Integrierte Navigationssysteme (INS) auf Schiffen leisten einen großen Beitrag zu sicheren Navigation, um kritische Situationen zu umgehen oder zu entschärfen. Damit können INS als sicherheitsrelevante Systeme bezeichnet werden. Neben durchgängiger Redundanz, Diagnose von Komponenten zur Laufzeit und durchgeführter FMEA für die Typzulassung des INS, weisen diese keine weiteren Mechanismen auf, um das System im Fehlerfall vor Ausfall oder Fehlfunktion zu schützen, wodurch das System in einen kritischen Zustand übergehen kann. Weitere Maßnahmen sind notwendig, weil die Integrationsgrade der Navigationssysteme und Interaktionen mit vielen unterschiedlichen Systemen stetig zunehmen. Damit ein INS in Zukunft weiterhin dem Stand der Technik entspricht, müssen aktuelle Anforderungen aus Standards, wie dem IEC 61162-460 hinsichtlich Safety & Security erfüllen, damit das Risiko erhöhter Integrationsgraden auf ein vertretbares Maß gesenkt werden kann. Um das System vor Übergängen in kritische Zustände zu bewahren und einen Sicherheitslevel zu erreichen, der zukünftig den Anforderungen an Bord genügt, wird im Rahmen dieser Arbeit neben den gültigen Standards und Normen für INS die Funktionale Sicherheit betrachtet. Dazu wird ¨ die Grundnorm IEC 61508 und die abgeleiteten Normen für entsprechende Industriebereiche ¨ betrachtet. Für den Seeverkehr gilt hervorgehoben die UN-Konvention SOLAS von 1974. Die Festlegungen aus dieser Konvention spiegeln sich in Normen und Standards, wie auch in Gesetzen der Staaten wider. Der Fokus der Standardisierungsgremien liegt nach wie vor auf dem Menschen und der Unterstützung durch das INS. Dabei sollen Fehler des Menschen vermieden, Ausfälle erkannt und Warnungen erzeugt werden. Mit dem Standard IEC 61162-460 beginnt die Standardisierung der Sicherheit (Safety & Security) und Funktionalen Sicherheit des INS. Durch eine Rekapitulation von Serviceeinsätzen wurde erkannt, dass in vielen Fällen ein Ausfall oder eine Fehlfunktion dadurch entstand, dass eine fehlerhafte Konfiguration vorlag. Die hohe Konfigurierbarkeit des INS ist ein Vorteil, birgt jedoch die Gefahr der Fehlkonfiguration. Die Auswertungen der Fehlerzustände und Ausfälle ergab, dass eine Diagnose der Konfiguration durchgeführt werden muss. Diese Diagnose soll bereits zur Konfigurationszeit durchgeführt werden (Onlinediagnose). Dabei wird die erstellte Konfiguration gegen Bedingungen geprüft, die Restriktionen der verwendeten Hardware (z.B. Überlast) oder die Systemintegrität (z.B. geforderte Redundanz, Einbaupositionen) abbilden. Die Diagnoseabdeckung des Systems wird neben der Laufzeit auf die Konfigurationszeit (Installation und Inbetriebnahme) erweitert. Für höchst konfigurierbare Systeme, wie das INS von Raytheon Anschutz, können bis zu 29% der Fehleranteile im Lebenszyklus eines Systems vermieden werden. Die vorliegende Arbeit bietet einen Ansatz zur Erweiterung der Diagnosefähigkeiten des Systems auf die Konfigurationszeit. Bestimmte Bedingungen, abhängig von verwendeter Hardware, Größe des Gesamtsystems können bereits bei Anfertigung der Systemkonfiguration überprüft werden. Plausibilitäts- und Integritätsprüfungen, wie Einbaupositionen, notwendige Redundanzen, korrekte Sensorverbindungen können zusätzlich überprüft werden. Das System erlangt Kenntnis über sich selbst und seine Konfiguration. Diese Kenntnis verknüpft mit den Bedingungen, erlaubt es dem Bedienern nützliche Hinweise und Warnmeldungen zu geben, wo die Systemkonfiguration mögliche Risiken für gefährliche Ausfälle des Systems birgt. Die ausgelieferten Systeme werden robuster und die Anzahl und Dauer der Serviceeinsätze wird gesenkt und Kosten eingespart. Die Ausfallrate der Systeme sinkt, wodurch sicherheitsgerichtete Funktionen, wie Collision Avoidance mit einer höheren Zuverlässigkeit verwendet werden können. Eine rechnerische Überprüfung der verwendeten Komponenten und Systemarchitektur zeigt eine mögliche SIL-Einstufung des Systems.
