Eigensichere Ausgangstreiber SIL-3-Schaltregler über ein einziges Interface-Modul ansteuern

Seit mehr als 40 Jahren entwickelt Pepperl+Fuchs sicherheitsrelevante Geräte, zunächst noch auf Basis der damaligen Normen DIN 4788, VDE 0116, VDE 0660-209, DIN 19250, EN 954, heute aktuell nach IEC 61508-SIL und EN ISO 13849-PL. Etwa zehn Millionen solcher Produkte wurden bislang installiert.

Aus der Zusammenarbeit sowie aus den Partnerschaften mit führenden Anbietern von Sicherheitssteuerungen entstand ein Portfolio, das heute 770 Safety-Geräte umfasst. Dazu zählen Feldgeräte wie induktive Sensoren und Drehgeber sowie Interface-Bausteine zur Signalübertragung zwischen Steuerung und Feldgeräten.

Trennbausteine für die Übertragung analoger Signale von der Steuerung zu Aktoren im Ex-Bereich für Signalkreise nach SIL 3 fehlten allerdings bislang. Diese Lücke im Portfolio wurde nun durch die Entwicklung von gleich drei HART-transparenten Trennbarrieren für den Transfer analoger Signale ins Feld geschlossen.

Lange Zeit eher selten: Analoge Feldgeräte im Ex-Bereich

In der Vergangenheit wurden SIL-3-Anwendungen zur Ansteuerung analoger Feldgeräte tunlichst nicht mit analogen Signalen umgesetzt. SIL-3-Ausgangskarten für analoge Signale waren einfach teuer. Stattdessen wurde, wo immer möglich, die Anlagenstruktur so konzipiert, dass digitale Ausgangssignale genutzt werden konnten, wofür es entsprechende Trennbarrieren gab.

Unter anderem durch die heutige Verfügbarkeit von Universal-I/O-Karten der Steuerungssysteme sind die Kosten für analoge Ausgangskarten auf ein erträgliches Maß gesunken. So wird in Verbindung mit Trennbarrieren auch die Nutzung analoger Feldgeräte im Ex-Bereich interessant. Heute sind SIL-3-AO-Anwendungen verbreitet, zum Beispiel bei Brennersteuerungen oder Turbinenüberwachungen, und daher auch Trennbausteine gefordert, die für einen SIL-3-Kreis geeignet sind. Diese müssen allerdings auch HART-transparent sein, damit Partial-Stroke-Tests durchgeführt werden können.

Bislang standen jedoch keine geeigneten Trennbarrieren zur Verfügung, die diesen Anforderungen entsprochen hätten. Ein Workaround mit redundanten SIL-2-Geräten ist zwar unter bestimmten Bedingungen möglich. Allerdings bedeutet ein SIL-3-taugliches Interface-Modul gegenüber einer Struktur mit zwei redundanten SIL 2 einen deutlich geringeren Aufwand.

Zudem können Trennbarrieren mit SIL-3-Eignung sogar in SIL-2-Anwendungen sinnvoll sein, wenn beispielsweise eine möglichst lange Proof-Zeit erreicht werden soll. Nicht zuletzt wird eine SIL-3-Eignung immer auch als Qualitätsmerkmal verstanden.

Die ersten Trennbarrieren für analoge Ansteuerung überhaupt

Die neuen, einkanaligen Ausgangstreiber verstärken die Eingangssignale des Steuerungssystems, um HART-I/P-Konverter, elektrische Ventile und Stellungsregler im explosionsgefährdeten Bereich anzusteuern. Dem analogen Messwert können auf der Feld- oder Steuerungsseite digitale Signale (HART) überlagert werden, die bidirektional übertragen werden.

Ein offener Stromkreis oder ein Kurzschluss im Stromkreis auf der Feldseite verursacht auf der Steuerungsseite eine hohe Impedanz und erlaubt eine Überwachung der Alarmzustände durch das Steuerungssystem. Die Leitungsfehlerüberwachung des Feldkreises wird über eine rote LED angezeigt und über den Fehlerbus ausgegeben.

Die Trennbarrieren sind sowohl für das Hutschienen-orientierte K-System wie auch für das H-System zur Montage auf Termination Boards verfügbar. Die K-Geräte wahlweise mit Schraub- oder Federklemmen mit Push-in-Anschlusstechnik ausgestattet. Alle Module sind 12,5 mm breit.

Workaround: Redundante Trennbarrieren mit SIL 2

Sollen SIL-3-Aktoren im Ex-Bereich eingesetzt werden, wurden diese bislang über redundante SIL-2-Geräte angesteuert. Dies ist möglich, wenn die normativen Randbedingungen eingehalten werden. Die Anwendung muss so aufgebaut sein, dass systematische Fehler so weit wie möglich ausgeschlossen sind.

Dazu gibt es zwei Möglichkeiten: Zwei unterschiedlichen Trennbarrieren (heterogene Redundanz) vermeiden systematische Fehler, wie sie durch Schwächen in der Konstruktion oder bei der Nutzung von systematisch fehlerhaften Bauteilen einer Charge entstehen können. Auch die Nutzung von zwei Modulen gleichen Typs (homogene Redundanz) ist zum Aufbau von SIL-3-Anwendungen möglich, sofern die verwendeten Module über eine systematische Eignung SC3 (SC für „Systematic Capability“) verfügen. Diese kann durch ein FSM-Zertifikat (Functional Safety Management) nachgewiesen werden, da das FSM-System systemische Fehler durch organisatorische Maßnahmen reduziert. Dies wird vom TÜV Rheinland anerkannt.

Die SIL-2-Module von Pepperl+Fuchs verfügen in der Regel über SC3. In den Fällen, in denen auch die Maschinenrichtlinie gilt, gilt zusätzlich die EMV-Norm EN 61326-3-1, nach der bei einigen Tests ein SIL-2-Gerät drei- bis fünfmal länger als die Testdauer geprüft werden muss, wenn es für SIL-3-Anwendungen eingesetzt werden soll. Diese Forderung ist in der EMV-Norm EN 61326-3-2 nicht enthalten.

Portfolio von Trennbarrieren und Services

Mit den neuen SIL-3-Ausgangstreibern wird das Portfolio von Trennbarrieren für sicherheitsgerichtete Anwendungen nun komplettiert. Sowohl das K-System (Hutschienenmontage) als auch das H-System (Termination-Boards) verfügen über Module mit SIL-Level 2 und 3 für alle Signalarten.

Damit können Anwender aus einem einzigen Portfolio sicherheitsgerichtete Anwendungen aufbauen. Und zwar unabhängig, ob SIL-3-Anwendungen mit SIL-3-Trennbarrieren oder mit redundanten, SC3-fähigen Modulen aufgebaut werden sollen. Über einen Produktselektor für Safety-Produkte können auf der Homepage von Pepperl+Fuchs geeignete Geräte nach Funktion, Signalart, SIL-Level oder bei Bedarf Performance Level (Sicherheitsrelais zum sicheren Abschalten verfügen beispielsweise über SIL- und PL-Level) ausgewählt werden.

Eine Reihe von Grundsätzen und Maßnahmen ergänzen das Portfolio sicherheitsrelevanter Produkte, um jederzeit gleichbleibend hohe Qualitätsstandards zu gewährleisten. So verfügt Pepperl+Fuchs über ein zertifiziertes Functional Safety System. Es bescheinigt einem Unternehmen, SIL-3-Produkte entwickeln zu können.

Die Fähigkeit muss dazu auf allen Ebenen von der Konzeption über die personelle Besetzung der Teams, die eigentliche Entwicklung, Qualitätssicherung bis hin zur Dokumentation nachgewiesen werden. Die Entwicklungsteams bestehen aus mit Mitarbeitern mit Safety-Erfahrung plus einem zertifizierten Safety-Ingenieur, der ausschließlich die Themen der funktionalen Sicherheit bearbeitet.

Für viele Geräte, für die eine hausinterne Betrachtung genügen würde, sind externe Assessments verfügbar. Alle sicherheitsrelevanten Geräte werden sehr konservativ bewertet. Das Fehlerbudget, das heißt der Fehleranteil des Trennbausteins am Signalkreis, überschreitet bei keinem Gerät die allgemein anerkannte Marke von zehn Prozent.

Schulungen und Seminare sowie ein kostenloses SIL-Kompendium und ein Online-PFD/PHD-Berechnungstool entsprechend den VDI/VDE/EN-Vorschriften runden das Angebot zur funktionalen Sicherheit von Pepperl+Fuchs ab.