PROFIsafe

Wat is PROFIsafe?

PROFIsafe is een open veiligheidsprofiel van PROFIBUS & PROFINET International (PI) waarmee safety-signalen tot SIL 3 via hetzelfde ProfiNET- of Profibus-netwerk lopen als de gewone procesdata. Een Safety PLC wisselt zo noodstop-, deur- en lichtschermsignalen uit met fail-safe I/O, drives en sensoren zonder aparte safety-bekabeling. PROFIsafe is sinds 2007 internationaal genormeerd in IEC 61784-3-3, is goedgekeurd door TÜV en het Duitse IFA en wordt toegepast in industriële automatisering en procesautomatisering.

Binnen OT-convergentie is PROFIsafe een bijzonder geval: het safety-verkeer deelt het netwerk met SCADA, DCS, HMI-systemen en engineeringstations, maar mag daar nooit van afhankelijk worden.

🧠 Hoe werkt PROFIsafe?

PROFIsafe werkt volgens het black channel-principe. Het onderliggende netwerk, met zijn switches, kabels, glasvezel, draadloze verbindingen of backplane, wordt als onbetrouwbaar beschouwd en telt niet mee in de veiligheidsbeoordeling. Alle foutdetectie zit in een dunne safety-laag in de twee eindpunten: de F-Host (de safety-controller) en het F-Device (bijvoorbeeld een fail-safe ingangskaart of een drive).

Die twee wisselen cyclisch een PROFIsafe-bericht uit dat als gewone nuttige data in een PROFINET- of PROFIBUS-telegram meereist. Elk bericht bevat:

• Safety-data - maximaal 12 bytes met een CRC van 3 bytes, of maximaal 123 bytes met een CRC van 4 bytes
• Status- of control-byte - om onder meer fail-safe waarden en herstart te signaleren
• CRC-handtekening - berekend over data, parameters en een virtueel volgnummer

Omdat PROFIsafe niet leunt op de foutdetectie van het netwerk, maakt het voor de safety-integriteit niet uit of het pakket via koper, glasvezel of WLAN reist. Het determinisme komt wel van het netwerk zelf: PROFINET RT of IRT zorgt voor voorspelbare cycli, PROFIsafe bewaakt alleen of die timing wordt gehaald.

Het black channel is niet helemaal vrij van regels. PI staat elk type switch toe, maar minder dan 100 achter elkaar en per submodule maar één F-Host. De codenamen (F-adressen) moeten uniek zijn binnen een zogeheten PROFIsafe-eiland; eilanden met dezelfde adresruimte moeten door routers gescheiden zijn. Overgangen van PROFINET naar PROFIBUS DP en verder naar de intrinsiek veilige PROFIBUS PA-variant MBP-IS zijn wel toegestaan.

🔐 Welke veiligheidsmechanismen gebruikt PROFIsafe?

IEC 61784-3 somt de fouten op die een veilig communicatieprotocol moet afvangen: corruptie, herhaling, verkeerde volgorde, verlies, vertraging, invoeging, maskerade en adresseringsfouten. PROFIsafe dekt die af met vier maatregelen:

Gaat een controle mis, dan schakelt het F-Device naar fail-safe waarden: uitgangen worden spanningsloos en ingangen geven hun veilige waarde (meestal 0) door aan de safety-logica. Siemens noemt dit passiveren. Een verbinding herstelt pas na een bewuste bevestiging, zodat een machine niet onverwacht herstart.

De F-parameters zelf, zoals het F-adres, de watchdogtijd en het SIL-niveau, zijn ook met een CRC beveiligd. Een device-beschrijving in een GSD-bestand met F-parameters krijgt bovendien een eigen safety-CRC.

📊 Welke veiligheidsniveaus haalt PROFIsafe?

PROFIsafe is geschikt voor toepassingen tot SIL 3 volgens IEC 61508 en IEC 62061, en daarmee ook tot PL e volgens ISO 13849. Voor SIL 3 mag een complete veiligheidsfunctie minder dan 1 gevaarlijke storing per 10^7 uur hebben. IEC 61784-3 reserveert daarvan doorgaans 1% voor de communicatie, zodat de restfoutkans van PROFIsafe onder de 10^-9 per uur moet liggen: grofweg één onontdekte fout per 114.000 jaar.

Let op: dat niveau geldt alleen voor de communicatie. Of de totale functie SIL 3 haalt, hangt af van de sensor, de safety-controller, de actuator en de architectuur. Die bepaalt u met een risicobeoordeling, HAZOP of LOPA en een SIL-bepaling volgens IEC 61511 voor de procesindustrie.

🕰️ Hoe is PROFIsafe ontstaan?

PI publiceerde in 1999 de eerste specificatie voor veilige communicatie, eerst voor PROFIBUS DP. Versie 2 (2005) maakte het profiel geschikt voor PROFINET, onder meer met een groter adresbereik voor Ethernetnetwerken. Sinds 2007 is PROFIsafe als IEC 61784-3-3 een internationale norm.

Voor u als gebruiker betekent dit: een nieuw F-Device kan niet meer alleen op V2.4 worden gecertificeerd. V2.4 blijft vooral relevant bij het vervangen van apparaten in bestaande installaties, waar de F-Host bepaalt welke versies samen kunnen draaien. De tweede watchdogtijd is bedoeld voor situaties als het wijzigen van parameters tijdens bedrijf (Parameterization in Run), en met passivering per kanaal hoeft bij een fout niet meer de hele module naar fail-safe waarden.

De groei is fors. In 2018 telde PI ongeveer 11 miljoen PROFIsafe-nodes. In 2024 werden 3,1 miljoen PROFIsafe-apparaten geleverd en de geïnstalleerde basis wordt op circa 28,7 miljoen nodes geschat.

🏭 Waar wordt PROFIsafe toegepast?

• Machinebouw en robotica - noodstops, deurvergrendelingen, lichtschermen en veiligheidsscanners in een robotcel, verwerkt door één Safety PLC
• Drives en motion control - frequentieregelaars en servodrives krijgen safety-commando’s via het netwerk
• Intralogistiek - transportbanden en AGV’s, waar draadloze PROFIsafe-verbindingen bewegende delen veilig houden
• Procesindustrie - brand- en gasdetectie, veilig sluiten van kleppen en burner management als onderdeel van een SIS. De meeste toepassingen gebruiken remote I/O met F-modules voor 4-20 mA- of HART-signalen; NAMUR NE 97 beschrijft daarnaast hoe safety-veldinstrumenten via PROFIBUS PA (MBP-IS) in ATEX-zones werken
• Energie - turbinebeveiliging en interlocks, vaak met redundantie voor hoge beschikbaarheid

In drives activeert PROFIsafe de functies uit IEC 61800-5-2:

🔄 Wat is het verschil tussen PROFIsafe, hardwired safety en CIP Safety?

De keuze volgt meestal het besturingsplatform. In een Siemens-omgeving met TIA Portal ligt PROFIsafe voor de hand; Beckhoff ondersteunt PROFIsafe via interfaceklemmen, naast het eigen FSoE voor EtherCAT.

🔧 Hoe richt u een PROFIsafe-installatie goed in?

1. Begin bij de risicobeoordeling - leg per veiligheidsfunctie de vereiste SIL of PL vast voordat u hardware kiest.
2. Kies gecertificeerde componenten - F-Host en F-Devices moeten een PI-certificaat en een TÜV- of vergelijkbare beoordeling hebben; controleer de ondersteunde PROFIsafe-versie.
3. Ken unieke F-adressen toe - elk F-Device krijgt een F_Dest_Add die in het hele netwerk uniek is, via DIP-schakelaars op het device of via toewijzing in de engineeringsoftware. Dubbele adressen leiden tot passivering of, erger, verwisselde signalen.
4. Dimensioneer de watchdog - F_WD_Time moet ruim groter zijn dan de werkelijke reactietijd van busscyclus, controllercyclus en device samen, maar klein genoeg voor de vereiste veiligheidsafstand volgens ISO 13855. Te krap geeft spookstoringen, te ruim een te lange stoptijd.
5. Ontwerp het netwerk voor stabiliteit - congestie, broadcaststormen, verkeerde QoS of overbelaste switches leiden tot watchdogfouten. Lage latency en weinig jitter zijn een beschikbaarheidskwestie; een ringredundantie met MRP voorkomt stilstand bij een kabelbreuk.
6. Valideer en documenteer - test elke veiligheidsfunctie bij FAT en SAT, leg de checksum van het safety-programma vast en borg wijzigingen met change management.

Bij storingen zijn de meest voorkomende oorzaken een watchdog-timeout door netwerkvertraging, CRC-fouten door EMC of verkeerde parameters, en adresconflicten na het vervangen van een device. Wireshark herkent PROFIsafe-berichten binnen PROFINET-verkeer, wat helpt bij analyse.

⏱️ Hoe berekent u de reactietijd van een PROFIsafe-veiligheidsfunctie?

Bij tijdkritische functies, zoals een pers achter een lichtscherm, bepaalt de reactietijd hoe ver de beveiliging van het gevaar moet staan. PROFIsafe gebruikt daarvoor de Safety Function Response Time (SFRT). De keten bestaat uit een ingangs-F-Device, een PROFIsafe-overdracht, de verwerking in de F-Host, een tweede overdracht en een uitgangs-F-Device. Telt u van elk onderdeel de maximale vertraging op, dan krijgt u de Total Worst Case Delay Time (TWCDT).

Voor safety is dat niet genoeg: als één onderdeel precies op dat moment uitvalt, merkt pas de watchdog het op. Daarom telt u er het grootste verschil tussen watchdogtijd en worst-case vertraging van één onderdeel bij op. Er wordt maar één fout tegelijk aangenomen, dus alleen de grootste delta telt. Elk F-Device moet zijn worst-case vertraging opgeven, zodat engineeringtools als TIA Portal de SFRT kunnen berekenen.

Rekenvoorbeeld (illustratief): ingang 10 ms, overdracht 8 ms, F-Host 30 ms, overdracht 8 ms en uitgang 10 ms geven een TWCDT van 66 ms. Staat de watchdog op 100 ms en is de worst-case overdracht 8 ms, dan is de delta 92 ms en wordt de SFRT 158 ms. Met een stoptijd van de machine van 150 ms is de totale tijd T = 0,308 s. Volgens ISO 13855 geeft een lichtscherm met 30 mm resolutie dan een veiligheidsafstand van 1600 mm/s x 0,308 s + 128 mm = circa 621 mm. Elke 100 ms extra watchdogtijd kost dus ongeveer 16 cm extra afstand.

⚠️ Beschermt PROFIsafe tegen cyberaanvallen?

Nee. PROFIsafe beschermt tegen toevallige fouten, niet tegen een aanvaller met kennis van het protocol. De CRC is geen cryptografische handtekening en er is geen authenticatie of versleuteling. Een aanvaller met netwerktoegang kan dus spoofing, man-in-the-middle of een denial-of-service proberen. Dat laatste is het meest realistisch: een overbelast netwerk laat de watchdog aflopen en legt de installatie veilig, maar wel stil. Malware op een engineeringstation kan bovendien het safety-programma zelf wijzigen.

Daarom hoort PROFIsafe in een defense-in-depth-aanpak volgens IEC 62443:

• Netwerksegmentatie - plaats safety-systemen in een eigen zone binnen het zones-en-conduits-model, eventueel in een eigen VLAN van het OT-netwerk
• Industriële firewalls - laat alleen het noodzakelijke verkeer tussen zones toe
• NAC en 802.1X - voorkom dat onbekende apparaten aan het safety-netwerk hangen
• IDS en logging - detecteer afwijkend verkeer en ongeautoriseerde downloads
• Patchmanagement en geharde engineeringstations met wachtwoordbeveiliging op het safety-programma

PI zelf eist dat PROFIsafe-netwerken in afgeschermde security-zones liggen. Verkeer tussen zones over een open backbone loopt via security gates met VPN en firewall. Voor draadloze PROFIsafe-verbindingen schrijft PI de beveiliging van IEEE 802.11 in infrastructuurmodus voor; ad-hocmodus is niet toegestaan.

🏗️ Hoe ontwikkelt PROFIsafe zich?

Binnen Industrie 4.0 krijgt PROFINET met TSN een nieuwe transportlaag, naast Industrial Ethernet-verkeer en OPC UA. Omdat PROFIsafe een black-channel-protocol is, gaat het ongewijzigd mee naar nieuwe transportlagen. Diagnosedata uit safety-devices vinden hun weg naar edge-platformen en Industrial AI voor voorspellend onderhoud. De veiligheidsfunctie zelf blijft in gecertificeerde F-logica; Safety verschuift naar software, maar niet naar ongecertificeerde software. Ook toepassingen als CNC-machines profiteren van de fijnmazige drive-safety.

❓ Veelgestelde vragen

Heeft PROFIsafe een apart netwerk nodig?

Nee, PROFIsafe gebruikt hetzelfde PROFINET- of PROFIBUS-netwerk als de standaard procesdata. Het netwerk hoeft niet safety-gecertificeerd te zijn, omdat PROFIsafe alle foutdetectie zelf in de eindpunten uitvoert. Voor beschikbaarheid en security is een gescheiden segment wel verstandig.

Wat gebeurt er als een PROFIsafe-verbinding wegvalt?

Als er binnen de watchdogtijd F_WD_Time geen geldig PROFIsafe-bericht binnenkomt, schakelt het F-Device naar fail-safe waarden. Uitgangen worden spanningsloos en de safety-controller ziet veilige ingangswaarden, zodat de machine stopt. Herstart vraagt een bewuste bevestiging.

Kan PROFIsafe draadloos werken?

Ja, PROFIsafe is goedgekeurd voor draadloze verbindingen zoals WLAN en Bluetooth, omdat het protocol bitfoutkansen tot 10^-2 in het black channel afvangt. In de praktijk moet de watchdogtijd ruimer worden gekozen om roaming en storingen op te vangen, en PI eist WLAN in infrastructuurmodus met IEEE 802.11-beveiliging. Dat wordt toegepast bij AGV’s, portaalrobots, teach panels en roterende machinedelen.

Welke SIL haalt PROFIsafe?

PROFIsafe is geschikt voor toepassingen tot SIL 3 volgens IEC 61508 en PL e volgens ISO 13849. De communicatie zelf gebruikt slechts circa 1% van het SIL 3-foutbudget, met een restfoutkans onder 10^-9 per uur. Het niveau van de totale veiligheidsfunctie hangt af van alle componenten in de keten.

Is PROFIsafe alleen voor Siemens-apparatuur?

Nee, PROFIsafe is een open profiel van PROFIBUS & PROFINET International en wordt ondersteund door onder meer Siemens, Phoenix Contact, ABB, Pilz, WAGO en Beckhoff. Siemens is wel de bekendste aanbieder. Apparaten moeten door PI gecertificeerd zijn, wat de uitwisselbaarheid tussen merken borgt.

Wat is het verschil tussen PROFIsafe en CIP Safety?

PROFIsafe draait op PROFINET en PROFIBUS en bewaakt de communicatie met volgnummers en een watchdog. CIP Safety draait op EtherNet/IP, DeviceNet en Sercos III en gebruikt tijdstempels. Beide zijn black channel-protocollen tot SIL 3; de keuze volgt meestal het besturingsplatform.

📌 Samengevat

PROFIsafe brengt safety-signalen tot SIL 3 en PL e over het gewone PROFINET- of PROFIBUS-netwerk door alle foutdetectie (volgnummer, watchdog, codenaam en CRC) in de eindpunten te leggen. Het spaart bekabeling en geeft betere diagnose, maar beschermt niet tegen cyberaanvallen: segmentatie en beveiliging volgens IEC 62443 blijven nodig om de safety-functie beschikbaar en betrouwbaar te houden.