Digitaler Zwilling und Maschinensicherheit: Wann sich eine Simulation vor dem Bau wirklich lohnt

Die Entscheidung, in einen digitalen Zwilling im Bereich Sicherheit zu investieren, sollte nicht aus einem Trend zu Visualisierungen oder unter dem Schlagwort „Digitalisierung des Projekts“ heraus getroffen werden. Sinnvoll wird ein solcher Ansatz erst dann, wenn das Modell frühzeitig sichtbar macht, was nach dem Aufbau zu einer teuren Nacharbeit wird: ein Konflikt zwischen Maschinenbewegung und menschlichem Zugang, eine unklare Wiederanlaufsequenz, ein schlecht geplanter Eingriff bei einer Blockade oder eine Zonenstruktur, die formal korrekt wirkt, in der Praxis aber das Umgehen von Schutzeinrichtungen begünstigt. Deshalb lautet die eigentliche Frage nicht, ob sich eine Simulation vor dem Bau lohnt, sondern wann sie Projektentscheidungen tatsächlich beeinflusst und dazu beiträgt, Projektrisiken zu verringern, bevor sich diese in Konstruktion, Steuerungsprogramm und der Aufteilung der Verantwortlichkeiten zwischen Lieferanten verfestigen.

Die teuersten Fehler entstehen vor der Montage

In der Maschinensicherheit entstehen die kostspieligsten Probleme nur selten erst bei der ersten Inbetriebnahme. Meist sind sie viel früher angelegt: in der funktionalen Architektur der Maschine oder Linie, in der Reihenfolge und den Wechselwirkungen der Bewegungen, in der Art des Zugangs zu Gefahrenbereichen, in der Logik von Umrüstungen, in den vorgesehenen Eingriffen des Bedieners und in den Annahmen für die Instandhaltung. Über den Wert eines digitalen Zwillings entscheidet daher nicht allein, dass ein Modell existiert, sondern der Zeitpunkt, zu dem sich auf seiner Grundlage eine bessere Entscheidung treffen lässt.

Wenn die Simulation vor der Bestellung von Komponenten, vor dem Einfrieren des Anlagenlayouts und vor der endgültigen Aufteilung der Verantwortlichkeiten zwischen Lieferanten verfügbar ist, wird sie zu einem Instrument zur Begrenzung von Projektrisiken. Kommt sie erst später zum Einsatz, ordnet sie häufig nur noch das, was durch Abmessungen, Schnittstellen, bestellte Komponenten und festgelegte Ausführungslösungen ohnehin bereits entschieden ist. In einer solchen Konstellation ist ihr Einfluss auf die Sicherheit naturgemäß begrenzt.

Aus Projektsicht ist daher nicht entscheidend, ob das Modell die Maschine gut „zeigt“, sondern ob es sicherheitsrelevante Entscheidungen abbildet. Ein brauchbares Modell sollte Bewegungsabläufe, Betriebsarten, Eintrittspunkte des Menschen in den Prozess sowie die Zusammenhänge zwischen trennenden Schutzeinrichtungen, Anwesenheitserkennung, Verriegelungen und sicherheitsbezogenen Steuerungsfunktionen darstellen. Erst dann lässt sich prüfen, ob die Risikobeurteilung in der Konzeptphase die tatsächlichen Betriebssituationen erfasst und nicht nur den nominalen Zyklusablauf.

In dieser Phase treten genau die Fragen zutage, die nach dem Aufbau am teuersten werden: Wird der Bediener eine Schutzeinrichtung umgehen, um eine Blockade zu beseitigen? Hat das Servicepersonal sicheren Zugang zu Einstellpunkten? Erzeugt der Handbetrieb nicht unbeabsichtigt einen Weg zur Umgehung von Schutzeinrichtungen? Erzwingt das Layout der Linie den Zutritt in den Arbeitsbereich einer benachbarten Maschine? Der größte Nutzen der Simulation liegt nicht darin, alles vorherzusagen, sondern Konflikte zwischen Produktivität, Ergonomie und Sicherheit offenzulegen, bevor daraus eine konstruktive Änderung in der Halle oder ein Streit mit dem Lieferanten wird.

In der Praxis zeigt sich das besonders dort, wo nach der Montage Schutzeinrichtungen umgebaut, Sensoren versetzt, Servicezugänge korrigiert oder die Sequenzlogik geändert werden müssen, weil sich eine formal sichere Lösung im täglichen Betrieb als nicht praktikabel erweist. Eine solche Korrektur ist nicht nur mechanisch oder programmiertechnisch aufwendig. Sie bedeutet auch weitere Iterationen im Stationsdesign, erneute Abstimmungen mit Produktion und Instandhaltung und mitunter eine Änderung der Annahmen, die zuvor in der Risikobeurteilung getroffen wurden.

Deshalb sollte der Nutzen einer Simulation nicht anhand allgemeiner „Einsparungen durch Digitalisierung“ bewertet werden, sondern anhand konkreter Projektkennzahlen: der Anzahl der Zugangspunkte, die analysiert werden müssen, der Anzahl der Betriebsarten, die eine separate Bewertung erfordern, und der Anzahl der Iterationen des Stationslayouts vor der Ausführungsbestellung. Daran zeigt sich, ob das Modell die Unsicherheit dort tatsächlich reduziert, wo spätere Änderungen am schwierigsten sind, und ob eine realistische Budgetierung von Sicherheit und Konformität möglich wird.

In diesem Sinne ersetzt der digitale Zwilling weder die Konformitätsbewertung von Maschinen noch die technische Dokumentation. Er kann jedoch frühzeitig Grundlagen für weitere Entscheidungen liefern und Bereiche strukturieren, die nach dem Aufbau nur noch schwieriger, teurer und konfliktträchtiger werden.

Wo Kosten und Risiko tatsächlich steigen

Die größten Kosten in Sicherheitsprojekten entstehen nur selten durch die Auswahl von Schutzeinrichtungen, Lichtvorhängen oder Verriegelungen selbst. Sie steigen dann, wenn sich erst nach dem Aufbau des Systems herausstellt, dass die tatsächliche Arbeit des Menschen nicht in das zugrunde gelegte Maschinenmodell passt. Die meisten Probleme entstehen an der Schnittstelle von Geometrie, Bewegung und Prozessverhalten: dort, wo der Bediener ein Teil erreichen, den Zustand der Zelle erkennen, einen Eingriffsbereich betreten oder eine Tätigkeit in einem kurzen Übergangszustand ausführen muss.

Werden solche Situationen vor dem Bau nicht geprüft, zeigen sich bei der Montage tote Sichtbereiche, Bewegungskollisionen, unklare Abläufe und Zugänge, die formal vorhanden sind, in der Praxis aber zu unbequemer oder riskanter Arbeit zwingen. Dann dient die Risikobeurteilung nicht mehr dazu, das Projekt zu strukturieren, sondern wird zur verspäteten Reaktion auf Probleme, die bereits in der Konstruktion angelegt sind.

Aus Sicht des Projektteams sind nicht die nominalen, sondern die nicht nominalen Szenarien am schwierigsten. Gerade sie weichen am häufigsten von den Annahmen ab, die im Funktionsschema getroffen wurden. Das Beseitigen von Blockaden, Reinigen, Umrüsten, der Wiederanlauf nach einem Stopp, der Servicezugang und Arbeiten in Sonderbetriebsarten laufen selten genau so ab, wie es in der Konzeptphase vorgesehen war. In der Praxis entsteht dann der Bedarf, ein Bauteil abzustützen, eine Achse manuell zurückzufahren, vorübergehend einen gemeinsamen Bereich zu betreten oder den Wiederanlauf von einer Stelle aus zu bestätigen, von der aus nicht der gesamte Gefahrenbereich einsehbar ist.

Genau hier hat der digitale Zwilling operativen Nutzen. Er ermöglicht zu prüfen, ob eine Schutzmaßnahme nicht nur vorgesehen, sondern auch im realen Betrieb umsetzbar ist. Eine Schutzeinrichtung, die eine Instandhaltungstätigkeit unmöglich macht, ein Reset-Taster außerhalb des logisch sinnvollen Sichtfelds oder ein Zugang, der zum Umgehen von Schutzeinrichtungen verleitet, sind keine kleinen ergonomischen Mängel. Sie sind Quellen vorhersehbarer Abweichungen vom Verfahren und damit zugleich Ursachen für Risiken, Verzögerungen und spätere Streitigkeiten über Verantwortlichkeiten.

Ein guter Test für den Nutzen einer Simulation ist ein einfacher Fall aus der Konzeptphase einer Linie. Vorgesehen war ein seitlicher Zugang zum Beseitigen von Blockaden bei der Übergabe eines Teils zwischen zwei Maschinen, während der Reset nach dem Eingriff am Hauptbedienpult angeordnet wurde. Auf der Zeichnung wirkt die Lösung korrekt. Erst beim Durchspielen des Eingriffsszenarios im Modell wird sichtbar, dass der Bediener nach dem Lösen des Teils keine vollständige Sicht auf den Übergabebereich hat, die zweite Maschine ihre eigene Sequenz bereits beenden kann und der Weg zum Reset verlangt, den Ort zu verlassen, von dem aus der sichere Zustand eigentlich bestätigt werden müsste. Eine Änderung vor dem Bau bedeutet in der Regel eine Korrektur der Lage des Zugangs, der Sequenzlogik und des Bestätigungspunkts. Dieselbe Änderung nach der Montage kann den Umbau von Schutzeinrichtungen, Kabeltrassen, Steuerungsprogramm und Dokumentation umfassen und bei mehreren Lieferanten zusätzlich die Klärung erfordern, wer für die Schnittstelle verantwortlich ist und welcher Teil der Anlage geändert werden muss.

Deshalb lohnt es sich, die quantifizierbaren Elemente zu messen: die Anzahl manueller Eingriffe pro Schicht, die Anzahl der Zugangspunkte, die Anzahl der Szenarien zur Blockadenbeseitigung und die Anzahl der Schnittstellen zwischen Maschinen. Sie zeigen, an welchen Stellen fehlende frühzeitige Verifikation Kosten und Unklarheiten erzeugt.

In Roboterlinien und integrierten Systemen steigt der Wert der Simulation mit der Zahl der Abhängigkeiten. Das Risiko geht dort immer seltener von einer einzelnen, isoliert betrachteten Maschine aus und immer häufiger von einer Abfolge von Wechselwirkungen: der Teileübergabe, der Freigabe eines gemeinsamen Arbeitsbereichs, der gegenseitigen Bereitschaftsbestätigung, dem Verhalten nach einem Not-Halt und den Bedingungen für die Wiederaufnahme der Bewegung. Ohne vorherige Verifikation können Anlagen abgenommen werden, die für sich genommen korrekt erscheinen, zusammen jedoch mehrdeutige Übergangszustände und ungeklärte Verantwortlichkeiten erzeugen.

Wenn das Modell Entscheidungen tatsächlich unterstützen soll, muss es auch Störungs- und Eingriffssituationen abdecken, und seine Überprüfung sollte unter Beteiligung von Bedienern und der Instandhaltung erfolgen. Sie erkennen am frühesten die Stellen, an denen das Projekt von der Praxis abzuweichen beginnt.

Wann sich die Investition operativ lohnt

Die Investition in einen digitalen Zwilling lohnt sich dann, wenn sich damit Entscheidungen klären lassen, deren Fehler nach der Montage mechanisch, steuerungstechnisch oder organisatorisch teuer werden. Entscheidend ist also nicht allein der Reifegrad des Werkzeugs, sondern ob das Modell die grundlegenden Projektfragen beantwortet: wie komplex die Bewegung ist, wie viele Interaktionen zwischen Mensch und Maschine bestehen, wie relevant Sonderbetriebsarten sind, wie weit die Integration mehrerer Anlagen reicht und wie schmerzhaft eine Änderung nach Aufbau und Inbetriebnahme des Systems wäre.

Führen die Antworten zu einer großen Zahl von Übergangszuständen, häufigen Zutritten zu Bereichen, umfangreichen Umrüst-, Reinigungs- oder Blockadenbeseitigungsvorgängen sowie hohen Kosten für den Umbau von Schutzeinrichtungen, Antrieben oder der Steuerungslogik, ist die Simulation keine Ausgabe „für alle Fälle“ mehr. Sie wird zu einem Instrument zur Begrenzung des Projektrisikos.

Das bedeutet jedoch nicht, dass jede Maschine eine vollständige Abbildung des gesamten Objekts erfordert. In vielen Fällen ist ein auf ausgewählte Risiken ausgerichtetes Modell sinnvoller, mit einem minimalen Umfang, der für die Entscheidungsfindung erforderlich ist. Manchmal reicht es aus, die Zugangsbereiche und die Sicht des Bedieners zu prüfen. In einem anderen Projekt sind die Bewegungssequenz bei der Teileentnahme, die Anordnung von Schutzeinrichtungen und Verriegelungseinrichtungen oder der Ablauf von Servicearbeiten bei abgeschalteter und wiederhergestellter Energieversorgung entscheidend.

Diese Eingrenzung des Umfangs ist besonders in der Angebots- und Konzeptphase wichtig, wenn das Team vor allem fehlerhafte Annahmen eliminieren sollte, statt ein umfangreiches Modell mit geringem Entscheidungsnutzen aufzubauen. Die richtige Frage lautet daher nicht, ob ein Zwilling „im vollen Umfang“ erstellt werden soll, sondern welcher minimale Modellumfang ausreicht, um offene Risiken vor der Bestellung der Anlagen zu schließen und die Schlussfolgerungen in die technischen Anforderungen an den Lieferanten aufzunehmen.

Voraussetzung für den Nutzen einer Simulation ist auch eine klar geregelte Entscheidungsverantwortung. Wenn von vornherein nicht feststeht, welche Fragen das Modell beantworten soll und wer die Schlussfolgerungen auf Seiten des Investors und des Lieferanten freigibt, wird aus dem Modell schnell nur eine Präsentation ohne realen Einfluss auf das Projekt. Deshalb sollte vor Beginn der Arbeiten festgehalten werden, ob die Simulation die Eignung des Schutzkonzepts bestätigen, die Durchführbarkeit von Eingriffen ohne Umgehung der Schutzeinrichtungen nachweisen, die Logik des sicheren Wiederanlaufs nach einem Stopp prüfen oder die Stellen aufdecken soll, an denen Mensch und Automatisierung in Konflikt geraten.

In der Praxis bewährt sich die Verbindung des Modells mit einer workshopgestützten Analyse von Nutzungsszenarien, die gemeinsam von Konstruktion, Automatisierung, Sicherheit, Produktion und Instandhaltung durchgeführt wird. Dann kommentieren die Beteiligten nicht nur die Grafik, sondern gehen Szenarien des Normal- und Störbetriebs durch, und die Ergebnisse lassen sich stufenweise abschließen: in der Konzeptphase, vor der Ausführungsplanung und vor der Abnahme, etwa im Zusammenhang mit einem Factory Acceptance Test.

• welche Szenarien vor der Bestellung der Anlagen verifiziert werden müssen,
• welche konstruktiven Änderungen sich aus der Modellprüfung ergeben haben,
• wie viele Risiken nach Abschluss des vereinbarten Simulationsumfangs noch offen bleiben.

Den größten Nutzen stiftet daher nicht das räumliche Bild an sich, sondern die strukturierte Klärung von Projektkonflikten, bevor sie in die Halle verlagert werden. Wenn das Team eine Zelle mit Roboter, Förderer und einem Arbeitsplatz für manuelle Eingriffe analysiert, sollte das Modell sehr konkrete Fragen beantworten: Erzwingt der Zugang zur Zone beim Beseitigen einer Blockade die Umgehung von Schutzeinrichtungen, führt der Wiederanlauf nach einem Not-Halt nicht dazu, dass ein benachbartes Gerät für das Bedienpersonal überraschend startet, und hat der Service tatsächlich Zugang zu Einstellpunkten, ohne Schutzeinrichtungen demontieren zu müssen?

In dieser Phase werden auch Kostenkategorien sichtbar, die in einem vereinfachten Terminplan meist nicht auftauchen: Umbauten an Schutzzäunen und Fundamenten, Änderungen an der Verkabelung und an den Steuerungseingängen, Softwareanpassungen, zusätzliche Abstimmungen zur Verantwortlichkeit zwischen Lieferanten sowie Verschiebungen der Abnahme durch die erneute Prüfung der Schutzmaßnahmen. Das ist auch der Zeitpunkt für die Entscheidung, ob das Modell mit eigenen Ressourcen erstellt oder vom Integrator als Bestandteil des abgestimmten Leistungsumfangs verlangt werden soll und in manchen Projekten auch als Abnahmeanforderung.

Damit diese Arbeit nicht in Besprechungen versandet, muss der Modellumfang dokumentatorisch abgeschlossen werden. Die Ergebnisse der Simulation sollten in die technischen Anforderungen, Funktionsschemata, Vorgaben für die Anleitung und in die Unterlagen zur Unterstützung der Konformitätsbewertung zurückfließen. Der digitale Zwilling ersetzt weder die Risikobeurteilung noch die spätere Konformitätsbewertung, kann aber die Eingangsunterlagen strukturieren und aufzeigen, wo die Annahmen zu den Sicherheitsfunktionen der Steuerung, zum Zugang zu Zonen und zum Verhalten in Sonderbetriebsarten präzisiert werden müssen. Für die Formulierung solcher Anforderungen kann auch eine saubere Benutzeranforderungsspezifikation hilfreich sein.

Zuerst die Projektentscheidung, dann der normative Bezug

In der Praxis empfiehlt sich eine einfache Reihenfolge: zuerst klären, wofür das Modell dienen soll, und erst danach auf formale Anforderungen Bezug nehmen. Der digitale Zwilling ist kein eigenständiges Mittel zum Nachweis der Konformität und ersetzt weder die Risikobeurteilung noch die spätere Konformitätsbewertung von Maschinen vor der CE-Kennzeichnung. Seine Rolle liegt früher und ist praktischer: Annahmen überprüfen, Konflikte zwischen Technologie, Zugang, Instandhaltung und Arbeitsorganisation sichtbar machen und Schutzmaßnahmen so auslegen, bevor sie zu einer kostspieligen Nacharbeit werden.

Diese Unterscheidung schafft Ordnung im Projekt. Wenn das Team das Modell als eigenständiges Nachweisinstrument behandelt, entstehen leicht eindrucksvolle Bilder, die sich jedoch nicht in technische Anforderungen, Sicherheitsfunktionen, Nutzungsgrenzen und die technische Dokumentation der Maschine übersetzen lassen. Für Hersteller oder Integratoren in Polen und der EU ist eine Simulation erst dann wirklich brauchbar, wenn sich ihr Ergebnis in der Sprache des Projekts festhalten lässt.

Aus dem Modell müssen konkrete Entscheidungen folgen: wo der Zugang zur Zone verlaufen soll, welche Betriebsarten zulässig sind, wann Bewegungen freigegeben werden dürfen, welche Bedingungen für den Wiederanlauf akzeptabel sind und welche Annahmen ausdrücklich in die Abnahmeanforderungen übernommen werden müssen. Das ist auch der richtige Zeitpunkt für die Aufteilung der Verantwortlichkeiten zwischen Lieferanten. Das digitale Modell bleibt ein Planungswerkzeug, die Risikobeurteilung ist der Prozess zur Identifikation von Gefährdungen und zur Auswahl von Maßnahmen zur Risikominderung, und die Konformitätsbewertung ist die formale Bestätigung der Erfüllung der anwendbaren Anforderungen. Werden diese Ebenen vermischt, führt das meist dazu, dass zwar viel Material vorliegt, sein Nutzen für die Abnahme aber gering bleibt.

Ein gutes Beispiel muss keine hochentwickelte Technologie betreffen. Es genügt eine gewöhnliche Zelle mit automatischer Werkstückzuführung und gelegentlichem Zutritt des Bedieners zur Beseitigung von Blockaden. Im Modell zeigte sich, dass der ursprünglich vorgesehene Servicezugang eine unklare Abfolge von Stopp und Wiederanlauf erzwingt und zugleich dazu verleitet, die vorgesehenen Betriebsannahmen im Handbetrieb zu umgehen. Noch bevor die Konstruktion entstand, wurde daher das Konzept geändert: Der Zugangspunkt wurde verlegt, die Reihenfolge der Tätigkeiten vereinfacht und Fälle kurzer Eingriffe von einem vollständigen Zutritt zur Zone getrennt. Die Simulation selbst hat hier nichts „freigegeben“, sie hat aber ermöglicht, frühzeitig eine Entscheidung zu treffen, die spätere mechanische Nacharbeiten begrenzte, die Anforderungen an die Steuerung präzisierte und die Diskussion über die Verantwortung von Hersteller und Integrator für die gewählte Lösung vereinfachte.

Erst in diesem Stadium ist ein normativer Bezug sinnvoll. Die Ergebnisse aus dem Modell sollten in die Risikobeurteilung, die Beschreibung der festgelegten Schutzmaßnahmen, die Vorgaben für die Betriebsanleitung sowie in die technische Dokumentation einfließen. In der Praxis empfiehlt es sich, nicht nur die Animation zu archivieren, sondern den Entscheidungsweg nachvollziehbar festzuhalten: die Modellversion, den Umfang der angenommenen Vereinfachungen, Arbeits- und Eingriffsszenarien, in der Simulation erkannte Kollisionen, die darauf basierenden Konstruktionsentscheidungen sowie die Information, wer nach Projektänderungen für die Aktualität des Modells verantwortlich ist.

Im Konformitätsbewertungsprozess ersetzt ein solches Material die Verifizierung am realen Objekt nicht, es strukturiert jedoch die Begründung dafür, warum eine bestimmte Lösung gewählt wurde und an welcher Stelle der Risikobeurteilung sie betrachtet wurde. Das ist besonders wichtig bei Projekten mit mehreren Lieferanten, bei denen ein fehlender konsistenter Entscheidungsnachweis schnell zu Streit über Leistungsumfang und Änderungskosten führt.

Die Schlussfolgerung ist nüchtern. In Simulationen sollte man nicht deshalb investieren, weil sie zu einem obligatorischen Bestandteil der Projektpräsentation geworden sind, sondern weil manche Sicherheitsfehler nur dann günstig zu beheben sind, solange sie ausschließlich im Projekt existieren. Wenn das Modell dabei hilft, Entscheidungen über die Zugangsarchitektur, die Arbeitsfolge, Sicherheitsfunktionen und Nutzungsbeschränkungen zu treffen, unterstützt es die Risikobeurteilung und die Vorbereitung auf die Konformitätsbewertung tatsächlich. Wenn es bei einer Visualisierung ohne Übertragung in technische Anforderungen und die Dokumentation des Herstellers oder Integrators bleibt, wird es zu einem Kostenfaktor, der den Weg zur Abnahme nicht verkürzt und die Maschinensicherheit nicht verbessert.