Englisch
Chinesisch
Spanisch
Russisch
Portugiesisch
Französisch
Indonesisch
Thailändisch
Vietnamesisch
Arabisch
Italienisch
Türkisch
Polnisch
Japanisch
Füllstandmessung zum Überfüllschutz: Unabhängigen Hoch-Hoch-Alarm nach Befüllrate festlegen
Sicherheitsprinzip: Die Füllstandmessung zum Überfüllschutz muss nach Auslösen von Alarm oder Abschaltung genügend Abstand zum Stoppen des Zulaufs lassen. Ein Hoch-Hoch-Schalter nahe dem Überlauf reicht nicht aus, wenn Pumpennachlauf, Ventilschließzeit und Bedienerreaktion den verbleibenden Raum aufbrauchen. Unabhängigkeit muss zudem physisch und funktional bestehen: Zwei Werte aus einem Messumformer sind keine zwei Schutzebenen.
Den erforderlichen Abstand vor der Alarmhöhe berechnen
Gehen Sie von der maximal plausiblen Befüllrate aus, nicht vom normalen Pumpenmittelwert. Beziehen Sie alle gleichzeitigen Zuläufe ein, die das Szenario zulässt. Listen Sie anschließend jede Verzögerung zwischen dem Überschreiten des Abschaltpunkts durch das Produkt und dem tatsächlichen Strömungsstillstand auf.
Beispiel mit Bedienerreaktion: Die maximale Befüllrate beträgt 0.80 m/min. Für das Erkennen des Alarms werden 5 Sekunden, für die Bedienerreaktion 60 Sekunden und für Fernventil und Pumpennachlauf weitere 12 Sekunden angesetzt. Die gesamte angesetzte Zeit beträgt 77 Sekunden beziehungsweise 1.283 Minuten.
Füllstandanstieg nach Auslösung = 0.80 × 1.283 = 1.03 m
Für die angenommene konstante Anstiegsgeschwindigkeit und aufeinanderfolgenden Verzögerungen beträgt der Reaktionsweg etwa 1.03 m. Berücksichtigen Sie Mess-, Bezugs-, Einstell-, Wellen- und weitere erforderliche Zuschläge, bevor Sie die maximal zulässige Abschalthöhe wählen. Beträgt der zusätzliche Zuschlag 0.35 m, liegt der erforderliche Abstand im Beispiel etwa 1.38 m unter dem begrenzenden Füllstand. Beziehen Sie alle relevanten Erkennungs-, Logik- und Abschaltverzögerungen ohne Doppelzählung ein.
Dies ist ein Beispiel, kein allgemeingültiger Sollwert. Ist der Zulauf als Volumen pro Zeit angegeben und ändert sich der Behälterquerschnitt mit der Höhe, leiten Sie den Füllstandanstieg aus der tatsächlichen Kapazitätskurve ab, statt eine konstante Rate in m/min anzunehmen. Eine automatische sicherheitsgerichtete Funktion hat eine andere Reaktionskette und andere Nachweisanforderungen; verwenden Sie die Gefährdungsanalyse des Projekts und die geltende Norm.
| Zeit- oder Abstandszuschlag | Datenquelle | Häufige Auslassung |
|---|---|---|
| Maximale Befüllrate | Pumpen-/Ventil- und Transferuntersuchung | Normalwert statt plausiblen Maximalwert verwenden |
| Sensor- und Logikverzögerung | Geräte- und Logiksystemdaten | Sofortige Abschaltung annehmen |
| Bedienerreaktion | Schriftliche Analyse der betrieblichen Reaktion | Ständige Beobachtung durch einen Bediener annehmen |
| Ventilschließzeit und Pumpennachlauf | Prüfung oder dynamische Herstellerdaten | Schließbefehl mit einem Volumenstrom von null gleichsetzen |
| Mess- und Einstelltoleranz | Geräte- und Konfigurationsdaten | Bezugsniveau und Alarmtoleranz ignorieren |
| Wellen und Prozesszuschlag | Behälter- und Gefährdungsbewertung | Gesamte Resthöhe als nutzbare Reserve ansetzen |
Unabhängigkeit betrifft eine Kette, nicht eine zweite Messstellenkennzeichnung
Ein Regelradar und ein Alarmschalter können einen Stutzen, eine Prozessdichtung, eine Stromversorgung, eine PLC-Eingangskarte oder denselben Fehler eines gemeinsamen Konfigurationswerkzeugs teilen. Ob dies akzeptabel ist, hängt von der erforderlichen Risikominderung und dem geltenden Überfüllschutzkonzept ab. Behaupten Sie keine Unabhängigkeit, ohne gemeinsame Elemente aufzulisten.
Prüfen Sie für eine tatsächlich getrennte Hoch-Hoch-Ebene das Sensorelement, gegebenenfalls den Prozessanschluss, Elektronik, Ausgang, Logiksystem, Versorgung, Stellglied und Bedienverfahren. Ein zweiter Kanal im selben Messumformer kann nützliche Diagnose liefern, ist aber nicht automatisch eine unabhängige Schutzebene.
Verwenden Sie bei der Prüfung eine Tabelle gemeinsamer Ursachen. Die Zeilen sollten Produktbeläge, blockierte Stutzen, Stromausfall, defekte Eingangskarte, falschen Messbereich, gemeinsame Softwareänderung, aktiv gebliebene Überbrückung und Stellgliedausfall enthalten. Die Spalten sollten zeigen, ob Regel- und Hoch-Hoch-Funktion beide betroffen sind, wie der Fehler erkannt wird und welche in den Betriebsanweisungen vorgesehene Reaktion noch möglich ist. Das zeigt mehr als eine Zeichnung mit zwei Messstellensymbolen.
Kontinuierliches Radar zur Regelung und ein Grenzschalter für Hoch-Hoch sind eine übliche Architektur. Auch ein zweites kontinuierliches Gerät kann geeignet sein, wenn Diagnoseabdeckung, Einbau und Ausgangskette die Anforderungen erfüllen. Die Technologiebezeichnung ist weniger wichtig als das nachgewiesene Ausfallverhalten.
Normal, Hoch und Hoch-Hoch sind unterschiedliche Funktionen
Der normale Hochstand kann eine routinemäßige Befüllung stoppen oder die Aufmerksamkeit des Bedieners anfordern. Hoch-Hoch ist die letzte definierte Füllstandschutzebene vor dem begrenzenden Zustand. Wenn beide über dieselbe Logik dasselbe Ventil auslösen und denselben Ausfall teilen, dürfen ihre Beiträge zur Risikominderung nicht einfach addiert werden.
Unterscheiden Sie außerdem maximalen Betriebsfüllstand, Alarmfüllstand, Abschaltfüllstand, Überlaufhöhe und baulich oder sicherheitstechnisch zulässige Befüllgrenze. Eine Tankzeichnung, die nur „100%“ zeigt, reicht zur Auslegung des Überfüllschutzes nicht aus.
Wiederholungsprüfungen müssen die tatsächlich beanspruchte Kette prüfen
Ein Geräteselbsttest weist weder einen freien Stutzen noch die richtige Schalterhöhe, die Wirkung des Logiksystems oder das Stoppen des Flusses durch das Endventil nach. Legen Sie fest, welchen Teil der Kette jede Prüfung abdeckt und welche separaten Prüfungen den Rest erfassen.
Fragen zum Prüfverfahren:
Kann der tatsächliche Produktfüllstand sicher angehoben werden, oder wird ein zugelassenes Simulationsverfahren verwendet?
Umgeht die Simulation das Sensorelement, und welche zusätzliche Inspektion deckt diese Lücke ab?
Wird die Abschaltung nur bis zum Logiksystem oder bis zum Stellglied geprüft?
Werden Überbrückungen protokolliert, zeitlich begrenzt und unabhängig zurückgesetzt?
Werden Abschalthöhe, Sollwert, tatsächliche Reaktionszeit und hinterlassene Einstellwerte dokumentiert?
Wird das Intervall aus den Sicherheitsanforderungen und Betriebserfahrungen abgeleitet, statt von einem anderen Standort übernommen?
Leiten Sie die SIL-Leistung nicht allein aus einem Gerätezertifikat ab. Sicherheitsfunktion, Architektur, Daten zu gefährlichen Ausfällen, Wiederholungsprüfintervall, Annahmen zu gemeinsamen Ursachen und Betriebsverfahren sind alle relevant.
Fragen aus Überfüllschutzprüfungen
F1. Kann der Hoch-Hoch-Alarm des Regelradars als unabhängige Rückfallebene dienen?
Nicht ohne Weiteres. Sensor und Elektronik werden gemeinsam genutzt. Ob eine anrechenbare Rückfallebene vorliegt, erfordert eine Unabhängigkeits- und Risikobewertung.
F2. Ist eine Schwinggabel für Hoch-Hoch sicherer als Radar?
Keine Technologie ist automatisch sicherer. Eignung, Diagnose, Produktverhalten, Einbau, Architektur und Wiederholungsprüfung bestimmen den gebotenen Schutz.
F3. Warum Hoch-Hoch nicht möglichst nahe am Überlauf einstellen?
Weil während Erkennung, Entscheidung und Abschaltung weiterhin Produkt zufließt. Der berechnete Reaktionsweg und die Zuschläge können einen niedrigeren Sollwert erfordern.
F4. Kann eine Störechoausblendung als Sicherheitsgrundlage dienen?
Die gesamte Konfiguration und Änderungskontrolle beeinflussen die Zuverlässigkeit. Sicherheitsrelevante Einstellungen erfordern das Verifizierungs- und Änderungsmanagementverfahren des Projekts; eine praktische Inbetriebnahmefunktion ist kein Sicherheitsnachweis.
F5. Was sollte eine RFQ enthalten?
Begrenzenden Füllstand, vorgeschlagene Abschalthöhe, maximale Befüllrate, Abschaltkonzept, erforderliche Unabhängigkeit, geltende Norm oder Kategorie, Produkt- und Stutzendaten, Einschränkungen bei Wiederholungsprüfungen und erforderliche Diagnose.
