Varianten-fähige Safety-Programmier-Tools und modulare Safety-Komponenten erleich­tern sowohl Retrofit als auch Modernisierung von Anlagen.

Varianten-fähige Safety-Programmier-Tools und modulare Safety-Komponenten erleich­tern sowohl Retrofit als auch Modernisierung von Anlagen.B&R

Die bisherige Fassung des Interpretationspapiers stammte aus dem Jahr 2000. Daher war es notwendig Anpassungen vorzunehmen, etwa um das Produktsicherheitsgesetz von 2011 zu berücksichtigen. Dass viel angepasst wurde, zeigt bereits der optische Vergleich von alter und neuer Fassung des Interpretationspapiers zum Thema ‚Wesentliche Veränderung von Maschi­nen‘: Die neue Fassung ist wesentlich umfangreicher.

Obwohl sich in der neuen Fassung das grundlegende Regelwerk des Papiers nicht verändert hat, sind alle Aspekte dennoch neu und wesentlich detaillierter ausgearbeitet. So enthält beispielsweise die neue Ausgabe des Interpretationspapiers nun explizit den Hinweis, „dass die Person, die für die wesentliche Veränderung verantwortlich ist, zum Hersteller wird und damit die Herstellerpflichten gemäß ProdSG und 9. ProdSV zu erfüllen hat.“ (GMBl 2015, Seite 186).

Wird an einer Maschine eine wesentliche Veränderung attestiert, so hat dies umfang­reiche Auswirkungen. Die Anforderungen an die Sicherheit der Maschine haben dann dem neuesten Stand der Technik entsprechend ausgeführt und doku­mentiert zu sein. Auch die CE-Erklärung mit allen dafür notwendigen Nachweisen und Dokumenten muss neu ­erstellt werden. Zudem geht die Verantwortung für die CE-Erklärung vom originären Hersteller auf die Firma über, die für die Veränderung verantwortlich ist.

Safety first!

Unverändert zum Interpretationspapier aus dem Jahr 2000 beschreibt auch die neue Fassung das generelle Vorgehen beim Bewerten einer Veränderung von Maschinen: „Jede Veränderung an einer Maschine, unabhängig ob gebraucht oder neu, die den Schutz der Rechtsgüter des ProdSG beeinträchtigen kann, beispielsweise durch Leistungserhöhungen, Funktionsänderungen, Änderung der bestimmungsgemäßen Verwendung (durch Ände­rung der Hilfs-, Betriebs- und Einsatzstoffe, Umbau oder Änderungen der Sicherheitstechnik), ist zunächst im Hinblick auf ihre sicherheitsrelevante Auswirkung zu untersuchen.“ (GMBl 2015, Seite 184). Resultiert aus der Veränderung der Maschine kein neues Risiko oder kann mit einfachen Schutzeinrichtungen die Sicherheit der Maschine wieder gewährleistet werden, liegt keine wesen­tliche Veränderung vor. Damit entfällt der Aufwand für die nochmalige CE-Kennzeichnung.

Wer ein Retrofit-Projekt initiiert, muss prüfen, ob eine wesentliche Veränderung vorliegt. Das in die neue Fassung aufgenommene Ablaufschema hilft dabei.

Wer ein Retrofit-Projekt initiiert, muss prüfen, ob eine wesentliche Veränderung vorliegt. Das in die neue Fassung aufgenommene Ablaufschema hilft dabei.B&R

Wesentliche Veränderung, oder nicht?

Um die Frage, wann eine wesentliche Veränderung vorliegt, zweifelsfrei zu beschrei­ben, wurde in die neue Fassung ein Ablaufdiagramm eingearbeitet, das die Entscheidungsschritte skizziert. Das Interpretationspapier regelt nun auch den Austausch von Bauteilen durch Produkte die gegenüber dem zu tauschenden Teil nicht identisch sind, jedoch „mit identischer Funktion und identischem Sicherheitsniveau […], die zu einer Erhöhung des Sicherheitsniveaus der Maschine führen und die darüber hinaus keine zusätzlichen Funktionen ermöglichen“ (GMBl 2015, Seite 185). In diesem Fall liegt ­keine wesentliche Veränderung vor. Damit wurde ein bisher in der Praxis ­bereits angewendetes Vorgehen aufgenommen.

Safety-Steuerungen berücksichtigt

In den letzten Jahren haben sich Sicherheitssteuerungen für die Umsetzung von Schutzmaßnahmen etabliert. Das neue Inter­pretationspapier trägt dem Rechnung und regelt, unter welchen Bedingungen mit zusätzlichen, einfachen Schutzeinrichtungen in Kombination mit einer Sicherheitssteuerung sich keine wesentliche Veränderung ergibt. Dies ist der Fall, wenn „durch diese Schutzeinrichtungen lediglich Signale verknüpft werden, auf dessen Verarbeitung die vorhandene Sicher­heitssteuerung bereits ausgelegt ist“ (GMBl 2015, Seite 185).

Mit anderen Worten: Werden Änderungen an einer Maschine vorgenommen und diese Änderungen benötigen zusätzliche Schutzeinrichtungen, um das Schutzziel der Maschine weiter sicherzustellen, so kann der Tatbestand ‚Wesentliche Veränderung‘ abgewendet werden, wenn die originäre Anwendung der Sicherheitssteuerung bereits die Signale für künftige Schutzeinrichtungen vorsieht. Das heißt: Künftige Erweiterungen, oder Maschinenvarianten sollten möglichst bereits bei der Programmierung der Schutzmaßnahmen berücksichtigt werden.

Die neue Fassung regelt auch die Auswirkung auf die Gesamtheit von Maschinen, wenn Teilbereiche verändert werden. In diesem Fall ist zu prüfen, „inwieweit dies Auswirkungen auf die Gesamtheit (Anlage als Ganzes) hat. Ist diese Veränderung selbst und sind deren Auswirkungen auf die Gesamtheit als wesentlich zu beurteilen, liegt eine wesentliche Veränderung der Gesamtheit von Maschinen vor“ (GMBl 2015, Seite 186).

Auswirkungen des Interpretationspapiers

Das Vorgehen bei der Bewertung, ob eine Änderung an einer Maschine (Retrofit) eine wesentliche Veränderung darstellt, hat sich im Grunde nicht verändert. Jede Änderung muss im Hinblick auf Ihre Auswirkung auf die Sicherheit der Maschine untersucht werden. Eine ‚Wesentliche Veränderung‘ lässt sich bei Anpassungen einer Maschine nur dann abwenden, wenn die Schutzfunktionen auf einer zukunftssicheren Sicherheitstechnik basie­ren. Als Endanwender ist man daher gut beraten, die Zukunftssicherheit der vom Lieferanten verwendeten Sicherheitstechnik bei einer Neuanschaffung von Maschinen zu prüfen. Aus Sicht des Maschinenbauers ist damit eine zukunftsfähige Sicherheitstechnik besonders wichtig.

Auch aus Sicht des Interpretationspapiers ist das Handhaben von Maschinenoptionen essentiell – gerade auch, weil dieses Thema aus Sicht der Sicherheitstechnik nicht einfach zu lösen ist. Diese Funktionalität trennt die Spreu vom Weizen. Trotz der Vielzahl an Sicherheitsprodukten, die es am Markt gibt, bieten nur ­wenige Hersteller ein fertig zertifiziertes Lösungskonzept zum Thema Maschinenvarianten.

Keine wesentliche Änderung: CRC als Indiz

Sicherheitssteuerungen erlauben das Programmieren mehr oder weniger komplexer Sicherheitsanwendungen. Bei Systemen mit beschränkter Komplexität wird oft auch von ‚Konfigurieren‘ gesprochen, um den in der Sicherheitstechnik manchmal negativ behafteten Begriff ‚Programmieren‘ zu vermeiden, obwohl am Ende das gleiche gemeint ist. Um das Programm für eine bestimmte Sicherheitsanwendung mit einer bestimmten Version eindeutig bestimmen zu können, kommen in der Regel CRC (cyclic redundancy codes) zum Einsatz. Der CRC berechnet sich über den Programmcode und ist damit ein individueller Fingerabdruck der jeweiligen Sicherheitsanwendung. Daraus folgt: Ein gleicher CRC an Maschinen signa­lisiert eine identische Sicherheitsanwendung; unterschiedliche CRCs hingegen weisen auf veränderte Sicherheitsanwendungen hin und damit gegebenenfalls auf eine ‚Wesentliche Änderung‘. Generell zeigen Maschinenkonzepte bessere Verfügbarkeits- und Produktivitätskennwerte, wenn die Sicherheitsanforderungen bereits in den frühen Projektphasen berück­sichtigt wurden.

Ein sensitives Reagieren auf Sicherheitsanforderungen und intelligentes Verteilen der Information auf alle beteiligten Komponenten vermeidet Produktionsstill­stände. Gleichzeitig sinkt für das Betriebspersonal die Motivation, die Sicherheitsfunktionen zu manipulieren, nur um die Produktivität hoch zu halten. Ein Beispiel: Kann nach dem Öffnen einer Schutztür der Materialfluss in der Maschine mit verminderter Geschwindigkeit fortgeführt werden, entfallen zeitraubende Leerfahrten und Einrichtzeiten. Der Maschinenführer hat keinen Grund, den Türkontakt zu brücken. So einfach und zugleich effektiv wirkt sensitive Sicherheitstechnik – auch als ‚Smart Safe Reaction‘ bezeichnet.

Variantenmanagement von Safety-Applikationen, die keine wesentliche Veränderung im Sinne der Maschinenrichtlinie darstellen: Sicherheitsanwendung mit vier Not-Aus-Funktionen, von denen drei optional akti­viert werden können.

Variantenmanagement von Safety-Applikationen, die keine wesentliche Veränderung im Sinne der Maschinenrichtlinie darstellen: Sicherheitsanwendung mit vier Not-Aus-Funktionen, von denen drei optional akti­viert werden können.B&R

Varianten-Management vermeidet Wesentliche Änderung

Sofern die Sicherheitssteuerung Maschinenoptionen unterstützt, lässt sich das Safety-Programm so implementieren, dass die Steuerung unterschiedliche Ausprägungen der Maschine in einem einzigen Programm abarbeiten kann. Diese unterschiedlichen Varianten müssen zum Zeitpunkt der Projektierung der Sicherheitsanwendung bekannt und spezifiziert sein. Im Zuge der Validierung der Sicherheitsanwendung lassen sich diese Ausprägungen dann testen und sind damit Bestandteil der Sicherheitsanwendung. Alle Ausprägungen der Maschine verwenden ­dabei das gleiche Programm und damit die gleiche CRC.

Bei der Inbetriebnahme der Maschine brauchen die in der Sicherheitsanwendung verfügbaren Maschinenoptionen ledig­lich nach den Vorgaben der tatsächlichen Maschinenausprägung aktiviert oder deaktiviert zu werden. Gemäß dem Interpretationspapier führt dieser Ansatz zu keiner wesentlichen Veränderung. Der Grund: Für die neuen Sicherheitsfunktionen werden ausschließlich bereits existierende Signale verwendet, deren Verarbeitung im Programm bereits vorgesehen wurde.

Für die Inbetriebnahme der Maschinen sollten keine besonderen Kenntnisse, die Expertenwissen voraussetzen, notwendig sein. Daher ist es beson­ders wichtig, dass für das Aktivieren/Deaktivieren der Safety-Optionen keine externen Tools notwendig sind. Idealer­weise lässt sich das in die bestehende Bedienoberfläche der Maschine inte­grieren. Das heißt: Für das Handling von sicheren Maschinenoptionen ist ein zertifiziertes Plug-in für die Maschinen­visualisierung notwendig, das auf die Bedürf­nisse, Begriffe und Sprachen der Maschinenvisualisierung und des Inbetriebnehmers angepasst werden kann. Der Zugriff muss natürlich Passwort-­geschützt sein. Auch muss das verwendete Kommunikationssystem oder der für die sichere Daten­übertragung verantwortliche Safety-Layer die notwendigen Services bieten, um sicheren Optionen und die daraus resul­tierenden unterschiedlichen Maschinenausprägungen zu unterstützen. Das von der Ethernet Powerlink Standardization Group (EPSG) veröffentlichte Safety-Protokoll (open Safety) stellt hierzu alle notwendigen Voraussetzungen zur Verfügung.

Die neue Fassung des Interpretationspapiers zum Thema ‚Wesentliche Veränderung von Maschinen‘ ist wesentlich verständlicher in Bezug auf das Vorgehen beim Modifizieren von Maschinen und Maschinenlinien. Außerdem schränkt es den Raum für Fehlinterpretationen ein. Es behandelt nun alle Aspekte in diesem Kontext und nimmt Rücksicht auf die neue Gesetzeslage. Intelligente Sicherheitstechnik in Kombination mit sicheren Maschinenoptionen schafft dabei die Voraussetzungen, um im Fall der Fälle auch bei einer notwendigen ‚Wesentlichen Veränderung einer Maschine‘ gewappnet zu sein.