Wie bestimme ich den Performance Level (PL) einer Sicherheitsfunktion nach EN ISO 13849-1?
Der Performance Level wird nie für die Maschine als Ganzes bestimmt, sondern immer je Sicherheitsfunktion. Aus der Risikobeurteilung ergibt sich über den Risikografen aus Schwere (S), Häufigkeit (F) und Vermeidbarkeit (P) der erforderliche PLr von a bis e. Anschließend wird die technische Umsetzung betrachtet: Sensor, Logik und Aktor bilden zusammen die Sicherheitskette, deren Ausfallwahrscheinlichkeiten (PFHd) sich addieren. Der erreichte PL muss mindestens dem PLr entsprechen; erst die Validierung nach EN ISO 13849-2 schließt den Nachweis ab.
- Wofür wird der Performance Level überhaupt bestimmt?
- Was gehört in die Beschreibung einer Sicherheitsfunktion?
- Wie komme ich von der Gefährdung zum erforderlichen PLr?
- Welcher PLr ergibt sich aus welcher Kombination?
- Wie entsteht aus Bauteilen der erreichte PL?
- Was wird für den Nachweis dokumentiert?
- Welche Fehler tauchen in Projekten immer wieder auf?
Wofür wird der Performance Level überhaupt bestimmt?
Eine Maschine hat typischerweise mehrere Sicherheitsfunktionen: Schutztürüberwachung, Not-Halt, Muting einer Lichtschranke, sicher begrenzte Geschwindigkeit im Einrichtbetrieb. Jede dieser Funktionen bekommt einen eigenen erforderlichen Performance Level, weil jede ein anderes Risiko abdeckt.
Das ist der häufigste Fehler in Projekten: Es wird pauschal "die Anlage ist PL d" behauptet. Das ist keine Aussage, die sich prüfen lässt. Prüfbar ist nur die Kette aus konkreter Sicherheitsfunktion, dazugehörigem PLr, umgesetzter Schaltung und daraus errechnetem PL.
Die Liste der Sicherheitsfunktionen entsteht deshalb nicht in der Steuerungsplanung, sondern fällt bereits in der Risikobeurteilung an: Immer dann, wenn eine Gefährdung durch eine steuerungstechnische Maßnahme gemindert wird, entsteht eine Sicherheitsfunktion.
Was gehört in die Beschreibung einer Sicherheitsfunktion?
Diese Beschreibung ist kein Formalismus: Ohne sie lässt sich weder der PLr begründen noch die Umsetzung prüfen. Sie gehört in die technischen Unterlagen und ist die Grundlage für die spätere Validierung.
Wie komme ich von der Gefährdung zum erforderlichen PLr?
Welcher PLr ergibt sich aus welcher Kombination?
| Schwere S | Häufigkeit F | Vermeidbarkeit P | erforderlicher PLr |
|---|---|---|---|
| S1 leicht, reversibel | F1 selten | P1 möglich | a |
| S1 leicht, reversibel | F1 selten | P2 kaum möglich | b |
| S1 leicht, reversibel | F2 häufig | P1 möglich | b |
| S1 leicht, reversibel | F2 häufig | P2 kaum möglich | c |
| S2 schwer, irreversibel | F1 selten | P1 möglich | c |
| S2 schwer, irreversibel | F1 selten | P2 kaum möglich | d |
| S2 schwer, irreversibel | F2 häufig | P1 möglich | d |
| S2 schwer, irreversibel | F2 häufig | P2 kaum möglich | e |
Der Risikograf ist ein Einstufungswerkzeug, kein Rechenverfahren. Grenzfälle werden nicht weggerundet, sondern begründet: Wer sich zwischen F1 und F2 entscheidet, hält den Grund fest, sonst ist die Einstufung im Streitfall nicht haltbar.
Wie entsteht aus Bauteilen der erreichte PL?
Eine Sicherheitsfunktion läuft immer über eine Kette: Sensor erfassen, Logik auswerten, Aktor abschalten. Jedes dieser drei Glieder ist ein Teilsystem mit eigener Ausfallwahrscheinlichkeit je Stunde, der PFHd.
Die PFHd-Werte der Teilsysteme werden addiert. Die Summe entscheidet, welcher Performance Level erreicht wird. Daraus folgt eine Regel, die in der Praxis oft übersehen wird: Drei Teilsysteme mit jeweils PL d ergeben in Summe nicht zwangsläufig PL d, weil sich die Ausfallwahrscheinlichkeiten addieren. Der Abstand zur nächsten Grenze muss also geprüft werden.
Für jedes Teilsystem gibt es zwei Wege. Entweder liefert der Hersteller einen zertifizierten Wert mit PFHd und Kategorie im Datenblatt, dann wird dieser Wert übernommen. Oder das Teilsystem wird selbst aufgebaut, dann sind Kategorie, MTTFd, Diagnosedeckungsgrad DC und die Maßnahmen gegen Ausfälle gemeinsamer Ursache CCF zu bestimmen und daraus der PFHd abzuleiten.
Die Kategorie ist dabei keine Rechengröße, sondern eine Strukturanforderung an die Architektur: einkanalig, einkanalig mit Test, zweikanalig, zweikanalig mit Überwachung. Kategorie und PFHd zusammen ergeben den erreichten PL.
Was wird für den Nachweis dokumentiert?
- Liste aller Sicherheitsfunktionen mit Beschreibung, Betriebsart und PLr je Funktion.
- Begründung der Einstufung von S, F und P, oder Verweis auf die C-Norm, die den PLr vorgibt.
- Sicherheitsschaltplan oder Blockschaltbild der Kette Sensor, Logik, Aktor je Funktion.
- Datenblätter der verwendeten Komponenten mit PFHd, Kategorie und, wo relevant, B10d-Wert und angenommener Schaltspielzahl.
- Berechnung des erreichten PL je Funktion, üblicherweise als Ausdruck aus dem Berechnungswerkzeug.
- Nachweis der Maßnahmen gegen Ausfälle gemeinsamer Ursache bei mehrkanaligen Architekturen.
- Validierungsbericht nach EN ISO 13849-2: Prüfung der Umsetzung, Funktionstests, Fehlersimulation und Ergebnis.
- Angaben zur Gebrauchsdauer und zu erforderlichen Austauschintervallen, die in die Betriebsanleitung übernommen werden.
Die Berechnung allein genügt nicht. EN ISO 13849-2 verlangt eine Validierung der tatsächlichen Umsetzung, also den Abgleich zwischen Papier und Maschine. Ohne dokumentierte Validierung ist der Nachweis unvollständig.
Welche Fehler tauchen in Projekten immer wieder auf?
- Der PL wird pauschal für die Anlage angegeben statt je Sicherheitsfunktion.
- Der Aktor wird vergessen: Schütz oder Ventil zählen zur Kette und liefern oft den größten PFHd-Beitrag.
- Beim B10d-Wert wird die tatsächliche Schaltspielzahl nicht berücksichtigt, dadurch fällt die rechnerische Lebensdauer zu optimistisch aus.
- Der PLr wird an der vorhandenen Hardware ausgerichtet statt am Risiko: Erst wird verbaut, dann passend gerechnet.
- Zweikanaligkeit wird angenommen, ohne dass Maßnahmen gegen Ausfälle gemeinsamer Ursache umgesetzt oder belegt sind.
- Die Reaktionszeit fließt nicht in die Sicherheitsabstände ein, der Lichtvorhang steht dadurch zu nah am Gefahrenbereich.
- Die Validierung nach EN ISO 13849-2 fehlt, es liegt nur ein Berechnungsausdruck vor.
- Nach einem Umbau oder Software-Update wird die Berechnung nicht nachgeführt.
Quellen und Normbezug
- EN ISO 13849-1: Sicherheitsbezogene Teile von Steuerungen, allgemeine Gestaltungsleitsätze
- EN ISO 13849-2: Sicherheitsbezogene Teile von Steuerungen, Validierung
- IEC 62061: Funktionale Sicherheit sicherheitsbezogener Steuerungssysteme
- EN ISO 13855: Anordnung von Schutzeinrichtungen im Hinblick auf Annäherungsgeschwindigkeiten
- EN 60204-1: Elektrische Ausrüstung von Maschinen, Stopp-Kategorien
- Maschinenverordnung (EU) 2023/1230, Anhang III
Normausgabestände und harmonisierte Fassungen ändern sich laufend. Prüfen Sie Normnummern und Ausgabestände vor der Anwendung gegen den aktuellen Stand im EU-Amtsblatt. Dieser Beitrag ist eine fachliche Einordnung und ersetzt keine Rechtsberatung.
Häufige Fragen
Was ist der Unterschied zwischen PL und SIL?
Beide beschreiben die Zuverlässigkeit sicherheitsbezogener Steuerungsteile, stammen aber aus unterschiedlichen Normen: PL a bis e aus EN ISO 13849-1, SIL 1 bis 3 aus IEC 62061. Für Maschinensteuerungen sind beide Wege zulässig; die Werte lassen sich über die zugrunde liegende Ausfallwahrscheinlichkeit einander zuordnen. Entscheidend ist, dass innerhalb eines Projekts konsistent gearbeitet und die gewählte Methode dokumentiert wird.
Muss ich rechnen, wenn der Hersteller den PL des Bauteils angibt?
Ja. Die Herstellerangabe gilt für das einzelne Teilsystem, nicht für die gesamte Sicherheitsfunktion. Erst die Summe der PFHd-Werte von Sensor, Logik und Aktor ergibt den erreichten PL der Funktion. Ein zertifizierter Wert erspart die Berechnung des Teilsystems, nicht die der Kette.
Was bedeutet PFHd?
PFHd steht für die mittlere Wahrscheinlichkeit eines gefahrbringenden Ausfalls je Stunde. Der Wert ist die gemeinsame Rechengröße aller Teilsysteme einer Sicherheitsfunktion und ordnet das Ergebnis einem Performance Level zu.
Reicht die Angabe "PL d, Kategorie 3" in der Dokumentation?
Als Ergebniszeile ja, als Nachweis nein. Nachvollziehbar wird das erst mit der Beschreibung der Sicherheitsfunktion, der Begründung des PLr, dem Schaltbild, den Komponentendaten, der Berechnung und dem Validierungsbericht.
Ändert sich durch die Maschinenverordnung etwas an der PL-Bestimmung?
Die Methodik der Norm bleibt bestehen. Die Maschinenverordnung verlangt in Anhang III sichere Steuerungen und stellt zusätzliche Anforderungen an Software und Cybersecurity. Prüfen Sie vor der Anwendung den Ausgabestand der Norm und den aktuellen Listungsstand harmonisierter Normen im EU-Amtsblatt.
Begleitet seit Jahren CE-Projekte im Maschinen-, Anlagen- und Sondermaschinenbau. Daraus ist Kaidoc.app entstanden, eine Software für normorientierte CE-Dokumentation. Über Knutec.de gibt es dieselbe Arbeit als persönliche Dienstleistung.
Schreiben Sie mir kurz, worum es in Ihrem Projekt geht. Eine erste Einschätzung bekommen Sie kostenlos und unverbindlich zurück.
Dieser Beitrag wurde KI-gestützt erstellt und vor der Veröffentlichung fachlich geprüft. Die redaktionelle Verantwortung im Sinne von Art. 50 Abs. 4 der KI-Verordnung (EU) 2024/1689 liegt bei Heinrich Knutas.
Keine Kreditkarte nötig. Ein komplettes Projekt zum Ausprobieren.
Sicherheitsarchitekturen nach DIN EN ISO 13849 bewertet Knutec im Rahmen der CE-Koordination.
Zur Dienstleistung bei Knutec