Prüfungen für Instrumentierungssysteme Beim Überfüllschutz auf Nummer sicher gehen

Auch wenn Sicherheit für Prozessanlageninhaber und Betreiber höchste Priorität hat, passieren leider immer wieder Unfälle. Ordnungsgemäß ausgelegte und implementierte sicherheitsgerichtete Instrumentierungssysteme (SIS) reduzieren das Risiko eines Unfalls.

Prozesse in sicherem Zustand

Die Hauptfunktionen eines SIS bestehen darin, Prozesse in einen sicheren Zustand zu führen und Sicherheitsvorfälle zu vermeiden. SIS enthalten Sensoren, Aktoren und Logiksysteme für jede der sicherheitstechnischen Funktionen (SIF), die sie vornehmen. Diese Instrumente und Systeme müssen regelmäßig geprüft werden, um sicherzustellen, dass diese ordnungsgemäß funktionieren und ob die SIF auf dem für ihre Anwendung erforderlichen Sicherheitsintegritäts-Level (SIL) arbeiten.

Wiederkehrende Prüfungen sind Funktionsuntersuchungen, die gemäß Sicherheitshandbuch eines entsprechenden Geräts vorgenommen werden. Dabei wird bewertet, ob das Instrument seine Aufgabe erfüllen und gefährliche, unentdeckte Fehler erkennen kann. Diese SIF-Prüfung muss regelmäßig stattfinden, um SIL- und behördliche Anforderungen zu erfüllen.

Für einen konsistenten Sicherheitsansatz wenden viele Unternehmen sowohl die Norm API 2350 (Überfüllschutz für Erdöllagertanks) als auch die Norm IEC 61511 (Auslegung von SIS) an. Beide messen der regelmäßigen, wiederkehrenden Prüfung eine große Bedeutung bei. Die API 2350 besagt, dass alle Überfüllschutzsysteme, die für die Unterbrechung der Zuführung erforderlich sind, jährlich und Hoch-Hoch-Sensoralarme halbjährlich überprüft werden. Füllstandsensoren für die kontinuierliche Messung müssen ein Mal im Jahr, für die punktuelle Messung halbjährlich getestet werden.

Verfahren der wiederkehrenden Prüfung

Bei Anwendungen mit Füllstandsmessung und Überwachung in SIS-Installationen (beispielsweise Geräte für den Überfüllschutz) werden wiederkehrende Prüfungen traditionell von Technikern im Feld vorgenommen. Eine zweite Person befindet sich in der Leitwarte, um die Reaktion des Systems zu überwachen.

Bei diesem Verfahren kann es sogar vorkommen, dass Mitarbeiter für die Überprüfung auf Tanks klettern, um bestimmte Geräte zu erreichen. Dadurch setzen sie sich einer gefährlichen Umgebung aus und bringen sich in Gefahr. Neben der Fehleranfälligkeit ist dieses Prüfungsvorgehen mit einem erheblichen Zeit- und Arbeitsaufwand verbunden und kann dazu führen, dass der Prozess für eine längere Zeit abgeschaltet wird. Dies hätte wiederum Auswirkungen auf die Wirtschaftlichkeit.

Der zunehmend harte Wettbewerb in der Prozessindustrie bedeutet, dass Unternehmen kontinuierlich nach Möglichkeiten suchen, um Prozesse zu optimieren, die Mitarbeitereffizienz zu verbessern und gleichzeitig die Sicherheit zu maximieren. Die digitale Technologie in der modernen Instrumentierung vereinfacht dies durch wiederkehrende Prüfungen, die aus der Ferne anstatt, wie bisher, vor Ort vorgenommen werden. Das Verfahren wird somit schneller, sicherer und effizienter.

Umfassende Tests

Bei punktuellen Grenzschaltern und Füllstandmessern in SIS-Anwendungen werden umfassende sowie teilwiederkehrende Prüfungen vorgenommen, um die Normen API 2350 und IEC 61511 zu erfüllen. Während bei ersterer die mittlere Wahrscheinlichkeit eines Ausfalls bei Anforderung (PFD) wieder auf beziehungsweise in die Nähe des Ausgangsniveaus gebracht wird, setzt eine teilwiederkehrende Prüfung die mittlere PFD auf einen Prozentsatz des ursprünglichen Niveaus zurück. Da diese Prüfung allerdings nur einen Prozentsatz der möglichen Ausfälle erkennt, findet nach einem bestimmten Zeitintervall eine umfassende Prüfung statt, um das Gerät wieder auf seine ursprüngliche, mittlere PFD zu setzen.

Bei einer umfassenden wiederkehrenden Prüfung kann der Grenzschalter sowohl in Betrieb bleiben als auch außer Betrieb genommen werden. Im ersten Fall kann der Flüssigkeitsfüllstand im Behälter bis zum Auslösepunkt des Geräts erhöht werden, um den korrekten Betrieb nachzuweisen. Wenn es sich jedoch um einen nicht aktivierten Kritisch-Hoch- oder Hoch-Hoch-Grenzschalter für den Überfüllschutz handelt, könnte es zum Überlaufen kommen.

Aus diesem Grund ist die Änderung des Füllstands auf möglicherweise unsichere Werte oft nicht erlaubt. Hier muss der Prozess eventuell komplett abgeschaltet werden, wodurch der gesamte Produktionsprozess beeinträchtigt wird. Für die umfassende wiederkehrende Prüfung von Grenzschaltern ist es wichtig zu wissen, dass manche Technologien, beispielsweise Geräte mit kapazitiver Füllstandsmessung, die Bodengeometrie im Behälter als Bezugswert nutzen. Werden diese Schalter aus dem Behälter entfernt, ist die wiederkehrende Prüfung nicht gültig. Grund: Der Schalter wurde nicht im installierten Zustand geprüft.

Zeitintervall zwischen zwei Prüfungen verlängern

Bei einer teilwiederkehrenden Prüfung bleibt der Schalter fast immer in Betrieb. Diese Tests sind normalerweise auf die Verarbeitungs- und Ausgangselektronik beschränkt. Die Eingangselektronik ist normalerweise von der Untersuchung ausgeschlossen, da die medienberührte Seite des Gerätes keiner physikalischen Änderung des Zustands unterzogen wird.

Die umfassende wiederkehrende Prüfung kann folglich so nicht ersetzt werden, aber als Bestätigung für die Verlängerung des Zeitintervalls zwischen umfassenden Tests dienen. Dadurch werden Unterbrechungen des Prozesses und der Produktion minimiert sowie mögliche Anlagenausfallzeiten reduziert, die Leistung wird verbessert und Mitarbeiter werden seltener gefährlichen Umgebungen ausgesetzt – ohne Einbußen der SIL-Funktionalität und Funktionssicherheit.

Es gibt zwei Arten von teilwiederkehrenden Prüfungen: lokal direkt am Schalter oder aus der Ferne über ein elektronisches Signal, das an das Gerät übertragen wird. Verschiedene Hersteller von Automatisierungstechnik bieten verschiedene Prüfverfahren an. Ein lokaler Test kann entweder per Tastendruck oder über einen magnetischen Testpunkt gestartet werden, der sich an der Seite des Gehäuses befindet. Dieser wird durch einen Magnet aktiviert. Dadurch ändert sich der Ausgangszustand, was die Alarmbedingungen simuliert und einen Funktionstest des Schalters und des daran angeschlossenen Systems ermöglicht.

Externe Schalteinrichtungen für Prüfungen aus der Ferne

Ein Verfahren für teilwiederkehrende Prüfungen aus der Ferne ist die Übertragung eines Signals von einer separaten externen Schalteinrichtung, die in einem Bedienelement oder Schaltschrank installiert ist. Hier stehen Versionen mit einem oder drei Kanälen zur Verfügung, die den Anschluss von bis zu drei Grenzschaltern ermöglichen.

Dabei muss das Platzangebot des Bedienelements oder Schaltschranks berücksichtigt werden: In einer großen Anlage oder einem großen Tanklager muss Platz für Dutzende oder sogar Hunderte von Schalteinrichtungen vorhanden sein, die mit den Grenzschaltern verdrahtet werden müssen. Wenn Einrichtungen mit drei Kanälen installiert werden, muss das Bedienpersonal genau kennzeichnen, welcher Schalter an welchen Kanal angeschlossen wird, um sicherzustellen, dass der richtige Schalter getestet wird.

Zur Vermeidung einer unbeabsichtigten Verwendung wird durch Nadellöcher an der Vorderseite der Schalteinrichtung auf die Testtasten zugegriffen. Nachteil: Die Aktivierung der Schaltflächen kann schwierig und der Einsatz eines kleinen Werkzeugs erforderlich sein. Dies birgt die Gefahr eines möglichen Kurzschlusses der Schalteinrichtung, falls das Werkzeug auf einen offenliegenden Schaltkreis trifft. Durch das Öffnen des Bedienelements hat das Bedienpersonal wiederum einen besseren Zugriff, kann die Kennzeichnung aber nicht mehr sehen. Dies kann für Verwirrung darüber sorgen, welche Diagnosedaten welchem Schalter entsprechen.

Reduzierung der Komplexität und Sicherheit für Personal

Ein weiteres Verfahren zur Durchführung der teilwiederkehrenden Prüfungen aus der Ferne ist die Einbindung dieser Funktionalität in den Schalter. Der Bediener kann so einen Befehl im Schutz der Leitwarte abgeben, ohne eine separate Schalteinrichtung in das Bedienelement einbauen zu müssen. Bei modernen Vibrationsgrenzschaltern wird die teilwiederkehrende Prüfung auf diese Weise vorgenommen. Dieses integrierte Verfahren reduziert die Komplexität, da keine zusätzliche Verkabelung und kein zusätzlicher Platz im Bedienelement vorhanden sein müssen. Zudem bietet es erhebliche Sicherheitsvorteile, da das Bedienpersonal aus gefährlichen Umgebungen ferngehalten wird.

Sobald das Gerät den Befehl erhält, geht es in den Prüfmodus, in dem die Schwinggabelfrequenz für die Bedingungen „Ein“, „Aus“ und „Alarm“ simuliert wird. Hier wird die Verarbeitungs- und Ausgangselektronik des Geräts genutzt.

Der Testzyklus dauert weniger als eine Minute; damit ist der Zeitaufwand erheblich geringer im Vergleich zu anderen Methoden. Nach Abschluss der Wiederholungsprüfung wird in der Leitwarte angezeigt, ob die Prüfung erfolgreich war. Das Gerät kehrt anschließend automatisch in den Betriebsmodus zurück. So besteht keine Gefahr, dass es versehentlich im Testmodus verbleibt.