Grundlagen der Ventilsicherheit: Sollte Ihr Ventil im geöffneten oder im geschlossenen Zustand ausfallen?

Einleitung

Entropie ist die einzige Konstante in den komplexen Abläufen der industriellen Verarbeitung. In Systemen kommt es immer wieder zu Störungen – sei es in der Machtfall Ausfälle, Druckluftstörungen oder Signalausfälle. Wenn die Energie, die ein System steuert, nachlässt, hört die Maschine nicht einfach auf zu existieren, sondern fällt in einen Standardzustand zurück. Die wichtigste Frage für den Verfahrensingenieur lautet nicht: Wird es zu einem Ausfall kommen?, sondern: Was passiert, wenn es dazu kommt?

Darin liegt die Logik von „Fail-Safe“. Es handelt sich um einen rationalen Entscheidungsprozess, bei dem es im Katastrophenfall darum geht, das am wenigsten schlimme Ergebnis zu erzielen. Das automatische Ventil, das die wichtigste Steuerungskomponente in der Strömungslehre darstellt, ist die Notbremse des Systems. Wenn diese Bremse betätigt wird: Stoppt sie den Durchfluss, um ein Auslaufen zu verhindern, oder leitet sie den Durchfluss ab, um eine Explosion zu vermeiden?

Es gibt keine allgemeingültige Antwort. „Fail Open“ (FO) oder „Fail Closed“ (FC) ist eine wichtige Maßnahme des Risikomanagements, bei der die Sicherheit von Personen, der Schutz von Anlagen und die wirtschaftliche Effizienz gegeneinander abgewogen werden. In diesem Beitrag werden die Funktionsweise, die Gründe sowie die entscheidenden Auswahlkriterien für die Ausfallmodi von Ventilen erläutert.

Was führt zum Ausfall einer Klappe?

Um mehr über Fehlermodi zu erfahren, müssen wir den Fehler klassifizieren. Bei automatisierten Ventilen, d. h. bei pneumatischen und elektrischen Antrieben, bedeutet ein Fehler nicht immer, dass ein Teil beschädigt ist, wie beispielsweise eine abgebrochene Spindel oder ein beschädigtes Gehäuse. Vielmehr bedeutet er den Verlust der Kraft, die erforderlich ist, um das Ventil in seiner Betriebsposition zu halten.

Die Hauptursachen für diesen Kontrollverlust sind:

• Ausfall der Stromversorgung: Die Stromversorgung der Magnetventile oder elektrischen Stellantriebe fällt aus, und der Motor bzw. die Magnetspule wird nicht mehr mit Strom versorgt.
• Luftdruckverlust: Bei pneumatischen Systemen führt eine Störung des Kompressors, eine geknickte Versorgungsleitung oder eine gebrochene Luftleitung dazu, dass die Kraft, die das Ventil in seiner nicht vorgesehenen Position hält, wegfällt.
• Signalunterbrechung: Ein defektes SPS-Kabel oder ein Fehler im Regelkreis führt dazu, dass der Stellantrieb keine Befehle mehr erhält, obwohl möglicherweise weiterhin Spannung anliegt.

Sobald diese Energiequellen ausfallen, wird das Ventil nicht mehr aktiv gesteuert. Genau in diesem Moment des Energieverlusts muss das Ventil eigenständig entscheiden: Soll es in die geöffnete Position zurückkehren oder zuschlagen? Diese eigenständige Reaktion wird durch die Wahl der “Fail-Safe”-Konfiguration in der Konstruktionsphase vorgegeben.

Was ist ein „Fail-Open“-Ventil (Luft zum Schließen)?

Ein „Fail-Open“-Ventil (FO), technisch auch als „Air-to-Close“-Ventil (ATC) bezeichnet, zeichnet sich durch seinen mechanischen Grundzustand aus: Es ist vollständig geöffnet, wenn keine externe Energie zugeführt wird. Das konstruktive Merkmal, das diesen Zustand ermöglicht, ist eine hochbelastbare interne Feder, die so angeordnet ist, dass sie den Ventilstößel physisch nach außen drückt. Das System muss in der Lage sein, Druckluft (oder Strom) in die Betätigungskammer zu leiten, um das Ventil zu schließen. Diese Energie wirkt der Zugkraft der Feder entgegen und drückt sie zusammen, um das Ventil in der geschlossenen Position zu halten. Wenn also die Energiezufuhr unterbrochen wird – sei es durch einen Stromausfall oder eine Störung im Flugzeug –, entfällt die entgegenwirkende Kraft, die Feder streckt sich sofort aus und das Ventil kehrt in seinen ursprünglichen, offenen Zustand zurück.

Die Hauptfunktion eines „Fail-Open“-Ventils besteht darin, als Druckentlastungs- oder Kühlsicherungssystem zu dienen. Es findet breite Anwendung in thermodynamischen Systemen, in denen der Aufbau von Wärme oder Druck eine größere Gefahr darstellt als der Durchfluss selbst. Beispielsweise sorgt das Ventil im Kühlmantel eines chemischen Reaktors dafür, dass das Wasser auch bei einem vollständigen Stromausfall der Anlage weiter zirkuliert, damit der Reaktor nicht überhitzt. Ebenso werden die Ventile in Dampfleitungen eingesetzt, um Überdruck an einen sicheren Ort abzulassen, damit die Rohrleitungen bei einem Ausfall der Steuerungssysteme nicht bersten.

Der einzigartige Vorteil dieser Konstruktion liegt in der passiven Sicherheit vor katastrophalen physikalischen Ausfällen, z. B. Explosionen oder thermischem Durchgehen. Dabei steht die Integrität der Anlagen und Einrichtungen im Vordergrund. Dennoch weist diese Sicherheitsmaßnahme einen erheblichen Nachteil auf, nämlich das Fehlen einer Eindämmung. Falls die durch das Ventil fließende Flüssigkeit kostspielig, giftig oder brennbar ist, leitet ein „Fail-Open“-Ventil diese in den nachgeschalteten Prozess oder in die Umwelt ab, bis ein Bediener ein manuelles Absperrventil physisch schließt. Dies kann zu Materialverlusten oder Kosten für Umweltsanierungsmaßnahmen führen.

Was ist ein „Fail-Close“-Ventil (Luftbetätigt)?

Ein „Fail Closed“-Ventil (FC), auch als „Air-to-Open“-Ventil (ATO) bezeichnet, funktioniert hingegen nach dem umgekehrten Prinzip, wobei der Standardzustand vollständig geschlossen ist. Bei dieser Bauart ist die interne Feder so ausgelegt, dass sie eine konstante Kraft auf den Ventilsitz ausübt und diesen geschlossen hält. Die Bezeichnung „Air-to-Open“ spiegelt die Funktionsweise buchstäblich wider: Die Druckluft wird nur benötigt, um das Ventil gegen die Federkraft zu öffnen. Wird die Luftzufuhr abgeschaltet, geht die Energie verloren, die das Ventil offen hält, und die in der Feder gespeicherte mechanische Energie bewirkt, dass das Ventil in die geschlossene Position zurückspringt und sofort abdichtet.

Die Eindämmung ist das grundlegende Ziel eines „Fail-Closed“-Ventils. Es dient dazu, Gefahrenquellen zu isolieren, wenn die Steuerung ausfällt. Daher ist es die Standardanforderung beim Umgang mit Gefahrstoffen, Brennstoffvorräten und giftigen Chemikalien. Ein FC-Ventil in einem Brennermanagementsystem sorgt beispielsweise dafür, dass die Brennstoffzufuhr sofort unterbrochen wird, falls der Flammenwächter ausfällt, sodass sich kein Rohgas im Brennerraum ansammeln kann. In chemischen Dosierleitungen verhindert es das Überfluten eines Tanks mit gefährlichen Reaktionspartnern, wenn die Pumpe abgeschaltet wird.

Der entscheidende Vorteil der „Fail-Closed“-Auslegung besteht darin, dass die betroffene Stelle sofort abgeschaltet wird, wodurch das Risiko von Verschüttungen, Austritt giftiger Stoffe und Brandgefahren verringert wird. Dies ist eine gute Möglichkeit, die Prozessleitung sicher abzusperren. Der Nachteil ist jedoch, dass dadurch thermische oder druckbedingte Gefahren entstehen können. Ein „Fail-Closed“-Ventil könnte an einer falschen Stelle installiert werden, beispielsweise an einer Kühlwasserleitung, und im Notfall die einzige Kühlquelle unterbrechen, was zu einer Überhitzung der Anlagen oder zu einem gefährlichen Druckaufbau in einem Behälter führen kann.

Die Mechanik: Wie die Stellantriebe ausfallsichere Maßnahmen auslösen

Um zu verstehen, wie ein Ventil die Sicherheit automatisiert, muss man lediglich das Konzept der gespeicherten potenziellen Energie kennen. Der federrückstellende (einfachwirkende) Antrieb ist der Industriestandard für solche Systeme.

Ein ausfallsicherer Antrieb verfügt über eine Reihe hochbelastbarer Industriefedern, im Gegensatz zu Standardantrieben, die für die Bewegung in beide Richtungen Druckluft benötigen. Es ist ein unaufhörlicher physikalischer Kampf zwischen zwei Kräften: Druckluft und Federkraft.

• Normalbetrieb (Aufladen der Sicherung): Im Betrieb wird Druckluft in den Antrieb geleitet. Dabei handelt es sich um einen hohen Luftdruck, der ausreicht, um die inneren Kolben zu betätigen und die Federn physikalisch gegen die Wand zu drücken. Die Federn bleiben zusammengedrückt, solange der Luftdruck aufrechterhalten wird und sich das Ventil in seiner Betriebsposition befindet (z. B. vollständig geöffnet).
• Maßnahme zur Fehlerabsicherung (Lösen der Sicherung): Wenn die Luftzufuhr unterbrochen wird (durch Stromausfall oder einen Rohrbruch), entfällt die Kraft, die die Federn zurückhält. Die Federn springen sofort auf ihre normale Länge zurück. Dabei wird enorme mechanische Energie freigesetzt, die die Kolben in ihre Ausgangsposition zurückdrückt und das Ventil in seine Sicherheitsstellung (geschlossen oder offen) bringt.

Warum ist das zuverlässig? Weil es nicht auf Sensoren, Strom oder menschlichem Eingreifen beruht. Es basiert auf den Grundgesetzen der Physik. Die Feder wird immer versuchen, sich auszudehnen, solange sie vorhanden ist, was bedeutet, dass das Ventil immer in den Sicherheitsmodus wechselt.

Wenn „Fail Last“ (FL) tatsächlich die beste Wahl ist

Neben der binären Entscheidung zwischen “Offen” und „Geschlossen“ gibt es eine dritte strategische Option: „Fail Last“ (FL), allgemein bekannt als „Fail in Place“. Bei dieser Konfiguration bleibt das Ventil genau in der Position, in der es sich zum Zeitpunkt des Strom- oder Luftverlusts befand, anstatt die gespeicherte Energie zu nutzen, um das Ventil in eine neue Position zu bringen. Dies wird mechanisch durch die Kombination eines doppeltwirkenden Antriebs mit einem speziellen Luftschleusenventil erreicht. Sobald diese Vorrichtung feststellt, dass der Versorgungsdruck abfällt, schließt sie sofort die Entlüftungsöffnungen und sperrt die verbleibende Druckluft im Zylinder des Antriebs ein, um den Kolben hydraulisch in seiner Position zu arretieren. Dieser Modus zielt darauf ab, das Problem des Systemschocks zu beheben. In Flüssigkeitsrohrleitungen mit großem Durchmesser (in der Regel über 20 Zoll) würde der plötzliche Knall eines federrückstellenden Ventils einen heftigen „Wasserschlag“ verursachen, der Rohre buchstäblich zerreißen kann. Ebenso könnte bei der sensiblen chemischen Mischung ein vollständiges Öffnen oder Schließen das thermische Gleichgewicht stören oder das stöchiometrische Verhältnis einer Charge beeinträchtigen.

Die Hauptfunktion von „Fail Last“ besteht somit darin, der Stabilität mehr Gewicht beizumessen als der Isolierung. Das System hält den Durchfluss konstant und verhindert so unmittelbare physische Schäden an der Infrastruktur sowie einen Thermoschock im Prozess. Diese Stabilität verschafft dem Bedienpersonal Zeit, einzugreifen und eine kontrollierte manuelle Abschaltung vorzunehmen, um den Übergang im Notfall reibungslos zu gestalten. Dennoch sollten sich Ingenieure des Nachteils dieses Betriebsmodus sehr bewusst sein: Es handelt sich nicht um eine langfristige, sondern um eine vorübergehende Lösung. Die Luftdichtung ist im Vergleich zu einer mechanischen Feder nicht perfekt; nach einigen Stunden entweicht die Luft, und das Ventil bleibt nicht in der eingestellten Position. Daher handelt es sich um ein Instrument für menschliches Eingreifen und nicht um eine langfristige, unbeaufsichtigbare Sicherheitsmaßnahme.

Fehlerbehebung und potenzielle Risiken

Selbst das robusteste ausfallsichere System ist nur so zuverlässig wie seine Wartung. Da diese Ventile in der Regel monatelang im Leerlauf verharren und auf einen Notfall warten, der hoffentlich nie eintritt, sind sie anfällig für bestimmte schleichende Ausfälle. Es ist wichtig, diese Schwachstellen zu kennen, damit das System dann reagieren kann, wenn es am dringendsten benötigt wird.

• Statische Reibung (“Stiction”): Haftreibung ist der größte Feind von Sicherheitsventilen. Die Gummidichtungen können sich physikalisch am Metallkörper festsetzen, wenn sich ein Ventil über längere Zeiträume in Ruhestellung befindet. Wenn sich diese Reibung so weit aufbaut, dass sie die Kraft der Feder übertrifft, bleibt das Ventil im Notfall einfach hängen und kann die Gefahr nicht abschirmen. Der beste Schutz ist die regelmäßige Durchführung eines Teilhubtests, bei dem das Ventil ein wenig bewegt wird, um diese Reibungshaftung zu lösen, ohne den laufenden Prozess zu beeinträchtigen.
• Federermüdung: Mechanische Komponenten nutzen sich mit der Zeit ab, d. h., es kommt zu einer Ermüdung der Feder. Nach jahrelangen Kompressionszyklen kann eine Feder die erforderliche Spannung verlieren, um das Ventil bei hohem Leitungsdruck vollständig zu schließen. Dies birgt die Gefahr eines Leckages bei geschlossenem Ventil, bei dem ein Ventil zwar geschlossen zu sein scheint, tatsächlich jedoch gefährliche Flüssigkeit durchlässt. Um dies zu vermeiden, sollte das Drehmoment des Stellantriebs von den Bedienern während der jährlichen Wartungsarbeiten überprüft werden, und alle Federkassetten, die Anzeichen von Schwäche aufweisen, sollten ausgetauscht werden.
• Verstopfung der Abluftöffnung: Schließlich kann eine verstopfte Entlüftungsöffnung eine Sicherheitsmaßnahme lahmlegen. Damit sich die Feder ausdehnen und das Ventil schließen kann, sollte die Luft in der Kammer so schnell wie möglich abgelassen werden. Wenn die Entlüftungsöffnung durch Eis (feuchte Luft), Schmutz oder sogar Insektennester verstopft ist, wird die Luft eingeschlossen und bildet eine hydraulische Sperre, die eine Bewegung des Ventils verhindert. Diese Fehlerart wird in der Regel ignoriert, lässt sich jedoch durch die Sicherstellung einer sauberen und trockenen Instrumentenluftversorgung sowie durch den Einbau einfacher Entlüftungsöffnungen an den Auslassanschlüssen wirksam beseitigen.

Warum die Fertigungsqualität für die ausfallsichere Logik entscheidend ist

Die technische Entscheidung für die Auslegung „Fail Closed“ ist lediglich eine theoretische Wahl, bis sie in der Praxis tatsächlich getestet wurde. Ein kostengünstiger Antrieb kann in einem Datenblatt dieselben Drehmomentwerte und Sicherheitsbewertungen aufweisen wie ein hochwertiges Gerät, doch handelt es sich hierbei um eine Täuschung, die sich bei Belastung als falsch erweist. Im Zusammenhang mit der Fail-Safe-Logik ist Qualität in der Fertigung kein Luxusaspekt, sondern die strukturelle Grundlage, die darüber entscheidet, ob eine Sicherheitsmaßnahme tatsächlich wirksam ist oder lediglich auf dem Papier steht.

Die eigentliche Gefahr einer minderwertigen Fertigung besteht darin, dass sie einen falschen Eindruck von Sicherheit vermittelt. Berücksichtigen Sie dabei die Metallurgie der Feder, die den Antrieb der Ausfallsicherung bildet. Minderwertige Federn weisen das Problem der Spannungsrelaxation auf – ein physikalisches Phänomen, bei dem Stahl sein „Gedächtnis“ verliert, wenn er über Jahre hinweg in komprimiertem Zustand verbleibt. Eine ermüdete Feder ist im Ernstfall zwar möglicherweise stark genug, um das Ventil zu betätigen, aber nicht stark genug, um es gegen den hohen Leitungsdruck zu schließen. Darüber hinaus ist die einzige Absicherung gegen Phantomausfälle die Präzision bei der Innenbearbeitung. Wenn die Zylinderwände rau sind oder die Dichtungen von minderwertiger Qualität sind, kann die Druckluft am Kolben vorbeiströmen, gegen die Feder drücken und dazu führen, dass der Antrieb gerade dann zu schwach ist, wenn er am dringendsten benötigt wird.

Schließlich ist ein Sicherheitsventil im Vergleich zu der Katastrophe, die es verhindert, kostengünstig. Eine hochwertige Fertigung stellt zudem sicher, dass das Drehmoment des Stellantriebs konstant ist, die Feder ihr Formgedächtnis behält und der Ventilkörper den Umwelteinflüssen standhält, ohne zu blockieren. Um diese technischen Spezifikationen in zuverlässige Realität umzusetzen, ist es notwendig, einen Fertigungspartner zu finden, für den Sicherheit oberste Priorität hat – was den Kern der technischen Philosophie von VINCER bildet.

So treffen Sie die Entscheidung: Der dreistufige Sicherheitstest

Die Wahl des geeigneten Ausfallmodus ist kein Ratespiel, sondern eine Risikobewertung. Ingenieuren wird empfohlen, einen hierarchischen dreistufigen Sicherheitstest anzuwenden, um die richtige Spezifikation zu ermitteln. Dieses rationale Modell ordnet die Folgen nach ihrer Schwere ein, von der schwerwiegendsten – dem Verlust von Menschenleben – bis zur unwichtigsten – wirtschaftlichen Unannehmlichkeiten.

Bei der Auslegung eines Ventils müssen Sie die folgenden drei Risikostufen in dieser Reihenfolge berücksichtigen. Fahren Sie erst dann mit der nächsten Überlegung fort, wenn die jeweilige Stufe vollständig erfüllt ist.

Wichtiger Aspekt 1: Sicherheit (Personal und Umwelt)

Das menschliche Leben und die Umwelt haben in jedem industriellen System absolute Priorität. Die Logik dahinter ist leicht nachvollziehbar: Hardware ist ersetzbar, Menschenleben hingegen nicht. Sollte also eine Fehlfunktion eines Ventils zu Verletzungen, zum Tod oder zu einer Freisetzung giftiger Stoffe führen können, ist dieser Sicherheitsaspekt ausschlaggebend für die Entscheidung – ungeachtet der Kosten.

Als Beispiel sei ein Ventil genannt, das den Durchfluss von hochentzündlichem Wasserstoffgas oder giftigem Chlor regelt. Aus technischer Sicht ist bei diesem Ventil eine „Fail-Closed“-Funktion erforderlich. Der Grund dafür liegt in der Eindämmung: Bei einem Stromausfall fallen höchstwahrscheinlich auch die Überwachungssysteme aus, sodass ein eventuelles Leck unbemerkt bliebe. Durch die Standardstellung „geschlossen“ kann die Gefahrenquelle beseitigt werden. Bei Brandbekämpfungssystemen hingegen sollte das Ventil im Ausfallfall offen bleiben. Der Grund dafür ist die Zugänglichkeit: Falls ein Brand die elektrischen Kabel zerstört, sollte das System in einen Zustand übergehen, in dem das Wasser auf mechanischem Wege fließt, damit sich das Feuer nicht allein aufgrund der Tatsache ausbreitet, dass ein Kabel geschmolzen ist.

Wichtiger Aspekt 2: Vermögensschutz (Ausrüstung)

Ist die Sicherheit des Personals gewährleistet, geht es im nächsten Schritt um die Sicherheit der kostspieligen Infrastruktur. Dabei geht es darum, den Standort so zu wählen, dass im Falle eines Stromausfalls der physische Schaden an den Maschinen minimiert wird.

Das typischste Beispiel ist eine Kühlwasserleitung, die den Mantel eines Hochtemperatur-Chemie-Reaktors versorgt. Das Ventil muss in diesem Fall im Offen-Zustand ausfallen. Diese Entscheidung lässt sich durch die thermische Trägheit erklären: Trotz der Leistungsabschaltung ist der Reaktorkern extrem heiß. Sollte sich das Ventil schließen, würde der Verlust des Kühlmittels zu einer raschen Anreicherung der Restwärme führen, wodurch der Reaktor schmelzen oder der Behälter dauerhaft verformt werden könnte. Das System opfert die Wasserqualität, indem es sich nicht öffnet, um die mehrere Millionen Dollar teure Anlage vor thermischer Zerstörung zu schützen.

Wichtiger Aspekt 3: Prozess (Materialkontinuität)

Sobald die Sicherheit von Personal und Ausrüstung gewährleistet ist, liegt der Schwerpunkt schließlich auf Wirtschaftlichkeit und Prozesskontinuität. Ziel dieses Schritts ist es, die Verschwendung von Rohstoffen oder den Verderb einer Produktcharge zu vermeiden.

Stellen Sie sich ein Ventil vor, das einen teuren Katalysator in einen Mischbehälter dosiert. Die vernünftige Entscheidung lautet in diesem Fall „Fail Closed“ (bei Ausfall geschlossen). Der Grund dafür ist die Wirtschaftlichkeit: Sollte dieses Ventil bei einem Stromausfall nicht schließen, würde der gesamte Inhalt der teuren Chemikalien unkontrolliert in den Behälter auslaufen. Dies wäre nicht nur eine Verschwendung des kostspieligen Rohmaterials, sondern würde auch die chemische Zusammensetzung der Charge zerstören, wodurch das Endprodukt unverkäuflich würde. Das System fährt den Prozess nicht ab, sondern hält lediglich an, bis die Bediener die Charge ohne finanziellen Verlust wieder in Betrieb nehmen, indem sie einfach die Stromversorgung wiederherstellen.

Zusammenfassung der Entscheidungsmatrix

FO vs. FC: Auswahl des Fail-Safe-Modus nach Medium und Anwendung

Die Logik der Ausfallsicherheit wird häufig durch die physikalischen Eigenschaften des Mediums bestimmt. Ein Ventil, das harmloses Wasser reguliert, unterliegt nicht denselben Sicherheitsvorschriften wie ein Ventil, das explosiven Wasserstoff reguliert.

Im Folgenden finden Sie eine ausführliche Anleitung zur Auswahl des richtigen Betriebsmodus. Wir haben die Anwendungen nach der Art des Mediums klassifiziert und sie in konkrete Betriebssituationen unterteilt, um für jede Wahl eine klare technische Begründung zu liefern.

Je nachdem, wer von dem Ausfall betroffen ist, ändert sich die Entscheidungsmatrix wie in der Tabelle dargestellt:

• Falls die Ausrüstung (Überhitzung/Implosion) betroffen ist: Wir bevorzugen das „Fail-Open“-Prinzip, um den Druck zu verringern.
• Falls die Umwelt oder das Personal betroffen ist (Verschüttung/Austreten giftiger Stoffe): Wir würden es vorziehen, wenn „Fail Closed“ die Gefahr eindämmen würde.
• Hinweis: Dies sind allgemeine Branchenstandards. Bei besonderen Prozessbedingungen muss stets eine spezielle HAZOP-Analyse (Hazard and Operability Analysis) durchgeführt werden.

Ausfallsichere Zuverlässigkeit mit VINCER-Antrieben und -Ventilen gewährleisten

Die Konstruktionsphilosophie bei VINCER basiert darauf, diese technischen Anforderungen in eine zuverlässige Realität umzusetzen. Wir wissen, dass ein Ventil in ausfallsicheren Situationen in erster Linie eine Sicherheitsvorrichtung und erst in zweiter Linie eine Durchflussregelvorrichtung ist. Aus diesem Grund verfügen unsere Antriebe über hochwertige, importierte Dichtungen, die speziell auf hohe Verschleißfestigkeit und hohe Temperaturen ausgelegt sind. Durch den Einsatz hochwertiger Dichtungsmaterialien beseitigen wir die Gefahren von Haftreibung und innerem Leckage, unter denen minderwertige Alternativen häufig leiden.

VINCER wendet ein strenges Protokoll namens „Double Check“ an, um diese Langlebigkeit sicherzustellen. Wir gehen über die üblichen Werksstichproben hinaus und führen zerstörende Prüfungen an den Stellantrieben durch, um deren mechanische Lebensdauer zu testen, sowie 100-prozentige Dichtheitsprüfungen an allen Ventilkörpern. Dies garantiert, dass ein „Fail Closed“-Befehl eine nachweislich blasenfreie Abdichtung bewirkt und nicht zu einem Stillstand des Stellantriebs führt. Diese physikalische Genauigkeit wird durch wichtige Zertifizierungen wie ISO 9001, CE und SIL (Safety Integrity Level) untermauert. Darüber hinaus verfügt unsere Konstruktionsabteilung über mehr als 10 Jahre Erfahrung und nutzt eine firmeneigene 8-Dimensionen-Analyse. Wir untersuchen Variablen wie die Viskosität des Mediums, Druckverluste usw., um sicherzustellen, dass Ihre Entscheidung für „Fail Open“ oder „Fail Closed“ keine bloße Vermutung ist, sondern eine technisch fundierte Gewissheit.

Auswirkungen von Energieverbrauch und Kosten auf die Auswahl von ausfallsicheren Systemen

Wirtschaftlichkeit und betriebliche Effizienz sind entscheidende Faktoren bei der Auswahl von Ventilen. Auch wenn der Hauptgrund für die Wahl zwischen „Fail Open“ und „Fail Closed“ die Sicherheit ist, sollten Ingenieure auch die erheblichen Auswirkungen berücksichtigen, die diese Entscheidung auf den Energieverbrauch, den Einbauraum und das Projektbudget hat.

• Auswirkungen auf den Betrieb (Energieverbrauch und Größe): Wenn Sie sich für den Einsatz eines Fail-Safe-Antriebs (mit Federrückstellung) entscheiden, belasten Sie Ihr Pneumatiksystem physikalisch. Ein Antrieb mit Federrückstellung muss im Gegensatz zu einem normalen Antrieb ausreichend Kraft aufbringen, um die starke Sicherheitsfeder beim Drehen des Ventils zu überwinden. Dazu muss der Antriebszylinder physikalisch größer sein, in der Regel um 30% bis 50% größer als bei einem Antrieb ohne Fail-Safe-Funktion. Dies führt dazu, dass pro Zyklus deutlich mehr Luft verbraucht wird, die Anlagenkompressoren mehr elektrische Leistung verbrauchen und Ingenieure bei der Auslegung einen größeren Platzbedarf in dicht bestückten Rohrleitungsgestellen einkalkulieren müssen.
• Finanzielle Realität (Versicherung vs. Preis): Sicherheit wird direkt honoriert. Aufgrund ihrer größeren Abmessungen und der komplexen Federkartuschen sind Aktuatoren mit Federrückstellung in der Regel 20–40% teurer als Standardgeräte. Dennoch sind diese Kosten als Versicherungsprämie und nicht als Kosten zu betrachten. Die Kosten für den Aktuator sollten mit den Ausfallkosten verglichen werden. Ein paar hundert Dollar, die man durch einen günstigeren Stellantrieb einspart, sind keine gute Investition, wenn ein einziger Stromausfall eine Charge im Wert von $50.000 an verdorbenen Chemikalien oder eine gefährliche Verschüttung zur Folge hat. Daher ist eine genaue Dimensionierung für die Zuverlässigkeit unerlässlich, ohne das Gerät dabei wesentlich zu überdimensionieren und Budget zu verschwenden.

So überprüfen Sie die Position des Fehlers

Die Überprüfung der tatsächlichen Ausfallposition ist eine sehr wichtige Sicherheitsmaßnahme. Man darf sich keine Vermutungen leisten und muss sicherstellen, dass die physische Hardware mit der für den Prozess erforderlichen Sicherheitslogik kompatibel ist. Im Folgenden wird beschrieben, wie das System anhand von drei aufeinander aufbauenden Prüfschritten getestet wird.

Erläuterung der Symbole in P&ID-Diagrammen

In der Entwurfsphase wird die Sicherheitslogik im Rohrleitungs- und Instrumentierungsschema (P&ID) festgelegt. Die gängigen Symbole auf der Ventilspindel-Linie sind: Obwohl sich die Legenden je nach Projekt unterscheiden, lauten die Standardbezeichnungen wie folgt:

• FC (Fail Closed): Ein Pfeil, der auf den Ventilkörper zeigt oder einfach mit „FC“ gekennzeichnet ist.
• FO (Fail Open): Ein Pfeil, der aus dem Ventilkörper herauszeigt oder mit „FO“ gekennzeichnet ist.
• FL (Fail Last): Zwei parallele Linien, die den Stiel schneiden (als Symbol für ein Schloss) oder mit „FL“ gekennzeichnet sind.

Wie lässt sich FO optisch von FC unterscheiden?

Wenn Sie vor Ort sind und die Zeichnungen nicht zur Hand haben, können Sie die Funktionsweise anhand der Zubehörteile und des Typenschilds des Stellantriebs ermitteln.

• Typenschild: Das ist das sicherste Anzeichen. Achten Sie auf den “Action”-Code. SR-CW (Federrückstellung im Uhrzeigersinn) bedeutet normalerweise, dass die Feder das Ventil schließt (Fail-Closed). SR-CCW (gegen den Uhrzeigersinn) hingegen deutet in der Regel darauf hin, dass die Feder das Ventil öffnet (Fail-Open).
• Magnetventilprüfung: Überprüfen Sie das Vorsteuerventil am Stellantrieb. Handelt es sich um ein 3/2-Wege-Magnetventil (es gibt nur eine Luftleitung zum Stellantrieb), so handelt es sich um eine Fail-Safe-Einheit. Ist es hingegen ein 5/2-Wege-Magnetventil, so ist es wahrscheinlich doppeltwirkend (kein Fail-Safe).
• Überprüfen Sie das Entlüftungsventil: Wenn das Typenschild nicht lesbar ist, überprüfen Sie die Luftanschlüsse. Bei einem Fail-Safe-Antrieb ist in der Regel an einem Anschluss eine Luftleitung angeschlossen, während der andere Anschluss mit einer Entlüftung oder einem Schalldämpfer (einem kleinen Filter aus Kunststoff oder Bronze) ausgestattet ist, damit die Federkammer entlüftet werden kann. Wenn Sie feststellen, dass an beiden Anschlüssen Luftleitungen angeschlossen sind, handelt es sich wahrscheinlich um ein standardmäßiges doppeltwirkendes Gerät.

Der “Air Cut”-Test: Wenn die Sichtprüfung versagt

Die Physik lügt nicht, Etiketten können jedoch fehlerhaft bedruckt sein. Die Funktionssimulation ist die einzige Methode, um die Ausfallposition zu ermitteln.

• Das Verfahren: Drehen Sie das Ventil in seine normale Betriebsstellung (z. B. „Off“). Trennen Sie anschließend den Luftzufuhrschlauch physisch ab oder schließen Sie das Absperrventil. Unterbrechen Sie nicht einfach das elektrische Signal, da dadurch lediglich das Magnetventil getestet wird.
• Das Ergebnis: Wenn sich das Ventil sofort schließt, handelt es sich um ein „Fail-Closed“-Ventil. Wenn es sich versehentlich öffnet, handelt es sich um ein „Fail-Open“-Ventil. Wenn es sich nicht bewegt und kein Luftgeräusch zu hören ist, handelt es sich entweder um ein „Fail-Last“-Ventil oder um ein herkömmliches, nicht ausfallsicheres Ventil.
• Sicherheitshinweis: Lassen Sie während dieses Tests keine Hände und keine Werkzeuge im Ventilgestänge. Federrückstellantriebe üben sofort ein enormes Drehmoment aus, sobald der Luftdruck nachlässt.

Fazit

Die Wahl zwischen einem „Fail-Open“- oder einem „Fail-Closed“-Ventil ist ein stiller Wächter im industriellen Prozess. Es ist eine Entscheidung, die in einem stillen Büro getroffen wird und eines Tages über das Schicksal einer chaotischen Notfallsituation in einer Anlage entscheiden kann. Keine der beiden Optionen ist besser als die andere – es kommt lediglich darauf an, welche den jeweiligen physikalischen Gegebenheiten und Risiken des betreffenden Systems am besten entspricht. Sei es der überhitzte Reaktor mit einem „Fail-Open“-Kühlventil oder die Giftgasleitung mit einem „Fail-Closed“-Absperrventil – die Begründung sollte stichhaltig und die Ausrüstung zuverlässig sein. Das Endergebnis besteht darin, sicherzustellen, dass das System bei einem Stromausfall und dem Ausfallen der Beleuchtung auf die einzige Weise ausfällt, die zählt: nämlich sicher.

Häufig gestellte Fragen

F: Was ist der Unterschied zwischen „Fail Open“ und „Fail Shut“?

A: Fail-Open-Ventile öffnen sich bei einem Stromausfall automatisch, um den Durchfluss zu ermöglichen, während Fail-Shut-Ventile sich automatisch schließen, um den Durchfluss zu verhindern.

F: Ist „Fail-Open“ ein Datenverkehrsprotokoll?

A: Ja. Ein Fail-Open-Ventil wird im Störungsfall in die vollständig geöffnete Position gebracht, sodass der Durchfluss (Fluss) von Gas oder Flüssigkeit nicht eingeschränkt wird.

F: Wie wandelt man ein „Fail-Open“-Ventil in ein „Fail-Close“-Ventil um?

A: In der Regel muss der Stellantrieb zerlegt und die Ausrichtung der internen Feder und des Kolbens umgekehrt werden. Es ist wichtig zu beachten, dass nicht jedes Stellantriebsmodell umkehrbar ist.

F: Sind die Rückschlagventile geöffnet oder geschlossen?

A: Rückschlagventile verfügen über keinen festgelegten Ausfallsicherheitsmodus. Da es sich um passive Bauteile handelt, treten bei ihnen mechanische Ausfälle auf, indem sie (aufgrund von Verunreinigungen) in geöffneter oder (aufgrund von Korrosion) in geschlossener Stellung klemmen.