Wat is Functional Safety?
Functional Safety (functionele veiligheid) is het deel van de totale veiligheid van een installatie of machine dat afhangt van het correct werken van automatische beveiligingen, die een gevaarlijke afwijking detecteren en het systeem zelfstandig naar een veilige toestand brengen. Het gaat dus niet om sterke constructies of goede isolatie, maar om actieve functies: een sensor meet, een logic solver beslist en een actuator grijpt in. De basisnorm is IEC 61508, die functional safety definieert voor elektrische, elektronische en programmeerbare elektronische (E/E/PE) systemen. Sectornormen zoals IEC 61511 voor de procesindustrie en IEC 62061 en ISO 13849 voor machines vertalen die basis naar de praktijk.
Een veiligheidsfunctie is pas waardevol als ze werkt op het moment dat het misgaat. Functional safety maakt die betrouwbaarheid meetbaar en aantoonbaar.
🧠 Wat valt wel en niet onder functional safety?
Het onderscheid zit in de vraag of de veiligheid afhangt van een functie die moet werken. Twee voorbeelden bij een elektromotor maken dat duidelijk:
- Wel functional safety - een temperatuursensor in de wikkelingen die de motor uitschakelt voordat die oververhit raakt. Faalt de sensor of de schakeling, dan is de bescherming weg.
- Geen functional safety - extra hittebestendige isolatie van de wikkelingen. Die beschermt passief en hoeft niets te detecteren of te schakelen.
Hetzelfde geldt in de procesindustrie. Een mechanisch overdrukventiel of een breekplaat is een waardevolle beschermingslaag, maar valt buiten de E/E/PE-scope van IEC 61508 en IEC 61511. Een drukmeting die via een SIS de toevoer afsluit is wél een veiligheidsfunctie in de zin van die normen. In een LOPA tellen beide mee als onafhankelijke beschermingslagen.
Functional safety is ook iets anders dan fail-safe ontwerp. Fail-safe is een ontwerpprincipe: bij stroomuitval of draadbreuk valt een systeem in een veilige stand. Functional safety is het bredere raamwerk dat ook faalkansen, diagnose, testen, competenties en wijzigingsbeheer omvat.
🧱 Uit welke bouwstenen bestaat een veiligheidsfunctie?
Elke veiligheidsfunctie volgt dezelfde keten: meten, beslissen, ingrijpen. Faalt één schakel, dan faalt de hele functie.
| Bouwsteen | Rol | Voorbeelden |
|---|---|---|
| Sensor | Detecteert de gevaarlijke toestand | Druktransmitter, niveauschakelaar, lichtscherm, deurschakelaar |
| Logic solver | Beslist of ingegrepen moet worden | Safety PLC, veiligheidsrelais, SIS-controller |
| Eindelement | Brengt het proces in de veilige toestand | Afsluiter, contactor, Safe Torque Off in een aandrijving |
| Communicatie | Brengt veilige signalen over een netwerk | PROFIsafe, CIP Safety |
| Veilige toestand | Vooraf gedefinieerd doel van de functie | Toevoer dicht, motor koppelvrij, installatie drukloos |
In de procesindustrie heet een veiligheidsfunctie een SIF (Safety Instrumented Function); alle SIF’s samen vormen het SIS. In de machinebouw spreekt IEC 62061 van een SCS (safety-related control system) en ISO 13849 van SRP/CS (safety-related parts of control systems). Om betrouwbaarheid te halen gebruiken ontwerpers redundantie (bijvoorbeeld twee sensoren in 1oo2-stemming), diagnose die fouten automatisch ontdekt, en periodieke proof tests voor fouten die diagnose niet ziet.
📏 Welke normen gelden voor functional safety?
IEC 61508 is de generieke moedernorm. Editie 1 verscheen in 1998 en 2000, editie 2 in 2010 is nog steeds geldig, en editie 3 wordt rond 2027 verwacht. Fabrikanten van componenten zoals safety PLC’s en transmitters certificeren hun producten tegen IEC 61508. Gebruikers passen die componenten toe volgens een sectornorm:
| Norm | Domein | Integriteitsmaat |
|---|---|---|
| IEC 61508 | Generiek, en productontwikkeling van componenten | SIL 1–4 |
| IEC 61511 | Procesindustrie (editie 2, 2016) | SIL 1–4, in de praktijk tot SIL 3 |
| IEC 62061 | Machinebesturingen (editie 2, 2021) | SIL 1–3 |
| ISO 13849 | Machinebesturingen, ook pneumatisch en hydraulisch (deel 1: 2023) | PL a–e |
| ISO 26262 | Elektronica in wegvoertuigen (2011, 2018) | ASIL A–D |
| IEC 61513 | Instrumentatie en besturing in kerncentrales | Eigen veiligheidsclassificatie |
| EN 50716 | Spoorwegsoftware (2023, vervangt EN 50128) | SIL-niveaus |
Voor machines hangt de keuze tussen IEC 62061 en ISO 13849 vooral af van de techniek en de gewoonte van de bouwer. Beide zijn geharmoniseerd onder de Machinerichtlijn en leveren daarmee een vermoeden van overeenstemming.
📊 Hoe bepaalt u hoe betrouwbaar een veiligheidsfunctie moet zijn?
Eerst brengt u de gevaren in kaart, in de procesindustrie met een HAZOP, bij machines met een risicobeoordeling volgens ISO 12100. Daarna bepaalt u hoeveel risicoreductie nog nodig is na de andere beschermingslagen. Dat vertaalt zich in een SIL (Safety Integrity Level) of een Performance Level (PL):
| Niveau | Faalkans bij aanspraak (PFDavg, low demand) | Gevaarlijk falen per uur (PFH) | Vergelijkbaar PL |
|---|---|---|---|
| SIL 1 | 10⁻² tot 10⁻¹ | 10⁻⁶ tot 10⁻⁵ | PL b of c |
| SIL 2 | 10⁻³ tot 10⁻² | 10⁻⁷ tot 10⁻⁶ | PL d |
| SIL 3 | 10⁻⁴ tot 10⁻³ | 10⁻⁸ tot 10⁻⁷ | PL e |
| SIL 4 | 10⁻⁵ tot 10⁻⁴ | 10⁻⁹ tot 10⁻⁸ | geen |
Een SIL 2-functie in low demand mag dus gemiddeld minder dan één op de honderd keer falen wanneer ze nodig is: een risicoreductiefactor van 100 tot 1.000. De meeste procesbeveiligingen werken in low demand (hooguit eens per jaar aangesproken), de meeste machinefuncties in high demand of continu. Een SIL wordt pas gehaald als drie dingen kloppen: de berekende faalkans, voldoende hardwarefouttolerantie en de systematische geschiktheid van alle componenten. Een gewone PLC heeft die onderbouwing doorgaans niet; in de praktijk kiest u daarom een volgens IEC 61508 gecertificeerde safety PLC.
🔄 Waarom draait functional safety om de hele levenscyclus?
De meeste ongevallen met besturingen komen niet door een exotische hardwarefout, maar door fouten in specificatie en beheer. De Britse toezichthouder HSE analyseerde in de publicatie Out of control (eerste editie 1995, herzien in 2003) 34 incidenten met besturingssystemen. De primaire oorzaken per levensfase:
| Levensfase | Aandeel primaire oorzaak |
|---|---|
| Specificatie | 44% |
| Ontwerp en realisatie | 15% |
| Installatie en inbedrijfname | 6% |
| Bedrijfsvoering en onderhoud | 15% |
| Wijzigingen na inbedrijfname | 20% |
Daarom beschrijft IEC 61508 een veiligheidslevenscyclus van 16 fasen: van concept en gevarenanalyse via de veiligheidseisenspecificatie, realisatie en validatie tot bedrijfsvoering, wijziging en buitengebruikstelling. IEC 61511 volgt dezelfde logica voor procesinstallaties. Daaromheen eist de norm management van functionele veiligheid: aantoonbare competentie van iedereen die meewerkt, gedocumenteerde verificatie en een onafhankelijk functional safety assessment (FSA). IEC 61511 kent vijf FSA-momenten; het derde, na installatie en validatie, moet zijn afgerond voordat het gevaar in de installatie aanwezig is. Wijzigingen lopen via management of change, omdat een ogenschijnlijk kleine aanpassing een veiligheidsfunctie kan uitschakelen.
🏭 Voorbeelden in de praktijk
- Noodstop op een productielijn - een veiligheidsrelais of safety PLC schakelt via Safe Torque Off de aandrijvingen koppelvrij, een stopcategorie 0 volgens IEC 60204-1.
- Overvulbeveiliging van een opslagtank - een onafhankelijke niveauschakelaar sluit de vulleiding. De ramp in Buncefield (Verenigd Koninkrijk, 11 december 2005) liet zien wat er gebeurt als zo’n schakelaar niet goed is beheerd: ongeveer 250.000 liter benzine stroomde over en ontplofte.
- Branderbeveiliging - een vlambewaking sluit de gasafsluiters als de vlam uitgaat, zodat zich geen explosief mengsel opbouwt.
- Deurvergrendeling met interlock - een robotcel stopt of blijft vergrendeld zolang de beweging gevaarlijk is.
- Turbine-overtoerenbeveiliging - een safety PLC met een SIL 2-functie sluit de stoomtoevoer bij overtoeren, onafhankelijk van het DCS.
🔐 Hoe hangen functional safety en cybersecurity samen?
Een veiligheidsfunctie die op afstand kan worden uitgeschakeld, levert geen risicoreductie meer. Dat werd in 2017 werkelijkheid met TRITON: malware probeerde de Triconex-veiligheidscontrollers van een petrochemische fabriek in Saoedi-Arabië te herprogrammeren. Sindsdien is de koppeling tussen safety en security vast onderdeel van de normen:
- IEC 61508 editie 2 eist dat de gevarenanalyse kwaadwillende handelingen meeneemt en verwijst voor maatregelen naar IEC 62443.
- IEC 61511 editie 2016 vraagt in clausule 8.2.4 een security-risicobeoordeling van het SIS.
- IEC TR 63069 (2019) beschrijft hoe IEC 61508 en IEC 62443 samen worden toegepast.
- De Machineverordening (EU) 2023/1230 eist vanaf 20 januari 2027 in bijlage III dat veiligheidsrelevante hard- en software bestand zijn tegen opzettelijke corruptie.
Cyber-Informed Engineering gaat nog een stap verder: het vraagt bij elke beschermingslaag of dezelfde aanvaller die ook kan bereiken, en waardeert niet-digitale lagen zoals een mechanisch overdrukventiel als laatste verdediging.
🧭 Hoe pakt u functional safety aan in Nederland?
Er is geen aparte wet die functional safety voorschrijft. De verplichting volgt uit de zorgplicht in de Arbowet, uit de Machinerichtlijn (en vanaf 2027 de Machineverordening) voor machines met CE-markering, en voor Seveso-bedrijven uit de Omgevingswet, waarin het Brzo 2015 op 1 januari 2024 is opgegaan. Toezichthouders beschouwen IEC 61511 als stand der techniek voor instrumentele beveiligingen; zie Brzo en cybersecurity. Sinds 15 augustus 2026 geldt daarnaast de Cyberbeveiligingswet voor veel chemie- en energiebedrijven.
Een praktische aanpak:
- Breng gevaren in kaart - HAZOP voor procesinstallaties, ISO 12100 voor machines.
- Bepaal de benodigde risicoreductie - met LOPA, een risicograaf of de PL-grafiek uit ISO 13849-1.
- Leg de eisen vast - per functie de veilige toestand, reactietijd, SIL of PL en het proof-testinterval.
- Ontwerp en verifieer - kies gecertificeerde componenten en reken de faalkans door.
- Valideer en laat beoordelen - test de complete functie en laat een onafhankelijke FSA uitvoeren.
- Beheer de bedrijfsfase - voer proof tests uit, registreer aanspraken en storingen, beperk overbruggingen en beveilig het systeem volgens IEC 62443.
❓ Veelgestelde vragen
Wat is het verschil tussen functional safety en safety?
Safety is de totale veiligheid van een installatie, inclusief constructie, procedures en persoonlijke beschermingsmiddelen. Functional safety is het deel daarvan dat afhangt van automatische beveiligingen die op het juiste moment moeten ingrijpen. Een vangrail is safety, een noodstopcircuit is functional safety.
Is functional safety wettelijk verplicht?
Functional safety is in Nederland niet als zodanig in een wet vastgelegd. De Arbowet, de Machinerichtlijn en voor Seveso-bedrijven de Omgevingswet eisen wel dat risico’s volgens de stand der techniek worden beheerst. Normen als IEC 61511, IEC 62061 en ISO 13849 gelden daarbij als de erkende manier om dat aan te tonen.
Wat is het verschil tussen SIL en PL?
SIL (Safety Integrity Level) komt uit IEC 61508, IEC 61511 en IEC 62061 en kent niveaus 1 tot en met 4. PL (Performance Level) komt uit ISO 13849-1 en loopt van a tot en met e. Beide drukken de betrouwbaarheid van een veiligheidsfunctie uit; PL d komt ongeveer overeen met SIL 2 en PL e met SIL 3.
Kan een gewone PLC een veiligheidsfunctie uitvoeren?
Een standaard PLC is niet ontwikkeld en gecertificeerd volgens IEC 61508 en kan daarom in de praktijk geen SIL- of PL-claim onderbouwen. IEC 61511 kent wel een prior-use-route op basis van gedocumenteerde bedrijfservaring, maar voor een programmeerbare logic solver is die zelden haalbaar; u gebruikt dus een safety PLC of een gecertificeerd veiligheidsrelais. In de procesindustrie mag een beschermingslaag in de basisbesturing hooguit een risicoreductie van 10 claimen.
Wie mag functional safety-werk uitvoeren?
IEC 61508 en IEC 61511 eisen dat iedereen die aan de veiligheidslevenscyclus werkt aantoonbaar competent is. Er is geen wettelijk diploma, maar bedrijven leggen competentie vast via opleiding, ervaring en vaak persoonscertificaten van certificatie-instellingen. Het functional safety assessment wordt uitgevoerd door een ervaren persoon die onafhankelijk is van het ontwerpteam.
Wat heeft cybersecurity met functional safety te maken?
Een veiligheidssysteem dat via het netwerk bereikbaar is, kan door een aanvaller worden uitgeschakeld, zoals de TRITON-malware in 2017 probeerde. Daarom eist IEC 61511 sinds 2016 een security-risicobeoordeling van het SIS. Functional safety en OT-security moeten dus samen worden ontworpen en beheerd.
📌 Samengevat
Functional Safety zorgt ervoor dat automatische beveiligingen aantoonbaar betrouwbaar ingrijpen wanneer een installatie of machine in een gevaarlijke toestand dreigt te raken. Met IEC 61508 als basis, sectornormen als IEC 61511, IEC 62061 en ISO 13849, SIL- en PL-eisen en een volledige levenscyclus van gevarenanalyse tot wijzigingsbeheer is functional safety onmisbaar in chemie, olie en gas, energie, voeding en machinebouw. Sinds TRITON hoort cybersecurity daar onlosmakelijk bij.