Sicherheitsbezogene Steuerungen nach DIN EN ISO 13849-1 berechnen

Sicherheitsbezogene Steuerungen nach DIN EN ISO 13849-1 berechnen

Spätestens bei der Risikobeurteilung einer neuen Maschine stellt sich die Frage, ob die Abschaltung, Verriegelung oder Drehzahlüberwachung zuverlässig genug arbeitet. Für din en iso 13849-1 sicherheitsbezogene steuerungen liefert die Norm ein methodisches Vorgehen: Sicherheitsfunktion festlegen, erforderlichen Performance Level bestimmen, Struktur berechnen und das Ergebnis validieren. Die Maschinenverordnung (EU) 2023/1230 verschärft dabei den Blick auf sicherheitsbezogene Teile von Steuerungen; in der Praxis müssen Hersteller ihre technische Dokumentation frühzeitig belastbar aufbauen.

1. Normstand und Anwendungsfall klären

Beginnen Sie nicht mit der Auswahl eines Sicherheitsrelais. Klären Sie zuerst, welche Rechtsgrundlage und welche Normausgabe für das konkrete Produkt gilt. Bis zum 19. Januar 2027 ist grundsätzlich die Maschinenrichtlinie 2006/42/EG maßgeblich; ab dem 20. Januar 2027 gilt die Maschinenverordnung (EU) 2023/1230. Für das Konformitätsverfahren ist außerdem die im Amtsblatt der EU veröffentlichte harmonisierte Normenliste entscheidend, nicht allein die Bezeichnung auf dem Deckblatt eines Dokuments.

DIN EN ISO 13849-1 behandelt die Auslegung sicherheitsbezogener Teile von Steuerungen (SRP/CS). Sie kann für elektrische, elektronische, programmierbare elektronische, hydraulische, pneumatische und mechanische Technologien eingesetzt werden. Die Norm legt jedoch weder die Gefährdungsbeurteilung der gesamten Maschine noch die Anforderungen an jede einzelne Technologie vollständig fest. Für komplexe elektrische und programmierbare Systeme kann zusätzlich DIN EN 62061 relevant sein.

Legen Sie deshalb zunächst diese Unterlagen an:

• Risikobeurteilung nach DIN EN ISO 12100 mit den ermittelten Restgefährdungen;
• Maschinen- und Betriebsartenmatrix, einschließlich Einrichten, Störungssuche und Instandhaltung;
• Schaltpläne, Pneumatik- und Hydraulikpläne sowie die geplante Steuerungsarchitektur;
• Datenblätter, Sicherheitskennwerte und Gebrauchsdauer der eingesetzten Komponenten.

2. Sicherheitsfunktion und PLr sauber beschreiben

Formulieren Sie jede Sicherheitsfunktion als überprüfbare Wirkungskette. Ein Beispiel lautet: „Beim Öffnen der Schutztür werden die gefährlichen Motorbewegungen innerhalb von 300 ms abgeschaltet; ein Wiederanlauf ist erst nach dem Schließen und einer bewussten Quittierung möglich.“ Eingangsgerät, Logik, Ausgangselemente, Rückführung und Reaktionszeit gehören in dieselbe Funktionsbeschreibung.

Ermitteln Sie anschließend den erforderlichen Performance Level, PLr. Nach DIN EN ISO 13849-1:2015, Abschnitt 4.3 und Anhang A, werden dafür Schwere der Verletzung (S1 oder S2), Häufigkeit beziehungsweise Dauer der Gefährdungsexposition (F1 oder F2) und die Möglichkeit der Gefahrenvermeidung (P1 oder P2) bewertet. Dokumentieren Sie die Auswahl; ein pauschales „PL d für die ganze Maschine“ ersetzt keine funktionsbezogene Betrachtung.

Der Zielwert reicht von PL a bis PL e. Die zugehörigen PFHd-Bereiche sind in Abschnitt 4 beziehungsweise Tabelle 3 festgelegt: PL a liegt bei mindestens 10⁻⁵ bis unter 10⁻⁴ pro Stunde, PL d bei mindestens 10⁻⁷ bis unter 10⁻⁶ und PL e bei mindestens 10⁻⁸ bis unter 10⁻⁷. Die errechnete Wahrscheinlichkeit eines gefährlichen Ausfalls pro Stunde muss kleiner oder gleich dem für die Funktion erforderlichen Bereich sein.

3. Architektur, MTTFd und Diagnosedeckung bestimmen

Nun wird die Funktion in Teilsysteme zerlegt: Eingang, Logik und Ausgang. Für jedes Teilsystem benötigen Sie die gefährliche Ausfallrate beziehungsweise belastbare Eingangsdaten wie B10d, MTTFd, PFHd oder einen Herstellerwert. Die Abschnitte 6 bis 8 der Ausgabe DIN EN ISO 13849-1:2015 beschreiben die Bildung der sicherheitsbezogenen Blöcke, MTTFd und DC.

Die Kategorie beschreibt die Struktur und das Verhalten bei Fehlern. Kategorie B und 1 sind einkanalig; Kategorie 2 verlangt eine periodische Prüfung. Kategorie 3 muss einen einzelnen Fehler erkennen oder die Sicherheitsfunktion trotz eines einzelnen Fehlers aufrechterhalten. Kategorie 4 verlangt zusätzlich, dass Fehler rechtzeitig erkannt werden und sich keine gefährliche Fehleranhäufung ausbildet. Für die Auswahl sind die Architekturangaben in Abschnitt 5 und die Zusammenhänge in Tabelle 3 maßgeblich.

Für MTTFd gelten drei Klassen: niedrig bei 3 bis unter 10 Jahren, mittel bei 10 bis unter 30 Jahren und hoch ab 30 Jahren; Werte unter 3 Jahren werden ebenfalls als niedrig eingestuft. Bei mehreren gleichartigen Kanälen ist die Berechnung nach Abschnitt 7 und Anhang C erforderlich. Für Bauteile mit B10d-Wert darf die Umrechnung nicht ohne die tatsächliche Schalthäufigkeit erfolgen.

Bewerten Sie außerdem die Diagnosedeckung DCavg nach Abschnitt 8 und Anhang E. Keine oder geringe Diagnosedeckung liegt unter 60 %, mittlere bei 60 % bis unter 90 %, hohe bei 90 % bis unter 99 % und sehr hohe ab 99 %. Die Werte müssen zur tatsächlich implementierten Diagnose passen: Ein Testsignal im Schaltplan genügt nicht, wenn Kurzschluss, Querschluss oder verschweißte Kontakte praktisch nicht erkannt werden.

4. PL berechnen und mit dem Zielwert vergleichen

Für die Berechnung können Sie die vereinfachte Methode nach Abschnitt 6 und Anhang K verwenden oder ein validiertes Berechnungswerkzeug wie SISTEMA einsetzen. Das Werkzeug ersetzt nicht die technische Bewertung. Hinterlegen Sie pro Kanal die Kategorie, MTTFd, DCavg, CCF-Maßnahmen und die Verknüpfung der Subsysteme.

Ein typischer Rechenweg für eine Schutztür sieht so aus:

1. Der Türschalter bildet das Eingangs-Subsystem, ein zweikanaliger Sicherheitsbaustein das Logik-Subsystem und zwei zwangsgeführte Schütze mit Rückführkreis das Ausgangs-Subsystem.
2. Für jedes Subsystem werden die Herstellerdaten und die reale Gebrauchsdauer erfasst. Nicht belegte Werte dürfen nicht durch Annahmen ersetzt werden.
3. Die Einzelwerte werden zur PFHd der gesamten Sicherheitsfunktion zusammengeführt. Bei seriellen Subsystemen addieren sich die gefährlichen Ausfallanteile näherungsweise; das Ergebnis wird dem PLr gegenübergestellt.
4. Zusätzlich wird die Prüfung auf systematische Fehler und Common Cause Failure durchgeführt. Nach Anhang F müssen mindestens 65 Punkte erreicht werden.

Ein DIN EN ISO 13849-1 Berechnung PL Beispiel ist nur dann aussagekräftig, wenn Eingang, Logik und Ausgang mit realen Kennwerten beschrieben sind. Ein Ergebnis „PL d“ aus einer Software ohne nachvollziehbare Datenbasis ist kein Nachweis.

5. Validieren, dokumentieren und Fehler korrigieren

Die Validierung erfolgt nach Abschnitt 12 und DIN EN ISO 13849-2. Prüfen Sie zunächst die Spezifikation jeder Sicherheitsfunktion, danach die Umsetzung im Schaltplan, Programm und Aufbau. Anschließend sind Funktionsprüfungen und, soweit erforderlich, Fehlersimulationen durchzuführen: unter anderem Leitungsunterbrechung, Kurzschluss, Querschluss, Kontaktverschweißen, Spannungsverlust und Wiederanlauf nach Rückkehr der Energie.

Häufig scheitert der Nachweis an drei Punkten. Erstens wird der PLr aus einer älteren Risikobeurteilung übernommen, obwohl sich Betriebsart oder Zugriffshäufigkeit geändert haben. Zweitens werden Herstellerwerte aus unterschiedlichen Bedingungen kombiniert, etwa eine B10d-Angabe ohne passende Schalthäufigkeit. Drittens wird die Rückführüberwachung nur im Programm angenommen, obwohl die Rückmeldung elektrisch nicht bis zum Fehlerausschluss reicht.

Finden Sie bei der Validierung eine Abweichung, korrigieren Sie nicht nur das Berechnungsergebnis. Passen Sie zuerst die Sicherheitsfunktion oder die Hardware an, aktualisieren Sie danach die Blockstruktur und rechnen Sie PFHd, DCavg und CCF neu. Abschließend müssen Prüfprotokoll, Schaltplan, Softwareversion, verwendete Bauteildaten und die Betriebsanleitung denselben Stand zeigen.

Fazit: Nachweis als durchgängige Kette führen

Bei DIN EN ISO 13849-1 Sicherheitsbezogene Steuerungen Performance Level ist nicht die einzelne Kategorie entscheidend, sondern die geschlossene Nachweiskette von der Gefährdung bis zur Prüfung. Wer PLr, Architektur, MTTFd, DCavg und CCF getrennt ermittelt und anschließend gemeinsam validiert, erhält einen belastbaren technischen Nachweis. Die Kategorieangabe allein genügt nicht: DIN EN ISO 13849-1 Kategorien Architektur müssen immer mit den realen Diagnosen und Bauteildaten der Sicherheitsfunktion übereinstimmen.