Wat is IEC 62061?
IEC 62061 is de internationale norm voor de functionele veiligheid van veiligheidsgerelateerde besturingssystemen van machines, waarin een veiligheidsfunctie wordt ontworpen, gerealiseerd en gevalideerd op basis van een SIL (Safety Integrity Level) van 1 tot en met 3. De officiële titel is Safety of machinery – Functional safety of safety-related control systems. De norm is de machinevariant van de basisnorm IEC 61508 en wordt samen met NEN-EN-ISO 13849 gebruikt om aan te tonen dat een machine aan de Machinerichtlijn voldoet. Typische toepassingen zijn een Safety PLC met noodstop, deurvergrendeling, lichtschermen en veilige snelheidsbewaking.
IEC 62061 en ISO 13849-1 volgen elk een eigen methode, maar beogen volgens de norm zelf dezelfde risicoreductie.
🧠 Wat regelt IEC 62061 precies?
IEC 62061 beschrijft het traject van het toewijzen van de vereiste veiligheidsintegriteit tot en met de validatie van het besturingssysteem. De norm noemt zo’n systeem een SCS (safety-related control system). De hoofdstukken volgen het ontwerpproces:
- Specificatie van de veiligheidsfunctie — een safety requirements specification (SRS) legt per functie vast wat ze doet, hoe snel ze reageert, in welke bedrijfstoestanden ze geldt en welk SIL vereist is.
- Ontwerp van het SCS — de functie wordt opgedeeld in deelfuncties (detecteren, verwerken, uitschakelen) die aan subsystemen worden toegewezen, zoals een sensor, een logica-eenheid en een actuator of contactor.
- Ontwerp van subsystemen — architectuur, redundantie, diagnose, faalkansen en maatregelen tegen gemeenschappelijke oorzaken.
- Software — eisen aan applicatiesoftware in twee niveaus.
- Validatie en documentatie — analyse en testen, inclusief foutsimulatie, plus informatie voor veilig gebruik.
De norm geldt voor machines die tijdens het werk niet met de hand worden vastgehouden, en ook voor groepen machines die gecoördineerd samenwerken. Buiten de scope vallen elektrische gevaren van de besturing zelf (daarvoor is er IEC 60204-1), mechanische afscherming en specifieke maatregelen voor cybersecurity. Het ontwerp van complexe programmeerbare elektronica, zoals een microcontrollerbord, valt onder IEC 61508.
📜 Welke edities van IEC 62061 bestaan er?
| Uitgave | Jaar | Belangrijkste punten |
|---|---|---|
| Editie 1 | 2005 | Eerste machinespecifieke afgeleide van IEC 61508; begrip SIL claim limit (SILCL) |
| Amendementen 1 en 2 | 2012 en 2015 | Aanpassingen op editie 1 |
| Editie 2 | maart 2021 | Nieuwe opbouw rond het ontwerpproces; ook niet-elektrische technologie; functional safety plan; eisen aan parametrering, periodiek testen en onafhankelijke verificatie; SILCL wordt maximum SIL |
| Amendement 1 | maart 2024 | Aanvulling op editie 2 |
| Amendement 2 | maart 2026 | Aanvulling; geconsolideerd als editie 2.2 |
In Europa is EN IEC 62061:2021 geharmoniseerd onder de Machinerichtlijn via Uitvoeringsbesluit (EU) 2022/621. Het vermoeden van conformiteit van de oude EN 62061:2005 is op 11 oktober 2023 vervallen. Vanaf 20 januari 2027 geldt de Machineverordening (EU) 2023/1230; de geharmoniseerde normen moeten dan opnieuw onder die verordening worden aangewezen.
🔢 Hoe bepaalt u het vereiste SIL?
IEC 62061 werkt na de risicobeoordeling volgens ISO 12100. De informatieve bijlage A geeft een matrixmethode. U scoort per gevaar vier parameters:
- Ernst (Se) — 1 (omkeerbaar, eerste hulp) tot 4 (onomkeerbaar: overlijden, verlies van een oog of arm)
- Frequentie en duur van blootstelling (Fr) — 1 tot 5, bijvoorbeeld 5 bij blootstelling vaker dan eens per uur
- Kans op de gevaarlijke gebeurtenis (Pr) — 1 (verwaarloosbaar) tot 5 (zeer hoog)
- Mogelijkheid om letsel te vermijden of te beperken (Av) — 1 (waarschijnlijk), 3 (zelden) of 5 (onmogelijk)
De klasse Cl = Fr + Pr + Av loopt van 3 tot 15. Ernst en klasse samen geven het vereiste SIL. In de huidige versie noemt de matrix naast het SIL ook het overeenkomende vereiste Performance Level (PLr).
| Ernst (Se) | Cl 3–4 | Cl 5–7 | Cl 8–10 | Cl 11–13 | Cl 14–15 |
|---|---|---|---|---|---|
| 4 | SIL 2 | SIL 2 | SIL 2 | SIL 3 | SIL 3 |
| 3 | OM | SIL 1 | SIL 2 | SIL 3 | |
| 2 | OM | SIL 1 | SIL 2 | ||
| 1 | OM | SIL 1 |
OM betekent dat andere maatregelen worden aanbevolen. Een voorbeeld: een bediener die meermaals per dag in een robotcel komt (Fr 4), een gevaarlijke beweging die zeer waarschijnlijk optreedt (Pr 5), geen ruimte om weg te springen (Av 5) en mogelijk verlies van vingers (Se 3). Dat geeft Cl 14 en dus SIL 3, wat overeenkomt met PL e.
🔧 Hoe ontwerpt u een veiligheidsfunctie volgens IEC 62061?
Het vereiste SIL wordt vertaald naar een maximale PFHd, de gemiddelde frequentie van gevaarlijk falen per uur. IEC 62061 gaat uit van de high demand- of continue bedrijfswijze; een functie die minstens eens per jaar wordt aangesproken, mag als high demand worden behandeld.
| SIL | PFHd (per uur) | Vergelijkbaar Performance Level |
|---|---|---|
| SIL 1 | ≥ 10⁻⁶ tot < 10⁻⁵ | PL b of c |
| SIL 2 | ≥ 10⁻⁷ tot < 10⁻⁶ | PL d |
| SIL 3 | ≥ 10⁻⁸ tot < 10⁻⁷ | PL e |
SIL 4 komt in IEC 62061 niet voor; dat niveau bestaat alleen in IEC 61508 en IEC 61511. De PFHd van het hele SCS is de som van de subsystemen. Voor elk subsysteem kiest u een van vier basisarchitecturen:
- A — één kanaal zonder diagnose (hardwarefouttolerantie HFT 0)
- B — twee kanalen zonder diagnose (HFT 1)
- C — één kanaal met diagnose (HFT 0); de diagnose moet minstens honderd keer vaker draaien dan de functie wordt aangesproken
- D — twee kanalen met diagnose (HFT 1), de gebruikelijke opbouw voor SIL 3
Naast de rekensom gelden architectuurbeperkingen. De safe failure fraction (SFF) en de HFT bepalen het maximale SIL dat een subsysteem mag claimen. Een enkelkanaals element met een SFF tussen 90 en 99 procent haalt hooguit SIL 2; voor SIL 3 met HFT 0 is een SFF van minimaal 99 procent nodig. Verder telt de common cause-factor β (1 tot 10 procent) mee, en is de levensduur in de berekening begrensd op twintig jaar.
Subsystemen die volgens ISO 13849-1 zijn ontworpen, of gecertificeerde componenten met een SIL- of PL-opgave, kunnen als voorontworpen subsysteem in een IEC 62061-functie worden opgenomen. Zo combineert u een veiligheidsrelais met PL e, een frequentieregelaar met veilige uitschakeling (safe torque off) en een safety-PLC in één berekening.
💻 Welke eisen stelt IEC 62061 aan software?
Editie 2 onderscheidt twee niveaus van applicatiesoftware:
- SW-niveau 1 — programmeren in een taal met beperkte variabiliteit, zoals ladderdiagram, FBD of SFC uit IEC 61131, meestal met voorgecertificeerde functieblokken op een safety-PLC. Een vereenvoudigd V-model volstaat.
- SW-niveau 2 — programmeren in een taal met volledige variabiliteit, zoals C, C++ of Instruction List. Dat vraagt een uitgebreid V-model, modulair ontwerp, statische en dynamische analyse en integratietesten.
Voor beide niveaus gelden eisen aan codeerrichtlijnen, verificatie, documentatie en wijzigingsbeheer. Editie 2 legt bovendien minimale onafhankelijkheid vast voor reviews, verificatie en validatie. Ook software waarmee parameters worden ingesteld, zoals snelheidslimieten in een aandrijving, valt onder de eisen.
🔐 Hoe verhoudt IEC 62061 zich tot cybersecurity?
IEC 62061 regelt functionele veiligheid, geen informatiebeveiliging. Subclausule 6.8 vraagt wel dat u nagaat of beveiligingsdreigingen een veiligheidsfunctie kunnen aantasten, en verwijst voor maatregelen naar IEC TS 63074. Die specificatie bouwt op IEC 62443. Dat wordt belangrijker: de Machineverordening eist bescherming tegen corruptie van veiligheidsrelevante software.
In de praktijk betekent dit:
- Wachtwoordbeveiliging en toegangsbeheer op het safety-programma en de parametrering
- Veilige communicatie via een safety-protocol zoals PROFIsafe of CIP Safety, dat fouten in het transport zelf detecteert
- Configuratiebeheer met checksums, zodat elke wijziging aan het safety-programma aantoonbaar is
- Change management via MOC, waarbij elke wijziging opnieuw wordt geverifieerd en gevalideerd
🏭 Waar wordt IEC 62061 in de industrie gebruikt?
IEC 62061 is vooral gangbaar bij complexe machines met programmeerbare veiligheidstechniek: robotcellen, verpakkingslijnen, persen, intern transport en productielijnen met meerdere veiligheidszones. Sectoren zijn onder meer automotive, voedingsmiddelen, farmacie, metaalbewerking en logistiek binnen de industriële automatisering.
Na oplevering blijft de exploitant verantwoordelijk. Editie 2 vraagt dat de fabrikant periodieke tests van de veiligheidsfuncties specificeert. In Nederland neemt de werkgever die tests op in de RI&E en het onderhoudsplan. Bij werkzaamheden aan de installatie gelden Lock-out Tag-out en een werkvergunning. Een interne of externe audit controleert of tests, wijzigingen en documentatie op orde zijn.
❓ Veelgestelde vragen
Wat is het verschil tussen IEC 62061 en ISO 13849-1?
IEC 62061 drukt de betrouwbaarheid van een veiligheidsfunctie uit in SIL 1 tot en met 3, met basisarchitecturen A tot D en volledige software-eisen. ISO 13849-1 gebruikt Performance Levels a tot en met e, met categorieën, MTTFd, diagnosedekking en CCF. Beide normen rekenen met PFHd en zijn geharmoniseerd, dus u mag kiezen en subsystemen uit de ene norm in de andere gebruiken.
Welke SIL-niveaus kent IEC 62061?
IEC 62061 kent SIL 1, SIL 2 en SIL 3, met een toegestane PFHd van respectievelijk minder dan 10⁻⁵, 10⁻⁶ en 10⁻⁷ gevaarlijke storingen per uur. SIL 4 valt buiten IEC 62061. Dat niveau komt alleen voor in IEC 61508 en in de procesindustrie onder IEC 61511.
Is IEC 62061 verplicht?
IEC 62061 is niet wettelijk verplicht. Wie een machine bouwt volgens de geharmoniseerde EN IEC 62061:2021, krijgt wel een vermoeden van conformiteit met de veiligheidseisen voor besturingen uit de Machinerichtlijn. Een fabrikant mag ook ISO 13849-1 of een andere aantoonbaar gelijkwaardige aanpak gebruiken.
Wat is de actuele versie van IEC 62061?
De actuele versie van IEC 62061 is editie 2 uit maart 2021, aangevuld met amendement 1 uit 2024 en amendement 2 uit 2026. De geconsolideerde versie heet editie 2.2. In Europa is EN IEC 62061:2021 geharmoniseerd; de oude EN 62061:2005 is sinds 11 oktober 2023 geen basis meer voor een vermoeden van conformiteit.
Wat betekent maximum SIL in IEC 62061?
Maximum SIL is het hoogste SIL dat een subsysteem binnen IEC 62061 mag claimen op grond van de architectuurbeperkingen, dus van hardwarefouttolerantie en safe failure fraction. Editie 2 verving hiermee het oudere begrip SILCL. Het SIL van de hele veiligheidsfunctie kan nooit hoger zijn dan het laagste maximum SIL van de gebruikte subsystemen.
Geldt IEC 62061 ook voor pneumatiek en hydrauliek?
Sinds editie 2 uit 2021 is IEC 62061 uitgebreid naar niet-elektrische technologieën, zoals pneumatische en hydraulische subsystemen. Bijlage C geeft daarvoor typische MTTFd-waarden. Eerder was IEC 62061 beperkt tot elektrische, elektronische en programmeerbare elektronische systemen.
📌 Samengevat
IEC 62061 is de machinenorm voor functionele veiligheid waarmee u een veiligheidsfunctie op basis van SIL 1 tot en met 3 specificeert, ontwerpt en valideert. Met de matrixmethode uit bijlage A, PFHd-grenzen per SIL, basisarchitecturen A tot en met D, twee softwareniveaus en een verwijzing naar security voor beveiligingsdreigingen biedt editie 2 (2021, met amendementen uit 2024 en 2026) een volledig onderbouwd alternatief voor ISO 13849-1, afgestemd op IEC 61508.