umgebung betrachtet wird, und endet erst bei der Außerbetriebnahme.

Der Prozess der Umsetzung ist eng mit den Anforderungen der Normen IEC 61508 (allgemein) und ISO 26262 (Automobil) verknüpft. Zentral ist dabei das V-Modell, welches die Entwicklung in eine linke Seite (Anforderungsdefinition und Architektur) und eine rechte Seite (Verifikation und Validierung) gliedert. Ein entscheidender Schritt in der Anwendung ist die ASIL-Einstufung (Automotive Safety Integrity Level). Hierbei wird für jede Funktion bewertet: Wie schwer sind die Folgen eines Fehlers? Wie häufig ist die Situation? Wie wahrscheinlich ist es, dass der Fahrer den Fehler kontrollieren kann?

In der Umsetzung bedeutet dies konkret:

1. Sicherheitsziele definieren: Was muss das System tun, um sicher zu sein?
2. Architektur-Design: Implementierung von Redundanzen (z. B. zwei Mikrocontroller, die sich gegenseitig überwachen).
3. Diagnose-Implementierung: Das System muss „wissen“, dass es einen Fehler hat. Hier kommen Mechanismen wie CRC-Prüfungen bei der Datenübertragung, Plausibilitätsprüfungen von Sensordaten oder Watchdog-Timer zum Einsatz.
4. Nachweisführung: Der „Safety Case“ ist das zentrale Dokument, das alle Nachweise bündelt und gegenüber Behörden oder Kunden die Konformität belegt.

Anwendungsgebiete

Die FuSi ist ein horizontales Querschnittsthema, das in fast allen Branchen präsent ist, in denen technisches Versagen Menschenleben gefährden könnte:

• Automobilindustrie: Dies ist das prominenteste Feld. Von modernen Fahrerassistenzsystemen (ADAS) wie Notbremsassistenten bis hin zum automatisierten Fahren erfordert jede Komponente eine strikte Einhaltung der ISO 26262.
• Industrieautomation: In Fabriken sorgen sicherheitsgerichtete Steuerungen (Safety-SPS) dafür, dass Roboter bei Betreten des Arbeitsraums durch einen Menschen unmittelbar und sicher abschalten. Hier gilt die IEC 61508 als Goldstandard.
• Medizintechnik: Hier ist die FuSi integraler Bestandteil der Geräteentwicklung, etwa bei Beatmungsgeräten oder Infusionspumpen. Die Herausforderung liegt hier in der Verbindung von strengen Normen mit der Usability für medizinisches Personal.
• Bahntechnik: Die Bahnsignalisierung und Zugsteuerung (ETCS) nutzen hochgradig deterministische Systeme, um Kollisionen zu verhindern. Hier stehen extreme Anforderungen an die Langzeitverfügbarkeit (oft über Jahrzehnte) im Vordergrund.
• Luft- und Raumfahrt: Obwohl hier eigene Normen (wie die DO-178C für Software) gelten, sind die Prinzipien der Fehlertoleranz und Sicherheitsredundanz identisch.

Typische Fehler und Missverständnisse

In der Praxis begegnen Unternehmen häufig denselben Fallstricken, die den Sicherheitsnachweis entwerten können:

• „Sicherheit durch Qualität ersetzen“: Ein weit verbreiteter Irrtum ist, dass ein „hochwertiges“ Produkt automatisch sicher ist. Eine hohe Fertigungsqualität verhindert zwar systematische Fehler, bietet aber keinen Schutz gegen zufällige Hardware-Ausfälle (z. B. ein Bit-Flip durch kosmische Strahlung).
• Redundanz ohne Diagnose: Wer nur zwei gleiche Steuergeräte verbaut, hat zwar Redundanz, aber keine funktionale Sicherheit. Wenn beide Geräte den gleichen Fehler haben oder der Fehler des einen nicht bemerkt wird, führt dies zum Ausfall. Redundanz muss zwingend durch eine Fehlererkennung ergänzt werden.
• Cyber-Security-Verwechslung: Sicherheit (Safety) und Sicherheit (Security) werden oft vermischt. FuSi schützt vor Fehlern in der Funktion; Security schützt vor Angriffen von außen. Ein „abgesichertes“ System kann dennoch unsicher sein, wenn die Logik fehlerhaft programmiert wurde.
• Dokumentations-Overhead: Oft wird FuSi als reine Dokumentationsübung missverstanden. Wenn die Sicherheitskonzepte jedoch nur auf dem Papier existieren und nicht in der täglichen Code-Struktur oder Hardware-Architektur verankert sind, bricht das System im Ernstfall zusammen.

Abgrenzung und Grenzen

Die Funktionale Sicherheit ist kein Allheilmittel. Ihre Grenzen liegen dort, wo die physische Realität oder die Komplexität der Umgebung die Beherrschbarkeit überschreiten:

1. Safety by Design: Die FuSi kann keine konstruktiven Mängel heilen. Wenn ein System von Grund auf falsch konzipiert ist (z. B. ein Bremssystem mit zu schwachen Bremsbacken), kann die beste Elektronik das Fahrzeug nicht sicher zum Stillstand bringen.
2. Mechanische Grenzen: Normen wie die ISO 26262 fokussieren sich primär auf E/E-Systeme (Elektronik). Mechanischer Verschleiß, Korrosion oder Materialermüdung werden in klassischen FuSi-Modellen oft nur unzureichend abgebildet.
3. Komplexitätsexplosion: Bei Systemen mit künstlicher Intelligenz (KI) stoßen heutige FuSi-Methoden an Grenzen. Da neuronale Netze „Black Boxes“ sind, ist es nahezu unmöglich, eine deterministische Antwort auf die Frage zu geben, warum die KI in einem spezifischen Grenzfall eine bestimmte Entscheidung getroffen hat. Hier muss die FuSi durch neue Ansätze wie "Safe AI" ergänzt werden.