Ausfallsichere Stellung eines Regelventils ist die Position, in die ein Ventil geht, wenn es seine Instrumentenluft oder sein Steuersignal verliert. Sie wird durch einen mit Rückstellfeder ausgestatteten Stellantrieb festgelegt, der das Ventil ohne externe Energie vollständig öffnet oder vollständig schließt. Eine falsche Wahl fällt an einem normalen Tag nicht auf, sondern erst bei dem einen Ereignis, gegen das die Anlage ausgelegt ist – die Entscheidung gehört also zur Prozesssicherheit, nicht zur Bequemlichkeit.
Ein einwirkender (mit Rückstellfeder versehener) pneumatischer Stellantrieb nutzt Luftdruck, um das Ventil in eine Richtung zu bewegen, und eine mechanische Feder, um es zurückzuführen. Die Luft hält das Ventil während des normalen Betriebs von seiner Ausfallstellung fern; wenn die Versorgungsluft oder das Steuersignal verloren geht, hat die Feder keinen Widerstand mehr und treibt den Ventilstamm in eine feste, vorhersehbare Endstellung. Bei dieser letzten Bewegung sind keine Logik, keine elektrische Energie und kein Signal beteiligt – das ist der ganze Punkt: die sichere Stellung wird physisch durch eine Feder garantiert, nicht durch ein System, das selbst ausgefallen sein könnte.
Bei einem „Luft-zum-Öffnen“-Stellantrieb wirkt ein steigender Luftdruck gegen die Feder, um das Ventil zu öffnen. Wird die Luft entfernt, drückt die Feder den Kegel zu, sodass das Ventil bei Ausfall geschlossen ausfällt (häufig mit FC gekennzeichnet). Dies ist die Standardwahl für Brenngasleitungen zu einem Brenner, für gefährliche Chemikalieneinspeisungen und andere Dienste, bei denen unkontrollierter Durchfluss gefährlich ist. Fällt der Stellantrieb oder seine Luftversorgung aus, ist die sicherste Rückfallposition kein Durchfluss.
Bei einem „Luft-zum-Schließen“-Stellantrieb wirkt ein steigender Luftdruck gegen die Feder, um das Ventil zu schließen. Wird die Luft entfernt, drückt die Feder den Kegel auf, sodass das Ventil bei Ausfall offen ausfällt (FO). Das ist die typische Wahl für Kühlwasser zur Reaktorjacke oder zum Kondensator: Bei Luftverlust ist die Anforderung der Prozesssicherheit maximaler Kühlstrom, um eine unkontrollierte Temperatursteigerung zu verhindern, daher muss der Verlust der Regelung mehr Durchfluss – nicht weniger – bedeuten.
Die ausfallsichere Stellung ist keine Vorliebe des Stellantriebs, sie ist Ergebnis einer Prozessgefahrenbewertung. Die immer gleiche Frage lautet: Bei Verlust von Luft oder Signal, welche Stellung – offen oder geschlossen – belässt den Prozess im weniger gefährlichen Zustand? Typische Logik:
Sobald die erforderliche Ausfallstellung festgelegt ist, werden Stellantriebswirkung (Luft-zum-Öffnen oder Luft-zum-Schließen) und Ventilkennlinie (direkt- oder umgekehrt wirkend) zusammen spezifiziert, sodass die Kombination genau dieses Ergebnis liefert. Dieselbe fail-closed‑Auswirkung kann aus unterschiedlichen Kombinationen von Antrieb und Ventilkörper aufgebaut werden; deshalb wird die Ausfallwirkung in einem korrekt formulierten Instrumentendatenblatt durch die geforderte Endstellung dokumentiert, nicht nur durch die Kurzzeichen „ATO“ oder „ATC“.
Ein vollständiger Ausfall der Instrumentenluftversorgung fährt den Stellantrieb immer in seine federbestimmte Stellung, weil keine Luft mehr vorhanden ist, die der Feder entgegenwirken könnte. Signalverlust ist ein anderer Versagensmodus: Der Positionsregler kann das Ventil mit eingeschlossener Luft oder einem funktionierenden I/P‑Modul in seiner letzten Stellung halten, anstatt es sofort in die Ausfallstellung zu bewegen. Ein 3/2‑Wege‑Magnetventil blockiert im stromlosen Zustand die Zuluft und entlüftet den Antrieb in die Atmosphäre, sodass die Feder wirken kann; ein 2/2‑Wege‑Magnetventil hingegen schließt die Luft im Antrieb ein, um die letzte Stellung zu halten. Das sind unterschiedliche Designentscheidungen mit unterschiedlichen Ergebnissen, und ein Ventil, das bei Signalverlust sicher reagiert, ist nicht automatisch sicher bei Luftausfall. Beide Szenarien müssen daher bei der Inbetriebnahme und bei der Validierung von Safety-Instrumented-Systemen separat geprüft werden.
Die Ausfallwirkung wird in der Praxis bei Instrumentenluftausfällen, ESD‑Abschaltungen und beim Austausch von Stellantrieben oder Membranen getestet, wenn ein Techniker die Wirkung versehentlich umkehrt, indem er den Antrieb auf der falschen Seite der Gabel wieder zusammenbaut oder den Positionsregler falsch anschließt. Vibration und Fehlausrichtung an angetriebener Ausrüstung stromauf- oder stromabwärts eines Regelventils können außerdem ein Ventilproblem als Prozessproblem maskieren; dieselbe Disziplin, die bei der laserbasierten Wellenvermessung auf rotierende Maschinen angewandt wird, gilt auch dafür, zu verifizieren, dass ein Stellantrieb mechanisch frei ist, seine volle ausfallsichere Hubstrecke zu erreichen und nicht teilweise blockiert ist. Durch Kavitation beschädigte Ventileinsätze (Trim) stromabwärts eines Regelventils, wie in unserem Beitrag über Kavitation beschrieben, können ebenfalls verhindern, dass ein Ventil vollständig sitzt, selbst wenn der Antrieb korrekt arbeitet.
Die ausfallsichere Stellung sollte im Instrumentendatenblatt, am Ventilsymbol im P&ID (mit einem FC‑ oder FO‑Tag) und in der Ursache‑Wirkungs‑Matrix der Regelstrecke erscheinen, wenn sie in ein Abschaltsystem eingebunden ist. Die Verifikation während der Inbetriebnahme bedeutet, die Luft am Stellantrieb physisch abzulassen (oder separat das Signal zu entfernen) und zu bestätigen, dass das Ventil vollständig in die dokumentierte Stellung fährt, nicht nur, dass es sich in die richtige Richtung zu bewegen beginnt. Teilhub‑Prüfprogramme, die in Safety‑Instrumented‑Funktion‑Schleifen üblich sind, sind speziell darauf ausgelegt, ein Ventil zu erfassen, das im echten Bedarf seinen Hub nicht komplettiert hätte.
Ein Stellantrieb, der nie bis in seine Ausfallstellung betätigt wurde, kann blockieren, und eine Feder, die geschwächt oder korrodiert ist, liefert möglicherweise nicht die volle Hubkraft, wenn sie letztlich gefordert wird. Das ist ebenso ein Problem des Maschinenzustands wie ein Problem der Safety‑Instrumented‑Funktion, vergleichbar damit, wie Lagerausfälle stillschweigend zwischen geplanten Inspektionen entstehen. Fabrico liest den Maschinenzustand und die OEE direkt von der Linie und leitet automatisch einen Arbeitsauftrag ein, sobald ein Ausfall erkannt wird, wobei Computer Vision verwendet wird, um mechanische Verschlechterung zu erfassen, die Sensoren allein übersehen. Entwickelt und gehostet in der EU mit EU‑Datenresidenz und ISO 27001, 20000‑1 und 9001 Zertifizierung. Buchen Sie eine Fabrico‑Demo.
FC bedeutet „fail closed“ (bei Ausfall geschlossen) und FO bedeutet „fail open“ (bei Ausfall offen). Die Buchstaben beschreiben die Stellung, in die das Ventil bei Verlust der Luftversorgung oder – je nach zugrundeliegender Auslegungsbasis – seines Steuersignals geht. Sie werden durch die Prozesssicherheitsanforderung festgelegt, nicht durch die normale Betriebsstellung des Ventils.
Ja. Die Ausfallstellung ergibt sich aus der Kombination von Stellantriebswirkung (Luft‑zum‑Öffnen oder Luft‑zum‑Schließen) und Ventilkennlinie (direkt- oder umgekehrt wirkend), sodass derselbe Körperstil oft durch Änderung der Antriebskonfiguration zwischen fail‑open und fail‑closed umgerüstet werden kann. Das sollte jedoch immer gegen die Prozesssicherheitsanforderung verifiziert und nicht vorausgesetzt werden.
Nein. Das ist die Konstruktionsabsicht. Die Feder speichert mechanische Energie, während Luftdruck das Ventil von seiner Ausfallstellung hält; wenn Luft oder Signal verloren gehen, treibt allein die Feder das Ventil an seine ausfallsichere Endstellung, ohne elektrische Energie.
Ein fail‑last (oder fail‑freeze) Ventil hält bei Verlust von Signal oder Luft seine aktuelle Stellung, indem ein dediziertes pneumatisches Sperrrelais die Luft im Antrieb einschließt, anstatt vollständig offen oder geschlossen zu fahren. Es wird in Diensten wie der Kesselspeisewasserregelung verwendet, wo beide Extreme – Trockenlaufen oder Überfluten – schädlich sind, sodass das Halten der Position sicherer ist als das Festlegen auf ein Ende.
Anmeldung
Blog