# SIL & Explosionsschutz: wenn eine MSR-Einrichtung zur Schutzmaßnahme wird (TRGS 725, EN 50495, IEC 61511)

> Explosionsschutz (ATEX) und funktionale Sicherheit (SIL) treffen sich, sobald eine MSR-Einrichtung die Barriere ist, die die explosionsfähige Atmosphäre oder die Zündquelle verhindert. TRGS 725 und EN 50495 definieren diese Brücke: Einstufung per Risikograph, SIL und der IEC-61511-Lebenszyklus. Beispiel: Übertemperatur → Safe Torque Off eines Motors.

- Quelle : https://industryhub.site/de/articles/sil-et-explosionsschutz
- Veröffentlicht : 2026-06-14
- Autor : IndustryHub
- Sprache : Deutsch
- Stichwörter : explosionsschutz, atex, sil, trgs-725, en-50495, sto, msr, iec-61511, epl

## Der Kontext — die ATEX-Betriebsanleitung, die eine MSR-Einrichtung fordert

Immer mehr ATEX-Betriebsanleitungen von Geräten (Vakuumpumpen, Verdichter, Motoren in der Zone) **fordern** eine instrumentierte Schutzmaßnahme. Typischer, dokumentierter Fall: die Anleitung verlangt eine **Temperaturüberwachung** des Gerätekörpers, verbunden mit einer Verriegelung, die die Maschine **stoppt**, sobald ein Grenzwert erreicht ist — etwa Auslösung bei 100 °C, Vorwarnung bei 90 °C, weil darüber die heiße Oberfläche zur **Zündquelle** werden könnte.

In genau diesem Moment kippt etwas. Solange der Explosionsschutz **konstruktiv** ist (Zoneneinteilung, Zündschutzart Ex d/e/i…), gehört er zum reinen ATEX. Doch sobald eine **instrumentierte Funktion** — Sensor → Logik → Aktor — die Barriere ist, die die Zündung verhindert, betritt sie das Feld der **funktionalen Sicherheit**. Und eine Sicherheitsfunktion muss eingestuft, ausgelegt und nachgewiesen werden: sie erhält einen **SIL**.

## Das Prinzip: die MSR-Schutzeinrichtung

Der Begriff ist präzise: **MSR-Schutzeinrichtung** — eine Einrichtung der *Mess-, Steuer- und Regeltechnik*, die als **Schutzmaßnahme** dient. Wenn die Zündquellenanalyse ergibt, dass eine instrumentierte Maßnahme **notwendig** ist, um die Sicherheit zu erreichen — sei es durch Verhindern der **explosionsfähigen Atmosphäre** oder durch Unwirksammachen der **Zündquelle** — ist diese Maßnahme keine bloße betriebliche Verriegelung mehr: sie ist eine vollwertige Sicherheitsfunktion.

Das Schutzziel lautet dann typischerweise: *„Vermeidung des Entstehens einer gefährlichen explosionsfähigen Atmosphäre und/oder des Wirksamwerdens von Zündquellen."*

## Die zwei normativen Brücken: TRGS 725 und EN 50495

Hier verbindet die Regelsetzung die beiden Welten ausdrücklich.

- **TRGS 725** (deutsche Technische Regel) — *„Gefährliche explosionsfähige Atmosphäre — Mess-, Steuer- und Regeleinrichtungen im Rahmen von Explosionsschutzmaßnahmen."* Sie beschreibt, wie eine MSR-Schutzeinrichtung **eingestuft** wird (per Risikograph), und weist ihr einen **SIL** sowie eine Klasse zu. Sie ist der Referenztext im deutschsprachigen Raum.
- **EN 50495** — *„Sicherheitseinrichtungen für den sicheren Betrieb von Geräten hinsichtlich Explosionsgefahren."* Auf europäischer Ebene verknüpft sie die **geforderte Zuverlässigkeit der Sicherheitseinrichtung** mit dem **Geräteschutzniveau (EPL)**: eine SIL-bewertete Sicherheitseinrichtung kann das EPL eines Geräts „anheben".

Vorgelagert identifiziert die **Zündquellenanalyse** (IEC 60079-0 für das EPL, IEC 80079-36/-37 für nicht-elektrische Geräte), ob eine instrumentierte Maßnahme nötig ist. Nachgelagert wird die Funktion nach **[IEC 61511](/de/standards/iec-61511)** (Prozess) oder IEC 61508 ausgelegt.

## Die Einstufung: vom Risikograph zum SIL

Die Bestimmung wird nicht gewählt, sie wird berechnet. Der Risikograph der TRGS 725 geht von Startwerten aus (Schwere S, Häufigkeit/Wahrscheinlichkeit W) und führt zu einem **SIL** (für diese Art Maßnahme meist SIL 1 oder 2) und zu einer **Klasse** der MSR-Schutzeinrichtung. In der Praxis kommt eine Funktion „Übertemperatur → Stopp" dieser Art häufig auf **SIL 1**: das zu deckende Restrisiko ist real, aber moderat, und eine einzige instrumentierte Funktion genügt, um es auf das tolerierbare Niveau zu bringen.

## Die typische Funktion: Übertemperatur → Safe Torque Off

Das häufigste konkrete Schema veranschaulicht die Brücke perfekt. Eine **Temperaturmessung** überschreitet ihren Hoch-Hoch-Grenzwert; über das **sicherheitsinstrumentierte System (SIS)** befiehlt sie den **sicheren Halt des Motors** per **Safe Torque Off (STO)** des Frequenzumrichters — das Drehmoment wird sicher abgeschaltet, das Gerät kann sich nicht mehr erhitzen oder zur Zündquelle werden.

Zwei prägende Punkte, direkt aus IEC 61511 übernommen:

- **Trennung Leiten / Schützen.** Das BPCS (Leitsystem) darf das Schütz und den Laufbefehl abschalten — dieser Pfad ist jedoch **nicht SIL**. Die Sicherheitsfunktion wirkt unabhängig über den **STO des Umrichters via den Sicherheits-Logiklöser**. Leitung und Sicherheit teilen sich die Barriere nicht.
- **Schlanke, nachvollziehbare Architektur.** Sensor **1oo1**, Aktor **1oo1**, Faktor gemeinsamer Ursache berücksichtigt, und eine **Reaktionszeit** kürzer als die Prozesssicherheitszeit — der Aktor (der STO) ist oft ihr dominanter Beitrag. Umrichter mit zertifiziertem Temperaturschutzmodul und integriertem STO decken diesen Bedarf.

## Die Falle: Ex „i" ist kein SIL

Das ist die klassische Verwechslung, und sie gilt auch hier. Ein **Ex-ia**-Sensor garantiert, dass er **keine Zündquelle wird**; ein **SIL** garantiert, dass die **Funktion** ihre Risikominderung erreicht. Zwei **orthogonale** Achsen: man kann — und muss oft — einen *Ex-ia*-Messumformer **in** einer *SIL-1*-Schleife haben. Ebenso misst das **EPL** (Ga/Gb/Gc) die Wahrscheinlichkeit, dass das **Gerät** zur Zündquelle wird, der **SIL** die Wahrscheinlichkeit des **Funktionsausfalls**: gleiche Grammatik der Fehlertoleranz, verschiedene Ereignisse.

## Der Lebenszyklus: einstufen, nachweisen, prüfen, dokumentieren

Eine Explosionsschutz-Maßnahme als SIL zu behandeln heißt, sie in den vollständigen **IEC-61511-Lebenszyklus** zu stellen:

1. **Risiko- und Zündquellenanalyse** (das „Warum").
2. **Einstufung** (Risikograph → SIL + Klasse).
3. **Sicherheitsanforderungsspezifikation** (SRS): Grenzwerte, Reaktionszeit, sicherer Zustand, Architektur.
4. **SIL-Verifikation** (PFD/PFH-Berechnung): nachweisen, dass die Kette den Ziel-SIL erreicht.
5. **Inbetriebnahme** (Prüfpläne Sensor / Aktor / Schleife).
6. **Betrieb & Instandhaltung**: **wiederkehrende Prüfungen**, über die Zeit dokumentiert — sie halten den PFD; ohne sie erodiert die Integrität.
7. **SIF-Lebenslauf**: Nachvollziehbarkeit der Funktion über ihre gesamte Lebensdauer.

## Die zu vermeidenden Fehler

| Fehler | Warum man ihn macht | Warum er gefährlich ist |
|---|---|---|
| ATEX und funktionale Sicherheit getrennt behandeln | Zwei Teams, zwei Normen | Die instrumentierte Explosionsschutz-Maßnahme IST eine SIF — sie muss eingestuft und nachgewiesen werden |
| „Es ist Ex ia, also ist es SIL" | Verwechslung der beiden Achsen | Ex i ≠ SIL; man braucht beide, sie ersetzen sich nicht |
| Die ATEX-Anleitung des Herstellers ignorieren | „Wir kennen unsere Pumpen" | Der Hersteller kann eine MSR-Maßnahme vorschreiben; sie wegzulassen hebt die Konformität auf |
| Den Sicherheitshalt über das BPCS verdrahten | Einen Kanal sparen | Keine Unabhängigkeit: Leitung und Sicherheit fallen zusammen |
| Einmal einstufen, nie prüfen | „Bei der Inbetriebnahme lief es" | Der PFD driftet; ohne realistische wiederkehrende Prüfung verblasst die Barriere |

## Die gute Praxis

Die ATEX-Anleitung des Herstellers lesen: wird eine MSR-Schutzmaßnahme gefordert, löst sie den gesamten Prozess aus.

Die Maßnahme per Risikograph (TRGS 725) einstufen und nach IEC 61511 / EN 50495 auslegen.

Den Sicherheitshalt unabhängig vom BPCS umsetzen — typischerweise per STO des Umrichters über den Sicherheits-Logiklöser.

Den SIL per Berechnung (PFD/PFH) nachweisen, inklusive Architektur, β und Prüfintervall. Die Rechner [PFD zu SIL](/de/tools/safety/pfd-to-sil) und [Risikominderung zu SIL](/de/tools/safety/rrf-sil) helfen bei der Orientierung.

Wiederkehrende Prüfungen planen und einen Lebenslauf der Funktion führen.

## Weiterführend

- Der Hub [ATEX](/de/technologies/atex) und die Reihe [IEC 60079](/de/standards/iec-60079) zum Explosionsschutz.
- Der Artikel [Funktionale Sicherheit der Prozessindustrie — IEC 61511](/de/articles/securite-fonctionnelle-iec-61511) und das Fundament [IEC 61508](/de/articles/securite-fonctionnelle-iec-61508).
- Die Richtlinie [ATEX 2014/34/EU](/de/standards/atex-2014-34-eu).
- Um den Lebenszyklus einer solchen Funktion praktisch zu managen — Einstufung, PFD-Berechnung, Gating, Lebenslauf — die **Functional-Safety**-Anwendung von IndustryHub: [fs.industryhub.cloud](https://fs.industryhub.cloud).

**Eine letzte Sache.** Explosionsschutz ist nicht nur eine Frage von Konstruktion und Zoneneinteilung. An dem Tag, an dem eine Mess-, Steuer- und Regelmaßnahme zur Barriere wird, die die Zündung verhindert, wechselt sie die Welt: sie wird zur Sicherheitsfunktion, mit ihrem SIL, ihrer Nachweisberechnung und ihrem Lebenszyklus. TRGS 725 und EN 50495 benennen diese Brücke nur — man muss sie noch ganz überqueren.