Eigensichere SIL-3-Ausgangstreiber für höhere Prüfintervalle

Bei der Signalübertragung zwischen Steuerung und Feld werden vier Fälle unterschieden: Digitale Signale aus dem Feld zur Steuerung werden mit Schaltverstärkern übertragen, in umgekehrter Richtung durch Ventilsteuer- und Relaisbausteine. Transmitterspeisegeräte und Repeater sind für analoge Messsignale geeignet, während analoge Aktoren mithilfe von Ausgangstreibern angesteuert werden. In der Prozessautomation gibt es zahlreiche Anwendungen, bei denen analoge Feldgeräte im explosionsgefährdeten Bereich angesteuert werden müssen. Ein typisches Beispiel für einen Signalkreis mit Anforderungen nach SIL 3: In einer Anlage soll die Stoffzufuhr gestoppt werden können, wenn der nachfolgende chemische Prozess außer Kontrolle geraten ist.

In der Vergangenheit standen keine geeigneten Trennbarrieren für die Übertragung von Signalen von der Steuerung zu den analogen Feldgeräten zur Verfügung. Daher wurden solche Signalkreise bislang aufgebaut, indem SIL-2-Geräte redundant eingesetzt wurden. Dabei muss sichergestellt sein, dass systematische Fehler so weit wie möglich ausgeschlossen bleiben.

Dies lässt sich durch zwei unterschiedliche Ansätze erreichen: Die Nutzung von zwei Trennbarrieren unterschiedlicher Bauart als eine heterogene Redundanz vermeidet systematische Fehler. Diese können durch Schwächen im Design des Gerätes oder der Nutzung von systematisch fehlerhaften Bauteilen einer Charge entstehen. Auch der Einsatz baugleicher Typen, also eine homogene Redundanz, ist zum Aufbau von SIL-3-Anwendungen möglich. Dafür müssen die verwendeten Module über eine systematische Eignung (SCx für „Systematic Capability“) verfügen. SIL-2-Module mit SC3 können für den Aufbau eines SIL-3-Signalkreises genutzt werden. Die systematische Eignung kann durch ein FSM-Zertifikat (Functional Safety Management) nachgewiesen werden, da das FSM-System systematische Fehler durch organisatorische Maßnahmen reduziert. Dies wird vom TÜV Rheinland anerkannt. Die SIL-2-Module von Pepperl+Fuchs verfügen in der Regel über SC3.

Dort, wo auch die Maschinenrichtlinie relevant ist, kommt zusätzlich die EMV-Norm EN 61326-3-1 ins Spiel. Ihr Titel: Störfestigkeitsanforderungen für sicherheitsbezogene Systeme und für Geräte, die für sicherheitsbezogene Funktionen (funktionale Sicherheit) bestimmt sind – Allgemeine industrielle Anwendungen). Diese Norm gibt vor, dass bei einigen Gerätetests ein SIL-2-Gerät 3- ... 5-mal länger als die Testdauer geprüft werden muss, wenn es für SIL-3-Anwendungen eingesetzt werden soll.

In der für die Prozessautomation entsprechenden Norm gibt es diese Forderung nicht (EMV-Norm EN 61326-3-2: Störfestigkeitsanforderungen an sicherheitsbezogene Systeme und Geräte, die für sicherheitsbezogene Funktionen (funktionale Sicherheit) vorgesehen sind – Industrielle Anwendungen in spezifizierten elektromagnetischen Umgebungen).

Der Workaround über redundante SIL-2-Strukturen ist also möglich, dennoch hat eine SIL-3-Trennbarriere diverse Vorzüge: Der Aufwand bei der Nutzung eines einzelnen Moduls ist im Vergleich zu einer SIL-2-Re­dundanz geringer und die normativen Randbedingungen für eine SIL-2-Struktur sind je nach Aufgabenstellung möglicherweise gar nicht einhaltbar. Der gravierendste Nachteil ist allerdings der höhere Prüfwand. Um die Abschaltung im oben genannten Beispiel zu realisieren, müssten zwei SIL-2-Einheiten in Reihe angeordnet werden. Um die Ventile zu überprüfen, muss der Signalkreis abgeschaltet werden, die Anlagenverfügbarkeit sinkt. Soll die Abschaltung vermieden werden, müssen zwei solcher Zweige (mit jeweils zwei SIL-2-Einheiten in Reihe) parallel betrieben werden. Insgesamt werden also vier SIL-2-Bausteine und Feldgeräte benötigt. Der Einsatz einer SIL-3-Trennbarriere halbiert den Hardwareaufwand: Nimmt man für die Prüfung der Hardware eine Abschaltung des Signalkreises in Kauf, ist ein SIL-3-Zweig ausreichend, anderenfalls müssen nur noch zwei SIL-3-Einheiten parallel angeordnet werden.

Um den Hardwareaufwand nochmals zu reduzieren, hat Pepperl+Fuchs nun mit neuen Ausgangstreibern sein Portfolio von SIL-3-Trennbarrieren komplettiert – für alle Signalarten, sowohl zur Hutschienenmontage wie auch für Termination Boards. Mit diesen Lösungen lässt sich auch Prüfaufwand von SIL-3-Abschaltungen verringern, und zwar ohne den Signalkreis abschalten zu müssen. Die Stellungsregler werden dazu im „binären“ Modus verwendet. Das heißt, entweder sind sie im operativen Betrieb vollständig offen oder geschlossen. Gegenüber binären Notabschalt- oder Sicherheitsabsperrventilen hat dieser Aufbau den Vorteil, dass zusätzlich zur eigentlichen Funktion nun mit HART-Signalen Partial Stroke Tests (PST, Teilhubtests) initiiert werden können. Mit PSTs ist eine Überprüfung der Ventilfunktion möglich, ohne den Prozess zu unterbrechen. In dieser „binären“ Betriebsart erreichen Stellungsregler häufig eine SIL-3-Stufe, wenngleich sie in der „analogen“ Betriebsart auch nur SIL 2 erreichen. Selbst in einer solchen SIL-2-Anwendung kann sich der Einsatz jedoch lohnen, da sich so sehr große Prüfintervalle erreichen lassen.