Der Kontext — wenn die instrumentierte Barriere nicht handelt
Am 23. März 2005 explodierte die BP-Raffinerie in Texas City. Beim Anfahren der Isomerisierungsanlage wurde eine Trennkolonne weit über ihren Normalstand befüllt. Die Füllstandsmessung zeigte falsch an, ein Hochstandalarm fiel aus, und keine automatische Schutzeinrichtung stoppte die Befüllung. Flüssigkeit lief in einen Abblasbehälter mit offenem Auslass über, eine brennbare Dampfwolke bildete sich und entzündete sich. Fünfzehn Tote, fast einhundertachtzig Verletzte.
Die Untersuchung zeigte eine Kette von Versagen: unzuverlässige Instrumente, außer Betrieb gesetzte Alarme, umgangene Verfahren und das Fehlen einer Sicherheitsfunktion, die den Überlauf hätte stoppen können. Genau das ist das Feld der IEC 61511: sicherzustellen, dass die instrumentierten Funktionen, die einen Prozess schützen, existieren, die geforderte Risikominderung erreichen und sie über die gesamte Lebensdauer der Anlage halten.
IEC 61511 vs. IEC 61508: die Prozessnorm, betreiberseitig
IEC 61508 ist die generische Basisnorm. Wir haben sie im Artikel Funktionale Sicherheit und IEC 61508 erläutert. IEC 61511 ist ihre Anwendung auf die Prozessindustrie: Chemie, Petrochemie, Raffinerie, Pharma, Gas.
Der Perspektivwechsel ist wesentlich. IEC 61508 richtet sich vor allem an die Hersteller von Komponenten (Sensoren, Sicherheitssteuerungen, Ventile), die ihre Produkte zertifizieren. IEC 61511 richtet sich an die Betreiber und Integratoren, die aus diesen Komponenten ein Sicherheitssystem auslegen, errichten und betreiben. Im Klartext: Man zertifiziert einen Messumformer nach 61508; man legt die Sicherheitsschleife, die ihn nutzt, nach 61511 aus.
Sie hat drei Teile: Teil 1 legt die Anforderungen fest, Teil 2 gibt Anwendungsleitlinien, Teil 3 leitet die SIL-Bestimmung. Erste Ausgabe 2003, zweite Ausgabe 2016.
SIS, SIF, SIL: das Grundvokabular
Ein sicherheitsinstrumentiertes System (SIS) ist die Hard- und Software, die eine oder mehrere Sicherheitsfunktionen ausführt. Eine sicherheitsinstrumentierte Funktion (SIF) ist ein konkreter Schutz: „Übersteigt der Füllstand den Hoch-Hoch-Grenzwert, schließe das Zulaufventil.” Jeder SIF wird ein Sicherheits-Integritätslevel (SIL, 1 bis 4) zugewiesen, das die erwartete Risikominderung ausdrückt, gemessen durch die mittlere Ausfallwahrscheinlichkeit bei Anforderung (mittlerer PFD) im Low-Demand-Modus.
Um eine Risikominderung in einen SIL umzurechnen, liefern die Rechner PFD zu SIL und Risikominderungsfaktor zu SIL das Ergebnis direkt.
Die goldene Regel: Leiten und Schützen trennen
Das ist das prägendste Prinzip der IEC 61511 — und das, was Texas City durch seine Abwesenheit zeigt. Das System, das den Prozess fährt — das PLT, das Basisprozessleitsystem (BPCS) — darf nicht dasjenige sein, das ihn schützt. Die Sicherheitsfunktion muss vom Leitsystem unabhängig sein: eigene Sensoren, getrennte Logik, eigene Aktoren.
Warum? Weil ein Versagen des Leitsystems oft die Ursache der Gefahr selbst ist. Teilt der Schutz den ausgefallenen Sensor oder die ausgefallene Steuerung, fällt er gleichzeitig mit der Ursache. Die Unabhängigkeit garantiert, dass die Barriere stehen bleibt, wenn der Prozess entgleist. IEC 61511 regelt jede Gerätegemeinschaft zwischen BPCS und SIS streng.
Den SIL bestimmen: Risikograph und LOPA
Vor der Auslegung muss man entscheiden, welcher SIL für welche Funktion. IEC 61511 schreibt ihn nicht vor: sie bietet Methoden, ausgehend von der Risikoanalyse (typischerweise einem HAZOP).
Zwei Ansätze dominieren. Der Risikograph ist qualitativ: man kombiniert Schwere, Aufenthaltshäufigkeit, Gefahrenabwendung und Eintrittswahrscheinlichkeit, um aus einem Entscheidungsbaum einen SIL abzulesen. Schnell, aber anfällig für Teamurteile.
LOPA — Schutzschicht-Analyse — ist halbquantitativ und strenger. Man geht von der Häufigkeit des auslösenden Ereignisses aus, multipliziert mit der Versagenswahrscheinlichkeit jeder bereits vorhandenen unabhängigen Schutzschicht (IPL) — Alarm mit Bedienereingriff, Sicherheitsventil, Auffangwanne — und betrachtet den Abstand zum tolerierbaren Risiko. Dieser Abstand legt die Risikominderung fest, die die SIF leisten muss, also ihren SIL. Eine Schicht zählt nur als IPL, wenn sie unabhängig, wirksam und prüfbar ist.
Der Sicherheitslebenszyklus, Prozessausgabe
Wie IEC 61508 ordnet IEC 61511 alles um einen Sicherheitslebenszyklus. Er beginnt mit der Gefährdungs- und Risikoanalyse, führt zur Sicherheitsanforderungsspezifikation (der SRS: jede SIF, ihr SIL, ihre Reaktionszeit, ihr sicherer Zustand), dann zur SIS-Auslegung, Errichtung, Inbetriebnahme, Betrieb und Wartung, Änderungsmanagement und Außerbetriebnahme.
Zwei für den 61511-Geist eigene Anforderungen kommen hinzu. Das Management der funktionalen Sicherheit: definierte Rollen, nachgewiesene Kompetenz, Planung. Und die Beurteilung der funktionalen Sicherheit (FSA): unabhängige Audit-Meilensteine über den gesamten Zyklus, darunter mindestens einer vor dem Vorhandensein der Gefahren — also vor dem Anfahren. Die FSA ist das Sicherungsnetz, das prüft, dass die ganze Kette hält, bevor man sich auf sie verlässt.
Prior Use: der pragmatische Weg für Komponenten
IEC 61508 verlangt eine aufwendige Hardware-Bewertung der Komponenten. IEC 61511 öffnet einen realistischeren Weg für den Betreiber: Prior Use, die dokumentierte Betriebsbewährung. Wird ein Druckmessumformer seit Jahren unter vergleichbaren Bedingungen mit nachverfolgter Zuverlässigkeitshistorie eingesetzt, kann sein Einsatz in einer SIF gerechtfertigt werden, ohne von einer vollständigen Zertifizierung auszugehen.
Das ist mächtig, aber anspruchsvoll: Prior Use gilt nur, wenn die Einsatzbedingungen wirklich vergleichbar sind und die Ausfalldaten real, nicht optimistisch sind. Schlecht belegter Prior Use ist eine Scheinsicherheit.
Wiederholungsprüfung: wo der PFD gewonnen oder verloren wird
Eine SIF im Low-Demand-Modus liegt die meiste Zeit brach. Ein gefährlicher unerkannter Ausfall bleibt dort unsichtbar bis zur Wiederholungsprüfung (Proof Test). Sie deckt verborgene Fehler auf und „setzt” die Ausfallwahrscheinlichkeit zurück.
Daraus eine einfache Regel: für einen Kanal ohne Redundanz beträgt der mittlere PFD näherungsweise die Hälfte des Produkts aus gefährlicher unerkannter Ausfallrate und Prüfintervall. Doppelt so oft zu prüfen halbiert diesen Term. Doch die Prüfabdeckung zählt ebenso viel wie die Häufigkeit: eine Teilprüfung, die das Ventil nicht über den vollen Hub fährt, gibt trügerische Sicherheit. Der Rechner Ausfallrate zu mittlerer Betriebsdauer zwischen Ausfällen hilft bei diesen Größenordnungen.
Die Chancen und Risiken
Der erste Einsatz ist der schwere Unfall: Brand, Explosion, toxische Freisetzung. Betroffene Standorte fallen in Europa unter die Seveso-Richtlinie; die Integrität der SIFs nachzuweisen ist nicht optional.
Der zweite ist die Verfügbarkeit: eine überempfindliche SIF verursacht ungewollte Auslösungen, die teuer sind und — gefährlich — zur Überbrückung drängen. Der richtige SIL ist ein Gleichgewicht, kein Maximum.
Der dritte ist Cyber. Moderne SIS sind vernetzt. Der Triton-Angriff von 2017 zielte genau auf das sicherheitsinstrumentierte System eines petrochemischen Standorts, um dessen Schutz zu deaktivieren. Funktionale Sicherheit und Cybersicherheit lassen sich nicht mehr getrennt behandeln — siehe IEC 62443 und den Artikel Daten zwischen zwei OT-Steuerungen austauschen.
Die zu vermeidenden Fehler
| Fehler | Warum man ihn macht | Warum er gefährlich ist |
|---|---|---|
| Den Prozess mit dem System schützen, das ihn fährt | Sensoren und eine Steuerung sparen | Ein PLT-Versagen ist oft die Ursache der Gefahr; die Barriere fällt mit ihm (vgl. Texas City) |
| „Der Sensor ist SIL 2, also ist meine SIF SIL 2” | Verwechslung von Komponente und Schleife | Die SIF hängt von der ganzen Schleife, ihrer Architektur und ihrem Prüfintervall ab |
| Prior Use ohne reale Daten behauptet | Zeit bei der Qualifizierung sparen | Angenommene Zuverlässigkeit ≠ nachgewiesene; der reale SIL bricht ein |
| Teilweise Wiederholungsprüfung für ausreichend gehalten | Das Ventil „hat sich bewegt” | Ein unvollständiger Hub verbirgt das Festsitzen; der reale PFD driftet |
| Eine SIF zum Produzieren überbrücken, „wir setzen sie später zurück” | Produktionsdruck | Klassisches Unfallszenario: die Barriere existiert, handelt aber nicht mehr |
Die gute Praxis
Von einem soliden HAZOP ausgehen, dann den SIL per LOPA bestimmen, wo der Einsatz es rechtfertigt, per Risikograph für einfache Fälle.
Eine klare, prüfbare Sicherheitsanforderungsspezifikation schreiben, Funktion für Funktion, mit SIL, Reaktionszeit und sicherem Zustand.
Die Unabhängigkeit BPCS/SIS sicherstellen und jede verbleibende Gerätegemeinschaft dokumentieren.
Komponenten per 61508-Zertifizierung oder dokumentiertem Prior Use wählen — nie per Optimismus.
Einen Wiederholungsprüfplan mit realistischer Abdeckung definieren, stimmig mit der angestrebten Verfügbarkeit.
Überbrückungen managen: jede Außerkraftsetzung protokolliert, zeitlich begrenzt, signalisiert, per Verfahren aufgehoben.
Ein Management der funktionalen Sicherheit einrichten und die Beurteilungen (FSA) durch von den Konstrukteuren unabhängige Personen durchführen lassen, darunter eine vor dem Anfahren.
Review-Checkliste
- HAZOP dokumentiert und aktuell
- SIL per begründeter Methode bestimmt (LOPA oder Risikograph), je SIF
- Sicherheitsanforderungsspezifikation prüfbar, je Funktion
- Unabhängigkeit BPCS / SIS hergestellt und verbleibende Gemeinschaft begründet
- Komponenten qualifiziert (61508-Zertifizierung oder belegter Prior Use)
- PFD für jede SIF geprüft (Architektur, Ausfallrate, Prüfintervall)
- Wiederholungsprüfplan mit definierter Abdeckung
- Überbrückungsmanagement protokolliert und zeitlich begrenzt
- Management der funktionalen Sicherheit vorhanden
- FSAs durchgeführt, darunter eine vor Einführung der Gefahren
- Änderungsmanagement auf jede Änderung angewendet
Weiterführend
- Die Seite IEC 61511 erläutert die Norm Teil für Teil, und IEC 61508 die Basisnorm.
- Maschinenseitig unterscheidet sich der Ansatz: IEC 62061 und ISO 13849 — ein eigener Artikel folgt.
- Der Hub Safety PLC behandelt die Sicherheitssteuerungen, die die SIFs ausführen.
- Die Rechner PFD zu SIL, Risikominderung zu SIL und Ausfallrate zu MTBF.
- Um den 61511-Lebenszyklus praktisch zu managen — Risikograph, PFD-Engine, FSA-Gating, Audit-Trail — die Functional-Safety-Anwendung von IndustryHub: fs.industryhub.cloud.
Eine letzte Sache. Texas City fehlte es nicht an Verfahren; es fehlte eine unabhängige, zuverlässige, geprüfte Barriere, die handeln konnte, als die Leittechnik versagte. Das ist der ganze Sinn der IEC 61511: nicht „haben Sie ein Sicherheitssystem?”, sondern „ist es vom Prozess unabhängig, auf den richtigen SIL ausgelegt, und können Sie beweisen, dass es an dem Tag handelt, an dem es muss?”.