7 Sicherheit & Überwachung

„Dieses Kapitel beschreibt wie das zuvor definierte Modell wirkt – nicht was modelliert wird.“

7. Sicherheitsarchitektur

Dieses Kapitel beschreibt, wie Sicherheit in Selmo gedacht, modelliert und wirksam wird.

Sicherheit ist in Selmo:

• kein Zusatz

• kein Sonderfall

• keine Ausnahme von der Logik

Sicherheit ist integraler Bestandteil des Modells.

---

7.1 Sicherheit als Eigenschaft des Modells

In klassischen Steuerungen wird Sicherheit häufig:

• außerhalb des Ablaufs betrachtet

• in separaten Programmen oder Ebenen umgesetzt

• als Reaktion auf Risiken ergänzt

Selmo verfolgt einen anderen Ansatz:

Sicherheit entsteht dort, wo Verhalten explizit beschrieben wird.

Das bedeutet:

• Sicherheitsrelevanz wird modelliert

• Überwachung ist eindeutig definiert

• Reaktionen sind deterministisch festgelegt

Sicherheit ist damit kein reaktives Element, sondern eine konsequente Folge klarer Modelle.

---

7.2 Trennung von Sicherheitsarten

Selmo unterscheidet bewusst verschiedene Ebenen von Sicherheit:

• Ablaufsicherheit → Schutz vor unzulässigen Zustandskombinationen → realisiert über Interlock (i)

• Systemintegrität → Schutz von Mensch, Maschine und Anlage → realisiert über CMZ

• Bedienersicherheit im Handbetrieb → Schutz vor falschen manuellen Aktionen → realisiert über MXIC

Diese Mechanismen:

• ergänzen sich

• sind klar abgegrenzt

• werden nicht vermischt

Jede Sicherheitsfunktion hat eine eindeutige Aufgabe.

---

7.3 Sicherheit wirkt immer

Ein zentrales Prinzip in Selmo lautet:

Sicherheit ist unabhängig vom Betriebsmodus.

Das bedeutet:

• Sicherheit wirkt im Automatikbetrieb

• Sicherheit wirkt im Handbetrieb

• Sicherheit wirkt während Inbetriebnahme

• Sicherheit kennt keinen „Service-Modus“

Überwachung ist:

• permanent aktiv

• zustandsabhängig oder zustandsunabhängig

• hierarchisch wirksam

---

7.4 Hierarchische Sicherheitswirkung

Sicherheitsmechanismen wirken in einer klaren Hierarchie:

Plant └─ Hardware-Zone └─ Sequence

Eine Abweichung:

• auf höherer Ebene

• überstimmt alle darunterliegenden Ebenen

Beispiele:

• Plant-CMZ stoppt die gesamte Anlage

• HW-Zonen-CMZ stoppt alle enthaltenen Sequences

• Interlock stoppt eine einzelne Sequence

Je höher die Ebene, desto größer die Wirkung.

---

7.5 Abgrenzung zur Hardware-Sicherheit

Selmo ersetzt keine:

• Not-Halt-Kette

• sichere Abschaltung

• Sicherheits-SPS

• mechanische Schutzmaßnahmen

Selmo ergänzt diese durch:

• formale Beschreibung

• deterministische Überwachung

• nachvollziehbare Reaktionen

Hardware-Sicherheit schützt physikalisch. Selmo-Sicherheit schützt logisch und systemisch.

---

7.6 Aufbau dieses Kapitels

Kapitel 7 gliedert sich in folgende Teile:

7.1 Interlock (i)

→ zustandsabhängige Ablaufsicherheit

7.2 CMZ – Constantly Monitoring Zone

→ zustandsunabhängige Systemintegrität → Sequence / Hardware-Zone / Plant

7.3 Weitere Überwachungen

→ Pair-Check → Bear-Check → Plausibilitätsprüfungen

---

Übergang zu den Details

Die folgenden Abschnitte beschreiben:

• wie einzelne Sicherheitsmechanismen funktionieren

• wann sie eingesetzt werden

• wie sie sich gegenseitig ergänzen

Sicherheit ist in Selmo kein Sonderkapitel – sie ist ein strukturelles Prinzip.