-
Die
Erfindung befasst sich mit der Skalierung von Sicherheits-Funktionen bei elektrischen
Maschinen, wie Motoren, Generatoren oder Antrieben, wobei diese über Steuergeräte angesteuert
werden.
-
Unter
einer elektrischen Maschine soll auch ein Generator verstanden werden.
Lineare oder rotierende elektrische Generatoren oder Motoren werden zusammengefasst
als elektrische Maschine benannt, vgl. Müller, Elektrische Maschinen,
Grundlagen, 4. Auflage, VEB Verlag, S. 190,191, Ziffern 9, 10. Insbesondere
sind solche mechanisch/elektrischen Umformer mit zumindest einem
beweglichen Aktor und einem demgegenüber ruhenden Stator betroffen,
welche mit zumindest zwei, bevorzugt drei Phasen im Stator oder
Aktor arbeiten, so dass die Ansteuergeräte passende Frequenzumrichter
bilden, welche den Antrieb beispielsweise als Stellantrieb oder
im Rahmen einer Positionieraufgabe (mit Lageregelung) ansteuern.
Gleichwohl sind unter den Antrieben auch Gleichstrom-Antriebe zu
verstehen, welche ohne einen Frequenzumrichter nur mit einem Gleichstromsteller
auskommen, gegebenenfalls ergänzt
um eine elektrische oder mechanische Bremse.
-
In
einem DKE-Positionspapier, DKE-AK 226.03, Entwurf 19. Januar 2000, "Sicherheitsgerichtete
Funktionen elektrischer Antriebssysteme in Maschinen", werden verschiedene
Funktionen von funktionalen Sicherheiten von Antrieben definiert.
Auf dieses Positionspapier wird spezifisch Bezug genommen, das hier
mit einigen wesentlichen Passagen herausgegriffen wiedergegeben
wird.
-
Es
werden dort verschiedene funktionale Sicherheiten mit ihren Auswirkungen
auf den Antrieb (die elektrische Maschine) wie folgt beschrieben:
- – sicherer
Halt oder Schutz gegen Wiederanlauf
- – sicheres
Stillsetzen
- – sicherer
Betriebshalt
- – sicher
reduzierte Geschwindigkeit
- – sichere
Tippschaltung
- – sicher
begrenztes Schrittmaß
- – sicher
begrenzte Absolutlage
- – sichere
Ein-/Ausgangssignale.
-
Die
Umsetzung dieser so beschriebenen Funktionen bedeutet einen sehr
unterschiedlichen Aufwand, je nach Komplexität der Funktion. Der unterschiedliche
Aufwand spiegelt sich wieder in unterschiedlicher technischer Realisierung,
einerseits komplexer, andererseits einfacher, was unterschiedliche
Kosten nach sich zieht. So spiegelt sich der Aufwand wider im Umfang
einer Konzepterstellung, bei den technischen Realisierungen des
Konzepts, bei den Sensoren und benötigten Rückmeldungen und diesbezüglich den
externen Anschlussmöglichkeiten. Auch
verbunden mit dem Aufwand sind externer Verdrahtungsaufwand zur
Inbetriebnahme und nicht zuletzt auch die Entwicklungs- und Herstellkosten.
-
Naturgemäß hat es
für einen
Hersteller von elektrischen Steuergeräten für Maschinen eine Bedeutung,
die Kosten eines solchen Steuergerätes für die eingangs genannten Maschinen
so gering wie möglich
zu halten und dabei auch die Sicherheitsfunktionen nur so weit als
möglich
und nötig
einbauen und mitliefern zu müssen.
Es wäre
möglich,
sämtliche
Sicherheitsfunktionen der eingangs beschriebenen Art grundsätzlich in
jedem Steuergerät
vorzusehen und nur diejenigen Sicherheitsfunktionen frei zu schalten,
welche der jeweilige Anwender bestellt hat oder für seine
spezifische Anwendung benötigt.
-
Diese
Möglichkeit
ist real, dennoch mit deutlichen Kosten verbunden. Die Erfindung
befasst sich deshalb mit der Problemstellung, Sicherheitsfunktionen
so angepasst zu liefern, dass sie spezifisch auf einen vom Besteller
gewünschten
oder vom Besteller benötigten
Umfang beschränkt
sind, gleichzeitig soll der diesbezügliche Aufwand nicht zu hoch
werden, um die einzelnen Steuergeräte jeweils individuell herstellen
oder programmieren zu müssen.
Mit anderen Worten sollen die Anforderungen eines Bestellers oder
Kunden des Steuergerätes
für die
elektrische Maschine angepasst erfüllt werden.
-
Die
Erfindung schlägt
dazu vor, skalierbare Sicherheitsfunktionen so einem Steuergerät zuzuordnen,
dass sie austauschbar sind [Anspruch 1, Anspruch 20]. Das kann einerseits
als Steuergerät,
andererseits aber als Verfahren (Arbeitsverfahren oder Bereitstellungsverfahren)
geschehen. Das Steuergerät
hat dabei einen definierten Ort, welcher ein Modul aufzunehmen in
der Lage ist, dem die Sicherheitsfunktion zugeordnet wird. Bevorzugt
hat nur dieses Modul Sicherheitsfunktionen und es wird von der Hypothese
ausgegangen, dass der Antrieb (die Maschine) als solcher sicher
ist (Betriebsbewährtheit).
Deshalb ist es nicht notwendig, durch eine sichere Programmierung
der Funktionen bspw. im Antrieb, also auf einer Hauptplatine des
Steuergerätes
die funktionale Sicherheit herzustellen. Es reicht vielmehr, auf der
Hauptplatine gar keine oder eine sehr einfache ständige Überwachung
der geforderten Funktionen vorzunehmen, z.B. mit einem einfachen
Sicherheits-Watchdog, welcher nur anspricht, wenn sich der Antrieb
nicht gemäß einer
eingestellten Funktion verhält.
Eine solche Sicherheitsfunktion kann auf der Hauptplatine verbleiben,
sie ist universell und muss nicht in die Module verlagert werden.
-
Ein
steckbares Modul kann aber eine eigenständige, intelligente Sicherheitsfunktion
darstellen, die dazuhin austauschbar ist.
-
Die
integrierte Sicherheitsfunktion wird mit dem Modulkonzept [Anspruch
12, 13, 14 oder Anspruch 7] so realisiert, dass das Modul kleiner
ist, insbesondere wesentlich kleiner als die Größe der Hauptplatine ausgebildet
ist, z.B. 30% der Größe der Hauptplatine.
Auf diesem Modul werden die Sicherheitsfunktionen konzentriert.
Das Modul steht für
eine jeweils zweite Gruppe von Kontakten [Anspruch 6], welche räumlich so
angeordnet ist, wie eine erste Gruppe von Kontakten auf der Steuer-
bzw. Hauptplatine [Anspruch 1, Merkmal (b)]. Diese erste Gruppe
von Kontakten dient der elektrischen Kontaktierung (und dem mechanischen
Halt) von einer aus einer Vielzahl von zweiten Kontaktgruppen, welche
für die
Module stehen [Anspruch 8]. Damit sind eine Vielzahl, zumindest
aber zwei nicht funktionell gleich arbeitende Module beschrieben
[Anspruch 20], welche auf eine dedizierte Bestellung (Applikation)
hin ausgewählt
und angepasst auf die ersten Kontakte der Hauptplatine gesteckt
werden können.
-
Mit
diesem Sicherheitskonzept werden unterschiedliche Stufen vorgesehen.
Eine Vielzahl von Modulen hält
die unterschiedliche Stufenzahl bereit, welche in unterschiedliche
Gruppen eingeteilt werden kann und demgemäß auf eine Bestellung hin zugeschnitten
und angepasst verfügbar
gehalten werden kann. Es ist sogar möglich, spätere Änderungen vorzunehmen, indem
allein das Modul auf dem Grundgerät ausgetauscht wird.
-
Die
Sicherheitsmodule besitzen dabei die Möglichkeit, den Antrieb als
Beispiel einer Maschine zu überwachen
und sicher stillzusetzen, wobei die Art und Weise der Stillsetzung
unterschiedliche Anforderungen gemäß den eingangs dargestellten
Möglichkeiten
stellt.
-
"Stillsetzen" umfasst alle Varianten
des Reduzierens der Drehzahl, von momentenlos [Anspruch 12] bis
hin zur gesteuerten Herabsetzung der Drehzahl durch ein bestimmt
vorgegebenes Moment [Anspruch 13]. Diese Abschaltungen haben Kategorien. So
ist die Kategorie Null diejenige, bei welcher der Antrieb momentenlos
geschaltet wird und allein durch Widerstandsmomente und die Last
austrudelt (Stopp bzw. Signal der Kategorie Null, Anspruch 12). Die
Kategorie 1 (Stopp bzw. Signal der Kategorie Eins, Anspruch 13)
reduziert die Drehzahl des Motors mit Drehmoment, also stromgesteuert.
Für diese
unterschiedliche Drehzahlreduzierung werden unterschiedliche Kontakte
der ersten Kontakte und der zweiten Kontakte verwendet. Bei der
Kategorie Null werden zwei Kontakte der ersten Gruppe benötigt, also
auch zwei Kontakte auf einem jeweiligen Modul. Für die Kategorie Eins wird nur
ein Kontakt in der ersten Gruppe benötigt, welcher Kontakt aber
ein anderer ist, als die beiden zuvor genannten ersten Kontakte.
Diese zumindest drei Kontakte sind in jedem zweiten Modul fest vorgesehen
und nicht veränderlich, um
zu der von einer jeweiligen Hauptplatine vorgegebenen Position grundsätzlich zu
passen [Anspruch 14]. Keines der mehreren zweiten Module darf diese festgelegten
Kontakte anders verwenden.
-
Zu
dem Stopp der Kategorie Null kann außerdem eine zunächst einsetzende
Sperre hinzugenommen werden, welche durch ein gesondertes Signal
oder durch dasselbe Sperrsignal vermittelt. wird. Diese Sperre verhindert
einen Wiederanlauf der Maschine. Die Sperre wird zunächst vorgegeben
und kann von einem Benutzer oder Bediener nach Behebung der Störung wieder
zurückgesetzt
werden. Ziel ist das sichere Stillsetzen und das Vermeiden des Wiederanlaufs,
bis der Antrieb auf seinen Fehler hin untersucht worden ist [Anspruch
16].
-
Informationen,
die aus dem Steuergerät
zur Verfügung
gestellt werden, werden über
die erste Kontaktgruppe, welche als interne Schnittstelle bezeichnet
werden kann, geführt.
Alternativ oder kumulativ können
Sicherheits- oder Gebersignale auch durch externe Anschlüsse bereitgestellt
werden, wobei diese externen Anschlüsse beispielsweise für sichere
Sensoren oder Rückmeldungen
von Informationen auf einem jeweiligen Modul vorhanden sind.
-
Das
Modul erhält
damit als zentrales Element die Sicherheits-Funktionen zugewiesen [Anspruch 6 sowie
Ansprüche
2 bis 5]. Bevorzugt kann das Modul nur solche Funktionen besitzen,
welche mit der Sicherheit in unmittelbarer Verbindung stehen [Anspruch
17]. Das führt
dazu, dass nur solche Signale über
die erste Gruppe und jede zweite Gruppe von Kontakten geführt werden,
welche mit der Sicherheit in Verbindung stehen. Naturgemäß gehören zu solchen
Signalen auch Stromversorgungs-"Signale", welche zu dem Modul
geführt
werden [Anspruch 5].
-
In
einer ausgeprägten
Betrachtung finden sich auf der Haupt- oder Steuerplatine keine Sicherheitsfunktionen
der Maschine, ggf. mit Ausnahme des oben beschriebenen Sicherheits-Watchdogs, und/oder
auf jedem der Module sind keine Funktionen, welche nicht mit der
Sicherheit der Maschine oder des Steuergerätes zu tun haben [Anspruch
21, 22] bzw. sie betreffen.
-
Die
so geschaffene skalierbare Sicherheitsfunktionalität für Maschinen,
insbesondere Antriebe, ermöglicht
es, einem Kunden angepasst auf seine Applikation nur die Funktionen
zur Verfügung
zu stellen, die er benötigt.
Dazu werden keine überwiegenden
Kosten eingesetzt und der Aufwand des Auswechselns oder zielgerichteten
Platzierens eines von mehreren auswahlfähigen Modulen wird stark herabgesetzt.
In Applikationen mit Frequenzumrichtern (bei der Fördertechnik)
wird häufig
nur ein sicherer Schutz gegen den Wiederanlauf benötigt [Ansprüche 12,
16]. Andere Applikationen, welche lineare oder rotierende Positionieraufgaben
zu erfüllen
haben, verwenden Servoantriebe. Sie werden, häufig auch zum Einrichten der
Maschine, eine Funktion der "sicher
reduzierten Drehzahl" benötigen (Anspruch
13).
-
Durch
die Skalierung der Sicherheitstechnik wird eine Skalierung des Preises
erzielt, wobei zusätzliche
Sicherheit dadurch gewonnen wird, dass das Grundgerät in keinem
Fall geändert
werden muss. Es muss deshalb auch keine neue Abnahme durch eine
Zertifizierungsstelle hinsichtlich eines gegebenenfalls angepassten
Grundgerätes
erfolgen, da man allgemein davon ausgehen muss, dass ein Eingriff
in ein Gerät
eine bisher ausgestellte Zertifizierung erlöschen lässt und in jedem Fall die durchgeführte Änderung
eine Betrachtung der Auswirkungen auf die Sicherheitstechnik des
gesamten Gerätes und
meist auch eine erneute Abnahme erfordert.
-
Dazuhin
kann die Aufrüstung
bestehender Anlagen erfindungsgemäß erreicht werden durch Tausch
des Moduls, ohne das Komplettgerät
ersetzen zu müssen.
Die Lagerhaltung wird zusätzlich
reduziert.
-
Alle
Gerätevarianten
können
mit allen Sicherheitsfunktionen ausgerüstet werden, ohne dass die
Haupt- oder Steuerplatine in entsprechender Vielzahl vorgehalten
werden muss. Die entsprechende Vielzahl reduziert sich auf die eigenständigen oder
individuell angepassten und skalierten (abgestuften) Sicherheitsfunktionen
in den Modulen, zur Aufsteckung auf die ersten Kontakte als erste
Gruppe auf der Hauptplatine, welche die interne Schnittstelle im Sinne
einer Sicherheitsschnittstelle bildet.
-
Ausführungsbeispiele
erläutern
und ergänzen
die beanspruchte Erfindung.
-
1 veranschaulicht
schematisch eine Hauptplatine 1, mit einer darauf angeordneten
(aufgesteckten) Modulplatine 20.
-
2 veranschaulicht
drei weitere Modulplatinen 21, 22, 23 mit
darauf angeordneter schaltungstechnischer Logik.
-
3 ist
eine Seitenansicht aus der Ebene der Hauptplatine 1 mit
aufgesteckter Modulplatine 20p des Moduls 20,
teilweise geschnitten.
-
1 veranschaulicht
schematisch eine Hauptplatine 1, die ein Grundgerät repräsentiert,
welches als Steuergerät
zur Ansteuerung eines Motors dient, der als Dreiphasenmotor 2 dargestellt
ist. Eine Mehrphasen-Eingangsspannung N versorgt das Grundgerät über einen
Gleichrichter, einen Zwischenkreis und über einen Steller oder Wechselrichter
(Umrichter). Diese Leistungskomponenten sind nicht gesondert dargestellt,
nachdem sie allgemein verständlich
und jedem Steller oder Umrichter eigen sind.
-
Zur
Steuerung des Umrichters wird ein Feldbus verwendet, Eingabe/Ausgabe-Schnittstellen
und zur Erfassung der Betriebssituation des Motors 2 sind Geber
vorgesehen, die nicht spezifisch dargestellt, sondern schematisch
veranschaulicht sind. Unter solchen Gebern werden Tachogeneratoren
oder Drehzahlsensoren, Inkrementalgeber, Lagegeber, Strommessglieder
oder Spannungsmessungen verstanden, auch Temperatursensoren sind
möglich. Diese
Geber stehen im Betriebszustand in funktioneller Verbindung mit
dem Motor 2, entweder seiner Welle für eine Drehzahlerfassung oder
seinen Phasen für
eine Strom- oder Spannungsmessung. Die Geber sind also nicht so,
wie in der
-
1 dargestellt,
unmittelbar auf dem Grundgerät
angeordnet, sondern können
dem Motor zugeordnet sein, können
aber auch auf dem Grundgerät
selbst Auswerteelektroniken besitzen, die mit dem Feldbus zur Steuerung
und den E/A-Schnittstellen unter 4 gemeinsam repräsentiert
sind.
-
Statt
des Motors 2 als Mehrphasenmotor kann auch ein Generator
eingesetzt werden. Es sind Servoantriebe auch einsetzbar, die als
Gleichstromantriebe ausgeführt
werden können,
was nicht gesondert dargestellt ist.
-
Mit
dem Steuergerät
wird der elektrische Antrieb angesteuert. Die Hauptplatine 1 enthält dazu
die Steuerungstechnik, die oben beschrieben war. In dieser Steuerungstechnik
ist bevorzugt eine Drehzahlregelung, eine Stromsteuerung oder -regelung
oder andere Steuerungen oder Regelungen vorgesehen.
-
Die
Betriebsweise oder der Betrieb des Motors bringt es mit sich, dass
dieser nicht immer im zulässigen
Bereich oder sich nicht immer in solchen elektrischen oder mechanischen
Situationen befindet, die zugelassen sind. Solche Störungen müssen erkannt
werden und aus der erkannten Störung
muss ein Steuersignal abgeleitet werden, welches als Sperr- oder
ansteuerndes Aktivierungs-Signal den Motor wieder in einen betriebssicheren
Zustand bringt. Der sicherste Betriebszustand ist der Ruhezustand,
ohne eine Drehbewegung. Diese "Stillsetzung" genannte Überführung des
Motors aus einem gefährdeten
Betriebszustand in einen gefahrlosen (oder gefahrloseren) Betriebszustand
kann auf viele Arten erfolgen, wie eingangs der Beschreibung unter Bezugnahme
auf das DKE-Positionspapier erläutert wurde.
-
Das
Grundgerät
(entsprechend der Hauptplatine 1) hat diese verschiedenen
Steuermechanismen oder Steuerverfahren zur Erlangung eines sichereren
Betriebszustandes aus einem unsichereren Betriebszustand nicht selbst,
sondern bekommt sie über
eine Zusatzplatine und eine Gruppe von eng beieinander liegenden
Steckkontakten hinzu. Dazu ist ein Abschnitt 9 auf der
Steuerplatine 1 vorgesehen. Dieser Abschnitt ist eine Schnittstelle
im Sinne einer inneren Schnittstelle, die als eine Kontaktleiste oder
-gruppe vorgesehen ist, welche beispielsweise Buchsen oder Stifte
aufweisen kann. Das jeweilige Gegenstück findet sich an dem Modul 20,
dessen Platine 20p ebenfalls eine Kontaktgruppe trägt, welche
komplementär
ausgebildet ist. Diese ist Stecker/Buchse 10 des Moduls 20.
-
Dieser
Stecker 10 steckt auf der Aufnahme 9, wobei diese
beiden Kontaktgruppen jeweils mehrere Kontakte aufweisen. Die ersten
Kontakte sind diejenigen, welche unten auf der Hauptplatine liegen. Die
zweiten Kontakte sind diejenigen, welche im Modul angelegt sind
und mit diesem elektrisch verbunden werden. Mehrere Kontakte sind
vorgesehen, wobei das Ausführungsbeispiel
der 1 die Kontaktgruppe 9 mit zwei Reihen à fünf Kontakten
angibt.
-
Dargestellt
ist symbolisch sichtbar die Kontaktgruppe 9, obwohl das
Grundgerät
bereits ein aufgestecktes Modul 20 besitzt, so dass in
der Aufsicht eigentlich nur die Kontaktleiste 10 des Moduls
zu sehen ist.
-
Die
Steckerverbindung kann aufgetrennt werden, also das Modul 20 kann
von der Kontaktgruppe 9 abgenommen werden. Dann ist unmittelbar die
Leiste 9 ersichtlich und bildet den Abschnitt der Hauptplatine,
welcher klein ist gegenüber
ihrer gesamten Flächenerstreckung.
Auch die Platine 20 als Sicherheitsmodul ist von der Flächenerstreckung
wesentlich kleiner ausgebildet, als das Grundgerät. Im dargestellten Beispiel
ist die Größe des Sicherheitsmoduls
zur Verdeutlichung größer dargestellt,
sie kann aber unter 30% der Fläche
der Hauptplatine liegen.
-
Andere
Sicherheitsmodule zeigt die 2. Jedes
dieser Module hat eine andere Logikauswertung und damit eine andere
Sicherheitsfunktion, bei teilweiser Überlappung der Funktionalität. Alle
Module 21, 22 und 23, und auch weitere,
nicht dargestellte Module, haben aber dieselbe Kontaktleiste mit
derselben Anordnung von Kontakten. Diese bspw. Steckerleisten 10, 11, 12, 13 passen
jeweils zu der Buchsenleiste 9 der Hauptplatine. Damit
ist die Hauptplatine mit unterschiedlichen Modulen 20, 21, 22 oder 23 zu
versehen und erhält
eine angepasste Sicherheitsfunktion durch jeweils eines dieser Module.
-
Auf
jedem der Module ist eine Auswerte- oder Logikschaltung vorgesehen.
Das Modul 20 trägt eine
Logikschaltung 20a, die als ASIC oder diskret aufgebaut
sein kann. Das Modul 21 trägt eine Logikschaltung 21a.
Das Modul 22 trägt
eine erweiterte Logikschaltung 22a und das Modul 23 eine
noch komplexere Logikschaltung 23a. Diesen Logikschaltungen
können
einzelne oder mehrere der eingangs genannten Sicherheitsfunktionen
zugewiesen sein, bzw. sie können
aus Signalen des Systemzustandes, welche ihnen über einige der Steckkontakte
zugeführt
werden, ein Sperr- oder
Störsignal
generieren. Eine Zufuhr geschieht dabei jeweils über einen Kontakt der Leiste 9 und
einen Kontakt der Leiste 10, bzw. mehrere Paare solcher
zusammenpassenden Kontakte.
-
Der
Abschnitt 9 der Hauptplatine, auf dem die als erste Gruppe
zusammengefassten zehn Steckkontakte 9a bis 9e und 9f bis 9j angesiedelt sind,
ist der Ausgangspunkt für
eine veränderbare. Zuordnung
von Sicherheitsfunktionen. Jedes Modul kann auf den Stecker 9 aufgesteckt
werden und ist davon auch wieder abziehbar, wobei die elektrische Kontaktierung
geschaffen oder getrennt wird. Alle Steckkontakte der Module der
zweiten Gruppe, jeweils die Steckerleisten 10, 11, 12 und 13 haben
eine gleiche Anordnung von Kontakten, welche räumlich zu den Kontakten passen,
die die Buchsenleiste 9 bereithält. Über die Kontakte der unteren
Gruppe und der oberen Gruppe (der Module) werden die für die Sicherheit
des Antriebs relevanten Signale des Antriebs oder des Steuergeräts geführt. 3 verdeutlicht
die Seitenansicht eines aufgesteckten Moduls, wie 1 in
Aufsicht zeigt.
-
Die
Steckkontakte können
dabei so vorgesehen sein, dass nur solche Signale über die
Kontaktpaare geführt
werden, welche mit der Sicherheit in Verbindung stehen. Dazu gehören beispielsweise
ein Drehzahlsignal, ein Stromsignal und auch Stromversorgungs-Signale, welche das
Arbeiten der Auswertung und Logik auf den Modulen 20 bis 23 ermöglichen.
-
Aus
der Logikschaltung auf der jeweiligen Platine 20p, 21p, 22p und 23p werden
ein oder mehrere Steuersignale abgeleitet, welches wiederum über ein
oder mehrere Kontaktpaare zur Hauptplatine 1 zurückgeführt werden.
Dort veranlassen sie ein Überführen des
Antriebs in den sichereren Zustand, wenn eines dieser Signale angesprochen
hat, bzw. die der Logik zugeführten
Systemsignale bei der Auswertung einen gefährdenden Zustand erkennen ließen, der
die Auslösung
des Stör-,
Sperr- oder Sicherheitssignals (als modulgeneriertes Steuersignal)
veranlasste.
-
In
den vier gegebenen Beispielen sind auf den Modulen jeweils eine
Steckerleiste vorgesehen, die mit 30 in 1 und 31, 32 und 33 in 2 bezeichnet
sind.
-
Bei
angenommenen vier unterschiedlichen Modulen 20 bis 23,
können
dem jeweiligen Sicherheitsmodul über
die weitere, auf seiner Platine vorgesehene "externe Steckerleiste" Systemsignale direkt zugeführt werden.
Eine externe Zuführung
von solchen Systemsignalen, wie Signale von nicht dargestellten
Sicherheitssensoren, z.B. Not-Aus-Taster, Lichtgitter, und zur Rückmeldung
von anderen Sicherheitsinformationen, z.B. "Sicherer Halt aktiviert", erfolgt über die
Kontakte 30, 31,32,33, nicht über die interne
Schnittstelle 9/10 oder 9/11 oder 9/12 oder 9/13.
-
Statt
der Zuführung
solcher übergeordneter Systemsignale
können
auch Zustandssignale der Maschine, wie Drehzahl, Lage oder Strom,
nicht über die
interne Schnittstelle 9/10 oder 9/11 oder 9/12 oder 9/13,
sondern dem jeweiligen Sicherheitsmodul über die weitere, auf seiner
Platine vorgesehene Steckerleiste als "externe Steckerleiste" direkt zugeführt werden.
Hierfür
kann die in den vier gegebenen Beispielen gezeigte Steckerleisten
auch verwendet werden, die mit 30 in 1 und 31, 32 und 33 in 2 bezeichnet
ist.
-
Die
Zustandssignale der Maschine können beispielsweise
ein Drehzahlsignal sein, das über
einen externen Geber mit der Maschine oder seiner Welle in Verbindung
steht. Dieses Signal wird dann nicht über das Grundgerät geführt, soweit
es die Sicherheitsfunktion oder die Sicherheit des Antriebs betrifft.
Zusätzlich
kann es aber auch auf die Hauptplatine 1 eingekoppelt werden
oder über
den Feldbus zugeführt
werden, wenngleich die Sicherheitsfunktion nicht von diesem Signal
abhängt,
sondern über das
getrennt zugeführte
Signal von der Steckerleiste 30 abhängt.
-
Jedes
Modul 20 bis 23 ist eigenständig. Es arbeitet zusammen
mit dem Grundgerät,
wobei nur ein Modul jeweils mit dem Grundgerät über die interne Schnittstelle 9 in
Verbindung steht. Sollte die Sicherheitsfunktion geändert werden,
reduziert werden oder eine zusätzliche
Sicherheitsfunktion hinzukommen, wird ein anderes Modul verwendet
und gegen das zuvor mit dem Grundgerät in Verbindung stehende Modul
ausgetauscht. Das Austauschen geschieht durch Abziehen des alten
und durch Einstecken des neuen Moduls.
-
Zumindest
zwei Module sind erforderlich, wenn eine Sicherheitsfunktion als
skalierbar bezeichnet werden soll. Diese beiden Module haben unterschiedliche
Funktionen, betreffen aber beide die Sicherheit des Antriebs. In
Verbindung mit einem Grundgerät
ergibt sich eine Kombination, die durch weitere Module erweitert
werden kann. Ein Unterschied in der Funktion ist auch dann möglich, wenn eine
Teilüberlappung
der Funktionen zweier Module gegeben ist.
-
Es
schadet nicht, wenn auf den Sicherheitsmodulen 20 bis 23 außer den
Sicherheitsfunktionen und dem Generieren von Sicherheitssignalen
(zur Vermeidung von Schäden
am Antrieb oder Umrichter) auch andere Funktionen vorgesehen sind.
Es ist aber günstig,
wenn die Modulplatinen selbst nur und ausschließlich mit der Sicherheit in
Verbindung stehen und nur solche Signale zugeführt erhalten und nur solche
modulgenerierte Steuersignale abgeben, die mit der Sicherheit oder
Sicherheitsfunktion zusammenhängen.
Dann ist eine größtmögliche Trennung
der Sicherheit von anderen Funktionseinheiten möglich.
-
Wenn
eine der Modulplatinen gegen eine andere ausgetauscht wird, werden
nur und alleinig Sicherheitsfunktionen und -signale ausgewechselt.
-
Bei
den unterschiedlichen Modulen müssen nicht
alle Stifte oder Buchsen des jeweiligen Kontaktfeldes 11, 12, 13 oder 10 belegt
sein oder überhaupt vorhanden
sein. Es ist gut möglich
und auch realistisch, nur diejenigen Stifte oder Buchsen auch metallisch
zu belegen, welche für
ein jeweiliges Sicherheitsmodul vorhanden sind oder von diesem Modul zur
Verfügung
gestellt werden. Die. Stecker- oder Buchsenleiste der Hauptplatine 1 dagegen
besitzt sämtliche
metallischen Kontakte, um möglichst
vielseitig auf alle Varianten von Modulplatinen, auch auf zukünftige Entwicklungen
hin, vorbereitet zu sein. Alle Stifte können gleichwohl ebenso wie
Buchsen in allen Modulen immer vorhanden sein, müssen nur nicht mit aktiven
Signalen belegt werden.
-
Die
Anzahl der Gegenkontakte auf der Seite der Module kann also je Modul
variieren, kann geringer sein als die Anzahl der Kontakte der inneren Schnittstellen 9 der
Hauptplatine 1, ist höchstens gleich,
aber nicht größer als
die Anzahl der Kontakte der Kontaktgruppe 9.
-
Es
sollen zwei Sicherheitsabschaltungen skizziert werden. Sie tragen
die Namen "Kategorie Null" und "Kategorie Eins". Die Kategorie Eins
ist ein Quickstop, im Sinne einer schnellen Abschaltung. Bei ihr
wird der Antrieb mit einem Drehmoment in einen Betriebszustand gebracht,
welcher sicherer ist, als derjenige, in welchem er sich zuvor befand.
Der Motor wird beispielsweise mit Drehmoment gesteuert auf eine
Drehzahl von Null heruntergesteuert, wobei eine Rampe als Sollwert
den Motor in der Drehzahl herabsetzt. Die Kategorie Eins verwendet
dazu einen Signalpfad aus einer Signalleitung (zuzüglich Masseleitung),
wobei das Signal modulgeneriert von der Platine 22p und
der dortigen Logik 22a aus dieser zugeführten Systemsignalen generiert
wird und über ein
Kontaktpaar, beispielsweise die Kontakte 12e und 9e,
zur Hauptplatine 1 übertragen
wird.
-
Ein
anderes Sicherheitssignal der Kategorie Null ist ein solches, das
ohne Drehmoment den Antrieb stromlos schaltet und austrudeln lässt. Er
wird gebremst durch seine Last oder durch andere Bremsmomente an
ihm. Diese Kategorie erfordert zwei Kanäle, also zwei Paare von Kontakten,
die bei dem Modul 21 mit 11a, 11f vorgesehen
sind, zusätzlich
zu den entsprechenden Gegenkontakten 9a, 9f in
der Kontaktleiste 9, welche dort die gleiche Position innerhalb
der Kontaktleiste besitzen.
-
Die
Logikschaltung 21a wertet ihm zugeführte Systemsignale aus und
gibt im Falle einer erkannten Gefahr oder eines nicht ordnungsgemäßen (zulässigen)
Betriebszustandes ein Steuersignal ab, welches einen sicheren Halt
vorgibt, wobei der sichere Halt das Signal des drehmomenten-losen
Abschaltens des Antriebs ist.
-
Das
Signal der Kategorie Null (das nullte Signal) kann außerdem einen
Wiederanlauf des Antriebs sperren. Diese Sperrung erfolgt so lange,
bis ein Benutzer den fehlerhaften Systemzustand ermittelt und behoben
hat, oder der Antrieb repariert worden ist. Die Sperrung ist also
nicht dauerhaft, sondern auf eine Zeit angelegt, bis sie aktiv freigegeben wird.
-
Der
Stopp der Kategorie Null sollte auf jeder Platine der mehreren unterschiedlichen
Sicherheitsplatinen vorhanden sein. Er verwendet dabei auf jeder
Platine dieselben Kontakte, die beispielhaft 9a, 9f bei
der Hauptplatine 1, Kontakte 10a, 10f bei
dem ersten Sicherheitsmodul 20, Kontakte 11a, 11f beim Grundmodul 21,
Kontakte 12a, 12f beim erweiterten Modul 22 mit
zusätzlich
der Quickstop-Sicherheitsfunktion, und in einem noch erweiterten
Modul 23 mit den Kontakten 13a, 13f vorgesehen
ist.
-
Die
Sicherheitssignale der Kategorie Null und der Kategorie Eins werden
selbstverständlich nicht über dieselben
Kontakte der Kontaktgruppe 9 übertragen, sondern über unterschiedliche
Kontaktpaare. In dem Kontaktfeld 9 sind aber die für diese
Sicherheitsfunktion immer fest vorgegebenen Kontakte belegt und
entsprechend ausgeführt.
Diesen Kontakten 9a, 9f, 9e sind bei keinem
der mehreren Module 20 bis 23 andere Signale zugeordnet,
als diejenigen der Stopp-Kategorie Null und Eins.
-
Die
in 2 dargestellten Module sind teilweise schon beschrieben
worden. Ihre technischen Eigenschaften als Funktionen im Sinne von
Sicherheitsfunktionen sollen im Folgenden vertieft werden.
-
Das
Grundmodul 21 hat eine Funktion in der Logik 21a,
welche sicheren Halt und Schutz gegen Wiederanlauf bietet. Die entsprechenden
Signale werden über
die Kontakte 11a, 11f übertragen. Sie betreffen die
Kategorie Null und sind zwei Signalpfaden zugeordnet (zuzüglich der
Masse).
-
Das
erweiterte Modul 22 kann außer der genannten Funktion
des sicheren Haltes ein sicheres Stillsetzen im Sinne eines Quickstops
(der Stopp-Kategorie Eins) enthalten. Zusätzlich wird ein direkter Anschluss
von Signalen der Sicherheitsperipherie über eine weitere (externe)
Kontaktleiste 32 ermöglicht.
Es gibt außerdem
eine sichere Rückmeldung über die
Kontaktleiste 12. Der Schutz gegen Wiederanlauf im Sinne
eines zusätzlichen
Signals ist hier als Alternative ausgeführt.
-
Das
Modul 23 hat zusätzlich
zu den Funktionen des Moduls 22 bei einer größer und
komplexer ausgeführten
Logikschaltung 23a eine sicher reduzierte Drehzahl und
einen sicheren Betriebshalt in einer Stopp-Kategorie Zwei. Es ist
außerdem
eine sichere Tippschaltung vorgesehen.
-
Ein
noch weiteres, nicht dargestelltes Modul kann die Funktion des Moduls 23 besitzen
und zusätzlich
noch den Anschluss eines sicheren Feldbusses über die zusätzliche externe Steckerleiste
auf der Modulplatine bereitstellen. Sichere Feldbusse sind beispielsweise
SafetyBUS p oder Profisafe.
-
Dadurch
können
künftige
Lösungen
und Funktionen realisiert werden, die derzeit weder abzusehen, noch
konkret festliegen. Die Sicherheitsskalierung und die Aufteilung
einzelner Sicherheitsfunktionen auf die Module erlaubt die künftige Erweiterung
bei unverändertem
Grundgerät.
-
Die
Erzeugung von Signalen zur Kennzeichnung eines unsicheren Betriebszustandes
oder eines Gefährdungszustandes
wurde nicht eingehend erläutert.
Solche Signale zu generieren wird Logikschaltungen überlassen,
im einfachsten Fall ist es ein Grenzwert für den Messwert der Drehzahl,
welcher mit einem Komparator verglichen wird. Überschreitet die Drehzahl den
Grenzwert (betragsmäßig betrachtet),
wird eine Sicherheitsabschaltung ausgelöst, die beispielsweise diejenige
des Stromlosschaltens und des Austrudelns des Antriebs ist. Das
sichere Reduzieren der Drehzahl oder ein Zurückführen eines lagegeregelten Antriebs
auf eine bestimmte Lage (translatorisch oder rotatorisch) wird über eine
Vorgabe einer Lagefunktion und einer Drehzahlfunktion erreicht,
bspw. wenn der Lagewert einen Grenzwert überschritten hat oder die Temperatur
zu stark angestiegen ist.