Risikoanalyse & Safety Engineering

Sicherheit entsteht nicht allein durch zuverlässige Komponenten. Bei komplexen, softwareintensiven und zunehmend autonomen Systemen können Gefährdungen auch durch unerwartete Wechselwirkungen zwischen Technik, Software, Menschen, Organisation und Betriebsprozessen entstehen.

Wir identifizieren Gefährdungen, analysieren und bewerten Risiken und leiten daraus Sicherheitsanforderungen sowie technische und organisatorische Massnahmen ab. Dabei kombinieren wir etablierte Verfahren der funktionalen Sicherheit mit systemtheoretischen Methoden wie STPA.

Unser Ziel ist nicht nur die Dokumentation von Risiken. Die Ergebnisse der Safety-Analyse fliessen direkt in Systemkonzept, Architektur, Entwicklung, Verifikation und Validierung sowie in die spätere Bewertung des Systems im Betrieb ein.

1. Welche Gefährdungen entstehen durch das System, seine Umgebung und die vorgesehene Nutzung?
2. Welche Risiken entstehen durch Fehler einzelner Komponenten und welche durch Wechselwirkungen im Gesamtsystem?
3. Welche Safety-Methoden und normativen Anforderungen sind für das konkrete System relevant?
4. Welche Sicherheitsanforderungen müssen an System, Hardware, Software und Betrieb gestellt werden?
5. Wie können Safety-Anforderungen bereits bei Systemkonzept und Architektur berücksichtigt werden?
6. Wie lassen sich Änderungen am System oder neue Betriebsbedingungen hinsichtlich ihrer Auswirkungen auf die Sicherheit bewerten?

Je nach Anwendung, Systemkomplexität und regulatorischem Umfeld kombinieren wir unterschiedliche Analyse- und Engineering-Methoden. Entscheidend ist dabei nicht die Anwendung einer einzelnen Methode, sondern ein konsistenter Safety-Prozess über den Systemlebenszyklus.

• System und Kontext verstehen
  Wir analysieren Systemgrenzen, Funktionen, Einsatzumgebung, Betriebszustände, Schnittstellen und beteiligte Akteure. Ebenso berücksichtigen wir relevante regulatorische und normative Rahmenbedingungen.
• Gefährdungen identifizieren
  Wir untersuchen systematisch, unter welchen Bedingungen Menschen, Umwelt, Anlagen oder das System selbst gefährdet werden können. Dabei betrachten wir sowohl klassische Fehlerursachen als auch unsichere Interaktionen und Systemzustände.
• Risiken analysieren und bewerten
  Gefährdungen werden hinsichtlich ihrer Ursachen und möglichen Konsequenzen analysiert und – wo sinnvoll – qualitativ oder quantitativ bewertet.
• Sicherheitsanforderungen und Massnahmen ableiten
  Aus der Analyse entwickeln wir konkrete Anforderungen an Systemarchitektur, Hardware, Software, Bedienung und Betrieb. Dazu gehören beispielsweise Sicherheitsfunktionen, Überwachung, Redundanzen, Diagnose, definierte sichere Zustände oder Einschränkungen automatisierter Funktionen.
• Safety nachweisen
  Wir strukturieren Ergebnisse aus Risikoanalyse, Entwicklung und V&V zu einer nachvollziehbaren Sicherheitsargumentation und unterstützen bei den erforderlichen Safety-Nachweisen.
• Safety über den Lebenszyklus weiterführen
  Systemänderungen, Softwareupdates, neue Betriebsbedingungen oder Erkenntnisse aus dem realen Einsatz können bestehende Annahmen verändern. Deshalb betrachten wir Risikoanalyse und Safety Engineering als kontinuierliche Aktivitäten über Entwicklung und Betrieb hinweg.

Wir setzen unterschiedliche Methoden abhängig von System, Fragestellung und Entwicklungsphase ein und kombinieren diese bei Bedarf.

• Funktionale Sicherheit
  Funktionale Sicherheit betrachtet die Beherrschung von Risiken durch sicherheitsbezogene Funktionen und deren zuverlässige Umsetzung. Wir unterstützen bei der Definition von Sicherheitsfunktionen, Sicherheitsanforderungen und geeigneten Architekturen sowie bei deren Nachweis.
• STPA, CAST & STAMP
  STPA betrachtet Sicherheit aus einer systemtheoretischen Perspektive. Neben Komponentenfehlern können damit insbesondere unsichere Interaktionen zwischen Software, Automatisierung, Menschen, Organisation und weiteren Systemen analysiert werden. Das ist besonders relevant für komplexe sozio-technische, softwareintensive und autonome Systeme.
  CAST erlaubt Unfällle oder Vorfälle zu untersuchen und dabei über die klassischen Fehlerursachen hinauszugehen und zum Beispiel auch die Interaktion zwischen Mensch und System zu analyisieren.
  Beide Methoden basieren auf dem von Nancy Leveson am Massachusetts Institute of Technology entwickelten "System-Theoretic Accident Modell and Process" (STAMP).

• Klassische Analyseverfahren
  Je nach Fragestellung setzen wir unter anderem ein:

  • FMEA / FMECA / FMEDA
  • Fault Tree Analysis (FTA)
  • HAZOP
  • klassische Hazard- und Risikoanalysen (HARA)
  • quantitative Risikomodelle (z.B. RBD, Markov)
  • Ereignis- und Fehleranalysen

  Die Methoden werden gezielt kombiniert, damit unterschiedliche Arten von Gefährdungen und Fehlermechanismen erfasst werden.

Safety Engineering ist für uns Teil der Systementwicklung. Erkenntnisse aus Risikoanalysen sollen konkrete technische Entscheidungen auslösen.

Dies kann beispielsweise zu:

• zusätzlichen Sicherheitsfunktionen,
• Änderungen der Systemarchitektur,
• Redundanzen und Diversität,
• zusätzlichen Sensor- oder Diagnosefunktionen,
• definierten sicheren Zuständen,
• Einschränkungen autonomer Funktionen,
• zusätzlichen V&V-Aktivitäten oder
• Monitoring-Anforderungen für den Betrieb 

führen.

Damit entsteht eine direkte Verbindung zwischen Risikoanalyse, technischer Entwicklung, Nachweisführung und Betrieb.

Mit zunehmender Automatisierung verschiebt sich die Safety-Fragestellung. Nicht nur Fehlfunktionen sind relevant: Auch eine technisch fehlerfrei arbeitende Funktion kann durch unzureichende Wahrnehmung, falsche Annahmen über die Umgebung oder unerwartete Interaktionen zu einem gefährlichen Systemverhalten führen.

Bei autonomen und KI-basierten Systemen verbinden wir deshalb klassische funktionale Sicherheit mit systemischen Risikoanalysen, SOTIF-orientierter Betrachtung, Szenarien, V&V und der Bewertung des Systems im realen Betrieb.

Je nach Anwendungsbereich arbeiten wir unter anderem mit folgenden Normen und Normenfamilien:

Grundlegende funktionale Sicherheit
IEC 61508 – branchenübergreifender Safety Lifecycle für E/E/PE-sicherheitsbezogene Systeme.

Strassenfahrzeuge
ISO 26262 – Functional Safety · ISO 21448 – SOTIF, insbesondere für ADAS, automatisiertes Fahren sowie komplexe Sensor- und Verarbeitungsfunktionen. Functional Safety und SOTIF adressieren dabei unterschiedliche, komplementäre Safety-Aspekte.

Bahnsysteme
EN 50126 – RAMS/Safety Lifecycle · EN 50716 – Softwareentwicklung · EN 50129 – sicherheitsbezogene elektronische Signaltechnik und Safety-Nachweis. EN 50716 ist die aktuelle europäische Norm für die Softwareentwicklung in den entsprechenden Bahnanwendungen.

Maschinen
ISO 12100 – Risikobeurteilung · ISO 13849-1 und IEC 62061 – sicherheitsbezogene Steuerungssysteme. IEC 62061 als maschinenspezifische Functional-Safety-Norm im Rahmen der IEC 61508.

Medizinsysteme
ISO 14971 – Risikomanagement für Medizinprodukte; je nach System ergänzt durch produkt-, Software- und gerätespezifische Normen.

Nukleare Anlagen
IEC 61513 und weitere anlagenspezifische Normen für sicherheitsrelevante Instrumentierungs- und Leittechnik.