Einsatz von Systemen der Prozessanalysentechnik in PLT-Schutzeinrichtungen

• Unter dem Begriff Prozessanalysentechnik (PAT) fasst man i. Allg. ein automatisch arbeitendes System von Analysengerät, Probenkonditionierung und Infrastruktureinrichtungen zusammen, das im Bereich der Prozessindustrie die Konzentration von Stoffen anzeigt, überwacht oder, als Teil von PLT-Schutzeinrichtungen, die Über- bzw. Unterschreitung eines definierten Konzentrationsgrenzwerts sicher verhindert.

Betrachtet man alle PAT-Einrichtungen, so haben die PLT-Schutzeinrichtungen etwa einen Anteil von 3 bis 5%, Tendenz steigend. Was unterscheidet nun solche PAT-Einrichtungen von denen, die „nur“ der Anzeige oder der Über­wachung von Stoffkonzentrationen dienen?¹⁾

PAT-System als Teil einer PLT-Schutzeinrichtung

Am Anfang steht meist die SGU²⁾-Betrachtung eines verfahrenstechnischen Prozesses, der sich im Stadium einer fertigen konzeptionellen Planung befindet, die in einer für behördliche Zwecke geeigneten Detaillierung vorliegt. Fallweise wird in dieser SGU-Betrachtung durch Anwendung geeigneter Werkzeuge, wie beispielsweise der Risikographen nach VDI/VDE 2180, das Risiko einer nichtvertretbaren SGU-Gefahr identifiziert und durch eine PLT-Schutzeinrichtung mit zugewiesenem SIL unter das vertretbare Maß abgesenkt.

Ist die in der SGU-Betrachtung identifizierte Prozessgröße, die bei Über- bzw.- Unterschreitung eines spezifischen Grenzwertes ein nicht vertretbares hohes SGU-Risiko verursacht, der Konzentra­tionswert eines im Prozess vorkommenden Edukts oder Produkts, so bildet in der Regel ein PAT-System den Sensorteil der PLT-Schutzeinrichtung (Bild).

Qualifizierung der PAT-Systeme für PLT-Schutzeinrichtungen

Im Unterschied zu den klassischen Sensoren, die in hohen Stückzahlen sowohl in PLT-Schutzeinrichtungen als auch in Nicht-PLT-Schutzeinrichtungen bereits seit vielen Jahren eingesetzt werden, sind PAT-Systeme meist individuelle, auf die jeweilige Aufgabe optimierte Einheiten aus Analysatoren und, im Fall extraktiver Messungen, auch Probenkonditionierungen. PAT-Systeme können daher in der Regel nicht als betriebsbewährte Lösungen im Prozess A der Anlage A in den Prozess B der Anlage B übernommen werden.

Der Vorteil von PAT-Systemen liegt aber andererseits gerade in der großen Auswahl analytischer Methoden, die aus rein analysentechnischer Sicht betrachtet erlauben, die meisten Messaufgaben zu lösen. Für den Prozessanalysenexperten ist es dabei wichtig, alle möglichen Wechselwirkungen der Prozessbestandteile (Stoffe) und Prozesszustandsgrößen (beispielweise Druck und Temperatur) in allen Prozesszuständen mit dem PAT-System zu erfassen und bei dessen Auslegung zu berücksichtigen. Dies legt nahe, dass dieser Planungsschritt nur von sehr berufserfahrenen Ingenieuren (Chemikern, Physikern) bearbeitet werden sollte.

So wie im Großen die fertige konzeptionelle Planung eines verfahrenstechnischen Prozesses einer SGU-Betrachtung unterzogen wird, so sollte die fertige konzeptionelle Planung eines PAT-Systems einer FMEDA³⁾ unterzogen werden. Hierzu muss neben dem das PAT-System beschreibenden R&I-Diagramm eine genaue Spezifizierung der funk­tionsrelevanten Bauteile vorliegen. An der FMEDA sollten Planer, PAT-Instandhalter sowie fallweise auch Anlagenfahrer teilnehmen.

Ziel der FMEDA ist die Erkennung potenziell auftretender gefährlicher Fehler, die sich aus der Wechselwirkung des Prozesses mit dem PAT-System zu nicht vorhersagbaren Zeitpunkten ergeben können. Hierfür müssen aufgrund der vorhandenen Berufserfahrung Fehler­raten geschätzt werden. Legt man nun noch die notwendigen Prüfungsinter­valle des PAT-Systems sowie den zu erwartenden Fehleraufdeckungsgrad der Prüfung fest, so kann man mit einem geeigneten Rechenwerkzeug⁴⁾ den PFD-Wert bestimmen. Um den PFD-Wert nicht unnötig groß werden zu lassen, ist es hilfreich, einen möglichst großen Anteil der D-Fehler des PAT-Systems mithilfe geeigneter additiver Sensoren als DD-Fehler bewerten zu können. Der verbleibende Rest der D-Fehler wird als DU-Fehler bewertet. Der bei den Prüfungen nicht gefundene Anteil der D-Fehler muss gegebenenfalls als „Nicht detektierbarer Fehler“ in der Rechnung berücksichtigt werden, wenn die Ur­sache für die Nichtdetektierbarkeit in der Art und Weise der Prüfung vermutet wird.

Die notwendige HFT⁵⁾ [(EN 61511-1 Abs. 11.4.4) wird in der Praxis meist durch einen mehrkanaligen Aufbau des PAT-Systems erreicht. In der Regel sollten diversitäre PAT-Systeme gewählt werden, um die Gefahr, dass eine bestimmte Ursache gleichzeitig in allen Kanälen zum Verlust der Schutzfunktion führt, abzuschwächen (zur Bestimmung des PFD-Wertes mehrkanaliger Systeme siehe auch NE 146).

An dieser Stelle sei darauf hingewiesen, dass bei der FMEDA als vermeidbar bzw. als zeitlich exakt vorhersehbar erkannte Fehler konstruktiv bzw. organisatorisch behoben werden müssen und nicht in die PFD-Bewertung eingehen dürfen. Bei der Abschätzung des PFD-Wertes und damit der rechnerischen Häufigkeit des Versagens des PAT-Systems in der PLT-Schutzeinrichtung bei drohendem Überschreiten der Prozessgröße über bzw. unter den festgelegten Grenzwert muss bewusst sein, dass wahrscheinlich eine nicht zu vernachlässigende Menge an unerkannten systematischen Fehlern noch in der Beschreibung der Aufgabenstellung, der Spezifikation des PAT-Systems sowie bei der Wartung hinzukommen können. Der Wert der mit der PFD-Bestimmung erfassten Fehlerwahrscheinlichkeit hängt zudem stark von der Güte der Schätzung der oben genannten Fehlerraten ab. Dieser Umstand macht eine wiederkehrende Prüfung der Wirksamkeit der Schutzeinrichtung sowie der unverändert gültigen Fähigkeit zur Erfüllung der SIF⁶⁾ über die gesamte Lebensdauer notwendig. Fehlfunktionen des PAT-Systems sind zu dokumentieren und gegebenenfalls durch konstruktive Änderungen in der Zukunft zu vermeiden. Alle Arbeiten, die die sichere Funktion des PAT-Systems betreffen, müssen von PAT-Experten mit ausreichender Berufserfahrung ausgeführt werden.

Als letzten Schritt in der Qualifizierungskette von PAT-Systemen für PLT-Schutzeinrichtungen, unabhängig von der zuvor beschriebenen theoretischen Betrachtung der Ausfallwahrscheinlichkeit während der Planungsphase, muss sich das für die Erfüllung einer anlagenspezifischen SIF ausgelegte PAT-System im Betrieb bewähren. Während diese Betriebsbewährung für klassische PLT-Sensoren aufgrund der großen Anzahl bereits vorhandener Einrichtungen sowie der im Gegensatz zu PAT-Systemen nur marginal vorhandenen Prozessbeeinflussung leicht möglich ist (siehe hierzu auch NE 130), müssen Systeme der PAT hier individuell behandelt werden.

Nur wenn für eine neue Schutzeinrichtung sowohl der verfahrenstech­nische Prozess als auch das dort einzusetzende PAT-System genau bekannt sind, kann die Betriebsbewährung aufgrund früherer Verwendung festgestellt werden. Dies trifft im Allgemeinen nur dann zu, wenn Produktionsanlagen kopiert werden. Die Tabelle zeigt diesen Ausnahmefall links oben im grünen Feld.

Für diejenigen PAT-Systeme, für die es keine ausreichende Erfahrung mit der Methode, dem Analysengerät oder der Probenkonditionierung gibt, muss ein wesentlicher Teil der Betriebserfahrung zunächst in Nicht-Schutzeinrichtungen bzw. falls technisch möglich, in Pilotanlagen gesammelt werden (orange Felder). Grundsätzlich muss für jede neue prozessspezifische Aufgabenstellung ein sog. Methodentest (Applikationstest) durchgeführt werden.

Nun bleibt zwischen „genau bekannt“ und „nicht ausreichend bekannt“ ein Graubereich, in der Tabelle in den gelben Feldern dargestellt, in dem entweder der verfahrenstechnische Prozess oder das PAT-System keine exakte 1:1-Kopie einer bereits bestehenden Schutzeinrichtung erlaubt haben, aber die bestehenden Unterschiede mit an Sicherheit grenzender Wahrscheinlichkeit keinen Einfluss auf die Verfügbarkeit der Schutzeinrichtung nehmen werden. Dieser Fall trifft im Allgemeinen auch immer dann zu, wenn die Betriebserfahrung aus dem Betrieb einer Pilotanlage kommt, die zwar ähnlich aber nicht gleich aufgebaut ist! In solchen Fällen kann die Betriebsbewährung des PAT-Systems bei laufender Anlage durch eine in der NE 146 beschriebene Betriebserprobung festgestellt werden.

Diese Betriebserprobung darf keinesfalls als ein zeitlich uneingeschränkt gültiges „Feigenblatt“ für ein schlecht geplantes PAT-System verstanden werden. Die notwendige Betriebserprobung ist spätestens am Ende der Planungsphase, also vor der Fertigung des PAT-Systems, exakt zu beschreiben. Dazu gehören Art und Umfang der zusätzlich zu gewinnenden Informationen über das Betriebsverhalten des PAT-Systems, die erwarteten Ergebnisse sowie Arbeitsanweisungen für die fallweise durchzuführenden Prüfungen. Ebenso ist die maximale Dauer der Betriebserprobung festzu­legen.

Dieses Vorgehen muss mit der Projekt- bzw. Betriebsleitung so früh wie möglich abgestimmt werden, das Risiko des Scheiterns der Betriebserprobung ist zu benennen und mit der Projektleitung/Betriebsleitung abzustimmen. Gegebenenfalls muss eine Handlungsalternative vorhanden sein. Es ist leicht einzusehen, dass diese Abstimmung mit der Projekt-/Betriebsleitung so zeitig erfolgen muss, dass die Projektfertigstellung durch eine sich fallweise ergebende Nichtrealisierbarkeit der PLT-Schutzeinrichtung unbeeinflusst bleibt. Als Ergebnis der Betriebserprobung können sich außerdem zusätzliche Anforderungen an den Betreiber ergeben, die zur Aufrechterhaltung der funktionalen Sicherheit zu erfüllen sind.

PAT-Systeme mit komplexen Analysenmethoden

Zurzeit werden hauptsächlich ein­fache Analysenmethoden genutzt, deren potenzielle Fehler, die zum Versagen der Schutzfunktion führen, im Wesentlichen bekannt sind. Mit der zunehmenden Komplexität verfahrenstechnischer Prozesse ergibt sich aber auch für PAT-Systeme mehr und mehr die Notwendigkeit, aufwendige Analysenmethoden einzusetzen. Darunter können in erster Linie solche Methoden subsumiert werden, die in der Lage sind, die Konzentration einer oder mehrerer zu messenden Komponenten in einer Matrix aus einer Vielzahl von Begleitkomponenten selektiv zu erfassen. Hierzu zählt als nahezu universell einzusetzende Methode die auf der Basis eines chemometrischen Modells arbeitende IR-Spektroskopie. Die Nutzbarkeit solcher Methoden für PLT-Schutzeinrichtungen wird momentan sehr intensiv geprüft.

Herstellerangaben

Manche Hersteller werben derzeit mit Aussagen wie beispielsweise „SIL-Gerät“ oder „Einsatz für SIL 2 geprüft“. Der Anwender bleibt aber letztlich verantwortlich für die sichere Installation seiner Anlage. Er muss prüfen, ob das einzusetzende PAT-System bzw. die einzusetzende Analysenmethode für seinen Anwendungsfall die richtige ist. Er muss die in seinem PAT-System, bestehend aus Analysengerät und Probenkonditionierung, potenziell auftretenden Fehler bestimmen und ihre Rate abschätzen. Er hat sicherzustellen, dass keine systema­tischen PAT-Systemfehler verbleiben. Die von Herstellern oft genannten Fehler­raten für die Gerätefunktion ohne Prozesseinfluss, sind für die Beurteilung der Einsetzbarkeit des PAT-Systems meist bedeutungslos. Eine Ausnahme betrifft die Geräte, deren Messmedium lediglich aus sauberer Luft besteht.

Die Erfüllung der EN 61508, Teil 3: „Anforderungen an Software“ hilft zumindest, den Willen des Herstellers zur Minimierung von Fehlfunktionen seines Geräts zu erkennen. Sollten im Laufe der Lebensdauer des PAT-Systems Teile mit separaten IT-Bausteinen (Firmware) getauscht werden müssen, so lässt sich mit der Erfüllung der EN 61508, Teil 3 die Erwartung verbinden, dass die neuen IT-Bauteile fehlerfrei arbeiten, d. h. keine neuen umfangreichen Prüfungen durchgeführt werden müssen.

Letztlich wäre eine Aussage zur EMV-Störfestigkeit wünschenswert, z.B. nach NE 21.

Fazit

Die Prozessanalysentechnik war in den letzten Jahrzehnten in der Lage, den Sensorteil zu PLT-Schutzsystemen zu liefern, die über die gesamte Lebensdauer der Produktionsanlage ihre Schutzfunktion erfüllt haben. Die grundlegenden Auslegungskonzepte blieben in Einzelfällen über 30 Jahre nahezu unverändert. Viele Produktionsanlagen wurden erst durch den Einsatz von Prozessanalysentechnik in PLT-Schutzeinrichtungen betreibbar. Die große Vielfalt physikalisch-chemischer Analysenmethoden sowie deren professionelle ingenieurtech­nische Umsetzungen in den Produk­tionsanlagen der Prozessindustrie helfen auch heute, Produktionsanlagen sicher zu betreiben.

In den nächsten Jahren wird die Zuverlässigkeit von PAT-Systemen, die selektiv Substanzen in einem Mehrkomponentensystem detektieren können, intensiv untersucht werden. Hochqualifizierte Physiker, Chemiker und Ingenieure, die in der Lage sind disziplinübergreifend zu arbeiten, sind dafür nach wie vor die Voraussetzung.  TS 458

¹⁾ Die hier benutzten Begriffe im Zusammenhang mit der funktionalen Sicherheit können in den Normen EN 61508, EN 61511, VDI/VDE 2180 sowie in der Namur Empfehlung NE 146 nachgesehen werden.

²⁾ SGU: Sicherheit, Gesundheits- und Umweltschutz

³⁾ FMEDA: Failure Modes, Effects and Diagnostic Coverage Analysis

⁴⁾ Hinweise dazu in der NE 146

⁵⁾ HFT: Hardware-Fehlertoleranz

⁶⁾ SIF: Safety Instrumented Function