CITplus - Entgegen der herkömmlichen Funktionsprüfung bedeutet eine wiederkehrende Prüfung im laufenden Betrieb neben einer Risikominimierung auch eine erhebliche Kostenreduzierung. Kürzere bzw. Wegfall von Prozessunterbrechungen erhöhen die Produktivität und damit die Wirtschaftlichkeit der Anlage. In PLT-Schutzeinrichtungen eingesetzte Vibrationsgrenzschalter, Radarsensoren und Sensoren der Geführten Mikrowelle (TDR) von Vega gewährleisten durch einfache Prüfabläufe bei laufender Produktion eine hohe Anlagensicherheit bei gleichzeitiger Optimierung der Prüfungen.

Die wiederkehrende Funktionsprüfung dient zum Nachweis der Funktionssicherheit einer PLT-Schutzeinrichtung gemäß der IEC 61511. In den überwiegenden Fällen handelt es sich bei Füllstandsensoren um eine Ein-Punkt-Überwachung (Low Demand), wie sie z. B. in Überfüllsicherungs- oder Trockenlaufschutzfunktion Anwendung finden.
Eine Überprüfung der Funktion, so schreibt es zum Beispiel die WHG vor, erfolgt über das „Anfahren des Ansprechpunktes mit Medium" - die sogenannte Nassprüfung. Alternativ kann auch durch „Ausbau und herbeiführen des physikalischen Messeffekts" geprüft werden. Viele Anwender setzen mangels Alternativen bzw. prozess-, aufwands- oder medienbedingt auf die Nassprüfung.
Doch eine Befüllung bis zum Ansprechpunkt der Sonde ist oft sehr kostenintensiv und birgt zudem inhärente Risiken. Schließlich soll damit der Nachweis der Funktionssicherheit erbracht werden. Die Funktion ist demnach theoretisch nicht gesichert.. Doch wie sicher ist die Regeleinrichtung? Der Brand des Tanklagers in Buncefield oder die Explosion in der BP-Raffinerie 2005 in Texas City haben gezeigt, dass Sicherheitsmängel und damit gefährliche Ausfälle schlimme Folgen für Menschen und Umwelt haben können. Wäre eine Funktionsprüfung ohne Befüllung in den kritischen Bereich demnach nicht die bessere Alternative?

Kostenreduzierung durch verlängerte Prüfintervalle ... aber wie?
Während WHG ein maximales Prüfintervall der Überfüllsicherung von einem Jahr vorschreibt, eröffnet die IEC 61511 größere Flexibilität. Das Prüfintervall richtet sich nach der Wahrscheinlichkeit des Auftretens gefährlicher, unentdeckter Fehler bei Anforderung (PFD bzw. ƛDU). Je geringer der PFD des gesamten Sicherheits-Instrumentierten Systems (SIS), desto größer ist das maximale Prüfintervall. Das SIS darf demnach so lange ungeprüft betrieben werden, bis es die Grenze des zulässigen, spezifizierten SIL erreicht. Bei SIL 2 liegt dieser PFD-Grenzwert bei 0,999 x 10-2.
Beträgt der PFD des SIS genau diesen Wert, müsste die wiederkehrende Funktionsprüfung spätestens nach einem Jahr erfolgen. Bei einem höheren PFD würde sich das Intervall verkürzen, bei einem geringeren PFD verlängern.
Mit einem verlängerten Prüfintervall verringern sich sowohl der Prüfaufwand als auch die Prüfkosten. Die Verfügbarkeit der Anlage steigt und somit auch deren Produktivität. Es gilt also den PFD bzw. den ƛDU des SIS so gering wie möglich zu halten. Doch wie können diese Werte innerhalb eines vernünftigen Kostenrahmens positiv beeinflusst werden?
Hierfür stehen zwei Lösungsansätze zur einzelnen oder gemeinsamen Anwendung zur Wahl:
- Auswahl der qualitativ höherwertigen Gerätetechnik bezogen aus deren PFD
- Aufbau von Redundanzen (zum Beispiel 1oo2)
Die Einsparungen bei den Prüfungen sollten dabei natürlich die entstehenden Kosten in einem vertretbaren Zeitraum amortisieren.
Immer noch sind in der Praxis meist jährliche Prüfungen anzutreffen. In der Regel begründet sich dieser „kurze" Intervall auf Vereinheitlichung oder Selbstre­striktionen in Werksregelungen. In diesem Fall eröffnet die IEC 61511 eine weitere Möglichkeit: Die Komponentenprüfung. Diese erfordert jedoch zumindest einmal den Nachweis des „richtigen" Zusammenwirkens des SIS. Dieser Nachweis kann zum Beispiel bei der Erstbefüllung erbracht werden. Die Vorteile der Komponentenprüfung liegen hierbei auf der Hand. Einfach zu prüfende Komponenten werden in kurzen, die Gesamtprüfung des SIS in längeren Intervallen geprüft. Auch diese Art der Prüfung bedeutet erhebliche Kosten- und Zeiteinsparungen.

Welche Prüfmethode muss ­angewendet werden?
Von den meisten Herstellern wird im Safety Manual (Sicherheitshandbuch) der Passus aus der allgemeinen bauaufsichtlichen Zulassung der WHG zitiert (s. oben). Der Anwender hat also in der Regel keine Wahl, was die Prüfmethodik angeht: „Nassprüfung" oder Ausbau des Sensors. Weicht er von den Herstellerangaben ab, steht er allein in der Verantwortung.
Die damit einhergehenden Prüfkosten scheinen damit Fixkosten für den Betrieb der Anlage zu sein. Stillstandzeiten, qualifiziertes Prüfpersonal (intern oder extern) und gegebenenfalls die Bereitstellung des Prüfmediums bei einer Nassprüfung sind nur ein Teil der anfallenden Kosten. Je nach Unternehmensart und -größe kann dies schnell eine oder mehrere Vollzeitkräfte erfordern. Von den indirekten Kosten durch die Produktionsausfälle ganz zu schweigen.
Die Prüfmethodik für die jeweilige PLT-Schutzeinrichtung im SIS ist demnach in jedem Fall der Ansatzpunkt für Einsparungen bei der Prüfung und zur Produktionssteigerung der Anlage.
Vibrationsgrenzschalter machen es schon seit Jahren vor. Bereits im Auswertgerät integrierte Prüftasten erfüllen die Anforderungen der wiederkehrenden Prüfung der PLT-Schutzeinrichtung nach WHG, aber auch für SIS. Diese Prüfung im laufenden Prozess wird bereits tausendfach durchgeführt. Der Prozess wird weitergefahren und die Einsparungen bei der Prüfung maximiert. Da die Fehleraufdeckung durch diese Prüfung (PTC = Proof Test Coverage) bei diesen Grenzschaltern sehr hoch ist, verbleibt im SIS nur ein sehr geringer nicht aufgedeckter, gefährlicher Fehler.

Wie umfangreich muss die Prüfung sein?
In beiden Fällen, Gesamtprüfung des SIS und Komponentenprüfung, muss davon ausgegangen werden, dass die Prüfung maximal 99 % erreicht. Die Prüfabdeckung (PTC) richtet sich nach den aufgedeckten gefährlichen Fehlern. Der PTC liegt bei einer „Nassprüfung" des SIS erfahrungsgemäß zwischen 90 und 99 %. Bei der Komponentenprüfung liegt dieser Wert naturgemäß deutlich niedriger. Hier entspricht der verbleibende, ungeprüfte, gefährliche Fehler dem PFD bzw. dem ƛDU der nicht geprüften Komponenten. Es muss also davon ausgegangen werden, dass der SIL nach einer bestimmten Anzahl von Prüfungen nicht mehr eingehalten wird. Ist dies der Fall, überschreitet die Wahrscheinlichkeit des gefährlichen Ausfalls die SIL-Grenze und erfüllt damit den spezifizierten SIL nicht mehr. Aus diesem Grund muss das SIS vor Erreichen der SIL-Grenze möglichst komplett geprüft werden. Meist wird dies durch Anfahren des Ansprechpunktes, also mittels „Nassprüfung", realisiert.

Erhöhte Wirtschaftlichkeit durch neue Prüfmethoden
Neu ist die wiederkehrende Funktionsprüfung bei laufendem Betrieb mit kontinuierlichen Füllstandmessgeräten. Vega bietet diese Vereinfachung bei seinen Radargeräten Vegapuls und dem Sensor der Geführten Mikrowelle Vegaflex an.
Die Funktionsprüfung erfordert, trotz meist komplexer Gerätetechnik, nur geringfügig mehr als die Vibrationsgrenzschalter. In fünf Schritten kann der verbleibende, ungeprüfte, gefährliche Fehler auf nur wenige FIT (Failure In Time) reduziert werden. Die Prüfung besteht aus folgenden fünf Schritten:

1. Neustart des Sensors
2. Simulation des Stromausgangs
3. Verifikation der Parametrierung
4. Vergleich der Signalverhältnisse zur Inbetriebnahme
5. Feststellen der korrekten Sensorreaktion auf minimale Füllstandänderung

Diese Prüfung kann bequem aus der Warte heraus mit der FDT-basierten Bediensoftware (DTM) erfolgen. In den Schritten 1 und 2 werden der aktuell ausgegebene Messwert auf Plausibilität sowie der Stromausgang auf Genauigkeit hin überprüft.
Schritt 3 (Verifikation der Parametrierung) stellt sicher, dass keine sicherheitsrelevanten ­Änderungen an der Geräteeinstellung vorgenommen wurden. Basis sind hierfür die VDI/VDE 2180 und die IEC 61511, die eine umfangreiche und damit gerichtsfeste Dokumentation des SIS fordern. Dazu gehört auch die Parametrierung der Instrumentierung.
In Schritt 4 wird die Messsicherheit anhand der Signalstärke bewertet. Die vorliegenden Reflexionsverhältnisse werden hierfür mit der Inbetriebnahmesituation verglichen. Der fünfte und abschließende Schritt (Feststellen der korrekten Sensorreaktion auf Füllstandänderung) belegt, dass der Sensor in der Lage ist, dem Füllstand korrekt zu folgen. Dabei bedarf es keiner Referenzmessung. Hierbei wird die korrekte Sensorreaktion (steigender Messwert bei Befüllung/fallender Messwert bei Entleerung) festgestellt. Die hierzu erforderliche Füllstandänderung ist in der Regel durch den laufenden Prozess gegeben. Dieser Nachweis kann jedoch auch zeitversetzt erfolgen, sollte die aktuelle Analgensituation eine Füllstandänderung momentan nicht erlauben.
In diesen wenigen Schritten werden bei der Geführten Mikrowelle Vega­flex und beim Radarsensor Vegapuls ein PTC von 92 bzw. 96 % erreicht.
Eine Prüfung ohne Befüll- oder Entleervorgang bzw. ohne Ausbau des Sensors hat, wie oben erwähnt, Einsparungen zur Folge. Der, durch die Prüfung sehr hohe PTC und der geringe, verbleibende ƛDU (nur 11 FIT bei beiden Geräten) gewährleisten eine sichere wiederkehrende Funktionsprüfung und ein verlängertes Prüfintervall für die Nassprüfung. Das gilt auch für die Komponentenprüfung.

Zusammenfassung
Mit den Vibrationsgrenzschaltern und den mikrowellenbasierten Technologien Radar und Geführter Mikrowelle bietet Vega Lösungen, die wiederkehrende Funktionsprüfung ohne Sicherheitsverluste kostensparend durchzuführen. Die Geräte müssen zur Prüfung weder ausgebaut noch muss der Ansprechpunkt mit Medium angefahren werden. Mit der ausführlichen Prüfbeschreibung im Safety Manual erhält der Betreiber optimale Unterstützung bei der Spezifikation der Prüfmethodik. Damit übernimmt Vega einen Teil der Verantwortung für die „richtige" Prüfung und erspart dem Anwender zudem aufwendige Recherchen. Dank der Prüfung im laufenden Betrieb bedeutet dies ebenso eine Erhöhung der Anlagenverfügbarkeit und damit eine Produktivitätssteigerung. Trotz PLT-Schutzeinrichtungen und wiederkehrender Prüfung wird eine Verbesserung der Wirtschaftlichkeit gegenüber dem bisherigen Stand erreicht.