Emergency Shut Down – „Partial Stroke Test” ohne Gefahr

Sonderdruck aus

„atp – Automatisierungstechnische Praxis”

Jahrgang 48 · Heft 5 · 2006

Verfasser:

Dipl.-Ing. Ulrich Schulz, SAMSON AG

SAMSON

Sonderdruck aus „atp – Automatisierungstechnische Praxis” · Jahrgang 48 · Heft 5 · 2006 3

Emergency Shut Down – „Partial Stroke Test” ohne GefahrDipl.-Ing. Ulrich Schulz, SAMSON AG

„Voilà“, wird sich der Betreiber sagen, „damit ist meine Anlage für den Ernstfall gerüstet und funktioniert sicher, wann immer auch dieser schlimme Tag X kommen mag“, wenn die Not fall-einrichtung gebraucht wird. Doch so einfach ist die Sache nicht. Welches sind die Randbe-dingungen für solch einen Test? Findet nun so ein „Partial Stroke Test“ statt, so darf der laufende Prozess durch das teilweise Verfahren der Sicherheitsarmatur nicht gefährdet werden. Das ist das oberste Gebot! Doch wo sind die Gefahren im Detail? Wurde eine Armatur lange Zeit nicht bewegt, so wird sie sich nicht leicht verfahren lassen. Ein Aufbringen von hohen Kräften wird eventuell von Nöten sein, so dass sich die Stellarmatur, wenn sich nun die Blockade löst, viel zu weit bewegt. Aber ein plötzliches Verfahren des Hubes über/unter einem gewissen Wert ist auf alle Fälle zu unterbinden, um den laufenden Prozess nicht zu gefährden. Diese Gegensätze gilt es unter ei-nen Hut zu bringen und zwei Fliegen mit einer Klappe zu schlagen: zum einen die sichere Funktion der Sicherheitsarmatur zu gewährleisten, zum anderen ein hohe Sicherheit zu garan-tieren, den Prozess nicht zu beeinträchtigen.Welche technischen Möglichkeiten der neu entwickelte Stel-lungs regler der SAMSON AG bietet, um solche schwierigen ESD-Anwendungen sicher in den Griff zu bekommen, soll in diesem Bericht gezeigt werden.

Der ESD-Test (Hand-/Automatik-Test):Bei dem ESD-Test geht es darum, die Armatur partiell zu be-wegen. Bewegt sie sich um ein Stück, so kann man davon

ausgehen, dass sie auch vollständig schließen wird. Die ma-thematische Beschreibung hierfür kann der Literatur entnom-men werden [1-4].Welcher Sprung aus Anwendersicht ausreichend ist, um das sichere Schließen zu gewährleisten, kann mit der Sprunghöhe parametriert werden. Je nach Anwendung, Produkt und Stell-glied braucht man mehr oder weniger Hub bzw. Drehwinkel, um ein sicheres Bewegen für den Ernstfall zu gewährleisten. Der Stellungsregler hat zwei grundsätzliche Betriebsmodi für den Test: • ESD-Hand und • ESD-Automatik.

Im Hand-Modus muss der Test immer vom Anwender ausgelöst werden. Dann kann der Betreiber das Stellglied vor Ort beob-achten und kontrollieren. Bewegt es sich nicht wie gewollt, so kann eingegriffen und Schlimmeres verhindert werden. In der Betriebsart „Automatik“ führt der Stellungsregler selbst-ständig den „Partial Stroke Test“ aus. Die Zeit, in welchen Inter-vallen die Tests wiederholt werden sollen, kann vom Anwender parametriert werden. Dieses hat den entscheidenden Vorteil, dass der Anwender mit Wartungsintervallen entlastet ist, in de-nen er die ESD-Armatur von Zeit zu Zeit kontrollieren müsste. Der Regler übernimmt alles, ohne ein Wartungsintervall zu ver-gessen. Doch kein Vorteil ohne Nachteil: Führt der Stellungs-regler einen Test selbstständig aus, so ist keine Person vor Ort, welche eingreifen könnte, falls sich das Stellglied nicht nach Spezifi kation verhält.

Ventile in verfahrenstechnischen Anlagen arbeiten zuverlässig und verrichten über große Zeitspannen hinweg ihre Aufgaben. Daneben fi nden sich Absperrarmaturen, die nur im Notfall betätigt werden. Sie verharren die ganze Zeit über in einer Endlage und lauern auf einen Ernstfall. Tritt dieser Ernstfall ein, so muss sich die Armatur bewegen und in die entsprechende gewünschte Lage verfahren. Passiert dies nicht, so ist der Prozess in Gefahr und Schlimmeres kann eventuell nicht verhindert werden. Daraus folgt, dass die sichere Funktion der Armatur eine Art „Versicherung“ für die gesamte Anlagen sicherheit ist. Da diese Armatur im Normalfall nicht gebraucht wird, gibt es auch keine Aussage über deren Funktion bis zum Zeitpunkt des Ernstfalls.Ein Ausweg aus diesem Dilemma ist der so genannte „Partial Stroke Test“, den ein neu entwickelter Stellungsregler von SAMSON wirksam durchführen kann. Dieser verfährt die Armatur von Zeit zu Zeit in einem einstellbaren Zeitintervall über eine parame-trierbare Hubhöhe. Dieses Verfahren hat zwei Vorteile:• Bewegt sich die Armatur ohne Schwierigkeiten über ein Teil des Hubbereichs, so kann man die Aussage ableiten, dass es sehr

wahrscheinlich ist, dass sie sich die Armatur auch über den ganzen Bereich verfahren lässt. • Frei nach dem Motto „Wer rastet, der rostet“, ist die Funktion einer Armatur sicherer, wenn sie von Zeit zu Zeit bewegt wird.

Durch die Bewegung wird die Armatur von Abla gerungen befreit, die durch ein schwieriges Produkt entstehen können.

Sonderdruck aus „atp – Automatisierungstechnische Praxis” · Jahrgang 48 · Heft 5 · 20064

Für dieses Szenario enthält der Stellungsregler spezielle Funk-tionalitäten, die ein Höchstmaß an Sicherheit gewährleisten, ohne dass durch Personal der Test an der Armatur überwacht werden muss. Diese Eingreiffunktionalität agiert sehr viel schneller als Wartungspersonal vor Ort. Der Mikrokontroller im Stellungsregler, welcher den Test überwacht, arbeitet im Millisekundenbereich, was jede noch so schnell eingreifende Person vor Ort langsam aussehen ließe.Um den „Partial Stroke Test“ sicherer zu machen, wurden zwei Funktionen im Stellungsregler integriert, um eine hohe Prozesssicherheit für die Anlage zu gewährleisten. Wie diese Funktionen arbeiten und was mit ihnen möglich ist, soll nun im weiteren vorgestellt werden.

ESD-Abbruchbedingung Y:Will man das Stellglied überwachen, damit ein Befüllen bzw. ein völliges Entlüften eines klemmenden Antriebes vermieden wird, so muss das Stellsignal überwacht werden. Der Stellungs-regler Typ 3730 regelt über einen PD-Algorithmus, wobei der D-Anteil eine sehr hohe Verstärkung aufweist. Dieses macht eine Stellgrößenüberwachung unmöglich, da das Stellsignal durch diesen hohen D-Anteil schon bei kleinen Sprüngen meist in die Sättigung getrieben wird.Gelöst wurde dieses Problem über eine Rampenfunktion. Der Testsprung des „Partial Stroke Test“ wird über eine Rampe ver-schliffen und verläuft so nur mit geringer Geschwindigkeit. Dadurch ändert sich die Führungsgröße w(t) zeitlich nur sehr

wenig ( 0/)( ≈∂∂ ttw ), und in Folge dominiert der D-Anteil nicht das Stellsignal. Man könnte den D-Anteil stattdessen auch abschalten, jedoch würde dann der Stellungsregler zu träge bei einer auftretenden Störung reagieren. Ein weiterer Grund, wel-cher gegen die Abschaltung des D-Anteils spricht, ist, dass sich der Regelkreis durch die geänderte Regler einstellung aufschwin-gen könnte, dadurch wäre wieder der Prozess in Gefahr. Der mathematische Zusammenhang stellt sich dabei wie folgt dar:Regeldifferenz des Reglers:

)()()( txtwte −=

PD-Regler:

⎥⎦⎤

⎢⎣⎡

∂∂+=tteTteKty DP)()()(

mit: 0/)( ≈∂∂ ttw durch die eingesetzte Rampe für den Sprung und einen funktionierenden Regelkreis vorausgesetzt, der schneller folgt als die eingestellte Rampenzeit:

[ ] 0)()( ≈∂−∂t

txtw

Damit hängt das Stellsignal y(t) im Wesentlichen nur noch von der Regeldifferenz e(t) ab, vorausgesetzt die offene Kreisverstärkung ist sehr groß:

[ ])()( teKty P≈

Bild 1: Verlauf eines Tests mit Y-Überwachung bei intakter Armatur

Sonderdruck aus „atp – Automatisierungstechnische Praxis” · Jahrgang 48 · Heft 5 · 2006 5

Ist der Antrieb nun blockiert, so steigt die Regeldifferenz e(t) an. Somit kann anhand der Größe des Stellsignals y(t) die Fehlfunktion erkannt werden.Wird nun ein Sprung über eine Rampe gefahren, so sind die Änderungen im Stellbereich sehr gering. Tritt eine Störung auf, z. B. ein klemmender Antrieb, so greift der Regler mit aller Macht ein und nutzt den ganzen Stellbereich aus. Somit kann das Stellsignal mit einer Grenze überwacht werden, während man durch diese einen direkten Aufschluss über den Zustand der Armatur erhält.Die Rampenzeit wird vom Stellungsregler anhand der physi-kalischen Laufzeiten der Anordnung automatisch vorgeschla-gen. Dieses ist jedoch nur als Vorschlag zu sehen und kann vom Anwender noch individuell verändert werden. Vor der Aktivierung der Stellsignalüberwachung muss der Anwender einen „Partial Stroke Test“ durchführen, um die phy-si ka lischen Gegebenheiten anhand eines Referenzlaufs einzu-messen. Dabei wird das minimale Stellsignal (Ymin) ermittelt und als „Y Überwachung Min“ auf dem Display oder in den Oberfl ächen dargestellt. Wie das nachfolgenden Beispiel zeigt, wurde für Ymin 3106 1/s ermittelt (siehe Bild 1).Um die Abbruchbedingung in Stellgröße Y zu aktivieren, muss die Y- Überwachung aktiviert werden. Der Ymin-Wert muss mit einer Sicherheit als Überwachungswert eingetragen werden. In diesem Beispiel wurde 2500 1/s verwendet (Sicherheit 606 1/s). Der ESD-Test muss in der Oberfl äche aktiviert werden. Im vorliegenden Beispiel ist die ESD-Funktion auf „Auto“ gestellt, dadurch wird je nach eingestellter Zeit das Ventil zyklisch getestet. Im Screenshot ist auch zu erken-nen, dass der Ymin-Wert stochastisch ist und in Normalfall immer ein wenig schwankt (siehe gelbe Kurve Stellsignal Bild 1). Ist die Abbruch bedingung in Y aktiviert, wird ein klemmender Antrieb bei einem Partial Stroke Test erkannt.Fällt nun Y unter den eingestellten Überwachungswert, wie dies bei einem klemmenden Antrieb der Fall ist, so bricht der Test ab. So kann vermieden werden, dass der Antrieb voll-ständig entlüftet wird. Dieses hätte nämlich zur Folge, dass das Ventil bei einem Losbrechen der Blockade in die Endlage fährt und somit den Prozess gefährdet. Dieses gilt es aber a priori durch den intelligenten ESD-Stellungsregler zu vermei-den. Der Stellungs regler erkennt die Blockade und bricht den Test sofort ab, ohne den Prozess zu gefährden.Ein gescheiterter Test wird mit einem „fail“-Symbol unter Status ESD Test angezeigt.

Abbruch in XWenn Armaturen länger still stehen, kann es sein, dass sie festgeklebt sind. Grund dafür können, wie schon erwähnt,

schwierige Produkte z. B. Kaugummi, Kleber, Lacke etc. sein. Dadurch ist es kaum möglich, eine Abbruchbedingung an-hand von y(t) aufzubauen, da der volle Stelldruckbereich be-nötigt wird, um die Blockade der Armatur zu lösen. Eine Überwachung anhand von y(t), wie im letzten Abschnitt ge-zeigt, scheidet somit aus. Doch wie kann eine Armatur er-kannt werden, die festgefahren ist? In einem solchen Fehlerfall weist die Armatur eine sehr hohe Haftreibung auf. Wird nun ein kleiner Sprung mit einem Partial Stroke Test vorgegeben, so kann folgendes passieren: löst sich die Armatur aus ihrer festgefahrenen Position, so bricht sie schlag artig los und schießt über den gewünschten Sprung hin-aus. Denn die nunmehr aufgebrachten höheren Antriebskräfte werden nach Lösen der Armatur plötzlich nicht mehr benötigt, was Fol gen hat: Dieses erschließt sich im Überschießen des X–Signals (siehe Bild 2). Wie weit sie zufährt, bei gleichem vorgegebenen Sprung, ist ein indirektes Maß dafür, wie sehr sie festgeklebt war. Ein mechanisches System setzt in den sel-tensten Fällen schlagartig ganz aus. Vielmehr wird es schlei-chend seine gewohnten Eigenschaften verlieren. So wird eine Armatur, die zum Klemmen bzw. Fest backen neigt, immer stär-ker klemmen und somit auch immer mehr im Testsprung über-schießen. Dadurch ist die Über wachung in X ein gutes Kriterium zum Aufschluss auf die Funk tions sicherheit der Armatur und somit ein Maß für die War tung.Das Bewegen des Antriebs bis ca. 75 %, wie das Diagramm sug geriert, ist kein echtes Bewegen. Durch die blockierende Armatur werden sehr hohe Kräfte vom Antrieb auf den Drossel körper in der Rohrleitung aufgebracht. Da diese Kraftver bin dung elastisch ist und die Bewegung nahe am Antrieb gemessen wird, kann der Stellungsregler eine Be we-gung erkennen. Die vermessene Anordnung (in Bild 2) ist ein Drehantrieb mit einer Klappe; die Position des Stellungsreglers wird an der Welle gemessen. Die Klappe klemmt so hart im Anschlag, dass sich die Welle elastisch tordiert. Ist die Torsion und die damit entstehende Kraft groß genug, so bricht die Klappe los.

Bild 2: Losbrechen eines festgefahrenen Antriebs

Sonderdruck aus „atp – Automatisierungstechnische Praxis” · Jahrgang 48 · Heft 5 · 20066

Damit der Betreiber auch einen solch schweren Fall überwa-chen und dennoch eine zuverlässige Aussage über seine Stellarmatur fällen kann, wurde eine Abbruchbedingung in X eingebracht, mit deren Hilfe festgelegt wird, wie weit bei ei-nem Partial Stroke Test die Position sich absenken darf, damit der Test noch gültig ist. Wird dieses X nun unterschritten, so ist der ESD-Test ungültig und die Stellarmatur muss gewartet werden. In Bild 3 ist eine mögliche Einstellung gezeigt, um ein solches Verhalten zu detektieren.

Das „fail“-Symbol verdeutlicht im Parameter „Status ESD Test“, dass der Test nicht erfolgreich war. Die Ursache sowie die genauen charakteristischen Messwerte für den Abbruch kön-nen im Order „Datenlogger“ eingesehen werden.

ZusammenfassungEmergency Shut Down-Anwendungen sind normale Anwen-dungen in der verfahrenstechnischen Industrie. Da diese für die Sicherheit der Anlage im Fehlerfall zuständig sind, müssen sie zuverlässig funktionieren. Diese Funktionalität gilt es mit zy-klischen „Partial Stroke Tests“ sicher zu stellen. Dabei muss dem Anwender die Furcht genommen werden, dass diese lange Zeit nicht genutzten Ventile durch den Test schlagartig schließen und den laufenden Prozess gefährden. Gelöst wird dieses Problem durch einen neu entwickelten Stellungs regler. Er be-sitzt zwei automatische Verfahren, welche sicherstellen, dass der laufende Prozess trotz Testdurchlauf möglichst unbeein-

Bild 3: Abbruchbedingung in X zum Überwachen eines Antriebes

Dipl.-Ing. Ulrich Schulz (38) machte eine Lehre zum Mess- und Regelmechaniker bei BASF Ludwigshafen. Nach Abschluss war er dort mehrere Jahre in der War-tung beschäftigt und somit für die Automa ti sie rungs-technik von verfahrenstechnischen Anlagen mit verant-wortlich. Danach studierte er an der Universität Pader-born Elektrotechnik, Fachrich tung Auto matisie rungs-tech nik. Seit dem Abschluss ist er in der SAMSON AG als Entwicklungs ingenieur mit Schwerpunkt Stellungs-reglerentwicklung beschäftigt.

Anschrift: SAMSON AG, Mess- und Regeltechnik, Weismüllerstraße 3, 60314 Frankfurt am Main,Telefon: 069 4009-1663, E-Mail: uschulz@samson.de

Literatur[1] William L. Mostia Jr.: Ins and Outs of Partial Stroke Testing; 9/2001[2] William L. Mostia Jr.: Testing of SIS Valves[3] William L. Mostia Jr.: Partial Stroke Testing SIMPLE OR NOT?; 11/2003

CONTROL[4] Angela Summers, Bryan Zachary: Partial-Stroke Testing of Safety

Block Valves ; 1/2000 SIS-TECH Solutions

fl usst bleibt. Die zwei Verfahren „Y-Über wa chung“ und „X–Über wachung“ bieten durch ihre Para metrierung eine indivi-duelle Anpassung an die entsprechenden Gegebenheiten der Anlage. Ein „Partial Stroke Test” ist dadurch mit geringer Gefahr für den laufenden Prozess möglich.Der Stellungs regler Typ 3730 mit ESD, auf den sich der Fachbericht bezieht, wird in Kürze bei der SAMSON AG er-hältlich sein.

SAMSON AG · MESS- UND REGELTECHNIK · Weismüllerstraße 3 · 60314 Frankfurt am Main Telefon: 069 4009-0 · Fax: 069 4009-1507 · E-Mail: samson@samson.de · Internet: http://www.samson.de 20

06-0

7 D

R · W

A 1

77 D

E