ISO 13849-1 · Performance LevelDer Performance Levelhängt selten am Bauteil.
Der häufigste Denkfehler ist, den PL in einem Schritt bestimmen zu wollen. Tatsächlich wird über fünf Ebenen von unten nach oben gerechnet, und jede hat ihre eigene Formel. Wer die Kette einmal durchrechnet, findet meist dasselbe: Bei einer selten betätigten Schutztür ist die Bauteillebensdauer gar nicht der Engpass. Entschieden wird das Ergebnis von Kategorie und Diagnose.
Insight 11, Reihe B, Konformität und Dokumentation. Die Sicherheitsfunktion, um die hier gerechnet wird, entsteht in Stufe 2 der Risikominderung — der Weg dorthin steht im CE-Weg, die Methodenfehler davor auf Insight 12.
Sobald eine Steuerung die Gefahr abstellt, schulden Sie eine Zahl.
Die Risikobeurteilung entscheidet zuerst konstruktiv: Kapselung, Abstand, Form. Erst wenn das nicht reicht, übernimmt eine Steuerung die Risikominderung — und damit ist die Sicherheit an ein Bauteil delegiert, das ausfallen kann. Ab da ist zu belegen, wie oft es das tut.
Der geforderte Wert kommt aus derselben Beurteilung: über den Risikograph in Anhang A wird je Sicherheitsfunktion ein PLr bestimmt. Der Fall dieses Blattes ist kein konstruierter: Tabelle 3 der ISO 13849-1 führt als erstes Beispiel die Verriegelungsfunktion — ausgelöst durch das Öffnen einer beweglichen trennenden Schutzeinrichtung, Reaktion sicher abgeschaltetes Drehmoment, PLr d. Der Kupplungsschutz am Pumpenaggregat ist die Anwendung darauf; die Wiederanlaufsperre ist eine eigene Funktion und in Tabelle 3 nicht aufgeführt.
PL ist keine Note. Es ist eine Häufigkeit.
Die Norm legt die Performance Level über die mittlere Häufigkeit eines gefahrbringenden Ausfalls je Stunde fest (Abschnitt 4.4, Tabelle 2). Gemessen wird also, wie oft die Schutzfunktion gefahrbringend versagt — so, dass die Gefahr wieder da ist.
Jede Stufe deckt eine Größenordnung ab: PL d reicht von einem gefahrbringenden Ausfall je zehn Millionen Betriebsstunden bis zu einem je Million — eine volle Zehnerpotenz. Erst darunter beginnt PL e. Der Faktor zehn liegt damit schon innerhalb einer einzigen Stufe: Zwei Steuerungen, beide PL d, dürfen sich um eine ganze Zehnerpotenz unterscheiden. Die Stufe nennt also nur den Bereich, in dem eine Steuerung liegt.
Eine Stufe gilt dabei immer für eine einzelne Sicherheitsfunktion; dieselbe Anlage führt Funktionen mit verschiedenen Stufen. Tabelle 3 der Norm zeigt zwei davon nebeneinander: die Verriegelung einer trennenden Schutzeinrichtung mit sicherem Abschalten verlangt PLr d, die sicher begrenzte Geschwindigkeit im manuellen Betrieb PLr c. Wie schwer der Schaden wäre, steckt dabei schon im geforderten PLr — der erreichte PL sagt nur noch, wie oft.
Jeder Kennwert hat genau eine Aufgabe.
Zehn Kürzel tragen die ganze Rechnung. Genau zwei davon kommen von außen — B10d aus dem Datenblatt, n_op aus dem eigenen Betrieb. Alles andere entsteht in der Konstruktion oder fällt hinten heraus.
Fünf Zeilen — und jede Formel hat einen Namen.
Jetzt der Fall, mit Zahlen. Die einzige Angabe, die aus keinem Datenblatt kommt, ist die Taktung: wie oft die Schutzeinrichtung betätigt wird.
Warum nur ein Zehntel? Die 47 Jahre sind keine Lebensdauer, sondern der Kehrwert einer Ausfallrate — und diese Rate darf nur deshalb als konstant angesetzt werden, weil das Bauteil vorher getauscht wird. C.4.3 sagt es offen: die Verfahren der Norm setzen eine exponentielle Verteilung voraus, aber „für nicht-elektronische Bauteile ist eine Weibull-Verteilung wahrscheinlicher“ — eine Rate also, die mit dem Verschleiß steigt. Die exponentielle Näherung trägt nur bis zu dem Punkt, an dem 10 % gefahrbringend ausgefallen sind, und dieser Punkt ist T10d. Wer länger fährt, überschreitet nicht die Austauschfrist, sondern das Modell — und damit sind auch die 47 Jahre hinfällig. Der Faktor zehn ist deshalb die zehn Prozent selbst: MTTFd = T10d / 0,1 (Gleichung C.7).
Die Gegenprobe, bei der die Klasse kippt: dieselbe Tür im 20-Sekunden-Takt. n_op steigt auf 633.600, die MTTFd des Schützes fällt auf 16 Jahre und zieht den Kanal auf 13 — Klasse mittel, T10d 1,6 Jahre. Die B10d-Mathematik wird also erst bei hochgetakteten Aktoren scharf.
Damit steht der Kanal. Was daraus für ein PL wird, entscheiden Diagnose und Ausfälle gemeinsamer Ursache — Abschnitt 05.
Zwei Werte kommen dazu: was auffällt, und was gemeinsam ausfällt.
Die 38 Jahre des Kanals sagen nur, wie haltbar die Bauteile sind — den PL bestimmen sie erst zusammen mit zwei Angaben ganz anderer Art: wie viel die Steuerung von ihren eigenen Fehlern bemerkt und ob gemeinsame Ursachen ausgeschlossen sind.
Der mittlere Diagnosedeckungsgrad wird mit den Ausfallraten gewichtet, nicht arithmetisch gemittelt: DCavg = Σ(DCᵢ / MTTFdᵢ) / Σ(1 / MTTFdᵢ). Der unzuverlässigere Block zieht den Wert also stärker nach unten, als ein Mittelwert vermuten lässt. Im Beispiel: Kreuzvergleich der Türschalter plus zwangsgeführte Rückführung der Schütze → rund 99 %, Klasse hoch (mittel ist 90 bis 99, hoch ab 99). Ausspielen lässt sich das nicht: Bild 12 führt Kategorie 3 nur mit DCavg niedrig und mittel.
Ausfälle gemeinsamer Ursache sind kein Rechenwert, sondern eine Vorbedingung. Anhang F bewertet acht Positionen — von der Trennung der Signalwege über Diversität, Schutzbeschaltung und bewährte Bauteile bis zu EMV und Umgebungsbedingungen — und verlangt mindestens 65 von 100 Punkten. Darunter gilt das Verfahren als gescheitert; fällig sind dann zusätzliche Maßnahmen. Im Beispiel kommen 80 zusammen, ohne die 20 für Diversität: die sind bei redundant-gleichen Kanälen praktisch nie zu holen.
Damit ist die Kette geschlossen. Kategorie 3, DCavg mittel, Kanal 38 Jahre — das ergibt PFH = 1,8 · 10−7, also PL d und genau das geforderte PLr d.
Drei Ausgänge — und nur einer trägt Ihre Zahl.
Das Ergebnis aus Abschnitt 05 gilt, solange der Fall überhaupt in diesem Verfahren liegt. Dafür gibt es drei Möglichkeiten.
Ausgang 1 — es trägt. Alle Randbedingungen und alle drei Grundannahmen sind gehalten, und die designierte Architektur ist wirklich gebaut. Dann belegt der Nachschlag den PL, und die Rechnung ist fertig.
Ausgang 2 — es trägt nicht. Der Nachschlag ist dann ungültig, und es gilt die volle Zuverlässigkeitsrechnung. Fünf Fälle lösen das aus:
- Eine Randbedingung ist verletzt — die Kappung der MTTFd je Kanal bei 100 Jahren (Kategorie 4: 2.500) oder die Testrate bei Kategorie 2 von mindestens dem Hundertfachen der Anforderungsrate.
- Eine der drei Grundannahmen trägt nicht — 6.1.8 nennt sie ausdrücklich: 20 Jahre Gebrauchsdauer, konstante Ausfallraten darin, β = 2 % gegen CCF.
- Die reale Struktur weicht ab — ungleiche Kanäle, geteilte Blöcke, mehr als ein Quervergleichspunkt.
- MTTFd niedrig soll mit hohem DC kombiniert werden — ein Feld, das die Tabelle nicht führt.
- Ein Fehlerausschluss bekommt tragende Bedeutung — dann hängt der PL an dessen Begründbarkeit, und das ist keine Rechenfrage mehr. Dazu Insight 13.
Ausgang 3 — der Fall lag nie hier. Für Elektronik gilt das alles nicht: Logikbausteine und Sicherheitsrelais haben keinen B10d, dort nennt der Hersteller direkt einen PFH-Wert, und man rechnet nach 6.2.2 weiter. Das alternative Verfahren ganz ohne MTTFd (6.1.9) gilt für mechanische, hydraulische und pneumatische Bauteile, für die es überhaupt keine Zuverlässigkeitsdaten gibt. Und gerechnet wurde hier durchgehend ein Teilsystem: Führen mehrere gemeinsam eine Sicherheitsfunktion aus, addieren sich ihre PFH-Werte (6.2.2, Beispiel in Anhang H), und der Gesamt-PL ist zweifach begrenzt — durch die Summe nach Tabelle 2 und durch den niedrigsten PL eines einzelnen Teilsystems. Ein schwaches Glied zieht die Kette also auch dann herunter, wenn die Summe noch reichen würde.
Und unser Beispiel? Es liegt in Ausgang 1 — aber knapp. Das Schütz verschleißt, seine Ausfallrate ist also nicht von sich aus konstant; sie darf nur deshalb als konstant gelten, weil bei 4,7 Jahren getauscht wird. Ohne diesen Satz in der Anleitung trifft es Ausgang 2.
Was beim Nachweis regelmäßig gefragt wird.
Wie berechnet man den Performance Level nach ISO 13849-1?
Nicht in einem Schritt, sondern über fünf Ebenen von unten nach oben. Bauteil: aus B10d wird MTTFd. Kanal: die Bauteile liegen in Reihe, die Kehrwerte addieren sich. Teilsystem: DCavg und der CCF-Nachweis mit mindestens 65 Punkten. Nachschlag: aus Kategorie, DCavg und der MTTFd des Kanals wird der PL abgelesen — mit dem genauen Wert, nicht mit der Klasse. Verknüpfung: mehrere Teilsysteme werden zusammengeführt. Erst danach steht der erreichte PL — und er muss mindestens so hoch sein wie der geforderte PLr.
Wie rechnet man den B10d-Wert in MTTFd um?
Über die Zahl der Betätigungen im Jahr: MTTFd = B10d / (0,1 · n_op), mit n_op = (Betriebstage · Betriebsstunden · 3600) / Zykluszeit in Sekunden. Ist der gefahrbringende Anteil vom Hersteller nicht angegeben, gilt B10d = 2 · B10, also eine Annahme von 50 %. Je Kanal wird auf 100 Jahre gekappt, bei Kategorie 4 sind bis 2.500 Jahre möglich.
Was bedeutet der B10d-Wert eines Bauteils?
Die Zyklenzahl, bei der 10 % der Bauteile gefahrbringend ausgefallen sind — nicht irgendwie ausgefallen. Er gilt für verschleißende, elektromechanische Bauteile: Türschalter, Schütze, Ventile. Für Elektronik gibt es ihn nicht; dort wird über die Ausfallrate gerechnet, oder der Hersteller nennt direkt einen PFH-Wert.
Wann reicht Kategorie 3 für PL d oder PL e?
Mit DCavg niedrig kommt Kategorie 3 über PL d nicht hinaus — selbst bei den maximal ansetzbaren 100 Jahren steht dort 1,01 · 10−7 und damit um ein Prozent zu viel für PL e. Mit DCavg mittel erreicht sie PL e, aber erst ab rund 60 Jahren MTTFd des Kanals; darunter bleibt es bei PL d. Die Klasse „hoch“ allein reicht dafür nicht: sie beginnt bei 30 Jahren, und dort steht noch PL d. Es zählt der genaue Wert aus Anhang K.
Warum muss ein Bauteil schon nach einem Zehntel seiner MTTFd getauscht werden?
Weil die MTTFd aus dieser Frist folgt und nicht umgekehrt. Die Verfahren der Norm setzen exponentiell verteilte Ausfälle voraus; für nicht-elektronische Bauteile ist eine Weibull-Verteilung wahrscheinlicher, also eine mit dem Verschleiß steigende Rate. Als konstant darf sie nur gelten, solange die Gebrauchsdauer auf T10d begrenzt wird (C.4.3). Wer länger fährt, überschreitet das Modell — dann gilt auch die MTTFd nicht mehr, die daraus gerechnet wurde. T10d ist immer ein Zehntel der MTTFd (Gleichung C.7): bei 47 Jahren also 4,7 Jahre.
Wer in Ihrem Haus sagt Ihnen, ob die PL-Nachweise stimmen?
Meist rechnet einer, und geprüft wird das Ergebnis, nicht der Weg. Dabei entscheidet sich an wenigen Stellen, ob eine saubere Rechnung auch trägt — sie stehen alle in diesem Blatt. 30 Minuten an Ihrem Nachweis, keine Präsentation.
30-Minuten-Gespräch vereinbaren →Woran die Rechenwege belegt sind.
- [1] DIN EN ISO 13849-1:2023-12, Sicherheitsbezogene Teile von Steuerungen, Teil 1: Allgemeine Gestaltungsleitsätze. Abschnitt 6.1.4 mit Anhang C und D für B10d, Parts-Count und Symmetrisierung; 6.1.5 mit Anhang E für den Diagnosedeckungsgrad; 6.1.6 mit Anhang F für die CCF-Punkteliste; 6.1.8 und Anhang K für den Nachschlag und die PFH-Werte; 6.2 mit Anhang H für die Verknüpfung mehrerer Teilsysteme.
- [2] ISO 13849-2:2012, Sicherheitsbezogene Teile von Steuerungen, Teil 2: Validierung. Anhänge A bis D mit den anerkannten Fehlerausschlüssen und den grundlegenden sowie bewährten Sicherheitsprinzipien für mechanische, pneumatische, hydraulische und elektrische Teile.
- [3] Das Rechenbeispiel ist eine Demonstration, keine Messung. Betriebstage, Betriebsstunden, Taktzeit und die beiden B10d-Werte sind plausible Annahmen. Sie stammen aus keinem konkreten Mandat und werden hier nicht als Erfahrungswerte ausgegeben. Was daran belastbar ist, sind die Rechenwege und die Randbedingungen, nicht die Zahlen.
- [4] Eigene Lehrtätigkeit: Online-Seminar bei DIN Media, „Neue Maschinenverordnung: Vom Regelwerk zur effizienten Engineering-Praxis“, Termine 2027. Behandelt die Risikobeurteilung und die Einbindung der Nachweise in Produktstruktur und PDM-Systeme — also die Frage, wo die hier gerechneten Nachweise später wiederzufinden sind.