ISO 13849 schützt eine pneumatische Maschine, wenn deren sicherheitsbezogenes Steuerungssystem einen gefährlichen Zustand erkennt, eine festgelegte sichere Reaktion auslöst, die von seiner Architektur geforderte Fehlertoleranz aufweist und anhand eines risikobasierten Zielwerts verifiziert und validiert wird. Die Norm schreibt keinen universellen „ISO-13849-Schaltkreis“ vor, und ein sicherheitsgerichtetes Ventil allein macht eine Maschine nicht normgerecht.
Bei einer pneumatischen Achse kann die erforderliche Reaktion darin bestehen, Druck abzulassen, eine Last zu halten, ein unerwartetes Ausfahren zu verhindern, eine sichere Position anzufahren oder mehrere Maßnahmen zu kombinieren. Die richtige Wahl ergibt sich aus der Gefährdungsanalyse. Das Entlüften eines Vertikalzylinders kann beispielsweise eine Absturzgefahr hervorrufen, statt sie zu beseitigen.
Das Wichtigste in Kürze
- Definieren Sie jede Sicherheitsfunktion und ihren sicheren Zustand, bevor Sie Ventile oder Sensoren auswählen.
- Ermitteln Sie den erforderlichen Performance Level, PLr, aus der Risikobeurteilung der Maschine und einer gegebenenfalls anwendbaren Typ-C-Norm.
- Kategorie, MTTFd, DCavg, CCF, systematische Maßnahmen, Software und Subsystemschnittstellen beeinflussen den erreichten PL.
- Verwenden Sie Zuverlässigkeitsdaten des Herstellers für das konkrete Bauteil und die tatsächlichen Betriebsbedingungen; ersetzen Sie diese nicht durch allgemeine B10D-Werte.
- SISTEMA unterstützt Berechnung und Dokumentation, führt aber weder die Risikobeurteilung durch noch validiert es die Maschine.
- Sicheres Entlüften, Lasthalten und Lockout/Tagout lösen unterschiedliche Aufgaben.
Praxishinweis von David Li
Bei der Prüfung pneumatischer Sicherheitskonzepte gemeinsam mit Integratoren sehen wir als häufigsten Ausgangsfehler, dass das Ventil ausgewählt wird, bevor der sichere Zustand feststeht. Ich beginne mit drei Fragen: Welche Bewegung oder gespeicherte Energie kann einen Menschen verletzen? Welcher physische Zustand beseitigt dieses Risiko? Mit welcher Prüfung lässt sich nachweisen, dass die Maschine diesen Zustand auch nach einem relevanten Fehler erreicht?
Nach meiner Erfahrung machen diese Fragen fehlende Anforderungen an Lasthaltung, eingeschlossenen Druck und Wiederanlauf sichtbar, bevor daraus nachträgliche Installationsänderungen werden. Kann das Team nicht alle drei Fragen beantworten, ist die Bestellung eines „PL-e-Ventils“ verfrüht. Eine Bauteilkennzeichnung kann eine undefinierte Sicherheitsfunktion nicht beheben.
Worauf ISO 13849 bei einer pneumatischen Maschine anzuwenden ist
ISO 13849-1:2023 beschreibt eine Methodik für die Gestaltung und Integration sicherheitsbezogener Teile von Steuerungen, kurz SRP/CS, bei hoher Anforderungsrate und im kontinuierlichen Betrieb. Sie ist technologieneutral: Elektrische, hydraulische, pneumatische, mechanische und softwarebasierte Elemente können gemeinsam Teil derselben Sicherheitsfunktion sein.
Die Norm ordnet einer bestimmten Maschine keine Sicherheitsfunktion und keinen PLr zu. Sie verlangt auch nicht, dass jede pneumatische Anwendung Kategorie 3, Kategorie 4, zwei Ventile, diversitäre Sensoren oder PL d benötigt. Diese Entscheidungen hängen von Risikobeurteilung, erforderlicher Risikominderung, gewählter Architektur und einer gegebenenfalls maschinenspezifischen Norm ab.
Eine klare Begriffswahl ist wichtig, weil unter dem Wort „Einstufung“ häufig verschiedene Konzepte vermischt werden. Eine Sicherheitsfunktion ist eine festgelegte Maschinenreaktion zur Verringerung eines bestimmten Risikos. PLr ist der für diese Funktion erforderliche Performance Level. Der erreichte PL ist das für die vollständige sicherheitsbezogene Steuerung nachgewiesene Ergebnis; er wird nicht aus dem Zertifikat eines einzelnen Bauteils übernommen.
| Begriff | Bedeutung | Keine Bedeutung |
|---|---|---|
| Sicherheitsfunktion | Festgelegte Aktion der Steuerung, die ein bestimmtes Risiko verringert | Allgemeine Zusage, dass die Maschine sicher ist |
| PLr | Erforderlicher Performance Level einer einzelnen Sicherheitsfunktion | Der von der Auslegung bereits erreichte PL |
| PL | Erreichte Leistungsfähigkeit der vollständigen sicherheitsbezogenen Steuerungsfunktion | Eine automatisch von einem Einzelbauteil übernommene Kennzeichnung |
| Kategorie | Fehlertoleranz und Diagnoseverhalten einer vorgesehenen Architektur | Eine vollständige Zuverlässigkeitsberechnung |
| MTTFd | Mittlere Zeit bis zu einem gefahrbringenden Ausfall für Kanäle oder Subsysteme | Erwartete Lebensdauer oder Intervall einer Wiederholungsprüfung |
| DCavg | Durchschnittlicher Diagnosedeckungsgrad für gefahrbringende Ausfälle | Prozentsatz aller denkbaren Fehler, die erkannt werden |
| CCF | Maßnahmen gegen Ausfälle infolge gemeinsamer Ursache in mehrkanaligen Systemen | Nachweis, dass zwei Kanäle unter allen Bedingungen unabhängig sind |
| SIL | Maß für die Integrität der funktionalen Sicherheit in Normen wie IEC 62061 | Andere Bezeichnung für ISO-13849-Kategorie 3 oder Kategorie 4 |
ISO 13849 verwendet Performance Level von a bis e. IEC 62061 verwendet SIL-Werte. Manche Produkte weisen eine Eignung nach beiden Normen aus; bei der Maschinendokumentation dürfen die Methoden und Begriffe jedoch nicht vermischt werden.
Schritt 1: Sicherheitsfunktion und sicheren Zustand definieren
ISO 12100:2010 bildet den Rahmen für Risikobeurteilung und Risikominderung an Maschinen, der der Auslegung des Steuerungssystems vorausgeht. Ermitteln Sie Aufgabe, exponierte Person, Gefährdung, Gefährdungsereignis, Betriebsart, Schweregrad, Exposition und Möglichkeit zur Vermeidung des Schadens. Wenden Sie zunächst inhärent sichere Konstruktionsmaßnahmen und trennende Schutzeinrichtungen an, bevor Sie sich auf steuerungstechnische Maßnahmen stützen.
Eine brauchbare Spezifikation der Sicherheitsfunktion ist messbar. „Den Zylinder sicher stoppen“ ist zu ungenau. Eine bessere Spezifikation benennt:
- Auslöser: Öffnen einer Schutztür, Unterbrechen eines Lichtgitters, Betätigen des Not-Halt-Geräts, Ausfall einer Rückmeldung oder ein anderes definiertes Ereignis.
- Gefährdung: Quetschen, Scheren, Stoß, Herausschleudern, herabfallende Last, eingeschlossener Druck oder unerwarteter Wiederanlauf.
- Erforderliche Reaktion: Antriebsdruck abbauen, Ausfahren verhindern, stoppen und halten, eine sichere Position anfahren oder eine andere festgelegte Aktion.
- Kriterien für den sicheren Zustand: maximal zulässige Bewegung, Druckschwelle, Kraft, Geschwindigkeit, Stoppzeit oder Position.
- Rückstellverhalten: Wer darf zurückstellen, wo befindet sich das Rückstellgerät und darf die Rückstellung eine Bewegung einleiten?
- Betriebsarten: Automatikbetrieb, Einrichten, Reinigung, Fehlerbehebung und Instandhaltung können unterschiedliche Schutzmaßnahmen erfordern.
- PLr: der risikobasierte Zielwert für diese einzelne Sicherheitsfunktion.
Betrachten Sie einen abgesicherten horizontalen Transfer mit kolbenstangenlosem Zylinder. Eine Sicherheitsfunktion könnte lauten: „Wird die Zugangsschutztür im Automatikbetrieb geöffnet, sind eine weitere gefahrbringende Bewegung des Schlittens und ein automatischer Wiederanlauf zu verhindern, bis die Schutztür geschlossen und eine bewusste Rückstellung durchgeführt wurde.“ Die Spezifikation muss weiterhin den zulässigen Nachlauf nach der Anforderung und dessen Umsetzung durch die Ausgangsstufe festlegen.
Dieselbe Maschine kann zusätzlich eine separate Not-Halt-Funktion, eine Funktion zum sicheren Druckabbau und eine Funktion zur Verhinderung unerwarteten Anlaufs benötigen. Diese Funktionen können unterschiedliche Grenzen und PLr-Werte haben.
Schritt 2: PLr bestimmen, ohne den Risikografen als PL-Berechnung zu verstehen
Der Risikograf nach ISO 13849 berücksichtigt Schweregrad der Verletzung, Häufigkeit beziehungsweise Dauer der Gefährdungsexposition sowie die Möglichkeit, die Gefährdung zu vermeiden oder den Schaden zu begrenzen. Das Ergebnis ist der für die Sicherheitsfunktion erforderliche Performance Level PLr. Der von Hardware und Software erreichte PL wird damit nicht berechnet.
Verwenden Sie den Risikografen erst nach der Definition von Gefährdung und Sicherheitsfunktion. Dokumentieren Sie die Begründung für jeden gewählten S-, F- und P-Parameter. Prüfen Sie, ob eine anwendbare Typ-C-Norm die Funktion oder Leistungsanforderung konkreter vorgibt. Ordnen Sie nicht allein wegen eines großen Pneumatikzylinders PL d zu, und unterstellen Sie nicht, dass „die meisten pneumatischen Maschinen“ PL c oder PL d benötigen.
Die Risikobeurteilung sollte zudem die Annahmen festhalten, die Vermeidbarkeit und Exposition beeinflussen: Aktorgeschwindigkeit, Zugangshäufigkeit, Sichtverhältnisse, Fluchtraum, Schulung der Bediener, Last und die Frage, ob die Gefährdung ohne Vorwarnung entstehen kann. Ändert sich eine Annahme, ist der PLr neu zu bewerten.
Schritt 3: Vollständige Eingangs-, Logik- und Ausgangsarchitektur auslegen
Modellieren Sie die gesamte Sicherheitsfunktion und nicht nur das Pneumatikventil:
Die Berechnung umfasst die sicherheitsbezogene Steuerungskette; die Validierung bestätigt die Reaktion und das Fehlerverhalten der installierten Maschine.
- Eingang: Schutztürschalter, Lichtgitter, Zweihandschaltung, Not-Halt-Gerät, Druckschalter oder Positionssensor.
- Logik: Sicherheitsrelais, konfigurierbare Sicherheitssteuerung oder Sicherheits-SPS einschließlich sicherheitsbezogener Anwendungssoftware.
- Ausgang: Schütze, überwachte Pneumatikventile, Brems- oder Halteeinrichtungen sowie alle zur Zustandsbestätigung erforderlichen Rückmeldungen.
- Maschinenreaktion: Druck, Kraft, Geschwindigkeit, Position und Restbewegung an der tatsächlichen Gefahrenstelle.
Die vorgesehenen Kategorien beschreiben, wie sich Fehler auf die Sicherheitsfunktion auswirken:
| Kategorie | Vereinfachtes Verhalten der Architektur |
|---|---|
| B | Grundlegende Sicherheitsprinzipien werden angewendet; ein Fehler kann zum Verlust der Sicherheitsfunktion führen. |
| 1 | Bewährte Bauteile und Sicherheitsprinzipien erhöhen die Zuverlässigkeit, ein Fehler kann die Funktion jedoch weiterhin ausfallen lassen. |
| 2 | Die Funktion wird in geeigneten Abständen geprüft; zwischen den Prüfungen kann ein Fehler gefahrbringend bleiben. |
| 3 | Ein einzelner Fehler führt nicht zum Verlust der Sicherheitsfunktion; einige Fehler werden erkannt, eine Anhäufung unerkannter Fehler kann die Funktion jedoch ausfallen lassen. |
| 4 | Ein einzelner Fehler führt nicht zum Verlust; Fehlererkennung oder Widerstand gegen Fehleranhäufung erhält die Sicherheitsfunktion entsprechend den Architekturvorgaben aufrecht. |
Diese Tabelle dient als Orientierung für die Auslegung und nicht als Abkürzung für die Kategorieauswahl. Das Erreichen eines PL setzt die quantitativen und qualitativen Bedingungen der gewählten Kategorie voraus. Eine Zeichnung der Kategorie 3 mit zwei ähnlichen Kanälen erreicht nicht automatisch PL d.
Pneumatischen sicheren Zustand aus der Gefährdung ableiten
Die abschließenden pneumatischen Elemente müssen den in der Spezifikation der Sicherheitsfunktion festgelegten Zustand herstellen. Häufige Strategien sind:
- Zufuhr sperren und einen Gefahrenbereich entlüften
- Verhindern, dass Druck den Ausfahranschluss erreicht
- Achse mit einer validierten Bremse oder Kolbenstangenklemme halten
- Aktor unter kontrollierten Bedingungen zurückführen
- Einen Zweig absperren und gleichzeitig den Druck in einem anderen sicherheitsrelevanten Kreis erhalten
- Pneumatische Aktion mit einer mechanischen Rückhalteeinrichtung kombinieren
Es gibt keine allgemeine Vorschrift für ein 5/2- oder 5/3-Sicherheitsventil. Ein überwachtes redundantes 3/2-Entlüftungsventil kann für eine sichere Entlüftungsfunktion geeignet sein, während eine vertikale Last möglicherweise eine unabhängige Lasthaltemaßnahme erfordert. Der Beitrag zur Integration sicherer Entlüftungsventile in die Maschinenabsicherung erläutert Ventilposition, Prüfung des Druckabbaus und das nachgeschaltete Volumen.
Kann ein Druckluftausfall eine Last freigeben, sind die Lasthaltung bei Vertikalzylindern und die Grenzen pneumatischer Rückschlagventile zu bewerten. Ein entsperrbares Rückschlagventil kann Bewegung verhindern, dabei aber Druck einschließen, der bei Instandhaltungsarbeiten gefährlich bleibt.
Schritt 4: Zuverlässigkeit mit bauteilspezifischen Daten quantifizieren
Für verschleißabhängige pneumatische und elektromechanische Bauteile geben Hersteller häufig einen B10D-Wert an: die Anzahl der Schaltspiele, bei der unter den angegebenen Bedingungen voraussichtlich 10 % einer Grundgesamtheit gefahrbringend ausgefallen sind. Die jährliche Betätigungshäufigkeit n_op überführt zyklusbezogene Daten in MTTFd:
Jährliche Betätigungen: n_op = (d_op × h_op × 3,600) / t_cycle
Mittlere Zeit bis zum gefahrbringenden Ausfall: MTTF_d = B10D / (0.1 × n_op)
Dabei bezeichnet d_op die Betriebstage pro Jahr, h_op die Betriebsstunden pro Tag und t_cycle die mittlere Zeit in Sekunden zwischen aufeinanderfolgenden Betätigungen des Bauteils. Verwenden Sie die tatsächliche Anforderungs- oder Schalthäufigkeit der Sicherheitsfunktion und nicht die theoretisch schnellste Taktzeit der Maschine, sofern diese nicht dem realen Betriebsfall entspricht.
Übernehmen Sie keinen pauschalen Wert von 10 Millionen oder 20 Millionen Schaltspielen in die Berechnung. Beschaffen Sie Daten für die genaue Teilenummer, den Druckbereich, die Druckluftqualität, die Temperatur, Schalthäufigkeit, Last, den zulässigen Schalldämpfer und die Instandhaltungsbedingungen. Stellt der Lieferant stattdessen PFHd, den PL eines Subsystems oder eine SISTEMA-Bibliothek bereit, prüfen Sie vor der Verwendung die Annahmen und Integrationsbedingungen.
Erfassen Sie mindestens folgende Nachweise:
| Daten | Warum sie relevant sind | Typischer Nachweis |
|---|---|---|
| B10D oder PFHd | Quantifiziert das gefahrbringende Ausfallverhalten | Sicherheitshandbuch oder Erklärung des Herstellers |
| Schaltspiele | Überführt zyklusbezogene Daten in eine zeitbezogene Zuverlässigkeit | SPS-Zähler, Produktionsstudie und vorhersehbare Prüfanforderungen |
| Gebrauchsdauer | Begrenzt die Gültigkeitsdauer der Berechnung | Sicherheitsplan und Instandhaltungsnachweise |
| Kategorie | Definiert das architektonische Fehlerverhalten | Schaltungsentwurf und Subsystemdokumentation |
| DCavg | Berücksichtigt wirksame Diagnosemaßnahmen | Diagnosemethode, erkennbare Ausfallarten und Prüfintervalle |
| CCF-Maßnahmen | Behandelt eine gemeinsame Ursache, die mehrere Kanäle ausfallen lässt | Konstruktionsprüfung anhand der anwendbaren CCF-Kriterien |
| Umgebungsgrenzen | Erhält die Gültigkeit der Zuverlässigkeitsannahmen | Druckluftqualität, Temperatur, Schwingung, EMV und Installationsnachweise |
| Systematische Maßnahmen | Beherrscht Fehler in Auslegung, Software, Integration und Instandhaltung | Entwicklungs- und Verifizierungsnachweise |
Diagnosedeckungsgrad muss den tatsächlichen Ausfallarten entsprechen
Druck- und Positionserfassung können die Diagnose verbessern, doch ein zusätzlicher Sensor erzeugt nicht automatisch 90 % DC. Legen Sie fest, welche gefahrbringenden Fehler an Ventil, Sensor, Verdrahtung, Logik und Pneumatik die Diagnose erkennt, wann sie diese erkennt und welche anschließende Reaktion erfolgt.
Beispiele sind die Stellungsüberwachung von Ventilschieber oder Sitz, die Plausibilisierung des nachgeschalteten Drucks, Zeitüberwachung von Kanalabweichungen, Testimpulse und die Prüfung des erwarteten Aktorzustands. Ein vor dem Absperrventil montierter Druckschalter kann nicht nachweisen, dass ein eingeschlossener nachgeschalteter Hohlraum entlüftet wurde.
CCF umfasst mehr als räumliche Trennung
Mehrkanalige Systeme benötigen Maßnahmen gegen Fehler, die beide Kanäle außer Funktion setzen können. Eine Kanaltrennung kann helfen; eine gemeinsame Druckluftversorgung, verunreinigte Druckluft, überhöhte Temperatur, Schwingungen, fehlerhafte Instandhaltung, gemeinsame Steckverbinder, Softwarefehler und identische Installationsschäden können dennoch beide Kanäle betreffen.
Wenden Sie das CCF-Bewertungsverfahren der Norm an und dokumentieren Sie die tatsächlich umgesetzten Maßnahmen. Unterschiedliche Sensortechnologien können bei bestimmten Auslegungen sinnvoll sein; Diversität ist jedoch keine allgemeine Anforderung und ersetzt keine systematischen Konstruktionsmaßnahmen.
Schritt 5: Erreichten PL mit SISTEMA verifizieren
Die SISTEMA-Software des IFA modelliert Sicherheitsfunktionen anhand vorgesehener Architekturen und bewertet den PL mit Parametern wie Kategorie, MTTFd, DCavg und CCF. Verwenden Sie SISTEMA 3.x für Arbeiten auf Grundlage von ISO 13849-1:2023; laut IFA ist jede Hauptversion von SISTEMA einer bestimmten Normausgabe zugeordnet.
Eine nachvollziehbare Projektstruktur folgt den Sicherheitsanforderungen:
- Legen Sie für jede definierte Sicherheitsfunktion der Maschine eine eigene SISTEMA-Sicherheitsfunktion an.
- Tragen Sie deren PLr ein und dokumentieren Sie die zugehörige Referenz der Risikobeurteilung.
- Unterteilen Sie die Funktion in Eingangs-, Logik- und Ausgangssubsysteme.
- Importieren Sie aktuelle Herstellerbibliotheken erst nach Prüfung von Version und Verwendungsbedingungen.
- Tragen Sie maschinenspezifische Schalthäufigkeit, Diagnosemaßnahmen und Gebrauchsdauer ein.
- Beheben Sie Warnungen und verifizieren Sie, dass der erreichte PL den PLr erreicht oder übertrifft.
- Exportieren Sie den Bericht und stellen Sie ihn gemeinsam mit Schaltplänen und Softwarestand unter Konfigurationskontrolle.
SISTEMA ist ein Bewertungswerkzeug und kein Zertifikatsgenerator. Ein grünes Ergebnis erkennt weder eine fehlerhafte Verschlauchung, einen blockierten Abluftweg, falsche Zyklusdaten oder eine nicht modellierte Schwerkraftgefährdung noch eine Software, die nicht mit der Berechnung übereinstimmt.
Schritt 6: Installierte Sicherheitsfunktion validieren
Die derzeit veröffentlichte Validierungsnorm ist ISO 13849-2:2012. Ein Ersatz befindet sich als ISO/DIS 13849-2 in Entwicklung; ein Entwurf darf jedoch nicht als aktuell veröffentlichte Ausgabe zitiert werden. Durch Analyse und Prüfung weist die Validierung nach, dass Sicherheitsfunktionen, Architektur, Fehlerverhalten und erreichter PL die Spezifikation erfüllen.
Planen Sie die Validierung vor der Inbetriebnahme. Eine unabhängige oder hinreichend unabhängige fachkundige Person sollte jede Prüfung auf eine Anforderung zurückführen können. Dokumentieren Sie Maschinenbetriebsart, Produkt und Last, Versorgungsdruck, Temperatur, Software-Prüfsumme, Ventil- und Sensorstände, Messmittel, Annahmekriterien, tatsächliches Ergebnis und jede Abweichung.
| Validierungsprüfung | Zu beobachtendes Verhalten |
|---|---|
| Jeden Eingangskanal einzeln anfordern | Sicherheitsausgänge schalten und die Maschine erreicht den festgelegten sicheren Zustand |
| Einen Kanal gegebenenfalls öffnen oder kurzschließen | Der Fehler wird erkannt und die erforderliche Fehlerreaktion erfolgt |
| Umschalten eines Ausgangsventilelements verhindern | Redundanz und Rückmeldung verhalten sich wie vorgesehen |
| Zulässigen Abluftweg bis zur glaubhaften Grenze drosseln | Druck und Bewegung bleiben innerhalb der validierten Annahmekriterien |
| Minimalen und maximalen Versorgungsdruck prüfen | Zeitverhalten und Endzustand bleiben zulässig |
| Ungünstigste Zylinderposition und Last verwenden | Nachlauf, Stoppzeit und Lastverhalten bleiben innerhalb der Grenzwerte |
| Strom- oder Druckluftversorgung unterbrechen und wiederherstellen | Es erfolgt kein gefahrbringender automatischer Wiederanlauf |
| Rückmeldeabweichungen erzeugen | Die Steuerung verhindert den nächsten gefahrbringenden Zyklus wie spezifiziert |
| Rückstelleinrichtungen betätigen | Die Rückstellung hebt den Sicherheitszustand auf, löst aber selbst keine gefahrbringende Bewegung aus |
Erfassen Sie Sicherheitsanforderung, Logikausgang, Ventilrückmeldung, nachgeschalteten Druck und gefahrbringende Bewegung zeitlich korreliert. Die Katalog-Schaltzeit eines Ventils ist nicht die Stoppzeit der Maschine. Schlauchvolumen, Ventildurchfluss, Schalldämpfer, Drosselventile, Zylinderlast und mechanische Trägheit beeinflussen die installierte Reaktion.
Intervalle für Inspektion und Funktionsprüfung müssen aus Bauteilanleitungen, Risikobeurteilung, Betriebsumgebung, Nutzungshäufigkeit, Diagnosekonzept und anwendbarer Maschinennorm abgeleitet werden. ISO 13849 gibt keinen allgemeinen Plan wie „monatlich für PL e, jährlich für PL c“ vor.
Sicheres Entlüften und Lockout/Tagout sind unterschiedliche Schutzmaßnahmen
Ein manuell betätigtes, abschließbares Zuluftventil kann ein Verfahren zur Energietrennung unterstützen. Sein Vorhandensein belegt nicht den PL einer automatischen Sicherheitsfunktion.
OSHA 29 CFR 1910.147 behandelt die Beherrschung gefährlicher Energien bei erfassten Service- und Instandhaltungsarbeiten. Die Vorschrift definiert pneumatische Energie als Energiequelle und verlangt Trennung, Lockout oder Tagout, Beherrschung gespeicherter oder verbleibender Energie sowie die Überprüfung der Trennung.
Das Abschalten eines Magnetventils durch ein Sicherheitsrelais ist üblicherweise eine steuerungstechnische Aktion. Damit wird das Ventil nicht automatisch zu einer Energietrenneinrichtung. Bei erfassten Servicearbeiten kann das Verfahren ein manuell betätigtes und abschließbares Zuluftventil, individuelle Schlösser, Abbau oder Rückhaltung gespeicherter Energie, die Überprüfung am Arbeitsort und die fortlaufende Beherrschung von Druck erfordern, der sich erneut aufbauen kann.
Halten Sie die Abgrenzungen in der Dokumentation eindeutig:
| Situation | Primäre Schutzmaßnahme |
|---|---|
| Schutztür öffnet sich während der Produktion | Validierte sicherheitsbezogene Steuerungsfunktion |
| Not-Halt-Anforderung | Definierte Not-Halt-Reaktion und zugehörige Maßnahmen zur Risikominderung |
| Fehlerbehebung ohne Betreten eines Gefahrenbereichs | Betriebsartspezifische Sicherheitsfunktion und Wiederanlaufsperre |
| Instandhaltung mit möglicher unerwarteter Energiezufuhr | Verfahren zur Beherrschung gefährlicher Energien und überprüfte Trennung |
| Arbeit unter einer hängenden pneumatischen Last | Trennung plus unabhängige mechanische Abstützung |
Welche Angaben von einem Lieferanten pneumatischer Sicherheitskomponenten anzufordern sind
Stellen Sie keine Anfrage, die lediglich ein „ISO-13849-Ventil“ verlangt. Beschreiben Sie die Sicherheitsfunktion und fordern Sie die Daten an, die der Integrator benötigt:
- Genaue Produkt- und Revisionsstände, für welche die Dokumentation gilt
- Deklarierte Sicherheitsfunktion und anwendbare Normen
- Maximale Eignung für Kategorie, PL oder SIL sowie erforderliche Architektur
- B10D, PFHd, Gebrauchsdauer und zulässige Schalthäufigkeit
- Diagnosemechanismus, Rückmeldezeit und Fehlerreaktion
- Erforderliche Ausgänge der Sicherheitssteuerung, Grenzen für Testimpulse und Rückstellverhalten
- Grenzen für Druck, Temperatur, Druckluftqualität, Schwingung und EMV
- Abluftdurchflussdaten und zugelassene Schalldämpfer oder Zubehörteile
- Einschränkungen für Ventilanordnungen in Reihe oder parallel
- Sicherheitshandbuch, SISTEMA-Bibliothek, Erklärungen und gegebenenfalls Zertifikate unabhängiger Prüfstellen
- Anleitungen für Instandhaltung, Austausch und Wiederholungsprüfung
Ein als „für PL e geeignet“ beschriebenes Produkt kann diese Eignung nur beitragen, wenn es innerhalb seiner festgelegten Grenzen installiert und in eine vollständige Sicherheitsfunktion integriert wird, die dasselbe Ziel erfüllt.
Häufige Auslegungsfehler bei pneumatischen Anwendungen nach ISO 13849
- Auswahl eines Doppelventils, bevor der sichere Zustand definiert wurde
- Verwechslung des aus dem Risikografen abgeleiteten PLr mit dem erreichten PL
- Verwendung der Kategorie als Ersatz für die vollständige PL-Bewertung
- Übernahme allgemeiner B10D-Werte von nicht vergleichbaren Ventilen oder Aktoren
- Anrechnung eines Sensors, ohne die von ihm erkannten gefahrbringenden Fehler zuzuordnen
- Nichtberücksichtigung gemeinsam zugeführter verunreinigter Druckluft als Ursache eines Ausfalls infolge gemeinsamer Ursache
- Druckmessung am Ventil, obwohl am Aktor gefährlicher Druck eingeschlossen bleibt
- Annahme, dass Entlüften vertikale oder federbelastete Mechanismen stets sicher macht
- Verwendung einer Katalog-Schaltzeit als Maschinen-Stoppzeit
- Auslösen einer gefahrbringenden Bewegung durch Rückstellung oder Wiederkehr der Druckluft
- Austausch gegen ein Standardersatzteil ohne erneute Bewertung der Sicherheitsfunktion
- Behandlung eines sicheren Entlüftungsventils als Ersatz für verifiziertes Lockout/Tagout
- Bezeichnung eines SISTEMA-Berichts als „Maschinenzertifizierung“ ohne Validierung der Installation
Häufige Fragen zu pneumatischen Sicherheitskreisen nach ISO 13849
Verlangt ISO 13849 für jeden pneumatischen Sicherheitskreis zwei Kanäle?
Nein. Die Risikobeurteilung bestimmt den PLr, und die Auslegung muss eine Architektur verwenden, die dieses Ziel erreichen kann. Manche Sicherheitsfunktionen können niedrigere Kategorien nutzen; höhere Anforderungen an die Fehlertoleranz können eine mehrkanalige Architektur erfordern.
Ist Kategorie 3 gleichbedeutend mit PL d?
Nein. Kategorie 3 beschreibt eine architektonische Eigenschaft. Der erreichte PL hängt zusätzlich von MTTFd, DCavg, CCF-Maßnahmen, systematischen Anforderungen und der korrekten Integration der Subsysteme ab. Kategorie 3 kann bestimmte Performance Level nur unterstützen, wenn alle relevanten Bedingungen erfüllt sind.
Erreicht eine komplette Maschine PL e, wenn ein für PL e zertifiziertes Ventil eingesetzt wird?
Nein. Das Ventil ist nur ein Subsystem. Eingänge, Logik, Ausgangsintegration, Diagnose, Software, Schnittstellen und die physische Maschinenreaktion müssen die Anforderungen der Sicherheitsfunktion erfüllen und validiert werden.
Muss ein pneumatischer Not-Halt stets die gesamte Maschine entlüften?
Nein. Die Risikobeurteilung legt den erforderlichen sicheren Zustand fest. Eine vollständige Entlüftung kann für einen Bereich geeignet, bei einer hängenden Last, einer Spannvorrichtung, einem Vakuumgreifer oder einem federbelasteten Mechanismus jedoch gefährlich sein. Ein Not-Halt ersetzt außerdem nicht die für erfasste Instandhaltungsarbeiten erforderliche Energietrennung.
Beweist SISTEMA, dass die pneumatische Maschine sicher ist?
Nein. SISTEMA bewertet die modellierte sicherheitsbezogene Steuerungsarchitektur. Es kann weder bestätigen, dass die physische Installation dem Modell entspricht, noch dass Druck, Bewegung, Wiederanlauf und Fehlerreaktionen die Spezifikation erfüllen. Diese Punkte müssen an der installierten Maschine validiert werden.
Wie oft muss der Sicherheitskreis geprüft werden?
Es gibt kein allgemeingültiges Intervall, das allein vom PL abhängt. Legen Sie die Intervalle für Inspektion und Funktionsprüfung anhand der Sicherheitshandbücher der Bauteile, Risikobeurteilung, Betriebsumgebung, Diagnoseauslegung, Nutzung, Instandhaltungshistorie und anwendbaren maschinenspezifischen Normen fest.
Fazit
ISO 13849 schützt pneumatische Maschinen durch eine dokumentierte Kette technischer Entscheidungen: Gefährdung und Sicherheitsfunktion definieren, PLr bestimmen, geeignete Architektur auswählen, Zuverlässigkeit mit gültigen Bauteildaten quantifizieren, erreichten PL verifizieren und die installierte Reaktion unter Normal- und Fehlerbedingungen validieren.
Die wichtigste Frage lautet nicht: „Welches Ventil ist ISO-13849-konform?“ Sie lautet: „Wie muss diese Maschine auf eine Anforderung der Sicherheitsfunktion reagieren, und welche Nachweise belegen, dass sie dies auch bei einem plausiblen Fehler weiterhin tut?“ Beantworten Sie diese Frage zuerst. Dann wird die Ventilauswahl zu einem kontrollierten Bestandteil einer belastbaren Sicherheitsauslegung.
Quellen
- International Organization for Standardization. ISO 13849-1:2023 — Sicherheitsbezogene Teile von Steuerungen, Teil 1. Veröffentlicht im April 2023. Abgerufen am 17. Juli 2026.
- International Organization for Standardization. ISO 12100:2010 — Risikobeurteilung und Risikominderung. Abgerufen am 17. Juli 2026.
- International Organization for Standardization. ISO 13849-2:2012 — Validierung. Abgerufen am 17. Juli 2026.
- International Organization for Standardization. ISO/DIS 13849-2 — Entwurf einer in Entwicklung befindlichen Überarbeitung. Abgerufen am 17. Juli 2026.
- International Organization for Standardization. ISO 4414:2010 — Sicherheitstechnische Anforderungen an Pneumatikanlagen. Abgerufen am 17. Juli 2026.
- Institut für Arbeitsschutz der Deutschen Gesetzlichen Unfallversicherung. SISTEMA-Software für ISO 13849-1. Abgerufen am 17. Juli 2026.
- Occupational Safety and Health Administration. 29 CFR 1910.147 — Beherrschung gefährlicher Energie. Abgerufen am 17. Juli 2026.