„Közérdekű” témák az idei Pepperl+Fuchs szakmai napon

2014. június 5-én Balatonkenesén tartotta szokásos éves vevőtalálkozóját a Pepperl+Fuchs Kereskedelmi Kft. folyamatautomatizálási irodája. Az előadások számos olyan általános kérdést érintettek, amelyek ismerete mindenki számára hasznos lehet, aki a folyamatipari technológiák biztonságával foglalkozik.

E sorok írója évek óta kap meghívást a szokásosan késő tavasszal – nyár elején megrendezett találkozóra, amelyet a Pepperl+Fuchs Kereskedelmi Kft. folyamatirányítási szakemberei szerveznek a cég partnerei részére. Három okból is érdemes ezeknek a meghívásoknak eleget tenni: az előadások rendszerint olyan szakmai kérdéseket érintenek, amelyek általánosabbak, „szakmaibbak” a „tőlem vásárolj, ne mástól” gondolat „szájbarágós” marketingüzeneténél. Másodszor: ezeknek a rendezvényeknek olyan ismerős szakmai kör a „törzsközönsége”, amelynek tagjaival beszélgetve a folyamatautomatizálási szakma komoly „keresztmetszete” rajzolódhat ki a közvetlenül érintettek szemszögéből. És végül a harmadik ok: a rendezvényhez mindig társul valamilyen kellemes társas/szabadidős délutáni elfoglaltság is sosem próbált „sportágakban”, amelyekben tanúsított – néha kétes értékű – „helytállásunkra” évek múltán is jó emlékezni. Az idén azonban úgy hozta a véletlen, hogy nem tehettem eleget a szíves invitálásnak, de elkértem az előadások prezentációit, és ezek ismeretében, úgy gondolom, érdemes megpróbálni összefoglalni tartalmukat, mert ez valóban hasznára lehet a folyamatbiztonság kérdéseiben érintett olvasónak.

A SIL^[1] alapelvei, fogalmai, szabványai

Az ipari biztonság kérdéseit tárgyaló szabványok ma meglehetősen „kaotikus” rendszert alkotnak. Külön szabványok vonatkoznak a gépi berendezések biztonságára az IEC- és az ISO-szabványrendszerben (IEC62061, ISO13849), és az utóbbit a BGIA Report 2/2008 is kiegészíti. A gépi berendezések biztonságával azonos szintű szabvány foglalkozik az ipari létesítmények biztonságával (IEC61511), amelyhez a VDI/VDE2180 és az SR4 (InfraServ) fűz további kiegészítéseket. Az előbbiekkel egy szinten, minden eddigitől függetlenül az IEC50156-szabvány tárgyalja a kemencék biztonságát, és mindezt a funkcionális biztonság kérdéseiről szóló, IEC60508 „ernyőszabvány” igyekszik egységes rendszerbe foglalni. Csak hogy a feladat terjedelmét érzékeltessük, a fentiek közül az ISO13849 egymaga nagyjából 150 oldalnyi, tehát nincs egyszerű dolga annak, aki ezekben a kérdésekben tisztán akar látni.
Mindez annak ellenére ilyen bonyolult, hogy célja „egyszerű, mint a faék”: előzzük meg az ipari baleseteket. Baleset az, amikor valami váratlan dolog történik valakivel, aki erre nincs felkészülve – mondja egy jellemző vélemény a biztonságról. Eszerint tehát két dolgot tehetünk: számítunk a lehetséges balesetekre (minél valószínűbbek, annál inkább) és felkészülünk a bekövetkezésükre. Ez a gondolatmenet a kiindulópontja a biztonság kockázatalapú „mérésének” (1. ábra). A SIL egy adott biztonsági kockázatot jelentő szituációban a kockázat csök­kentése érdekében bevezetett biztonsági intézkedés hatásosságának mértéke. Ha a kockázat az intézkedés következtében kisebb lesz az eredeti kockázat egytizedénél, de az egyszázadánál nem, a kockázatcsökkenés szintje SIL 1-es. Ha a biztonsági funkció hatására a kockázat ennél egy további nagyságrenddel jobban csökken, SIL 2-es és így tovább. Elméletileg mindig létezik tehát egy olyan SIL-szint, amely az elfogadható szint alá csökkenti a kockázatot, de a definíció érezhetően logaritmikus jellege miatt a kockázat sohasem csökkenhet nullára, legfeljebb az elfogadható szint alá – ugyanakkor mindig marad egy nullánál nagyobb „maradék kockázat”. Ahogy az IEC61508-szabvány 4. részéhez fűzött megjegyzés megállapítja: a SIL n nem egy rendszer, alrendszer, részegység vagy alkatrész „tulajdonsága”; csupán egy biztonsági intézkedésben rejlő lehetőség, amely egy adott rendszerben képes a kockázatot 10ⁿ-ed részére csökkenteni.

1. ábra A kockázatalapú biztonsági koncepció

A biztonsági intézkedések megtervezésekor három fázisból álló feladatot kell végrehajtanunk:

• meg kell határoznunk az elvárt kockázatcsökkentés mértékét (kockázatelemzés),

• megvalósítunk egy kockázatcsökkentő intézkedést (ez rendszerint valamilyen védőkészülék beépítését jelenti), végül

• hibátlanul kivitelezett, jól dokumentált és jogi értelemben is támadhatatlan intézkedéseket vezetünk be a kockázatcsökkentés fenntartása érdekében.

A HAZOP (kockázatértékelés) fázisai a következők:

• Ki kell jelölni a kockázatot hordozó folyamatparamétereket,

• Hozzá kell fűzni olyan „módosító szavakat”, mint „nagyobb/kisebb, mint”, „előbb/később, mint” stb.,

• A folyamatváltozó és a hozzáfűzött módosítók” a biztonsági szempontból lényeges eltérést fejezik ki egy optimális értéktől,

• Elemezni kell az eltérések okait, következményeit és a lehetséges intézkedéseket,

• Az eredmény: azonosítottuk a létező kockázatokat és javaslatot tettünk az elhárításukra.

Egy példa: Egy M7 azonosítójú hőmérséklet-távadó kockázatelemzése:

• A rendszerelem azonosítója: M7,

• A rendszerelem funkciója: hőmérséklet-távadó,

• Az általa befolyásolt folyamatparaméter: savhőmérséklet,

• Módosító szó: túl magas.

• Lehetséges ok: a távadó meghibásodása.

• Következmény: nincs értékelhető hőmérsékletadat, rossz mennyiségben adagolt sav, túlmelegedés.

• Lehetséges ellenintézkedések: két távadó beépítése ugyanarra a rendszerparaméterre, a mért értékek folyamatos összehasonlí­tása; riasztás, ha az eltérés meghalad egy megadott értéket.

Ez az elemzési fázis egészül ki a SIL-besorolással, azaz annak a becslésével, milyen mértékű kockázatcsökkenést kell elérni az ellenintézkedéssel.

„Minden dolgok mértéke az ember” (Prótagorász)

A „kockázat” szót gyakran használjuk, de nem mindig az egzakt jelentés tudatában. A kockázat egy nem kívánt D esemény által okozott kár mértékének (E(D)) és az esemény bekövetkezési valószínűségének (P(D)) a szorzata: Kockázat = E(D)*P(D) – tehát a kockázat a káresemény valószínűségén kívül annak mértékét is figyelembe veszi, amely – vegyük észre – nem műszaki, hanem szubjektív emberi fogalom. (Próbáljuk csak meg „pénzben kifejezni” egy emberi élet értékét. Ez – bármilyen idegenül hangzik – végül is lehetséges, ha számba vesszük az elvesztésével járó „kiadásokat”.)
Az események valószínűségét is hasonlóképpen emberi mértékkel mérjük. „Gyakorinak” az olyan eseményeket tekinthetjük, amelyek nagyjából évente (gyakrabban, mint 3 évente) következnek be. Alacsony az előfordulási valószínűsége annak, aminek az előfordulására tipikusan „emberöltőnként” (33 évente) egyszer vagy néhányszor lehet számítani. Igen alacsony a valószínűsége, ha jellemzően egy ember élettartama alatt legfeljebb egyszer fordul elő.
A SIL-értékek helyes értelmezését segíti, ha (például kockázati gráfok segítségével) belátjuk, hogy azonos mértékű kockzatcsökkenést a para­méterek és kockázatcsökkentő eszközök különféle kombinációival is elérhetünk.
A kockázatelemzésnél fontos figyelembe venni, hogy maguk a kockázatcsökkentő intézkedések, eszközök, módszerek stb. is meghi­bá­sodhatnak. Kritikus szituációnak azt nevezzük, amikor az adott helyzetben a kockázatcsökkentő hatásra szükség lenne (D), de a koc­kázatcsökkentő eszköz nem (sem) működik (F). E kritikus helyzet előfordulási valószínűsége tehát F∩D, amelynek P valószínűsége: P(F∩D)=P(F/D)*P(D), ahol P(F/D) az F esemény feltételes valószínűsége a D feltételre vonatkoztatva. A SIL-besorolásnál használt valószínűség-nagyságrendet tehát úgy kell számítani, hogy (bocsánat, bonyolult félmondat jön) az a hiba előfordulási valószínűsége mellett a hiba-valószínűséget csökkentő intézkedés meghibásodási valószínűségét is figyelembe vegye.
Terjedelmi okok miatt sem folytathatjuk a okfejtést. Az eddigiekben ízelítőként ismertetett gondolatmenet is elegendő azonban ahhoz, hogy hozzájáruljunk a SIL-besorolással kapcsolatos leggyakoribb félreértés eloszlatásához: a SIL n tehát soha nem egy alkatrész vagy akár egy egész létesítmény minősítésére szolgál, hanem mindig egy biztonsági funkció hatásosságát fejezi ki. Az adott biztonsági funkcióval elérhető kockázatcsökkentés mértéke pedig teljes mértékben az annak létrehozására használt eszközök megbízhatóságának függvénye.

A galvanikus leválasztók, jelkondicionálók alkalmazása

A szakmai nap másik előadása a galvanikus leválasztókkal és alkalmazásuk változatos feltételeivel foglalkozott.

• A kiterjedt folyamattechnológiáknál elkerülhetetlen, hogy a folyamatparamétereket mérő és továbbító távadó és a jelet feldolgozó számítógépes irányítástechnikai rendszer (DCS) között nagy távolságot kell kábellel áthidalni. Az ilyen nagy távolságú, analóg távadós jelátvitel „érzékeny pontja”, ha a távadó is és a DCS-berendezés is földelt. A jelkábelen folyó áram feszültségesést hoz létre a kábel két vége között, amely miatt az azonosnak feltételezett földpotenciálú pontok között mérhető feszültségesés jön létre. Ez a mért jel értékéhez hozzáadódva zajt, esetleg DC-potenciáleltolódást eredményez. Ez a jelenség a földhurok, amely tehát a mérendő jellel össze nem függő hibafeszültségek hozzáadódásával a DCS által „látott” mérési eredményt meghamisítja. Elvileg kiküszöbölhető lehetne oly módon, ha a távadó és a DCS közül csak az egyiket földelnénk – ez azonban számos okból nem mindig kivitelezhető. A másik lehetséges megoldás egy olyan galvanikus leválasztó beépítése, amely a távadó és a DCS földpontja közötti egyenáramú összeköttetést megszakítja, és ezzel megelőzi a földhurok kialakulását. Ezáltal a rendszer rugalmasabbá is válik, mivel a galvanikus leválasztó közbeiktatása után akár a távadó, akár a DCS felől megváltozik a földelési konfiguráció. Ez nem okoz olyan változást, amely földhurok kialakulására vezetne (2. ábra).

2. ábra A galvanikus leválasztás megszakítja a földhurkot

• A galvanikus leválasztók másik fontos szerepe, hogy a terepi oldali túlfeszültség-jelenségek nem jutnak el a DCS-oldalra, nem okozzák annak meghibásodását, a kár a terepi oldalra korlátozható. Ezzel a galvanikus leválasztó komoly mértékben járul hozzá az egész folyamatautomatizálási rendszer nagyobb rendelkezésre állásához. 

• A galvanikus leválasztó alkalmazásának további előnye – a főként kapcsolóüzemű rendszerek, pl. frekvenciaváltók – által kibocsátott RF-zaj és más elektromágneses interferencia (EMI) továbbterjedésének csökkentése a DCS felé. 

• A galvanikus elválasztás mint részfunkció előfordulhat olyan rendszerelemekben, amelyek a terepi oldalon egyenáramú jeltovábbítást igényelnek (potenciométeres általakító, ellenállás-hőmérő, hőelem stb.), a DCS felé azonban „élőnullás”, áramhurkos távadójelet (4…20 mA) kell továbbítani. Ez esetben a terepi oldali jelkondicionáló elektronika galvanikusan szigetelt a 4…20 mA-es – jeltovábbító és egyben tápláló – áramkörtől.

• A galvanikus leválasztókra fontos szerep hárul a terepi oldalon bekövetkező kábelzárlatok következményeinek korlátozásában is. Ide tartoznak azok a készülékek is, amelyek galvanikus leválasztást is tartalmaznak, a terepi oldali zárlatot pedig kontaktus-áramkörrel jelzik a DCS felé, javítva ezzel a diagnosztikai képességeket, és megakadályozva azt, hogy egy terepi kábel zárlata kiterjedt üzemzavar okozója lehessen.

• A galvanikus leválasztó áramkimenetét sokszor több bemenetre (például DCS és ESD^[2]) is el kell juttatni (jeltöbbszörözés). A DCS-bemenetek egyszerű soros kapcsolása nem mindig célravezető, mivel a hurok megszakadása az összes, egy horokra fűzött DCS-bemenetet ellátatlanul hagyja. Ilyen esetekben hasznos lehet egy olyan leválasztó, amelynek több élőnullás, áramhurkos (4…20 mA-es) kimenete van. 

• Megfelelő felépítésű, galvanikus leválasztott készülékkel az áramhurkos és passzív kimenetű szenzorok és az áramhurkos és DC-bemenetű DCS mindenféle kombinációjára találunk megoldást.

• Bizonyos galvanikusan leválasztott készülékekben közvetlenül az eszközön, a kapcsolószekrényben beállítható érzékelési szintű határértékrelék is megtalálhatók. Ezeket a beállításokat a DCS-oldalról nem lehet változtatni. Ennek az a következménye, hogy a határérték­figyelés és -riasztás még DCS-hiba esetén is működőképes marad.

A program elmaradhatatlan eleme az is, hogy a folyamatautoma­tizálási „versenyszférából” érkezett meghívottak másfajta, játékosabb versenyeken is összemérik képességüket. A természet eddig nem mindig „pártolta” a szervezők elképzeléseit: volt már vitorlásverseny szél nélkül, de volt olyan sárkányhajóverseny is, amikor – éppen a viharos szél miatt – nemcsak hogy a hajó, de a víz közelébe sem nagyon merészkedhettek a résztvevők. A szervezőknek azonban már nagy rutinja van az ilyen „vészhelyzetek” kezelésében – mindig van „B-terv”. A P+F munkatársai az idén ismét megpróbálkoztak az elmaradt sárkányhajóverseny „összehozásával” – ezúttal nagyobb sikerrel. A résztvevők két, egyenként 15 fős legénységű csónakban ismerkedhettek az ázsiai eredetű sárkányhajózás világával, majd gyorsan szerzett tudásukról azzal adtak tanúságot, hogy 300 méteres távon mérték össze erejüket és csapatszellemüket a Balaton vizén. A két hajó felváltva kis különbségekkel nyert futamokkal indult neki a harmadik döntő fordulónak, ahol a szürke-fehér csapat megfeszített hajrával végül megszerezte a győztesnek járó aranyérmet a kék csapat előtt.
A hajók közös kiemelése után a versenyzők átvehették érmeiket. A bronzérmek sem maradtak gazdátlanok; ezeket a lendületes és kitartó szurkolótábor tagjai kapták, akik e tevékenységük közben ugyancsak olyan közel kerültek ehhez az egzotikus sportághoz, mint addig még soha.

Tóth Ferenc 

Még több Pepperl+Fuchs

Címkék: folyamatautomatizálás | galvanikus leválasztók

^[1] SIL: Safety Integrity Level (Egy biztonsági funkció által elérhető kockázatcsökkenés mértékét jelző szint-besorolás.)

^[2] ESD: Emergency Shutdown Device ‑ vészleállító készülék, üzembiztonsági okból gyakran a DCS-től függetlenül megvalósítva.