IEC 61508 (Grundnorm der funktionalen Sicherheit)
IEC 61508 ist die branchenübergreifende Grundnorm für die funktionale Sicherheit elektrischer, elektronischer und programmierbar elektronischer (E/E/PE) Systeme. Sie definiert den Sicherheitslebenszyklus und die vier Stufen SIL 1 bis SIL 4 und ist die Basis zahlreicher Sektornormen wie der ISO 26262 — deshalb wird sie oft als „Mutternorm" der funktionalen Sicherheit bezeichnet.
Aufbau: Sieben Teile
Die Norm (aktuelle zweite Edition, 2010) gliedert sich in sieben Teile:
| Teil | Inhalt |
|---|---|
| 1 | Allgemeine Anforderungen, Sicherheitslebenszyklus |
| 2 | Anforderungen an sicherheitsbezogene E/E/PE-Systeme (Hardware) |
| 3 | Anforderungen an Software |
| 4 | Begriffe und Abkürzungen |
| 5 | Beispiele und Verfahren zur Bestimmung der Sicherheitsintegritätslevel |
| 6 | Anwendungsrichtlinien zu Teil 2 und 3 |
| 7 | Überblick über Verfahren und Maßnahmen |
Kernkonzepte
Die IEC 61508 verankert drei Grundideen, die sich durch alle Ableitungen ziehen. Erstens den Sicherheitslebenszyklus: Sicherheit entsteht nicht durch eine einzelne Prüfung am Ende, sondern durch definierte Aktivitäten von der Gefährdungs- und Risikoanalyse über Spezifikation, Realisierung und Validierung bis zu Betrieb, Modifikation und Außerbetriebnahme. Zweitens den risikobasierten Ansatz: Aus dem Risiko einer Anwendung wird abgeleitet, wie zuverlässig eine Sicherheitsfunktion sein muss — ausgedrückt als Safety Integrity Level (SIL). Drittens die Unterscheidung zwischen zufälligen Hardware-Ausfällen, die probabilistisch bewertet werden, und systematischen Fehlern (etwa in Spezifikation oder Software), denen mit Prozess-Strenge, geeigneten Methoden und Verifikation begegnet wird. Für die höchsten Stufen empfehlen die Methodentabellen von Teil 3 formale Methoden dringend.
Die Wurzel der Sektornormen
Aus der IEC 61508 sind branchenspezifische Normen abgeleitet worden, die ihre Prinzipien auf die jeweilige Domäne zuschneiden:
| Branche | Sektornorm |
|---|---|
| Automotive | ISO 26262 |
| Prozessindustrie | IEC 61511 |
| Maschinenbau | IEC 62061 |
| Bahntechnik | EN 50129, EN 50716 |
| Agrartechnik | ISO 25119 |
Weitere Domänen wie Medizintechnik (IEC 62304) oder Luftfahrt (DO-178C) haben eigene Normenwerke, die vergleichbaren Grundprinzipien folgen. Wer nur eine einzige Ableitung kennt, hält deren Eigenheiten leicht für Naturgesetze — der Blick auf die gemeinsame Wurzel hilft, die Absichten hinter den Anforderungen zu verstehen.
Wann gilt die IEC 61508 direkt?
Existiert eine anwendbare Sektornorm, hat diese in der Regel Vorrang. Die IEC 61508 wird direkt angewendet, wo keine Sektornorm greift, sowie von Herstellern von Komponenten, die branchenübergreifend in Sicherheitsfunktionen eingesetzt werden sollen — etwa Sensoren, Steuerungen oder Software-Bausteine, die als „geeignet für den Einsatz bis SIL x" ausgewiesen werden.
IEC 61508 in der Praxis
Praktisch bedeutet Konformität vor allem Nachweisarbeit: Für jede Sicherheitsfunktion muss belegt werden, dass die geforderte Sicherheitsintegrität erreicht ist — durch Ausfallanalysen für die Hardware, durch nachvollziehbar strenge Entwicklung für die Software und durch eine lückenlose Ableitungskette von der Risikoanalyse über die Sicherheitsanforderungen bis zu Verifikation und Validierung. Mit steigendem SIL wachsen dabei nicht nur die technischen Anforderungen, sondern auch die geforderte Unabhängigkeit der prüfenden Instanzen. Wer diese Querbezüge nicht als digitale Trace-Links pflegt, muss sie bei jeder Änderung von Hand rekonstruieren — bei kurzen Entwicklungszyklen skaliert das nicht.