Der Kontext — die Maschine, die im falschen Moment wieder anläuft
Die Szene ist traurig alltäglich. Ein Bediener arbeitet an einer stillstehenden Maschine — eine Verstopfung lösen, ein Werkzeug reinigen. Eine Schutztür ist offen, aber der Wiederanlauf ist nicht verriegelt; oder das Lichtgitter wurde „nur für diese Einrichtung” gemutet. Die Maschine läuft an. Eine Hand wird erfasst.
Die meisten schweren Maschinenunfälle entstehen nicht durch fehlenden Schutz, sondern durch ausgefallene oder umgangene Sicherheitsfunktionen: eine gebrückte Verriegelung, ein gemutetes Lichtgitter, ein Halt, der nicht wirklich anhält. Mit dem Aufstieg der kollaborativen Robotik rückt das Risiko immer näher an den Menschen. Die funktionale Maschinensicherheit existiert, um zu garantieren, dass eine Funktion wie „Tür offen → sicherer Halt, Wiederanlauf unmöglich” nicht nur vorhanden, sondern auf dem geforderten Niveau zuverlässig ist.
Zwei Normen für ein Ziel
Wo die Prozesswelt eine einzige Norm hat (IEC 61511), hat die Maschine zwei, aus zwei Welten ererbt:
- ISO 13849 stammt aus der „klassischen” Maschinensicherheit (der früheren EN 954-1). Sie deckt alle Technologien ab — mechanisch, hydraulisch, pneumatisch, elektrisch, elektronisch — und denkt in Performance Level (PL).
- IEC 62061 ist die Maschinen-Anwendung der IEC 61508. Sie konzentriert sich auf elektrische, elektronische und programmierbare Systeme und denkt in SIL.
Beide erreichen dasselbe Ziel: die sicherheitsbezogene Steuerung einer Maschine auszulegen, und beide geben Konformitätsvermutung mit der europäischen Maschinenverordnung. Das gemeinsame Dach ist ISO 12100: die Risikobeurteilung, die jeder Normwahl vorausgeht.
PL und SIL: zwei Skalen, eine Entsprechung
ISO 13849 stuft die Zuverlässigkeit einer Funktion in fünf Performance Level ein, von PL a (am niedrigsten) bis PL e (am höchsten). IEC 62061 nutzt SIL (1 bis 3 für Maschinen). Da Maschinen im High-Demand- oder Dauerbetrieb arbeiten, ist die gemessene Größe die Wahrscheinlichkeit eines gefahrbringenden Ausfalls pro Stunde (PFHd), nicht der Prozess-PFD.
| PL (ISO 13849) | PFHd (pro Stunde) | Entsprechender SIL (IEC 62061) |
|---|---|---|
| a | 10⁻⁵ bis 10⁻⁴ | — |
| b | 3·10⁻⁶ bis 10⁻⁵ | 1 |
| c | 10⁻⁶ bis 3·10⁻⁶ | 1 |
| d | 10⁻⁷ bis 10⁻⁶ | 2 |
| e | 10⁻⁸ bis 10⁻⁷ | 3 |
Der erforderliche PL (PLr) wird über einen Risikographen mit drei Parametern bestimmt: Schwere der Verletzung (S), Häufigkeit der Gefährdungsexposition (F), Möglichkeit der Vermeidung (P). Die Rechner Risikominderung zu SIL und PFD zu SIL helfen bei diesen Entsprechungen.
Die ISO-13849-Methode: Kategorie + Zuverlässigkeit → PL
Der von einer Funktion erreichte PL hängt nicht nur von den Komponenten ab. Er kombiniert mehrere Faktoren:
- die Architektur-Kategorie (siehe unten), die das Verhalten im Fehlerfall festlegt;
- den MTTFd (mittlere Zeit bis zum gefahrbringenden Ausfall) jedes Kanals, eingestuft niedrig / mittel / hoch;
- den mittleren Diagnosedeckungsgrad (DCavg): den Anteil der erkannten gefahrbringenden Fehler;
- den Faktor für Ausfälle gemeinsamer Ursache (CCF), der einen Mindestscore erreichen muss.
Die Kombination ergibt den PL — eine ausgezeichnete Komponente in einer schlechten Architektur genügt nicht.
Die Architekturkategorien — das Herz von ISO 13849
| Kat. | Prinzip | Verhalten im Fehlerfall |
|---|---|---|
| B | Einkanalig, Komponenten nach Grundanforderungen | Ein Fehler kann die Funktion verlieren |
| 1 | Wie B, mit bewährten Komponenten und Prinzipien | Weniger Fehler, aber ein Fehler bleibt fatal |
| 2 | Einkanalig, von der Maschine periodisch geprüft | Der Fehler wird beim nächsten Test erkannt |
| 3 | Redundanz: ein Einzelfehler verliert die Funktion nicht | Einzelfehlertoleranz, teilweise Erkennung |
| 4 | Redundanz + hohe Erkennung | Fehlerakkumulation verliert die Funktion nicht |
PL e erfordert in der Praxis eine Architektur der Kategorie 3 oder 4. PL d mindestens Kategorie 3 (oder gut diagnostizierte Kategorie 2). Diese Verbindung Kategorie ↔ PL strukturiert die Auslegung.
Die IEC-62061-Methode: Teilsysteme und SILCL
IEC 62061 zerlegt die Funktion in Teilsysteme (Eingang, Logik, Ausgang), jedes charakterisiert durch eine SIL-Anspruchsgrenze (SILCL) und einen PFHd. Die vollständige Funktion kann ihr schwächstes Teilsystem nicht übertreffen — die Kette ist so stark wie ihr schwächstes Glied. Die Logik ist die der IEC 61508: Architektur, Hardware-Fehlertoleranz, Anteil sicherer Ausfälle, systematische Eignung.
Für komplexe, programmierbare Funktionen ist IEC 62061 oft natürlicher; für einfache Funktionen mit nicht-elektronischen Technologien ist es ISO 13849.
High Demand: PFHd, nicht PFD
Das ist der zentrale konzeptionelle Unterschied zur Prozesswelt. Eine Maschinen-Sicherheitsfunktion wird häufig angefordert — bei jeder Türöffnung, bei jedem Zyklus. Man misst also keine „Anforderungs”-Wahrscheinlichkeit (PFD), sondern eine Wahrscheinlichkeit eines gefahrbringenden Ausfalls pro Stunde (PFHd). Die Wiederholungsprüfung zählt weniger als im Low-Demand-Modus; Architektur, Diagnose und intrinsische Zuverlässigkeit tragen die Sicherheit.
Konvergenz der Normen und Rechtsrahmen
Lange konkurrierend, konvergieren die beiden Normen. IEC 62061:2021 (Edition 2) erweiterte ihren Geltungsbereich auf alle Technologien, und eine gemeinsame IEC/ISO-Arbeit zielt langfristig auf eine einzige Norm, die PL und SIL versöhnt. ISO 13849-1:2023 ist die aktuelle Ausgabe.
Rechtlich ist der Treiber die Maschinenverordnung (EU) 2023/1230, die die Richtlinie 2006/42/EG ersetzt und ab 20. Januar 2027 gilt. Sie führt ausdrücklich Software-Sicherheitsbauteile und KI ein und stärkt die Cybersicherheit — eine direkte Schnittstelle zur funktionalen Sicherheit. Die Einhaltung von EN ISO 13849-1 oder EN IEC 62061 (harmonisierte Normen) begründet Konformitätsvermutung.
Die Chancen und Risiken
Der erste Einsatz ist menschlich: Amputationen, Quetschungen, Einzug — Maschinen verletzen schnell und dauerhaft.
Der regulatorische Einsatz ist die CE-Kennzeichnung: ohne Konformitätsnachweis (ISO-12100-Risikobeurteilung + Sicherheitsfunktionen auf dem richtigen PL/SIL) darf die Maschine nicht auf den EU-Markt.
Der Produktivitäts-Einsatz ist ebenfalls real: eine zu restriktive Funktion drängt Bediener zum Umgehen — die Ergonomie der Sicherheit ist eine Bedingung ihrer Wirksamkeit.
Die zu vermeidenden Fehler
| Fehler | Warum man ihn macht | Warum er gefährlich ist |
|---|---|---|
| Eine gute Komponente ohne Blick auf die Architektur wählen | „Dieses Relais ist PL e” | PL hängt von Kategorie, MTTFd, DCavg und CCF ab — nicht von der Komponente allein |
| Überall PL e „zur Sicherheit” anstreben | Glauben, Sicherheit zu kaufen | Mehrkosten und Komplexität; ein überdimensionierter, schlecht ausgelegter PL bleibt ein schlechter PL |
| Einfaches Umgehen einer Funktion erlauben | Die Einrichtung bequem machen | Eine besiegte Funktion ist die häufigste Ursache schwerer Unfälle |
| Den Wiederanlauf nach Halt vergessen | Nur ans Anhalten denken | Ein sicherer Halt ohne Wiederanlaufsperre schützt die Person im Inneren nicht |
| Die Validierung (ISO 13849-2) vernachlässigen | „Es scheint zu funktionieren” | Ohne dokumentierte Validierung ist der beanspruchte PL nicht nachgewiesen |
Die gute Praxis
Mit der ISO-12100-Risikobeurteilung beginnen, Funktion für Funktion, und den PLr (oder Ziel-SIL) ableiten.
Die Norm nach Maschine wählen: ISO 13849 für die Multitechnologie-Abdeckung und gängige Fälle, IEC 62061 für komplexe programmierbare Funktionen — beide sind zulässig.
Zuerst die Architektur (Kategorie) auslegen, dann MTTFd, DCavg und CCF prüfen; Komponente und Funktion nicht verwechseln.
Den Wiederanlauf richtig machen: Tür offen → sicherer Halt und Wiederanlauf ohne Quittierung unmöglich.
Das Umgehen schwer, nachverfolgt und temporär machen; eine Sicherheit auslegen, die man nicht umgehen will.
Nach ISO 13849-2 validieren und die Konformitätsakte (CE-Kennzeichnung) dokumentieren.
Review-Checkliste
- ISO-12100-Risikobeurteilung dokumentiert
- PLr / Ziel-SIL je Funktion bestimmt (Risikograph S/F/P)
- Norm gewählt und begründet (ISO 13849 oder IEC 62061)
- Architekturkategorie stimmig mit dem Ziel-PL
- MTTFd, DCavg und CCF geprüft und begründet
- PFHd berechnet und konform mit dem geforderten PL/SIL
- Wiederanlauffunktion nach Halt verriegelt
- Umgehungen schwer, nachverfolgt und zeitlich begrenzt
- ISO-13849-2-Validierung durchgeführt und dokumentiert
- Konformitätsakte (CE-Kennzeichnung) erstellt
Weiterführend
- Die Seiten IEC 62061 und ISO 13849 sowie die Basisnorm IEC 61508.
- Die Prozessvariante: Funktionale Sicherheit der Prozessindustrie — IEC 61511, und das Fundament Funktionale Sicherheit und IEC 61508.
- Der Hub Safety PLC für Sicherheitssteuerungen.
- Die Rechner Risikominderung zu SIL und Ausfallrate zu MTBF.
Eine letzte Sache. PL oder SIL, ISO 13849 oder IEC 62061: die Normdebatte begeistert, ist aber zweitrangig. Was eine Hand rettet, ist eine korrekt beurteilte, auf die richtige Kategorie ausgelegte, validierte Funktion, die sich nicht mit einem Handgriff besiegen lässt. Die Norm ist nur die Grammatik; die Sicherheit ist das, was man damit schreibt.