Die Norm, die sagt, wie zuverlässig Ihre Sicherheitseinrichtung sein muss

ATEX sagt, welches Schutzniveau ein Gerät in einer bestimmten Zone braucht. IEC 60079 sagt, welche Zündschutzart (Ex d, Ex ia usw.) es liefert. Keine von beiden sagt, wie zuverlässig eine Einrichtung sein muss, wenn diese Einrichtung selbst der Schutz ist — wenn ein Temperaturwächter, ein Strömungswächter oder ein Drehzahlwächter das Einzige ist, das zwischen Normalbetrieb und einer Zündquelle steht.

Genau diese Lücke schließt EN 50495. Ihr Titel ist wörtlich: Sicherheitseinrichtungen für den sicheren Betrieb von Geräten hinsichtlich Explosionsgefahren. Sie ist die Brücke zwischen Explosionsschutz und funktionaler Sicherheit — das Dokument, das eine ATEX/EPL-Anforderung in ein messbares Zuverlässigkeitsziel (eine Klassifizierungsstufe) überführt und dann erlaubt, dieses Ziel als SIL nachzuweisen.

Wenn Sie je ein Pumpen-Typenschild gesehen haben mit „zulässig in Zone 1, sofern die Oberflächentemperatur-Überwachung aktiv ist”, steht EN 50495 hinter diesem Satz.

Das Problem, das sie löst

Zwei Situationen machen eine Sicherheitseinrichtung selbst zum Schutz:

1. Zonenreduzierung. Sie installieren eine überwachte Maßnahme (z. B. Zwangslüftung mit Strömungswächter oder Inertisierung mit O₂-Analysator), damit die gefährliche Atmosphäre unwahrscheinlicher wird. Ist die Maßnahme zuverlässig genug, ist die resultierende Zone niedriger als die Basis-Zone — und Sie dürfen dort günstigeres Gerät einsetzen.
2. Überwachung einer Zündquelle. Das Gerät selbst kann zur Zündquelle werden (überhitztes Lager, trockenlaufende Kupplung, überdrehender Ventilator). Eine Überwachung erkennt den Vorläufer und erzwingt einen sicheren Zustand, bevor eine Zündung möglich ist. Für mechanisches Gerät ist das die Zündschutzart „b“ der EN ISO 80079-37, Stufen b1/b2 — und der instrumentierte Teil von „b“ wird durch EN 50495 eingestuft.

In beiden Fällen lautet die Frage gleich: Wie zuverlässig muss die Überwachung sein? Zu schwach, und Sie haben einen Schutz auf dem Papier; überdimensioniert, und Sie bezahlen unnötige Redundanz.

Die Klassifizierungsstufen K1 / K2 / K3

EN 50495 antwortet mit drei Zuverlässigkeitsgraden, jeder an eine Hardware-Fehlertoleranz gebunden:

Stufe	Hardware-Fehlertoleranz (HFT)	Typische Architektur	Bedeutung
K1	HFT 0	1oo1 (einkanalig)	Ein einziger gefährlicher Fehler kann sie außer Kraft setzen. Zulässig, wenn die Zündquelle nur nach einem seltenen Fehler auftritt, oder über bewährte Technik + regelmäßige Prüfung.
K2	HFT 1	1oo2 / 2oo3	Einfehlersicher: ein gefährlicher Fehler darf die Sicherheitsfunktion nicht außer Kraft setzen.
K3	HFT 2	1oo3	Zweifehlersicher: zwei kombinierte Fehler dürfen sie nicht außer Kraft setzen. Der höchste Grad.

Die erforderliche Stufe steigt mit zwei Eingängen: dem EPL/der ATEX-Kategorie des Geräts (wie selten es zünden darf) und der Häufigkeit, mit der die Zündquelle andernfalls wirksam würde (nie / bei seltenem Fehler / bei zu erwartendem Fehler / ständig). Die TRGS 725 macht daraus explizite Entscheidungstabellen — siehe dort die ausgearbeiteten Raster.

Von der Klassifizierung zum SIL

Eine Klassifizierungsstufe ist eine Zuverlässigkeitsanforderung; der SIL ist die Art, ihre Erfüllung nachzuweisen. EN 50495 (und TRGS 725, Tabelle 10) geben eine eindeutige Zuordnung:

Klassifizierung	Nachzuweisen als	Umsetzung
K1	SIL 1 (oder SIL_CL 1)	Sicherheitsgerichtete MSR-Einrichtung — eine einzelne Sicherheitsfunktion (SIF) nach IEC 61511.
K2	SIL 2 (oder SIL_CL 2)	Einzelner SIF-Kreis, einfehlersicher, nach IEC 61511.
K3	SIL 3 (oder SIL_CL 3)	Redundante MSR-Sicherheitseinrichtung, SIF-Kreis nach IEC 61511.

Zwei Wege sind legitim:

• Bewährte Technik + dokumentierte regelmäßige Prüfung. Für K1 / einfache, nicht-programmierbare Einrichtungen kann das genügen — Sie brauchen kein vollständiges SIL-Dossier. Das ist der pragmatische Weg, den die TRGS 725 in vielen Fällen ausdrücklich erlaubt.
• Quantifizierte funktionale Sicherheit: ein SIL-Nachweis nach IEC 61508 (generisch), IEC 61511 (Prozess) oder IEC 62061 (Maschinen). Pflicht, sobald die Einheit komplex/programmierbar ist oder die geforderte Stufe hoch ist.

Nutzen Sie den PFD ↔ SIL-Umrechner und das RRF ↔ SIL-Werkzeug, um eine Kandidaten-Architektur vor der vollständigen Berechnung im richtigen SIL-Band zu verorten.

Praxisbeispiel — eine Vakuumpumpe in Zone 1

Eine Flüssigkeitsring-Vakuumpumpe ist zugelassen für Zone 1 Gas, Gruppe IIB, Temperaturklasse T3 (≤ 200 °C) nur solange eine Oberflächentemperatur-Überwachung aktiv ist (ein gängiger Eintrag in echten ATEX-Betriebsanleitungen).

1. EPL / Kategorie: Zone 1 → Kategorie 2G → EPL Gb. Die heiße Oberfläche kann bei einem zu erwartenden Fehler zur Zündquelle werden (Verlust der Sperrflüssigkeit → Trockenlauf → schnelle Erwärmung).
2. Erforderliche Klassifizierung: das Zündquellen-Raster landet hier bei K1 → HFT 0 (eine Stufe Gutschrift nötig). Schärfere Anforderungsprofile drücken nach K2.
3. Funktion: „Körpertemperatur ≥ 90 °C Voralarm, ≥ 100 °C Abschaltung → Motor stromlos schalten (Safe Torque Off) innerhalb der Prozesssicherheitszeit.”
4. Nachweis: ein einzelner SIF-Kreis (Ex-Pt100 → Sicherheits-SPS → Motorschütz/STO), nachgewiesen mit SIL 1 nach IEC 61511 — oder bewährte Technik + regelmäßige Wiederholungsprüfung, wenn die Einrichtung dafür geeignet ist.
5. Zeit: die Antwort des Kreises muss schneller sein als die Erwärmungsrate — eine SIL-Zahl allein garantiert das nicht; die Prozesssicherheitszeit ist eine eigene, zwingende Prüfung.

Wo Ingenieure es falsch machen

• „Ex-zugelassen” ≠ „SIL-zugelassen”. Ex d / Ex ia (IEC 60079) beschreibt den Zündschutz der Einrichtung selbst — nicht die Zuverlässigkeit ihrer Sicherheitsfunktion. Ein SIL-2-Messumformer kann die falsche Zündschutzart haben; ein Ex-zertifizierter Sensor kann SIL-untauglich sein. Das sind orthogonale Achsen, und Sie brauchen beide.
• Der Wächter steht ebenfalls in der Zone. Die Sicherheitseinrichtung ist meist im Ex-Bereich montiert und muss daher selbst eine für diese Zone geeignete Ex-Kennzeichnung tragen — sonst ist der Schutz selbst eine mögliche Zündquelle.
• Die Reaktionszeit steckt nicht im SIL. „Die Reaktionszeit der Überwachungseinrichtung muss diese Geschwindigkeit berücksichtigen” — der Kreis muss handeln, bevor die Zündquelle wirksam wird. Prüfen Sie die gesamte Prozesssicherheitszeit, nicht nur den PFD.
• Die ganze Kette einstufen. Sensor + Logik + Endelement zählen alle; das schwächste Element bestimmt das erreichbare K/SIL. Ein SIL-2-Sensor hinter einem 1oo1-Relais ergibt eine K1-Funktion.
• K2/K3 lassen sich nicht „erklären”. Komplexe (programmierbare) Einheiten in K2/K3 erfordern eine belegte Zuverlässigkeitsbewertung durch Hersteller oder Betreiber — kein selbst vergebenes Etikett.
• Zonenreduzierung nicht doppelt gutschreiben. Eine Maßnahme erhält die niedrigere resultierende Zone nur, wenn die Überwachung die geforderte Klassifizierung tatsächlich erreicht und fristgerecht geprüft wird. Ohne Prüfregime verfällt die Gutschrift.

Wo EN 50495 unter den anderen Normen steht

Norm	Beantwortet…
IEC 60079 / ATEX 2014/34/EU	Welchen Zündschutz / welche Kategorie das Gerät in einer Zone braucht.
EN ISO 80079-37 (Zündschutzart „b“, b1/b2)	Wie mechanisches Gerät seine Zündquellen überwacht.
EN 50495	Wie zuverlässig die (instrumentierte) Sicherheitseinrichtung sein muss, die diese Zündquelle überwacht — und wie man sie einstuft (K1/K2/K3).
IEC 61508 / IEC 61511 / IEC 62061	Wie man diese Einrichtung als SIL-bewertete Sicherheitsfunktion auslegt, verifiziert und betreibt.
TRGS 725	Die deutsche Umsetzung: explizite Entscheidungstabellen Zone → K → SIL.

Die Functional-Safety-App auf industryhub.cloud führt den IEC-61511-Lebenszyklus durch, den der Weg K2/K3 → SIL verlangt: Risikograph-Assistent, PFD-Engine nach IEC 61508-6, Wiederholungsprüfungs-Planung und Audit-Trail — die Nachweisbasis, die EN 50495 für eine Schutzeinrichtung Klasse I erwartet.