IEC 62061

Funktionale Sicherheit sicherheitsbezogener Steuerungssysteme für Maschinen

IEC 62061 wendet die Grundsätze der funktionalen Sicherheit von IEC 61508 auf den Maschinenbereich an und verwendet die SIL-1-3-Terminologie. Sie ist die SIL-basierte Alternative zu ISO 13849 (PL-basiert); beide sind unter der EU-Maschinenrichtlinie 2006/42/EG und der künftigen Maschinenverordnung 2023/1230 harmonisiert. Diese Seite behandelt die SRECS-Auslegung, SILCL, Architektureinschränkungen, die SIL-Bestimmung und die Änderungen der Ausgabe 2 (2021).

Herausgeber: IEC
Family: Funktionale Sicherheit
Erstveröffentlichung: 2005
Letzte Revision: 2021 (Ausgabe 2)
Nächste Revision: Aktive Pflege
Status: current
Zugang: Kostenpflichtig (IEC Webstore — ca. 250 CHF)

Dokumentstruktur

IEC 62061:2021

Sicherheit von Maschinen — Funktionale Sicherheit sicherheitsbezogener Steuerungssysteme

Einteilige Norm. Definiert das SRECS (sicherheitsbezogenes elektrisches Steuerungssystem), das SIL-1-3-Rahmenwerk für Maschinen, PFHD-Zielwerte, Architektureinschränkungen (HFT + SFF + DC), die Bewertung von Ausfällen infolge gemeinsamer Ursache sowie aus IEC 61508-3 abgeleitete Softwareanforderungen. Die Ausgabe 2 (2021) wurde umstrukturiert, um sie an ISO 13849-1 und IEC 61508 Ausgabe 2 anzugleichen.

IEC TR 63074 (Begleitdokument)

Security-Aspekte im Zusammenhang mit der funktionalen Sicherheit von Steuerungssystemen

Technischer Bericht, der IEC 62061 / ISO 13849 mit der Cybersicherheit nach IEC 62443 verknüpft — wie verhindert wird, dass eine Security-Bedrohung eine Maschinensicherheitsfunktion außer Kraft setzt.

Schlüsselbegriffe

Sicherheitsbezogenes elektrisches Steuerungssystem(SRECS): Der IEC-62061-Begriff für das Sicherheitssteuerungssystem einer Maschine. Äquivalent zu SRP/CS in ISO 13849 (anderes Vokabular, ähnlicher Geltungsbereich). Umfasst elektrische, elektronische und programmierbare elektronische Sicherheitsfunktionen, gegliedert in Teilsysteme (Eingang / Logik / Ausgang).
Sicherheitsintegritätslevel + Anspruchsgrenze(SIL / SILCL): Gleiche Skala wie das SIL nach IEC 61508, jedoch für Maschinen auf SIL 3 begrenzt (SIL 4 hat im Kontext einer einzelnen Maschine keine praktische Anwendung). SILCL ist das höchste SIL, das ein Teilsystem angesichts seiner Architektureinschränkungen (HFT + SFF) beanspruchen darf. Das SRECS erreicht das niedrigste SILCL seiner Teilsysteme, sofern die Summe der PFHD den Zielwert einhält.
Wahrscheinlichkeit eines gefahrbringenden Ausfalls pro Stunde(PFHD): Gleiche Kenngröße wie ISO 13849. SIL 1: 10⁻⁶ ≤ PFHD < 10⁻⁵. SIL 2: 10⁻⁷ ≤ PFHD < 10⁻⁶. SIL 3: 10⁻⁸ ≤ PFHD < 10⁻⁷. Maschinensicherheitsfunktionen sind hochanfordernd — maßgeblich ist daher das PFHD, nicht das PFDavg.
Teilsystem und Teilsystemelement: Das SRECS wird in Teilsysteme zerlegt (Sensor / Logik / Aktor). Jedes Teilsystem hat ein eigenes SILCL und ein eigenes PFHD. Das System-PFHD ist die Summe der Teilsystem-PFHD; das System-SILCL ist das Minimum der Teilsystem-SILCL. Diese Zerlegung ist der Kern einer 62061-Berechnung.
Architektur A, B, C, D: IEC 62061 definiert 4 Referenzarchitekturen, die im Wesentlichen den Kategorien B/1/2/3/4 von ISO 13849 entsprechen, jedoch als A-D bezeichnet werden. Jede kombiniert Hardware-Fehlertoleranz und Diagnosedeckungsgrad und liefert eine explizite PFHD-Formel (Anhang D).
Hardware-Fehlertoleranz und Anteil ungefährlicher Ausfälle(HFT / SFF): Aus IEC 61508-2 übernommene Architektureinschränkungen. HFT = Anzahl der Fehler, die ein Teilsystem toleriert und trotzdem die Sicherheitsfunktion erfüllt; SFF = Anteil der Ausfälle, die ungefährlich oder erkannt-gefährlich sind. Das Paar HFT/SFF legt das höchste beanspruchbare SILCL eines Teilsystems fest, unabhängig vom berechneten PFHD.
Diagnosedeckungsgrad(DC): Anteil der gefährlichen Ausfälle, die von der integrierten Diagnose erkannt werden. Für SIL 3 (Architektur D) muss ein kreuzüberwachtes Zweikanalsystem DC > 99 % erreichen. Der DC senkt direkt die effektive gefährliche Ausfallrate, die in die PFHD-Berechnung eingeht.
Bewertung von Ausfällen gemeinsamer Ursache(CCF / β): 62061 verwendet eine Checkliste (Anhang F: Trennung, Diversität, Umgebung, Kompetenz…), die in einen β-Faktor umgesetzt wird (typisch 5-10 %). Wie ISO 13849 entscheidet sie, ob Redundanz angerechnet werden darf: redundante Kanäle, die aus derselben Ursache ausfallen, heben die Architektur auf.
Bestimmung des erforderlichen SIL (Risikobeurteilung): Das Ziel-SIL ergibt sich aus der Maschinen-Risikobeurteilung nach ISO 12100. Ausgabe 1 (2005) bot eine informative Bewertungsmethode — Schwere Se × Klasse Cl, wobei Cl = Häufigkeit Fr + Wahrscheinlichkeit Pr + Vermeidung Av. Ausgabe 2 (2021) überlässt die Schätzung ISO 12100 und bleibt mit der PLr-Route von ISO 13849 harmonisiert.
Plan zur funktionalen Sicherheit(FSP): 62061 verlangt einen dokumentierten Plan über den gesamten SRECS-Lebenszyklus: Anforderungsspezifikation, Auslegung, Integration, Verifikation, Validierung, Änderungsmanagement und Kompetenz. Das Maschinen-Pendant zur Disziplin des Managements der funktionalen Sicherheit nach IEC 61508 / 61511.
Wiederholungsprüfintervall(T1): Periodische Funktionsprüfung, die ein Teilsystem in den Zustand „so gut wie neu“ zurückversetzt. Auch im Hochanforderungsbetrieb beeinflussen Prüfintervall und Missionsdauer die angerechnete Zuverlässigkeit von Komponenten, die nicht kontinuierlich diagnostiziert werden.

Notes & guidance

Wann IEC 62061 statt ISO 13849 wählen

Beide sind unter der EU-Maschinenrichtlinie 2006/42/EG harmonisiert. Beide decken das Sicherheitssteuerungssystem einer Maschine ab. Bei korrekter Anwendung erzielen sie das gleiche Risikoreduzierungsniveau. Die Wahl hängt meist von Vokabular und Werkzeugen ab:

Aspekt	ISO 13849-1	IEC 62061
Vokabular	PL a-e, Kategorien B/1/2/3/4	SIL 1-3, Architekturen A-D
Herkunft	Maschinenbautradition (ex-EN 954-1)	IEC-61508-Adaption für Maschinen
Betriebsart	Nur Hochanforderung (PFHD)	Nur Hochanforderung (PFHD)
Software	Vereinfachte Behandlung	Vollständige IEC-61508-3-Softwareanforderungen
Komponentenzertifizierung	Breit (Pilz-, Sick-, Schmersal-Bibliotheken)	Breit (Schnittmenge mit IEC 61508)
Auslegungswerkzeug	SISTEMA (kostenlos, IFA)	Tabellenkalkulation, SISTEMA-Unterstützung
Beste Eignung	Standardmaschinen (Montagelinien, Förderbänder, Pressen)	Komplexe Maschinen mit erheblichem programmierbarem Elektronikanteil

In der Praxis: ISO 13849 dominiert in Europa bei typischen Maschinen. IEC 62061 wird bevorzugt, wenn:

Die Maschine wesentliche eingebettete Softwarelogik aufweist (komplexe programmierbare Sicherheitssteuerungen — die IEC-62061-Softwareanforderungen aus IEC 61508-3 sind strenger).
Der Hersteller vorhandene IEC-61508-Komponentenzertifizierungen ohne Nacharbeit nutzen will.
Die Maschine an der Schnittstelle zwischen Maschinenbau und Prozessindustrie steht (z. B. eine Verpackungsmaschine in einer Chemieanlage), wo die SIL-Sprache zu den übrigen Sicherheitsfunktionen passt.

Wie das erforderliche SIL bestimmt wird

62061 erfindet keine eigene Risikobeurteilung — das Ziel-SIL leitet sich aus der Maschinen-Risikobeurteilung nach ISO 12100 ab. Ausgabe 1 (2005) lieferte eine informative Bewertungsmethode, die viele Ingenieure noch kennen:

Erforderliches SIL = f( Schwere Se , Klasse Cl )
   Cl = Fr (Häufigkeit/Dauer der Exposition)
      + Pr (Wahrscheinlichkeit des gefährlichen Ereignisses)
      + Av (Wahrscheinlichkeit, den Schaden zu vermeiden/zu begrenzen)

Die Schwere Se (1-4) wird gegen die Klasse Cl (3-15) in einer Tabelle abgelesen und ergibt SIL 1, 2, 3 — oder „OM / andere Maßnahmen“ bei geringem Risiko. Ausgabe 2 (2021) überlässt die Schätzung selbst der ISO 12100 und hält das Ergebnis mit der PLr-Route von ISO 13849 harmonisiert, sodass ein Team zwischen PLr a-e und SIL 1-3 wechseln kann, ohne die Gefährdungsanalyse neu zu erstellen.

Die 4 Architekturen

IEC 62061 vereinfacht die Architekturen auf 4 Klassen, jede mit einer geschlossenen PFHD-Formel:

Arch	Beschreibung	Äquivalent ISO 13849
A	Einkanalig, ohne Diagnose	Kat. B / 1
B	Einkanalig mit Diagnose (Test vor Verwendung)	Kat. 2
C	Redundante Kanäle (1oo2), ohne Diagnose	Kat. 3 (teilweise)
D	Redundante Kanäle mit Kreuzüberwachung + Diagnose	Kat. 3 / Kat. 4

Für SIL 3 (das typische Maximum im Maschinenbereich) ist Architektur D erforderlich: zweikanalig mit Kreuzüberwachung und einem Diagnosedeckungsgrad DC > 99 %.

Das SRECS in Teilsysteme zerlegen

Eine 62061-Berechnung ist eine Teilsystem-Aufgabe, keine einzelne Zahl:

Die Sicherheitsfunktion in die Teilsysteme Sensor → Logik → Aktor aufteilen.
Für jedes Teilsystem das SILCL (aus HFT + SFF) und das PFHD ermitteln (aus Architekturformel, Komponenten-Ausfallraten, DC, β sowie Prüfintervall / Missionsdauer).
Das System-PFHD ist die Summe der Teilsystem-PFHD — es muss im Band des Ziel-SIL bleiben.
Das System-SILCL ist das Minimum der Teilsystem-SILCL — eine SIL-3-Logik hinter einem SILCL-2-Sensor kann nie mehr als SIL 2 beanspruchen.

Deshalb begrenzt ein einziges schwaches Glied (ein nicht redundanter Positionsschalter, eine unterdiagnostizierte Ausgangsstufe) die gesamte Funktion, egal wie gut die SPS ist. Die Rechner FIT ↔ MTBF und PFD ↔ SIL in unserem Werkzeugbereich helfen, jedes Teilsystem vor der vollständigen architektonischen Aggregation zu prüfen.

Architektureinschränkungen: HFT + SFF + DC

Wie IEC 61508-2 begrenzt 62061 das beanspruchbare SILCL über Fehlertoleranz und Anteil ungefährlicher Ausfälle — das PFHD allein genügt nie:

SFF	HFT = 0 (1oo1)	HFT = 1 (1oo2 / 2oo3)
< 60 %	nicht zulässig	SILCL 1
60-90 %	SILCL 1	SILCL 2
90-99 %	SILCL 2	SILCL 3
≥ 99 %	SILCL 3	SILCL 3

Ein Teilsystem muss sowohl das PFHD-Ziel als auch diese Einschränkungstabelle erfüllen. Ein hoher SFF stammt aus der Diagnose — DC und SFF sind daher eng verknüpft.

Systematische Sicherheit und Software

Über zufällige Hardwareausfälle hinaus (die PFHD-Zahl) verlangt 62061 die Beherrschung systematischer Ausfälle — Auslegungsfehler, Spezifikationslücken, Softwarefehler:

Die Software folgt einem aus IEC 61508-3 abgeleiteten V-Modell, mit einer mit dem SIL steigenden Technikauswahl (defensive Programmierung, modulare Struktur, statische Analyse, strukturierte Tests).
Die Konfiguration vorzertifizierter Sicherheitssteuerungen (Pilz PNOZmulti, Siemens S7-1500F, Sick Flexi Soft) gilt als Anwendungsprogrammierung — leichter als eine vollständige Embedded-Entwicklung, aber weiterhin Teil des Sicherheitsplans.
Änderungsmanagement, Verifikation und Validierung sowie dokumentierte Kompetenz sind verpflichtend — dieselbe Disziplin des Managements der funktionalen Sicherheit wie bei IEC 61511, auf Maschinen skaliert.

Ausgabe 2 (2021) — was sich geändert hat

Die Revision 2021 ist substanziell, nicht kosmetisch:

Umstrukturierung zur Angleichung an ISO 13849-1 und IEC 61508 Ausgabe 2 — gemeinsame Terminologie und ein paralleler Auslegungsablauf verringern die Reibung zwischen den beiden Maschinenrouten.
Risikoschätzung an ISO 12100 verwiesen statt einer vorgeschriebenen internen Methode.
Klarstellung von Teilsystemauslegung, SILCL und CCF-Checkliste sowie Modernisierung der Softwareklauseln.
Geltungsbereich bestätigt: die elektrische, elektronische und programmierbare elektronische Sicherheitssteuerung von Maschinen — nichtelektrische Technologien (hydraulisch, pneumatisch, mechanisch) bleiben bei ISO 13849.

Konvergenzarbeiten (auf Eis gelegt)

ISO und IEC starteten ein gemeinsames Projekt — IEC/ISO 17305 — zur Zusammenführung von ISO 13849 und IEC 62061 in einer einzigen Norm. Es wurde um 2015 wegen ungelöster methodischer Differenzen eingestellt. Stand 2026 sind beide Normen aktiv und werden weiterhin unter der Maschinenverordnung (EU) 2023/1230 harmonisiert, die die Richtlinie von 2006 ab Januar 2027 ablöst.

Für Anwender: Wählen Sie eine Norm, dokumentieren Sie die Wahl in Ihrer Sicherheitsanforderungsspezifikation und behalten Sie sie für die gesamte Maschine bei. Das Mischen von Ansätzen bei demselben SRECS führt zu Dokumentationsalbträumen.

Betroffene Branchen

Industriemaschinen (Werkzeugmaschinen, Pressen, Roboter)
Verpackungs- und Umformmaschinen
Fördertechnik (Krane, Förderbänder, FTS)
Prozessmaschinen (Mischer, Separatoren, Zentrifugen)
Bergbau- und Steinbruchmaschinen
Lebensmittelverarbeitungsanlagen