Functionele veiligheid: hoe machines veilig falen
Stel je voor: de deuren van een lift beginnen te sluiten terwijl er nog iemand tussen staat. Een sensor merkt dat en stuurt de deuren onmiddellijk weer open. Dat kleine, automatische ingrijpen is een voorbeeld van functionele veiligheid: techniek die er actief voor zorgt dat een systeem bij een storing niet gevaarlijk wordt, maar overschakelt naar een veilige toestand. Niet door een dikke muur of een gordel, maar door elektronica en software die voortdurend meekijken en zo nodig ingrijpen.
Functionele veiligheid is een technisch vakgebied dat zich bezighoudt met het ontwerpen van dit soort 'actieve' veiligheidsfuncties in machines, voertuigen, fabrieken en steeds vaker ook in robots en zelfrijdende auto's. Het draait om de vraag: wat moet een systeem doen als een sensor uitvalt, een kabel breekt of software vastloopt, zodat mensen daar geen letsel van ondervinden? Naarmate meer kritieke taken worden overgelaten aan chips en algoritmes, in plaats van aan mechanische onderdelen, wordt dit vakgebied belangrijker.
Wat is het precies?
Het startpunt is altijd een risicoanalyse. Ingenieurs brengen in kaart welke gevaren ('hazards') een systeem kan veroorzaken, hoe ernstig de gevolgen zijn, hoe vaak de gevaarlijke situatie zich kan voordoen en hoe goed mensen die kunnen ontwijken. Op basis daarvan krijgt elke veiligheidsfunctie een vereist betrouwbaarheidsniveau: in de industrie heet dat een Safety Integrity Level (SIL, van 1 tot 4), in de auto-industrie een Automotive Safety Integrity Level (ASIL, van A tot D). Hoe hoger het niveau, hoe strenger de eisen aan het ontwerp.
Om die niveaus te halen, gebruiken ontwerpers een paar terugkerende technieken. Redundantie betekent dat een functie dubbel wordt uitgevoerd, bijvoorbeeld twee onafhankelijke sensoren die elkaar controleren. Diversiteit gaat een stap verder: de twee systemen worden dan ook nog eens door verschillende teams met verschillende technologie gebouwd, zodat ze niet dezelfde denkfout maken. Diagnostische zelftests laten apparatuur voortdurend zichzelf controleren. En het ontwerp bepaalt vooraf wat de 'veilige toestand' is: bij een lift is dat stilstand met open deuren, bij een trein een noodrem, bij een fabrieksklep vaak dichtklappen.
Dit alles gebeurt binnen een vaste aanpak, de veiligheidslevenscyclus: van risicoanalyse via ontwerp, verificatie en validatie tot onderhoud en uiteindelijk buitengebruikstelling. De basisnorm hiervoor is IEC 61508, eind jaren negentig ontwikkeld door de internationale elektrotechnische standaardisatieorganisatie IEC. Vrijwel alle sectorspecifieke normen zijn daarvan afgeleid: ISO 26262 voor auto's, IEC 61511 voor de procesindustrie zoals chemie en olie, IEC 62061 voor machines, en EN 50128/50129 voor het spoor.
Belangrijk is het onderscheid met 'gewone' veiligheid zoals een gordel of een helm: die werkt passief en blijft ook werken als er geen stroom is. Functionele veiligheid draait juist om systemen die actief moeten blijven functioneren, en dus ook actief kunnen falen. Steeds vaker raakt dit vakgebied verweven met cybersecurity, want een gehackt systeem kan net zo gevaarlijk zijn als een defect systeem.
Wat wil men ermee bereiken?
Het uiteindelijke doel is simpel te formuleren: voorkomen dat storingen in elektronica en software leiden tot doden, gewonden of grote schade aan milieu en eigendom. Maar de achterliggende ambitie is breder. Naarmate meer beslissingen worden overgedragen aan automatisering, van remsystemen in auto's tot besturing van kerncentrales, moet er een betrouwbare, controleerbare manier zijn om aan te tonen dat die automatisering veilig genoeg is.
Functionele veiligheid biedt daarvoor een gemeenschappelijke taal en een certificeringssysteem. Fabrikanten kunnen aantonen dat hun product aan een bepaald SIL- of ASIL-niveau voldoet, toezichthouders en verzekeraars kunnen daarop vertrouwen, en gebruikers hoeven niet zelf te beoordelen of een product veilig is. Zonder zo'n kader zou elke fabrikant zijn eigen veiligheidsclaims kunnen doen, met alle risico's van dien.
Er zit ook een economische kant aan: goed doordachte functionele veiligheid maakt innovatie juist mogelijk. Zelfrijdende auto's, chirurgische robots en volledig geautomatiseerde fabrieken zouden zonder een uitgewerkt veiligheidsraamwerk nooit een vergunning krijgen. Het vakgebied probeert dus een balans te vinden tussen het toelaten van nieuwe, complexere technologie en het beperken van de risico's die daarmee gepaard gaan.
Voorbeelden uit de praktijk
De crashes van twee Boeing 737 MAX-toestellen in 2018 en 2019 zijn een berucht voorbeeld van wat er misgaat als functionele veiligheid tekortschiet. Het automatische stuursysteem MCAS vertrouwde op één enkele sensor zonder redundantie; toen die sensor foutieve data gaf, duwde het systeem herhaaldelijk de neus van het vliegtuig omlaag. Het ongeval leidde tot een wereldwijde stillegging van het toestel en een grondige herziening van de veiligheidsprocessen bij Boeing en de Amerikaanse luchtvaartautoriteit FAA.
In de auto-industrie werken bedrijven als Bosch en Continental al jaren volgens ISO 26262 aan elektronische rem- en stuursystemen met het hoogste niveau, ASIL D, onder meer voor rijhulpsystemen (ADAS) en steeds meer voor zelfrijdende functies.
In de procesindustrie draaien in chemische fabrieken en raffinaderijen wereldwijd zogeheten safety-PLC's, zoals de Simatic-veiligheidsbesturingen van Siemens of vergelijkbare systemen van ABB en Schneider Electric, die noodstopsystemen aansturen volgens IEC 61511.
Het Europese spoor gebruikt het European Train Control System (ETCS), een treinbeveiligingssysteem met het hoogste spoorveiligheidsniveau SIL4, dat al sinds begin jaren 2000 stapsgewijs wordt uitgerold op hogesnelheidslijnen en internationale trajecten.
En in de wereld van zelfrijdende voertuigen gebruiken bedrijven als Waymo en Nuro sinds 2020 de Amerikaanse norm UL 4600, speciaal ontwikkeld voor autonome systemen, om een 'veiligheidscasus' op te bouwen: een onderbouwd document waarin ze aantonen waarom hun voertuig veilig genoeg is om zonder chauffeur te rijden.
Hoe ver is de techniek?
Voor klassieke elektronica en software is functionele veiligheid een volwassen vakgebied. De normen bestaan al decennia, worden breed toegepast en zijn goed ingeburgerd bij gecertificeerde ingenieurs, testinstituten en toezichthouders. Voor auto's, treinen, vliegtuigen en fabrieksinstallaties bestaat een uitgewerkt en beproefd systeem.
De grote uitdaging van dit moment is kunstmatige intelligentie. Klassieke functionele veiligheid gaat ervan uit dat je het gedrag van een systeem volledig kunt specificeren en testen. Een neuraal netwerk dat camerabeelden herkent voor een zelfrijdende auto gedraagt zich echter statistisch: het is vrijwel onmogelijk om elk mogelijk scenario vooraf te definiëren of het model volledig te doorgronden. Daarom zijn er de afgelopen jaren nieuwe normen bijgekomen. ISO 21448, ook wel SOTIF genoemd (Safety of the Intended Functionality), richt zich sinds 2022 specifiek op risico's die ontstaan doordat een systeem zich onverwacht gedraagt, ook zonder dat er iets 'stuk' is. In 2024 verscheen ISO/PAS 8800, een eerste norm gericht op de veiligheid van AI-componenten in wegvoertuigen.
Nog onopgelost is hoe je met zekerheid kunt aantonen dat een groot machine-learning-model in alle omstandigheden veilig genoeg presteert; formele wiskundige verificatie, zoals gebruikelijk bij traditionele veiligheidssoftware, is voor de meeste grote neurale netwerken nog niet haalbaar. Ondertussen raakt het vakgebied ook verweven met nieuwe regelgeving zoals de Europese AI-verordening (2024), die aanvullende eisen stelt aan hoogrisico AI-systemen. Kortom: voor traditionele techniek is functionele veiligheid uitontwikkeld, maar voor AI-gestuurde systemen wordt het kader nog volop bijgeschaafd.
Wie werken eraan?
De internationale normen komen tot stand bij standaardisatieorganisaties als IEC (International Electrotechnical Commission), ISO (International Organization for Standardization) en, voor de auto-industrie, SAE International. Certificering en onafhankelijke toetsing gebeurt door testinstituten als TÃœV Rheinland, TÃœV SÃœD, exida, DEKRA en UL.
In de industriële automatisering zijn Siemens, ABB, Schneider Electric, Honeywell en Rockwell Automation grote spelers die veiligheidsgecertificeerde besturingssystemen leveren. In de auto-industrie werken Bosch, Continental, ZF en chipmakers als NXP en Infineon aan hardware en software die aan ASIL-eisen voldoet. Bij autonome voertuigen lopen Waymo, Cruise, Mobileye en Aurora voorop met het opbouwen van veiligheidscasussen voor zelfrijdende systemen.
Op onderzoeksgebied speelt Duitsland een grote rol, onder meer via het Fraunhofer-instituut. In Nederland dragen TNO en de TU Delft bij aan onderzoek naar veilige automatisering en autonome systemen, terwijl bedrijven als NXP in Eindhoven veiligheidschips ontwikkelen die wereldwijd in auto's en industriële systemen worden gebruikt. Op regelgevend vlak zijn vooral Duitsland, de Verenigde Staten (via de FAA voor luchtvaart en NHTSA voor auto's) en de Europese Unie toonaangevend.