SIL 3 Temperaturmessung – vom Temperaturfühler bis zur Sicherheitsfunktion

Temperaturmessungen übernehmen in vielen industriellen Anlagen nicht nur Aufgaben der Prozessführung und Regelung. Sie können auch Bestandteil einer sicherheitsgerichteten Funktion sein, beispielsweise zur Abschaltung eines Reaktors, Trockners, Ofens oder eines thermischen Prozesses bei einer unzulässig hohen Temperatur.

Wird für eine solche Sicherheitsfunktion ein Safety Integrity Level – beispielsweise SIL 2 oder SIL 3 – gefordert, reicht es nicht aus, lediglich einen für SIL-Anwendungen geeigneten Temperaturmessumformer auszuwählen.

Der SIL-Level bezieht sich auf die komplette Sicherheitsfunktion. Dazu gehören die Erfassung der Temperatur, die Signalverarbeitung, die Sicherheitssteuerung und das Element, das den Prozess schließlich in einen sicheren Zustand überführt.

Eine typische sicherheitsgerichtete Temperaturmessung besteht aus:

Temperaturfühler → Temperaturmessumformer → Sicherheits-SPS → Abschaltorgan

Für die Beurteilung müssen die Ausfallwahrscheinlichkeiten, Fehlerarten, Diagnosemöglichkeiten, Prüfkonzepte und die gewählte Architektur der gesamten Sicherheitsfunktion berücksichtigt werden.

Die IEC 61508 bildet die grundlegende Norm für funktionale Sicherheit elektrischer, elektronischer und programmierbarer elektronischer Systeme. Für sicherheitsgerichtete Systeme in der Prozessindustrie ist insbesondere die IEC 61511 maßgeblich.

Was bedeutet SIL 3 bei einer Temperaturmessung?

SIL bedeutet Safety Integrity Level. Der geforderte SIL-Level beschreibt die erforderliche Sicherheitsintegrität einer Sicherheitsfunktion.

Je höher der SIL-Level, desto geringer darf die Wahrscheinlichkeit sein, dass die Sicherheitsfunktion bei einer gefährlichen Prozesssituation versagt.

In der Prozessindustrie werden vor allem SIL 1, SIL 2 und SIL 3 eingesetzt. SIL 3 stellt dabei bereits sehr hohe Anforderungen an eine sicherheitsgerichtete Funktion.

Wichtig ist die Unterscheidung zwischen der Eignung eines einzelnen Gerätes und dem tatsächlich erreichten SIL-Level der gesamten Sicherheitsfunktion.

• Ein Gerät kann für den Einsatz in einer SIL-Anwendung bewertet sein.
• Die komplette Sicherheitsfunktion muss den geforderten SIL-Level erreichen.
• Ein SIL-fähiger Messumformer macht aus einer Temperaturmessstelle noch keine SIL-3-Sicherheitsfunktion.

Muss ein Pt100 selbst SIL-zertifiziert sein?

Nein. Ein Pt100 benötigt nicht grundsätzlich eine eigene SIL-Zertifizierung.

Der Temperaturfühler ist jedoch Bestandteil der sicherheitsgerichteten Messung und sein Ausfallverhalten muss bei der SIL-Verifikation berücksichtigt werden.

Die SIL-Bewertung eines Temperaturmessumformers schließt den angeschlossenen Pt100 nicht automatisch ein. Für die vollständige Betrachtung werden daher die Ausfallraten des Messumformers und die Ausfallraten des tatsächlich eingesetzten Temperaturfühlers berücksichtigt.

Bei Widerstandsthermometern sind insbesondere folgende Fehlerarten relevant:

• Unterbrechung des Sensors oder einer Sensorleitung
• Kurzschluss
• Drift des Messelements
• mechanische Beschädigung
• Feuchtigkeitseintritt
• Schäden durch Vibration
• häufige Temperaturwechsel
• Fehler in Anschlussleitung oder Anschlussstellen

Für den PR electronics 5437 enthält die von exida erstellte FMEDA beispielsweise typische Ausfallraten für verschiedene RTD-Konfigurationen. Unterschieden werden unter anderem 2-/3-Leiter- und 4-Leiter-Sensoren, kurze bzw. direkte Sensoranbindungen und längere Anschlussleitungen sowie unterschiedlich stark belastete Anwendungen.

Ein Pt100 muss damit nicht zwangsläufig über ein eigenes SIL-Zertifikat verfügen. Es müssen jedoch geeignete Ausfalldaten für seine Einbindung in die SIL-Verifikation vorhanden sein.

Temperaturfühler und Messumformer bilden gemeinsam die Sensoreinheit

Bei einer sicherheitsgerichteten Temperaturmessung darf der Messumformer nicht isoliert betrachtet werden. Der Temperaturfühler und der Messumformer bilden gemeinsam die sensorische Einheit innerhalb der Sicherheitsfunktion.

Die FMEDA des PR electronics 5437 beschreibt diese Kombination ausdrücklich als „temperature sensor assembly“. Für die Gesamtbewertung müssen daher die Fehleranteile beider Komponenten zusammengeführt werden.

Vereinfacht:

Temperaturfühler + Temperaturmessumformer = sensorischer Teil der Sicherheitsfunktion

Diese Betrachtung ist wichtig, weil ein sehr gut diagnostizierender Messumformer Fehler des Temperaturfühlers zwar teilweise erkennen kann, den Fühler aber nicht aus der Sicherheitsberechnung entfernt.

2-, 3- oder 4-Leiter-Pt100 – auch die Verdrahtung ist relevant

Die Anschlussart eines Pt100 beeinflusst nicht nur die Messgenauigkeit, sondern kann auch für die funktionale Sicherheit von Bedeutung sein.

Das Safety Manual des PR electronics 5437 weist bei 2- und 3-Leiter-Widerstandssensoren ausdrücklich darauf hin, dass der Anwender sicherstellen muss, dass die Sensorverdrahtung keine Ausfälle verursacht, welche die Anforderungen der Sicherheitsanwendung überschreiten.

Die FMEDA zeigt außerdem deutliche Unterschiede zwischen 2-/3-Leiter- und 4-Leiter-RTDs. Beim 4-Leiter-Sensor können zusätzliche Fehleranteile durch den Messumformer diagnostiziert werden.

Für eine neu geplante sicherheitsgerichtete Temperaturmessung kann deshalb ein 4-Leiter-Pt100 eine technisch vorteilhafte Lösung sein. Die endgültige Auswahl muss jedoch immer anhand der konkreten Anwendung erfolgen.

Welche Aufgaben übernimmt der Temperaturmessumformer?

Der Temperaturmessumformer wandelt das Signal des Temperaturfühlers typischerweise in ein 4...20-mA-Ausgangssignal für die Sicherheitssteuerung um.

Bei Messumformern für funktional sichere Anwendungen kommen zusätzliche Diagnosefunktionen hinzu. Je nach Gerät und Konfiguration können beispielsweise überwacht werden:

• Drahtbruch
• Sensorkurzschluss
• Sensorfehler
• interne Elektronikfehler
• Grenzwertverletzungen
• Fehler des Ausgangssignals
• Abweichungen zwischen zwei Temperatursensoren

Beim PR electronics 5437 wird ein erkannter sicherheitsrelevanter Fehler über einen definierten Fehlerstrom signalisiert. Der sichere Zustand des Analogausgangs liegt je nach Konfiguration bei höchstens 3,6 mA oder mindestens 21 mA.

Die nachgeschaltete Sicherheits-SPS muss diese Signale erkennen und die für die Anlage vorgesehene Sicherheitsreaktion auslösen.

Was bedeutet „SIL 3 capable“ beim PR electronics 5437?

Der PR electronics 5437 wurde von exida nach IEC 61508 bewertet. Das Zertifikat weist eine Systematic Capability SC 3 aus.

Das bedeutet, dass Entwicklung und Herstellung des Gerätes die Anforderungen für den Einsatz innerhalb einer SIL-3-Anwendung erfüllen können.

Bei der Hardwarearchitektur muss jedoch weiter unterschieden werden:

• ein Messumformer mit HFT = 0: bis SIL 2
• redundante Messumformerarchitektur mit HFT = 1: Einsatz bis SIL 3 möglich

Für SIL 3 zeigt das Safety Manual deshalb eine 1oo2-Architektur mit zwei unabhängigen Messumformerkanälen. Die Sicherheits-SPS wertet beide Signale aus und muss auf Abweichungen entsprechend reagieren.

Zwei Pt100 an einem einzigen Dualeingangs-Messumformer sind daher nicht dasselbe wie zwei unabhängige Messumformerkanäle einer SIL-3-Architektur.

Der Dualeingang verbessert die Sensorüberwachung, schafft jedoch keine Hardware-Fehlertoleranz gegenüber einem Ausfall des gemeinsamen Messumformers.

Ein Sensor, zwei Sensoren und zwei Messumformer

Bei sicherheitsgerichteten Temperaturmessungen muss zwischen Sensorredundanz und Messumformerredundanz unterschieden werden.

Ein einzelner Pt100 an einem einzelnen Messumformer bildet eine einfache Messkette.

Zwei Pt100 an einem Dualeingangs-Messumformer ermöglichen zusätzliche Diagnosefunktionen. Beide Sensoren können miteinander verglichen werden und Sensorfehler oder Drift können besser erkannt werden.

Für eine SIL-3-Hardwarearchitektur mit HFT = 1 sind dagegen zwei unabhängige Messumformerkanäle erforderlich.

Dual oder Redundant beim PR electronics 5437

Der 5437 mit zwei Sensoreingängen kennt unterschiedliche Betriebsarten.

Im Dual-Betrieb werden zwei Sensoreingänge gemessen und mathematisch miteinander verknüpft. Damit können beispielsweise Mittelwerte oder Temperaturdifferenzen gebildet werden.

Im Redundant-Betrieb werden beide Sensorwerte miteinander verglichen. Überschreitet ihre Differenz einen festgelegten Grenzwert oder wird ein Sensorfehler erkannt, führt der Messumformer den Ausgang in den konfigurierten sicheren Zustand.

Dadurch kann auch eine Sensordrift erkannt werden, die bei einem einzelnen elektrisch noch funktionierenden Pt100 möglicherweise unbemerkt bleiben würde.

Sensordrift – wenn der Pt100 noch funktioniert, aber falsch misst

Ein Drahtbruch lässt sich vergleichsweise einfach erkennen. Schwieriger ist ein Sensor, der weiterhin einen plausiblen Messwert liefert, sich jedoch langsam vom tatsächlichen Temperaturwert entfernt.

Werden zwei Sensoren gleichzeitig ausgewertet, kann deren Differenz überwacht werden.

Misst beispielsweise ein Sensor 148 °C und der zweite Sensor 160 °C, beträgt die Differenz 12 K. Überschreitet diese Differenz den vorher festgelegten Grenzwert, kann die Abweichung erkannt und eine Sicherheitsreaktion ausgelöst werden.

Die FMEDA des PR 5437 berücksichtigt diese zusätzliche Diagnosewirkung bei redundanter Sensorauswertung und Driftüberwachung ausdrücklich.

Zwei Pt100 sind trotzdem nicht immer vollständig unabhängig

Auch bei zwei Temperatursensoren muss geprüft werden, ob beide durch dieselbe Ursache gleichzeitig beeinträchtigt werden können.

Solche gemeinsamen Fehlerursachen werden als Common Cause Failure bezeichnet.

Mögliche Beispiele sind:

• zwei Messelemente in einem gemeinsamen Schutzrohr
• gemeinsame Anschlussstellen
• gemeinsame Leitungswege
• gleiche mechanische Belastung
• gleiche Vibrationen
• gleiche aggressive Prozessbedingungen
• Beschädigung der kompletten Temperaturarmatur
• ungeeignete Positionierung der gesamten Messstelle

Ein Doppel-Pt100 kann deshalb für Sensorvergleich, Diagnose und Verfügbarkeit sehr sinnvoll sein, ist aber nicht automatisch mit zwei vollständig unabhängigen Temperaturmessstellen gleichzusetzen.

1oo1, 1oo2 und 2oo3

Bei sicherheitsgerichteten Messungen werden unterschiedliche sogenannte MooN-Architekturen eingesetzt. Die Bezeichnung beschreibt, wie viele vorhandene Kanäle zur Auslösung einer Sicherheitsfunktion benötigt werden.

• 1oo1 – one out of one: Ein Messkanal ist vorhanden. Es besteht keine Hardware-Redundanz.
• 1oo2 – one out of two: Zwei unabhängige Messkanäle sind vorhanden. Bereits einer der beiden Kanäle kann die Sicherheitsreaktion anfordern.
• 2oo3 – two out of three: Drei Messkanäle sind vorhanden. Zwei der drei Kanäle müssen die gefährliche Prozesssituation bestätigen.

Welche Architektur erforderlich ist, ergibt sich aus der Sicherheitsbetrachtung der jeweiligen Anlage.

PFDavg und PFH – der SIL-Level muss berechnet werden

Für eine SIL-Verifikation reicht die Aussage „SIL geeignet“ nicht aus. Die Ausfallwahrscheinlichkeiten aller beteiligten Elemente müssen in die Berechnung einbezogen werden.

Bei Sicherheitsfunktionen im Low-Demand-Betrieb wird insbesondere die mittlere Ausfallwahrscheinlichkeit bei Anforderung betrachtet: PFDavg – Average Probability of Failure on Demand.

Bei High-Demand- oder kontinuierlichem Betrieb wird die Häufigkeit eines gefährlichen Ausfalls pro Stunde betrachtet: PFH – Probability of dangerous Failure per Hour.

Für die Berechnung werden unter anderem benötigt:

• Ausfallraten der Temperaturfühler
• Ausfallraten der Messumformer
• gewählte Redundanzarchitektur
• Diagnoseabdeckung
• Reparaturzeiten
• gegebenenfalls Proof-Test-Intervalle und deren Wirksamkeit
• Ausfalldaten von Sicherheits-SPS und Aktorik

Erst daraus ergibt sich, ob die komplette Sicherheitsfunktion den geforderten SIL-Level erreicht.

Was bedeutet FMEDA?

FMEDA steht für Failure Modes, Effects and Diagnostic Analysis.

Dabei wird untersucht:

• welche Fehler auftreten können
• welche Auswirkungen diese Fehler haben
• welche Fehler sicher oder gefährlich sind
• welche gefährlichen Fehler automatisch erkannt werden
• welche Fehler gefährlich und unerkannt bleiben
• welche Ausfallraten daraus resultieren

Die FMEDA liefert damit wichtige Kennwerte für die spätere SIL-Verifikation. Bei einer Temperaturmessung müssen dabei nicht nur die Werte des Messumformers berücksichtigt werden. Auch der Temperaturfühler gehört zur sensorischen Einheit.

Ausfallraten von Pt100-Sensoren

Die exida-FMEDA des PR electronics 5437 enthält typische Ausfallraten für RTD-Sensoren. Dabei wird nicht einfach ein allgemeiner Wert für „den Pt100“ verwendet.

Unterschieden werden beispielsweise:

• 2-/3-Leiter-RTD
• 4-Leiter-RTD
• Sensor mit längerer Anschlussleitung
• kurz bzw. direkt angebundener Sensor
• gering belastete Anwendung
• hoch belastete Anwendung

Als wichtige Belastungsfaktoren nennt die FMEDA insbesondere starke Vibrationen und häufige Temperaturwechsel. Diese können beispielsweise zu Rissen und Verbindungsfehlern innerhalb des Sensors führen.

Damit wird deutlich, warum ein pauschales „Pt100 ist SIL-tauglich“ nicht ausreichend ist. Die konkrete Sensorbauform und die Einsatzbedingungen gehören zur Bewertung.

Technische Einordnung des PR electronics 5437

Proof Test und Funktionsprüfung

Automatische Diagnosen können nicht jeden gefährlichen Fehler erkennen. Je nach Sicherheitskonzept kann deshalb eine Funktions- oder Wiederholungsprüfung erforderlich sein.

Für den PR electronics 5437 beschreibt das Safety Manual ein Prüfverfahren, bei dem die aktiven Eingangskanäle mit definierten Sensorwerten simuliert und die entsprechenden Ausgangssignale überprüft werden.

Der von exida vorgeschlagene Test erkennt nach Herstellerangabe ungefähr 90 % der möglichen gefährlichen unerkannten Fehler des Messumformers.

Die Prüfung des Messumformers ersetzt jedoch nicht automatisch die Prüfung der gesamten Temperaturmessstelle und der nachfolgenden Sicherheitsfunktion.

Ob und in welchem Intervall Prüfungen erforderlich sind, ergibt sich aus der SIL-Verifikation, dem Sicherheitskonzept, den Herstellerunterlagen und den betrieblichen Vorgaben der Anlage.

Die mechanische Temperaturmessstelle gehört zur Sicherheitsbetrachtung

Die funktionale Sicherheit beginnt nicht erst am Anschluss des Messumformers. Der Temperaturfühler muss die für die Sicherheitsfunktion relevante Prozesstemperatur zuverlässig erfassen.

Zu berücksichtigen sind beispielsweise:

• Pt100, Pt1000 oder Thermoelement
• Einfach- oder Doppelsensor
• 2-, 3- oder 4-Leiteranschluss
• Schutzrohrwerkstoff
• Prozessanschluss
• Eintauchtiefe
• Ansprechzeit
• Druckbelastung
• Vibration
• Temperaturwechsel
• Korrosion
• mechanische Belastung
• Explosionsschutz

Eine falsch positionierte, zu langsam reagierende oder mechanisch ungeeignete Messstelle kann eine Sicherheitsfunktion beeinträchtigen, auch wenn der eingesetzte Messumformer über eine entsprechende SIL-Bewertung verfügt.

Pt100 oder Thermoelement in SIL-Anwendungen?

Sowohl Widerstandsthermometer als auch Thermoelemente können Bestandteil einer sicherheitsgerichteten Temperaturmessung sein.

Pt100-Widerstandsthermometer bieten eine hohe Genauigkeit und gute Langzeitstabilität. Thermoelemente ermöglichen dagegen Messungen in sehr hohen Temperaturbereichen und robuste Ausführungen für anspruchsvolle Anwendungen.

Welches Messprinzip geeignet ist, ergibt sich nicht allein aus der SIL-Anforderung. Temperaturbereich, Genauigkeit, Reaktionsgeschwindigkeit, mechanische Belastung und Prozessbedingungen müssen gemeinsam betrachtet werden.

Typische Anwendungen

• Übertemperaturschutz an Reaktoren
• exotherme chemische Reaktionen
• chemische und petrochemische Prozesse
• Trockner und Verdampfer
• Industrieöfen
• Dampferzeuger
• Thermalöl- und Wärmeträgeranlagen
• Verbrennungsanlagen
• Lagertanks
• pharmazeutische Produktionsanlagen
• Anlagen mit explosionsfähigen Atmosphären
• Prozesse, bei denen eine unzulässige Temperatur einen gefährlichen Anlagenzustand verursachen kann

Welche Angaben benötigen wir für die Auslegung?

Für die Auswahl einer geeigneten Temperaturmessstelle muss zunächst die tatsächliche Mess- und Sicherheitsaufgabe betrachtet werden.

Wichtige Angaben sind beispielsweise:

• Messmedium
• Temperaturbereich
• Druck
• Prozessanschluss
• Werkstoffe
• Explosionsschutz
• geforderter SIL-Level der Sicherheitsfunktion
• Grenztemperatur und gewünschte Sicherheitsreaktion
• vorhandene Sicherheits-SPS
• Sensor- und Redundanzkonzept
• Einfach-, Dual- oder redundante Sensoranordnung
• erforderliche Messumformerarchitektur
• Prüf- und Instandhaltungskonzept

Aus diesen Angaben kann eine geeignete Kombination aus Temperaturfühler, mechanischer Armatur und Temperaturmessumformer ausgewählt werden.

Für entsprechende Anwendungen können beispielsweise nach IEC 61508 bewertete Temperaturmessumformer von PR electronics eingesetzt werden. Die Geräte 5437 und 6437 ermöglichen dabei unterschiedliche Sensor- und Redundanzkonfigurationen.

Entscheidend ist jedoch nicht der Herstellername eines einzelnen Gerätes, sondern die technisch und sicherheitstechnisch passende Auslegung der gesamten Mess- und Sicherheitsfunktion.

SIL 3 ist eine Gesamtbetrachtung

Eine SIL-3-Temperaturmessung entsteht nicht dadurch, dass ein einzelnes Gerät die Bezeichnung „SIL 3 capable“ trägt.

Temperaturfühler, mechanische Messstelle, Messumformer, Diagnose, Redundanz, Sicherheits-SPS, Abschaltorgan und die jeweiligen Ausfallraten müssen gemeinsam betrachtet werden.

Für den PR electronics 5437 bedeutet dies beispielsweise: Ein einzelner Messumformer ist bei HFT = 0 bis SIL 2 einsetzbar. Für eine SIL-3-Architektur mit HFT = 1 werden zwei unabhängige Messumformerkanäle verwendet. Zwei Temperaturfühler an einem einzelnen Dualeingangs-Messumformer ersetzen diese Messumformerredundanz nicht.

Erst die Verifikation der vollständigen Sicherheitsfunktion zeigt, ob die Anforderungen von SIL 1, SIL 2 oder SIL 3 tatsächlich erfüllt werden.