Wat is SIL?
SIL (Safety Integrity Level) is een van vier discrete niveaus uit IEC 61508 die aangeven hoe betrouwbaar een veiligheidsfunctie moet werken, uitgedrukt als de maximaal toelaatbare kans dat die functie faalt op het moment dat ze nodig is. Hoe hoger het SIL, hoe kleiner de toegestane faalkans en hoe zwaarder de eisen aan ontwerp, componenten, testen en documentatie. Een SIL hoort bij één veiligheidsfunctie, in een SIS een Safety Instrumented Function (SIF) genoemd, zoals een overvulbeveiliging of een noodstop, en niet bij een complete installatie of een los apparaat. Het begrip wordt toegepast in SIS (Safety Instrumented Systems) in de procesindustrie en in veiligheidsbesturingen van machines.
SIL bepaalt hoeveel risico een veiligheidsfunctie maximaal mag laten bestaan.
🎯 Waarom bestaat SIL-classificatie?
Elke installatie heeft restrisico’s: een tank kan overlopen, een reactor kan op overdruk komen, een robotarm kan iemand raken. Een veiligheidsfunctie verkleint zo’n risico, maar alleen als ze werkt wanneer het erop aankomt. SIL maakt die betrouwbaarheid meetbaar en toetsbaar. Het doel van SIL-classificatie is:
- Risico’s beheersen tot een aanvaardbaar niveau - de veiligheidsfunctie levert precies de risicoreductie die de risicoanalyse vraagt
- Betrouwbaarheid aantoonbaar maken - met faalkansberekeningen, certificaten en testresultaten in plaats van aannames
- Maatregelen proportioneel kiezen - een SIL 1-functie vraagt minder redundantie, diagnose en testinspanning dan een SIL 3-functie
- Letsel, milieuschade en procesverlies voorkomen - ook bij falen van de normale procesbesturing
🔢 Wat betekenen de vier SIL-niveaus?
IEC 61508 kent twee bedrijfswijzen. Bij low demand wordt de functie hooguit één keer per jaar aangesproken; de maatstaf is dan de gemiddelde faalkans bij aanspraak (PFDavg). Bij high demand of continu gebruik telt de gemiddelde frequentie van gevaarlijk falen per uur (PFH). De meeste procesbeveiligingen werken in low demand, veel machinefuncties in high demand.
| SIL | PFDavg (low demand) | Risicoreductiefactor (RRF) | PFH (high demand, per uur) |
|---|---|---|---|
| SIL 1 | 10⁻² tot 10⁻¹ | 10 – 100 | 10⁻⁶ tot 10⁻⁵ |
| SIL 2 | 10⁻³ tot 10⁻² | 100 – 1.000 | 10⁻⁷ tot 10⁻⁶ |
| SIL 3 | 10⁻⁴ tot 10⁻³ | 1.000 – 10.000 | 10⁻⁸ tot 10⁻⁷ |
| SIL 4 | 10⁻⁵ tot 10⁻⁴ | 10.000 – 100.000 | 10⁻⁹ tot 10⁻⁸ |
De risicoreductiefactor is het omgekeerde van de PFDavg: een SIL 2-functie faalt bij aanspraak gemiddeld minder dan eens per honderd keer. In de praktijk komen vooral SIL 1 tot en met SIL 3 voor. SIL 4 is zeldzaam; IEC 61511 stelt aanvullende eisen zodra instrumentele beveiligingen samen een risicoreductie van 10.000 of meer moeten leveren, en meestal kiest men dan liever voor een veiliger procesontwerp.
📏 Welke normen gebruiken SIL?
SIL is gedefinieerd in de basisnorm IEC 61508 (editie 2 uit 2010; editie 3 wordt rond 2027 verwacht). Sectornormen vertalen die naar hun eigen praktijk:
| Norm | Toepassingsgebied | SIL-bereik |
|---|---|---|
| IEC 61508 | Generieke basisnorm voor E/E/PE-veiligheidssystemen en leveranciers van componenten | SIL 1–4 |
| IEC 61511 (ed. 2, 2016) | Safety Instrumented Systems in de procesindustrie | SIL 1–4, in de praktijk tot SIL 3 |
| IEC 62061 (ed. 2, 2021) | Veiligheidsbesturingen van machines | SIL 1–3 |
| ISO 26262 | Elektronica in voertuigen | Eigen schaal: ASIL A–D |
| ISO 13849-1 (ed. 4, 2023) | Veiligheidsdelen van machinebesturingen | Geen SIL maar Performance Level a–e |
Voor machines zijn PL en SIL via de PFHd aan elkaar te koppelen: PL b en c komen overeen met SIL 1, PL d met SIL 2 en PL e met SIL 3. PL a heeft geen SIL-equivalent.
🔧 Hoe bepaal je de benodigde SIL?
Het vereiste SIL volgt uit een risicoanalyse, niet uit de sector of het type installatie. De gebruikelijke stappen:
- Gevaren identificeren - met een HAZOP, FMEA of bow-tie-analyse
- Risico zonder veiligheidsfunctie inschatten - hoe vaak ontstaat de gevaarlijke situatie en hoe ernstig is het gevolg?
- Bestaande beschermingslagen meetellen - alarmen met operatoringreep, mechanische drukontlasting, de basisbesturing. IEC 61511 staat voor één laag in de basisbesturing hooguit een risicoreductie van 10 toe
- Tolerabel risico vergelijken - het verschil tussen het resterende en het aanvaardbare risico is de benodigde risicoreductie
- SIL toewijzen - de benodigde RRF valt in één SIL-band; die wordt vastgelegd in de Safety Requirements Specification (SRS)
Voor stap 3 tot en met 5 gebruiken teams een risicograaf (kwalitatief, met de parameters gevolg, blootstelling, mogelijkheid tot ontwijken en aanspraakfrequentie) of een LOPA (semi-kwantitatief). Beide methoden staan als informatieve bijlage in IEC 61511-3. De risicograaf is snel en geschikt om functies met een laag SIL te screenen; voor functies met ernstige gevolgen geeft LOPA een beter onderbouwd antwoord.
🧮 Hoe ziet een SIL-berekening eruit in de praktijk?
Een vereenvoudigd rekenvoorbeeld voor de overvulbeveiliging van een opslagtank:
| Stap | Waarde | Toelichting |
|---|---|---|
| Initiërende gebeurtenis | 0,1 per jaar | Storing in de niveauregeling van de basisbesturing, een gangbare LOPA-waarde |
| Operatoralarm | PFD 0,1 | Onafhankelijk hoogniveaualarm met voldoende reactietijd |
| Aanwezigheidskans | 0,5 | Kans dat iemand in het gevarengebied is |
| Frequentie zonder SIF | 5 × 10⁻³ per jaar | 0,1 × 0,1 × 0,5 |
| Tolerabel risico | 10⁻⁵ per jaar | Bedrijfscriterium voor een dodelijk ongeval |
| Benodigde PFDavg | 2 × 10⁻³ | RRF 500, dus SIL 2 |
Daarna volgt de SIL-verificatie: haalt het ontwerp die faalkans echt? Voor één component zonder redundantie (1oo1) geldt bij benadering PFDavg ≈ λDU × TI / 2, met λDU de frequentie van gevaarlijke, onontdekte fouten en TI het proof-testinterval. Een afsluiter met λDU = 2 × 10⁻⁶ per uur en een jaarlijkse proof test komt uit op ongeveer 8,8 × 10⁻³. Dat is te veel voor dit budget. Twee afsluiters in een 1oo2-opstelling brengen het eindelement wel binnen de grens, ook als u gemeenschappelijke faaloorzaken (common cause failures, vaak met een bètafactor van 5 tot 10%) meerekent; aanvullende partial stroke testing verlaagt de faalkans verder. Het voorbeeld laat zien dat het testinterval net zo bepalend is als de hardware.
Een SIF haalt haar SIL pas als drie voorwaarden tegelijk kloppen:
- Kwantitatief - de berekende PFDavg of PFH van sensor, logic solver en eindelement samen valt binnen de band
- Architectuur - voldoende hardwarefouttolerantie (HFT). Onder IEC 61511:2016 mag SIL 1 en SIL 2 in low demand met één kanaal (HFT 0); SIL 3 vraagt HFT 1. IEC 61508 kent hiervoor Route 1H (op basis van de safe failure fraction en het type component) en Route 2H (op basis van betrouwbaarheidsdata uit het veld)
- Systematisch - elk component heeft de juiste systematic capability (SC 1–4), aangetoond met een IEC 61508-certificaat of met gedocumenteerde prior use
🧱 Waar wordt SIL toegepast?
| Veiligheidsfunctie | Voorbeeld | Typisch SIL |
|---|---|---|
| Overdrukbeveiliging | HIPPS die een pijpleiding afsluit voordat de ontwerpdruk wordt overschreden | SIL 2–3 |
| Tankoverloopbeveiliging | Onafhankelijke niveaumeting die toevoerkleppen sluit | SIL 1–2 |
| Noodafschakeling (ESD) en noodstop | Afschakelen van een procesunit of machine via een safety PLC | SIL 1–3 |
| Brand- en gasdetectie | Detectoren die ventilatie, blussing of afschakeling activeren | SIL 1–2 |
| Bewegingsbeveiliging machines | Veiligheidslaserscanner voor zonebewaking rond een robotarm | SIL 2 |
Het SIL in de derde kolom is een indicatie; per installatie kan de uitkomst van de risicoanalyse anders zijn.
⚙️ Welke eisen gelden per onderdeel van een veiligheidsfunctie?
| Onderdeel | SIL-eisen in de praktijk |
|---|---|
| Sensor (input) | Geschikt voor het SIL (certificaat of prior use), diagnose op draadbreuk en meetbereik, redundant (bijv. 2oo3) waar de HFT dat vraagt |
| Logic solver | Safety PLC of veiligheidsrelais, gecertificeerd volgens IEC 61508, meestal tot SIL 3 |
| Eindelement (actuator) | Afsluiter, motorschakelaar of relais dat bij falen naar de veilige toestand gaat (fail-safe) |
| Proof test | Periodieke test die onontdekte gevaarlijke fouten aan het licht brengt; het interval is een rekenparameter |
| Documentatie | SRS, SIL-verificatie, validatierapport, registratie van aanspraken, storingen en overbruggingen |
| Wijzigingsbeheer | Elke wijziging aan logica of hardware opnieuw beoordelen en waar nodig opnieuw valideren |
Hoe het misgaat wanneer dat beheer ontbreekt, liet de ramp bij de Britse opslagterminal Buncefield op 11 december 2005 zien: een niveaumeter bleef hangen en de onafhankelijke hoogniveauschakelaar was onwerkzaam. Een beveiliging die niet wordt getest en onderhouden, levert in werkelijkheid geen risicoreductie.
🔐 Wat betekent cybersecurity voor SIL?
De SIL-berekening gaat uit van willekeurige hardwarefouten en systematische fouten, niet van opzettelijke manipulatie. Toch zijn moderne logic solvers via Industrial Ethernet verbonden met het DCS en het engineeringstation. In 2017 probeerde de malware TRITON Triconex-veiligheidscontrollers in een petrochemische fabriek in Saoedi-Arabië te herprogrammeren. Een gehackte veiligheidsfunctie haalt haar SIL niet meer, wat de berekening ook zegt.
Daarom vraagt IEC 61511 sinds editie 2016 in clausule 8.2.4 een security-risicobeoordeling van het SIS. In de praktijk betekent dat een eigen zone voor het SIS volgens IEC 62443, beperkte en gelogde engineeringtoegang en de sleutelschakelaar in de stand RUN. Let op het verschil in begrippen: een Security Level uit IEC 62443 (SL 1–4) meet de weerstand tegen aanvallers, een SIL de betrouwbaarheid tegen falen. Beide moeten kloppen.
In Nederland beschouwen toezichthouders op Seveso-bedrijven IEC 61511 als stand der techniek voor instrumentele beveiligingen (zie Brzo en cybersecurity). Voor machines geldt vanaf 20 januari 2027 de Machineverordening, die logische eenheden voor veiligheidsfuncties als hoogrisicoproduct aanmerkt.
❓ Veelgestelde vragen
Wat is het verschil tussen SIL en SIS?
Een SIS (Safety Instrumented System) is het complete beveiligingssysteem met sensoren, logic solver en eindelementen. SIL (Safety Integrity Level) is de maat voor hoe betrouwbaar één veiligheidsfunctie binnen dat SIS moet zijn. Eén SIS bevat vaak meerdere functies met elk een eigen SIL.
Kan een apparaat SIL 3 gecertificeerd zijn?
Een apparaat kan geschikt zijn voor gebruik tot SIL 3, maar het SIL zelf geldt altijd voor de complete veiligheidsfunctie. Een SIL 3-geschikte safety PLC levert geen SIL 3-functie als de sensor of de afsluiter maar SIL 1 haalt. Certificaten vermelden daarom de systematic capability en faalgegevens die u in de SIL-verificatie gebruikt.
Is SIL 4 hoger dan SIL 3?
Ja, SIL 4 is het hoogste Safety Integrity Level en vraagt een risicoreductie van 10.000 tot 100.000. SIL 4 komt in de procesindustrie en machinebouw nauwelijks voor, omdat het ontwerp en de verificatie extreem zwaar zijn. Meestal wordt het proces zo aangepast dat SIL 3 of lager volstaat.
Hoe vaak moet een SIL-functie getest worden?
Het proof-testinterval van een SIL-functie volgt uit de faalkansberekening en staat in de Safety Requirements Specification. Vaak ligt het tussen één en enkele jaren en wordt het afgestemd op de geplande onderhoudsstop. Een kortere testcyclus verlaagt de gemiddelde faalkans en kan dus nodig zijn om het SIL te halen.
Wat is het verschil tussen SIL en Performance Level?
SIL komt uit IEC 61508, IEC 61511 en IEC 62061 en kent vier niveaus; Performance Level komt uit ISO 13849-1 en kent vijf niveaus van PL a tot en met PL e. Voor machinebesturingen zijn beide te vergelijken via de gevaarlijke faalfrequentie per uur: PL d komt overeen met SIL 2 en PL e met SIL 3.
Speelt cybersecurity een rol bij SIL?
Cybersecurity is sinds IEC 61511 editie 2016 een expliciete eis bij het ontwerp van SIL-functies in de procesindustrie. Clausule 8.2.4 vraagt een security-risicobeoordeling van het SIS, omdat een gemanipuleerde veiligheidsfunctie haar SIL niet meer haalt. De TRITON-aanval uit 2017 liet zien dat dit risico reëel is.
📌 Samengevat
SIL bepaalt hoe betrouwbaar een veiligheidsfunctie moet zijn om een risico tot een aanvaardbaar niveau te verkleinen, van SIL 1 (risicoreductie 10–100) tot SIL 4 (10.000–100.000). Het vereiste SIL volgt uit een risicoanalyse zoals HAZOP en LOPA en wordt pas gehaald als faalkans, architectuur, systematische geschiktheid, proof tests en beveiliging samen kloppen. Daarmee is SIL een essentieel instrument voor ontwerp, audit en borging van procesveiligheid.