Safety-Experten zur Überarbeitung der Normen EN ISO 13849 und EN 62061

Mathias Wimmer (Wieland Electric): Beide Normen befassen sich mit der Sicherheit ergo der Zuverlässigkeit sicherheitsrelevanter Steuerungssysteme. Diese können aus elektrischen beziehungsweise elektronischen oder auch aus hydraulischen beziehungsweise pneumatischen Komponenten bestehen. In der EN ISO 13849 werden am Rande noch dazu Sicherheitsfunktionen mit mechanischen Baugruppen behandelt. Damit konzentrieren sich diese Normen auf Technologien, die einem sehr schnellen Wandel unterliegen. Hier muss also die Normungsentwicklung regelmäßig an den Stand der Technik angepasst werden.

Neben diesen technischen gibt es zudem organisatorische Gründe für die Überarbeitung. So verlangen die Normungsorganisationen ISO und IEC, die diese Normen ursprünglich herausgegeben haben, stets eine regelmäßige Pflege dieser Normen. Eine wesentliche Neuerung in der EN ISO 13849 dürfte die Ausweitung des Validierungskapitels sein – langfristig soll alles Wichtige in Teil 1 enthalten sein. Weiterhin werden EMV-Anforderungen aufgenommen, um den Maßnahmen gegen Fehler gemeinsamer Ursache mehr Substanz zu geben. Diese Maßnahmen werden außerdem einen erläuternden Anhang erhalten. Die Veröffentlichung der beiden Normen ist für das erste Halbjahr 2021 vorgesehen, ein FDIS könnte etwa sechs Monate früher erscheinen.

elektro AUTOMATION: Verschiedene Schritte zur Ermittlung des Performance Levels beziehungsweise des Safety Integrity Levels sind etabliert und haben sich bewährt. Behalten die bisherigen Einstufungen zur Risikobeurteilung ihre Gültigkeit, was ändert sich?

Rothenburg (Euchner): Die Einstufungen bleiben in der EN ISO 13849-1 erhalten. Essentiell zur Beurteilung der Leistungsfähigkeit einer sicherheitstechnischen Schaltung ist die Überführung in ein sicherheitstechnisches Blockschaltbild. Dieses Blockschaltbild ist die Basis für die Berechnung der MTTFD (Mean Time to Failure Dangerous) sowie des DC (Diagnostic Coverage) der einzelnen Bauteile, die verwendet wurden.

Das Verfahren ist seit dem ersten Erscheinen der EN ISO 13949-1 so bekannt. Die Software SISTEMA hat dieses Verfahren verfeinert und praktikabler gemacht, indem Subsysteme eingeführt wurden. Diese Subsysteme finden sich nun auch in der Norm wieder. Was sich bezüglich der Bestimmung der PLr (Performance Level required) im Anhang A ändern wird, steht noch nicht fest.

Gregorius (Phoenix Contact): Bei der EN 62061 sind die Kriterien zur Bestimmung des erforderlichen SIL praktisch gleichgeblieben, während bei der EN ISO 13949 der Anhang A verbessert werden soll. Insbesondere der Parameter P (Möglichkeit zur Vermeidung) ist detaillierter zu beschreiben. Kriterien sind unter anderem die Geschwindigkeit, räumliche Grenzen oder die Komplexität der Applikation. Da außerdem der zuvor bekannte Parameter W (Wahrscheinlichkeit) entfallen ist, sollten mögliche Rückwirkungen auf bisherige PLr-Einstufungen überprüft werden.

Dürr (Pilz): Beide Risikographen sind seit Jahren etabliert und werden sich grundsätzlich nicht ändern. Die Einstufungen (Eintrittswahrscheinlichkeit, Häufigkeit/Dauer, etc.) haben direkten Einfluss auf die Level. Daher wird versucht, diese noch exakter zu definieren. Die ISO13849 benutzt im Risikograph selbst ja keine Eintrittswahrscheinlichkeit. Ein Punkt, der diskutiert wird, ist, ob man überhaupt beziehungsweise wie man die Eintrittswahrscheinlichkeit zukünftig in der Norm definiert.

Wimmer (Wieland Electric): Die Risikobeurteilung an Maschinen ist grundlegend in der EN ISO 12100 beschrieben. Mit den dort genannten Mitteln und Prozeduren werden Risiken verschiedenster Art identifiziert, eingeordnet und mit Schweregraden bewertet. Daraufhin wird entschieden, mit welchen Mitteln die Risikominderung erfolgen soll. Erst wenn der Konstruktionsprozess der Maschine soweit gediehen ist, dass über die notwendigen Sicherheitsfunktionen nachgedacht werden muss, kommen Normen wie EN ISO 13849 oder EN 62061 zum Tragen.

Der entsprechenden Sicherheitsfunktion muss also erst dann eine geeignete Zuverlässigkeit beziehungsweise Ausfallsicherheit zugewiesen werden, wenn das Risiko eigentlich bereits beurteilt ist. Für diesen Schritt haben die beiden Normen ihre eigenen Verfahren. Das Prozedere nach der EN 62061 versucht die dort erfolgten SIL- Einstufungen in Beziehung zu PL-Einstufungen zu setzen. Das Verfahren in der EN ISO 13849 wiederum geht erst einmal einen Schritt zurück und nimmt den Parameter ‚Wahrscheinlichkeit des Auftretens einer Gefährdungssituation‘ wieder heraus. Damit wird in Bezug auf die PL-Zuordnung zur Risikominderung abermals die Form von 2015 angenommen. Zu beiden Normen ist anzumerken, dass diese Vorgehensweisen in informativen Anhängen aufgeführt sind, deren Anwendung jedem freisteht.

elektro AUTOMATION: In der Praxis kommen immer häufiger programmier- oder parametrierbare Systeme zum Einsatz. In welchem Umfang werden die Sicherheitsaspekte solcher Applikationen in den überarbeiteten Normen berücksichtigt?

Rothenburg (Euchner): Derzeit ist der Stand der EN ISO 13849-1 so, dass die Betrachtung der sicherheitsgerichteten Software nach denselben Prinzipien erfolgen wird, die auch die heutige Fassung der Norm bereits beinhaltet. Ob das bis zum Erscheinen der Norm so bleiben wird, steht noch nicht fest. Gerade um dieses Thema wird sehr viel diskutiert. Im Moment ist das Ergebnis so, dass der heutige Abschnitt 4.6 im Wesentlichen bereits den Anforderungen genügt, sofern er richtig gelesen und genutzt wird. Der Abschnitt wurde im Detail verbessert und die neuen Erkenntnisse wurden umgesetzt. Ebenso wurde die softwarebasierte Parametrierung neu gefasst und ist nun wesentlich detaillierter.

Gregorius (Phoenix Contact): Das sogenannte V-Modell ist in beiden Normen angepasst worden. Die EN ISO 13849 beschreibt nun zusätzlich ein vereinfachtes V-Modell für Anwendersoftware. Die EN 62061 führt den Begriff der Software-Level ein. Je nach Einklassifizierung (Anwendungsoftware mit FVL, LVL, etc.) können auch hier Vereinfachungen beim V-Modell genutzt werden.

Dürr (Pilz): Betrachtet man die IEC 62061, dann differenziert diese nun den erforderlichen Dokumentationsaufwand und das zugehörige V-Modell für die Programmierung sicherheitsrelevanter Anwendungssoftware auf der Basis der verwendeten Plattform besser. Bei Verwendung von Funktionsblöcken als Sicherheitsfunktion, die nur noch parametriert werden müssen, werden die Anforderungen an die Dokumentation vereinfacht.

Bei komplexeren Programmiersprachen, wie etwa Strukturierter Text oder Anweisungsliste, die eine wesentlich leistungsfähigere und kompliziertere Software ermöglichen, werden die Anforderungen an die Software besser definiert und die erforderlichen Prüfungen klarer formuliert. Darüber hinaus stellt die neue Ausgabe einige grundlegende Codierungsregeln für sicherheitsrelevante Anwendungssoftware vor.

Bei der ISO 13849 basieren mögliche Sicherheitsprobleme im Softwarebereich oft auf einer falschen oder unklaren Sicherheitsspezifikation. Dieser Sicherheitsaspekt wird nun in der Überarbeitung verbessert, und zwar sowohl in der Spezifikation als auch in den Definitionen in Bezug auf Software.

Wimmer (Wieland Electric): Nicht so sehr die Entwicklung, sondern vielmehr die Anwendung programmier- und parametrierbarer Systeme sind das Thema der Normen EN ISO 13849 und EN 62061. Sie beinhalten auch Anforderungen an den Lieferanten solcher Systeme. So sind beispielsweise bei Systemen nach EN ISO 13849 immer der Performance Level, die Ausfallwahrscheinlichkeit und die Kategorie anzugeben.

Weiterhin muss der Anwender genaue Hinweise zu Verwendungsdauer und eventuell regelmäßig durchzuführenden Prüfungen erhalten. Die Normen berücksichtigen sozusagen den gesamten Lebenszyklus, also nicht nur die stets detailliert betrachtete Ausfallwahrscheinlichkeit, sondern auch Aspekte wie die Erstellung sicherheitsrelevanter Software, die Benutzerinformationen und die Informationen für den Integrator.

elektro AUTOMATION: Wie verhalten sich die beiden Normen EN ISO 13849-1 und IEC 62061 zueinander, gibt es Übereinstimmungen, wo liegen die Unterschiede? Lassen sie sich ineinander überführen?

Rothenburg (Euchner): Nachdem die Zusammenlegung der beiden Normen nicht gelang, war die Hoffnung groß, dass die beiden Normen sich in den derzeit in Überarbeitung befindlichen Versionen annähern werden. Die Methoden der beiden Normen sind jedoch sehr unterschiedlich, obwohl die Ergebnisse der Beurteilung doch erstaunlich deckungsgleich waren.

Derzeit zeichnet sich aus meiner Sicht eher ab, dass hier keine Annäherung stattfinden wird. Die Zielgruppen sind wohl doch zu unterschiedlich. Die Überführung von Ergebnissen von einer Norm in die andere dürfte davon aber unberührt bleiben. Unter Umständen muss das Papier, in dem diese Überführung beschrieben ist, nach dem Erscheinen der beiden Neufassungen aber überarbeitet werden. Eine echte Zusammenlegung mit direktem Übergang erscheint derzeit weniger denn je realistisch zu sein.

Gregorius (Phoenix Contact): Beide Normen sind über Entsprechungstabellen grundsätzlich zueinander kompatibel, das heißt, ein SIL-Teilsystem lässt sich in eine PL-Sicherheitskette integrieren und umgekehrt. Da beide Normen unterhalb der Maschinenrichtlinie harmonisiert sind, geht auch von ihnen die Konformitätsvermutung aus. Unterschiede ergeben sich im Detail bei der Bewertung der erreichten Sicherheitsintegrität. Als Alleinstellungsmerkmal erlaubt die EN 62061 den Einsatz von Low-Demand-Systemen, die beispielsweise bei Turbinen oder Kompressoren verwendet werden.

Dürr (Pilz): Kurz gesagt: Der Anwender hat die Qual der Wahl. Er hat zwei Normen, mit denen er über unterschiedliche Wege Sicherheitsfunktion bewerten kann. Der Versuch, beide Normen in eine zu überführen, ist im Projekt IEC/ISO 17305 ja leider gescheitert. Derzeit sind mir zwar keine weiteren Bestrebungen in diese Richtung bekannt, aber vielleicht versucht man ja doch einen zweiten Anlauf. Aus Sicht des Anwenders jedenfalls wäre eine anwenderfreundliche, einfach zu handhabende Norm wünschenswert.

Wimmer (Wieland Electric): Die beiden Normen betrachten grundsätzlich die gleichen Eigenschaften sicherheitsrelevanter Systeme. Es geht zum Beispiel um Schaltungsstrukturen, Fehlererkennung, Langlebigkeit der Bauteile, Maßnahmen gegen Fehler gemeinsamer Ursache, Software, Anleitungen, systematische Ausfälle, etc. All diese Themen kommen in beiden Normen vor und werden dort mit unterschiedlichen Begriffen und Bewertungsprozeduren belegt. Über die Jahre hinweg haben sich die Normen eigenständig weiterentwickelt.

Vor einigen Jahren gab es eine gemeinsame Arbeitsgruppe von ISO und IEC, um die Zusammenführbarkeit anzugehen. Das Ergebnis war, dass die Normen etwa zur Hälfte deckungsgleich sind, zur anderen Hälfte verschiedene Ansätze benutzen und deswegen nicht mehr zusammenführbar sind. Nach etwa zweieinhalb Jahren Arbeit wurde das Projekt mangels Erfolgsaussichten gestoppt. Dass es diese beiden Normen zum gleichen Thema heute gibt, darf den beiden Normungsorganisationen zugeschrieben werden, die in den Anfangszeiten dieser Werke eine ungenügende Koordination hatten.

Informationen zum DIN-Normenausschuss Sicherheitstechnische Grundsätze

Phoenix Contact Deutschland GmbH Flachsmarktstraße 8 32825 Blomberg Tel.: +49 52 35/3-1 20 00 E-Mail: info@phoenixcontact.de Website: www.phoenixcontact.de

Pilz GmbH & Co. KG Felix-Wankel-Straße 2 73760 Ostfildern Tel.: +49 711 3409-0 E-Mail: info@pilz.de Website: www.pilz.com

Wieland Electric GmbH Brennerstraße 10-14 96052 Bamberg Tel.: +49 951-9324-0 E-Mail: info@wieland-electric.com Website: www.wieland-electric.com

„Die beiden Normen sollten zu einer einzigen Norm – der ISO 17305 – zusammengeführt werden. Nachdem das Projekt der Zusammenführung gescheitert war, sollten zurückgestellte notwendige Änderungen umgesetzt werden.“

„Beide Normen sind über Entsprechungstabellen grundsätzlich zueinander kompatibel, das heißt, ein SIL-Teilsystem lässt sich in eine PL-Sicherheitskette integrieren und umgekehrt.“

„Bei der ISO 13849 basieren mögliche Sicherheitsprobleme im Softwarebereich oft auf einer falschen oder unklaren Sicherheitsspezifikation. Dieser Sicherheitsaspekt wird nun in der Überarbeitung verbessert.“

„Eine wesentliche Neuerung in der EN ISO 13849 dürfte die Ausweitung des Validierungskapitels sein – langfristig soll alles Wichtige in Teil 1 enthalten sein.“