Sicherheitssensoren in Maschinen: Normen, Praxisbeispiele, PL/SIL und Best Practices

Viele sprechen von Sicherheitssensoren, doch dieser Begriff bezeichnet keine starre Produktkategorie. Jeder Sensor – ob induktiv, optisch, Druck, Endschalter, RFID oder Lichtvorhang – kann eine Sicherheitsfunktion übernehmen, wenn das Design Redundanz, Diagnosedeckung und eine normgerechte Architektur bereitstellt. Entscheidend bleibt, wie der Sensor in die Sicherheitsfunktion eingebunden wird und ob die Funktion die Anforderungen aus EN ISO 13849-1 (Performance Level, PL) und EN 62061 bzw. IEC 61508 (SIL) erfüllt.

Sicherheitssensoren und Maschinensicherheit

Maschinenhersteller und Systemintegratoren müssen Risiken ermitteln, Schutzmaßnahmen umsetzen und die erreichten Sicherheitsniveaus belegen. Dabei beschränkt sich Safety nicht auf Not-Halt- oder Schutztürschalter. Richtig verschaltet und diagnostiziert, liefern auch vermeintlich „normale“ Sensoren zuverlässige Signale für eine Sicherheitsfunktion: Sie erfassen Zustände, die für das Erreichen eines sicheren Zustandes nötig sind (z. B. Stillstand, Verriegelung, Druckgrenze, freie Zugangszone). Die Sicherheitsfunktion bewertet diese Signale, löst bei Bedarf eine sichere Abschaltung aus und erkennt Fehler rechtzeitig.

Normenüberblick: PL und SIL für Sicherheitssensoren

Ob eine Sicherheitsfunktion „ausreichend sicher“ ist, beurteilen zwei etablierte Ansätze: EN ISO 13849-1 (PL) und EN 62061/IEC 61508 (SIL). Beide verlangen eine schlüssige Architektur, ausreichende Diagnosedeckung und belastbare Zuverlässigkeitsdaten – für Sensoren ebenso wie für Logik- und Aktorikkomponenten.

EN ISO 13849-1: von PL a bis PL e

• Performance Level (PL) reicht von PL a (niedrig) bis PL e (sehr hoch).
• Für höhere PL sind Redundanz (Kategorie 3/4), Diagnosedeckung (DC) und geeignete MTTFd-Werte der Einzelkomponenten nötig.
• Das Gesamtergebnis entsteht aus Struktur (Kategorie), MTTFd, DC und CCF-Maßnahmen (Common Cause Failure) – Sensoren inklusive.

EN 62061/IEC 61508: SIL 1–3 im Maschinenbau

• SIL beschreibt die Integrität einer Sicherheitsfunktion über PFH/PFD-Werte.
• In Maschinen dominieren SIL 2 und SIL 3: Sie verlangen strenge Anforderungen an Architektur, Fehlererkennung und Validierung.
• Ein einzelnes Sensorsignal genügt selten: Sicherheits-PLC, Sicherheitsrelais oder sichere I/O-Module bilden mit dem Sensor eine geschlossene, überwachte Kette.

Beispiele aus der Praxis: Sensoren im Safety-Einsatz

Ob nach Messprinzip oder Bauform klassifiziert – für Safety zählt die Einbindung in die Funktion. Wichtig sind die geforderte Diagnosedeckung, die Reaktionszeit, die Fähigkeit zur Fehlererkennung sowie klare Zuverlässigkeitsdaten. Im Folgenden einige typische Einsatzfälle:

Induktive Sensoren im Safety-Design

• Anwendung: Erkennung metallischer Positionen, z. B. Stellung eines Stempels, Endlage eines Schlittens oder Lage einer mechanischen Blockade.
• Sicherheitsfunktion: Zweikanalig ausgeführt und mit Testimpulsen überwacht, melden zwei induktive Sensoren die geforderte Position. Die Logik vergleicht beide Kanäle und erkennt Kurzschluss, Unterbrechung oder Signalblockade.
• Hinweis: Spezielle Varianten mit OSSD-Ausgängen oder Diagnoselinien erleichtern das Erreichen hoher PL/SIL.

Drucksensoren als sicherheitsrelevante Elemente

• Anwendung: Überwachung von Pneumatik- und Hydraulikdruck, Grenzwertkontrolle, sichere Entlüftung.
• Sicherheitsfunktion: Überschreitet der Druck den Grenzwert, führt die Logik in begrenzter Zeit einen sicheren Zustand herbei (z. B. Ansteuerung sicherer Ventile, Energieabbau).
• Besonderheiten: Verlangt nachvollziehbare PFH/MTTFd-Daten, geeignete Diagnose (z. B. Plausibilitätschecks) und gegebenenfalls Redundanz zur Erkennung versagender Sensorik.

Schutztürschalter, Zuhaltungen und Seilzüge

• Klassiker der Schutzeinrichtungen: Zwangsöffnende Endschalter, Zuhaltungen mit Verriegelung sowie Seilzugschalter an Fördertechnik.
• Typische Merkmale: Zweikanalige Ausgänge, mechanische Zwangsführung, interne Diagnose und Manipulationsschutz.
• Integration: In Kategorie 3/4 oder SIL 2/3 gemeinsam mit sicherer Logik und sicherheitsgerichteten Aktoren.

Lichtvorhänge und Laserscanner als Sicherheitssensoren

• Einsatz: Schutz vor gefährlichen Bewegungen an Pressen, Robotik und Montagezellen; Absicherung von Zugangs- und Gefahrenzonen.
• Sicherheitsniveau: Häufig PL e/SIL 3 bei fachgerechtem Aufbau und korrekter Konfiguration (Reaktionszeit, Auflösung, Sicherheitsabstand).
• Mehrwert: Funktionen wie Blanking oder Muting passen die Schutzstrategie an den Prozess an, ohne das Schutzniveau zu unterlaufen.

RFID-kodierte Sicherheitssensoren

• Stärke: Hoher Manipulationsschutz durch eindeutige Zuordnung von Betätiger und Sensor; unterschiedliche Kodierstufen verfügbar.
• Topologien: Serielle Verschaltung (Daisy-Chain) mit durchgängiger Diagnose ermöglicht kompakte Verdrahtung und hohe PL/SIL.
• Einsatzfelder: Schutztüren, wechselbare Module, Positionserkennung an adaptiven Stationen.

Sicherheitssensoren: So erreichen Sie PL e oder SIL 3

1. Redundanz und Struktur
   • Wählen Sie eine Architektur mit zwei unabhängigen Signalkanälen (Kategorie 3/4; geeignete SIL-Architekturen mit ausreichender SFF).
   • Nutzen Sie Bauteile mit erzwungen getrennten Kontakten bzw. OSSD-Ausgängen, um Querschlüsse zu detektieren.
2. Diagnosedeckung (DC) hoch halten
   • Erkennen Sie Kurzschluss, Leitungsbruch, Blockierung und Stillstand der Signalflanken über Testimpulse, Quittierlogik und zyklische Plausibilität.
   • Überwachen Sie Reaktionszeiten, um gefährliche Ausfälle schnell zu entdecken.
3. Zuverlässigkeitsdaten dokumentieren
   • Erfassen Sie MTTFd/PFH der Sensoren, die diagnostische Abdeckung und die CCF-Maßnahmen (z. B. getrennte Führung von Leitungen, Umweltrobustheit, EMC).
   • Nutzen Sie Tools wie SISTEMA oder SIL-Berechnungen, um den Nachweis der Sicherheitsfunktion zu führen.
4. Passende Logik- und Aktorebene
   • Kombinieren Sie die Sensorik mit einer Sicherheits-PLC, einem Sicherheitsrelais oder sicheren I/O, die die Signale zweikanalig verarbeiten und Fehler sicher erkennen.
   • Setzen Sie für die Energieabschaltung geeignete Aktoren ein (z. B. zwangsöffnende Schütze, sichere Ventile) und überwachen Sie deren Rückführung.
5. Validierung und Proof-Test-Strategie
   • Verifizieren Sie die Sicherheitsfunktion im realen Aufbau (Worst-Case-Reaktionszeit, Manipulationsversuche, Fehlerfalltests).
   • Definieren Sie Prüfintervalle (Proof Tests), qualifizieren Sie Personal und dokumentieren Sie Abweichungen.

RFID-Kodierung und Daisy-Chain bei Sicherheitssensoren

RFID-kodierte Betätiger erschweren Umgehungen erheblich, da nur der „passende“ Aktor ein gültiges Signal erzeugt. Das erleichtert die Einhaltung von Kategorien 3/4 sowie hoher PL/SIL-Niveaus. Moderne Sensoren bieten zudem serielle Verschaltung: Mehrere Sensoren werden hintereinandergeschaltet, während die Diagnose für jeden Teilnehmer erhalten bleibt. Das reduziert Verdrahtungsaufwand, spart Eingänge an der Sicherheitslogik und hält die Nachweisführung transparent.

Wichtig bleibt die korrekte Parametrierung: Reaktionszeiten, Mindestabstände, Auswertefenster und das Verhalten beim Einschalten oder beim Reset müssen zur Risikobeurteilung passen. Selbst bei Daisy-Chain gilt: Die Sicherheitsfunktion darf durch einen Einzeldefekt nicht unbemerkt ausfallen – die Diagnose muss ihn erkennen und die Maschine in einen sicheren Zustand versetzen.

Von der Planung bis zur Validierung: Praxisleitfaden

1. Risikobeurteilung und Schutzziele definieren
   • Bestimmen Sie die erforderlichen PL/SIL für jede Sicherheitsfunktion.
   • Grenzen Sie den sicheren Zustand, Reaktionszeit und zulässige Restgefährdungen ab.
2. Technologiewahl und Umgebungsbedingungen
   • Wählen Sie Sensorprinzip und Bauform passend zu Medium, Reichweite, Temperatur, Verschmutzung, Schwingung und EMC-Umfeld.
   • Prüfen Sie Manipulationsrisiken und wählen Sie geeignete Kodierung oder mechanische Maßnahmen (z. B. verdeckte Montage).
3. Architektur und Verdrahtung
   • Trennen Sie Kanäle konsequent, vermeiden Sie gemeinsame Fehlerursachen (Kabelführung, Spannungsversorgung, Steckverbinder).
   • Nutzen Sie Testpulse/OSSD, um Querschlüsse zu erkennen; sichern Sie die Versorgung mit geeigneten Schutzbeschaltungen.
4. Parameter, Diagnose und Reaktion
   • Setzen Sie sichere Zeitüberwachungen, Quittierstrategien und Meldekonzepte um.
   • Visualisieren Sie Fehlerzustände für Instandhaltung und definieren Sie klare Wiedereinschaltbedingungen.
5. Nachweisführung
   • Dokumentieren Sie Stückliste, Datenblätter, Berechnungen (PL/SIL), Prüfprotokolle und Validierung.
   • Planen Sie regelmäßige Inspektionen, Funktionsprüfungen und den Austausch verschleißanfälliger Teile.

Häufige Fehler und Best Practices bei Sicherheitssensoren

• Unterschätzte Manipulationsgefahr: Setzen Sie auf RFID-Kodierung, verdeckte Montage und stabile Mechanik, um Bypass-Versuche zu erschweren.
• Fehlende Redundanz: Ein einzelner Sensor ohne Diagnose erfüllt selten PL d/e oder SIL 2/3. Planen Sie zweikanalig.
• Gemeinsame Fehlerursachen: Trennen Sie Leitungswege, vermeiden Sie gleiche Steckertypen direkt nebeneinander und berücksichtigen Sie Umwelteinflüsse.
• Unklare Reaktionszeiten: Stimmen Sie Sensor-, Logik- und Aktor-Laufzeiten aufeinander ab und berechnen Sie Sicherheitsabstände korrekt.
• Schwache Dokumentation: Ohne belastbare Daten (MTTFd, DC, PFH) und Prüfprotokolle lässt sich das Zielniveau nicht nachweisen.

Fazit: Sicherheit ist eine Funktion, kein Produkttyp

Es gibt nicht den einen universellen „Sicherheitssensor“. Vielmehr werden gewöhnliche Sensoren durch kluge Architektur, Redundanz, Diagnose und Validierung zu tragenden Elementen einer Sicherheitsfunktion. Wer Risiken sauber bewertet, passende Komponenten auswählt, Fehler systematisch erkennt und die Nachweisführung robust gestaltet, erreicht hohe Niveaus wie PL e oder SIL 3 – und schützt Menschen wie Anlagen gleichermaßen.

FAQ: Sicherheitssensoren