Beschreibung

Gebiet der Erfindung

Die Erfindung betrifft ein Verfahren zum Prüfen der Funktionsfähigkeit eines Sicherheits ventils, sowie eines Magnetventils zum Auslösen eines Sicherheitsventils, sowie eine entspre chende Vorrichtung. Derartige Verfahren dienen dazu, die Betriebssicherheit einer Anlage dadurch zu gewährleisten, dass sichergestellt wird, dass ein Sicherheitsventil im Sicherheitsfall auch auslöst.

Sicherheitsstellventile oder Sicherheitsarmaturen bestehen meist aus einem pneumati schen Antrieb und einem im Ventil beweglichen Ventilglied. Sie dienen zum Regulieren eines Fluidstromes. Die Antriebsstange des Ventilglieds wird in der Regel durch ein fluiddichtes Ge häuse oder einen Deckel nach außen geführt. Eine Dichtung dichtet die Antriebsstange nach außen ab. Außerhalb befindet sich ein Antrieb, welcher auf die Antriebsstange wirkt und das Ventilglied bewegt. Als Antrieb zum Bewegen der Antriebsstange dienen typischerweise fluidi- sche Antriebe (in der Regel pneumatische). Die Art der Ventile können sowohl Drehventile als auch Hubventile sein.

Sicherheitsarmaturen besitzen einen Sicherheitsschaltkreis, welcher dafür sorgt, dass das Ventilglied in einem Sicherheitsfall in eine sichere Position verfährt. Diese sichere Position kann entweder die Offenstellung oder die Geschlossenstellung sein. Da in der Regel die pneumati schen Antriebe einfach wirkend ausgelegt sind und somit in eine der Stellungen mittels Feder speicher verfahren, muss lediglich der Antrieb entlüftet werden, damit er das Ventilglied in die sichere Position verfährt.

Ein einfacher Sicherheitsschaltkreis besitzt ein Magnetventil zum schnellen Entlüften des Antriebs im Sicherheitsfall. Bei unbestromter Magnetspule verfährt der Anker dieses Mag netventils mittels einer Feder in eine offene Position, die den Antrieb des Sicherheitsventils mit der Atmosphäre verbindet, so dass dieser vollständig entlüften kann. Derartige Magnetventile besitzen meist einen sehr großen Durchlass, damit der Druck aus dem Antrieb des Sicherheits ventils möglichst schnell entweichen kann und das Sicherheitsventil möglichst schnell in die sichere Position verfährt. Der Sicherheitsschaltkreis ist von allen anderen Schaltkreisen voll ständig getrennt und muss bestimmten Anforderungen genügen, welche z.B. in der SIL ( Safety Integrity Level = Sicherheitsanforderungsstufe) der Anlage beschrieben sind. Die verschiede nen SIL sind in der EN 61508 definiert.

Sicherheitsventile können auch eine Regelfunktion haben. Dann besitzen sie zusätzlich Stellungsregler, um auch Zwischenpositionen des Stellgliedes einregeln zu können. Die Regel kreise hierfür sind von denen der Sicherheitskreise getrennt ausgeführt. Die Stellungsregler be kommen die Schaltsignale von einer Leitwarte und die Druckluftversorgung wird derart verschal tet, dass im Sicherheitsfall der Sicherheitskreis nicht beeinträchtigt wird. Die Stellungsregler kommen auch dann zum Einsatz, wenn bei Sicherheitsventilen die Funktionsfähigkeit des Si cherheitskreises zyklisch getestet werden soll, beispielsweise durch einen Teilhubtest. Auf/Zu- Stellarmaturen neigen dazu, zu verkleben, wenn das Ventilglied lange in einer Stellung verbleibt bzw. gehalten wird. Die erhöhte Haftreibung verlangt dem Antrieb in solchen Fällen oft große Kräfte ab. Bei pneumatischen Antrieben wird also ein entsprechend höherer Druck benötigt, um das Ventilglied gegen die Haftreibung loszureißen bzw. loszubrechen.

Bei Sicherheitsventilen ist das Ventil im normalen Betrieb häufig offen, und im Sicherheits fall (z.B. Stromausfall) schließt das Ventil selbsttätig. Die Druckluft wirkt immer gegen die Fe derkraft, mit der der Antrieb vorgespannt wurde. Wird der Antrieb entlüftet, beginnt das Ventil, sich zu schließen, sobald die Federkräfte das Ventilglied gegen die ggf. vorhandene Haftreibung losgerissen haben. Der umgekehrte Fall, bei dem die Sicherheitsstellung offen ist (stromlos, Antrieb entlüftet) und die Betriebsstellung geschlossen (bestromt, Antrieb belüftet), kommt ebenfalls vor.

Stand der Technik

Um den sicheren Betrieb eines Sicherheitsventils bzw. einer Sicherheitsarmatur zu ge währleisten, wird in vielen Fällen nach einer gewissen Zeit (z.B. zyklisch oder in festen Zeitin tervallen) getestet, ob sich das Ventilglied vollständig in die Sicherheitsstellung bewegen lässt. Ein solcher sogenannter Vollhubtest weist die Funktionsfähigkeit eines Sicherheitsventils in vol lem Umfang nach. Er erfordert jedoch in den meisten Fällen eine Unterbrechung des laufenden Betriebs einer Anlage und ist daher in der Regel mit hohem Aufwand und Kosten verbunden.

Um im laufenden Betrieb ohne eine Unterbrechung der Arbeitsprozesse die Funktionsfä higkeit eines Sicherheitsventils überprüfen zu können, werden sogenannte Partial-Stroke-Tests (PST) bzw. Teilhubtests durchgeführt. Diese sind z.B. in den Druckschriften DE 19723650 A1, WO 2009/013205 A1 oder DE 102018 103 324 B3 beschrieben. Das Ventilglied wird dabei nur einen Teil der Strecke hin zur Sicherheitsstellung verfahren, insbesondere nur so weit, dass der Prozess der Anlage nicht maßgeblich beeinflusst oder gestört wird. Teilhubtests können somit im laufenden Betrieb durchgeführt werden. Sie erlauben Rückschlüsse auf die grundlegende Bewegbarkeit des Ventilglieds und des Antriebs, zumindest im Rahmen der dabei ausgeführten Hubbewegung. Um solche Teilhubtests durchführen zu können, werden ebenfalls Stellungsreg ler benötigt. Diese Stellungsregler haben meist einen geringeren Durchlass für das Antriebsfluid als das Magnetventil. Zudem kann dieser Durchlass sehr feinfühlig reguliert werden, so dass es möglich ist, dass auch das Ventilglied nur sehr kleine Wege zurücklegt, so, wie es bei einem Teilhubtest benötigt wird. Zum Durchführen solch feiner Bewegungen werden Stellungsregler mit I/P-Wandlern benötigt, welche eine ebenso feinauflösende Wegsensorik besitzen müssen.

Ein weiterer Vorteil eines intelligenten Sicherheitsventils mit Stellungsregler gegenüber einem Sicherheitsventil mit lediglich einem Magnetventil ist, dass die Positions-Daten und auch Druck-Daten mittels der Sensoren, Speicherbausteine und Prozessoren des Stellungsreglers aufgezeichnet und ggf. statistisch ausgewertet werden können. Dieses Aufzeichnen ist von Be deutung, um Nachweise zum sicheren Betrieb des Sicherheitsventils und seines Sicherheits schaltkreises zu führen. Ein Sicherheitsstellventil besitzt aus den genannten Gründen häufig sowohl ein Magnetventil als auch einen Stellungsregler. Im Sicherheitsfall kann dann aber nicht mit hoher Sicherheit darauf geschlossen werden, ob das Magnetventil oder der Stellungsregler das Entlüften des Antriebes und dadurch das Verfahren des Stellgliedes in die sichere Position herbeigeführt haben.

Sicherheitsventile müssen (z.B. in der chemischen Industrie) regelmäßig auf ihre Funkti onsfähigkeit überprüft werden. Um die Funktionsfähigkeit eines Sicherheitsventils gewährleisten zu können, müssen sowohl das Magnetventil, das zum Auslösen des Sicherheitsventils dient, als auch das eigentliche Sicherheitsventil zuverlässig arbeiten. Ein Teil der Überprüfung der Funktionsfähigkeit eines Sicherheitsventils wird mittels Teilhubtest (Partial-Stroke-Test, PST) durchgeführt. Dabei wird das Ventilglied bei laufender Anlage um ca. 10 bis 15% seines mögli chen Hubs bewegt. Dadurch wird der Betrieb der Anlage nicht wesentlich beeinträchtigt, aber die Beweglichkeit des Ventilgliedes nachgewiesen. Die häufigsten Fehler können so ausge schlossen werden. Durch diesen Test wird allerdings nur die Funktionsfähigkeit des Antriebs des Ventilglieds bestimmt; ein Teilhubtest ist nicht geeignet, die Funktion eines Magnetventils zu überprüfen, das zum Auslösen des Sicherheitsventils dient.

In der Veröffentlichung EP 2 473 889 B1 wird ein Ventilsystem beschrieben, welches ei nen Ventilaktuator, eine Ventilsteuerung (Stellungsregler) und ein Sicherheitsmagnetventil be sitzt. Zudem wird beschrieben, wie ein Test (z.B. PST) gestartet wird und wie Diagnosedaten, z.B. Positionsdaten oder Drucksensorsignale, ausgegeben werden, um einen Status anzuzei gen.

Die Druckschriften WO 2018/075321 A1 und WO 2018/075241 A1 beschreiben Verfahren und Vorrichtungen zum Testen eines Magnetventils mit Hilfe eines Stellungsreglers. Dabei dient das Magnetventil zum Auslösen eines Sicherheitsventils.

In den genannten Veröffentlichungen werden die Funktionalitäten des Magnetventils und des Stellungsreglers beschrieben und Verfahren dargestellt, bei denen Sensordaten aus einem Test des Stellventils oder des Magnetventils bewertet und ausgegeben werden können. Mit den beschriebenen Verfahren kann jedoch nicht darauf geschlossen werden, ob nach dem Eintritt eines Sicherheitsfalles und dem Verfahren des Ventilgliedes in die Sicherheitsstellung der Si cherheitskreis mit dem Magnetventil oder der Stellungsregler das Verfahren des Ventilgliedes in die Sicherheitsstellung bewirkt hat. Solche Aussagen sind jedoch wichtig, denn ein solcher Sicherheitsfall könnte die Rolle eines betriebsbedingten Vollhubtests erfüllen, und somit eine Aussage über die Funktionsfähigkeit des Magnetventils liefern. Könnte man solche Aussagen zuverlässig treffen, würden sich die Wartungsintervalle eines solchen Sicherheitsventils mit Si cherheitsschaltkreis verlängern.

Aufgabe

Aufgabe der Erfindung ist es, Verfahren und Vorrichtungen anzugeben, die sichere Aus sagen darüber ermöglichen, ob bei einem eingetretenen Sicherheitsfall ein Sicherheitsventil und insbesondere das Magnetventil zum Auslösen des Sicherheitsventils ordnungsgemäß funktio niert haben.

Lösung

Diese Aufgabe wird durch die Gegenstände der unabhängigen Ansprüche gelöst. Vorteil hafte Weiterbildungen der Gegenstände der unabhängigen Ansprüche sind in den Unteransprü chen gekennzeichnet. Der Wortlaut sämtlicher Ansprüche wird hiermit durch Bezugnahme zum Inhalt dieser Beschreibung gemacht.

Die Verwendung der Einzahl soll die Mehrzahl nicht ausschließen, was auch im umge kehrten Sinn zu gelten hat, soweit nichts Gegenteiliges offenbart ist.

Im Folgenden werden einzelne Verfahrensschritte näher beschrieben. Die Schritte müs sen nicht notwendigerweise in der angegebenen Reihenfolge durchgeführt werden, und das zu schildernde Verfahren kann auch weitere, nicht genannte Schritte aufweisen.

Zur Lösung der Aufgabe wird ein Verfahren zum Prüfen der Funktionsfähigkeit eines Mag netventils eines Sicherheitsventils vorgeschlagen. Das Sicherheitsventil hat ein Ventilglied, und einen einfachwirkenden, pneumatischen Antrieb mit einem Antriebsfluid, sowie einen Stellungs regler, der den Druck im Antriebsfluid einstellt und dadurch die Position des Ventilglieds steuert und/oder regelt. Das Ventilglied nimmt eine Sicherheitsstellung ein, wenn der Druck im Antriebs fluid einem Umgebungsdruck entspricht. Das Magnetventil ist zwischen dem Antrieb und dem Stellungsregler pneumatisch verschaltet und dient zum Entlüften des Antriebs zur Umgebung hin. In einem Sicherheitsfall entlüften sowohl das Magnetventil als auch der Stellungsregler den Antrieb. Das Verfahren umfasst dabei die folgenden Schritte:

Ein Sicherheitsfall wird ausgelöst, infolgedessen das Ventilglied in seine Sicherheitsstel lung verfahren sollte.

Der zeitliche Verlauf der Position des Ventilglieds nach dem Auslösen des Sicherheitsfal les wird aufgezeichnet.

Das Zeitintervall, das das Ventilglied benötigt, um die Sicherheitsstellung einzunehmen, wird ermittelt.

Das Zeitintervall wird mit einem Referenzwert verglichen.

Ist das Zeitintervall länger als der Referenzwert oder gleich dem Referenzwert, dann gilt die Prüfung der Funktionsfähigkeit des Magnetventils als nicht bestanden.

Ist das Zeitintervall kürzer als der Referenzwert, dann gilt die Prüfung der Funktionsfähig keit des Magnetventils als bestanden.

Als Referenzwert wird hierbei ein Zeitintervall vorgegeben, das zwischen der zu erwarten den Dauer für das Einnehmen der Sicherheitsstellung aufgrund einer Regelung durch den Stel lungsregler und der zu erwartenden Dauer für das Einnehmen der Sicherheitsstellung, wenn das Magnetventil den Antrieb entlüftet, liegt.

Auf diese Weise lässt sich ohne zusätzlichen Aufwand und mit hoher Sicherheit feststel len, ob das Verfahren des Ventilglieds in die Sicherheitsstellung in Folge des Auslösens eines Sicherheitsfalles durch das Magnetventil oder durch den Stellungsregler herbeigeführt wurde. Mit einem solchen Verfahren können die Wartungsintervalle für Anlagen mit Sicherheitsventilen gegebenenfalls optimaler gestaltet werden. Insbesondere lassen sich die Wartungsfristen unter Umständen verlängern, wenn nachgewiesen wurde, dass das Magnetventil ordnungsgemäß funktioniert hat.

Die Genauigkeit der Diagnose kann erhöht werden, wenn der zeitliche Verlauf der Ge schwindigkeit (also der ersten Ableitung der Position) und/oder der Beschleunigung (der zweiten Ableitung der Position) des Ventilglieds nach dem Auslösen des Sicherheitsfalles aufgezeichnet wird. Dieser aufgezeichnete zeitliche Verlauf der Geschwindigkeit und/oder der Beschleunigung wird mit einer vorab gespeicherten Referenz-Kennlinie verglichen. Die Prüfung der Funktions fähigkeit des Magnetventils gilt als bestanden, wenn der aufgezeichnete zeitliche Verlauf der Geschwindigkeit und/oder der Beschleunigung um mehr als ein vorgegebenes Maß oberhalb der Referenz-Kennlinie verläuft. Hingegen gilt die Prüfung der Funktionsfähigkeit des Mag netventils als nicht bestanden, wenn der aufgezeichnete zeitliche Verlauf der Geschwindigkeit und/oder der Beschleunigung um mehr als ein vorgegebenes Maß unterhalb der Referenz- Kennlinie verläuft.

Als Referenz-Kennlinie wird hierbei bevorzugt ein Profil für die Geschwindigkeit und/oder Beschleunigung des Ventilglieds vorgegeben, dessen Verlauf zwischen dem zu erwartenden Geschwindigkeits- bzw. Beschleunigungs-Profil beim Einnehmen der Sicherheitsstellung auf grund einer Regelung durch den Stellungsregler und dem zu erwartenden Verlauf der Ge schwindigkeit bzw. Beschleunigung beim Einnehmen der Sicherheitsstellung, wenn das Mag netventil den Antrieb entlüftet, liegt.

In der seltenen Situation, in der das Magnetventil nicht über einen deutlich größeren Durchlass verfügt als der Stellungregler, kann eine bessere Unterscheidung der Fälle dadurch ermöglicht werden, dass der Stellungsregler im Sicherheitsfall den Antrieb mit einer kleinen, voreingestellten Verzögerung entlüftet.

Zur Lösung der Aufgabe wird außerdem ein Verfahren zum Prüfen der Funktionsfähigkeit eines Sicherheitsventils in einem Sicherheitsfall vorgeschlagen. Das Sicherheitsventil hat ein Ventilglied, und einen einfachwirkenden, pneumatischen Antrieb mit einem Antriebsfluid, sowie einen Stellungsregler, der den Druck im Antriebsfluid einstellt und dadurch die Position des Ventilglieds steuert und/oder regelt. Das Ventilglied nimmt eine Sicherheitsstellung ein, wenn der Druck im Antriebsfluid einem Umgebungsdruck entspricht. Ein Magnetventil ist zwischen dem Antrieb und dem Stellungsregler pneumatisch verschaltet und dient zum Entlüften des An triebs zur Umgebung hin. Außerdem wird ein erster Drucksensor bereitgestellt, der den Druck des Antriebsfluids zwischen dem Stellungsregler und dem Magnetventil misst. Dieser erste Drucksensor ist in der Regel in den Stellungsregler integriert. In einem Sicherheitsfall entlüften sowohl das Magnetventil als auch der Stellungsregler den Antrieb. Das Verfahren umfasst dabei die folgenden Schritte:

Der Sicherheitsfall wird ausgelöst, infolgedessen das Ventilglied in seine Sicherheitsstel lung verfahren sollte.

Der Zeitpunkt, an dem das Ventilglied die Sicherheitsstellung eingenommen hat, wird er mittelt.

Zu diesem Zeitpunkt misst der erste Drucksensor einen Restdruck im Antriebsfluid.

Ist der Restdruck höher als eine erste Schwelle oder gleich der ersten Schwelle, dann gilt die Prüfung der Funktionsfähigkeit des Sicherheitsventils als nicht bestanden.

Ist der Restdruck niedriger als die erste Schwelle, dann gilt die Prüfung der Funktionsfä higkeit des Sicherheitsventils als bestanden. Bei diesem Verfahren misst der erste Drucksensor den Druck zwischen dem Stellungs regler und dem Magnetventil. Falls alles ordnungsgemäß funktioniert, entlüftet das Magnetventil im Sicherheitsfall den Antrieb. Gleichzeitig steuert oder regelt der Stellungsregler so, dass der Antrieb über die entsprechende Leitung entlüftet wird. An der Stelle, an der der Drucksensor den Druck misst, wird also nur gemessen, wie der kurze und insbesondere kleinvolumige Lei tungsabschnitt vom Stellungsregler zum Magnetventil entlüftet wird. Der Druck dort gleicht sich also schnell und insbesondere vollständig dem Umgebungsdruck an, es sollte bei Erreichen der Sicherheitsstellung kein Restdruck gemessen werden.

Wird hingegen ein Restdruck gemessen, der eine erste Schwelle überschreitet, hat ent weder der Stellungsregler oder das Magnetventil nicht korrekt funktioniert. Der Fall, dass beide nicht korrekt funktionieren, wird dadurch ausgeschlossen, dass das Ventilglied in Folge des Si cherheitsfalles ja die Sicherheitsstellung eingenommen hat.

Auf diese Weise lässt sich ohne zusätzlichen Aufwand feststellen, ob das Sicherheitsventil in Folge des Auslösens eines Sicherheitsfalles korrekt funktioniert hat oder nicht. Mit einem solchen Verfahren können die Wartungsintervalle für Anlagen mit Sicherheitsventilen gegebe nenfalls optimaler gestaltet werden. Insbesondere lassen sich die Wartungsfristen unter Um ständen verlängern, wenn nachgewiesen wurde, dass sowohl das Magnetventil als auch der Stellungsregler ordnungsgemäß funktioniert haben. Wenn der Betreiber der Anlage z. B. wüsste, dass die Armatur über das Magnetventil verfahren wurde, könnte er den eingetretenen Sicher heitsfall als Funktionstest betrachten. Damit ließe sich nachweisen, dass der Sicherheitsschalt kreis voll funktionsfähig ist.

Bei einer bevorzugten Weiterbildung des Verfahrens herrscht im Antrieb des Sicherheits ventils vor dem Sicherheitsfall ein Ausgangsdruck. Der Restdruck ist höher als die erste Schwelle oder gleich der ersten Schwelle, so dass die Prüfung der Funktionsfähigkeit des Si cherheitsventils nicht bestanden ist. Es wird auf einen Defekt des Magnetventils geschlossen, wenn der Restdruck niedriger als eine zweite Schwelle liegt, welche größer als die erste Schwelle und kleiner als der Ausgangsdruck ist, andernfalls wird auf einen Defekt des Stellungs reglers geschlossen.

Als erste Schwelle kann z.B. die Hälfte des Restdrucks verwendet werden, der am ersten Drucksensor typischerweise gemessen wird, wenn das Ventilglied durch den Stellungsregler in die Sicherheitsstellung gebracht wird. Dieser kann im Rahmen einer Kalibrationsmessung beim Einrichten der Anlage bestimmt werden. Bei einer solchen Kalibration wird der Antrieb über den Stellungsregler entlüftet, das Magnetventil bleibt in Betriebsstellung und entlüftet nicht. Das ge samte Luftvolumen des Antriebs und der Zuleitungen entweicht also durch diese Zuleitungen und den Stellungsregler, der in aller Regel einen deutlich niedrigeren Durchlass aufweist als das Magnetventil. Deshalb liegt bei Einnahme der Sicherheitsstellung noch ein Restdruck am ersten Drucksensor vor.

Als zweite Schwelle kann z.B. ein Druck gewählt werden, der mittig zwischen dem be schriebenen typischen Restdruck und dem Ausgangsdruck liegt.

Misst der erste Drucksensor einen Restdruck, der oberhalb dieser zweiten Schwelle liegt, also im Wesentlichen dem Ausgangsdruck entspricht, so liegt ein Defekt am Stellungsregler vor, da der Leitungsabschnitt, an dem sich der erste Drucksensor befindet, nicht ordnungsgemäß entlüftet wird. Das Magnetventil hat aber funktioniert, da die Sicherheitsstellung erreicht wurde. Liegt der Restdruck dagegen zwischen den beiden Schwellen, so erfolgte die Entlüftung des Antriebs über den Stellungsregler, woraus zu entnehmen ist, dass zwar der Stellungsregler, nicht aber das Magnetventil ordnungsgemäß funktioniert hat.

Diese Weiterbildung des Verfahrens ermöglicht also im Fehlerfall eine präzisere Aussage über die Ursache der Fehlfunktion.

Eine noch detailliertere Diagnose wird ermöglicht, wenn ein Verlauf der Position des Ven tilglieds und/oder des Drucks erfasst wird, wodurch eine Positions- und/oder Druck- und/oder Positions-Druck-Kennlinie gebildet werden kann, und wenn die erhaltene Kennlinie mit mindes tens einer gespeicherten Referenz-Kennline verglichen wird. Dadurch lassen sich ggf. Abwei chungen vom normalen Verhalten bereits erkennen, bevor sie grundlegende Auswirkungen auf die Funktionsfähigkeit des Sicherheitsventils oder seiner Komponenten haben.

Auch dadurch, dass der zeitliche Verlauf des Drucks und/oder einer ersten und/oder zwei ten Ableitung davon nach dem Auslösen des Sicherheitsfalles aufgezeichnet wird, und dass der auf gezeichnete zeitliche Verlauf des Drucks und/oder der ersten und/oder zweiten Ableitung davon mit einer vorab gespeicherten Referenz-Kennlinie verglichen wird, kann eine detailliertere Diagnose erreicht werden.

Vorzugsweise werden aus dem Vergleich des aufgezeichneten Verlaufs und/oder der min destens einen erhaltenen Kennlinie mit der mindestens einen Referenz-Kennlinie Aussagen über die Funktionsfähigkeit von Komponenten des Sicherheitsventils gewonnen. Die unter schiedlichen Fälle lassen sich so ggf. leichter unterscheiden, da nicht nur einzelne Werte be rücksichtigt werden, sondern die Form der erhaltenen Kennlinien.

Auf korrektes Funktionieren des Magnetventils kann geschlossen werden, wenn ein sehr schneller oder sogar schlagartiger Druckabfall des ersten Drucksensors und gleichzeitig ein langsamerer, kontinuierlicher Positionsverlauf erfasst wurden.

Dazu kann man wie folgt vorgehen: Es wird ein ersts Zeitintervall bestimmt, das der am ersten Drucksensor gemessene Druck benötigt, um auf Atmosphärendruck abzusinken. Ferner wird ein zweites Zeitintervall bestimmt, das das Ventilglied benötigt, um in die Sicherheitsstel lung zu verfahren. Die Zeiten werden gemessen ab Auslösen des Sicherheitsfalls. Auf korrektes Funktionieren des Magnetventils wird geschlossen, wenn das erste Zeitintervall kürzer als das zweite Zeitintervall ist, denn dann erfolgt die Entlüftung des Antriebs über das Magnetventil, und die Entlüftung der Steuerleitung zwischen Stellungsregler und Magnetventil erfolgt über den Stellungsregler, was i.d.R. sehr schnell geht.

Auf einen Defekt des Magnetventils kann hingegen geschlossen werden, wenn das erste Zeitintervall länger als das zweite Zeitintervall ist.

Auf einen Defekt des Stellungsreglers kann geschlossen werden, wenn ein konstanter Druckverlauf am ersten Drucksensors und gleichzeitig ein kontinuierlicher Positionsverlauf des Ventilglieds zur Sicherheitsstellung hin erfasst wurden.

Noch genauer und detaillierter lässt sich das Verhalten des Sicherheitsventils auswerten, wenn ein zweiter Drucksensor bereitgestellt wird, der den Druck des Antriebsfluids zwischen dem Magnetventil und dem Antrieb des Sicherheitsventils misst. Dann kann aus einem schnel len, schlagartigen Druckabfall des ersten Drucksensors und gleichzeitig einem kontinuierlichen Druckabfall am zweiten Drucksensor auf ein korrektes Funktionieren der Komponenten des Si cherheitsventils geschlossen werden. Für eine solche Diagnose genügt es im Allgemeinen, wenn der Druckabfall am ersten Drucksensor schneller verläuft als der Druck-abfall am zweiten Drucksensor.

Wird ein zweiter Drucksensor bereitgestellt, der den Druck des Antriebsfluids zwischen dem Magnetventil und dem Antrieb des Sicherheitsventils misst, so kann aus einem schnellen, schlagartigen Druckabfall des ersten Drucksensors und gleichzeitig einem kontinuierlichen Druckabfall am zweiten Drucksensor und einem von einer Referenz-Positions-Kennlinie abwei chenden Positionsverlauf auf einen Defekt des Antriebs des Sicherheitsventils geschlossen werden. Es wird insbesondere auf einen Defekt des Antriebs des Sicherheitsventils geschlos sen, wenn der Druckabfall am ersten Drucksensor schneller verläuft als der Druckabfall am zweiten Drucksensor und die zeitliche Veränderung der Position des Ventilglieds von einer Re ferenz-Positions-Kennlinie abweicht. Bei den beobachteten Druckverläufen müsste das Ven tilglied sich in der erwarteten Zeit in die Sicherheitsstellung begeben; kommt es dabei zu Ver zögerungen, kann von einem mechanischen Problem im Umfeld des Antriebs des Ventilglieds ausgegangen werden.

Die Aufgabe wird zudem dadurch gelöst, dass bei einem Verfahren, wie es weiter oben beschrieben wurde, die Verfahrensschritte als Programmcode formuliert sind, mit dem das Ver fahren auf mindestens einem Computer ablaufen kann.

Die Aufgabe wird des Weiteren gelöst durch einen Stellungsregler eines Sicherheitsven tils, der Mittel zur Datenaufzeichnung sowie eine Steuerung aufweist, die derart ausgebildet sind, dass der Stellungsregler die Funktionsfähigkeit des Sicherheitsventils und/oder des Mag netventils mithilfe eines Verfahrens, wie es weiter oben beschrieben wurde, überprüfen kann.

Zudem wird die Aufgabe gelöst durch ein Sicherheitsventil mit einem solchen Stellungs regler.

Die Aufgabe wird auch gelöst durch eine prozesstechnische Anlage mit einem solchen Sicherheitsventil.

Ferner wird die Aufgabe gelöst durch ein Computerprogramm, umfassend Befehle, die bewirken, dass der vorgenannte Stellungsregler die Verfahrensschritte nach einem der weiter oben beschriebenen Verfahren ausführt.

Außerdem wird die Aufgabe gelöst durch ein computerlesbares Medium, auf dem das vorgenannte Computerprogramm gespeichert ist.

Weitere Einzelheiten und Merkmale ergeben sich aus der nachfolgenden Beschreibung von bevorzugten Ausführungsbeispielen in Verbindung mit den Figuren. Hierbei können die je weiligen Merkmale für sich alleine oder zu mehreren in Kombination miteinander verwirklicht sein. Die Möglichkeiten, die Aufgabe zu lösen, sind nicht auf die Ausführungsbeispiele be schränkt. So umfassen beispielsweise Bereichsangaben stets alle - nicht genannten - Zwischen werte und alle denkbaren Teilintervalle.

Die Ausführungsbeispiele sind in den Figuren schematisch dargestellt. Gleiche Bezugs ziffern in den einzelnen Figuren bezeichnen dabei gleiche oder funktionsgleiche bzw. hinsicht lich ihrer Funktionen einander entsprechende Elemente. Im Einzelnen zeigt:

Fig. 1 eine schematische Darstellung eines Sicherheitsventils mit Magnetventil und

Stellungsregler, bei dem ein erfindungsgemäßes Verfahren zum Einsatz kom men kann;

Fig. 2 ein Diagramm, das den zeitlichen Verlauf des Ventilhubs im Sicherheitsfall dar stellt, sowohl für den Fall, dass das Magnetventil geschaltet hat, als auch für den Fall, dass der Stellungsregler das Einnehmen der Sicherheitsstellung herbeige führt hat;

Fig. 3 ein Diagramm, das den zeitlichen Verlauf des Ventilhubs im Sicherheitsfall dar stellt, wenn eine zusätzliche Verzögerung, die eine Unterscheidung bei ähnlichen Durchflüssen ermöglicht, vorhanden ist;

Fig. 4 ein Diagramm, das zusätzlich zum Hubverlauf den Druckverlauf am ersten Druck sensor im Sicherheitsfall darstellt; und

Fig. 5 ein Diagramm, das die zugehörigen Hub-Druck-Kennlinien darstellt, die im Si cherheitsfall erhalten werden.

In Fig. 1 ist der schematische Aufbau eines typischen Sicherheitsventils 100 dargestellt. Dazu gehört das eigentliche Ventil 110 mit dem Ventilglied, ein Stellungsregler 120 und ein pneumatischer Antrieb 130, der das Ventilglied betätigt. Die Druckverhältnisse im Antrieb wer den durch das Magnetventil 140 und den Stellungsregler 120 gesteuert. Die Druckluftversor gung des Stellungsreglers erfolgt durch eine Zuluftleitung 150.

Das Magnetventil wird im Normalbetrieb bestromt (die Stromversorgung ist nicht gezeich net). Wird die Stromversorgung des Magnetventils 140 unterbrochen, schaltet es in seine Si cherheitsstellung und gibt eine Verbindung vom Antrieb zur Atmosphäre frei, wodurch der Druck im Antrieb auf Umgebungsdruck absinkt und das Ventil 110 in die Sicherheitsstellung verfahren wird.

Dieser Zustand ist in der schematischen Darstellung von Fig. 1 zu sehen: die linke Ventil stellung ist aktiv, in der die Steuerleitung 160, 170 zwischen dem Stellungsregler 120 und An trieb 130 unterbrochen ist und stattdessen eine Verbindung des Antriebs zur Atmosphäre ge schaltet ist, angedeutet durch den Pfeil links unten am Magnetventil 140. Wäre das Magnetventil 140 in seiner Betriebsposition, wäre die rechte Hälfte aktiv, die die Steuerleitung 160, 170 zwi schen Stellungsregler 120 und Antrieb 130 freigibt.

In der dargestellten Ausführung ist in der Sicherheitsstellung des Magnetventils die vom Stellungsregler 120 zum Magnetventil 140 verlaufende Steuerleitung 160 im Magnetventil verb lockt (durch die , T-förmige Darstellung angedeutet).

Der Stellungsregler 120 ist an dem Sicherheitsventil 100 montiert und regelt die Hubposi tion des Ventilglieds sowie den Druck im Antrieb. Der Antrieb 130 wird mit dem Stellungsregler 120 über die Steueranschlussleitung 160, 170 verbunden. An dem Anschluss dieser Leitung an den Stellungsregler sitzt ein erster Drucksensor 190, der insbesondere den Druck im Abschnitt 160 der Steuerleitung zwischen Stellungsregler 120 und Magnetventil 140 misst. Zwischen dem Magnetventil 140 und dem Antrieb 130 wird der Druck ferner über die Messleitung 180 auf den Messanschluss des Stellungsreglers 120 mit dem zweiten Drucksensor 195 geführt. Dieser misst also insbesondere den Druck im Abschnitt 170 der Steuerleitung zwischen Magnetventil 140 und Antrieb 130 und damit den Druck im Antrieb.

Der Stellungsregler 120 ist je nach konkretem Anwendungsfall für das Sicherheitsventil 100 für den Regelbetrieb und/oder für Diagnose-Funktionalitäten zuständig (z.B. für Teilhub tests). Das Magnetventil 140 übernimmt die eigentliche Sicherheitsfunktion. Deshalb hat dieses in der Regel auch einen größeren Kvs-Wert als der Stellungsregler, da an die Stellzeiten (Not- Reaktions-Dauer, d.h. wie schnell das Ventilglied im Sicherheitsfall in die Sicherheitsstellung gelangt) höhere Anforderungen gestellt werden. Es werden also kürzere Entlüftungszeiten und damit schnellere Bewegungen des Ventilglieds 110 gefordert.

Kommt es in der Anlage zu einem Sicherheitsfall, bekommen sowohl der Stellungsregler 120 als auch das Magnetventil 140 kein Stromsignal mehr bzw. ein deutlich niedrigeres Strom signal als für den normalen Betrieb (typischerweise liegen am Magnetventil dann 0 V Spannung an, und der Stellungsregler wird noch mit 3,75 mA bestromt). Als Folge davon schalten beide Komponenten so, dass der Antrieb 130 entlüftet wird.

Ohne Drucksensoren 190, 195, also lediglich mittels der Positionserkennung des Stel lungsreglers 120, ist ein Funktionsnachweis für das Magnetventil 140 über die Zeit, die zum Einnehmen der Sicherheitsstellung benötigt wird, möglich. Dies lässt sich an den Hub-Zeit-Kur- ven aus dem Diagramm in Fig. 2 erkennen. Da das Magnetventil 140 in aller Regel einen deut lich größeren Kvs-Wert, also einen deutlich höheren maximalen Durchfluss als der Stellungs regler 120 hat, entlüftet der Antrieb 130 über das Magnetventil 140 deutlich schneller als über den Stellungsregler 120.

Es ergeben sich die Verläufe, die in Fig. 2 dargestellt sind: Die gestrichelte Kurve gibt den Hub-Zeit-Verlauf an, der auftritt, wenn der Stellungsregler das Ventilglied in die Sicherheitsstel lung bringt, während die gepunktete Kurve den Hub-Zeit-Verlauf angibt, der auftritt, wenn das Magnetventil den Antrieb entlüftet. Anhand des Zeitunterschiedes kann darauf rückgeschlossen werden, ob der Stellungsregler oder das Magnetventil das Ventilglied im Sicherheitsfall in die Sicherheitsstellung gebracht hat. Dabei kann die Kurve für den Stellungsregler im Rahmen einer Kalibrationsmessung bestimmt und als Referenzkurve gespeichert werden. Auch die typische Zeitdauer für diesen Vorgang kann auf diese Weise bestimmt werden. Für Diagnosezwecke ist es allerdings günstiger, wenn ein Referenzwert festgelegt wird, der zwischen den zu erwarten den Zeitdauern für das Verfahren des Ventilglieds mittels Stellungsregler und mittels Mag netventil liegt. Dann kann anhand eines Vergleichs mit diesem Referenzwert eine Fallunter scheidung getroffen werden.

Bei erhöhten Sicherheitsanforderungen kann als Referenzwert beispielsweise auch die erwartete maximale Dauer für das Verfahren mittels Magnetventil gewählt werden. In der Situ ation von Fig. 2 wäre das z.B. 1,5 Sekunden. Für den weniger häufigen Fall, dass Stellungsregler 120 und Magnetventil 140 ähnliche Kvs-Werte aufweisen, fällt die soeben beschriebene Unterscheidung schwer, da die Kurven in Fig. 2 sehr nahe beieinanderliegen würden. In dieser Situation ist es vorteilhaft, wenn der Stel lungsregler 120 so konfiguriert wird, dass er mit einer kleinen Verzögerung (von z.B. 0,3 s) schaltet. Diese Situation ist im Diagramm von Fig. 3 dargestellt. Wie in Fig. 2 stellt die gestri chelte Kurve den Hub-Verlauf dar, der auftritt, wenn der Stellungsregler das Ventilglied in die Sicherheitsstellung bringt.

Die gepunktete Kurve stellt wiederum den Hub-Verlauf dar, der auftritt, wenn das Mag netventil den Antrieb entlüftet. Durch die Verzögerung bedingt, liegen die Hub-Zeit- Kurven wie der weiter auseinander. Insbesondere ergibt sich eine Zeitdifferenz für die möglichen Entlüf tungsvorgänge, die mindestens der gewählten Verzögerung entspricht. Es ist daher aufgrund der eingefügten Verzögerung möglich, die beiden Fälle wie beschrieben auseinanderzuhalten.

Ist ein erster Drucksensor 190 vorhanden, der den Druck in der Steuerleitung 160 zwi schen Stellungsregler 120 und Magnetventil 140 misst, lassen sich differenziertere Aussagen darüber treffen, ob das Sicherheitsventil 100 bei einem Sicherheitsfall ordnungsgemäß funktio niert hat. Insbesondere lassen sich Aussagen darüber treffen, welche Komponenten ggf. nicht funktioniert haben.

Im störungsfreien Betrieb gelangt die Druckluft aus dem Stellungsregler 120 durch die Steuerleitung 160, das Magnetventil 140 und die Steuerleitung 170 in den Antrieb 130. In die sem Fall ist das Magnetventil auf Durchgang geschaltet (bestromt). Die Hub-Position des Ven tilgliedes 110 wird in dieser Situation mittels des Stellungsreglers 120 eingeregelt. Zum Einre geln der Position besitzt der Stellungsregler ein Positionsmesssystem, welches die Position des Ventilgliedes abgreift.

Tritt ein Sicherheitsfall ein, fällt die Bestromung des Magnetventils 140 aus. Dann schaltet das Magnetventil mittels Federvorspannung in der bereits beschriebenen Weise in eine Posi tion, in der die Leitung 160 vom Stellungsregler zum Magnetventil verblockt wird und die Steu erleitung 170 auf Umgebungsdruck entlüftet. Gleichzeitig wird der Stellungsregler so geschaltet, dass er ebenfalls entlüftet, wodurch auch die Leitung 160 zwischen Stellungsregler und Mag netventil entlüftet wird. In diesem Zustand verfährt nun der Antrieb 130 das Ventilglied in die Sicherheitsstellung. Wäre das Magnetventil defekt und würde nicht entlüften, wäre die Steuer leitung 170 zwischen Antrieb 130 und Stellungsregler 120 nicht unterbrochen. Somit würde der Antrieb über den Stellungsregler entlüftet.

In Fig. 4 ist ein Diagramm zu sehen, welches neben dem Positionsverlauf des Ventilglieds 110 im Sicherheitsfall (durchgezogene Kurve) den Druckverlauf am ersten Drucksensor 190 zeigt, und zwar für den Fall, dass das Magnetventil ordnungsgemäß geschaltet hat (gepunktete Kurve) und für den Fall, dass das Magnetventil nicht funktioniert hat und der Stellungsregler den Antrieb entlüftet hat (gestrichelte Kurve).

Die Unterschiede erklären sich folgendermaßen: Hat das Magnetventil korrekt geschaltet, wird die Steuerleitung 160, 170 am Magnetventil unterbrochen und entlüftet. Das kurze und damit kleinvolumige Leitungsstück 160 zwischen Magnetventil 140 und Stellungsregler 120 wird (durch den Stellungsregler) ebenfalls entlüftet, und zwar aufgrund des geringen Volumens sehr schnell. Dies führt zu der sehr steil abfallenden gepunkteten Kurve in Fig. 4. Hat das Magnetven til nicht korrekt geschaltet, erfolgt das Entlüften des Antriebs 130 über den Stellungsregler 120. Aufgrund des großen Volumens und des in aller Regel geringeren Kvs-Wertes erfolgt der Druck abfall am ersten Drucksensor 190 in diesem Fall deutlich langsamer, in einer Weise, die mit der Bewegung des Ventilantriebs 130 korreliert. Dies ist in Fig. 4 durch die gestrichelte Kurve dar gestellt. Über eine Drosselstelle am Stellungsregler stellt sich dabei am Anfang des Vorgangs ein Differenzdruck ein, wodurch es zu dem Knick im Anfangsverlauf der Kurve kommt.

Die der Situation von Fig. 4 entsprechenden Hub-Druck-Kennlinien sind in Fig. 5 darge stellt. Hierbei gilt wiederum die gepunktete Kurve für den Fall, dass das Magnetventil den An trieb entlüftet hat, während die gestrichelte Kurve für den Fall gilt, dass das Entlüften über den Stellungsregler ablief. Anhand dieser Kurven lassen sich die genannten Fälle leicht unterschei den. Insbesondere ergibt sich aus dem beobachteten Restdruck bei Erreichen der Hub-Position 0 ein günstiges Unterscheidungskriterium. Hier kann z.B. eine erste Schwelle gewählt werden, die zwischen dem erwarteten Restdruck bei Verfahren des Antriebs in die Sicherheitsstellung mittels Stellungsregler und 0 liegt.

Der dritte mögliche Fall, dass das Magnetventil ordnungsgemäß funktioniert hat, aber der Stellungsregler nicht, wurde nicht dargestellt. In diesem Fall würde das Ventil in die Sicherheits stellung verfahren, aber der Druck am ersten Drucksensor 190 entspräche weiterhin dem Aus gangsdruck, da der entsprechende Leitungsabschnitt 160 am Magnetventil 140 verb lockt wird und durch den Stellungsregler nicht entlüftet wird. Als Unterscheidungskriterium wäre hier eine zweite Schwelle sinnvoll, die zwischen dem Ausgangsdruck und dem erwarteten Restdruck bei Verfahren des Antriebs mittels Stellungsregler liegt.

Noch sicherer wird die Diagnose, wenn ein zweiter Drucksensor 195 vorliegt, der mittels Messleitung 180 den Druck im Antrieb 130 bzw. im Abschnitt 170 der Steuerleitung zwischen Magnetventil 140 und Antrieb 130 misst. Liefert der erste Drucksensor 190 einen sehr schnellen, schlagartigen Druckabfall und der zweite Drucksensor 195 einen kontinuierlichen, so haben alle Komponenten wie vorgesehen funktioniert. Die beiden Sensoren liefern dann völlig unterschied liche zeitliche Verläufe. Sind sich die beiden Druckabfallkurven hingegen ähnlich, mit einem gleichmäßigeren, ins besondere nicht schlagartigen Verlauf, so ist davon auszugehen, dass das Magnetventil 140 defekt und der Stellungsregler 120 in Ordnung ist. Der Antrieb wird über den Stellungsregler entlüftet, so dass beide Drucksensoren 190, 195 in etwa dasselbe messen. Die Gesamtheit aller Möglichkeiten bei Verwendung von zwei Drucksensoren und einem typischen Sicherheitsventil ist in der folgenden Tabelle wiedergegeben.

(Dabei bezeichnet: - P1 den am ersten Drucksensor 190 gemessenen Druck

- P2 den am zweiten Drucksensor 195 gemessenen Druck.)

Ändert sich nun die Position des Ventilgliedes zu langsam oder gar nicht, obwohl die Drucksensoren 190, 195 die erwarteten Kurvenverläufe aufweisen, kann auf eine erhöhte Rei- bung bzw. Blockade des Ventilantriebs 130, insbesondere des Stellmechanismus, oder einen Defekt des Positionssensors geschlossen werden. Glossar

Fluidischer Antrieb eines Ventils

Man spricht von einem fluidisch angetriebenen Ventil, wenn die Antriebsstange des Ventils von einer Membran bewegt wird, die durch ein Fluid, typischerweise Druckluft, mit Druck beauf schlagt und dadurch positioniert wird.

Kv-Wert, Kvs-Wert

Der Kv-Wert wird auch als Durchflussfaktor oder als Durchflusskoeffizient bezeichnet. Er ist ein Maß für den erzielbaren Durchsatz einer Flüssigkeit oder eines Gases durch ein Ventil bei ge gebenem Öffnungsgrad und dient zur Auswahl und Dimensionierung von Ventilen. Der Wert wird in der Einheit m ³ /h angegeben und ist als effektiver Querschnitt interpretierbar. Ein Kv-Wert gilt nur für einen zugehörigen Hub bzw. Öffnungsgrad eines Ventils. Der Kv-Wert eines Ventils bei Nennhub (d.h. 100 % Öffnungsgrad) wird als Kvs-Wert bezeichnet. Anhand des Kvs-Wertes kann bei einem Ventil der maximal mögliche Durchsatz ermittelt werden (nach https://de.wikipe- dia.org/wiki/Kv-Wert).

Magnetventil

Ein Magnetventil ist ein Ventil mit elektromagnetischem Antrieb. Magnetventile können - ab hängig von der Bauart - sehr schnell schalten.

Sicherheitsventil

Als Sicherheitsventile werden hier Stellarmaturen mit einer Auf/Zu-Arbeitsweise und sicherheits relevanter Anwendung bezeichnet. Stellarmaturen bestehen aus einem - typischer-weise fluidi- schen - Antrieb und einem beweglichen Ventilglied und dienen zum Regulieren eines Fluidstro mes. Die Art der Ventile können sowohl Drehventile als auch Hubventile sein. Im Bereich si cherheitsrelevanter Armaturen werden in der Regel einfachwirkende Pneumatikantriebe ver wendet. Die von Federkräften einseitig vorgespannten Antriebe verfahren eigenständig in eine sichere Position, wenn der Antrieb entlüftet wird, also die Druckluft aus der Kammer des Antrie bes entweicht. Dies geschieht z.B. dann, wenn ein Strom-Druck(l/P)-Wandler oder ein Mag netventil nicht mehr bestromt wird. Bei Sicherheitsarmaturen ist häufig das Sicherheitsventil im normalen Betrieb offen, und im Si cherheitsfall (z.B. Stromausfall) schließt das Sicherheitsventil eigenständig. Die Druckluft wirkt immer gegen die Federkraft. Entlüftet man nun den Antrieb, beginnt das Ventil sich zu schließen, da die Federkräfte freigesetzt werden. Die Sicherheitsstellung kann auch stromlos offen sein (Antrieb entlüftet) und bestromt geschlossen (Antrieb belüftet). In der Sicherheitsstellung liegt im Antrieb also nur der Umgebungsdruck vor.

Teilhubtest (Partial Stroke Test, PST)

Um den sicheren Betrieb einer Armatur zu gewährleisten, wird regelmäßig bzw. zyklisch getes- tet, ob sich das Stellglied auch bewegt. Bei diesen Tests ist es nicht gewünscht, dass die Arma tur vollständig in die Sicherheitsstellung verfährt, um den laufenden Betrieb nicht zu stören. Bei einem Teilhubtest wird das Stellglied nur soweit verfahren, wie erforderlich ist, um sicherzustel len, dass das Stellglied einen Teil der Strecke verfährt, ohne den Prozess der Anlage maßgeb lich zu beeinflussen. Dabei wird auch getestet, ob sich das Stellglied überhaupt noch von seiner Position löst bzw. losbricht. Das Stellglied fährt nach dem T eilhubtest wieder in seine Ausgangs position zurück. Mit diesem Test kann die grundlegende Bewegbarkeit des Stellgliedes geprüft werden.

Ventilglied Das Ventilglied ist dasjenige Element, das das Ventil schließt, wenn es auf den Ventilsitz ge presst wird.

Bezugszeichen Sicherheitsventil eigentliches Ventil; Ventilgehäuse mit Ventilglied Stellungsregler Ventilantrieb Magnetventil Druckluftversorgung Steuerleitung zwischen Stellungsregler und Magnetventil Steuerleitung zwischen Magnetventil und Antrieb Messleitung erster Drucksensor zweiter Drucksensor

zitierte Literatur zitierte Patentliteratur

DE 19723650 A1 DE 102018 103324 B3 EP 2473 889 B1 WO 2009/013205 A1 WO 2018/075321 A1 WO 2018/075241 A1 zitierte Nicht-Patentliteratur

EN 61508