STO, SS1 oder SS2 – wie man eine Maschine sicher stoppt

Das sichere Stillsetzen einer Maschine gehört zu den wichtigsten Bausteinen der funktionalen Sicherheit in der Industrie. Automatisierungsingenieurinnen und -ingenieure stehen dabei häufig vor der Frage: Reicht es, einfach die Versorgung zu trennen, ist ein kontrolliertes Abbremsen besser – oder sollte der Antrieb sogar unter Spannung bleiben? In der Praxis läuft die Antwort auf die Auswahl der passenden Stoppfunktion hinaus: Safe Torque Off (STO), Safe Stop 1 (SS1) oder Safe Stop 2 (SS2). In diesem Artikel erklären wir Schritt für Schritt, wie diese Funktionen arbeiten, wann welche sinnvoll ist und worauf es bei der Auslegung des Maschinensicherheitssystems ankommt. Das Ganze auf Basis von Normen und bewährten Vorgehensweisen – aber praxisnah und aus Ingenieurssicht, damit es sich nicht liest wie eine trockene Bedienungsanleitung.

Sicheres Stillsetzen der Maschine – Schritt für Schritt

Bevor wir in die Details von STO, SS1 und SS2 einsteigen, lohnt sich ein Blick auf die in Normen definierten Kategorien des sicheren Stillsetzens. Die Norm DIN EN 60204-1 unterscheidet drei Stoppszenarien (Kategorien), die unseren Sicherheitsfunktionen entsprechen:

1. Kategorie 0 (STO) – Not-Stopp durch sofortiges Trennen der Antriebsenergie, ohne kontrolliertes Abbremsen. Das ist die schnellste Art, eine Maschine anzuhalten, und entspricht dem klassischen Schlag auf den Not-Halt-Pilz. Leider ist es ein unkontrollierter Stopp – die Mechanik wird nicht vor den Folgen eines abrupten Stillstands geschützt. Für empfindliche Maschinen kann das daher zu „hart“ sein und zudem lange Wiederanlaufzeiten verursachen.
2. Kategorie 1 (SS1) – kontrolliertes Stillsetzen: Das System bremst die Maschine zunächst aktiv ab und trennt erst dann, wenn die Bewegung zum Stillstand gekommen ist, die Energie (Übergang in STO). Anders gesagt: Der Motor wird unter Kontrolle des Antriebs abgebremst, anschließend erfolgt das sichere Abschalten des Drehmoments. Dieses Vorgehen minimiert Rucke und bringt die Bewegung auf eine zivilisierte Art zum Stillstand. Es benötigt zwar etwas Zeit zum Abbremsen, reduziert dafür aber das Risiko mechanischer Schäden. Typische Anwendungen sind Situationen, in denen die Sicherheit ein Abbremsen der Bewegung statt eines sofortigen Abschaltens erfordert – z. B. Produktionslinien mit empfindlichen Teilen, bei denen ein abruptes Anhalten das Produkt beschädigen könnte.
3. Kategorie 2 (SS2) – kontrolliertes Stillsetzen mit Momentenhaltung nach dem Stopp. In diesem Fall wird nach dem Abbremsen die Versorgung nicht abgeschaltet; stattdessen wechselt der Antrieb in einen Zustand zur Aufrechterhaltung eines sicheren Stillstands (Funktion SOS – Safe Operating Stop). Der Motor bleibt versorgt und hält die Position aktiv, sodass keine Bewegung auftreten kann. Diese Lösung ist überall dort erforderlich, wo nach dem Anhalten eine Positionsstabilisierung notwendig ist – z. B. bei Industrieaufzügen oder Maschinen mit hängenden Lasten (damit die Last nicht abzusinken beginnt). Ein weiterer Vorteil von Kategorie 2 ist die Möglichkeit, die Arbeit schnell wieder aufzunehmen, da das Antriebssystem betriebsbereit bleibt.

Diese Einteilung hilft dabei, die Art des Stillsetzens an Maschine und Gefährdungen anzupassen. Einen kleinen Förderbandantrieb stoppt man anders als einen großen Hallenkran mit hoher Trägheit. Entscheidend ist, dass die Risikobeurteilung bereits in der Konstruktionsphase aufzeigt, welches Stoppszenario die Sicherheit von Menschen und Anlage gewährleistet. Denken wir auch daran, dass gemäß den Vorgaben der Not-Halt (E-STOP) einer Maschine in Kategorie 0 oder 1 umzusetzen ist – also als STO oder SS1. Kategorie 2 (SS2) mit anliegender Spannung ist für den typischen Not-Halt-Pilz nicht vorgesehen, weil wir im lebensrettenden Ernstfall alle Energiequellen so weit wie möglich reduzieren wollen. SS2 wird jedoch in anderen Stoppbetriebsarten eingesetzt – dazu gleich mehr.

Wie funktioniert die Funktion Safe Torque Off (STO)

Safe Torque Off (STO) ist die einfachste und grundlegendste Funktion für ein sicheres Stillsetzen. Sie wirkt, indem die Energiezufuhr zum Motor sofort unterbrochen wird – entweder durch Abschalten der Ausgangsspannung des Frequenzumrichters oder durch das Öffnen von Schützen im Versorgungsstromkreis. Dadurch erzeugt der Motor kein Drehmoment mehr (bzw. keine Kraft bei Linearantrieben). Anders gesagt: Der Antrieb kann die beweglichen Maschinenteile nicht mehr antreiben. STO entspricht damit dem unkontrollierten Stopp der Kategorie 0, wie zuvor beschrieben.

Wichtig ist: STO bremst den Motor nicht aktiv – der Antrieb läuft lediglich frei aus, bis Reibung und Bewegungswiderstände ihn zum Stillstand bringen. Deshalb hängt die Stillstandszeit bei STO von der Trägheit des Systems ab. Bei Maschinen mit geringer Massenträgheit und hohen Widerständen (z. B. kleiner Motor mit Schneckengetriebe) kommt die Bewegung nahezu sofort zum Erliegen. Haben wir jedoch eine schnell rotierende Spindel oder einen schweren Rotor mit großer Masse, kann er nach dem Abschalten der Energie noch eine Weile nachlaufen. STO eignet sich daher am besten dort, wo kein sofortiger Stillstand des gesamten Antriebs erforderlich ist – die natürlichen Widerstandskräfte reichen aus, um die Maschine in akzeptabler Zeit abzubremsen.

Der Vorteil von STO liegt in der Einfachheit und hohen Zuverlässigkeit. Es ist eine Funktion, die heute praktisch in jedem modernen Frequenzumrichter oder Servoverstärker integriert ist. Sie erfüllt strenge Normanforderungen (häufig SIL 2 oder SIL 3, PL d/e) und kann damit klassische Schütze zum Abschalten der Versorgung ersetzen. Mit STO lassen sich unerwartete Motorstarts verhindern – diese Funktion ist ein grundlegender Schutz vor unkontrollierter Bewegung nach dem Abschalten der Maschine. Der Not-Halt-Taster aktiviert üblicherweise genau STO, trennt die Energie und setzt den Antrieb auf die einfachstmögliche Weise still.

Einschränkungen? Da STO das Abbremsen nicht regelt, schützt es nicht vor den Folgen der Trägheit. Wenn wir z. B. ein Förderband voller Ware nur durch Abschalten der Energie stoppen, kann die Ware durch ihren Schwung weiter rutschen oder heruntergleiten. Bei vertikalen Achsen (z. B. Krananlage, Aufzug) kann STO allein sogar gefährlich sein – das Wegnehmen des Drehmoments kann dazu führen, dass eine hängende Last unter dem Einfluss der Schwerkraft absackt. Deshalb muss STO in bestimmten Anwendungen durch zusätzliche Maßnahmen ergänzt werden, z. B. durch mechanische Bremsen, die die Bewegung anhalten. Dann kommt die Funktion SBC (Safe Brake Control) zum Einsatz, die zusammen mit STO die mechanische Bremse am Motor oder an der Achse sicher anzieht. Eine solche Lösung ist z. B. bei den genannten Krananlagen oder Aufzügen Standard – unmittelbar nach dem Abschalten des Drehmoments über STO hält die Bremse die Last in Position.

Zusammengefasst: STO trennt das Drehmoment sofort und verhindert, dass der Motor Kraft erzeugt. Das ist ein schnelles Not-Halt-Verhalten der Kategorie 0 – ideal, wenn jede Sekunde beim Abschalten der Energie zählt. Man muss jedoch sicherstellen, dass das freie Auslaufen der Maschine keine Gefährdung verursacht – und falls doch, STO durch Bremsen ergänzen oder auf SS1 zurückgreifen.

Safe Stop 1 (SS1) – kontrolliertes Abbremsen bis zum Stillstand

Wenn ein kontrollierter Stillstand der Maschine erforderlich ist, hilft Safe Stop 1 (SS1). Die SS1-Funktion realisiert einen zweiphasigen Stopp. In der ersten Phase bremst der Antrieb den Motor aktiv – er reduziert die Drehzahl entlang einer vorgegebenen Bremsrampe oder überwacht die Bremszeit. Sobald die Drehzahl nahezu null erreicht, beginnt die zweite Phase: das automatische Umschalten auf STO (sicheres Abschalten des Drehmoments) und gegebenenfalls das Anziehen einer mechanischen Bremse (SBC), um die Achse vollständig zu sichern. Anders gesagt: SS1 baut die Bewegungsenergie zunächst kontrolliert ab und trennt anschließend die Energie wie bei STO.

Dieser Modus entspricht dem Stopp der Kategorie 1 gemäß Norm – also kontrolliertes Abbremsen + Abschalten der Energie. SS1 wird empfohlen, wenn ein möglichst schneller, aber zugleich kontrollierter Stillstand der Maschine erforderlich ist. Typische Situation: Die Anlage arbeitet mit hoher Geschwindigkeit oder besitzt eine erhebliche Trägheit. Ein abruptes Abschalten der Energie (STO) führt dann zu langem Nachlauf oder zu starken mechanischen Rucken beim plötzlichen Stopp. Stattdessen bremst SS1 dynamisch über den Motor – was oft einen schnelleren Stillstand ermöglicht als reine Reibung – und tut dies zugleich überwacht, also mechanikschonend und sicher.

Beispiele? Kreissägen, Schleifmaschinen, Zentrifugen, mechanische Pressen – allgemein sollten Maschinen mit hoher rotierender Energie über SS1 gestoppt werden. Stellen wir uns eine große Bandsäge vor: Das Drücken von STOP bewirkt, dass der Umrichter eine Bremsrampe fährt und die Drehzahl der Säge schnell reduziert. Sobald die Säge steht, wird das Drehmoment abgeschaltet (STO) und die Maschine bleibt sicher stillgesetzt. So ist der Stopp deutlich schneller, als darauf zu warten, dass die Säge von selbst ausläuft, und gleichzeitig besteht kein Risiko, Antrieb oder Material durch einen abrupten Ruck zu beschädigen – das Abbremsen bleibt vollständig unter Kontrolle des Systems.

Wichtig ist auch: Die Norm DIN EN 61800-5-2 lässt unterschiedliche Umsetzungsarten von SS1 zu. Antriebshersteller bieten z. B. die Variante SS1-r (ramp monitoring) an – dabei überwacht das System die Bremsrampe und schaltet STO, sobald die Drehzahl unter einen festgelegten Schwellenwert fällt – oder SS1-t (time controlled), bei der STO nach einer festgelegten Zeit aktiviert wird, unabhängig von der Drehzahl. Unabhängig von der Implementierung ist das Ziel identisch: die Bewegung so schnell wie sicher möglich zu stoppen und am Ende die Energie zu trennen. SS1 erfordert in der Regel eine weiterentwickelte Steuerung (z. B. ein Sicherheitsmodul im Umrichter oder eine Safety-SPS), aber die meisten modernen Antriebe bieten diese Funktionen bereits standardmäßig oder als Option.

Am Rande: SS1 ist eine häufige Wahl zur Umsetzung eines Not-Halts der Kategorie 1 – also z. B. beim Betätigen des Pilztasters, nach dem die Maschine kontrolliert auslaufen soll, statt dass die Versorgung sofort wegfällt. Ein solcher Not-Halt mit kontrolliertem Abbremsen ist erforderlich, wenn ein unmittelbares Abschalten der Energiezufuhr die Gefährdung erhöhen könnte (z. B. wenn Material aus einer schnell rotierenden Trommel herausgeschleudert werden könnte). In der Praxis wird das so umgesetzt, dass nach dem Betätigen des E-STOP der Sicherheitscontroller dem Umrichter einen Bremsbefehl vorgibt (SS1-Rampe) und – falls die Drehzahl innerhalb einer definierten Zeit nicht auf null fällt – zur Sicherheit dennoch die Energiezufuhr abschaltet. Dahinter steht der Grundsatz, dass der Not-Halt immer wirksam sein muss, selbst wenn das Bremsen versagt. Der Sicherheitskonstrukteur sollte ein solches Szenario berücksichtigen.

Safe Stop 2 (SS2) – Stopp mit Positionshaltung

Damit bleibt uns die dritte Funktion: Safe Stop 2 (SS2). SS2 ist gewissermaßen eine Erweiterung von SS1. Auch hier erfolgt der Stopp in zwei Phasen (Abbremsen + sicherer Stillstand), der Unterschied ist jedoch, dass nach dem Stillsetzen des Motors die Versorgung nicht abgeschaltet wird. Statt in STO zu wechseln, hält der Antrieb bei null Drehzahl aktiv ein Drehmoment am Motor aufrecht und nutzt dazu die Funktion SOS (Safe Operating Stop). Anders gesagt: Der Motor wird sicher in einer definierten Position angehalten, und diese Position wird vom Steuerungssystem fortlaufend überwacht und gehalten. Ein solcher sicherer Stillstand unter Spannung entspricht dem zuvor erwähnten kontrollierten Stopp der Kategorie 2.

Was bringt uns das? Vor allem: einen schnellen Wiederanlauf der Maschine. Da der Motor durchgehend versorgt bleibt (wenn auch bei null Drehzahl), kann die Bewegung ohne zusätzliche Prozeduren sofort wieder aufgenommen werden. Zum Vergleich: Nach SS1 (Kategorie 1) geht das System in STO, sodass für den erneuten Start zunächst die Freigabe der Antriebsversorgung wieder erteilt werden muss, was mitunter Zeit kostet (Reset des Sicherheitssystems usw.). SS2 beseitigt diese Verzögerung – die Bewegung kann praktisch unmittelbar freigegeben werden, sobald die Sicherheitsbedingungen dies zulassen.

SS2 setzt man dort ein, wo die Maschine oder ein Teil davon nur kurzzeitig stillstehen soll und man schnell wieder anlaufen möchte oder wo ein Stillstand in Bereitschaft für die weitere Arbeit erforderlich ist. Häufig ergibt sich das aus der Prozesscharakteristik oder aus dem Bedarf an regelmäßigen, kurzen Eingriffen durch den Bediener. Ein Beispiel ist eine Fertigungslinie, bei der der Bediener in bestimmten Abständen herantreten und etwas reinigen, einen Sensor einstellen oder ein fehlerhaftes Produkt entfernen muss. Statt die gesamte Maschine abzuschalten (und anschließend mühsam wieder hochzufahren), kann SS2 genutzt werden: Die Linie stoppt kontrolliert und verbleibt im sicheren Stillstand, der Bediener erledigt seine Arbeit für eine Minute und setzt die Maschine danach ohne vollständigen Neustart fort. Ein weiteres Beispiel ist die Kalibrierung eines Bildverarbeitungssystems an der Maschine – man hält das Förderband an einer exakt definierten Position an, während die Kamera eingeschaltet bleibt und nach der Justage sofort wieder einsatzbereit ist.

In Anwendungen wie Robotik oder Montage wird SS2 mitunter für einen sogenannten Bereitschaftsstopp genutzt – der Roboter hält in einer definierten Position an und hält sie (z. B. mit dem Werkzeug über dem Werkstück) während einer kurzen Unterbrechung, um anschließend ohne erneute Kalibrierung weiterzufahren. Wichtig ist jedoch: Das System bleibt unter Spannung – deshalb wird SS2 nicht für den Not-Halt eingesetzt, sondern für kontrollierte Stopps bei geplanten Unterbrechungen oder in Service-/Wartungsmodi. Normen verlangen eindeutig, dass im Notfall die Energiezufuhr dennoch abgeschaltet wird (STO oder SS1).

Aus technischer Sicht erfordert die Umsetzung von SS2, dass der Antrieb über eine Funktion zur Überwachung von Drehzahl und Position (SOS) verfügt und für das Halten des Drehmoments im Stillstand zertifiziert ist. Viele moderne Antriebe bieten diese Möglichkeit – z. B. können Servo-Drives mit Sicherheitsmodulen selbst erkennen, ob der Motor steht, und ihn sicher in der vorgegebenen Position halten. Besteht das Risiko, dass sich die Last dennoch bewegt (z. B. durch Schwerkraft an einer vertikalen Achse), wird in der Regel zusätzlich eine mechanische Bremse eingesetzt, um maximale Sicherheit zu erreichen. SS2 entbindet nicht davon, die Physik mitzudenken – dass Strom in den Motor fließt und ihn in Position hält, reicht im Fall z. B. eines schweren Fehlers nicht immer aus. In der Regel passiert während kurzer Stillstände jedoch nichts Kritisches, und man gewinnt an Anlagenverfügbarkeit.

Reicht SS1 bei Anwendungen mit großer Trägheit aus?

Es ist Zeit, die Frage zu beantworten, die sich viele Konstrukteure stellen: Reicht in Systemen mit großer Trägheit SS1 aus, oder braucht es mehr? Große Trägheit bedeutet, dass die Maschine viel kinetische Energie speichert – und sich daher schwerer schnell zum Stillstand bringen lässt. Die Intuition sagt, dass STO allein nicht ausreichen würde, weil schwere Teile lange nachlaufen würden. SS1 erscheint daher als Minimum, um den Antrieb aktiv abzubremsen. Und tatsächlich ist SS1 in den meisten Fällen der Goldstandard für Maschinen mit großer Trägheit – es ermöglicht den schnellsten Stopp, weil der Antrieb als Bremse wirkt. Die zuvor genannten Beispiele (Sägen, Zentrifugen, Pressen) sind genau solche Maschinen mit hoher rotierender Masse, bei denen SS1 praktisch unverzichtbar ist.

Reicht SS1 aber wirklich immer aus? Das hängt von den Rahmenbedingungen ab. SS1 sorgt dafür, dass die Bewegung zum Stillstand kommt, aber nach dem Abbremsen wird die Energiezufuhr getrennt (STO). Wenn die Anwendung lediglich einen schweren Mechanismus anhalten und warten soll, bis der Bediener ein Teil entnimmt oder Material nachfüllt, erfüllt SS1 diese Aufgabe in der Regel vollständig – die Maschine steht sicher, und das Abschalten der Leistung verhindert unangenehme Überraschungen. Wir müssen lediglich sicherstellen, dass der Antrieb und seine Komponenten dafür ausgelegt sind, die beim Bremsen entstehende Energie aufzunehmen (z. B. passende Bremswiderstände im Frequenzumrichter, damit er beim Abbau großer Energiemengen nicht beschädigt wird). Der Konstrukteur der Industrieautomation sollte prüfen, ob der Umrichter/Servoantrieb für das jeweilige Trägheitsmoment ausreichend Bremsleistung bereitstellt – ein häufiger Fehler ist, dass die Sicherheitsfunktion zwar korrekt arbeitet, der Antrieb beim Abbremsen eines schweren Schwungrads jedoch mit einer Überlastmeldung aussteigt.

Der zweite Punkt ist, was nach dem Stillsetzen passiert. Hat das System eine große Trägheit, kommt aber in einer stabilen Position zum Stehen (z. B. ein horizontal liegender Zylinder hört einfach auf, sich zu drehen), ist das unkritisch. Bei Maschinen hingegen, in denen sich eine große Masse durch äußere Kräfte (etwa durch die Schwerkraft) bewegen kann, reicht SS1 allein möglicherweise nicht aus – denn nach dem Übergang in STO beginnt die Last sich zu bewegen. Beispiel: ein groß dimensionierter, schräg gestellter Förderer – mit hoher Masse von Band und Fördergut. Wir bremsen ihn motorisch (SS1), aber sobald die Leistung abgeschaltet wird, besteht das Risiko, dass die Schwerkraft das Band nach unten in Bewegung setzt. In solchen Fällen ist eine zusätzliche mechanische Bewegungsblockierung erforderlich. Das kann die zuvor erwähnte SBC-Bremse sein, die beim Abschalten der Versorgung anzieht und die Position hält. Ohne diese geht es nicht – eine rein elektrische Funktion setzt die Physik nicht außer Kraft. Anders gesagt: SS1 muss durch mechanische Maßnahmen ergänzt werden, wenn die Anwendung es erfordert.

Oder ist SS2 bei großer Trägheit die bessere Wahl? Schließlich hält SS2 das Drehmoment, sodass keine Gefahr besteht, dass eine Last „durchrutscht“. Das stimmt: SS2 ermöglicht nach dem Stillsetzen ein aktives Halten der Position, was z. B. bei vertikalen Achsen mit Last vorteilhaft ist. In den meisten Fällen wird dort dennoch eine mechanische Bremse als zusätzliche Absicherung eingesetzt. SS2 ist vor allem dann sinnvoll, wenn ein schnelles Wiederanlaufen wichtig ist – also wenn dieses schwere System häufig aus dem Stillstand starten soll und man den Antrieb nicht jedes Mal zurücksetzen möchte. Allein die große Trägheit erzwingt kein SS2, sie erfordert jedoch ein kontrolliertes Abbremsen – und das liefert SS1. Zusammengefasst: Bei Maschinen mit hoher Trägheit reicht SS1 mit einem gut ausgelegten Bremssystem in der Regel völlig aus, sofern bei Achsen, die sich selbsttätig bewegen könnten, zusätzliche Bremsen berücksichtigt werden. SS2 kann ergänzt werden, wenn der Nutzen eines schnelleren Restarts für uns relevant ist oder wenn ein Stillstand in Bereitschaft gefordert ist (das sind dann jedoch Fragen des technologischen Prozesses, nicht der Trägheit an sich).

STO, SS1 und SS2 sind drei unterschiedliche Antworten auf die Frage, wie man eine Maschine sicher zum Stillstand bringt. Jede dieser Funktionen hat ihren Platz im Werkzeugkasten des Automatisierungsingenieurs. STO trennt die Energie sofort – einfach und zuverlässig, lässt die Maschine jedoch aufgrund der Trägheit auslaufen. SS1 ergänzt ein kontrolliertes Bremsen, wodurch das Anhalten schneller erfolgt und die Mechanik geschont wird; nach dem Stillstand ist die Maschine spannungsfrei. SS2 wiederum stoppt ebenso schnell wie SS1, hält die Maschine jedoch unter Spannung in Position – bereit, in kürzester Zeit wieder anzulaufen.

Bei der Auslegung sicherer Steuerungssysteme sollte man sich sowohl an Normen orientieren (DIN EN 61800-5-2 beschreibt diese Funktionen im Detail) als auch an gesundem Menschenverstand und der Risikobeurteilung. Die Dokumente geben vor, was rechtlich gefordert ist, aber wir – als Integratoren der Industrieautomation – müssen die Lösung auf die konkrete Maschine zuschneiden. Manchmal ist das einfachste STO die beste Wahl (weniger, was kaputtgehen kann!), und manchmal geht ohne SS1 gar nichts, weil die Anlage sonst beim Not-Halt auseinanderfliegen würde. In anderen Fällen schätzt man SS2, weil es Stillstandszeiten reduziert und ein schnelles Wiederaufnehmen des Arbeitszyklus ermöglicht.

Zum Schluss gilt: Keine dieser Funktionen vollbringt Wunder, wenn sie schlecht ausgelegt oder zweckwidrig eingesetzt wird. Es braucht passende Komponenten (Umrichter mit STO/SS1/SS2-Zertifizierung, Sensorik, Sicherheitssteuerungen), eine korrekte Parametrierung und regelmäßige Tests. Sinnvoll sind auch Schulungen zu Normen und Standards (z. B. Maschinenrichtlinie 2006/42/EG, DIN EN ISO 13849-1, DIN EN 62061), denn Regelwerkskenntnis und Ingenieurpraxis gehören zusammen. Wir hoffen, dieser Artikel hat etwas Licht in das Dilemma STO vs SS1 vs SS2 gebracht. Wenn du das nächste Mal ein sicheres Stillsetzen einer Maschine auslegen sollst, kannst du die beste Option bewusst auswählen – und vor allem maximale Sicherheit gewährleisten, ohne Kompromisse im Prozess einzugehen. Viel Erfolg bei deinen Projekten und stets sicheres Arbeiten!