# EN 50495 — Sicherheitseinrichtungen gegen Zündgefahren (die Brücke von ATEX zu SIL)

> EN 50495 legt fest, wie zuverlässig eine Sicherheitseinrichtung sein muss, wenn sie selbst die Maßnahme ist, die ein Ex-Gerät innerhalb seiner Zündschutz-Grenzen hält. Sie definiert die Klassifizierungsstufen K1/K2/K3 und ordnet sie dem SIL zu — das fehlende Bindeglied zwischen der ATEX-Kategorie (IEC 60079 / 2014/34/EU) und der funktionalen Sicherheit (IEC 61508/61511).

- Quelle : https://industryhub.site/de/standards/en-50495
- Herausgeber : CENELEC
- Familie : Explosionsschutz
- Status : current
- Erstveröffentlichung : 2010
- Letzte Revision : 2010-11 (Ausgabe 1)
- Ausgabe : 1
- Nächste Revision : Keine größere Überarbeitung veröffentlicht; bleibt die harmonisierte Referenz
- Zugang : Kostenpflichtig (nationale Stellen — DIN/VDE 0170-18, BSI usw.)
- Sprache : Deutsch

## Dokumentstruktur

- **EN 50495:2010** — Sicherheitseinrichtungen für den sicheren Betrieb von Geräten hinsichtlich Explosionsgefahren : Einziges Dokument. Definiert die Rolle einer „Sicherheitseinrichtung“, die ein Gerät innerhalb seiner Zündschutz-Hülle hält, die Klassifizierungsstufen (K1/K2/K3) mit der zugehörigen Hardware-Fehlertoleranz und den Weg zu ihrem Nachweis über die funktionale Sicherheit (SIL). Harmonisiert unter ATEX 2014/34/EU.

## Schlüsselbegriffe

- **Sicherheitseinrichtung** : Eine (meist instrumentierte) Einrichtung — Sensor + Logik + Aktor —, die erkennt, dass ein Gerät seinen sicheren Zündschutz-Zustand zu verlassen droht, und es in den sicheren Zustand zurückführt. Beispiel: ein Temperaturwächter, der eine Pumpe abschaltet, bevor ihre Oberfläche die Zündtemperatur des Gases erreicht.
- **Klassifizierungsstufe (K1 / K2 / K3)** : Der von EN 50495 vergebene Zuverlässigkeitsgrad der Sicherheitseinrichtung. K1 = niedrigste, K3 = höchste. Die erforderliche Stufe ergibt sich aus dem Geräteschutzniveau (EPL) / der ATEX-Kategorie des Geräts UND daraus, wie oft die Zündquelle andernfalls wirksam würde.
- **Hardware-Fehlertoleranz (HFT)** : Anzahl der Fehler, die die Einrichtung verträgt und dabei ihre Sicherheitsfunktion noch erfüllt. K1 → HFT 0 (einkanalig, 1oo1). K2 → HFT 1 (einfehlersicher, z. B. 1oo2). K3 → HFT 2 (zweifehlersicher, z. B. 1oo3).
- **Geräteschutzniveau (EPL)** : Ga/Gb/Gc (Gas), Da/Db/Dc (Staub), definiert in IEC 60079-0. Das EPL ist die Eingangsgröße von EN 50495: es gibt an, wie selten das Gerät zur Zündquelle werden darf, was die erforderliche Zuverlässigkeit der Sicherheitseinrichtung festlegt.
- **SIL / SIL-Anspruchsgrenze (SIL / SIL_CL)** : EN 50495 erlaubt den Nachweis von K1/K2/K3 über die funktionale Sicherheit: K1↔SIL 1, K2↔SIL 2, K3↔SIL 3. Der SIL gilt für die gesamte Sicherheitsfunktion; der SIL_CL (SIL claim limit, IEC 62061) ist der maximale SIL, den eine Teilsystem-Architektur beanspruchen darf.
- **Überwachung der Zündquelle „b"** : Für nicht-elektrische (mechanische) Geräte definiert EN ISO 80079-37 die Zündschutzart „b“ — Überwachung von Zündquellen — mit den Stufen b1 und b2. EN 50495 liefert die Zuverlässigkeitsanforderungen an die instrumentierte Überwachung, auf die sich „b“ stützt.

## Die Norm, die sagt, wie zuverlässig Ihre Sicherheitseinrichtung sein muss

ATEX sagt, *welches Schutzniveau* ein Gerät in einer bestimmten Zone braucht. IEC 60079 sagt, *welche Zündschutzart* (`Ex d`, `Ex ia` usw.) es liefert. **Keine von beiden sagt, wie zuverlässig eine Einrichtung sein muss, wenn diese Einrichtung selbst der Schutz ist** — wenn ein Temperaturwächter, ein Strömungswächter oder ein Drehzahlwächter das Einzige ist, das zwischen Normalbetrieb und einer Zündquelle steht.

Genau diese Lücke schließt **EN 50495**. Ihr Titel ist wörtlich: *Sicherheitseinrichtungen für den sicheren Betrieb von Geräten hinsichtlich Explosionsgefahren*. Sie ist die **Brücke zwischen Explosionsschutz und funktionaler Sicherheit** — das Dokument, das eine ATEX/EPL-Anforderung in ein messbares Zuverlässigkeitsziel (eine Klassifizierungsstufe) überführt und dann erlaubt, dieses Ziel als **SIL** nachzuweisen.

Wenn Sie je ein Pumpen-Typenschild gesehen haben mit „zulässig in Zone 1, *sofern* die Oberflächentemperatur-Überwachung aktiv ist", steht EN 50495 hinter diesem Satz.

## Das Problem, das sie löst

Zwei Situationen machen eine Sicherheitseinrichtung selbst zum Schutz:

1. **Zonenreduzierung.** Sie installieren eine überwachte Maßnahme (z. B. Zwangslüftung mit Strömungswächter oder Inertisierung mit O₂-Analysator), damit die gefährliche Atmosphäre unwahrscheinlicher wird. Ist die Maßnahme zuverlässig genug, ist die *resultierende* Zone niedriger als die *Basis*-Zone — und Sie dürfen dort günstigeres Gerät einsetzen.
2. **Überwachung einer Zündquelle.** Das Gerät selbst kann zur Zündquelle werden (überhitztes Lager, trockenlaufende Kupplung, überdrehender Ventilator). Eine Überwachung erkennt den Vorläufer und erzwingt einen sicheren Zustand, bevor eine Zündung möglich ist. Für mechanisches Gerät ist das die Zündschutzart **„b“** der EN ISO 80079-37, Stufen **b1/b2** — und der instrumentierte Teil von „b“ wird durch EN 50495 eingestuft.

In beiden Fällen lautet die Frage gleich: *Wie zuverlässig muss die Überwachung sein?* Zu schwach, und Sie haben einen Schutz auf dem Papier; überdimensioniert, und Sie bezahlen unnötige Redundanz.

## Die Klassifizierungsstufen K1 / K2 / K3

EN 50495 antwortet mit drei Zuverlässigkeitsgraden, jeder an eine Hardware-Fehlertoleranz gebunden:

| Stufe | Hardware-Fehlertoleranz (HFT) | Typische Architektur | Bedeutung |
|---|---|---|---|
| **K1** | HFT 0 | 1oo1 (einkanalig) | Ein einziger gefährlicher Fehler kann sie außer Kraft setzen. Zulässig, wenn die Zündquelle nur nach einem seltenen Fehler auftritt, oder über *bewährte Technik* + regelmäßige Prüfung. |
| **K2** | HFT 1 | 1oo2 / 2oo3 | Einfehlersicher: ein gefährlicher Fehler darf die Sicherheitsfunktion nicht außer Kraft setzen. |
| **K3** | HFT 2 | 1oo3 | Zweifehlersicher: zwei kombinierte Fehler dürfen sie nicht außer Kraft setzen. Der höchste Grad. |

Die **erforderliche Stufe steigt mit zwei Eingängen**: dem EPL/der ATEX-Kategorie des Geräts (wie selten es zünden darf) und der Häufigkeit, mit der die Zündquelle *andernfalls* wirksam würde (nie / bei seltenem Fehler / bei zu erwartendem Fehler / ständig). Die [TRGS 725](/de/standards/trgs-725) macht daraus explizite Entscheidungstabellen — siehe dort die ausgearbeiteten Raster.

## Von der Klassifizierung zum SIL

Eine Klassifizierungsstufe ist eine Zuverlässigkeitsanforderung; **der SIL ist die Art, ihre Erfüllung nachzuweisen.** EN 50495 (und TRGS 725, Tabelle 10) geben eine eindeutige Zuordnung:

| Klassifizierung | Nachzuweisen als | Umsetzung |
|---|---|---|
| **K1** | SIL 1 (oder SIL_CL 1) | Sicherheitsgerichtete MSR-Einrichtung — eine einzelne Sicherheitsfunktion (SIF) nach [IEC 61511](/de/standards/iec-61511). |
| **K2** | SIL 2 (oder SIL_CL 2) | Einzelner SIF-Kreis, einfehlersicher, nach IEC 61511. |
| **K3** | SIL 3 (oder SIL_CL 3) | **Redundante** MSR-Sicherheitseinrichtung, SIF-Kreis nach IEC 61511. |

Zwei Wege sind legitim:

- **Bewährte Technik** + dokumentierte regelmäßige Prüfung. Für K1 / einfache, nicht-programmierbare Einrichtungen kann das genügen — Sie brauchen *kein* vollständiges SIL-Dossier. Das ist der pragmatische Weg, den die TRGS 725 in vielen Fällen ausdrücklich erlaubt.
- **Quantifizierte funktionale Sicherheit**: ein SIL-Nachweis nach [IEC 61508](/de/standards/iec-61508) (generisch), [IEC 61511](/de/standards/iec-61511) (Prozess) oder IEC 62061 (Maschinen). Pflicht, sobald die Einheit komplex/programmierbar ist oder die geforderte Stufe hoch ist.

Nutzen Sie den [PFD ↔ SIL-Umrechner](/de/tools/safety/pfd-to-sil) und das [RRF ↔ SIL-Werkzeug](/de/tools/safety/rrf-sil), um eine Kandidaten-Architektur vor der vollständigen Berechnung im richtigen SIL-Band zu verorten.

## Praxisbeispiel — eine Vakuumpumpe in Zone 1

Eine Flüssigkeitsring-Vakuumpumpe ist zugelassen für Zone 1 Gas, Gruppe IIB, Temperaturklasse T3 (≤ 200 °C) **nur solange eine Oberflächentemperatur-Überwachung aktiv ist** (ein gängiger Eintrag in echten ATEX-Betriebsanleitungen).

1. **EPL / Kategorie**: Zone 1 → Kategorie 2G → EPL Gb. Die heiße Oberfläche kann bei einem *zu erwartenden* Fehler zur Zündquelle werden (Verlust der Sperrflüssigkeit → Trockenlauf → schnelle Erwärmung).
2. **Erforderliche Klassifizierung**: das Zündquellen-Raster landet hier bei **K1 → HFT 0** (eine Stufe Gutschrift nötig). Schärfere Anforderungsprofile drücken nach K2.
3. **Funktion**: „Körpertemperatur ≥ 90 °C Voralarm, ≥ 100 °C Abschaltung → Motor stromlos schalten (Safe Torque Off) innerhalb der Prozesssicherheitszeit."
4. **Nachweis**: ein einzelner SIF-Kreis (Ex-Pt100 → Sicherheits-SPS → Motorschütz/STO), nachgewiesen mit **SIL 1** nach IEC 61511 — *oder* bewährte Technik + regelmäßige Wiederholungsprüfung, wenn die Einrichtung dafür geeignet ist.
5. **Zeit**: die Antwort des Kreises muss schneller sein als die Erwärmungsrate — eine SIL-Zahl allein garantiert das nicht; die **Prozesssicherheitszeit** ist eine eigene, zwingende Prüfung.

## Wo Ingenieure es falsch machen

- **„Ex-zugelassen" ≠ „SIL-zugelassen".** `Ex d` / `Ex ia` (IEC 60079) beschreibt den *Zündschutz der Einrichtung selbst* — nicht die *Zuverlässigkeit ihrer Sicherheitsfunktion*. Ein SIL-2-Messumformer kann die falsche Zündschutzart haben; ein Ex-zertifizierter Sensor kann SIL-untauglich sein. Das sind **orthogonale Achsen, und Sie brauchen beide.**
- **Der Wächter steht ebenfalls in der Zone.** Die Sicherheitseinrichtung ist meist im Ex-Bereich montiert und muss daher *selbst* eine für diese Zone geeignete Ex-Kennzeichnung tragen — sonst ist der Schutz selbst eine mögliche Zündquelle.
- **Die Reaktionszeit steckt nicht im SIL.** *„Die Reaktionszeit der Überwachungseinrichtung muss diese Geschwindigkeit berücksichtigen"* — der Kreis muss handeln, bevor die Zündquelle wirksam wird. Prüfen Sie die gesamte Prozesssicherheitszeit, nicht nur den PFD.
- **Die ganze Kette einstufen.** Sensor + Logik + Endelement zählen alle; das schwächste Element bestimmt das erreichbare K/SIL. Ein SIL-2-Sensor hinter einem 1oo1-Relais ergibt eine K1-Funktion.
- **K2/K3 lassen sich nicht „erklären".** Komplexe (programmierbare) Einheiten in K2/K3 erfordern eine belegte Zuverlässigkeitsbewertung durch Hersteller oder Betreiber — kein selbst vergebenes Etikett.
- **Zonenreduzierung nicht doppelt gutschreiben.** Eine Maßnahme erhält die niedrigere *resultierende* Zone nur, wenn die Überwachung die geforderte Klassifizierung tatsächlich erreicht *und* fristgerecht geprüft wird. Ohne Prüfregime verfällt die Gutschrift.

## Wo EN 50495 unter den anderen Normen steht

| Norm | Beantwortet… |
|---|---|
| IEC 60079 / ATEX 2014/34/EU | Welchen Zündschutz / welche Kategorie das Gerät in einer Zone braucht. |
| EN ISO 80079-37 (Zündschutzart „b“, b1/b2) | Wie *mechanisches* Gerät seine Zündquellen überwacht. |
| **EN 50495** | **Wie zuverlässig die (instrumentierte) Sicherheitseinrichtung sein muss, die diese Zündquelle überwacht — und wie man sie einstuft (K1/K2/K3).** |
| [IEC 61508](/de/standards/iec-61508) / [IEC 61511](/de/standards/iec-61511) / IEC 62061 | Wie man diese Einrichtung als SIL-bewertete Sicherheitsfunktion auslegt, verifiziert und betreibt. |
| [TRGS 725](/de/standards/trgs-725) | Die deutsche Umsetzung: explizite Entscheidungstabellen Zone → K → SIL. |

Die **[Functional-Safety-App auf industryhub.cloud](https://fs.industryhub.cloud)** führt den IEC-61511-Lebenszyklus durch, den der Weg K2/K3 → SIL verlangt: Risikograph-Assistent, PFD-Engine nach IEC 61508-6, Wiederholungsprüfungs-Planung und Audit-Trail — die Nachweisbasis, die EN 50495 für eine Schutzeinrichtung Klasse I erwartet.

## Betroffene Branchen

Chemie & Petrochemie (Pumpen, Verdichter, Rührwerke in Zonen), Öl & Gas (rotierende Maschinen, Vakuumsysteme), Pharma & Feinchemie (Lösemittel-Handling, Trockner), Lebens-/Futtermittel, Schüttgut (Staubzonen, Mühlen, mechanische Förderer), Hersteller, die mechanische Ex-Geräte zertifizieren müssen, Betreiber, die Zonen reduzieren oder Zündquellen instrumentiert überwachen

## Referenzen & Vertiefung

- [EN 50495:2010 — Bezug (z. B. VDE / DIN, BSI)](https://www.vde-verlag.de/standards/0170018/din-en-50495-vde-0170-18-2010-10.html)
- [PTB — Zündquellenüberwachung b1 / b2 (nicht-elektrisch)](https://www.ptb.de/cms/ptb/fachabteilungen/abt3/exschutz/ex-grundlagen/zuendschutz0/nichtelektrische-geraete/zuendquellenueberwachung-b1-b2.html)
- [Zündquellenüberwachung im Ex-Bereich (Überblick)](https://prozesstechnik.industrie.de/chemie/zuendquellenueberwachung-im-ex-bereich/)