Die Druckversion wird nicht mehr unterstützt und kann Darstellungsfehler aufweisen. Bitte aktualisiere deine Browser-Lesezeichen und verwende stattdessen die Standard-Druckfunktion des Browsers.

aiMOOC

Funktionale Sicherheit und menschliche Kontrolle intelligenter Systeme

QR-Code

Einleitung

Für wen? Für Auszubildende im 3. oder 4. Ausbildungsjahr mit Kompetenzen aus Z1 bis Z3 oder vergleichbaren Kenntnissen in Produktion, Digitalisierung und Qualitätssicherung. Stimme das Projektziel vor Beginn mit deinen Ausbildenden ab. Du benötigst nur Papier, einen Stift und gegebenenfalls eine kostenlose Tabellenkalkulation. Es werden weder ein kostenpflichtiges KI-Konto noch eine Maschine benötigt.

Dein Lernprodukt: Du erstellst einen nachvollziehbaren Sicherheitsargument-Entwurf für eine virtuelle Assistenz in einer fiktiven Variantenfertigung. Du begründest, warum die Simulation bei Modellfehlern stoppt, nach einer Prüfung nur bewusst neu startet und warum eine unabhängige Schutzebene für reale Gefährdungen erforderlich wäre.

Wichtige Grenze: Alle Abläufe und Prüfungen dieses Kurses sind ausschließlich Papier- oder Computersimulationen. Keine reale Maschinensteuerung, kein Eingriff in Anlagen und keine Sicherheitsfreigabe. Ein Simulationsstopp ist kein zertifizierter Not-Halt. Der Kurs ist ein unabhängiges Bildungsangebot und weder eine offizielle Liebherr- noch eine IHK-Zertifizierung.

Vorwissen kurz aktivieren: Öffne, soweit verfügbar, die vorhandene MOOCwiki-Grundlage. Notiere drei bereits bekannte Begriffe zu Simulation, Datenqualität und menschlicher Entscheidung; unterscheide Vorwissen von der neuen Aufgabe. Die konkrete Vorseite war beim Quellenabruf nicht auslesbar; ihre Detailinhalte werden hier nicht vorausgesetzt. Als anschließende Vertiefung behandeln wir nicht erneut die Digitalisierungsgrundlagen, sondern die Begründung einer sicheren Assistenzentscheidung.

Leitfrage: Welche Belege brauchst du, damit eine KI-gestützte Planungshilfe beim Erkennen von Widersprüchen anhalten muss und Menschen die Kontrolle behalten?

Sicherheitsgrenzen intelligenter Assistenz

Assistenz, Steuerung und funktionale Sicherheit unterscheiden

Eine virtuelle Assistenz erzeugt beispielsweise Vorschläge für die Reihenfolge von Fertigungsaufträgen. Eine Maschinensteuerung kann dagegen Bewegungen oder Energien real auslösen. Eine sicherheitsgerichtete Funktion soll bei bestimmten gefährlichen Ereignissen ein definiertes Schutzziel erreichen. Funktionale Sicherheit betrachtet, ob sicherheitsbezogene Systeme trotz zu erwartender Fehler die geforderte Schutzfunktion zuverlässig erfüllen. Bloße Plausibilität eines KI-Ergebnisses ist dafür kein Nachweis. Funktionale Sicherheit und Risikobeurteilung sind deshalb mit menschlicher Verantwortlichkeit zu verbinden.

Eine Assistenz darf keine eigenständige Sicherheitsfreigabe erteilen. Die fiktive Oberfläche kennt nur die Zustände Vorschlag, Prüfung erforderlich, Simulation gestoppt und bewusst neu gestartet. Ein grünes Symbol für gute Planung bedeutet niemals „Maschine ist sicher“.

Ohne Bild: Denke dir links einen Bildschirm mit Planungsvorschlägen, rechts eine reale Anlage. Zwischen beiden besteht im Lernmodell keine Steuerverbindung.

Drei unverzichtbare Prüfmerkmale

Merkmal A – STOP bei Modellfehler: Ein erkannter Widerspruch, eine fehlende notwendige Information oder ein unzulässiger Vorschlag setzt die virtuelle Berechnung in den Zustand „Simulation gestoppt“. Das System liefert dann keine scheinbar freigegebene Empfehlung. Beispiel: Ein Bauteil ist nicht vorrätig, die Planung kalkuliert dennoch damit.

Merkmal B – bewusster Neustart: Erst nach Ursachenklärung, korrigierten Daten, erneuter Plausibilitätsprüfung und dokumentierter menschlicher Entscheidung darf eine neue Simulation beginnen. Der Reset allein startet nichts automatisch. Beispiel: Nach Korrektur der Teileliste vergleicht die Fachkraft den neuen Bestand und bestätigt ausdrücklich „neuen Probelauf starten“.

Merkmal C – unabhängige Schutzebene: Eine reale Gefährdung darf nicht ausschließlich durch dieselbe KI, dieselben unzuverlässigen Eingangsdaten oder dieselbe nicht sicherheitsbewertete IT-Plattform beherrscht werden. Für den hypothetischen Realbetrieb wäre eine durch Fachleute entwickelte, geprüfte und geeignete Schutzeinrichtung erforderlich. Beispiel: Ein separat ausgelegter Sicherheitskreis mit geeigneter Zugangssicherung kann den Zutritt zu einem Gefahrenraum absichern; unser Tabellenmodell kann das nicht leisten.

Ohne Bild: Ein rotes Simulationsfeld auf dem Bildschirm schaltet keinen Motor sicher ab.

Was Normen leisten – und was nicht

Die Gefährdungsanalyse in der Maschinensicherheit orientiert sich unter anderem an ISO 12100; für sicherheitsbezogene Steuerungsteile sind je nach Anwendung ISO 13849-1 bzw. IEC 62061 relevant, für übergreifende funktionale Sicherheit IEC 61508. ISO 13850 behandelt die Not-Halt-Funktion. Die bloße Nennung einer Norm ersetzt weder Auswahl eines anwendbaren Regelwerks noch Risikobeurteilung, Entwurf, Berechnung, Verifikation oder Validierung durch Befugte.

Ein echter Not-Halt ist eine zusätzliche Schutzmaßnahme und ersetzt keine primäre Risikominderung oder andere Schutzeinrichtungen; das Entriegeln beziehungsweise Rückstellen darf für sich genommen keinen Wiederanlauf auslösen. Hier wird kein Performance Level, SIL oder CE-Nachweis berechnet oder behauptet. Die EU-Maschinenverordnung (EU) 2023/1230 gilt im Wesentlichen ab 20. Januar 2027; vor einem realen Projekt müssen Rechtsstand und anwendbare Fassungen erneut geprüft werden.

Risiken, Grenzen und Annahmen bewerten

Von der Gefahr zur dokumentierten Maßnahme

Eine Gefährdung ist eine mögliche Schadensquelle; Risiko verbindet denkbare Schadensschwere mit Eintrittswahrscheinlichkeit beziehungsweise Exposition. Fehlermodus meint eine konkrete Art, wie eine Funktion versagen kann. Restrisiko bezeichnet das Risiko, das nach Maßnahmen verbleibt. Risiken von Personen, Sachwerten, Qualität und Terminen müssen getrennt erfasst werden: Ein verspäteter Auftrag ist nicht automatisch eine Personengefährdung.

Arbeite nach diesem didaktischen Ablauf: System und Grenzen beschreiben → Ereignisse sammeln → Folgen und Annahmen prüfen → Maßnahmen festlegen → Wirksamkeit simulieren → offene Fragen an Berechtigte eskalieren. Dokumentiere auch Fehlalarme und übersehene Fehler. Eine unbekannte Ursache ist kein Freigabebeweis.

Übungsmatrix ohne Zertifizierungsanspruch

Die folgende Matrix dient ausschließlich zum Vergleichen fiktiver Planungsschäden. Schadenswirkung S: 1 = kleiner Terminverzug, 2 = deutlicher Ausschuss oder Verzögerung, 3 = schwerer Qualitäts- bzw. Lieferfolgeschaden. Wahrscheinlichkeit W: 1 = selten im Testdatensatz, 2 = gelegentlich, 3 = häufig. Der Index R = S × W priorisiert nur diese Lernfälle; er ist weder eine Sicherheitskennzahl noch eine normgerechte Bewertung realer Maschinengefahren.

Fiktiver Fall	S	W	R	Didaktische Reaktion
Teil P17 fehlt, Vorschlag setzt es voraus	2	3	6	STOP; Bestand unabhängig prüfen
Prüfdaten einer Charge sind widersprüchlich	3	2	6	STOP; Qualität klären
Zwei Aufträge beanspruchen dieselbe Ressource	2	2	4	STOP; Plan neu abgleichen
Anzeige verwechselt Mengen- und Einzelteile	3	1	3	STOP; Einheiten und Datenquelle prüfen

Grenze: Hohe Werte zeigen hier einen Lernschwerpunkt, keine Berechtigung, die Produktion zu stoppen oder wieder anzufahren. Bei Personengefährdung wird diese einfache Matrix ausdrücklich nicht als Ersatz für eine qualifizierte Risikobeurteilung verwendet.

Ungewissheit statt Scheinsicherheit

Eine KI-Ausgabe kann fachlich überzeugend klingen und dennoch erfundene Teilebestände, falsch interpretierte Qualitätswerte oder übersehene Engpässe enthalten. Bei generativer KI nennt NIST AI 600-1 solche Probleme unter anderem Confabulation; das Dokument ist eine freiwillige Risikomanagementhilfe, keine Maschinensicherheitszertifizierung. Kennzeichne im Lernprodukt jede Zahl als gegeben, berechnet oder unbekannt. Bei unbekannt und entscheidungsrelevant gilt für die virtuelle Empfehlung: STOP und nachfragen.

Menschliche Kontrolle und sichere Übergaben

Human-in-the-Loop sinnvoll ausgestalten

Human-in-the-Loop bedeutet: Eine befugte Person kann vor einer bedeutsamen Entscheidung die Grundlage einsehen, Rückfragen stellen, Vorschläge verwerfen und die nächste Simulationsrunde absichtlich auslösen. Echte Kontrolle braucht Zeit, Verständlichkeit, Fachwissen und eine realistische Möglichkeit zum Widerspruch. Ein „OK“-Knopf ohne nachvollziehbare Daten und ohne Alternativen ist nur eine Scheinkontrolle.

Lege für die Fallbearbeitung Rollen fest: Assistenz erstellt gekennzeichnete Vorschläge; Planende prüfen Bestand und Ressourcen; Qualitätssicherung beurteilt Qualitätsabweichungen; Ausbildende begleiten und bewerten nur den Lernnachweis. Keine Rolle in dieser Übung betätigt eine echte Anlage.

Ohne Bild: Ein physischer Not-Halt ist Teil eines speziell ausgelegten Sicherheitskonzepts; die Simulation besitzt nur eine Programmzustandsanzeige.

Zustandsautomat auf Papier

Zustand	Auslöser	Erlaubte Handlung	Nicht erlaubt
ENTWURF	neue synthetische Planungsdaten	Vorschlag als ungeprüft markieren	als sicher freigeben
PRÜFUNG	Mensch überprüft notwendige Angaben	Prüfnotiz erstellen	unbekannte Pflichtdaten ignorieren
STOP	Modellfehler, Widerspruch oder kritische Datenlücke	Ursache dokumentieren und korrigieren	automatische Fortschreibung oder Neustart
BEREIT	Fehler behoben, Daten neu geprüft	bewusste Bestätigung für neuen Probelauf einholen	Reset als Freigabe ausgeben
NEUER PROBELAUF	eigene dokumentierte Startentscheidung	Simulation mit neuer Laufkennung berechnen	reale Anlage schalten

Fehlerregel: Wenn der Zustand STOP aktiv ist, darf die Assistenz kein planungswirksames „freigegeben“ anzeigen. Neustartregel: Nach STOP braucht es erst neue Fakten, eine neue Prüfung und eine explizite menschliche Entscheidung. Trennungsregel: Schutzfunktionen gegen mechanische Gefahren liegen im echten Betrieb außerhalb dieser unbewerteten virtuellen Assistenz.

Was bei Warnungen im Design schiefgehen kann

Das folgende Audiosignal ist nur ein Beispiel für einen Aufmerksamkeitston aus einem Wecker und kein industriell genormter Warn- oder Sicherheitsalarm. Ein Ton darf in der fiktiven Oberfläche die sichtbare STOP-Meldung ergänzen, aber niemals eine unabhängige Schutzebene ersetzen.

Hörbeispiel zum Vergleich mit einer textlichen Warnmeldung; Geckoerer, CC BY-SA 4.0.

Ohne Audio: Schreibe auf: „STOP – Datenwiderspruch – neue Berechnung gesperrt“. Beschreibe, warum Personen mit Hörbeeinträchtigung eine gleichwertige sichtbare Information benötigen.

Geführter Modellfall: Fiktive Variantenfertigung

Ausgangslage mit vollständig erfundenen Daten

Du begleitest die fiktive Lernfabrik VarioWerk. Die reine Plansimulation betrachtet eine Schicht von acht Stunden mit einer Montagestation, einer Prüfstation und zwei verfügbaren Fachkräften. Produktvariante A braucht je Stück ein Teil P17 und eine Stunde Montage; Variante B braucht je Stück ein Teil P28 und zwei Stunden Montage. Es liegen vier Bestellungen für A und zwei für B vor. P17 ist nur dreimal vorhanden, P28 zweimal. Außerdem zeigt die Prüfliste zu einem B-Bauteil widersprüchliche Messdaten. Eine vorgeschlagene Planung für die Montagestation darf insgesamt acht Stunden nicht überschreiten. Alle Daten sind erfunden, enthalten keine reale Maschinenfunktion und dienen nur als Papiermodell.

Merkmal	Datensatz	Anforderung für simulierten Vorschlag
A-Aufträge	vier Stück	je ein P17 und eine Stunde
B-Aufträge	zwei Stück	je ein P28 und zwei Stunden
P17-Bestand	drei Stück	kein Fehlbestand verplanen
P28-Bestand	zwei Stück	Bestand abgleichen
B-Qualität	eine unklare Prüfabweichung	nicht ungeprüft als verwendbar zählen
Montagekapazität	acht Stunden	nicht überbelegen

Ein ungeprüftes Assistenzmodell empfiehlt: „Vier A plus zwei B heute vollständig erledigen.“ Rechnerisch ergeben vier mal eine plus zwei mal zwei Stunden genau acht Stunden; aber dafür fehlt ein P17 und die Qualität eines B-Bauteils ist ungeklärt. Kapazität allein kann die Empfehlung nicht retten.

Ohne Bild: Eine Tabelle mit sechs Aufträgen, zwei Materialarten, einem Kapazitätswert und einer Prüffrage genügt für alle Aufgaben.

Geführte Entscheidung: STOP, Prüfung, Neustart

Schritt 1 – Widerspruch erkennen: Vergleiche Empfehlung und Fakten: Vier A benötigen vier P17, verfügbar sind drei. Ein B-Bauteil ist nicht sicher als verwendbar bestätigt. Markiere beides als Modellfehler bzw. kritische Datenlücke und setze die Simulation auf STOP. Der bloße Hinweis „Plan wirkt effizient“ ändert daran nichts.

Schritt 2 – Ursachen klären: Die Fachkraft markiert für P17 den echten Lernbestand 3, für die fragliche B-Charge den Status gesperrt bis Klärung. Ohne neue Qualitätsinformation gibt es keine erdachte Freigabe. Formuliere als Zwischenlösung einen nicht freigegebenen Alternativvorschlag: höchstens drei A; B nur unter dem ausdrücklichen Vorbehalt einer gesonderten Qualitätsprüfung.

Schritt 3 – bewusst neu starten: Angenommen, die fiktive Qualitätssicherung dokumentiert später anhand eines neuen, eindeutigen Datensatzes, dass ein B-Bauteil verwendbar ist. Eine Planerin prüft den P17-Bestand erneut, dokumentiert die Änderungen und startet ausdrücklich eine neue Planungsrechnung mit Laufkennung 02. Ein bloßes Beheben des Datenfelds löst keinen Auto-Neustart aus.

Schritt 4 – Unabhängigkeit begründen: Selbst wenn die zweite Planung plausibel ist, steuert diese Assistenz weder Robotik noch Förderer. Im hypothetischen Realbetrieb müssen physische Gefahren durch geeignete, von dieser KI unabhängige technische Schutzmaßnahmen beurteilt und beherrscht werden. Nenne mindestens eine denkbare separate Maßnahme – ohne sie zu bauen, zu testen oder als zertifiziert auszugeben.

Fehlerfall mit absichtlicher Täuschung

Im zweiten Simulationslauf meldet ein fehlerhaftes Datenimportfeld P17 = 30 statt P17 = 3. Die Assistenz erklärt daraufhin: „Bestand ausreichend, keine Probleme.“ Deine Entscheidung: STOP, weil das Ergebnis der unabhängigen Bestandsliste widerspricht. Belege, welche Datenquelle den Konflikt zeigt, warum eine überzeugend formulierte KI-Antwort keine Freigabe darstellt und warum ein weiterer Run erst nach Korrektur und bewusster Freigabe als Simulationsneustart zulässig ist.

Ein kurzes Video zeigt reale museale Roboterbewegungen – es stellt keine Prüfung der Sicherheit unserer Lernfabrik dar:

19 Sekunden historische Robotik; Geni, CC BY-SA 4.0 bzw. alternativ GFDL.

Ohne Video: Zeichne einen Roboterarm als bewegliche Gefährdungsquelle und daneben einen nicht verbundenen PC, der nur Pläne berechnet.

Sicherheitsargument erstellen und übertragen

Struktur eines begründeten Sicherheitsarguments

Ein Sicherheitsargument verknüpft eine überprüfbare Behauptung mit Kriterien, Belegen, Annahmen und Gegenbeispielen. Das hier erarbeitete Produkt ist ausschließlich ein didaktischer Argumentationsentwurf für die virtuelle Assistenz, kein normgerechter Safety Case und keine rechtsgültige Sicherheitsdokumentation.

Behauptung	Prüfkriterium	Synthetischer Nachweis	Verbleibende Grenze
Fehlerhafte Vorschläge werden blockiert	STOP bei Modellfehler	Lauf 01 mit P17-Fehlbestand und ungeklärter B-Qualität endet in STOP	Erkennung aller unbekannten Fehler ist nicht bewiesen
Ein Neustart erfolgt bewusst	Nach STOP menschlicher Prüf- und Startakt	Änderungsprotokoll, zwei verschiedene Laufkennungen und dokumentierte Zustimmung	Menschliche Fehler bleiben möglich
Reale Gefahren hängen nicht allein von KI ab	unabhängige Schutzebene	Architekturzeichnung trennt Planungs-PC von hypothetisch separater Schutzfunktion	Keine physische Umsetzung und keine Zertifizierung

Prüfprotokoll als Vorlage: Laufkennung – Ausgangsdaten – Modellvorschlag – Widerspruch – STOP-Grund – Datenkorrektur – fachliche Prüfinstanz – bewusste Neustartentscheidung – neuer Vorschlag – verbleibende Unsicherheit – getrennte Schutzebene – Datum der fiktiven Bearbeitung. Verwende keine personenbezogenen Angaben realer Auszubildender.

Drei Abnahmefragen für das Lernprodukt

Test A: Was passiert, wenn ein Ergebnis trotz fehlendem Teil als sicher beschrieben wird? Erwartete Systemanforderung: Simulationsstatus STOP mit verständlichem Fehlergrund; kein scheinbar freigegebener Plan.

Test B: Was passiert, nachdem jemand den Bestand korrigiert, aber keine neue Entscheidung trifft? Erwartete Systemanforderung: STOP bzw. BEREIT bleibt bestehen; kein selbsttätiger Neustart. Erst der ausdrücklich dokumentierte neue Probelauf ändert den Zustand.

Test C: Was passiert, wenn die KI keine Fehlermeldung erzeugt, während an einer real gedachten Maschine eine Person einen Gefahrenbereich betritt? Erwartete Argumentation: Die separate, fachgerecht ausgelegte Schutzebene darf nicht auf KI-Erkennung oder auf eine Browserwarnung angewiesen sein. Ihr konkreter Aufbau und ihre Wirksamkeit müssten bei einer realen Anlage von zuständigen Fachleuten nach geltenden Regeln nachgewiesen werden.

Transfer und anspruchsvolle Vertiefung

Übertrage die drei Prüfmerkmale von der Variantenfertigung auf eine rein virtuelle Schichtplanung oder Qualitätssimulation. Suche je einen False Positive (unnötiger STOP) und einen False Negative (übersehener Fehler); zeige, wie sie dokumentiert und untersucht würden. Prüfe die gemeinsame Fehlerursache: Wenn KI und menschliche Prüfmaske dieselbe falsche Bestandsdatei verwenden, ist ihre vermeintliche Unabhängigkeit eingeschränkt. Diskutiere, welche wirklich unabhängige Evidenz du für eine zuverlässigere Entscheidung benötigst.

Als Einstieg zur Risikobeurteilung kann das deutschsprachige Fachvideo des Herstellers Pilz helfen; es wurde 2010 veröffentlicht, sodass seine Rechtsbezüge nicht ungeprüft als Stand 2026 übernommen werden dürfen. Ein aktueller Katalogeintrag war auffindbar; die direkte Wiedergabe und Einbettung ließen sich beim Abruf nicht technisch bestätigen:

Ohne YouTube: Bearbeite die sechs Leitwörter Grenzen – Gefährdungen – Risikoeinschätzung – Maßnahme – Überprüfung – Dokumentation anhand der obigen Tabelle.

Interaktive Aufgaben

Bearbeite das Quiz selbstständig. Die jeweils richtige Option wird vom Quizsystem ausgewertet; die Antworten stehen hier nicht als vorweggenommene Lösungsliste. Nutze den Modellfall für die Begründung.

Multiple-Choice-Quiz

Warum muss der erste Vorschlag mit vier A-Aufträgen stoppen? (Es fehlt ein notwendiges P17 und die Planung enthält einen entscheidungsrelevanten Widerspruch) (!Die reine Kapazitätsberechnung überschreitet acht Stunden) (!Die Maschinen wurden bereits real abgeschaltet) (!Jede Variantenfertigung ist grundsätzlich verboten)

Was ist ein Simulationsstopp? (Ein gesperrter Rechen- oder Freigabezustand innerhalb der virtuellen Anwendung) (!Ein automatisch zertifizierter Not-Halt an der realen Anlage) (!Der Beweis für einen erreichten Performance Level) (!Eine vollständige CE-Konformitätsbewertung)

Welche Handlung ist nach der Korrektur des Bestands erforderlich? (Eine erneute fachliche Prüfung und eine bewusste dokumentierte Startentscheidung) (!Ein sofortiger automatischer Neustart ohne Nachfrage) (!Das Löschen sämtlicher Fehlermeldungen ohne Prüfung) (!Die unveränderte Übernahme des alten Planungslaufs)

Wofür steht Human-in-the-Loop in diesem Lernfall? (Eine befugte Person prüft und kann Vorschläge verwerfen oder einen neuen Probelauf starten) (!Ein Mensch bestätigt grundsätzlich jede KI-Antwort ungeprüft) (!Ein Mensch muss dauerhaft einen Motor manuell drehen) (!Eine KI erhält das alleinige Recht zur Sicherheitsfreigabe)

Warum genügt ein grünes Planungsfeld nicht als Schutzmaßnahme? (Die Anzeige ist weder eine unabhängig ausgelegte Sicherheitsfunktion noch ein Wirksamkeitsnachweis) (!Grüne Anzeigen dürfen in Fabriken nie genutzt werden) (!Nur rote Anzeigen dürfen Informationen darstellen) (!Eine farbige Anzeige kann alle technischen Fehler erkennen)

Was ist am Datensatz P17 gleich 30 besonders kritisch? (Die Importzahl widerspricht einer anderen Bestandsquelle und kann einen falschen Plan erzeugen) (!Eine hohe Bestandszahl ist immer ein Personenschaden) (!Ein Importfehler verbessert automatisch die Qualität) (!Daten aus Tabellen müssen niemals gegengeprüft werden)

Welche Aussage zu NIST AI 600-1 trifft zu? (Es ist eine Hilfe zum Risikomanagement generativer KI und keine Maschinensicherheitszertifizierung) (!Es zertifiziert alle generativen Modelle für sicherheitsgerichtete Steuerungen) (!Es ersetzt die Risikobeurteilung jeder Maschine in Europa) (!Es fordert grundsätzlich einen automatischen Wiederanlauf)

Welches Beispiel beschreibt eine unabhängige Schutzebene am besten? (Eine separat bewertete Schutzeinrichtung statt eines zusätzlichen Hinweises derselben KI) (!Ein zweites Fenster derselben ungeprüften Webanwendung) (!Dieselbe fehlerhafte Bestandsdatei auf zwei Bildschirmen) (!Ein längerer erklärender KI-Text ohne technische Absicherung)

Was prüft die fiktive Risikomatrix mit S mal W? (Eine didaktische Priorisierung der erfundenen Planungsfälle) (!Den normativ ermittelten Sicherheitsintegritätslevel einer realen Anlage) (!Die rechtssichere Zulassung eines Schweißroboters) (!Die zwingende Zertifizierung einer Not-Halt-Funktion)

Was ist bei ungeklärter Qualität eines B-Bauteils richtig? (Den betroffenen Vorschlag sperren und die Qualitätsfrage an die zuständige Fachrolle geben) (!Das Bauteil automatisch als fehlerfrei interpretieren) (!Die Qualitätsabweichung nur aus der Anzeige entfernen) (!Eine erfundene Prüfbescheinigung erzeugen)

Memory

Ordne jedem Begriff seine eindeutige Erklärung zu. Sprich die Begründungen zusätzlich laut aus.

Simulationsstopp	Rechnerischen Vorschlag wegen eines erkannten Fehlers anhalten
Prüfspur	Nachvollziehbare Folge von Daten und Entscheidungen
Datenkonflikt	Zwei notwendige Angaben widersprechen sich
Schutzebene	Eigenständig vorgesehene Maßnahme gegen eine reale Gefährdung
Neustartentscheidung	Bewusste menschliche Zustimmung zu einem weiteren Probelauf
Restrisiko	Nach Maßnahmen noch verbleibende Gefahr oder Unsicherheit

Drag-and-Drop

Ordne fünf Beobachtungen der passenden Reaktion zu. Verwende diese Zuordnung nur im fiktiven Planspiel.

Passende Reaktion	Beobachtung
Simulation anhalten	Fehlendes P17 wird trotzdem eingeplant
Qualitätsfrage eskalieren	Für eine Charge existieren widersprüchliche Messwerte
Ressourcenkonflikt dokumentieren	Zwei Aufträge beanspruchen gleichzeitig die einzige Prüfstation
Start ausdrücklich bestätigen	Alle erforderlichen Daten sind neu geprüft und ein Probelauf ist vorgesehen
Unabhängige Absicherung begründen	Reale Gefahren dürfen nicht an die KI-Planung delegiert werden

Kreuzworträtsel

Trage zu jeder Umschreibung ein einzelnes Wort ein.

Grenze	Festgelegter Geltungsbereich einer sicheren Betrachtung
Risiko	Verbindung von möglicher Schwere und Eintritt
Freigabe	Dokumentierte Zustimmung einer zuständigen Stelle
Prüfung	Systematischer Abgleich mit Anforderungen und Belegen
Fehler	Abweichung von einer erwarteten Modellfunktion
Protokoll	Nachvollziehbare Aufzeichnung eines Ablaufs

LearningApps

Nutze die thematische LearningApps-Suche. Dort angebotene Übungen sind Drittinhalte und nicht automatisch fachlich geprüft. Als Offline-Alternative kannst du die fünf Zuordnungen der Drag-and-Drop-Aufgabe auf Papier herstellen.

Lückentext

Ergänze die Begriffe aus dem Unterricht. Schreibe bei Problemen die Sätze auf Papier und setze deine Wörter handschriftlich ein.

Eine virtuelle Planung darf bei einem entscheidenden Datenwiderspruch in den Zustand

wechseln.

Ein korrigierter Datensatz allein darf keinen automatischen

auslösen.

Bei einer menschlichen Entscheidung müssen die wichtigsten

sichtbar sein.

Eine reale Gefahr benötigt eine geeignete unabhängige

.

Ein bislang nicht geklärtes Prüfergebnis bleibt als

kenntlich.

Fehlende Bauteile sind zunächst ein Problem der

.

Das Vorhaben nutzt ausschließlich eine fiktive

.

Eine dokumentierte Abfolge der Entscheidungen nennt man

.

Offene Aufgaben

Die Aufgaben sind ohne externe Medien, reale Maschinen, bezahlte Software oder personenbezogene Daten vollständig lösbar. Alle zusätzlichen Interviews werden durch Rollenkarten mit erfundenen Rollen ersetzt.

Leicht

Begriffe trennen: Erstelle eine Tabelle mit Assistenz, Steuerung, Schutzfunktion und Simulationsstopp; notiere je ein Gegenbeispiel.
Datenlücken erkennen: Markiere in der fiktiven Stückliste den P17-Mangel und die B-Qualitätsabweichung; begründe je einen STOP.
Warnmeldung verständlich machen: Formuliere zwei zugängliche Textmeldungen ohne Farbabhängigkeit; erkläre die nötige Aktion.
Bestand nachrechnen: Prüfe auf Papier die erforderlichen und verfügbaren P17- und P28-Mengen sowie die acht Stunden Montagekapazität.

Standard

Rollenspiel durchführen: Spiele mit zwei fiktiven Rollenkarten Planung und Qualitätssicherung die Entscheidung nach einer fehlerhaften Empfehlung durch; protokolliere Fragen und Einsprüche.
Zustandsfolge zeichnen: Zeichne ENTWURF, PRÜFUNG, STOP, BEREIT und NEUER PROBELAUF mit erlaubten Übergängen und einem verbotenen Auto-Neustart.
Fehlerfall durchspielen: Setze in einer Offline-Tabelle P17 fälschlich auf 30 und verfasse einen Prüfvermerk zur Abweichung vom unabhängigen Bestand 3.
Argumentationsmatrix erstellen: Formuliere für STOP, Neustart und Schutzebene jeweils Behauptung, Beleg, Annahme, Gegenbeispiel und Grenze.

Schwer

Fehlerwege vergleichen: Analysiere einen Fehlalarm und einen übersehenen Fehler; diskutiere deren unterschiedliche Folgen für Vertrauen und Verfügbarkeit.
Gemeinsame Fehlerursache widerlegen: Erkläre, warum zwei Oberflächen mit derselben falschen Quelle keine echte Unabhängigkeit schaffen, und skizziere eine bessere Prüfkette.
Transfer auf virtuelle Schichtplanung: Entwickle drei neue synthetische Störfälle und prüfe die drei Sicherheitskriterien bei einem konkurrierenden Ziel von Termintreue und Qualität.
Grenzen des Sicherheitsarguments verteidigen: Verfasse eine kurze Stellungnahme, weshalb die dargestellten Prüfungen weder Not-Halt, Performance Level, SIL noch Zertifizierung ersetzen; nenne für reale Projekte zuständige Fachrollen.

Lernkontrolle

Begründete Risikogrenze: Trenne im VarioWerk-Fall Terminverzug, Qualitätsabweichung und mögliche reale Personengefährdung; begründe, wofür die Lernmatrix nicht taugt.
Nachweiskette: Zeige anhand des importierten P17-Werts 30, welche unabhängige Information den Fehler aufdeckt und warum der KI-Text keine ausreichende Evidenz ist.
Wiederanlaufsperre: Erläutere den Unterschied zwischen Fehlerbehebung, Reset, BEREIT und einem bewusst neu gestarteten Simulationslauf.
Trennung der Schutzebenen: Begründe, warum ein Bildschirm-STOP einen normgerecht realisierten Not-Halt weder ersetzt noch simulativ zertifiziert.
Menschliche Kontrolle: Beurteile ein Szenario, in dem ein Mensch nur drei Sekunden zum Bestätigen erhält und die Quellen nicht einsehen kann.
Fehlerfall und Gegenbeleg: Prüfe an drei konkreten Testfällen, ob die Behauptungen zu STOP, Neustart und Unabhängigkeit durch Belege gestützt sind; notiere einen offenen Punkt.

Lernnachweis

Abgabe: Ein zwei- bis vierseitiger Sicherheitsargument-Entwurf für virtuelle Assistenz, die fiktive Datenmatrix, ein Ablaufdiagramm, ein Fehlerprotokoll für P17 = 30 und eine kurze Transferreflexion. Alle Zahlen stammen aus dem Lernfall oder werden als eigene Annahmen gekennzeichnet. Die Ausbildenden vereinbaren vorab den Umfang.

Bewertungsraster – jeweils 0 bis 2 Lernpunkte:

Kriterium	0 Punkte	1 Punkt	2 Punkte
STOP bei Modellfehler	kein tragfähiger Fehlerfall	STOP genannt, Beleg unvollständig	Widerspruch, Zustandswechsel und Testbeleg nachvollziehbar
Bewusster Neustart	automatischer Start akzeptiert	Mensch erwähnt, Prüfschritte fehlen	Korrektur, neue Prüfung und ausdrückliche Entscheidung dokumentiert
Unabhängige Schutzebene	KI als alleinige Absicherung	Trennung pauschal behauptet	separate Schutzfunktion begründet, Umsetzungsgrenze benannt
Erklärter Fehlerfall	keine Ursache	Ursache ohne Gegenquelle	P17-Importfehler mit Gegenquelle und Konsequenz erklärt
Eigenständiger Transfer	keine Übertragung	neues Beispiel ohne Prüfung	neuer synthetischer Fall mit drei Kriterien und Gegenargument

Bestanden im Lernmodell: Insgesamt mindestens 7 von 10 Punkten und mindestens je ein Punkt bei allen drei Kernkriterien. Das ist eine pädagogische Orientierung, keine offizielle IHK-, Liebherr-, CE- oder Safety-Zertifizierung. Gib zu jeder schwächeren Begründung einen konkreten Verbesserungsauftrag. Bewahre die Lernprodukte lokal auf oder nutze ausschließlich freigegebene anonymisierte Inhalte.

OER und Wikipedia

Quellenstand: 22. Oktober 2026. Die Datierung bezeichnet die Recherche für diesen Lernkurs, keine Garantie für dauerhafte Abrufbarkeit. Verbindliche Fassungen, Geltungsbereiche und Normausgaben vor realen Entscheidungen gesondert klären.

Liebherr, „Unser Weg zur Smart Factory“, Kundenmagazin UpLoad 02/2025: Industriebeispiel für Digitalisierung, Variantenvielfalt, robotische und menschliche Zusammenarbeit. Nicht als Freigabe oder Zertifizierung des fiktiven Modells zu verstehen.
NIST AI 600-1, Generative Artificial Intelligence Profile, Juli 2024, PDF: Freiwilliges Risikomanagement, Grenzen generativer KI, Überprüfung von Aussagen und menschliche Rolle. Gilt nicht als Maschinensicherheitsnorm.
NIST AI RMF 1.0 und Begleitmaterialien, 2023–2025: Überblick zu Govern, Map, Measure und Manage sowie dokumentierten Grenzen.
Pilz, Normen der funktionalen Sicherheit: Einordnung von ISO 13849 und IEC 62061, Herstellerinformation; kein Ersatz für Normtexte.
Pilz, Risikobeurteilung: Praxisorientierte Erläuterung des Vorgehens, rechtliche Aktualität selbst prüfen.
EUR-Lex, Maschinenverordnung (EU) 2023/1230, konsolidiert 27.07.2026: Referenz für den zum Recherchestand verfügbaren EU-Rechtsstand; wesentlicher Anwendungsbeginn 20.01.2027.
Wikipedia: Funktionale Sicherheit und Wikipedia: Risikobeurteilung als zusätzliche offene Einstiege, nicht als alleinige Autoritäten.
Vorhandene MOOCwiki-Grundlage zur Wiederholung vorhandener Kompetenzen. Detailinhalte konnten beim Abruf nicht überprüft werden.

Lesefenster zur deutschsprachigen Wikipedia:

Ohne externe Seite: Lies die Definitionen, die drei Prüfkriterien, den Fehlerfall und die Quellenhinweise aus den vorstehenden Kapiteln. Du kannst den vollständigen Nachweis offline führen.

Nachgewiesene Medienherkunft und barrierearme Alternativen

Medium	Wikimedia-Dateiseite oder Videodatensatz	Urheberschaft	Lizenz und Verwendungsgrenze
File:Unimate 500 PUMA Deutsches Museum.jpg	Commons-Dateiseite	Theoprakt	CC BY-SA 3.0; alternatives Textbild im Kapitel
File:OSP Emergency stop.svg	Commons-Dateiseite	Team445	CC0 1.0; Symbol ist keine Funktionsbescheinigung
File:Emergency stop button.jpg	Commons-Dateiseite	Cjp24	CC BY-SA 3.0; Foto statt physischer Sicherheitsprüfung
File:TOSY Arm Robot.JPG	Commons-Dateiseite	Humanrobo	CC BY-SA 3.0; Kontextbild
File:Alarmclock-bleeps.ogg	Commons-Dateiseite	Geckoerer	CC BY-SA 4.0; Weckerton, ausdrücklich kein Sicherheitsalarm
File:Industrial robot thinktank.ogv	Commons-Dateiseite	Geni	CC BY-SA 4.0 oder GFDL laut Datei; Museumsvideo, kein Sicherheitsnachweis
https://www.youtube.com/watch?v=qbCml5EyrhE	Pilz, Ihr Weg zur Maschinensicherheit 1/6	Pilz GmbH & Co. KG	Vom Anbieter veröffentlichter YouTube-Inhalt, keine freie CC-Nachnutzung zugesichert; direkte Wiedergabe nicht verifiziert, Papieralternative vorhanden

Mediennutzung: Vorschaubilder können über die Einbindung von Commons-Dateien dargestellt werden, sofern das Wiki Commons-Medien technisch ausliefert. Dateiseiten, Urheberschaft und dort angegebene Rechte wurden geprüft; die konkrete Darstellung in MOOCwiki ist nicht nachgewiesen. Für alle Medien stehen im jeweiligen Kapitel Alt- und Textalternativen bereit. Kein Inhalt ist für die Offlinebearbeitung notwendig.

Verknüpfte Lernbereiche

Sicherheit und intelligente Assistenz

Lernpfad: Vorwissen Z1–Z3 → Sicherheitsgrenzen → Risikofälle → menschliche Kontrolle → geführte VarioWerk-Simulation → eigener Sicherheitsargument-Entwurf → Transfer und Reflexion. Berufliche Anbindung: Mechatronik, Produktionstechnik, Technische Informatik, Qualitätssicherung und Automatisierungstechnik; besonders geeignet ab dem 3. Ausbildungsjahr unter Begleitung.