Wat is een SIS?
Een SIS (Safety Instrumented System) is een onafhankelijk, geautomatiseerd beveiligingssysteem dat een procesinstallatie zelfstandig naar een veilige toestand brengt, bijvoorbeeld door een klep te sluiten of een pomp te stoppen, zodra een meting aangeeft dat het proces buiten zijn veilige grenzen dreigt te raken. Een SIS bestaat uit sensoren, een logic solver en eindelementen zoals afsluiters, en grijpt in zonder op een operator te wachten. Het ontwerp volgt in de procesindustrie de norm IEC 61511, de sectorversie van de basisnorm IEC 61508 voor functionele veiligheid. Elke veiligheidsfunctie in het SIS krijgt een SIL (Safety Integrity Level) dat aangeeft hoe betrouwbaar die functie moet zijn.
Een SIS grijpt automatisch in wanneer een proces buiten veilige grenzen dreigt te raken.
🧠 Wat doet een SIS precies?
Een SIS werkt als een automatische vangrail naast de normale procesbesturing. Elke beveiligingslus doorloopt drie stappen:
- Detecteren - een sensor meet een kritieke procesgrootheid, zoals druk, temperatuur, niveau of de aanwezigheid van een vlam
- Beslissen - de logic solver vergelijkt de meting met een vastgelegd trippunt en bepaalt of ingrijpen nodig is
- Ingrijpen - het eindelement brengt het proces naar de veilige toestand, bijvoorbeeld door een toevoer af te sluiten, een pomp te stoppen of een oven uit te schakelen
Een SIS is dus géén alarmsysteem: een alarm vraagt de operator om actie, een SIS voert de actie zelf uit, ongeacht hoe de operator reageert. De meeste veiligheidsfuncties in de procesindustrie werken in low demand mode: ze worden hooguit eens per jaar daadwerkelijk aangesproken en staan de rest van de tijd stil te wachten. Dat maakt ze verraderlijk, want een verborgen defect blijft onzichtbaar tot het moment dat de functie nodig is. Daarom zijn diagnose en periodieke testen even belangrijk als het ontwerp. Functies die vaker dan eens per jaar of continu worden aangesproken, vallen onder high demand of continuous mode en worden met een andere maat beoordeeld.
🔧 Uit welke onderdelen bestaat een SIS?
Een SIS is opgebouwd uit drie subsystemen. Samen vormen zij per gevaar een SIF (Safety Instrumented Function): één veiligheidsfunctie met één trippunt en één veilige toestand. Een SIS in een grote installatie kan tientallen tot honderden SIF’s bevatten.
| Subsysteem | Rol | Voorbeelden |
|---|---|---|
| Sensor | Meet de kritieke variabele | Druk-, temperatuur- en niveautransmitters, vlamdetectoren, vaak via een 4-20 mA-lus |
| Logic solver | Beslist en stuurt aan | Gecertificeerde Safety PLC of veiligheidscontroller, soms veiligheidsrelais voor eenvoudige functies |
| Eindelement | Brengt het proces in de veilige toestand | Afsluiters met actuator en magneetventiel, motorstroomonderbrekers, relais |
Om de vereiste betrouwbaarheid te halen, worden componenten vaak dubbel of drievoudig uitgevoerd met redundantie. De stemlogica bepaalt hoeveel kanalen moeten afgaan voordat het SIS ingrijpt:
| Architectuur | Werking | Sterk punt | Zwak punt |
|---|---|---|---|
| 1oo1 | Eén kanaal, één trip | Eenvoudig en goedkoop | Eén defect kan de functie uitschakelen |
| 1oo2 | Eén van twee kanalen volstaat voor een trip | Hoge veiligheid | Meer onterechte trips |
| 2oo2 | Beide kanalen moeten trippen | Weinig onterechte trips | Lagere veiligheid |
| 2oo3 | Twee van drie kanalen moeten trippen | Balans tussen veiligheid en beschikbaarheid | Duurder en complexer |
Het ontwerpprincipe is fail-safe: de meeste SIF’s werken de-energize to trip, zodat een draadbreuk of spanningsuitval het proces juist naar de veilige toestand brengt.
🏭 Waar wordt een SIS toegepast?
SIS’en staan overal waar een procesafwijking kan leiden tot een explosie, brand, giflek of zwaar letsel: in chemie en petrochemie, olie- en gaswinning, raffinage, farmacie, voeding, energieopwekking en grote tankopslag.
| Gevaarlijke situatie | Typische SIS-actie |
|---|---|
| Overdruk in een reactorvat | Toevoer en verwarming stoppen of een geautomatiseerde ontspanningsklep openen |
| Vlamuitval in een gasbrander | Gastoevoer met dubbele afsluiters afsluiten (branderbeveiliging) |
| Te hoge temperatuur in een oven of reactor | Verhitting uitschakelen, eventueel noodkoeling starten |
| Te hoog niveau in een opslagtank | Inlaatklep sluiten of de vulpomp stoppen (overvulbeveiliging) |
| Gaslek in een procesruimte | Noodafsluiters sluiten en installatie afschakelen via ESD |
| Te hoge druk in een pijpleiding | Bron isoleren met twee snelsluitende afsluiters (HIPPS) |
Een HIPPS (High Integrity Pressure Protection System) is een bijzondere SIS-toepassing: het sluit de drukbron af vóórdat overdruk ontstaat en kan daarmee een mechanische veerveiligheid of fakkelcapaciteit aanvullen of vervangen. Een gewone veerbelaste veiligheidsklep hoort daarentegen niet bij het SIS; dat is een aparte, mechanische beschermingslaag.
🔢 Hoe hangen SIS, SIF en SIL samen?
Het SIL wordt per SIF bepaald, niet per SIS. Een HAZOP brengt de gevaren in kaart, waarna een LOPA of risicograaf berekent hoeveel extra risicoreductie de SIF moet leveren. Die risicoreductie bepaalt het SIL:
| SIL | Gemiddelde faalkans bij aanspraak (PFDavg, low demand) | Risicoreductiefactor | Gevaarlijke faalfrequentie per uur (PFH, high demand) | Minimale hardwarefouttolerantie (IEC 61511:2016) |
|---|---|---|---|---|
| SIL 1 | 10⁻² tot 10⁻¹ | 10–100 | 10⁻⁶ tot 10⁻⁵ | 0 |
| SIL 2 | 10⁻³ tot 10⁻² | 100–1.000 | 10⁻⁷ tot 10⁻⁶ | 0 (low demand), 1 (high demand) |
| SIL 3 | 10⁻⁴ tot 10⁻³ | 1.000–10.000 | 10⁻⁸ tot 10⁻⁷ | 1 |
| SIL 4 | 10⁻⁵ tot 10⁻⁴ | 10.000–100.000 | 10⁻⁹ tot 10⁻⁸ | 2 |
Een SIF haalt haar SIL pas als drie voorwaarden tegelijk kloppen: de berekende faalkans valt binnen de band, de architectuur heeft voldoende hardwarefouttolerantie en alle componenten hebben de juiste systematische geschiktheid. SIL 4 komt in de procesindustrie nauwelijks voor; IEC 61511 stelt er aanvullende eisen aan, en in de praktijk past men liever het procesontwerp aan of voegt men andere beschermingslagen toe.
🧱 Waar past een SIS tussen de andere beschermingslagen?
Een procesinstallatie wordt beschermd door meerdere onafhankelijke lagen, een uitwerking van defense in depth voor procesveiligheid. Het SIS is de laatste automatische instrumentele laag vóór fysieke schade:
- Inherent veilig procesontwerp
- Basisprocesbesturing (BPCS) in een DCS of PLC
- Alarmen met ingrijpen door de operator, onderbouwd met alarmmanagement
- Het SIS
- Mechanische ontlasting zoals veiligheidskleppen en breekplaten
- Fysieke opvang, zoals tankputten, en noodorganisatie
IEC 61511 eist dat het SIS voldoende onafhankelijk is van de basisbesturing, zodat één fout niet beide lagen tegelijk uitschakelt. Een beschermingslaag in de basisbesturing mag bovendien maximaal een risicoreductie van 10 claimen.
| Systeem | Doel | Neemt actie? |
|---|---|---|
| SCADA / DCS | Procesbewaking en bediening | Handmatig of via regelkringen |
| SIS | Functionele veiligheid | ✅ Automatisch, naar een veilige toestand |
| ESD (Emergency Shutdown) | Afschakelen van (delen van) een installatie | ✅ Een subset of toepassing van een SIS |
| Interlock in de basisbesturing | Blokkeren van ongewenste handelingen | ✅ Automatisch, maar niet SIL-gecertificeerd |
| Alarmsysteem | Waarschuwen van de operator | ❌ Alleen melding |
In machinebouw spreekt men niet van een SIS; daar gelden IEC 62061 en ISO 13849-1 voor veiligheidsfuncties zoals een noodstop.
🔁 Hoe ontwerpt en onderhoudt u een SIS in de praktijk?
IEC 61511 beschrijft een volledige levenscyclus. Voor een eigenaar komt dat neer op deze stappen:
- Gevarenanalyse - identificeer scenario’s met een HAZOP of bow-tie, inclusief een security-risicobeoordeling van het SIS
- SIL-bepaling - wijs met LOPA de risicoreductie toe aan beschermingslagen en leg per SIF het SIL vast
- Safety Requirements Specification (SRS) - leg per SIF trippunt, veilige toestand, responstijd, testinterval en toegestane onterechte-tripfrequentie vast
- Ontwerp en verificatie - kies gecertificeerde componenten, bepaal de stemlogica en reken de PFDavg door
- Testen en validatie - voer een Factory Acceptance Test, een site-test en een volledige validatie uit vóór inbedrijfname
- Bedrijf en onderhoud - voer periodieke proof tests uit, registreer elke aanspraak en elk defect, en beheer overbruggingen strikt
- Wijzigen - laat elke wijziging aan trippunten, logica of hardware via Management of Change lopen
Enkele vuistregels uit de praktijk: de responstijd van een SIF moet ruim binnen de process safety time blijven, de tijd tussen het ontstaan van de afwijking en het gevaarlijke voorval. Proof tests worden vaak afgestemd op de geplande onderhoudsstop, terwijl afsluiters tussentijds met een partial stroke test kunnen worden gecontroleerd. Een overbrugging (bypass) is alleen toegestaan met een schriftelijke procedure, compenserende maatregelen en een tijdslimiet.
Hoe het misgaat, liet de ramp bij de Britse opslagterminal Buncefield op 11 december 2005 zien. Een niveaumeter bleef hangen, terwijl de onafhankelijke hoogniveauschakelaar onwerkzaam was omdat het hangslot dat de schakelaar in werkstand moest houden nooit was aangebracht. Er stroomde ongeveer 250.000 liter benzine over, gevolgd door een enorme explosie. Een beveiliging die niet wordt getest en beheerd, levert geen risicoreductie.
🔐 Waarom is cybersecurity van een SIS belangrijk?
Een SIS was lange tijd een afgezonderd systeem, maar moderne logic solvers communiceren via Industrial Ethernet met het DCS, het engineeringstation en de historian. Dat maakt het SIS bereikbaar voor aanvallers. In 2017 bewees TRITON dat dit geen theorie is: malware probeerde Triconex-veiligheidscontrollers van Schneider Electric in een petrochemische fabriek in Saoedi-Arabië te herprogrammeren.
IEC 61511 vraagt sinds editie 2016 in clausule 8.2.4 om een security-risicobeoordeling van het SIS, en clausule 11.2.12 eist dat het ontwerp bestand is tegen de gevonden risico’s. In de praktijk betekent dat:
- Eigen zone - plaats het SIS in een aparte zone met gecontroleerde conduits volgens IEC 62443
- Scheiding of geborgde integratie - kies tussen een volledig gescheiden, een gekoppeld of een geïntegreerd SIS, en onderbouw bij integratie de onafhankelijkheid van de basisbesturing
- Engineeringtoegang beperken - sleutelschakelaar of schrijfbeveiliging op de controller, en programmeren alleen vanaf een vertrouwd engineeringstation
- Safety en security samen - gebruik richtlijnen zoals ISA-TR84.00.09 om de security-levenscyclus te koppelen aan de safety-levenscyclus
In Nederland beschouwen toezichthouders op Seveso-bedrijven IEC 61511 als stand der techniek voor instrumentele beveiligingen; zie Brzo en cybersecurity. Sinds 15 augustus 2026 geldt bovendien de Cyberbeveiligingswet, die voor veel chemie- en energiebedrijven OT-security wettelijk verankert.
❓ Veelgestelde vragen
Wat is het verschil tussen een SIS en een SIF?
Een SIS (Safety Instrumented System) is het complete beveiligingssysteem met alle sensoren, logic solvers en eindelementen. Een SIF (Safety Instrumented Function) is één veiligheidsfunctie binnen dat SIS, gericht op één gevaar, zoals overvulbeveiliging van één tank. Het SIL wordt per SIF bepaald, niet voor het SIS als geheel.
Mag een SIS in hetzelfde systeem draaien als het DCS?
IEC 61511 verbiedt integratie van SIS en DCS niet, maar eist dat het SIS voldoende onafhankelijk is van de basisbesturing. Een fout of aanval in het DCS mag de veiligheidsfunctie niet uitschakelen. Leveranciers bieden daarom geïntegreerde platforms met gescheiden, gecertificeerde safety-controllers en strikte scheiding van engineeringtoegang.
Hoe vaak moet een SIS worden getest?
Het testinterval van een SIS volgt uit de SIL-berekening en staat per SIF in de Safety Requirements Specification. Een korter testinterval verlaagt de gemiddelde faalkans, waardoor proof tests vaak worden gepland bij de reguliere onderhoudsstop. Afsluiters kunnen tussentijds met een partial stroke test worden gecontroleerd.
Is een noodstop hetzelfde als een SIS?
Een noodstop is een handbediende veiligheidsfunctie, vooral bekend uit de machinebouw, terwijl een SIS automatisch ingrijpt op basis van procesmetingen. Een noodstopknop kan wel een SIS of ESD-systeem aansturen. Voor machines gelden de normen IEC 62061 en ISO 13849-1, voor SIS’en in de procesindustrie IEC 61511.
Welke leveranciers maken SIS-logic solvers?
Bekende SIS-platforms zijn onder meer Triconex van Schneider Electric, HIMax van HIMA, ProSafe-RS van Yokogawa, Safety Manager van Honeywell, DeltaV SIS van Emerson en de safety-uitvoeringen van Siemens. Deze logic solvers zijn door een onafhankelijke instantie, zoals TÜV, gecertificeerd volgens IEC 61508, meestal tot SIL 3.
Is een SIS verplicht?
Geen wet schrijft letterlijk een SIS voor, maar Seveso-bedrijven moeten zware ongevallen aantoonbaar beheersen volgens de stand der techniek. Toezichthouders beschouwen IEC 61511 daarbij als referentie voor instrumentele beveiligingen. Waar een risicoanalyse instrumentele risicoreductie vraagt, is een SIS volgens IEC 61511 daardoor in de praktijk onmisbaar.
📌 Samengevat
Een SIS is een onafhankelijk, geautomatiseerd beveiligingssysteem dat een proces zonder tussenkomst van de operator naar een veilige toestand brengt wanneer het buiten zijn veilige grenzen dreigt te raken.
Het bestaat uit sensoren, een logic solver en eindelementen met actuatoren en is opgebouwd uit SIF’s die elk een SIL krijgen op basis van een HAZOP en LOPA. IEC 61511 regelt de hele levenscyclus, van risicoanalyse tot proof test en wijzigingsbeheer. Sinds TRITON is duidelijk dat een SIS ook digitaal beschermd moet worden: in een eigen zone, met beperkte engineeringtoegang en een security-risicobeoordeling als vast onderdeel van het veiligheidsontwerp.