Grundlegende Konzepte von Sicherheitsinstrumenten sowie Prinzipien der Konfiguration

Thread Content

1. Das Sicherheitsinstrumentiersystem (SIS) ist ein Instrumentiersystem, das eine oder mehrere Sicherheitsfunktionen erfüllt und aus Messinstrumenten, Logikcontrollern, Endkomponenten sowie zugehöriger Software besteht. Als System umfasst es außerdem Kommunikationsanschlüsse und eine Mensch-Maschine-Schnittstelle. Das System weist ein fehlersicheres Design auf. 2. Sicherheitsinstrumentenfunktion (SIF) sind Sicherungsfunktionen oder Sicherheitssteuerfunktionen, die zur Verhinderung oder Verringerung von Gefahrenereignissen oder zur Aufrechterhaltung eines sicheren Prozesszustands mithilfe von Messgeräten, Logikcontrollern, Endkomponenten sowie zugehöriger Software realisiert werden. 3. Risiken, Sicherheitsrisiken: Erwartete, möglicherweise einsetzende spezifische Gefahrenereignisse und deren Folgen. Sicherheit: Einfach ausgedrückt, ist ein akzeptabler Risikolevel gleichbedeutend mit Sicherheit. 4. Sicherheitsintegrität, Sicherheitsintegritätsgrad (SIL): Sicherheitsintegrität: Die durchschnittliche Wahrscheinlichkeit, dass das SIS unter den vorgegebenen Bedingungen und innerhalb der festgelegten Zeit die SIF erfüllt. Sicherheitsintegritätsstufe (SIL): Die Stufe der Sicherheitsfunktionen, von niedrig bis hoch SIL1–SIL4. Diese Norm verlangt, dass bei der Verteilung der Sicherheitsfunktionen das höchste Sicherheitsintegritätsniveau SIL3 erreicht wird. Betriebsmodus mit geringen Anforderungen: SIL1 bedeutet eine durchschnittliche Ausfallwahrscheinlichkeit von 10-1 bis 10-2 pro Jahr. SIL2 bedeutet eine durchschnittliche Ausfallwahrscheinlichkeit von 10-2 bis 10-3 pro Jahr. SIL3 bedeutet eine durchschnittliche Ausfallwahrscheinlichkeit von 10-3 bis 10-4 pro Jahr. Inhalt der SIL-Bewertung: 1) Bestimmung des SIL-Werts für jeden SIF. 2) Festlegung der Anforderungen an Diagnose, Wartung und Testung, einschließlich der Zeitabstände zwischen den Tests. 5. Das Grundprozesssteuerungssystem (BPCS) reagiert auf Messwerte des Prozesses sowie auf Eingangssignale anderer Geräte, Instrumente, Steuerungssysteme oder Bediener. Anhand von Regeln, Algorithmen und Verfahren der Prozesssteuerung erzeugt es Ausgangssignale, um den Prozess sowie den Betrieb der damit verbundenen Geräte zu steuern. (Umverständnis bedeutet Steuerungssysteme außerhalb des SIS, Systeme, die keine SIF ausführen.) 6. Schutzschicht: Maßnahmen zur Risikominderung durch Prävention, Kontrolle und Verlangsamung. Sicherheitslebenszyklus: Der gesamte Prozess von der Planung des Projekts bis zum Stilllegen aller sicherheitstechnischen Funktionen. In drei Phasen: 1) Die Phase der Konstruktionsplanung, von der ersten Idee bis zur fertigen detaillierten Konstruktion. Im Bereich der Prozesssteuerung wechselt die Rolle der Teilnehmer von der eines Beteiligten vor der Erstellung und Prüfung der SIL-Bewertung zur einer führenden Rolle danach. 2) Integrations- und Abnahmetestsphase, mit dem Integrator in der Hauptrolle. 3) In der Phase der Betriebs- und Wartung ist die Fachabteilung für Automatisierung des Eigentümers entscheidend. III. Messgeräte
Messgeräte umfassen zwei Arten von Geräten: analoge und digitale Geräte.

1. Allgemeine Vorgaben
● Es sollten intelligente Sender mit einem Signalstrom von 4–20 mA + HART verwendet werden.
● In Bereichen mit Explosionsgefahr sollten vorrangig explosionsgeschützte Geräte eingesetzt werden.
● Der Schutzgrad der vor Ort installierten Messgeräte sollte mindestens IP65 betragen.
● Messgeräte sowie die Stellen, an denen die Messwerte abgenommen werden, sollten getrennt voneinander angeordnet werden.
● Als Eingangssignale für das SIS sollten weder Feldbussysteme noch andere Kommunikationsmethoden verwendet werden.

2. Prinzipien der getrennten bzw. redundanten Anordnung der Messgeräte
● Für SIL1-Sicherheitsanforderungen können die Messgeräte gemeinsam mit dem BPCS verwendet werden; es kann auch ein einziges Messgerät genutzt werden.
● Für SIL2-Sicherheitsanforderungen sollten die Messgeräte getrennt vom BPCS angeordnet werden; es sollten redundante Messgeräte verwendet werden.
● Für SIL3-Sicherheitsanforderungen müssen die Messgeräte unbedingt getrennt vom BPCS angeordnet werden; es müssen redundante Messgeräte verwendet werden.

3. Redundanzkonzepte
● Wenn das System eine hohe Sicherheit erfordert, sollte eine „Oder“-Logikstruktur verwendet werden.
● Wenn das System eine hohe Verfügbarkeit erfordert, sollte eine „Und“-Logikstruktur verwendet werden.
● Wenn das System sowohl hohe Sicherheit als auch hohe Verfügbarkeit erfordert, sollte eine Drei-zu-zwei-Logikstruktur verwendet werden.

IV. Endkomponenten
Endkomponenten umfassen Steuerventile (Regelventile, Absperrventile), Elektromagnete, Motoren usw.

1. Allgemeine Vorgaben
● Es sollten pneumatische Steuerventile verwendet werden; elektrische Steuerventile sind nicht geeignet.
● Wenn pneumatische Steuerventile zur Erfüllung der Sicherheitsanforderungen verwendet werden, sollte das SIS Vorrang haben. Das bedeutet, dass der Elektromagnet am Regelventil zwischen dem Positionierer und dem Aktuator angebracht werden muss, während der Elektromagnet am Absperrventil direkt am Aktuator angebracht werden muss. Die Stromversorgung für die Elektromagneten sollte vom SIS bereitgestellt werden. Für pneumatische Steuerventile sind Ausführungen mit Federbelastung und einem Zylinder vorzuziehen. Wenn mehrere Zylinder verwendet werden, sollten Luftspeicher oder spezielle Leitungen für das Steuergas vorhanden sein. In Bereichen mit Explosionsgefahr sollten vorrangig explosionsgeschützte Elektromagnete sowie Ventilpositionssensoren verwendet werden. Die Schutzklasse der am Ort installierten Elektromagnete und Ventilpositionssensoren sollte mindestens IP65 betragen. Es gelten die Prinzipien der getrennten sowie redundanten Anordnung der Steuerventile. Bei SIL1-Sicherheitsanforderungen können die Steuerventile gemeinsam mit dem BPCS genutzt werden; doch das SIS sollte Vorrang haben. Dabei kann ein einziger Steuerventil verwendet werden. Bei SIL2-Sicherheitsanforderungen sollten die Steuerventile getrennt vom BPCS angeordnet werden, wobei redundante Steuerventile bevorzugt werden. Bei SIL3-Sicherheitsanforderungen müssen die Steuerventile ebenfalls getrennt vom BPCS angeordnet werden, und es müssen redundante Steuerventile verwendet werden. Bei der Redundanzanordnung können entweder ein Regulierventil zusammen mit einem Schaltventil oder zwei Schaltventile verwendet werden. Wenn hohe Sicherheitsanforderungen bestehen, sollten die redundanten Elektromagneten nach der „Oder“-Logik arbeiten. Wenn hohes Verfügbarkeitsniveau erforderlich ist, sollten die redundanten Elektromagneten nach der „Und“-Logik arbeiten. Der Logikcontroller sollte idealerweise ein programmierbares elektronisches System sein. In einfachen Fällen kann auch ein Relaisystem oder eine Kombination aus programmierbarem elektronischem System und Relaisystem verwendet werden. 1. Allgemeine Vorgaben: Wenn der Logikcontroller ein programmierbares elektronisches System ist, sollte die Gesamtreaktionszeit des Logikcontrollers bei 100 ms bis 300 ms liegen. Die Gesamtreaktionszeit bezeichnet die gesamte Zeit, die benötigt wird, damit ein Signal vom Eingang des Logikcontrollers zum Ausgang gelangt. Die Belastung der Central Processing Unit des Logikcontrollers sollte 50 % nicht überschreiten. Auch die interne Kommunikationsbelastung des Logikcontrollers sollte 50 % nicht überschreiten; bei Nutzung von Ethernet sollte diese Belastung 20 % nicht überschreiten.

2. Prinzipien für die unabhängige und redundante Anordnung des Logikcontrollers: Für SIL1 gilt: Der Logikcontroller sollte getrennt vom BPCS angeordnet werden; es können redundante Logikcontroller verwendet werden. Für SIL2 gilt ebenfalls: Der Logikcontroller sollte getrennt vom BPCS angeordnet werden, wobei wiederum redundante Logikcontroller empfehlenswert sind. Für SIL3 gilt: Der Logikcontroller muss getrennt vom BPCS angeordnet werden, und es müssen redundante Logikcontroller verwendet werden.

3. Konfigurationsprinzipien für den Logikcontroller: Der Logikcontroller muss den Anforderungen von SIL entsprechen und die Aufgaben eigenständig erledigen können. Die Software- und Hardwareversionen des Logikcontrollers müssen offiziell veröffentlicht sein. Die Central Processing Unit, die I/O-Einheiten, die Stromversorgungseinheiten sowie die Kommunikationseinheiten des Logikcontrollers sollten eigenständige Einheiten sein. Es sollte möglich sein, diese Einheiten im Betrieb auszutauschen, ohne dass dadurch die normale Funktionsfähigkeit des Logikcontrollers beeinträchtigt wird. Der Logikcontroller sollte über Funktionen zur Diagnose und Überprüfung von Software und Hardware verfügen. Die Diagnose- und Testinformationen sollten auf der Ingenieurstation und/oder der Bedienerstation angezeigt und aufgezeichnet werden. Systemfehler des Logikcontrollers sollten entweder auf der Bedienerstation des SIS oder auf der Bedienerstation des BPCS angezeigt werden.

4. Prinzipien für die Anordnung der Schnittstellen des Logikcontrollers: Die Signalkanäle der I/O-Karten sollten optisch oder elektromagnetisch isoliert sein. Die I/O-Karten sollten keine digitalen Signale über Feldbuss übertragen. Die Signale mehrerer Messgeräte, die denselben Prozessvariablen dienen, sollten an verschiedene Eingangskarten angeschlossen werden. Redundante Endkomponenten sollten an verschiedene Ausgangskarten angeschlossen werden. Jeder Ausgangskanal sollte nur eine Endkomponente ansteuern