Allgemeine Entwicklungen in der Mikroelektronik und in der Sensortechnik lassen hoffen, dass durch die Verfügbarkeit von zuverlässigen, robusten, wartungsarmen und kostengünstigen Präsenz- und Näherungsmeldern eine Verbesserung der Arbeitssicherheit erreicht werden kann. Dieser Artikel beschreibt die Sensorik, die unterschiedlichen Detektionsverfahren, die Bedingungen und Einschränkungen für den Einsatz von Sensorsystemen sowie einige abgeschlossene Studien und Normungsarbeiten in Deutschland.

Präsenzmelder-Kriterien

Die Entwicklung und praktische Erprobung von Präsenzmeldern ist eine der größten zukünftigen Herausforderungen an die technischen Bemühungen zur Verbesserung der Arbeitssicherheit und des Personenschutzes im Allgemeinen. Präsenzmelder sind Sensoren, die das zuverlässig und sicher signalisieren nahe Anwesenheit oder Annäherung einer Person. Außerdem muss diese Warnung schnell erfolgen, damit ein Ausweichen, Bremsen oder Abschalten einer stehenden Maschine erfolgen kann, bevor es zu der prognostizierten Berührung kommt. Ob die Personen groß oder klein sind, welche Haltung sie haben oder wie sie gekleidet sind, sollte keinen Einfluss auf die Zuverlässigkeit des Sensors haben. Zudem muss der Sensor funktionssicher, robust und kostengünstig sein, damit er unter härtesten Bedingungen wie auf Baustellen und im mobilen Einsatz mit minimalem Wartungsaufwand eingesetzt werden kann. Sensoren müssen wie ein Airbag sein, wartungsfrei und immer einsatzbereit. Angesichts des Widerwillens einiger Benutzer, Geräte zu warten, die sie möglicherweise als nicht unbedingt erforderlich erachten, können Sensoren jahrelang ungenutzt bleiben. Eine weitere, viel häufiger nachgefragte Eigenschaft von Präsenzmeldern ist, dass sie auch andere Hindernisse als Menschen erkennen und den Bediener rechtzeitig auf Abwehrmaßnahmen hinweisen und so Reparaturkosten und Sachschäden reduzieren. Dies ist ein nicht zu unterschätzender Grund für die Installation von Präsenzmeldern.

Detektoranwendungen

Unzählige tödliche Unfälle und schwere Verletzungen, die wie unvermeidbare, individuelle Schicksalsschläge erscheinen, können vermieden oder minimiert werden, wenn Präsenzmelder als Präventionsmaßnahme im Bereich der Arbeitssicherheit mehr Akzeptanz finden. Die Zeitungen berichten nur allzu oft über diese Unfälle: Hier wurde eine Person von einem rückwärts fahrenden Lader erfasst, dort übersah der Bediener jemanden, der vom Vorderrad eines Baggers überrollt wurde. Rückwärts fahrende Lkw auf Straßen, Firmengeländen und Baustellen sind die Ursache für viele Unfälle mit Menschen. Die durchrationalisierten Unternehmen von heute stellen keine Beifahrer oder andere Personen mehr zur Verfügung, die dem rückwärtsfahrenden Fahrer als Wegweiser dienen. Diese Beispiele für Verkehrsunfälle lassen sich leicht auf andere mobile Geräte wie Gabelstapler übertragen. Der Einsatz von Sensoren ist jedoch dringend erforderlich, um Unfälle mit semimobilen und rein stationären Anlagen zu verhindern. Ein Beispiel sind die hinteren Bereiche großer Lademaschinen, die von Sicherheitskräften als potenzielle Gefahrenbereiche identifiziert wurden, die durch den Einsatz kostengünstiger Sensoren verbessert werden könnten. Viele Variationen von Präsenzmeldern können innovativ an andere Fahrzeuge und mobile Großgeräte angepasst werden, um vor den in diesem Artikel diskutierten Arten von Unfällen zu schützen, die in der Regel große Schäden und schwere, wenn nicht tödliche Verletzungen verursachen.

Die Tendenz zur Verbreitung innovativer Lösungen scheint zu versprechen, dass Präsenzmelder auch in anderen Anwendungen zur Standard-Sicherheitstechnik werden; Dies ist jedoch nirgendwo der Fall. Der Durchbruch, motiviert durch Unfälle und hohe Sachschäden, wird bei der Überwachung hinter Lieferwagen und schweren Lkw und für die innovativsten Bereiche der „neuen Technologien“ – die mobilen Robotermaschinen der Zukunft – erwartet.

Die Vielfalt der Einsatzgebiete von Präsenzmeldern und die Variabilität der Aufgaben – beispielsweise das Tolerieren von (unter Umständen auch bewegten) Objekten, die zu einem Erfassungsfeld gehören und kein Signal auslösen sollen – erfordern Sensoren, bei denen „ intelligente“ Bewertungstechnologie unterstützt die Mechanismen der Sensorfunktion. Diese zukunftsträchtige Technologie kann aus Methoden der künstlichen Intelligenz (Schreiber und Kuhn 1995) herausgearbeitet werden. Bis heute hat eine begrenzte Universalität die derzeitigen Verwendungen von Sensoren stark eingeschränkt. Es gibt Lichtvorhänge; Lichtleisten; Kontaktmatten; passive Infrarotsensoren; Ultraschall- und Radarbewegungsmelder, die den Doppler-Effekt nutzen; Sensoren, die die verstrichene Zeit von Ultraschall-, Radar- und Lichtimpulsen messen; und Laserscanner. Normale Fernsehkameras, die an Monitore angeschlossen sind, sind in dieser Liste nicht enthalten, da sie keine Präsenzmelder sind. Jedoch sind diejenigen Kameras enthalten, die automatisch aktiviert werden, wenn sie die Anwesenheit einer Person erfassen.

Sensor Technology

Die Hauptthemen der Sensorik sind heute (1) die optimale Nutzung der physikalischen Effekte (Infrarot, Licht, Ultraschall, Radar etc.) und (2) die Selbstüberwachung. Laserscanner werden intensiv für den Einsatz als Navigationsinstrumente für mobile Roboter entwickelt. Dazu müssen zwei teilweise prinzipiell unterschiedliche Aufgaben gelöst werden: die Navigation des Roboters und der Schutz von anwesenden Personen (und Material oder Ausrüstung), damit diese nicht angefahren, überfahren oder gepackt werden (Freund, Dierks und Rossman 1993 ). Zukünftige mobile Roboter können nicht dieselbe Sicherheitsphilosophie der „räumlichen Trennung von Roboter und Mensch“ beibehalten, die für heutige stationäre Industrieroboter strikt gilt. Dabei wird großer Wert auf die zuverlässige Funktion des einzusetzenden Präsenzmelders gelegt.

Der Einsatz „neuer Technik“ ist oft mit Akzeptanzproblemen verbunden, und es ist davon auszugehen, dass der allgemeine Einsatz mobiler Roboter, die sich bewegen und greifen können, bei Menschen in Anlagen, auf öffentlichen Verkehrsflächen oder auch in Wohn- oder Erholungsgebieten erfolgt , werden nur akzeptiert, wenn sie mit sehr hochentwickelten, ausgeklügelten und zuverlässigen Präsenzmeldern ausgestattet sind. Spektakuläre Unfälle müssen unbedingt vermieden werden, um ein mögliches Akzeptanzproblem nicht zu verschärfen. Der derzeitige Aufwand für die Entwicklung derartiger Arbeitsschutzsensoren trägt dieser Überlegung nicht annähernd Rechnung. Um viele Kosten zu sparen, sollten Präsenzmelder gleichzeitig mit den mobilen Robotern und den Navigationssystemen entwickelt und getestet werden, nicht nachträglich.

Bei Kraftfahrzeugen haben Sicherheitsfragen zunehmend an Bedeutung gewonnen. Zur innovativen Insassensicherheit im Automobil gehören Dreipunktgurte, Kindersitze, Airbags und das durch Serien-Crashtests verifizierte Antiblockiersystem. Diese Sicherheitsmaßnahmen machen einen relativ steigenden Anteil der Produktionskosten aus. Der Seitenairbag und die Radarsensorik zur Abstandsmessung zum vorausfahrenden Fahrzeug sind evolutionäre Weiterentwicklungen des Insassenschutzes.

Die äußere Kraftfahrzeugsicherheit, also der Schutz Dritter, findet zunehmend Beachtung. Neuerdings wird vor allem für Lastkraftwagen ein Seitenschutz gefordert, um Motorradfahrer, Fahrradfahrer und Fußgänger vor der Gefahr zu bewahren, unter die Hinterräder zu fallen. Ein nächster logischer Schritt wäre die Überwachung des Bereichs hinter großen Fahrzeugen mit Präsenzmeldern und die Installation von Rückraumwarneinrichtungen. Dies hätte den positiven Nebeneffekt, die notwendigen Mittel bereitzustellen, um höchst leistungsfähige, selbstüberwachende, wartungsfreie und zuverlässig funktionierende, kostengünstige Sensoren für den Arbeitsschutz zu entwickeln, zu testen und verfügbar zu machen. Der mit dem breiten Einsatz von Sensoren bzw. Sensorsystemen einhergehende Erprobungsprozess würde Innovationen in anderen Bereichen erheblich erleichtern, etwa bei Baggern, Schwerlastern und anderen großen mobilen Arbeitsmaschinen, die während ihres Betriebs bis zur Hälfte zurückstehen. Der Evolutionsprozess von stationären Robotern zu mobilen Robotern ist ein weiterer Entwicklungspfad für Präsenzmelder. So könnten beispielsweise die derzeit eingesetzten Sensoren an mobilen Roboter-Materialbewegern oder „fahrerlosen Werkstraktoren“ verbessert werden, die festen Bahnen folgen und daher relativ geringe Sicherheitsanforderungen haben. Der Einsatz von Präsenzmeldern ist der nächste logische Schritt zur Verbesserung der Sicherheit im Bereich Material- und Personentransport.

Erkennungsverfahren

Zur Beurteilung und Lösung der oben genannten Aufgaben können verschiedene physikalische Prinzipien, die in Verbindung mit elektronischen Mess- und Selbstüberwachungsverfahren und teilweise Hochleistungsrechenverfahren zur Verfügung stehen, genutzt werden. Die in Science-Fiction-Filmen übliche scheinbar mühelose und sichere Bedienung automatisierter Maschinen (Roboter) wird in der realen Welt möglicherweise durch den Einsatz von bildgebenden Verfahren und leistungsstarken Mustererkennungsalgorithmen in Kombination mit analogen Entfernungsmessverfahren erreicht von Laserscannern eingesetzt. Die paradoxe Situation, dass alles, was für Menschen einfach erscheint, für Automaten schwierig ist, muss erkannt werden. Zum Beispiel kann eine schwierige Aufgabe wie ausgezeichnetes Schachspiel (das eine Aktivität des Vorderhirns erfordert) leichter von automatisierten Maschinen simuliert und ausgeführt werden als eine einfache Aufgabe wie aufrechtes Gehen oder Ausführen von Hand-Augen- und anderen Bewegungskoordinationen (vermittelt durch Mittel- und Hinterhirn). Einige dieser Prinzipien, Methoden und Verfahren, die auf Sensoranwendungen anwendbar sind, werden unten beschrieben. Daneben gibt es eine Vielzahl von Spezialverfahren für ganz spezielle Aufgabenstellungen, die zum Teil mit einer Kombination verschiedener physikalischer Einwirkungen arbeiten.

Lichtschrankenvorhänge und -stangen. Zu den ersten Präsenzmeldern gehörten Lichtschrankenvorhänge und Lichtschranken. Sie haben eine flache Überwachungsgeometrie; Das heißt, jemand, der die Barriere passiert hat, wird nicht mehr erkannt. Mit diesen Geräten kann beispielsweise die Hand eines Bedieners oder das Vorhandensein von Werkzeugen oder Teilen, die in der Hand eines Bedieners gehalten werden, schnell und zuverlässig erkannt werden. Sie leisten einen wichtigen Beitrag zur Arbeitssicherheit für Maschinen (wie Pressen und Stanzmaschinen), die eine manuelle Materialzuführung erfordern. Die Zuverlässigkeit muss statistisch extrem hoch sein, denn wenn die Hand nur zwei- bis dreimal pro Minute eingreift, werden in wenigen Jahren etwa eine Million Betätigungen ausgeführt. Die gegenseitige Selbstüberwachung von Sender- und Empfängerkomponenten ist technisch so weit entwickelt, dass sie einen Standard für alle anderen Anwesenheitserkennungsverfahren darstellt.

Kontaktmatten (Schaltmatten). Es gibt sowohl passive als auch aktive (Pumpen-) Typen von elektrischen und pneumatischen Kontaktmatten und -böden, die zunächst in großer Zahl in Servicefunktionen (Türöffner) eingesetzt wurden, bis sie durch Bewegungsmelder ersetzt wurden. Die Weiterentwicklung erfolgt durch den Einsatz von Präsenzmeldern in allen möglichen Gefahrenbereichen. Beispielsweise führte die Entwicklung der automatisierten Fertigung mit einem Funktionswandel des Werkers – von der Bedienung der Maschine zur strengen Überwachung ihrer Funktion – zu einer entsprechenden Nachfrage nach entsprechenden Detektoren. Die Standardisierung dieser Anwendung ist weit fortgeschritten (DIN 1995a), und spezielle Einschränkungen (Layout, Größe, maximal zulässige „tote“ Zonen) erforderten den Aufbau von Know-how für die Installation in diesem Anwendungsbereich.

Interessante Einsatzmöglichkeiten von Kontaktmatten ergeben sich in Verbindung mit computergesteuerten Mehrrobotersystemen. Ein Bediener schaltet ein oder zwei Elemente um, damit der Präsenzmelder seine genaue Position erfasst und den Computer informiert, der Robotersteuerungssysteme mit einem eingebauten Kollisionsvermeidungssystem verwaltet. In einem von der Bundesanstalt für Sicherheit (BAU) vorangetriebenen Versuch wurde zu diesem Zweck ein Kontaktmattenboden, bestehend aus kleinen Elektroschaltmatten, unter dem Arbeitsbereich des Roboterarms eingebaut (Freund, Dierks und Rossman 1993). Dieser Präsenzmelder hatte die Form eines Schachbretts. Das jeweils aktivierte Mattenfeld teilte dem Computer die Position des Bedieners mit (Bild 1) und wenn sich der Bediener dem Roboter zu nahe näherte, entfernte er sich. Ohne den Präsenzmelder wäre das Robotersystem nicht in der Lage, die Position des Bedieners zu ermitteln und der Bediener könnte dann nicht geschützt werden.

Abbildung 1. Eine Person (rechts) und zwei Roboter in berechneten Hüllenkörpern

Reflektoren (Bewegungsmelder und Präsenzmelder). So verdienstvoll die bisher diskutierten Sensoren auch sein mögen, sie sind keine Präsenzmelder im weiteren Sinne. Ihre Eignung – vor allem aus Gründen des Arbeitsschutzes – für große Fahrzeuge und mobile Großgeräte setzt zwei wichtige Eigenschaften voraus: (1) die Möglichkeit, einen Bereich von einer Position aus zu überwachen, und (2) die fehlerfreie Funktion ohne zusätzliche Maßnahmen der Teil – zum Beispiel die Verwendung von Reflektorgeräten. Das Erfassen der Anwesenheit einer Person, die den überwachten Bereich betritt und angehalten bleibt, bis diese Person gegangen ist, impliziert auch die Notwendigkeit, eine absolut stillstehende Person zu erfassen. Dies unterscheidet sogenannte Bewegungsmelder von Präsenzmeldern, zumindest in Verbindung mit mobilen Geräten; Bewegungssensoren werden fast immer ausgelöst, wenn das Fahrzeug in Bewegung gesetzt wird.

Bewegungssensoren. Die zwei Grundtypen von Bewegungsmeldern sind: (1) „Passiv-Infrarot-Sensoren“ (PIRS), die auf die kleinste Änderung des Infrarotstrahls im überwachten Bereich reagieren (der kleinste erkennbare Strahl ist ungefähr 10^-9 W mit einem Wellenlängenbereich von etwa 7 bis 20 μm); und (2) Ultraschall- und Mikrowellensensoren, die das Doppler-Prinzip verwenden, das die Eigenschaften der Bewegung eines Objekts gemäß den Frequenzänderungen bestimmt. Beispielsweise erhöht der Doppler-Effekt die Frequenz des Horns einer Lokomotive für einen Beobachter, wenn er sich nähert, und verringert die Frequenz, wenn sich die Lokomotive entfernt. Der Dopplereffekt ermöglicht den Bau relativ einfacher Annäherungssensoren, da der Empfänger lediglich die Signalfrequenz benachbarter Frequenzbänder auf das Auftreten der Dopplerfrequenz überwachen muss.

Mitte der 1970er-Jahre setzte sich der Einsatz von Bewegungsmeldern in Servicefunktionsanwendungen wie Türöffner, Diebstahlsicherung und Objektschutz durch. Für den stationären Einsatz war die Erkennung einer sich nähernden Person in Richtung einer Gefahrenstelle ausreichend, um rechtzeitig zu warnen oder eine Maschine abzuschalten. Auf dieser Grundlage wurde die Eignung von Bewegungsmeldern für den Einsatz im Arbeitsschutz, insbesondere mittels PIRS, untersucht (Mester et al. 1980). Da eine bekleidete Person im Allgemeinen eine höhere Temperatur hat als die Umgebung (Kopf 34°C, Hände 31°C), ist das Erkennen einer sich nähernden Person etwas einfacher als das Erkennen von unbelebten Objekten. In begrenztem Umfang können sich Maschinenteile im überwachten Bereich bewegen, ohne dass der Melder auslöst.

Die passive Methode (ohne Sender) hat Vor- und Nachteile. Der Vorteil ist, dass ein PIRS nicht zu Lärm- und Elektrosmogproblemen beiträgt. Für die Diebstahlsicherung und den Objektschutz ist es besonders wichtig, dass der Melder nicht leicht zu finden ist. Ein Sensor, der nur ein Empfänger ist, kann jedoch kaum seine eigene Wirksamkeit überwachen, was für die Arbeitssicherheit unerlässlich ist. Eine Methode zur Überwindung dieses Nachteils bestand darin, kleine modulierte (5 bis 20 Hz) Infrarotstrahler zu testen, die im Überwachungsbereich installiert waren und den Sensor nicht auslösten, deren Strahlen jedoch mit einer fest auf die Modulationsfrequenz eingestellten elektronischen Verstärkung registriert wurden. Diese Modifikation machte ihn von einem „passiven“ Sensor zu einem „aktiven“ Sensor. Auf diese Weise konnte auch die geometrische Genauigkeit des überwachten Bereichs überprüft werden. Spiegel können tote Winkel haben, und die Richtung eines passiven Sensors kann durch die raue Aktivität in einer Anlage abgelenkt werden. Bild 2 zeigt ein Versuchslayout mit einem PIRS mit überwachter Geometrie in Form eines Pyramidenmantels. Wegen ihrer großen Reichweite werden Passiv-Infrarot-Sensoren zum Beispiel in den Durchgängen von Regallagern installiert.

Bild 2. Passiv-Infrarot-Sensor als Annäherungsmelder im Gefahrenbereich

Insgesamt zeigten Tests, dass Bewegungsmelder für den Arbeitsschutz nicht geeignet sind. Ein nächtlicher Museumsboden ist nicht mit Gefahrenzonen am Arbeitsplatz zu vergleichen.

Ultraschall-, Radar- und Lichtimpulsdetektoren. Sensoren, die nach dem Impuls/Echo-Prinzip arbeiten, also Laufzeitmessungen von Ultraschall-, Radar- oder Lichtimpulsen, haben ein großes Potenzial als Präsenzmelder. Mit Laserscannern können Lichtimpulse schnell hintereinander (meist rotatorisch) beispielsweise horizontal überstreichen und mit Hilfe eines Computers ein Abstandsprofil der lichtreflektierenden Objekte auf einer Ebene erhalten. Will man beispielsweise nicht nur eine einzelne Linie, sondern das gesamte, was vor dem mobilen Roboter im Bereich bis zu einer Höhe von 2 Metern liegt, müssen große Datenmengen verarbeitet werden, um die Umgebung abzubilden. Ein zukünftiger „idealer“ Präsenzmelder wird aus einer Kombination der folgenden beiden Verfahren bestehen:

1. Zum Einsatz kommt ein Mustererkennungsverfahren, bestehend aus einer Kamera und einem Computer. Letzteres kann auch ein "neuronales Netz" sein.
2. Zur Entfernungsmessung ist ferner ein Laser-Scanning-Verfahren erforderlich; Dies nimmt eine Peilung in einem dreidimensionalen Raum über eine Anzahl von einzelnen Punkten vor, die durch den Mustererkennungsprozess ausgewählt wurden, der eingerichtet wurde, um die Entfernung und Bewegung durch Geschwindigkeit und Richtung zu erhalten.

Abbildung 3 zeigt aus dem bereits zitierten BAU-Projekt (Freund, Dierks und Rossman 1993) den Einsatz eines Laserscanners auf einem mobilen Roboter, der auch Navigationsaufgaben (über einen Richtungserkennungsstrahl) und den Kollisionsschutz für Objekte in unmittelbarer Nähe übernimmt Umgebung (über einen Bodenmessstrahl zur Anwesenheitserkennung). Angesichts dieser Eigenschaften hat der mobile Roboter die Fähigkeit aktives automatisiertes freies Fahren (dh die Fähigkeit, um Hindernisse herumzufahren). Technisch wird dies dadurch erreicht, dass neben dem 45°-Winkel nach vorne auch der 180°-Winkel der Scannerrotation nach hinten auf beiden Seiten (nach Backbord und Steuerbord des Roboters) genutzt wird. Diese Strahlen sind mit einem speziellen Spiegel verbunden, der als Lichtvorhang auf dem Boden vor dem mobilen Roboter wirkt (und eine Bodensichtlinie bereitstellt). Kommt von dort eine Laserreflexion, stoppt der Roboter. Während für den Arbeitsschutz zertifizierte Laser- und Lichtscanner auf dem Markt sind, haben diese Präsenzmelder ein großes Entwicklungspotential.

Abbildung 3. Mobiler Roboter mit Laserscanner zur Navigation und Anwesenheitserkennung

Ultraschall- und Radarsensoren, die die verstrichene Zeit vom Signal bis zur Antwort zur Entfernungsbestimmung nutzen, sind technisch weniger anspruchsvoll und damit kostengünstiger herstellbar. Der Sensorbereich ist keulenförmig und hat eine oder mehrere kleinere Seitenkeulen, die symmetrisch angeordnet sind. Die Ausbreitungsgeschwindigkeit des Signals (Schall: 330 m/s; elektromagnetische Welle: 300,000 km/s) bestimmt die erforderliche Geschwindigkeit der eingesetzten Elektronik.

Warneinrichtungen für den rückwärtigen Bereich. Auf der Hannover Messe 1985 zeigte die BAU die Ergebnisse eines ersten Projektes zum Einsatz von Ultraschallsensoren zur Bereichssicherung hinter Großfahrzeugen (Langer und Kurfürst 1985). An der Rückwand eines Versorgungslastwagens wurde ein Modell eines Sensorkopfs aus Polaroid™-Sensoren in Originalgröße aufgebaut. Abbildung 4 zeigt seine Funktionsweise schematisch. Der große Durchmesser dieses Sensors erzeugt relativ kleinwinklige (ca. 18°), weitreichende keulenförmige Messfelder, die nebeneinander angeordnet und auf unterschiedliche maximale Signalbereiche eingestellt sind. In der Praxis lässt sich damit jede gewünschte Überwachungsgeometrie einstellen, die von den Sensoren etwa viermal pro Sekunde auf Anwesenheit oder Zutritt von Personen abgetastet wird. Andere demonstrierte Rückraum-Warnsysteme hatten mehrere parallel angeordnete einzelne Sensoren.

Abbildung 4. Anordnung des Messkopfes und überwachter Bereich auf der Rückseite eines Lastwagens

Diese anschauliche Demonstration war ein großer Erfolg auf der Messe. Dabei zeigte sich, dass die Sicherung des Heckbereichs von Großfahrzeugen und -geräten vielerorts – beispielsweise von Fachausschüssen der gewerblichen Berufsgenossenschaften – untersucht wird (Berufsgenossenschaften), die kommunalen Unfallversicherer (die für Kommunalfahrzeuge zuständig sind), die staatlichen Gewerbeaufsichtsbeamten und die Hersteller von Sensoren, die das Automobil eher als Servicefahrzeug (im Sinne einer Fokussierung auf Parksysteme zum Schutz vor Karosserieschaden). Ein aus den Kreisen berufener Ad-hoc-Ausschuss zur Förderung von Rückraumwarneinrichtungen wurde spontan gebildet und nahm als erste Aufgabe die Erstellung eines Anforderungskatalogs aus Sicht der Arbeitssicherheit auf. Zehn Jahre sind vergangen, in denen viel an der Rückraumüberwachung – der vielleicht wichtigsten Aufgabe von Präsenzmeldern – gearbeitet wurde; aber der große durchbruch fehlt noch.

Viele Projekte wurden mit Ultraschallsensoren durchgeführt, beispielsweise an Rundholzsortierkränen, Hydraulikbaggern, speziellen Kommunalfahrzeugen und anderen Nutzfahrzeugen sowie an Gabelstaplern und Ladern (Schreiber 1990). Rückraumwarneinrichtungen sind besonders wichtig für große Maschinen, die viel zurücksetzen. Ultraschall-Präsenzmelder werden zum Beispiel zum Schutz spezialisierter fahrerloser Fahrzeuge wie Roboter-Fördermaschinen eingesetzt. Im Vergleich zu Gummipuffern haben diese Sensoren einen größeren Erfassungsbereich, der ein Bremsen vor dem Kontakt zwischen der Maschine und einem Objekt ermöglicht. Entsprechende Sensoren für Automobile sind entsprechende Entwicklungen und stellen deutlich weniger strenge Anforderungen.

Inzwischen hat der Normenausschuss Verkehrswesentechnik im DIN die Norm 75031 „Hinderniserkennung beim Rückwärtsfahren“ (DIN 1995b) erarbeitet. Die Anforderungen und Tests wurden für zwei Reichweiten festgelegt: 1.8 m für Versorgungs-Lkw und 3.0 m – ein zusätzlicher Warnbereich – für größere Lkw. Der überwachte Bereich wird durch die Erkennung von zylindrischen Prüfkörpern festgelegt. Auch die 3-m-Reichweite liegt an der Grenze des derzeit technisch Machbaren, da Ultraschallsensoren aufgrund ihrer rauen Arbeitsbedingungen geschlossene Metallmembranen haben müssen. Die Anforderungen an die Selbstüberwachung des Sensorsystems werden gestellt, da die geforderte überwachte Geometrie erst mit einem System aus drei oder mehr Sensoren erreicht werden kann. Bild 5 zeigt eine Rückraumwarneinrichtung bestehend aus drei Ultraschallsensoren (Microsonic GmbH 1996). Gleiches gilt für die Meldeeinrichtung im Führerhaus und die Art des Warnsignals. Die Inhalte der DIN-Norm 75031 sind auch im internationalen technischen ISO-Bericht TR 12155 „Nutzfahrzeuge – Hinderniserkennung beim Rückwärtsfahren“ (ISO 1994) dargelegt. Verschiedene Sensorhersteller haben Prototypen nach dieser Norm entwickelt.

Abbildung 5. Mittelgroßer Lkw, ausgestattet mit einem Warngerät für den hinteren Bereich (Mikrosonic-Foto).

Fazit

Seit Anfang der 1970er Jahre haben mehrere Institutionen und Sensorhersteller an der Entwicklung und Etablierung von „Präsenzmeldern“ gearbeitet. In der Spezialanwendung „Rückraumwarneinrichtungen“ gibt es die DIN-Norm 75031 und den ISO-Report TR 12155. Derzeit führt die Deutsche Post AG einen Großversuch durch. Mehrere Sensorhersteller haben jeweils fünf mittelgroße Lkw mit solchen Geräten ausgestattet. Ein positives Ergebnis dieser Prüfung ist sehr im Sinne des Arbeitsschutzes. Wie eingangs betont wurde, sind Präsenzmelder in den geforderten Stückzahlen eine große Herausforderung für die Sicherheitstechnik in den vielen genannten Anwendungsbereichen. Sie müssen daher kostengünstig realisierbar sein, wenn Schäden an Geräten, Maschinen und Materialien und vor allem oft schwerste Personenschäden der Vergangenheit angehören sollen.

Zurück

Befehlsgeräte und Geräte zum Trennen und Schalten sind immer im Zusammenhang zu diskutieren technische Systeme, ein Begriff, der in diesem Artikel verwendet wird, um Maschinen, Anlagen und Geräte einzuschließen. Jedes technische System erfüllt eine spezifische und zugewiesene praktische Aufgabe. Damit diese praktische Aufgabe bewältigbar oder überhaupt unter sicheren Bedingungen möglich ist, sind entsprechende Sicherheits-Steuerungs- und Schaltgeräte erforderlich. Solche Vorrichtungen werden verwendet, um den Strom und/oder die Impulse von elektrischen, hydraulischen, pneumatischen und auch potentiellen Energien zu steuern, zu unterbrechen oder zu verzögern.

Isolation und Energiereduktion

Trenneinrichtungen dienen der Energietrennung durch Trennung der Versorgungsleitung zwischen der Energiequelle und der technischen Anlage. Die Trenneinrichtung muss normalerweise eine eindeutig bestimmbare tatsächliche Unterbrechung der Energieversorgung bewirken. Eine Abschaltung der Energieversorgung sollte auch immer mit dem Abbau gespeicherter Energie in allen Teilen des technischen Systems einhergehen. Wird die technische Anlage von mehreren Energiequellen gespeist, müssen alle diese Versorgungsleitungen zuverlässig trennbar sein. Personen, die im Umgang mit der jeweiligen Energieart geschult sind und auf der Energieseite der technischen Anlage tätig sind, schirmen sich mit Trenneinrichtungen von den Gefahren der Energie ab. Aus Sicherheitsgründen prüfen diese Personen immer, ob keine potentiell gefährliche Energie in der technischen Anlage verbleibt, z. B. durch Feststellung der Spannungsfreiheit bei elektrischer Energie. Der gefahrlose Umgang mit bestimmten Isoliermitteln ist nur für geschultes Fachpersonal möglich; in solchen Fällen muss die Trenneinrichtung für Unbefugte unzugänglich gemacht werden. (Siehe Abbildung 1.)

Abbildung 1. Prinzipien elektrischer und pneumatischer Trennvorrichtungen

Der Hauptschalter

Eine Hauptschalteinrichtung trennt die technische Anlage von der Energieversorgung. Anders als die Trenneinrichtung kann sie auch von „Nicht-Energiefachkräften“ gefahrlos bedient werden. Die Hauptschalteinrichtung dient dazu, gerade nicht genutzte technische Anlagen freizuschalten, wenn z. B. deren Betrieb durch unbefugte Dritte behindert wird. Es wird auch verwendet, um eine Abschaltung für Wartungszwecke, Störungsbeseitigung, Reinigung, Neueinstellung und Umrüstung vorzunehmen, sofern diese Arbeiten ohne Energie in der Anlage durchgeführt werden können. Wenn eine Hauptschalteinrichtung auch die Eigenschaften einer Trenneinrichtung besitzt, kann sie natürlich auch deren Funktion übernehmen und/oder teilen. (Siehe Abbildung 2.)

Abbildung 2. Beispielhafte Darstellung von elektrischen und pneumatischen Hauptschaltgeräten

Sicherheits-Trennvorrichtung

Eine Sicherheits-Trenneinrichtung trennt nicht die gesamte technische Anlage von der Energiequelle; vielmehr entzieht es den Teilen des Systems, die für ein bestimmtes betriebsbereites Subsystem kritisch sind, Energie. Bei betrieblichen Teilsystemen können Eingriffe von kurzer Dauer vorgesehen werden, z. B. zum Einrichten oder Umrüsten des Systems, zur Behebung von Störungen, zur regelmäßigen Reinigung sowie zu wesentlichen und vorgesehenen Bewegungs- und Funktionsabläufen, die während des Studiums erforderlich sind B. beim Einrichten, Um-/Umrüsten oder Testläufen. Komplexe Produktionsanlagen und Anlagen können in diesen Fällen nicht einfach mit einem Hauptschaltgerät abgeschaltet werden, da die gesamte technische Anlage nach der Behebung einer Störung nicht dort wieder anlaufen könnte, wo sie aufgehört hat. Außerdem befindet sich die Hauptschalteinrichtung bei den umfangreicheren technischen Anlagen selten an der Stelle, an der eingegriffen werden muss. Somit muss die Sicherheits-Trenneinrichtung eine Reihe von Anforderungen erfüllen, wie z. B. die folgenden:

• Es unterbricht den Energiefluss zuverlässig und so, dass gefährliche Bewegungen oder Prozesse nicht durch fehlerhaft eingegebene oder generierte Steuersignale ausgelöst werden.
• Es wird genau dort installiert, wo Unterbrechungen in Gefahrenbereichen von betrieblichen Teilsystemen des technischen Systems vorgenommen werden müssen. Bei Bedarf kann die Installation an mehreren Stellen erfolgen (z. B. auf verschiedenen Stockwerken, in verschiedenen Räumen oder an verschiedenen Zugängen an Maschinen oder Anlagen).
• Sein Steuergerät hat eine deutlich gekennzeichnete „Aus“-Stellung, die nur einmal registriert wird, nachdem der Energiefluss zuverlässig unterbrochen wurde.
• In der „Aus“-Stellung kann seine Steuereinrichtung gegen unbefugtes Wiedereinschalten gesichert werden, (a) wenn die betreffenden Gefahrenbereiche vom Steuerbereich aus nicht zuverlässig einsehbar sind und (b) wenn Personen, die sich im Gefahrenbereich aufhalten, diese nicht selbst einsehen können Steuerungsgerät leicht und ständig, oder (c) wenn eine Verriegelung/Kennzeichnung durch Vorschriften oder organisatorische Verfahren erforderlich ist.
• Es soll nur eine einzelne Funktionseinheit eines erweiterten technischen Systems abschalten, wenn andere Funktionseinheiten ohne Gefährdung der eingreifenden Person selbstständig weiterarbeiten können.

Sofern die in einer technischen Anlage eingesetzte Hauptschalteinrichtung alle Anforderungen an eine Sicherheits-Trenneinrichtung erfüllen kann, kann sie auch diese Funktion übernehmen. Aber das wird natürlich nur in sehr einfachen technischen Systemen ein zuverlässiger Ausweg sein. (Siehe Abbildung 3.)

Bild 3. Darstellung elementarer Prinzipien einer Sicherheits-Trenneinrichtung

Vorschaltgeräte für betriebliche Subsysteme

Vorschaltgeräte ermöglichen es, Bewegungen und Funktionsabläufe, die für funktionsfähige Teilsysteme des technischen Systems erforderlich sind, sicher auszuführen und zu steuern. Vorschaltgeräte für betriebsbereite Teilsysteme können für die Einrichtung (wenn Testläufe durchgeführt werden sollen) erforderlich sein; zur Regulierung (wenn Störungen im Betrieb der Anlage behoben oder Blockaden beseitigt werden müssen); oder Schulungszwecke (Demonstration von Operationen). In solchen Fällen kann der normale Betrieb des Systems nicht einfach wieder aufgenommen werden, da die eingreifende Person durch Bewegungen und Prozesse gefährdet würde, die durch fehlerhaft eingegebene oder fehlerhaft erzeugte Steuersignale ausgelöst werden. Ein Betriebsgerät für betriebsbereite Teilsysteme muss folgende Anforderungen erfüllen:

• Sie soll die sichere Ausführung von Bewegungen und Prozessen ermöglichen, die für funktionsfähige Teilsysteme des technischen Systems erforderlich sind. Beispielsweise werden bestimmte Bewegungen mit reduzierter Geschwindigkeit, schrittweise oder mit geringerer Leistung (je nach Zweckmäßigkeit) ausgeführt und Vorgänge in der Regel sofort unterbrochen, wenn das Bedienfeld nicht mehr bedient wird.
• Seine Bedienpulte sind in Bereichen anzuordnen, in denen ihre Bedienung den Bediener nicht gefährdet und von denen aus die gesteuerten Prozesse vollständig einsehbar sind.
• Befinden sich an einem Ort mehrere Bedienpulte, die unterschiedliche Prozesse steuern, so müssen diese deutlich gekennzeichnet und eindeutig und verständlich angeordnet sein.
• Die Vorschaltgeräte für betriebsbereite Teilsysteme sollten erst dann wirksam werden, wenn der Normalbetrieb zuverlässig abgeschaltet wurde; dh es muss gewährleistet sein, dass kein Steuerbefehl effektiv aus dem Normalbetrieb kommen und das Betriebsgerät übersteuern kann.
• Die unbefugte Verwendung des Betriebsgeräts für betriebsbereite Teilsysteme sollte verhindert werden können, indem beispielsweise die Verwendung eines speziellen Schlüssels oder Codes zum Freigeben der betreffenden Funktion verlangt wird. (Siehe Abbildung 4.)

Abbildung 4. Betätigungseinrichtungen in den Vorschaltgeräten für bewegliche und stationäre Betriebssubsysteme

Der Notschalter

Notschalter sind dort erforderlich, wo durch den normalen Betrieb technischer Anlagen Gefahren entstehen können, die weder durch geeignete Anlagengestaltung noch durch entsprechende Sicherheitsvorkehrungen verhindert werden können. In betriebsbereiten Teilsystemen ist der Notschalter häufig Teil des Betriebsgeräts des betriebsfähigen Teilsystems. Der Notschalter setzt bei Betätigung im Gefahrenfall Vorgänge um, die das technische System schnellstmöglich in einen sicheren Betriebszustand zurückführen. Bei den Sicherheitsprioritäten steht der Personenschutz im Vordergrund; Die Vermeidung von Sachschäden ist zweitrangig, es sei denn, dass diese auch Personen gefährden könnten. Der Notschalter muss folgende Anforderungen erfüllen:

• Sie muss schnellstmöglich einen sicheren Betriebszustand der technischen Anlage herbeiführen.
• Sein Bedienfeld muss leicht erkennbar und so angeordnet und gestaltet sein, dass es von den gefährdeten Personen problemlos bedient und auch von anderen Einsatzkräften erreicht werden kann.
• Die von ihm ausgelösten Notfallprozesse dürfen keine neuen Gefährdungen hervorrufen; sie dürfen beispielsweise keine Spannvorrichtungen lösen oder Magnethalterungen lösen oder Sicherheitseinrichtungen blockieren.
• Nach Auslösung eines Notschaltvorganges darf die technische Anlage nicht automatisch durch das Zurücksetzen des Notschalt-Bedienfeldes wieder gestartet werden können. Vielmehr muss die bewusste Eingabe eines neuen Funktionssteuerbefehls verlangt werden. (Siehe Abbildung 5.)

Abbildung 5. Veranschaulichung der Prinzipien von Bedienfeldern in Notschaltern

Funktionsschalter-Steuergerät

Funktionsschalter-Steuergeräte dienen dazu, die technische Anlage für den Normalbetrieb einzuschalten und die für den Normalbetrieb vorgesehenen Bewegungen und Vorgänge einzuleiten, auszuführen und zu unterbrechen. Das Funktionsschalter-Steuergerät wird ausschließlich im Rahmen des normalen Betriebs des technischen Systems, also während der ungestörten Ausführung aller zugeordneten Funktionen, verwendet. Sie wird von den Personen, die das technische System betreiben, entsprechend genutzt. Die Funktionsschalter-Steuergeräte müssen folgende Anforderungen erfüllen:

• Ihre Bedienfelder müssen leicht zugänglich und gefahrlos zu bedienen sein.
• Ihre Bedienfelder müssen übersichtlich und rationell angeordnet sein; Beispielsweise sollten Bedienknebel hinsichtlich kontrollierter Bewegungen nach oben und unten, rechts und links „rational“ funktionieren. („Rationale“ Steuerbewegungen und entsprechende Effekte können lokalen Schwankungen unterliegen und werden manchmal durch Bestimmungen definiert.)
• Ihre Bedienfelder sind deutlich und verständlich mit leicht verständlichen Symbolen zu kennzeichnen.
• Vorgänge, die zu ihrem sicheren Ablauf die volle Aufmerksamkeit des Benutzers erfordern, dürfen weder durch irrtümlich erzeugte Steuersignale noch durch unbeabsichtigte Betätigung der sie steuernden Steuereinrichtungen ausgelöst werden können. Die Signalverarbeitung der Zentrale muss entsprechend zuverlässig sein, und eine unbeabsichtigte Betätigung muss durch entsprechende Gestaltung des Steuergeräts verhindert werden. (Siehe Abbildung 6).

Abbildung 6. Schematische Darstellung eines Operations Control Panels

Überwachungsschalter

Überwachungsschalter verhindern das Anlaufen des technischen Systems, solange die überwachten Sicherheitsbedingungen nicht erfüllt sind, und sie unterbrechen den Betrieb, sobald eine Sicherheitsbedingung nicht mehr erfüllt ist. Sie werden beispielsweise eingesetzt, um Türen in Schutzräumen zu überwachen, die korrekte Position von Schutzeinrichtungen zu kontrollieren oder sicherzustellen, dass Geschwindigkeits- oder Wegbegrenzungen nicht überschritten werden. Entsprechend müssen Überwachungsschalter folgende Sicherheits- und Zuverlässigkeitsanforderungen erfüllen:

• Die zur Überwachung eingesetzten Schaltgeräte müssen das Schutzsignal besonders zuverlässig abgeben; so könnte beispielsweise ein mechanischer Überwachungsschalter so ausgelegt sein, dass er den Signalfluss automatisch und besonders zuverlässig unterbricht.
• Das zur Überwachung eingesetzte Schaltwerkzeug soll besonders zuverlässig betrieben werden, wenn die Sicherheitsbedingung nicht erfüllt ist (z. B. wenn der Stößel eines Überwachungsschalters mit automatischer Unterbrechung mechanisch und selbsttätig in die Unterbrechungsstellung gedrängt wird).
• Der Überwachungsschalter darf nicht unsachgemäß abgeschaltet werden können, zumindest nicht unbeabsichtigt und nicht ohne Aufwand; diese Bedingung kann beispielsweise durch einen mechanisch automatisch gesteuerten Schalter mit automatischer Unterbrechung erfüllt werden, wenn der Schalter und das Betätigungselement fest montiert sind. (Siehe Abbildung 7).

Abbildung 7. Diagramm eines Schalters mit positiver mechanischer Betätigung und positiver Trennung

Sicherheitssteuerkreise

Einige der oben beschriebenen Sicherheitsschaltgeräte führen die Sicherheitsfunktion nicht direkt aus, sondern durch Abgabe eines Signals, das dann von einem Sicherheitssteuerkreis übertragen und verarbeitet wird und schließlich die Teile der technischen Anlage erreicht, die die eigentliche Sicherheitsfunktion ausüben. Beispielsweise bewirkt die Sicherheits-Trenneinrichtung häufig indirekt die Trennung der Energie an neuralgischen Punkten, während ein Hauptschalter meist direkt die Stromzufuhr zum technischen System unterbricht.

Da Sicherheitssteuerkreise Sicherheitssignale zuverlässig übertragen müssen, sind daher folgende Grundsätze zu beachten:

• Die Sicherheit soll auch bei fehlender oder unzureichender Fremdenergie gewährleistet sein, beispielsweise bei Unterbrechungen oder Undichtigkeiten.
• Schutzsignale funktionieren zuverlässiger durch Unterbrechung des Signalflusses; B. Sicherheitsschalter mit Öffnerkontakt oder einem geöffneten Relaiskontakt.
• Die Schutzfunktion von Verstärkern, Transformatoren und dergleichen kann ohne Fremdenergie zuverlässiger erreicht werden; solche Mechanismen sind beispielsweise elektromagnetische Schalteinrichtungen oder im Ruhezustand geschlossene Lüftungsöffnungen.
• Fehlerhafte Anschlüsse und Undichtigkeiten im Sicherheits-Steuerkreis dürfen nicht zu Fehlstarts oder Behinderungen des Stillsetzens führen; insbesondere bei Kurzschlüssen zwischen Ein- und Ausgängen, Erdschluss oder Erdung.
• Äußere Einflüsse, die das System in einem Maß beeinflussen, das die Erwartungen des Benutzers nicht übersteigt, sollten die Sicherheitsfunktion des Sicherheitssteuerkreises nicht beeinträchtigen.

Die in Sicherheitsschaltkreisen verwendeten Komponenten müssen die Sicherheitsfunktion besonders zuverlässig ausführen. Die Funktionen von Komponenten, die diese Anforderung nicht erfüllen, sind durch eine möglichst diversifizierte Redundanz zu realisieren und zu überwachen.

Zurück

Mikroprozessoren spielen in den letzten Jahren eine immer größere Rolle im Bereich der Sicherheitstechnik. Da mittlerweile ganze Rechner (dh Zentraleinheit, Speicher und Peripheriekomponenten) als "Single-Chip-Rechner" in einem einzigen Bauteil verfügbar sind, findet die Mikroprozessortechnik nicht nur in komplexen Maschinensteuerungen, sondern auch in relativ einfach aufgebauten Absicherungen Anwendung (z. B. Lichtgitter, Zweihandsteuerungen und Schaltleisten). Die Software, die diese Systeme steuert, umfasst zwischen tausend und mehreren zehntausend Einzelbefehlen und besteht in der Regel aus mehreren hundert Programmzweigen. Die Programme arbeiten in Echtzeit und sind meist in der Assemblersprache der Programmierer geschrieben.

Die Einführung computergesteuerter Systeme im Bereich der Sicherheitstechnik ist bei allen technischen Großgeräten nicht nur mit aufwendigen Forschungs- und Entwicklungsprojekten, sondern auch mit erheblichen Einschränkungen zur Erhöhung der Sicherheit einhergegangen. (Als Beispiele für großtechnische Anwendungen seien hier die Luft- und Raumfahrttechnik, die Militärtechnik und die Atomkrafttechnik genannt.) Das Sammelgebiet der industriellen Massenproduktion ist bisher nur sehr begrenzt behandelt worden. Dies liegt unter anderem daran, dass die für den industriellen Maschinenbau charakteristischen schnellen Innovationszyklen eine nur sehr eingeschränkte Übertragbarkeit von Erkenntnissen aus Forschungsprojekten zur Enderprobung im Großmaßstab erschweren Sicherheitsgeräte. Dies macht die Entwicklung schneller und kostengünstiger Bewertungsverfahren zu einem Desiderat (Reinert und Reuss 1991).

Dieser Artikel untersucht zunächst Maschinen und Anlagen, in denen Computersysteme heute Sicherheitsaufgaben übernehmen, und zeigt anhand von Beispielen von Unfällen, die sich überwiegend im Bereich der Maschinenabsicherung ereignen, die besondere Rolle von Computern in der Sicherheitstechnik auf. Diese Unfälle geben Aufschluss darüber, welche Vorkehrungen zu treffen sind, damit die heute immer häufiger eingesetzten computergesteuerten Sicherheitseinrichtungen nicht zu einem Anstieg der Unfallzahlen führen. Der letzte Abschnitt des Artikels skizziert ein Verfahren, mit dem auch kleine Computersysteme mit vertretbarem Aufwand und in vertretbarer Zeit auf ein angemessenes Maß an technischer Sicherheit gebracht werden können. Die in diesem letzten Teil aufgezeigten Prinzipien werden derzeit in internationale Standardisierungsverfahren eingeführt und werden Auswirkungen auf alle Bereiche der Sicherheitstechnik haben, in denen Computer Anwendung finden.

Beispiele für den Einsatz von Software und Computern im Bereich der Maschinenabsicherung

Die folgenden vier Beispiele verdeutlichen, dass Software und Computer derzeit immer mehr Einzug in sicherheitsrelevante Anwendungen im gewerblichen Bereich halten.

Personen-Notsignalanlagen bestehen in der Regel aus einer zentralen Empfangsstelle und mehreren Personen-Notsignaleinrichtungen. Die Geräte werden von den vor Ort tätigen Personen selbst getragen. Befindet sich eine dieser allein arbeitenden Personen in einer Notsituation, kann sie über das Gerät per Funksignal in der zentralen Empfangsstelle einen Alarm auslösen. Eine solche willensabhängige Alarmauslösung kann auch durch einen willensunabhängigen Auslösemechanismus ergänzt werden, der durch in die Personennotrufgeräte eingebaute Sensoren aktiviert wird. Sowohl die einzelnen Geräte als auch die zentrale Empfangsstation werden häufig von Mikrocomputern gesteuert. Es ist denkbar, dass der Ausfall bestimmter Einzelfunktionen des eingebauten Computers in einer Notfallsituation dazu führen kann, dass der Alarm nicht ausgelöst wird. Es müssen daher Vorkehrungen getroffen werden, um einen solchen Funktionsverlust rechtzeitig zu erkennen und zu beheben.

Druckmaschinen, die heute zum Drucken von Zeitschriften verwendet werden, sind große Maschinen. Die Papierbahnen werden normalerweise von einer separaten Maschine so vorbereitet, dass ein nahtloser Übergang zu einer neuen Papierrolle möglich ist. Die bedruckten Seiten werden von einer Falzmaschine gefalzt und anschließend durch eine Kette weiterer Maschinen bearbeitet. Das Ergebnis sind Paletten, die mit vollständig vernähten Magazinen beladen sind. Obwohl solche Anlagen automatisiert sind, müssen an zwei Stellen manuelle Eingriffe vorgenommen werden: (1) beim Einfädeln der Papierwege und (2) beim Beseitigen von Hindernissen durch Papierrisse an Gefahrenstellen an den rotierenden Walzen. Aus diesem Grund muss während der Verstellung der Pressen eine reduzierte Arbeitsgeschwindigkeit oder ein weg- oder zeitbegrenzter Tippbetrieb steuerungstechnisch gewährleistet sein. Aufgrund der komplexen Steuerungsvorgänge muss jede einzelne Druckstation mit einer eigenen speicherprogrammierbaren Steuerung ausgestattet werden. Ein auftretender Fehler in der Steuerung einer Druckerei bei geöffneten Schutzgittern muss verhindert werden, dass es entweder zu einem unerwarteten Anlauf einer stillstehenden Maschine oder zu einem Betrieb über angemessen reduzierten Drehzahlen kommt.

In großen Fabriken und Lagern bewegen sich fahrerlose, fahrerlose Roboterfahrzeuge auf speziell gekennzeichneten Gleisen. Diese Gleise können jederzeit von Personen begangen oder Materialien und Geräte versehentlich auf den Gleisen zurückgelassen werden, da sie baulich nicht von anderen Verkehrswegen getrennt sind. Aus diesem Grund muss eine Art Kollisionsverhütungsausrüstung verwendet werden, um sicherzustellen, dass das Fahrzeug zum Stillstand gebracht wird, bevor es zu einer gefährlichen Kollision mit einer Person oder einem Objekt kommt. In neueren Anwendungen erfolgt die Kollisionsvermeidung mittels Ultraschall- oder Laserlichttaster in Kombination mit einem Sicherheitsbumper. Da diese Systeme computergesteuert arbeiten, ist es möglich, mehrere permanente Erfassungszonen zu konfigurieren, sodass ein Fahrzeug seine Reaktion abhängig von der spezifischen Erfassungszone, in der sich eine Person befindet, modifizieren kann. Fehler in der Schutzeinrichtung dürfen nicht zu einer gefährlichen Kollision mit einer Person führen.

Guillotinen mit Papierschneidesteuerung werden verwendet, um dicke Papierstapel zu pressen und dann zu schneiden. Sie werden durch eine Zweihandbedienung ausgelöst. Der Benutzer muss nach jedem Schnitt in den Gefahrenbereich der Maschine greifen. Eine immaterielle Schutzeinrichtung, meist ein Lichtgitter, dient in Verbindung mit der Zweihandbedienung und einer sicheren Maschinensteuerung dazu, Verletzungen beim Zuführen von Papier während des Schneidvorgangs zu vermeiden. Nahezu alle heute verwendeten größeren, moderneren Guillotinen werden von Mehrkanal-Mikrocomputersystemen gesteuert. Auch die Zweihandbedienung und das Lichtgitter müssen sicher funktionieren.

Unfälle mit computergesteuerten Systemen

In nahezu allen industriellen Anwendungsbereichen werden Unfälle mit Software und Computern gemeldet (Neumann 1994). Computerausfälle führen in den meisten Fällen nicht zu Personenschäden. Solche Versäumnisse werden ohnehin nur öffentlich gemacht, wenn sie von allgemeinem öffentlichem Interesse sind. Das bedeutet, dass die Fehlfunktionen oder Unfälle im Zusammenhang mit Computern und Software, bei denen Personenschäden im Spiel waren, einen relativ hohen Anteil an allen bekannt gewordenen Fällen ausmachen. Leider werden Unfälle, die kein großes öffentliches Aufsehen erregen, nicht mit der gleichen Intensität auf ihre Ursachen hin untersucht wie größere Unfälle, typischerweise in Großanlagen. Aus diesem Grund beziehen sich die folgenden Beispiele auf vier für computergesteuerte Systeme typische Beschreibungen von Fehlfunktionen oder Unfällen außerhalb des Bereichs der Maschinenabsicherung, die Hinweise darauf geben, was bei sicherheitstechnischen Beurteilungen zu berücksichtigen ist.

Unfälle, die durch zufällige Fehler in der Hardware verursacht werden

Das folgende Missgeschick wurde durch eine Konzentration zufälliger Fehler in der Hardware in Verbindung mit Programmierfehlern verursacht: Ein Reaktor überhitzt in einer Chemiefabrik, woraufhin Überdruckventile geöffnet wurden, wodurch der Inhalt des Reaktors in die Atmosphäre abgelassen werden konnte. Dieses Missgeschick ereignete sich kurz nach einer Warnung, dass der Ölstand in einem Getriebe zu niedrig sei. Eine sorgfältige Untersuchung des Missgeschicks ergab, dass kurz nachdem der Katalysator die Reaktion im Reaktor ausgelöst hatte – wodurch der Reaktor mehr Kühlung benötigt hätte – der Computer aufgrund der Meldung von niedrigem Ölstand im Getriebe alles eingefroren hatte Größen unter seiner Kontrolle auf einen festen Wert. Dadurch blieb der Kaltwasserdurchfluss zu niedrig und der Reaktor überhitzt. Weitere Untersuchungen ergaben, dass die Anzeige eines niedrigen Ölstands durch eine fehlerhafte Komponente signalisiert worden war.

Die Software hatte entsprechend der Spezifikation mit der Auslösung eines Alarms und der Fixierung aller Betriebsvariablen reagiert. Dies war eine Folge der HAZOP-Studie (Hazards and Operability Analysis) (Knowlton 1986), die vor dem Ereignis durchgeführt wurde und die verlangte, dass alle kontrollierten Variablen im Falle eines Ausfalls nicht modifiziert werden. Da der Programmierer die Vorgehensweise im Detail nicht kannte, wurde diese Forderung dahingehend interpretiert, dass die angesteuerten Aktoren (hier Regelventile) nicht verändert werden sollten; Die Möglichkeit eines Temperaturanstiegs wurde nicht beachtet. Der Programmierer hat nicht berücksichtigt, dass sich das System nach dem Empfang eines fehlerhaften Signals in einer dynamischen Situation befinden könnte, die das aktive Eingreifen des Computers erfordert, um ein Missgeschick zu verhindern. Die Situation, die zu dem Missgeschick führte, war zudem so unwahrscheinlich, dass sie in der HAZOP-Studie (Levenson 1986) nicht im Detail analysiert worden war. Dieses Beispiel bietet einen Übergang zu einer zweiten Kategorie von Ursachen für Software- und Computerunfälle. Dies sind die systematischen Fehler, die von Anfang an im System vorhanden sind, sich aber nur in ganz bestimmten Situationen manifestieren, die der Entwickler nicht berücksichtigt hat.

Unfälle durch Betriebsstörungen

Bei Feldversuchen bei der Endkontrolle von Robotern lieh sich ein Techniker die Kassette eines benachbarten Roboters aus und tauschte sie gegen eine andere aus, ohne seinen Kollegen darüber zu informieren. Bei der Rückkehr an seinen Arbeitsplatz legte der Kollege die falsche Kassette ein. Da er neben dem Roboter stand und von ihm einen bestimmten Bewegungsablauf erwartete, der aufgrund des ausgetauschten Programms anders herauskam, kam es zu einer Kollision zwischen Roboter und Mensch. Dieser Unfall beschreibt das klassische Beispiel eines Betriebsausfalls. Die Rolle solcher Ausfälle bei Störungen und Unfällen nimmt derzeit aufgrund der zunehmenden Komplexität bei der Anwendung von computergesteuerten Sicherheitsmechanismen zu.

Unfälle, die durch systematische Fehler in Hard- oder Software verursacht werden

Ein Torpedo mit Sprengkopf sollte zu Übungszwecken von einem Kriegsschiff auf hoher See abgefeuert werden. Aufgrund eines Defekts im Antriebsapparat blieb der Torpedo im Torpedorohr. Der Kapitän beschloss, zum Heimathafen zurückzukehren, um den Torpedo zu bergen. Kurz nachdem das Schiff seinen Heimweg angetreten hatte, explodierte der Torpedo. Eine Analyse des Unfalls ergab, dass die Entwickler des Torpedos gezwungen waren, in den Torpedo einen Mechanismus einzubauen, der verhindern sollte, dass er nach dem Abfeuern zur Startrampe zurückkehrt und damit das Schiff zerstört, das ihn gestartet hat. Der dafür gewählte Mechanismus war folgender: Nach dem Abfeuern des Torpedos wurde mit dem Trägheitsnavigationssystem überprüft, ob sich dessen Kurs um 180° geändert hatte. Sobald der Torpedo spürte, dass er sich um 180 ° gedreht hatte, detonierte der Torpedo sofort, angeblich in sicherer Entfernung von der Startrampe. Dieser Detektionsmechanismus wurde bei dem nicht ordnungsgemäß abgefeuerten Torpedo ausgelöst, so dass der Torpedo explodierte, nachdem das Schiff seinen Kurs um 180° geändert hatte. Dies ist ein typisches Beispiel für einen Unfall, der aufgrund eines Fehlers in den Spezifikationen auftritt. Die Anforderung im Lastenheft, dass der Torpedo bei einer Kursänderung das eigene Schiff nicht zerstören dürfe, sei nicht präzise genug formuliert; die Vorsichtsmaßnahme wurde also falsch programmiert. Der Fehler trat nur in einer bestimmten Situation auf, die der Programmierer nicht als Möglichkeit in Betracht gezogen hatte.

Am 14. September 1993 stürzte ein Airbus A 320 der Lufthansa bei der Landung in Warschau ab (Bild 1). Eine sorgfältige Untersuchung des Unfalls ergab, dass Änderungen in der Landelogik des Bordcomputers nach einem Unfall mit einer Boeing 767 der Lauda Air im Jahr 1991 mitverantwortlich für diese Bruchlandung waren. Was beim Unfall von 1991 passiert war, war, dass die Schubumlenkung, die einen Teil der Motorgase umleitet, um das Flugzeug bei der Landung abzubremsen, noch in der Luft eingesetzt hatte, wodurch die Maschine in einen unkontrollierbaren Sturzflug gezwungen wurde. Aus diesem Grund war in die Airbus-Maschinen eine elektronische Verriegelung der Schubumlenkung eingebaut worden. Dieser Mechanismus ließ die Schubumlenkung erst wirksam werden, nachdem Sensoren an beiden Fahrwerkssätzen das Zusammendrücken der Stoßdämpfer unter dem Druck der aufsetzenden Räder signalisiert hatten. Aufgrund falscher Angaben rechneten die Piloten des Flugzeugs in Warschau mit starkem Seitenwind.

Abbildung 1. Lufthansa Airbus nach dem Unfall in Warschau 1993

Aus diesem Grund brachten sie die Maschine leicht geneigt an und der Airbus setzte nur mit dem rechten Rad auf, wobei das linke Lager weniger als das volle Gewicht beließ. Aufgrund der elektronischen Verriegelung der Schubumlenkung verweigerte der Bordcomputer dem Piloten für die Dauer von neun Sekunden solche Manöver, die dem Flugzeug trotz widriger Umstände eine sichere Landung ermöglicht hätten. Dieser Unfall zeigt sehr deutlich, dass Änderungen an Computersystemen zu neuen und gefährlichen Situationen führen können, wenn die Bandbreite ihrer möglichen Folgen nicht im Voraus berücksichtigt wird.

Auch das folgende Beispiel einer Fehlfunktion zeigt, welche verheerenden Auswirkungen die Änderung eines einzigen Befehls in Computersystemen haben kann. Der Alkoholgehalt des Blutes wird in chemischen Tests mit klarem Blutserum bestimmt, aus dem zuvor die Blutkörperchen abzentrifugiert wurden. Der Alkoholgehalt des Serums ist daher um den Faktor 1.2 höher als der des dickeren Vollbluts. Aus diesem Grund müssen die Alkoholwerte im Serum durch den Faktor 1.2 dividiert werden, um die rechtlich und medizinisch kritischen Promillezahlen zu ermitteln. Bei dem 1984 durchgeführten Ringversuch sollten die in identischen Tests an verschiedenen Forschungseinrichtungen mit Serum ermittelten Blutalkoholwerte miteinander verglichen werden. Da es sich nur um einen Vergleich handelte, wurde außerdem der Befehl zum Teilen durch 1.2 für die Dauer des Experiments an einer der Institutionen aus dem Programm gestrichen. Nach Beendigung des Ringversuchs wurde an dieser Stelle fälschlicherweise ein Befehl zum Multiplizieren mit 1.2 in das Programm eingefügt. Als Folge wurden zwischen August 1,500 und März 1984 rund 1985 falsche Promillewerte berechnet. Dieser Fehler war für die Berufskarrieren von Lkw-Fahrern mit Blutalkoholwerten zwischen 1.0 und 1.3 Promille kritisch, da bei einem Wert von 1.3 Promille eine strafrechtliche Ahndung des Führerscheins über einen längeren Zeitraum die Folge ist.

Unfälle, die durch Einwirkungen von Betriebsbeanspruchungen oder Umweltbelastungen verursacht werden

Als Folge einer durch Abfallansammlung verursachten Störung im Wirkbereich einer CNC (Computer Numeric Control) Stanz- und Nibbelmaschine hat der Anwender den „programmierten Stopp“ veranlasst. Als er versuchte, den Abfall mit den Händen zu entfernen, geriet die Schubstange der Maschine trotz des programmierten Stopps in Bewegung und verletzte den Benutzer schwer. Eine Analyse des Unfalls ergab, dass es sich nicht um einen Programmfehler gehandelt hatte. Der unerwartete Anlauf konnte nicht reproduziert werden. Ähnliche Unregelmäßigkeiten waren in der Vergangenheit bei anderen Maschinen des gleichen Typs beobachtet worden. Daraus lässt sich plausibel ableiten, dass der Unfall durch elektromagnetische Störungen verursacht worden sein muss. Ähnliche Unfälle mit Industrierobotern werden aus Japan berichtet (Neumann 1987).

Eine Fehlfunktion der Raumsonde Voyager 2 am 18. Januar 1986 macht den Einfluss von Umweltbelastungen auf computergesteuerte Systeme noch deutlicher. Sechs Tage vor der größten Annäherung an Uranus bedeckten große Felder aus schwarz-weißen Linien die Bilder von Voyager 2. Eine genaue Analyse ergab, dass ein einziges Bit in einem Befehlswort des Flugdaten-Subsystems den Ausfall verursacht hatte, beobachtet als die Bilder wurden in der Sonde komprimiert. Dieses Bit war höchstwahrscheinlich durch den Einschlag eines kosmischen Teilchens im Programmspeicher verschoben worden. Die fehlerfreie Übertragung der komprimierten Aufnahmen der Sonde erfolgte bereits zwei Tage später mit einem Ersatzprogramm, das den ausgefallenen Speicherpunkt umgehen konnte (Laeser, McLaughlin und Wolff 1987).

Zusammenfassung der vorgestellten Unfälle

Die analysierten Unfälle zeigen, dass bestimmte Risiken, die unter Bedingungen einfacher, elektromechanischer Technik vernachlässigt werden könnten, durch den Einsatz von Computern an Bedeutung gewinnen. Computer erlauben die Verarbeitung komplexer und situationsspezifischer Sicherheitsfunktionen. Eine eindeutige, fehlerfreie, vollständige und prüfbare Spezifikation aller Sicherheitsfunktionen wird aus diesem Grund besonders wichtig. Fehler in Spezifikationen sind schwer zu entdecken und häufig die Ursache für Unfälle in komplexen Systemen. Frei programmierbare Steuerungen werden meist mit der Absicht eingeführt, flexibel und schnell auf sich verändernde Märkte reagieren zu können. Modifikationen haben jedoch – insbesondere in komplexen Systemen – schwer vorhersehbare Nebenwirkungen. Alle Änderungen müssen daher einem streng formalen Änderungsmanagement unterzogen werden, bei dem eine klare Trennung von Sicherheitsfunktionen von nicht sicherheitsrelevanten Teilsystemen dazu beiträgt, die Folgen von Änderungen für die Sicherheitstechnik überschaubar zu halten.

Computer arbeiten mit geringem Stromverbrauch. Sie sind daher anfällig für Störungen durch externe Strahlungsquellen. Da die Veränderung eines einzigen Signals unter Millionen zu einer Fehlfunktion führen kann, lohnt es sich, dem Thema Elektromagnetische Verträglichkeit im Zusammenhang mit Computern besondere Aufmerksamkeit zu schenken.

Die Wartung computergesteuerter Systeme wird derzeit immer komplexer und damit unübersichtlicher. Die Software-Ergonomie von Bedien- und Konfigurationssoftware wird daher aus sicherheitstechnischer Sicht immer interessanter.

Kein Computersystem ist zu 100 % testbar. Eine einfache Steuerung mit 32 binären Eingangsports und 1,000 verschiedenen Softwarepfaden benötigt 4.3 × 10¹² Tests für eine vollständige Überprüfung. Bei einer Rate von 100 durchgeführten und ausgewerteten Tests pro Sekunde würde ein vollständiger Test 1,362 Jahre dauern.

Verfahren und Maßnahmen zur Verbesserung computergesteuerter Sicherheitseinrichtungen

In den letzten 10 Jahren wurden Verfahren entwickelt, die es ermöglichen, spezifische sicherheitstechnische Herausforderungen im Zusammenhang mit Computern zu meistern. Diese Verfahren beziehen sich auf die in diesem Abschnitt beschriebenen Computerfehler. Die beschriebenen Beispiele von Software und Computern in der Maschinenabsicherung und die analysierten Unfälle zeigen, dass das Schadensausmaß und damit auch das Risiko bei verschiedenen Anwendungen sehr unterschiedlich sind. Es ist daher klar, dass die erforderlichen Vorkehrungen zur Verbesserung von Computern und Software, die in der Sicherheitstechnik verwendet werden, in Bezug auf das Risiko getroffen werden sollten.

Abbildung 2 zeigt ein qualitatives Verfahren, mit dem die durch Sicherheitssysteme erzielbare notwendige Risikominderung unabhängig von Schadensausmaß und -häufigkeit ermittelt werden kann (Bell und Reinert 1992). Die im Abschnitt „Unfälle mit computergesteuerten Systemen“ (oben) analysierten Fehlerarten in Computersystemen können mit den sogenannten Safety Integrity Levels – also den technischen Einrichtungen zur Risikominderung – in Beziehung gesetzt werden.

Abbildung 2. Qualitatives Verfahren zur Risikobestimmung

Abbildung 3 verdeutlicht, dass die Effektivität der jeweils getroffenen Maßnahmen zur Fehlerreduzierung in Software und Computern mit steigendem Risiko steigen muss (DIN 1994; IEC 1993).

Abbildung 3, Wirksamkeit der getroffenen Vorkehrungen gegen Fehler unabhängig vom Risiko

Die Analyse der oben skizzierten Unfälle zeigt, dass das Versagen computergesteuerter Schutzeinrichtungen nicht nur durch zufällige Bauteilfehler verursacht wird, sondern auch durch besondere Betriebsbedingungen, die der Programmierer nicht berücksichtigt hat. Eine weitere Fehlerquelle sind die nicht sofort ersichtlichen Folgen von Programmänderungen im Rahmen der Systemwartung. Daraus folgt, dass in mikroprozessorgesteuerten Sicherheitssystemen Fehler auftreten können, die zwar während der Entwicklung des Systems entstanden sind, aber erst im Betrieb zu einer gefährlichen Situation führen können. Bereits in der Entwicklungsphase sicherheitsrelevanter Systeme müssen daher Vorkehrungen gegen solche Ausfälle getroffen werden. Diese sogenannten Fehlervermeidungsmaßnahmen müssen nicht nur in der Konzeptphase, sondern auch im Prozess der Entwicklung, Installation und Modifikation getroffen werden. Bestimmte Fehler können vermieden werden, wenn sie dabei entdeckt und behoben werden (DIN 1990).

Wie das zuletzt beschriebene Missgeschick verdeutlicht, kann der Ausfall eines einzigen Transistors zum technischen Ausfall hochkomplexer automatisierter Anlagen führen. Da jede einzelne Schaltung aus vielen tausend Transistoren und anderen Komponenten zusammengesetzt ist, müssen zahlreiche Maßnahmen zur Fehlervermeidung ergriffen werden, um auftretende Fehler im Betrieb zu erkennen und eine entsprechende Reaktion im Computersystem einzuleiten. Abbildung 4 beschreibt Fehlerarten in programmierbaren elektronischen Systemen sowie Beispiele für Vorkehrungen, die getroffen werden können, um Fehler in Computersystemen zu vermeiden und zu beherrschen (DIN 1990; IEC 1992).

Abbildung 4. Beispiele für Vorkehrungen zur Kontrolle und Vermeidung von Fehlern in Computersystemen

Möglichkeiten und Perspektiven programmierbarer elektronischer Systeme in der Sicherheitstechnik

Moderne Maschinen und Anlagen werden immer komplexer und müssen immer umfangreichere Aufgaben in immer kürzerer Zeit bewältigen. Aus diesem Grund haben Computersysteme seit Mitte der 1970er Jahre nahezu alle Bereiche der Industrie erobert. Allein diese Zunahme der Komplexität hat maßgeblich zu den steigenden Kosten für die Verbesserung der Sicherheitstechnik in solchen Systemen beigetragen. Obwohl Software und Computer eine große Herausforderung an die Sicherheit am Arbeitsplatz darstellen, ermöglichen sie auch die Umsetzung neuer fehlerfreundlicher Systeme im Bereich der Sicherheitstechnik.

Ein skurriler, aber lehrreicher Vers von Ernst Jandl hilft zu erklären, was mit dem Begriff gemeint ist fehlerfreundlich. „Lichtung: Manche meinen Lechten und Rinks kann man nicht velwechsern, werch ein Illtum“. („Dilkation: Viele glauben, dass Licht und Reft nicht ausgetauscht werden können, was für ein Ello.“) Trotz des Austauschs der Briefe r und l, dieser Satz wird von einem normalen erwachsenen Menschen leicht verstanden. Sogar jemand mit geringen Englischkenntnissen kann es ins Englische übersetzen. Diese Aufgabe ist jedoch für einen Übersetzungscomputer allein nahezu unmöglich.

Dieses Beispiel zeigt, dass ein Mensch wesentlich fehlerfreundlicher reagieren kann als ein Sprachcomputer. Das bedeutet, dass der Mensch, wie alle anderen Lebewesen, Fehler tolerieren kann, indem er sie auf Erfahrung bezieht. Betrachtet man die heute im Einsatz befindlichen Maschinen, so sieht man, dass die Mehrzahl der Maschinen Ausfälle der Anwender nicht mit einem Unfall, sondern mit einem Produktionsrückgang bestrafen. Diese Eigenschaft führt zur Manipulation oder Umgehung von Schutzmaßnahmen. Moderne Computertechnik stellt dem Arbeitsschutz Systeme zur Verfügung, die intelligent – ​​also modifiziert – reagieren können. Solche Systeme ermöglichen somit ein fehlerfreundliches Verhalten in neuartigen Maschinen. Sie warnen den Benutzer zunächst bei einer Fehlbedienung und schalten die Maschine erst dann ab, wenn nur so ein Unfall vermieden werden kann. Die Unfallanalyse zeigt, dass in diesem Bereich ein erhebliches Potenzial zur Reduzierung von Unfällen besteht (Reinert und Reuss 1991).

Zurück

Ein hybrides automatisiertes System (HAS) zielt darauf ab, die Fähigkeiten künstlich intelligenter Maschinen (basierend auf Computertechnologie) mit den Fähigkeiten der Menschen zu integrieren, die im Rahmen ihrer Arbeitstätigkeiten mit diesen Maschinen interagieren. Die Hauptanliegen der HAS-Nutzung beziehen sich darauf, wie die menschlichen und maschinellen Subsysteme gestaltet werden sollten, um das Wissen und die Fähigkeiten beider Teile des Hybridsystems optimal zu nutzen, und wie die menschlichen Bediener und Maschinenkomponenten miteinander interagieren sollten sicherzustellen, dass sich ihre Funktionen ergänzen. Viele hybride automatisierte Systeme haben sich als Produkte von Anwendungen moderner informations- und steuerungsbasierter Methoden entwickelt, um verschiedene Funktionen von oft komplexen technologischen Systemen zu automatisieren und zu integrieren. HAS wurde ursprünglich mit der Einführung computergestützter Systeme identifiziert, die beim Entwurf und Betrieb von Echtzeit-Steuerungssystemen für Kernkraftwerke, für chemische Verarbeitungsanlagen und für die Fertigungstechnologie für diskrete Teile verwendet werden. HAS sind mittlerweile auch in vielen Dienstleistungsbranchen zu finden, etwa bei Flugsicherungs- und Flugzeugnavigationsverfahren im Bereich der zivilen Luftfahrt sowie bei der Gestaltung und dem Einsatz von intelligenten Fahrzeug- und Autobahnnavigationssystemen im Straßenverkehr.

Mit fortschreitendem Fortschritt in der computergestützten Automatisierung verlagert sich die Natur menschlicher Aufgaben in modernen technologischen Systemen von solchen, die wahrnehmungsmotorische Fähigkeiten erfordern, hin zu solchen, die kognitive Aktivitäten erfordern, die für die Problemlösung, für die Entscheidungsfindung bei der Systemüberwachung usw. erforderlich sind aufsichtsrechtliche Kontrollaufgaben. Beispielsweise fungieren die menschlichen Bediener in computerintegrierten Fertigungssystemen hauptsächlich als Systemüberwacher, Problemlöser und Entscheidungsträger. Die kognitiven Aktivitäten des menschlichen Supervisors in jeder HAS-Umgebung sind (1) das Planen, was für einen bestimmten Zeitraum getan werden sollte, (2) das Entwickeln von Verfahren (oder Schritten), um die Reihe geplanter Ziele zu erreichen, (3) das Überwachen des Fortschritts von (technologischen) Prozessen, (4) „Lernen“ des Systems durch einen menschlich-interaktiven Computer, (5) Eingreifen, wenn sich das System abnormal verhält oder wenn sich die Steuerungsprioritäten ändern, und (6) Lernen durch Feedback vom System über die Auswirkungen von Aufsichtsmaßnahmen (Sheridan 1987).

Hybrides Systemdesign

Die Mensch-Maschine-Interaktionen in einem HAS beinhalten die Nutzung dynamischer Kommunikationsschleifen zwischen den menschlichen Bedienern und intelligenten Maschinen – ein Prozess, der das Erfassen und Verarbeiten von Informationen sowie das Initiieren und Ausführen von Steuerungsaufgaben und die Entscheidungsfindung umfasst – innerhalb einer gegebenen Struktur der Funktionszuordnung dazwischen Menschen und Maschinen. Die Interaktionen zwischen Menschen und Automatisierung sollten zumindest die hohe Komplexität hybrider automatisierter Systeme sowie relevante Eigenschaften der menschlichen Bediener und Aufgabenanforderungen widerspiegeln. Daher kann das hybride automatisierte System formal als Quintupel in der folgenden Formel definiert werden:

HAT = (T, U, C, E, I)

woher T = Aufgabenanforderungen (physisch und kognitiv); U = Benutzereigenschaften (physisch und kognitiv); C = die Automatisierungsmerkmale (Hardware und Software, einschließlich Computerschnittstellen); E = die Umgebung des Systems; I = eine Reihe von Wechselwirkungen zwischen den oben genannten Elementen.

Die Menge der Interaktionen I verkörpert alle möglichen Interaktionen zwischen T, U und C in E unabhängig von ihrer Art oder Stärke der Assoziation. Beispielsweise könnte eine der möglichen Interaktionen die Beziehung der im Computerspeicher gespeicherten Daten zu dem entsprechenden Wissen des menschlichen Bedieners, falls vorhanden, beinhalten. Die Wechselwirkungen I kann elementar (dh beschränkt auf eine Eins-zu-eins-Assoziation) oder komplex sein, wie z. B. Interaktionen zwischen dem menschlichen Bediener, der speziellen Software, die verwendet wird, um die gewünschte Aufgabe zu erfüllen, und der verfügbaren physikalischen Schnittstelle mit dem Computer.

Designer vieler hybrider automatisierter Systeme konzentrieren sich hauptsächlich auf die computergestützte Integration hochentwickelter Maschinen und anderer Geräte als Teile computerbasierter Technologie, wobei sie selten viel Aufmerksamkeit auf die vorrangige Notwendigkeit einer effektiven menschlichen Integration in solche Systeme richten. Daher sind derzeit viele der computerintegrierten (technologischen) Systeme nicht vollständig kompatibel mit den inhärenten Fähigkeiten der menschlichen Bediener, wie sie sich in den Fähigkeiten und Kenntnissen ausdrücken, die für die wirksame Steuerung und Überwachung dieser Systeme erforderlich sind. Eine solche Inkompatibilität tritt auf allen Ebenen der menschlichen, maschinellen und Mensch-Maschine-Funktion auf und kann im Rahmen des Individuums und der gesamten Organisation oder Einrichtung definiert werden. Beispielsweise treten die Probleme der Integration von Menschen und Technologie in fortgeschrittenen Fertigungsunternehmen früh in der HAS-Designphase auf. Diese Probleme können mit dem folgenden Systemintegrationsmodell der Komplexität von Interaktionen konzeptualisiert werden, I, zwischen den Systemdesignern, D, menschliche Operatoren, Hoder potenzielle Systembenutzer und Technologie, T:

Ich (H, T) = F [ Ich (H, D), Ich (D, T)]

woher I steht für relevante Interaktionen, die in einer gegebenen HAS-Struktur stattfinden, während F weist auf funktionale Beziehungen zwischen Designern, menschlichen Bedienern und Technologie hin.

Das obige Systemintegrationsmodell hebt die Tatsache hervor, dass die Interaktionen zwischen den Benutzern und der Technologie durch das Ergebnis der Integration der beiden früheren Interaktionen bestimmt werden – nämlich (1) die zwischen HAS-Designern und potenziellen Benutzern und (2) die zwischen den Designern und die HAS-Technologie (auf der Ebene der Maschinen und ihrer Integration). Es sollte beachtet werden, dass, obwohl typischerweise starke Interaktionen zwischen Designern und Technologie bestehen, nur sehr wenige Beispiele für ebenso starke Wechselbeziehungen zwischen Designern und menschlichen Bedienern gefunden werden können.

Es kann argumentiert werden, dass selbst in den am stärksten automatisierten Systemen die Rolle des Menschen für eine erfolgreiche Systemleistung auf Betriebsebene entscheidend bleibt. Bainbridge (1983) identifizierte eine Reihe von Problemen, die für den Betrieb des HAS relevant sind und auf die Natur der Automatisierung selbst zurückzuführen sind, wie folgt:

1. Betreiber „außerhalb des Regelkreises“. Die menschlichen Bediener sind im System anwesend, um bei Bedarf die Kontrolle auszuüben, aber da sie „außerhalb des Regelkreises“ sind, können sie nicht die manuellen Fähigkeiten und langfristigen Systemkenntnisse aufrechterhalten, die im Notfall häufig erforderlich sind.
2. Veraltetes „Geistesbild“. Die menschlichen Bediener sind möglicherweise nicht in der Lage, schnell auf Änderungen im Systemverhalten zu reagieren, wenn sie die Ereignisse seines Betriebs nicht sehr genau verfolgt haben. Darüber hinaus kann das Wissen oder die mentale Vorstellung des Bedieners von der Systemfunktion unzureichend sein, um die erforderlichen Reaktionen einzuleiten oder auszuführen.
3. Verschwindende Generationen von Fähigkeiten. Neue Betreiber sind möglicherweise nicht in der Lage, sich durch Erfahrung ausreichende Kenntnisse über das computergestützte System anzueignen, und sind daher nicht in der Lage, bei Bedarf eine wirksame Kontrolle auszuüben.
4. Autorität der Automatik. Wenn das computergestützte System implementiert wurde, weil es die erforderlichen Aufgaben besser ausführen kann als der menschliche Bediener, stellt sich die Frage: „Auf welcher Grundlage sollte der Bediener entscheiden, ob die automatisierten Systeme richtige oder falsche Entscheidungen treffen?“
5. Entstehung der neuen Arten von „menschlichen Fehlern“ durch Automatisierung. Automatisierte Systeme führen zu neuartigen Fehlern und damit zu Unfällen, die im Rahmen herkömmlicher Analysetechniken nicht analysiert werden können.

Aufgabenverteilung

Eines der wichtigsten Themen für das HAS-Design ist die Bestimmung, wie viele und welche Funktionen oder Verantwortlichkeiten den menschlichen Bedienern und welche und wie viele den Computern zugewiesen werden sollten. Im Allgemeinen gibt es drei grundlegende Klassen von Aufgabenzuweisungsproblemen, die berücksichtigt werden sollten: (1) die Aufgabenzuweisung zwischen Mensch und Computer, (2) die Aufgabenzuweisung zwischen Mensch und Mensch und (3) die Aufgabenzuweisung zwischen Computer und Computer. Idealerweise sollten die Zuweisungsentscheidungen durch ein strukturiertes Zuweisungsverfahren getroffen werden, bevor mit dem grundlegenden Systemdesign begonnen wird. Leider ist ein solches systematisches Vorgehen selten möglich, da die zuzuweisenden Funktionen entweder einer weiteren Prüfung bedürfen oder interaktiv zwischen den Systemkomponenten Mensch und Maschine – also durch Anwendung des Supervisory Control Paradigmas – durchgeführt werden müssen. Die Aufgabenzuweisung in hybriden automatisierten Systemen sollte sich auf das Ausmaß der menschlichen und computergestützten Überwachungsverantwortlichkeiten konzentrieren und sollte die Art der Interaktionen zwischen dem menschlichen Bediener und computergestützten Entscheidungsunterstützungssystemen berücksichtigen. Auch die Mittel der Informationsübertragung zwischen Maschinen und den menschlichen Input-Output-Schnittstellen sowie die Kompatibilität von Software mit menschlichen kognitiven Problemlösungsfähigkeiten sollten berücksichtigt werden.

In traditionellen Ansätzen zum Design und Management hybrider automatisierter Systeme wurden Arbeiter als deterministische Input-Output-Systeme betrachtet, und es gab eine Tendenz, die teleologische Natur menschlichen Verhaltens zu missachten – das heißt, das zielorientierte Verhalten, das auf dem Erwerb von basiert relevanten Informationen und der Auswahl von Zielen (Goodstein et al. 1988). Um erfolgreich zu sein, müssen das Design und die Verwaltung fortschrittlicher hybrider automatisierter Systeme auf einer Beschreibung der menschlichen mentalen Funktionen basieren, die für eine bestimmte Aufgabe benötigt werden. Der „Cognitive Engineering“-Ansatz (weiter unten beschrieben) schlägt vor, dass Mensch-Maschine- (Hybrid-)Systeme in Bezug auf menschliche mentale Prozesse konzipiert, entworfen, analysiert und bewertet werden müssen (dh das mentale Modell des Bedieners der adaptiven Systeme wird berücksichtigt). Konto). Das Folgende sind die Anforderungen des menschenzentrierten Ansatzes für HAS-Design und -Betrieb, wie er von Corbett (1988) formuliert wurde:

1. Kompatibilität. Der Systembetrieb sollte keine Fähigkeiten erfordern, die nichts mit bestehenden Fähigkeiten zu tun haben, sondern sollte die Entwicklung bestehender Fähigkeiten ermöglichen. Der menschliche Bediener sollte Informationen eingeben und empfangen, die mit der herkömmlichen Praxis kompatibel sind, damit die Schnittstelle den Vorkenntnissen und Fähigkeiten des Benutzers entspricht.
2. Transparenz. Man kann ein System nicht kontrollieren, ohne es zu verstehen. Daher muss der menschliche Bediener in der Lage sein, die internen Prozesse der Steuerungssoftware des Systems zu „sehen“, wenn das Lernen erleichtert werden soll. Ein transparentes System macht es Benutzern leicht, ein internes Modell der Entscheidungs- und Kontrollfunktionen aufzubauen, die das System ausführen kann.
3. Minimaler Schock. Das System sollte nichts tun, was die Betreiber im Lichte der ihnen zur Verfügung stehenden Informationen über den aktuellen Systemzustand als unerwartet empfinden.
4. Störungskontrolle. Unsichere Aufgaben (wie durch die Wahlstrukturanalyse definiert) sollten unter menschlicher Bedienersteuerung mit Computer-Entscheidungsunterstützung stehen.
5. Fehlbarkeit. Die impliziten Fähigkeiten und Kenntnisse der menschlichen Bediener sollten nicht aus dem System heraus entworfen werden. Die Bediener sollten niemals in eine Position gebracht werden, in der sie hilflos zusehen, wie die Software eine fehlerhafte Operation leitet.
6. Fehlerumkehrbarkeit. Die Software sollte eine ausreichende Weiterleitung von Informationen liefern, um den menschlichen Bediener über die wahrscheinlichen Folgen einer bestimmten Operation oder Strategie zu informieren.
7. Betriebsflexibilität. Das System sollte menschlichen Bedienern die Freiheit bieten, Anforderungen und Ressourcengrenzen abzuwägen, indem sie Betriebsstrategien ändern, ohne die Unterstützung der Steuerungssoftware zu verlieren.

Kognitives Human Factors Engineering

Cognitive Human Factors Engineering konzentriert sich darauf, wie menschliche Bediener am Arbeitsplatz Entscheidungen treffen, Probleme lösen, Pläne formulieren und neue Fähigkeiten erlernen (Hollnagel und Woods 1983). Die Rollen der menschlichen Bediener, die in jedem HAS tätig sind, können unter Verwendung des Schemas von Rasmussen (1983) in drei Hauptkategorien eingeteilt werden:

1. Fähigkeitsbasiertes Verhalten ist die sensomotorische Leistung, die während Handlungen oder Aktivitäten ausgeführt wird, die ohne bewusste Kontrolle als reibungslose, automatisierte und hochintegrierte Verhaltensmuster stattfinden. Menschliche Tätigkeiten, die in diese Kategorie fallen, werden als eine für eine bestimmte Situation zusammengestellte Abfolge qualifizierter Handlungen betrachtet. Fertigkeitsbasiertes Verhalten ist somit der Ausdruck von mehr oder weniger gespeicherten Verhaltensmustern oder vorprogrammierten Anweisungen in einem Raum-Zeit-Bereich.
2. Regelbasiertes Verhalten ist eine zielorientierte Leistungskategorie, die durch Feedforward-Steuerung durch eine gespeicherte Regel oder Prozedur strukturiert ist – das heißt, eine geordnete Leistung, die es ermöglicht, eine Folge von Unterroutinen in einer vertrauten Arbeitssituation zusammenzustellen. Die Regel wird typischerweise aus früheren Erfahrungen ausgewählt und spiegelt die funktionalen Eigenschaften wider, die das Verhalten der Umgebung einschränken. Die regelbasierte Performance basiert auf explizitem Know-how im Umgang mit den relevanten Regeln. Der Entscheidungsdatensatz besteht aus Referenzen zum Erkennen und Identifizieren von Zuständen, Ereignissen oder Situationen.
3. Wissensbasiertes Verhalten ist eine Kategorie der zielgesteuerten Leistung, bei der das Ziel explizit auf der Grundlage der Kenntnis der Umwelt und der Ziele der Person formuliert wird. Die interne Struktur des Systems wird durch ein „mentales Modell“ repräsentiert. Diese Art von Verhalten ermöglicht die Entwicklung und das Testen unterschiedlicher Pläne unter ungewohnten und daher unsicheren Steuerungsbedingungen und wird benötigt, wenn Fähigkeiten oder Regeln entweder nicht verfügbar oder unzureichend sind, so dass stattdessen Problemlösung und Planung in Anspruch genommen werden müssen.

Bei der Gestaltung und Verwaltung eines HAS sollten die kognitiven Merkmale der Arbeiter berücksichtigt werden, um die Kompatibilität des Systembetriebs mit dem internen Modell des Arbeiters sicherzustellen, das seine Funktionen beschreibt. Folglich sollte die Beschreibungsebene des Systems von den kompetenzbasierten zu den regelbasierten und wissensbasierten Aspekten des menschlichen Funktionierens verschoben werden und geeignete Methoden der kognitiven Aufgabenanalyse sollten verwendet werden, um das Bedienermodell eines Systems zu identifizieren. Ein verwandtes Problem bei der Entwicklung eines HAS ist die Gestaltung von Mitteln zur Informationsübertragung zwischen dem menschlichen Bediener und automatisierten Systemkomponenten, sowohl auf physischer als auch auf kognitiver Ebene. Eine solche Informationsübertragung sollte mit den Informationsmodi kompatibel sein, die auf verschiedenen Ebenen des Systembetriebs verwendet werden – d. h. visuell, verbal, taktil oder hybrid. Diese Informationskompatibilität stellt sicher, dass verschiedene Formen der Informationsübertragung eine minimale Inkompatibilität zwischen dem Medium und der Art der Informationen erfordern. Beispielsweise eignet sich eine visuelle Anzeige am besten für die Übertragung räumlicher Informationen, während eine akustische Eingabe verwendet werden kann, um Textinformationen zu übermitteln.

Nicht selten entwickelt der menschliche Bediener ein internes Modell, das den Betrieb und die Funktion des Systems gemäß seiner Erfahrung, Schulung und Anweisungen in Verbindung mit der gegebenen Art von Mensch-Maschine-Schnittstelle beschreibt. Angesichts dieser Realität sollten die Designer eines HAS versuchen, in die Maschinen (oder andere künstliche Systeme) ein Modell der physischen und kognitiven Eigenschaften des menschlichen Bedieners einzubauen – das heißt, das Systembild des Bedieners (Hollnagel und Woods 1983). . Die Designer eines HAS müssen auch die Abstraktionsebene in der Systembeschreibung sowie verschiedene relevante Kategorien des Verhaltens des menschlichen Bedieners berücksichtigen. Diese Abstraktionsebenen zur Modellierung menschlicher Funktionen in der Arbeitsumgebung sind wie folgt (Rasmussen 1983): (1) physische Form (anatomische Struktur), (2) physische Funktionen (physiologische Funktionen), (3) generalisierte Funktionen (psychologische Mechanismen und kognitive und affektive Prozesse), (4) abstrakte Funktionen (Informationsverarbeitung) und (5) funktionaler Zweck (Wertstrukturen, Mythen, Religionen, menschliche Interaktionen). Diese fünf Ebenen müssen von den Designern gleichzeitig berücksichtigt werden, um eine effektive HAS-Leistung sicherzustellen.

Systemsoftware-Design

Da die Computersoftware eine primäre Komponente jeder HAS-Umgebung ist, müssen Softwareentwicklung, einschließlich Design, Testen, Betrieb und Modifikation, sowie Fragen der Softwarezuverlässigkeit auch in den frühen Stadien der HAS-Entwicklung berücksichtigt werden. Auf diese Weise sollte man in der Lage sein, die Kosten für die Erkennung und Beseitigung von Softwarefehlern zu senken. Es ist jedoch schwierig, die Zuverlässigkeit der menschlichen Komponenten eines HAS abzuschätzen, da wir nur eingeschränkt in der Lage sind, die Leistung menschlicher Aufgaben, die damit verbundene Arbeitsbelastung und potenzielle Fehler zu modellieren. Eine zu hohe oder zu geringe mentale Belastung kann zu Informationsüberlastung bzw. Langeweile führen und kann zu einer verminderten menschlichen Leistungsfähigkeit führen, was zu Fehlern und einer zunehmenden Unfallwahrscheinlichkeit führt. Die Designer eines HAS sollten adaptive Schnittstellen verwenden, die Techniken der künstlichen Intelligenz verwenden, um diese Probleme zu lösen. Neben der Mensch-Maschine-Kompatibilität muss auch die Frage der Mensch-Maschine-Anpassungsfähigkeit aneinander betrachtet werden, um die Belastungen zu reduzieren, die durch eine mögliche Überschreitung menschlicher Fähigkeiten entstehen.

Aufgrund der hohen Komplexität vieler hybrider automatisierter Systeme ist die Identifizierung potenzieller Gefahren in Bezug auf Hardware, Software, Betriebsabläufe und Mensch-Maschine-Interaktionen dieser Systeme entscheidend für den Erfolg von Bemühungen zur Reduzierung von Verletzungen und Geräteschäden . Sicherheits- und Gesundheitsgefahren im Zusammenhang mit komplexen hybriden automatisierten Systemen, wie z. B. Computer-Integrated Manufacturing Technology (CIM), sind eindeutig einer der kritischsten Aspekte des Systemdesigns und -betriebs.

Probleme mit der Systemsicherheit

Hybride automatisierte Umgebungen mit ihrem erheblichen Potenzial für unberechenbares Verhalten der Steuerungssoftware unter Systemstörungsbedingungen schaffen eine neue Generation von Unfallrisiken. Da hybride automatisierte Systeme vielseitiger und komplexer werden, können Systemstörungen, einschließlich Start- und Abschaltproblemen und Abweichungen in der Systemsteuerung, die Möglichkeit einer ernsthaften Gefahr für die menschlichen Bediener erheblich erhöhen. Ironischerweise verlassen sich die Bediener in vielen anormalen Situationen normalerweise auf das ordnungsgemäße Funktionieren der automatisierten Sicherheitssubsysteme, eine Praxis, die das Risiko schwerer Verletzungen erhöhen kann. So zeigte beispielsweise eine Untersuchung von Unfällen im Zusammenhang mit Fehlfunktionen technischer Steuerungssysteme, dass etwa ein Drittel der Unfallabläufe einen menschlichen Eingriff in den Regelkreis des gestörten Systems beinhaltete.

Da traditionelle Sicherheitsmaßnahmen nicht einfach an die Bedürfnisse von HAS-Umgebungen angepasst werden können, müssen Strategien zur Verletzungskontrolle und Unfallverhütung angesichts der inhärenten Eigenschaften dieser Systeme überdacht werden. Beispielsweise sind im Bereich der fortschrittlichen Fertigungstechnologie viele Prozesse durch das Vorhandensein erheblicher Mengen an Energieströmen gekennzeichnet, die von den menschlichen Bedienern nicht ohne weiteres vorhergesehen werden können. Darüber hinaus treten Sicherheitsprobleme typischerweise an den Schnittstellen zwischen Teilsystemen auf oder wenn Systemstörungen von einem Teilsystem zum anderen fortschreiten. Gemäß der Internationalen Organisation für Normung (ISO 1991) variieren die Risiken im Zusammenhang mit Gefahren durch industrielle Automatisierung mit den Arten von Industriemaschinen, die in das jeweilige Fertigungssystem integriert sind, und mit der Art und Weise, wie das System installiert, programmiert, betrieben und gewartet wird und repariert. Beispielsweise zeigte ein Vergleich von Unfällen im Zusammenhang mit Robotern in Schweden mit anderen Arten von Unfällen, dass Roboter möglicherweise die gefährlichsten Industriemaschinen sind, die in der fortgeschrittenen Fertigungsindustrie eingesetzt werden. Die geschätzte Unfallrate für Industrieroboter war ein schwerer Unfall pro 45 Roboterjahre, eine höhere Rate als die für Industriepressen, die mit einem Unfall pro 50 Maschinenjahre angegeben wurde. An dieser Stelle sei darauf hingewiesen, dass Industriepressen in den Vereinigten Staaten im Zeitraum 23–1980 etwa 1985 % aller Todesfälle im Zusammenhang mit Metallbearbeitungsmaschinen ausmachten, wobei Kraftpressen in Bezug auf das Schwere-Häufigkeits-Produkt für nicht tödliche Verletzungen an erster Stelle rangierten.

Im Bereich der fortschrittlichen Fertigungstechnologie gibt es viele bewegliche Teile, die für Arbeiter gefährlich sind, da sie ihre Position auf komplexe Weise außerhalb des Sichtfelds der menschlichen Bediener ändern. Die schnellen technologischen Entwicklungen in der computerintegrierten Fertigung machten es erforderlich, die Auswirkungen fortschrittlicher Fertigungstechnologien auf die Arbeitnehmer zu untersuchen. Um die Gefahren zu identifizieren, die von verschiedenen Komponenten einer solchen HAS-Umgebung ausgehen, müssen vergangene Unfälle sorgfältig analysiert werden. Unglücklicherweise lassen sich Unfälle mit Robotereinsatz nur schwer von Berichten über Unfälle im Zusammenhang mit von Menschen bedienten Maschinen isolieren, und daher kann es einen hohen Prozentsatz an nicht erfassten Unfällen geben. Die Arbeitsschutzvorschriften Japans besagen, dass „Industrieroboter derzeit keine zuverlässigen Sicherheitsmittel haben und Arbeiter nicht vor ihnen geschützt werden können, wenn ihre Verwendung nicht geregelt ist“. Beispielsweise zeigten die Ergebnisse der vom Arbeitsministerium Japans (Sugimoto 1987) durchgeführten Erhebung zu Unfällen im Zusammenhang mit Industrierobotern in den 190 untersuchten Fabriken (mit 4,341 Arbeitsrobotern), dass es 300 roboterbedingte Störungen gab, davon 37 Fälle der unsicheren Handlungen führten zu Beinahe-Unfällen, 9 Unfälle mit Verletzungen und 2 tödliche Unfälle. Die Ergebnisse anderer Studien weisen darauf hin, dass computergestützte Automatisierung nicht unbedingt das Gesamtsicherheitsniveau erhöht, da die Systemhardware nicht allein durch Sicherheitsfunktionen in der Computersoftware ausfallsicher gemacht werden kann und Systemsteuerungen nicht immer sehr zuverlässig sind. Darüber hinaus kann man sich in einem komplexen HAS nicht ausschließlich auf Sicherheitserfassungsgeräte verlassen, um gefährliche Bedingungen zu erkennen und geeignete Gefahrenvermeidungsstrategien zu ergreifen.

Auswirkungen der Automatisierung auf die menschliche Gesundheit

Wie oben diskutiert, sind Arbeiteraktivitäten in vielen HAS-Umgebungen im Grunde solche der Überwachung, Überwachung, Systemunterstützung und Wartung. Diese Aktivitäten können auch wie folgt in vier grundlegende Gruppen eingeteilt werden: (1) Programmieraufgaben, dh Codieren der Informationen, die den Maschinenbetrieb führen und lenken, (2) Überwachung der HAS-Produktions- und Steuerkomponenten, (3) Wartung von HAS-Komponenten zur Verhinderung oder Maschinenfehlfunktionen zu lindern und (4) eine Vielzahl von Unterstützungsaufgaben durchzuführen usw. Viele neuere Untersuchungen der Auswirkungen des HAS auf das Wohlbefinden der Arbeiter kamen zu dem Schluss, dass die Verwendung eines HAS im Fertigungsbereich schwere und gefährliche Aufgaben beseitigen kann , kann die Arbeit in einer HAS-Umgebung für die Arbeitnehmer unbefriedigend und stressig sein. Zu den Stressquellen gehörten die ständige Überwachung, die bei vielen HAS-Anwendungen erforderlich ist, der begrenzte Umfang der zugewiesenen Aktivitäten, das geringe Maß an Arbeiterinteraktion, das durch das Systemdesign zulässig ist, und Sicherheitsrisiken im Zusammenhang mit der unvorhersehbaren und unkontrollierbaren Natur der Ausrüstung. Auch wenn einige Mitarbeiter, die an Programmier- und Wartungsaktivitäten beteiligt sind, die Elemente der Herausforderung spüren, die sich positiv auf ihr Wohlbefinden auswirken können, werden diese Auswirkungen oft durch die komplexe und anspruchsvolle Natur dieser Aktivitäten sowie durch den Druck ausgeglichen Anstrengungen des Managements, diese Aktivitäten schnell abzuschließen.

Obwohl in einigen HAS-Umgebungen die menschlichen Bediener während normaler Betriebsbedingungen von traditionellen Energiequellen (Arbeitsfluss und Bewegung der Maschine) getrennt sind, müssen viele Aufgaben in automatisierten Systemen immer noch in direktem Kontakt mit anderen Energiequellen ausgeführt werden. Da die Zahl der unterschiedlichen HAS-Komponenten ständig zunimmt, muss besonderes Augenmerk auf den Komfort und die Sicherheit der Arbeiter und auf die Entwicklung wirksamer Vorkehrungen zur Vermeidung von Verletzungen gelegt werden, insbesondere angesichts der Tatsache, dass die Arbeiter nicht mehr in der Lage sind, mit den Anforderungen Schritt zu halten Ausgereiftheit und Komplexität solcher Systeme.

Um den aktuellen Anforderungen an Verletzungskontrolle und Arbeitssicherheit in computerintegrierten Fertigungssystemen gerecht zu werden, hat das ISO-Komitee für industrielle Automatisierungssysteme eine neue Sicherheitsnorm mit dem Titel „Sicherheit integrierter Fertigungssysteme“ (1991) vorgeschlagen. Diese neue internationale Norm, die in Anbetracht der besonderen Gefahren entwickelt wurde, die in integrierten Fertigungssystemen mit Industriemaschinen und zugehöriger Ausrüstung bestehen, zielt darauf ab, die Möglichkeit von Verletzungen des Personals bei der Arbeit an oder neben einem integrierten Fertigungssystem zu minimieren. Die durch diese Norm identifizierten Hauptquellen potenzieller Gefahren für die menschlichen Bediener in CIM sind in Abbildung 1 dargestellt.

Abbildung 1. Hauptgefahrenquellen in der computerintegrierten Fertigung (CIM) (nach ISO 1991)

Menschliche und Systemfehler

Im Allgemeinen können Gefahren in einem HAS aus dem System selbst, aus seiner Verbindung mit anderen in der physischen Umgebung vorhandenen Geräten oder aus Interaktionen von menschlichem Personal mit dem System entstehen. Ein Unfall ist nur eine von mehreren Folgen von Interaktionen zwischen Mensch und Maschine, die unter gefährlichen Bedingungen auftreten können; Beinahunfälle und Schadensereignisse sind viel häufiger (Zimolong und Duda 1992). Das Auftreten eines Fehlers kann zu einer dieser Folgen führen: (1) der Fehler bleibt unbemerkt, (2) das System kann den Fehler kompensieren, (3) der Fehler führt zu einem Maschinen- und/oder Anlagenstillstand oder (4 ) führt der Fehler zu einem Unfall.

Da nicht jeder menschliche Fehler, der zu einem kritischen Vorfall führt, einen tatsächlichen Unfall verursacht, ist es angemessen, zwischen den Ergebniskategorien wie folgt weiter zu unterscheiden: (1) ein unsicherer Vorfall (d. h. jedes unbeabsichtigte Ereignis, unabhängig davon, ob es zu Verletzungen, Schäden oder Verlust), (2) ein Unfall (dh ein unsicheres Ereignis, das zu Verletzungen, Schäden oder Verlusten führt), (3) ein Schadensereignis (dh ein unsicheres Ereignis, das nur zu einer Art Sachschaden führt), (4) a Beinahe-Unfall oder „Beinahe-Unfall“ (d. h. ein unsicheres Ereignis, bei dem Verletzungen, Schäden oder Verluste zufällig nur knapp vermieden wurden) und (5) das Vorhandensein eines Unfallpotenzials (d. h. unsichere Ereignisse, die zu Verletzungen, Schäden hätten führen können oder Verlust, aber aufgrund der Umstände nicht einmal zu einem Beinahe-Unfall geführt hat).

Man kann drei grundlegende Arten von menschlichem Versagen bei HAS unterscheiden:

1. Geschicklichkeitsbasierte Ausrutscher und Verfehlungen
2. regelbasierte Fehler
3. wissensbasierte Fehler.

Diese von Reason (1990) entwickelte Taxonomie basiert auf einer Modifikation von Rasmussens Fähigkeit-Regel-Wissen-Klassifikation menschlicher Leistung, wie oben beschrieben. Auf der fähigkeitsbasierten Ebene wird die menschliche Leistung durch gespeicherte Muster vorprogrammierter Anweisungen bestimmt, die als analoge Strukturen in einem Raum-Zeit-Bereich dargestellt werden. Die regelbasierte Ebene ist anwendbar, um vertraute Probleme anzugehen, bei denen Lösungen durch gespeicherte Regeln geregelt werden (als „Produktionen“ bezeichnet, da auf sie bei Bedarf zugegriffen oder sie erzeugt werden). Diese Regeln erfordern bestimmte Diagnosen (oder Beurteilungen) oder bestimmte Abhilfemaßnahmen, wenn bestimmte Bedingungen eingetreten sind, die eine angemessene Reaktion erfordern. Auf dieser Ebene sind menschliche Fehler typischerweise mit der Fehlklassifizierung von Situationen verbunden, was entweder zur Anwendung der falschen Regel oder zur falschen Erinnerung an daraus resultierende Urteile oder Verfahren führt. Wissensbasierte Fehler treten in neuartigen Situationen auf, für die Aktionen „online“ (zu einem bestimmten Zeitpunkt) geplant werden müssen, wobei bewusste analytische Prozesse und gespeichertes Wissen verwendet werden. Fehler auf dieser Ebene entstehen durch Ressourcenbeschränkungen und unvollständiges oder falsches Wissen.

Die von Reason (1990) vorgeschlagenen generischen Fehlermodellierungssysteme (GEMS), die versuchen, die Ursprünge der grundlegenden menschlichen Fehlertypen zu lokalisieren, können verwendet werden, um die Gesamttaxonomie des menschlichen Verhaltens in einem HAS abzuleiten. GEMS versucht, zwei unterschiedliche Bereiche der Fehlerforschung zu integrieren: (1) Ausrutscher und Versäumnisse, bei denen Aktionen aufgrund von Ausführungsfehlern und/oder Speicherfehlern von der aktuellen Absicht abweichen, und (2) Fehler, bei denen die Aktionen planmäßig ablaufen können, aber der Plan reicht nicht aus, um das gewünschte Ergebnis zu erzielen.

Gefährdungsbeurteilung und -prävention im CIM

Gemäß ISO (1991) sollte eine Risikobewertung in CIM durchgeführt werden, um alle Risiken zu minimieren und als Grundlage für die Festlegung von Sicherheitszielen und -maßnahmen bei der Entwicklung von Programmen oder Plänen zu dienen, um sowohl ein sicheres Arbeitsumfeld zu schaffen als auch zu gewährleisten auch die Sicherheit und Gesundheit des Personals. Zum Beispiel können Arbeitsgefahren in produktionsbasierten HAS-Umgebungen wie folgt charakterisiert werden: (1) der menschliche Bediener muss möglicherweise den Gefahrenbereich während der Fehlerbehebung, Service- und Wartungsarbeiten betreten, (2) der Gefahrenbereich ist schwer zu bestimmen, wahrzunehmen und zu kontrollieren, (3) die Arbeit kann eintönig sein und (4) die Unfälle, die sich in computerintegrierten Fertigungssystemen ereignen, sind oft schwerwiegend. Jede identifizierte Gefahr sollte auf ihr Risiko hin bewertet werden, und geeignete Sicherheitsmaßnahmen sollten festgelegt und umgesetzt werden, um dieses Risiko zu minimieren. Gefahren sollten auch in Bezug auf alle folgenden Aspekte eines bestimmten Prozesses festgestellt werden: die einzelne Einheit selbst; die Interaktion zwischen einzelnen Einheiten; die Betriebsabschnitte des Systems; und den Betrieb des vollständigen Systems für alle beabsichtigten Betriebsmodi und Bedingungen, einschließlich Bedingungen, unter denen normale Schutzmaßnahmen für Vorgänge wie Programmierung, Überprüfung, Fehlersuche, Wartung oder Reparatur außer Kraft gesetzt sind.

Die Entwurfsphase der ISO (1991) Sicherheitsstrategie für CIM umfasst:

• Angabe der Grenzen von Systemparametern
• Anwendung einer Sicherheitsstrategie
• Identifizierung von Gefahren
• Einschätzung der damit verbundenen Risiken
• Beseitigung der Gefahren oder Verringerung der Risiken so weit wie möglich.

Die Systemsicherheitsspezifikation sollte Folgendes umfassen:

• eine Beschreibung der Systemfunktionen
• ein Systemlayout und/oder -modell
• die Ergebnisse einer Umfrage, die durchgeführt wurde, um das Zusammenspiel verschiedener Arbeitsprozesse und manueller Tätigkeiten zu untersuchen
• eine Analyse von Prozessabläufen, einschließlich manueller Eingriffe
• eine Beschreibung der Schnittstellen zu Förder- oder Transportstrecken
• Prozessflussdiagramme
• Gründungspläne
• Pläne für Ver- und Entsorgungseinrichtungen
• Ermittlung des Platzbedarfs für die Materialver- und -entsorgung
• vorhandene Unfallunterlagen.

Gemäß ISO (1991) müssen alle notwendigen Anforderungen zur Gewährleistung eines sicheren CIM-Systembetriebs bei der Gestaltung systematischer Sicherheitsplanungsverfahren berücksichtigt werden. Dies umfasst alle Schutzmaßnahmen zur wirksamen Minderung von Gefahren und erfordert:

• Integration der Mensch-Maschine-Schnittstelle
• frühzeitige Definition der Position der am System Arbeitenden (zeitlich und räumlich)
• frühzeitige Überlegungen zum Abbau von Einzelarbeit
• Berücksichtigung von Umweltaspekten.

Das Sicherheitsplanungsverfahren sollte unter anderem die folgenden Sicherheitsaspekte von CIM berücksichtigen:

• Auswahl der Betriebsarten des Systems. Die Steuerausrüstung sollte Vorkehrungen für mindestens die folgenden Betriebsmodi haben: (1) Normal- oder Produktionsmodus (d. h. mit allen normalen Schutzvorrichtungen angeschlossen und in Betrieb), (2) Betrieb mit einigen der normalen Schutzvorrichtungen außer Kraft gesetzt und (3) Betrieb im eingeschalteten Zustand welches System oder ferngesteuerte manuelle Auslösen von Gefahrensituationen verhindert wird (z. B. im Fall einer lokalen Bedienung oder einer Trennung der Stromversorgung oder einer mechanischen Blockierung von Gefahrensituationen).
• Schulung, Installation, Inbetriebnahme und Funktionstest. Wenn sich Personal im Gefahrenbereich aufhalten muss, sollten die folgenden Sicherheitsmaßnahmen im Steuerungssystem vorgesehen werden: (1) Totmannfunktion, (2) Zustimmungseinrichtung, (3) reduzierte Geschwindigkeit, (4) reduzierte Leistung und (5 ) beweglicher Not-Halt.
• Sicherheit bei Systemprogrammierung, Wartung und Reparatur. Während des Programmierens sollte nur der Programmierer den geschützten Raum betreten dürfen. Das System sollte über Inspektions- und Wartungsverfahren verfügen, um den bestimmungsgemäßen Betrieb des Systems sicherzustellen. Das Inspektions- und Wartungsprogramm sollte die Empfehlungen des Systemlieferanten und die der Lieferanten verschiedener Elemente des Systems berücksichtigen. Es muss kaum erwähnt werden, dass Personal, das Wartungs- oder Reparaturarbeiten am System durchführt, in den Verfahren geschult werden sollte, die zur Ausführung der erforderlichen Aufgaben erforderlich sind.
• Störungsbeseitigung. Wenn eine Fehlerbeseitigung innerhalb des geschützten Raums erforderlich ist, sollte sie nach einer sicheren Trennung (oder, wenn möglich, nachdem eine Verriegelungsvorrichtung betätigt wurde) durchgeführt werden. Zusätzliche Maßnahmen gegen das irrtümliche Auslösen von Gefahrensituationen sollten getroffen werden. Wo bei der Störungsbeseitigung an Anlagenteilen oder an Maschinen benachbarter Anlagen oder Maschinen Gefahren auftreten können, sind diese ebenfalls außer Betrieb zu setzen und gegen unerwartetes Anlaufen zu sichern. Durch Hinweis- und Warnschilder soll auf die Störungsbeseitigung nicht vollständig beobachtbarer Anlagenteile hingewiesen werden.

Systemstörungskontrolle

In vielen HAS-Installationen, die im Bereich der computerintegrierten Fertigung verwendet werden, werden menschliche Bediener typischerweise zum Zweck des Steuerns, Programmierens, Wartens, Voreinstellens, Wartens oder Behebens von Aufgaben benötigt. Störungen in der Anlage führen zu Situationen, die ein Betreten der Gefahrenbereiche durch die Arbeiter erforderlich machen. Insofern ist davon auszugehen, dass Störungen weiterhin der wichtigste Grund für menschliche Eingriffe in CIM bleiben, da die Systeme häufig von außerhalb der Sperrgebiete programmiert werden. Eines der wichtigsten Themen für die CIM-Sicherheit ist die Vermeidung von Störungen, da die meisten Risiken in der Fehlerbehebungsphase des Systems auftreten. Die Vermeidung von Störungen ist das gemeinsame Ziel hinsichtlich Sicherheit und Wirtschaftlichkeit.

Eine Störung in einem CIM-System ist ein Zustand oder eine Funktion eines Systems, die vom geplanten oder gewünschten Zustand abweicht. Neben der Produktivität wirken sich Störungen beim Betrieb eines CIM direkt auf die Sicherheit der am Betrieb der Anlage beteiligten Personen aus. Eine finnische Studie (Kuivanen 1990) zeigte, dass etwa die Hälfte der Störungen in der automatisierten Fertigung die Sicherheit der Arbeiter beeinträchtigen. Die Hauptursachen für Störungen waren Fehler im Systemdesign (34 %), Ausfälle von Systemkomponenten (31 %), menschliches Versagen (20 %) und externe Faktoren (15 %). Die meisten Maschinenausfälle wurden durch das Steuersystem verursacht, und im Steuersystem traten die meisten Fehler in Sensoren auf. Eine effektive Möglichkeit, das Sicherheitsniveau von CIM-Anlagen zu erhöhen, besteht darin, die Anzahl der Störungen zu reduzieren. Obwohl menschliche Handlungen in gestörten Systemen das Auftreten von Unfällen in der HAS-Umgebung verhindern, tragen sie auch dazu bei. So zeigte beispielsweise eine Untersuchung von Unfällen im Zusammenhang mit Fehlfunktionen technischer Steuerungssysteme, dass etwa ein Drittel der Unfallabläufe einen menschlichen Eingriff in den Regelkreis des gestörten Systems beinhaltete.

Die Hauptforschungsthemen in der CIM-Störungsprävention betreffen (1) Hauptursachen von Störungen, (2) unzuverlässige Komponenten und Funktionen, (3) die Auswirkungen von Störungen auf die Sicherheit, (4) die Auswirkungen von Störungen auf die Funktion des Systems, ( 5) Sachschäden und (6) Reparaturen. Die Sicherheit von HAS sollte frühzeitig in der Phase des Systementwurfs unter gebührender Berücksichtigung von Technologie, Personal und Organisation geplant werden und ein integraler Bestandteil des gesamten technischen HAS-Planungsprozesses sein.

HAS-Design: Zukünftige Herausforderungen

Um den größtmöglichen Nutzen aus hybriden automatisierten Systemen, wie oben diskutiert, sicherzustellen, ist eine viel breitere Vision der Systementwicklung erforderlich, die auf der Integration von Menschen, Organisation und Technologie basiert. Drei Haupttypen der Systemintegration sollten hier angewendet werden:

1. Integration von Menschen, indem eine effektive Kommunikation zwischen ihnen sichergestellt wird
2. Mensch-Computer-Integration, indem geeignete Schnittstellen und Interaktionen zwischen Menschen und Computern entworfen werden
3. technologische Integration, indem effektive Schnittstellen und Interaktionen zwischen Maschinen sichergestellt werden.

Die Mindestdesignanforderungen für hybride automatisierte Systeme sollten Folgendes umfassen: (1) Flexibilität, (2) dynamische Anpassung, (3) verbesserte Reaktionsfähigkeit und (4) die Notwendigkeit, Menschen zu motivieren und ihre Fähigkeiten, ihr Urteilsvermögen und ihre Erfahrung besser zu nutzen . Das oben Gesagte erfordert auch, dass Organisationsstrukturen, Arbeitspraktiken und Technologien entwickelt werden, die es Menschen auf allen Ebenen des Systems ermöglichen, ihre Arbeitsstrategien an die Vielfalt der Systemsteuerungssituationen anzupassen. Daher müssen die Organisationen, Arbeitsweisen und Technologien von HAS als offene Systeme konzipiert und entwickelt werden (Kidd 1994).

Ein offenes hybrides automatisiertes System (OHAS) ist ein System, das Eingaben von seiner Umgebung empfängt und Ausgaben an diese sendet. Die Idee eines offenen Systems lässt sich nicht nur auf Systemarchitekturen und Organisationsstrukturen anwenden, sondern auch auf Arbeitspraktiken, Mensch-Computer-Schnittstellen und die Beziehung zwischen Menschen und Technologien: Zu nennen sind beispielsweise Planungssysteme, Steuerungssysteme und Entscheidungsunterstützungssysteme. Ein offenes System ist auch dann ein adaptives System, wenn es den Menschen einen großen Freiheitsgrad bei der Definition der Betriebsweise des Systems lässt. Beispielsweise können im Bereich Advanced Manufacturing die Anforderungen an ein offenes hybrides automatisiertes System durch das Konzept von realisiert werden menschen- und computerintegrierte Fertigung (HCIM). Aus dieser Sicht sollte das Design der Technologie die gesamte HCIM-Systemarchitektur berücksichtigen, einschließlich der folgenden: (1) Überlegungen zum Netzwerk von Gruppen, (2) die Struktur jeder Gruppe, (3) die Interaktion zwischen Gruppen, (4) die Art der unterstützenden Software und (5) technische Kommunikations- und Integrationsanforderungen zwischen unterstützenden Softwaremodulen.

Das adaptive hybride automatisierte System schränkt im Gegensatz zum geschlossenen System nicht ein, was die menschlichen Bediener tun können. Die Rolle des Designers eines HAS besteht darin, ein System zu schaffen, das die persönlichen Vorlieben des Benutzers erfüllt und es seinen Benutzern ermöglicht, so zu arbeiten, wie sie es am geeignetsten finden. Eine Voraussetzung für das Zulassen von Benutzereingaben ist die Entwicklung einer adaptiven Entwurfsmethodik – also eines OHAS, der es ermöglicht, computergestützte Technologie für seine Implementierung im Entwurfsprozess zu ermöglichen. Die Notwendigkeit, eine Methodik für adaptives Design zu entwickeln, ist eine der unmittelbaren Voraussetzungen, um das OHAS-Konzept in die Praxis umzusetzen. Es muss auch eine neue Ebene der adaptiven menschlichen Überwachungssteuerungstechnologie entwickelt werden. Eine solche Technologie sollte es dem menschlichen Bediener ermöglichen, das ansonsten unsichtbare Steuersystem der HAS-Funktion „durchzuschauen“ – beispielsweise durch Anwendung eines interaktiven Hochgeschwindigkeits-Videosystems an jedem Punkt der Systemsteuerung und des Betriebs. Schließlich wird auch dringend eine Methodik zur Entwicklung einer intelligenten und hochgradig anpassungsfähigen computergestützten Unterstützung menschlicher Rollen und menschlicher Funktionen in hybriden automatisierten Systemen benötigt.

Zurück