Wat is ISO 13849?
ISO 13849 is een tweedelige internationale normreeks voor de veiligheidsgerelateerde delen van machinebesturingen (SRP/CS), die vastlegt hoe u een veiligheidsfunctie ontwerpt, het bereikte Performance Level berekent en het resultaat valideert. Deel 1 (ISO 13849-1) geeft de ontwerpprincipes en de rekenmethode, deel 2 beschrijft de validatie. De norm geldt voor alle technieken: elektrisch, elektronisch, programmeerbaar, pneumatisch, hydraulisch en mechanisch. De reeks is opgesteld door ISO en wordt toegepast in machinebouw, verpakkingslijnen, robotica en intern transport. In Europa wordt de reeks uitgegeven als EN ISO 13849 en is zij een geharmoniseerde norm onder de Machinerichtlijn. In Nederland kent u dezelfde norm als NEN-EN-ISO 13849, de Nederlandse uitgave van de Europese overname: inhoudelijk gelijk aan de ISO-tekst, met het voorblad van NEN.
🧠 Wat regelt ISO 13849 precies?
ISO 13849 beantwoordt één vraag: is een veiligheidsfunctie betrouwbaar genoeg voor het risico dat zij moet afdekken? Een veiligheidsfunctie is de keten van detectie, logica en uitvoering die een machine in een veilige toestand brengt, bijvoorbeeld een deurschakelaar, een veiligheidsrelais en twee contactoren die een motor afschakelen.
De norm werkt met twee niveaus:
- PLr (required) - het vereiste Performance Level, afgeleid uit de risicobeoordeling
- PL (behaald) - het niveau dat het ontwerp aantoonbaar haalt, op basis van architectuur, betrouwbaarheid, diagnose en bescherming tegen gemeenschappelijke fouten
Het ontwerp is in orde zodra PL ≥ PLr voor elke veiligheidsfunctie. Typische veiligheidsfuncties zijn de noodstop (zelf geregeld in ISO 13850), een interlock op een afscherming, een lichtscherm volgens IEC 61496, tweehandenbediening en veilig begrensde snelheid.
ISO 13849 richt zich op functies met een hoge vraagfrequentie of continue werking, zoals in machines gebruikelijk is. Voor veiligheidsfuncties met een lage vraagfrequentie, zoals in de procesindustrie, verwijst de editie van 2023 naar IEC 61508; daar geldt in de praktijk IEC 61511.
🕰️ Hoe is de norm ontstaan?
| Jaar | Document | Betekenis |
|---|---|---|
| 1996 | EN 954-1 | Europese voorloper met alleen categorieën B en 1 tot en met 4 |
| 1999 | ISO 13849-1, eerste editie | Overname van EN 954-1 door ISO |
| 2003 | ISO 13849-2, eerste editie | Validatie van veiligheidsgerelateerde delen |
| 2006 | ISO 13849-1, tweede editie | Introductie van Performance Levels, MTTFd, DC en CCF |
| 31 december 2011 | Einde EN 954-1 | Geen vermoeden van overeenstemming meer onder de Machinerichtlijn |
| 2012 | ISO 13849-2, tweede editie | Nog steeds de geldende validatie-editie |
| 2015 | ISO 13849-1, derde editie | Beperkte herziening met verduidelijkingen |
| 2023 | ISO 13849-1, vierde editie | Herstructurering langs het ontwerpproces |
| 15 mei 2024 | EN ISO 13849-1:2023 in het Publicatieblad | Geharmoniseerd onder de Machinerichtlijn via besluit (EU) 2024/1329 |
De grote stap was 2006: EN 954-1 keek alleen naar de architectuur (de categorie), terwijl ISO 13849-1 daar een kwantitatieve faalkans aan toevoegde.
🔧 Hoe bepaalt u het vereiste Performance Level?
De risicograaf in bijlage A van deel 1 combineert drie parameters:
- S, ernst van het letsel - S1 is licht en meestal herstelbaar, S2 is ernstig en meestal onherstelbaar, inclusief de dood
- F, frequentie en blootstellingsduur - F2 als iemand vaker dan eens per 15 minuten aan het gevaar wordt blootgesteld; F1 als dat niet zo is en de opgetelde blootstelling hooguit 1/20 van de bedrijfstijd bedraagt
- P, mogelijkheid om het gevaar te vermijden - P1 als vermijden onder bepaalde omstandigheden mogelijk is, P2 als dat nauwelijks kan
| Ernst | Frequentie | Vermijden | PLr |
|---|---|---|---|
| S1 | F1 | P1 | a |
| S1 | F1 | P2 | b |
| S1 | F2 | P1 | b |
| S1 | F2 | P2 | c |
| S2 | F1 | P1 | c |
| S2 | F1 | P2 | d |
| S2 | F2 | P1 | d |
| S2 | F2 | P2 | e |
De editie van 2023 geeft in bijlage A extra houvast om P1 of P2 te kiezen. Een machinespecifieke C-norm kan het PLr ook direct voorschrijven; die gaat dan voor.
📊 Waaruit bestaat het behaalde PL?
Het behaalde PL volgt uit vier grootheden:
- Categorie - de architectuur (B, 1, 2, 3 of 4)
- MTTFd - gemiddelde tijd tot een gevaarlijke storing per kanaal: laag 3–10 jaar, middel 10–30 jaar, hoog 30–100 jaar
- DCavg - diagnostische dekking: geen (< 60%), laag (60–90%), middel (90–99%) of hoog (≥ 99%)
- CCF - maatregelen tegen fouten met een gemeenschappelijke oorzaak, gescoord met een puntensysteem waarbij minimaal 65 punten nodig zijn voor categorie 2, 3 en 4
| Categorie | Structuur | Maximaal PL |
|---|---|---|
| B | Eén kanaal, basisveiligheidsprincipes, geen diagnose | b |
| 1 | Eén kanaal met beproefde componenten en hoge MTTFd | c |
| 2 | Eén kanaal met periodieke test door testapparatuur | d |
| 3 | Twee kanalen; één fout leidt niet tot verlies van de functie | e |
| 4 | Twee kanalen met hoge MTTFd en DC ≥ 99%; fouten worden tijdig ontdekt | e |
Elk PL komt overeen met een bandbreedte van de gemiddelde kans op een gevaarlijke storing per uur (PFHd). Die rekenmethode gaat uit van een gebruiksduur (mission time) van 20 jaar.
| PL | PFHd per uur | Vergelijkbaar SIL (IEC 62061) |
|---|---|---|
| a | ≥ 10⁻⁵ tot < 10⁻⁴ | geen |
| b | ≥ 3 × 10⁻⁶ tot < 10⁻⁵ | SIL 1 |
| c | ≥ 10⁻⁶ tot < 3 × 10⁻⁶ | SIL 1 |
| d | ≥ 10⁻⁷ tot < 10⁻⁶ | SIL 2 |
| e | ≥ 10⁻⁸ tot < 10⁻⁷ | SIL 3 |
Voor elektromechanische onderdelen zoals contactoren en schakelaars berekent u de MTTFd uit de B10d-waarde van de fabrikant en het aantal schakelingen per jaar (n_op): MTTFd = B10d / (0,1 × n_op). Een deur die vaak open gaat, verlaagt de MTTFd van de deurschakelaar dus fors. Daarnaast geeft T10d = B10d / n_op aan na hoeveel jaar 10% van de exemplaren gevaarlijk is uitgevallen; ligt die waarde onder de gebruiksduur, dan moet u het onderdeel preventief vervangen.
Rekenvoorbeeld. Neem een deurschakelaar waarvoor de fabrikant een B10d van 2 miljoen schakelingen opgeeft, op een machine die 220 dagen per jaar 16 uur draait:
| Scenario | n_op per jaar | MTTFd | T10d | Gevolg |
|---|---|---|---|---|
| Deur 6 keer per uur open | 21.120 | 947 jaar, gerekend als 100 jaar (hoog) | ca. 95 jaar | Geen vervanging nodig binnen 20 jaar |
| Deur elke 30 seconden open | 422.400 | ca. 47 jaar (hoog) | ca. 4,7 jaar | Schakelaar na circa 4,5 jaar vervangen |
Beide scenario’s leveren een hoge MTTFd op, maar in het tweede moet de vervanging in het onderhoudsplan staan. Combineert u zulke kanalen in een categorie 3-structuur met een gemiddelde diagnostische dekking (DCavg middel) en voldoende CCF-maatregelen, dan geeft het staafdiagram van de vereenvoudigde methode PL e.
🆕 Wat is er veranderd in ISO 13849-1:2023?
De vierde editie groeide van 104 naar 172 pagina’s en volgt nu de volgorde van het ontwerpproces. De belangrijkste wijzigingen:
- Specificatie van veiligheidseisen - elke veiligheidsfunctie wordt vastgelegd met trigger, veilige toestand, PLr, reactietijd, bedrijfsmodi, herstartvoorwaarden en gedrag bij energieverlies
- Eigen hoofdstuk voor software - de software-eisen, die in 2015 nog een paragraaf waren, staan nu in een apart en uitgebreider hoofdstuk voor veiligheidsgerelateerde embedded en applicatiesoftware, bijvoorbeeld in een safety-PLC
- Ergonomie - meer aandacht voor ergonomische aspecten van het ontwerp, omdat een onhandige bediening uitnodigt tot het omzeilen van beveiligingen
- EMC - een nieuwe informatieve bijlage L met vier alternatieve routes om voldoende immuniteit voor elektromagnetische storing aan te tonen
- Vermijdingsparameter P - bijlage A geeft een gestructureerde methode om P1 of P2 te kiezen
- Afbakening - uitdrukkelijk alleen voor hoge vraagfrequentie en continue werking
- IT-security - valt buiten de norm, maar de norm noemt dat beveiligingsdreigingen veiligheidsfuncties kunnen aantasten
Bij ISO is de editie van 2015 hiermee vervangen. In de EU staat EN ISO 13849-1:2023 sinds 15 mei 2024 in het Publicatieblad; de editie van 2015 kreeg daarbij een overgangsperiode van drie jaar, en CEN trok haar per 31 mei 2026 in. Voor nieuwe ontwerpen is de editie van 2023 de verstandige keuze, ook omdat de Machinerichtlijn op 20 januari 2027 vervalt.
🔐 Wat betekent ISO 13849 voor IT/OT en cybersecurity?
ISO 13849 rekent met toevallige hardwarefouten en systematische fouten, niet met een aanvaller. Een safety-PLC die keurig PL e haalt, kan via een onbeveiligde engineeringverbinding toch worden omgeprogrammeerd. Daarom zijn er aanvullende documenten:
- ISO/TR 22100-4:2018 - leidraad voor machinebouwers om IT-securityaspecten in de risicobeoordeling mee te nemen
- IEC TS 63074:2023 - past IEC 62443 toe op veiligheidsgerelateerde besturingssystemen van machines
- Machineverordening (EU) 2023/1230 - maakt vanaf 20 januari 2027 bescherming tegen corruptie en kwaadwillige ingrepen een essentiële eis
- Cyber Resilience Act - stelt eisen aan producten met digitale elementen, zoals safety-controllers en netwerkcomponenten
Veilige communicatie tussen veiligheidscomponenten, bijvoorbeeld met PROFIsafe of CIP Safety, beschermt tegen transmissiefouten, maar is geen vervanging voor netwerksegmentatie en toegangsbeheer.
🧭 Hoe past u ISO 13849 stap voor stap toe?
- Voer de risicobeoordeling uit volgens ISO 12100 en bepaal welke risico’s u met besturingsmaatregelen wilt beperken. Die norm hanteert een driestappenmethode: eerst inherent veilig ontwerp, dan technische beschermingsmaatregelen (waaronder de veiligheidsfuncties van ISO 13849), en pas als laatste gebruikersinformatie zoals waarschuwingen en voorgeschreven PBM.
- Specificeer elke veiligheidsfunctie met trigger, reactie, reactietijd en PLr uit de risicograaf of de C-norm.
- Kies de architectuur en componenten: veiligheidsrelais, safety-PLC, vergrendelingen volgens ISO 14119 en veiligheidsafstanden volgens ISO 13855.
- Bereken het behaalde PL per subsysteem (ingang, logica, uitgang), bijvoorbeeld met de gratis software SISTEMA van het Duitse instituut IFA, en combineer de resultaten.
- Ontwikkel de software volgens de software-eisen van deel 1.
- Valideer volgens ISO 13849-2 door analyse en test, met de foutlijsten en beproefde veiligheidsprincipes voor mechanische, pneumatische, hydraulische en elektrische techniek.
- Documenteer alles in het technisch dossier voor de CE-markering.
In Nederland is de Machinerichtlijn omgezet in het Warenwetbesluit machines; de Nederlandse Arbeidsinspectie houdt markttoezicht op machines. Voor machines die al in gebruik zijn, geldt voor de werkgever de Arbowet met hoofdstuk 7 van het Arbobesluit over arbeidsmiddelen. Wie een bestaande machine ingrijpend wijzigt, wordt onder de Machineverordening zelf fabrikant en moet de veiligheidsfuncties opnieuw beoordelen. De elektrische uitrusting zelf valt onder IEC 60204-1.
🏭 Waar komt u ISO 13849 tegen en hoe houdt u veiligheidsfuncties in stand?
In de industriële automatisering zit ISO 13849 in vrijwel elke machine met bewegende delen: transportbanden, persen, verpakkingslijnen, robotcellen en palletiseerders. De veiligheidsfuncties zitten fysiek verspreid over de installatie. Een sensor zoals een deurschakelaar of lichtscherm vormt de ingang, een veiligheidsrelais of safety-PLC in de besturingskast de logica, en contactoren, relais of een actuator zoals een veiligheidsventiel de uitgang. Elk van die drie subsystemen telt mee in de PL-berekening. Een gewone PLC is niet als veiligheidscomponent ontwikkeld: wie hem toch in een veiligheidsfunctie opneemt, moet zelf de faalgegevens, diagnose en softwarekwaliteit onderbouwen. Daarom kiest u voor de logica in de praktijk meestal een gecertificeerd veiligheidsrelais of een safety-PLC met een opgegeven PL.
| Veiligheidsfunctie | Typische componenten | Aandachtspunt |
|---|---|---|
| Noodstop | Noodstopknop, veiligheidsrelais, twee contactoren | Aanvullende functie, vervangt geen afscherming |
| Deurbewaking | Vergrendelde deurschakelaar, safety-PLC | Kans op manipulatie volgens ISO 14119 |
| Toegangsbewaking | Lichtscherm of lichtgordijn | Veiligheidsafstand en reactietijd volgens ISO 13855 |
| Tweehandenbediening | Twee drukknoppen met gelijktijdigheidsbewaking | Beide handen buiten de gevarenzone |
| Veilig begrensde snelheid | Frequentieregelaar met geïntegreerde safety | Bij instellen en onderhoud met open afscherming |
Diagnose speelt in de praktijk een grote rol. Veiligheidsingangen sturen vaak korte testpulsen over de bekabeling om sluiting tussen de twee kanalen of naar de voeding te ontdekken. Bij categorie 2 gaat de vereenvoudigde methode ervan uit dat de test minstens 100 keer zo vaak plaatsvindt als de vraag naar de veiligheidsfunctie; de norm accepteert onder voorwaarden ook een lagere verhouding van minimaal 25.
Een veiligheidsfunctie blijft alleen betrouwbaar als de gebruiker haar ook zo onderhoudt. Componenten met een T10d korter dan de gebruiksduur moeten op tijd worden vervangen, en een overbrugde deurschakelaar maakt het hele PL waardeloos. Onderhoud aan PL-voorzieningen hoort daarom onder Lock-out Tag-out en een werkvergunning te gebeuren, met een functietest voordat de machine weer in productie gaat. Neem de veiligheidsfuncties ook mee in de RI&E en in periodieke inspecties of een interne audit. Vervangt u een component, kies dan een type met minstens dezelfde veiligheidskengetallen (B10d, MTTFd of PL) en leg de wijziging vast.
🔄 Hoe verhoudt ISO 13849 zich tot andere normen?
| Norm | Rol naast ISO 13849 |
|---|---|
| ISO 12100 | Algemene risicobeoordeling en risicoreductie van machines |
| IEC 62061 | Alternatieve machinenorm met SIL 1 tot en met 3; editie 2021 dekt ook niet-elektrische techniek |
| IEC 61508 | Basisnorm voor functionele veiligheid, ook voor lage vraagfrequentie |
| ISO 14119 | Vergrendelingsinrichtingen bij afschermingen |
| ISO 13855 | Plaatsing van beveiligingen ten opzichte van naderingssnelheid |
| IEC 61496 | Elektrosensitieve beveiligingen zoals lichtschermen |
Voor de meeste machinebouwers is de keuze tussen ISO 13849 en IEC 62061 vooral praktisch: ISO 13849 is gangbaar bij gemengde technieken en eenvoudige architecturen, IEC 62061 bij complexe programmeerbare systemen. Beide normen zijn geharmoniseerd en geven een vermoeden van overeenstemming.
❓ Veelgestelde vragen
Wat is het verschil tussen ISO 13849-1 en ISO 13849-2?
ISO 13849-1 beschrijft de ontwerpprincipes, de risicograaf, de categorieën en de berekening van het Performance Level. ISO 13849-2 beschrijft hoe u het ontwerp valideert door analyse en test, met foutlijsten per techniek. Samen vormen ze de ISO 13849-reeks.
Is ISO 13849 verplicht?
ISO 13849 is niet wettelijk verplicht, want Europese geharmoniseerde normen worden vrijwillig toegepast. Wie EN ISO 13849-1 volgt, krijgt wel een vermoeden van overeenstemming met de veiligheidseisen voor besturingen uit de Machinerichtlijn. Een andere aanpak mag, maar dan moet u zelf aantonen dat de machine even veilig is.
Welk Performance Level heeft een noodstop nodig?
Het vereiste Performance Level van een noodstop volgt uit de risicobeoordeling en uit eventuele C-normen voor dat type machine. Er is dus geen vast niveau voor alle machines. Bij machines met kans op ernstig letsel komt de noodstop in de praktijk vaak uit op PL c of PL d.
Wat is het verschil tussen PL en SIL?
Het Performance Level uit ISO 13849 kent vijf niveaus (a tot en met e), het Safety Integrity Level uit IEC 62061 drie niveaus voor machines. Beide zijn gekoppeld aan dezelfde faalkans per uur, zodat PL d ongeveer overeenkomt met SIL 2 en PL e met SIL 3. PL a heeft geen SIL-equivalent.
Wat is het verschil tussen ISO 13849 en NEN-EN-ISO 13849?
NEN-EN-ISO 13849 is de Nederlandse uitgave van ISO 13849; de technische inhoud is gelijk. Het voorvoegsel EN betekent dat CEN de ISO-norm als Europese norm heeft overgenomen, met een bijlage ZA die de koppeling met de essentiële eisen van de Machinerichtlijn beschrijft. NEN geeft die Europese norm vervolgens in Nederland uit, zodat u voor het vermoeden van overeenstemming naar NEN-EN-ISO 13849-1 kunt verwijzen.
Dekt ISO 13849 ook cybersecurity?
ISO 13849 dekt cybersecurity niet; de norm rekent met toevallige en systematische fouten, niet met opzettelijke aanvallen. Voor security van veiligheidsbesturingen gebruikt u IEC TS 63074, ISO/TR 22100-4 en de IEC 62443-reeks. De Machineverordening maakt bescherming tegen kwaadwillige ingrepen vanaf 2027 verplicht.
📌 Samengevat
ISO 13849 is de normreeks waarmee u aantoont dat een veiligheidsfunctie in een machinebesturing het vereiste Performance Level haalt. U bepaalt het PLr met de risicograaf, berekent het behaalde PL uit categorie, MTTFd, DC en CCF, en valideert het ontwerp volgens deel 2. De editie van 2023 voegt eisen toe voor specificatie, software en EMC, maar cybersecurity regelt u met IEC 62443 en de Machineverordening.