Dreifach gemoppelt für den Notfall

Sicherheitsanwendungen werden, wann immer möglich, als DTS-(De-energised-to-safe-)Loop ausgeführt, d. h. Komponenten wie Motorsteuerungen oder Ventile werden im Ernstfall abgeschaltet. Der hohe Anteil von rund 90 % im Vergleich zu nur etwa 10 % ETS-(Energised-to-safe-)Anwendungen, die für das Einschalten von Signalhörnern, Warnlampen oder aktiven Kühlungen verantwortlich sind, erklärt sich aus den Vorteilen der Betriebsart. Bei Ausfall der Versorgung geht das Sicherheitsrelais in den sicheren Zustand, ebenso wie bei Leitungsfehlern im Feld wie Kurzschluss oder Leitungsbruch. Ein fehlendes Ansteuersignal am Aktor, verursacht durch Leitungsfehler auf Feld- oder Steuerungsseite des Relaisbausteins, führt ebenfalls zu einem sicheren Zustand im Sicherheitskreis. Aufgrund der hohen Zahl an sicheren Fehlern sind die Proof-Intervalle des gesamten Loops groß.

ETS-Lösungen hingegen sind aufwendiger zu implementieren. Sämtliche Fehler, die dazu führen, dass der Aktor nicht mehr eingeschaltet werden kann, sind gefährliche Fehler. Als Folge sind die Proof-Test-Intervalle für derartige Loops in den allermeisten Fällen kürzer als bei DTS-Anwendungen, da mehr gefährliche Fehler auftreten können. Für SIL-3-Sicherheitsfunktionen wird zudem in der Regel eine redundante Spannungsversorgung benötigt.

Sicherheitsanwendungen in der Prozessautomation zeichnen sich durch relativ geringe Anforderungsraten der Sicherheitsfunktion aus. Eine dauerhafte Überwachung der Lage des Schaltkontaktes ist daher wirtschaftlich nicht mehr sinnvoll. Konzepte, die auf einer intervallweisen Überprüfung der Schaltkontakte basieren, setzen allerdings hohe Proof-Test-Intervalle voraus. Unabdingbar für eine einwandfreie Funktion des Signalkreises ist, dass die Sicherheitsrelais mit der jeweiligen Steuerung kompatibel sind. Diagnosefunktionen beispielsweise von Leitsystemen dürfen keineswegs zu Fehlfunktionen der Geräte führen.

Um diesen Anforderungen gerecht zu werden, basieren die Sicherheitsrelais von Pepperl+Fuchs auf einer 1oo3-(1-out-of-3-)Architektur. Das bedeutet eine dreifach redundante Ausführung der Schaltkontakte – für DTS-Anwendungen drei Kontakte in Serie und für ETS-Anwendungen entsprechend parallel angeordnet. Diese Architektur bietet den Vorteil, dass bei Ausfall von bis zu zwei Kontakten die Sicherheitsfunktion weiter aufrechterhalten wird.

In einer ETS-Anwendung bietet die 1oo3-Architektur zudem ein Plus an Zuverlässigkeit: Bei einem zwangsgeführten Kontakt muss das Schließen eines Kontaktes nicht automatisch auch bedeuten, dass ein Strom fließt. Verschmutzte oder korrodierte Kontakte können im Extremfall zu so hohen Kontaktwiderständen führen, dass die Sicherheitsfunktion nicht mehr zuverlässig ausgelöst werden kann. Zudem kommt es dann bei der Rückmeldung über den Status des Schalters zu der gefährlichen Fehlinformation, dass über den Schaltkontakt eine leitende Verbindung hergestellt sei. Module mit zwangsgeführten Kontakten bieten zwar den Vorteil, den Zustand des Schaltkontaktes permanent und automatisch zu überwachen und so die Information über eine Fehlfunktion nach der Schaltanforderung sofort zur Verfügung zu stellen. Der Verdrahtungsaufwand und die zusätzlich notwendigen Auswertekanäle in der Steuerung, die zur Rückführung der Information über die Lage des Schaltkontaktes notwendig sind. sind lediglich bei Anwendungen mit hoher Anforderungsrate der Sicherheitsfunktion wirtschaftlich sinnvoll, da ein Schaltereignis notwendig ist, um aus der Diagnosemaßnahme Kredit zu ziehen.

Das Proof-Intervall für die Sicherheitsrelais bezogen auf 10 % der PFD (Ausfallwahrscheinlichkeit) beträgt damit mehr als 30 Jahre (DTS) beziehungsweise zehn Jahre (ETS). Zur Überprüfung der jeweiligen Relaisausgänge verfügen die Module über Proof-Test-Eingänge. Die Geräteserie stellt darüber hinaus die Kompatibilität zwischen Feldgerät und Steuerung sicher – dieser Punkt wird bei dem zunehmenden Bedürfnis nach Diagnosefunktionen immer wichtiger.

DO-(Digital-Output-)Karten von Steuerungen stellen üblicherweise integrierte Diagnosefunktionen zur Verfügung. Neben einer dynamischen Diagnosefunktion, den sogenannten „Testpulsen“, wird oftmals auch statisch der Feldkreis überprüft. Dazu werden die Schleifenströme im ein- und ausgeschalteten Zustand durch die DO-Karte gemessen und ausgewertet. Der Eingang der Sicherheitsrelais filtert die von der DO-Karte kommenden Testpulse, wodurch ein unbeabsichtigtes Schalten des Feldgeräts durch eine Diagnosemaßnahme oder die unbeabsichtigte Anzeige eines Leitungsfehlers in der Steuerung verhindert wird. Zusätzlich ermöglicht dieser Eingang, dass von der DO-Karte kommende Ströme fließen können – es wird eine Minimallast im Ein-Zustand bereitgestellt und ein Prüfstrom im Aus-Zustand ermöglicht. Dabei wird die Schaltfunktion nicht beeinträchtigt.

Ein weiterer Baustein des Eingangs ist eine Eingangsstrombegrenzung, die eine übermäßige Belastung der DO-Karte durch Stromspitzen verhindert, indem die zum Schalten notwendigen Eingangsströme minimiert werden.

In Kombination mit den Sicherheitsrelais können DO-Karten deutlich höhere Ströme sowie Wechselspannungen schalten. Dadurch wird der Lastbereich der DO-Karte stark erweitert. Diese Funktion ist z. B. bei Anlagenerweiterungen oder -modernisierungen sehr nützlich, falls an eine bestehende Infrastruktur aus Aktoren eine neue Steuerungsebene angebunden werden soll. Die Eingänge sind kompatibel zu den DO-Karten vieler Steuerungen. Der Eingangskreis ist für alle Geräte identisch: Ist ein Modul an einer DO-Karte erfolgreich getestet, sind auch alle anderen Module der neuen Sicherheitsrelais kompatibel. Im Fall einer Änderung oder Anpassung des Eingangskreises kann dies für die gesamte Gerätefamilie übernommen werden. Die Nutzung von diversitären Relais minimiert die Gefahr systematischer Fehler. Dadurch wird vermieden, dass ein serienspezifischer Fehler eines Relais die Sicherheitsfunktion gefährdet, indem er bei allen drei Relais gleichzeitig auftritt.

Die Sicherheitsrelais sind als DTS- und als ETS-Version erhältlich, jeweils mit bis zu 5 A Schaltstrom (KF-Version mit 20 mm Breite) oder bis zu 3 A Schaltstrom (KC-Version mit 12,5 mm Breite). Für die DTS-Varianten ist eine integrierte Sicherung vorhanden, um Kontaktverschmelzungen im Überlastfall zu verhindern. Damit wird zusätzlich Hutschienenplatz gespart. Die 20-mm-DTS-Varianten bieten eine austauschbare Sicherung. Die einkanaligen Sicherheitsrelais sind schleifengespeist. Alle Module sind entsprechend Atex-Zone 2 zugelassen und verfügen zudem über SIL 3 entsprechend IEC 61508 ed2 und EN 62061. Entsprechende Sicherheitshandbücher sind verfügbar.

Die Module gehören zum K-System, das seit mehr als 25 Jahren erfolgreich in der Prozessindustrie eingesetzt wird. Es bietet mit 200 Trennbarrieren (Ex-Bereich) und 150 Signaltrennern (Nicht-Ex-Bereich) ein großes Produktportfolio für unterschiedliche Signalformen und Anwendungen der Prozessindustrie. Es zeichnet sich durch eine kosteneffiziente Montage auf das Power Rail, hohe Verfügbarkeit und einfache Wartung aus. Abziehbare Klemmen ermöglichen einen schnellen Austausch der Module im Fehlerfall, ohne die Verdrahtung lösen zu müssen.

www.prozesstechnik-online.deSuchwort: cav1016pepperlfuchs

Product Marketing Manager Interface Technology, Pepperl+Fuchs