Sicherheitsanwendungen können nach zwei Prinzipien aufgebaut werden: Bei ETS-Anwendungen muss ein sicheres Einschalten gewährleistet sein. Das trifft bei allen Arten akustischer oder optischer Warngeräte zu. Ein sicheres Ausschalten von DTS-Loops ist gefordert, wenn im Notfall Anlagenteile oder -komponenten abgeschaltet werden müssen, um in den sicheren Zustand zu gelangen, so etwa elektrische Maschinen. Nach Untersuchungen von Pepperl+Fuchs sind rund 90 Prozent der Sicherheitsanwendungen nach dem DTS-Prinzip ausgeführt, was aufgrund der hohen Zahl an sicheren Fehlern und den in der Regel höheren Proof-Intervallen nicht überrascht. Das Sicherheitsrelais geht sowohl beim Ausfall der Versorgung als auch bei Leitungsfehlern im Feld wie Kurzschluss oder Leitungsbruch in den sicheren Zustand. Gleiches gilt für ein fehlendes Ansteuersignals am Aktor, verursacht durch Leitungsfehler auf Feld- oder Steuerungsseite des Relaisbausteins.
Bei ETS-Sicherheitsanwendungen sind alle Fehler, die dazu führen, dass der Aktor nicht mehr eingeschaltet werden kann, gefährliche Fehler. Da, verglichen mit DTS-Anwendungen, mehr gefährliche Fehler auftreten können, sind die Proof-Test-Intervalle für derartige Loops in der Regel kürzer als bei DTS-Anwendungen. Zudem wird für SIL 3-Sicherheitsfunktionen meist redundante Spannungsversorgung benötigt.
Relais und Ausgangskarte
Um die teure, oft mehrfach ausgeführte, Ausgangskarte der Steuerung vor Transienten, Erdschleifen oder anderen Störungen aus dem Feld zu schützen, werden Steuerung und Feldebene durch Sicherheitsrelais galvanisch voneinander getrennt. Eine weitere wichtige Aufgabe solcher Interfacebausteine ist die Erweiterung des Lastbereiches der Steuerung. In Kombination mit dem Sicherheitsrelais können Ausgangskarten für digitale Signale (DO-Karten, digital out) deutlich höhere Ströme sowie Wechselspannungen schalten. Diese Funktion ist beispielsweise bei Anlagenerweiterungen oder -modernisierungen nützlich, falls an eine bestehende Infrastruktur aus Aktoren eine neue Steuerungsebene angebunden werden soll.
Charakteristisch für Sicherheitsanwendungen in der Prozessautomation ist die geringe Anforderungsrate der Sicherheitsfunktion. Der Aufwand für eine permanente Überwachung des Schaltkontaktes ist unter ökonomischen Gesichtspunkten kaum zu rechtfertigen. Alternativ bietet sich die Überprüfung der Schaltkontakte mithilfe von Prüfklemmen in bestimmten Zeitabständen an, was allerdings große Proof-Test-Intervalle voraussetzt, um den Prüfaufwand zu begrenzen. Für den störungsfreien Betrieb einer Anlage muss das Sicherheitsrelais gewährleisten, dass Prüffunktionen von Leitsystemen in keinem Fall zu Fehlverhalten der Feldgeräte führen, dieser Punkt wird bei dem zunehmenden Bedürfnis nach Diagnosemöglichkeiten immer wichtiger.
Eine Architektur für große Proof-Intervalle
Um der Forderung nach großen Proof-Intervallen nachzukommen, sind die Schaltkontakte der neuen Sicherheitsrelais von Pepperl+Fuchs dreifach redundant ausgeführt – für DTS-Anwendungen drei Kontakte in Serie und für ETS-Anwendungen entsprechend parallel angeordnet. So ist die Sicherheitsfunktion selbst beim Ausfall von bis zu zwei Kontakten verfügbar. Mit dieser Architektur werden Proof-Intervalle bezogen auf 10 Prozent der PFD (Ausfallwahrscheinlichkeit) von mehr als 30 Jahren bei den DTS-Versionen und zehn Jahren bei den ETS-Modulen erreicht. Zur Überprüfung der jeweiligen Relaisausgänge verfügen die Module über Proof-Test-Eingänge. DO-Karten von Steuerungssystemen verfügen heute meistens über integrierte Diagnosefunktionen. Dazu gehören die Aussendung sogenannter Testpulse sowie eine statische Überprüfung des Feldkreises; dazu werden die Schleifenströme im ein- und ausgeschalteten Zustand durch die DO-Karte gemessen und ausgewertet.
Die Module der neuen Sicherheitsrelais garantieren die Kompatibilität zwischen Feldgerät und Steuerung durch mehrere Maßnahmen: Die von der DO-Karte kommenden Testpulse werden am Eingang der Sicherheitsrelais gefiltert. So wird ein unbeabsichtigtes Schalten des Feldgeräts durch eine Diagnosemaßnahme oder die unbeabsichtigte Anzeige eines Leitungsfehlers in der Steuerung verhindert. Das Sicherheitsrelais ermöglicht weiterhin, dass von der DO-Karte kommende Ströme fließen können – es wird eine Minimallast im Ein-Zustand bereitgestellt und ein Prüfstrom im Aus-Zustand ermöglicht. Auch hierbei wird die Schaltfunktion nicht beeinträchtigt. Die Eingangsstrombegrenzung verhindert eine übermäßige Belastung der DO-Karte durch Stromspitzen, indem die zum Schalten notwendigen Eingangsströme minimiert werden. Da der Eingangskreis für alle Geräte identisch ist, lassen sich Testergebnisse eines Moduls mit einer DO-Karte auf die gesamte Produktfamilie übertragen.
Kompatibilität gesichert
Die neue Geräteserie umfasst DTS- (De-energized-to-safe) und ETS- (Energized-to-safe) Versionen, jeweils mit bis zu 5 A Schaltstrom (KF-Version mit 20 mm Breite) oder bis zu 3 A Schaltstrom (KC-Version mit 12,5 mm Breite). Die einkanaligen Sicherheitsrelais sind schleifengespeist. Um Kontaktverschmelzungen im Überlastfall zu vermeiden, sind die DTS-Varianten mit einer integrierten Sicherung ausgerüstet. Die 20-mm-DTS-Varianten bieten eine austauschbare Sicherung. Durch die Integration der Sicherungsfunktion in das Modul wird Hutschienenplatz im Schaltschrank eingespart.
Die Module der Gerätefamilie sind entsprechend ATEX Zone 2 zugelassen und verfügen zudem über SIL 3 entsprechend IEC61508 ed2 und EN62061 Maschinenrichtlinie. Entsprechende Sicherheitshandbücher sind verfügbar. Die neuen Sicherheitsrelais gehören zum K-System, das seit mehr als 25 Jahren erfolgreich in der Prozessindustrie eingesetzt wird. Es bietet mit 200 Trennbarrieren (Ex-Bereich) und 150 Signaltrennern (Nicht-Ex-Bereich) ein großes Produktportfolio für unterschiedliche Signalformen und Anwendungen der Prozessindustrie. Es zeichnet sich durch eine kosteneffiziente Montage auf dem Power Rail, hohe Verfügbarkeit und einfache Wartung aus. Abziehbare Klemmen ermöglichen einen schnellen Austausch der Module im Fehlerfall, ohne die Verdrahtung lösen zu müssen.
Zusammenfassung
Die oben beschriebenen Designmaßnahmen führen zu einem nahezu wartungsfreien Gerät. Sicherheitsrelais mit zwangsgeführten Kontakten bieten den Vorteil, den Zustand des Schaltkontaktes automatisch zu überwachen und so die Information über eine etwaige Fehlfunktion sofort zur Verfügung zu haben. In Anwendungen im High-Demand-Modus ist diese Eigenschaft sehr hilfreich, da ein Fehler durch die häufigen Schaltvorgänge schnell und mit akzeptablem Aufwand aufgedeckt wird. Für den in der Prozessautomation dominierenden Low-Demand-Modus ist diese Eigenschaft durch den wirtschaftlichen Aufwand für die Rückführung des Hilfskontaktes bedingt sinnvoll, da neben der zusätzlichen Verdrahtung digitale Eingangskanäle an der Steuerung benötigt werden. Um die zweifelsfreie Funktion eines Sicherheitsrelais mit zwangsgeführten Relais nachzuweisen und einen Schaltvorgang sinnvoll als Proof-Test zu werten, müsste jedes einzelne Relais oder sinnvolle Kleingruppen von Relais auf einen digitalen Eingangskanal zurückverdrahtet sein. Fällt ein Kontakt eines Sicherheitsrelais mit zwangsgeführten Relais aus, wird dies erkannt werden, doch das Feldgerät kann unter Umständen nicht aktiviert oder deaktiviert werden.
