BA #032 Von Zielgruppen, Risikobeurteilungen und Gefahren durch Konstruktionsfehler

Vor welchen Gefahren ist in einer Betriebsanleitung zu warnen und an wen richten sich diese Warnungen? Diese Frage beschäftigte einen Hörer unseres Podcasts.

Vorweg: Dieser Podcast verwendet zur besseren Veranschaulichung ein konstruiertes Negativbeispiel, das so in der Praxis hoffentlich nicht vorkommt, nicht vorkommen sollte.
Er bietet – da es den Rahmen sprengen würde – auch keine detaillierten Informationen zur Risikobeurteilung. Hierzu verweise ich auf unsere entsprechenden Podcastreihen.
Tipp: Unsere Podcasts sind nach Themen sortiert und verwenden am Anfang des Titels ein Kürzel, dass auf das entsprechende Thema verweist. Unsere Podcasts zur Risikobeurteilung beginnen immer mit dem Kürzel RB.

Die Frage, um die es geht beschäftigt uns technische Redakteure im Grunde genommen jeden Tag bei unserer Arbeit.

Wir haben hier eine fiktive Maschine, deren Aufgabe es ist, ein Metallprofil in die Bohrung eines Kunststoffprofils zu pressen. Um den Bearbeitungsvorgang auszulösen, ist aus Sicherheitsgründen die gleichzeitige Betätigung von zwei Tastschaltern vorgesehen. Diese sog. Zweihandbedienung wird vom Hersteller im Rahmen der Risikominderung bei der Konstruktion verwendet und kommt in vielen Maschinenbereichen vor.

Ziel einer solchen Maßnahme ist, es zu verhindern, dass ein Maschinenbediener mit Gliedmaßen oder Haaren in den Wirkungsbereich der Maschine gerät, und so schwere oder gar tödliche Verletzungen erleidet.

Die Zweihandschaltung, wie sie auch genannt wird, ist allerdings nur dann effektiv, wenn die Maschinensteuerung so ausgelegt ist, dass beide Taster während des Bearbeitungsvorganges permanent gedrückt gehalten werden müssen. Sobald mindestens ein Taster öffnet, sollte der Bearbeitungsvorgang sofort abgebrochen werden – wobei sich kein Teil der Maschine mehr bewegen darf, von dem eine Gefährdung ausgeht.

Würde also die Steuerung feststellen, dass ein Taster nicht mehr geschlossen ist, sollte die Maschine nicht nur den Bearbeitungsvorgang sofort anhalten, sondern es müsste auch verhindert werden, dass die Maschine selbsttätig in ihre Ausgangsposition fährt, wenn es hierbei zu Gefährdungsmomenten des Bedieners kommen kann. In diesem Fall wäre eine Rücksetzprozedur vorzusehen, um den Bearbeitungsvorgang kontrolliert erneut starten zu können – selbstverständlich ebenfalls unter Berücksichtigung aller Sicherheitsaspekte.

In unserem Beispielfall ist es nun so, dass die Maschine zwar über die Zweihandschaltung verfügt jedoch mit einer anderen Problematik aufwartet: Sobald der Bearbeitungsvorgang erfolgreich beendet ist, fährt die Maschine die Teileaufnahme für das Metallprofil selbsttätig in die Ausgangsposition zurück. Und genau hier droht dem Bediener Gefahr: Der Verfahrweg der Teileaufnahme ist beim Rücksetzen nicht durch eine Abdeckung geschützt, sodass der Bediener mindestens schwere Quetschungen erleidet, gerät er zwischen Teileaufnahme und Maschinengehäuse. Dies könnte unter gewissen Voraussetzungen ein Konstruktionsfehler sein.

Teil 2 der Problemstellung: Die Bewegung der Teileaufnahme erfolgt durch eine pneumatische Steuerung. Diese ist jedoch – aufgrund des Restdruckes im Druckspeicherelement – auch dann noch aktiv, wenn die elektrische Energieversorgung zur Maschine vollständig getrennt ist. Somit lässt sich die Maschine auch in Gang setzen, wenn sie elektrisch ausgeschaltet ist. Auch dies ist möglicherweise ein Konstruktionsfehler, da man im Allgemeinen erwartet, dass eine erkennbar ausgeschaltete Maschine keine Reaktion auf Tastendrücke o. ä. liefert.

Kurzum die Maschine weist ein erhebliches Gefährdungspotential auf. Reicht es nun, den Benutzer hierüber zu informieren? Und wer ist überhaupt zu informieren?

Grundsätzlich gilt: Für jedes Produkt ist die Erstellung einer Risikobeurteilung erforderlich. Dies ist so von allen EU-Richtlinien wie z. B. der Maschinenrichtlinie gefordert. In Zusammenhang mit der Risikobeurteilung sollte auch immer eine Zielgruppenanalyse durchgeführt werden – also welche Personen handeln wann und wie an und mit der Maschine? Hierbei sind die Fähigkeiten und Aufgaben der handelnden Personen zu berücksichtigen und zu beschreiben. Dies ist wichtig, damit jeder Benutzer das Produkt sicher bedienen kann. Dies schließt auch das Verständnis der Betriebsanleitung ein.

Die Risikobeurteilung ist Voraussetzung für die CE-Kennzeichnung. Sie ist bereits von Anfang an – also noch vor der Konstruktion des Produktes – zu erstellen. Das Ergebnis der Risikobeurteilung ist die Grundlage für die Konstruktion der Maschine.

Übrigens: Auch ausschließlich im Unternehmen verwendete Produkte die nie in den Handel kommen sollen, unterliegen der CE-Kennzeichnungspflicht. Dies betrifft auch die sog. Betriebsmittelkonstruktion, bei der ein Unternehmen auf seine eigene Produktion abgestimmte Maschinen herstellt.

Teil der Risikobeurteilung ist die Risikobewertung. Ergibt diese, dass eine Risikominderung erforderlich ist, müssen geeignete Schutzmaßnahmen zur Anwendung kommen.

Die Risikominderung ist ein dreistufiger Prozess. Er beginnt im ersten Schritt mit der sog. Inhärent sicheren Konstruktion. Hierbei werden erkannte Gefährdungen bereits bei der Konstruktion durch entsprechendes Design der Maschine und der Steuerungseinrichtungen entweder vollständig beseitigt oder zumindest vermindert.

Was könnte die Konstruktionsabteilung nun hinsichtlich der bekannten Probleme unserer fiktiven Maschine besser machen?

Zum einen wäre es denkbar ein Gehäuseteil so auszubilden, dass es den beim Rückzug der Teileaufnahme frei zugänglichen Verfahrweg abdeckt und so vor Berührung durch das Bedienpersonal schützt.

Und um sicherzustellen, dass der pneumatische Pressvorgang bei stromloser Maschine nicht mehr möglich ist, könnte entweder ein elektrisches Ventil ein Einströmen der Druckluft in den Presszylinder nur bei eingeschalteter Stromversorgung erlauben (Prinzip Wasserstop bei Waschmaschine und Geschirrspüler) oder ein kontrolliertes Ablassen der Druckluft im Druckluftspeicher bei Ausschalten des Gerätes vorgesehen werden.

Nicht immer jedoch lassen sich aus unterschiedlichen Gründen Gefährdungen konstruktiv vollständig ausschließen. Dann ist der Hersteller im zweiten Schritt gefordert, entsprechende technische und ergänzende Schutzmaßnahmen vorzusehen. Hierbei sind auch die bestimmungsgemäße Verwendung und die vernünftigerweise vorhersehbaren Fehlanwendungen der Maschine zu berücksichtigen. Betrachten wir wieder unsere fiktive Maschine:

Möglicherweise muss die Teileaufnahme für den Bediener in der Nullposition der Maschine erreichbar sein, etwa um ein neues zu verpressendes Profil oder ein zusätzliches Werkzeug anbringen zu können. In diesem Fall wäre eine starre Gehäuseabdeckung über dem Verfahrweg der Teileaufnahme keine sinnvolle Lösung. Hier würde man sich eventuell dazu entscheiden, eine klappbare Abdeckung zu installieren. Diese müsste wiederum mit einer zusätzlichen Sicherung wie einem Mikroschalter oder einer Lichtschranke versehen sein, sodass eine Aktivierung der Maschine bei geöffneter Abdeckung nicht möglich ist.

Im dritten Schritt schließlich ist der Benutzer auf alle dann noch bestehenden Restrisiken hinzuweisen. Dies erfolgt durch die Benutzerinformation, beispielsweise in Form einer Betriebsanleitung. In Bezug auf unsere fiktive Maschine müsste nun auch die klappbare Abdeckung Erwähnung in der Benutzerinformation finden.

Warum ist das so?

Zum einen, um den Benutzer anzuleiten, wie die Bestückung der Teileaufnahme oder ein Werkzeugwechsel sicher erfolgt. Zum anderen im Sicherheitskapitel unter dem Punkt Vernünftigerweise vorhersehbare Fehlanwendung. Warum dort?

Weil es dem Bediener möglicherweise zu aufwändig ist, bei jedem Bestückungsvorgang oder Werkzeugwechsel die Abdeckung öffnen und schließen zu müssen. Ein naheliegendes Verhalten wäre es dann, dass der Benutzer die Abdeckung aus Bequemlichkeit einfach dauerhaft offenlässt und die Sicherheitsschaltung überbrückt. So etwas kommt gar nicht so selten vor, wie man vielleicht denkt.

Oftmals stellt sich in Zusammenhang mit der Benutzerinformation nun die Frage:

Muss vor jeder, auch vor allgemein bekannten Gefahren gewarnt werden?
Eine pauschale Antwort kann es meiner Ansicht nach hier nicht geben.
In der Regel ergibt sich die Antwort jedoch aus einer gewissenhaft erstellten Zielgruppenanalyse.

In Bezug auf unsere fiktive Maschine könnte diese beispielsweise ergeben, dass ausschließlich an der Maschine ausgebildetes Personal zum Einsatz kommen darf, dass selbstverständlich über alle von der Maschine ausgehenden Gefahren informiert und in die sichere Handhabung eingewiesen ist.

Wie verhält es sich aber bei einem Produkt wie einem elektrischen Fleischwolf für die Küche? Ein solches Gerät kann von jedem gekauft und eingesetzt werden, ohne dass eine entsprechende Ausbildung oder Einarbeitung erforderlich wäre. Die wohl größte Gefahr, die von ihm ausgeht, liegt darin mit einem Kleidungsstück wie einer Krawatte oder mit langen Haaren erfasst zu werden. Diese wickeln sich um die Transportschnecke was zu schweren Verletzungen oder gar zum Tod führen kann.

Auch Aktenvernichter stellen in dieser Hinsicht übrigens eine latente Gefahr dar.

Diese Gefahr wird vielen Benutzern bewusst sein, ohne dass es einer entsprechenden Belehrung bedarf. Aber es ist auch mit Sicherheit anzunehmen, dass es Benutzer gibt, die sich dieser Gefahr nicht bewusst sind – beispielsweise, weil sie bisher nie mit einem solchen Küchengerät arbeiteten oder die Gefahr aus anderen Gründen nicht erkennen können. Und damit sind wir also auch hier wieder automatisch bei der Zielgruppenanalyse.

Und weil wir danach wissen, dass der Käufer- und Anwenderkreis keine homogene Gruppe ist, dürfen wir in diesem Fall keineswegs davon ausgehen, dass die Gefährdung jedem bekannt ist, und müssen daher zwingend entsprechende Warnhinweise in der Bedienungsanleitung vorsehen.

Kommen wir nun zu Handlungen von Personen die heute schon mal als DAU bezeichnet werden. Dieser Begriff bedeutet „dümmster anzunehmender User“ und stammt ursprünglich aus dem IT-Bereich, ist mittlerweile aber auch in anderen technischen Bereichen anzutreffen.

Nun bezeichnet der Begriff „DAU“ aber keineswegs Menschen mit eingeschränkten geistigen Fähigkeiten, sondern findet dort Anwendung wo mangels grundlegendem Wissen oder gar aus Leichtsinn, Fahrlässigkeit oder Vorsatz Anwendungsfehler unterlaufen können. Er tritt daher heute meist im Zusammenhang mit der Benutzerfreundlichkeit von Produkten auf. Also wie können wir ein Produkt so konstruieren, dass auch der unbedarfteste Anwender das Produkt sicher nutzen kann? Vergessen wir dabei jedoch nicht: Auch wenn die Verwendung dieses Begriffes also eigentlich gar nicht beleidigen soll, stellt er für manche Menschen die so bezeichnet werden, eine Beleidigung dar. Wir sollten daher auf seine Anwendung verzichten.

Dennoch stellt sich die Frage: Muss ich auch die hieraus resultierenden Probleme in meiner Benutzerdokumentation berücksichtigen?

Dem mangelnden Grundlagenwissen begegnen wir schon automatisch durch eine entsprechend inhaltlich gestaltete Benutzerinformation. Wäre dem nicht so, könnte man kein Produkt ruhigen Gewissens am Markt platzieren. Leichtsinn und Fahrlässigkeit versuchen wir mit dem Kapitel „Vernünftigerweise vorhersehbare Fehlanwendungen“ bestmöglich zu begegnen. Gegen Vorsatz hingegen ist wohl kein Kraut gewachsen.

Apropos vernünftigerweise vorhersehbare Fehlanwendungen: Was versteht man nochmal darunter? Die DIN EN ISO 12100 verrät es uns in Kapitel 3.24: Es ist die Verwendung einer Maschine in einer Weise, die vom Konstrukteur nicht vorgesehen ist, sich jedoch aus dem leicht vorhersehbaren menschlichen Verhalten ergeben kann. Hierzu gehören unter anderem Kontrollverlust über die Maschine, Konzentrationsmangel, Unachtsamkeit, aber eben auch die Verwendung einer Maschine in einer Form, die der Konstrukteur nicht vorgesehen hat wie zum Beispiel das Sägen von Stahlträgern mit einer Handkreissäge.

Im Zweifel wäre es daher wohl angeraten, in bestimmten Fällen den physischen Zugriff auf eine Maschine nur einem bestimmten Personenkreis zu ermöglichen. Hierzu bietet sich beispielsweise an, dass eine Maschine nur mit einer Legitimation wie einer Magnetkarte, einem RFID-Chip oder mittels eines Fingerabdruckscanners in Betrieb genommen werden darf.

Eine weitere Maßnahme wäre eine Zutrittskontrolle eines definierten Personenkreises. Diese könnte beispielsweise in Produktionsstätten erforderlich sein, in denen Roboter zum Einsatz kommen. Hier dürften dann nur bestimmte Personen den beispielsweise durch einen Roboterschutzzaun abgesperrten Bereich betreten.  Im einfachsten Fall wird in der Risikobeurteilung lediglich darauf hingewiesen, wer mit der Maschine arbeiten, bzw. wer keinesfalls mit der Maschine arbeiten darf.

Dies erfolgt meist ohnehin schon in der Form, dass beispielsweise Hinweise in die Betriebsanleitung integriert sind die den Betrieb einer Maschine unter Einfluss von Alkohol, Drogen oder bestimmten Medikamenten untersagen oder ein Mindestalter des Benutzers vorschreiben.

Halten wir also fest:

• Zu jedem Produkt gehört eine Risikobeurteilung
• Zu jeder Risikobeurteilung und zu jeder Benutzerinformation gehört eine Zielgruppenanalyse
• In welchem Umfang welche Personen in den Benutzerinformationen zu warnen sind, entnehmen wir der abschließenden Risikobeurteilung.