Wat is BOW-TIE?
BOW-TIE (bowtie-analyse) is een visuele methode voor risicomanagement die rond één ongewenste gebeurtenis laat zien welke oorzaken daartoe kunnen leiden, welke gevolgen kunnen optreden en welke barrières dat voorkomen of beperken. De naam komt van de vorm van het diagram: in het midden de topgebeurtenis, links de bedreigingen met preventieve barrières, rechts de gevolgen met mitigerende barrières. Samen lijkt dat op een strikje. De methode wordt veel gebruikt in sectoren met grote risico’s, zoals chemie, olie en gas, luchtvaart, mijnbouw en energie, en steeds vaker ook voor de koppeling tussen procesveiligheid en OT-cybersecurity.
🧠 Hoe werkt een bowtie-analyse?
Een bowtie beschrijft één scenario van begin tot eind. U begint bij het gevaar, benoemt het moment waarop de beheersing verloren gaat en werkt van daaruit naar links (hoe kan het misgaan?) en naar rechts (wat gebeurt er dan?).
| Element | Betekenis | Voorbeeld |
|---|---|---|
| Gevaar (hazard) | Activiteit, stof of situatie die schade kan veroorzaken | Brandbaar gas onder druk in een reactor |
| Topgebeurtenis (top event) | Het moment waarop u de beheersing over het gevaar verliest | Overdruk in het reactorvat |
| Bedreiging (threat) | Oorzaak die tot de topgebeurtenis kan leiden | Regelklep faalt open |
| Gevolg (consequence) | Ongewenste uitkomst na de topgebeurtenis | Scheuren van de reactorwand |
| Preventieve barrière | Maatregel links die de topgebeurtenis voorkomt | Veiligheidsfunctie in het SIS |
| Mitigerende barrière | Maatregel rechts die de gevolgen beperkt of herstel mogelijk maakt | Overdrukventiel, blussysteem |
| Degradatiefactor | Omstandigheid die een barrière verzwakt | Overbrugde veiligheidsfunctie, alarmvloed |
| Degradatiecontrole | Maatregel die de barrière tegen die factor beschermt | Overbruggingsprocedure, training, testregime |
Het onderscheid tussen preventief en mitigerend is dezelfde tweedeling die u terugziet bij mitigerende maatregelen: links verkleint u de kans, rechts het effect. Het idee sluit aan op het Zwitserse-kaasmodel van James Reason: een ongeval ontstaat pas als alle barrières op één lijn tegelijk falen.
🕰️ Waar komt de bowtie-methode vandaan?
De vroegste vorm wordt toegeschreven aan chemiebedrijf ICI, dat eind jaren zeventig met dit soort diagrammen werkte; vaak genoemd zijn cursusnotities uit 1979 van een lezing aan de University of Queensland. De precieze oorsprong is niet volledig gedocumenteerd.
| Jaar | Gebeurtenis |
|---|---|
| eind jaren ‘70 | ICI gebruikt bowtie-achtige diagrammen in gevarenanalyses |
| 1988 | Ramp met het platform Piper Alpha in de Noordzee; het rapport van Lord Cullen dwingt de sector tot systematische beheersing van grote risico’s |
| begin jaren ‘90 | Royal Dutch Shell maakt bowtie tot bedrijfsstandaard, met strikte regels voor de onderdelen |
| 2018 | CCPS en het Energy Institute publiceren Bow Ties in Risk Management: A Concept Book for Process Safety |
| 2019 | IEC 31010:2019 noemt bowtie-analyse als techniek voor risicobeoordeling, naast onder meer HAZOP en FMEA |
| 2020 | Wolters Kluwer neemt CGE Risk Management Solutions uit Leidschendam over, maker van het veelgebruikte BowTieXP |
Shell wilde vooral zekerheid dat overal ter wereld dezelfde beheersmaatregelen aanwezig waren. Daarna verspreidde de methode zich naar luchtvaart, mijnbouw, scheepvaart, spoor en zorg. Het Britse ministerie van Defensie meldde in 2018 dat vijf van de zes verantwoordelijke organisaties voor militair vliegen zich hadden verbonden aan bowtie in hun veiligheidsmanagementsysteem.
🛡️ Wat maakt een maatregel een echte barrière?
Een veelgemaakte fout in bowties is dat alles wat “helpt” als barrière wordt getekend. Het concept book van CCPS en het Energy Institute stelt daarom strikte eisen:
- Effectief - de barrière kan het scenario op eigen kracht stoppen (links) of het gevolg wezenlijk beperken (rechts)
- Onafhankelijk - de barrière faalt niet door dezelfde oorzaak als de bedreiging of als een andere barrière op dezelfde lijn
- Controleerbaar - de werking is te testen en aan te tonen bij een audit
- Compleet - een actieve barrière bevat alle drie de elementen detecteren, beslissen en handelen; een alarm zonder vastgelegde operatorreactie is dus nog geen barrière
Deze eisen lijken sterk op de criteria voor een independent protection layer in LOPA. Een maatregel die niet aan deze eisen voldoet, noemt het concept book een safeguard: nuttig, maar geen barrière. Ook training, procedures, toezicht en onderhoud zijn volgens deze benadering geen barrière op de hoofdlijn. Ze horen bij de degradatiecontroles: ze zorgen dat de echte barrière blijft werken.
🎯 Hoe ziet een bowtie eruit in de praktijk?
Neem een chemische reactor met topgebeurtenis overdruk in het reactorvat. Elke regel in de tabellen is een afzonderlijk pad met eigen barrières.
| Bedreiging (links) | Preventieve barrière 1 | Preventieve barrière 2 |
|---|---|---|
| Regelklep in de toevoer faalt open | Hoogdrukalarm met operatorreactie | Veiligheidsfunctie (SIL 2) sluit de toevoer |
| Koeling valt uit, temperatuur loopt op | Hoogtemperatuuralarm met operatorreactie | Veiligheidsfunctie stopt de dosering |
| Verkeerde grondstof gedoseerd | Identificatie van grondstof bij aflevering | Bewaking van de reactiesnelheid met automatische stop |
| Gevolg (rechts) | Mitigerende barrière 1 | Mitigerende barrière 2 |
|---|---|---|
| Scheuren van de reactorwand | Overdrukventiel naar een fakkel of opvangsysteem | Breekplaat als tweede ontlasting |
| Lekkage met brand | Gasdetectie die automatisch de toevoer afsluit | Automatisch blussysteem en bedrijfsbrandweer |
| Langdurig productieverlies | Omschakeling naar een reservereactor of andere productielijn | Geoefend plan voor bedrijfscontinuïteit |
Aan de rechterkant tekenen veel organisaties ook noodrespons en herstel als barrière. Dat kan, mits de maatregel aantoonbaar detecteert, beslist en handelt, en regelmatig wordt geoefend; een plan dat alleen in een kast staat is geen barrière.
Op de barrières hangen degradatiefactoren. De veiligheidsfunctie verzwakt als iemand haar overbrugt tijdens onderhoud, het hoogdrukalarm als operators in een alarmvloed zitten. De degradatiecontroles zijn dan een overbruggingsprocedure met vrijgave, en alarmmanagement volgens ISA-18.2. Een cyberaanval op de safety PLC is ook zo’n degradatiefactor; segmentatie en toegangsbeheer volgens IEC 62443 zijn de bijbehorende controles.
🛠️ Hoe stelt u een bowtie op?
- Kies het gevaar en de topgebeurtenis - formuleer de topgebeurtenis als verlies van beheersing (“overdruk in vat R-101”), niet als gevolg (“explosie”) of als oorzaak (“klepstoring”).
- Gebruik bestaande analyses - haal bedreigingen uit HAZOP, FMEA of incidentonderzoek, zodat u niet opnieuw begint.
- Benoem bedreigingen en gevolgen - elke bedreiging moet op zichzelf tot de topgebeurtenis kunnen leiden.
- Plaats barrières per lijn - toets elke maatregel op effectiviteit, onafhankelijkheid en controleerbaarheid; wat niet voldoet wordt een degradatiecontrole.
- Voeg degradatiefactoren en -controles toe - denk aan overbruggingen, achterstallig onderhoud, menselijke fouten en cyberdreigingen.
- Wijs eigenaren toe - elke barrière krijgt een verantwoordelijke functie en een testinterval.
- Houd de bowtie actueel - koppel barrières aan inspecties, storingen en wijzigingsbeheer, zodat het diagram de werkelijke staat toont.
Voor een kwantitatieve onderbouwing neemt u daarna de belangrijkste bedreigingslijnen mee in LOPA. Die bepaalt of de barrières samen genoeg risicoreductie leveren, of dat een extra veiligheidsfunctie met een bepaald SIL nodig is volgens IEC 61511.
🔄 Wat is het verschil met HAZOP, LOPA en foutenbomen?
| Methode | Focus | Uitkomst |
|---|---|---|
| HAZOP | Systematisch afwijkingen per procesdeel vinden | Lijst met scenario’s en acties |
| FMEA | Faalwijzen van afzonderlijke componenten | Prioriteit per faalwijze |
| LOPA | Risicoreductie van beschermingslagen kwantificeren | Benodigd SIL en ontbrekende lagen |
| Foutenboom (FTA) | Logische combinatie van oorzaken van één gebeurtenis | Faalkans van de topgebeurtenis |
| Gebeurtenissenboom (ETA) | Mogelijke uitkomsten na één gebeurtenis | Kans per gevolg |
| BOW-TIE | Oorzaken, barrières en gevolgen rond één topgebeurtenis | Overzicht voor communicatie en barrièrebeheer |
Een bowtie kunt u zien als een vereenvoudigde foutenboom aan de linkerkant en een gebeurtenissenboom aan de rechterkant. Het verschil is dat een bowtie meestal kwalitatief blijft en in een workshop met het team wordt getekend.
🔐 Hoe gebruikt u een bowtie voor OT-cybersecurity?
In de OT-convergentie is de bowtie een brug tussen procesveiligheid en cybersecurity. Er zijn twee gangbare manieren:
- Cyber als degradatiefactor - op de bestaande procesveiligheidsbowtie markeert u welke barrières digitaal zijn (SIS, alarmsysteem, SCADA) en wat er gebeurt als een aanvaller ze uitschakelt. De malware TRITON richtte zich in 2017 precies op zo’n barrière.
- Cyber als eigen bowtie - met topgebeurtenis “aanvaller krijgt controle over het besturingsnetwerk”, bedreigingen als phishing of een besmette onderhoudslaptop, en barrières als netwerksegmentatie, firewalls en back-ups.
Die koppeling is ook formeel nodig. IEC 61511 vraagt sinds editie 2016 een security-risicobeoordeling van het SIS, en bij een risicobeoordeling volgens IEC 62443-3-2 kunt u bestaande procesveiligheidsanalyses gebruiken om de gevolgen van een aanval te bepalen. Bij Seveso-bedrijven, die een veiligheidsbeheerssysteem moeten aantonen, maakt een bowtie zichtbaar dat ook digitale barrières in het defense in depth-ontwerp beheerst worden.
✅ Wat zijn de voordelen en valkuilen?
Voordelen:
- Visueel en begrijpelijk - operators, management en toezichthouders zien in één beeld hoe een risico beheerst wordt
- Preventie én mitigatie - beide kanten van het scenario staan naast elkaar
- Basis voor barrièrebeheer - barrières krijgen eigenaren, testintervallen en een actuele status
- Bewijs voor compliance - handig bij audits en veiligheidsrapportages
- Breed toepasbaar - dezelfde aanpak werkt voor kwaliteit, milieu, informatiebeveiliging en risicogestuurd onderhoud
Valkuilen:
- Te vage topgebeurtenis - “brand” of “storing” levert een bowtie op waarin alles en niets past
- Papieren barrières - training of procedures op de hoofdlijn geven een vals gevoel van veiligheid
- Gekoppelde barrières - twee barrières die dezelfde sensor gebruiken zijn niet onafhankelijk
- Statisch diagram - een bowtie die niet wordt bijgewerkt na wijzigingen of incidenten verliest snel zijn waarde
❓ Veelgestelde vragen
Wat is een topgebeurtenis in een bowtie?
De topgebeurtenis in een bowtie is het moment waarop de beheersing over een gevaar verloren gaat, bijvoorbeeld overdruk in een vat of het vrijkomen van gas. Het is nog geen schade: de gevolgen staan rechts in het diagram. Een goed gekozen topgebeurtenis maakt duidelijk welke barrières ervoor en erna moeten werken.
Is training een barrière in een bowtie-analyse?
Training is in een bowtie-analyse volgens de CCPS-benadering geen barrière op de hoofdlijn, omdat training op zichzelf een scenario niet stopt. Training is wel een degradatiecontrole: zij zorgt dat een echte barrière, zoals een operator die op een alarm reageert, betrouwbaar blijft werken.
Is een bowtie kwalitatief of kwantitatief?
Een bowtie is in de basis een kwalitatieve methode die oorzaken, barrières en gevolgen overzichtelijk maakt. Voor kwantitatieve uitspraken over kansen en risicoreductie combineert u de bowtie met LOPA, een foutenboom of een gebeurtenissenboom.
Welke software wordt gebruikt voor bowtie-diagrammen?
Het bekendste pakket voor bowtie-diagrammen is BowTieXP, oorspronkelijk van het Nederlandse CGE Risk Management Solutions en sinds 2020 onderdeel van Wolters Kluwer. Eenvoudige bowties kunt u ook met algemene tekensoftware maken, maar gespecialiseerde tools koppelen barrières aan eigenaren, audits en incidenten.
Kan een bowtie ook voor cybersecurity worden gebruikt?
Een bowtie werkt ook voor cybersecurity, bijvoorbeeld met de topgebeurtenis “aanvaller krijgt toegang tot het besturingsnetwerk”. In OT-omgevingen is het vooral waardevol om cyberaanvallen als degradatiefactor op procesveiligheidsbarrières te tonen, zodat safety- en securityteams hetzelfde scenario bespreken.
Hoeveel bowties heeft een installatie nodig?
Een installatie heeft één bowtie per belangrijk gevaar of per topgebeurtenis nodig, niet één bowtie voor de hele fabriek. In de praktijk begint u met de scenario’s met de zwaarste gevolgen uit de HAZOP of risicobeoordeling en breidt u daarna uit.
📌 Samengevat
Een bowtie-analyse toont in één diagram hoe een ongewenste gebeurtenis kan ontstaan, wat de gevolgen zijn en welke onafhankelijke barrières dat voorkomen of beperken.
De methode, ontstaan bij ICI en groot gemaakt door Shell na Piper Alpha, is sterk in communicatie en barrièrebeheer. Haal de scenario’s uit HAZOP, onderbouw de risicoreductie met LOPA en neem cyberdreigingen mee als degradatiefactor, zodat de bowtie ook in een geconvergeerde IT/OT-omgeving de werkelijke staat van uw barrières laat zien.