Wat is Fail-safe?
Fail-safe is een ontwerpprincipe waarbij een systeem zo is gebouwd dat het bij een storing, uitval van energie of verlies van communicatie vanzelf in een vooraf bepaalde veilige toestand terechtkomt, zodat mens, milieu en installatie beschermd blijven. Het uitgangspunt is niet dat er nooit iets misgaat, maar dat de meest waarschijnlijke fouten (draadbreuk, spanningsuitval, een vastgelopen processor) het proces de veilige kant op sturen. In industriële automatisering is fail-safe de basis onder noodstops, veiligheidsrelais, safety PLC’s en Safety Instrumented Systems.
Het uitgangspunt is: als er iets misgaat, moet het systeem veilig falen, ook als dat betekent dat het proces tijdelijk stopt.
🧠 Hoe werkt het fail-safe principe?
Een fail-safe ontwerp gebruikt opgeslagen energie of de natuurkunde om de veilige toestand te bereiken. Er hoeft dus géén actieve energie te zijn om veilig te worden; er is juist energie nodig om de installatie uit de veilige toestand te houden. Typische mechanismen:
- Veerretour - een pneumatische regelklep of actuator met veer gaat bij verlies van stuurlucht of spanning naar zijn veerpositie.
- Normaal bekrachtigd (de-energise to trip) - het veiligheidssignaal is ‘hoog’ zolang alles in orde is. Een draadbreuk, losse klem of uitgevallen voeding ziet er voor de logica hetzelfde uit als een trip.
- Zwaartekracht en remmen - een liftrem of motorrem is veerbekrachtigd en wordt elektrisch gelicht; valt de spanning weg, dan valt de rem in.
- Watchdog en time-out - een controller of communicatieverbinding moet zich regelmatig ‘melden’. Blijft dat uit, dan gaan de uitgangen naar een veilige waarde.
- Gedwongen opening en gedwongen geleide contacten - een noodstopknop opent zijn contact mechanisch, ook als het contact vastgebrand is (direct opening action, IEC 60947-5-1 bijlage K). Een veiligheidsrelais heeft gedwongen geleide contacten en bewaakt via een terugkoppelcircuit de rustcontacten van de aangestuurde contactoren, zodat een vastgelast contact wordt opgemerkt en een herstart wordt geblokkeerd.
Het idee is ouder dan de elektronica. De eerste luchtrem van George Westinghouse uit 1869 was niet fail-safe: lekte de leiding, dan remde de trein niet. Zijn automatische luchtrem, gepatenteerd in 1872, keerde het principe om. Luchtdruk houdt de remmen los, dus een gebroken leiding of een wagon die losraakt laat de remmen juist aangrijpen.
🏭 Welke veilige toestand kiest u per toepassing?
De veilige toestand is niet altijd ‘uit’ of ‘dicht’. Die volgt uit de risicoanalyse, bijvoorbeeld een HAZOP of LOPA, en kan per apparaat verschillen.
| Toepassing | Fail-safe gedrag | Waarom deze kant op? |
|---|---|---|
| Brandstofgasklep van een oven | Veer sluit de klep (fail-closed, FC) | Geen brandstof meer naar de vlam |
| Koelwaterklep van een exotherme reactor | Veer opent de klep (fail-open, FO) | Koeling moet doorgaan bij uitval |
| Regelklep in een doorstroomproces | Blijft staan (fail-last, FL) | Plotseling openen of sluiten zou drukstoten veroorzaken |
| Lift | Veerbekrachtigde rem valt in, vanggrijper grijpt bij overtoeren | Kooi mag niet vallen of wegrijden |
| Machine met draaiende as | Stopcategorie 0 of 1 volgens IEC 60204-1, vaak via Safe Torque Off in de frequentieregelaar | Geen beweging zonder bekrachtiging |
| Uitgang van een PLC of controller bij interne fout | Uitgangen naar vooraf ingestelde veilige waarde (meestal 0) | Geen ongecontroleerde aansturing |
| Transmitter op een 4-20 mA-lus | Signaal naar ≤ 3,6 mA of ≥ 21 mA (NAMUR NE 43) | Logica herkent de storing en kan trippen |
De aanduidingen FC, FO en FL komen uit de symboliek voor procesinstrumentatie (ISA-5.1) en staan op P&ID’s bij elke klep. Een fout gekozen faalrichting is een klassieke ontwerpfout: een koelwaterklep die bij luchtuitval dichtgaat, maakt van een storing een gevaarlijke situatie.
⚙️ Hoe past fail-safe in functionele veiligheid?
Fail-safe is onderdeel van functionele veiligheid en SIL-concepten, maar niet hetzelfde. De normen maken het principe meetbaar:
- IEC 61508 onderscheidt veilige en gevaarlijke faalwijzen. De safe failure fraction (SFF) geeft aan welk deel van de fouten veilig is of door diagnose wordt ontdekt. Samen met de hardware-fouttolerantie bepaalt die welk SIL een subsysteem mag claimen.
- IEC 61511 voor de procesindustrie laat de keuze tussen de-energise to trip en energise to trip expliciet vastleggen in de veiligheidsspecificatie. Energise to trip is toegestaan, bijvoorbeeld voor blusinstallaties waar een onterechte trip zelf schade doet, maar alleen met extra maatregelen zoals bewaking van de voeding en lijnbewaking van de bekabeling.
- ISO 13849-1 voor machines eist in elke categorie de toepassing van basisveiligheidsprincipes; de lijsten in ISO 13849-2 noemen daarbij het de-energisatieprincipe. Zonder dat fundament is geen enkel Performance Level te claimen. IEC 62061 is de gelijkwaardige machinenorm op basis van SIL.
- De Machinerichtlijn 2006/42/EG eist dat een fout in hardware of software van de besturing niet tot gevaarlijke situaties leidt. De Machineverordening (EU) 2023/1230, van toepassing vanaf 20 januari 2027, voegt daar redelijkerwijs voorzienbare kwaadwillige pogingen van derden aan toe.
Een safety PLC is vaak zelf de logic solver van het SIS. Detecteert die een interne fout, dan stuurt hij zijn eigen uitgangen naar de veilige toestand; hij hoeft daarvoor geen ander systeem te alarmeren.
🔄 Wat is het verschil tussen fail-safe, fail-secure en fail-operational?
| Term | Gedrag bij storing | Typisch voorbeeld |
|---|---|---|
| Fail-safe | Systeem gaat naar een veilige toestand, ook als het proces stopt | Noodstopcircuit, veerretourklep |
| Fail-secure | Systeem blijft gesloten of geblokkeerd | Elektrisch slot van een serverruimte dat dicht blijft bij stroomuitval |
| Fail-operational | Systeem blijft functioneren, eventueel beperkt | Redundante besturing in een vliegtuig |
| High Availability | Dienst blijft beschikbaar via redundantie en failover | Redundant SCADA-serverpaar |
| Fail-open (netwerk) | Verkeer gaat ongefilterd door | Inline-apparaat met bypass bij uitval |
Bij deuren botsen safety en security direct. Een vluchtdeur moet bij stroomuitval openen (fail-safe voor mensen), terwijl een kluisdeur dicht moet blijven (fail-secure voor bezittingen). Fail-safe betekent ook niet ‘betrouwbaar’ of ‘storingsvrij’: een fail-safe installatie kan juist vaker stilvallen, omdat elke draadbreuk een trip geeft.
🔐 Wat betekent fail-safe voor OT-security?
In IT/OT-omgevingen krijgt het begrip een tweede laag. Saltzer en Schroeder formuleerden in 1975 al het principe fail-safe defaults: toegang is standaard geweigerd en wordt alleen expliciet toegestaan. Dat ziet u terug in toegangsbeheer en in de default deny-regel van een firewall.
- Netwerkapparaten - een firewall tussen SCADA en het kantoornetwerk hoort bij uitval te blokkeren, terwijl een inline-apparaat in een regelkring soms beter doorlaat. Leg die keuze bewust vast, net als bij een klep.
- Veilige communicatie - PROFIsafe en CIP Safety bewaken elk telegram met een tijdbewaking en een CRC-controlegetal. Komt er binnen de ingestelde tijd geen geldig bericht, dan vallen de veiligheidsuitgangen terug naar hun veilige waarde; bij PROFIsafe heet dat passivering, met veilige vervangwaarden. Herstel (reïntegratie) vraagt meestal een bevestiging van de operator.
- Datadiodes zijn fysiek eenrichtingsverkeer: ook een defect of aanval kan de richting niet omkeren.
- HMI-meldingen - een fail-safe actie moet zichtbaar zijn, zodat de operator weet waarom het proces stilstaat en niet zomaar reset.
De aanval met TRITON in 2017 laat beide kanten zien. De aanvallers probeerden Triconex-veiligheidscontrollers te herprogrammeren, maar een fout in hun code leidde ertoe dat de controller een afwijking detecteerde en de installatie in de veilige toestand bracht. Het fail-safe ontwerp werkte, en het onderzoek naar die onverklaarde trips bracht de aanval aan het licht. Het laat ook zien dat een aanvaller die de veiligheidslogica kan wijzigen, het fail-safe gedrag zelf kan uitschakelen. Daarom vraagt IEC 62443 om scheiding van veiligheidssystemen en strikt beheer van engineeringtoegang.
🔧 Hoe ontwerpt u fail-safe gedrag in de praktijk?
- Bepaal per functie de veilige toestand - uit de risicoanalyse, niet uit gewoonte. Leg vast of een klep FC, FO of FL moet zijn.
- Kies de energierichting - standaard de-energise to trip; energise to trip alleen beargumenteerd en met voedings- en lijnbewaking.
- Configureer de uitgangen van controllers - stel per uitgangskaart het gedrag bij CPU-stop of communicatieverlies in (0, laatste waarde of vaste waarde) en test dat.
- Gebruik diagnose - kies transmitters met NE 43-foutsignalering en I/O met testpulsen, zodat stille fouten zichtbaar worden.
- Weeg beschikbaarheid af - elke fail-safe trip kost productie. Stemming zoals 2-uit-3 met redundantie beperkt onterechte trips zonder het veilige gedrag op te geven. Overbrug een trip nooit structureel met een interlock-bypass.
- Test periodiek - trek een kabel los, sluit de lucht af, schakel de voeding uit en controleer dat het systeem echt naar de veilige toestand gaat. Neem ook een UPS mee in de beschouwing: die kan uitval maskeren.
❓ Veelgestelde vragen
Wat betekent fail-safe in het Nederlands?
Fail-safe betekent letterlijk ‘veilig falend’: een systeem dat bij een storing vanzelf naar een veilige toestand gaat. In Nederlandse technische teksten wordt meestal de Engelse term fail-safe gebruikt, soms aangevuld met ‘faalveilig’.
Is fail-safe hetzelfde als redundantie?
Nee, fail-safe en redundantie zijn verschillende principes. Fail-safe zorgt ervoor dat een storing naar een veilige toestand leidt, waarbij het proces mag stoppen. Redundantie houdt het proces juist draaiend door een tweede component. In veiligheidssystemen worden beide vaak gecombineerd.
Wat is het verschil tussen fail-safe en fail-secure bij deuren?
Een fail-safe deurslot gaat open bij stroomuitval, zodat mensen kunnen vluchten. Een fail-secure slot blijft bij stroomuitval vergrendeld om bezittingen of ruimtes te beschermen. Voor vluchtroutes is fail-safe gedrag daarom de gebruikelijke keuze.
Waarom zijn veiligheidscircuits normaal bekrachtigd?
Een normaal bekrachtigd veiligheidscircuit (de-energise to trip) maakt draadbreuk, spanningsuitval en een losse klem zelf tot een trip. Zo wordt een fout in de bekabeling nooit een onopgemerkte, gevaarlijke storing. Het nadeel is dat zulke fouten tot onterechte stilstand leiden.
Wat doet een fail-safe PLC bij een interne fout?
Een fail-safe PLC (safety PLC) bewaakt zichzelf met diagnose, dubbele verwerking en watchdogs. Bij een gedetecteerde fout zet hij zijn veiligheidsuitgangen in de veilige toestand, meestal spanningsloos. Pas na herstel en bevestiging start de installatie weer.
Kan een cyberaanval fail-safe gedrag omzeilen?
Ja, een aanvaller met toegang tot de veiligheidslogica kan fail-safe gedrag in principe uitschakelen of de veilige toestand verkeerd definiëren. Daarom horen veiligheidssystemen gescheiden te zijn van het procesnetwerk, met strikt beheer van engineeringstations. Hardwarematige maatregelen zoals veerretourkleppen en mechanische noodstops blijven ook dan werken.
📌 Samengevat
Fail-safe betekent: bij een storing gaat het systeem vanzelf naar een toestand waarin mensen, machines en processen beschermd blijven. Het is een fundamenteel concept in procesveiligheid (Safety), SIL en Industriële Automatisering, van de veerretourklep en de normaal bekrachtigde noodstop tot de watchdog in PROFIsafe. Kies de veilige toestand per functie op basis van risicoanalyse, test hem periodiek en bescherm de veiligheidslogica ook tegen cyberaanvallen.