DIN-Normen - Teil 12

sowie in Anha¨ngen (informativ) Beispiele u¨ber Verriegelungseinrichtungen z. B. mit

– fest verbundenem Schlu¨ssel;
– Schlu¨sseltransfersystem;
– Steckvorrichtung;
– magnetisch beta¨tigten Schaltern;
– zwei Na¨herungsschaltern.

Prinzipien und typische Arten von Verriegelungseinrichtungen in Verbindung mit trennenden Schutz-
einrichtungen s. Bild 60.1.

Anmerkung

Die Verbindung mit dem betreffenden informativen Anhang ist immer dann gegeben, wenn dies zum
besseren Versta¨ndnis beitra¨gt.

In einer Erga¨nzung zu DIN EN 1088, die z. Z. erarbeitet wird, werden genauere Anforderungen fest-
gelegt, so dass Vorkehrungen zur Verringerung von Umgehungsmo¨glichkeiten verbessert werden
ko¨nnen.

TRENNENDE

SCHUTZ-

EINRICHTUNGEN

Bild 60.1

Anordnung von Verriegelungseinrichtungen in Maschinen

Sicherheit und Gesundheitsschutz durch Normung

6.3.8

Steuerungen

DIN EN ISO 13849-1

Sicherheit von Maschinen – Sicherheitsbezogene Teile von Steuerungen –
Teil 1: Allgemeine Gestaltungsleitsa¨tze (Feb 2007)

DIN EN ISO 13849-1 ersetzt DIN 954-1 einschließlich Beiblatt 1. Die Norm entha¨lt Festlegungen im Sinne
des Gera¨tesicherheitsgesetzes und stellt einen Leitfaden fu¨r die Gestaltung und Beurteilung von Steue-
rungen dar. Als Teil einer Gesamtrisikominderung an einer Maschine wird ein Konstrukteur oft Maßnah-
men durch die Anwendung von Schutzeinrichtungen zur Risikoreduzierung ergreifen, die eine oder
mehrere Sicherheitsfunktionen verwenden. Teile einer Maschinensteuerung, die Sicherheitsfunktionen
liefern sollen, werden sicherheitsbezogene Teile einer Steuerung (SRP/CS) genannt, und diese Teile ko¨n-
nen entweder aus Hardware und Software bestehen und separater oder integraler Bestandteil der Ma-
schinensteuerung sein. Zusa¨tzlich zur Bereitstellung von Sicherheitsfunktionen kann ein SRP/CS auch
Betriebsfunktionen liefern (z. B. eine Zweihandsteuerung zum Start eines Prozesses).

Die Fa¨higkeit sicherheitsbezogener Teile von Steuerungen, eine Sicherheitsfunktion unter vorherseh-
baren Bedingungen auszufu¨hren, wird einer von fu¨nf Stufen zugeordnet, den so genannten Perfor-
mance Level (PL). Diese Performance Level werden definiert in Form der Wahrscheinlichkeit eines ge-
fahrbringenden Ausfalls je Stunde (s. Tab. 62.1).

Die Wahrscheinlichkeit eines gefahrbringenden Ausfalls der Sicherheitsfunktion ha¨ngt von mehreren
Faktoren ab, einschließlich der Hardware- und Softwarestruktur, dem Umfang der Fehler-Detektions-

Bild 61.1
Iterativer Prozess zur Gestal-
tung der sicherheitsbezogenen
Teile von Steuerungen
(SRP/CS)

6.3

Sicherheitstechnische Grundsa¨tze

mechanismen [Diagnosedeckungsgrad (DC)], der Zuverla¨ssigkeit von Bauteilen [mittlere Zeit bis zum
gefahrbringenden Ausfall (MTTF

), den Ausfa¨llen infolge gemeinsamer Ursache (CCF)], dem Gestal-

tungsprozess, der Belastung im Betrieb, den Umgebungsbedingungen und den betrieblichen Einsatz-
bedingungen.

Um den Konstrukteur zu unterstu¨tzen und als Hilfe zur Bestimmung des erreichten PL, stellt diese
Norm eine Methode auf Basis einer Kategorisierung von Strukturen nach speziellen Entwurfskriterien
und spezifiziertem Verhalten bei Fehlerbedingungen bereit. Diese Kategorien werden einer von fu¨nf
Stufen zugeordnet, genannt Kategorien B, 1, 2, 3 und 4 (s. Tab. 62.2).

Die Struktur eines SRP/CS ist ein Schlu¨sselmerkmal mit großem Einfluss auf den PL. Auch wenn die
Vielfalt der mo¨glichen Strukturen groß ist, sind die grundlegenden Konzepte oft a¨hnlich. So ko¨nnen

Tabelle 62.2

Zusammenfassung der Anforderungen fu¨r Kategorien

Kategorie

Zusammenfassung
der Anforderungen

System-

verhalten

Prinzip zum

Erreichen der

Sicherheit

MTTF

jedes

Kanals

avg

CCF

SRP/CS(en) und/oder ihre
Schutzeinrichtungen sowie ihre
Bauteile mu¨ssen in bereinstim-
mung mit den zutreffenden
Normen so gestaltet, gebaut,
ausgewa¨hlt, zusammengebaut
und kombiniert werden, dass sie
den zu erwartenden Einflu¨ssen
standhalten ko¨nnen. Grundlegende
Sicherheitsprinzipien mu¨ssen
verwendet werden.

Das Auftreten
eines Fehlers
kann zum
Verlust der
Sicherheits-
funktion fu¨hren.

berwiegend
durch die
Auswahl von
Bauteilen
charakterisiert.

niedrig
bis
mittel

keine

nicht
relevant

Die Anforderungen von B mu¨ssen
erfu¨llt sein. Bewa¨hrte Bauteile und
bewa¨hrte Sicherheitsprinzipien
mu¨ssen angewendet werden.

Das Auftreten
eines Fehlers kann
zum Verlust der
Sicherheits-
funktion fu¨hren,
aber die Wahr-
scheinlichkeit des
Auftretens ist
geringer als in
Kategorie B.

berwiegend
durch die
Auswahl von
Bauteilen
charakterisiert.

hoch

keine

nicht
relevant

Die Anforderungen von B und die
Verwendung bewa¨hrter Sicher-
heitsprinzipien mu¨ssen erfu¨llt sein.
Die Sicherheitsfunktion muss in
geeigneten Zeitabsta¨nden durch
die Maschinensteuerung getestet
werden.

Das Auftreten
eines Fehlers kann
zum Verlust der
Sicherheits-
funktion zwischen
den Tests fu¨hren.
Der Verlust der
Sicherheits-
funktion wird
durch den Test
erkannt.

berwiegend
durch die Struktur
charakterisiert.

niedrig
bis hoch

niedrig
bis
mittel

s.
Anhang
F der
Norm

Fortsetzung s. na¨chste Seite

Tabelle 62.1

Performance Level (PL)

Durchschnittliche Wahrscheinlichkeit eines

gefa¨hrlichen Ausfalls je Stunde

1/h

bis

<10

3 10

bis

<10

bis

<3 10

bis

<10

bis

<10

Anmerkung: Neben der durchschnittlichen Wahrscheinlichkeit eines gefa¨hrlichen Ausfalls je Stunde, sind weitere Maß-

nahmen notwendig, um den PL zu erreichen.

Sicherheit und Gesundheitsschutz durch Normung

die meisten Strukturen, die im Bereich der Maschinen existieren, auf einer der Kategorien abgebildet
werden. Fu¨r jede Kategorie kann eine typische Darstellung in Form eines sicherheitsbezogenen Block-
schaltbildes gemacht werden. Diese typischen Ausfu¨hrungen werden vorgesehene Architektur ge-
nannt und jede im Zusammenhang mit den folgenden Kategorien aufgelistet.

Eine typische Sicherheitsfunktion zeigt Bild 64.1 als Blockschaltbild, welches eine Kombination sicher-
heitsbezogener Teile einer Steuerung (SRP/CS) ist, mit:

– Eingang (SRP/CS

– Logik/Bearbeitung (SRP/CS

– Ausgang/Energieu¨bertragungselementen (SRP/CS

), und

– Verbindungen (i

, i

) (z. B. elektrisch, optisch).

Die Performance Level und Kategorien ko¨nnen angewendet werden fu¨r sicherheitsbezogene Teile von
Steuerungen, wie:

– nicht trennende Schutzeinrichtungen (z. B. Zweihandschaltungen, Verriegelungseinrichtungen), beru¨h-

rungslos wirkende Schutzeinrichtungen (z. B. Lichtschranken), druckempfindliche Schutzeinrichtungen,

– Steuerungsbaugruppen (z. B. die Logik fu¨r Steuerungsfunktionen, Datenverarbeitung, berwachung

usw.), und

– Leistungsschaltelemente (z. B. Relais, Ventile usw.)

– als auch Sicherheitsfunktionen ausfu¨hrende Steuerungen in allen Arten von Maschinen

–– von ein-

fachen (z. B. einer kleinen Ku¨chenmaschine oder automatischen Tu¨ren und Toren) bis zu einer Ferti-
gungsanlage (z. B. Verpackungsmaschinen, Druckmaschinen, Pressen).

DIN EN ISO 13849-1 liefert eine versta¨ndliche Basis, auf der die Gestaltung und Leistungsfa¨higkeit
jeder Anwendung eines SRP/CS (und der Maschine) beurteilt werden kann, z. B. durch Dritte, inner-

Tabelle 62.2,

Fortsetzung

Kategorie

Zusammenfassung
der Anforderungen

System-

verhalten

Prinzip zum

Erreichen der

Sicherheit

MTTF

jedes

Kanals

avg

CCF

Die Anforderungen von B und die
Verwendung bewa¨hrter Sicher-
heitsprinzipien mu¨ssen erfu¨llt sein.
Sicherheitsbezogene Teile mu¨ssen
so gestaltet werden, dass:
– ein einzelner Fehler in jedem

dieser Teile nicht zum Verlust der
Sicherheitsfunktion fu¨hrt, und

– wenn immer in angemessener

Weise durchfu¨hrbar, der
einzelne Fehler erkannt wird.

Wenn ein einzelner
Fehler auftritt,
bleibt die Sicher-
heitsfunktion
immer erhalten.
Einige, aber nicht
alle Fehler werden
erkannt.
Eine Anha¨ufung
von unerkannten
Fehlern kann zum
Verlust der Sicher-
heitsfunktion
fu¨hren.

berwiegend
durch die Struktur
charakterisiert.

niedrig
bis
hoch

niedrig
bis
mittel

s.
Anhang
F der
Norm

Die Anforderungen von B und die
Verwendung bewa¨hrter Sicher-
heitsprinzipien mu¨ssen erfu¨llt sein.
Sicherheitsbezogene Teile mu¨ssen
so gestaltet werden, dass:
– ein einzelner Fehler in jedem

dieser Teile nicht zum Verlust
der Sicherheitsfunktion fu¨hrt, und

– der einzelne Fehler bei oder vor

der na¨chsten Anforderung der
Sicherheitsfunktion erkannt wird.
Wenn diese Erkennung nicht
mo¨glich ist, darf eine Anha¨ufung
von unerkannten Fehlern nicht
zum Verlust der Sicherheits-
funktion fu¨hren.

Wenn ein
einzelner Fehler
auftritt, bleibt die
Sicherheits-
funktion immer
erhalten.
Die Erkennung
von Fehleran-
ha¨ufungen
reduziert die
Wahrscheinlich-
keit des Verlustes
der Sicherheits-
funktion (hohe DC).
Die Fehler werden
rechtzeitig
erkannt, um einen
Verlust der Sicher-
heitsfunktion zu
verhindern.

berwiegend
durch die Struktur
charakterisiert.

hoch

hoch,
einschl.
der
Fehler-
anha¨u-
fung

s.
Anhang
F der
Norm

6.3

Sicherheitstechnische Grundsa¨tze

Content .. 10 11 12 13 ..