Innovative Regeltechnik

SONDERDRUCK

Sicherheit in der Prozessindustrie

SAMSON AG
Manuel Hinkelmann
Marcel Richter
Monika Schneider
SAMSOMATIC
Marc Belzer

Sonderdruck aus
cav 6-2014, cav 8-2014, cav 10-2014, cav 12-2014

2

Inhalt

Sicherheit in der Prozessindustrie

Funktionale Sicherheit – Rollenverteilung in der Prozessindustrie.......................................................... 4
Marcel Richter, Produktmanagement und -marketing Stellungsregler und Stellventilzubehör, SAMSON
Monika Schneider, Technische Redaktion, SAMSON
Sonderdruck aus cav 6-2014

Funktionale Sicherheit – Stellventile vor Ausfällen schützen.................................................................... 6
Marcel Richter, Produktmanagement und -marketing Stellungsregler und Stellventilzubehör, SAMSON
Monika Schneider, Technische Redaktion, SAMSON
Sonderdruck aus cav 8-2014

Rückströmsicherungen in sicherheitsgerichteten Kreisen –Funktionale Sicherheit in der Praxis............................................................................................................. 8
Marc Belzer, Produktmanager Magnetventiltechnik, ­SAMSOMATIC
Monika Schneider, Technische Redaktion, SAMSON
Sonderdruck aus cav 10-2014

Integrierte Ventildiagnose schafft Vorteile – Schwächen rechtzeitig erkennen................................. 10
Manuel Hinkelmann, Produktmanagement und -marketing Stellungsregler und Ventildiagnose, SAMSON
Monika Schneider, Technische Redaktion, SAMSON
Sonderdruck aus cav 12-20143

Sicherheit in der Prozessindustrie | Funktionale Sicherheit – Rollenverteilung in der Prozessindustrie
Sonderdruck aus cav 6-2014

Funktionale Sicherheit – Rollenverteilung in der Prozessindustrie
Seveso, Bhopal, Piper Alpha – hier ereigneten sich einige der schwersten Störfälle in der Chemie- und Mineralölindustrie. Ursächlich für die Katastrophen, bei denen zahlreiche Menschen zu Tode kamen, waren menschliches und technisches Versagen. Zieljeden Anlagenbetreibers muss es auch aufgrund der gesetzlichen Bestimmungen (z. B. Störfallverordnung) sein, das Anlagenrisiko
auf ein tolerierbares Restrisiko zu minimieren.
Eine unkontrollierte Überhitzungsreaktion in einem Reaktor
führte 1976 in Seveso (Italien) zum Bersten eines Sicherheitsventils. Als Folge wurde eine unbekannte Menge hochgiftigen
Dioxins freigesetzt. 1984 gerieten in Bhopal (Indien) mehrere
Tonnen giftiger Substanzen in die Atmosphäre, weil Sicherheitssysteme versagten. 1988 zerstörte ein Feuer die in derNordsee gelegene Bohrinsel Piper Alpha. Ursächlich für die
Katastrophe waren ein temporär fehlendes Hochdruckventil
und andere Fehlerquellen wie die fahrlässige Sicherung einer
Rohrleitung, unzureichende Explosionsschutzmaßnahmen unddie während des Brands andauernde Ölförderung von externen Plattformen.
Todesfälle und Verletzungen von Angestellten und Anwohnernsowie Umweltschäden sind nur die für jedermann sichtbaren
Folgen dieser und anderer Anlagenstörfälle.
Das Risiko, das von einer Anlage ausgeht, steigt, je größer die
schädlichen Auswirkungen einer Störung sind und je höher ihre
Eintrittswahrscheinlichkeit ist. Um das Anlagenrisiko auf ein tolerierbares Restrisiko zu minimieren, helfen anlagenspezifische
Notfallpläne, passive und aktive mechanische Schutzmaßnahmen sowie vom Prozessleitsystem unabhängige elektronischesicherheitsgerichtete Systeme (SIS), die aus Sensoren, einer si-

Abbildung 1: Aufbau eines sicherheitsgerichteten Systems, bestehend aus
Sensor, zwei Aktoren und einer sicherheitsgerichteten Steuerung (Beispiel
des Schulungssystems bei SAMSON)
4cherheitsgerichteten Steuerung und einem Aktor bestehen. Die
Aufgaben im SIS sind klar verteilt: Die Sensoren messen die
Regelgröße, z. B. die Temperatur, den Druck oder den Füllstandund geben die Information an die sicherheitsgerichtete Steuerung weiter. Die sicherheitsgerichtete Steuerung verarbeitet die
Informationen unabhängig vom eigentlichen Leitsystem undweist den Aktor im Sicherheitsfall an, die sicherheitsgerichtete
Aktion auszuführen. Der Aktor führt die sicherheitsgerichtete
Aktion aus, also öffnet oder schließt je nach Sicherheitsanforderung die Armatur. Unter dem Begriff Aktor ist das gesamte
Stellventil inklusive aller Peripheriegeräte wie Magnetventil,
Stellungsregler und Volumenstromverstärker zusammengefasst.
Das Zusammenspiel der genannten Komponenten soll im Gefahrenfall einen sicheren Anlagenzustand herbeiführen oderbewahren. Die Anforderung an die sicherheitstechnische Verfügbarkeit wird in vier diskreten Stufen (SIL – Safety Integrity
Level 1 bis 4) quantifiziert. Die Bewertung eines Schutzkreises
wird entsprechend IEC 61508 und IEC 61511 beziehungsweise DIN EN 61508 und DIN EN 61511 vorgenommen. Während sich die IEC 61508 „Funktionale Sicherheit sicherheitsbezogener
elektrischer/elektronischer/programmierbarer
elektronischer Systeme“ an die Hersteller der Einzelkomponenten in einem SIS richtet, ist die IEC 61511 „Funktionale Sicherheit – sicherheitstechnische Systeme für die Prozessindustrie“ für Planer, Errichter und Betreiber von sicherheitsgerichteten Systemen relevant.
Rolle des Herstellers
Der Hersteller von Sicherheitskomponenten entwickelt im Zugeeines ganzheitlichen Safety-Lifecycles die erforderliche Hardund Software unter Einhaltung der IEC 61508. Damit ist er
auch für die Sicherheitsbetrachtung seines Produkts zuständig. Hier spielen viele Faktoren eine Rolle – wichtig sind z. B.
die eingesetzten Materialien oder die dem Gerät zugrundeliegende Technologie. Alternativ kann die Eignung eines Produktes für sicherheitstechnische Anwendungen auch durch
Betriebsbewährung festgestellt werden, dies hat den Vorteil,dass reale Einflüsse von Umgebung und Prozess berücksichtigt
werden.

Abbildung 2: Rollenverteilung in der Prozessindustrie am Beispiel des Aktors über den gesamten Safety-Lifecycle (links Hersteller, rechts Planer,
Errichter und Betreiber)

Auf Basis mathematischer Modelle und Berechnungsmethoden der FMEDA (Failure Modes Effects and Diagnostic Analysis) und eventuell vorhandener Daten zur Betriebsbewährtheit (proven in use) ermittelt der Hersteller die sicherheitstechnischen Kenngrößen. Dokumentiert und bestätigt werden die
Kenngrößen anhand einer produktbezogenen Herstellererklärung in Verantwortung des Herstellers. Es besteht die Möglichkeit, den Entwicklungsprozess durch eine unabhängige
fachkundige Stelle begleiten und entsprechend zertifizierenzu lassen. Weiterhin ist der Hersteller für Hinweise zum sachgemäßen Gebrauch verantwortlich, diese sind im Sicherheitshandbuch zusammengefasst. Die vom Hersteller zur Verfügung gestellten Kenngrößen geben lediglich darüber Auskunft, welche Sicherheitsintegrität die Einzelkomponenteerreichen kann.

Tabelle 1: Sicherheitstechnische Kenngrößen, die anhand produktbezogener
Herstellererklärungen oder Zertifikate dokumentiert und bestätigt werden.

Rolle der Planer/Errichter
Der Anlagenbetreiber ermittelt die Anforderung an das sicherheitsgerichtete System (SIL-Einstufung) anhand einer geeigneten
Methodik (Risikograph, Risikomatrix, LOPA usw.). Planern und
Errichtern obliegt es, das Gesamtsystem „Sicherheitsgerichtetes
System“ entsprechend der SIL-Einstufung auszulegen und dieeinzelnen Sicherheitskomponenten, bestehend aus Sensoren,
Aktoren und sicherheitsgerichteter Steuerung nach dem Standder Sicherheitstechnik auszuwählen. Die Norm fordert den
Nachweis der Eignung der ausgewählten Komponenten bezüglich Umgebungsbedingungen und spezifischem Prozess,daraus ergibt sich für den Einsatz von Stellventilen die Forderung nach ingenieursmäßiger Auslegung und entsprechender
Dokumentation des Auslegungsprozesses.
Die erreichte sicherheitstechnische Verfügbarkeit und damit daserreichte SIL hängen von dem eingesetzten Gerätetyp („komplexe“ oder „einfache“ Geräte im Sinne der Norm), der gewählten Architektur und der Ausfallwahrscheinlichkeit ab. Idealerweise sollte der Anwender für die Ausfallwahrscheinlichkeit
Werte aus eigener Betriebserfahrung einsetzen. Unterstützend
können auch die Daten der NAMUR eingesetzt werden, die
darüber hinaus auch eine Reihe praxisnaher Empfehlungen fürden Anlagenplaner und -errichter zur Verfügung stellt, darunter die NE 130, die den Einsatz von betriebsbewährten Komponenten empfiehlt oder die NE 106 zum Thema „Prüfintervalle von PLT-Schutzeinrichtungen“.

Autoren:Marcel Richter, Produktmanagement und -marketing Stellungsregler und Stellventilzubehör, SAMSON
Monika Schneider, Technische Redaktion, SAMSON
5Sicherheit in der Prozessindustrie | Funktionale Sicherheit – Stellventile vor Ausfällen schützen
Sonderdruck aus cav 8-2014

Funktionale Sicherheit – Stellventile vor Ausfällen schützen
Bei Ausfall einzelner Sicherheitskomponenten sollten Planer, Errichter und Betreiber von Anlagen auf das Wissen der Hersteller
zurückgreifen. So entwickeln und fertigen beispielsweise die Unternehmen der SAMSON GROUP die gesamte Aktorik vom Ventilüber den Antrieb bis hin zu den Anbaugeräten wie Stellungsregler, Magnetventil oder Grenzsignalgeber. Der Anwender kann sichsomit auf die Funktionsfähigkeit der Komponenten verlassen.
Ein sicherheitsgerichtetes System (SIS) in der Prozessindustriebesteht aus Sensoren, einer sicherheitsgerichteten Steuerung
und einem Aktor. Betrachtet man den Safety-Lifecycle des Aktors, so ergibt sich eine klare Rollenverteilung (Abbildung 2):
Die Hersteller von Sicherheitskomponenten entwickeln und fertigen gemäß IEC 61508. Für Planer, Errichter und Betreiber vonSicherheitskreisen ist die IEC 61511 entscheidend. Dem Anwender des sicherheitsgerichteten Kreises wird durch die – auf deninternationalen Normen IEC 61508 und IEC 61511 basierende– VDI 2180 eine praxisnahe deutsche Richtlinie mit Hinweisen
für Planung, Errichtung und Betrieb des SIS zur Verfügung gestellt. Sie fordert Maßnahmen gegen systematische und zufällige Fehler sowie zur Fehlertoleranz.
Systematische Fehler oft unerkannt
Systematische Fehler beeinflussen grundlegend die Zuverlässigkeit mechanischer Komponenten. Für die fachgerechte Auswahl
und Auslegung einer Komponente reicht es nicht aus, die rechnerisch geforderte Sicherheitsintegrität zu erreichen. Zusätzlich

Abbildung 1: Demonstrationsmodell eines gesamten sicherheitsgerichteten
Systems bei SAMSON
6

muss die Komponente auch so gewählt sein, dass sie von ihrer
Funktionsweise und Auslegung dem Prozess entspricht. Weiterhin müssen die Voraussetzungen für den zuverlässigen Betrieb
einer Komponente geschaffen werden. Es ist einleuchtend, dassbeispielsweise ein Sicherheitsventil im Sicherheitsfall nur dannzuverlässig arbeitet, wenn es seine Funktion (Fahren in die geforderte Endlage) jederzeit erfüllen kann. Ausschlaggebend
hierfür ist die Beachtung der Herstellerangaben zu Einbau,
Montage und Betrieb des Ventils. Auch darf die Funktion desSicherheitsventils durch äußere mechanische Einflussnahmeoder temporäre Ereignisse nicht beeinträchtigt werden. Systematische Fehler können statistisch nicht beschrieben werden. Siesind durch geeignete Maßnahmen im Zuge eines ganzheitlichen
Functional-Safety-Management-Systems (FSM) unter dem Gesichtspunkt der Fehlervermeidung beherrschbar bzw. auszuschließen. Es kann allerdings zu systematischen unentdeckten
Fehlern kommen. Ein klassisches Beispiel für einen systematischen unentdeckten Fehler ist ein korrekt eingebauter, montierter
und in Betrieb genommener Kugelhahn, der sich im Sicherheitsfall nicht bewegt, weil sich die Kugel in der Betriebsstellung festgefressen hat. Dieser Umstand kann dadurch begründet sein,
dass die Armatur ihre Betriebsstellung über einen längeren Zeitraum nicht verlassen hat. Geeignete Gegenmaßnahmen wie
das Durchführen regelmäßiger Funktionsprüfungen bei Anlagenstillstand oder das automatisierte Prüfen im Anlagenbetrieb– als erste Maßnahme sei hier der Teilhubtest (PST) genannt –obliegen dem Betreiber und bilden nach dem aktuellen Standder Sicherheitstechnik eine sinnvolle Ergänzung im FSM.
Zufällige Fehler statistisch erfassbar
Im Gegensatz dazu sind zufällige Fehler statistisch erfassbar.
Bei elektronischen Komponenten sind sie unvermeidbar, in vielen Fällen führen sie zu einem Ausfall der Sicherheitsfunktion.
Bei mechanischen Komponenten sind zufällige Fehler nur
schwer vorstellbar, wenn im Zuge eines ganzheitlichen SafetyLifecycles die Vorgaben der IEC 61508 auf Herstellerseite undder IEC 61511 auf Anwenderseite berücksichtigt wurden. Obwohl zufällige Fehler bei mechanischen Komponenten äußerst
selten auftreten, verlangt die Norm ihre Berücksichtigung. Dies

Abbildung 2: Rollenverteilung in der Prozessindustrie am Beispiel des Aktors über den gesamten Safety-Lifecycle (links Hersteller, rechts Planer,
Errichter und Betreiber)

erfolgt im Wesentlichen durch die Gesamtausfallrate für gefährliche unerkannte Fehler λDU. Dieser Wert kann den Herstellerangaben entnommen werden. Richtwerte auf Grundlage
einer Worst-Case-Abschätzung für betriebsbewährte Gerätebietet zudem auch die NAMUR-Empfehlung NE 130. Mit derGesamtausfallrate für gefährliche unerkannte Fehler lässt sichdie mittlere Wahrscheinlichkeit gefahrbringender Ausfälle einer
Sicherheitsfunktion im Anforderungsfall (PFDavg) berechnen.
Der PFDavg-Wert steht im direkten Zusammenhang zum Sicherheits-Integritätslevel (SIL) nach IEC 61511. Die Fehlertoleranz ist
die Eigenschaft des Sicherheitskreises, seine Sicherheitsfunktion
auch dann noch zu erfüllen, wenn Fehler an der Hard- oder
Software auftreten. Ein gängiges Verfahren zur Erhöhung derFehlertoleranz ist der Einsatz redundanter Systeme. In redundant ausgelegten sicherheitsgerichteten Kreisen hat die Funktionsstörung einer Einzelkomponente keinen Einfluss auf das
Sicherheitsverhalten des Sicherheitskreises, da eine zweite
Komponente die Sicherheitsfunktion der fehlerbehafteten Komponente übernimmt.
Auswahl der Sicherheitskomponenten
Bei Auswahl der einzelnen Sicherheitskomponenten sollten Planer, Errichter und Betreiber von Anlagen auf das Wissen derHersteller zurückgreifen. So entwickeln und fertigen beispielsweise die Unternehmen der SAMSON GROUP die gesamte
Aktorik vom Ventil über den Antrieb bis hin zu den Anbaugeräten wie Stellungsregler, Magnetventil oder Grenzsignalgeber. SAMSOMATIC hat bereits 1995 Magnetventile nach derdamals gültigen Vornorm DIN V 19251 für den Einsatz in Sicherheitsabsperrarmaturen zertifizieren lassen. Sie haben sich
seitdem im Betrieb bewährt und kommen heute auch in smarten
Anbaugeräten von SAMSON zum Einsatz. 2006 wurden die

Stellungsreglerversionen der Bauart 3730 mit der Funktion
Emergency Shut Down (ESD) herausgebracht. Das sichere Entlüften ist seitdem mit SAMSON-Geräten möglich, sowohl inden Stellungsregler-Bauarten 3730 und 3731 als auch in der ineinem Gerät integrierten Magnetventil- und Grenzsignalfunktion des intelligenten Grenzsignalgebers Typ 3738. Als einer
der ersten Ventilhersteller hat sich SAMSON im Dezember
2011 den gesamten Entwicklungs-, Konstruktions-, Produktionsund Verkaufsprozess von Ventilen nach IEC 61508-1 von derTÜV SÜD auditieren lassen. Für Anlagenplaner und -betreiber
bietet eine solche herstellerseitige Zertifizierung Vorteile beim
Nachweis der Betriebsbewährung nach NE 130: durch sie wird
die Betriebserprobungsphase um ein halbes Jahr verkürzt.
Trotz der strikten Rollenverteilung durch die IEC 61508 und IEC
61511 sieht sich SAMSON in der Verantwortung, den Anwender mit Informationen rund um das Thema „Funktionale Sicherheit“ zu unterstützen. Dies geschieht z. B. durch die Veranstaltungsreihe „SIL in der Praxis“ und durch praxisnahe Schulungen. Im Zusammenhang dieses Artikels soll vor allem das
Seminar „SSA – Stellgeräte in sicherheitsgerichteten Anwendungen“ erwähnt werden, das sich mit der Aktorik und denzugehörigen Anbaugeräten befasst. Bestandteil der Veranstaltung ist die praxisnahe Demonstration eines gesamten sicherheitsgerichteten Systems sowie die Gelegenheit zum praxisnahen Dialog zwischen Teilnehmern und Referenten aus Entwicklung, Produktmanagement und Service.

Autoren:Marcel Richter, Produktmanagement und -marketing Stellungsregler und Stellventilzubehör, SAMSON
Monika Schneider, Technische Redaktion, SAMSON
7

Sicherheit in der Prozessindustrie | Rückströmsicherungen in sicherheitsgerichteten Kreisen – Funktionale Sicherheit in der Praxis
Sonderdruck aus cav 10-2014

Rückströmsicherungen in sicherheitsgerichteten Kreisen –Funktionale Sicherheit in der Praxis
Rückströmsicherungen erhöhen die Betriebssicherheit von Anlagen. Sie verhindern beispielsweise beim Mischen von Flüssigkeiten,dass das Flüssigkeitsgemisch in die Leitung der reinen Flüssigkeit zurückströmt und so Rohrleitung und angeschlossene Vorratsbehälter verunreinigt.
Rückströmsicherungen von SAMSOMATIC bestehen im Wesentlichen aus den Komponenten Differenzdruckmessumformer, Eintritts- und Austrittsventil sowie Steuereinheit. Der Differenzdruckmessumformer erfasst die Druckdifferenz zwischenden Messpunkten unmittelbar vor dem Eintrittsventil und unmittelbar nach dem Austrittsventil, wobei der Druck vor dem Eintrittsventil im Normalfall immer größer als der Druck nach dem
Austrittsventil ist. Vom Differenzdruckmessumformer gelangt ein
dem Differenzdruck entsprechendes Einheitssignal zur Steuerung, in der das Einheitssignal mit dem eingestellten Mindestgrenzwert verglichen wird. Unterschreitet der Differenzdruck
den eingestellten Mindestgrenzwert, dann schließt die Steuerung simultan das Eintritts- und Austrittsventil. Der Rückstromdes Mediums wird verhindert. Die SAMSOMATIC-Rückströmsicherung ist geeignet für den Einsatz in sicherheitsgerichteten
Systemen (SIS). Allgemein gilt, je höher die Anforderung an das
sicherheitsgerichtete System (SIS), desto höher ist der geforderte Sicherheitsintegritäts-Level. Er wird nach DIN EN 61511„Funktionale Sicherheit – sicherheitstechnische Systeme für die
Prozessindustrie“ in drei diskreten Stufen (SIL 1 bis SIL 3) beschrieben und definiert die Zielvorgabe, die von den eingesetzten Komponenten eines SIS erreicht werden muss. Je nach Ausführung der Rückströmsicherung ist sie rein rechnerisch in SIL-2oder SIL-3-Kreisen einsetzbar.

Architektur für SIL-2-Einstufung
Als Eintrittsventil wird ein pneumatischer Kugelhahn mit externem Magnetventil eingesetzt. Das Austrittsventil ist ein pneumatisches Stellventil, das ebenfalls mit einem externen Magnetventil und zusätzlich – für den regulären Regelbetrieb – mit
einem Stellungsregler ausgerüstet ist. Alternativ kann das externe Magnetventil entfallen, wenn der Stellungsregler über ein
integriertes Magnetventil verfügt oder, wenn der Stellungsregler für sicheres Entlüften auch bei Ansteuerung über Zweidrahtleitung ausgelegt ist. Die sicherheitsgerichtete Steuerung versorgt die Magnetventile der Ein- und Austrittsventile mit einer
Steuerspannung (z. B. 24 V DC) solange der Differenzdruckzwischen Ein- und Austrittsventil größer als der eingestellteGrenzwert ist. Im Sicherheitsfall (der Differenzdruck unterschreitet den Grenzwert) unterbricht die Steuerung das elektrische Binärsignal zu den Magnetventilen. Die Magnetventile
entlüften die pneumatischen Antriebe mit der Sicherheitsstellung Ventil geschlossen. Ein- und Austrittsventil schließen.
Architektur für SIL-3-Einstufung
Auch hier werden ein pneumatischer Kugelhahn als Eintritts- undein pneumatisches Stellventil als Austrittsventil eingesetzt. Anders
als bei der SIL-2-Architektur sind aber beide Ventile mit je zwei in
Reihe geschalteten Magnetventilen ausgerüstet. Zusätzlich wer-∆pSicherheitsgerichtete
Steuerung

p
p

e

e

Typ 3967

Typ 3967

Typ 3310/BR 31a

Abbildung 1: Mögliche Architektur der Rückströmsicherung für SIL-2-Einstufung8

Typ 3241-7 mit Typ 3730-6

den die Differenzdruckmessung und die Steuerung redundantausgeführt. Somit werden bei einer Grenzwertunterschreitung ineinem der redundanten Mess- und Steuerkanäle sowohl der Kugelhahn als auch das Stellventil durch das Ausschalten der betreffenden Magnetventile in die Sicherheitsstellung gefahren.
Ferner wird das Austrittsventil mit einem smarten Stellungsregler
ausgestattet. Ein Stellungsregler mit Teilhubtest-Funktion (PST)
verringert die Ausfallwahrscheinlichkeit im Anforderungsfall.
Während des Teilhubtests verfährt das Ventil kurzzeitig auf einevordefinierte Position und kehrt dann wieder in die Arbeitsstellung zurück. Regelmäßig durchgeführt, hilft der Teilhubtest zu
erkennen, dass sich das Ventil in der Arbeitsstellung festsetzt unddamit im Anforderungsfall nicht verfahren könnte.
Eine Optimierung der Architektur kann an der Auf/Zu-Armatur(Eintrittsventil) erreicht werden, wenn zusätzlich ein elektronischer Grenzsignalgeber eingesetzt wird, der ähnlich wie derStellungsregler beim Regelventil einen automatisierten Bewegungstest durchführen kann (z. B. Typ 3738 von SAMSON).
Die IEC 61511 fordert, dass sicherheitstechnische Funktionen
von nichtsicherheitstechnischen Funktionen zu trennen sind. Fürden Fall, dass ein Ausfall der nichtsicherheitstechnischen Funktion die sicherheitstechnische Funktion nicht beeinflusst, ist es
jedoch auch denkbar, ein Gerät sowohl in den Sicherheitskreis
als auch in den Regelkreis zu integrieren. Diese Möglichkeit ist
beim Austrittsventil der SAMSOMATIC-Rückströmsicherung gegeben. Durch einen smarten Stellungsregler wird das Stellventil
für Regelungszwecke nutzbar gemacht. Gleichzeitig bleibt die
Sicherheitsfunktion des Stellventils erhalten, da die Verschaltung der Magnetventile der Regelfunktion des Stellungsreglersübergeordnet ist. Somit ist gewährleistet, dass im Anforderungsfall der Antrieb des Stellventils unabhängig von der normalen
Regelfunktion entlüftet und damit das Stellventil in die Sicher-

Abbildung 3: Schwenkantrieb mit elektronischem Grenzsignalgeber Typ3738 und redundanter Verschaltung von zwei Magnetventilen Typ 3967

heitsstellung „gezwungen“ wird.
Die gleichzeitige Nutzung des Ventils im Regel- und Sicherheitskreis wirkt sich zudem positiv auf die Sicherheitsbetrachtung aus: Durch die Regelfunktion können sehr leicht Plausibilitätskontrollen durchgeführt werden, zum Beispiel durch Überwachen der Regelabweichung. Aber auch die Verfügbarkeit
kann ständig beobachtet werden, da je nach Prozessanforderungen immer wieder unterschiedliche Stellungen angefahren
werden müssen.
Die Rückströmsicherung von SAMSOMATIC ist universell einsetzbar. Ein- und Austrittsventil werden mit Komponenten der
SAMSON GROUP aufgebaut und sind so flexibel an unterschiedlichste Bedingungen anpassbar. Aus dem großen Portfolio können beispielsweise Ventilgehäuse mit verschiedenen Bauformen und aus unterschiedlichen Materialien problemlos dem
Durchflussmedium und den Umgebungsbedingungen angepasst werden.
Autoren:Marc Belzer, Produktmanager Magnetventiltechnik,­SAMSOMATIC
Monika Schneider, Technische Redaktion, SAMSON∆p∆p

Sicherheitsgerichtete
Steuerung

p

p

e
p

Typ 3310/BR 31ae

2x Typ 3967epe

2x Typ 3967

Typ 3241-7 mit Typ 3730-6

Abbildung 2: Mögliche Architektur der Rückströmsicherung für SIL-3-Einstufung
9Sicherheit in der Prozessindustrie | Integrierte Ventildiagnose schafft Vorteile – Schwächen rechtzeitig erkennen
Sonderdruck aus cav 12-2014

Integrierte Ventildiagnose schafft Vorteile – Schwächen rechtzeitig erkennen
Der Nutzen moderner Ventildiagnose, insbesondere von im Stellungsregler integrierten Diagnosefunktionen, liegt auf der Hand:
Eine Rund-um-die-Uhr-Überwachung des Stellventils liefert wichtige Anhaltspunkte für mögliche Fehlerquellen. Idealerweise kann
der Ereignisfall, also eine Störung, vermieden werden, weil die Ventildiagnose frühzeitig Schwächen am Ventil identifiziert. Dasversetzt den Anlagenbetreiber in die Lage, notwendige Wartungsarbeiten vorzuziehen und Anlagenstillstände zu vermeiden.
Grundlage der Ventildiagnose ist das fortlaufende Sammeln
wichtiger regelungs- und ventilbezogener Daten im Stellungsregler. Dazu gehören beispielsweise die Aufnahme von vorgegebener und tatsächlicher Ventilstellung (Soll- und Istwert), das Aufsummieren durchfahrener Zyklen und das wiederholte Speicherndes Nullpunkts. Doch das alleinige Zusammentragen dieser statistischen Daten lässt noch keinen eindeutigen Rückschluss auf
den Stellventil-Zustand zu. Dieser ist erst nach Auswertung derDaten möglich. Viele der heute auf dem Markt verfügbaren Diagnosesysteme sind so aufgebaut, dass der volle Funktionsumfang
nur im Zusammenspiel mit einer externen Software zur Verfügung steht. Ein solcher Aufbau hat allerdings eine entscheidende
Schwäche: Die Daten, deren Auswertung und somit die Zustandsbeschreibung des Stellventils sind softwareabhängig und
erfordern zwingend eine Verbindung zu externen Systemen. Am
Stellungsregler selbst kann der Stellventil-Zustand teilweise eingeschränkt abgelesen werden. Anders bei Konzepten mit integrierter On-Board-Diagnose. Hier werden die Stellventildaten
nicht nur im Stellungsregler erfasst, sondern auch ausgewertet –wichtige Diagnosedaten und Funktionen sind im Feld verfügbar
und somit software- und kommunikationsunabhängig. SAMSON
hat auf dem Gebiet der integrierten Ventildiagnose mehr als ein
Jahrzehnt Erfahrung. Von Anfang an hat das Mess- und Regeltechnikunternehmen auf dezentrale Analysemöglichkeiten der
Messdaten gesetzt. Die heute in den Stellungsreglerbauarten
3730 und 3731 integrierte Ventildiagnose EXPERTplus überwacht das Stellventil über seinen gesamten Betriebszyklus, 24
Stunden am Tag, sieben Tage die Woche – und das ohne Beeinträchtigung des Regelverhaltens über den gesamten Lebenszyklus des Stellungsreglers. Die Diagnose kontrolliert die Inbetriebnahme, das Verhalten des Regelkreises und Grenzwertüberschreitungen. Mithilfe der Beobachterfunktionen kann EXPERTplus
Veränderungen der Reibungskräfte aufdecken, bleibende Regelabweichungen und Nullpunktabweichungen detektieren sowie
den Zustand der Ventilgarnitur bewerten.
Diagnoseinformationen nach dem Top-Down-Prinzip
In diagnosefähigen Stellungsreglern von SAMSON ist jedem
der möglicherweise auftretenden Stellventil-Fehlzuständen
10

einer von bis zu vier verschiedenen Stati zugeordnet. Der
Status des Geräts wird verdichtet in Form eines Sammelstatusangezeigt. Die flexible Statusklassifikation gestattet eine kundenspezifische Zuordnung der einzelnen Meldungen undsteht im Einklang mit der NAMUR-Empfehlung NE 107. Dem
Bediener ermöglicht sie eine einfache Ursachenforschung bei
Auftreten einer Fehlermeldung, angefangen von der groben
Eingrenzung der Ursache bis hin zum Detail. Zeigt der Stellungsregler beispielsweise die Fehlermeldung „Außerhalb
der Spezifikation“ an, dann können in einem ersten Schritt
alle Fehlzustände ausgeschlossen werden, die mit einem anderen Status klassifiziert wurden. Die Anzahl der möglichen
Ursachen reduziert sich damit. Nähere Informationen bieten
die Fehlercodes, die auch direkt am Stellungsregler angezeigt werden. Reicht die beschriebene Vor-Ort-Analyse nichtaus, geben Klartextmeldungen über die DTM oder EDDL detaillierte Auskunft über Art und Ort der Zustandsänderung,

Diagnosemeldungen: Anzeige und Klassifikation in der SAMSON-Bedien­
oberfläche TROVIS-VIEW

Moderne Ventildiagnose ermöglicht eine Rund-um-die-Uhr-Überwachungdes Stellventils und liefert wichtige Anhaltspunkte für mögliche Fehlerquellen

Hintergrundbild: Eric Middelkoop - fotolia.com

die die Fehlermeldung hervorgerufen hat. Außerdem unterstützen Diagrammdarstellungen anschaulich die Ursachenforschung.
Bei Anlagenstillstand oder sofern prozessbedingt zulässig,
bieten Testfunktionen einen tiefen Einblick in die Funktionstüchtigkeit des Stellventils. Beispielsweise hilft ein StellsignalTest beim Bewerten des Zuluftdrucks am Stellungsregler undliefert Informationen über mögliche Leckagen am Stellventil.
Einen hohen Stellenwert hat vor allem der Sprungantworttest,
der Auskunft über die dynamische Beweglichkeit des Ventils
gibt. Bei Absperrarmaturen, die lange Zeit in einer Stellung
verharren, schützt er zudem vor einem Festfressen der Kegelstange. Definierbare Testabbruchkriterien verhindern ungewollt heftige Bewegungen des Drosselkörpers oder ein ungewolltes Überschwingen. Alle Testresultate werden unabhängig
von der Testbedienbarkeit vor Ort im Stellungsregler abgelegt. Auch hier wird der NAMUR-Standard NE 107 berücksichtigt.

Zusatzausstattungen erhöht Sicherheit
Magnetventil, Positionsrückmelder und induktive Grenzkontakteerhöhen die Sicherheit bei Prozessen mit besonderen Anforderungen. Die genannten Bauteile können optional in den Stellungsregler integriert werden, wodurch die Zahl der mechanischen Schnittstellen minimiert wird und das Stellventil an Robustheit gewinnt. Bei SAMSON-Stellungsregler steht die
Philosophie der Fehlervermeidung an erster Stelle.

Stelldruck über Ventilstellung aufgetragen ergibt die Ventilsignatur zur Bewertung des Stellventils

Nahtlose Integration in Leitsysteme
Die Entwickler bei SAMSON haben mit den diagnosefähigen
Stellungsreglerbauarten 3730 und 3731 schon früh einen hohen Standard in der Vor-Ort-Bedienbarkeit gesetzt. Gleichermaßen wichtig ist aber auch die Einbindung des Stellungsreglers in ein vorhandenes Asset-Management-System. Geräteabhängig ist die Integration durch die Kommunikation über
HART®, PROFIBUS PA und FOUNDATION™ fieldbus gegeben.
SAMSON bietet auf Basis der Kommunikationsprotokolle alleStandardintegrationen wie z. B. EDDL und DTM. Auch hierzahlt es sich aus, dass die Ventildiagnose im Stellungsregler
integriert ist – entfällt doch ein Abgleich der externen Diagnosesoftware mit der Software des Leit- oder Asset-ManagementSystems. Umfangreiche Systemtests im SAMSON-eigenen Testlabor stellen die Interoperabilität jedes Stellungsreglertyps undjeder Firmware für die gängigen auf dem Markt verfügbaren
Integrationssysteme sicher.

Autoren:
Manuel Hinkelmann, Produktmanagement und -marketing
Stellungsregler und Ventildiagnose, SAMSON
Monika Schneider, Technische Redaktion, SAMSON
11

SAMSON AG · MESS- UND REGELTECHNIK · Weismüllerstraße 3 · 60314 Frankfurt am Main
Telefon: 069 4009-0 · Telefax: 069 4009-1507 · E-Mail: samson@samson.de · Internet: www.samson.de
SAMSON GROUP · www.samsongroup.net

2015-04 HD · WA 333 DE

Innovation aus Tradition