Technische Informationen

Funktionale Sicherheit:
Sicherheitsrelevante Temperaturmessung nach IEC 61508
WIKA Datenblatt IN 00.19

Einführung
Elektrische Thermometer können unter bestimmten Voraussetzungen in einem sicherheitsbezogenen System nachIEC 61508 eingesetzt werden. Für die Bewertung des sicherheitsbezogenen Systems sind insbesondere die Ausführungdes elektrischen Thermometers als Widerstandsthermometeroder als Thermoelement sowie die technischen Eigenschaften des verwendeten Temperatur-Transmitters zu berücksichtigen.
Diese technische Information beschreibt die Grundlagen der
Funktionalen Sicherheit nach IEC 61508 und gibt Hinweise
zur sicherheitstechnischen Auslegung einer Temperaturmessstelle.

Notwendigkeit der Risikoreduzierung
Aufgrund steigender gesellschaftlicher Erwartungen an die
Sicherheit von technischen Anlagen, sind die von technischen Systemen ausgehenden Risiken im Laufe der Zeit
immer weiter reduziert worden. Es sind Normen und Richtlinien entstanden, die dem Anlagenbetreiber helfen, seine
Anlage auf höchstem Sicherheitsniveau zu betreiben. Grundlage hierfür ist die Durchführung von Störfallanalysen und
Risikobetrachtungen. Ziel ist es, das von einem technischen
System ausgehende Risiko durch Sicherheitsmaßnahmen
auf ein nach gesellschaftlichen Wertvorstellungen akzeptierbares Risiko zu reduzieren.
Zur Vermeidung eines gefahrbringenden Ausfalls einer
Anlage kommen elektrische/elektronische/programmierbare
elektronische Systeme (E/E/PE-Systeme) zum Einsatz.
Die Gesamtheit aller erforderlichen Sicherheitsfunktionen,die zur Aufrechterhaltung des sicheren Zustandes einer
Anlage dienen, wird als sicherheitstechnisches System SIS(Safety Instrumented System) oder sicherheitsbezogenes
System bezeichnet.

WIKA Datenblatt IN 00.19 ∙ 10/2014

Ein Beispiel für ein solches Sicherheitssystem ist eine
Temperaturüberwachung, die bei Überschreiten der Temperaturgrenzwerte zuverlässig die Energiezufuhr einer Anlageabschaltet, diese in den sicheren Zustand versetzt und somit
ein gefahrbringendes Ereignis verhindert.

Seite 1 von 13

Architektur eines sicherheitsbezogenen Systems
Ein elektrisches/elektronisches/programmierbar elektronisches System besteht grundsätzlich aus den Elementen
Sensor, Steuerung und Aktor. In diesem Fall spricht man
von einer einkanaligen Architektur des Sicherheitssystems(1oo1-System). Die Architektur beschreibt die spezifische
Konfiguration von Hardware- und Softwareelementen in
einem System. Ein 1oo1-System (1 out of 1) besteht aus
einem Kanal, welcher sicher arbeiten muss, damit die Sicherheitsfunktion ausgeführt werden kann. Bei Sicherheitssystemen mit mehrkanaliger Architektur werden Hardware- oder
Softwareelemente redundant ausgeführt (siehe „Redundante
Systeme“).

Beispiel einer einkanaligen Architektur eines sicherheitstechnischen Systems
Sensor-Teilsystem

Logik-Teilsystemelektrisches Thermometer mit
Temperatur-Transmitter

Stellglied-Teilsystemspeicherprogrammierbare
Steuerung

VentilVerantwortungsbereich des Anlagenerrichters/Anlagenbetreibers
Ein elektrisches Thermometer mit Temperatur-Transmitter
Typen T32.1S (Kopfversion) und T32.3S (Schienenversion)kann vom Anlagenbetreiber als Sensor-Teilsystem einessicherheitstechnischen Systems verwendet werden.

Temperatur-Transmitter, Typ T32.xS

Seite 2 von 13

WIKA Datenblatt IN 00.19 ∙ 10/2014

Normative Grundlagen
Die Normenreihe IEC 61508 „Funktionale Sicherheit sicherheitsbezogener elektrischer/elektronischer/programmierbare
elektronischer Systeme“ wird als Sicherheitsgrundnorm
bezeichnet. Sie beschreibt Maßnahmen zur Vermeidung und
Beherrschung von Fehlern in Geräten und Anlagen und ist
unabhängig vom Industriebereich anwendbar.
Die IEC 61508 ist insbesondere dann anzuwenden, wenn■■ die Sicherheitsfunktion durch ein E/E/PE-System ausge-

führt wird■■ ein Ausfall des sicherheitstechnischen Systems zur

Gefahr für Mensch und Umwelt führt■■ keine anwendungsbezogene Norm zur Auslegung vonSicherheitssystemen existiert

Die IEC 61508 stellt den Stand der Technik in Bezug auf die
Auslegung von sicherheitstechnischen Systemen dar. Bei derAuslegung von Sicherheitssystemen ist der Stand der Technik
und somit die IEC 61508 unbedingt zu berücksichtigen.

Bei der Zertifizierung des Temperatur-Transmitters
Typ T32.xS wurde der Temperatur-Transmitter in Verbindung mit einem elektrischen Thermometer betrachtet. Im
Sicherheitshandbuch „Hinweise zur Funktionalen Sicherheit
für Temperatur-Transmitter Typ T32.xS“ werden sicherheitsrelevante Kennwerte für den Temperatur-Transmitter, dieangeschlossenen Temperatursensoren und den gesamten
Aufbau angegeben.
Das Sensor-Teilsystem wird für die Bewertung in die Elemente „elektrisches Thermometer (Temperatursensor)“ und„Temperatur-Transmitter“ aufgeteilt. Die Temperatursensoren
werden als Typ A-Komponenten (elementares Bauteil) und
der Temperatur-Transmitter als Typ B-Komponenten (komplexes Bauteil) eingestuft.
Sensor-Teilsystem bestehend aus Temperatur-Transmitter und Temperatursensor

Für Planer, Errichter und Betreiber des Sicherheitssystems
gibt es auch anwendungsspezifische Normen. Diese sindbeispielsweise die IEC 61511 „Funktionale Sicherheit Sicherheitstechnische Systeme für die Prozessindustrie“
für die Prozessindustrie und die EN 62061 „Sicherheit vonMaschinen - Funktionale Sicherheit sicherheitsbezogener
elektrischer, elektronischer und programmierbarer elektronischer Steuerungssysteme“ für den Maschinenbau.
Ein elektrisches Thermometer kann in einem sicherheitstechnischen System entsprechend der Norm IEC 61508
eingesetzt werden, wenn das Thermometer zusammen mit
einem für sicherheitsrelevante Applikationen zertifiziertem
Temperatur-Transmitter verwendet wird. Der TemperaturTransmitter Typ T32.xS von WIKA ist unter Berücksichtigung
der IEC 61508 für den Einsatz in der Prozessindustrieentwickelt und vom TÜV Rheinland für diese Anwendungzertifiziert worden.

Thermoelement oder
Widerstandsthermometer

Temperatur-Transmitter
Typ T32.xS

Ein elektrisches Thermometer ohne Temperatur-Transmitter,wie beispielsweise ein Widerstandsthermometer oder ein
Thermoelement, fällt nicht unter die IEC 61508, da z. B. ein
Messwiderstand ein einfaches elektrisches Bauteil ist, daskeine Selbstdiagnose durchführen und Fehler aufdeckenkann.
Für elektrische Thermometer ohne einen nach IEC 61508
zertifizierten Temperatur-Transmitter können lediglich
Ausfallraten angegeben werden. Denn es hängt immer vonder verwendeten Auswerteeinheit des Anwenders ab, welche
Fehlerarten am elektrischen Thermometer aufgedeckt undsicher erkannt werden können.

WIKA Datenblatt IN 00.19 ∙ 10/2014

Seite 3 von 13

Bewertung von sicherheitsbezogenen Systemen
Die Wahrscheinlichkeit, dass eine Sicherheitsfunktion bei
Anforderung (d. h. beim Auftreten eines Fehlers im System)
ausgeführt wird, wird durch die Sicherheitsintegrität definiert.
Um ein Maß für die Anforderungen an die Sicherheitsintegrität zu erhalten, wird diese in vier Sicherheitsintegritätslevel(Safety Integrity Level, SIL) unterteilt. Wird der SIL 4 erreicht,
ist die Wahrscheinlichkeit, dass die Sicherheitsfunktion
ausgeführt wird, am größten und gewährleistet damit die
maximal erreichbare Risikoreduzierung.

Der Sicherheitsintegritätslevel bezieht sich immer auf das
gesamte Sicherheitssystem. Ein Element hat keinen SIL,
sondern kann lediglich für eine SIL-Anwendung geeignet
sein. Beispielsweise bildet der Temperatur-Transmitter
Typ T32.xS alleine kein sicherheitstechnisches System.
Für die Festlegung und die Einhaltung des geforderten
Sicherheitsintegritätslevels sowohl des gesamten Sicherheitssystems als auch der einzelnen Elemente ist derAnwender verantwortlich!

Stufen der Sicherheitsintegrität

WIKA als Hersteller von elektrischen Thermometern unterstützt den Anwender hierbei. Zum einen, indem bestätigt
wird, dass die Anforderungen der Norm IEC 61508 eingehalten werden, wie zum Beispiel während der Entwicklung
des T32.xS. Zum anderen können dem Anwender entsprechende sicherheitstechnische Kenndaten für die Anlagenprojektierung und die Bewertung der Sicherheitsfunktion zur
Verfügung gestellt werden.

SIL1
low
niedrig

SIL2

SIL3

safety integrity
Sicherheitsintegrität

SIL4
high
hoch

Der Begriff „SIL“ ist also eine wesentliche Kenngröße desSicherheitssystems, wird aber häufig gleichbedeutend für„Funktionale Sicherheit“ benutzt.

Anforderungen an ein Sicherheitssystem
Um eine Temperaturmessstelle optimal für ein sicherheitsbezogenes System auszulegen, sind folgende Aspekte zu
beachten:■■ Der sichere Zustand der Anlage und die Sicherheitsfunktion jedes Elements ist vom Anlagenbetreiber zu definieren.
■■ Der benötigte Sicherheitsintegritätslevel ist vom Betreiber
des Sicherheitssystems durch eine Risikobewertung z. B.
mit dem Risikographen zu ermitteln.
■■ Die Einsatzbedingungen (Prozessmedium, Umwelteinflüsse) des Thermometers sind genau zu spezifizieren, damit
in Zusammenarbeit mit WIKA die Temperaturmessstelle
optimal ausgelegt werden kann.
■■ Die Angaben in der WIKA-Dokumentation des verwendeten Thermometers sind einzuhalten.
■■ Sicherstellen, dass messstoffberührte Teile für das
Messmedium geeignet sind.
Grundlegend für eine optimale Sicherheit an der Temperaturmessstelle ist die korrekte Auslegung des elektrischen
Thermometers, entsprechend den Anforderungen imProzess. Erst im nächsten Schritt wird ein für Sicherheitssysteme geeigneter Temperatur-Transmitter ausgewählt, dermöglichst viele Fehlerarten des elektrischen Thermometers
und des Transmitters selbst aufdeckt.

Seite 4 von 13

WIKA Datenblatt IN 00.19 ∙ 10/2014

Ermittlung des maximal erreichbaren Sicherheitsintegritätslevels am Beispiel desTemperatur-Transmitters Typ T32.xS
Zur Bestimmung des Sicherheitsintegritätslevels einessicherheitsbezogenen Systems sind sowohl die Anforderungen an die systematische Sicherheitsintegrität als auch an
die Sicherheitsintegrität der Hardware zu bestimmen.

Systematische Sicherheitsintegrität

Sicherheitsintegrität der Hardware

Um die Anforderungen an die systematische Sicherheitsintegrität zu erfüllen, sind systematische Fehler zu berücksichtigen. Systematische Fehler sind Konstruktionsfehler, Produktionsfehler oder Bedienungsfehler. Um diese zu verringern,
gibt die IEC 61508 Sicherheitsmaßnahmen vor, die während
der gesamten Lebensdauer (Product-Lifecycle) eines technischen Systems eingehalten werden müssen. Der Sicherheitslebenszyklus von Sicherheitssystemen beginnt bei derKonzeptionierung und endet mit der Außerbetriebnahme.
Im Rahmen des Sicherheitsmanagements während derEntwicklung des T32.xS sind beispielsweise durch Validierungs- und Verifikationstätigkeiten sowie durch Planung undsorgfältige Dokumentation systematische Fehler verhindert
worden. Dadurch erfüllt die Software des Temperatur-Transmitters Typ T32.xS sogar die Kriterien für SIL 3 im Bezug auf
die systematische Sicherheitsintegrität.

Zufällige Fehler
Um die Sicherheitsintegrität der Hardware zu bewerten,
sind zufällige Fehler zu betrachten. Diese entstehen durch
zufällige Veränderungen eines Bauteilverhaltens, z. B. durch
Unterbrechung, Kurzschluss oder zufällige Wertänderung
eines Kondensators in einer elektrischen Schaltung. Zufällige Fehler können nicht vermieden werden. Lediglich die
Wahrscheinlichkeit des Auftretens eines solchen Fehlers
kann berechnet werden. Die Ausfallrate wird in der Einheit
FIT (Failures in Time) angegeben.
Es gilt:
Die Gesamtheit aller Ausfälle in einem Zeitintervall mit
konstanter Ausfallrate wird als Basisausfallrate λB bezeichnet. Die Basisausfallrate setzt sich zusammen aus gefährlichen Fehlern λD = dangerous und ungefährlichen Fehlern
λS = safe, die einen Einfluss auf die Sicherheitsfunktion
haben.
Abhängig davon, ob ein Fehler zum Beispiel durch eine
Diagnosefunktion in der Elektronik des Sicherheitssystems
aufgedeckt werden kann oder unerkannt bleibt, werden die
gefährlichen und ungefährlichen Fehler weiter unterteilt.
Unterteilung von Fehlerraten

λSU =
λDD =
ungefährlich,
gefährlich, entdeckbar
nicht entdeckbar(dangerous, detectable)(safe, undetectable)

λSD =ungefährlich, entdeckbar(safe, detectable)
λDU =gefährlich, nicht entdeckbar(dangerous, undetectable)

WIKA Datenblatt IN 00.19 ∙ 10/2014

Seite 5 von 13

Fehlerarten am elektrischen Thermometer
An einem elektrischen Thermometer können folgende Fehler
auftreten:■■ Kabelbruch - der Messkreis wird unterbrochen■■ Kurzschluss - zwei Anschlussleitungen werden ungewollt
verbunden■■ Drift durch Änderungen im Widerstandsmaterial bzw. Drift
der Thermospannung■■ Änderung des Leitungswiderstandes, z. B. durch Temperaturwechsel
Abhängig von den Fehleraufdeckungsfunktionen des verwendeten Temperatur-Transmitters ist die Art des Ausfalls (λSD,
λSU, λDD, λDU) für verschiedene Fehlerfälle am elektrischen
Thermometer zu definieren.
Tabelle 1: Fehlererkennung durch den Temperatur-Transmitter Typ T32.xS
Mögliche Fehlerfälle amelektrischen Thermometer
Kabelbruch
KurzschlussDriftÄnderung des Leitungswiderstandes

Widerstandsthermometer Widerstandsthermometer Widerstandsthermometer Thermo2-Leiter-Schaltung
3-Leiter-Schaltung
4-Leiter-Schaltung
element

λDD
λDD
λDU
λDU

λDD
λDD
λDU
λDD 1)

λDD
λDD
λDU
λDD

λDD
λDU
λDU
λDD

1) Eine Änderung des Leitungswiderstandes in 3-Leiter-Schaltung kann nur bedingt unter der Voraussetzung, dass die Anschlussleitungen zwischen Messwiderstand und Transmitter die
gleiche Länge sowie den gleichen Leitungsquerschnitt haben, aufgedeckt werden.

In der Literatur werden Ausfallraten für Thermoelemente
und Widerstandsthermometer in verschiedenen Anwendungen und Bauformen angegeben. Die Ausfallratenbeziehen sich auf den „Worst Case“ eines Thermometerausfalls und dienen als Orientierung bei der Auslegung vonsicherheitstechnischen Systemen. Die Ausfallraten können
unter Berücksichtigung der Einsatzbedingungen sowie
der Anschlussleitung zwischen Messstelle und Transmitter
herangezogen werden. Sie werden nach den Vibrationsanforderungen am Einsatzort (low stress/high stress) und nachder Art der Verbindung zwischen Messstelle und TemperaturTransmitter (close coupled/extension wire) unterschieden(siehe „Definitionen und Abkürzungen“).
Tabelle 2: Ausfallraten für Thermoelemente ohne Temperatur-Transmitter 2)
Fehlerart
Kabelbruch
Kurzschluss
Drift

Close coupled

Low stress
95 FIT
4 FIT
1 FIT

High stress1.900 FIT
80 FIT
20 FIT

Extension wire
Low stress
900 FIT
50 FIT
50 FIT

High stress18.000 FIT
1.000 FIT
1.000 FIT

2) Die angegebenen Ausfallraten basieren auf Berechnungen seitens WIKA unter Einbeziehung von Basiskennzahlen der Firma exida.com L.L.C.
(siehe Seite 12 „Literatur- und Quellenverzeichnis“, „Exida“)Seite 6 von 13

WIKA Datenblatt IN 00.19 ∙ 10/2014

Tabelle 3: Ausfallraten für Widerstandsthermometer in 4-Leiter-Schaltung ohne Temperatur-Transmitter 2)
Fehlerart
Kabelbruch
Kurzschluss
Drift

Close coupled

Low stress
42 FIT
3 FIT
6 FIT

High stress
830 FIT
50 FIT
120 FIT

Extension wire
Low stress
410 FIT
20 FIT
70 FIT

High stress8.200 FIT
400 FIT1.400 FIT

Tabelle 4: Ausfallraten für Widerstandsthermometer in 2- oder 3-Leiterschaltung ohne Temperatur-Transmitter 2)
Fehlerart
Kabelbruch
Kurzschluss
Drift

Close coupled

Low stress

38 FIT
1 FIT
9 FIT

High stress

758 FIT
29 FIT
173 FIT

Extension wire

Low stress

371 FIT
10 FIT
95 FIT

High stress7.410 FIT
190 FIT1.900 FIT

2) Die angegebenen Ausfallraten basieren auf Berechnungen seitens WIKA unter Einbeziehung von Basiskennzahlen der Firma exida.com L.L.C.
(siehe Seite 12 „Literatur- und Quellenverzeichnis“, „Exida“)

WIKA Datenblatt IN 00.19 ∙ 10/2014

Seite 7 von 13

Begrenzung des Sicherheitsintegritätslevels eines Elements
Der maximal erreichbare SIL eines Elements des Sicherheitssystems wird durch folgende Faktoren begrenzt:■■ Anteil sicherer Ausfälle eines Hardwareelements■■ Komplexität der Komponenten (Typ A und B Komponenten)(Safe Failure Fraction, SFF)■■ Hardware-Fehlertoleranz (HFT)

Die Hardware-Fehlertoleranz stellt ein Maß für den
Redundanzgrad des Sicherheitssystems dar. Bei einer
Hardwarefehlertoleranz von N, ist N+1 die minimale
Anzahl von Fehlern, die zum Verlust einer Sicherheitsfunktion führen können. Ein sicherheitstechnisches System mit
einkanaliger Architektur hat eine Hardware-Fehlertoleranz
von 0.

- Typ A-Komponenten sind elementare Bauteile, deren
Ausfallverhalten vollständig definiert und deren Fehlverhalten bestimmt ist. Typ A-Komponenten sind beispielsweise Widerstandstemperatursensoren und Thermoelemente.
- Bei komplexen Komponenten des Typs B ist das
Ausfallverhalten mindestens einer Komponente nichtoder nicht vollständig definiert. Eine Typ B-Komponente
ist beispielsweise eine elektronische Schaltung, dieeinen Mikroprozessor enthält. Der Temperatur-Transmitter
T32.xS ist als Typ B-Komponente definiert (siehe
Tabelle 5).

Um den SFF-Wert von Widerstandstemperatursensoren und Thermoelementen, die an den Temperatur-Transmitter T32.xS
angeschlossen sind, zu berechnen, sind zunächst die Ausfallraten der Temperatursensoren unter Berücksichtigung derDiagnosefunktion des Transmitters in die Kategorien (λS, λDD, λDU) zu unterteilen. Daraus lässt sich der SFF-Wert entsprechend nachfolgender Formel berechnen:

Damit die als Typ A-Komponenten definierten Temperatursensoren in einkanaliger Architektur (HFT = 0) in sicherheitstechnischen Systemen bis SIL 2 eingesetzt werden dürfen, ist entsprechend Tabelle 5 ein SFF ≥ 60 % einzuhalten. Für die gleicheApplikation ist für den Temperatur-Transmitter T32.xS als Typ B-Komponente ein SFF ≥ 90 % notwendig.

Tabelle 5: Maximaler Sicherheitsintegritätslevel einer Komponente abhängig von der Hardware-Fehlertoleranz, der Komplexität der Komponenten und des Anteils sicherer Ausfälle
SFF< 60 %
60 … < 90 %90 … < 99 %≥ 99 %

Hardware-Fehlertoleranz
0
Typ A

SIL 1
SIL 2
SIL 3
SIL 3

Typ B

nicht erlaubt
SIL 1
SIL 2
SIL 3

1
Typ A

SIL 2
SIL 3
SIL 4
SIL 4

Typ B

SIL 1
SIL 2
SIL 3
SIL 4

2
Typ A

SIL 3
SIL 4
SIL 4
SIL 4

Typ B

SIL 2
SIL 3
SIL 4
SIL 4

Nur wenn der SFF-Wert sowohl des Temperatur-Transmitters
als auch des Temperatursensors die jeweils angegebene
Grenze einhält, sind diese Elemente für sicherheitstechnische Systeme mit entsprechendem SIL zulässig. Zusätzlichmuss der PFD-Wert der gesamten Sicherheitsfunktion den
Anforderungen nach Tabelle 6 genügen.

Seite 8 von 13

WIKA Datenblatt IN 00.19 ∙ 10/2014

Begrenzung des SIL des gesamten Sicherheitssystems
Die Norm IEC 61508 gibt Werte an, die den Sicherheitsintegritätslevel des gesamten Sicherheitssystems begrenzen.
Je nachdem wie häufig das Sicherheitssystem angefordert wird, werden zwei Kennwerte unterschieden:■■ PFH (Probability of dangerous failure per hour)

Mittlere Häufigkeit eines gefahrbringenden Ausfalls derSicherheitsfunktion für eine Betriebsart mit hoher oder kontinuierlicher Anforderungsrate (High Demand). Diese Betriebsarten sind vor allem für den Maschinenbau relevant.
■■ PFDavg (Probability of failure on demand)

Mittlere Wahrscheinlichkeit eines gefahrbringenden Ausfalls
bei Anforderung der Sicherheitsfunktion für eine Betriebsart
mit niedriger Anforderungsrate (Low Demand).
Tproof bezeichnet das Intervall der Wiederholungsprüfung.
Nach diesem Intervall wird durch eine geeignete Prüfung
(„proof test“) das System fast in einen „Wie-Neu-Zustand“
innerhalb der vorgesehenen Gebrauchsdauer gebracht. Bei
dieser Prüfung können auch gefährliche, nicht entdeckbare
Fehler erkannt werden. Bei einem elektrischen Thermometer
wird durch eine regelmäßige Kalibirierung sichergestellt,
dass der Messwert noch innerhalb der geforderten Genauigkeit liegt. Damit wird also ein unzulässig hoher Drift ausgeschlossen.
Bei einem Wiederholungsprüfungsintervall von einem
Jahr (Tproof = 8.760 h) resultiert folgender PFDavg-Wert
für ein Widerstandsthermometer in 4-Leiter-Schaltung undangeschlossenem Temperatur-Transmitter Typ T32.xS:- Umgebungsbedingung: low stress- Verbindung zwischen Messstelle und Transmitter:close coupled- Ausfallrate λDU = 16 FIT 3)

Damit ist diese Kombination bezüglich der Anforderungenan den PFDavg-Wert für Sicherheitssysteme mit höherem
Sicherheitsintegritätslevel als SIL 2 geeignet, jedoch
aufgrund der einkanaligen Struktur und der SFF auf SIL 2
begrenzt (siehe „Begrenzung des Sicherheitsintegritätslevels
eines Elements“).
Die oben beschriebene Formel ist aus der IEC 61508
abgeleitet. Es wird angenommen, dass die Zeitdauer von
8 h, die für die Wiederherstellung des Systems benötigt wird,
vernachlässigbar klein gegenüber dem Wiederholungsprüfungsintervall von 8.760 h ist.
Der PFDavg-Wert verhält sich annähernd linear zum Intervall
der Wiederholungsprüfung Tproof. Je kürzer das Intervall
der Wiederholungsprüfung desto besser der erreichbare
PFDavg-Wert. Analog kann das Intervall der Wiederholungsprüfung verlängert werden, wenn der PFDavg-Wert desGesamtsystems geringer als der zulässige Grenzwert ist.
Wird das Intervall der Wiederholungsprüfung auf 0,5 Jahre
verkürzt oder auf 2 Jahr verlängert, halbiert bzw. verdoppelt
sich der PFDavg-Wert.
Je kleiner der PFDavg- bzw. PFH-Wert, umso größer dererreichbare SIL des Gesamtsystems. In Tabelle 6 werden den
PFDavg- bzw. PFH-Kennwerten Sicherheitsintegritätslevelzugeordnet.

Tabelle 6: Einschränkung des SIL des Sicherheitssystems durch PFDavg- und PFH-Werte
Sicherheitsintegritätslevel(SIL)

Mittlere Wahrscheinlichkeit eines gefahrbringenden
Ausfalls bei Anforderung der Sicherheitsfunktion(PFDavg)

Mittlere Häufigkeit eines gefahrbringenden
Ausfalls je Stunde (PFH)

4
3
2
1

≥ 10-5 bis < 10-4
≥ 10-4 bis < 10-3
≥ 10-3 bis < 10-2
≥ 10-2 bis < 10-1

≥ 10-9 bis < 10-8 h-1≥ 10-8 bis < 10-7 h-1≥ 10-7 bis < 10-6 h-1≥ 10-6 bis < 10-5 h-13) siehe Seite 12 „Literatur- und Quellenverzeichnis“ und Seite 18-20 im Sicherheitshandbuch „Hinweise zur Funktionalen Sicherheit für Temperatur-Transmitter Typ T32.xS“WIKA Datenblatt IN 00.19 ∙ 10/2014

Seite 9 von 13

Für den Anwender ist immer der PFDavg-Wert des gesamten Sicherheitssystems und nicht der Wert eines Elements
relevant. Zur Bewertung hat sich als Richtwert folgende
Aufteilung des PFDavg-Wertes auf das Sicherheitssystem
etabliert:
Anteile von Sensor, Steuerung, Aktor am gesamten
PFD-Wert des SIS

Aktor
50 %

Eine abweichende Verteilung auf die Komponenten kannvom Anlagenbetreiber festgelegt werden.
Nutzt der Sensor weniger als 35 % des maximal erlaubten
PFDavg-Wertes des Sicherheitssystems, wie z. B. ein elektrisches Thermometer mit Temperatur-Transmitter Typ T32.xS,
so kann der Anwender eine Steuerung und einen Aktor mit
entsprechend schlechteren PFDavg-Werten einsetzen.

Sensor(elektrisches
Thermometer)
35 %Steuerung
15 %Strukturelle Einschränkungen
Strukturelle Eigenschaften des sicherheitstechnischen
Systems können den maximal erreichbaren SIL einschränken. In einer einkanaligen Architektur wird der maximale SIL
vom schwächsten Glied bestimmt. Im abgebildeten Sicherheitssystem sind die Teilsysteme „Sensor“ und „Logik“ fürSIL 2, das Teilsystem „Stellglied“ lediglich für SIL 1 geeignet.
Das gesamte Sicherheitssystem kann daher maximal SIL 1
erreichen.
Komponenten eines sicherheitsbezogenen Systems

Sensor-Teilsystem
SIL 2

Seite 10 von 13

Logik-Teilsystem
SIL 2Stellglied-Teilsystem
SIL 1

WIKA Datenblatt IN 00.19 ∙ 10/2014

Redundante Systeme
Werden zwei elektrische Thermometer mit Temperatur-Transmitter Typ T32.xS parallel aufgebaut, sind Ausfälle infolge
gemeinsamer Ursache zu berücksichtigten. Ausfälle infolge
gemeinsamer Ursache können beispielsweise auftreten, wenn
Umweltbedingungen oder EMV-Störungen mehrere Kanäle
gleichzeitig beeinflussen. Diese Fehler wirken sich gleichermaßen auf alle Kanäle eines redundanten Systems aus.
Zuverlässigkeitsblockdiagramm: elektrisches Thermometer in redundantem Aufbau
SensorKanal 1elektrisches Thermometer 1

Kanal 2elektrisches Thermometer 2(mit Temperatur-Transmitter)(mit Temperatur-Transmitter)

Die elektrischen Thermometer aus der vorherigen Abbildung stellen in diesem Fall eine zweikanalige Architektur(1oo2-System) dar. Solch eine Struktur wird als MooNSystem bezeichnet. Ein MooN-System (M out of N) besteht
aus N unabhängigen Kanälen, wovon M Kanale sicher funktionieren müssen, so dass das Gesamtsystem die sicherheitstechnische Funktion ausführen kann.
Das Auftreten von Ausfällen infolge gemeinsamer Ursache
ist weniger wahrscheinlich, wenn die beiden verwendeten elektrischen Thermometer mit Temperatur-Transmitter
hinsichtlich Aufbau, Messprinzip und Software möglichst
diversitär sind. So kann beispielsweise ein Widerstandsthermometer für einen Kanal und ein Thermoelement für den
anderen Kanal verwendet werden. Zur Messung kann sowohl
je ein Schutzrohr für Widerstandsthermometer und Thermoelement als auch ein gemeinsames Schutzrohr verwendet
werden. Bei Verwendung eines gemeinsamen Schutzrohres
sind die Ausfälle infolge gemeinsamer Ursache entsprechend wahrscheinlicher. Eine höhere Diversität wird außerdem erreicht, wenn die verwendeten Temperatur-Transmittervon unterschiedlichen Herstellern sind und sich in ihrem
Aufbau sowie der Software unterscheiden.
Speziell der WIKA-Temperatur-Transmitter Typ T32.xS hat
den Vorteil, dass er in homogen redundanten Systemen bis
SIL 3 verwendet werden kann. D.h. ein elektrisches Thermometer mit Temperatur-Transmitter Typ T32.xS wird parallel zu
einem zweiten Thermometer mit baugleichem Transmittergeschaltet. In einkanaliger Architektur ist der Transmitterbis SIL 2 geeignet. Aufgrund der vollständigen Entwicklung
und Zertifizierung des Temperatur-Transmitters Typ T32.xS
nach allen Teilen der Norm IEC 61508 (Full-AssessmentEntwicklung) ist der Transmitter auch in homogen redundantem Aufbau für SIL 3-Applikationen geeignet. Bereits bei der
Entwicklung wurden die fehlervermeidenden Maßnahmen
der Software für SIL 3-Anwendungen ausgelegt. Damit
unterscheidet sich der Temperatur-Transmitter Typ T32.xS
von betriebsbewährten Geräten, die lediglich auf Basis einer
früheren Verwendung für SIL-Anwendungen geeignet sind.

WIKA Datenblatt IN 00.19 ∙ 10/2014

Ausfall infolge
gemeinsamer
UrsacheBetriebsbewährte Geräte erreichen in zweikanaligen Architekturen maximal den SIL des einzelnen Gerätes. Systematische Fehler werden bei diesen Geräten im Gegensatz zum
Temperatur-Transmitter Typ T32.xS nicht von vornherein,z. B. während der Entwicklung des Gerätes, verhindert bzw.
reduziert.
Um die Auswirkung der Ausfälle infolge gemeinsamer
Ursache zu berücksichtigen, wird zur Berechnung des
PFD-Wertes redundanter Systeme ein sogenannter β-Faktor
benötigt. Der β-Faktor bezeichnet den Anteil unerkannter
Ausfälle infolge gemeinsamer Ursache. Nach IEC 61508-6
und unter Berücksichtigung, dass die Zeitdauer von 8 h,
die für die Wiederherstellung des Systems benötigt wird,
vernachlässigbar klein gegenüber dem Wiederholungsprüfungsintervall von 8.760 h ist, wird der PFD-Wert für eine
1oo2-Struktur mit zwei identischen Kanälen durch folgende
vereinfachte Formel berechnet:

Um den β-Faktor zu ermitteln, sind zunächst Maßnahmen
zu definieren, die das Auftreten von Ausfällen infolge
gemeinsamer Ursache verringern. Durch ingenieurmäßige
Abschätzungen ist in Zusammenarbeit mit WIKA zu definieren, inwieweit jede Maßnahme das Auftreten von Ausfällen
infolge gemeinsamer Ursache reduziert.

Seite 11 von 13

Zusammenfassende Empfehlungen

Abkürzungen und Definitionen

Zur optimalen Auslegung einer Temperaturmessstelle fürsicherheitsgerichtete Anwendungen sind unbedingt die
Anforderungen in Kapitel „Anforderungen an ein Sicherheitssystem“ zu berücksichtigen.

AbkürzungWeiterhin empfiehlt es sich, in Sicherheitsanwendungen den
Temperatur-Transmitter Typ T32.xS (Kopf- oder Schienenversion) in Verbindung mit einem Widerstandsthermometer in
4-Leiter-Schaltung oder mit einem Thermoelement einzusetzen. Durch die umfangreichen Diagnoseeigenschaften
des T32.xS und die Vorteile der 4-Leiter-Schaltung wird einehohe Sicherheit bei der Temperaturmessung gewährleistet.
Um den Messeinsatz vor dem Prozessmedium zu schützen
und um eine schnelle und einfache Kalibrierung des elektrischen Thermometers zu ermöglichen, sind ThermometerSchutzarmaturen mit auswechselbarem Messeinsatz zu
verwenden. Dabei ist insbesondere auf eine passendeAuslegung des Schutzrohrs entsprechend der Anforderungen des Prozesses zu achten.

Literatur- und Quellenverzeichnis
1.) IEC 61508:2010:
Funktionale Sicherheit sicherheitsbezogener elektrischer/elektronischer/programmierbarer elektronischer Systeme
Beuth Verlag GmbH, 10772 Berlin

2.) Exida:
Safety Equipment Reliability Handbook - 3rd Edition, 2012,
exida.com L.L.C.

Close
coupledDC
Extension
wire

FIT

Definition

Der Temperatur-Transmitter befindet sich imAnschlussskopf des elektrischen Thermometers (head-mounted).
Diagnosedeckungsgrad
Der Temperatur-Transmitter befindet sichaußerhalb des Anschlusskopfes des elektrischen Thermometers, zum Beispiel in einem
Schaltschrank entfernt von der Messstelle(remote-mounted).
Ausfälle pro Zeiteinheit, engl. Failures in time

HFT
HardwarefehlertoleranzHigh Stress Anwendungen mit Vibration (≥ 67 %der maximalen Vibrationsfestigkeit deselektrischen Thermometers)
Low stress Geringe Vibration (< 67 % der maximalen
Vibrationsfestigkeit des elektrischen
Thermometers)
PFDavgMittlere Wahrscheinlichkeit eines gefahrbringenden Ausfalls bei Anforderung der Sicherheitsfunktion
PFH
Mittlere Häufigkeit eines gefahrbringenden
Ausfalls der Sicherheitsfunktion
RTD
englisch: “Resistance temperature detector”;
Widerstandsthermometer
SFF
Anteil sicherer Ausfälle eines HardwareElements
SIS
TC
TR

Sicherheitstechnisches System, engl. Safety
Instrumented System
englisch: „Thermocouple“; Thermoelement
englisch: „Temperature Resistance“;
Widerstandsthermometer3.) WIKA Alexander Wiegand SE & Co. KG:
Sicherheitshandbuch „Hinweise zur Funktionalen Sicherheit für Temperatur-Transmitter Typ T32.xS“ (ab Firmware
Revision 2.2.3)

Seite 12 von 13

WIKA Datenblatt IN 00.19 ∙ 10/2014

Auswirkung der Neubewertung des Temperatur-Transmitters Typ T32.xS(ab Firmware Revision 2.2.3) auf die sicherheitsrelevanten Kennwerte
Im Rahmen der Neubewertung wurden keine sicherheitstechnischen Änderungen am Temperatur-Transmitter durchgeführt. Die Diagnoseaufdeckung des Transmitters bleibt
unverändert. Lediglich der neue Bewertungsansatz führt zu
einer Änderung der sicherheitsrelevanten Kennwerte.
Neuer Normenstand IEC 61508
Seit der Erstbewertung des Temperatur-Transmitters
Typ T32.xS wurde die Basisnorm der Funktionalen Sicherheit
IEC 61508 „Funktionale Sicherheit sicherheitsbezogener
elektrischer/elektronischer/programmierbare elektronischer
Systeme“ auf den Stand IEC 61508:2010 aktualisiert. Ab
Firmware-Revision 2.2.3 wird der T32.xS nach diesem
Normenstand bewertet.
Aktualisierte Ausfallraten
In diesem Zusammenhang wurden auch die FMEDA (Failure
Modes, Effects and Diagnostic Analysis) mit aktuellen
Bauteil-Ausfallraten wiederholt. Den Berechnungen werden
Baulemente-Ausfallraten nach SN29500 zugrunde gelegt.
Für die am Temperatur-Transmitter angeschlossenen
Temperaturwiderstandssensoren und Thermoelemente
werden von der Firma exida.com LLC ermittelten Ausfallraten
herangezogen.

Anwendungsspezifische Ausfallraten
Mit der Neubewertung des T32.xS werden die Ausfallraten
je nach Vibrationsbelastung am Einsatzort des elektrischen
Thermometers und je nach Anschluss des Thermometers
an den Transmitter anwendungsspezifisch angegeben.
Weiterhin werden Ausfallraten für den Temperatur-Transmitter„stand alone“ für verschiedene Konfigurationen berechnet.
Tendenziell verbesserte Ausfallraten
Die Ausfallraten des Transmitters T32.xS mit angeschlossenem Thermoelement oder Widerstandssensor habensich tendenziell verbessert. Insbesondere für die Anwendungsbedingungen „low stress, close coupled“ hat sich
die Ausfallrate für gefährliche, nicht entdeckbare Fehler
verringert.
Auswirkungen auf den PFDavg-Wert
Vor allem für die Anwendungsbedingung „low stress, close
coupled“ hat sich der PFDavg -Wert verbessert. Dies erlaubt
dem Anwender ggf. im sicherheitstechnischen System
Logik- oder Stellglied-Teilsysteme mit entsprechend größeren
PFDavg-Werten zu verwenden oder das Intervall der Wiederholungsprüfung zu verlängern.

Elementbetrachtung Teilsystem „Sensor“
Mit der Einführung des Begriffs „Element“ in der
IEC 61508-4:2010 Abschnitt 3.4.5 wird die Zusammenschaltung Temperatur-Transmitter und elektrisches Thermometer als Teilsystem „Sensor“ wie folgt betrachtet undbewertet:
Element 1
Elektrisches Thermometer
ohne Transmitter (Thermoelement oder Widerstandsthermometer)

Element 2
Temperatur-Transmitter
Typ T32.xS (ohne Thermoelement oder Widerstandsthermometer )Typ A / SFF ≥ 60 % für
HFT = 0 und SIL 2

Typ B / SFF ≥ 90 % für
HFT = 0 und SIL 2

Diese getrennte Betrachtung wirkt sich auf die Bewertungdes SFF-Wertes aus. So sinkt beispielsweise der für SIL 2
notwendige SFF-Wert für Thermoelemente oder Widerstandsthermometer auf 60 %.

10/2014 D© 2013 WIKA Alexander Wiegand SE & Co. KG, alle Rechte vorbehalten.
Die in diesem Dokument beschriebenen Geräte entsprechen in ihren technischen Daten dem derzeitigen Stand der Technik.
Änderungen und den Austausch von Werkstoffen behalten wir uns vor.

WIKA Datenblatt IN 00.19 ∙ 10/2014

Seite 13 von 13

WIKA Alexander Wiegand SE & Co. KG
Alexander-Wiegand-Straße 30
63911 Klingenberg/GermanyTel.
+49 9372 132-0
Fax+49 9372 132-406
info@wika.de
www.wika.de