Blitzschutz beim VDE

Funktionale Sicherheit ist Teil der Gesamtsicherheit eines Geräts, einer Anlage, eines Zugs, Autos oder eines anderen komplexen automatisierten Systems. Funktionale Sicherheit zielt immer darauf ab, Menschen oder die Umwelt vor Fehlfunktionen zum Beispiel von Automatisierungssystemen zu schützen. Dazu werden Sicherheitsfunktionen eingeführt.

Denn ohne Funktionale Sicherheit würden Züge nicht unfallfrei fahren, könnten Chemieanlagen nicht sicher bedient werden oder Airbags würden im falschen Moment ausgelöst werden. Auch für Zukunftsthemen wie autonomes Fahren, Künstliche Intelligenz, Smart Home und Industrie 4.0 ist Funktionale Sicherheit Wegbereiter.

Da sich Risiken jedoch nie ganz vermeiden lassen, gilt es, sie auf ein tolerierbares Mindestmaß zu senken. Dazu bedarf es einer Risikoanalyse der Gefahren, die vom System ausgehen können. Eine solche Risikoanalyse sollte der Systementwickler – respektive derjenige, der ein System integriert oder beauftragt – am Anfang jeder Systementwicklung durchführen. Je nach Branche sind die Verantwortlichkeiten unterschiedlich geregelt: Beispielsweise ist bei einem Chemiepark der Betreiber für die Risikoanalyse zuständig, beim Auto ist es der Hersteller.

Risikoanalyse

Bei der Risikoanalyse werden mögliche Risiken in drei Kategorien eingeteilt:

akzeptabel
tolerierbar
inakzeptabel.

Nun muss der Systementwickler Maßnahmen ableiten, damit kein inakzeptables Risiko mehr besteht. Auch die tolerierbaren Risiken sollten sich möglichst vermeiden lassen. Ein Beispiel ist die Zuverlässigkeit einer Sicherheitssteuerung. Um diese zu erhöhen, können Sicherheitssteuerungen redundant ausgelegt oder Bauteile mit höherer Zuverlässigkeit verwendet werden. Bei Software können unsichere Programmiersprachen ausgeschlossen oder Anwendungen verboten werden, etwa Sprungbefehle – sogenannte „go-to‘s“ – dynamische Zeiger, bestimmte Datentypen oder Interrupts.
Es reicht dabei aber nicht aus, die Sicherheit während der Entwicklung zu berücksichtigen. Vielmehr muss der gesamte Lebenszyklus des Systems oder der Anlage beachtet werden. Dazu zählen:

Inspektionen und Wartung
Reparaturen
Anpassungen, Modifikationen und Updates
Außerbetriebnahme.

Kontaktieren Sie uns:

Was ist der Unterschied zwischen Funktionaler Sicherheit und Informationssicherheit?

Kurz gesagt: Funktionale Sicherheit = Safety; Informationssicherheit = Security

Sicherheitsfunktionen haben die Aufgabe, Leib und Leben oder die Umgebung vor Gefahren zu schützen. Ein Beispiel dafür sind Fehlfunktionen von Automatisierungssystemen. Security hingegen schützt Automatisierungssysteme vor Angriffen aus der Umgebung. Ein solcher Angriff kann neben der Betriebsfunktion auch auf die Safety-Funktionen eines Systems abzielen.

Kurz gesagt: Funktionale Sicherheit = Safety; Informationssicherheit = Security

Sicherheitsfunktionen haben die Aufgabe, Leib und Leben oder die Umgebung vor Gefahren zu schützen. Ein Beispiel dafür sind Fehlfunktionen von Automatisierungssystemen. Security hingegen schützt Automatisierungssysteme vor Angriffen aus der Umgebung. Ein solcher Angriff kann neben der Betriebsfunktion auch auf die Safety-Funktionen eines Systems abzielen.

Safety und Security sind also zwei unterschiedliche Konzepte und müssen folglich auch anders behandelt werden: Bei Security lässt sich – anders als bei Safety – keine Wahrscheinlichkeit oder Rate eines Angriffs abschätzen, in der Security liegt der Fokus auf dem Angreifer, der die Schwachstelle eines Systems ausnutzt. Sein Ziel ist es, die Vertraulichkeit, Integrität oder Verfügbarkeit zu verletzen. In der Safety hingegen lassen bestimmte Bedingungen in der Betriebsumgebung zum Beispiel einen Software-Fehler wirksam werden, was dann zu einem Systemversagen führt.

In der Safety gilt die allgemeine Regel, dass der erste Fehler nicht gefährlich sein darf. Erst ein zweiter, ähnlicher Fehler darf ein Versagen verursachen. Daher beruhen viele Sicherheitsdesigns darauf, den ersten Fehler zu erkennen und unschädlich zu machen. In der Security existiert ein ähnliches Konzept: Verteidigung in der Tiefe (Defense in Depth). Das bedeutet, dass eine einzelne Security-Maßnahme niemals als perfekt und ausreichend angesehen werden darf.

Das britische Verkehrsministerium bringt es auf den Punkt: „Wenn etwas nicht secure ist, ist es wahrscheinlich nicht safe.“ Das bedeutet: Die Security-Umgebung muss die essenziellen Funktionen schützen – vor allem die Sicherheitsfunktionen.

Eine Herausforderung für die Zukunft wird daher sein, die Themenfelder Safety und Security und deren Zusammenspiel genau zu erfassen, um keine unzureichend oder unangemessen hohe Anforderungen zu stellen. Unzureichende Anforderungen können die Funktionale Sicherheit beeinträchtigen, unangemessen hohe Anforderungen die Wirtschaftlichkeit.

Funktionale Sicherheit und Autonome Systeme

Das Hauptmerkmal und der Vorteil autonomer Systeme ist ihre Flexibilität. Der Konstrukteur des Systems ist jedoch in der Pflicht, die Systemgrenzen und Einsatzszenarien – also Abstände, Geschwindigkeiten, Ausweichmöglichkeiten sowie Quetsch-und Scherstellen etc. – für eine Risikobeurteilung zu analysieren.

Dies widerspricht auf den ersten Blick dem Grundprinzip autonomer Systeme: in ihnen werden keine konkreten Bereiche definiert. Deshalb gilt es, beim Zusammenspiel von Funktionaler Sicherheit und Autonomen Systemen diese unterschiedlichen Anforderungen zu berücksichtigen. Hier braucht es Lösungen, die Autonome Systeme auch für beliebige Individualität sicher machen.

Die Möglichkeiten für autonome Systeme werden durch Hinzufügen von Künstlicher Intelligenz massiv erweitert: So kann KI kritische Situationen beim autonomen Fahren vermeiden. Und auch in Sicherheitssystemen spielt KI eine wichtige Rolle.

Besonders weit entwickelt ist Maschinelles Lernen bei der Bilderkennung, die beim autonomen Fahren zum Einsatz kommt. Hierbei verstärkt Maschinelles Lernen die Fähigkeiten der Sensoren. Die eigentliche Regelung oder Steuerung übernehmen konventionelle Softwaremethoden.

Es zeigt sich, dass vor allem die Qualität der Trainingsdaten für den Erfolg entscheidend ist. Allerdings besteht hier noch Forschungsbedarf, inwiefern sich diese Qualität erreichen lässt, um Robustheit zu erlangen. So unterscheidet sich beispielsweise das deutsche Straßenbild von dem in Indien – mit unter Umständen verheerende Folgen: eine in Indien trainierte KI könnte eine deutsche Fußgängerzone für eine Straße halten.

Die IEC 61508 verbietet die Verwendung von KI nicht, allerdings wird diese auch nicht empfohlen. Experten raten deshalb auf KI zu verzichten, wenn sich eine Aufgabe auch mit konventionellen oder etablierten Software-Methoden bewältigen lässt. Auch beim Maschinellen Lernen lässt sich mit – einigem Aufwand – das Verhalten nachvollziehen. Es bietet sich deshalb an Verfahren zum Maschinellen Lernen als scheinbar-nicht-deterministisch zu bezeichnen.

Wie lässt sich Funktionale Sicherheit nachweisen?

Am zuverlässigsten lässt sich Funktionale Sicherheit nachweisen, indem alle relevanten Normen zu diesem Thema eingehalten werden. So regeln beispielsweise die IEC 61508, ISO 13849, ISO 26262 Anforderungen an die Funktionale Sicherheit. Dass diese Normen korrekt angewendet werden, überprüfen Fachleute, wie die unabhängigen Prüfingenieure des VDE-Instituts.