Een veiligheidsrelais, veiligheids-PLC of vergrendelschakelaar kiezen op basis van alleen een datasheet is niet genoeg. Wie een PL-berekening voor machinebesturing wil begrijpen, moet eerst weten welke veiligheidsfunctie nodig is, welk risico ermee wordt beperkt en hoe alle onderdelen samen presteren. Pas dan ontstaat een onderbouwde keuze die in de praktijk werkt én aantoonbaar is.
Een PL-berekening is dus geen administratieve exercitie aan het einde van een project. Het is een technisch ontwerp- en verificatiemiddel voor veiligheidsfuncties volgens EN ISO 13849-1. Voor productiebedrijven en machinebouwers is dat relevant bij nieuwbouw, modificaties, CE-trajecten en het verbeteren van bestaande machines.
Wat zegt Performance Level over uw machinebesturing?
Performance Level, afgekort PL, geeft de betrouwbaarheid aan waarmee een veiligheidsgerelateerde besturing een gevaarlijke situatie moet voorkomen of beperken. De schaal loopt van PL a tot en met PL e. PL a staat voor een beperkte risicoreductie; PL e is bedoeld voor veiligheidsfuncties waarbij een zeer hoge betrouwbaarheid nodig is.
De norm maakt onderscheid tussen twee begrippen. De vereiste Performance Level, PLr, volgt uit de risicobeoordeling. De behaalde Performance Level, PL, volgt uit het ontwerp van de veiligheidsfunctie. De behaalde PL moet minimaal gelijk zijn aan de PLr. Is dat niet het geval, dan is de veiligheidsfunctie niet voldoende onderbouwd, ook niet wanneer de machine tijdens een eenvoudige functietest correct lijkt te stoppen.
Een veiligheidsfunctie beschrijft steeds een concrete keten: een invoer signaleert een gevaarlijke situatie, de logica verwerkt het signaal en een uitvoer brengt de machine naar een veilige toestand. Denk aan een deurvergrendeling die bij opening een pers stopt en herstart verhindert, of aan een lichtscherm dat de gevaarlijke beweging van een palletiseercel onderbreekt.
PL-berekening voor machinebesturing begint bij het risico
De vereiste PL bepaalt u niet door een standaardwaarde aan elk hek, elke noodstop of iedere sensor toe te kennen. U bepaalt deze per veiligheidsfunctie op basis van de risicoanalyse. EN ISO 13849-1 gebruikt daarvoor een risicograaf met drie vragen: hoe ernstig is mogelijk letsel, hoe vaak of hoe lang is iemand aan het gevaar blootgesteld, en kan die persoon het gevaar vermijden of de schade beperken?
Bij een toegankelijke draaiende as met beperkt letselrisico kan de uitkomst anders zijn dan bij een pers, robotcel of snijmachine met kans op ernstig of onomkeerbaar letsel. Ook de werkelijke toegangssituatie telt mee. Een afscherming die alleen tijdens gepland onderhoud wordt geopend, vraagt om een andere beoordeling dan een deur die operators per shift meerdere keren openen voor productwissels of storingsherstel.
Hier zit een belangrijk praktisch punt. Een hoge PLr compenseert geen gebrekkige afscherming, onveilige werkmethode of te lange nalooptijd. Veiligheid begint met intrinsiek veilige oplossingen en fysieke risicoreductie. De besturing is vervolgens een deel van het totale veiligheidsconcept.
Beschrijf de veilige toestand concreet
De berekening is alleen bruikbaar als de veiligheidsfunctie scherp is omschreven. ‘Machine stopt bij geopende deur’ is te algemeen. Leg vast welke beweging stopt, binnen welke tijd, welke energiebronnen moeten worden weggenomen, of stilstand moet worden bewaakt en wanneer herstart weer is toegestaan.
Bij een machine met een lange uitlooptijd is alleen het afschakelen van een motorcontact niet per definitie voldoende. De deur mag pas ontgrendelen wanneer de gevaarlijke beweging daadwerkelijk tot stilstand is gekomen. In dat geval kunnen stilstandbewaking, een vergrendelende schakelaar en een tijdig werkende rem onderdeel zijn van dezelfde veiligheidsfunctie.
De onderdelen van een PL-berekening
Voor de behaalde PL worden meerdere eigenschappen beoordeeld. De norm kijkt niet alleen naar de betrouwbaarheid van individuele componenten, maar ook naar de opbouw van de complete veiligheidsketen.
Categorie: de architectuur van de veiligheidsfunctie
De categorie beschrijft hoe de veiligheidsfunctie is opgebouwd. Bij een eenvoudige enkelkanaals opbouw kan één fout direct tot verlies van de veiligheidsfunctie leiden. Bij hogere categorieën worden redundantie en bewaking toegevoegd, zodat een enkele fout niet direct gevaarlijk wordt of op tijd wordt gedetecteerd.
Categorie B, 1 en 2 hebben andere uitgangspunten dan categorie 3 en 4. Categorie 3 wordt in de praktijk vaak gebruikt voor functies waarbij een enkel defect niet mag leiden tot verlies van veiligheid. Categorie 4 vraagt daarnaast om een zeer hoge foutdetectie en behoud van de veiligheidsfunctie bij fouten. Welke categorie nodig en haalbaar is, hangt af van de PLr, de toepassing en de gekozen techniek.
Twee kanalen aansluiten is overigens niet automatisch categorie 3 of 4. Ook de foutdetectie, bedrading, terugkoppeling van contactoren, diagnose en gedrag bij kortsluiting moeten passen bij de beoogde categorie.
MTTFd: betrouwbaarheid van componenten
MTTFd staat voor Mean Time To Dangerous Failure. Dit is een maat voor de tijd tot een gevaarlijk defect van een onderdeel. Fabrikanten leveren deze gegevens vaak voor veiligheidssensoren, relais, contactoren en veiligheids-PLC’s. Voor mechanische componenten kan de waarde worden afgeleid uit onder meer de B10d-waarde en het verwachte aantal schakelingen per jaar.
Juist dat aantal schakelingen wordt geregeld onderschat. Een deur die in theorie tien keer per dag open gaat, kan in een storingsgevoelige productieomgeving vijftig keer per shift worden bediend. Daardoor neemt de berekende levensduur van het schakelcontact af. Gebruik daarom realistische cyclustijden, ploegendiensten en verwachte gebruiksfrequenties.
DCavg: hoeveel fouten worden ontdekt?
De gemiddelde diagnostische dekking, DCavg, geeft aan welk deel van de gevaarlijke fouten door de besturing wordt ontdekt. Een terugmeldcircuit op veiligheidscontactors kan bijvoorbeeld constateren dat een contactor is vastgelast. Een veiligheids-PLC kan fouten in een dubbel uitgevoerd ingangssignaal herkennen.
Diagnose heeft alleen waarde als de machine bij een gedetecteerde fout ook op een veilige manier reageert en als de foutmelding wordt opgevolgd. Een overbrugde terugkoppeling of een storing die permanent wordt gereset zonder onderzoek verlaagt de feitelijke veiligheid, ongeacht wat een rekenprogramma aangeeft.
CCF en systematische fouten
Common Cause Failure, CCF, gaat over fouten die beide kanalen tegelijk kunnen treffen. Denk aan twee aders van hetzelfde signaal in één kabel die door dezelfde beschadiging worden geraakt, een gedeelde voeding zonder passende maatregelen of twee identieke sensoren die verkeerd zijn gemonteerd.
Ook systematische fouten verdienen aandacht. Een verkeerde parameter in de veiligheids-PLC, een fout in de veiligheidssoftware, onjuiste timing of een verkeerd aangesloten resetknop wordt niet opgelost door redundantie alleen. Werk daarom met een duidelijke veiligheidsfunctiespecificatie, gecontroleerde wijzigingen en onafhankelijke beoordeling van de logica.
Van schema naar aantoonbare veiligheidsfunctie
Een goede PL-berekening volgt een vaste technische lijn. Eerst legt u de grenzen van de machine en de gevaren vast. Daarna definieert u per risico de veiligheidsfunctie en bepaalt u de PLr. Vervolgens selecteert u sensor, logica en actuatoren die samen de benodigde categorie, MTTFd, DCavg en CCF-maatregelen kunnen realiseren.
Daarna controleert u of de architectuur in het elektrische schema werkelijk overeenkomt met het ontwerp. Vooral bij bestaande installaties komen afwijkingen voor: een extra relais in de kast, een vervangende contactor zonder geschikte terugmeldcontacten, gewijzigde bedrading of een niet-meegenomen frequentieregelaar. De berekening moet de werkelijk gebouwde situatie beschrijven, niet alleen de oorspronkelijke tekening.
Softwaretools van componentleveranciers kunnen de berekening ondersteunen. Zij versnellen het verwerken van bibliotheekgegevens en geven vaak waarschuwingen bij onlogische combinaties. De tool neemt de veiligheidskundige beoordeling echter niet over. Onjuiste aannames over gebruiksfrequentie, stopgedrag of diagnose leveren ook in een goed ingevuld programma een misleidende uitkomst op.
Validatie is meer dan een berekende PL
De berekening toont aan dat het ontwerp op papier de vereiste betrouwbaarheid kan halen. Validatie volgens EN ISO 13849-2 bevestigt vervolgens dat de gerealiseerde machine doet wat de veiligheidsfunctie belooft. Dat vraagt om inspectie, functietests en waar nodig metingen.
Test bijvoorbeeld of iedere deur afzonderlijk de gevaarlijke beweging stopt, of herstart na sluiting alleen plaatsvindt na een bewuste reset, en of contactorbewaking een vastgelast contact herkent. Meet bij afschermingen met vergrendeling ook de nalooptijd. Een machine die na deuropening nog gevaarlijke energie bevat, is niet veilig doordat het schema twee kanalen bevat.
Documenteer berekeningen, schema’s, gebruikte componentgegevens, validatieresultaten en wijzigingen samen in het technisch dossier. Dat helpt bij audits en inspecties, maar vooral bij onderhoud en toekomstige aanpassingen. De volgende engineer moet kunnen zien waarom een veiligheidsfunctie zo is ontworpen en welke randvoorwaarden daarbij horen.
Veelgemaakte fouten in de praktijk
De meest voorkomende fout is starten vanuit een component in plaats van vanuit het risico. Een veiligheidsrelais dat eerder goed werkte, is niet automatisch passend voor elke nieuwe functie. Ook het combineren van verschillende functies in één keten zonder heldere specificatie maakt het lastig om PLr, resetvoorwaarden en foutgedrag correct te beoordelen.
Een tweede fout is het verwarren van noodstop met primaire beveiliging. Een noodstop is bedoeld om een noodsituatie af te wenden, maar vervangt geen afscherming, lichtscherm of interlock waarmee toegang tot het gevaarlijke gebied wordt voorkomen. De benodigde PL hangt bovendien af van de functie, niet van het rode paddenstoelvormige bedieningsorgaan.
Ten slotte wordt onderhoud soms buiten beschouwing gelaten. Beschadigde kabels, verkeerd afgestelde deurvangers, vervuilde reflectoren en versleten contactoren veranderen de prestaties van de veiligheidsketen. Neem inspectiepunten en functionele tests op in het onderhoudsplan, zeker wanneer de veiligheidsfunctie vaak wordt aangesproken.
Een goed uitgevoerde PL-berekening maakt veiligheidskeuzes bespreekbaar en controleerbaar. Bij complexe machines of wijzigingen in een bestaande lijn kan een onafhankelijke beoordeling veel herstelwerk voorkomen. Promasafe helpt daarbij praktisch: van risicobeoordeling en safety engineering tot validatie van de oplossing die uiteindelijk op de werkvloer moet blijven functioneren.
