Fehlerbudget von maximal 10 %
Bild 03: Da SIL funktionsorientiert ist, wird es jeweils einer sicherheitstechnischen Funktion zugeordnet, die verschiedene Funktionsgruppen umfasst. (Quelle: Phoenix Contact)
Bild 04: Die bewährten Ex-i-Trennverstärker aus der Produktfamilie MACX Analog vereinen Explosionsschutz und funktionale Sicherheit in zwei kanaligen Versionen und Signalverdopplern auf 12,5 mm Baubreite. Zusätzlich erhalten die Anwender Geräte mit Grenzwertschaltern. (Quelle: Phoenix Contact)
Auf der Grundlage der PFD wird ein Sicherheitsintegritätslevel (safety integrity level, SIL) für die Zuverlässigkeit und Effektivität von sicherheitsbezogenen Geräten klassifiziert. SIL umfasst vier Stufen, wobei die höchste Stufe derzeit wenig Relevanz in der Prozessautomation hat: SIL4 bietet die höchste Sicherheit und die niedrigste PFD. Im Vergleich zu SIL2 und SIL1 zeichnet sich SIL3 durch eine höhere Zuverlässigkeit, geringere Ausfallwahrscheinlichkeit und größere Risikoreduzierung aus (Bild 2).
Da SIL funktionsorientiert ist, wird es jeweils einer sicherheitstechnischen Funktion zugeordnet, die verschiedene Funktionsgruppen beinhaltet. Den unterschiedlichen Gruppen sind Fehlerbudgets zugewiesen: Sensorik 40 %, Signalweg 10 %, Steuerung 15 %, Signalweg 10 % und Aktorik 25 %. In jedem Fall lohnt sich somit der Blick in das Sicherheitshandbuch der ausgewählten SIL3-Trennverstärker und -Messumformer. Zum einen kann so überprüft werden, wie sich die PFD-Werte der Geräte in den gesamten Sicherheitsloop integrieren. Andererseits ist darauf zu achten, dass bei Geräten mit einer bestätigten SIL3-Eignung nicht mehr als 10 % des zur Verfügung stehenden Gesamtfehlerbudgets des Sicherheitsloops benötigt werden (Bild 3).
SIL2-Redundanz für SIL3-Regelkreise
Durch die redundante Verwendung von SIL2-Geräten lässt sich ein SIL3-Regelkreis umsetzen. Dazu müssen systematische Fehler der Geräte weitestgehend ausgeschlossen sein. Diesen Zweck verfolgen zwei Ansätze: Auf der einen Seite vermeidet der Aufbau in einer heterogenen Redundanz – also der Einsatz von zwei Trennverstärkern und Messumformern aus verschiedenen Produktionschargen – systematische Fehler, die durch systematisch fehlerhafte Bauteile oder konstruktive Schwächen entstehen können. Auf der anderen Seite ist eine homogene Redundanz dann möglich, wenn die ausgesuchten Geräte über eine systematische Eignung (systematic capability, SC) verfügen. Die SC wird vom Gerätehersteller durch geeignete organisatorische Maßnahmen sichergestellt und durch ein FSM Zertifikat (functional safety management) nachgewiesen. Die Produktfamilie MACX Analog von Phoenix Contact [1] ist durchgängig gemäß SIL2 SC3 oder SIL3 zertifiziert und kann folglich sowohl in homogener Redundanz als auch in SIL3-Regelkreisen genutzt werden (Bild 4).