So verhindern Sie Integral-Windup in PID-Regelkreisen: Ein OLLA Lab Anti-Windup-Leitfaden

Integral-Windup tritt auf, wenn der Integralanteil eines PID-Reglers weiterhin Fehler aufsummiert, nachdem das Stellglied bereits seine physikalische Grenze erreicht hat. Das Ergebnis ist eine verzögerte Erholung, starkes Überschwingen und instabiles Einschwingverhalten. Anti-Windup-Logik verhindert dies, indem sie den Integralanteil während der Aktor-Sättigung begrenzt oder neu berechnet.

Integral-Windup ist kein Fehler in der Einstellung der Regelparameter. Es ist ein vorhersehbarer Regelfehler, der auftritt, wenn ein mathematisch korrekter PID-Algorithmus einen physikalisch gesättigten Aktor ignoriert.

In der Praxis bedeutet dies: Die SPS berechnet möglicherweise einen Stellbedarf von 130 %, 180 % oder 250 %, während das Ventil, der Frequenzumrichter oder die Drosselklappe bereits an ihrem Anschlag stehen. Der Regler „fordert“ weiterhin, die Hardware verweigert den Dienst, und der Integralanteil speichert das Problem für später.

Im „500-Gallon Tank Level“-Preset von OLLA Lab führte eine Sprungantwort mit einem unbegrenzten Integralanteil zu 34 % Überschwingen und einer Einschwingzeit von 4,2 Minuten; das Hinzufügen einer bedingten Integration reduzierte das Überschwingen auf 4,1 % und die Einschwingzeit auf 45 Sekunden. Methodik: n=10 wiederholte simulierte Sollwertsprünge an einem Tankfüllstand-Szenario, Basisvergleich = derselbe Regelkreis und Prozessmodell mit deaktiviertem Anti-Windup, Zeitfenster = Validierungslauf im März 2026. Dies stützt die Aussage, dass Anti-Windup das Ansprechverhalten in diesem simulierten Fall wesentlich verbessert. Es begründet keine universelle Reduktionsrate für alle Anlagen, Regelkreise oder Tuning-Regime.

Integral-Windup wird durch eine Diskrepanz zwischen der internen Berechnung des Reglers und der physikalischen Grenze des Aktors verursacht.

Ein Standard-PID-Regler berechnet den Ausgang aus proportionalem, integralem und derivativem Anteil. Der Integralanteil summiert den Fehler über die Zeit auf. Dies ist nützlich, wenn der Prozess eine anhaltende Korrektur benötigt. Es wird jedoch schädlich, wenn das Stellglied bereits gesättigt ist und keine weitere Stellkraft mehr ausüben kann.

Die Physik der Sättigung

Aktor-Sättigung bedeutet, dass der befohlene Ausgang eine harte physikalische Grenze erreicht hat.

Beispiele hierfür sind:

• ein Regelventil, das bei 100 % vollständig geöffnet ist
• ein Frequenzumrichter, der bereits bei der maximalen Drehzahlsollvorgabe steht
• eine vollständig geöffnete Drosselklappe
• eine Heizungsleistung, die bereits am oberen Limit liegt
• ein Pumpenbefehl, der bereits durch Design oder Ausrüstungsbeschränkungen begrenzt ist

Im Kontext eines Analogausgangs kann eine SPS einen internen Bedarf berechnen, der über dem physikalischen Bereich liegt, aber das reale Signal bleibt begrenzt. Ein 4–20 mA-Ausgang kann keine 24 mA erzeugen. Er stoppt bei der konfigurierten Obergrenze.

Warum der Integralanteil weiter wächst

Der Integralanteil wächst weiter, weil der Regler immer noch einen Fehler sieht.

Wenn die Prozessvariable unter dem Sollwert bleibt, bleibt der Fehler positiv. Eine naive PID-Implementierung integriert weiter:

• Fehler ist vorhanden
• Zeit vergeht
• Integralsumme steigt
• Geforderter Ausgang steigt weiter
• Tatsächlicher Aktor-Ausgang bleibt am Limit hängen

Das ist der Kern des Fehlers. Der Algorithmus ist intern konsistent, aber physikalisch entkoppelt.

### Operative Definition: Aktor-Sättigung

Für diesen Artikel bedeutet Aktor-Sättigung, dass die vom Regler angeforderte Stellgröße den realisierbaren Ausgang des Stellglieds übersteigt und der tatsächliche Ausgang daher an einer unteren oder oberen Grenze festgeklemmt ist.

Diese Unterscheidung ist wichtig, da die Anti-Windup-Logik auf den realisierbaren Ausgangszustand reagieren sollte, nicht nur auf die PID-Gleichung.

Ein unbegrenzter Integralanteil verursacht Überschwingen, da der Regler den gespeicherten Fehler erst „abbauen“ muss, bevor er in die entgegengesetzte Richtung reagieren kann.

Angenommen, ein Füllstandsregelkreis fordert eine voll geöffnete Ventilposition, um sich von einem niedrigen Füllstand zu erholen. Das Ventil erreicht 100 %, aber der Füllstand steigt nur langsam, da der Prozess eine Totzeit, Behälterträgheit oder begrenzte Zuflussdynamik aufweist. Während dieser Verzögerung summiert der Integralanteil weiterhin einen positiven Fehler auf.

Wenn der Füllstand schließlich den Sollwert erreicht, trägt der Regler bereits einen überschüssigen Integralbedarf. Die Prozessvariable steigt weiter an, weil der Integralspeicher immer noch einen höheren Ausgang befehligt, als der Prozess jetzt benötigt.

Die Abbauphase ist der eigentliche Schaden

Die Abbauphase ist das Intervall, in dem der Integral-Akkumulator von seinem aufgeblähten Wert zurück in einen physikalisch sinnvollen Bereich abfällt.

Während dieser Phase:

• kann die Prozessvariable weiter über den Sollwert hinaus steigen
• kann das Stellglied länger als erwartet am Anschlag bleiben
• kann die Erholung selbst nach Vorzeichenwechsel des Fehlers langsam sein
• können Alarme, Abschaltungen oder nachgelagerte Störungen ausgelöst werden

Deshalb ist Windup betrieblich kritisch. Bei Füllstands-, Druck-, Temperatur- und Durchflussanwendungen kann eine verzögerte Erholung zu unnötigen Abschaltungen, Qualitätsverlusten, dem Risiko von Umwelteinwirkungen oder Materialbelastungen führen.

Ein kompaktes Beispiel

Betrachten Sie einen Füllstandsregelkreis mit:

• Sollwert = 70 %
• Ist-Füllstand = 40 %
• Ausgang bereits bei 100 % gesättigt
• Positiver Fehler über 90 Sekunden anhaltend

Wenn der Integralanteil während dieser 90 Sekunden weiter ansteigt, kann der interne Reglerbedarf effektiv weit mehr als 100 % Ausgang repräsentieren. Sobald der Füllstand 70 % überschreitet, fährt das Ventil nicht sofort sinnvoll zurück, da der Regler zuerst den gespeicherten Integralüberschuss abbauen muss. Der Prozess schwingt über, während die Mathematik aufholt.

Die drei Standard-Anti-Windup-Methoden sind bedingte Integration, Rückrechnung (Back-Calculation) und Sollwertrampen. Sie lösen verwandte Probleme, sind aber nicht austauschbar.

1. Bedingte Integration (Clamping)

Die bedingte Integration friert die weitere Integralaufsummierung ein oder blockiert sie, wenn der Ausgang in der gleichen Richtung wie der Fehler gesättigt ist.

Typische Logik:

• Wenn Ausgang am oberen Limit und Fehler noch positiv, Integration stoppen
• Wenn Ausgang am unteren Limit und Fehler noch negativ, Integration stoppen
• Andernfalls normale Integration erlauben

Warum es funktioniert:

• Einfach zu implementieren
• Leicht in Kontaktplan-Logik zu prüfen
• Effektiv für viele industrielle Regelkreise
• Besonders nützlich bei begrenzten Inbetriebnahmetests

Einschränkungen:

• Kann bei grober Implementierung Unstetigkeiten erzeugen
• Bietet in dynamischeren Regelkreisen nicht immer die sanfteste Erholung

2. Rückrechnung (Back-Calculation)

Die Rückrechnung passt den Integralanteil basierend auf der Differenz zwischen dem unbegrenzten Reglerausgang und dem tatsächlich gesättigten Ausgang an.

Im Grunde wird dem Regler mitgeteilt, dass sein angeforderter Ausgang und der reale Ausgang nicht identisch sind, sodass der Integralzustand entsprechend korrigiert werden muss.

Warum es funktioniert:

• Normalerweise sanfter als einfaches Clamping
• Besser für kontinuierliche Regelungsimplementierungen geeignet
• Üblich in formelleren PID-Block-Designs

Einschränkungen:

• Komplexer korrekt zu implementieren
• Erfordert sorgfältige Skalierung und Verständnis der PID-Struktur
• Fehleranfälliger in der Implementierung als einfaches Clamping

3. Sollwertrampen

Sollwertrampen reduzieren das Risiko von Windup, indem sie begrenzen, wie schnell sich der Sollwert ändert.

Dies begrenzt nicht direkt den Integral-Akkumulator. Stattdessen verhindert es, dass der Regler einen großen, sofortigen Fehler sieht, der zu einer anhaltenden Sättigung führt.

Warum es funktioniert:

• Reduziert aggressiven Ausgangsbedarf
• Nützlich, wenn Prozessausrüstung nicht schnell reagieren kann
• Oft wertvoll in bedienergeführten Systemen

Einschränkungen:

• Kein Ersatz für echten Anti-Windup-Schutz
• Kann bei Verwendung als „Pflaster“ schlechtes Design des Regelkreises verdecken
• Erfordert in vielen Anwendungen dennoch sättigungsbewusste Regellogik

Mit welcher Methode sollten die meisten Ingenieure beginnen?

Die meisten Ingenieure sollten mit der bedingten Integration beginnen, da sie transparent, robust und einfach gegen das Prozessverhalten zu validieren ist.

Dies gilt insbesondere für kontaktplanbasierte Implementierungen, bei denen die Wartbarkeit wichtig ist.

„Simulation-Ready“ sollte als die Fähigkeit definiert werden, Regellogik gegen realistisches Prozessverhalten zu beweisen, zu beobachten, zu diagnostizieren und zu härten, bevor sie einen realen Prozess erreicht.

Das ist eine engere und nützlichere Definition als „kann PID-Code schreiben“.

Operative Definition von Simulation-Ready

Ein Ingenieur ist für diese Aufgabe „Simulation-Ready“, wenn er:

• das Regelziel und die Aktor-Grenzwerte erklären kann
• den Unterschied zwischen angefordertem und realisierbarem Ausgang beobachten kann
• identifizieren kann, wann die Integralaufsummierung physikalisch nicht mehr sinnvoll ist
• eine realistische Störung oder einen Sprung einleiten kann
• Anti-Windup-Logik implementieren kann
• das Verhalten vor und nach der Korrektur anhand von Trenddaten vergleichen kann
• dokumentieren kann, was „korrekt“ bedeutet, bevor ein Live-Regler berührt wird

Hier wird OLLA Lab operativ nützlich.

OLLA Lab ist ein webbasierter Simulator für Kontaktplan-Logik und digitale Zwillinge, der es Ingenieuren ermöglicht, Logik zu erstellen, Simulationen auszuführen, Variablen zu inspizieren und das Verhalten gegen realistische Ausrüstungsmodelle zu validieren. In diesem Kontext ist der Wert begrenzt und spezifisch: Es bietet eine risikokontrollierte Umgebung, um Windup zu beobachten, Anti-Windup-Logik zu testen und Ursache-Wirkungs-Zusammenhänge vor der Bereitstellung auf einer echten SPS oder Anlage zu verifizieren. Es ist kein Ersatz für eine Werksabnahme (FAT), Prozessgefahrenanalyse oder Validierung der funktionalen Sicherheit.

Die bedingte Integration in OLLA Lab wird implementiert, indem der Integral-Akkumulator eingefroren wird, sobald der Regelausgang gesättigt ist und der Fehler ihn weiter in die Sättigung treiben würde.

Der folgende Workflow setzt ein Tankfüllstand- oder ähnliches Prozessszenario mit sichtbarer Prozessvariable, Sollwert, Reglerausgang und internen Tags voraus.

### Schritt 1: Definieren Sie das Regelziel und die physikalischen Grenzen

Beginnen Sie mit der Definition von:

- Prozessvariable (PV): zum Beispiel Tankfüllstand in % - Sollwert (SP): gewünschter Füllstand in % - Stellgröße (CV): Ventilposition oder Pumpendrehzahl in % - Ausgangsgrenzen: typischerweise 0 % bis 100 %

Definieren Sie auch, was „korrekt“ bedeutet. Zum Beispiel:

• Überschwingen unter 5 %
• Einschwingzeit unter 60 Sekunden
• Kein anhaltendes Ausgangs-„Festklemmen“ nach dem Überschreiten des Sollwerts

Wenn „korrekt“ vor dem Testen nicht definiert ist, wird das Tuning zur Folklore.

### Schritt 2: Erstellen oder prüfen Sie die PID-relevanten Tags im Kontaktplan-Editor

Erstellen oder verifizieren Sie im OLLA Lab Kontaktplan-Editor Tags wie:

• `SP_Level`
• `PV_Level`
• `Error`
• `Ki`
• `dt`
• `Integral_Accumulator`
• `PID_Output_Request`
• `PID_Output_Clamped`

Verwenden Sie das Variablen-Panel, um diese Werte während der Simulation zu überwachen. Die Sichtbarkeit von OLLA Lab auf E/A und Variablenzustände ist hier nützlich, da Windup am einfachsten zu diagnostizieren ist, wenn der interne Akkumulator und der externe Aktorzustand gleichzeitig sichtbar sind.

### Schritt 3: Berechnen Sie Fehler und unbegrenzten Ausgang

Ihre Logik sollte unterscheiden zwischen:

• dem angeforderten PID-Ausgang vor der Begrenzung
• dem tatsächlich begrenzten Ausgang, der an den Aktor gesendet wird

Diese Unterscheidung ist wesentlich. Wenn Sie sie nicht trennen, können Sie das Sättigungsereignis komplett verpassen.

### Schritt 4: Fügen Sie die Logik für bedingte Integration hinzu

Verwenden Sie eine Logik, die der folgenden entspricht:

Sprache: Kontaktplan / Äquivalent in Strukturierter Text

WENN (PID_Output_Clamped >= 100.0) UND (Error > 0) DANN Integral_Accumulator := Integral_Accumulator; // Akkumulator einfrieren SONST WENN (PID_Output_Clamped <= 0.0) UND (Error < 0) DANN Integral_Accumulator := Integral_Accumulator; // Akkumulator einfrieren SONST Integral_Accumulator := Integral_Accumulator + (Error Ki dt); // Normalbetrieb ENDE_WENN;

Die entscheidende Bedingung ist richtungsabhängig:

• obere Sättigung + positiver Fehler = einfrieren
• untere Sättigung + negativer Fehler = einfrieren

Frieren Sie den Integrator nicht allein deshalb ein, weil der Ausgang an einem Limit ist. Wenn der Fehler den Regler zurück in den steuerbaren Bereich treibt, muss die Integration möglicherweise fortgesetzt werden.

### Schritt 5: Begrenzen Sie den endgültigen Ausgang explizit

Begrenzen Sie nach der PID-Berechnung den endgültigen Ausgang auf den Aktorbereich:

• wenn Anforderung > 100 %, sende 100 %
• wenn Anforderung < 0 %, sende 0 %
• andernfalls sende den angeforderten Wert

Dies sollte in der Logik explizit sein.

### Schritt 6: Führen Sie einen Sprungtest im Simulationsmodus durch

Im OLLA Lab Simulationsmodus:

• halten Sie den Prozess in einem stabilen Ausgangszustand
• wenden Sie einen signifikanten Sollwertsprung an
• beobachten Sie PV, SP, CV und Integral-Akkumulator
• notieren Sie, ob CV sättigt
• bestätigen Sie, ob der Akkumulator während der Sättigung einfriert

Verwenden Sie das Variablen-Panel und alle verfügbaren Trend- oder Dashboard-Ansichten, um das unbegrenzte und das begrenzte Verhalten zu vergleichen.

### Schritt 7: Validieren Sie das Ergebnis gegen das Prozessverhalten

Sie suchen nach drei Dingen:

• reduziertes Überschwingen
• kürzere Einschwingzeit
• schnellere Erholung nach dem Überschreiten des Sollwerts

Sie sollten auch verifizieren, dass die Anti-Windup-Logik keine unbeabsichtigte tote Reaktion in der Nähe der Grenzwerte erzeugt.

### Schritt 8: Dokumentieren Sie technische Nachweise, keine Screenshots

Wenn Sie Kompetenz demonstrieren wollen, erstellen Sie eine kompakte Sammlung technischer Nachweise unter Verwendung dieser Struktur:

Geben Sie die Akzeptanzkriterien an: Überschwingen, Einschwingzeit, Ausgangsgrenzen, Alarmverhalten oder Fehlerreaktion.

Definieren Sie den anormalen Zustand oder Stressor: großer Sprung, Aktor-Sättigung, Verzögerung, Störung oder Sensor-Bias.

1. Systembeschreibung Beschreiben Sie den Prozess, den Aktor, die gemessene Variable und das Betriebsziel.
2. Operative Definition von „korrekt“
3. Kontaktplan-Logik und simulierter Anlagenzustand Zeigen Sie die relevante Regellogik und das entsprechende simulierte Anlagenverhalten.
4. Der eingeleitete Fehlerfall
5. Die vorgenommene Revision Dokumentieren Sie die Anti-Windup-Änderung, Skalierungskorrektur oder Logikmodifikation.
6. Gelernte Lektionen Erklären Sie, was fehlgeschlagen ist, warum es fehlgeschlagen ist, was sich geändert hat und was noch validiert werden muss.

Das ist ein stärkerer Nachweis als eine Galerie von Editor-Screenshots.

Sie sollten auf Modellrealismus, Aktor-Beschränkungen, Zeitverhalten und falsches Vertrauen achten.

Ein digitaler Zwilling ist nur in dem Maße nützlich, wie er das regelungsrelevante Verhalten des Prozesses bewahrt. Für die Anti-Windup-Validierung sollte das Modell mindestens Folgendes repräsentieren:

• Aktor-Grenzwerte
• Prozessverzögerung oder Trägheit
• realistische Reaktion auf anhaltende Ausgangssättigung
• messbare Auswirkung von Regleränderungen auf das PV-Verhalten

Die Validierung des digitalen Zwillings sollte begrenzt bleiben

Die Validierung des digitalen Zwillings beweist nicht die vollständige Anlagenäquivalenz.

Sie kann glaubwürdig unterstützen bei:

• Logik-Proben
• Trendvergleichen
• Störungstests
• Vorbereitung der Inbetriebnahme
• Training von Bedienern oder Ingenieuren in Ursache-Wirkungs-Zusammenhängen

Sie begründet für sich allein nicht:

• die Angemessenheit der endgültigen Abstimmung vor Ort
• die Einhaltung der funktionalen Sicherheit
• den Abschluss von Prozessgefahrenanalysen
• universelle Leistung über alle Anlagenzustände hinweg

Diese Grenze ist wichtig.

Warum OLLA Lab für diesen Anwendungsfall passt

OLLA Lab kombiniert einen browserbasierten Kontaktplan-Editor, Simulationsmodus, Variablensichtbarkeit, Analog- und PID-Tools sowie szenariobasiertes Verhalten digitaler Zwillinge. Für Anti-Windup-Arbeiten ermöglicht dies einem Ingenieur:

• PID-relevante Kontaktplan-Logik zu erstellen oder zu modifizieren
• interne Zustände wie Fehler- und Akkumulatorwerte zu überwachen
• Logikzustände gegen simuliertes Anlagenverhalten zu vergleichen
• anormale Bedingungen sicher zu proben
• Logik vor der Live-Inbetriebnahme zu überarbeiten

Das ist der richtige Rahmen: Validierung und Proben für risikoreiche Regelungsaufgaben.

Anti-Windup selbst ist ein klassisches Thema des Regelungsentwurfs, während die simulationsbasierte Validierung an der Schnittstelle von Regelungstechnik, Bedienertraining und Risikoreduzierung vor der Inbetriebnahme angesiedelt ist.

Die genaue Anti-Windup-Implementierung kann vom Reglerhersteller, der SPS-Architektur und der Prozesskritikalität abhängen. Dennoch helfen mehrere Standards und Literaturfamilien, die Diskussion einzugrenzen.

Relevante Standards und Leitlinien

• IEC 61508 bietet den breiteren Rahmen für die funktionale Sicherheit von elektrischen, elektronischen und programmierbaren elektronischen Systemen. Sie schreibt keinen spezifischen Anti-Windup-Algorithmus vor, ist aber relevant, wenn das Regelverhalten mit Sicherheitsfunktionen oder gefährlichen Prozesszuständen interagiert.
• ISA- und Hersteller-Leitlinien zur PID-Implementierung behandeln oft Ausgangsbegrenzung, stoßfreie Umschaltung und den Umgang mit dem Integralanteil im praktischen Design von Regelkreisen.
• Publikationen von exida und Leitlinien zum Sicherheitslebenszyklus sind relevant, wenn Regelungsänderungen sicherheitsgerichtete Kontexte oder das Management anormaler Zustände berühren.

Relevante Literaturthemen

Aktuelle Literatur aus den Bereichen Prozessleittechnik, Simulationstraining und Validierung digitaler Zwillinge stützt im Allgemeinen mehrere begrenzte Aussagen:

• Simulation verbessert die Beobachtung dynamischer Ursache-Wirkungs-Zusammenhänge im Vergleich zu rein statischen Anweisungen
• Digitale Zwillinge sind nützlich für Validierung und Training, wenn der Modellumfang explizit ist
• Die Regelungsleistung hängt vom realistischen Umgang mit Beschränkungen, Verzögerungen und Störungen ab
• KI-gestützte Engineering-Tools können Reibungsverluste reduzieren, aber sie ersetzen nicht die Notwendigkeit einer deterministischen Überprüfung und begrenzten Validierung

Der letzte Punkt verdient eine klare Sprache: Die Generierung von Entwürfen ist kein deterministisches Veto.

Anti-Windup-Logik versagt meist, weil die Implementierung unvollständig, falsch skaliert oder an das falsche Signal angeschlossen ist.

Häufige Fehler sind:

• Einfrieren des Integrators basierend auf dem angeforderten Ausgang anstatt auf dem begrenzten tatsächlichen Ausgang
• Ignorieren der Sättigung am unteren Limit, während nur Fälle am oberen Limit behandelt werden
• Einfrieren der Integration unabhängig von der Fehlerrichtung
• Versäumnis, zwischen manuellem Modus, Automatikmodus und stoßfreiem Umschalten zu unterscheiden
• Verwendung inkonsistenter technischer Einheiten oder Zeitbasis-Skalierungen
• Validierung nur unter Nennbedingungen und nicht mit realistischen Störungen

Eine praktische Korrektur

Ein Regelkreis kann bei kleinen Sollwertänderungen stabil aussehen und dennoch bei großen Störungen oder Anfahrbedingungen schwer versagen.

Deshalb sollte Anti-Windup getestet werden gegen:

• große Sprungantworten
• langsame Prozessreaktion
• anhaltende Sättigung
• Verhalten bei der Rückkehr zum Sollwert
• Alarmgrenzwerte und zustandsnahe Abschaltungen

Die Inbetriebnahme scheitert selten im „aufgeräumten“ Teil des Trends.

Integral-Windup ist das Ergebnis davon, den Integralanteil über das hinaus akkumulieren zu lassen, was der Aktor physikalisch liefern kann. Die praktische Konsequenz ist verzögerte Erholung, Überschwingen und vermeidbare Prozessinstabilität.

Die zugänglichste Lösung ist meist die bedingte Integration: Frieren Sie den Integral-Akkumulator ein, wenn der Ausgang gesättigt ist und der Fehler ihn weiter in die Sättigung treiben würde. Fortgeschrittenere Fälle können eine Rückrechnung oder ein zusätzliches Sollwertmanagement rechtfertigen, aber das grundlegende Prinzip bleibt gleich: Der Regler muss physikalische Grenzen respektieren.

Richtig eingesetzt, bietet OLLA Lab eine begrenzte Umgebung, um diesen Fehlermodus zu beobachten, Anti-Windup-Logik zu testen und den Kontaktplan-Zustand gegen simuliertes Anlagenverhalten vor der Live-Bereitstellung zu vergleichen. Das ist es, was Simulation in der Regelungstechnik leisten sollte: vermeidbare Überraschungen reduzieren, nicht falsche Gewissheit erzeugen.

- Åström & Hägglund, *Advanced PID Control* (ISA) - Zaccarian & Teel, *Modern Anti-Windup Synthesis* (Princeton) - Rivera, Morari, Skogestad (1986), IMC PID design - IEC 61508 Functional Safety overview - Qin & Badgwell (2003), Survey of industrial MPC00186-7)