Wir rechnen die Menge von 50 l bei bekannter Betriebsdichte in ein Volumen um und dieses wiederum in einen Füllstand in mm: Für den Klöpperboden gibt es eine Formel nach DIN, der zylindrische Teil ist eine einfache Übung in Geometrie. Am Ende kommt heraus: 50 l entsprechen einer Höhe über dem tiefsten Punkt von 390 mm. Das ist die Grenze des sicheren Betriebs, also jener Prozesswert der im Sinne der Anlagenabsicherung nicht überschritten werden darf.
Jetzt muss man ein bisschen mitdenken: Die Angabe der Grenze des sicheren Betriebs bezog sich auf den tiefsten Punkt des Apparats, denn wir müssen ja das Gesamtvolumen berücksichtigen. Unsere Messung fängt aber erst 220 mm über dem tiefsten Punkt überhaupt an zu messen. Es gibt also ein Residualvolumen, das schon im Behälter ist, noch bevor unsere Messeinrichtung überhaupt etwas anzeigen kann. In der Praxis kommt es tatsächlich hin und wieder vor, dass die Residualvolumina größer sind als die Grenze des sicheren Betriebes erlauben würde und dann wird es wirklich knifflig. Dann schlägt eventuell die Stunde besonderer Messverfahren oder besonders ausgefeilter Schutzsysteme. Für unser Beispiel habe ich alles so festgelegt, dass wir an dieser Stelle keine Probleme bekommen, aber in der Wirklichkeit, wo mit den wirklichen Eigenschaften der Stoffe umgegangen werden muss, bringt einen die Grenze des sicheren Betriebes hin und wieder ins Schwitzen.
Wir müssen jetzt zuerst ermitteln, welchem Teil unseres Messbereichs die Grenze des sicheren Betriebs entspricht. Deswegen ist die violette Linie eingezogen: Sie bezeichnet die Grenze des sicheren Betriebs, bezogen auf den tiefsten Punkt. das waren 390 mm. Wenn wir diese Linie jetzt auf die untere grüne Linie beziehen, haben wir die Grenze des sicheren Betriebs bezogen auf den Messbereichsanfang. Da wir nur im zylindrischen Teil messen und dieser 1.000 mm hoch ist, entsprechen die 170 mm zwischen unterer grüner und violetter Linie genau 17 % unseres Messbereichs. Mit andern Worten: Eine ideale Füllstandsmessung würde bei 17 % die Behälterzuläufe schließen.
Wir müssen also nichts anders tun, als in der Sicherheitssteuerung den Grenzwert auf 17 % einstellen, richtig? Wenn ich so doof frage, vermutlich nicht und in der Tat wäre dieses Vorgehen unter Umständen nicht ausreichend. Denn unsere Messung hat Abweichungen: Die zufälligen Messfehler, die jedes Messgerät hat, zufällige Fehler durch Schwankungen der Betriebsdichte und Qualität von Einsatzstoff-1, Vibrationen, die die Flüssigkeitsoberfläche in Unruhe bringen, Unruhe durch den Befüllvorgang. Und noch einige mehr. Aus allen Fehlern ergibt sich ein Gesamtfehler, den wir berücksichtigen müssen, damit wir wirklich rechtzeitig schalten. Den Grenzwert für unsere Sicherheitsschaltung müssen wir deswegen etwas niedriger legen, z.B. bei 15 %.
Aber damit ist es immer noch nicht getan: Damit die Betriebsmannschaft merkt, dass die Anlage sich auf einen unsicheren Zustand zubewegt macht es Sinn, vor den Schaltgrenzwert einen Alarmgrenzwert zu legen, der nichts schaltet, aber durch optische und akustische Warnmelder auf die Verletzung eines unteren Grenzwertes aufmerksam macht. Wo genau dieser Schaltpunkt liegt, ist eine Frage von Prozessdynamik und Eingriffsmöglichkeiten – in unserem Beispiel legen wir ihn auf 10 %. Selbstredend bedeutet das, dass der normale Betriebspunkt deutlich unter den 10 % liegen muss, z.B. bei 5 %. Das ist ziemlich niedrig, aber mit dem richtigen Anlagendesign gut handhabbar.
Jetzt müssen wir nachweisen, dass unsere Sicherheitseinrichtung das Risiko wirklich im gewünschten Maß reduziert. Dafür machen wir eine PFD-Berechnung. Wir nehmen dazu die Ausfallraten der Messeinrichtung, der Zulaufventile, der Steuerung und aller anderen sicherheitsrelevanten Teile und verrechnen sie zu einer Gesamt-Ausfallwahrscheinlichkeit der ganzen Schutzeinrichtung. Diese Multiplizieren wir mit der Schadenseintritts-Wahrscheinlichkeit, die wir aus dem Risikoszenario erhalten haben: Die Wahrscheinlichkeitsklasse P2 sagte uns ein Ereignis ca. alle 100 Jahre voraus. Durch Multiplikation mit der PFD des Schutzsystems müssen wir nachweisen, dass wir das Rohrisiko auf ein akzeptables Restrisiko reduziert haben.
Kommentare (4)