Performance Level nach EN ISO 13849-1 bestimmen
Der Performance Level ist der Punkt, an dem die Risikobeurteilung auf die Steuerungstechnik trifft. Der erforderliche PLr kommt aus der Bewertung des Risikos, der erreichte PL aus der Architektur der Sicherheitsfunktion. Beides muss zusammenpassen, und beides muss nachweisbar sein.
Kostenloses Erstgespräch, 30 Minuten. Stichtag Maschinenverordnung: noch 0 Tage bis zum 20. Januar 2027.
Der Performance Level ist der Punkt, an dem die Risikobeurteilung auf die Steuerungstechnik trifft. Der erforderliche PLr kommt aus der Bewertung des Risikos, der erreichte PL aus der Architektur der Sicherheitsfunktion. Beides muss zusammenpassen, und beides muss nachweisbar sein.
Quellen: EN ISO 13849-1: Sicherheitsbezogene Teile von Steuerungen, allgemeine Gestaltungsleitsätze; EN ISO 13849-2: Sicherheitsbezogene Teile von Steuerungen, Validierung; IEC 62061: Funktionale Sicherheit sicherheitsbezogener Steuerungssysteme; EN ISO 13855: Anordnung von Schutzeinrichtungen im Hinblick auf Annäherungsgeschwindigkeiten; EN 60204-1: Elektrische Ausrüstung von Maschinen, Stopp-Kategorien; Maschinenverordnung (EU) 2023/1230, Anhang III.Wo bei der PL-Bestimmung fachlich entschieden wird
Die Rechnung ist der einfache Teil. Die Eingangsgrößen sind es nicht.
Die Einstufung von S, F und P
Schadensschwere, Häufigkeit und Vermeidbarkeit werden geschätzt, nicht gemessen. Diese Einstufung bestimmt den PLr und muss begründet sein.
Die Abgrenzung der Sicherheitsfunktion
Wo beginnt und endet die Funktion? Sensor, Logik und Aktor gehören dazu. Bei verketteten Anlagen liegen sie oft in verschiedenen Gewerken.
CCF und Diagnosedeckungsgrad
Ausfälle infolge gemeinsamer Ursache und der erreichte Diagnosedeckungsgrad sind Bewertungen der Umsetzung, keine Katalogwerte.
Die Validierung
Der rechnerische Nachweis ersetzt nicht die Prüfung an der Maschine. Siehe Sicherheitsschnittstellen zwischen Anlagen.
Wofür wird der Performance Level überhaupt bestimmt?
Für jede einzelne Sicherheitsfunktion.
Nicht für die Maschine, nicht für ein Bauteil und nicht für die Steuerung als Ganzes.Eine Maschine hat typischerweise mehrere Sicherheitsfunktionen: Schutztürüberwachung, Not-Halt, Muting einer Lichtschranke, sicher begrenzte Geschwindigkeit im Einrichtbetrieb. Jede dieser Funktionen bekommt einen eigenen erforderlichen Performance Level, weil jede ein anderes Risiko abdeckt.
Das ist der häufigste Fehler in Projekten: Es wird pauschal "die Anlage ist PL d" behauptet. Das ist keine Aussage, die sich prüfen lässt. Prüfbar ist nur die Kette aus konkreter Sicherheitsfunktion, dazugehörigem PLr, umgesetzter Schaltung und daraus errechnetem PL.
Die Liste der Sicherheitsfunktionen entsteht deshalb nicht in der Steuerungsplanung, sondern fällt bereits in der Risikobeurteilung an: Immer dann, wenn eine Gefährdung durch eine steuerungstechnische Maßnahme gemindert wird, entsteht eine Sicherheitsfunktion.
Was gehört in die Beschreibung einer Sicherheitsfunktion?
Auslösendes Ereignis
Was startet die Funktion? Öffnen der Schutztür, Betätigen des Not-Halt-Geräts, Unterbrechen des Lichtvorhangs, Überschreiten einer Geschwindigkeit.
Sicherer Zustand
Was ist das Ziel? Stillstand der gefahrbringenden Bewegung, drucklos schalten, Energiezufuhr trennen, Geschwindigkeit auf einen sicheren Wert begrenzen.
Stopp-Kategorie
Stopp 0, 1 oder 2 nach EN 60204-1. Die Wahl entscheidet darüber, ob die Energie sofort getrennt wird oder ob gesteuert stillgesetzt und danach getrennt wird.
Reaktionszeit und Nachlauf
Gesamtzeit von der Auslösung bis zum sicheren Zustand. Sie geht direkt in die Berechnung der Sicherheitsabstände nach EN ISO 13855 ein.
Betriebsarten
In welchen Betriebsarten die Funktion wirkt und in welchen sie bewusst überbrückt wird, etwa im Einrichtbetrieb mit Zustimmtaster.
Verhalten bei Wiederkehr der Energie
Kein selbsttätiger Wiederanlauf. Festlegen, ob quittiert werden muss und wo die Quittierstelle liegt.
Erforderlicher PLr
Ergebnis der Risikobeurteilung für genau diese Funktion, dokumentiert mit der zugrunde liegenden S-, F- und P-Einstufung.
Diese Beschreibung ist kein Formalismus: Ohne sie lässt sich weder der PLr begründen noch die Umsetzung prüfen. Sie gehört in die technischen Unterlagen und ist die Grundlage für die spätere Validierung.
Wie komme ich von der Gefährdung zum erforderlichen PLr?
Welcher PLr ergibt sich aus welcher Kombination?
| Schwere S | Häufigkeit F | Vermeidbarkeit P | erforderlicher PLr |
|---|---|---|---|
| S1 leicht, reversibel | F1 selten | P1 möglich | a |
| S1 leicht, reversibel | F1 selten | P2 kaum möglich | b |
| S1 leicht, reversibel | F2 häufig | P1 möglich | b |
| S1 leicht, reversibel | F2 häufig | P2 kaum möglich | c |
| S2 schwer, irreversibel | F1 selten | P1 möglich | c |
| S2 schwer, irreversibel | F1 selten | P2 kaum möglich | d |
| S2 schwer, irreversibel | F2 häufig | P1 möglich | d |
| S2 schwer, irreversibel | F2 häufig | P2 kaum möglich | e |
Der Risikograf ist ein Einstufungswerkzeug, kein Rechenverfahren. Grenzfälle werden nicht weggerundet, sondern begründet: Wer sich zwischen F1 und F2 entscheidet, hält den Grund fest, sonst ist die Einstufung im Streitfall nicht haltbar.
Wie entsteht aus Bauteilen der erreichte PL?
Eine Sicherheitsfunktion läuft immer über eine Kette: Sensor erfassen, Logik auswerten, Aktor abschalten. Jedes dieser drei Glieder ist ein Teilsystem mit eigener Ausfallwahrscheinlichkeit je Stunde, der PFHd.
Die PFHd-Werte der Teilsysteme werden addiert. Die Summe entscheidet, welcher Performance Level erreicht wird. Daraus folgt eine Regel, die in der Praxis oft übersehen wird: Drei Teilsysteme mit jeweils PL d ergeben in Summe nicht zwangsläufig PL d, weil sich die Ausfallwahrscheinlichkeiten addieren. Der Abstand zur nächsten Grenze muss also geprüft werden.
Für jedes Teilsystem gibt es zwei Wege. Entweder liefert der Hersteller einen zertifizierten Wert mit PFHd und Kategorie im Datenblatt, dann wird dieser Wert übernommen. Oder das Teilsystem wird selbst aufgebaut, dann sind Kategorie, MTTFd, Diagnosedeckungsgrad DC und die Maßnahmen gegen Ausfälle gemeinsamer Ursache CCF zu bestimmen und daraus der PFHd abzuleiten.
Die Kategorie ist dabei keine Rechengröße, sondern eine Strukturanforderung an die Architektur: einkanalig, einkanalig mit Test, zweikanalig, zweikanalig mit Überwachung. Kategorie und PFHd zusammen ergeben den erreichten PL.
Was wird für den Nachweis dokumentiert?
- Liste aller Sicherheitsfunktionen mit Beschreibung, Betriebsart und PLr je Funktion.
- Begründung der Einstufung von S, F und P, oder Verweis auf die C-Norm, die den PLr vorgibt.
- Sicherheitsschaltplan oder Blockschaltbild der Kette Sensor, Logik, Aktor je Funktion.
- Datenblätter der verwendeten Komponenten mit PFHd, Kategorie und, wo relevant, B10d-Wert und angenommener Schaltspielzahl.
- Berechnung des erreichten PL je Funktion, üblicherweise als Ausdruck aus dem Berechnungswerkzeug.
- Nachweis der Maßnahmen gegen Ausfälle gemeinsamer Ursache bei mehrkanaligen Architekturen.
- Validierungsbericht nach EN ISO 13849-2: Prüfung der Umsetzung, Funktionstests, Fehlersimulation und Ergebnis.
- Angaben zur Gebrauchsdauer und zu erforderlichen Austauschintervallen, die in die Betriebsanleitung übernommen werden.
Die Berechnung allein genügt nicht. EN ISO 13849-2 verlangt eine Validierung der tatsächlichen Umsetzung, also den Abgleich zwischen Papier und Maschine. Ohne dokumentierte Validierung ist der Nachweis unvollständig.
Welche Fehler tauchen in Projekten immer wieder auf?
- Der PL wird pauschal für die Anlage angegeben statt je Sicherheitsfunktion.
- Der Aktor wird vergessen: Schütz oder Ventil zählen zur Kette und liefern oft den größten PFHd-Beitrag.
- Beim B10d-Wert wird die tatsächliche Schaltspielzahl nicht berücksichtigt, dadurch fällt die rechnerische Lebensdauer zu optimistisch aus.
- Der PLr wird an der vorhandenen Hardware ausgerichtet statt am Risiko: Erst wird verbaut, dann passend gerechnet.
- Zweikanaligkeit wird angenommen, ohne dass Maßnahmen gegen Ausfälle gemeinsamer Ursache umgesetzt oder belegt sind.
- Die Reaktionszeit fließt nicht in die Sicherheitsabstände ein, der Lichtvorhang steht dadurch zu nah am Gefahrenbereich.
- Die Validierung nach EN ISO 13849-2 fehlt, es liegt nur ein Berechnungsausdruck vor.
- Nach einem Umbau oder Software-Update wird die Berechnung nicht nachgeführt.
Die Dokumente selbst erstellen
Für die Beurteilung in diesem Beitrag brauchen Sie Erfahrung. Für das Erstellen der Unterlagen danach brauchen Sie vor allem ein Werkzeug, das die Normvorgaben kennt. Dafür gibt es Kaidoc.app: geführt, normbasiert und über Ihre Maschinen hinweg wiederverwendbar.
Dort finden Sie den vollständigen Weg vom Risikograph über die Kategorien bis zur Berechnung, mit Tabellen und Beispielen.
Häufige Fragen zu Performance Level nach EN ISO 13849-1
Was ist der Unterschied zwischen PL und SIL?
Muss ich rechnen, wenn der Hersteller den PL des Bauteils angibt?
Was bedeutet PFHd?
Reicht die Angabe "PL d, Kategorie 3" in der Dokumentation?
Ändert sich durch die Maschinenverordnung etwas an der PL-Bestimmung?
Quellen und Normbezug
- EN ISO 13849-1: Sicherheitsbezogene Teile von Steuerungen, allgemeine Gestaltungsleitsätze
- EN ISO 13849-2: Sicherheitsbezogene Teile von Steuerungen, Validierung
- IEC 62061: Funktionale Sicherheit sicherheitsbezogener Steuerungssysteme
- EN ISO 13855: Anordnung von Schutzeinrichtungen im Hinblick auf Annäherungsgeschwindigkeiten
- EN 60204-1: Elektrische Ausrüstung von Maschinen, Stopp-Kategorien
- Maschinenverordnung (EU) 2023/1230, Anhang III
Normausgabestände und harmonisierte Fassungen ändern sich laufend. Prüfen Sie Normnummern und Ausgabestände vor der Anwendung gegen den aktuellen Stand im EU-Amtsblatt. Dieser Beitrag ist eine fachliche Einordnung und ersetzt keine Rechtsberatung.
Passende Themen bei Knutec
Sicherheitsarchitektur bewerten lassen
Wir bewerten Sicherheitsfunktionen nach EN ISO 13849-1, prüfen den Nachweis über Gewerkegrenzen hinweg und dokumentieren das Ergebnis für die technischen Unterlagen.
Antwort in der Regel innerhalb eines Werktags. Unverbindlich.