Die technische Auslegung einer Zweihand-Sicherheitssteuerung

Eine Zweihand-Sicherheitssteuerung ist erst dann betriebsbereit, wenn die installierte Maschine ihre vorgegebenen Prüfungen für Zustand, Zeitverhalten, Wiederanlauf und Fehlerreaktion besteht. Das Drücken zweier Taster während eines normalen Zyklus beweist nur sehr wenig. Die Inbetriebnahme muss zeigen, was geschieht, wenn ein Eingang zu früh, zu spät, gehalten, verloren oder fehlerhaft ist und der pneumatische Ausgang nicht wie befohlen reagiert.

Dieser Artikel ist ein Leitfaden für Inbetriebnahme und Fehlereinbringung. Für Gerätetypen, Schutzgrenzen, Zweihandsteuerung gegenüber Zweihandauslösung und Grundsätze zu Sicherheitsabständen beginnen Sie mit der Übersicht zur pneumatischen Zweihandsteuerung. Für die Auslegung des Performance Level verwenden Sie den separaten Leitfaden für pneumatische Sicherheitsschaltungen nach ISO 13849.

Wichtigste Erkenntnisse

• ISO 13851 definiert drei THCD-Typen, schützt jedoch nur die Person, die das Gerät bedient.
• Prüfen Sie jeden zulässigen Zustand und jeden unzulässigen Wiederanlaufpfad.
• Messen Sie den installierten Ausgang, den Druck und die gefährliche Bewegung, nicht nur den Relaisstatus.
• Bringen Sie Fehler nach einem kontrollierten Validierungsplan ein, niemals bei einer dem Gefahrenbereich ausgesetzten Person.

Welche Grundlagen müssen vor Beginn der Inbetriebnahme feststehen?

ISO 13851:2019 definiert drei funktionale THCD-Typen, wählt jedoch keinen davon für eine bestimmte Maschine aus. Die Inbetriebnahme muss daher mit einer freigegebenen Spezifikation der Sicherheitsfunktion beginnen, die den gewählten Typ, die gefährdete Person, die Gefährdung, den sicheren Zustand, das erforderliche Performance Level, das Zeitverhalten und maschinenspezifische Abnahmegrenzen festlegt (ISO 13851, bestätigt 2024).

Beginnen Sie nicht mit der Einstellung von Tasterzeit oder Ventildurchfluss. Legen Sie zuerst die Dokumente fest, die das erforderliche Systemverhalten beschreiben. Ein Inbetriebnahmeteam kann kein belastbares Prüfergebnis liefern, wenn sich das geforderte Verhalten während der Prüfung ändert.

Der minimale Eingabedatensatz sollte enthalten:

• die aktuelle Risikobeurteilung und die anwendbare Typ-C-Maschinennorm;
• die Spezifikation der Sicherheitsfunktion und das erforderliche Performance Level beziehungsweise PLr;
• den gewählten THCD-Typ und die genaue Geräteanleitung;
• elektrische und pneumatische Schaltpläne mit Revisionsnummern;
• das Programm und die Prüfsumme der Sicherheitssteuerung;
• die Sicherheitsanleitung des Ausgangsventils, die Rückmeldemethode und zulässiges Zubehör;
• die erwartete Reaktion auf das Loslassen einer Hand, Rückstellung, Stromausfall und Druckluftausfall;
• gemessene oder spezifizierte Anhalte- und Schließgrenzen an der Gefahrenstelle;
• eine Fehlerliste, Prüfmethode, Abnahmekriterien und Wiederherstellungsmethode;
• Namen und Rollen des Validierers, des Prüfzeugen und der Person, die die Freigabe erteilt.

Ein Abnahmekriterium für die Inbetriebnahme ist eine messbare Bedingung, die vor Beginn der Prüfung zwischen bestanden und nicht bestanden unterscheidet. „Die Maschine hält sicher an“ reicht nicht aus. Legen Sie die maximal zulässige Restbewegung, Druckschwelle, Ausgangszustand, zulässige Reaktionszeit, Sensorkombination und das akzeptierte Wiederanlaufverhalten fest.

ISO 12100 liefert den Rahmen für die dieser Arbeit vorausgehende Risikobeurteilung, während ISO 13849-1 die Methode für die Auslegung des Steuerungssystems bereitstellt. Keine der beiden Normen weist jeder Zweihandanwendung ein universelles PLr oder einen universellen sicheren Zustand zu (ISO 12100, confirmed 2022; ISO 13849-1, 2023).

Wenn die Spezifikation nicht beantworten kann, welche Bewegung, welcher Druck oder welche gespeicherte Energie nach dem Loslassen einer Hand zulässig ist, stoppen Sie. Das ist eine Lücke in der Auslegung und keine Einstellung der Inbetriebnahme.

Welche Zustandstabelle muss die Schaltung bestehen?

Ein Zweihandgerät besitzt zwei absichtlich betätigte Handeingänge, doch für die Validierung reichen die vier booleschen Eingangskombinationen nicht aus. ISO 13851 behandelt außerdem die Verhinderung der Umgehung, die Fehlervermeidung und die Prüfung. Die Zustandstabelle muss die zeitliche Reihenfolge, das Verhalten bei gehaltenem Eingang, das Loslassverhalten, die Rückstellung und die Wiederherstellung von Strom oder Druckluft enthalten (ISO 13851, bestätigt 2024).

Erstellen Sie die Zustandstabelle aus der freigegebenen Spezifikation der Sicherheitsfunktion. Das folgende Beispiel ist ein Prüfrahmen und kein Ersatz für die Anleitung des gewählten THCD oder die Maschinennorm.

Prüfzustand	Eingang A	Eingang B	Zusatzbedingung	Erwartetes Ergebnis
S0 bereit	losgelassen	losgelassen	Sicherheitsbedingungen erfüllt	Ausgang bleibt aus und eine neue Anforderung ist zulässig
S1 nur A	betätigt	losgelassen	beliebige Dauer	Sicherheitsausgang bleibt aus
S2 nur B	losgelassen	betätigt	beliebige Dauer	Sicherheitsausgang bleibt aus
S3 gültige Anforderung	betätigt	betätigt	Synchronisationsanforderung erfüllt	Ausgang darf nur einschalten, wenn alle anderen Sicherheitsbedingungen erfüllt sind
S4 verspäteter zweiter Eingang	betätigt	betätigt	Synchronisationsanforderung nicht erfüllt	Ausgang bleibt aus; beide Eingänge müssen in den erforderlichen Wiederanlaufzustand zurückkehren
S5 eine Hand losgelassen	losgelassen	betätigt oder umgekehrt	während der erforderlichen Steuerperiode	Ausgang wechselt in den spezifizierten sicheren Zustand und die Maschinenreaktion bleibt innerhalb der Grenzen
S6 Wiederholversuch bei gehaltenem Eingang	betätigt	losgelassen und erneut betätigt oder umgekehrt	ein Eingang kehrte nie in den Bereitschaftszustand zurück	kein neuer gefährlicher Zyklus ist zulässig
S7 Wiederherstellung	betätigt oder beide betätigt	betätigt oder losgelassen	elektrische Energie oder Druckluft kehrt zurück	kein unerwarteter gefährlicher Wiederanlauf

Erfassen Sie sowohl den Befehl als auch das beobachtete Ergebnis. Ein Bit der Sicherheitssteuerung kann abschalten, während ein Ventil weitergeschaltet bleibt, Druck eingeschlossen ist oder sich der Mechanismus weiterbewegt. Der Abnahmenachweis benötigt Belege aus der vollständigen Kette von Eingang, Logik, Ausgang und Maschinenreaktion.

Die Zustandsnamen sollten im Prüfverfahren, in der Steuerungsdiagnose und im Abschlussbericht erscheinen. Die gemeinsame Benennung macht eine fehlgeschlagene Prüfung rückverfolgbar. Sie verhindert außerdem, dass eine vage Notiz wie „Tasterprüfung bestanden“ verdeckt, welcher Zeit- oder Wiederanlaufpfad tatsächlich geprüft wurde.

Die unzulässigen Zustände zeigen oft mehr als der gültige Zustand. Ein korrekter Start mit zwei Tastern kann bestanden werden, obwohl Anti-Tie-Down oder Wiederanlaufsperre fehlerhaft sind. Die Inbetriebnahme sollte Befehlen, die keinen Ausgang erzeugen dürfen, mindestens ebenso viel Aufmerksamkeit widmen wie dem einen Befehl, der einen Ausgang erzeugen darf.

Wie werden Gleichzeitigkeit, Anti-Tie-Down und Wiederholsperre geprüft?

OSHA verlangt für bestimmte Anwendungen an mechanischen Pressen eine gleichzeitige Betätigung und ein Verhalten gegen Wiederholung, während ISO 13851 das Geräteverhalten nach THCD-Typ festlegt. Keine der Quellen unterstützt das Übertragen eines beliebigen Zeitwerts auf jede Maschine. Prüfen Sie das vom gewählten Gerät und der Spezifikation der Sicherheitsfunktion vorgegebene Synchronisationsfenster und die Wiederanlaufsequenz (OSHA 1910.217; ISO 13851).

Verwenden Sie einen kontrollierten Eingangsgenerator, einen Trace der Sicherheitssteuerung oder instrumentierte Antriebe, wenn eine manuelle Zeitnahme keine wiederholbaren Grenzprüfungen ermöglicht. Prüfen Sie Werte unterhalb, an und oberhalb der zulässigen Synchronisationsgrenze. Erfassen Sie die Zeitstempel der Eingangswechsel und den Sicherheitsausgang. Leiten Sie das tatsächliche Zeitfenster nicht daraus ab, ob sich ein Zylinder zufällig bewegt hat.

Führen Sie diese Sequenzen sowohl in der Reihenfolge A zuerst als auch B zuerst aus:

1. Betätigen Sie den zweiten Eingang deutlich innerhalb des zulässigen Intervalls und bestätigen Sie, dass ein gültiger Ausgang möglich ist.
2. Wiederholen Sie die Prüfung an der dokumentierten Grenze mit Geräten ausreichender Zeitauflösung.
3. Betätigen Sie den zweiten Eingang außerhalb des zulässigen Intervalls und bestätigen Sie, dass der Ausgang aus bleibt.
4. Lassen Sie nur einen Eingang los, betätigen Sie ihn erneut, während der andere gehalten bleibt, und bestätigen Sie, dass kein neuer Zyklus beginnt.
5. Halten Sie einen Eingang vor der Rückstellung oder dem Wechsel in einen Modus betätigt und betätigen Sie dann den zweiten Eingang.
6. Halten Sie beide Eingänge während Rückstellung, Stromwiederkehr und Druckluftwiederkehr betätigt.
7. Lassen Sie beide Eingänge los, stellen Sie den erforderlichen Bereitschaftszustand wieder her und bestätigen Sie, dass die nächste gültige Anforderung der dokumentierten Sequenz folgt.

Anti-Tie-Down und Wiederholsperre stehen in Beziehung zueinander, sind aber nicht austauschbar. Anti-Tie-Down bezeichnet das Verhalten, das verhindert, dass ein gehaltener oder überlisteter Eingang mit wiederholter Betätigung des anderen Eingangs kombiniert wird. Wiederholsperre bezeichnet das Verhalten, das einen weiteren gefährlichen Zyklus ohne die erforderliche Loslass- und neue Betätigungssequenz verhindert. Der Prüfbericht sollte angeben, welche Anforderung jede Sequenz nachweist.

Wenn eine konfigurierbare Sicherheitssteuerung die Zeitüberwachung übernimmt, prüfen Sie Parametergrenzen, Zugriffsschutz, Downloadprotokoll und Prüfsumme. Wenn ein eigenes THCD-Modul sie übernimmt, erfassen Sie die genaue Teilenummer, Revision, Versorgungsbedingungen und Diagnoseanzeige. Prüfen Sie in beiden Fällen die installierten Signale. Eine Katalogangabe beweist nicht, dass Feldverdrahtung oder Schlauchführung der bewerteten Anordnung entsprechen.

Planung der Fehlereinbringung und Prüfsteuerung

ISO 13849-2:2012 verlangt die Validierung der spezifizierten Sicherheitsfunktionen, Kategorie und des erreichten Performance Level durch Analyse und Prüfung. Die Fehlereinbringung gehört in diesen geplanten Validierungsprozess. Sie muss identifizierte Fehler, definierte Abnahmekriterien, befugtes Personal, kontrollierte Energie und eine dokumentierte Methode zur Wiederherstellung der Maschine verwenden (ISO 13849-2).

Improvisieren Sie niemals Fehler an einer Produktionsmaschine, während sich eine Person im Gefahrenbereich befindet. Richten Sie vor der Änderung eines Sicherheits-eingangs oder -ausgangs Barrieren, mechanische Rückhalteeinrichtungen, Prüfmodus, Energiegrenzen und eine Notfallwiederherstellung ein. Die Prüfleitung muss die Tätigkeit jederzeit stoppen können, wenn der beobachtete Maschinenzustand vom Verfahren abweicht.

Dokumentieren Sie für jeden Fehler:

• Prüf-ID und angefochtene Sicherheitsanforderung;
• genau betroffenen Leiter, Schlauch, betroffenes Ventil, Sensor- oder Softwaresignal;
• Maschinenmodus, Last, Position, Druck, Temperatur und Geschwindigkeit;
• sichere Methode zur Simulation des Fehlers;
• erwartete Diagnoseanzeige und Fehlerreaktion;
• ob der aktuelle Zyklus, der nächste Zyklus oder beide gesperrt werden müssen;
• erwartete Reaktion von Ausgangsventil, Nachdruck und Mechanik;
• Wiederherstellungsschritte und Prüfungen vor der nächsten Prüfung;
• tatsächliches Ergebnis, Nachweisdatei, Zeuge, Datum und Entscheidung.

Bringen Sie jeweils nur einen geplanten Fehler ein, sofern Risikobeurteilung und Validierungsplan nicht ausdrücklich eine Prüfung angesammelter Fehler verlangen. Unkontrollierte Kombinationen erschweren die Diagnose und können einen gefährlichen Zustand erzeugen, den das Verfahren nie berücksichtigt hat. Bestätigen Sie nach jeder Prüfung, dass temporäre Brücken, Stecker, Softwarezwänge, gedrosselte Schläuche und simulierte Rückmeldesignale entfernt wurden.

Aus unserer Erfahrung bei der Prüfung von Validierungsunterlagen ist eine undokumentierte temporäre Überbrückung das gefährlichste Prüfartefakt. Eine auffällig markierte, nummerierte Prüfleitung und eine unterschriebene Wiederherstellungs-Checkliste sind einfache Maßnahmen, verhindern aber, dass eine erfolgreiche Fehlerprüfung die Maschine in einem umgangenen Zustand zurücklässt.

Matrix für Fehler an Eingängen und Logik

ISO 13849-1 gilt für elektrische, pneumatische, hydraulische, mechanische und softwarebasierte Elemente in Sicherheitsfunktionen mit hoher Anforderungsrate oder kontinuierlichem Betrieb. Eine Zweihandschaltung kann daher durch Verdrahtung, Schläuche, Antriebsmechanik, Logikparameter oder gemeinsame Versorgungen ausfallen. Die Fehlerliste muss der tatsächlich eingesetzten Technik folgen und darf nicht voraussetzen, dass jedes System rein elektrisch ist (ISO 13849-1, 2023).

Wählen Sie Fehler aus der Ausfallanalyse der Auslegung und den Sicherheitsanleitungen der Komponenten. Die folgende Matrix liefert Prüfimpulse; sie erklärt nicht jeden aufgeführten Fehler für anwendbar oder sicher einbringbar.

Fehlerimpuls	Was die Prüfung hinterfragt	Zu erfassender Nachweis
Unterbrechung von Eingang A oder verlorenes pneumatisches Signal	Ausfall eines Kanals	Ausgangszustand, Diagnose, Wiederanlaufsperre
Unterbrechung von Eingang B oder verlorenes pneumatisches Signal	Unabhängigkeit des Gegenkanals	derselbe Nachweis mit vertauschten Kanälen
Eingang gegen Versorgung kurzgeschlossen oder Druck gehalten	dauerhaft aktiver Eingang	Verhalten von Anti-Tie-Down und Fehlererkennung
Eingang gegen Masse oder Abluft kurzgeschlossen	dauerhaft inaktiver Eingang	kein falscher Ausgang und korrekte Diagnose
Querschluss oder gekreuzte Schläuche, sofern plausibel	Kanalunabhängigkeit und Abweichungsüberwachung	ob eine Handlung beide Kanäle erfüllen kann
Antrieb mechanisch gehalten	Widerstand gegen Umgehung	kein Wiederholzyklus durch den freien Antrieb
Eingangszeitpunkt außerhalb des zulässigen Fensters	Synchronisationsüberwachung	Zeitstempel und abgewiesener Ausgang
Zeitparameter verändert	Konfigurationskontrolle	Zugriffsschutz, Prüfsumme, Diagnose, Prüfergebnis
Versorgung des Eingangsmoduls verloren	Verhalten bei Energielosigkeit	Ausgangs- und Wiederanlaufzustand
Rückstelleingang gehalten oder fehlerhaft	Rückstellüberwachung	Rückstellung löst keine Bewegung aus und verdeckt keinen Eingangsfehler

Erzeugen Sie keinen Kurzschluss, sofern die Methode nicht durch Komponenten-anleitung und Prüfaufbau als sicher bestätigt ist. Ein integrierter Prüfimpuls der Steuerung oder eine zertifizierte Fehlereinbringungseinheit kann vorzuziehen sein. Pneumatische Eingänge können statt des Abklemmens von Schläuchen oder des Einbaus nicht gelisteter Drosseln eine vom Hersteller freigegebene Sperr-, Entlüftungs- oder Signalhaltemethode erfordern.

Prüfen Sie die Kanalsymmetrie. Wenn der Fehler im A-Kanal erkannt wird, der entsprechende Fehler im B-Kanal jedoch nicht, untersuchen Sie Verdrahtung, Diagnosekonfiguration und Annahmen zu gemeinsamen Ursachen. Ein Eingangspaar ist nicht allein deshalb redundant, weil zwei Taster am Bedienpult sichtbar sind.

Matrix für Fehler an Ausgang und Pneumatik

Festo beschreibt die pneumatische Zweihandsteuerung als gleichzeitige Betätigung, die ein Ausgangssignal erzeugt. Dieses Signal ist nicht selbst der sichere Zustand. Die Inbetriebnahme muss nachgeschaltetes Ventil, Druckpfad, Antrieb, Last und Rückmeldung prüfen, weil ein ausgefallenes Ausgangselement oder eine eingeschränkte Abluft die Maschinenreaktion verändern kann (Festo Pneumatic Safety).

Beginnen Sie mit den von der Ventil-Sicherheitsanleitung und der Schaltungsanalyse ermittelten Ausgangsausfällen. Einige Fehler sollten über Rückmeldung oder einen Prüfaufbau simuliert werden, statt ein Ventil physisch zu verklemmen. Die Methode darf keine zertifizierte Komponente beschädigen oder eine unkontrollierte Bewegung erzeugen.

Fehlerimpuls	Erforderliche technische Frage	Nachweis an der installierten Maschine
Ein Ausgangskanal schaltet nicht	Hält die verbleibende Architektur die spezifizierte Sicherheitsfunktion aufrecht?	Steuerungsausgang, Ventilrückmeldung, Druck, Bewegung
Ventilrückmeldung bleibt im vorherigen Zustand	Wird die Abweichung innerhalb der erforderlichen Zeit erkannt?	Rückmeldungstrace, Diagnosecode, Sperre des nächsten Zyklus
Abluftpfad bis zur plausiblen Grenze eingeschränkt	Bleiben Druckabfall und Bewegung innerhalb der Abnahmegrenzen?	Nachdruckkurve und gefährliche Bewegung
Schalldämpfer verstopft oder falsches Zubehör montiert	Erkennt oder toleriert die dokumentierte Konfiguration die Einschränkung?	Teilenummer, Drucktrace, Prüfergebnis
Minimaler und maximal zulässiger Versorgungsdruck	Bleibt die sichere Reaktion über den zulässigen Bereich gültig?	Anschlussdruck, Ventilzustand, Anhalteergebnis
Druckluftversorgung verloren und wiederhergestellt	Kann die Druckwiederkehr eine Bewegung auslösen?	Befehlszustände, Druckanstieg, Antriebsposition
Nachgeschalteter Schlauch versagt oder leckt	Bewegt sich die Last, wird sie freigegeben oder fällt sie?	Lastzustand und Reaktion der unabhängigen Rückhaltung
Positions- oder Druckrückmeldung wird falsch vorgegeben	Erkennt die Plausibilitätslogik die Abweichung?	Sensorwerte, Diagnose, Ausgangsverhalten
Schwerkraft- oder Federlast wirkt nach der Entlüftung	Ist Entlüften tatsächlich der sichere Zustand?	gemessene Bewegung und Zustand der Halteeinrichtung

Die sichere pneumatische Reaktion kann Sperren, Entlüften, Stoppen und Halten, kontrolliertes Zurückfahren oder eine Kombination daraus sein. Sofortiges Entlüften ist nicht grundsätzlich sicher. Ein vertikaler Zylinder kann absinken und eine Klemme ein Werkstück freigeben. Verwenden Sie den Leitfaden zur Integration sicherer Entlüftungsventile und Leitfaden zu Zylinderstangensperren wenn diese Funktionen Teil der Risikominderung sind.

Die Ventilrückmeldung beweist, dass ein Ventilelement einen überwachten Zustand erreicht hat. Sie beweist nicht, dass der Druck an der Gefahrenstelle schnell genug abgefallen ist oder die gefährliche Bewegung angehalten hat. Der Validierungstrace muss über das überwachte Ventil hinaus bis zur physischen Größe reichen, die eine Person verletzen kann.

Messen der Reaktion der installierten Maschine

Die OSHA-Regel für mechanische Pressen verwendet für bestimmte Zweihand-Schutzeinrichtungen eine Handgeschwindigkeitskonstante von 63 Zoll pro Sekunde zusammen mit der gemessenen Anhalte- oder Schließzeit. Die übergeordnete Aussage lautet: Der Sicherheitsabstand hängt von der Reaktion der installierten Maschine ab, nicht von einer Relais- oder Katalogzeit des Ventils (OSHA 1910.217).

Ordnen Sie die Ereignisse, die die Sicherheitsfunktion definieren, zeitlich zu:

1. Wechsel von Handeingang A und Handeingang B;
2. Entscheidung der Sicherheitslogik und Ausgangsbefehl;
3. Rückmeldung des Ausgangsventils oder Position des überwachten Elements;
4. Nachdruck in der relevanten Zone;
5. Bewegung von Antrieb, Schlitten, Klemme oder Werkzeug;
6. Erreichen der spezifizierten Schwelle des sicheren Zustands.

Verwenden Sie Messgeräte mit ausreichender Auflösung und Genauigkeit für die Abnahmegrenze. Erfassen Sie Kalibrierstatus, Abtastrate, Sensorbereich, Triggerverfahren und Signalskalierung. Ein Handyvideo kann ein Ereignis veranschaulichen, ersetzt bei knapper Grenze jedoch keine rückverfolgbare Zeit- und Bewegungsdatenerfassung.

Messen Sie die ungünstigste plausible Bedingung und nicht nur einen bequemen Leerzyklus. Relevante Variablen können maximale Last, höchste Geschwindigkeit, minimalen und maximalen Versorgungsdruck, warmen und kalten Betrieb, verschlissenen Bremsenzustand, längsten zulässigen Schlauch, zulässigen Schalldämpfer, eingeschränkte Abluft, ungünstige Zylinderposition und Schwerkraftrichtung umfassen.

ISO 13855:2024 behandelt die Positionierung von Zweihandsteuerungen und anderen Schutzeinrichtungen im Verhältnis zur Annäherung von Personen. Verwenden Sie für die tatsächliche Maschine die anwendbare Norm und die Anforderungen der Typ-C-Norm. Übernehmen Sie die OSHA-Formel für mechanische Pressen oder einen allgemeinen Wert von 500 ms nicht für eine davon unabhängige pneumatische Vorrichtung (ISO 13855, 2024).

Speichern Sie die Rohtraces ebenso wie das zusammengefasste Prüfergebnis. Ein Bericht sollte einem Prüfer ermöglichen, Sicherheitsanforderung, Ausgangswechsel, Druckreaktion, mechanische Reaktion und Abnahmeschwelle auf derselben Zeitbasis zu erkennen.

Wie werden Rückstellung, Stromwiederkehr und Moduswechsel geprüft?

OSHA 1910.217 verlangt bei bestimmten Pressensteuerungen das Loslassen aller Handsteuerungen, bevor ein unterbrochener Hub fortgesetzt werden kann. ISO 13849-1 behandelt Wiederanlauf und Sicherheitsfunktionsverhalten als Teil der vollständigen Steuerungsauslegung. Die Inbetriebnahme muss Rückstellung, Stromzyklen, Druckluftwiederkehr und Moduswechsel als getrennte Ereignisse prüfen (OSHA 1910.217; ISO 13849-1).

Eine Rückstellung sollte einen sicheren Zustand bestätigen und einen späteren Befehl zulassen. Sie darf selbst keine gefährliche Bewegung einleiten. Prüfen Sie dieses Prinzip bei losgelassenen, einzeln gehaltenen und gemeinsam gehaltenen Handeingängen sowie mit korrekten und fehlerhaften relevanten Rückmeldesignalen.

Prüfen Sie mindestens diese Übergänge:

• Steuerung aus- und einschalten, ohne dass ein Handbetätiger gedrückt ist;
• Stromwiederkehr bei gehaltenem einem Betätiger;
• Stromwiederkehr bei gehaltenen beiden Betätigern;
• Druckluftwiederkehr vor der elektrischen Energie und in umgekehrter Reihenfolge;
• Rückstellung bei weiterhin aktivem Eingang;
• Rückstellung bei abweichender Ventilrückmeldung;
• Moduswechsel von automatisch zu manuell und von manuell zu automatisch;
• Rückkehr aus dem Not-Halt;
• Rückkehr aus einer Schutz- oder externen Sicherheitsanforderung;
• Kommunikationsverlust und Wiederherstellung bei vernetzter Sicherheit.

Erfassen Sie, ob die Maschine angehalten bleibt, Druck ansteigt, sich ein Antrieb bewegt und welche bewusste Handlung vor einem neuen Zyklus erforderlich ist. „Kein Ausgangsbit“ reicht nicht aus, wenn die Druckluftwiederkehr ein federrückgestelltes Ventil schalten oder einen schwerkraftbelasteten Mechanismus bewegen kann.

Not-Halt und Zweihandsteuerung sind getrennte Sicherheitsfunktionen. ISO 13850 definiert die Not-Halt-Funktion unabhängig von der Energietechnik. Verwenden Sie eine bestandene Not-Halt-Prüfung nicht, um eine fehlgeschlagene Zweihandanforderung abzuschließen, und umgekehrt (ISO 13850, confirmed 2020).

Warum ist Lockout/Tagout eine getrennte Prüfgrenze?

OSHA 1910.147 schließt pneumatische Energie ausdrücklich ein und verlangt bei erfassten Wartungsarbeiten Maßnahmen gegen unerwartete Energiezufuhr, Anlauf und Freisetzung gespeicherter Energie. Ein Zweihandgerät oder Sicherheitsrelais ist eine betriebliche Schutzeinrichtung und nicht automatisch eine energietrennende Einrichtung. Die Inbetriebnahme muss die Prüfung der Sicherheitsfunktion von der Verifizierung der Wartungsisolierung trennen (OSHA 1910.147).

Ein verriegelbares manuelles Versorgungs- und Entlüftungsventil kann ein Verfahren zur Energiekontrolle unterstützen, wenn Gerät, Installation, Maßnahmen für gespeicherte Energie und Verifizierungsschritte die anwendbaren Anforderungen erfüllen. Sein Vorhandensein weist nicht das Performance Level einer automatischen Sicherheitsfunktion nach. Ebenso isolieren das Drücken des Not-Halts oder das Entfernen eines Sicherheitsausgangs nicht automatisch jede Energiequelle.

Wenn die Fehlereinbringung das Betreten eines Gefahrenbereichs, das Ändern von Schläuchen, das Sichern eines Ventils oder das Berühren einer Last erfordert, wenden Sie das am Standort freigegebene Isolationsverfahren an. Ermitteln Sie pneumatische, elektrische, mechanische, durch Schwerkraft, Federn, Vakuum, Hydraulik und Wärme gespeicherte Energie. Entlasten, trennen, sperren oder sichern Sie gespeicherte Energie und verifizieren Sie die Isolation vor Beginn der Arbeit.

Entfernen Sie nach Abschluss der Änderung Werkzeuge und temporäre Prüfgeräte, bringen Sie Schutzeinrichtungen wieder an, prüfen Sie, dass sich keine Personen im Gefahrenbereich befinden, und befolgen Sie das freigegebene Verfahren zur Wiederinbetriebnahme. Die nächste Funktionsprüfung beginnt erst, wenn die Maschine in ihre definierte Prüfkonfiguration zurückgeführt wurde.

Der Leitfaden zur Auswahl manueller und mechanischer Ventile erläutert gewöhnliche Ventilfunktionen. Rechnen Sie ein gewöhnliches manuelles Ventil nicht als sicherheitsbewertete Trenneinrichtung oder als THCD-Eingang an, sofern die Dokumentation diese konkrete Verwendung nicht unterstützt.

Welche Nachweise machen den Validierungsdatensatz prüfbar?

ISO 13849-2 verlangt die Validierung der spezifizierten Sicherheitsfunktionen, Kategorie und des Performance Level durch Analyse und Prüfung. Eine reine Bestanden/Nicht-bestanden-Checkliste kann nicht zeigen, welche Konfiguration geprüft wurde. Der Abschlussdatensatz muss jede Anforderung mit Methode, Messwert, Fehlerreaktion, Nachweisdatei und freigegebener Entscheidung verknüpfen (ISO 13849-2, 2012).

Verwenden Sie eine Zeile pro Prüfung und nicht eine Zeile pro Komponente:

Feld im Datensatz	Erforderlicher Inhalt
Sicherheitsfunktion	Kennung, Beschreibung, Gefährdung, sicherer Zustand, PLr
Anforderung	genauer Zustand, Zeit, Bewegung, Druck oder Wiederanlaufkriterium
Konfiguration	Maschinenseriennummer, Planrevisionen, Programmprüfsumme, Geräterevisionen
Prüfbedingungen	Modus, Druck, Last, Geschwindigkeit, Position, Temperatur, Zubehör
Prüfhandlung	normaler Befehl oder genau eingebrachter Fehler und Methode
Erwartetes Ergebnis	Diagnose, Ausgang, Druck, Bewegung, Wiederanlaufverhalten
Tatsächliches Ergebnis	Messwerte und Beobachtungen, nicht nur „bestanden“
Nachweis	Trace, Foto, Video, Steuerungsprotokoll, Messdatei, Kalibrierreferenz
Wiederherstellung	temporäre Änderungen entfernt und normale Konfiguration verifiziert
Entscheidung	bestanden, nicht bestanden, Abweichung, Korrekturmaßnahme, Referenz der Wiederholungsprüfung
Freigabe	Prüfer, sofern erforderlich unabhängiger Prüfer, Datum, Unterschriften

Halten Sie Berechnungs- und Validierungsunterlagen synchron. Wenn sich Ventiltyp, Steuerungsprogramm, Schlauchgröße, Schalldämpfer, Versorgungsdruck, bewegte Last, Bremse, Werkzeug oder Definition des sicheren Zustands ändern, prüfen Sie, welche Analysen und Prüfungen nicht mehr gültig sind. Konfigurationskontrolle ist Teil des Nachweises.

Gleichen Sie vor der Freigabe der Maschine jede fehlgeschlagene oder unterbrochene Prüfung ab. Ein unerklärtes „nach Einstellung bestanden“ ist kein Abschluss. Erfassen Sie, was geändert wurde, warum die Änderung akzeptabel ist, welche Dokumente überarbeitet wurden und welche Regressionstests wiederholt wurden.

ANSI B11.19-2019 (R2024) behandelt Leistungsanforderungen an Auslegung, Installation, Betrieb und Wartung von Schutzeinrichtungen und anderen Maßnahmen zur Risikominderung. Verwenden Sie die Norm bei nordamerikanischen Maschinen zusammen mit der anwendbaren maschinenspezifischen B11-Norm und den gesetzlichen Anforderungen, statt eine allgemeine Checkliste als Zertifizierung zu behandeln (ANSI B11.19).

Wann muss die Prüfung beendet und an die Auslegung zurückgegeben werden?

ISO 12100 verlangt, dass die Risikominderung über den gesamten Lebenszyklus der Maschine bewertet und verifiziert wird. Eine Sicherheitsfunktion kann nicht durch Abstimmung um eine undefinierte Gefährdung, ein instabiles Anhalteergebnis oder eine fehlgeschlagene Fehlerreaktion herum freigegeben werden. Wenn die Abnahmekriterien nicht zuverlässig erfüllt werden können, wird die Prüfung beendet und die Auslegung an die Entwicklung zurückgegeben (ISO 12100).

Beenden Sie die Prüfung, wenn:

• der sichere Zustand fehlt, widersprüchlich ist oder sich zwischen Dokumenten ändert;
• ein Fehler unerwartete gefährliche Bewegung oder Lastfreigabe erzeugt;
• eine temporäre Überbrückung nicht eindeutig identifiziert und kontrolliert werden kann;
• gemessene Anhalte- oder Druckabfallwerte die Grenze überschreiten;
• Ergebnisse über Last- oder Druckbedingungen hinweg außerhalb der zulässigen Toleranz schwanken;
• die Dokumentation von Ventil, Steuerung oder THCD die installierte Konfiguration nicht abdeckt;
• die Berechnung des erreichten PL von unverifizierten Komponentendaten abhängt;
• eine Diagnose den von der Spezifikation geforderten Zyklus nicht sperrt;
• Strom- oder Druckluftwiederkehr unerwartete Bewegung erzeugt;
• die Prüfung eine Person einer unkontrollierten Gefährdung aussetzen würde;
• die Prüfkonfiguration nicht mehr den freigegebenen Plänen und der Software entspricht.

Verdecken Sie einen Auslegungsfehler nicht durch eine längere Steuerungsverzögerung, geringere Maschinengeschwindigkeit, verlegte Taster oder eine zusätzliche Bedieneranweisung, ohne Risikobeurteilung und Validierungsgrundlage zu aktualisieren. Eine Änderung kann eine gültige Lösung sein, erzeugt aber eine neue Konfiguration, die geprüft und erneut validiert werden muss.

Für ein Angebot oder eine technische Prüfung übermitteln Sie die Spezifikation der Sicherheitsfunktion, den gewählten THCD-Typ, Schaltpläne, PLr, Ventildaten, Last- und Druckbedingungen, Zeitgrenzen, Fehlerliste und erforderlichen Nachweis über die technische Kontaktseite.

FAQ zur Inbetriebnahme von Zweihand-Sicherheitsschaltungen

ISO 13851 definiert drei THCD-Typen, während ISO 13849-1 kein universelles PLr vorgibt. Diese Antworten konzentrieren sich daher auf die Validierung der installierten Anlage und die Dokumentation. Die Anleitung des gewählten Geräts, die Maschinenrisikobeurteilung, die anwendbare Typ-C-Norm und örtliche gesetzliche Anforderungen bleiben maßgeblich.

Kann ein normaler Zyklus mit zwei Tastern beweisen, dass die Schaltung sicher ist?

Nein. Er beweist nur, dass ein beabsichtigter Befehl unter den geprüften Bedingungen einen Ausgang erzeugt hat. Die Validierung muss außerdem zu frühe, zu späte, gehaltene, losgelassene und fehlerhafte Eingänge, Abweichungen bei Ausgang und Rückmeldung, die Wiederherstellung von Strom und Druckluft sowie die physische Maschinenreaktion prüfen. Die Abnahmekriterien müssen aus der freigegebenen Spezifikation der Sicherheitsfunktion stammen.

Müssen beide Taster immer innerhalb von 500 ms gedrückt werden?

Wenden Sie 500 ms nicht als allgemeingültigen Maschinenwert an. Das zulässige Synchronisationsverhalten hängt vom gewählten THCD-Typ, den Produktanweisungen, der anwendbaren Norm und der Spezifikation der Sicherheitsfunktion ab. Prüfen Sie unterhalb, an und oberhalb der dokumentierten Grenze in beiden Reihenfolgen, zuerst A und zuerst B, und erfassen Sie anschließend die Zeitstempel der Eingänge und des Sicherheitsausgangs.

Darf eine Fehlereinbringung an einer laufenden Produktionsmaschine erfolgen?

Nur im Rahmen eines kontrollierten und freigegebenen Validierungsverfahrens, das eine Gefährdung ausschließt. Barrieren, Rückhalteeinrichtungen, Prüfmodus, Energiegrenzen, Wiederherstellungsschritte und qualifiziertes Personal müssen vor der Fehlereinbringung festgelegt sein. Wenn der Gefahrenbereich betreten oder ein Energiepfad verändert werden muss, ist das am Standort freigegebene Isolationsverfahren anzuwenden.

Beweist die Ventilrückmeldung, dass die Maschine einen sicheren Zustand erreicht hat?

Nein. Die Rückmeldung kann zeigen, dass ein überwachtes Ventilelement eine Position erreicht hat; Druck kann jedoch eingeschlossen bleiben und der Mechanismus sich weiterbewegen. Messen Sie die von der Sicherheitsfunktion benannte physische Abnahmegröße, etwa gefährliche Bewegung, Anhaltezeit, Gegendruck, Spannzustand oder Lastrückhaltung.

Wie oft muss die Zweihand-Schaltung erneut geprüft werden?

Es gibt kein allgemeingültiges tägliches, monatliches oder jährliches Intervall für jede Schaltung. Legen Sie Prüf- und Funktionstestintervalle anhand von Risikobeurteilung, Herstellerangaben, Nutzungshäufigkeit, Diagnosekonzept, Umgebung, maschinenspezifischer Norm, gesetzlichen Anforderungen und Ausfallhistorie fest. Validieren Sie betroffene Anforderungen nach Änderungen an Hardware, Software, Werkzeug, Druck, Geschwindigkeit oder Last erneut.

Woher stammen die Validierungsanforderungen?

Die folgenden Quellen definieren ergänzende Grenzen: ISO 13851 behandelt Auslegung und Auswahl von THCD; ISO 13849 behandelt die Auslegung und Validierung sicherheitsbezogener Steuerungen; ISO 13855 behandelt die Positionierung von Schutzeinrichtungen; OSHA-Regeln gelten für bestimmte US-amerikanische Pressen- und Energiekontrollsituationen. Keine Quelle ersetzt die Maschinenrisikobeurteilung oder die anwendbare Typ-C-Norm.

• ISO 13851:2019. Grundsätze für Zweihandsteuerungen, drei Funktionstypen, Verhinderung der Umgehung, Auswahl und Prüfung. Bestätigt 2024; abgerufen am 22. Juli 2026.
• ISO 13849-1:2023. Auslegungs- und Integrationsmethode für Teile sicherheitsbezogener Steuerungssysteme in elektrischer, pneumatischer, hydraulischer, mechanischer und softwarebasierter Technik. Abgerufen am 22. Juli 2026.
• ISO 13849-2:2012. Validierung von Sicherheitsfunktionen, Kategorien und Performance Level durch Analyse und Prüfung. Aktuell veröffentlichte Ausgabe, Überarbeitung ausstehend; abgerufen am 22. Juli 2026.
• ISO 12100:2010. Grundsätze der Risikobeurteilung und Risikominderung bei Maschinen. Bestätigt 2022; abgerufen am 22. Juli 2026.
• ISO 13855:2024. Positionierung von Schutzeinrichtungen einschließlich Zweihandsteuerungen im Verhältnis zur Annäherung von Personen. Abgerufen am 22. Juli 2026.
• ISO 13850:2015. Grundsätze der Not-Halt-Funktion unabhängig von der Energietechnik. Bestätigt 2020; abgerufen am 22. Juli 2026.
• OSHA 29 CFR 1910.217. US-Anforderungen an mechanische Pressen für bestimmte Zweihandsteuerungen und Auslösungen einschließlich gleichzeitiger Betätigung, Wiederholsperre und Sicherheitsabstand. Abgerufen am 22. Juli 2026.
• OSHA 29 CFR 1910.147. Kontrolle gefährlicher Energie einschließlich pneumatischer Energie bei erfassten Wartungs- und Instandhaltungsarbeiten. Abgerufen am 22. Juli 2026.
• ANSI B11.19-2019 (R2024). Leistungsanforderungen an Schutzeinrichtungen und andere Maßnahmen zur Risikominderung. Abgerufen am 22. Juli 2026.