Praxis-Tipp Entwicklungsprojekt zur SIL-Zertifizierung für HMI-Geräte

Anbieter zum Thema

MicroConsult Academy GmbH

ET System electronic GmbH

ISH Ingenieursozietät GmbH

Deuta-Werke GmbH

Sind die Sicherheitsanforderungen erst einmal alle bekannt, muss ein Sicherheitsplan erstellt werden, in dem eine, dem SIL-Level angemessene, Auswahl und Umsetzung der in der IEC 61508 geforderten Maßnamen festgelegt wird. Anschließend muss ein Projektteam zusammengestellt werden, das dem Sicherheitsplan genügt.

In dieser Phase sollte schon der Anforderungstestplan und die Anforderungstestspezifikation erstellt werden. Diese Dokumente sind die Basis für die abschließende Validation der Anforderungen. Es zeigt sich bei der Erstellung dieser Dokumente schnell, ob noch weitere Anforderungen an das System, bedingt durch das Testen, existieren und ob alle Anforderungen konsistent und testbar sind.

Sobald diese Aspekte geklärt sind, sollte ein Konzept entwickelt werden, das sicherheitsrelevante Anforderungen möglichst intelligent von nicht sicherheitsrelevanten Anforderungen trennt und auf unterschiedliche Subkomponenten aufteilt, somit (z.B. durch Mehrkanaligkeit) eine Reduktion des benötigten SIL für die einzelnen Subkomponenten ermöglicht. Hierbei ist darauf zu achten, dass Fehler gemeinsamer Ursache (CCF, Common Cause Failure) vermieden werden. Es muss für eine Rückwirkungsfreiheit zwischen den Komponenten gesorgt werden, da sonst die Reduktion des SIL für eine Subkomponente nicht oder nur bedingt nachgewiesen werden kann. Ein intelligentes Konzept trägt erheblich zur Reduktion der Kosten und der Entwicklungszeit bei, was das Beispiel IconTrust zeigt (IconTrust überwacht dedizierte Bereiche auf dem TFT-Panel und unterscheidet dabei zwischen sicherheitsrelevanten und nichtsicherheitsrelevanten Informationen).

Ist das Konzept erst einmal festgelegt, sollte das Restrisiko abgeschätzt und bereits in dieser Phase Kontakt mit dem Gutachter aufgenommen werden. So kann man sich z.B. das Konzept prüfen lassen und ggf. dieses frühzeitig um fehlende Sicherheitsmechanismen erweitern.

Modulspezifikation und Design / Implementierung,Testen und Begutachtung

Diese Phasen sollten für die meisten Hersteller nichts neues sein: Es werden Hard- und/oder Softwaremodule spezifiziert und deren Funktion und Interaktion (intern/extern) festgelegt. Danach werden die Module erstellt bzw. kodiert.

Der größte Unterschied zwischen den SIL-Stufen zeigt sich in dem Aufwand, den man für das Testen veranschlagen muss, da von der IEC 61508 das automatische Testen teilweise explizit gefordert wird. Ein intelligentes Architekturkonzept zahlt sich in dieser Phase durch massive Einsparungen beim benötigten Testaufwand aus. Neben den Tests ist ggf. noch eine Sicherheitserprobung im Zielsystem notwendig.

Zu guter letzt werden alle Ergebnisse der Verifikations- und Validationstests sowie aller anderen qualitätssichernden Maßnahmen in einem technischen Sicherheitsbericht zusammengefasst. Dieser enthält zusätzlich die inzwischen berechneten sicherheitsrelevanten Kennwerte des Systems. Der Gutachter prüft dann, ob das Entwicklungsteam alle nach dem SIL-Level geforderten Maßnahmen umgesetzt hat und der angestrebte SIL-Level erreicht wurde. Das Ergebnis dieser Prüfung wird in einem offiziellen Gutachten festgehalten.

Beispiel: Flexibles Sicherheitskonzept mit IconTrust

Es soll ein Statusmonitor neben vielen nichtsicherheitsrelevanten Anzeigen auch einige wenige sicherheitsrelevante Daten anzeigen. In einem konventionellen Sicherheitskonzept muss die gesamte Kette aus Applikation, Betriebssystem, CPU, Grafikkarte und Display als sicherheitsrelevant angesehen werden und dementsprechend entwickelt worden sein: Mit sehr hohem Aufwand und Entwicklungskosten sowie einer geringen Flexibilität, da für jede Änderung eine neue Begutachtung notwendig ist.

Das IconTrust-Konzept erleichtert die Entwicklung des Statusmonitors erheblich. Die IconTrust-Subkomponente prüft, ob auf den als sicherheitsrelevant definierten Anzeigebereichen, die korrekte Information angezeigt wird. Dafür muss sie nur einmalig konfiguriert werden. Passen Anzeige und Statusdaten nicht zusammen wird ein erkennbar sichere Zustand wie z.B. „Monitor aus“ eingenommen. Die gesamte Kette aus Applikation, Betriebssystem, CPU und Grafikkarte kann so als nicht sicherheitsrelevant betrachtet werden. Dies bringt folgenden Vorteile hinsichtlich Flexibilität und Obsoleszenz (Veralterung) von PC-Komponenten ohne Einfluss auf den Sicherheitsnachweis.

Zunächst die Flexibilität: Aufgrund der Unabhängigkeit können jeder PC oder eine ähnliche Plattform zur Erzeugung der grafischen Signale eingesetzt werden. Sogar bereits vorhandene Anwendungen lassen sich leicht aktualisieren. Selbst Standard-Betriebssysteme dürfen nun verwendet werden. Die Nutzung von Standard-Grafikwerkzeugen und -bibliotheken ermöglicht weiterhin die drastische Reduzierung des Zeitaufwands und damit der Entwicklungskosten. Keinerlei weitere Begutachtung ist bei Änderungen der grafischen Benutzerschnittstelle außerhalb der überwachten Bereiche notwendig. Selbst wenn das Layout der grafischen Benutzerschnittstelle innerhalb des vordefinierten Bereichs verändert wird, genügt es, die Konfiguration anzupassen. Bei der Obsoleszenz von PC-Komponenten ohne Einfluss auf den Sicherheitsnachweis: Die Unabhängigkeit von IconTrust gilt auch für alle zukünftigen Revisionsstände der PC-Plattform. So zeigt sich, dass ein intelligentes Sicherheitskonzept den Entwicklungsaufwand extrem verringern kann und eine Sicherheitszulassung nach SIL vereinfacht.

* * Uwe Häußer ... ist Business Development Manager bei DEUTA-WERKE, Bergisch Gladbach

(ID:28262550)