Sicherheitsgerichtete Systeme und SIL: Bedeutung für Füllstandmessgeräte

Sicherheitsgerichtete Systeme und SIL: Bedeutung für Füllstandmessgeräte

Ein Messumformer kann eine zertifizierte SIL-Eignung besitzen. Sein Kauf weist jedoch nicht die erreichte Integrität einer vollständigen Sicherheitsfunktion nach. Eine Füllstand-SIF umfasst Sensorik, Logik, Stellglied und erforderliche unterstützende Einrichtungen. Prüfen Sie den Geltungsbereich des Zertifikats und das Sicherheitshandbuch und weisen Sie anschließend nach, dass die vollständige Funktion ihre Sicherheitsanforderungen erfüllt.

Die Begriffe verständlich erklärt

Ein sicherheitsgerichtetes System setzt eine oder mehrere Sicherheitsfunktionen um, die einen definierten sicheren Zustand erreichen oder aufrechterhalten sollen. Seine Unabhängigkeit vom normalen Prozessleitsystem muss den geltenden Auslegungsanforderungen und der Risikobewertung entsprechen. Es kann bei laufender Überwachung Diagnosefunktionen einsetzen. Verborgene gefährliche Fehler können dennoch bis zu einer Anforderung oder Wiederholungsprüfung bestehen bleiben.

Eine sicherheitstechnische Funktion (SIF) ist eine konkrete Schutzaktion, etwa: „Erreicht der Tankfüllstand Hoch-Hoch, schließe das Zulaufventil.“ Ein SIS kann eine oder mehrere SIFs umsetzen.

Der erforderliche SIL ergibt sich aus der Gefährdungs- und Risikobewertung, nicht aus dem Gerätekatalog. Für Prozessanwendungen behandelt IEC 61511 die Stufen SIL 1–3; IEC 61508 definiert auch SIL 4. Funktionen mit niedriger Anforderungsrate verwenden die mittlere Wahrscheinlichkeit eines gefährlichen Ausfalls bei Anforderung (PFDavg). Für Funktionen mit hoher Anforderungsrate oder kontinuierlicher Anforderung gilt eine andere Ausfallhäufigkeitskenngröße. Übertragen Sie eine Wahrscheinlichkeitsangabe für niedrige Anforderungsraten nicht auf eine andere Betriebsart.

Warum ein Messumformer allein nicht „SIL 2“ nachweist

Prüfen Sie die quantitative Leistung, die architektonischen Einschränkungen und die systematische Integrität der vollständigen SIF. Ein Gerätezertifikat nennt die Eignung unter festgelegten Bedingungen, etwa zu Architektur, Diagnose, Prüfdeckungsgrad, Betriebsart und Nutzungsdauer. Eine nicht redundante Architektur ist nicht automatisch von SIL 2 ausgeschlossen. Entscheidend sind die geltenden Einschränkungen und die nachgewiesene Leistung.

Wählen Sie Architektur und Prüfanordnung anhand der Sicherheitsanforderungsspezifikation. Redundanz und Abstimmungslogik können erforderlich sein, bringen aber auch Fragen gemeinsamer Fehlerursachen und der Instandhaltung mit sich. Dokumentieren Sie Ausfalldaten, Hilfsversorgung, Reparaturannahmen, Ansprechzeit und Prüfdeckungsgrad, statt Redundanz allein als Weg zu einem SIL zu behandeln.

Wie ein Überfüllschutzkreis tatsächlich aufgebaut wird

Das klassische Beispiel ist der Überfüllschutz eines Lagertanks. Eine tragfähige Auslegung trennt Betriebsmessung und Schutzfunktion:

Unabhängiger Sensor: Ein eigener Hoch-Hoch-Füllstandschalter oder ein zweiter Messumformer, getrennt vom BPCS-Füllstandmessumformer, damit ein Ausfall der Betriebsmessung nicht zugleich den Schutz ausfallen lässt.

Logikeinheit: Eine Sicherheits-PLC oder eine zertifizierte Relaislogik, getrennt von der Steuerungs-PLC, empfängt das Abschaltsignal und steuert das Stellglied an.

Stellglied: Das Zulaufabsperrventil mit Antrieb und Stellungsregler wird so spezifiziert, dass der Sicherheitskreis den angestrebten SIL erreicht.

Entscheidend ist die Unabhängigkeit: Der Messwert zum Betrieb des Tanks und der Messwert zu seinem Schutz sollten nicht von demselben Gerät stammen. Denn der Fehler, gegen den geschützt werden soll, ist gerade der Ausfall dieser Messung.

Wiederholungsprüfungen und ihre Bedeutung

Wiederholungsprüfungen sollen gefährliche Fehler aufdecken, die die Diagnose nicht erkannt hat. Das dokumentierte Verfahren muss die im Nachweis berücksichtigten Fehler von Sensor, Prozessanschluss, Logik und Stellglied abdecken, einschließlich Bestehenskriterien und geregelter Überbrückungen. Bestimmen Sie Intervall und Deckungsgrad anhand der nachgewiesenen Sicherheitsberechnung und der Sicherheitshandbücher. Weder eine jährliche Prüfung noch allein das Erzwingen eines Ausgangswerts weist automatisch die erforderliche Integrität nach.

Fragen aus der Planung

F1. Was unterscheidet SIL 1 und SIL 2 bei einem Füllstand-Sicherheitskreis?

Die geforderte Ausfallwahrscheinlichkeit bei Anforderung unterscheidet sich grob um eine Größenordnung. Das erfordert typischerweise bessere Gerätediagnose, kürzere Wiederholungsprüfintervalle und mitunter Redundanz. Es ist eine Eigenschaft des vollständigen Sicherheitskreises, nicht des einzelnen Geräts.

F2. Kann ich den Betriebsmessumformer auch für die Sicherheitsfunktion verwenden?

Nur wenn die Gefährdungsanalyse den gemeinsamen Fehlermodus akzeptiert, was sie bei Überfüllschutz üblicherweise nicht sollte. Die Standardauslegung verwendet ein unabhängiges Hoch-Hoch-Gerät.

F3. Was bedeutet „für SIL 2 geeignet“ im Datenblatt?

Es handelt sich um eine bedingte Eignungsaussage, deren Umfang anhand des genauen Zertifikats und Sicherheitshandbuchs zu bestimmen ist. Prüfen Sie Hardware- und Softwareversionen, Ausfalldaten, systematische Eignung, Architektur und Prüfannahmen vor dem Einsatz in einer SIF. Die fertig installierte Anlage wird dadurch nicht zertifiziert.

F4. Benötige ich eine Sicherheits-PLC?

Für eine einzelne einfache Abschaltung kann eine zertifizierte Relaislogik genügen. Die Wahl hängt von der Zahl der Funktionen, der Abstimmungslogik und der erforderlichen Diagnose ab.

Weiterführende technische Leitfäden

• Explosionsgeschützter Radar-Füllstandmessumformer: Das Zertifikat lesen, nicht die Broschüre
• Wartung von Radar-Füllstandmessumformern: Sinnvolle Arbeiten und unnötige Eingriffe

Besprechen Sie Ihre Messanwendung mit METRAVON

Technische Quellen

• HSE: Lebenszyklus der funktionalen Sicherheit