Für viele Anlagenbetreiber ist es zu einem lästigen Phänomen im Alltag geworden: Eine wahre Alarmflut läuft jeden Tag im Betrieb auf. Die Folge davon: Ab einem gewissen Häufigkeitsgrad quittieren die Verantwortlichen die Alarme nur noch oder schalten sie sogar ganz aus. Unter gewissen Umständen kann das dazu führen, dass wirklich wichtige Alarme nicht beachtet oder übersehen werden und es zu gravierenden Schäden an der Peripherie, der Anlage oder der Umwelt kommt oder gar zu Personenschäden.

Empfehlungen und Lösungswege

Ein erster Schritt auf dem Lösungsweg heißt Ursachenerforschung. Sprich, warum wird ein gewisser Alarm viel zu häufig ausgelöst?

Idealerweise sollte es dafür nur einen Grund geben: Wenn ein tatsächliches Problem vorliegt. In Wirklichkeit ist es jedoch eher so, dass die Alarmgrenzen nicht (mehr) den Gegebenheiten des aktuellen Anlagenbetriebes entsprechen. So können sich Fahrweisen verändert haben und damit bspw. auch die Druck- oder Temperaturbereiche, in denen sich der Normalbetrieb abspielt.

Die ‘Engineering Equipment and Materials Users Association’ (EEMUA) ist eine Non-Profit-Organisation mit Sitz in London mit dem Ziel, industrielle Anlagen in den Bereichen Sicherheit, Umwelt und Performance zu optimieren und für Erfahrungsaustauch unter den Mitgliedern zu sorgen. Laut EEMUA sollte die langfristige Alarmrate je Operator-Arbeitsplatz im Normalbetrieb durchschnittlich bei maximal einem Alarm pro zehn Minuten liegen. Die Realität sieht anders aus. In vielen Betrieben schrillen teilweise jede Minute die Glocken.

Das größte Problem sind Alarme, die häufig oder sogar regelmäßig ausgelöst werden, ohne dass sie eine Reaktion des Anlagenfahrers erfordern. Gründe dafür sind bspw. zu eng gesetzte Grenzen, falsch gesetzte Parameter oder defekte Sensoren.

Für solche Fälle gibt es speziell entwickelte Systeme zum Alarm-Management. In der Regel beruhen sie darauf, für verschiedene Betriebsarten die Alarmgrenzen in einer Datenbank zu speichern, um sie per Knopfdruck in das Leitsystem übertragen zu können. Gleichzeitig liefern sie statistische Auswertungen, mit deren Hilfe sich Messstellen mit besonders vielen Alarmen identifizieren lassen. Dadurch ist es möglich, den Ursachen für eine Alarmflut auf den Grund zu gehen und nach gründlicher Analyse die Voreinstellungen entsprechend anzupassen.

Beispiel aus der Öl- und Gasindustrie

Anders gelagert ist der Fall, wenn durch eine Änderung des Betriebszustandes – wie bspw. das An- oder Abfahren der Anlage – die eingestellten Alarmgrenzen nicht (mehr) relevant sind und es somit zu ungewollten Alarmen kommt. Hier kann eine dynamische Anpassung der Grenzwerte oder sogar das komplette Abschalten die richtige Antwort auf das Problem sein. Diesen Ansatz hat Process Data Engineering (PDE) vor kurzem bei einem Projekt gewählt. Dabei steht der Begriff „Data Engineering“ nicht umsonst im Unternehmensnamen. PDE-Geschäftsführer Jörg Wolf, der lange beim Anlagenbauer Lurgi tätig war, beschäftigt sich intensiv mit den rasant wachsenden Datenmengen, die gerade auch beim Alarmmanagement eine wichtige Rolle spielen.

Der Anwender, der im Bereich Exploration und Förderung von Öl und Gas tätig ist, betreibt eine große Anzahl an Förderanlagen. In allen Anlagen gilt es, den vorhandenen Druck in den sogenannten Ringräumen kontinuierlich zu überwachen. Bei diesen Ringräumen handelt es sich um konzentrische Stahlrohre, die um den eigentlichen Förderstrang liegen. Sie dienen dazu, einen Austritt des Mediums – Gas oder Öl – in das umgebende Gestein zu verhindern. Insbesondere beim Durchqueren von Grundwasser führenden Schichten ist das von großer Bedeutung, um eine mögliche Kontamination des wertvollen Grundwassers zu verhindern. Das Bergamt als hierfür zuständige Behörde stellt entsprechend hohe Anforderungen an die Dichtigkeit und zuverlässige Überwachung der Ringräume. Je nach Anforderung können diese entweder auszementiert oder mit Wasser unter hohem Druck gefüllt sein. In der vorliegenden Anwendung ist Letzteres der Fall. Es geht darum, die Drücke in den Ringräumen auf ihre unteren Grenzwerte hin zu überwachen, die wiederum abhängig vom Förderdruck in der jeweiligen Lagerstätte sind.

Die anspruchsvolle Aufgabe im Alarmmanagement bestand darin, die Alarme auf die Ringräume bei jeder Förderunterbrechung zu unterdrücken und nach der Wiederaufnahme der Förderung abhängig von den Prozessbedingungen wieder zu aktivieren.

Die Drücke sinken durch die Abkühlung des Bohrloches bei einer Förderunterbrechung ab. Dadurch werden schnell völlig unnötige Alarme ausgelöst. Bei der Wiederaufnahme der Förderung erwärmt sich das Bohrloch und die Drücke steigen langsam wieder an, bleiben aber noch eine Zeit lang unterhalb der Alarmgrenze, bevor der Betriebsdruck erreicht wird.
Abbildung1 zeigt schematisch den Verlauf der Förderrate (grün) und von zwei Ring­raumdrücken (blau, rot) mit ihren jeweiligen unteren Alarmgrenzen. Wenn die Förderung außer Betrieb geht sinken die Drücke und bei Unterschreiten der Alarmgrenzen werden unerwünschte Alarme ausgelöst, die erst nach dem erneuten Überschreiten der Alarmgrenzen wieder verschwinden. Der zweite Alarm zu der blauen Kurve ist dagegen erwünscht.

Kundenspezifische Lösung gefragt

Mit einer Standardsoftware lassen sich derartige Probleme nicht lösen. „Unsere Stärke ist die ausführliche Analyse mit dem Kunden vor Ort. Es ist wichtig, Abläufe genau zu erfassen, zu untersuchen und zu verstehen. Dabei ist jahrzehntelange Praxiserfahrung wichtig“, sagt PDE-Geschäftsführer Jörg Wolf. „Auf dieser Basis entwickeln wir dann gemeinsam eine passende Lösung, die exakt an die spezifischen Bedingungen angepasst ist.“

Um die Aufgabe umzusetzen, werden zunächst für jeden neu konfigurierten Alarm die historischen Daten für den Druck und die zugehörige Sondenproduktion analysiert und für die letzten fünf Anfahrvorgänge (Anzahl konfigurierbar) ein Muster des Druckverlaufes gebildet. Daraus ergibt sich eine Zeitdauer, die typischerweise zwischen der Wiederaufnahme der Sondenproduktion und dem Erreichen der unteren Alarmgrenze verstreicht.

Alle Sonden werden zyklisch auf ihren Produktionsstatus überwacht. Sobald eine Sonde außer Produktion geht, werden alle zugehörigen Alarme unterdrückt. Im vorliegenden Fall geschieht das durch Änderung der Alarmpriorität auf den niedrigsten Wert, wodurch er den Bedienern nicht mehr angezeigt wird. Möglich wäre aber auch, die Alarmgrenzen auf einen anderen geeigneten Wert zu ändern.

Wenn die Sonde wieder in Betrieb geht, beginnt für jeden der zugeordneten Alarme die jeweils individuelle „Verzögerungszeit“ zu laufen. Spätestens nach deren Ablauf wird die Unterdrückung beendet; im vorliegenden Fall durch Zurücksetzen der Alarmpriorität auf den ursprünglichen Wert. Sie wird aber schon vorher sofort beendet, wenn der jeweilige Druck seine untere Alarmgrenze überschreitet. Das ist in der erwähnten Skizze für die blaue Druckkurve der Fall.

Der rote Druck erreicht seinen unteren Wert innerhalb der Verzögerungszeit nicht, sodass nach deren Ablauf (und damit Ende der Unterdrückung) sofort ein Alarm ausgelöst wird. Das Ende der Alarmunterdrückung für die beiden Kurven wird durch Pfeile angezeigt. Bei jedem neuen Anfahrvorgang wird wieder für alle zu der jeweiligen Sonde gehörenden Alarme das Muster des Druckverlaufes aufgenommen und damit die Verzögerungszeit angepasst. Falls Grenzwerte geändert werden, wird die Verzögerungszeit anhand der letzten Anfahrvorgänge neu berechnet.

Fazit

In diesem Anwendungsbeispiel wurden vor Beginn der Umsetzung für etwa 1.300 überwachte Druckmessstellen monatlich bis zu 22.000 Alarme generiert. Davon hat das Bedienpersonal rund 10 bis 13 % „geshelvt“ (manuell zurückgestellt), weil sie auf Betriebs­unterbrechungen zurückzuführen waren. Erste Betriebserfahrungen mit zunächst circa 200, in das Alarm-Management einbezogenen Druckmessstellen zeigen, dass diese Alarme erfolgreich unterdrückt werden können. Im endgültigen Ausbau mit allen Messstellen ist somit zu erwarten, dass allein mit dieser Maßnahme die Anzahl der Alarme um bis zu annähernd 3.000 pro Monat reduziert werden kann.

Autorin: Silke Brügel, freie Autorin, Ottobrunn