Wat is Performance Level (PL)?
Performance Level (PL) is de maat uit NEN-EN-ISO 13849 die in vijf niveaus, van PL a tot en met PL e, uitdrukt hoe betrouwbaar een veiligheidsfunctie van een machine haar werk doet, gemeten als de gemiddelde kans op een gevaarlijke storing per uur. Hoe hoger de letter, hoe kleiner die kans: PL a staat voor minder dan één gevaarlijke storing per 10.000 uur, PL e voor minder dan één per 10 miljoen uur. Het begrip werd in 2006 ingevoerd in ISO 13849-1 en is sindsdien de gangbare taal waarin machinebouwers, integrators en eigenaren in Europa afspreken hoe goed een noodstop, een lichtscherm of een deurvergrendeling moet zijn.
PL is geen eigenschap van een losse component maar van de complete veiligheidsfunctie: sensor, logica en uitgang samen. Een gecertificeerd veiligheidsrelais met PL e levert dus geen PL e op als de deurschakelaar of de contactor dat niveau niet haalt.
🧠 Wat is het verschil tussen PLr en het behaalde PL?
Bij PL draait alles om twee waarden die u met elkaar vergelijkt:
- PLr (required) - het vereiste niveau, dat volgt uit de risicobeoordeling volgens ISO 12100
- PL (achieved) - het niveau dat het ontwerp aantoonbaar haalt, berekend uit architectuur, betrouwbaarheid en diagnose
De regel is eenvoudig: het behaalde PL moet minstens gelijk zijn aan het PLr. Een functie met PLr d mag dus met PL d of PL e worden gebouwd, maar niet met PL c. Een machinespecifieke C-norm kan het PLr ook direct voorschrijven; die gaat dan voor op de eigen berekening.
🔧 Hoe bepaalt u het vereiste PLr?
Bijlage A van ISO 13849-1 geeft een risicograaf met drie parameters:
- S, ernst van het letsel - S1 is licht en meestal herstelbaar, S2 is ernstig en meestal onherstelbaar, inclusief de dood
- F, frequentie en duur van blootstelling - F2 als iemand vaker dan eens per 15 minuten aan het gevaar wordt blootgesteld; F1 als dat niet zo is en de opgetelde blootstelling hooguit 1/20 van de bedrijfstijd is
- P, mogelijkheid om het gevaar te vermijden - P1 als vermijden onder bepaalde omstandigheden mogelijk is, P2 als dat nauwelijks kan
| Ernst | Blootstelling | Vermijden | PLr |
|---|---|---|---|
| S1 | F1 | P1 | a |
| S1 | F1 | P2 | b |
| S1 | F2 | P1 | b |
| S1 | F2 | P2 | c |
| S2 | F1 | P1 | c |
| S2 | F1 | P2 | d |
| S2 | F2 | P1 | d |
| S2 | F2 | P2 | e |
Elke veiligheidsfunctie krijgt een eigen PLr. Een machine heeft dus vaak meerdere niveaus naast elkaar, bijvoorbeeld PL d voor de deurvergrendeling en PL c voor een snelheidsbewaking bij instellen.
📊 Wat betekenen de niveaus PL a tot en met PL e?
Elk niveau is gekoppeld aan een bandbreedte van de gemiddelde frequentie van een gevaarlijke storing per uur. In de editie van 2023 heet die grootheid PFH; daarvoor heette zij PFHd. PL is daarmee een kernbegrip binnen functionele veiligheid. Via die faalfrequentie zijn PL en het Safety Integrity Level uit IEC 62061 met elkaar te vergelijken.
| PL | Gevaarlijke storingen per uur (PFH) | Vergelijkbaar SIL | Typische situatie volgens de risicograaf |
|---|---|---|---|
| a | ≥ 10⁻⁵ tot < 10⁻⁴ | geen | Licht letsel, zelden blootgesteld, goed te vermijden |
| b | ≥ 3 × 10⁻⁶ tot < 10⁻⁵ | SIL 1 | Licht letsel met vaker contact of slecht te vermijden |
| c | ≥ 10⁻⁶ tot < 3 × 10⁻⁶ | SIL 1 | Licht letsel, vaak blootgesteld; of ernstig letsel, zelden en te vermijden |
| d | ≥ 10⁻⁷ tot < 10⁻⁶ | SIL 2 | Ernstig letsel bij beperkte blootstelling of beperkte vermijdbaarheid |
| e | ≥ 10⁻⁸ tot < 10⁻⁷ | SIL 3 | Ernstig letsel, vaak blootgesteld en nauwelijks te vermijden |
In de praktijk geldt voor een noodstop meestal PL c als ondergrens en komen machines met kans op ernstig letsel vaak uit op PL d. Voor veiligheidsfuncties van robots is PL d gangbaar, en een type 4-lichtscherm haalt tot PL e.
🏗️ Waaruit wordt het behaalde PL berekend?
Het behaalde PL volgt uit vier grootheden, met een gebruiksduur van 20 jaar als rekenbasis:
- Categorie - de architectuur: één of twee kanalen, met of zonder test
- MTTFd - gemiddelde tijd tot een gevaarlijke storing per kanaal: laag 3–10 jaar, middel 10–30 jaar, hoog 30–100 jaar
- DCavg - gemiddelde diagnostische dekking: laag 60–90%, middel 90–99%, hoog vanaf 99%
- CCF - maatregelen tegen gemeenschappelijke fouten, zoals gescheiden voedingen en kabels; vanaf categorie 2 minimaal 65 punten
| Categorie | Structuur | DCavg | Maximaal PL |
|---|---|---|---|
| B | Eén kanaal, basisprincipes | geen | b |
| 1 | Eén kanaal met beproefde componenten | geen | c |
| 2 | Eén kanaal met periodieke test | laag tot middel | d |
| 3 | Twee kanalen, enkelvoudige fout leidt niet tot verlies van de functie | laag tot middel | e |
| 4 | Twee kanalen, een enkele fout wordt tijdig ontdekt en ook een opeenstapeling van fouten leidt niet tot verlies van de functie | hoog | e |
Hieruit volgt een correctie op een veelgehoorde vuistregel: foutdetectie is niet “verplicht vanaf PL c”. PL c is haalbaar met categorie 1 zonder diagnose, mits de componenten beproefd zijn en een hoge MTTFd hebben. Diagnose en redundantie worden pas nodig voor de hogere niveaus: PL d kan met één bewaakt kanaal in categorie 2, PL e vraagt om een tweekanaals structuur.
Voor slijtagedelen zoals contactoren en deurschakelaars berekent u de MTTFd uit de B10d-waarde van de fabrikant en het aantal schakelingen per jaar: MTTFd = B10d / (0,1 × n_op). Een deur die vaak opengaat, verlaagt de MTTFd van de schakelaar dus sterk. Het gratis programma SISTEMA van het Duitse instituut IFA rekent dit door; versie 3.x volgt de editie van 2023, versie 2.x nog die van 2015.
🧭 Hoe past u PL toe in een project?
Neem een verpakkingsmachine met een beschermdeur voor het wisselen van formaatdelen. Een bekneld hand kan blijvend letsel geven (S2), de operator opent de deur enkele keren per dienst (F1) en kan de beweging niet ontwijken (P2). De risicograaf geeft PLr d.
- Specificeer de functie - deur open betekent: aandrijvingen stoppen en de frequentieregelaar schakelt het koppel veilig af; herstart pas na een bewuste reset.
- Kies de componenten - twee deurschakelaars volgens ISO 14119, een veiligheidsrelais of safety-PLC als logica, en een gecertificeerde veilige uitschakeling in de aandrijving.
- Kies de architectuur - categorie 3 met middelhoge diagnose en terugmelding haalt hier PL d of hoger.
- Reken door - haal de PFH-waarden van de gecertificeerde delen uit de datasheets, bereken de MTTFd van de schakelaars en tel de subsystemen op.
- Valideer en documenteer - test elke functie, ook met gesimuleerde fouten, en leg het resultaat vast in het technisch dossier voor de CE-markering.
Dezelfde aanpak geldt overal in de industriële automatisering, ook voor besturingskasten met softstarters of motorstarters: niet het product bepaalt het PL, maar de keten waarin het is opgenomen.
🇪🇺 Welke rol speelt PL in Nederlandse en Europese regelgeving?
| Kader | Rol voor PL |
|---|---|
| Machinerichtlijn 2006/42/EG | EN ISO 13849-1 is geharmoniseerd; wie de norm volgt, krijgt een vermoeden van overeenstemming |
| Uitvoeringsbesluit (EU) 2024/1329 | Neemt de editie van 2023 op; de vermelding van de editie van 2015 vervalt op 15 mei 2027 |
| Machineverordening (EU) 2023/1230 | Vervangt de richtlijn op 20 januari 2027 en vraagt ook bescherming van veiligheidssoftware tegen corruptie |
| Warenwetbesluit machines | Nederlandse omzetting van de Machinerichtlijn; op machines voor beroepsmatig gebruik houdt de Nederlandse Arbeidsinspectie toezicht |
| Arbowet en Arbobesluit | De werkgever houdt arbeidsmiddelen veilig, neemt ze op in de RI&E en laat beveiligingen niet omzeilen |
ISO 13849 zelf is niet wettelijk verplicht. Een fabrikant mag ook IEC 62061 of een andere aantoonbaar gelijkwaardige methode gebruiken, maar moet dan zelf bewijzen dat de machine aan de essentiële eisen voldoet. Een eigenaar die een machine ingrijpend wijzigt, wordt onder de Machineverordening zelf fabrikant en moet het PL opnieuw aantonen.
🔐 Waarom is PL ook een OT-securityvraagstuk?
Een PL-berekening rekent met toevallige en systematische fouten, niet met een aanvaller. Een safety-PLC die PL e haalt, kan via een onbeveiligd engineeringstation of een open toegang op afstand toch worden aangepast. ISO 13849-1:2023 verwijst daarom voor security onder meer naar IEC TS 63074, dat IEC 62443 toepast op veiligheidsgerelateerde besturingen. Veilige protocollen zoals PROFIsafe beschermen tegen transmissiefouten, maar vervangen geen toegangsbeheer en wijzigingsbeheer. Maak het PL daarnaast onderdeel van de organisatie: periodieke controle in een audit, afstemming met Lock-out Tag-out en de werkvergunning bij onderhoud, en PBM alleen als laatste maatregel.
❓ Veelgestelde vragen
Is PL e altijd beter dan PL d?
PL e heeft een lagere kans op een gevaarlijke storing dan PL d, maar is niet altijd de betere keuze. Het Performance Level moet minstens gelijk zijn aan het vereiste PLr uit de risicobeoordeling. Een hoger niveau dan nodig maakt de besturing duurder en complexer zonder dat de machine aantoonbaar veiliger wordt voor het beoordeelde risico.
Hoe verhoudt Performance Level zich tot SIL?
Performance Level uit ISO 13849-1 en SIL uit IEC 62061 zijn gekoppeld aan dezelfde gevaarlijke faalfrequentie per uur. PL b en PL c komen overeen met SIL 1, PL d met SIL 2 en PL e met SIL 3, terwijl PL a geen SIL-equivalent heeft. Beide normen gelden ook voor programmeerbare en niet-elektrische techniek.
Kan een component een Performance Level hebben?
Fabrikanten geven voor veiligheidscomponenten vaak een maximaal haalbaar PL en een PFH-waarde op. Het Performance Level geldt echter voor de complete veiligheidsfunctie, inclusief sensor, logica, uitgang en bedrading. Een component met PL e garandeert dus geen PL e voor de functie als een ander deel zwakker is.
Is een Performance Level wettelijk verplicht?
Het bepalen van een Performance Level is niet letterlijk wettelijk verplicht, maar de Machinerichtlijn en de Machineverordening eisen wel dat besturingen veilig en betrouwbaar zijn. ISO 13849-1 is de geharmoniseerde manier om dat aan te tonen. Wie een andere methode kiest, draagt zelf de bewijslast.
Welke software berekent het Performance Level?
Een veelgebruikt programma voor het Performance Level is SISTEMA van het Duitse instituut IFA, dat gratis beschikbaar is, ook voor commercieel gebruik. Versie 3.x ondersteunt ISO 13849-1:2023 en bevat bibliotheken met componentwaarden van fabrikanten. Ook leveranciers van veiligheidscomponenten bieden eigen rekenhulpen aan.
Moet het Performance Level opnieuw worden bepaald na een wijziging?
Na een wijziging aan de veiligheidsfunctie, zoals een andere schakelaar, nieuwe software of een hogere cyclusfrequentie, moet het Performance Level opnieuw worden gecontroleerd. Een hogere schakelfrequentie verlaagt bijvoorbeeld de MTTFd van slijtagedelen. Bij een ingrijpende wijziging wordt de eigenaar onder de Machineverordening zelf fabrikant.
📌 Samengevat
Performance Level drukt in vijf niveaus van PL a tot en met PL e uit hoe betrouwbaar een veiligheidsfunctie is, en het behaalde PL moet altijd minstens gelijk zijn aan het PLr uit de risicobeoordeling. Het PL volgt uit categorie, MTTFd, diagnostische dekking en CCF van de complete keten; met de Machineverordening vanaf 20 januari 2027 hoort ook bescherming tegen manipulatie van de veiligheidssoftware erbij.