Norm zur Funktionalen Sicherheit Das Leben vor der IEC/EN 61508

Am 10. Juli 1976 kam es nördlich von Mailand zu einem Chemieunfall, der als Sevesounglück in die Geschichte einging. Aufgrund einer unkontrollierten Reaktion kam es zu einer Überhitzung in der Anlage. Automatische Kühlsysteme und Warnanlagen waren nicht vorhanden.

Über ein Sicherheitsventil trat hochgiftiges Dioxin aus, mit katastrophalen Folgen für Menschen, Tierwelt und Natur: 1800 Hektar Land in den umliegenden Gemeinden wurden auf Jahre hinaus vergiftet. In den folgenden Tagen wurden mehr als 3000 Tierkadaver gefunden, rund 200 Menschen erkrankten an schwerer Chlorakne.

Als Folge dieses Unfalls wurde die Verschärfung der Gesetze und Verordnungen zum Schutze von Menschen, Anlagen und Umwelt beschlossen, die letztlich in die IEC/EN 61508 mündeten.

Was ist die IEC/EN 61508?

Die IEC/EN 61508 ist eine siebenteilige Normenreihe, die den Rahmen zur Erstellung von Normen im Bereich funktionale Sicherheit vorgibt. Ausgehend von der IEC/EN 61508 sind mit dieser Reihe weitere Normen verfügbar, die das Thema auf konkrete Anwendungsbereiche, Themenfelder und Produkte einschränken. Tatsächlich wurden aus diesem Werk Sektornormen wie die IEC/EN 61511 (Prozessindustrie), IEC 62061 (Maschinenbau) oder ISO 26262 (Automotive), aber auch konkrete Produktnormen wie die VDMA 4315 für die Sicherheit von Turbomaschinen entwickelt.

Die Normenreihe trifft Festlegungen für den gesamten Lebenszyklus von Anlagen und Geräten. Die darin enthaltene probabilistische Methodik analysiert zusätzlich die Situationen beim Betrieb einer industriellen Anlage und bewertet daraus resultierende Risiken.

Aus dieser Analyse ergibt sich eine Definition der Risikoreduzierung, die erforderlich sind, um Risiken in der betreffenden Anlage auf ein akzeptables Restrisiko zu reduzieren. Die IEC/EN61508 löst alle früheren Sicherheitsnormen wie die DIN/VDE 19250, DIN/VDE 19251 und DIN/VDE 801 ab.

Bereits in den 60er Jahren gab es Bestrebungen, die Anlagensicherheit zu verbessern. So fordert die VDI / VDE - Richtlinie 2180 „Anlagensicherung mit Mitteln der MSR-Technik“ die Festlegung von Verantwortlichkeiten und Grenzwerten sowie Funktionsprüfungen zur Fehlererkennung und eine Unterscheidung in Fehlerarten.

Start in die funktionale Sicherheit

Vor rund 50 Jahren begann dann die Entwicklung von sicherheitsrelevanten Geräten bei Pepperl+Fuchs. Auslöser dafür war die Nachfrage nach einer sicheren Abschaltung der Hauptbrennstoffzufuhr von Feuerungsanlagen. Dazu wurde 1973 der erste Sicherheitsschaltverstärker entwickelt, bald darauf auch ein Näherungsschalter ebenfalls für Sicherheitsanwendungen.

Das dynamische Übertragungsprinzip des Schaltsignals der damaligen Schaltverstärker bilden bis heute die Grundlage für sicherheitstechnische Geräte für SIL-3-Applikationen. Die Sensoren wurden aus Standardsensorenen entwickelt, die so erweitert wurden, dass Fehler detektiert und ein entsprechendes Signal für andere Anwendungen zur Verfügung gestellt werden konnte.

Normen die in diesem Zusammenhang eine Rolle spielten waren beispielsweise die DIN 4788 („Gasbrenner; Gasbrenner ohne Gebläse“) oder die VDE 0116 („Elektrische Ausrüstung von Feuerungsanlagen und zugehörige Einrichtungen“).

Seveso beschleunigt die Entwicklung

Unter dem Eindruck der Katastrophe von Seveso nahm das Thema funktionale Sicherheit weiter an Fahrt auf und entwickelte sich in die Breite. 1980 wurde die Störfall-Verordnung (12. BImSchV) erlassen, sie dient der Verhinderung von Störfällen und der Begrenzung von Störfallauswirkungen. Die damit verbundenen Dokumentationspflichten der Betreiber führen weiterer Systematisierung im Bereich von MSR-Einrichtungen.

In der 1986 erschienenen zweiten Auflage der VDI / VDE 2180 (2. Auflage) werden die Schutzziele für Personen konkretisiert sowie eine Klassifizierung in Betriebs- und Sicherungseinrichtungen eingeführt. 1989 erschien die DIN V 19250:1989-01 („Messen, Steuern, Regeln; Grundlegende Sicherheitsbetrachtungen für MSR-Schutzeinrichtungen“).

Dieser Standard ist zwar nie über das Stadium einer Vornorm hinaus gekommen, hatte aber für die weitere Entwicklung der funktionalen Sicherheit grundlegende Bedeutung. Erstmals ist hier die qualitative Beschreibung des Risikos mittels Risikograf genannt. Die acht Anforderungsklassen mündeten später in die vier SIL-Level mit einer Klassifizierung des Schadensausmaßes.

• SIL1, AK 2 & 3: Kleine Schäden an Anlagen und Eigentum

• SIL2, AK 4: Große Schäden an Anlagen, Personenverletzung

• SIL3, AK 5 & 6: Verletzung von Personen, einige Tote

• SIL4, AK 7: Katastrophen, viele Tote und gravierende Umweltverschmutzung

Der Stellenwert dieser Vornorm spiegelte sich bei Pepperl+Fuchs in entsprechenden Entwicklungsaktivitäten wider: Für alle Normen der 19250er Serie wurden Produkte entwickelt und zertifiziert - was auch auf große Resonanz stieß: Zwar waren durchaus normgerechte Sicherheitslösungen verfügbar, aber nur selten waren sie für Anwendungen im Ex-Bereich geeignet.

Die neue Normenwelt: IEC/EN 61508

Um die Jahrtausendwende kommt es zum Paradigmenwechsel: Die IEC/EN 61508 (für Hersteller, 2002) - IEC 61511 (für Anwender, 2005) werden zu weltweiten Standards und lösen nationalen Normen ab: DIN V 19250, 251, 0810…Die Orientierung an Sicherheitslebenszyklen tritt in den Vordergrund, die Anforderungsklassen der DIN V 19250 werden durch Safety Integrity Levels, SIL abgelöst.

Für Hersteller bedeutete der Schritt zur IEC/EN 61508 einen Neustart in vielerlei Hinsicht: War die funktionale Sicherheit bis dahin vor allem im europäischen Raum normativ beschrieben, wurde das Thema auf einmal global interessant. Als die Norm kam, gab es naturgemäß zunächst keine entsprechend zertifizierten Produkte.

Üblicherweise wurden ausgewählte und geeignete Bestandsprodukte einer normativen Bewertung unterzogen und die Sicherheitskennzahlen ermittelt. Da es bei Bestandsprodukte in der Regel eine Rückläuferstatistik gibt, konnte diese zur Validierung der berechneten Sicherheitskennzahlen verwendet werden.

Heute, rund 20 Jahre später, ist die IEC/EN 61508 weltweit etabliert, seit 2010 liegt die Edition 2 vor. Produkte werden in der Regel nicht mehr über Proven-in-use qualifiziert, sondern in allen Aspekten der IEC/EN 61508 entwickelt und zertifiziert. Die Zertifizierungen berücksichtigen, dass nach Vorgabe der Norm entwickelt worden ist, um systematische Fehler auszuschließen und Anwendungen ausrüsten zu können, für die keine Erfahrungswerte vorliegen.

Resümee

Bis die wechselvolle Geschichte von Standards funktionaler Sicherheit in den globalen Standard der IEC/EN 61508 mündete, waren bereits einige Jahrzehnte vergangen. Pepperl+Fuchs ist diesen Weg von Anfang mitgegangen, nicht zuletzt, auch um Katastrophen wie die von Seveso zu verhindern.

Heute stehen rund 750 Safety-Geräte für die unterschiedlichsten Anwendungen zur Verfügung, mehr als 300 davon allein für den Bereich Interfacetechnik, inklusive SIL-3-Trennbarrieren für alle Signalarten. In der Regel werden Produkte auf freiwilliger Basis extern zertifiziert anstatt Self-Assessments zurückzugreifen. Doch die Geschichte hat auch gezeigt, dass ein leistungsfähiges Portfolio allein nicht ausreicht.

So verfügt Pepperl+Fuchs seit vielen Jahren über ein Functional-Safety-Management-Zertifikat und gewährleistet so auch organisatorisch optimale Rahmenbedingungen bei der Produktentwicklung. Mit der Einführung der IEC/EN 61508 wurde zudem ein breit angelegtes Trainingsprogramm für Kunden ins Leben gerufen, das bis heute besteht und ausgebaut wird.