Redundante Prozesssicherheit

Stefan Rejda und Wolfgang Lubcke

Verantwortung für Menschen, Umwelt und Anlagen ist nicht teilbar. Sicherheit beim Umgang mit gefährlichen Stoffen und Gütern in Produktion, Verarbeitung, Lagerung und Transport ist deshalb mehr als das Beachten von Vorschriften. Ex-Schutz und funktionale Sicherheit sind in Europäischen Normen wie Atex und EN 61508 fixiert, das Konzept der redundanten Prozesssicherheit geht aber noch einen Schritt weiter. Ex-Schutz, funktionale Sicherheit und die zweite Ebene der Prozessabtrennung verzahnen zu einem wirkungsvollen Sicherheitskonzept für Messtechnik und Sensorik.

Sensoren, die mit dem Medium in direktem Kontakt stehen, werden bereits in der Planung so ausgelegt, dass sie korrosiven und abrasiven Angriffen bestmöglich widerstehen. Das Kernproblem ist jedoch, dass Korrosion und Abrasion nicht immer exakt vorhersehbar sind, da Prozessströme neben wechselnder Zusammensetzung oft unbestimmte chemische, toxische und auch abrasive Eigenschaften haben. In all den Fällen, in denen entweder Gemische undefinierbare Gefahrenpotenziale entwickeln können oder bekannte Medien extrem toxische und umweltbelastende Eigenschaften besitzen, reicht eine Trennebene im Sensor zwischen Prozess und Umwelt nicht mehr aus. Dies ist nicht nur unter dem Aspekt der Prozesssicherheit entscheidend, sondern auch mit Blick auf den Personenschutz im Wartungsfall. Servicemitarbeiter müssen von außen den Zustand eines Messgerätes erkennen können. Nur dann können sie geeignete Maßnahmen ergreifen.

Der Füllstand zählt zu den wichtigsten Führungsgrößen in zahlreichen Verfahren. Als Grenzstanderfassung ist er vielfach ein sicherheitsrelevanter Prozessparameter. Nicht nur als Überfüllsicherung, sondern auch zum Verhindern des Trockenlaufs von Pumpen kommt dem Füllstandsgrenzschalter höchste Bedeutung zu. In der Praxis haben sich Grenzschalter, die nach dem Vibrationsprinzip arbeiten, durchgesetzt (Abb. 1). Sie sind betriebsbewährt und heute so weit technisch ausgereift, dass sie exakt auf die Bedürfnisse des Anwenders zugeschnitten, ausgelegt und eingesetzt werden können. Ob für einfache, betriebliche Grenzstände, als WHG-zertifizierter Bestandteil einer Überfüllsicherung oder für Schutzeinrichtungen in Anlagenteilen, die der Störfallverordnung unterliegen, die Vibrationsgrenzschalter erfüllen alle Anforderungen des Betreibers.

Neben der medienunabhängigen Funktionsweise bieten moderne Vibrationsgrenzschalter noch einen weiteren entscheidenden Vorteil gegenüber anderen physikalischen Verfahren: Die Frequenzauswertung in der Elektronik des Messgerätes ermöglicht eine automatische Selbstüberwachung der Schwinggabel. So bedeutet Veränderung der Schwingfrequenz über ein zugelassenes Maß hinaus eine Unregelmäßigkeit an der Schwinggabel, z.B. durch Korrosion oder Ansatz. Dies führt zu einem sicherheitsgerichteten Schalten des Messgerätes. Alle Liquiphant-Typen arbeiten daher mit dieser Frequenzauswertung und bieten somit dem Anwender eine Grundsicherheit für den Betrieb seiner Anlage.

In kritischen Prozessen reicht diese Grundsicherheit jedoch häufig nicht aus. Überall dort, wo eine erhöhte Gefahr für Mensch und Umwelt besteht, müssen messtechnische Komponenten so konzipiert sein, dass im Störfall keine oder lediglich eine vertretbare Gefährdung entsteht. Ein Konzept, das Endress+Hauser bei der Entwicklung seiner Messtechnik für die Verfahrenstechnik konsequent berücksichtigt, egal ob es sich um kontinuierlich arbeitende Füllstandmessgeräte, Durchfluss-, Druck- oder Temperaturgeräte handelt. Um das Schadensrisiko durch Fehler an passiven Geräteteilen zu reduzieren, wurden die Geräte daher mit einer zweiten mechanischen Barriere ausgerüstet.

Messgeräte werden mit einem Prozessanschluss, in der Regel ein Gewinde oder ein Flansch, an den Behälter oder die Rohrleitung adaptiert. Dieser mechanische Anschluss trennt die Prozessatmosphäre von der Umwelt. Teile der Messgeräte, die sich im Prozess befinden, werden mit dem Prozessanschluss verschweißt und stellen damit eine erste Barriere für das Medium dar.

Während die Schwinggabel eines Vibrationsgrenzschalters auf Korrosion überwacht wird und diese entsprechend signalisiert, können passive Bauteile, beispielsweise eine Rohrverlängerung oder die Mikrowelleneinkopplung eines Radarmessgerätes, solche Fehler nicht automatisch erkennen. So kann es bei der Rohrverlängerung eines Vibrationsgrenzschalters in Folge einer Lochfraßkorrosion dazu kommen, dass das Medium durch den Sensor nach außen gedrückt wird. Eine druck-, gas- oder diffusionsdichte Durchführung verhindert das zuverlässig (Abb. 2). Im Falle des Liquiphant ist eine solche zweite Prozessabtrennung ein metallisch gefasster Glasverschluss, der einerseits die elektrische Verbindung zum Gabelantrieb sicherstellt und andrerseits druckdicht (O-Ring) oder diffusionsdicht (verschweißt) hinter dem Prozessanschluss verarbeitet ist. Nach dem gleichen Prinzip ist die zweite Prozessabtrennung bei dem Radarmessgerät Micropilot integriert (Abb. 3).

Die konsequente Umsetzung des Konzeptes der redundanten Prozesssicherheit erfordert für unterschiedliche Sensorprinzipien verschiedene Realisierungsvarianten der zweiten Prozessabtrennung. So ist diese beispielsweise in der Durchflussmessung nur durch ein komplettes Schutzgehäuse um die Sensorik möglich. Das Coriolis-Massedurchflussmesssystem Promass ist ein Einfach- oder Doppelrohrsystem mit zahlreichen Funktionen. Das Herzstück des Promass ist ein vom Medium durchströmtes Rohrstück, das von der Sensorik und Auswertelektronik umgeben ist.

Für eine absolute Sicherheit ist es deshalb unumgänglich, auch den Fall eines Mediumaustritts aus dem hoch beständigen Messrohr in Erwägung zu ziehen. Um dann dennoch das Freiwerden von Flüssigkeit zuverlässig zu verhindern, wurde das Massedurchflussmessgerät komplett gekapselt. Diese Kapselung wird optional von einem Drucksensor überwacht, der einen durch ein Leck verursachten Druckanstieg sofort signalisiert. Ein Freisetzen des Mediums ist dabei auch im unwahrscheinlichen Fall eines Bruchs des Sensorrohrs sicher verhindert.