Sicherheitsfunktionen für Nutzer testbar machen

Dass Sicherheitsfunktionen getestet werden müssen, ist nicht neu. Dass Maschinenbauer dafür Testprozeduren erarbeiten müssen, die auch „Nutzer“ ausführen können, schon: Genau das fordert Abschnitt 1.1.2 e) von Anhang III der Maschinenverordnung. Doch was ist mit „Nutzer“ gemeint, und inwieweit ist der Test durch diesen Personenkreis überhaupt möglich und sinnvoll?

Da es noch keinen Leitfaden zur Maschinenverordnung gibt, gibt Matthias Schulz in diesem Artikel Empfehlungen, die sowohl Sicherheit gewährleisten als auch den Aufwand reduzieren sollen.

Professionelle Nutzer (gewerbliche Betreiber) von Maschinen müssen die Sicherheit der von ihnen eingesetzten Maschinen schon immer prüfen. Die Pflicht zur Prüfung und sicherheitsbezogenen Instandhaltung ist in der Betriebssicherheitsverordnung eindeutig geregelt (Artikel 4 Ziffer 4 und 5 sowie Artikel 10). Das Gleiche gilt europaweit auf Basis der Richtlinie 2009/104/EG, der sogenannten Arbeitsmittel-Benutzungsrichtlinie (vergleiche Artikel 4 Ziffer 2 und Artikel 5).

Nicht-professionelle Nutzer (Verbraucher) sind dazu nicht gesetzlich verpflichtet. Ein vorsichtiger Hersteller wird die Schutzeinrichtungen aber in seiner Betriebsanleitung beschreiben und deren Prüfung verlangen. Und ein vernünftiger Vater wird prüfen, ob die Zweihandschaltung seines Rasenmähers funktioniert, bevor er seinen 14-jährigen Sohn damit den heimischen Rasen trimmen lässt.

Bisher denken Maschinenbauer bei dieser Anforderung meistens an Sicht- und einfache Funktionsprüfungen: Ist eine Abdeckung noch vorhanden, richtig befestigt und intakt? Bei komplexeren Maschinen wird die Funktion der Schutzeinrichtungen geprüft, zum Beispiel indem ein Not-Halt-Taster oder eine Türüberwachung getestet wird.

Die Betriebsanleitung sorgfältig arbeitender Hersteller enthält dazu schon lange ein Kapitel „Schutzeinrichtungen prüfen“, vielleicht sogar eine Checkliste, mit der sich die Prüfungen dokumentieren lassen.

01 Die MVO weitet die Anforderung aus

Doch die Maschinenverordnung weitet die Vorgaben für die Prüfbarkeit jetzt auf sogenannte Sicherheitsfunktionen aus. Anhang III Abschnitt 1.1.2 e) sagt dazu:

Maschinen bzw. dazugehörige Produkte müssen so konstruiert und gebaut sein, dass die Nutzer gegebenenfalls die Möglichkeit haben, die Sicherheitsfunktionen zu testen. Maschinen bzw. dazugehörige Produkte müssen mit allen speziellen Ausrüstungen und Zubehörteilen sowie gegebenenfalls mit einer Beschreibung spezifischer funktionaler Prüfverfahren geliefert werden, die für die sichere Prüfung, Einstellung, Wartung und Verwendung unerlässlich sind.Anhang III Abschnitt 1.1.2 e), Maschinenverordnung (EU) 2023/1230

Damit geht die MVO deutlich weiter als bisher, denn Sicherheitsfunktionen können erheblich komplexer sein als eine bloße Türüberwachung. So kann sich das Sicherheitsverhalten der Maschine in verschiedenen Betriebsarten unterscheiden: Lässt sich die Maschine in der Betriebsart Automatik bei geöffneter Tür starten, liegt ein gefährlicher Defekt vor. Im Einrichtmodus hingegen lassen sich bei offener Tür einzelne Achsbewegungen anfordern und mit einem Zustimmtaster auslösen – die Maschinensteuerung reduziert dann die Bewegungsgeschwindigkeit oder erlaubt nur schrittweise Bewegungen. Bei einigen Maschinen müssen zudem weitere sicherheitsrelevante Parameter überwacht werden: maximaler Druck, Temperatur, Drehzahl, das Mischungsverhältnis von Stoffen und Ähnliches.

Solche Sicherheitsfunktionen zu testen, kann schwierig und sogar gefährlich sein – insbesondere, wenn sie beim Test durchfallen.

Die Anforderung in der MVO wirft daher mehrere Fragen auf:

• Wer soll Sicherheitsfunktionen prüfen?
• Sollen wirklich alle Sicherheitsfunktionen vom Nutzer testbar sein?
• Wie kann man sinnvoll eine Grenze ziehen?

02 Wer soll Sicherheitsfunktionen prüfen?

Das Wort „Nutzer“ steht im Kontext der Maschinenverordnung nicht zwingend für den „Bediener“, auch wenn es oft so verstanden wird. Im gewerblichen Kontext ist es ein Synonym für „Betreiber“ oder, mit der Terminologie der Betriebssicherheitsverordnung, den „Arbeitgeber“.

Das bedeutet: Der Test von Sicherheitsfunktionen muss nicht unbedingt so konzipiert und beschrieben werden, dass mehr oder weniger unbedarfte Bediener ihn ausführen können. Bei komplexen technischen Anlagen ist es sehr viel sinnvoller, diese Tests geschultem Fachpersonal zu übertragen – Industriemechanikern, Mechatronikern sowie Steuerungs- und Automatisierungstechnikern des Kunden. Das gilt erst recht, wenn dazu technische Geräte erforderlich sind, zum Beispiel ein Multimeter, ein Prüfstab oder -finger und Ähnliches.

Hersteller gewerblich genutzter Maschinen sollten den Test von Sicherheitsfunktionen daher so beschreiben, dass er Technikern vorbehalten ist. Der Test kann dann auch auf einem Niveau beschrieben werden, mit dem Personal auf diesem Qualifikationsniveau zurechtkommt.

03 Sollen wirklich alle Sicherheitsfunktionen durch den Nutzer testbar sein?

Zunächst darf man die Anforderung, Sicherheitsfunktionen zu testen, nicht als Wiederholung der Validierung der Sicherheitsfunktionalität verstehen. Validierung schließt ein, Fehler zu provozieren, die eine Sicherheitssteuerung erkennen soll – auch Bauteilfehler. Dabei können schon mal Leitungen bewusst unterbrochen oder kurzgeschlossen werden, vielleicht wird ein Sensor absichtlich bis zum Grenzwert belastet oder die Kalibrierung verstellt. Dabei werden steuerungsinterne Überwachungsfunktionen ausgelöst, die von Nutzern nicht ohne Weiteres getestet werden können. Die Validierung ist Aufgabe des Maschinenherstellers.

Fehler zu provozieren kann zudem gefährliche Auswirkungen haben, weil eine Sicherheitsfunktion dabei möglicherweise versagt. Beispiel: Die Überwachung der Mittelstellung des Lastträgers eines Regalbediengerätes soll getestet werden. Damit die Sicherheitseinrichtung anschlägt, müsste der Lastträger bewusst außermittig gestellt und dann versucht werden, das Regalbediengerät zu fahren. Ein solcher Test ist sehr problematisch, weil er schwere Schäden und erhebliche Gefahren verursachen kann, wenn die Sicherheitsfunktion beim Test versagt.

Kein vernünftiger Hersteller wird gefährliche Tests in seiner Anleitung beschreiben. Im Gegenteil: Er wird sich dafür ein Testszenario oder eine Simulation überlegen, mit der seine eigenen Servicetechniker solche Sicherheitsfunktionen im Rahmen von Wartungsaufgaben unter sicheren Bedingungen testen können – und den Nutzern von solchen Tests vielleicht sogar abraten.

Man sollte den Test von Sicherheitsfunktionen also auf einfache „Oberflächentests“ beschränken, die Nutzer gefahrlos ausführen können, ohne die Maschine verändern zu müssen. Und auf keinen Fall sollten dafür absichtlich Fehler provoziert werden müssen.

04 Wie kann man sinnvoll eine Grenze ziehen?

Gehen Sie in folgenden Schritten vor, um die zu testenden Sicherheitsfunktionen zu filtern:

1. Was testen wir (als Hersteller) im Serienmaschinenbau vor der Auslieferung an jedem Einzelstück, oder bei Sondermaschinen vor der Übergabe an den Betreiber?
2. Welche dieser Tests erfordern keine Veränderungen an der Maschine – weder das Abbauen von Teilen noch das Lösen elektrischer Verbindungen?
3. Kann die Fehlfunktion einer Sicherheitsfunktion beim Test direkt ein Risiko verursachen?
4. Kann ein Nutzer – Bediener, Servicepersonal des Betreibers oder privater Endbenutzer – das Risiko sicher beherrschen?

Alles, was nach dieser vierstufigen Filterung noch übrig bleibt, kann man wahrscheinlich bedenkenlos in der Betriebsanleitung beschreiben. Vielleicht müssen dafür auch Ausrüstungen mitgeliefert werden, zum Beispiel ein Prüfstab zum Testen eines Lichtvorhangs oder Werkstückdummys. Aber man wird dem Nutzer kaum erlauben, durch absichtliche Manipulation in die Sicherheitsfunktionalität einzugreifen.

Alle komplexeren Tests sollte man lieber nicht dem Nutzer überlassen und daher auch nicht beschreiben. Was, wenn er ausgerechnet durch den Test die Sicherheitsfunktion kompromittiert? Wenn er nach einem Test den Ursprungszustand nicht wieder richtig herstellt? Wenn er das Testergebnis falsch interpretiert oder ein Sicherheitsbauteil falsch rekalibriert? Dann würde die Sicherheitsfunktion nicht versagen, obwohl sie getestet wurde, sondern weil sie getestet wurde.

05 Fazit

Schutzeinrichtungen auf Vorhandensein und ordentlichen Zustand zu prüfen, ist richtig und wichtig: Eine gerissene Schutzscheibe wird ein havariertes Werkstück beim nächsten Einschlag vielleicht nicht mehr zurückhalten. Die Betriebsanleitung sollte dazu klare und gut umsetzbare Prüfroutinen und auch die Korrekturmaßnahmen beschreiben.

Aber nicht jede Sicherheitsfunktion kann und muss vor Ort getestet werden. Sinnvoll ist eine Auswahl, die zur voraussetzbaren Qualifikation der Nutzer und zum Sicherheitsniveau passt.

• Haben Sie festgelegt, welche Sicherheitsfunktionen von Nutzern getestet werden können und sollen?
• Wurden Testabläufe einer Risikobeurteilung unterzogen und die Mindestqualifikation des Testers festgelegt?
• Wurden die Testabläufe beschrieben, auf Machbarkeit geprüft und dann hinreichend detailliert in der Betriebsanleitung beschrieben?