SIL2-Massedrucksensor im Extruder: Proof-Test, Diagnose und Sicherheitsfunktion richtig planen

→ Produktkategorie: Dynisco-Produkte

 

Der Schmelzedruck gehört zu den wichtigsten Prozessgrößen einer Extrusionsanlage. Ein zu hoher Druck vor Sieb, Werkzeug oder Düse kann auf Verstopfung, falsche Prozessbedingungen oder eine mechanische Überlastung hinweisen und im ungünstigsten Fall zu Schäden an Extruder, Werkzeug oder nachgeschalteten Komponenten führen.

Wird der Massedruck deshalb nicht nur zur Prozessregelung, sondern zusätzlich für eine sicherheitsgerichtete Abschaltung verwendet, reicht ein normaler Drucksensor nicht automatisch aus. Sensor, Auswertung, Sicherheitslogik, Abschaltelement und wiederkehrende Prüfungen müssen gemeinsam als Sicherheitsfunktion betrachtet werden.

Ein SIL2-geeigneter Massedrucksensor wie beispielsweise ein Dynisco PT46X4 oder eine entsprechend zertifizierte SPX-Ausführung kann dabei das Sensorelement der Sicherheitsfunktion bilden.

Entscheidend ist jedoch:

Ein SIL2-zertifizierter beziehungsweise für SIL2 bewerteter Drucksensor macht die komplette Extruder-Sicherheitsfunktion nicht automatisch zu einer SIL2-Sicherheitsfunktion.

Für die tatsächliche Sicherheitsintegrität müssen unter anderem:

• die Sicherheitsfunktion eindeutig definiert,
• der gefährliche Prozesszustand festgelegt,
• Sensor, Logik und Abschaltelement gemeinsam bewertet,
• Diagnosemöglichkeiten berücksichtigt,
• Proof-Test-Abdeckung und Proof-Test-Intervall festgelegt,
• Ausfälle und Reparaturzeiten berücksichtigt,
• die komplette Funktion regelmäßig geprüft

werden.

Passende Schmelzedrucksensoren und Transmitter finden Sie unter Dynisco-Produkte bei ICS Schneider sowie unter Massedrucktransmitter.

Warum kann der Schmelzedruck eine Sicherheitsgröße sein?

Beim Extrudieren wird das Polymer durch Schnecke, Zylinder, Siebpaket und Werkzeug gefördert.

Der Druck entsteht unter anderem durch:

• Strömungswiderstand des Materials,
• Viskosität der Schmelze,
• Siebpaket,
• Werkzeuggeometrie,
• Durchsatz,
• Temperatur,
• Schneckendrehzahl.

Steigt der Strömungswiderstand

kann auch der Schmelzedruck deutlich steigen.

Typische Ursachen sind:

• zugesetzte Siebe,
• verstopfte Fließkanäle,
• zu niedrige Massetemperatur,
• falsches Material,
• zu hoher Durchsatz,
• Probleme am Werkzeug.

Ein definierter Hochdruckgrenzwert

kann deshalb Bestandteil einer Schutzfunktion sein.

Beispielsweise:

Schmelzedruck > Sicherheitsgrenzwert → Extruder in sicheren Zustand bringen

Wie dieser sichere Zustand tatsächlich aussieht, muss für die konkrete Maschine festgelegt werden.

Je nach Anlage kann dies beispielsweise beinhalten:

• Schneckenantrieb stoppen,
• Materialzufuhr unterbrechen,
• weitere gefahrbringende Funktionen abschalten,
• eine definierte Maschinenreaktion auslösen.

Was bedeutet SIL2 beim Massedrucksensor?

SIL steht für:

Safety Integrity Level

.

Der SIL beschreibt die geforderte Zuverlässigkeit einer sicherheitsgerichteten Funktion hinsichtlich gefährlicher Ausfälle.

Bei einem Drucksensor bedeutet eine SIL2-Bewertung

nicht:

Dieser Sensor garantiert automatisch SIL2 für die Maschine.

Sie stellt vielmehr sicherheitsrelevante Gerätedaten beziehungsweise eine entsprechende systematische Eignung zur Verfügung, die bei der Bewertung der gesamten Sicherheitsfunktion verwendet werden können.

Für die Sicherheitsfunktion werden zusätzlich benötigt

• Sensorik,
• Signalübertragung,
• Sicherheitslogik,
• Ausgangsstufe,
• Abschaltelement,
• Verdrahtung,
• Diagnose,
• Proof-Test-Konzept.

Die Bewertung muss deshalb immer für die gesamte Sicherheitsfunktion erfolgen.

Sensor und Sicherheitsfunktion nicht verwechseln

Eine sicherheitsgerichtete Funktion wird häufig als:

SIF – Safety Instrumented Function

bezeichnet.

Vereinfacht besteht sie aus:

Sensor → Logik → finales Abschaltelement

Beim Extruder könnte dies beispielsweise sein

Schmelzedrucksensor → Sicherheits-SPS → sichere Abschaltung des Extruderantriebes

.

Der Massedrucksensor ist damit nur ein Teil der Kette.

Die gesamte Funktion muss funktionieren

Ein perfekter Drucksensor hilft nicht, wenn:

• das Eingangssignal falsch skaliert ist,
• die Sicherheits-SPS den Grenzwert nicht korrekt auswertet,
• ein Ausgang festhängt,
• das Schütz beziehungsweise Antriebssystem nicht abschaltet.

Ein sinnvoller Proof-Test betrachtet deshalb nicht ausschließlich den Sensor, sondern – soweit die Prüfstrategie dies vorsieht – auch den tatsächlichen Reaktionsweg der Sicherheitsfunktion.

Sicherheitsfunktion eindeutig definieren

Bevor ein Sensor ausgewählt wird, sollte festgelegt werden, welche Funktion überhaupt sicherheitsgerichtet ausgeführt werden soll.

Eine Definition könnte beispielsweise lauten

Wenn der Schmelzedruck vor dem Werkzeug den festgelegten Sicherheitsgrenzwert überschreitet, muss der Extruderantrieb innerhalb der festgelegten Zeit sicher abgeschaltet werden.

Dafür müssen unter anderem bekannt sein

• Messstelle,
• maximal zulässiger Prozessdruck,
• Abschaltgrenzwert,
• zulässige Reaktionszeit,
• sicherer Maschinenzustand,
• Rücksetzbedingungen,
• Verhalten bei Sensorsignalfehler.

Diese Anforderungen gehören in die Sicherheitsanforderungsspezifikation beziehungsweise das entsprechende Maschinen-Sicherheitskonzept.

Wie sieht eine typische Sicherheitskette aus?

Eine vereinfachte Sicherheitskette kann beispielsweise bestehen aus:

SIL2-Massedrucktransmitter

→

sicherheitsgerichteter Analogeingang

→

Sicherheits-SPS

→

sicherer Ausgang

→

Antriebsabschaltung

.

Die Auslegung muss das tatsächliche Risiko berücksichtigen

Hierzu gehören unter anderem:

• erforderlicher SIL beziehungsweise Performance Level,
• Sensorarchitektur,
• Diagnosedeckungsgrad,
• Ausfallraten,
• Proof-Test-Intervall,
• Proof-Test-Abdeckung,
• Reparaturzeit,
• Architektur der Sicherheits-SPS und des finalen Elements.

Prozessregelung und Sicherheitsfunktion trennen

Der gleiche Schmelzedruck wird häufig gleichzeitig für:

• Prozessanzeige,
• Regelung,
• Alarmierung,
• Sicherheitsabschaltung

benötigt.

Regelung und Schutzfunktion verfolgen jedoch unterschiedliche Ziele

Die Prozessregelung versucht beispielsweise:

Druck konstant halten

.

Die Sicherheitsfunktion soll dagegen:

gefährlichen Überdruck sicher erkennen und beherrschen

.

Gemeinsame Komponenten können Common-Cause-Probleme erzeugen

Wird derselbe Sensor, dieselbe Eingangsbaugruppe und dieselbe Logik vollständig für beide Aufgaben verwendet, kann ein gemeinsamer Fehler beide Funktionen gleichzeitig beeinträchtigen.

Die notwendige Unabhängigkeit muss deshalb im Sicherheitskonzept bewertet werden.

Messbereich und Abschaltpunkt richtig auswählen

Der Messbereich eines SIL-Sensors sollte nicht ausschließlich anhand des normalen Betriebsdruckes ausgewählt werden.

Beispiel

Normaler Prozessdruck:

120 … 180 bar

.

Sicherheitsabschaltung:

250 bar

.

Ein Sensor mit einem Messbereich von:

0 … 200 bar

wäre offensichtlich ungeeignet, weil der sicherheitsrelevante Grenzwert außerhalb seines Messbereiches liegt.

Ein extrem großer Messbereich ist ebenfalls nicht automatisch optimal

Ein:

0 … 1.000 bar

Sensor könnte zwar genügend Reserve besitzen, bietet für einen 250-bar-Grenzwert jedoch eine andere nutzbare Auflösung und Messunsicherheit als ein sinnvoller engerer Bereich.

Bei der Auswahl sollten deshalb gemeinsam betrachtet werden:

• normaler Arbeitsbereich,
• Sicherheitsgrenzwert,
• mögliche Druckspitzen,
• Überdruckfestigkeit,
• Messgenauigkeit am Abschaltpunkt.

Welche Fehler muss die Diagnose erkennen?

Ein sicherheitsrelevanter Sensor kann auf unterschiedliche Weise ausfallen.

Mögliche Fehler sind beispielsweise

• Kabelbruch,
• Kurzschluss,
• Versorgungsausfall,
• Elektronikfehler,
• starker Nullpunktfehler,
• Verlust der Empfindlichkeit,
• beschädigte Membran,
• verstopfter Druckkanal,
• mechanisch blockierte Druckübertragung.

Nicht jeder Fehler wird automatisch erkannt

Eine Stromschleife kann beispielsweise elektrisch völlig plausibel aussehen, obwohl der Prozessdruck nicht mehr korrekt zur Messmembran übertragen wird.

Genau diese nicht automatisch erkannten gefährlichen Fehler sind ein wesentlicher Grund für Proof-Tests.

4–20-mA-Signal für die Sicherheitsfunktion

Die Dynisco PT46X4-Serie stellt ein:

4 … 20 mA

Ausgangssignal bereit.

Typischerweise entspricht:

4 mA = Messbereichsanfang

und:

20 mA = Messbereichsende

.

Die Stromschleife bietet einen wichtigen Vorteil

Ein vollständig fehlendes Signal lässt sich grundsätzlich von einem normalen Nullsignal unterscheiden.

Die Sicherheitsauswertung muss jedoch entsprechend ausgelegt sein.

Sie sollte nicht nur den Hochdruckgrenzwert betrachten, sondern auch definieren, wie mit:

• unplausibel niedrigem Strom,
• unplausibel hohem Strom,
• Signalverlust,
• Diagnosemeldung

umzugehen ist.

Was prüft die Dynisco-R-Cal-Funktion?

Viele Dynisco-Massedrucksensoren besitzen eine interne:

R-Cal

beziehungsweise:

Shunt Calibration

.

Beim PT46X4 wird typischerweise ein Signal von etwa:

80 % FS

simuliert.

Bei einem Messbereich von 0 … 500 bar

entspricht dies in der angeschlossenen Anzeige beispielsweise ungefähr:

400 bar

, sofern die komplette Signalkette korrekt skaliert ist.

Damit lässt sich prüfen

• ob das Sensorsignal elektrisch übertragen wird,
• ob die Anzeige richtig skaliert ist,
• ob der Analogeingang den Wert korrekt verarbeitet,
• ob eine angeschlossene Auswertung auf das simulierte Signal reagiert.

R-Cal ist damit eine sehr nützliche Diagnose- und Inbetriebnahmefunktion.

Warum R-Cal kein vollständiger Proof-Test ist

Die R-Cal-Funktion erzeugt ein definiertes elektrisches Ausgangssignal.

Sie erzeugt jedoch keinen realen Prozessdruck an der Messmembran.

Damit wird beispielsweise nicht vollständig geprüft

• ob die Prozessmembran mechanisch intakt reagiert,
• ob das Druckübertragungssystem korrekt arbeitet,
• ob der Druckkanal vor der Membran frei ist,
• ob die Empfindlichkeit gegenüber realem Druck noch korrekt ist.

Dynisco weist ausdrücklich darauf hin, dass R-Cal zur Überprüfung von Sensor-/Instrumentenskalierung dient und nicht die mechanische Druckantwort des Sensors bestätigt.

Für die Verifikation der realen Druckmessung

wird eine rückführbare beziehungsweise kalibrierte Druckquelle benötigt.

R-Cal kann deshalb Bestandteil einer Prüfstrategie sein, ersetzt aber nicht automatisch einen vollständigen Proof-Test.

Was ist ein Proof-Test?

Ein Proof-Test soll insbesondere gefährliche Fehler finden, die durch die automatische Diagnose während des normalen Betriebes nicht erkannt werden.

Der Proof-Test ist deshalb mehr als eine Funktionskontrolle

Die Frage lautet nicht nur:

Zeigt der Sensor irgendeinen Wert?

sondern:

Kann die Sicherheitsfunktion einen gefährlichen Prozesszustand mit der geforderten Zuverlässigkeit noch erkennen und beherrschen?

Ein Prüfkonzept kann – abhängig von Sicherheitsmanual und SRS – beispielsweise umfassen

• visuelle Kontrolle des Sensors,
• Prüfung von Kabel und Steckverbindung,
• Kontrolle des Nullsignals,
• R-Cal-Funktionsprüfung,
• Prüfung mit einer kalibrierten Druckquelle,
• Überprüfung des Sicherheitsgrenzwertes,
• Überprüfung der Sicherheitslogik,
• Überprüfung des finalen Abschaltelementes.

Welche Schritte tatsächlich erforderlich sind, muss aus dem Sicherheitsmanual des eingesetzten Gerätes und der Sicherheitsanforderungsspezifikation der Maschine abgeleitet werden.

Wie wird das Proof-Test-Intervall festgelegt?

Es gibt keinen universellen Wert wie:

SIL2-Sensor = jedes Jahr prüfen

.

Das notwendige Intervall hängt von der Sicherheitsfunktion ab.

Zu den relevanten Größen gehören

• gefährliche unerkannte Ausfallrate,
• automatische Diagnose,
• Proof-Test-Coverage,
• Reparaturzeit,
• Architektur,
• geforderter SIL,
• Betriebsart der Sicherheitsfunktion.

Bei einer Low-Demand-Sicherheitsfunktion beeinflusst das Proof-Test-Intervall unmittelbar die durchschnittliche Wahrscheinlichkeit eines gefährlichen Ausfalls bei Anforderung.

Ein längeres Intervall

reduziert Wartungsaufwand.

Es lässt aber einen gefährlichen unerkannten Fehler möglicherweise länger unentdeckt.

Das Intervall sollte deshalb im Rahmen der SIL-Verifikation festgelegt und dokumentiert werden.

Was bedeutet Proof-Test-Coverage?

Ein Proof-Test findet nicht zwangsläufig jeden denkbaren Fehler eines Sensors.

Die:

Proof-Test-Coverage

beschreibt, welcher Anteil der relevanten gefährlichen, nicht automatisch diagnostizierten Fehler durch das gewählte Prüfverfahren erkannt werden kann.

Beispiel

Ein rein elektrischer R-Cal-Test kann einen Teil der Signalkette sehr gut prüfen.

Er erkennt aber möglicherweise keinen vollständig blockierten mechanischen Druckpfad.

Eine zusätzliche Prüfung mit realem Referenzdruck besitzt deshalb eine höhere Aussagekraft hinsichtlich der kompletten Druckmesskette.

Die angenommene Proof-Test-Abdeckung darf nicht frei geschätzt werden. Für eine SIL-Berechnung müssen belastbare Gerätedaten beziehungsweise Herstellerangaben und das tatsächlich ausgeführte Prüfverfahren verwendet werden.

Warum As-Found-Werte wichtig sind

Vor einem Nullabgleich oder einer Justage sollte zunächst der aktuelle Zustand dokumentiert werden.

Dies wird häufig bezeichnet als:

As Found

.

Warum?

Wird der Sensor unmittelbar neu genullt, ist anschließend nicht mehr nachvollziehbar, ob beispielsweise eine relevante Drift vorhanden war.

Sinnvolle Reihenfolge

1. aktuellen Messwert dokumentieren,
2. Abweichung bewerten,
3. Prüfung durchführen,
4. erst anschließend bei Bedarf justieren,
5. Endzustand dokumentieren.

Besonders bei sicherheitsrelevanten Sensoren sind historische As-Found-Daten wertvoll, weil sich damit Drift und Sensoralterung beurteilen lassen.

Mechanische Druckantwort wirklich prüfen

Für eine vollständige Überprüfung der Messfunktion muss der Sensor auf einen bekannten realen Druck reagieren.

Dazu kann außerhalb des Prozesses

eine geeignete kalibrierte Druckquelle beziehungsweise Druckwaage verwendet werden.

Geprüft werden können beispielsweise mehrere Punkte über den relevanten Messbereich.

Besonders relevant ist der Bereich um den Sicherheitsgrenzwert

Liegt die Sicherheitsabschaltung beispielsweise bei:

300 bar

, sollte die Prüfstrategie sicherstellen, dass die Messkette in diesem relevanten Bereich zuverlässig arbeitet.

Welche Prüfpunkte und Toleranzen gelten, müssen jedoch im Prüfverfahren definiert sein.

Eine mechanische Prüfung kann Fehler erkennen

die bei einer rein elektrischen Simulation verborgen bleiben können.

Hierzu gehören beispielsweise:

• Verlust der Druckempfindlichkeit,
• größere Kennlinienabweichung,
• mechanische Beschädigung,
• Probleme der internen Druckübertragung.

Die komplette Sicherheitskette prüfen

Eine Sensorkalibrierung bestätigt zunächst nur die Messfunktion des Sensors.

Die eigentliche Schutzfunktion endet jedoch erst beim sicheren Maschinenzustand.

Deshalb kann ein vollständiger Funktionstest zusätzlich prüfen

ob beim simulierten beziehungsweise kontrolliert erzeugten Sicherheitsereignis:

1. der Sensor das Signal erzeugt,
2. der Analogeingang es korrekt erfasst,
3. die Sicherheitslogik den Grenzwert erkennt,
4. die Sicherheitsausgänge reagieren,
5. das finale Element den definierten sicheren Zustand herstellt.

Eine Prüfung über die gesamte Kette

ist besonders wertvoll, weil sie auch Fehler in:

• Skalierung,
• Programmierung,
• Verdrahtung,
• Grenzwertparametrierung,
• Ausgangsschaltung

erkennen kann.

Der konkrete Test muss unter sicheren, kontrollierten Bedingungen und gemäß dem freigegebenen Prüfverfahren der Anlage erfolgen.

Nullpunkt bei Betriebstemperatur prüfen

Massedrucksensoren arbeiten unter sehr hohen Prozesstemperaturen.

Der Temperatureinfluss kann deshalb den Nullpunkt beeinflussen.

Dynisco empfiehlt bei Schmelzedrucksensoren

die Nullpunktprüfung beziehungsweise den Nullabgleich bei:

0 bar Prozessdruck

und:

Betriebstemperatur

durchzuführen.

Damit wird der Temperatureinfluss des realen Einbauzustandes berücksichtigt.

Wichtig

Ein Nullabgleich darf nicht dazu verwendet werden, einen tatsächlichen mechanischen Fehler oder eine ungewöhnlich große Drift einfach zu verdecken.

Vor der Justage sollte deshalb der ursprüngliche Wert dokumentiert werden.

Prozessanschluss als Teil der Messkette

Bei einem Schmelzedrucksensor ist der Prozessanschluss kein rein mechanisches Detail.

Eine falsch gefertigte Montagebohrung kann

• die Membran mechanisch belasten,
• den Sensor verspannen,
• Nullpunktverschiebungen verursachen,
• die Membran beschädigen,
• Kunststoffablagerungen begünstigen.

Die klassische Dynisco-Ausführung verwendet häufig:

1/2-20 UNF

.

Vor dem Einbau sollte deshalb geprüft werden

• Gewinde,
• Dichtfläche beziehungsweise 45°-Sitz,
• Bohrungstiefe,
• Sauberkeit,
• Fluchtung.

Dynisco bietet hierfür Prüf- und Reinigungswerkzeuge für Sensorbohrungen an.

Membran und Druckübertragung berücksichtigen

Die Schmelze wirkt unmittelbar auf eine dünne Trennmembran an der Sensorspitze.

Bei klassischen gefüllten Sensoren wird dieser Druck über ein internes Übertragungsmedium zur eigentlichen Messzelle weitergeleitet.

Damit gehören zur Messkette nicht nur

Elektronik + DMS

, sondern auch:

• Prozessmembran,
• Druckübertragungssystem,
• Messmembran,
• Signalaufbereitung.

Ein Proof-Test-Konzept sollte deshalb auch solche Fehler berücksichtigen, die vor der elektrischen Signalverarbeitung entstehen können.

Druckspitzen und Überlast erkennen

Extrusionsprozesse können kurze Druckspitzen erzeugen, die in einer langsamen Prozessanzeige kaum sichtbar sind.

Solche Spitzen können entstehen durch

• Anfahren gegen noch nicht vollständig geschmolzenes Material,
• plötzliche Blockaden,
• Werkzeugprobleme,
• schnelle Prozessänderungen.

Sie können den Sensor stark belasten, obwohl der später sichtbare stationäre Druck scheinbar unkritisch ist.

Nach einem ungewöhnlichen Überdruckereignis

kann deshalb eine zusätzliche Überprüfung des Sensors sinnvoll sein.

Ein Sensor, der nach einem Druckereignis noch einen plausiblen Nullwert zeigt, ist nicht automatisch vollständig intakt.

Siebüberwachung und Schmelzedruck

Eine typische Anwendung ist die Überwachung eines Siebwechslers beziehungsweise Siebpakets.

Mit zunehmender Verschmutzung

steigt der Druck vor dem Sieb.

Ein Drucksensor kann damit mehrere Aufgaben erfüllen:

• Prozessüberwachung,
• Wartungsindikator,
• Alarmierung,
• gegebenenfalls Sicherheitsabschaltung.

Bei zwei Sensoren vor und nach dem Sieb

kann zusätzlich die Druckdifferenz:

Δp = pvor − pnach

bewertet werden.

Diese Prozessdiagnose ist jedoch von einer unabhängigen sicherheitsgerichteten Hochdruckfunktion zu unterscheiden, sofern die Risikobeurteilung eine solche fordert.

Wann sind zwei Sensoren sinnvoll?

Eine Sicherheitsfunktion muss nicht zwangsläufig redundant aufgebaut sein.

Je nach geforderter Sicherheitsintegrität und Gerätekennwerten kann jedoch eine Architektur mit zwei Sensoren sinnvoll oder erforderlich sein.

Mögliche Vorteile

• Fehlervergleich zwischen zwei Messwerten,
• höhere Verfügbarkeit,
• Erkennung bestimmter Sensorfehler,
• höhere Hardwarefehlertoleranz.

Redundanz allein reicht jedoch nicht

Zwei identische Sensoren können gleichzeitig durch dieselbe Ursache beeinflusst werden.

Beispiele:

• gleicher Druckkanal verstopft,
• gemeinsame Spannungsversorgung ausgefallen,
• beide Sensoren durch dieselbe Überdruckspitze beschädigt,
• gleiche fehlerhafte Parametrierung.

Common-Cause-Fehler müssen deshalb ebenfalls betrachtet werden.

Online-Diagnose und Proof-Test unterscheiden

Eine kontinuierliche Diagnose arbeitet während des normalen Maschinenbetriebes.

Sie kann beispielsweise erkennen:

• Signalverlust,
• Leitungsfehler,
• bestimmte interne Elektronikfehler,
• unplausible Ausgangswerte.

Ein Proof-Test findet dagegen Fehler

die gerade nicht automatisch erkannt werden.

Beide Verfahren ergänzen sich.

Eine gute Online-Diagnose reduziert die Anzahl gefährlicher unerkannter Fehler, macht einen vorgesehenen Proof-Test aber nicht automatisch überflüssig.

Austauschstrategie für sicherheitsrelevante Sensoren

Bei normalen Prozesssensoren wird häufig erst reagiert, wenn die Messung auffällig wird.

Bei sicherheitsrelevanter Sensorik sollte zusätzlich eine dokumentierte Lebenszyklusstrategie existieren.

Dabei können berücksichtigt werden

• Herstellerangaben zur Nutzungsdauer,
• Anzahl der Betriebsstunden,
• Temperaturbelastung,
• Druckzyklen,
• Überdruckereignisse,
• historische Kalibrierdaten,
• Proof-Test-Ergebnisse,
• mechanischer Zustand.

Eine zunehmende Drift

kann beispielsweise ein Grund sein, den Sensor vorsorglich auszutauschen, auch wenn er den aktuellen Prüfgrenzwert noch knapp erfüllt.

Historische Daten sind deshalb für die Austauschentscheidung besonders wertvoll.

Praxisbeispiel: Hochdruckabschaltung am Extruder

Ein Extruder besitzt einen Schmelzedrucksensor mit:

Messbereich 0 … 500 bar

.

Der normale Prozess läuft bei:

180 … 230 bar

.

Die Risikobeurteilung definiert einen sicherheitsrelevanten Abschaltpunkt bei:

320 bar

.

Sicherheitskette

Dynisco SIL2-Massedrucksensor → F-Analogeingang → Sicherheits-SPS → sichere Antriebsabschaltung

Während des normalen Betriebs

wird das 4–20-mA-Signal kontinuierlich auf:

• Überdruck,
• Signalfehler,
• plausible Grenzen

überwacht.

Bei der geplanten Zwischenprüfung

kann R-Cal eingesetzt werden, um die elektrische Signalkette und Skalierung zu überprüfen.

Bei 80 % FS entspricht das:

400 bar

.

Die Sicherheitslogik muss entsprechend dem vorgesehenen Prüfverfahren reagieren.

Aber

damit ist noch nicht bestätigt, dass der Sensor auf einen realen Druck von beispielsweise:

320 bar

korrekt reagiert.

Beim vollständigen Proof-Test

wird daher – entsprechend dem freigegebenen Prüfverfahren – zusätzlich die reale Druckantwort des Sensors mit einer geeigneten Referenzdruckquelle geprüft.

Die Messwerte werden vor jeder Justage als:

As Found

dokumentiert.

Anschließend wird die Sicherheitskette geprüft

bis zum vorgesehenen sicheren Maschinenzustand.

Damit werden unterschiedliche Fehlerebenen abgedeckt:

Prüfung	Erkennt unter anderem
Signaldiagnose	Kabel- beziehungsweise bestimmte Elektronikfehler
R-Cal	Skalierung und elektrische Signalkette
Referenzdruckprüfung	reale Druckempfindlichkeit und Kennlinienabweichung
SIF-Funktionstest	Fehler in Logik, Grenzwert und Abschaltkette

Erst die Kombination der vorgesehenen Diagnose- und Prüfmaßnahmen ermöglicht eine belastbare Beurteilung der Sicherheitsfunktion.

Typische Fehlerbilder

Beobachtung	Mögliche Ursache	Sinnvolle Prüfung
4–20-mA-Signal fehlt vollständig	Kabelbruch, Versorgung oder Elektronik	Versorgung, Verdrahtung und Sensor prüfen
R-Cal stimmt, reale Druckmessung aber nicht	mechanisches Messsystem oder Druckübertragung beeinträchtigt	Prüfung mit kalibrierter Druckquelle
Nullpunkt verändert sich stark	Temperatur, mechanische Verspannung oder Sensorschaden	As-Found dokumentieren und Einbau prüfen
Nullpunkt verschiebt sich beim Einschrauben	fehlerhafte Montagebohrung oder zu hohes Drehmoment	Bohrung und Montage kontrollieren
Drucksignal reagiert kaum auf Prozessänderung	verstopfter Druckkanal oder Sensorschaden	Montagebohrung und reale Druckantwort prüfen
Sensor zeigt plausiblen Wert, Sicherheitsabschaltung reagiert nicht	Skalierung, Logik oder Ausgangskette fehlerhaft	kompletten SIF-Funktionstest durchführen
Abschaltung erfolgt bei falschem Druck	falsche SPS-Skalierung oder Grenzwertparametrierung	R-Cal und Referenzdruck gemeinsam prüfen
Sensor driftet nach Überdruckereignis	mechanische Überlastung	Sensor kalibrieren beziehungsweise austauschen
Druck steigt beim Anfahren extrem schnell	Material noch nicht vollständig aufgeschmolzen	Aufheiz- und Soak-Time des Prozesses prüfen
Messwert vor Sieb steigt kontinuierlich	Siebverschmutzung	Prozess- beziehungsweise Differenzdruck überwachen
Zwei Sensoren zeigen zunehmend unterschiedliche Werte	Drift, Einbau- oder Prozessproblem	beide Sensoren gegen Referenz prüfen
Sensor wird regelmäßig neu genullt und Drift bleibt unbemerkt	As-Found-Werte werden nicht dokumentiert	Prüfverfahren anpassen
Proof-Test wird regelmäßig bestanden, trotzdem bleibt ein gefährlicher Fehler unerkannt	Proof-Test-Coverage unzureichend	Prüfumfang und Sicherheitsberechnung überprüfen

Was gehört in die Proof-Test-Dokumentation?

Ein Proof-Test sollte nachvollziehbar dokumentiert werden.

Mindestens sinnvoll sind

• Maschinen- und Messstellenidentifikation,
• Sensortyp,
• Seriennummer,
• Messbereich,
• Sicherheitsfunktion,
• Sicherheitsgrenzwert,
• Datum,
• Prüfer,
• verwendete Referenzmessmittel,
• Kalibrierstatus der Referenz,
• As-Found-Nullpunkt,
• As-Found-Werte an den Prüfpunkten,
• R-Cal-Ergebnis,
• Ergebnis der realen Druckprüfung,
• Ergebnis der Sicherheitsabschaltung,
• festgestellte Abweichungen,
• durchgeführte Justagen,
• As-Left-Ergebnisse,
• Freigabe beziehungsweise Austauschentscheidung.

Bei Abweichungen zusätzlich

sollte bewertet werden:

Seit wann könnte die Sicherheitsfunktion beeinträchtigt gewesen sein?

und:

Welche Auswirkungen hatte dies auf den sicheren Betrieb?

Empfohlener Ablauf für Planung und Prüfung

1. Gefährdung bestimmen: Festlegen, welcher Überdruckzustand sicher beherrscht werden muss.
2. Sicherheitsfunktion definieren: Auslösekriterium, Reaktionszeit und sicheren Zustand festlegen.
3. Erforderlichen SIL beziehungsweise PL bestimmen: Aus der Risikobeurteilung ableiten.
4. Sensor auswählen: Sicherheitsbewertung und Gerätekennwerte prüfen.
5. Messbereich festlegen: Normaldruck, Abschaltpunkt und Druckspitzen berücksichtigen.
6. Messstelle auswählen: Sensor dort positionieren, wo der sicherheitsrelevante Druck tatsächlich entsteht.
7. Prozessanschluss prüfen: Bohrung entsprechend Herstellervorgaben fertigen.
8. Sensor korrekt installieren: Montagevorgaben und zulässiges Drehmoment beachten.
9. Signalweg definieren: Sicherheitsgerichteten Analogeingang und Diagnosegrenzen festlegen.
10. Sicherheitslogik programmieren: Grenzwert und Fehlerreaktionen eindeutig festlegen.
11. Finales Element bewerten: Sicherstellen, dass der definierte sichere Zustand tatsächlich erreicht wird.
12. SIL-Verifikation durchführen: Sensor, Logik und finales Element gemeinsam bewerten.
13. Proof-Test-Verfahren festlegen: Herstellerangaben und SRS verwenden.
14. Proof-Test-Coverage festlegen: Nur belastbare Werte verwenden.
15. Proof-Test-Intervall bestimmen: Aus der Sicherheitsberechnung ableiten.
16. Prüfbedingungen dokumentieren: Verantwortlichkeit und Anlagenzustand festlegen.
17. Vor Justage As-Found erfassen: Drift nicht durch sofortiges Nullstellen verdecken.
18. Sichtprüfung durchführen: Membran, Kabel, Stecker und Einbau kontrollieren.
19. Nullpunkt prüfen: Nach Herstellervorgabe und unter geeigneten Temperaturbedingungen.
20. R-Cal prüfen: Elektrische Signalkette und Skalierung kontrollieren.
21. Reale Druckantwort prüfen: Geeignete kalibrierte Druckquelle verwenden.
22. Sicherheitsgrenzwert prüfen: Eingangs- und Logikreaktion kontrollieren.
23. Abschaltkette prüfen: Sicheren Maschinenzustand gemäß freigegebenem Verfahren verifizieren.
24. Ergebnisse bewerten: Grenzwerte und historische Daten vergleichen.
25. Bei Auffälligkeit Ursache analysieren: Nicht automatisch nur nachjustieren.
26. Sensor bei Bedarf ersetzen: Insbesondere bei mechanischer Beschädigung oder nicht akzeptabler Drift.
27. As-Left-Zustand dokumentieren: Endzustand festhalten.
28. Prüfung archivieren: Nachweis für die nächste Bewertung und Trendanalyse erhalten.

Passende Dynisco-Sensoren bei ICS Schneider

Dynisco PT46X4 – 4–20-mA-Massedrucksensor mit SIL2-Bewertung

Die Dynisco PT46X4-Serie ist für klassische Schmelzedruckmessungen in Extrusions- und Kunststoffanwendungen ausgelegt.

Zu den wesentlichen Eigenschaften gehören:

• 4–20-mA-Ausgang,
• SIL2-Bewertung,
• Performance Level „c“,
• Messbereiche von 0…500 bis 0…30.000 psi,
• Genauigkeit ±0,5 % FS,
• Medientemperaturen bis 400 °C,
• lokaler beziehungsweise ferngesteuerter Nullabgleich,
• interne 80-%-Shunt-Kalibrierung,
• 1/2-20-UNF-Prozessanschluss bei Standardausführungen.

Die Serie umfasst unter anderem Varianten wie:

• PT4604,
• PT4624,
• PT4634,
• TPT4604,
• TPT4624,
• TPT4634.

Damit stehen unterschiedliche Schaft- und Temperaturkonfigurationen für verschiedene Extruder- und Werkzeugeinbausituationen zur Verfügung.

Dynisco SPX-Serie – Smart-Massedrucktransmitter mit SIL2-zertifiziertem Druckausgang

Für anspruchsvollere Anwendungen stehen außerdem die Dynisco-SPX-Serien zur Verfügung.

Je nach Modell bieten diese unter anderem:

• 4–20-mA-Ausgang,
• SIL2-zertifizierten Druckausgang,
• optional HART®-Kommunikation,
• höhere Genauigkeiten je nach Serie,
• ATEX-/IECEx-Ausführungen,
• unterschiedliche Prozess- und Elektroanschlüsse.

Beispielsweise ist die Dynisco SPX-T 3-Serie mit Temperaturkompensation und DynaLarity™ verfügbar.

Weitere SIL2-fähige Varianten finden Sie unter Dynisco Massedrucktransmitter bei ICS Schneider.

Fazit

Ein SIL2-Massedrucksensor kann ein wichtiger Bestandteil einer sicherheitsgerichteten Extruderüberwachung sein.

SIL2 gilt nicht automatisch für die gesamte Maschine

Sensor, Sicherheitslogik und finales Abschaltelement müssen als komplette Sicherheitsfunktion betrachtet werden.

Die Sicherheitsfunktion muss zuerst definiert werden

Messstelle, Druckgrenzwert, Reaktionszeit und sicherer Maschinenzustand müssen eindeutig feststehen.

4–20 mA ermöglicht eine robuste Signalübertragung

Zusätzlich sollten Fehlerbereiche und Signalverlust sicherheitsgerichtet bewertet werden.

R-Cal ist eine wertvolle Diagnosefunktion

Die 80-%-Shunt-Kalibrierung eignet sich hervorragend zur Prüfung von Skalierung und elektrischer Signalkette.

R-Cal ersetzt jedoch keine reale Druckprüfung

Die mechanische Antwort von Membran und Druckübertragung wird damit nicht vollständig getestet.

Der Proof-Test muss gefährliche unerkannte Fehler finden

Prüfumfang und Intervall müssen deshalb aus Sicherheitsmanual, SRS und SIL-Berechnung abgeleitet werden.

Proof-Test-Coverage ist entscheidend

Eine häufige, aber unvollständige Prüfung kann weniger wirksam sein als ein gut konzipierter Test mit hoher Fehlerabdeckung.

As-Found-Werte dürfen nicht verloren gehen

Vor Nullabgleich oder Justage sollte der tatsächliche Ausgangszustand dokumentiert werden.

Der Prozessanschluss gehört zur Messkette

Eine falsch gefertigte oder verschmutzte Sensorbohrung kann die Messung genauso beeinträchtigen wie ein elektrischer Fehler.

Die komplette Sicherheitskette sollte betrachtet werden

Nur wenn auch Logik und finales Element korrekt reagieren, erfüllt die Sicherheitsfunktion ihren eigentlichen Zweck.

Für die Praxis gilt

Gefährlichen Überdruckzustand definieren → erforderliche Sicherheitsintegrität bestimmen → geeigneten SIL2-Massedrucksensor auswählen → Messbereich und Abschaltpunkt sinnvoll aufeinander abstimmen → Prozessanschluss fachgerecht ausführen → Signaldiagnose und Fehlerreaktion definieren → Sicherheitslogik und finales Abschaltelement bewerten → Proof-Test-Coverage und Prüfintervall im Rahmen der SIL-Verifikation festlegen → As-Found-Werte dokumentieren → R-Cal zur elektrischen Signalkettenprüfung nutzen → reale Druckantwort mit geeigneter Referenz prüfen → Sicherheitsgrenzwert und komplette Abschaltkette verifizieren → Ergebnisse trendmäßig bewerten → auffällige Sensoren nicht nur nachjustieren, sondern Ursache klären beziehungsweise austauschen.

FAQ: SIL2-Massedrucksensor, Proof-Test und Extrudersicherheit

Was bedeutet SIL2 bei einem Massedrucksensor?

SIL2 beschreibt die sicherheitstechnische Eignung beziehungsweise Bewertung des Gerätes für den Einsatz innerhalb einer entsprechend ausgelegten Sicherheitsfunktion. Der Sensor allein macht die komplette Maschine nicht automatisch SIL2.

Was ist eine SIF?

SIF steht für Safety Instrumented Function. Sie besteht typischerweise aus Sensorik, Logik und einem finalen Abschaltelement und soll einen definierten gefährlichen Zustand beherrschen.

Kann der Schmelzedruck zur Sicherheitsabschaltung verwendet werden?

Ja. Ein definierter Hochdruckzustand kann beispielsweise als Auslösekriterium für eine sicherheitsgerichtete Abschaltung des Extruders verwendet werden, sofern dies aus der Risikobeurteilung und dem Sicherheitskonzept abgeleitet wurde.

Reicht ein SIL2-Sensor für eine SIL2-Sicherheitsfunktion?

Nein. Auch Sicherheits-SPS, finales Element, Architektur, Diagnose, Proof-Test und weitere Komponenten der Sicherheitskette müssen berücksichtigt werden.

Welche Dynisco-Serie ist für SIL2-Anwendungen geeignet?

Die Dynisco PT46X4-Serie ist für SIL2 bewertet. Auch verschiedene SPX-Serien verfügen über einen SIL2-zertifizierten Druckausgang.

Welches Ausgangssignal verwendet die PT46X4-Serie?

Die Serie liefert ein industrielles 4–20-mA-Ausgangssignal zur Anbindung an DCS-, SPS- beziehungsweise Sicherheitssteuerungen.

Was ist R-Cal?

R-Cal ist eine interne Widerstands- beziehungsweise Shunt-Kalibrierfunktion, die ein definiertes elektrisches Ausgangssignal simuliert.

Welchen Wert simuliert R-Cal bei Dynisco typischerweise?

Bei der PT46X4-Serie wird typischerweise ein Signal entsprechend etwa 80 % des Messbereichsendwertes erzeugt.

Kann ich mit R-Cal die SPS-Skalierung prüfen?

Ja. R-Cal eignet sich sehr gut zur Überprüfung, ob Sensor, Stromschleife und nachgeschaltete Auswertung korrekt skaliert sind.

Ist R-Cal ein vollständiger Proof-Test?

Nein. R-Cal simuliert das elektrische Ausgangssignal, belastet jedoch die Prozessmembran nicht mit einem realen Druck.

Welcher Fehler kann trotz bestandenem R-Cal-Test vorhanden sein?

Beispielsweise kann der mechanische Druckpfad beeinträchtigt oder die reale Druckempfindlichkeit verändert sein, obwohl die elektrische Shunt-Kalibrierung korrekt funktioniert.

Wie prüft man die reale Druckantwort?

Dazu wird der Sensor nach dem vorgesehenen Prüfverfahren mit einer geeigneten kalibrierten Referenzdruckquelle beaufschlagt und sein Ausgang mit dem Referenzwert verglichen.

Was ist ein Proof-Test?

Ein Proof-Test soll insbesondere gefährliche Fehler erkennen, die von der automatischen Online-Diagnose nicht erkannt werden.

Wie oft muss ein SIL2-Massedrucksensor geprüft werden?

Es gibt kein allgemeingültiges Intervall. Das Proof-Test-Intervall muss aus der Sicherheitsfunktion, den Gerätekennwerten, der geforderten Sicherheitsintegrität und der SIL-Verifikation abgeleitet werden.

Was ist Proof-Test-Coverage?

Sie beschreibt, welcher Anteil der relevanten gefährlichen unerkannten Ausfälle durch das verwendete Proof-Test-Verfahren erkannt werden kann.

Warum ist die Proof-Test-Coverage wichtig?

Eine unvollständige Prüfung kann bestimmte gefährliche Fehler unentdeckt lassen und beeinflusst damit die tatsächlich erreichbare Sicherheitsintegrität.

Was bedeutet As Found?

As Found ist der Zustand des Sensors unmittelbar vor einer Justage oder Reparatur. Dieser Wert sollte dokumentiert werden, damit Drift und eventuelle sicherheitsrelevante Abweichungen nachvollziehbar bleiben.

Was bedeutet As Left?

As Left beschreibt den Zustand des Sensors nach abgeschlossener Prüfung, Justage beziehungsweise Reparatur.

Sollte ich den Sensor vor einer Prüfung sofort nullen?

Nein. Zunächst sollte der vorhandene Nullwert als As-Found-Zustand dokumentiert und bewertet werden. Erst danach sollte bei Bedarf justiert werden.

Warum sollte der Nullpunkt bei Betriebstemperatur geprüft werden?

Die hohe Prozesstemperatur kann den Nullpunkt eines Schmelzedrucksensors beeinflussen. Eine Prüfung unter realistischen Temperaturbedingungen reduziert die Gefahr einer falschen Bewertung.

Kann eine falsche Sensorbohrung die Messung beeinflussen?

Ja. Eine falsch gefertigte, verschmutzte oder nicht fluchtende Montagebohrung kann mechanische Spannungen, Nullpunktverschiebungen oder Schäden an der Membran verursachen.

Was ist ein typischer Prozessanschluss bei Dynisco-Massedrucksensoren?

Viele klassische Dynisco-Extrudersensoren verwenden einen 1/2-20-UNF-Prozessanschluss.

Warum kann ein verstopfter Druckkanal gefährlich sein?

Der tatsächliche Prozessdruck kann dann möglicherweise nicht mehr korrekt auf die Sensormembran übertragen werden. Das elektrische Signal kann dabei trotzdem zunächst plausibel erscheinen.

Kann ein Überdruck den Sensor dauerhaft verändern?

Ja. Hohe Druckspitzen beziehungsweise mechanische Überlastung können die Membran oder das interne Messsystem beschädigen und zu Nullpunkt- oder Empfindlichkeitsfehlern führen.

Sollte ein Sensor nach einem starken Überdruckereignis geprüft werden?

Bei sicherheitsrelevanten Anwendungen ist eine zusätzliche Prüfung nach einem außergewöhnlichen Belastungsereignis sinnvoll beziehungsweise entsprechend dem festgelegten Wartungs- und Sicherheitsverfahren durchzuführen.

Warum sind Druckspitzen beim Kaltstart kritisch?

Ist das Polymer noch nicht vollständig aufgeschmolzen, kann der Strömungswiderstand sehr hoch sein und erhebliche Druckspitzen verursachen.

Was ist eine Siebüberwachung?

Der Druck vor beziehungsweise die Druckdifferenz über einem Siebpaket wird überwacht, um zunehmende Verschmutzung oder Verstopfung zu erkennen.

Ist Siebüberwachung automatisch eine Sicherheitsfunktion?

Nein. Sie kann reine Prozessdiagnose sein. Ob zusätzlich eine sicherheitsgerichtete Hochdruckabschaltung erforderlich ist, ergibt sich aus der Risikobeurteilung.

Kann ein Sensor gleichzeitig für Regelung und Sicherheit verwendet werden?

Dies hängt von der Architektur und der konkreten Sicherheitsbewertung ab. Gemeinsame Komponenten und mögliche Common-Cause-Fehler müssen dabei berücksichtigt werden.

Warum können zwei Sensoren sinnvoll sein?

Eine redundante Architektur kann zusätzliche Fehlererkennung und höhere Hardwarefehlertoleranz ermöglichen. Die konkrete Notwendigkeit ergibt sich aus dem Sicherheitskonzept.

Was ist ein Common-Cause-Fehler?

Damit ist ein gemeinsamer Fehler gemeint, der mehrere redundante Komponenten gleichzeitig beeinträchtigt, beispielsweise eine gemeinsame Spannungsversorgung oder eine gemeinsame Prozessursache.

Was sollte bei einem Proof-Test zusätzlich zum Sensor geprüft werden?

Je nach festgelegtem Prüfverfahren können auch Sicherheits-SPS, Grenzwertlogik, Verdrahtung, sichere Ausgänge und das finale Abschaltelement Bestandteil des Tests sein.

Warum ist ein End-to-End-Test sinnvoll?

Er überprüft den tatsächlichen Signalweg vom erkannten Prozesszustand bis zum definierten sicheren Maschinenzustand und kann Fehler außerhalb des Sensors erkennen.

Welche Daten sollten gespeichert werden?

Unter anderem Sensoridentifikation, Messbereich, As-Found-Werte, Referenzwerte, R-Cal-Ergebnis, Prüfpunkte, Abschaltfunktion, durchgeführte Justagen und As-Left-Zustand.

Wann sollte ein sicherheitsrelevanter Sensor ersetzt werden?

Ein Austausch kann insbesondere bei mechanischer Beschädigung, nicht akzeptabler Drift, auffälliger Wiederholbarkeit, nicht bestandenem Proof-Test oder nach festgelegten Lebenszyklusanforderungen erforderlich sein.

Welche Dynisco-Serie bietet zusätzlich HART?

Verschiedene Dynisco-SPX-Serien sind mit 4–20-mA-Ausgang und optionaler HART®-Kommunikation erhältlich.

Wo finde ich weitere Dynisco-Massedrucksensoren?

Weitere Massedrucksensoren, Transmitter, Anzeigen und Zubehör finden Sie unter Dynisco-Produkte bei ICS Schneider.