Wie die Konformität einer Maschinensteuerung bewerten?

Das Bild zeigt die Auswirkungen der neu integrierten Eintrittswahrscheinlichkeit auf die Einstufung des erforderlichen Performance Level beim Risikographen der aktuellen DIN EN ISO 13849-1:2016. Ist diese niedrig, dann kann der Performance Level PLr um eine Stufe gesenkt werden (verändert nach DIN EN ISO 13849-1: 2016). (Bild: TÜV Süd Industrie Service)

Die Maschine ist fertig montiert und die Steuerung ist eingebaut. Es fehlt nur noch das CE-Kennzeichen und die Maschine kann ausgeliefert werden. Das sollte eigentlich kein Problem darstellen, denn alle Komponenten entsprechen dem Stand der Technik und sind gemäß Herstellerangaben ein­gebaut. Der Ingenieur hat bereits eine ähnliche Maschine entwickelt. An den Sicherheitsanforderungen wird sich also nichts Grundlegendes geändert haben. Der Konstrukteur hat genug Erfahrung und weiß welche Teile er verwenden muss. Der tech-nische Redakteur schließlich kann sich für die Betriebsanleitung an den Vorgängermodellen orientieren. Was soll also noch schief gehen?

Es gibt genug Wege über die sich Fehler einschleichen können. Vielleicht, weil die funktionale Sicherheit der Maschine nicht durchgängig nachgewiesen werden kann. Möglicherweise weil zu einem Bauteil der Eignungsnachweis fehlt. Oder weil der erforderliche Perfomance Level einer Sicherheitsfunktion mit der eingebauten Steuerung nicht erreicht wird. Wenn die Maschine am Ende nicht den Vor­gaben der Maschinenrichtlinie entspricht, und sei es nur weil die Normkonformität über die Dokumentation nicht nachgewiesen wird, kann das für den Hersteller mitunter teuer werden. Denn: Die Normkonformität nach­träglich nachzuweisen, ist aufwendig, wenn nicht gar unmöglich. Im schlimmsten Fall muss die Konstruk­tion der Maschine geändert werden.

Sachverständige von TÜV Süd machen immer wieder die Erfahrung, dass Maschinenbauer die Bedeutung des Konformitätsnachweises für Maschinen und ihre sicherheitsgerichteten Komponenten unterschätzen. Die Experten werden dann zu Rate gezogen, wenn bei der abschließenden Abnahme Zweifel aufkommen, ob alle Sicherheitsfunktionen und deren sicherheitsbezogenen Bauteile (Safety Related Part of Control System; SRP/CS) den Anforderungen entsprechen.

Indes haben die Experten mitunter Schwierigkeiten den PL für Sicherheitsfunktionen nachzuvollziehen, weil der Maschinenhersteller keine validen Daten vorlegen kann. Der Abgleich vorher definierter Anforderungen mit dem konstruktiv tatsächlich erreichten Stand wird in der Praxis häufiger vernachlässigt. Unzureichende abteilungsübergreifende Kommunikation kann dazu genauso führen wie aus Routine resultierende Nachlässigkeit.

Grundlegend für die Nachweisführung ist die Risikobeurteilung. Sie beginnt damit, dass die Grenzen der Maschine festgelegt werden und ist dann als Prozess zu verstehen, der fortlaufend die Planung und Konstruktion begleitet. Nur so können Lücken in der Dokumentation vermieden werden.

Mangelnde Angaben der Komponentenhersteller

Bei Sicherheitsbauteilen ist die Datengrundlage im Allgemeinen sehr gut. Alle nötigen Informationen finden sich in den Produktdatenblättern, Sicherheitshandbüchern oder Zertifikaten. Doch bei Standardbauteilen, die in Sicherheitsfunktionen eingesetzt werden, gibt es diesbezüglich noch großen Nachholbedarf. Manche Komponentenhersteller schicken erst auf Anfrage eine vollständige Liste mit den Daten ihrer Produkte. Bisweilen stellen sie die Angaben auch auf ihrer Homepage zur Verfügung, doch der Hyperlink ist auch mit Suchmaschinen nicht einfach zu finden. Wieder andere Hersteller kennen den Sinn und Zweck der Daten nicht, sodass sie die Kennwerte erst noch in Dauerversuchen ermitteln müssen. Manche Hersteller befürchten auch, sensible Daten über ihre Produkte herauszugeben. Für die Anwender sind diese Informationen jedoch sehr wichtig. Sie ermöglichen es erst, Produkte verschiedener Anbieter hinsichtlich der Qualität, Ausfallwahrscheinlichkeit und Gebrauchsdauer zu vergleichen. Muss der Maschinenbauer die zur PL-Berechnung erforderlichen Zuverlässigkeitsangaben einzelner Bauteile selbst ermitteln, bedeutet das einen enormen Arbeitsaufwand. Manche Werte können deshalb gegebenenfalls auch auf Grundlage fundierter Quellen geschätzt werden.

Sicher in Verkehr bringen

Werden Maschinen nach den Vor­gaben und Gestaltungsleitsätzen der DIN 13849 „Sicherheit von Maschinen – Sicherheitsbezogene Teile von Steuerungen“ entwickelt, konstruiert und gebaut, greift schließlich die Ver­mutungswirkung. Das bedeutet für Hersteller, ihre Maschinen und deren Steuerungen entsprechen dem aktuellen Stand der Technik und sind somit sicher – die wichtigste Voraussetzung für die CE-Kennzeichnung und Konformitätserklärung, also dafür, die Produkte in der EU in Verkehr bringen zu können. Denn: Mit der Ausstellung der Konformitätserklärung erklärt der Hersteller rechtsverbindlich die Einhaltung der Vorgaben der Maschinenrichtlinie.

Im Gegensatz zu produktspezifischen C-Normen enthält die ISO 13849 als Sicherheitsfachgrundnorm (B-Norm) zwar konkrete Konstruktionsleitsätze, vermeidet jedoch ausdrückliche Vor­gaben zur Ausführung der sicheren Steuerung. Der Konstrukteur muss deshalb die Eignung der geplanten Schutzkreise selbst nachweisen. Das ist ein Grund für viele Fragen, die sich bei der Nutzung der Norm ergeben. Denn methodisch nutzt die Norm den probabilistischen Ansatz. Das bedeutet, dass die Wahrscheinlichkeit eines gefahrbringenden Ausfalls von Komponenten, Bauteilen und Schutzkreisen berechnet werden muss. Die Maßgabe, ein Functional Management System in die Planung zu integrieren, ist zwar unbedingt zu empfehlen, wird in der Norm allerdings nicht explizit ge- fordert.

Flexibilität, Verlässlichkeit und Effizienz

Gegenüber ihren Vorgängernormen bietet die aktuelle DIN EN ISO 13849 zahlreiche Vorteile:

Planer sind flexibler bei der Wahl der steuerungstechnischen Lösung. Zum Beispiel können Sie eine Standard-SPS oder Software nach fest­gelegten Kriterien innerhalb der Sicherheitsfunktion einsetzen. Elektronische Geräte werden den eher verschleiß-behafteten elektromechanischen teilweise als überlegen eingestuft. Die Berechenbarkeit der gewählten Lösung verschafft dem Hersteller Gewissheit darüber, dass der erforderliche Sicherheitslevel eingehalten wird. Der Konstrukteur erhält dadurch Rechtssicherheit im Schadensfall.

Entwickler können verschiedene Varianten zur Umsetzung einer Sicherheitsfunktion vergleichen und die günstigste Variante aus-wählen – z. B. indem Steuerungsfunktionen, die für die Prozesssteuerung oder -überwachung vorgesehen waren, gleichzeitig für Diagnoseaufgaben oder als zweiter Kanal genutzt werden. Auch die Ausge­wogenheit aller Komponenten hinsichtlich einheitlicher Zuverlässigkeit und Lebensdauer spart Kosten.

Durch die Einbeziehung der berechneten Zeit bis zum gefährlichen Ausfall der Komponenten kann das Sicherheitsniveau über die vorge­sehene Lebensdauer der Anlage aufrechterhalten werden. Der Betreiber erhält konkrete Vorgaben, wann Komponenten zu tauschen sind, um deren Ausfall vorzubeugen.

Richtig angewandt bringt die ISO 13849 Gewissheit über das Sicherheitsniveau der Steuerung, spart dem Hersteller aber auch Kosten, weil mit Blick auf den Einsatzzweck die Kom­ponenten optimal ausgewählt werden können. Der Betreiber hat ebenso Gewissheit über die Bedingungen, die notwendig sind, damit das Sicherheits­niveau über die vorgesehene Lebensdauer der Maschine erhalten bleibt. Damit kann er gleichzeitig die Instandhaltung besser planen, weil die Zeiten bis zum gefährlichen Ausfall von Teilen gut abgeschätzt werden können.

Die korrekte Nachweisführung schafft Konstrukteuren und Herstellern im Schadensfall Rechtssicherheit. Unabhängige Experten von TÜV Süd unterstützen Unternehmen beim Nachweis der Normkon- formität, etwa durch die Validierung von Daten, Berech­nungen und Konstruktions- plänen. Auch bei der Implementierung eines Functional Management Systems kann die Expertise der Sachverständigen helfen.