ABB Antriebstechnik. Technische Anleitung Nr. 10 Funktionale Sicherheit

ABB Antriebstechnik Technische Anleitung Nr. 10 Funktionale Sicherheit

2 Technische Anleitung Nr. 10 - Funktionale Sicherheit

ABB Antriebstechnik Technische Anleitung Nr. 10 Funktionale Sicherheit 3AUA0000104578 REV D GÜLTIG AB: 7.12.2011 Copyright 2011 ABB. Alle Rechte vorbehalten. Technische Anleitung Nr. 10 - Funktionale Sicherheit 3

4 Technische Anleitung Nr. 10 - Funktionale Sicherheit

Inhalt Über dieses Dokument... 7 Teil 1 Theorie und Hintergrund... 8 Sicherheit und funktionale Sicherheit... 9 Maschinenrichtlinie... 10 Änderungen in der neuen Maschinenrichtlinie... 11 Hierarchie des europäischen harmonisierten Normungssystems... 12 Teil 2 Neuer Ansatz...14 Zwei Normen IEC und ISO... 15 Normen für die Risikominimierung... 16 Normen für elektronische Sicherheitssysteme... 16 Produktspezifi sche Sicherheitsnormen (Normen Typ C)... 18 Spezifi sche Norm für sicherheitsrelevante Antriebssysteme... 19 Standardisierte Sicherheitsfunktionen...19 Teil 3 Schritte zur Erfüllung der Anforderungen der Maschinenrichtlinie...22 SCHRITT 1: Management der funktionalen Sicherheit...24 SCHRITT 2: Risikobewertung...24 SCHRITT 3: Risikoreduzierung...26 SCHRITT 4: Festlegen der Sicherheitsanforderungen...28 SCHRITT 5: Umsetzen des Systems der funktionalen Sicherheit...32 SCHRITT 6: Überprüfen des Systems der funktionalen Sicherheit...33 SCHRITT 7: Überprüfung des Systems der funktionalen Sicherheit...37 SCHRITT 8: Dokumentation des Systems der funktionalen Sicherheit...38 SCHRITT 9: Nachweis der Konformität...38 Glossar...40 Index...42 Technische Anleitung Nr. 10 - Funktionale Sicherheit 5

Haftungsausschluss Dieses Dokument dient nur der Information und hilft Benutzern, Planern, Herstellern von Maschinen und anderen beim besseren Verständnis der Anforderungen der EU-Maschinenrichtlinie sowie der Maßnahmen zur Einhaltung der Richtlinie und der dazugehörenden harmonisierten Normen. Dieses Dokument ist nicht wörtlich zu nehmen, sondern nur eine informative Anleitung. Die in dieser Druckschrift enthaltenen Informationen und Beispiele sind nur für den allgemeinen Gebrauch vorgesehen und enthalten nicht sämtliche notwendigen Einzelheiten zur Realisierung eines Sicherheitssystems. ABB Oy Drives übernimmt keinerlei Haftung für direkt oder indirekt durch die aus diesem Dokument entnommenen Informationen verursachten Verletzungen oder Schäden. Der Hersteller der Maschinen trägt immer die Verantwortung für die Sicherheit des Produkts und seiner Eignung im Rahmen der geltenden Gesetze. ABB übernimmt keinerlei Haftung für Schäden, die sich eventuell aus diesem Dokument ergeben. 6 Technische Anleitung Nr. 10 - Funktionale Sicherheit

Über dieses Dokument Dieses Dokument ist eine Einführung in die Maschinenrichtlinie und die Normen, die bei der Konstruktion einer Maschine berücksichtigt werden müssen, um einen sicheren Betrieb zu gewährleisten. Zweck des Dokuments ist es, in allgemeiner Form zu erläutern, wie der Prozess zur Erfüllung der Anforderungen der Maschinenricht linie abläuft und wie das CE-Kennzeichen erworben werden kann. Das CE-Kennzeichen zeigt an, dass die Maschinen die Anforderungen der Richtlinie erfüllen. Dieses Dokument gibt lediglich eine Übersicht über den Prozess zur Erfüllung der wesentlichen Anforderungen der Maschinenrichtlinie. Der Hersteller der Maschine bleibt letztendlich immer für die Sicherheit und Konformität des Produkts verantwortlich. Das Dokument ist in drei Teile untergliedert: Teil 1 Theorie und Hintergrund stellt den Gedanken, der der funktionalen Sicherheit zugrundeliegt vor, und zeigt auf, wie die Maschinenrichtlinie eingehalten werden kann. Außerdem werden die künftigen Änderungen in der neuen Maschinenrichtlinie aufgezeigt und die hierarchische Gliederung des Systems der harmonisierten europäischen Normen vorgestellt. Teil 2 Neuer Ansatz stellt die neue, sich auf die Maschinenrichtlinie beziehenden Normen vor, die die alten ersetzen. Außerdem werden die beiden Normensysteme vorgestellt und werden einige sicherheitsrelevante Normen und Funktionen aufgelistet. Teil 3 Schritte zur Erfüllung der Anforderungen der Maschinenrichtlinie stellt die neun Schritte vor, die bei der Erfüllung der Anforderungen der Maschinenrichtlinie helfen. Technische Anleitung Nr. 10 - Funktionale Sicherheit 7

Teil 1 Theorie und Hintergrund Nationale Gesetze in der Europäischen Union schreiben vor, dass Maschinen die in der Maschinenrichtlinie und den dazugehörenden harmonisierten Normen festgelegten Anforderungen der Gesundheits- und Sicherheitsrichtlinien ( EHSR) erfüllen müssen. Das bedeutet, dass alle neuen Maschinen die gleichen gesetzlichen Anforderungen erfüllen müssen, wenn sie in die EU geliefert werden. Die gleichen Normen werden auch in vielen Gebieten außerhalb Europas anerkannt zum Beispiel durch Äquivalenzlisten für den Maschinenhandel und Maschinenlieferungen zwischen Ländern innerhalb und außerhalb der EU. Warum müssen Maschinen diese Anforderungen erfüllen? Die Konformität trägt dazu bei, Unfälle und in der Folge Verletzungen von Personen zu verhindern. Die Einhaltung der Anforderungen der Maschinenrichtlinie und der anzuwendenden harmonisierten Normen bietet Maschinenherstellern die Gewissheit, dass die entwickelten, produzierten und ausgelieferten Maschinen sicher sind und den nationalen Gesetzen entsprechen. Neue und verbesserte Sicherheitsstrategien bieten Herstellern eine Möglichkeit zur Verbesserung ihrer Produktivität und Wettbewerbsfähigkeit. Das Ziel von konventionellen Sicherheitssystemen war eine möglichst umfassende Betriebssicherheit und die Einhaltung gesetzlicher Vorschriften. Das geschah meist durch zusätzliche elektrische und mechanische Komponenten, auch auf Kosten der Produktivität. Bediener sind unter Umständen in der Lage, diese Systeme zu umgehen, um die Produktivität zu erhöhen, wobei aber die Gefahr von Unfällen ansteigt. Moderne Sicherheitssysteme gewährleisten die Sicherheit von Prozessen und Bedienern und stellen eine hohe Produktivität sicher. Eine Maschine kann zum Beispiel mit verringerter Drehzahl weiterlaufen, um einen sicheren Betrieb aufrecht zu erhalten. Bei modernen Sicherheitslösungen kann die Sicherheit ein integraler Teil der Maschinenfunktionalität sein, und Sicherheitslösungen müssen nicht nachgerüstet werden, um die Vorschriften zu erfüllen. Sicherheitssysteme können effektiv über definierte Prozesse implementiert werden, um ein spezifisches Sicherheitsniveau ( Safety Performance) zu erreichen, und zertifizierte Teilsysteme dienen als Bausteine für Sicherheitssysteme. Die Erfüllung der Sicherheitsnormen wird in der Industrie erwartet, und zertifizierte Teilsysteme wie Antriebe setzen sich auf dem Markt durch. Die Maschinensicherheit ist einer der am schnellsten wachsenden, bedeutenden Bereiche in der Industrieautomation. 8 Technische Anleitung Nr. 10 - Funktionale Sicherheit

Teil 1 Theorie und Hintergrund Sicherheit und funktionale Sicherheit Die Aufgabe der Sicherheit im Kontext dieser Anleitung ist es, Personen vor Verletzungen und die Umwelt vor Schäden durch Maschinen zu schützen. Die Systeme für die funktionale Sicherheit verringern die Wahrscheinlichkeit unerwünschter Ereignisse und Störungen durch den Betrieb von Maschinen. Die Sicherheitsnormen definieren Sicherheit als Abwesenheit nicht akzeptabler Risiken. Was akzeptabel ist, wird von der Gesellschaft definiert. Maschinenbauer sollten immer das gleiche strenge Akzeptanzkriterium für alle Märkte ungeachtet regionaler Unterschiede anwenden. Die effektivste Art, Gefahren zu vermeiden, ist es, diese durch konstruktive Vorkehrungen bereits in der Planungsphase auszuschließen. Eine Risikoreduzierung ist jedoch durch konstruktive Maßnahmen nicht immer möglich oder praktikabel. Die nächstbeste Option ist aus verschiedenen Gründen oft eine Sicherheitsüberwachung mit statischen Einrichtungen. Ein Sicherheitssystem mit einem schnellen und sicheren Maschinenstopp oder in bestimmten Fällen auch der Fortsetzung des Betriebs mit reduzierter Drehzahl anstatt eines abrupten Maschinenstopps verringert nicht nur das Risiko, sondern kann auch die Maschinenproduktivität und -laufzeit erhöhen. Gleichzeitig werden die gesetzlichen Verpflichtungen erfüllt und die Sicherheit von Personen und der Schutz der Umwelt gewährleistet. Die funktionale Sicherheit von Maschinen wird normalerweise durch Systeme erreicht, die den sicheren Betrieb überwachen und, falls erforderlich, die Maschinenanwendungen korrigieren und so einen sicheren Betrieb gewährleisten. Ein Sicherheitssystem implementiert die erforderlichen Sicherheitsfunktionen. In ein sicherheitsrelevantes System werden deshalb zur Erkennung von Gefahrensituationen die erforderlichen Sicherheitsfunktionen implementiert, die den sicheren Betrieb wieder herstellen oder notwendige Aktionen ausführen, wie beispielsweise die Maschine sicher stoppen. Die Überwachung kann die Maschinendrehzahl, -drehrichtung, den Stopp und Stillstand umfassen. Bei Ausführung einer Sicherheitsfunktion z. B. Überwachung einer Kriechdrehzahl, die vom erwarteten Wert abweicht (d. h. zu schnell ist), erkennt das Sicherheitssystem diese Abweichung und führt den Maschinenbetrieb auf einen sicheren Status zurück. Dies kann zum Beispiel durch das sichere Stoppen der Maschine und Verringern des Drehmoments der Motorwelle erfolgen. Ein Sicherheitssystem ist nicht Teil des Standard-Maschinenbetriebs, aber jede Störung des Sicherheitssystems erhöht die spezifischen Risiken des Maschinenbetriebs. Technische Anleitung Nr. 10 - Funktionale Sicherheit 9

Teil 1 Theorie und Hintergrund Maschinenrichtlinie Die Maschinenrichtlinie mit den harmonisierten Normen definiert die Anforderungen der Gesundheits- und Sicherheitsrichtlinien ( EHSR) für Maschinen im Bereich der EU. Die EHSR sind in Anhang I der Maschinenrichtlinie aufgeführt. Die Idee der Maschinenrichtlinie ist es sicherzustellen, dass eine Maschine so geplant und konstruiert wird, damit sie in allen Phasen ihrer Nutzung sicher betrieben, konfiguriert und gewartet werden kann und dabei ein geringstmögliches Risiko für Personen und die Umwelt darstellt. Die EHSR verlangt, dass Maschinenhersteller bei der Konstruktion sicherer Maschinen die folgenden Prinzipien in der angegebenen Reihenfolge beachten (auch bekannt als 3-Schritt-Verfahren): 1. Vermeiden oder Minimieren von Gefahren, soweit dies möglich und angemessen ist, durch Beachten der Sicherheitsaspekte in den Planungs- und Konstruktionsphasen der Maschinen. 2. Anwendung aller notwendigen Schutzmaßnahmen gegen Gefahren, die nicht eliminiert werden können. 3. Information der Benutzer über alle Risiken, die trotz aller geeigneten Schutzmaßnahmen, Schulungen oder persönlicher Schutzausrüstung bestehen bleiben. Die Erfüllung der Anforderungen der EHSR der Maschinenrichtlinie erlaubt dem Maschinenhersteller, das CE-Kennzeichen an der Maschine anzubringen. Mit dem CE-Kennzeichen garantiert der Hersteller, dass das Produkt allen Vorschriften für einen freien Warenverkehr und den wesentlichen Anforderungen der anzuwendenden europäischen Richtlinien, in diesem Fall der Maschinenrichtlinie, entspricht. Es können auch andere Richtlinien anzuwenden sein, zum Beispiel die Niederspannungsrichtlinie und die EMV-Richtline. In dieser Anleitung werden nur die Anforderungen der Maschinenrichtlinie behandelt. Gemäß der Maschinenrichtlinie wird das CE-Kennzeichen nur an einer vollständigen Maschine angebracht, nicht an den einzelnen Komponenten, aus denen die Maschine besteht. Deshalb ist der Hersteller oder der Vertreter des Herstellers der Maschine für die CE-Kennzeichnung verantwortlich, nicht der Hersteller der Komponente, die in der Maschine enthalten ist. Der Maschinenhersteller ist für die Durchführung der jeweiligen Gefahrenanalyse entsprechend den Schritten in Teil 3 und die Erfüllung der Anforderungen zuständig. Der Hersteller der Komponente ist für die Einhaltung des Sicherheitsniveaus (SIL / PL Level) der Sicherheitsfunktion der Komponente bei bestimmungsgemäßem Gebrauch zuständig. Eine Komponente in diesem Zusammenhang könnte ein Sicherheitsrelais oder ein Frequenzumrichter mit integrierter Sicherheitsfunktionalität sein. 10 Technische Anleitung Nr. 10 - Funktionale Sicherheit

Teil 1 Theorie und Hintergrund Änderungen in der neuen Maschinenrichtlinie Eine neue Maschinenrichtlinie 2006/42/EG ersetzt die alte Richtlinie 98/37/EC mit Wirkung ab 29. Dezember 2009. Es gibt keine grundlegenden Änderungen zwischen der alten und der neuen, revidierten Richtlinie. Ziel der neuen Richtlinie ist die Festigung der Ergebnisse der alten Maschinenrichtlinie und die Verbesserung der Sicherheit von Maschinen und Anwendungen. Die wichtigsten Änderungen in der aktuellen Maschinenrichtlinie verglichen mit der vorherigen Fassung sind: Änderungen in der Bewertung der Konformität von gefährlichen Maschinen, die in Anhang IV der Maschinenrichtlinie aufgelistet sind. Nach der neuen Richtlinie kann der Hersteller eine Selbstzertifizierung ohne Beteiligung einer anerkannten Prüfstelle durchführen. Voraussetzung dafür ist, dass der Hersteller ein Qualitätsicherungsverfahren anwendet, dass gemäß den Anforderungen in Anhang X der Maschinenrichtlinie implementiert worden ist. Änderungen in den "Grundlegenden Sicherheits- und Gesundheitsschutzanforderungen" (EHSR) in Anhang I der Maschinenrichtlinie. Der Hersteller muss jetzt eine Riskiobewertung zu den EHSR durchführen. Änderungen beim Nachweis der Sicherheit von verschiedenen Produkten. Dieselben Maschinenvorschriften gelten für Maschinen, austauschbare Komponenten, Sicherheitskomponenten usw. Für die Produkte muss eine CE-Konformitätsbewertung durchgeführt werden, dann müssen eine Konformitätserklärung und die notwendigen Benutzerinformation erstellt werden. Änderungen der Anforderungen für Teil- oder unvollständige Maschinen. Eine Teil- oder unvollständige Maschine ist eine Komponente oder eine Reihe von Komponenten, die für sich allein keine spezifische Funktion erfüllt. Solch ein Teil wird an andere Teile, unvollständige Maschinen oder Maschinen angebaut, um mit diesen dann eine Maschine gemäß Definition in der Maschinenrichtlinie zu bilden. Zusätzlich zur Herstellererklärung muss der Hersteller jetzt auch eine Einbauerklärung erstellen, aus der ersichtlich ist, welche Anforderungen der Richtlinie für das Teil oder die unvollständige Maschine gelten, und dass diese eingehalten werden. Die Produktdokumentation muss auch Installationsanweisungen umfassen. Technische Anleitung Nr. 10 - Funktionale Sicherheit 11

Teil 1 Theorie und Hintergrund Änderungen der Niederspannungsrichtlinie. Der Fokus der Niederspannungsrichtlinie richtet sich jetzt auf ein Produkt anstatt auf ein Risiko. Es gibt jetzt auch eine deutlichere Differenzierung von Maschinenrichtlinie und Niederspannungsrichtlinie. Änderungen der Gefahrenanalyse. Die Gefahrenanalyse wurde durch eine verpflichtende Risikobewertung ersetzt. Änderungen in der Produktionskontrolle. Für die Serienfertigung von Maschinen sind jetzt interne Produktionskontrollen gemäß Anhang VIII der Maschinenrichtlinie vorgeschrieben. Änderungen der Gültigkeit von EG-Baumusterprüfbescheinigungen. Eine anerkannte Prüfstelle muss die Zertifizierungen alle fünf (5) Jahre überprüfen. Hersteller und Prüfstellen müssen die relevanten technischen Dokumente für 15 Jahre aufbewahren. Hierarchie des harmonisierten europäischen Normungssystems Das europäische Komitee für Normung, CEN, und das europäische Komitee für elektrotechnische Normung, CENELEC beschliessen die harmonisierten Normen. Alle harmonisierten Normen haben den Präfix EN. Eine Liste der harmonisierten Normen befindet sich auf den Internetseiten der Europäischen Kommission http://ec.europa.eu. Die überwiegende Anzahl von harmonisierten Normen bezieht sich auf eine oder mehrere Richtlinien. Um sicher zu stellen, dass die wesentlichen Anforderungen der Maschinenrichtlinie eingehalten werden, ist es ratsam, die entsprechenden harmonisierten europäischen Normen anzuwenden. Durch eine den Normen entsprechende Konstruktion der Maschinen können Hersteller beweisen, dass sie die Anforderungen der Maschinenrichtlinie erfüllen, und generell eine Zertifizierung durch eine Prüfstelle nicht erforderlich ist. Die Ausnahmen zu den in Anhang IV der Maschinenrichtlinie aufgelisteten Maschinen müssen beachtet werden. 12 Technische Anleitung Nr. 10 - Funktionale Sicherheit

Teil 1 Theorie und Hintergrund A BASIS- SICHERHEITSNORMEN B GRUPPEN-SICHERHEITSNORMEN Konkrete Angaben zu den Basisnormen C PRODUKTNORMEN Bild 1-1 Hierarchie der harmonisierten europäischen Normen Normen des Typs C gelten für eine Maschine oder eine Klasse von Maschinen. Wenn es eine Norm des Typs C für eine Maschine gibt, gelten die zugehörigen Normen des Typs B und möglicherweise auch des Typs A Normen sekundär. Bei der Planung von Sicherheitsfunktionen definieren Normen des Typs C zusätzliche, verbindliche Anforderungen für die Maschinen, für die sie gelten. Wenn jedoch keine Normen des Typs C für die Maschine existieren, bieten die Normen der Typen B und A eine Hilfestellung bei der Planung und Konstruktion der Maschinen, damit diese die Anforderungen der Maschinenrichtlinie erfüllen. Normen des Typs B enthalten die Sicherheitsanforderungen, die allgemeinverbindlich für die Ausführung der meisten Maschinen gelten. Diese Normen enthalten Informationen über mögliche Risiken und wie diese mit Hilfe eines Risikoreduzierungsprozesses minimiert werden. Normen des Typs B können in zwei Gruppen, B1 und B2 eingeteilt werden. Normen des Typs B1 behandeln spezifische Sicherheitsaspekte und Normen des Typs B2 gelten für sicherheitsrelevante Einrichtungen allgemein. Normen des Typs B1 sind zum Beispiel EN 62061:2005 und EN ISO 13849-1 2008. Die Normen des Typs B2 schließen die Normen für Notstopp/Stillsetzen ein, wie beispielsweise die EN ISO 13850:2008. Normen des Typs A behandeln Auslegungsprinzipien und Basiskonzepte für Maschinen. Ein Beispiel einer Norm des Typs A ist die Basis-Sicherheitsnorm EN ISO 12100-1. Diese Normen müssen nicht verbindlich angewendet werden, sie bieten jedoch Empfehlungen und Anleitungen für die Einhaltung der Anforderungen der Maschinenrichtlinie, die verbindlich ist. Technische Anleitung Nr. 10 - Funktionale Sicherheit 13

Teil 2 Neuer Ansatz Die alte Norm EN 954-1 wurde durch die Normen EN ISO 13849-1 und EN 62061 im Jahr 2006 ersetzt. Bei Einhaltung der EN 954-1 gilt jedoch die Konformitätsvermutung parallel zu den neuen Normen EN ISO 13849-1 und EN 62061 während einer Übergangszeit, die am 31. Dezember 2011 ausläuft (ursprünglich galt eine Übergangszeit von drei Jahren von 2006 bis 2009, die dann um zwei Jahre bis Ende 2011 verlängert wurde). 12/2009 12/2011 Maschinenbauer EN 954-1 Übergangsphase 3 Jahre EN ISO 13849-1 11/2006 EN 62061 Zweijährige Verlängerung 2005 Neue Maschinenrichtlinie 2006/42/EG Abbildung 2-1 Übergangsfristen von den alten zu neuen Normen Die Ersetzung der Norm EN 954-1 durch die EN ISO 13849-1 und die EN 62061 (die nur für elektrische Steuerungssysteme gilt) ist der Wechsel von einem deterministischen Ansatz, mit dem bekannten Zusammenhang von Ursache und Wirkung, zu einem Wahrscheinlichkeits- oder Zuverlässigkeitsansatz bei Sicherheitssystemen. Die neuen Normen berücksichtigen die Wahrscheinlichkeit von Störungen der gesamten Sicherheitsfunktion, nicht nur seiner einzelnen Komponenten. Gegenüber der alten Norm EN 954-1 erlauben die neuen Normen auch die Verwendung von programmierbaren Sicherheitssystemen. Der neue Ansatz führt die Verwendung des Konzepts designierter Architekturen (Kategorien) der EN 954-1 fort und führt zusätzliche, neue Konzepte ein wie Lebensdauer-Denken, Quantifizierung Komponentenzuverlässigkeit und Prüfqualität sowie Common- Cause-Failure Analysen. Die Norm EN ISO 13849-1 hat die Kategorien der EN 954-1 beibehalten. Sie bietet Methoden für die Planung und Verifizierung auf Basis der vorhandenen Kategorien. Die Norm EN 62061 beinhaltet eine ähnliche Architektur und Methodologie. 14 Technische Anleitung Nr. 10 - Funktionale Sicherheit

Teil 2 Neuer Ansatz Die EN 954-1 war eine relativ einfache Norm, die einen direkten und schnellen Prozess zur Bestimmung der Sicherheitskategorie einer Maschine geboten hat. Der Prozess bei der Norm EN ISO 13849-1 ist ähnlich, jedoch etwas komplexer, weil zusätzlich zur Bestimmung der Kategorie oder Architektur des Systems der Maschinenhersteller jetzt auch die Sicherheit der Maschine durch Bewertungen und Berechnungen nachweisen muss. Für die Herstellung der Sicherheit wird die Verwendung zertifizierter Teilsysteme empfohlen, da diese die Prozess-Spezifizierung beschleunigen und weniger Berechnungen erforderlich sind. Grundbegriffe, allgemeine Gestaltungsleitsätze: EN ISO 12100 Risikobewertung: ISO 14121-1 Norm für die Gestaltung von Sicherheitssystemen: EN ISO 13849-1 Norm für die Gestaltung von Sicherheitssystemen: EN 62061 Prozess für die Gestaltung von Sicherheitssystemen Prozess für die Gestaltung von Sicherheitssystemen Sicherheitssystem sichere Maschine CE-Kennzeichen Zwei Normen IEC und ISO Abbildung 2-2 Einführung von Normen Für die Implementierung von funktionalen Sicherheitssystemen in Übereinstimmung mit der Maschinenrichtlinie können alternativ zwei Normen angewendet werden: Die Normen der International Organisation for Standardization (ISO) und die Normen der International Electrotechnical Commission (IEC). Das Befolgen einer der Normen führt zu einem vergleichbaren Ergebnis und resultiert in Safety Integrity Levels ( SIL) und Performance Levels ( PL), die vergleichbar sind. Weitere Informationen enthält die Vergleichstabelle in Teil 3, Schritt 6. Eine Tabelle, die die Eignung der beiden neuen Normen für die Planung von Systemen mit speziellen Technologien erläutert, ist in den Normen EN ISO 13849-1 und EN 62061 enthalten. Technische Anleitung Nr. 10 - Funktionale Sicherheit 15

Teil 2 Neuer Ansatz Der Maschinenhersteller muss entscheiden, welche Norm für die Erstellung des Sicherheitssystems verwendet wird (EN ISO 13849-1 oder EN 62061), und dann muss durchgängig nach der gewählten Norm verfahren werden. CEN-Normen basieren auf ISO Normen und gelten grundsätzlich für mechanische Einrichtungen neue Normen haben Nummern der Serie 10.000, während CENELEC-Normen auf IEC-Normen basieren neue Normen haben Nummern der Serie 60.000. EN ISO-Normen werden in dieser Anleitung mit ISO bezeichnet. EN IEC-Normen werden entsprechend der in der Liste der harmonisierten Normen verwendeten Konvention ohne IEC angegeben. Normen für die Risikominimierung Die grundlegenden Sicherheitsnormen für die Risikominimierung sind: EN ISO 12100-1:2003 (Sicherheit von Maschinen Grundbegriffe, allgemeine Gestaltungsleitsätze) und EN ISO 14121-1:2007 (Sicherheit von Maschinen Risikobeurteilung). EN ISO 12100 gibt den Planern einen allgemeinen Rahmen, ist Anleitung und bietet eine Strategie zur Risikoreduzierung (Drei- Schritt-Methode). EN ISO 12100-1 definiert die wichtigsten Begriffe und die Methodologie zur Erreichnung der Maschinensicherheit. EN ISO 14121-1 ist eine neue Norm für die Risikobewertung im Rahmen des Risikoreduzierungsprozesses, der in der Norm EN ISO 12100 beschrieben ist. EN ISO 14121-1 hat die Norm EN 1050:1996 ersetzt, die bis zum 24. Juni 2008 gültig war. Bezugnahmen auf diese Normen in dieser Anleitung gelten immer für die oben genannten Versionen der Normen. Normen für elektronische Sicherheitssysteme Normen für elektronische Sicherheitssysteme sind: EN ISO 13849-1:2008 (Sicherheit von Maschinen Sicherheitsrelevante Teile von Steuerungen Teil 1: Allgemeine Gestaltungsleitsätze), EN ISO 13849-2:2008 (Sicherheit von Maschinen. Sicherheitsrelevante Teile von Steuerungen - Teil 2: Validierung) EN 62061:2005 (Sicherheit von Maschinen Funktionale Sicherheit sicherheitsbezogener elektrischer, elektronischer und programmierbarer elektronischen Steuerungssysteme), 16 Technische Anleitung Nr. 10 - Funktionale Sicherheit

Teil 2 Neuer Ansatz IEC 61508 Ausg. 2.0:2010 (Funktionale Sicherheit elektrischer / elektronischer / programmierbarer elektronischer sicherheitsbezogener Systeme) und EN 60204-1:2006 (Sicherheit von Maschinen Elektrische Ausrüstung von Maschinen Allgemeine Anforderungen). Bezugnahmen auf diese Normen in dieser Anleitung gelten immer für die oben genannten Versionen der Normen. EN ISO 13849-1 enthält Angaben, mit denen Konstrukteure eine Maschine sicher machen. Diese Anweisungen enthalten Empfehlungen für die Systemausführung, Integration und Validierung. Die Norm kann unabhängig von der verwendeten Technik und Einspeisung für die sicherheitsbezogenen Teile von Steuerungssystemen und Maschinen verwendet werden. Sie enthält auch spezielle Anforderungen für sicherheitsbezogene Teile mit programmierbaren elektronischen Systemen. Diese Norm deckt deshalb die gesamte Sicherheitsfunktion aller enthaltenen Geräte ab (d. h. eine komplette Sicherheitskette wie z. B. Geber-Logik-Stellantrieb). Die Norm definiert, wie das erforderliche Leistungsniveau (PL Performance Level) ermittelt und wie der erreichte PL-Wert in einem System verifiziert wird. Das Leistungsniveau (PL) beschreibt, wie gut ein Sicherheitssystem in der Lage ist, eine Sicherheitsfunktion unter vorhersehbaren Bedingungen auszuführen. Es gibt fünf mögliche PL-Stufen: a, b, c, d und e. PL e hat die höchste Sicherheit/Zuverlässigkeit, PL a die niedrigste. EN ISO 13849-2 spezifiziert den Validierungsprozess für Sicherheitsfunktionen, die gemäß EN ISO 13849-1 ausgelegt sind. EN 62061-1:2006 ist eine Norm für die Auslegung elektrischer Sicherheitssysteme. Es ist eine maschinenbauspezifische Norm im Rahmen der IEC 61508. Die Norm beinhaltet Empfehlungen für die Ausführung, Integration und Validierung sicherheitsbezogener elektrischer, elektronischer und programmierbarer elektronischer Steuerungssysteme für Maschinen. Die gesamte Sicherheitskette wie z. B. Geber-Logik-Stellantrieb wird abgedeckt. Solange die Sicherheitsfunktion des Gesamtsystems die definierten Anforderungen erfüllt, müssen einzelne Teilsysteme nicht zertifiziert werden. Die Verwendung zertifizierter Teilsysteme als Bausteine wird allerdings dringend empfohlen, denn so kann der Planungsaufwand erheblich reduziert werden. Im Gegensatz zu EN ISO 13849-1 deckt EN 62061 nicht die Anforderungen für nichtelektrische, sicherheitsbezogene Einrichtungen für Maschinen ab. Technische Anleitung Nr. 10 - Funktionale Sicherheit 17

Teil 2 Neuer Ansatz Diese Norm definiert, wie der Safety Integrity Level (SIL) bestimmt wird. SIL steht für die Zuverlässigkeit von Sicherheitsfunktionen. Es gibt vier mögliche SIL-Stufen: 1, 2, 3 und 4. SIL 4 ist die höchste Stufe der Sicherheitsintegrität und SIL 1 die niedrigste. Bei Maschinen werden nur die Stufen 1-3 verwendet. IEC 61508 ist eine Basisnorm für die funktionale Sicherheit. Sie umfasst den Lebenszyklus von Systemen, die aus elektrischen und/ oder elektronischen und/oder programmierbaren elektronischen Komponenten bestehen, die zur Ausfühung der Sicherheitsfunktionen verwendet werden. Die IEC 61508 ist keine harmonisierte Norm, aber sie ist die Hauptnorm, die die Anforderungen und Verfahren zur Auslegung sicherheitsbezogener Steuerungssysteme mit einer komplexen Hardware und Software vorgibt. IEC 61508 wird generell bei der Auslegung zertifizierungspflichtiger Sicherheitsteilsysteme verwendet. Die Normen EN ISO 13849-1 und EN 62061 enthalten die in IEC 61508 festgelegten Grundsätze. EN 60204:1 enthält Empfehlungen und Anforderungen für die elektrische Ausrüstung von Maschinen zur Verbesserung der Sicherheit und Verwendbarkeit. Produktspezifische Sicherheitsnormen (Normen Typ C) Produktspezifische Sicherheitsnormen, bekannt unter der Bezeichnung Normen Typ C, befassen sich mit einer bestimmten Maschine oder Klasse von Maschinen und basieren auf einer Konformitätsvermutung hinsichtlich der EHSR, die von dieser Norm abgedeckt werden. Folgendes ist anzumerken: Die in den Normen des Typs C genannten Anforderungen heben im Allgemeinen die Anforderungen aus den allgemeinen Sicherheitsnormen (EN 62061, EN ISO 13849-1 usw.) auf. Normen des Typs C können SIL- / PL-Anforderungen für einige Sicherheitsfunktionen enthalten. Diese Anforderungen müssen unabhängig von den Ergebnissen der Gefahrenanalyse erfüllt werden. Selbst wenn die Liste der möglichen Gefahren für die Maschine, die im Rahmen der Risikobewertung erstellt wurde, und die Norm des Typs C identisch sind, kann es sein, dass die Norm nicht alle relevanten EHSR berücksichtigt. Die Norm muss immer genau studiert werden, um festzustellen, welche Gefahren eventuell von der Liste ausgenommen wurden. 18 Technische Anleitung Nr. 10 - Funktionale Sicherheit

Teil 2 Neuer Ansatz Spezifische Norm für sicherheitsbezogene Antriebssysteme Eine spezifische Norm für sicherheitsbezogene Antriebssysteme ist: EN 61800-5-2:2007 (Elektrische Leistungsantriebssysteme mit einstellbarer Drehzahl Anforderungen an die Sicherheit Funktionale Sicherheit). Alle anderen Verweise auf diese Norm in diesem Dokument beziehen sich ausschließlich auf die oben genannte Version der Norm. EN 61800-5-2 enthält Spezifikationen und Empfehlungen für Leistungsantriebssysteme, die in sicherheitsbezogenen Anwendungen zum Einsatz kommen. Sie ist eine Produktnorm, die die sicherheitsbezogenen Aspekte im Rahmen der IEC 61508 darstellt und die Anforderungen für Leistungsantriebssysteme vorstellt, wenn diese als Teilsysteme in Sicherheitssystemen verwendet werden. Standardisierte Sicherheitsfunktionen Die Norm EN 61800-5-2 enthält Definitionen für verschiedene Sicherheitsfunktionen. Ein Antrieb kann mehrere dieser Funktionen besitzen. Hier einige Beispiele: Sicher abgeschaltetes Drehmoment (STO) Diese Funktion versetzt die Sicherheitseinrichtung der Maschine in einen drehmomentfreien Zustand und / oder verhindert einen unerwarteten Anlauf. n geforderte Funktion 0 t Sicherer Stopp 1 (SS1) Diese Funktion stoppt den Motor auf sichere Weise und aktiviert die STO-Funktion unterhalb einer festgelegten Drehzahl oder nach einer festgelegten Zeitspanne. n geforderte Funktion 0 t Sicherer Stopp 2 (SS2) Diese Funktion stoppt den Motor auf sichere Weise und aktiviert die SOS-Funktion unterhalb einer festgelegten Drehzahl oder nach einer festgelegten Zeitspanne. Technische Anleitung Nr. 10 - Funktionale Sicherheit 19

Teil 2 Neuer Ansatz Sicherer Betriebsstopp (SOS) Diese Funktion hält den Motor in einem sicheren Stillstand und hält gleichzeitig das Motormoment. Sicherheitsbegrenzte Drehzahl (SLS) Diese Funktion verhindert, dass der Motor einen festgelegten Drehzahlgrenzwert überschreitet. n geforderte Funktion 0 t Sichere Drehrichtung (SDI) Diese Funktion verhindert, dass die Motorwelle in eine unerwünschte Richtung dreht. n geforderte Funktion 0 t Sichere Bremsenansteuerung (SBC) Diese Funktion ermöglicht eine sichere Leistung zur Ansteuerung externer (mechanischer) Bremsen. Sichere Drehzahlüberwachung (SSM) Diese Funktion ermöglicht eine sichere Leistung und zeigt an, dass die Drehzahl unter dem festgelegten Drehzahlgrenzwert liegt. n geforderte Funktion 0 Ausgang aktiv t Weitere Beispiele von Sicherheitsfunktionen siehe Norm EN 61800-5-2. Notbetrieb Die Norm EN 60204-1 stellt zwei Möglichkeiten für den Notbetrieb vor: Not-Aus und Notstopp. Not-Aus Die Not-Aus-Funktion trennt das System oder ein Teilsystem vom Netz, falls die Gefahr eines elektrischen Schlags besteht. 20 Technische Anleitung Nr. 10 - Funktionale Sicherheit

Teil 2 Neuer Ansatz Diese Funktion erfordert externe Schalteinrichtungen und kann nicht mit den antriebbasierten Funktionen wie sicher abgeschaltetes Drehmoment (STO) realisiert werden. Notstopp Ein Notstopp muss auf eine solche Weise erfolgen, dass bei seiner Aktivierung der gefährliche Betrieb der Maschine gestoppt wird und die Maschine unter keinen Umständen, auch nicht nach Aufhebung des Notstopps, wieder anlaufen kann. Die Aufhebung des Notstopps ermöglicht nur den Neustart der Maschine. Mit dem Notstopp kann der gefährliche Betrieb durch folgende Maßnahmen beendet werden: optimale Verzögerungsrate bis zum Stopp der Maschine durch Verwendung einer der beiden Notstopp-Kategorien 0 oder 1 oder durch Verwendung einer vordefinierten Abschaltsequenz. Notstopp-Kategorie 0 bedeutet, dass sofort die Spannungsversorgung des Motors abgeschaltet wird. Stopp-Kategorie 0 entspricht der Funktion sicher abgeschaltetes Drehmoment (STO), wie in der Norm EN 61800-5-2 definiert. Notstopp-Kategorie 1 bedeutet, dass die Drehzahl der Maschine durch eine kontrollierte Verzögerung auf Null gebracht wird und dann die Spannungsversorgung des Motors abgeschaltet wird. Stopp- Kategorie 1 entspricht der Funktion sicherer Stopp (STO), wie in der Norm EN 61800-5-2 definiert. Bei der Aktivierung darf die Notstopp-Funktion keine zusätzlichen Gefahren erzeugen oder keine weiteren Eingriffe des Bedieners erfordern. Die Prinzipien für die Auslegung einer Notstopp-Funktion werden in der Norm EN ISO 13850:2008 vorgestellt. Verhinderung des unerwarteten Anlaufs Sicherstellen, dass eine Maschine gestoppt bleibt, wenn sich Personen im Gefahrenbereich aufhalten, ist eine der wichtigsten Bedingungen bei sicheren Maschinen. Die Safe torque-off (STO) Funktion kann verwendet werden, um die Funktionalität Verhinderung des unerwarteten Anlaufs auf effektive Weise zu implementieren, so dass die Stoppvorgänge sicher erfolgen, indem nur die Spannungsversorgung des Motors abgeschaltet wird, während die Steuerkreise des Hauptantriebs weiter mit Spannung versorgt werden. Die Verhinderung des unerwarteten Anlaufs erfordert beispielsweise zusätzlich zu der STO-Funktion einen Schlüsselschalter. Die Prinzipien und Anforderungen für die Verhinderung des unerwarteten Anlaufs sind in der Norm EN 1037:1995 +A1 beschrieben. Technische Anleitung Nr. 10 - Funktionale Sicherheit 21

Teil 3 Schritte zur Erfüllung der Anforderungen der Maschinenrichtlinie Die Maschinenrichtlinie schreibt vor, dass Maschinen sicher sein müssen. Allerdings kann es eine vollständige Sicherheit nicht geben. Das Ziel ist die Minimierung der Gefahr. Die Übereinstimmung mit der Maschinenrichtlinie kann auf folgende Weise erreicht werden: durch Erfüllen der Vorgaben aus den harmonisierten Normen oder durch die Abnahme einer Maschine durch eine bevollmächtigte Stelle. Der Prozess zur Erfüllung der EHSR der Maschinenrichtlinie durch Anwendung der harmonisierten Normen kann in neun Schritte unterteilt werden: Schritt 1: Management der funktionalen Sicherheit Management der funktionalen Sicherheit während der gesamten Nutzungsdauer der Maschine. Schritt 2: Risikobewertung Analyse und Bewertung der Risiken. Schritt 3: Risikoreduzierung Beseitigung oder Minimierung der Risiken durch eine entsprechende Konstruktion und Dokumentation. Schritt 4: Festlegen der Sicherheitsanforderungen definieren, was notwendig ist (Funktionalität, Sicherheitsniveau), um Risiken auszuschließen oder auf ein vertretbares Maß zu reduzieren. Schritt 5: Realisierung des Systems für die funktionale Sicherheit Sicherheitsfunktionen planen und umsetzen. Schritt 6: Überprüfen des Systems für funktionale Sicherheit sicherstellen, dass das Sicherheitssystem die festgelegten Anforderungen erfüllt. Schritt 7: Überprüfung des Systems der funktionalen Sicherheit zurückgehen zur Risikobewertung und sicherstellen, dass das Sicherheitssystem tatsächlich die Risiken, wie vorgesehen, reduziert. Schritt 8: Dokumentation die Ausführung dokumentieren, die Benutzer-Dokumentation erstellen. Schritt 9: Konformität anhand einer Konformitätsbewertung und technischer Unterlagen nachweisen, dass die Maschine die EHSR der Maschinenrichtlinie erfüllt. Diese einzelnen Schritte werden in den folgenden Kapiteln im Einzelnen erläutert. 22 Technische Anleitung Nr. 10 - Funktionale Sicherheit

Teil 3 Schritte zur Erfüllung der Anforderungen der Maschinenrichtlinie Erfassen des Stands der vorhandenen Maschinen Die folgenden Punkte sind bei der Aktualisierung der Sicherheitsanforderungen für vorhandene Maschinen zu berücksichtigen: Für Maschinen, die bereits das CE-Kennzeichen tragen, neue Komponenten, die in die Maschine eingebaut werden, müssen das CE-Kennzeichen tragen. Im Einzelfall ist festzulegen, wie die neuen Komponenten gemäß der Maschinenrichtlinie in das alte System eingebaut werden. Für Maschinen ohne CE-Kennzeichen muss das Sicherheitsniveau der Maschine durch Austausch der Komponenten gegen neue mit CE-Kennzeichen erhalten bleiben. In diesem Fall wird die Einbauerklärung nicht mit der Maschine mitgeliefert. Richtlinie 89/655/EWG und Änderung 95/63/EG müssen eingehalten werden. Letztendlich liegt es an der zuständigen Behörde zu entscheiden, ob der Änderungsumfang so groß ist, dass eine Aktualisierung des Sicherheitsniveaus erforderlich ist. GESETZE, VORGABEN Maschinenrichtlinie (EHSR) RISIKOERKENNUNG Risikobewertung, Risikoreduzierung SICHERHEITSFUNKTION Schritte 2-3 Spezifikation - Funktionalität - Sicherheitsniveau (SIL, PLT) Schritt 4 IMPLEMENTIERUNG Schritt 5 Architektur, Teilsysteme, Sicherheits-/ Zuverlässigkeitsparameter Konformitätsbewertung, technische Unterlagen, Dokumentation Schritt 9 KONFORMITÄT Dokumentation der Konstruktion, des Restrisikos, der Benutzeranleitung DOKUMENTATION Schritt 8 Erfüllt die Funktion die Vorgaben zur Risikoreduzierung? VALIDIERUNG Funktionsprüfung, erreichtes SIL-/PL-Niveau Schritt 6 VERIFIZIERUNG Schritt 7 Bild 3-1 Ablauf zur Erfüllung der Anforderungen der Maschinenrichtlinie Technische Anleitung Nr. 10 - Funktionale Sicherheit 23

Teil 3 Schritte zur Erfüllung der Anforderungen der Maschinenrichtlinie SCHRITT 1: Management der funktionalen Sicherheit Zum Erreichen der geforderten funktionalen Sicherheit müssen ein Projektmanagement und ein Qualitätsmanagementsystem eingerichtet werden, die z. B. den Normen IEC 61508 oder ISO 9001 entsprechen. Dieses Managementsystem kann in einem Sicherheitsplan definiert werden. Sicherheitsplan Ein Sicherheitsplan zur Erfüllung der Anforderungen der Maschinenrichtlinie ist in der Norm EN 62061 enthalten. Dieser Plan muss für jedes Sicherheitssystem erstellt, dokumentiert und bei Bedarf aktualisiert werden. Der Sicherheitsplan: legt alle relevanten Tätigkeiten fest, beschreibt die Vorgehenweise und Strategie zur Erfüllung der Anforderungen der funktionalen Sicherheit, legt die Zuständigkeiten fest, legt die Vorgehensweisen und Ressourcen für die Dokumentation fest, beschreibt die Strategie für das Konfigurationsmanagement und enthält Pläne zur Verifizierung und Validierung. Selbst wenn die oben genannten Aktivitäten in der EN ISO 13849-1:2008 nicht speziell definiert sind, sind ähnliche Aktivitäten für das Erfüllen der Anforderungen der Maschinenrichtlinie erforderlich. Wenn der Sicherheitsplan (gemäß EN 62061) erstellt ist, beginnt die Risikobewertung. SCHRITT 2: Risikobewertung Im Rahmen der Risikobewertung werden Risiken analysiert und bewertet. Ein Risiko setzt sich aus den Schadensfolgen und der Wahrscheinlichkeit des Auftretens des Schadens bei Gefahr zusammen. Die neue Maschinenrichtlinie 2006/42/EG schreibt die Durchführung der Risikobewertung für eine Maschine zwingend vor. Die Maschinenrichtlinie 2006/42/EG verlangt, dass die Hersteller Risikobewertungen durchführen und die Ergebnisse bei der Auslegung einer Maschine berücksichtigen. Jedes als "hoch" eingestufte Risiko muss durch Konstruktionsänderungen oder entsprechende Sicherheitstechniken auf ein akzeptables Maß reduziert werden. 24 Technische Anleitung Nr. 10 - Funktionale Sicherheit

Teil 3 Schritte zur Erfüllung der Anforderungen der Maschinenrichtlinie Der Bewertungsprozess hilft Maschinenbauern bei der Entwicklung und Konstruktion sicherer Maschinen. Die Risikobewertung in der Planungsphase ist sehr wichtig, da sie generell effektiver ist als Anweisungen, die dem Benutzer vorschreiben, wie Maschinen sicher betrieben werden. Die Risikobewertung gemäß EN ISO 12100-1 besteht aus zwei Teilen: Risikoanalyse und Risikobewertung. Mit der Risikoanalyse werden Gefahren erkannt und eingeschätzt. Mit der Risikobewertung wird entschieden, ob das Risiko akzeptabel ist oder ob eine Risikoreduzierung erforderlich ist. Die Risikobewertung ist vom Ergebnis der Risikoanalyse abhängig. Entscheidungen über die Notwendigkeit einer Risikoreduzierung werden nach dem Ergebnis des Risikobewertungsprozesses getroffen. Die Risikobewertung muss für jede Gefahr einzeln durchgeführt werden. Die vier Schritte von Risikoanalyse: 1. Festlegen der Grenzen und der bestimmungsgemäßen Verwendung der Maschine. Die Grenzen sind: Grenzen der Verwendung Räumliche Begrenzungen Grenzwerte für Umgebungsbedingungen die Lebensdauer betreffende Grenzen 2. Erkennen von Gefährdungen, die von der Maschine ausgehen könnten. 3. Abschätzen der ermittelten Risiken. Schwere des Risikos (potenzielle Folgen) Wahrscheinlichkeit des Risikos (Häufigkeit, Wahrscheinlichkeit, Vermeidung) 4. Das Risiko bewerten: Ist eine Risikoreduzierung erforderlich? JA: Maßnahmen zur Risikoreduzierung anwenden und zurück zu Schritt 2 der Risikonanalyse. Das 3-Schritt-Verfahren zur Risikoreduzierung gemäß EN ISO 12100-1 wird im folgenden Kapitel vorgestellt. NEIN: Das Ziel der Risikoreduzierung ist erreicht und der Risikobewertungsprozess ist beendet. Der Risikobewertungsprozess und seine Ergebnisse müssen für jede einzelne Gefahr dokumentiert werden. Technische Anleitung Nr. 10 - Funktionale Sicherheit 25

Teil 3 Schritte zur Erfüllung der Anforderungen der Maschinenrichtlinie Risikobewertung 1. Grenzen / Verwendungszweck der Maschine festlegen 2. Gefahren erkennen 3. Risiken einzeln einschätzen Schwere und Wahrscheinlichkeit 4. Risiko bewerten: Risiko niedrig genug (ja / nein) JA Ende Nein (siehe Bild 3-3) zur Risikoreduzierung Bild 3-2 Risikobewertung gemäß EN ISO 14121-1 Nach Durchführung der Risikobewertung gibt es entsprechend dem Ergebnis zwei Möglichkeiten: Option 1 Wenn die Bewertung ergibt, dass keine Risikoreduzierung erforderlich ist, hat die Maschine das von der Maschinenrichtlinie geforderte Sicherheitsniveau erreicht. Damit die Maschine das CE-Kennzeichen erhält, müssen die Restrisiken in den Betriebs- und Wartungshandbüchern dokumentiert werden. Es wird immer ein gewisses Restrisiko bleiben. Option 2 Wenn die Bewertung ergibt, dass das verbleibende Risiko nicht akzeptabel ist, beginnt der Prozess der Risikoreduzierung. SCHRITT 3: Risikoreduzierung Die effektivste Art, Risiken zu minimieren, ist es, bereits in der Planungsphase diese zu eliminieren, zum Beispiel durch Änderungen der Konstruktion oder des Arbeitsprozesses. Wenn dies nicht möglich ist, müssen Risiken reduziert und die Konformität mit den Anforderungen der Maschinenrichtlinie sichergestellt werden, indem die entsprechenden harmonisierten Normen angewandt werden. 26 Technische Anleitung Nr. 10 - Funktionale Sicherheit

Teil 3 Schritte zur Erfüllung der Anforderungen der Maschinenrichtlinie Wenn die Risikobewertung zu dem Schluss kommt, dass eine Risikoreduzierung notwendig ist, muss eine Strategie zur Risikominimierung erarbeitet werden. Gemäß der Norm EN ISO 12100-1 kann die Risikoreduzierung in drei Schritte unterteilt werden (3-Schritt-Verfahren): 3-Schritt-Verfahren 1. Maßnahmen für eine sichere Konstruktion eine sicherere Konstruktion erarbeiten, den Prozess ändern, das Risiko durch die geänderte Konstruktion beseitigen. 2. Sicherungsmaßnahmen und ergänzende Schutzmaßnahmen Sicherheitsfunktionen, feste Schutzeinrichtungen 3. Nutzungsanweisungen ( Bewältigung des Restrisikos) an der Maschine Warnzeichen, Hinweise und Warneinrichtungen und die Betriebsanleitung. Risikoreduzierung zurück zur Risikobewertung von der Risikobewertung Risikoreduzierungsmaßnahmen durchführen 1. Konstruktionsänderungen JA Risikoreduzierung durch Konstruktionsänderungen? NEIN 3-SCHRITT-VERFAHREN NEIN 2. Sicherheitstechnologie (funktionale Sicherheit) NEIN JA Risikoreduzierung durch funktionale Sicherheit? NEIN Angemessene Reduzierung (JA/NEIN)? 3. Prozesse, Nutzungsanweisungen JA Risikoreduzierung durch Prozesse und Anweisungen? JA NEIN NEIN Bild 3-3 Das 3-Schritt-Verfahren zur Risikoreduzierung gemäß EN ISO 12100-1 Technische Anleitung Nr. 10 - Funktionale Sicherheit 27

Teil 3 Schritte zur Erfüllung der Anforderungen der Maschinenrichtlinie Das Restrisiko ist das Risiko, das verbleibt, wenn alle Schutzmaßnahmen beachtet werden und implementiert sind. Technische Maßnahmen allein reichen nicht aus, um den Status Null Risiko zu erreichen, da ein Restrisiko immer bleibt. Diese Risiken müssen in der Betriebsanleitung dokumentiert werden. Zu den Pflichten des Benutzers bei der Risikoreduzierung gehört, dass er sich mit den Informationen des Maschinenbauers (Herstellers) befasst. Personen/Unternehmen, die die Maschine einsetzen, müssen folgende Risiko-Reduzierungsmaßnahmen ergreifen: Von dem Unternehmen üblicherweise durchgeführte Risiko-Reduzierungsmaßnahmen sind: Einführung sicherer Arbeitsabläufe, Arbeitsüberwachung, Arbeitserlaubnis-Systeme, Bereitstellung und Verwendung zusätzlicher Schutzeinrichtungen, Benutzung persönlicher Schutzausrüstungen, Mitarbeiterschulung, Sicherstellung, dass Betriebsanleitungen und Sicherheitsvorschriften gelesen werden und danach gehandelt wird. Die Planer sollten sich bei der Auswahl der Schutzmaßnahmen auch mit den Benutzern abstimmen. Wenn die Risiko-Reduzierung durchgeführt wurde, muss sie dahingehend überprüft werden, ob die Maßnahmen eine Reduzierung des Risikos auf ein angemessenes Maß gewährleisten. Dies kann durch Wiederholung des Risikobewertungsprozesses erfolgen. In den folgenden Schritten wird die zweite Option des 3-Schritt- Verfahrens beschrieben: Schutz durch eine Lösung aus dem Bereich der funktionalen Sicherheit: SCHRITT 4: Festlegen der Sicherheitsanforderungen Nachdem die gesamten Maßnahmen zur Risikoreduzierung durchgeführt wurden, die durch Konstruktionsänderungen möglich sind, müssen zusätzlich Schutzmaßnahmen festgelegt werden. Lösungen aus dem Bereich der funktionalen Sicherheit können bei Restrisiken als zusätzliche Risikoreduzierungsmaßnahmen verwendet werden. Sicherheitsfunktionen Eine Sicherheitsfunktion ist eine Schutzfunktion für eine Maschine, deren Störung zu einem plötzlichen Ansteigen eines Risikos führt. Kurz gesagt, sie ist eine Maßnahme zur Reduzierung der Wahrscheinlichkeit des Auftretens eines unerwünschten Ereignisses, das eine Gefährdung verursacht. Eine Sicherheitsfunktion ist keine Funktion für den normalen Betrieb der Maschine. Das bedeutet, wenn diese Funktion gestört ist, kann die Maschine noch normal betrieben werden, nur das Risiko von Verletzungen oder Schäden durch den Betrieb steigt. 28 Technische Anleitung Nr. 10 - Funktionale Sicherheit

Teil 3 Schritte zur Erfüllung der Anforderungen der Maschinenrichtlinie Die Definition einer Sicherheitsfunktion beinhaltet immer zwei Aspekte: notwendige Maßnahme (was zur Reduzierung des Risikos unternommen werden muss) und das Sicherheitsniveau (SIL oder PL Safety Integrity Level bzw. Performance Level) Eine Sicherheitsfunktion muss für jede einzelne, erkannte Gefahr spezifiziert, überprüft (Funktionalität und Sicherheitsniveau) und validiert werden. Beispiel einer Sicherheitsfunktion: Voraussetzung: Eine freiliegende drehende Welle kann eine Person verletzen, die ihr zu nahe kommt. Maßnahme: Zur Vermeidung der Verletzung muss der Motor innerhalb einer (1) Sekunde nach Öffnen der Sicherheitsschranke stoppen. Nach der Identifizierung der Sicherheitsfunktion, die die Maßnahme ausführt, muss ihre erforderliche Sicherheitsstufe bestimmt werden. Sicherheitsniveau/Sicherheitsintegrität Die Sicherheitsintegrität misst die Leistung einer Sicherheitsfunktion. Sie hilft, die Wirkungswahrscheinlichkeit der Sicherheitsfunktion zu quantifizieren. Die erforderliche Sicherheitsintegrität einer Funktion wird bei der Risikobewertung bestimmt und je nach der zugrunde gelegten Norm durch die ermittelte SIL- oder PL-Kategorie angegeben. SIL und PL verwenden verschiedene Bewertungsverfahren für eine Sicherheitsfunktion, ihre Ergebnisse sind jedoch vergleichbar und die Begriffe und Definitionen sind für beide gleich. Bestimmung der geforderten SIL ( EN 62061) Die Vorgehensweise bei der Bestimmung der geforderten SIL ist, wie folgt: 1. Bestimmen der Schwere der Folgen eines gefährlichen Ereignisses. 2. Bestimmen des Punktwerts für die Häufigkeit und Dauer, die Personen der Gefahr ausgesetzt sind. 3. Bestimmen des Punktwerts für die Wahrscheinlichkeit des Auftretens des gefährlichen Ereignisses, falls Personen der Gefahr ausgesetzt sind. 4. Bestimmen des Punktwerts für die Möglichkeit zur Verhinderung oder Begrenzung des Umfangs der Gefährdung. Technische Anleitung Nr. 10 - Funktionale Sicherheit 29

Teil 3 Schritte zur Erfüllung der Anforderungen der Maschinenrichtlinie Beispiel: Die bei der Bestimmung der Punktwerte verwendeten Parameter sind in dem folgenden Beispiel einer SIL-Zuweisungstabelle dargestellt. WAHRSCHEINLICHKEIT DES AUFTRETENS EINER VERLETZUNG Fr Häufi gkeit, Dauer <= Stunde 5 > 1h <= Tag 5 > Tag <= 2 Wochen 4 > 2 Wo. <= 1 Jahr 3 > 1 Jahr 2 Pr Wahrscheinlichkeit eines gefährlichen Ereignisses Sehr hoch 5 Wahrscheinlich 4 Möglich 3 Selten 2 Vernachlässigbar 1 Av Vermeidung Unmöglich 5 Möglich 3 Wahrscheinlich 1 5+3+3=11 SCHWERE des Schadens Se Folgen (schwere) Tod, Verlust eines Auges o. Arms 4 Bleibender Schaden, Verlust von Fingern 3 Leichte, heilbare Verletzung 2 Leichte Verletzung, Erste Hilfe 1 SIL-Klasse Klasse CI 3-4 5-7 8-10 11-13 14-15 SIL2 SIL2 SIL2 SIL3 SIL3 OM SIL1 SIL2 SIL3 OM SIL1 SIL2 OM SIL1 Eine SIL2 Sicherheitsfunktion ist erforderlich Bild 3-4 Beispiel einer SIL-Zuweisungstabelle In diesem Beispiel wird die Gefahrenanalyse für eine freiliegende drehende Welle durchgeführt. 1. Schwere (Se) = 3. Die Folge der Gefahr ist eine dauerhafte Schädigung, evtl. der Verlust von Fingern. 2. Häufigkeit (Fr) = 5. Eine Person ist der Gefahr mehrmals täglich ausgesetzt. 3. Wahrscheinlichkeit (Pr) = 3. Es ist möglich, dass die Gefahr auftritt. 4. Vermeidung (Av) = 3. Die Gefahr kann vermieden werden. 5 + 3 + 3 = 11, mit den ermittelten Folgen entspricht dies SIL 2. Die zur Ermittlung der Punktzahl verwendeten Tabellen sind in der Norm enthalten. Nachdem die erforderliche SIL festgelegt ist, kann mit der Umsetzung des Sicherheitssystems begonnen werden. Ermitteln des erforderlichen PL-Werts ( EN ISO 13849-1) Um den erforderlichen PL-Wert zu ermitteln, muss eine der Alternativen aus den folgenden Kategorien ausgewählt und ein Pfad zu den erforderlichen PL-Wert im Diagramm erstellt werden. 30 Technische Anleitung Nr. 10 - Funktionale Sicherheit