Wat is een Performance Level?

Waarom er zoiets als een Performance Level bestaat

Een afscherming die dichtzit, zit dicht. Dat kunt u zien. Maar een veiligheidsfunctie die in de besturing zit, kunt u niet zien: een deurschakelaar die de machine stopzet, een lichtscherm dat een beweging onderbreekt, een noodstop die de aandrijving uitschakelt. Werkt die keten nog? En blijft hij werken als er ergens een contact vastplakt of een draad breekt?

Daar gaat functionele veiligheid over. Het Performance Level drukt uit hoeveel vertrouwen u in die keten mag hebben. Hoe groter het risico dat de functie moet afdekken, hoe betrouwbaarder de keten moet zijn.

NEN-EN-ISO 13849-1 geldt daarbij ongeacht de techniek: elektrisch, hydraulisch, pneumatisch of mechanisch. Naast deze norm bestaat NEN-EN-IEC 62061, die met SIL-niveaus werkt. Beide worden geaccepteerd; 13849-1 is in de machinebouw het meest gebruikt.

PLr en PL: het verschil dat het vaakst wordt gemist

Dit is in de praktijk de grootste bron van verwarring, en het scheelt twee heel verschillende vragen.

• PLr is het vereiste Performance Level. Dat volgt uit de risicobeoordeling: gegeven dit gevaar, hoe betrouwbaar moet deze veiligheidsfunctie zijn? Dat bepaalt u vóór u iets bouwt.
• PL is het bereikte Performance Level. Dat volgt uit wat er werkelijk staat: welke componenten, welke structuur, hoe betrouwbaar zijn ze, wordt falen opgemerkt? Dat rekent u ná het ontwerp uit.

Pas als het bereikte PL gelijk is aan of hoger dan het vereiste PLr, voldoet de veiligheidsfunctie. Een besturingskast vol veiligheidscomponenten zegt op zichzelf dus niets. Wij komen regelmatig installaties tegen waar dure veiligheidsrelais hangen zonder dat ooit iemand heeft vastgelegd welk niveau er eigenlijk nodig was.

Hoe wordt het vereiste PL bepaald? De risicograaf

Eerst een misverstand uit de weg: de risicograaf waarmee u het vereiste Performance Level bepaalt staat in ISO 13849-1, niet in ISO 12100. Die twee worden vaak door elkaar gehaald. ISO 12100 beschrijft het proces van risicobeoordeling en risicoreductie in het algemeen, met de drie-stappen-methode. Zodra het gaat om de betrouwbaarheid van een veiligheidsfunctie in de besturing, neemt 13849-1 het over. Lees hier wat ISO 12100 wel doet →

De risicograaf werkt met drie parameters, die u per veiligheidsfunctie beoordeelt:

De combinatie van deze drie leidt via de graaf tot een vereist niveau tussen PL a en PL e. Klinkt eenvoudig, en dat is precies de valkuil: de uitkomst hangt volledig af van hoe eerlijk u die drie inschat. Vooral P wordt in de praktijk te optimistisch ingevuld. "Die stapt wel opzij" is geen onderbouwing.

De editie 2023 heeft de bepaling van P daarom aangescherpt met een aantal concrete factoren: wordt de machine bediend door een deskundige of door een leek, hoe snel doet het gevaar zich voor, is er ruimte om weg te komen, is het gevaar überhaupt op te merken, en hoe complex zijn de handelingen. Pas als u die stuk voor stuk langsloopt, wordt P een oordeel in plaats van een aanname.

Wat bepaalt het bereikte PL?

Het niveau dat uw installatie werkelijk haalt, wordt per subsysteem bepaald uit vier grootheden:

• Categorie — de structurele eis. Hoe is het subsysteem opgebouwd, hoe goed weerstaat het een fout, en wat gebeurt er ná die fout? Denk aan enkelvoudige versus redundante uitvoering.
• MTTF_D — de gemiddelde tijd tot een gevaarlijke uitval. Hoe lang gaat het gemiddeld goed voordat een onderdeel op een gevaarlijke manier faalt?
• DC (diagnosedekkingsgraad) — hoe goed merkt het systeem zelf op dat er iets mis is? Een fout die niemand opmerkt, stapelt zich op tot de dag dat het misgaat.
• CCF (gemeenschappelijke faaloorzaken) — wat kan beide kanalen tegelijk uitschakelen? Redundantie helpt niet als beide kanalen aan dezelfde voeding hangen of in dezelfde natte kast zitten.

Daarnaast stelt de norm eisen aan software, en die zijn in de editie 2023 uitgebreid, zowel voor ingebedde software als voor toepassingssoftware en parametrering.

De zes stappen in de praktijk

1. Veiligheidsfuncties definiëren. Wat moet er precies gebeuren, bij welke gebeurtenis, en wat is de veilige toestand?
2. Vereist PLr bepalen. Per functie, via de risicograaf.
3. Ontwerpen en realiseren. Componenten, structuur en bedrading kiezen die het niveau kunnen dragen.
4. Bereikt PL berekenen. Categorie, MTTF_D, DC en CCF doorrekenen.
5. Verifiëren. Haalt het bereikte PL het vereiste PLr?
6. Valideren. Doet de functie in de praktijk werkelijk wat is bedacht, ook bij fouten?

Bij stap 1 hoort een specificatie van de veiligheidseisen: per functie legt u vast wat de functie doet, welk PLr geldt, in welke bedrijfsmodi hij actief is, wat de reactietijd is, hoe hij zich gedraagt bij een storing, welke prioriteit hij heeft en hoe hij samenhangt met andere veiligheidsfuncties. Ontbreekt dat document, dan is er niets om tegen te verifiëren.

Let op: de norm is herzien in 2023

In 2023 is een nieuwe editie van ISO 13849-1 verschenen. EN ISO 13849-1:2023 is in mei 2024 in het Publicatieblad van de Europese Unie opgenomen. De versie uit 2015 behoudt haar status als geharmoniseerde norm tot 15 mei 2027 en wordt daarna ingetrokken.

In de praktijk is die termijn korter dan hij lijkt. Op 20 januari 2027 vervangt de Machineverordening EU 2023/1230 de Machinerichtlijn. Wie een machine ontwerpt die daarna in de handel komt, doet er verstandig aan nu al vanuit de nieuwe editie te werken.

De belangrijkste wijzigingen ten opzichte van 2015:

• een overzichtelijkere opbouw, met de nadruk op een veiligheidsfunctie als combinatie van meerdere subsystemen;
• de term subsysteem vervangt de oude aanduiding SRP/CS;
• de bepaling van de P-parameter is aangepast;
• de specificatie van veiligheidsfuncties en van de veiligheidseisen is uitgebreider beschreven;
• de normatieve validatie-eisen uit deel 2 zijn in deel 1 opgenomen en herzien;
• nieuwe leidraad voor gemeenschappelijke faaloorzaken, elektromagnetische storingen en functioneel veiligheidsmanagement;
• uitgebreidere eisen en voorbeelden voor veiligheidsgerelateerde software.

De tabellen voor foutuitsluiting staan overigens nog steeds in deel 2 van de norm.

Wanneer krijgt u hiermee te maken?

• Als fabrikant, bij het ontwerp van een nieuwe machine: het Performance Level hoort onderbouwd in het technisch dossier.
• Bij een ingrijpende wijziging of koppeling: verandert de besturing, dan verandert vaak ook de veiligheidsfunctie. Wanneer wordt u juridisch fabrikant? →
• Bij vervanging van een component: een veiligheidsrelais vervangen door een ander type kan het bereikte PL verlagen, zonder dat iemand het merkt.
• Bij een noodstop: NEN-EN-ISO 13850 noemt daarvoor een ondergrens van PLr c of SIL 1. Waar een noodstop verder aan moet voldoen →

Waar Samodi bij helpt, en waar de grens ligt

Wij bepalen bij een risicobeoordeling per veiligheidsfunctie het vereiste Performance Level en leggen de onderbouwing van S, F en P schriftelijk vast, zodat de keuze navolgbaar is voor de Arbeidsinspectie en voor uw eigen technische dienst. Ook stellen wij vast waar veiligheidsfuncties ontbreken of waar het gekozen niveau niet past bij het risico.

Het doorrekenen van het bereikte PL is engineeringwerk aan de besturing zelf: componentgegevens, categorie, MTTF_D, DC en CCF. Daarvoor werken wij samen met de machinebouwer of uw besturingsleverancier, die de componentgegevens heeft. Wij zeggen liever eerlijk waar onze rol ophoudt dan dat u een berekening krijgt die niemand kan onderbouwen.