„Bei der zweiten Linie musst du anders einstellen.“ Zwei baugleiche Anlagen fertigen dasselbe Produkt, brauchen aber unterschiedliche Temperaturwerte. Der erfahrene Bediener kennt den Kniff. Dem neuen Kollegen muss man ihn erst zeigen. Fragt er nach dem Grund, heißt es: Jede Maschine habe eben ihren eigenen Charakter.
So wird aus einer gestörten Messung kein zu beseitigender Fehler, sondern betriebliches Erfahrungswissen. Der Prozesstechnologe korrigiert die Parameter, der Bediener beobachtet das Ergebnis, und die Produktion bestätigt: Es funktioniert doch. Statt die Installation zu verbessern, erhöht man die Anforderungen an das Personal.
Genau darin liegt eine der weniger spektakulären Folgen elektrischer Fehler an Maschinen. Nichts muss brennen. Keine Überstrom-Schutzeinrichtung muss auslösen. Es reicht, wenn falsch verlegte Leitungen jeden Tag zusätzliche Regelarbeit, Kontrollen und Prozesskorrekturen verursachen. Die Kosten verschwinden in der Arbeitszeit und sehen irgendwann wie normale Produktionskosten aus.
Das hat mit EN 60204-1 und elektrischen Fehlern weit mehr zu tun als die Frage, ob die Leitungen im Schaltschrank ordentlich aussehen. Ein elektrischer Fehler kann die Nutzung der gesamten Maschine verändern. Erzwingt er häufigeren Zugang zu einer Gefahrstelle, wackeln auch die Annahmen der Risikobeurteilung. Eine monatlich vorgesehene Einstellung und eine stündlich notwendige Korrektur heißen in der Dokumentation vielleicht beide „Einstellung“. Für die Exposition sind sie zwei verschiedene Welten.
Ähnlich langlebig sind andere Betriebsweisheiten. Rot soll jeden Stillstand anzeigen, weil die Produktionsleitung sofort sehen will, wo nichts läuft. Fehlerstrom-Schutzeinrichtungen seien bei Frequenzumrichtern grundsätzlich ungeeignet, weil es früher Fehlauslösungen gab. Nach dem Netzsystem frage niemand, solange die Spannung stimmt und der Schutzleiter angeschlossen ist.
Solche Antworten beenden unbequeme Gespräche schnell. Irgendwann gilt die Frage nach der technischen Grundlage sogar als Zeichen mangelnder Erfahrung. Dabei braucht man Erfahrung gerade dafür, eine bewährte Lösung von einem Fehler zu unterscheiden, den alle zu bedienen gelernt haben. Die bloße Normnummer in der Dokumentation entscheidet gar nichts. Man muss in die Installation schauen, die Schutzwirkung nachvollziehen und beobachten, was Menschen an der Maschine tatsächlich tun – besonders das, was die Maschine eigentlich nicht von ihnen verlangen sollte.
Am schwersten lässt sich ein Fehler beseitigen, der bereits zum betrieblichen Standard erklärt wurde.
1. Der Prozesstechnologe regelt einen Prozess, den die Installation verfälscht
Der Prozesstechnologe soll die zweite Linie stabilisieren. Er erhält Temperaturanzeigen, Produktionsergebnisse und Zugriff auf die Prozessparameter. Daraus entwickelt er Einstellungen, mit denen das gewünschte Produkt entsteht. Müssen die Werte korrigiert werden, korrigiert er sie.
Die Ursache liegt jedoch nicht im Prozess, sondern in der gemeinsamen Leitungsführung: Messleitungen der Thermoelemente verlaufen neben Motorleitungen der Servoantriebe. Störungen koppeln in den Messkreis ein und erscheinen auf dem Bedienpanel als Temperaturänderung. Dasselbe Produkt braucht auf Linie zwei also nicht deshalb andere Werte, weil das Material dort anderen Naturgesetzen folgt. Die elektrische Installation wurde schlicht schlechter ausgeführt.
Die Verfahrenstechnik bekommt damit ein Problem zur Bearbeitung, das der Elektriker nicht im Schaltplan hinterlassen hat. Der Fehler blieb im Kabelkanal.
Der Regler erhält einen falschen Messwert und reagiert gewissenhaft darauf
Ein Thermoelement liefert eine kleine Thermospannung. Diese wird unter Berücksichtigung der Kennlinie und der Vergleichsstellen- beziehungsweise Kaltstellentemperatur in einen Temperaturwert umgerechnet. Verfälscht eine eingekoppelte Störung das Signal, arbeitet der Regler mit einer falschen Information.
Er erhöht oder reduziert die Heizleistung genau nach seinem Algorithmus, obwohl die tatsächliche Temperatur diese Reaktion nicht rechtfertigt. Damit bleibt der Messfehler nicht im Messkreis. Er greift in den Prozess ein. Der Mensch sieht das Ergebnis und korrigiert die Einstellung. Es entsteht eine zusätzliche manuelle Regelung, die beim Kauf der automatischen Linie niemand bestellt hat.
Die Automatisierung regelt nach einem fehlerhaften Messwert. Der Prozesstechnologe korrigiert anschließend die Automatisierung. In der Ausrüstungsliste erscheinen beide Regler getrennt: der erste als Steuerung, der zweite als Personalstelle.
Eine plausible Zahl auf dem Display beweist dabei wenig. Ein gestörter Messwert kann vollständig innerhalb des Messbereichs bleiben. Weder ein Drahtbruchalarm noch eine eindeutige Diagnose muss auftreten. Auch identische Schaltpläne beider Linien schließen Unterschiede nicht aus. Der Plan zeigt elektrische Verbindungen. Die tatsächliche Nachbarschaft der Leitungen, die Schirmanbindung und den Potenzialausgleich muss man an der Maschine prüfen.
„Die Norm erlaubt doch die gemeinsame Verlegung“
Ja – unter Bedingungen. Abschnitt 13.1.3 erlaubt, Leiter unterschiedlicher Stromkreise nebeneinander, in einem gemeinsamen Kanal und unter bestimmten Voraussetzungen sogar in gemeinsamen Einheiten zu führen. Das gilt jedoch nur, wenn die Anordnung die ordnungsgemäße Funktion keines beteiligten Stromkreises beeinträchtigt.
Erst daneben stehen Anforderungen an Trennung oder Isolierung bei unterschiedlichen Spannungen. Der Satz „Die Isolierung ist für die Spannung geeignet“ beantwortet deshalb nur einen Teil der Frage. Leitungen müssen keinen Kurzschluss verursachen, damit ihre Verlegung falsch ist. Es genügt, wenn ein Stromkreis die Information des anderen unbrauchbar macht.
Die elektromagnetische Verträglichkeit umfasst sowohl die Störaussendung als auch die Störfestigkeit im vorgesehenen Einsatzumfeld. Der informative Anhang H nennt typische Maßnahmen: Energie- und Signalleitungen trennen, Schirme fachgerecht anschließen, Potenzialausgleich herstellen und Leitungen nach den Vorgaben der Hersteller einsetzen.
Ein geschirmtes Kabel zu kaufen und damit das Thema abzuhaken, reicht nicht. Ein Schirm wirkt nicht durch seinen Namen auf der Bestellung. Leitung, Verlegeweg, Anschluss und Potenzialausgleich müssen als System funktionieren.
Prüfen wir zuerst, ob sich die Temperatur wirklich geändert hat
Vor der nächsten Rezepturkorrektur sollte man eine bisher als sicher behandelte Annahme infrage stellen: die Glaubwürdigkeit der Anzeige. Bei der Diagnose vergleichen wir den Maschinenwert mit einer unabhängigen Referenzmessung. Messstelle, thermische Kopplung und Reaktionszeit der Sensoren müssen dabei berücksichtigt werden.
Parallel zeichnen wir den Betrieb der Antriebe auf. Gesucht wird ein Zusammenhang zwischen Schalt- oder Betriebszuständen der Antriebe und der Abweichung der Anzeige – nicht bloß zwischen Antriebsbewegung und tatsächlichem Temperaturverlauf. Die Maschinenbewegung kann den realen Prozess schließlich tatsächlich beeinflussen.
Danach prüfen wir Eingangskonfiguration, Ausgleichsleitung, Klemmstellen, Schirmung und den vollständigen Messkreis. In einem kontrollierten Versuch bewerten wir die Wirkung einer geänderten Leitungsführung, Schirmanbindung oder Potenzialausgleichsverbindung. Die Rezeptur bleibt dabei unverändert. Wer Installation und Rezeptur gleichzeitig ändert, kann hinterher nicht mehr trennen, welche Maßnahme welchen Effekt hatte.
Ist die Störung die Ursache, beweist eine eigene Einstellung für Linie zwei keine erfolgreiche Prozessentwicklung. Sie beweist nur, dass jemand einen Weg gefunden hat, trotz des Messfehlers zu produzieren. Ändern sich die Randbedingungen, beginnt das Spiel von vorn.
Die Störung hat eine eigene Prozesseinstellung bekommen. Jetzt lässt sie sich zusammen mit der Rezeptur reproduzieren.
2. In der Risikobeurteilung einmal im Monat, in der Produktion einmal pro Stunde
„Die Einstellung wurde in der Risikobeurteilung berücksichtigt.“ Das stimmt – einmal im Monat. Tatsächlich greift der Bediener jede Stunde ein, weil der Prozess sonst seine Parameter nicht hält. Die Tätigkeit trägt denselben Namen, also scheint die Dokumentation zu passen.
Nehmen wir an, die Einstellung erfordert Zugang hinter eine trennende Schutzeinrichtung und in die Nähe heißer Prozessteile. Dann bedeutet jede zusätzliche Bedienhandlung auch zusätzliche Exposition. Die Maschine muss dafür nicht einmal bei geöffneter Schutzeinrichtung weiterlaufen. Geplant war eine seltene Einstellung. Tatsächlich braucht die Produktion regelmäßige Rettungseinsätze. In der Risikobeurteilung genießt die Maschine weiterhin die Vorteile der geplanten Version.
„Das ist doch nur ein Prozesssensor“
So lässt sich der Messfehler scheinbar vom Thema Sicherheit trennen. Der Sensor führt keine Sicherheitsfunktion aus. Der Schalter an der Schutzeinrichtung arbeitet. Beim Öffnen stoppen die Antriebe. Also, so die Behauptung, betreffe der Fehler nur die Qualität.
Doch gerade dieser gewöhnliche Prozesssensor holt den Menschen häufiger an die Maschine als vorgesehen. Ein Sensor muss keine Sicherheitsfunktion steuern, damit sein Fehler die Voraussetzungen untergräbt, nach denen Schutzmaßnahmen ausgewählt wurden.
ISO 12100 verbindet die Zuverlässigkeit der Ausrüstung mit der Verringerung notwendiger Eingriffe und damit der Exposition gegenüber Gefährdungen. Das gilt ausdrücklich auch für Funktionen, die keine Sicherheitsfunktionen sind. Die Aufteilung der Dokumentation in „Sicherheit“ und „Prozess“ erspart also nicht die Analyse ihrer Wechselwirkungen.
In unserem Fall hinterlässt der Elektriker einen gestörten Messkreis. Der Prozesstechnologe findet produktionsfähige Parameter. Der Bediener übernimmt zusätzliche Tätigkeiten. Jede Abteilung bearbeitet ihren Abschnitt. Nur die Häufigkeit der Exposition hat keine eigene Abteilung. Deshalb bleibt sie so leicht ohne Eigentümer.
Wurde die ausreichende Risikominderung mit sporadischem Zugang begründet, ist diese Begründung nach dem Übergang zu stündlichen Eingriffen nicht mehr aktuell. Es geht nicht um ein neues Datum auf dem Deckblatt. Die Information, auf der die Bewertung beruhte, hat sich geändert.
| Annahme der Risikobeurteilung | Tatsächliche Arbeit | Erneut zu bewerten |
|---|---|---|
| Einstellung einmal im Monat | Eingriff einmal pro Stunde | Häufigkeit der Exposition |
| Eine kurze Tätigkeit während eines geplanten Stillstands | Wiederholte Korrekturen und Kontrollen bis zum richtigen Ergebnis | Gesamtdauer der Exposition und Arbeitsbedingungen |
| Feststehende trennende Schutzeinrichtung wird selten entfernt | Zugang wird mehrmals pro Schicht benötigt | Eignung der Schutzmaßnahme für den tatsächlichen Zugangsbedarf |
Das wird nicht mit einem einfachen Multiplikator berechnet. Eine zehnmal häufigere Einstellung erzeugt nicht automatisch einen festgelegten zehnfachen Risikowert. Zu prüfen ist, was die Person tut, welcher Gefährdung sie ausgesetzt ist, wie lange die Tätigkeit dauert und unter welchen Schutzbedingungen sie stattfindet.
Wer trotzdem mit der alten Häufigkeit rechnet, bewertet bewusst andere Bedingungen als die am Arbeitsplatz vorhandenen.
Die für die Wartung gewählte Schutzeinrichtung muss nun die Produktion bedienen
Angenommen, der seltene Zugang rechtfertigte eine feststehende trennende Schutzeinrichtung. Bei einer monatlichen Tätigkeit passten Demontage, Arbeit und anschließende Befestigung in die vorgesehene Instandhaltungsorganisation. Nun muss derselbe Vorgang während jeder Schicht mehrfach wiederholt werden.
Irgendwann lässt jemand die Schutzeinrichtung unbefestigt. Der Betrieb erkennt sofort ein neues Problem: falsches Verhalten der Beschäftigten. Der Kabelkanal bleibt unverändert. Der Bediener bekommt dafür eine weitere Unterweisung.
Arbeit ohne wirksame Schutzmaßnahme wird dadurch nicht entschuldigt. Das Beispiel zeigt aber, wo die Ursachenanalyse abgebrochen wurde. ISO 12100 weist auf den Zusammenhang zwischen häufigem Zugangsbedarf und dem unterlassenen Wiederanbringen feststehender Schutzeinrichtungen hin. Unter solchen Bedingungen ist eine passendere Schutzlösung erforderlich. Regelmäßiges Abschrauben als reines Disziplinproblem zu behandeln, ist technisch zu kurz gesprungen.
Ebenso falsch wäre es, den Messfehler bestehen zu lassen und nur das Öffnen der Maschine bequemer zu machen. Zuerst muss die Ursache unnötiger Eingriffe beseitigt werden. Danach werden die Schutzmaßnahmen für die Tätigkeiten ausgewählt, die tatsächlich verbleiben.
Solange der Fehler existiert, müssen Risikobeurteilung und Schutzkonzept die gegenwärtigen Arbeitsbedingungen abbilden – nicht das Versprechen einer späteren Reparatur. Nach der Korrektur der Installation prüfen wir deshalb nicht nur die Stabilität des Messwerts. Wir prüfen auch, ob die ständigen Eingriffe wirklich aufgehört haben.
Eine Risikobeurteilung für gelegentliche Einstellungen ist kein Alibi für eine Maschine, die während der gesamten Schicht nach Korrekturen verlangt.
3. Rot, weil die Produktionsleitung Stillstände nicht mag
„Wenn die Maschine steht, muss die Säule rot leuchten. Ich will sofort sehen, wo nicht produziert wird.“ Die Anforderung klingt eindeutig. Die Steuerung muss Rot nur mit dem fehlenden Automatikbetrieb verknüpfen.
Charge beendet: Rot. Material fehlt: Rot. Gefährlicher Zustand: ebenfalls Rot. Die Signalsäule zeigt zuverlässig die Unzufriedenheit der Produktionsleitung. Für den Bediener ist sie weniger hilfreich.
Eine Farbe, widersprüchliche Handlungsaufforderungen
Bei Materialmangel soll der Mensch zur Maschine gehen und eine vorgesehene Bedienhandlung ausführen. Bei einem gefährlichen Zustand kann sofortiges Schutzhandeln erforderlich sein – oder gerade das Fernbleiben von der Maschine. Werden beide Fälle gleich angezeigt, hilft die Farbe nicht mehr bei der Wahl der richtigen Reaktion.
Das ist der eigentliche Fehler. Nicht, dass jemand eine Farbtabelle beleidigt hätte.
Die Norm empfiehlt, Anzeigeleuchten nach dem Maschinenzustand zu codieren. Tabelle 4 ordnet Rot einem Notfall beziehungsweise einem mit Gefahr verbundenen Zustand zu. Gelb steht für einen anormalen Zustand, Blau für eine erforderliche Handlung des Bedieners. Grün bezeichnet einen normalen Zustand, Weiß eine neutrale Information.
„Produziert nicht“ ist keine Gefährdungskategorie. Umgekehrt beweist „produziert“ keinen sicheren Zustand. Chargenende, Materialanforderung und Gefahrenwarnung müssen unterscheidbar bleiben. Sie alle auf das Steuerungsbit „Automatikbetrieb aus“ zu reduzieren, vernichtet die Information, die eine Signalsäule liefern soll.
„Aber unsere Bediener wissen, was Rot bedeutet.“ In diesem Beispiel wissen sie vor allem, dass Rot allein nichts entscheidet. Sie müssen erst prüfen, ob Material nachzufüllen, das Produkt zu entnehmen oder Abstand zu halten ist. Ein auffälliges Signal wurde konstruiert und anschließend seines eindeutigen Sinns beraubt.
Produktionsstillstände dürfen selbstverständlich sichtbar sein. Dafür muss jedoch nicht die komplette Warnsignalgebung vereinnahmt werden. Produktionsinformationen können separat angezeigt und verständlich bezeichnet werden. Das braucht etwas mehr Planung als die Zuordnung einer Lampe zu einem einzelnen Programmbit.
Roter STOP direkt neben rotem E-STOP
Am Bedienpult tritt das Problem in umgekehrter Richtung auf: Der Mensch empfängt kein Signal, sondern muss das richtige Betätigungsgerät auswählen. Nebeneinander befinden sich ein gewöhnlicher roter STOP und ein roter E-STOP, also der NOT-HALT.
Der Konstrukteur kennt beide Funktionen. Bei der Abnahme drückt er den richtigen Taster und bestätigt dessen Wirkung. Damit hat er nachgewiesen, dass er die von ihm selbst angeordneten Taster unter ruhigen Prüfbedingungen unterscheiden kann. Viel günstiger kann eine Prüfung kaum ausfallen.
Rot ist für einen gewöhnlichen STOP zulässig, soll jedoch in unmittelbarer Nähe eines Betätigungsgeräts für Handlungen im Notfall vermieden werden. Für den normalen Stopp wird Schwarz bevorzugt; auch Grau und Weiß werden genannt. Die Kombination aus rotem Betätigungselement und gelbem Hintergrund ist dagegen Handlungen im Notfall vorbehalten.
Es geht nicht darum, jeden roten STOP pauschal zum Fehler zu erklären. Entscheidend ist, ob die konkrete Gestaltung das richtige Erkennen erleichtert oder ob eine unnötige Verwechslungsgefahr mit Gewohnheit begründet wird. Farbe, Form, Hintergrund, Kennzeichnung und Position wirken zusammen. Ein Unterschied im Schaltplan genügt nicht.
Wenn der gewöhnliche STOP einen Prozessschritt kontrolliert zu Ende fahren lässt, führt seine irrtümliche Betätigung anstelle des E-STOP genau zu dieser Reaktion. Die Steuerung errät nicht, dass die Person eigentlich den benachbarten NOT-HALT betätigen wollte.
Wir prüfen die Bedeutung, nicht nur das Leuchten
Bei der Abnahme der Signalisierung sollten konkrete Zustände durchgespielt werden: Chargenende, Warten auf Bedienung, Prozessabweichung und Gefahrenzustand. Für jeden Fall ist festzustellen, was die Person sieht, wie sie die Priorität erkennt und welche Handlung erwartet wird.
Treten mehrere Zustände gleichzeitig auf, muss geprüft werden, ob eine Produktionsmeldung die Warnung überdeckt. Bei Tastern bewerten wir Erkennbarkeit und Erreichbarkeit vom Bedienplatz aus und prüfen anschließend die tatsächliche Maschinenreaktion.
Die Betriebsanleitung soll eine schlüssige Benutzerschnittstelle erklären. Sie darf keine Widersprüche reparieren müssen, die im Bedienpult eingebaut wurden.
Ein Test der PLC-Ausgänge bestätigt, dass die richtige Leuchte eingeschaltet wird. Er bestätigt nicht, dass die Leuchte die richtige Information vermittelt.
Produktionsprioritäten sind verhandelbar. Die Bedeutung eines Gefahrensignals gehört nicht in dieselbe Verhandlung.
4. TT: Die Erdung ist vorhanden. Aber was schaltet die Versorgung ab?
„Schutzleiter angeschlossen. Durchgängigkeit geprüft. Überstrom-Schutzeinrichtung passend zur Last gewählt.“ Das klingt vollständig – bis jemand fragt, in welchem Netzsystem die Maschine betrieben wird und was nach einem Isolationsfehler geschieht.
Betrachten wir eine Maschine in einem TT-System, bei der der Schutz im Fehlerfall ausschließlich einer Überstrom-Schutzeinrichtung überlassen wurde. Die Auswahl stammt aus einem älteren Projekt. Die Abschaltbedingungen am neuen Aufstellort wurden nicht geprüft, weil Spannung und Schutzleiteranschluss stimmen.
Der Lieferant hat das Schutzgerät kopiert. Die Bedingungen, unter denen es wirken sollte, ließen sich nicht mitkopieren.
Der Strom verschwindet nicht im Erder
In einem TN-System besitzt der Fehlerstrom über Schutzleiter eine metallische Rückleitung zum geerdeten Punkt der Stromquelle. Im TT-System sind die berührbaren leitfähigen Teile unabhängig von der Erdung der Quelle geerdet. Im Fehlerstromkreis liegen deshalb auch die Erdungsanlagen und der Weg durch das Erdreich.
Bei einem Isolationsfehler fließt Strom vom Außenleiter zum Gehäuse, durch Schutzverbindungen und Erdungsanlage und schließlich zur Quelle zurück. Seine Höhe hängt von der Impedanz der gesamten Schleife ab – nicht nur vom Widerstand des Leiters zwischen Gehäuse und PE-Klemme.
Eine Erdungsanlage ist kein Abfluss, in den der Strom verschwindet. Deshalb können ein tadelloser Schutzleiterdurchgang und ein für die Auslösung zu kleiner Fehlerstrom gleichzeitig vorliegen. Das ist kein Widerspruch. Geprüft wurde eine Verbindung, nicht automatisch die Wirksamkeit des Schutzes.
Zehn Ampere überzeugen eine 16-A-Schutzeinrichtung nicht
Nehmen wir ein vereinfachtes Rechenbeispiel: Spannung gegen Erde 230 V, Impedanz der vollständigen Erdschlussschleife 23 Ω, Überstrom-Schutzeinrichtung 16 A. Betrachtet wird ein Fehler mit vernachlässigbarer Impedanz zwischen Außenleiter und Gehäuse; der Betriebsstrom des Verbrauchers bleibt unberücksichtigt.
Der Fehlerstrom beträgt näherungsweise:
I = U₀ / Zₛ = 230 V / 23 Ω = 10 A.
Das liegt unter dem Bemessungsstrom der Schutzeinrichtung. Es gibt keinen Grund anzunehmen, dass sie wegen Überstroms rechtzeitig abschaltet. Am Gehäuse kann trotzdem eine gefährliche Spannung gegen Erde bestehen.
Das Schutzgerät ist nicht defekt. Zehn Ampere sind für ein Gerät mit 16 A Bemessungsstrom kein überzeugendes Abschaltargument. Der Konstrukteur hätte die ungeeignete Kombination erkennen müssen.
Die Bedingung für den Schutz durch Überstrom-Schutzeinrichtungen lautet in Anhang A.2:
Zₛ × Iₐ ≤ U₀.
Entscheidend ist Iₐ, also der Strom, der die Abschaltung innerhalb der geforderten Zeit bewirkt. Das ist nicht automatisch der auf dem Gerät aufgedruckte Bemessungsstrom. Wer beide Werte verwechselt, erhält angenehm einfache Berechnungen. Das Schutzgerät löst trotzdem nach seiner Kennlinie aus – nicht nach unserem Rechenfehler.
Der RCD ist die grundlegende Lösung. Eine Ausnahme muss nachgewiesen werden
Für das TT-System wird die Fehlerstrom-Schutzeinrichtung (RCD) zusammen mit geeignetem Überstromschutz als grundlegende Lösung beschrieben. Eine ausschließliche Überstrom-Schutzeinrichtung ist möglich, wenn eine ausreichend niedrige Schleifenimpedanz dauerhaft und zuverlässig sichergestellt ist.
„TT ohne RCD ist also erlaubt.“ Unter Bedingungen, ja. Unser Rechenbeispiel zeigt gerade, warum diese Ausnahme hier nicht nutzbar ist. Eine Ausnahme im Normtext senkt keine Impedanz in der realen Anlage.
Beim Einsatz eines RCD ist unter anderem die Bedingung
Rₐ × IΔn ≤ 50 V
zu prüfen. Rₐ umfasst den Widerstand des Erders und des Schutzleiters, IΔn ist der Bemessungsdifferenzstrom. Zusätzlich muss die geforderte Abschaltzeit eingehalten werden. Für den modellhaft betrachteten Endstromkreis mit 16 A und 230 V AC gegen Erde nennt Tabelle A.2 eine Zeit von 0,2 s. Die Ungleichung allein weist diese Zeit nicht nach.
Auch der bloße Einbau eines RCD bestätigt weder dessen richtige Auswahl noch die korrekte Verschaltung. Das Schutzgerät muss nicht zwingend im Maschinenschaltschrank sitzen. Es kann in der speisenden Anlage angeordnet sein. Entscheidend ist, welches Gerät den betrachteten Stromkreis tatsächlich schützt und unter welchen Bedingungen.
Die Liefergrenze ist keine Analysegrenze. Der Hersteller muss die Anschlussbedingungen festlegen. Für Serienmaschinen können zulässige Grenzwerte der späteren Installation angegeben werden. Ein im Projekt vorausgesetzter maximaler Erdungs- oder Schleifenwiderstand gehört in die Installationsunterlagen.
„Nach den Regeln der Technik anschließen“ übermittelt diesen Wert nicht. Es übergibt dem nächsten Elektriker lediglich die Aufgabe zu erraten, was der vorherige Konstrukteur für ausreichend hielt.
Ein Gehäuse kann vorbildlich mit PE verbunden und der Schutz trotzdem unwirksam sein. Menschen schützt ein nachgewiesen wirksamer Stromkreis, nicht allein die grün-gelbe Ader.
5. IT-System ohne Überwachung: Die Produktion darf nicht stehen
„Das ist ein IT-System. Beim ersten Erdschluss wird nicht abgeschaltet.“ Der Vorteil wurde verstanden. Schwieriger wird die Antwort auf die Frage, wie die verantwortlichen Personen von diesem ersten Fehler erfahren.
Betrachten wir eine Anlage, in der der Weiterbetrieb genutzt, aber keine wirksame Isolationsüberwachung mit Fehlersignalisierung vorgesehen wurde. Die Maschine produziert. Kein Schutzgerät schaltet ab. Die Instandhaltung erhält keine Meldung. Man hat ein System gewählt, bei dem ein Fehler nicht sofort als Stillstand sichtbar wird – und anschließend auf seine Erkennung verzichtet.
Für die Statistik gemeldeter Fehler ist das hervorragend.
Was ist eigentlich isoliert?
Im IT-System sind aktive Teile gegen Erde isoliert, oder ein Punkt der Stromquelle ist über eine ausreichend hohe Impedanz mit Erde verbunden. Das bedeutet nicht, dass leitfähige Gehäuse ohne Schutzverbindung und Erdung bleiben.
Beim ersten Isolationsfehler wird der Erdschlussstrom durch die Eigenschaften des Systems begrenzt, unter anderem durch Isolationsimpedanzen, Kapazitäten gegen Erde und eine gegebenenfalls angeschlossene Quellenimpedanz. Sind die Schutzbedingungen erfüllt, ist keine sofortige Abschaltung erforderlich.
Damit kann der Fehler geplant lokalisiert und beseitigt werden, ohne den Prozess abrupt zu unterbrechen. Es bedeutet nicht, dass eine beschädigte Isolation zum zulässigen Dauerzustand wird. Genau deshalb braucht das System eine Isolationsüberwachung.
Ein Isolationsüberwachungsgerät (IMD) überwacht den Isolationswiderstand des erfassten Systems gegen Erde und meldet das Unterschreiten des festgelegten Werts. Eine Messung während der Abnahme ersetzt diese Funktion im Betrieb nicht. Das Prüfprotokoll dokumentiert einen Zustand am Prüftag. Es übernimmt keine Nachtschicht.
Das Quittieren des Alarms verbessert die Isolation nicht
Abschnitt 6.3.3 verweist für IT-Systeme auf die einschlägigen Anforderungen von IEC 60364-4-41. Bei einem Isolationsfehler ist eine akustische und optische Anzeige aufrechtzuerhalten. Das akustische Signal darf nach seinem Auftreten manuell stummgeschaltet werden.
Diese Unterscheidung ist wesentlich. Die Meldung darf bestätigt und der Ton beendet werden. Daraus folgt nicht, dass die Fehlerursache verschwunden ist.
Nehmen wir an, ein IMD ist eingebaut, aber das Personal quittiert die Meldung regelmäßig, weil die Maschine „doch normal läuft“. Der Alarm kommt wieder und wird irgendwann als Störung des Überwachungsgeräts betrachtet. Die Isolation hat sich verschlechtert. Reklamiert wird das Gerät, das dies korrekt erkennt.
Zeigt die Bedienoberfläche nach der Quittierung wieder den Normalzustand, obwohl der Fehler fortbesteht und keine andere dauerhafte optische Meldung vorhanden ist, wurde die Information aus der Oberfläche entfernt – nicht der Fehler aus der Installation. Die nächste Schicht weiß möglicherweise nichts vom offenen Isolationsfehler.
Der zweite Fehler muss nicht in derselben Maschine auftreten
Der erste Fehler kann L1 mit dem Gehäuse eines Betriebsmittels verbinden. Ein weiterer Fehler kann L2 mit dem Gehäuse eines anderen Geräts verbinden, das aus demselben IT-System versorgt wird. Über gemeinsame Schutzverbindungen kann dann ein Außenleiter-Außenleiter-Fehlerstromkreis entstehen. Die erforderliche automatische Abschaltung muss gewährleistet sein.
Der Satz „Der erste Erdschluss schaltet nicht ab“ beschreibt diese Situation nicht mehr. Isolationsüberwachung und Abschaltschutz bei einem weiteren Fehler haben unterschiedliche Aufgaben. Das IMD ersetzt kein abschaltendes Schutzgerät. Umgekehrt ersetzt das Warten auf die Abschaltung beim zweiten Fehler nicht die Erkennung und Bearbeitung des ersten.
Wer den bekannten ersten Fehler stehen lässt, verspielt den betrieblichen Vorteil des IT-Systems. Statt die Meldung für eine geplante Reparatur zu nutzen, wartet der Betrieb darauf, dass der nächste Fehler den Stillstandstermin selbst festlegt.
„Die Überwachung sitzt in der Verteilung.“ Gut. Wo kommt der Alarm an?
Fehlt ein IMD im Maschinenschaltschrank, bedeutet das nicht automatisch, dass keine Überwachung besteht. Ein zentrales Gerät kann den relevanten Versorgungsbereich erfassen. Zu prüfen ist jedoch der tatsächliche Überwachungsumfang – nicht nur das Typenschild eines vorhandenen Geräts.
Welche Stromkreise werden überwacht? Gehört die betreffende Maschine in allen vorgesehenen Versorgungskonfigurationen dazu? Wo erscheint die Meldung? Wer bearbeitet sie? Welche Reaktion ist festgelegt?
Bei der Abnahme werden Einstellungen und Signalkette nach den Geräteanleitungen geprüft. Die Meldung muss an einer Stelle ankommen, an der sie wahrgenommen wird, während des Fehlers erkennbar bleiben und zu einer festgelegten Handlung führen.
Eine Leuchtdiode in einer verschlossenen Verteilung kann die Funktion des Geräts bestätigen. Den Menschen, die nichts von ihr wissen, hilft sie kaum.
Der Lieferant nahm an, der Betrieb bearbeite den Alarm. Der Betrieb nahm an, der Lieferant habe alles erledigt. Die Isolation war an dieser Abstimmung nicht beteiligt.
6. „Bei Frequenzumrichtern bauen wir keine Fehlerstrom-Schutzeinrichtungen ein“
Der RCD löst beim Einschalten der Antriebe aus. Nach mehreren Stillständen wird er entfernt. Die Maschine läuft, die Störmeldung kann geschlossen werden, und aus einer ungeklärten Auslösung entsteht eine Konstruktionsregel: Bei Frequenzumrichtern verwenden wir keine Fehlerstrom-Schutzeinrichtungen.
Aus einem Stromkreis wurde eine Schlussfolgerung für alle Umrichter abgeleitet. Nicht einmal die Ursache dieses einen Falls wurde bestimmt.
Die Aussage „Dieser RCD ist für diese Schaltung ungeeignet“ kann völlig richtig sein. Der Schluss „Dann braucht die Schaltung den vorgesehenen Schutz nicht mehr“ ist freie Erfindung.
Ableitstrom wartet nicht auf einen Isolationsfehler
Ein arbeitendes Antriebssystem kann auch ohne Isolationsfehler Ströme gegen Erde verursachen. Einfluss haben die Konstruktion des Umrichters, Entstörfilter, Kapazitäten der Motorleitungen und die Schaltfrequenz. Beim Einschalten kommen transiente Vorgänge hinzu.
Der RCD reagiert entsprechend seinen Eigenschaften auf Differenzstrom. Er erhält von der Steuerung keine Nachricht, dass gerade nur Kapazitäten geladen werden und die Produktion bitte nicht zu unterbrechen sei.
Eine Auslösung kann deshalb auf eine ungeeignete Auswahl für korrekt arbeitende Betriebsmittel zurückgehen. Sie kann aber ebenso einen realen Fehler anzeigen. Das Umrichtersymbol im Schaltplan entscheidet nicht, welcher Fall vorliegt.
Zu prüfen sind die Ströme beim Einschalten und im stationären Betrieb, ihre zeitlichen und frequenzabhängigen Eigenschaften sowie die Konfiguration des Stromkreises. Derselbe Antrieb kann mit einer kurzen Motorleitung andere Anforderungen stellen als mit einer langen.
Mehrere Antriebe hinter einem gemeinsamen RCD verlangen eine Bewertung des gesamten Differenzstroms. Dass jeder Antrieb einzeln innerhalb einer Annahme bleibt, bedeutet nicht, dass ihre Summe verschwindet. Das gemeinsame Schutzgerät arbeitet mit der angeschlossenen Gruppe.
Das ist eine Konstruktionsaufgabe. Das Entfernen des RCD beseitigt seine Reaktion, nicht die Ursache des Stromflusses.
Keine Auslösung kann die schlechtere Nachricht sein
Bei leistungselektronischen Antrieben muss auch der Verlauf des Fehlerstroms betrachtet werden. Er kann Gleichstromanteile enthalten, für die der eingesetzte RCD nicht geeignet ist. Ein ausreichend großer Gleichstromanteil kann die Erkennungsfähigkeit eines Geräts des Typs AC oder A beeinträchtigen.
Unter bestimmten Bedingungen kann der RCD „erblinden“: Er bleibt eingeschaltet, stellt aber die erwartete Erkennung von Fehlerströmen nicht mehr sicher. Aus Produktionssicht sieht das ausgezeichnet aus. Das Schutzgerät stört nicht mehr – weil es nicht mehr richtig schützt.
Dafür muss es nicht defekt sein. Es genügt, es außerhalb der Bedingungen einzusetzen, für die es die erforderlichen Eigenschaften besitzt.
Abschnitt 7.7 weist darauf hin, dass bei Fehlerströmen mit Gleichstromanteilen ein RCD des Typs B erforderlich sein kann. Die konkrete Auswahl muss zur Schaltung und zu den Herstellerangaben des Antriebs passen. Die Bestellung einer „Umrichter-Fehlerstrom-Schutzeinrichtung“ erledigt diese Arbeit nicht.
Der Typ beschreibt die Erkennung bestimmter Stromformen. Zusätzlich bleiben Bemessungsdifferenzstrom, Frequenzverhalten, Abschaltzeit und Einsatzbedingungen zu bewerten.
Auch die Anlage vor dem Maschinenschaltschrank gehört dazu. Gleichstromanteile, die einen RCD Typ B unterhalb seiner Auslöseschwelle durchfließen, können ein vorgeschaltetes gemeinsames Schutzgerät beeinflussen. Ein geeigneter RCD direkt am Antrieb beweist daher nicht automatisch die richtige Koordination der gesamten Schutzkette.
„Dann stelle ich den Schwellenwert höher“ braucht ebenfalls Berechnungen
Ein höherer Bemessungsdifferenzstrom oder eine Zeitverzögerung kann unerwünschte Auslösungen reduzieren. Trotzdem müssen die Bedingungen der Schutzmaßnahme weiterhin erfüllt sein.
Im zuvor betrachteten TT-System beeinflusst ein höherer Auslösestrom die zulässige Erdungsresistenz. Eine Verzögerung beeinflusst die Abschaltzeit. Beide Werte dürfen nicht so lange verändert werden, bis die Maschine endlich weiterläuft.
Die Methode „Löst noch aus – also höher stellen“ weist nur die Vereinbarkeit mit der Geduld der Produktionsleitung nach. Der Schutz gegen elektrischen Schlag braucht einen eigenen Nachweis.
Die Lösung kann einen anderen RCD, eine Aufteilung der Stromkreise, zulässige Maßnahmen zur Verringerung von Ableitströmen oder ein anderes Schutzkonzept erfordern. Das Abklemmen des Schutzleiters ist kein Schutzkonzept. Auch das eigenmächtige Entfernen eines EMV-Filters kann den Fehler lediglich verlagern – vom auslösenden Schutzgerät zu gestörten Mess- und Steuerkreisen.
Nicht jede Maschine mit Frequenzumrichter benötigt zwingend einen RCD. Ist der erforderliche Schutz auf andere Weise wirksam nachgewiesen, kann sein Fehlen technisch begründet sein. Die Begründung lautet dann aber nicht „Frequenzumrichter vorhanden“, sondern „Schutzwirkung nachgewiesen“.
Ein ausgebauter RCD verursacht tatsächlich keine Stillstände mehr. Als positives Ergebnis einer Schutzprüfung taugt das trotzdem nicht.
7. Hat die Maschine die Prüfung bestanden – oder das Team, das sie am Laufen hielt?
Während der Abnahme korrigiert der Prozesstechnologe die Einstellung, der Automatisierer ändert die Konfiguration, und der Bediener startet den Zyklus erneut. Nach mehreren Versuchen entspricht das Produkt den Anforderungen. Im Protokoll steht: Ergebnis positiv.
Alle Eingriffe gelten als normale Unterstützung bei der Inbetriebnahme. Niemand klärt jedoch, welche Änderungen die Ursache beseitigt haben und welche später in jeder Schicht wiederholt werden müssen.
Der Maschine wird ein Ergebnis gutgeschrieben, das mehrere Fachleute gemeinsam erarbeitet haben. In der Betriebsanleitung ist anschließend ein einzelner Bediener vorgesehen.
Korrekturen während der Prüfung sind ebenfalls Prüfergebnisse
Eine Inbetriebnahme braucht Einstellungen. Das Problem ist nicht, dass Parameter verändert werden. Problematisch ist die Abnahme, ohne nachzuweisen, dass die Maschine nach Abschluss dieser Arbeiten unter den vorgesehenen Bedingungen stabil funktioniert.
Sind während des eigentlichen Versuchs weiterhin ungeplante Korrekturen nötig, müssen sie dokumentiert werden: Was wurde geändert? Warum? Wurde danach der gesamte relevante Ablauf erneut geprüft? Oder wartete man lediglich auf das erste gute Produkt?
Das erste Gutteil beendet eine Diskussion oft schneller als die Beseitigung der Ursache für die vorherigen Ausschussteile – besonders wenn der Transport der Maschine bereits gebucht ist.
Bei einer gestörten Temperaturmessung zählt nicht nur die erreichte Produktqualität. Nachzuweisen sind auch die Verlässlichkeit der Anzeige unter den vorgesehenen Betriebsbedingungen und das Ende der zusätzlichen Eingriffe. Andernfalls erhält der Kunde ein gutes Abnahmeteil und einen instabilen Prozess für den Alltag.
Vorgesehene Bedienhandlungen sind kein Mangel der Automatisierung. Spontane Rettungsaktionen dürfen jedoch nicht aus der Bewertung verschwinden, nur weil das Personal sie geschickt ausführt. Das gilt besonders, wenn sie häufigeren Zugang zu Gefährdungen erfordern als beim Schutzkonzept angenommen.
Bei der Abnahme beobachten wir deshalb auch den Menschen. Nicht um zu prüfen, ob er die Maschine verdient. Sondern um festzustellen, was die Maschine tatsächlich von ihm verlangt.
Das Messgerät erledigt nicht die gesamte Abnahme
„Die elektrischen Messungen sind in Ordnung.“ Gut. Welche Anforderungen wurden damit geprüft?
Kapitel 18 verweist zunächst auf den Verifizierungsumfang einer anwendbaren speziellen Produktnorm. Fehlt eine solche Festlegung, gehören unter anderem die Übereinstimmung der Ausführung mit der Dokumentation, die Durchgängigkeit des Schutzleitersystems, die Bedingungen für die automatische Abschaltung – sofern der Fehlerschutz so realisiert wird – sowie Funktionsprüfungen zum Umfang.
Isolationswiderstandsmessung und Spannungsprüfung sind separat aufgeführt. Sie ersetzen die anderen Prüfungen nicht. Auch gelten nicht alle Prüfpositionen unter identischen Voraussetzungen. Der Umfang ergibt sich aus Ausrüstung und Anforderungen. Der Drehschalter des vorhandenen Messgeräts ist kein Inhaltsverzeichnis der Norm.
Ein guter Durchgängigkeitswert erklärt nicht, ob das Schutzgerät den richtigen Stromkreis innerhalb der geforderten Zeit abschaltet. Er bestätigt nicht, dass der Isolationsalarm die zuständige Person erreicht oder dass die Temperaturanzeige während des Antriebsbetriebs zuverlässig bleibt. Das sind verschiedene Fragen und brauchen verschiedene Nachweise.
Auch die Übereinstimmung mit dem Schaltplan hat Grenzen. Wird ein Konstruktionsfehler sauber und exakt ausgeführt, kann der Dokumentenvergleich hervorragend ausfallen. Nachgewiesen ist dann die präzise Ausführung des Fehlers – nicht seine Zulässigkeit.
| Was gilt angeblich als erledigt? | Was muss weiterhin geprüft werden? | Wo liegt der Nachweis? |
|---|---|---|
| „Linie zwei hat andere Einstellungen.“ | Ist die Messung zuverlässig und wurde die Ursache der Korrekturen beseitigt? | Referenzmessung, Aufzeichnung während des Antriebsbetriebs und erneute Prüfung nach der Installationsänderung |
| „Die Einstellung steht in der Risikobeurteilung.“ | Entsprechen Häufigkeit, Dauer und Bedingungen den realen Eingriffen? | Aufgabenbeobachtung, Eingriffsaufzeichnungen und Neubewertung der Schutzannahmen |
| „Leuchten und Taster funktionieren.“ | Erkennt der Mensch Zustand, Priorität und richtiges Betätigungsgerät? | Beschreibung der Signale, Bewertung des Bedienpults und Prüfung konkreter Maschinenzustände |
| „Im TT-System ist PE angeschlossen.“ | Was stellt die wirksame Abschaltung nach einem Fehler sicher? | Versorgungsdaten, Schutzauswahl und Verifikation der Schutzbedingungen einschließlich der vorgeschalteten Installation |
| „Das IT-System darf weiterproduzieren.“ | Wird der Fehler erkannt, angezeigt und bearbeitet? | Überwachungsbereich, Einstellungen, Signalprüfung und festgelegte Reaktion |
| „Bei den Umrichtern löst nichts mehr aus.“ | Ist der erforderliche Schutz weiterhin wirksam? | Auswahlbegründung, Herstellerunterlagen, Koordinationsbewertung und geeignete Prüfungen |
Nach einer Änderung ist zu klären, wofür die früheren Ergebnisse noch gelten
Während der Inbetriebnahme wurde eine Schutzeinstellung geändert, ein Gerät ersetzt oder eine Leitung neu verlegt. Dokumentation und Prüfergebnisse müssen sich auf den Zustand beziehen, der dem Betreiber tatsächlich übergeben wird.
Nach Änderungen ist die Notwendigkeit erneuter Verifikation und Prüfung zu bewerten. Der Umfang richtet sich nach der Auswirkung der Änderung. Nicht alles muss gedankenlos wiederholt werden. Ebenso wenig darf ein früheres Ergebnis automatisch auf eine spätere Änderung übertragen werden, nur weil beides am selben Tag geschah.
Das Datum im Protokoll kann stimmen, während das geprüfte Schutzgerät längst aus dem Schaltschrank entfernt wurde.
Ein brauchbarer Prüfbericht bezeichnet deshalb die geprüfte Konfiguration, relevante Einstellungen, Prüfbedingungen und Bewertungskriterien. Abweichungen und ihre Beseitigung werden ebenfalls festgehalten. Nur so lässt sich später bestimmen, was tatsächlich nachgewiesen wurde, ohne die Inbetriebnahme aus der Erinnerung der Beteiligten rekonstruieren zu müssen.
Eine Korrektur, die die Ursache beseitigt, ist ein Ergebnis der Ingenieurarbeit. Eine Korrektur, die der Bediener künftig stündlich wiederholen muss, ist eine neue Betriebsanforderung. Die Abnahme muss beide unterscheiden, bevor sie gemeinsam unter „Maschine eingestellt“ verschwinden.
Wenn Menschen während der Prüfung ständig die Maschine korrigieren, gehört ihre Arbeit zum Prüfergebnis. Bei der Unterschrift darf sie nicht einfach herausgerechnet werden.
8. Betriebliche Gewohnheit repariert keine Konstruktion
Für eine schlechte Installation zahlt man beim Maschinenkauf – und danach weiter. Mit Bedienzeit, Arbeit der Prozesstechnologen, Ausschuss und zusätzlichen Stillständen. Irgendwann verschmilzt die Rechnung so vollständig mit den Produktionskosten, dass die Frage nach der Ursache wie unnötige Komplikation klingt.
Für eine Konstruktionsverbesserung ist ein einzelner Stillstand angeblich zu teuer. Für die tägliche Korrektur ihrer Folgen findet sich erstaunlicherweise immer Zeit.
Das Wissen der erfahrenen Belegschaft muss in dieser Situation zum Konstrukteur zurückfließen. Die Beschäftigten wissen, wann Messwerte unglaubwürdig werden, welche Eingriffe beim Anfahren nötig sind und welche Tätigkeiten ständig wiederkehren, obwohl sie selten sein sollten. Ihre Improvisationsfähigkeit liefert wertvolle Informationen über die Maschine.
In den beschriebenen Fällen wurde diese Fähigkeit vor allem genutzt, um die Reparatur aufzuschieben.
Die Anwendung der EN 60204-1 verlangt den Abgleich der Konstruktion mit der tatsächlichen elektrischen Ausrüstung und ihren Einsatzbedingungen. Schutzwirkung, Eignung der Lösungen und die Übereinstimmung der Planungsannahmen mit der realen Bedienung müssen nachweisbar sein. Jahrelange Gewohnheit liefert weder fehlende Berechnungen noch Prüfergebnisse.
Beim nächsten Satz „Diese Maschine ist eben so“ lohnt sich daher die Frage nach der Ursache. Besteht die Antwort aus dem Namen des einzigen Bedieners, der mit ihr zuverlässig produzieren kann, haben wir etwas über dessen Kompetenz erfahren. Die Konstruktion wartet weiterhin auf ihre Verteidigung.
Menschen können lernen, mit einem Maschinenfehler umzugehen. Dadurch wird der Fehler noch lange nicht zur technologischen Anforderung.
Quellen und Anmerkungen
Die im Artikel genannten Abschnittsnummern beziehen sich auf die ausdrücklich ausgewertete polnische Ausgabe PN-EN 60204-1:2018-12, die EN 60204-1:2018 in Polen einführt. Die europäische Fassung basiert auf IEC 60204-1:2016 mit Änderungen. Daraus folgt nicht, dass sämtliche Fassungen wortgleich sind.
Die verlinkten Katalog- und Informationsseiten identifizieren Veröffentlichungen und deren Anwendungsbereich. Sie ersetzen nicht den vollständigen Normtext. Für ein konkretes Projekt sind die anwendbare Ausgabe, Änderungen, gegebenenfalls einschlägige Typ-C-Normen sowie die tatsächlichen Installationsbedingungen gesondert festzustellen.
[1] Elektrische Ausrüstung als Bestandteil der Maschinensicherheit. Herangezogen wurden insbesondere die Zusammenhänge zwischen Risikobeurteilung, Fehlverhalten elektrischer Ausrüstung, Auswahl und Einsatzbedingungen. Internationale Basisveröffentlichung: IEC 60204-1:2016 – IEC-Katalog.
[2] Leitungsführung, elektromagnetische Verträglichkeit und Thermoelementmessung. Die Aussagen betreffen Störaussendung und Störfestigkeit, gemeinsame Leitungsführung, räumliche Trennung, Schirmung und Potenzialausgleich. Referenz für Thermoelementkennlinien: IEC 60584-1:2013 – Thermoelemente – Teil 1: Thermospannungen und Grenzabweichungen. Die vorgeschlagene Diagnose ist eine ingenieurtechnische Vorgehensweise und kein Bericht über zwei konkrete Produktionslinien.
[3] Häufigere Eingriffe, Zuverlässigkeit und Auswahl von Schutzmaßnahmen. Grundlage sind die Betrachtungen zu Bedarf, Häufigkeit, Dauer und Art der Exposition sowie zur Reduzierung von Eingriffen durch zuverlässige Ausrüstung: ISO 12100:2010. Eine geänderte Eingriffshäufigkeit macht nicht automatisch das gesamte Dokument unwirksam und führt nicht mechanisch zu einem bestimmten höheren Risikowert. Sie entzieht jedoch einer auf seltenem Zugang beruhenden Begründung die Tatsachengrundlage.
[4] Farben und Bedeutung der Benutzerschnittstelle. Die Farbcodierung sowie die Empfehlung, einen gewöhnlichen roten STOP nicht direkt neben einem Betätigungsgerät für Handlungen im Notfall anzuordnen, sind im betrachteten Ausgabestand Empfehlungen. Ein roter gewöhnlicher STOP ist zulässig; Rot auf gelbem Hintergrund ist Handlungen im Notfall vorbehalten.
[5] Schutz im TT-System und Rechenbeispiel. Die Werte 230 V, 23 Ω und 16 A sind Modellwerte. Der Strom von 10 A wurde unter Vernachlässigung des Betriebsstroms und der Fehlerimpedanz ermittelt. Die genannte Abschaltzeit von 0,2 s bezieht sich auf den beschriebenen Endstromkreis und ist kein allgemeiner Wert für sämtliche TT-Stromkreise. Ergänzende Grundlage zum Schutz gegen elektrischen Schlag: IEC 60364-4-41:2005+AMD1:2017 – Schutz gegen elektrischen Schlag.
[6] Isolationsüberwachung im IT-System. Anforderungen an Geräte zur ständigen Überwachung des Isolationswiderstands gegen Erde behandelt IEC 61557-8:2014 – Isolationsüberwachungsgeräte für IT-Systeme. Die dargestellten Szenarien des ersten und eines weiteren Fehlers erklären die Schutzlogik, ersetzen aber weder eine vollständige Anlagenbewertung noch die gerätespezifische Auswahl.
[7] RCD bei Frequenzumrichtern. Ergänzende Anforderungen und Prüfungen für Fehlerstrom-Schutzeinrichtungen der Typen F und B im jeweiligen Anwendungsbereich enthält IEC 62423:2009. Auswahl und Errichtung von Schutz-, Trenn-, Schalt-, Steuer- und Überwachungsgeräten in Niederspannungsanlagen werden außerdem in IEC 60364-5-53:2019+AMD1:2020+AMD2:2024 behandelt. Die Ausführungen zu Ableitströmen, Gleichstromanteilen und Schutzkoordination sind technische Erläuterungen, keine vollständige Auswahlanleitung für jeden Antrieb.
[8] Verifikation und Änderungen während der Inbetriebnahme. Relevant sind der Umfang der Verifikation, die Trennung unterschiedlicher Prüfungen, die Dokumentation der Ergebnisse, Funktionsprüfungen und die Bewertung erforderlicher Wiederholungsprüfungen nach Änderungen. Die Beobachtung realer Bedienaufgaben wurde mit den Expositionsgrundsätzen aus ISO 12100 verknüpft.
[9] Spätere Änderungen. IEC veröffentlicht die Änderung IEC 60204-1:2016/AMD1:2021. Die im Artikel erläuterten Abschnittsnummern wurden anhand der genannten polnischen Basisausgabe betrachtet. Dieser Beitrag ist keine vollständige Gegenüberstellung späterer IEC- oder europäischer Änderungen.
[10] Harmonisierungsstatus und Charakter der Beispiele. Amtliche Informationen und Veröffentlichungen zu harmonisierten Normen für Maschinen stellt die Europäische Kommission – Maschinen, harmonisierte Normen bereit. Der Beitrag legt keinen aktuellen Harmonisierungsstatus einer bestimmten Ausgabe fest. Rechenwerte, Zugangsszenarien und Tabellen dienen der Erläuterung technischer Zusammenhänge und sind weder Messberichte realer Anlagen noch vollständige Abnahmeverfahren.