Was bedeutet Software (SIL)?

SIL steht für Safety Integrity Level (Sicherheitsintegritätslevel), nicht für Software. Gemäß der Norm IEC 61508 handelt es sich um eine leistungsbasierte Klassifizierung, die die Risikominderung quantifiziert, die eine Sicherheitsfunktion erreichen muss. SIL reicht von 1 bis 4, wobei jede Stufe bestimmten Zielwerten für die Ausfallwahrscheinlichkeit bei Anforderung und Risikominderungsfaktoren entspricht. Höhere Stufen erfordern eine exponentiell größere Systemzuverlässigkeit. Das Verständnis, wie SIL-Stufen zugewiesen und verifiziert werden, ist für die Einhaltung der Vorschriften in sicherheitskritischen Industrien unerlässlich.

SIL steht für Safety Integrity Level, nicht für Software

Ein weit verbreitetes Missverständnis umgibt das Akronym SIL, wobei viele Fachleute in der Industrie- und Automatisierungsbranche es fälschlicherweise mit „Software“ in Verbindung bringen. SIL steht für Safety Integrity Level (Sicherheitsintegritätslevel), eine diskrete Klassifizierung, die durch IEC 61508 und verwandte sektorspezifische Normen (wie IEC 61511 für die Prozessindustrie) definiert ist und die Risikominderungsfähigkeit einer sicherheitstechnischen Funktion quantifiziert.

Sicherheitsnormen weisen SIL-Einstufungen von 1 bis 4 zu, wobei jede Stufe spezifischen Leistungskennzahlen entspricht, die die Versagenswahrscheinlichkeit bei Anforderung regeln. Die Risikobewertung bestimmt das erforderliche SIL durch Bewertung der Gefahrenschwere, der Expositionshäufigkeit und der Vermeidungswahrscheinlichkeit. Systemzuverlässigkeitsziele bestimmen dann die sicherheitstechnischen Entwurfsentscheidungen in Bezug auf Hardware, Software und betriebliche Verfahren. Die Auswirkungen auf die Industrie sind erheblich: Eine Fehlinterpretation von SIL als reine Softwarebezeichnung führt zu Herausforderungen bei der Konformität, einschließlich unvollständiger Risikomanagementstrategien und unzureichender architektonischer Vorgaben. Ein genaues Verständnis gewährleistet, dass Organisationen den gesamten Umfang der funktionalen Sicherheit berücksichtigen, anstatt eine einzelne Ingenieurdisziplin isoliert zu betrachten.

Die IEC-Normen, die SIL definieren

Der grundlegende Standard für SIL ist die IEC 61508, die einen generischen Rahmen für die funktionale Sicherheit elektrischer, elektronischer und programmierbarer elektronischer sicherheitsbezogener Systeme in allen Industriebereichen festlegt. Die IEC 61511 passt diese Grundsätze speziell an den Bereich der Prozessindustrie an und definiert die Anforderungen an sicherheitsinstrumentierte Systeme (SIS) über deren gesamten Lebenszyklus hinweg. Beide Normen stellen strenge Anforderungen an die Einhaltung und Zertifizierung und verlangen, dass Organisationen durch systematische Analyse, Verifizierung und Validierung nachweisen, dass jede Sicherheitsfunktion ihr zugewiesenes SIL während des gesamten Betriebs erreicht und aufrechterhält.

IEC 61508 Übersicht

1. Risikobasierte SIL-Bestimmung — Verknüpfung der Gefährdungsschwere mit den erforderlichen Integritätsstufen
2. Architektonische Einschränkungen für Hardware und Software — Durchsetzung systematischer Fähigkeitsanforderungen
3. Verifizierungs- und Validierungsprotokolle — Sicherstellung der Einhaltung von Sicherheitsstandards während der gesamten Entwicklung
4. Lebenszyklusmanagement — Vorschreiben von Dokumentation, Änderungskontrolle und Außerbetriebnahmeverfahren

IEC 61511 Anwendungen

Während IEC 61508 den grundlegenden Rahmen für die Sicherheitsintegrität aller programmierbaren elektronischen Systeme festlegt, beschränkt IEC 61511 ihren Anwendungsbereich speziell auf den Bereich der Prozessindustrie – und verfeinert die SIL-Anforderungen für sicherheitsinstrumentierte Systeme (SIS), die in Umgebungen wie der Öl- und Gasindustrie, der chemischen Fertigung und der Pharmaindustrie eingesetzt werden. Die Norm operationalisiert SIL durch strukturierte Risikobewertungsmethoden, einschließlich LOPA (Layers of Protection Analysis, Schutzebenenanalyse) und Risikographen, um das erforderliche Integritätsniveau für jede Sicherheitsfunktion zu bestimmen.

IEC 61511 schreibt eine rigorose Validierung von Sicherheitskenngrößen vor – Ausfallwahrscheinlichkeit bei Anforderung (PFD), Hardwarefehlertoleranz und systematische Fähigkeit – und stellt sicher, dass jedes SIS sein zugewiesenes SIL über den gesamten Lebenszyklus hinweg erfüllt. Die Norm schlägt eine Brücke zwischen theoretischen Sicherheitsanforderungen und praktischer Umsetzung und verpflichtet die Betreiber, die funktionale Sicherheitsleistung unter realen Prozessbedingungen aufrechtzuerhalten.

Compliance- und Zertifizierungsanforderungen

Da SIL-Einstufungen direkte Auswirkungen auf die Konstruktion, Beschaffung und den Betrieb sicherheitskritischer Systeme haben, erlegen die Konformitäts- und Zertifizierungsanforderungen im Rahmen des IEC-Regelwerks Herstellern, Integratoren und Endanwendern gleichermaßen verbindliche Pflichten auf. Konformitätsrahmenwerke verlangen dokumentierte Nachweise über den gesamten Sicherheitslebenszyklus hinweg, von der Gefährdungsanalyse bis zur Außerbetriebnahme.

Zertifizierungsprozesse gemäß IEC 61508 und IEC 61511 erfordern:

1. Unabhängige Bewertungen der funktionalen Sicherheit, die von akkreditierten Drittprüfstellen durchgeführt werden und die Gültigkeit der SIL-Einstufung verifizieren.
2. Dokumentierte Sicherheitsanforderungsspezifikationen, die jedes SIL-Ziel mit messbaren Leistungskriterien verknüpfen.
3. Überprüfung der Wiederholprüfungsintervalle, um sicherzustellen, dass die Annahmen zur diagnostischen Abdeckung und zu den Ausfallraten im Betrieb weiterhin gültig bleiben.
4. Rückverfolgbarkeitsnachweise über den gesamten Lebenszyklus, die belegen, dass Hardware-, Software- und Integrationsaktivitäten die vorgeschriebenen Risikominderungsziele ohne Abweichung erfüllen.

Die vier Sicherheitsintegritätslevel erklärt

Organisationen müssen das bewertete Risiko jedes gefährlichen Szenarios dem entsprechenden SIL zuordnen und dabei verhältnismäßige Schutzmaßnahmen sicherstellen, ohne kritische Prozesse übermäßig zu konstruieren oder unzureichend zu schützen.

SIL und Risikominderung: Die Mathematik hinter jeder Stufe

Jeder SIL-Level entspricht einem bestimmten Bereich der Versagenswahrscheinlichkeit bei Anforderung (PFD), die unmittelbar den Risikominderungsfaktor (RRF) bestimmt, den eine sicherheitstechnische Funktion erreichen muss. SIL 1 erfordert eine PFD zwischen 10⁻¹ und 10⁻², was einem RRF von 10 bis 100 entspricht, während SIL 4 eine PFD zwischen 10⁻⁴ und 10⁻⁵ verlangt, was einem RRF von 10.000 bis 100.000 entspricht. Diese quantitativen Zielwerte, die in IEC 61508 und IEC 61511 definiert sind, legen die messbaren Referenzwerte fest, anhand derer die Zuverlässigkeit jedes sicherheitstechnischen Systems ausgelegt, verifiziert und validiert wird.

Berechnungen des Risikominderungsfaktors

1. SIL 1: PFD-Bereich 0,1–0,01, was einen RRF von 10–100 ergibt
2. SIL 2: PFD-Bereich 0,01–0,001, was einen RRF von 100–1.000 ergibt
3. SIL 3: PFD-Bereich 0,001–0,0001, was einen RRF von 1.000–10.000 ergibt
4. SIL 4: PFD-Bereich 0,0001–0,00001, was einen RRF von 10.000–100.000 ergibt

Jede aufsteigende Stufe erfordert eine exponentiell höhere Systemzuverlässigkeit und architektonische Strenge.

SIL-Ausfallwahrscheinlichkeitszielwerte

Über die breiten PFD-Bänder hinaus, die jede SIL-Stufe definieren, haben die spezifischen Ausfallwahrscheinlichkeitsziele direkte Auswirkungen darauf, wie sicherheitsinstrumentierte Funktionen (SIFs) während ihres gesamten Lebenszyklus entworfen, validiert und gewartet werden. Jedes Ziel erfordert eine rigorose Fehleranalyse und Gefahrenidentifikation, um zu bestätigen, dass das Restrisiko innerhalb der akzeptablen Schwellenwerte bleibt, die während der Risikobewertung festgelegt wurden.

Zuverlässigkeitsingenieurteams übersetzen diese Ziele in messbare Leistungskennzahlen – Wiederholprüfungsintervalle, diagnostische Abdeckungsgrade und Anteile gemeinsam verursachter Ausfälle. Die Systemdiagnostik muss gefährliche unerkannte Ausfälle erkennen, bevor diese die Schutzkapazität beeinträchtigen. Sicherheitsprotokolle, die Inspektionspläne und Reparaturzeitfenster regeln, leiten sich direkt von den Wahrscheinlichkeitszielen ab, die jeder SIF zugewiesen sind. Compliance-Audits überprüfen, ob die betrieblichen Praktiken das erforderliche Integritätsniveau aufrechterhalten, und stellen sicher, dass eine Degradation im Laufe der Zeit die Ausfallwahrscheinlichkeit bei Anforderung niemals über die festgelegte SIL-Grenze hinaus verschiebt.

Wie wird ein SIL-Level zugewiesen?

1. Risikograph-Methode — Bildet Schadensschwere, Aufenthaltshäufigkeit, Vermeidungswahrscheinlichkeit und Anforderungsrate auf ein standardisiertes Entscheidungsrahmenwerk ab.
2. Gefahren- und Betriebsfähigkeitsuntersuchung (HAZOP) — Identifiziert Abweichungen in Prozessbedingungen, die zu gefährlichen Ausfällen führen könnten.
3. Schutzebenenanalyse (LOPA) — Quantifiziert die Risikominderung durch unabhängige Schutzebenen, um das erforderliche SIL zu bestimmen.
4. Fehlerbaumanalyse (FTA) — Berechnet die Ausfallwahrscheinlichkeit durch systematische Modellierung beitragender Fehlerereignisse.

Jede Methode gewährleistet eine objektive, nachvollziehbare Zuordnung im Einklang mit akzeptablen Risikoschwellenwerten.

Warum SIL für sicherheitsinstrumentierte Systeme wichtig ist

Sobald ein SIL-Level durch eine anerkannte Methode zugewiesen wurde, zeigt sich seine praktische Bedeutung bei der Auslegung, dem Betrieb und der Verifizierung von sicherheitsinstrumentierten Systemen (SIS). Das zugewiesene SIL bestimmt die Hardwarearchitektur, die Anforderungen an die Diagnoseabdeckung und die zulässigen Ausfallraten für jede Sicherheitsfunktion. Ingenieure müssen sicherstellen, dass jede Komponente innerhalb des SIS die Zuverlässigkeitsziele entsprechend der festgelegten Stufe erfüllt.

Die Einhaltung von Sicherheitsnormen wie IEC 61508 und IEC 61511 erfordert dokumentierte Nachweise, dass das SIS sein Ziel-SIL über den gesamten Lebenszyklus hinweg erreicht. Dies umfasst die Hardwarefehlertoleranz, Bewertungen der systematischen Fähigkeit sowie Prüfintervalle für Wiederholungsprüfungen. Ohne eine ordnungsgemäße SIL-Klassifizierung, die auf einer gründlichen Risikobewertung basiert, sind Organisationen einem nicht quantifizierten Restrisiko ausgesetzt. SIL stellt sicher, dass die Risikominderung messbar, auditierbar und rückverfolgbar ist – und verwandelt Sicherheit von einem qualitativen Anspruch in einen technisch fundierten, überprüfbaren Leistungsmaßstab für kritische industrielle Prozesse.

Warum eine SIL-Einstufung nicht bedeutet, dass ein Gerät „sicher“ ist

Ein SIL-Rating quantifiziert die Versagenswahrscheinlichkeit eines Systems bei Anforderung, garantiert jedoch allein nicht, dass ein Gerät unter allen Betriebsbedingungen sicher funktioniert. Die tatsächliche Sicherheit hängt vom übergeordneten Kontext ab – einschließlich der korrekten Systemarchitektur, der ordnungsgemäßen Installation und der Integration in eine validierte sicherheitstechnische Funktion. Darüber hinaus beeinflussen die laufende Wartung und regelmäßige Funktionsprüfungen unmittelbar, ob ein Gerät über seinen gesamten betrieblichen Lebenszyklus hinweg weiterhin dem zugewiesenen SIL entspricht.

SIL begrenzt nur das Risiko

Obwohl eine höhere SIL-Einstufung auf eine größere Risikominderungsfähigkeit hinweist, bescheinigt sie nicht, dass ein Gerät oder System von Natur aus „sicher“ ist. SIL bezieht sich auf die Wahrscheinlichkeit, dass eine Sicherheitsfunktion bei Anforderung nicht ausgeführt wird – es quantifiziert die Zuverlässigkeit einer bestimmten Schutzschicht, nicht die Gesamtsicherheit der Ausrüstung oder des Prozesses, den sie schützt.

Gemäß den etablierten SIL-Definitionen gelten mehrere wesentliche Unterscheidungen:

1. SIL misst die Ausfallwahrscheinlichkeit, nicht die Beseitigung von Gefahren – ein Restrisiko bleibt immer bestehen.
2. Die Risikobewertung muss das gesamte System berücksichtigen, einschließlich menschlicher Faktoren, mechanischer Integrität und Umgebungsbedingungen, die über den SIL-Anwendungsbereich hinausgehen.
3. Ein SIL-eingestuftes Bauteil kann versagen, wenn es unsachgemäß installiert, gewartet oder außerhalb seiner validierten Betriebsparameter eingesetzt wird.
4. Sicherheit erfordert einen mehrschichtigen Schutz; kein einzelnes SIL-eingestuftes Gerät ersetzt umfassende Risikomanagementstrategien.

Kontext bestimmt wahre Sicherheit

Das Verständnis, dass SIL die Ausfallwahrscheinlichkeit quantifiziert, anstatt die Beseitigung von Gefahren zu garantieren, führt zu einem grundlegenden Prinzip: Die reale Sicherheit jedes SIL-eingestuften Geräts hängt vollständig vom Kontext ab, in dem es betrieben wird. Ein SIL 3-eingestufter Sensor kann in einer Anwendung eine angemessene Risikominderung bieten, während dasselbe Gerät in einer anderen Prozessumgebung möglicherweise unzureichend ist.

Kontextbezogene Sicherheit erfordert die Bewertung von Faktoren, die über das Zertifizierungslabel des Geräts hinausgehen – Prozessbedingungen, Ausfallfolgen, menschliche Expositionsniveaus und Umgebungsvariablen beeinflussen alle die tatsächlichen Risikoergebnisse. Eine gründliche Sicherheitsbewertung muss die Installationsqualität, Wartungspraktiken, Diagnoseabdeckung und systematische Ausfallarten berücksichtigen, die für jede betriebliche Umgebung einzigartig sind.

Normen wie IEC 61511 verlangen ausdrücklich eine standortspezifische Analyse. Keine SIL-Einstufung ersetzt eine rigorose, anwendungsspezifische Bewertung, ob die erreichte Risikominderung die tolerierbaren Risikoziele erfüllt.

Wartung beeinflusst die Leistung

1. Wiederholungsprüfungen (Proof Testing) in den im Sicherheitshandbuch festgelegten Intervallen, um gefährliche unerkannte Fehler zu erkennen.
2. Diagnostische Überwachung, um sicherzustellen, dass Sensoren, Logiklöser und Endglieder innerhalb der Toleranzen arbeiten.
3. Komponentenaustausch, bevor Verschleißmechanismen die Versagenswahrscheinlichkeit bei Anforderung beeinträchtigen.
4. Dokumentationsprüfungen, um sicherzustellen, dass die Wartungsaufzeichnungen mit den Annahmen übereinstimmen, die der SIL-Berechnung zugrunde liegen.

Ohne diese Maßnahmen wird eine SIL-Einstufung zu einem historischen Artefakt und nicht zu einer betrieblichen Garantie.

SIL-Zertifizierung vs. SIL-Fähigkeit: Was ist der Unterschied?

Eine SIL-Fähigkeitsbewertung hingegen bewertet, ob ein Gerät innerhalb einer bestimmten sicherheitsinstrumentierten Funktion ein angestrebtes Ausfallmaß erreichen kann. Dies hängt von der Hardwarefehlertoleranz, der Diagnoseabdeckung und der Ausfallwahrscheinlichkeit bei Anforderung ab.

Ein Gerät kann eine SIL-3-Zertifizierung besitzen und dennoch innerhalb einer bestimmten Architektur nur eine SIL-2-Fähigkeit liefern. Die Zertifizierung betrifft die Entwicklungsintegrität; die Fähigkeit betrifft die quantitative Leistung. Ingenieure müssen beides unabhängig voneinander verifizieren. Die Annahme, dass eine Zertifizierung die Fähigkeit garantiert, führt ein inakzeptables Risiko in sicherheitskritische Anwendungen ein und verstößt gegen die Absicht der funktionalen Sicherheitsnormen.

Welche Branchen erfordern SIL-zertifizierte Systeme?

Praktisch jede Branche, in der Geräteausfälle zum Tod, zu Umweltschäden oder zu katastrophalen Vermögensverlusten führen können, schreibt den Einsatz von SIL-bewerteten Systemen vor. Regulatorische Rahmenwerke in allen Sektoren setzen eine strikte Einhaltung durch, um inakzeptable Risikoniveaus zu mindern.

1. Erdölexploration und chemische Fertigung — Diese Sektoren stützen sich auf SIL-bewertete Prozessleitsysteme, um Explosionen, toxische Freisetzungen und Umweltkontamination gemäß IEC 61511 zu verhindern.
2. Kernenergie — Reaktorschutzsysteme erfordern die höchsten Integritätsstufen, häufig SIL 3 oder SIL 4, angesichts der Schwere möglicher Konsequenzen.
3. Automobilsicherheit und Luft- und Raumfahrtanwendungen — Funktionale Sicherheitsnormen wie ISO 26262 und ARP 4754A regeln sicherheitskritische Systeme in Fahrzeugen und Flugzeugen.
4. Pharmazeutische Produktion und industrielle Automatisierung — SIL-bewertete Instrumentierung gewährleistet Chargenintegrität, Bedienerschutz und die Einhaltung regulatorischer Vorschriften in automatisierten Fertigungsumgebungen.

Jede Branche wendet domänenspezifische Normen an und hält sich dabei an die übergreifenden Grundsätze der IEC 61508.

Wie Sie die Einhaltung der Sicherheitssystemvorschriften in Ihrer Einrichtung überprüfen

Die Bestätigung, dass die sicherheitsinstrumentierten Systeme einer Anlage ihre zugewiesenen SIL-Anforderungen erfüllen, erfordert einen strukturierten, evidenzbasierten Verifizierungsprozess, der auf IEC 61508 und allen anwendbaren branchenspezifischen Normen basiert. Dieser Prozess beginnt mit einer gründlichen Lückenanalyse, bei der die installierten Systemarchitekturen, die Sensorredundanz und die Diagnoseabdeckung mit der angestrebten SIL-Klassifizierung verglichen werden.

Regelmäßige Sicherheitsaudits, die von qualifizierten Ingenieuren für funktionale Sicherheit durchgeführt werden, bewerten die Hardwarefehlertoleranz, die Wiederholprüfungsintervalle und die Softwareintegrität. Diese Audits erzeugen quantifizierbare Risikokennzahlen, einschließlich der Ausfallwahrscheinlichkeit bei Anforderung, die innerhalb der für jede SIL-Stufe definierten Schwellenwerte bleiben muss.

Ebenso entscheidend ist die fortlaufende Compliance-Schulung für Betriebs- und Wartungspersonal. Das Personal muss die Prüfprotokolle, Überbrückungsverfahren und Dokumentationsanforderungen verstehen. Ohne kompetentes Personal, das validierte Verfahren ausführt, können selbst ordnungsgemäß konzipierte Sicherheitssysteme unter die akzeptablen Leistungsschwellen absinken und die Anlage nicht abgemilderten Gefahren aussetzen.