Die Sicherheit einer drahtlosen Fernsteuerung für Bagger hängt davon ab, wie sich die gesamte Maschine verhält, wenn der Bediener den Not-Aus-Schalter betätigt, die drahtlose Kommunikationsverbindung ausfällt oder ein Fehler im Steuerungssystem auftritt. Eine Fernsteuerung mit einem roten Stoppknopf allein reicht nicht aus. Sender, Empfänger, sicherheitsrelevante Steuerkreise, Hydrauliksystem und das Verhalten der Maschine müssen zusammenwirken, um die Reaktion zu erzielen, die gemäß der Risikobewertung der Anwendung erforderlich ist.
Zwei Schutzfunktionen verdienen besondere Beachtung: manueller Not-Aus und automatischer Schutz vor dem Verlust einer gültigen Verbindung. Sie beziehen sich auf unterschiedliche Auslöseereignisse. Der Bediener kann bewusst einen Stopp anfordern, weil eine Person den Arbeitsbereich betritt, während die Schutzvorrichtung bei Signalausfall automatisch reagieren muss, wenn keine gültigen Befehle mehr empfangen werden können. Beide Funktionen erfordern ein klar definiertes Verhalten, eine geeignete Umsetzung und eine dokumentierte Überprüfung, bevor der Bagger in Betrieb genommen wird.
Für Anlagenbesitzer, Wartungstechniker und Beschaffungsteams stellt sich in der Praxis nicht einfach nur die Frage, ob ein Fernsteuerungssystem über diese Funktionen verfügt. Es geht vielmehr darum, ob die Funktionen bei dem jeweiligen Bagger wie erforderlich funktionieren, einschließlich seiner Hydraulikfunktionen, seines Fahrverhaltens, seiner Betriebsmodi und der potenziell gespeicherten Energie.
Not-Aus, Normal-Stopp und Signalausfall sind unterschiedliche Ereignisse
Diese drei Vorgänge sollten nicht als austauschbar betrachtet werden. Das Verständnis dieses Unterschieds hilft Käufern bei der Bewertung von Produktspezifikationen und beugt einem häufigen Fehler vor: der Annahme, dass das Loslassen eines Joysticks oder das Ausschalten eines Senders zwangsläufig die erforderliche Notfallreaktion auslöst.
Not-Aus: eine bewusste Schutzmaßnahme
Ein Not-Aus wird ausgelöst, wenn eine Person eine potenziell gefährliche Situation erkennt und die dafür vorgesehene Stoppsteuerung betätigt. Bei einer drahtlosen Fernbedienung handelt es sich dabei in der Regel um eine gut sichtbare Stopp-Taste am Handsender oder an der Bedienkonsole.
Der Stoppbefehl muss über den vorgesehenen sicherheitsrelevanten Pfad des Systems übertragen und verarbeitet werden, wodurch die erforderliche Reaktion auf Maschinenebene ausgelöst wird. Die genaue Reaktion hängt von der Maschinenkonstruktion und der Risikobewertung ab. Möglicherweise müssen gefährliche Bewegungen gestoppt, bestimmte Befehle deaktiviert oder andere Maßnahmen zur Begrenzung des Restrisikos eingeleitet werden.
Das Drücken des Not-Aus-Schalters darf nicht mit dem Ausschalten der Fernbedienung als gewöhnlicher Bedienvorgang verwechselt werden. Die Sicherheitsfunktion muss für ihren vorgesehenen Zweck ausgelegt sein und darf sich nicht auf ein allgemeines Ausschaltverhalten stützen, dessen Folgen nicht bewertet wurden.
Normaler Stopp: Loslassen des Bedienelements
Ein normaler Stopp erfolgt, wenn der Bediener einen Joystick oder ein anderes Bedienelement in die Neutralstellung zurückführt oder einen gewöhnlichen Stoppbefehl erteilt. Dies ist Teil des Routinebetriebs und nicht unbedingt eine Notfallmaßnahme.
So kann beispielsweise das Loslassen der Fahrsteuerung zwar den Fahrbefehl aufheben, doch hängt das tatsächliche Verhalten des Baggers auch von der Antriebs-, Brems-, Hydraulik- und Steuerungsarchitektur der Maschine ab. Das Loslassen eines Joysticks bedeutet nicht automatisch, dass jede gefährliche Bewegung oder jeder Zustand gespeicherter Energie unter Kontrolle gebracht wurde.
Signalausfall: eine automatische Fehlerreaktion
Ein Signalverlust tritt auf, wenn das Gerät innerhalb der durch die Systemauslegung festgelegten Grenzen keine gültigen Befehle mehr von seinem gekoppelten Sender empfangen kann. Mögliche Ursachen sind eine zu große Entfernung, Funkstörungen, ein Defekt des Senders, eine leere Batterie oder ein Kommunikationsproblem auf der Empfängerseite.
Das Empfangssystem muss den entsprechenden Fehler erkennen und die vorgesehene Reaktion auslösen, ohne darauf zu warten, dass der Bediener den Not-Aus-Schalter betätigt. Die erforderliche Maßnahme hängt von der jeweiligen Maschine und ihren Gefahren ab.
| Veranstaltung | Auslösebedingung | Was muss überprüft werden? |
|---|---|---|
| Not-Aus | Der Bediener betätigt absichtlich die Stopp-Steuerung | Die festgelegte Sicherheitsfunktion löst die erforderliche Reaktion auf Maschinenebene aus |
| Normale Haltestelle | Der Bediener lässt einen Regler los oder gibt einen Routinbefehl ein | Die Maschine reagiert korrekt auf den normalen Stopp- oder Neutralbefehl. |
| Signalausfall | Gültige WLAN-Befehle werden nicht mehr wie angegeben empfangen | Die automatische Fehlerreaktion erfolgt innerhalb der dokumentierten Grenzwerte des Systems. |
| Stromausfall | Sender, Empfänger oder die entsprechende maschinenseitige Stromversorgung fällt aus | Ein Stromausfall führt nicht zu einer unzumutbaren Gefahrensituation. |
| Fehlerbehebung | Die Kommunikation oder die Stromversorgung wird nach einer Störung wiederhergestellt | Das Gerät durchläuft den dokumentierten Wiederherstellungsprozess und startet nicht unerwartet neu. |
Die Unterscheidung zwischen diesen Ereignissen sollte in der Systemdokumentation, in den Schulungsunterlagen für das Bedienpersonal und im Inbetriebnahme-Prüfplan enthalten sein.
So sollte ein drahtloser Not-Aus-Schalter an einem Bagger funktionieren
Die Not-Aus-Funktion ist eine Anforderung auf Systemebene. Ihre Funktionsfähigkeit lässt sich nicht allein durch die Überprüfung des Tasters feststellen.
1. Der Bediener betätigt die Stopp-Steuerung
Der Bediener betätigt die dafür vorgesehene Not-Aus-Einrichtung, nachdem er eine gefährliche Situation erkannt hat. Die Einrichtung muss eindeutig erkennbar, während des vorgesehenen Betriebs zugänglich und in der Betriebsanleitung klar beschrieben sein.
Die Anordnung und die Gestaltung sind von Bedeutung, da ein Bediener möglicherweise schnell reagieren muss, während er einen Handsender in der Hand hält oder trägt. Im Rahmen der Schulung sollte vermittelt werden, wie die Not-Aus-Steuerung betätigt wird, ohne sie mit gewöhnlichen Bedienschaltern zu verwechseln.
2. Das System erkennt den Stoppbefehl und verarbeitet ihn
Das Sende- und Empfangssystem muss so konfiguriert sein, dass es die Stoppanforderung erkennt und die vorgesehene Schutzreaktion auslöst. Die Systemarchitektur sollte festlegen, welche Empfängerausgänge, sicherheitsrelevanten Schaltkreise, Steuerungen und Maschinenfunktionen beteiligt sind.
Eine allgemeine Aussage wie “Der Empfänger stoppt die Maschine” reicht nicht aus, um die Konstruktion zu beschreiben. Der zuständige Systemintegrator sollte in der Lage sein, zu erläutern, wie sich der Stoppbefehl durch das Steuerungssystem ausbreitet und welche gefährlichen Funktionen davon betroffen sind.
3. Der Bagger erreicht den vorgesehenen Stillstandszustand
Das Beenden eines drahtlosen Befehls und das Herunterfahren eines physischen Rechners sind nicht unbedingt dasselbe Ereignis.
Ein Bagger kann über bewegliche Raupenketten, einen drehbaren Oberwagen, einen angehobenen Ausleger, ein Material transportierendes Anbaugerät und in seinen Hydraulikkreisläufen verbleibende Hydraulikenergie verfügen. Je nach Situation reicht es unter Umständen nicht aus, lediglich den elektrischen Befehl zu unterbrechen, um alle Gefahren zu beseitigen.
Das Stoppverhalten muss entsprechend der Maschine und der Anwendung ausgewählt werden. So muss bei der Konstruktion beispielsweise berücksichtigt werden, wie der Verfahrweg gestoppt wird, wie Schwenkbewegungen zum Stillstand kommen und wie gefährliche Bewegungen oder Lastsicherungszustände gehandhabt werden. Diese Entscheidungen sind Teil der Sicherheitsauslegung der Maschine und dürfen nicht während des Betriebs improvisiert werden.
4. Das System verhindert einen unsicheren Neustart
Nach Auslösen des Not-Aus-Schalters darf das Loslassen der Taste oder die Wiederherstellung der Funkverbindung keine unbeabsichtigte Bewegung auslösen.
Der Rücksetzvorgang und die Bedingungen für die Wiederaufnahme des Betriebs sollten festgelegt werden. Je nach Architektur muss der Bediener möglicherweise die Stoppsteuerung zurücksetzen, das Fernsteuerungssystem neu starten oder wieder aktivieren und bewusst einen neuen Bewegungsbefehl erteilen.
Die tatsächliche Abfolge muss den genehmigten Betriebsanweisungen entsprechen. Ein Rücksetzbefehl sollte nicht als Hinweis darauf verstanden werden, dass der Bagger sofort sicher bewegt werden kann.
Was passiert, wenn die drahtlose Kommunikation unterbrochen wird?
Der Schutz vor Signalausfall ist besonders wichtig, da der Bediener möglicherweise erst dann bemerkt, dass ein Kommunikationsfehler aufgetreten ist, wenn dies durch die Reaktion der Maschine oder eine Statusanzeige deutlich wird.
Industrielle Funkfernsteuerungssysteme können so ausgelegt werden, dass sie die ordnungsgemäße Kommunikation überwachen und konfigurierte Ausgänge unterbrechen, sobald die Verbindung unterbrochen wird. Die genaue Vorgehensweise, die Zeitüberschreitung, die Diagnoseanzeige und das Verhalten der Ausgänge variieren je nach Modell.
Die von Caterpillar veröffentlichte Beschreibung von „Command for Excavating“ liefert ein Beispiel eines Herstellers: Die von Caterpillar festgelegte Fernsteuerungskonfiguration umfasst eine Schutzfunktion, die die Bewegungen des Baggers stoppt, wenn die Funkverbindung unterbrochen wird oder der Fernabschaltknopf betätigt wird. Dies veranschaulicht eine Umsetzung für ein definiertes System und stellt keine allgemeine Leistungsgarantie für jede nachgerüstete Fernsteuerung dar. Siehe Ankündigung von Caterpillar zur Fernsteuerung von Baggern.
Was kann zu einem Signalverlust führen?
Verschiedene Fehler können die Kommunikation unterbrechen oder dazu führen, dass die Maschine keine Befehle mehr annimmt.
- Betrieb außerhalb der effektiven Reichweite: Der Betreiber entfernt sich weiter, als es die Verbindung unter den tatsächlichen Standortbedingungen zuverlässig zulässt.
- Funkstörungen: Andere Funkgeräte, elektromagnetische Störungen oder örtliche Umgebungsbedingungen beeinträchtigen die Kommunikation.
- Probleme mit der Sendeleistung: Eine leere Batterie, ein Fehler in der Stromversorgung oder ein interner Ausfall des Senders verhindern, dass gültige Befehle gesendet werden.
- Fehler am Empfänger oder an der Maschine: Die Empfangseinheit, ihre Stromversorgung oder die zugehörige Steuerelektronik funktioniert nicht ordnungsgemäß.
- Probleme mit der Antenne oder der Installation: Beschädigungen, eine lockere Verbindung, eine fehlerhafte Anbringung oder Umwelteinflüsse beeinträchtigen den Kommunikationsweg.
- Ungültige oder unbekannte Befehle: Der Empfänger kann Signale zurückweisen, die die konfigurierten Kommunikationsprüfungen des Systems nicht bestehen.
Diese Zustände können unterschiedliche diagnostische Hinweise haben. Eine Warnung wegen schwacher Batterie, ein Alarm wegen Wert außerhalb des zulässigen Bereichs und ein Empfängerfehler sollten nicht automatisch als dasselbe Ereignis behandelt werden.
Was soll das Gerät nach einem Kommunikationsausfall tun?
Das erforderliche Ansprechverhalten muss bereits bei der Systemauslegung festgelegt werden. Es sollte für den jeweiligen Bagger dokumentiert und anhand eines zugelassenen Prüfverfahrens überprüft werden.
| Frage | Anzufordernde Nachweise |
|---|---|
| Wie wird der Ausfall einer funktionierenden Kommunikation erkannt? | Herstellerdokumentation zur Beschreibung der Überwachung und Fehlererkennung |
| Was passiert mit Bewegungsbefehlen? | Beschreibung des Empfängers und des maschinenseitigen Ausgangsverhaltens |
| Wie werden gefährliche Bewegungen gehandhabt? | Erläuterung auf Systemebene unter Berücksichtigung der relevanten Maschinenfunktionen und Energiezustände |
| Gibt es einen Alarm oder eine Fehlermeldung? | Bedienungsanleitung mit einer Beschreibung der Anzeige und der erforderlichen Reaktion des Bedieners |
| Was passiert, wenn die Kommunikation wiederhergestellt ist? | Dokumentiertes Verfahren zur Wiederherstellung und Reaktivierung |
| Wie wird die Antwort überprüft? | Inbetriebnahmeprotokolle und entsprechende Prüfergebnisse |
Es gibt kein allgemeingültiges Funk-Timeout, das auf jedes Fernsteuerungssystem für Bagger angewendet werden kann. Ein von einem Hersteller verwendetes Timeout darf ohne entsprechende Konstruktionsunterlagen nicht als der richtige Wert für eine andere Maschine dargestellt werden.
Entscheidend ist, dass die Erkennung und Reaktion den geltenden Sicherheitsanforderungen, den Arbeitsbedingungen und den dokumentierten Abnahmekriterien entsprechen.
Bedeutet ein Signalverlust immer, dass alle Hydraulikausgänge sofort abgeschaltet werden müssen?
Das gilt nicht unbedingt als allgemeingültige Konstruktionsregel. Die Reaktion muss den Gefahren der Maschine und der zu steuernden Funktion angemessen sein.
Das Deaktivieren eines Antriebsbefehls kann erforderlich sein, jedoch muss dabei auch der daraus resultierende Zustand der Maschine berücksichtigt werden. Je nach Anlage können eine abrupte Abschaltung, der Verlust der Haltekraft, Restbewegungen oder die unerwartete Freisetzung gespeicherter Energie zusätzliche Gefahren mit sich bringen.
Das zuständige Ingenieurteam muss festlegen, welche Ausgänge deaktiviert werden, welche Funktionen angehalten oder abgebremst werden müssen und wie die Maschine in einen sicheren Zustand versetzt wird. Die endgültige Auslegung sollte durch eine angemessene Risikobewertung und Systemüberprüfung untermauert werden und nicht auf der pauschalen Annahme beruhen, dass die Abschaltung aller Ausgänge stets jede Gefahr beseitigt.
Schutz vor unerwarteten Bewegungen
Not-Aus- und Signalausfallfunktionen sind nicht die einzigen Sicherheitsaspekte. Eine drahtlose Steuerung muss zudem unbeabsichtigte Befehle verhindern oder erkennen, sofern dies aufgrund der Systemauslegung erforderlich ist.
Schutz vor Neutralstellung und unbeabsichtigter Betätigung
Ein Bagger sollte nicht in Bewegung gesetzt werden, nur weil ein Sender eingeschaltet, eine Batterie ausgetauscht oder die Kommunikation wiederhergestellt wurde, solange ein Betriebsbefehl noch aktiv ist.
Zu den entsprechenden Sicherheitsvorkehrungen können Überprüfungen gehören, ob sich die Bewegungssteuerungen in ihrer Neutralstellung befinden, sowie eine geeignete Freigabelogik, die Überprüfung von Befehlen und festgelegte Bedingungen für den Neustart. Welche Maßnahmen erforderlich sind, hängt vom jeweiligen System und dessen Sicherheitsbewertung ab.
Käufer sollten sich erkundigen, wie sich das System verhält, wenn ein Joystick in einer von der Neutralstellung abweichenden Position klemmt, ein Schalter ausfällt oder der Sender aktiviert wird, während sich ein Steuerelement bereits in einer anderen Position befindet. Die Antwort sollte aus der modellspezifischen Dokumentation stammen und nicht auf einer Annahme beruhen, die auf dem Vorhandensein einer Joystick-Feder oder einer Sichtprüfung basiert.
Identität von Sender und Empfänger
Das System sollte feststellen, welcher Sender zur Steuerung des Empfängers berechtigt ist. Dies ist besonders an Standorten wichtig, an denen mehrere ferngesteuerte Maschinen in unmittelbarer Nähe betrieben werden.
Die Inbetriebnahme- und Betriebsanweisungen sollten die Zuordnung bzw. Identifizierung, den Einsatz von Ersatzsendern, Ersatzgeräten sowie alle erforderlichen Kontrollmaßnahmen behandeln, um zu verhindern, dass ein Bediener versehentlich die falsche Maschine ansteuert.
Der konkrete Ablauf hängt von der Produktarchitektur ab. Käufer sollten die dokumentierte Vorgehensweise überprüfen und beim Einbau oder Austausch eines Senders die Anweisungen des Herstellers befolgen.
Zustand der Batterie und der Ausrüstung
Ein beschädigter Stoppknopf, ein beschädigtes Gehäuse, ein defekter Joystick, ein lockerer Stecker oder ein schwacher Akku können den zuverlässigen Betrieb beeinträchtigen. Auch wenn sich ein Steuergerät scheinbar einschalten lässt, kann eine Steuer- oder Schutzfunktion dennoch defekt sein.
Die Überprüfung vor der Inbetriebnahme sollte daher die in der Anleitung des Herstellers angegebenen Kontrollen umfassen. Bei jedem Verdacht auf einen sicherheitsrelevanten Mangel sollte das Gerät außer Betrieb genommen werden, bis es von einer dafür befugten Person begutachtet und repariert wurde.
Nomi liefert in seinem Häufig gestellte Fragen zur Sicherheit bei industriellen drahtlosen Fernsteuerungen. Die genauen Schutzfunktionen und die Leistung einer vorgeschlagenen Nomi-Konfiguration sollten noch anhand der entsprechenden Modelldokumentation überprüft werden.
Wie sollten Not-Aus- und Signalausfallschutzvorrichtungen geprüft werden?
Die Schutzfunktionen sollten bei der Inbetriebnahme überprüft und gemäß den Anweisungen des Herstellers gewartet werden. Ziel ist es, nachzuweisen, dass sich das integrierte System wie spezifiziert verhält, und nicht lediglich zu bestätigen, dass Sender und Empfänger miteinander kommunizieren können.
Die Prüfungen müssen von qualifiziertem Personal nach einem genehmigten Verfahren durchgeführt werden. Dabei dürfen weder Personen gefährlichen Bewegungen ausgesetzt werden, noch darf es während des normalen Produktionsbetriebs zu einem tatsächlichen, unkontrollierten Funkausfall kommen, noch dürfen die Sicherheitsvorrichtungen der Maschine umgangen werden.
Verwenden Sie einen dokumentierten Abnahmeplan
Legen Sie vor Beginn der Tests für jedes sicherheitsrelevante Ereignis das erforderliche Verhalten fest. Der Abnahmeplan sollte auf die jeweilige Maschine, die installierte Steuerungskonfiguration und die entsprechende Risikobewertung abgestimmt sein.
Die folgende Tabelle dient als Planungshilfe und ersetzt nicht die vom Hersteller genehmigten Prüfanweisungen.
| Testbereich | Was sollte überprüft werden? | Nachweis der Annahme |
|---|---|---|
| Not-Aus-Steuerung | Die Stoppanforderung wird empfangen und löst die erforderliche Reaktion aus | Erfasste Testergebnisse im Vergleich zur definierten Anforderung |
| Normaler Stopp und Neutralzustand | Das Loslassen der Steuerelemente führt nicht zu unerwarteten Bewegungen | Geprüfte Reaktion für relevante Betriebsfunktionen |
| Schutz vor Signalverlust | Die vorgeschriebene Reaktion auf einen Kommunikationsfehler wird ausgelöst | Prüfprotokoll, aus dem hervorgeht, dass das beobachtete Verhalten der genehmigten Spezifikation entspricht |
| Stromausfall | Relevante Fehler bei der Sender- oder Empfängerleistung werden wie vorgesehen behandelt | Dokumentiertes Reaktions- und Erholungsverhalten |
| Neustartschutz | Die Wiederherstellung der Kommunikation führt nicht unerwartet zu einem Neustart der Bewegung. | Erfolgreiche Überprüfung der erforderlichen Wiederaktivierungssequenz |
| Befehlszuordnung | Die Bedienelemente führen die vorgesehenen Funktionen und Richtungen aus | Funktionsweise-für-Funktionsweise-Prüfung abgeschlossen |
| Fehleranzeige | Der Bediener kann relevante Alarme und Störungen erkennen | Bestätigte Indikationen und Anwendungshinweise |
| Maschinenseitige Reaktion | Das hydraulische und mechanische Verhalten entspricht der Sicherheitsauslegung | Prüf- und Testaufzeichnungen des zuständigen Integrators |
Überprüfen Sie die gesamte Maschine, nicht nur die Funkverbindung.
Eine drahtlose Verbindung kann den Kommunikationstest bestehen, obwohl die integrierte Maschine noch ein Problem aufweist. Eine fehlerhafte Ausgangsverkabelung, eine inkompatible Ventilschnittstelle, ein Konfigurationsfehler des Reglers oder ein maschinenseitiger Fehler können dazu führen, dass die beabsichtigte Reaktion ausbleibt.
Im Rahmen des Inbetriebnahmeverfahrens sollten daher das Empfangssystem und die relevanten Maschinenfunktionen als komplette Anlage geprüft werden.
Das Prüfverfahren muss zudem die tatsächlichen Gefahren der Maschine widerspiegeln. Eine Prüfung, die für einen isolierten Laborempfänger geeignet ist, kann für einen Bagger mit angehobenen Anbaugeräten oder für Personen, die in der Nähe arbeiten, ungeeignet sein.
Festlegung von Nachprüfungen nach Wartungs- oder Änderungsarbeiten
Nach entsprechenden Reparaturen, dem Austausch von Bauteilen, Parameteränderungen oder Maschinenumbauten muss das sicherheitsrelevante Verhalten möglicherweise erneut überprüft werden.
Der Wartungsplan sollte festlegen, welche Änderungen eine Überprüfung, eine Funktionsprüfung oder eine erneute Validierung erfordern. Jede Änderung an einem Sender, Empfänger, Steuerausgang, Sicherheitskreis oder einer maschinenseitigen Schnittstelle sollte im Hinblick auf ihre Auswirkungen auf die genehmigte Konfiguration überprüft werden.
Welche Sicherheitsstandards sollten Käufer prüfen?
Normen bieten technische Rahmenbedingungen für die Bewertung der Sicherheit von Maschinen und Steuerungssystemen. Ihre Relevanz hängt vom jeweiligen Bagger, der Steuerungsarchitektur, den vorgenommenen Änderungen sowie dem Land ab, in dem die Maschine eingesetzt wird.
Die folgenden Angaben sind für die Bewertung eines ferngesteuerten Baggers besonders relevant.
ISO 15817:2012
ISO 15817:2012, Erdbaumaschinen: Sicherheitsanforderungen an Fernsteuerungssysteme befasst sich speziell mit den grundlegenden Sicherheitsanforderungen für Fernsteuerungssysteme, die an Erdbaumaschinen gemäß ISO 6165 zum Einsatz kommen.
Der ISO-Katalog bestätigt, dass die Ausgabe von 2012 nach ihrer Überarbeitung im Jahr 2023 weiterhin aktuell ist. Damit stellt sie einen besonders relevanten Ausgangspunkt für die Bewertung der Fernsteuerung eines Baggers dar.
Der Geltungsbereich ist entscheidend: Laut ISO gilt die Norm weder für autonome Steuerungssysteme, die den Betrieb einer Maschine ohne Unterstützung durch eine Bedienperson ermöglichen, noch für die Fernsteuerung von Anbaugeräten an Maschinen, die selbst nicht ferngesteuert werden.
ISO 13849-1:2023
ISO 13849-1:2023, Sicherheit von Maschinen: Sicherheitsrelevante Teile von Steuerungssystemen liefert eine Methodik und die damit verbundenen Anforderungen für die Auslegung und Integration sicherheitsrelevanter Teile von Steuerungssystemen.
Aus dem veröffentlichten Anwendungsbereich geht klar hervor, dass nicht für jede Anwendung das erforderliche Leistungsniveau festgelegt wird. Die entsprechenden Anforderungen müssen anhand der Maschine und ihrer Gefahren sowie unter Berücksichtigung aller geltenden maschinenspezifischen Normen ermittelt werden.
Folglich beweist der Verweis eines Lieferanten auf die Norm ISO 13849-1 allein noch nicht, dass der fertige Bagger ein bestimmtes Leistungsniveau erreicht hat.
IEC 60204-1:2016+A1:2021
IEC 60204-1:2016+A1:2021, Sicherheit von Maschinen: Elektrische Ausrüstung von Maschinen befasst sich mit elektrischen, elektronischen und programmierbaren elektronischen Geräten. Der veröffentlichte Geltungsbereich umfasst Anforderungen bezüglich Not-Aus-Vorrichtungen und dem Schutz von Steuerkreisen.
Ob und inwieweit diese Norm für eine bestimmte mobile Maschine oder Nachrüstung gilt, muss unter Berücksichtigung der anderen geltenden Normen und Vorschriften geprüft werden. Sie sollte nicht als Ersatz für die Anforderungen an Erdbaumaschinen angesehen werden.
Gesetzliche Vorschriften und Standortregeln
Die geltenden gesetzlichen Verpflichtungen können je nach Land und Region variieren. Beispielsweise die Vorschriften der britischen Arbeitsschutzbehörde (Health and Safety Executive) Leitfaden für mobile Arbeitsmittel besagt, dass ferngesteuerte, selbstfahrende Arbeitsmittel über eine Vorrichtung verfügen müssen, die sie sicher und automatisch zum Stillstand bringt, wenn sie ihren Steuerbereich verlassen und dabei während der Fahrt ein Sicherheitsrisiko darstellen. Die Leitlinien befassen sich zudem mit dem Schutz vor Quetsch- und Stoßgefahren.
Dies ist eine Quelle, die speziell für Großbritannien gilt. Käufer, die in anderen Märkten tätig sind, sollten die dort geltenden Vorschriften für Maschinen, Funkgeräte und Arbeitssicherheit prüfen.
Eine Normenreferenz ist nicht dasselbe wie eine Produktzertifizierung. Ein Lieferant sollte die Unterlagen vorlegen, die für das jeweils angebotene Modell und die jeweilige Konfiguration gelten, und der Verantwortliche sollte prüfen, ob das installierte System die für das Projekt geltenden Anforderungen erfüllt.
Was sollten Käufer bei einem Anbieter von Fernbedienungen erfragen?
Ein auf Sicherheit ausgerichtetes Angebot sollte mehr als nur das Sendermodell, die Funkfrequenz, die Reichweite und die Schutzart des Gehäuses enthalten.
Darin sollte erläutert werden, wie das gesamte System vorhersehbaren Gefahren begegnet und welche Nachweise die entsprechenden Aussagen stützen.
| Frage an den Lieferanten | Warum das wichtig ist |
|---|---|
| Was passiert, wenn die Not-Aus-Steuerung betätigt wird? | Legt die beabsichtigte Reaktion auf Maschinenebene fest |
| Was passiert, wenn die funktionierende Funkverbindung unterbrochen wird? | Bestätigt die Anforderungen an das automatische Fehlerverhalten und die Wiederherstellung |
| Führt die Wiederherstellung der Kommunikation zu einer automatischen Bewegung? | Behebt das Risiko eines unerwarteten Neustarts |
| Wie wird mit unbeabsichtigten Befehlen oder Steuerungen umgegangen, die nicht in der Neutralstellung erfolgen? | Erläutert den Schutz vor unbeabsichtigter Betätigung |
| Welche Maschinenfunktionen sind in der Stopp-Reaktion enthalten? | Verhindert Unklarheiten hinsichtlich des Schutzumfangs |
| Welche sicherheitsrelevanten Komponenten sind enthalten? | Unterscheidet zwischen gewöhnlicher Funksteuerung und den entsprechenden Komponenten des Sicherheitssystems |
| Welche Normen und Anforderungen gelten? | Schafft die technischen Grundlagen für die Bewertung |
| Welche Erklärungen, Bescheinigungen oder Prüfprotokolle liegen vor? | Liefert Belege für bestimmte Behauptungen |
| Wer ist für die Maschinenintegration und -validierung zuständig? | Stellt die Verantwortlichkeiten im gesamten Kontrollsystem klar |
| Welche Inspektionen und Wartungskontrollen sind erforderlich? | Gewährleistet einen sicheren Betrieb nach der Übergabe |
Ein Zitat, in dem Begriffe wie ausfallsicher, sicherheitsgeprüft, SIL, oder PL sollten durch modellspezifische Informationen und entsprechende Nachweise untermauert werden. Käufer sollten aus der Verwendung eines Sicherheitsknopfes, eines Zweikanal-Anschlusses oder einer allgemeinen Aussage, dass ein System für den industriellen Einsatz ausgelegt ist, keine bestimmte Einstufung ableiten.
Für Käufer, die eine Nomi-Konfiguration in Betracht ziehen, ist die industrielle hydraulische Fernsteuerungssysteme Kategorie und die Produktseite „Fernsteuerung für Bagger“ Liefern Sie erste Anhaltspunkte für das Produkt. Das genaue Modell, der Umfang, die Sicherheitsunterlagen und der Verwendungszweck sollten vor einer Kaufentscheidung bestätigt werden.
Häufige Fehler bei der Bewertung der Sicherheit von Fernsteuerungen für Bagger
Es wird davon ausgegangen, dass der Not-Aus-Schalter die Sicherheit des gesamten Systems gewährleistet. Der Druckknopf ist nur ein Bestandteil der Schutzfunktion. Auch das Empfangssystem, die maschinenseitigen Schaltkreise und das hydraulische Verhalten müssen bewertet werden.
Signalausfall als gewöhnlichen Stoppbefehl behandeln. Eine automatische Reaktion auf Kommunikationsfehler muss funktionieren, ohne dass ein Bediener erforderlich ist, der möglicherweise nicht bemerkt, dass keine gültigen Befehle mehr empfangen werden.
Vorausgesetzt, alle Produkte verwenden dieselbe Zeitüberschreitung. Erkennungsintervalle, Fehlerreaktionen und Regeln für den Neustart variieren je nach System. Allgemeine Angaben sollten nicht an die Stelle der geltenden technischen Dokumentation treten.
Die Unterbrechung der Stromversorgung mit einem sicheren Maschinenzustand gleichsetzen. Gefährliche Bewegungen, Restenergie, Halteanforderungen und das Verhalten des Hydrauliksystems müssen berücksichtigt werden.
Unter der Annahme, dass die Funkverbindung wiederhergestellt ist, kann der Betrieb fortgesetzt werden. Die Wiederanlaufsequenz sollte klar definiert, getestet und dem Bediener bekannt sein.
Eine Sicherheitsbewertung ohne Belege akzeptieren. Geben Sie genau an, welches Produkt, welche Konfiguration, welche Sicherheitsfunktion und welche Zertifizierung oder Bewertung in der Dokumentation behandelt wird.
Prüfung der Schutzfunktionen während der unkontrollierten Produktion. Die Überprüfung der Not-Aus-Funktion und des Signalausfalls muss gemäß einem geeigneten Prüfplan und unter Einhaltung entsprechender Sicherheitsvorkehrungen erfolgen. Das absichtliche Herbeiführen eines Fehlers an einer in Betrieb befindlichen Maschine ohne solche Sicherheitsvorkehrungen ist kein akzeptabler Ersatz für die Inbetriebnahme.
Die Schulung des Bedienpersonals und die Wartung werden vernachlässigt. Das Sicherheitsverhalten hängt von der korrekten Verwendung, dem Zustand der Ausrüstung, der Überprüfung und der Reaktion auf Störungen ab – nicht nur von der ursprünglichen Konstruktion des Systems.
Wie Nomi bei einer Sicherheitsuntersuchung zur Fernsteuerung eines Baggers helfen kann
Nomi bietet industrielle drahtlose Fernsteuerungsprodukte für Hydraulikmaschinen an, darunter auch Steuerungslösungen für Bagger. Die Auswahl einer geeigneten Konfiguration hängt vom Baggermodell, den erforderlichen Funktionen, der maschinenseitigen Schnittstelle, der Betriebsumgebung und den Sicherheitsanforderungen ab.
Für eine aussagekräftige technische Anfrage geben Sie bitte die Marke und das Modell des Baggers, die vorhandene Steuerungsanordnung, die Bewegungen, die ferngesteuert werden sollen, sowie alle verfügbaren Hydraulik- oder Schaltpläne an. Geben Sie die Anforderungen hinsichtlich Not-Aus und Signalausfall ausdrücklich an.
Fordern Sie die für das vorgeschlagene Modell relevante technische Dokumentation an, einschließlich der definierten Fehlerreaktion, des Neustartverhaltens, der geltenden Erklärungen oder Zertifikate sowie der verfügbaren Prüfnachweise. Falls das Projekt eine Maschinenintegration erfordert, klären Sie, wer für die technische Bewertung, die Inbetriebnahme und die Abnahme des fertigen Systems verantwortlich ist.
Nomis Kontaktseite kann genutzt werden, um Projektanforderungen zu besprechen und ein konfigurationsspezifisches Angebot anzufordern.
Das Prinzip des zentralen Einkaufs ist einfach: das tatsächliche Verhalten des gesamten Steuerungssystems des Baggers bewerten, nicht nur die Funktionen, die im Datenblatt der Fernbedienung aufgeführt sind.
Häufig gestellte Fragen
1. Was ist der Unterschied zwischen einem Not-Aus und einer Schutzfunktion bei Signalausfall?
Ein Not-Aus wird vom Bediener bewusst ausgelöst. Der Signalausfallschutz ist eine automatische Reaktion, wenn das System gemäß den festgelegten Kommunikationsregeln keine gültigen Befehle mehr empfangen kann. Beide erfordern ein entsprechendes Verhalten auf Systemebene, haben jedoch unterschiedliche Auslöser und sollten separat getestet werden.
Nicht unbedingt in dem Sinne, dass die Maschine in dem Moment, in dem die Taste gedrückt wird, physikalisch zum Stillstand kommt. Das Steuerungssystem muss die vorgeschriebene Stoppreaktion auslösen, während die tatsächliche Bewegung der Maschine durch Trägheit, hydraulisches Verhalten oder gespeicherte Energie beeinflusst werden kann. Die erforderliche Reaktion muss durch die Sicherheitsauslegung der Maschine gewährleistet und für die vorgesehene Anwendung überprüft werden.
3. Was führt dazu, dass eine drahtlose Fernbedienung für einen Bagger das Signal verliert?
Mögliche Ursachen sind unter anderem der Betrieb außerhalb der effektiven Kommunikationsreichweite, Störungen, Probleme mit der Batterie oder der Stromversorgung des Senders, Schäden an der Antenne, Fehler am Empfänger sowie sonstige Kommunikationsstörungen. Die genaue Ursache sollte anhand der Herstelleranweisungen und der verfügbaren Statusanzeigen des Systems ermittelt werden.
4. Sollte sich der Bagger automatisch neu starten, sobald die WLAN-Verbindung wiederhergestellt ist?
Ein unerwarteter Neustart sollte verhindert werden, wenn dadurch eine Gefahr entstehen könnte. Das zulässige Wiederherstellungsverfahren sollte in der Systemauslegung und in der Betriebsanleitung festgelegt und anschließend bei der Inbetriebnahme überprüft werden.
5. Reicht ein ausfallsicherer Empfänger aus, um die Sicherheit des Baggers zu gewährleisten?
Nein. Der Empfänger ist nur ein Teil des integrierten Systems. Die Sicherheit hängt auch von den maschinenseitigen Ausgängen, der Steuerungslogik, dem Hydrauliksystem, dem Stoppverhalten, den Wiederanlaufbedingungen und weiteren Schutzmaßnahmen ab, die gemäß der Risikobewertung erforderlich sind.
6. Wie oft sollte die Not-Aus-Funktion überprüft werden?
Halten Sie sich an die vom Hersteller angegebenen Inspektions- und Prüfintervalle sowie an die betrieblichen Vorschriften und die geltenden Vorschriften. Vor dem Einsatz sind die in der Betriebsanleitung vorgeschriebenen Kontrollen durchzuführen, während umfassendere Funktionsprüfungen gemäß dem dokumentierten Wartungs- und Prüfplan erfolgen sollten.
7. Bedeutet die Schutzart IP67, dass eine Fernbedienung als sicher eingestuft ist?
Nein. Eine Schutzart bezieht sich auf den Schutz vor dem Eindringen von Feststoffen und Wasser unter festgelegten Prüfbedingungen. Sie sagt nichts über die Sicherheit der Not-Aus-Funktion, die Reaktion bei Signalausfall oder die vollständige Maschinenintegration aus.
8. Was ist der Unterschied zwischen SIL und PL?
Der Sicherheitsintegritätslevel (SIL) und der Leistungslevel (PL) gehören zu unterschiedlichen Rahmenwerken und Bewertungsansätzen für die funktionale Sicherheit. Sie sollten nicht als austauschbare Bezeichnungen betrachtet werden. Die anzuwendende Methodik und die geforderte Leistung hängen von der Maschine, der Sicherheitsfunktion und den einschlägigen Normen ab.
9. Welche Norm ist speziell für die Fernsteuerung von Erdbaumaschinen relevant?
Die Norm ISO 15817:2012 befasst sich speziell mit den Sicherheitsanforderungen an Fernsteuerungssysteme für Erdbaumaschinen. Je nach konkreter Auslegung und rechtlichem Rahmen können für sicherheitsrelevante Teile des Steuerungssystems und elektrische Ausrüstung weitere Normen gelten.
10. Welche Sicherheitsunterlagen sollten von einem Fernbedienungslieferanten angefordert werden?
Fordern Sie das technische Datenblatt, die Betriebs- und Wartungsanleitung, die Beschreibung des Verhaltens bei Not-Aus und Signalausfall, relevante Erklärungen oder Zertifikate, die geltenden Sicherheitsunterlagen sowie die entsprechenden Prüfprotokolle an. Vergewissern Sie sich, dass die Dokumente genau auf das gekaufte Modell und die jeweilige Konfiguration zutreffen.
