TT 51 SERIE Zusatzanleitung

Transkript

1 TT 51 SERIE Zusatzanleitu 2-Leiter Transmitter für die Messu von Temperatur, Widerstand oder Spannu Sicherheitshandbuch SIL KROHNE

2 INHALT TT 51 SERIE 1 Einleitu Einsatzbereich Vorteile für den Bediener Sicherheitshinweise des Herstellers Relevante Normen / Literatur Begriffe und Definitionen 5 3 Beschreibu des Teilsystems Funktionsprinzip Sicherheitsfunktion Beschreibu der Ausfallkategorien Spezifikation der Sicherheitsfunktion Redundanz Sensordrift Sensor-Backup Projektieru Gültige Gerätedokumentation Projektieru, Verhalten während des Betriebs und Fehlfunktionen SIL-Daten Regelmäßige Prüfuen / Wiederholusprüfuen Regelmäßige Prüfuen Wiederholusprüfuen Sicherheitsbezogene Eigenschaften Vorraussetzuen Spezifische sicherheitsbezogene Eigenschaften Anha Konformitätserkläru für Funktionale Sicherheit (SIL) Übersicht über Exida / FMEDA Management Baumusterprüfbescheinigu Formular zur Rücksendu/Wartu Notizen 30 2

3 TT 51 SERIE EINLEITUNG Einsatzbereich Der TT 51 C ist ein universeller, isolierter Temperaturtransmitter mit dualem Eia für Widerstandsthermometer und Thermoelemente. Er ist vorraig für die Montage in einem DIN- B Anschlusskopf ausgelegt. TT 51 R ist die Schienenversion der TT 51 Serie. TT 51 C Ex und TT 51 R Ex sind die eigensicheren Ausführuen der TT 51 Serie. Das Wort SIL wird bei den SIL-Ausführuen hinzugefügt, z. B. TT 51 C Ex SIL. Der TT 51 Temperaturtransmitter zeichnet sich durch einen modularen Aufbau sowohl der Geräte als auch der Software aus, um stets eine herausragende Qualität und Zuverlässigkeit des Transmitter-Signalausgas und damit die Übereinstimmu mit den speziellen Sicherheitsanforderuen gemäß IEC 61508:2010 Teil 1 bis Teil 3 für den Einsatz in SIL2- Anwenduen zu gewährleisten. 1.2 Vorteile für den Bediener Dieser intelligente HART -Temperaturtransmitter ist für die Temperaturmessu von Feststoffen, Flüssigkeiten und Gasen bis SIL2 nach den speziellen Sicherheitsanforderuen von IEC 61508:2010 ausgelegt (siehe Zertifikat Nr. SC , das vom SP Technisches Forschusinstitut in Schweden ausgestellt wurde). Die Fernkonfiguration mit Prozessleitsystem, PC oder HART -Handterminal ist in Kombination mit der SIL-Aktivieru nicht möglich, um unbeabsichtigte Änderuen zu verhindern; nur das Ablesen von Parametern des Gerätes ist über HART möglich. Um Einstelluen zu ändern oder die SIL-Funktion zu deaktivieren, müssen die Software ConSoft und das USB ICON Kit verwendet werden. Kontinuierliche Messu Einfache Inbetriebnahme SIL2-Anforderuen basieren auf der Norm IEC 61508:2010. Das TT 51 SIL-Zertifikat basiert auf einer vollständigen Beurteilu (Full Assessment) nach IEC 61508:2010 Teil 1 bis Teil 3 des SP (Technisches Forschusinstitut in Schweden). 1.3 Sicherheitshinweise des Herstellers Das Messgerät ist nach dem derzeit aktuellen Stand der Technik gebaut und geprüft und erfüllt die einschlägigen Sicherheitsnormen. Durch unsachgemäßen oder nicht bestimmusgemäßen Gebrauch können jedoch Gefahren entstehen. Beachten Sie deshalb konsequent alle Sicherheitshinweise in diesem Dokument. 3

4 1 EINLEITUNG TT 51 SERIE INFORMATION! Dieses "Sicherheitshandbuch" ist eine Ergänzu zum regulären Handbuch. Neben den in dieser Dokumentation aegebenen Sicherheitsvorschriften sind auch die nationalen und regionalen Sicherheitsvorschriften und Arbeitsschutzbestimmuen zu beachten. 1.4 Relevante Normen / Literatur [N1] IEC :2010 Funktionale Sicherheit von sicherheitsbezogenen elektrischen/elektronischen/programmierbaren elektronischen Systemen Teil 1: Allgemeine Anforderuen IEC :2010 Funktionale Sicherheit von sicherheitsbezogenen elektrischen/elektronischen/programmierbaren elektronischen Systemen Teil 2: Anforderuen für sicherheitsbezogene elektrische/elektronische/programmierbare elektronische Systeme IEC :2010 Funktionale Sicherheit von sicherheitsbezogenen elektrischen/elektronischen/programmierbaren elektronischen Systemen Teil 1: Anforderuen an die Software [N2] IEC : Störfestigkeitsanforderuen für sicherheitsbezogene Systeme und für Betriebsmittel, die für sicherheitsbezogene Funktionen vorgesehen sind (funktionale Sicherheit) - Allgemeine industrielle Anwenduen [N3] NAMUR NE 21 Elektromagnetische Verträglichkeit (EMV) von Betriebsmitteln der Prozessund Laborleittechnik [N4] Namur NE 32 Sicheru der Informationsspeicheru bei Spannusausfall bei Feld- und Leitgeräten mit Mikroprozessoren [N5] NAMUR NE 43 Standard des Signalpegels für die Ausfallinformation von digitalen Transmittern [N6] NAMUR NE 53 Software und Hardware von Feldgeräten und signalverarbeitenden Geräten mit Digitalelektronik [N7] Namur NE 79 Mikroprozessorbestückte Geräte in der Anlagensicheru. [N8] Namur NE 89 Temperaturmessumformer mit digitaler Signalverarbeitu [N9] NAMUR NE 107 Selbstüberwachu und Diagnose von Feldgeräten [N10] EN :2009/2012 Elektrische Betriebsmittel für gasexplosionsgefährdete Bereiche Teil 0: Allgemeine Anforderuen [N11] EN :2007/2012 Explosionsgefährdete Bereiche Geräteschutz durch Eigensicherheit "i" [N12] EN :2007 Explosionsgefährdete Bereiche Teil 26: Geräte mit Geräteschutzniveau (EPL) Ga 4

5 TT 51 SERIE BEGRIFFE UND DEFINITIONEN 2 Verwendete Abkürzuen DC D FIT FMEA FMEDA HFT Betriebsart mit niedriger Anforderusrate (Low Demand Mode) Betriebsart mit hoher Anforderusrate MTBF MTTR PFD AVG PFH SFF SIF SIL Komponente Typ A / Element Typ A Komponente Typ B / Element Typ B T[Proof] Diagnosedeckusgrad von gefährlichen Ausfällen Der Diagnosedeckusgrad ist das Verhältnis der Ausfallrate der bemerkten Ausfälle und der Ausfallrate der gesamten Ausfälle. Failure In Time (1x10-9 Ausfälle pro Stunde) Failure Modes Effects Analysis: Die Fehler-Möglichkeits- und Einflussanalyse ist eine strukturierte qualitative Analyse von Systemen, Untersystemen, Prozessen, Ausführuen oder Funktionen, um potentielle Ausfallmöglichkeiten sowie deren Ursachen und Auswirkuen auf den Betrieb (des Systems) zu identifizieren. Failure Modes Effects and Diagnostic Analysis: Die Fehlermöglichkeits, Einflussund Diagnoseanalyse verfügt gegenüber FMEA zusätzlich über qualitative Ausfalldaten für alle analysierten Komponenten und die Fähigkeit des Systems zur Erkennu von internen Ausfällen über die automatische Online-Diagnose. Hardware Fault Tolerance (Hardware-Fehlertoleranz) Betriebsart, bei der die Anforderu an die Sicherheitsfunktion eines sicherheitsbezogenen Systems nicht mehr als einmal pro Jahr und nicht mehr als zweimal im Prüfzyklus erfolgt. Betriebsart, bei der die Anforderu an die Sicherheitsfunktion eines sicherheitsbezogenen Systems mehr als einmal pro Jahr und nicht mehr als zweimal im Prüfzyklus erfolgt. Mean Time Between Failure: Die mittlere Betriebsdauer zwischen Ausfällen. Mean Time To Restoration: Die mittlere Reparaturzeit, d. h. die Zeit für die Wiederherstellu des normalen Betriebs nach einem Ausfall. Probability of Failure on Demand: Die mittlere Wahrscheinlichkeit, dass ein System bei Anforderu der Funktion, für das es ausgelegt ist, ausfällt. Probability of Failure per Hour: Die Wahrscheinlichkeit eines gefährlichen Ausfalls pro Stunde für das System. Safe Failure Fraction; dieser Begriff beschreibt den Anteil an uefährlichen Ausfällen eines Gerätes sowie den Anteil an durch Diagnoseverfahren erkannten Ausfällen, der zu bestimmten Sicherheitsmaßnahmen führt. Safety Instrumented Function (Sicherheitskette) Safety Integrity Level (Sicherheitsintegritätslevel) "Einfaches" Untersystem (alle Ausfallarten sind klar definiert). weitere Einzelheiten siehe von IEC :2000 / von IEC :2010. "Komplexes" Untersystem (mindestens eine Ausfallart ist nicht klar definiert). weitere Einzelheiten siehe von IEC 61508:2000 / von IEC :2010. Intervall für die Wiederholusprüfu 5

6 3 BESCHREIBUNG DES TEILSYSTEMS TT 51 SERIE 3.1 Funktionsprinzip Die TT 51 Serie unterstützt bis zu zwei Sensorkanäle mit allgemeinen Eiasbeschaltuen, die für Widerstandsthermometer und/oder Thermoelemente konfiguriert werden können. Alle sicherheitsbezogenen Berechnuen basieren auf diesen Anschlüssen. Das Funktionsprinzip der TT 51 Serie basiert auf der Umwandlu von analogen in digitale Signale und erneut von digitalen in analoge Signale. Die verwendeten Temperatursensoren sind entweder Widerstandsthermometer oder Thermoelemente. Das Widerstandsthermometer verfügt über einen temperaturabhäigen, nichtlinearen, variablen Widerstand, während das Thermoelement eine niedrige, stark nichtlineare EMF (Spannu) erzeugt, die von der Temperaturdifferenz zwischen den beiden gegenüberliegenden Ende des Thermoelement- Leiterpaares abhät. Das Anschlussende des Thermoelements (Vergleichsstelle) stellt eine Temperaturreferenz oder einen Basiswert dar, der gemessen werden muss, um die Temperatur an der kritischen Stelle (Messstelle) zu bestimmen. Dieser Vorga wird als Vergleichsstellenkompensation (Cold Junction Compensation, CJC) bezeichnet. Ein oder zwei Sensoren des gleichen oder unterschiedlichen Typs können aeschlossen werden. Das niedrige analoge Signal von Temperatursensoren wird verstärkt und gefiltert, bevor es in ein digitales Signal umgewandelt wird. Das digitale Signal ist weniger anfällig für elektromagnetische Störuen. Die digitale Signalverarbeitu wie Sensorlinearisieru, Berechnu, Temperaturdrift-Kompensation etc. wird über Prozessoren gesteuert, isoliert und erneut in ein analoges ma Ausgassignal umgewandelt. Der TT 51 ist ein intelligenter Temperaturtransmitter, der die Vorhersage von Problemen in industriellen sicherheitsgerichteten Systemen (SIS) verbessert und die Notwendigkeit zu manuellen Tests reduziert. Der TT 51 ist ein modulares und konfigurierbares System mit der Möglichkeit, Eiäe für Messsensoren und Ausgäe für Fehlerbediuen vorzukonfigurieren. Die Konfiguration des Transmitters ist durch ein Passwort geschützt. 6

7 TT 51 SERIE SICHERHEITSFUNKTION Beschreibu der Ausfallkategorien Bei Diagnoseberechnuen werden die folgenden Ausfalldefinitionen verwendet: Fail-Safe State (Ausfallsicherer Status) Fail-Safe (Uefährlicher Ausfall) Fail Daerous (Gefährlicher Ausfall) Fail Daerous Undetected (Gefährlicher unentdeckter Ausfall) Fail Daerous Detected (Gefährlicher entdeckter Ausfall) Fail High (Ausfall Hoch) Fail Low (Ausfall Niedrig) Ohne Auswirkuen Not part (Nicht Teil) Der ausfallsichere Status wird als Ausga definiert, der den anwenderdefinierten Grenzwert erreicht. Ein uefährlicher Ausfall ist ein Ausfall, nach dem das Modul/(Teil- )System ohne Anforderu des Prozesses auf den definierten ausfallsicheren Status schaltet. Uefährliche Ausfälle werden in sicher erkannte (SD) und sichere unerkannte (SU) Ausfälle unterteilt. Ein gefährlicher Ausfall ist ein Ausfall des Temperaturtransmitters TT 51, der nicht auf die jeweilige Anforderu des Prozesses anspricht (d. h. nicht auf den definierten ausfallsicheren Status schalten kann) und bei dem der Ausgasstrom mehr als 2% der Messspanne vom tatsächlichen Temperaturmesswert abweicht. Ein gefährlicher Ausfall, der von den internen Diagnosefunktionen nicht entdeckt wurde. Ein gefährlicher Ausfall, der von den internen Diagnosefunktionen erkannt wird und bewirkt, dass das Ausgassignal auf den vordefinierten Alarmstatus übergeht (diese Art Ausfall kann in den ausgewählten ausfallsicheren Status umgewandelt werden). Ein Ausfall, nach dem das Ausgassignal auf den maximalen Ausgasstrom (>21 ma) nach NAMUR NE43 steigt. Ein Ausfall, nach dem das Ausgassignal auf den minimalen Ausgasstrom (>3,6 ma) nach NAMUR NE43 sinkt. Der Ausfall einer Komponente, die Teil der Sicherheitsfunktion ist, der jedoch weder ein uefährlicher noch ein gefährlicher Ausfall ist und keine Auswirkuen auf die Sicherheitsfunktion hat. Im Rahmen der Berechnu des SFF (Anteil uefährlicher Ausfälle) gilt ein solcher Ausfall als uefährlicher unentdeckter Ausfall. Ausfälle dieser Art beziehen sich auf eine Komponente, die nicht Teil der Sicherheitsfunktion, sondern des Schaltplans ist. 4.2 Spezifikation der Sicherheitsfunktion Die Sicherheitsfunktion des TT 51 Transmitters ist die Qualität und Zuverlässigkeit des Transmittersignalausgas, d. h. Messleistu, Fehlererkennu und Fehleranzeige im Signalverarbeituspfad des Transmitters. Der zulässige Bereich des Ausgassignals liegt zwischen 3,8 ma und 20,5 nach NE 43. Die Ausfallinformationen werden über zwei auswählbare Alarmpegel definiert: Fail Low (Ausfall Niedrig) (abgesteuert 3,6 ma) und Fail High (Ausfall Hoch) (aufgesteuert 21 ma). Die Konfiguration des Transmitters ist durch ein Passwort geschützt, das mit der ConSoft- Software eiestellt wird. Das Passwort wird im Transmitter gespeichert. Der TT 51 prüft beide Kanäle auf Sensorfehler (Sensorbruch oder Sensorkurzschluss), wenn er hierfür konfiguriert wurde. Der Transmitter ist mit einem Software-SIL-Schalter ausgestattet, der über die PC- Konfigurationssoftware ConSoft verwaltet wird. Er ist durch das gleiche Passwort geschützt, das auch vor Änderuen an der Konfiguration schützt. Der SIL-Schalter lässt sich außerdem über die HART-Kommunikation, ebenfalls mit Passwortschutz, ändern. Das Passwort kann entweder über ConSoft oder über die HART-Kommunikation geändert werden. Es wird im Transmitter 7

8 4 SICHERHEITSFUNKTION TT 51 SERIE gespeichert und muss genau stimmen, um eventuelle Änderuen an der Transmitterkonfiguration herunterzuladen. Der Transmitter wird mit dem Standardpasswort "0000" geliefert. Bei SIL-Anwenduen muss das Passwort geändert werden: In diesem Fall ist ein benutzerdefiniertes Passwort erforderlich, um unbeabsichtigte Änderuen an der Konfiguration zu verhindern. Funktion Aktiv/Nicht aktiv Ausga Alarmpegel 1 Sensorbruch Aktiv ma / ma 3,6 ma / 21,0 ma Sensorkurzschluss Aktiv ma / ma 3,6 ma / 21,0 ma Niedriger Nicht aktiv - - Isolationswiderstand Transmitterfehler 2 Aktiv ma / ma 21,0 ma Sensordrift (dualer Sensor erforderlich) 3 Aktiv/Nicht aktiv auswählbar ma / ma 3,6 ma / 21,0 ma 1 Bei einigen Systemausfällen wechselt der Alarmausga zwischen einem hohen Alarmpegel ( 21,0 ma) und einem niedrigen Alarmpegel ( 3,6 ma). Bei einigen HW-Ausfällen ist der Alarmpegel hoch, auch wenn ein niedriger Pegel konfiguriert wurde, und bei anderen HW- Ausfällen ist der Alarmpegel niedrig, auch wenn ein hoher Alarmpegel ausgewählt wurde. Um zu verhindern, dass ein Sicherheitssystem aufgrund des umschaltenden Ausgas neu startet, muss das System so eiestellt werden, dass es nicht automatisch, sondern nur manuell in den normalen Betrieb zurückgesetzt wird (Neustart-Verriegelu), nachdem ein Alarmsignal von der Sicherheitsschleife ausgegeben wurde. 2 Transmitterfehler = Ausfälle in der Software oder Hardware, die von der Diagnose im Transmitter erkannt werden. 3 Die Sensordrift-Funktion gilt ab den SW-Versionen IPM-SW und OPM-SW und den Hardware-Versionen 5 und höher, die in Transmittern mit Seriennummer 1006.xxxxxx oder höher implementiert sind. Seriennummer 1006.xxxxxx bedeutet Herstellu in Woche 6 im Jahre 2010; diese Aabe ist auf dem Typenschild aegeben oder kann über ConSoft am Transmitter aezeigt werden. Die Software- und Hardware-Versionen sind in der ConSoft- Software in der Registerkarte "Device Information" mit Informationen zum Gerät aegeben. 8

9 TT 51 SERIE SICHERHEITSFUNKTION Redundanz Für die folgenden Konfigurationen: 2 x 2-Leiter-Widerstandsthermometer 2 x 3-Leiter-Widerstandsthermometer 2 x 4-Leiter-Widerstandsthermometer (gilt nur für TT 51 R SIL / TT 51 R Ex SIL) 2 x Thermoelemente 1x Thermoelement und 1 x 3-Leiter-Widerstandsthermometer 1x Thermoelement und 1 x 4-Leiter-Widerstandsthermometer (gilt nur für TT 51 R) Sensordrift kann jeweils entweder die Funktion "Sensordrifterkennu" oder die Funktion "Sensor-Backup" ausgewählt werden, Bei Auswahl der Funktion "Sensordrifterkennu" bewirkt eine Differenz zwischen den Sensoren von größer oder gleich dem in der Konfiguration eiestellten Wert, dass der Ausga je nach Benutzerkonfiguration auf "Abgesteuert" oder "Aufgesteuert" schaltet. Die maximale Temperaturdifferenz muss über ConSoft in C aegeben werden Sensor-Backup Bei Aktivieru der Funktion "Sensor-Backup" spiegelt der in der Konfiguration für die Ausgasmessu ausgewählte Sensor bei korrekter Funktionsweise den tatsächlichen Messwert wider. Bei einem Sensorbruch oder Sensorkurzschluss schaltet der Transmitter auf den anderen Sensor und das Ausgassignal spiegelt den Messwert dieses Sensors wider. Über HART wird eine Diagnosemeldu an die SPS gesendet. Wenn die Funktion "Mittelwert" in der Konfiguration aktiviert wurde, spiegelt der Ausgaswert den tatsächlichen mittleren Messwert wider, sofern die Sensoren korrekt funktionieren. Bei einem Sensorbruch oder Sensorkurzschluss schaltet der Transmitter auf den unbeschädigten Sensor und das Ausgassignal spiegelt den Messwert dieses Sensors wider. Über HART wird eine Diagnosemeldu an die SPS gesendet. INFORMATION! Die Funktionen "Sensor-Backup" und "Mittelwert" liefern keine zusätzliche Sicherheit nach SIL und werden nicht für die Berechnu der Sicherheitsmerkmale des Systems (Transmitter + Sensor) verwendet. VORSICHT! Die Möglichkeit zur Auswahl der Funktion für die Sensordrifterkennu ist in der Software Revision IPM-SW und OPM-SW ab Seriennummer 1006.xxxxxx implementiert. 9

10 5 PROJEKTIERUNG TT 51 SERIE 5.1 Gültige Gerätedokumentation [D1] [D2] TT 51 Serie - Technisches Datenblatt: 2-Leiter-Transmitter für die Messu von Temperatur, Widerstand oder Spannu Referenz: 10/ TD TT 51 R04 en TT 51 Serie - Handbuch: 2-Leiter-Transmitter für die Messu von Temperatur, Widerstand oder Spannu Referenz: 10/ MA TT51 R02 en 5.2 Projektieru, Verhalten während des Betriebs und Fehlfunktionen Unter normalen Bediuen beträgt die Betriebsdauer 10 Jahre ( Jahre). Die im Handbuch genannten Anforderuen müssen eiehalten werden. Die Reparatur- und Prüfintervalle basieren auf den Sicherheitsberechnuen. Wenn Reparaturen oder eine Neukalibrieru des SIL-Transmitters notwendig sind, verwenden Sie die originale oder eine geeignete sichere Verpacku, legen Sie ein ordnusgemäß ausgefülltes Rücksendusformular (siehe Anha) bei und senden Sie das Gerät für die entsprechenden Servicearbeiten an den Hersteller. Hinweis: Es ist von entscheidender Bedeutu, dass dem Hersteller alle Ausfallarten der Betriebsmittel mitgeteilt werden, damit das Unternehmen Korrekturmaßnahmen ergreifen und systematische Fehlern verhindern kann. Der Besitzer von Sonderabfällen ist für deren Entsorgu verantwortlich. Alle vom Hersteller gefertigten Transmitter sind frei von Gefahrstoffen. Änderuen ohne eigene Autorisieru seitens des Herstellers sind stre untersagt SIL-Daten Messgenauigkeit im SIL-Modus: Ein Hardware-Fehler, der sich auf den Messwert auswirkt, ergibt ein Systemfehlersignal, wenn das Messsignal mehr als 2% von der ausgewählten Eiasspanne abweicht. Systemfehler-Erkennuszeit: < 5 min (für eine komplette, im Hintergrund ausgeführte Software-Kontrolle, wenn SIL aktiviert ist) Die Aktualisieruszeiten für Eiassignale ändern sich, mit Filtereinstellu auf den Standardwert 4 und eieschaltetem SIL-Schalter: 1 Eiaskanal: < 2 s Die Aktualisieruszeiten für Eiassignale ändern sich, mit Filtereinstellu auf den Standardwert 4 und eieschaltetem SIL-Schalter: 2 Eiaskanäle: < 3 s Erforderliche Mindestspannusversorgu für die korrekte Funktionsweise der Sicherheitsfunktionen des Systems: 15 VDC Um unbeabsichtigte Änderuen an der Konfiguration des Transmitters zu vermeiden, wird empfohlen, das Standardpasswort (0000) durch ein sicheres Passwort zu ersetzen. Bei SIL- Anwenduen muss das Passwort geändert werden. Bitte beachten Sie, dass der Benutzer das Passwort speichern und sicher aufbewahren muss. Das Passwort ist der Schlüssel, der die Konfiguration des Transmitters freigibt; wenn es vergessen wird, gibt es KEINE ANDERE MÖGLICHKEIT, es wiederherzustellen, als den Transmitter an den Hersteller zurückzusenden. 10

11 REGELMÄßIGE PRÜFUNGEN / WIEDERHOLUNGSPRÜFUNGEN 6 TT 51 SERIE 6.1 Regelmäßige Prüfuen Der Benutzer des Transmitters ist verantwortlich für: Einstellu, SIL-Einstufu und Validieru aller an den Transmitter aeschlossenen Sensoren Projektmanagement und Funktionsprüfuen Konfiguration des Transmitters nach der Beschreibu in den folgenden Kapiteln. Es wird empfohlen, dass der Benutzer regelmäßig Wiederholusprüfuen der Sensoren durchführt, die mit den SIL-Transmittern verwendet werden. Die Wiederholusprüfu des SIL-Transmitters muss auf der Grundlage des erforderlichen PFD erfolgen, je nach verwendetem Sensor. Für detaillierte Informationen siehe Sicherheitsbezogene Eigenschaften auf Seite 13. Für PFH-Werte wird ein Intervall für die Wiederholusprüfu von einem Jahr empfohlen. Die erforderliche Häufigkeit der für das sicherheitsbezogene System notwendigen Wiederholusprüfuen muss vom Kunden ermittelt werden. Die Wiederholusprüfuen müssen vom Benutzer bei Folgendem vorgenommen werden: Bei der Inbetriebnahme des SIL-Transmitters Beim Ersatz des aeschlossenen Temperatursensors durch einen neuen Sensor Bei der Neukonfiguration des SIL-Geräts Beim Standortwechsel des SIL-Transmitters 6.2 Wiederholusprüfuen Die Wiederholusprüfuen müssen den Anforderuen der SIL-Sicherheitsprüfuen entsprechen. Bis zu 99% der internen Ausfälle müssen über die Wiederholusprüfuen erkannt werden. Der Eia zum SIL-Transmitter wird simuliert und auf interne Fehler in der Hardware und Firmware geprüft. Konfiguration der Wiederholusprüfuen Schritt Beschreibu 1 Schließen Sie den Transmitter über die USB-Schnittstelle an den PC an. 2 Starten Sie ConSoft (Überprüfu der Version: "Help menu About" (Hilfe-Menü Infos über)). 3 Identifizieren Sie den Transmitter durch Anklicken der Taste "Read from transmitter" (Von Transmitter lesen). 4 Geben Sie das für SIL ausgewählte Passwort ein (Standardwert: "0000"). 5 Konfigurieren Sie den Transmitter nach Auswahl der Registerkarte "Sensors" (Sensoren) im Transmitter- Fenster. 5,1 Der Sensor für Kanal 1 und der Anschluss für Kanal 1. 5,2 Der Sensor für Kanal 2 und der Anschluss für Kanal 2. 6 Wählen Sie die Registerkarte "Function" (Funktion) im Transmitter-Fenster. 6,1 Wählen Sie das Mappi für den Messausga aus (Kanal 1; Kanal 2; K 1 minus K 2; K 2 minus K 1; Min. von K 1 und K 2; Max. von K 1 und K 2; Durchschnitt von K 1 und K 2). 6,2 Wählen Sie die Ausgaswerte in ma, die dem ausgewählten Messbereich entsprechen. 11

12 6 REGELMÄßIGE PRÜFUNGEN / WIEDERHOLUNGSPRÜFUNGEN TT 51 SERIE Schritt Beschreibu 6,3 Wählen Sie die Filterusstufe und die Netzfrequenzunterdrücku. 7 Markieren Sie in der Registerkarte der Fehlerüberwachu das Kontrollkästchen für Sensorbruch. Wählen Sie den Wert für Aufsteueru ( 21 ma) aus. 7,1 Markieren Sie das Kontrollkästchen für Sensorkurzschluss. Wählen Sie den Wert für Aufsteueru ( 21 ma) aus. 7,2 Markieren Sie das Kontrollkästchen für maelhafte Sensorisolieru. Wählen Sie den Wert für Aufsteueru ( 21 ma) aus. Wählen Sie den gewünschten Widerstandsgrenzwert aus; Standard: 300 kω 7,3 Wählen Sie das Kontrollkästchen für Sensor-Backup aus. 8 Wählen Sie die Registerkarte mit den Geräteinformationen aus. Geben Sie ein Montagedatum im Tag-Feld ein. 8,1 Geben Sie eine Beschreibu der Wiederholusprüfu im zugehörigen Feld und das Datum der Prüfu ein. 8,2 Geben Sie eventuelle weitere Informationen im Feld für Melduen ein. Bei der Wiederholusprüfu zu überprüfende Punkte Schritt Beschreibu Ja Nein Bemerkuen 1 Schließen Sie die ausgewählten Sensoren an Kanal 1 und Kanal 2 an und prüfen Sie die Werte des Ausgasbereichs. 2 Simulieren Sie einen Sensorbruch für die einzelnen Drähte und prüfen Sie den Ausgaswert ( 21 ma). 3 Simulieren Sie einen Sensorkurzschluss zwischen den Klemmen und prüfen Sie den Ausgaswert ( 21 ma). 4 Simulieren Sie einen Sensorbruch oder Sensorkurzschluss (jeweils nur einen Fehler) für den an Kanal 1 aeschlossenen Sensor. Prüfen Sie, ob der Transmitter automatisch auf die Messu an Kanal 2 umschaltet. Wiederholen Sie die Punkte der Konfiguration der Wiederholusprüfu und wechseln Sie auf den Fehlerwert der Absteueru ( 3,6 ma). Wiederholen Sie alle zu prüfenden Punkte (um sicherzustellen, dass der Transmitter nicht in einem bestimmten Zustand verbleibt). 12

13 TT 51 SERIE SICHERHEITSBEZOGENE EIGENSCHAFTEN Vorraussetzuen Im Rahmen der "Failure Modes, Effects and Diagnostic Analysis" (FMEDA, Ermittlu von Fehlerursachen und deren Auswirku auf das System) des HART -Temperaturtransmitters TT 51 C&R SIL ergaben sich folgende Annahmen. Die Ausfallraten sind konstant; Verschleißmechanismen sind nicht inbegriffen. Die Ausbreitu von Ausfällen ist nicht relevant. Externe Stromausfallraten sind nicht inbegriffen. Die mittlere Reparaturzeit nach einem Ausfall (MTTR) nach einem uefährlichen Ausfall beträgt 24 Stunden. Für Sicherheitsanwenduen wurde nur der ma Ausga verwendet. Das HART - Protokoll wird beim TT 51 C&R nur für die Einstellu und zu Diagnosezwecken verwendet, nicht jedoch in der normalen sicherheitsbezogenen Betriebsart. Die in dieser Analyse verwendeten Ausfallraten von elektronischen Komponenten werden aus einer Sammlu von industriellen Datenbanken entnommen. Die Temperaturtransmitter mit ma Ausga werden als Teilsysteme vom Typ B mit einer Hardware-Ausfalltoleranz von 0 behandelt. Die Ausfallraten berücksichtigen Ausfälle aufgrund des unkorrekten Gebrauchs der Betriebsmittel nicht. Das HART -Protokoll wird nur für die Einstellu, Kalibrieru sowie zu Diagnosezwecken verwendet, nicht jedoch in der normalen sicherheitsbezogenen Betriebsart. 13

14 7 SICHERHEITSBEZOGENE EIGENSCHAFTEN TT 51 SERIE 7.2 Spezifische sicherheitsbezogene Eigenschaften Nach Tabelle 2 gemäß IEC muss der durchschnittliche PFD-Wert für Systeme in der Betriebsart mit niedriger Anforderusrate 10-3 bis 10-2 für SIL 2 Sicherheitsketten (SIF) lauten. Bei Systemen in der Betriebsart mit hoher Anforderusrate muss der PFH-Wert nach Tabelle 3 gemäß IEC bis 10-6 für SIL 2 Sicherheitsketten lauten. Eine allgemein anerkannte Verteilu von PFD avg und PFH-Werten einer Sicherheitskette über den Sensorteil, den Logic Solver-Teil und den Aktorteil setzt voraus, dass 35% des gesamten PFD avg -Werts der Sicherheitskette vom Sensorteil (einschließlich Transmitter) beansprucht wird. Bei einer SIL 2-Anwendu in der Betriebsart mit niedriger Anforderusrate muss der PFD avg - Gesamtwert der Sicherheitskette kleiner als 1,00E-02 sein; der maximal zulässige PFD avg -Wert für den Sensorteil lautet daher 3,50E-03. Bei einer SIL 2-Anwendu in der Betriebsart mit hoher Anforderusrate muss der PFH- Gesamtwert für die Sicherheitskette kleiner als 1,00E-06 1/h sein; der maximal zulässige PFH- Wert für den Sensorteil lautet daher 3,50E-07 1/h. Bei Komponenten Typ B mit einer Hardware-Ausfalltoleranz von 0 muss der SFF-Wert bei SIL 2 Sicherheitsketten nach Tabelle 3 von IEC > 90% betragen. λ SD : λ SU : λ DD : λ DU : FIT: SFF: PFD avg : Fail Safe Detected (Uefährlicher entdeckter Fehler) Fail Safe Undetected (Uefährlicher unentdeckter Fehler) Fail Daerous Detected (Gefährlicher entdeckter Ausfall) Fail Daerous Undetected (Gefährlicher unentdeckter Ausfall) Ausfallrate [1/h] Die aegebene Zahl dient ausschließlich als Referenz. Die SFF-, PFD avg - und PFH-Werte müssen für das komplette Teilsystem bestimmt werden. Der PFD avg -Wert wurde für Profil 2 anhand der Markov-Modellieru berechnet. Die Ergebnisse müssen mit den PFD avg Werten anderer Geräte der Sicherheitskette (SIF) kombiniert werden, um die Eignu für einen bestimmten Sicherheitsintegritätslevel (SIL) zu bestimmen. Bei SIL 1-Anwenduen muss der PFD avg -Wert < 10-1 für die Sicherheitskette lauten. Bei SIL 2-Anwenduen muss der PFD avg -Wert < 10-2 für die Sicherheitskette lauten. T[Proof] Es wird aenommen, dass die Wiederholusprüfu mit einer Testabdecku von 99% durchgeführt wird. PFH: = λ DU (Gefährlicher unentdeckter Ausfall) SIL AC 3 SIL AC (strukturelle Einschränkuen) bedeutet, dass die berechneten Werte innerhalb des Bereichs für die strukturellen Einschränkuen des entsprechenden Sicherheitsintegritätslevels der Hardware liegen. Die folgende Tabelle enthält die Ausfallraten gemäß IEC und entsprechend den im obigen Kapitel beschriebenen Annahmen und in Kapitel "Beschreibu der Ausfallkategorien" aegebenen Definitionen. 14

15 TT 51 SERIE SICHERHEITSBEZOGENE EIGENSCHAFTEN 7 Einzelnes 2-/3-Leiter-Widerstandsthermometer Ausfallkategorie SFF PFD avg bei T proof = PFH SIL AC λ SD λ SU λ DD λ DU [FIT] [%] 1 Jahr 2 Jahre 5 Jahre 10 Jahre Kurzgekuppe lt, gerie Kurzgekuppe lt, hohe Verläerun gskabel, gerie Verläerun gskabel, hohe ,9 2.44E E E E E-08 (SIL 2) ,8 1.05E E E E E-07 (SIL 2) ,2 6.63E E E E E-07 (SIL 2) ,5 9.45E E E E E-06 (SIL 1) Die hellgrauen Kästchen in den nachstehenden Tabellen bedeuten, dass die berechneten PFD avg - und/oder PFH-Werte gemäß Tabelle 2 / 3 von IEC innerhalb des zulässigen Bereichs für SIL 2 liegen, jedoch nicht die Anforderu erfüllen, nicht mehr als 35% dieses Bereichs zu beanspruchen, d. h. besser oder gleich 3,50E-03 bzw. 3,50E-07 1/h zu sein. Die mittelgrauen Kästchen bedeuten, dass die berechneten PFD avg - und PFH-Werte gemäß Tabelle 2 / 3 von IEC innerhalb des zulässigen Bereichs für SIL 2 liegen und die Anforderu erfüllen, nicht mehr als 35% dieses Bereichs zu beanspruchen, d. h. jeweils besser oder gleich 3,50E-03 zu sein. 3,50E-07 1/h. Die dunkelgrauen Kästchen bedeuten, dass die PFD avg - bzw. PFH-Werte die Anforderuen für SIL 2 der Tabelle 2 / 3 von IEC nicht erfüllen. 15

16 7 SICHERHEITSBEZOGENE EIGENSCHAFTEN TT 51 SERIE Duales 3-Leiter-Widerstandsthermometer mit aktivierter Sensordrifterkennu Ausfallkategorie SFF PFD avg bei T proof = PFH SIL AC λ SD λ SU λ DD λ DU [FIT] [%] 1 Jahr 2 Jahre 5 Jahre 10 Jahre Kurzgekuppe lt, gerie Kurzgekuppe lt, hohe Verläerun gskabel, gerie Verläerun gskabel, hohe ,3 2,08E-04 3,85E-04 9,19E-04 1,81E-03 4,10E-08 SIL ,6 3,27E-04 5,75E-04 1,32E-03 2,55E-03 5,70E-08 SIL ,4 2,71E-04 4,88E-04 1,14E-03 2,22E-03 5,00E-08 SIL ,8 1,56E-03 2,56E-03 5,55E-03 1,05E-02 2,30E-07 (SIL 1) 16

17 TT 51 SERIE SICHERHEITSBEZOGENE EIGENSCHAFTEN 7 Einzelnes 4-Leiter-Widerstandsthermometer Ausfallkategorie SFF PFD avg bei T proof = PFH SIL AC λ SD λ SU λ DD λ DU [FIT] [%] 1 Jahr 2 Jahre 5 Jahre 10 Jahre Kurzgekuppe lt, gerie Kurzgekuppe lt, hohe Verläerun gskabel, gerie Verläerun gskabel, hohe ,2 2,16E-04 4,02E-04 9,62E-04 1,89E-03 4,30E-08 SIL ,7 4,62E-04 8,52E-04 2,02E-03 3,97E-03 9,00E-08 (SIL 2) ,2 2,36E-04 4,31E-04 1,02E-03 1,99E-03 4,50E-08 SIL ,7 9,16E-04 1,52E-03 3,34E-03 6,38E-03 1,40E-07 (SIL 2) Die hellgrauen Kästchen in den nachstehenden Tabellen bedeuten, dass die berechneten PFD avg - und/oder PFH-Werte gemäß Tabelle 2 / 3 von IEC innerhalb des zulässigen Bereichs für SIL 2 liegen, jedoch nicht die Anforderu erfüllen, nicht mehr als 35% dieses Bereichs zu beanspruchen, d. h. besser oder gleich 3,50E-03 bzw. 3,50E-07 1/h zu sein. Die mittelgrauen Kästchen bedeuten, dass die berechneten PFD avg - und PFH-Werte gemäß Tabelle 2 / 3 von IEC innerhalb des zulässigen Bereichs für SIL 2 liegen und die Anforderu erfüllen, nicht mehr als 35% dieses Bereichs zu beanspruchen, d. h. jeweils besser oder gleich 3,50E-03 zu sein. 3,50E-07 1/h. Die dunkelgrauen Kästchen bedeuten, dass die PFD avg - bzw. PFH-Werte die Anforderuen für SIL 2 der Tabelle 2 / 3 von IEC nicht erfüllen. 17

18 7 SICHERHEITSBEZOGENE EIGENSCHAFTEN TT 51 SERIE Duales 4-Leiter-Widerstandsthermometer mit aktivierter Sensordrifterkennu (nur für TT 51 R SIL-Ausführuen); in Vorbereitu Ausfallkategorie SFF PFD avg bei T proof = PFH SIL AC λ SD λ SU λ DD λ DU [FIT] [%] 1 Jahr 2 Jahre 5 Jahre 10 Jahre Kurzgekuppe lt, gerie Kurzgekuppe lt, hohe Verläerun gskabel, gerie Verläerun gskabel, hohe ,6 2,03 E-04 3,76 E-04 8,97 E-04 1,76 E-03 4,00 E-08 SIL ,2 2,72 E-04 4,67 E-04 1,05 E-03 2,03 E-03 4,50 E-08 SIL ,1 2,29 E-04 4,07 E-04 9,40 E-04 1,83 E-03 4,10 E-08 SIL ,8 7,28 E-04 9,45 E-04 1,60 E-03 2,68 E-03 5,00 E-08 SIL 2 18

19 TT 51 SERIE SICHERHEITSBEZOGENE EIGENSCHAFTEN 7 Einzelnes Thermoelement Ausfallkategorie SFF PFD avg bei T proof = PFH SIL AC λ SD λ SU λ DD λ DU [FIT] [%] 1 Jahr 2 Jahre 5 Jahre 10 Jahre Kurzgekuppe lt, gerie Kurzgekuppe lt, hohe Verläerun gskabel, gerie Verläerun gskabel, hohe ,6 2,27E-04 4,22E-04 1,01E-03 1,98E-03 4,50E-08 SIL ,3 7,24E-04 1,33E-03 3,15E-03 6,19E-03 1,40E-07 (SIL 2) ,3 7,00E-04 1,31E-03 3,13E-03 6,16E-03 1,40E-07 (SIL 2) ,0 1,02E-02 1,90E-02 4,56E-02 8,98E-02 2,04E-06 (SIL 1) Die hellgrauen Kästchen in den nachstehenden Tabellen bedeuten, dass die berechneten PFD avg - und/oder PFH-Werte gemäß Tabelle 2 / 3 von IEC innerhalb des zulässigen Bereichs für SIL 2 liegen, jedoch nicht die Anforderu erfüllen, nicht mehr als 35% dieses Bereichs zu beanspruchen, d. h. besser oder gleich 3,50E-03 bzw. 3,50E-07 1/h zu sein. Die mittelgrauen Kästchen bedeuten, dass die berechneten PFD avg - und PFH-Werte gemäß Tabelle 2 / 3 von IEC innerhalb des zulässigen Bereichs für SIL 2 liegen und die Anforderu erfüllen, nicht mehr als 35% dieses Bereichs zu beanspruchen, d. h. jeweils besser oder gleich 3,50E-03 zu sein. 3,50E-07 1/h. Die dunkelgrauen Kästchen bedeuten, dass die PFD avg - bzw. PFH-Werte die Anforderuen für SIL 2 der Tabelle 2 / 3 von IEC nicht erfüllen. 19

20 7 SICHERHEITSBEZOGENE EIGENSCHAFTEN TT 51 SERIE Duales Thermoelement mit aktivierter Sensordrifterkennu Ausfallkategorie SFF PFD avg bei T proof = PFH SIL AC λ SD λ SU λ DD λ DU [FIT] [%] 1 Jahr 2 Jahre 5 Jahre 10 Jahre Kurzgekuppe lt, gerie Kurzgekuppe lt, hohe Verläerun gskabel, gerie Verläerun gskabel, hohe ,6 2,10E-04 3,88E-04 9,21E-04 1,81E-03 4,10E-08 SIL ,9 3,44E-04 5,61E-04 1,21E-03 2,30E-03 5,00E-08 SIL ,9 2,96E-04 5,13E-04 1,16E-03 2,25E-03 5,00E-08 (SIL 2) ,4 2,11E-03 3,15E-03 6,27E-03 1,15E-02 2,40E-07 (SIL 1) 20

21 TT 51 SERIE SICHERHEITSBEZOGENE EIGENSCHAFTEN 7 Einzelnes Thermoelement + einzelnes 3-Leiter-Widerstandsthermometer mit aktivierter Sensordrifterkennu Ausfallkategorie SFF PFD avg bei T proof = PFH SIL AC λ SD λ SU λ DD λ DU [FIT] [%] 1 Jahr 2 Jahre 5 Jahre 10 Jahre Kurzgekuppe lt, gerie Kurzgekuppe lt, hohe Verläerun gskabel, gerie Verläerun gskabel, hohe ,0 2,09E-04 3,87E-04 9,20E-04 1,81E-03 4,10E-08 SIL ,4 3,38E-04 5,72E-04 1,27E-03 2,45E-03 5,40E-08 SIL ,4 2,83E-04 5,00E-04 1,15E-04 2,23E-03 5,00E-08 SIL ,2 1,83E-03 2,85E-03 5,91E-03 1,10E-02 2,35E-07 (SIL 1) Die hellgrauen Kästchen in den nachstehenden Tabellen bedeuten, dass die berechneten PFD avg - und/oder PFH-Werte gemäß Tabelle 2 / 3 von IEC innerhalb des zulässigen Bereichs für SIL 2 liegen, jedoch nicht die Anforderu erfüllen, nicht mehr als 35% dieses Bereichs zu beanspruchen, d. h. besser oder gleich 3,50E-03 bzw. 3,50E-07 1/h zu sein. Die mittelgrauen Kästchen bedeuten, dass die berechneten PFD avg - und PFH-Werte gemäß Tabelle 2 / 3 von IEC innerhalb des zulässigen Bereichs für SIL 2 liegen und die Anforderu erfüllen, nicht mehr als 35% dieses Bereichs zu beanspruchen, d. h. jeweils besser oder gleich 3,50E-03 zu sein. 3,50E-07 1/h. Die dunkelgrauen Kästchen bedeuten, dass die PFD avg - bzw. PFH-Werte die Anforderuen für SIL 2 der Tabelle 2 / 3 von IEC nicht erfüllen. 21

22 7 SICHERHEITSBEZOGENE EIGENSCHAFTEN TT 51 SERIE Einzelnes Thermoelement + einzelnes 4-Leiter-Widerstandsthermometer mit aktivierter Sensordrifterkennu. Gilt nur für TT 51 R SIL und TT 51 R Ex SIL. Ausfallkategorie SFF PFD avg bei T proof = PFH SIL AC λ SD λ SU λ DD λ DU [FIT] [%] 1 Jahr 2 Jahre 5 Jahre 10 Jahre Kurzgekuppe lt, gerie Kurzgekuppe lt, hohe Verläerun gskabel, gerie Verläerun gskabel, hohe ,2 2,04E-04 3,78E-04 8,98E-04 1,77E-03 4,00E-08 SIL ,6 3,11E-04 5,19E-04 1,14E-03 2,18E-03 4,80E-08 SIL ,7 2,60E-04 4,55E-04 1,04E-03 2,02E-03 4,50E-08 SIL ,5 1,42E-03 2,05E-03 3,93E-03 7,08E-03 1,45E-07 (SIL 2) 22

23 TT 51 SERIE ANHANG Konformitätserkläru für Funktionale Sicherheit (SIL) 23

24 8 ANHANG TT 51 SERIE 8.2 Übersicht über Exida / FMEDA Management 24

25 TT 51 SERIE ANHANG 8 25

26 8 ANHANG TT 51 SERIE 26

27 TT 51 SERIE ANHANG Baumusterprüfbescheinigu 27

28 8 ANHANG TT 51 SERIE 28

29 TT 51 SERIE ANHANG Formular zur Rücksendu/Wartu Kundendaten Firma: Adresse: Ansprechpartner: Telefon: Fax: Gerätedaten Produkt-ID: Serien-Nr. Grund für die Rücksendu / Wartu: Haben Sie die Wiederholusprüfu mit dem Produkt durchgeführt? Ja Nein Wenn ja, füllen Sie bitte die Tabelle mit den folgenden Prüfpunkten aus. Bevor Sie beginnen, konfigurieren Sie den TT 51 für den Anschluss zwecks Messu mit einem 3-Leiter-Widerstandsthermometer an beiden Kanälen. Wählen Sie den Messbereich C, Ausga dedizierter dynamischer variabler Kanal 1, wählen Sie Sensorbruch und Sensorkurzschluss auf Absteueruswert und anschließend auf Aufsteueruswert. Prüfen Sie darüber hinaus die Sensor-Backup-Funktion und wählen Sie hierzu Sensor-Backup aus. Dies geschieht in Schritt 4. Bei der Wiederholusprüfu zu überprüfende Punkte Schritt Beschreibu Ja Nein Bemerkuen 1 Schließen Sie die ausgewählten Sensoren an Kanal 1 und Kanal 2 an und prüfen Sie, ob der Wert des Ausgasbereichs innerhalb des Messbereichs liegt. 2 Simulieren Sie einen Sensorbruch für die einzelnen Drähte (an Klemmen 1...5) und prüfen Sie den Ausgaswert ( 21 ma) / ( 3,6 ma). 3 Simulieren Sie einen Sensorkurzschluss zwischen den Klemmen und prüfen Sie den Ausgaswert ( 21 ma) / ( 3,6 ma). 4 Simulieren Sie einen Sensorbruch oder Sensorkurzschluss (jeweils nur einen Fehler) für den an Kanal 1 aeschlossenen Sensor. Prüfen Sie, ob der Transmitter automatisch auf die Messu an Kanal 2 umschaltet. Senden Sie die Ware einschließlich dieses Dokuments an Ihre Krohne-Vertriebsstelle vor Ort. 29

30 9 NOTIZEN TT 51 SERIE 30

31 TT 51 SERIE NOTIZEN 9 31

32 KROHNE - Änderuen ohne vorherige Ankündiguen bleiben vorbehalten. KROHNE Produktübersicht Magnetisch-induktive Durchflussmessgeräte Schwebekörper-Durchflussmessgeräte Ultraschall-Durchflussmessgeräte Masse-Durchflussmessgeräte Wirbelfrequenz-Durchflussmessgeräte Durchflusskontrollgeräte Füllstandmessgeräte Temperaturmessgeräte Druckmessgeräte Analysenmesstechnik Produkte und Systeme für die Öl- und Gasindustrie Messsysteme für die Schifffahrtsindustrie Hauptsitz KROHNE Messtechnik GmbH Ludwig-Krohne-Str Duisburg (Deutschland) Tel.: Fax: sales.de@krohne.com Die aktuelle Liste aller KROHNE Kontakte und Adressen finden Sie unter: