Messventile unterstützen sicherheitsgerichtete Anwendungen

Die Bestimmung des Safety Integrity Level SIL gehört zu den zentralen Aufgaben in der Sicherheitsbetrachtung von Anlagen. Dazu wird in der Regel die Risikomatrix herangezogen, bei der Schadensausmaß, Aufenthaltsdauer in der gefährdeten Zone, Maßnahmen zur Gefahrenabwendung und die Eintrittswahrscheinlichkeit bewertet werden. Je höher das SIL, das am Ende einer solchen Betrachtung resultiert, desto umfangreicher werden die Maßnahmen, die mit Sicherheitseinrichtungen („PLT-Schutzeinrichtungen“) getroffen werden müssen und umso höher der Aufwand für Wiederholprüfungen. Denn die vollständige Prüfung der Sicherheitsfunktion führt in der Regel dazu, dass die Anlage für die Dauer der Prüfung nicht verfügbar ist. Der Produktionsausfall kann teuer sein.

Auch Sicherheitsfunktionen können ausfallen

Bei der SIL-Berechnung von PLT-Sicherheitseinrichtungen muss vor diesem Hintergrund bewertet werden, mit welcher Wahrscheinlichkeit eine Sicherheitseinrichtung versagt, wenn diese bei einem Schadensereignis angefordert wird. Für die Berechnung des PFD-Werts (Probability of Failure on Demand) einer Sicherheitseinrichtung müssen zunächst alle möglichen Fehlerquellen identifiziert werden, die zu einem Versagen des Systems führen könnten, und diese anschließend nach ihrer Schwere und ihrer Eintrittswahrscheinlichkeit bewertet werden. Die Wahrscheinlichkeiten werden anschließend miteinander kombiniert, um den PFD-Wert für das gesamte System zu berechnen.

Wenn es also gelingt, durch geeignete Maßnahmen diesen PFD-Wert zu reduzieren, ist es möglich, das Intervall für die Prüfung der Sicherheitseinrichtung zu verlängern und damit die Anlagenverfügbarkeit zu steigern. Weil in Prozessanlagen Regelungstechnik und Sicherheitsfunktionen jeweils separate Einrichtungen sind, besteht eine elegante Lösung darin, die sowieso vorhandenen Informationen aus Sensoren und Aktoren der Regelfunktion dazu heranzuziehen, um potenzielle Fehler oder Ausfälle einer Sicherheitseinrichtung zu erkennen. Dadurch steigt der Diagnoseabdeckungsgrad (Diagnostic Coverage, DC). Die Diagnoseabdeckung wird üblicherweise in Prozent ausgedrückt und zeigt an, welcher Prozentsatz der potenziellen Fehler oder Ausfälle im System erkannt wird.

Die Idee dahinter ist, dass eine höhere Diagnose­abdeckung dazu beiträgt, Fehler in einem System zu erkennen, bevor sie zu einem gefährlichen Zustand führen können. Wenn die DC hoch ist, wird die PFD effektiv reduziert, da die Wahrscheinlichkeit, dass ein Fehler unbemerkt bleibt, geringer ist. Dies führt zu einem System mit einem niedrigeren PFD-Wert.

Informationen aus dem Regelkreis für die Überfüllsicherung

Ein konkretes Beispiel verdeutlicht diesen Ansatz: Die Befüllung eines Behälters wird über einen Regelkreis, bestehend aus Radar-Füllstandmessung (LC001), Regler im Leitsystem (PLC) und ein Ventil mit Stellungsregler (LCV001) geregelt. Um die Überfüllung zu verhindern, wird eine separate Sicherheitsfunktion installiert: Erreicht der vom Füllstandmessgerät (geführte Mikrowelle, LZA002) gemessene Wert ein vordefiniertes Niveau, schließt die Sicherheitssteuerung (SSPS) ein Auf-Zu-Ventil (LZV002) – Bild 2. Soweit die klassische Installation. Doch funktionieren die Komponenten der Sicherheitsfunktion auch im Anforderungsfall? Dies muss, wie oben beschrieben, ausgehend von den einzelnen Komponenten bewertet werden und kann dazu führen, dass Komponenten der Sicherheitsfunktion redundant aufgebaut werden müssen („one out of two“, 1oo2).

Weil die parallel installierten Komponenten des Regelkreises ebenfalls Informationen über den Zustand der Anlage liefern, liegt es nahe, diese in der SSPS zu nutzen, um die Funktion der Füllstandmessung oder des Auf-Zu-Ventils zu verifizieren, um damit den Diagnoseabdeckungsgrad zu erhöhen. In der Praxis kann das zum Beispiel mit einem Signalkoppler am 4...20-mA-Ausgang des in der Regelfunktion genutzten Füllstandmessgeräts genutzt werden (Bild 3). Und zusätzlich könnte die SSPS auch ein Magnetventil schalten, um das Regelventil im Anforderungsfall pneumatisch zu schließen. Dadurch steigt die Wahrscheinlichkeit, dass die Zuleitung zum Behälter im Anforderungsfall tatsächlich geschlossen wird, selbst dann, wenn die Auf-Zu-Armatur der Sicherheitseinrichtung versagen sollte.

Weil insbesondere Ventile, die wenig betätigt werden, dazu neigen, festzusitzen, ist eine Aussage darüber, ob die Zuleitung tatsächlich geschlossen wurde, von besonderer Relevanz. Ideal wäre es also, wenn Sicherheitsarmatur oder/und Regelventil nach einem Schließvorgang auf Leckage überwacht werden würden. Eine solche Leckageüberwachung erfordert jedoch den Einbau von Durchfluss- und Drucksensoren in die Zuleitung.

Leckageüberwachung über das Messventil

Hier kommt das Messventil Focus-1 ins Spiel. Als intelligentes Messventil für Durchfluss-, Druck- und Prozessregelung, das von Samson und Krohne im Gemeinschaftsunternehmen Focus-On entwickelt wurde, vereint es Sensorik, Aktorik und Regelarmatur in einem Gerät (Bild 4). Indem das Modul gleichzeitig Durchfluss, Druck und Temperatur misst und seine Ventilfunktion unabhängig regelt, können alle vorgegebenen Sollwerte für Regelaufgaben wie beispielsweise Druck, Durchfluss oder auch externe Regelgrößen genau und zuverlässig erreicht werden. Das Gerät kann dabei sowohl in einem klassischen Regelkreis von einem Prozessleitsystem genutzt werden oder autonom als Steuer- und Regeleinheit mit eigenem Regler arbeiten. So lassen sich die Parameter Durchfluss und Druck regeln und gleichzeitig Temperatur und Dichte messen und Kavitation erkennen.

Das Messventil nutzt dabei einen eigenen digitalen Zwilling: So berechnet die Logik beispielsweise laufend aus Eingangs- und Ausgangsdruck den Durchfluss und vergleicht diesen mit dem vom eingebauten Ultraschall-Durchflussmessgerät gemessenen Wert. Abweichungen führen zu einer Alarmmeldung. Fällt ein Sensor aus, arbeitet das Messventil mit den im digitalen Zwilling berechneten Werten weiter.

Auf diese Weise kann das Messventil auch Leckagen überwachen: Denn aus der Information über Durchfluss und Druck lässt sich ableiten, ob es tatsächlich geschlossen ist – das heißt, ob eine Leckage vorliegt. Diese Information erlaubt es Betreibern beispielsweise, das Regelventil zustandsabhängig zu warten: Dadurch sinken Aufwand und Kosten für den Ausbau, die Wartung in der Werkstatt und die Wiederinbetriebnahme im Rahmen von Anlagenabstellungen drastisch. In der Praxis hat sich gezeigt, dass auf diese Weise bei einer Abstellung bis zu 80 % der Regelventile nicht mehr ausgebaut werden müssen.

Auch die Kavitationserkennung bietet interessante Möglichkeiten: Kavitation kann an Pumpen und Ventilen entstehen, wenn Druckänderungen in einer Flüssigkeit dazu führen, dass sich Dampfblasen bilden. Beim Kollabieren dieser Blasen entstehen starke Druckimpulse und hohe Geschwindigkeiten, die mechanische Schäden – beispielsweise Ventilverschleiß – verursachen können. Das Messventil erkennt Kavitation und kann diesen Zustand an das Leitsystem melden. Durch Verändern der Strömungsbedingungen – beispielsweise ein schnelleres oder langsameres Befüllen – können Kavitationsschäden vermieden werden.

Aber auch die Information, ob eine Leckage vorliegt, ist für die Sicherheitsfunktion im oben beschriebenen Anwendungsfall der Überfüllsicherung wertvoll und kann genutzt werden, um den Diagnoseabdeckungsgrad einer Sicherheitsfunktion zu erhöhen, indem die SSPS einen Kreuzvergleich vornimmt. Wie hoch der Diagnoseabdeckungsgrad tatsächlich ist, muss individuell betrachtet werden: Wird das Regelventil beispielsweise im Regelbetrieb nur in einem kleinen Hubbereich verfahren, ist die zusätzliche Diagnoseabdeckung kleiner, als wenn diese regelmäßig vollständig oder weitgehend geschlossen wird. Für den typischen Fall „Fail Close“ resultiert in der Praxis für Teiltests beim Verfahren des Regelventils über die gesamte Hublänge (Full Stroke) und Leckageüberwachung eine Diagnoseabdeckung von 90 %.

Randbedingungen beachten

Allerdings gibt es Einschränkungen:  Eine Stolperfalle ist die Mitbenutzung von Komponenten der Regelungsfunktion in Sicherheitseinrichtungen. Sind diese Teil der Funktion, die die Sicherheitsfunktion anfordert und Teil der Funktion, die auf Anforderungen reagieren muss, wird die SIL-Berechnung komplizierter, weil geprüft werden muss, ob für die Sicherheitsfunktion weiterhin der „Low-Demand-Modus“ (seltene Anforderung) oder „High Demand“ gilt. Ein gutes Indiz dafür ist, wenn ein Gerät in derselben Sicherheitsbetrachtung mehrfach erwähnt wird.

Und noch eine weitere – für Sicherheitsfunktionen generell geltende Erkenntnis sollte berücksichtigt werden: Neue Geräte sollten sich zunächst in reinen Mess- und Regelaufgaben bewähren (Betriebsbewährung), bevor diese im Zusammenhang mit Sicherheitsfunktionen eingesetzt werden.