-
Schwabenstr.14 ,67227 Frankenthal
-
vertrieb [at] intechonline.de
|
|
|
|
|
|
|
|
|
|
|
|
SIL 3 Temperaturmessung – vom Temperaturfühler bis zur SicherheitsfunktionTemperaturmessungen übernehmen in vielen industriellen Anlagen nicht nur Aufgaben der Prozessführung und Regelung. Sie können auch Bestandteil einer sicherheitsgerichteten Funktion sein, beispielsweise zur Abschaltung eines Reaktors, Trockners, Ofens oder eines thermischen Prozesses bei einer unzulässig hohen Temperatur. Wird für eine solche Sicherheitsfunktion ein Safety Integrity Level – beispielsweise SIL 2 oder SIL 3 – gefordert, reicht es nicht aus, lediglich einen für SIL-Anwendungen geeigneten Temperaturmessumformer einzusetzen. Der SIL-Level bezieht sich auf die komplette Sicherheitsfunktion. Dazu gehören die Erfassung der Temperatur, die Signalverarbeitung, die Sicherheitssteuerung und letztlich auch das Element, welches den Prozess in einen sicheren Zustand überführt. Eine typische sicherheitsgerichtete Temperaturmessung besteht deshalb aus: Temperaturfühler → Temperaturmessumformer → Sicherheits-SPS → Abschaltorgan Für die Beurteilung einer SIL-Anwendung müssen die Ausfallwahrscheinlichkeiten, Fehlerarten, Diagnosemöglichkeiten und die gewählte Architektur dieser gesamten Sicherheitsfunktion berücksichtigt werden. Die IEC 61508 bildet die grundlegende Norm für funktionale Sicherheit elektrischer, elektronischer und programmierbarer elektronischer Systeme. Für sicherheitsgerichtete Systeme in der Prozessindustrie wird insbesondere die IEC 61511 angewendet. |
||||||||||||
|
Was bedeutet SIL 3 bei einer Temperaturmessung? SIL bedeutet Safety Integrity Level. Der geforderte SIL-Level beschreibt, wie zuverlässig eine Sicherheitsfunktion bei einer gefährlichen Prozesssituation funktionieren muss. Je höher der SIL-Level, desto geringer muss die Wahrscheinlichkeit eines gefährlichen Versagens der Sicherheitsfunktion sein. Im Bereich der Prozessindustrie werden in der Praxis überwiegend SIL 1 bis SIL 3 eingesetzt. SIL 3 stellt die aktuell höchste Anforderungen an die Ausfallwahrscheinlichkeit und an die systematische Sicherheit einer sicherheitsgerichteten Funktion. Wichtig ist dabei die Unterscheidung:
|
||||||||||||
|
Muss ein Temperaturfühler SIL-zertifiziert sein? Diese Frage wird bei der Planung sicherheitsgerichteter Temperaturmessungen häufig gestellt. Die kurze Antwort lautet: Ein Temperaturfühler muss nicht zwangsläufig ein eigenes „SIL-3-Zertifikat“ besitzen. Der Fühler ist dennoch ein wesentlicher Bestandteil der Sicherheitsfunktion und seine möglichen Fehler müssen bei der SIL-Betrachtung berücksichtigt werden. Bei Widerstandsthermometern wie Pt100 oder Pt1000 handelt es sich um vergleichsweise einfache Sensorelemente. Für die SIL-Verifikation können deren Ausfallraten und Fehlerarten bewertet werden. Auch Betriebsbewährung, Bauform, Prozessbedingungen und die konkrete Installation können dabei relevant sein. Typische Fehler eines Temperaturfühlers sind beispielsweise:
Ein moderner Temperaturmessumformer kann viele dieser Fehler erkennen. Er kann aber nicht automatisch jede denkbare Fehlmessung des Temperaturfühlers diagnostizieren. |
||||||||||||
|
Temperaturfühler und Messumformer bilden gemeinsam die Sensoreinheit Für die SIL-Betrachtung darf der Messumformer nicht isoliert betrachtet werden. Erst zusammen mit dem angeschlossenen Temperaturfühler entsteht die eigentliche Temperatur-Sensoreinheit. Dies wird beispielsweise auch bei der sicherheitstechnischen Bewertung aktueller Temperaturmessumformer von PR electronics berücksichtigt. Für die SIL-Verifikation müssen zusätzlich zu den Ausfallraten des Messumformers auch die Ausfallraten und Fehlerarten des angeschlossenen Temperaturfühlers berücksichtigt werden. Vereinfacht ergibt sich: Temperaturfühler + Messumformer = Sensoreinheit der Sicherheitsfunktion Das ist ein wesentlicher Punkt bei der Planung einer sicherheitsgerichteten Temperaturmessstelle. |
||||||||||||
|
Welche Aufgaben übernimmt ein SIL-Temperaturmessumformer? Der Temperaturmessumformer wandelt das Signal des Temperaturfühlers in ein standardisiertes Ausgangssignal um, typischerweise 4...20 mA. Für sicherheitsgerichtete Anwendungen kommen zusätzlich umfangreiche Diagnosefunktionen hinzu. Je nach Gerät und Konfiguration können unter anderem überwacht werden:
Ein erkannter Fehler kann über einen definierten Fehlerstrom an die Sicherheitssteuerung weitergegeben werden. Die Sicherheits-SPS kann daraufhin die für die Anlage vorgesehene Reaktion auslösen. |
||||||||||||
|
SIL 3 beim Messumformer bedeutet nicht automatisch SIL 3 mit einem Gerät Bei Herstellerangaben wie „SIL 2 / SIL 3 geeignet“ muss genau betrachtet werden, für welche Architektur diese Aussage gilt. Ein aktuelles Beispiel sind Temperaturmessumformer der Serien 5437 und 6437 von PR electronics. Die Geräte wurden für den Einsatz in funktional sicheren Anwendungen nach IEC 61508 bewertet. Für ein einzelnes Gerät mit Hardware Fault Tolerance HFT = 0 wird SIL 2 ausgewiesen. Für die Verwendung innerhalb einer SIL-3-Sicherheitsfunktion ist eine Architektur mit HFT = 1 erforderlich.
Damit wird deutlich: Die Bezeichnung eines Gerätes als SIL-3-fähig darf nicht mit einer vollständigen SIL-3-Messstelle verwechselt werden. Die konkrete Eignung muss immer anhand der Sicherheitsarchitektur, der Herstellerunterlagen und der geforderten Sicherheitsfunktion überprüft werden. |
||||||||||||
|
Ein oder zwei Temperaturfühler? Für viele sicherheitsgerichtete Anwendungen kann ein einzelner Temperaturfühler ausreichend sein. Mit steigenden Anforderungen an die funktionale Sicherheit können jedoch Redundanz und zusätzliche Diagnosemöglichkeiten erforderlich werden. Doppelsensoren bieten beispielsweise die Möglichkeit, zwei voneinander getrennte Sensorelemente in einer Temperaturarmatur einzusetzen. Moderne Temperaturmessumformer können zwei Sensoren gleichzeitig auswerten. Mögliche Funktionen sind:
Temperaturmessumformer wie beispielsweise die PR electronics 5437- und 6437-Familie bieten entsprechende Möglichkeiten für Dual- und redundante Sensorkonfigurationen. Solche Funktionen können die Diagnose und Verfügbarkeit einer Messstelle erheblich verbessern. Sie ersetzen jedoch nicht die Betrachtung der gesamten Sicherheitsarchitektur. |
||||||||||||
|
Was bedeutet Sensor Drift Detection? Ein besonders kritischer Fehler bei Temperaturmessungen ist eine langsam entstehende Messabweichung. Ein Sensor kann weiterhin elektrisch funktionsfähig sein und einen plausiblen Wert liefern, obwohl seine tatsächliche Messabweichung bereits unzulässig groß geworden ist. Bei nur einem Temperaturfühler ist ein solcher Fehler unter Umständen nicht unmittelbar erkennbar. Werden zwei Sensoren gleichzeitig gemessen, kann der Messumformer die Differenz zwischen beiden Temperaturen überwachen. Ein einfaches Beispiel:
Wird eine vorher definierte maximale Differenz überschritten, kann ein Diagnosealarm ausgegeben werden. Diese Funktion verbessert die Diagnosemöglichkeiten einer Temperaturmessstelle. Sie bedeutet jedoch noch nicht automatisch, dass eine SIL-3-Anforderung erfüllt ist. |
||||||||||||
|
Zwei Pt100 sind noch keine vollständige Redundanz Zwei Temperaturfühler verbessern zunächst die Möglichkeiten der Diagnose. Bei einer sicherheitstechnischen Betrachtung muss jedoch zusätzlich untersucht werden, ob beide Sensoren durch dieselbe Ursache gleichzeitig beeinflusst werden können. Solche gemeinsamen Fehlerursachen werden als Common Cause Failure bezeichnet. Mögliche gemeinsame Fehlerursachen sind beispielsweise:
Ein Doppel-Pt100 in einem gemeinsamen Schutzrohr kann daher sehr sinnvoll für Diagnose und Verfügbarkeit sein, ist aber nicht automatisch mit zwei vollständig unabhängigen Temperaturmessstellen gleichzusetzen. |
||||||||||||
|
1oo1, 1oo2 und redundante Messarchitekturen Bei sicherheitsgerichteten Messungen wird häufig mit sogenannten MooN-Architekturen gearbeitet. Die Bezeichnung beschreibt, wie viele vorhandene Messkanäle für eine Sicherheitsreaktion erforderlich sind.
Welche Architektur notwendig und sinnvoll ist, ergibt sich aus der Sicherheitsbetrachtung der konkreten Anlage. |
||||||||||||
|
PFD und PFH – wie wahrscheinlich darf ein gefährlicher Ausfall sein? Für eine SIL-Verifikation reicht die Aussage „SIL geeignet“ nicht aus. Entscheidend sind unter anderem die tatsächlichen Ausfallwahrscheinlichkeiten der Komponenten. Dabei werden je nach Betriebsart unterschiedliche Kennwerte verwendet:
Jedes Element der Sicherheitsfunktion trägt zur gesamten Ausfallwahrscheinlichkeit bei. Deshalb müssen Temperaturfühler, Messumformer, Sicherheits-SPS und Abschaltorgan gemeinsam betrachtet werden. |
||||||||||||
|
Was bedeutet FMEDA? FMEDA steht für Failure Modes, Effects and Diagnostic Analysis. Bei dieser Analyse wird unter anderem untersucht:
Aus der FMEDA entstehen wichtige Kennwerte für die spätere SIL-Verifikation. Für eine komplette Temperaturmessstelle müssen dabei nicht nur die Daten des Messumformers, sondern auch die Fehlerdaten des angeschlossenen Temperaturfühlers berücksichtigt werden. |
||||||||||||
|
Proof Test – eine SIL-Messstelle muss regelmäßig geprüft werden Nicht alle gefährlichen Fehler können durch die interne Diagnose eines Messumformers erkannt werden. Deshalb sind regelmäßige Wiederholungsprüfungen – sogenannte Proof Tests – Bestandteil sicherheitsgerichteter Anwendungen. Ein Proof Test einer Temperaturmessstelle kann beispielsweise beinhalten:
Die konkrete Prüfanweisung und das Prüfintervall müssen aus der Sicherheitsbetrachtung und den Safety Manuals der eingesetzten Komponenten abgeleitet werden. |
||||||||||||
|
Die mechanische Temperaturmessstelle gehört zur Sicherheitsbetrachtung Bei der Auswahl einer sicherheitsgerichteten Temperaturmessung darf die mechanische Konstruktion nicht vernachlässigt werden. Der beste SIL-Messumformer hilft nicht, wenn der eigentliche Temperaturfühler die relevante Prozesstemperatur nicht zuverlässig erfasst. Zu berücksichtigen sind beispielsweise:
Gerade bei sicherheitsgerichteten Messstellen muss daher die gesamte Messarmatur passend zum Prozess ausgelegt werden. |
||||||||||||
|
Pt100 oder Thermoelement in SIL-Anwendungen? Sowohl Widerstandsthermometer als auch Thermoelemente können Bestandteil einer sicherheitsgerichteten Temperaturmessung sein. Welches Messprinzip sinnvoll ist, hängt unter anderem vom Temperaturbereich, der benötigten Genauigkeit, der Reaktionsgeschwindigkeit und den Prozessbedingungen ab.
Die Auswahl des Messprinzips sollte deshalb nicht allein anhand der SIL-Anforderung erfolgen, sondern aus der gesamten Messaufgabe. |
||||||||||||
|
Typische Anwendungen für SIL-Temperaturmessungen
|
||||||||||||
|
Planung einer SIL-Temperaturmessstelle Für die Auswahl einer geeigneten Temperaturmessstelle benötigen wir zunächst die tatsächliche Mess- und Sicherheitsaufgabe. Typische Angaben sind:
Aus diesen Angaben kann eine geeignete Kombination aus Temperaturfühler, Armatur, Messumformer und Signalverarbeitung zusammengestellt werden. Dabei können je nach Aufgabenstellung unterschiedliche Fühlerbauformen und Messumformer eingesetzt werden. Für sicherheitsgerichtete Anwendungen stehen entsprechend bewertete Temperaturmessumformer zur Verfügung. Entscheidend ist jedoch nicht der Herstellername eines einzelnen Gerätes, sondern die technisch und sicherheitstechnisch passende Auslegung der gesamten Temperaturmessstelle. INTECH unterstützt bei der Auswahl und Zusammenstellung der Temperaturmessung – vom Fühler über den Messumformer bis zur Schnittstelle der Sicherheitssteuerung. |
||||||||||||
|
Wichtig: SIL ist immer eine Gesamtbetrachtung Eine sicherheitsgerichtete Temperaturmessung lässt sich nicht allein anhand eines SIL-Zertifikates auswählen. Für eine belastbare Lösung müssen unter anderem folgende Punkte zusammenpassen:
Erst aus dieser Gesamtbetrachtung ergibt sich, ob eine Sicherheitsfunktion die Anforderungen von SIL 1, SIL 2 oder SIL 3 tatsächlich erfüllt. Sie planen eine sicherheitsgerichtete Temperaturmessung? |
||||||||||||
```