Der Kontext — die ATEX-Betriebsanleitung, die eine MSR-Einrichtung fordert
Immer mehr ATEX-Betriebsanleitungen von Geräten (Vakuumpumpen, Verdichter, Motoren in der Zone) fordern eine instrumentierte Schutzmaßnahme. Typischer, dokumentierter Fall: die Anleitung verlangt eine Temperaturüberwachung des Gerätekörpers, verbunden mit einer Verriegelung, die die Maschine stoppt, sobald ein Grenzwert erreicht ist — etwa Auslösung bei 100 °C, Vorwarnung bei 90 °C, weil darüber die heiße Oberfläche zur Zündquelle werden könnte.
In genau diesem Moment kippt etwas. Solange der Explosionsschutz konstruktiv ist (Zoneneinteilung, Zündschutzart Ex d/e/i…), gehört er zum reinen ATEX. Doch sobald eine instrumentierte Funktion — Sensor → Logik → Aktor — die Barriere ist, die die Zündung verhindert, betritt sie das Feld der funktionalen Sicherheit. Und eine Sicherheitsfunktion muss eingestuft, ausgelegt und nachgewiesen werden: sie erhält einen SIL.
Das Prinzip: die MSR-Schutzeinrichtung
Der Begriff ist präzise: MSR-Schutzeinrichtung — eine Einrichtung der Mess-, Steuer- und Regeltechnik, die als Schutzmaßnahme dient. Wenn die Zündquellenanalyse ergibt, dass eine instrumentierte Maßnahme notwendig ist, um die Sicherheit zu erreichen — sei es durch Verhindern der explosionsfähigen Atmosphäre oder durch Unwirksammachen der Zündquelle — ist diese Maßnahme keine bloße betriebliche Verriegelung mehr: sie ist eine vollwertige Sicherheitsfunktion.
Das Schutzziel lautet dann typischerweise: „Vermeidung des Entstehens einer gefährlichen explosionsfähigen Atmosphäre und/oder des Wirksamwerdens von Zündquellen.”
Die zwei normativen Brücken: TRGS 725 und EN 50495
Hier verbindet die Regelsetzung die beiden Welten ausdrücklich.
- TRGS 725 (deutsche Technische Regel) — „Gefährliche explosionsfähige Atmosphäre — Mess-, Steuer- und Regeleinrichtungen im Rahmen von Explosionsschutzmaßnahmen.” Sie beschreibt, wie eine MSR-Schutzeinrichtung eingestuft wird (per Risikograph), und weist ihr einen SIL sowie eine Klasse zu. Sie ist der Referenztext im deutschsprachigen Raum.
- EN 50495 — „Sicherheitseinrichtungen für den sicheren Betrieb von Geräten hinsichtlich Explosionsgefahren.” Auf europäischer Ebene verknüpft sie die geforderte Zuverlässigkeit der Sicherheitseinrichtung mit dem Geräteschutzniveau (EPL): eine SIL-bewertete Sicherheitseinrichtung kann das EPL eines Geräts „anheben”.
Vorgelagert identifiziert die Zündquellenanalyse (IEC 60079-0 für das EPL, IEC 80079-36/-37 für nicht-elektrische Geräte), ob eine instrumentierte Maßnahme nötig ist. Nachgelagert wird die Funktion nach IEC 61511 (Prozess) oder IEC 61508 ausgelegt.
Die Einstufung: vom Risikograph zum SIL
Die Bestimmung wird nicht gewählt, sie wird berechnet. Der Risikograph der TRGS 725 geht von Startwerten aus (Schwere S, Häufigkeit/Wahrscheinlichkeit W) und führt zu einem SIL (für diese Art Maßnahme meist SIL 1 oder 2) und zu einer Klasse der MSR-Schutzeinrichtung. In der Praxis kommt eine Funktion „Übertemperatur → Stopp” dieser Art häufig auf SIL 1: das zu deckende Restrisiko ist real, aber moderat, und eine einzige instrumentierte Funktion genügt, um es auf das tolerierbare Niveau zu bringen.
Die typische Funktion: Übertemperatur → Safe Torque Off
Das häufigste konkrete Schema veranschaulicht die Brücke perfekt. Eine Temperaturmessung überschreitet ihren Hoch-Hoch-Grenzwert; über das sicherheitsinstrumentierte System (SIS) befiehlt sie den sicheren Halt des Motors per Safe Torque Off (STO) des Frequenzumrichters — das Drehmoment wird sicher abgeschaltet, das Gerät kann sich nicht mehr erhitzen oder zur Zündquelle werden.
Zwei prägende Punkte, direkt aus IEC 61511 übernommen:
- Trennung Leiten / Schützen. Das BPCS (Leitsystem) darf das Schütz und den Laufbefehl abschalten — dieser Pfad ist jedoch nicht SIL. Die Sicherheitsfunktion wirkt unabhängig über den STO des Umrichters via den Sicherheits-Logiklöser. Leitung und Sicherheit teilen sich die Barriere nicht.
- Schlanke, nachvollziehbare Architektur. Sensor 1oo1, Aktor 1oo1, Faktor gemeinsamer Ursache berücksichtigt, und eine Reaktionszeit kürzer als die Prozesssicherheitszeit — der Aktor (der STO) ist oft ihr dominanter Beitrag. Umrichter mit zertifiziertem Temperaturschutzmodul und integriertem STO decken diesen Bedarf.
Die Falle: Ex „i” ist kein SIL
Das ist die klassische Verwechslung, und sie gilt auch hier. Ein Ex-ia-Sensor garantiert, dass er keine Zündquelle wird; ein SIL garantiert, dass die Funktion ihre Risikominderung erreicht. Zwei orthogonale Achsen: man kann — und muss oft — einen Ex-ia-Messumformer in einer SIL-1-Schleife haben. Ebenso misst das EPL (Ga/Gb/Gc) die Wahrscheinlichkeit, dass das Gerät zur Zündquelle wird, der SIL die Wahrscheinlichkeit des Funktionsausfalls: gleiche Grammatik der Fehlertoleranz, verschiedene Ereignisse.
Der Lebenszyklus: einstufen, nachweisen, prüfen, dokumentieren
Eine Explosionsschutz-Maßnahme als SIL zu behandeln heißt, sie in den vollständigen IEC-61511-Lebenszyklus zu stellen:
- Risiko- und Zündquellenanalyse (das „Warum”).
- Einstufung (Risikograph → SIL + Klasse).
- Sicherheitsanforderungsspezifikation (SRS): Grenzwerte, Reaktionszeit, sicherer Zustand, Architektur.
- SIL-Verifikation (PFD/PFH-Berechnung): nachweisen, dass die Kette den Ziel-SIL erreicht.
- Inbetriebnahme (Prüfpläne Sensor / Aktor / Schleife).
- Betrieb & Instandhaltung: wiederkehrende Prüfungen, über die Zeit dokumentiert — sie halten den PFD; ohne sie erodiert die Integrität.
- SIF-Lebenslauf: Nachvollziehbarkeit der Funktion über ihre gesamte Lebensdauer.
Die zu vermeidenden Fehler
| Fehler | Warum man ihn macht | Warum er gefährlich ist |
|---|---|---|
| ATEX und funktionale Sicherheit getrennt behandeln | Zwei Teams, zwei Normen | Die instrumentierte Explosionsschutz-Maßnahme IST eine SIF — sie muss eingestuft und nachgewiesen werden |
| „Es ist Ex ia, also ist es SIL” | Verwechslung der beiden Achsen | Ex i ≠ SIL; man braucht beide, sie ersetzen sich nicht |
| Die ATEX-Anleitung des Herstellers ignorieren | „Wir kennen unsere Pumpen” | Der Hersteller kann eine MSR-Maßnahme vorschreiben; sie wegzulassen hebt die Konformität auf |
| Den Sicherheitshalt über das BPCS verdrahten | Einen Kanal sparen | Keine Unabhängigkeit: Leitung und Sicherheit fallen zusammen |
| Einmal einstufen, nie prüfen | „Bei der Inbetriebnahme lief es” | Der PFD driftet; ohne realistische wiederkehrende Prüfung verblasst die Barriere |
Die gute Praxis
Die ATEX-Anleitung des Herstellers lesen: wird eine MSR-Schutzmaßnahme gefordert, löst sie den gesamten Prozess aus.
Die Maßnahme per Risikograph (TRGS 725) einstufen und nach IEC 61511 / EN 50495 auslegen.
Den Sicherheitshalt unabhängig vom BPCS umsetzen — typischerweise per STO des Umrichters über den Sicherheits-Logiklöser.
Den SIL per Berechnung (PFD/PFH) nachweisen, inklusive Architektur, β und Prüfintervall. Die Rechner PFD zu SIL und Risikominderung zu SIL helfen bei der Orientierung.
Wiederkehrende Prüfungen planen und einen Lebenslauf der Funktion führen.
Weiterführend
- Der Hub ATEX und die Reihe IEC 60079 zum Explosionsschutz.
- Der Artikel Funktionale Sicherheit der Prozessindustrie — IEC 61511 und das Fundament IEC 61508.
- Die Richtlinie ATEX 2014/34/EU.
- Um den Lebenszyklus einer solchen Funktion praktisch zu managen — Einstufung, PFD-Berechnung, Gating, Lebenslauf — die Functional-Safety-Anwendung von IndustryHub: fs.industryhub.cloud.
Eine letzte Sache. Explosionsschutz ist nicht nur eine Frage von Konstruktion und Zoneneinteilung. An dem Tag, an dem eine Mess-, Steuer- und Regelmaßnahme zur Barriere wird, die die Zündung verhindert, wechselt sie die Welt: sie wird zur Sicherheitsfunktion, mit ihrem SIL, ihrer Nachweisberechnung und ihrem Lebenszyklus. TRGS 725 und EN 50495 benennen diese Brücke nur — man muss sie noch ganz überqueren.