„Bei Gefahr drückt der Bediener den Pilztaster.“ Damit lässt sich eine Diskussion über Schutzmaßnahmen bequem beenden. Der Taster ist vorhanden, der Stromkreis funktioniert, bei der Prüfung blieb die Maschine stehen. Jetzt muss man nur noch unterstellen, dass ein Mensch die Gefahr erkennt, rechtzeitig reagiert und genau das ausgleicht, was Konstruktion und Arbeitsplatzgestaltung nicht leisten.
Der Konstrukteur darf den Reflex des Bedieners nicht als Ersatz für fehlende Schutzmaßnahmen verbuchen. Eine präventive Sicherheitsfunktion soll ein bestimmtes Gefährdungsereignis verhindern. Die Not-Halt-Funktion soll dagegen eine Reaktion auf eine bereits bestehende oder unmittelbar bevorstehende Notsituation ermöglichen. Sie soll deren Entwicklung aufhalten und die Folgen einer Gefährdung begrenzen. Das kann eine Verletzung verhindern. Trotzdem wird daraus kein Ersatz für eine Schutzfunktion, die das gefährliche Ereignis gar nicht erst eintreten lassen soll.
Genau dieser Unterschied darf in der Risikobeurteilung nicht unter dem Sammelsatz „Sicherheitsschaltung vorhanden“ verschwinden. ISO 13850 bezeichnet Not-Halt als ergänzende Schutzmaßnahme. Nicht, weil er unwichtig wäre. Sondern weil er andere Schutzmaßnahmen ergänzen und nicht deren Fehlen rechtfertigen soll.
Das zweite Missverständnis beginnt meist mit einer besonders entschlossenen Aussage: „Nach dem Drücken schalten wir alles ab.“ Klingt sauber. Nur ist eine stillstehende Maschine nicht automatisch eine sichere Maschine. Ein Mensch kann eingeklemmt bleiben. Eine Einrichtung, die ihn schützen sollte, kann gleichzeitig abgeschaltet werden. Der bloße Stillstand sagt noch nicht, ob die Gefahr beherrscht ist.
Die Aufgabe der Not-Halt-Funktion darf deshalb nicht darauf reduziert werden, möglichst viele Geräte spannungslos zu machen. Festgelegt werden muss, welche gefährlichen Bewegungen und Vorgänge enden sollen, in welcher Reihenfolge das geschehen muss und welche Einrichtungen zum Schutz des Menschen weiter funktionieren müssen. In bestimmten Anwendungen sind zusätzliche Schutzhandlungen erforderlich, nicht nur ein Stopp.
Der Bediener soll die Reaktion mit einer einzigen Handlung auslösen können. Vor dem Drücken darf er nicht überlegen müssen, ob die Abschaltung schlimmere Folgen hat als die aktuelle Gefahr. Diese Frage gehört in die Konstruktion. Je einfacher der Eingriff für den Menschen sein soll, desto gründlicher muss die Reaktion der Maschine vorher durchdacht sein.
Wird eine Abnahmeprüfung darauf beschränkt, ob der Antrieb stehen bleibt, kann der Stillstand bestätigt sein, während die wichtigste Frage offenbleibt: Hat die Maschine auf die Notsituation richtig reagiert? Der Eintrag „E-STOP funktioniert“ erklärt weder, welche Ereignisse die übrigen Schutzmaßnahmen verhindern, noch was nach dem Drücken mit dem Menschen geschieht. Eine Maschine anhalten zu können, beweist keine ausreichende Schutzwirkung. Und das Ende einer Bewegung ist nicht immer das Ende der Gefahr.
Not-Halt ergänzt die Schutzmaßnahmen. Er darf nicht zur technischen Umschreibung für „Der Bediener wird schon rechtzeitig reagieren“ werden.
1. Prävention und Notfallreaktion lösen nicht dasselbe Problem
„Der Lichtvorhang stoppt die Maschine. Der Pilztaster auch. Warum also kompliziert denken?“ Würde die Schutzwirkung ausschließlich davon abhängen, ob am Ende ein Motor steht, wäre die Frage vernünftig. Man könnte zwei Schaltungen vergleichen, denselben Schütz finden und die Differenz zur Preisfrage erklären.
Übersehen wird nur, wann die Maschine stoppt und was bis dahin mit dem Menschen geschehen kann. Eine präventive Sicherheitsfunktion soll ein bestimmtes Gefährdungsereignis verhindern. Not-Halt soll eine bestehende oder unmittelbar bevorstehende Notsituation beherrschen. In beiden Fällen kann eine Bewegung gestoppt werden. Trotzdem sind es zwei unterschiedliche Aufgaben.
Ein Lichtvorhang meldet nicht bloß, dass die Hand das Werkzeug schon erreicht hat
Nehmen wir einen Arbeitsplatz, an dem eine Person ein bewegtes Werkzeug erreichen könnte. Der Zugang lässt sich mit einem Lichtvorhang sichern: Die gefährliche Bewegung kann während des Zyklus gestoppt werden, und das Werkzeug ist nicht erreichbar, ohne das Schutzfeld zu unterbrechen.
Der Lichtvorhang erkennt die Hand und leitet den Stopp ein. Sein Abstand zum Werkzeug berücksichtigt die Reaktionszeit des gesamten Systems sowie die Nachlaufzeit und den Nachlaufweg der Maschine. Die gefährliche Bewegung muss beendet sein, bevor der Mensch sie erreichen kann. Das ist die Aufgabe der Funktion. Nicht nur das Umschalten von Ausgängen. Und auch nicht die Meldung „Safety Stop“ auf dem Bedienpanel.
Erreicht die Hand das noch bewegte Werkzeug, bevor die Maschine steht, wurde der Kontakt nicht verhindert. Das gilt selbst dann, wenn der Lichtvorhang korrekt geschaltet, die Steuerung das Signal verarbeitet und der Antrieb den Befehl ausgeführt hat. Jedes einzelne Gerät kann bestimmungsgemäß funktionieren – und der Entwurf kann trotzdem falsch sein.
Deshalb prüft man einen Lichtvorhang nicht nur durch Unterbrechen seiner Strahlen. Nachzuweisen ist, dass Erkennung und Stopp tatsächlich das Ereignis verhindern, gegen das sie schützen sollen.
Bei Not-Halt muss ein Mensch die Reaktion auslösen
Ein Not-Halt-Befehlsgerät übernimmt nicht die automatische Zugangserkennung. Es ermöglicht einem Menschen, die vorgesehene Reaktion auf eine Situation einzuleiten, die einen unverzüglichen Eingriff verlangt. Dafür muss noch keine Verletzung eingetreten sein. ISO 13850 erfasst ausdrücklich auch eine unmittelbar bevorstehende Notsituation.
Jemand kann eine gefährliche Entwicklung erkennen und den Not-Halt-Pilztaster drücken, bevor ein Schaden entsteht. Der Eingriff kann aber auch erforderlich werden, während die gefährliche Einwirkung bereits andauert. Beim Lichtvorhang löst die Erkennung der Hand die Schutzfunktion aus. Beim Not-Halt muss ein Mensch den Handlungsbedarf erkennen und reagieren. Der Satz „Beides stoppt“ macht diese Abläufe nicht gleichwertig.
Entfernt man im Beispiel den Lichtvorhang und lässt nur den Pilztaster stehen, gibt es keinen automatischen Stopp mehr, sobald eine Hand in den Gefahrenbereich gelangt. Erkennen und Auslösen werden dem Menschen übertragen. Im Entwurf wurde die Detektion gestrichen. In der Begründung steht anschließend, der Bediener sei geschult. Die Einsparung ist real. Die behauptete Gleichwertigkeit ist erfunden.
Genau deshalb darf Not-Halt nach ISO 13850 weder technische Schutzmaßnahmen noch andere notwendige Sicherheitsfunktionen ersetzen. Auch Not-Halt ist eine sicherheitsbezogene Funktion. Daraus folgt aber nicht, dass ihr jede beliebige Schutzaufgabe zugewiesen werden darf.
Dasselbe Relais beseitigt den Unterschied nicht
Funktionen dürfen Steuerungskomponenten gemeinsam nutzen, sofern die einschlägigen Anforderungen erfüllt sind. Niemand muss Betriebsmittel nur um der Anzahl willen verdoppeln. Getrennt festzulegen bleibt jedoch, wodurch jede Funktion ausgelöst wird und welchem Schutzziel sie dient.
Beim Lichtvorhang wird geprüft, ob der gefährliche Kontakt verhindert wird. Beim Not-Halt wird geprüft, ob die Reaktion auf die betrachtete Notsituation angemessen ist. Diese Reaktion muss nicht auf reinen Stillstand begrenzt sein.
Eine Druckprobe am Pilztaster weist nicht nach, dass ein Mensch das bewegte Werkzeug nicht erreichen kann. Umgekehrt beantwortet ein richtig eingesetzter Lichtvorhang nicht alle Fragen zur erforderlichen Notfallreaktion. Ein gemeinsamer Schütz kann begründet werden. Ein gemeinsames „Anforderung erfüllt“ lässt sich nicht über zwei verschiedene Aufgaben kopieren.
Ein gleicher Ausgang macht aus zwei Sicherheitsfunktionen keine identische Schutzaufgabe. Entscheidend ist, welches Ereignis verhindert oder beherrscht werden soll.
2. „Der Bediener schafft das rechtzeitig“ ist keine Schutzmaßnahme
An einem Arbeitsplatz mit manueller Beschickung bleibt beispielsweise ein Kettenantrieb zugänglich. Die Einzugsgefahr wurde erkannt. Als Schutzmaßnahmen nennt die Risikobeurteilung einen Not-Halt-Pilztaster, eine Kennzeichnung und die Unterweisung des Bedieners. Danach gilt das Risiko als akzeptabel.
Die Kette ist weiterhin erreichbar. Die Beschäftigten führen daneben dieselben Tätigkeiten aus. Geändert hat sich die Farbe einer Tabellenzelle. Für die Abdeckung reichte das Budget nicht. Der Reflex des Bedieners wurde kostenlos eingetragen.
Was genau hat das Risiko verringert?
Der Taster begrenzt weder den Zugang zum Antrieb noch die Häufigkeit der Arbeiten in seiner Nähe. Er nimmt dem Mechanismus auch nicht die Fähigkeit, Kleidung oder Körperteile einzuziehen. Bereitgestellt wurde die Möglichkeit, einen Not-Halt auszulösen. Nun muss gezeigt werden, unter welchen Umständen dieser Eingriff tatsächlich helfen kann.
Wer erkennt die Gefahr? Woran? Ist das Befehlsgerät erreichbar? Bleibt zwischen dem Erkennen der Situation und dem Eintritt des Schadens genügend Zeit für eine wirksame Handlung? „Der Bediener wurde unterwiesen“ beantwortet nur einen Teil dieser Fragen. Es bestätigt die Vorbereitung auf bestimmte Abläufe. Es beweist nicht, dass der Mensch in der konkreten Situation körperlich noch handeln kann.
Die Unterschrift auf der Unterweisungsliste verkürzt keinen Nachlaufweg und verlängert nicht die verbleibende Zeit bis zum Einzug. Not-Halt kann die Möglichkeit verbessern, einen Schaden zu vermeiden oder zu begrenzen. Dieser Nutzen muss aber mit einem konkreten Ereignisablauf verbunden werden. Für die bloße Anwesenheit eines roten Tasters gibt es in der Risikobeurteilung keinen automatischen Rabatt.
Kann im Beispiel keine wirksame Reaktion nachgewiesen werden, reicht der Eintrag „E-STOP und Unterweisung“ nicht aus, um einen angemessenen Schutz gegen Einziehen zu begründen.
Gemessen wurde ab dem Drücken – nicht ab Beginn der Gefahr
Bei der Prüfung steht die testende Person direkt neben dem Befehlsgerät. Sie weiß, was gleich geschieht, und löst den Stopp gezielt aus. Gemessen wird die Zeit vom Betätigen des Geräts bis zum Ende der gefährlichen Bewegung. Dieser Wert ist notwendig. Er enthält aber nicht, was in der realen Notsituation vorher stattfinden muss: Gefahr wahrnehmen, Handlungsbedarf erkennen und die Handlung ausführen.
Für die Steuerung wurde eine Reaktionszeit bestimmt. Beim Bediener wurde angenommen, dass er es schon schaffen werde. Dabei können beide Hände mit dem Einlegen eines Werkstücks beschäftigt sein. Die Person kann außerhalb der Reichweite des Tasters stehen. Vielleicht braucht sie gerade deshalb Hilfe, weil sie selbst keine Handlung mehr auslösen kann.
Auch die Annahme, jemand anderes werde drücken, ist zu prüfen. Die zweite Person muss anwesend sein, die Situation sehen und handeln können. Sie erscheint nicht dadurch am Arbeitsplatz, dass in der Risikobeurteilung „Hilfe durch Kollegen“ steht.
Die Erreichbarkeit eines Not-Halt-Befehlsgeräts wird daher ausgehend von den Orten und Tätigkeiten beurteilt, bei denen ein Eingriff nötig werden kann – nicht nur aus der komfortablen Position vor dem Bedienpult bei der Abnahme. Ein technisch einwandfreier Stromkreis kann seinen Befehl zu spät erhalten. Das ist kein Relaisfehler, den die Diagnose erkennt. Es ist eine ungeprüfte Annahme über den Menschen. Eine schnellere Steuerung repariert nichts, wenn das eigentliche Problem vor dem Drücken liegt.
„Besondere Vorsicht walten lassen“ – am besten die ganze Schicht
In der Betriebsanleitung steht: „Der Bediener muss besonders vorsichtig sein, die Maschine ständig beobachten und bei Gefahr unverzüglich Not-Halt betätigen.“ Der Satz passt zu fast jeder Maschine. Genau deshalb erklärt er so wenig.
Angenommen, der Bediener soll fertige Teile entnehmen, ihre Qualität prüfen und sie in einen Behälter hinter dem Arbeitsplatz legen. Gleichzeitig fordert die Anleitung eine „ununterbrochene Beobachtung des Gefahrenbereichs“. Zum Ablegen muss sich die Person umdrehen. Sie ignoriert keine Vorschrift, telefoniert nicht und erfindet keinen eigenen Arbeitsablauf. Sie führt eine vom Konstrukteur vorgesehene Tätigkeit aus – von demselben Konstrukteur, der die Sicherheit vom Blick in die Gegenrichtung abhängig gemacht hat.
Die Bedienung wurde für eine Person geplant. Die geforderte Aufmerksamkeit offenbar für zwei. Der Hinweis „sofort stoppen“ löst diesen Widerspruch nicht. Zuerst muss jemand erkennen, dass ein Stopp erforderlich ist. Beruht das Schutzkonzept auf ständiger Beobachtung, während die vorgesehenen Aufgaben diese Beobachtung unterbrechen, passen die Annahmen nicht zusammen. Das Wort „besondere“ vor „Vorsicht“ ändert daran nichts. Es erhöht nur die Forderung an den Menschen, ohne die Arbeitsbedingungen zu verändern.
Warnhinweise gehören nicht grundsätzlich aus der Anleitung entfernt. Sie dürfen aber nicht die Konstruktionsarbeit übernehmen, die bei der Gestaltung der Schutzmaßnahmen versäumt wurde. Informationen für Benutzer haben ihren Platz bei der Risikominderung. Sie ersetzen weder inhärent sichere Konstruktion noch richtig ausgewählte technische Schutzmaßnahmen.
Dasselbe gilt für Not-Halt: Er ergänzt die Schutzmaßnahmen, statt deren Aufgabe auf die Aufmerksamkeit des Menschen zu verlagern. Das beschriebene Arbeitsplatzkonzept muss auch dann schützen, wenn der Bediener eine vorgesehene Tätigkeit korrekt ausführt und dabei den Blick von der Maschine abwendet. Die Frage darf nicht erst nach dem Ereignis lauten, warum er gerade nicht hingesehen habe.
„Pass auf“ kann eine Warnung sein. Es ist keine technische Schutzmaßnahme in Satzform.
3. Eine stillstehende Maschine kann weiterhin gefährlich sein
In der Funktionsbeschreibung steht: „Nach Auslösung des Not-Halts werden die Antriebe gestoppt und die Maschine in einen sicheren Zustand überführt.“ Der erste Teil lässt sich prüfen: Die Antriebe erzeugen keine gefährliche Bewegung mehr. Für den zweiten Teil muss geklärt werden, was außer Bewegung noch gefährdet und was mit dieser Gefährdung geschehen ist.
Die Wörter „sicherer Zustand“ hinter „Stopp“ zu schreiben ist einfach. In der Maschine entsteht dieser Zusammenhang nicht durch ein Komma. Das Ende der Bewegung kann die Entwicklung einer Notsituation unterbrechen und den Menschen trotzdem unter Druck, eingeklemmt oder ohne Befreiungsmöglichkeit zurücklassen. Eine Maschine muss keinen weiteren Zyklus ausführen, um weiterhin Schaden zu verursachen.
Die Geschwindigkeit ist null. Die Klemmkraft muss es nicht sein
Betrachten wir ein Walzenpaar, bei dem Federn den Anpressdruck erzeugen. Eine Extremität wird eingezogen, E-STOP wird ausgelöst, die Rotation stoppt. Das weitere Einziehen ist unterbrochen. Die Walzen bleiben jedoch zusammengedrückt. Der Antrieb hat seinen Befehl korrekt ausgeführt. Die Federn funktionieren ebenfalls bestimmungsgemäß. Der Mensch wird weiterhin gequetscht.
Das bedeutet nicht, dass der Stopp nutzlos war. Er hat das weitere Einziehen beendet. Er hat nur nicht die gesamte Situation gelöst. Gefährliche Bewegung unterbrechen und eine Befreiung ermöglichen sind zwei verschiedene Aufgaben, die aufeinander abgestimmt werden müssen.
Wurde das Einziehen in der Analyse berücksichtigt, muss auch feststehen, wie die betroffene Person befreit werden kann. Je nach Konstruktion können ein Auseinanderfahren, das Lösen des Anpressdrucks oder eine geeignet ausgelegte Rückwärtsbewegung erforderlich sein. Keine dieser Maßnahmen ist automatisch für jede Maschine richtig. Ein Problem ist nicht allein deshalb gelöst, weil es sich nach dem Stopp nicht mehr bewegt.
ISO 13850 reduziert die Notfallreaktion nicht auf Stillstand
Nach ISO 13850 kann die Not-Halt-Funktion neben dem Stoppen weitere Funktionen auslösen, etwa das Umkehren oder Begrenzen einer Bewegung. Ziel ist die Begrenzung möglicher Schäden, nicht die größtmögliche Zahl abgeschalteter Ausgänge. Gefährliche Bewegungen und Vorgänge müssen enden. Daraus folgt nicht, dass jede Bewegung innerhalb einer Notfallreaktion unzulässig wäre.
Eine richtig ausgelegte Bewegung kann dem Schutz des Menschen dienen. Das Wort „richtig“ ist dabei keine Dekoration. Bei einer Richtungsumkehr muss geklärt werden, ob sie in der betrachteten Einklemmung wirklich hilft. Vertieft sie möglicherweise die Verletzung? Entsteht eine andere Einzugsstelle? Was geschieht gleichzeitig mit dem Anpressdruck? Welcher Bewegungsumfang und welche Steuerungsart sind erforderlich?
Das Vorzeichen eines Drehzahlsollwerts zu ändern ist noch keine Rettungsfunktion – auch wenn dafür im Programm nur eine Zeile nötig ist. ISO 13850 eröffnet solche Reaktionen, legt aber nicht sämtliche Detailanforderungen für ihre Ausführung fest. Ein Verweis auf die Norm beweist daher nicht, dass irgendeine Rückwärtsbewegung oder das Öffnen eines Mechanismus sicher wäre. Das konkrete Konzept muss beurteilt und validiert werden.
Der Stopp darf die Befreiung nicht unmöglich machen
Zu unterscheiden ist zwischen einer zusätzlichen Handlung, die unmittelbar zur E-STOP-Reaktion gehört, und einer separaten Funktion zur Befreiung nach dem Stopp. Im ersten Fall ist die Handlung Teil der konstruierten Notfallreaktion. Im zweiten Fall führt der Not-Halt nicht die gesamte Befreiung aus, erhält aber die Möglichkeit, sie mit geeigneten Mitteln durchzuführen.
Nicht jede Maschine muss nach dem Drücken automatisch Bauteile auseinanderfahren oder eine Rückwärtsbewegung einleiten. ISO 13850 verlangt jedoch, dass der Not-Halt andere Schutzfunktionen nicht beeinträchtigt. Die Befreiung eingeschlossener Personen wird ausdrücklich genannt.
Das wird wichtig, wenn die Erklärung lautet: „Befreien kann man die Person schon, aber zuerst muss der Normalbetrieb wiederhergestellt werden.“ Eine Befreiungsfunktion soll die Rettung ermöglichen. Sie soll nicht sämtliche Produktionsbewegungen wieder freigeben, in der Hoffnung, dass anschließend nur die richtige benutzt wird. Auslösebedingungen, verfügbare Bewegungen und deren Begrenzung gehören in den Entwurf – nicht in eine improvisierte Beratung, während bereits jemand eingeklemmt ist.
Nach dem Stopp reicht daher die Frage „Was steht?“ nicht aus. Ebenso wichtig ist: Welche gefährliche Einwirkung besteht fort, und wodurch wird sie beherrscht? Ein sicherer Zustand entsteht nicht, weil eine Variable in der Steuerung so heißt. Er muss an der Maschine tatsächlich erreicht werden – auch für eine Person, die sich nicht selbst befreien kann.
Stillstand ist ein Maschinenzustand. Ob er für den Menschen sicher ist, muss gesondert nachgewiesen werden.
4. Warum eine Totalabschaltung die Lage verschlimmern kann
„Beim Drücken des Pilztasters schalten wir alle Ausgänge ab.“ Der Satz ist einfach. Das Programm ebenfalls. Bei der Abnahme lässt sich bequem kontrollieren, ob alles dunkel geworden ist.
An einem Ausgang kann jedoch der gefährdende Antrieb hängen, am nächsten eine Einrichtung, die gerade vor einer anderen Gefahr schützt. Beide abzuschalten ergibt nicht automatisch doppelte Sicherheit. ISO 13850 verlangt den Vorrang der Not-Halt-Funktion, verbietet aber zugleich eine Beeinträchtigung anderer Schutzfunktionen. Auch der Weiterbetrieb bestimmter Hilfseinrichtungen kann notwendig sein, beispielsweise von elektromagnetischen Halteeinrichtungen oder Bremsen.
Das ist kein Widerspruch in der Norm. Es ist der Grund, vor einer gemeinsamen Energieabschaltung zu prüfen, was von dieser Energie abhängt.
Der Antrieb muss stoppen. Die Last darf dabei nicht herunterfallen
Eine Einrichtung bewegt ein Stahlteil mit einem elektromagnetischen Lastaufnahmemittel, das eine kontinuierliche Energieversorgung benötigt. Die Last wird nur gehalten, solange der Magnet wirkt; eine unabhängige Sicherung gegen das Lösen ist in diesem Beispiel nicht vorhanden.
Der Konstrukteur trennt Bewegungsantriebe und Magnetversorgung gemeinsam ab. Nach dem Auslösen von E-STOP werden die Antriebe abgeschaltet. Gleichzeitig verliert das Lastaufnahmemittel seine Haltekraft. Der Befehl wurde fehlerfrei ausgeführt – einschließlich der Freigabe der Last.
Hier hat weder der Taster versagt noch ein Schütz geklebt. Die Ausrüstung tut genau das, was konstruiert wurde. Der Fehler liegt in der Annahme, alle Verbraucher dürften gleich behandelt werden, weil sie alle elektrische Energie verwenden.
Die tatsächliche Aufgabe lautet: die gefährliche Verfahrbewegung stoppen und das sichere Halten der Last aufrechterhalten. Wie das erreicht wird, muss für die konkrete Konstruktion ausgelegt und geprüft werden. Daraus folgt kein pauschaler Befehl, einen bestimmten Stromkreis immer eingeschaltet zu lassen. Es folgt die Pflicht, die Haltewirkung wirksam zu erhalten.
„Nach E-STOP darf doch keine Energie mehr vorhanden sein.“ Die Schwerkraft hängt nicht an unserem Schütz. Sie schaltet nicht mit ab.
Auch die Löschanlage lässt sich vorbildlich außer Betrieb setzen
Eine Maschine besitzt eine Löschanlage, deren Auslösung elektrische Energie benötigt. Steuerung und Auslöseeinrichtung der Löschmittelzufuhr werden aus einem Stromkreis versorgt, der durch E-STOP abgeschaltet wird. Material entzündet sich. Der Bediener löst Not-Halt aus. Die Antriebe stehen, das brennende Material bleibt gefährlich. Die Löschanlage kann ihre Aufgabe nicht mehr erfüllen, weil ihr gerade die Versorgung genommen wurde.
Die Löschanlage ist funktionsfähig. Man müsste nur sicherstellen, dass im Brandfall vorher niemand den Not-Halt benutzt. Eine solche Bedingung hat im Schutzkonzept nichts verloren.
ISO 13850 nennt die Brandbekämpfung ausdrücklich als Beispiel einer Schutzfunktion, die durch Not-Halt nicht beeinträchtigt werden darf. Das bedeutet nicht, dass bei einem Brand der gesamte Prozess unverändert weiterlaufen soll. Festzulegen ist vielmehr, welche Vorgänge enden müssen, welche Gefahrenquellen abzuschalten sind und wie die Wirksamkeit des Brandschutzes erhalten bleibt.
„Alles aus“ beantwortet keine dieser Fragen. Es überspringt sie.
Stopp-Kategorie 0 bedeutet nicht „gesamte Maschine spannungslos“
ISO 13850 sieht für Not-Halt die Stopp-Kategorie 0 oder 1 vor. Die Auswahl erfolgt auf Grundlage der Risikobeurteilung. Bei Kategorie 0 wird die Energie zu den Antriebselementen unverzüglich unterbrochen. Das bedeutet nicht zwingend, dass die Bewegung unverzüglich endet; zusätzliches Bremsen kann notwendig sein.
Bei Kategorie 1 bleibt die Energieversorgung der Antriebselemente während des kontrollierten Stoppvorgangs verfügbar. Erst nach Erreichen des Stillstands wird die Energie unterbrochen. Die Kategorie beschreibt die Art des Stoppens. Sie ist kein Befehl, jedes Gerät abzuschalten, das zufällig im selben Schaltplan steht.
Die Auswahl der Kategorie ersetzt daher weder die Prüfung des Lastaufnahmemittels noch die Beurteilung von Bremse oder Löschanlage. Auch die Abfallzeit eines Schützes sagt für sich allein nicht, ob die gefährliche Bewegung angemessen beendet wurde und ob dadurch eine neue Gefährdung entstand.
Es geht nicht darum, gefährliche Vorgänge unter dem Etikett „Schutzfunktion erhalten“ weiterlaufen zu lassen. Zwei Aufgaben müssen sauber getrennt werden: beenden, was gefährdet, und wirksam erhalten, was weiterhin schützt.
Sie haben alles abgeschaltet. So gründlich, dass auch das nicht mehr funktioniert, was den Menschen schützen sollte.
5. Der Bediener darf nicht raten müssen, ob es nach dem Drücken schlimmer wird
„Der Bediener weiß, was er der Reihe nach ausschalten muss.“ Das kann einen geplanten Produktionsstopp beschreiben. Als Erklärung für Not-Halt bedeutet es, dass ein Teil der Steuerungsaufgabe dem Gedächtnis des Menschen übergeben wurde.
Er soll die Gefahr erkennen, sich an die Abhängigkeiten zwischen mehreren Einrichtungen erinnern und die richtige Reihenfolge bedienen. Möglichst ohne Fehler, denn angeblich ist die Reihenfolge sicherheitsrelevant. Der Produktionszyklus wurde vollständig automatisiert. Beim sicheren Anhalten setzt man plötzlich auf Handarbeit.
Nach ISO 13850 darf die Entscheidung, ein Not-Halt-Befehlsgerät zu betätigen, keine Abwägung der Folgen seiner Benutzung erfordern. Der Mensch soll erkennen, dass ein Eingriff nötig ist. Er soll nicht zusätzlich beurteilen müssen, ob das Drücken die Lage verschlechtert.
Eine Handlung des Menschen bedeutet nicht nur eine Maschinenaktion
Die Not-Halt-Funktion wird mit einer einzigen menschlichen Handlung ausgelöst. Danach müssen gefährliche Bewegungen und Vorgänge in der vorgesehenen Weise beendet werden, ohne dass für den Stopp weitere Eingriffe nötig sind. Dafür kann eine vorher festgelegte Sequenz erforderlich sein.
Ein Tastendruck darf mehrere koordinierte Aktionen anstoßen. Daraus folgt weder, dass alles gleichzeitig abgeschaltet werden muss, noch dass der Bediener den Rest selbst erledigen darf. Ist für die Sicherheit eine Reihenfolge nötig, wird sie im Entwurf festgelegt. Dasselbe gilt für die zu stoppenden Vorgänge, die weiter wirksamen Schutzfunktionen und den zu erreichenden Zustand.
Der Eintrag „sequenzieller Stopp“ beantwortet diese Fragen noch nicht. Allerdings muss auch nicht jede spätere Rettungshandlung automatisiert werden. Die Forderung nach einem Stopp ohne weitere Intervention bezieht sich auf gefährliche Maschinenbewegungen und -vorgänge. Eine getrennte Befreiungsfunktion kann eine bewusste Bedienung verlangen. Eine Befreiungsfunktion zu bedienen ist etwas anderes, als erst mit einem zweiten Taster die Bewegung zu stoppen, die den eingeschlossenen Menschen weiterhin gefährdet.
Jeder Lieferant stoppt seinen Teil – die Zuführung läuft weiter
Betrachten wir eine Bearbeitungslinie für lange Profile. Bearbeitungsmaschine und Zuführung besitzen getrennte Steuerungen. Das Not-Halt-Befehlsgerät an der Maschine stoppt das Werkzeug, nicht aber die Zuführung. Diese schiebt das Profil weiter in den Arbeitsbereich. In der betrachteten Situation kann das Material einen Menschen quetschen.
Das Werkzeug steht. Das Profil bewegt sich weiter. Die Erklärung des Lieferanten lautet: „Die Zuführung hat einen eigenen Pilztaster.“ Das stimmt. Nur hat der Mensch bereits das Befehlsgerät am Ort der Gefahr benutzt und trotzdem nicht die notwendige Reaktion erhalten.
Die Liefergrenzen sind klar. Jetzt müsste nur noch die Notsituation diese Grenzen respektieren. Genau das tut sie nicht. Das Zusammenwirken der Einrichtungen gehört deshalb in die Analyse. Hält die fortgesetzte Zuführung die betrachtete Gefährdung aufrecht, muss die Notfallreaktion auch sie erfassen.
Die Einzelprüfung, dass jede Maschine auf ihren eigenen Taster reagiert, sagt nichts über die Wirksamkeit der gesamten Linie. Daraus folgt nicht, dass jeder Pilztaster das ganze Werk stoppen muss. Der Wirkbereich richtet sich aber ebenso wenig nach der Schaltschrankgrenze oder dem Unternehmen, das die Software geschrieben hat.
„Welcher Pilztaster?“ muss vor dem Notfall geklärt sein
Ausgangspunkt von ISO 13850 ist, dass ein Not-Halt-Befehlsgerät auf die gesamte Maschine wirkt. Eine Unterteilung in Wirkbereiche ist jedoch zulässig, beispielsweise wenn der Stopp aller verbundenen Maschinen zusätzliche Gefährdungen erzeugen oder unnötig auf die Produktion einwirken würde.
Eine solche Unterteilung verlangt eine Analyse der Maschinenanordnung, der Erkennbarkeit von Gefährdungen, der Prozessfolgen und der gekoppelten Risiken. Wirkbereiche dürfen sich überschneiden. Der Stopp in einem Bereich darf das Risiko in einem anderen nicht erhöhen und dort das Auslösen eines Not-Halts nicht verhindern.
Unnötige Stillstände zu vermeiden ist zulässig. Eine gefährliche Zuführung weiterlaufen zu lassen wird dadurch noch keine Produktionsoptimierung.
Der Mensch muss das Befehlsgerät der Gefährdung zuordnen und seinen Wirkbereich erkennen können. ISO 13850 nennt hierfür unter anderem Anordnung und Piktogramme. Die Notwendigkeit, erst eine Anleitung zu lesen oder die Bereichsaufteilung auswendig zu lernen, soll vermieden werden.
Die Kennzeichnung „S14“ hilft, den Taster im Schaltplan zu finden. Sie erklärt einer Person an der Maschine noch nicht, welche Einrichtungen bei seiner Betätigung stoppen. Elektrische Dokumentation kann man am Schreibtisch lesen. Während einer Notsituation sollte dieser Teil des Entwurfs längst erledigt sein.
Je einfacher die menschliche Handlung sein soll, desto genauer muss die Maschinenreaktion vorher festgelegt werden. Eine einfache Bedienoberfläche ersetzt keine Analyse. Sie ist das Ergebnis der Analyse. Im Notfall findet keine spontane Besprechung zwischen Konstruktion, Automatisierung und Verfahrenstechnik statt. Diese Abstimmung gehört ins Projekt.
Ein einziger Tastendruck darf eine komplexe, abgestimmte Reaktion auslösen. Komplexe Entscheidungen darf er nicht auf den Menschen im Gefahrenmoment abwälzen.
6. Der Eintrag „E-STOP funktioniert“ ersetzt keine Bewertung der Schutzwirkung
„Alle Taster geprüft. Ergebnis positiv.“ Das Protokoll enthält Gerätekennzeichnungen, Datum und Unterschriften. Nach jeder Betätigung blieb die Maschine stehen. Es fehlt nur die Information, welche Reaktion außer dem Ende der Bewegung als richtig galt.
Das Befehlsgerät wurde anhand seiner Schaltplannummer geprüft. Für die Funktion hätten zusätzlich Anforderungen festgelegt werden müssen.
Erst das Kriterium, dann das positive Ergebnis
Vor einer Prüfung muss klar sein, welche Wirkung erreicht werden soll. Welche Vorgänge müssen enden? In welcher Zeit, in welchem Wirkbereich und unter welchen Bedingungen? Was muss weiter funktionieren? Welches Verhalten bedeutet, dass eine Anforderung nicht erfüllt wurde?
Ohne diese Kriterien wird schnell genau das für korrekt erklärt, was sich zufällig beobachten ließ. Der Antrieb stoppt nach mehreren Sekunden? Dann sollte es wohl so sein. Die Nachbarsektion läuft weiter? Dann gehört sie vermutlich nicht zum Wirkbereich. Wurde in der Dokumentation nichts festgelegt, kann das Ergebnis mit nichts in Widerspruch geraten.
Wer das Kriterium erst nach der Prüfung formuliert, kann eine Maschine bauen, die jeden Test besteht. Man verlangt einfach nicht mehr als das, was sie gerade getan hat. In der Praxis lassen sich die Festlegungen beispielsweise so strukturieren:
| Bereich | Was muss geklärt werden? | Was ist zu dokumentieren oder zuzuordnen? |
|---|---|---|
| Notsituation | Bei welcher bestehenden oder unmittelbar bevorstehenden Situation ist ein Eingriff nötig? Wer kann ihn auslösen? | Szenario, menschliche Tätigkeiten, Maschinenzustand und Position des erreichbaren Not-Halt-Befehlsgeräts. |
| Erwartete Schutzwirkung | Was soll die Auslösung verändern? Welche gefährliche Einwirkung muss beendet oder begrenzt werden? | Geforderter Zustand und Bedingungen für sein Erreichen; falls nötig zusätzliche Schutzhandlungen und Mittel zur Befreiung. |
| Maschinenreaktion | Was wird gestoppt, in welcher Reihenfolge, innerhalb welcher Zeit und in welchem Wirkbereich? | Funktionsbeschreibung, Stopp-Kategorie, Sequenz, Zeitgrenzen und Verknüpfung mit anderen Einrichtungen. |
| Verbleibender Schutz | Was muss weiter funktionieren? Entsteht keine zusätzliche Gefährdung, und verschlechtert sich die Lage in keinem anderen Bereich? | Anforderungen an erhaltene Funktionen, Begründung des Konzepts und Ergebnisse der Prüfung des Zusammenwirkens. |
| Nachweis | Wodurch wird gezeigt, dass die Umsetzung den festgelegten Anforderungen entspricht? | Ergebnisse von Analysen, Prüfungen und Messungen, Prüfbedingungen, Identifikation der Konfiguration und Behandlung festgestellter Abweichungen. |
Diese Tabelle ist ein Vorschlag zur Strukturierung der Prüfung. Sie ist weder ein Formular aus ISO 13850 noch ein vollständiger Validierungsplan. Umfang und Methode müssen zur konkreten Funktion, Maschine und Anwendung passen.
PL und SIL ergänzen keine fehlende Funktionsbeschreibung
ISO 13850 verlangt, dass die sicherheitsbezogenen Teile der Steuerung für Not-Halt die einschlägigen Anforderungen aus ISO 13849-1 und/oder IEC 62061 erfüllen. Genannt wird außerdem ein Mindestniveau von PLr c oder SIL 1.
Dieses Minimum bedeutet nicht, dass der Wert in jeder Anwendung automatisch genügt. Das erforderliche Niveau ist für die konkrete Funktion unter Berücksichtigung ihres Zwecks und einschlägiger Detailanforderungen festzulegen. PL e aus dem Datenblatt eines Sicherheitsrelais abzuschreiben reicht nicht. Bewertet werden muss die Umsetzung der gesamten Funktion, nicht nur eines Bauteils.
Auch eine richtige Berechnung für die gesamte Steuerung ersetzt keine Validierung. ISO 13849-1:2023 unterscheidet zwischen dem Nachweis des erreichten PL und der Validierung durch Analyse und Prüfung. Außerdem sind Konsistenz und Vollständigkeit der Spezifikation im Hinblick auf die vorgesehene Anwendung zu prüfen.
Das ist entscheidend: Die Norm verlangt nicht nur den Nachweis, dass die Programmierung eine möglicherweise falsch gestellte Aufgabe exakt umgesetzt hat. Geprüft werden muss auch, ob die Aufgabe selbst richtig und vollständig formuliert wurde.
Das Ergebnis muss für die gebaute Maschine gelten
Die Prüfung endet nicht mit dem Auslaufen der Bewegung. Die Funktion muss in allen vorgesehenen Betriebsarten wirksam sein, den Stopp aufrechterhalten und verhindern, dass ein Startsignal die gestoppten Vorgänge wieder in Gang setzt. Das Entriegeln des Not-Halt-Befehlsgeräts darf keinen automatischen Wiederanlauf auslösen. Auch diese Anforderungen müssen geprüft werden.
Den Festlegungen sollten konkrete Nachweise für die Funktion zugeordnet werden: Protokollposition, Messergebnis, Analyse sowie Versionen von Schaltplan und Software. Ein Anhang mit dem Namen „Safety Test“ reicht nicht, wenn unklar bleibt, was unter welchen Bedingungen geprüft und nach welchem Kriterium bewertet wurde.
Prüfungen sind so zu planen, dass keine Menschen gefährdet werden. Ein Einzug wird nicht mit einer echten Person nachgestellt, um ein Befreiungskonzept zu testen. Stattdessen werden sichere Prüfmethoden, Analysen und Simulationen gewählt, die zur untersuchten Lösung passen.
Eine nicht durchgeführte Prüfung ist kein positives Ergebnis – auch wenn das Formular nur ein einziges Kästchen vorsieht. Und selbst nach bestätigter Notfallreaktion bleibt die präventive Schutzwirkung separat zu beurteilen. Ein richtig ausgeführter E-STOP erfüllt nicht die Aufgabe einer fehlenden trennenden Schutzeinrichtung oder eines falsch gestalteten Zugangs.
Fragt das Protokoll nicht danach, was aus der Gefährdung geworden ist, sollte der grüne Haken niemanden besonders beruhigen.
Eine bestandene Prüfung ist nur so aussagekräftig wie das vorher festgelegte Kriterium. „Die Maschine stand“ ist ein Messergebnis, noch keine vollständige Sicherheitsbewertung.
7. Schutz ist nicht das Versprechen, dass irgendwo ein Pilztaster erreichbar sein wird
Eine präventive Sicherheitsfunktion soll ein bestimmtes Gefährdungsereignis verhindern. Die Not-Halt-Funktion soll eine angemessene Intervention ermöglichen, wenn eine Notsituation bereits besteht oder unmittelbar bevorsteht. Beide benötigen einen Entwurf und einen Nachweis. Die eine übernimmt nicht die Aufgabe der anderen, nur weil beide einen Antrieb stoppen können.
Ein Projekt wird durch einen Not-Halt-Pilztaster nicht vollständig, wenn der Schutz vor einem vorhersehbaren Ereignis fehlt. Weder eine Unterweisung noch ein hoher PL noch eine erfolgreiche Prüfung, die nur das Ende der Bewegung betrachtet, schließen diese Lücke.
Auch die Notfallreaktion verlangt mehr als die Entscheidung, welche Ausgänge ausgeschaltet werden. Das richtige Stoppverhalten muss festgelegt, notwendiger Schutz aufrechterhalten und eine erforderliche Befreiung berücksichtigt werden. Das ist Konstruktionsarbeit. Der Mensch an der Maschine soll sie nicht im Augenblick der Gefahr fertigstellen müssen.
Es geht nicht darum, E-STOP abzuwerten. Ihm darf nur keine Schutzwirkung zugeschrieben werden, die er nicht besitzt. Gleichzeitig dürfen ihm keine Reaktionsmöglichkeiten genommen werden, die für eine wirksame Intervention notwendig sind.
Not-Halt soll helfen, eine Gefahrensituation zu beherrschen. Er soll nicht begründen, warum deren Entstehung vorher nicht verhindert wurde.
Wenn nach der gesamten Beurteilung nur feststeht, dass die Maschine angehalten hat, wurde der Stopp geprüft. Für die Sicherheit des Menschen kann noch einiges an Arbeit übrig sein.
Quellen und Anmerkungen
Grundlage der fachlichen Einordnung ist ISO 13850:2015. Die folgenden Hinweise nennen die im Artikel herangezogenen Anforderungen. Die Links führen zu den englischsprachigen Datensätzen der Herausgeber beziehungsweise zu EUR-Lex, nicht zu frei bereitgestellten Volltexten. Verwandte Fachartikel vertiefen einzelne Themen, ersetzen aber keine normativen Quellen.
Zweck der Funktion und ergänzende Rolle – Einleitung sowie Abschnitte 1, 2 und 7. ISO 13850:2015, Abschnitte 3.1, 3.5 und 3.8 sowie 4.1.1.1 bis 4.1.1.3: Zweck des Not-Halts, Auslösung durch einen Menschen, Begriffe Sicherheitsfunktion und Notsituation sowie das Verbot, andere notwendige Schutzmaßnahmen zu ersetzen. Die im Artikel vorgenommene Unterscheidung betrifft die präventive Aufgabe einer Funktion und die Notfallintervention; sie nimmt Not-Halt nicht aus den sicherheitsbezogenen Funktionen heraus.
Lichtvorhang und Stopp vor gefährlichem Kontakt – Abschnitt 1. ISO 12100:2010, Abschnitte 6.3.2.5.1 bis 6.3.2.5.2: Voraussetzungen für den Einsatz empfindlicher Schutzeinrichtungen, Stoppfähigkeit, Anordnung des Erfassungsfelds und Verknüpfung mit der Steuerung. Für die Positionierung verweist die Norm auf ISO 13855. Das Beispiel ist weder eine Abstandsberechnung noch eine fertige Auswahl eines Lichtvorhangs.
Möglichkeit menschlicher Intervention und Grenzen von Benutzerinformationen – Abschnitt 2. ISO 12100:2010, Abschnitte 5.5.2.3.3 und 6.1: Faktoren für die Möglichkeit, Schäden zu vermeiden oder zu begrenzen, sowie das Verbot, geeignete Schutzmaßnahmen durch Benutzerinformationen zu ersetzen. ISO/TR 14121-2:2012, Abschnitt 8.4, nennt Not-Halt als Beispiel für eine Maßnahme, die vor allem auf die Möglichkeit der Schadensvermeidung oder -begrenzung wirkt. Das ist ein Hinweis aus einem technischen Bericht, keine Grundlage für eine automatische Herabsetzung in einem Risikographen. Zur Erreichbarkeit der Befehlsgeräte siehe ISO 13850:2015, Abschnitte 4.3.1 bis 4.3.2.
Zusätzliche Schutzhandlungen und Befreiung – Abschnitt 3. ISO 13850:2015, Anwendungsbereich sowie Abschnitte 4.1.1.2 und 4.1.1.5: Erhaltung der Wirksamkeit anderer Schutzfunktionen und mögliche Auslösung weiterer Handlungen neben dem Stopp. Detaillierte Anforderungen an solche Handlungen liegen nicht vollständig im Anwendungsbereich von ISO 13850. ISO 12100:2010, Abschnitte 6.3.5.2 bis 6.3.5.3, unterscheidet zwischen Not-Halt und Maßnahmen zur Befreiung und Rettung eingeschlossener Personen.
Erhaltung anderer Schutzfunktionen und Stopp-Kategorien – Abschnitt 4. ISO 13850:2015, Abschnitte 4.1.1.2, 4.1.1.4 bis 4.1.1.5 und 4.1.3. Genannt werden unter anderem die Befreiung von Personen, Brandbekämpfung und der mögliche Weiterbetrieb elektromagnetischer Halteeinrichtungen oder Bremsen. Die Beschreibung der Kategorien 0 und 1 bedeutet keine Pflicht, die gesamte Maschine von sämtlichen Energiequellen zu isolieren.
Eine menschliche Handlung, Sequenz und Wirkbereiche – Abschnitt 5. ISO 13850:2015, Abschnitte 4.1.1.1, 4.1.1.5 bis 4.1.1.6 sowie 4.1.2 bis 4.1.2.1: geeignete Reaktion ohne weitere menschliche Intervention für den Stopp, Möglichkeit einer festgelegten Sequenz, Gestaltung der Folgen der Betätigung und Bedingungen für die Unterteilung in Wirkbereiche. Die Analyse des Zusammenwirkens verschiedener Lieferumfänge ist eine praktische Folgerung aus diesen Anforderungen.
PL, SIL, Aufrechterhaltung des Stopps und Rückstellung – Abschnitte 1 und 6. ISO 13850:2015, Abschnitt 4.1.5.1: einschlägige Anforderungen aus ISO 13849-1 und/oder IEC 62061, mindestens PLr c oder SIL 1 sowie zulässige gemeinsame Komponenten. Die Abschnitte 4.1.1.2 und 4.1.4 behandeln Verfügbarkeit, Aufrechterhaltung des Stopps und eine Rückstellung, die keinen Wiederanlauf auslösen darf. Für die konkrete Maschine sind außerdem einschlägige Detailanforderungen einschließlich einer anwendbaren Typ-C-Norm zu berücksichtigen.
Funktionsanforderungen und Validierung – Abschnitt 6. ISO 13849-1:2023, Kapitel 8 sowie Abschnitte 10.1.1, 10.2 und 10.4.1: Nachweis des erreichten PL, Validierung durch Analyse und Prüfung, Kontrolle von Vollständigkeit und Konsistenz der Spezifikation sowie vorherige Festlegung des Prüfplans und der erwarteten Ergebnisse. Die Tabelle im Artikel ist eine redaktionelle Strukturierungshilfe und kein vollständiger Validierungsplan für jedes Steuerungssystem.
Rechtlicher Kontext in der Europäischen Union. Richtlinie 2006/42/EG – englischer Text in EUR-Lex, Anhang I, Abschnitte 1.2.4.3 bis 1.2.4.4, sowie Verordnung (EU) 2023/1230 – englischer Text in EUR-Lex, Anhang III, Abschnitte 1.2.4.3 bis 1.2.4.4: ergänzende Rolle des Not-Halts, Vermeidung zusätzlicher Risiken, sichernde Bewegungen und das Stoppen verbundener Einrichtungen, deren Weiterbetrieb gefährlich sein kann. Die Verordnung gilt grundsätzlich ab dem 20. Januar 2027; Übergangsregelungen und Termine ergeben sich aus den Artikeln 52 und 54. Die Nennung einer Norm ist keine Aussage über ihre Harmonisierung unter einem bestimmten Rechtsakt.
Charakter der Beispiele und Anwendungsgrenzen: Die beschriebenen Arbeitsplätze, Versorgungskonzepte, Dokumentationseinträge und Aussagen sind Modellbeispiele. Sie schildern keinen festgestellten Unfall und sind keine Rettungsanweisung für eine bestimmte Maschine. Auseinanderfahren, Druckentlastung und Richtungsumkehr verlangen eine geeignete Konstruktion und eine Beurteilung ihrer Auswirkungen. Der Artikel behandelt Rolle und Funktionslogik des Not-Halts, nicht sämtliche Anforderungen aus ISO 13850. Deren Anwendungsbereich und Ausnahmen ergeben sich aus Kapitel 1 der Norm. Die Kontrollfragen und Schlussfolgerungen zu fehlerhaften Konstruktionsannahmen sind ingenieurmäßige Ableitungen aus den genannten Quellen.