Der Sicherheitslichtvorhang wurde nicht versetzt. Verschoben hat sich die Grenze, ab der er noch als sicher gelten konnte. Genau darum geht es beim Sicherheitsabstand von Sicherheitslichtvorhängen: nicht um eine schöne Layout-Zeichnung, sondern um Zeit, Weg und Nachweis.
In einer SIMATIC S7-1500F, projektiert in TIA Portal V18, wurde F_WD_TIME von etwa 150 ms auf etwa 500 ms erhöht. Das muss kein Projektierungsfehler sein. Die PROFIsafe-Überwachungszeit ist kein Universalwert. Sie muss zur realen Kommunikationsstruktur, zu den Zyklen des F-Programms und zu den eingesetzten F-Geräten passen. Das Problem beginnt dort, wo diese Änderung nur als Kommunikationskorrektur behandelt wird – ohne zu prüfen, was sie mit der gesamten Sicherheitsfunktion macht.
Suchen Sie in den zwei Zahlen keine fertige Einstellanweisung. Die Werte sind für den Fall gerundet und keine allgemeingültigen Siemens-Empfehlungen.
In diesem Fall brachte die erneute Validierung den Effekt ans Licht. Die Nachlaufmessung zeigte die reale Stillsetzzeit der gefährlichen Bewegung. Die Berechnung der maximalen Reaktionszeit berücksichtigte die aktuelle Konfiguration des Safety-Systems. Erst die saubere Verbindung beider Werte und die neue Berechnung nach ISO 13855 zeigten: Der Sicherheitslichtvorhang stand zu nah an der Gefährdungsstelle. Es fehlten mehr als ein halber Meter.
Die Größenordnung sieht man sofort an S = (K × T) + C. Steigt die Gesamtzeit T um 350 ms, wächst der erforderliche Abstand bei K = 1600 mm/s um 560 mm. Die Differenz von F_WD_TIME geht nicht zwingend eins zu eins in die Gesamtzeit ein. Genau deshalb entscheiden nicht Bauchgefühl und nicht der alte Ausdruck aus dem Schaltschrank, sondern Berechnung und Messung der gesamten Sicherheitsfunktion.
Für zusätzliche 560 mm war kein Platz. Der Sicherheitslichtvorhang ließ sich nicht weiter wegsetzen. Also musste die Schutzmaßnahme geändert werden: Eine transparente trennende Schutzeinrichtung mit Verriegelung und Zuhaltung ersetzte den Sicherheitslichtvorhang, das sicherheitsbezogene Steuerungssystem wurde umgebaut, und für die neuen Sicherheitsfunktionen wurde PLr = d festgelegt.
Ab diesem Punkt geht es nicht mehr um einen einzelnen Parameter in TIA Portal. Eine Änderung von F_WD_TIME kann eine Kette auslösen: neue Berechnung der Reaktionszeit, neue Schutzmaßnahme, neue Sicherheitsfunktionen, neue Validierung – und am Ende die Frage, ob eine wesentliche Veränderung vorliegt und wer die Pflichten des Herstellers übernimmt.
Sicherheitsabstand von Sicherheitslichtvorhängen: F_WD_TIME 500 ms – falscher Wert oder falsch bewertete Wirkung?
Die erste Reaktion ist oft hart und nachvollziehbar: Wer erhöht einen Watchdog von 150 ms auf 500 ms? Ist das nicht ein Parameter der Sicherheitsfunktion? Versucht da jemand, Kommunikationsprobleme zu kaschieren?
Gute Fragen. Aber keine davon beantwortet die entscheidende Frage.
Die richtige Frage lautet: Was hat die Änderung von F_WD_TIME mit der maximalen Reaktionszeit und mit dem erforderlichen Sicherheitsabstand gemacht?
Warum F_WD_TIME keinen einzigen richtigen Wert hat
F_WD_TIME hat nicht für jede Anlage denselben richtigen Wert. Eine zu kurze Überwachungszeit kann F-Geräte passivieren, obwohl die Kommunikation technisch fehlerfrei arbeitet. In einer größeren PROFIsafe-Struktur zählen unter anderem Zykluszeiten der F-CPU, Netzwerkaktualisierung, eingesetzte F-Geräte, Telegrammlaufzeiten und die Architektur der Sicherheitskommunikation.
Man kann also schlecht gewählte 150 ms und korrekt gewählte 500 ms haben. Man kann auch korrekt gewählte 150 ms und völlig unbegründete 500 ms haben. Die Zahl allein liefert keine Wahrheit.
Siemens beschreibt sinngemäß zwei Anforderungen, die gleichzeitig erfüllt sein müssen: Die Überwachungszeit muss lang genug sein, damit sie im fehlerfreien Betrieb nicht überschritten wird. Sie muss aber kurz genug bleiben, damit die Prozess-Sicherheitszeit nicht überschritten wird.
Eine größere F_WD_TIME kann also die Verfügbarkeit einer Maschine verbessern. Sie beweist aber nicht, dass die Maschine weiterhin schnell genug reagiert. Und sie beweist schon gar nicht, dass die bisherige Schutzmaßnahme unverändert wirksam bleibt.
Das Problem ist nicht automatisch der Watchdog-Wert. Das Problem beginnt, wenn nach seiner Änderung weiter mit alter Berechnung, altem Protokoll und altem Sicherheitsabstand gearbeitet wird.
Warum nicht einfach zurück auf 150 ms?
Nach einem negativen Validierungsergebnis kommt fast immer der naheliegende Satz: Wenn der Sicherheitslichtvorhang bei 500 ms zu nah steht, stellen wir eben wieder 150 ms ein.
Wenn der kürzere Wert zur realen PROFIsafe-Konfiguration passt, kann das richtig sein. Es ergibt keinen Sinn, eine Maschine umzubauen, nur um einen unnötig aufgeblasenen Watchdog zu retten.
Anders sieht es aus, wenn 150 ms keine ausreichende Reserve mehr für die aktuellen F-CPU-Zyklen, Geräte und Kommunikationsbedingungen bietet. Dann verbessert der Rücksprung zwar die Abstandsberechnung auf dem Papier, löst aber nicht die Ursache der Parameteränderung. Das ist keine Sicherheit. Das ist Kosmetik.
Die Regel ist brutal einfach: Der Sicherheitsabstand ergibt sich aus der Reaktionszeit. Die Reaktionszeit wird nicht nach dem freien Platz in der Halle ausgewählt.
Also zuerst prüfen: Kann F_WD_TIME technisch sicher reduziert werden? Lassen sich andere Teile der Reaktionszeit verkürzen? Kann die mechanische Stillsetzzeit verbessert werden? Erst wenn diese Wege ausgeschöpft sind, bleiben zwei Optionen: Sicherheitslichtvorhang weiter weg oder Schutzmaßnahme wechseln.
Sicherheitsabstand von Sicherheitslichtvorhängen berechnen: wenn 350 ms zu 560 mm werden
Bis hier kann man noch über PROFIsafe-Konfiguration diskutieren. War 150 ms plausibel? War 500 ms notwendig? Hätte man den Zyklus verkürzen oder die Kommunikation verbessern können?
Die Antwort liefert erst eine geschlossene Validierung. Die Berechnung der maximalen Reaktionszeit zeigt das Verhalten des sicherheitsbezogenen Steuerungssystems, auch für die betrachteten Fehlerfälle. Die Nachlaufmessung zeigt das reale Ende der gefährlichen Bewegung. Die Grenzen beider Werte müssen sauber definiert sein, damit kein Anteil fehlt – und keiner doppelt gezählt wird.
Ein typischer Messaufbau, bei dem der Sicherheitslichtvorhang bei fehlerfreier Kommunikation verletzt wird, bestätigt den gesunden Reaktionspfad. Er umfasst nicht automatisch das Warten auf F_WD_TIME. Der Einfluss des Watchdogs auf den maximalen Reaktionspfad muss dann rechnerisch über die Zeiten des Safety-Systems nachgewiesen und mit der gemessenen Stillsetzzeit zusammengeführt werden.
Der Satz „Die Maschine hat doch gestoppt“ hilft hier nicht. Die Frage lautet: Hat sie gestoppt, bevor ein Mensch die Gefährdung erreichen konnte?
ISO 13855 übersetzt Zeit in Abstand:
S = (K × T) + C
Wenn alle anderen Anteile gleich bleiben, lässt sich der Einfluss einer Zeitdifferenz so zeigen:
ΔS = K × ΔT
| Zunahme der berechneten maximalen Zeit ΔT | Zunahme des Abstands bei K = 1600 mm/s | Rechnerische Größenordnung bei K = 2000 mm/s |
|---|---|---|
| 100 ms | 160 mm | 200 mm |
| 350 ms | 560 mm | 700 mm |
ΔT meint hier die Differenz zwischen zwei Berechnungen der maximalen Reaktionszeit. Nicht automatisch die reine Differenz der Einstellung F_WD_TIME. Der Wert K = 2000 mm/s zeigt die mathematische Größenordnung; der richtige Berechnungsweg muss aus ISO 13855 für die konkrete Anwendung abgeleitet werden. Nicht aus dem Wunsch, ein günstigeres Ergebnis zu bekommen.
Man darf K nicht so wählen, dass die Maschine ins Layout passt. Annäherungsart, Detektionsvermögen, Zuschlag C und weitere Bedingungen kommen aus ISO 13855. Das ist kein Spielraum für kreative Rundung. Das ist der Abstand zwischen Detektionsfeld und Gefährdungsbereich, den die Anlage real hergeben muss.
Welcher Messwert zählt bei der Nachlaufmessung?
Eine Messung reicht nicht. Im informativen Anhang der in diesem Fall angewendeten Ausgabe von ISO 13855 werden mindestens 10 Messungen genannt. Gemessen werden muss unter identifizierten Bedingungen, die zur längsten realistischen Stillsetzzeit führen. Je nach Maschine sind das Geschwindigkeit, Last, Zyklusphase, Temperatur, Zustand von Bremsen, Ventilen, Antrieben oder anderen Stillsetzelementen.
Welcher Wert wird angesetzt?
Nicht die schönste Messung. Nicht der Mittelwert. Nicht der Wert, der den vorhandenen Sicherheitslichtvorhang rettet.
Nach der dort beschriebenen Methode wird für die Abstandsbestimmung der größere Wert verwendet: der längste gemessene Wert oder der Mittelwert plus drei Standardabweichungen.
Was umfasst die Nachlaufmessung genau?
Hier passieren in der Praxis die teuersten Rechenfehler. Wenn das Messgerät die gesamte Zeit vom Ansprechen der Schutzeinrichtung bis zum Stillstand der gefährlichen Bewegung erfasst, dürfen dieselben Anteile nicht noch einmal aus dem RT Calculator addiert werden. Wenn die Messung dagegen nur den mechanischen Stillsetzanteil abbildet, muss der vorgelagerte berechnete Anteil des Reaktionspfads addiert werden.
Im beschriebenen Fall führte die Kombination aus berechneter Reaktionszeit und Nachlaufmessung zu einem klaren Ergebnis: Der erforderliche Sicherheitsabstand wuchs um mehr als einen halben Meter.
Nur gab es diesen halben Meter in der Halle nicht.
Der Sicherheitslichtvorhang funktionierte – und musste trotzdem weg
Das klingt widersprüchlich. Ist es aber nicht. Der Sicherheitslichtvorhang erkannte das Eindringen einer Person und löste das Stillsetzen aus. Das Gerät selbst war nicht das Problem. Das Problem war sein Abstand zur Gefährdungsstelle.
Ein Sicherheitslichtvorhang hält keinen Menschen physisch zurück. Er erkennt den Zutritt und gibt der Maschine das Signal zum Stillsetzen. Dieses Konzept funktioniert nur dann, wenn die gefährliche Bewegung endet, bevor der Mensch die Gefährdung erreicht.
Warum fehlender Platz die Schutzmaßnahme kippt
Was tun, wenn Messung und Berechnung zusätzliche 560 mm verlangen, aber die Halle keinen Millimeter mehr hergibt?
ISO 12100 führt zurück in den iterativen Prozess der Risikominderung. Zuerst werden inhärent sichere Lösungen erneut geprüft: kürzere Reaktionszeit, kürzere Stillsetzzeit, andere Bewegung, andere Prozessführung. Wenn das nicht reicht, muss eine technische Schutzmaßnahme gewählt werden, die zu den realen Randbedingungen passt.
Fehlender Platz ändert das Ergebnis nach ISO 13855 nicht.
Im Fall wurde die Schutzlogik geändert. Der Sicherheitslichtvorhang, der das Betreten einer Zone erkannte, wurde durch eine transparente trennende Schutzeinrichtung mit Verriegelung und Zuhaltung ersetzt. Die neue Schutzeinrichtung sollte den Zugang verhindern, nicht erst erkennen.
Transparente Paneele sichern die Beobachtung des Prozesses. Sie sind aber keine Dekoration. Konstruktion, Festigkeit und Befestigung wurden nach ISO 14120 bewertet. Es durften keine neuen Quetschstellen, Scherstellen oder scharfen Kanten entstehen. Zusätzlich musste geprüft werden, ob jemand durch, über oder unter die Konstruktion greifen kann; dafür ist ISO 13857 maßgeblich.
Warum eine trennende Schutzeinrichtung mit Verriegelung und Zuhaltung?
Der Zugang blieb für Bedienung und Instandhaltung erforderlich. Warum also nicht nur eine einfache verriegelte Schutzeinrichtung?
Eine Verriegelung löst beim Öffnen ein Stillsetzen aus. Sie verhindert aber nicht zwingend, dass die Tür sofort geöffnet wird. Wenn die gefährliche Bewegung erst nach einer Stillsetzzeit endet, kann die Person die Zone erreichen, bevor die Maschine wirklich sicher steht.
Ob eine Zuhaltung erforderlich ist, entscheidet nicht allein das Vorhandensein eines Nachlaufs. Entscheidend ist der Vergleich zwischen Stillsetzzeit der Gefährdung, Zugangszeit der Person und Ergebnis der Risikobeurteilung. In diesem Fall musste die Schutzeinrichtung vom Zugangsanforderungs-Signal bis zum Ende des Risikos geschlossen bleiben. Erst dann durfte das System die Zuhaltung freigeben.
ISO 14119 beschreibt die Auswahl von Verriegelungseinrichtungen, den Einsatz von Zuhaltungen und Maßnahmen gegen Umgehen. Und genau dort beginnt der Umbau: Nicht ein Bauteil wird ersetzt. Eine neue Sicherheitsarchitektur entsteht.
Die neuen Sicherheitsfunktionen umfassten unter anderem:
- Stillsetzen der Bewegung nach Zugangsanforderung,
- Verhindern des Anlaufs bei geöffneter Schutzeinrichtung,
- Aufrechterhalten der Zuhaltung bis zum Ende des Risikos,
- Freigabe der Zuhaltung erst nach bestätigten Bedingungen,
- Verhindern eines unerwarteten Wiederanlaufs.
PLr = d gilt für die Sicherheitsfunktion, nicht für die Tür
Für jede identifizierte Sicherheitsfunktion wurde der erforderliche PLr aus der Risikobeurteilung abgeleitet. Im beschriebenen Fall wurde für die risikomindernden Funktionen PLr = d angesetzt. Danach wurden die Teile des sicherheitsbezogenen Steuerungssystems so ausgelegt, dass der erreichte PL mindestens dem PLr entspricht.
Das bedeutet nicht, dass die Schutzeinrichtung selbst „PL d hat“. Der Performance Level gilt für die komplette Sicherheitsfunktion: Positionsschalter, Zuhaltungszustand, Logik in der F-CPU, Ausgangsebene, Schütze, Antrieb oder Ventil – also für die gesamte Kette bis zur Stillsetzung der gefährlichen Bewegung. Die Kennzahl eines einzelnen Schalters bestätigt nicht den erreichten PL des gesamten SRP/CS.
So führte die Änderung eines Parameters zu neuer Schutzeinrichtung, neuen Sicherheitsfunktionen, Umbau des F-Programms und erneuter Validierung.
Und dann kommt die nächste harte Frage: Ist die Person oder Organisation, die den Umbau durchgeführt hat, noch Betreiber – oder übernimmt sie bereits Pflichten des Herstellers?
Von der digitalen Änderung zur wesentlichen Veränderung
Auf den ersten Blick wirkt die Antwort einfach: Sicherheitslichtvorhang raus, trennende Schutzeinrichtung mit Verriegelung und Zuhaltung rein, F-Programm geändert, neue Sicherheitsfunktionen aufgebaut. Großer Umfang, also wesentliche Veränderung.
So einfach ist es nicht. Die Verordnung (EU) 2023/1230 zählt nicht die geänderten Bauteile. Sie fragt nicht, wie viele Meter Schutzeinrichtung montiert oder wie viele F-Bausteine angepasst wurden. Sie fragt nach der Wirkung auf die Sicherheit.
Welche Voraussetzungen müssen gemeinsam geprüft werden?
Für den hier relevanten Prüfpfad muss gemeinsam geklärt werden:
- Wurde nach dem Inverkehrbringen oder der Inbetriebnahme eine physische oder digitale Änderung vorgenommen?
- War diese Änderung vom Hersteller vorgesehen oder geplant?
- Hat sie eine neue Gefährdung geschaffen oder ein bestehendes Risiko erhöht?
- War eine zusätzliche Schutzeinrichtung oder Schutzvorrichtung erforderlich?
- Musste für deren Funktion das vorhandene sicherheitsbezogene Steuerungssystem geändert werden?
Die Änderung von F_WD_TIME allein entscheidet noch nichts. Sie kann aber Teil einer Kette werden, die alle Voraussetzungen erfüllt.
Im Fall war der Startpunkt eine digitale Änderung an einer bereits betriebenen Maschine. Die erneute Validierung zeigte, dass der vorhandene Sicherheitsabstand nicht mehr zur angenommenen Risikominderung passte. Die Sicherheit ließ sich nicht durch Versetzen des Sicherheitslichtvorhangs wiederherstellen. Die neue trennende Schutzeinrichtung mit Verriegelung und Zuhaltung erforderte einen Umbau der Sicherheitsfunktionen im bestehenden Safety-System.
Diese Kette sieht technisch genau so aus:
digitale Änderung → höheres Risiko → neue Schutzmaßnahme → Umbau des bestehenden Safety-Systems
Ein Punkt darf nicht geraten werden: War diese Variante durch den ursprünglichen Hersteller vorgesehen oder geplant? Wenn der Hersteller sie in Risikobeurteilung, technischer Dokumentation und Betriebsanleitung sauber berücksichtigt hat, kann es sich um eine vorgesehene Konfiguration handeln. Wenn nicht, und alle anderen Bedingungen erfüllt sind, kann der Fall als wesentliche Veränderung einzustufen sein.
Wann übernimmt jemand Pflichten des Herstellers?
Wenn alle Voraussetzungen erfüllt sind, behandelt Art. 18 der Verordnung (EU) 2023/1230 die natürliche oder juristische Person, die die wesentliche Veränderung vornimmt, für die Zwecke dieser Verordnung als Hersteller. Die Pflichten beziehen sich auf die Maschine oder das dazugehörige Produkt, das von der Änderung betroffen ist. Bei einer Gesamtheit von Maschinen zählt der durch die Risikobeurteilung nachgewiesene Einflussbereich.
Damit endet es nicht bei neuer Risikobeurteilung und Validierung. Herstellerpflichten können technische Dokumentation, zutreffendes Konformitätsbewertungsverfahren, EU-Konformitätserklärung, CE-Kennzeichnung, Anleitung, Identifizierung sowie Aufbewahrung der technischen Dokumentation und der EU-Konformitätserklärung für mindestens 10 Jahre umfassen.
Die Verordnung ist am 19. Juli 2023 in Kraft getreten. Die zentralen Vorschriften zur wesentlichen Veränderung gelten ab dem 20. Januar 2027. Umbauten vor diesem Zeitpunkt werden nicht rückwirkend nach diesen Artikeln bewertet. Maßgeblich sind die Vorschriften, die zum Zeitpunkt der Änderung galten.
Die Maschinenrichtlinie 2006/42/EG enthielt keine eigene Legaldefinition der wesentlichen Veränderung. In der Praxis musste trotzdem bewertet werden, ob der Umbau dem Bau einer neuen Maschine gleichkam. Mehr zum rechtlichen Prüfmaßstab steht im Beitrag wesentliche Veränderung – wann sie tatsächlich vorliegt. Für die systematische Prüfung hilft außerdem die Prüfung der Voraussetzungen einer wesentlichen Veränderung.
Wie weit reicht der Umfang der wesentlichen Veränderung?
Nach den Worten „Pflichten des Herstellers“ rutschen viele Teams in eines von zwei Extremen.
Extrem eins: Alles neu. Konformitätsbewertung und Dokumentation der kompletten Linie von vorn.
Extrem zwei: Nur die neue Tür. Dokumentiert werden Scharnier, Zuhaltung und ein paar Drähte.
Beides kann falsch sein.
Erwägungsgrund 26 der Verordnung (EU) 2023/1230 stellt klar: Wer eine wesentliche Veränderung vornimmt, soll nicht gezwungen sein, Prüfungen und neue Dokumentation für Maschinen oder dazugehörige Produkte zu wiederholen, die Teil einer Gesamtheit von Maschinen sind und von der Änderung nicht betroffen werden.
Das begrenzt aber nicht die Pflichten für die Maschine oder das Produkt, das tatsächlich betroffen ist.
Der Einflussbereich ergibt sich nicht aus dem Projektnamen, nicht aus der Schaltschrankgrenze und nicht aus der Stelle, an der die neue Schutzeinrichtung montiert ist. Er ergibt sich aus der Risikobeurteilung.
Deshalb muss geprüft werden:
- Welche Teile der Linie werden beim Öffnen der Schutzeinrichtung gestoppt?
- Haben sich Stoppzonen geändert?
- Können benachbarte Maschinen weiterhin gefährliche Bewegungen ausführen?
- Wo befindet sich der Reset, und was sieht der Bediener von dort?
- Ist nach dem Schließen der Schutzeinrichtung ein unerwarteter Wiederanlauf möglich?
- Kann eine Person zwischen Schutzeinrichtung und Gefährdungsbereich eingeschlossen werden?
- Ändert der Umbau Schnittstellen zwischen Maschinen?
Maschine oder integriertes Fertigungssystem?
Wenn der betrachtete Aufbau ein integriertes Fertigungssystem mit mindestens zwei verbundenen Maschinen für eine definierte Anwendung ist, kommt ISO 11161 ins Spiel. Einzelmaschinen können für sich genommen sicher sein. Trotzdem kann durch die Verbindung oder durch eine gemeinsame neue Schutzmaßnahme ein neues Risiko auf Systemebene entstehen.
Die richtige Frage lautet also nicht: Wo wurde die Tür eingebaut?
Sie lautet: Wie weit reicht der Einfluss des Umbaus auf Sicherheitsfunktionen, Zonen und Schnittstellen?
Welche Nachweise müssen nach einer Änderung aktualisiert werden?
Für nicht betroffene Maschinen oder Produkte innerhalb einer Gesamtheit müssen Prüfungen nicht wiederholt und Dokumente nicht neu erstellt werden. Für das betroffene Produkt dürfen frühere Nachweise weiterverwendet werden, wenn sie noch aktuell und geeignet sind. Die Dokumentation muss aber insgesamt schlüssig zeigen, dass das vom Umbau betroffene Produkt die Anforderungen erfüllt.
Nicht immer muss jedes Dokument bei null beginnen. Aber es braucht eine vollständige, konsistente technische Dokumentation für den betroffenen Umfang: Welche alten Nachweise bleiben gültig? Welche wurden aktualisiert? Warum beeinflusst die Änderung andere Maschinen oder Produkte nicht?
Wer einen Safety-Parameter ändert, muss die Kette erneut prüfen. Nicht später. Nicht nur, wenn die Abnahme fragt. Sofort.
| Was wurde geändert? | Mögliche Wirkung | Was ist erneut nachzuweisen? |
|---|---|---|
| F_WD_TIME oder PROFIsafe-Konfiguration | Andere maximale Reaktionszeit | Berechnung der Reaktionszeiten für das aktuelle Projekt |
| Reaktionszeit oder Stillsetzzeit | Anderer Sicherheitsabstand von Sicherheitslichtvorhängen | Nachlaufmessung und Berechnung nach ISO 13855 |
| Sicherheitslichtvorhang ersetzt durch trennende Schutzeinrichtung mit Verriegelung und Zuhaltung | Neue Gefährdungssituationen und neue Sicherheitsfunktionen | Risikobeurteilung, Spezifikation der Sicherheitsfunktionen und PLr |
| F-Programm, Verriegelung oder Zuhaltung | Änderung des SRP/CS | Verifizierung des erreichten PL und Validierung |
| Gemeinsamer Zugang, Reset oder Stoppzone | Einfluss auf benachbarte Maschinen | Schnittstellenanalyse und Umfangsbewertung nach ISO 11161 |
| Voraussetzungen einer wesentlichen Veränderung erfüllt | Pflichten des Herstellers | Konformitätsbewertung und vollständige Dokumentation des betroffenen Produkts |
Die Grenze der Herstellerpflichten verläuft nicht dort, wo die neue Schutzeinrichtung endet. Sie verläuft dort, wo die Risikobeurteilung den Einfluss der Änderung nachweist.
Jeder Nachweis beantwortet eine andere Frage. Der RT Calculator zeigt das zeitliche Verhalten des sicherheitsbezogenen Steuerungssystems. Die Nachlaufmessung zeigt das reale Ende der Bewegung. ISO 13855 macht aus Zeit einen Abstand. Die Risikobeurteilung entscheidet, ob die Schutzmaßnahmen das Risiko noch ausreichend reduzieren.
Keiner dieser Nachweise ersetzt den anderen.
Von der Parameteränderung bis zur Validierung: den roten Faden sichern
Jede Änderung eines Parameters, der auf die Reaktionszeit wirkt, braucht eine lesbare Spur. Warum wurde geändert? Welche Konfiguration galt vorher? Welche gilt danach? Welche Berechnung wurde verwendet? Welche Messwerte liegen vor? Welche Entscheidung wurde getroffen? Wie wurde validiert?
Der RT Calculator von Siemens hilft bei der Berechnung der Reaktionszeit. Er erklärt aber nicht, warum die Änderung akzeptiert wurde und welche Konsequenzen sie für die Maschine hatte.
Diese Entscheidungskette lässt sich in Safety Software – Risikobeurteilung für Maschinen strukturieren. Ein Audit-Trail hält Änderungen und Begründungen fest. Das Maschinenaudit bündelt Feststellungen, Korrekturmaßnahmen und Validierungsnachweise. Das ist kein Papierfetisch. Das ist die Spur, die im Ernstfall zeigt, dass die Änderung beherrscht wurde.
Zusammenfassung
Dieser Fall beweist nicht, dass F_WD_TIME = 500 ms falsch ist. Er beweist etwas Wichtigeres: Eine Änderung eines Parameters, der auf die Reaktionszeit wirkt, kann alte Sicherheitsannahmen entwerten.
Die Kette war schlicht:
Änderung von F_WD_TIME → andere maximale Reaktionszeit → größerer Sicherheitsabstand → kein Platz → neue trennende Schutzeinrichtung mit Verriegelung und Zuhaltung → Umbau des Safety-Systems
Bei K = 1600 mm/s bedeuten zusätzliche 350 ms Gesamtzeit 560 mm mehr erforderlichen Abstand. Dieses Ergebnis wird nicht kleiner, nur weil die Halle voll ist. Wenn sich die Zeit nicht verkürzen und der Sicherheitslichtvorhang nicht versetzen lässt, muss die Schutzkonzeption geändert werden.
Die Watchdog-Änderung allein ist noch keine automatische wesentliche Veränderung. Sie kann aber eine Kette auslösen, die alle Voraussetzungen erfüllt: digitale Änderung nach Inverkehrbringen oder Inbetriebnahme, nicht vom Hersteller vorgesehen, erhöhtes Risiko, neue Schutzmaßnahme und Umbau des bestehenden sicherheitsbezogenen Steuerungssystems.
Die wichtigste Frage lautet daher nicht: Durfte F_WD_TIME erhöht werden?
Sie lautet: Wurden nach dieser Änderung Reaktionszeit, Nachlauf, Sicherheitsabstand, Risikobeurteilung und Validierung erneut nachgewiesen?
Wenn die Antwort auf aktuellen Berechnungen, Nachlaufmessung, Risikobeurteilung und Validierung basiert, ist die Änderung unter Kontrolle. Wenn sie weiter auf dem alten Protokoll und dem Satz „Den Sicherheitslichtvorhang haben wir doch gar nicht verschoben“ basiert, beginnt genau dort das Problem.
Offizielle Quellen und verwendete Normen
Siemens
- SIMATIC Safety – Konfiguration der Überwachungszeiten
- SIMATIC STEP 7 Safety Advanced – RT Calculator
- SIMATIC Safety – Reaktionszeiten von Sicherheitsfunktionen
- Sicherheitsfunktion über IWLAN – Beispiel für TIA Portal V18
- SIMATIC Safety – Systemabnahme und Verifizierung von Zeiten
Recht der Europäischen Union
- Verordnung (EU) 2023/1230 – aktueller Text
- Verordnung (EU) 2023/1230 – Erwägungsgrund 26
- Leitfaden zur Maschinenrichtlinie 2006/42/EG
Normen in der Analyse
- ISO 12100 – Risikobeurteilung und Risikominderung
- ISO 13855 – Anordnung technischer Schutzmaßnahmen in Abhängigkeit von Annäherungsgeschwindigkeiten
- ISO 14119 – Verriegelungseinrichtungen in Verbindung mit trennenden Schutzeinrichtungen
- ISO 14120 – Gestaltung und Bau von trennenden Schutzeinrichtungen
- ISO 13857 – Sicherheitsabstände gegen das Erreichen von Gefährdungsbereichen
- ISO 13849-1 – Gestaltung sicherheitsbezogener Teile von Steuerungen
- ISO 11161 – integrierte Fertigungssysteme
Vor Anwendung einer Norm müssen die für das Projekt maßgebliche Ausgabe, die nationale Veröffentlichung und die aktuelle Grundlage der Konformitätsvermutung geprüft werden.