Schutz vor unerwartetem Anlauf (ISO 14118) – Analyse von Energieabschaltsystemen

Warum dieses Thema heute wichtig ist

Der Schutz gegen unerwartetes Anlaufen ist heute kein Ausführungsdetail mehr, das sich bis zum Ende des Projekts aufschieben lässt. In der Praxis beeinflusst die Entscheidung, wie Energie abgeschaltet und abgebaut wird und wie der sichere Zustand bei Umrüstungen, Reinigung, Störungsbeseitigung und Servicearbeiten bestätigt wird, zugleich die Sicherheit von Personen, die Architektur der Steuerung, die Abnahme der Maschine und die Verantwortung auf Seiten des Herstellers oder Integrators. Wird dieses Thema nur als Frage des „Hauptschalters“ oder lediglich des Antriebsstillstands behandelt, muss das Projekt in der Regel nachgebessert werden: Es werden zusätzliche Ventile, Verriegelungen, Trennstellen, Änderungen an den Steuerungsabläufen und Korrekturen in der technischen Dokumentation erforderlich. Das sind keine kostenneutralen Anpassungen. Meist bedeuten sie eine Verschiebung des Inbetriebnahmetermins, Streit über den Lieferumfang und eine schwierigere Begründung der gewählten Schutzmaßnahmen im Rahmen der CE-Zertifizierung von Maschinen.

Der Grund ist einfach: Unerwartetes Anlaufen ist nur selten die Folge eines einzelnen Fehlers. Meist entsteht es aus einer falschen Planungsannahme, nämlich dass das Stoppen der Bewegung gleichbedeutend mit der Beseitigung der Gefährdung sei. Tatsächlich bleiben bei vielen Maschinen Restenergie, eine selbsttätige Wiederkehr der Versorgung, das Absinken von Teilen durch Schwerkraft, ein Wiederanlauf nach Quittierung eines Fehlers oder Eingriffe über mehrere unabhängige Steuerungsquellen das eigentliche Problem. Für das Projektteam bedeutet das, drei Fragen klar voneinander zu trennen, die in der Praxis oft vermischt werden: Was muss gestoppt werden, was muss isoliert werden und was muss während des gesamten Aufenthalts einer Person im Gefahrenbereich in einem sicheren Zustand gehalten werden. Genau hier fallen die Entscheidungen, die später die Kosten für Schaltschrank, Pneumatik, Hydraulik, Serviceverfahren und Validierung bestimmen.

Das nützlichste Entscheidungskriterium in dieser Phase lautet: Gibt es nach dem Betreten des Gefahrenbereichs irgendeinen Weg, über den eine gefährliche Bewegung ohne bewusste Handlung der Person und außerhalb ihrer Kontrolle entstehen kann? Wenn die Antwort nicht eindeutig nein lautet, reicht ein rein funktionaler Stopp nicht aus; dann müssen die Energieabschaltung und die Sicherung gegen unbeabsichtigte Wiederzuschaltung analysiert werden. Sinnvoll ist eine Bewertung nicht anhand von Erklärungen, sondern anhand beobachtbarer Projektindikatoren: der Anzahl der Energiequellen, die isoliert werden müssen, der Zeit bis zum Erreichen des sicheren Zustands, der Art der Bestätigung des Energieabbaus, der Zahl der Bedienereingriffe außerhalb des Produktionsbetriebs sowie der Zahl der Stellen, an denen das Personal versucht sein könnte, die Schutzeinrichtung zu umgehen, weil das korrekte Verfahren zu langsam oder zu umständlich ist. Letzteres berührt bereits unmittelbar das Thema Manipulation von Schutzeinrichtungen und Umgehungen, denn eine falsch gewählte Energieabschaltung beseitigt das Problem sehr oft nicht, sondern verlagert es in den täglichen Betrieb.

Ein gutes Beispiel ist eine Station mit beweglicher Schutzeinrichtung, bei der nach dem Öffnen der Schutzeinrichtung der Antrieb gestoppt wird, der vertikale Zylinder jedoch unter Druck bleibt und die Anlage nach dem Schließen der Schutzeinrichtung in den Automatikzyklus zurückkehrt. Formal sollte der Bediener nicht tiefer in den Bereich eingreifen, tatsächlich wird er aber ein Teil entnehmen, einen Sensor reinigen oder die Position eines Greifers korrigieren. Wenn in einem solchen Szenario keine kontrollierte Abschaltung und kein kontrollierter Energieabbau sowie keine Bedingungen für den Wiederanlauf vorgesehen sind, entsteht die Gefährdung nicht im normalen Produktionsbetrieb, sondern gerade bei kurzen, wiederkehrenden Eingriffen. Aus Projektsicht ist das der Punkt, an dem entschieden werden muss, ob das Problem durch ein korrekt ausgelegtes System zur Energieabschaltung gelöst wird oder ob das Thema in den Bereich verriegelnder Schutzeinrichtungen und der Begrenzung von Umgehungsmöglichkeiten übergeht. Sind die Nutzungsannahmen unklar, ergibt sich die Antwort nicht aus der Intuition, sondern aus einer belastbaren Gefährdungsidentifizierung gemäß ISO 12100, die praxisnah durchgeführt wird und die tatsächlich an der Maschine ausgeführten Tätigkeiten berücksichtigt.

Erst vor diesem Hintergrund lassen sich die Anforderungen der ISO 14118 sinnvoll einordnen. Die Norm ersetzt die Risikobeurteilung nicht und liefert auch kein einziges universelles Schema für die Energieabschaltung; sie strukturiert jedoch die Denkweise zur Verhinderung unerwarteten Anlaufens in vorhersehbaren Betriebszuständen und Eingriffssituationen. In der Praxis muss sie zusammen mit der Risikobeurteilung nach dem in ISO/TR 14121-2 beschriebenen Ansatz für die Praxis gelesen werden und, wenn es um Schutzeinrichtungen und Verriegelungen geht, zusammen mit den Anforderungen zur Begrenzung von Manipulationen. Das ist auch im Hinblick auf Verantwortlichkeiten wichtig: Wird eine Maschine als Einheit, Linie oder als unvollständige Maschine zur Integration geliefert, müssen die Verantwortungsgrenzen für die Funktionen der Energieabschaltung so präzise beschrieben sein, dass zwischen den Lieferanten keine Lücke entsteht. Genau deshalb erfordert dieses Thema jetzt eine Entscheidung und nicht erst nach der Montage: Das nachträgliche Ergänzen einer sicheren Abschaltung in ein fertiges Konzept kostet fast immer mehr, als sie von Anfang an korrekt zu definieren.

Wo Kosten oder Risiken am häufigsten steigen

Bei Projekten zum Schutz vor unerwartetem Anlauf steigen die Kosten nur selten deshalb, weil jemand „zu viel Sicherheit“ vorgesehen hat. Deutlich häufiger liegt das Problem in einer falsch formulierten Ausgangsfrage: Muss die Energie tatsächlich abgeschaltet werden, welche Energiequellen müssen wirklich abgebaut werden, wer führt die Tätigkeit aus und in welchem Zustand soll die Maschine nach dem Eingriff verbleiben? Sind diese Annahmen nicht ausreichend definiert, entwickelt das Team eine scheinbar einfache Lösung und kommt nach den Abnahmeversuchen, nach Hinweisen des Nutzers oder nach der Analyse eines Unfallszenarios darauf zurück. Dann entstehen die teuersten Korrekturen: Änderungen an der Steuerungsarchitektur, Umbauten an Pneumatik oder Hydraulik, Nachrüstungen an Schaltschränken, neue Verfahren und eine erneute Klärung der Verantwortlichkeiten zwischen Maschinenlieferant, Integrator und Endanwender. Das praktische Bewertungskriterium ist hier eindeutig: Wenn das Team nicht beschreiben kann, welcher energetische Zustand der Maschine für eine konkrete Eingriffstätigkeit erforderlich ist, ist die Entscheidung über die Art der Energieabschaltung noch verfrüht.

Eine zweite Kostenquelle ist die Gleichsetzung von Energieabschaltung mit dem bloßen Stillsetzen von Bewegungen. Das ist ein Fehler, der besonders häufig dort auftritt, wo mehr als ein Medium oder gespeicherte Energie vorhanden ist: Restdruck, das Absinken von Teilen durch Schwerkraft, Nachlaufbewegungen, Federn, Hydrospeicher, Antriebe zur Positionshaltung. In solchen Systemen bedeutet Ausschalten nicht zwangsläufig einen sicheren Zustand für die Person, die umrüstet, reinigt oder eine Blockade beseitigt. Die Konsequenz für die Auslegung ist einfach: Wenn die Abschaltfunktion den Abbau von Restenergie oder die kontrollierte Aufrechterhaltung eines sicheren Zustands nicht umfasst, ist nicht nur mit einer Nacharbeit an der Anlage zu rechnen, sondern auch mit Verantwortung für falsch festgelegte Nutzungsgrenzen. In der Praxis sollten vor der Freigabe des Konzepts drei Punkte bewertet werden: Bleibt nach dem Abschalten Energie zurück, die eine Bewegung auslösen kann, kann der Bediener dies ohne Demontage von Schutzeinrichtungen überprüfen und stellt die Wiederherstellung der Versorgung die Startmöglichkeit selbsttätig wieder her?

Ein typisches Beispiel ist eine Station mit pneumatischen Antrieben, bei der ein zentrales Absperrventil als ausreichende Lösung angenommen wurde. Im Schaltplan sieht das korrekt aus, im Betrieb zeigt sich jedoch, dass ein Teil der Zylinder seine Position durch lokal eingeschlossenen Druck hält und dass das System nach dem erneuten Zuschalten der Versorgung schneller in den Bereitschaftszustand zurückkehrt, als es die Tätigkeitsfolge des Personals vorsieht. Dann entstehen die Kosten nicht nur durch zusätzliche Entlüftungsventile oder mechanische Verriegelungen. Hinzu kommen ein gestoppter Abnahmeprozess, die Aktualisierung der Dokumentation, die erneute Prüfung der Steuerungslogik und mitunter auch Änderungen an der Betriebsanleitung und an Schulungen. Genau an diesem Punkt wird aus der einfachen Auswahl eines Abschaltelements eine Frage der praktischen Risikobeurteilung nach ISO 12100: Sie muss sich auf reale Tätigkeiten, vorhersehbare menschliche Fehler und die Art des Zugangs zum Gefahrenbereich beziehen. In hydraulischen Systemen kommt zusätzlich die Frage hinzu, ob der Energieabbau die Laststabilität verschlechtert; dann muss die Konstruktionsentscheidung zusammen mit den Anforderungen an eine sichere Führung und Aufrechterhaltung des Drucks im System betrachtet werden.

Erst auf dieser Ebene schafft der Bezug auf ISO 14118 Ordnung in der Entscheidung, ersetzt sie aber nicht. Die Norm gibt die Richtung vor: unerwarteten Anlauf durch geeignete Abschaltung, den Abbau oder die Kontrolle von Energie sowie durch organisatorische und technische Maßnahmen zu verhindern, die den vorhersehbaren Eingriffen angemessen sind. Wenn sich das Team jedoch darüber streitet, ob eine bestimmte Tätigkeit noch Bedienung bei stillgesetzter Maschine ist oder bereits ein Eingriff, der eine vollständige Energieisolierung erfordert, ist das ein Signal, zur in der Praxis angewandten Methodik der Risikobeurteilung nach ISO 12100 zurückzukehren, statt die Antwort allein im Schaltplan zu suchen. Wenn die Lösung wiederum auf dem Öffnen einer Schutzeinrichtung und einer Zugangsverriegelung beruht, taucht schnell ein zweites Problem auf: ob die Konstruktion nicht dazu verleitet, die Schutzeinrichtung zu umgehen, weil das Abschaltverfahren zu langsam oder zu umständlich ist. Dann geht das Thema ganz natürlich auch in die Vermeidung von Manipulationen an Schutzeinrichtungen über. Für den Projektleiter lautet das wichtigste Entscheidungskriterium daher nicht „welches Gerät soll eingesetzt werden“, sondern „liefert die gewählte Art der Energieabschaltung für die konkrete Tätigkeit und den konkreten Zugang einen wiederholbaren, überprüfbaren sicheren Zustand“? Wenn die Antwort darauf nicht eindeutig ist, steigen die Kosten später – in der Regel in einer weniger kontrollierbaren Phase des Projekts.

Wie man das Thema in der Praxis angeht

In der Praxis beginnt das Thema Schutz vor unerwartetem Anlauf nicht mit der Auswahl eines Trennschalters, Ventils oder einer Außerbetriebnahme-Prozedur, sondern mit einer klaren Entscheidung darüber, welche Eingriffe an der Maschine tatsächlich durchgeführt werden und in welchem technischen Zustand sie sich dabei befinden muss. Diese Festlegung wirkt sich unmittelbar auf die Architektur des Systems, den Umfang der Dokumentation, die Inbetriebnahmezeit und die Verantwortung auf Seiten des Herstellers oder Integrators aus. Geht das Projektteam von einer zu weit gefassten Annahme aus und behandelt eine Servicetätigkeit wie eine normale Bedienhandlung im Stillstand, kehrt das Risiko bei der Abnahme, Validierung oder erst nach der Übergabe der Maschine in den Betrieb zurück. Ist die Annahme dagegen übermäßig restriktiv, steigen die Kosten durch aufwendigere Abschaltkonzepte, zusätzliche Geräte, komplexere Abläufe und eine geringere technische Verfügbarkeit. Deshalb sollte es in der Praxis nur ein Entscheidungskriterium geben: Lässt sich für die konkrete Tätigkeit ein sicherer Zustand erreichen und nachweisen, der unbeabsichtigte Bewegungen sowie eine unkontrollierte Energiefreisetzung ausschließt?

Das bedeutet, dass der Manager oder Product Owner vom Team eine Beschreibung der Tätigkeiten verlangen sollte – nicht in der Sprache der Maschinenfunktionen, sondern in der Sprache von Zugang und Energie. Es muss klar sein, wer den Gefahrenbereich betritt, was berührt wird, welche Schutzeinrichtungen geöffnet werden, welche Antriebe eine Restbewegung ausführen können und wo Druck, Schwerkraftabstützung oder in elastischen Elementen gespeicherte Energie verbleibt. Erst auf dieser Grundlage lässt sich entscheiden, ob das Abschalten eines einzigen Mediums ausreicht oder ob mehrere Energiequellen isoliert, Energie abgebaut und gegen Wiedereinschalten gesichert werden müssen. An diesem Punkt geht das Thema ganz natürlich in die Risikobeurteilung in der Praxis über: Wenn es Streit über die Grenze zwischen „Stillsetzen für einen Eingriff“ und „Arbeiten mit erforderlicher vollständiger Isolation“ gibt, dann ist das kein Problem des Schaltgeräts mehr, sondern eine Frage der Gefährdungsklassifizierung, der vorhersehbaren Verwendung und falsch angenommener Nutzerverhaltensweisen.

Ein gutes Beispiel ist ein Arbeitsplatz mit elektrischem Antrieb und pneumatischen Zylindern, in den der Bediener regelmäßig eingreift, um Materialstaus zu beseitigen. Formal kann die Maschine stillgesetzt sein, doch das allein entscheidet noch nicht über die Sicherheit des Eingriffs. Bleibt nach dem Stillsetzen ein Druck bestehen, der ein Arbeitselement bewegen kann, oder kann der Antrieb durch die Automatisierung erneut aktiviert werden, löst der bloße Befehl Stopp das Problem nicht. Die Konstruktionsentscheidung sollte dann nicht nur beantworten, wie die Energie abgeschaltet wird, sondern auch, woran der Benutzer erkennt, dass der sichere Zustand tatsächlich erreicht wurde und aufrechterhalten bleibt. Ist die erforderliche Prozedur lang, unpraktisch oder unklar, steigt das Risiko, dass Schutzeinrichtungen umgangen werden; damit entsteht ein zusätzliches Konstruktionsproblem im Zusammenhang mit der Manipulationsanfälligkeit. Das ist in der Regel teurer als eine richtige Situationsbewertung zu Beginn, weil spätere Korrekturen nicht mehr nur ein einzelnes Gerät betreffen, sondern die Steuerungslogik, Schutzeinrichtungen, die Betriebsanleitung und die Validierung.

• ob die Abschaltung alle Energiearten erfasst, die eine Bewegung oder die Freisetzung einer Gefährdung verursachen können,
• ob der sichere Zustand sichtbar oder auf andere Weise eindeutig überprüfbar ist,
• ob das Wiedereinschalten eine bewusste Handlung erfordert und nach Wiederherstellung der Versorgung nicht selbsttätig erfolgt.

Erst nach einer solchen Strukturierung lohnt sich der Blick auf normative Bezüge. Beruht die Schutzmaßnahme darauf, dass eine Funktion durch das Steuerungssystem realisiert wird und nicht ausschließlich durch eine mechanische Energieisolierung, fällt das Thema in den Bereich der Anforderungen an Sicherheitsfunktionen und ihre Zuverlässigkeit. Wird dagegen entscheidend, ob ein bestimmter Eingriff eine vollständige Abschaltung erfordert oder ob eine andere Schutzmethode zulässig ist, muss zur methodischen Risikobeurteilung nach ISO 12100 zurückgekehrt werden. In der Konstruktionspraxis sind das keine getrennten Welten, sondern aufeinanderfolgende Ebenen derselben Entscheidung. ISO 14118 strukturiert die Denkweise zur Energieabschaltung und zur Verhinderung eines unerwarteten Anlaufs, entbindet das Team aber nicht davon, nachzuweisen, dass die Lösung für die vorgesehene Tätigkeit angemessen, gegen typische Umgehungen robust und ohne Grauzonen bei der Verantwortung validierbar ist.

Worauf bei der Umsetzung zu achten ist

Der häufigste Fehler bei der Umsetzung des Schutzes gegen unerwartetes Anlaufen besteht darin, dass das Team die Energieabschaltung als reine Auswahl eines Schaltgeräts behandelt, obwohl es tatsächlich um eine Entscheidung über die Grenzen der Verantwortung in Betrieb, Instandhaltung und Konstruktion geht. Wenn die Lösung nicht eindeutig festlegt, wer, wann und in welchem Maschinenzustand den Gefahrenbereich betreten darf, schließt selbst eine technisch korrekt ausgelegte Abschalteinrichtung das Risiko nicht aus. Für das Projekt ist die Folge meist kostspielig: späte Korrekturen der Dokumentation, Nachrüstung von Schaltschränken, Änderungen in der Steuerungslogik und am Ende die Auseinandersetzung darüber, ob der Hersteller die richtige Art des Eingriffs vorgesehen hat. Ein praktisches Bewertungskriterium ist hier einfach: Vor der Freigabe der Lösung muss sich für jede vorgesehene Tätigkeit nachweisen lassen, ob die Abschaltung tatsächlich die Möglichkeit einer Bewegung, einer Energiefreisetzung oder einer Wiederaufnahme der Funktion ohne bewusste menschliche Handlung ausschließt.

In der Konstruktionsphase sind besonders Lösungen gefährlich, die fast ausreichen, also solche, die die Hauptversorgung trennen, aber Hilfsenergiequellen, gespeicherte Energie oder die Möglichkeit einer von außen ausgelösten Bewegung bestehen lassen. In der Praxis betrifft das pneumatische Systeme mit Restdruck, vertikale Achsen, die durch eine Bremse gehalten werden, träge Bauteile, Haltekreise und Antriebe, die nach Rückkehr der Versorgung in die automatische Sequenz zurückkehren. Werden diese Phänomene nicht von Anfang an erkannt, entstehen die Kosten nicht nur durch die Beschaffung zusätzlicher Komponenten. Auch die Kosten für Inbetriebnahme und Validierung steigen, weil das Team die Sicherheit einer Lösung nachweisen muss, deren Architektur von Beginn an nicht alle Grenzzustände erfasst hat. Ein gutes Entscheidungskriterium ist hier nicht die Zahl der eingesetzten Trenneinrichtungen, sondern die Zahl der Energiearten und Betriebsarten, für die das Team den Weg in den sicheren Zustand sowie die Art des Nachweises beschreiben kann, dass dieser Zustand erreicht wurde.

Ein gutes Beispiel für eine praktische Falle ist ein Serviceeingriff, der formal kein tiefes Eingreifen in die Maschine erfordert, aber das Öffnen einer Schutzeinrichtung und das Hineingreifen in einen Bereich notwendig macht, in dem ein Hilfsantrieb oder eine durch die Steuerungssequenz verursachte Bewegung bestehen bleibt. In solchen Fällen geht die Entscheidung über die reine Energieabschaltung schnell in zwei benachbarte Themenfelder über. Erstens muss man zur methodischen Risikobeurteilung nach ISO 12100 für die konkrete Tätigkeit zurückkehren, denn sie entscheidet darüber, ob eine vollständige Energieisolierung erforderlich ist oder ob sich eine gleichwertige Schutzmaßnahme nachweisen lässt. Zweitens: Wenn Bediener oder Instandhaltung die vorgesehene Vorgehensweise regelmäßig umgehen werden, ist das Problem nicht mehr ausschließlich eine Frage der ISO 14118, sondern betrifft auch die Manipulation von Schutzeinrichtungen und Umgehungslösungen. Das ist im Hinblick auf die Verantwortung wesentlich: Eine Lösung, die nur dann funktioniert, wenn sich der Nutzer in der realen Anwendung auf wenig wahrscheinliche Weise verhält, ist nicht deshalb schwach, weil sie auf dem Papier nicht konform wäre, sondern weil die Konstruktion das vorhersehbare menschliche Verhalten nicht berücksichtigt hat.

Gerade deshalb sollte der Verweis auf ISO 14118 erst am Ende stehen – als Ordnung der getroffenen Entscheidungen und nicht als Ersatz für die Analyse. Wenn die Schlüsselfrage lautet, ob ein bestimmter Eingriff die vollständige Abschaltung aller Energiearten erfordert, ist die richtige Vertiefung die Risikobeurteilung nach ISO 12100 und in komplexeren Fällen auch die Praxis der Risikoeinschätzung, wie sie in Hilfsdokumenten beschrieben ist. Wenn dagegen die Anfälligkeit der Lösung für bewusste Umgehung zum Problem wird, sind Verriegelungseinrichtungen und Maßnahmen gegen Manipulation die naheliegende Ergänzung. Für das Konstruktionsteam bedeutet das vor allem eines: Die Entscheidung über das Abschaltsystem sollte erst dann freigegeben werden, wenn sie sich zugleich technisch, organisatorisch und betrieblich vertreten lässt. Andernfalls wird die anfängliche Einsparung sehr leicht zu einer verzögerten Abnahme, zu Umbaukosten oder zu einer schwer abgrenzbaren Verantwortung auf Seiten des Herstellers oder Integrators.