Een veiligheidshek, lichtscherm of noodstop is pas effectief als de complete veiligheidsfunctie betrouwbaar reageert wanneer dat nodig is. Maar wat betekent performance level precies in die beoordeling? Het performance level, vaak afgekort als PL, geeft aan hoe betrouwbaar een veiligheidsgerelateerd deel van een besturing een gevaarlijke situatie kan voorkomen of stoppen. Daarmee is het een belangrijk begrip bij het ontwerpen, aanpassen en valideren van machineveiligheid.
Wat betekent performance level?
Performance level is een classificatie uit EN ISO 13849-1. De norm wordt gebruikt om veiligheidsfuncties van machines te ontwerpen en te beoordelen. Denk aan een veiligheidsfunctie waarbij het openen van een deur met veiligheidsschakelaar een gevaarlijke machinebeweging stopt en herstart voorkomt zolang de deur openstaat.
Het behaalde performance level loopt van PL a tot en met PL e. PL a biedt de laagste betrouwbaarheid, PL e de hoogste. Welk niveau nodig is, hangt niet af van de machine als geheel, maar van de specifieke veiligheidsfunctie en het risico dat deze moet beheersen.
Een veiligheidsfunctie bestaat meestal uit meer dan één onderdeel: een sensor of schakelaar detecteert een situatie, een veiligheidsrelais of veiligheids-PLC verwerkt het signaal en een contactor, frequentieregelaar of ventiel brengt de machine naar een veilige toestand. Het performance level gaat over de betrouwbaarheid van die volledige keten. Een goed gekozen lichtscherm alleen is dus niet voldoende als de bekabeling, logica of uitschakeling niet hetzelfde veiligheidsniveau ondersteunt.
Het verschil tussen PLr en behaald PL
In projecten ontstaan geregeld misverstanden doordat PLr en PL door elkaar worden gebruikt. PLr staat voor required performance level: het vereiste niveau. Dit volgt uit de risicobeoordeling. PL is het niveau dat de ontworpen veiligheidsfunctie daadwerkelijk behaalt.
De risicobeoordeling kijkt onder meer naar de ernst van mogelijk letsel, hoe vaak iemand aan het gevaar wordt blootgesteld en of het gevaar kan worden vermeden. Een toegankelijke robotcel met hoge krachten en beperkte uitwijkmogelijkheid vraagt doorgaans om een hoger PLr dan een minder ernstig risico bij een beperkt toegankelijke machinefunctie.
De ontwerpregel is helder: het behaalde PL moet minimaal gelijk zijn aan het vereiste PLr. Is PLr d vastgesteld, dan is een oplossing met PL c niet afdoende, ook niet wanneer alle gebruikte componenten als veiligheidscomponent zijn geleverd. Andersom kan een hoger niveau technisch mogelijk zijn, maar onnodige complexiteit en kosten veroorzaken. De juiste oplossing is daarom risicogestuurd, niet componentgestuurd.
Welke factoren bepalen het performance level?
EN ISO 13849-1 beoordeelt niet alleen het type veiligheidssensor of relais. Het uiteindelijke performance level wordt bepaald door de opbouw van de veiligheidsfunctie en de betrouwbaarheid van alle onderdelen daarin. Vier factoren zijn daarbij bepalend.
Categorie van de besturing
De categorie beschrijft de architectuur van de veiligheidsfunctie. Bij eenvoudige structuren kan één storing ertoe leiden dat de veiligheidsfunctie verloren gaat. Bij hogere categorieën is er bijvoorbeeld redundantie, bewaking of een combinatie daarvan. Categorie 3 en 4 worden veel toegepast wanneer een enkele fout niet mag leiden tot verlies van de veiligheidsfunctie.
Redundantie betekent echter niet automatisch dat een functie veilig genoeg is. Twee contactoren die een motor uitschakelen leveren alleen voordeel op als foutdetectie, terugkoppeling en de gekozen schakeling correct zijn uitgevoerd. Ook gemeenschappelijke oorzaken, zoals een gedeelde voeding, verkeerde bedrading of gelijke omgevingsinvloeden, moeten worden meegenomen.
MTTFd van componenten
MTTFd staat voor Mean Time To Dangerous Failure. Dit is een maat voor de verwachte tijd tot een gevaarlijke storing van een component. Fabrikanten vermelden deze waarde vaak in technische documentatie, samen met toepassingsvoorwaarden zoals maximaal aantal schakelingen, belasting en levensduur.
Een deurvergrendeling die veel vaker wordt bediend dan voorzien, of een contactor die zwaarder wordt belast dan toegestaan, kan in de praktijk een lagere betrouwbaarheid opleveren dan in de berekening is aangenomen. De technische gegevens moeten daarom passen bij de werkelijke machinecyclus en gebruiksomstandigheden.
Diagnostische dekking
De diagnostische dekking, DC of DCavg, geeft aan in welke mate gevaarlijke fouten worden ontdekt. Voorbeelden zijn terugkoppeling van contactoren, kortsluitdetectie in veiligheidsingangen en plausibiliteitscontrole van twee kanalen. Hoe beter relevante fouten worden gedetecteerd, hoe groter de kans dat een storing wordt opgemerkt voordat een gevaarlijke situatie ontstaat.
Een diagnose is alleen waardevol wanneer de fout ook leidt tot een passende reactie. Een storingsmelding op een scherm zonder veilige stop of onderhoudsprocedure lost het onderliggende veiligheidsprobleem niet op.
Common cause failures
Bij dubbele kanalen moet ook worden beoordeeld of één oorzaak beide kanalen kan uitschakelen. Dit worden common cause failures genoemd. Denk aan beschadiging van twee kabels in dezelfde kabelgoot, vervuiling van beide sensoren of een fout in een gedeeld voedingscircuit. Scheiding, geschikte bekabeling, beproefde componenten en een doordachte montage beperken dit soort risico’s.
Performance level berekenen en valideren
Een PL-berekening is geen administratieve stap aan het einde van een project. De berekening helpt juist om vroegtijdig te controleren of de gekozen veiligheidsarchitectuur past bij het risico. In de praktijk worden veiligheidsfuncties vaak gemodelleerd met rekensoftware, zoals SISTEMA, op basis van gevalideerde gegevens van componentfabrikanten.
Een berekening is alleen betrouwbaar wanneer de invoer klopt. Dat vraagt om een duidelijke beschrijving van elke veiligheidsfunctie, correcte componentdata, een realistische inschatting van schakelfrequenties en een volledig elektrisch en pneumatisch ontwerp. Ook softwareparameters, resetfuncties, bedrijfsmodi en eventuele muting- of bypassfuncties horen bij de beoordeling.
Na het ontwerp volgt validatie volgens EN ISO 13849-2. Daarbij wordt niet alleen gecontroleerd of de documentatie een voldoende PL laat zien, maar ook of de installatie op de machine werkt zoals bedoeld. Test bijvoorbeeld of een geopende afscherming de juiste beweging stopt, of herstart wordt voorkomen, of een fout in een kanaal wordt gedetecteerd en of de stoptijd binnen de gehanteerde veiligheidsafstand blijft.
Voor veiligheidsvoorzieningen zoals lichtschermen is die laatste controle essentieel. Een correct PL voorkomt niet dat iemand een gevarenzone bereikt voordat de machine stilstaat. Veiligheidsafstand, stoptijd, bereikbaarheid en de fysieke plaatsing van afschermingen moeten altijd samen worden beoordeeld.
Veelvoorkomende fouten in de praktijk
Een veelgemaakte fout is het overnemen van het PL van een afzonderlijk product. Een veiligheidsschakelaar met een hoge veiligheidsclassificatie maakt de totale functie niet automatisch gelijkwaardig. Het laagste niveau of een fout in de samenhang kan bepalend zijn.
Ook worden machineaanpassingen soms onderschat. Een extra transportband, gewijzigde PLC-logica, andere aandrijving of aangepaste productinvoer kan invloed hebben op de bestaande veiligheidsfuncties. Als de stoptijd toeneemt, kan bijvoorbeeld de veiligheidsafstand van een lichtscherm niet meer voldoende zijn. Bij wijzigingen is het verstandig om de risicobeoordeling en validatie gericht te herzien.
Ten slotte gaat het regelmatig mis bij de overdracht naar de dagelijkse operatie. Een veiligheidsfunctie kan technisch kloppen, maar onveilig worden gebruikt door overbruggingen, slecht bereikbare resets of onduidelijke storingsprocedures. Bedieners en onderhoudsmedewerkers moeten weten wat de functie doet, wanneer deze mag worden gereset en welke afwijkingen direct aandacht vragen.
Van risicobeoordeling naar werkbare veiligheidsfunctie
Voor productie- en logistieke omgevingen is performance level vooral een hulpmiddel om aantoonbaar de juiste veiligheidsmaatregelen te kiezen. Een praktische aanpak start met het vastleggen van gevaren en veiligheidsfuncties. Daarna wordt per functie het PLr bepaald, de technische oplossing ontworpen en het behaalde PL onderbouwd. De installatie wordt vervolgens getest, gedocumenteerd en opgenomen in het onderhouds- en inspectieproces.
Promasafe kan daarbij ondersteunen met risicobeoordeling, safety engineering, machineafscherming, veiligheidssensoren en validatie van veiligheidsfuncties. De meerwaarde zit niet alleen in een berekening, maar in een oplossing die aansluit op de machine, het werkproces en het noodzakelijke onderhoud.
Wie performance level als onderdeel van het totale veiligheidsontwerp behandelt, voorkomt dat veiligheid pas ter sprake komt wanneer een machine al draait. Dat geeft een beter onderbouwde installatie, minder improvisatie op de werkvloer en meer zekerheid dat de veiligheidsfunctie ook onder dagelijkse omstandigheden doet wat zij moet doen.
