Das zentrale Stylesheet fehlt. Der Inhalt von dist/srq.css muss in WordPress hinterlegt sein — im Customizer unter „Zusätzliches CSS“ oder als Datei im Theme.
Nein. Sicherheitsapplikationen brauchen weiterhin die Abnahme durch ein akkreditiertes Institut, und daran ändert kein Modell etwas. Die Simulation ist der Vortest davor. Sie findet Ablauf- und Verriegelungsfehler, solange deren Korrektur noch nichts kostet. Bei der Abnahme bleibt dann weniger zu beanstanden.
Vortest
Fehler provozieren, die an der Anlage niemand auslösen will
Am Modell fährt der Programmierer nicht nur den Gutfall, also den Ablauf, wie er laufen soll. Vor allem prüft er den Schlechtfall: Not-Halt mitten in der Bewegung, ein Teil an der falschen Stelle, ein Sensor, der nicht meldet, Druckluft weg, Wiederanlauf nach Störung. Das sind genau die Zustände, die an einer realen Anlage niemand freiwillig herbeiführt.
Er findet dabei Engineering-Fehler des Automatisierungssystems: falsch verriegelte Schrittketten, fehlerhaft parametrierte Anschaltbaugruppen, überschrittene Grenzwerte. Am Modell kosten sie eine Korrektur und einen erneuten Durchlauf. An der Anlage kosten sie einen Termin, im ungünstigen Fall ein Bauteil.
Was die Werksabnahme nicht fand
In einem Pilotprojekt der chemischen Industrie war die Werksabnahme vollständig abgearbeitet. Die anschließend durchgeführte virtuelle Inbetriebnahme deckte trotzdem noch falsch verriegelte Schrittketten, fehlerhaft parametrierte Anschaltbaugruppen und überschrittene Grenzwerte auf.
Der Grund dafür ist strukturell und kein Versäumnis der Prüfer: Eine Werksabnahme prüft, ob die Anlage tut, was sie soll. Der Schlechtfall steht selten im Protokoll, und wo er darin steht, löst ihn vor der fertigen Anlage niemand gern aus.
Normwelt
Funktionale Sicherheit ist eine Eigenschaft der Ausführung
Eine Schutzfunktion wird nicht dadurch sicher, dass sie sich im Modell richtig verhält. Sie wird sicher durch die Art, wie sie ausgeführt wird: auf welcher Hardware, in wie vielen voneinander unabhängigen Kanälen, mit welchem Nachweis. Genau dort verläuft die Grenze: Der Vortest endet, wo die Eigenschaft nicht mehr im Verhalten steckt, sondern in der Ausführung.
Deshalb bleibt die Zuständigkeit geteilt. Die virtuelle Inbetriebnahme verantwortet den Ablauf, die Sicherheitsabnahme verantwortet die Schutzfunktion. Wer beides vermischt, verliert am Ende beides: die Abnahme, weil sie auf einem untauglichen Nachweis steht, und das Argument für die Simulation, weil es überdehnt wurde.
IEC 61508 definiert die Sicherheitsanforderungsstufen SIL 1 bis SIL 4. Ab SIL 3 sind zwei unabhängige Abarbeitungskanäle gefordert, damit ein einzelner Fehler die Schutzfunktion nicht aufhebt. Das ist eine Eigenschaft der Ausführung, nicht der Modellierung. Simulieren kann man das schlicht nicht, nachweisen schon. VDI 4499 Blatt 1 benennt das Ziel der virtuellen Inbetriebnahme entsprechend eng: das Aufdecken von Engineering-Fehlern des Automatisierungssystems, nicht die Freigabe einer Schutzfunktion. Dass virtuelle Sicherheitsarchitekturen überhaupt zur Debatte stehen, geht auf ISO 26262 zurück. Die Norm erkennt Coded Processing normativ als Diversitätsmaßnahme an: Rechenoperationen laufen zusätzlich in codierter Form, sodass Verfälschungen erkennbar werden.
Das vollständige Normenraster mit Ausgabeständen steht unter Normen und Standards. Hier stehen nur die drei Regelwerke, die diese Frage entscheiden.
Grenzen
Was am Modell nicht abgenommen wird
Rund 95 Prozent der Inbetriebnahmeaufgaben sind digital abbildbar. Die verbleibenden fünf sind allerdings kein Rundungsfehler, sondern der Grund, warum vor Ort verifiziert wird. Wir benennen sie vorher, statt am Ende damit zu überraschen.
Wer diese fünf Prozent einplant, verliert nichts. Wer sie wegdiskutiert, verliert die Abnahme und die Glaubwürdigkeit des Vortests.
Ein Vortest ist so viel wert, wie klar seine Grenze gezogen ist. Sie muss beides benennen: was er abdeckt, und was an der Anlage noch aussteht.
Diagnose braucht Hardware
Die Diagnosefunktion einer Baugruppe prüfen Sie nur mit der Baugruppe. Ob eine Klemme den Drahtbruch meldet, zeigt der Drahtbruch, nicht das Modell.
Der I/O-Check bleibt vor Ort
Verdrahtung, Klemmstellen und physische Inspektion bleiben ohnehin Sache der realen Inbetriebnahme. Das Modell prüft, welche Wirkung ein Signal auslöst, nicht, welchen Weg es genommen hat.
Die Umgebung fehlt
Temperatur, Feuchte, Staub, Vibration und elektromagnetische Einflüsse stehen in keinem Modell. Sie zeigen sich in der Halle, in der die Anlage am Ende steht.
Die Simulation ersetzt keine Sicherheitsabnahme. Sie sorgt dafür, dass bei der Abnahme weniger zu beanstanden ist.
Was der Vortest schon geprüft hat, sucht die Abnahme nicht noch einmal. Was die Abnahme prüft, prüft sie an der ausgeführten Anlage.
Weiterlesen
