Wat is ISO 13849-1?
ISO 13849-1 is het eerste deel van de normreeks ISO 13849 en legt de algemene ontwerpprincipes vast voor de veiligheidsgerelateerde delen van machinebesturingen (SRP/CS, safety-related parts of control systems), inclusief de methode om het behaalde Performance Level te bepalen. De officiële titel is Safety of machinery – Safety-related parts of control systems – Part 1: General principles for design. Het gaat om de keten van detectie, logica en uitvoering die een machine in een veilige toestand brengt: een noodstop, een lichtscherm, een deurvergrendeling, een Veiligheidsrelais of een safety-PLC. De norm geldt voor elke techniek, van elektrisch en programmeerbaar tot pneumatisch, hydraulisch en mechanisch.
De actuele versie is de vierde editie van april 2023. In Europa is EN ISO 13849-1:2023 een geharmoniseerde norm onder de Machinerichtlijn, en in Nederland verschijnt zij als NEN-EN-ISO 13849-1.
In OT-omgevingen is ISO 13849-1 de taal waarin machinebouwer, integrator en eigenaar afspreken hoe betrouwbaar een veiligheidsfunctie moet zijn, en hoe zij dat aantonen met berekening, ontwerpregels en validatie.
🧠 Wat regelt deel 1 van ISO 13849 precies?
ISO 13849-1 is stap 2 in het risicoreductieproces van ISO 12100: risicoreductie met technische beschermingsmaatregelen, nadat een inherent veilig ontwerp niet volstaat. De norm beschrijft het hele ontwerptraject van een veiligheidsfunctie:
- Specificatie - wat de functie moet doen en welk vereist Performance Level (PLr) zij moet halen
- Ontwerp - architectuur (categorie), betrouwbaarheid van componenten, diagnose en maatregelen tegen gemeenschappelijke fouten
- Software - eisen aan de veiligheidsgerelateerde software in een programmeerbare besturing
- Verificatie en validatie - aantonen dat het behaalde PL minstens gelijk is aan het PLr
De norm richt zich op functies met een hoge vraagfrequentie of continue werking, wat de norm definieert als vaker dan eens per jaar. Voor functies met een lage vraagfrequentie, zoals in de procesindustrie, verwijst de editie van 2023 naar IEC 61508; in de praktijk geldt daar IEC 61511. IT-security valt buiten de scope.
| Onderdeel | ISO 13849-1 | ISO 13849-2 |
|---|---|---|
| Inhoud | Ontwerpprincipes, categorieën, PL-berekening, software | Validatie, foutlijsten, beproefde veiligheidsprincipes |
| Actuele editie | 2023 (vierde editie) | 2012 (tweede editie) |
| Validatie | Sinds 2023 opgenomen als hoofdstuk 10 | Tabellen en voorbeelden per techniek |
| Rangorde | Heeft voorrang zolang deel 2 wordt herzien | Blijft bruikbaar als naslag voor foutlijsten |
🗂️ Hoe is de editie van 2023 opgebouwd?
De editie van 2015 bracht vooral redactionele verbeteringen. De editie van 2023 is een grondige herziening die de volgorde van het ontwerpproces volgt:
| Hoofdstuk of bijlage | Onderwerp |
|---|---|
| 4 | Overzicht en plaats in het risicoreductieproces |
| 5 | Specificatie van veiligheidsfuncties, PLr en opdeling in subsystemen |
| 6 | Ontwerp: categorieën, MTTFd, DC, CCF, systematische fouten, foutuitsluiting, combinatie van subsystemen, parametrering |
| 7 | Software-eisen |
| 8 en 9 | Verificatie van het behaalde PL en ergonomie |
| 10 | Validatie, overgenomen uit deel 2 |
| 11 tot en met 13 | Onderhoudbaarheid, technische documentatie en gebruikersinformatie |
| Bijlage A | Risicograaf voor het PLr |
| Bijlagen C tot en met F | MTTFd-waarden, diagnostische dekking en CCF-puntensysteem |
| Bijlage G | Systematische fouten en het functional safety plan |
| Bijlage L | Immuniteit voor elektromagnetische storing |
| Bijlagen M, N en O | Typische veiligheidsfuncties, softwaremaatregelen en apparaattypen |
Een opvallende naamswijziging: de vroegere PFHd heet nu PFH, de gemiddelde frequentie van een gevaarlijke storing per uur. Dat sluit aan op IEC 62061 en IEC 61508 en verandert technisch niets.
📋 Wat moet er in de specificatie van een veiligheidsfunctie staan?
Sinds 2023 vraagt hoofdstuk 5 om een safety requirements specification (SRS) per veiligheidsfunctie. Die legt onder meer vast:
- Trigger en reactie - welke gebeurtenis de functie aanspreekt en welke veilige toestand volgt
- PLr en reactietijd - het vereiste niveau en de tijd tot de veilige toestand
- Bedrijfsmodi en interfaces - wanneer de functie actief is en hoe zij samenwerkt met de besturing en andere functies
- Energieverlies en herstart - gedrag bij uitval van spanning of perslucht, en de voorwaarden voor herstarten
- Vraagfrequentie en prioriteit - hoe vaak de functie wordt aangesproken en welke functie voorgaat bij conflicten
Daarnaast eist de norm dat een handmatige reset reageert op een bewaakte signaalflank, dat een keuzeschakelaar voor bedrijfsmodi die veiligheidsfuncties in- of uitschakelt zelf een veiligheidsfunctie is, en dat u de motivatie om beveiligingen te omzeilen zo klein mogelijk maakt. Voor OT-teams is paragraaf 5.2.4 relevant: toegang op afstand moet standaard zo beperkt zijn dat er geen gevaar ontstaat voor iemand die ongemerkt in de gevarenzone staat. De SRS wordt beoordeeld vóórdat het ontwerp begint. Bijlage M geeft tabellen met typische veiligheidsfuncties, zoals:
| Veiligheidsfunctie | Typische componenten |
|---|---|
| Noodstop | Noodstopknop met gedwongen openende contacten en een bewaakt veiligheidsrelais |
| Bewaakte toegangsdeur | Deurschakelaar of vergrendeling met terugmelding naar de safety-logica |
| Tweehandenbediening | Twee knoppen die binnen korte tijd gelijktijdig bediend moeten worden |
| Veilig begrensde snelheid | Encoder en aandrijving met veilige bewegingsfuncties, bewaakt door een safety-PLC |
| Afschakeling via lichtscherm | Lichtscherm dat de gevaarlijke beweging stopt zodra de detectiezone wordt onderbroken |
Het vereiste PL van zo’n functie staat niet vast: het volgt uit de risicobeoordeling of uit een C-norm.
🔧 Hoe bepaalt u het behaalde PL?
Het vereiste PLr volgt uit de risicograaf in bijlage A, met de parameters ernst (S), frequentie en blootstellingsduur (F) en de mogelijkheid om het gevaar te vermijden (P). Een C-norm voor een specifiek machinetype kan het PLr ook direct voorschrijven. Het behaalde PL volgt uit categorie, MTTFd, gemiddelde diagnostische dekking (DCavg) en CCF-maatregelen, met een gebruiksduur van 20 jaar als rekenbasis.
| Begrip | Betekenis | Indeling |
|---|---|---|
| Categorie | Architectuur en foutgedrag van een subsysteem | B, 1, 2, 3 en 4; vanaf categorie 3 tweekanaals |
| MTTFd | Gemiddelde tijd tot een gevaarlijke storing per kanaal | Laag 3 tot 10 jaar, middel 10 tot 30 jaar, hoog vanaf 30 jaar |
| DCavg | Aandeel gevaarlijke storingen dat de diagnose ontdekt | Geen < 60%, laag 60 tot 90%, middel 90 tot 99%, hoog ≥ 99% |
| CCF | Storing met gemeenschappelijke oorzaak die beide kanalen tegelijk raakt | Minimaal 65 van 100 punten in bijlage F voor categorie 2, 3 en 4 |
| PL | PFH per uur | Gangbare realisatie volgens het staafdiagram |
|---|---|---|
| a | ≥ 10⁻⁵ tot < 10⁻⁴ | Categorie B met lage MTTFd |
| b | ≥ 3 × 10⁻⁶ tot < 10⁻⁵ | Categorie B met middelhoge of hoge MTTFd |
| c | ≥ 10⁻⁶ tot < 3 × 10⁻⁶ | Categorie 1 met beproefde componenten en hoge MTTFd |
| d | ≥ 10⁻⁷ tot < 10⁻⁶ | Categorie 2 met DCavg middel en hoge MTTFd, of categorie 3 met DCavg middel en middelhoge MTTFd |
| e | ≥ 10⁻⁸ tot < 10⁻⁷ | Categorie 3 met DCavg middel en hoge MTTFd, of categorie 4 |
De editie van 2023 verscherpt een aantal ontwerpregels:
- Categorie 2 - elk deel (ingang, logica, uitgang) heeft minstens een lage diagnostische dekking (60%). De testfrequentie is minstens honderd keer de vraagfrequentie, of de test vindt direct bij de aanvraag plaats. Het maximum is PL d.
- Beproefde componenten - complexe componenten, zoals een microcontroller, gelden nooit als beproefd (well-tried).
- Foutuitsluiting - PL e mag voor een subsysteem niet uitsluitend op foutuitsluiting berusten.
- Slijtagedelen - de MTTFd van een contactor of schakelaar volgt uit B10d en het aantal schakelingen. Geeft de fabrikant alleen een B10, dan geldt B10d = B10 gedeeld door het aandeel gevaarlijke storingen (standaard 50%). De T10d, het moment van preventieve vervanging, blijft begrensd op twee keer de T10.
- Combinatie van subsystemen - bij voorkeur telt u de PFH-waarden van ingang, logica en uitgang op; een tabelmethode is er voor subsystemen zonder PFH-waarde.
Redundantie is dus niet bij elk hoog niveau nodig: PL d kan ook met één bewaakt kanaal in categorie 2. Voor PL e is een tweekanaals structuur nodig.
💻 Welke software-eisen stelt ISO 13849-1?
Hoofdstuk 7 onderscheidt twee soorten software:
- SRESW (embedded software) - de firmware in een component, meestal geschreven in een taal met volledige variabiliteit (FVL) zoals C
- SRASW (application software) - het programma dat de integrator in een safety-PLC schrijft, vaak in een taal met beperkte variabiliteit (LVL)
Talen uit IEC 61131-3 zoals ladderdiagram, functieblokdiagram en SFC gelden als LVL. Voor SRASW in LVL met gevalideerde functieblokken op geverifieerde hardware staat de norm een vereenvoudigd V-model in twee stappen toe. Bijlage N helpt de verplichte en aanbevolen maatregelen per PL te kiezen. Paragraaf 6.3 regelt apart de parametrering met software, zoals het instellen van een veilige snelheidslimiet door een bevoegde persoon. Specifieke eisen aan kunstmatige intelligentie bevat de norm uitdrukkelijk niet.
🔄 Hoe verhoudt ISO 13849-1 zich tot andere normen en wetgeving?
| Norm of wet | Relatie met ISO 13849-1 |
|---|---|
| IEC 62061 | Gelijkwaardige machinenorm op basis van SIL; subsystemen uit beide normen zijn te combineren |
| IEC 61508 | Basisnorm voor functionele veiligheid; geldt voor functies met lage vraagfrequentie |
| ISO 12100 | Risicobeoordeling die aan de PLr-bepaling voorafgaat |
| ISO 14119 | Vergrendelingsinrichtingen voor hekken en deuren |
| ISO 13855 | Veiligheidsafstanden, onder meer voor lichtschermen |
| IEC 61496 | Elektrogevoelige beschermingsinrichtingen zoals lichtschermen |
| NEN-EN-ISO 13850 | Ontwerpprincipes voor de noodstopfunctie |
| IEC 60204-1 | Elektrische uitrusting van machines |
| Machinerichtlijn | Geharmoniseerde norm via het Publicatieblad; geeft een vermoeden van overeenstemming |
| Machineverordening | Vervangt de Machinerichtlijn op 20 januari 2027 |
De Machinerichtlijn noemt zelf geen normen. EN ISO 13849-1:2023 kreeg haar status door Uitvoeringsbesluit (EU) 2024/1329, gepubliceerd op 15 mei 2024. Daarin vervalt de vermelding van de editie van 2015 per 15 mei 2027. Omdat de Machineverordening eerder van toepassing wordt, is de editie van 2023 voor nieuwe ontwerpen de logische keuze.
🧭 Hoe past u ISO 13849-1 toe in een project?
Neem een robotcel met een toegangsdeur. De risicobeoordeling geeft ernstig letsel (S2), regelmatige toegang (F2) en weinig kans om te ontwijken (P2), dus PLr e.
- Schrijf de SRS - trigger: deur open; reactie: stop van robot en transportband binnen de toegestane reactietijd; herstart alleen na bewuste reset buiten de cel.
- Deel de functie op - ingang (twee deurschakelaars volgens ISO 14119), logica (safety-PLC of veiligheidsrelais), uitgang (twee contactoren of veilige uitschakeling van de frequentieregelaar).
- Kies de architectuur - categorie 3 of 4 per subsysteem, met terugmelding van de contactoren en kruisbewaking van de schakelaars.
- Bereken - haal de PFH van gecertificeerde componenten uit de datasheets, bereken de MTTFd van de schakelaars uit B10d en het aantal deuropeningen, en tel op. De gratis software SISTEMA van het Duitse instituut IFA ondersteunt in versie 3.x de editie van 2023.
- Beoordeel CCF en EMC - minimaal 65 punten voor CCF; voor elektromagnetische immuniteit kiest u een van de vier routes uit bijlage L.
- Valideer - analyse plus minstens een functionele test van elke veiligheidsfunctie, inclusief foutsimulatie, bijvoorbeeld met een FMEA.
- Documenteer - leg het resultaat vast in het technisch dossier voor de CE-markering en geef de vervangingsintervallen door aan de eigenaar.
In Nederland houdt de Nederlandse Arbeidsinspectie toezicht. Een eigenaar die een machine ingrijpend wijzigt, bijvoorbeeld met een aanpassing van de safety-software die een nieuw gevaar of een hoger risico oplevert, wordt onder de Machineverordening zelf fabrikant en moet de veiligheidsfuncties opnieuw beoordelen.
⚠️ Welke fouten ziet u vaak in de praktijk?
- Geen of een te late PLr-bepaling - het ontwerp wordt gekozen voordat de risicobeoordeling klaar is
- Mismatch tussen componenten en eis - een component met PL d in een functie die PL e vraagt
- Te optimistische diagnose - een hoge DC claimen zonder FMEA of met te weinig tests
- CCF vergeten - bijvoorbeeld twee kanalen op één gemeenschappelijke voeding of in één kabel
- Standaard-PLC voor veiligheidsfuncties - een gewone PLC zonder gecertificeerde safety-functies en zonder validatie
- Slijtage negeren - geen vervangingsplan voor schakelaars waarvan de T10d binnen de gebruiksduur valt
🔐 Wat betekent ISO 13849-1 voor OT-security?
ISO 13849-1 rekent met toevallige en systematische fouten, niet met een aanvaller. Een safety-PLC die PL e haalt, kan via een onbeveiligde engineeringverbinding toch worden aangepast. De norm verwijst daarom voor security naar ISO/TR 22100-2 en IEC TS 63074; die laatste past IEC 62443 toe op veiligheidsgerelateerde besturingen. De Machineverordening maakt bescherming tegen corruptie van veiligheidsrelevante software vanaf 20 januari 2027 tot essentiële eis. Veilige protocollen zoals PROFIsafe beschermen tegen transmissiefouten, maar vervangen geen toegangsbeheer en wijzigingsbeheer.
❓ Veelgestelde vragen
Wat is het verschil tussen ISO 13849 en ISO 13849-1?
ISO 13849 is de normreeks voor veiligheidsgerelateerde delen van machinebesturingen. ISO 13849-1 is deel 1 met de ontwerpprincipes, categorieën en de PL-berekening, en ISO 13849-2 beschrijft de validatie. Sinds 2023 staan de validatie-eisen ook in hoofdstuk 10 van ISO 13849-1.
Welke editie van ISO 13849-1 is actueel?
De actuele editie van ISO 13849-1 is de vierde editie uit april 2023. EN ISO 13849-1:2023 staat sinds 15 mei 2024 in het Publicatieblad van de EU. De editie van 2015 geeft nog tot 15 mei 2027 een vermoeden van overeenstemming onder de Machinerichtlijn.
Is ISO 13849-1 verplicht?
ISO 13849-1 is niet wettelijk verplicht. Wie een machine volgens de geharmoniseerde EN ISO 13849-1 ontwerpt, krijgt wel een vermoeden van overeenstemming met de eisen aan besturingssystemen. Een fabrikant mag ook IEC 62061 of een andere aantoonbaar gelijkwaardige methode gebruiken.
Wat betekent PFH in ISO 13849-1?
PFH staat in ISO 13849-1 voor de gemiddelde frequentie van een gevaarlijke storing per uur. Elk Performance Level komt overeen met een PFH-bandbreedte, van kleiner dan 10⁻⁴ voor PL a tot kleiner dan 10⁻⁷ voor PL e. In de editie van 2015 heette deze grootheid nog PFHd.
Kan een PLC met software voldoen aan ISO 13849-1?
Een programmeerbare besturing kan aan ISO 13849-1 voldoen als het een safety-PLC is met een PL- of SIL-opgave van de fabrikant en de applicatiesoftware volgens hoofdstuk 7 is ontwikkeld. Een standaard-PLC zonder veiligheidscertificering is daar in de regel niet geschikt voor. De software moet worden geverifieerd, gevalideerd en onder wijzigingsbeheer staan.
Welke software gebruikt u om het PL te berekenen?
Een veelgebruikt hulpmiddel voor ISO 13849-1 is SISTEMA van het Duitse instituut IFA, dat gratis beschikbaar is. Versie 3.x ondersteunt de editie van 2023 en bevat bibliotheken met componentwaarden van fabrikanten. De software vervangt geen kennis van de norm, maar maakt de berekening en documentatie controleerbaar.
📌 Samengevat
ISO 13849-1 is de basisnorm waarmee u veiligheidsfuncties van machines specificeert, ontwerpt, berekent en valideert tot het vereiste Performance Level. De editie van 2023 volgt het ontwerpproces, van SRS tot validatie, met strengere regels voor categorie 2, foutuitsluiting, software en EMC; voor OT-teams blijft security een aanvullende opgave via IEC TS 63074 en IEC 62443.