Sicherheitsgerichtetes An- und Abschalten in der Industrie unterliegt hohen Anforderungen. Eine zentrale Rolle hierbei spielen Sicherheitsrelais als Bindeglied zwischen Steuerung und Lastkreis. Dabei gibt es zwei unterschiedliche Anwendungsfälle. Beim sicheren Abschalten (De-energized-to-safe, DTS) geht es bspw. darum, Motoren stromlos zu schalten, das Befüllen von Behältern zu beenden oder den Materialfluss zu stoppen. Die Realisierung von DTS-Anwendungen ist unproblematisch, da bspw. ein Ausfall der Versorgung oder ein unerkannter Leitungsbruch auf der Feldseite zum sicheren Zustand des den Schaltimpuls übertragenden Interfacemoduls führt und damit die Sicherheitsfunktion auslöst: Das Feldgerät wird abgeschaltet. Deutlich komplexer und besonders relevant für die Prozessindustrie und die funktionale Sicherheit ist das sichere Einschalten (Energized-to-safe, ETS) im Notfall.

Sicheres Einschalten
In einem ETS-Signalkreis ist der sichere Zustand ein geschlossener Kontakt, der häufig über viele Jahre nicht aktiviert wurde. Daher kann möglicherweise aufgrund von Verschmutzung oder Korrosion ein Strom nicht oder nicht mehr vollständig fließen. ETS-Anwendungen reichen von einer aktiven Kühlung bis hin zum Einschalten von Pumpen und Ventilen, um Lösch- oder Kühlmittel zuzuführen bzw. den Überdruck aus Behältern abzulassen. Wie wichtig das sichere Einschalten ist, zeigt sich auch in Prozessen, bei denen toxische Gase über Rohrleitungen weitergeleitet werden. Aus Sicherheitsgründen herrscht in den Rohren nicht nur dauerhaft ein leichter Unterdruck, bei einem Leck muss zusätzlich das sichere Einschalten weiterer Pumpen gewährleistet sein. Sie saugen im Notfall große Mengen Umgebungsluft durch das Leck an und verhindern so, dass toxische Substanzen austreten.

Leitungsfehlertransparenz
Auch wenn ein Sicherheitsrelais einwandfrei funktioniert, kann der Zugriff auf eine Sicherheitsfunktion scheitern. Mögliche Ursachen sind ein Leitungsbruch oder ein Kurzschluss. Bei vielen existierenden Lösungen erfolgt die Meldung von Leitungsfehlern auf der Feldseite über LEDs am Modul und optional als Sammelfehlermeldung. Dadurch ist aber eine steuerungsseitige Leitungsfehlererkennung im Feld über die galvanische Trennung des Moduls hinweg nicht ohne weiteres möglich. Man erhält bei einer Sammelfehlermeldung keine Informationen darüber, welcher Signalkreis fehlerhaft ist, die LEDs der Module müssten zusätzlich geprüft werden. Ist ein Fehlermeldeausgang vorhanden, muss dieser bei Modulen ohne LFT zusätzlich verdrahtet werden, um eine kanalspezifische Fehlererkennung durch die Steuerung zu gewährleisten. Außerdem wird eine zusätzliche Eingangskarte in der Steuerung benötigt.

Realisierung in Sicherheitsrelais
Eine lückenlose Leitungsüberwachung bieten bspw. die Sicherheitsrelais KFD2-RSH von Pepperl+Fuchs – über die galvanische Trennung des Moduls hinweg bis auf die Feldseite. Es erkennt nicht nur feldseitige Kurzschlüsse und Leitungsbrüche, sondern sorgt dafür, dass die Steuerung sie auch einem spezifischen Signalkreis zuordnen kann. Der LFT-fähige Relaisbaustein überwacht die angeschlossene Last im Feld. Liegt ein Fehler in der Feldverdrahtung (Kurzschluss, Leitungsbruch) vor, wird ein Testpulsfilter auf der Steuerungsseite verstimmt. Die DO Karte des Leitsystems kann so über dort integrierte Diagnosemaßnahmen den Fehler auf der Feldseite erkennen.
Der Testpulsfilter ist erforderlich, um die Kompatibilität zwischen Sicherheitsrelais und Steuerung und damit die einwandfreie Funktion des Signalkreises zu gewährleisten. Diagnosefunktionen von Sicherheitssteuerungen dürfen keineswegs zu Fehlfunktionen der Geräte führen. DO (Digital Output)-Karten von Steuerungen stellen üblicherweise inte­grierte Diagnosefunktionen zur Verfügung. Neben einer dynamischen Dia­gnosefunktion, den sogenannten „Testpulsen“, wird oftmals auch statisch der Feldkreis überprüft. Dazu werden die eingeprägte Prüfströme im ein- und ausgeschalteten Zustand durch die DO-Karte gemessen und ausgewertet.
Der Eingang der Sicherheitsrelais filtert die von der DO-Karte kommenden Testpulse, wodurch ein unbeabsichtigtes Schalten des Feldgerätes durch eine Diagnosemaßnahme oder die unbeabsichtigte Anzeige eines Leitungsfehlers in der Steuerung verhindert wird.
Zusätzlich ermöglicht dieser Eingang, dass von der DO-Karte kommende Prüfströme fließen können – es wird eine Minimallast im Ein-Zustand bereitgestellt und ein Prüfstrom im Aus-Zustand ermöglicht. Dabei wird die Schaltfunktion nicht beeinträchtigt.

Die Sicherheitsrelais mit LFT des K-Systems
Diagnosefunktion, Leitungsfehlertransparenz und eine 1oo3-Architektur (one-out-of-three) – diese Merkmale vereinigen die Sicherheitsrelais KFD2-RSH von Pepperl+Fuchs. Bei jedem Schaltvorgang wird die Funktion der Schaltkontakte automatisch mitgeprüft. Dadurch wird der Aufwand eines Proof Tests für den Anwender drastisch verringert. Die Geräte verfügen über eine umfassende Testpulsimmunität und sind daher kompatibel zu marktüblichen digitalen Ausgangskarten. Mit den neuen Sicherheitsrelais ist Ab- und Anschalten für Anwendungen nach IEC 61508 bis SIL 3 möglich, ein Abschalten zusätzlich bis EN-ISO 13849 Performance Level e.

Fazit
Die vollständige Überwachung auf Leitungsfehler auch auf der Feldseite ist für sicherheitsgerichtetes Anschalten unabdingbar. Leitungsfehlertransparente Interfacemodule können ohne zusätzliche Verdrahtung Informationen über Leitungsfehler an die Steuerung weitergeben. Erfahrungen aus Projekten der Fire & Gas Spezialisten bei Pepperl+Fuchs zufolge können mit LFT-Modulen durchschnittlich 15–20 € je Signalkreis gegenüber konventionellen Lösungen eingespart werden. Fast alle großen Leitsystemhersteller haben mittlerweile projektspezifische Tests von LFT-fähigen Geräten von Pepperl+Fuchs erfolgreich durchgeführt. Bei diesen Tests wird die Interoperabilität mit bestimmten Feldgeräten wie optischen oder akustischen Signalgebern und Ausgangskarten des Steuerungssystems nachgewiesen.
Neben Sicherheitsrelais mit LFT sind sowohl im K-System zur Hutschienenmontage als auch für das Termination-Board-basierte H-System viele weitere Funktionen mit LFT verfügbar, bspw. Schaltverstärker oder Ventilsteuerbausteine.