Die Ausfallwahrscheinlichkeit eines einzelnen Relais ist zur Absicherung eines Risikos in der Regel zu hoch. Relaisschaltungen für verschiedene Risikokategorien sind bekannt [1] und können nach EN/IEC 62061, Abschnitt 6.7.3.3, als Teilsystem mit nicht komplexen Bauteilen vereinfacht verifiziert werden. Die Basis-Teilsystemarchitekturen aus Abschnitt 6.7.8 der Norm zeigen, wie sich die Ausfallraten schrittweise durch Redundanz (Hardware-Fehler-Toleranz) und Diagnose verringern lassen.
Bei der Auswahl der Hardware-Fehler-Toleranz wird die Aufteilung in sichere und nicht sichere Fehler herangezogen (SFF, Safe Failure Fraction). Für Relais lässt sich die Aufteilung in den sicheren Nicht-Schließen-Fehler und den nicht sicheren Nicht-Öffnen-Fehler definieren und durch FMEA und Felderfahrung bestimmen. Damit entsprechen Relais einem Typ-A-Teilsystem nach IEC 61508-2. Allgemeine Annahmen zur SFF eines nicht überwachten Relais erreichen höchstens 95 %, wenn eine interne Sicherung bei 2/3 des Kontaktnennstromes verwendet wird.
Durch Hardware-Fehler-Toleranz lässt sich die Auswirkung eines einzelnen verschweißten Kontaktes durch zwei in Reihe geschaltete Relais vermeiden. Bei Auftreten eines Fehlers ist das Trennen der Last durch das redundant äquivalent verwendete Relais sichergestellt. Die Wahrscheinlichkeit eines gleichzeitigen gefährlichen Ausfalls zweier in Reihe geschalteter Relais PFD(t) (Probability of Failure on Demand) ist bereits ohne Diagnose deutlich verringert. Jedoch wird sie besonders durch Fehler gemeinsamer Ursachen (CCD, Common Cause) bestimmt.
Ein Fehler gemeinsamer Ursache wirkt sich auf beide Relais gleichermaßen aus und macht die Redundanz damit wirkungslos. Zur Ermittlung des CC-Fehleranteils liefert EN/IEC 62061 entsprechende Kriterien. Auf redundante Relais wirkende Prinzipien können thermisch, magnetisch, elektrisch oder mechanisch sein, wie Umgebungstemperatur, Beeinflussbarkeit durch Magnetfelder – insbesondere bei gepolten Relais –, Überstrom oder mechanische Überbelastung. Eine weitere Reduzierung des Anteils gefährlicher Fehler ist durch Diagnose möglich, da ein prozentualer Fehleranteil durch Maßnahmen der Überwachung entdeckt werden kann (Bild 2). IEC 61508-2 beschreibt Anforderungsstufen zur Erkennung von Fehlerursachen. Zwangsgeführte Kontakte bieten dabei den höchst möglichen Diagnosedeckungsgrad von 99 %.
Bei zwangsgeführten Relais (R-ZW) ist sichergestellt, dass erst bei einer Kontaktöffnung von mehr als 0,5 mm ein zweiter antivalenter Kontakt geschlossen wird. Darüber hinaus bieten R-ZWs keine über das Niveau eines Elementarrelais hinausgehende Sicherheit, sondern können wie alle Relais aufgrund von Fehlern oder dem Erreichen des Lebensdauerendes ausfallen. Wird das Signal des Überwachungskontaktes ausgewertet, ist jedoch bei jedem Schaltzyklus eine automatische Diagnose möglich.
Ein Wiedereinschalten kann so durch die Sicherheitsschaltung verhindert werden. Die Norm IEC 61810-3 (EN 50205) beschreibt, wie zwangsgeführte Relais gestaltet und getestet sein müssen, damit die Antivalenz der Schließer- und Öffner-Kontakte auch im Fehlerfall nicht verloren geht. So sind die Kontakte über einen Betätiger mechanisch verbunden und gegen Bruch ausreichend dimensioniert. An Stellen, an denen eine solche Überdimensionierung nicht möglich ist – z.B. an den Biegestellen von Federn – sind mögliche Bruchstücke gegen Kurzschluss zum antivalenten Kontakt gesichert.
Relais mit zwangsgeführten Kontakten müssen wie andere elektromechanische Relais (EMR) an den Ansteuerkreis, den Kontaktkreis und die Umgebungsbedingungen angepasst werden. Dementsprechend unterscheiden sich Relais mit zwangsgeführten Kontakten nicht von anderen EMRs. Für die Dimensionierung der Ansteuerspannung und das Ermitteln der erwarteten Lebensdauer oder der Schockfestigkeit kann zudem auf umfangreiche Literatur und Anwendungshinweise verwiesen werden [2]. In der Anwendung von ZW-Rs haben sich jedoch einige spezifische Fragen herauskristallisiert, die auf typische Einsatzfelder oder die Vermeidung von CC-Fehlern zurückgehen.