Überfüllsicherung im Tank: Grenzschalter unabhängig von der kontinuierlichen Füllstandmessung planen

→ Produktkategorie: Füllstandmesstechnik

 

Ein Tank besitzt bereits eine kontinuierliche Füllstandmessung.

Der Messumformer liefert:

4 … 20 mA

an die SPS.

Bei:

90 %

wird ein High-Alarm ausgelöst und bei:

95 %

soll die Befüllung automatisch gestoppt werden.

Braucht der Tank dann überhaupt noch einen separaten Grenzstandschalter?

Für eine unabhängige Überfüllschutzfunktion ist die alleinige Auswertung desselben kontinuierlichen Füllstandsignals häufig nicht ausreichend.

Denn bei:

Sensorfehler → Messwertfehler → SPS-Auswertung falsch

können gleichzeitig:

• Füllstandanzeige,
• Regelung,
• High-Alarm,
• High-High-Abschaltung

betroffen sein.

Eine robuste Anlagenarchitektur trennt deshalb häufig:

kontinuierliche Prozessmessung

von:

unabhängiger Grenzstanderfassung

.

Die kontinuierliche Messung liefert dabei den aktuellen Füllstand für Anzeige, Regelung, Bilanzierung oder Leitsystem.

Ein zusätzlicher Grenzstandschalter überwacht dagegen nur einen klar definierten kritischen Punkt:

High-High / HH

und kann bei Erreichen dieses Grenzstands eine separate Alarm- oder Abschaltkette auslösen.

Entscheidend ist nicht nur, zwei Geräte in den Tank einzubauen. Entscheidend ist, wie unabhängig Sensor, Signalweg, Logik, Energieversorgung und Abschaltelement der Schutzfunktion tatsächlich voneinander sind.

Geeignete kontinuierliche Füllstandsensoren und Grenzschalter finden Sie bei ICS Schneider unter Füllstandmesstechnik.

Warum kontinuierliche Messung und Überfüllsicherung unterschiedliche Aufgaben haben

Eine kontinuierliche Füllstandmessung beantwortet die Frage:

Wie voll ist der Behälter aktuell?

Sie wird typischerweise verwendet für

• Füllstandanzeige,
• Bestandsüberwachung,
• Pumpensteuerung,
• Regelung,
• Volumenberechnung,
• Fernüberwachung,
• Prozessoptimierung.

Eine Grenzstanderfassung beantwortet dagegen nur

Ist der definierte Grenzstand erreicht – ja oder nein?

Diese Reduktion ist bewusst

Ein High-High-Grenzschalter muss nicht wissen, ob der Tank aktuell:

61 %, 72 % oder 84 %

gefüllt ist.

Er muss zuverlässig erkennen:

kritischer Grenzstand erreicht

Damit unterscheiden sich die Aufgaben grundlegend

Kontinuierliche Messung	Grenzstanderfassung
Liefert fortlaufenden Messwert	Liefert binären Schaltzustand
Anzeige und Regelung	Alarm oder Abschaltung
z. B. 4–20 mA / HART	z. B. Kontakt, Relais, NAMUR
Messbereich über Tankhöhe	Fester Schaltpunkt
Prozessführung	Grenzwertüberwachung

Wichtig

Eine hochwertige kontinuierliche Füllstandmessung macht einen unabhängigen Grenzschalter nicht automatisch überflüssig.

High, High-High und maximal zulässigen Füllstand unterscheiden

In Anlagen werden häufig mehrere Füllstandgrenzen definiert.

Normaler Arbeitsbereich

Beispielsweise:

20 … 80 %

High – H

Ein hoher Füllstand kann zunächst einen Betriebsalarm auslösen.

Beispiel:

H = 85 %

High-High – HH

Ein zusätzlicher höherer Grenzwert kann eine Schutzaktion einleiten.

Beispiel:

HH = 92 %

Oberhalb davon

muss weiterhin ausreichend Sicherheitsraum vorhanden sein, um:

• Reaktionszeiten,
• Ventilschließzeit,
• Pumpennachlauf,
• Rohrleitungsinhalt,
• Kommunikationsverzögerung

aufzunehmen.

Deshalb gilt nicht

HH = Tankoberkante

Sondern

Der High-High-Punkt muss so tief liegen, dass die Anlage nach dessen Auslösung noch sicher reagieren kann, bevor ein unzulässiger Zustand erreicht wird.

Was bedeutet eine unabhängige Schutzebene?

Der Begriff:

unabhängig

wird in der Praxis häufig zu einfach verstanden.

Zwei Sensoren im Behälter reichen allein nicht

Die Schutzfunktion kann beispielsweise noch gemeinsame Elemente besitzen:

• gleiche Spannungsversorgung,
• gleiche SPS-Eingangskarte,
• gleiche SPS,
• gleiche Softwarelogik,
• gleiche Klemmenleiste,
• gleiche Kabeltrasse,
• gleichen Prozessanschluss,
• gleiches Abschaltventil.

Je nach erforderlicher Sicherheitsfunktion

müssen deshalb mehrere Ebenen betrachtet werden:

Sensor → Signalleitung → Auswertung → Logik → Ausgang → Abschaltelement

Eine sinnvolle Trennung kann beispielsweise bedeuten

• separater Grenzstandsensor,
• separate Anschlussleitung,
• separate Auswertung,
• definiertes Fail-Safe-Verhalten,
• eigener Alarm- beziehungsweise Abschaltpfad.

Wichtig

Wie weit diese Unabhängigkeit gehen muss, hängt von:

• Gefährdungsbeurteilung,
• Medium,
• Anlagenkonzept,
• rechtlichen Anforderungen,
• geforderter Sicherheitsintegrität

ab.

Warum ein zweiter Grenzwert aus demselben Sensorsignal keine echte Redundanz ist

Eine häufige Architektur sieht folgendermaßen aus:

Füllstandtransmitter → 4–20 mA → SPS

und innerhalb der SPS:

85 % → High Alarm

92 % → High-High Abschaltung

Das ist betrieblich durchaus sinnvoll

aber beide Funktionen hängen vom selben:

• Messprinzip,
• Sensor,
• Analogausgang,
• Kabel,
• Analogeingang

ab.

Beispiel

Ein Radar-Füllstandsensor zeigt aufgrund einer Fehlparametrierung dauerhaft:

70 %

obwohl der Tank tatsächlich bereits:

94 %

gefüllt ist.

Dann werden möglicherweise weder

High

noch:

High-High

erkannt.

Der zweite Softwaregrenzwert

ist deshalb:

eine zusätzliche Auswertung desselben Messsignals, aber kein automatisch unabhängiges Messsystem.

Warum ein separater Grenzstandschalter sinnvoll ist

Ein separater Grenzstandschalter überwacht den kritischen Füllstand unmittelbar an einer festgelegten Position.

Beispiel

Die kontinuierliche Messung liefert:

0 … 100 %

über einen analogen Transmitter.

Zusätzlich befindet sich bei

HH = 92 %

ein eigener Grenzstandschalter.

Damit existieren zwei Informationswege

kontinuierlicher Füllstand → Prozessführung

und:

HH-Grenzstand → Schutzaktion

Vorteil

Ein Fehler der Skalierung des kontinuierlichen Messsystems muss nicht automatisch den Grenzstandschalter beeinflussen.

Weitere mögliche Fehler des kontinuierlichen Messsystems

• falsche Tanklinearisierung,
• falscher Nullpunkt,
• falscher Messbereich,
• Softwarefehler,
• fehlerhafte SPS-Skalierung

können damit teilweise von der HH-Erfassung entkoppelt werden.

Gleiches oder anderes Messprinzip verwenden?

Ein separater Sensor kann nach demselben oder nach einem anderen physikalischen Prinzip arbeiten.

Beispiel

Kontinuierliche Messung:

80-GHz-Radar

Überfüllschutz:

Schwimmerschalter

Oder

Kontinuierliche Messung:

magnetostriktiver Schwimmer

Grenzstand:

Vibrationsschalter

Unterschiedliche Messprinzipien können helfen

gemeinsame Fehlerursachen zu reduzieren.

Beispiel Radar + Schwimmer

Eine ungünstige Echoauswertung des Radars beeinflusst den mechanisch beziehungsweise magnetisch arbeitenden Grenzschalter nicht unmittelbar.

Aber

Unterschiedliche Messprinzipien sind nicht automatisch immer besser.

Das zweite Messprinzip muss weiterhin zum:

• Medium,
• Druck,
• Temperatur,
• Tankaufbau,
• Schaltpunkt

passen.

Common-Cause-Fehler berücksichtigen

Auch zwei verschiedene Sensoren können durch dieselbe Ursache gleichzeitig beeinträchtigt werden.

Typische gemeinsame Fehlerursachen

Gemeinsame Ursache	Mögliche Auswirkung
Beide Sensoren an ungeeigneter Tankposition	Beide erfassen lokalen Füllstand falsch
Starke Produktablagerung	Mehrere Sensoren können beeinträchtigt werden
Gemeinsame Spannungsversorgung fällt aus	Beide Signale können verloren gehen
Gemeinsame SPS fällt aus	Messung und Abschaltung gleichzeitig betroffen
Gemeinsames Absperrventil blockiert	Abschaltung funktioniert trotz korrektem Sensorsignal nicht
Falsche Tankdaten in der Planung	Schaltpunkte beider Systeme falsch definiert

Deshalb

sollte nicht nur gefragt werden:

Haben wir zwei Sensoren?

sondern:

Welche Fehler können beide Schutzpfade gleichzeitig unwirksam machen?

High-High-Schaltpunkt richtig festlegen

Der HH-Schaltpunkt sollte nicht allein nach einem komfortablen Prozentwert gewählt werden.

Berücksichtigt werden müssen

• maximal zulässiger Füllstand,
• Tankgeometrie,
• Einlaufmenge,
• maximaler Befüllstrom,
• Ventilschließzeit,
• Pumpennachlauf,
• Rohrleitungsvolumen,
• Mess- und Schaltverzögerungen,
• Prozessschwankungen.

Wichtig bei nichtlinearen Behältern

Bei einem liegenden Rundtank oder Kugeltank bedeutet:

10 % zusätzliche Füllhöhe

nicht zwangsläufig:

10 % zusätzliches Volumen

Der Sicherheitsspielraum

sollte deshalb möglichst auf:

reales Restvolumen

und:

maximal möglichen Zulauf

bezogen werden.

Reaktionszeit und Nachlauf berücksichtigen

Nach dem Schalten des Grenzstandsensors stoppt der Zulauf nicht sofort.

Die gesamte Reaktionszeit besteht beispielsweise aus

tgesamt = tSensor + tLogik + tVentil + tNachlauf

Während dieser Zeit

fließt weiterhin Medium in den Tank.

Vereinfachte Abschätzung

Bei einem maximalen Nettozufluss:

Qmax

und einem verfügbaren Restvolumen:

ΔV

ergibt sich die theoretische Reservezeit:

tReserve = ΔV / Qmax

Beispiel

Zwischen HH-Schaltpunkt und maximal zulässigem Füllstand stehen noch:

400 l

zur Verfügung.

Der maximale Zulauf beträgt:

200 l/min

Dann beträgt die theoretische Reserve

400 l / 200 l/min = 2 min

Diese zwei Minuten

müssen unter anderem ausreichen für:

• Sensorreaktion,
• Logikverarbeitung,
• Ventilschließung,
• Pumpenauslauf,
• nachströmendes Rohrleitungsvolumen.

Damit wird klar

Der Schaltpunkt ist Teil der sicherheitstechnischen Auslegung und nicht nur eine Parametrierung im Schaltschrank.

Fail-Safe-Verhalten der Überfüllsicherung

Eine wichtige Frage lautet:

Was passiert bei einem Fehler?

Beispiele

• Kabelbruch,
• Spannungsausfall,
• Sensordefekt,
• Relaisdefekt,
• Ausfall der Auswerteeinheit.

Ungünstige Architektur

Der sichere Zustand wird ausschließlich durch ein:

aktiv anstehendes Schaltsignal

erzeugt.

Bei Kabelbruch kommt dieses Signal nicht mehr an.

Fail-Safe-orientierte Architektur

kann dagegen so ausgelegt werden, dass ein definierter Fehler zu:

Alarm / Abschaltung

führt.

Welches Verhalten korrekt ist

muss für die jeweilige Sicherheitsfunktion festgelegt werden.

Fail-Safe bedeutet nicht einfach „Öffner statt Schließer“, sondern dass das gesamte Fehlerszenario von Sensor bis Abschaltelement betrachtet wird.

Relaislogik und Ruhestromprinzip

Bei binären Schutzfunktionen wird häufig das Ruhestromprinzip betrachtet.

Grundidee

Im normalen Zustand ist das Relais:

angezogen

Bei

• erreichtem HH-Grenzstand,
• Versorgungsausfall,
• bestimmten Leitungsfehlern

fällt es ab.

Vorteil

Ein Energieverlust kann dadurch eher als Störung erkannt werden.

Aber

die korrekte elektrische Architektur hängt vom verwendeten Sensor und dessen Ausgang ab.

Bei:

• potentialfreien Reed-Kontakten,
• NAMUR-Signalen,
• Transistorausgängen,
• Relaisausgängen

können unterschiedliche Auswerteprinzipien erforderlich sein.

SPS, Sicherheitssteuerung oder hartverdrahtete Abschaltung?

Ein HH-Grenzschalter muss nicht zwangsläufig direkt ein Ventil schalten.

Mögliche Architektur

Grenzschalter → Auswerterelais → Abschaltventil

Oder

Grenzschalter → Sicherheitssteuerung → Abschaltventil

Oder bei weniger kritischen Prozessfunktionen

Grenzschalter → SPS → Alarm

Welche Variante geeignet ist

hängt von der erforderlichen Schutzfunktion und ihrer Risikobewertung ab.

Wichtig für echte Unabhängigkeit

Wird sowohl die kontinuierliche Messung als auch der separate HH-Grenzschalter über:

dieselbe Standard-SPS

geführt, muss geprüft werden, ob die gewünschte Unabhängigkeit tatsächlich erreicht wird.

Ventil, Pumpe oder Zulauf als Abschaltelement

Die Überfüllschutzkette endet nicht am Grenzschalter.

Der Sensor kann korrekt auslösen

aber der Tank wird trotzdem überfüllt, wenn:

• das Zulaufventil klemmt,
• die Pumpe weiterläuft,
• ein Schütz verschweißt ist,
• der Zulauf aus einer zweiten Leitung weiterläuft.

Die komplette Funktion lautet deshalb

Grenzstand erkennen → Signal auswerten → Zulauf sicher stoppen

Bei der Planung muss geklärt werden

• welche Zuläufe gestoppt werden müssen,
• welche Ventilstellung der sichere Zustand ist,
• wie schnell das Ventil schließt,
• ob die Pumpe zusätzlich abgeschaltet werden muss,
• ob ein Wiederanlauf automatisch zulässig ist.

Für kritische HH-Abschaltungen

kann außerdem ein:

verriegelter Abschaltzustand

sinnvoll sein.

Dann startet die Befüllung nicht automatisch wieder, sobald der Pegel knapp unter den Grenzschalter gefallen ist.

Mediumeigenschaften bei der Grenzschalterauswahl

Die funktionale Trennung ist nur sinnvoll, wenn der Grenzschalter auch physikalisch zur Anwendung passt.

Zu prüfen sind insbesondere

• Dichte,
• Viskosität,
• Leitfähigkeit,
• Dielektrizitätskonstante,
• Schaumbildung,
• Ablagerungen,
• Kristallisation,
• Feststoffanteile,
• Temperatur,
• Druck,
• chemische Beständigkeit.

Bei einem Schwimmerschalter

ist beispielsweise die:

Grenzdichte des Schwimmers

entscheidend.

Ein Schwimmer

der für das Medium nicht ausreichend aufschwimmt, kann den vorgesehenen Schaltpunkt nicht zuverlässig anfahren.

Bei einem Vibrationsschalter

spielen dagegen andere Medieneigenschaften und mögliche Ablagerungen eine Rolle.

Schaum, Ablagerungen und Turbulenzen

Eine Überfüllsicherung wird häufig genau im oberen Tankbereich montiert.

Dort können auftreten

• Schaum,
• Spritzer,
• Einlaufstrahlen,
• Kondensat,
• Ablagerungen.

Der Einbau direkt neben dem Zulauf

kann beispielsweise dazu führen, dass ein Sensor zeitweise vom Einlaufstrahl beeinflusst wird, obwohl der reale Tankfüllstand noch unter dem Schaltpunkt liegt.

Umgekehrt

können dicke Ablagerungen die Erkennung eines tatsächlichen Grenzstands beeinträchtigen.

Deshalb

sollte die Montageposition:

• repräsentativ für den Tankfüllstand,
• zugänglich für Prüfung,
• möglichst frei von direktem Einlauf

sein.

Montageposition des Grenzschalters

Die geometrische Höhe des Schalters ist unmittelbar Teil der Schutzfunktion.

Zu berücksichtigen sind

• Einbaulänge des Sensors,
• Schwimmergeometrie,
• Schaltpunkt bezogen auf den Prozessanschluss,
• Tankdach,
• Stutzenhöhe,
• Dichtung,
• Montageflansch.

Ein häufiger Fehler

ist die Annahme:

Prozessanschluss auf 9.000 mm = Schaltpunkt auf 9.000 mm

Das muss nicht stimmen

da der eigentliche Schaltpunkt konstruktiv:

unterhalb oder oberhalb des Referenzpunkts des Anschlusses

liegen kann.

Deshalb

sollte der tatsächliche Schaltpunkt aus:

• Zeichnung,
• Einbaulänge,
• Gerätekonfiguration

bestimmt werden.

Überfüllsicherung und WHG/AwSV

Bei Anlagen mit wassergefährdenden Stoffen kann der Begriff:

Überfüllsicherung

eine konkrete rechtliche Bedeutung besitzen.

Dann reicht nicht automatisch

ein beliebiger industrieller Füllstandschalter.

Zu prüfen sind

• konkreter Anwendungsfall,
• Medium,
• Behälter,
• geltende Anforderungen nach WHG und AwSV,
• Zulassung des eingesetzten Systems,
• zulässige Gerätekonfiguration,
• vorgeschriebene Prüfung und Dokumentation.

WIKA FLS

Im bei ICS verfügbaren WIKA-Datenblatt werden für bestimmte Ausführungen des:

FLS-S

DIBt-Zulassungen für den Einsatz als Überfüllsicherung aufgeführt.

Wichtig

Die Zulassung darf nicht pauschal auf jede FLS-Ausführung oder jede daraus aufgebaute Schaltung übertragen werden.

Vor der Auswahl muss die konkrete:

• Typvariante,
• Schwimmerausführung,
• elektrische Auswertung,
• Zulassung,
• Einbausituation

geprüft werden.

SIL und funktionale Sicherheit richtig einordnen

In Prozessanlagen kann die Überfüllabschaltung Bestandteil einer:

Safety Instrumented Function – SIF

sein.

Dann müssen Sensor, Logik und Aktor gemeinsam betrachtet werden

Sensor → Logic Solver → Final Element

Ein Sensor mit SIL-Eignung bedeutet deshalb nicht automatisch

dass die gesamte Überfüllschutzfunktion:

SIL 2

oder:

SIL 3

erfüllt.

Zusätzlich relevant sind beispielsweise

• Architektur,
• Ausfallwahrscheinlichkeiten,
• Diagnose,
• Proof-Test-Intervall,
• gemeinsame Fehlerursachen,
• Logiksystem,
• Abschaltventil.

Siemens SITRANS LVL200

wird bei ICS als Vibrations-Grenzstandschalter für:

• Überlaufschutz,
• Trockenlaufschutz,
• Voll- und Leermeldung

geführt und bietet je nach Ausführung Optionen beziehungsweise Unterstützung für sicherheitsgerichtete Anwendungen.

Für die konkrete Sicherheitsfunktion

muss jedoch immer die:

exakte Geräteausführung + Zertifizierung + Systemarchitektur

bewertet werden.

Funktionsprüfung und Proof Test

Eine Schutzfunktion, die jahrelang nicht auslöst, kann trotzdem unbemerkt defekt sein.

Deshalb sollte sie regelmäßig geprüft werden

und zwar möglichst vollständig:

Sensor → Signalauswertung → Abschaltung

Eine reine Sichtprüfung reicht nicht

Der Grenzschalter kann äußerlich einwandfrei aussehen und trotzdem:

• mechanisch blockiert,
• elektrisch defekt,
• falsch verdrahtet

sein.

Ein vollständiger Funktionstest sollte prüfen

• Schaltpunkt,
• Schaltfunktion,
• Alarmweitergabe,
• Verriegelung,
• Pumpenabschaltung,
• Ventilreaktion,
• Störmeldung.

Bei sicherheitsgerichteten Anwendungen

sind Prüfumfang und Prüfintervall aus der jeweiligen Sicherheitsbewertung beziehungsweise Zulassung abzuleiten.

Bypass und Wartungsüberbrückung beherrschen

Für Wartungsarbeiten kann es erforderlich sein, eine HH-Abschaltung vorübergehend zu überbrücken.

Genau hier entsteht ein erhebliches Risiko

wenn der Bypass nach der Wartung:

aktiv bleibt

Eine gute Anlagenorganisation berücksichtigt deshalb

• eindeutige Bypass-Anzeige,
• protokollierte Freigabe,
• zeitliche Begrenzung,
• Rücksetzung nach Wartung,
• abschließende Funktionsprüfung.

Ein gefährlicher Zustand wäre

Sensor funktionsfähig + Schutzlogik gebrückt = keine Abschaltung

Daher

Die organisatorische Behandlung von Bypässen ist Bestandteil einer zuverlässigen Schutzfunktion.

Diagnose der kontinuierlichen Messung trotzdem nutzen

Die Trennung der Schutzfunktion bedeutet nicht, dass die kontinuierliche Messung für die Sicherheit wertlos ist.

Im Gegenteil

sie kann zusätzliche Informationen liefern.

Beispiel

Kontinuierlicher Füllstand:

93 %

aber HH-Grenzschalter:

nicht betätigt

Das ist ein wichtiger Plausibilitätskonflikt

und kann auf:

• falsche Skalierung,
• falschen Schaltpunkt,
• Sensorfehler,
• mechanische Blockierung

hinweisen.

Umgekehrt

meldet der HH-Grenzschalter:

HIGH-HIGH

aber der kontinuierliche Sensor zeigt:

68 %

Dann sollte die Anlage

nicht einfach einen der beiden Werte ignorieren.

Der Widerspruch ist selbst eine:

Diagnoseinformation

Empfohlener Planungs- und Prüfablauf

1. Medium definieren: Dichte, Viskosität, Leitfähigkeit, Schaumbildung, Ablagerung, Temperatur und Druck erfassen.
2. Tankgeometrie aufnehmen: Höhe, Volumen, Dachform, Stutzen und Einlaufposition dokumentieren.
3. Normalen Betriebsbereich bestimmen: Gewünschte minimale und maximale Betriebsfüllstände festlegen.
4. Maximal zulässigen Füllstand definieren: Prozess- und rechtliche Anforderungen berücksichtigen.
5. High-Alarm festlegen: Frühwarnung vor Erreichen des kritischen Bereichs definieren.
6. High-High-Schaltpunkt bestimmen: Ausreichend Abstand zum maximal zulässigen Füllstand einplanen.
7. Maximalen Zulauf bestimmen: Worst-Case-Füllstrom berücksichtigen.
8. Nachlauf berechnen: Ventilschließzeit, Pumpennachlauf und Rohrleitungsinhalt berücksichtigen.
9. Kontinuierliches Messprinzip auswählen: Zum Prozess und Behälter passende Messmethode festlegen.
10. Separaten Grenzschalter auswählen: Medium, Druck, Temperatur und Schaltpunkt berücksichtigen.
11. Messprinzipien vergleichen: Gemeinsame Fehlerursachen identifizieren.
12. Mechanische Unabhängigkeit prüfen: Separate und geeignete Montageposition bestimmen.
13. Elektrische Architektur festlegen: Versorgung, Verkabelung und Signalweg definieren.
14. Fail-Safe-Verhalten festlegen: Reaktion auf Kabelbruch, Spannungsausfall und Gerätestörung bestimmen.
15. Logiksystem definieren: Standard-SPS, Sicherheitssteuerung oder separate Auswertung entsprechend der Risikobewertung wählen.
16. Final Element festlegen: Ventil, Pumpe oder andere Zulaufunterbrechung bestimmen.
17. Wiederanlauf festlegen: Automatische Rücksetzung oder manuelle Quittierung definieren.
18. Zulassungen prüfen: Bei WHG/AwSV-, Ex- oder SIL-Anwendungen exakte Geräteausführung überprüfen.
19. Funktionsprüfung definieren: Prüfmethode für Sensor und komplette Abschaltkette festlegen.
20. Prüfintervall dokumentieren: Wiederkehrende Prüfung in Wartungsplan übernehmen.
21. Bypass-Verfahren festlegen: Überbrückungen kontrolliert verwalten.
22. Inbetriebnahme durchführen: Tatsächlichen Schaltpunkt und vollständige Schutzreaktion prüfen.
23. Dokumentation erstellen: Schaltpunkt, Gerätetypen, Logik und Prüfverfahren festhalten.

Typische Fehler bei Überfüllsicherungen

Beobachtung	Mögliche Ursache	Sinnvolle Prüfung
High und High-High fallen gleichzeitig aus	Beide Grenzwerte stammen aus demselben Transmitter	Unabhängigen Grenzschalter prüfen
HH-Schalter reagiert zu spät	Schaltpunkt zu hoch gesetzt	Restvolumen und Reaktionszeit berechnen
Tank läuft trotz HH-Alarm weiter voll	Ventil oder Pumpe reagiert nicht	Komplette Abschaltkette testen
Schwimmerschalter betätigt nicht	Dichte oder Bewegungsfreiheit ungeeignet	Schwimmerauslegung und Ablagerungen prüfen
Grenzschalter löst beim Befüllen sporadisch aus	Einlaufstrahl oder starke Turbulenz	Montageposition kontrollieren
Sensor zeigt nach Wartung permanent Alarm	Einbau- oder Schaltlogik verändert	Montage und Kontaktfunktion prüfen
Kabelbruch bleibt unbemerkt	Keine geeignete Fail-Safe-Auswertung	Signal- und Relaiskonzept prüfen
Schutzfunktion funktioniert beim Test nicht	Bypass noch aktiv	Bypass-Management prüfen
Kontinuierlicher Wert und HH-Signal widersprechen sich	Skalierungs-, Sensor- oder Montagefehler	Beide Messsysteme separat prüfen
Sensor besitzt passende Technik, darf aber nicht als gesetzlich geforderte Überfüllsicherung eingesetzt werden	Erforderliche Zulassung fehlt	Exakte Geräteausführung und Zulassungsunterlagen prüfen
Beide Sensoren fallen gleichzeitig aus	Gemeinsame Versorgung oder gemeinsame Fehlerursache	Unabhängigkeit der gesamten Architektur bewerten

Praxisbeispiel: Lagertank mit kontinuierlicher Messung und HH-Abschaltung

Ein Lagertank wird über eine Pumpe befüllt.

Der Betreiber benötigt:

• kontinuierliche Füllstandanzeige,
• High-Alarm,
• unabhängige High-High-Abschaltung.

Kontinuierliche Messung

Für die laufende Füllstanderfassung wird ein:

4–20-mA-Füllstandtransmitter

verwendet.

Die SPS nutzt den Messwert für

• Anzeige,
• Trendaufzeichnung,
• Bestandsüberwachung,
• High-Alarm bei 85 %.

Separater HH-Schalter

Bei:

92 %

wird ein eigener Grenzstandschalter installiert.

Dieser Grenzschalter

ist nicht Bestandteil der analogen Füllstandmesskette.

Beim Ansprechen

wird:

HH → Befüllpumpe AUS + Zulaufventil ZU + Alarm

Der Zustand wird verriegelt

und muss nach Ursachenprüfung manuell quittiert werden.

Reservevolumen

Zwischen HH und maximal zulässigem Füllstand stehen:

500 l

zur Verfügung.

Maximaler Zulauf

150 l/min

Theoretische Reservezeit

500 / 150 = 3,33 min

Nun muss geprüft werden

ob:

Sensorreaktion + Logik + Pumpenabschaltung + Ventilschließzeit + Nachlauf

sicher innerhalb dieser Reserve bleiben.

Funktionsprüfung

Bei der Inbetriebnahme wird nicht nur der Kontakt des Grenzschalters geprüft.

Geprüft wird die gesamte Kette

Grenzstand → Schaltsignal → Logik → Pumpe AUS → Ventil ZU → Alarm

Ergebnis

Die kontinuierliche Messung liefert den komfortablen Prozesswert, während die separate HH-Erfassung eine eigenständige Schutzaufgabe übernimmt. Beide Funktionen ergänzen sich, statt dieselbe Messkette nur mehrfach auszuwerten.

Passende ICS-Produkte für kontinuierliche Messung und unabhängige Grenzstanderfassung

WIKA Typ FLS – Schwimmerschalter für die Prozessindustrie

Für eine separate Grenzstanderfassung führt ICS den:

WIKA Typ FLS

Das Funktionsprinzip

Ein Schwimmer mit Permanentmagnet bewegt sich entlang eines Führungsrohres.

Im Rohr befindet sich ein:

Reed-Kontakt

der beim Erreichen des definierten Füllstands betätigt wird.

ICS nennt unter anderem

• vertikalen Einbau,
• potentialfreie Kontakte,
• mehrere mögliche Schaltpunkte,
• Schließer, Öffner oder Wechsler,
• Temperaturen je nach Ausführung bis +350 °C,
• Prozessdruck von Vakuum bis 40 bar,
• Grenzdichten ab 300 kg/m³,
• verschiedene Werkstoffe und Prozessanschlüsse,
• explosionsgeschützte Ausführungen.

Für Überfüllschutz besonders interessant

ist die Möglichkeit, einen physisch definierten:

MAX / HH-Schaltpunkt

unabhängig von der kontinuierlichen Messwertskalierung zu realisieren.

WHG-Anwendungen

Das auf der ICS-Seite verfügbare WIKA-Datenblatt führt für bestimmte FLS-S-Ausführungen eine DIBt-Zulassung für Überfüllsicherungen auf.

Für eine konkrete WHG-/AwSV-Anwendung muss die exakte zulässige Gerätekonfiguration geprüft werden.

Siemens SITRANS LVL200 – Vibrations-Grenzstandschalter

Eine weitere bei ICS gelistete Lösung ist der:

Siemens SITRANS LVL200

ICS beschreibt ihn als

Vibrations-Grenzstandschalter für Flüssigkeiten und Schlämme zur:

• Überlaufüberwachung,
• Trockenlaufüberwachung,
• Vollmeldung,
• Leermeldung,
• Pumpenüberwachung.

Besonders interessant für Schutzfunktionen sind

• Testfunktion einschließlich Remoteoptionen,
• Fehlerüberwachung auf Korrosion,
• Überwachung des Schwingungsausfalls,
• Überwachung auf Leitungsbruch zum Piezoantrieb,
• verschiedene Ausgangsvarianten.

ICS nennt als Prozessbereiche

-196 … +450 °C

und:

-1 … 160 bar g

Je nach Ausführung

sind zusätzlich sicherheitsgerichtete Zulassungen beziehungsweise Optionen verfügbar.

WIKA Typ FLM-CA – kontinuierliche Füllstandmessung

Für die kontinuierliche Prozessmessung führt ICS den:

WIKA Typ FLM-CA

Das Gerät dient

zur hochgenauen kontinuierlichen Füllstanderfassung von Flüssigkeiten nach dem:

magnetostriktiven Messprinzip

ICS nennt

• 4 … 20 mA nach NAMUR NE43,
• optional HART® Version 6,
• Gleitrohrlängen von 100 mm bis 3 m,
• Temperaturbereich -40 … +250 °C,
• Druckbereich Vakuum bis 40 bar,
• Grenzdichte ≥ 580 kg/m³,
• optional explosionsgeschützte Ausführung.

Typische Aufgabenteilung

FLM-CA → kontinuierlicher Prozesswert

FLS oder LVL200 → separater Grenzstand

Siemens SITRANS LR100 Baureihe – berührungslose Radar-Füllstandmessung

Für berührungslose kontinuierliche Messung ist bei ICS außerdem die:

SITRANS LR100 Baureihe

gelistet.

Die Baureihe arbeitet mit

80-GHz-Radar

ICS nennt unter anderem

• schmalen Öffnungswinkel,
• Messung von Flüssigkeiten und Schüttgütern,
• Bluetooth® zur Inbetriebnahme,
• HART beziehungsweise je nach Ausführung Modbus RTU,
• Messbereiche je nach Variante bis 30 m.

Für die hier beschriebene Architektur

könnte beispielsweise:

SITRANS LR100 → kontinuierliche Messung

mit:

FLS oder SITRANS LVL200 → separater HH-Grenzstand

kombiniert werden.

Welche Lösung passt?

Aufgabe	Passende ICS-Lösung
Kontinuierlicher Füllstand von Flüssigkeiten mit Schwimmerprinzip	WIKA FLM-CA
Berührungslose kontinuierliche Füllstandmessung	Siemens SITRANS LR100 Baureihe
Separater MAX-/HH-Schaltpunkt mit Schwimmer	WIKA FLS
Separater Grenzstand über Vibrationsprinzip	Siemens SITRANS LVL200
Anwendung mit WHG-/AwSV-Anforderung	Nur exakt zugelassene Geräte- und Systemkonfiguration nach Prüfung der Zulassungsunterlagen einsetzen
Sicherheitsgerichtete Überfüllabschaltung	Sensor, Logik, Aktor und erforderliche Sicherheitsintegrität als Gesamtsystem bewerten

Eine Übersicht aller Lösungen finden Sie unter Füllstandmesstechnik bei ICS Schneider.

Fazit

Eine kontinuierliche Füllstandmessung und eine Überfüllsicherung erfüllen unterschiedliche Aufgaben.

Die kontinuierliche Messung liefert den Prozesswert

Sie zeigt beispielsweise:

Füllstand = 73,4 %

und kann für:

• Anzeige,
• Regelung,
• Trend,
• Bestandsüberwachung

verwendet werden.

Die unabhängige Grenzstanderfassung überwacht einen kritischen Punkt

Sie entscheidet beispielsweise:

HH erreicht → Befüllung stoppen

Ein zweiter Softwaregrenzwert ist nicht automatisch eine zweite Schutzebene

Wenn High und High-High aus demselben Sensor und demselben 4–20-mA-Signal gebildet werden, bleiben viele gemeinsame Fehlerursachen bestehen.

Ein separater Grenzschalter reduziert diese Abhängigkeit

besonders dann, wenn auch:

• Signalweg,
• Auswertung,
• Versorgung,
• Abschaltlogik

entsprechend der geforderten Schutzfunktion betrachtet werden.

Der HH-Schaltpunkt braucht Reserve

Er muss tief genug liegen, damit nach dem Ansprechen noch ausreichend Zeit und Volumen für:

• Signalverarbeitung,
• Pumpenabschaltung,
• Ventilschließung,
• Nachlauf

vorhanden sind.

Fail-Safe betrifft die komplette Kette

Nicht nur der Sensor, sondern:

Sensor → Leitung → Logik → Aktor

muss betrachtet werden.

Auch eine zugelassene Komponente ist noch keine komplette zugelassene Überfüllsicherung

Bei WHG-/AwSV- oder SIL-Anforderungen sind die konkrete Gerätevariante, Zulassung und Systemarchitektur entscheidend.

Für die Praxis gilt deshalb

Normalen Füllbereich definieren → maximal zulässigen Füllstand festlegen → High und High-High getrennt planen → maximalen Zulauf und Nachlauf bestimmen → kontinuierliches Messprinzip auswählen → separaten Grenzschalter auslegen → gemeinsame Fehlerursachen prüfen → Montageposition festlegen → Fail-Safe-Konzept definieren → Signalweg und Logik festlegen → Abschaltelement bewerten → Zulassungen prüfen → tatsächlichen HH-Schaltpunkt bei der Inbetriebnahme kontrollieren → gesamte Abschaltkette funktional testen → Proof-Test- und Wartungsintervalle dokumentieren.

FAQ: Überfüllsicherung unabhängig von der Füllstandmessung planen

Was ist eine Überfüllsicherung?

Eine Überfüllsicherung soll verhindern, dass ein Behälter über einen zulässigen Füllstand hinaus befüllt wird. Je nach Anwendung kann dies eine einfache betriebliche Schutzfunktion oder eine rechtlich beziehungsweise sicherheitstechnisch definierte Schutzfunktion sein.

Was ist der Unterschied zwischen Füllstandmessung und Grenzstanderfassung?

Eine kontinuierliche Füllstandmessung liefert fortlaufend den aktuellen Füllstand. Ein Grenzstandschalter erkennt dagegen nur das Erreichen eines definierten Schaltpunkts.

Was bedeutet High-High?

High-High beziehungsweise HH bezeichnet üblicherweise einen besonders hohen Füllstand, bei dessen Erreichen eine definierte Schutzaktion wie das Abschalten einer Pumpe oder Schließen eines Zulaufventils ausgelöst wird.

Ist ein High-Alarm dasselbe wie eine Überfüllsicherung?

Nicht zwangsläufig. Ein High-Alarm kann lediglich eine Warnung für das Bedienpersonal darstellen. Eine Überfüllschutzfunktion kann zusätzlich eine automatische Abschaltung erfordern.

Kann ich den High-High-Grenzwert aus meinem 4–20-mA-Füllstandsignal bilden?

Technisch ja. Dies kann betrieblich sinnvoll sein. Wenn jedoch eine unabhängige Schutzfunktion gefordert ist, muss geprüft werden, ob die gemeinsame Nutzung desselben Sensors, Signalwegs und Logiksystems ausreichend ist.

Warum ist ein zweiter SPS-Grenzwert keine vollständige Redundanz?

Weil beide Grenzwerte weiterhin vom selben Sensor und dessen Messsignal abhängig sind. Ein gemeinsamer Sensorfehler kann deshalb beide Grenzwertfunktionen gleichzeitig beeinflussen.

Warum sollte ein separater Grenzstandschalter eingesetzt werden?

Er ermöglicht eine vom kontinuierlichen Messwert getrennte Erfassung eines kritischen Füllstands und reduziert damit bestimmte gemeinsame Fehlerursachen.

Muss der Grenzschalter ein anderes Messprinzip verwenden?

Nicht zwingend. Ein anderes physikalisches Messprinzip kann jedoch helfen, bestimmte gemeinsame Fehlermechanismen zu reduzieren. Das Messprinzip muss trotzdem für Medium und Prozess geeignet sein.

Was ist ein Common-Cause-Fehler?

Damit wird eine gemeinsame Ursache bezeichnet, die mehrere eigentlich getrennte Komponenten oder Schutzpfade gleichzeitig beeinträchtigt.

Was wäre ein Beispiel für einen Common-Cause-Fehler?

Wenn kontinuierlicher Sensor und Grenzschalter aus derselben Spannungsversorgung gespeist werden und diese ausfällt, können beide Systeme gleichzeitig betroffen sein.

Wie wird der High-High-Schaltpunkt festgelegt?

Er muss so gewählt werden, dass zwischen Auslösung und maximal zulässigem Füllstand noch ausreichend Volumen und Reaktionszeit für die vollständige Abschaltung des Zulaufs zur Verfügung stehen.

Warum darf HH nicht direkt an der Tankoberkante liegen?

Weil nach der Auslösung weiterhin Medium nachströmen kann, bis Pumpen und Ventile tatsächlich reagieren.

Wie berechne ich die verfügbare Reservezeit?

Vereinfacht kann tReserve = ΔV / Qmax verwendet werden, wobei ΔV das verfügbare Restvolumen und Q_max der maximale Nettozulauf ist.

Was gehört zur Reaktionszeit?

Unter anderem Sensorreaktion, Signalverarbeitung, Logik, Ventilschließzeit, Pumpennachlauf und gegebenenfalls nachströmender Rohrleitungsinhalt.

Was bedeutet Fail-Safe bei einer Überfüllsicherung?

Die Schutzfunktion soll so ausgelegt sein, dass relevante Fehler möglichst in einen definierten sicheren beziehungsweise erkennbaren Zustand führen.

Ist ein Öffner automatisch Fail-Safe?

Nein. Die gesamte Signalkette einschließlich Versorgung, Auswertung und Aktor muss betrachtet werden.

Was ist das Ruhestromprinzip?

Dabei wird im Normalzustand beispielsweise ein Relais aktiv gehalten. Bei Auslösung oder bestimmten Fehlern fällt es ab. Ob dieses Prinzip geeignet ist, hängt von der konkreten Schaltung ab.

Sollte eine HH-Abschaltung automatisch zurückgesetzt werden?

Das hängt von der Risikobewertung ab. Bei kritischen Schutzfunktionen kann eine verriegelte Abschaltung mit bewusster manueller Quittierung sinnvoll sein.

Muss neben der Pumpe auch ein Ventil geschlossen werden?

Das hängt von der Anlage ab. Entscheidend ist, dass alle relevanten Zulaufwege zuverlässig unterbrochen werden.

Warum muss auch das Abschaltventil geprüft werden?

Weil ein korrekt ausgelöster Grenzstandsensor die Überfüllung nicht verhindert, wenn das Ventil mechanisch nicht schließt.

Was ist ein Proof Test?

Ein Proof Test ist eine wiederkehrende Funktionsprüfung einer Schutzfunktion, mit der gefährliche, im normalen Betrieb nicht erkennbare Fehler aufgedeckt werden sollen.

Sollte nur der Grenzschalter geprüft werden?

Für die Bewertung der gesamten Schutzfunktion sollte möglichst die komplette Kette vom Grenzstandsensor bis zur tatsächlichen Abschaltreaktion geprüft werden.

Was ist bei einer Wartungsüberbrückung zu beachten?

Ein aktiver Bypass muss eindeutig erkennbar, kontrolliert freigegeben und nach Abschluss der Arbeiten wieder entfernt werden. Anschließend sollte die Schutzfunktion erneut geprüft werden.

Kann die kontinuierliche Messung zur Plausibilitätsprüfung verwendet werden?

Ja. Widersprüche zwischen kontinuierlichem Messwert und binärem Grenzstandsignal können wertvolle Diagnoseinformationen liefern.

Welche Messprinzipien eignen sich für kontinuierliche Füllstandmessung?

Je nach Anwendung kommen unter anderem Radar, Ultraschall, hydrostatische Messung, magnetostriktive Schwimmersysteme, Reedketten oder geführte Mikrowelle infrage.

Welche Messprinzipien eignen sich für einen Grenzstand?

Je nach Medium beispielsweise Schwimmer, Vibrationsschalter, optoelektronische, kapazitive oder leitfähige Grenzstandsensoren.

Wann eignet sich ein Schwimmerschalter?

Schwimmerschalter sind besonders robuste Lösungen für Flüssigkeiten, wenn Dichte, Temperatur, Druck und mechanische Einbaubedingungen zum ausgewählten Schwimmer passen.

Warum ist die Dichte bei einem Schwimmerschalter wichtig?

Der Schwimmer muss auf dem jeweiligen Medium ausreichend Auftrieb erzeugen, damit der vorgesehene Schaltpunkt zuverlässig erreicht wird.

Was ist der WIKA FLS?

Der WIKA FLS ist ein bei ICS gelisteter Schwimmerschalter für industrielle Prozessanwendungen mit vertikalem Einbau.

Wie funktioniert der WIKA FLS?

Ein Schwimmer mit Permanentmagnet bewegt sich entlang eines Führungsrohres und betätigt darin befindliche Reed-Kontakte.

Welche Kontaktarten bietet der FLS?

Je nach Ausführung sind Schließer, Öffner oder Wechsler möglich.

Kann der WIKA FLS mehrere Schaltpunkte besitzen?

Ja. ICS führt den FLS auch mit mehreren definierbaren Schaltpunkten.

Kann der WIKA FLS als Überfüllsicherung eingesetzt werden?

Für bestimmte FLS-S-Ausführungen werden in den verfügbaren WIKA-Unterlagen entsprechende DIBt-Zulassungen aufgeführt. Für die konkrete Anwendung muss jedoch die exakt zugelassene Geräte- und Systemausführung geprüft werden.

Was ist der Siemens SITRANS LVL200?

Der SITRANS LVL200 ist ein Vibrations-Grenzstandschalter für Flüssigkeiten und Schlämme, den ICS unter anderem für Überlauf- und Trockenlaufschutz führt.

Welche Diagnosemöglichkeiten besitzt der SITRANS LVL200?

ICS nennt unter anderem eine Testfunktion einschließlich Remoteoptionen sowie Fehlerüberwachung auf Korrosion, Schwingungsausfall und Leitungsbruch zum Piezoantrieb.

Kann der SITRANS LVL200 für sicherheitsgerichtete Anwendungen eingesetzt werden?

ICS nennt entsprechende SIL-Optionen beziehungsweise sicherheitsgerichtete Einsatzmöglichkeiten. Die konkrete Geräteausführung und die Sicherheitsarchitektur der gesamten Anlage müssen jedoch separat geprüft werden.

Was ist der WIKA FLM-CA?

Der FLM-CA ist ein magnetostriktiver Füllstandtransmitter zur hochgenauen kontinuierlichen Füllstanderfassung von Flüssigkeiten.

Welches Ausgangssignal besitzt der FLM-CA?

ICS nennt 4 … 20 mA nach NAMUR NE43 und optional HART® Version 6.

Was ist die SITRANS LR100 Baureihe?

Die SITRANS LR100 Baureihe besteht aus kompakten 80-GHz-Radar-Füllstandtransmittern für die kontinuierliche Messung von Flüssigkeiten und Schüttgütern.

Kann ich SITRANS LR100 und einen separaten Grenzschalter kombinieren?

Ja. Beispielsweise kann das Radar den kontinuierlichen Prozesswert liefern, während ein separater Schwimmer- oder Vibrationsschalter einen definierten HH-Grenzstand überwacht.

Ist ein SIL-fähiger Sensor allein eine SIL-Schutzfunktion?

Nein. Sensor, Logik, Abschaltelement, Architektur und Prüfkonzept müssen gemeinsam bewertet werden.

Was muss bei WHG- beziehungsweise AwSV-Anwendungen beachtet werden?

Die konkret geltenden Anforderungen sowie die Zulassung der vollständigen vorgesehenen Überfüllsicherung müssen geprüft werden. Ein beliebiger industrieller Grenzschalter darf nicht automatisch als zugelassene Überfüllsicherung betrachtet werden.

Wo finde ich den WIKA FLS bei ICS Schneider?

Weitere Informationen finden Sie unter WIKA FLS Schwimmerschalter bei ICS Schneider.

Wo finde ich den Siemens SITRANS LVL200 bei ICS Schneider?

Weitere Informationen finden Sie unter Siemens SITRANS LVL200 bei ICS Schneider.

Wo finde ich den WIKA FLM-CA bei ICS Schneider?

Weitere Informationen finden Sie unter WIKA FLM-CA bei ICS Schneider.

Wo finde ich die SITRANS LR100 Baureihe bei ICS Schneider?

Weitere Informationen finden Sie unter Siemens SITRANS LR100 Baureihe bei ICS Schneider.

Wo finde ich weitere Füllstandlösungen bei ICS Schneider?

Eine Übersicht finden Sie unter Füllstandmesstechnik bei ICS Schneider.