Funktionale Sicherheit ist der Teil der Sicherheit, der von einer korrekt arbeitenden Steuerung abhängt. Fällt eine Komponente aus, muss eine Schutzfunktion erkennen, dass etwas nicht stimmt, und das System in einen sicheren Zustand bringen — Antrieb abschalten, Druck ablassen, Lenkeingriff zurücknehmen, in einen Rückfallbetrieb wechseln.
Damit ist auch gesagt, was nicht dazugehört. Ein Schutzgitter, das den Eingriff in den Arbeitsraum verhindert, ist eine Sicherheitsmaßnahme, aber keine funktionale. Es reagiert nicht, es steht einfach da. Funktionale Sicherheit beginnt dort, wo Schutz von einer aktiven Reaktion abhängt.
Sicherheitsfunktion und sicherer Zustand
Zwei Begriffe tragen das ganze Thema. Die Sicherheitsfunktion beschreibt, was passieren muss, um eine bestimmte Gefährdung zu vermeiden. Der sichere Zustand beschreibt, wohin das System dabei geht.
Der zweite Begriff ist in der Praxis der schwierigere. Bei einer Maschine ist der sichere Zustand meist der Stillstand. Bei einem Fahrzeug in Fahrt ist er das gerade nicht — ein Steuergerät, das sich bei einem erkannten Fehler einfach abschaltet, kann die Lage verschlimmern. Deshalb arbeitet die Fahrzeugtechnik mit abgestuften Rückfallebenen und begrenzter Restfunktion statt mit einer harten Abschaltung. Wer den sicheren Zustand nicht sauber definiert, hat auch keine prüfbare Sicherheitsfunktion.
Eine Grundnorm, viele Branchenausprägungen
Ausgangspunkt ist IEC 61508 als branchenübergreifende Grundnorm für sicherheitsbezogene elektrische, elektronische und programmierbar elektronische Systeme. Aus ihr sind die branchenspezifischen Regelwerke abgeleitet: ISO 26262 für Straßenfahrzeuge, IEC 61511 für die Prozessindustrie, ISO 13849 und IEC 62061 für Maschinensteuerungen, eigene Normen für Bahnanwendungen und Landmaschinen.
Jede dieser Ausprägungen bringt ihre eigene Risikogröße mit: SIL in der Prozess- und Anlagentechnik, Performance Level im Maschinenbau, ASIL im Fahrzeug. Die Stufen sehen ähnlich aus und werden im Gespräch gern gleichgesetzt. Sie entstehen aber aus verschiedenen Bewertungsverfahren mit verschiedenen Annahmen über Anforderungsrate, Betriebsdauer und Diagnosemöglichkeiten. Eine Zuordnungstabelle ersetzt deshalb keine eigene Bewertung im Regelwerk der Zielbranche.
Nicht zu verwechseln mit Informationssicherheit
Funktionale Sicherheit fragt, ob das System bei einem Fehler richtig reagiert. Informationssicherheit fragt, ob jemand von außen in dieses System eingreifen kann. Beides trifft sich bei vernetzten Steuerungen, und im Fahrzeugbereich stehen die Regelwerke inzwischen ausdrücklich nebeneinander.
Die Verwechslung hat praktische Folgen. Ein Nachweis über Informationssicherheit wie ein TISAX-Label sagt nichts über die funktionale Sicherheit eines Steuergeräts aus. Umgekehrt löst eine saubere Sicherheitsanalyse kein einziges Zugriffsproblem.
Woran es in Projekten hakt
Der wiederkehrende Fehler ist die Reihenfolge. Funktionale Sicherheit wird als Nachweis am Projektende behandelt, obwohl sie in der Konzeptphase entschieden wird. Wer Architektur, Diagnose und Redundanz festgelegt hat, kann die Einstufung danach nicht mehr wesentlich beeinflussen, sondern nur noch dokumentieren, was er gebaut hat.
Der zweite Punkt ist die Unabhängigkeit. Alle Regelwerke verlangen, dass die abschließende Beurteilung nicht von denen kommt, die entwickelt haben — mit steigender Stufe steigt der geforderte Abstand. In kleinen Entwicklungsteams ist das eine Kapazitätsfrage, die früh zu klären ist. Wie das im Fahrzeugbereich konkret aussieht, beschreibt die Seite zu ISO 26262.