Die riskantesten Entscheidungen im Bereich Maschinensicherheit sind oft diejenigen, die man in der Überzeugung trifft, das Thema sei damit endgültig erledigt.
Im Projekt wird eine Gefährdung erkannt. Jemand schlägt eine schnelle Maßnahme vor: wir montieren eine Schutzeinrichtung, setzen einen Lichtvorhang ein, realisieren eine Sicherheitsfunktion in der Steuerung. Das Problem wirkt abgeschlossen. In der Dokumentation taucht die Schutzmaßnahme auf, in der Risikobeurteilung sinkt der Wert, alle gehen zum nächsten Punkt über.
Und später stellt sich heraus, dass:
- eine schwere Schutzeinrichtung eine neue Quetschstelle erzeugt,
- eine Verriegelung den Zugang zum Einstellen erschwert und damit das Umgehen provoziert,
- die Schutzeinrichtung ohne belastbare Überprüfung der Stoppzeit positioniert wurde,
- ein zusätzliches Element im Sicherheitskreis die Dynamik des Gesamtsystems verändert hat, ohne dass das jemand analysiert hat.
Das sind keine Fehler aus Unwissenheit.
Das sind Fehler, die aus Vereinfachung entstehen.
Eine Schutzmaßnahme ist eine konstruktive Änderung. Sie verändert die Geometrie der Maschine, die Zugänglichkeit von Bereichen, die Bedienabläufe, die Handlungsfolge bei Störungen, das Verhalten des Antriebssystems und die Reaktion der Steuerung. Jede solche Änderung wirkt auf die Gefährdungsstruktur — manchmal offensichtlich, manchmal sehr subtil.
In der industriellen Praxis begegnet einem häufig ein lineares Denken: Es gab die Gefährdung A → wir haben eine Schutzmaßnahme ergänzt → die Gefährdung A ist „weg“. Tatsächlich ist die Realität nichtlinear. Eine Änderung an einer Stelle kann das Risiko in andere, weniger sichtbare Bereiche verschieben.
Genau dieser Bereich — wenn eine Schutzmaßnahme das System nicht stabilisiert, sondern neue technische Spannungen erzeugt — verlangt eine nüchterne, ingenieurmäßige Betrachtung.
Der erste typische Fehler nach dem „Nachrüsten einer Schutzmaßnahme“ ist die Annahme, die Änderung sei rein lokal. Also: sie betrifft nur eine einzelne Gefährdung und hat keine Auswirkungen auf den Rest des Systems.
Tatsächlich greift jede Schutzmaßnahme in die Konstruktion der Maschine oder in ihre Steuerung ein. Und damit beeinflusst sie:
- die Kinematik,
- die Zugänglichkeit des Arbeitsraums,
- Reaktions- und Abschaltzeiten,
- die Art und Weise, wie Einstell- und Servicearbeiten durchgeführt werden,
- das Verhalten bei Störungen und die Störungsbeseitigung.
Werden solche Änderungen nicht ganzheitlich betrachtet, entsteht sehr schnell ein Risiko-Shift – das Risiko wird also lediglich verlagert.
1. Schutzeinrichtung als Quelle neuer mechanischer Gefährdungen
Das klassischste Beispiel ist eine mechanische Schutzeinrichtung (Schutzhaube/Abdeckung). Die Funktion ist klar: den Zugang zum Gefahrenbereich zu verhindern. Und das gelingt in vielen Fällen auch.
Kritisch wird es, wenn sich die Konstruktion ausschließlich auf die Trennung konzentriert, die physikalischen Eigenschaften der Schutzeinrichtung selbst aber außer Acht lässt.
Eine schwere, schwenkbare Schutzhaube bringt zusätzliche Masse mit.
Zusätzliche Masse bedeutet potenzielle Energie.
Potenzielle Energie bedeutet die Möglichkeit von Herabfallen, Quetschen oder Anstoßen.
Wenn Bewegungsbahn, Abstützung und die Stabilität in geöffneter wie geschlossener Stellung nicht bewertet wurden, wird die Schutzeinrichtung selbst zu einem zusätzlichen beweglichen Teil im System. Damit entstehen eigene Gefahrenstellen.
In der Praxis wirkt das banal: Der Bediener öffnet die Schutzhaube, hält sie mit einer Hand, greift mit der anderen hinein, und jemand stößt sie seitlich an. Oder das Scharnier bekommt nach einem Jahr Betrieb Spiel. Dann ist die Abdeckung nicht mehr nur eine „Barriere“, sondern verhält sich wie ein dynamisches Bauteil.
Das ist kein Randfall.
Es ist die unmittelbare Folge davon, dass auch eine Schutzeinrichtung selbst eine Quelle von Energie und Bewegung sein kann.
2. Schutzeinrichtung ohne Verifikation der Sicherheitsparameter
Ein typisches Muster aus der Praxis: Eine Lichtschranke bzw. ein Lichtvorhang wird montiert, an eine Sicherheitssteuerung angeschlossen, der Abstand „laut Katalog“ eingestellt – und das Thema gilt als erledigt.
Allein der Einsatz einer Schutzeinrichtung ist jedoch noch kein Nachweis einer wirksamen Risikominderung.
Damit von tatsächlicher Wirksamkeit gesprochen werden kann, müssen mindestens drei technische Voraussetzungen erfüllt sein.
a) Verifizierung der tatsächlichen Nachlauf- bzw. Stoppzeit
Der Abstand der Schutzeinrichtung zur Gefahrenstelle darf nicht „aus Erfahrung“ festgelegt werden. Er muss aus Berechnungen nach ISO 13855 abgeleitet werden, die sich stützen auf:
- die reale Stillsetzzeit der Maschine (einschließlich der Trägheit/Nachlauf des Systems),
- die Reaktionszeit der Schutzeinrichtung sowie der sicherheitsbezogenen Steuerung,
- der Reaktionszeit des Menschen,
- festgelegten geometrischen Randbedingungen, die sich aus dem Gerätetyp ergeben.
Schlüsselwort: tatsächlich.
Die Stillstandszeit ist durch Messung unter repräsentativen Worst-Case-Bedingungen zu ermitteln: bei maximaler Last, bei höchster Geschwindigkeit und unter Berücksichtigung von Veränderungen über die Zeit (Verschleiß der Bremskomponenten, Toleranzen, Temperatur). Nicht aus dem Katalog. Nicht als Herstellerangabe. Nicht „typisch“.
Wurde diese Messung nicht durchgeführt, gibt es keinen Nachweis, dass der Sicherheitsabstand korrekt festgelegt wurde. Und ohne korrekt ermittelten Sicherheitsabstand gibt es keinen Nachweis, dass die Schutzeinrichtung das Erreichen des Gefahrenbereichs vor dem Stillsetzen der Bewegung tatsächlich verhindert.
In so einem Fall kann die Absicherung logisch korrekt funktionieren, jedoch physikalisch wirkungslos sein.
b) Verifizierung der Sicherheitsfunktion und Performance Level
Der zweite Baustein ist die Verifizierung der Sicherheitsfunktion gemäß ISO 13849-1.
Die Schutzeinrichtung ist nur ein Glied in der Kette. Die Sicherheitsfunktion umfasst:
- den Sensor (z. B. ein Lichtgitter),
- die Logik (Sicherheitssteuerung, Sicherheitsrelais),
- die Aktoren (Schütze, Ventile, Antriebe),
- die Architekturstruktur (Kategorie),
- Zuverlässigkeitsparameter (MTTFd, DC, CCF).
Wenn keine Performance-Level-Berechnung durchgeführt und nicht nachgewiesen wurde, dass das erreichte PL ≥ dem aus der Risikobeurteilung abgeleiteten erforderlichen PLr ist, fehlt formal die Bestätigung, dass die Sicherheitsfunktion die geforderte Risikominderung erreicht.
Ein häufiger Fehler ist die Annahme: „Das Lichtgitter hat PL e, also sind wir sicher“.
Nicht das Lichtgitter allein muss das erforderliche Niveau erfüllen.
Es ist die gesamte Sicherheitsfunktion, die dieses Niveau erreichen muss.
Enthält die Abschaltkette ein Element mit zu geringer Zuverlässigkeit, etwa ein einzelnes Schütz ohne Rückführkreis/Überwachung, oder fehlt eine ausreichende Diagnostik, kann das tatsächliche PL unter dem erforderlichen liegen. Dann ist die Wirksamkeit der Schutzmaßnahme eine Annahme – kein belegter Zustand.
c) Funktionale Stimmigkeit — nicht nur elektrisch
Der dritte Bereich ist die Einbindung der Sicherheitsfunktion in den technologischen Prozess.
Selbst ein korrekt berechneter Sicherheitsabstand und ein formal richtig verifizierter Performance Level sind nicht automatisch wirksam, wenn:
- ein Reset von einer Position aus möglich ist, von der aus erneut Zugang zum Gefahrenbereich besteht,
- die Wiederanlaufsituation automatisch erfolgt, sobald die Schutzeinrichtung freigegeben wird,
- Übergangszustände nicht berücksichtigt wurden (z. B. Restbewegungen, Achsträgheit),
- das Verhalten bei teilweisem Systemausfall nicht geprüft wurde.
Eine Sicherheitsfunktion muss nicht nur „verdrahtet“ bzw. „angebunden“ sein, sondern im Ablauf logisch korrekt ausgelegt und über das gesamte Betriebsszenario der Maschine verifiziert werden.
Wenn eines dieser Elemente (Stillstandszeit, Abstand nach ISO 13855, PL/PLr nach ISO 13849-1, Reset- und Wiederanlauflogik) nicht belastbar verifiziert wurde, gibt es keinen Nachweis für eine wirksame Risikominderung.
Und das Problem reicht tiefer.
In so einer Konstellation ist nicht nur die Wirksamkeit der Schutzmaßnahme nicht belegt. Auf dieser Ebene werden neue Gefährdungssituationen geschaffen. Der Bediener erhält das Signal, dass der Bereich „geschützt“ ist. Das Verhalten passt sich an – der Zugang erfolgt schneller, der Abstand wird kleiner, die Reaktion entschlossener. Ist die tatsächliche Stillstandszeit jedoch länger als im Entwurf angesetzt, entsteht die Lage, dass sich eine Person bereits im Wirkbereich der Gefährdung befindet, bevor die gefährliche Bewegung zum Stillstand kommt.
Das ist eine normativ beschriebene Gefährdungssituation: ein Umstand, in dem eine Person mindestens einer Gefährdung ausgesetzt ist.
Ähnlich beim nicht ausreichend verifizierten Performance Level: Erreicht die Sicherheitsfunktion das erforderliche PLr nicht, kann es bei einem Einzelfehler oder bei Verlust der Diagnostik zum Ausfall der Stoppfunktion kommen. Dann liegt eine Situation vor, in der:
- die Gefährdung weiterhin besteht,
- der Mensch von ihrer Reduzierung ausgeht,
- das System die Sicherheitsfunktion aber nicht wie vorgesehen ausführt.
Das ist keine „unvollständige Dokumentation“.
Das ist eine strukturell neue Gefährdungssituation, die bereits in der Konstruktions- und Projektierungsphase eingeführt wird.
3. Wenn eine Schutzeinrichtung die Arbeitsweise verändert – und damit die Risikostruktur
Jede Schutzmaßnahme verändert nicht nur die Geometrie der Maschine oder die Stopp- bzw. Stillstandsparameter. Sie verändert ebenso die Art und Weise, wie die Arbeit tatsächlich ausgeführt wird.
Genau an dieser Stelle entstehen in der Praxis besonders häufig neue Gefährdungssituationen – nicht, weil die Schutzeinrichtung „nicht funktioniert“, sondern weil die Konstruktion nicht berücksichtigt hat, wie die Anlage tatsächlich genutzt wird.
a) Erschwerter Zugang = improvisierte Eingriffe
Wenn eine Schutzeinrichtung den Zugang zu Einstellarbeiten, Reinigung oder Umrüsten deutlich erschwert, beginnt der Bediener, Abläufe abzukürzen:
- die Schutzeinrichtung bleibt teilweise geöffnet,
- der Endschalter wird blockiert,
- Tätigkeiten werden bei Restbewegungen ausgeführt,
- Eingriffe erfolgen bei nicht eindeutigem Stillstand.
Das ist kein Problem „undisziplinierter Beschäftigter“.
Es ist die Folge einer Auslegung, die die reale Häufigkeit und den tatsächlichen Charakter der Tätigkeit nicht ausreichend berücksichtigt hat.
Damit entsteht eine Gefährdungssituation: Eine Person befindet sich in einem Bereich, der nach der Planung während der Bewegung nicht zugänglich sein sollte – und das System kann sichere Bedingungen nicht mehr wirksam erzwingen.
Die Schutzeinrichtung wurde nicht entfernt.
Die Umgehung ist vielmehr Teil des Arbeitsablaufs geworden.
b) Schutzeinrichtung, die den Arbeitsablauf destabilisiert
Jede Sicherheitsfunktion bringt logische Bedingungen in die Steuerung:
- Stillsetzen bei Auslösung,
- Startverhinderung,
- Reset,
- Bestätigung der Ausgangsbedingungen.
Ist die Rückkehr in den Normalbetrieb zu komplex, unlogisch oder nicht eindeutig nachvollziehbar, steigt die Wahrscheinlichkeit von Handlungen außerhalb des vorgesehenen Ablaufs.
Beispiele:
- Reset ohne Sichtkontrolle des Gefahrenbereichs,
- Wiederanlauf bei noch vorhandenen Restbewegungen,
- Eingriffe im Servicebetrieb ohne vollständige Energiefreischaltung.
Jeder dieser Fälle ist eine Gefahrensituation: Eine Person befindet sich im Wirkbereich einer Gefährdung, während die Sicherheitsbedingungen nicht erfüllt sind.
Aus Sicht der Risikobeurteilung ist das kein „Bedienfehler”.
Es ist das Ergebnis einer fehlenden Betrachtung, wie die Schutzmaßnahme die Dynamik des Systems verändert hat.
c) Zielkonflikt zwischen Sicherheit und Ergonomie
Wenn eine Schutzeinrichtung:
- die Sicht auf den Arbeitsbereich einschränkt,
- ungünstige bzw. unnatürliche Körperhaltungen erzwingt,
- die körperliche Belastung erhöht,
- die Zykluszeit in operativ relevantem Umfang verlängert,
dann steigt die Wahrscheinlichkeit für unerwünschtes Verhalten.
Und diese Wahrscheinlichkeit ist eines von zwei Elementen der Risikodefinition.
In der Praxis sieht das so aus:
Die Konstruktion sieht einen sicheren Zugang bei geschlossener Schutzeinrichtung vor.
Damit der Bediener das Werkstück sieht, beugt er sich nach vorn und führt die Hand unter die untere Kante.
Die Schutzmaßnahme ist physisch vorhanden.
Die Gefahrensituation entsteht dennoch.
Die Schutzmaßnahme hat das Risiko nicht beseitigt.
Sie hat lediglich dessen Konstellation verändert.
4. Lineares Denken versus systemische Analyse
Alle beschriebenen Fälle haben eine gemeinsame Ursache: ein lineares Vorgehen bei der Risikominderung.
Gefährdung → Schutzmaßnahme → Problem gelöst.
Tatsächlich sollte jede konstruktive Änderung an einem technischen System als neue Systemkonfiguration betrachtet werden.
Eine neue Konfiguration bedeutet:
- neue Betriebsbedingungen,
- neue Zugangsstellen,
- neue Bewegungsbahnen,
- neue Störszenarien,
- neue Gefährdungssituationen.
Wenn nach der Umsetzung einer Schutzmaßnahme nicht erneut zur Gefährdungsidentifikation zurückgesprungen wird, bleibt die Analyse unvollständig – auch dann, wenn die Dokumentation formal korrekt aussieht.
Genau darin liegt der entscheidende Unterschied zwischen dem bloßen „Vorhandensein einer Schutzeinrichtung” und einer tatsächlichen Risikominderung.
5. Warum inhärent sichere Konstruktionen robuster sind
Schaut man nüchtern auf typische Muster von Konstruktionsfehlern, zeigt sich eine klare Regel: Die meisten Probleme entstehen dort, wo Sicherheit nachträglich „aufgesetzt” wird, statt von Anfang an in die Konstruktion integriert zu sein.
Inhärent sichere konstruktive Lösungen funktionieren grundsätzlich anders als Schutzmaßnahmen. Sie schirmen den Zugang zur Gefährdung nicht nur ab, sondern reduzieren oder beseitigen die Gefährdung direkt an der Quelle.
Typische Beispiele sind leicht nachvollziehbar:
- Reduzierung der kinetischen Energie durch Begrenzung von Geschwindigkeit oder Masse,
- Begrenzung des Drehmoments auf ein bei einer Kollision sicheres Niveau,
- Verringerung der Anpresskraft,
- Abrunden von Kanten statt nachträglichem Abdecken,
- Geometrieänderungen, die eine Quetschstelle vermeiden,
- Einsatz eines Antriebs mit kontrollierter Stopp-Charakteristik.
In solchen Fällen sinkt das Risiko, weil in der gefährlichen Situation weniger Energie zur Verfügung steht oder der Mechanismus der Energiefreisetzung gar nicht erst entsteht.
Das ist eine qualitativ andere Risikominderung als das bloße Einziehen einer Barriere.
Wenn du die Geschwindigkeit reduzierst, senkst du die Energie in jedem Szenario.
Wenn du die Kraft begrenzt, reduzierst du die Schwere eines möglichen Schadens.
Wenn du eine Quetschstelle konstruktiv eliminierst, existiert der konkrete Entstehungsmechanismus des Schadens nicht mehr.
In vielen Fällen muss Sicherheit dann nicht über zusätzliche Steuerungslogik, Quittierungen und komplexe Ablaufketten „aufgebaut” werden. Das Risiko sinkt strukturell.
Deshalb sind solche Lösungen von Natur aus stabiler.
6. Können inhärent sichere Lösungen neue Gefährdungssituationen erzeugen?
Das kann passieren. Der Mechanismus ist jedoch ein anderer – und in der Praxis meist deutlich seltener.
Beispiel: Eine Reduzierung von Prozessgeschwindigkeit oder Prozesskraft führt zu mehr Störungen (Schlupf, Lageänderungen des Werkstücks, häufigeres Verklemmen). In der Folge steigt die Zahl manueller Eingriffe. Und mit jedem zusätzlichen Eingriff steigt die Anzahl der Zeitpunkte, zu denen Personen in den Einwirkbereich von Gefährdungen gelangen – es entstehen also neue Gefährdungssituationen.
Das ist kein unmittelbarer „Konstruktions-Nebeneffekt“.
Es ist die Folge einer veränderten Prozessstabilität und einer höheren Eingriffshäufigkeit.
Der Unterschied: Bei inhärent sicheren Lösungen betrifft die Änderung die Energiequelle oder die Geometrie – nicht primär den Zugang. Deshalb ist die Anzahl neu entstehender Gefährdungssituationen in der Regel geringer als bei nachträglich „aufgesetzten“ Schutzmaßnahmen.
7. Grundlegender Unterschied
Eine Schutzmaßnahme sagt:
„Die Gefährdung ist vorhanden – wir begrenzen den Zugang dazu.“
Eine inhärent sichere Lösung sagt:
„Wir verändern die Gefährdung – oder beseitigen sie.“
Der erste Ansatz schafft Randbedingungen.
Der zweite verändert die Physik des Systems.
Darum ist es in der Konstruktionspraxis am sichersten, mit Energiereduzierung, Geometrieanpassung und der Eliminierung des Gefährdungsmechanismus zu beginnen – und erst danach, falls erforderlich, technische und ergänzende Schutzmaßnahmen einzusetzen.
Das ist keine Frage der Philosophie.
Es ist eine Frage der Stabilität.
8. Neue Gefährdungen sind Teil des Prozesses. Sie dürfen nicht ignoriert werden.
Das zentrale Problem bei sogenannten „sekundären Risiken“ ist, dass sie als Nebensache behandelt werden: als kleine Unannehmlichkeit nach der Einführung einer Schutzmaßnahme. Als etwas, das man „später noch präzisieren“ könne.
Aus Sicht der Methode der Risikobeurteilung ist das jedoch kein Detail.
Es ist ein kritischer Prozessmoment.
Jede Einführung einer Schutzmaßnahme verändert die Systemkonfiguration. Und jede Konfigurationsänderung bedeutet die Möglichkeit, dass neue Gefährdungssituationen entstehen.
Wenn nach der Risikominderung nicht erneut zur Gefährdungsidentifikation zurückgekehrt wird, ist der Prozess unterbrochen. Er ist nicht abgeschlossen – er bleibt offen.
In der Praxis entsteht genau an dieser Stelle häufig eine Lücke: Die Gefährdung A wurde formal reduziert, gleichzeitig tritt jedoch eine Gefährdung B auf – weniger offensichtlich, schwerer zu erkennen und oft verbunden mit Bedienung, Rücksetzen (Reset), Zugangssituationen sowie der Dynamik des Stillsetzens.
Wird dieser Schritt übergangen, bleibt die Risikominderung zwangsläufig unvollständig.
9. Eine Iteration, die man nicht einfach „durchklicken“ kann
Deshalb gehört in einen korrekt aufgebauten Risikominderungsprozess nach jedem Schritt eine zentrale Frage:
Sind durch die umgesetzten Schutzmaßnahmen neue Gefährdungen entstanden?
Lautet die Antwort „ja“ – geht die Betrachtung zurück zur Identifikation.
Lautet die Antwort „nein“ – muss das eine bewusste Entscheidung sein und kein automatisches „weiter“.
Genau diesen Mechanismus stellt SafetySoftware.eu konsequent sicher: Nach dem Schritt der Risikominderung fordert das System eine Entscheidung, ob die gewählten Schutzmaßnahmen neue Gefährdungen erzeugt haben. Ohne klare Festlegung lässt sich der Prozess nicht fortsetzen.
Das ist keine „Kosmetik“.
Es ist eine Absicherung des Prozesses gegen eine lineare Vereinfachung.
Denn die größten Fehler entstehen nicht, weil Schutzmaßnahmen fehlen.
Sie entstehen, weil die Iteration fehlt.
Und Maschinensicherheit beginnt genau dort, wo das Denken endet: „Wir haben eine Schutzeinrichtung ergänzt, also sind wir sicher.“