Differenzdruckanlagen sicherer mit Sicherheitsintegritätslevel SIL?

Redundante Komponenten versus SIL-zertifizierte Bauteile

Reiner Kelch

Differenzdruckanlagen halten Flucht- und Rettungswege in Sicherheitstreppenhäusern rauchfrei. Von deren verlässlicher Funktion hängen Menschenleben ab. Daher schreibt die Muster-Hochhaus-Richtlinie eine redundante Anlagentechnik vor. Als Alternative dazu werden immer häufiger Steuerungskomponenten angeboten, für die eine Ausfallwahrscheinlichkeit nach DIN EN 62061 und dem Sicherheitsintegritätslevel (SIL) ermittelt wurde. Lässt sich damit aber die geforderte redundante Ausführung einer Differenzdrucklage umgehen, um Kosten zu sparen? Die Antwort ist aus technischer und rechtlicher Sicht ein klares Nein. Aber es gibt durchaus Alternativen, um kompromisslose Sicherheit und Wirtschaftlichkeit in Übereinstimmung zu bringen.

Vom Maschinen- bis zum Automobilbau wurden vor Jahren sicherheitsrelevante Funktionen mechanisch abgesichert. Der Endschalter zusätzlich zur Lichtschranke an einer Maschinentür ist ein Beispiel dafür. Durch zunehmende Prozessautomation und Digitalisierung werden Menschenleben heute jedoch ganz selbstverständlich elektronischen Steuerungen mit unzähligen Sensoren und Aktoren anvertraut. Das Cockpit eines Flugzeugs macht das besonders deutlich. Ein nächster Schritt sollen autonom fahrende Autos sein.

Um elektronische Steuer- und Regelkreise gegen Funktionsausfall abzusichern, sind wesentliche Qualitätsrichtlinien entwickelt worden. International hat sich die IEC 61508 durchgesetzt, die auch in Europa übernommen wurde (DIN EN 61508) und als Stand der Technik gilt. Ziel der Norm ist in erster Linie, den Ausfall sicherheitsrelevanter Bauteile zu vermeiden. Da ein Restrisiko jedoch nie auszuschließen ist, wird außerdem die Ausfallwahrscheinlichkeit von Bauteilen eingeschätzt und ihre Folgen für die Funktion des Gesamtsystems bewertet. Sollte z.B. ein sicherheitsrelevanter Sensor ausfallen, wird als Reaktion darauf ein sicherer Anlagenzustand definiert, in den das System wechseln muss, damit keine Gefahr für Leib und Leben, die Umwelt und nachrangig auch für Sachwerte entsteht. Lässt sich dieses Prinzip auch auf Differenzdruckanlagen anwenden, die im Brandfall Flucht- und Rettungswege in einem Gebäude rauchfrei halten?

Dynamisches System vs. statischen Funktionserhalt

Ob SIL-zertifizierte Produkte redundante Anlagentechnik ersetzen können, ist zum einen aus technischer und zum anderen aus normativer Sicht zu klären. Für die technische Beurteilung ist es wichtig, die Funktion einer Differenzdruckanlage – oft auch Überdruck- oder Rauchdruckanlage genannt – kurz zu untersuchen:

Detektiert eine Brandmeldeanlage ein Feuer, werden entsprechende Brandschutzklappen angesteuert, um den Gefahrenbereich abzuschotten, und es wird der Alarm ausgelöst. Gleichzeitig erzeugt die Differenzdruckanlage im Sicherheitstreppenraum einen Überdruck, damit aus dem Brandraum kein Rauch ins Treppenhaus strömt, wenn flüchtende Personen die Türen öffnen Dazu führen Ventilatoren dem Treppenhaus von außen Luft zu. So bleibt der Weg über alle Stockwerke hinweg passierbar – sowohl für die Evakuierung als auch den Feuerwehrangriff. Damit die Personen – selbst Kinder – die Fluchttüren gegen den Überdruck im Treppenraum leicht öffnen können, darf allerdings die Druckdifferenz maximal 50Pa betragen beziehungsweise es dürfen auf der Tür maximal 100 N lasten. So schreiben es sowohl die DIN EN 12101-6 als auch die Muster-Hochhaus-Richtlinie (MHHR, Fassung 18. April 2008) vor. Definiert werden hier außerdem Strömungsgeschwindigkeiten: Die Luft muss an einer geöffneten Fluchttür aus dem Sicherheitstreppenraum in Richtung Brandraum mit mindestens 0,75m/s strömen (bzw. mit 2,0 m/s, wenn im weiteren Brandverlauf der Rauchdruck steigt).