1. Austausch eines defekten oder verschlissenen Teils durch ein Ersatzteil, das dem Originalteil entweder identisch oder ihm zumindest ähnlich ist,
2. Ersatz des kompletten Geräts durch ein (in der Funktion) identisches,
3. Software-Aktualisierung, die die zugrundeliegenden Sicherheitsanforderungen nicht beeinträchtigt.

Auch Instandsetzungsarbeiten können prüfpflichtige Änderungen sein (§ 2 Absatz 9 Satz 2 BetrSichV).

1. Austausch eines defekten oder verschlissenen Teils durch ein Ersatzteil, das dem Originalteil entweder identisch oder ihm zumindest ähnlich ist,
2. Ersatz des kompletten Geräts durch ein (in der Funktion) identisches,
3. Software-Aktualisierung, die die zugrundeliegenden Sicherheitsanforderungen nicht beeinträchtigt.

Auch Instandsetzungsarbeiten können prüfpflichtige Änderungen sein (§ 2 Absatz 9 Satz 2 BetrSichV)."

B1 Begriffsbestimmung

Über die Begriffsbestimmungen in Abschnitt 2 hinaus werden folgende Begriffe verwendet:

B1.1 Verriegelung

Unterbrechung der Energie- oder Medienzufuhr, die ein manuelles Eingreifen zur Wiederherstellung des Betriebszustandes erfordert.

B1.2 Begrenzung

Abschaltung und Verriegelung der Energie- oder Medienzufuhr bei Überschreiten eines Grenzwertes für eine oder mehrere Betriebsgrößen. Die Wiederherstellung des Betriebszustandes ist nur möglich, wenn die Betriebsgrößen wieder einen zulässigen Wert erreicht haben.

B1.3 Freigabe

Herstellung des Betriebszustandes, der eine Energie- oder Medienzufuhr ermöglicht.

B2 Festlegung und Umsetzung des Schutzkonzepts

(1) Das Schutzkonzept ist nachvollziehbar zu dokumentieren. Hierzu können z.B.

1. Verfahrensfließbilder,
2. Rohrleitungs- und Instrumentenfließschemata,
3. Skizzen der Wirkketten der geplanten Sicherheitsfunktionen oder
4. verbale Beschreibungen

dienen.

(2) Die Sicherheitsfunktionen sind so zu dokumentieren, dass sie nachvollzogen werden können, z.B. in einer Abschaltmatrix oder einem Ursachen-Wirkungs-Diagramm.

(3) Sofern für die Umsetzung der Schutzmaßnahmen sicherheitsrelevante MSR-Einrichtungen vorgesehen sind, sind die Anforderungen an die Zuverlässigkeit der Sicherheitsfunktionen entsprechend Abschnitt 4.3 Absatz 2 festzulegen.

(4) Wurde die Umsetzung der Schutzmaßnahmen durch sicherheitsrelevante MSR-Einrichtungen im Gefahrenfeld Druck im Rahmen eines Konformitätsbewertungsverfahrens für das komplette Sicherheitssystem (siehe hierzu Leitlinie A-25 zur Richtlinie 2014/68 EU) bereits geprüft, muss die Umsetzung durch die zur Prüfung befähigte Person/ZÜS nicht erneut geprüft werden, sofern die Plausibilitätsprüfung ergeben hat, dass identische Betrachtungsgrenzen vorliegen und die Herstellerangaben in Bezug auf Aufstellung und Betriebsweise eingehalten werden.

Die sicherheitstechnischen Maßnahmen in Bezug auf die Cybersicherheit sind durch den Arbeitgeber in Anlehnung an TRBS 1115 Teil 1 festzulegen, z.B. in Form von Freigabeprozeduren.

B3 Prüfung vor Inbetriebnahme und vor Wiederinbetriebnahme nach prüfpflichtigen Änderungen

(1) Die Prüfung vor erstmaliger Inbetriebnahme durch die zur Prüfung befähigte Person oder durch die ZÜS bezieht sich auf die gesamtheitliche Erfüllung des Schutzkonzeptes zum sicheren Betrieb der Druckanlage. Es ist Abschnitt 6 zu beachten.

(2) Bei Änderungen an sicherheitsrelevanten MSR-Einrichtungen (vgl. Abschnitt 8.3) ist zu beurteilen, ob es sich um eine prüfpflichtige Änderung des Arbeitsmittels handelt (siehe § 10 Absatz 5 BetrSichV). Die Prüfung vor Wiederinbetriebnahme nach prüfpflichtigen Änderungen durch die zur Prüfung befähigte Person oder durch die ZÜS kann sich auf die zu ändernden sicherheitsrelevanten MSR-Einrichtungen beschränken, sofern sich keine Änderung des Schutzkonzeptes ergibt.

(3) Bei der Durchführung der Prüfungen kann sich die zur Prüfung befähigte Person oder die ZÜS Prüfergebnisse der vom Arbeitgeber hierzu beauftragten fachkundigen Beschäftigten zu eigen machen (siehe TRBS 1201 Teil 2 Nummer 6.1 Absatz 5).

B3.1 Prüfungen von sicherheitsrelevanten MSR-Einrichtungen bei der Ordnungsprüfung

(1) Es werden die Dokumentation der vorlaufenden Arbeitsschritte entsprechend Abschnitte 4.4, 4.5 und 5 auf Vorhandensein und Plausibilität sowie die Einhaltung des Schutzkonzeptes überprüft. Diese Prüfung umfasst z.B.:

1. Prüfung auf Plausibilität und Vollständigkeit des Schutzkonzeptes im Hinblick auf Eignung zum Erreichen der Schutzziele,
2. Überprüfung der Spezifikationen der Schutzschaltungen gegenüber den Festlegungen aus dem Schutzkonzept im Hinblick auf z.B. Grenzwerte, Abschaltungen und Freigaben sowie Zuverlässigkeit/Qualität von Komponenten,
3. Plausibilitätskontrolle der richtigen Programmierung z.B. von speicherprogrammierbaren Steuerungen anhand von Funktionsplänen inklusive Feststellung der dokumentierten Prüfsumme (digitale Signatur) sowie die Parametrierung programmierbarer Sensorik/Aktorik,
4. Kontrolle der Dokumentation der eingesetzten Komponenten auf Übereinstimmung mit der Spezifikation für die jeweilige sicherheitsrelevante MSR-Einrichtung,
5. Prüfung auf Plausibilität und Vollständigkeit der dokumentierten Prüfungen der Beschaffenheit und elektrotechnischen Funktion der Sicherheitsstromkreise,
6. Plausibilitätsprüfung der Festlegungen des Arbeitgebers zur Vorgehensweise bei der Prüfung von sicherheitsrelevanten MSR-Einrichtungen und deren Prüfzyklen,
7. Prüfung auf Vorhandensein von dokumentierten Schutzmaßnahmen zur Cybersicherheit (siehe TRBS 1115 Teil 1).

(2) Hierbei kann sich auch auf die durch den Hersteller und Arbeitgeber bereitgestellte Dokumentation bezogen werden. Bei unvollständiger oder nicht aussagekräftiger Dokumentation sind ggf. weitere Prüfungen oder eine größere Prüftiefe erforderlich.

(3) Notwendige Dokumentationsunterlagen können unter anderem sein:

1. Betriebsanleitung in deutscher Sprache,
2. Dokumentation der Schutzmaßnahmen als Ergebnis der Gefährdungsbeurteilung,
3. Dokumentation der sicherheitsrelevanten Schaltungen und der geforderten Funktionsweisen, z.B. Abschaltmatrix oder Ursachen-Wirkungs-Diagramm,
4. Messstellenlisten,
5. Eignungsnachweise der eingesetzten Bauteile, z.B. Zertifikate, Sicherheitshandbücher,
6. Berechnungsunterlagen zum Nachweis der Ausfallsicherheit,
7. Funktionsbeschreibung der relevanten Sicherheitsfunktionen,
8. Stromlaufpläne,
9. Logikpläne der sicherheitsgerichteten Steuerung (Funktionsschaltpläne) und Dokumentation der digitalen Signatur,
10. Prüfanweisungen, inklusive Beschreibung der Maßnahmen zur Aufdeckung nicht erkannter, gefährlicher Fehler (z.B. Überprüfung des Drifts von Sensoren).

B3.2 Prüfungen von sicherheitsrelevanten MSR-Einrichtungen bei der technischen Prüfung

(1) Der Arbeitgeber hat Art und Umfang erforderlicher Prüfungen zu ermitteln und festzulegen.

(2) Die Maßnahmen zur Durchführung der Prüfung der sicherheitsrelevanten MSR-Einrichtungen werden zwischen dem Arbeitgeber und der zur Prüfung befähigten Person oder der ZÜS abgestimmt. Diese Prüfung umfasst z.B.:

1. Prüfung der in der Anlage eingebauten Komponenten (z.B. Einbaulage, -position, Parametrierung von programmierbarer Sensorik/Aktorik, Absicherung gegen unbeabsichtigtes Verstellen),
2. Prüfung der Schaltungen, der Sensoren und Aktoren entsprechend den Prüfanweisungen im Hinblick auf z.B. Einhaltung festgelegter Grenzwerte, Ansprechzeiten, bei Bedarf als integrale Funktionsprüfung über die gesamte Wirkkette bei repräsentativen Betriebsparametern,
3. Kontrolle der Ausführung der Schrittketten in der speicherprogrammierbaren Steuerung,
4. Feststellung und Dokumentation der digitalen Signatur für wiederkehrende Prüfungen bzw. Vergleich mit der digitalen Signatur der Ordnungsprüfung,
5. Prüfung auf Zuordenbarkeit der Komponenten zur Dokumentation.

(3) Durch die Prüfungen dürfen keine Gefährdungssituationen entstehen. Können Gefährdungssituationen nicht verhindert werden, ist vom Arbeitgeber ein Arbeitsprogramm entsprechend Anhang 1 Nummer 5.1 BetrSichV zu erstellen. Die für die Prüfungen erforderlichen Veränderungen an den MSR-Einrichtungen, beispielsweise Simulationen, sind unmittelbar nach Abschluss der Prüfungen vor Inbetriebnahme zurückzunehmen.

B4 Wiederkehrende Prüfungen

(1) Im Rahmen der wiederkehrenden Prüfungen des Arbeitsmittels ist die Funktionsfähigkeit der sicherheitsrelevanten MSR-Einrichtungen festzustellen (siehe hierzu Abschnitt 7). Die Prüfungen der sicherheitsrelevanten MSR-Einrichtungen können von den Intervallen bzw. von den Prüffälligkeiten für die wiederkehrenden Prüfungen des Arbeitsmittels nach Anhang 2 Abschnitt 4 Nummer 5.8 und 5.9 BetrSichV abweichen. Zu den wiederkehrenden Prüfungen des Arbeitsmittels müssen die Ergebnisse der Prüfung der sicherheitsrelevanten MSR-Einrichtung vorliegen.

(2) Die Prüfung der sicheren Funktion der sicherheitsrelevanten MSR-Einrichtungen hat mithilfe der erstellten schriftlichen Prüfanweisungen zu erfolgen und ist zu dokumentieren.

(3) Bei der Durchführung der Prüfungen kann sich die zur Prüfung befähigte Person oder die ZÜS Prüfergebnisse der vom Arbeitgeber hierzu beauftragten fachkundigen Beschäftigten zu eigen machen (siehe TRBS 1201 Teil 2 Nummer 6.1 Absatz 5).

B4.1 Prüfungen von sicherheitsrelevanten MSR-Einrichtungen bei der Ordnungsprüfung

(1) Die zur Prüfung befähigte Person oder die ZÜS überprüft die Instandhaltung der sicherheitsrelevanten MSR-Einrichtungen anhand der vom Arbeitgeber vorgelegten Aufzeichnungen. Die Überprüfung umfasst dabei z.B.:

1. Prüfung zur Änderung der Betriebsweise der Druckanlage nach Aussage des Arbeitgebers, z.B. durch
1. Änderung von sicherheitsrelevanten Betriebsparametern (Druck, Temperatur),
2. Änderung von Lastwechselparametern (z.B. infolge geänderter Produktionsabläufe),
3. Änderungen von organisatorischen Maßnahmen,
4. Änderung von Hilfsstoffen,
5. andere Änderungen von Schutzmaßnahmen im Ergebnis der Gefährdungsbeurteilung,
2. Vergleich der digitalen Signatur des sicherheitsgerichteten Anwenderprogramms der speicherprogrammierbaren Steuerungen, um Softwareänderungen auszuschließen,
3. Kontrolle der Aufzeichnungen auf Vollständigkeit und Plausibilität der Prüfungen, insbesondere der Einhaltung der Prüfzyklen entsprechend den Festlegungen des Arbeitgebers,
4. Prüfung der erreichten Gebrauchsdauer gegenüber Herstellervorgaben/Vorgaben des Arbeitgebers für die sicherheitsrelevanten MSR-Einrichtungen.

(2) Zur Bewertung der Wirksamkeit von Schutzmaßnahmen gehört auch die Frage nach aufgetretenen sicherheitsrelevanten Abweichungen vom bestimmungsgemäßen Betrieb z.B. in Form von Eingriffen Unbefugter.

B4.2 Prüfungen von sicherheitsrelevanten MSR-Einrichtungen bei der technischen Prüfung

(1) Der Arbeitgeber hat seine Festlegungen zu der Art und dem Umfang erforderlicher Prüfungen bei der wiederkehrenden Überprüfung der Gefährdungsbeurteilung zu bewerten.

(2) Die Maßnahmen zur Durchführung der wiederkehrenden Prüfungen der sicherheitsrelevanten MSR-Einrichtungen werden zwischen dem Arbeitgeber und der zur Prüfung befähigten Person oder der ZÜS abgestimmt. Diese Prüfungen umfassen z.B.:

1. Funktionsprüfung der Schaltungen, der Sensoren und Aktoren entsprechend den Prüfanweisungen, ggf. als integrale Funktionsprüfungen über die gesamte Wirkkette bei repräsentativen Betriebsparametern,
2. stichprobenweise Sichtprüfung der Sensoren, Aktoren und der Kabelverbindungen der sicherheitsrelevanten MSR-Einrichtungen auf z.B. Vorhandensein von Kennzeichnungen und offensichtlichen Beschädigungen sowie Prüfung der sicheren Anschlüsse der Teile der sicherheitsrelevanten MSR-Einrichtungen.

(3) Bei den wiederkehrenden Prüfungen kann die zur Prüfung befähigte Person oder die ZÜS Aufzeichnungen von betrieblichen Auslösungen durch sicherheitsrelevante MSR-Einrichtungen heranziehen.

B5 Beispiele

Nachfolgend sind Druckanlagen und Druckanlagenteile aufgeführt, die die Umsetzung der Schutzmaßnahmen beispielhaft aufzeigen.

B5.1 Beispiel Rührreaktor

In diesem Beispiel wird das Schutzkonzept durch den Arbeitgeber festgelegt. Die zur Prüfung befähigte Person oder ZÜS prüft das Schutzkonzept auf Plausibilität und Vollständigkeit.

B5.1.1 Verfahrensbeschreibung

In einer Batchreaktion reagieren Stoff A und Stoff B unmittelbar während der Zugabe miteinander unter Bildung des Endproduktes. Dazu wird zunächst der Stoff A vorgelegt und der Stoff B (reaktionsfreudig) wird kontrolliert und gleichmäßig zugefahren, wobei er unter guter Durchmischung mit Stoff A zum Endprodukt reagiert (siehe Abbildung B1).

Abb. B1 Prinzipskizze der verfahrenstechnischen Einrichtungen und der steuerungstechnischen Zusammenhänge für das Beispiel Rührreaktor

B5.1.2 Festlegung und Umsetzung des Schutzkonzepts

(1) Im vorliegenden Fall ist das in der Gefährdungsbeurteilung ermittelte Schutzziel die Vermeidung einer unkontrollierten Durchgehreaktion.

(2) Folgende technische Schutzmaßnahmen werden vom Arbeitgeber festgelegt:

1. Dosierung von Stoff B ist nur möglich, wenn der Rührer läuft, Erfassung der Rührerdrehzahl und Freigabe für Stoff B als sicherheitsrelevante MSR-Einrichtung,
2. Dosierung (Menge und Dauer) von Stoff B ist außerdem nur möglich, wenn Stoff A in ausreichender Menge im Rührreaktor vorgelegt wurde, Erfassung der vorgelegten Masse Stoffstrom A und Freigabe Stoffstrom B als sicherheitsrelevante MSR-Einrichtung,
3. Begrenzung des Massenstroms von Stoff B als Sicherheitseinrichtung durch eine Begrenzungsblende, um eine Akkumulation zu verhindern.

(3) Für die Schutzmaßnahmen Nummer 1 und 2 werden die Anforderungen an die Zuverlässigkeit der Sicherheitsfunktionen entsprechend Abschnitt 4.3 festgelegt.

B5.2 Beispiel Autoklav

(1) In diesem Beispiel wird das Schutzkonzept durch den Hersteller des Autoklavs festgelegt und die Umsetzung im Rahmen des Konformitätsbewertungsverfahrens für die Baugruppe nach Artikel 14 Absatz 6 der Richtlinie 2014/68/EU geprüft. Durch die zur Prüfung befähigte Person oder ZÜS wird geprüft, ob identische Betrachtungsgrenzen vorliegen und die Herstellerangaben in Bezug auf Aufstellung und Betriebsweise eingehalten werden.

(2) Der Autoklav im vorliegenden Beispiel wird nach DIN EN 285 oder DIN EN 13060 ausgeführt.

B5.2.1 Verfahrensbeschreibung

Zur Formgebung werden Ausgangsprodukte und eine Form in einen Autoklav eingebracht. Unter Zuführung von Sattdampf mit einer definierten Haltezeit erfolgt das Formgebungsverfahren. Nach dem Formgebungsprozess erfolgt das Öffnen des Schnellverschlusses mit anschließender Entladung von Endprodukt und Form.

B5.2.2 Festlegung und Umsetzung des Schutzkonzepts

(1) Schutzziel ist die Absicherung gegen unkontrollierte Druckentlastung während der Betriebsphase und beim Öffnen des Schnellverschlusses sowie des maximal zulässigen Betriebsdruckes des Autoklavs.

(2) Folgende technische Schutzmaßnahmen werden festgelegt:

1. sichere Verriegelung des geschlossenen Schnellverschlusses für Betriebsbedingungen unter Überdruck größer 0,2 bar (ü),
2. Absicherung des maximal zulässigen Betriebsüberdruckes von 12 bar (ü).

(3) Folgende sicherheitsrelevante MSR-Einrichtungen sind vorgesehen:

1. Endlagenüberwachung, Überwachung Öffnungsdruck
1. Schnellverschluss Endlagenüberwachung durch Schaltkontakte (Stößelschalter), zwei unabhängig voneinander wirkende Endlagenschalter,
2. Sicherheitsdruckbegrenzer zur Überwachung der Öffnungsfreigabe für Mindestöffnungsdruck von 0,2 bar (ü), z.B. mittels Fangeinrichtung entsprechend AD 2000 A5 oder Türzuhaltung,
3. Aktor: Endlagensignal und Drucküberwachung führen zur Öffnungsfreigabe (Freigabesignal aus der sicherheitsgerichteten Steuerung/SPS) des Verriegelungsmechanismus vom Schnellverschluss;
2. Überwachung des maximal zulässigen Betriebsdruckes
1. Sicherheitsdruckbegrenzer 12 bar (ü),
2. Aktor: Unterbrechung der Dampfzufuhr mittels Schnellschlussventil (Magnetventil Sicherheitsstellung geschlossen).

B5.3 Beispiel Großwasserraumkessel

(1) Das Schutzkonzept stützt sich in diesem Beispiel auf ein anlagenspezifisches Regelwerk (z.B. DIN EN 12953 Teile 6 und 9, DIN EN 676, DIN EN 50156) ab, aus dem die Sicherheitsfunktionen ableitbar sind. Die Prüfung des Schutzkonzeptes durch die zur Prüfung befähigte Person oder ZÜS bezieht sich auf die Vollständigkeit der Umsetzung und auf die Festlegungen der Anforderungen an die Zuverlässigkeit dieser Sicherheitsfunktionen entsprechend Abschnitt 4.3.

(2) Sofern das überhitzungsgefährdete Druckgerät als Baugruppe einem Konformitätsbewertungsverfahren nach Artikel 14 Absatz 6 der Richtlinie 2014/68/EU unterzogen wird, beschränkt sich die Prüfung der zur Prüfung befähigten Person oder ZÜS auf Einhaltung der Aufstellungsbedingungen und die richtige Installation.

B5.3.1 Verfahrensbeschreibung

(1) In einem befeuerten Druckgerät (Kessel) erfolgt die Erzeugung von Sattdampf, der in ein Dampfnetz eingespeist wird und als Prozess- oder Heizdampf verwendet wird.

(2) Die Befeuerung erfolgt über einen nach DIN EN 676 baumustergeprüften Gasgebläsebrenner, der an einem Flammrohr angeordnet ist. Das Flammrohr dient als Feuerraumzug und ist gleichzeitig in einem umgebenden Wasser-/Dampfraum als Heizfläche ausgebildet. Die weitere Ableitung der durch die Feuerung entstehenden Rauchgase erfolgt in zwei weiteren Rauchrohrzügen mit Wendekammern, die ebenfalls den Wasser-/Dampfraum durchziehen. Durch die Beheizung erfolgt eine Drucksteigerung und Verdampfung innerhalb des Wasser-/Dampfraumes. Zur Kompensation des in das Dampfnetz eingespeisten Sattdampfes wird dem Wasser-/Dampfraum Speisewasser zugeführt.

(3) Das Verfahren erfordert folgende Regelkreise:

1. Regelung des betrieblich erforderlichen Dampfdruckes im Wasser-/Dampfraum über die Leistungssteuerung (Steuerung der Brennstoffmenge) der Feuerung,
2. Regelung der Luftzufuhr des Gasgebläsebrenners entsprechend der zugeführten Brennstoffmenge (Brennstoff/Luftverbund),
3. Regelung des Wasserstandes im Wasser-/Dampfraum zur Bereitstellung von Kesselwasser für den Verdampfungsprozess.

(4) Die Entnahme des entstehenden Sattdampfes erfolgt ungeregelt über die Abnahme der an das Dampfnetz angeschlossenen Verbraucher.

B5.3.2 Festlegung und Umsetzung des Schutzkonzepts

(1) Das in der Gefährdungsbeurteilung unter Berücksichtigung der vorhandenen anlagenspezifischen technischen Regeln ermittelte Schutzziel ist die Vermeidung des Versagens von drucktragenden Wandungen aufgrund von:

1. Drucksteigerungen im Wasser-/Dampfraum, die in der Auslegung des Druckgerätes nicht berücksichtigt sind,
2. Überhitzung der druckbeaufschlagten Heizflächen (Flammrohr, Rauchrohre, Wendekammern) durch mangelnde Kühlung auf der Wasser-/Dampfseite,
3. Korrosionen der drucktragenden Wandungen im Kessel und dem angeschlossenen Dampfnetz aufgrund von Sauerstoffeintrag, Salzfrachten und anderen korrosionsfördernden Kesselwassereigenschaften,
4. Korrosionen im angeschlossenen Dampfnetz durch salzfrachtbedingte Schaumbildung bei der Verdampfung,
5. erosiven Beschädigungen der Rohrwandungen infolge von Wasserschlägen im angeschlossenen Dampfnetz durch mitgerissenes Kesselwasser bei starker Dampfentnahme,
6. Druckstößen durch Verpuffungen im Feuerraum durch mangelnde Brennstoffzündung beim Anfahren und im Betrieb oder Störung der Verbrennung durch mangelnde Luft- oder Brennstoffversorgung oder Rauchgasabführung.

(2) Folgende technische Schutzmaßnahmen werden auf der Grundlage der Anforderungen des anlagenspezifischen Regelwerkes als sicherheitsrelevante MSR-Einrichtungen, die über die Ansteuerung der selbsttätigen Brennstoffschnellschlussabsperreinrichtungen auf den Betrieb der Feuerung wirken, festgelegt:

1. Freigabe vor dem Anfahren der Feuerung und Abschaltung und Verriegelung der Brennstoffzufuhr im Betrieb bei Ansprechen folgender sicherheitsrelevanter MSR-Einrichtungen (Kesselschutz):
1. Wassermangelsicherung mittels Wasserstandelektrode für Wasserstand Min (Min-Wasserstandbegrenzer),
2. Drucksensor für Max-Druck Wasser-/Dampfraum (Max-Druckbegrenzer),
3. Kesselwasserleitfähigkeitsmessung (Max-Leitfähigkeitsbegrenzer),
4. Betätigung Gefahrenschalter zur Abschaltung der Feuerung;
2. Freigabe der Brennstoffzufuhr vor dem Anfahren und Betrieb der Feuerung durch Wirkung beispielsweise folgender sicherheitsrelevanter MSR-Einrichtungen:
1. Abschluss einer definierten Vorbelüftung (Luftwechsel) des Feuerraumes und der Rauchgaswege bis zum Eintritt Kamin,
2. Ventilüberwachungssystem (z.B. nach DIN EN 1643) zur Feststellung von inneren Leckraten zur Überprüfung des wirksamen Schließens der Brennstoffschnellschlussabsperreinrichtungen oder eine mittels MSR-Einrichtung umgesetzte Dichtheitskontrolle,
3. Stellungsüberwachung von Absperreinrichtungen im Rauchgasweg zur Sicherstellung des freien Rauchgasweges,
4. Drucküberwachung der Verbrennungsluft (Min-Druckwächter),
5. Gasdrucküberwachung (Min-/Max-Drucküberwachung),
6. Flammenüberwachungseinrichtung, z.B.:
• Fremdlichtüberwachung vor dem Anfahren (während Vorbelüftung),
• Überwachung des Vorhandenseins einer Flamme im Betrieb.

(3) Die vorgenannten sicherheitsrelevanten MSR-Einrichtungen können nach Produktnorm typgeprüfte Geräte ausgeführt werden, was in der Folge zu unterschiedlichen Architekturen führen kann.

B5.4 Beispiel Kälteverdichteranlage

In diesem Beispiel wird das Schutzkonzept durch den Hersteller der Kälteverdichteranlage festgelegt und die Umsetzung im Rahmen des Konformitätsbewertungsverfahrens nach Artikel 14 Absatz 6 der Richtlinie 2014/68/EU geprüft. Dabei wird sich auf anlagenspezifisches Regelwerk (z.B. DIN EN 378) abgestützt. Durch die zur Prüfung befähigte Person oder ZÜS wird geprüft, ob identische Betrachtungsgrenzen vorliegen und die Herstellerangaben in Bezug auf Betriebsweise und Aufstellung insbesondere im Hinblick auf das Freisetzen von Kältemitteln eingehalten sind.

B5.4.1 Verfahrensbeschreibung

(1) Mithilfe eines Verdichters wird ein Kältemittel mit einem Saugdruck P1 von 2 bar (ü) verdichtet. Der maximal mögliche Enddruck des Verdichters ist größer als 16 bar (ü). Der angeschlossene Druckbehälter hat einen maximalen Auslegungsdruck von PS = 16 bar (siehe Abbildung B2).

Abb. B2 Prinzipskizze der verfahrenstechnischen Einrichtungen und der steuerungstechnischen Zusammenhänge für das Beispiel Kälteverdichteranlage

(2) Das Überströmventil ist auf 16 bar (ü) eingestellt und hat keine Zulassung als Sicherheitsventil. Der Verdichter steht in unmittelbarer Nähe zu einer Produktionshalle, in der sich ständig Beschäftigte aufhalten.

(3) In diesem Beispiel wird davon ausgegangen, dass der Verdichter selbst als ausreichend abgesichert gilt (entspricht den Anforderungen der Richtlinie 2006/42/EG) und deshalb nicht näher zu betrachten ist.

B5.4.2 Festlegung und Umsetzung des Schutzkonzepts

(1) Im Rahmen der Gefährdungsbeurteilung des Arbeitgebers wurde als ein Schutzziel der Schutz vor Bersten der drucktragenden Wandung definiert. Um ein Bersten der drucktragenden Wandung des Behälters zu vermeiden, soll der Enddruck des Verdichters überwacht werden. Vor Überschreiten des zulässigen Druckes soll das Ventil V1 schließen.

(2) Folgende technische Schutzmaßnahmen werden vom Arbeitgeber festgelegt:

1. Erfassung des Verdichterenddruckes,
2. Absperren der Medienzuführung zum Behälter.

(3) Die Auslegung der sicherheitsrelevanten MSR-Einrichtung ist so auszuführen, dass die Anforderungen der Richtlinie 2014/68/EU (insbesondere Anhang I Nummer 2.11. als Ausrüstungsteil mit Sicherheitsfunktion) erfüllt werden. Hierbei sind fehlerbeherrschende Maßnahmen vorzusehen, damit ein Fehler nicht zum Verlust der sicherheitsrelevanten MSR-Einrichtung führen kann (siehe z.B. DIN EN 764-7).

(4) Das Schutzkonzept kann wie folgt umgesetzt werden

1. Realisierung mit Geräten, welche nach Produktnorm typgeprüft sind (diskreter Aufbau):

1. Einsatz eines Sicherheitsdruckbegrenzers (z. B nach DIN EN 1854),
2. Einsatz eines baumustergeprüften Ventils (Sicherheitsstellung geschlossen),
3. Verdrahtung erfolgt im Ruhestromprinzip, Hilfsschütze werden mittels Fehlerausschlussverfahren ausgewählt (z.B. nach DIN EN 50156-1 Abschnitt 10.5.5)

oder

2. Realisierung mit Geräten, welche nach Normen zur funktionalen Sicherheit (z.B. DIN EN 61508) entwickelt und für den Anwendungsfall geeignet sind:

1. Einsatz von z.B. Drucktransmittern,
2. Einsatz einer fehlersicheren Steuerung,
3. Einsatz eines geeigneten Ventils (Sicherheitsstellung geschlossen),
4. Verdrahtung erfolgt im Ruhestromprinzip,
5. Hilfsschütze werden mittels Fehlerausschlussverfahren ausgewählt (z.B. nach DIN EN 50156-1 Abschnitt 10.5.5).

Die vorgenannten Umsetzungsvarianten nach den Nummern 1 oder 2 können zu unterschiedlichen Architekturen führen.

B1 Anwendungsbereich

(1) Sicherheitsrelevante MSR-Einrichtungen können Teil des Schutzkonzeptes für Druckanlagen sein. Grundlage für das Schutzkonzept ist die Gefährdungsbeurteilung im Sinne der TRBS 1111 durch den Arbeitgeber. Aus dem Schutzkonzept sind auch die Prüfungen und Kontrollen von sicherheitsrelevanten MSR-Einrichtungen abzuleiten.

(2) Die Prüfinhalte zur Bewertung der funktionalen Sicherheit an Druckanlagen umfassen sowohl verfahrenstechnische als auch elektrotechnische Aspekte. Die Prüfungen von sicherheitsrelevanten MSR-Einrichtungen erfolgen deshalb in der Regel als Teilprüfungen im Sinne der TRBS 1201 Abschnitt 3.1 Absatz 5.

(3) Zu diesem Zweck kann sich die zur Prüfung befähigte Person oder ZÜS bei der Prüfung gemäß TRBS 1201 Teil 2 die Aussagen qualifizierter Teilprüfungen zu eigen machen (für ZÜS siehe hierzu auch die Richtlinie "Anforderungen an zugelassene Überwachungsstellen" der Zentralstelle der Länder für Sicherheitstechnik (ZLS)).

(4) Nachfolgend werden daher Inhalte von Prüfungen und Kontrollen sowie Teilprüfungen von sicherheitsrelevanten MSR-Einrichtungen nach TRBS 1201 Teil 2 dargestellt. Weiterhin wird in Beispielen die Verwendung von MSR-Einrichtungen als technische Schutzmaßnahmen gemäß TRBS 2141 dargestellt.

B2 Begriffsbestimmungen

Über die Begriffsbestimmungen in Abschnitt 2 hinaus werden folgende Begriffe verwendet:

B2.1 Verriegelung

Unterbrechung der Energie- oder Medienzufuhr, die ein manuelles Eingreifen zur Wiederherstellung des Betriebszustandes erfordert.

B2.2 Begrenzung

Abschaltung und Verriegelung der Energie- oder Medienzufuhr bei Überschreiten eines Grenzwertes für eine oder mehrere Betriebsgrößen. Die Wiederherstellung des Betriebszustandes ist nur möglich, wenn die Betriebsgrößen wieder einen zulässigen Wert erreicht haben.

B2.3 Freigabe

Herstellung des Betriebszustandes, der eine Energie- oder Medienzufuhr bzw. den Start eines Anfahrvorgangs ermöglicht.

B3 Allgemeine Anforderungen

(1) Der Arbeitgeber hat entsprechend Abschnitt 3.3 Qualifikationen und Zuständigkeiten der mit Auswahl, Beschaffung und Betrieb von sicherheitsrelevanten MSR-Einrichtungen befassten Personen festzulegen.

(2) Das Schutzkonzept ist nachvollziehbar zu dokumentieren, wobei auch der sichere Zustand definiert werden muss. Hierzu können z.B.

1. Verfahrensfließbilder,
2. Rohrleitungs- und Instrumentenfließschemata (R&I-Schemata),
3. Skizzen der Wirkketten der geplanten Sicherheitsfunktionen oder
4. verbale Beschreibungen

dienen.

(3) Für sicherheitsrelevante MSR-Einrichtungen sind die Anforderungen an die Zuverlässigkeit der Sicherheitsfunktionen entsprechend Abschnitt 4.3 Absatz 2 festzulegen. Die Sicherheitsfunktionen sind nachvollziehbar zu dokumentieren, z.B. in einer Abschaltmatrix oder einem Ursachen-Wirkungs-Diagramm.

(4) Wurde die Umsetzung der Schutzmaßnahmen durch sicherheitsrelevante MSR-Einrichtungen im Gefahrenfeld Druck im Rahmen eines Konformitätsbewertungsverfahrens für das komplette Sicherheitssystem (siehe hierzu Leitlinie A-25 zur Druckgeräte-Richtlinie) bereits geprüft, muss die Umsetzung durch die zur Prüfung befähigte Person oder durch die ZÜS (je nach Prüfzuständigkeit) nicht erneut geprüft werden, sofern eine Plausibilitätsprüfung ergeben hat, dass identische Betrachtungsgrenzen vorliegen und die Herstellerangaben in Bezug auf Aufstellung und Betriebsweise eingehalten werden.

(5) Die sicherheitstechnischen Maßnahmen in Bezug auf die Cybersicherheit sind durch den Arbeitgeber nach TRBS 1115 Teil 1 festzulegen.

B4 Prüfung vor Inbetriebnahme und vor Wiederinbetriebnahme nach prüfpflichtigen Änderungen der Druckanlage

(1) Die Prüfung vor erstmaliger Inbetriebnahme der Druckanlage durch die zur Prüfung befähigte Person oder durch die ZÜS bezieht sich auf die gesamtheitliche Erfüllung des Schutzkonzeptes zum sicheren Betrieb der Druckanlage. Es ist Abschnitt 6 zu beachten.

(2) Sicherheitsrelevante MSR-Einrichtungen sind - als Bestandteil der Druckanlage - vor erstmaliger Inbetriebnahme und vor Wiederinbetriebnahme nach prüfpflichtigen Änderungen (z.B. Änderungen des Schutzkonzeptes nach Abschnitt 8.3.4) im Rahmen der Prüfung nach Anhang 2 Abschnitt 4 Nummer 4.1 BetrSichV auf Eignung und Funktionsfähigkeit zu prüfen.

(3) Bei einem Austausch von sicherheitsrelevanten MSR-Einrichtungen sind Abschnitt 8.3.2 und Abschnitt 8.3.3 zu berücksichtigen.

B4.1 Prüfungen von sicherheitsrelevanten MSR-Einrichtungen bei der Ordnungsprüfung

(1) Es werden die Dokumentation der vorlaufenden Arbeitsschritte entsprechend Abschnitten 4.4, 4.5 und 5 auf Vorhandensein und Plausibilität sowie die Einhaltung des Schutzkonzeptes überprüft. Diese Prüfung umfasst z.B.:

1. Prüfung auf Plausibilität und Vollständigkeit des Schutzkonzeptes im Hinblick auf Eignung zum Erreichen der Schutzziele,
2. Überprüfung der Spezifikationen der Schutzschaltungen gegenüber den Festlegungen aus dem Schutzkonzept im Hinblick auf z.B. Grenzwerte, Abschaltungen und Freigaben sowie Zuverlässigkeit/Qualität von Komponenten,
3. Plausibilitätskontrolle der Stromlaufpläne der Sicherheitsstromkreise,
4. Plausibilitätskontrolle der richtigen Programmierung z.B. von speicherprogrammierbaren Steuerungen anhand von Funktionsplänen inklusive Feststellung der Checksumme sowie die Parametrierung programmierbarer Sensorik/Aktorik,
5. Kontrolle der Dokumentation der eingesetzten Komponenten auf Übereinstimmung mit der Spezifikation für die jeweilige sicherheitsrelevante MSR-Einrichtung,
6. Prüfung auf Plausibilität und Vollständigkeit der dokumentierten Prüfungen der Beschaffenheit und elektrotechnischen Funktion der Sicherheitsstromkreise,
7. Plausibilitätsprüfung der Festlegungen des Arbeitgebers zur Vorgehensweise bei der Prüfung von sicherheitsrelevanten MSR-Einrichtungen und deren Prüfzyklen,
8. Prüfung auf Vorhandensein von dokumentierten Schutzmaßnahmen zur Cybersicherheit (siehe TRBS 1115 Teil 1).

(2) Hierbei kann sich auch auf die durch den Hersteller und Arbeitgeber bereitgestellte Dokumentation bezogen werden. Bei unvollständiger oder nicht aussagekräftiger Dokumentation sind ggf. weitere Prüfungen oder eine größere Prüftiefe erforderlich.

(3) Notwendige Dokumentationsunterlagen können unter anderem sein:

1. Betriebsanleitung in deutscher Sprache,
2. Dokumentation der Schutzmaßnahmen als Ergebnis der Gefährdungsbeurteilung,
3. Dokumentation der sicherheitsrelevanten Schaltungen und der geforderten Funktionsweisen, z.B. Abschaltmatrix oder Ursachen-Wirkungs-Diagramm,
4. Messstellenlisten,
5. Eignungsnachweise der eingesetzten Bauteile, z.B. Zertifikate, Sicherheitshandbücher, inklusive Gebrauchsdauern,
6. Berechnungsunterlagen zum Nachweis der Ausfallsicherheit,
7. Funktionsbeschreibung der relevanten Sicherheitsfunktionen,
8. Stromlaufpläne,
9. Logikpläne der sicherheitsgerichteten Steuerung (Funktionsschaltpläne) und Dokumentation der Checksumme,
10. Prüfanweisungen, inklusive Beschreibung der Maßnahmen zur Aufdeckung nicht erkannter, gefährlicher Fehler (z.B. Überprüfung des Drifts von Sensoren).

B4.2 Prüfungen von sicherheitsrelevanten MSR-Einrichtungen bei der technischen Prüfung

(1) Der Arbeitgeber hat Art und Umfang erforderlicher Prüfungen zu ermitteln und festzulegen.

(2) Die Maßnahmen zur Durchführung der Prüfung der sicherheitsrelevanten MSR-Einrichtungen werden zwischen dem Arbeitgeber und der zur Prüfung befähigten Person oder der ZÜS abgestimmt. Diese Prüfung umfasst z.B.:

1. Prüfung der in der Anlage eingebauten Komponenten (z.B. Einbaulage, -position, Prozessanbindung, Parametrierung von programmierbarer Sensorik/Aktorik, Absicherung gegen unbeabsichtigtes Verstellen),
2. Prüfung der Schaltungen, der Sensoren und Aktoren entsprechend den Prüfanweisungen im Hinblick auf z.B. Einhaltung festgelegter Grenzwerte, Ansprechzeiten, bei Bedarf als integrale Funktionsprüfung über die gesamte Wirkkette bei repräsentativen Betriebsparametern,
3. Kontrolle der Ausführung der Schrittketten/Funktionen in der speicherprogrammierbaren Steuerung,
4. Feststellung und Dokumentation der Checksumme für wiederkehrende Prüfungen bzw. Vergleich mit der Checksumme der Ordnungsprüfung,
5. Prüfung auf eindeutige Zuordenbarkeit der Komponenten zur Dokumentation,
6. Bewertung der Gebrauchsdauer der eingebauten Komponenten.

(3) Die Prüfung erfolgt für die gesamte sicherheitsrelevante Kette (Sensor, Logik und Aktor) und kann nach Abstimmung mit der ZÜS oder der zur Prüfung befähigten Person auch in Teilschritten (Sensoren, Aktoren etc.) erfolgen, sofern damit die sichere Funktion der sicherheitsrelevanten MSR-Sicherheitseinrichtung nachgewiesen werden kann.

(4) Durch die Prüfungen dürfen keine Gefährdungssituationen entstehen. Können Gefährdungssituationen nicht verhindert werden, ist vom Arbeitgeber ein Arbeitsprogramm entsprechend Anhang 1 Nummer 5.1 BetrSichV zu erstellen. Die für die Prüfungen erforderlichen Veränderungen an den MSR-Einrichtungen, beispielsweise Simulationen, sind unmittelbar nach Abschluss der Prüfungen vor Inbetriebnahme zurückzunehmen.

B5 Wiederkehrende Prüfungen

(1) Im Rahmen der wiederkehrenden Prüfungen des Arbeitsmittels ist die Funktionsfähigkeit der sicherheitsrelevanten MSR-Einrichtungen festzustellen (siehe hierzu Abschnitt 7). Die Prüfungen der sicherheitsrelevanten MSR-Einrichtungen können von den Intervallen bzw. von den Prüffälligkeiten für die wiederkehrenden Prüfungen des Arbeitsmittels nach Anhang 2 Abschnitt 4 Nummer 5.8 und 5.9 BetrSichV abweichen. Zu den wiederkehrenden Prüfungen des Arbeitsmittels müssen die Ergebnisse der Teilprüfungen der sicherheitsrelevanten MSR-Einrichtungen vorliegen.

(2) Die Prüfung der sicheren Funktion der sicherheitsrelevanten MSR-Einrichtungen hat mithilfe der erstellten schriftlichen Prüfanweisungen zu erfolgen und ist zu dokumentieren.

B5.1 Prüfungen von sicherheitsrelevanten MSR-Einrichtungen bei der Ordnungsprüfung

(1) Die zur Prüfung befähigte Person oder die ZÜS überprüft die Instandhaltung der sicherheitsrelevanten MSR-Einrichtungen anhand der vom Arbeitgeber vorgelegten Aufzeichnungen. Die Überprüfung umfasst dabei z.B.:

1. Prüfung zur Änderung der Betriebsweise der Druckanlage nach Aussage des Arbeitgebers, z.B. durch
1. Änderung von sicherheitsrelevanten Betriebsparametern (Druck, Temperatur),
2. Änderung von Lastwechselparametern (z.B. infolge geänderter Produktionsabläufe),
3. Änderungen von organisatorischen Maßnahmen,
4. Änderung von Hilfsstoffen,
5. andere Änderungen von Schutzmaßnahmen im Ergebnis der Gefährdungsbeurteilung,
2. Vergleich der Checksumme des sicherheitsgerichteten Anwenderprogramms der speicherprogrammierbaren Steuerungen, um Softwareänderungen auszuschließen,
3. Kontrolle der Aufzeichnungen auf Vollständigkeit und Plausibilität der Prüfungen, insbesondere der Einhaltung der Prüfzyklen entsprechend den Festlegungen des Arbeitgebers,
4. Prüfung der erreichten Gebrauchsdauer gegenüber Herstellervorgaben/Vorgaben des Arbeitgebers für die sicherheitsrelevanten MSR-Einrichtungen.

(2) Zur Bewertung der Wirksamkeit von Schutzmaßnahmen gehört auch die Frage nach aufgetretenen sicherheitsrelevanten Abweichungen vom bestimmungsgemäßen Betrieb z.B. in Form von Eingriffen Unbefugter.

B5.2 Prüfungen von sicherheitsrelevanten MSR-Einrichtungen bei der technischen Prüfung

(1) Der Arbeitgeber hat seine Festlegungen zu der Art und dem Umfang erforderlicher Prüfungen bei der wiederkehrenden Überprüfung der Gefährdungsbeurteilung zu bewerten.

(2) Die Maßnahmen zur Durchführung der wiederkehrenden Prüfungen der sicherheitsrelevanten MSR-Einrichtungen werden zwischen dem Arbeitgeber und der zur Prüfung befähigten Person oder der ZÜS abgestimmt. Diese Prüfungen umfassen z.B.:

1. Funktionsprüfung der Schaltungen, der Sensoren und Aktoren entsprechend den Prüfanweisungen als integrale Funktionsprüfungen über die gesamte Wirkkette bei repräsentativen Betriebsparametern oder in Teilschritten (Sensoren, Aktoren etc.), ggf. unter Berücksichtigung der Ergebnisse kontinuierlicher Diagnosesysteme,
2. stichprobenweise Sichtprüfung der Sensoren, Aktoren und der Kabelverbindungen der sicherheitsrelevanten MSR-Einrichtungen auf z.B. Vorhandensein von Kennzeichnungen und offensichtlichen Beschädigungen sowie Prüfung der sicheren Anschlüsse der Teile der sicherheitsrelevanten MSR-Einrichtungen.

(3) Bei den wiederkehrenden Prüfungen kann die zur Prüfung befähigte Person oder die ZÜS Aufzeichnungen von betrieblichen Auslösungen durch sicherheitsrelevante MSR-Einrichtungen heranziehen. Die Bewertung von betrieblichen Auslösungen, integralen Funktionsprüfungen, Teilprüfungen oder Diagnoseergebnissen muss den Nachweis der sicheren Funktion der sicherheitsrelevanten MSR-Einrichtung zulassen.

B6 Beispiele

Die folgenden Beispiele stellen Schutzkonzepte für Druckanlagen unter Verwendung von MSR-Einrichtungen als technische Schutzmaßnahmen gemäß TRBS 2141 dar.

B6.1 Beispiel Rührreaktor

In diesem Beispiel wird das Schutzkonzept durch den Arbeitgeber festgelegt. Die zur Prüfung befähigte Person oder ZÜS prüft das Schutzkonzept auf Plausibilität und Vollständigkeit.

B6.1.1 Verfahrensbeschreibung

In einer Batchreaktion reagieren Stoff A und Stoff B unmittelbar während der Zugabe miteinander unter Bildung des Endproduktes. Dazu wird zunächst der Stoff A vorgelegt und der Stoff B (reaktionsfreudig) wird kontrolliert und gleichmäßig zugefahren, wobei er unter guter Durchmischung mit Stoff A zum Endprodukt reagiert (siehe Abbildung B1).

Abb. B1 Prinzipskizze der verfahrenstechnischen Einrichtungen und der steuerungstechnischen Zusammenhänge für das Beispiel Rührreaktor

B6.1.2 Festlegung und Umsetzung des Schutzkonzepts

(1) Im vorliegenden Fall ist das in der Gefährdungsbeurteilung ermittelte Schutzziel die Vermeidung einer unkontrollierten Durchgehreaktion.

(2) Folgende technische Schutzmaßnahmen werden vom Arbeitgeber festgelegt:

1. Dosierung von Stoff B ist nur möglich, wenn der Rührer läuft, Erfassung der Rührerdrehzahl und Freigabe für Stoff B als sicherheitsrelevante MSR-Einrichtung,
2. Dosierung (Menge und Dauer) von Stoff B ist außerdem nur möglich, wenn Stoff A in ausreichender Menge im Rührreaktor vorgelegt wurde, Erfassung der vorgelegten Masse Stoffstrom A und Freigabe Stoffstrom B als sicherheitsrelevante MSR-Einrichtung,
3. Begrenzung des Massenstroms von Stoff B als Sicherheitseinrichtung durch eine Begrenzungsblende, um eine Akkumulation zu verhindern.

(3) Für die Schutzmaßnahmen Nummer 1 und 2 werden die Anforderungen an die Zuverlässigkeit der Sicherheitsfunktionen entsprechend Abschnitt 4.3 festgelegt.

B6.2 Beispiel Autoklav

(1) In diesem Beispiel wird das Schutzkonzept durch den Hersteller des Autoklavs festgelegt und die Umsetzung im Rahmen des Konformitätsbewertungsverfahrens für die Baugruppe nach Artikel 14 Absatz 6 der Druckgeräterichtlinie geprüft. Durch die zur Prüfung befähigte Person oder ZÜS wird geprüft, ob identische Betrachtungsgrenzen vorliegen und die Herstellerangaben in Bezug auf Aufstellung und Betriebsweise eingehalten werden.

(2) Der Autoklav im vorliegenden Beispiel wird nach DIN EN 285 oder DIN EN 13060 ausgeführt.

B6.2.1 Verfahrensbeschreibung

Zur Formgebung werden Ausgangsprodukte und eine Form in einen Autoklav eingebracht. Unter Zuführung von Sattdampf mit einer definierten Haltezeit erfolgt das Formgebungsverfahren. Nach dem Formgebungsprozess erfolgt das Öffnen des Schnellverschlusses mit anschließender Entladung von Endprodukt und Form.

B6.2.2 Festlegung und Umsetzung des Schutzkonzepts

(1) Schutzziel ist die Absicherung gegen unkontrollierte Druckentlastung während der Betriebsphase und beim Öffnen des Schnellverschlusses sowie des maximal zulässigen Betriebsdruckes des Autoklavs.

(2) Folgende technische Schutzmaßnahmen werden festgelegt:

1. sichere Verriegelung des geschlossenen Schnellverschlusses für Betriebsbedingungen unter Überdruck größer 0,2 bar (ü),
2. Absicherung des maximal zulässigen Betriebsüberdruckes von 12 bar (ü).

(3) Folgende sicherheitsrelevante MSR-Einrichtungen sind vorgesehen:

1. Endlagenüberwachung, Überwachung Öffnungsdruck
1. Schnellverschluss Endlagenüberwachung durch Schaltkontakte (Stößelschalter), zwei unabhängig voneinander wirkende Endlagenschalter,
2. Sicherheitsdruckbegrenzer zur Überwachung der Öffnungsfreigabe für Mindestöffnungsdruck von 0,2 bar (ü), z.B. mittels Fangeinrichtung entsprechend AD 2000 A5 oder Türzuhaltung,
3. Aktor: Endlagensignal und Drucküberwachung führen zur Öffnungsfreigabe (Freigabesignal aus der sicherheitsgerichteten Steuerung/SPS) des Verriegelungsmechanismus vom Schnellverschluss;
2. Überwachung des maximal zulässigen Betriebsdruckes
1. Sicherheitsdruckbegrenzer 12 bar (ü),
2. Aktor: Unterbrechung der Dampfzufuhr mittels Schnellschlussventil (Magnetventil Sicherheitsstellung geschlossen).

B6.3 Beispiel Großwasserraumkessel

(1) Das Schutzkonzept stützt sich in diesem Beispiel auf ein anlagenspezifisches Regelwerk (z.B. DIN EN 12953 Teile 6 und 9, DIN EN 676, DIN EN 50156) ab, aus dem die Sicherheitsfunktionen ableitbar sind. Die Prüfung des Schutzkonzeptes durch die zur Prüfung befähigte Person oder ZÜS bezieht sich auf die Vollständigkeit der Umsetzung und auf die Festlegungen der Anforderungen an die Zuverlässigkeit dieser Sicherheitsfunktionen entsprechend Abschnitt 4.3.

(2) Sofern das überhitzungsgefährdete Druckgerät als Baugruppe einem Konformitätsbewertungsverfahren nach Artikel 14 Absatz 6 der Druckgeräterichtlinie unterzogen wird, beschränkt sich die Prüfung der zur Prüfung befähigten Person oder ZÜS auf Einhaltung der Aufstellungsbedingungen und die richtige Installation.

B6.3.1 Verfahrensbeschreibung

(1) In einem befeuerten Druckgerät (Kessel) erfolgt die Erzeugung von Sattdampf, der in ein Dampfnetz eingespeist wird und als Prozess- oder Heizdampf verwendet wird.

(2) Die Befeuerung erfolgt über einen nach Druckgeräte-Richtlinie baumustergeprüften Gasgebläsebrenner (ausgeführt nach DIN EN 676), der an einem Flammrohr angeordnet ist. Das Flammrohr dient als Feuerraumzug und ist gleichzeitig in einem umgebenden Wasser-/Dampfraum als Heizfläche ausgebildet. Die weitere Ableitung der durch die Feuerung entstehenden Rauchgase erfolgt in zwei weiteren Rauchrohrzügen mit Wendekammern, die ebenfalls den Wasser-/Dampfraum durchziehen. Durch die Beheizung erfolgt eine Drucksteigerung und Verdampfung innerhalb des Wasser-/Dampfraumes. Zur Kompensation des in das Dampfnetz eingespeisten Sattdampfes wird dem Wasser-/Dampfraum Speisewasser zugeführt.

(3) Das Verfahren erfordert folgende Regelkreise:

1. Regelung des betrieblich erforderlichen Dampfdruckes im Wasser-/Dampfraum über die Leistungssteuerung (Steuerung der Brennstoffmenge) der Feuerung,
2. Regelung der Luftzufuhr des Gasgebläsebrenners entsprechend der zugeführten Brennstoffmenge (Brennstoff/Luftverbund),
3. Regelung des Wasserstandes im Wasser-/Dampfraum zur Bereitstellung von Kesselwasser für den Verdampfungsprozess.

(4) Die Entnahme des entstehenden Sattdampfes erfolgt ungeregelt über die Abnahme der an das Dampfnetz angeschlossenen Verbraucher.

B6.3.2 Festlegung und Umsetzung des Schutzkonzepts

(1) Das in der Gefährdungsbeurteilung unter Berücksichtigung der vorhandenen anlagenspezifischen technischen Regeln ermittelte Schutzziel ist die Vermeidung des Versagens von drucktragenden Wandungen aufgrund von:

1. Drucksteigerungen im Wasser-/Dampfraum, die in der Auslegung des Druckgerätes nicht berücksichtigt sind,
2. Überhitzung der druckbeaufschlagten Heizflächen (Flammrohr, Rauchrohre, Wendekammern) durch mangelnde Kühlung auf der Wasser-/Dampfseite,
3. Korrosionen der drucktragenden Wandungen im Kessel und dem angeschlossenen Dampfnetz aufgrund von Sauerstoffeintrag, Salzfrachten und anderen korrosionsfördernden Kesselwassereigenschaften,
4. Korrosionen im angeschlossenen Dampfnetz durch salzfrachtbedingte Schaumbildung bei der Verdampfung,
5. erosiven Beschädigungen der Rohrwandungen infolge von Wasserschlägen im angeschlossenen Dampfnetz durch mitgerissenes Kesselwasser bei starker Dampfentnahme,
6. Druckstößen durch Verpuffungen im Feuerraum durch mangelnde Brennstoffzündung beim Anfahren und im Betrieb oder Störung der Verbrennung durch mangelnde Luft- oder Brennstoffversorgung oder Rauchgasabführung.

(2) Folgende technische Schutzmaßnahmen werden auf der Grundlage der Anforderungen des anlagenspezifischen Regelwerkes als sicherheitsrelevante MSR-Einrichtungen, die über die Ansteuerung der selbsttätigen Brennstoffschnellschlussabsperreinrichtungen auf den Betrieb der Feuerung wirken, festgelegt:

1. Freigabe vor dem Anfahren der Feuerung und Abschaltung und Verriegelung der Brennstoffzufuhr im Betrieb bei Ansprechen folgender sicherheitsrelevanter MSR-Einrichtungen (Kesselschutz):
1. Wassermangelsicherung mittels Wasserstandelektrode für Wasserstand Min (Min-Wasserstandbegrenzer),
2. Drucksensor für Max-Druck Wasser-/Dampfraum (Max-Druckbegrenzer),
3. Kesselwasserleitfähigkeitsmessung (Max-Leitfähigkeitsbegrenzer),
4. Betätigung Gefahrenschalter zur Abschaltung der Feuerung;
2. Freigabe der Brennstoffzufuhr vor dem Anfahren und Betrieb der Feuerung durch Wirkung beispielsweise folgender sicherheitsrelevanter MSR-Einrichtungen:
1. Abschluss einer definierten Vorbelüftung (Luftwechsel) des Feuerraumes und der Rauchgaswege bis zum Eintritt Kamin,
2. Ventilüberwachungssystem (z.B. nach DIN EN 1643) zur Feststellung von inneren Leckraten zur Überprüfung des wirksamen Schließens der Brennstoffschnellschlussabsperreinrichtungen oder eine mittels MSR-Einrichtung umgesetzte Dichtheitskontrolle,
3. Stellungsüberwachung von Absperreinrichtungen im Rauchgasweg zur Sicherstellung des freien Rauchgasweges,
4. Drucküberwachung der Verbrennungsluft (Min-Druckwächter),
5. Gasdrucküberwachung (Min-/Max-Drucküberwachung),
6. Flammenüberwachungseinrichtung, z.B.:
• Fremdlichtüberwachung vor dem Anfahren (während Vorbelüftung),
• Überwachung des Vorhandenseins einer Flamme im Betrieb.

(3) Die vorgenannten sicherheitsrelevanten MSR-Einrichtungen können nach Produktnorm typgeprüfte Geräte ausgeführt werden, was in der Folge zu unterschiedlichen Architekturen führen kann.

B6.4 Beispiel Kälteverdichteranlage

In diesem Beispiel wird das Schutzkonzept durch den Hersteller der Kälteverdichteranlage festgelegt und die Umsetzung im Rahmen des Konformitätsbewertungsverfahrens nach Artikel 14 Absatz 6 der Druckgeräterichtlinie geprüft. Dabei wird sich auf anlagenspezifisches Regelwerk (z.B. DIN EN 378) abgestützt. Durch die zur Prüfung befähigte Person oder ZÜS wird geprüft, ob identische Betrachtungsgrenzen vorliegen und die Herstellerangaben in Bezug auf Betriebsweise und Aufstellung insbesondere im Hinblick auf das Freisetzen von Kältemitteln eingehalten sind.

B6.4.1 Verfahrensbeschreibung

(1) Mithilfe eines Verdichters wird ein Kältemittel mit einem Saugdruck P1 von 2 bar (ü) verdichtet. Der maximal mögliche Enddruck des Verdichters ist größer als 16 bar (ü). Der angeschlossene Druckbehälter hat einen maximalen Auslegungsdruck von PS = 16 bar (siehe Abbildung B2).

Abb. B2 Prinzipskizze der verfahrenstechnischen Einrichtungen und der steuerungstechnischen Zusammenhänge für das Beispiel Kälteverdichteranlage

(2) Das Überströmventil ist auf 16 bar (ü) eingestellt und hat keine Zulassung als Sicherheitsventil. Der Verdichter steht in unmittelbarer Nähe zu einer Produktionshalle, in der sich ständig Beschäftigte aufhalten.

(3) In diesem Beispiel wird davon ausgegangen, dass der Verdichter selbst als ausreichend abgesichert gilt (entspricht den Anforderungen der Maschinenrichtlinie) und deshalb nicht näher zu betrachten ist.

B6.4.2 Festlegung und Umsetzung des Schutzkonzepts

(1) Im Rahmen der Gefährdungsbeurteilung des Arbeitgebers wurde als ein Schutzziel der Schutz vor Bersten der drucktragenden Wandung definiert. Um ein Bersten der drucktragenden Wandung des Behälters zu vermeiden, soll der Enddruck des Verdichters überwacht werden. Vor Überschreiten des zulässigen Druckes soll das Ventil V1 schließen.

(2) Folgende technische Schutzmaßnahmen werden vom Arbeitgeber festgelegt:

1. Erfassung des Verdichterenddruckes,
2. Absperren der Medienzuführung zum Behälter.

(3) Die Auslegung der sicherheitsrelevanten MSR-Einrichtung ist so auszuführen, dass die Anforderungen der Druckgeräterichtlinie (insbesondere Anhang I Nummer 2.11. als Ausrüstungsteil mit Sicherheitsfunktion) erfüllt werden. Hierbei sind fehlerbeherrschende Maßnahmen vorzusehen, damit ein Fehler nicht zum Verlust der sicherheitsrelevanten MSR-Einrichtung führen kann (siehe z.B. DIN EN 764-7).

(4) Das Schutzkonzept kann wie folgt umgesetzt werden:

1. Realisierung mit Geräten, welche nach Produktnorm typgeprüft sind (diskreter Aufbau):
1. Einsatz eines Sicherheitsdruckbegrenzers (z.B. nach DIN EN 1854),
2. Einsatz eines baumustergeprüften Ventils (Sicherheitsstellung geschlossen),
3. Verdrahtung erfolgt im Ruhestromprinzip, Hilfsschütze werden mittels Fehlerausschlussverfahren ausgewählt (z.B. nach DIN EN 50156-1 Abschnitt 10.5.5)

oder

2. Realisierung mit Geräten, welche nach Normen zur funktionalen Sicherheit (z.B. DIN EN 61508) entwickelt und für den Anwendungsfall geeignet sind:
1. Einsatz von z.B. Drucktransmittern,
2. Einsatz einer fehlersicheren Steuerung,
3. Einsatz eines geeigneten Ventils (Sicherheitsstellung geschlossen),
4. Verdrahtung erfolgt im Ruhestromprinzip,
5. Hilfsschütze werden mittels Fehlerausschlussverfahren ausgewählt (z.B. nach DIN EN 50156-1 Abschnitt 10.5.5).

Die vorgenannten Umsetzungsvarianten nach den Nummern 1 oder 2 können zu unterschiedlichen Architekturen führen."

(1) In Bezug auf die Funktionsfähigkeit der Ex-Einrichtung dienen die Prüfungen insbesondere dazu, passive (unentdeckte) Fehler durch geeignete Maßnahmen (z. B Prüfroutinen oder Funktionstests) zu erkennen.

(2) Ex-Einrichtungen sind vor erstmaliger Inbetriebnahme sowie vor der Wiederinbetriebnahme nach prüfpflichtigen Änderungen im Rahmen der Prüfung der Explosionssicherheit nach Anhang 2 Abschnitt 3 Nummer 4.1 BetrSichV auf Eignung und Funktionsfähigkeit zu prüfen. Bei einem Austausch von Funktionseinheiten der Ex-Einrichtungen ist vor Inbetriebnahme die Funktionsfähigkeit entsprechend Abschnitt 8.3.2 bzw. Abschnitt 8.3.3 dieser TRBS zu gewährleisten.

Die Anforderungen der TRBS 1115 zur Planung und Realisierung können durch Einhaltung der Anforderungen für Ex-Einrichtungen nach Anhang 2 TRGS 725 erfüllt werden.

(3) Die Festlegung von Fristen und Umfängen von Kontrollen der Funktionsfähigkeit von Ex-Einrichtungen erfolgen unter Berücksichtigung der Ergebnisse der Gefährdungsbeurteilung. Kontrollen dienen dazu, den Ausfall der Ex-Einrichtung oder gegebenenfalls ihrer Redundanzen zu erkennen und die Sicherheitsfunktion zu überprüfen. Anhaltspunkte hierzu können z.B. Festlegungen der Hersteller oder Erfahrungen des Arbeitgebers liefern.

In der Regel ist eine Kontrollfrist von zwölf Monaten angemessen. Die Kontrollfrist kann verändert werden, wenn dies in der Gefährdungsbeurteilung dargelegt wurde. Die so ermittelten Kontrollfristen zur Aufrechterhaltung der Zuverlässigkeit können im Einzelfall über die für die gesamte Ex-Maßnahme festgelegten Maximalfristen der BetrSichV für Prüfungen hinausgehen.

Einflüsse auf Fristen und Umfang der Kontrollen haben z.B.:

1. Herstellerangaben der verwendeten Komponenten,
2. die verwendete Technologie, z.B. VPS, PLS/SPS, SSPS, sowie deren Software,
3. festgelegte Anforderungen (z.B. Betriebsbewährung, SIL, Performance Level, Wartungs- und Inspektionspläne etc.),
4. die Meantimeto-failure (MTTF),
5. die Anforderungsrate der Betriebsart (high oder low demand) oder
6. organisatorische Maßnahmen.

(4) Soweit erforderlich, hat der Arbeitgeber für die Ex-Einrichtungen Vorgaben zur Kontrolle der Funktionsfähigkeit festzulegen. Der Umfang der jeweiligen Kontrolle hängt von der gewählten Architektur der Funktionseinheiten der Ex-Einrichtung ab.

(5) Wenn die ordnungsgemäße Funktion einer Funktionseinheit im Rahmen von produktionstechnischen Abläufen kontrolliert wird, z.B. das Schließen eines Stellgeräts bei jedem Batch, ist eine zusätzliche wiederkehrende Kontrolle dieser Einrichtungen nicht erforderlich.

Diese Vorgehensweise erfordert jedoch eine entsprechende Festlegung, z.B. in einer Arbeitsanweisung.

(6) Prüfungen und Kontrollen sind gemäß TRBS 1201 Teil 1 und nach Abschnitt 7 dieser TRBS aufzuzeichnen.

C1 Anwendungsbereich

(1) Grundlage für die Festlegung von Prüfungen und Kontrollen sowie deren Fristen ist die Gefährdungsbeurteilung und die sich daraus ergebende Festlegung eines Schutzkonzeptes im Sinne der TRGS 400 in Verbindung mit TRGS 720 bis TRGS 724 durch den Arbeitgeber. Die Ermittlung erforderlicher sicherheitsrelevanter MSR-Einrichtungen (im Folgenden Ex-Einrichtungen) erfolgt mithilfe der TRGS 725.

(2) Da die Gefährdungsbeurteilung von Brand- und Explosionsgefahren auf der Grundlage des § 6 der GefStoffV erfolgt, sind die Anforderungen an die Gefährdungsbeurteilung, an die Ermittlung von Explosionsschutzmaßnahmen und Ex-Einrichtungen in den entsprechenden technischen Regeln zur Gefahrstoffverordnung konkretisiert (insbesondere TRGS 720 bis TRGS 725). Diese enthalten auch Beispiele zur Festlegung von Ex-Einrichtungen (TRGS 725 Anhang 1).

(3) Daher wird im Folgenden auf die entsprechenden Technischen Regeln verwiesen und von einer Wiederholung von Inhalten abgesehen. Die nachfolgenden Passagen konzentrieren sich daher im Wesentlichen auf die Anforderungen an die Prüfung von Ex-Einrichtungen.

C2 Begriffsbestimmungen

Über die Begriffsbestimmungen in Abschnitt 2 hinaus werden Begriffe aus den technischen Regeln zur GefStoffV TRGS 720 bis TRGS 727, insbesondere TRGS 725 verwendet.

C3 Allgemeine Anforderungen

(1) Die Ermittlung des Sollzustandes und die Festlegung von Schutzmaßnahmen erfolgt als Explosionsschutzkonzept im Rahmen der nach § 6 GefStoffV vorgeschriebenen Gefährdungsbeurteilung unter Berücksichtigung der technischen Regeln TRGS 720 bis TRGS 727.

(2) Die Anforderungen aus Abschnitt 4 zur Planung, Realisierung und Dokumentation können durch Einhaltung der Anforderungen aus den Anhängen 2 und 3 der TRGS 725 erfüllt werden.

(3) In Bezug auf die Funktionsfähigkeit der Ex-Einrichtungen dienen die Prüfungen insbesondere dazu, passive (unentdeckte) Fehler durch geeignete Maßnahmen (z.B. Prüfroutinen oder Funktionstests) zu erkennen.

(4) Die sicherheitstechnischen Maßnahmen in Bezug auf die Cybersicherheit sind durch den Arbeitgeber nach TRBS 1115 Teil 1 festzulegen.

C4 Prüfung vor Inbetriebnahme und vor Wiederinbetriebnahme nach prüfpflichtigen Änderungen der Ex-Anlage

(1) Ex-Einrichtungen sind - als Bestandteil der Ex-Anlage - vor erstmaliger Inbetriebnahme und vor Wiederinbetriebnahme nach prüfpflichtigen Änderungen (z.B. Änderungen des Schutzkonzeptes nach Abschnitt 8.3.4) im Rahmen der Prüfung der Explosionssicherheit nach Anhang 2 Abschnitt 3 Nummer 4.1 BetrSichV auf Eignung und Funktionsfähigkeit zu prüfen.

(2) Bei einem Austausch von Funktionseinheiten einer Ex-Einrichtung sind Abschnitt 8.3.2 und Abschnitt 8.3.3 zu berücksichtigen.

C4.1 Prüfungen von sicherheitsrelevanten MSR- Einrichtungen bei der Ordnungsprüfung

Anforderungen an die Ordnungsprüfung von Anlagen in explosionsgefährdeten Bereichen und der darin enthaltenen Arbeitsmittel vor Inbetriebnahme oder Wiederinbetriebnahme sind in der TRBS 1201 Teil 1 geregelt.

C4.2 Prüfungen von sicherheitsrelevanten MSR-Einrichtungen bei der technischen Prüfung

Anforderungen an die technische Prüfung von Anlagen in explosionsgefährdeten Bereichen und der darin enthaltenen Arbeitsmittel vor Inbetriebnahme oder Wiederinbetriebnahme sind in der TRBS 1201 Teil 1 geregelt.

C5 Wiederkehrende Prüfungen

(1) Die Festlegung von Prüffristen und Prüfumfängen hinsichtlich der Funktionsfähigkeit der Ex-Einrichtungen erfolgen unter Berücksichtigung der Ergebnisse der Gefährdungsbeurteilung. Prüfungen dienen dazu, den Ausfall der Ex-Einrichtung oder ggfs. ihrer Redundanzen zu erkennen. Anhaltspunkte hierzu können z.B. Festlegungen der Hersteller oder Erfahrungen des Arbeitgebers liefern.

(2) In der Regel ist eine Prüffrist von zwölf Monaten ausreichend. Das Prüfintervall kann verändert werden, wenn dies im Rahmen der Prüffristermittlung in der Gefährdungsbeurteilung dargelegt wurde. Die so ermittelten Prüfintervalle zum Nachweis der Zuverlässigkeit können im Einzelfall über die für die gesamte Ex-Maßnahme festgelegten Maximalfristen der BetrSichV hinausgehen.

Einflüsse auf Prüffristen und Prüfumfänge haben z.B.:

1. Herstellerangaben der verwendeten Komponenten,
2. die verwendete Technologie, z.B. VPS, PLS/SPS, SSPS, sowie deren Software,
3. festgelegte Anforderungen (z.B. Betriebsbewährung, SIL, Performance Level, Wartungs- und Inspektionspläne etc.),
4. die Mean-time-to-failure (MTTF),
5. die Anforderungsrate der Betriebsart (high oder low demand) oder
6. organisatorische Maßnahmen.

(3) Soweit erforderlich, hat der Arbeitgeber für die Ex-Einrichtungen Vorgaben zur Kontrolle der Funktionsfähigkeit festzulegen. Die Umfänge der Kontrolle hängen von der gewählten Architektur der Funktionseinheiten der Ex-Einrichtung ab.

(4) Wenn die ordnungsgemäße Funktion einer Funktionseinheit im Rahmen von produktionstechnischen Abläufen kontrolliert wird, z.B. das Schließen eines Stellgeräts bei jedem Batch, ist eine zusätzliche wiederkehrende Kontrolle dieser Einrichtungen nicht erforderlich.

Diese Vorgehensweise erfordert jedoch eine entsprechende Festlegung z.B. in einer Arbeitsanweisung.

(5) Prüfungen und Kontrollen sind gemäß TRBS 1201 Teil 1 und nach Abschnitt 7 dieser TRBS aufzuzeichnen.

C5.1 Prüfungen von sicherheitsrelevanten MSR-Einrichtungen bei der Ordnungsprüfung

Anforderungen an die wiederkehrende Ordnungsprüfung von Anlagen in explosionsgefährdeten Bereichen und der darin enthaltenen Arbeitsmittel sind in der TRBS 1201 Teil 1 geregelt.

C5.2 Prüfungen von sicherheitsrelevanten MSR-Einrichtungen bei der technischen Prüfung

Anforderungen an die wiederkehrende technische Prüfung von Anlagen in explosionsgefährdeten Bereichen und der darin enthaltenen Arbeitsmittel sind in der TRBS 1201 Teil 1 geregelt.

C6 Beispiele

Beispiele zur Ermittlung der Anforderungen an Ex-Einrichtungen im Rahmen der Gefährdungsbeurteilung können Anhang 1 der TRGS 725 entnommen werden."