Wat is ESD?
ESD (Emergency Shutdown) is een veiligheidssysteem of -functie die een procesinstallatie automatisch of handmatig naar een veilige toestand brengt zodra een gevaarlijke situatie dreigt, door kleppen te sluiten, apparatuur af te schakelen en zo nodig de installatie drukloos te maken. Een ESD-systeem is in de procesindustrie meestal een toepassing van een SIS (Safety Instrumented System) en wordt ontworpen volgens IEC 61511. Het werkt onafhankelijk van de gewone procesbesturing in het DCS of de PLC, zodat een storing of fout in die besturing de beveiliging niet kan uitschakelen.
In de elektronica betekent ESD ook electrostatic discharge (elektrostatische ontlading). Dit artikel gaat over de procesveiligheidsbetekenis.
Een ESD voorkomt escalatie door een proces direct te stoppen, te isoleren en zo nodig drukloos te maken.
🎯 Wat doet een ESD-systeem?
Een ESD-systeem bestaat uit dezelfde drie bouwstenen als elke veiligheidsfunctie: meten, beslissen en ingrijpen.
- Detecteren - sensoren en transmitters meten kritieke condities zoals druk, temperatuur, niveau of flow, en het brand- en gasdetectiesysteem (F&G) meldt gaslekken, vlammen of rook
- Beslissen - een logic solver, meestal een gecertificeerde safety-PLC of in eenvoudige gevallen een bedrade relaisschakeling, vergelijkt de signalen met tripgrenzen en voert de logica uit de cause-and-effect-matrix uit
- Ingrijpen - actuatoren sluiten noodafsluiters (ESDV’s), openen blowdownkleppen (BDV’s) naar de fakkel, stoppen pompen en compressoren en schakelen elektrische voedingen af
- Handmatig activeren - operators kunnen een ESD starten met drukknoppen in de controlekamer of in het veld; een noodstop op een machine kan zo’n trigger zijn
Belangrijk ontwerpprincipe is de-energise to trip: bij spanningsuitval of kabelbreuk valt het systeem terug naar de veilige toestand. Dat is de fail-safe-gedachte toegepast op procesveiligheid.
🔧 Welke ESD-acties horen bij welke situatie?
| Situatie | Typische ESD-acties |
|---|---|
| Gaslek gedetecteerd door F&G | Toevoer isoleren met ESDV’s, ontstekingsbronnen afschakelen, ventilatie aanpassen |
| Overdruk dreigt in een vat | Toevoer sluiten, proces stoppen; mechanische veiligheidskleppen blijven de laatste barrière |
| Brand in een proceszone | Zone isoleren, blowdown naar de fakkel starten, bluspompen starten |
| Brand in een elektrische ruimte | Stroomtoevoer afschakelen, gasblusinstallatie via het F&G-systeem activeren |
| Handmatige ESD-knop ingedrukt | Het bijbehorende shutdownniveau uitvoeren volgens de cause-and-effect-matrix |
🧱 Welke shutdownniveaus bestaan er?
Grote installaties, zoals raffinaderijen, offshoreplatforms en LNG-terminals, delen hun shutdownsysteem hiërarchisch in. Een hoger niveau voert in de regel ook de acties van de onderliggende niveaus uit. De nummering verschilt per bedrijf en per project: in veel offshoreconventies is het laagste nummer juist het zwaarste niveau, met daarboven nog een Abandon Platform Shutdown (APS).
| Niveau | Omvang | Typische acties |
|---|---|---|
| Unit shutdown | Eén apparaat of unit | Unit stoppen, rest van de installatie draait door |
| Process shutdown (PSD) | Een procestrein of het hele proces | Proces stoppen, utilities blijven draaien, geen blowdown, zodat herstart snel kan |
| Emergency shutdown (ESD) | Hele installatie of brandzone | Proces isoleren, blowdown naar de fakkel, exportleidingen afsluiten |
| Abandon / total shutdown (APS) | Hele site of platform | Ook utilities en voeding af, alleen noodsystemen zoals noodverlichting en communicatie blijven op UPS of batterijen actief |
In de offshorewereld beschrijft de Noorse norm NORSOK S-001 een typische shutdownhiërarchie, samen met ISO 13702 voor brand- en explosiebeheersing. Bij blowdown is de veelgebruikte ontwerpregel uit API 521 dat de druk binnen ongeveer 15 minuten daalt tot de helft van de ontwerpdruk of tot 6,9 barg (100 psig), als dat lager is. Bij LNG-overslag betekent ESD-1 het stoppen van de ladingoverslag tussen schip en wal, en ESD-2 het fysiek loskoppelen van de laadarmen.
🔄 Wat is het verschil tussen ESD, SIS, BPCS en noodstop?
| Systeem | Rol | Voorbeeldactie |
|---|---|---|
| SIS | Overkoepelend instrumenteel veiligheidssysteem met één of meer veiligheidsfuncties | Bevat of stuurt de ESD aan |
| ESD | Afschakel- en isolatiefunctie voor (delen van) de installatie | Proces isoleren en drukloos maken |
| BPCS (DCS / SCADA) | Normale procesbesturing en bewaking | Regelen, alarm genereren, trends loggen |
| Alarmsysteem | Meldt afwijkingen aan de operator | Operator waarschuwen vóór een trip |
| Interlock | Lokale vergrendeling binnen de besturing | Pomp niet starten zonder open klep |
| Noodstop | Handbediende stop van één machine (NEN-EN-ISO 13850) | Machine direct stilzetten |
Een ESD is dus geen alarm: een alarm vraagt de operator om in te grijpen, een ESD grijpt zelf in. In LOPA telt de ESD als een aparte, onafhankelijke beschermingslaag, naast de procesbesturing, alarmen met operatorrespons en mechanische veiligheidskleppen.
📏 Hoe betrouwbaar moet een ESD zijn?
Elke ESD-functie krijgt een Safety Integrity Level (SIL) uit de risicoanalyse, meestal een HAZOP gevolgd door LOPA. Voor ESD-functies in de olie-, gas- en chemische industrie is SIL 2 gebruikelijk en SIL 3 komt voor bij de zwaarste scenario’s.
| SIL | Gemiddelde faalkans op aanvraag (PFDavg) | Risicoreductie |
|---|---|---|
| SIL 1 | 10⁻² tot 10⁻¹ | 10 tot 100× |
| SIL 2 | 10⁻³ tot 10⁻² | 100 tot 1.000× |
| SIL 3 | 10⁻⁴ tot 10⁻³ | 1.000 tot 10.000× |
Om dat niveau te halen gebruiken ontwerpers redundantie en voting: drie transmitters in 2oo3 (twee van de drie) verkleinen zowel de kans op een gemiste trip als op een onnodige trip, omdat één defecte transmitter de functie niet blokkeert en ook geen trip veroorzaakt. De afsluiters zijn vaak het zwakste deel van de keten. Daarom testen bedrijven ze met een proof test, waarvan het interval volgt uit de PFD-berekening en vaak samenvalt met de geplande turnaround. Een tussentijdse partial stroke test, waarbij de klep een klein stukje beweegt, vindt een deel van de verborgen fouten, maar vervangt de volledige proof test niet.
🔐 Waarom is ESD-cybersecurity belangrijk?
Een ESD is de laatste instrumentele barrière voordat een incident escaleert, en daarmee een aantrekkelijk doelwit. In 2017 manipuleerde de malware TRITON Triconex-veiligheidscontrollers van Schneider Electric in een petrochemische fabriek in Saudi-Arabië. De aanval kwam aan het licht doordat de controllers de installatie onverwacht afschakelden.
Sinds de editie van 2016 eist IEC 61511 in clausule 8.2.4 een security-risicobeoordeling van het SIS, en clausule 11.2.12 vraagt een ontwerp dat bestand is tegen de gevonden dreigingen. In de praktijk betekent dat:
- Scheiding - de ESD in een eigen zone volgens IEC 62443, gescheiden van het BPCS met netwerksegmentatie en een industriële firewall
- Geen schrijftoegang op afstand - de sleutelschakelaar van de safety-controller in RUN, programmeren alleen lokaal vanaf een beheerd engineering station
- Bypass- en wijzigingsbeheer - elke overbrugging van een tripfunctie registreren en tijdgebonden maken via change management
- Monitoring - afwijkende verbindingen naar de safety-controller detecteren als onderdeel van defense in depth
🏭 Hoe pakt u ESD aan in de Nederlandse praktijk?
Bedrijven met grote hoeveelheden gevaarlijke stoffen vallen onder het Besluit risico’s zware ongevallen 2015, de Nederlandse uitwerking van de Seveso III-richtlijn. Geen wet schrijft letterlijk een ESD voor, maar deze bedrijven moeten aantonen dat zij alle nodige maatregelen nemen, en toezichthouders gebruiken IEC 61511 daarbij als stand der techniek. Sinds 15 augustus 2026 geldt bovendien de Cyberbeveiligingswet voor veel van deze bedrijven, wat de digitale kant van de ESD ook juridisch relevant maakt. Zie ook Brzo en cybersecurity.
Een gangbare aanpak in stappen:
- Risicoanalyse - HAZOP en LOPA bepalen welke scenario’s een ESD-functie vragen en met welk SIL
- Specificatie - leg per functie de trigger, tripgrens, reactietijd en veilige toestand vast in de Safety Requirements Specification en de cause-and-effect-matrix
- Ontwerp - kies gecertificeerde componenten, voting en een fail-safe uitvoering, en teken alles in het P&ID
- Verificatie en test - FAT, SAT en een volledige functietest van elke trip vóór opstart
- Beheer - proof tests uitvoeren, bypasses bewaken en elke wijziging via een managementproces laten lopen
❓ Veelgestelde vragen
Wat betekent ESD in de procesindustrie?
ESD staat in de procesindustrie voor Emergency Shutdown. Een ESD-systeem brengt een installatie automatisch of handmatig naar een veilige toestand door kleppen te sluiten, apparatuur af te schakelen en zo nodig druk af te blazen naar de fakkel.
Is een ESD hetzelfde als een SIS?
Een ESD is meestal een onderdeel of toepassing van een SIS. Het SIS is het totale veiligheidssysteem met al zijn veiligheidsfuncties, terwijl de ESD specifiek de afschakel- en isolatiefuncties voor de installatie omvat.
Wat is het verschil tussen ESD en PSD?
Een process shutdown (PSD) stopt het proces maar laat utilities draaien en maakt de installatie niet drukloos, zodat herstart snel kan. Een emergency shutdown (ESD) gaat verder en isoleert de installatie, start blowdown naar de fakkel en sluit export- of aanvoerleidingen af.
Welk SIL-niveau heeft een ESD-systeem?
Het SIL-niveau van een ESD volgt per veiligheidsfunctie uit de risicoanalyse, niet uit het systeem als geheel. In de olie-, gas- en chemische industrie is SIL 2 gebruikelijk, en voor de zwaarste scenario’s wordt SIL 3 gevraagd.
Wat is een ESD-klep?
Een ESD-klep (ESDV) is een snelsluitende afsluiter met een veerretour-actuator die bij spanningsverlies of drukverlies van de instrumentenlucht automatisch dichtgaat. ESD-kleppen worden periodiek volledig getest, omdat zij vaak het minst betrouwbare deel van de veiligheidsfunctie zijn.
Kan een ESD-systeem gehackt worden?
Ja, een ESD-systeem kan gehackt worden wanneer het netwerkverbonden is, zoals de TRITON-aanval in 2017 liet zien. Daarom vraagt IEC 61511 sinds 2016 een security-risicobeoordeling en scheiden bedrijven de ESD volgens IEC 62443 van de procesbesturing.
📌 Samengevat
Een ESD-systeem detecteert gevaarlijke condities, beslist met een onafhankelijke logic solver en grijpt in met afsluiters en afschakelingen. Het is ingedeeld in shutdownniveaus van unit tot hele site, krijgt per functie een SIL uit HAZOP en LOPA en moet periodiek worden getest. Omdat het de laatste instrumentele barrière is, verdienen ook scheiding en cybersecurity volgens IEC 61511 en IEC 62443 aandacht.
Een ESD-systeem grijpt automatisch of handmatig in om gevaarlijke situaties direct te stoppen, en is als onafhankelijke beschermingslaag cruciaal voor het veilig functioneren van industriële installaties.