Verriegelnde Schutzeinrichtungen nach ISO 14119 – wie lässt sich Manipulation verhindern?

Die Manipulation von Verriegelungseinrichtungen mit Zuhaltung ist nur selten allein auf ein „Fehlverhalten“ des Bedieners zurückzuführen. Meist ist sie die Folge von Konstruktionsentscheidungen, die den tatsächlichen Zugang zur Gefahrenstelle, die Wartezeit bis zum sicheren Öffnen oder den Aufwand für den Wiederanlauf nicht ausreichend berücksichtigen. Deshalb sollte die Frage nach der Konformität mit DIN EN ISO 14119 weiter gefasst werden: Nicht nur, welches Verriegelungsgerät auszuwählen ist, sondern auch, wie Schutzeinrichtung, Stoppsequenz und Zugangslogik so auszulegen sind, dass das Umgehen der Schutzeinrichtung für den Nutzer nicht die einfachste Lösung ist.

In der Praxis bedeutet das, mehrere Entscheidungsebenen miteinander zu verknüpfen. Die DIN EN ISO 14119 selbst strukturiert die Auswahl von Verriegelungseinrichtungen und Maßnahmen zur Begrenzung von Manipulationsmöglichkeiten, muss aber zusammen mit DIN EN ISO 14120 für trennende Schutzeinrichtungen, mit den Anforderungen an Sicherheitsfunktionen nach ISO 13849 und dort, wo elektronische Steuerungssysteme betroffen sind, auch im Zusammenhang mit SIL gelesen werden. Wenn es um Sicherheitsumzäunungen geht, ist auch ISO 13857 relevant. Doch selbst ein korrekter Normenbezug ersetzt nicht die grundlegende Konstruktionsentscheidung: Lässt sich die vorgesehene Arbeitsweise der Maschine ohne Druck zum Umgehen von Schutzeinrichtungen aufrechterhalten?

Warum dieses Thema heute wichtig ist

Verriegelungseinrichtungen mit Zuhaltung sind längst kein Detail einer beweglichen Schutzeinrichtung mehr, das erst am Ende des Projekts ausgewählt wird. In der Praxis beeinflussen sie die Maschinenarchitektur, die Bedienweise, die Stopp-Logik und die Organisation des Zugangs zur Gefahrenstelle. Werden sie nur unter dem Gesichtspunkt der formalen Konformität ausgewählt und nicht anhand der tatsächlichen Einsatzbedingungen, tritt Manipulation schnell auf: das Umgehen des Betätigungselements, das Offenlassen der Schutzeinrichtung, das Erzwingen eines Zyklus bei nicht vollständig geschlossenem Zugang. Das ist kein Randproblem, sondern ein Hinweis darauf, dass die Konstruktion die vorhersehbare Nutzung der Maschine nicht berücksichtigt hat.

Die Folgen sind in der Regel kostspielig und werden oft erst spät sichtbar, wenn Änderungen am schwierigsten umzusetzen sind. Der Produkteigentümer und die für die Konformität verantwortliche Person müssen sich dann gleichzeitig mit einem erhöhten Verletzungsrisiko, der Infragestellung der gewählten Schutzmaßnahmen und dem Bedarf an Korrekturen nach der Inbetriebnahme auseinandersetzen. Die teuersten Fehler entstehen bereits in der Konzeptphase, wenn die Zuhaltung als einfache Katalogauswahl behandelt wird statt als Bestandteil der Sicherheitsfunktion und der Zugangsorganisation. Das Konstruktionsteam sollte nicht nur klären, ob die Schutzeinrichtung überwacht werden muss, sondern vor allem: wie häufig sie geöffnet wird, ob das Anhalten mit Nachlauf oder Restenergie verbunden ist, ob der Bediener einen praktischen Anreiz hat, den Zyklus abzukürzen, und ob sich dieser Anreiz durch eine geänderte Lösung beseitigen lässt.

Das zeigt sich besonders dort, wo der Bediener regelmäßig Blockaden beseitigen oder Material nachfüllen muss. Ist die Schutzeinrichtung bis zum vollständigen Stillstand zugehalten, entspricht die Freigabezeit der Zuhaltung aber nicht der tatsächlichen Prozessdynamik oder ist das Verfahren zum Wiederanlauf unverhältnismäßig aufwendig, wird das Umgehen der Schutzeinrichtung vorhersehbar. Die Folgen für das Projekt sind konkret: zusätzliche mechanische Nacharbeiten, Änderungen im Sicherheitskreis, Korrekturen der technischen Dokumentation und mitunter auch ein Umbau des Antriebs- oder Hydrauliksystems, wenn sich die Art des Stillsetzens selbst als Ursache des Problems erweist.

Erst vor diesem Hintergrund ist der Bezug auf Normen sinnvoll. Die DIN EN ISO 14119 strukturiert die Auswahl von Verriegelungseinrichtungen mit Zuhaltung und den Ansatz zur Begrenzung von Manipulation, ersetzt aber keine Risikobeurteilung. Sie ist zusammen mit DIN EN ISO 14120 für Schutzeinrichtungen sowie mit den Anforderungen an Sicherheitsfunktionen nach ISO 13849 zu lesen und in Bezug auf elektronische Steuerungssysteme auch mit SIL. Wenn der Zugang über eine Sicherheitsumzäunung erfolgt, ist außerdem ISO 13857 von Bedeutung. Aus praktischer Sicht ist die Schlussfolgerung einfach: Über das Manipulationsrisiko muss bereits in der Konstruktions- oder Modernisierungsphase entschieden werden, denn nach der Inbetriebnahme beseitigt man nur noch die Folgen falscher Annahmen, nicht deren Ursachen.

Wo Kosten oder Risiko am häufigsten steigen

Die meisten Verluste entstehen nicht durch den bloßen Einsatz einer Verriegelungseinrichtung mit Zuhaltung, sondern durch die falsche Annahme, das Manipulationsproblem lasse sich mit einem „stärkeren“ Schloss oder einer restriktiveren Steuerungslogik beseitigen. In der Praxis steigen Kosten und Risiko genau dann, wenn die Schutzmaßnahme die normale Arbeit stärker behindert, als sie die Umgehung tatsächlich erschwert. Das Projektteam erkennt dann das Symptom, nicht die Ursache: häufiges Öffnen der Schutzeinrichtung, die Notwendigkeit, den Prozess einzusehen, Zyklusverkürzungen, Einstellkorrekturen oder das Beseitigen von Verklemmungen. Werden solche Situationen vor Projektabschluss nicht erkannt, folgt typischerweise eine Kette von Konsequenzen: Nacharbeiten an Schutzeinrichtungen, Änderungen der Steuerungslogik, erneute Validierung der Sicherheitsfunktionen nach ISO 13849 und die Diskussion darüber, ob die Ursache in der Konstruktion, der Integration oder der Nutzung liegt.

Ein zweiter Risikobereich ist die Trennung mechanischer und automatisierungstechnischer Entscheidungen. Wenn der Konstrukteur der Schutzeinrichtung, der Automatisierungstechniker und die für die Konformität verantwortliche Person unabhängig voneinander arbeiten, wird die Zuhaltung oft zu spät ausgewählt – erst nachdem Geometrie der Tür, Öffnungsrichtung, Spiel, Schließkräfte und die Art der Störungsbeseitigung bereits festgelegt sind. Dann soll die Verriegelungseinrichtung Schwächen der gesamten Maschinenarchitektur kompensieren. Die Folge sind überlastete Bauteile, Probleme mit der Fluchtung, eine instabile Lage der Schutzeinrichtung und Montagetoleranzen, die im Betrieb die Umgehung der Schutzeinrichtung begünstigen. Wenn die korrekte Funktion der Zuhaltung von einer sehr genauen Justierung, einem „vorsichtigen“ Schließen oder davon abhängt, dass der Bediener jedes Mal länger wartet, als es der Prozess zulässt, ist das Manipulationsrisiko bereits in die Konstruktion eingebaut.

In der Praxis zeigt sich das besonders deutlich an Arbeitsplätzen, an denen der Zugang zum Gefahrenbereich häufig, aber nur kurz erforderlich ist: beim Umrüsten, bei der Entnahme eines Teils, beim Entfernen von Ausschuss oder bei der Korrektur einer Position. Wenn die Konstruktion eine Zuhaltung bis zum Wegfall der Gefährdung vorsieht, aber das Anhalten des Prozesses nicht von einem schnellen, kontrollierten Zugang für Bedien- oder Servicepersonal trennt, beginnt der Nutzer nach Abkürzungen zu suchen. Ein nicht autorisiertes Betätigungselement, eine „nur kurz“ nicht vollständig geschlossene Schutzeinrichtung, das Abstützen des Riegels oder das Umgehen der Restart-Sequenz sind dann kein Einzelfall, sondern ein Hinweis auf eine ungeeignete Konstruktionsentscheidung.

• Wie häufig die Schutzeinrichtung im normalen Arbeitszyklus geöffnet wird.
• Wie lange das sichere Öffnen ab dem Zeitpunkt des Stillsetzens dauert.
• Ob die Bedingungen für den Wiederanlauf im Verhältnis zur Art des Eingriffs stehen.
• Ob der Nutzer eine einfache technische Möglichkeit hat, die Schutzeinrichtung zu umgehen.
• Ob die Geometrie der Schutzeinrichtung und die Art der Montage eine stabile Funktion des Riegels im Betrieb begünstigen.

Normen strukturieren die Bewertung dieser Aspekte, nehmen dem Konstrukteur die Entscheidung aber nicht ab. DIN EN ISO 14119 legt die Grundsätze für die Auswahl von Verriegelungseinrichtungen und die Begrenzung von Manipulationen fest, muss jedoch mit DIN EN ISO 14120 verknüpft werden; Sicherheitsfunktionen sind in der Logik von ISO 13849 und in manchen Fällen auch unter dem Aspekt von SIL bei elektronischen Steuerungssystemen zu betrachten. Wenn es um trennende Schutzeinrichtungen geht, darf auch ISO 13857 nicht außer Acht gelassen werden. Das entscheidende Kriterium bleibt jedoch praktisch: Ist Manipulation noch ein Problem, das begrenzt werden muss, oder bereits ein Beleg dafür, dass die Bedingungen für einen sicheren Zugang und die Stillsetzsequenz falsch festgelegt wurden?

Wie man das Thema in der Praxis angeht

Die Frage, wie sich Manipulationen verhindern lassen, sollte nicht mit der Auswahl eines bestimmten Geräts beginnen. Zunächst ist zu klären, in welchen Situationen der Bediener oder die Instandhaltung tatsächlich einen Anreiz haben, eine Sicherheitsfunktion zu umgehen. Wenn der Zugang zum Gefahrenbereich häufig erforderlich ist, der Stillstand zu lange dauert oder die Wiederherstellung der Betriebsbereitschaft nach dem Öffnen der Schutzeinrichtung als übermäßig aufwendig empfunden wird, ist Manipulation eine vorhersehbare Folge der Auslegung. Aus Managementsicht bedeutet das höhere Inbetriebnahmekosten, mehr Änderungen nach der Abnahme und eine schwierigere Verteidigung der gewählten Lösungen im Fall eines Vorfalls oder bei Streitigkeiten über die Konformität.

Deshalb ist die Reihenfolge der Entscheidungen von grundlegender Bedeutung. Zuerst sollten die Zugangsszenarien sauber strukturiert werden: Umrüstung, Beseitigung von Blockaden, Reinigung, Qualitätskontrolle, Diagnose und Instandhaltung. Erst danach lässt sich bewerten, ob die Zuhaltung den Zugang zu einer Gefährdung verhindern soll, die nach dem Auslösen des Stoppbefehls weiterhin besteht, oder ob sie lediglich die richtige Arbeitsfolge erzwingen soll. Werden diese beiden Ziele in einer Lösung vermischt, führt das schnell zu versteckten Kosten: unklaren Bedingungen für die Entriegelung, unnötigen Service-Umgehungen, Konflikten zwischen Automatisierung und Prozesstechnik sowie zu einer Dokumentation, die sich nur schwer als konsistent vertreten lässt.

Ein praktisches Beispiel ist einfach. Wird eine Schutzeinrichtung mehrmals pro Schicht geöffnet, um kleinere Störungen zu beseitigen, und gibt die Zuhaltung erst nach einer Zeit frei, die der Bediener als nicht nachvollziehbar lang empfindet, liegt das Problem nicht in der Arbeitsdisziplin. Der bloße Austausch des Schalters gegen ein Modell mit höherem Kodierungsgrad kann eine einfache technische Manipulation erschweren, beseitigt aber nicht deren Ursache. In einer solchen Situation muss man zu den Annahmen zurückkehren und prüfen, ob sich der sichere Stopp verkürzen, Zugangsbereiche trennen, die Reset-Sequenz ändern, ein Interventionsmodus mit kontrollierten Bedingungen einführen oder die Beseitigung von Blockaden anders lösen lässt. Genau diese Entscheidungen verringern den Druck, Schutzeinrichtungen zu umgehen.

Erst nach einer solchen Klärung lassen sich normative Verweise sinnvoll anwenden. DIN EN ISO 14119 strukturiert die Auswahl von Verriegelungseinrichtungen, ihre Einbausituation und Maßnahmen zur Begrenzung von Manipulationsmöglichkeiten, ersetzt aber nicht die Bewertung der tatsächlichen Nutzung der Maschine. Sie muss zusammen mit DIN EN ISO 14120 betrachtet werden, und Auswahl sowie Validierung der Sicherheitsfunktionen erfordern den Bezug auf ISO 13849; bei elektronischen Steuerungssystemen kann auch SIL relevant werden. Wenn der Zugang eine trennende Schutzeinrichtung betrifft, ist außerdem ISO 13857 wichtig. Aus Sicht der Praxis lautet die wichtigste Schlussfolgerung: Zuerst muss der Anreiz zum Umgehen beseitigt werden, erst danach sollte das Umgehen selbst erschwert werden.

Worauf bei der Umsetzung zu achten ist

Der häufigste Fehler bei der Umsetzung besteht darin anzunehmen, dass ein Verriegelungsgerät mit Zuhaltung das Manipulationsproblem von selbst löst. Tatsächlich verlagert es die Entscheidung auf die Art der Nutzung der Schutzeinrichtung, die Logik der Entriegelung, die Einbaugeometrie und die Organisation von Eingriffen. Sind diese Bedingungen nicht sauber ausgearbeitet, wird der Anwender weiterhin nach Abkürzungen suchen, und das Projekt zahlt den Preis dafür im ungünstigsten Moment: bei der Inbetriebnahme, bei der Abnahme oder erst nach der Übergabe der Maschine in den Betrieb. Dann sind nicht nur mechanische Nachbesserungen und Änderungen an der Steuerung erforderlich, sondern es entstehen auch Schwierigkeiten bei der Verteidigung der Konformitätsdokumentation, wenn sich zeigt, dass eine vorhersehbare Umgehung nicht wirksam begrenzt wurde.

Besondere Vorsicht ist dort geboten, wo die Zuhaltung Probleme kompensieren soll, deren Ursache außerhalb des Verriegelungsgeräts selbst liegt. Muss die Schutzeinrichtung häufig geöffnet werden, weil der Prozess Einstellungen, das Beseitigen von Blockaden oder die Bestätigung des Teilezustands erfordert, löst ein höheres Schutzniveau allein das Problem in der Regel nicht. Es erhöht eher die Kosten und verschärft die betrieblichen Spannungen. Wenn der Zugang zum Gefahrenbereich im normalen Arbeitszyklus regelmäßig erforderlich ist, sollte zunächst geprüft werden, ob nicht ein Prozess ausgelegt wird, der die Umgehung der Schutzeinrichtung geradezu provoziert. In einem solchen Fall lautet die richtige Frage nicht „welche Zuhaltung ist einzusetzen“, sondern ob Zugangshäufigkeit, Wartezeit und Bedingungen für den Wiederanlauf aus Sicht der tatsächlichen Bedienpraxis akzeptabel sind.

Ein typisches Problem entsteht dann, wenn die Freigabe der Zuhaltung vom Stillstand der Bewegung oder vom Abbau gespeicherter Energie abhängt, das Signal zur Öffnungsfreigabe jedoch instabil ist oder gegenüber dem tatsächlichen Maschinenverhalten verzögert anliegt. Der Bediener sieht dann eine Schutzeinrichtung, die sich „nicht öffnen lässt“, obwohl der Eingriff aus seiner Sicht dringend und technisch einfach ist. Wenn zusätzlich kein sicherer Modus zur Störungsbeseitigung vorgesehen wurde, entstehen schnell Ersatzlösungen: die Schutzeinrichtung bleibt nicht vollständig geschlossen, die Stellung des Betätigungselements wird erzwungen oder es wird in den Auslösemechanismus eingegriffen. Das ist ein klares Signal dafür, dass die Randbedingungen der Umsetzung falsch erkannt wurden.

In der Inbetriebnahmephase sollte daher nicht nur die formale Richtigkeit der Sicherheitsfunktion beobachtet werden, sondern auch der Verlauf des tatsächlichen Betriebs: die Anzahl der Stillstände, die ein Betreten des Bereichs erfordern, die Wartezeit bis zur Entriegelung, die Gründe für Eingriffe und die Zahl der Änderungen an der Logik nach dem Anlauf. Wenn diese Signale zunehmen, enthält das Projekt weiterhin ein inhärentes Manipulationsrisiko, auch wenn das Sicherheitselement selbst korrekt ausgewählt wurde. In diesem Zusammenhang bleibt DIN EN ISO 14119 der Bezugspunkt für Auswahl und Montage des Verriegelungsgeräts, muss jedoch zusammen mit DIN EN ISO 14120, mit den Anforderungen an Sicherheitsfunktionen nach ISO 13849, in geeigneten Fällen auch mit SIL für elektronische Steuerungssysteme sowie mit ISO 13857 für trennende Schutzeinrichtungen angewendet werden. Von einer ausgereiften Umsetzung kann erst dann gesprochen werden, wenn die Zuhaltung keine Schwächen des Prozesses verdeckt, sondern ein korrekt erkanntes Risikoszenario konsequent absichert.

Für die praktische Umsetzung bedeutet das auch, mechanische Auslegung, Industrieautomatisierung und Konformitätsbewertung nicht getrennt zu behandeln. Gerade bei Projekten rund um Konstruktion und Bau von Maschinen entscheidet die frühe Abstimmung darüber, ob die Zuhaltung eine tragfähige Sicherheitsmaßnahme bleibt oder später zum Auslöser kostspieliger Änderungen wird. Wer bestehende Anlagen überarbeitet, sollte außerdem prüfen, ob im Zuge der Anpassung von Maschinen an die Mindestanforderungen auch Zugang, Stillsetzverhalten und Wiederanlauf neu bewertet werden müssen.

Ebenso wichtig ist die saubere Einordnung in den Gesamtprozess der CE-Zertifizierung von Maschinen. Wenn die Zuhaltung Teil einer Sicherheitsfunktion ist, lassen sich Auswahl, Validierung und Nachweis oft nur belastbar führen, wenn auch benachbarte Themen wie Sicherheitssensoren und praktische Maßnahmen zur Begrenzung von Umgehungen sowie die Auswahl geeigneter Sicherheitsrelais systematisch betrachtet werden. Auch die mechanische Stabilität der Schutzeinrichtung kann entscheidend sein; in solchen Fällen spielen Festigkeitsberechnungen (FEM) für die belastbare Auslegung von Halterungen, Türen und Befestigungspunkten eine wichtige Rolle.