Sicherheit muss in Tankfarms, in denen gefährliche, entflammbare oder explosive Materialien gelagert werden, stets höchste Priorität haben, da Unfälle katastrophale Folgen nach sich ziehen können. Um die Gefahr von Sicherheitsvorfällen zu minimieren, ist bei Tanks ein solides Überfüllsicherungssystem (Overfill Prevention System/OPS), das nach gültigen Industriestandards ausgelegt und umgesetzt ist, entscheidend. Ein OPS-Sicherheitskreis besteht normalerweise aus einem Füllstandsensor, einem Logiksystem und einem Aktor in Form eines betätigten Ventils. Der komplette Sicherheitskreis muss regelmäßig einer wiederkehrenden Prüfung unterzogen werden, um sicherzustellen, dass er bei einer Sicherheitsanforderung korrekt funktioniert.

Wiederkehrende Prüfungen sind Betriebsverfahren, die gemäß einem Sicherheitshandbuch durchgeführt werden, um zu überprüfen, ob ein Gerät die Sicherheitsanforderungen in einem OPS erfüllt und das gefordertes Sicherheitsintegritätslevel (Safety Integrity Level/SIL) für die Anwendung erreicht. Die Wahrscheinlichkeit eines Ausfalls bei Anforderung (Probability of Failure on Demand/PFD) eines Sicherheitskreises – d. h. die Gefahr, dass die beabsichtigte Funktion nicht ausgeführt wird – nimmt nach der Inbetriebnahme mit der Zeit zu. Mittels einer wiederkehrenden Prüfung wird die PFD auf einen niedrigeren Wert zurückgesetzt und sichergestellt, dass der Sicherheitskreis für die Risikominderung sorgt, für die er ausgelegt wurde.

Deckungsfaktor der wiederkehrenden Prüfung

Moderne Füllstandmessgeräte für Überfüllsicherungsanwendungen beinhalten eine Diagnose-Software, die einen Fehler erkennt und das Gerät dann in einen sicheren Zustand versetzt. Manche Fehler werden von der Diagnose jedoch nicht erkannt. Diese sogenannten gefährlichen, unerkannten Ausfälle (Dangerous Undetected Failures/DU) werden bei der wiederkehrenden Prüfung aufgedeckt. Die Wirksamkeit einer wiederkehrenden Prüfung beim Aufdecken solcher Ausfälle wird als Deckungsfaktor der wiederkehrenden Prüfung bezeichnet, der idealerweise so hoch wie möglich sein sollte.

Standards

Zur konsistenten Gestaltung ihres Sicherheitsansatzes wenden viele Tankfarmbetreiber und Manager sowohl die Norm API 2350 des American Petroleum Institute, die die Überfüllsicherung für große Erdöllagertanks behandelt, als auch die Norm IEC 61511 der International Electrotechnical Commission für die Auslegung eines OPS an.

Beide Standards messen der regelmäßigen wiederkehrenden Prüfung große Bedeutung bei. Die IEC 61511 definiert, dass das gesamte OPS regelmäßig einer wiederkehrenden Prüfung unterzogen werden muss, wobei das Testintervall durch die PFD des Sicherheitskreises bestimmt wird. In der API 2350 ist angegeben, dass alle Komponenten eines OPS, die für die Unterbrechung der Zuführung erforderlich sind, jährlich geprüft werden müssen, wobei kontinuierliche Füllstandsensoren einmal im Jahr und Grenzstandsensoren alle sechs Monate geprüft werden müssen. Das Testintervall kann jedoch ausgeweitet werden, wenn eine technische Begründung vorliegt, wie z. B. die PFD-Berechnung als Beleg. Beide Normen fordern von Unternehmen schriftliche Verfahren, Pläne und eine Dokumentation der wiederkehrenden Prüfung.

Gemäß API 2350 und IEC 61511 können zwei Arten von wiederkehrenden Prüfungen durchgeführt werden: umfassende wiederkehrende und teilwiederkehrende Prüfungen.

Umfassende wiederkehrende Prüfung

Umfassende wiederkehrende Prüfungen sind mit einem Test des gesamten Sicherheitskreises in einem einzelnen Verfahren verbunden, um sicherzustellen, dass alle Teile ordnungsgemäß funktionieren. Somit wird die PFD des Sicherheitskreises komplett oder nahezu auf ihr ursprüngliches Niveau zurückgesetzt. Die umfassende wiederkehrende Prüfung wird von Technikern im Feld manuell durchgeführt, wobei sich ein weiterer Mitarbeiter in der Leitwarte befindet, um die Reaktion des Systems zu überprüfen. Es gibt zwei verschiedene Methoden für die Durchführung einer umfassenden wiederkehrenden Prüfung.

Bei der ersten Methode kann der Füllstand im Tank auf den Auslösepunkt des zu prüfenden Füllstandsensors angehoben werden, um die korrekte Funktionsweise des Geräts zu bestätigen. Die Gefahr bei diesem Ansatz besteht darin, dass es zu einem Überlaufen und damit zu einem Sicherheitsrisiko kommen kann, wenn es sich bei dem Gerät um einen Füllstandsensor für hohen Füllstand handelt und dieser während des Tests versagt. Zudem ist ein Auffüllen des Tanks nur für Testzwecke des Geräts zeitaufwändig, erfordert Bedienpersonal zur Überwachung des Tankfüllstands und kann den normalen Tankbetrieb unterbrechen, was zu einem teuren Stillstand führt. Die Durchführung der wiederkehrenden Prüfung auf diese Weise war in der Vergangenheit gängige Praxis, wohingegen die aktuelle Version der Norm API 2350 nicht empfiehlt, den Tankfüllstand über den maximalen Betriebsfüllstand hinaus zu erhöhen.

Der alternative Ansatz besteht darin, das Gerät aus dem Tank zu entfernen und einen simulierten Test in einer alternativen Umgebung wie z.B. einem Eimer durchzuführen. Ein entscheidender Nachteil dieser Methode liegt darin, dass das Personal auf den Tank steigen muss, um zu dem Instrument zu gelangen, wodurch es einer gefährlichen Umgebung und einem Sicherheitsrisiko ausgesetzt wird. Außerdem ist die Durchführung von wiederkehrenden Prüfungen auf diese Weise anfällig für menschliches Versagen und kann dazu führen, dass Tanks zu Lasten der Wirtschaftlichkeit länger außer Betrieb genommen werden. Des Weiteren würde der Test mit Wasser durchgeführt, wenn das Gerät aus einem Tank, der ein gefährliches oder unangenehmes Produkt enthält, entfernt wird. Somit würde nicht nachgewiesen, dass das Gerät in der entsprechenden Anwendung auch wirklich funktioniert.

Teilwiederkehrende Prüfung

Eine teilwiederkehrende Prüfung wird durchgeführt, um zu gewährleisten, dass ein Gerät keine internen Probleme aufweist und dass alle Funktionen ordnungsgemäß arbeiten. Diese Art von Prüfung kann einen oder mehrere Teile des Sicherheitskreises umfassen. Dabei wird die PFD dieser Teile auf einen prozentualen Anteil des ursprünglichen Niveaus zurückgesetzt und sichergestellt, dass das Gerät seine spezifizierten SIL-Anforderungen erfüllt.

Da bei einer teilwiederkehrenden Prüfung nur ein prozentualer Anteil der möglichen Ausfälle erkannt wird, muss nach einem bestimmten Zeitintervall eine umfassende Prüfung durchgeführt werden, um das Gerät wieder auf seine ursprüngliche PFD zu setzen. Jedoch können teilwiederkehrende Prüfungen eine Verlängerung des Zeitintervalls zwischen umfassenden Prüfungen rechtfertigen, wobei die behördlichen Anforderungen eingehalten werden.

Prüfung aus der Ferne

Mit der digitalen Technik in modernen Füllstandmessgeräten können teilwiederkehrende Prüfungen aus der Ferne anstatt vor Ort erfolgen. Die wiederkehrende Prüfung aus der Ferne wird über einen Befehl aus der Leitwarte initiiert. Mit Hilfe dieser Funktion bleibt das Gerät während der wiederkehrenden Prüfung installiert. Dies ist von Vorteil, da mit der Durchführung von Tests während des normalen Betriebs Tankstillstände reduziert und Mitarbeiter seltener gefährlichen Umgebungen ausgesetzt werden – ohne Einbußen der SIL-Funktionalität und Funktionssicherheit. Sie sind schnell und einfach, und mehrere Geräte können gleichzeitig geprüft werden, wodurch Schnelligkeit und Sicherheit erhöht und die Betriebskosten reduziert werden.

Radar-Füllstandmessgeräte in einem OPS

Berührungslose Radar-Füllstandmessgeräte wie die Rosemount 5900 Reihe von Emerson sind die Technologie der Wahl für automatische Tankmessungen (Automatic Tank Gauge/ATG) in Lagertanks für flüssige Massengüter. Dabei handelt es sich um eine bewährte Füllstandmesstechnologie, die Zuverlässigkeit und hohe Messgenauigkeit sichert. Die Rosemount 5900 Reihe verfügt über Funktionen, mit denen Anwender kontinuierliche Füllstandsmessungen an der Produktoberfläche und gleichzeitig wiederkehrende Prüfungen aus der Ferne durchführen können. Somit ist keine Unterbrechung des normalen Tankbetriebs erforderlich.

Software für Tankmesssysteme

Das Bedienpersonal kann diese wiederkehrenden Prüfungen sicher aus der Leitwarte vornehmen und dafür die leistungsstarke und anwenderfreundliche Lagerverwaltungssoftware Rosemount TankMaster von Emerson einsetzen, die alle Tankinformationen zusammenführt. TankMaster verschafft dem Bedienpersonal einen Überblick, bietet Lagerverwaltungsfunktionen sowie Funktionen für den eichpflichtigen Verkehr und Konfigurations- sowie Service-Optionen für Geräte im Rosemount Tankmesssystem. Zudem gibt es eine integrierte Funktion, mit der das Bedienpersonal eine oder mehrere wiederkehrende Prüfungen durchführen kann. Eine detaillierte Anweisung führt das Bedienpersonal durch verschiedene Verfahren der wiederkehrenden Prüfung und erleichtert diese erheblich.

Mehrere verschiedene Optionen der wiederkehrenden Prüfung können mit dem TankMaster entweder einzeln oder der Reihe nach abgearbeitet werden. Beispielsweise kann die Software durch Einsatz eines einstellbaren Referenzreflektors, der ein reflektiertes Radarsignal oder Echo an einer vordefinierten Position im Tank abgibt, prüfen, ob der Alarm für hohen Füllstand des Geräts korrekt funktioniert. Der Referenzreflektor wird mit einem Draht an eine Parabol- oder Array-Antenne angeschlossen und neben der Antenne montiert. Alternativ kann der Alarm für hohen Füllstand mit einem innovativen simulierten Referenzreflektor geprüft werden, wobei ein künstliches, digitales Echo in das Radarsignal eingebracht wird, das den Hochalarm auslöst. So erübrigt sich die Notwendigkeit eines physikalischen Referenzreflektors, was den Vorteil hat, dass eine Störung des Tanks verhindert wird.

Bei der Durchführung der Prüfung mit einem physikalischen oder simulierten Referenzreflektor als Teil einer Kombination von teilwiederkehrenden Prüfungen kann ein Deckungsfaktor der wiederkehrenden Prüfung von 73 % erreicht werden. Weitere verfügbare Optionen der wiederkehrenden Prüfung sind die Überprüfung automatischer Füllstandsmessungen und Tests der analogen und Relais-Ausgänge eines angeschlossenen Rosemount 2410 Tank Hub.

Am Ende einer wiederkehrenden Prüfung werden alle Tests und die entsprechenden Ergebnisse in einem Bericht zusammengefasst. Zur Erfüllung der Anforderungen der gültigen Industriestandards werden zusätzlich detaillierte Berichte automatisch erzeugt und für jede wiederkehrende Prüfung gespeichert. Zur Unterstützung eines effektiven Dokumenten-Managements zeigt eine Historie der wiederkehrenden Prüfung in der Software Informationen darüber, wann eine Prüfung durchgeführt wurde und von wem sie genehmigt wurde. Zu den weiteren Optionen der Software gehören die Planung von wiederkehrenden Prüfungen, bei der Anwender das Datum der nächsten Prüfung bestimmen können, sowie eine Einstellungsmöglichkeit für Erinnerungen – entweder als Pop-up-Nachricht oder E-Mail.

Fazit

Mit der teilwiederkehrenden Prüfung von Radar-Füllstandmessgeräten aus der Ferne über die TankMaster Software können Prüfungen häufiger durchgeführt werden, weil die Auswirkungen auf den Tankbetrieb gering sind. Da keine manuellen Arbeiten oder das Besteigen des Tanks erforderlich sind, wird die Gefahr von menschlichem Versagen erheblich reduziert und Zeit eingespart. Auch wenn umfassende wiederkehrende Prüfung trotz teilwiederkehrender Prüfungen aus der Ferne immer noch nötig sind, können sie eine Verlängerung der Zeitintervalle zwischen den umfassenden Prüfungen rechtfertigen, wobei die behördlichen Anforderungen trotzdem eingehalten werden. Die Mitarbeitersicherheit und Tankverfügbarkeit können dadurch verbessert werden.

2-in-1-Radartechnologie

Bei Neuinstallationen gilt der Einsatz von zwei Radar-Füllstandmessgeräten in einem Tankmesssystem als bewährte Praxis – eins liefert kontinuierliche Füllstandsmessungen, während das andere als OPS-Sensor dient. Beim Einsatz von zwei Radar-Füllstandmessgeräten, bspw. anstelle von einem Radar-Füllstandmessgerät und einem Grenzwertschalter, werden die Komplexität und die Notwendigkeit gerätespezifischer Schulungen und damit auch die Gefahr für menschliches Versagen reduziert.

Bei Tanks mit nur einer Öffnung können Umbauten zur Installation von zwei separaten Radar-Füllstandmessgeräten kostspielig und aufwändig sein. Das Rosemount 5900S 2-in-1 Radar-Füllstandmessgerät löst dieses Problem. Es besteht aus zwei separaten und unabhängigen elektrischen Einheiten und einer gemeinsamen Antenne. Somit kann ein einzelnes Füllstandmessgerät sowohl als ATG als auch als OPS-Sensor dienen, wenn es über Kabel angeschlossen wird, die in verschiedenen Kabelkanälen separiert sind und eine separate Stromversorgung haben. Diese IEC 61511-kompatible Konfiguration erlaubt kostengünstige Sicherheitsupgrades vorhandener Tanks.

Die Autorin