AJ | Analytic Journal

Kategorie: Funktionale Sicherheit | Prozessanalytik | PLT-Schutzeinrichtungen | PAT
Autor: Dusko Kadijevic, Publisher Analytic Journal
Zuletzt aktualisiert: Mai 2026
Lesezeit: ca. 10 Minuten

Definitionen

SIL (Safety Integrity Level): Diskrete Stufe (1–4) zur Beschreibung der Zuverlässigkeitsanforderung an eine Sicherheitsfunktion in E/E/PE-Systemen. SIL 4 ist die höchste, SIL 1 die niedrigste Stufe.

PFD (Probability of Failure on Demand): Mittlere Wahrscheinlichkeit, dass eine Sicherheitsfunktion im Anforderungsfall versagt.

SIS (Safety Instrumented System): Gesamtsystem aus Sensor, Logikeinheit und Aktor.

PLT-Schutzeinrichtung: Deutsche Bezeichnung für sicherheitsgerichtete prozeßleittechnische Einrichtungen — funktional identisch mit SIS.

Teil 1: Wie ist ein Sicherheitssystem praktisch aufgebaut?

Der Sicherheitskreis — Sensor, Logik, Aktor

Jede Sicherheitsfunktion wird durch einen Sicherheitskreis realisiert. Das schwächste Glied bestimmt den erreichbaren SIL des Gesamtsystems:

Element	Funktion	Typische Geräte in der Prozessanalytik
Sensor / Analysator	Erfasst die sicherheitsrelevante Prozessgröße	TOC-Analysator, Gasdetektor, O₂-Sensor, TDLS-System, pH-Transmitter
Logikeinheit (SPS)	Bewertet Signal, entscheidet über Schutzaktion	Sicherheits-SPS nach IEC 61511
Aktor	Führt Schutzaktion aus	Sicherheitsventil, Abschaltrelais, Alarm

Was bedeuten die SIL-Level konkret? SIL steht für Safety Integrity Level — eine Skala von 1 bis 4, die beschreibt, wie zuverlässig eine Sicherheitsfunktion im Ernstfall funktionieren muss. SIL 1 ist die niedrigste Anforderung: Die Funktion darf in maximal 1 von 10 Anforderungsfällen versagen. SIL 2 verlangt eine zehnfach höhere Zuverlässigkeit: maximal 1 von 100. SIL 3 nochmals zehnfach strenger, SIL 4 ist die höchste Stufe. Die genauen Zahlenwerte — die PFD-Bereiche — folgen in Teil 2 dieser Seite.

Grundsatz: Jedes Element des Sicherheitskreises — Sensor, Logik und Aktor — muss die Anforderung des angestrebten SIL erfüllen. Ein Sensor, der SIL 2 erfüllt, ein Aktor, der nur SIL 1 erfüllt: Das Gesamtsystem erreicht nur SIL 1 — begrenzt durch das schwächste Glied. Es hilft also nichts, einen hochzertifizierten Analysator einzusetzen, wenn das Ventil am Ende der Kette die Anforderungen nicht erfüllt. Die Systembetrachtung des gesamten Kreises ist Pflicht.

Redundanzarchitekturen: 1oo1, 1oo2, 2oo3

Die Notation "MooN" bedeutet: M von N Kanälen müssen das Signal bestätigen, um die Schutzaktion auszulösen.

Architektur	Bedeutung	Fehlertoleranz	Verfügbarkeit	Typischer Einsatz
1oo1	1 von 1	Kein Fehler toleriert	Hoch	SIL 1, einfache Schutzfunktionen
1oo2	1 von 2	Ein Sensor darf ausfallen	Mittel	SIL 2–3, hohe Sicherheitsanforderung
2oo2	2 von 2	Kein Fehler toleriert	Sehr hoch	Hohe Verfügbarkeit, geringere Sicherheit
2oo3	2 von 3	Ein Sensor darf ausfallen oder Fehlsignal geben	Hoch	SIL 2–3, optimale Balance

2oo3 in der Praxis: Drei Sensoren messen dieselbe Größe. Ein Ausreißer wird durch Mehrheitsentscheid erkannt. Fällt ein Sensor aus, läuft das System weiter. Erst wenn zwei übereinstimmend ansprechen, wird die Schutzaktion ausgelöst. Das verhindert Fehlalarme und ermöglicht Wartung im laufenden Betrieb.

Diversitäre Redundanz — zwei Messprinzipien für ein Messziel

Standardredundanz schützt vor Geräteausfall, aber nicht vor systematischen Fehlern — Querempfindlichkeiten, die alle identischen Sensoren eines 2oo3-Systems gleichzeitig verfälschen.

Diversitäre Redundanz setzt zwei völlig verschiedene Messprinzipien ein:

Beispiel O₂-Messung in einem Inertisierungskreis:

Kanal 1: Paramagnetischer Sauerstoffsensor (Online-Prinzip)
Kanal 2: TDLS (Tunable Diode Laser Spectroscopy, Inline-Prinzip)

Beide Prinzipien sind physikalisch so verschieden, dass eine gemeinsame Störgröße beide gleichzeitig verfälscht, praktisch ausgeschlossen ist.

Ein wichtiger praktischer Unterschied zwischen den beiden Kanälen: Der paramagnetische Sauerstoffsensor ist ein Online-Gerät — er benötigt eine Probenaufbereitung: Probenleitung, Filter, Kühler, Druckregler und eine Gasdosierpumpe oder einen Durchflussmesser, der den Probengasstrom zum Sensor transportiert. Diese Hilfskomponenten sind Teil des Sicherheitskreises und müssen ebenfalls in die SIL-Betrachtung einbezogen werden — ein Filterausfall oder ein Pumpenstopp macht den Sensor blind, ohne dass er selbst einen Fehler anzeigt.

Das TDLS-System hingegen misst inline, direkt im Prozessrohr — ohne Probenentnahme, ohne Probenleitung, ohne Pumpe. Das reduziert die Anzahl sicherheitsrelevanter Hilfskomponenten erheblich und vereinfacht die SIL-Betrachtung.

Hinweis: Die Unterschiede zwischen Online- und Inline-Messprinzipien, ihre jeweiligen Vor- und Nachteile in SIL-Applikationen sowie die Einbindung von Durchflussmessern in Sicherheitskreise werden in einem separaten Artikel auf Analytic Journal vertieft.

Aspekt	Standard-Redundanz (gleicher Typ)	Diversitäre Redundanz (zwei Prinzipien)
Investitionskosten	Mittel	Hoch
Kalibrierung	Ein Verfahren	Zwei Verfahren, zwei Standards
Wartung	Einheitlich	Zwei Konzepte, zwei Ersatzteilhaltungen
Schutz vor systematischen Fehlern	Begrenzt	Sehr hoch
Validierungsaufwand	Standard	Umfangreich — beide Prinzipien

Fazit: Diversitäre Redundanz ist kein Standardweg, sondern Ausnahme für Hochrisikoapplikationen, bei denen systematische Fehler nicht ausgeschlossen werden können. Der Aufwand ist erheblich und muss im HAZOP-Prozess explizit begründet werden.

Teil 2: SIL-Stufen und PFD-Werte

Die vier SIL-Stufen

SIL-Stufe	PFD-Bereich (Low Demand)	PFH-Bereich (High Demand)	Risikominderungsfaktor	Typische Anwendung
SIL 1	10⁻¹ bis 10⁻²	10⁻⁵ bis 10⁻⁶/h	10–100	Allgemeine Prozessüberwachung
SIL 2	10⁻² bis 10⁻³	10⁻⁶ bis 10⁻⁷/h	100–1.000	Sicherheitskritische Chemieprozesse
SIL 3	10⁻³ bis 10⁻⁴	10⁻⁷ bis 10⁻⁸/h	1.000–10.000	Hochkritische Anlagen, Öl & Gas
SIL 4	10⁻⁴ bis 10⁻⁵	10⁻⁸ bis 10⁻⁹/h	10.000–100.000	Kerntechnik, selten in der Prozessindustrie

Betriebsarten: Low Demand vs. High Demand

Merkmal	Low Demand Mode	High Demand / Continuous Mode
Anforderungsrate	Max. 1× pro Jahr	Häufiger als 1× pro Jahr
Maßgebliche Kenngröße	PFD	PFH (Probability of Failure per Hour)
Typisches Beispiel	Notabsperrventil	Kontinuierlicher Gasdetektor

Teil 3: Weitere Kenngrößen

Kenngröße	Vollbezeichnung	Bedeutung
HFT	Hardware Fault Tolerance	Tolerierbare Hardwarefehler ohne Verlust der Sicherheitsfunktion
SFF	Safe Failure Fraction	Anteil der Ausfälle ohne gefährlichen Zustand (in %)
MTBF	Mean Time Between Failures	Mittlere Betriebsdauer zwischen zwei Ausfällen
DC	Diagnostic Coverage	Anteil gefährlicher Ausfälle, die durch Eigendiagnose erkannt werden
PFDavg	Average PFD	Mittlerer PFD über das Prüfintervall — maßgeblich für SIL-Nachweis

SFF und HFT zusammen bestimmen das maximal erreichbare SIL eines Gerätes. Ein hoher SFF (> 90%) erlaubt bei einfacher Architektur (HFT = 0) trotzdem SIL 2 — geregelt in IEC 61508 Teil 2.

Teil 4: Besonderheiten von Prozessanalysatoren in SIL-Anwendungen

Analysatoren vs. Druck- und Temperatursensoren

Druck- und Temperaturtransmitter werden weltweit in Millionen von Installationen eingesetzt. Diese Masse führt zu gut belegten PFD-Werten, standardisierten Prüfverfahren und etablierten Kalibrierprozessen.

Prozessanalysatoren befinden sich in einer grundlegend anderen Situation:

Merkmal	Druck-/Temperaturtransmitter	Prozessanalysator
Installationszahl weltweit	Millionen	Hunderte bis Tausende
Felddatenbasis für PFD	Sehr groß, gut belegt	Begrenzt, oft applikationsspezifisch
Einfluss der Chemie auf Messung	Gering — Physik dominiert	Hoch — Querempfindlichkeiten, Matrixeffekte
Kalibrieraufwand	Gering, standardisierbar	Mittel bis hoch, applikationsspezifisch
Probenaufbereitung	Nicht erforderlich	Häufig notwendig (Filter, Kühler, Konditionierung)
Fehlerquellen	Mechanisch, Membranbruch, Drift	Chemisch, optisch, mechanisch, matrixbedingt
Prüfverfahren im Betrieb	Einfach (Referenzdruck anlegen)	Komplex (Referenzgas, Standardlösung)
Validierungsstudien	Selten erforderlich	Häufig notwendig

Der entscheidende Unterschied: Beim Drucktransmitter ist Physik das Messprinzip — robust gegenüber Prozessänderungen. Beim Analysator ist die Chemie des Prozessmediums direkt in das Messprinzip eingebunden. Ein Begleitstoff, der nicht in der Spezifikation stand, kann das Messergebnis signifikant verfälschen — ohne dass das Gerät einen Fehler anzeigt. Das ist ein stiller Fehler, der in SIL-Anwendungen besonders kritisch ist.

Querempfindlichkeiten — die zentrale Herausforderung

Eine Querempfindlichkeit liegt vor, wenn ein Analysator nicht nur auf die Zielkomponente reagiert, sondern auch auf andere Stoffe im Prozessmedium — und dadurch einen verfälschten Messwert ausgibt, ohne als fehlerhaft erkannt zu werden.

Messprinzip	Zielkomponente	Mögliche Querempfindlichkeit
NDIR (Infrarot)	CO	CO₂, H₂O, CH₄ (spektrale Überlappung)
Elektrochemisch	O₂	H₂S, SO₂, Cl₂ (Sensorvergiftung)
Paramagnetisch	O₂	NO, NO₂ (ebenfalls paramagnetisch)
UV-Fluoreszenz	SO₂	Aromatische Kohlenwasserstoffe
TDLS	H₂O, O₂, NH₃, CO	Druckabhängigkeit, Temperatureffekte auf Absorptionslinien
Wärmeleitfähigkeit	H₂, He, CO₂	Alle Gase mit abweichender Wärmeleitfähigkeit
NIR-Spektroskopie	Feuchte, Konzentrationen	Partikelstreuung, Temperatur, Matrixvarianz

Konsequenz für SIL: Querempfindlichkeiten müssen systematisch untersucht, dokumentiert und quantifiziert werden. Ohne diese Validierung kann kein belastbarer PFD-Wert angegeben — und kein SIL-Nachweis geführt werden.

Detected vs. Undetected Errors — warum unerkannte Fehler so gefährlich sind

Ein zentrales Konzept der funktionalen Sicherheit ist die Unterscheidung zwischen erkannten und unerkannten Fehlern:

Detected Error (erkannter Fehler): Das Gerät erkennt seinen eigenen Ausfall — durch Eigendiagnose, Plausibilitätsprüfung oder Signalbereichsüberwachung — und gibt ein eindeutiges Fehlersignal aus (z.B. Alarmsignal, 3,6 mA Fehlerstrom nach NAMUR NE 43). Der Sicherheitskreis weiß: dieser Kanal ist ausgefallen. Die Situation ist beherrschbar.

Undetected Error (unerkannter Fehler): Das Gerät hat einen Fehler, aber es zeigt keinen an. Es gibt weiterhin einen Messwert aus — der aber falsch ist. Der Sicherheitskreis "glaubt", alles sei in Ordnung. Im Ernstfall löst die Schutzfunktion nicht aus, obwohl sie sollte.

Fehlertyp	Signalverhalten	Konsequenz für den Sicherheitskreis
Detected Error	Fehlersignal, Alarm, definierter Ausgang	Ausfall bekannt — Wartung wird eingeleitet, System arbeitet mit verbleibenden Kanälen
Undetected Error	Scheinbar normaler Messwert, aber falsch	Ausfall unbekannt — im Ernstfall versagt die Schutzfunktion still

Warum unerkannte Fehler das eigentliche SIL-Problem sind: Der PFD-Wert eines Gerätes wird maßgeblich durch die Rate gefährlicher unerkannter Ausfälle (λDU — Dangerous Undetected Failure Rate) bestimmt. Je höher dieser Wert, desto schlechter der PFD, desto schwieriger der SIL-Nachweis. Eine hohe Diagnostic Coverage (DC) — also die Fähigkeit des Gerätes, eigene Fehler zu erkennen — reduziert λDU direkt und verbessert damit den erreichbaren PFD erheblich.

Für Prozessanalysatoren besonders kritisch: Ein Analysator kann "korrekt messen" im technischen Sinne — kein Gerätefehler, kein Elektronikausfall — aber durch eine Querempfindlichkeit einen systematisch falschen Wert liefern. Das ist der gefährlichste Fall: kein Fehlersignal, aber falsche Information. Genau deshalb sind Querempfindlichkeitsstudien in SIL-Projekten mit Analysatoren nicht optional.

EMV, Software und Umgebungseinflüsse — Störgrößen die oft unterschätzt werden

In der chemischen Industrie werden Geräte nicht nur auf Messgenauigkeit und Querempfindlichkeiten geprüft. Für eine SIL-Qualifizierung müssen Störgrößen systematisch getestet werden, die aus der Umgebung kommen — und die viele Geräte aus dem SIL-Rennen werfen:

Elektromagnetische Verträglichkeit (EMV): Prozessumgebungen enthalten starke elektromagnetische Felder — Frequenzumrichter, große Motoren, Schweißgeräte, Hochspannungsleitungen. Ein Analysator, dessen Messwert oder Steuerungselektronik durch elektromagnetische Einstreuung beeinflusst wird, kann unerkannte Fehler produzieren. EMV-Prüfung nach IEC 61000 ist für SIL-Geräte Pflicht — und nicht alle Geräte bestehen diese Tests.

Software und Firmware: Moderne Analysatoren enthalten komplexe Software — für Signalverarbeitung, Kalibrierung, Eigendiagnose und Kommunikation. Softwarefehler sind systematische Fehler: Sie betreffen alle Geräte desselben Typs gleichzeitig, sind nicht durch Hardware-Redundanz beherrschbar und schwer zu erkennen. IEC 61508 Teil 3 regelt die Softwareentwicklung für sicherheitsgerichtete Systeme mit eigenen Anforderungen an Entwicklungsprozess, Testabdeckung und Dokumentation. Viele Hersteller unterschätzen diesen Aufwand — und scheitern genau hier beim SIL-Assessment.

Temperatureinflüsse auf den Sensor: Umgebungstemperatur und Prozesstemperatur können Messwerte direkt beeinflussen — durch thermische Ausdehnung mechanischer Teile, Änderung elektrischer Eigenschaften, Verschiebung optischer Eigenschaften oder Beeinflussung des Referenzelements. Ein Sensor, dessen Messwert sich bei Temperaturänderung im Prozess oder in der Umgebung systematisch verschiebt, hat eine Querempfindlichkeit gegenüber Temperatur. Das muss quantifiziert, kompensiert oder als Fehlerquelle im PFD-Wert berücksichtigt werden.

Vibration und mechanische Belastung: In der Nähe von Pumpen, Kompressoren oder Mühlen können Vibrationen Sensoren mechanisch belasten und zu beschleunigtem Verschleiß oder veränderten Messwerten führen.

Störgröße	Prüfnorm (Auswahl)	Typischer Ausschlussgrund
Elektromagnetische Einstrahlung	IEC 61000-4 Serie	Messwertverschiebung durch Feldeinfluss
Leitungsgeführte Störungen	IEC 61000-4-4, -4-5	Signalstörungen auf Messleitungen
Software / Firmware	IEC 61508 Teil 3	Nicht ausreichend getestete Softwarepfade
Umgebungstemperatur	IEC 60068-2	Drift außerhalb der Spezifikation bei Extremtemperaturen
Vibration	IEC 60068-2-6	Mechanischer Verschleiß, Signalinstabilität
Feuchtigkeit	IEC 60068-2-78	Korrosion, Kriechströme, Isolationsversagen

Praktische Konsequenz: SIL-Qualifizierungsprojekte für Prozessanalysatoren scheitern häufig nicht an der Messleistung des Gerätes, sondern an diesen Umgebungsprüfungen. Ein Analysator, der im Labor perfekt misst, kann in der rauen Prozessumgebung — mit Vibration, EMV-Einstreuung und Temperaturschwankungen — einen systematisch falschen Wert liefern, ohne es anzuzeigen. Diese Tests müssen vor dem SIL-Assessment abgeschlossen sein — nicht danach.

TDLS — ein Messprinzip mit wachsendem SIL-Vertrauen

TDLS (Tunable Diode Laser Spectroscopy) hat sich in den letzten 20 Jahren als eines der zuverlässigsten Messprinzipien für In-situ-Gasmessung in rauen Prozessumgebungen etabliert. Das Vertrauen in die Technologie ist heute so groß, dass TDLS-Systeme zunehmend direkt in SIL-relevante PAT-Anwendungen eingebunden werden.

Eigenschaft	Bedeutung für SIL
Hochselektiv	Gasspezifische Absorptionslinien — kaum Querempfindlichkeiten bei richtiger Wellenlängenwahl
In-situ-Messung	Keine Probenentnahme, keine Probenleitung — weniger Fehlerquellen
Keine Verbrauchsstoffe	Kein Referenzgas, keine Reagenzien — geringerer Wartungsaufwand
Integrierte Eigendiagnose	Laserleistung und optische Qualität werden kontinuierlich überwacht — hohe DC
Druckabhängigkeit beherrschbar	Bei bekanntem Prozessdruck kompensierbar
Wachsende Felddatenbasis	20+ Jahre Industrieeinsatz, zunehmend belastbare PFD-Werte

Typische TDLS-Anwendungen in SIL-Kontext:

O₂ in Inertisierungsüberwachung (Explosionsschutz, SIL 1–2)
NH₃ in Düngemittelproduktion und Kälteanlagen (Personenschutz)
CO in Brenngas- und Vergasungsanlagen
H₂O (Taupunkt) in Erdgas- und Synthesegasanlagen

Grenzen von TDLS:

Stark partikelbeladene Medien können den Laserstrahl abschwächen
Höhere Investitionskosten als konventionelle Sensoren
Für flüssige Medien und komplexe Gemische weniger geeignet

Validierungsstudien — warum sie für Analysatoren oft unvermeidlich sind

Für Drucktransmitter reicht der Nachweis durch Typprüfung und Betriebsbewährung. Für Prozessanalysatoren in SIL-Anwendungen reicht das oft nicht:

1. Fehlende Felddatenbasis: Ein PFD-Wert ohne ausreichende statistische Basis ist nicht belastbar.

2. Applikationsspezifische Einflüsse: Derselbe Analysator verhält sich in Erdgas anders als in Synthesegas. Die Prozessmatrix beeinflusst das Messergebnis auf eine Weise, die nur durch applikationsspezifische Tests quantifiziert werden kann.

Prüfpunkt	Ziel der Validierung
Querempfindlichkeitsanalyse	Alle relevanten Begleitstoffgruppen systematisch testen
Langzeitstabilität / Drift	PFD-relevante Driftrate über den Prüfzyklus bestimmen
Umgebungseinflüsse	Temperatur, Vibration, EMV auf Messergebnis prüfen
Probenaufbereitungsausfall	Was passiert bei Filterausfall, Pumpenausfall?
Fail-Safe-Verhalten	Welchen Zustand nimmt der Analysator bei Eigenausfall ein?
Kalibrierbeständigkeit	Stabilität der Kalibrierung zwischen zwei Prüfzyklen

Teil 5: SIL-Zertifizierung und Prüfintervalle

Wer darf was zertifizieren?

SIL-Stufe	Zertifizierungsweg	Beispiele
SIL 1	Herstellererklärung möglich	Intern mit Nachweis
SIL 2	Herstellererklärung möglich	Intern oder optional TÜV/Exida
SIL 3	Externe Zertifizierung zwingend	TÜV Rheinland, TÜV SÜD, Exida, Bureau Veritas
SIL 4	Externe Zertifizierung zwingend	Spezialisierte akkreditierte Stellen

Prüfintervalle und PFDavg

Vereinfachte Formel: PFDavg ≈ λDU × Ti / 2
(λDU = Rate gefährlicher unentdeckter Ausfälle, Ti = Prüfintervall)

Prüfintervall	Auswirkung auf PFDavg	Auswirkung auf Betrieb
Kurz (3 Monate)	PFDavg sinkt, SIL steigt	Hoher Wartungsaufwand
Mittel (1 Jahr)	Standard für SIL-2-Anwendungen	Balance aus Sicherheit und Verfügbarkeit
Lang (4 Jahre)	PFDavg steigt	Geringe Wartungslast, höhere Geräteanforderungen

Teil 6: Normen und Regelwerke

Standard	Anwendungsbereich
IEC 61508 (DIN EN 61508)	Grundnorm — E/E/PE-Systeme
IEC 61511 (DIN EN 61511)	Prozessindustrie — SIS, Chemie, Petrochemie, Pharma
IEC 62061	Maschinenbau
VDI/VDE 2180	Sicherung verfahrenstechnischer Anlagen (DACH)
NAMUR NE 79	Feldgeräte in sicherheitsinstrumentierten Systemen
NAMUR NE 43	Einheitssignale für Analysatoren bei Fehler (Fail-Safe)
IEC 60079	Explosionsschutz (ATEX) — Überschneidung mit SIL bei Gasdetektoren

Häufig gestellte Fragen (FAQ)

Was ist der Unterschied zwischen SIL und PFD?
SIL ist die Stufe (1–4), PFD ist der numerische Wert dahinter. SIL 2 bedeutet, dass die Ausfallwahrscheinlichkeit zwischen 10⁻³ und 10⁻² liegt. PFD ist Datenbasis, SIL ist normative Einordnung.

Warum ist ein Prozessanalysator schwieriger für SIL zu qualifizieren als ein Drucksensor?
Drucksensoren haben eine riesige Felddatenbasis und physikalisch robuste Messprinzipien. Analysatoren messen in chemisch aktiven Medien — Querempfindlichkeiten, Matrixeffekte und begrenzte Felddaten machen applikationsspezifische Validierungsstudien oft unvermeidlich.

Was ist diversitäre Redundanz und wann ist sie notwendig?
Zwei völlig verschiedene Messprinzipien für dieselbe Messgröße — um systematische Fehler auszuschließen. Aufwendig und teuer, aber in Hochrisikoapplikationen mit unkontrollierbaren Querempfindlichkeiten manchmal der einzig sichere Weg.

Warum gewinnt TDLS in SIL-Anwendungen an Bedeutung?
Hohe Selektivität, keine Verbrauchsstoffe, In-situ-Messung ohne Probenaufbereitung, integrierte Eigendiagnose mit hoher Diagnostic Coverage und über 20 Jahre Felderfahrung machen TDLS zu einem zunehmend vertrauenswürdigen Messprinzip für sicherheitsrelevante Anwendungen.

Was sind typische Fehler bei SIL-Projekten mit Analysatoren?
Erstens: Gerät SIL-zertifiziert, aber Gesamtkreis nicht nachgewiesen. Zweitens: Querempfindlichkeiten nicht systematisch untersucht. Drittens: Prüfintervall zu lang gewählt, PFDavg verfehlt die SIL-Anforderung. Viertens: Probenaufbereitung nicht in die Sicherheitsbetrachtung einbezogen.

Was bedeutet 2oo3-Abstimmung konkret?
Drei Sensoren messen dieselbe Größe. Zwei von drei müssen übereinstimmend ansprechen, um die Schutzaktion auszulösen. Fehlalarme durch Einzelausreißer werden vermieden, Wartung eines Sensors im Betrieb ist möglich.

Muss jeder Analysator im SIL-Kreis zertifiziert sein?
Er muss die SIL-Anforderungen erfüllen — durch formale Zertifizierung oder Betriebsbewährungsnachweis. Bei Analysatoren mit begrenzter Felddatenbasis ist eine formale Zertifizierung oft der praktischere Weg.

Was ist ein unerkannter Fehler und warum ist er so gefährlich?
Ein unerkannter (undetected) Fehler liegt vor, wenn ein Gerät einen falschen Messwert ausgibt, ohne einen Alarm oder ein Fehlersignal zu erzeugen. Der Sicherheitskreis "glaubt", alles sei in Ordnung — im Ernstfall löst die Schutzfunktion nicht aus. Der PFD-Wert eines Gerätes wird maßgeblich durch die Rate gefährlicher unerkannter Ausfälle bestimmt. Je höher die Diagnostic Coverage (DC), desto mehr Fehler erkennt das Gerät selbst — und desto besser der PFD.

Warum fallen viele Analysatoren bei der SIL-Qualifizierung durch EMV- und Temperaturtests?
Prozessumgebungen enthalten starke elektromagnetische Felder und Temperaturschwankungen, die Messwerte beeinflussen können — ohne dass das Gerät einen Fehler anzeigt. Das sind unerkannte Fehler. EMV-Prüfungen nach IEC 61000 und Umgebungstests nach IEC 60068 sind für SIL-Geräte Pflicht. Viele Geräte, die im Labor einwandfrei messen, scheitern an diesen Umgebungsanforderungen.

Warum ist Software ein SIL-Risikofaktor?
Softwarefehler sind systematische Fehler — sie betreffen alle Geräte desselben Typs gleichzeitig und sind durch Hardware-Redundanz nicht beherrschbar. IEC 61508 Teil 3 stellt eigene Anforderungen an Softwareentwicklung, Testabdeckung und Dokumentation für sicherheitsgerichtete Systeme. Viele Hersteller unterschätzen diesen Aufwand und scheitern beim SIL-Assessment an der Softwaredokumentation.

NE 43 definiert Einheitssignale für Analysatoren im Fehlerfall (z.B. < 3,6 mA als Fehlersignal). In SIL-Anwendungen ist das Fail-Safe-Verhalten entscheidend: Geht der Analysator bei Eigenausfall in einen erkannten, sicheren Zustand?

Quellen und weiterführende Literatur

Normen und Richtlinien

Norm	Titel	Relevanz für diesen Artikel
IEC 61508 (DIN EN 61508)	Functional Safety of E/E/PE Safety-related Systems	Grundnorm, SIL-Definition, PFD, HFT, SFF, DC
IEC 61508-3	Software Requirements for Safety Systems	Softwareanforderungen für sicherheitsgerichtete Systeme
IEC 61511 (DIN EN 61511)	Safety Instrumented Systems for the Process Industry	SIS in der Prozessindustrie, HAZOP-Integration
IEC 61000 (Serie)	Elektromagnetische Verträglichkeit (EMV)	EMV-Anforderungen für SIL-Geräte
IEC 60068 (Serie)	Umweltprüfungen	Temperatur, Vibration, Feuchtigkeit — Umgebungsqualifizierung
IEC 60079	Explosionsschutz (ATEX)	Überschneidung mit SIL bei Gasdetektoren und Ex-Bereichen
IEC 62061	Funktionale Sicherheit im Maschinenbau	Vergleichsnorm zur IEC 61508/61511

Nationale und Industriestandards

Standard	Herausgeber	Inhalt
VDI/VDE 2180	VDI/VDE	Sicherung von Anlagen der Prozessindustrie — DACH-spezifische Umsetzung
NAMUR NE 43	NAMUR	Einheitssignale für Prozessanalysatoren — Fail-Safe-Verhalten (4–20 mA)
NAMUR NE 79	NAMUR	Einsatz von Feldgeräten in sicherheitsinstrumentierten Systemen

Fachliteratur

Rausand, M. (2014): Standardwerk zur Zuverlässigkeit sicherheitskritischer Systeme — theoretische Grundlagen und industrielle Anwendungen. Wiley.
Smith, D.J.; Simpson, K.G.L. (2010): Praxisorientierter Leitfaden zur Umsetzung von IEC 61508 und IEC 61511 — empfohlen für Einsteiger und Praktiker. Butterworth-Heinemann, 3. Auflage.
Goble, W.; Brombacher, A. (2000): Methodik zur Ausfallratenanalyse (FMEDA) als Grundlage für SIL-Assessments. ISA.
CCPS / AIChE (2007): Leitfaden für die Auslegung und den zuverlässigen Betrieb sicherheitsinstrumentierter Schutzsysteme. Wiley.
CCPS / AIChE (2000): Quantitative Risikoanalyse für chemische Prozesse — methodische Grundlage für SIL-Bestimmung via LOPA. Wiley, 2. Auflage.

Organisationen und Datenquellen

Organisation	Ressource
exida (www.exida.com)	SIL-Daten, Failure Rates, Geräteassessments, FMEDA-Datenbank
TÜV SÜD / TÜV Rheinland	Zertifizierungsrichtlinien, Whitepapers zu SIL-Bewertungen
NAMUR (www.namur.net)	Empfehlungen für Prozessindustrie, NE-Reihe
HSE (UK Health and Safety Executive)	Human Factors and Functional Safety Reports
ISA (International Society of Automation)	ISA-84 — US-amerikanisches Pendant zu IEC 61511

Spezifisch Prozessanalytik und PAT

Quelle	Inhalt
ASTM E1655	Prüfverfahren für multivariate quantitative Analyse im Nahinfrarot — Grundlage für NIR in der Prozessanalytik
ISO 10723	Leistungsbewertung von Analysensystemen in der Erdgasindustrie — Methodik übertragbar auf Prozessanalysatoren allgemein
ISO 13528	Statistische Methoden zur Beurteilung analytischer Verfahren durch Ringversuche — relevant für Validierungsstudien
Hersteller-Safety-Manuals und SIL-Zertifikate	Gerätespezifische PFD-Werte und Sicherheitskenngrößen sind ausschließlich den offiziellen Safety Manuals und Zertifikaten des jeweiligen Herstellers zu entnehmen. Zu beziehen direkt beim Hersteller oder über akkreditierte Zertifizierungsstellen wie exida oder TÜV.
AIChE CCPS	Leitfäden zur Prozesssicherheit in der chemischen und petrochemischen Industrie — relevant für Gasanalytik in SIL-Umgebungen

Hinweis: Normen werden regelmäßig überarbeitet. Für SIL-Nachweise sind stets die zum Zeitpunkt der Planung gültigen Ausgaben maßgeblich. Die hier genannten Ausgaben entsprechen dem Stand Mai 2026.

Fazit

SIL und PFD sind unverzichtbare Kenngrößen für jeden, der Prozessanalysatoren in sicherheitsrelevante Schutzkreise einbinden will. Die Besonderheiten von Analysatoren — chemische Einflüsse, Querempfindlichkeiten, begrenzte Felddatenbasis, komplexe Probenaufbereitung — erfordern eine systematischere Qualifizierung als bei Druck- und Temperaturtransmittern.

TDLS hat sich als Technologie mit wachsendem SIL-Vertrauen etabliert. Diversitäre Redundanz bleibt die Ausnahme — aber eine notwendige, wenn systematische Fehler nicht ausgeschlossen werden können.

Der SIL-Nachweis ist immer eine Systemaufgabe — nicht die Aufgabe eines einzelnen Gerätes.

Analytic Journal — Das Portal der Prozessanalytik
Dusko Kadijevic | DK Consulting | Publisher Analytic Journal | analyticjournal.de | +491733129816
Verfasst Mai 2026. Normänderungen sind möglich — aktuelle Normausgaben sind maßgeblich.

Weiterführende Themen auf Analytic Journal:

TOC-Bestimmung in Wasser — Messprinzip, Normen, Hersteller
TDLS in der Prozessanalytik — Grundlagen und Applikationen
Gasanalytik in der Prozessindustrie — ATEX, Ex-Schutz und Messprinzipien
Inline, Online, At-line — Was bedeuten die Begriffe wirklich?
Querempfindlichkeiten in der Gasanalytik — Ursachen und Gegenmaßnahmen

SIL und PFD — Funktionale Sicherheit für Prozessanalysatoren