In vielen Prozessanlagen werden Druckmessstellen nicht nur zur Anzeige oder Regelung eingesetzt. Sie können auch Teil einer sicherheitsgerichteten Funktion sein. Ein Prozesstransmitter überwacht dann zum Beispiel, ob ein Druck zu hoch wird, ob ein Behälter überfüllt werden könnte, ob eine Pumpe gegen einen gefährlichen Zustand arbeitet oder ob eine Anlage automatisch abgeschaltet werden muss. In solchen Fällen reicht es nicht aus, nur einen „genauen Drucktransmitter“ auszuwählen. Die Messstelle muss im Zusammenhang mit funktionaler Sicherheit betrachtet werden.
Der Begriff SIL steht für Safety Integrity Level. Er beschreibt nicht einfach eine Produkteigenschaft, sondern die erforderliche Zuverlässigkeit einer sicherheitsgerichteten Funktion. Ein SIL-fähiger Prozesstransmitter kann ein wichtiger Baustein sein, aber der SIL einer Sicherheitsfunktion entsteht immer aus dem Zusammenspiel von Sensorik, Logik, Aktorik, Diagnose, Proof-Test, Dokumentation und Auslegung der gesamten Messkette.
Gerade bei Druckmessstellen ist diese Unterscheidung wichtig. Ein normaler Drucktransmitter kann den Prozess sehr gut überwachen und ein 4–20-mA-Signal an die SPS oder das Leitsystem liefern. Sobald der Messwert aber eine Abschaltung, Verriegelung oder Schutzfunktion auslösen soll, müssen zusätzliche Fragen beantwortet werden: Ist der Transmitter für sicherheitsgerichtete Anwendungen geeignet? Wie werden Fehler erkannt? Was passiert bei Leitungsbruch? Wie wird der Proof-Test durchgeführt? Und wie wird dokumentiert, dass die Sicherheitsfunktion über den gesamten Lebenszyklus zuverlässig bleibt?
Inhaltsverzeichnis
- Was bedeutet SIL bei Prozesstransmittern?
- Normale Prozessmessung oder sicherheitsgerichtete Messstelle?
- Wann Druckmessstellen sicherheitsrelevant werden
- Sensor, Logik und Aktor: SIL betrifft die gesamte Sicherheitsfunktion
- SIL-Prozesstransmitter richtig auswählen
- 4–20 mA, Fehlerstrom und Diagnose richtig bewerten
- HART-Diagnose: hilfreich, aber nicht automatisch sicherheitsgerichtet
- Proof-Test und Wiederholungsprüfung
- Dokumentation, Lebenszyklus und Verantwortlichkeiten
- Prozessanschluss, Druckmittler und Einbausituation
- Typische Fehler bei SIL-Druckmessstellen
- Praxisbeispiel: Hochdruckabschaltung an einem Prozessbehälter
- Welche Messgeräte / Produkte eignen sich?
- Fazit: SIL beginnt nicht beim Datenblatt, sondern bei der Sicherheitsfunktion
- FAQ: Häufige Fragen zu SIL-Prozesstransmittern
Was bedeutet SIL bei Prozesstransmittern?
SIL steht für Safety Integrity Level und beschreibt das erforderliche Maß an Risikoreduzierung einer sicherheitsgerichteten Funktion. In der Prozessindustrie geht es dabei häufig um Funktionen, die gefährliche Zustände verhindern oder begrenzen sollen. Ein Druckmesswert kann beispielsweise eine Abschaltung auslösen, wenn ein Grenzdruck überschritten wird.
Wichtig ist: SIL ist nicht einfach gleichbedeutend mit „besonders genau“. Ein hochgenauer Prozesstransmitter ist nicht automatisch für eine sicherheitsgerichtete Funktion geeignet. Für SIL-Anwendungen sind zusätzlich Ausfallverhalten, Diagnosefähigkeit, Fehlererkennung, Betriebsbewährung, Dokumentation, Proof-Test-Fähigkeit und die Einbindung in die komplette Sicherheitsfunktion entscheidend.
Ein Prozesstransmitter kann für sicherheitsgerichtete Anwendungen geeignet oder zertifiziert sein. Das bedeutet jedoch nicht automatisch, dass die gesamte Messstelle einen bestimmten SIL erfüllt. Der erreichbare SIL hängt von der vollständigen Sicherheitsfunktion ab: vom Sensor über die Steuerung bis zum abschaltenden Element. Auch Architektur, Redundanz, Prüfintervall und Ausfallwahrscheinlichkeiten müssen berücksichtigt werden.
In der Praxis ist deshalb eine saubere Sprache wichtig. Statt zu sagen „dieser Transmitter ist SIL 2“, ist häufig präziser: „Dieser Transmitter ist für den Einsatz in einer Sicherheitsfunktion bis SIL 2 geeignet, wenn die Randbedingungen der Herstellerdokumentation und der gesamten Sicherheitsbewertung erfüllt werden.“
| Begriff | Bedeutung | Wichtig für die Praxis |
|---|---|---|
| SIL | Safety Integrity Level einer sicherheitsgerichteten Funktion | Bezieht sich auf die gesamte Schutzfunktion, nicht nur auf den Sensor. |
| SIF | Safety Instrumented Function | Besteht aus Sensorik, Logik und abschaltendem Element. |
| SIL-fähiger Transmitter | Transmitter mit geeigneten sicherheitstechnischen Kennwerten | Muss passend zur Sicherheitsfunktion ausgewählt und dokumentiert werden. |
| Proof-Test | Wiederkehrende Prüfung zur Aufdeckung gefährlicher unerkannter Fehler | Prüfablauf und Intervall beeinflussen die Zuverlässigkeit der Sicherheitsfunktion. |
| Fehlerstrom | Definierter Stromwert zur Signalisierung eines Geräte- oder Messfehlers | Muss von SPS, Sicherheitssteuerung oder Leitsystem korrekt ausgewertet werden. |
Normale Prozessmessung oder sicherheitsgerichtete Messstelle?
Viele Druckmessstellen dienen der normalen Prozessführung. Der Druckwert wird angezeigt, geregelt, protokolliert oder für Bedienentscheidungen genutzt. In solchen Fällen stehen Genauigkeit, Langzeitstabilität, Prozessanschluss, Signalqualität, Medienverträglichkeit und Bedienbarkeit im Vordergrund. Ein Ausfall kann zu Produktionsstörungen oder Messfehlern führen, muss aber nicht automatisch ein sicherheitsrelevantes Risiko darstellen.
Eine sicherheitsgerichtete Messstelle hat eine andere Aufgabe. Sie soll einen gefährlichen Zustand verhindern oder die Anlage in einen sicheren Zustand bringen. Der Druckwert ist dann nicht nur eine Prozessinformation, sondern ein Eingangssignal für eine Schutzfunktion. Diese Schutzfunktion kann zum Beispiel ein Ventil schließen, eine Pumpe abschalten, eine Heizung sperren oder eine Anlage in einen sicheren Zustand fahren.
Der Unterschied liegt also nicht allein im Gerät, sondern im Zweck der Messung. Derselbe Drucktransmittertyp kann in einer Anlage nur zur Anzeige und in einer anderen Anlage als Teil einer Sicherheitsfunktion verwendet werden. Entscheidend ist, welche Folgen ein falscher, fehlender oder verzögerter Messwert haben kann.
Bei der Planung sollte deshalb zuerst geklärt werden, ob die Druckmessstelle zur normalen Prozessregelung gehört oder ob sie eine sicherheitsgerichtete Funktion auslöst. Erst danach kann entschieden werden, ob ein SIL-fähiger Prozesstransmitter benötigt wird und welche Anforderungen an Diagnose, Proof-Test und Dokumentation gelten.
| Merkmal | Normale Prozessmessung | Sicherheitsgerichtete Messstelle |
|---|---|---|
| Aufgabe | Anzeige, Regelung, Überwachung, Dokumentation | Vermeidung oder Begrenzung eines gefährlichen Zustands |
| Auswirkung eines Fehlers | Falscher Prozesswert, Qualitätsproblem oder Anlagenstörung | Möglicher Verlust der Schutzfunktion |
| Geräteauswahl | Genauigkeit, Medium, Druckbereich, Signal, Umgebung | Zusätzlich SIL-Eignung, Ausfallkennwerte, Diagnose und Proof-Test |
| Dokumentation | Technisches Datenblatt, Kalibrierung, Parametrierung | Zusätzlich Sicherheitsbewertung, Prüfablauf und Lebenszyklusdokumentation |
| Prüfung | Kalibrierung oder Funktionskontrolle | Proof-Test nach definierter Prüfprozedur |
Wann Druckmessstellen sicherheitsrelevant werden
Druck ist in vielen Anlagen eine sicherheitskritische Prozessgröße. Zu hoher Druck kann Behälter, Rohrleitungen, Dichtungen, Pumpen, Wärmetauscher oder Reaktoren überlasten. Zu niedriger Druck kann ebenfalls gefährlich sein, beispielsweise bei Trockenlauf, Unterdruck, fehlender Sperrflüssigkeit, unzureichender Versorgung oder falschem Prozesszustand.
Eine Druckmessstelle wird sicherheitsrelevant, wenn ihr Messwert dazu dient, einen gefährlichen Zustand zu erkennen und automatisch eine Schutzmaßnahme einzuleiten. Typische Beispiele sind Hochdruckabschaltungen, Niederdrucküberwachungen, Druckgrenzen an Reaktoren, Schutz von Kompressoren, Pumpenfreigaben, Filterüberwachungen mit sicherheitsrelevanter Konsequenz oder Überwachung von Druckdifferenzen in kritischen Prozessen.
Nicht jede Grenzwertmeldung ist automatisch eine SIL-Funktion. Eine Warnlampe oder eine einfache Betriebsgrenze kann Teil der normalen Prozessüberwachung sein. Sicherheitsrelevant wird die Funktion dann, wenn sie als Schutzmaßnahme gegen ein definiertes Risiko ausgelegt ist. Diese Abgrenzung sollte in der Risikoanalyse und im Sicherheitskonzept eindeutig beschrieben werden.
Besonders wichtig ist die Unabhängigkeit von Regelung und Schutzfunktion. Wenn derselbe Messwert sowohl zur normalen Regelung als auch zur sicherheitsgerichteten Abschaltung verwendet wird, muss geprüft werden, ob dies zulässig ist und ob gemeinsame Fehler die Schutzfunktion beeinträchtigen können. In vielen Anlagen werden deshalb separate Messstellen für Prozessregelung und Sicherheit eingesetzt.
Sensor, Logik und Aktor: SIL betrifft die gesamte Sicherheitsfunktion
Eine sicherheitsgerichtete Funktion besteht typischerweise aus drei Bereichen: Sensorik, Logik und Aktorik. Der Prozesstransmitter ist dabei nur der sensorische Teil. Er erkennt den Druckzustand und gibt ein Signal aus. Die Logik, zum Beispiel eine Sicherheits-SPS oder ein geeignetes Auswertegerät, bewertet dieses Signal. Das abschaltende Element, beispielsweise ein Ventil, Schütz, Stellglied oder eine Pumpenabschaltung, bringt den Prozess in den sicheren Zustand.
Für die Bewertung der Sicherheitsfunktion müssen alle drei Bereiche betrachtet werden. Ein sehr zuverlässiger SIL-fähiger Drucktransmitter reicht nicht aus, wenn das abschaltende Ventil nicht zuverlässig schließt oder die Logik Fehler nicht korrekt erkennt. Umgekehrt kann eine sehr gute Sicherheitssteuerung die Schwächen einer ungeeigneten Messstelle nicht vollständig kompensieren.
Auch die Architektur spielt eine Rolle. Eine einkanalige Messung hat andere Eigenschaften als eine redundante Messung mit zwei oder drei Transmittern. Bei redundanten Architekturen können Messwerte verglichen, Mehrheitsentscheidungen getroffen oder Fehler erkannt werden. Das erhöht jedoch auch den Planungs- und Dokumentationsaufwand.
Bei der Auslegung sollte daher nicht nur gefragt werden, ob ein einzelner Transmitter SIL-fähig ist. Entscheidend ist, ob die komplette Sicherheitsfunktion den geforderten SIL erreichen kann. Dazu gehören Ausfallraten, Diagnoseabdeckung, Proof-Test-Intervall, gemeinsame Ursachen, Prozessanschluss, Umgebungsbedingungen und die Fähigkeit des Systems, bei Fehlern in einen sicheren Zustand zu wechseln.
| Teil der Sicherheitsfunktion | Beispiel | Typische Fragestellung |
|---|---|---|
| Sensorik | SIL-fähiger Druck- oder Differenzdrucktransmitter | Wird der gefährliche Prozesszustand zuverlässig erkannt? |
| Logik | Sicherheits-SPS, Sicherheitsrelais oder geeignete Auswertung | Wird das Signal korrekt ausgewertet und werden Fehler erkannt? |
| Aktorik | Abschaltventil, Pumpe, Schütz, Absperrarmatur | Wird der Prozess sicher in den gewünschten Zustand gebracht? |
| Diagnose | Fehlerstrom, HART-Diagnose, Leitungsüberwachung | Welche Fehler werden automatisch erkannt? |
| Proof-Test | Wiederkehrende Funktionsprüfung | Welche gefährlichen unentdeckten Fehler werden aufgedeckt? |
SIL-Prozesstransmitter richtig auswählen
Bei der Auswahl eines SIL-Prozesstransmitters müssen zunächst die normalen technischen Anforderungen erfüllt sein. Dazu gehören Messbereich, Überlastfestigkeit, Prozessanschluss, Medium, Temperatur, Werkstoff, Dichtung, Genauigkeit, Ausgangssignal, Gehäuse, elektrische Zulassung und Umgebungsbedingungen. Ein Transmitter, der sicherheitstechnisch geeignet ist, aber prozesstechnisch nicht passt, ist keine gute Lösung.
Zusätzlich müssen die sicherheitstechnischen Angaben des Herstellers betrachtet werden. Dazu zählen zum Beispiel die Eignung für bestimmte Sicherheitsfunktionen, die relevanten Ausfallkennwerte, die zulässige Betriebsart, Hinweise zur Parametrierung, Anforderungen an Proof-Tests und Angaben zu Diagnosen. Diese Informationen befinden sich häufig nicht nur im normalen Datenblatt, sondern in zusätzlichen Sicherheitshandbüchern oder Herstellerdokumentationen.
Auch die Messbereichsauslegung ist wichtig. Ein Sicherheitsgrenzwert sollte innerhalb eines sinnvoll nutzbaren Messbereichs liegen. Wird ein sehr großer Messbereich gewählt, obwohl nur ein kleiner kritischer Bereich überwacht wird, kann die Auflösung und Genauigkeit im relevanten Bereich ungünstig sein. Wird der Messbereich zu knapp gewählt, können Überlast, Sättigung oder falsche Grenzwertbewertung entstehen.
Bei Differenzdruckmessungen, Füllstand über Druck, Hochtemperaturmedien oder aggressiven Medien wird die Auswahl komplexer. Druckmittler, Kapillarleitungen, Ventilblöcke, Kondensatgefäße oder Schutzmaßnahmen gegen Druckspitzen können notwendig sein. Diese Komponenten beeinflussen Ansprechzeit, Messverhalten und Prüfkonzept und müssen deshalb in die Sicherheitsbetrachtung einbezogen werden.
| Auswahlkriterium | Warum es wichtig ist | Typischer Fehler |
|---|---|---|
| SIL-Eignung | Transmitter muss für die geplante Sicherheitsfunktion geeignet sein | Nur „SIL“ im Datenblatt gesehen, aber Randbedingungen nicht geprüft. |
| Messbereich | Grenzwert muss zuverlässig und ausreichend genau erfasst werden | Messbereich zu groß oder zu klein gewählt. |
| Prozessanschluss | Messstelle muss den Prozessdruck sicher übertragen | Verstopfung, Druckspitzen oder ungeeigneter Anschluss unterschätzt. |
| Diagnosefähigkeit | Fehler sollen erkannt und eindeutig ausgewertet werden | Fehlerstrom oder Diagnosemeldungen werden nicht in der Steuerung berücksichtigt. |
| Proof-Test-Fähigkeit | Wiederkehrende Prüfung muss praktisch durchführbar sein | Messstelle lässt sich im Betrieb nicht sinnvoll prüfen. |
4–20 mA, Fehlerstrom und Diagnose richtig bewerten
Viele Prozesstransmitter übertragen den Messwert über ein 4–20-mA-Signal. Dieses Signal ist in Prozessanlagen weit verbreitet und eignet sich gut für robuste analoge Messketten. Bei einer Sicherheitsfunktion ist jedoch nicht nur der normale Messwertbereich wichtig, sondern auch das Verhalten bei Fehlern.
Ein 4–20-mA-Signal kann so konfiguriert sein, dass Fehlerzustände durch einen definierten Fehlerstrom signalisiert werden. Je nach Gerät und Parametrierung kann der Strom bei einem Fehler unterhalb des normalen Bereichs oder oberhalb des normalen Bereichs liegen. Die Auswertung muss genau wissen, welche Werte als gültiger Messwert und welche Werte als Fehler zu behandeln sind.
Besonders kritisch ist die falsche Interpretation von Fehlerströmen. Wenn die Steuerung einen Fehlerstrom als normalen Prozesswert interpretiert, kann die Sicherheitsfunktion versagen oder unnötig auslösen. Deshalb müssen Sensorparametrierung, Sicherheits-SPS, Grenzwertlogik und Diagnoseauswertung sauber aufeinander abgestimmt sein.
Auch Leitungsbruch, Kurzschluss, Unterversorgung, Bürdenprobleme und EMV-Einflüsse müssen berücksichtigt werden. Ein 4–20-mA-Kreis ist robust, aber nicht unfehlbar. Für sicherheitsgerichtete Anwendungen sollte geprüft werden, wie die komplette Stromschleife überwacht wird und wie die Anlage bei unplausiblen Signalen reagiert.
Für Inbetriebnahme und Fehlersuche ist der UPS4E Stromschleifen-Kalibrator ein passendes Werkzeug. Er kann mA-Signale messen oder simulieren, eine Schleifenversorgung bereitstellen und so helfen, Transmitter, Verdrahtung, Analogeingang und Skalierung getrennt zu bewerten. Gerade bei 4–20-mA-Sicherheitsmessstellen ist diese Trennung wichtig, weil nicht jeder Fehler am Sensor liegt.
HART-Diagnose: hilfreich, aber nicht automatisch sicherheitsgerichtet
Viele moderne Prozesstransmitter bieten HART-Kommunikation. Über HART lassen sich Parameter auslesen, Messbereiche einstellen, Diagnoseinformationen abrufen und Geräteinformationen prüfen. Das ist bei Inbetriebnahme, Wartung und Fehlersuche sehr hilfreich, weil der Transmitter mehr Informationen liefert als nur den analogen 4–20-mA-Wert.
Für sicherheitsgerichtete Funktionen muss jedoch geklärt werden, welche Informationen tatsächlich Teil der Sicherheitsfunktion sind. In vielen Anwendungen bleibt das analoge 4–20-mA-Signal der sicherheitsrelevante Messwert, während HART für Diagnose, Parametrierung oder Wartung genutzt wird. Ob und wie HART-Daten sicherheitsgerichtet verwendet werden dürfen, hängt von Gerät, Systemarchitektur und Herstellerdokumentation ab.
HART-Diagnosen können helfen, Probleme frühzeitig zu erkennen. Dazu gehören zum Beispiel Sensorfehler, Elektronikfehler, Messbereichsüberschreitung, Konfigurationsabweichungen oder interne Gerätemeldungen. Diese Informationen sind wertvoll, ersetzen aber nicht automatisch einen Proof-Test und nicht die sicherheitstechnische Bewertung der gesamten Messkette.
Bei SIL-Anwendungen sollte außerdem festgelegt werden, wer Parameter ändern darf und wie Änderungen dokumentiert werden. Eine unbeabsichtigte Änderung von Messbereich, Dämpfung, Fehlerstromverhalten oder Ausgangszuordnung kann direkte Auswirkungen auf die Sicherheitsfunktion haben. Parametrierung und Änderungsmanagement sind deshalb ein wichtiger Teil des Lebenszyklus.
Proof-Test und Wiederholungsprüfung
Der Proof-Test ist eine wiederkehrende Prüfung, mit der gefährliche unerkannte Fehler aufgedeckt werden sollen. Bei einem Drucktransmitter kann dies zum Beispiel bedeuten, dass definierte Druckpunkte angefahren werden und geprüft wird, ob der Transmitter, die Stromschleife und die Auswertung korrekt reagieren. Je nach Prüfkonzept wird nur ein Teil der Messkette oder die gesamte Sicherheitsfunktion geprüft.
Ein Proof-Test ist nicht automatisch identisch mit einer normalen Kalibrierung. Eine Kalibrierung bewertet die Messabweichung gegenüber einer Referenz. Ein Proof-Test bewertet, ob die Sicherheitsfunktion beziehungsweise ein Teil davon im geforderten Sinn funktioniert und ob gefährliche Fehler erkannt werden. In der Praxis können sich beide Tätigkeiten überschneiden, müssen aber fachlich unterschieden werden.
Das Proof-Test-Intervall beeinflusst die Zuverlässigkeit der Sicherheitsfunktion. Je länger ein gefährlicher unerkannter Fehler bestehen könnte, desto stärker kann die Sicherheitsintegrität beeinträchtigt werden. Deshalb müssen Prüfintervall, Testabdeckung und Prüfverfahren zur Sicherheitsbewertung passen.
Ein guter Proof-Test ist praktisch durchführbar, eindeutig dokumentiert und reproduzierbar. Es sollte klar sein, welche Komponenten geprüft werden, welche Prüfpunkte verwendet werden, welche Toleranzen gelten, wie die Anlage in einen sicheren Zustand gebracht wird und wie das Ergebnis dokumentiert wird. Bei Druckmessstellen muss außerdem geklärt werden, ob der Prozessdruck simuliert, eine Prüfpumpe angeschlossen oder ein Bypass beziehungsweise Ventilblock genutzt wird.
| Prüfaspekt | Frage in der Praxis | Warum wichtig? |
|---|---|---|
| Prüfumfang | Wird nur der Transmitter oder die gesamte Sicherheitsfunktion geprüft? | Nur geprüfte Teile tragen zur Testabdeckung bei. |
| Prüfpunkte | Welche Druckwerte oder mA-Werte werden geprüft? | Grenzwert und Messbereich müssen sinnvoll abgedeckt werden. |
| Prüfintervall | Wie oft muss die Wiederholungsprüfung erfolgen? | Das Intervall beeinflusst die Sicherheitsintegrität. |
| Testabdeckung | Welche gefährlichen Fehler werden tatsächlich erkannt? | Ein unvollständiger Test kann falsche Sicherheit vermitteln. |
| Dokumentation | Wie wird das Ergebnis nachvollziehbar festgehalten? | Wichtig für Audit, Betreiberpflichten und Lebenszyklusmanagement. |
Dokumentation, Lebenszyklus und Verantwortlichkeiten
Funktionale Sicherheit endet nicht mit dem Einbau eines SIL-fähigen Prozesstransmitters. Sie muss über den gesamten Lebenszyklus der Anlage betrachtet werden. Dazu gehören Planung, Auswahl, Inbetriebnahme, Betrieb, Wartung, Wiederholungsprüfung, Änderungen, Reparaturen und Stilllegung.
Für jede sicherheitsgerichtete Druckmessstelle sollte nachvollziehbar dokumentiert sein, welche Funktion sie erfüllt, welcher Grenzwert gilt, welche Geräte eingesetzt werden, welche Parameter eingestellt sind und wie die Prüfung durchgeführt wird. Auch Änderungen am Messbereich, an der Dämpfung, an der Fehlersignalisierung oder an der Steuerungslogik müssen kontrolliert und dokumentiert werden.
Die Verantwortlichkeiten sollten klar geregelt sein. Der Gerätehersteller stellt Daten, Sicherheitshinweise und technische Dokumentation bereit. Der Anlagenplaner oder Betreiber muss bewerten, ob das Gerät in der konkreten Sicherheitsfunktion geeignet ist. Die Instandhaltung muss Prüfungen korrekt durchführen und dokumentieren. Die Automatisierungstechnik muss sicherstellen, dass Signale korrekt ausgewertet werden.
Ein häufiger Schwachpunkt ist der Umgang mit Ersatzgeräten. Wenn ein defekter Transmitter ersetzt wird, reicht es nicht, nur das mechanisch passende Modell einzubauen. Messbereich, Ausgangsverhalten, SIL-Eignung, Parametrierung, Dämpfung, Fehlerstrom, HART-Parameter und Proof-Test-Dokumentation müssen wieder zur Sicherheitsfunktion passen.
Prozessanschluss, Druckmittler und Einbausituation
Bei Druckmessstellen wird die elektrische Seite häufig sehr genau betrachtet, während der Prozessanschluss unterschätzt wird. Für eine Sicherheitsfunktion ist jedoch entscheidend, dass der Prozessdruck zuverlässig am Sensor ankommt. Verstopfte Druckkanäle, geschlossene Ventile, gefrorene Impulsleitungen, verschmutzte Druckmittler oder falsche Montage können dazu führen, dass der Transmitter einen plausiblen, aber falschen Druckwert liefert.
Bei Differenzdrucktransmittern sind Ventilblöcke, Wirkdruckleitungen, Entlüftung, Kondensatgefäße und Höhenunterschiede besonders wichtig. Wenn High- und Low-Seite vertauscht, Leitungen verstopft oder Ventile falsch gestellt sind, kann die Sicherheitsfunktion beeinträchtigt werden. Deshalb müssen mechanischer Aufbau und Inbetriebnahme genauso sorgfältig geplant werden wie die elektrische Signalverarbeitung.
Druckmittler und Kapillarleitungen können notwendig sein, wenn Medien aggressiv, heiß, zäh, kristallisierend oder hygienisch kritisch sind. Sie schützen den Transmitter, beeinflussen aber auch Ansprechzeit, Temperaturverhalten und Prüfkonzept. In SIL-Anwendungen sollte geprüft werden, ob die komplette Messanordnung für die geforderte Funktion geeignet ist.
Auch Druckspitzen, Pulsationen und Vibrationen können die Messstelle belasten. Ein Transmitter kann elektrisch geeignet sein und trotzdem mechanisch früh ausfallen, wenn Druckstöße oder ungeeignete Montage nicht berücksichtigt werden. Für sicherheitsgerichtete Messstellen ist eine robuste Prozessintegration daher ein zentraler Bestandteil der Auslegung.
Typische Fehler bei SIL-Druckmessstellen
Ein häufiger Fehler ist die Annahme, dass ein SIL-fähiger Transmitter allein die Sicherheitsfunktion erfüllt. Tatsächlich muss die gesamte Sicherheitsfunktion betrachtet werden. Wenn Logik, Aktorik, Parametrierung oder Proof-Test nicht passen, hilft auch ein geeigneter Sensor nur begrenzt.
Ein weiterer typischer Fehler ist die fehlende Trennung zwischen Prozessregelung und Schutzfunktion. Wird derselbe Messwert gleichzeitig für Regelung und Abschaltung verwendet, können gemeinsame Fehler entstehen. Ob das zulässig ist, muss im Sicherheitskonzept bewertet werden.
Auch die Parametrierung wird häufig unterschätzt. Messbereich, Dämpfung, Fehlerstrom, HART-Parameter, Grenzwert und Skalierung müssen exakt zur Sicherheitsfunktion passen. Ein falsch parametrierter Transmitter kann im normalen Betrieb plausibel wirken, aber im Grenzfall zu spät oder falsch reagieren.
Schließlich wird der Proof-Test oft zu spät bedacht. Wenn eine Messstelle im Betrieb kaum erreichbar ist oder kein geeigneter Prüfanschluss vorhanden ist, wird die wiederkehrende Prüfung aufwendig oder unvollständig. Deshalb sollte der Proof-Test bereits bei der Planung der Messstelle berücksichtigt werden.
| Fehler | Mögliche Auswirkung | Vorbeugende Maßnahme |
|---|---|---|
| SIL nur als Produkteigenschaft verstanden | Gesamte Sicherheitsfunktion wird nicht ausreichend bewertet | SIF aus Sensor, Logik und Aktor betrachten. |
| Falscher Messbereich | Grenzwert wird ungenau, zu spät oder gar nicht erkannt | Messbereich passend zum Sicherheitsgrenzwert wählen. |
| Fehlerstrom nicht ausgewertet | Gerätefehler wird als normaler Messwert interpretiert | Fehlerstromlogik in SPS oder Sicherheitssteuerung prüfen. |
| Dämpfung zu hoch eingestellt | Schutzfunktion reagiert verzögert | Ansprechzeit und Prozessdynamik bewerten. |
| Proof-Test nicht praktikabel | Gefährliche unerkannte Fehler bleiben unentdeckt | Prüfanschluss, Ventilblock und Prüfablauf schon bei Planung berücksichtigen. |
| Mechanischer Prozessanschluss verstopft | Transmitter misst nicht mehr den realen Prozessdruck | Prozessanschluss, Impulsleitung und Wartungskonzept prüfen. |
Praxisbeispiel: Hochdruckabschaltung an einem Prozessbehälter
Ein Prozessbehälter wird mit Druck beaufschlagt. Die normale Prozessregelung hält den Betriebsdruck in einem zulässigen Bereich. Zusätzlich soll eine unabhängige Hochdruckabschaltung verhindern, dass der Behälter einen kritischen Druck überschreitet. Die Abschaltung soll bei einem definierten Grenzwert ein Ventil schließen und die Druckzufuhr unterbrechen.
Für die normale Regelung wird ein Drucktransmitter an das Leitsystem angeschlossen. Für die sicherheitsgerichtete Funktion wird eine separate Druckmessstelle mit einem SIL-fähigen Prozesstransmitter vorgesehen. Dieser Transmitter gibt ein 4–20-mA-Signal an eine geeignete Sicherheitslogik. Dort wird der Grenzwert ausgewertet, und bei Überschreitung wird das abschaltende Element angesteuert.
Bei der Auslegung wird geprüft, ob Messbereich, Überlastfähigkeit, Prozessanschluss und Medium zum Behälter passen. Zusätzlich werden Fehlerstromverhalten, Diagnose, Proof-Test-Prozedur und Prüfintervall festgelegt. Der Transmitter wird so parametriert, dass der Sicherheitsgrenzwert im gut nutzbaren Bereich der Messspanne liegt und die Dämpfung die Reaktionszeit nicht unnötig verlängert.
Für die Inbetriebnahme wird die Stromschleife geprüft. Mit einem Stromschleifen-Kalibrator kann ein definierter mA-Wert simuliert werden, um zu prüfen, ob die Sicherheitslogik den Grenzwert korrekt erkennt. Zusätzlich wird der Transmitter mit Druck beaufschlagt, um zu prüfen, ob Sensor, Ausgangssignal und Auswertung zusammenpassen. Das Ergebnis wird dokumentiert.
Das Beispiel zeigt: Die Auswahl des SIL-Prozesstransmitters ist nur ein Teil der Aufgabe. Entscheidend ist die vollständige Schutzfunktion vom Prozessdruck über die Messstelle bis zum sicheren Abschalten.
Welche Messgeräte / Produkte eignen sich?
Für sicherheitsgerichtete Druckmessstellen ist der Bereich Prozesstransmitter / Differenzdrucktransmitter der passende Einstieg. Dort finden sich robuste Transmitter für Druck, Differenzdruck, Füllstand und Prozessanwendungen, je nach Ausführung mit 4–20 mA, HART, Feldbus, Diagnose, Ex-Schutz, Druckmittleroptionen und SIL-Eignung.
Als konkretes Beispiel kann der WIKA IPT-20 / IPT-21 Prozesstransmitter relevant sein. Er ist für anspruchsvolle Prozessdruckmessungen vorgesehen und wird auf der ICS-Seite unter anderem mit Ex-Schutz nach ATEX/IECEx und Einsatzmöglichkeiten bis SIL 2 beziehungsweise SIL 3 beschrieben. Welche Ausführung im Einzelfall geeignet ist, muss anhand der konkreten Messstelle, Herstellerdokumentation und Sicherheitsbewertung geprüft werden.
Für allgemeine Druckmessstellen, Maschinen- und Anlagenanwendungen sind außerdem Drucksensoren / Differenzdrucksensoren relevant. Sie eignen sich für viele Prozess- und Maschinenmessungen, sind aber nicht automatisch Teil einer sicherheitsgerichteten Funktion. Für SIL-Anwendungen muss gezielt geprüft werden, ob das jeweilige Gerät und die gesamte Messkette die Anforderungen erfüllen.
Bei 4–20-mA-Stromschleifen ist der UPS4E Stromschleifen-Kalibrator ein sinnvolles Werkzeug für Inbetriebnahme, Loop-Check und Fehlersuche. Er kann mA-Signale messen und simulieren, eine 24-V-Schleifenversorgung bereitstellen und bei der Prüfung von Transmitter, Verdrahtung, Analogeingang und Skalierung helfen. Besonders bei sicherheitsrelevanten Messstellen ist eine klare Trennung zwischen Sensorfehler, Stromschleifenfehler und Auswertefehler wichtig.
Für wiederkehrende Prüfungen und vollständige Druckkalibrierungen können zusätzlich passende Geräte aus dem Bereich Druckkalibriertechnik erforderlich sein. Je nach Messbereich und Medium kommen pneumatische oder hydraulische Druckerzeugung, Referenzgeräte, Kalibrierpumpen oder mobile Kalibrierlösungen infrage.
| Produkt / Bereich | Typischer Einsatz | Besonders relevant bei |
|---|---|---|
| Prozesstransmitter / Differenzdrucktransmitter | Druck-, Differenzdruck- und Füllstandmessung in Prozessanlagen | Sicherheitsgerichteten Messstellen, Ex-Bereichen, HART und Diagnose |
| WIKA IPT-20 / IPT-21 Prozesstransmitter | Robuste Prozessdruckmessung | Anwendungen mit hohen Anforderungen, Ex-Schutz und möglicher SIL-Eignung |
| Drucksensoren / Differenzdrucksensoren | Allgemeine Druck- und Differenzdruckmessung | Prozessüberwachung, Maschinenbau, Filter, Füllstand und Steuerung |
| UPS4E Stromschleifen-Kalibrator | Prüfung und Simulation von 4–20-mA-Signalen | Loop-Check, Inbetriebnahme, Fehlerstromprüfung und SPS-Skalierung |
| Druckkalibriertechnik | Erzeugung und Referenzmessung von Prüfdruck | Kalibrierung, Proof-Test-Vorbereitung und wiederkehrender Prüfung |
Fazit: SIL beginnt nicht beim Datenblatt, sondern bei der Sicherheitsfunktion
Ein Prozesstransmitter mit SIL-Eignung kann ein zentraler Baustein für eine sicherheitsgerichtete Druckmessstelle sein. Entscheidend ist aber nicht nur das Gerät, sondern die gesamte Sicherheitsfunktion. Sensor, Logik, Aktorik, Parametrierung, Fehlerverhalten, Proof-Test und Dokumentation müssen zusammenpassen.
Bei Druckmessstellen ist außerdem die Prozessintegration besonders wichtig. Ein verstopfter Prozessanschluss, ein falsch eingestellter Ventilblock, eine zu hohe Dämpfung oder eine ungeeignete Messbereichsauslegung kann die Schutzfunktion beeinträchtigen, auch wenn der Transmitter selbst geeignet ist.
Für 4–20-mA-Messketten ist eine saubere Prüfung der Stromschleife unverzichtbar. Mit einem Stromschleifen-Kalibrator wie dem UPS4E lassen sich Transmittersignal, Verdrahtung, Analogeingang und Skalierung gezielt prüfen. Bei SIL-Anwendungen ersetzt das keine vollständige Sicherheitsbewertung, hilft aber dabei, typische Fehler in der Messkette frühzeitig zu erkennen.
FAQ: Häufige Fragen zu SIL-Prozesstransmittern
Was bedeutet SIL bei einem Prozesstransmitter?
SIL steht für Safety Integrity Level. Bei einem Prozesstransmitter bedeutet dies, dass das Gerät unter bestimmten Bedingungen für den Einsatz in sicherheitsgerichteten Funktionen geeignet sein kann. Der SIL der gesamten Schutzfunktion hängt jedoch von der kompletten Messkette ab.
Ist ein SIL-Transmitter automatisch sicher?
Nein. Ein SIL-fähiger Transmitter ist nur ein Baustein. Die gesamte Sicherheitsfunktion aus Sensor, Logik und Aktor muss bewertet, dokumentiert und geprüft werden.
Was ist der Unterschied zwischen SIL-fähig und SIL-zertifiziert?
SIL-fähig beschreibt allgemein die Eignung für sicherheitsgerichtete Anwendungen. SIL-zertifiziert bedeutet, dass entsprechende Nachweise oder Zertifikate vorliegen. Im Einzelfall müssen Herstellerdokumentation und Anwendung genau geprüft werden.
Wann wird eine Druckmessstelle sicherheitsrelevant?
Sie wird sicherheitsrelevant, wenn der Druckmesswert eine Schutzfunktion auslöst, zum Beispiel eine Abschaltung, Verriegelung oder Begrenzung eines gefährlichen Zustands.
Ist jede Drucküberwachung mit Grenzwert eine SIL-Funktion?
Nein. Eine einfache Alarm- oder Betriebsgrenze ist nicht automatisch eine SIL-Funktion. Entscheidend ist, ob die Funktion als Schutzmaßnahme gegen ein definiertes Risiko ausgelegt ist.
Kann derselbe Transmitter für Regelung und Sicherheit verwendet werden?
Das muss im Sicherheitskonzept bewertet werden. Gemeinsame Nutzung kann gemeinsame Fehler verursachen. In vielen Anwendungen werden Regelung und Sicherheitsfunktion getrennt ausgeführt.
Warum ist der Messbereich bei SIL-Drucktransmittern so wichtig?
Der Sicherheitsgrenzwert muss im sinnvoll nutzbaren Bereich der Messspanne liegen. Ein zu großer oder zu kleiner Messbereich kann Genauigkeit, Auflösung oder Überlastverhalten ungünstig beeinflussen.
Welche Rolle spielt das 4–20-mA-Signal?
Das 4–20-mA-Signal überträgt den Messwert an Steuerung oder Sicherheitslogik. Bei Sicherheitsfunktionen muss zusätzlich das Fehlerstromverhalten korrekt parametriert und ausgewertet werden.
Was ist ein Fehlerstrom?
Ein Fehlerstrom ist ein definierter Stromwert außerhalb oder am Rand des normalen Messbereichs, der einen Geräte- oder Messfehler signalisiert. Die Auswertung muss diesen Zustand korrekt erkennen.
Warum ist HART bei SIL-Transmittern nützlich?
HART kann Diagnoseinformationen, Geräteparameter und Messwerte bereitstellen. Es erleichtert Inbetriebnahme und Wartung. Ob HART-Daten Teil der Sicherheitsfunktion sind, muss jedoch anwendungsspezifisch geprüft werden.
Was ist ein Proof-Test?
Ein Proof-Test ist eine wiederkehrende Prüfung, mit der gefährliche unerkannte Fehler aufgedeckt werden sollen. Er kann den Transmitter, die Stromschleife, die Logik oder die gesamte Sicherheitsfunktion betreffen.
Ist ein Proof-Test das gleiche wie eine Kalibrierung?
Nein. Eine Kalibrierung prüft die Messabweichung gegenüber einer Referenz. Ein Proof-Test prüft, ob die sicherheitsgerichtete Funktion beziehungsweise ein Teil davon im geforderten Sinn funktioniert.
Warum muss der Proof-Test schon bei der Planung bedacht werden?
Wenn keine geeigneten Prüfanschlüsse, Ventilblöcke oder Bypassmöglichkeiten vorgesehen sind, wird die wiederkehrende Prüfung später aufwendig oder unvollständig.
Welche Fehler treten bei SIL-Druckmessstellen häufig auf?
Typisch sind falsche Messbereiche, nicht ausgewertete Fehlerströme, zu hohe Dämpfung, ungeeignete Prozessanschlüsse, fehlende Proof-Test-Prozeduren und die Annahme, dass ein SIL-fähiger Sensor allein ausreicht.
Kann ein Druckmittler bei einer SIL-Messstelle eingesetzt werden?
Ja, wenn er für die Anwendung geeignet ist und in die Sicherheitsbetrachtung einbezogen wird. Druckmittler beeinflussen Ansprechzeit, Temperaturverhalten und Prüfkonzept.
Warum ist die Dämpfung des Transmitters relevant?
Eine hohe Dämpfung beruhigt das Signal, kann aber die Reaktion der Sicherheitsfunktion verzögern. Deshalb muss die Dämpfung zur Prozessdynamik und zum Sicherheitskonzept passen.
Wie prüft man eine 4–20-mA-Stromschleife bei einem SIL-Transmitter?
Mit einem Stromschleifen-Kalibrator wie dem UPS4E kann das mA-Signal gemessen oder simuliert werden. So lassen sich Transmitter, Verdrahtung, Analogeingang und Skalierung getrennt prüfen.
Was muss bei Ersatzgeräten beachtet werden?
Ersatzgeräte müssen nicht nur mechanisch passen. Messbereich, Parametrierung, Fehlerstrom, Dämpfung, SIL-Eignung und Dokumentation müssen wieder zur Sicherheitsfunktion passen.
Wer entscheidet, ob ein Transmitter für eine SIL-Funktion geeignet ist?
Die Eignung muss im Rahmen der Sicherheitsbewertung der Anlage beurteilt werden. Herstellerinformationen, Planer, Betreiber, Automatisierungstechnik und Instandhaltung müssen dabei zusammenspielen.
Kann ICS bei der Auswahl unterstützen?
ICS Schneider Messtechnik kann bei der Auswahl geeigneter Drucktransmitter, Prozesstransmitter, Kalibriertechnik und Stromschleifen-Prüfgeräte unterstützen. Die finale sicherheitstechnische Bewertung der konkreten Sicherheitsfunktion muss jedoch durch die dafür verantwortlichen Fachstellen erfolgen.