Sicherheit in Steuerungen: EVA-Prinzip, Drahtbruchsicherheit, NOT-HALT und Redundanz

Sicherheit in Steuerungen: EVA-Prinzip, Drahtbruchsicherheit, NOT-HALT und Redundanz

https://bildung.social/@oerinformatik/

https://oer-informatik.de/steuerungssicherheit

EVA-Prinzip, Steuern und Regeln, Drahtbruchsicherheit, Ruhestromprinzip, NOT-HALT, Stoppkategorie, Redundanz, 2-von-3-Auswertung, Sicherheitsschaltgerät, Performance Level, Maschinenverordnung, Prüfungsvorbereitung

tl/dr; (ca. 28 min Lesezeit): Eine Steuerung muss nicht nur funktionieren, sondern auch dann sicher bleiben, wenn ein Draht bricht, eine Leitung Erdschluss bekommt oder jemand in die laufende Maschine greift. Dieser Artikel zeigt Schritt für Schritt, wie Du eine Steuerung nach dem EVA-Prinzip gliederst, Steuern und Regeln unterscheidest, die Versorgung einer Kleinsteuerung festlegst, Geber drahtbruchsicher anschließt, wie NOT-HALT und NOT-AUS auf eine SPS-gesteuerte Maschine wirken, wie Du unerwarteten Anlauf bei Wartungsarbeiten verhinderst, was Redundanz und 2-von-3-Auswertung bringen und welche Normen und Verordnungen (DIN EN 60204-1, EN ISO 13849-1, Maschinenverordnung) dahinterstehen [AI-Assisted]. (Zuletzt geändert am 11.11.2026)

Dieser Artikel baut auf der Kann-Liste der Artikel Schützsteuerungen und SPS-Grundlagen auf.

Schon fit in diesem Thema? Nutze die Kann-Liste und die Leitfragen unter dem Artikel als Checkliste, ob Du die relevanten Kompetenzen bereits hast. Hier klicken, um Kann-Liste ein- oder auszublenden

Als Elektrotechnik-Grundlagen kann ich nach Durcharbeiten des Artikels…

• … die Elemente einer Steuerung nach dem EVA-Prinzip benennen, Betriebsmittel sowie Ein- und Ausgänge im Stromlaufplan zuordnen und die Schnittstelle bestimmen, an der die Sensorsignale abgefragt werden.

• … Steuern (offener Wirkungsablauf) und Regeln (geschlossener Wirkungskreis) an Beispielen unterscheiden und die Funktion einer Anlage in einer Funktionsbeschreibung darstellen.

• … asynchrone und taktgesteuerte Steuerungen unterscheiden und die Versorgung einer Kleinsteuerung festlegen.

• … die Drahtbruchsicherheit (Ausschalten über Öffner, Einschalten über Schließer) und das Ruhestromprinzip erklären und die Auswirkung von Leitungsunterbrechungen und Erdschlüssen bestimmen.

• … einen Taster zum Abbrechen eines Ablaufs drahtbruchsicher an die SPS anschließen und im Programm richtig abfragen.

• … Anforderungen an NOT-HALT- und NOT-AUS-Einrichtungen nennen, ihre Wirkung auf eine SPS-gesteuerte Maschine beschreiben und die Bedingungen für das Wiedereinschalten angeben.

• … Stoppkategorien 0, 1 und 2 unterscheiden und Sicherheit durch Hardware und durch Programmierung gegenüberstellen.

• … schaltungstechnische Schutzmaßnahmen gegen unbeabsichtigten Anlauf bei Wartungsarbeiten bestimmen.

• … Redundanz bei sicherheitsrelevanten Komponenten erklären und 2-von-3-Auswertungen von Sensorsignalen bestimmen.

• … Sicherheitsfunktionen mit Sicherheitsschaltgeräten bzw. Sicherheits-SPS einordnen, den erforderlichen Performance Level bestimmen und die Neuerungen der EU-Maschinenverordnung nennen.

Eine Kunststoff-Spritzgießmaschine in einer Ausbildungswerkstatt läuft seit Jahren ohne Probleme. Eines Tages bricht in der Bedientafel die Ader zum Stopp-Taster – und niemand merkt es, bis jemand den Taster drückt und die Maschine weiterläuft. Eine Steuerung, die nur im fehlerfreien Zustand richtig arbeitet, ist nicht gut genug. Sicherheit in Steuerungen heißt: Jeder vorhersehbare Fehler – Drahtbruch, Erdschluss, verschweißter Kontakt, Programmfehler – muss die Anlage in einen sicheren Zustand bringen, meist „Antrieb steht“.

Das Bild zeigt den Aufbau, um den es im ganzen Artikel geht: Die Betriebssteuerung (hier eine SPS) erledigt den normalen Ablauf. Ein davon unabhängiger Sicherheitskreis mit NOT-HALT und Sicherheitsschaltgerät kann die gefahrbringenden Aktoren jederzeit hardwareseitig abschalten – egal, was das Programm gerade tut.

Zum Üben gibt es einen eigenen Artikel mit Aufgaben und einblendbaren Beispiellösungen: Übungsaufgaben zu Sicherheit in Steuerungen.

Schritt 1: Das EVA-Prinzip – Eingabe, Verarbeitung, Ausgabe

Jede Steuerung – ob Schützsteuerung, Kleinsteuerung oder große SPS – lässt sich in drei Teile gliedern:

• Eingabe (E): Befehlsgeber und Sensoren erfassen, was Bedienende wollen und in welchem Zustand der Prozess ist. Beispiele: Taster, Wahlschalter, Endschalter, Lichtschranke, Näherungsschalter, Druck- oder Schwimmerschalter, Hilfskontakt eines Motorschutzrelais, NOT-HALT-Befehlsgerät.

• Verarbeitung (V): Die Signale werden logisch, zeitlich oder in einer Schrittfolge verknüpft. In der Schützsteuerung erledigen das Hilfsschütze und Zeitrelais, in der SPS das Programm in der CPU, im Sicherheitskreis das Sicherheitsschaltgerät.

• Ausgabe (A): Stellglieder und Anzeigen greifen in den Prozess ein oder melden einen Zustand. Beispiele: Leistungsschütz eines Motors, Magnetventil, Frequenzumrichter (Freigabeeingang), Meldeleuchte, Hupe.

Achte auf das Schütz: Ein Hilfsschütz, das nur Steuerkontakte schaltet, gehört zur Verarbeitung; ein Leistungsschütz, das den Motor schaltet, ist ein Stellglied und gehört zur Ausgabe. Im Stromlaufplan einer SPS-Steuerung erkennst Du die Teile an ihrer Lage: Die Geber liegen zwischen L+ und den Eingangsklemmen I…, die Aktoren zwischen den Ausgangsklemmen Q… und M (Bild in Schritt 4).

Wo werden die Sensorsignale geprüft? Die Schnittstelle zwischen Eingabe und Verarbeitung ist die Eingabebaugruppe mit ihren Eingangsklemmen. Dort wird aus der Klemmenspannung ein Signal 0 oder 1 (bei 24 V DC etwa: unter 5 V sicher 0, über 15 V sicher 1). Die SPS liest alle Eingänge zu Beginn jedes Zyklus in das Prozessabbild der Eingänge (PAE) ein; das Programm fragt nur noch das PAE ab. Genau an dieser Stelle setzt die Fehlererkennung an: Ob ein Sensor plausibel meldet, ob ein Draht gebrochen ist oder zwei redundante Sensoren übereinstimmen, prüft das Programm anhand der eingelesenen Eingangssignale (bei analogen Sensoren mit Drahtbrucherkennung meldet die Baugruppe den Fehler zusätzlich als Diagnosebit).

Schritt 2: Steuern oder Regeln? Und die Funktionsbeschreibung

Nicht jede Automatisierung ist eine Steuerung im engeren Sinn. Die Begriffe sind genormt (DIN IEC 60050-351):

• Steuern ist ein offener Wirkungsablauf: Eine Eingangsgröße beeinflusst eine Ausgangsgröße, ohne dass das Ergebnis gemessen und zurückgemeldet wird. Störungen wirken sich ungehindert aus.

• Regeln ist ein geschlossener Wirkungskreis: Die Regelgröße (Istwert) wird fortlaufend gemessen, mit der Führungsgröße (Sollwert) verglichen, und der Regler verändert die Stellgröße so, dass die Abweichung klein wird. Störungen werden ausgeglichen.

Der Prüfstein ist immer die Frage: Wird die Größe, die beeinflusst werden soll, fortlaufend gemessen und zurückgeführt? Eine einmalige Analyse, nach der eine feste Menge eingestellt wird, ist noch keine Regelung. Eine witterungsgeführte Heizung misst zwar die Außentemperatur, aber nicht die Raumtemperatur – sie steuert. Eine SPS kann beides: Verknüpfungen und Schrittketten sind Steuerungen, ein PID-Baustein mit Messwert ist eine Regelung.

Funktionsbeschreibung: Bevor programmiert wird, beschreibst Du die Aufgabe der Anlage in Worten. Eine gute Funktionsbeschreibung enthält:

• Ablauf im Normalbetrieb (was passiert nacheinander?),

• Bedingungen für jeden Schritt (Freigaben, Verriegelungen, Endlagen, Zeiten),

• Betriebsarten (Automatik, Handbetrieb bzw. Tippbetrieb, Einrichten) und wie umgeschaltet wird,

• Verhalten bei Störung und NOT-HALT (welche Antriebe stoppen, wie quittiert und wieder angefahren wird).

Ein kurzes Beispiel für ein Rolltor: „Im Automatikbetrieb öffnet das Tor nach Betätigen von -S2, bis der Endschalter -B1 ‚Tor offen‘ meldet. Nach 60 s schließt es selbsttätig; unterbricht die Lichtschranke -B3 beim Schließen, fährt es sofort wieder auf. Im Handbetrieb fährt das Tor nur, solange ein Richtungstaster gedrückt ist. Bei NOT-HALT stoppt der Antrieb sofort (Stoppkategorie 0); nach dem Entriegeln muss die Störung mit -S5 quittiert und das Tor neu gestartet werden.“ Diese Sätze sind später auch die Grundlage für die Prüfung bei der Inbetriebnahme.

Schritt 3: Asynchron oder taktgesteuert – und die Versorgung der Kleinsteuerung

Steuerungen werden auch danach unterschieden, wann sie Signale verarbeiten:

• Asynchrone Steuerung: Jede Signaländerung wirkt sofort, ohne Taktsignal. Typisch sind verbindungsprogrammierte Schützsteuerungen: Sobald ein Kontakt schließt, zieht das Schütz an.

• Taktgesteuerte (synchrone) Steuerung: Die Signale werden nur zu bestimmten Zeitpunkten, die ein Takt vorgibt, verarbeitet. Eine SPS arbeitet so: Eingänge lesen, Programm bearbeiten, Ausgänge schreiben – in jedem Zyklus von vorn. Ein Signal, das kürzer ist als die Zykluszeit, kann dabei verloren gehen; die Reaktionszeit ist bis zu zwei Zykluszeiten plus Eingangs- und Ausgangsverzögerung lang.

Für Sicherheitsfunktionen ist das wichtig: Eine Not-Halt-Abschaltung soll nicht von der Zykluszeit oder einem hängenden Programm abhängen. Deshalb wirkt sie unmittelbar in der Hardware (Schritt 6).

Versorgung einer Kleinsteuerung festlegen: Kleinsteuerungen gibt es für 230 V AC und für 24 V DC. In Industrieanlagen ist 24 V DC üblich, weil Sensoren, Ventile und Steuerungen dieselbe Spannung nutzen und die Kleinspannung als PELV-Stromkreis ausgeführt werden kann. Das Netzteil legst Du so fest:

1. Spannung und Art nach Datenblatt der Steuerung und der Geber und Aktoren wählen (24 V DC, geregelt, PELV mit geerdetem M).

2. Alle Ströme aus dieser Versorgung addieren: Eigenbedarf der Steuerung und der Erweiterungsmodule, Sensoren (z. B. Näherungsschalter), Lastströme der Transistorausgänge (Ventile, Leuchten, Koppelrelais) im ungünstigsten Fall, wenn alle gleichzeitig eingeschaltet sind. Relaisausgänge, die eine fremde Spannung schalten, zählen nur mit ihrem Spulenstrom im Eigenbedarf.

3. Eine Reserve von etwa 25 % aufschlagen (Einschaltströme, spätere Erweiterung) und das nächstgrößere Netzteil wählen.

Beispiel: Eine Kleinsteuerung braucht 0,1 A, zwei Erweiterungsmodule je 0,04 A, vier Näherungsschalter je 0,015 A, zwei Magnetventile je 0,25 A und eine Meldeleuchte 0,03 A. Zusammen sind das I = 0{,}1\ \mathrm{A} + 0{,}08\ \mathrm{A} + 0{,}06\ \mathrm{A} + 0{,}5\ \mathrm{A} + 0{,}03\ \mathrm{A} = 0{,}77\ \mathrm{A}; mit 25 % Reserve rund 0{,}96\ \mathrm{A}. Ein Netzteil 24 V/1,3 A reicht.

Schritt 4: Drahtbruchsicherheit und Ruhestromprinzip

Ein Drahtbruch, eine lose Klemme oder ein abgerissener Stecker unterbricht einen Stromkreis – das Eingangssignal fällt auf 0. Eine Steuerung ist drahtbruchsicher, wenn diese Unterbrechung immer in den sicheren Zustand führt. Daraus folgt die Grundregel:

• Ausschalten über Öffner: Stopp-Taster, Endschalter für Gefahrstellen, Motorschutz-Hilfskontakt und NOT-HALT sind Öffner. Im Ruhezustand fließt Strom, der Eingang hat 1-Signal. Betätigen und Drahtbruch ergeben beide 0 – die Anlage schaltet ab.

• Einschalten über Schließer: Start-Taster sind Schließer. Ein Drahtbruch verhindert dann nur das Einschalten, nie das Ausschalten.

Wäre der Stopp-Taster ein Schließer, bliebe ein Drahtbruch unbemerkt: Das Signal ist ohnehin 0, und beim Betätigen ändert sich nichts – die Anlage lässt sich nicht mehr abschalten. Genau das ist bei der Spritzgießmaschine in der Einleitung passiert.

Dahinter steht das Ruhestromprinzip: In Sicherheits- und Abschaltkreisen fließt im fehlerfreien Betrieb ständig Strom; jede Unterbrechung (Drahtbruch, Spannungsausfall, betätigter Öffner) führt zum Abschalten. Weitere Beispiele sind Federdruckbremsen, die nur bei bestromter Spule lüften, und Schütze, die beim Spannungsausfall abfallen und sich nicht selbst wieder einschalten (Selbsthaltung). Das Arbeitsstromprinzip (Strom fließt nur beim Betätigen) ist für Abschaltfunktionen ungeeignet, weil sich ein Fehler im Kreis erst im Ernstfall zeigt. An der Anlage prüfst Du das Ruhestromprinzip, indem Du bei laufender Anlage die Ader des Gebers an der Klemme löst (bzw. den Stecker abziehst): Die Anlage muss in den sicheren Zustand gehen.

Erdschluss: DIN EN 60204-1 verlangt, dass Steuerstromkreise mit Transformator oder Netzteil auf einer Seite geerdet sind (bei 24 V DC meist M mit PE verbunden) und dass die Schaltglieder in der nicht geerdeten Leitung (L+) liegen; Spulen werden einseitig direkt mit M verbunden. Dann gilt:

Im ungeerdeten Kreis bliebe der erste Erdschluss unbemerkt; erst der zweite überbrückt einen Kontakt und kann einen Antrieb unbeabsichtigt einschalten. Deshalb wird M geerdet, oder der Kreis wird mit einer Isolationsüberwachung betrieben, die schon den ersten Erdschluss meldet.

Schritt 5: Taster zum Abbrechen drahtbruchsicher an die SPS anschließen

Viele Anlagen haben neben „Start“ und „Stopp“ einen Taster „Abbruch“, der einen laufenden Ablauf (z. B. einen Waschzyklus oder eine Schrittkette) beendet und die Anlage in die Grundstellung fährt. Auch er schaltet etwas ab und muss deshalb drahtbruchsicher sein:

1. Anschluss: Den Öffner des Tasters (Kontakte 11–12) zwischen L+ und einen freien Eingang klemmen, z. B. I4. Im Ruhezustand hat I4 1-Signal.

2. Programm: Der Abbruch wird bei 0-Signal ausgelöst. Im KOP steht I4 deshalb als Schließerkontakt in Reihe vor der Spule (er ist im Ruhezustand „geschlossen“), im FUP geht I4 nicht negiert in den UND-Baustein bzw. negiert auf den Rücksetzeingang eines RS-Speichers.

3. Rücksetzdominanz: Der Ablaufmerker wird mit einem rücksetzdominanten Speicher (RS) gebildet, damit „Abbruch“ immer Vorrang vor „Start“ hat.

(* Strukturierter Text, IEC 61131-3 *)
(* I1: Start (Schließer), I4: Abbruch (Öffner, Ruhezustand 1), I5: Rückmeldung -K20 „Sicherheitskreis frei“ *)
Ablauf(S := I1 AND I5, R1 := NOT I4 OR NOT I5);   (* RS-Speicher, rücksetzdominant *)
M1 := Ablauf.Q1;                                  (* Merker "Ablauf aktiv" *)

Der häufigste Fehler: Wer den Öffner im Programm noch einmal negiert (im KOP als Öffnerkontakt), erhält eine Anlage, die nur läuft, solange der Abbruch-Taster gedrückt ist. Im Zweifel hilft die Frage „Welches Signal liegt im Ruhezustand am Eingang?“.

Drahtbruch erkennen statt nur beherrschen: Ein Drahtbruch am Öffner wirkt wie ein dauernd gedrückter Taster – sicher, aber die Ursache ist unklar. Wer ihn melden will, nutzt einen Taster mit Öffner und Schließer an zwei Eingängen (antivalente Abfrage): Im fehlerfreien Fall hat immer genau ein Eingang 1-Signal. Sind beide 0 oder beide 1, liegt ein Leitungsfehler vor, und das Programm zeigt eine Störung an. Bei analogen Sensoren (4 bis 20 mA) erkennt die Baugruppe einen Drahtbruch, weil der Strom unter etwa 3,6 mA fällt (Live Zero).

Schritt 6: NOT-HALT und NOT-AUS an SPS-gesteuerten Maschinen

Umgangssprachlich heißt alles „Not-Aus“. Die Normen unterscheiden zwei Handlungen im Notfall:

Anforderungen an das Befehlsgerät und den NOT-HALT-Kreis:

• Gestaltung: rotes Betätigungselement (Pilz- oder Schlagtaster, Reißleine) auf gelbem Hintergrund, gut erreichbar an jeder Bedienstelle und an Gefahrstellen.

• Zwangsöffnende Kontakte: Die Öffner werden mechanisch zwangsläufig geöffnet, auch wenn ein Kontakt verschweißt ist (Kennzeichen: Pfeil im Kreis).

• Selbsttätiges Verrasten: Das Gerät bleibt nach dem Betätigen in Stellung „Halt“ und lässt sich nur bewusst entriegeln (Drehen, Ziehen oder Schlüssel).

• Vorrang: NOT-HALT hat Vorrang vor allen anderen Funktionen und Betriebsarten; er wirkt auch im Hand- und Einrichtbetrieb.

• Ruhestromprinzip und Hardware: Der Kreis ist drahtbruchsicher (Öffner) und wirkt unabhängig von der Software über ein Sicherheitsschaltgerät oder eine Sicherheits-SPS, die mindestens den erforderlichen Performance Level erreichen (Schritt 9).

• Kein Wiederanlauf: Das Entriegeln des Befehlsgeräts allein darf die Maschine nicht wieder in Gang setzen.

• Ergänzende Schutzmaßnahme: NOT-HALT ersetzt keine trennenden Schutzeinrichtungen (Schutzgitter, Schutztür) und keine Lichtvorhänge.

Wirkung auf die SPS-gesteuerte Maschine: Die SPS ist die Betriebssteuerung. Ein Programm kann abstürzen, ein Ausgangstransistor kann durchlegieren – deshalb darf die SPS nicht allein für das Abschalten im Notfall zuständig sein. Der NOT-HALT-Kreis wirkt auf ein Sicherheitsschaltgerät (-K20). Dessen Freigabekontakte liegen direkt in der Ansteuerung der gefahrbringenden Aktoren bzw. in der Lastspannung der Ausgangsgruppe: Wird NOT-HALT betätigt, fallen die Schütze hardwareseitig ab, auch wenn die SPS den Ausgang weiter auf 1 hält. Über einen weiteren Kontakt von -K20 (im Bild 33–34) erfährt die SPS davon und setzt intern alle Befehle und Schrittketten zurück, damit nach dem Quittieren nichts von selbst anläuft. Nicht gefahrbringende Ausgänge (Meldeleuchte „NOT-HALT betätigt“, Absaugung, Kühlung) dürfen weiter arbeiten.

Stoppkategorien nach DIN EN 60204-1:

• Stoppkategorie 0: ungesteuertes Stillsetzen durch sofortiges Abschalten der Energie zu den Antrieben (Schütze fallen sofort ab). Die Maschine läuft je nach Massenträgheit aus.

• Stoppkategorie 1: gesteuertes Stillsetzen; die Antriebe bleiben zunächst versorgt, damit der Umrichter aktiv bremsen kann, und werden nach dem Stillstand abgeschaltet (Sicherheitsschaltgerät mit rückfallverzögerten Freigabekontakten). Sinnvoll bei großen Schwungmassen, z. B. Sägeblättern.

• Stoppkategorie 2: gesteuertes Stillsetzen, bei dem die Energie auch im Stillstand anliegt (z. B. Lageregelung hält die Achse). Für NOT-HALT nicht zulässig.

Wiedereinschalten nach NOT-HALT: Die Maschine darf erst wieder laufen, wenn

1. die Ursache beseitigt und der Gefahrbereich frei ist,

2. das NOT-HALT-Befehlsgerät bewusst entriegelt wurde,

3. das Sicherheitsschaltgerät mit dem Quittiertaster zurückgesetzt wurde – nur möglich, wenn der Rückführkreis geschlossen ist, also beide Schütze sicher abgefallen sind (überwachter Start, meist bei fallender Flanke des Tasters),

4. und danach ein neuer Startbefehl gegeben wird.

Hardware oder Programm? Beide haben ihre Aufgabe:

Schritt 7: Schutz gegen unerwarteten Anlauf bei Wartungsarbeiten

Wer eine Maschine reinigt, ein Werkzeug wechselt oder einen Sensor tauscht, greift in den Gefahrbereich. Ein Anlauf durch einen Kollegen an der Bedientafel, einen Programmfehler oder ein selbsttätig startendes Programm nach Spannungswiederkehr wäre lebensgefährlich. DIN EN 60204-1 (Abschnitt 5.4) und DIN EN ISO 14118 verlangen deshalb Einrichtungen zur Verhinderung von unerwartetem Anlauf. Schaltungstechnische Maßnahmen sind:

• Abschließbarer Hauptschalter (Netztrenneinrichtung) in Stellung „0“: trennt die ganze Maschine; jede Person, die im Gefahrbereich arbeitet, hängt ihr eigenes Vorhängeschloss ein.

• Abschließbarer Reparatur- bzw. Wartungsschalter vor einem einzelnen Antrieb: trennt diesen Antrieb, der Rest der Anlage kann weiterlaufen.

• Öffner eines abschließbaren Wartungsschalters im NOT-HALT- bzw. Sicherheitskreis: Der Öffner liegt in Reihe mit dem NOT-HALT-Kreis. Ist er geöffnet, gibt das Sicherheitsschaltgerät nicht frei, und die Schütze können nicht anziehen – auch wenn die SPS ihren Ausgang setzt oder jemand „Start“ drückt. Das Programm allein darf diese Aufgabe nie übernehmen, ein Eingang „Wartung“ ohne Wirkung auf die Hardware genügt nicht.

• Kein selbsttätiger Wiederanlauf nach Spannungswiederkehr: Selbsthaltung bzw. RS-Speicher, die beim Neustart der SPS zurückgesetzt sind; remanente Befehlsmerker vermeiden.

Ein abgeschalteter Sicherheitskreis verhindert die Bewegung, trennt aber nicht die Netzspannung. Wer an elektrischen Teilen arbeitet, schaltet nach den fünf Sicherheitsregeln frei: freischalten, gegen Wiedereinschalten sichern, Spannungsfreiheit feststellen, erden und kurzschließen, benachbarte unter Spannung stehende Teile abdecken oder abschranken.

Schritt 8: Redundanz, Diversität und 2-von-3-Auswertung

Ein einzelnes Bauteil kann versagen: Ein Schützkontakt verschweißt, ein Näherungsschalter bleibt hängen, ein Kanal eines Sicherheitsschaltgeräts fällt aus. Redundanz heißt, sicherheitsrelevante Komponenten mehrfach vorzusehen, sodass ein einzelner Fehler nicht zum Verlust der Sicherheitsfunktion führt (Einfehlersicherheit). Beispiele:

• zweikanaliger NOT-HALT: zwei Öffner im Befehlsgerät, zwei Eingangskanäle am Sicherheitsschaltgerät; ein Querschluss zwischen den Kanälen wird über unterschiedliche Potenziale oder Testpulse erkannt,

• zwei Schütze in Reihe im Hauptstromkreis: Verschweißt ein Kontakt, trennt das zweite Schütz. Damit der erste Fehler auffällt, werden beide über ihre Spiegelkontakte im Rückführkreis überwacht,

• mehrere Sensoren für dieselbe Größe, die verglichen oder nach Mehrheit ausgewertet werden.

Diversität ergänzt die Redundanz: Die Kanäle sind unterschiedlich aufgebaut (z. B. ein Öffner und ein Schließer, Sensoren verschiedener Hersteller oder Messprinzipien), damit ein Fehler gemeinsamer Ursache (Verschmutzung, Überspannung, Serienfehler) nicht beide Kanäle gleichzeitig trifft.

Auswertungen mehrerer Sensoren: Drei Grenzwertgeber -B1, -B2, -B3 überwachen zum Beispiel den Füllstand eines Behälters gegen Überfüllen. Jeder liefert im Ruhestromprinzip 1-Signal, solange alles in Ordnung ist, und 0-Signal bei Grenzwert. Je nach Auswertung ergibt sich:

• 1-von-2: Abschalten, sobald einer von zwei Sensoren 0 meldet – sehr sicher, aber jeder Fehlalarm eines Sensors stoppt die Anlage.

• 2-von-2: Abschalten nur, wenn beide 0 melden – wenige Fehlalarme, aber ein hängender Sensor verhindert das Abschalten. Für Sicherheitsfunktionen ungeeignet.

• 2-von-3 (Mehrheitsentscheid): Abschalten, wenn mindestens zwei von drei Sensoren 0 melden. Ein einzelner defekter Sensor verhindert weder das Abschalten noch löst er es fälschlich aus. Die Anlage bleibt sicher und verfügbar; die Abweichung des einzelnen Sensors wird als Wartungsmeldung angezeigt.

Mit Y = 1 für „Freigabe“ lautet die 2-von-3-Auswertung: Die Freigabe bleibt, solange mindestens zwei Sensoren 1 melden.

Y = (B_1 \wedge B_2) \vee (B_1 \wedge B_3) \vee (B_2 \wedge B_3)

Die Wartungsmeldung ist 1, wenn die Sensoren nicht übereinstimmen: W = \overline{(B_1 \wedge B_2 \wedge B_3) \vee (\overline{B_1} \wedge \overline{B_2} \wedge \overline{B_3})}. Ohne sie bliebe ein ausgefallener Sensor unbemerkt, und aus der 2-von-3- würde stillschweigend eine 2-von-2-Auswertung.

Schritt 9: Sicherheitsschaltgeräte, Sicherheits-SPS und Performance Level

Sicherheitsfunktionen wie NOT-HALT, Schutztürüberwachung oder Zweihandbedienung setzt Du mit zwei Gerätefamilien um:

• Sicherheitsschaltgerät (Sicherheitsrelais): fest verdrahtete Funktion, intern redundant mit zwangsgeführten Relais, Ein- und Zweikanaligkeit einstellbar, Freigabekontakte (Schließer 13–14, 23–24 …), oft ein Meldekontakt (Öffner 41–42) für die SPS, Rückführkreis und wahlweise überwachter oder automatischer Start. Geeignet für wenige Sicherheitsfunktionen.

• Sicherheits-SPS bzw. sichere Ein-/Ausgabebaugruppen: zwei Prozessoren, die sich gegenseitig überwachen, Testpulse auf den Eingängen, zertifizierte Funktionsbausteine. Das Sicherheitsprogramm ist vom Standardprogramm getrennt und durch Prüfsumme und Passwort geschützt. Geeignet für viele Sicherheitsfunktionen, Muting oder sichere Kommunikation über den Feldbus.

Wie zuverlässig eine Sicherheitsfunktion sein muss, ergibt sich aus der Risikobeurteilung nach DIN EN ISO 12100. DIN EN ISO 13849-1 gibt dafür den erforderlichen Performance Level PLr von a (niedrig) bis e (hoch) an. Er wird mit einem Risikographen aus drei Fragen bestimmt:

• S – Schwere der Verletzung: S1 leicht, meist heilbar; S2 schwer, bleibend oder tödlich,

• F – Häufigkeit und Dauer der Gefährdung: F1 selten bis öfter bzw. kurz; F2 häufig bis dauernd bzw. lang,

• P – Möglichkeit, die Gefährdung zu vermeiden: P1 unter bestimmten Bedingungen möglich; P2 kaum möglich.

Ein Förderband, an dem regelmäßig Teile von Hand entnommen werden und das eine Hand einziehen kann (S2, F2, P1), braucht also mindestens PL d. Der tatsächlich erreichte PL hängt von der Struktur (Kategorie B, 1, 2, 3, 4 – Kategorie 3 und 4 sind redundant), der Zuverlässigkeit der Bauteile und der Fehlererkennung ab; Hersteller geben ihn für ihre Sicherheitsschaltgeräte an. Eine Alternative ist der Sicherheits-Integritätslevel SIL nach DIN EN IEC 62061.

Schritt 10: Normen und neue Rechtslage

Die wichtigsten Regeln für die Sicherheit in Steuerungen:

• DIN EN 60204-1 (VDE 0113-1): elektrische Ausrüstung von Maschinen – u. a. Netztrenneinrichtung, Schutz gegen unerwarteten Anlauf, geerdete Steuerstromkreise, Stoppkategorien, NOT-HALT und NOT-AUS.

• DIN EN ISO 13850: Gestaltung von NOT-HALT-Funktionen.

• DIN EN ISO 13849-1 und DIN EN IEC 62061: sicherheitsbezogene Teile von Steuerungen, Performance Level bzw. SIL.

• DIN EN ISO 12100 (Risikobeurteilung) und DIN EN ISO 14118 (Vermeidung von unerwartetem Anlauf).

Rechtlich galt bisher die Maschinenrichtlinie 2006/42/EG. Ab dem 20.01.2027 löst sie die EU-Maschinenverordnung (EU) 2023/1230 ab, die ohne Umsetzung in nationales Recht unmittelbar gilt. Für Steuerungen bringt sie unter anderem:

• Software als Sicherheitsbauteil: Software, die eine Sicherheitsfunktion erfüllt und eigenständig in Verkehr gebracht wird, ist ein Sicherheitsbauteil und braucht eine Konformitätsbewertung.

• Schutz gegen Manipulation (Cybersecurity): Steuerungen müssen vorhersehbaren böswilligen Fremdeinflüssen standhalten. Hard- und Software, die für die Sicherheit wichtig sind, müssen gegen versehentliche und absichtliche Veränderung geschützt sein; berechtigte Eingriffe und Softwareänderungen müssen nachvollziehbar aufgezeichnet werden. Eine Verbindung zu anderen Geräten oder zum Netz darf nicht zu einer gefährlichen Situation führen.

• Lernende und autonome Systeme: Selbst lernende Steuerungen dürfen ihr Verhalten nur innerhalb der vom Hersteller festgelegten Grenzen verändern.

Dazu kommt die KI-Verordnung (EU) 2024/1689: Ein KI-System, das als Sicherheitsbauteil einer Maschine dient (etwa eine kamerabasierte Personenerkennung, die einen Roboter stoppt), gilt als Hochrisiko-KI. Durch den seit dem 27.07.2026 geltenden Digital Omnibus (VO (EU) 2026/1744) greifen die Pflichten für solche Produkte nach Anhang I erst ab dem 02.08.2028. Bis dahin gelten für die Maschine selbstverständlich die Maschinenrichtlinie bzw. ab 2027 die Maschinenverordnung.

Wie geht es weiter?

• Aufgaben zu allen Schritten dieses Artikels: Übungsaufgaben zu Sicherheit in Steuerungen

• Schütze, Selbsthaltung und Verriegelung: Schützsteuerungen

• Aufbau, Zyklus und Programmiersprachen einer SPS: SPS-Grundlagen

• Schrittketten mit GRAFCET: Ablaufsteuerung mit GRAFCET

Leitfragen

1. Welche Betriebsmittel gehören zur Eingabe, zur Verarbeitung und zur Ausgabe einer Steuerung, und wo werden die Sensorsignale abgefragt? Antwort

Eingabe: Taster, Schalter, Sensoren, Hilfskontakte; Verarbeitung: SPS, Hilfsschütze, Zeitrelais, Sicherheitsschaltgerät; Ausgabe: Leistungsschütze, Ventile, Leuchten. Die Schnittstelle ist die Eingabebaugruppe; die SPS liest die Eingänge ins Prozessabbild der Eingänge und prüft sie dort im Programm. siehe Abschnitt „Schritt 1: Das EVA-Prinzip – Eingabe, Verarbeitung, Ausgabe“

2. Woran erkennst Du, ob eine Anlage gesteuert oder geregelt wird? Antwort

Beim Regeln wird die zu beeinflussende Größe gemessen, mit dem Sollwert verglichen und zurückgeführt (geschlossener Wirkungskreis). Beim Steuern fehlt diese Rückführung (offener Wirkungsablauf). siehe Abschnitt „Schritt 2: Steuern oder Regeln? Und die Funktionsbeschreibung“

3. Was unterscheidet eine asynchrone von einer taktgesteuerten Steuerung, und wie legst Du das Netzteil einer Kleinsteuerung fest? Antwort

Asynchron wirkt jede Signaländerung sofort (Schützsteuerung), taktgesteuert nur zu Taktzeitpunkten (SPS-Zyklus). Für das Netzteil addierst Du die Ströme von Steuerung, Modulen, Sensoren und Transistorausgängen, schlägst etwa 25 % Reserve auf und wählst die nächste Baugröße. siehe Abschnitt „Schritt 3: Asynchron oder taktgesteuert – und die Versorgung der Kleinsteuerung“

4. Warum schaltet man über Öffner aus und über Schließer ein? Antwort

Ein Drahtbruch erzeugt 0-Signal. Beim Öffner wirkt er wie ein Aus-Befehl, die Anlage geht in den sicheren Zustand; beim Schließer verhindert er nur das Einschalten. siehe Abschnitt „Schritt 4: Drahtbruchsicherheit und Ruhestromprinzip“

5. Warum wird der Bezugsleiter M eines 24-V-Steuerkreises geerdet? Antwort

Damit schon der erste Erdschluss zu einem Kurzschluss bzw. zu 0-Signal und damit zum Abschalten führt. Im ungeerdeten Kreis bliebe er unbemerkt, ein zweiter Erdschluss könnte einen Kontakt überbrücken und einen Antrieb einschalten. siehe Abschnitt „Schritt 4: Drahtbruchsicherheit und Ruhestromprinzip“

6. Wie wird ein Abbruch-Taster an die SPS angeschlossen und im Programm abgefragt? Antwort

Als Öffner zwischen L+ und einem Eingang; im Programm löst 0-Signal den Abbruch aus (KOP: Schließerkontakt in Reihe, FUP: negiert am Rücksetzeingang eines rücksetzdominanten Speichers). siehe Abschnitt „Schritt 5: Taster zum Abbrechen drahtbruchsicher an die SPS anschließen“

7. Wie wirkt NOT-HALT auf eine SPS-gesteuerte Maschine, und wann darf sie wieder anlaufen? Antwort

Über ein Sicherheitsschaltgerät, dessen Freigabekontakte die gefahrbringenden Aktoren unabhängig von der SPS abschalten (Stoppkategorie 0 oder 1); die SPS bekommt nur eine Meldung. Wieder anlaufen darf sie erst nach Beseitigen der Ursache, Entriegeln, Quittieren bei geschlossenem Rückführkreis und neuem Startbefehl. siehe Abschnitt „Schritt 6: NOT-HALT und NOT-AUS an SPS-gesteuerten Maschinen“

8. Welche Maßnahme schützt bei Wartungsarbeiten vor unerwartetem Anlauf? Antwort

Ein abschließbarer Haupt- oder Reparaturschalter bzw. der Öffner eines abschließbaren Wartungsschalters im NOT-HALT-Kreis, sodass die Schütze hardwareseitig nicht anziehen können; nicht das Programm allein. siehe Abschnitt „Schritt 7: Schutz gegen unerwarteten Anlauf bei Wartungsarbeiten“

9. Was bedeutet Redundanz, und was leistet eine 2-von-3-Auswertung? Antwort

Sicherheitsrelevante Komponenten sind mehrfach vorhanden, sodass ein einzelner Fehler die Sicherheitsfunktion nicht aufhebt. Bei 2-von-3 entscheidet die Mehrheit: Ein defekter Sensor verhindert weder das Abschalten noch löst er es fälschlich aus. siehe Abschnitt „Schritt 8: Redundanz, Diversität und 2-von-3-Auswertung“

10. Wie bestimmst Du den erforderlichen Performance Level, und was ändert sich mit der Maschinenverordnung? Antwort

Mit dem Risikographen der EN ISO 13849-1 aus Schwere (S), Häufigkeit (F) und Vermeidbarkeit (P). Ab 20.01.2027 gilt die Maschinenverordnung (EU) 2023/1230: Software kann Sicherheitsbauteil sein, und Steuerungen müssen gegen Manipulation geschützt sein. siehe Abschnitt „Schritt 9: Sicherheitsschaltgeräte, Sicherheits-SPS und Performance Level“ und Abschnitt „Schritt 10: Normen und neue Rechtslage“

Links und weitere Informationen

• zur Drahtbruchsicherheit: Wikipedia: Ruhestromprinzip

• zum NOT-HALT: Wikipedia: Not-Halt

• zum Performance Level: Wikipedia: EN ISO 13849

• zur Maschinenverordnung: EUR-Lex: Verordnung (EU) 2023/1230

• zur Redundanz: Wikipedia: Redundanz (Technik)

---

Hinweis zur Nachnutzung als Open Educational Resource (OER)

Dieser Artikel und seine Texte, Bilder, Grafiken, Code und sonstiger Inhalt sind - sofern nicht anders angegeben - lizenziert unter CC BY 4.0. Nennung gemäß TULLU-Regel bitte wie folgt: “Sicherheit in Steuerungen: EVA-Prinzip, Drahtbruchsicherheit, NOT-HALT und Redundanz” von oer-informatik.de (H. Stein), Lizenz: CC BY 4.0. Der Artikel wurde unter https://oer-informatik.de/steuerungssicherheit veröffentlicht, die Quelltexte sind in weiterverarbeitbarer Form verfügbar im Repository unter https://gitlab.com/oer-informatik/elektrotechnik/steuerungstechnik. Erstellt mit KI-Assistenz; von mir umfassend redaktionell überarbeitet, geprüft und freigegeben. Stand: 11.11.2026.

[Kommentare zum Artikel lesen, schreiben] / [Artikel teilen] / [gitlab-Issue zum Artikel schreiben]