Inhalt
Eine Safety Requirements Specification (SRS) beschreibt, welche Sicherheitsfunktionen eine Maschine oder Anlage erfüllen muss und welche Anforderungen für deren Ausführung gelten. Sie verbindet die Risikobeurteilung mit der technischen Umsetzung und der späteren Prüfung. Die deutsche Fassung von DIN EN ISO 13849-1 nennt den Inhalt Spezifikation der Sicherheitsanforderungen.
Das Kürzel ist mehrdeutig. Hier geht es um funktionale Sicherheit an Maschinen und Anlagen. Eine Software Requirements Specification beschreibt dagegen allgemeine Softwareanforderungen. Ein Sicherheitslastenheft legt zusätzlich fest, wie sich die Schutzfunktion bei einer Anforderung und bei eigenen Fehlern verhält.
In welchen Normen die Anforderung steht
Die britische Arbeitsschutzbehörde HSE beschreibt in ihrer Übersicht zu Steuerungssystemen für Anlagen nach COMAH, dass Prozessregelung, Alarme und Schutzsysteme verschiedene Aufgaben haben. Für Schutzsysteme verweist sie auf die Sicherheitsintegrität nach IEC 61508, die vier Stufen (SIL 1 bis 4) kennt. Sicherheitsintegrität ist dort die Wahrscheinlichkeit, mit der ein sicherheitsbezogenes System die geforderte Sicherheitsfunktion zufriedenstellend ausführt.
Die Internationale Elektrotechnische Kommission führt IEC 61508-1:2010 als Grundnorm für elektrische, elektronische und programmierbare Systeme mit Sicherheitsfunktionen. Auf ihr bauen Sektornormen auf. Für Maschinensteuerungen ermittelt DIN EN ISO 13849-1:2023-12 aus der Risikobeurteilung einen erforderlichen Performance Level (PL) je Sicherheitsfunktion. IEC 62061 drückt dieselbe Frage im Rahmen von IEC 61508 mit SIL aus. Für Prozessanlagen setzt IEC 61511-1:2016 IEC 61508 für den Prozesssektor um und stellt Anforderungen an Spezifikation, Entwurf, Installation, Betrieb und Instandhaltung eines sicherheitstechnischen Systems (SIS).
Die Ausgabe 2023-12 von DIN EN ISO 13849-1 hat laut Katalog von DIN Media einen eigenen Abschnitt 4 zur Risikobeurteilung erhalten. Abschnitt 5 zur Spezifikation der Sicherheitsfunktionen wurde aktualisiert, ein neuer Anhang M gibt zusätzliche Hinweise zur Spezifikation der Sicherheitsanforderungen. IEC 62061 wurde mit der Ausgabe von 2021 auf nichtelektrische Technologien erweitert und um Anforderungen an wiederkehrende Prüfungen ergänzt. Für eine SRS an einer Maschine sind Abschnitt 5 und Anhang M von DIN EN ISO 13849-1 die Stellen zum Nachlesen.
Eine Anforderung braucht ein prüfbares Verhalten
Die Aussage „Die Anlage muss sicher sein“ reicht für eine Abnahme nicht aus. Es fehlen Auslöser, betroffener Gefahrenbereich und erwarteter Zustand. Auch „Schutztür vorhanden“ lässt offen, was beim Öffnen geschieht.
| Feld einer SRS | Beispiel für eine Bearbeitungszelle |
|---|---|
| Kennung und Zweck | SF-01: Zugang zum Arbeitsraum bei gefährlicher Bewegung verhindern |
| Auslöser | Überwachung meldet geöffnete oder entriegelte Schutztür |
| Geforderte Reaktion | Definierten sicheren Zustand der betroffenen Antriebe herstellen |
| Integrität | Erforderlichen PL nach DIN EN ISO 13849-1 oder SIL nach IEC 62061 aus der Risikobeurteilung festlegen |
| Zeit und Grenzen | Zulässige Reaktionszeit aus der Risikobeurteilung und dem Nachlauf ableiten |
| Wiederanlauf | Bedingungen für Rücksetzen und erneuten Start eindeutig beschreiben |
| Nachweis | Prüffälle mit Ausgangszustand, Fehlerfall und beobachtetem Ergebnis zuordnen |
Die Zelle und ihre Werte sind ausgedacht und ersetzen keine Sicherheitsanforderung für eine reale Maschine. Ein Konstrukteur muss etwa klären, welche Bewegungen betroffen sind und ob gespeicherte Energie eine Gefahr bleibt. Das Wort „Stillstand“ allein beantwortet diese Fragen nicht.
Die Abnahme aus der Anforderung ableiten
Für SF-01 kann ein Prüffall mit geschlossener Tür und laufendem Bearbeitungszyklus beginnen. Der Prüfer löst die definierte Anforderung aus und misst das geforderte Verhalten. Anschließend prüft er getrennt, ob die Anlage nach dem Schließen unbeabsichtigt wieder anläuft. Der Nachweis nennt die verwendete Dokumentversion und das Prüfmittel.
Ein Test im fehlerfreien Zustand zeigt nicht, wie die Funktion bei einem Leitungsbruch oder einem defekten Sensor reagiert. Welche Fehler betrachtet werden müssen, folgt aus der Auslegung der Schutzfunktion. DIN EN ISO 13849-1 bewertet dafür unter anderem die mittlere Zeit bis zum gefährlichen Ausfall (MTTFD), den Diagnosedeckungsgrad (DC) und die Fehlerrate pro Stunde (PFH).
Ändert sich die Zelle, wird die betroffene Anforderung erneut bewertet. Ein neuer Antrieb kann beispielsweise eine andere Nachlaufzeit haben. Die unveränderte Tür sagt dann wenig über die Gültigkeit des bisherigen Nachweises aus. Die Änderung braucht einen Verantwortlichen und eine nachvollziehbare Entscheidung über erneute Prüfungen.
Die Verantwortlichkeiten gehören deshalb in die SRS selbst. Wer spezifiziert die Funktion, wer setzt sie um, wer prüft sie, und wer darf Änderungen freigeben? Mit diesen vier Namen lässt sich jede spätere Änderung einem zuständigen Prüfer zuordnen.
Sicherheitsfunktion und Produktionsauswertung trennen
Die Schutzfunktion läuft in der dafür ausgelegten Steuerung, eine Maschinendatenerfassung zählt dagegen, wie lange eine Maschine stand und mit welchem Grund. Deshalb sollten „Schutztür offen“, „Sicherheitskreis ausgelöst“ und „Maschine produziert nicht“ als drei verschiedene Signale ankommen, und eine Verfügbarkeitskennzahl bleibt von jeder Sicherheitsfreigabe getrennt.
Quellen
- HSE: Control Systems (COMAH, technische Maßnahmen)
- IEC 61508-1:2010, Funktionale Sicherheit, Teil 1
- DIN EN ISO 13849-1:2023-12, Sicherheitsbezogene Teile von Steuerungen
- IEC 62061:2021+AMD1:2024, Funktionale Sicherheit sicherheitsbezogener Steuerungen von Maschinen
- IEC 61511-1:2016, Sicherheitstechnische Systeme für die Prozessindustrie
Wie Stillstände mit Grund erfasst werden, zeigt die kostenlose Live-Demo am eigenen Anwendungsfall.
Sehen Sie SYMESTIC an Ihrem eigenen Anwendungsfall
In der kostenlosen Live-Demo zeigt Ihnen ein Produktexperte an der laufenden Plattform, wie OEE, Stillstände und die Anbindung Ihrer Maschinen und Ihres ERP konkret aussehen.
- OEE live
- Stillstände und Gründe
- Maschinen und ERP anbinden
