Die Forderung nach einer sicherheitstechnischen Bewertung der Betriebsartenwahl begründet sich dadurch, dass bei der Umschaltung von einer Betriebsart in eine andere verschiedene sicherheitstechnische Einrichtungen an der Maschine zu- und abgeschaltet werden. Ein sehr einfaches Beispiel einer Maschine mit nur zwei Betriebsarten – Automatik- und Einrichtbetrieb – zeigt, warum das so ist:

An der Maschine ist im Automatikbetrieb als sicherheitstechnische Einrichtung eine Schutztür im Einsatz, abgesichert mit einem Sicherheitsschalter. Wird die Tür geöffnet, schaltet die Maschine ab und geht in einen sicheren Zustand über. Für die Inbetriebnahme im Einrichtbetrieb ist es jedoch erforderlich, dass die Maschine auch bei offener Schutztür betrieben werden kann – allerdings nicht mit allen Funktionen des Automatik­betriebs. Dazu wird die Betriebsart der Maschine auf Einrichten umgeschaltet. Das bedeutet: In dieser Betriebsart wird der Sicherheitsschalter an der Schutztür überbrückt, damit die Maschine in Betrieb genommen werden kann. Gleichzeitig wird als sicherheitstechnische Einrichtung ein Zustimmtaster verwendet und steuerungstechnisch auf eine sicher reduzierte Geschwindigkeit umgeschaltet. Weiterhin sind nicht mehr alle Achsen und Funktionen in Betrieb.

In diesem Beispiel wird – bedingt durch das Umschalten der Betriebsart von Automatik- in den Einrichtbetrieb – die Sicherheitseinrichtung ‚Schutztür‘ unwirksam. Gleichzeitig übernehmen zwei andere Sicherheitsfunktionen den Schutz des Mitarbeiters: der Zustimmtaster und die reduzierte Geschwindigkeit. Das Umschalten zwischen unterschiedlichen Sicherheitseinrichtungen muss einen Performance Level (PL) nach EN ISO 13849-1 erfüllen. Nur dann ist sichergestellt, dass richtig umgeschaltet wird. Sowohl die C-Norm für Drehmaschinen (EN ISO 23125) als auch die für Schleifmaschinen (EN ISO 16089) fordern für die Umschaltung einen PL c. Gleiches wird für die demnächst neu erscheinende Norm für Fräsmaschinen (EN ISO 16090) gelten.
 

Die normative Beurteilung

Um einen Betriebsartenwahlschalter normativ beurteilen zu können, gilt es dessen Bestandteile zu betrachten. Bei einem Schlüsselschalter ist dies zunächst der Schlüssel selbst. Er ist kein sicherheitsrelevantes Teil – oder doch? Hier macht uns die deutsche Sprache ein wenig Schwierigkeiten, denn der Begriff Sicherheit wird unterschiedlich genutzt. Grundsätzlich ist ein Schlüssel auf jeden Fall ein sicherheitsrelevantes Teil – wenn auch nicht im Sinne der EN ISO 13849-1. Für diese Norm bedeutet ‚Sicherheit‘ den Schutz des Menschen vor der Maschine beziehungsweise vor einem Unfall mit der Maschine. Im Englischen wird für diese Art Sicherheit der Begriff ‚Safety‘ oder ‚Functional Safety‘ verwendet.

Abstrakte Darstellung der Betriebs­artenwahl.

© Euchner

Ein Schlüssel verhindert vielmehr den unberechtigten Zugriff von außen auf die Maschine und dient zum Umschalten von einer Betriebsart in die andere. Für diese Art Sicherheitstechnik gibt es derzeit in der Welt der Maschinen keinen eigenen Begriff und keine Norm. Auch C-Normen erheben hier keine Forderungen. Zukünftige Normen werden für diese Art der Sicherheitstechnik den englischen Begriff ‚Security‘ verwenden. Für die Beurteilung der Security ist die EN ISO 13849-1 allerdings nicht zuständig. 

Der Schlüssel selbst muss demnach nicht nach der Norm bewertet werden. Trotzdem sollte auch hier ein gewisses Sicherheitsniveau eingehalten werden. Dies ergibt sich aus der Maschinenrichtlinie, also aus dem Gesetz. Im Anhang I ist gefordert, dass entweder ein Schlüsselschalter verwendet oder auf andere Weise der Zugang zur Betriebsarten-wahl auf einen bestimmten Personenkreis beschränkt wird. Daraus ergibt sich nun ein Problem in der täglichen Handhabung: An den meisten Maschinen steckt der Schlüssel zur Betriebsartenwahl ständig. Auf diese Weise kann jeder beliebige Mitarbeiter die ­Betriebsart umschalten und damit auch Arbeiten an einer Maschine durchführen; selbst solche, für die er nicht ausgebildet wurde.

Im Falle eines Unfalls ist dies prekär: Für den Betreiber, weil der Schlüssel immer steckt, und für den Hersteller, weil ihm dieser Umstand bekannt ist und nicht ignoriert werden darf. ­Dabei gäbe es bereits seit vielen Jahren bessere Zugangsbeschränkungen! In der Praxis finden sich allerdings auch noch schlechtere Lösungen als den Schlüsselschalter – zum Beispiel den Zugangsschutz per Passwort. Das kennt irgendwann jeder und es ändert sich nie. Häufig findet man es sogar auf einem Zettel direkt an der Maschine oder im Schaltschrank. Somit ist ein echter Schutz vor unbefugtem ­Zugriff auf die Maschine ausgeschlossen.­
 

Die elektronische ­Zugangs­beschränkung

Die bessere, weil sicherere Alternative ist eine elektronische Zugangsbeschränkung wie zum Beispiel das Electronic-Key-System (EKS) von Euchner. Dabei handelt es sich um ein auf der Transponder-Technologie basierendes System, das aus einer Schreib-Lesestation sowie einem oder mehreren Schlüsseln mit programmierbarem Speicher besteht, und der elektronischen Zugriffsverwaltung beziehungsweise Zugriffskontrolle dient. Da­rüber hinaus bietet es die Möglichkeit, weitere Informationen und Daten wie etwa Prozessparameter oder Funktionen auf dem Schlüssel zu speichern und an die Steuerung zu übermitteln. In der Ausführung FSA (For Safety Application) lässt sich mit dem System auch ein Touchpanel als eine sichere Betriebsartenwahl realisieren – sogar mit PL e.

Blockschaltbild der sicheren Betriebs­artenwahl mit EKS FSA und Touch­panel, welches in dieser Form in den C-Normen enthalten ist.

© Euchner

Die sicherheitstechnische Betrachtung eines Betriebsartenwahlschalters in Form eines Schlüsselschalters ist einfach: Es werden ein oder auch zwei Schaltelemente verwendet, die auf ein sicheres Auswertegerät geschaltet sind, und damit PL c oder höher erfüllen.    

Beim Schlüsselschalter kommen als Auswahlsystem ein Wahlschalter mit einem oder zwei Schließerkontakten zum Einsatz. Zwar ist ein Schließer kein sicherheitstechnisch bewährtes Bauteil; da bei einem Wahlschalter jedoch kein sicherheitstechnisches Prinzip nach EN ISO 13849-2 zur Verfügung steht, muss ein Weg gefunden werden, wie sich diese Kontakte beurteilen lassen. Das Institut für Arbeitsschutz der Deutschen Gesetzlichen Unfallversicherung (IFA) hat dieses Problem bereits vor langer Zeit erkannt und gibt im Report BGIA 2/2008 eine Hilfestellung: Die Tabelle der Sicherheitswerte aus dem Anhang C der EN ISO 13849-1 wurde erweitert. Die Tabelle D.2 aus dem Report führt Positionsschalter und Taster für Schließerkontakte und für Öffnerkontakte mit der Anmerkung „falls ein Fehlerausschluss für zwangsöffnende Kontakte nicht möglich ist“ mit zwei verschiedenen B10D-Werten auf. Und damit lässt sich ein Schlüsselschalter bewerten. Die nachgeschaltete Sicherheitsauswertung sowie das Aktivierungssystem ist ohnehin kein Problem.
 

Betriebsartenwahl per ­Touchpanel

Sichere Betriebsartenwahl mit EKS und Tasten.

© Euchner

Immer häufiger bilden Touchpanels die Schnittstelle zwischen dem Bediener und den Maschinen beziehungsweise Anlagen. Da ein Touchpanel jedoch sicherheitstechnisch nicht bewertet werden kann, müssen andere Mechanismen greifen. Euchner hat hierfür ein Verfahren entwickelt, welches von der IFA geprüft und bestätigt wurde und wie folgt funktioniert: 

Das EKS FSA initiiert am Ausgang LA (L steht für 24 V, A für Kanal A) beim Stecken eines Schlüssels einen Impuls, der in der sicheren Steuerung einen vorgegebenen Ablauf startet. In der Folge wird eine Erwartungshaltung an das Touchpanel und an die SPS, die ja ebenfalls eine nicht sichere Einheit ist, aufgebaut: Erfolgen innerhalb einer festgelegten kurzen Zeitspanne die richtigen Reaktionen des Systems, arbeiten beide Systeme korrekt. Gleichzeitig wird über den Bus ein ausgewähltes Datenwort gesendet. Die Datenmuster für die verschiedenen Zugangsstufen zur Betriebsartenwahl sind so gewählt, dass die Anforderung der EN ISO 13849-1 erfüllt sind und eine Verfälschung mit ausreichend hoher Wahrscheinlichkeit erkannt wird.

Die EN ISO 13849-1 fordert außerdem, dass eine Parameter-Eingabe nicht nur einmal, sondern zweimal erfolgen muss. Die Eingabe-Mechanismen müssen sich dabei voneinander unterscheiden. Diese Methode ist von PCs gut bekannt, bei denen eine Eingabe häufig mit der Frage beantwortet wird, ob die Ak-tion wirklich durchgeführt werden soll. Bei der Betriebsartenwahl hat diese Frage eine sicherheitstechnische Bedeutung. Zusammen mit den Prüfmechanismen, die durch den zweiten Kanal des EKS über LA gestartet wurden, kann ein Touchpanel dann den PL e erfüllen.
 

Zwei neue Betriebsarten – was steckt dahinter?

Durch die Verwendung des EKS lässt sich eine sehr hohe Qualität der Zugangsbeschränkung erreichen. Das ist für den Maschinenbetreiber im Falle eines Unfalls wichtig, da hiermit die berechtigte Verwendung eines Schlüssels nachgewiesen werden kann. Zudem kann der Maschinenhersteller zusätzliche Schulungen für die Betreiber anbieten und diese auf dem Schlüssel des EKS dokumentieren. Das ist vor allem bei zwei neuen Betriebsarten notwendig, die zusammen mit der Beschreibung der Betriebsartenwahl in den C-Normen ein­geführt wurden: ‚Automatikbetrieb mit manuellem Eingriff‘ sowie ‚Service‘.

In beiden Betriebsarten ist die Arbeit an einer Maschine besonders gefährlich. In ‚Automatik mit manuellem Eingriff‘ kann beispielsweise das Ankratzen eines Werkstücks bei voller Geschwindigkeit der Maschine erlaubt werden – falls möglich mindestens in Verbindung mit einem Zustimmtaster. Dennoch ist bei diesen Arbeiten ein ganz besonderes Wissen um das Risiko erforderlich, das der Hersteller seinen Kunden in Schulungen vermitteln kann. Erst danach wird ein passender elek­tronischer Schlüssel für das EKS ausgegeben.

Speziell für den Maschinenhersteller ist die zweite neue Betriebsart ‚Service‘ gedacht. Hier kann sehr frei gearbeitet werden. Und das ist beim ersten Aufstellen einer Maschine auch nötig. Vielfach wird bei dieser Tätigkeit heute mit manipulierten Schutzeinrichtungen gearbeitet. So sind häufig Sicherheitsschalter zu sehen, die am Boden liegen – natürlich mit gestecktem Betätiger, denn die Maschinenteile müssen ja laufen können! Das ist jedoch ein eindeutiger Verstoß gegen die Betriebssicherheitsverordnung, der vielfach damit gerechtfertigt wird, dass es keine andere Möglichkeit zum Aufbau einer Maschine gibt. Genau deshalb hat man die neue Betriebsart ‚Service‘ geschaffen, die den Aufbau und andere Servicearbeiten vorsieht und damit legalisiert.

Gerade die Betriebsart ‚Service‘, die eigentlich jeder Maschinenbauer in seiner Maschine vorsehen muss, ist ganz besonders gefährlich. Deshalb sollte ein End-anwender diese Betriebsart nie wählen können. Ein Passwortschutz ist da sicherlich nicht mehr ausreichend. Und ein spezieller Schlüssel ist schwierig zu handhaben. Besser und auch manipulationssicherer sind elektronische Schlüssel, die mit einem Kopierschutz versehen sind.
 

Betriebsartenwahl mit EKS und Tasten

Last but not least lässt sich das EKS auch für die Betriebsartenwahl mit Tasten einsetzen – mit denselben Vorteilen, wie bereits beschrieben. Mit der Berechtigung, die auf dem EKS-Schlüssel gespeichert ist, werden die Tasten im Steuerpanel freigegeben. Beispielsweise blinken diese Tasten entsprechend dem Inhalt des Schlüssels. Realisierbar ist dies mit der Standard-SPS, da der Zugang zur Betriebsartenwahl keinen PL erfüllen muss. Um für die Auswahl und Aktivierung einer Betriebsart einen PL zu erreichen, werden einkanalige Tasten für PL c oder zweikanalige Tasten für PL d eingesetzt. Die Signale werden in der sicheren Steuerung eingelesen und die gewählte Betriebsart wird zum Beispiel durch permanentes Leuchten in der Taste signalisiert, wobei gleichzeitig die Maschine in die neue Betriebsart umschaltet. Diese Art der Betriebsartenwahl ist in einigen Maschinen bereits zu finden und lässt sich häufig auch einfach nachrüsten.

Die Regelungen der C-Normen werden sicherlich auf andere Maschinentypen übertragen werden. Der sicherheitstechnische Vorteil ist so groß, dass die Akzeptanz derzeit stark steigt. Insbesondere die Legalisierung der Betriebsart Service und die Möglichkeit, bei Automatikbetrieb manuelle Arbeiten durchführen zu können, sind enorm wichtig.

Autor: Jens Rothenburg ist Normen- und Sicherheitsexperte bei Euchner.

Das EKS in Kürze

Das elektronische Schlüsselsystem EKS besteht aus einer Lesestation, der Schlüsselaufnahme und mindestens einem elek­tronischen Schlüssel mit beschreibbarem RFID-Transponder. Jeder Schlüssel kann personalisiert und mit individuellen Berechtigungen versehen werden. Bei Verlust garantiert die sofortige Sperrung des Schlüssels die Sicherheit der Anlage.

Die Schlüsselaufnahmen mit USB-, Ethernet-TCP/IP-, Profibus- und Profinet-Schnittstelle gibt es alternativ in der Ausführung FSA (For Safety Applications) für sicherheits­technische Anwendungen. Diese Ausführung verfügt über zusätzliche geschaltete Ausgänge, die zur Bildung eines sicheren Abschaltsignals nutzbar sind.

Nicht zuletzt ist das elektronische Schlüsselsystem auch in einer Ausführung verfügbar, bei der die Auswertung des Schlüssels bereits im EKS selbst vorgenommen wird. Das Ergebnis wird an fünf Ausgängen an die Steuerung weitergeleitet. Dieses Gerät lässt sich an beliebigen Steuerungseingängen oder auch an sicheren Steuerungseingängen betreiben. Die Schlüsselstruktur ist festgelegt und ein Programm zum Beschreiben der Schlüssel ist verfügbar. Die Anwendung dieser ‚Light‘-Version bietet sich insbesondere als Nachrüstlösung an oder aber, wenn nur die Betriebsart gewählt werden soll.