2-Kanal Temperaturtransmitter iTEMP® TMT82 · Dokument beziehen sich ausschließlich auf den Transmitter, nicht auf die komplette Messstelle. Der Transmitter erzeugt ein analoges

Anwendungsbereich

Betrieb in sicherheitsbezogenen Systemen gemäß den Anfor-derungen nach IEC 61508, ed. 2.0.

Das Gerät erfüllt folgende Anforderungen• Funktionale Sicherheit gemäß IEC 61508, ed. 2.0• Explosionsschutz• Elektromagnetische Verträglichkeit gemäß EN 61326-Serie

und NAMUR-Empfehlung NE21• Elektrische Sicherheit gemäß IEC/EN 61010-1• Eindringschutz (Schutzklasse) IP20 gemäß DIN EN 60529

Vorteile auf einen Blick

• Anwendbar für Messstellen mit einem Sensor oder zweiSensoren bis SIL 2

• Aufbau zweier Messstellen bis SIL 3• Unabhängige Bewertung (Functional Safety Assessment)

durch den TÜV Süd gemäß IEC 61508, ed. 2.0• Permanente Selbstüberwachung• Permanente Überwachung der internen Verbindungen• Sichere Parametrierung

Products Solutions Services

Sonderdokumentation2-Kanal TemperaturtransmitteriTEMP® TMT82Handbuch zur funktionalen Sicherheit

SD01172T/09/DE/01.1371225969

2-Kanal Temperaturtransmitter iTEMP® TMT82

2 Endress+Hauser

Inhaltsverzeichnis

SIL Konformitätserklärung . . . . . . . . . . . . . . . . . . . . 3

Hardware- und Softwarekonfiguration . . . . . . . . . . . 5

Mitgeltende Gerätedokumentation . . . . . . . . . . . . . 6

Definitionen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6

Aufbau des Messsystems, Mess- und Sicherheits-funktion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7Messfunktion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8Anwendung als sicherheitsbezogenes System . . . . . . . . . . 12Sicherheitsfunktionen . . . . . . . . . . . . . . . . . . . . . . . . . 12Sicheres HART® . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16

Einschränkungen für die sichere Funktion . . . . . . . 16

Geräteverhalten bei Normalbetrieb und bei Stö-rung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19Geräteverhalten beim Einschalten . . . . . . . . . . . . . . . . . 19Geräteverhalten bei Anforderung . . . . . . . . . . . . . . . . . . 19Geräteverhalten bei interner Fehlererkennung . . . . . . . . . 19

Montage . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19Montage, Verdrahtung und Inbetriebnahme . . . . . . . . . . . 19Einbaulage . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19

Bedienung und Parametrierung . . . . . . . . . . . . . . . 20Standardparametrierung . . . . . . . . . . . . . . . . . . . . . . . . 20Sichere Parametrierung . . . . . . . . . . . . . . . . . . . . . . . . 20Zustände und Arbeitsweise des Systems . . . . . . . . . . . . . 29Kalibrierung und Justierung . . . . . . . . . . . . . . . . . . . . . . 33Qualität von Diagnosen . . . . . . . . . . . . . . . . . . . . . . . . 33Optional anwendbare Transmitterdiagnosen im SIL-Modus . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33

Wiederholungsprüfung . . . . . . . . . . . . . . . . . . . . . 33Allgemeine Informationen . . . . . . . . . . . . . . . . . . . . . . 33Wiederholungsprüfungen zur Gewährleistung einer siche-ren Funktionsweise . . . . . . . . . . . . . . . . . . . . . . . . . . . 34

Wartung und Reparatur . . . . . . . . . . . . . . . . . . . . . 35Wartung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35Reparatur . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35

Anhang . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 36Hinweise zum redundanten Einsatz für SIL 3 . . . . . . . . . . 36Prüfprotokoll . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 38Beispiele für die Berechnung von PFDavg . . . . . . . . . . . . . 39Berechnung der Gesamt-Sicherheits-Genauigkeit . . . . . . . 40


Endress+Hauser 3

SIL KonformitätserklärungAllgemeine Informationen zur funktionalen Sicherheit (SIL) finden Sie unterwww.endress.com/SIL und in der Kompetenzbroschüre CP002Z "Funktionale Sicherheit in derProzess-Instrumentierung zur Risikoreduzierung".

A0022207


4 Endress+Hauser

A0022211


Endress+Hauser 5

Hardware- und SoftwarekonfigurationDieses Handbuch gilt für folgende Geräteausprägungen ab folgenden Hard- und Softwareversionen:

Gültige Hardware-Version Kopftransmitter: 01.00.06 oder höher - Hutschienentransmitter: 01.00.04 oderhöher

Gültige Firmware/Soft-ware-Version

Kopf- und Hutschienentransmitter: 01.01.00 oder höher

Soweit nicht anders angegeben, können alle nachfolgenden Versionen ebenfalls für Sicherheitsfunk-tionen verwendet werden.

Alle Versionen können über ein Bediengerät oder das optionale Display des Kopftransmitters (unsi-cher) angezeigt werden. Eine Definition der Versionsanzeige ist der Betriebsanleitung für das Gerätzu entnehmen. Bei Gerätebetrieb im SIL-Modus führt das System selbst eine Überprüfung der Ver-sionen durch und lehnt eine Messung ab, wenn nicht alle Versionen korrekt sind.

Beide Bauformvarianten, sowohl Kopf- als auch Hutschienentransmitter, können im SIL-Modusbetrieben werden. Der SIL-Transmitter lässt sich von nicht SIL-konformen Versionen anhand desSIL-Logos auf dem Typenschild unterscheiden. Darüber hinaus kann die SIL-konforme Version desTransmitters auch im Bestellcode identifiziert werden:

11-42V012345678910

xx.yy.zz

TMT82- XXXXX/XXiTEMP®

Made in Germany 2013D-87484 Nesselwang

Ser.no.:

FW:

Input:

12345678ABCDEFGH12345678ABCDEFGH

Current consum.: 23,6 mADev.Rev: 1Ext. ord. cd.:

XXXXXXXXXXXXX#

II3G Ex nA II T6/T5/T4 Ta= -40 ...+ 55/70/85°CII3G Ex nL IIC T6/T5/T4 Ta= -40 ... +55/70/85°C

EH 08.001X

Install per XA00102R/09/a3/xx.xx

0044

SIL

0044

iTEMP®

TMT82Made in Germany 2012 D-87484 Nesselwang

TAGXXXXXXXXXXXTAGXXXXXXXXXXX

FW: XX.XX.XX Dev. Rev.: X

Order code: TMT82-xxx/xxExt. ord. cd.: XXXXXXXXXXXSer. no.: XXXXXXXXXInput: 12-42 VCurrent cunsum.: 23,0 mA

1

II3G Ex nA II T6/T5/T4 Ta= -40 ...+ 55/70/85°CII3G Ex nL IIC T6/T5/T4 Ta= -40 ... +55/70/85°C

EH 08.001X

Install per XA0xxxxT/09/a3/xx.xx

SIL

Dev. Rev.: X

1SIL

TMT82- XXXXX/XXiTEMP®

SIL

TMT82 - x x x x x x x x + x x x x x x x x xLA

1

2 3

A0021450

1 Geräteidentifizierung mit Option SIL-Modus

1 Im Bestellcode, Kann-Merkmal 590 - Auswahl LA: SIL Konformität2 SIL-Logo auf dem Typenschild der Kopftransmitterbauform3 SIL Logo auf dem Typenschild der Hutschienenbauform

Bei Modifizierungen des Transmitters wird vom Hersteller ein Änderungsprozess konform zuIEC 61508, ed. 2.0 angewendet.


6 Endress+Hauser

Mitgeltende GerätedokumentationDokument Inhalt des Dokuments

Technische InformationTI01010T/09/de/16.13 und allenachfolgenden Versionen

Planungshilfe für Ihr GerätDas Dokument liefert alle technischen Daten zum Gerät und gibt einenÜberblick, was rund um das Gerät bestellt werden kann.

BetriebsanleitungBA01028T/09/de/15.13 und allenachfolgenden Versionen

Diese Anleitung liefert alle Informationen, die in den verschiedenen Pha-sen des Lebenszyklus des Geräts benötigt werden: Von der Produktidenti-fizierung, Warenannahme und Lagerung über Montage, Anschluss,Bedienungsgrundlagen und Inbetriebnahme bis hin zur Störungsbeseiti-gung, Wartung und Entsorgung.

Ex-DokumentationXA00102T/09/a3/15.12 und allenachfolgenden Versionen

Sicherheitshinweise und technische Daten für elektrische Betriebsmittelfür explosionsgefährdete Bereiche gemäß Richtlinie 94/9/EG (ATEX)

Dieses Sicherheitshandbuch gilt ergänzend zur Betriebsanleitung, technischer Information undATEX-Sicherheitshinweise. Die mitgeltende Gerätedokumentation ist bei Installation, Inbetrieb-nahme und Betrieb zu beachten. Die für die Schutzfunktion abweichenden Anforderungen sind indiesem Sicherheitheitshandbuch beschrieben.

DefinitionenBezeichnung Bedeutung

Definierter Messbereich / zulässiger Ein-satz-Temperatur-Bereich oder Intervall(TB), unterschiedlich für jedes Sensor-Element

Maximaler Bereich, in dem ein Sensor-Element definiert ist (sieheentsprechende Norm zum Element) und als Messmittel verwendetwerden darf (d.h. Hersteller-Einschränkungen).

Transmitter Messbereichsgrenzen / ein-geschränkter Einsatz-Temperatur-Bereich (eSTB), unterschiedlich für jedesSensor-Element

Eine Einschränkung des Transmitter-Systems. Die Grenzen liegengrößtenteils innerhalb des Intervalls (TB)

Details siehe Technische Information TI01010T/09/

Eingeschränkter Safety-Einsatz-Tempe-ratur-Bereich (eSETB), unterschiedlichfür jedes Sensor-Element

Erlaubter Messbereich für die Anwendung als Safety System, aufdem die Berechnungen für die Gesamtsicherheits-Genauigkeitenberuhen. Der Temperatur-Bereich liegt größtenteils innerhalb deseSTB.

Messspanne (oder auch Spanne) desStromausgangs

Differenz zwischen den Messwerten (Temperatur, Spannung oderWiderstand) bei 4 mA und bei 20 mA.

Stromausgangsgrenzen des Stromaus-gangs

Die Messwerte (z.B. Temperatur in °C, Spannung oder Widerstand),die bei 4 mA bzw. 20 mA am Stromausgang abgebildet werden.

Umgebungstemperatur des Transmitters Umgebungstemperaturbereich in dem das Gerät die volle Funktio-nalität gewährleistet. (→ 16)

Versorgungspannungsbereich des Trans-mitters

Spannung am Gerät, bei der die volle Funktionalität gewährleistetwerden kann. (→ 16)

Basismessbereich des ADC-Rohmesswer-tes

Der sinnvolle Bereich der Rohdaten vom ADC. Die Basismessberei-che sind:• 10…400 Ω• 10…2 000 Ω• –20…100 mV

Langzeit-Drift / Drift, unterschiedlich fürjedes Sensor-Element

Verhalten über die Lebenszeit, abhängig von der Temperatur undwird üblicherweise bei 25 °C (77 °F)angegeben.

Gesamt-Sicherheits-Genauigkeit Der Gesamtfehler, der bei der Messung mit dem Transmitter vomEingang am Transmitter bis zum Stromausgang bzw. HART® Proto-koll entsteht. Berücksichtigt werden dabei die Effekte wie z. B.Temperaturdrift, Spannungsdrift, Messunsicherheit, etc.

SAF Sicherheitsfunktion / Safety Function


Endress+Hauser 7

Bezeichnung Bedeutung

RTD Widerstandsthermometer

TC Thermoelement

Aufbau des Messsystems, Mess- und Sicherheitsfunktion

TMT82

Commubox

FieldCare

RN221N

PLC

A0013802

2 Gerätearchitektur für die HART® Kommunikation. Die sicherheitsrelevanten Beschreibungen in diesemDokument beziehen sich ausschließlich auf den Transmitter, nicht auf die komplette Messstelle.

Der Transmitter erzeugt ein analoges Signal (4…20 mA) proportional zur Messspannung am Sensoroder liefert Werte sicher über eine proprietäre Erweiterung des HART®-Protokolls. Das Signal mussvon einer Logikkomponente verarbeitet werden (z. B. eine speicherprogrammierbare Steuerung nachSIL 2 oder höher). Diese Logikkomponente verwendet weiterhin möglicherweise Aktoren, um dieSicherheitsfunktion vollständig umzusetzen.

Das optional aufsteckbare Display ist nicht sicher, daher sind alle Vorgänge, bei denen das Displayals Benutzerschnittstelle zum Einsatz kommt, nicht für sicherheitsrelevante Vorgänge zu nutzen.Weder Hardware noch Software des Displays haben nachweislich einen Einfluss auf die definiertenSicherheitsfunktionen des Gerätes. Die DIP-Schalter auf dem Display sind für das SIL-Systemnicht relevant.

Die CDI Schnittstelle ist nicht sicher und darf somit nicht in sicherheitsrelevanten Anwendungen ein-gesetzt werden. Die CDI-Service-Schnittstelle kann nicht für die sichere Parametrierung des Systemsverwendet werden. (→ 20)

Der Transmitter ist immer Bestandteil einer kompletten Sicherheitsfunktion. Beim Transmitter han-delt es sich um eine Komponente konform zu IEC 61508, ed. 2.0.


8 Endress+Hauser

Messfunktion Varianten des Transmitter-Systems und erlaubte Sensoren für den sicheren Betrieb

Nicht alle Anschlussvarianten und Funktionsmöglicheiten des Transmitters im Normalbetriebsind für den SIL-Modus begutachtet und somit im Rahmen einer Sicherheitsfunktion nutzbar.Im Folgenden werden die für den sicheren Betrieb erlaubten Funktionseinstellungen bzw. Vari-anten dargestellt.

Bei Belegung beider Sensoreingänge sind folgende Anschlusskombinationen möglich:

Sensoreingang 2 Sensoreingang 1

RTD oder Wider-standsgeber, 3-Leiter

RTD oder Wider-standsgeber, 4-Leiter

Thermoelement (TC),Spannungsgeber,

immer 2-Leiter

RTD oder Widerstandsgeber, 3-Leiter -

Thermoelement (TC), Span-nungsgeber

Inaktiv

Eine reine Widerstands- bzw. Spannungsmessung kann genauso sicherheitsrelevant genutzt werdenwie bei einer Messung mit nur einem Sensor RTD bzw. TC. 2-Leiter RTD-Sensoren werden im SIL-Modus nicht unterstützt, sondern nur 3- oder 4-Leiter RTD-Sensoren.

HINWEISFehler, die auf gemeinsam genutzte Leitungen (d. h. einer galvanischen Kopplung) zurückzu-führen sind, werden vom Transmitter nicht erkannt!Bei allen Funktionseinstellungen des Transmitters mit zwei Sensoren führt ein Fehler, der nicht ein-deutig einem der Sensoren oder Eingangskanälen zugeordnet werden kann, zum Ausfall beider Sen-soren.‣ Sicherstellen, dass bei Anschluss zweier Sensoren am Transmitter, unabhängig von der einge-

stellten 2-Kanal-Funktion, beide Sensoren ab den Anschlussklemmen galvanisch getrennt sind!

Der Transmitter kann im SIL-Modus nicht auf eine inverse Darstellung am Stromausgang para-metriert werden.

Zwei-Kanal-Funktionen

Es können zwei Sensoren am Transmitter angeschlossen werden. Abhängig davon, ob die Konfigura-tion im SIL-Modus sicher ist (siehe oben stehende Tabelle), kann der Transmitter in den folgenden,sicheren Funktionen betrieben werden:• Zwei unabhängige Messungen:

Hierbei werden zwei evtl. unterschiedliche Sensoren, z. B. TC und 3-Leiter RTD, an den Transmit-ter angeschlossen. Beide Messkanäle können für sicherheitsrelevante Funktionen genutzt werden.Siehe auch Kapitel „Darstellung am Stromausgang des Transmitters“ (→ 9). Um an dieWerte beider Sensoren zu kommen, muss hier evtl. mit der sicheren proprietären HART® ProtokollErweiterung gearbeitet werden.

• Funktion der Mittelwert-Bildung:Die Messwerte M1, M2 1) der beiden Sensoren werden als arithmetrisches Mittel, also(M1+M2)/2, ausgegeben.

• Funktion Differenz-Messung:Die Messwerte M1, M2 1) der beiden Sensoren werden subtrahiert M1-M2 ausgegeben.

• Backup Funktion:Der Transmitter hält den sicheren Messbetrieb aufrecht, solange mindestens an einem der beidenSensorkanäle ein funktionierender Sensor angeschlossen ist. Bei Ausfall eines Sensors wird auto-matisch auf den anderen Messkanal umgeschaltet. Hierbei müssen beide Sensoren identische Sen-sor-Typen sein, es dürfen z.B. nur zwei 3-Leiter RTD als Backup verwendet werden. Der Sensor-Typ muss ebenfalls gleich sein (z.B. Pt100). Eine gemeinsame Verwendung von Pt100 und Pt1000Sensor-Typen ist in der Backup Funktion nicht zulässig. Im SIL-Modus sind somit folgende Sensor-Typen erlaubt:– 2x Thermoelement (TC)– 2x RTD, 3-Leiter

1) Es müssen keine identischen Sensoren sein. Es hängt vom jeweiligen Anwendungsfall ab, ob diese Funktion sinnvoll ist.


Endress+Hauser 9

Damit dient die Backup Funktion zur Erhöhung der Verfügbarkeit bzw. zur Verbesserung der Dia-gnosefähigkeiten bezüglich des Diagnoseereignisses „Sensor-Drift“. (→ 10)

RTDRTD

2

3

1

PLCTMT82

A0020744

3 Sensoranschluss am Transmitter bei Backup-Funktion. PLS - kein Voting, 1 bzw. 2 sichere Messwerte

1 Identische Temperatursensoren (z. B. 2x RTD, 3-Leiter)2 Sensorsignalleitung3 4...20 mA Ausgang mit HART®-Signal

Darstellung am Stromausgang des Transmitters

Am Stromausgang kann immer nur der Messwert eines Sensors dargestellt werden. Der Messwerteines eventuell zweiten angeschlossenen Sensors kann aber z.B. über HART® sicher übertragen wer-den. Welcher Sensor-Messwert am Stromausgang und welcher auf HART® ausgegeben wird, kannkonfiguriert werden. Statt dem Messwert können auch die vorhergehend angegebenen Funktionenausgegeben werden (z.B. Mittelwert- oder Differenz-Funktion).

SIL 3 Konfiguration bei Verwendung von zwei Temperaturtransmittern

Um eine SIL 3 Messstelle einrichten zu können, werden bei Einsatz von zwei Temperaturtransmit-tern jeweils ein Sensor an jeweils einem Transmitter angeschlossen. Die Messwerte der beidenTransmitter werden über eine Logik-Einheit eingelesen und dort mit Hilfe eines sicheren Voters aus-gewertet. (→ 4, 10).

Einlesemöglichkeiten:• Beide Messwerte jeweils mit Hilfe des Stromausgangs.• Beide Messwerte mit Hilfe des sicheren HART®-Protokolls.• Ein Messwert mit Hilfe des Stromausgangs und ein Messwert mit Hilfe des sicheren HART®-Proto-

kolls.Welche Abweichungen in diesen beiden SIL 2 Sensor-Messketten zulässig sind, z. B. zeitlicher Ver-satz der Messwerte, Abweichung der Messwerte selbst, hängt von der Wahl des Sensors ab. Diesmuss entsprechend berechnet und im Voter konfiguriert werden.


10 Endress+Hauser

RTD/TCRTD/TC

2 2

3

4

1

=

CMP

PLS

A0020743-DE

4 Beispiel mit Stromausgang am ersten Transmitter und Stromausgang oder sicheres HART®-Signal amzweiten Transmitter. PLS-Voting der beiden Sensorwerte: SIL 3

1 2 Temperatursensoren2 2 Temperaturtransmitter (Bauform Kopftransmitter)3 4...20 mA Stromausgang4 4...20 mA Stromausgang mit sicherer HART®-Kommunikation

Durch entsprechende Konfiguration und Einsatz von zwei Temperaturtransmittern mit jeweilszwei angeschlossenen Sensoren besteht die Möglichkeit, mit nur zwei Temperaturtransmitternauch zwei SIL 3 Temperatur-Messstellen aufzubauen.

RTDRTD

2

3

1

TMT82

TCTC

1

TMT82

3

4

=

CMP

5

A0020745

5 Beispiel mit zwei sicheren Messwerten bei zwei SIL 3 Temperatur-Messstellen.

1 Temperatursensoren in den Messstellen, wahlweise je Messstelle RTD oder TC-Sensoren2 RTD-Sensorsignalleitungen (z. B. 3-Leiter)3 4...20 mA Stromausgang mit sicherer HART®-Kommunikation4 TC-Sensorsignalleitungen5 PLS-Voting der beiden Sensorwerte, jeweils RTD und TC: 2 sichere Messwerte, wenn für mindestens einen der

beiden Messwerte das sichere HART®-Protokoll verwendet wird.

Diagnose-Ereignis Sensordrift

Bei Einsatz von redundanten Sensoren kann eine Erkennung einer Sensordrift, z.B. Langzeitdrift beiEinsatzdauer von einem Jahr, durchgeführt werden. Dies ist eine Diagnosemaßnahme für die Mess-


Endress+Hauser 11

kette als Ganzes, d.h. Sensor mit Transmitter, und wird als sicherheitsrelevantes Diagnoseereignisvom Transmitter zur Verfügung gestellt. Die Diagnose ist aber nicht relevant für die Sicherheit desTransmitters selbst, da das Signal des zweiten Sensors ausschließlich für diese spezielle Diagnoseverwendet wird. Ob dabei identische Sensoren eingesetzt werden, hängt von der Anwendung ab.Werden identische Sensoren eingesetzt, kann zusätzlich die Backup Funktion genutzt werden. Hier-bei muss jedoch beachtet werden, dass die Fehleroffenbarungs-Qualität bezüglich der Sensordriftbeeinträchtigt werden kann, da beide Sensoren identisch sind und evtl. ähnlich driften können.

Der zu erreichende DC (Diagnostic Coverage) muss manuell berechnet werden. Die Sensordrift Dia-gnose kann vom Transmitter sicher ausgeführt werden. Hierzu müssen eventuell auch die Kennli-nien der Sensoren aus den Normen herangezogen werden.

Im folgenden Beispiel soll aufgezeigt werden, dass es keine Common Cause Fehler zwischenden beiden Sensoren und deren Verdrahtungen gibt, wobei dies für identische Sensoren even-tuell schwierig ist. Identische Sensoren können dazu führen, dass die Drift gleich verläuft. DieDrift-Diagnose wird eine Drift von identischen Sensoren nicht immer offenbaren können. DerTransmitter selbst ist zwar ein Common Cause, der aber durch seine Selbsttests diese Fehlerselbstständig offenbart und somit bei dieser Überlegung außer Acht gelassen werden kann. Esmüssen alle Fehler erfasst werden, die auf rund der Einsatzbedingungen zu einem Ausfall einesder Sensoren führen können. Bei jedem dieser Fehler muss ermittelt werden, mit welcherWahrscheinlichkeit eine Abweichung von ∆T pro Zeiteinheit auftritt. Anhand dieser Informa-tion muss die Einstellung für das ∆T bezüglich der Diagnose durch den Transmitter erfolgen. Zubeachten ist hier die Genauigkeit der einzelnen Werte (→ 15). Der eingestellte Drift-Diffe-renz-Grenzwert sollte mindestens 2x den Wert der Gesamt-Sicherheits-Genauigkeit (GSG) ent-sprechen.

Beispiel: Die Drift ist 0 (nicht Drift des Transmitters), wenn kein Fehler in einem der Sensorenauftritt. Wenn bei jedem der benutzten Sensoren ein Fehler von ±10,0 K pro Jahr mit einerWahrscheinlichkeit von 90% auftritt, die Drift aufgrund des Transmitters bei 2,0 K pro Jahr unddie GSG pro Sensor bei 5,0 K liegt, empfiehlt sich die Einstellung der Driftgrenze bei 10,0 K. DieWahrscheinlichkeit, diesen Fehler zu entdecken, liegt somit bei 90%. Da diese ausführlichenDaten meist nicht zur Verfügung stehen, empfiehlt es sich, den Wert als GSG1 + GSG2 zuwählen, also die Summe der Gesamt-Sicherheits-Genauigkeiten der beiden verwendetenSensoren.

Für die redundante Messung gibt es dazu eine einstellbare Grenze ∆T in Kelvin, die im Intervall:1,0…999,0 K in Schritten von 0,1 K frei einstellbar ist. Die Werkseinstellung ist 999,0 K. Sobald dieDrift-Differenz für länger als die eingestellte Zeit (0…255 s) diese Grenze überschreitet, geht dasSystem in den aktiv sicheren Zustand, denn es ist nicht erkennbar, welcher Sensor eine Drift hat.

Es kann nur die Drift-Differenz beider Sensoren erfasst werden. Wenn beide Sensoren gleich-mäßig driften, wird dies durch dieses Diagnose-Ereignis nicht erkannt.

Bei dieser Anwendung wird keine Erhöhung der Verfügbarkeit erreicht, da hierbei keine Sen-sorumschaltung zwischen den redundanten Sensoren eingestellt wird. Fällt ein Sensor aus,steht das gesamte System. Dies gilt auch für die Verwendung zweier identischer Sensoren ineiner Backup-Funktion. Eine Drift kann z. B. bei einem Thermoelement-Sensor Typ B bis zu 38K pro Jahr betragen.

HART®-Konfiguration

Die sichere Übermittlung des Messwertes über das HART®-Protokoll als Ausgangssignal wird zusätz-lich zum sicheren Stromausgang im Transmitter realisiert. Für den „sicheren HART-Ausgang“ isteine proprietäre Erweiterung/Zusatz-Schicht des HART®-Protokolls im Transmitter umgesetzt wor-den.

In der Betriebsphase, nach Umschaltung in den SIL-Modus, sind folgende Konfigurationen bezüglichHART® möglich:• Keine HART®-Kommunikation, nur Stromausgang ist aktiv, → Modem im Transmitter wird abge-

schaltet.• HART®-Kommunikation (sicher oder unsicher) → Modem im Transmitter ist aktiv.Während der sicheren Parametrierung ist die sichere Messwertübermittlung über HART® konfigu-rierbar. Wird die sichere Messwertübermittlung via HART® ausgewählt, muss jede Minute mindes-tens ein HART®-Telegramm vollständig empfangen und beantwortet werden. Dabei dürfenWiederholungen (Retries) gemacht werden, aber der Abschluss des HART®-Kommandos muss inner-halb dieser Minute fertig sein. Sollte diese Zeit nicht eingehalten werden, schaltet der Transmitter inden aktiv sicheren Zustand.


12 Endress+Hauser

Um die Messgenauigkeit am Stromausgang zu verbessern, wird empfohlen, im SIL-Modus amStromausgang immer einen HART®-Filter zu verwenden.

Der Transmitter kann im SIL-Modus auch ohne HART®-Filter und bei aktivem HART®-Modembzw. HART®-Messwerten eingesetzt werden. Hierbei jedoch beachten, dass die zusätzlichen„Fehler“ (max. ±0,6 mA auf dem Stromausgang) durch die HART®-Telegramme bei der Aus-wertung der Messwerte berücksichtigt werden.

Anwendung als sicherheits-bezogenes System

Um das sicherheitsbezogene System verwenden zu können, wird der Temperaturtransmitter und einfür Sicherheitsfunktionen vom Transmitter unterstützter Sensor benötigt. Der Transmitter muss überden analogen Stromausgang oder über die HART®-Kommunikation an eine sichere SPS angeschlos-sen werden. Das Signal des Transmitters kann in der sicheren SPS dann direkt verarbeitet werden.Das PLS (Logikkomponente) muss in der Lage sein, LOW-Alarme und HIGH-Alarme zu verarbeiten.

Die Sicherheitsfunktionen sind nur aktiv, wenn sich der Transmitter im SIL-Messmodus befin-det. Ohne Umschalten des Systems in den SIL-Messmodus ist das System nicht sicher und führtdaher auch keine Sicherheitsfunktionen aus.

Betriebsarten des Sys-tems

Funktionsweise

Normal-Modus (= Unsi-cherer Messmodus)

Das System funktioniert wie ein Temperturtransmitter ohne SIL-Betrieb. Es führtkeine sicherheitsbezogenen Funktionen aus und kann in diesem Modus nicht ineiner Sicherheitskette eingesetzt werden!

Sicherer Mess-Modus (=SIL Modus bzw. SIL-Mess-modus)

Das System führt die Sicherheitsfunktion aus. Nur in diesem Modus arbeitet dasSystem auf sichere Weise. Um diesen Modus aktivieren zu können, muss das Sys-tem über eine sichere Parametrierung korrekt konfiguriert worden sein.

SIL-Modus – Aktiversicherer Zustand

Im aktiven sicheren Zustand erzeugt das System den Fehlerstrom (immer LOW-Alarm) bzw. einen Fehlerwert am Stromausgang über HART® (z.B. im SafeStat Bytedes sicheren HART®-Protokolls). Das System wartet auf einen Restart.

Sicherheitsfunktionen Sicherheitsanforderungen und Randbedingungen

Die sicheren Ausgangswerte am Stromausgang werden immer gemäß NAMUR NE43 geliefert.

Das Gerät verfügt über mehrere Sicherheitsfunktionen:• SAF 1: Grenzwertüberwachung• SAF 2: Sichere Messung• SAF 3: Sichere Parametrierung (→ 20)

HINWEISKeine der Sicherheitsfunktionen berücksichtigt bei Kontakt des Mediums mit dem Sensor phy-sikalische oder chemische Einflüsse des Mediums auf das Sensorelement und somit auf denMesswert. Das bedeutet, dass in diesem Handbuch bezüglich der Sicherheitsfunktionen dieMessgenauigkeit als Präzision gemäß DIN 55350-13 gekennzeichnet wird!‣ Physikalische und chemische Einflüsse des Mediums auf den Messwert im jeweiligen Anwen-

dungsfall selbst bewerten.

Um die Sicherheitsfunktionen verwenden zu können, muss das Gerät über ein Bedientool in densicheren SIL-Modus gebracht werden. Dazu muss das System sicher parametriert (SAF 3) undin den SIL-Modus gewechselt werden. (→ 30) Im sicheren SIL-Messmodus ist das Gerät inder Lage, die Sicherheitsfunktionen SAF 1 und SAF 2 auszuführen.

Sofern nicht anders angegeben, beziehen sich alle Kommentare, Hinweise, Beschränkungenetc. in diesem Handbuch auf die Sicherheitsfunktionen SAF 1 und SAF 2. SAF 3 ist eine spezi-elle Sicherheitsfunktion, die im Gegensatz zu SAF 1/SAF 2 nur zur Vorbereitung von SAF1/SAF 2 dient und somit nicht kontinuierlich durch das Gerät ausgeführt werden muss.

Alle Sicherheitsfunktionen können mit allen Sensor-Konfigurationen aus Kapitel 'Aufbau desMesssystems' (→ 8) verwendet werden. Dabei ist zu beachten, dass immer nur der Mess-wert eines Sensors auf den Stromausgang gelegt werden kann. Soll der Transmitter mehreresichere Messwerte übermitteln, muss SAF 2 mit sicherem HART®-Protokoll verwendet werden.SAF 1 kann für beide Sensoren getrennt eingestellt werden. Die Sicherheitsfunktionen (jeweilsSAF 1 bzw. SAF 2 für jeden Sensor) beeinflussen sich nicht!


Endress+Hauser 13

Sicherheitsfunktion 1 (SAF 1) - Grenzwertüberwachung

-100 °C-200 °C-201 °C 400 °C 850 °C 851 °C

Good = 0 x842x842 F102F101

X = F, M, S

F102F101

X = F, M, S

4.0 mA

20.0 mA

-106.25 °C 415.625 °C

20.5 mA

4.0 mA

20.0 mA

3.8 mA

6.25 °C = (400 °C-(-100 °C)/16 mA) x 0.2 mA 15.625 °C = (400 °C-(-100 °C)/16 mA) x 0.5 mA

1 OutOfRangeAlarm =Ausfall(F)

2 OutOfRangeAlarm = Ausserhalb der Spec. (S) bzw. Wartung (M)

„Messwert“

Stromausgang SIL

„Messwert“

„Fehlerstrom“

Sensor-Grenze oder

empfohlene Grenze

(TC)

Sensor-Grenze oder

empfohlene Grenze

(TC)

(3.58 mA)„Fehlerstrom“

(3.58 mA)„Fehlerstrom“(3.58 mA)„Fehlerstrom“

A0020742-DE

6 Überwachung des Messwertes: Im SIL-Modus wird bei einer Messung außerhalb eines benutzerdefiniertenTemperatur-Intervalls [I min... Imax] ein Fehlerstrom ausgegeben. Statt eines Intervalls kann auch nur einoberer oder ein unterer Grenzwert definiert werden. In diesem Fall ist der andere Grenzwert gleich demmöglichen minimalen (= 4,0 mA) oder maximalen (= 20,0 mA) Messwert. Hier beispielsweise: Imin =-100 °C, Imax = 400 °C Die Gesamt-Sicherheits-Genauigkeit ist somit von der Konfiguration der Stromaus-gangsspreizung bzw. Sättigung abhängig.

1 Kurve OutOfRangeAlarm = Statussignal Ausfall (F)2 Kurve OutOfRangeAlarm = Statussignal Außerhalb der Spezifikation (S) bzw. Wartung erforderlich (M)


14 Endress+Hauser

Sicherheitsfunktion 2 (SAF 2) - Sichere Messung

Die Sicherheitsfunktion der Messkette besteht in der Ausgabe des Spannungs-, Widerstands- oderTemperaturwertes entweder auf dem Stromausgang oder über eine sichere Übertragung auf HART®.Die Messwertübertragung über das „normale" HART®-Protokoll ist nicht sicher. Eine sichere Übertra-gung des Messwerts ist nur mit Hilfe des „sicheren HART®-Protokolls“ möglich. Hierzu werden dermV-Wert bzw. Ohm-Wert und entsprechend weitere notwendige Werte wie Referenzspannung,Temperatur an Sensorklemme, etc.) mit einer vorgegebenen Präzision und Genauigkeit gemessen.Der Temperaturwert wird berechnet, falls die Temperaturmessung benutzt wird und schließlich ineinen mA-Wert konvertiert. Dieser wird am Stromausgang ausgegeben bzw. über eine sichereHART® Übertragung weitergegeben.

Sichere HART®-Übertragung bei SAF 2

Die Übertragung via HART® Protokoll im SIL-Modus unterliegt den folgenden Einschränkungen:• Es ist kein Multidrop-Betrieb möglich• Es ist kein Burst-Modus möglich

Im SIL-Modus kann das HART®-Modem im Transmitter folgende Zustände einnehmen:• HART® Modem ist deaktiviert• HART® Modem ist aktiv, aber keine HART®-Kommunikation• HART® Modem ist aktiv, mit zyklischer, unsicherer HART®-Kommunikation• HART® Modem ist aktiv, mit zyklischer, sicherer HART®-KommunikationDiese unterschiedlichen Zustände haben einen Einfluss auf die PFH-/PFD-/SFF-Werte des Transmit-ters. Die in diesem Handbuch angegebenen PFH/PFD/SFF-Werte berücksichtigen dies bereits. DerTransmitter kann im SIL-Modus, Betriebszustand: HART Modem aktiv den Messwert über ein„sicheres HART®-Protokoll“ übertragen. Die sichere Übertragung des Messwerts erfolgt über herstel-lerspezifische proprietäre HART®-Kommandos.

Präzision und Timing von SAF 1 und SAF 2

Voraussetzung bei allen folgend aufgeführten Informationen oder Ergebnissen ist, dass keineFehler aufgrund fehlerhafter Sensoren vorliegen, z.B. schlechte Materialeigenschaften, Risse,etc.

Der Fehler bei der Messung mit dem Transmitter ergibt sich aus mehreren Teilen:• A/D-Fehler bzw. Messabweichung: Fehler bei der Wandlung des analogen Signals in ein digitales

Signal für die Verarbeitung im Transmitter.• D/A-Fehler bzw. Messabweichung: Fehler bei der Wandlung des digitalen Messwertes im Trans-

mitter auf ein analoges Signal auf dem Stromausgang 4…20 mA. 2)

• Drift-Fehler: Fehler, der durch die Drift des Messsystems über die Zeit entsteht, die sogenannteLangzeitdrift.

Gültigkeiten der Angaben zur Gesamt-Sicherheits-Genauigkeit:• Gesamter Temperaturbereich des Transmitters• Definierter Bereich der Versorgungsspannung• Eingeschränkter Sicherheitsmessbereich des Sensorelements, der evtl. kleiner ist als der zulässige

Einsatz-Temperaturbereich der Sensorelemente.• Genauigkeit beinhaltet bereits alle Rundungsfehler in der Software aufgrund der Linearisierung

und der Berechnungen.• Minimale Messspanne bei jedem Sensor, siehe entsprechende Tabelle• Für jeden Eingangskanal des Transmitters• Beide Gehäuseformen: Hutschienen- und Kopftransmitter• Die Angaben sind 2σ Werte, d. h. 95,4 % aller Messwerte haben maximal diese Abweichung vom

wahren Messwert.

2) Dieser Fehler entfällt, wenn die sichere Messwertausgabe über das HART®-Protokoll verwendet wird. Es entfällt jedoch nicht der Fehler der Driftder D/A-Wandlung, weil dieser im Langzeitdrift enthalten ist und immer angenommen werden muss.


Endress+Hauser 15

Gesamt-Sicherheits-Genauigkeiten

Thermoelemente

Standard Bezeichnung Min. Mess-spanne

Eingeschränkter Sicherheits-messbereich

Messabwei-chung (+A/D),–40…+70 °C(–40…+158 °F)

Messab-weichung(D/A)

Langzeit-drift 1)

IEC 60584-1

Typ A (W5Re-W20Re) (30)Typ B (PtRh30-PtRh6) (31)Typ E (NiCr-CuNi) (34)Typ J (Fe-CuNi) (35)Typ K (NiCr-Ni) (36)Typ N (NiCrSi-NiSi) (37)Typ R (PtRh13-Pt) (38)Typ S (PtRh10-Pt) (39)Typ T (Cu-CuNi) (40)

50 K (90 °F)50 K (90 °F)50 K (90 °F)50 K (90 °F)50 K (90 °F)50 K (90 °F)50 K (90 °F)50 K (90 °F)50 K (90 °F)

0…+2 500 °C (+32…+4 532 °F)+500…+1 820 °C (+932…+3 308 °F)–150…+1 000 °C (–238…+1 832 °F)–150…+1 200 °C (–238…+2 192 °F)–150…+1 200 °C (–238…+2 192 °F)–150…+1 300 °C (–238…+2 372 °F)+50…+1 768 °C (+122…+3 214 °F)+50…+1 768 °C (+122…+3 214 °F)–150…+400 °C (–238…+752 °F)

12 K (21,6 °F)5,1 K (9,2 °F)4,9 K (8,8 °F)4,9 K (8,8 °F)5,1 K (9,2 °F)5,5 K (9,9 °F)5,6 K (10,1 °F)5,6 K (10,1 °F)5,2 K (9,4 °F)

0,5 % derMess-spanne

1,42 °C/Jahr2,01 °C/Jahr0,43 °C/Jahr0,46 °C/Jahr0,56 °C/Jahr0,73 °C/Jahr1,58 °C/Jahr1,59 °C/Jahr0,52 °C/Jahr

IEC 60584-1;ASTM E988-96 Typ C (W5Re-W26Re) (32) 50 K (90 °F) 0…+2 000 °C (+32…+3 632 °F) 7,6 K (13,7 °F) 0,94 °C/Jahr

ASTM E988-96 Typ D (W3Re-W25Re) (33) 50 K (90 °F) 0…+2 000 °C (+32…+3 632 °F) 7,1 K (12,8 °F) 1,14 °C/Jahr

DIN 43710 Typ L (Fe-CuNi) (41)Typ U (Cu-CuNi) (42) 50 K (90 °F) –150…+900 °C (–238…+1 652 °F)

–150…+600 °C (–238…+1 112 °F)4,2 K (7,6 °F)5,0 K (9 °F)

0,42 °C/Jahr0,52 °C/Jahr

GOSTR8.8585-2001

Typ L (NiCr-CuNi) (43) 50 K (90 °F) –200…+800 °C (–328…+1 472 °F) 8,4 K (15,1 °F) 0,53 °C/Jahr

Spannungsgeber (mV) 5 mV –20…100 mV 200 µV 27,39 µV/Jahr

1) Angaben bei 25 °C, Werte müssen gegebenfalls auf andere Temperaturen hochgerechnet werden.

RTD Sensoren

Standard Bezeichnung Min. Mess-spanne

Eingeschränkter Sicherheitsmess-bereich

Messabwei-chung (+A/D),–40…+70 °C(–40…+158 °F)

Messab-weichung(D/A)

Langzeitdrift 1)

IEC 60751:2008

Pt100 (1)Pt200 (2)Pt500 (3)Pt1000 (4)

10 K (18 °F)10 K (18 °F)10 K (18 °F)10 K (18 °F)

–200…+600 °C (–328…+1 112 °F)–200…+600 °C (–328…+1 112 °F)–200…+500 °C (–328…+932 °F)–200…+250 °C (–328…+482 °F)

1,1 K (2,0 °F)1,6 K (2,9 °F)0,9 K (1,6 °F)0,6 K (1,1 °F)

0,5 %der Mess-spanne

0,23 °C/Jahr0,92 °C/Jahr0,38 °C/Jahr0,19 °C/Jahr

JIS C1604:1984 Pt100 (5) 10 K (18 °F) –200…+510 °C (–328…+950 °F) 1,0 K (1,8 °F) 0,32 °C/Jahr

DIN 43760IPTS-68

Ni100 (6)Ni120 (7) 10 K (18 °F) –60…+250 °C (–76…+482 °F)

–60…+250 °C (–76…+482 °F)0,4 K (0,7 °F)0,3 K (0,54 °F)


GOST 6651-94 Pt50 (8)Pt100 (9)

10 K (18 °F)10 K (18 °F)

–180…+600 °C (–292…+1 112 °F)–200…+600 °C (–328…+1 112 °F)

1,3 K (2,34 °F)1,2 K (2,16 °F)


OIML R84: 2003,GOST6651-2009

Cu50 (10)Cu100 (11)

10 K (18 °F)10 K (18 °F)

–180…+200 °C (–292…+392 °F)–180…+200 °C (–292…+392 °F)

0,7 K (1,26 °F)0,5 K (0,9 °F)


Ni100 (12)Ni120 (13)

10 K (18 °F)10 K (18 °F)

–60…+180 °C (–76…+356 °F)–60…+180 °C (–76…+356 °F)

0,4 K (0,72 °F)0,3 K (0,54 °F)


OIML R84: 2003,GOST 6651-94

Cu50 (14) 10 K (18 °F) –50…+200 °C (–58…+392 °F) 0,7 K (1,26 °F) 0,45 °C/Jahr

Widerstandsge-ber Ω

400 Ω2 000 Ω

10 Ω100 Ω

10…400 Ω10…2 000 Ω

0,5 Ω2,1 Ω

0,096 Ω/Jahr0,51 Ω/Jahr

1) Angaben bei 25 °C, Werte müssen gegebenfalls auf andere Temperaturen hochgerechnet werden.

In diesen Angaben sind keine Abweichungen durch EMV-Beeinflussung berücksichtigt. Im Falle vonnicht vernachlässigbaren EMV-Störungen ist eine zusätzliche Abweichung von 0,5% der Messs-panne auf die obigen Werte zu addieren.

Ein ausführliches Berechnungsbeispiel ist im Anhang zu finden. (→ 40)


16 Endress+Hauser

Sicherheitsbezogenes Signal und sicherer Zustand

Beim sicherheitsbezogenen Signal handelt es sich um die Analogausgabe 4…20 mA auf dem Strom-ausgang und/oder der sicheren Übermittlung über das HART®-Protokoll mit Hilfe einer proprietärenHART®-Erweiterung. Es gibt keine anderen sicheren Ausgänge.

Der sichere Zustand wird wie folgt definiert:• Kein Stromausgang (= 0 mA) für min. 4 s• Niedriger Fehlerstrom (≤ 3,6 mA am Ausgang für min. 4 s)• Übertragung des sicheren Zustands über sichere HART®-Kommunikation. Die sicheren Signale

müssen von einer angeschlossenen logischen PLS-Komponente verarbeitet werden.Der Fehlerstrom ≥ 21 mA (HIGH-Alarm) wird im SIL-Modus nicht für die Signalisierung dessicheren Zustandes genutzt.

Der Transmitter verlässt den sicheren Zustand, sobald er neu gestartet wird. Beim erneuten Startsind alle Selbsttests erfolgreich, wenn

• der Transmitter korrekt in den SIL-Modus gestartet wurde und• der Transmitter einen Messwert (≠ Fehlerstrom) ausgibt.

HINWEISDer sichere Zustand wird von der angeschlossenen logischen PLS-Komponente erkannt. Dieseerkennt jedoch nicht, ob der Transmitter 'repariert' wurde, sondern erkennt lediglich einenMesswert, nachdem der Fehlerstrom mindestens 4 s angelegen hat.‣ Transmitter manuell zurücksetzen (resetten), z. B. stromlos schalten, in dem die Leitungen der

Spannungsversorgung (Klemmen + und -) abgeklemmt werden.

Sicheres HART® Das sichere HART®-Protokoll ist eine proprietäre, aber zum HART®-Standard kompatible Erweite-rung des HART®-Protokolls. Es dient dazu, Messwerte aus dem Transmitter (Slave) über das HART®-Protokoll sicher (bis zu SIL3) an ein angeschlossenes Leitsystem (Host) zu übertragen, um dort sicherweiterverarbeiten zu können. Das HART®-Protokoll selbst ist als unsicher anzusehen, d.h. der Über-tragungskanal, in diesem Fall der HART®-Bus, wird als „grauer Kanal“ angesehen.

Für die sichere Messwertübertragung (sichere Übertragung) gibt es ein neues proprietäres HART®-Kommando, welches die Informationen mit Sicherungs-Daten im Nutzdatenblock der HART®-Kom-mandos verpackt. Das sichere HART®-Protokoll ist als sicher nach den Vorgaben der EN50159-1anzusehen. Es wird davon ausgegangen, dass sonst keine fremden Teilnehmer am Bus sind. Diesmuss vom Anwender entsprechend geprüft werden.

Für eine detaillierte Beschreibung des sicheren HART®-Protokolls zur Verwendung in einemProzessleitsystem an das zuständige Vertriebsbüro wenden!

Einschränkungen für die sichere FunktionAlle Hinweise in der Betriebsanleitung BA01028T/09/ zur Montage des Temperaturtransmit-ters beachten. Die vorgegebenen Umgebungsbedingungen sind jederzeit einzuhalten.

Bei Einsatz im explosionsgefährdeten Bereich siehe: Sicherheitshinweise Temperaturtransmit-ter für elektrische Betriebsmittel für explosionsgefährdete Bereiche (XA00102T/09/a3).

Weitere obligatorische Einschränkungen für die Verwendung in sicherheitsbezogenen Anwendun-gen‣ Montage, Inbetriebnahme, Bedienung und Wartung des Sicherheitsmesssystems dürfen nur von

entsprechend qualifiziertem technischen Personal durchgeführt werden. Das technische Personalmuss vom Betreiber/Bediener zur Durchführung der Aufgaben am sicherheitsrelevanten Systemautorisiert sein.

‣ Safe HART/sicheres HART: Es darf nur ein HART®-Modem, welches HART®-Standard konformist, als Gegenstelle zum Transmitter verwendet werden, da der Standard eine Bit-Fehler-Ratevom Modem fordert.

‣ Die Berechnung der Ausfallraten basiert auf der Annahme, dass das Gerät bei einer durchschnitt-lichen Umgebungstemperatur von 60 °C (140 °F) oder 40 °C (104 °F) betrieben wird. Bei höherenUmgebungstemperaturen müssen die Ausfallraten entsprechend korrigiert werden.

‣ Vor Inbetriebnahme muss die Transmitterverdrahtung sorgfältig überprüft werden.‣ Die Umgebungsbedingungen gemäß IEC 61326-3-2 sind einzuhalten.


Endress+Hauser 17

‣ Der erlaubte Spannungsbereich des SIL-Gerätes beträgt: Vcc = 11…32 V für den Kopftransmitterund Vcc = 12…32 V für den Hutschienen-Transmitter. Die Spannungsversorgung muss kurz-schlussfest sein und sicherstellen, dass der obere Fehlerstrom jederzeit noch ausgebbar ist.

‣ Der Einsatz des Transmitters in einer radioaktiven Umgebung (ausgenommen natürliche Radio-aktivität) ist unzulässig.

‣ In der räumlichen näheren Umgebung des Transmitters dürfen keine starken magnetischen Fel-der bestehen.

‣ Das Gerät muss vor Überspannung (z. B. Blitzeinschlag) oder starken elektromagnetischen Stö-rungen geschützt werden.

‣ Sensorseitig müssen geschirmte Leitungen für den Hutschienentransmitter ab einer Länge von30 m (98,4 ft) verwendet werden.

‣ Der Kopftransmitter darf nur im Anschlusskopf und nicht als Hutschienen-Ersatz mit abgesetz-ten Sensoren betrieben werden.

‣ Die Polarität der Anschlüsse sorgfältig überprüfen.‣ Zulässige Lagerungstemperatur für Kopftransmitter = –50…+100 °C (–58…+212 °F) und Hut-

schienengerät = –40…+100 °C (–40…+212 °F).‣ Zulässige Umgebungstemperatur –40…+70 °C (–40…+158 °F). Bei Überschreitung dieser Umge-

bungstemperaturgrenzen wird eine abgesetzte Montage des Transmitters empfohlen.‣ Die CDI Schnittstelle nie gleichzeitig mit einem angeschlossenen Stromausgang benutzen. Hierzu

bei Einsatz in explosionsgefährdeten Bereichen auch die Anweisungen in der XA beachten.‣ Die CDI-Schnittstelle darf nur zur Systemdiagnose durch den Hersteller-Service verwendet wer-

den. Wird die CDI-Schnittstelle nicht verwendet, muss die Abdeckung der CDI-Schnittstelle beimKopftransmitter angebracht sein. Der Hutschienentransmitter verfügt über keine Abdeckung derCDI-Schnittstelle.

‣ Der Netz-Frequenz-Filter ist korrekt einzustellen, je nach Anwendung auf 50 Hz oder 60 Hz.Diese Einstellung stellt jedoch keine Maßnahme gegen EMV-Störungen dar. Für einen optimalenEMV-Schutz muss die Anlage selbst mit entsprechenden Maßnahmen ausgestattet sein, z. B.passive Maßnahmen wie Abschirmung, sodass eigentlich kein Netzfilter nötig ist. Der Netzfilterhat keine negativen Auswirkungen auf die Sicherheitsfunktion.

‣ Es wird empfohlen, nur geschirmte HART®-Leitungen zu verwenden (siehe auch zugehörigeBetriebsanleitung).

‣ Der maximal zulässige Sensorleitungswiderstand bei Spannungsmessungen am Sensoreingang 1oder/und 2 beträgt 1 000 Ω.

‣ Die Stromschleife muss jederzeit überwacht werden.‣ DUAL-Seal (CEC) berücksichtigen (zweite Prozessbarriere).‣ Sichtkontrolle des Sensors und des Schutzrohres bzgl. Eintauchtiefe, Material, Dichtigkeit, etc.‣ Es wird eine Schutzrohr-Berechnung empfohlen.‣ Potenzialdifferenzen bei geerdeten Thermoelement-Sensoren vermeiden. Mindestens ein nicht

geerdetes Thermoelement verwenden.‣ Bei fixer Vorgabe der Klemmentemperatur ist sicherzustellen, dass die Klemmentemperatur kon-

stant bleibt oder eine mögliche Abweichung in den Genauigkeitsbetrachtungen berücksichtigtwird.

‣ Eine Verpolung bei der Verdrahtung von Thermoelementen führt zu einem inversen Tempera-turverlauf. Die Prozesstemperatur verläuft dann umgekehrt proportional zur gemessenen Tem-peratur. Verpolung vermeiden! Dies ermöglicht die Kontrolle des proportionalen Werteverlaufs.

‣ Für den SIL-Betrieb sind generell RTD-Sensoren besser geeignet als Thermoelemente-Sensoren.

Parameter der funktionalen Sicherheit

Das System nutzt immer denselben Satz an Selbst-Diagnosen, unabhängig von der Messgröße: Tem-peratur, Spannung oder elektrischer Widerstand. Daher sind die sicherheitsrelevanten Aussagen undParameter für alle drei Messgrößen gleich.

Spezifische Parameter der funktionalen Sicherheit für den einkanaligen Gerätebetrieb und für beideGehäusevarianten (Hutschienen-/Kopftransmitter)

Parameter gemäß IEC 61508, ed. 2.0 Temperaturtransmitter

Sicherheitsfunktion 1: Temperatur-Grenzwertüberwachung (SAF 1)2: Messung des Temperatur-Wertes (SAF 2)

3: Sichere Parametrierung (SAF 3)

SIL Hardware: 2Software: 3

In homogener Redundanz: 3

HFT 0


18 Endress+Hauser

Parameter gemäß IEC 61508, ed. 2.0 Temperaturtransmitter

Gerätetyp B

Betriebsart Low demand mode

MTTR (zur Berechnung von PFD verwendet) 24 h

t1 (Prüfintervall) 1 Jahr (empfohlen) (→ 7, 18)

Umgebungstemperatur 60 °C (140 °F) 40 °C (104 °F)

λSD 7 FIT 4 FIT

λSU 286 FIT 129 FIT

λDD 567 FIT 258 FIT

λDU 84 FIT 40 FIT

λTotal Safety 1) 943 FIT 431 FIT

λTotal Transmitter 1) 1618 FIT 734 FIT

SFF 91,3 % 90,7 %

PFDavg (für t1 = 1 Jahr) 2) 3,6 x 10-4

PFH 8,2 x 10-8

MTBF / MTBFDU 1) 71 Jahre / 1227 Jahre

Diagnose-Prüfintervall 3) < 32 min mit RAM/Flash Test< 45 s ohne RAM/Flash Test

< 14,7 s ohne RAM/Flash Test und externen Fehlern

Fehlerreaktionszeit 4) < 10,7 s

DCD (= Diagnostic Coverage Dangerous = Dia-gnose-Deckungsgrad für gefährliche Ausfälle)

87 %

1) Gemäß Siemens SN29500 bei +60 °C (+140 °F) oder +40 °C (+104 °F). MTBF berechnet als reziproker Wertvon PFH/ λTotal , ausgehend von einer konstanten Ausfallrate.

2) Andere (z. B. längere) Prüfintervalle können jederzeit festgelegt werden. Mit dem abgebildeten Diagrammkann ein passendes Intervall ausgewählt werden.

3) Während dieser Zeit werden alle Diagnosefunktionen mindestens einmal vollständig ausgeführt.4) Zeit zwischen Erkennung eines Ausfalls und Reaktion auf den Ausfall. Hierbei handelt es sich um den Feh-

lerstrom.

1 2 3 6 8 10

PFDavg

3.0E-03

2.5E-03

2.0E-03

1.5E-03

1.0E-03

5.0E-04

0.0E+00

t4 5 7 9

3.5E-03

4.0E-03

A0021428

7 1oo1D-Aufbau. PFDavg in Abhängigkeit des gewählten Prüf-intervalls (t in Jahren). Das Prüfintervall hängt von PFDavg

für den 1oo1D-Aufbau des Transmitters ab.

Prüfintervalle 1 Jahr2 Jahre3 Jahre4 Jahre5 Jahre6 Jahre7 Jahre8 Jahre9 Jahre10 Jahre

PFDavg 3,6E-047,2E-041,1E-031,4E-031,8E-032,2E-032,5E-032,9E-033,3E-033,6E-03


Endress+Hauser 19

• Diese Angaben enthalten KEINE PFDavg/SFF-Werte für die verwendete externe Spannungs-versorgungen oder externe Spannungsüberwachungen.

• Zur Berechnung von PFDavg wurde ein Markov-Modell für ein 1oo1D-System verwendet.• Der sichere Betrieb des Gerätes erfordert eine korrekte Montage, Verdrahtung und Inbetrieb-

nahme.Gefährliche unerkannte Ausfälle in diesem SzenarioEin gefährlicher, unerkannter Ausfall wird als ein falsches Messsignal auf den Stromausgängen imBereich von 4…20 mA definiert, wobei ein falscher Messwert ein Wert ist, der um mehr als die vor-gegebene Präzision vom realen Messwert abweicht. (→ 14)Nutzungsdauer von elektronischen KomponentenDie zugrunde liegenden Ausfallraten gelten für die Nutzungsdauer gemäß IEC 61508-2 [IEC61508:2000], Abschnitt 7.4.7.4 Anmerkung 3 oder gemäß IEC 61508-2 [IEC 61508:2010],Abschnitt 7.4.9.5 Anmerkung 3. Andere Erfahrungswerte aus einem früheren Einsatz in einer ähnli-chen Umgebung können ebenfalls verwendet werden. Es wird davon ausgegangen, dass frühe Aus-fälle während der Fertigungsprüfung zu einem hohen Prozentsatz erkannt werden und daher dieAnnahme einer konstanten Ausfallrate während der Nutzungsdauer gültig ist. Gemäß IEC 61508-2[IEC61508:2000] Abschnitt 7.4.7.4 oder IEC 61508-2 [IEC61508:2010] Absschnitt 7.4.9.5 solltevon einer Nutzungsdauer basierend auf Erfahrungswerten ausgegangen werden.

Geräteverhalten bei Normalbetrieb und bei Störung

Geräteverhalten beim Ein-schalten

Nach Einschalten erfolgt eine interne Gerätediagnose, während ein Strom von 3,58 mA ausgegebenwird. Das sicherheitsbezogene Ausgangssignal steht im SIL Startup Modus: Aktiviert nach ca. 140 szur Verfügung. Im SIL Startup Modus: Deaktiviert hängt es davon ab, wie schnell die SIL-Prüfsummeeingegeben wird.

Geräteverhalten bei Anfor-derung

Wird ein interner Fehler erkannt, wechselt das Gerät innerhalb der Fehler-Reaktionszeit in densicheren Zustand (→ 16). Erreicht das Gerät den aktiven sicheren Zustand, wird am Stromaus-gang ein Fehlerstrom angezeigt und Fehler-Zustände werden über das HART®-Protokoll gesendet.Erreicht das Gerät den passiven sicheren Zustand, stoppt das System vollständig und startet automa-tisch nach spätestens 0,5 s neu.

Beachten, dass ein passiver sicherer Zustand auf ein ernstes Problem im System hinweist.

Geräteverhalten bei internerFehlererkennung

Fehlerstrom: Der Alarmstrom ist im SIL-Modus immer der Low-Fehlerstrom oder High-Fehler-strom.

Alarm- und Warnmeldungen werden zusätzlich in Form von Fehlercodes (siehe Betriebsanleitung)auf dem Display ausgegeben.

Resets: Das System wird nur dann zurückgesetzt, wenn• der Watchdog des Systems aktiviert wird,• das System einen Stromausfall erkennt,• das System physisch zurückgesetzt wird.

Montage

Montage, Verdrahtung undInbetriebnahme

Montage, Verdrahtung und Inbetriebnahme des Gerätes werden in der dazugehörigen Betriebs-anleitung detailliert beschrieben.

HINWEISEinschränkung des Gerätebetriebes durch Montage außerhalb der technischen Spezifikationen.‣ Kapitel 'Einschränkungen für die sichere Funktion' unbedingt beachten! (→ 16)

Einbaulage Abgesehen von den 'Einschränkungen für die sichere Funktion' bestehen keine weiteren Anforderun-gen an die Einbaulage des Gerätes.


20 Endress+Hauser

Bedienung und ParametrierungAbhängig von der verwendeten Konfigurationssoftware und der ausgewählten Sprache kann dieBenutzeroberfläche von den hier dargestellten Abbildungen abweichen.

Standardparametrierung Die Standardparametrierung des Transmitters ist ausführlich in der zugehörigen Betriebsanlei-tung beschrieben.

Sichere Parametrierung HINWEISDie Durchführung der sicheren Parametrierung muss dokumentiert werden! Dazu eignet sichdie 'Dokumentation Geräteparametrierung', die als Kopiervorlage am Schluss dieses Handbuchszu finden ist.‣ Die konfigurierten Parameter in der Spalte: 'Eingestellter Wert' eintragen. Das Datum, Uhrzeit

und die abschließend angezeigte SIL-Prüfsumme der sicheren Parametrierung müssen notiertwerden. Der am Schluss der sicheren Parametrierung eingetragene Zeitstempel kann über denParameter Zeitstempel SIL Parametrierung aufgerufen werden.

Alle in diesem Kapitel abgebildeten Screenshots entsprechen einer exemplarischen Darstellungdes Bedienmenüs. Je nach verwendetem Bedientool kann die Darstellung unterschiedlich aus-fallen.

1. Die sichere Parametrierung kann nur im Online-Betrieb durchgeführt werden, nicht im Off-line-Modus. Im Untermenü: Setup → Erweitertes Setup → SIL die sichere ParametrierungSIL aktivieren starten. Es öffnet sich das Fenster SIL Freigabecode

2.

A0021798-DE

In die Zeile SIL Freigabecode eingeben den Zahlencode 7452 eingeben. Nach Eingabe des korrekten Zugangscodes wird das Gerät die sicherheitsrelevanten Para-

meter auf deren Defaultwerte zurücksetzen.

Es öffnen sich daraufhin in einer festgelegten Reihenfolge die Eingabefenster für dieGeräteeinstellungen der sicheren Parametrierung, beginnend mit der Messgrößeneinheit.

3. HINWEIS! Jeder Parameter wird nach der Übertragung in das Gerät erneut ausgelesen undangezeigt. Anschließend muss die Entsprechung des angezeigten Wert mit dem eingegebenenWert bestätigt werden. Der zurückgelesene Wert enthält zusätzlich den Text xxx#END amEnde jedes Werts. Dieser ist zur Sicherstellung der korrekten Länge des gelesenen Parametersaus dem Gerät. Eine Tabelle mit der Kennzahl-Zuordnung zum eingestellten Parameter ist imAnhang dieses Sicherheitshandbuches zu finden. HINWEIS! Wird die Einheit Fahrenheit (°F) oder Rankine (°R) ausgewählt, kann es bei derParameterprüfung vorkommen, dass der gespeicherte Parameterwert um 0,01 °F oder °R vomeingegebenen Parameterwert abweicht. Diese Abweichung kann bei folgenden Parameternvorkommen: Anfang Messbereich (4 mA), Ende Messbereich (20 mA), Sensor Offset, Drift/


Endress+Hauser 21

Differenzüberwachung, Obere Sensorgrenze und Untere Sensorgrenze (nur bei Callendar vanDusen- oder Polynom Kupfer/Nickel-Sensoren). Alle relevanten Parameter des Transmitters in der vorgegebenen Reihenfolge eingeben undjeweils mit der Taste ENTER bestätigen.

4.

A0021812-DE

8 Parametereingabe und Bestätigung am Beispiel des Parameters: Anfang Messbereich

Auf das Feld 'Nächste' klicken. Anschließend erscheint das Fenster Parameterprüfung.

5.

A0021815-DE

Die eingegebenen Parameter hier nochmals überprüfen. In der Auswahl Parameterprüfung JAauswählen und mit der Taste ENTER bestätigen. Auf das Feld 'Nächste' klicken.


22 Endress+Hauser

Das Eingabefenster für die nächste Parametereinstellung erscheint.6.

A0021816-DE

9 Parametereingabe und Bestätigung am Beispiel der Parameter: Ende Messbereich und Bereichsver-letzung Kategorie

Den Wert Ende Messbereich eingeben, die Bereichsverletzung Kategorie auswählen und mitder Taste ENTER bestätigen. Auf das Feld 'Nächste' klicken. Anschließend erscheint das Fenster Parameterprüfung.

7.

A0021818-DE

Die eingegebenen Parameter hier nochmals überprüfen. In der Auswahl Parameterprüfung JAauswählen und mit der Taste ENTER bestätigen. Auf das Feld 'Nächste' klicken.


Endress+Hauser 23

Wenn alle sicherheitsrelevanten Parameter in der vorgegebenen Reihenfolge gesetzt sindund bestätigt wurden, erscheint abschließend eine komplette Übersicht aller nicht verän-derbaren Parameter.

8.

A0023184-DE

In dieser Übersicht werden alle nicht veränderbaren sicherheitsrelevanten Parameter (Stan-dardwerte) nochmals bestätigt. Sind alle Parametereinstellungen richtig gesetzt, in der Aus-wahl Bestätigen JA auswählen und mit der Taste ENTER bestätigen. Auf das Feld 'Nächste'klicken. Es erscheint abschließend eine komplette Übersicht aller veränderbaren sicherheitsrele-

vanten Parameter.


24 Endress+Hauser

9.

A0021833-DE

In der Übersicht werden alle sicherheitsrelevanten Parameter nochmals überprüft. Sind alleParametereinstellungen richtig gesetzt, in der Auswahl Parameterprüfung JA auswählen undmit der Taste ENTER bestätigen. Auf das Feld 'Nächste' klicken.

10.

A0021820-DE

10 Die Anzeige der SIL Prüfsumme erscheint. Diese wurde vom System aus den Einstellungen dersicherheitsrelevanten Parameter berechnet.

HINWEIS! Den Wert in der Anzeige SIL Prüfsumme in der Dokumentation (Logbuch, etc.) fürdiese Messstelle unbedingt notieren. Mit diesem Wert können die vorgenommenen Einstel-lungen dokumentiert werden und das Gerät jederzeit im SIL-Modus gestartet werden.


Endress+Hauser 25

Die SIL Prüfsumme im Feld SIL Prüfsumme eingeben eingeben und das Feld Zeitstempel SILParametrierung mit Datum und Uhrzeit ausfüllen. Die Eingaben mit der Taste ENTER bestäti-gen. Anschließend erscheint das Fenster Parameterprüfung.

11.

A0021823-DE

Erst wenn das Fenster Parameterprüfung erscheint und die angegebenen SIL Prüfsummenübereinstimmen, war die sichere Parametrierung erfolgreich. Ansonsten war die sichere Para-metrierung fehlerhaft und ist zu wiederholen!Die eingegebene SIL Prüfsumme hier nochmals überprüfen. In der Auswahl Parameterprü-fung JA auswählen und mit der Taste ENTER bestätigen. Auf das Feld 'Nächste' klicken. In einem neuen Fenster erscheint die Aufforderung, die sichere Parametrierung mit dem

Feld 'Nächste' zu bestätigen und die Gerätebedienung zu schließen. Anschließend wird diesichere Parametrierung abgeschlossen und das Gerät neu gestartet.

12. Auf das Feld 'Nächste' klicken.Die sichere Parametrierung ist abgeschlossen. Das Gerät führt selbstständig einen Neustart im SIL-Modus aus.(→ 30)

Den Vorgang des Neustarts überprüfen! Nur wenn der Neustart durchgeführt wird, war diesichere Parametrierung erfolgreich.

Parameter und Default-Einstellungen für die sichere Parametrierung

Firmware-Version Anzeige der installierten Gerätefirmware-Version. Anzeige max. 6-stel-lige Zeichenfolge im Format xx.yy.zz. Die aktuell gültige Firmware-Ver-sion dem Typenschild oder der zugehörigen Betriebsanleitungentnehmen.

Seriennummer Anzeige der Seriennummer des Geräts. Sie befindet sich auch auf demTypenschild. Max. 11-stellige Zeichenfolge aus Buchstaben und Zahlen.

Freigabecode eingeben Freischalten der Service-Parameter via Bedientool.Werkseinstellung: 0

Gerät zurücksetzen Zurücksetzen der gesamten Gerätekonfiguration oder eines Teils der Kon-figuration auf einen definierten Zustand.Werkseinstellung: Nicht aktiv

Hardware-Revision Anzeige der Hardware-Revision des Geräts.

Simulation Stromausgang Ein- und Ausschalten der Simulation des Stromausgangs. Wenn dieSimulation aktiv ist, wird im Wechsel zur Messwertanzeige eine Diagno-semeldung der Kategorie Funktionskontrolle (C) angezeigt.Werkseinstellung: Aus (in der sicheren Parametrierung nicht veränder-bar)


26 Endress+Hauser


Wert Simulation Stromausgang Einstellen eines Stromwerts für die Simulation. Auf diese Weise lässt sichdie korrekte Justierung des Stromausgangs und die korrekte Funktionnachgeschalteter Auswertegeräte prüfen.Werkseinstellung: 3,58 mA (in der sicheren Parametrierung nicht verän-derbar)

Stromtrimmung 20 mA Einstellen des Korrekturwerts für den Stromausgang am Messbereichs-ende bei 20 mA.Werkseinstellung: 20,000 mA (in der sicheren Parametrierung nicht ver-änderbar)

Stromtrimmung 4 mA Einstellen des Korrekturwerts für den Stromausgang am Messbereichsan-fang bei 4 mA.Werkseinstellung: 4 mA (in der sicheren Parametrierung nicht veränder-bar)

Anfang Messbereich Zuordnung eines Messwertes zum Stromwert 4 mA.Werkseinstellung: 0

Ende Messbereich Zuordnung eines Messwertes zum Stromwert 20 mA.Werkseinstellung: 100

Fehlerstrom Einstellen des Stromwerts, den der Stromausgang im Störungsfall aus-gibt.

SIL-Mode: 3,58 mA (in der sicheren Parametrierung nicht veränderbar)

Fehlerverhalten Auswahl des Ausfallsignalpegels den der Stromausgang im Fehlerfallausgibt.Werkseinstellung: Min (in der sicheren Parametrierung nicht veränder-bar)

Bereichsverletzung Kategorie Auswahl der Kategorie (Statussignal), wie das Gerät beim Verlassen deseingestellten Messbereichs reagiert.Werkseinstellung: Wartungsbedarf (M)

Minimale Messspanne Eine Messspanne ist die Differenz zwischen der Temperatur bei 4 mAund bei 20 mA. Die minimale Messpanne ist die minimal erlaubte Ein-stellung bzw. sinnvolle Einstellung für einen Sensor-Typ dieser Differenzim Transmitter.

HART®-Adresse Definition der HART®-Adresse des Geräts.Werkseinstellung: 0 (in der sicheren Parametrierung nicht veränderbar)

Geräterevision Anzeige der Geräterevision (Device Revision), mit der das Gerät bei derHART® Communication Foundation registriert ist. Sie wird benötigt, umdem Gerät die passende Gerätebeschreibungsdatei (DD) zuzuordnen.Werkseinstellung: 2 (fester Wert)

Messmodus Möglichkeit zur Inversion des Ausgangssignals. Auswahl: Standard(4…20 mA) oder invers (20…4 mA).Werkseinstellung: Standard (in der sicheren Parametrierung nicht verän-derbar)

Sensortyp n Auswahl des Sensortyps für den jeweiligen Sensoreingang n:• Sensortyp 1: Einstellungen für Sensoreingang 1• Sensortyp 2: Einstellungen für Sensoreingang 2

Werkseinstellung:• Sensortyp 1: Pt100 IEC751• Sensortyp 2: Kein Sensor

Obere Sensorgrenze n Anzeige des maximalen physikalischen Messbereichsendwerts.

Werkseinstellung:• Für Sensortyp 1 = Pt100 IEC751: +850 °C (+1 562 °F)• Sensortyp 2 = Kein Sensor

Untere Sensorgrenze n Anzeige des minimalen physikalischen Messbereichsendwerts.

Werkseinstellung:• Für Sensortyp 1 = Pt100 IEC751: –200 °C (–328 °F)• Sensortyp 2 = Kein Sensor


Endress+Hauser 27


Sensor Offset n Einstellen der Nullpunktkorrektur (Offset) des Sensormesswertes. Derangegebene Wert wird zum Messwert addiert.

Werkseinstellung:0,0

Anschlussart n Auswahl der Anschlussart des Sensors.

Werkseinstellung:• Sensor 1 (Anschlussart 1): 4-Leiter• Sensor 2 (Anschlussart 2): 2-Leiter

Vergleichsstelle n Auswahl der Vergleichsstellenmessung bei der Temperaturkompensationvon Thermoelementen (TC).

Werkseinstellung:Interne Messung

Vergleichsstelle Vorgabewert n Festlegen des fixen Vorgabewerts für die Temperaturkompensation. Beider Auswahl Vergleichsstelle n muss der Parameter Vorgabewert einge-stellt sein.


Call./v. Dusen coeff. A, B und C Einstellen der Koeffizienten für die Sensorlinearisierung nach der Callen-dar/Van Dusen Methode.Voraussetzung: Im Parameter Sensortyp ist die Auswahl RTD Platin (Cal-lendar/Van Dusen) aktiviert.

Werkseinstellung:• Koeffizient A: 3,910000e-003• Koeffizient B: -5,780000e-007• Koeffizient C: -4,180000e-012

Call./v. Dusen Koeff. R0 Einstellen des R0-Werts für die Linearisierung mit dem Callendar/VanDusen Polynom.Voraussetzung: Im Parameter Sensortyp ist die Auswahl RTD Platin (Cal-lendar/Van Dusen) aktiviert.

Werkseinstellung:100 Ω

Polynom Koeff. A, B Einstellen der Koeffizienten für die Sensorlinearisierung von Kupfer-/Nickelwiderstandsthermometer.Voraussetzung: Im Parameter Sensortyp ist die Auswahl RTD Poly Nickeloder RTD Polynom Kupfer aktiviert.

Werkseinstellung:• Polynom Koeff. A = 5.49630e-003• Polynom Koeff. B = 6.75560e-006

Polynom Koeff. R0 Einstellen des R0-Werts für die Linearisierung von Nickel/Kupfer Senso-ren.Voraussetzung: Im Parameter Sensortyp ist die Auswahl RTD Poly Nickeloder RTD Polynom Kupfer aktiviert.

Werkseinstellung:100 Ω

Sensortrimmung Auswahl welche Linearisierungsmethode für den angeschlossenen Sensorverwendet wird.

Werkseinstellung:FactoryTrim (in der sicheren Parametrierung nicht veränderbar)

Einheit Auswahl der Maßeinheit für alle Messwerte.

Werkseinstellung:°C

Netzfrequenzfilter Auswahl des Netzfilters für A/D-Wandlung.

Werkseinstellung:50 Hz


28 Endress+Hauser


Drift/Differenzüberwachung Auswahl, ob das Gerät auf eine Über- oder Unterschreitung des Drift-/Differenzgrenzwerts reagiert. Nur bei 2-Kanal Betrieb auswählbar.

Werkseinstellung:Aus

Drift/Differenz Alarm Kategorie Auswahl der Kategorie (Statussignal), wie das Gerät bei Drift-/Differen-zerkennung zwischen Sensor 1 und Sensor 2 reagiert.Voraussetzung: Der Parameter Drift/Differenzüberwachung muss mitAuswahl Überschreitung (Drift) oder Unterschreitung aktiviert sein.

Werkseinstellung:Wartungsbedarf (M)

Drift/Differenzgrenzwert Einstellung der maximal zulässigen Messwertabweichung zwischen Sen-sor 1 und Sensor 2, die zu einer Drift-/Differenzerkennung führt.Voraussetzung: Der Parameter Drift/Differenzüberwachung muss mitAuswahl Überschreitung (Drift) oder Unterschreitung aktiviert sein.


Drift/Differenz Alarmverzöge-rung

Alarmverzögerung der Drifterkennungsüberwachung.Voraussetzung: Der Parameter Drift/Differenzüberwachung muss mitAuswahl Überschreitung (Drift) oder Unterschreitung aktiviert sein.

Werkseinstellung:0 s (in der sicheren Parametrierung nicht veränderbar)

Gerätetemperatur Alarm Auswahl der Kategorie (Statussignal), wie das Gerät bei Über-/Unter-schreitung der Elektroniktemperatur des Transmitters < –40 °C (–40 °F)oder > +82 °C (+180 °F)

Werkseinstellung:Fehler (F) (in der sicheren Parametrierung nicht veränderbar)

SIL HART Modus Einstellung der HART®-Kommunikation während des SIL- Betriebes. DieEinstellung: HART im SIL Modus nicht aktiviert deaktiviert die HART®-Kommunikation im SIL-Betrieb (nur 4…20 mA Kommunikation ist aktiv).

Werkseinstellung:HART im SIL Modus aktiviert

SIL Startup Modus Einstellung des erneuten, automatischen Aufstartens des Gerätes im SIL-Betrieb, z. B. nach einem "Power-cycle".

Werkseinstellung:Deaktiviert

Erzwinge sicheren Zustand Während der SIL-Wiederholungsprüfung werden mit diesem Parameterdie Fehlererkennung und der sichere Zustand des Geräts getestet.Voraussetzung: Der Parameter Betriebszustand zeigt SIL Modus aktivan.

Werkseinstellung:Aus

Zuordnung Stromausgang (PV) Zuordnung einer Messgröße zum ersten HART®-Wert (PV)

Werkseinstellung:Sensor 1

Zuordnung SV Zuordnung einer Messgröße zum zweiten HART®-Wert (SV)

Werkseinstellung:Gerätetemperatur

Zuordnung TV Zuordnung einer Messgröße zum dritten HART®-Wert (TV)


Zuordnung QV Zuordnung einer Messgröße zum vierten HART®-Wert (QV)



Endress+Hauser 29


Dämpfung Einstellen der Zeitkonstante für die Dämpfung des Stromausgangs.

Werkseinstellung:0,00 s (in der sicheren Parametrierung nicht veränderbar)

Burst-Modus Aktivierung des HART®-Burst-Modus für die Burst-Nachricht X. Nachricht1 hat die höchste Priorität, Nachricht 2 die zweithöchste, usw.

Werkseinstellung:Aus (in der sicheren Parametrierung nicht veränderbar)

Die sicher parametrierten Werte im Transmitter können mittels SAF 1 und/oder SAF 2 für die Tem-peraturmessung im SIL-Modus verwendet werden. Diese Sicherheitsfunktion SAF 3 erfordert vomBenutzer die Durchführung verschiedener Prüfungen während der sicheren Parametrierung. Hierzuwerden spezielle Anzeigen verwendet, um mit dem Benutzer auf sichere Art zu kommunizieren.

Zustände und Arbeitsweisedes Systems

Arbeits-Zustände

Das System kennt zwei Arbeits-Zustände: Normal-Modus und SIL-Modus. Nur im SIL-Modus sindalle Selbst-Tests des Systems aktiviert.

Start

Prüfung SIL Option

Normal-Modus SIL-Modus

Sichere

Parametrierung

SIL Prüfsumme eingeben SIL Startup Modus

prüft

Sicherer Zustand

Neustart

Passiv Aktiv

Fehler

Neustart

ob SIL = Aus

ob SIL Prüfsum. = 0

Ja

Nein

Startvorgang

Betrieb

A0022353-DE

Arbeits-Zustände

Normal-Modus

Der Normal-Modus ist der Standardmodus, in dem sich das Gerät nach der Auslieferung befindet.Hierbei handelt es sich um den nicht sicheren Modus des Transmitters. Die HART®-Kommunikationist immer aktiv.

SIL-Modus

Der SIL-Modus ist die Betriebsart für die Sicherheitsfunktionen. Nur im SIL-Modus kann das kom-plette Messsystem als sicher betrachtet werden. Im laufenden Messbetrieb kann nicht zwischendem SIL-Modus und dem Normal-Modus umgeschaltet werden. Zur Umschaltung ist grundsätzlichein Neustart erforderlich. Ist der SIL-Modus gestartet, wird der Messwert sicher an das PLS übertra-gen. Die gesamte Sicherheitsdiagnose wird im Hintergrund ausgeführt. Wird ein Fehler entdeckt, z.B. Sensorleitung unterbrochen, verlässt das System den SIL-Messmodus und wechselt in den siche-ren Zustand.


30 Endress+Hauser

Sichere Zustände

Sicherer Zustand (SafeState)

Aktiv sicherer Zustand (ActiveSafeS-tate)

Passiv sicherer Zustand (PassiveSa-feState)

Panik sicherer Zustand (Panic-SafeState)

Ausgangsfehlerstrom, < 3,6 mA (=LOW-Alarm)

Ausgangsfehlerstrom, z. B. < 3,6 mA- sicherer ZustandSystem-Reset wird automatisch ein-geleitet.

System stoppt sofort. Systemreset wird automatisch einge-leitet.

Im aktiv sicheren Zustand kann wei-terhin über HART® mit dem Transmit-ter kommuniziert werden, jedoch gibtder Stromausgang dauerhaft einenFehlerstrom aus . Dieser Zustandbleibt erhalten, bis der Transmitterneu gestartet wird. Alle Parameterkönnen gelesen und nicht sicherheits-relevante Parameter können geändertwerden.

Im passiven sicheren Zustand kann nicht über HART® mit dem Trans-mitter kommuniziert werden. Das System stoppt sofort und startetnach spätestens 0,5 Sekunden neu. Das Gerät gibt keine Fehlermeldun-gen mehr aus.Parameter können nicht mehr verändert werden.

Je nach erkanntem Fehler nimmt das System einen der drei Zustände ein. Nur im aktiv sicherenZustand arbeitet das System noch weiter, ohne dass von selbst ein Reset ausgelöst wird.

Arbeitsweise des Systems

Beim Startvorgang des Systems ist die HART®-Kommunikation solange aktiv, bis in den Nor-mal-Modus oder in den SIL-Modus gewechselt wird. Ob HART® weiterhin aktiv ist, wird durchdie Konfiguration des Systems entschieden.

Übergang in den SIL-Modus

1. Starten des Systems im Normal-Modus.2. Starten und Durchführen einer sicheren Parametrierung mit anschließendem Neustart des Sys-

tems. (→ 20) Das Gerät wartet etwa 60 s, bevor es den Neustart durchführt. Betriebszustand Neustart

bevorstehend. In dieser Zeit den Kontakt zum Gerät vom Bedientool aus beenden, damitkeine Kommunikationsprobleme auftreten.

3.

A0021824-DE


Endress+Hauser 31

Nach dem Neustart des Gerätes wird im Feld Betriebszustand der Zustand Warten auf Prüf-summe angezeigt. Das Gerät befindet sich noch in der Aufstart-Phase.Die SIL Prüfsumme aus der sicheren Parametrierung (→ 20) im Feld SIL Prüfsumme ein-geben eingeben und mit Taste ENTER bestätigen. Das Gerät wechselt nach Ablauf der Startzeit automatisch in den SIL-Modus. Die Anzeige

Betriebszustand zeigt SIL Modus aktiv an.

A0021834-DE

Das System befindet sich im SIL-Modus und kann im Rahmen einer Sicherheitsfunktion eingesetztwerden.

HINWEISTritt während des sicheren Betriebs (SIL-Modus) ein Fehler im System auf, wird der sichereZustand aktiviert.‣ Falls der sichere Zustand noch eine Kommunikation über HART® erlaubt, wird im Feld Betriebs-

zustand der Zustand Sicherer Zustand - aktiv angezeigt. Das Gerät kann somit bezüglich desFehlers oder der Konfiguration analysiert werden.


32 Endress+Hauser

A0021835-DE

Wichtige Parameter für den Startvorgang in den SIL-Modus.• SIL Prüfsumme: Der CRC Wert, der diesen Transmitter mit diesen Einstellungen eindeutig identi-

fiziert. Diesen Wert liefert das System am Ende der sicheren Parametrierung.• SIL Startup Modus: Dieser Parameter ist konfigurierbar. Er definiert, ob das System nach einem

Startvorgang automatisch im SIL-Modus startet, wenn es vorher im SIL-Modus betrieben wurde.• SIL Prüfsumme eingeben: Durch diesen Parameter kann das System in den SIL-Modus wechseln

oder aus dem SIL-Modus Startvorgang (StartupForSilMode) wieder in den Normal-Modus Start-vorgang wechseln. Dieser Parameter kann über ein Bedientool eingetragen werden.

Übergang vom SIL- in den Normal-Modus

A0021826-DE


Endress+Hauser 33

1. Starten des Systems.2. Eingabe der Ziffer 0 im Feld SIL Prüfsumme eingeben.3. Bestätigung durch die Taste ENTER, oder4. Starten der Funktion SIL deaktivieren im Untermenü: Setup → Erweitertes Setup → SIL.

Die SIL Startphase des Systems wird unterbrochen. Das Gerät wechselt in den aktiv siche-ren Zustand und muss neu gestartet werden.

Nach dem Neustart ist das Gerät im nicht sicheren Betrieb (Normal-Modus). Um wiederum in denSIL-Modus zu wechseln, muss an dieser Stelle eine erneute sichere Parametrierung gestartet werden.(→ 20)

Kalibrierung und Justierung Für den Transmitter sind folgende Kalibrierungen/Justierungen anwendbar:• 1-Punkt-Abgleich (→ Offset)• Callendar/Van-Dusen (CvD) Kalibrierung/Sensor-Transmitter-Matching (für Pt-RTD), Polynom-

Kalibrierung für Cu-RTD und Ni-RTD.Beide Einstellungen können gleichzeitig konfiguriert werden. Die Transmitter werden immermit einem Werks-Abgleich des Stromausgangs ausgeliefert. Bei Anschluss von zwei Sensoren(z.B. als Backup) können die Kalibrierungen/Justierungen pro Sensor gewählt bzw. durchge-führt werden.

Qualität von Diagnosen Die Erkennung eines Kurzschlusses am Sensor-Anschluss wird bei RTDs mit einem Diagnose-Auf-deckungsgrad von 99% durchgeführt. Für zwei angeschlossene Thermoelemente ist die Diagnose-maßnahme nur aktiv, wenn auch die Driftüberwachung aktiviert ist. Der Diagnose-Aufdeckungsgradliegt hierbei ebenfalls bei 99%.

Optional anwendbare Trans-mitterdiagnosen im SIL-Modus

Die hier beschriebenen Diagnosen sind nicht für den sicheren Betrieb des Transmitters selbst not-wendig. Sie können aber im Rahmen einer Sicherheitsfunktion wichtig sein, in der der Transmittereingesetzt wird.

Korrosion bzw. LeitungsbruchDer Transmitter erkennt Korrosion am Sensoreingang 1 und 2 für RTD- und TC-Sensoren.

Folgende Grenzen für die Korrosionserkennung (Leitungswiderstand) werden für die verschiedenenEingangsbereiche definiert:

Warnung ab: Leitungsbruch ab (Fehler):

100 mV 14 000 Ω 27 000 Ω

400 Ω 1 740 Ω 6 750 Ω

2 000 Ω 3 000 Ω 11 500 Ω

Die angegebenen Grenzen sind typische Werte 3) und gelten bei Umgebungstemperaturen von25 °C (77 °F). Aufgrund mehrerer Faktoren (Toleranzen, Temperaturdrift) schlägt bei jedem einzel-nen Gerät die Detektion von Korrosion bzw. Leitungsbruch bei unterschiedlichen Widerstandswer-ten an. Im SIL-Betrieb gibt es keine Diagnosemeldung „Warnung“, vergleichbar zum Normal-Modus.Das Gerät gibt sofort die Diagnosemeldung „Fehler“ aus. Die Diagnose Leitungsbruch hat einen Dia-gnose-Aufdeckungsgrad von 99%. Zusätzlich kann die Driftüberwachungs-Diagnose genutzt werden.(→ 10)

Wiederholungsprüfung

Allgemeine Informationen Sicherheitsfunktionen sind in angemessenem Abstand auf ihre Funktionsfähigkeit zu überprüfen.Die Zeitabstände hängen von verschiedenen Parametern ab und sind vom Betreiber festzulegen. DiePrüfungen sind wie im Folgenden beschrieben durchzuführen. Es wird ein Intervall von 1 Jahr für dieWiederholungsprüfung empfohlen, da durch diese viele Abschaltwege der Selbsttests durchgeführtwerden, die im laufenden Betrieb nicht möglich sind.

3) Zur sicheren Seite großzügig gerundet


34 Endress+Hauser

Wenn mehrere Geräte in "MooN"-Konfigurationen ("M out of N") verwendet werden, dann ist die hierbeschriebene Prüfung für jedes Gerät separat durchzuführen. Zudem muss anhand von Überprüfun-gen sichergestellt werden, dass alle für den Betrieb geltenden Beschränkungen weiterhin eingehal-ten werden. (→ 16)

Wiederholungsprüfungenzur Gewährleistung einersicheren Funktionsweise

Hierzu auch Kapitel 'Wartung und Reinigung' lesen. (→ 35)

HINWEISNichteinhaltung der Prüfkriterien und Einfluss von systematischen Fehlern auf die Sicherheits-funktion‣ Das Gerät nicht länger als Teil eines sicherheitsbezogenen Systems einsetzen, wenn eines der

erwähnten Prüfkriterien nicht erfüllt ist.‣ Die Prüfung dient zur Erkennung beliebiger Ausfälle, die durch die Online-Tests zur Laufzeit des

Systems unerkannt bleiben. Der Einfluss von systematischen Fehlern auf die Sicherheitsfunktionwird durch diesen Test nicht abgedeckt und muss separat untersucht werden. Systematische Feh-ler können z. B. durch Eigenschaften des Mediums, Umgebungsbedingungen, Korrosion etc.erzwungen werden.

‣ Die Wiederholungsprüfung kann im Labor oder direkt im Prozess durchgeführt werden.‣ Die hier beschriebene Wiederholungsprüfung ist für die sichere Ausgabe auf den Stromausgang

und über die sichere HART®-Kommunikation geeignet. Sie gilt für beide Gehäuse-Varianten,Kopf- und Hutschienentransmitter, und ist unabhängig vom verwendeten Sensortyp.

Es ist ein zuverlässiges Strommessgerät zur Messung des Stroms am Stromausgang erforderlich. DieGenauigkeit muss mindestens ± 1 mA betragen. Die Wiederholungsprüfung verläuft wie folgt:

1. Transmitter stromlos schalten.2. Transmitter einschalten.3. System im Normal-Modus betreiben, nicht im SIL-Modus.4. Eine komplette sichere Parametrierung des Geräts durchführen. Die Konfiguration sollte der

einzusetzenden Konfiguration entsprechen. Die dazu passenden Sensoren sollten angeschlos-sen sein. Nach Abschluss der sicheren Parametrierung startet das Gerät erneut. Dabei wird der Neu-

start durch den 'Watchdog' ausgelöst und somit die Abschaltfähigkeit des 'Watchdogs'getestet.

5. Sicherstellen, dass der Reset des Systems durch den Transmitter selbst ausgelöst wird! Es darfhier kein Reset durch den Benutzer ausgelöst werden. Diesen Punkt im Protokoll zur Wieder-holungsprüfung dokumentieren!

6. Betriebsbereites SystemSystem in den SIL-Modus schalten. Bis hierhin wurden alle Selbsttests während der Startphase des Gerätes erfolgreich durch-

geführt.7. Empfehlung für die Kalibrierung bei zwei unterschiedlichen Temperaturen: Die Temperaturen

so wählen, dass Sie maximal ± 10…20 % von den beiden Grenzwerten des zu überwachendenTemperatur-Intervalls liegen, d. h. die Temperaturwerte, die jeweils auf 4 bzw. 20 mA abgebil-det werden.Für die Kalibrierung Temperatur am Sensor anlegen und stabil halten, Strom am Stromaus-gang messen und mit erwartetem Ergebnis vergleichen. Mindestens 30 s den Wert am Strom-ausgang beobachten. Das Ganze für den zweiten Temperatur-Wert wiederholen. Der Stromausgang muss einen konstanten Wert zwischen 4…20 mA aufweisen. Wichtig

ist, dass der Messwert konstant bleibt und dass kein Fehlerstrom gemessen wird.8. Die Handlungssequenz für den zweiten Temperaturwert wiederholen.9. Bei Verwendung von Safe HART:

Strommesswert im sicheren HART® zusätzlich prüfen. Dies kann beispielsweise im Prozess-Leitsystem (PLS) direkt erfolgen, wo auch der HART®-Messwert ausgelesen wird.

10. Anschluss von zwei Sensoren.Kalibrierung mit beiden Sensoren durchführen. Optional: Falls Backup konfiguriert wurde denersten Sensor abstecken, bevor der zweite kalibriert wird.


Endress+Hauser 35

11.

A0021834-DE

Eine Notstromabschaltung mit Reaktion des Systems in den passiv sicheren Zustand erzwin-gen. Dazu muss der Parameter Erzwinge sicheren Zustand auf An gesetzt werden. Das System muss nach spätestens 2 min mit dem passiv sicheren Zustand reagieren und

somit einen Fehlerstrom ausgeben. Der Parameter wird nach dem Neustart des Gerätsautomatisch wieder auf Aus zurückgesetzt.

12. Transmitter stromlos schalten.Die Wiederholungsprüfung ist damit abgeschlossen.

Der Transmitter kann nun im sicheren Messbetrieb eingesetzt werden.

Die Prüfung muss mit dem Datum, dem Namen des Prüfers und dem genauen Ergebnis dokumen-tiert werden. (→ 38) Mit dieser Prüfung lassen sich ca. 90 % (Fehleraufdeckungsgrad bei Wie-derholungsprüfung) aller möglichen, nicht durch Diagnosen im System erkannten, gefährlichen undsicheren Fehler erkennen.

Wartung und Reparatur

Wartung Wenn erforderlich und je nach Anwendung empfiehlt es sich, das Gerät gelegentlich zu reinigen.

Reparatur Die Reparatur des Transmitters ist grundsätzlich durch den Hersteller durchzuführen. Defektes Gerätmit einer möglichst genauen Fehler-Bechreibung an den lokalen Endress+Hauser-Service einsendenund ein neues Gerät verwenden. Dem Gerät in jedem Fall eine vollständig ausgefüllte "Erklärung zurKontamination und Reinigung" beilegen. Diese Erklärung befindet sich am Schluss dieses Handbuchsals Kopiervorlage bzw. im Internet unter www.products.endress.com/return-material zum Download.


36 Endress+Hauser

Anhang

Hinweise zum redundantenEinsatz für SIL 3

T12

T3

T2

T1

A0020753

11 Temperaturerfassung mit SIL3-Messpunkten: T1, T2, T3 ... T12

Anwendung: In einem Tank mit einer Höhe von 13 m (42,65 ft) wird mit einem Abstand von je 1 mdie Temperatur erfasst. Dazu werden Thermoelemente (TC) als Temperatursensoren verwendet.Diese Temperaturerfassung kann mit dem Hutschienen-Transmitter als SIL 3-Messstelle auf fol-gende drei Arten realisiert werden:

1. MöglichkeitVolle Redundanz, jeder Messpunkt hat 2 Mess-stellen (TC1.a und TC1.b) und zwei Transmittermit jeweils einem angeschlossenen Eingangska-nal (1). Es werden 24 Transmitter benötigt =SIL3 mit homogener Redundanz.

Transmitter

1

Transmitter

1

TC1.a TC1.b

4...20 mA 4...20 mA

A0020754

2. MöglichkeitVerwendung beider Kanal-Eingänge des Trans-mitters. Bildung einer homogenen Redundanzdurch zwei jeweils doppelt angeschlossenenTransmittern. Folglich werden 2 Messpunkte(TC1 und TC2) mit 2 Transmittern abgedeckt.Es werden nur 12 Transmitter benötigt = SIL3mit homogener Redundanz.

Wichtig ist hierbei, dass das PLS die Datenüber die „sichere HART®-Kommunikation“lesen und das PLS beide Messwertegetrennt nach den Messpunkten votenmuss.

Transmitter

12

Transmitter

12

TC1.a TC1.b

TC2.a TC2.b

1

2

3

4

A0020755

12 Beispielhafte Darstellung für zwei Messpunkte TC1und TC2

1 Ausgang 4...20 mA für Messstelle TC1.a2 Sichere HART®-Kommunikation für Messstelle TC2.a3 Ausgang 4...20 mA für Messstelle TC2.b4 Sichere HART®-Kommunikation für Messstelle TC1.b


Endress+Hauser 37

3. MöglichkeitFunktionsweise ähnlich wie Möglichkeit 2, dieTC-Sensoren werden zyklisch angeschlossenund nicht jeweils 2 Transmitter für genau 2Messpunkte. Vorteil: Optimale Ausnutzung die-ses Prinzips auch mit ungerader Anzahl anMesspunkten.

Wichtig ist hierbei, dass das PLS die Datenüber die „sichere HART®-Kommunikation“lesen und das PLS beide Messwertegetrennt nach den Messpunkten votenmuss.

Transmitter

12

Transmitter

12

Transmitter

12

TC1.a TC1.b

TC2.a TC2.b

TC3.a TC3.b

1

2

3

4

5

6

A0020756

13 Beispielhafte Darstellung für drei Messpunkte TC1,TC2 und TC3

1 Ausgang 4...20 mA für Messstelle TC1.a2 Sichere HART®-Kommunikation für Messstelle TC3.b3 Ausgang 4...20 mA für Messstelle TC2.a4 Sichere HART®-Kommunikation für Messstelle TC1.b5 Ausgang 4...20 mA für Messstelle TC3.a6 Sichere HART®-Kommunikation für Messstelle TC2.b


38 Endress+Hauser

Prüfprotokoll Anwendungsspezifische Daten Vom Prüfer auszufüllen

Unternehmen

Messstelle

Anlage

Gerätetyp Temperaturtransmitter SIL

Seriennummer

Betriebsbeschränkungen erneutüberprüft

JA NEIN

System wurde nach der sicherenParametrierung selbst zurückge-setzt

JA NEIN

Abweichungen vom Ablauf in die-sem Handbuch festgestellt

JA (Falls ja, die konkreten Abweichungen angeben) NEIN

Benutzte Kalibrierungstempera-turen

Passiv sicherer Zustand des Sys-tems wurde angenommen und dieRücksetzung ausgelöst

JA NEIN

Prüfung mit 2 Sensoren durchge-führt

JA NEIN

Benutzte Sensor(en)

SafeHART verwendet JA (Falls ja, Welche Gegenstelle wurde benutzt?) NEIN

PFDavg-Wert vor Prüfung

PFDavg-Wert nach Prüfung

Datum der letzten Prüfung

Datum der nächsten Prüfung(geschätzt)

Name des Prüfers

Datum

Unterschrift


Endress+Hauser 39

Beispiele für die Berechnungvon PFDavg

Dieses Kapitel enthält einige Beispiele für die Berechnung der PFDavg-Werte einer Messkette und desPFDavg-Wertes nach den Prüfungen.

PFDavg(T) = 1/T ∫0T (λDU t) dt = ½ λDU t. Gültig für ein 1oo1-System, wobei von einer konstan-

ten und geringen Ausfallrate ausgegangen wird λDU. Generell wird PFDavg ohne einen Parame-ter T angegeben, was bedeutet, dass dies der Wert von PFDavg zum Zeitpunkt T derobligatorischen Prüfung war.

Beispiel zur Berechnung von PFDavg bei Wiederholungsprüfungen

Mit der Prüfung soll nachgewiesen werden, dass das System keine unerkannten gefährlichen Aus-fälle aufweist. Der Fehleraufdeckungsgrad bei Wiederholungsprüfungen gibt die Effektivität der Prü-fung an. Nach Beendigung der erfolgreichen Prüfung wird der PFDavg-Wert des Systems "verbessert".Es kann festgelegt werden, wann die nächste Prüfung durchgeführt werden soll. In diesem Berech-nungsbeispiel wird der Temperaturtransmitter in einer 1oo1D-Umgebung verwendet.

‣ Beispiel 1: Die Prüfung wird nach einem Betriebsjahr durchgeführt.Der PFDavg-Wert = 3,6 · 10-4 direkt vor der Prüfung und und direkt danach = 3,6 · 10-4 * 0,1 =0,36 · 10-4 bei 90% Proof Test Coverage (PTC). Wird das Gerät ein weiteres Jahr betrieben,wächst der PFDavg-Wert am Ende des zweiten Jahres auf 0,36 · 10-4 + 3,6 · 10-4 = 3,96 · 10-4

an. Entspricht der Grenzwert für den PFDavg-Wert des Transmitters z. B. 3,8 · 10-4 aufgrund

der ausgewählten Sicherheitsfunktion des Transmitters, darf das System nicht mehr biszum Ende des zweiten Jahres betrieben werden. Die erneute Wiederholungsprüfung mussvor dem Ablauf der zwei Jahre durchgeführt werden, da der PFDavg-Wert am Ende desPrüfintervalls 3,96 · 10-4 beträgt.

‣ Beispiel 2: Die Prüfung wird nach zwei Betriebsjahren durchgeführt.Der PFDavg-Wert entspricht direkt vor der Prüfung 2 * 3,6 · 10-4 = 7,2 · 10-4. Direkt nach derPrüfung, mit einem PTC von 90%, beträgt der neue Wert 7,2 · 10-4 + 0,1 * 7,2 · 10-4= 7,92 ·10-4.

Beispiel für die Berechnung von PFDavg für eine Temperatur-Messstelle

Ausrüstung der Messstelle für dieses Berechnungsbeispiel:• RTD 4-Leiter-Sensor Pt100• Temperaturtransmitter SIL• Anschluss der Messkette an ein PLS (z. B. SPS mit Aktor), das eine Aktivierung zum sicheren

Zustand ermöglichen kann.

Der PFD-Wert der gesamten Kette (PFDavg mc. mc = measuring chain = Messkette) kann berechnetwerden, indem die einzelnen PFD-Werte aller Komponenten in der Kette addiert werden:

‣ Der PFDavg-Wert des Sensors beträgt 5,0 · 10-4.PFDavg mc = PFDavg Sensor + PFDavg Transmitter + PFDavg Protokolle (evtl. HART®-Kommunika-tion) Ein vollständig aus Sicherheitsgeräten bestehendes System (Safety Instrumented System,

SIS) besteht aus:

PFDavg SIS = PFDavg mc + PFDavg PLS + PFDavg AktorEin beispielhafter Wert für die vollständige (nicht redundante) Temperatur-Messkette, die zuAnfang dieses Abschnitts beschrieben wurde, kannn folgendes Ergebnis 4) sein:

PFDavg mc = 5,0 · 10-4 + 3,6 · 10-4 + 1,0 · 10-4 = 9,6 · 10-4 4) 5)

Gemäß IEC 61508, ed. 2.0 wird ein maximaler PFDavg-Wert von 1 · 10-2 benötigt, um ein SIS nachSIL2 zu realisieren. Somit gibt es eine Übereinstimmung des berechneten Wertes mit dem SIL2PFDavg-Wert von etwa 10 %. Das bedeutet, dass für das PLS und die Aktoren die restlichen 90 % desSIL2 PFDavg-Wertes genutzt werden können.

4) Das HART®-Protokoll wurde mit 1 % des PFD SIL2-Wertes = 1,0 E-4 berücksichtigt.5) Prüfintervall für alle Geräte: 1 Jahr.


Berechnung der Gesamt-Sicherheits-Genauigkeit

Beispiel: Typische Temperatur-Messkette als RTD 4-Leiter-Messung

1. Annahme, dass keine nennenswerten EMV-Störungen vorhanden sind und das System (Trans-mitter) bei einer Umgebungstemperatur von +25 °C (+77 °F) betrieben wird. Beispielrechnungfür einen Pt100 im Temperaturbereich von –200…+600 °C (–328…+1 112 °F) im einge-schränkten Sicherheitsmessbereich.Wird zunächst die Sicherheitsfunktion unter Benutzung des sicheren HART® betrachtet, entfal-len die Fehler der D/A Wandlung. Es sind somit nur die Fehler der Messabweichung A/D unddie Drift zu beachten. Messspanne = 0…+200 °C (+32…+392 °F), die minimale Messspannevon 10 K wird eingehalten. Die Gesamtsicherheitsgenauigkeit (GSG) ergibt sich nun zu: GSG = 1,1 K + 0,23 K/Jahr =

1,33 K nach einem Jahr.2. Statt SafeHART auf dem Stromausgang wird der Messwert auf dem Stromausgang als Sicher-

heitsfunktion genutzt.Die GSG ergibt sich zu: 0,5 % der Messspanne = 0,5 % von 200 K = 1 K, d.h. der GSG = 1,1 K +1 K + 0,23 K/Jahr = 2,33 K nach einem Jahr.

Nicht vernachlässigbare EMV-Störungen:Im Falle von nicht vernachlässigbaren EMV-Störungen ist eine Abweichung < 0,5 % der Messspannezusätzlich zum oben angegebenen Wert möglich. Abweichung = 200 K * 0,5 % = 1 K.

Wird, wie empfohlen, ein HART®-Filter verwendet, trägt die HART®-Modulation nicht zurUngenauigkeit bei. Dies wird daher in diesem Beispiel nicht berücksichtigt.

Kennzahl (de)/Integer value (en)

Parameter (de) Parameterwert (de) Parameter (en) Parameter value (en)

8 Außerhalb der Spezifikation (S) Out of specification (S)4 Wartungsbedarf (M) Maintenance required (M)1 Ausfall (F) Failure (F)

12 Pt100 IEC60751, a=0.00385 (1) Pt100 IEC60751, a=0.00385 (1)13 Pt200 IEC60751, a=0.00385 (2) Pt200 IEC60751, a=0.00385 (2)14 Pt500 IEC60751, a=0.00385 (3) Pt500 IEC60751, a=0.00385 (3)15 Pt1000 IEC60751, a=0.00385 (4) Pt1000 IEC60751, a=0.00385 (4)22 Pt100 JIS C1604, a=0.003916 (5) Pt100 JIS C1604, a=0.003916 (5)72 Ni100 DIN 43760, a=0.00618 (6) Ni100 DIN 43760, a=0.00618 (6)73 Ni120 DIN 43760, a=0.00618 (7) Ni120 DIN 43760, a=0.00618 (7)

248 Ni100 OIML/GOST 6651-09, a=0.00617 (12) Ni100 OIML/GOST 6651-09, a=0.00617 (12)249 Ni120 OIML/GOST 6651-09, a=0.00617 (13) Ni120 OIML/GOST 6651-09, a=0.00617 (13)246 Typ A (W5Re-W20Re) IEC60584-2013 (30) Type A (W5Re-W20Re) IEC60584-2013 (30)131 Typ B (PtRh30-PtRh6) IEC60584 (31) Type B (PtRh30-PtRh6) IEC60584 (31)132 Typ C (W5Re-W26Re) IEC60584 (32) Type C (W5Re-W26Re) IEC60584 (32)133 Typ D (W3Re-W25Re) ASTM E988-96 (33) Type D (W3Re-W25Re) ASTM E988-96 (33)134 Typ E (NiCr-CuNi) IEC60584 (34) Type E (NiCr-CuNi) IEC60584 (34)136 Typ J (Fe-CuNi) IEC60584 (35) Type J (Fe-CuNi) IEC60584 (35)137 Typ K (NiCr-Ni) IEC60584 (36) Type K (NiCr-Ni) IEC60584 (36)138 Typ N (NiCrSi-NiSi) IEC60584 (37) Type N (NiCrSi-NiSi) IEC60584 (37)139 Typ R (PtRh13-Pt) IEC60584 (38) Type R (PtRh13-Pt) IEC60584 (38)140 Typ S (PtRh10-Pt) IEC60584 (39) Type S (PtRh10-Pt) IEC60584 (39)141 Typ T (Cu-CuNi) IEC60584 (40) Type T (Cu-CuNi) IEC60584 (40)142 Typ L (Fe-CuNi) DIN43710 (41) Type L (Fe-CuNi) DIN43710 (41)148 Typ L (NiCr-CuNi) GOST R8.8585-01 (43) Type L (NiCr-CuNi) GOST R8.8585-01 (43)143 Type U (Cu-CuNi) DIN43710 (42) Type U (Cu-CuNi) DIN43710 (42)241 Pt50 GOST 6651-94, a=0.00391 (8) Pt50 GOST 6651-94, a=0.00391 (8)242 Pt100 GOST 6651-94, a=0.00391 (9) Pt100 GOST 6651-94, a=0.00391 (9)243 Cu50 GOST 6651-09, a=0.00428 (10) Cu50 GOST 6651-09, a=0.00428 (10)105 Cu100 OIML/GOST 6651-09, a=0.00428 (11) Cu100 OIML/GOST 6651-09, a=0.00428 (11)244 Cu50 OIML R84:2003, a=0.00428 (10) Cu50 OIML R84:2003, a=0.00428 (10)245 Cu50 OIML/GOST 6651-94, a=0,00426 (14) Cu50 OIML/GOST 6651-94, a=0,00426 (14)

3 RTD Platin (Callendar/van Dusen) RTD Platinium (Callendar/van Dusen)240 RTD Poly Nickel (OIML R84, GOST 6651-94) RTD Poly Nickel (OIML R84, GOST 6651-94)247 RTD Polynom Kupfer (OIML R84:2003) RTD Polynomial Copper (OIML R84:2003)

1 10...400 Ohm 10...400 Ohm2 10...2000 Ohm 10...2000 Ohm

129 -20...100 mV -20...100 mV251 Kein Sensor No Sensor

2 2- Leiter 2- wire3 3- Leiter 3- wire4 4- Leiter 4- wire0 Keine Kompensation No compensation1 Interne Messung Internal measurement3 Vorgabewert Fixed Value4 Wert Sensor 2 Sensor 2 value

32 °C °C33 °F °F35 K K34 °R °R37 Ohm Ohm36 mV mV0 50 Hz 50 Hz1 60 Hz 60 Hz

12 Aus Off0 Überschreitung (Drift) Out band (drift)1 Unterschreitung In band0 HART im SIL Mode nicht aktiviert HART disabled in SIL mode1 HART im SIL Mode aktiviert HART enabled in SIL mode0 Deaktiviert Disabled1 Aktiviert Enabled0 Sensor 1 Sensor 11 Sensor 2 Sensor 22 Gerätetemperatur Device temperature3 Mittelwert Average4 Differenz Difference5 Sensor 1 (Backup Sensor 2) Sensor 1 (Backup Sensor 2)6 Sensorumschaltung Sensor switching7 Mittelwert mit Backup Average with backup

Unit

Mains filter

Drift/difference mode

SIL HART mode

SIL startup mode

Assign current output (PV, SV, TV, QV)

Drift/Differenz-überwachung

SIL HART Modus

Zuordnung Stromausgang (PV,

SV, TV, QV)

SIL Startup Modus

Out of range category

Sensor type

Connection type

Reference junction

Bereichsverletzung Kategorie

Sensortyp

Anschlussart

Vergleichsstelle

Einheit

Netzfrequenzfilter

Dokumentation Geräteparametrierung TMT82-SIL

Gerätebezeichnung: Seriennummer:

Messstelle: Firma:

Parameter-Einstellungen für die sichere Parametrierung

Parametername geprüft

Anfang Messbereich (4 mA)

Ende Messbereich (20 mA)

Bereichsverletzung Kategorie

Sensortyp 1

Sensortyp 2

Obere Sensorgrenze 1*

Untere Sensorgrenze 1*

Obere Sensorgrenze 2*

Untere Sensorgrenze 2*

Sensor Offset 1

Sensor Offset 2

Anschlussart 1

Anschlussart 2

Vergleichsstelle 1,2

Vergleichsstelle Vorgabewert 1,2

Call./v. Dusen coeff. A, B und CSensor 1*

Call./v. Dusen coeff. A, B und CSensor 2*

Call./v. Dusen Koeff. R0 Sensor 1*

Call./v. Dusen Koeff. R0 Sensor 2*

Polynom Koeff. A, B Sensor 1*

Polynom Koeff. A, B Sensor 2*

Polynom Koeff. R0 Sensor 1*

Polynom Koeff. R0 Sensor 2*

Einheit

Netzfrequenzfilter

Drift/Differenzüberwachung

Drift/Differenz Alarm Kategorie

Drift/Differenzgrenzwert

SIL HART Modus

SIL Startup Modus

Zuordnung Stromausgang (PV)

Zuordnung SV

Zuordnung TV

Zuordnung QV

* Nur bei Call./v. Dusen- oder Polynom Cu/Ni-Sensoren

SIL-Prüfsumme:

Datum:

Uhrzeit:

Unterschrift:

Werkseinstellung

0

100

0 (bei Einstellung Vorgabewert)

Pt100 IEC60751

Kein Sensor

+850 °C

-200 °C

-

-

Wartungsbedarf (M)

Sensor 1

Aus

Wartungsbedarf (M)

999

HART aktiv

Nicht aktiv

A: 3,910000e-003B: -5,780000e-007C: -4,180000e-012

100 Ohm

A = 5.49630e-003B = 6.75560e-006

100 Ohm

0

0

4-Leiter (RTD)

2-Leiter (TC)

Interne Messung (TC)

Sensor 1

Gerätetemperatur

Sensor 1

A: 3,910000e-003B: -5,780000e-007C: -4,180000e-012

100 Ohm

A = 5.49630e-003B = 6.75560e-006

100 Ohm

°C

50 Hz

eingestellter Wert

Geräte-/Sensortyp: ____________________________

Temperatur: _________________________ [°C] Druck: __________________________ [bar]

Leitfähigkeit: _________________________[S] Viskosität: _______________________ [mm²/s]

Warnhinweise zum Medium:

Medium/Konzentration

entzündlich giftig ätzend gesundheits-schädlich/

reizend

sonstiges* unbedenklich

Medium imProzess

Medium zurProzessreinigung

Medium zurEndreinigung

* z.B. explosiv; brandfördernd;umweltgefährlich; biogefährlich;radioaktiv

Fehlerbeschreibung und sonstige Angaben:

________________________________________________________________________________________________________

________________________________________________________________________________________________________

Angaben zum Absender:

Firma: ________________________________ Telefon: ________________________________

Ansprechpartner: ________________________________ Fax: ________________________________

Straße: ________________________________ E-Mail: ________________________________

PLZ, Ort: ________________________________ Ihre Auftragsnummer: ____________________

„Ich bestätige,dass die zurückgesandten Teile gründlichgereinigt wurden. Diese sind somit frei von Rückständen in gefahrenbringender Menge.”

Ort, Datum Abt.(bitte Druckschrift) Unterschrift

Zutreffendes ankreuzen; trifft einer der Warnhinweise zu, Sicherheitsdatenblatt undggf. spezielle Handhabungsvorschriften beilegen.

DEKONT/V1/www

Dekontaminationserklärung(auch als Download unter www.de.endress.com/dekontamination)

Aufgrund der gesetzlichen Vorschriften und zum Schutz unserer Mitarbeiter und Betriebseinrichtungen benötigen wir die unterschriebene“Dekontaminationserklärung”, bevor Ihr Auftrag bearbeitet werden kann. Bringen Sie diese unbedingt außen an der Verpackung an.

Lieferadresse: Bei Rückfragen:

Tel.: 0800 - EHREPAIRTel.: 0800 - 34737247

Fax: + 49 7621 975-606

[email protected]

Seriennummer: ____________________________

Einsatz als SIL-Gerät (Safety Integrity Level) in Schutzeinrichtungen

Prozessdaten:

www.addresses.endress.com

Documents

2-Kanal Temperaturtransmitter iTEMP® TMT82 · Dokument beziehen sich ausschließlich auf den Transmitter, nicht auf die komplette Messstelle. Der Transmitter erzeugt ein analoges