Co to właściwie znaczy, że system jest „bezpieczny”?

Kiedy mówimy o bezpieczeństwie w systemach technicznych, większość osób myśli o czujnikach, kurtynach, zaworach bezpieczeństwa. Ale bezpieczeństwo funkcjonalne (functional safety) nie polega na tym, żeby system nigdy się nie zepsuł, bo to niemożliwe. Chodzi o to, żeby skutki awarii nie doprowadziły do wypadku. I właśnie do tego służą takie pojęcia jak SIL, ASIL czy Performance Level (PL).

Awaria ma prawo się zdarzyć, ale czy skutki będą kontrolowane?

Po co te wszystkie poziomy bezpieczeństwa?

Nie każdy system musi być tak samo niezawodny. Błąd w systemie nawigacji to kłopot, ale błąd w sterowaniu hamulcami to już zagrożenie życia. Dlatego w functional safety nie ma jednego standardu „bezpiecznie” – są poziomy bezpieczeństwa, które określają, jak bardzo można ufać systemowi.

Poziom bezpieczeństwa to nic innego jak miara dopuszczalnego ryzyka. Im wyższy poziom (SIL4 lub ASIL D), tym mniejsze prawdopodobieństwo, że awaria doprowadzi do wypadku – i tym bardziej rygorystyczny proces projektowania.

SIL – Safety Integrity Level

Pochodzi z normy IEC 61508, czyli „matki” wszystkich norm bezpieczeństwa funkcjonalnego. SIL ma cztery poziomy (SIL1–SIL4). Każdy poziom określa, jak często funkcja bezpieczeństwa może zawieść.

Dla przykładu:

• SIL1 oznacza, że dopuszczalne prawdopodobieństwo awarii to ok. 1 na 1000 operacji,
• SIL3 – już tylko 1 na milion.

SIL to domena przemysłu procesowego, energetyki, chemii, gazu – wszędzie tam, gdzie błędy mają dużą skalę skutków. Im wyższy SIL, tym więcej wymaga się od:

• sprzętu (redundancja, diagnostyka, separacja),
• oprogramowania (metody projektowe, testy, ścisłe zarządzanie zmianą),
• procesu weryfikacji (niezależne przeglądy, walidacja, dokumentacja).

ASIL – Automotive Safety Integrity Level

W branży motoryzacyjnej używa się ASIL, zdefiniowanego w normie ISO 26262. Poziomy oznaczane są literami od A do D, gdzie D to najwyższy poziom bezpieczeństwa.

ASIL wyznacza się na podstawie trzech kryteriów:

• Severity (S) – jak poważne mogą być skutki awarii,
• Exposure (E) – jak często taka sytuacja może wystąpić,
• Controllability (C) – na ile kierowca może zareagować.

Na przykład:

• awaria świateł cofania to ASIL A,
• błąd w systemie hamowania to ASIL D.

Wraz z poziomem ASIL rosną wymagania wobec architektury systemu, redundancji, sposobu pisania kodu i testowania.

PL – Performance Level

Norma ISO 13849 odnosi się głównie do maszyn i systemów sterowania. Poziomy oznacza się literami a–e, gdzie e to najwyższy. PL opiera się na niezawodności komponentów, architekturze systemu oraz częstotliwości użycia. Typowo stosowany jest w przemyśle maszynowym, automatyce fabrycznej – np. w układach zatrzymania awaryjnego, barierach świetlnych, robotach.

To nie tylko liczby – to filozofia projektowania

SIL i ASIL nie są jedynie „etykietkami” przyklejanymi na koniec projektu. To cały sposób myślenia o bezpieczeństwie: od wymagań, przez projekt, aż po testy i utrzymanie. Chodzi o to, by bezpieczeństwo było wbudowane w system od początku, a nie „doklejone” na końcu.

V-model – kręgosłup bezpieczeństwa funkcjonalnego

Jeśli SIL i ASIL mówią, jak bezpieczny ma być system, to V-model pokazuje, jak go zrobić, żeby naprawdę był bezpieczny.

To schemat, w którym po lewej stronie mamy definiowanie wymagań i projektowanie, a po prawej testy i weryfikację. Każdy etap ma swój „lustrzany” etap po drugiej stronie litery V:

• wymagania bezpieczeństwa → testy walidacyjne,
• projekt systemu → testy integracyjne,
• projekt modułów → testy jednostkowe.

Ten model wymusza spójność i śledzenie wymagań. Dzięki temu można udowodnić, że to, co przetestowano, faktycznie odpowiada temu, co zostało zaprojektowane. Bez tego nie ma mowy o zgodności z SIL czy ASIL.

Dlaczego nie można po prostu dać „najwyższego” poziomu

Czasem ktoś mówi: „dajmy SIL4, wtedy będzie najbezpieczniej”. Niestety, tak to nie działa. Każdy wyższy poziom to:

• więcej testów i dokumentacji,
• wyższe koszty,
• dłuższy czas certyfikacji.

Projektowanie systemu o wyższym poziomie bezpieczeństwa niż potrzeba to jak kupowanie czołgu, żeby jeździć po zakupy – drogo i zupełnie niepraktycznie.

Z drugiej strony zaniżenie poziomu może skończyć się katastrofą – i to dosłownie.

Dlaczego to ma znaczenie

Poziomy bezpieczeństwa nie są sztucznym wymysłem biurokratów. To język inżynierii ryzyka – sposób, by zamienić abstrakcyjne „może się zdarzyć” na konkretne wymagania, które można zaprojektować, przetestować i udowodnić.

Bo błędy się zdarzają. Ale dobrze zaprojektowany system sprawi, że awaria stanie się tylko incydentem, a nie katastrofą.