-
Die Erfindung bezieht sich auf ein Verfahren zum sicheren Betreiben einer Anlage der Prozess- und/oder Automatisierungstechnik sowie auf ein Computerprogrammprodukt.
-
Um die Sicherheit einer Anlage der Prozess- und/oder Automatisierungstechnik, wie bspw. in einer industriellen Umgebung, zu gewährleisten, sind Sicherheitsfunktionen erforderlich, die den Betrieb der Anlage entsprechend den Vorgaben des Anlagebetreibers überwachen. Um wiederum die Zuverlässigkeit dieser Sicherheitsfunktion(en) zu gewährleisten, ist es erforderlich auch diese Sicherheitsfunktionen zu überprüfen. Zu diesem Zweck wird eine sicherheitsgerichtete Funktion ausgeführt, die die Zuverlässigkeit der Sicherheitsfunktion überprüft oder durch die die Zuverlässigkeit der Sicherheitsfunktion überprüft wird. Die kann bspw. durch Ausführen der Sicherheitsfunktion erfolgen.
-
Bei einer Sicherheitsfunktion kann es sich bspw. um eine Störfallanzeige handeln, die einen in der Anlage aufgetreten Störfall anzeigt, d.h. einem Benutzer signalisiert.
-
Entsprechende Vorschriften für die in einer industriellen Anlage zur Anzeige einer Fehlfunktionen oder Störung geltenden Anforderungen sind in den Normen IEC 61511 bzw. IEC 61508 festgelegt.
-
Entsprechend diesen Anforderungen ist bspw. ein regelmäßiger Test der Sicherheitsfunktionen einer Anlage erforderlich, damit dieser Anlage ein bestimmtes Sicherheitslevel zugesprochen wird. Die Erfüllung des Sicherheitslevels ist u.a. auch für den Anspruch auf Gewährleistungsansprüche, die durch den Ausfall der Anlage auftreten können, erforderlich.
-
Der Erfindung liegt somit die Aufgabe zugrunde, die Einhaltung des Sicherheitslevels zu gewährleisten, bzw. die rechtzeitige Ausführung der sicherheitsgerichteten Funktion zu ermöglichen.
-
Die Aufgabe wird erfindungsgemäß durch ein Verfahren und ein Computerprogrammprodukt gelöst.
-
Hinsichtlich des Verfahrens wird die Aufgabe durch ein Verfahren zum sicheren Betreiben einer Anlage der Prozess- und/oder Automatisierungstechnik gelöst, wobei eine sicherheitsgerichtete-Funktion ausgeführt wird, die dazu dient, die Zuverlässigkeit einer Sicherheitsfunktion, insbesondere die Ausfallsicherheit, der Anlage bzw. eines Teils der Anlage, insbesondere eines Sicherheitskreises der Anlage, zu bestimmen, wobei die seit der Durchführung der sicherheitsgerichteten Funktion vergangene Zeit auf einer graphischen Benutzeroberfläche dargestellt wird, oder/und wobei die bis zur nächsten planmäßigen Ausführung der sicherheitsgerichteten Funktion verbleibende Zeit auf einer graphischen Benutzeroberfläche dargestellt wird, und/oder wobei die Zeit, um die die Ausführung der sicherheitsgerichteten Funktion gegenüber der planmäßigen Ausführung überschritten wurde, auf einer graphischen Benutzeroberfläche dargestellt wird.
-
Dadurch wird es einem Benutzer ermöglicht, die erforderliche Durchführung der sicherheitsgerichteten Funktion rechtzeitig vorzunehmen und insbesondere auf den in der Anlage ablaufenden Prozess abzustimmen. Die Sicherheitsgerichtete Funktion dient also dazu, die Sicherheitsfunktionen zu überprüfen. Dafür werden die Sicherheitsfunktionen wie bspw. das Schalten eines Kontakts, der zur Erzeugung eines optischen oder akustischen Signals dient, ausgeführt und so die fehlerfreie Funktion der Sicherheitsfunktion überprüft. Die sicherheitsgerichtete Funktion kann dabei das Darstellen der Zeit seit der letzten Durchführung, der Zeit bis zur nächsten Durchführung und/oder die Zeit, die seit der letzten planmäßigen Durchführung verstrichen ist, jedoch die sicherheitsgerichtete Funktion nicht ausgeführt wurde, als Unterfunktion enthalten.
-
Da die Durchführung der sicherheitsgerichteten Funktion die Überwachung der Anlage durch die Sicherheitsfunktion unterbricht, kann es erforderlich sein, die sicherheitsgerichtete Funktion auf den in der Anlage ablaufen Prozess abzustimmen. Durch die Anzeige der o.g. Zeit bzw. Zeitspanne kann ein Benutzer entweder den Prozess und/oder die Ausführung der sicherheitsgerichteten Funktion entsprechend auf einander abstimmen.
-
Insbesondere bei sog. FailSafe-, also ausfallsicheren, Geräten bzw. Systemen muss wiederkehrend ein Funktionstest der Sicherheitsfunktion durchgeführt werden. Es ist eine Idee der vorliegenden Erfindung die verbleibende Zeit bis zum nächsten Funktionstest (durch die sicherheitsgerichtete Funktion) anzuzeigen bzw. zu warnen, wenn diese Zeit überschritten ist, ohne dass ein Test, d.h. die sicherheitsgerichtete Funktion, durchgeführt wurde.
-
Die Zeit bzw. Zeitspanne kann entweder durch Angabe von Zahlen und/oder von sonstigen Symbolen und/oder der Verwendung von Farben bzw. der Verwendung eines Farbwechsels, bspw. der Benutzeroberfläche oder nur eines Elements der Benutzeroberfläche, erfolgen.
-
Ein Benutzer wie bspw. der Analgenbetreiber wird somit auf einfache Weise über den Sicherheitsstatus des Systems bzw. der Anlage informiert. Ferner wird das Vergessen eines Funktionstests verhindert und/oder die Wahrscheinlichkeit dafür reduziert und somit die Anlagensicherheit erhöht. Zudem kann durch das Protokollieren und Speichern der Ergebnisse der wiederkehrenden Funktionstests die Nachvollziehbarkeit gewährleistet werden.
-
In einer Ausgestaltung des Verfahrens handelt es sich bei der sicherheitsgerichteten Funktion um einen Funktionstest der Sicherheitsfunktion der Anlage bzw. eines Teils der Anlage, insbesondere eines Sicherheitskreises der Anlage.
-
In einer weiteren Ausgestaltung des Verfahrens wird eine Warnung ausgegeben, wenn die Zeitspanne bis zum nächsten planmäßigen Ausführen der sicherheitsgerichteten Funktion überschritten wurde. Die Warnung kann bspw. über die Benutzeroberfläche oder entsprechende in der Anlage befindliche optische und/oder akustische Signalelemente erfolgen.
-
In einer weiteren Ausgestaltung des Verfahrens ist die Zeit zwischen zwei Ausführungen der sicherheitsgerichteten Funktion im Wesentlichen konstant.
-
In einer weiteren Ausgestaltung des Verfahrens ist die Zeit zwischen zwei Ausführungen der sicherheitsgerichteten Funktion einstellbar.
-
In einer weiteren Ausgestaltung des Verfahrens wird die Zeit zwischen zwei Ausführungen der sicherheitsgerichteten Funktion in Abhängigkeit der in der Anlage verwendeten Betriebsmittel, wie bspw. Sensoren und/oder Aktoren und/oder Steuerungselemente, vorgegeben.
-
Die Zeit zw. zwei Tests kann also fix vorgegeben oder einstellbar sein. Fernern kann nach einem erfolgreich durchgeführten Test die Zeit manuell oder automatisch zurückgesetzt werden.
-
In einer weiteren Ausgestaltung des Verfahrens wird die Zeit zwischen zwei Ausführungen der sicherheitsgerichteten Funktion in Abhängigkeit der Sicherheitsanforderungsstufe SIL der Betriebsmittel der Anlage bzw. eines Teils der Anlage, insbesondere in einem Sicherheitskreis der Anlage, vorgegeben. Entscheidend für den SIL eines Sicherheitskreises ist nämlich nicht die Bewertung des SIL der einzelnen Komponenten, sondern der PFD-Wert (Ausfallwahrscheinlichkeit im Anforderungsfall) des Sicherheitskreises. Die Ausfallwahrscheinlichkeit ergibt sich aber nicht durch SIL-Einstufung von Einzelkomponenten, sondern (im einfachsten Fall) als Summe der Ausfallwahrscheinlichkeiten von Sensor, Aktor und Auswerteeinheit. Die gesamte Ausfallwahrscheinlichkeit bestimmt dann den SIL des Sicherheitskreises.
-
In einer weiteren Ausgestaltung des Verfahrens wird die Zweit zwischen zwei Ausführungen der sicherheitsgerichteten Funktion in Abhängigkeit der Sicherheitsanforderungsstufe SIL der Anlage bzw. eines Teils des Anlage, insbesondere eines Sicherheitskreises der Anlage, vorgegeben.
-
In einer weiteren Ausgestaltung des Verfahrens liefert die Ausführung der sicherheitsgerichteten Funktion ein positives oder negatives Ergebnis liefert, welches Ergebnis in einer Speichereinheit gespeichert wird. Vgl. dazu 5 der Figurenbeschreibung in der die Überprüfung der Sicherheitsfunktion mit positivem Ergebnis in Form von Häkchen dargestellt sind. Dadurch kann die erfolgreiche Durchführung bzw. die nicht oder nicht rechtzeitig erfolgte Durchführung des Funktionstest insbesondere automatisch geloggt, d.h. gespeichert, werden und bspw. im Schadensfall zur Beweisführung herangezogen werden.
-
In einer weiteren Ausgestaltung des Verfahrens wird die sicherheitsgerichtete Funktion von einer Steuerung- und/oder Regeleinheit zur Steuerung und/oder Regelung der Anlage bzw. eines Teils der Anlage, insbesondere eines Sicherheitskreises der Anlage, durchgeführt.
-
In einer weiteren Ausgestaltung des Verfahrens wird das Ergebnis der sicherheitsgerichteten Funktion, bspw. in Form einer SMS, an einen Benutzer übertagen. Dies kann bspw. vermittels einer in der Anlage vorhandenen Steuereinheit, die über ein entsprechendes Übertragungsmodul verfügt, erfolgen.
-
In einer weiteren Ausgestaltung des Verfahrens wird die sicherheitsgerichtete Funktion durch einen Benutzer, insbesondere durch eine Benutzereingabe, ausgelöst.
-
In einer weiteren Ausgestaltung des Verfahrens wird die sicherheitsgerichtete Funktion unabhängig voneinander für unterschiedliche Sicherheitskreise der Anlage durchgeführt, wobei ein Sicherheitskreis aus mehreren Betriebsmitteln zum Steuern und/oder Regeln der Anlage, insbesondere zumindest einen Sensor, ein Steuerelement und/oder einen Aktor umfasst, vorzugsweise daraus besteht.
-
Hinsichtlich des Computerprogrammprodukts wird die Aufgabe durch ein Computerprogrammprodukt mit Programmcodemitteln gelöst, welche Programmcodemittel, wenn sie ausgeführt werden, zur Durchführung des Verfahrens nach einem der genannten Ausführungsformen dienen. Die Programmcodemittel können bspw. auf einem Datenträger gespeichert sein. Ferne können die Programmcodemittel bzw. das Computerprogrammprodukt in die Steuerung, insbesondere die Steuereinheit, einer Anlage integriert sein. Bei den Programmcodemitteln kann es sich ferner um eine Programmiersprache, wie bspw. die Programmiersprache C, handeln, vermittels derer das vorgeschlagene Verfahren implementiert ist.
-
Die vorgeschlagene Erfindung kann bevorzugt in den angesprochenen sog. FailSafe-Systemen, d.h. einer FailSafe-Anlage, FailSafe-Feldgeräte und/oder FailSafe-Transmittern verwendet werden.
-
Die Erfindung wird anhand der nachfolgenden Zeichnungen näher erläutert.
-
Es zeigt:
-
1: eine schematische Darstellung einer Anlage der Prozessautomatisierungstechnik, welche Anlage einen Sicherheitskreis und Signalelemente umfasst,
-
2: eine erste Darstellung auf einer graphischen Benutzeroberfläche zur Bedienung einer Anlage der Prozess- und/oder Automatisierungstechnik, auf welcher Benutzeroberfläche einer Anzeige der verbleibenden Zeit bis zur nächsten geplanten Durchführung der sicherheitsgerichteten Funktion „proof test“ dargestellt ist,
-
3: eine zweite Darstellung auf einer graphischen Benutzeroberfläche zur Bedienung einer Anlage der Prozess- und/oder Automatisierungstechnik, auf welche Benutzeroberfläche eine Anzeige der seit der letzten planmäßigen Durchführung der sicherheitsgerichteten Funktion „proof test“ überschrittenen Zeit dargestellt ist,
-
4: eine dritte Darstellung auf einer graphischen Benutzeroberfläche zur Bedienung einer Anlage der Prozess- und/oder Automatisierungstechnik, auf welcher eine Anzeige der bis zur nächsten geplanten Durchführung der sicherheitsgerichteten Funktion „proof test“ verbleibenden Zeit dargestellt ist,
-
5: eine vierte Darstellung auf einer graphischen Benutzeroberfläche zur Bedienung einer Anlage der Prozess- und/oder Automatisierungstechnik, auf welcher Benutzeroberfläche ein Protokoll der sicherheitsgerichteten Funktion und auch die bis zur nächsten planmäßigen Durchführung der sicherheitsgerichteten Funktion „proof test“ verbleibende Zeit dargestellt ist.
-
1 zeigt eine schematische Darstellung einer Anlage der Prozessautomatisierungstechnik. Ein Sensor S1 und ein Aktor A1 sind dabei mit einer Steuereinheit T1, bei der es sich bspw. um eine sog. speicherprogrammierbare Steuerung SPS handeln kann, verbunden. Die von dem Sensor S1 aufgenommenen Messwerte können von dem Sensor S1 an die Steuereinheit T1 übertragen werden und dienen dort zur Steuerung und/oder Überwachung des in der Anlage ablaufenden Prozesses. In Abhängigkeit der von dem Sensor S1 gelieferten Daten kann bspw. der Aktor A1, bei dem es sich bspw. um ein Ventil handelt, vermittels der Steuereinheit T1 geschaltet werden.
-
Zur Signalisierung des Zustands der Anlage sind Signalelemente L1, L2, L3, L4, H1, H2 vorhanden, die ebenfalls mit der Steuereinheit T1 verbunden sind und von dieser geschaltet werden können. Die Signalelemente L1, L2, L3 und H1 befinden sich in der Leitwarte in der sich die Steuereinheit T1 befindet und sind für einen Benutzer dort wahrnehmbar, d.h. sichtbar bzw. hörbar. Die Signalelemente H2, L4 sind abgesetzt von der der Steuereinheit T1 und befinden sich in der Anlage, so dass sie dort vor Ort von einem Benutzer, der sich außerhalb der Leitwarte befindet wahrgenommen werden können. Bei den Signalelementen L1, L2, L3 und L4 handelt es sich um optische Signalelemente wie bspw. Lampen und/oder Dioden. Bei den Signalelementen H1, H2 handelt es sich um akustische Signalelemente wie bspw. um Sirenen.
-
Diese Signalelemente können dann zur Anzeige des Anlagenzustands wie bspw. einem in der Anlage vorliegenden Fehler dienen. Ein solcher Fehler, wird von der Steuereinheit bspw. anhand der Messwerte und/oder Zustandsdaten des Sensors S1 und/oder des Aktors A1 ermittelt.
-
Zur Bedienung der Anlage, d.h. zum Vornehmen von Einstellungen und/oder zum Anzeigen von prozessrelevanten Daten verfügt die Steuereinheit über eine Benutzeroberfläche, vermittels welcher Einstellungen vorgenommen werden können.
-
Der Sensor S1 und der Aktor A1 bilden dabei ein sog. Sicherheitskreis. Ein Sicherheitskreis umfasst alle Sensoren, Aktoren, Übertragungselemente und die Logikverarbeitung, die zur Ausführung einer Sicherheitsfunktion dienen. Bei einer solchen Sicherheitsfunktion kann es sich bspw. um das sichere Abschalten eines Motors, das schließen eines Ventils und/oder einen sicheren Betriebsstopp der Anlage handeln.
-
2 zeigt eine graphische Benutzeroberfläche, die bspw. auf einer Anzeigeeinheit der Steuereinheit dargestellt ist. Auf der Benutzeroberfläche ist eine Anzeige, die eine Übersicht über die Anlage und die dort installierten Gerätschaften anzeigt, dargestellt. Neben dieser Anzeige ist auf der Benutzeroberfläche die Zeit bis zur nächsten Überprüfung der Sicherheitsfunktion „Time to proof test“ dargestellt. Gem. 1 beträgt die Zeit bis zur nächsten planmäßigen Ausführung der sicherheitsgerichteten Funktion, die zur Überprüfung einer oder mehrere Sicherheitsfunktion der Anlage dient, noch 265 Tage.
-
3 zeigte eine weitere Anzeige auf der Benutzeroberfläche. Gemäß dieser Anzeige beträgt die Zeit, seit der die sicherheitsgerichtete Funktion planmäßig hätte durchgeführt werden müssen, aber nicht durchgeführt wurde, einen Tag. Ein Benutzer kann das Ausführen der sicherheitsgerichteten Funktion über entsprechende Bedienelemente auslösen. Durch das manuelle Auslösen der sicherheitsgerichteten Funktion kann gewährleistet werden, dass das Ausführen der Sicherheitsfunktionen in einem für die Sicherheit der Anlage unkritischen Zeitraum erfolgt.
-
4 zeigt eine weitere Darstellung auf der graphischen Benutzeroberfläche zur Bedienung einer Anlage der Prozess- und/oder Automatisierungstechnik. Nachdem die sicherheitsgerichtete Funktion (erfolgreich) ausgeführt wurde, wird nun wieder die Zeit bis zur nächsten planmäßigen Ausführung der sicherheitsgerichteten Funktion auf der Benutzeroberfläche angezeigt. In diesem Fall sind dies 365 Tage. Ferner wurde das Ergebnis der sicherheitsgerichteten Funktion in einer Datei als Protokoll festgehalten.
-
Anstelle einer Angabe der Zeit bis zum nächsten planmäßigen Ausführen der sicherheitsgerichteten Funktion in Form von Zahlen, kann die Zeit auch (zusätzlich) durch andere Symbole und/oder durch Farben dargestellt werden.
-
5 zeigt eine weitere Darstellung auf einer graphischen Benutzeroberfläche zur Bedienung einer Anlage der Prozess- und/oder Automatisierungstechnik, auf welcher Benutzeroberfläche ein Protokoll der sicherheitsgerichteten Funktion und auch die bis zur nächsten planmäßigen Durchführung der sicherheitsgerichteten Funktion „proof test“ verbleibende Zeit dargestellt ist. Vermittels der sicherheitsgerichteten Funktion wurden die verschiedenen Sicherheitsfunktionen bzw. Sicherheitskreise in der Anlage überprüft. Die Ergebnisse dieser Überprüfung sind in der in 5 auf der Benutzeroberfläche dargestellten Tabelle festgehalten.
-
Die Überprüfung beinhaltet dabei insbesondere die Überprüfung der Signalelemente wie Status-Lampen „Green Status Lamp“ und Alarm-Sirenen „Alarm Horn“.
-
Ferner beinhaltet die sicherheitsgerichtete Funktion gem. 5 auch die Überprüfung der Sicherheitsfunktion(en) eines Füllstandsmessgerätes „H Level Transmitter“ etc.
-
Bezugszeichenliste
-
-
- S1
- Sensor
- A1
- Aktor
- L1
- Optisches Signalelement
- L2
- Optisches Signalelement
- L3
- Optisches Signalelement
- L4
- Optisches Signalelement
- H1
- Akustisches Signalelement
- H2
- Akustisches Signalelement
- T1
- Steuereinheit
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Nicht-Patentliteratur
-
- Normen IEC 61511 [0004]
- IEC 61508 [0004]
