Der Bediener öffnet die Schutztür eines Bearbeitungszentrums. Er schiebt das Werkstück in die Werkstückaufnahme und hält es mit einer Hand fest, um es vor dem Spannen auszurichten. Dann versucht er, die Spanneinrichtung zu betätigen. Die Maschine verweigert den Befehl: Bei geöffneter Schutztür ist die Bewegung gesperrt.
Genau so wurde sie konstruiert. Nur muss die Produktion irgendwie beginnen.
Nehmen wir an, wir sehen uns die Anlage bei der Abnahme an. Im Schaltschrank sitzen bewährte Komponenten, auf dem Tisch liegt der Bericht zur Berechnung des Performance Level. Der Konstrukteur hat Schaltplan, Sensordaten und Herstellerbibliothek. Der Bediener hat das Werkstück in der Hand. Seine Aufgabe wurde nicht annähernd so gründlich abgestimmt.
Die Steuerung führt die ihr zugewiesene Funktion korrekt aus. Vor der Auswahl dieser Funktion hat aber niemand gefragt, wie der Mensch das Werkstück überhaupt spannen soll. Genau diese Lücke muss die Spezifikation der Sicherheitsanforderungen (SRS) schließen – bevor eine unausgesprochene Annahme bestellt, montiert und programmiert wird.
ISO 13849-1:2023 verlangt Ergebnisse der Risikobeurteilung nach ISO 12100. Daraus leiten wir Sicherheitsfunktionen, das erforderliche Verhalten und den erforderlichen Performance Level PLr ab. Diese Vorgaben halten wir in der SRS fest. Sie gehört zur technischen Dokumentation und bildet die Grundlage für die weitere Entwicklung.
Danach folgen Auswahl, Berechnung, Verifizierung und Validierung nach ISO 13849-1. Bevor diese Arbeit beginnt, sollten wir allerdings wissen, wo sich die Hand des Bedieners beim Spannen befindet. Im Katalog der Sicherheitssteuerung steht das nicht.
Wie lässt sich das Werkstück sicher spannen, wenn die Steuerung schon fertig ist?
Gehen wir einige Wochen zurück. Das Projekt gewinnt Tempo, weil jemand einen bewährten Satz aus der Vorgängermaschine vorschlägt: Schutztürschalter, Sicherheitssteuerung und passender Antrieb. Die Daten sind vorhanden, die Bibliothek ist fertig und der Lieferant kennt den Termin.
Die Frage nach dem manuellen Ausrichten des Werkstücks wird auf die Inbetriebnahme verschoben. Dann werde man schließlich alles sehen.
Und tatsächlich: Jetzt sehen alle das Problem. Der Bediener benötigt eine Bewegung bei geöffneter Schutztür, die Steuerung soll genau diese Bewegung verhindern. Prompt kommt der Vorschlag, im Programm eine Ausnahme einzubauen. Plötzlich bestimmen bereits gekaufte Geräte die Schutzanforderungen, obwohl sie diese lediglich umsetzen sollten.
Bleiben wir an der Werkstückaufnahme. Warum muss der Bediener das Werkstück festhalten? Könnte eine Vorrichtung seine Lage vorher eindeutig bestimmen? Welche Bewegung ist wirklich notwendig, und welche verschwindet, wenn wir das Spannkonzept ändern?
Von diesen Antworten hängt das Schutzkonzept ab. Vielleicht muss die Werkstückaufnahme geändert werden. Vielleicht bleibt eine Bewegung bei bestehendem Zugang erforderlich. Dann sind deren Freigabebedingungen, Begrenzungen und das sichere Stillsetzen festzulegen. Eine Ausnahme in der Logik entscheidet nicht über die Sicherheit der Tätigkeit.
Dieselbe Steuerung, eine andere Aufgabe
Bei der Vorgängermaschine kann die Beladung völlig anders ausgesehen haben. Vielleicht hielt dort eine Vorrichtung das abgelegte Werkstück sicher in Position, und der Bediener schloss die Schutztür vor dem Spannen. Bei der neuen Maschine bleibt seine Hand länger im Arbeitsraum.
Die Bestellnummer der Steuerung stimmt. Die Anwendungsbedingungen nicht unbedingt. Vor der Übernahme eines alten Projekts prüfen wir Zugang, Tätigkeitsfolge, erforderliche Bewegungen und das Verhalten der Last. Die Aussage „Bei der alten Maschine hat es funktioniert“ beschreibt weiterhin nur die alte Maschine.
Solche Erkenntnisse können Zeichnungen, Geräteauswahl und Programm verändern. Schwer werden sie erst dann, wenn der Schaltschrank fertig ist und im Terminplan nur noch „Abnahme“ steht. Dann stört die Hand des Bedieners nicht nur die Bewegung, sondern auch den Projektabschluss.
Eine erneute Berechnung des Stromkreises löst den Streit an der Spanneinrichtung nicht. Der erreichte Performance Level gilt für die tatsächlich realisierte Funktion und die Bedingungen, unter denen sie beurteilt wurde. Wenn wir das Stillsetzen beim Öffnen der Schutztür bewertet haben, ergänzt das Ergebnis keine Anforderungen für das manuelle Spannen.
Man kann zwei Kanäle haben – und keine einzige Anforderung für die Tätigkeit, die der Bediener gerade ausführt.
Zertifizierte Geräte und bereits validierte Teilsysteme sind nützlich. ISO 13849-1 erlaubt ihre Verwendung, sofern die Integrationsbedingungen eingehalten werden. Trotzdem müssen wir die Eigenschaften der vollständigen Sicherheitsfunktion in der konkreten Anwendung nachweisen – mit ihrer Werkstückaufnahme, ihrer Belastung und ihrem Zugang.
Der Hersteller der Steuerung kennt unsere Methode zum Ausrichten des Werkstücks nicht. Sein Zertifikat konnte sie folglich nicht beurteilen.
Für den Automatisierungstechniker ist das eine wichtige Verantwortungsgrenze. Er kann Geräte korrekt verbinden, die Logik sauber programmieren und den erreichten PL begründen – und trotzdem einen unvollständigen Auftrag erhalten haben. Er braucht die Ergebnisse der Risikobeurteilung, bevor er Annahmen dauerhaft im Programm verankert.
Fehlen diese Ergebnisse, geht die Aufgabe zurück an das Projektteam. Wer entscheidet über die Werkstückaufnahme? Wer legt notwendige Bewegungen fest? Wer beschreibt die Zugangsbedingungen? Erst wenn diese Fragen beantwortet sind, darf aus einer Idee eine programmierbare Anforderung werden.
Legen wir also den Katalog beiseite und gehen die vollständige Tätigkeit mit dem Bediener durch. Besonders ihren Anfang, der vor dem Schließen der Schutztür stattfindet. Erst dann wissen wir, was wir von den sicherheitsbezogenen Teilen der Steuerung SRP/CS verlangen.
Der Bediener gehört vor dem Schließen der Schutztür ins Projekt
Der Bediener bringt das Werkstück, legt es ein, korrigiert seine Position und spannt es. Erst danach schließt er die Schutztür und startet die Bearbeitung. Am Ende öffnet er die Tür erneut und entnimmt das Werkstück.
Beginnt die Tätigkeitsbeschreibung erst mit der START-Taste, fehlt genau der Arbeitsschritt, ohne den niemand diese Taste drücken müsste.
Hinzu kommen falsch eingelegte Werkstücke, Werkzeugwechsel, Reinigung und das Wiederanfahren nach einer Unterbrechung. Bei jedem Eingriff kann sich der Mensch an einer anderen Stelle befinden – näher an anderen Bewegungen und anderen Energien.
Der Satz „Bedienung gemäß Anleitung“ zeigt dem Konstrukteur diese Arbeit nicht. Er legt auch nicht fest, was dabei laufen darf und was stillstehen muss.
ISO 12100 beginnt mit der Festlegung der Grenzen der Maschine und ihrer Verwendung. Wir bestimmen Benutzer, Betriebsarten, Materialien und Eingriffe. Dabei berücksichtigen wir die Lebensphasen der Maschine und vernünftigerweise vorhersehbare Fehlanwendungen.
Erst auf dieser Basis identifizieren wir Gefährdungen und schätzen Risiken ein. Anschließend folgt die Risikobewertung: Ist eine Risikominderung erforderlich? Dadurch ist „Störung beseitigen“ nicht länger eine bequeme Tabellenzeile. Plötzlich sehen wir den Zugang von der Rückseite und die kontrollierte Bewegung eines Mechanismus.
Ein Gespräch direkt an der Anlage deckt das schnell auf. Verhindert eine Schutzmaßnahme eine notwendige Tätigkeit, kann sie zum Umgehen der Schutzeinrichtung verleiten. Das Konzept muss korrigiert werden, bevor die Umgehung in der Werkhalle zur üblichen Arbeitsweise wird.
Vielleicht ist eine andere Werkstückaufnahme die beste Lösung
Die erste Entscheidung an unserer Spanneinrichtung muss nicht die Steuerung betreffen. Eine Vorrichtung, die das Werkstück ohne Hand im Spannbereich positioniert, verändert bereits die Exposition des Menschen.
Mit solchen inhärent sicheren Konstruktionslösungen beginnt die Risikominderung nach ISO 12100. Danach folgen technische Schutzmaßnahmen wie trennende und nichttrennende Schutzeinrichtungen sowie ergänzende Schutzmaßnahmen. Anschließend kommen Benutzerinformationen.
Für das gewählte Schutzkonzept legen wir die Aufgaben der Steuerung fest. Sie soll bestimmte Bewegungen während des Zugangs verhindern, notwendiges Einrichten ermöglichen und das erforderliche Halten des Werkstücks bei Druckverlust gewährleisten. Aus diesen Festlegungen leiten wir Sicherheitsfunktionen und ihren Anwendungsumfang ab.
Die Aufgaben des Bedieners legen einen wichtigen Teil des Problems offen. Die Risikobeurteilung erfasst jedoch die gesamte Maschine. Materialauswurf, Lärm oder strukturelles Versagen bleiben relevant, auch wenn gerade kein manueller Eingriff stattfindet.
Den vollständigen Entscheidungsweg zeigt ein Beispiel einer Risikobeurteilung nach ISO 12100. Für die anschließende Wahl des Schutzes hilft die systematische Betrachtung der technischen Schutzmaßnahmen.
ISO 13849-1 erwartet die Ergebnisse dieser Arbeit
Abschnitt 4.5 der ISO 13849-1:2023 verlangt Ergebnisse der Risikobeurteilung, Angaben zu den benötigten Sicherheitsfunktionen, ihrem Beitrag zur Risikominderung und zum PLr. Abschnitt 5.1 verweist ausdrücklich auf die detaillierten Informationen aus der Beurteilung nach ISO 12100.
Das sind Eingangsdaten für die Konstruktion. Wer mit dem Stromlaufplan beginnt, erzeugt sie nicht – auch wenn die erste Dokumentationsseite dadurch schneller fertig ist.
In der SRS beschreiben wir Sicherheitsfunktionen und funktionale Anforderungen, bestimmen den PLr und prüfen die Vollständigkeit vor dem Entwurf. Diesen Weg geben die Abschnitte 5.1 bis 5.4 vor. Der PLr gehört in die abgeschlossene SRS.
Ein Eintrag ohne PLr bleibt ein Arbeitsstand. Der Vermerk „bei Inbetriebnahme festlegen“ bestimmt nur den Termin für weitere Arbeit. Er schließt keine Sicherheitsanforderung ab.
Der Konstrukteur kennt die Werkstückaufnahme, die Verfahrenstechnik den Ablauf, der Betreiber die Eingriffe und der Automatisierungstechniker die Möglichkeiten der Steuerung. Die SRS dokumentiert das Ergebnis ihrer gemeinsamen Entscheidung. Genau hier lässt sich erkennen, dass eine geplante Funktion die Maschine zwar anhält, ihre Bedienung aber unmöglich macht.
Unser Bediener wartet noch immer mit dem Werkstück. Der Unterschied: Wir können die Arbeitsstation jetzt ändern, bevor das Problem von einer fertigen Maschine umschlossen wird. Im dargestellten Konzept erlaubt eine mechanische Aufnahme, die Hand zurückzuziehen, bevor der Bediener die Schutztür schließt und die Spanneinrichtung separat betätigt. Die Aufnahme selbst bleibt eine konstruktive Maßnahme.
Wer ISO 12100 überspringt, beginnt die Arbeit mit ISO 13849-1 ohne die erforderlichen Antworten. Die Risikobeurteilung bestimmt den benötigten Schutz. Die SRS macht daraus Anforderungen an die Steuerung – einschließlich PLr.
Eine für den Menschen notwendige Bewegung verschwindet nicht, nur weil wir sie gefährlich nennen
Zurück zum Spannprojekt. Jemand erinnert daran, dass das Stillsetzen nach dem Öffnen der Schutztür doch eine bewährte Sicherheitsfunktion sei. Stimmt. Das Werkstück, mit dem die Produktion beginnen soll, muss trotzdem zuerst ausgerichtet werden.
Maschinenspezifische Normen helfen, den allgemeinen Begriff „Absicherung“ in Tätigkeiten, Bewegungen und Bedingungen zu zerlegen. Dann wird sichtbar, warum eine korrekte Reaktion der Steuerung noch nicht den Schutz der vollständigen Arbeit beschreibt.
Die Spanneinrichtung muss das Werkstück schon vor der Bearbeitung halten
Beim Bearbeitungszentrum trennen wir automatischen Betrieb und manuelles Einrichten. Für beide prüfen wir notwendige Bewegungen, den Zugang zu ihren Wirkungen und den erforderlichen Schutz. Erfordert die Vorrichtung eine Bewegung bei geöffneter Schutztür, muss die Konstruktion diese Tätigkeit sicher ermöglichen.
Das Entfernen einer Verriegelungsbedingung würde das Programm ändern. Hand und Spannbacken blieben am selben Ort.
ISO 16090-1 behandelt für die von ihr erfassten Werkzeugmaschinen unter anderem das Spannen des Werkstücks, die Überwachung des Spannzustands und die Bedingungen für den Arbeitsbeginn. Die Fragen reichen damit deutlich weiter als bis zur Stellung der Schutztür.
Wird das Werkstück sicher gehalten? Welche Bewegungen dürfen freigegeben werden? Was geschieht bei Energieverlust? Die Antworten können eine andere Werkstückaufnahme, ein anderes Steuerungskonzept oder eine vollständig andere Spannfolge verlangen.
Gibt eine Typ-C-Norm eine Anforderung oder einen PLr vor, übernehmen wir gleichzeitig den Anwendungsfall und seine Bedingungen. Ein Buchstabe ist schnell in eine Tabelle kopiert. Leicht übersehen wird, dass er aus einer Zeile für einen anderen Zugang oder Maschinenzustand stammt.
Die SRS muss es der nächsten Person ermöglichen, die Entscheidung nachzuvollziehen: Für welche Tätigkeit wurde die Sicherheitsfunktion festgelegt, und warum wird genau dieses Schutzniveau erwartet?
Die Ballenpresse ist fertig. Jetzt muss der Ballen heraus
Wechseln wir zu einer vertikalen Presse für Abfallballen. Der Konstrukteur hat die Bewegung der Pressplatte während des Pressens betrachtet. Die Türen waren geschlossen, der Zugang wurde überwacht und der Zyklus ist beendet.
Der Bediener muss den Ballen noch binden und entnehmen. Er öffnet die Tür, verändert seine Position und nutzt Bewegungen, die für die Entnahme erforderlich sind. In der Zyklusbeschreibung ist die Maschine fertig. An der Maschine beendet der Mensch seine Arbeit erst jetzt.
EN 16500:2014 enthält für diese Phase eigene Anforderungen. Gemeint sind bestimmte geschlossene vertikale Ballenpressen mit manueller Bindung – nicht beliebige Maschinen zum Pressen von Abfall.
Abschnitt 5.1.4 behandelt den Ballenauswurf, die Bedienung außerhalb des Umkippbereichs und die Sichtverhältnisse. Besteht durch die geöffnete Tür Zugang zur gefährlichen Aufwärtsbewegung der Pressplatte, ist eine Zweihandsteuerung vorgesehen. Abschnitt 5.2.2 ordnet dieser Funktion PLr d zu.
In der SRS halten wir Tätigkeit, Bewegung und Schutzbedingung gemeinsam fest. Anschließend prüfen wir auch die Rückbewegung der Auswurfeinrichtung. Das Wort „Pressen“ erfasst nicht alle Situationen bei der Ballenentnahme.
Die genannte Ausgabe EN 16500 verweist auf EN ISO 13849-1:2008. Dieser Zusammenhang der Ausgaben ist bei der Normenauswahl zu berücksichtigen. PLr d aus dem beschriebenen Fall wird dadurch nicht zur pauschalen Bewertung der gesamten Ballenpresse.
In der stillgesetzten Zone bewegt sich das Material weiter
Nun beseitigt ein Bediener einen Materialstau zwischen zwei Maschinen. Die Antriebe in seiner Zone stehen. Eine benachbarte Maschine fördert weiterhin Material durch eine technologische Öffnung. Die lokale Steuerung hat ihre Aufgabe erfüllt.
Das Material kennt die Liefergrenzen nicht.
ISO 11161:2007 mit A1:2010 lenkt den Blick auf Aufgabenbereiche und Schnittstellen eines integrierten Fertigungssystems. Abschnitt 8.1.4 behandelt den Schutz beim Materialfluss zwischen Zonen.
Nach Abschnitt 8.8.1 umfasst die Spezifikation unter anderem Betriebsarten, menschliche Interaktionen, Systemverhalten, Schnittstellen und Reaktionen auf Fehler. Zwei getrennte Berechnungsberichte lassen dem Integrator genau diesen gemeinsamen Teil der Aufgabe offen.
Abzustimmen sind die Reichweite des Stillsetzens oder ein anderer geeigneter Schutz an der Schnittstelle, der Zugang und das Verhalten benachbarter Einrichtungen – auch beim Ausfall des erforderlichen Signals. Wer einen Stau beseitigt, braucht während des gesamten Eingriffs Schutz.
Der Satz „Schnittstelle bauseits durch den Integrator“ benennt zwar einen Verantwortlichen. Er erledigt aber keine technische Arbeit. Die Schutzreichweite ergibt sich auch aus Gefährdungen, die der Materialfluss über Maschinengrenzen transportiert.
Außerhalb des Automatikzyklus bleibt Arbeit übrig. Spannen, Ballenentnahme und Störungsbeseitigung brauchen jeweils eigene Festlegungen zu Bewegung, Zugang und Energie. Die SRS muss den Schutz durch die gesamte Tätigkeit führen.
Die Spanneinrichtung steht. Was soll mit dem Werkstück geschehen?
„Beim Öffnen der Schutztür muss die Maschine anhalten.“ Der Automatisierungstechniker zeigt auf die unbewegte Spanneinrichtung. Der Konstrukteur sieht auf das Werkstück, das der Bediener noch immer festhält.
Beide betrachten dieselbe Maschine. Das Wort „anhalten“ hat ihnen nur vorübergehend erspart, das tatsächlich erforderliche Verhalten abzustimmen.
In der SRS dokumentieren wir deshalb den Namen der Sicherheitsfunktion, ihren Bezug zur Gefährdung, das auslösende Ereignis und die durch die Ausgänge eingeleitete Reaktion. Wir nennen konkrete Bewegungen und den Schutzbereich. Erst dann können Stillsetzen und erforderlicher Zustand nach dem Stillsetzen eindeutig festgelegt werden.
Das manuelle Einrichten bei bestehendem Zugang erhält eigene Anforderungen entsprechend dem gewählten Schutzkonzept. Unabhängig davon beschreiben wir, dass eine geöffnete Schutztür im Automatikbetrieb den Start bestimmter gefährlicher Bewegungen verhindern muss.
Stillsetzen und Verhinderung eines unerwarteten Anlaufs können gemeinsame Teilsysteme nutzen. Jede Sicherheitsfunktion benötigt trotzdem eine verständliche Beschreibung und eine eigene Prüfung. Der Schutzbedarf endet nicht, sobald der nächste Befehl an der Steuerung anliegt.
Wieder kommt der Vorschlag: Schalten wir einfach alles ab
Im Schaltplan wirkt der Gedanke überzeugend. Ausgänge abschalten, Energie entfernen, Problem erledigt. Dann ergänzt der Konstrukteur eine Kleinigkeit: Bei Druckverlust könnte die Spanneinrichtung das Werkstück freigeben.
Damit sprechen wir nicht mehr nur über das Stillsetzen einer Bewegung. Jetzt müssen wir auch das Halten der Last und die Dauer des erforderlichen Zustands festlegen. Ein Abschaltbefehl beantwortet nicht, wodurch das Werkstück anschließend gehalten wird.
Die SRS beschreibt den aus der Risikobeurteilung abgeleiteten physischen Zustand: Bewegungen stehen, das Werkstück bleibt erforderlichenfalls gehalten. Bei einer vertikalen, schwerkraftbelasteten Achse kommt der Schutz gegen Absinken hinzu. Erst der Entwurf zeigt, wie diese Anforderungen technisch umgesetzt werden.
Das Team betrachtet den Ausfall der Energieversorgung, unzulässige Schwankungen und die Energierückkehr. Für jede Situation legt es das Verhalten fest. Dadurch bleibt die Wiederkehr von Druck oder Spannung kein unbeschriebener Teil der Sequenz.
Gesondert wird ein erkannter Fehler behandelt: die Reaktion, die zu einem sicheren Zustand führt, und das erforderliche Halten dieses Zustands bis zur Instandsetzung. Bei gleichzeitig aktiven Sicherheitsfunktionen sind Priorität und mögliche Konflikte zu klären. Ein Stopp darf einer Last nicht ungeprüft den notwendigen Schutz entziehen.
Der Sensor hat reagiert. Die Mechanik braucht noch Zeit
Der Mensch wartet an der Schutztür nicht so lange, wie es für den Mechanismus bequem wäre. Er greift zu einer bestimmten Stelle. Das Team muss daher seine Position, die Zugangsmöglichkeiten und die Zeit bis zum Erreichen des geforderten Zustands betrachten.
Der Automatisierungstechniker nennt die Reaktionszeit des Sensors. Danach arbeiten jedoch noch Logik, Kommunikation, Aktoren und Mechanik. Die SRS benötigt eine Anforderung an die Gesamtreaktionszeit der Maschine einschließlich des Stillsetzens der Bewegung.
Für die Anordnung von Schutzeinrichtungen nach ISO 13855 brauchen wir geeignete Stillsetzdaten und dokumentierte Bewertungsbedingungen. Last, Werkzeug, Temperatur und Verschleiß können das Ergebnis verändern. Ein Katalogwert ersetzt keine Messung des Verhaltens der vollständigen Maschine.
Fehlen die Daten, bleibt ein offener Punkt: Wer liefert sie, und welche Entscheidungen hängen davon ab? Ein Arbeitswert muss später bestätigt werden – oder der Entwurf ist anzupassen.
Andernfalls baut der Konstrukteur eine trennende Schutzeinrichtung um eine Zahl, die der Automatisierungstechniker lediglich als Schätzung verstanden hat. Bei der Abnahme bestätigen beide, dass die Zeit einmal besprochen wurde.
Der Bediener wechselt die Betriebsart und schließt danach die Tür
Das Werkstück wartet weiterhin darauf, gespannt zu werden. Erlaubt das Schutzkonzept eine Bewegung bei bestehendem Zugang, legt die SRS Betriebsart und Bedingungen dieser Bewegung fest. Die ausgewählte Betriebsart muss eindeutig sein, und der Übergang zwischen Betriebsarten muss den erforderlichen Schutz erhalten.
Die Betriebsartenwahl startet noch keine Bewegung. Auch die Anzeige „Service“ auf einem Bildschirm schützt niemanden an der Spanneinrichtung. Erst das festgelegte Verhalten liefert eine umsetzbare Anforderung.
Dabei betrachten wir auch Reinigung und Instandsetzung der Werkstückaufnahme. Einige Arbeiten erfordern das Trennen der Maschine von allen Energiequellen und das Sichern der Trenneinrichtungen in Trennstellung. Andere benötigen eine entsprechend geschützte Bewegung. Die Risikobeurteilung dieser Tätigkeiten muss sich in den Anforderungen widerspiegeln.
Eine Lösung zum Einrichten des Werkstücks darf nicht automatisch auf jede Reparatur übertragen werden. Der Mensch kann dabei an einem anderen Ort stehen und andere Gefährdungen erreichen. Eine neue Tätigkeitsbezeichnung in der Betriebsanleitung verändert keinen mechanischen Zugang.
Nach dem Spannen schließt der Bediener die Schutztür. Der Sensor bestätigt ihre Stellung. Er erkennt jedoch nicht automatisch, ob sich jemand im Gefahrenbereich befindet oder ob alle übrigen Schutzmaßnahmen wirksam sind. Bei einer zweiten Person werden diese Fragen besonders wichtig.
Die SRS beschreibt die Rückkehr zum Betrieb über definierte Bedingungen für Reset und Wiederanlauf. Ergibt die Risikobeurteilung die Notwendigkeit eines manuellen Resets, bestimmen wir eine Stelle außerhalb des Gefahrenbereichs, mit der notwendigen Sicht und ohne Betätigungsmöglichkeit aus dem Gefahrenbereich.
Der Reset ist eine beabsichtigte Handlung, getrennt vom Start. Für die Annahme des Signals ist dessen Zustandsänderung zu überwachen. Der Reset selbst darf keine Gefährdung auslösen; die erforderlichen Sicherheitsfunktionen und technischen Schutzmaßnahmen müssen bereits wirksam sein.
Bei nicht einsehbaren Bereichen ist eine geeignete Lösung erforderlich, etwa eine Reset-Sequenz oder Überwachung. Unter begründeten Bedingungen kann auch ein automatischer Reset zulässig sein, beispielsweise wenn die kontinuierliche Personenerkennung eine Gefährdung verhindert.
Das Dokument muss die konkrete Entscheidung für die Anwendung enthalten. Soll der Reset selbst eine Sicherheitsfunktion sein, ist auch sein PLr festzulegen. Nicht jeder Taster mit derselben Beschriftung erfüllt dieselbe Aufgabe.
Arbeitet daneben ein Zuführsystem, muss dessen Lieferant den erforderlichen Zustand während des Zugangs zur Werkstückaufnahme und die Reaktion auf Signalverlust kennen. „STOP gesendet“ beschreibt nur den Sender. Die SRS muss auch festlegen, wie und wann der Empfänger reagiert.
Ein Werkstück bildet noch nicht alle Betriebsbedingungen ab
Der Bediener hat den Spannvorgang einmal gezeigt. Während einer Schicht wiederholt er ihn jedoch ständig. Deshalb dokumentieren wir die Anforderungsrate der Sicherheitsfunktion und die Betätigungszahl ihrer Elemente. Ein Zugang bei jedem Werkstück stellt andere betriebliche Anforderungen als ein seltener Eingriff.
Hinzu kommen Umgebung, Reinigung und Instandhaltung. Die Schutzlösung muss ihre Eigenschaften unter diesen Bedingungen behalten. Gerätedaten werden auf die tatsächliche Beanspruchung und Anwendung bezogen – auch wenn dieselbe Komponente bereits in einer anderen Maschine arbeitet.
Vor Abschluss der SRS erhält jede Sicherheitsfunktion einen PLr mit nachvollziehbarer Grundlage: aus der Risikobeurteilung oder aus einer passenden Anforderung einer Typ-C-Norm einschließlich ihrer Bedingungen. Für unsere Werkstückaufnahme zählt die Anforderung des konkreten Anwendungsfalls.
Der erreichte Performance Level wird erst später für die Realisierung beurteilt. Jetzt legt das Team fest, was die Realisierung leisten muss. Zwei ähnliche Einträge in benachbarten Tabellenspalten dürfen diesen Unterschied nicht verwischen.
Schreiben wir es so auf, dass der nächste Automatisierungstechniker nicht raten muss
Nehmen wir an, das Team hat sich nach der Analyse für eine mechanische Aufnahme entschieden, die das Werkstück trägt. Der Bediener kann es einlegen und seine Hände zurückziehen, bevor er die Schutztür schließt und die Spanneinrichtung betätigt. Das ist eine mögliche Variante. Erfordert die reale Aufgabe weiterhin eine Bewegung bei offenem Zugang, braucht sie eine eigene Schutzlösung und eigene Anforderungen.
Nun dokumentieren wir die Entscheidung auf der Karte einer Sicherheitsfunktion. PLr d, 200 ms und alle weiteren Zahlen im Beispiel sind fiktiv. Sie dürfen nicht in eine Maschine kopiert werden. Im realen Projekt müssen diese Werte begründet und die einschlägigen Anforderungen einer Typ-C-Norm angewendet werden.
| Feld der SRS | Beispiel für die Anforderung | ISO 13849-1:2023 |
|---|---|---|
| Funktion und Grund / SF-01, APP-01 | SF-01: Stillsetzen und Verhindern der angetriebenen Bewegung der Spanneinrichtung während des Zugangs zur Aufnahme. Aufgabe TASK-L01: Einlegen eines Werkstücks mit 12 kg. Gefährdung HS-01: Finger im Bereich der Spannbacken. Bezug zur Risikobeurteilung: RA-L01. | 5.1; 5.2.1.2; 5.2.1.3 a) |
| Auslösendes Ereignis / REQ-01 | Zugangsanforderung oder Verlust des erforderlichen geschlossenen beziehungsweise zugehaltenen Zustands der Schutztür, während eine Bewegung der Spanneinrichtung freigegeben ist. Ein offener Zugang hält die Bewegungssperre aufrecht. | 5.2.1.3 b) |
| Erforderliche Wirkung / REQ-02 | Bewegung der Spannbacken stillsetzen und jede weitere angetriebene Bewegung während des Zugangs verhindern. Die Zuhaltung darf erst nach Erreichen aller erforderlichen Bedingungen freigegeben werden. Das Werkstück bleibt durch eine unabhängige mechanische Aufnahme abgestützt. | 5.2.1.3 c) |
| PLr und Grundlage / REQ-09 | PLr d – didaktische Annahme aus der fiktiven RA-L01. Im Projekt muss der Wert aus der eigenen Risikobeurteilung oder einer passenden Typ-C-Anforderung folgen. Dies ist nicht der erreichte PL der Steuerung. | 5.2.1.3 d); 5.3 |
| Zeit und Zugang / REQ-03 | Bis 200 ms – beispielhafter Grenzwert vom Ereignis an der Schutztür bis zum Stillstand der bezeichneten Bewegung einschließlich Mechanik. Die Schutztür bleibt bis zur Erfüllung aller Sicherheitsbedingungen zugehalten. Die Zahl allein begründet keinen sicheren Zugang. | 5.2.1.3 e) |
| Betriebsarten / REQ-04 | Automatikbetrieb und manuelles Beladen. In dieser Variante ist kein angetriebenes Spannen bei geöffneter Schutztür zulässig. Erfordert die reale Aufgabe dies dennoch, sind Risikobeurteilung und Schutzspezifikation erneut zu bearbeiten. | 5.2.1.3 f) |
| Schnittstellen / REQ-05 | Die Bestätigung des erforderlichen Zustands der Spanneinrichtung ist nur eine Zugangsbedingung. Zusätzlich sind die erforderlichen Zustände von Spindel, Achsen und Zuführsystem zu erfüllen. Eine Empfangsbestätigung ersetzt nicht die geforderte Reaktion. | 5.2.1.3 g) |
| Fehlerreaktion / REQ-06 | Ein erkannter Fehler mit Einfluss auf die Sicherheitsfunktion sperrt neue Bewegungen und die Zugangsfreigabe, bis der erforderliche Zustand erreicht ist. Dieser Zustand bleibt bis zur Beseitigung des betreffenden Fehlers erhalten. | 5.2.1.3 h) |
| Energie / REQ-07 | Ausfall und Wiederkehr der Energie verursachen weder eine gefährliche Bewegung noch die Freigabe des abgestützten Werkstücks. Die mechanische Aufnahme benötigt einen eigenen mechanischen Nachweis; sie erhält nicht allein wegen ihrer Nennung in dieser Karte einen PLr. | 5.2.1.3 i) |
| Häufigkeit und Umgebung / APP-02, APP-04 | Beispiel: 40 Zugriffe je Stunde, 16 Stunden täglich, 250 Tage jährlich, entsprechend 160.000 Anforderungen pro Jahr. Betätigungen einzelner Elemente sind getrennt zu erfassen. Angenommen werden Hallenbetrieb, 5 bis 40 °C, Kühlschmierstoff und Späne. | 5.2.1.2; 5.2.1.3 j) |
| Priorität / REQ-10 | Die Anforderung der Sicherheitsfunktion hat Vorrang vor einem normalen START-Befehl der Spanneinrichtung. Das Zusammenwirken mit anderen Funktionen darf weder das Halten des Werkstücks aufheben noch einen vorzeitigen Zugang erlauben. | 5.2.1.3 k) |
| Typ-C-Norm / APP-03 | Anwendungsbereich und Anforderungen unter anderem zu Spannen und Zugang prüfen. Für diese hypothetische Werkzeugmaschine wird ISO 16090-1 betrachtet. Konkrete Abschnitte und Ergebnisse sind vor Abschluss der SRS zu dokumentieren. | 5.2.1.3 l) |
| Rückkehr zum Betrieb / REQ-08 | Nach Wiederherstellung der geforderten Zustände erfolgen ein separater, beabsichtigter Reset und ein eigener Startbefehl. Schließen der Schutztür, Reset und Energierückkehr starten die Spanneinrichtung nicht selbsttätig. | 5.2.1.3 m) |
| Prüfung und Version | REQ-01 bis REQ-10 werden mit Analysen, Prüfungen VT-01 bis VT-06, Entwurfsunterlagen und der bewerteten Konfiguration verknüpft. Änderungen an Werkstück, Betriebsart oder Parametern erfordern eine Bewertung ihrer Auswirkungen. | 5.4; 10; 12 a) |
Die Karte einer Sicherheitsfunktion ist nur ein Teil der SRS. Hinzu kommen Maschinengrenzen, menschliche Aufgaben, Eingangsdaten der Risikobeurteilung, weitere Sicherheitsfunktionen, Schnittstellen und Dokumentenlenkung. Auch jeder Eintrag „nicht zutreffend“ braucht eine Begründung.
Das englischsprachige SafetySoftware-PDF enthält das ausgearbeitete Beispiel SF-01, Prüfkriterien sowie ausfüllbare Projekt-, Funktions- und Nachweisblätter. Die Beispielwerte sind fiktiv; die Entscheidungen für das eigene Projekt müssen gesondert begründet werden.
SRS-Beispiel und ausfüllbare Vorlagen herunterladen (PDF, Englisch)
Anforderungen erhalten Bezeichnungen, Kennungen und Versionsstände sowie Verknüpfungen zur Risikobeurteilung. Später kommen Bezüge zum Entwurf und zu den Prüfergebnissen hinzu. Die Informationen können in einem Dokument, auf Karten oder in einem gelenkten Register geführt werden. ISO 13849-1 fordert die Inhalte, aber kein einziges verbindliches Tabellenmuster.
Die SRS darf offene Punkte sichtbar lassen. Einen fehlenden PLr oder eine ungeklärte Zugangsbedingung deckt auch die Unterschrift unter einem vollständig ausgefüllten Formular nicht zu.
Auslösung, Bewegung, Halten des Werkstücks, Gesamtreaktionszeit und Rückkehr zum Betrieb brauchen abgestimmte Anforderungen. Diese Dokumentation gibt dem Konstrukteur eine Grundlage – und der Validierung eindeutige Prüfkriterien.
Jetzt muss die Maschine ausführen, was wir festgelegt haben
Wir wissen nun, wie der Bediener das Werkstück positioniert, welche Bewegungen benötigt werden und welches Verhalten bei Energieverlust gefordert ist. Die Sicherheitsfunktionen haben ihren PLr erhalten. Auf der nächsten Besprechung kann trotzdem noch niemand behaupten, die Sicherheit sei damit erledigt.
Bisher haben wir vereinbart, was geschehen muss. Die Maschine tut es noch nicht.
Jetzt wählen wir Architektur und Teilsysteme, entwickeln Logik und Parameter und prüfen Belastung, Diagnose, Umgebung und das Zusammenwirken mit der Mechanik. Das Ventil muss den geforderten Zustand herbeiführen; die Sicherheitsfunktion des Antriebs muss zur tatsächlichen Bewegung passen.
Auch die Werkstückaufnahme ist herzustellen und zu prüfen. Ihre Geometrie muss das gewählte Spannverfahren ermöglichen. Eine korrekt programmierte Bedingung ersetzt kein Bauteil, das das Werkstück ohne stützende Hand halten sollte.
Bereits validierte Teilsysteme sparen in dieser Phase Zeit. ISO 13849-1 erlaubt ihre Verwendung bei Einhaltung der Integrationsbedingungen. Wir übernehmen Daten und Anwendungsgrenzen und begründen anschließend die vollständige Sicherheitsfunktion.
Bei der Bewertung des erreichten PL nach ISO 13849-1 prüfen wir das Verhältnis zum PLr, Zuverlässigkeit, Architektur, Diagnose und Fehler gemeinsamer Ursache. Hinzu kommen systematische Ausfälle, Software, Umgebungsbedingungen und Ergonomie.
Das Programm kann trotzdem im falschen Betriebszustand eine Bewegung zulassen. Das Zuverlässigkeitsmodell bleibt mathematisch korrekt, während der Fehler in der Freigabelogik liegt. Genau diese Bedingung muss gefunden und geprüft werden.
Auch ein Fehlerausschluss benötigt eine tragfähige Begründung für den realen Einbau und Betrieb. Ein Berechnungswerkzeug sieht die Werkstückaufnahme nach einem Umbau in der Halle nicht. Jemand muss dem Modell die tatsächlichen Annahmen liefern.
Vor einer Konformitätserklärung muss die gesamte Arbeit erledigt sein
Eine SRS allein reicht nicht aus, um vollständige Übereinstimmung mit ISO 13849-1 zu erklären. Erforderlich sind alle anwendbaren Tätigkeiten zu Entwurf, Verifizierung, Validierung und Dokumentation.
Eine Normnummer ist schnell eingetragen. Die Arbeit, für die dieser Eintrag stehen soll, benötigt etwas mehr Platz als eine Zeile in der Erklärung.
Fehlt ISO 12100 in einer Normenliste, beweist das allein noch nicht, dass keine Risikobeurteilung durchgeführt wurde. Entscheidend sind Inhalt, Ergebnisse und ihre Verwendung im Projekt. Umgekehrt bleibt der Auftrag „bitte PL d ausführen“ ohne Tätigkeit und Schutzbedarf unvollständig.
Nach der Umsetzung kehren wir zur Risikobeurteilung der gesamten Maschine zurück. Wir prüfen die beabsichtigte Risikominderung und ob sie ohne Einführung neuer Gefährdungen erreicht wurde.
Eine geänderte Werkstückaufnahme kann das Werkstück besser halten, aber eine andere Entnahme verlangen. Auch diese Tätigkeit ist zu untersuchen. Der iterative Prozess nach ISO 12100 kehrt zur realen Maschine zurück, statt an einer korrigierten Zeichnung zu enden.
Die SRS eröffnet die Arbeit, die später nachzuweisen ist. Auswahl, Integration, PL-Bewertung, Verifizierung und Validierung müssen zeigen, dass die realisierte Sicherheitsfunktion unter den vorgesehenen Bedingungen alle Anforderungen erfüllt. Das Dokument allein bewirkt nichts.
Die Maschine steht. Die Prüfung ist noch nicht beendet
Wir öffnen erneut die Schutztür. Diesmal wissen wir, welche Bewegungen in welcher Zeit enden müssen und wie das Werkstück gehalten wird. Die Steuerung meldet den erwarteten Zustand. Die prüfende Person schaut trotzdem auch auf den Mechanismus.
Bewegung, Belastung, Halten und Rückkehr zum Betrieb müssen bestätigt werden. Jede Wirkung wird einer konkreten Anforderung zugeordnet. Eine grüne Anzeige beschreibt noch nicht das Ergebnis der vollständigen Prüfung.
Diese Arbeit beginnt vor dem Maschinenbau. Abschnitt 5.4 fordert eine Überprüfung der SRS vor dem Entwurf: Entsprechen die Sicherheitsfunktionen der Risikobeurteilung, und enthält die Spezifikation alle benötigten Anforderungen?
Die Validierung der SRS nach 10.2 soll Auslassungen, Fehler und Abweichungen gegenüber Anwendung, Bedingungen und vernünftigerweise vorhersehbarer Fehlanwendung erkennen. Eine übersehene Tätigkeit ist wesentlich leichter zu korrigieren, solange die Werkstückaufnahme nur als Zeichnung existiert.
Die Validierung der Realisierung weist die Erfüllung der SRS und aller weiteren anwendbaren Anforderungen nach. Sie nutzt Analysen und Prüfungen nach einem festgelegten Plan. Analysen können parallel zum Entwurf beginnen; abschließende Prüfungen an der physischen Maschine schließen den entsprechenden Teil ab.
Prüfen wir auch die Bewegung, die der Bediener benötigt
An der Schutztür prüfen wir Auslösung, Reaktion, Zeit und das Halten des geforderten Zustands. Danach betrachten wir das Einrichten des Werkstücks. Erlaubt die SRS eine Bewegung bei bestehendem Zugang, muss genau diese Situation geprüft werden.
Es folgen Betriebsartenwechsel, Tätigkeitsende, Reset und Wiederanlauf. Der Bediener muss den vollständigen vereinbarten Arbeitsablauf durchlaufen. Ein erfolgreiches Öffnen der Tür bildet nicht ab, was bei den nächsten Werkstücken geschieht.
In einer Linie beobachten wir zusätzlich die benachbarte Maschine. Die Empfangsbestätigung ihres Steuerungssystems ist nur ein Teil des Nachweises. Zu zeigen bleibt der geforderte Zustand des verbundenen Systems mit Verzögerungen und gegenseitigen Einflüssen.
Getrennte Prüfprotokolle der Lieferanten halten das Material an der Schnittstelle nicht an. Dieses Verhalten ist im vereinbarten Integrationsumfang zu prüfen.
Der Plan umfasst außerdem Analysen und Prüfungen zum Verhalten bei Fehlern, Signalverlust und Änderungen der Energieversorgung. Solche Prüfungen benötigen vorbereitete, kontrollierte Bedingungen und geeignete Schutzmaßnahmen für die fachkundigen Personen, die sie durchführen.
Bei unserer Werkstückaufnahme kehrt damit die Frage nach dem Halten des Werkstücks bei Unterbrechung des Normalbetriebs zurück. Stillsetzen der Bewegung und Halten der Last müssen im selben Prüfergebnis zusammenfinden, nicht in zwei unabhängigen Beschreibungen.
Das Protokoll enthält Prüfbedingung, Kriterium, Ergebnis und Maschinenkonfiguration. Bei Zeitmessungen kommen Methode und Umgebungsbedingungen hinzu. Die nächste Person muss erkennen können, welche Last geprüft und welches Verhalten als ordnungsgemäß bewertet wurde.
Das Programm ist geändert. Das Protokoll erinnert sich noch an die alte Version
Der Automatisierungstechniker hat eine Bewegungsfreigabe korrigiert, doch der Prüfplan kontrolliert weiterhin die frühere Logik. Beide Dokumente können formal abgeschlossen werden, obwohl sie unterschiedliche Konfigurationen beschreiben. Deshalb müssen Anforderung, Entwurf und Nachweise dieselbe bewertete Version betreffen.
Wir verfolgen die Änderung von der SRS bis zu den zugehörigen Ergebnissen und bewerten ihre Auswirkungen auf andere Sicherheitsfunktionen. Eine Korrektur an der Spanneinrichtung verschwindet nicht aus der Bewertung, nur weil sie bereits im Programm steht.
ISO 13849-1 empfiehlt, dass Personen, die die Validierung durchführen, von der Entwicklung der SRP/CS unabhängig sind. Wer nicht am Entwurf beteiligt war, fragt leichter nach einer Annahme, die der Autor längst nicht mehr wahrnimmt. Erforderlich sind Kompetenz, ein geeigneter Prozess und dokumentierte Ergebnisse.
Das bedeutet keine pauschale Pflicht zur externen Zertifizierung jeder Sicherheitsfunktion. Entscheidend sind Umfang und Qualität der tatsächlich durchgeführten Arbeit.
Einige Monate später kommt ein größeres Werkstück
Das größere Werkstück passt auf den Tisch. Auch die Spanneinrichtung lässt sich schließen. In der Halle fällt der vertraute Satz: „Die Maschine schafft das doch.“ Bevor wir es mit einer Bewegung ausprobieren, kehren wir zu den Maschinengrenzen zurück.
Abschnitt 5.3 der ISO 12100 umfasst Verwendungs-, Raum- und Zeitgrenzen sowie weitere Grenzen. Für unsere Arbeitsstation prüfen wir vorgesehene Werkstücke und Werkzeuge, Lasten, Spannverfahren und den benötigten Platz des Bedieners. Die Tischabmessung beschreibt noch keine zulässige Verwendung.
Liegt die neue Aufgabe innerhalb des bewerteten Bereichs, kann sie ein vorgesehenes Umrüsten sein. Dann bestätigen wir, dass die festgelegten Schutzbedingungen auch für diese Konfiguration erfüllt bleiben. Ein größeres Werkstück bedeutet nicht automatisch einen Maschinenumbau.
Muss der Bediener nun aber von einer anderen, vom Reset-Ort nicht einsehbaren Seite zugreifen? Verlängert das neue Werkzeug die Stillsetzzeit über den bei der Auslegung angenommenen Wert? Dann hat sich eine Grundlage der Schutzwirkung geändert.
Im Schaltschrank wurde kein Modul ausgetauscht. Die Komponentenliste wirkt beruhigend. Sie enthält allerdings nicht die Information, von welcher Seite der Bediener seine Hand einführt.
Wir gehen zurück zu den Grenzen, zur Risikobeurteilung und anschließend zu den Anforderungen der SRS. Die Auswirkungen auf Entwurf und bestehende Nachweise werden bewertet. Die neue Aufgabe darf erst nach Umsetzung der notwendigen Schutzmaßnahmen und den erforderlichen Prüfungen und Validierungen freigegeben werden.
Auch die Bedingungen für den dauerhaften Erhalt des Schutzes sind weiterzugeben. Hängt die Wirksamkeit von Prüfungen, Einstellungen, dem Austausch eines Bauteils oder einer bestimmten Nutzungsdauer ab, müssen die zuständigen Personen diese Informationen erhalten.
Für die Instandhaltung ermöglicht die mit Risikobeurteilung und Entwurfsdokumentation verknüpfte SRS, frühere Entscheidungen nachzuvollziehen. Ohne diese Aufzeichnungen bleibt nur der Anruf bei dem Menschen, der vor Jahren das Programm geschrieben hat – und die Hoffnung auf ein gutes Gedächtnis.
Ein Umbau für die neue Nutzung kann sich außerdem als wesentliche Veränderung erweisen. Weder das größere Werkstück noch die Überschreitung bisheriger Grenzen entscheidet dies allein. Maßgeblich sind die rechtlichen Kriterien für die tatsächlich vorgenommene Änderung.
Die Verordnung (EU) 2023/1230 legt diese Kriterien in Artikel 3 Nummer 16 und die Pflichten der Person, die eine wesentliche Veränderung vornimmt, in Artikel 18 fest. Diese Vorschriften gelten ab dem 20. Januar 2027. Eine Aktualisierung der SRS ist nur ein Teil der Arbeit, die dadurch ausgelöst werden kann.
Bei der Abnahme prüfen wir, was die SRS verspricht: Bewegungen, Energien, Zugänge und Schnittstellen. Ändert sich die Aufgabe, müssen Schutzwirkung und bisherige Begründung erneut bewertet werden.
Bevor du den nächsten Gerätesatz bestellst
Kehren wir zum Bediener mit dem Werkstück zurück. Das Durchgehen einer einzigen Tätigkeit hat eine Lücke offengelegt, die weder im Gerätekatalog noch im PL-Bericht auftauchte. Werkstückaufnahme, Zugang, Bewegungen und Verhalten bei Energieverlust mussten gemeinsam festgelegt werden.
Aus diesen Entscheidungen entstand eine echte Entwicklungsaufgabe. Jetzt kann die Steuerung ausgewählt und darauf geprüft werden, ob sie den erforderlichen Schutz umsetzt. Zertifikate und Berechnungen haben endlich einen Bezugspunkt.
Gehe bei der nächsten Maschine diesen Weg mit einer Person, die die Arbeit am Arbeitsplatz kennt. Suche die Tätigkeit und ihre Gefährdungen in der Risikobeurteilung, die Anforderungen in der SRS und anschließend die Antworten im Entwurf und in den Prüfergebnissen. So wird sichtbar, an welcher Stelle die Begründung abgerissen ist.
Und wenn bei fertigem Schaltschrank jemand fragt, ob die Sicherheit nun erledigt sei, zeige ihm, wie der Bediener das Werkstück spannt und was ihn dabei schützt. Das beendet Diskussionen über einzelne Komponenten meist erstaunlich schnell.
Quellen und Geltungsbereich der verwendeten Beispiele
Grundlage sind die nachfolgend genannten Ausgaben und Abschnitte. Die Beispiele zeigen, wie Anforderungen formuliert werden können. Für jede konkrete Maschine sind Anwendungsbereich und einschlägige Anforderungen eigenständig zu prüfen.
- ISO 13849-1:2023 , Sicherheit von Maschinen – Sicherheitsbezogene Teile von Steuerungen – Teil 1: Allgemeine Gestaltungsleitsätze: 4.1–4.6, 5.1–5.4 einschließlich 5.2.1.3 und 5.2.2–5.2.3 sowie Abschnitte 6–10 und 12–13.
- ISO 12100:2010, Sicherheit von Maschinen – Allgemeine Gestaltungsleitsätze – Risikobeurteilung und Risikominderung: Abschnitte 4–6, insbesondere 5.3–5.4.
- ISO 16090-1:2022 , Sicherheit von Werkzeugmaschinen – Bearbeitungszentren, Fräsmaschinen und Transfermaschinen – Teil 1: Sicherheitsanforderungen: 5.2.5.5 zum Spannen von Werkstücken.
- EN 16500:2014 , Maschinen zum Verdichten von Abfallstoffen oder wiederverwertbaren Stoffen – Vertikale Ballenpressen – Sicherheitsanforderungen: 5.1.4 und 5.2.2. Anwendungsbereich: bestimmte geschlossene vertikale Ballenpressen mit manueller Bindung. Die Anforderungen dieser Ausgabe verweisen auf EN ISO 13849-1:2008.
- ISO 11161:2007 mit Amd 1:2010, Sicherheit von Maschinen – Integrierte Fertigungssysteme – Grundlegende Anforderungen: 7.1–7.2, 8.1.4 und 8.8–8.10. Das Beispiel betrifft Tätigkeiten, Schnittstellen und Schutzreichweiten in einem integrierten Fertigungssystem.
- ISO 13855:2024, Sicherheit von Maschinen – Anordnung von Schutzeinrichtungen im Hinblick auf Annäherung des menschlichen Körpers: Anhänge B und D sowie Daten und Bedingungen zur Beurteilung des Stillsetzens.
- Verordnung (EU) 2023/1230 des Europäischen Parlaments und des Rates über Maschinen : Artikel 3 Nummer 16 zur Definition der wesentlichen Veränderung, Artikel 18 zu den Pflichten der verändernden Person und Artikel 54 zu den Anwendungsfristen.