4 Ex-Vorrichtungen als Maßnahmen der Zonenreduzierung/ Zündquellenvermeidung

4.1 Verfahrensweise zur Beurteilung des Ausfallverhaltens von Ex-Vorrichtungen

(1) In einem ersten Schritt wird die Sicherheitsfunktion der Ex-Vorrichtung festgelegt. Gegebenenfalls kann eine Ex-Vorrichtung mehrere Sicherheitsfunktionen beinhalten. Jede einzelne Sicherheitsfunktion stellt eine Ex-Einrichtung dar.

(2) Das Ausfallverhalten der Ex-Einrichtung ist insbesondere von der konstruktiven Auslegung bestimmt, wird aber auch von anderen Einflussgrößen, wie Verfahrensweisen, prozesstechnischen Eigenschaften oder organisatorischen Maßnahmen beeinflusst. Die Beurteilung der Auswirkung dieser Einflussgrößen dient als Basis für die vollständige Beurteilung der Ex-Einrichtung. (Geeignete Verfahren zur Beurteilung des Ausfallverhaltens von Ex-Einrichtungen hinsichtlich dieser Einflussgrößen können beispielsweise Ursache-Wirkungs-Analyse, PAAG-Verfahren (PAAG = Prognose von Abweichungen, Auffinden der Ursachen, Abschätzen der Auswirkungen, Gegenmaßnahmen) oder HAZOP (HAZOP = Hazardous Operability Study) sein.)

(3) Zur Beurteilung des Ausfallverhaltens der Ex-Einrichtung wird diese in sinnvolle Funktionseinheiten zergliedert. Die Anzahl der Funktionseinheiten soll die Zahl fünf nicht überschreiten. Ist die qualitative Bewertung einer Funktionseinheit ohne weitere Detaillierung nicht möglich, so kann diese Funktionseinheit wiederum in weitere Funktionseinheiten zergliedert werden (Gliederungsebene), deren Anzahl fünf nicht überschreiten soll. Jede Gliederungsebene ist für sich zu beurteilen. Die Anzahl der Gliederungsebenen ist auf maximal fünf zu beschränken. (Die Methode führt für eine zu große Anzahl von Funktionseinheiten und Gliederungsebenen bei lediglich qualitativer Beschreibung der Funktionseinheiten zu falschen Ergebnissen, daher wird deren Anzahl beschränkt.)

(4) Jede Funktionseinheit wird hinsichtlich ihrer Abhängigkeit zu anderen Funktionseinheiten bewertet und entsprechend Tabelle 4 einer Klassifizierungsstufe zugeordnet.

(5) Funktionseinheiten sind abhängig voneinander, wenn der Ausfall einer Funktionseinheit zum Ausfall der Ex-Einrichtung führt.

(6) Sicherheitstechnisch voneinander abhängige Funktionseinheiten sind in Reihe geschaltet. Die Klassifizierungsstufen der einzelnen Funktionseinheiten werden zu einer Klassifizierungsstufe der Ex-Einrichtung zusammengefasst. Die niedrigste Klassifizierungsstufe der in Reihe verschalteten Funktionseinheiten bestimmt die Klassifizierungsstufe der Reihe.

(7) Die Zuverlässigkeit der Ex-Einrichtung kann durch Redundanz von Funktionseinheiten (Parallelschaltung im Blockdiagram, siehe Abbildungen 3, 4, 5 und 6) erhöht werden. Der Ausfall der Redundanzen muss erkennbar sein und vor Erreichen eines unsicheren Zustands sind geeignete Maßnahmen zu treffen, um die Sicherheit zu gewährleisten.

(8) Sicherheitstechnisch voneinander unabhängige und redundante Funktionseinheiten sind parallel geschaltet. Deren Klassifizierungsstufen addieren sich (siehe Tabelle 5).

Tabelle 5: Resultierende Klassifizierungsstufe bei redundanten Funktionseinheiten, abhängig von der Klassifizierungsstufe

Klassifizierungsstufe einer Funktionseinheit Klassifizierungsstufe der zweiten Funktionseinheit Resultierende Klassifizierungsstufe
K11 K11 K22
K2 K11 K33,4

1 Für die Überwachung von betrieblichen Zündquellen sowie für die Überwachung von Maßnahmen zur Vermeidung gefährlicher explosionsfähiger Atmosphäre reicht eine Ausführung in bewährter Technik mit den allgemeinen Anforderungen nach Anhang 1 einschließlich regelmäßiger Prüfung aus. Für nicht-MSR-Einrichtungen reicht eine Ausführung in bewährter Technik einschließlich regelmäßiger Prüfung aus.
2 Abweichend von Satz 1 kann mit der Funktionseinheit Prozessleitsystem (PLS) bei Verwendung unabhängiger Ein- und Ausgänge eine zu K2 gleichwertige Sicherheit erreicht werden, wenn die Gefährdungsbeurteilung nach Nummer 3.2 unter Verwendung der TRGS 720 ff ergeben hat,
  • dass eine Explosion nicht unmittelbar durch einen undefinierten Zustand des PLS ausgelöst werden kann (das bedeutet, dass das Fehlverhalten des PLS eine Explosion nicht kausal nach sich zieht),
  • dass der sichere Zustand bei zentralem Ausfall des PLS in ausreichend kurzer Zeit durch technische oder organisatorische Eingriffe wieder herzustellen ist und
  • betriebsmäßige Zündquellen (Zündquellen im Normalbetrieb) nach dem Stand der Technik ausgeschlossen sind.

Zusätzlich zu den Anforderungen nach Anhang 1 Nummer 1 Absatz 9 muss für das PLS hierzu in der Gefährdungsbeurteilung festgestellt worden sein, dass

  • ein zentraler Ausfall des PLS, der ausschließlich die Ex-Maßnahmen betrifft, nach dem Stand der Technik auszuschließen ist,
  • der Ausfall gemeinsam genutzter Komponenten des PLS erkannt und gemeldet wird und bei erkannten Ausfällen Korrekturmaßnahmen ergriffen werden und
  • ein unbeabsichtigtes Ändern der PLT-Ex-Schutzmaßnahme nach dem Stand der Technik verhindert wird.
3 K3 ist durch Bildung einer Kombination mit maximal einer Einrichtung in Ausführung in bewährter Technik mit Zusatzmaßnahmen nach Anhang 1 einschließlich regelmäßiger Prüfung aus zulässig.
4 Eine Klassifizierungsstufe K3 ist allein durch eine Kombination von Maßnahmen im Prozessleitsystem (PLS) nicht möglich.

Beispiel 1: Ex-Einrichtung der Klassifizierungsstufe K1

Die Funktionseinheiten a, b und c haben die in den Blöcken eingetragene Klassifizierungsstufe (Abbildung 3) und sind funktional voneinander abhängig (jedes Element ist notwendig, damit die Sicherheitsfunktion ausgeführt wird). Die Ex-Einrichtung hat nach Absatz 6 eine Klassifizierungsstufe von K1.

Abbildung 3: Ex-Einrichtung der Klassifizierungsstufe K1; Reihenschaltung der Funktionseinheiten a (K2), b (K1) und c (K1)

Beispiel 2: Ex-Einrichtung der Klassifizierungsstufe K1 in K2 überführen

Wenn die Ex-Einrichtung der Abbildung 3 die Klassifizierungsstufe K2 erfüllen soll, müssen die Funktionselemente b und c jedes für sich die Klassifizierungsstufe K2 erfüllen. Dies ist möglich durch Verwendung von Funktionselementen mit einem besseren Ausfallverhalten als „vorhersehbar“ oder indem zu den Elementen b und c jeweils ein redundantes funktionsidentisches Element geschaltet wird oder indem zu den Elementen b und c ein gemeinsames Element parallel geschaltet wird, welches die Funktion der Elemente b und c übernimmt. Letzterer Fall ist in der Abbildung 4 dargestellt und kann wie in Abbildung 5 und 6 zusammengefasst werden. Die Zusammenfassungen von Funktionseinheiten verdeutlichen die Anwendung der Tabelle 5. (Nach Absatz 6 erfüllt die Ex-Einrichtung die Klassifizierungsstufe K2.)

Abbildung 4: Ex-Einrichtung der Klassifizierungsstufe K2; Reihenschaltung der Funktionseinheit a (K2) mit Parallelschaltung der Funktionseinheiten b – c (K1) und d (K1) als zusätzliche Maßnahme in einer aktiven Redundanz (zu b-c)

Abbildung 5: Ex-Einrichtungder Abbildung 4 mit der Zusammenfassung der Funktionseinheiten b (K1) und c (K1) zu einer gemeinsamen Funktionseinheit (b + c) der Klassifizierungsstufe K1

Abbildung 6: Ex-Einrichtung der Abbildung 4 mit der Zusammenfassung der Funktionseinheiten (b + c) (K1) und d(K1) nach Tabelle 5 zu einer gemeinsamen Funktionseinheit (b + c)//d mit der Klassifizierungsstufe K2

(9) Besteht die Ex-Vorrichtung nur aus einer einzelnen Ex-Einrichtung entspricht deren Klassifizierungsstufe der Ex-Vorrichtung.

(10) Besteht die Ex-Vorrichtung aus mehreren unabhängigen Ex-Einrichtungen addieren sich deren Klassifizierungsstufen zu einer resultierenden Klassifizierungsstufe entsprechend Tabelle 5.

(11) Aus der resultierenden Klassifizierungsstufe wird die Reduzierungsstufe der Ex-Vorrichtung nach Tabelle 6 bestimmt.

Tabelle 6: Gegenüberstellung der resultierenden Klassifizierungsstufen mit der Reduzierungsstufe der Ex-Vorrichtung

Klassifizierungsstufe Reduzierungsstufe
K1 1
K2 2
K3 3

4.2 Verfahrensweise bei der Beurteilung des Ausfallverhaltens der Ex-Einrichtung

(1) Für die Gefährdungsbeurteilung ist es sinnvoll die Ex-Einrichtungen zur Zonenreduzierung zunächst und – falls notwendig – erst danach die Ex-Einrichtungen zur Vermeidung von Zündquellen zu betrachten. Beide Ex-Einrichtungen müssen getrennt voneinander bewertet werden. Die Beurteilungsgrundlagen der Nummern 4.4 und 4.5 sind nur anwendbar, wenn das Auftreten gefährliche explosionsfähiger Gemische und das Wirksamwerden von Zündquellen voneinander unabhängig sind.

(2) Die Fälle, in denen keine Unabhängigkeit zwischen dem Auftreten der gefährlichen explosionsfähigen Atmosphäre und der Zündquelle gegeben ist, erfordern eine gesonderte Betrachtung.

(3) Ex-Einrichtungen zur Vermeidung gefährlicher explosionsfähiger Atmosphäre und Ex-Einrichtungen zur Zündquellenvermeidung können Funktionseinheiten einer gemeinsamen Ex-Vorrichtung sein (siehe Nummer 4.6).

4.3 Verfahrensweise bei der Beurteilung des Ausfallverhaltens der Überwachung

(1) Überwachungen sind Teil einer Sicherheitsfunktion. Sie gewährleisten, dass die Sicherheitsfunktion der Ex-Einrichtung aufrechterhalten oder eine andere Sicherheitsfunktion vor Erreichen eines unsicheren Zustands wirksam wird. Diese kann z. B. die Alarmierung, die Umschaltung auf einen anderen Lüfter, die Unterbrechung des Freisetzungsprozesses, z. B. des Massenstromes, oder die Abschaltung von Zündquellen sein.

(2) Die notwendigen Funktionseinheiten der Überwachung (Sensorik, Logik, Aktorik) sind in Reihe verschaltet.

(3) Ergibt sich aus der Gefährdungsbeurteilung die Notwendigkeit einer Überwachung, muss diese grundsätzlich unabhängig von der Ex-Einrichtung sein. Abweichungen hiervon sind zulässig, wenn dies in der Gefährdungsbeurteilung nach § 6 Absatz 9 GefstoffV (Explosionsschutzdokument) begründet wird.

(4) Das Blockdiagramm der Ex-Vorrichtung für eine Überwachung mit Schaltfunktion besteht aus parallelen Ex-Einrichtungen oder Funktionseinheiten. Die Überwachung ist als Funktionseinheit in Reihe zu der von ihr aktivierten Ex-Einrichtung (Funktionseinheit) enthalten und liegt parallel zur überwachten Ex-Einrichtung (siehe Abbildung 7).

Abbildung 7: Eine Ex-Vorrichtung bestehend aus zwei Ex-Einrichtungen in einer passiven Redundanz

Die Ex-Einrichtung bestehend aus der Überwachung und der Funktionseinheit d überwacht die andere Ex-Einrichtung und übernimmt bei deren Ausfall die gleiche oder eine andere Sicherheitsfunktion. Die Überwachung in der Abbildung 7 ist unabhängig von der Ex-Einrichtung mit den Funktionselementen a, b und c. Überwachungen können auch eigenständige Sicherheitsfunktionen übernehmen, z. B. Gaswarneinrichtungen.

(5) Für die sicherheitstechnische Auslegung einer unabhängigen Überwachung, die bei Ausfall der Sicherheitsfunktion nur alarmiert, ist eine Ausführung in bewährter Technik mit allgemeinen Anforderungen nach Anhang 1 einschließlich regelmäßiger Prüfung ausreichend.

(6) Eine abhängige Überwachung nutzt Funktionseinheiten der Ex-Einrichtung (z. B. Sensorik oder Aktorik). Die Überwachung liegt im Blockschaltbild in Reihe zu den Funktionseinheiten der Ex-Einrichtung.

(7) Im Falle der abhängigen Überwachung sind höhere Anforderungen an die Fehlersicherheit der abhängigen Teile oder an die Prüffrist zu stellen. Die abhängige Überwachung als Ganzes oder die Funktionseinheiten, für welche eine Abhängigkeit besteht, müssen mindestens in einer Klassifizierungsstufe höher ausgeführt sein als die notwendige Reduzierungsstufe der Vorrichtung. Alternativ ist die Prüffrist so zu wählen, dass der Ausfall der Überwachung so rechtzeitig erkannt wird, dass Maßnahmen zur Aufrechterhaltung der Sicherheit getroffen werden können.

(8) Bei einer abhängigen Überwachung mit Schaltfunktion besteht das Blockdiagramm der Ex-Vorrichtung aus parallelen Ex-Einrichtungen oder Funktionseinheiten, zu deren Gesamtheit die Überwachung mit Schaltfunktion oder die abhängigen Funktionseinheiten in Reihe liegt (siehe Abbildung 8).

Abbildung 8: Eine Ex-Vorrichtung bestehend aus zwei Ex-Einrichtungen in einer passiven Redundanz mit einer abhängigen Überwachung (Ü) mit Schaltfunktion

 

4.4 Ex-Vorrichtungen zur Zonenvermeidung und -reduzierung

(1) Die Maßnahme besteht aus einer Ex-Einrichtung zur Zonenvermeidung oder reduzierung und, falls erforderlich, deren Überwachung. Ex-Einrichtungen können auch Maßnahmen zur Reduzierung der Ausdehnung von Zonen darstellen, z. B. bei Lüftungsanlagen. Ist der Ausfall der Ex-Einrichtung als sehr selten zu betrachten, ist eine Überwachung der Ex-Einrichtung nicht erforderlich.

(2) Wird die Anzahl der erforderlichen Reduzierungsstufen in Bezug zu den vorhandenen wirksamen Zündquellen gemäß Tabelle 2 durch die Ex-Vorrichtung zur Zonenreduzierung nicht erreicht, so verbleibt eine Zone, für die weitere Maßnahmen getroffen werden müssen (siehe Tabelle 7).

(3) Falls eine Zone verbleibt und wirksame Zündquellen nicht durch MSR-Einrichtungen ausreichend sicher zu verhindern sind (z. B. bei heißen Oberflächen), müssen entweder die Maßnahmen zur Zonenreduzierung hinsichtlich des Ausfallverhaltens verbessert, andere Maßnahmen zur Zündquellenvermeidung durchgeführt oder Maßnahmen des konstruktiven Explosionsschutzes ergriffen werden.

(4) Die Ex-Einrichtung zur Zonenreduzierung muss in Abhängigkeit des Ergebnisses der Gefährdungsbeurteilung überwacht werden, damit deren Ausfall erkannt wird und kurzfristig Maßnahmen eingeleitet werden können. Zur Einteilung von explosionsgefährdeten Bereichen in Zonen siehe Anhang 1 Nummer 1.6 Absatz 3 GefStoffV).

Tabelle 7: Bestimmung der resultierenden Zone in Abhängigkeit vom Ausfallverhalten der Ex-Vorrichtung zur Zonenreduzierung

Zone ohne Maßnahme Zone 0 Zone 1 Zone 2
Ausfallverhalten der Ex-Vorrichtung zur Zonenreduzierung sehr selten selten zu erwarten selten zu erwarten zu erwarten
resultierende Klassifizierungsstufe K3 K2 K11 K2 K11 K11
resultierende Zone keine Zone Zone 2 Zone 1 keine Zone Zone 2 keine Zone

Bemerkung: Im Zonenplan ist die resultierende Zone einzutragen.
1Hinweis: Für die Überwachung von Maßnahmen zur Vermeidung gefährlicher explosionsfähiger Atmosphäre reicht eine Ausführung in bewährter Technik mit den allgemeinen Anforderungen nach Anhang 1 einschließlich regelmäßiger Prüfung aus. Für nicht-MSR-Einrichtungen reicht eine Ausführung in bewährter Technik einschließlich regelmäßiger Prüfung aus.

 

4.5 Ex-Vorrichtungen zur Zündquellenvermeidung

(1) Die Maßnahme besteht aus einer Ex-Einrichtung zur Zündquellenvermeidung und falls erforderlich deren Überwachung. Eine Überwachung der Ex-Einrichtung ist nicht erforderlich, sofern der Ausfall der Ex-Einrichtung als sehr selten betrachtet wird. (Für Geräte im Sinne der Richtlinie 2014/34/EU wird die Zündschutzart, z. B. Überdruck-Kapselung oder Zündquellenüberwachung („b“), als Ex-Einrichtung betrachtet. Abhängig von der Konstruktion und Gerätekategorie können zusätzliche Überwachungen erforderlich sein.)

(2) Für die funktionale Sicherheit der Ex-Vorrichtung muss die Fehlersicherheit das gleiche Niveau aufweisen wie vergleichbare Sicherheits-, Kontroll- oder Regelvorrichtungen im Sinne der Richtlinie 2014/34/EU für die entsprechende Gerätekategorie. Andernfalls muss die Sicherheit auf andere Art und Weise hergestellt werden.

(3) Die Tabelle 8 beschreibt die Vorgehensweise zur Festlegung einer Klassifizierungsstufe für Überwachungen zur Vermeidung einer Zündquelle.

Tabelle 8: Klassifizierung der Überwachung einer Ex-Vorrichtung zur Vermeidung einer Zündquelle

Vorhandene Zone 0 oder 20 1 oder 21 2 oder 22
notwendige Kategorie bei Geräten nach 2014/34/EU. 1G oder 1D 2G oder 2D 3G oder 3D
Zulässigkeit von Zündquellen abhängig von den Zonen
ständig bzw. häufig Nein Nein Nein
gelegentlich Nein Nein Ja
selten Nein Ja Ja
Notwendigkeit einer Überwachung in Abhängigkeit von wirksamen Zündquellen
Zündquelle vorhanden: nie beim seltenen Fehler beim zu erwartenden Fehler beim seltenen Fehler beim zu erwartenden Fehler ständig beim zu erwartenden Fehler ständig
Überwachung erforderlich Nein Ja Ja Nein Ja Ja Nein Ja
Anforderungen an die Überwachung
erforderliche Fehlertoleranz (HFT)1 der Überwachung - 0 12 - 0 12 - 0
Klassifizierungsstufe der Überwachung - K13 K2 - K13 K2 - K13

Hinweis: Nach dem in der Tabelle beschriebenen Schema sind alle wirksamen Zündquellen zu betrachten.

1 Eine HFT = 0 bedeutet: Der erste Fehler kann zum Verlust der Sicherheitsfunktion führen. Eine HFT = 1 bedeutet: zwei Fehler in Kombination können zum Verlust der Sicherheitsfunktion führen. Die Überwachung ist Ein-Fehler-sicher. Eine HFT = 2 bedeutet: drei Fehler in Kombination können zum Verlust der Sicherheitsfunktion führen. Die Überwachung ist Zwei-Fehler-sicher.
2 Eine Fehlertoleranz von 0 ist zulässig für betriebsbewährte Überwachungen.
3 Für die notwendige Überwachung einer betrieblichen Zündquelle reicht eine Ausführung in bewährter Technik mit den allgemeinen Anforderungen nach Anhang 1 einschließlich regelmäßiger Prüfung aus. Betriebliche Zündquelle: eine Zündquelle, die keinem Gerät im Sinne der Richtlinie 94/9/EG (ab 20.4.2016: Richtlinie 2014/34/EU) zugeordnet ist.

4.6 Ex-Vorrichtungen zur Zonenreduzierung in Kombination mit Überwachungen zur Vermeidung von Zündquellen

(1) Wird nach Ausfall der Ex-Vorrichtung zur Zonenreduzierung durch eine unabhängige Überwachung eine Zündquellenabschaltung vorgenommen, so gilt für die Bestimmung der erforderlichen Klassifizierungsstufe dieser Überwachung die Tabelle. Die durch die Ex-Einrichtung zur Zonenreduzierung erreichte resultierende Zone ist die vorhandene Zone in Tabelle 8. Zur Einteilung von explosionsgefährdeten Bereichen in Zonen siehe Anhang 1 Nummer 1.6 Absatz 3 GefStoffV.

(2) Falls die Ex-Einrichtung zur Zonenreduzierung und die Ex-Einrichtung zur Zündquellenabschaltung beide für ihre Sicherheitsfunktion eine Überwachung benötigen, werden in der Praxis oft gemeinsame Funktionseinheiten eingesetzt, sodass eine Abhängigkeit vorliegt. Die Beurteilung muss diese Abhängigkeit berücksichtigen, indem z. B. zunächst wie unter Absatz 1 die resultierende Zone festgelegt wird, mit der in Tabelle 8 die Festlegung der Anforderungen an die Überwachung erfolgt. Die nach Tabelle 8 ermittelte Klassifizierungsstufe muss anschließend für die abhängigen Funktionseinheiten um eine Stufe erhöht werden.

(3) Für die abhängigen Funktionseinheiten kann alternativ das Verfahren des Blockschaltbildes angewendet werden, welches die Abhängigkeit dadurch darstellt, dass die gemeinsame Überwachung in Reihe zu den beiden parallelen Ex-Einrichtungen liegt (s. Abbildung 8).