Ein redundantes Pneumatikventilsystem ist ein Ausgangssubsystem, das nach einem Einzelfehler eine definierte Sicherheitsreaktion aufrechterhalten soll. Es macht eine Maschine nicht automatisch zu PL d oder PL e. Risikobeurteilung, Eingangseinrichtungen, Sicherheitslogik, Ventilarchitektur, Diagnose, Pneumatikkreis und die physische Maschinenreaktion tragen gemeinsam zum erreichten Performance Level bei.
Dieser Artikel konzentriert sich auf das Ventil-Ausgangssubsystem: die Anordnung zweier Ventilelemente, den erforderlichen Aussagegehalt ihrer Rückmeldung, den Einfluss von Fehlern auf Zu- und Abluftpfade sowie die Prüfungen an der installierten Maschine. Für den vollständigen Ablauf von Eingang, Logik und Ausgang beginnen Sie mit dem umfassenderen Leitfaden zu Pneumatik-Sicherheitskreisen nach ISO 13849.
Wichtigste Erkenntnisse
- ISO 13849-1 definiert fünf Performance Level, aber Redundanz allein begründet keines davon.
- Ein 3/2-Doppelventil kann eine sichere Entlüftung unterstützen; eine überwachte 5/2-Ausführung kann eine definierte sichere Rückführung unterstützen.
- Die Rückmeldung muss gefährliche Ventilfehler erkennen und darf nicht nur die Spulenspannung bestätigen.
- Validieren Sie Druck, Bewegung, Rücksetzung und Wiederanlaufverhalten an der installierten Maschine.
Was schützt ein redundantes Ventilsystem tatsächlich?
ISO 13849-1:2023 definiert fünf Performance Level von PL a bis PL e, weist jedoch keiner bestimmten pneumatischen Anwendung eine Sicherheitsfunktion oder ein erforderliches PLr zu (ISO, 2023). Ein redundantes Ventilsystem schützt nur die Maschinen-Sicherheitsfunktion, die der Konstrukteur ausdrücklich definiert hat.
Diese Funktion kann eine unerwartete Druckbeaufschlagung bei geöffneter Schutzeinrichtung verhindern. Sie kann eine Gefahrenzone entlüften, einen Antrieb in eine kontrollierte Rückführposition bewegen, den Druck bis zum Eingreifen einer Bremse halten oder einen reduzierten Einrichtdruck wählen. Jede Funktion benötigt einen Auslöser, einen sicheren Zustand, ein PLr, eine Architektur, ein Diagnoseverhalten und messbare Abnahmekriterien.
Das Wort „redundant“ beschreibt die Struktur und nicht das Ergebnis. Zwei Ventilelemente können zwei Ausgangspfade bereitstellen, aber das System versagt weiterhin, wenn eine verunreinigte Luftversorgung beide Elemente blockiert, ein gemeinsamer Steckverbinder beide Spulen außer Betrieb setzt, ein verstopfter Schalldämpfer die Entlüftung verhindert oder die Steuerung eine Rückmeldediskrepanz ignoriert.
Beginnen Sie mit vier Fragen:
- Welche gefährliche Bewegung oder welcher gefährliche Druck muss durch die Funktion beherrscht werden?
- Welcher physische Zustand ist für die ungünstigste glaubhafte Last und Antriebsposition sicher?
- Welche Einzelfehler muss das Ventilsubsystem tolerieren oder erkennen?
- Welcher Nachweis belegt, dass die installierte Maschine diesen Zustand erreicht und beibehält?
Aus unserer Erfahrung bei der Prüfung pneumatischer Sicherheitsspezifikationen besteht das häufigste Formulierungsproblem darin, dass eine Bauteilbezeichnung als Sicherheitsfunktion ausgegeben wird. Ersetzen Sie „ein redundantes Ventil verwenden“ durch eine messbare Anforderung wie „Druck oberhalb des definierten Grenzwerts am Ausfahranschluss nach jedem angerechneten Einzelfehler im Ausgang verhindern“.
ISO 4414:2010, 2021 als aktuell bestätigt, behandelt wesentliche Gefährdungen pneumatischer Systeme in Auslegung, Installation, Betrieb und Instandhaltung. Sie bekräftigt eine zentrale Regel: Das Ventil kann nicht unabhängig von gespeicherten Drücken, Schwerkraft, Federn, Vakuum, Rohrleitungen, Antrieben und dem Wartungsverfahren bewertet werden.
Ein zweites Ventilelement ist nur dann sinnvoll, wenn Pneumatikpfade, Diagnose und Fehlerreaktion ausreichend unabhängig bleiben, um die definierte Sicherheitsfunktion zu erhalten.
Drei Architekturen redundanter Ventilsysteme
Die P33-Familie von Parker verwendet eine 3/2-Sicherheitsentlüftungsfunktion mit normal geschlossenem Zustand und bietet intern oder extern überwachte Varianten, während ROSS redundante 3/2- und 5/2-Doppelventilanordnungen dokumentiert (Parker, 2024; ROSS, abgerufen 2026). Diese Beispiele zeigen drei praxisnahe Architekturfamilien für moderne Maschinensicherheitskreise.
Intern überwachtes Doppelventil
Zwei Ventilelemente und die Überwachungslogik sind in einer Baugruppe integriert. Das Produkt prüft Synchronität oder Zustand der Elemente intern und verhindert nach einer definierten Abweichung den Normalbetrieb. Der Systemkonstrukteur muss dennoch die Bedingungen für Rücksetzung, Verdrahtung, Verschlauchung, Mindestzyklierung, Schalldämpfer und Fehlerreaktion im Sicherheitshandbuch einhalten.
Extern überwachtes Doppelventil
Jedes Ventilelement liefert eine Rückmeldung von Position oder Druckzustand an ein Sicherheitsrelais oder eine Sicherheits-SPS. Die externe Logik vergleicht den befohlenen Zustand beim Ein- und Ausschalten mit beiden Rückkanälen. ROSS schreibt beispielsweise für seine RSe-Serie die externe Überwachung zweier PNP-Schieberpositionssensoren vor. Diese produktspezifische Anordnung darf nicht auf ein Ventil mit anderen Sensoren oder anderer interner Geometrie verallgemeinert werden.
Zwei getrennte Ventilkanäle
Getrennte Ventile können als redundantes Ausgangssubsystem ausgelegt werden, wenn ihre pneumatische Verbindung, elektrische Ansteuerung, Diagnose, Zuverlässigkeitsdaten und Maßnahmen gegen gemeinsame Ausfallursachen die geforderte Architektur erfüllen. Der bloße Einbau zweier gewöhnlicher Wegeventile in Reihe oder parallel belegt keine Fehlertoleranz. Der Kreis muss zeigen, was geschieht, wenn eines der Elemente klemmt, leckt, sich langsam bewegt oder seinen Befehl verliert.
| Architektur | Ort der Überwachung | Zentrale technische Frage |
|---|---|---|
| integriertes Doppelventil | innerhalb der zertifizierten Baugruppe | Welche externen Bedingungen und Rücksetzlogik müssen bereitgestellt werden? |
| extern überwachtes Doppelventil | Sicherheitsrelais oder Sicherheits-SPS | Bewertet die Logik bei jedem erforderlichen Übergang beide tatsächlichen Ventilpositionen? |
| zwei getrennte Kanäle | Maschinensicherheitssteuerung | Erhält die vollständige pneumatische Anordnung nach jedem Einzelfehler den sicheren Zustand? |
Wie verändern Kategorie 3 und Kategorie 4 das Fehlerverhalten?
Der ISO-13849-Anwendungsbericht der IFA unterscheidet Kategorie 3 und Kategorie 4 anhand von MTTFd, DCavg und Widerstand gegen Fehlerakkumulation und nicht allein durch das sichtbare Vorhandensein zweier Kanäle (IFA Report 2/2017e, 2019). Beide festgelegten Architekturen erfordern geeignete Maßnahmen gegen gemeinsame Ausfallursachen in pneumatischen Sicherheitssystemen.
In Kategorie 3 darf ein Einzelfehler nicht zum Verlust der Sicherheitsfunktion führen. Einige Fehler werden erkannt, aber eine Ansammlung unerkannter gefährlicher Fehler kann die Funktion letztlich außer Kraft setzen. Ein Schaltplan mit zwei Kanälen kann daher unzureichend sein, wenn die Diagnose ein gefährlich klemmendes Ventil übersieht oder beide Kanäle eine nicht beherrschte Ausfallursache teilen.
Auch Kategorie 4 erfordert Einzelfehlertoleranz, jedoch mit stärkerer Fehlererkennung oder höherem Widerstand gegen Fehlerakkumulation. Die IFA beschreibt für die festgelegte Kategorie-4-Architektur hohe Werte für MTTFd und DCavg. Deshalb verfügt ein Produkt mit behaupteter Kategorie-4-Fähigkeit normalerweise über ausdrücklich genannte Überwachungsbedingungen, Zuverlässigkeitsdaten und Anforderungen an die Fehlerreaktion.
| Auslegungsfrage | Ausrichtung Kategorie 3 | Ausrichtung Kategorie 4 |
|---|---|---|
| Auswirkung eines Fehlers | Sicherheitsfunktion bleibt verfügbar | Sicherheitsfunktion bleibt verfügbar |
| Fehlererkennung | Einige gefährliche Fehler können unerkannt bleiben | Gefährliche Fehler werden rechtzeitig erkannt oder ihre Akkumulation wird beherrscht |
| MTTFd und DCavg | Zulässige Kombinationen hängen von der Auslegung ab | Hohe Werte sind der festgelegten Architektur zugeordnet |
| Gemeinsame Ausfallursachen | Maßnahmen erforderlich | Maßnahmen erforderlich |
| Erreichtes PL | Aus allen relevanten Parametern berechnet | Aus allen relevanten Parametern berechnet |
Schreiben Sie in einer Spezifikation nicht „Kategorie 3 entspricht PL d“ oder „Kategorie 4 entspricht PL e“. Die Kategorie ist ein Eingangswert der PL-Bewertung. Bauteilzuverlässigkeit, Diagnosewirksamkeit, CCF, systematische Maßnahmen, Software, Schnittstellen und die anderen Subsysteme der Sicherheitsfunktion sind weiterhin relevant.
Die CCF-Prüfung muss über eine räumlich getrennte Montage der Ventile hinausgehen. Beide Kanäle können durch verschmutzte Luft, gefrorenes Kondensat, zu hohe Temperatur, Schwingung, einen gemeinsamen Reglerfehler, falsche Ersatzteile, gemeinsame Verdrahtungsschäden oder denselben Wartungsfehler beeinflusst werden. Die dokumentierten Maßnahmen müssen die tatsächliche Installation abdecken.
Was muss die Ventilrückmeldung erkennen?
ROSS erklärt, dass die Überwachung beider Schieberpositionssensoren des RSe bei jedem Ein- und Ausschalten für dieses Produkt eine Diagnoseabdeckung von bis zu 99 % liefern kann, wenn eine externe Sicherheitssteuerung die vorgegebenen Prüfungen durchführt (ROSS RSe, abgerufen 2026). Der Wert ist modellspezifisch und darf keiner allgemeinen Rückmeldung zugeschrieben werden.
Diagnoseabdeckung bezeichnet die Wirksamkeit der implementierten Diagnose beim Erkennen gefährlicher Ausfälle. Die Spulenspannung belegt nur, dass die Steuerung einen Befehl ausgegeben hat. Sie belegt nicht, dass das Magnetventil Kraft erzeugt, die Vorsteuerstufe geschaltet, sich Schieber oder Kegel bewegt, der Abluftpfad geöffnet oder der nachgeschaltete Druck gefallen ist. Eine nützliche Diagnose muss auf die für das exakte Ventil und den exakten Kreis ermittelten gefährlichen Ausfallarten zielen.
Übliche Rückmeldemethoden sind:
- zwangsgeführte oder berührungslose Ventilpositionsmessung
- unabhängige Rückmeldung beider redundanter Ventilelemente
- Plausibilitätsprüfung des Nachdrucks an der Gefahrenzone
- Zeitüberwachung von Kanaldiskrepanzen beim Ein- und Ausschalten
- Vergleich von Ventilzustand mit Antriebsposition oder Zustand der geschützten Maschine
- eine Steuerungsreaktion, die nach einem Fehler den nächsten gefährlichen Zyklus sperrt
Druckrückmeldung hat Grenzen. Ein Schalter vor dem Sicherheitsventil kann nicht zeigen, ob eine nachgeschaltete Kammer entlüftet wurde. Ein Schalter hinter einem Verteiler kann eingeschlossenen Druck hinter einem Rückschlagventil übersehen. Eine Druckgrenze kann den pneumatischen Zustand bestätigen, aber nicht unbedingt belegen, dass eine vertikale Achse angehalten hat oder eine Klemme ihre Last hält.
Auch die Positionsrückmeldung hat Grenzen. Ein Schiebersensor kann die Position des Ventilelements belegen, ohne einen ausreichenden Abluftstrom durch einen verstopften Schalldämpfer nachzuweisen. Das Diagnosekonzept sollte daher jedes angerechnete Signal mit einem definierten gefährlichen Ausfall und einer Fehlerreaktion verknüpfen.
Bei unserer Arbeit an Austausch-Anfragen haben wir festgestellt, dass „Rückmeldung enthalten“ für einen sicheren Ersatz oft zu ungenau ist. Die Anfrage sollte Normal- und Fehlerzustände des Signals, Diskrepanzzeit, Steuerungsreaktion, Steckverbinderbelegung und die Frage angeben, ob der Sensor die tatsächliche Ventilposition oder nur einen elektrischen Befehl meldet.
Behandeln Sie Diagnose als Nachweiskette: Befehl, Ventilposition, Nachdruck und gefährliche Bewegung beantworten unterschiedliche Fragen, und kein einzelnes Signal belegt automatisch alle vier.
Sichere Entlüftung, sichere Rückführung und Druckhaltung
Parker bezeichnet sein P33 als 3/2-Sicherheitsentlüftungsventil mit normal geschlossenem Zustand, während ROSS 5/2-RSe-Anordnungen für sichere Rückführung und Zweidruckfunktionen dokumentiert (Parker P33, 2024; ROSS RSe, abgerufen 2026). Die Zahl der Anschlüsse folgt der vorgesehenen, gefahrenbezogen beherrschten Maschinenreaktion für jede definierte Gefährdung.
Sichere Entlüftung ist eine Funktion, die die Versorgung sperrt und eine definierte nachgeschaltete Zone entlüftet. Sie ist nur geeignet, wenn die Druckreduzierung zu einem sicheren physischen Zustand führt. Große nachgeschaltete Volumina, lange Schläuche, Durchflussregler, Rückschlagventile, Wegeventile mit geschlossenem Mittelstand und Abluftschalldämpfer können den erwarteten Druckabbau verlangsamen oder verhindern.
Eine sichere Rückführung lenkt einen Antrieb in eine definierte Position, statt einfach beide Kammern freizugeben. Die Rückführbewegung selbst muss hinsichtlich Geschwindigkeit, Kraft, Richtung und Endposition sicher sein. Ein redundantes 5/2-Ventil kann diese Funktion unterstützen, aber Antriebslast, Dämpfungen, Durchflussregler und mechanischer Verfahrweg müssen weiterhin validiert werden.
Druckhaltung kann sicherer sein, wenn eine Entlüftung eine vertikale Last absenken, eine Klemme lösen oder ein vakuumgehaltenes Teil freigeben würde. Die Haltung kann eine Stangenverriegelung, Bremse, mechanische Abstützung, vorgesteuerte Rückschlaganordnung oder eine andere validierte Maßnahme erfordern. Sie kann aber auch gefährliche Energie einschließen, weshalb Produktionssicherheitsfunktion und Wartungs-Isolationsverfahren getrennt betrachtet werden müssen.
Definieren Sie bei einem Rundschalttisch oder einer Drehklemme Winkelstopp, Haltemoment und den drucklosen Zustand anhand des speziellen Leitfadens zu Drehantriebsintegration nach ISO 13849.
| Vorgesehene Funktion | Pneumatische Reaktion | Wichtigster Validierungsaspekt |
|---|---|---|
| sichere Entlüftung | Versorgung sperren und Nachdruck reduzieren | Druckabbauzeit und Restbewegung |
| Verhinderung unerwarteter Druckbeaufschlagung | Gefahrenzone isoliert halten | Leckage, Wiederanlauf und Einzelfehlerverhalten |
| sichere Rückführung | Antrieb in eine definierte Position führen | Rückführgeschwindigkeit, Kraft, Haltepunkt und Lastverhalten |
| sichere Druckauswahl | nur die vorgesehene Druckstufe zulassen | Fehler durch falschen Druck und überwachter Ventilzustand |
| Last halten | Last halten oder mechanisch sichern | Drift, eingeschlossene Energie, Freigabe und Wartungszugang |
Der Leitfaden zu Sicherheitsentlüftungsventilen in Maschinenschutzeinrichtungen behandelt Platzierung und Druckabbauprüfung. Für vertikale Achsen prüfen Sie außerdem das Verhalten von Zylinderstangenverriegelungen und die Auslegung von Zylindern für vertikales Heben.
Ein gewöhnliches Schnellentlüftungsventil kann den Abluftweg eines Antriebs verkürzen, beinhaltet aber weder automatisch eine redundante Architektur noch eine Diagnosefunktion. Ebenso kann ein vorgesteuertes Rückschlagventil can den Druck halten und gleichzeitig eine separate Gefährdung durch eingeschlossene Energie erzeugen.
Wie sollte das Ventilsubsystem in SISTEMA modelliert werden?
Das SISTEMA-Werkzeug der IFA bewertet das erreichte PL anhand der festgelegten Architektur zusammen mit den Eingaben PLr, Kategorie, MTTFd, DCavg und CCF (IFA, abgerufen 2026). Das redundante Ventil gehört in das Ausgangssubsystem und ist kein Ersatz für das vollständige Modell der Sicherheitsfunktion.
Erstellen Sie zuerst die Sicherheitsfunktion und teilen Sie sie dann in Eingangs-, Logik- und Ausgangssubsysteme auf. Das Ventil-Ausgangssubsystem muss dem realen Kreis und der realen Überwachung entsprechen. Wenn ein integriertes Doppelventil über einen zertifizierten Subsystemwert und eine SISTEMA-Bibliothek verfügt, verwenden Sie die exakten Herstellerdaten nur unter den angegebenen Betriebs- und Integrationsbedingungen.
Bei einer Auslegung aus getrennten Ventilelementen sammeln Sie die für die Bewertung jedes Kanals und jeder Diagnosemaßnahme erforderlichen Informationen:
- exakte Ventilartikelnummer und Sicherheitsfunktion
- B10d, MTTFd, PFHd oder zertifizierte Subsystemdaten für dieses Modell
- jährliche Betätigungen und Anforderungsprofil der Sicherheitsfunktion
- Gebrauchsdauer und Instandhaltungsgrenzen
- zulässiger Druck, Temperatur, Luftqualität, Schalthäufigkeit und Abluftzubehör
- erkennbare gefährliche Ausfälle und angerechnete Diagnoseabdeckung
- CCF-Maßnahmen für die Mehrkanalauslegung
- Steuerungstiming, Prüfungimpulse, Diskrepanzgrenzen und Rücksetzreaktion
Kopieren Sie keinen B10d-Wert aus einer ähnlichen Ventilfamilie. Eine andere Dichtung, ein anderer Schieber, eine andere Vorsteuerstufe, ein anderer Sensor, Betriebsdruck oder eine andere Prüffrequenz kann die angenommenen Zuverlässigkeitsdaten ungültig machen. Rechnen Sie auch keinen DC-Wert von 99 % allein deshalb an, weil der Kreis zwei Sensoren enthält; die Diagnoselogik muss die vom Hersteller vorgegebenen Prüfungen implementieren.
SISTEMA verifiziert die modellierte Steuerungsarchitektur. Es erkennt keine vertauschte Verschlauchung, blockierte Abluft, nicht modelliertes Rückschlagventil, falsche Sensorplatzierung, Schwerkraftgefährdung oder Software, die von der dokumentierten Revision abweicht. Diese Themen gehören in Konstruktionsprüfung und Validierung.
Für den umfassenderen Berechnungsablauf einschließlich der Umrechnung von B10d zu MTTFd verwenden Sie den vollständigen Leitfaden zu Pneumatikkreisen nach ISO 13849. Kein allgemeiner Online-Rechner ersetzt SISTEMA oder eine dokumentierte Sicherheitsbewertung.
Validierungsprüfungen für eine redundante Ventil-Ausgangsstufe
ISO 13849-2:2012 verlangt die Validierung der festgelegten Sicherheitsfunktionen, der erreichten Kategorie und des erreichten PL durch Analyse und Prüfung (ISO, 2012). Stand Juli 2026 ist diese Ausgabe weiterhin veröffentlicht, während ihr Ersatz noch entwickelt wird. Das installierte Ventilsubsystem benötigt daher rückverfolgbare Prüfnachweise und keine reine Katalogprüfung.
Schreiben Sie die Abnahmekriterien vor der Prüfung fest. Definieren Sie Anforderungssignal, sicheren Druckgrenzwert, zulässige Bewegung, Zeitgrenze, Antriebslast, Versorgungsbereich, Rücksetzverhalten und Wiederanlaufbedingungen. Prüfen Sie anschließend Normalfunktion und glaubhafte Fehler unter den Maschinenkonfigurationen, die die schwierigste Reaktion erzeugen.
| Prüfung | Zu dokumentierender Nachweis | Zu erkennendes unsicheres Ergebnis |
|---|---|---|
| Sicherheitsfunktion anfordern | Eingang, Logikausgang, beide Ventilrückmeldungen, Druck und Bewegung auf einer Zeitbasis | verspätete oder unvollständige sichere Reaktion |
| Verschieben von Element A verhindern | Zustand von Element B, Druckpfad, Diagnosealarm und Wiederanlaufsperre | Einzelfehler setzt die Funktion außer Kraft |
| Verschieben von Element B verhindern | Derselbe Nachweis mit vertauschten Kanälen | Asymmetrischer Fehler nicht abgedeckt |
| Ein Rückmeldesignal auf Ein oder Aus festhalten | Diskrepanzreaktion der Steuerung und Rücksetzverhalten | Sensorfehler als gültiger Zustand akzeptiert |
| Freigegebenen Abluftpfad auf die glaubhafte Grenze beschränken | Nachdruck und gefährliche Bewegung | Blockierte oder verschlechterte Abluft setzt das Timing außer Kraft |
| Wiederherstellung von Versorgung und elektrischer Energie prüfen | Ventilzustand, Softstartverhalten und Maschinenbewegung | Gefährlicher automatischer Wiederanlauf |
| Ungünstigste Antriebsposition und Last prüfen | Druck, Verfahrweg, Haltepunkt und Halteverhalten | Sicherer Zustand nur bei geringer Last gültig |
Messen Sie den Druck in dem relevanten Volumen. Ein Manometer neben dem Ventil kann niedrigen Druck anzeigen, während eine Zylinderkammer hinter einem Rückschlagventil eingeschlossen bleibt. Wenn Bewegung die Gefährdung ist, erfassen Sie neben dem Druck auch die tatsächliche Achsposition oder Geschwindigkeit.
Die Rücksetzung verdient eine eigene Prüfung. Eine Rücksetzung darf den Sicherheitszustand löschen, aber nicht selbst eine gefährliche Bewegung auslösen. Nach einer erkannten Kanaldiskrepanz muss das System gesperrt bleiben, bis die dokumentierten Bedingungen für Fehlerquittierung und Rücksetzung erfüllt sind.
Es gibt kein universelles tägliches, monatliches oder jährliches Prüfintervall, das allein auf PL basiert. Intervalle für Prüfung und Funktionstest müssen Produktanweisungen, Risikobeurteilung, Diagnosekonzept, Nutzungshäufigkeit, Umgebung, Instandhaltungshistorie und jede anwendbare maschinenspezifische Norm berücksichtigen.
Welche Nachweise sollte ein Lieferant bereitstellen?
ROSS veröffentlicht für eine dokumentierte Konfiguration einen modellspezifischen RSe-B10d von 20 Millionen Zyklen, PFHd von 7.71 x 10^-9 pro Stunde und eine maximale Diskrepanzzeit von 250 ms (ROSS RSe documentation, abgerufen 2026). Diese Werte zeigen die Spezifikationstiefe, die ein Ingenieur benötigt; sie sind keine allgemeinen Werte für redundante Ventile.
Fordern Sie Nachweise für die exakt bestellte Konfiguration an, einschließlich Spulenspannung, Baugröße, Sensoren, Steckverbinder, Vorsteueranordnung und Rücksetzoption. Eine Familienbroschüre kann mehrere Versionen mit unterschiedlichen Zertifizierungs- oder Integrationsbedingungen enthalten.
Aus unserer Erfahrung beginnt die nützlichste Lieferantenantwort mit der exakten Artikelnummer, dem Zertifikatsumfang, der Revision des Sicherheitshandbuchs und der Wahrheitstabelle der Rückmeldung. Volumenstrom und Anschlussgröße sind wichtig, können aber fehlende Nachweise zu Fehlerreaktion oder Überwachung nicht ersetzen.
Das technische Paket sollte enthalten:
- angegebene Sicherheitsfunktion und anwendbare Normen
- Zertifikat oder Bewertung für das exakte Modell
- Kategorie- und PL-Fähigkeit mit angegebenen Integrationsbedingungen
- B10d, MTTFd, PFHd, Gebrauchsdauer und angenommene Betätigungsrate, soweit anwendbar
- pneumatisches Schaltzeichen und interne Funktionsbeschreibung
- Überwachungsmethode, Signallogik und Diskrepanzzeit
- zulässige Schnittstellenbedingungen für Sicherheitsrelais oder Sicherheits-SPS
- Anforderungen an Verdrahtung, Verschlauchung, Rücksetzung, Prüfungimpulse und Fehlerreaktion
- Grenzen für Druck, Temperatur, Luftqualität, Montage und Zyklierung
- freigegebene Abluftschalldämpfer und Softstartanordnungen
- aktuelles Sicherheitshandbuch, Erklärung, SISTEMA-Bibliothek und Revisionshistorie
Lehnen Sie Formulierungen wie „zweikanalig“, „ausfallsicher“ oder „PL-e-ready“ ab, wenn sie nicht mit diesen Aufzeichnungen verknüpft sind. Der Maschinenbauer muss die Integrationsbedingungen außerdem in Elektroschaltplan, Pneumatikplan, Software, Stückliste, Inbetriebnahmebericht und Austauschverfahren erhalten.
Vergleichen Sie bei einem Austausch zuerst die Funktionen und erst danach die Abmessungen. Zwei Ventile mit passenden Anschlüssen und gleicher Spannung können sich bei interner Überwachung, Sensorlogik, Rücksetzverhalten, Abluftleistung, Fehlerverriegelung, Zertifizierung oder minimaler Betriebsfrequenz unterscheiden. Ein form- und passgleicher Ersatz kann die Sicherheitsberechnung ungültig machen und eine erneute Validierung erfordern.
Bei einer sicherheitsrelevanten Austauschanfrage sind Integrationshandbuch und Wahrheitstabelle der Rückmeldung ebenso wichtig wie Anschlussgröße und Durchflussleistung.
FAQ zu redundanten Ventilsystemen: Was sollten Ingenieure verifizieren?
ISO 13849-1:2023 verwendet fünf PL-Bänder, aber jede folgende FAQ führt zur gleichen Regel zurück: Architekturbezeichnungen und Bauteilzertifikate ersetzen weder eine definierte Sicherheitsfunktion noch eine vollständige PL-Bewertung und Validierung an der installierten Maschine (ISO, 2023). Verifizieren Sie das Ventil als ein Ausgangssubsystem innerhalb dieser Kette.
Erzeugt der Einsatz zweier Ventile automatisch Kategorie 3?
Nein. Kategorie 3 verlangt, dass die Sicherheitsfunktion einen Einzelfehler übersteht, zusammen mit den anwendbaren Anforderungen an Zuverlässigkeit, Diagnose, gemeinsame Ausfallursachen und systematische Maßnahmen. Zwei gewöhnliche Ventile können einen gefährlichen Ausfallpfad teilen oder keine wirksame Überwachung besitzen. Die reale pneumatische Verbindung und Fehlerreaktion müssen analysiert werden.
Kann ein Ventil der Kategorie 4 mit PL e die vollständige Maschine zu PL e machen?
Nein. Ein Ventil kann unter angegebenen Bedingungen ein zertifiziertes oder bewertetes Ausgangssubsystem bereitstellen. Auch Eingangseinrichtungen, Sicherheitslogik, Verdrahtung, Diagnose, andere Ausgänge, Software, Schnittstellen und die physische Maschinenreaktion müssen die Anforderungen der Sicherheitsfunktion erfüllen. Die installierte Funktion benötigt weiterhin Verifikation und Validierung.
Sollte ein redundantes Ventilsystem immer die gesamte Maschinenluft ablassen?
Nein. Die Risikobeurteilung definiert sicheren Zustand und Gefahrenzone. Vollständige Entlüftung kann eine vertikale Last absenken, eine Klemme lösen oder ein vakuumgehaltenes Teil verlieren lassen. Manche Maschinen benötigen statt einer unterschiedslosen Entdruckung der gesamten Anlage eine zonierte Entlüftung, kontrollierte sichere Rückführung, Druckhaltung oder mechanische Sicherung.
Reicht eine Nachdruckrückmeldung aus, um beide Ventilelemente zu überwachen?
Nicht immer. Eine Druckrückmeldung kann bestätigen, dass ein Volumen eine Grenze überschritten hat, identifiziert aber möglicherweise nicht, welches Ventilelement ausgefallen ist, und belegt nicht zwingend seine Position. Aussagen zu Kategorie und DC müssen der Fehleranalyse und den Überwachungsanweisungen des Produkts folgen. Manche Konstruktionen erfordern eine getrennte Positionsrückmeldung jedes Elements.
Wie häufig sollte eine Sicherheitsfunktion mit redundantem Ventil geprüft werden?
Es gibt kein universelles Intervall, das allein auf PL d oder PL e basiert. Verwenden Sie Sicherheitshandbuch des Ventils, Diagnoseauslegung, Risikobeurteilung, Betriebsfrequenz, Verunreinigungsbelastung, Instandhaltungshistorie und anwendbare Maschinennorm. Nehmen Sie die angenommene Prüf- oder Betriebsfrequenz in Zuverlässigkeitsbewertung und Validierungsplan auf.
Quellen und technische Referenzen
Dieser Leitfaden stützt sich auf 11 Primärquellen, abgerufen am 22. Juli 2026: fünf ISO- oder IFA-Referenzen und sechs Herstellerdokumente. Produktwerte bleiben an ihr exaktes Modell und ihre Integrationsbedingungen gebunden, während ISO-Quellen die Aussagen zu Auslegung und Validierung auf Systemebene bestimmen. Kundenanekdoten, Marktpreisbehauptungen oder allgemeine prozentuale Einsparungen werden nicht verwendet.
- Internationale Organisation für Normung. ISO 12100:2010, Sicherheit von Maschinen, Risikobeurteilung und Risikominderung. 2022 als aktuell bestätigt. Abgerufen am 2026-07-22.
- Internationale Organisation für Normung. ISO 13849-1:2023, Sicherheitsbezogene Teile von Steuerungen, Teil 1. Abgerufen am 2026-07-22.
- Internationale Organisation für Normung. ISO 13849-2:2012, Validierung. Abgerufen am 2026-07-22.
- Internationale Organisation für Normung. ISO/DIS 13849-2, Entwurf einer in Entwicklung befindlichen Revision. Abgerufen am 2026-07-22.
- Internationale Organisation für Normung. ISO 4414:2010, Sicherheitsanforderungen an fluidtechnische Systeme der Pneumatik. 2021 als aktuell bestätigt. Abgerufen am 2026-07-22.
- Institut für Arbeitsschutz der Deutschen Gesetzlichen Unfallversicherung. SISTEMA-Software für ISO 13849-1. Abgerufen am 2026-07-22.
- Institut für Arbeitsschutz der Deutschen Gesetzlichen Unfallversicherung. IFA Report 2/2017e, Funktionale Sicherheit von Maschinensteuerungen. Abgerufen am 2026-07-22.
- Parker Hannifin. Technischer Katalog zum P33-Sicherheitsentlüftungsventil. November 2024. Abgerufen am 2026-07-22.
- Parker Hannifin. Integrationsleitfaden zum P33-Sicherheitsentlüftungsventil. Abgerufen am 2026-07-22.
- ROSS Controls. Serie 1286 Safe-Air-Entry-Baugruppe mit intern überwachtem DMC-Doppelventil. Abgerufen am 2026-07-22.
- ROSS Controls. Extern überwachtes redundantes RSe-Doppelventil. Abgerufen am 2026-07-22.