ISO 13849 oder IEC 62061 – auf dem Datenblatt scheint die Wahl fast nebensächlich. Eine Sicherheits-SPS ist für SIL 3 und PL e geeignet, ein Antrieb mit STO ebenfalls. Sobald jedoch die komplette Sicherheitsfunktion einer Maschine beschrieben, berechnet und validiert werden muss, fällt die Entscheidung häufig zugunsten der EN ISO 13849-1.
Die bequeme Erklärung lautet: ISO 13849 sei einfacher. Das greift zu kurz. Eine Maschine besteht nicht nur aus dem Schaltschrank. Beim Öffnen einer Schutztür bewegt eine mechanische Betätigung einen Positionsschalter. Das Signal läuft über Sicherheitslogik und Ausgangselemente zu Schützen, Ventilen oder Antrieben. Federn müssen Schieber umstellen, Bremsen eine Achse halten und gespeicherte Energie muss sicher beherrscht werden.
Ein zertifiziertes Sicherheitsrelais hält keine Maschine an. Das schafft nur die vollständig ausgelegte und validierte Sicherheitsfunktion.
Genau hier liegt die praktische Stärke der ISO 13849: Sie bietet einen etablierten Rahmen, um elektrische, elektronische, pneumatische, hydraulische und mechanische Elemente in einem durchgängigen Sicherheitsnachweis zu behandeln.
ISO 13849 oder IEC 62061: Erst die Sicherheitsfunktion, dann PL oder SIL
In vielen Projekten läuft die Reihenfolge falsch herum. Zuerst werden Sicherheits-SPS, Lichtgitter, Relais und Antriebe ausgewählt. Danach versucht man, aus den bereits bestellten Komponenten eine Sicherheitsfunktion zu formulieren. Das Ergebnis sieht im Schaltplan professionell aus: zwei Kanäle, Diagnose, PL e, SIL 3. Nur was die Maschine im Gefahrenfall tatsächlich tun soll, bleibt erstaunlich unscharf.
Zuerst kommt die Sicherheitsfunktion. PL oder SIL beschreibt anschließend, wie zuverlässig diese Funktion ausgeführt werden muss.
Der Satz „Beim Öffnen der Schutztür stoppt die Maschine“ ist noch keine belastbare Spezifikation. Gemeint sein könnte die sichere Momentabschaltung STO. Der Antrieb erzeugt dann kein Drehmoment mehr, eine Schwungmasse kann jedoch weiterlaufen. Möglich wäre auch SS1: kontrolliertes Abbremsen mit anschließendem STO. Bei SS2 folgt auf das kontrollierte Abbremsen ein sicher überwachter Stillstand. SOS hält und überwacht den Stillstand bei weiterhin aktivem Antrieb.
„Die Maschine stoppt“ ist eine Überschrift, keine Spezifikation.
Für jede Funktion müssen mindestens das auslösende Ereignis, die erwartete Reaktion, der sichere Zustand, die Reaktionszeit, die aktiven Betriebsarten und die Bedingungen für einen Wiederanlauf festgelegt werden. Ebenso wichtig ist die Frage, wie der sichere Zustand nach einem Fehler oder nach der Rückkehr der Energie erhalten bleibt.
Bei einer vertikalen Achse reicht STO allein oft nicht aus. Nach dem Abschalten des Motormoments wirkt die Gewichtskraft unverändert weiter. Je nach Anwendung werden eine mechanische Bremse, entsperrbare Rückschlagventile, redundante Ventiltechnik oder eine getrennte Sicherheitsfunktion zum Halten benötigt.
Die Schwerkraft wartet nicht auf die Freigabe der Sicherheits-SPS. Wer eine vertikale Achse nur elektrisch betrachtet, lässt den gefährlichsten Teil der Bewegung möglicherweise offen.
Die EN ISO 13849-1 ordnet diesen Schritt über die Spezifikation der Sicherheitsanforderungen, kurz SRS. Sie verbindet die Risikobeurteilung nach ISO 12100 mit der späteren Auslegung der sicherheitsbezogenen Teile von Steuerungen. Der erforderliche Performance Level PLr sagt dabei nicht, was die Funktion tun soll. Er beschreibt, mit welcher Zuverlässigkeit sie es tun muss.
Nicht der Status eines Bits entscheidet über Sicherheit. Gefährlich sind Energie, Bewegung, Kraft und die Zeit bis zum Erreichen des sicheren Zustands.
Die Grenze der Sicherheitsfunktion liegt nicht am Schaltschrank
Blockschaltbilder zeigen meist drei saubere Bereiche: Eingang, Logik und Ausgang. In der realen Maschine beginnt die Funktion jedoch häufig vor dem elektrischen Eingang. Eine Schutztür muss zunächst eine Betätigungsfahne, Kurvenscheibe, Rolle oder einen Stößel bewegen. Verschleiß, Spiel, eine verbogene Halterung oder ein falsch gewählter Schaltpunkt können verhindern, dass das Öffnen überhaupt erkannt wird.
Die Sicherheits-SPS sieht in diesem Fall formal korrekte Eingangssignale. Diese Signale bilden nur die mechanische Realität nicht mehr ab. Zweikanaligkeit und Querschlusserkennung reparieren keine schlecht konstruierte Betätigung.
Am Ausgang gilt dasselbe. Ein abgeschalteter SPS-Ausgang ist noch kein sicherer Maschinenzustand. Ein Schütz muss den Leistungsstromkreis tatsächlich trennen, ein Ventil muss umschalten, Druck muss abgebaut oder eingeschlossen werden und eine Bremse muss die erforderliche Haltekraft aufbauen.
Die Grenze der Sicherheitsfunktion verläuft nicht entlang der Schaltschrankwand. Sie reicht vom physikalischen Auslöser bis zur nachweisbaren physikalischen Wirkung.
Das bedeutet nicht, dass jede Schraube und jeder Zylinder automatisch Teil der sicherheitsbezogenen Steuerung ist. Ein gewöhnlicher Arbeitszylinder liegt häufig außerhalb des eigentlichen SRP/CS. Sein Verhalten muss bei der Validierung dennoch berücksichtigt werden. Enthält der Zylinder dagegen eine integrierte Verriegelung oder übernimmt er eine sicherheitsbezogene Teilfunktion, kann seine Rolle nicht einfach aus der Analyse ausgeklammert werden.
Ein brauchbarer Test lautet: Kann der Ausfall dieses Elements dazu führen, dass ein gefährliches Ereignis nicht erkannt, die vorgesehene Reaktion nicht ausgeführt oder der sichere Zustand nicht gehalten wird? Falls ja, gehört das Element zumindest in den Sicherheitsnachweis – unabhängig davon, ob es einen Mikroprozessor besitzt oder nur aus bearbeitetem Stahl besteht.
Eine Sicherheits-SPS mit SIL 3 erzeugt keine SIL-3-Funktion
Auf dem Datenblatt wirkt die Sicherheits-SPS wie das Zentrum der funktionalen Sicherheit. Zwei Prozessoren, Eigendiagnose, PL e, SIL 3 und ein umfangreiches Zertifikat vermitteln Vertrauen. Dieses Vertrauen ist berechtigt, solange man daraus nicht den falschen Schluss zieht.
SIL 3 verteilt sich nicht wie eine 24-Volt-Versorgung über die Anlage. Die Angabe gilt für den zertifizierten Teil unter den festgelegten Anwendungsbedingungen.
Eine typische Sicherheitsfunktion besteht aus mehreren hintereinandergeschalteten Teilsystemen: Sensorik, Logik und Aktorik. Die Sicherheits-SPS bildet meistens nur das logische Teilsystem. Ein gefährlicher Ausfall des Positionsschalters, des Schützes, des Ventils, der Bremse oder der Integration kann die gesamte Funktion unwirksam machen, obwohl die SPS genau das tut, wofür sie zertifiziert wurde.
Auch die mittlere Häufigkeit eines gefährlichen Ausfalls pro Stunde, PFH, muss für die vollständige Funktion betrachtet werden. Sind drei Teilsysteme in Reihe geschaltet und weist jedes eine PFH von 8 × 10−8 pro Stunde auf, ergibt sich:
8 × 10−8 + 8 × 10−8 + 8 × 10−8 = 2,4 × 10−7 pro Stunde.
Jedes Teilsystem liegt einzeln im PFH-Bereich von PL e. Die Summe liegt jedoch im Bereich von PL d.
PL e plus PL e plus PL e ergibt nicht automatisch PL e. Zusätzliche Teilsysteme schaffen zusätzliche Möglichkeiten für gefährliche Ausfälle.
Ein hoher Performance Level entsteht deshalb nicht durch das Sammeln hochwertiger Etiketten. Entscheidend sind eine geeignete Architektur, ausreichende Diagnose, sinnvolle Redundanz, die Beherrschung von Ausfällen gemeinsamer Ursache und ein konsistenter PFH-Nachweis. Außerdem müssen systematische Fehler in Konstruktion, Parametrierung und Software kontrolliert werden.
PL e ist nicht die Summe der Qualität einzelner Bauteile. Es ist das Ergebnis einer beherrschten Architektur über die gesamte Sicherheitskette.
Das Zertifikat der SPS bewertet auch nicht, ob der Schutztürschalter richtig montiert wurde, Rückführkreise tatsächlich funktionieren, Ventile diagnostiziert werden oder ein Betriebsartenprogramm die Schutzfunktion unzulässig überbrückt. Der Hersteller hat sein Produkt beurteilt – nicht die daraus gebaute Maschine.
Eine Sicherheitsfunktion kann mehrere Technologien verbinden
In einem Herstellerkatalog sind Sensoren, Steuerungen, Ventile und Bremsen sauber getrennt. In der Maschine arbeiten sie als ein gemeinsamer Wirkpfad. Eine Schutztür bewegt eine mechanische Betätigung, diese schaltet einen elektromechanischen Sensor, ein Sicherheitsrelais verarbeitet das Signal, ein pneumatisches Ventil entlüftet den Antrieb und eine mechanische Bremse hält die Last.
Organisatorisch sind dafür möglicherweise Mechanik, Elektrokonstruktion, Pneumatik und Software zuständig. Physikalisch bleibt es eine einzige Sicherheitsfunktion.
Die Maschine kennt keine Abteilungsgrenzen. Wenn ein Glied versagt, interessiert sie nicht, in welchem Konstruktionsordner dessen Dokumentation liegt.
Die EN ISO 13849-1 ist für sicherheitsbezogene Steuerungsteile unabhängig von Technologie und Energieform angelegt. Sie erlaubt, einen gemischten Wirkpfad in Teilsysteme zu gliedern und deren Beiträge zur vollständigen Funktion zu bewerten.
Das bedeutet nicht, dass jede Feder einen eigenen Performance Level erhält. Bewertet werden Teilsysteme und schließlich die komplette Sicherheitsfunktion. Hat eine Rückstellfeder jedoch die Aufgabe, ein Ventil nach Energieausfall in die sichere Stellung zu bringen, müssen Bruch, Kraftverlust, falscher Einbau, Blockade und unzureichende Stellkraft betrachtet werden. Dasselbe gilt für die Geometrie und Befestigung einer mechanischen Schalterbetätigung.
Keine Elektronik zu besitzen bedeutet nicht, keinen Einfluss auf die funktionale Sicherheit zu haben.
Wichtig ist eine saubere Abgrenzung. Elemente, die das Sicherheitssignal auslösen, verarbeiten, die Energie beherrschen, eine sicherheitsbezogene Teilfunktion ausführen oder den sicheren Zustand aufrechterhalten, gehören in die Betrachtung. Die gesamte Mechanik pauschal in einen PL-Rechner zu übertragen wäre dagegen ebenso falsch wie die Analyse am SPS-Ausgang zu beenden.
ISO 13849 arbeitet mit typischen Maschinendaten
Bei zertifizierten Teilsystemen stehen häufig PL, SIL, PFH, Reaktionszeiten und Einsatzgrenzen zur Verfügung. Solche Teilsysteme können als validierte Blöcke verwendet werden, sofern die dokumentierten Bedingungen eingehalten werden. Eine erneute Zerlegung der internen Elektronik ist dann weder erforderlich noch sinnvoll.
Viele elektromechanische, pneumatische und mechanische Komponenten liefern jedoch andere Daten. Typisch ist der Kennwert B10D: die Anzahl von Schaltspielen, nach der zehn Prozent einer untersuchten Bauteilpopulation gefährlich ausgefallen sind. Zusammen mit der mittleren jährlichen Betätigungszahl nop lässt sich daraus die MTTFD für die konkrete Anwendung bestimmen.
Das passt zur Realität im Maschinenbau. Ein Ventil altert nicht nur nach Kalenderzeit. Verschleiß hängt von Schaltspielen, Last, Luftqualität, Temperatur, Schmierung und Einbaubedingungen ab. Ein fünfmal pro Schicht betätigtes Ventil hat eine andere Beanspruchung als dasselbe Modell in einer Anwendung mit einem Schaltspiel alle zwei Sekunden.
Die ISO 13849 enthält außerdem Verfahren und typische Werte für elektromechanische, pneumatische, hydraulische und mechanische Elemente. Solche Tabellenwerte gelten aber nur, wenn die zugehörigen Produktnormen, Sicherheitsprinzipien und Einsatzbedingungen erfüllt sind.
Ein Tabellenwert ist der Anfang einer technischen Begründung, nicht ihr Ende.
Zur Bewertung gehören neben MTTFD, Diagnosedeckungsgrad, Architektur und Ausfällen gemeinsamer Ursache auch qualitative Aspekte: bekannte Ausfallarten, vorhersehbares Verhalten im Fehlerfall, bewährte Sicherheitsprinzipien, Umgebungsbedingungen, Software, Montage und Instandhaltung.
Besondere Vorsicht verdient der Fehlerausschluss. Er bedeutet nicht: „Dieses Teil wird schon nicht brechen.“ Ein Fehler darf nur ausgeschlossen werden, wenn sein Auftreten unter den konkreten Belastungen, Werkstoffen, Einbaubedingungen und physikalischen Randbedingungen hinreichend unwahrscheinlich ist. Die Begründung muss dokumentiert und validierbar sein.
Ein Fehlerausschluss ersetzt keine Analyse. Er ist eines ihrer anspruchsvollsten Ergebnisse.
ISO 13849 oder IEC 62061 bei Pneumatik und Mechanik
Die Aussage, IEC 62061 sei ausschließlich für elektrische oder programmierbare elektronische Systeme geeignet, ist überholt. Die Ausgabe IEC 62061:2021 hat den Anwendungsbereich erweitert. Auch nicht elektrische Technologien können heute als Teilsysteme einer Sicherheitsfunktion innerhalb eines SIL-Nachweises behandelt werden.
Eine mechanische Betätigung, ein pneumatisches Ventil oder eine Bremse schließt IEC 62061 daher nicht aus. Die formale Anwendbarkeit löst allerdings noch nicht die praktische Aufgabe: Für jedes relevante Teilsystem werden belastbare Zuverlässigkeitsdaten, ein geeignetes Modell, Architekturannahmen, Diagnosemaßnahmen und dokumentierte Einsatzgrenzen benötigt.
Betrachten wir eine Funktion aus NOT-HALT, Sicherheits-SPS, 5/2-Wegeventil und pneumatischem Antrieb. Nach IEC 62061 wird nicht „die Pneumatik“ pauschal bewertet, sondern das ausführende Teilsystem, beispielsweise Ventil, Rückstellmechanismus, Vorsteuerung, Überwachung und gegebenenfalls Redundanz. Gefährliche Ausfallarten können das Klemmen in geöffneter Stellung, interne Leckage, eine geschwächte Rückstellfeder oder eine zu lange Umschaltzeit sein.
Liefert der Hersteller validierte PFH-Daten und klare Einsatzgrenzen, können diese in den SIL-Nachweis eingehen. Fehlen solche Angaben, muss ein belastbares Modell aus Prüfwerten, Ausfallarten, Wartungsannahmen, Diagnose und Architektur aufgebaut werden. Fehlen sowohl Daten als auch eine tragfähige Begründung, begrenzt dieses Teilsystem den gesamten Nachweis.
IEC 62061 kann Pneumatik einbeziehen. Sie kann aber nicht aus einer Feder, einem Schieber und fehlenden Felddaten automatisch einen belastbaren SIL-Nachweis erzeugen.
Die IEC TS 63394:2023 ergänzt diesen Ansatz mit Hinweisen für mechanische, pneumatische und hydraulische Technologien. Solche Komponenten folgen häufig verschleißabhängigen Modellen und lassen sich nicht immer so einfach mit einer konstanten Ausfallrate beschreiben wie elektronische Bauteile.
Der Unterschied zwischen den Normen liegt heute daher weniger in einem harten Technologieverbot. Entscheidend ist vielmehr, wie direkt vorhandene Komponentendaten in einen glaubwürdigen Nachweis überführt werden können. ISO 13849 verfügt hier über eine lange Maschinenbaupraxis mit B10D, Schalthäufigkeiten, Kategorien, bewährten Bauteilen und technologisch passenden Sicherheitsprinzipien.
Ein Bauteil mit SIL zwingt die Funktion nicht zu IEC 62061
Eine Sicherheits-SPS mit SIL 3, ein Antrieb mit STO nach SIL 3 oder ein Lichtgitter mit SILCL 3 legt nicht automatisch die Bewertungsmethode der vollständigen Funktion fest. Die EN ISO 13849-1 erlaubt die Integration bereits validierter Teilsysteme nach ISO 13849, IEC 62061, der Reihe IEC 61508 oder einschlägigen Produktnormen.
Eine in PL bewertete Funktion kann daher eine Sicherheits-SPS mit SIL 3, einen Antrieb mit SIL-3-fähigem STO, einen Schütz mit B10D-Daten und ein pneumatisches Ventil enthalten. Voraussetzung ist, dass die PFH-Werte und Einsatzgrenzen nachvollziehbar übernommen und alle Teilsysteme korrekt integriert werden.
Ein SIL-zertifiziertes Bauteil bestimmt seine eigenen Einsatzbedingungen. Es bestimmt nicht automatisch die Norm für den gesamten Maschinenentwurf.
PL und SIL treffen sich bei den PFH-Bereichen. Für häufige Anforderung oder Dauerbetrieb korrelieren PL b und PL c mit SIL 1, PL d mit SIL 2 und PL e mit SIL 3. Für PL a gibt es keine entsprechende SIL-Stufe.
Diese Korrelation ist kein universeller Umrechnungsfaktor. PL d ist nicht in jeder Hinsicht dasselbe wie SIL 2. Beide können im gleichen PFH-Bereich liegen, beruhen aber auf unterschiedlichen Anforderungen an Architektur, Fehlerreaktion, systematische Integrität, Entwicklung und Software.
Ebenso wenig muss einem nach IEC 62061 validierten Teilsystem nachträglich eine Kategorie 3 oder 4 zugewiesen werden. Die Kategorie beschreibt eine bestimmte Struktur und deren Verhalten im Fehlerfall. Bei einem zertifizierten Teilsystem sind stattdessen PFH, maximale Eignung, Reaktionszeiten, zulässige Funktionen und Integrationsbedingungen relevant.
Die Zertifikatsangabe allein reicht dennoch nicht. STO kann für die sichere Momentabschaltung geeignet sein, aber die falsche Reaktion darstellen, wenn ein kontrolliertes Abbremsen erforderlich ist. Ein Lichtgitter kann einwandfrei erkennen und trotzdem zu nah an der Gefahrstelle montiert sein. Eine Sicherheits-SPS kann korrekt rechnen, während ein fehlerhaftes Programm im Einrichtbetrieb die Verriegelung umgeht.
ISO 12100 und die Spezifikation der Sicherheitsfunktion
In Risikobeurteilungen steht häufig nur: „Trennende Schutzeinrichtung mit Verriegelung vorsehen.“ Das beschreibt eine Risikominderungsmaßnahme, aber noch keine vollständige Sicherheitsfunktion. Offen bleiben die zu stoppenden Bewegungen, die erforderliche Reaktion, die zulässige Nachlaufzeit, die Behandlung gespeicherter Energie und die Wiederanlaufbedingungen.
Die EN ISO 13849-1:2023 bindet die Auslegung der sicherheitsbezogenen Steuerungsteile deutlich in den iterativen Prozess der Risikominderung nach ISO 12100 ein. Sobald die Risikominderung vom Verhalten der Steuerung abhängt, muss aus der allgemeinen Schutzmaßnahme eine konkrete SRS werden.
Diese Spezifikation überführt die Ergebnisse der Risikobeurteilung in technische Anforderungen: auslösendes Ereignis, Maschinenreaktion, sicherer Zustand, PLr, Antwortzeit, Betriebsarten, Schnittstellen, Fehlerreaktion und Rücksetzbedingungen. Sie ist besonders wichtig, wenn Risikobeurteilung, Mechanikkonstruktion, Elektrokonstruktion und Softwareentwicklung von verschiedenen Personen oder Unternehmen durchgeführt werden.
Die laufenden Arbeiten an einer neuen Ausgabe der ISO 12100 zeigen ebenfalls, dass die Verbindung zwischen Risikobeurteilung und Spezifikation von Sicherheitsfunktionen stärker in den durchgängigen Konstruktionsprozess rückt. Nach den Projektinformationen der ISO soll dabei unter anderem der bisher ergänzende Bericht ISO/TR 22100-2 zur Beziehung zwischen ISO 12100 und ISO 13849-1 abgelöst werden. Das endgültige Ergebnis der Normungsarbeit bleibt abzuwarten; die Richtung ist jedoch klar.
Der Prozess lautet nicht mehr: Risikobeurteilung abschließen, Komponenten auswählen und am Ende einen PL berechnen. Er lautet:
Gefährdung → Risikominderung → Sicherheitsfunktion → auslösendes Ereignis → Reaktion → sicherer Zustand → PLr oder SIL → Architektur → Verifikation → Validierung.
ISO 13849 ist damit weit mehr als ein Rechenverfahren für Performance Level. Sie bildet eine technische Brücke von der Risikobeurteilung zur nachweisbaren Funktion der Maschine.
Warum im Maschinenbau häufiger PL als SIL verwendet wird
Die Antwort auf die Frage ISO 13849 oder IEC 62061 lautet nicht pauschal „PL ist einfacher“ oder „SIL ist nur für komplexe Systeme“. Beide Normen können geeignete Wege sein. IEC 62061 kann seit der Ausgabe 2021 auch nicht elektrische Technologien in den Nachweis einbeziehen.
ISO 13849 wird im Maschinenbau dennoch häufiger verwendet, weil sie seit vielen Jahren einen durchgängigen und praktisch etablierten Rahmen für gemischte Technologien bietet. Sie verarbeitet die Daten, die bei Maschinenkomponenten tatsächlich verfügbar sind: PFH und SIL für zertifizierte Teilsysteme, B10D und Schaltspiele für verschleißende Komponenten, MTTFD, Kategorien, Diagnose, bewährte Sicherheitsprinzipien und begründete Fehlerausschlüsse.
Vor der Normenwahl sollten deshalb vier Fragen beantwortet werden:
- Was muss die Sicherheitsfunktion physikalisch bewirken?
- Welche Technologien und Energieformen liegen in ihrem Wirkpfad?
- Welche belastbaren Daten stehen für die Teilsysteme zur Verfügung?
- Mit welcher Methode lässt sich die komplette Funktion ohne künstliche Lücken verifizieren und validieren?
Für stark elektrische, programmierbare und gut dokumentierte Systeme kann IEC 62061 die sehr passende Methode sein. Bei klassischen Maschinenfunktionen mit Schaltern, Schützen, Ventilen, Bremsen und mechanischen Betätigungen führt ISO 13849 oft direkter zu einem nachvollziehbaren Nachweis.
Eine Maschine stoppt weder am Zertifikat noch am Ausgang der Sicherheits-SPS. Sie stoppt erst, wenn die vollständige Sicherheitsfunktion ihren vorgesehenen sicheren Zustand erreicht und zuverlässig hält.
Die richtige Norm ist daher nicht diejenige mit dem eindrucksvolleren Kürzel. Es ist diejenige, mit der sich die reale Sicherheitsfunktion vollständig, nachvollziehbar und unter ihren tatsächlichen Einsatzbedingungen nachweisen lässt.