IEC 61511

Wat is IEC 61511?

IEC 61511 is de internationale norm voor functionele veiligheid van Safety Instrumented Systems (SIS) in de procesindustrie, die over de hele levenscyclus vastlegt hoe u veiligheidsfuncties specificeert, ontwerpt, installeert, test, bedient, onderhoudt en wijzigt. De norm is de sectorimplementatie van de generieke basisnorm IEC 61508 en richt zich op eindgebruikers, ingenieursbureaus en systeemintegratoren in chemie, petrochemie, olie en gas, farmacie en voeding. Waar IEC 61508 vooral fabrikanten van veiligheidscomponenten aanspreekt, gaat IEC 61511 over het toepassen van die componenten in een concrete installatie.

IEC 61511 is dé norm voor procesveiligheid met instrumentele beveiligingen in de chemie, olie & gas, voeding en farmacie.

🎯 Wat is het doel van IEC 61511?

Een SIS is de automatische beveiliging die een proces naar een veilige toestand brengt wanneer de normale besturing tekortschiet. IEC 61511 zorgt ervoor dat die beveiliging aantoonbaar de risicoreductie levert die nodig is. De norm vraagt u om:

• Gevaren te identificeren - met een risicobeoordeling van het proces, bijvoorbeeld via HAZOP
• De benodigde risicoreductie te bepalen - en die toe te wijzen aan onafhankelijke beschermingslagen, met LOPA als gangbare methode
• Safety Instrumented Functions (SIF’s) te specificeren - elk met een vereist Safety Integrity Level
• Een passende SIS-architectuur te ontwerpen - met de juiste redundantie en hardwarefouttolerantie
• Functionele veiligheid te beheersen gedurende de hele levenscyclus - inclusief testen, wijzigingsbeheer, competentie en documentatie

📚 Hoe is IEC 61511 opgebouwd?

De norm bestaat uit drie hoofddelen, aangevuld met twee technische rapporten. Alleen deel 1 bevat normatieve eisen; de overige delen zijn toelichting.

De geschiedenis in het kort:

In Nederland en Europa is de norm overgenomen als NEN-EN-IEC 61511.

🔁 Hoe ziet de SIS-levenscyclus volgens IEC 61511 eruit?

IEC 61511-1 beschrijft een veiligheidslevenscyclus waarin elke fase eigen eisen, verificatie en documentatie heeft. Grofweg zijn drie fasen te onderscheiden:

1. Analysefase

• Gevaren- en risicoanalyse (clausule 8), bijvoorbeeld met HAZOP of een bow-tie
• Toewijzing van veiligheidsfuncties aan beschermingslagen en bepaling van het SIL (clausule 9), vaak met LOPA
• Opstellen van de Safety Requirements Specification, de SRS (clausule 10)

2. Realisatiefase

• Ontwerp en engineering van het SIS (clausule 11): keuze van sensoren, logic solver en actuatoren zoals afsluiters
• Applicatieprogrammatuur (clausule 12)
• Factory Acceptance Test (clausule 13), installatie en inbedrijfname (clausule 14) en validatie (clausule 15)

3. Operationele fase

• Bedrijfsvoering en onderhoud, inclusief periodieke proof tests en beheer van overbruggingen (clausule 16)
• Wijzigingen via Management of Change (clausule 17)
• Buitengebruikstelling (clausule 18)

Over alle fasen heen lopen clausule 5 (management van functionele veiligheid), clausule 6 (levenscycluseisen), clausule 7 (verificatie) en clausule 19 (informatie en documentatie).

🔢 Hoe bepaalt u het vereiste SIL?

Het SIL drukt uit hoeveel risicoreductie een SIF moet leveren. Voor functies met een lage aanspraakfrequentie (low demand, de meeste procesbeveiligingen) gelden deze grenzen voor de gemiddelde faalkans bij aanspraak (PFDavg):

Enkele harde regels uit IEC 61511-1:

• Basisbesturing telt beperkt mee - een beschermingslaag in het DCS of een ander basisbesturingssysteem (BPCS) mag maximaal een risicoreductie van 10 claimen; wilt u meer, dan moet die laag volgens IEC 61511 zelf worden ontworpen en beheerd. Is de basisbesturing niet zelf de oorzaak van het scenario, dan mogen maximaal twee van zulke lagen worden meegeteld
• Boven de 10.000 eerst heroverwegen - vraagt een scenario meer dan factor 10.000 risicoreductie, dan moet u eerst nagaan of procesaanpassing, niet-instrumentele maatregelen of een kleinere hoeveelheid gevaarlijke stof die eis kunnen voorkomen; blijft het nodig, dan volgt een kwantitatieve analyse waarin afhankelijkheden en common cause-falen worden meegenomen
• Betrouwbaarheidsdata moet herleidbaar zijn - faalfrequenties moeten geloofwaardig, gedocumenteerd en gebaseerd zijn op veldervaring met vergelijkbare apparatuur in een vergelijkbare omgeving. Een MTBF alleen is niet genoeg: het gaat om de frequentie van gevaarlijke, onontdekte fouten, en ook de dekkingsgraad van de proof test telt mee in de PFDavg-berekening

🔧 Welke eisen stelt IEC 61511 aan ontwerp en componenten?

Bij het ontwerp moet elke SIF zowel de hardware-integriteit (PFDavg en fouttolerantie) als de systematische integriteit halen. Voor componenten heeft u twee routes:

• IEC 61508-gecertificeerde componenten - de fabrikant levert een veiligheidshandboek en een systematic capability, bijvoorbeeld voor een safety PLC of transmitter
• Prior use - componenten die u niet volgens IEC 61508 kunt aantonen, mag u inzetten op basis van gedocumenteerde ervaring in vergelijkbare procesomstandigheden (IEC 61508 spreekt van proven in use)

Daarnaast vraagt de norm om:

• Fail-safe gedrag - bij detectie van een fout gaat het SIS naar de veilige toestand of worden compenserende maatregelen getroffen
• Onafhankelijkheid - het SIS moet gescheiden zijn van de basisbesturing, zodat een fout in de besturing niet ook de beveiliging uitschakelt
• Applicatieprogrammatuur in beperkte talen - logica in een limited variability language zoals FBD of ladder valt onder IEC 61511; ontwikkeling van nieuwe hardware, embedded software of programmatuur in een full variability language valt onder IEC 61508
• Proof testing - periodieke tests die ongedetecteerde gevaarlijke fouten aan het licht brengen; het testinterval (vaak één tot enkele jaren, afgestemd op een turnaround) is een rekenparameter in de PFDavg

🧭 Wat houdt management van functionele veiligheid in?

Clausule 5 maakt IEC 61511 tot een managementnorm, niet alleen een technische norm. Belangrijke onderdelen:

• Competentiemanagement - iedereen die aan de levenscyclus werkt moet aantoonbaar bekwaam zijn, met periodieke beoordeling
• Functional Safety Assessment (FSA) - vijf beoordelingsmomenten: na de risicoanalyse en SRS, na het ontwerp, na installatie, inbedrijfname en validatie, periodiek tijdens bedrijf en onderhoud, en na wijzigingen en vóór buitengebruikstelling. Het team bevat minimaal één senior bekwame persoon die niet in het ontwerpteam zat (stage 1 tot en met 3) of niet betrokken is bij bedrijfsvoering en onderhoud van het SIS (stage 4 en 5)
• Verplichte FSA vóór de start - voordat het gevaar aanwezig is (stage 3) moet een FSA zijn afgerond
• Audits en configuratiebeheer - applicatieprogrammatuur en documentatie vallen onder versiebeheer
• Wijzigingen - een wijziging aan het SIS begint pas na beoordeling van de impact op functionele veiligheid, en wordt vastgelegd in een wijzigingslog

🔐 Wat zegt IEC 61511 over cybersecurity?

Sinds editie 2 vraagt clausule 8.2.4 expliciet om een security-risicobeoordeling van het SIS. Daarin legt u vast welke dreigingen en kwetsbaarheden er zijn, wat de mogelijke gevolgen zijn en welke maatregelen het risico verkleinen. De norm verwijst daarvoor naar IEC 62443, ISO/IEC 27001 en ISA TR84.00.09. Clausule 11 vult dit aan: het ontwerp moet weerbaarheid bieden tegen de gevonden securityrisico’s.

Waarom dit nodig is, liet TRITON zien. In 2017 probeerden aanvallers in een Saoedische petrochemische fabriek Triconex-veiligheidscontrollers van Schneider Electric te herprogrammeren, vermoedelijk om de beveiliging uit te schakelen. Een fout in hun code bracht de controllers in de veilige toestand, waardoor de installatie stilviel en de aanval werd ontdekt. Een SIS is daarmee geen geïsoleerd eiland meer.

In de praktijk koppelt u IEC 61511 aan IEC 62443 via:

• Eigen zone voor het SIS - volgens het zones-en-conduits-model en een risicobeoordeling volgens IEC 62443-3-2
• Gecontroleerde koppeling met het DCS - alleen noodzakelijke, liefst alleen-lezen communicatie via een conduit
• Fysieke beveiliging van programmeermogelijkheden - sleutelschakelaars in RUN-stand en geen permanent aangesloten engineering station
• Monitoring - afwijkende communicatie naar de safety controller detecteren

🔄 Hoe verhoudt IEC 61511 zich tot andere normen?

🏭 Waar wordt IEC 61511 toegepast?

In Nederland vallen de grootste risicobedrijven onder de Europese Seveso III-richtlijn. Tot 2024 was die geïmplementeerd in het Brzo 2015; sinds 1 januari 2024 zijn die regels opgenomen in de Omgevingswet en de bijbehorende besluiten. Inspecteurs van de Nederlandse Arbeidsinspectie, omgevingsdiensten en veiligheidsregio’s beschouwen NEN-EN-IEC 61511 als stand der techniek voor instrumentele beveiligingen. Veel van deze bedrijven vallen bovendien onder NIS2 en de Cyberbeveiligingswet, die op 15 augustus 2026 in werking trad, zodat de security-eisen voor het SIS ook wettelijk gewicht krijgen.

❓ Veelgestelde vragen

Is IEC 61511 wettelijk verplicht?

IEC 61511 is een vrijwillige internationale norm en wordt in geen enkele wet letterlijk voorgeschreven. Nederlandse toezichthouders bij Seveso-bedrijven zien IEC 61511 wel als stand der techniek voor instrumentele beveiligingen. Wie de norm niet volgt, moet zelf aantonen dat het risico minstens even goed beheerst is.

Wat is het verschil tussen IEC 61508 en IEC 61511?

IEC 61508 is de generieke basisnorm voor functionele veiligheid en richt zich vooral op fabrikanten van veiligheidscomponenten. IEC 61511 is de sectornorm voor de procesindustrie en richt zich op eindgebruikers en integratoren die een SIS ontwerpen en beheren. Een SIS volgens IEC 61511 bestaat doorgaans uit componenten die volgens IEC 61508 zijn gecertificeerd.

Wat is de huidige versie van IEC 61511?

De geldende versie van IEC 61511 is de tweede editie uit 2016, waarbij deel 1 in 2017 een amendement kreeg (IEC 61511-1:2016+AMD1:2017). De eerste editie uit 2003 is daarmee vervangen. Een derde editie is in ontwikkeling bij IEC.

Wat is prior use in IEC 61511?

Prior use is de route in IEC 61511 om een component in een SIS te gebruiken op basis van aantoonbare ervaring in vergelijkbare procesomstandigheden, in plaats van een IEC 61508-certificaat. U moet die ervaring documenteren, inclusief het faalgedrag, en de versie van het component onder configuratiebeheer houden. De bijbehorende term in IEC 61508 is proven in use.

Hoe vaak moet een SIS getest worden volgens IEC 61511?

IEC 61511 schrijft geen vast testinterval voor, maar eist dat het proof-testinterval past bij de berekende PFDavg van elke SIF. In de praktijk liggen intervallen vaak tussen één en enkele jaren, gekoppeld aan een turnaround. Uitgestelde proof tests moeten via een procedure worden beoordeeld en goedgekeurd.

Geldt IEC 61511 ook voor voeding en farmacie?

Ja, de tweede editie van IEC 61511 noemt farmacie en voedings- en drankenindustrie expliciet in de scope, naast chemie, raffinage en olie en gas. Overal waar een instrumentele beveiliging een procesgevaar moet afvangen, is IEC 61511 de referentie. Sinds 2016 hoort daar ook een security-risicobeoordeling van het SIS volgens clausule 8.2.4 bij.

📌 Samengevat

IEC 61511 is dé norm voor het ontwerpen en beheren van instrumentele veiligheidssystemen in de procesindustrie. Met een volledige levenscyclus van HAZOP en LOPA tot proof testing en wijzigingsbeheer, harde SIL-eisen en sinds 2016 een verplichte security-risicobeoordeling zorgt de norm dat Safety Instrumented Systems (SIS) betrouwbaar, aantoonbaar en effectief risico’s reduceren.