Mikroprozessoren spielen in den letzten Jahren eine immer größere Rolle im Bereich der Sicherheitstechnik. Da mittlerweile ganze Rechner (dh Zentraleinheit, Speicher und Peripheriekomponenten) als "Single-Chip-Rechner" in einem einzigen Bauteil verfügbar sind, findet die Mikroprozessortechnik nicht nur in komplexen Maschinensteuerungen, sondern auch in relativ einfach aufgebauten Absicherungen Anwendung (z. B. Lichtgitter, Zweihandsteuerungen und Schaltleisten). Die Software, die diese Systeme steuert, umfasst zwischen tausend und mehreren zehntausend Einzelbefehlen und besteht in der Regel aus mehreren hundert Programmzweigen. Die Programme arbeiten in Echtzeit und sind meist in der Assemblersprache der Programmierer geschrieben.

Die Einführung computergesteuerter Systeme im Bereich der Sicherheitstechnik ist bei allen technischen Großgeräten nicht nur mit aufwendigen Forschungs- und Entwicklungsprojekten, sondern auch mit erheblichen Einschränkungen zur Erhöhung der Sicherheit einhergegangen. (Als Beispiele für großtechnische Anwendungen seien hier die Luft- und Raumfahrttechnik, die Militärtechnik und die Atomkrafttechnik genannt.) Das Sammelgebiet der industriellen Massenproduktion ist bisher nur sehr begrenzt behandelt worden. Dies liegt unter anderem daran, dass die für den industriellen Maschinenbau charakteristischen schnellen Innovationszyklen eine nur sehr eingeschränkte Übertragbarkeit von Erkenntnissen aus Forschungsprojekten zur Enderprobung im Großmaßstab erschweren Sicherheitsgeräte. Dies macht die Entwicklung schneller und kostengünstiger Bewertungsverfahren zu einem Desiderat (Reinert und Reuss 1991).

Dieser Artikel untersucht zunächst Maschinen und Anlagen, in denen Computersysteme heute Sicherheitsaufgaben übernehmen, und zeigt anhand von Beispielen von Unfällen, die sich überwiegend im Bereich der Maschinenabsicherung ereignen, die besondere Rolle von Computern in der Sicherheitstechnik auf. Diese Unfälle geben Aufschluss darüber, welche Vorkehrungen zu treffen sind, damit die heute immer häufiger eingesetzten computergesteuerten Sicherheitseinrichtungen nicht zu einem Anstieg der Unfallzahlen führen. Der letzte Abschnitt des Artikels skizziert ein Verfahren, mit dem auch kleine Computersysteme mit vertretbarem Aufwand und in vertretbarer Zeit auf ein angemessenes Maß an technischer Sicherheit gebracht werden können. Die in diesem letzten Teil aufgezeigten Prinzipien werden derzeit in internationale Standardisierungsverfahren eingeführt und werden Auswirkungen auf alle Bereiche der Sicherheitstechnik haben, in denen Computer Anwendung finden.

Beispiele für den Einsatz von Software und Computern im Bereich der Maschinenabsicherung

Die folgenden vier Beispiele verdeutlichen, dass Software und Computer derzeit immer mehr Einzug in sicherheitsrelevante Anwendungen im gewerblichen Bereich halten.

Personen-Notsignalanlagen bestehen in der Regel aus einer zentralen Empfangsstelle und mehreren Personen-Notsignaleinrichtungen. Die Geräte werden von den vor Ort tätigen Personen selbst getragen. Befindet sich eine dieser allein arbeitenden Personen in einer Notsituation, kann sie über das Gerät per Funksignal in der zentralen Empfangsstelle einen Alarm auslösen. Eine solche willensabhängige Alarmauslösung kann auch durch einen willensunabhängigen Auslösemechanismus ergänzt werden, der durch in die Personennotrufgeräte eingebaute Sensoren aktiviert wird. Sowohl die einzelnen Geräte als auch die zentrale Empfangsstation werden häufig von Mikrocomputern gesteuert. Es ist denkbar, dass der Ausfall bestimmter Einzelfunktionen des eingebauten Computers in einer Notfallsituation dazu führen kann, dass der Alarm nicht ausgelöst wird. Es müssen daher Vorkehrungen getroffen werden, um einen solchen Funktionsverlust rechtzeitig zu erkennen und zu beheben.

Druckmaschinen, die heute zum Drucken von Zeitschriften verwendet werden, sind große Maschinen. Die Papierbahnen werden normalerweise von einer separaten Maschine so vorbereitet, dass ein nahtloser Übergang zu einer neuen Papierrolle möglich ist. Die bedruckten Seiten werden von einer Falzmaschine gefalzt und anschließend durch eine Kette weiterer Maschinen bearbeitet. Das Ergebnis sind Paletten, die mit vollständig vernähten Magazinen beladen sind. Obwohl solche Anlagen automatisiert sind, müssen an zwei Stellen manuelle Eingriffe vorgenommen werden: (1) beim Einfädeln der Papierwege und (2) beim Beseitigen von Hindernissen durch Papierrisse an Gefahrenstellen an den rotierenden Walzen. Aus diesem Grund muss während der Verstellung der Pressen eine reduzierte Arbeitsgeschwindigkeit oder ein weg- oder zeitbegrenzter Tippbetrieb steuerungstechnisch gewährleistet sein. Aufgrund der komplexen Steuerungsvorgänge muss jede einzelne Druckstation mit einer eigenen speicherprogrammierbaren Steuerung ausgestattet werden. Ein auftretender Fehler in der Steuerung einer Druckerei bei geöffneten Schutzgittern muss verhindert werden, dass es entweder zu einem unerwarteten Anlauf einer stillstehenden Maschine oder zu einem Betrieb über angemessen reduzierten Drehzahlen kommt.

In großen Fabriken und Lagern bewegen sich fahrerlose, fahrerlose Roboterfahrzeuge auf speziell gekennzeichneten Gleisen. Diese Gleise können jederzeit von Personen begangen oder Materialien und Geräte versehentlich auf den Gleisen zurückgelassen werden, da sie baulich nicht von anderen Verkehrswegen getrennt sind. Aus diesem Grund muss eine Art Kollisionsverhütungsausrüstung verwendet werden, um sicherzustellen, dass das Fahrzeug zum Stillstand gebracht wird, bevor es zu einer gefährlichen Kollision mit einer Person oder einem Objekt kommt. In neueren Anwendungen erfolgt die Kollisionsvermeidung mittels Ultraschall- oder Laserlichttaster in Kombination mit einem Sicherheitsbumper. Da diese Systeme computergesteuert arbeiten, ist es möglich, mehrere permanente Erfassungszonen zu konfigurieren, sodass ein Fahrzeug seine Reaktion abhängig von der spezifischen Erfassungszone, in der sich eine Person befindet, modifizieren kann. Fehler in der Schutzeinrichtung dürfen nicht zu einer gefährlichen Kollision mit einer Person führen.

Guillotinen mit Papierschneidesteuerung werden verwendet, um dicke Papierstapel zu pressen und dann zu schneiden. Sie werden durch eine Zweihandbedienung ausgelöst. Der Benutzer muss nach jedem Schnitt in den Gefahrenbereich der Maschine greifen. Eine immaterielle Schutzeinrichtung, meist ein Lichtgitter, dient in Verbindung mit der Zweihandbedienung und einer sicheren Maschinensteuerung dazu, Verletzungen beim Zuführen von Papier während des Schneidvorgangs zu vermeiden. Nahezu alle heute verwendeten größeren, moderneren Guillotinen werden von Mehrkanal-Mikrocomputersystemen gesteuert. Auch die Zweihandbedienung und das Lichtgitter müssen sicher funktionieren.

Unfälle mit computergesteuerten Systemen

In nahezu allen industriellen Anwendungsbereichen werden Unfälle mit Software und Computern gemeldet (Neumann 1994). Computerausfälle führen in den meisten Fällen nicht zu Personenschäden. Solche Versäumnisse werden ohnehin nur öffentlich gemacht, wenn sie von allgemeinem öffentlichem Interesse sind. Das bedeutet, dass die Fehlfunktionen oder Unfälle im Zusammenhang mit Computern und Software, bei denen Personenschäden im Spiel waren, einen relativ hohen Anteil an allen bekannt gewordenen Fällen ausmachen. Leider werden Unfälle, die kein großes öffentliches Aufsehen erregen, nicht mit der gleichen Intensität auf ihre Ursachen hin untersucht wie größere Unfälle, typischerweise in Großanlagen. Aus diesem Grund beziehen sich die folgenden Beispiele auf vier für computergesteuerte Systeme typische Beschreibungen von Fehlfunktionen oder Unfällen außerhalb des Bereichs der Maschinenabsicherung, die Hinweise darauf geben, was bei sicherheitstechnischen Beurteilungen zu berücksichtigen ist.

Unfälle, die durch zufällige Fehler in der Hardware verursacht werden

Das folgende Missgeschick wurde durch eine Konzentration zufälliger Fehler in der Hardware in Verbindung mit Programmierfehlern verursacht: Ein Reaktor überhitzt in einer Chemiefabrik, woraufhin Überdruckventile geöffnet wurden, wodurch der Inhalt des Reaktors in die Atmosphäre abgelassen werden konnte. Dieses Missgeschick ereignete sich kurz nach einer Warnung, dass der Ölstand in einem Getriebe zu niedrig sei. Eine sorgfältige Untersuchung des Missgeschicks ergab, dass kurz nachdem der Katalysator die Reaktion im Reaktor ausgelöst hatte – wodurch der Reaktor mehr Kühlung benötigt hätte – der Computer aufgrund der Meldung von niedrigem Ölstand im Getriebe alles eingefroren hatte Größen unter seiner Kontrolle auf einen festen Wert. Dadurch blieb der Kaltwasserdurchfluss zu niedrig und der Reaktor überhitzt. Weitere Untersuchungen ergaben, dass die Anzeige eines niedrigen Ölstands durch eine fehlerhafte Komponente signalisiert worden war.

Die Software hatte entsprechend der Spezifikation mit der Auslösung eines Alarms und der Fixierung aller Betriebsvariablen reagiert. Dies war eine Folge der HAZOP-Studie (Hazards and Operability Analysis) (Knowlton 1986), die vor dem Ereignis durchgeführt wurde und die verlangte, dass alle kontrollierten Variablen im Falle eines Ausfalls nicht modifiziert werden. Da der Programmierer die Vorgehensweise im Detail nicht kannte, wurde diese Forderung dahingehend interpretiert, dass die angesteuerten Aktoren (hier Regelventile) nicht verändert werden sollten; Die Möglichkeit eines Temperaturanstiegs wurde nicht beachtet. Der Programmierer hat nicht berücksichtigt, dass sich das System nach dem Empfang eines fehlerhaften Signals in einer dynamischen Situation befinden könnte, die das aktive Eingreifen des Computers erfordert, um ein Missgeschick zu verhindern. Die Situation, die zu dem Missgeschick führte, war zudem so unwahrscheinlich, dass sie in der HAZOP-Studie (Levenson 1986) nicht im Detail analysiert worden war. Dieses Beispiel bietet einen Übergang zu einer zweiten Kategorie von Ursachen für Software- und Computerunfälle. Dies sind die systematischen Fehler, die von Anfang an im System vorhanden sind, sich aber nur in ganz bestimmten Situationen manifestieren, die der Entwickler nicht berücksichtigt hat.

Unfälle durch Betriebsstörungen

Bei Feldversuchen bei der Endkontrolle von Robotern lieh sich ein Techniker die Kassette eines benachbarten Roboters aus und tauschte sie gegen eine andere aus, ohne seinen Kollegen darüber zu informieren. Bei der Rückkehr an seinen Arbeitsplatz legte der Kollege die falsche Kassette ein. Da er neben dem Roboter stand und von ihm einen bestimmten Bewegungsablauf erwartete, der aufgrund des ausgetauschten Programms anders herauskam, kam es zu einer Kollision zwischen Roboter und Mensch. Dieser Unfall beschreibt das klassische Beispiel eines Betriebsausfalls. Die Rolle solcher Ausfälle bei Störungen und Unfällen nimmt derzeit aufgrund der zunehmenden Komplexität bei der Anwendung von computergesteuerten Sicherheitsmechanismen zu.

Unfälle, die durch systematische Fehler in Hard- oder Software verursacht werden

Ein Torpedo mit Sprengkopf sollte zu Übungszwecken von einem Kriegsschiff auf hoher See abgefeuert werden. Aufgrund eines Defekts im Antriebsapparat blieb der Torpedo im Torpedorohr. Der Kapitän beschloss, zum Heimathafen zurückzukehren, um den Torpedo zu bergen. Kurz nachdem das Schiff seinen Heimweg angetreten hatte, explodierte der Torpedo. Eine Analyse des Unfalls ergab, dass die Entwickler des Torpedos gezwungen waren, in den Torpedo einen Mechanismus einzubauen, der verhindern sollte, dass er nach dem Abfeuern zur Startrampe zurückkehrt und damit das Schiff zerstört, das ihn gestartet hat. Der dafür gewählte Mechanismus war folgender: Nach dem Abfeuern des Torpedos wurde mit dem Trägheitsnavigationssystem überprüft, ob sich dessen Kurs um 180° geändert hatte. Sobald der Torpedo spürte, dass er sich um 180 ° gedreht hatte, detonierte der Torpedo sofort, angeblich in sicherer Entfernung von der Startrampe. Dieser Detektionsmechanismus wurde bei dem nicht ordnungsgemäß abgefeuerten Torpedo ausgelöst, so dass der Torpedo explodierte, nachdem das Schiff seinen Kurs um 180° geändert hatte. Dies ist ein typisches Beispiel für einen Unfall, der aufgrund eines Fehlers in den Spezifikationen auftritt. Die Anforderung im Lastenheft, dass der Torpedo bei einer Kursänderung das eigene Schiff nicht zerstören dürfe, sei nicht präzise genug formuliert; die Vorsichtsmaßnahme wurde also falsch programmiert. Der Fehler trat nur in einer bestimmten Situation auf, die der Programmierer nicht als Möglichkeit in Betracht gezogen hatte.

Am 14. September 1993 stürzte ein Airbus A 320 der Lufthansa bei der Landung in Warschau ab (Bild 1). Eine sorgfältige Untersuchung des Unfalls ergab, dass Änderungen in der Landelogik des Bordcomputers nach einem Unfall mit einer Boeing 767 der Lauda Air im Jahr 1991 mitverantwortlich für diese Bruchlandung waren. Was beim Unfall von 1991 passiert war, war, dass die Schubumlenkung, die einen Teil der Motorgase umleitet, um das Flugzeug bei der Landung abzubremsen, noch in der Luft eingesetzt hatte, wodurch die Maschine in einen unkontrollierbaren Sturzflug gezwungen wurde. Aus diesem Grund war in die Airbus-Maschinen eine elektronische Verriegelung der Schubumlenkung eingebaut worden. Dieser Mechanismus ließ die Schubumlenkung erst wirksam werden, nachdem Sensoren an beiden Fahrwerkssätzen das Zusammendrücken der Stoßdämpfer unter dem Druck der aufsetzenden Räder signalisiert hatten. Aufgrund falscher Angaben rechneten die Piloten des Flugzeugs in Warschau mit starkem Seitenwind.

Abbildung 1. Lufthansa Airbus nach dem Unfall in Warschau 1993

Aus diesem Grund brachten sie die Maschine leicht geneigt an und der Airbus setzte nur mit dem rechten Rad auf, wobei das linke Lager weniger als das volle Gewicht beließ. Aufgrund der elektronischen Verriegelung der Schubumlenkung verweigerte der Bordcomputer dem Piloten für die Dauer von neun Sekunden solche Manöver, die dem Flugzeug trotz widriger Umstände eine sichere Landung ermöglicht hätten. Dieser Unfall zeigt sehr deutlich, dass Änderungen an Computersystemen zu neuen und gefährlichen Situationen führen können, wenn die Bandbreite ihrer möglichen Folgen nicht im Voraus berücksichtigt wird.

 

Auch das folgende Beispiel einer Fehlfunktion zeigt, welche verheerenden Auswirkungen die Änderung eines einzigen Befehls in Computersystemen haben kann. Der Alkoholgehalt des Blutes wird in chemischen Tests mit klarem Blutserum bestimmt, aus dem zuvor die Blutkörperchen abzentrifugiert wurden. Der Alkoholgehalt des Serums ist daher um den Faktor 1.2 höher als der des dickeren Vollbluts. Aus diesem Grund müssen die Alkoholwerte im Serum durch den Faktor 1.2 dividiert werden, um die rechtlich und medizinisch kritischen Promillezahlen zu ermitteln. Bei dem 1984 durchgeführten Ringversuch sollten die in identischen Tests an verschiedenen Forschungseinrichtungen mit Serum ermittelten Blutalkoholwerte miteinander verglichen werden. Da es sich nur um einen Vergleich handelte, wurde außerdem der Befehl zum Teilen durch 1.2 für die Dauer des Experiments an einer der Institutionen aus dem Programm gestrichen. Nach Beendigung des Ringversuchs wurde an dieser Stelle fälschlicherweise ein Befehl zum Multiplizieren mit 1.2 in das Programm eingefügt. Als Folge wurden zwischen August 1,500 und März 1984 rund 1985 falsche Promillewerte berechnet. Dieser Fehler war für die Berufskarrieren von Lkw-Fahrern mit Blutalkoholwerten zwischen 1.0 und 1.3 Promille kritisch, da bei einem Wert von 1.3 Promille eine strafrechtliche Ahndung des Führerscheins über einen längeren Zeitraum die Folge ist.

Unfälle, die durch Einwirkungen von Betriebsbeanspruchungen oder Umweltbelastungen verursacht werden

Als Folge einer durch Abfallansammlung verursachten Störung im Wirkbereich einer CNC (Computer Numeric Control) Stanz- und Nibbelmaschine hat der Anwender den „programmierten Stopp“ veranlasst. Als er versuchte, den Abfall mit den Händen zu entfernen, geriet die Schubstange der Maschine trotz des programmierten Stopps in Bewegung und verletzte den Benutzer schwer. Eine Analyse des Unfalls ergab, dass es sich nicht um einen Programmfehler gehandelt hatte. Der unerwartete Anlauf konnte nicht reproduziert werden. Ähnliche Unregelmäßigkeiten waren in der Vergangenheit bei anderen Maschinen des gleichen Typs beobachtet worden. Daraus lässt sich plausibel ableiten, dass der Unfall durch elektromagnetische Störungen verursacht worden sein muss. Ähnliche Unfälle mit Industrierobotern werden aus Japan berichtet (Neumann 1987).

Eine Fehlfunktion der Raumsonde Voyager 2 am 18. Januar 1986 macht den Einfluss von Umweltbelastungen auf computergesteuerte Systeme noch deutlicher. Sechs Tage vor der größten Annäherung an Uranus bedeckten große Felder aus schwarz-weißen Linien die Bilder von Voyager 2. Eine genaue Analyse ergab, dass ein einziges Bit in einem Befehlswort des Flugdaten-Subsystems den Ausfall verursacht hatte, beobachtet als die Bilder wurden in der Sonde komprimiert. Dieses Bit war höchstwahrscheinlich durch den Einschlag eines kosmischen Teilchens im Programmspeicher verschoben worden. Die fehlerfreie Übertragung der komprimierten Aufnahmen der Sonde erfolgte bereits zwei Tage später mit einem Ersatzprogramm, das den ausgefallenen Speicherpunkt umgehen konnte (Laeser, McLaughlin und Wolff 1987).

Zusammenfassung der vorgestellten Unfälle

Die analysierten Unfälle zeigen, dass bestimmte Risiken, die unter Bedingungen einfacher, elektromechanischer Technik vernachlässigt werden könnten, durch den Einsatz von Computern an Bedeutung gewinnen. Computer erlauben die Verarbeitung komplexer und situationsspezifischer Sicherheitsfunktionen. Eine eindeutige, fehlerfreie, vollständige und prüfbare Spezifikation aller Sicherheitsfunktionen wird aus diesem Grund besonders wichtig. Fehler in Spezifikationen sind schwer zu entdecken und häufig die Ursache für Unfälle in komplexen Systemen. Frei programmierbare Steuerungen werden meist mit der Absicht eingeführt, flexibel und schnell auf sich verändernde Märkte reagieren zu können. Modifikationen haben jedoch – insbesondere in komplexen Systemen – schwer vorhersehbare Nebenwirkungen. Alle Änderungen müssen daher einem streng formalen Änderungsmanagement unterzogen werden, bei dem eine klare Trennung von Sicherheitsfunktionen von nicht sicherheitsrelevanten Teilsystemen dazu beiträgt, die Folgen von Änderungen für die Sicherheitstechnik überschaubar zu halten.

Computer arbeiten mit geringem Stromverbrauch. Sie sind daher anfällig für Störungen durch externe Strahlungsquellen. Da die Veränderung eines einzigen Signals unter Millionen zu einer Fehlfunktion führen kann, lohnt es sich, dem Thema Elektromagnetische Verträglichkeit im Zusammenhang mit Computern besondere Aufmerksamkeit zu schenken.

Die Wartung computergesteuerter Systeme wird derzeit immer komplexer und damit unübersichtlicher. Die Software-Ergonomie von Bedien- und Konfigurationssoftware wird daher aus sicherheitstechnischer Sicht immer interessanter.

Kein Computersystem ist zu 100 % testbar. Eine einfache Steuerung mit 32 binären Eingangsports und 1,000 verschiedenen Softwarepfaden benötigt 4.3 × 10¹² Tests für eine vollständige Überprüfung. Bei einer Rate von 100 durchgeführten und ausgewerteten Tests pro Sekunde würde ein vollständiger Test 1,362 Jahre dauern.

Verfahren und Maßnahmen zur Verbesserung computergesteuerter Sicherheitseinrichtungen

In den letzten 10 Jahren wurden Verfahren entwickelt, die es ermöglichen, spezifische sicherheitstechnische Herausforderungen im Zusammenhang mit Computern zu meistern. Diese Verfahren beziehen sich auf die in diesem Abschnitt beschriebenen Computerfehler. Die beschriebenen Beispiele von Software und Computern in der Maschinenabsicherung und die analysierten Unfälle zeigen, dass das Schadensausmaß und damit auch das Risiko bei verschiedenen Anwendungen sehr unterschiedlich sind. Es ist daher klar, dass die erforderlichen Vorkehrungen zur Verbesserung von Computern und Software, die in der Sicherheitstechnik verwendet werden, in Bezug auf das Risiko getroffen werden sollten.

Abbildung 2 zeigt ein qualitatives Verfahren, mit dem die durch Sicherheitssysteme erzielbare notwendige Risikominderung unabhängig von Schadensausmaß und -häufigkeit ermittelt werden kann (Bell und Reinert 1992). Die im Abschnitt „Unfälle mit computergesteuerten Systemen“ (oben) analysierten Fehlerarten in Computersystemen können mit den sogenannten Safety Integrity Levels – also den technischen Einrichtungen zur Risikominderung – in Beziehung gesetzt werden.

Abbildung 2. Qualitatives Verfahren zur Risikobestimmung

Abbildung 3 verdeutlicht, dass die Effektivität der jeweils getroffenen Maßnahmen zur Fehlerreduzierung in Software und Computern mit steigendem Risiko steigen muss (DIN 1994; IEC 1993).

Abbildung 3, Wirksamkeit der getroffenen Vorkehrungen gegen Fehler unabhängig vom Risiko

Die Analyse der oben skizzierten Unfälle zeigt, dass das Versagen computergesteuerter Schutzeinrichtungen nicht nur durch zufällige Bauteilfehler verursacht wird, sondern auch durch besondere Betriebsbedingungen, die der Programmierer nicht berücksichtigt hat. Eine weitere Fehlerquelle sind die nicht sofort ersichtlichen Folgen von Programmänderungen im Rahmen der Systemwartung. Daraus folgt, dass in mikroprozessorgesteuerten Sicherheitssystemen Fehler auftreten können, die zwar während der Entwicklung des Systems entstanden sind, aber erst im Betrieb zu einer gefährlichen Situation führen können. Bereits in der Entwicklungsphase sicherheitsrelevanter Systeme müssen daher Vorkehrungen gegen solche Ausfälle getroffen werden. Diese sogenannten Fehlervermeidungsmaßnahmen müssen nicht nur in der Konzeptphase, sondern auch im Prozess der Entwicklung, Installation und Modifikation getroffen werden. Bestimmte Fehler können vermieden werden, wenn sie dabei entdeckt und behoben werden (DIN 1990).

Wie das zuletzt beschriebene Missgeschick verdeutlicht, kann der Ausfall eines einzigen Transistors zum technischen Ausfall hochkomplexer automatisierter Anlagen führen. Da jede einzelne Schaltung aus vielen tausend Transistoren und anderen Komponenten zusammengesetzt ist, müssen zahlreiche Maßnahmen zur Fehlervermeidung ergriffen werden, um auftretende Fehler im Betrieb zu erkennen und eine entsprechende Reaktion im Computersystem einzuleiten. Abbildung 4 beschreibt Fehlerarten in programmierbaren elektronischen Systemen sowie Beispiele für Vorkehrungen, die getroffen werden können, um Fehler in Computersystemen zu vermeiden und zu beherrschen (DIN 1990; IEC 1992).

Abbildung 4. Beispiele für Vorkehrungen zur Kontrolle und Vermeidung von Fehlern in Computersystemen

Möglichkeiten und Perspektiven programmierbarer elektronischer Systeme in der Sicherheitstechnik

Moderne Maschinen und Anlagen werden immer komplexer und müssen immer umfangreichere Aufgaben in immer kürzerer Zeit bewältigen. Aus diesem Grund haben Computersysteme seit Mitte der 1970er Jahre nahezu alle Bereiche der Industrie erobert. Allein diese Zunahme der Komplexität hat maßgeblich zu den steigenden Kosten für die Verbesserung der Sicherheitstechnik in solchen Systemen beigetragen. Obwohl Software und Computer eine große Herausforderung an die Sicherheit am Arbeitsplatz darstellen, ermöglichen sie auch die Umsetzung neuer fehlerfreundlicher Systeme im Bereich der Sicherheitstechnik.

Ein skurriler, aber lehrreicher Vers von Ernst Jandl hilft zu erklären, was mit dem Begriff gemeint ist fehlerfreundlich. „Lichtung: Manche meinen Lechten und Rinks kann man nicht velwechsern, werch ein Illtum“. („Dilkation: Viele glauben, dass Licht und Reft nicht ausgetauscht werden können, was für ein Ello.“) Trotz des Austauschs der Briefe r und l, dieser Satz wird von einem normalen erwachsenen Menschen leicht verstanden. Sogar jemand mit geringen Englischkenntnissen kann es ins Englische übersetzen. Diese Aufgabe ist jedoch für einen Übersetzungscomputer allein nahezu unmöglich.

Dieses Beispiel zeigt, dass ein Mensch wesentlich fehlerfreundlicher reagieren kann als ein Sprachcomputer. Das bedeutet, dass der Mensch, wie alle anderen Lebewesen, Fehler tolerieren kann, indem er sie auf Erfahrung bezieht. Betrachtet man die heute im Einsatz befindlichen Maschinen, so sieht man, dass die Mehrzahl der Maschinen Ausfälle der Anwender nicht mit einem Unfall, sondern mit einem Produktionsrückgang bestrafen. Diese Eigenschaft führt zur Manipulation oder Umgehung von Schutzmaßnahmen. Moderne Computertechnik stellt dem Arbeitsschutz Systeme zur Verfügung, die intelligent – ​​also modifiziert – reagieren können. Solche Systeme ermöglichen somit ein fehlerfreundliches Verhalten in neuartigen Maschinen. Sie warnen den Benutzer zunächst bei einer Fehlbedienung und schalten die Maschine erst dann ab, wenn nur so ein Unfall vermieden werden kann. Die Unfallanalyse zeigt, dass in diesem Bereich ein erhebliches Potenzial zur Reduzierung von Unfällen besteht (Reinert und Reuss 1991).

 

Zurück

Ein hybrides automatisiertes System (HAS) zielt darauf ab, die Fähigkeiten künstlich intelligenter Maschinen (basierend auf Computertechnologie) mit den Fähigkeiten der Menschen zu integrieren, die im Rahmen ihrer Arbeitstätigkeiten mit diesen Maschinen interagieren. Die Hauptanliegen der HAS-Nutzung beziehen sich darauf, wie die menschlichen und maschinellen Subsysteme gestaltet werden sollten, um das Wissen und die Fähigkeiten beider Teile des Hybridsystems optimal zu nutzen, und wie die menschlichen Bediener und Maschinenkomponenten miteinander interagieren sollten sicherzustellen, dass sich ihre Funktionen ergänzen. Viele hybride automatisierte Systeme haben sich als Produkte von Anwendungen moderner informations- und steuerungsbasierter Methoden entwickelt, um verschiedene Funktionen von oft komplexen technologischen Systemen zu automatisieren und zu integrieren. HAS wurde ursprünglich mit der Einführung computergestützter Systeme identifiziert, die beim Entwurf und Betrieb von Echtzeit-Steuerungssystemen für Kernkraftwerke, für chemische Verarbeitungsanlagen und für die Fertigungstechnologie für diskrete Teile verwendet werden. HAS sind mittlerweile auch in vielen Dienstleistungsbranchen zu finden, etwa bei Flugsicherungs- und Flugzeugnavigationsverfahren im Bereich der zivilen Luftfahrt sowie bei der Gestaltung und dem Einsatz von intelligenten Fahrzeug- und Autobahnnavigationssystemen im Straßenverkehr.

Mit fortschreitendem Fortschritt in der computergestützten Automatisierung verlagert sich die Natur menschlicher Aufgaben in modernen technologischen Systemen von solchen, die wahrnehmungsmotorische Fähigkeiten erfordern, hin zu solchen, die kognitive Aktivitäten erfordern, die für die Problemlösung, für die Entscheidungsfindung bei der Systemüberwachung usw. erforderlich sind aufsichtsrechtliche Kontrollaufgaben. Beispielsweise fungieren die menschlichen Bediener in computerintegrierten Fertigungssystemen hauptsächlich als Systemüberwacher, Problemlöser und Entscheidungsträger. Die kognitiven Aktivitäten des menschlichen Supervisors in jeder HAS-Umgebung sind (1) das Planen, was für einen bestimmten Zeitraum getan werden sollte, (2) das Entwickeln von Verfahren (oder Schritten), um die Reihe geplanter Ziele zu erreichen, (3) das Überwachen des Fortschritts von (technologischen) Prozessen, (4) „Lernen“ des Systems durch einen menschlich-interaktiven Computer, (5) Eingreifen, wenn sich das System abnormal verhält oder wenn sich die Steuerungsprioritäten ändern, und (6) Lernen durch Feedback vom System über die Auswirkungen von Aufsichtsmaßnahmen (Sheridan 1987).

Hybrides Systemdesign

Die Mensch-Maschine-Interaktionen in einem HAS beinhalten die Nutzung dynamischer Kommunikationsschleifen zwischen den menschlichen Bedienern und intelligenten Maschinen – ein Prozess, der das Erfassen und Verarbeiten von Informationen sowie das Initiieren und Ausführen von Steuerungsaufgaben und die Entscheidungsfindung umfasst – innerhalb einer gegebenen Struktur der Funktionszuordnung dazwischen Menschen und Maschinen. Die Interaktionen zwischen Menschen und Automatisierung sollten zumindest die hohe Komplexität hybrider automatisierter Systeme sowie relevante Eigenschaften der menschlichen Bediener und Aufgabenanforderungen widerspiegeln. Daher kann das hybride automatisierte System formal als Quintupel in der folgenden Formel definiert werden:

HAT = (T, U, C, E, I)

woher T = Aufgabenanforderungen (physisch und kognitiv); U = Benutzereigenschaften (physisch und kognitiv); C = die Automatisierungsmerkmale (Hardware und Software, einschließlich Computerschnittstellen); E = die Umgebung des Systems; I = eine Reihe von Wechselwirkungen zwischen den oben genannten Elementen.

Die Menge der Interaktionen I verkörpert alle möglichen Interaktionen zwischen T, U und C in E unabhängig von ihrer Art oder Stärke der Assoziation. Beispielsweise könnte eine der möglichen Interaktionen die Beziehung der im Computerspeicher gespeicherten Daten zu dem entsprechenden Wissen des menschlichen Bedieners, falls vorhanden, beinhalten. Die Wechselwirkungen I kann elementar (dh beschränkt auf eine Eins-zu-eins-Assoziation) oder komplex sein, wie z. B. Interaktionen zwischen dem menschlichen Bediener, der speziellen Software, die verwendet wird, um die gewünschte Aufgabe zu erfüllen, und der verfügbaren physikalischen Schnittstelle mit dem Computer.

Designer vieler hybrider automatisierter Systeme konzentrieren sich hauptsächlich auf die computergestützte Integration hochentwickelter Maschinen und anderer Geräte als Teile computerbasierter Technologie, wobei sie selten viel Aufmerksamkeit auf die vorrangige Notwendigkeit einer effektiven menschlichen Integration in solche Systeme richten. Daher sind derzeit viele der computerintegrierten (technologischen) Systeme nicht vollständig kompatibel mit den inhärenten Fähigkeiten der menschlichen Bediener, wie sie sich in den Fähigkeiten und Kenntnissen ausdrücken, die für die wirksame Steuerung und Überwachung dieser Systeme erforderlich sind. Eine solche Inkompatibilität tritt auf allen Ebenen der menschlichen, maschinellen und Mensch-Maschine-Funktion auf und kann im Rahmen des Individuums und der gesamten Organisation oder Einrichtung definiert werden. Beispielsweise treten die Probleme der Integration von Menschen und Technologie in fortgeschrittenen Fertigungsunternehmen früh in der HAS-Designphase auf. Diese Probleme können mit dem folgenden Systemintegrationsmodell der Komplexität von Interaktionen konzeptualisiert werden, I, zwischen den Systemdesignern, D, menschliche Operatoren, Hoder potenzielle Systembenutzer und Technologie, T:

Ich (H, T) = F [ Ich (H, D), Ich (D, T)]

woher I steht für relevante Interaktionen, die in einer gegebenen HAS-Struktur stattfinden, während F weist auf funktionale Beziehungen zwischen Designern, menschlichen Bedienern und Technologie hin.

Das obige Systemintegrationsmodell hebt die Tatsache hervor, dass die Interaktionen zwischen den Benutzern und der Technologie durch das Ergebnis der Integration der beiden früheren Interaktionen bestimmt werden – nämlich (1) die zwischen HAS-Designern und potenziellen Benutzern und (2) die zwischen den Designern und die HAS-Technologie (auf der Ebene der Maschinen und ihrer Integration). Es sollte beachtet werden, dass, obwohl typischerweise starke Interaktionen zwischen Designern und Technologie bestehen, nur sehr wenige Beispiele für ebenso starke Wechselbeziehungen zwischen Designern und menschlichen Bedienern gefunden werden können.

Es kann argumentiert werden, dass selbst in den am stärksten automatisierten Systemen die Rolle des Menschen für eine erfolgreiche Systemleistung auf Betriebsebene entscheidend bleibt. Bainbridge (1983) identifizierte eine Reihe von Problemen, die für den Betrieb des HAS relevant sind und auf die Natur der Automatisierung selbst zurückzuführen sind, wie folgt:

1. Betreiber „außerhalb des Regelkreises“. Die menschlichen Bediener sind im System anwesend, um bei Bedarf die Kontrolle auszuüben, aber da sie „außerhalb des Regelkreises“ sind, können sie nicht die manuellen Fähigkeiten und langfristigen Systemkenntnisse aufrechterhalten, die im Notfall häufig erforderlich sind.
2. Veraltetes „Geistesbild“. Die menschlichen Bediener sind möglicherweise nicht in der Lage, schnell auf Änderungen im Systemverhalten zu reagieren, wenn sie die Ereignisse seines Betriebs nicht sehr genau verfolgt haben. Darüber hinaus kann das Wissen oder die mentale Vorstellung des Bedieners von der Systemfunktion unzureichend sein, um die erforderlichen Reaktionen einzuleiten oder auszuführen.
3. Verschwindende Generationen von Fähigkeiten. Neue Betreiber sind möglicherweise nicht in der Lage, sich durch Erfahrung ausreichende Kenntnisse über das computergestützte System anzueignen, und sind daher nicht in der Lage, bei Bedarf eine wirksame Kontrolle auszuüben.
4. Autorität der Automatik. Wenn das computergestützte System implementiert wurde, weil es die erforderlichen Aufgaben besser ausführen kann als der menschliche Bediener, stellt sich die Frage: „Auf welcher Grundlage sollte der Bediener entscheiden, ob die automatisierten Systeme richtige oder falsche Entscheidungen treffen?“
5. Entstehung der neuen Arten von „menschlichen Fehlern“ durch Automatisierung. Automatisierte Systeme führen zu neuartigen Fehlern und damit zu Unfällen, die im Rahmen herkömmlicher Analysetechniken nicht analysiert werden können.

 

Aufgabenverteilung

Eines der wichtigsten Themen für das HAS-Design ist die Bestimmung, wie viele und welche Funktionen oder Verantwortlichkeiten den menschlichen Bedienern und welche und wie viele den Computern zugewiesen werden sollten. Im Allgemeinen gibt es drei grundlegende Klassen von Aufgabenzuweisungsproblemen, die berücksichtigt werden sollten: (1) die Aufgabenzuweisung zwischen Mensch und Computer, (2) die Aufgabenzuweisung zwischen Mensch und Mensch und (3) die Aufgabenzuweisung zwischen Computer und Computer. Idealerweise sollten die Zuweisungsentscheidungen durch ein strukturiertes Zuweisungsverfahren getroffen werden, bevor mit dem grundlegenden Systemdesign begonnen wird. Leider ist ein solches systematisches Vorgehen selten möglich, da die zuzuweisenden Funktionen entweder einer weiteren Prüfung bedürfen oder interaktiv zwischen den Systemkomponenten Mensch und Maschine – also durch Anwendung des Supervisory Control Paradigmas – durchgeführt werden müssen. Die Aufgabenzuweisung in hybriden automatisierten Systemen sollte sich auf das Ausmaß der menschlichen und computergestützten Überwachungsverantwortlichkeiten konzentrieren und sollte die Art der Interaktionen zwischen dem menschlichen Bediener und computergestützten Entscheidungsunterstützungssystemen berücksichtigen. Auch die Mittel der Informationsübertragung zwischen Maschinen und den menschlichen Input-Output-Schnittstellen sowie die Kompatibilität von Software mit menschlichen kognitiven Problemlösungsfähigkeiten sollten berücksichtigt werden.

In traditionellen Ansätzen zum Design und Management hybrider automatisierter Systeme wurden Arbeiter als deterministische Input-Output-Systeme betrachtet, und es gab eine Tendenz, die teleologische Natur menschlichen Verhaltens zu missachten – das heißt, das zielorientierte Verhalten, das auf dem Erwerb von basiert relevanten Informationen und der Auswahl von Zielen (Goodstein et al. 1988). Um erfolgreich zu sein, müssen das Design und die Verwaltung fortschrittlicher hybrider automatisierter Systeme auf einer Beschreibung der menschlichen mentalen Funktionen basieren, die für eine bestimmte Aufgabe benötigt werden. Der „Cognitive Engineering“-Ansatz (weiter unten beschrieben) schlägt vor, dass Mensch-Maschine- (Hybrid-)Systeme in Bezug auf menschliche mentale Prozesse konzipiert, entworfen, analysiert und bewertet werden müssen (dh das mentale Modell des Bedieners der adaptiven Systeme wird berücksichtigt). Konto). Das Folgende sind die Anforderungen des menschenzentrierten Ansatzes für HAS-Design und -Betrieb, wie er von Corbett (1988) formuliert wurde:

1. Kompatibilität. Der Systembetrieb sollte keine Fähigkeiten erfordern, die nichts mit bestehenden Fähigkeiten zu tun haben, sondern sollte die Entwicklung bestehender Fähigkeiten ermöglichen. Der menschliche Bediener sollte Informationen eingeben und empfangen, die mit der herkömmlichen Praxis kompatibel sind, damit die Schnittstelle den Vorkenntnissen und Fähigkeiten des Benutzers entspricht.
2. Transparenz. Man kann ein System nicht kontrollieren, ohne es zu verstehen. Daher muss der menschliche Bediener in der Lage sein, die internen Prozesse der Steuerungssoftware des Systems zu „sehen“, wenn das Lernen erleichtert werden soll. Ein transparentes System macht es Benutzern leicht, ein internes Modell der Entscheidungs- und Kontrollfunktionen aufzubauen, die das System ausführen kann.
3. Minimaler Schock. Das System sollte nichts tun, was die Betreiber im Lichte der ihnen zur Verfügung stehenden Informationen über den aktuellen Systemzustand als unerwartet empfinden.
4. Störungskontrolle. Unsichere Aufgaben (wie durch die Wahlstrukturanalyse definiert) sollten unter menschlicher Bedienersteuerung mit Computer-Entscheidungsunterstützung stehen.
5. Fehlbarkeit. Die impliziten Fähigkeiten und Kenntnisse der menschlichen Bediener sollten nicht aus dem System heraus entworfen werden. Die Bediener sollten niemals in eine Position gebracht werden, in der sie hilflos zusehen, wie die Software eine fehlerhafte Operation leitet.
6. Fehlerumkehrbarkeit. Die Software sollte eine ausreichende Weiterleitung von Informationen liefern, um den menschlichen Bediener über die wahrscheinlichen Folgen einer bestimmten Operation oder Strategie zu informieren.
7. Betriebsflexibilität. Das System sollte menschlichen Bedienern die Freiheit bieten, Anforderungen und Ressourcengrenzen abzuwägen, indem sie Betriebsstrategien ändern, ohne die Unterstützung der Steuerungssoftware zu verlieren.

 

Kognitives Human Factors Engineering

Cognitive Human Factors Engineering konzentriert sich darauf, wie menschliche Bediener am Arbeitsplatz Entscheidungen treffen, Probleme lösen, Pläne formulieren und neue Fähigkeiten erlernen (Hollnagel und Woods 1983). Die Rollen der menschlichen Bediener, die in jedem HAS tätig sind, können unter Verwendung des Schemas von Rasmussen (1983) in drei Hauptkategorien eingeteilt werden:

1. Fähigkeitsbasiertes Verhalten ist die sensomotorische Leistung, die während Handlungen oder Aktivitäten ausgeführt wird, die ohne bewusste Kontrolle als reibungslose, automatisierte und hochintegrierte Verhaltensmuster stattfinden. Menschliche Tätigkeiten, die in diese Kategorie fallen, werden als eine für eine bestimmte Situation zusammengestellte Abfolge qualifizierter Handlungen betrachtet. Fertigkeitsbasiertes Verhalten ist somit der Ausdruck von mehr oder weniger gespeicherten Verhaltensmustern oder vorprogrammierten Anweisungen in einem Raum-Zeit-Bereich.
2. Regelbasiertes Verhalten ist eine zielorientierte Leistungskategorie, die durch Feedforward-Steuerung durch eine gespeicherte Regel oder Prozedur strukturiert ist – das heißt, eine geordnete Leistung, die es ermöglicht, eine Folge von Unterroutinen in einer vertrauten Arbeitssituation zusammenzustellen. Die Regel wird typischerweise aus früheren Erfahrungen ausgewählt und spiegelt die funktionalen Eigenschaften wider, die das Verhalten der Umgebung einschränken. Die regelbasierte Performance basiert auf explizitem Know-how im Umgang mit den relevanten Regeln. Der Entscheidungsdatensatz besteht aus Referenzen zum Erkennen und Identifizieren von Zuständen, Ereignissen oder Situationen.
3. Wissensbasiertes Verhalten ist eine Kategorie der zielgesteuerten Leistung, bei der das Ziel explizit auf der Grundlage der Kenntnis der Umwelt und der Ziele der Person formuliert wird. Die interne Struktur des Systems wird durch ein „mentales Modell“ repräsentiert. Diese Art von Verhalten ermöglicht die Entwicklung und das Testen unterschiedlicher Pläne unter ungewohnten und daher unsicheren Steuerungsbedingungen und wird benötigt, wenn Fähigkeiten oder Regeln entweder nicht verfügbar oder unzureichend sind, so dass stattdessen Problemlösung und Planung in Anspruch genommen werden müssen.

 

Bei der Gestaltung und Verwaltung eines HAS sollten die kognitiven Merkmale der Arbeiter berücksichtigt werden, um die Kompatibilität des Systembetriebs mit dem internen Modell des Arbeiters sicherzustellen, das seine Funktionen beschreibt. Folglich sollte die Beschreibungsebene des Systems von den kompetenzbasierten zu den regelbasierten und wissensbasierten Aspekten des menschlichen Funktionierens verschoben werden und geeignete Methoden der kognitiven Aufgabenanalyse sollten verwendet werden, um das Bedienermodell eines Systems zu identifizieren. Ein verwandtes Problem bei der Entwicklung eines HAS ist die Gestaltung von Mitteln zur Informationsübertragung zwischen dem menschlichen Bediener und automatisierten Systemkomponenten, sowohl auf physischer als auch auf kognitiver Ebene. Eine solche Informationsübertragung sollte mit den Informationsmodi kompatibel sein, die auf verschiedenen Ebenen des Systembetriebs verwendet werden – d. h. visuell, verbal, taktil oder hybrid. Diese Informationskompatibilität stellt sicher, dass verschiedene Formen der Informationsübertragung eine minimale Inkompatibilität zwischen dem Medium und der Art der Informationen erfordern. Beispielsweise eignet sich eine visuelle Anzeige am besten für die Übertragung räumlicher Informationen, während eine akustische Eingabe verwendet werden kann, um Textinformationen zu übermitteln.

Nicht selten entwickelt der menschliche Bediener ein internes Modell, das den Betrieb und die Funktion des Systems gemäß seiner Erfahrung, Schulung und Anweisungen in Verbindung mit der gegebenen Art von Mensch-Maschine-Schnittstelle beschreibt. Angesichts dieser Realität sollten die Designer eines HAS versuchen, in die Maschinen (oder andere künstliche Systeme) ein Modell der physischen und kognitiven Eigenschaften des menschlichen Bedieners einzubauen – das heißt, das Systembild des Bedieners (Hollnagel und Woods 1983). . Die Designer eines HAS müssen auch die Abstraktionsebene in der Systembeschreibung sowie verschiedene relevante Kategorien des Verhaltens des menschlichen Bedieners berücksichtigen. Diese Abstraktionsebenen zur Modellierung menschlicher Funktionen in der Arbeitsumgebung sind wie folgt (Rasmussen 1983): (1) physische Form (anatomische Struktur), (2) physische Funktionen (physiologische Funktionen), (3) generalisierte Funktionen (psychologische Mechanismen und kognitive und affektive Prozesse), (4) abstrakte Funktionen (Informationsverarbeitung) und (5) funktionaler Zweck (Wertstrukturen, Mythen, Religionen, menschliche Interaktionen). Diese fünf Ebenen müssen von den Designern gleichzeitig berücksichtigt werden, um eine effektive HAS-Leistung sicherzustellen.

Systemsoftware-Design

Da die Computersoftware eine primäre Komponente jeder HAS-Umgebung ist, müssen Softwareentwicklung, einschließlich Design, Testen, Betrieb und Modifikation, sowie Fragen der Softwarezuverlässigkeit auch in den frühen Stadien der HAS-Entwicklung berücksichtigt werden. Auf diese Weise sollte man in der Lage sein, die Kosten für die Erkennung und Beseitigung von Softwarefehlern zu senken. Es ist jedoch schwierig, die Zuverlässigkeit der menschlichen Komponenten eines HAS abzuschätzen, da wir nur eingeschränkt in der Lage sind, die Leistung menschlicher Aufgaben, die damit verbundene Arbeitsbelastung und potenzielle Fehler zu modellieren. Eine zu hohe oder zu geringe mentale Belastung kann zu Informationsüberlastung bzw. Langeweile führen und kann zu einer verminderten menschlichen Leistungsfähigkeit führen, was zu Fehlern und einer zunehmenden Unfallwahrscheinlichkeit führt. Die Designer eines HAS sollten adaptive Schnittstellen verwenden, die Techniken der künstlichen Intelligenz verwenden, um diese Probleme zu lösen. Neben der Mensch-Maschine-Kompatibilität muss auch die Frage der Mensch-Maschine-Anpassungsfähigkeit aneinander betrachtet werden, um die Belastungen zu reduzieren, die durch eine mögliche Überschreitung menschlicher Fähigkeiten entstehen.

Aufgrund der hohen Komplexität vieler hybrider automatisierter Systeme ist die Identifizierung potenzieller Gefahren in Bezug auf Hardware, Software, Betriebsabläufe und Mensch-Maschine-Interaktionen dieser Systeme entscheidend für den Erfolg von Bemühungen zur Reduzierung von Verletzungen und Geräteschäden . Sicherheits- und Gesundheitsgefahren im Zusammenhang mit komplexen hybriden automatisierten Systemen, wie z. B. Computer-Integrated Manufacturing Technology (CIM), sind eindeutig einer der kritischsten Aspekte des Systemdesigns und -betriebs.

Probleme mit der Systemsicherheit

Hybride automatisierte Umgebungen mit ihrem erheblichen Potenzial für unberechenbares Verhalten der Steuerungssoftware unter Systemstörungsbedingungen schaffen eine neue Generation von Unfallrisiken. Da hybride automatisierte Systeme vielseitiger und komplexer werden, können Systemstörungen, einschließlich Start- und Abschaltproblemen und Abweichungen in der Systemsteuerung, die Möglichkeit einer ernsthaften Gefahr für die menschlichen Bediener erheblich erhöhen. Ironischerweise verlassen sich die Bediener in vielen anormalen Situationen normalerweise auf das ordnungsgemäße Funktionieren der automatisierten Sicherheitssubsysteme, eine Praxis, die das Risiko schwerer Verletzungen erhöhen kann. So zeigte beispielsweise eine Untersuchung von Unfällen im Zusammenhang mit Fehlfunktionen technischer Steuerungssysteme, dass etwa ein Drittel der Unfallabläufe einen menschlichen Eingriff in den Regelkreis des gestörten Systems beinhaltete.

Da traditionelle Sicherheitsmaßnahmen nicht einfach an die Bedürfnisse von HAS-Umgebungen angepasst werden können, müssen Strategien zur Verletzungskontrolle und Unfallverhütung angesichts der inhärenten Eigenschaften dieser Systeme überdacht werden. Beispielsweise sind im Bereich der fortschrittlichen Fertigungstechnologie viele Prozesse durch das Vorhandensein erheblicher Mengen an Energieströmen gekennzeichnet, die von den menschlichen Bedienern nicht ohne weiteres vorhergesehen werden können. Darüber hinaus treten Sicherheitsprobleme typischerweise an den Schnittstellen zwischen Teilsystemen auf oder wenn Systemstörungen von einem Teilsystem zum anderen fortschreiten. Gemäß der Internationalen Organisation für Normung (ISO 1991) variieren die Risiken im Zusammenhang mit Gefahren durch industrielle Automatisierung mit den Arten von Industriemaschinen, die in das jeweilige Fertigungssystem integriert sind, und mit der Art und Weise, wie das System installiert, programmiert, betrieben und gewartet wird und repariert. Beispielsweise zeigte ein Vergleich von Unfällen im Zusammenhang mit Robotern in Schweden mit anderen Arten von Unfällen, dass Roboter möglicherweise die gefährlichsten Industriemaschinen sind, die in der fortgeschrittenen Fertigungsindustrie eingesetzt werden. Die geschätzte Unfallrate für Industrieroboter war ein schwerer Unfall pro 45 Roboterjahre, eine höhere Rate als die für Industriepressen, die mit einem Unfall pro 50 Maschinenjahre angegeben wurde. An dieser Stelle sei darauf hingewiesen, dass Industriepressen in den Vereinigten Staaten im Zeitraum 23–1980 etwa 1985 % aller Todesfälle im Zusammenhang mit Metallbearbeitungsmaschinen ausmachten, wobei Kraftpressen in Bezug auf das Schwere-Häufigkeits-Produkt für nicht tödliche Verletzungen an erster Stelle rangierten.

Im Bereich der fortschrittlichen Fertigungstechnologie gibt es viele bewegliche Teile, die für Arbeiter gefährlich sind, da sie ihre Position auf komplexe Weise außerhalb des Sichtfelds der menschlichen Bediener ändern. Die schnellen technologischen Entwicklungen in der computerintegrierten Fertigung machten es erforderlich, die Auswirkungen fortschrittlicher Fertigungstechnologien auf die Arbeitnehmer zu untersuchen. Um die Gefahren zu identifizieren, die von verschiedenen Komponenten einer solchen HAS-Umgebung ausgehen, müssen vergangene Unfälle sorgfältig analysiert werden. Unglücklicherweise lassen sich Unfälle mit Robotereinsatz nur schwer von Berichten über Unfälle im Zusammenhang mit von Menschen bedienten Maschinen isolieren, und daher kann es einen hohen Prozentsatz an nicht erfassten Unfällen geben. Die Arbeitsschutzvorschriften Japans besagen, dass „Industrieroboter derzeit keine zuverlässigen Sicherheitsmittel haben und Arbeiter nicht vor ihnen geschützt werden können, wenn ihre Verwendung nicht geregelt ist“. Beispielsweise zeigten die Ergebnisse der vom Arbeitsministerium Japans (Sugimoto 1987) durchgeführten Erhebung zu Unfällen im Zusammenhang mit Industrierobotern in den 190 untersuchten Fabriken (mit 4,341 Arbeitsrobotern), dass es 300 roboterbedingte Störungen gab, davon 37 Fälle der unsicheren Handlungen führten zu Beinahe-Unfällen, 9 Unfälle mit Verletzungen und 2 tödliche Unfälle. Die Ergebnisse anderer Studien weisen darauf hin, dass computergestützte Automatisierung nicht unbedingt das Gesamtsicherheitsniveau erhöht, da die Systemhardware nicht allein durch Sicherheitsfunktionen in der Computersoftware ausfallsicher gemacht werden kann und Systemsteuerungen nicht immer sehr zuverlässig sind. Darüber hinaus kann man sich in einem komplexen HAS nicht ausschließlich auf Sicherheitserfassungsgeräte verlassen, um gefährliche Bedingungen zu erkennen und geeignete Gefahrenvermeidungsstrategien zu ergreifen.

Auswirkungen der Automatisierung auf die menschliche Gesundheit

Wie oben diskutiert, sind Arbeiteraktivitäten in vielen HAS-Umgebungen im Grunde solche der Überwachung, Überwachung, Systemunterstützung und Wartung. Diese Aktivitäten können auch wie folgt in vier grundlegende Gruppen eingeteilt werden: (1) Programmieraufgaben, dh Codieren der Informationen, die den Maschinenbetrieb führen und lenken, (2) Überwachung der HAS-Produktions- und Steuerkomponenten, (3) Wartung von HAS-Komponenten zur Verhinderung oder Maschinenfehlfunktionen zu lindern und (4) eine Vielzahl von Unterstützungsaufgaben durchzuführen usw. Viele neuere Untersuchungen der Auswirkungen des HAS auf das Wohlbefinden der Arbeiter kamen zu dem Schluss, dass die Verwendung eines HAS im Fertigungsbereich schwere und gefährliche Aufgaben beseitigen kann , kann die Arbeit in einer HAS-Umgebung für die Arbeitnehmer unbefriedigend und stressig sein. Zu den Stressquellen gehörten die ständige Überwachung, die bei vielen HAS-Anwendungen erforderlich ist, der begrenzte Umfang der zugewiesenen Aktivitäten, das geringe Maß an Arbeiterinteraktion, das durch das Systemdesign zulässig ist, und Sicherheitsrisiken im Zusammenhang mit der unvorhersehbaren und unkontrollierbaren Natur der Ausrüstung. Auch wenn einige Mitarbeiter, die an Programmier- und Wartungsaktivitäten beteiligt sind, die Elemente der Herausforderung spüren, die sich positiv auf ihr Wohlbefinden auswirken können, werden diese Auswirkungen oft durch die komplexe und anspruchsvolle Natur dieser Aktivitäten sowie durch den Druck ausgeglichen Anstrengungen des Managements, diese Aktivitäten schnell abzuschließen.

Obwohl in einigen HAS-Umgebungen die menschlichen Bediener während normaler Betriebsbedingungen von traditionellen Energiequellen (Arbeitsfluss und Bewegung der Maschine) getrennt sind, müssen viele Aufgaben in automatisierten Systemen immer noch in direktem Kontakt mit anderen Energiequellen ausgeführt werden. Da die Zahl der unterschiedlichen HAS-Komponenten ständig zunimmt, muss besonderes Augenmerk auf den Komfort und die Sicherheit der Arbeiter und auf die Entwicklung wirksamer Vorkehrungen zur Vermeidung von Verletzungen gelegt werden, insbesondere angesichts der Tatsache, dass die Arbeiter nicht mehr in der Lage sind, mit den Anforderungen Schritt zu halten Ausgereiftheit und Komplexität solcher Systeme.

Um den aktuellen Anforderungen an Verletzungskontrolle und Arbeitssicherheit in computerintegrierten Fertigungssystemen gerecht zu werden, hat das ISO-Komitee für industrielle Automatisierungssysteme eine neue Sicherheitsnorm mit dem Titel „Sicherheit integrierter Fertigungssysteme“ (1991) vorgeschlagen. Diese neue internationale Norm, die in Anbetracht der besonderen Gefahren entwickelt wurde, die in integrierten Fertigungssystemen mit Industriemaschinen und zugehöriger Ausrüstung bestehen, zielt darauf ab, die Möglichkeit von Verletzungen des Personals bei der Arbeit an oder neben einem integrierten Fertigungssystem zu minimieren. Die durch diese Norm identifizierten Hauptquellen potenzieller Gefahren für die menschlichen Bediener in CIM sind in Abbildung 1 dargestellt.

Abbildung 1. Hauptgefahrenquellen in der computerintegrierten Fertigung (CIM) (nach ISO 1991)

Menschliche und Systemfehler

Im Allgemeinen können Gefahren in einem HAS aus dem System selbst, aus seiner Verbindung mit anderen in der physischen Umgebung vorhandenen Geräten oder aus Interaktionen von menschlichem Personal mit dem System entstehen. Ein Unfall ist nur eine von mehreren Folgen von Interaktionen zwischen Mensch und Maschine, die unter gefährlichen Bedingungen auftreten können; Beinahunfälle und Schadensereignisse sind viel häufiger (Zimolong und Duda 1992). Das Auftreten eines Fehlers kann zu einer dieser Folgen führen: (1) der Fehler bleibt unbemerkt, (2) das System kann den Fehler kompensieren, (3) der Fehler führt zu einem Maschinen- und/oder Anlagenstillstand oder (4 ) führt der Fehler zu einem Unfall.

Da nicht jeder menschliche Fehler, der zu einem kritischen Vorfall führt, einen tatsächlichen Unfall verursacht, ist es angemessen, zwischen den Ergebniskategorien wie folgt weiter zu unterscheiden: (1) ein unsicherer Vorfall (d. h. jedes unbeabsichtigte Ereignis, unabhängig davon, ob es zu Verletzungen, Schäden oder Verlust), (2) ein Unfall (dh ein unsicheres Ereignis, das zu Verletzungen, Schäden oder Verlusten führt), (3) ein Schadensereignis (dh ein unsicheres Ereignis, das nur zu einer Art Sachschaden führt), (4) a Beinahe-Unfall oder „Beinahe-Unfall“ (d. h. ein unsicheres Ereignis, bei dem Verletzungen, Schäden oder Verluste zufällig nur knapp vermieden wurden) und (5) das Vorhandensein eines Unfallpotenzials (d. h. unsichere Ereignisse, die zu Verletzungen, Schäden hätten führen können oder Verlust, aber aufgrund der Umstände nicht einmal zu einem Beinahe-Unfall geführt hat).

Man kann drei grundlegende Arten von menschlichem Versagen bei HAS unterscheiden:

1. Geschicklichkeitsbasierte Ausrutscher und Verfehlungen
2. regelbasierte Fehler
3. wissensbasierte Fehler.

 

Diese von Reason (1990) entwickelte Taxonomie basiert auf einer Modifikation von Rasmussens Fähigkeit-Regel-Wissen-Klassifikation menschlicher Leistung, wie oben beschrieben. Auf der fähigkeitsbasierten Ebene wird die menschliche Leistung durch gespeicherte Muster vorprogrammierter Anweisungen bestimmt, die als analoge Strukturen in einem Raum-Zeit-Bereich dargestellt werden. Die regelbasierte Ebene ist anwendbar, um vertraute Probleme anzugehen, bei denen Lösungen durch gespeicherte Regeln geregelt werden (als „Produktionen“ bezeichnet, da auf sie bei Bedarf zugegriffen oder sie erzeugt werden). Diese Regeln erfordern bestimmte Diagnosen (oder Beurteilungen) oder bestimmte Abhilfemaßnahmen, wenn bestimmte Bedingungen eingetreten sind, die eine angemessene Reaktion erfordern. Auf dieser Ebene sind menschliche Fehler typischerweise mit der Fehlklassifizierung von Situationen verbunden, was entweder zur Anwendung der falschen Regel oder zur falschen Erinnerung an daraus resultierende Urteile oder Verfahren führt. Wissensbasierte Fehler treten in neuartigen Situationen auf, für die Aktionen „online“ (zu einem bestimmten Zeitpunkt) geplant werden müssen, wobei bewusste analytische Prozesse und gespeichertes Wissen verwendet werden. Fehler auf dieser Ebene entstehen durch Ressourcenbeschränkungen und unvollständiges oder falsches Wissen.

Die von Reason (1990) vorgeschlagenen generischen Fehlermodellierungssysteme (GEMS), die versuchen, die Ursprünge der grundlegenden menschlichen Fehlertypen zu lokalisieren, können verwendet werden, um die Gesamttaxonomie des menschlichen Verhaltens in einem HAS abzuleiten. GEMS versucht, zwei unterschiedliche Bereiche der Fehlerforschung zu integrieren: (1) Ausrutscher und Versäumnisse, bei denen Aktionen aufgrund von Ausführungsfehlern und/oder Speicherfehlern von der aktuellen Absicht abweichen, und (2) Fehler, bei denen die Aktionen planmäßig ablaufen können, aber der Plan reicht nicht aus, um das gewünschte Ergebnis zu erzielen.

Gefährdungsbeurteilung und -prävention im CIM

Gemäß ISO (1991) sollte eine Risikobewertung in CIM durchgeführt werden, um alle Risiken zu minimieren und als Grundlage für die Festlegung von Sicherheitszielen und -maßnahmen bei der Entwicklung von Programmen oder Plänen zu dienen, um sowohl ein sicheres Arbeitsumfeld zu schaffen als auch zu gewährleisten auch die Sicherheit und Gesundheit des Personals. Zum Beispiel können Arbeitsgefahren in produktionsbasierten HAS-Umgebungen wie folgt charakterisiert werden: (1) der menschliche Bediener muss möglicherweise den Gefahrenbereich während der Fehlerbehebung, Service- und Wartungsarbeiten betreten, (2) der Gefahrenbereich ist schwer zu bestimmen, wahrzunehmen und zu kontrollieren, (3) die Arbeit kann eintönig sein und (4) die Unfälle, die sich in computerintegrierten Fertigungssystemen ereignen, sind oft schwerwiegend. Jede identifizierte Gefahr sollte auf ihr Risiko hin bewertet werden, und geeignete Sicherheitsmaßnahmen sollten festgelegt und umgesetzt werden, um dieses Risiko zu minimieren. Gefahren sollten auch in Bezug auf alle folgenden Aspekte eines bestimmten Prozesses festgestellt werden: die einzelne Einheit selbst; die Interaktion zwischen einzelnen Einheiten; die Betriebsabschnitte des Systems; und den Betrieb des vollständigen Systems für alle beabsichtigten Betriebsmodi und Bedingungen, einschließlich Bedingungen, unter denen normale Schutzmaßnahmen für Vorgänge wie Programmierung, Überprüfung, Fehlersuche, Wartung oder Reparatur außer Kraft gesetzt sind.

Die Entwurfsphase der ISO (1991) Sicherheitsstrategie für CIM umfasst:

• Angabe der Grenzen von Systemparametern
• Anwendung einer Sicherheitsstrategie
• Identifizierung von Gefahren
• Einschätzung der damit verbundenen Risiken
• Beseitigung der Gefahren oder Verringerung der Risiken so weit wie möglich.

 

Die Systemsicherheitsspezifikation sollte Folgendes umfassen:

• eine Beschreibung der Systemfunktionen
• ein Systemlayout und/oder -modell
• die Ergebnisse einer Umfrage, die durchgeführt wurde, um das Zusammenspiel verschiedener Arbeitsprozesse und manueller Tätigkeiten zu untersuchen
• eine Analyse von Prozessabläufen, einschließlich manueller Eingriffe
• eine Beschreibung der Schnittstellen zu Förder- oder Transportstrecken
• Prozessflussdiagramme
• Gründungspläne
• Pläne für Ver- und Entsorgungseinrichtungen
• Ermittlung des Platzbedarfs für die Materialver- und -entsorgung
• vorhandene Unfallunterlagen.

 

Gemäß ISO (1991) müssen alle notwendigen Anforderungen zur Gewährleistung eines sicheren CIM-Systembetriebs bei der Gestaltung systematischer Sicherheitsplanungsverfahren berücksichtigt werden. Dies umfasst alle Schutzmaßnahmen zur wirksamen Minderung von Gefahren und erfordert:

• Integration der Mensch-Maschine-Schnittstelle
• frühzeitige Definition der Position der am System Arbeitenden (zeitlich und räumlich)
• frühzeitige Überlegungen zum Abbau von Einzelarbeit
• Berücksichtigung von Umweltaspekten.

 

Das Sicherheitsplanungsverfahren sollte unter anderem die folgenden Sicherheitsaspekte von CIM berücksichtigen:

• Auswahl der Betriebsarten des Systems. Die Steuerausrüstung sollte Vorkehrungen für mindestens die folgenden Betriebsmodi haben: (1) Normal- oder Produktionsmodus (d. h. mit allen normalen Schutzvorrichtungen angeschlossen und in Betrieb), (2) Betrieb mit einigen der normalen Schutzvorrichtungen außer Kraft gesetzt und (3) Betrieb im eingeschalteten Zustand welches System oder ferngesteuerte manuelle Auslösen von Gefahrensituationen verhindert wird (z. B. im Fall einer lokalen Bedienung oder einer Trennung der Stromversorgung oder einer mechanischen Blockierung von Gefahrensituationen).
• Schulung, Installation, Inbetriebnahme und Funktionstest. Wenn sich Personal im Gefahrenbereich aufhalten muss, sollten die folgenden Sicherheitsmaßnahmen im Steuerungssystem vorgesehen werden: (1) Totmannfunktion, (2) Zustimmungseinrichtung, (3) reduzierte Geschwindigkeit, (4) reduzierte Leistung und (5 ) beweglicher Not-Halt.
• Sicherheit bei Systemprogrammierung, Wartung und Reparatur. Während des Programmierens sollte nur der Programmierer den geschützten Raum betreten dürfen. Das System sollte über Inspektions- und Wartungsverfahren verfügen, um den bestimmungsgemäßen Betrieb des Systems sicherzustellen. Das Inspektions- und Wartungsprogramm sollte die Empfehlungen des Systemlieferanten und die der Lieferanten verschiedener Elemente des Systems berücksichtigen. Es muss kaum erwähnt werden, dass Personal, das Wartungs- oder Reparaturarbeiten am System durchführt, in den Verfahren geschult werden sollte, die zur Ausführung der erforderlichen Aufgaben erforderlich sind.
• Störungsbeseitigung. Wenn eine Fehlerbeseitigung innerhalb des geschützten Raums erforderlich ist, sollte sie nach einer sicheren Trennung (oder, wenn möglich, nachdem eine Verriegelungsvorrichtung betätigt wurde) durchgeführt werden. Zusätzliche Maßnahmen gegen das irrtümliche Auslösen von Gefahrensituationen sollten getroffen werden. Wo bei der Störungsbeseitigung an Anlagenteilen oder an Maschinen benachbarter Anlagen oder Maschinen Gefahren auftreten können, sind diese ebenfalls außer Betrieb zu setzen und gegen unerwartetes Anlaufen zu sichern. Durch Hinweis- und Warnschilder soll auf die Störungsbeseitigung nicht vollständig beobachtbarer Anlagenteile hingewiesen werden.

 

Systemstörungskontrolle

In vielen HAS-Installationen, die im Bereich der computerintegrierten Fertigung verwendet werden, werden menschliche Bediener typischerweise zum Zweck des Steuerns, Programmierens, Wartens, Voreinstellens, Wartens oder Behebens von Aufgaben benötigt. Störungen in der Anlage führen zu Situationen, die ein Betreten der Gefahrenbereiche durch die Arbeiter erforderlich machen. Insofern ist davon auszugehen, dass Störungen weiterhin der wichtigste Grund für menschliche Eingriffe in CIM bleiben, da die Systeme häufig von außerhalb der Sperrgebiete programmiert werden. Eines der wichtigsten Themen für die CIM-Sicherheit ist die Vermeidung von Störungen, da die meisten Risiken in der Fehlerbehebungsphase des Systems auftreten. Die Vermeidung von Störungen ist das gemeinsame Ziel hinsichtlich Sicherheit und Wirtschaftlichkeit.

Eine Störung in einem CIM-System ist ein Zustand oder eine Funktion eines Systems, die vom geplanten oder gewünschten Zustand abweicht. Neben der Produktivität wirken sich Störungen beim Betrieb eines CIM direkt auf die Sicherheit der am Betrieb der Anlage beteiligten Personen aus. Eine finnische Studie (Kuivanen 1990) zeigte, dass etwa die Hälfte der Störungen in der automatisierten Fertigung die Sicherheit der Arbeiter beeinträchtigen. Die Hauptursachen für Störungen waren Fehler im Systemdesign (34 %), Ausfälle von Systemkomponenten (31 %), menschliches Versagen (20 %) und externe Faktoren (15 %). Die meisten Maschinenausfälle wurden durch das Steuersystem verursacht, und im Steuersystem traten die meisten Fehler in Sensoren auf. Eine effektive Möglichkeit, das Sicherheitsniveau von CIM-Anlagen zu erhöhen, besteht darin, die Anzahl der Störungen zu reduzieren. Obwohl menschliche Handlungen in gestörten Systemen das Auftreten von Unfällen in der HAS-Umgebung verhindern, tragen sie auch dazu bei. So zeigte beispielsweise eine Untersuchung von Unfällen im Zusammenhang mit Fehlfunktionen technischer Steuerungssysteme, dass etwa ein Drittel der Unfallabläufe einen menschlichen Eingriff in den Regelkreis des gestörten Systems beinhaltete.

Die Hauptforschungsthemen in der CIM-Störungsprävention betreffen (1) Hauptursachen von Störungen, (2) unzuverlässige Komponenten und Funktionen, (3) die Auswirkungen von Störungen auf die Sicherheit, (4) die Auswirkungen von Störungen auf die Funktion des Systems, ( 5) Sachschäden und (6) Reparaturen. Die Sicherheit von HAS sollte frühzeitig in der Phase des Systementwurfs unter gebührender Berücksichtigung von Technologie, Personal und Organisation geplant werden und ein integraler Bestandteil des gesamten technischen HAS-Planungsprozesses sein.

HAS-Design: Zukünftige Herausforderungen

Um den größtmöglichen Nutzen aus hybriden automatisierten Systemen, wie oben diskutiert, sicherzustellen, ist eine viel breitere Vision der Systementwicklung erforderlich, die auf der Integration von Menschen, Organisation und Technologie basiert. Drei Haupttypen der Systemintegration sollten hier angewendet werden:

1. Integration von Menschen, indem eine effektive Kommunikation zwischen ihnen sichergestellt wird
2. Mensch-Computer-Integration, indem geeignete Schnittstellen und Interaktionen zwischen Menschen und Computern entworfen werden
3. technologische Integration, indem effektive Schnittstellen und Interaktionen zwischen Maschinen sichergestellt werden.

 

Die Mindestdesignanforderungen für hybride automatisierte Systeme sollten Folgendes umfassen: (1) Flexibilität, (2) dynamische Anpassung, (3) verbesserte Reaktionsfähigkeit und (4) die Notwendigkeit, Menschen zu motivieren und ihre Fähigkeiten, ihr Urteilsvermögen und ihre Erfahrung besser zu nutzen . Das oben Gesagte erfordert auch, dass Organisationsstrukturen, Arbeitspraktiken und Technologien entwickelt werden, die es Menschen auf allen Ebenen des Systems ermöglichen, ihre Arbeitsstrategien an die Vielfalt der Systemsteuerungssituationen anzupassen. Daher müssen die Organisationen, Arbeitsweisen und Technologien von HAS als offene Systeme konzipiert und entwickelt werden (Kidd 1994).

Ein offenes hybrides automatisiertes System (OHAS) ist ein System, das Eingaben von seiner Umgebung empfängt und Ausgaben an diese sendet. Die Idee eines offenen Systems lässt sich nicht nur auf Systemarchitekturen und Organisationsstrukturen anwenden, sondern auch auf Arbeitspraktiken, Mensch-Computer-Schnittstellen und die Beziehung zwischen Menschen und Technologien: Zu nennen sind beispielsweise Planungssysteme, Steuerungssysteme und Entscheidungsunterstützungssysteme. Ein offenes System ist auch dann ein adaptives System, wenn es den Menschen einen großen Freiheitsgrad bei der Definition der Betriebsweise des Systems lässt. Beispielsweise können im Bereich Advanced Manufacturing die Anforderungen an ein offenes hybrides automatisiertes System durch das Konzept von realisiert werden menschen- und computerintegrierte Fertigung (HCIM). Aus dieser Sicht sollte das Design der Technologie die gesamte HCIM-Systemarchitektur berücksichtigen, einschließlich der folgenden: (1) Überlegungen zum Netzwerk von Gruppen, (2) die Struktur jeder Gruppe, (3) die Interaktion zwischen Gruppen, (4) die Art der unterstützenden Software und (5) technische Kommunikations- und Integrationsanforderungen zwischen unterstützenden Softwaremodulen.

Das adaptive hybride automatisierte System schränkt im Gegensatz zum geschlossenen System nicht ein, was die menschlichen Bediener tun können. Die Rolle des Designers eines HAS besteht darin, ein System zu schaffen, das die persönlichen Vorlieben des Benutzers erfüllt und es seinen Benutzern ermöglicht, so zu arbeiten, wie sie es am geeignetsten finden. Eine Voraussetzung für das Zulassen von Benutzereingaben ist die Entwicklung einer adaptiven Entwurfsmethodik – also eines OHAS, der es ermöglicht, computergestützte Technologie für seine Implementierung im Entwurfsprozess zu ermöglichen. Die Notwendigkeit, eine Methodik für adaptives Design zu entwickeln, ist eine der unmittelbaren Voraussetzungen, um das OHAS-Konzept in die Praxis umzusetzen. Es muss auch eine neue Ebene der adaptiven menschlichen Überwachungssteuerungstechnologie entwickelt werden. Eine solche Technologie sollte es dem menschlichen Bediener ermöglichen, das ansonsten unsichtbare Steuersystem der HAS-Funktion „durchzuschauen“ – beispielsweise durch Anwendung eines interaktiven Hochgeschwindigkeits-Videosystems an jedem Punkt der Systemsteuerung und des Betriebs. Schließlich wird auch dringend eine Methodik zur Entwicklung einer intelligenten und hochgradig anpassungsfähigen computergestützten Unterstützung menschlicher Rollen und menschlicher Funktionen in hybriden automatisierten Systemen benötigt.

 

Zurück

Es besteht allgemein Einigkeit darüber, dass Steuerungssysteme während des Gebrauchs sicher sein müssen. Vor diesem Hintergrund sind die meisten modernen Steuerungssysteme wie in Abbildung 1 dargestellt aufgebaut.

Abbildung 1. Allgemeiner Aufbau von Steuerungssystemen

Der einfachste Weg, ein Steuerungssystem sicher zu machen, besteht darin, eine undurchdringliche Mauer darum zu errichten, um den Zugang oder Eingriff von Menschen in den Gefahrenbereich zu verhindern. Ein solches System wäre sehr sicher, wenn auch unpraktisch, da es unmöglich wäre, sich Zugang zu verschaffen, um die meisten Test-, Reparatur- und Einstellarbeiten durchzuführen. Da der Zugang zu Gefahrenbereichen unter bestimmten Bedingungen erlaubt sein muss, sind andere Schutzmaßnahmen als nur Mauern, Zäune und dergleichen erforderlich, um Produktion, Installation, Wartung und Instandhaltung zu erleichtern.

 

Einige dieser Schutzmaßnahmen können wie folgt teilweise oder vollständig in Steuerungssysteme integriert werden:

• Beim Betreten des Gefahrenbereichs kann die Bewegung durch Not-Halt (ES)-Taster sofort gestoppt werden.
• Drucktastensteuerungen erlauben eine Bewegung nur, wenn die Drucktaste aktiviert ist.
• Zweihandsteuerungen (DHC) lassen eine Bewegung nur zu, wenn beide Hände mit dem Niederdrücken der beiden Bedienelemente beschäftigt sind (dadurch wird sichergestellt, dass die Hände von den Gefahrenbereichen ferngehalten werden).

 

Diese Arten von Schutzmaßnahmen werden von Bedienern aktiviert. Da der Mensch jedoch oft eine Schwachstelle in Anwendungen darstellt, werden viele Funktionen, wie z. B. die folgenden, automatisch ausgeführt:

• Bewegungen von Roboterarmen während der Wartung oder des „Einlernens“ sind sehr langsam. Trotzdem wird die Geschwindigkeit kontinuierlich überwacht. Wenn die Geschwindigkeit automatischer Roboterarme aufgrund eines Ausfalls des Steuerungssystems während der Wartungs- oder Einlernphase unerwartet zunehmen würde, würde das Überwachungssystem aktiviert und die Bewegung sofort beendet.
• Um den Zutritt in einen Gefahrenbereich zu verhindern, ist eine Lichtschranke vorgesehen. Wird der Lichtstrahl unterbrochen, stoppt die Maschine automatisch.

 

Die normale Funktion von Steuerungssystemen ist die wichtigste Voraussetzung für die Produktion. Wird eine Produktionsfunktion durch einen Steuerungsausfall unterbrochen, ist das höchstens lästig, aber nicht gefährlich. Wenn eine sicherheitsrelevante Funktion nicht ausgeführt wird, kann dies zu Produktionsausfall, Sachschäden, Verletzungen oder sogar zum Tod führen. Daher müssen sicherheitsrelevante Steuerungssystemfunktionen zuverlässiger und sicherer sein als normale Steuerungssystemfunktionen. Gemäß der Richtlinie 89/392/EWG des Europäischen Rates (Maschinenrichtlinie) müssen Steuerungen so konstruiert und gebaut sein, dass sie sicher und zuverlässig sind.

Steuerungen bestehen aus einer Anzahl von Komponenten, die miteinander verbunden sind, um eine oder mehrere Funktionen auszuführen. Die Steuerungen sind in Kanäle unterteilt. Ein Kanal ist der Teil einer Steuerung, der eine bestimmte Funktion ausführt (z. B. Start, Stopp, Notstopp). Physikalisch wird der Kanal durch eine Reihe von Komponenten (Transistoren, Dioden, Relais, Gatter usw.) erzeugt, durch die von einer Komponente zur nächsten (meist elektrische) Informationen, die diese Funktion darstellen, vom Eingang zum Ausgang übertragen werden.

Bei der Gestaltung von Steuerkanälen für sicherheitsrelevante Funktionen (also Funktionen, an denen Menschen beteiligt sind) sind folgende Anforderungen zu erfüllen:

• Komponenten, die in Steuerkanälen mit sicherheitsrelevanten Funktionen eingesetzt werden, müssen den Belastungen des normalen Gebrauchs standhalten. Allgemein, sie müssen ausreichend zuverlässig sein.
• Fehler in der Logik dürfen keine gefährlichen Situationen verursachen. Allgemein, der sicherheitsrelevante Kanal muss ausreichend ausfallsicher sein.
• Äußere Einflüsse (Faktoren) sollten nicht zu vorübergehenden oder dauerhaften Ausfällen in sicherheitsrelevanten Kanälen führen.

 

Zuverlässigkeit

Zuverlässigkeit ist die Fähigkeit eines Steuerkanals oder einer Komponente, eine erforderliche Funktion unter bestimmten Bedingungen für einen bestimmten Zeitraum auszuführen ohne zu scheitern. (Mit geeigneten Methoden können Wahrscheinlichkeiten für bestimmte Komponenten oder Kontrollkanäle berechnet werden.) Die Zuverlässigkeit muss immer für einen bestimmten Zeitwert angegeben werden. Im Allgemeinen kann die Zuverlässigkeit durch die Formel in Abbildung 2 ausgedrückt werden.

Abbildung 2. Zuverlässigkeitsformel

Zuverlässigkeit komplexer Systeme

Systeme werden aus Komponenten aufgebaut. Sind die Zuverlässigkeiten der Komponenten bekannt, kann die Zuverlässigkeit des Gesamtsystems berechnet werden. In solchen Fällen gilt Folgendes:

Serielle Systeme

Die absolute Zuverlässigkeit R_bis eines seriellen Systems bestehend aus N Komponenten gleicher Zuverlässigkeit R_C wird wie in Abbildung 3 berechnet.

Abbildung 3. Zuverlässigkeitsdiagramm von in Reihe geschalteten Komponenten

Die Gesamtzuverlässigkeit ist geringer als die Zuverlässigkeit der am wenigsten zuverlässigen Komponente. Wenn die Anzahl der in Reihe geschalteten Komponenten zunimmt, nimmt die Gesamtzuverlässigkeit der Kette erheblich ab.

Parallele Systeme

Die absolute Zuverlässigkeit R_bis eines parallelen Systems bestehend aus N Komponenten gleicher Zuverlässigkeit R_C wird wie in Abbildung 4 berechnet.

Abbildung 4. Zuverlässigkeitsdiagramm parallel geschalteter Komponenten

Die Gesamtzuverlässigkeit kann durch die Parallelschaltung von zwei oder mehr Komponenten erheblich verbessert werden.

Abbildung 5 zeigt ein praktisches Beispiel. Beachten Sie, dass die Schaltung den Motor zuverlässiger abschaltet. Auch wenn das Relais A oder B seinen Kontakt nicht öffnet, wird der Motor trotzdem abgeschaltet.

Abbildung 5. Praktisches Beispiel von Abbildung 4

Die Berechnung der Gesamtzuverlässigkeit eines Kanals ist einfach, wenn alle erforderlichen Komponentenzuverlässigkeiten bekannt und verfügbar sind. Bei komplexen Bauteilen (integrierte Schaltkreise, Mikroprozessoren etc.) ist die Berechnung der Gesamtzuverlässigkeit schwierig bis unmöglich, wenn die notwendigen Informationen nicht vom Hersteller veröffentlicht werden.

Sicherheit

Wenn Fachleute von Sicherheit sprechen und sichere Maschinen fordern, meinen sie die Sicherheit der gesamten Maschine oder Anlage. Diese Sicherheit ist jedoch zu allgemein und für den Konstrukteur von Steuerungen nicht genau genug definiert. Die folgende Definition von Sicherheit kann für Entwickler von Steuerschaltungen praktisch und brauchbar sein: Sicherheit ist die Fähigkeit eines Steuersystems, die erforderliche Funktion innerhalb vorgeschriebener Grenzen für eine bestimmte Dauer auszuführen, selbst wenn erwartete Fehler auftreten. Folglich muss beim Design geklärt werden, wie „sicher“ der sicherheitsgerichtete Kanal sein muss. (Der Konstrukteur kann einen Kanal entwickeln, der gegen den ersten Ausfall, gegen einen beliebigen Ausfall, gegen zwei Ausfälle usw. sicher ist.) Außerdem kann ein Kanal, der eine Funktion erfüllt, die dazu dient, Unfälle zu verhindern, im Wesentlichen zuverlässig sein, muss es aber nicht zwangsläufig sicher vor Ausfällen zu sein. Dies lässt sich am besten an folgenden Beispielen erklären:

Beispiel 1

Das in Abbildung 6 dargestellte Beispiel ist ein sicherheitsrelevanter Steuerkanal, der die erforderliche Sicherheitsfunktion ausführt. Die erste Komponente kann ein Schalter sein, der beispielsweise die Position einer Zugangstür zu einem Gefahrenbereich überwacht. Die letzte Komponente ist ein Motor, der bewegliche mechanische Teile innerhalb des Gefahrenbereichs antreibt.

Abbildung 6. Ein sicherheitsrelevanter Steuerkanal, der die erforderliche Sicherheitsfunktion ausführt

Die geforderte Sicherheitsfunktion ist in diesem Fall eine doppelte: Bei geschlossener Tür darf der Motor laufen. Bei geöffneter Tür muss der Motor abgeschaltet werden. Zuverlässigkeiten kennen R₁ zu R.₆, lässt sich die Reliabilität R berechnen_Knirps. Konstrukteure sollten zuverlässige Komponenten verwenden, um eine ausreichend hohe Zuverlässigkeit des gesamten Steuerungssystems aufrechtzuerhalten (dh die Wahrscheinlichkeit, dass diese Funktion beispielsweise noch in 20 Jahren ausgeführt wird, sollte bei der Konstruktion berücksichtigt werden). Folglich müssen Designer zwei Aufgaben erfüllen: (1) die Schaltung muss die erforderliche Funktion erfüllen, und (2) die Zuverlässigkeit der Komponenten und des gesamten Steuerkanals muss ausreichend sein.

Nun stellt sich folgende Frage: Wird der oben genannte Kanal die geforderten Sicherheitsfunktionen auch dann erfüllen, wenn ein Fehler im System auftritt (z. B. wenn ein Relaiskontakt klemmt oder ein Bauteil ausfällt)? Die Antwort ist nein". Der Grund ist, dass ein einzelner Steuerkanal, der nur aus in Reihe geschalteten Komponenten besteht und mit statischen Signalen arbeitet, nicht gegen einen Ausfall sicher ist. Der Kanal kann nur eine gewisse Zuverlässigkeit haben, die die Wahrscheinlichkeit garantiert, dass die Funktion ausgeführt wird. Sicherheit ist in solchen Situationen immer gemeint Ausfall bezogen.

Beispiel 2

Soll ein Steuerkanal sowohl zuverlässig als auch sicher sein, muss der Aufbau wie in Bild 7 modifiziert werden. Das dargestellte Beispiel ist ein sicherheitsrelevanter Steuerkanal, der aus zwei vollständig getrennten Teilkanälen besteht.

Abbildung 7. Ein sicherheitsrelevanter Steuerkanal mit zwei vollständig getrennten Unterkanälen

Dieses Design ist sicher gegen den ersten Fehler (und mögliche weitere Fehler in demselben Unterkanal), ist aber nicht sicher gegen zwei Fehler, die in zwei verschiedenen Unterkanälen (gleichzeitig oder zu unterschiedlichen Zeiten) auftreten können, da es keine Fehlererkennungsschaltung gibt. Folglich arbeiten zunächst beide Teilkanäle mit hoher Zuverlässigkeit (siehe paralleles System), aber nach dem ersten Ausfall funktioniert nur noch ein Teilkanal und die Zuverlässigkeit nimmt ab. Tritt ein zweiter Fehler im noch funktionierenden Subkanal auf, sind beide ausgefallen und die Sicherheitsfunktion wird nicht mehr ausgeführt.

Beispiel 3

Das in Abbildung 8 dargestellte Beispiel ist ein sicherheitsrelevanter Steuerkanal, der aus zwei völlig getrennten Teilkanälen besteht, die sich gegenseitig überwachen.

Abbildung 8. Ein sicherheitsrelevanter Steuerkanal mit zwei vollständig getrennten Unterkanälen, die sich gegenseitig überwachen

Ein solches Design ist ausfallsicher, da nach einem Ausfall nur ein Teilkanal nicht funktionsfähig ist, während der andere Teilkanal verfügbar bleibt und die Sicherheitsfunktion erfüllt. Darüber hinaus verfügt das Design über eine Fehlererkennungsschaltung. Wenn aufgrund einer Störung beide Teilkanäle nicht in gleicher Weise arbeiten, wird dieser Zustand durch eine „Exklusiv-Oder“-Schaltung erkannt, mit der Folge, dass die Maschine automatisch abgeschaltet wird. Dies ist eine der besten Möglichkeiten, Maschinensteuerungen zu entwerfen – das Entwerfen von sicherheitsrelevanten Unterkanälen. Sie sind gegen einen Ausfall sicher und bieten gleichzeitig genügend Zuverlässigkeit, so dass die Wahrscheinlichkeit, dass zwei Ausfälle gleichzeitig auftreten, minimal ist.

Redundanz

Es ist offensichtlich, dass es verschiedene Verfahren gibt, durch die ein Konstrukteur die Zuverlässigkeit und/oder Sicherheit (gegen Ausfall) verbessern kann. Die vorangegangenen Beispiele zeigen, wie eine Funktion (dh Tür geschlossen, Motor darf laufen; Tür geöffnet, Motor muss gestoppt werden) durch verschiedene Lösungen realisiert werden kann. Einige Verfahren sind sehr einfach (ein Unterkanal) und andere komplizierter (zwei Unterkanäle mit gegenseitiger Überwachung). (Siehe Abbildung 9.)

Abbildung 9. Zuverlässigkeit redundanter Systeme mit oder ohne Fehlererkennung

Es gibt eine gewisse Redundanz in den komplexen Schaltungen und/oder Komponenten im Vergleich zu den einfachen. Redundanz kann wie folgt definiert werden: (1) Redundanz ist das Vorhandensein von mehr Mitteln (Komponenten, Kanäle, höhere Sicherheitsfaktoren, zusätzliche Tests usw.), als für die einfache Erfüllung der gewünschten Funktion wirklich notwendig sind; (2) Redundanz „verbessert“ offensichtlich nicht die Funktion, die ohnehin ausgeführt wird. Redundanz verbessert nur die Zuverlässigkeit und/oder Sicherheit.

Einige Sicherheitsexperten glauben, dass Redundanz nur die Verdoppelung oder Verdreifachung usw. des Systems ist. Dies ist eine sehr eingeschränkte Interpretation, da Redundanz viel umfassender und flexibler interpretiert werden kann. Redundanz kann nicht nur in der Hardware enthalten sein; es kann auch in der Software enthalten sein. Auch eine Verbesserung des Sicherheitsfaktors (z. B. ein stärkeres Seil anstelle eines schwächeren Seils) kann als eine Form der Redundanz angesehen werden.

Entropie

Entropie, ein Begriff, der hauptsächlich in der Thermodynamik und Astronomie vorkommt, kann wie folgt definiert werden: Alles neigt zum Zerfall. Daher ist es absolut sicher, dass alle Komponenten, Subsysteme oder Systeme, unabhängig von der verwendeten Technologie, irgendwann ausfallen werden. Das bedeutet, dass es keine 100 % zuverlässigen und/oder sicheren Systeme, Subsysteme oder Komponenten gibt. Alle sind lediglich mehr oder weniger zuverlässig und sicher, je nach Komplexität der Struktur. Die unvermeidlich früher oder später auftretenden Ausfälle demonstrieren die Wirkung der Entropie.

Das einzige Mittel, das Designern zur Verfügung steht, um der Entropie entgegenzuwirken, ist Redundanz, die erreicht wird, indem (a) mehr Zuverlässigkeit in die Komponenten eingeführt und (b) mehr Sicherheit in der gesamten Schaltungsarchitektur bereitgestellt wird. Nur wenn die Wahrscheinlichkeit, dass die erforderliche Funktion für die erforderliche Zeitdauer ausgeführt wird, ausreichend erhöht wird, können Designer sich einigermaßen gegen Entropie wehren.

Risk Assessment

Je größer das potenzielle Risiko ist, desto höher ist die erforderliche Zuverlässigkeit und/oder Sicherheit (gegen Ausfälle) (und umgekehrt). Dies wird durch die folgenden zwei Fälle veranschaulicht:

Fall 1

Der Zugang zu dem in einer Spritzgießmaschine befestigten Formwerkzeug ist durch eine Tür gesichert. Wenn die Tür geschlossen ist, darf die Maschine arbeiten, und wenn die Tür geöffnet wird, müssen alle gefährlichen Bewegungen gestoppt werden. Unter keinen Umständen (auch bei Ausfall des sicherheitsgerichteten Kanals) dürfen Bewegungen, insbesondere solche, die das Werkzeug bedienen, auftreten.

Fall 2

Der Zugang zu einer automatisch gesteuerten Montagelinie, die kleine Kunststoffkomponenten unter pneumatischem Druck montiert, ist durch eine Tür gesichert. Wenn diese Tür geöffnet wird, muss die Linie angehalten werden.

Im Fall 1 kann es bei einem Ausfall der Türüberwachungssteuerung zu schweren Verletzungen kommen, wenn das Werkzeug unerwartet geschlossen wird. Im Fall 2 kann es bei Ausfall der türüberwachenden Steuerung nur zu leichten Verletzungen oder unerheblichen Schäden kommen.

Es ist offensichtlich, dass im ersten Fall viel mehr Redundanz eingeführt werden muss, um die Zuverlässigkeit und/oder Sicherheit (gegen Ausfall) zu erreichen, die zum Schutz gegen extrem hohe Risiken erforderlich ist. Tatsächlich muss gemäß der europäischen Norm EN 201 das Überwachungssteuersystem der Spritzgießmaschinentür drei Kanäle haben; zwei davon sind elektrisch und gegenseitig überwacht und eine davon ist größtenteils mit Hydraulik und Prüfkreisen ausgestattet. Alle diese drei Überwachungsfunktionen beziehen sich auf dieselbe Tür.

Umgekehrt ist bei Anwendungen wie in Fall 2 beschrieben ein einzelner Kanal, der durch einen Schalter mit positiver Aktion aktiviert wird, dem Risiko angemessen.

Kontrollkategorien

Da alle oben genannten Überlegungen grundsätzlich auf der Informationstheorie basieren und folglich für alle Technologien gelten, spielt es keine Rolle, ob das Steuerungssystem auf elektronischen, elektromechanischen, mechanischen, hydraulischen oder pneumatischen Komponenten (oder einer Mischung davon) basiert. , oder auf einer anderen Technologie. Der Ideenreichtum des Konstrukteurs einerseits und wirtschaftliche Fragen andererseits sind die bestimmenden Faktoren für eine nahezu unendliche Zahl von Lösungsansätzen zur Realisierung sicherheitsrelevanter Kanäle.

Um Verwechslungen vorzubeugen, ist es sinnvoll, bestimmte Sortierkriterien festzulegen. Die typischsten Kanalstrukturen, die in Maschinensteuerungen zur Ausführung sicherheitsbezogener Funktionen verwendet werden, sind kategorisiert nach:

• Zuverlässigkeit
• Verhalten im Fehlerfall
• Ausfallmeldezeit.

 

Ihre Kombinationen (nicht alle möglichen Kombinationen sind gezeigt) sind in Tabelle 1 dargestellt.

Tabelle 1. Einige mögliche Kombinationen von Schaltungsstrukturen in Maschinensteuerungen für sicherheitsrelevante Funktionen

 

Die für eine bestimmte Maschine und ihr sicherheitsbezogenes Steuerungssystem geltende Kategorie wird meistens in den neuen europäischen Normen (EN) festgelegt, es sei denn, die nationale Behörde, der Benutzer und der Hersteller einigen sich darauf, dass eine andere Kategorie angewendet werden sollte. Der Designer entwickelt dann ein Steuerungssystem, das die Anforderungen erfüllt. Überlegungen zum Design eines Steuerkanals können beispielsweise Folgendes umfassen:

• Die Bauteile müssen den zu erwartenden Einflüssen standhalten. (JA NEIN)
• Ihre Konstruktion sollte dem Stand der Technik entsprechen. (JA NEIN)
• Dabei kommen bewährte Komponenten und Methoden zum Einsatz. (JA NEIN)
• Scheitern müssen erkannt werden. (JA NEIN)
• Wird die Sicherheitsfunktion auch im Fehlerfall ausgeführt? (JA NEIN)
• Wann wird der Fehler erkannt? (NIEMALS, FRÜH, SOFORT)

 

Dieser Vorgang ist reversibel. Mit den gleichen Fragen kann entschieden werden, zu welcher Kategorie ein bestehender, zuvor entwickelter Kontrollkanal gehört.

Kategoriebeispiele

Kategorie B

Die hauptsächlich in Konsumgütern eingesetzten Steuerkanalkomponenten müssen den zu erwartenden Einflüssen standhalten und nach dem Stand der Technik ausgelegt sein. Als Beispiel kann ein gut gestalteter Schalter dienen.

Kategorie 1

Typisch für Kategorie 1 ist die Verwendung altbewährter Komponenten und Methoden. Ein Beispiel für Kategorie 1 ist ein Schalter mit positiver Aktion (dh erfordert zwangsläufiges Öffnen von Kontakten). Dieser Schalter ist mit robusten Teilen konstruiert und wird durch relativ hohe Kräfte aktiviert, wodurch eine extrem hohe Zuverlässigkeit nur beim Öffnen des Kontakts erreicht wird. Trotz klebender oder gar verschweißter Kontakte öffnen diese Schalter. (Anmerkung: Bauelemente wie Transistoren und Dioden gelten nicht als altbewährte Bauelemente.) Abbildung 10 soll als Illustration einer Kategorie-1-Steuerung dienen.

Abbildung 10. Ein Schalter mit positiver Aktion

Dieser Kanal verwendet Schalter S mit positiver Aktion. Das Schütz K wird durch die Leuchte L überwacht. Der Bediener wird durch die Meldeleuchte L darauf hingewiesen, dass die Schließerkontakte (NO) haften. Das Schütz K hat zwangsgeführte Kontakte. (Hinweis: Relais oder Schütze mit zwangsgeführten Kontakten haben im Vergleich zu herkömmlichen Relais oder Schützen einen speziellen Käfig aus Isolierstoff, so dass bei geschlossenen Öffnerkontakten alle Schließerkontakte geöffnet werden müssen und umgekehrt umgekehrt. Das bedeutet, dass bei Verwendung von Öffnerkontakten überprüft werden kann, ob die Arbeitskontakte nicht verkleben oder verschweißt sind.)

Kategorie 2

Kategorie 2 sieht eine automatische Fehlererkennung vor. Vor jeder gefährlichen Bewegung muss eine automatische Ausfallerkennung generiert werden. Nur wenn der Test positiv ist, darf die Bewegung ausgeführt werden; andernfalls wird die Maschine gestoppt. Für Lichtschranken werden automatische Ausfallerkennungssysteme eingesetzt, um deren Funktionsfähigkeit nachzuweisen. Das Prinzip ist in Bild 1 dargestellt.

Abbildung 11. Schaltung mit Ausfallerkennung

Dieses Steuersystem wird regelmäßig (oder gelegentlich) getestet, indem dem Eingang ein Impuls zugeführt wird. In einem ordnungsgemäß funktionierenden System wird dieser Impuls dann zum Ausgang übertragen und mit einem Impuls von einem Testgenerator verglichen. Wenn beide Impulse vorhanden sind, funktioniert das System offensichtlich. Andernfalls, wenn kein Ausgangsimpuls vorhanden ist, ist das System ausgefallen.

Kategorie 3

Die Schaltung wurde zuvor unter Beispiel 3 im Sicherheitsabschnitt dieses Artikels beschrieben, Abbildung 8.

Die Anforderung, dh automatische Fehlererkennung und die Fähigkeit, die Sicherheitsfunktion auszuführen, auch wenn irgendwo ein Fehler aufgetreten ist, kann durch zweikanalige Kontrollstrukturen und durch gegenseitige Überwachung der beiden Kanäle erfüllt werden.

Nur bei Maschinensteuerungen müssen die gefährlichen Ausfälle untersucht werden. Es sollte beachtet werden, dass es zwei Arten von Fehlern gibt:

• Ungefährlich Störungen sind solche, die nach ihrem Auftreten einen „sicheren Zustand“ der Maschine herbeiführen, indem sie ein Abschalten des Motors bewirken.
• Gefährlich Störungen sind solche, die nach ihrem Auftreten einen „unsicheren Zustand“ der Maschine bewirken, da der Motor nicht abgeschaltet werden kann oder der Motor sich unerwartet in Bewegung setzt.

Kategorie 4

Kategorie 4 sieht typischerweise das Anlegen eines dynamischen, sich kontinuierlich ändernden Signals am Eingang vor. Das Vorhandensein eines dynamischen Signals auf dem Ausgabemittel Laufen ("1"), und das Fehlen eines dynamischen Signalmittels halt („0“).

Für solche Schaltungen ist es typisch, dass nach dem Ausfall irgendeiner Komponente das dynamische Signal am Ausgang nicht mehr zur Verfügung steht. (Anmerkung: Das statische Potential am Ausgang ist unerheblich.) Solche Schaltungen können als „ausfallsicher“ bezeichnet werden. Alle Fehler werden sofort offengelegt, nicht nach der ersten Änderung (wie bei Schaltungen der Kategorie 3).

Weitere Anmerkungen zu den Kontrollkategorien

Tabelle 1 ist für übliche Maschinensteuerungen entwickelt worden und zeigt nur die prinzipiellen Schaltungsstrukturen; laut Maschinenrichtlinie sollte sie unter der Annahme berechnet werden, dass in einem Maschinenzyklus nur ein Fehler auftritt. Deshalb muss die Sicherheitsfunktion bei zwei gleichzeitigen Ausfällen nicht ausgeführt werden. Es wird davon ausgegangen, dass ein Fehler innerhalb eines Maschinenzyklus erkannt wird. Die Maschine wird angehalten und anschließend repariert. Danach startet die Steuerung wieder, voll funktionsfähig, ohne Ausfälle.

Die erste Absicht des Konstrukteurs sollte darin bestehen, „stehende“ Fehler nicht zuzulassen, die während eines Zyklus nicht erkannt würden, da sie später mit neu auftretenden Fehlern kombiniert werden könnten (Fehlerkumulation). Solche Kombinationen (ein dauerhafter Fehler und ein neuer Fehler) können selbst bei Schaltkreisen der Kategorie 3 zu einer Fehlfunktion führen.

Trotz dieser Taktiken ist es möglich, dass zwei unabhängige Ausfälle gleichzeitig innerhalb desselben Maschinenzyklus auftreten. Es ist nur sehr unwahrscheinlich, insbesondere wenn hochzuverlässige Komponenten verwendet wurden. Für Anwendungen mit sehr hohem Risiko sollten drei oder mehr Unterkanäle verwendet werden. Diese Philosophie basiert auf der Tatsache, dass die mittlere Zeit zwischen Ausfällen viel länger ist als der Maschinenzyklus.

Dies bedeutet jedoch nicht, dass die Tabelle nicht weiter ausgebaut werden kann. Tabelle 1 ist grundsätzlich und strukturell der in EN 2-954 verwendeten Tabelle 1 sehr ähnlich. Es wird jedoch nicht versucht, zu viele Sortierkriterien aufzunehmen. Die Anforderungen werden nach den strengen Gesetzen der Logik definiert, sodass nur eindeutige Antworten (JA oder NEIN) zu erwarten sind. Dies ermöglicht eine genauere Bewertung, Sortierung und Klassifizierung der eingereichten Schaltungen (sicherheitsrelevante Kanäle) und nicht zuletzt eine deutliche Verbesserung der Reproduzierbarkeit der Bewertung.

Ideal wäre es, wenn man Risiken in verschiedene Risikostufen einteilen und dann eine eindeutige Verknüpfung zwischen Risikostufen und Kategorien herstellen könnte, und das alles unabhängig von der eingesetzten Technologie. Dies ist jedoch nicht vollständig möglich. Schon früh nach der Erstellung der Kategorien wurde deutlich, dass selbst bei gleicher Technologie diverse Fragen nicht ausreichend beantwortet wurden. Was ist besser: eine sehr zuverlässige und gut konstruierte Komponente der Kategorie 1 oder ein System, das die Anforderungen der Kategorie 3 mit geringer Zuverlässigkeit erfüllt?

Um dieses Dilemma zu erklären, muss man zwischen zwei Qualitäten unterscheiden: Zuverlässigkeit und Sicherheit (gegen Ausfälle). Sie sind nicht vergleichbar, da diese beiden Qualitäten unterschiedliche Eigenschaften haben:

• Das Bauteil mit der höchsten Zuverlässigkeit hat die unangenehme Eigenschaft, dass im Fehlerfall (wenn auch höchst unwahrscheinlich) die Funktion wegfällt.
• Systeme der Kategorie 3, bei denen auch bei einem Ausfall die Funktion erfüllt wird, sind nicht sicher gegen zwei Ausfälle gleichzeitig (wichtig kann sein, ob ausreichend zuverlässige Komponenten verwendet wurden).

In Anbetracht des oben Gesagten kann es sein, dass die beste Lösung (aus Sicht des hohen Risikos) darin besteht, hochzuverlässige Komponenten zu verwenden und sie so zu konfigurieren, dass die Schaltung gegen mindestens einen Ausfall (vorzugsweise mehr) sicher ist. Es ist klar, dass eine solche Lösung nicht die wirtschaftlichste ist. In der Praxis ist der Optimierungsprozess meist die Folge all dieser Einflüsse und Überlegungen.

Erfahrungen mit der praktischen Verwendung der Kategorien zeigen, dass es selten möglich ist, ein Steuerungssystem zu entwerfen, das durchgehend nur eine Kategorie verwenden kann. Typisch ist die Kombination aus zwei oder sogar drei Teilen, die jeweils einer anderen Kategorie angehören, wie im folgenden Beispiel dargestellt:

Viele Sicherheitslichtschranken sind in Kategorie 4 ausgelegt, wobei ein Kanal mit einem dynamischen Signal arbeitet. Am Ende dieses Systems befinden sich in der Regel zwei sich gegenseitig überwachende Teilkanäle, die mit statischen Signalen arbeiten. (Dies erfüllt die Anforderungen für Kategorie 3.)

Nach EN 50100 werden solche Lichtschranken klassifiziert als Typ 4 berührungslos wirkende Schutzeinrichtungen, obwohl sie aus zwei Teilen bestehen. Leider gibt es keine Einigung darüber, wie Steuersysteme bezeichnet werden sollen, die aus zwei oder mehr Teilen bestehen, wobei jeder Teil einer anderen Kategorie angehört.

Programmierbare elektronische Systeme (PES)

Die Grundsätze zur Erstellung von Tabelle 1 lassen sich natürlich mit gewissen Einschränkungen auch allgemein auf PES übertragen.

Nur-PES-System

Bei der Verwendung von PESs zur Steuerung werden die Informationen über eine große Anzahl von Komponenten vom Sensor zum Aktivator übertragen. Darüber hinaus durchläuft es sogar Software. (Siehe Abbildung 12).

Abbildung 12. Schaltung eines PES-Systems

Obwohl moderne PES sehr zuverlässig sind, ist die Zuverlässigkeit nicht so hoch, wie es für die Verarbeitung von Sicherheitsfunktionen erforderlich sein könnte. Darüber hinaus sind die üblichen PES-Systeme nicht sicher genug, da sie im Fehlerfall die sicherheitsrelevante Funktion nicht erfüllen. Daher ist die Verwendung von PES zur Verarbeitung von Sicherheitsfunktionen ohne zusätzliche Maßnahmen nicht zulässig.

Sehr risikoarme Anwendungen: Systeme mit einem PES und zusätzlichen Maßnahmen

Bei Verwendung eines einzelnen PES zur Steuerung besteht das System aus den folgenden Hauptteilen:

Eingabeteil

Die Zuverlässigkeit eines Sensors und eines Eingangs eines PES kann verbessert werden, indem sie verdoppelt werden. Eine solche Doppelsystem-Eingabekonfiguration kann weiter durch Software überwacht werden, um zu prüfen, ob beide Subsysteme die gleichen Informationen liefern. Somit können die Fehler im Eingangsteil erkannt werden. Dies ist fast die gleiche Philosophie wie für Kategorie 3 erforderlich. Da die Überwachung jedoch durch Software und nur einmal erfolgt, kann dies als 3- (oder nicht so zuverlässig wie 3) bezeichnet werden.

Mittelteil

Obwohl dieser Teil nicht gut verdoppelt werden kann, kann er getestet werden. Beim Einschalten (oder während des Betriebs) kann eine Überprüfung des gesamten Befehlssatzes durchgeführt werden. In gleichen Abständen kann der Speicher auch durch geeignete Bitmuster überprüft werden. Wenn solche Überprüfungen ohne Fehler durchgeführt werden, funktionieren beide Teile, CPU und Speicher, offensichtlich ordnungsgemäß. Der Mittelteil weist einige typische Merkmale der Kategorie 4 (dynamisches Signal) und andere typische Merkmale der Kategorie 2 (regelmäßige Prüfung in angemessenen Abständen) auf. Das Problem ist, dass diese Tests trotz ihres Umfangs nicht wirklich vollständig sein können, da das One-PES-System sie von Natur aus nicht zulässt.

Ausgangsteil

Ähnlich wie ein Input kann auch der Output (inklusive Aktivatoren) verdoppelt werden. Beide Subsysteme können hinsichtlich des gleichen Ergebnisses überwacht werden. Fehler werden erkannt und die Sicherheitsfunktion wird ausgeführt. Allerdings gibt es die gleichen Schwachstellen wie im Eingabeteil. Folglich wird in diesem Fall die Kategorie 3 gewählt.

In Abbildung 13 wird die gleiche Funktion auf Relais übertragen A und B. Die Steuerkontakte a und b, teilt dann zwei Eingabesystemen mit, ob beide Relais die gleiche Arbeit verrichten (es sei denn, es liegt ein Fehler in einem der Kanäle vor). Die Überwachung erfolgt wieder per Software.

Abbildung 13. Eine PES-Schaltung mit einem Fehlererkennungssystem

Das gesamte System kann als Kategorie 3-/4/2/3- bezeichnet werden, wenn es richtig und umfassend durchgeführt wird. Dennoch können die oben beschriebenen Schwachstellen solcher Systeme nicht vollständig beseitigt werden. Tatsächlich werden verbesserte PES nur dort für sicherheitsrelevante Funktionen eingesetzt, wo die Risiken eher gering sind (Hölscher und Rader 1984).

Anwendungen mit geringem und mittlerem Risiko mit einem PES

Heute ist fast jede Maschine mit einer PES-Steuerung ausgestattet. Um das Problem der unzureichenden Zuverlässigkeit und meist unzureichenden Ausfallsicherheit zu lösen, werden üblicherweise die folgenden Entwurfsmethoden verwendet:

• Bei relativ einfachen Maschinen wie Aufzügen werden die Funktionen in zwei Gruppen eingeteilt: (1) die nicht sicherheitsrelevanten Funktionen werden vom PES verarbeitet; (2) die sicherheitsrelevanten Funktionen werden in einer Kette (Sicherheitskreis) zusammengefasst und außerhalb des PES verarbeitet (siehe Abbildung 14).

 

Abbildung 14. Stand der Technik für Stoppkategorie 0

• Das oben angegebene Verfahren ist für komplexere Maschinen nicht geeignet. Ein Grund dafür ist, dass solche Lösungen meist nicht sicher genug sind. Für Anwendungen mit mittlerem Risiko sollten Lösungen die Anforderungen für Kategorie 3 erfüllen. Allgemeine Vorstellungen, wie solche Konstruktionen aussehen können, sind in Abbildung 15 und Abbildung 16 dargestellt.

 

Abbildung 15. Stand der Technik für Stoppkategorie 1

 

Abbildung 16. Stand der Technik für Stoppkategorie 2

Anwendungen mit hohem Risiko: Systeme mit zwei (oder mehr) PES

Abgesehen von Komplexität und Kosten gibt es keine anderen Faktoren, die Designer daran hindern würden, vollständig verdoppelte PES-Systeme wie Siemens Simatic S5-115F, 3B6 Typ CAR-MIL usw. zu verwenden. Diese umfassen typischerweise zwei identische PES mit homogener Software und gehen von der Verwendung von „bewährten“ PES und „bewährten“ Compilern aus (ein bewährter PES oder Compiler kann als einer angesehen werden, der in vielen praktischen Anwendungen über 3 oder mehr Jahre verwendet wurde hat gezeigt, dass systematische Fehler offensichtlich eliminiert wurden). Obwohl diese doppelten PES-Systeme nicht die Schwachpunkte von Einzel-PES-Systemen haben, bedeutet dies nicht, dass doppelte PES-Systeme alle Probleme lösen. (Siehe Abbildung 17).

Abbildung 17. Anspruchsvolles System mit zwei PES

Systematische Fehler

Systematische Fehler können aus Fehlern in Spezifikationen, Design und anderen Ursachen resultieren und sowohl in der Hardware als auch in der Software vorhanden sein. Doppel-PES-Systeme eignen sich für den Einsatz in sicherheitsgerichteten Anwendungen. Solche Konfigurationen ermöglichen die Erkennung zufälliger Hardwarefehler. Durch Hardwarediversität, wie z. B. die Verwendung zweier unterschiedlicher Typen oder Produkte zweier verschiedener Hersteller, könnten systematische Hardwareausfälle aufgedeckt werden (es ist sehr unwahrscheinlich, dass ein identischer Hardwaresystemausfall in beiden PES auftritt).

Software

Software ist ein neues Element in Sicherheitsbetrachtungen. Software ist entweder richtig oder falsch (in Bezug auf Ausfälle). Einmal richtig, kann Software nicht sofort falsch werden (im Vergleich zu Hardware). Ziel ist es, alle Fehler in der Software zu beseitigen oder zumindest zu identifizieren.

Es gibt verschiedene Wege, dieses Ziel zu erreichen. Einer ist der Überprüfung des Programms (eine zweite Person versucht in einem anschließenden Test, die Fehler zu entdecken). Eine andere Möglichkeit ist Vielfalt der Software, bei der zwei unterschiedliche Programme, geschrieben von zwei Programmierern, dasselbe Problem behandeln. Sind die Ergebnisse (innerhalb gewisser Grenzen) identisch, kann davon ausgegangen werden, dass beide Programmteile korrekt sind. Sind die Ergebnisse unterschiedlich, wird vermutet, dass Fehler vorliegen. (NB, Die Architektur der Hardware natürlich auch berücksichtigt werden.)

Zusammenfassung

Beim Einsatz von PES sind generell die gleichen folgenden Grundüberlegungen zu berücksichtigen (wie in den vorangegangenen Abschnitten beschrieben).

• Ein Steuerungssystem ohne Redundanz darf der Kategorie B zugeordnet werden. Ein Steuerungssystem mit zusätzlichen Maßnahmen darf Kategorie 1 oder höher, jedoch nicht höher als 2 sein.
• Ein zweiteiliges Kontrollsystem mit gegenseitigem Ergebnisvergleich kann der Kategorie 3 zugeordnet werden. Ein zweiteiliges Kontrollsystem mit gegenseitigem Ergebnisvergleich und mehr oder weniger Diversität kann der Kategorie 3 zugeordnet werden und ist für Anwendungen mit höherem Risiko geeignet.

Neu ist, dass für das System mit PES auch Software auf Korrektheit hin bewertet werden sollte. Software ist, wenn sie korrekt ist, zu 100 % zuverlässig. In diesem Stadium der technologischen Entwicklung werden wahrscheinlich nicht die bestmöglichen und bekannten technischen Lösungen verwendet, da die limitierenden Faktoren immer noch wirtschaftlicher Natur sind. Darüber hinaus entwickeln verschiedene Expertengruppen die Standards für Sicherheitsanwendungen von PES weiter (z. B. EC, EWICS). Obwohl bereits verschiedene Normen verfügbar sind (VDE0801, IEC65A usw.), ist diese Angelegenheit so umfassend und komplex, dass keine davon als endgültig angesehen werden kann.

 

Zurück

Immer wenn einfache und konventionelle Produktionsmittel wie Werkzeugmaschinen automatisiert werden, entstehen komplexe technische Systeme sowie neue Gefährdungen. Diese Automatisierung wird durch die Verwendung von Computer Numeric Control (CNC)-Systemen auf Werkzeugmaschinen erreicht, die sog CNC-Werkzeugmaschinen (z. B. Fräsmaschinen, Bearbeitungszentren, Bohrer und Schleifmaschinen). Um das Gefährdungspotential automatischer Werkzeuge erkennen zu können, sollten die verschiedenen Betriebsarten der einzelnen Systeme analysiert werden. Bisher durchgeführte Analysen weisen darauf hin, dass zwischen zwei Betriebsarten unterschieden werden sollte: dem Normalbetrieb und dem Sonderbetrieb.

Die Sicherheitsanforderungen an CNC-Werkzeugmaschinen lassen sich oft nicht in konkreten Maßnahmen vorschreiben. Das mag daran liegen, dass es zu wenige gerätespezifische Vorschriften und Normen gibt, die konkrete Lösungen bieten. Sicherheitsanforderungen können nur ermittelt werden, wenn die möglichen Gefährdungen durch eine Gefährdungsanalyse systematisch identifiziert werden, insbesondere wenn diese komplexen technischen Anlagen mit frei programmierbaren Steuerungen ausgestattet sind (wie bei CNC-Werkzeugmaschinen).

Bei neu entwickelten CNC-Werkzeugmaschinen ist der Hersteller verpflichtet, eine Gefährdungsanalyse an der Anlage durchzuführen, um eventuell vorhandene Gefahren zu erkennen und durch konstruktive Lösungen aufzuzeigen, dass alle Gefährdungen für Personen in allen Fällen ausgeschlossen sind unterschiedliche Betriebsarten entfallen. Alle identifizierten Gefährdungen müssen einer Gefährdungsbeurteilung unterzogen werden, wobei jedes Risiko eines Ereignisses vom Schadensumfang und der möglichen Eintrittshäufigkeit abhängt. Die zu bewertende Gefährdung erhält zusätzlich eine Risikokategorie (minimiert, normal, erhöht). Wo das Risiko aufgrund der Gefährdungsbeurteilung nicht akzeptiert werden kann, müssen Lösungen (Sicherheitsmaßnahmen) gefunden werden. Der Zweck dieser Lösungen besteht darin, die Häufigkeit des Auftretens und den Schadensumfang eines ungeplanten und potenziell gefährlichen Zwischenfalls (eines „Ereignisses“) zu verringern.

Die Lösungsansätze für normale und erhöhte Risiken liegen in der indirekten und direkten Sicherheitstechnik; für minimierte risiken sind sie in der sicherheitstechnik zu finden:

• Direkte Sicherheitstechnik. Bei der Konstruktion wird darauf geachtet, jegliche Gefahren zu beseitigen (z. B. Beseitigung von Scher- und Einklemmstellen).
• Indirekte Sicherheitstechnik. Die Gefahr bleibt. Das Hinzufügen technischer Vorkehrungen verhindert jedoch, dass die Gefahr zu einem Ereignis wird (z. B. können solche Vorkehrungen die Verhinderung des Zugangs zu gefährlichen beweglichen Teilen durch physische Schutzhauben, die Bereitstellung von Sicherheitsvorrichtungen, die den Strom abschalten, und die Abschirmung vor Flug umfassen Teile mit Schutzvorrichtungen usw.).
• Überweisungssicherheitstechnologie. Dies gilt nur für Restgefahren und minimierte Risiken, also Gefahren, die durch menschliche Faktoren zu einem Ereignis führen können. Durch entsprechendes Verhalten der betroffenen Person (z. B. Verhaltenshinweise in Betriebs- und Wartungsanleitungen, Personalschulung etc.) kann der Eintritt eines solchen Ereignisses verhindert werden.

 

Internationale Sicherheitsanforderungen

Die EG-Maschinenrichtlinie (89/392/EWG) von 1989 legt die wichtigsten Sicherheits- und Gesundheitsanforderungen für Maschinen fest. (Im Sinne der Maschinenrichtlinie ist eine Maschine die Gesamtheit miteinander verbundener Teile oder Geräte, von denen mindestens eines bewegt werden kann und dementsprechend eine Funktion hat.) Darüber hinaus werden einzelne Normen von internationalen Normungsgremien erstellt, um dies möglichst zu veranschaulichen Lösungen (z. B. durch Beachtung grundlegender Sicherheitsaspekte oder durch Untersuchung elektrischer Ausrüstungen von Industriemaschinen). Ziel dieser Normen ist es, Schutzziele festzulegen. Diese internationalen Sicherheitsanforderungen geben Herstellern die notwendige Rechtsgrundlage, um diese Anforderungen in den oben genannten Gefahrenanalysen und Risikobewertungen zu spezifizieren.

Betriebsarten

Beim Einsatz von Werkzeugmaschinen wird zwischen Normalbetrieb und Sonderbetrieb unterschieden. Statistiken und Untersuchungen zeigen, dass die Mehrzahl der Vorfälle und Unfälle nicht im Normalbetrieb (dh während der automatischen Erfüllung des betreffenden Auftrags) stattfinden. Bei dieser Art von Maschinen und Anlagen liegt der Schwerpunkt auf speziellen Betriebsarten wie Inbetriebnahme, Einrichten, Programmieren, Testläufen, Kontrollen, Störungsbeseitigung oder Wartung. In diesen Betriebsarten befinden sich Personen in der Regel im Gefahrenbereich. Das Sicherheitskonzept muss das Personal in solchen Situationen vor schädlichen Ereignissen schützen.

Normale Operation

Für automatische Maschinen im Normalbetrieb gilt: (1) die Maschine erfüllt die Aufgabe, für die sie konstruiert und gebaut wurde, ohne weiteres Eingreifen des Bedieners, und (2) angewandt auf eine einfache Drehmaschine bedeutet dies, dass a Das Werkstück wird in die richtige Form gedreht und es entstehen Späne. Wenn das Werkstück manuell gewechselt wird, ist das Wechseln des Werkstücks eine besondere Betriebsart.

Spezielle Betriebsarten

Sonderbetriebsarten sind Arbeitsvorgänge, die einen normalen Betrieb ermöglichen. Darunter fallen beispielsweise Werkstück- oder Werkzeugwechsel, Störungsbeseitigung im Produktionsprozess, Behebung einer Maschinenstörung, Einrichten, Programmieren, Testläufe, Reinigen und Warten. Im Normalbetrieb erfüllen automatische Systeme ihre Aufgaben selbstständig. Aus Sicht der Arbeitssicherheit wird der automatische Normalbetrieb jedoch dann kritisch, wenn der Bediener in Arbeitsabläufe eingreifen muss. Die an solchen Prozessen beteiligten Personen dürfen unter keinen Umständen Gefahren ausgesetzt werden.

Personal

Bei der Absicherung von Werkzeugmaschinen ist sowohl auf die in den verschiedenen Betriebsarten tätigen Personen als auch auf Dritte Rücksicht zu nehmen. Als Dritte gelten auch mittelbar an der Maschine Beteiligte wie Vorgesetzte, Inspektoren, Hilfskräfte für Materialtransporte und Demontagearbeiten, Besucher und andere.

Anforderungen und Sicherheitsmaßnahmen für Maschinenzubehör

Eingriffe bei Arbeiten in Sonderbetriebsarten erfordern den Einsatz von speziellem Zubehör, um ein sicheres Arbeiten zu gewährleisten. Das erster Typ Zu den Zubehörteilen gehören Geräte und Gegenstände, mit denen in den automatischen Prozess eingegriffen werden kann, ohne dass der Bediener einen Gefahrenbereich betreten muss. Zu dieser Art von Zubehör gehören (1) Spänehaken und -zangen, die so konstruiert sind, dass Späne im Bearbeitungsbereich durch die in den Schutzeinrichtungen vorgesehenen Öffnungen entfernt oder weggezogen werden können, und (2) Werkstückspannvorrichtungen, mit denen das Produktionsmaterial kann manuell in einen automatischen Zyklus eingefügt oder daraus entfernt werden

Verschiedene Sonderbetriebsarten – beispielsweise Sanierungsarbeiten oder Wartungsarbeiten – machen es erforderlich, dass Personal in eine Anlage eingreift. Auch für diese Fälle gibt es eine ganze Reihe von Maschinenzubehör, das die Arbeitssicherheit erhöhen soll – zum Beispiel Vorrichtungen zur Handhabung schwerer Schleifscheiben beim Schleifmaschinenwechsel sowie spezielle Krangehänge für die Demontage oder Montage schwerer Komponenten im Einsatz Maschinen werden überholt. Diese Geräte sind die zweiter Typ von Maschinenzubehör zur Erhöhung der Sicherheit bei Arbeiten in Sonderbetrieben. Als zweite Art von Maschinenzubehör können auch spezielle Betriebsleitsysteme angesehen werden. Mit solchem ​​Zubehör können bestimmte Tätigkeiten sicher ausgeführt werden – zum Beispiel kann eine Vorrichtung in den Maschinenachsen aufgebaut werden, wenn Vorschubbewegungen bei geöffneten Schutzeinrichtungen erforderlich sind.

Diese speziellen Betriebsleitsysteme müssen besonderen Sicherheitsanforderungen genügen. Beispielsweise müssen sie sicherstellen, dass nur die angeforderte Beförderung in der angeforderten Weise und nur so lange wie angefordert durchgeführt wird. Die Sonderbetriebsführung muss daher so gestaltet sein, dass Fehlhandlungen nicht in gefährliche Bewegungen oder Zustände übergehen.

Als Ausrüstung, die den Automatisierungsgrad einer Anlage erhöht, kann gelten a dritter Typ von Maschinenzubehör zur Erhöhung der Arbeitssicherheit. Tätigkeiten, die bisher manuell ausgeführt wurden, erledigt die Maschine im Normalbetrieb automatisch, wie z. B. Anlagen wie Portallader, die die Werkstücke an Werkzeugmaschinen automatisch wechseln. Die Absicherung des automatischen Normalbetriebs bereitet wenig Probleme, da der Eingriff einer Bedienperson in den Ablauf unnötig ist und mögliche Eingriffe durch Sicherheitseinrichtungen verhindert werden können.

Anforderungen und Sicherheitsmaßnahmen für die Automatisierung von Werkzeugmaschinen

Leider hat die Automatisierung nicht zur Beseitigung von Unfällen in Produktionsanlagen geführt. Untersuchungen zeigen lediglich eine Verschiebung des Unfallgeschehens vom Normal- zum Sonderbetrieb, vor allem durch die Automatisierung des Normalbetriebs, so dass Eingriffe in den Produktionsablauf nicht mehr erforderlich sind und das Personal somit keiner Gefährdung mehr ausgesetzt ist. Andererseits sind hochautomatisierte Maschinen komplexe Systeme, die im Fehlerfall schwer einzuschätzen sind. Auch die zur Störungsbeseitigung eingesetzten Fachkräfte können dies nicht immer unfallfrei erledigen. Die Menge an Software, die für den Betrieb immer komplexerer Maschinen benötigt wird, nimmt an Umfang und Komplexität zu, was dazu führt, dass immer mehr Elektro- und Inbetriebsetzungsingenieure Unfälle erleiden. Eine fehlerfreie Software gibt es nicht, und Änderungen in der Software führen oft zu Änderungen an anderer Stelle, die weder erwartet noch gewollt waren. Um die Sicherheit nicht zu beeinträchtigen, dürfen gefährliche Fehlverhalten durch Fremdeinwirkung und Bauteilausfälle nicht möglich sein. Diese Bedingung kann nur erfüllt werden, wenn der Sicherheitskreis möglichst einfach aufgebaut und von der übrigen Steuerung getrennt ist. Auch die im Sicherheitskreis verwendeten Elemente oder Baugruppen müssen ausfallsicher sein.

Es ist die Aufgabe des Konstrukteurs, Designs zu entwickeln, die den Sicherheitsanforderungen genügen. Der Konstrukteur kommt nicht umhin, die notwendigen Arbeitsabläufe, einschließlich der speziellen Betriebsweisen, sorgfältig zu berücksichtigen. Welche sicheren Arbeitsverfahren erforderlich sind, muss analysiert und dem Bedienpersonal bekannt gemacht werden. In den meisten Fällen wird eine Steuerung für den Sonderbetrieb erforderlich sein. Die Steuerung beobachtet oder regelt in der Regel eine Bewegung, während gleichzeitig keine andere Bewegung ausgelöst werden muss (da für diese Arbeit keine andere Bewegung benötigt wird und somit auch keine vom Bediener erwartet wird). Die Steuerung muss in den verschiedenen Sonderbetriebsarten nicht notwendigerweise die gleichen Aufgaben übernehmen.

Anforderungen und Sicherheitsmaßnahmen im Normal- und Sonderbetrieb

Normale Operation

Die Festlegung von Sicherheitszielen sollte den technischen Fortschritt nicht behindern, da angepasste Lösungen gewählt werden können. Der Einsatz von CNC-Werkzeugmaschinen stellt höchste Anforderungen an Gefahrenanalyse, Risikobeurteilung und Sicherheitskonzepte. Im Folgenden werden einige Sicherheitsziele und mögliche Lösungen näher beschrieben.

Sicherheitsziel

• Der manuelle oder physische Zugang zu Gefahrenbereichen während automatischer Bewegungen muss verhindert werden.

 

Mögliche Lösungen

• Verhindern Sie den manuellen oder physischen Zugang zu Gefahrenbereichen durch mechanische Barrieren.
• Sehen Sie Sicherheitseinrichtungen vor, die bei Annäherung ansprechen (Lichtschranken, Schaltmatten) und schalten Sie Maschinen bei Eingriffen oder Betreten sicher ab.
• Erlauben Sie manuellen oder physischen Zugang zu Maschinen (oder deren Umgebung) nur, wenn sich das gesamte System in einem sicheren Zustand befindet (z. B. durch Verwendung von Verriegelungsvorrichtungen mit Schließmechanismen an den Zugangstüren).

 

Sicherheitsziel

• Personenschäden durch freigesetzte Energie (umherfliegende Teile oder Energiestrahlen) sind auszuschließen.

 

Mögliche Lösung

• Verhindern Sie das Freisetzen von Energie aus dem Gefahrenbereich – zum Beispiel durch eine entsprechend dimensionierte Schutzhaube.

 

Sonderbetrieb

Die Schnittstellen zwischen Normalbetrieb und Sonderbetrieb (z. B. Türverriegelungen, Lichtschranken, Schaltmatten) sind notwendig, damit die Sicherheitssteuerung automatisch die Anwesenheit von Personen erkennen kann. Im Folgenden werden bestimmte Sonderbetriebsarten (z. B. Einrichten, Programmieren) an CNC-Werkzeugmaschinen beschrieben, die Bewegungen erfordern, die direkt am Einsatzort beurteilt werden müssen.

Sicherheitsziele

• Bewegungen dürfen nur so erfolgen, dass sie keine Gefahr für die betroffenen Personen darstellen können. Solche Bewegungen dürfen nur im vorgesehenen Stil und Tempo ausgeführt und nur so lange wie angewiesen fortgesetzt werden.
• Sie sind nur dann zu versuchen, wenn sichergestellt ist, dass sich keine Körperteile im Gefahrenbereich befinden.

 

Mögliche Lösung

• Installieren Sie spezielle Bediensysteme, die nur kontrollierbare und handhabbare Bewegungen per Fingertipp über „quittierende“ Drucktaster zulassen. Die Bewegungsgeschwindigkeit wird somit sicher reduziert (sofern die Energie durch einen Trenntransformator oder ähnliche Überwachungseinrichtungen reduziert wurde).

 

Anforderungen an Sicherheitssteuerungen

Zu den Merkmalen einer Sicherheitssteuerung muss gehören, dass die Sicherheitsfunktion im Fehlerfall gewährleistet ist, um Prozesse aus einem gefährlichen Zustand in einen sicheren Zustand zu lenken.

Sicherheitsziele

• Ein Fehler in der Sicherheitssteuerung darf keinen gefährlichen Zustand auslösen.
• Ein Fehler in der Sicherheitssteuerung muss erkannt werden (sofort oder in Intervallen).

 

Mögliche Lösungen

• Richten Sie ein redundantes und vielfältiges Layout elektromechanischer Steuerungssysteme ein, einschließlich Testschaltungen.
• Richten Sie eine redundante und vielfältige Einrichtung von Mikroprozessor-Steuerungssystemen ein, die von verschiedenen Teams entwickelt wurden. Dieser Ansatz gilt beispielsweise bei Sicherheitslichtschranken als Stand der Technik.

 

Fazit

Es zeigt sich, dass die zunehmende Unfallhäufigkeit im Normal- und Sonderbetrieb ohne ein klares und unverwechselbares Sicherheitskonzept nicht aufzuhalten ist. Diese Tatsache muss bei der Erstellung von Sicherheitsvorschriften und Richtlinien berücksichtigt werden. Neue Richtlinien in Form von Sicherheitszielen sind notwendig, um fortschrittliche Lösungen zu ermöglichen. Dieses Ziel ermöglicht es Konstrukteuren, die optimale Lösung für einen bestimmten Fall auszuwählen und gleichzeitig die Sicherheitsmerkmale ihrer Maschinen auf relativ einfache Weise zu demonstrieren, indem sie eine Lösung für jedes Sicherheitsziel beschreiben. Diese Lösung kann dann mit anderen bestehenden und akzeptierten Lösungen verglichen werden, und wenn sie besser oder zumindest gleichwertig ist, kann dann eine neue Lösung gewählt werden. So wird der Fortschritt nicht durch eng formulierte Vorschriften behindert.

---

Hauptmerkmale der EWG-Maschinenrichtlinie

Für jeden einzelnen Staat gilt die Richtlinie des Rates vom 14. Juni 1989 zur Angleichung der Rechtsvorschriften der Mitgliedstaaten über Maschinen (89/392/EWG).

• Jeder einzelne Staat muss die Richtlinie in seine Gesetzgebung integrieren.

• Gültig ab 1. Januar 1993.

• Fordert, dass sich alle Hersteller an den Stand der Technik halten.

• Der Hersteller muss eine technische Konstruktionsakte erstellen, die vollständige Informationen zu allen grundlegenden Aspekten der Sicherheit und des Gesundheitsschutzes enthält.

• Der Hersteller muss die Konformitätserklärung und die CE-Kennzeichnung der Maschinen ausstellen.

• Das Versäumnis, einer staatlichen Überwachungsstelle eine vollständige technische Dokumentation zur Verfügung zu stellen, gilt als Nichterfüllung der Maschinenrichtlinie. Ein EWG-weites Verkaufsverbot kann die Folge sein.

 

Sicherheitsziele für den Bau und Einsatz von CNC-Werkzeugmaschinen

1. Drehmaschinen

1.1 Normaler Betriebsmodus

1.1.1 Der Arbeitsbereich ist so abzusichern, dass der Gefahrenbereich automatischer Bewegungen weder absichtlich noch unbeabsichtigt erreicht oder betreten werden kann.

1.1.2 Das Werkzeugmagazin ist so abzusichern, dass es unmöglich ist, die Gefahrenbereiche automatischer Bewegungen zu erreichen oder zu betreten, weder beabsichtigt noch unbeabsichtigt.

1.1.3 Das Werkstückmagazin ist so abzusichern, dass es unmöglich ist, die Gefahrenbereiche automatischer Bewegungen zu erreichen oder zu betreten, weder beabsichtigt noch unbeabsichtigt.

1.1.4 Die Späneabfuhr darf nicht zu Personenschäden durch Späne oder bewegliche Teile der Maschine führen.

1.1.5 Personenschäden durch Eingreifen in Antriebssysteme sind zu vermeiden.

1.1.6 Das Hineingreifen in die Gefahrenbereiche sich bewegender Späneförderer muss verhindert werden.

1.1.7 Durch umherfliegende Werkstücke oder Teile davon dürfen weder Bediener noch Dritte verletzt werden.

Dies kann beispielsweise vorkommen

• wegen unzureichender Klemmung

• durch unzulässige Schnittkraft

• durch unzulässige Drehzahl

• durch Kollision mit Werkzeug- oder Maschinenteilen

• durch Werkstückbruch

• aufgrund defekter Spannvorrichtungen

• wegen Stromausfall

 

1.1.8 Durch umherfliegende Werkstückspannvorrichtungen darf kein Personenschaden entstehen.

1.1.9 Durch umherfliegende Späne darf kein Personenschaden entstehen.

1.1.10 Durch umherfliegende Werkzeuge oder Teile davon darf kein Personenschaden entstehen.

Dies kann beispielsweise vorkommen

• aufgrund von Materialfehlern

• durch unzulässige Schnittkraft

• B. durch Kollision mit dem Werkstück oder einem Maschinenteil

• durch unzureichendes Klemmen oder Anziehen

 

1.2 Besondere Betriebsarten

1.2.1 Werkstückwechsel.

1.2.1.1 Die Werkstückspannung muss so erfolgen, dass keine Körperteile zwischen schließenden Spannvorrichtungen und Werkstück oder zwischen vorlaufender Hülsenspitze und Werkstück eingeklemmt werden können.

1.2.1.2 Das Anlaufen eines Antriebs (Spindeln, Achsen, Pinolen, Revolverköpfe oder Späneförderer) infolge eines fehlerhaften oder ungültigen Befehls muss verhindert werden.

1.2.1.3 Das Werkstück muss von Hand oder mit Werkzeugen gefahrlos manipuliert werden können.

1.2.2 Werkzeugwechsel im Werkzeughalter oder Werkzeugrevolverkopf.

1.2.2.1 Gefährdungen durch fehlerhaftes Verhalten des Systems oder durch Eingabe eines ungültigen Befehls müssen verhindert werden.

1.2.3 Werkzeugwechsel im Werkzeugmagazin.

1.2.3.1 Bewegungen im Werkzeugmagazin infolge eines fehlerhaften oder ungültigen Befehls müssen beim Werkzeugwechsel verhindert werden.

1.2.3.2 Von der Werkzeugbeladestation darf nicht in andere bewegliche Maschinenteile gegriffen werden können.

1.2.3.3 Beim Weiterfahren des Werkzeugmagazins oder beim Suchen darf nicht in Gefahrenbereiche gegriffen werden können. Bei abgenommenen Schutzeinrichtungen für den Normalbetrieb dürfen diese Bewegungen nur der vorgesehenen Art und nur während der angeordneten Zeit und nur dann durchgeführt werden, wenn sichergestellt ist, dass sich keine Körperteile in diesen Gefahrenbereichen befinden .

1.2.4 Messkontrolle.

1.2.4.1 Das Hineingreifen in den Arbeitsbereich darf erst möglich sein, nachdem alle Bewegungen zum Stillstand gebracht wurden.

1.2.4.2 Das Starten eines Antriebs aufgrund eines fehlerhaften Befehls oder einer ungültigen Befehlseingabe muss verhindert werden.

1.2.5 Einrichtung.

1.2.5.1 Werden Bewegungen während des Rüstens bei entfernten Schutzeinrichtungen für den Normalbetrieb ausgeführt, muss der Bediener auf andere Weise abgesichert werden.

1.2.5.2 Aufgrund eines fehlerhaften Befehls oder einer ungültigen Befehlseingabe dürfen keine gefährlichen Bewegungen oder Bewegungsänderungen eingeleitet werden.

1.2.6 Programmierung.

1.2.6.1 Während der Programmierung dürfen keine Bewegungen eingeleitet werden, die eine Person im Arbeitsbereich gefährden.

1.2.7 Produktionsfehler.

1.2.7.1 Das Anlaufen eines Antriebs aufgrund eines fehlerhaften Befehls bei ungültigem Befehlsvorgabesollwert muss verhindert werden.

1.2.7.2 Durch das Bewegen oder Entfernen des Werkstücks oder Abfalls dürfen keine gefährlichen Bewegungen oder Situationen ausgelöst werden.

1.2.7.3 Müssen Bewegungen bei abgenommenen Schutzeinrichtungen für den Normalbetrieb erfolgen, dürfen diese Bewegungen nur in der dafür vorgesehenen Art und nur für die angeordnete Zeit und nur dann durchgeführt werden, wenn sichergestellt ist, dass keine Teile der Körper befinden sich in diesen Gefahrenbereichen.

1.2.8 Fehlerbehebung.

1.2.8.1 Das Hineingreifen in die Gefahrenbereiche automatischer Bewegungen muss verhindert werden.

1.2.8.2 Das Anlaufen eines Antriebs aufgrund eines fehlerhaften Befehls oder einer ungültigen Befehlseingabe muss verhindert werden.

1.2.8.3 Eine Bewegung der Maschine bei Manipulation des defekten Teils muss verhindert werden.

1.2.8.4 Personenschäden durch Absplittern oder Herunterfallen eines Maschinenteils müssen verhindert werden.

1.2.8.5 Müssen bei der Fehlersuche Bewegungen bei entfernten Schutzeinrichtungen für den Normalbetrieb erfolgen, dürfen diese Bewegungen nur in der vorgesehenen Art und nur für die angeordnete Zeit und nur dann durchgeführt werden, wenn dies sichergestellt werden kann keine Körperteile befinden sich in diesen Gefahrenzonen.

1.2.9 Maschinenstörung und Reparatur.

1.2.9.1 Die Maschine ist gegen Anlaufen zu sichern.

1.2.9.2 Die Manipulation der verschiedenen Teile der Maschine muss manuell oder mit Werkzeugen gefahrlos möglich sein.

1.2.9.3 Es darf nicht möglich sein, spannungsführende Teile der Maschine zu berühren.

1.2.9.4 Durch das Austreten von flüssigen oder gasförmigen Medien dürfen keine Personenschäden entstehen.

 

2. Fräsmaschinen

2.1 Normaler Betriebsmodus

2.1.1 Der Arbeitsbereich ist so abzusichern, dass der Gefahrenbereich automatischer Bewegungen weder absichtlich noch unbeabsichtigt erreicht oder betreten werden kann.

2.1.2 Die Späneabfuhr darf nicht zu Personenschäden durch Späne oder bewegliche Teile der Maschine führen.

2.1.3 Personenschäden durch Eingreifen in Antriebssysteme sind zu vermeiden.

Durch umherfliegende Werkstücke oder Teile davon dürfen keine Personenschäden des Bedienpersonals oder Dritter entstehen.

Dies kann beispielsweise vorkommen

• wegen unzureichender Klemmung

• durch unzulässige Schnittkraft

• durch Kollision mit Werkzeug- oder Maschinenteilen

• durch Werkstückbruch

• aufgrund defekter Spannvorrichtungen

• wegen Stromausfall

 

2.1.4 Durch umherfliegende Werkstückspannvorrichtungen darf kein Personenschaden entstehen.

2.1.5 Durch umherfliegende Späne darf kein Personenschaden entstehen.

2.1.6 Durch umherfliegende Werkzeuge oder Teile davon darf kein Personenschaden entstehen.

Dies kann beispielsweise vorkommen

• aufgrund von Materialfehlern

• wegen unzulässiger Drehzahl

• durch unzulässige Schnittkraft

• durch Kollision mit Werkstück oder Maschinenteil

• durch unzureichendes Klemmen oder Anziehen

• wegen Stromausfall

 

Spezielle Betriebsarten

2.2.1 Werkstückwechsel.

2.2.1.1 Bei kraftbetätigten Spannzeugen dürfen keine Körperteile zwischen den Schließteilen der Spannvorrichtung und dem Werkstück eingeklemmt werden können.

2.2.1.2 Das Anlaufen eines Antriebs (Spindel, Achse) aufgrund eines fehlerhaften Befehls oder einer ungültigen Befehlseingabe muss verhindert werden.

2.2.1.3 Die Manipulation des Werkstücks muss manuell oder mit Werkzeugen gefahrlos möglich sein.

2.2.2 Werkzeugwechsel.

2.2.2.1 Das Starten eines Antriebs aufgrund eines fehlerhaften Befehls oder einer ungültigen Befehlseingabe muss verhindert werden.

2.2.2.2 Beim Einsetzen von Werkzeugen dürfen die Finger nicht eingeklemmt werden.

2.2.3 Messkontrolle.

2.2.3.1 Das Hineingreifen in den Arbeitsbereich darf erst möglich sein, nachdem alle Bewegungen zum Stillstand gebracht wurden.

2.2.3.2 Das Starten eines Antriebs aufgrund eines fehlerhaften Befehls oder einer ungültigen Befehlseingabe muss verhindert werden.

2.2.4 Einrichtung.

2.2.4.1 Werden Bewegungen während des Rüstens bei entfernten Schutzeinrichtungen für den Normalbetrieb ausgeführt, muss der Bediener auf andere Weise abgesichert werden.

2.2.4.2 Aufgrund eines fehlerhaften Befehls oder einer ungültigen Befehlseingabe dürfen keine gefährlichen Bewegungen oder Bewegungsänderungen eingeleitet werden.

2.2.5 Programmierung.

2.2.5.1 Während der Programmierung dürfen keine Bewegungen eingeleitet werden, die eine Person im Arbeitsbereich gefährden.

2.2.6 Produktionsfehler.

2.2.6.1 Das Starten des Antriebs aufgrund eines fehlerhaften Befehls oder einer ungültigen Befehlseingabe muss verhindert werden.

2.2.6.2 Durch das Bewegen oder Entfernen des Werkstücks oder Abfalls dürfen keine gefährlichen Bewegungen oder Situationen ausgelöst werden.

2.2.6.3 Müssen Bewegungen bei abgenommenen Schutzeinrichtungen für den Normalbetrieb erfolgen, dürfen diese Bewegungen nur in der dafür vorgesehenen Art und nur für die angeordnete Zeit und nur dann durchgeführt werden, wenn sichergestellt ist, dass keine Teile der Körper befinden sich in diesen Gefahrenbereichen.

2.2.7 Fehlerbehebung.

2.2.7.1 Das Hineingreifen in die Gefahrenbereiche automatischer Bewegungen muss verhindert werden.

2.2.7.2 Das Anlaufen eines Antriebs aufgrund eines fehlerhaften Befehls oder einer ungültigen Befehlseingabe muss verhindert werden.

2.2.7.3 Jede Bewegung der Maschine bei Manipulation des defekten Teils muss verhindert werden.

2.2.7.4 Personenschäden durch Absplittern oder Herunterfallen eines Maschinenteils müssen verhindert werden.

2.2.7.5 Müssen bei der Fehlersuche Bewegungen bei entfernten Schutzeinrichtungen für den Normalbetrieb erfolgen, dürfen diese Bewegungen nur in der vorgesehenen Art und nur für die angeordnete Zeit und nur dann durchgeführt werden, wenn dies sichergestellt werden kann keine Körperteile befinden sich in diesen Gefahrenzonen.

2.2.8 Maschinenstörung und Reparatur.

2.2.8.1 Das Anlaufen der Maschine muss verhindert werden.

2.2.8.2 Die Manipulation der verschiedenen Teile der Maschine muss manuell oder mit Werkzeugen gefahrlos möglich sein.

2.2.8.3 Es darf nicht möglich sein, spannungsführende Teile der Maschine zu berühren.

2.2.8.4 Durch das Austreten von flüssigen oder gasförmigen Medien dürfen keine Personenschäden entstehen.

 

3. Bearbeitungszentren

3.1 Normaler Betriebsmodus

3.1.1 Der Arbeitsbereich muss so abgesichert sein, dass der Gefahrenbereich automatischer Bewegungen weder absichtlich noch unbeabsichtigt erreicht oder betreten werden kann.

3.1.2 Das Werkzeugmagazin muss so gesichert sein, dass es unmöglich ist, in die Gefahrenbereiche automatischer Bewegungen zu gelangen oder hineinzusteigen.

3.1.3 Das Werkstückmagazin muss so abgesichert sein, dass ein Hineingreifen oder Betreten der Gefahrenbereiche automatischer Bewegungen ausgeschlossen ist.

3.1.4 Die Späneabfuhr darf nicht zu Personenschäden durch Späne oder bewegliche Teile der Maschine führen.

3.1.5 Personenschäden durch Eingreifen in Antriebssysteme sind zu vermeiden.

3.1.6 Das Hineingreifen in Gefahrenbereiche von sich bewegenden Späneförderern (Förderschnecken etc.) muss verhindert werden.

3.1.7 Durch umherfliegende Werkstücke oder Teile davon dürfen weder Bediener noch Dritte verletzt werden.

Dies kann beispielsweise vorkommen

• wegen unzureichender Klemmung

• durch unzulässige Schnittkraft

• durch Kollision mit Werkzeug- oder Maschinenteilen

• durch Werkstückbruch

• aufgrund defekter Spannvorrichtungen

• durch Wechsel auf das falsche Werkstück

• wegen Stromausfall

 

3.1.8 Durch umherfliegende Werkstückspannvorrichtungen darf kein Personenschaden entstehen.

3.1.9 Durch umherfliegende Späne darf kein Personenschaden entstehen.

3.1.10 Durch umherfliegende Werkzeuge oder Teile davon darf kein Personenschaden entstehen.

Dies kann beispielsweise vorkommen

• aufgrund von Materialfehlern

• wegen unzulässiger Drehzahl

• durch unzulässige Schnittkraft

• durch Kollision mit Werkstück oder Maschinenteil

• durch unzureichendes Klemmen oder Anziehen

• durch herausfliegendes Werkzeug aus dem Werkzeugwechsler

• aufgrund der Auswahl des falschen Werkzeugs

• wegen Stromausfall

 

3.2 Besondere Betriebsarten

3.2.1 Werkstückwechsel.

3.2.1.1 Bei kraftbetätigten Spannzeugen dürfen keine Körperteile zwischen den Schließteilen der Spannvorrichtung und dem Werkstück eingeklemmt werden können.

3.2.1.2 Das Starten eines Antriebs aufgrund eines fehlerhaften Befehls oder einer ungültigen Befehlseingabe muss verhindert werden.

3.2.1.3 Das Werkstück muss von Hand oder mit Werkzeugen gefahrlos manipuliert werden können.

3.2.1.4 Beim Werkstückwechsel in einer Spannstation dürfen automatische Bewegungsabläufe der Maschine oder des Werkstückmagazins von dieser Stelle aus nicht erreicht oder betreten werden können. Während sich eine Person im Spannbereich aufhält, dürfen keine Bewegungen von der Steuerung eingeleitet werden. Das automatische Einlegen des gespannten Werkstücks in die Maschine oder das Werkstückmagazin darf nur dann erfolgen, wenn auch die Spannstation mit einem dem Normalbetrieb entsprechenden Schutzsystem abgesichert ist.

3.2.2 Werkzeugwechsel in der Spindel.

3.2.2.1 Das Starten eines Antriebs aufgrund eines fehlerhaften Befehls oder einer ungültigen Befehlseingabe muss verhindert werden.

3.2.2.2 Beim Einsetzen von Werkzeugen dürfen die Finger nicht eingeklemmt werden.

3.2.3 Werkzeugwechsel im Werkzeugmagazin.

3.2.3.1 Bewegungen im Werkzeugmagazin durch fehlerhafte Befehle oder ungültige Befehlseingaben müssen beim Werkzeugwechsel verhindert werden.

3.2.3.2 Von der Werkzeugbeladestation darf nicht in andere bewegliche Maschinenteile gegriffen werden können.

3.2.3.3 Bei der Weiterbewegung des Werkzeugmagazins oder während der Suche darf nicht in Gefahrenbereiche gegriffen werden können. Bei abgenommenen Schutzeinrichtungen für den normalen Betrieb dürfen diese Bewegungen nur in der vorgesehenen Art und nur für die angeordnete Zeit und nur dann durchgeführt werden, wenn sichergestellt ist, dass sich keine Körperteile in diesen Gefahrenbereichen befinden .

3.2.4 Messkontrolle.

3.2.4.1 Das Hineingreifen in den Arbeitsbereich darf erst möglich sein, nachdem alle Bewegungen zum Stillstand gebracht wurden.

3.2.4.2 Das Starten eines Antriebs aufgrund eines fehlerhaften Befehls oder einer ungültigen Befehlseingabe muss verhindert werden.

3.2.5 Einrichtung.

3.2.5.1 Werden Bewegungen während des Rüstens bei entfernten Schutzeinrichtungen für den Normalbetrieb ausgeführt, muss der Bediener auf andere Weise abgesichert werden.

3.2.5.2 Aufgrund eines fehlerhaften Befehls oder einer ungültigen Befehlseingabe dürfen keine gefährlichen Bewegungen oder Bewegungsänderungen eingeleitet werden.

3.2.6 Programmierung.

3.2.6.1 Während der Programmierung dürfen keine Bewegungen eingeleitet werden, die eine Person im Arbeitsbereich gefährden.

3.2.7 Produktionsfehler.

3.2.7.1 Das Starten eines Antriebs aufgrund eines fehlerhaften Befehls oder einer ungültigen Befehlseingabe muss verhindert werden.

3.2.7.2 Durch das Bewegen oder Entfernen des Werkstücks oder Abfalls dürfen keine gefährlichen Bewegungen oder Situationen ausgelöst werden.

3.2.7.3 Müssen Bewegungen bei abgenommenen Schutzeinrichtungen für den Normalbetrieb erfolgen, dürfen diese Bewegungen nur in der dafür vorgesehenen Art und nur für die angeordnete Zeit und nur dann durchgeführt werden, wenn sichergestellt ist, dass keine Teile der Körper befinden sich in diesen Gefahrenbereichen.

3.2.8 Fehlerbehebung.

3.2.8.1 Das Hineingreifen in die Gefahrenbereiche automatischer Bewegungen muss verhindert werden.

3.2.8.2 Das Anlaufen eines Antriebs aufgrund eines fehlerhaften Befehls oder einer ungültigen Befehlseingabe muss verhindert werden.

3.2.8.3 Jede Bewegung der Maschine bei Manipulation des defekten Teils muss verhindert werden.

3.2.8.4 Personenschäden durch Absplittern oder Herunterfallen eines Maschinenteils müssen verhindert werden.

3.2.8.5 Müssen bei der Fehlersuche Bewegungen bei entfernten Schutzeinrichtungen für den Normalbetrieb erfolgen, dürfen diese Bewegungen nur in der vorgesehenen Art und nur für die angeordnete Zeit und nur dann durchgeführt werden, wenn dies sichergestellt werden kann keine Körperteile befinden sich in diesen Gefahrenzonen.

3.2.9 Maschinenstörung und Reparatur.

3.2.9.1 Das Anlaufen der Maschine muss verhindert werden.

3.2.9.2 Die Manipulation der verschiedenen Teile der Maschine muss manuell oder mit Werkzeugen gefahrlos möglich sein.

3.2.9.3 Es darf nicht möglich sein, spannungsführende Teile der Maschine zu berühren.

3.2.9.4 Durch das Austreten von flüssigen oder gasförmigen Medien dürfen keine Personenschäden entstehen.

 

4. Schleifmaschinen

4.1 Normaler Betriebsmodus

4.1.1 Der Arbeitsbereich ist so abzusichern, dass der Gefahrenbereich automatischer Bewegungen weder absichtlich noch unbeabsichtigt erreicht oder betreten werden kann.

4.1.2 Personenschäden durch Eingreifen in Antriebssysteme sind zu vermeiden.

4.1.3 Durch umherfliegende Werkstücke oder Teile davon dürfen weder Bediener noch Dritte verletzt werden.

Dies kann beispielsweise vorkommen

• wegen unzureichender Klemmung

• durch unzulässige Schnittkraft

• durch unzulässige Drehzahl

• durch Kollision mit Werkzeug- oder Maschinenteilen

• durch Werkstückbruch

• aufgrund defekter Spannvorrichtungen

• wegen Stromausfall

 

4.1.4 Durch umherfliegende Werkstückspannvorrichtungen darf kein Personenschaden entstehen.

4.1.5 Durch Funkenbildung dürfen keine Personenschäden oder Brände entstehen.

4.1.6 Durch umherfliegende Schleifscheibenteile darf kein Personenschaden entstehen.

Dies kann beispielsweise vorkommen

• durch unzulässige Drehzahl

• durch unzulässige Schnittkraft

• aufgrund von Materialfehlern

• durch Kollision mit Werkstück oder Maschinenteil

• durch unzureichende Klemmung (Flansche)

• durch Verwendung einer falschen Schleifscheibe

 

Spezielle Betriebsarten

4.2.1 Werkstückwechsel.

4.2.1.1 Bei kraftbetätigten Spannzeugen dürfen keine Körperteile zwischen den Schließteilen der Spannvorrichtung und dem Werkstück eingeklemmt werden können.

4.2.1.2 Das Starten eines Vorschubantriebs aufgrund eines fehlerhaften Befehls oder einer ungültigen Befehlseingabe muss verhindert werden.

4.2.1.3 Personenschäden durch die rotierende Schleifscheibe müssen beim Hantieren mit dem Werkstück verhindert werden.

4.2.1.4 Personenschäden durch berstende Schleifscheibe dürfen nicht möglich sein.

4.2.1.5 Die Manipulation des Werkstücks muss manuell oder mit Werkzeugen gefahrlos möglich sein.

4.2.2 Werkzeugwechsel (Schleifscheibenwechsel)

4.2.2.1 Das Anlaufen eines Vorschubantriebs infolge eines fehlerhaften Befehls oder einer ungültigen Befehlseingabe muss verhindert werden.

4.2.2.2 Personenschäden durch die rotierende Schleifscheibe dürfen während des Messvorgangs nicht möglich sein.

4.2.2.3 Personenschäden durch berstende Schleifscheibe dürfen nicht möglich sein.

4.2.3 Messkontrolle.

4.2.3.1 Das Starten eines Vorschubantriebs aufgrund eines fehlerhaften Befehls oder einer ungültigen Befehlseingabe muss verhindert werden.

4.2.3.2 Personenschäden durch die rotierende Schleifscheibe dürfen während des Messvorgangs nicht möglich sein.

4.2.3.3 Personenschäden durch berstende Schleifscheibe dürfen nicht möglich sein.

4.2.4. Installieren.

4.2.4.1 Werden Bewegungen während des Rüstens bei entfernten Schutzeinrichtungen für den Normalbetrieb ausgeführt, muss der Bediener auf andere Weise abgesichert werden.

4.2.4.2 Aufgrund eines fehlerhaften Befehls oder einer ungültigen Befehlseingabe dürfen keine gefährlichen Bewegungen oder Bewegungsänderungen eingeleitet werden.

4.2.5 Programmierung.

4.2.5.1 Während der Programmierung dürfen keine Bewegungen eingeleitet werden, die eine Person im Arbeitsbereich gefährden.

4.2.6 Produktionsfehler.

4.2.6.1 Das Starten eines Vorschubantriebs aufgrund eines fehlerhaften Befehls oder einer ungültigen Befehlseingabe muss verhindert werden.

4.2.6.2 Durch das Bewegen oder Entfernen des Werkstücks oder Abfalls dürfen keine gefährlichen Bewegungen oder Situationen ausgelöst werden.

4.2.6.3 Müssen Bewegungen bei abgenommenen Schutzeinrichtungen für den Normalbetrieb erfolgen, dürfen diese Bewegungen nur in der dafür vorgesehenen Art und nur für die angeordnete Zeit und nur dann durchgeführt werden, wenn sichergestellt ist, dass keine Teile der Körper befinden sich in diesen Gefahrenbereichen.

4.2.6.4 Personenschäden durch die rotierende Schleifscheibe müssen verhindert werden.

4.2.6.5 Personenschäden durch berstende Schleifscheibe dürfen nicht möglich sein.

4.2.7 Fehlerbehebung.

4.2.7.1 Das Hineingreifen in die Gefahrenbereiche automatischer Bewegungen muss verhindert werden.

4.2.7.2 Das Anlaufen eines Antriebs aufgrund eines fehlerhaften Befehls oder einer ungültigen Befehlseingabe muss verhindert werden.

4.2.7.3 Jede Bewegung der Maschine bei Manipulation des defekten Teils muss verhindert werden.

4.2.7.4 Personenschäden durch Absplittern oder Herunterfallen eines Maschinenteils müssen verhindert werden.

4.2.7.5 Personenschäden durch Berühren des Bedieners oder durch Bersten der rotierenden Schleifscheibe müssen verhindert werden.

4.2.7.6 Müssen bei der Fehlersuche Bewegungen bei entfernten Schutzeinrichtungen für den Normalbetrieb erfolgen, dürfen diese Bewegungen nur in der vorgesehenen Art und nur für die angeordnete Zeit und nur dann durchgeführt werden, wenn dies sichergestellt werden kann keine Körperteile befinden sich in diesen Gefahrenzonen.

4.2.8 Maschinenstörung und Reparatur.

4.2.8.1 Das Anlaufen der Maschine muss verhindert werden.

4.2.8.2 Die Manipulation der verschiedenen Teile der Maschine muss manuell oder mit Werkzeugen gefahrlos möglich sein.

4.2.8.3 Es darf nicht möglich sein, spannungsführende Teile der Maschine zu berühren.

4.2.8.4 Durch das Austreten von flüssigen oder gasförmigen Medien dürfen keine Personenschäden entstehen.

 

Zurück