# IEC 62061 — Funktionale Sicherheit sicherheitsbezogener Steuerungssysteme für Maschinen

> IEC 62061 wendet die Grundsätze der funktionalen Sicherheit von IEC 61508 auf den Maschinenbereich an und verwendet die SIL-1-3-Terminologie. Sie ist die SIL-basierte Alternative zu ISO 13849 (PL-basiert); beide sind unter der EU-Maschinenrichtlinie 2006/42/EG und der künftigen Maschinenverordnung 2023/1230 harmonisiert. Diese Seite behandelt die SRECS-Auslegung, SILCL, Architektureinschränkungen, die SIL-Bestimmung und die Änderungen der Ausgabe 2 (2021).

- Quelle : https://industryhub.site/de/standards/iec-62061
- Herausgeber : IEC
- Familie : Funktionale Sicherheit
- Status : current
- Erstveröffentlichung : 2005
- Letzte Revision : 2021 (Ausgabe 2)
- Ausgabe : 2
- Nächste Revision : Aktive Pflege
- Zugang : Kostenpflichtig (IEC Webstore — ca. 250 CHF)
- Sprache : Deutsch

## Dokumentstruktur

- **IEC 62061:2021** — Sicherheit von Maschinen — Funktionale Sicherheit sicherheitsbezogener Steuerungssysteme : Einteilige Norm. Definiert das SRECS (sicherheitsbezogenes elektrisches Steuerungssystem), das SIL-1-3-Rahmenwerk für Maschinen, PFHD-Zielwerte, Architektureinschränkungen (HFT + SFF + DC), die Bewertung von Ausfällen infolge gemeinsamer Ursache sowie aus IEC 61508-3 abgeleitete Softwareanforderungen. Die Ausgabe 2 (2021) wurde umstrukturiert, um sie an ISO 13849-1 und IEC 61508 Ausgabe 2 anzugleichen.
- **IEC TR 63074 (Begleitdokument)** — Security-Aspekte im Zusammenhang mit der funktionalen Sicherheit von Steuerungssystemen : Technischer Bericht, der IEC 62061 / ISO 13849 mit der Cybersicherheit nach IEC 62443 verknüpft — wie verhindert wird, dass eine Security-Bedrohung eine Maschinensicherheitsfunktion außer Kraft setzt.

## Schlüsselbegriffe

- **Sicherheitsbezogenes elektrisches Steuerungssystem (SRECS)** : Der IEC-62061-Begriff für das Sicherheitssteuerungssystem einer Maschine. Äquivalent zu SRP/CS in ISO 13849 (anderes Vokabular, ähnlicher Geltungsbereich). Umfasst elektrische, elektronische und programmierbare elektronische Sicherheitsfunktionen, gegliedert in Teilsysteme (Eingang / Logik / Ausgang).
- **Sicherheitsintegritätslevel + Anspruchsgrenze (SIL / SILCL)** : Gleiche Skala wie das SIL nach IEC 61508, jedoch für Maschinen auf SIL 3 begrenzt (SIL 4 hat im Kontext einer einzelnen Maschine keine praktische Anwendung). SILCL ist das höchste SIL, das ein Teilsystem angesichts seiner Architektureinschränkungen (HFT + SFF) beanspruchen darf. Das SRECS erreicht das niedrigste SILCL seiner Teilsysteme, sofern die Summe der PFHD den Zielwert einhält.
- **Wahrscheinlichkeit eines gefahrbringenden Ausfalls pro Stunde (PFHD)** : Gleiche Kenngröße wie ISO 13849. SIL 1: 10⁻⁶ ≤ PFHD < 10⁻⁵. SIL 2: 10⁻⁷ ≤ PFHD < 10⁻⁶. SIL 3: 10⁻⁸ ≤ PFHD < 10⁻⁷. Maschinensicherheitsfunktionen sind hochanfordernd — maßgeblich ist daher das PFHD, nicht das PFDavg.
- **Teilsystem und Teilsystemelement** : Das SRECS wird in Teilsysteme zerlegt (Sensor / Logik / Aktor). Jedes Teilsystem hat ein eigenes SILCL und ein eigenes PFHD. Das System-PFHD ist die Summe der Teilsystem-PFHD; das System-SILCL ist das Minimum der Teilsystem-SILCL. Diese Zerlegung ist der Kern einer 62061-Berechnung.
- **Architektur A, B, C, D** : IEC 62061 definiert 4 Referenzarchitekturen, die im Wesentlichen den Kategorien B/1/2/3/4 von ISO 13849 entsprechen, jedoch als A-D bezeichnet werden. Jede kombiniert Hardware-Fehlertoleranz und Diagnosedeckungsgrad und liefert eine explizite PFHD-Formel (Anhang D).
- **Hardware-Fehlertoleranz und Anteil ungefährlicher Ausfälle (HFT / SFF)** : Aus IEC 61508-2 übernommene Architektureinschränkungen. HFT = Anzahl der Fehler, die ein Teilsystem toleriert und trotzdem die Sicherheitsfunktion erfüllt; SFF = Anteil der Ausfälle, die ungefährlich oder erkannt-gefährlich sind. Das Paar HFT/SFF legt das höchste beanspruchbare SILCL eines Teilsystems fest, unabhängig vom berechneten PFHD.
- **Diagnosedeckungsgrad (DC)** : Anteil der gefährlichen Ausfälle, die von der integrierten Diagnose erkannt werden. Für SIL 3 (Architektur D) muss ein kreuzüberwachtes Zweikanalsystem DC > 99 % erreichen. Der DC senkt direkt die effektive gefährliche Ausfallrate, die in die PFHD-Berechnung eingeht.
- **Bewertung von Ausfällen gemeinsamer Ursache (CCF / β)** : 62061 verwendet eine Checkliste (Anhang F: Trennung, Diversität, Umgebung, Kompetenz…), die in einen β-Faktor umgesetzt wird (typisch 5-10 %). Wie ISO 13849 entscheidet sie, ob Redundanz angerechnet werden darf: redundante Kanäle, die aus derselben Ursache ausfallen, heben die Architektur auf.
- **Bestimmung des erforderlichen SIL (Risikobeurteilung)** : Das Ziel-SIL ergibt sich aus der Maschinen-Risikobeurteilung nach ISO 12100. Ausgabe 1 (2005) bot eine informative Bewertungsmethode — Schwere Se × Klasse Cl, wobei Cl = Häufigkeit Fr + Wahrscheinlichkeit Pr + Vermeidung Av. Ausgabe 2 (2021) überlässt die Schätzung ISO 12100 und bleibt mit der PLr-Route von ISO 13849 harmonisiert.
- **Plan zur funktionalen Sicherheit (FSP)** : 62061 verlangt einen dokumentierten Plan über den gesamten SRECS-Lebenszyklus: Anforderungsspezifikation, Auslegung, Integration, Verifikation, Validierung, Änderungsmanagement und Kompetenz. Das Maschinen-Pendant zur Disziplin des Managements der funktionalen Sicherheit nach IEC 61508 / 61511.
- **Wiederholungsprüfintervall (T1)** : Periodische Funktionsprüfung, die ein Teilsystem in den Zustand „so gut wie neu“ zurückversetzt. Auch im Hochanforderungsbetrieb beeinflussen Prüfintervall und Missionsdauer die angerechnete Zuverlässigkeit von Komponenten, die nicht kontinuierlich diagnostiziert werden.

## Wann IEC 62061 statt ISO 13849 wählen

Beide sind unter der EU-Maschinenrichtlinie 2006/42/EG harmonisiert. Beide decken das Sicherheitssteuerungssystem einer Maschine ab. Bei korrekter Anwendung erzielen sie das **gleiche Risikoreduzierungsniveau**. Die Wahl hängt meist von Vokabular und Werkzeugen ab:

| Aspekt | ISO 13849-1 | IEC 62061 |
|---|---|---|
| Vokabular | PL a-e, Kategorien B/1/2/3/4 | SIL 1-3, Architekturen A-D |
| Herkunft | Maschinenbautradition (ex-EN 954-1) | IEC-61508-Adaption für Maschinen |
| Betriebsart | Nur Hochanforderung (PFHD) | Nur Hochanforderung (PFHD) |
| Software | Vereinfachte Behandlung | Vollständige IEC-61508-3-Softwareanforderungen |
| Komponentenzertifizierung | Breit (Pilz-, Sick-, Schmersal-Bibliotheken) | Breit (Schnittmenge mit IEC 61508) |
| Auslegungswerkzeug | SISTEMA (kostenlos, IFA) | Tabellenkalkulation, SISTEMA-Unterstützung |
| Beste Eignung | Standardmaschinen (Montagelinien, Förderbänder, Pressen) | Komplexe Maschinen mit erheblichem programmierbarem Elektronikanteil |

**In der Praxis**: ISO 13849 dominiert in Europa bei typischen Maschinen. IEC 62061 wird bevorzugt, wenn:

1. Die Maschine wesentliche **eingebettete Softwarelogik** aufweist (komplexe programmierbare Sicherheitssteuerungen — die IEC-62061-Softwareanforderungen aus IEC 61508-3 sind strenger).
2. Der Hersteller vorhandene **IEC-61508-Komponentenzertifizierungen** ohne Nacharbeit nutzen will.
3. Die Maschine an der **Schnittstelle zwischen Maschinenbau und Prozessindustrie** steht (z. B. eine Verpackungsmaschine in einer Chemieanlage), wo die SIL-Sprache zu den übrigen Sicherheitsfunktionen passt.

## Wie das erforderliche SIL bestimmt wird

62061 erfindet keine eigene Risikobeurteilung — das **Ziel-SIL leitet sich aus der Maschinen-Risikobeurteilung nach ISO 12100 ab**. Ausgabe 1 (2005) lieferte eine informative Bewertungsmethode, die viele Ingenieure noch kennen:

```
Erforderliches SIL = f( Schwere Se , Klasse Cl )
   Cl = Fr (Häufigkeit/Dauer der Exposition)
      + Pr (Wahrscheinlichkeit des gefährlichen Ereignisses)
      + Av (Wahrscheinlichkeit, den Schaden zu vermeiden/zu begrenzen)
```

Die Schwere `Se` (1-4) wird gegen die Klasse `Cl` (3-15) in einer Tabelle abgelesen und ergibt SIL 1, 2, 3 — oder „OM / andere Maßnahmen“ bei geringem Risiko. Ausgabe 2 (2021) überlässt die Schätzung selbst der ISO 12100 und hält das Ergebnis **mit der PLr-Route von ISO 13849 harmonisiert**, sodass ein Team zwischen PLr a-e und SIL 1-3 wechseln kann, ohne die Gefährdungsanalyse neu zu erstellen.

## Die 4 Architekturen

IEC 62061 vereinfacht die Architekturen auf 4 Klassen, jede mit einer geschlossenen PFHD-Formel:

| Arch | Beschreibung | Äquivalent ISO 13849 |
|---|---|---|
| **A** | Einkanalig, ohne Diagnose | Kat. B / 1 |
| **B** | Einkanalig mit Diagnose (Test vor Verwendung) | Kat. 2 |
| **C** | Redundante Kanäle (1oo2), ohne Diagnose | Kat. 3 (teilweise) |
| **D** | Redundante Kanäle mit Kreuzüberwachung + Diagnose | Kat. 3 / Kat. 4 |

Für SIL 3 (das typische Maximum im Maschinenbereich) ist Architektur **D** erforderlich: zweikanalig mit Kreuzüberwachung und einem Diagnosedeckungsgrad DC > 99 %.

## Das SRECS in Teilsysteme zerlegen

Eine 62061-Berechnung ist eine **Teilsystem-Aufgabe**, keine einzelne Zahl:

1. Die Sicherheitsfunktion in die Teilsysteme **Sensor → Logik → Aktor** aufteilen.
2. Für jedes Teilsystem das **SILCL** (aus HFT + SFF) und das **PFHD** ermitteln (aus Architekturformel, Komponenten-Ausfallraten, DC, β sowie Prüfintervall / Missionsdauer).
3. Das **System-PFHD** ist die Summe der Teilsystem-PFHD — es muss im Band des Ziel-SIL bleiben.
4. Das **System-SILCL** ist das *Minimum* der Teilsystem-SILCL — eine SIL-3-Logik hinter einem SILCL-2-Sensor kann nie mehr als SIL 2 beanspruchen.

Deshalb begrenzt ein einziges schwaches Glied (ein nicht redundanter Positionsschalter, eine unterdiagnostizierte Ausgangsstufe) die gesamte Funktion, egal wie gut die SPS ist. Die Rechner [FIT ↔ MTBF](/de/tools/safety/fit-to-mtbf) und [PFD ↔ SIL](/de/tools/safety/pfd-to-sil) in unserem Werkzeugbereich helfen, jedes Teilsystem vor der vollständigen architektonischen Aggregation zu prüfen.

## Architektureinschränkungen: HFT + SFF + DC

Wie IEC 61508-2 begrenzt 62061 das beanspruchbare SILCL über Fehlertoleranz und Anteil ungefährlicher Ausfälle — das PFHD allein genügt **nie**:

| SFF | HFT = 0 (1oo1) | HFT = 1 (1oo2 / 2oo3) |
|---|---|---|
| < 60 % | nicht zulässig | SILCL 1 |
| 60-90 % | SILCL 1 | SILCL 2 |
| 90-99 % | SILCL 2 | SILCL 3 |
| ≥ 99 % | SILCL 3 | SILCL 3 |

Ein Teilsystem muss **sowohl** das PFHD-Ziel *als auch* diese Einschränkungstabelle erfüllen. Ein hoher SFF stammt aus der Diagnose — DC und SFF sind daher eng verknüpft.

## Systematische Sicherheit und Software

Über zufällige Hardwareausfälle hinaus (die PFHD-Zahl) verlangt 62061 die Beherrschung **systematischer Ausfälle** — Auslegungsfehler, Spezifikationslücken, Softwarefehler:

- Die Software folgt einem aus IEC 61508-3 abgeleiteten V-Modell, mit einer mit dem SIL steigenden Technikauswahl (defensive Programmierung, modulare Struktur, statische Analyse, strukturierte Tests).
- Die Konfiguration vorzertifizierter Sicherheitssteuerungen (Pilz PNOZmulti, Siemens S7-1500F, Sick Flexi Soft) gilt als **Anwendungsprogrammierung** — leichter als eine vollständige Embedded-Entwicklung, aber weiterhin Teil des Sicherheitsplans.
- Änderungsmanagement, Verifikation und Validierung sowie dokumentierte Kompetenz sind verpflichtend — dieselbe Disziplin des Managements der funktionalen Sicherheit wie bei IEC 61511, auf Maschinen skaliert.

## Ausgabe 2 (2021) — was sich geändert hat

Die Revision 2021 ist substanziell, nicht kosmetisch:

- **Umstrukturierung zur Angleichung an ISO 13849-1 und IEC 61508 Ausgabe 2** — gemeinsame Terminologie und ein paralleler Auslegungsablauf verringern die Reibung zwischen den beiden Maschinenrouten.
- **Risikoschätzung an ISO 12100 verwiesen** statt einer vorgeschriebenen internen Methode.
- **Klarstellung von Teilsystemauslegung, SILCL und CCF-Checkliste** sowie Modernisierung der Softwareklauseln.
- Geltungsbereich bestätigt: die **elektrische, elektronische und programmierbare elektronische** Sicherheitssteuerung von Maschinen — nichtelektrische Technologien (hydraulisch, pneumatisch, mechanisch) bleiben bei ISO 13849.

## Konvergenzarbeiten (auf Eis gelegt)

ISO und IEC starteten ein gemeinsames Projekt — **IEC/ISO 17305** — zur Zusammenführung von ISO 13849 und IEC 62061 in einer einzigen Norm. Es wurde um 2015 wegen ungelöster methodischer Differenzen eingestellt. Stand 2026 sind beide Normen aktiv und werden weiterhin unter der **Maschinenverordnung (EU) 2023/1230** harmonisiert, die die Richtlinie von 2006 ab Januar 2027 ablöst.

Für Anwender: Wählen Sie eine Norm, dokumentieren Sie die Wahl in Ihrer Sicherheitsanforderungsspezifikation und behalten Sie sie für die gesamte Maschine bei. Das Mischen von Ansätzen bei demselben SRECS führt zu Dokumentationsalbträumen.

## Betroffene Branchen

Industriemaschinen (Werkzeugmaschinen, Pressen, Roboter), Verpackungs- und Umformmaschinen, Fördertechnik (Krane, Förderbänder, FTS), Prozessmaschinen (Mischer, Separatoren, Zentrifugen), Bergbau- und Steinbruchmaschinen, Lebensmittelverarbeitungsanlagen

## Referenzen & Vertiefung

- [IEC 62061:2021 — offiziell](https://webstore.iec.ch/publication/59927)
- [Liste harmonisierter Normen der EU-Maschinenrichtlinie 2006/42/EG](https://single-market-economy.ec.europa.eu/sectors/mechanical-engineering/machinery_en)
- [Pilz Sicherheitskompendium (deckt IEC 62061 und ISO 13849 ab)](https://www.pilz.com/en-INT/services/training/safety-compendium)
- [IFA SISTEMA — kostenloser PL/SIL-Rechner (liest auch 62061-Daten)](https://www.dguv.de/ifa/praxishilfen/practical-solutions-machine-safety/software-sistema/index.jsp)