SIL (Safety Integrity Level)
SIL (Safety Integrity Level) ist die Risikoeinstufung der IEC 61508 für sicherheitsbezogene elektrische, elektronische und programmierbar elektronische (E/E/PE) Systeme. Die vier Stufen SIL 1 (niedrigste) bis SIL 4 (höchste) legen fest, wie unwahrscheinlich der gefahrbringende Ausfall einer Sicherheitsfunktion sein muss und wie streng ihre Entwicklung abzusichern ist.
Wie wird der SIL bestimmt?
Ausgangspunkt ist die Gefährdungs- und Risikoanalyse der Anwendung: Welches Risiko entsteht, wenn die Sicherheitsfunktion versagt? Bewertet werden dabei qualitativ oder quantitativ unter anderem das mögliche Schadensausmaß, die Aufenthaltsdauer im Gefahrenbereich, die Möglichkeit der Gefahrenabwendung und die Eintrittswahrscheinlichkeit. IEC 61508-5 beschreibt dafür Verfahren wie den Risikographen. Das Ergebnis: Jede einzelne Sicherheitsfunktion — nicht das System als Ganzes — erhält einen SIL, der die notwendige Risikoreduktion ausdrückt.
Zielausfallmaße: PFD und PFH
Jedem SIL sind Zielwerte für die Ausfallwahrscheinlichkeit der Sicherheitsfunktion zugeordnet — abhängig von der Betriebsart:
| SIL | PFDavg (Low Demand) | PFH (High Demand / kontinuierlich) |
|---|---|---|
| 4 | ≥ 10⁻⁵ bis < 10⁻⁴ | ≥ 10⁻⁹ bis < 10⁻⁸ pro Stunde |
| 3 | ≥ 10⁻⁴ bis < 10⁻³ | ≥ 10⁻⁸ bis < 10⁻⁷ pro Stunde |
| 2 | ≥ 10⁻³ bis < 10⁻² | ≥ 10⁻⁷ bis < 10⁻⁶ pro Stunde |
| 1 | ≥ 10⁻² bis < 10⁻¹ | ≥ 10⁻⁶ bis < 10⁻⁵ pro Stunde |
Im Low-Demand-Modus wird die Sicherheitsfunktion nur selten angefordert — typisch etwa eine Notabschaltung in der Prozessindustrie; bewertet wird die mittlere Ausfallwahrscheinlichkeit bei Anforderung (PFDavg). Im High-Demand- oder kontinuierlichen Modus arbeitet die Funktion häufig oder ständig; bewertet wird die Ausfallrate pro Stunde (PFH).
Sicherheitsintegrität ist mehr als Statistik
Die Zahlenwerte gelten für zufällige Hardware-Ausfälle. Systematische Fehler — etwa in der Spezifikation oder in der Software — lassen sich nicht sinnvoll probabilistisch bewerten. Deshalb koppelt die IEC 61508 an jeden SIL zusätzlich Anforderungen an den Entwicklungsprozess: Je höher die Stufe, desto strengere Methoden für Spezifikation, Architektur, Implementierung und Verifikation, desto höhere Anforderungen an die Fehlertoleranz der Architektur und desto größere Unabhängigkeit der prüfenden Instanzen. Für die höchsten Stufen empfehlen die Methodentabellen formale Methoden dringend. Ein SIL ist also nie nur eine Ausfallwahrscheinlichkeit, sondern immer auch ein Maß für die Strenge des gesamten Engineerings.
SIL vs. ASIL
Im Automobilbereich verwendet die ISO 26262 mit ASIL A bis D ein eigenes Schema. Beide Skalen haben vier Stufen, sind aber nicht 1:1 umrechenbar: Die ASIL-Einstufung berücksichtigt zusätzlich die Beherrschbarkeit durch den Fahrer, und die hinterlegten Zielwerte und Methodenanforderungen unterscheiden sich. Aussagen wie „ASIL D entspricht SIL 3" sind daher bestenfalls grobe Orientierung, kein Nachweis.
SIL in der Praxis
In der Praxis entscheidet der SIL über den realen Engineering-Aufwand: Anforderungs-Nachverfolgbarkeit, Testtiefe, Analysen und Unabhängigkeit der Prüfungen skalieren mit der Stufe. Wichtig ist dabei die saubere Zuordnung: Ein SIL gehört zu einer Sicherheitsfunktion im konkreten Anwendungskontext — ein zugekauftes „SIL 3-fähiges" Gerät macht eine Gesamtfunktion noch nicht SIL-3-konform. Der Nachweis entsteht erst aus der durchgängigen Kette von der Risikoanalyse über die Sicherheitsanforderungen bis zu Verifikation und Validierung der gesamten Funktion.