Wat is IEC 61508?
IEC 61508 is de internationale basisnorm voor functionele veiligheid van elektrische, elektronische en programmeerbare elektronische (E/E/PE) veiligheidsgerelateerde systemen, die met een risicogebaseerde levenscyclus en vier Safety Integrity Levels (SIL) vastlegt hoe betrouwbaar een veiligheidsfunctie moet zijn. De norm beschrijft het volledige proces van concept, risicobeoordeling, ontwerp en realisatie tot gebruik, wijziging en buitenbedrijfstelling. IEC 61508 is generiek en vormt de basis voor sectornormen zoals IEC 61511 (procesindustrie), IEC 62061 (machinebouw) en ISO 26262 (automotive).
IEC 61508 schrijft niet voor welke SIL een functie nodig heeft. De norm geeft een raamwerk om dat zelf te bepalen, aan te tonen en vast te houden gedurende de hele levensduur.
🧱 Op welke domeinen is IEC 61508 van toepassing?
IEC 61508 geldt voor elke veiligheidsfunctie die door een E/E/PE-systeem wordt uitgevoerd: van een eenvoudige relaisschakeling tot een safety PLC met software. De norm is opgesteld door subcommissie 65A van IEC TC 65 en heeft de status van basic safety publication volgens IEC Guide 104. Dat betekent dat andere technische commissies de norm gebruiken als fundament voor hun eigen sectornormen.
In de praktijk gebruiken twee groepen IEC 61508 direct:
- Fabrikanten van componenten - ontwikkelaars van safety PLC’s, transmitters, kleppen, veiligheidsrelais en safety-protocollen zoals PROFIsafe laten hun product tegen IEC 61508 beoordelen
- Sectoren zonder eigen norm - waar geen afgeleide sectornorm bestaat, wordt IEC 61508 rechtstreeks toegepast
Eindgebruikers in de procesindustrie werken meestal met IEC 61511 en kopen componenten die volgens IEC 61508 gecertificeerd zijn.
🕰️ Welke edities van IEC 61508 zijn er?
| Editie | Jaar | Belangrijkste kenmerken |
|---|---|---|
| Editie 1 | 1998 (deel 1, 3, 4, 5) en 2000 (deel 2, 6, 7) | Eerste generieke norm voor functionele veiligheid, levenscyclus en SIL |
| Editie 2 | april 2010 | Technische herziening: systematic capability, Route 2H, expliciete aandacht voor security bij de gevarenanalyse |
| IEC TR 61508-3-3 | juli 2025 | Technisch rapport met richtlijnen voor objectgeoriënteerde software |
| Editie 3 | in ontwikkeling | Conceptversies in 2025–2026 becommentarieerd en in stemming gebracht, publicatie verwacht rond 2027 |
Editie 2 uit 2010 is op dit moment de geldende versie. In Europa is zij overgenomen als EN 61508:2010, in Nederland verkrijgbaar als NEN-EN-IEC 61508.
📚 Hoe is IEC 61508 opgebouwd?
De norm bestaat uit zeven delen. Deel 1 tot en met 3 bevatten de normatieve eisen, deel 4 de definities en deel 5 tot en met 7 zijn informatief.
| Deel | Onderwerp | Karakter |
|---|---|---|
| IEC 61508-1 | Algemene eisen, waaronder de veiligheidslevenscyclus en functional safety assessment | Normatief |
| IEC 61508-2 | Eisen aan E/E/PE-veiligheidsgerelateerde systemen (hardware) | Normatief |
| IEC 61508-3 | Eisen aan software | Normatief |
| IEC 61508-4 | Definities en afkortingen | Normatief |
| IEC 61508-5 | Voorbeelden van methoden om het SIL te bepalen | Informatief |
| IEC 61508-6 | Richtlijnen voor de toepassing van deel 2 en 3, inclusief rekenvoorbeelden | Informatief |
| IEC 61508-7 | Overzicht van technieken en maatregelen | Informatief |
🔄 Hoe verloopt de veiligheidslevenscyclus?
De kern van IEC 61508 is de overall safety lifecycle met zestien fasen. Elke fase heeft doelen, eisen, in- en uitvoer, en wordt afgesloten met verificatie.
| Fasegroep | Fasen | Wat gebeurt er? |
|---|---|---|
| Analyse | 1 Concept, 2 Scopebepaling, 3 Gevaren- en risicoanalyse, 4 Veiligheidseisen, 5 Toewijzing van veiligheidseisen | Gevaren identificeren, benodigde risicoreductie bepalen en veiligheidsfuncties met een SIL toewijzen |
| Planning | 6 Bedrijfsvoering en onderhoud, 7 Veiligheidsvalidatie, 8 Installatie en inbedrijfstelling | Vooraf vastleggen hoe het systeem wordt gevalideerd en onderhouden |
| Realisatie | 9 E/E/PE-veiligheidseisenspecificatie, 10 Realisatie E/E/PE-systemen, 11 Andere risicoreducerende maatregelen | Hardware en software ontwerpen volgens deel 2 en 3 |
| Ingebruikname | 12 Installatie en inbedrijfstelling, 13 Veiligheidsvalidatie | Aantonen dat het systeem de veiligheidseisen haalt |
| Gebruik en einde | 14 Bedrijfsvoering, onderhoud en reparatie, 15 Wijziging en retrofit, 16 Buitenbedrijfstelling | Prestaties bewaken, wijzigingen beheersen, veilig afbouwen |
Voor de gevarenanalyse in fase 3 gebruiken teams methoden zoals HAZOP en FMEA; voor de SIL-toewijzing in fase 5 bijvoorbeeld LOPA of een risicograaf. Naast de technische levenscyclus eist de norm management van functionele veiligheid: aantoonbare competentie, documentatie en een onafhankelijk functional safety assessment.
🧠 Wat is een Safety Integrity Level (SIL)?
Een SIL is een van vier discrete niveaus voor de veiligheidsintegriteit van een veiligheidsfunctie. Hoe hoger het SIL, hoe kleiner de toelaatbare kans op gevaarlijk falen. IEC 61508 onderscheidt twee bedrijfswijzen:
- Low demand - de functie wordt hooguit één keer per jaar aangesproken; maatstaf is de gemiddelde kans op gevaarlijk falen bij aanspraak (PFDavg)
- High demand of continu - de functie wordt vaker dan eens per jaar of permanent aangesproken; maatstaf is de gemiddelde frequentie van gevaarlijk falen per uur (PFH)
| SIL | PFDavg (low demand) | PFH (high demand/continu, per uur) | Risicoreductiefactor |
|---|---|---|---|
| SIL 1 | ≥ 10⁻² tot < 10⁻¹ | ≥ 10⁻⁶ tot < 10⁻⁵ | 10 – 100 |
| SIL 2 | ≥ 10⁻³ tot < 10⁻² | ≥ 10⁻⁷ tot < 10⁻⁶ | 100 – 1.000 |
| SIL 3 | ≥ 10⁻⁴ tot < 10⁻³ | ≥ 10⁻⁸ tot < 10⁻⁷ | 1.000 – 10.000 |
| SIL 4 | ≥ 10⁻⁵ tot < 10⁻⁴ | ≥ 10⁻⁹ tot < 10⁻⁸ | 10.000 – 100.000 |
De risicoreductiefactor (RRF = 1/PFDavg) geldt alleen voor low demand. Lager dan 10⁻⁵ PFDavg of 10⁻⁹ per uur mag de claim voor één E/E/PE-systeem niet uitkomen. In de industrie komen vooral SIL 1 tot en met 3 voor; SIL 4 is zeldzaam en vraagt meestal om een ander ontwerp van het proces.
🔧 Hoe toon je aan dat hardware en software een SIL halen?
Een SIL halen is meer dan een rekensom. IEC 61508 stelt drie eisen die tegelijk moeten kloppen:
- Kwantitatieve faalkans - de berekende PFDavg of PFH van de hele functie (sensor, logica, actuator) valt binnen de SIL-band
- Architecturale beperkingen - minimale redundantie, uitgedrukt in hardware fault tolerance (HFT): bij HFT 1 mag één fout de functie niet uitschakelen
- Systematic capability (SC 1–4) - bewijs dat ontwerpfouten in hardware en software voldoende zijn voorkomen, via Route 1S (ontwikkelen volgens de norm), 2S (proven in use) of 3S (bestaande software)
Voor de architecturale eisen kent de norm twee routes. Route 1H combineert HFT met de safe failure fraction (SFF): het aandeel fouten dat veilig is of door diagnose wordt ontdekt. Type A zijn eenvoudige elementen met bekend faalgedrag, type B complexe elementen zoals microprocessors.
| SFF (type B) | HFT 0 | HFT 1 | HFT 2 |
|---|---|---|---|
| < 60 % | Niet toegestaan | SIL 1 | SIL 2 |
| 60 % – < 90 % | SIL 1 | SIL 2 | SIL 3 |
| 90 % – < 99 % | SIL 2 | SIL 3 | SIL 4 |
| ≥ 99 % | SIL 3 | SIL 4 | SIL 4 |
Voor type A ligt elke cel één SIL hoger, tot maximaal SIL 4; alleen bij SFF ≥ 99 % zonder fouttolerantie blijft ook type A op SIL 3. Route 2H gebruikt veldgegevens met minstens 90 % betrouwbaarheid en eist dan een vaste minimale HFT, zoals HFT 1 voor SIL 3 en HFT 2 voor SIL 4. Een fail-safe ontwerp, waarbij een fout tot een veilige toestand leidt, verhoogt de SFF.
🔗 Hoe verhoudt IEC 61508 zich tot andere normen?
| Norm | Sector | Relatie met IEC 61508 |
|---|---|---|
| IEC 61511 | Procesindustrie | Sectorimplementatie voor veiligheidsinstrumentatiesystemen; editie 1 in 2003, editie 2 in 2016 |
| IEC 62061 | Machinebouw | Afgeleid voor veiligheidsgerelateerde machinebesturingen; editie 1 in 2005, editie 2 in 2021 |
| ISO 13849-1 | Machinebouw | Alternatief zonder SIL, werkt met Performance Levels (PL a–e) |
| ISO 26262 | Automotive | Aangepaste versie met ASIL A–D; editie 1 in 2011, editie 2 in 2018 |
| IEC 61513 | Kerncentrales | Eisen voor instrumentatie en besturing die belangrijk is voor de veiligheid |
| EN 50716 | Spoorwegen | Softwarenorm uit 2023 die EN 50128 en EN 50657 vervangt |
| IEC 61496 | Machinebouw | Elektrogevoelige beveiligingen zoals lichtschermen; verwijst voor integriteit naar SIL en PL |
Een ESD-systeem in een raffinaderij valt dus onder IEC 61511, terwijl de safety PLC in dat systeem als product volgens IEC 61508 is ontwikkeld.
🔐 Wat is de relatie tussen IEC 61508 en cybersecurity?
Safety en security raken elkaar steeds vaker, omdat een aanval een veiligheidsfunctie kan uitschakelen. Editie 2 van IEC 61508 eist daarom dat de gevarenanalyse ook kwaadwillende of onbevoegde handelingen meeneemt. Is zo’n dreiging redelijkerwijs voorzienbaar, dan volgt een security-dreigingsanalyse, met een verwijzing naar IEC 62443.
- IEC 62443-3-2 - risicoanalyse en indeling in zones en conduits, ook voor het safety-netwerk
- IEC 62443-4-1 - veilige ontwikkelprocessen voor leveranciers, vergelijkbaar met de systematische eisen van IEC 61508-3
- IEC TR 63069 (2019) - technisch rapport over het gecombineerd toepassen van IEC 61508 en IEC 62443
- IEC 61511-1:2016 - vraagt in clausule 8.2.4 expliciet om een security-risicobeoordeling van het SIS
Een cybersecurity-risicoanalyse hoort daarom naast de SIL-bepaling te staan, niet erachter.
🧭 Hoe pas je IEC 61508 toe in de praktijk?
- Bepaal de scope - welke installatie of machine, welke gevaren en welke sectornorm geldt. Voor machines start u bij ISO 12100.
- Analyseer gevaren en risico’s - bijvoorbeeld met HAZOP of FMEA, en leg het toelaatbare risico vast.
- Wijs veiligheidsfuncties en SIL toe - bijvoorbeeld met LOPA of een risicograaf uit deel 5: welke risicoreductie moet het E/E/PE-systeem leveren?
- Schrijf de veiligheidseisenspecificatie - functie, reactietijd, veilige toestand, SIL en proof-testinterval.
- Ontwerp en verifieer - kies gecertificeerde componenten, controleer PFDavg/PFH, HFT, SFF en systematic capability.
- Valideer en documenteer - leg alles vast in een veiligheidsdossier en laat een onafhankelijk functional safety assessment uitvoeren.
- Beheer de bedrijfsfase - voer proof tests uit met het interval dat in de PFDavg-berekening is aangenomen, registreer storingen en behandel elke wijziging via management of change.
Typische toepassingen zijn het ontwerp van safety PLC’s, sensoren en actuatoren met een veiligheidsfunctie, veiligheidsrelais en de integratie van complete veiligheidsfuncties. IEC 61508 is in Nederland niet wettelijk verplicht, maar geldt als stand der techniek. Voor machines geven niet IEC 61508 maar de geharmoniseerde Europese versies van IEC 62061 en ISO 13849-1 een vermoeden van conformiteit, nu onder de Machinerichtlijn en straks onder de Machineverordening (EU) 2023/1230, die vanaf 20 januari 2027 geldt. Certificering van producten gebeurt door partijen zoals TÜV Rheinland, TÜV SÜD en exida.
❓ Veelgestelde vragen
Is IEC 61508 wettelijk verplicht?
IEC 61508 is een vrijwillige internationale norm en niet direct wettelijk verplicht. Toezichthouders zien de norm en haar afgeleide sectornormen wel als stand der techniek voor veiligheidssystemen. Wie IEC 61508 of IEC 61511 niet volgt, moet zelf aantonen dat het risico even goed beheerst is.
Wat is het verschil tussen IEC 61508 en IEC 61511?
IEC 61508 is de generieke basisnorm en richt zich vooral op fabrikanten die veiligheidscomponenten en -systemen ontwikkelen. IEC 61511 is de afgeleide norm voor eindgebruikers en integratoren in de procesindustrie die een veiligheidsinstrumentatiesysteem ontwerpen en beheren. Een SIS volgens IEC 61511 bestaat doorgaans uit componenten die volgens IEC 61508 zijn gecertificeerd.
Wat betekent SIL 2 volgens IEC 61508?
SIL 2 betekent volgens IEC 61508 dat een veiligheidsfunctie in low demand-bedrijf een gemiddelde faalkans bij aanspraak heeft tussen 10⁻³ en 10⁻². Dat komt overeen met een risicoreductie van 100 tot 1.000 keer. In high demand- of continu bedrijf ligt de grens tussen 10⁻⁷ en 10⁻⁶ gevaarlijke storingen per uur.
Kan een component SIL 3 zijn?
Strikt genomen krijgt een veiligheidsfunctie een SIL volgens IEC 61508, niet een los component. Een component krijgt een geschiktheid, bijvoorbeeld “SIL 3 capable”, op basis van faaldata, architectuur en systematic capability. Of de hele functie SIL 3 haalt, hangt af van de combinatie van sensor, logica en actuator.
Wanneer verschijnt editie 3 van IEC 61508?
Editie 3 van IEC 61508 is in ontwikkeling bij IEC SC 65A. De conceptversies zijn in 2025–2026 becommentarieerd en in stemming gebracht, en publicatie wordt rond 2027 verwacht. Tot die tijd blijft editie 2 uit 2010 de geldende versie.
Behandelt IEC 61508 ook cybersecurity?
IEC 61508 eist sinds editie 2 dat de gevarenanalyse kwaadwillende en onbevoegde handelingen meeneemt en dat bij een voorzienbare dreiging een security-analyse volgt. De norm bevat zelf geen uitgewerkte securitymaatregelen en verwijst daarvoor naar IEC 62443. IEC TR 63069 beschrijft hoe beide normen samen worden toegepast.
📌 Samengevat
IEC 61508 is de internationale basisnorm voor functionele veiligheid van E/E/PE-systemen en legt via een levenscyclus van zestien fasen en vier SIL-niveaus vast hoe betrouwbaar een veiligheidsfunctie moet zijn. Met kwantitatieve faalkansen, architecturale eisen en systematic capability vormt de norm het fundament onder IEC 61511, IEC 62061 en ISO 26262, en met de koppeling naar IEC 62443 ook onder de samenwerking tussen safety en security.