Redundantes Bremssystem: Kategorien, PLr, MTTFd, DC und CCF nach ISO 13849-1 – so legen Sie Bremsen aus, die auch bei Ausfall eines Pfads sicher halten.
KI Dieser Artikel wurde mit Hilfe von KI erstellt.
Was eine Bremse redundant macht: Kategorien nach ISO 13849-1
Redundanz ist bei Bremsen kein Zustand, sondern eine nachweisbare Struktureigenschaft. Eine Bremse ist dann redundant, wenn die Sicherheitsfunktion, etwa das zuverlässige Halten einer vertikalen Last oder das Stillsetzen einer Achse, auch beim Ausfall eines Bremspfads aufrechterhalten bleibt. Die DIN EN ISO 13849-1 beschreibt diese Fähigkeit über die Kategorien B, 1, 2, 3 und 4, die die Architektur der sicherheitsbezogenen Teile einer Steuerung festlegen. Erst ab Kategorie 3 sind zwei Funktionskanäle mit gegenseitiger Überwachung gefordert; erst dort spricht die Norm tatsächlich von Redundanz[1].
| Kategorie | Struktur | Grundmerkmal |
|---|---|---|
| B | Einkanalig | Grundprinzipien angewendet, ein Fehler kann zum Verlust der Sicherheitsfunktion führen |
| 1 | Einkanalig | Bewährte Bauteile und bewährte Sicherheitsprinzipien |
| 2 | Einkanalig mit Testkanal | Fehlererkennung im Funktionskanal durch Testeinrichtung, Testrate mindestens 100-mal höher als die Anforderungsrate |
| 3 | Zwei Kanäle, redundant | Ein einzelner Fehler darf nicht zum Verlust der Sicherheitsfunktion führen, gegenseitige Kanalüberwachung |
| 4 | Zwei Kanäle, redundant | Zusätzlich robust gegen die Anhäufung von bis zu zwei unerkannten Fehlern, rechnerisch DC von 99 % |
Wichtig ist die Abgrenzung zur Passivbremse: Eine federbetätigte Bremse, die bei Energieausfall selbsttätig in den gebremsten Zustand fällt, arbeitet nach dem Fail-Safe-Prinzip, ist aber streng genommen kein redundantes System, sondern eine einzelne, ausfallsichere Funktion. Wir setzen Passivbremsen dort ein, wo auch bei Stillstand Lasten auf den Antriebsstrang wirken oder Notaus-Funktionen Personen und Maschine schützen müssen.
Die Kategorien sind technologieunabhängig gedacht: Sie gelten für elektrische, pneumatische, hydraulische und mechanische Anteile einer Sicherheitsfunktion gleichermaßen. Für den Konstrukteur bedeutet das: Die Kategorie beschreibt nur die Struktur. Ob ein redundantes Bremssystem sein Performance Level tatsächlich erreicht, entscheiden die quantitativen Größen des nächsten Abschnitts.
Performance Level bestimmen: Risikograf und PLr
Der Bewertungsweg beginnt nicht an der Bremse, sondern an der Risikobeurteilung. Aus ihr leiten Sie über den Risikografen der Norm das erforderliche Performance Level PLr ab, gestützt auf drei Parameter: die Schadensschwere (S1 leichte, reversible Verletzungen, S2 schwere, irreversible Verletzungen oder Tod), die Häufigkeit und Dauer der Exposition (F1, wenn die kumulierte Expositionszeit höchstens ein Zwanzigstel der Betriebszeit beträgt und nicht öfter als einmal pro 15 Minuten, sonst F2) sowie die Vermeidbarkeit des Schadens (P1 unter bestimmten Bedingungen möglich, P2 nicht möglich)[3].
MTTFd, Diagnosedeckungsgrad und Common-Cause-Failure
Der erreichte Performance Level PL ergibt sich dann aus vier Größen, die Sie für jede Sicherheitsfunktion nachweisen:
- Kategorie als strukturelle Anforderung, ab Kategorie 3 mit Zwei-Kanal-Redundanz und gegenseitiger Überwachung.
- MTTFd je Kanal, eingeteilt in niedrig (3 bis unter 10 Jahre), mittel (10 bis unter 30 Jahre) und hoch (30 bis 100 Jahre); in Kategorie 4 lässt sich der Wert auf bis zu 2.500 Jahre anheben[3].
- Diagnosedeckungsgrad DC als Prozentanteil erkannter gefährlicher Ausfälle; Kategorie 4 verlangt rechnerisch 99 Prozent[2]. Wie sich dieser Nachweis praktisch führen lässt, zeigt unser Beitrag zu sensorüberwachten Bremsen.
- Common-Cause-Failure: Maßnahmen gegen Ausfälle gemeinsamer Ursache, nachgewiesen mit mindestens 65 von 100 Punkten nach Anhang F der Norm[4].
Aus diesen Größen berechnen Sie die Wahrscheinlichkeit eines gefahrbringenden Ausfalls je Stunde und damit den PL, der mindestens dem PLr entsprechen muss. Werkzeuge wie das kostenfreie SISTEMA des IFA führen vom sicherheitsbezogenen Blockdiagramm bis zum erreichten PL und dokumentieren den Nachweis nachvollziehbar[4].
Homogene vs. diversitäre Redundanz in der Praxis
Zwei baugleiche Bremsen auf derselben Welle sehen nach Redundanz aus, tragen aber häufig dieselben Ausfallursachen: eine gemeinsame Spannungsversorgung, identischer Reibbelag vom selben Hersteller, gleiche Montageumgebung, gleiche thermische und Verschmutzungsbelastung. Diese homogene Redundanz ist anfällig für Common-Cause-Failures, und genau deshalb verlangt Anhang F der Norm explizite Maßnahmen wie Trennung von Energiepfaden, unterschiedliche Belagqualifikation und unabhängige Ansteuerung. Die ZVEI weist zudem darauf hin, dass Teilsysteme gleichartiger, homogener Ausführung im Allgemeinen auszuschließen sind, weil Fragen der systematischen Eignung und der erforderlichen Fehleraufdeckung oft nicht ausreichend beantwortet werden können[3].
Diversitäre Redundanz geht einen Schritt weiter und kombiniert unterschiedliche Wirkprinzipien, etwa eine federbetätigte Sicherheitsbremse als elektromechanischen Kanal mit einer hydraulischen Klemmeinheit als zweiten, unabhängigen Kanal. Unterschiedliche Physik, unterschiedliche Aktuatoren und getrennte Medienpfade senken das Risiko gemeinsamer Ausfallursachen messbar und sind der Weg zu belastbaren Nachweisen in Kategorie 3 oder 4. Für die Auslegung der Federdruckbremse als Fail-Safe-Kanal verweisen wir auf unseren Fachartikel zum Elektromotor mit Bremse.
SIL nach IEC 61508 im Vergleich zum Performance Level
Parallel zur PL-Welt existiert das SIL-System nach IEC 61508, das in der Prozessindustrie und bei Sicherheitsfunktionen mit niedriger Anforderungsrate, seltener als einmal pro Jahr, angewendet wird; die Ausgabe 2023 der ISO 13849-1 verweist für diesen Betriebsmodus explizit auf die Normenreihe DIN EN 61508[2]. Beide Systeme lassen sich über die Ausfallwahrscheinlichkeit näherungsweise vergleichen:
| Performance Level | PFH (gefährliche Ausfälle je Stunde) | entspricht näherungsweise |
|---|---|---|
| a | 10^-5 bis unter 10^-4 | kein SIL |
| b | 3 x 10^-6 bis unter 10^-5 | kein SIL |
| c | 10^-6 bis unter 3 x 10^-6 | SIL 1 |
| d | 10^-7 bis unter 10^-6 | SIL 2 |
| e | unter 10^-7 | SIL 3 |
Diese Zuordnung ist eine Näherung über die PFH-Grenzen, keine normative Gleichsetzung[5]. Welche Anforderungen SIL-klassifizierte Bremsen im Detail stellen, behandeln wir in unserem Beitrag zu SIL 1 Bremsen.
Typische Fehler bei der Umsetzung redundanter Bremssysteme
In der Praxis scheitern redundante Bremssysteme selten an der Technik, sondern am Nachweis. Diese Fehler begegnen wir am häufigsten:
- Zwei Bremsen einbauen und Redundanz behaupten: Ohne getrennte Ansteuerpfade, unabhängige Energieversorgung und nachgewiesene CCF-Maßnahmen nach Anhang F ist die Struktur keine Kategorie 3, auch wenn zwei Bremszangen montiert sind.
- Sicherheitsfunktion unscharf definiert: Bleibt unklar, welche Bauteile vom auslösenden Ereignis bis zur Reaktion im Funktionskanal liegen, ist keine belastbare Berechnung möglich. Die Norm verlangt für jede Sicherheitsfunktion eine exakte Definition mit Kurzbeschreibung, auslösendem Ereignis, notwendiger Reaktion und erlaubter Ansprechzeit[1].
- Nachweis nicht geführt: Der erreichte PL muss mindestens dem PLr entsprechen, und das ist rechnerisch zu belegen, nicht zu behaupten. SISTEMA dokumentiert diesen Schritt vom Blockdiagramm bis zum erreichten PL[4].
- Ungenügendes Ergebnis ignorieren: Reicht der erreichte PL nicht aus, gibt es genau drei Stellschrauben: Bauteile mit höherer MTTFd wählen, die Fehlererkennung verbessern oder die Kategorie anheben, etwa von Kategorie 3 auf Kategorie 4 mit DC von 99 Prozent.
Ein vierter, oft übersehener Punkt: Ein PL e darf nicht allein auf Fehlerausschlüssen beruhen, und unerkannte Ausfälle mit sehr niedriger Wahrscheinlichkeit dürfen in Kategorie 4 nur dann unberücksichtigt bleiben, wenn diese Fehlerbetrachtung dokumentiert und verifiziert ist[6].
Wir bei ATEK Drive Solutions entwickeln redundante Bremssysteme als Teil der Lösung für den kompletten Antriebsstrang: passgenau auf Ihre Sicherheitsfunktion abgestimmt, projektfertig inklusive Auslegungsnachweis und aus einer Hand mit Getrieben, Motoren und Controllern integriert. Für den sicherheitsgerichteten Betrieb von Servoachsen kombinieren wir unsere Antriebe mit federbetätigten Sicherheitsbremsen und kurzen Lösungszeiten, wie unser Beitrag zu Servo-Getriebemotoren mit Sicherheitsbremse zeigt. Sprechen Sie uns an, bevor die erste Bremse bestellt wird: Der Nachweis entscheidet über die Sicherheit, nicht die Anzahl der Bremsen.
Häufig gestellte Fragen
Was ist ein redundantes Bremssystem?
Ein redundantes Bremssystem hält seine Sicherheitsfunktion auch dann aufrecht, wenn ein Bremspfad ausfällt (Fail-Operational-Prinzip). Das gelingt über zwei Funktionskanäle mit gegenseitiger Überwachung, wie sie ab Kategorie 3 nach ISO 13849-1 gefordert werden. Voraussetzung ist der Nachweis gegen Common-Cause-Failure mit mindestens 65 von 100 Punkten nach Anhang F.
Ab welcher Kategorie nach ISO 13849-1 gilt eine Bremssteuerung als redundant?
Ab Kategorie 3. Dort sind zwei Funktionskanäle vorgesehen, und ein einzelner Fehler in einem Bauteil des ersten oder zweiten Kanals darf nicht zum Verlust der Sicherheitsfunktion führen (Einfehlersicherheit). Kategorie 4 verstärkt das zusätzlich: Auch die Anhäufung von zwei unerkannten Fehlern darf die Sicherheitsfunktion nicht aufheben.
Wie wird der erforderliche Performance Level PLr ermittelt?
Über den Risikografen der ISO 13849-1 mit den drei Parametern Schadensschwere (S1 leichte reversible Verletzungen bis S2 schwere irreversible Verletzungen oder Tod), Häufigkeit und Dauer der Exposition (F1/F2) sowie Vermeidbarkeit der Gefährdung (P1/P2). Alternativ kann der PLr direkt aus einer maschinenspezifischen C-Norm übernommen werden.
Was bedeuten MTTFd und Diagnosedeckungsgrad DC?
MTTFd ist die mittlere Zeit bis zum gefahrbringenden Ausfall je Kanal und wird in drei Klassen eingeteilt: niedrig 3 bis unter 10 Jahre, mittel 10 bis unter 30 Jahre, hoch 30 bis 100 Jahre. Der Diagnosedeckungsgrad DC beschreibt als Prozentzahl, welcher Anteil gefährlicher Bauteilfehler erkannt wird; Kategorie 4 verlangt rechnerisch 99 Prozent.
Wann wird SIL nach IEC 61508 statt des Performance Level verwendet?
In der Prozessindustrie und bei sicherheitsgerichteten Steuerungen mit niedriger Anforderungsrate, also seltener als einmal pro Jahr, wird auf die Normenreihe DIN EN 61508 verwiesen. Beide Systeme sind näherungsweise vergleichbar: PL c entspricht SIL 1, PL d entspricht SIL 2, PL e entspricht SIL 3.
Warum ist homogene Redundanz mit zwei baugleichen Bremsen problematisch?
Zwei baugleiche Bremsen teilen identische Ausfallursachen: gemeinsame Spannungsversorgung, gleicher Reibbelag, gleiche Montageumgebung. Ein solcher Common-Cause-Failure kann beide Kanäle gleichzeitig außer Gefecht setzen und die Redundanz vollständig entwerten. Diversitäre Redundanz mit unterschiedlichen Wirkprinzipien, etwa Federdruckbremse plus hydraulische Klemmeinheit, reduziert dieses Risiko.
Welche Fehler passieren bei der Umsetzung redundanter Bremssysteme häufig?
Der häufigste Fehler: Zwei Bremsen einbauen und automatisch Redundanz behaupten, ohne getrennte Ansteuerpfade und CCF-Maßnahmen nachzuweisen. Dazu kommen ungenau definierte Sicherheitsfunktionen und fehlende Nachweise mit einem Werkzeug wie SISTEMA. Der erreichte Performance Level muss mindestens dem geforderten PLr entsprechen, sonst sind höhere MTTFd-Werte, besserer DC oder eine höhere Kategorie nötig.
