Funktionale Sicherheit nach ÖNORM EN ISO 13849

Sicherheit an einer Maschine hat viele Gesichter. Eine feste Verkleidung über einem Riementrieb ist Sicherheit — aber keine funktionale Sicherheit. Sie schützt einfach durch ihre Anwesenheit, ohne dass etwas funktionieren müsste. Sobald aber eine Schutzmaßnahme davon abhängt, dass eine Steuerung etwas richtig erkennt und richtig reagiert, sprechen wir von funktionaler Sicherheit.

Das klassische Beispiel ist die verriegelte Schutztür. Wird die Tür geöffnet, soll der gefährliche Antrieb stehenbleiben. Das passiert nicht von selbst — ein Sensor muss die Türstellung erfassen, eine Auswertung muss das Signal verarbeiten, und ein Schaltglied muss den Antrieb abschalten. Diese Kette aus Sensor, Logik und Aktor heißt sicherheitsbezogene Steuerungsfunktion. In der Norm wird der dahinterliegende Teil der Steuerung als sicherheitsbezogenes Teil der Steuerung bezeichnet, im Englischen SRP/CS (safety-related parts of control systems).

Der Punkt ist: Diese Funktion kann versagen. Der Sensor kann brechen, ein Kontakt kann verschweißen, ein Draht kann durchscheuern. Funktionale Sicherheit fragt deshalb nicht „ist die Funktion vorhanden?“, sondern „wie wahrscheinlich ist es, dass sie im entscheidenden Moment versagt?“. Je größer die Gefahr, desto zuverlässiger muss die Funktion sein.

Diese Anforderung fällt nicht vom Himmel. Sie ergibt sich aus der Risikobeurteilung der Maschine. Bei der Risikobeurteilung nach ÖNORM EN ISO 12100 werden die Gefährdungen einer Maschine systematisch erfasst und bewertet — das ist die Voraussetzung. Wo nach dieser Beurteilung eine Steuerung das Risiko mindern soll, kommt die EN ISO 13849 ins Spiel und legt fest, wie gut diese Steuerung sein muss.

Den rechtlichen Rahmen liefert die europäische Maschinenrichtlinie (2006/42/EG), nach der Maschinen sicher in Verkehr gebracht werden müssen. Hier ist gerade ein Wechsel im Gange: Die Richtlinie wird durch die EU-Maschinenverordnung (EU) 2023/1230 abgelöst, die EU-weit — also auch in Österreich — schrittweise verbindlich wird und voraussichtlich ab Januar 2027 vollständig gilt. An der Rolle der EN ISO 13849 ändert das nichts; sie bleibt das anerkannte Verfahren für den Nachweis der funktionalen Sicherheit. Wer heute auslegt, sollte den Übergang aber im Hinterkopf haben.

Steht nach der Risikobeurteilung fest, dass eine Steuerungsfunktion eine Gefährdung mindern soll, lautet die nächste Frage: Wie zuverlässig muss diese Funktion sein? Die Antwort gibt das erforderliche Performance Level, kurz PLr (r für „required“).

Das Performance Level (PL) ist eine Maßzahl für die Zuverlässigkeit einer Sicherheitsfunktion — vereinfacht die Wahrscheinlichkeit, dass die Funktion pro Stunde gefährlich ausfällt. Es gibt fünf Stufen von a (geringste Anforderung) bis e (höchste Anforderung). Was die fünf Stufen genau bedeuten und wie sie sich zu den Sicherheitskategorien verhalten, ist Thema eines eigenen Beitrags zu Performance Level und Sicherheitskategorien; hier reicht: a ist wenig, e ist viel, und das PLr sagt, welche Stufe für eine bestimmte Gefährdung mindestens nötig ist.

Ermittelt wird das PLr über den Risikographen der Norm. Drei Parameter werden nacheinander abgefragt:

• S — Schwere der Verletzung: S1 = leicht (üblicherweise reversibel), S2 = schwer (üblicherweise irreversibel, bis tödlich)
• F — Häufigkeit und Aufenthaltsdauer im Gefahrenbereich: F1 = selten/kurz, F2 = häufig/dauernd
• P — Möglichkeit, die Gefährdung zu vermeiden: P1 = unter bestimmten Bedingungen möglich, P2 = kaum möglich

Man beginnt links bei der Schwere und arbeitet sich nach rechts: Je schwerer die mögliche Verletzung, je häufiger der Aufenthalt und je geringer die Chance auszuweichen, desto höher das geforderte PLr. Eine kleine, kurz berührte Gefährdung, der man leicht ausweichen kann, landet bei PLr a. Eine schwere Verletzungsgefahr bei häufigem Aufenthalt ohne Ausweichmöglichkeit landet bei PLr e.

Dieser Graph ist ein Einordnungswerkzeug, kein exakter Rechenweg — er führt von der Einschätzung der Gefährdung zur geforderten Zuverlässigkeitsstufe. Das Ergebnis, das PLr, ist der Maßstab, an dem sich die später gebaute Schaltung messen lassen muss.

Das PLr sagt, was gefordert ist. Jetzt geht es um die andere Seite: Welches PL erreicht eine konkret gebaute Schaltung tatsächlich? Dieses erreichte PL ergibt sich aus dem Zusammenspiel mehrerer Größen. Vier davon sind entscheidend.

Die Kategorie beschreibt die Struktur — die Architektur der Schaltung. Es gibt fünf Kategorien: B, 1, 2, 3 und 4. Grob gesagt unterscheiden sie sich darin, ob ein Kanal oder zwei Kanäle vorhanden sind, ob Fehler erkannt werden und ob ein einzelner Fehler die Sicherheitsfunktion verlieren lässt. Kategorie B und 1 sind einkanalig, bei Kategorie 3 und 4 sorgt ein zweiter Kanal dafür, dass ein einzelner Fehler die Funktion nicht aushebelt. Die Kategorien im Detail — welche Architektur welche Eigenschaften hat — gehören in den eigenen Beitrag zu Performance Level und Sicherheitskategorien; hier genügt, dass die Kategorie das strukturelle Gerüst vorgibt.

Der MTTFD (mean time to dangerous failure) ist die mittlere Zeit bis zum gefährlichen Ausfall eines Kanals, angegeben in Jahren. Je länger diese Zeit, desto zuverlässiger der Kanal. Die Norm teilt den MTTFD in drei Stufen ein: niedrig (3 bis unter 10 Jahre), mittel (10 bis unter 30 Jahre) und hoch (30 bis 100 Jahre). Werte über 100 Jahre werden auf 100 begrenzt — die Norm rechnet bewusst nicht mit beliebig optimistischen Zahlen.

Der DCavg (average diagnostic coverage, mittlerer Diagnosedeckungsgrad) sagt, welcher Anteil der gefährlichen Ausfälle durch Diagnose erkannt wird. Eine Schaltung, die ihre eigenen Fehler bemerkt und in den sicheren Zustand geht, ist deutlich besser als eine, die einen Fehler unbemerkt mitschleppt. Der DCavg wird grob als none, low, medium oder high eingestuft.

Schließlich die CCF (common cause failures, Ausfälle gemeinsamer Ursache). Bei zweikanaligen Strukturen bringt der zweite Kanal nur dann etwas, wenn nicht beide Kanäle aus derselben Ursache gleichzeitig ausfallen — etwa weil beide am selben Überspannungsereignis hängen oder am selben Konstruktionsfehler. Die Norm verlangt deshalb Maßnahmen gegen CCF, die über ein Punktesystem nachgewiesen werden.

Diese vier wirken zusammen: Die Kategorie gibt das Gerüst, MTTFD und DCavg füllen es mit Zuverlässigkeit und Diagnosefähigkeit, und CCF stellt sicher, dass Mehrkanaligkeit auch wirklich hilft. Aus dieser Kombination liest man am Ende über eine Tabelle der Norm das erreichte PL ab.

Wenn eine zweikanalige Struktur zwei Kanäle mit unterschiedlichem MTTFD hat, darf man nicht einfach den besseren nehmen. Die Norm führt beide Kanäle zu einem gemeinsamen, symmetrierten MTTFD zusammen. Die Formel sorgt dafür, dass ein schwacher Kanal das Ergebnis stärker nach unten zieht als ein starker es anheben kann:

Sind beide Kanäle gleich (MTTFD_C1 = MTTFD_C2), liefert die Formel exakt diesen Wert zurück. Weichen sie ab, liegt das Ergebnis näher beim schwächeren Kanal — und auch hier gilt die Obergrenze von 100 Jahren.

In der Werkstatt beginnt die Rechnung nicht beim MTTFD, sondern beim Datenblatt eines Bauteils. Eine Sicherheitsfunktion ist eine Kette: ein Eingabeteil (z. B. Positionsschalter an der Schutztür), ein Logikteil (Auswertung, z. B. Sicherheitsschaltgerät) und ein Ausgabeteil (z. B. Schütz, das den Motor abschaltet). Für jedes dieser Teile braucht man einen MTTFD — und der steht selten direkt im Datenblatt.

Bei verschleißbehafteten Bauteilen — Schaltern, Schützen, Ventilen — gibt der Hersteller stattdessen einen B10-Wert oder einen B10D-Wert an. Der B10-Wert ist die Anzahl der Schaltspiele, nach der 10 % einer Stichprobe ausgefallen sind. Der B10D-Wert meint dasselbe, bezieht sich aber nur auf die gefährlichen Ausfälle.

Hier liegt eine häufige Stolperstelle: Bei pneumatischen und hydraulischen Bauteilen steht im Datenblatt oft nur der B10-Wert, nicht der B10D. Dann muss man den gefährlichen Anteil selbst abschätzen. Die Norm erlaubt, mangels besserer Angaben anzunehmen, dass die Hälfte der Ausfälle gefährlich ist:

Steht also im Ventildatenblatt B10 = 20 000 000 Schaltspiele und kennt man den gefährlichen Anteil nicht, rechnet man mit B10D = 20 000 000 / 0,5 = 40 000 000.

Aus dem B10D wird der MTTFD über die Schalthäufigkeit. Je öfter ein Bauteil pro Jahr schaltet, desto schneller erreicht es seinen B10D — und desto kleiner wird sein MTTFD. Die mittlere Anzahl der jährlichen Schaltspiele heißt nop:

Daraus ergibt sich der MTTFD des Bauteils:

Der Faktor 0,1 steht dafür, dass the B10D bei 10 % Ausfall definiert ist. Hat man so für jedes Teil der Kette einen MTTFD, führt man die Teile innerhalb eines Kanals zusammen, bildet bei Zweikanaligkeit den symmetrierten Wert (Kapitel 3) und liest schließlich aus der zusammenfassenden Tabelle der Norm — aus Kategorie, DCavg und MTTFD — das erreichte PL ab. Zum Schluss kommt der entscheidende Vergleich: erreichtes PL ≥ PLr? Nur wenn das stimmt, ist die Sicherheitsfunktion ausreichend ausgelegt.

Diese Rechnerei macht man in der Praxis selten von Hand. Das kostenlose Werkzeug SISTEMA (vom deutschen IFA) nimmt die Bauteildaten auf und ermittelt das erreichte PL automatisch — die Handrechnung sollte man trotzdem verstehen, um die Ergebnisse beurteilen zu können.

Mit der Berechnung ist die Arbeit nicht zu Ende. Eine Rechnung auf dem Papier sagt nur, dass die Schaltung theoretisch zuverlässig genug ist. Die Validierung prüft, ob die Sicherheitsfunktion in der realen Maschine auch tatsächlich tut, was gefordert ist: Hält der Antrieb beim Öffnen der Tür wirklich an? Bleibt er auch dann stehen, wenn man gezielt einen Fehler einbaut — etwa einen Kanal unterbricht? Diese Fehlersimulation ist ein zentraler Teil der Validierung bei mehrkanaligen Strukturen.

Alles, was berechnet und geprüft wurde, gehört dokumentiert: die Sicherheitsfunktionen, die zugrunde gelegten Bauteildaten, das erforderliche und das erreichte PL, die getroffenen CCF-Maßnahmen und die Validierungsergebnisse. Diese Dokumentation ist Teil der technischen Unterlagen der Maschine und Voraussetzung für die Konformitätserklärung.

Die EN ISO 13849 ist nicht der einzige Weg. Für komplexe elektronische und programmierbare Systeme gibt es als alternativen Nachweisweg die EN/IEC 62061, die mit dem Begriff SIL (Safety Integrity Level) statt PL arbeitet. Für die meisten klassischen Maschinensteuerungen mit Schaltern, Schützen und Sicherheitsschaltgeräten ist die 13849 der gängige und meist einfachere Weg.

Auch die Grenzen sollte man kennen. Die Norm rechnet mit statistischen Mittelwerten und Annahmen — ein gut gerechnetes PL ersetzt keine saubere mechanische Konstruktion und keine vernünftige Bedienung. Und die Auslegung gilt nur, solange die Maschine im angenommenen Zustand bleibt: Wer eigenmächtig ein Sicherheitsschaltgerät überbrückt, einen Kanal stilllegt oder ein Ventil gegen ein anderes tauscht, hebt den Nachweis aus. Nach der Inbetriebnahme zählen deshalb regelmäßige Wartung, das Einhalten der vorgesehenen Prüfintervalle und der Verzicht auf unzulässige Eingriffe.

Die konkrete Gerätetechnik dahinter — Sicherheitsschaltgeräte und Sicherheits-SPS, Schutztüren, Lichtgitter und Laserscanner, Zustimmtaster und Zweihandsteuerung — wird jeweils in eigenen Beiträgen behandelt. Hier genügt: Die EN ISO 13849 liefert das Verfahren, mit dem man all diese Bauteile zu einer nachweisbar sicheren Funktion verknüpft.