Innovative Control Technology

SPECIALE UITGAVE
Diagnose van regelventielen inveiligheidstechnische regelkringen
Een vergelijking van architecturen

Door:
Dr. Thomas Karte (SAMSON)
Bernd Schäfer (HIMA)

Speciale uitgave van Duits artikel
gepubliseerd in “atp edition”
6/2012

Speciale uitgave van Duits artikel “Diagnosefähige Aktorik in sicherheitsgerichteten Kreisen”
Gepubliseerd in “atp edition” 6/2012

Diagnose van regelventielen in veiligheidstechnische regelkringen
Een vergelijking van architecturen
Dr. Thomas Karte (SAMSON), Bernd Schäfer (HIMA)
Ter voorkoming van systematische fouten is het van groot belang om voor regelventielen in veiligheidstechnische regelkringen een
veiligheidscyclus overeenkomstig DIN EN 61511 en DIN EN 61508 in te voeren. Deze normen stellen heldere eisen aan procedures,
regelmatige controles, vastleggen en analyseren van de bevindingen en de maatregelen die eruit volgen. Deze eisen aan de organisatie zijn effectief te ondersteunen met instrumentatie volgens de laatste stand van de techniek. Op het gebied van regelventielen iseen opbouw met gangbare componenten mogelijk. Zo’n opbouw verhoogt niet alleen de automatiseringsgraad met name tijdens het
valideren, herhaaldelijk controleren en testen tijdens bedrijf, maar kan de installatie zelfs vereenvoudigen. Op basis van de eisen indeze normen stellen we in dit artikel geschikte architecturen voor en laten we zien hoe deze in de werkprocessen kunnen worden
ingepast.
TREFWOORDEN DIN EN 61511, Partial Stroke Test / herhaaldelijke controle / veiligheidscyclus / automatische test / regelventielen

Sinds enige jaren is er in de procesindustrie veel aandacht voor
Partial Stroke Testing (PST). Dat is een methode om regelventielen tijdens bedrijf te testen. Hierbij wordt het te regelen onderdeel over een beperkte afstand bewogen. Enerzijds is deze beweging genoeg om aan te tonen dat de regeling werkt, en aan
de andere kant is de beweging zo klein dat het lopende proces
niet wordt verstoord. Er zijn al langer vergelijkbare methodenbekend, waarbij een mechanische vergrendeling wordt gebruikt. De test wordt dan uitgevoerd door de stekker van het
magneetventiel handmatig los te trekken. Er zijn tegenwoordig
regelventielen beschikbaar die deze test automatisch uitvoeren.
Veel fabrikanten bieden deze mogelijkheid met name op hun
klepstandstellers. Dit wordt intussen als een volwassen technologie beschouwd. De zorgen die in het begin bestonden vanwege
bijvoorbeeld een overshoot van het ventiel, wat tot storing in het
proces kon leiden, zijn inmiddels weggenomen.
Ondanks deze technische vooruitgang en ondanks de potentieel grote voordelen, wordt online-testen nog maar weinig toegepast. De toepasbaarheid en het succes van de methode blijken af te hangen van de totale integratie in de installatie en inde arbeidsorganisatie, en niet alleen van de technische mogelijkheden van de speciale veldapparatuur (klepstandstellers). In
dit artikel wordt de stand van de techniek op deze punten besproken.
2

1. Toepassing
In [1] vindt u een goed overzicht van de eisen die gesteld worden aan test- en diagnoseprocedures in regelkringen die aanhoge veiligheidseisen moeten voldoen. In [2] wordt uitvoerig de
invloed beschreven die Partial Stroke Testing heeft op de beschikbaarheid (Probability of Failure on Demand – PFD). In [3]worden de test-en diagnosemethoden ingedeeld in categorieën. Het is opvallend dat in al deze artikelen het verband beschreven wordt tussen de testmethode en hoe vaak toevallige
fouten optreden. Het blijkt echter belangrijk te zijn het totale
eisenprofiel van DIN EN 61511 te begrijpen en daar de juiste
conclusies voor de toe te passen testmethode uit te trekken. In
de besprekingen en publicaties van de laatste jaren wordt juist
nadruk gelegd op de systematische fouten, met name op het
gebied van actuatoren en dus ook regelventielen [4, 9, 1]. De
norm maakt onderscheid tussen systematische en toevallige
fouten (afbeelding 1).
Men spreekt van een systematische fout als de oorzaak van een
fout - eventueel pas na het desbetreffende incident - duidelijk
vastgesteld kan worden en er maatregelen mogelijk zijn omdergelijke fouten op betrouwbare wijze te voorkomen. In het
geval van regelapparatuur gaat het hier bijvoorbeeld over dejuiste dimensionering, de geschiktheid voor gebruik (bestandAFBEELDING 1: Storingsoorzaken volgens [4]tegen de gebruikte media), druk en temperatuur en omgevingsomstandigheden [5]. De belangrijkste voorwaarde voor de beheersing van systematische fouten is het invoeren van een veiligheidscyclus (Functional Safety Management System – FSM).
In afbeelding 2 worden de eisen aan een gestructureerde aanpak verduidelijkt. Zo’n aanpak houdt in dat de verschillende
fasen systematisch worden doorlopen. De fases gaan van veiligheidsanalyse, vastleggen van de eisen, lay-out bepalen, gestructureerde invoering en validatie tot aan op een vastgelegdewijze gebruiken en onderhouden van de installatie. In [4] gaan
Götz e.a. dieper in op deze aspecten. Het is aannemelijk dat
als alle vereiste stappen worden gezet, het aantal systematische
fouten tot een minimum wordt beperkt. Figuur 1 laat zien dat
het restrisico - onvoorziene systematische fouten - wordt ingeperkt door drie mechanismen, namelijk:

ding indien nodig wordt gesloten of geopend. Door tijdens
bedrijf de werking van de regelventielen te testen, kan men
systematische fouten opsporen die tot dan toe nog niet ontdekt
waren. Een eenvoudig voorbeeld maakt dat duidelijk. Als het
ontwerp voor de aansturing van een regelventiel geen rekening
houdt met alle bedrijfsfasen, dan hoeven er tijdens de validatie(de werkingstest van het regelventiel) tijdens de droge test nog
geen fouten naar voren te komen. Deze fouten worden wel
ontdekt via een test tijdens bedrijf (partial stroke test). Deze laatbijvoorbeeld zien dat het ventiel tijdens een kritische bedrijfsfase vast blijft zitten, zoals bij gebruik van bepaalde media of
een onjuist ingeschatte druk.
Wij citeren hier even kort enkele eisen die voortkomen uit deveiligheidscyclus en die expliciet in de normen staan. Die eisen
een voortdurende gestructureerde aanpak, dat wil zeggen dat
overeenkomstig DIN EN 61511 hoofdstuk 15 en 16, VDI 2180-3
en VDI 2180-5 [6, 7, 8]:
Er reproduceerbare procedures moeten zijn gedefinieerd,
De procedures gedocumenteerd moeten zijn,
Testresultaten vastgelegd moeten worden, zowel als er een

fout optreedt, als wanneer alles probleemloos functioneert,De testresultaten geanalyseerd worden en dat er conclusies

uit getrokken worden voor mogelijke verbeteringen, de tests
rekening houden met alle bedrijfsfasen, en dat regelventielen
onder bedrijfscondities worden getest, met name onder volle
druk.


Diagnose of tests,

Fail-safe gedrag van de gebruikte apparatuur - als een compo-

nent uitvalt, dan komt deze in een veilige toestand,
Redundantie, bij voorkeur redundantie op verschillende ma-nieren.
Deze benadering toont zelfs zonder enige kansberekening alaan hoe belangrijk diagnoses en tests zijn, met name tijdens
bedrijf. Op basis van de veiligheidsanalyse worden veiligheidsregelkringen ingevoerd. In de meeste gevallen moeten de regelventielen in deze regelkringen ervoor zorgen dat een lei-

AFBEELDING 2: Veiligheidscyclus volgens DIN EN 61511-1
3

Speciale uitgave van Duits artikel “Diagnosefähige Aktorik in sicherheitsgerichteten Kreisen”
Gepubliseerd in “atp edition” 6/2012

Verklaring van de symbolen
BPCS

Basic process control system

Besturings- en bewakingsvoorzieningen als een
systeem (besturingssysteem)

DC

Diagnostic coverage

Dekkingsgraad van de diagnose

FMEDA

Failure modes, effects and diagnostic coverage analysis

Analyse van mogelijke fouten, effecten en diagnose

FSM

Functional safety management system

Managementsysteem voor de functionele veiligheid

HFT

Hardware fault tolerance

Foutentolerantie van de hardware (redundantie)

PFD

Probability of failure on demand

Waarschijnlijkheid dat een functie faalt als hij wordt
aangesproken

PST

Partial stroke testing

Testmethode met beperkte slag

SIS

Safety instrumented system

Veiligheidstechnisch systeem

TPr

Proof test intervall

Tijdsduur tussen de opvolgende tests

TPST

Partial stroke test intervall

Tijdsduur tussen twee PST-tests

λduFailure rate dangerous undetected

Frequentie van gevaarlijke onontdekte fouten

In de praktijk worden veiligheidsregelingen vaak functioneelgetest terwijl de installatie is uitgeschakeld. In dat geval wordt
in ieder geval niet aan de twee laatstgenoemde eisen voldaan.
De opsomming laat zien dat automatische tests veel beter in deverplichte veiligheidscyclus passen dan handmatige tests waarbij het resultaat door waarneming wordt vastgesteld. In VDI
2180-3, par. 2.2.3.2 [7] worden expliciet voorzieningen vereist
voor een automatische controle van de werking (bijvoorbeeld
controle van omlooptijd en stand, plausibiliteitscontrole, bewaking van stapgrootte en de tijd). De eisen aan de veiligheidsregelkring moeten worden gedefinieerd. Hieruit kunnen de eisen
aan het regelventiel worden afgeleid. Deze eisen zijn in principe:De responstijd: binnen hoeveel tijd, gerekend vanaf het aan-spreken van de veiligheidsfunctie, moet het regelventiel in debedoelde stand staan? Wat is de toegestane lek van het regelventiel of hoe groot moet de doorstroomopening zijn?
Hieruit kunnen de eisen aan de exacte positie worden afgeleid.

Welke aandrijfkracht of welk koppel moet gebruikt worden?
Hoe groot moet de reserve zijn zodat zeker is dat alle bedrijfscondities en alle wijzigingsprocessen beheerst kunnen
worden?
4

Bij speciale toepassingen kunnen er nog aanvullende eisen van
toepassing zijn [5, 8]. De dekkingsgraad van de diagnose- en
testprocedures (diagnostic coverage, proof test coverage) moet
beoordeeld worden overeenkomstig de gestelde eisen. Hiervoor kan bijvoorbeeld een FMEDA (failure modes, effects anddiagnostic coverage analysis) worden gebruikt.
Op het gebied van sensoren is een interessante trend te zien.
Men poogt tegenwoordig de dekkingsgraad van de tests teverhogen door binaire sensoren (bijvoorbeeld aan/uit-schakelaars voor het peil, de temperatuur of het debiet) te vervangendoor analoge sensoren. Een analoog signaal is nu eenmaal
beter geschikt voor een plausibiliteitstest. Bij zo’n test wordt immers bijvoorbeeld de ruis geanalyseerd of wordt er een verband gelegd met elders gemeten proceswaarden. Op het gebied van actuatoren zou dat betekenen dat er een analoge
standmelder wordt ingezet die de stand continu meet over degehele slag. Deze komt dan in de plaats van de tot nu toe gebruikelijke inductieve eindschakelaar. In de huidige praktijk
wordt dat voor zover de auteurs weten, slechts zelden toegepast.
Voor de volgende fases uit de veiligheidscyclus zijn geautomatiseerde testprocedures beschikbaar:
Validatie tijdens de ingebruikname en een herhaling van detests tijdens bedrijf.

Test bij geplande, maar vooral ook
Bij ongeplande uitschakeling

Er moet niet alleen met systematische fouten rekening worden
gehouden, maar ook met toevallige fouten. Bij mechanischesystemen is de oorzaak van een storing meestal vast te stellen.
Als consequentie hiervan kan het ontwerp of de werkprocedure
worden aangepast. Het gaat dus meestal om systematische
fouten en toevallige fouten spelen daarom in mechanische systemen een veel minder belangrijke rol. In [9] bijvoorbeeld wordt
deze vaststelling uitvoerig onderbouwd. De norm [6] vereist dat
diagnose, fail-safe gedrag en redundantie ook voor toevallige
fouten worden toegepast. De norm vereist ook dat de betrouwbaarheid wiskundig (statistisch) wordt aangetoond.
Volgens [6] wordt de faalkans (PFD) uitgerekend met de volgende vergelijking:Formule 1: PFD = ½ ∙ λdu ∙ TPR
Als een test, bijvoorbeeld PST, vaker wordt uitgevoerd dan de“proof-test”, dan wordt PFD uitgerekend met
Formule 2: PFD = ½ · λdu · (1–DC) · TPR + ½ · λdu · DC · TPST
De diagnose- en testprocedures zijn dus direct van invloed op
de uitkomst. Men kan daardoor nastreven om de testfrequentie
te verlagen door de diagnosefrequentie te verhogen. Dit lijkt
voor veel toepassingen een realistische benadering. De consequenties hiervan moeten echter per geval geanalyseerd worden. De tijd tussen twee volledige tests blijkt bij een testdekking
van 50 % ongeveer te verdubbelen. Dit is gunstig want bij een
volledige test moet de installatie worden uitgeschakeld. Nadere
beschouwingen vindt u in [2, 11, 12]. Deze wiskundig bepaalde
waarde is echter alleen geldig als de foutfrequentie constant is.
Als de foutfrequentie in de beschouwde periode toeneemt, bijvoorbeeld door slijtage of veroudering, dan is dat maatgevend.
Als er bijvoorbeeld een ononderbroken looptijd van vijf jaar
vereist is, dan is het wiskundig eenvoudig aan te tonen dat dezelooptijd haalbaar is als de foutfrequentie laag genoeg is. Er
moet rekening mee worden gehouden dat door procesinvloe-den, veroudering, slijtage of andere oorzaken de foutfrequentie
niet zo contant is als werd aangenomen.
De statistische gegevens moeten in dit verband voorzichtig worden gebruikt. In geen van de publicaties die de auteurs kennen,
wordt voor de berekening van de faalkans (PFD) een gevoeligheidsberekening gemaakt. De gevoeligheid voor afwijkingenvan de berekende kans wordt dus niet onderzocht. Dit kan leiden tot een onterecht vertrouwen in de berekende waarden. In[10] wordt bijvoorbeeld aangetoond dat de specificaties voor
elektronische componenten soms meer dan een factor 10 van
elkaar verschillen in verschillende databases.
2. Eisen aan de workflow
Regelventielen hebben allerlei diagnosemogelijkheden. Het potentiële voordeel voor de gebruiker wordt echter niet bepaald
door de mogelijkheden van de apparatuur, maar door devraag of deze diagnose ingebouwd kan worden in het dagelijkse gebruik.
Hieronder volgt een kort overzicht van de mogelijkheden vanregelventielen op basis van de gebruikte klepstandstellers ofintelligente eindschakelaars. Afbeelding 3 toont grafisch de geautomatiseerde test voor de volledige slag. De apparatuur kan
dergelijke metingen lokaal uitvoeren, vastleggen en evalueren[11, 12]. Afbeelding 4 toont twee mogelijke configuraties: links
een automatische klep met magneetventiel en inductieve eindschakelaar en rechts een kogelklep met elektronische eindschakelaar volgens de laatste stand van de techniek. Met behulp
van de ingebouwde stand- en drukmeting worden de parameters dode tijd, omlooptijd, exacte eindpositie en benodigde
aandrijfkracht bepaald. De resultaten zijn af te lezen uit het
tijd-wegdiagram. In de klepstandsteller worden hieruit echterook de karakteristieke tijden of waarden bepaald. Uit het stickslip-effect kan bovendien de wrijving worden afgeleid. Een
aandrijving met een hoge wrijving laat in het tijd-weg-diagram
een schoksgewijs effect zien.
Als we al deze meetwaarden vergelijken met de eisen uit denorm, dan blijkt dat de juiste werking van het regelventiel in deveiligheidsregelkring volledig beoordeeld kan worden. De precieze de dekkingsgraad van de diagnose en test moet in detail
worden vastgelegd. Dit kan worden gedaan door de mogelijke foutoorzaken die uit de risicoanalyse komen, tegenover dediagnosemogelijkheden van de veldapparatuur te plaatsen.
5Speciale uitgave van Duits artikel “Diagnosefähige Aktorik in sicherheitsgerichteten Kreisen”
Gepubliseerd in “atp edition” 6/2012

AFBEELDING 3: Test volle slag

Op deze manier is probleemloos vast te stellen of het regelventiel kan bewegen en of de eind- of tussenpositie precies bereikt
wordt. Er zijn eventueel alleen nog aanvullende metingen nodig als er hoge eisen gesteld worden aan de lekdichtheid.
Met de uitvoering van een enkele test, is deze methodiek ech-

AFBEELDING 4: Configuraties (links: magneetventiel en eindschakelaar
separaat; rechts: laatste stand van de techniek, eindschakelaar met ingebouwd magneetventiel)
6

ter nog niet in de werkprocedures opgenomen. In tabel 1
wordt een overzicht gegeven van alle stappen die gezet moeten worden. Het is bijzonder belangrijk dat de tests niet alleen
automatisch worden uitgevoerd, maar ook dat de resultaten
kunnen worden vastgelegd en bewaard. Er moet een databasebeschikbaar zijn waarin de resultaten van alle tests kunnen
worden opgeslagen. De archivering is van belang, maar ook
de juiste evaluatie van de gegevens. De resultaten van afzonderlijke tests moeten worden geëvalueerd maar er moeten ook
trends worden bepaald. Dit kan alleen als meerdere tests tegelijk worden beschouwd, eventueel zelfs in relatie tot andere
proceswaarden. In tabel 1 zijn verticaal alle noodzakelijke
stappen opgesomd. In de horizontale richting wordt een voorstel gepresenteerd voor de taakverdeling tussen de klepstandsteller en het asset-managementsysteem. Over de precieze
taakverdeling valt natuurlijk te twisten, maar het blijkt in ieder
geval dat er een overkoepelend systeem nodig is met meer
mogelijkheden dan een klepstandsteller.
3. Architectuur van een veiligheidsregelkring
Als we ervan uitgaan dat de klepstandsteller geschikt is voor
PST, dan ziet de configuratie van een regelventiel eruit zoals
weergegeven in afbeelding 5 A en opgesomd in tabel 2. Traditioneel is de veiligheidsregelkring uitgerust met een magneetventiel voor het sluiten en een eindschakelaar als standmelder.
De PST-functionaliteit wordt bereikt met een klepstandsteller die
pneumatisch voor het magneetventiel is geschakeld. De test
wordt lokaal via de klepstandsteller geactiveerd. De meetgegevens en de afgeleide resultaten worden via het HART®-protocol
verstuurd naar het overkoepelende asset-managementsysteem.
Het HART®-protocol kan bijvoorbeeld worden aangesloten via
geschikte gangbare scheidingsversterkers (zie bijvoorbeeld [13,14]). Deze configuratie werd en wordt nog steeds toegepast inde praktijk. Het is zonder meer een geschikte oplossing, zeker
als de test ter plaatse door de operators wordt uitgevoerd. Voor
grote installaties met veel regelventielen en met beperkt onderhoudspersoneel gaat het zwaarder meetellen dat er veel testinspanning nodig is. Er zijn verschillende andere configuraties
mogelijk. De gunstigste oplossing wordt getoond in afbeelding
5 B. Er wordt afgezien van het magneetventiel en de klepstandsteller wordt zowel ingezet voor de veiligheidsfunctie als voor
het automatisch testen.

Stappen PST

Klepstandsteller

Asset management

Opstarten

Handmatig/automatischHandmatig/automatisch

Uitvoeren

Ramp/staprespons

Real-time meetresultaten

Tijd-wegdiagram, kengetallen

Resultaten uit
veldapparatuur uitlezen

Tijd-wegdiagram, kengetallen

Tijd-wegdiagram, kengetallen

Resultaten opslaan

Tijd-wegdiagram, kengetallen

Tijd-wegdiagram, kengetallen

Lokale diagnose

Diagnose, koppeling met
procesgegevens

Lokaal alarmen genereren

Alarmen genereren en relatie
leggen met procesgegevens

AannameReal-time
gegevensoverdracht

Stappen nabewerking
Evaluatie van een test
Alarmen genereren
Archiveren

Lange-termijnopslag
in de database

Trend oververschillende tests

Afzonderlijk meetwaarde
vergelijken tussen meerdere tests,
diagnose, alarmen genereren

TABEL 1: Workflow Partial Stroke Test (PST)

De klepstandsteller moet hier wel geschikt voor zijn overeenkomstig DIN EN 61508 respectievelijk 61511. Er zijn geschikte
regelventielen beschikbaar. In deze configuratie is veel minder
bekabeling nodig. Bovendien wordt de diepgang van de test
vergroot. Er wordt immers maar één pneumatische eenheid
toegepast die ook de test uitvoert.
De klepstandsteller is via 4-20 mA direct aangesloten aan deveiligheids-PLC. Er zijn output-kaarten op de markt met de juiste certificaten.

Het HART®-protocol wordt vanaf de scheidingsversterker via
de veiligheids-PLC doorgestuurd, zonder dat daarvoor extra
aansluitkabels nodig zijn. In de praktijk is er meestal toch aleen ethernetverbinding tussen de PLC en het besturingssysteem (Basic Process Control System – BPCS). Deze wordt ook
gebruikt om het HART®-protocol door te sturen naar het asset-managementsysteem. Afbeelding 6 toont schematisch deverbindingen. Het bijzondere van deze architectuur is de parallelle, gelijktijdige werking van de HART®-communicatie.
Deze gelijktijdigheid levert een grote tijdsbesparing op ten

opzichte van de seriële werkwijze met een multiplexer. De
communicatie kan gericht worden ingeperkt. Hierdoor kunnen de testresultaten uit de veldapparatuur worden gelezen
terwijl zeker is dat de functionaliteit niet wordt gewijzigd
door foutieve instellingen.
Met de voorkeursoplossing uit afbeelding 5 B is het mogelijk
om de diagnosegegevens uit te lezen. Tegelijkertijd wordt op
betrouwbare wijze verhinderd dat de veldapparatuur foutief
wordt geconfigureerd. Deze oplossing heeft de voorkeur gekregen op basis van de volgende criteria.

De klepstandsteller wordt aangestuurd met standaardsignalen:+20 mA aangeven normaal bedrijf – eindstand+12 mA aangeven start test
+4 mA aangeven afsluiten vanwege de veiligheid.
Er zijn klepstandstellers verkrijgbaar met een certificaat voor
betrouwbaar afsluiten bij 4 mA (in plaats van 0 mA).

Ook tijdens het uitvoeren van de test blijft afsluiten vanwege
7

Speciale uitgave van Duits artikel “Diagnosefähige Aktorik in sicherheitsgerichteten Kreisen”
Gepubliseerd in “atp edition” 6/2012

Oplossing A

Oplossing B

positieve invloed op de nauwkeurigheid van de metingen enzorgt daardoor voor een hoge dekkingsgraad van de diagnose.

De bediening is opgenomen in het veiligheidstechnische besturingssysteem. Daardoor is het mogelijk om met eenvoudige middelen een gestandaardiseerde set regels te bewaren
voor het vergrendelen en ontgrendelen van veiligheidsregelkringen.

De afgelegde weg wordt analoog teruggemeld. Hierdoor iser minder bekabeling nodig dan bij een oplossing met twee
eindschakelaars. Bovendien is de meetnauwkeurigheid hoger
en zijn de diagnosemogelijkheden beter. Grote kleppen stellen hogere eisen aan de persluchtcapaciteit van de aansturende componenten. In dat geval kan een analoge pneumatische booster geplaatst worden in de leiding tussen de klepstandsteller en de aandrijving (gestippeld weergegeven inafbeelding 5 B). Ook hiervoor is inmiddels gecertificeerde
apparatuur op de markt
Er zijn hier enige opmerkingen op hun plaats over de andere
oplossingen:
In afbeelding 5 C bevindt de gehele testfunctionaliteit zich in

Oplossing C

Oplossing D

de veiligheids-PLC. De pneumatische aandrijving wordt uitsluitend via het magneetventiel aangestuurd. De regelkringvoor de test wordt gesloten via een analoge stand-transmitter.
Er is een druktransmitter voorzien die de aandrijfdruk meeten die ervoor zorgt dat de diagnosediepgang vergelijkbaar

AFBEELDING 5: Mogelijke architecturen veiligheidsregelkring Oplossing A (linksboven), oplossing B (rechtsboven), oplossing C(linksonder) en oplossing D (rechtsonder)

de veiligheid mogelijk. De klepstandsteller geeft namelijk
voorrang aan het afsluiten.

De klepstandsteller voert de test lokaal uit op basis van een
extern signaal. Hierdoor is een hoge regelnauwkeurigheid
mogelijk voor de gewenste slag.
De gegevens zoals getoond in afbeelding 3, worden lokaal
opgenomen en bewaard. Door deze werkwijze wordt een
sampling rate in de ordegrootte van milliseconden mogelijk(bijvoorbeeld voor de stand of de aandrijfdruk). Dit heeft een
8

AFBEELDING 6: Tunneling van HART-signalen

Oplossing A

Oplossing B

Oplossing C

Oplossing D

Veiligheidstechnischeaansturing

Magneetventiel

Klepstandsteller

Magneetventiel

Magneetventiel

Partial Stroke Testing (PST)

Klepstandsteller

Klepstandsteller

Magneetventiel

Magneetventiel

Terugmelding
afgelegde weg

Eindschakelaar

Eindschakelaar,alternatief transmitter

Eindschakelaar,alternatief transmitter

Eindschakelaar

Drummeting aandrijving

Klepstandsteller

Klepstandsteller

Optioneel transmitter

Test van de pneumatiek

nee

ja

ja

ja

TABEL 2: Vergelijking van de architecturen zoals voorgesteld in afbeelding 5

is met die in variant B. Deze configuratie heeft het voordeel
dat alle regels voor de test en de evaluatie zich in de PLC
bevinden. Ze kunnen daardoor gecertificeerd worden. Het
nadeel is de lagere sampling rate. Bij moderne systemen kan
die echter, afhankelijk van de uitvoering, lager zijn dan 100
ms. De sampling rate is van belang voor de regelnauwkeurigheid van de test (overshoot) en voor de nauwkeurigheid vande diagnose. Configuratie C is daarom vooral geschikt voor
grote kleppen met een omlooptijd van meer dan 5 seconden.

De configuratie uit afbeelding 5 B is ook bruikbaar in het
minder gebruikelijke geval dat de regelklep ook gebruik wordt
voor het afsluiten vanwege de veiligheid. Men ziet dit gemeenschappelijke gebruik vooral in installaties in Duitsland en
de rest van Europa. De bijbehorende veiligheidstechnische
aspecten worden geanalyseerd in [15]. Traditioneel wordt indergelijke gevallen een klepstandsteller ingezet die aangestuurd wordt door de BPCS en een magneetventiel dat aangestuurd wordt door de PLC. Er zijn twee leidingen in het veld
nodig. Er is aan de hand van de afbeelding ook een zeer
elegante eenvoudige oplossing denkbaar. Er wordt een klepstandsteller ingezet voor de regeling, het afsluiten en de test.
De steller wordt uitsluitend door de PLC aangestuurd. Het benodigde regelalgoritme moet in de SIS worden vastgelegd.
Dit wordt bijvoorbeeld gebruikt op het gebied van turbo-machineregelingen bij overstortventielen of bij burner-management in brandstofregelingen. De PLC is via ethernet verbonden met de BPCS en ontvangt van de BPCS tijdens normaal
bedrijf de opdrachten. Er zijn tegenwoordig applicaties op demarkt die de beschikbare systeemtechniek ondersteunen (bijvoorbeeld het Himax-systeem met de Flexsilon-library).

In afbeelding 5 D staat een variant die geheel gebaseerd is

op de traditionele signalen (een NAMUR-signaal voor deeindschakelaar conform IEC 60947-5-6 of 24 Volt voor deaansturing van het magneetventiel). Hier wordt een apparaat
toegepast dat de functies van de eindschakelaar en het magneetventiel combineert. Het apparaat is echter geschikt voor
diagnose omdat de afgelegde weg analoog wordt gemetenen er een microprocessor aanwezig is. Hierbij kan de reeds
aanwezige bekabeling worden gebruikt. Tegenover dit voordeel staat echter het nadeel dat er geen communicatie mogelijk is. Daar bestaat geen standaardprotocol voor bij dezesignaaloverdracht. Het resultaat van de interne diagnose (bijvoorbeeld een niet-succesvolle PST) kan via een digitale uitgang (NAMUR-signaal) naar het overkoepelende systeem
worden gestuurd (zie ook [16]).
In tabel 2 worden de verschillende architecturen kort met elkaar
vergeleken. Voor alle oplossingen worden gangbare componenten toegepast die ook buiten de veiligheidsregelkringen
worden gebruikt. Hiermee wordt voldaan aan de uitdrukkelijke
wens van de gebruikers om componenten toe te passen diezich in praktijk hebben bewezen [17]. In dit artikel wordt speciale leverancierspecifieke apparatuur met de bijbehorende architectuur en bedrading buiten beschouwing gelaten. Het
HART®-protocol kan desgewenst worden vervangen door een
ander veldbus-protocol, zoals bijvoorbeeld Profibus of Foundation Fieldbus. Naar de huidige stand van de techniek moet deveiligheidsrelevante signalen nog wel via discrete bekabelingworden doorgegeven.

9Speciale uitgave van Duits artikel “Diagnosefähige Aktorik in sicherheitsgerichteten Kreisen”
Gepubliseerd in “atp edition” 6/2012

4. Inpassing in de werkprocessen
In tabel 1 staan de noodzakelijke stappen. De eerste ervaringen leren dat tests van individuele regelventielen probleemloos
uitgevoerd kunnen worden en bruikbare resultaten opleveren
Als er echter regelmatig veel apparaten in een grote installatie
getest moeten worden, dan treden er in essentie de volgende
problemen op:
De capaciteit van de gegevensoverdracht voor de lokaal op-

geslagen testresultaten is onvoldoende. Het lijkt bij de huidige
stand van de techniek niet mogelijk om dagelijks of zelfs wekelijks alle gegevens uit te lezen uit een groot aantal regelventielen. De beperking zit niet zozeer in het overdrachtsprotocol (HART®-protocol), maar eerder in de totale architectuur
van het besturingssysteem. De gegevensoverdracht die nodig
is voor het proces, heeft natuurlijk prioriteit over de diagnosegegevens.

Evaluatiemogelijkheden: verschillende leveranciers bieden
asset-managementsystemen aan. Deze kunnen een set diagnosegegevens uit de regelventielen uitlezen en deze opslaan.
Er zijn echter nog onvoldoende mogelijkheden om uit een set
gegevens een afzonderlijke meetwaarde apart te beschouwen en deze met een vrij algoritme te koppelen aan andere
meetwaarden. Het kan bijvoorbeeld nodig zijn om de historie
van een meetwaarde (bijvoorbeeld de nulpositie van een
ventiel) weer te geven. Deze gegevens zijn afkomstig uit verschillende tests. Het is in praktijk ook niet mogelijk een waarde te koppelen aan proceswaarden uit andere veldapparatuur, bijvoorbeeld voor een plausibiliteitscontrole van de ventielbewegingen tegenover de doorstroom. Tabel 1 geeft een
samenvatting van de stappen en de mogelijke taakverdelingtussen veldapparatuur en asset-managementsysteem. Het
werkterrein van de veldapparatuur bestaat uit de snelle gegevensverzameling en de lokale regeling. De verwerkingssnelheid wordt begrensd door het energieverbruik. Daardoor
is ook de opslagcapaciteit beperkt. Het is daarom zinvol om
een overkoepelend systeem in te zetten voor de gegevensopslag op lange termijn, het berekenen van trends en het samenstellen van complexe alarmen. Dit is ook de plaats waar
gegevens uit verschillende veldapparatuur samenkomen en
in samenhang kunnen worden geëvalueerd.

10

5. Samenvatting
Voor de veiligheidstechnische beschikbaarheid van veldapparatuur in veiligheidsregelkringen, met name als de apparatuurin direct contact komt met het procesmedium, is het van doorslaggevend belang dat ook de systematische fouten worden
behandeld. De noodzakelijke invoering van een veiligheidscyclus kan door moderne veldapparatuur worden ondersteund.
Het is met de laatste stand van de techniek op het gebied vanregelventielen en veiligheidstechnische regelingen inmiddels
mogelijk geworden om een effectieve en tegelijkertijd eenvoudige architectuur te realiseren die is opgebouwd uit gangbare
componenten. Op het gebied van asset-management moeten
de overdrachtssnelheid en de functionaliteit verder ontwikkeld
worden, zodat de diagnosehulpmiddelen in de veldapparatuur
volledig tot hun recht komen. Het lijkt daarbij van belang dat deproducenten en de gebruikers samenwerken in geselecteerde
proefprojecten.

UITGAVEDATUM
14-03-2012
Via Peer-Review goedgekeurd

Referenties[1]. Rogiers, I.: using a „Smart“ Partial Stroke Test Device on SIS Loop
On/Off Valves: Adding Value or Adding Cost? P4039,
Valve World 2004. KCI Publishing bV[2]. Börcsök, J., Schrörs, B., Holub, P.: Reduzierung der
Ausfallwahrscheinlichkeit und Verlängerung des Proof-Test-Intervalls
durch Einsatz von Partial-Stroke-Tests am Beispiel von Stellgeräten.
atp edition – Automatisierungstechnische Praxis 50(11), 2008[3]. McCrea-Steele, R.: Partial Stroke Testing The Good, the Bad and the
Ugly. TuEV 7th International Symposium on Safety, 2006[4]. Götz, A., Hildebrandt, A., Karte, T., Schäfer, B., Ströbl, J.:
Realisierung von Schutzeinrichtungen in der Prozessindustrie – SIL in derPraxis“. atp edition – Automatisierungstechnische Praxis 50(8), 2008[5]. Samson Ag: Handbuch „Funktionale Sicherheit für Stellventile,
Drehkegelventile, Kugelhähne und Stellklappen. WA 236[6]. DIN EN 61511-1 und DIN EN 61511-2: Funktionale Sicherheit –Sicherheitstechnische Systeme für die Prozessindustrie – Teil 1 und 2.
Mai 2005[7]. VDI 2180-3: Sicherung von Anlagen der Verfahrenstechnik mit
Mitteln der Prozessleittechnik (PLT) – Anlagenplanung, -errichtung und-betrieb. April 2007[8]. VDI 2180-5: Sicherung von Anlagen der Verfahrenstechnik mit
Mitteln der Prozessleittechnik (PLT) – Empfehlungen zur Umsetzung in die
Praxis. Mai 2010[10]. Smith, D.: Reliability, Maintainability and Risk. Elsevier ButterworthHeinemann, Burlington, MA 01803, Sixth edition 2001[11]. Karte, T. und Kiesbauer, J.: Diagnosefähige Ventilstellungsregler undihre Anwendung in sicherheitsgerichteten Kreisen. Industriearmaturen,
Heft 3, 2008 (September)[12]. Samson Ag: Handbuch Applikationshinweise fürsicherheitsgerichtete Kreise. WA 239[13]. P+F Datenblatt: Ventilsteuerbaustein KFD2-RI-Ex1.
Ausgabedatum 2010-04-13. Druckschrift 216568_gEr.xml[14]. P+F Datenblatt: hArT Loop Converter KFD2-hLC-Ex1.D.
Ausgabedatum 2011-01- 26. Druckschrift 198804_gEr.xml[15]. Gabriel, T., Litz, L., Schrörs, B.: Nutzung von SIS-Armaturen fürLeitsystemfunktionen – Rahmenbedingungen für die Ausführung vonbPCS-Funktionen. atp edition – Automatisierungstechnische Praxis 52(3),2010.
[16]. Karte, T. und Kiesbauer, J.: Intelligenter Grenzsignalgeber für Auf/
Zu-Armaturen in der Prozesstechnik.
atp edition – Automatisierungstechnische Praxis 51(5), 2009.
[17]. Hablawetz, D., Matalla, N. und Adam, G.: IEC 61511 in derPraxis – Erfahrungen eines Anlagenbetreibers.
atp edition – Automatisierungstechnische Praxis 49(10), 2007[9]. Hildebrandt, A.: SIL-bewertung von Mechanik –Versagenswahrscheinlichkeit mechanischer Komponenten.
atp edition– Automatisierungstechnische Praxis 53(1–2), 2011

Appendix
Dr. rer. nat. THOMAS KARTE (geb. 1955) houdt
zich voor Samson AG in Frankfurt/Main bezig
met toepassingsmogelijkheid vanelektropneumatische apparatuur. Hij is lid van FA
6.13 “Engineering van veiligheidssystemen”van de
VDI/VDE-GMA en van DKE GK 914 “Functionele
veiligheid”
SAMSON AKTIENGESELLSCHAFT
MESS- UND REGELTECHNIK
Weismüllerstraße 3, D-60314 Frankfurt am Main
Tel. +49 (0) 69 40 09 20 86,
E-mail: tkarte@samson.de

Dipl.-Ing. (FH) BERND SCHÄFER (geb. 1967) werkt
sinds 1996 bij Hima, in eerste instantie als
projectmanager. Sinds 2004 is hij productmanager
op het gebied van OPC- en SCADA-producten.
Bovendien vallen speciale toepassingen in zijn
aandachtsgebied zoals bijvoorbeeld assetmanagement- en OTS - (Operator Training
Simulator) oplossingen. Hij is lid van de PLCopen
werkgroep voor het thema “OPC UA
Informatiemodell”
Hima Paul Hildebrandt GbmH & Co KG,
Albert-Bassermann-Str. 28, D-68782 Brühl bei
Mannheim, Tel. +49 (0) 6202 70 94 53,
E-mail: b.schaefer@hima.com
11

SAMSON REGELTECHNIEK · Signaalrood 10 · 2718 SH Zoetermeer · Nederland
Tel: +31 79 361 0501 · Fax: +31 79 361 59 30
Email: info@samson-regeltechniek.nl · Internet: www.samson-regeltechniek.nl
SAMSON GROUP · www.samsongroup.net

2013-11 CC · WA 284 NL

Waar innovatie een gewoonte is