FAQ: Zehn Fragen, die immer wiederkommen…

Allein die Häufigkeit echter sicherheitstechnischer Anforderungen entscheidet. Nicht die Bauart der Einrichtung, nicht ihre technische Ausführung und nicht, wie oft geschaltet wird. Die Schwelle liegt bei einer Anforderung pro Jahr: nicht mehr als einmal jährlich ist niedrige, mehr als einmal jährlich ist hohe Anforderungsrate. Daneben kennt die Norm die Betriebsart mit kontinuierlicher Anforderung, bei der die Funktion den sicheren Zustand im Normalbetrieb aufrechterhält.
Die Betriebsart ist auch keine Eigenschaft der Anlage. Sie hängt an der einzelnen Sicherheitsfunktion, und dieselbe Anlage kann Funktionen verschiedener Betriebsart und verschiedenen SIL führen.

WO ES STEHT
SN EN 61511-1:2017 + A1:2017, Begriffsstelle 3.2.39 mit den Unterstellen 3.2.39.1 und 3.2.39.2. Die Zielwerte stehen in Tabelle 4 (PFD_avg) und Tabelle 5 (gefährliche Ausfälle je Stunde); die Zuordnung regeln die Abschnitte 9.2.3 und 9.2.4.

DIE FALLE
Die verbreitete Zuordnung «Tabelle 4 für niedrige, Tabelle 5 für hohe Anforderungsrate» ist zu eng. Tabelle 4 ist mit Anforderungsbetriebsart überschrieben, und die umfasst beide Anforderungsraten. Für eine Funktion in Anforderungsbetriebsart lässt die Norm die Festlegung nach Tabelle 4 oder Tabelle 5 zu; nur die kontinuierliche Anforderung ist auf Tabelle 5 festgelegt. Für die hohe Anforderungsrate hält die Norm ausserdem fest, dass die Kriterien der kontinuierlichen Betriebsart im Normalfall besser passen.
Wer die enge Zuordnung übernimmt, verschliesst sich einen Weg, den die Norm offenhält — und zwar den, der für die hohe Anforderungsrate der geeignetere ist.

PRAXISWISSEN UND DESSEN BELASTBARKEIT
Betriebsart der Funktion und Herkunft der Ausfallrate können auseinanderfallen. Wird ein Betriebsmittel neben der Schutzfunktion auch betrieblich geschaltet — bei Schützen der Regelfall —, akkumuliert es Schaltspiele, obwohl die Schutzfunktion selten angefordert wird. Verbreitet wird dann so gerechnet: weiterhin über die PFD, in die Formel aber die Ausfallrate des High-Demand-Betriebs eingesetzt.
Belastbarkeit: in der Branche verbreitet, nicht normbelegt — und umstritten. Wer sie anwendet, dokumentiert die Begründung.

Für eine ruhende Schutzfunktion mit niedriger Anforderungsrate: nein. Der B10d-Wert ist ein zyklenbasiertes Verschleissmass. Ein Schütz, das jahrelang nicht schaltet, akkumuliert keine Zyklen — es fällt über die Zeit aus, durch Kontaktkorrosion, Kaltverschweissen der ruhenden Kontaktflächen oder verharzten Schmierstoff. Ein Zyklenmass bildet einen Zeitmechanismus nicht ab.
Der praktikable Weg ist besser dokumentiert als sein Ruf. Für Feuerungsanlagen sieht die Norm benannte Fehlerausschlüsse für Schaltgeräte vor. Der Fehler «Nicht-Öffnen wegen dauerhafter Verschmelzung» darf ausgeschlossen werden, wenn das Gerät durch eine Überstromschutz- oder Strombegrenzungseinrichtung vor Kurzschlusswirkungen geschützt ist; bei deren Bemessung ist der vom Gerätehersteller angegebene Nennstrom der Überstromschutzeinrichtung mit dem Sicherheitsfaktor 0.6 zu multiplizieren. Der Ausschluss ist ebenso möglich, wenn der zu erwartende Kurzschlussstrom unter dem Nennstrom des Kontaktelements bleibt; bei Reihenschaltung zählt das Element mit der niedrigsten Überstromfestigkeit. Der mechanische Ausfall darf ausgeschlossen werden, wenn das Gerät nach mindestens 250’000 Schaltspielen unter betriebsähnlichen Bedingungen noch funktionsfähig ist und Schütze und Relais eine mechanische Lebensdauer von 3 · 10⁶ Schaltspielen aufweisen.

WO ES STEHT
DIN EN 50156-1 (VDE 0116-1):2016-03, Abschnitte 10.5.5.3.5 und 10.5.5.3.6; die Zuordnung der Fehlerausschlüsse zu den Integritätsstufen in Tabelle 2. Ergänzend SN EN 61508-2:2010, 7.4.2.13 zur Unterlastung von Hardwarebauteilen.

DIE FALLE
Erstens gelten beide Fehlerausschlüsse nicht für Reed-Kontakte und nicht für Anwendungen, die SIL 3 erfordern. Wer den Satz «Überdimensionierung erlaubt Fehlerausschluss» ohne diese beiden Grenzen weitergibt, gibt ihn falsch weiter.
Zweitens ist die Unterlastungsempfehlung der Grundnorm — typischer Unterlastungsgrad um zwei Drittel — etwas anderes als der Fehlerausschluss. Sie ist eine Auslegungsempfehlung und trägt für sich genommen keinen Ausschluss.

PRAXISWISSEN UND DESSEN BELASTBARKEIT
Der Begriff B10d kommt in keiner der hier zitierten Normen vor. Er stammt aus der Maschinensicherheit. Jede Bewertung von B10d-Werten im Rahmen der Prozess- oder Feuerungstechnik ist deshalb eine Übertragung, keine Anwendung des zitierten Regelwerks.
Belastbarkeit: physikalisch für den Mechanismus — ein Zyklenmass misst die falsche Achse; die Übertragung selbst ist Auslegung.

Der oft zitierte Zeitraum von 8 bis 12 Jahren ist ein Erfahrungswert, keine Grenze und keine Anforderung. Er steht in einer Anmerkung, die festhält, dass probabilistische Verfahren eine konstante Ausfallrate unterstellen und diese Annahme nach Ablauf der Gebrauchsdauer nicht mehr trägt; deshalb sollte jede probabilistische Abschätzung eine Festlegung der Gebrauchsdauer enthalten. Ein Wert ist nicht vorgegeben. Und ein abgelaufenes Zertifikat verpflichtet zu nichts: Es sagt etwas über den Prüfstand des Geräts aus, nicht über die zulässige Betriebsdauer im konkreten Einsatz.

WO ES STEHT
SN EN 61508-2:2010, Abschnitt 7.4.9.5, ANMERKUNG 3 — eine Anmerkung, also informativ und in der Sollform. Der Zusatz zur Verlängerung der Gebrauchsdauer ist eine nationale Fussnote der deutschsprachigen Fassung und steht im internationalen Text nicht; er nennt Massnahmen des Herstellers und des Betreibers. Zum Verhältnis der Zeitbegriffe: NAMUR NA 106:2018-09-06, Abschnitte 5.16 und 5.17.

DIE FALLE
«Gebrauchsdauer» ist nicht dasselbe wie «Mission Time». Das einschlägige Anwenderregelwerk hält ausdrücklich fest, dass beide unabhängig voneinander sind: Armaturen ohne erkennbare Abnutzung können die Spanne deutlich überschreiten, während elektronische Baugruppen bei erhöhter Temperatur schneller altern. Die Mission Time muss dabei stets kürzer sein als die Gebrauchsdauer.
Der englische Begriff kommt in den Grundnormen überhaupt nicht vor — geprüft über den vollständigen Text der Reihen 61508 und 61511. Er stammt aus Hersteller- und Anwenderunterlagen. Wer ihn verwendet, sagt besser dazu, welche der beiden Grössen er meint.

PRAXISWISSEN UND DESSEN BELASTBARKEIT
Die Festlegung der Gebrauchsdauer wird in der Praxis dem Betreiber zugeordnet: Herstellerangaben im Sicherheitshandbuch sind Randbedingung, nicht die Festlegung selbst, weil der Hersteller Einbausituation, Umgebungstemperatur und Instandhaltungsregime nicht kennt. Zwei Gesichtspunkte werden dabei angewendet, die im Normtext nicht stehen: dauerhaft klimatisierte Geräte erreichen regelmässig längere Zeiten, fortschreitende Miniaturisierung wirkt in die Gegenrichtung.
Belastbarkeit: physikalisch für den Alterungsmechanismus; für die Zuordnung und die beiden Gesichtspunkte: in der Branche verbreitet, nicht belegt. Die Norm sagt nur, dass eine Festlegung zu treffen ist — nicht, wer sie trifft. Die nationale Fussnote nennt Massnahmen beider Seiten.

Hier ist die Norm eindeutiger, als vielfach angenommen wird:
• Eine PLT-Betriebseinrichtung darf als Schutzebene angesetzt werden — die damit erreichbare Risikominderung darf jedoch höchstens 10 betragen.
• Mehr ist nur zulässig, wenn die Betriebseinrichtung selbst nach den Anforderungen der 61511-Reihe ausgeführt und gehandhabt wird.
• Soll sie der Reihe nicht entsprechen, gilt eine Mengenbegrenzung für dieselbe Ereignisabfolge: eine Betriebseinrichtung als Schutzebene, wenn sie zugleich Auslöser der Anforderung sein kann — höchstens zwei, wenn sie es nicht ist.
• In genau diesem Fall — und nur dann greift die Bestimmung — muss jede Schutzebene unabhängig und getrennt von der auslösenden Quelle und von jeder anderen Schutzebene sein. Die Norm zählt auf, worauf sich die Prüfung erstrecken sollte: Prozessoren, Ein- und Ausgabekarten, Relais, Feldgeräte, Anwendungsprogramm, Netzwerke, Programm-Datenbank, Engineering-Werkzeuge, Bedienoberfläche und Überbrückungen.

WO ES STEHT
SN EN 61511-1:2017 + A1:2017, Abschnitte 9.3.1 bis 9.3.5; zur Unabhängigkeit mehrerer Systeme und zu den Ausfällen gemeinsamer Ursache ergänzend 9.2.5 bis 9.2.7 und 9.4.

DIE FALLE
Ein mitlaufendes Reservesystem zählt nicht als unabhängig — es teilt Hauptplatine, Firmware, Diagnose, Übertragungssysteme und unentdeckte gefährliche Ausfälle mit dem Hauptsystem.
Und die Prüfung auf gemeinsame Ursache greift weiter, als man erwartet. Sie erfasst ausdrücklich den Fall, dass ein Sensorausfall die Regelung ausfallen lässt und damit die Anforderung auslöst, während in der Schutzfunktion ein Sensor desselben Typs arbeitet. Auch gleichzeitige Funktionsprüfungen diversitärer Systeme verschlechtern die erreichte Gesamt-Risikominderung.

Nein. Die Norm verlangt für Geräte, die als Teil einer PLT-Sicherheitseinrichtung mit festgelegtem SIL ausgewählt werden, die Übereinstimmung mit den Grundnormteilen für Hardware und Software und/oder mit den eigenen Anforderungen an die Auswahl auf Basis einer Betriebsbewährung. Beide Wege stehen offen, und beide dürfen kombiniert werden. Ein Zertifikat wird in keinem von ihnen verlangt — das Wort kommt im ganzen Normtext nicht als Anforderung vor.

WO ES STEHT
SN EN 61511-1:2017 + A1:2017, 11.5.2.1 für die Wahl der Wege, 11.5.2.2 für die Umgebungsbedingungen, 11.5.3 ff. für die Anforderungen an die Betriebsbewährung.

DIE FALLE
Wichtiger als das Zertifikat ist die Eignung unter den betrieblichen Umgebungsbedingungen. Die Norm verlangt ausdrücklich, sie stets mitzubetrachten, und weist darauf hin, dass Herstellerausfallraten nicht in jeder Anwendung gelten — ein häufig betätigtes Ventil verhält sich anders als ein über lange Zeiträume ungenutztes.

PRAXISWISSEN UND DESSEN BELASTBARKEIT
Daraus folgt der Satz, den erfahrene Fachleute regelmässig betonen: Ein Gerät hat keinen SIL. Den SIL trägt die Sicherheitsfunktion, das Gerät trägt eine Eignung. In der Praxis anerkannt sind dafür fünf Wege — Entwicklung nach der Grundnorm, frühere Verwendung, Fehlerausschluss, vollständige Diagnose und Baumusterprüfung.
Belastbarkeit: der Grundsatz folgt aus der Systematik der Norm; die Aufzählung der fünf Wege ist eine Zusammenstellung aus der Praxis und kein geschlossener Normkatalog.

Halb entfallen — und das ist der entscheidende Punkt. Im Standardweg der sektoralen Norm hat die Tabelle für die Mindest-Hardware-Fehlertoleranz nur noch zwei Eingangsgrössen: den SIL und die Betriebsart. Bei SIL 2 fällt die Anforderung je nach Betriebsart verschieden aus; der Anteil sicherer Ausfälle ist dort keine Eingangsgrösse mehr. Die Werte selbst stehen in der Norm; wir geben sie hier nicht wieder.
Aber: Die Norm stellt drei gleichrangige Wege zur Bestimmung der Fehlertoleranz nebeneinander — den eigenen Weg der sektoralen Norm oder die Route 1H oder die Route 2H der Grundnorm. Route 1H führt geradewegs in die Tabellen zurück, die vom Anteil sicherer Ausfälle abhängen. Die Grösse ist also aus dem Standardweg herausgenommen, nicht aus dem Regelwerk. Welcher der drei Wege gegangen wird, ist deshalb vor jeder Fehlertoleranz-Aussage zu klären.

WO ES STEHT
SN EN 61511-1:2017 + A1:2017, Abschnitt 11.4: 11.4.3 für die drei Wege, 11.4.5 mit Tabelle 6 für die Mindestwerte, 11.4.6 und 11.4.7 für die begründete Unterschreitung, 11.4.8 und 11.4.9 für zwei weitere Bedingungen desselben Weges — Mindest-Diagnosedeckungsgrad bei programmierbaren Geräten und Mindest-Vertrauensniveau der Zuverlässigkeitsdaten. Die beiden Routen nennt die Norm datiert nach IEC 61508-2:2010, 7.4.4.2 und 7.4.4.3; im Bestand liegt dieser Text als SN EN 61508-2:2010 vor.

DIE FALLE
Architekturanforderung und Rechenergebnis sind kumulativ. Ein rechnerisch erreichter Zielwert nützt nichts, wenn die Struktur die Fehlertoleranz nicht hergibt — massgeblich ist stets das schwächere der beiden Kriterien.
Erwähnenswert ist zugleich, dass die Norm eine begründete Unterschreitung der Mindest-Fehlertoleranz zulässt, wenn diese zu zusätzlichen Ausfällen und damit zu geringerer Gesamt-Prozesssicherheit führen würde. Die Erlaubnis ist an eine Bedingung geknüpft — es dürfen keine frei oder eingeschränkt programmierbaren Geräte verwendet werden —, und die Begründung ist nachzuweisen und zu dokumentieren.

Es gibt keinen festen Wert. Die Häufigkeit der Funktionsprüfungen ergibt sich aus der Zuverlässigkeitsrechnung für die konkret installierte Einrichtung; einzelne Teile können unterschiedliche Intervalle erfordern. Die Prüfung muss die gesamte Kette umfassen — Sensorik, Logik und Aktorik. Und die Häufigkeit ist in vom Betreiber festgelegten Zeitabständen neu zu bestimmen, unter Berücksichtigung zurückliegender Prüfergebnisse, Betriebserfahrung und Alterung.

WO ES STEHT
SN EN 61511-1:2017 + A1:2017, Abschnitt 16.3.1 mit den Unterstellen 16.3.1.1 bis 16.3.1.7; zur Sichtprüfung 16.3.2, zur Dokumentation 16.3.3.
Für Feuerungsanlagen: DIN EN 50156-1 (VDE 0116-1):2016-03, Abschnitt 10.7.4 für den maximalen Zeitabstand, Tabelle 1 für die Feldgeräte und Anhang A für die logische Einheit.

DIE FALLE
Für Feuerungsanlagen gilt ein anderes Regime, und die verbreitete Kurzform «dort ist ein Jahr vorgeschrieben» trifft nicht zu. Der maximale Zeitabstand hängt dort vom erforderlichen SIL, von der Konfiguration der Sensoren und Aktoren, von der Konfiguration der logischen Einheit und vom Diagnosedeckungsgrad ab. Ein Jahr ist der längste in den Tabellen vorgesehene Wert und setzt einen entsprechenden Diagnosedeckungsgrad voraus — welchen, hängt von SIL und Konfiguration ab. Ohne Diagnose sind die zulässigen Abstände deutlich kürzer.
Eine pauschale Jahresfrist steht dort nicht. Wer sie zitiert, hat eine Zeile der Tabelle für die ganze Tabelle genommen.
Das ist zugleich der Grund, warum dieses Regelwerk auch dann hilft, wenn Ausfallratendaten fehlen — siehe Frage 8.

Auf die Berücksichtigung in der PFD-Rechnung darf verzichtet werden bei Komponenten, die ein ähnliches Ausfallverhalten wie Sicherheitsventile zeigen; die Richtlinie verweist dafür auf ihren Anhang, der vor jeder Anwendung des Verzichts zu lesen ist. Wo die Ausfallrate nicht vernachlässigbar ist — genannt werden Relais, Magnetventile und der Fall, dass Antrieb und Ventil weitere elektrische Komponenten enthalten —, stehen zwei Methoden zur Verfügung: Praxiswerte der Anwender aus Branchendatenbanken oder Daten der Gerätehersteller. Die Richtlinie bestimmt, dass die Anwenderwerte vorzuziehen sind.
Fehlen Kenndaten vollständig, ist die Lage im Feuerungsbereich weniger aussichtslos als angenommen. Dort existiert eine tabellarische SIL-Zuordnung ohne Ausfallratendaten. Sie arbeitet mit SIL, Konfiguration, Betriebsintervall zwischen zwei Funktionsprüfungen und Diagnosedeckungsgrad und gilt ausdrücklich für den Fall, dass Teilsysteme oder Geräte verwendet werden, die auf Produktnormen ohne Zuverlässigkeitsdaten nach EN 61508 beruhen oder lediglich auf einer Fehlerbewertung.

WO ES STEHT
VDI/VDE 2180 Blatt 4, Ausgabe Januar 2021, Abschnitt 8 mit Vorspann und Abschnitt 8.1; die Bedingung trägt der Anhang. Für die Zuordnung ohne Kenndaten: DIN EN 50156-1 (VDE 0116-1):2016-03, Tabelle 1 samt Fussnoten (normativer Teil) und Anhang A mit den Tabellen A.1 ff. (informativ).

DIE FALLE
Die Kurzform «Mechanik muss man nicht rechnen» lässt beides weg: die Bedingung und die Rangfolge. Der Grund für die Rangfolge steht unmittelbar dabei — Ausfallraten aus Anwenderdatenbanken enthalten die mechanischen und pneumatischen Bauteile bereits. Wer solche Werte verwendet und die Mechanik zusätzlich ansetzt, rechnet sie doppelt.
Und die tabellarische Zuordnung ist kein Freibrief. Sie erkauft den Verzicht auf Kenndaten mit einer engen Bindung an das Prüfintervall — und für SIL 3 gilt sie nur unter der Bedingung, dass eine numerische Fehleranalyse zum Nachweis der Zuverlässigkeit durchgeführt wurde; sonst ist ein hoher Diagnosedeckungsgrad erforderlich. «Ohne Rechnung» trifft dort also nicht zu.
Zu beachten ist ausserdem, dass nur Tabelle 1 im normativen Teil steht. Anhang A ist informativ.

Die Antwort ist ehrlich unbefriedigend: Aus den Normen der funktionalen Sicherheit lässt sich diese Frage nicht beantworten. Der Begriff kommt in keiner der hier zitierten Normen vor — geprüft über den vollständigen Text. Es ist eine Rechtsfrage, und sie hängt am Verwendungsrecht des Anlagenstandorts, nicht am Normwerk.
Schweiz. Anzusetzen ist bei der Arbeitgeberpflicht des Unfallversicherungsgesetzes und ihrer Ausführung in der Verordnung über die Unfallverhütung, für störfallrelevante Anlagen bei der Störfallverordnung und für Druckgeräte bei der Druckgeräteverwendungsverordnung. Die EKAS-Richtlinie Nr. 6516 «Druckgeräte» führt in Ziffer 7.6 die Inspektion funktionaler Sicherheitssysteme als eigenen Gegenstand und erfasst dort MSR-Systeme und Systeme für den Betrieb ohne ständige Beaufsichtigung; Ziffer 10 ordnet Instandsetzungen und den Ersatz wesentlicher Teile zu. Was eine wesentliche Änderung ist und was sie auslöst, entscheidet sich dort — nicht in der Norm.
Deutschland. Dort liegt der Anker in der Betriebssicherheitsverordnung und den Technischen Regeln für Betriebssicherheit, für störfallrelevante Anlagen in der Störfall-Verordnung.

PRAXISWISSEN UND DESSEN BELASTBARKEIT
In Fachkreisen wird überwiegend vertreten, es gebe keinen Anspruch auf Bestandsschutz im Sinne eines Bestandsrechts; daraus folge aber keine automatische Nachrüstpflicht, weil das Ergebnis der Gefährdungsbeurteilung massgeblich sei. Ergibt diese, dass die Anlage nach heutigem Kenntnisstand weiterhin sicher ist, besteht in der Regel kein Nachrüstbedarf — nicht wegen eines Bestandsschutzes, sondern weil die Sache sicher ist.
Belastbarkeit: verbreitete Auffassung im deutschen Rechtskreis, an der dortigen Gefährdungsbeurteilung entwickelt. Sie lässt sich nicht ohne Prüfung auf die Schweiz übertragen. Für eine belastbare Antwort im Einzelfall sind die Erlasse des Anlagenstandorts und die Richtlinien der zuständigen Vollzugsstelle heranzuziehen.

Die Zuordnung folgt der Anwendung, nicht dem Bauteil: Prozesssicherheit führt in die 61511-Reihe und die zugehörige Richtlinienreihe, Maschinensicherheit in die 13849- und 62061-Schiene. In der Praxis überlagern sich beide regelmässig — eine Feuerungsanlage ist thermische Prozessanlage und fällt zugleich unter das Maschinenrecht, und in einer Anlage können Druckgeräte-, Maschinen- und Niederspannungsregime nebeneinander bestehen, jedes mit eigenem Anwendungsbereich und eigener Normenliste.

WO ES STEHT
Für die Durchlässigkeit der Grenze: SN EN 61511-1:2017 + A1:2017, 11.4.4 — die Anmerkung verweist für Näheres zum Fehlerausschluss datiert auf ISO 13849-1:2006 und ISO 13849-2:2012. Die Normen der Maschinensicherheit selbst sind hier nicht ausgewertet; die inzwischen erschienenen neueren Ausgaben ändern an dem datierten Verweis nichts.

DIE FALLE
Werden drei und mehr Regime berührt, genügt es nicht, zwei zu vergleichen und das dritte als «ergänzend» zu behandeln — genau in dieser Abkürzung sitzt der Widerspruch.
Und die Grenze ist durchlässiger, als die saubere Zuordnung vermuten lässt: Die Prozessnorm verweist für den Fehlerausschluss ihrerseits auf die Maschinensicherheitsreihe. Wer dort nachschlägt, achte auf das Ausgabejahr — der Verweis ist datiert und zeigt auf ältere Ausgaben.

PRAXISWISSEN UND DESSEN BELASTBARKEIT
Zum NOT-HALT wird übereinstimmend vertreten, er sei keine Schutzeinrichtung im Sinne der funktionalen Sicherheit, sondern eine schadensbegrenzende Einrichtung, weil der Mensch als auslösendes Element in die Betrachtung einginge. Eine SIL-Einstufung sei deshalb nicht sinnvoll.
Belastbarkeit: verbreitete Auffassung, nicht normbelegt. Sie entbindet nicht von den Anforderungen, die das Maschinenrecht an den NOT-HALT selbst stellt.