FMECA uitvoeren in acht stappen

30 augustus 2026 · 15 minuten lezen

Er wordt veel onderhoud uitgevoerd, maar niemand kan goed onderbouwen waarom. Voor veel organisaties is dat de eigenlijke aanleiding om een FMECA te starten. Vaak versneld door de invoering van assetmanagement: er komt een audit aan, certificering tegen ISO 55001 staat op de planning, en risicogestuurd onderhoud moet aantoonbaar worden.

Een FMECA vraagt veel van een organisatie. Sessies met operators, monteurs en engineers, weken doorlooptijd, en kennis die maar beperkt beschikbaar is. Juist daarom loont het om vooraf twee vragen te beantwoorden: op welke installaties voert u hem uit, en hoe pakt u hem aan? In de praktijk gaat het op allebei mis. De analyse wordt over de volle breedte uitgerold in plaats van op de assets waar het risico zit, en hij wordt per component afgewerkt in plaats van vanuit de functie. Wie zijn decompositie neerzet en die component voor component afwerkt, besteedt al snel weken aan faalwijzen die voor de functie nauwelijks relevant zijn. Niet de decompositie is het probleem, maar het ontbreken van de functie als filter. RCM draait het om: eerst de functie, dan wat tot functieverlies kan leiden. Alleen dat verschil scheelt al een flink deel van het werk.

En dan is er de vraag die tegenwoordig in elke sessie opduikt: kan AI dit niet gewoon voor ons doen? Het antwoord is genuanceerder dan vaak wordt beloofd. Verderop in dit artikel leest u waar AI de analyse echt versnelt, en waar hij hem juist belemmert.

Dit artikel doorloopt alle acht stappen van een FMECA zoals wij die in de praktijk adviseren, van operationele context tot onderhoudstaak. Want een FMECA is niet af wanneer de spreadsheet gevuld is; hij is af wanneer er verdedigbare onderhoudsbeslissingen uit komen.

Wat is een FMECA, en wat is het verschil met FMEA?

Een FMEA (failure mode and effects analysis) brengt per asset in kaart op welke manieren hij kan falen en wat daarvan de gevolgen zijn. Het resultaat is een gestructureerd overzicht van wat er mis kan gaan en wat er dan gebeurt.

Een FMECA voegt daar de C van criticality aan toe: per faalwijze wordt beoordeeld hoe groot het risico is. Daarmee ontstaat een rangorde, en die rangorde bepaalt waar maatregelen het eerst nodig zijn.

In de praktijk bestaan verschillende varianten van FMECA. In dit artikel gebruiken wij de acht vragen van RCM3¹ als structuur, omdat die niet stopt bij het benoemen van faalwijzen en risico's, maar doorloopt tot de keuze van een onderhoudsmaatregel.

Wanneer is een FMECA de moeite waard?

Een FMECA is niet voor elke installatie de moeite waard. De analyse kost tijd van uw beste mensen, en die investering moet ergens tegen opwegen. Voor een redundante opvoerpomp met beperkte gevolgen is een FMECA overdreven; voor de installatie waarvan de hele productie afhangt, is hij onmisbaar.

De criticaliteitsanalyse is daarom de natuurlijke voorloper. Die vertelt welke assets het risico dragen, en dus welke assets een FMECA verdienen. Begin bij de hoogste klasse en werk naar beneden zolang het wat oplevert. Een FMECA omdat de auditor erom vraagt, is de verkeerde volgorde: dan wordt de analyse een bewijsstuk in plaats van een beslissing.

Stel, u heeft twee auto's. De ene rijdt als taxi: elke dag onderweg, wisselende chauffeurs, korte ritten in de stad. De andere staat bij u thuis voor de deur en rijdt vooral in het weekend. Het zijn technisch dezelfde auto's, maar niemand geeft ze hetzelfde onderhoud.

Bij installaties werkt het net zo, en toch wordt deze stap vrijwel altijd overgeslagen. Het gevolg is herkenbaar: overal hetzelfde onderhoudsregime, hoe verschillend de installaties ook worden gebruikt. De context bepaalt welke faalwijzen geloofwaardig zijn, hoe zwaar de gevolgen wegen en welke maatregelen zinvol zijn. Daarom hoort hij vast te liggen voordat de analyse begint. Dit is een van de belangrijkste stappen van de hele FMECA, en hij kost het minst.

Leg vast hoe het systeem wordt gebruikt: continu of in ploegen, bij welke belasting, met welke kwaliteitseisen aan het product, in welke omgeving, en met welke redundantie. Vooral dat laatste maakt een enorm verschil. Een pomp met een standby-pomp ernaast heeft bij uitval een ander gevolg dan een pomp die er alleen voor staat. Een half A4 per systeem is meestal genoeg, zolang het er maar staat.

Voor de koelwaterpomp uit dit artikel ziet dat er zo uit:

Vraag iemand naar de functie van een auto en het antwoord is: van A naar B komen. Voor een FMECA is dat niet voldoende. De functie is bijvoorbeeld het comfortabel en veilig vervoeren van personen van A naar B, met snelheden van 0 tot 130 km/u. Alleen nu kunt u falen goed definiëren. Een auto die nog maar 80 haalt, komt nog steeds van A naar B, en toch vervult hij zijn functie niet meer. En een auto met verzwakte remmen komt ook van A naar B, maar voldoet niet meer aan veilig. Zonder prestatienorm was dat falen in beide gevallen onzichtbaar gebleven.

Beschrijf elke functie met een werkwoord, een object en een prestatienorm, en haal die norm bij de gebruikers van de installatie. Zij weten wat het systeem moet leveren; de techniek weet alleen wat het kán leveren.

Vergeet naast de primaire functie de secundaire functies niet. Een pomp moet niet alleen koelwater verpompen, hij moet het ook binnenhouden, binnen geluidsnormen blijven en veilig te bedienen zijn. Ook beveiligingen zijn functies: het overdrukventiel op de persleiding heeft als functie de druk te begrenzen. Juist die beschermende functies worden in analyses vaak vergeten. Dat kan een dure vergissing zijn; meer daarover in stap 7.

Uitgeschreven voor dezelfde pomp:

Een functionele storing is de toestand waarin de installatie zijn functie niet meer vervult, in het Engels ook wel failed state genoemd. Dat is iets anders dan kapot. Neem een koelwaterpomp met als functie het verpompen van 80 m³ koelwater per uur bij 4 bar. Die functie kent meerdere functionele storingen: de pomp verpompt niets, de pomp verpompt minder dan 80 m³ per uur, de pomp houdt het koelwater niet binnen. Drie verschillende toestanden, met verschillende oorzaken en verschillende gevolgen.

Werk daarom per functie alle functionele storingen uit, ook de gedeeltelijke. Een pomp die nog draait maar te weinig levert, wordt vaak gemist omdat hij niet stilstaat, terwijl het proces er wel degelijk onder lijdt.

Hier zit ook de winst voor wie met conditiebewaking of predictief onderhoud aan de slag wil. De functionele storing vertelt wat u wilt voorkomen, maar let op: het is geen conditie-indicator. Een debiet onder de 80 m³ betekent dat de storing al is opgetreden. Voor conditiebewaking zoekt u daarom de meetbare veranderingen die eraan voorafgaan: toenemende lagertrilling, oplopende temperatuur, slijtagedeeltjes in de olie. Wie zijn functionele storingen scherp heeft, weet precies welk functieverlies hij vóór wil zijn, en kan daar gericht indicatoren bij zoeken zonder dat er later een nieuwe studie nodig is.

En dit is meteen de plek waar de aanpak per component zich wreekt. Wie vanuit de functie werkt, vindt alleen de storingen die er voor het proces toe doen. Wie per component invult, analyseert ook alles wat geen functieverlies veroorzaakt.

Hier gaat het in de praktijk het vaakst mis. Open een willekeurige FMECA-sheet en de kans is groot dat er als faalwijze "pomp kapot" staat, met als oorzaak "slijtage". Met zo'n regel kan niemand iets: er is geen inspectie aan te koppelen, geen taak en geen interval.

Een bruikbare faalwijze begint met een component en een waarneembare storingsvorm, in voltooide vorm: lager van de pomp versleten, asafdichting lekkend. Niet "pomp kapot", niet "afdichting stuk". Achter die storingsvorm legt u vervolgens twee dingen vast: het mechanisme, het fysische of chemische proces dat tot de storingsvorm leidt, en de oorzaak die dat proces in gang zet.

Voor het versleten lager ziet die keten er zo uit: de storingsvorm is lager versleten, het mechanisme is abrasieve slijtage, en de oorzaak is onvoldoende smering. Diezelfde keten kan ook anders lopen, en dan verandert er iets wezenlijks:

Dezelfde storingsvorm, en toch twee verschillende ketens erachter, met twee volledig verschillende maatregelen. De onderhoudstaak volgt uit mechanisme en oorzaak samen, en daarom moeten ze allebei in de analyse staan. Eén storingsvorm kan meerdere geloofwaardige ketens hebben, en elke keten verdient een eigen regel.

Gebruik voor de storingsvormen een vaste, beperkte woordenlijst: versleten, gebroken, lekkend, verstopt, vervormd, los. Wie vrij formuleert, krijgt analyses waarin dezelfde storing drie keer anders heet, en die zijn later niet te vergelijken en niet te koppelen aan storingsregistraties.

Voor wie het precies wil: ISO 14224 maakt exact dit onderscheid tussen storingsvorm (failure mode), faalmechanisme en faaloorzaak. De norm bevat als bijlage een gestandaardiseerde lijst storingsvormen met omschrijvingen; hij komt uit de procesindustrie, maar de taxonomie is breed bruikbaar. De generieke internationale norm voor FMEA en FMECA zelf is IEC 60812.

Twee controlevragen horen bij deze stap. Is deze faalwijze geloofwaardig volgens de mensen die de installatie kennen? Zo nee, dan hoort hij niet in de lijst; een FMECA is geen inventarisatie van alles wat theoretisch mis kan gaan. En is de beschrijving gedetailleerd genoeg om er een maatregel aan te koppelen? Meer detail dan dat is niet nodig. Te grof en de analyse wordt oppervlakkig, te fijn en hij verzandt voordat er één beslissing is genomen.

Beschrijf vervolgens wat er gebeurt als de faalwijze optreedt, alsof er niets wordt gedaan om hem te voorkomen. Wat neemt de operator waar, wat gebeurt er met de productie, komt er iets vrij, en hoe lang duurt het voordat de functie hersteld is?

Die laatste vraag verdient aandacht, want de hersteltijd wordt vaak bepaald door de levertijd van het onderdeel. Een versleten lager dat op voorraad ligt, is een reparatie van een paar uur. Hetzelfde lager met acht weken levertijd is een ander verhaal, en dat hoort in de effectbeschrijving te staan. Wie de effecten goed beschrijft, heeft daarmee meteen de basis voor een reservedelenanalyse in handen.

Voor de koelwaterpomp: het versleten lager kondigt zich aan met toenemend geluid en trilling en loopt uiteindelijk vast. Meestal neemt de standby-pomp het dan over en blijft de schade beperkt tot een reparatie van zes uur met een lager uit het magazijn. Het ernstigste realistische scenario is een ander verhaal: de standby staat net in onderhoud, het vastgelopen lager beschadigt de as, en de lijn ligt enkele dagen stil. Dat scenario bepaalt de score in stap 6, net zoals de criticaliteitsanalyse het ernstigste realistische faalscenario beoordeelt. De lekkende asafdichting geeft koelwater op de vloer bij een draaiende pomp, een glijgevaar en waterverlies, en vraagt om een gecontroleerde omschakeling en een reparatie van vier uur.

Nu komt de C van criticality. Beoordeel per faalwijze het gevolg tegen de bedrijfswaarden van uw organisatie: veiligheid, milieu, continuïteit, financieel en reputatie. In onze aanpak scoort u elke waarde afzonderlijk en bepaalt de zwaarste uitkomst de gevolgklasse; een storing met een fors veiligheidsgevolg blijft zo zwaar wegen, ook als de andere gevolgen meevallen. Voeg daar de kans aan toe, en lees het risico af in de matrix. Wie de criticaliteitsanalyse heeft gedaan, heeft de bedrijfswaarden, de drempelwaarden en de matrix al liggen en kan ze hier direct gebruiken.

Het resultaat van deze stap is per faalwijze een oordeel: is dit risico aanvaardbaar of niet? Die vraag klinkt zwaar, maar de grenzen zijn al gezet toen de directie de drempelwaarden vaststelde. De analyse past ze alleen toe.

Voor elke faalwijze met een onaanvaardbaar risico moet een maatregel komen die het risico terugbrengt. De faalbeslisboom leidt die keuze. De eerste vraag daarin is niet welke taak het wordt, maar of het falen zichtbaar is.

Een verborgen storing merkt niemand op het moment dat hij optreedt. Het overdrukventiel uit stap 2 is hiervan een goed voorbeeld: als het vastzit, draait de installatie gewoon door. Dat het ventiel niet meer werkt, blijkt pas op het moment dat de druk oploopt en het had moeten openen. Verborgen functies vragen daarom een eigen soort taak: periodiek testen of de functie er nog is. Wie zijn beveiligingen nooit test, weet niet of ze er zijn.

Voor zichtbare storingen weegt de beslisboom eerst de gevolgen voor veiligheid en milieu, daarna de operationele en economische gevolgen. De taakkeuze volgt een vaste volgorde. Kondigt de storing zich meetbaar aan, met trilling, temperatuur of slijtagedeeltjes, dan is een conditiegestuurde taak de eerste keus: meten en pas ingrijpen wanneer het nodig is. Is er geen bruikbare aankondiging maar wel een voorspelbaar slijtagepatroon, dan past periodiek reviseren of vervangen. Is geen van beide technisch haalbaar of de moeite waard, dan blijft er bij een onaanvaardbaar risico maar één route over: het ontwerp aanpassen, zodat de faalwijze zelf verdwijnt of zijn gevolg verliest.

Elke taak moet twee toetsen doorstaan, en hier stranden veel analyses. De taak moet technisch uitvoerbaar zijn, en hij moet de moeite waard zijn. Een maandelijkse inspectie die een storing niet eerder vindt dan de operator hem toch al hoort, kost geld zonder iets toe te voegen.

Voor faalwijzen met een aanvaardbaar risico volgt uit de risicoanalyse niet automatisch een preventieve taak. Dat betekent niet dat er niets gebeurt; het betekent dat een lichtere aanpak volstaat. Vaak is dat storingsafhankelijk onderhoud: bewust wachten tot de storing optreedt en dan herstellen. Soms is het leveranciersadvies als vertrekpunt, of een beperkte toets van het bestaande onderhoudsplan. En ook bij een aanvaardbaar risico regelt u de randvoorwaarden, want aanvaardbaar risico betekent niet dat acht weken wachten op een reservedeel acceptabel is. Storingsafhankelijk onderhoud is pas een probleem wanneer het niet bewust is gekozen, maar is ontstaan omdat niemand een strategie heeft vastgesteld.

Twee soorten taken blijven buiten deze afweging staan: maatregelen die wettelijk of contractueel verplicht zijn, zoals keuringen, verzekeringseisen en garantievoorwaarden, en de regels die uw organisatie zichzelf heeft opgelegd. Die voert u uit ongeacht wat de matrix zegt.

Daarmee heeft u het eerste deel af: de analyse. Maar er resteert nog werk. De taken moeten in het onderhoudsconcept en het onderhoudsmanagementsysteem landen, met een interval, een eigenaar en een omschrijving die een monteur begrijpt. En de FMECA zelf heeft een eigenaar nodig en een afspraak over herziening: bij een wijziging aan de installatie, na een storing die niet in de analyse stond, en verder periodiek. Een FMECA die na de sessie nooit meer wordt aangeraakt, is binnen een paar jaar een beschrijving van een installatie die niet meer bestaat. Zo ontstaan de documenten in de la: gemaakt om te laten zien dat ze er zijn, niet omdat ze werken.

FMECA-voorbeeld: van functie naar onderhoudstaak

De koelwaterpomp is in de loop van dit artikel stap voor stap ingevuld. Hier staat de regel compleet, van functie tot taak met interval:

Elke kolom is het antwoord op een van de acht vragen. Zo ziet een FMECA-regel eruit die een beslissing draagt.

De template: welke kolommen heeft een FMECA nodig?

De acht stappen vertalen zich rechtstreeks naar kolommen. Van links naar rechts: systeem en component, functie met prestatienorm, functionele storing, faalwijze, mechanisme, oorzaak, effect met hersteltijd, verborgen of zichtbaar, gevolgklasse per bedrijfswaarde met de zwaarste als uitkomst, kansklasse, risico, en ten slotte de gekozen taak met interval. Wie wil, voegt een taakeigenaar toe en een markering voor kritieke reservedelen.

Twee kolommen die u in veel templates tegenkomt, staan hier bewust niet in.

Een detectiescore ontbreekt, omdat detecteerbaarheid in een onderhouds-FMECA geen rapportcijfer is maar een structuurvraag. Of een storing verborgen of zichtbaar is, bepaalt via de beslisboom welk type taak passend is, en of een storing zich meetbaar aankondigt, bepaalt of een conditietaak haalbaar is. Daarmee is detecteerbaarheid volledig verwerkt, zonder cijfer.

Een aparte kolom voor de levertijd van reservedelen ontbreekt ook, want die levertijd hoort in de effectbeschrijving thuis. De reservedelenanalyse is vervolgens een uitkomst van de FMECA, geen onderdeel ervan.

Onderaan dit artikel staat de template als Excel-bestand, met exact deze kolommen: vrij te downloaden en aan te passen aan uw eigen bedrijfswaarden.

Waar kan AI helpen, en waar niet?

De verwachting is soms dat AI de hele analyse kan overnemen. Dat kan hij niet, en wie het toch probeert, krijgt een generieke lijst faalwijzen die overal en dus nergens op slaat. Maar er zijn stappen waar AI het werk aanzienlijk versnelt.

Waar AI helpt, is het voorwerk. Duizenden storingsmeldingen uit het onderhoudsmanagementsysteem samenvatten tot kandidaat-faalwijzen voor de sessie. Vrije tekst vertalen naar de vaste storingsvormen van ISO 14224, zodat meldingen en analyse dezelfde taal spreken. Leveranciersdocumentatie doorzoeken op bekende faalmechanismen. En ook zonder storingshistorie kan AI per componenttype een voorzet geven van mogelijke faalwijzen, mechanismen en oorzaken, netjes in de taal van ISO 14224. Dat is het werk dat sessies traag maakt, en het laat zich goed automatiseren.

Maar let op wat zo'n voorzet is: een checklist, geen analyse. Wie AI vraagt om een FMECA van een pomp, krijgt de faalwijzen van een pomp, niet van uw pomp. Het model kent uw opstelling niet, uw standby-pomp niet, uw bedrijfstijden niet en uw medium niet, en het maakt geen onderscheid tussen wat theoretisch kan en wat in uw context geloofwaardig is. Gebruik de voorzet daarom aan het eind van de sessie als controle, met de vraag of er iets over het hoofd is gezien, en niet aan het begin als uitgangspunt.

Waar AI niet helpt, zijn de stappen die dit artikel de belangrijkste noemt. De operationele context staat in geen enkel systeem geregistreerd. De prestatienormen komen van de gebruikers van de installatie. Of een faalwijze geloofwaardig is voor déze installatie in déze context, weten alleen de mensen die er dagelijks mee werken. En wat een aanvaardbaar risico is, is een besluit van de organisatie, geen uitkomst van een model. AI maakt de sessie korter, niet overbodig.

Waarom wij geen RPN-score gebruiken

In veel FMECA's wordt het risico berekend als ernst maal kans maal detecteerbaarheid, de zogeheten RPN-score. Dat oogt objectief, maar de cijfers zijn klassen, geen meetwaarden: klasse 4 is niet twee keer klasse 2, en vermenigvuldigen doet alsof dat wel zo is. IEC 31010, de internationale norm voor risicobeoordelingstechnieken, waarschuwt om die reden dat zulke scores hooguit een rangorde geven.

Bovendien komt de detectiefactor uit de ontwerp-FMEA en beloont hij in onderhoud precies het verkeerde: een levensgevaarlijke storing die goed detecteerbaar is, zakt in de lijst. RCM3 gebruikt daarom geen RPN-score, maar toetst elk risico aan de aanvaardbaarheidsgrenzen die de organisatie zelf heeft vastgesteld. De uitkomst is geen getal maar een besluit.

Waar het in de praktijk misgaat

Deze drie patronen zien wij het vaakst terug.

Het detailniveau klopt niet. Te grof en de analyse levert regels op als "pomp kapot", waar geen taak uit volgt. Te fijn en de sessies slepen zich maanden voort, tot het draagvlak op is voordat er één maatregel staat. Dezelfde fout in een andere gedaante is de analyse per component: de decompositie afwerken in plaats van vanuit de functie redeneren, met weken analysewerk aan onderdelen die geen functieverlies veroorzaken. De toets uit stap 4 is de maat: gedetailleerd genoeg om een maatregel te kiezen, en niet dieper.

De verkeerde mensen zitten aan tafel. Een FMECA die alleen door de onderhoudsafdeling wordt ingevuld, mist de helft van het storingsgedrag. Operators weten hoe de installatie zich gedraagt vlak voordat het misgaat, en wat er in de praktijk wordt gedaan om storingen te omzeilen. Zonder hen wordt de kolom met effecten een aanname.

Er is geen geschoolde facilitator. De mensen die de installatie het beste kennen, kennen de FMECA-logica meestal niet. Vraag een monteur wat er mis kan gaan met een pomp en het antwoord is: de pomp kan kapot. Dat is geen onkunde, het is een andere manier van kijken. Een geschoolde facilitator vraagt door. Wat is er dan kapot? De as gebroken. Waardoor breekt die as? Vermoeiing. En waar komt die vermoeiing vandaan? Verkeerde uitlijning bij de laatste montage. Pas dan staat er een keten waar een maatregel uit volgt. Organisaties die de facilitatie beleggen bij iemand die de methode zelf niet beheerst, krijgen een sessie vol installatiekennis en een analyse waar niets mee kan. Kies een facilitator die hierin geschoold is; dat bepaalt meer van de kwaliteit dan welke template u gebruikt.

Van FMECA naar onderhoudsconcept

Een goede FMECA eindigt niet in een spreadsheet maar in een onderhoudsconcept: een set taken waarvan u per taak kunt aanwijzen welk risico hij beheerst. Dat is ook de toets, dezelfde als bij de criticaliteitsanalyse. Verandert er na de analyse niets aan uw takenpakket, uw intervallen of uw voorraad, dan heeft u een document voor de auditor gemaakt, geen onderhoudsconcept voor uw installaties.

---

Verder lezen

De FMECA is de tweede stap in het bepalen van een onderhoudsstrategie. Welke assets als eerste aan de beurt zijn, leest u in Criticaliteitsanalyse in zes stappen. De plaats van beide analyses in de aanpak vindt u op Onderhoudsstrategie bepalen.

Wilt u weten waar uw organisatie staat? De Maintenance Scan beoordeelt in tien onderwerpen hoe uw onderhoud is ingericht, van onderhoudsconcepten tot storingsanalyse, en levert een rapport met een concrete volgorde om mee aan de slag te gaan.

Bron

¹ De acht vragen en de beslislogica in dit artikel volgen RCM3, de risicogebaseerde RCM-methodiek van Aladon, beschreven in: Marius Basson, RCM3: Risk-Based Reliability Centered Maintenance, Industrial Press.