Allgemeine Sicherheitshinweise für SPS-, Steuerungs- und Schaltschrankkomponenten

1. Zweck und Grenzen dieser Information

Diese Seite soll auf wiederkehrende Gefährdungen beim Umgang mit speicherprogrammierbaren Steuerungen, Steuerungskomponenten und elektrischen Betriebsmitteln in Schaltschränken hinweisen.

Abhängig von der konkreten Ausführung können hierzu insbesondere gehören:

• SPS- und Motion-Control-CPUs,
• dezentrale Steuerungen und Embedded Controller,
• Standard- und Safety-Steuerungen,
• digitale und analoge Ein- und Ausgangsmodule,
• Safety-Ein- und Ausgangsmodule,
• Feldbuskoppler und Kommunikationsmodule,
• Bediengeräte und Human-Machine-Interfaces,
• Industrie-PCs und Panel-PCs,
• Netzteile und Stromversorgungsmodule,
• unterbrechungsfreie Stromversorgungen,
• Puffer-, Batterie- und Kondensatormodule,
• Trennverstärker und Signalwandler,
• Koppelrelais und Sicherheitsrelais,
• Schütze und Motorschutzgeräte,
• Sicherungen und Schutzschaltgeräte,
• elektronische Lastrelais und Halbleiterschalter,
• Temperatur- und Überwachungsrelais,
• Reihenklemmen und Potentialverteilermodule,
• Busklemmen und modulare I/O-Systeme,
• Netzwerkkomponenten und Industrial-Ethernet-Geräte,
• Schalter, Taster, Meldegeräte und Befehlsgeräte.

Nicht jeder Hinweis dieser Seite trifft auf jede Komponente zu. Umgekehrt können bei einer konkreten Komponente weitere Gefahren bestehen, die hier nicht genannt werden.

Die gemeinsame Nennung verschiedener Komponenten bedeutet ausdrücklich nicht, dass diese Komponenten miteinander kompatibel, austauschbar oder für eine gemeinsame Anwendung geeignet sind.

Diese Seite berücksichtigt insbesondere nicht:

• die vollständige Hersteller- und Bestellnummer,
• den Hardware- und Firmwarestand,
• die Software- und Projektversion,
• vorhandene Options- und Safety-Ausführungen,
• die elektrische Spannungsebene,
• die konkrete Potential- und Versorgungsstruktur,
• die verwendete Netz- und Erdungsform,
• die angeschlossenen Sensoren und Aktoren,
• die Maschinen- und Sicherheitsfunktionen,
• die Umgebungs- und Einbaubedingungen,
• vorhandene Zulassungen und besondere Einsatzbereiche,
• bereits vorgenommene Änderungen, Reparaturen oder Umbauten.

Aus dieser Seite dürfen insbesondere keine Klemmenbelegungen, Pinbelegungen, Brückungen, Leiterquerschnitte, Abisolierlängen, Sicherungswerte, Anzugsmomente, Erdungsmaßnahmen, Schutzkonzepte, Ausgangszustände, Softwareparameter, Safety-Einstellungen oder Aussagen zur Austauschbarkeit abgeleitet werden.

2. Komponenten sind nur ein Teil des Gesamtsystems

Eine SPS-, Steuerungs- oder Schaltschrankkomponente darf nicht isoliert betrachtet werden. Ihre sichere Funktion hängt von ihrer Auswahl, dem Einbau, der Verdrahtung, der Software, den angeschlossenen Geräten und dem Sicherheitskonzept der gesamten Maschine oder Anlage ab.

Viele Komponenten sind für den Einbau in einen Schaltschrank, ein Klemmengehäuse oder eine andere geeignete Umhüllung vorgesehen. Sie bieten außerhalb der vom Hersteller vorgesehenen Einbausituation möglicherweise keinen ausreichenden Schutz gegen Berührung, Verschmutzung, Feuchtigkeit, mechanische Einwirkung oder elektrostatische Entladung.

Ein einzelnes Bauteil kann daher trotz unbeschädigtem Gehäuse und vorhandener CE-Kennzeichnung nicht automatisch als allein verwendbares, anschlussfertiges oder für eine bestimmte Maschine geeignetes Betriebsmittel angesehen werden.

Die Betriebssicherheitsverordnung verlangt vom Betreiber eine Beurteilung der Gefährdungen unter Berücksichtigung des Arbeitsmittels, seiner Verwendung und seiner konkreten Arbeitsumgebung. Das Vorhandensein einer CE-Kennzeichnung entbindet den Betreiber nicht von dieser Gefährdungsbeurteilung.

3. Eindeutige Identifikation und maßgebliche Dokumentation

Vor dem Anschluss, Austausch oder der Bearbeitung einer Komponente muss ihre vollständige Ausführung eindeutig bestimmt werden.

Abhängig vom Produkt gehören hierzu insbesondere:

• Hersteller,
• vollständige Bestell- oder Typnummer,
• Ausgabestand oder Revisionsstand,
• Hardwarestand,
• Firmwarestand,
• Softwarekompatibilität,
• Betriebssystem- oder Imageversion,
• Versorgungsspannung,
• zulässige Ein- und Ausgangsspannungen,
• Strombelastbarkeit,
• Potentialtrennung und Potentialgruppen,
• Kontaktart und Schaltvermögen,
• vorhandene Safety-Zulassung,
• Sicherheitskennwerte,
• Temperatur- und Umgebungsbereich,
• Einbaulage,
• vorhandene Optionen und Zusatzmodule,
• erforderliche Abschluss-, Speise- oder Endmodule.

Maßgeblich sind die für die konkrete Ausführung geltenden Unterlagen, beispielsweise:

• Gerätehandbuch,
• Systemhandbuch,
• Installationshandbuch,
• Anschluss- und Klemmenplan,
• Schaltplan der Maschine,
• Hardwarekonfiguration,
• Softwareprojekt,
• Safety-Projekt,
• Stückliste,
• Netzwerkkonfiguration,
• Parametrierungs- und Diagnosedokumentation,
• Prüf- und Abnahmeunterlagen,
• Herstellerhinweise zu Produktänderungen und Abkündigungen.

Dokumentationen ähnlich aussehender Baugruppen, anderer Leistungsklassen oder früherer Gerätegenerationen dürfen nicht ungeprüft verwendet werden.

Eine passende Gehäuseform, gleiche Baubreite oder mechanisch passende Steckverbindung ist kein Nachweis für elektrische, funktionale oder sicherheitstechnische Kompatibilität.

Kann die konkrete Ausführung nicht eindeutig bestimmt werden, muss die Klärung vor Beginn der Arbeiten durch den Hersteller, den Maschinenhersteller, einen geeigneten Fachbetrieb oder eine für das konkrete System ausreichend qualifizierte Fachperson erfolgen.

4. Arbeiten ausschließlich durch qualifiziertes und autorisiertes Fachpersonal

Errichtung, Änderung, Anschluss, Prüfung, Fehlersuche, Instandhaltung und Wiederinbetriebnahme elektrischer Anlagen und Betriebsmittel dürfen nur durch entsprechend qualifizierte und autorisierte Personen erfolgen.

Als Elektrofachkraft gilt nach der DGUV Vorschrift 3, wer aufgrund seiner fachlichen Ausbildung, Kenntnisse und Erfahrungen sowie der Kenntnis der einschlägigen Bestimmungen die übertragenen Arbeiten beurteilen und mögliche Gefahren erkennen kann. Elektrische Anlagen und Betriebsmittel müssen durch eine Elektrofachkraft oder unter deren Leitung und Aufsicht errichtet, geändert und instand gehalten werden.

Die erforderliche Qualifikation richtet sich nicht allein nach einer Berufsbezeichnung. Die ausführende Person muss für die konkrete Tätigkeit und das konkrete System ausreichend qualifiziert sein.

Je nach Aufgabe können zusätzliche Kenntnisse erforderlich sein, beispielsweise in den Bereichen:

• Schaltschrank- und Niederspannungstechnik,
• SPS-Programmierung,
• Feldbus- und Netzwerktechnik,
• funktionale Sicherheit,
• Maschinenrichtlinien und Sicherheitsfunktionen,
• Prüf- und Messtechnik,
• Explosionsschutz,
• unterbrechungsfreie Stromversorgung,
• Arbeiten unter Spannung.

Diese Seite erteilt keine Berechtigung zu Arbeiten unter Spannung. Solche Arbeiten sind nur unter den dafür geltenden besonderen Voraussetzungen, mit festgelegten Arbeitsverfahren und durch speziell qualifizierte und beauftragte Personen zulässig.

5. Sämtliche Energie- und Spannungsquellen berücksichtigen

Vor Beginn von Arbeiten muss festgestellt werden, welche elektrischen und sonstigen Energiequellen auf den betroffenen Arbeitsbereich einwirken können.

In Schaltschränken können mehrere voneinander unabhängige Einspeisungen vorhanden sein. Dazu können insbesondere gehören:

• Hauptstromversorgung,
• getrennte Steuerstromversorgung,
• externe 24-Volt-Versorgungen,
• unterbrechungsfreie Stromversorgungen,
• redundante Netzteile,
• Batterie- und Puffermodule,
• fremde Einspeisungen aus anderen Schaltschränken,
• Spannungen aus Feldgeräten,
• separat gespeiste Ausgangskreise,
• fremdgespeiste Relais- und Schützkontakte,
• Kommunikations- oder Versorgungsleitungen zu anderen Anlagenteilen,
• gespeicherte Energie in Netzteilen oder Kondensatormodulen,
• Rückspeisungen aus angeschlossenen Geräten.

Ein ausgeschalteter Hauptschalter trennt nicht zwangsläufig jede dieser Quellen.

Auch das Unterbrechen einer SPS-Versorgung bedeutet nicht automatisch, dass die Ein- und Ausgangsmodule, Relaiskontakte, Feldkreise oder benachbarte Komponenten spannungsfrei sind.

Das Erlöschen von LEDs, Displays oder Diagnoseanzeigen ist kein ausreichender Nachweis der Spannungsfreiheit.

Das Herstellen und Sicherstellen des spannungsfreien Zustands muss durch die dafür verantwortlichen Fachpersonen anhand der konkreten Anlage erfolgen. Die DGUV nennt das Freischalten, das Sichern gegen Wiedereinschalten, das Feststellen der Spannungsfreiheit sowie gegebenenfalls weitere anlagenbezogene Maßnahmen als Regelfall vor Arbeiten an elektrischen Anlagen. Auch Hilfsspannungen und Fernsteuerungsmöglichkeiten müssen dabei berücksichtigt werden.

Auf dieser Seite wird keine konkrete Freischaltprozedur für eine bestimmte Anlage festgelegt.

6. Gemischte Spannungen und getrennte Potentialgruppen

Innerhalb eines Schaltschranks, eines Baugruppenträgers oder sogar einer einzelnen modularen Station können unterschiedliche Spannungen und Potentiale vorhanden sein.

Abhängig vom System können nebeneinander beispielsweise vorhanden sein:

• Elektronikversorgung,
• Sensorversorgung,
• Aktorversorgung,
• Wechselspannungsstromkreise,
• Gleichspannungsstromkreise,
• galvanisch getrennte Signalstromkreise,
• nicht galvanisch getrennte Signalstromkreise,
• Sicherheitsstromkreise,
• fremdgespeiste Relaiskontakte,
• unterschiedliche Bezugspotentiale,
• getrennte Potentialgruppen.

Bei modularen I/O-Systemen können interne Leistungskontakte oder Versorgungsschienen von Baugruppe zu Baugruppe weitergeführt, unterbrochen oder durch separate Einspeisemodule neu versorgt werden. Ob und wie dies erfolgt, ergibt sich ausschließlich aus der Dokumentation des konkreten Modulsystems. Offizielle Beckhoff-Unterlagen weisen beispielsweise darauf hin, dass einzelne Klemmentypen Leistungskontakte nicht oder nicht vollständig weiterführen und Einspeiseklemmen neue Versorgungsgruppen bilden können.

Daraus folgt:

• Benachbarte Klemmen müssen nicht dasselbe Potential führen.
• Gleich aussehende Anschlüsse müssen nicht dieselbe Funktion haben.
• Eine entfernte Baugruppe muss nicht alle nachfolgenden Stromkreise spannungsfrei machen.
• Eine abgeschaltete Elektronikversorgung muss nicht den Laststromkreis abschalten.
• Ein Relaisausgang kann auf seiner Kontaktseite eine separat eingespeiste Spannung schalten.

Potentialzuordnung, Trennung, Weiterleitung und Belastbarkeit müssen für jede konkrete Baugruppe anhand der gültigen Dokumentation geprüft werden.

7. Arbeiten im geöffneten Schaltschrank

Das Öffnen einer Schaltschranktür oder Abdeckung stellt keine elektrische Freischaltung dar.

Bei Arbeiten im geöffneten Schaltschrank können benachbarte aktive Teile weiterhin unter Spannung stehen. Auch eine Tätigkeit an einem vermeintlich spannungsfreien Steuerstromkreis kann durch benachbarte Netzspannungs-, Last- oder Einspeisekreise gefährlich werden.

Zu berücksichtigen sind insbesondere:

• ungeschützte oder nur teilweise geschützte aktive Teile,
• benachbarte Sammelschienen und Verteiler,
• Einspeiseklemmen,
• offene Sicherungshalter,
• fremdgespeiste Kontakte,
• nicht abgedeckte Anschlussstellen,
• herunterfallende Werkzeuge oder Befestigungsteile,
• unbeabsichtigtes Überbrücken benachbarter Potentiale,
• Lichtbogen- und Kurzschlussgefahren,
• Bewegungen oder Vibrationen der Maschine.

Die DGUV Vorschrift 3 verlangt grundsätzlich, den spannungsfreien Zustand herzustellen und für die Dauer der Arbeiten sicherzustellen. Benachbarte aktive Teile müssen abhängig von der Arbeit ebenfalls freigeschaltet oder durch geeignete Maßnahmen geschützt werden.

Bloßes „Aufpassen“ ersetzt keine erforderliche Abdeckung, Abschrankung oder andere festgelegte Schutzmaßnahme.

8. Gefahr unerwarteter Ausgangssignale und Maschinenbewegungen

SPS- und Steuerungssysteme können Ausgänge aufgrund zahlreicher Ereignisse schalten oder ihren Ausgangszustand verändern.

Dazu können abhängig vom konkreten System gehören:

• Einschalten oder Wiederkehren einer Versorgungsspannung,
• Start oder Neustart einer CPU,
• Wechsel des CPU-Betriebszustands,
• Wiederherstellung einer Feldbusverbindung,
• Austausch oder Wiederanlauf eines I/O-Moduls,
• Umschaltung eines redundanten Systems,
• Laden oder Aktivieren eines Programms,
• Wiederherstellen einer gespeicherten Konfiguration,
• Onlineänderungen,
• Diagnose- und Testfunktionen,
• Schreiben oder Erzwingen von Variablen,
• Bedienhandlungen an einem HMI,
• Fernzugriffe,
• Befehle einer übergeordneten Steuerung,
• gespeicherte oder remanente Variablen,
• parametrierte Ersatz- oder Rückfallwerte,
• Fehlerquittierungen,
• automatische Wiederanläufe.

Der Betriebszustand „STOP“ einer SPS stellt keine elektrische Trennung dar. Er bestätigt außerdem nicht, dass sämtliche angeschlossenen Aktoren oder fremdgesteuerten Anlagenteile einen sicheren Zustand erreicht haben.

Vor Arbeiten, Softwareänderungen, Tests oder Wiederinbetriebnahmen muss daher verhindert werden, dass gefährliche Bewegungen, Schaltvorgänge oder Prozessreaktionen auftreten können.

Dazu müssen nicht nur SPS-Ausgänge, sondern auch die Energieversorgung der angeschlossenen Aktoren, externe Steuerungen, gespeicherte mechanische Energie und weitere mögliche Befehlsquellen in das Sicherheitskonzept einbezogen werden.

9. Onlinezugriffe, Schreiben, Forcen und Programmänderungen

Onlinefunktionen können den Zustand einer laufenden Steuerung unmittelbar verändern.

Besondere Gefahren können insbesondere entstehen durch:

• Schreiben von Variablen,
• Forcen von Ein- oder Ausgängen,
• Rücksetzen erzwungener Werte,
• Setzen von Merkern,
• Testen von Ausgängen,
• Umschalten von Betriebsarten,
• Laden von Programmen,
• Onlineänderungen,
• Firmwareupdates,
• Neustarts,
• Rücksetzen auf Werkseinstellungen,
• Änderungen an Hardware- oder Netzwerkkonfigurationen.

Herstellerunterlagen warnen ausdrücklich davor, dass das Schreiben oder Forcen von Variablen zu unerwartetem Verhalten der gesteuerten Maschine und zu Personen- oder Sachschäden führen kann. Abhängig vom System können erzwungene Werte auch länger bestehen bleiben, als der Anwender erwartet.

Auch eine Onlineänderung kann das laufende Programm verändern, ohne dass die übliche Initialisierung eines vollständigen Neustarts erfolgt. Dadurch kann das Verhalten vom erwarteten Verhalten nach einem regulären Download abweichen.

Vor jeder Onlinehandlung müssen deshalb:

• deren mögliche Auswirkungen auf die konkrete Maschine beurteilt,
• der Gefahrenbereich entsprechend gesichert,
• betroffene Personen informiert,
• erforderliche Freigaben eingeholt,
• geeignete Abbruch- und Schutzmaßnahmen festgelegt werden.

Diese Seite legt keine zulässige Vorgehensweise für Onlinearbeiten fest.

Ein vorhandener Onlinezugang, ein bekanntes Passwort oder die technische Möglichkeit, eine Variable zu verändern, bedeutet nicht, dass die betreffende Handlung fachlich oder organisatorisch freigegeben ist.

10. Gespeicherte Programme, remanente Daten und Speichermedien

Steuerungskomponenten können Programme, Parameter, Netzwerkdaten, Identifikationsdaten und Prozesswerte dauerhaft speichern.

Abhängig vom System können hierzu gehören:

• Anwenderprogramm,
• Hardwarekonfiguration,
• Safety-Programm,
• Geräteparameter,
• Netzwerkadressen,
• Feldbuskonfiguration,
• Rezepturen,
• remanente Variablen,
• Start- und Rückfallwerte,
• Passwörter und Benutzerrechte,
• Zertifikate und Schlüssel,
• Diagnose- und Wartungsdaten,
• Maschinen- oder Kundendaten.

Eine gebrauchte CPU, Speicherkarte, Festplatte oder ein Bediengerät kann daher noch eine unbekannte oder nicht zur vorhandenen Anlage passende Konfiguration enthalten.

Eine erfolgreiche Übertragung oder Wiederherstellung eines Projekts bestätigt nicht, dass:

• das Projekt zur konkreten Maschine gehört,
• die Hardware vollständig übereinstimmt,
• die Parametrierung richtig ist,
• alle Sicherheitsfunktionen richtig konfiguriert sind,
• die Software vollständig und unverändert ist,
• die verwendeten Versionen kompatibel sind.

Auch ein Zurücksetzen auf Werkseinstellungen stellt keinen nachgewiesen sicheren Anlagenzustand her. Nach einem Reset können notwendige Programme, Grenzwerte, Kommunikationsparameter oder Sicherheitskonfigurationen fehlen.

Unbekannte Speichermedien oder Sicherungsdateien dürfen nicht ungeprüft in eine produktive Steuerung übernommen werden.

11. Bediengeräte, Industrie-PCs und Kommunikationskomponenten

Anzeigen auf Bediengeräten, Industrie-PCs oder Diagnoseoberflächen sind nicht automatisch sicherheitsgerichtete Zustandsnachweise.

Angezeigte Werte können abhängig vom System:

• zeitlich verzögert sein,
• aus einem Zwischenspeicher stammen,
• nach Kommunikationsunterbrechungen unverändert angezeigt werden,
• auf fehlerhaften Sensor- oder Kommunikationsdaten beruhen,
• aus einem nicht aktuellen Projekt stammen,
• durch Benutzerrechte oder Ansichtsfilter eingeschränkt sein.

Eine Anzeige wie „Aus“, „Sicher“, „STOP“, „Keine Verbindung“ oder „Störung“ ist daher für sich allein kein Nachweis, dass ein Stromkreis spannungsfrei oder eine Maschine gefahrlos ist.

Auch das Trennen einer Ethernet-, Feldbus- oder Netzwerkleitung führt nicht zwangsläufig zu einem sicheren Anlagenzustand. Je nach Parametrierung können Geräte ihren letzten Wert halten, Ersatzwerte verwenden, selbstständig weiterarbeiten oder nach Wiederkehr der Verbindung erneut Befehle ausführen.

Fernwartungszugänge, drahtlose Verbindungen, übergeordnete Leitsysteme und externe Steuerungen müssen als mögliche Befehlsquellen berücksichtigt werden.

12. Safety-Steuerungen und funktionale Sicherheit

Eine Standard-SPS, ein Standard-I/O-Modul oder ein gewöhnliches Relais ist nicht allein deshalb für eine Sicherheitsfunktion geeignet, weil es technisch ein Signal verarbeiten oder einen Ausgang abschalten kann.

Sicherheitsfunktionen dürfen nur mit hierfür geeigneten Komponenten und innerhalb eines vollständig geplanten, bewerteten und validierten Sicherheitskonzepts umgesetzt werden.

Bei Safety-Steuerungen und Safety-Komponenten können insbesondere relevant sein:

• vollständige Bestellnummer,
• Safety-Ausführung,
• Hardwarestand,
• Firmwarestand,
• Safety-Projekt,
• Sicherheitsparameter,
• F-Adressen oder andere sichere Adressierungen,
• Sicherheitskennwerte,
• Reaktions- und Abschaltzeiten,
• sichere Kommunikation,
• Ein- und Ausgangsbeschaltung,
• Testpulse und Diagnosefunktionen,
• Safety-Signaturen,
• Abnahme- und Prüfprotokolle.

Ein vorhandenes Safety-Logo oder eine Safety-Kennzeichnung bestätigt nicht, dass die Sicherheitsfunktion in der konkreten Maschine richtig umgesetzt wurde.

Änderungen am Safety-Programm, an der Hardwarekonfiguration oder an sicherheitsrelevanten Parametern können eine erneute Prüfung, Validierung und Abnahme erforderlich machen. Siemens weist beispielsweise darauf hin, dass Änderungen einer Safety-Signatur eine erneute Validierung und Annahme des Safety-Programms erfordern können.

Auch der Austausch gegen eine vermeintlich identische Safety-Komponente darf nicht ohne Prüfung der vollständigen Ausführung und der Auswirkungen auf die Sicherheitsfunktion erfolgen.

Eine Diagnoseanzeige oder ein fehlender Fehlercode ersetzt keine Validierung.

Überbrückungen, Bypässe, Teststellungen oder vorübergehend deaktivierte Sicherheitsfunktionen müssen nach den festgelegten betrieblichen Verfahren beherrscht und vor der Freigabe nachweisbar zurückgenommen worden sein.

13. Relais, Schütze und elektronische Ausgänge

Relais, Schütze und elektronische Ausgangsmodule unterscheiden sich unter anderem hinsichtlich:

• Kontaktart,
• Kontaktbelastbarkeit,
• Schaltspannung,
• Schaltstrom,
• Lastart,
• Einschaltstrom,
• Schalthäufigkeit,
• galvanischer Trennung,
• Kurzschlussfestigkeit,
• Diagnosefähigkeit,
• sicherheitsgerichteter Eignung.

Ein Relaiskontakt kann aus einem Stromkreis gespeist werden, der von der Versorgung der SPS oder des Relaismoduls unabhängig ist.

Ein ausgeschaltetes oder entferntes Steuersignal bedeutet daher nicht automatisch, dass die Kontaktseite spannungsfrei ist.

Mechanische Kontakte können abhängig von Belastung, Alter und Anwendung verschleißen, kleben oder verschweißen. Elektronische Ausgänge können abhängig von ihrer Bauart Restströme, Diagnoseimpulse oder definierte Fehlerzustände aufweisen.

Ob ein Ausgang im Fehlerfall abschaltet und ob dieser Zustand sicherheitsgerichtet überwacht wird, ergibt sich ausschließlich aus der konkreten Produkt- und Sicherheitsdokumentation.

Ausgangsmodule, Koppelrelais und Schütze dürfen nicht allein anhand der Nennspannung ausgewählt oder gegeneinander ausgetauscht werden. Die konkrete Lastart und die zulässige Schaltbeanspruchung müssen berücksichtigt werden.

14. Sicherungen und Schutzschaltgeräte

Sicherungen, Leitungsschutzschalter, Motorschutzschalter und andere Schutzgeräte dürfen nicht ungeprüft durch Produkte mit ähnlicher Bauform oder gleichem Nennstrom ersetzt werden.

Zu berücksichtigen können unter anderem sein:

• Bemessungsspannung,
• Bemessungsstrom,
• Auslösekennlinie,
• Schaltvermögen,
• Energiebegrenzung,
• Selektivität,
• Vorsicherung,
• Lastart,
• Leitungseigenschaften,
• Umgebungstemperatur,
• Herstellerkoordination,
• vorgesehene Schutzfunktion.

Ein Schutzgerät, das die Leitung oder eine Komponente gegen Überstrom schützt, stellt nicht automatisch eine sicherheitsgerichtete Abschaltfunktion für eine Maschine dar.

Eine ausgelöste Sicherung darf nicht ohne Klärung der Ursache ersetzt oder überbrückt werden.

Eine größere Sicherung, eine andere Charakteristik oder eine nicht vorgesehene Brücke kann vorhandene Schutzmaßnahmen unwirksam machen und Brand- oder Lichtbogengefahren erhöhen.

15. Netzteile, USV-, Batterie- und Puffermodule

Stromversorgungen können auf der Eingangs- und Ausgangsseite unterschiedliche Gefährdungen aufweisen.

Abhängig von der Ausführung sind insbesondere zu berücksichtigen:

• Netzspannung am Eingang,
• mehrere Eingangs- oder Ausgangskreise,
• gespeicherte Energie in Kondensatoren,
• Parallel- oder Redundanzbetrieb,
• Rückspeisung aus anderen Stromversorgungen,
• externe Puffer- oder Batteriemodule,
• einstellbare Ausgangsspannungen,
• Strombegrenzungs- und Abschaltverhalten,
• Erdung und Potentialbezug,
• galvanische Trennung,
• Kurzschlussstrom und Absicherung.

Ein abgeschalteter Eingang bedeutet nicht zwingend, dass der Ausgang unmittelbar spannungsfrei ist. Umgekehrt kann ein Ausgang durch eine parallel verbundene oder externe Quelle weitergespeist werden.

Auf dieser Seite wird bewusst keine allgemeine Entladezeit genannt.

Die erforderliche Wartezeit und das Verfahren zum Feststellen der Spannungsfreiheit müssen der Dokumentation des konkreten Geräts entnommen werden.

Netzteile dürfen nur dann parallel, redundant oder rückspeisefähig betrieben werden, wenn dies für die konkrete Ausführung vom Hersteller vorgesehen und entsprechend projektiert ist.

Batterien und Energiespeichermodule dürfen nur durch vorgesehene und kompatible Ausführungen ersetzt werden. Beschädigte, verformte, undichte, korrodierte oder aufgeblähte Energiespeicher dürfen nicht ungeprüft verwendet werden.

16. Montage, Einbaulage, Kühlung und Schaltschrankklima

Zulässige Einbaulage, Mindestabstände, Kühlung und Umgebungsbedingungen sind produktabhängig.

Bei der Planung und Prüfung können insbesondere relevant sein:

• Einbaulage,
• Abstände zu benachbarten Komponenten,
• natürliche oder erzwungene Konvektion,
• Verlustleistung,
• Schaltschranktemperatur,
• Umgebungstemperatur,
• Aufstellhöhe,
• Luftfeuchtigkeit,
• Betauung,
• Verschmutzungsgrad,
• Staub,
• aggressive Gase,
• Vibration und Schock,
• Schutzart des Gehäuses,
• Wärmeeintrag durch benachbarte Geräte.

Herstellerunterlagen weisen darauf hin, dass abweichende Einbaulagen, unzureichende Abstände, behinderte Konvektion oder benachbarte Wärmequellen zu erhöhten Temperaturen und Einschränkungen führen können.

Aus dem fehlerfreien Betrieb während eines kurzen Tests darf nicht geschlossen werden, dass die thermische Auslegung für den Dauerbetrieb ausreichend ist.

Lüftungsöffnungen dürfen nicht verdeckt werden. Verschmutzte oder ausgefallene Lüfter, Filter und Wärmetauscher können die zulässigen Betriebsbedingungen verändern.

Komponenten, die für den Einbau in einen Schaltschrank oder Klemmenkasten vorgesehen sind, dürfen nicht ohne die dafür erforderliche Umhüllung betrieben werden. Beckhoff weist beispielsweise bei modularen Klemmen ausdrücklich auf den vorgesehenen Einbau in einen Schaltschrank oder Klemmenkasten hin.

17. Verdrahtung, Klemmen und Leiteranschlüsse

Anschlussart, Leiterquerschnitt, Abisolierlänge, Aderendbehandlung und zulässiges Anzugsmoment sind von der konkreten Klemme und Komponente abhängig.

Es darf nicht davon ausgegangen werden, dass Werte eines ähnlichen Moduls oder einer baugleichen wirkenden Klemme übertragbar sind.

Vor dem Anschluss müssen insbesondere geklärt sein:

• zulässige Leiterart,
• zulässiger Leiterquerschnitt,
• erforderliche oder unzulässige Aderendhülse,
• Abisolierlänge,
• zulässiges Anzugsmoment,
• Anzahl zulässiger Leiter je Klemmstelle,
• Temperaturklasse der Leitung,
• Strombelastbarkeit,
• Zugentlastung,
• notwendige Trennung verschiedener Stromkreise,
• Klemmen- und Potentialzuordnung.

Hersteller weisen darauf hin, dass zulässiger Leiterquerschnitt und Abisolierlänge vom konkreten Gehäuse- und Klemmtyp abhängen.

Beschädigte, verformte, korrodierte oder überhitzte Anschlussstellen dürfen nicht ungeprüft wiederverwendet werden.

Leitungsfarben, vorhandene Beschriftungen oder frühere Verdrahtungen sind kein alleiniger Nachweis für die tatsächliche Funktion oder Spannung eines Leiters.

Vor dem Lösen einer Leitung muss eindeutig geklärt sein, welche Funktion, Spannung und mögliche Fremdeinspeisung an dieser Leitung vorhanden ist.

18. Schutzleiter, Funktionserde und Tragschiene

Schutzleiter, Funktionserde, Schirmanschlüsse und Bezugspotentiale haben unterschiedliche Aufgaben und dürfen nicht ungeprüft gleichgesetzt werden.

Abhängig vom System kann die metallische Tragschiene für die mechanische Befestigung, den Potentialausgleich, die Funktionserdung, die Schirmanbindung oder weitere systembezogene Funktionen verwendet werden.

Ob und wie die Tragschiene geerdet oder leitend mit der Montageplatte verbunden werden muss, ergibt sich aus der Dokumentation des konkreten Systems.

Eine Tragschiene darf nicht allein aufgrund ihrer metallischen Ausführung als ausreichender Schutzleiter oder Potentialausgleich angesehen werden.

Ein mit einem Erdungssymbol gekennzeichneter Leistungskontakt darf nicht für andere Potentiale verwendet werden. Herstellerunterlagen weisen bei modularen Klemmsystemen ausdrücklich auf die vorgesehene Erdung der Tragschiene und die festgelegte Verwendung entsprechender Erdungskontakte hin.

Schirmanschlüsse und Funktionserde ersetzen keinen erforderlichen Schutzleiter, sofern der Hersteller und das Schutzkonzept dies nicht ausdrücklich vorsehen.

19. Elektrostatische Entladung

Viele SPS-, I/O-, Kommunikations- und Elektronikkomponenten enthalten elektrostatisch gefährdete Bauteile.

Elektrostatische Entladung kann eine Komponente sofort beschädigen oder ihre Funktion beeinträchtigen, ohne dass äußerlich ein Schaden erkennbar sein muss.

Bei Transport, Lagerung, Auspacken und Handhabung müssen deshalb die herstellerseitigen ESD-Vorgaben eingehalten werden.

Dazu können abhängig von Produkt und Arbeitsumgebung insbesondere gehören:

• geeignete ableitfähige Verpackung,
• entsprechend ausgestatteter Arbeitsplatz,
• Potentialausgleich von Arbeitsplatz und Person,
• Vermeidung direkter Berührung von Kontakten,
• Vermeidung stark isolierender Materialien,
• Verwendung vorgesehener End- oder Abdeckmodule.

Beckhoff weist beispielsweise darauf hin, dass unsachgemäße elektrostatische Entladung Baugruppen zerstören kann und Kontakte nicht direkt berührt werden sollen.

Eine lediglich optische Kontrolle kann einen durch elektrostatische Entladung verursachten Schaden nicht sicher ausschließen.

20. EMV, Abschirmung und Signalführung

Fehlerhafte Erdung, Abschirmung oder Leitungsführung kann zu Störungen, Fehlmessungen, Kommunikationsausfällen oder unerwarteten Steuerungsreaktionen führen.

Die erforderlichen Maßnahmen hängen unter anderem ab von:

• Signalart,
• Frequenzbereich,
• Leitungslänge,
• Potentialverhältnissen,
• Maschinenaufbau,
• Umgebung,
• Störquellen,
• Herstellerkonzept,
• Sicherheitsfunktion.

Es gibt keine hersteller- und anlagenübergreifend richtige Vorgabe, jeden Schirm grundsätzlich nur einseitig oder grundsätzlich beidseitig anzuschließen.

Schirmanbindung, Funktionserde, Potentialausgleich, Leitungstrennung und Filtermaßnahmen müssen anhand der konkreten Hersteller- und Anlagendokumentation festgelegt werden.

Eine funktionierende Kommunikation oder ein plausibel angezeigter Messwert bestätigt nicht, dass die elektromagnetische Verträglichkeit für alle Betriebszustände ausreichend ist.

EMV-Maßnahmen ersetzen keine Schutzmaßnahmen gegen elektrischen Schlag.

21. Messungen, Isolations- und Hochspannungsprüfungen

Messungen und Prüfungen an Steuerungs- und Schaltschrankkomponenten müssen mit dafür geeigneten Verfahren und Messmitteln durchgeführt werden.

Vor einer Messung muss insbesondere geklärt sein:

• welche Spannungen und Signalformen auftreten können,
• ob Fremdeinspeisungen vorhanden sind,
• welcher Bezugspunkt verwendet werden darf,
• ob die Messung die Funktion oder Sicherheit beeinflusst,
• ob empfindliche Elektronik angeschlossen ist,
• welche Herstellergrenzen gelten.

Isolations-, Spannungs- und Hochspannungsprüfungen können elektronische Baugruppen beschädigen, wenn sie ohne Beachtung der Herstelleranweisungen durchgeführt werden.

Elektronische Komponenten dürfen nicht ungeprüft gemeinsam mit angeschlossenen Leitungen, Verbrauchern oder Schaltschrankstromkreisen einer Isolationsprüfung unterzogen werden.

Herstellerunterlagen weisen beispielsweise darauf hin, dass kapazitive Kopplungen zu fehlerhaften Prüfergebnissen oder Schäden an Klemmen führen können und bestimmte Versorgungs- beziehungsweise Erdungsverbindungen vor einer Isolationsprüfung getrennt werden müssen.

Diese Seite legt bewusst keine Prüfspannung, keinen Grenzwert und kein Messverfahren fest.

Messungen an unter Spannung stehenden Teilen sind keine gewöhnliche spannungsfreie Arbeit und dürfen nur unter den hierfür geltenden Voraussetzungen durchgeführt werden.

22. Gebrauchte, instandgesetzte oder lange gelagerte Komponenten

Bei gebrauchten, instandgesetzten, veränderten oder lange gelagerten Komponenten können zusätzliche Risiken bestehen.

Zu berücksichtigen sind insbesondere:

• unbekannte Programme und Parameter,
• gespeicherte Force- oder Testzustände,
• unbekannte Hardware- und Firmwarestände,
• nicht dokumentierte Reparaturen,
• veränderte Optionsmodule,
• alte Netzwerk- oder Feldbusadressen,
• unbekannte Safety-Konfigurationen,
• vorhandene Passwörter oder Zugriffsbeschränkungen,
• gealterte Kondensatoren,
• entladene oder beschädigte Batterien,
• verschlissene Relais- oder Schützkontakte,
• beschädigte Steckkontakte,
• Korrosion und Feuchtigkeit,
• Verschmutzung,
• Überhitzungsspuren,
• beschädigte Gehäuse oder Abdeckungen,
• fehlende Klemmen oder Endmodule,
• unleserliche oder unvollständige Typenschilder.

Eine Komponente darf nicht allein deshalb als sicher oder kompatibel angesehen werden, weil sie sich einschalten lässt, Status-LEDs leuchten oder eine Steuerungssoftware eine Verbindung aufbauen kann.

Ein unbekanntes Gerät darf nicht lediglich zu Testzwecken an eine produktive Maschine angeschlossen werden, wenn Zuordnung, Parametrierung, Ausgangsverhalten oder Sicherheitskonfiguration nicht geklärt sind.

Soweit in einem Angebot lediglich eine Sichtprüfung angegeben ist, stellt diese keine:

• elektrische Sicherheitsprüfung,
• vollständige Funktionsprüfung,
• Softwareprüfung,
• Safety-Prüfung,
• Kompatibilitätsprüfung,
• Prüfung sämtlicher Ein- und Ausgänge,
• Inbetriebnahmeprüfung,
• Freigabe für eine bestimmte Maschine

dar.

Der im konkreten Angebot oder Vertrag angegebene Zustand und Prüfumfang bleibt maßgeblich.

23. Austausch und Änderung bestehender Steuerungssysteme

Vor dem Austausch einer Komponente muss geprüft werden, ob das vorgesehene Ersatzteil in jeder relevanten Hinsicht zur bestehenden Anlage passt.

Dabei können insbesondere relevant sein:

• vollständige Bestellnummer,
• Revisionsstand,
• Hardwarestand,
• Firmwarestand,
• Softwarekompatibilität,
• Anschluss- und Klemmenbelegung,
• Strom- und Spannungswerte,
• Potentialtrennung,
• Ein- und Ausgangsverhalten,
• Kommunikationsprotokoll,
• Netzwerkkonfiguration,
• Safety-Ausführung,
• Sicherheitskennwerte,
• Zulassungen,
• Speicher- und Lizenzkomponenten,
• verfügbare Ersatz- und Migrationsfreigaben des Herstellers.

Eine neuere Gerätegeneration oder ein vom Hersteller genanntes Nachfolgeprodukt ist nicht zwangsläufig ohne Anpassung austauschbar.

Auch ein Gerät mit derselben Grundbezeichnung kann sich durch Revisions-, Firmware-, Options- oder Safety-Stand von der vorhandenen Ausführung unterscheiden.

Nach Austausch oder Änderung muss durch die verantwortliche Fachperson beurteilt werden, welche erneute Prüfung, Validierung, Dokumentation oder Abnahme erforderlich ist.

Nach der Betriebssicherheitsverordnung muss bei Änderungen an Arbeitsmitteln beurteilt werden, ob eine prüfpflichtige Änderung vorliegt. Instandhaltungs- und Änderungsmaßnahmen müssen unter Berücksichtigung der Gefährdungsbeurteilung und der Herstellerunterlagen sicher durchgeführt werden.

Das Laden eines vorhandenen Softwareprojekts oder das Kopieren einer Speicherkarte bestätigt nicht, dass der Austausch fachgerecht und die Anlage wieder sicher ist.

24. Prüfung vor Freigabe und Wiederinbetriebnahme

Vor der ersten Verwendung, nach einem Austausch, nach einer Reparatur und nach sicherheitsrelevanten Änderungen müssen Art und Umfang der erforderlichen Prüfungen durch die hierfür qualifizierten und beauftragten Personen festgelegt werden.

Abhängig von der konkreten Anlage können unter anderem zu beurteilen sein:

• eindeutige Identität aller Komponenten,
• Übereinstimmung mit Schaltplan und Stückliste,
• korrekte Spannungs- und Potentialzuordnung,
• sämtliche Einspeisungen und Fremdspannungen,
• Schutzleiter und Potentialausgleich,
• richtige Sicherungen und Schutzgeräte,
• korrekte Klemmen- und Steckverbindungen,
• zulässige Einbaulage und Kühlung,
• Hardware- und Firmwarekompatibilität,
• richtige Hardwarekonfiguration,
• richtige Software- und Parameterversion,
• vorhandene Force-, Test- oder Bypasszustände,
• Verhalten bei Einschalten und Wiederanlauf,
• Verhalten bei Kommunikationsausfall,
• Verhalten bei Spannungsunterbrechung,
• Ausgangs- und Ersatzwertverhalten,
• Funktionsfähigkeit der Schutzeinrichtungen,
• Validierung der Sicherheitsfunktionen,
• Aktualität der Dokumentation und Kennzeichnung.

Diese Aufzählung ist ausdrücklich nicht vollständig und keine universelle Inbetriebnahme-Checkliste.

Das Abarbeiten einzelner Punkte bestätigt für sich allein weder die Sicherheit noch die vollständige Betriebsbereitschaft einer konkreten Anlage.

Die DGUV Vorschrift 3 verlangt Prüfungen elektrischer Anlagen und Betriebsmittel unter anderem vor der ersten Inbetriebnahme sowie nach Änderung oder Instandsetzung vor der Wiederinbetriebnahme. Die Prüfungen müssen durch eine Elektrofachkraft oder unter deren Leitung und Aufsicht erfolgen.

Eine Anlage darf erst freigegeben werden, wenn die verantwortlichen Personen die für die konkrete Anwendung erforderlichen Prüfungen abgeschlossen, bewertet und dokumentiert haben.

25. Arbeiten sofort unterbrechen, wenn Unklarheiten bestehen

Keine weiteren Anschluss-, Austausch-, Programmier-, Prüf- oder Inbetriebnahmearbeiten durchführen, wenn insbesondere einer der folgenden Punkte vorliegt:

• Die vollständige Typ- oder Bestellnummer ist nicht eindeutig lesbar.
• Die genau passende Herstellerdokumentation fehlt.
• Hardware-, Firmware- oder Revisionsstand ist ungeklärt.
• Schaltplan und tatsächliche Verdrahtung stimmen nicht überein.
• Eine Spannung oder ein Potential kann nicht eindeutig zugeordnet werden.
• Fremdeinspeisungen können nicht ausgeschlossen werden.
• Die Spannungsfreiheit kann nicht sicher festgestellt werden.
• Klemmen- oder Pinbelegungen sind ungeklärt.
• Eine Komponente weist Brand-, Überhitzungs- oder Kurzschlussspuren auf.
• Gehäuse, Abdeckungen, Berührungsschutz oder Klemmen sind beschädigt.
• Feuchtigkeit, Korrosion oder starke Verschmutzung ist vorhanden.
• Nicht dokumentierte Umbauten oder Reparaturen sind erkennbar.
• Das vorhandene Softwareprojekt kann nicht eindeutig zugeordnet werden.
• Force-, Test- oder Bypasszustände können nicht sicher ausgeschlossen werden.
• Die Safety-Konfiguration oder Safety-Signatur ist ungeklärt.
• Ein Ausgang oder Aktor reagiert unerwartet.
• Nach einem Austausch treten abweichende Diagnose- oder Prozesszustände auf.
• Eine erforderliche Prüfung oder Validierung kann nicht fachgerecht durchgeführt werden.

In diesen Fällen muss die Komponente beziehungsweise Anlage gegen weitere Verwendung gesichert werden.

Die weitere Vorgehensweise ist durch den Hersteller, den Maschinenhersteller, einen geeigneten Fachbetrieb oder eine für das konkrete System ausreichend qualifizierte Fachperson zu klären.

26. Bedeutung dieser Seite für Angebote von REHA-Industriekomponenten

Diese Informationsseite ergänzt allgemeine Produktsicherheitsangaben. Sie ist keine Herstellerdokumentation und kein Bestandteil einer anlagenbezogenen Planung, Programmierung oder Sicherheitsbewertung.

Durch die Bereitstellung dieser Seite übernimmt REHA-Industriekomponenten e.K. insbesondere keine:

• Planung oder Auslegung eines Schaltschranks,
• Auswahl oder Dimensionierung einer Steuerung,
• Erstellung oder Prüfung eines Schaltplans,
• Festlegung von Klemmen- oder Pinbelegungen,
• Festlegung von Sicherungen oder Schutzgeräten,
• Prüfung der Eignung für eine bestimmte Maschine oder Anlage,
• Bestätigung der Kompatibilität verschiedener Komponenten,
• SPS- oder HMI-Programmierung,
• Erstellung oder Prüfung von Parametersätzen,
• Prüfung oder Freigabe von Softwareprojekten,
• Prüfung unbekannter Speichermedien,
• Netzwerk- oder Fernwartungskonfiguration,
• Safety-Programmierung,
• Risikobeurteilung,
• Prüfung oder Validierung von Sicherheitsfunktionen,
• elektrische Sicherheitsprüfung,
• Anschluss-, Inbetriebnahme- oder Verwendungsfreigabe.

Eine Auskunft zur Identifikation, Verfügbarkeit oder zum Verkaufszustand einer Komponente ersetzt keine technische Planung, keine Kompatibilitätsprüfung und keine sicherheitsbezogene Freigabe.

Für Lieferumfang, Zustand, Prüfstatus und gegebenenfalls ausdrücklich zugesagte Funktionen gelten ausschließlich die Angaben im konkreten Angebot, im Vertrag und in den einbezogenen Geschäftsbedingungen.

Die Seite verändert oder beschränkt keine ausdrücklich im konkreten Vertrag übernommenen Verpflichtungen.

Gesetzlich zwingende Rechte, Pflichten und Haftungsregelungen bleiben unberührt.

27. Offizielle Grundlagen und weiterführende Informationen

Diese Seite fasst wiederkehrende allgemeine Sicherheitsgrundsätze zusammen. Für jede konkrete Arbeit bleiben die produkt-, maschinen- und anlagenspezifischen Herstellerunterlagen maßgeblich.

Arbeitsschutz und elektrische Sicherheit in Deutschland

• DGUV Vorschrift 3 – Elektrische Anlagen und Betriebsmittel
• Betriebssicherheitsverordnung – § 3 Gefährdungsbeurteilung
• Betriebssicherheitsverordnung – § 10 Instandhaltung und Änderung von Arbeitsmitteln
• Betriebssicherheitsverordnung – § 14 Prüfung von Arbeitsmitteln
• DGUV Information 203-050 mit Erläuterungen zu elektrischen Anlagen, Freischaltung, Fremd- und Hilfsspannungen sowie Arbeiten in der Nähe aktiver Teile.

Beispiele offizieller Herstellerinformationen

Die folgenden Herstellerinformationen zeigen beispielhaft, dass Potentialgruppen, Einbau, Verdrahtung, ESD-Schutz, Onlinefunktionen und Safety-Konfigurationen produkt- und systemabhängig sind:

• Siemens SIMATIC Safety – Konfiguration, Safety-Signaturen, Änderungen und Abnahme.
• Beckhoff TwinCAT – Schreiben und Forcen von Variablen sowie Onlineänderungen.
• Beckhoff I/O-Systeme – Leistungskontakte, Potentialgruppen, Montage, Erdung und Isolationsprüfung.
• Beckhoff I/O-Systeme – Schutz vor elektrostatischer Entladung.

Konkrete Angaben aus einer Herstellerunterlage dürfen nicht ungeprüft auf Produkte anderer Hersteller, anderer Baureihen oder anderer Ausführungen übertragen werden.

28. Aktualität und Prüfung der Unterlagen

Hersteller können Dokumentationen, Hardwarestände, Firmwarestände, Softwareversionen, Produktfreigaben, Sicherheitskennwerte und zulässige Komponentenkombinationen ändern oder ergänzen.

Vor jeder Arbeit ist deshalb zu prüfen, ob für die vollständige Komponente und die konkrete Maschinenkonfiguration neuere oder zusätzliche Herstellerinformationen vorliegen.

Das Datum dieser Seite bestätigt ausschließlich den redaktionellen Bearbeitungsstand dieser allgemeinen Übersicht. Es bestätigt nicht die Aktualität einer gerätespezifischen Herstellerdokumentation und stellt keine Prüfung einer konkreten Steuerung oder Anlage dar.

Maßgeblich bleiben immer die vollständige Komponenten- und Systemidentifikation, die für jede konkrete Ausführung gültigen Herstellerunterlagen, die Schaltpläne und Softwarestände der Maschine, die anlagenbezogene Gefährdungsbeurteilung sowie die am Einsatzort geltenden Vorschriften.