Einführung in IEC 62061

IEC 62061:2021 mit dem Titel „Sicherheit von Maschinen – Funktionale Sicherheit von sicherheitsrelevanten Steuerungssystemen ist die internationale Norm, die Anforderungen spezifiziert und Leitlinien für die Konstruktion, Integration und Validierung von sicherheitsrelevanten Steuerungssystemen (SRCS) für Maschinen bietet. Es ist die maschinenspezifische Anwendung der allgemeinen funktionalen Sicherheitsnorm IEC 61508. Die von der Internationalen Elektrotechnischen Kommission veröffentlichte IEC 62061 deckt den gesamten Lebenszyklus von Sicherheitssteuerungssystemen ab - von der Konzept- und Gefahrenanalyse über die Konstruktion, Verifizierung und Wartung. Diese Norm ist für Hersteller, Systemintegratoren, Sicherheitsingenieure und alle, die daran beteiligt sind, sicherzustellen, dass die Maschine sicher arbeitet und die gesetzlichen Rahmenbedingungen wie die europäische Maschinenrichtlinie und die OSHA-Anforderungen in den Vereinigten Staaten erfüllt.

Die Norm adressiert die wachsende Komplexität moderner Maschinen, bei denen elektronische, programmierbare und elektromechanische Komponenten zunehmend traditionelle fest verdrahtete Sicherheitsschaltungen ersetzen. IEC 62061 bietet einen systematischen, risikobasierten Ansatz zur Erreichung der erforderlichen Sicherheitsintegrität für jede Sicherheitsfunktion. Durch die Übernahme dieser Norm können Unternehmen Unfallrisiken reduzieren, Arbeitnehmer schützen, kostspielige Ausfallzeiten vermeiden und eine Sorgfaltspflicht im Sicherheitsmanagement nachweisen.

Was ist IEC 62061?

IEC 62061 ist Teil der internationalen Normenreihe IEC 60000 für Elektrotechnik, die sich speziell auf die sicherheitsrelevanten Teile von Maschinensteuerungssystemen (SRCS) konzentriert, einen Rahmen für die Ermittlung von Gefahren, die Bewertung von Risiken und die Spezifizierung von Sicherheitsfunktionen mit zugeordneten Sicherheitsintegritätsstufen (SIL) definiert und im Gegensatz zu allgemeinen Sicherheitsnormen auf die einzigartigen Eigenschaften von Maschinen zugeschnitten ist, einschließlich mechanischer Gefahren, elektrischer Gefahren und Mensch-Maschine-Interaktion.

Kernprinzip der IEC 62061 ist die funktionale Sicherheit: Der Teil der Gesamtsicherheit eines Systems, der von der korrekten Funktion des sicherheitsrelevanten Steuerungssystems abhängt. Dies umfasst alles von Sensoren und Logiklösern bis hin zu Aktoren und Kommunikationsnetzen. Die Norm deckt sowohl Hardware- als auch Softwareaspekte ab, einschließlich systematischer Ausfälle, zufälliger Hardwareausfälle und Fehler mit gemeinsamer Ursache. Sie bietet eine klare Methodik zur Bestimmung des erforderlichen SIL - ein Indikator für die Wahrscheinlichkeit, dass eine Sicherheitsfunktion bei Bedarf zufriedenstellend ausgeführt wird.

IEC 62061 ist eng mit ISO 13849-1 verbunden, einer anderen Maschinensicherheitsnorm, die Leistungsstufen (PL) anstelle von SIL verwendet. Tatsächlich werden die beiden Normen jetzt durch die gemeinsame Arbeitsgruppe IEC und ISO harmonisiert.

Schlüsselkomponenten von IEC 62061

Um IEC 62061 effektiv anzuwenden, müssen Fachleute die wesentlichen Bausteine verstehen, die das Rückgrat des systematischen Sicherheitsansatzes der Norm bilden.

Risikobewertung und Gefahrenidentifizierung

Die Norm schreibt als ersten Schritt eine gründliche Risikobewertung vor. Hierzu müssen alle vernünftigerweise vorhersehbaren Gefahren im Zusammenhang mit der Maschine ermittelt werden (mechanische, elektrische, thermische, lärmbedingte, ergonomische und andere). Bei der Risikobewertung muss der gesamte Lebenszyklus der Maschine einschließlich Installation, Betrieb, Wartung, Reinigung und Stilllegung berücksichtigt werden. Für jedes gefährliche Ereignis wird das damit verbundene Risiko auf der Grundlage der Schwere des Schadens, der Häufigkeit und Dauer der Exposition, der Wahrscheinlichkeit des Auftretens des gefährlichen Ereignisses und der Möglichkeit der Vermeidung oder Begrenzung des Schadens bewertet. Das Ergebnis ist ein Risikominderungsziel, das die Zuordnung von SIL bestimmt.

Sicherheitsfunktionen und Spezifikationen

Nach der Risikobewertung werden die Sicherheitsfunktionen ermittelt, die erforderlich sind, um die Risiken auf ein akzeptables Niveau zu reduzieren. Jede Sicherheitsfunktion ist eine spezifische Kontrollmaßnahme, z. B. "Stoppen des Motors bei Unterbrechung des Lichtvorhangs" oder "Startsperre bei geöffneter Schutzeinrichtung". Die Norm verlangt eine genaue Spezifikation jeder Sicherheitsfunktion, einschließlich ihres Verhaltens unter normalen Bedingungen und Fehlerbedingungen. Die Spezifikation muss die erforderliche SIL, die Reaktionszeit und alle anderen Leistungsmerkmale wie Toleranz gegenüber Umgebungsbedingungen oder elektromagnetischen Störungen definieren.

Sicherheitsintegritätsstufen (SIL)

SIL ist eine diskrete Ebene (1 bis 3 für Maschinenanwendungen, wobei SIL 3 die höchste ist), die den Grad der von der Sicherheitsfunktion geforderten Risikominderung angibt. Je höher das SIL ist, desto geringer ist die Wahrscheinlichkeit eines gefährlichen Ausfalls. IEC 62061 bietet einen detaillierten Prozess zur Bestimmung des erforderlichen SIL mit Hilfe eines Risikographen oder quantitativer Methoden. Außerdem definiert sie, wie das sicherheitsrelevante Kontrollsystem unter Berücksichtigung von Aspekten wie Hardwarefehlertoleranz (HFT), Diagnoseabdeckung (DC), Fehlerquote (CCF) und systematische Sicherheitsintegrität zu gestalten ist.

Design und Umsetzung

Die Norm deckt den gesamten Lebenszyklus des SRCS ab, von der Systemarchitektur und Hardwareauswahl bis hin zur Softwareentwicklung. Sie verlangt, dass das Design auf dem Konzept von Subsystemen basiert: Jede Sicherheitsfunktion wird durch eine Kette von Subsystemen (z. B. Sensor-Subsystem, Logik-Subsystem, Aktor-Subsystem) realisiert. Für jedes Subsystem muss der Konstrukteur die Wahrscheinlichkeit eines gefährlichen Ausfalls pro Stunde (PFHd) berechnen und sicherstellen, dass die zulässige Grenze für das zugewiesene SIL nicht überschritten wird. Die Norm befasst sich auch mit systematischer Integrität durch den Einsatz bewährter Komponenten, strukturierter Entwicklungsprozesse und Vermeidung von gängigen Fehlermodi.

Validierung und Überprüfung

Bevor ein sicherheitsrelevantes Kontrollsystem in Betrieb genommen werden kann, muss es überprüft und validiert werden. Die Überprüfung bestätigt, dass das Design den Spezifikationen entspricht (z. B. Softwareprüfung, Hardwarefehlereinspritzung). Die Validierung bestätigt, dass das gesamte Maschinensystem, einschließlich des SRCS, die erforderliche Risikominderung erreicht.

Dokumentation und Change Management

Die vollständige Dokumentation ist ein obligatorischer Bestandteil von IEC 62061, einschließlich der Risikobewertungsprotokolle, der Spezifikationen für Sicherheitsfunktionen, der Entwurfsarchitekturen, der SIL-Berechnungen, der Prüfpläne, der Prüfergebnisse und der Wartungsverfahren. Jede Änderung der Maschine oder ihres Kontrollsystems, die die Sicherheit beeinträchtigen könnte, muss einem Änderungsmanagementprozess unterzogen werden, der die Risikobewertung aktualisiert und die Validierung überprüft. Dieser Lebenszyklusansatz gewährleistet, dass die Sicherheit über die gesamte Lebensdauer der Maschine gewährleistet ist.

Warum ist IEC 62061 wichtig?

Die Einhaltung von IEC 62061 bietet Unternehmen erhebliche Vorteile, die über die reine Einhaltung hinausgehen.

Sicherheit und Unfallminderung der Arbeitnehmer

Das Hauptziel der Norm ist es, Menschen – Betreiber, Wartungstechniker und Umstehende – vor Schäden zu schützen. Durch die systematische Reduzierung von Risiken können Unternehmen schwere Verletzungen und Todesfälle verhindern. Maschinenunfälle resultieren oft aus Fehlern im Kontrollsystem, wie unerwartetem Starten, Nichtanhalten oder Verlust von Sicherheitsfunktionen. IEC 62061 adressiert diese Fehlerarten direkt und macht die Ausrüstung sicherer.

Rechtliche und regulatorische Compliance

In vielen Regionen müssen Maschinen die Standards für funktionale Sicherheit erfüllen. In der Europäischen Union wird bei Anwendung von Normen wie IEC 62061 von der Konformität ausgegangen. In anderen Ländern, wie Australien, China und Japan, wird die Norm häufig in nationalen Vorschriften erwähnt. Compliance unterstützt auch die Rechtsverteidigung bei Unfällen, was zeigt, dass der Hersteller modernste Sicherheitspraktiken befolgt hat.

Marktakzeptanz und Kostenreduzierung

Die Kunden verlangen zunehmend nach sicherheitszertifizierten Geräten. Die Einhaltung der IEC 62061 kann insbesondere in Bereichen wie Automobil, Verpackung, Lebensmittelverarbeitung und Materialumschlag ein Wettbewerbsvorteil sein. Darüber hinaus reduziert ein robustes Sicherheitsdesign unerwartete Ausfallzeiten, die durch Sicherheitsausfälle oder -ausfälle verursacht werden, senkt auch die Haftpflichtversicherungskosten und minimiert das Risiko von Produktrückrufen oder -strafen.

Verbesserte Sicherheitskultur

Die Umsetzung der Norm erfordert einen strukturierten Ansatz, der eine Sicherheitsvorstellung in allen Engineering-, Produktions- und Managementteams fördert. Sie fördert Transparenz, strenge Dokumentation und kontinuierliche Verbesserung. Im Laufe der Zeit erhöht dies die Sicherheitsleistung des Unternehmens insgesamt, was allen Beteiligten zugute kommt.

IEC 62061 in der Praxis umsetzen

Um den Standard effektiv einzusetzen, ist ein mehrphasiger Prozess erforderlich.

Schritt 1: Kompetenz und Training aufbauen

Zunächst soll sichergestellt werden, dass das Personal, das mit sicherheitsrelevanten Arbeiten befasst ist, über die erforderlichen Kenntnisse verfügt. Dazu gehören das Verständnis von funktionalen Sicherheitskonzepten, die Norm IEC 62061 und deren Wechselwirkung mit anderen Normen. Viele Institutionen bieten zertifizierte Schulungsprogramme an (z. B. TÜV Rheinland Functional Safety Engineer).

Schritt 2: Durchführung einer gründlichen Risikobewertung

Systematische Methode wie das im Standard vorgesehene Risikodiagramm oder ein quantitativer Ansatz wie LOPA (Layer of Protection Analysis) verwenden; funktionsübergreifendes Team mit Bedienern, Sicherheitstechnikern und Wartungspersonal einbeziehen; jede Gefahr, ihr Anfangsrisiko und die erforderliche Risikominderung dokumentieren; die Risikobewertung muss auf dem neuesten Stand gehalten und bei jeder Änderung überprüft werden.

Schritt 3: Sicherheitsfunktionen angeben und SIL bestimmen

Für jede Gefährdung eine oder mehrere Sicherheitsfunktionen definieren, die das Risiko auf ein akzeptables Maß reduzieren. Unter Verwendung des Risikographen oder des SIL-Bestimmungsprozesses der Norm die erforderliche SIL zuweisen. Die Spezifikation der Sicherheitsfunktionsanforderungen (SFRS) dokumentieren. Diese Spezifikation dient als Grundlage für die Konstruktion und Verifizierung.

Schritt 4: Entwerfen Sie das sicherheitsrelevante Kontrollsystem

Die Architektur, die aus Sensor-, Logik- und Aktor-Subsystemen besteht, wird entworfen, Komponenten mit geeigneten Zuverlässigkeitsdaten ausgewählt (Ausfallraten, Diagnoseabdeckung, Fehlerhäufigkeitsparameter), das Design muss dem berechneten PFHd-Ziel entsprechen. Bei höheren SILs (SIL 2 und 3) ist häufig Hardwarefehlertoleranz (HFT) erforderlich (z. B. Redundanz). Achten Sie auf systematische Integrität: Verwenden Sie klar definierte Entwicklungsprozesse, vermeiden Sie gefährliche Fehlermodi und stellen Sie sicher, dass die Software auf dem erforderlichen Integritätsniveau aufgebaut ist (z. B. durch strukturierte Programmierung, Code-Reviews und Tests).

Schritt 5: Überprüfen Sie das Design

Durchführung von Überprüfungstätigkeiten, um zu überprüfen, ob das Design den SFRS-Anforderungen entspricht; dies kann Berechnungen, Simulationen, Fehlereinspritzungstests und Inspektionen umfassen; Dokumentation aller Überprüfungsergebnisse; werden Abweichungen festgestellt, iterieren Sie das Design.

Schritt 6: Validierung des Gesamtsystems

Nach der Integration in die Maschine ist zu validieren, dass die Sicherheitsfunktionen unter allen vorhersehbaren Bedingungen (normale, anormale, Fehlerbedingungen) korrekt funktionieren; dies umfasst in der Regel Funktionstests, die Messung der Reaktionszeiten und die Prüfung der Fehlerreaktionen; die Validierung muss bestätigen, dass die tatsächliche Risikominderung der geforderten Verringerung der Risikobeurteilung entspricht oder diese übersteigt.

Schritt 7: Pflegen und Überwachen

Verfahren für regelmäßige Tests (Proof-Tests) von Sicherheitsfunktionen implementieren; das System auf gefährliche Ausfälle überwachen und Korrekturmaßnahmen ergreifen; bei jeder Änderung (z. B. Änderungen am Kontrollsystem, neue Gefahren, veraltete Komponenten) den in der Norm festgelegten Änderungsmanagementprozess befolgen; Dokumentation fortlaufend aktualisieren und bei Bedarf erneut validieren.

Verhältnis zu anderen Sicherheitsnormen

IEC 62061 existiert nicht isoliert, sondern ist Teil eines breiteren Ökosystems von Maschinensicherheitsstandards.

IEC 62061 und ISO 13849-1

Die beiden wichtigsten Normen für sicherheitsrelevante Steuerungssysteme von Maschinen sind IEC 62061 (elektrisch/elektronisch/programmierbar elektronisch) und ISO 13849-1 (alle Technologien einschließlich hydraulischer, pneumatischer und mechanischer Art). 2015 gaben IEC und ISO ein gemeinsames Dokument mit der Bezeichnung FLT:0 heraus, in dem erläutert wird, wie beide Normen zusammen verwendet werden können. Für elektrische Steuerungssysteme kann jede Norm verwendet werden, aber die Wahl hängt oft von den regionalen Präferenzen und der Komplexität des Systems ab. Beide Normen stimmen nun ihre Sicherheitsintegritätsstufen ab: SIL 1 entspricht PL c, SIL 2 bis PL d und SIL 3 bis PL e. Die detaillierte Methodik unterscheidet sich jedoch, so dass Designer mit beiden vertraut sein müssen.

IEC 62061 und IEC 61508

IEC 61508 ist die übergeordnete funktionale Sicherheitsnorm für alle Branchen. IEC 62061 leitet sich von IEC 61508 ab, ist aber auf Maschinen zugeschnitten. Während IEC 61508 SIL 1-4 verwendet und sehr detailliert ist, vereinfacht IEC 62061 einige Aspekte (z. B. SIL 4 wird nicht berücksichtigt, weil es in typischen Maschinen selten erreichbar ist).

Sonstige einschlägige Normen

Zusätzliche Normen, die mit IEC 62061 interagieren, sind IEC 60204-1 (elektrische Ausrüstung von Maschinen), ISO 12100 (Prinzipien der Risikobewertung) und ISO 13850 (Notbremsfunktion). Für Software bietet IEC 61508-3 Leitlinien, aber IEC 62061 enthält eigene Softwareanforderungen, die speziell für Maschinen gelten.

Herausforderungen und häufige Fallstricke

Die Implementierung von IEC 62061 ist nicht ohne Herausforderungen. Diese frühzeitig zu erkennen, kann Zeit sparen und Ergebnisse verbessern.

  • Unzureichende Risikobewertung: Viele Unternehmen eilen durch die Gefahrenidentifizierung, was zu verpassten Sicherheitsfunktionen und falschen SIL-Zuordnungen führt.
  • Mangel an zuverlässigen Daten: SIL-Berechnungen erfordern genaue Fehlerratedaten für Komponenten, die möglicherweise nicht für alle Geräte verfügbar sind. Generische Daten müssen vorsichtig verwendet und Annahmen müssen dokumentiert werden.
  • Komplexität der Softwaresicherheit: Programmierbare elektronische Systeme führen zu systematischen Fehlerrisiken, die schwerer vorherzusagen sind. Strenge Softwareentwicklungspraktiken und systematische Designtechniken (wie defensive Programmierung) sind unerlässlich.
  • Undokumentierte Änderungen: Feldänderungen an Maschinen ohne Aktualisierung der Sicherheitsdokumentation sind eine häufige Quelle von Nichteinhaltung und erhöhtem Risiko.
  • Unzureichende Schulung: Ohne geschultes Personal kann der Standard nicht korrekt angewendet werden. Die Investition in zertifizierte Schulungen zur funktionalen Sicherheit ist entscheidend.

Die dritte Ausgabe der IEC 62061, die 2021 veröffentlicht wurde, brachte bedeutende Änderungen mit sich, darunter eine bessere Angleichung an ISO 13849-1, aktualisierte Anforderungen für Softwaresicherheit und neue Anhänge zur Cybersicherheit und Werkzeugqualifizierung. Da Maschinen immer vernetzter und autonomer werden, wird erwartet, dass sich die Norm weiterentwickelt, um aufkommenden Risiken wie Cybersicherheitsbedrohungen für Sicherheitsfunktionen, künstliche Intelligenz in Steuerungssystemen und kollaborative Roboter (Cobots) zu begegnen.

Die Hersteller sollten über Überarbeitungen auf dem Laufenden bleiben und proaktiv neue Methoden anwenden. Die Teilnahme an Arbeitsgruppen der Industrie und die Überwachung von Aktualisierungen des technischen Ausschusses der IEC (TC 44) wird empfohlen.

Schlussfolgerung

IEC 62061 ist die Grundnorm für die funktionale Sicherheit von Maschinensteuerungssystemen. Durch die Bereitstellung eines systematischen Rahmens für die Risikobewertung, die Spezifikation der Sicherheitsfunktion, das Design und die Validierung ermöglicht es Herstellern, Maschinen zu bauen, die von Natur aus sicherer, zuverlässiger und konform mit globalen Vorschriften sind. Die Umsetzung der Norm erfordert Engagement, Schulung und Sorgfalt, aber die Auszahlung in Bezug auf Arbeitnehmerschutz, rechtliche Sicherheit und Betriebseffizienz ist beträchtlich. Organisationen, die IEC 62061 anwenden, erfüllen nicht nur ihre gesetzlichen Verpflichtungen - sie schaffen einen sichereren und produktiveren Arbeitsplatz für alle.

Um Ihr Verständnis zu vertiefen, konsultieren Sie das offizielle Dokument IEC 62061 und ergänzen es mit praktischen Schulungen. Sicherheit ist keine einmalige Anstrengung, sondern ein kontinuierlicher Verbesserungsprozess. Beginnen Sie mit der Bewertung Ihrer aktuellen Maschinen anhand der Anforderungen der Norm und unternehmen Sie die ersten Schritte zur vollständigen Einhaltung heute.