Wat is een Safety PLC?
Een Safety PLC is een programmeerbare controller die speciaal is ontworpen en gecertificeerd om veiligheidsfuncties uit te voeren, zoals een noodstop, een deurbewaking of een procesafschakeling, en die bij elke interne of externe fout zelf een veilige toestand afdwingt. Waar een gewone PLC is gebouwd voor productiviteit, is een safety PLC gebouwd om mensen, machines en installaties te beschermen. Hij is daarvoor gecertificeerd volgens IEC 61508, meestal tot SIL 3 en Performance Level e, en vormt het rekenhart van veiligheidssystemen in machinebouw en procesindustrie.
🧠 Waarin verschilt een Safety PLC van een gewone PLC?
Het verschil zit niet in de buitenkant, maar in hoe de controller met fouten omgaat. Een standaard PLC gaat ervan uit dat de hardware werkt; een safety PLC gaat ervan uit dat er ooit iets misgaat en moet dat binnen een vaste tijd ontdekken.
| Aspect | Standaard PLC | Safety PLC |
|---|---|---|
| Doel | Procesautomatisering en productiviteit | Functionele veiligheid: risicoreductie |
| Architectuur | Eén processor | Twee of drie processoren die elkaar controleren, of diverse (gecodeerde) verwerking in één CPU |
| Foutenafhandeling | Basis foutdetectie, stoppen bij een crash | Continue zelftests, uitgebreide diagnose, actief naar de veilige toestand |
| Certificering | Geen SIL-certificering | Typisch tot SIL 3 (IEC 61508) en PL e / categorie 4 (ISO 13849-1), door bijvoorbeeld TÜV |
| Programmering | Alle IEC 61131-talen, vrij | Beperkte, gecertificeerde instructieset (bijv. F-LAD/F-FBD), met checksum en versiebeheer |
| I/O | Standaard ingangen en uitgangen | Failsafe I/O met testpulsen en tweekanaals bedrading |
| Wijzigen | Online wijzigen gebruikelijk | Wijziging vraagt herverificatie, wachtwoord en vaak een nieuwe validatie |
Veel moderne systemen combineren beide werelden: een standaardprogramma en een veiligheidsprogramma draaien op dezelfde CPU, maar strikt van elkaar gescheiden. Het standaardprogramma mag veiligheidsdata lezen, maar nooit beïnvloeden.
🎯 Waar wordt een Safety PLC voor gebruikt?
Een safety PLC voert de veiligheidsfuncties uit die uit de risicobeoordeling volgen. Typische toepassingen in machinebouw en procesindustrie:
| Toepassing | Veiligheidsfunctie | Typische sector |
|---|---|---|
| Noodstopsystemen | Installatie of machine bij gevaar gecontroleerd stilzetten | Machinebouw, logistiek |
| Zonebewaking | Afschakelen bij betreden van een gevaarlijke zone, via lichtscherm, laserscanner of deurschakelaar | Robotcellen, verpakkingslijnen |
| Overdrukbeveiliging | Toevoer afsluiten bij te hoge druk, vóór de mechanische veiligheidsklep openblaast | Chemie, olie en gas |
| Brand- en gasdetectie | Alarmeren, ventilatie afschakelen, afsluiters sluiten of blussing activeren | Offshore, raffinaderijen, opslag |
| Procesafschakeling | Logica van een SIS of ESD en procesinterlocks uitvoeren | Procesindustrie |
| Branderbeveiliging | Brandstoftoevoer afsluiten bij vlamuitval of verkeerde opstartvolgorde | Ketels, ovens |
🔧 Hoe werkt een Safety PLC?
Een safety PLC voert een veiligheidsfunctie uit volgens de keten meten → beslissen → schakelen:
- Detecteren - failsafe sensoren zoals een lichtscherm, een noodstopknop of een drukopnemer leveren, vaak tweekanaals, een signaal
- Vergelijken - de controller vergelijkt beide kanalen; een discrepantie geldt als fout
- Beslissen - de veiligheidslogica bepaalt, eventueel met een interlock, of de machine of het proces moet stoppen
- Schakelen - veilige uitgangen schakelen actuatoren af, zoals contactoren, kleppen of de Safe Torque Off van een aandrijving
- Zelf testen - de controller test continu geheugen, processoren, klok en uitgangen; bij een gevonden fout gaat hij binnen de vastgestelde reactietijd naar de veilige toestand
De veilige toestand is bijna altijd energieloos: uitgang uit, motor stil, klep dicht of open naar de veilige kant. Daarom werken veiligheidscircuits volgens het normally energised-principe: een draadbreuk leidt ook tot afschakeling.
Bij een safety PLC zijn twee hoofdarchitecturen gangbaar. In de machinebouw zie je vooral 1oo2D (twee kanalen met diagnose) of één CPU met tijd- en codediverse verwerking. In de procesindustrie worden voor een SIS of noodafschakelsysteem (ESD) vaak TMR-systemen (triple modular redundant) met 2oo3-voting gebruikt: drie processoren stemmen, zodat één defect kanaal geen onveilige of onnodige afschakeling veroorzaakt. Dat verbetert zowel veiligheid als beschikbaarheid, een vorm van redundantie die bij een gewone PLC ontbreekt.
📏 Welke normen en SIL-niveaus gelden voor een Safety PLC?
De safety PLC zelf wordt gecertificeerd volgens de basisnorm IEC 61508. De toepassing waarin hij wordt gebruikt, valt onder een sectornorm:
| Norm | Toepassingsgebied | Maatstaf |
|---|---|---|
| IEC 61508 (ed. 2, 2010) | Basisnorm voor elektrische, elektronische en programmeerbare veiligheidssystemen; editie 3 wordt rond 2027 verwacht | SIL 1–4 |
| IEC 62061 (ed. 2, 2021) | Veiligheidsgerelateerde besturingen van machines | SIL 1–3 |
| ISO 13849-1 (ed. 4, 2023) | Veiligheidsdelen van machinebesturingen | PL a–e, categorie B–4 |
| IEC 61511 (ed. 2, 2016) | Safety Instrumented Systems in de procesindustrie | SIL 1–4, in de praktijk tot SIL 3 |
| IEC 61784-3 | Veilige communicatieprofielen over veldbussen en Ethernet | Tot SIL 3 |
Elk SIL-niveau komt overeen met een maximale faalkans. Voor SIL 3 is dat een gemiddelde faalkans bij aanspraak (PFDavg) tussen 10⁻⁴ en 10⁻³ bij weinig aanspraak, of een gevaarlijke faalfrequentie (PFHd) tussen 10⁻⁸ en 10⁻⁷ per uur bij continue aanspraak. PL e gebruikt dezelfde PFHd-bandbreedte als SIL 3.
SIL 4 bestaat in IEC 61508, maar programmeerbare safety PLC’s worden daar niet voor gecertificeerd. Voor de zeldzame SIL 4-toepassingen bestaan bedrade systemen zonder software, zoals HIMA Planar4.
🔗 Hoe communiceert een Safety PLC veilig?
Veilige I/O hangt steeds vaker niet meer aan bedrading, maar aan het netwerk. Daarvoor gebruiken safety PLC’s veiligheidsprotocollen die bovenop een standaard industrieel netwerk draaien:
- PROFIsafe (IEC 61784-3-3) - over ProfiNET en PROFIBUS, onder meer bij Siemens en Phoenix Contact
- CIP Safety (IEC 61784-3-2) - over IP, onder meer bij Rockwell Automation en Omron
- FSoE (Safety over EtherCAT, IEC 61784-3-12) - over EtherCAT, onder meer bij Beckhoff
Alle drie werken volgens het black-channel-principe: het onderliggende netwerk wordt als onbetrouwbaar beschouwd. De veiligheidslaag detecteert zelf beschadigde, herhaalde, verloren, vertraagde of vervalste berichten met volgnummers, CRC’s, verbindings-ID’s en een watchdog-tijd. Dit beschermt tegen toevallige fouten, maar niet tegen een doelbewuste aanval: daarvoor is cybersecurity nodig.
🏭 Welke Safety PLC’s zijn er op de markt?
| Fabrikant | Productlijn | Programmeeromgeving | Typisch gebruik |
|---|---|---|---|
| Siemens | S7-1500F, S7-1200F, ET 200SP F-CPU | STEP 7 Safety in TIA Portal (F-LAD, F-FBD) | Machinebouw, logistiek, procesindustrie |
| Rockwell Automation / Allen-Bradley | GuardLogix 5580, Compact GuardLogix 5380 | Studio 5000 Logix Designer | Machinebouw, automotive |
| Pilz | PSSuniversal PLC (PSS 4000), PNOZmulti (configureerbaar veiligheidsrelais) | PAS4000, PNOZmulti Configurator | Machine- en installatieveiligheid |
| HIMA | HIMax, HIMatrix, HIQuad X | SILworX | Proces-, olie- en gasindustrie, SIS en ESD |
| Schneider Electric | Triconex Tricon CX, Trident (TMR) | TriStation 1131 | Procesindustrie, raffinaderijen |
| Phoenix Contact | RFC 4072S (PLCnext), SafetyBridge-modules | PLCnext Engineer | Machinebouw, decentrale veiligheid |
Let op de nuance per product: een GuardLogix 5580 haalt bijvoorbeeld pas SIL 3 / PL e in combinatie met zijn safety partner; alleen haalt de controller SIL 2 / PL d. De veiligheidshandleiding van de fabrikant is daarom altijd leidend.
🧭 Hoe programmeert en valideert u een Safety PLC?
Een safety PLC programmeren is geen kwestie van logica schrijven en downloaden. Volgens IEC 62061, ISO 13849 of IEC 61511 doorloopt u een levenscyclus:
- Risicobeoordeling - bepaal per gevaar de vereiste risicoreductie, met een HAZOP en LOPA in de procesindustrie of een risicograaf in de machinebouw
- Veiligheidsspecificatie - leg elke veiligheidsfunctie vast met de vereiste SIL of PL, reactietijd en veilige toestand
- Architectuur kiezen - selecteer sensoren, safety PLC en actuatoren en reken de PFHd of PFDavg door, voor ISO 13849 bijvoorbeeld met de gratis IFA-tool SISTEMA
- Programmeren - gebruik de gecertificeerde bouwstenen van de fabrikant en houd het veiligheidsprogramma klein en eenvoudig
- Verificatie en validatie - test elke veiligheidsfunctie, inclusief foutsimulatie zoals draadbreuk en kortsluiting, en leg de programmachecksum vast
- Beheer - elke wijziging loopt via wijzigingsbeheer met impactanalyse en hertest; overbruggingen en bypasses worden geregistreerd
In de EU is dit geen vrijblijvende keuze. Onder de Machinerichtlijn en vanaf 20 januari 2027 de Machineverordening (EU) 2023/1230 staan logische eenheden voor veiligheidsfuncties op de lijst van hoogrisicoproducten, en de verordening erkent expliciet dat ook software een veiligheidscomponent kan zijn. Voor Nederlandse Brzo-bedrijven in de chemie geldt IEC 61511 als stand der techniek voor het ontwerp en beheer van een SIS.
🔐 Hoe beveiligt u een Safety PLC tegen cyberaanvallen?
De aanname dat een veiligheidssysteem “los staat” van de rest, bleek in 2017 onhoudbaar. Bij de TRITON-aanval op een petrochemische installatie in Saoedi-Arabië drongen aanvallers via het IT-netwerk door tot het engineeringstation van de Triconex-controllers en probeerden zij de veiligheidslogica te wijzigen. De sleutelschakelaar van de controllers stond in de stand PROGRAM, waardoor programmeren op afstand mogelijk was. Alleen een fout in de malware bracht het proces in de veilige toestand en leidde tot ontdekking.
Sinds editie 2 (2016) eist IEC 61511-1 daarom in clausule 8.2.4 een security-risicobeoordeling voor het SIS. Praktische maatregelen volgens IEC 62443:
- Aparte zone - plaats het veiligheidssysteem in een eigen zone volgens het zones-en-conduits-model, gescheiden van de procesbesturing via netwerksegmentatie
- Sleutelschakelaar op RUN - laat de modusschakelaar standaard in de bedrijfsstand en bewaak elke wijziging
- Beschermd engineeringstation - geen internettoegang, sterke authenticatie en alleen in gebruik tijdens geplande wijzigingen
- Checksum-bewaking - vergelijk de programmachecksum periodiek met de gevalideerde versie
- Monitoring - detecteer engineeringverkeer naar de safety PLC buiten onderhoudsvensters
❓ Veelgestelde vragen
Wat is het verschil tussen een safety PLC en een veiligheidsrelais?
Een veiligheidsrelais bewaakt meestal één of enkele vaste veiligheidsfuncties, zoals één noodstopcircuit, en is niet vrij programmeerbaar. Een safety PLC kan tientallen tot honderden veiligheidsfuncties in software combineren en via een netwerk met veilige I/O communiceren. Bij meer dan een handvol functies of bij veel varianten is een safety PLC doorgaans goedkoper en flexibeler.
Kan een safety PLC ook normale besturingstaken uitvoeren?
Veel safety PLC’s, zoals de Siemens S7-1500F en Rockwell GuardLogix, draaien een standaardprogramma en een veiligheidsprogramma naast elkaar op dezelfde CPU. Het veiligheidsprogramma is daarbij strikt afgeschermd en wordt apart gecertificeerd en gevalideerd. In de procesindustrie houdt men het SIS juist vaak bewust gescheiden van de procesbesturing.
Welk SIL-niveau haalt een safety PLC?
Gangbare safety PLC’s zijn gecertificeerd tot SIL 3 volgens IEC 61508 en PL e volgens ISO 13849-1. Het uiteindelijke SIL-niveau geldt echter voor de hele veiligheidsfunctie, inclusief sensoren en actuatoren, niet voor de controller alleen. Een safety PLC met SIL 3 levert dus geen SIL 3-functie als de sensor maar SIL 1 haalt.
Is een safety PLC duurder dan een gewone PLC?
Een safety PLC kost per stuk meer dan een vergelijkbare standaard PLC, en programmering, validatie en documentatie vragen extra uren. Daartegenover staat dat één safety PLC vaak veel losse veiligheidsrelais en bedrading vervangt. De totale kosten hangen daardoor vooral af van het aantal veiligheidsfuncties.
Welke rol speelde een safety PLC bij TRITON?
Bij de TRITON-aanval in 2017 was een Triconex-safety PLC van Schneider Electric het doelwit: aanvallers wilden de veiligheidslogica aanpassen, zodat het systeem bij een gevaarlijke situatie niet meer zou ingrijpen. Het was de eerste publiek bekende aanval die specifiek op een veiligheidssysteem was gericht. Het incident maakte duidelijk dat ook een safety PLC cyberbeveiliging nodig heeft.
Welke programmeertalen gebruikt een safety PLC?
Een safety PLC gebruikt meestal een beperkte variant van de IEC 61131-3-talen, zoals een veilige ladderlogica of functieblokdiagram met gecertificeerde bouwstenen. Die beperking maakt het programma beter te verifiëren en te testen. Vrije talen zoals Structured Text zijn in veiligheidsprogramma’s vaak niet of slechts beperkt toegestaan.
📌 Samengevat
Een Safety PLC is een gecertificeerde controller die veiligheidsfuncties betrouwbaar uitvoert, eigen fouten ontdekt en bij elke storing een veilige toestand afdwingt, typisch tot SIL 3 en PL e. Met normen als IEC 61508, IEC 62061, ISO 13849-1 en IEC 61511, veilige protocollen als PROFIsafe en CIP Safety en sinds TRITON ook cybersecurity volgens IEC 62443, vormt hij de laatste automatische verdedigingslinie in machines en procesinstallaties.