Normen für die funktionale Sicherheit

Abhängig von der Applikation können für die Betrachtung der funktionalen Sicherheit an Steuerungen unterschiedliche Normen herangezogen werden.

Im Bereich der Maschinensicherheit ist im wesentlichen die EN 954 für sicherheitsrelevante Steuerungen zu nennen.

Diese gilt unabhängig von der Technologie für die gesamte Kette vom Sensor bis zum Aktor. Anhand des Risikographen und der zugehörigen Risikoparameter lässt sich eine Einschätzung des Risikopotentials für Gefahrstellen an Maschinen vornehmen. Die Einstufung erfolgt zunächst ohne risikoreduzierende Schutzmaßnahmen.

S = Schwere der Verletzung:
1 = leichte (normalerweise reversible) Verletzung
2 = schwere (normalerweise irreversible) Verletzung einschließlich Tod

F = Häufigkeit und/oder Dauer der Gefährdungsexposition:
1 = selten bis öfters und/oder kurze Dauer
2 = häufig bis dauernd und/oder lange Dauer

P = Möglichkeiten zur Vermeidung der Gefährdung:
1 = möglich unter bestimmten Bedingungen
2 = kaum möglich

Die aus dem Risikograph abgeleiteten Anforderungen an das Steuerungssystem lassen sich wie folgt bestimmen:

Die sicherheitsbezogenen Teile von Maschinensteuerungen und/oder ihre Schutzeinrichtung als auch ihre Bauteile müssen in Übereinstimmung mit den zutreffenden Normen so gestaltet, konstruiert, ausgewählt, zusammengestellt und kombiniert werden, dass sie den zu erwartenden Einflüssen standhalten können.

Sicherheitsbezogene Teile müssen unter Verwendung bewährter Bauteile und bewährter Sicherheitsprinzipien gestaltet und gebaut werden. Sicherheitsbewährt bedeutet, dass die verwendeten Bauteile in zahlreichen Fällen mit erfolgreichen Ergebnissen bei ähnlichen Anwendungen benutzt worden sind oder sie sind nach Prinzipien hergestellt worden, die ihre Eignung und Zuverlässigkeit für sicherheitsbezogene Anwendungen aufzeigen.

Bewährte Sicherheitsprinzipien sind Schaltungen, die so aufgebaut wurden, dass bestimmte Fehler durch entsprechende Anordnung oder Auslegung von Bauteilen vermieden werden können.

Anmerkung: Das Auftreten eines Fehlers kann zum Verlust der Sicherheitsfunktion führen.

Sicherheitsbezogene Teile von Steuerungen müssen so gestaltet werden, dass ihre Sicherheitsfunktion(en) in geeigneten Zeitabständen durch die Maschinensteuerung geprüft werden. Die Prüfung der Sicherheitsfunktion(en) muss (a) beim Anlauf der Maschinen und vor Einleiten eines gefährlichen Zustandes, und (b) periodisch während des Betriebs, wenn die Risikoanalyse und die Betriebsart zeigen, dass dies notwendig ist, erfolgen.
Diese Prüfung darf automatisch oder manuell eingeleitet werden. Automatisch kann dies z. B. ein von einer Steuerung in entsprechenden Zeitabständen erzeugtes Signal sein. Bevorzugt muss der automatische Test vorgesehen werden.

Die Entscheidung über die Testart ist abhängig von der Risikoanalyse und der Einschätzung des Endanwenders oder Maschinenbauers.
Das Ergebnis der Prüfung darf den Betrieb zulassen, wenn kein Fehler erkannt wurde, oder einen Ausgang für die Einleitung angemessener Steuerungsmaßnahmen erzeugen, wenn ein Fehler erkannt wurde. Dazu ist ein zweiter unabhängiger Abschaltweg erforderlich.

Anmerkungen: In einigen Fällen ist Kat. 2 nicht anwendbar, da sich die Prüfung der Sicherheitsfunktion nicht bei allen Bauteilen und Geräten durchführen lässt. Ferner kann der Aufwand für die korrekte Umsetzung der Kategorie 2 erheblich sein, so dass aus ökonomischen Gründen die Umsetzung einer anderen Kategorie sinnvoller erscheint.
Kat. 2 kann im allgemeinen mit elektronischen Techniken realisiert werden. Das Systemverhalten lässt zu, dass: das Auftreten eines Fehlers zum Verlust der Sicherheitsfunktion zwischen den Prüfungen führt; der Verlust der Sicherheitsfunktion bei der Prüfung erkannt wird.

Sicherheitsbezogene Teile von Steuerungen müssen so gestaltet werden, dass ein einzelner Fehler in einem dieser Teile nicht zum Verlust der Sicherheitsfunktionen führt. Wann immer in angemessener Weise durchführbar, muss der einzelne Fehler bei oder vor der nächsten Anforderung der Sicherheitsfunktion erkannt werden. Dies bedeutet nicht, dass alle Fehler erkannt werden. Die Anhäufung unentdeckter Fehler kann zu einem unbeabsichtigten Ausgangssignal und zu einem gefährlichen Zustand an der Maschine führen.

Sicherheitsbezogene Teile von Steuerungen müssen so gestaltet werden, dass ein einzelner Fehler in jedem dieser Teile nicht zum Verlust der Sicherheitsfunktionen führt und der einzelne Fehler bei oder vor der nächsten Anforderung der Sicherheitsfunktion erkannt wird (z. B. unmittelbar beim Einschalten, am Ende eines Maschinenzyklus. Falls diese Erkennung nicht möglich ist, darf die Anhäufung von Fehlern nicht zum Verlust der Sicherheitsfunktion führen.