Das Analytic Journal wächst – Ihre Anregungen gestalten die Plattform mit.Anregung senden
Kategorie: Funktionale Sicherheit | Prozessanalytik | PLT-Schutzeinrichtungen | PAT
Autor: Dusko Kadijevic, Publisher Analytic Journal
Zuletzt aktualisiert: 21. Oktober 2026
Lesezeit: ca. 10 Minuten
SIL (Safety Integrity Level): Diskrete Stufe (1–4) zur Beschreibung der Zuverlässigkeitsanforderung an eine Sicherheitsfunktion in E/E/PE-Systemen. SIL 4 ist die höchste, SIL 1 die niedrigste Stufe.
PFD (Probability of Failure on Demand): Mittlere Wahrscheinlichkeit, dass eine Sicherheitsfunktion im Anforderungsfall versagt.
SIS (Safety Instrumented System): Gesamtsystem aus Sensor, Logikeinheit und Aktor.
PLT-Schutzeinrichtung: Deutsche Bezeichnung für sicherheitsgerichtete prozeßleittechnische Einrichtungen — funktional identisch mit SIS.
Jede Sicherheitsfunktion wird durch einen Sicherheitskreis realisiert. Das schwächste Glied bestimmt den erreichbaren SIL des Gesamtsystems:
| Element | Funktion | Typische Geräte in der Prozessanalytik |
|---|---|---|
| Sensor / Analysator | Erfasst die sicherheitsrelevante Prozessgröße | TOC-Analysator, Gasdetektor, O₂-Sensor, TDLS-System, pH-Transmitter |
| Logikeinheit (SPS) | Bewertet Signal, entscheidet über Schutzaktion | Sicherheits-SPS nach IEC 61511 |
| Aktor | Führt Schutzaktion aus | Sicherheitsventil, Abschaltrelais, Alarm |
Was bedeuten die SIL-Level konkret? SIL steht für Safety Integrity Level — eine Skala von 1 bis 4, die beschreibt, wie zuverlässig eine Sicherheitsfunktion im Ernstfall funktionieren muss. SIL 1 ist die niedrigste Anforderung: Die Funktion darf in maximal 1 von 10 Anforderungsfällen versagen. SIL 2 verlangt eine zehnfach höhere Zuverlässigkeit: maximal 1 von 100. SIL 3 nochmals zehnfach strenger, SIL 4 ist die höchste Stufe. Die genauen Zahlenwerte — die PFD-Bereiche — folgen in Teil 2 dieser Seite.
Grundsatz: Jedes Element des Sicherheitskreises — Sensor, Logik und Aktor — muss die Anforderung des angestrebten SIL erfüllen. Ein Sensor, der SIL 2 erfüllt, ein Aktor, der nur SIL 1 erfüllt: Das Gesamtsystem erreicht nur SIL 1 — begrenzt durch das schwächste Glied. Es hilft also nichts, einen hochzertifizierten Analysator einzusetzen, wenn das Ventil am Ende der Kette die Anforderungen nicht erfüllt. Die Systembetrachtung des gesamten Kreises ist Pflicht.
Die Notation "MooN" bedeutet: M von N Kanälen müssen das Signal bestätigen, um die Schutzaktion auszulösen.
| Architektur | Bedeutung | Fehlertoleranz | Verfügbarkeit | Typischer Einsatz |
|---|---|---|---|---|
| 1oo1 | 1 von 1 | Kein Fehler toleriert | Hoch | SIL 1, einfache Schutzfunktionen |
| 1oo2 | 1 von 2 | Ein Sensor darf ausfallen | Mittel | SIL 2–3, hohe Sicherheitsanforderung |
| 2oo2 | 2 von 2 | Kein Fehler toleriert | Sehr hoch | Hohe Verfügbarkeit, geringere Sicherheit |
| 2oo3 | 2 von 3 | Ein Sensor darf ausfallen oder Fehlsignal geben | Hoch | SIL 2–3, optimale Balance |
2oo3 in der Praxis: Drei Sensoren messen dieselbe Größe. Ein Ausreißer wird durch Mehrheitsentscheid erkannt. Fällt ein Sensor aus, läuft das System weiter. Erst wenn zwei übereinstimmend ansprechen, wird die Schutzaktion ausgelöst. Das verhindert Fehlalarme und ermöglicht Wartung im laufenden Betrieb.
Standardredundanz schützt vor Geräteausfall, aber nicht vor systematischen Fehlern — Querempfindlichkeiten, die alle identischen Sensoren eines 2oo3-Systems gleichzeitig verfälschen.
Diversitäre Redundanz setzt zwei völlig verschiedene Messprinzipien ein:
Beispiel O₂-Messung in einem Inertisierungskreis:
Beide Prinzipien sind physikalisch so verschieden, dass eine gemeinsame Störgröße beide gleichzeitig verfälscht, praktisch ausgeschlossen ist.
Ein wichtiger praktischer Unterschied zwischen den beiden Kanälen: Der paramagnetische Sauerstoffsensor ist ein Online-Gerät — er benötigt eine Probenaufbereitung: Probenleitung, Filter, Kühler, Druckregler und eine Gasdosierpumpe oder einen Durchflussmesser, der den Probengasstrom zum Sensor transportiert. Diese Hilfskomponenten sind Teil des Sicherheitskreises und müssen ebenfalls in die SIL-Betrachtung einbezogen werden — ein Filterausfall oder ein Pumpenstopp macht den Sensor blind, ohne dass er selbst einen Fehler anzeigt.
Das TDLS-System hingegen misst inline, direkt im Prozessrohr — ohne Probenentnahme, ohne Probenleitung, ohne Pumpe. Das reduziert die Anzahl sicherheitsrelevanter Hilfskomponenten erheblich und vereinfacht die SIL-Betrachtung.
Hinweis: Die Unterschiede zwischen Online- und Inline-Messprinzipien, ihre jeweiligen Vor- und Nachteile in SIL-Applikationen sowie die Einbindung von Durchflussmessern in Sicherheitskreise werden in einem separaten Artikel auf Analytic Journal vertieft.
| Aspekt | Standard-Redundanz (gleicher Typ) | Diversitäre Redundanz (zwei Prinzipien) |
|---|---|---|
| Investitionskosten | Mittel | Hoch |
| Kalibrierung | Ein Verfahren | Zwei Verfahren, zwei Standards |
| Wartung | Einheitlich | Zwei Konzepte, zwei Ersatzteilhaltungen |
| Schutz vor systematischen Fehlern | Begrenzt | Sehr hoch |
| Validierungsaufwand | Standard | Umfangreich — beide Prinzipien |
Fazit: Diversitäre Redundanz ist kein Standardweg, sondern Ausnahme für Hochrisikoapplikationen, bei denen systematische Fehler nicht ausgeschlossen werden können. Der Aufwand ist erheblich und muss im HAZOP-Prozess explizit begründet werden.
| SIL-Stufe | PFD-Bereich (Low Demand) | PFH-Bereich (High Demand) | Risikominderungsfaktor | Typische Anwendung |
|---|---|---|---|---|
| SIL 1 | 10⁻¹ bis 10⁻² | 10⁻⁵ bis 10⁻⁶/h | 10–100 | Allgemeine Prozessüberwachung |
| SIL 2 | 10⁻² bis 10⁻³ | 10⁻⁶ bis 10⁻⁷/h | 100–1.000 | Sicherheitskritische Chemieprozesse |
| SIL 3 | 10⁻³ bis 10⁻⁴ | 10⁻⁷ bis 10⁻⁸/h | 1.000–10.000 | Hochkritische Anlagen, Öl & Gas |
| SIL 4 | 10⁻⁴ bis 10⁻⁵ | 10⁻⁸ bis 10⁻⁹/h | 10.000–100.000 | Kerntechnik, selten in der Prozessindustrie |
| Merkmal | Low Demand Mode | High Demand / Continuous Mode |
|---|---|---|
| Anforderungsrate | Max. 1× pro Jahr | Häufiger als 1× pro Jahr |
| Maßgebliche Kenngröße | PFD | PFH (Probability of Failure per Hour) |
| Typisches Beispiel | Notabsperrventil | Kontinuierlicher Gasdetektor |
| Kenngröße | Vollbezeichnung | Bedeutung |
|---|---|---|
| HFT | Hardware Fault Tolerance | Tolerierbare Hardwarefehler ohne Verlust der Sicherheitsfunktion |
| SFF | Safe Failure Fraction | Anteil der Ausfälle ohne gefährlichen Zustand (in %) |
| MTBF | Mean Time Between Failures | Mittlere Betriebsdauer zwischen zwei Ausfällen |
| DC | Diagnostic Coverage | Anteil gefährlicher Ausfälle, die durch Eigendiagnose erkannt werden |
| PFDavg | Average PFD | Mittlerer PFD über das Prüfintervall — maßgeblich für SIL-Nachweis |
SFF und HFT zusammen bestimmen das maximal erreichbare SIL eines Gerätes. Ein hoher SFF (> 90%) erlaubt bei einfacher Architektur (HFT = 0) trotzdem SIL 2 — geregelt in IEC 61508 Teil 2.
Druck- und Temperaturtransmitter werden weltweit in Millionen von Installationen eingesetzt. Diese Masse führt zu gut belegten PFD-Werten, standardisierten Prüfverfahren und etablierten Kalibrierprozessen.
Prozessanalysatoren befinden sich in einer grundlegend anderen Situation:
| Merkmal | Druck-/Temperaturtransmitter | Prozessanalysator |
|---|---|---|
| Installationszahl weltweit | Millionen | Hunderte bis Tausende |
| Felddatenbasis für PFD | Sehr groß, gut belegt | Begrenzt, oft applikationsspezifisch |
| Einfluss der Chemie auf Messung | Gering — Physik dominiert | Hoch — Querempfindlichkeiten, Matrixeffekte |
| Kalibrieraufwand | Gering, standardisierbar | Mittel bis hoch, applikationsspezifisch |
| Probenaufbereitung | Nicht erforderlich | Häufig notwendig (Filter, Kühler, Konditionierung) |
| Fehlerquellen | Mechanisch, Membranbruch, Drift | Chemisch, optisch, mechanisch, matrixbedingt |
| Prüfverfahren im Betrieb | Einfach (Referenzdruck anlegen) | Komplex (Referenzgas, Standardlösung) |
| Validierungsstudien | Selten erforderlich | Häufig notwendig |
Der entscheidende Unterschied: Beim Drucktransmitter ist Physik das Messprinzip — robust gegenüber Prozessänderungen. Beim Analysator ist die Chemie des Prozessmediums direkt in das Messprinzip eingebunden. Ein Begleitstoff, der nicht in der Spezifikation stand, kann das Messergebnis signifikant verfälschen — ohne dass das Gerät einen Fehler anzeigt. Das ist ein stiller Fehler, der in SIL-Anwendungen besonders kritisch ist.
Eine Querempfindlichkeit liegt vor, wenn ein Analysator nicht nur auf die Zielkomponente reagiert, sondern auch auf andere Stoffe im Prozessmedium — und dadurch einen verfälschten Messwert ausgibt, ohne als fehlerhaft erkannt zu werden.
| Messprinzip | Zielkomponente | Mögliche Querempfindlichkeit |
|---|---|---|
| NDIR (Infrarot) | CO | CO₂, H₂O, CH₄ (spektrale Überlappung) |
| Elektrochemisch | O₂ | H₂S, SO₂, Cl₂ (Sensorvergiftung) |
| Paramagnetisch | O₂ | NO, NO₂ (ebenfalls paramagnetisch) |
| UV-Fluoreszenz | SO₂ | Aromatische Kohlenwasserstoffe |
| TDLS | H₂O, O₂, NH₃, CO | Druckabhängigkeit, Temperatureffekte auf Absorptionslinien |
| Wärmeleitfähigkeit | H₂, He, CO₂ | Alle Gase mit abweichender Wärmeleitfähigkeit |
| NIR-Spektroskopie | Feuchte, Konzentrationen | Partikelstreuung, Temperatur, Matrixvarianz |
Konsequenz für SIL: Querempfindlichkeiten müssen systematisch untersucht, dokumentiert und quantifiziert werden. Ohne diese Validierung kann kein belastbarer PFD-Wert angegeben — und kein SIL-Nachweis geführt werden.
Ein zentrales Konzept der funktionalen Sicherheit ist die Unterscheidung zwischen erkannten und unerkannten Fehlern:
Detected Error (erkannter Fehler): Das Gerät erkennt seinen eigenen Ausfall — durch Eigendiagnose, Plausibilitätsprüfung oder Signalbereichsüberwachung — und gibt ein eindeutiges Fehlersignal aus (z.B. Alarmsignal, 3,6 mA Fehlerstrom nach NAMUR NE 43). Der Sicherheitskreis weiß: dieser Kanal ist ausgefallen. Die Situation ist beherrschbar.
Undetected Error (unerkannter Fehler): Das Gerät hat einen Fehler, aber es zeigt keinen an. Es gibt weiterhin einen Messwert aus — der aber falsch ist. Der Sicherheitskreis "glaubt", alles sei in Ordnung. Im Ernstfall löst die Schutzfunktion nicht aus, obwohl sie sollte.
| Fehlertyp | Signalverhalten | Konsequenz für den Sicherheitskreis |
|---|---|---|
| Detected Error | Fehlersignal, Alarm, definierter Ausgang | Ausfall bekannt — Wartung wird eingeleitet, System arbeitet mit verbleibenden Kanälen |
| Undetected Error | Scheinbar normaler Messwert, aber falsch | Ausfall unbekannt — im Ernstfall versagt die Schutzfunktion still |
Warum unerkannte Fehler das eigentliche SIL-Problem sind: Der PFD-Wert eines Gerätes wird maßgeblich durch die Rate gefährlicher unerkannter Ausfälle (λDU — Dangerous Undetected Failure Rate) bestimmt. Je höher dieser Wert, desto schlechter der PFD, desto schwieriger der SIL-Nachweis. Eine hohe Diagnostic Coverage (DC) — also die Fähigkeit des Gerätes, eigene Fehler zu erkennen — reduziert λDU direkt und verbessert damit den erreichbaren PFD erheblich.
Für Prozessanalysatoren besonders kritisch: Ein Analysator kann "korrekt messen" im technischen Sinne — kein Gerätefehler, kein Elektronikausfall — aber durch eine Querempfindlichkeit einen systematisch falschen Wert liefern. Das ist der gefährlichste Fall: kein Fehlersignal, aber falsche Information. Genau deshalb sind Querempfindlichkeitsstudien in SIL-Projekten mit Analysatoren nicht optional.
In der chemischen Industrie werden Geräte nicht nur auf Messgenauigkeit und Querempfindlichkeiten geprüft. Für eine SIL-Qualifizierung müssen Störgrößen systematisch getestet werden, die aus der Umgebung kommen — und die viele Geräte aus dem SIL-Rennen werfen:
Elektromagnetische Verträglichkeit (EMV): Prozessumgebungen enthalten starke elektromagnetische Felder — Frequenzumrichter, große Motoren, Schweißgeräte, Hochspannungsleitungen. Ein Analysator, dessen Messwert oder Steuerungselektronik durch elektromagnetische Einstreuung beeinflusst wird, kann unerkannte Fehler produzieren. EMV-Prüfung nach IEC 61000 ist für SIL-Geräte Pflicht — und nicht alle Geräte bestehen diese Tests.
Software und Firmware: Moderne Analysatoren enthalten komplexe Software — für Signalverarbeitung, Kalibrierung, Eigendiagnose und Kommunikation. Softwarefehler sind systematische Fehler: Sie betreffen alle Geräte desselben Typs gleichzeitig, sind nicht durch Hardware-Redundanz beherrschbar und schwer zu erkennen. IEC 61508 Teil 3 regelt die Softwareentwicklung für sicherheitsgerichtete Systeme mit eigenen Anforderungen an Entwicklungsprozess, Testabdeckung und Dokumentation. Viele Hersteller unterschätzen diesen Aufwand — und scheitern genau hier beim SIL-Assessment.
Temperatureinflüsse auf den Sensor: Umgebungstemperatur und Prozesstemperatur können Messwerte direkt beeinflussen — durch thermische Ausdehnung mechanischer Teile, Änderung elektrischer Eigenschaften, Verschiebung optischer Eigenschaften oder Beeinflussung des Referenzelements. Ein Sensor, dessen Messwert sich bei Temperaturänderung im Prozess oder in der Umgebung systematisch verschiebt, hat eine Querempfindlichkeit gegenüber Temperatur. Das muss quantifiziert, kompensiert oder als Fehlerquelle im PFD-Wert berücksichtigt werden.
Vibration und mechanische Belastung: In der Nähe von Pumpen, Kompressoren oder Mühlen können Vibrationen Sensoren mechanisch belasten und zu beschleunigtem Verschleiß oder veränderten Messwerten führen.
| Störgröße | Prüfnorm (Auswahl) | Typischer Ausschlussgrund |
|---|---|---|
| Elektromagnetische Einstrahlung | IEC 61000-4 Serie | Messwertverschiebung durch Feldeinfluss |
| Leitungsgeführte Störungen | IEC 61000-4-4, -4-5 | Signalstörungen auf Messleitungen |
| Software / Firmware | IEC 61508 Teil 3 | Nicht ausreichend getestete Softwarepfade |
| Umgebungstemperatur | IEC 60068-2 | Drift außerhalb der Spezifikation bei Extremtemperaturen |
| Vibration | IEC 60068-2-6 | Mechanischer Verschleiß, Signalinstabilität |
| Feuchtigkeit | IEC 60068-2-78 | Korrosion, Kriechströme, Isolationsversagen |
Praktische Konsequenz: SIL-Qualifizierungsprojekte für Prozessanalysatoren scheitern häufig nicht an der Messleistung des Gerätes, sondern an diesen Umgebungsprüfungen. Ein Analysator, der im Labor perfekt misst, kann in der rauen Prozessumgebung — mit Vibration, EMV-Einstreuung und Temperaturschwankungen — einen systematisch falschen Wert liefern, ohne es anzuzeigen. Diese Tests müssen vor dem SIL-Assessment abgeschlossen sein — nicht danach.
TDLS (Tunable Diode Laser Spectroscopy) hat sich in den letzten 20 Jahren als eines der zuverlässigsten Messprinzipien für In-situ-Gasmessung in rauen Prozessumgebungen etabliert. Das Vertrauen in die Technologie ist heute so groß, dass TDLS-Systeme zunehmend direkt in SIL-relevante PAT-Anwendungen eingebunden werden.
| Eigenschaft | Bedeutung für SIL |
|---|---|
| Hochselektiv | Gasspezifische Absorptionslinien — kaum Querempfindlichkeiten bei richtiger Wellenlängenwahl |
| In-situ-Messung | Keine Probenentnahme, keine Probenleitung — weniger Fehlerquellen |
| Keine Verbrauchsstoffe | Kein Referenzgas, keine Reagenzien — geringerer Wartungsaufwand |
| Integrierte Eigendiagnose | Laserleistung und optische Qualität werden kontinuierlich überwacht — hohe DC |
| Druckabhängigkeit beherrschbar | Bei bekanntem Prozessdruck kompensierbar |
| Wachsende Felddatenbasis | 20+ Jahre Industrieeinsatz, zunehmend belastbare PFD-Werte |
Typische TDLS-Anwendungen in SIL-Kontext:
Grenzen von TDLS:
Für Drucktransmitter reicht der Nachweis durch Typprüfung und Betriebsbewährung. Für Prozessanalysatoren in SIL-Anwendungen reicht das oft nicht:
1. Fehlende Felddatenbasis: Ein PFD-Wert ohne ausreichende statistische Basis ist nicht belastbar.
2. Applikationsspezifische Einflüsse: Derselbe Analysator verhält sich in Erdgas anders als in Synthesegas. Die Prozessmatrix beeinflusst das Messergebnis auf eine Weise, die nur durch applikationsspezifische Tests quantifiziert werden kann.
| Prüfpunkt | Ziel der Validierung |
|---|---|
| Querempfindlichkeitsanalyse | Alle relevanten Begleitstoffgruppen systematisch testen |
| Langzeitstabilität / Drift | PFD-relevante Driftrate über den Prüfzyklus bestimmen |
| Umgebungseinflüsse | Temperatur, Vibration, EMV auf Messergebnis prüfen |
| Probenaufbereitungsausfall | Was passiert bei Filterausfall, Pumpenausfall? |
| Fail-Safe-Verhalten | Welchen Zustand nimmt der Analysator bei Eigenausfall ein? |
| Kalibrierbeständigkeit | Stabilität der Kalibrierung zwischen zwei Prüfzyklen |
Für Analysatoren in Sicherheitsfunktionen gibt es ein eigenes Regelwerk. Der technische Bericht IEC TR 63176:2019 gibt Hinweise zu Planung, Installation und Betrieb einschließlich Wartung. Aus der Anwenderseite kommt die NAMUR-Empfehlung NE 146 dazu, die Systeme der Prozessanalysentechnik als Teil von PLT-Sicherheitseinrichtungen behandelt und vorhandene Erfahrungen mit prozessanalytischen Messeinrichtungen auf die bestehenden Normen bezieht.
Für Prozessanalysatoren ist die Betriebsbewährung der praktisch wichtigere Weg zum Nachweis. Zertifizierte Ausfallraten aus einer Herstelleranalyse sind in diesem Gerätesegment selten. NE 130 beschreibt die Auswahl von Feldgeräten für PLT-Sicherheitseinrichtungen unter Berücksichtigung der Betriebsbewährung und ist damit der Weg für Geräte ohne Zertifizierung nach IEC 61508.
Daraus folgt eine praktische Konsequenz für den Betrieb: Ohne dokumentierte Störungen, Ausfälle und Prüfergebnisse aus der eigenen Anlage gibt es keine Grundlage für eine Betriebsbewährung. Wartungsaufzeichnungen sind damit Teil des Sicherheitsnachweises und nicht nur gute Praxis.
| SIL-Stufe | Zertifizierungsweg | Beispiele |
|---|---|---|
| SIL 1 | Herstellererklärung möglich | Intern mit Nachweis |
| SIL 2 | Herstellererklärung möglich | Intern oder optional TÜV/Exida |
| SIL 3 | Externe Zertifizierung zwingend | TÜV Rheinland, TÜV SÜD, Exida, Bureau Veritas |
| SIL 4 | Externe Zertifizierung zwingend | Spezialisierte akkreditierte Stellen |
Vereinfachte Formel: PFDavg ≈ λDU × Ti / 2
(λDU = Rate gefährlicher unentdeckter Ausfälle, Ti = Prüfintervall)
| Prüfintervall | Auswirkung auf PFDavg | Auswirkung auf Betrieb |
|---|---|---|
| Kurz (3 Monate) | PFDavg sinkt, SIL steigt | Hoher Wartungsaufwand |
| Mittel (1 Jahr) | Standard für SIL-2-Anwendungen | Balance aus Sicherheit und Verfügbarkeit |
| Lang (4 Jahre) | PFDavg steigt | Geringe Wartungslast, höhere Geräteanforderungen |
| Standard | Anwendungsbereich |
|---|---|
| IEC 61508 (DIN EN 61508) | Grundnorm — E/E/PE-Systeme |
| IEC 61511 (DIN EN 61511) | Prozessindustrie — SIS, Chemie, Petrochemie, Pharma |
| IEC 62061 | Maschinenbau |
| VDI/VDE 2180 | Sicherung verfahrenstechnischer Anlagen (DACH) |
| NAMUR NE 79 | Feldgeräte in sicherheitsinstrumentierten Systemen |
| NAMUR NE 43 | Einheitssignale für Analysatoren bei Fehler (Fail-Safe) |
| IEC 60079 | Explosionsschutz (ATEX) — Überschneidung mit SIL bei Gasdetektoren |
| IEC TR 63176:2019 | Analysatoren als Teil sicherheitsgerichteter Systeme (technischer Bericht) — Hinweise zu Planung, Installation, Betrieb und Wartung von Analysatoren in Sicherheitsfunktionen |
| NAMUR NE 146 (Fassung 21.10.2013) | Systeme der Prozessanalysentechnik als Teil von PLT-Sicherheitseinrichtungen — Anwendersicht auf prozessanalytische Messeinrichtungen als Sensorteil sicherheitstechnischer Systeme |
| NAMUR NE 130 (Ausgabe 14.07.2023) | Auswahl von Feldgeräten für PLT-Sicherheitseinrichtungen unter Berücksichtigung der Betriebsbewährung — Weg für Geräte ohne Zertifizierung nach IEC 61508 |
Was ist der Unterschied zwischen SIL und PFD?
SIL ist die Stufe (1–4), PFD ist der numerische Wert dahinter. SIL 2 bedeutet, dass die Ausfallwahrscheinlichkeit zwischen 10⁻³ und 10⁻² liegt. PFD ist Datenbasis, SIL ist normative Einordnung.
Warum ist ein Prozessanalysator schwieriger für SIL zu qualifizieren als ein Drucksensor?
Drucksensoren haben eine riesige Felddatenbasis und physikalisch robuste Messprinzipien. Analysatoren messen in chemisch aktiven Medien — Querempfindlichkeiten, Matrixeffekte und begrenzte Felddaten machen applikationsspezifische Validierungsstudien oft unvermeidlich.
Was ist diversitäre Redundanz und wann ist sie notwendig?
Zwei völlig verschiedene Messprinzipien für dieselbe Messgröße — um systematische Fehler auszuschließen. Aufwendig und teuer, aber in Hochrisikoapplikationen mit unkontrollierbaren Querempfindlichkeiten manchmal der einzig sichere Weg.
Warum gewinnt TDLS in SIL-Anwendungen an Bedeutung?
Hohe Selektivität, keine Verbrauchsstoffe, In-situ-Messung ohne Probenaufbereitung, integrierte Eigendiagnose mit hoher Diagnostic Coverage und über 20 Jahre Felderfahrung machen TDLS zu einem zunehmend vertrauenswürdigen Messprinzip für sicherheitsrelevante Anwendungen.
Was sind typische Fehler bei SIL-Projekten mit Analysatoren?
Erstens: Gerät SIL-zertifiziert, aber Gesamtkreis nicht nachgewiesen. Zweitens: Querempfindlichkeiten nicht systematisch untersucht. Drittens: Prüfintervall zu lang gewählt, PFDavg verfehlt die SIL-Anforderung. Viertens: Probenaufbereitung nicht in die Sicherheitsbetrachtung einbezogen.
Was bedeutet 2oo3-Abstimmung konkret?
Drei Sensoren messen dieselbe Größe. Zwei von drei müssen übereinstimmend ansprechen, um die Schutzaktion auszulösen. Fehlalarme durch Einzelausreißer werden vermieden, Wartung eines Sensors im Betrieb ist möglich.
Muss jeder Analysator im SIL-Kreis zertifiziert sein?
Er muss die SIL-Anforderungen erfüllen — durch formale Zertifizierung oder Betriebsbewährungsnachweis. Bei Analysatoren mit begrenzter Felddatenbasis ist eine formale Zertifizierung oft der praktischere Weg.
Was ist ein unerkannter Fehler und warum ist er so gefährlich?
Ein unerkannter (undetected) Fehler liegt vor, wenn ein Gerät einen falschen Messwert ausgibt, ohne einen Alarm oder ein Fehlersignal zu erzeugen. Der Sicherheitskreis "glaubt", alles sei in Ordnung — im Ernstfall löst die Schutzfunktion nicht aus. Der PFD-Wert eines Gerätes wird maßgeblich durch die Rate gefährlicher unerkannter Ausfälle bestimmt. Je höher die Diagnostic Coverage (DC), desto mehr Fehler erkennt das Gerät selbst — und desto besser der PFD.
Warum fallen viele Analysatoren bei der SIL-Qualifizierung durch EMV- und Temperaturtests?
Prozessumgebungen enthalten starke elektromagnetische Felder und Temperaturschwankungen, die Messwerte beeinflussen können — ohne dass das Gerät einen Fehler anzeigt. Das sind unerkannte Fehler. EMV-Prüfungen nach IEC 61000 und Umgebungstests nach IEC 60068 sind für SIL-Geräte Pflicht. Viele Geräte, die im Labor einwandfrei messen, scheitern an diesen Umgebungsanforderungen.
Warum ist Software ein SIL-Risikofaktor?
Softwarefehler sind systematische Fehler — sie betreffen alle Geräte desselben Typs gleichzeitig und sind durch Hardware-Redundanz nicht beherrschbar. IEC 61508 Teil 3 stellt eigene Anforderungen an Softwareentwicklung, Testabdeckung und Dokumentation für sicherheitsgerichtete Systeme. Viele Hersteller unterschätzen diesen Aufwand und scheitern beim SIL-Assessment an der Softwaredokumentation.
NE 43 definiert Einheitssignale für Analysatoren im Fehlerfall (z.B. < 3,6 mA als Fehlersignal). In SIL-Anwendungen ist das Fail-Safe-Verhalten entscheidend: Geht der Analysator bei Eigenausfall in einen erkannten, sicheren Zustand?
Welche Regelwerke gelten speziell für Prozessanalysatoren in Sicherheitseinrichtungen?
Über die allgemeinen Normen IEC 61508 und IEC 61511 hinaus gibt es den technischen Bericht IEC TR 63176:2019 für Analysatoren als Teil sicherheitsgerichteter Systeme. Aus der Anwenderseite behandelt die NAMUR-Empfehlung NE 146 Systeme der Prozessanalysentechnik als Teil von PLT-Sicherheitseinrichtungen. NE 130 ergänzt die Auswahl von Feldgeräten unter Berücksichtigung der Betriebsbewährung, was bei Analysatoren ohne Zertifizierung nach IEC 61508 der übliche Weg ist.
| Norm | Titel | Relevanz für diesen Artikel |
|---|---|---|
| IEC 61508 (DIN EN 61508) | Functional Safety of E/E/PE Safety-related Systems | Grundnorm, SIL-Definition, PFD, HFT, SFF, DC |
| IEC 61508-3 | Software Requirements for Safety Systems | Softwareanforderungen für sicherheitsgerichtete Systeme |
| IEC 61511 (DIN EN 61511) | Safety Instrumented Systems for the Process Industry | SIS in der Prozessindustrie, HAZOP-Integration |
| IEC 61000 (Serie) | Elektromagnetische Verträglichkeit (EMV) | EMV-Anforderungen für SIL-Geräte |
| IEC 60068 (Serie) | Umweltprüfungen | Temperatur, Vibration, Feuchtigkeit — Umgebungsqualifizierung |
| IEC 60079 | Explosionsschutz (ATEX) | Überschneidung mit SIL bei Gasdetektoren und Ex-Bereichen |
| IEC 62061 | Funktionale Sicherheit im Maschinenbau | Vergleichsnorm zur IEC 61508/61511 |
| IEC TR 63176:2019 | Analysatoren als Teil sicherheitsgerichteter Systeme (technischer Bericht) | Hinweise zu Planung, Installation, Betrieb und Wartung von Analysatoren in Sicherheitsfunktionen |
| Standard | Herausgeber | Inhalt |
|---|---|---|
| VDI/VDE 2180 | VDI/VDE | Sicherung von Anlagen der Prozessindustrie — DACH-spezifische Umsetzung |
| NAMUR NE 43 | NAMUR | Einheitssignale für Prozessanalysatoren — Fail-Safe-Verhalten (4–20 mA) |
| NAMUR NE 79 | NAMUR | Einsatz von Feldgeräten in sicherheitsinstrumentierten Systemen |
| Organisation | Ressource |
|---|---|
| exida (www.exida.com) | SIL-Daten, Failure Rates, Geräteassessments, FMEDA-Datenbank |
| TÜV SÜD / TÜV Rheinland | Zertifizierungsrichtlinien, Whitepapers zu SIL-Bewertungen |
| NAMUR (www.namur.net) | Empfehlungen für Prozessindustrie, NE-Reihe |
| HSE (UK Health and Safety Executive) | Human Factors and Functional Safety Reports |
| ISA (International Society of Automation) | ISA-84 — US-amerikanisches Pendant zu IEC 61511 |
| Quelle | Inhalt |
|---|---|
| ASTM E1655 | Prüfverfahren für multivariate quantitative Analyse im Nahinfrarot — Grundlage für NIR in der Prozessanalytik |
| ISO 10723 | Leistungsbewertung von Analysensystemen in der Erdgasindustrie — Methodik übertragbar auf Prozessanalysatoren allgemein |
| ISO 13528 | Statistische Methoden zur Beurteilung analytischer Verfahren durch Ringversuche — relevant für Validierungsstudien |
| Hersteller-Safety-Manuals und SIL-Zertifikate | Gerätespezifische PFD-Werte und Sicherheitskenngrößen sind ausschließlich den offiziellen Safety Manuals und Zertifikaten des jeweiligen Herstellers zu entnehmen. Zu beziehen direkt beim Hersteller oder über akkreditierte Zertifizierungsstellen wie exida oder TÜV. |
| AIChE CCPS | Leitfäden zur Prozesssicherheit in der chemischen und petrochemischen Industrie — relevant für Gasanalytik in SIL-Umgebungen |
Hinweis: Normen werden regelmäßig überarbeitet. Für SIL-Nachweise sind stets die zum Zeitpunkt der Planung gültigen Ausgaben maßgeblich. Die hier genannten Ausgaben entsprechen dem Stand Mai 2026.
SIL und PFD sind unverzichtbare Kenngrößen für jeden, der Prozessanalysatoren in sicherheitsrelevante Schutzkreise einbinden will. Die Besonderheiten von Analysatoren — chemische Einflüsse, Querempfindlichkeiten, begrenzte Felddatenbasis, komplexe Probenaufbereitung — erfordern eine systematischere Qualifizierung als bei Druck- und Temperaturtransmittern.
TDLS hat sich als Technologie mit wachsendem SIL-Vertrauen etabliert. Diversitäre Redundanz bleibt die Ausnahme — aber eine notwendige, wenn systematische Fehler nicht ausgeschlossen werden können.
Der SIL-Nachweis ist immer eine Systemaufgabe — nicht die Aufgabe eines einzelnen Gerätes.
Analytic Journal — Das Portal der Prozessanalytik
Normänderungen sind möglich — aktuelle Normausgaben sind maßgeblich.
Weiterführende Themen auf Analytic Journal:
Redaktioneller Hinweis
Dieser Artikel wurde nach bestem Wissen und Gewissen auf Basis öffentlich verfügbarer Fachinformationen, Normen und Herstellerangaben erstellt. Technische Spezifikationen können sich ändern — für verbindliche Angaben konsultieren Sie aktuelle Herstellerdatenblätter und zuständige Normungsgremien. Analytic Journal erstellt redaktionellen Content unabhängig von Herstellern und Werbepartnern.
Autor: Dusko Kadijevic — 20 Jahre Erfahrung als PAT-Anwender in der Prozessindustrie
Dusko Kadijevic | Publisher Analytic Journal | analyticjournal.com
Verfasst Mai 2026. Alle Inhalte in eigenen Worten formuliert, mit Unterstützung von KI erstellt.
© 2026 Analytic Journal / Dusko Kadijevic. Kurzauszüge mit Quellenangabe und Link auf analyticjournal.com sind zulässig. Vollständige oder weitgehende Wiedergabe, auch durch KI-Systeme oder automatisierte Prozesse, nur mit schriftlicher Genehmigung. Anfragen: info@analyticjournal.de
Erstveröffentlicht am 26. Mai 2026 auf analyticjournal.com