Sicherheitsmodul und Messanordnung mit Sicherheitsmodul [001] Die vorliegende Erfindung betrifft ein Sicherheitsmodul, insbesondere ein Sicher¬ heitsmodul für Messumformer, sowie Messanordnungen, die ein solches Sicher¬ heitsmodul aufweisen. [002] Messumformer werden häufig zur Überwachung eines Prozessparameters eines Mediums eingesetzt. Prozessparameter sind beispielsweise aber nicht nur Druck, Füllstand Durchfluss, pH- Wert, Temperatur. Die gattungsgemäßen Messumformer weisen die folgenden Merkmale auf: [003] einen Sensor zum Erfassen einer Messgröße eines Mediums, wobei der Sensor ein von der Messgröße abhängiges Primärsignal ausgibt; [004] ein Umformergehäuse, welches in seinem Inneren mindestens eine Kammer definiert, und welches eine medienseitige erste Öffnung und eine zweite Öffnung aufweist; [005] eine elektronischen Schaltung, welche in der mindestens einen Kammer angeordnet ist, wobei die Schaltung das Primärsignal des Sensors verarbeitet und ein Aus¬ gangssignal erzeugt, welches über einen Signalpfad ausgegeben wird, der durch die zweite Öffnung verläuft. [006] Durch die medienseitige erste Öffnung kann der Sensor die Messgröße erfassen, sofern der Sensor im dem Umformergehäuse angeordnet ist, oder das Primärsignal kann durch die medienseitige erste Öffnung in das Umformergehäuse geleitet werden, wenn der Sensor außerhalb des Umformergehäuses angeordnet ist. Im Bereich der ersten Öffnung ist gewöhnlich eine Dichtung vorgesehen, welche die mindestens eine Kammer von dem Eindringen des Mediums schützt. [007] Bei Ausfall der Dichtung könnte jedoch ein Kontaminationspfad freigegeben geben, der sich von der ersten Öffnung zur zweiten Öffnung erstreckt und durch die mindestens eine Kammer verläuft. Von der zweiten Öffnung könnte dann das Medium in die Umwelt oder, sofern eine Verrohrung, beispielsweise ein Rohrleitungssystem im Sinne eines Conduit System nach dem NEC 501-4, des weiteren Signalpfades gegeben ist, auch in einen Kontrollraum bzw. Messwarte gelangen. Diesem Problem trägt der amerikanische Standard ANSI/ISA- 12.27.01-2003 mit dem Titel „Requirements for Process Sealing Between Electrical Systems and Flammable and Combustible Process Fluids" Rechnung, der verlangt dass erstens eine zweite Dichtung vorgesehen ist, welche den Kontaminationspfad unterbricht, und dass außerdem Mittel vorgesehen sind, welche den Kontaminationspfad zwischen der ersten und der zweiten Dichtung überwachen, um den Ausfall der ersten Dichtung nachzuweisen. [008] Bei Neuentwicklungen von Messumformern kann dieser Standard zur Verbesserung der Anlagensicherheit berücksichtigt werden. Dieser Weg bleibt jedoch bei der in¬ stallierten Basis von Messumformern oder bei serienfreien Geräten versagt. Der vor¬ liegenden Erfindung liegt daher die Aufgabe zugrunde, die Sicherheit von her¬ kömmlichen Messumformern zu verbessern. Die Aufgabe wird erfindungsgemäß gelöst durch die Messanordnung gemäß des unabhängigen Patentanspruchs 1, das Si¬ cherheitsmodul gemäß des unabhängigen Patentanspruchs 9, und den Messumformer gemäß des unabhängigen Patentanspruchs 10. [009] Die erfindungsgemäße Messanordnung umfasst: [010] einen Messumformer mit [011] einem Sensor zum Erfassen einer Messgröße eines Mediums, wobei der Sensor ein von der Messgröße abhängiges Primärsignal ausgibt; [012] einem Umformergehäuse, welches in seinem Inneren mindestens eine Kammer definiert, und welches eine medienseitige erste Öffnung und eine zweite Öffnung aufweist, wobei sich von der ersten Öffnung zur zweiten Öffnung ein erster Abschnitt eines Kontaminationspfads erstreckt, der durch die mindestens eine Kammer verläuft; [013] einer ersten Dichtung, welche den ersten Abschnitt des Kontaminationspfads un¬ terbricht; [014] einer elektronischen Schaltung, welche in der mindestens einen Kammer angeordnet ist, wobei die Schaltung das Primärsignal des Sensors verarbeitet und ein Ausgangssignal erzeugt, welches über einen ersten Abschnitt eines Signalpfads ausgegeben wird, der durch die zweite Öffnung verläuft; wobei [015] die Messanordnung weiterhin ein Sicherheitsmodul aufweist, mit [016] einem Modulgehäuse, welches in seinem Inneren mindestens eine Modulkammer definiert, und welches eine umformerseitige erste Modulöffnung und eine zweite Mo¬ dulöffnung aufweist, wobei sich von der ersten Modulöffnung ein zweiter Abschnitt des Kontaminationspfads zumindest bis in die mindestens eine Modulkammer erstreckt; [017] mindestens einer zweiten Dichtung, welche den zweiten Abschnitt des Kontamina¬ tionspfads unterbricht; und [018] einem zweiten Abschnitt des Signalpfads; wobei [019] das Modulgehäuse derart mit dem Umformergehäuse verbindbar ist, dass der zweite Abschnitt des Kontaminationspfads an den ersten Abschnitt des Kontaminationspfads anschließt; und der zweite Abschnitt des Signalpfads an den ersten Abschnitt des Si¬ gnalpfads anschließbar ist, um das Ausgangssignal vom ersten Abschnitt des Si¬ gnalpfads weiter zu leiten; und [020] einen Leckdetektor, welcher einen Teil des Kontaminationspfads überwacht der zwischen der ersten Dichtung und der zweiten Dichtung angeordnet ist. [021] Der Kontaminationspfad, bezeichnet allgemein einen Pfad, über den ein Medium sich ausbreiten kann, wenn dies nicht durch die genannten Dichtungen und ggf. weitere Dichtungen verhindert wird. Der Begriff Dichtung ist weit zu interpretieren. [022] Die erste medienseitige Dichtung im Sinne der Erfindung kann jede beliebige Barriere in dem Kontaminationspfad sein, wobei der durch die Dichtung vor dem Medium geschützte folgende Abschnitt des Kontaminationspfades durch den Leckdetektor überwacht wird. Insoweit kann die erste Dichtung eine Dichtung sein, welche beim Einsatz des Messumformers bestimmungsgemäß permanent dem Medium ausgesetzt ist, eine solche Dichtung kann beispielsweise ringförmig oder mem¬ branförmig im Bereich der ersten Öffnung angeordnet sein. Andererseits kann die erste medienseitige Dichtung im Sinne der Erfindung auch eine nachgeordnete Dichtung sein, die erst dann mit dem Medium in Berührung kommt, wenn vorgelagerte Dichtungen ausgefallen sind. Eine solche Dichtung kann beispielsweise eine Abdichtung einer elektrischen Durchführung sein, wie sie in einer Zwischenwand oder bei einem Modular aufgebauten Messumformer zwischen verschiedenen Modulen vorkommen kann. Beispielsweise kann in dem Inneren des Umformergehäuses eine Zwischenwand vorgesehen sein, so dass das Umformergehäuse im Inneren eine erste Kammer und eine zweite Kammer aufweist, wobei die erste Kammer beispielsweise als Elektronikraum dient, und die zweite Kammer als so genannter Anschlussraum. In diesem Falle ist gewöhnlich die Schaltung zur Auswertung der Primärsignale in dem Elektronikraum angeordnet, wobei der Signalpfad über elektrische Durchführungen u durch die Zwischenwand in den Anschlussraum geführt ist. Die Befestigungen, der elektrischen Durchführungen in der Zwischenwand können bei entsprechender Aus¬ gestaltung als Dichtungen dienen, welche den Kontaminationspfad zwischen der dem Elektronikraum und dem Anschlussraum sperren. [023] Der Signalpfad im Sinne der Erfindung bezeichnet den Übertragungsweg von Signalen zwischen dem Messumformer und einer bestimmungsgemäß daran ange¬ schlossenen Übertragungsleitung. Der Signalpfad ist im Inneren des Messumformers zumindest abschnittsweise durch eine Folge von elektrischen Schaltungen, Kabeln und elektrischen Durchführungen definiert. Der Kontaminationspfad verläuft zumindest ab¬ schnittsweise parallel zum Signalpfad oder an diesem entlang, denn die elektrischen Durchführungen erfordern Gehäusedurchbrüche die abzudichten sind. Bei Versagen der Dichtmaßnahmen kann ein Medium die Durchbrüche passieren. [024] Die erste Dichtung ist vorzugsweise so bemessen dass sie den „Primary seal leakage test" gemäß Abschnitt 6.3.1. und den „Primary seal burst pressure test" gemäß Abschnitt 6.3.2 des ANSI/ISA- 12.27.01-2003 besteht. [025] Die zweite Dichtung ist vorzugsweise so bemessen, dass sie den „Secondary seal leakage" Test gemäß des Abschnitts, 6.3.5. des ANSI/ISA- 12.27.01-2003 besteht. D.h. die zweite Dichtung soll vorzugsweise einem Testdruck, der dem 1,5-fachen Entlüf- tungsdruck (Venting Pressure) gemäß des Abschnitts, 6.3.3. des ANSI/ ISA-12.27.01-2003 entspricht, standhalten, der auftreten würde wenn das Sicher¬ heitsmodul das Modulgehäuse erfindungsgemäß mit dem Umformergehäuse verbunden ist. [026] Die vorgeschriebenen Testdrücke hängen von den zugelassenen maximalen Ar¬ beitsdrücken der Messumformer ab und sind genauer in den genannten Abschnitten des ANSI/ISA-12.27.01-2003 spezifiziert. [027] Das Modulgehäuse wird vorzugsweise druckdicht mit dem Umformergehäuse verbunden, wobei die erste Modulöffnung mit der zweiten Öffnung des Umfor¬ mergehäuses kommuniziert. Vorzugsweise fluchten die beiden Öffnungen miteinander. In einer derzeit bevorzugten Ausgestaltung weisen das Umformergehäuse und das Mo¬ dulgehäuse im Bereich dieser Öffnungen zueinander komplementäre Gewinde auf, so dass das Modulgehäuse mit dem Umformergehäuse durch eine Schraubverbindung verbunden werden kann. Das Modulgehäuse kann beispielsweise einen metallischen Werkstoff, wie Stahl oder Aluminium, oder einen Kunststoff aufweisen. Derzeit wird ein Stahlgehäuse bevorzugt. [028] Das Sicherheitsmodul ist vorzugsweise anschlussneutral aufgebaut. D.h., der zweite Abschnitt des Signalpfads, der durch das Sicherheitsmodul verläuft, führt zu keiner Veränderung des übertragenen Signals, solange der Leckdetektor kein Leck si¬ gnalisiert. Das Sicherheitsmodul weist am Ende des zweiten Signalpfadabschnitts An¬ schlussmittel zum Anschluss einer Übertragungsleitung auf, die durch die zweite Mo¬ dulöffnung zugänglich sind, wobei die Anschlussmittel vorzugsweise den An¬ schlussmitteln entsprechen die im Umformergehäuse zum Anschluss der Übertra¬ gungsleitung und oder Versorgungsleitung vorgesehen sind, wenn kein Sicher¬ heitsmodul zwischengeschaltet ist. D.h., der Einsatz des erfindungsgemäßen Sicher¬ heitsmoduls erfordert vorzugsweise keine Anpassungen hinsichtlich der Anschlüsse zur Datenübertragung. Die Datenübertragung und Versorgung kann nach beliebigen Protokollen der Prozessmesstechnik erfolgen, beispielsweise durch eine Regelung des Speisestroms (4 ... 20 mA), nach dem Profibus-Standard oder dem Foundation Fieldbus Standard. [029] Gleichermaßen kann das Sicherheitsmodul hinsichtlich der mechanischen Anschlüsse neutral sein. D.h., es kann auf seiner dem Umformergehäuse zugewandten Seite die mechanischen Anschlusskomponenten der Übertragungsleitung und/oder die mechanischen Anschlusskomponenten einer ggf. vorgesehenen Verrohrung aufweisen, mit denen ohne Einsatz des Sicherheitsmoduls die Übertragungsleitung und/oder die Verrohrung an dem Umformergehäuse befestigt würden, und es kann auf der dem Kontrollraum zugewandten Seite die mechanischen Anschlusskomponenten des Um¬ formergehäuses aufweisen, an denen gewöhnlich die Übertragungsleitung und/oder deren Verrohrung befestigt werden. [030] Der Leckdetektor ist vorzugsweise so beschaffen, dass er bei der Detektion eines Ausfalls der ersten Dichtung den Anforderungen des Abschnitts 6.3.4 des ANSI/ ISA- 12.27.01 -2003 genügt. [031] Der Leckdetektor kann ein beliebiger Sensor sein, der das Eindringen eines konta¬ minierenden Mediums in den überwachten Abschnitt des Kontaminationspfads oder eine andere Auswirkung des Ausfalls der ersten Dichtung registrieren kann. Hierbei kann es sich beispielsweise, um einen Leitfähigkeitssensor, einen kapazitiven Sensor, einen Temperatursensor, einen Gassensor, einen elektrochemischen Sensor, einen am- perometrischen Sensor, einen potentiometrischen Sensor, einen Sensor nach dem Re¬ sonanzprinzip, einen Füllstandssensor, einen Durchflusssensor, oder einen einen Drucksensor bzw. einen Druckschalter handeln. Die Leckdetektoren können also je nach Messprinzip entweder unmittelbar das aufgrund eines Lecks eindringende Medium oder einen aufgrund des Lecks auftretenden anderen Effekt wie eine Veränderung von Druck oder Temperatur nachweisen. [032] [033] Für bestimmte Messumformer mit begrenzter Versorgungsenergie, beispielsweise für Zweidrahtgeräte mit einem Speisestrom von 4 ... 20 mA, werden derzeit Leck¬ detektoren mit einer minimalen Leistungsaufnahme bevorzugt. Besonders bevorzugt sind für diese Anwendungsfälle Leckdetektoren ohne jegliche Leistungsaufnahme. Dieses Kriterium wird beispielsweise von Druckschaltern eingehalten. [034] Ein Druckschalter kann so angeordnet sein, dass er beispielsweise den Signalpfad Signalausgang eines 4 ... 20 mA Zweidraht-Gerätes unterbricht oder kurzschließt, was einen Signalstrom von 0 bzw. 22 mA bewirkt. Beide Signalströme sind grundsätzlich geeignet, als Fehlermeldung gedeutet zu werden, und werden grundsätzlich so in¬ terpretiert. [035] Der Schaltpunkt für den Druckschalter ist so zu wählen, dass er bei den für das Si¬ cherheitsmodul zugelassenen Prozessdruckbereichen mit Sicherheit bei dem Ausfall der ersten Dichtung eine Fehlermeldung erzeugt, aber falsche Fehlersignale vermeidet. Der Schaltpunkt sollte also außerhalb des Schwankungsbereichs des normalen Umge¬ bungsdrucks am Einsatzort des Sensors bzw. außerhalb des Schwankungsberichs des Drucks im Umformergehäuse aufgrund von Temperaturschwankungen liegen. Ein geeigneter Schaltpunkt kann beispielsweise bei einem Absolutdruck von 1 ,3 bar 1,5 bar, oder 2 bar und/oder Überdruck gegenüber des Umgebungsdruck 0,3 bar 0,5 bar, oder 1,0 bar liegen. Um möglichst wenige Durchbrüche in dem Modulgehäuse vorzusehen werden derzeit Absolutdruckschalter und Absolutdrucksensoren als Leck¬ detektoren bevorzugt, da diese keinen Referenzluftkanal benötigen. Bei Messumfor¬ mergehäusen mit Belüftungsöffnungen, die mit dem Druckschalter kommunizieren, kann der Schaltpunkt wesentlich niedriger liegen, beispielsweise bei einem Ab¬ solutdruck von 1,2 bar und/oder einem Überdruck gegenüber des Umgebungsdruck 0,1 bar oder 0,2 bar. [036] Anstelle eines einfachen Kurzschluss-Signals, oder einer einfachen Unterbrechung des Signals kann der Druckschalter auch so angeschlossen sein, dass bei Über¬ schreitung eines Druckgrenzwertes die Stromversorgung zum Messumformer un¬ terbrochen und stattdessen eine Alarmierungsschaltung von der Stromversorgung gespeist wird, wobei die Alarmierungsschaltung in dem Gehäuse des Sicher¬ heitsmoduls angeordnet ist und ein Alarmsignal über den Signalpfad ausgibt. Die Alar¬ mierungsschaltung kann beispielsweise eine astabile Kippstufe umfassen, welche mit einer Schaltfrequenz zwischen zwei Signalpegeln wechselt, wobei die Periode der Schaltvorgänge erheblich geringer ist, als die Zeitskala der typischen Veränderungen der gemessenen Prozessgröße im bestimmungsgemäßen Messbetrieb. Die Schaltfrequenz kann beispielsweise zwischen 10 Hz und 10 kHz variieren. Auf diese Weise generiert das Sicherheitsmodul ein Fehlersignal, welches von dem üblichen Kurzschlusssignal oder einem Nullsignal der unterbrochenen Leitung unterscheidbar ist und somit spezifischer auf den aufgetretenen Ausfall der ersten Dichtung hinweist. An geeigneter Stelle, beispielsweise in einer Warte oder einem Leitstand ist ent¬ sprechend ein Detektor vorzusehen, welcher das Alarmsignal delektiert, und einen Alarm auslöst. Auch die beschriebene Alarmierungsschaltung mit der astabilen Kippstufe hat im normalen Messbetrieb keine Leistungsaufnahme, so dass sie für die Verwendung in einem Zweidraht-Messumformer geeignet ist. [037] Insoweit als der Kontaminationspfad im Sicherheitsmodul parallel zum Signalpfad verläuft, und die zweite Dichtung den Kontaminationspfad hermetisch dicht un¬ terbricht, kann das Sicherheitsmodul auch die Anforderungen für den Einsatz in explo- sionsgefährdeten Bereichen erfüllen. Für solche Ausgestaltungen des Sicher¬ heitsmoduls ist es erforderlich, dass nach der zweiten Dichtung keine Schaltelemente mehr vorgesehen sind, oder dass noch eine weitere Dichtung oder Flammendurch- schlagsperre vorgesehen ist, falls der nach der zweiten Dichtung noch Schaltelemente angeordnet werden. In einer weiteren Ausgestaltung des Sicherheitsmoduls für explosi- onsgefährdete Anwendungen erfüllt dieses die Anforderungen an eine Flammensperre bzw. Zündsperre im Sinne eines „conduit seal", demnach erübrigt sich dann der Einsatz einer nachgeordneten Zündsperre in einem verrohrten Signalpfad. Das gleiche gilt entsprechend für ggf. abschnittsweise parallel zum Signalpfad angeordnete sekundäre Schaltelemente deren Sekundärsignal, unter Umgehung der zweiten Dichtung dem Signalpfad zwischen der zweiten Dichtung und einer übergeordneten Einheit zugeführt werden sollen; auch in diesem Fall ist für den Einsatz in explosions- gefährdeten Bereichen eine Flammendurchschlagsperre oder eine hermetische Dichtung zwischen den sekundären Schaltelementen und dem Signalpfad zwischen der zweiten Dichtung und einer übergeordneten Einheit vorzusehen. [038] Das Sicherheitsmodul der zuvor beschriebenen Messanordnung ist insbesondere geeignet, um herkömmliche Messumformer nachzurösten. Die Erfindung stellt insoweit auch ein Sicherheitsmodul zum Anschließen an einen Messumformer mit einem Umformergehäuse bereit, wobei der Messumformer bestimmungsgemäß einen Signalausgang umfasst, um Messsignal über einen Signalpfad zu kommunizieren, welcher durch eine Öffnung des Gehäuses führt, wobei das Sicherheitsmodul umfasst: [039] ein Modulgehäuse, welches in seinem Inneren mindestens eine Modulkammer definiert, und welches eine umformerseitige erste Modulöffnung und eine zweite Mo¬ dulöffnung aufweist; [040] mindestens eine Dichtung, welche einen Kontaminationspfad durch das Mo¬ dulgehäuse unterbricht; [041] einen Signalpfadabschnitt, welcher an den Signalausgang des Messumformers an¬ schließbar ist, um das Messsignal durch das Sicherheitsmodul zu leiten, wobei das Mo¬ dulgehäuse derart mit dem Umformergehäuse dicht verbindbar ist, dass die erste Mo¬ dulöffnung mit der Öffnung im Umformergehäuse kommuniziert, so dass der Konta¬ minationspfad durch das Modulgehäuse mit einem Innenraum des Umformergehäuses kommuniziert; und [042] einen Leckdetektor, welcher einen Abschnitt des Kontaminationspfads überwacht der auf der dem Messumformer zugewandten Seite der Dichπang angeordnet ist. [043] Die Dichtung ist in einer derzeit bevorzugten Ausgestaltung druckfest und weist eine druckfeste und gasdichte elektrische Durchführung auf. [044] Hinsichtlich der weiteren Ausgestaltung des Sicherheitsmoduls als eigenständigem Produkt, welches insbesondere zur Verwendung mit der installierten Basis von Mes¬ sumformern vorgesehen ist, gelten die Erläuterungen zu dem Sicherheitsmodul der zuvor beschriebenen Messanordnung sinngemäß. [045] Die zuvor beschriebene Messanordnung mit dem Sicherheitsmodul betrifft ins¬ besondere die Nachrüstung von Messumformern. Der Grundgedanke eines Druck¬ schalters als Leckdetektor, welcher im normalen Messbetrieb des Messumformers keinerlei Energie verbraucht, lässt sich jedoch auch realisieren, durch einen Mes¬ sumformer mit: [046] einem Sensor zum Erfassen einer Messgröße eines Mediums, wobei der Sensor ein von der Messgröße abhängiges Primärsignal ausgibt; [047] einem Umformergehäuse, welches in seinem Inneren mindestens eine Kammer definiert, und welches eine medienseitige erste Öffnung und eine zweite Öffnung aufweist, wobei sich von der ersten Öffnung zur zweiten Öffnung ein einen Kontami¬ nationspfad erstreckt, der durch die mindestens eine Kammer verläuft; [048] einer ersten Dichtung in dem Umformergehäuse, welche den Kontaminationspfad unterbricht; [049] einer der ersten Dichtung nachgeordneten zweiten Dichtung in dem Umfor¬ mergehäuse, welche den Kontaminationspfad unterbricht; [050] einer elektronischen Schaltung, welche in der mindestens einen Kammer zwischen der ersten Dichtung und der zweiten Dichtung angeordnet ist, wobei die Schaltung das Primärsignal des Sensors verarbeitet und ein Ausgangssignal erzeugt, welches über einen Signalpfad ausgegeben wird, der durch die zweite Öffnung verläuft; und [051] einen Leckdetektor, einen Abschnitt des Kontaminationspfads zwischen der ersten Dichtung und der zweiten Dichtung überwacht, dadurch gekennzeichnet, dass der Leckdetektor bei Ausfall der ersten Dichtung den Signalpegel des Ausgangssignals der elektronischen Schaltung verändert. [052] Der Messumformer kann insbesondere ein Zweidrahtmessumformer oder ein Vier- drahtmessumformer sein, bei dem der Signalpfad über die Speiseleitung verläuft, und bei dem der Messwert durch einen Stromwert (4 ...20 mA) repräsentiert wird. [053] Das Verändern des Signalpegels erfolgt insbesondere direkt, d.h., unter Umgehung der elektronischen Schaltung. Der Leckdetektor kann insbesondere ein Druckschalter sein, welcher das Ausgangssignal unterbricht oder kurzschließt, oder dem Signalpfad ein anderes Alarmsignal aufprägt. [054] Die Erfindung wird nun anhand eines Ausführungsbeispiels in den Figuren gezeigten Ausführungsbeispiels näher erläutert. Es zeigt: [055] Fig. 1 einen Längsschnitt durch eine erfϊndungsgemäße Messanordnung; [056] Fig. 2 eine teilweise geschnittene räumliche Darstellung eines erfindungsgemäßen Sicherheitsmoduls; [057] Fig. 3 eine Explosionszeichnung des Sicherheitsmoduls aus Fig. 2; und [058] Fig. 4 einen Längsschnitt durch das Sicherheitsmodul aus Fign. 2 und 3. [059] Der Aufbau der erfindungsgemäßen Messanordnung wird anhand von Fig. 1 ver¬ deutlicht. Die Messanordnung umfasst einen Messumformer zum erfassen einer Pro¬ zessgröße, beispielsweise einer Temperatur. Der Messumformer 2 weist ein Gehäuse 20 auf, welches in seinem inneren eine Kammer 21 definiert, die über eine erste Öffnung 22 und eine zweite Öffnung 24 mit der Umgebung des Gehäuses verbunden ist. In der ersten Öffnung 22 ist ein Temperatursensor 27 angeordnet, welcher die Temperatur eines Mediums 32 in einem Behälter 30 einer Prozessanlage 3 erfasst. Der Messumformer 2 ist hierzu in der Behälteröffnung 31 des Behälters montiert. [060] Zwischen dem Temperatursensor 27 und der zylindrischen Wand der ersten Öffnung 22 des Gehäuses ist eine erste Dichtung 23 angeordnet, welche die Kammer 21 gegen das Eindringen des Mediums durch die erste Öffnung 22 abdichtet. Insoweit wird durch die erste Dichtung 22 ein Kontaminationspfadabschnitt aus dem Behälter 30 der Prozessanlage 3 in die Kammer 21 des Messumformers 2 unterbrochen. [061] In der Kammer 21 ist eine elektronische Schaltung 25 angeordnet, welche anhand eines Primärsignals des Temperatursensors 27 ein Ausgangssignal generiert, das den gemessenen Temperaturwert repräsentiert, beispielsweise durch Regelung des Speisestroms zwischen 4 und 20 mA. Das Ausgangssignal wird über einen Signalpfa¬ dabschnitt, der hier eine Zweidrahtleitung 26 umfasst, aus dem Gehäuse 20 geführt. [062] Bei Messanordnungen nach dem Stand der Technik könnte die Zweitdrahtleitung durch eine Verrohrung in eine Warte geleitet sein. Wenn bei einem solchen Aufbau nun die erste Dichtung 23 ausfällt kann ggf. das Prozessmedium durch die Kammer 21 und die Verrohrung bis in die Warte gelangen. Dies wird durch das Sicherheitsmodul 1 vermieden. Welches erstens den Kontaminationspfad mit einer weiteren Dichtung un¬ terbricht und zweitens den Ausfall der ersten Dichtung erkennt und signalisiert. D.h., es wird verhindert, dass nach dem Versagen der ersten Dichtung 23 das Medium unbemerkt an die zweite Dichtung und nach deren Ausfall letztlich in die Warte gelangen kann. [063] Das Sicherheitsmodul 1 umfasst ein Modulgehäuse 10 welches eine Modulkammer 11 definiert, die durch eine Trennwand 13 geteilt ist, in welcher elektrische Durch¬ führungen 17 druckdicht angeordnet sind. Die Trennwand 13 mit den abgedichteten Durchführungen und ggf. vorgesehenen Dichtungen zwischen der Trennwand und dem Modulgehäuse dient als zweite Dichtung im Sinne der Erfindung. Die Trennwand, die Durchführungen und das Modulgehäuse' sind vorzugsweise so dimensioniert, dass sie dem Berstdruck des Umformergehäuses 20 standhalten. [064] Durch das Modulgehäuse 10 erstreckt sich der Signalpfad, wobei durch eine erste Modulgehäuseöffnung 12 die Zweidrahtleitung vom Messumformer 2 in das Mo¬ dulgehäuse 10 geführt wird, und über die elektrischen Durchführungen 17 mit der Speiseleitung 16 verbunden ist, die durch eine zweite Modulgehäuseöffnung 14 in das Modulgehäuse 10 geführt wird. Im der Modulkammer 11 des Modulgehäuses 10 ist weiterhin ein Druckschalter 15 angeordnet, welcher die Zweidrahtleitung kurzschließt, wenn der Druck in der Modulkammer über einen Grenzwert ansteigt. Durch den Kurzschluss übersteigt der Signalstrom den zur Übertragung von Messwerten vor¬ gesehenen Bereich (4 ... 20 mA) und signalisiert somit einen Fehler. [065] Weitere Einzelheiten zur derzeit bevorzugten Ausführungsform des Sicher¬ heitsmoduls werden nun anhand der Fign.2 - 4 erläutert. [066] Das Modulgehäuse 10 hat zumindest abschnittsweise einen zylindrischen oder ke- gelstumpfförmigen Aufbau. Es weist ein druckbeständiges Material, vorzugsweise einen metallischen Werkstoff wie Edelstahl auf. Es umfasst einen ersten Gehäu¬ seabschnitt 101 und einen zweiten Gehäuseabschnitt 102 welche miteinander druckdicht verschraubt werden können. Zur Abdichtung ist zwischen den Gehäuseab- schnitten ein Dichtring 105 vorgesehen. In dem ersten Gehäuseabschnitt 101 ist die Trennwand 13 angeordnet. Die Trennwand 13 umfasst eine Wandplatte 130, in der durchgehende axiale Bohrungen 132 für die druckfesten und gasdichten elektrischen Durchführungen 17 vorgesehen sind. Von der Wandplatte 130 erstreckt sich in axialer Richtung eine zylindrische Hülse 131. Die Trennwand 13 wird mit der Hülse 131 voraus in dem erste Gehäuseabschnitt 101 montiert, wobei zwischen der einen Man¬ telfläche der zylindrischen Hülse 131 und der Wand des Gehäuseabschnitts 101 ein Spalt gebildet wird, der so bemessen ist, dass er als Flammendurchschlagsperre dient. Die Trennwand 13 kann beispielsweise in den ersten Gehäuseabschnitt 101 ein¬ geschraubt oder nur eingesetzt werden, wobei die axiale Sicherung dann beispielsweise durch Schweißpunkte oder durch eine Abstützung gegen den aufgeschraubten zweiten Gehäuseabschnitt 102 erfolgen kann. Zwischen der Mantelfläche der Wandplatte 130 und der Innenwand des ersten Gehäuseabschnitts 101 ist ein Dichtring 104 vorgesehen, der an dafür vorgesehenen Anschlagflächen radial und/oder axial eingespannt ist. [067] Die bei diesem Beispiel vorgesehenen vier elektrischen Durchführungen 17, die bei der Montage des Sicherheitsmodul in den Bohrungen 132 durch die Wandplatte 130 druckdicht befestigt werden, sind an einer Platine angeordnet, welche den Druckschalter 15 trägt. Die Anschlüsse des Druckschalters sind solchermaßen mit den elektrischen Durchführungen verbunden, dass bei überschreiten eines Druck¬ grenzwertes, die Durchführungen 17, über welche der Signalstrom geführt wird, kurz¬ geschlossen werden. Auf der dem Druckschalter abgewandten Seite der Wandplatte 130 ist ein Klemmenblock 161 an die elektrischen Durchführungen 17 angeschlossen, der Anschlussbuchsen für vier Adern aufweist, so dass das neben Zweidrahtleitungen 16, auch Vierdrahtleitungen angeschlossen werden können. Soweit erforderlich, können Widerstände zur Strombegrenzung vorgesehen sein. [068] In einer alternativen Ausgestaltung ist ein Steckverbinder vorgesehen, der den üblichen Anschlusstechnik bei Profibus PA oder Foundation Fielbus Anschlüssen genügt.