Inbetriebnahme des Brenner-Management-Systems SIS: HIMA HIMatrix F60 und Triconex Tricon CX Feldverfahren

BMS-Architektur und Sicherheitsfunktionsgrenzen

Ein Brennermanagementsystem steuert die Brennstoffzufuhr, die Zündsequenz, die Flammenüberwachung und die Notabschaltung für befeuerte Anlagen. Sowohl NFPA 85 als auch IEC 61511 gelten, wenn das BMS sicherheitsgerichtete Funktionen umfasst. Die typische Architektur sieht eine Sicherheits-PLC vor – entweder HIMA HIMatrix F60 oder Triconex Tricon CX – als Logikrechner des sicherheitsgerichteten Systems. Das BPCS übernimmt die Sollwertverwaltung und das Luft-Kraftstoff-Verhältnis auf einem separaten Controller. Die beiden Systeme tauschen Daten über Modbus TCP aus, behalten jedoch eine strikte physische Trennung auf der E/A-Ebene bei.

Die HIMA HIMatrix F60 ist ein kompakter SIL-3-fähiger TMR-Controller, der in der Basiskonfiguration bis zu 96 digitale Eingänge und 48 digitale Ausgänge unterstützt. Der Triconex Tricon CX führt Triple Modular Redundancy mit 2oo3-Abstimmung auf der E/A-Modul-Ebene aus und bietet SIL-3-Hardware-Fehlertoleranz. Für ein BMS mit SIL-2-Bewertung bietet jede Plattform eine ausreichende Hardware-Integrität – die kritischen Einschränkungen ergeben sich aus dem Software-Design und dem Prüfintervall.

UV-Flammendetektor 2oo3-Abstimmungslogik

Die Flammenerkennung verwendet drei UV-Detektoren, die in einer 2oo3-Abstimmungsanordnung angeordnet sind. Diese Architektur erfordert, dass mindestens zwei Detektoren die Flammenpräsenz bestätigen, bevor der Logikrechner die weitere Brennstoffzufuhr zulässt. Auf der HIMA HIMatrix F60 konfigurieren Sie den Abstimmungsblock in SILworx als FB_Vote_2oo3-Funktionsblock. Stellen Sie den Abweichungs-Timeout auf 3 Sekunden ein – wenn ein Detektor länger als 3 Sekunden von den anderen beiden abweicht, erzeugt die HIMatrix einen Abweichungsalarm an das DCS.

Auf dem Triconex Tricon CX implementieren Sie dieselbe Logik mit TriStation IEC 61131-3 Structured Text. Fügen Sie an jedem Detektoreingang einen 500 ms Einschaltverzögerungstimer hinzu, um vorübergehende UV-Störungen durch Zündfunken auszuschließen. Dies verhindert falsche Flammenbestätigungssignale während der Zündsequenz.

• Schritt 1: Verdrahten Sie alle drei UV-Detektoren an separate HIMatrix F60 digitale Eingangskanäle – teilen Sie niemals eine gemeinsame Rückleitung mit dem Zündkreis.
• Schritt 2: Überprüfen Sie den Selbsttestausgang jedes Detektors. Ein funktionierender Fireye 45UV5 gibt alle 10 Sekunden ein 24 VDC-Selbsttestsignal aus. Ordnen Sie dieses einem dedizierten DI-Kanal zu und konfigurieren Sie in TriStation einen 30-Sekunden-Watchdog – der Ausfall des Selbsttestsignals für 30 Sekunden löst einen UV-Detektor-Fehleralarm aus.
• Schritt 3: Führen Sie für jeden Detektor einzeln einen Licht-und-Dunkel-Test durch. Blockieren Sie den UV-Sichtweg mit einer Blendenkarte. Verifizieren Sie, dass der zugehörige Detektoreingang innerhalb von 1 Sekunde auf 0 VDC fällt. Bestätigen Sie, dass die 2oo3-Abstimmung bei nur einem aktiven Detektor nicht FLAME_PROVEN meldet.

Spülsequenz-Timer: NFPA 85 Anforderungen

NFPA 85 verlangt, dass ein Verbrennungsgehäuse vor jedem Zündversuch mit mindestens vier Luftwechseln gespült wird. Die Spülvolumenstromrate muss mindestens 25 % des maximalen Auslegungsvolumenstroms betragen. Berechnen Sie die erforderliche Spüldauer mit folgender Formel:

T_spülen = (4 × V_Gehäuse) / Q_Luftstrom

Für ein 120 m³ großes Verbrennungsgehäuse mit einem Gebläse, das bei 25 % Klappenstellung 18 m³/min liefert: T_spülen = (4 × 120) / 18 = 26,7 Minuten. Runden Sie auf 27 Minuten auf und programmieren Sie dies als minimale Spülzeitvorgabe im HIMatrix SILworx-Spülsequenz-Funktionsblock. Der Timer muss ein sicherheitszertifizierter, nicht zurücksetzbarer Timer sein – fällt der Luftstrom während der Spülzeit unter die 25 %-Schwelle, setzt sich der Timer auf null zurück.

Auf dem Triconex Tricon CX implementieren Sie den Spültimer in TriStation mit einem TON (Timer On Delay)-Block und einer Vorgabe von 1620 Sekunden (27 Minuten). Verriegeln Sie den Timer-Aktivierungseingang mit dem Luftstromnachweisschalter – ein Differenzdruckschalter, der bei 0,5 kPa über der Luftklappe den erforderlichen Volumenstrom nachweist. Verifizieren Sie, dass die Ansprechzeit unter 2 Sekunden liegt, um die Anforderungen von NFPA 85 Abschnitt 8.3.4 zu erfüllen.

Doppel-Block-und-Entlüftungsventil-Sequenzierung

Die Brennstoffversorgung verwendet eine Doppel-Block-und-Entlüftungs-(DBB)-Anordnung – zwei normalerweise geschlossene Sicherheitsabsperrventile (SSOV) in Serie mit einem dazwischenliegenden normalerweise offenen Entlüftungsventil. NFPA 85 verlangt, dass jedes SSOV innerhalb von 1 Sekunde nach Erhalt eines Abschaltsignals schließt. Auf der HIMA HIMatrix F60 sequenzieren Sie die DBB-Ventile mit folgender Logik:

• Schritt 1: Bei BMS-Auslösung gleichzeitig die digitalen Ausgangskanäle von SSOV1 (upstream Block) und SSOV2 (downstream Block) über das HIMatrix F3 DIO Sicherheits-Ausgangsmodul spannungsfrei schalten. Beide erhalten den Spannungsfreigabebefehl innerhalb eines HIMatrix-Scanzyklus – typischerweise 10 ms.
• Schritt 2: Nach 200 ms Verzögerung das Entlüftungsventil ansteuern (normalerweise offen, während des Betriebs durch ein 24 VDC-Signal geschlossen gehalten). Das Abschalten des Entlüftungsventil-Ausgangskanals ermöglicht das Öffnen und die Spülung des Zwischenventilraums.
• Schritt 3: Starten Sie einen 2-Sekunden-Timer zur Bestätigung des Ventilschlusses. Die HIMatrix liest die SSOV-Endschalter zurück. Bestätigen Sie die geschlossene Position innerhalb von 2 Sekunden. Wenn einer der SSOV-Endschalter den geschlossenen Zustand nicht bestätigt, erzeugen Sie einen Ventilfehleralarm und verhindern den Neustart.
• Schritt 4: Für die Triconex Tricon CX-Implementierung verwenden Sie eine Zustandsmaschine in TriStation mit fünf Zuständen: IDLE, PURGING, IGNITING, RUNNING, TRIPPED. Jeder Zustandsübergang wird durch eine Menge von Booleschen Bedingungen gesteuert. Diese Struktur erleichtert die IEC 61511 Ursache-Wirkungs-Matrix-Verifikation während der Sicherheitsfallprüfung.

SIL 2 Nachweisprüfung und PFDavg-Neuberechnung

IEC 61511 Abschnitt 16.2.5 verlangt dokumentierte Nachweisprüfungen in Intervallen, die sich aus dem SIL 2 PFDavg-Ziel ableiten. Für eine BMS-Brennstoffabsperrfunktion mit SIL 2 muss der PFDavg unter 10⁻² (1 %) bleiben. Ein typisches Prüfintervall für ein ESD-Ventil mit einer gefährlichen, unentdeckten Ausfallrate (λDU) von 2,5 × 10⁻⁶ /h wird wie folgt berechnet:

PFDavg = λDU × Ti / 2

Um PFDavg = 0,005 (50 % des SIL 2-Limits) einzuhalten: Ti = (2 × 0,005) / (2,5 × 10⁻⁶) = 4000 Stunden ≈ 6 Monate.

Der Partial Stroke Test (PST) betätigt das ESD-Ventil teilweise, ohne den Prozess vollständig abzuschalten. Auf der HIMatrix F60 konfigurieren Sie eine PST-Funktion mit dem SILworx PST-Bibliotheksblock. Setzen Sie das PST-Hublimit auf 15 % des Ventilhubes – ausreichend, um Sitzverklebungen und mechanische Blockaden zu erkennen, ohne den Prozessfluss zu unterbrechen. Eine PST-Ansprechzeit von mehr als 8 Sekunden weist auf eine Verschlechterung des Stellantriebs hin – planen Sie einen Vollhubtest beim nächsten Wartungsfenster ein.

Berechnen Sie den PFDavg nach jedem PST-Ereignis neu. Dokumentieren Sie jedes PST-Ergebnis im HIMatrix-Diagnoselog und übertragen Sie die Daten in Ihr Sicherheitsfallmanagementsystem. IEC 61511 verlangt, dass diese Dokumentation während des gesamten Systemlebenszyklus – typischerweise 25 Jahre für befeuerte Anlagen – abrufbar bleibt.

Fazit und Handlungsempfehlung

Die Inbetriebnahme eines BMS ist keine reine Abhakübung. Jeder Parameter – Spültimerwert, UV-Abweichungs-Timeout, Ventilansprechzeit, PST-Hublimit – steht in direktem Zusammenhang mit einer Sicherheitsanforderung aus NFPA 85 oder IEC 61511. Nutzen Sie den integrierten Simulationsmodus von HIMA SILworx, um die Spülsequenzlogik vor dem Erstzünden vorab zu überprüfen. Bei Triconex Tricon CX-Projekten verwenden Sie den Zustandsmaschinen-Editor von TriStation und verknüpfen jede Übergangsbedingung mit der entsprechenden Zeilennummer Ihrer Ursache-Wirkungs-Matrix.

Führen Sie nach der Inbetriebnahme den ersten Vollhub-ESD-Ventiltest innerhalb von 30 Tagen durch, um eine Basisreaktionszeit zu ermitteln. Legen Sie einen 6-monatigen PST-Zeitplan und einen 12-monatigen Vollnachweis-Test-Zeitplan als feste Arbeitsaufträge fest. Diese Disziplinen halten Ihren BMS-PFDavg innerhalb der SIL-2-Grenze und belegen die IEC 61511-Konformität bei jeder Sicherheitsprüfung.

Autor: Liu Yang ist ein Industrieautomatisierungsingenieur mit über 10 Jahren Erfahrung in SPS-, DCS- und Leitsystemen.