HIMA-Sicherheits-SPS und Yokogawa CENTUM: Implementierung von 1oo2- und 2oo3-Abstimmungslogik in SIS

Was ist Abstimmungslogik in sicherheitsgerichteten Systemen?

Die Abstimmungslogik bestimmt, wie Sensoren und Stellglieder reagieren, wenn Messwerte voneinander abweichen. In einer 1oo2-(Eins-aus-zwei-)Architektur kann jeder der beiden Sensoren eine Abschaltung auslösen. In einer 2oo3-(Zwei-aus-drei-)Architektur müssen mindestens zwei von drei Sensoren übereinstimmen, bevor eine Abschaltung ausgelöst wird.

Der HIMA-Prizm-Sicherheitscontroller und das Yokogawa-CENTUM-DCS werden häufig gemeinsam in GuD-Kraftwerken und Heizungsbehandlungseinheiten von Raffinerien eingesetzt. HIMA übernimmt die SIS-Ebene. Yokogawa CENTUM verwaltet die BPCS-Ebene und stellt über die ProSafe-RS-Integration die Bedienerschnittstelle bereit. Das HIMA-CPU-Modul F8640 ist eine bewährte Hardwareplattform für diese hochverfügbaren SIS-Architekturen.

Anforderungen der IEC 61511 an Abstimmungsarchitekturen

Die IEC 61511 definiert architektonische Einschränkungen für sicherheitsgerichtete Funktionen (SIFs). Die Hardwarefehlertoleranz (HFT) jedes Kanals muss dem angestrebten SIL entsprechen. Für SIL 2 erfordert HFT = 1 mindestens 2 Kanäle (1oo2). Für SIL 3 erfordert HFT = 2 mindestens 3 Kanäle (2oo3) oder zwei parallel geschaltete 1oo2-Subsysteme.

Darüber hinaus muss die PFD (Wahrscheinlichkeit eines Versagens bei Anforderung) für die vollständige Abstimmungsschleife berechnet werden. Dazu gehören die Messumformer, die Verarbeitung durch die Safety-PLC und die Stellglieder. Die vereinfachte PFD-Formel für eine 1oo2-Abstimmung lautet:

PFD₁oo₂ = 2 × λ_DU² × TI² / 3 + λ_DU × MTTR

Dabei ist λ_DU die Rate gefährlicher unerkannter Ausfälle, TI das Intervall der Wiederholungsprüfung (typischerweise 1 Jahr) und MTTR die mittlere Wiederherstellungszeit.

Schritt für Schritt: Konfiguration einer 2oo3-Abstimmung auf einer HIMA-Safety-PLC

Hier ist das praktische Vorgehen zur Konfiguration einer 2oo3-Druckabschaltung auf einem HIMA-Prizm-Controller, der über das HART-Protokoll mit drei Druckmessumformern verbunden ist:

• Schritt 1 — Messumformerkanäle zuweisen. Verdrahten Sie drei 4–20-mA-HART-Messumformer mit den HIMA-Analogeingangsmodulen (z. B. HIQUAD 4AI). Weisen Sie in der HIMA Engineering Studio den Kanälen die Adressen PT-101-A, PT-101-B und PT-101-C zu.
• Schritt 2 — Abstimmungsbaustein konfigurieren. Fügen Sie in der Logik der Safety-PLC einen 2oo3-Abstimmungsfunktionsbaustein ein. Setzen Sie die Eingangstags auf PT-101-A, PT-101-B und PT-101-C. Legen Sie den Abschaltgrenzwert auf 150 psi fest. Stellen Sie den Abstimmungstyp auf „2oo3 MAJORITY“ ein.
• Schritt 3 — HART-Kommunikation konfigurieren. Aktivieren Sie das HART-Protokoll für jeden Analogeingangskanal. Konfigurieren Sie die Primärvariable (PV) für den Druck in psi. Stellen Sie die Aktualisierungsrate für eine schnelle Reaktion der Sicherheitsschleife auf 100 ms ein.
• Schritt 4 — Abschaltausgang programmieren. Leiten Sie den Ausgang des Abstimmungsbausteins an das Digitalausgangsmodul weiter, das das EBV-Magnetventil ansteuert. Der Ausgang muss spannungslos (Abschaltung) werden, wenn der abgestimmte Druck länger als 500 ms (Entprellzeit) 150 psi überschreitet. Das Yokogawa ADV559-P01-Digitalausgangsmodul (DO) eignet sich für die Verdrahtung von Stellgliedern auf der CENTUM-Seite hybrider SIS-BPCS-Architekturen.
• Schritt 5 — In Yokogawa CENTUM integrieren. Verwenden Sie die Modbus-TCP-Schnittstelle, um den Status der abgestimmten Abschaltung an die Yokogawa-CENTUM-Bedienstation zu übertragen. Bestätigen Sie, dass der SIS-Alarm innerhalb von 1 Sekunde nach Eintreten der Abschaltbedingung in der CENTUM-Grafik erscheint. Das Yokogawa CENTUM VP AFV10D-S41201 Duplexed Field Control Unit stellt das redundante FCU-Backbone für einen zuverlässigen Modbus-TCP-Gateway-Betrieb bereit.

Häufige Fehler bei der Auslegung von SIS-Abstimmungen (ISA-84 / IEC 61511)

Erfahrungen aus der Praxis mit ISA-84 und IEC 61511 zeigen mehrere wiederkehrende Auslegungsfehler. Erstens führt die Verwendung von Sensoren desselben Herstellers in allen drei Abstimmungskanälen zu einem Ausfall gemeinsamer Ursache. Wenn die Sensorfirmware einen Fehler enthält, fallen alle drei Kanäle gleichzeitig aus. Verwenden Sie daher Sensoren von zwei verschiedenen Herstellern, um die Anforderungen an die Diversität zu erfüllen.

Zweitens führt die Führung aller drei Sensorkabel durch dasselbe Schutzrohr zu einem Gleichtaktausfall. Verschüttete Stoffe oder ein Brand in diesem Schutzrohr setzen die Redundanz außer Kraft. Verlegen Sie die Kabel auf getrennten Kabelpritschen mit einem physischen Abstand von mindestens 300 mm.

Drittens beeinträchtigt das Auslassen jährlicher Wiederholungsprüfungen die PFD-Berechnung. Wenn das Wiederholungsprüfintervall (TI) ohne erneute PFD-Berechnung von 1 Jahr auf 3 Jahre verlängert wird, erfüllt das System möglicherweise nicht mehr den angestrebten SIL.

Ausfall gemeinsamer Ursache in 2oo3-Architekturen

Der Ausfall gemeinsamer Ursache (Common Cause Failure, CCF) ist die größte Schwachstelle von Abstimmungsarchitekturen. Ein CCF tritt auf, wenn ein einzelnes Ereignis mehrere Kanäle gleichzeitig beeinträchtigt. Temperatur, Feuchtigkeit, Vibrationen und elektromagnetische Störungen sind typische Auslöser für CCF.

Zur Verringerung von CCF sollten Sie die folgenden Vorgehensweisen aus der Praxis befolgen. Installieren Sie erstens Sensoren in separaten Gehäusen oder an physisch getrennten Stellen am Prozessbehälter. Verwenden Sie zweitens separate Stromversorgungen für jeden Analogeingangskanal. Das Yokogawa SPW481-Wechselstromversorgungsmodul unterstützt eine dedizierte Stromverteilung pro Kanal in CENTUM-I/O-Schränken. Führen Sie drittens jährlich Diversitätsprüfungen durch. Bestätigen Sie, dass die drei Sensoren unterschiedliche Firmwareversionen oder unterschiedliche Hardwarerevisionen verwenden.

Bei korrekter Auslegung bleibt die PFD eines 2oo3-Systems auch bei Berücksichtigung eines CCF-Faktors von 5 % unter 0,001 (SIL 3). Ohne CCF-Minderung kann sich die effektive PFD um den Faktor 3 verschlechtern, wodurch die SIL-Konformität gefährdet wird.

Fazit und Handlungsempfehlung

Die Abstimmungslogik einer in Yokogawa CENTUM integrierten HIMA-Safety-PLC bietet einen robusten, SIL-zertifizierten Schutz für kritische Prozessanlagen. Die Architektur ist jedoch nur so zuverlässig wie ihr schwächstes Auslegungsdetail. Ausfälle gemeinsamer Ursache, Kabelführung und die konsequente Durchführung von Wiederholungsprüfungen sind die drei Bereiche, in denen Betriebsteams in der Praxis am häufigsten Defizite aufweisen.

Handlungsempfehlung: Planen Sie in diesem Quartal eine Überprüfung der Abstimmungslogik mit Ihrem Engineering-Team für sicherheitsgerichtete Systeme (SIS). Vergewissern Sie sich, dass alle 2oo3-Sensorkanäle physisch getrennt und an separate Stromversorgungen angeschlossen sind. Wenn ein Kanal ein Schutzrohr oder eine Stromschiene gemeinsam nutzt, nehmen Sie dies vor dem nächsten Anlagenstillstand als offenen Punkt in die Mängelliste auf.