Hallo,
ich bin zwar nicht in der Prozessindustrie sondern Automotive unterwegs,
die ersten paar Jahre aber noch mit der 61508 "großgeworden".
So pauschal lässt sich das nicht beantworten. Zum einen kommt es darauf
an, welches Level benötigt wird (SIL 4 braucht etwas anderes als SIL 1),
zum anderen auch darauf, ob das Element ein Fail Safe erlaubt, oder ob
ein Fail Functional notwendig ist (letzteres dürfte speziell bei einigen
Chemieanlagen notwendig sein).
Ansonsten gilt: So sicher wie notwendig, so verfügbar wie wirtschaftlich
sinnvoll. Wenn man einen bestimmten SIL also nur durch redundante
Abschaltpfade erreichen kann, benötigt man eine entsprechende Anzahl von
Sensoren. Denen darf man dann so viele weitere Redundanzen zur Erhöhung
der Verfügbarkeit hinzufügen wie man Budget hat, so lange dadurch die
Fehlerrate nicht erhöht wird.
Übersetzt zu Deinen Beispielen:
1001: Nur ein Sensor wird berücksichtigt - geht der Sensor kaputt muss
man in den Safe State -> mittlere Sicherheit, schlechte Verfügbarkeit.
1002: Zwei Sensoren "oder" verschaltet: - wie 1001, nur sicherer -> hohe
Sicherheit, schlechte Verfügbarkeit
2002: Zwei Sensoren die sich gegenseitig diagnostizieren: wird erkannt,
welcher defekt ist, kann mit dem anderen weitergearbeitet werden ->
Mittlere Sicherheit, hohe Verfügbarkeit
2003: "Zwei aus drei-Auswahl" -> Verbesserte Erkennung des defekten
Sensors -> hohe Sicherheit, hohe Verfügbarkeit. Klassische
"Hoch-Redundanz" z.B. für Anzeigen in Sicherheitsprozessen (z.B.
Atomkraftwerke).
Daneben gibt es noch andere Verschaltungen, die entweder nur die
Sicherheit erhöhen, oder aber nur die Verfügbarkeit. Das Komplexeste was
ich bisher hatte war ein Sensorsystem, welches Einzelfehler vollständig
kompensieren und gefährliche Doppelfehler sicher erkennen konnte
(digital, also Hamming-Distanz von 4 zwischen den sicherheitsrelevanten
Positionen). War auf Grund von ein paar interessanten Ideen gleichzeitig
billiger als das bis dahin eingesetzte System, welches bei einem
Einfachfehler in den Safe State gehen musste.
Üblich sind im Automotive-Bereich 1001 bis ASIL B (SIL 1), 1002 für
ASIL C/D (SIL 2 / 3) bei Fail-Safe-Systemen. Bei Fail-Functioinal dann
eher 2001/2002/2003.
Es kommt also wie immer "darauf an" - also was die Anforderungen sind,
welche Möglichkeiten man hat und ob einem eine gute Idee kommt, die
Anforderungen mit möglichst wenig Mitteln umzusetzen.
Schöne Grüße,
Martin
