Pneumatische Sicherheitsfunktionen auslegen: Warum 98% kein

Kein Design eines pneumatischen Sicherheitssystems kann eine universelle Verringerung schwerer Verletzungen um 98% belegen. Ein belastbares Design beginnt bei der Gefährdung der Maschine, definiert den erforderlichen sicheren Zustand, wählt eine geeignete Steuerungsarchitektur und validiert die vollständige Sicherheitsfunktion. Schnelle Ventile, Redundanz, Diagnose, Lasthaltung und Lockout können jeweils relevant sein, lösen jedoch unterschiedliche Probleme.

OSHA schätzt, dass die Einhaltung des Lockout/Tagout-Standards jährlich 120 Todesfälle und 50.000 Verletzungen verhindert. Diese Zahl bezieht sich auf die Kontrolle gefährlicher Energien in verschiedenen Branchen und nicht auf eine einzelne pneumatische Schaltung oder Ventilanordnung (OSHA-Merkblatt zu Lockout/Tagout, 2022).

Wichtigste Erkenntnisse

Keine Norm stützt ein allgemeingültiges Versprechen einer Verletzungsreduzierung um 98%.

Definieren Sie den sicheren Zustand, bevor Sie Ventile oder Stangensperren auswählen.

Verwenden Sie für den Sicherheitsabstand die gesamte Stoppzeit, nicht nur die Ventilreaktion.

Validieren Sie die installierte Sicherheitsfunktion und behandeln Sie das Wartungs-LOTO separat.

Kann ein beliebiges Design eines pneumatischen Sicherheitssystems eine Verletzungsvermeidung von 98% garantieren?

OSHA führt schätzungsweise 120 verhinderte Todesfälle und 50.000 verhinderte Verletzungen pro Jahr auf die Einhaltung ihres Standards für gefährliche Energien zurück, weist dem Design pneumatischer Sicherheitssysteme jedoch kein Ergebnis von 98% zu. Keine ISO- oder IEC-Norm für Maschinensicherheit liefert diesen allgemeinen Prozentsatz (OSHA-Merkblatt zu Lockout/Tagout, 2022).

Wenn ein Prozentsatz zum Designziel gemacht wird, geraten die entscheidenden Variablen aus dem Blick. Das Verletzungsrisiko hängt von Gefährdung, Exposition, möglicher Schwere, Zugang, Betriebsart, menschlichem Verhalten, Maschinenreaktion, Bauteilzuverlässigkeit und Wirksamkeit der Risikominderungsmaßnahmen ab. Ein Wert aus einer Anlage oder Maschine lässt sich nicht automatisch auf eine andere übertragen.

Risikominderung ist der Prozess, Risiken durch inhärent sichere Konstruktion, Schutzeinrichtungen und ergänzende Schutzmaßnahmen sowie Benutzerinformationen zu senken. ISO 12100 beschreibt dies als iterativen Prozess und nicht als Abkürzung bei der Produktauswahl (ISO 12100:2010).

Stellen Sie eine messbare Frage: Erreicht und hält die Maschine ihren definierten sicheren Zustand, bevor eine Person der Gefährdung ausgesetzt werden kann, auch nach den Fehlern, die die ausgewählte Architektur tolerieren muss? Berechnungen, Bauteildaten, Prüfungen und Aufzeichnungen können diese Frage beantworten.

Formulieren Sie die daraus entstehende Aussage eng. Zum Beispiel: „Das Öffnen der Schutzeinrichtung A stoppt die gefährliche Klemmbewegung, bevor der berechnete Sicherheitsabstand unterschritten wird, und ein erkannter Ausgangsfehler verhindert den automatischen Wiederanlauf.“ Das ist auditierbar. „Unser System verhindert 98% der Verletzungen“ ist es nicht.

Die Sicherheitsfunktion definieren, bevor ein Ventil ausgewählt wird

Definieren Sie jede Sicherheitsfunktion, bevor Sie ein Ventil auswählen. ISO 12100:2010 ist eine 77-seitige Norm für Maschinensicherheit, die 2022 als aktuell bestätigt wurde und mit der Gefährdungsermittlung und iterativen Risikominderung beginnt. Anforderung, sicherer Zustand, Fehlerverhalten und Abnahmekriterien der Funktion gehören in die Spezifikation (ISO 12100:2010).

Eine Sicherheitsfunktion ist eine spezifizierte Maschinenreaktion, die bei einem definierten Ereignis das Risiko mindert. „Ein überwachtes Entlüftungsventil installieren“ ist eine Bauteilanweisung und keine vollständige Sicherheitsfunktion. Die Spezifikation muss festlegen, wodurch die Reaktion ausgelöst wird, welches gefährliche Verhalten gestoppt oder verhindert werden muss und wie das Ergebnis verifiziert wird.

Beginnen Sie mit sechs Fragen:

Welche Bewegung, welcher Druck, welche Schwerkraftlast, welches Vakuum, welche Federkraft oder welche gespeicherte Energie kann während Betrieb, Abschaltung, Energieausfall, Wartung und Wiederanlauf nach einer Unterbrechung Schaden verursachen?
Wer kann in welchen Betriebs- und Wartungsarten exponiert werden?
Welche physische Bedingung stellt den sicheren Zustand dar?
Wie schnell muss dieser Zustand erreicht werden und wie lange muss er gehalten werden?
Welche Fehler müssen erkannt oder toleriert werden?
Welches Rücksetz- und Wiederanlaufverhalten verhindert eine neue Gefährdung?

Sichere Zustände können innerhalb einer Maschine unterschiedlich sein. Bei einer horizontalen Klemmung muss möglicherweise der Druck entfernt werden. Bei einer vertikalen Achse muss die Last eventuell abgestützt werden, bevor die Luft entlüftet wird. Ein Greifer muss ein Werkstück möglicherweise halten, bis eine sichere Ablagesequenz abgeschlossen ist. Warum sollte „Luft aus“ immer „sicher“ bedeuten?

Gefährdungsbedingung	Mögliche Anforderung an den sicheren Zustand	Erforderlicher Nachweis
Ein horizontaler Zylinder kann eine Bedienperson quetschen	Bewegung stoppen, Versorgung blockieren, eingeschlossenen Druck abbauen	Gesamtstoppzeit und Restdruckprüfung
Eine vertikale Last kann bei Druckverlust fallen	Last vor dem Entlüften halten oder mechanisch abstützen	Nennwerte der Lasthaltung und Prüfung der installierten Last
Ein Vakuumgreifer kann ein Werkstück fallen lassen	Greifkraft aufrechterhalten oder Werkstück an eine kontrollierte Position bewegen	Versorgungsausfallprüfung und Lastüberwachung
Ein federrückgestellter Antrieb bewegt sich beim Entlüften	Rücklaufbewegung steuern oder begrenzen	Verifizierung von Hub, Kraft und Zugangsbereich
Eine Fachkraft betritt die Anlage zur Wartung	Energie isolieren und verriegeln, gespeicherte Energie abbauen oder zurückhalten	Maschinenspezifisches LOTO-Verfahren und Isolationsprüfung

Eine pneumatische Sicherheitsfunktion ist erst dann belastbar, wenn der vollständige Weg von der Gefährdung bis zur Lebenszyklusvalidierung dokumentiert ist.

Der Leitfaden zur Zweihand-Sicherheitssteuerung zeigt, wie eine Eingangstechnologie in diese übergeordnete Kette aus Eingang, Logik, Ausgang und Validierung passt.

Warum ist ein allgemeines Ventilziel von 15 bis 50 ms unsicher?

Die Ventilreaktion allein kann keinen sicheren Abstand festlegen. ISO 13855:2024 ist eine 72-seitige Norm, die die Positionierung von Schutzeinrichtungen auf dem gesamten Stoppverhalten basiert. Sensor, Logik, Ausgang, Druckabfall, Antriebsbewegung, Lastverhalten und mechanischer Nachlauf tragen zum anwendungsspezifischen Ergebnis bei (ISO 13855:2024).

Die Schaltzeit des Ventils ist nur ein Zeitabschnitt. Ein Ventil kann sich in 20 ms bewegen, während ein großes nachgeschaltetes Volumen deutlich länger zum Druckabbau benötigt. Ein Zylinder kann sich wegen eingeschlossenen Drucks, Trägheit, Schwerkraft, einer äußeren Feder oder gespeicherter mechanischer Energie weiterbewegen.

Für viele Anwendungen nach ISO 13855 lautet die allgemeine Beziehung für den Sicherheitsabstand:

S = K \cdot T + C

Dabei gilt: $S$ ist der minimale Sicherheitsabstand in Millimetern, $K$ ist der anwendbare Parameter für die Annäherungsgeschwindigkeit einer Person in Millimetern pro Sekunde, $T$ ist das vollständige Stoppverhalten in Sekunden und $C$ ist der Zuschlag für Eindringen oder Reichweite in Millimetern. Die genauen Werte und Bedingungen hängen von Schutzeinrichtung, Annäherung, Maschinennorm und Anwendung ab.

Stellen Sie das vollständige Zeitbudget dar als:

T = t_{\mathrm{sensor}} + t_{\mathrm{logic}} + t_{\mathrm{output}} + t_{\mathrm{pneumatic}} + t_{\mathrm{mechanical}}

Jeder Term ist ein Worst-Case-Beitrag von der Erkennung bis zum endgültigen Ende der gefährlichen Funktion. Herstellerdaten zur Reaktionszeit können die ersten Berechnungen unterstützen, das Stoppverhalten der installierten Anlage muss jedoch gemessen werden. Auch die Sicherheitsanleitung von Rockwell Automation aus dem Jahr 2026 fordert, dass die Endberechnung das konkrete Sicherheitssystem und die gemessene Maschinenstoppzeit verwendet (Rockwell Automation, 2026).

Messen Sie Signal und physisches Ergebnis auf derselben Zeitbasis:

Anforderung der Schutzeinrichtung aufzeichnen;
Übergänge an Eingang und Ausgang der Sicherheitssteuerung erfassen;
Rückmeldung des letzten Elements überwachen, sofern vorhanden;
Druck an den relevanten Antriebsanschlüssen messen;
die letzte gefährliche Bewegung aufzeichnen, nicht nur die Bewegung des Ventilschiebers;
unter der ungünstigsten freigegebenen Kombination aus Last, Druck, Temperatur, Betriebsart, Abluftbegrenzung und erwarteter Verunreinigung wiederholen, die die physische Reaktion verlangsamen kann.

Wenn der Druckabbau das Sicherheitsziel ist, definieren Sie den nachgeschalteten Druck, der den sicheren Zustand darstellt, sowie die zulässige Zeit bis zu dessen Erreichen. Bei Lasthaltung kann der Druckabbau nachrangig sein. Der Abnahmgrenzwert muss der Sicherheitsfunktion folgen.

Für Achsen, die sich nach dem Entfernen der Energie weiterbewegen, untersucht der Leitfaden zur Dynamik von Not-Halt-Bewegungen Trägheit, äußere Lasten und den Unterschied zwischen Entenergisieren und dem physischen Stoppen der Bewegung.

PL oder SIL für die Maschinensicherheit auswählen

Wählen Sie den anwendbaren Bewertungsrahmen, bevor Sie die Zuverlässigkeit berechnen. ISO 13849-1:2023 umfasst 152 Seiten und behandelt sicherheitsbezogene Steuerungen mit hoher Anforderungsrate oder kontinuierlicher Anforderung unter Verwendung pneumatischer und anderer Technologien; IEC 62061:2021 stellt ein auf SIL basierendes Verfahren für Maschinen bereit. Die Projektanforderungen bestimmen, welches Verfahren maßgeblich ist (ISO 13849-1:2023; IEC 62061:2021).

Leistungsniveau, kurz PL, ist die nach ISO 13849 verwendete Kennzahl für die Fähigkeit eines sicherheitsbezogenen Steuerungssystems, unter vorhersehbaren Bedingungen eine Sicherheitsfunktion auszuführen. Sicherheitsintegritätslevel, kurz SIL, ist das entsprechende Integritätskonzept der IEC 62061 für sicherheitsbezogene Maschinensteuerungen.

Keine dieser Bezeichnungen gehört isoliert zu einem Ventil, wenn sich die Aussage auf die vollständige Maschine bezieht. Die Zertifizierung eines letzten Elements kann nützliche Fehlerdaten und Architekturmerkmale liefern; das erreichte PL oder SIL hängt jedoch auch von Eingabegeräten, Logik, Schnittstellen, Diagnose, Maßnahmen gegen gemeinsame Ursachen, Anwendungsbedingungen und Validierung ab.

Berechnen Sie nicht beide Rahmenwerke und veröffentlichen Sie anschließend das scheinbar günstigere Ergebnis. Wählen Sie das Verfahren, das durch den regulatorischen Weg des Projekts, die Maschinennorm, die Kundenspezifikation und den Engineering-Prozess vorgegeben ist. Dokumentieren Sie Annahmen, Grenzen der Teilsysteme, Gebrauchsdauer, Anforderungsrate, Bauteilzuverlässigkeitsdaten, Fehlerausschlüsse und Diagnosedeckung.

Für Berechnungsdetails behandelt der Leitfaden zu pneumatischen Sicherheitsschaltungen nach ISO 13849 PLr, Kategorie, MTTFd, DCavg, CCF und SISTEMA. Dieser Artikel bleibt auf der Ebene der Systementscheidung: Was muss der pneumatische Ausgang tatsächlich leisten und wie weist die installierte Maschine dies nach?

Wie wird der pneumatisch sichere Zustand ausgewählt?

Wählen Sie den sicheren Zustand aus der Gefährdungsanalyse und nicht aus einem standardmäßigen Entlüftungsbefehl. ISO 14118:2017 ist eine 11-seitige Norm zu unerwartetem Anlauf durch pneumatische Versorgung, Schwerkraft, Federn und äußere Einflüsse und weist einer bestimmten Maschine kein PL oder SIL zu (ISO 14118:2017).

Ein pneumatisch sicherer Zustand ist der physische Zustand, in dem die ermittelten pneumatisch und mechanisch gespeicherten Energien kein unvertretbares Risiko mehr darstellen. Dafür kann eine einzelne Handlung oder eine abgestimmte Sequenz erforderlich sein.

Häufige Optionen sind:

Absperren und entlüften: Versorgung isolieren und einen nicht lasttragenden Kreis entlüften.
Vor dem Entlüften halten: eine qualifizierte Lasthalte- oder mechanische Rückhalteeinrichtung aktivieren, den Eingriff bestätigen und anschließend das geeignete Volumen entlüften.
Druckverlust verhindern: Druck vorübergehend halten, wenn ein Verlust von Vakuum oder Greifkraft ein Werkstück fallen lassen würde, und dabei die gespeicherte Energie überwachen.
Kontrollierte Rückführung: einen Antrieb vor der Energieisolierung in eine verifizierte sichere Position bewegen.
Mechanische Abstützung: ein angehobenes Bauteil mit einer für Masse, Lastrichtung, Zugangsbedingungen und vorhersehbare Wartungsarbeiten geeigneten Rückhalteeinrichtung blockieren, damit der sichere Zustand nicht von Druckluft oder einem Steuersignal abhängt.

Behandeln Sie einen „Zweidruck-Verriegelungsmechanismus“ nicht als allgemeine Kategorie für Sicherheitseinrichtungen. Spezifizieren Sie den tatsächlichen Mechanismus: federbetätigte Stangensperre, dynamische Bremse, vorgesteuerte Rückschlaganordnung, Gegengewichtslösung, externe mechanische Blockierung oder eine andere validierte Rückhalteeinrichtung. Statische Lasthaltung und Notbremsung sind unterschiedliche Aufgaben.

Verwenden Sie den Leitfaden zur Integration von Sicherheitsentlüftungsventilen wenn eine Druckreduzierung erforderlich ist. Bei gehaltenen Lasten erklärt der Leitfaden zu pneumatischen Stangensperren warum die statische Haltekapazität nicht automatisch die dynamische Stoppfähigkeit nachweist.

Der Leitfaden zu Zylindern mit Verriegelungsposition behandelt einen weiteren Ansatz zur Positionshaltung; seine Produktgrenzen müssen jedoch innerhalb der vollständigen Sicherheitsfunktion bewertet werden.

Verriegelbares Entlüftungsventil der VHS-Serie als Element einer pneumatischen Energieisolationsanordnung

Ein verriegelbares Entlüftungsventil kann die pneumatische Energieisolierung unterstützen; das vollständige Verfahren muss jedoch auch eingeschlossenen Druck, Schwerkraftlasten, andere Energiequellen, Verifizierung und Wiederanlauf behandeln.

Was müssen Redundanz und Diagnose nachweisen?

Die Redundanz muss die in der Sicherheitsanalyse angenommenen Fehler überstehen. ISO 13849-1:2023 beschreibt eine 152-seitige Methodik für pneumatische, mechanische, elektrische, hydraulische und softwarebasierte Elemente. Zwei Ventile, die sich eine anfällige Versorgung, einen gemeinsamen Befehl oder einen gemeinsamen Entlüftungspfad teilen, können weiterhin gemeinsam ausfallen (ISO 13849-1:2023).

Redundanz hilft nur, wenn ein Kanal nach einem relevanten Fehler im anderen Kanal die erforderliche Reaktion noch ausführen kann. Diagnose hilft nur, wenn sie die in der Sicherheitsanalyse angenommenen Fehler erkennt und eine definierte Reaktion auslöst, bevor sich Fehler ansammeln und die Funktion außer Kraft setzen.

Was könnte beide Kanäle außer Betrieb setzen? Verunreinigte Luft, gefrorene Feuchtigkeit, ein zu klein ausgelegter Schalldämpfer, eine gemeinsame elektrische Versorgung, fehlerhafte Wartung, ein gemeinsamer Steuerungsausgang, mechanisches Klemmen oder ein Befestigungsfehler können die nominelle Kanalunabhängigkeit umgehen. Die räumliche Trennung allein schließt einen Ausfall aus gemeinsamer Ursache nicht aus.

Nach unserer Erfahrung bei der Prüfung pneumatischer Sicherheitskonzepte lässt sich schwache Redundanz am schnellsten aufdecken, indem Energie- und Befehlswege verfolgt werden, statt Bauteile zu zählen. Wir fragen, was beide Kanäle versorgt, was ein gemeinsames Entlüften verhindert, welche Rückmeldung den physischen Zustand nachweist und welcher einzelne Wartungsfehler beide Kanäle zugleich beeinflussen kann.

Dokumentieren Sie Folgendes in der Engineering-Akte:

die Gefährdung, das auslösende Ereignis, die genaue Sicherheitsfunktion, den physischen sicheren Zustand, die Reaktionszeitgrenze und das erforderliche PLr oder SIL;
die Architektur und die Grenzen der Teilsysteme;
B10d-, MTTFd-, Ausfallraten-, Nutzungs- und Umgebungsdaten des Herstellers zusammen mit jeder angewandten Annahme;
Diagnosedeckung, Prüfrate, Fehlerreaktion und die physische Größe, die jede Diagnose erfasst oder nicht erfassen kann;
Maßnahmen gegen gemeinsame Ursachen, Fehlerausschlüsse und deren Begründung;
erwartete Zyklusrate, Gebrauchsdauer und Wartungsgrenzen;
die Maschinenreaktion auf einen erkannten Fehler, die Bedingungen für die Rücksetzung und der Nachweis, der vor der Wiederaufnahme der Produktion erforderlich ist.

Eine Schieberpositionsrückmeldung bestätigt die Schieberposition, nicht den nachgeschalteten Druck oder die Zylinderbewegung. Ein Druckschalter bestätigt den Druck an seinem Anschluss, nicht die mechanische Rückhaltung. Ein Zylindersensor bestätigt die Kolbenposition und nicht zwingend die externe Last. Wählen Sie eine Rückmeldung, die dem durch die Sicherheitsfunktion zu verhindernden physischen Ergebnis möglichst nahe ist.

Wie wird die installierte Sicherheitsfunktion validiert?

Die Validierung muss die spezifizierte Funktion an der installierten Maschine nachweisen. ISO 13849-2:2012 widmet 79 Seiten der Validierung durch Analyse und Prüfung von Sicherheitsfunktionen, erreichter Kategorie und erreichtem Leistungsniveau; ein Bauteilzertifikat allein ist kein Systemnachweis (ISO 13849-2:2012).

Erstellen Sie den Validierungsplan vor der Inbetriebnahme. Verknüpfen Sie jede Anforderung mit Methode, Abnahmegrenzwert, Prüfbedingung, verantwortlicher Person und Aufzeichnung. Wenn die Anforderung „schnelles Entlüften“ lautet, ohne Messort, Druckschwelle, Zeitreferenz und Worst-Case-Volumen zu benennen, ist sie noch nicht prüfbar.

Validierungsziel	Messung oder Inspektion	Repräsentative Belastung	Abnahmenachweis
Gefährliche Bewegung stoppen	Synchronisierte Aufzeichnung von Anforderung und Bewegung	Maximal freigegebene Geschwindigkeit und Last	Gemessene Stoppzeit innerhalb der Designgrenze
Sicheren Druck erreichen	Druck-Zeit-Aufzeichnung stromabwärts	Größtes Volumen und restriktivster Entlüftungspfad	Schwelle innerhalb der spezifizierten Zeit erreicht
Schwerkraftlast halten	Position oder Weg über der Zeit	Versorgungsausfall und relevante Einzelfehler	Bewegung bleibt innerhalb der freigegebenen Grenze
Ausgangsfehler erkennen	Rückmeldung und Aufzeichnung der Sicherheitssteuerung	Ein Ausgang wird am Zustandswechsel gehindert	Fehler erkannt und Wiederanlauf gesperrt
Unerwarteten Wiederanlauf verhindern	Befehl, Rücksetzung und Beobachtung des Antriebs	Schutzeinrichtung schließt oder Versorgung kehrt zurück	Keine gefährliche Bewegung vor einer bewussten Rücksetzung
Isolierung für Wartung aufrechterhalten	Verifizierung der Energieisolierung	Eingeschlossener oder sich erneut aufbauender Druck	Alle Energiequellen isoliert oder zurückgehalten

Prüfen Sie vorhersehbare Fehler, ohne eine unkontrollierte Exposition zu erzeugen. Verwenden Sie geeignete Vorrichtungen, Sperrzonen, kalibrierte Messmittel, abgestützte Lasten und ein freigegebenes Prüfverfahren. Einige Fehler lassen sich durch Trennen einer Rückmeldung oder Sperren eines Kanals simulieren; andere erfordern eine Analyse, weil das physische Einbringen des Fehlers unsicher oder zerstörerisch wäre.

Ein erfolgreicher Stopp ist noch kein Validierungsprogramm. Wiederholen Sie Messungen über Versorgungstoleranz, Lastbereich, Betriebsart, Temperatur, Entlüftungsbegrenzung und die Bauteilzustände, die die langsamste Reaktion erzeugen. Zeichnen Sie die maximal beobachteten Werte und die Messunsicherheit auf. Würde die Funktion auch bestehen, wenn der nächste Stopp etwas langsamer wäre?

Revalidieren Sie nach einer Änderung an Ventil, Schalldämpfer, Verrohrung, Steuerungszeit, Software, Last, Schutzeinrichtung, Zylinder, Stangensperre, Druckeinstellung oder Prüfverfahren. Die Bezeichnung eines Ersatzes als „gleichwertig“ beweist weder identische Sicherheitsdaten noch ein identisches dynamisches Verhalten.

LOTO und die Grenzen der steuerungsbasierten Sicherheit

LOTO regelt Arbeiten im Anwendungsbereich, bei denen gefährliche Energie kontrolliert werden muss. OSHA 29 CFR 1910.147 schließt pneumatische Energie ausdrücklich ein und verlangt vor Beginn der Arbeit die Isolierung, Behandlung gespeicherter oder Restenergie und Verifizierung. Ein Not-Halt oder der Ausgang einer Sicherheits-SPS kann dieses Verfahren nicht ersetzen (OSHA 1910.147).

Not-Halt- und Schutzeinrichtungsfunktionen unterstützen die Risikominderung im Betrieb. LOTO kontrolliert gefährliche Energie bei Arbeiten im Anwendungsbereich und bei Wartung. Das Betätigen eines Not-Halt-Tasters ändert gewöhnlich den Steuerungszustand; es isoliert elektrische Energie, pneumatische Versorgung, Druckspeicher, eingeschlossenen Kammerdruck, Schwerkraft oder Federn jedoch möglicherweise nicht physisch.

Die OSHA-Sequenz verlangt Vorbereitung, geordnetes Abschalten, Isolierung der Energiequellen, Anbringen von Schlössern oder Kennzeichnungen, Kontrolle gespeicherter Energie und Verifizierung. Die pneumatische Verifizierung kann das Prüfen einer Druckanzeige, das Betätigen einer normalen Steuerung zur Bestätigung der Isolierung, soweit zulässig, die Prüfung auf eingeschlossenen Druck und die Bestätigung umfassen, dass angehobene Bauteile blockiert oder anderweitig zurückgehalten sind.

Ein verriegelbares Entlüftungsventil kann eine energieisolierende Einrichtung sein. Es ermittelt jedoch nicht jede Energiequelle und beweist nicht, dass sich in einem blockierten Durchgang kein Druck erneut aufbauen kann. Maschinenspezifische Verfahren müssen Ventilstellung, Verriegelungsort, Entlastungspunkte, Rückhaltemethode, Verifizierungsschritt und Wiederherstellungssequenz festlegen.

OSHA verlangt nach 1910.147(c)(6) außerdem mindestens eine jährliche regelmäßige Prüfung jedes Verfahrens zur Energiekontrolle. Dieses Intervall gilt für die Verfahrensprüfung und nicht automatisch für jede Nachweisprüfung eines Sicherheitsventils. Prüfintervalle für Bauteile und Sicherheitsfunktionen ergeben sich aus der anwendbaren Norm, den Herstellerdaten, der Zuverlässigkeitsberechnung, der Risikobeurteilung und dem beobachteten Zustand.

FAQ zum pneumatischen Sicherheitssystem: Was sollten Ingenieure verifizieren?

Ingenieure müssen drei unterschiedliche Ergebnisse verifizieren. ISO 13849-1:2023 behandelt sicherheitsbezogene Steuerungen mit hoher Anforderungsrate und kontinuierlicher Anforderung, ISO 14118:2017 behandelt unerwarteten Anlauf aus mehreren Energiequellen und OSHA 1910.147 regelt Arbeiten im Anwendungsbereich. Steuerungsintegrität, physischer sicherer Zustand und Energieisolierung müssen als abgestimmte Anforderungen zusammenwirken.

Muss ein Not-Halt-Ventil innerhalb von 50 ms schließen?

Für jede pneumatische Maschine gilt keine allgemeine Grenze von 50 ms. Das erforderliche Ergebnis ergibt sich aus Risikobeurteilung, Definition des sicheren Zustands und Berechnung des gesamten Stoppverhaltens. Messen Sie die vollständige Kette vom auslösenden Gerät über Logik, Ventilreaktion, Druckänderung und Antriebsverhalten bis zum Ende der gefährlichen Bewegung. Vergleichen Sie dieses Worst-Case-Ergebnis mit dem dokumentierten Abnahmegrenzwert.

Macht ein Ventil mit PL e oder SIL 3 die vollständige Maschine konform?

Nein. Ein Bauteilzertifikat beschreibt das Bauteil innerhalb der angegebenen Bedingungen und Architekturen. Die vollständige Sicherheitsfunktion umfasst außerdem Sensoren, Logik, Schnittstellen, pneumatische Ausgänge, mechanisches Verhalten, Diagnose, Maßnahmen gegen gemeinsame Ursachen, Software, Installation und Validierung. Konstrukteure müssen das erreichte PL oder SIL für die definierte Systemgrenze verifizieren, statt die Einstufung eines Bauteils auf die Maschine zu übertragen.

Sollte jeder pneumatische Kreis entlüften, wenn eine Schutzeinrichtung öffnet?

Nein. Das Entlüften kann eine Gefährdung durch fallende Lasten, Federrücklauf, Vakuumverlust oder unkontrollierte Bewegung erzeugen. Definieren Sie zunächst den sicheren Zustand für jede gefährliche Funktion. Manche Kreise sollten entlüften; andere benötigen möglicherweise eine Stangensperre, mechanische Abstützung, überwachten Druckerhalt oder eine kontrollierte Rückführung. Validieren Sie die vollständige Sequenz unter normalen Bedingungen und Fehlerbedingungen.

Kann eine Stangensperre eine mechanische Blockierung oder LOTO ersetzen?

Nicht automatisch. Eine Stangensperre kann eine ruhende Last innerhalb spezifizierter Bedingungen halten; dynamisches Bremsen, Personenschutz und Energieisolierung sind jedoch getrennte Aufgaben. Bestätigen Sie den genauen Produktnennwert, die Eingriffssequenz, Lastrichtung, Kolbenstangenbedingung, das Fehlerverhalten und die Sicherheitsdokumentation. Befolgen Sie bei Arbeiten im Anwendungsbereich das maschinenspezifische LOTO-Verfahren und stützen Sie gefährliche Schwerkraftlasten wie erforderlich ab.

Wie häufig sollte eine pneumatische Sicherheitsfunktion geprüft werden?

Für jede pneumatische Sicherheitsfunktion gibt es kein allgemeingültiges monatliches, vierteljährliches oder jährliches Nachweisprüfintervall. Verwenden Sie anwendbare Norm, Zuverlässigkeitsberechnung, Herstelleranweisungen, Betriebszyklen, Diagnose, Umgebung und Risikobeurteilung. OSHA verlangt separat mindestens eine jährliche Prüfung jedes Verfahrens zur Energiekontrolle. Revalidieren Sie immer dann, wenn eine Änderung die Sicherheitsfunktion oder ihre Annahmen beeinflussen kann.

Quellen und technische Referenzen

OSHA-Merkblatt zu Lockout/Tagout, geschätzte verhinderte Todesfälle und Verletzungen, erfasste Energiearten und Schulung der Beschäftigten. Abgerufen am 27.07.2026.
OSHA 29 CFR 1910.147, Kontrolle gefährlicher Energien, Behandlung gespeicherter Energie, Isolationsverifizierung und regelmäßige Verfahrensprüfung. Abgerufen am 27.07.2026.
ISO 12100:2010, Risikobeurteilung von Maschinen und iterative Risikominderung. Abgerufen am 27.07.2026.
ISO 13850:2015, Grundsätze der Not-Halt-Funktion. Abgerufen am 27.07.2026.
ISO 13855:2024, Positionierung von Schutzeinrichtungen und Annäherung von Personen. Abgerufen am 27.07.2026.
ISO 13849-1:2023, Auslegung und Integration sicherheitsbezogener Teile von Steuerungssystemen. Abgerufen am 27.07.2026.
ISO 13849-2:2012, Validierung durch Analyse und Prüfung. Abgerufen am 27.07.2026.
IEC 62061:2021, Funktionale Sicherheit sicherheitsbezogener Maschinensteuerungen. Abgerufen am 27.07.2026.
ISO 14118:2017, Vermeidung unerwarteten Anlaufs durch zugeführte und gespeicherte Energie. Abgerufen am 27.07.2026.
ISO 4414:2010, Sicherheitsanforderungen an pneumatische Systeme bei Auslegung, Installation, Betrieb und Wartung. Abgerufen am 27.07.2026.
Rockwell Automation Safety Application Technique, anwendungsspezifischer Sicherheitsabstand, Zeitverhalten der vollständigen Reaktionskette, Messung der Maschinenstoppzeit und ausdrücklicher Hinweis, dass die Endberechnung die tatsächliche Installation verwenden muss. Abgerufen am 27.07.2026.

Welches Design eines pneumatischen Sicherheitssystems verhindert 98% der schweren Verletzungen, wenn Standardlösungen versagen?

David Li