-
Die Erfindung befasst sich mit der Skalierung von Sicherheits-Funktionen bei elektrischen Maschinen, wie Motoren, Generatoren oder Antrieben, die über Steuergeräte angesteuert werden.
-
Unter einer elektrischen Maschine soll auch ein Generator verstanden werden. Lineare oder rotierende elektrische Generatoren oder Motoren werden zusammengefasst als elektrische Maschine benannt, vgl. Müller, Elektrische Maschinen, Grundlagen, 4. Auflage, VEB Verlag, S. 190, 191, Ziffern 9, 10. Insbesondere sind solche mechanisch/elektrischen Umformer mit zumindest einem beweglichen Aktor und einem demgegenüber ruhenden Stator betroffen, welche mit zumindest zwei, bevorzugt drei Phasen im Stator oder Aktor arbeiten, so dass die Ansteuergeräte passende Frequenzumrichter bilden, welche den Antrieb beispielsweise als Stellantrieb oder im Rahmen einer Positionieraufgabe (mit Lageregelung) ansteuern. Gleichwohl sind unter den Antrieben auch Gleichstrom-Antriebe zu verstehen, welche ohne einen Frequenzumrichter nur mit einem Gleichstromsteller auskommen, gegebenenfalls ergänzt um eine elektrische oder mechanische Bremse.
-
DE 202 10 217 U1 beschreibt eine Schaltungsanordnung beschrieben, welche bevorzugt für fahrbare Arbeitsgeräte (Flurförderzeuge oder Gabelstapler) Verwendung findet und dort einen Elektromotor, insbesondere den Fahrantriebsmotor und den Pumpenmotor ansteuert. Zusätzliche Ansteuerungen können der Lenkmotor sein, vgl. dort Seiten 1 und 2. Es ist eine Hauptplatine vorgesehen, auf welcher eine (auswechselbare) Wechselplatine mit Steckkontakten angeordnet ist. Diese kann bedarfsweise mit geringem Aufwand von der Hauptplatine getrennt werden, wobei die Wechselplatine eine Gruppe von ausgewählten Steuerstufen-Bauelementen aufweist. Diese Elemente sind diejenigen, welche statistisch einen größeren Austauschbedarf haben, alternativ einen größeren Überprüfungsbedarf oder noch weiter alternativ herstellerseitig eine Vielzahl von bereitzuhaltenden Varianten repräsentieren, die für unterschiedliche Lieferungen ins Ausland unterschiedliche Normen erfüllen müssen, vgl. dort Seite 6, erster Absatz. Spezifisch genannt sind unterschiedliche Steckeranschluss-Normen, Schnittstellen-Technologien oder unterschiedliche Anforderungen bezüglich der Anzeigeelemente. Um das erfüllen zu können, wird lediglich die Wechselplatine den jeweiligen Forderungen entsprechend angepasst und (wahlweise) ausgetauscht. Auf dieser Steckerplatine ist dabei auch ein Notstop-Relais, vgl. dort Seite 8, Zeile 20, dennoch soll die Anzahl der Bauelemente auf der Wechselplatine
22 möglichst klein gehalten werden und kann zusätzliche auch unempfindliche oder langlebige Bauelemente tragen, wie Seite 8, erster Absatz das für den Fachmann verständlich erläutert.
-
In einem DKE-Positionspapier, DKE-AK 226.03, Entwurf 19. Januar 2000, ”Sicherheitsgerichtete Funktionen elektrischer Antriebssysteme in Maschinen”, werden verschiedene Funktionen von funktionalen Sicherheiten von Antrieben definiert. Auf dieses Positionspapier wird spezifisch Bezug genommen, das hier mit einigen wesentlichen Passagen herausgegriffen wiedergegeben wird.
-
Es werden dort verschiedene funktionale Sicherheiten mit ihren Auswirkungen auf den Antrieb (die elektrische Maschine) wie folgt beschrieben:
- – sicherer Halt oder Schutz gegen Wiederanlauf
- – sicheres Stillsetzen
- – sicherer Betriebshalt
- – sicher reduzierte Geschwindigkeit
- – sichere Tippschaltung
- – sicher begrenztes Schrittmaß
- – sicher begrenzte Absolutlage
- – sichere Ein-/Ausgangssignale.
-
Die Umsetzung dieser so beschriebenen Funktionen bedeutet einen sehr unterschiedlichen Aufwand, je nach Komplexität der Funktion. Der unterschiedliche Aufwand spiegelt sich wieder in unterschiedlicher technischer Realisierung, einerseits komplexer, andererseits einfacher, was unterschiedliche Kosten nach sich zieht. So spiegelt sich der Aufwand wider im Umfang einer Konzepterstellung, bei den technischen Realisierungen des Konzepts, bei den Sensoren und benötigten Rückmeldungen und diesbezüglich den externen Anschlussmöglichkeiten. Auch verbunden mit dem Aufwand sind externer Verdrahtungsaufwand zur Inbetriebnahme und nicht zuletzt auch die Entwicklungs- und Herstellkosten.
-
Naturgemäß hat es für einen Hersteller von elektrischen Steuergeräten für Maschinen eine Bedeutung, die Kosten eines solchen Steuergerätes für die eingangs genannten Maschinen so gering wie möglich zu halten und dabei auch die Sicherheitsfunktionen nur so weit als möglich und nötig einbauen und mitliefern zu müssen. Es wäre möglich, sämtliche Sicherheitsfunktionen der eingangs beschriebenen Art grundsätzlich in jedem Steuergerät vorzusehen und nur diejenigen Sicherheitsfunktionen frei zu schalten, welche der jeweilige Anwender bestellt hat oder für seine spezifische Anwendung benötigt.
-
Diese Möglichkeit ist real, dennoch mit deutlichen Kosten verbunden. Die Erfindung befasst sich deshalb mit der Problemstellung, Sicherheitsfunktionen so angepasst zu liefern, dass sie spezifisch auf einen vom Besteller gewünschten oder vom Besteller benötigten Umfang beschränkt sind, gleichzeitig soll der diesbezügliche Aufwand nicht zu hoch werden, um die einzelnen Steuergeräte jeweils individuell herstellen oder programmieren zu müssen. Mit anderen Worten sollen die Anforderungen eines Bestellers oder Kunden des Steuergerätes für die elektrische Maschine angepasst erfüllt werden.
-
Die Erfindung schlägt dazu vor, skalierbare Sicherheits-Funktionen so einem Steuergerät zuzuordnen, dass sie austauschbar sind [Anspruch 1]. Das kann einerseits als Steuergerät, andererseits aber als Verfahren (Arbeitsverfahren oder Bereitstellungsverfahren) geschehen. Das Steuergerät hat dabei einen definierten Ort, welcher ein Modul aufzunehmen in der Lage ist, dem die Sicherheitsfunktion zugeordnet wird. Bevorzugt hat nur dieses Modul Sicherheitsfunktionen und es wird von der Hypothese ausgegangen, dass der Antrieb (die Maschine) als solcher sicher ist (Betriebsbewährtheit). Deshalb ist es nicht notwendig, durch eine sichere Programmierung der Funktionen bspw. im Antrieb, also auf einer Hauptplatine des Steuergerätes die funktionale Sicherheit herzustellen. Es reicht vielmehr, auf der Hauptplatine gar keine oder eine sehr einfache ständige Überwachung der geforderten Funktionen vorzunehmen, z. B. mit einem einfachen Sicherheits-Watchdog, welcher nur anspricht, wenn sich der Antrieb nicht gemäß einer eingestellten Funktion verhält. Eine solche Sicherheitsfunktion kann auf der Hauptplatine verbleiben, sie ist universell und muss nicht in die Module verlagert werden.
-
Ein steckbares Modul kann aber eine eigenständige, intelligente Sicherheitsfunktion darstellen, die dazuhin austauschbar ist.
-
Die integrierte Sicherheitsfunktion wird mit dem Modulkonzept [Anspruch 12, 13, 14 oder Anspruch 7] so realisiert, dass das Modul kleiner ist, insbesondere wesentlich kleiner als die Größe der Hauptplatine ausgebildet ist, z. B. 30% der Größe der Hauptplatine. Auf diesem Modul werden die Sicherheitsfunktionen konzentriert. Das Modul steht für eine jeweils zweite Gruppe von Kontakten [Anspruch 6], welche räumlich so angeordnet ist, wie eine erste Gruppe von Kontakten auf der Steuer- bzw. Hauptplatine [Anspruch 1, Merkmal (b)]. Diese erste Gruppe von Kontakten dient der elektrischen Kontaktierung (und dem mechanischen Halt) von einer aus einer Vielzahl von zweiten Kontaktgruppen, welche für die Module stehen [Anspruch 8]. Damit sind eine Vielzahl, zumindest aber zwei nicht funktionell gleich arbeitende Module umschrieben, welche auf eine dedizierte Bestellung (Applikation) hin ausgewählt und angepasst auf die ersten Kontakte der Hauptplatine gesteckt werden können.
-
Mit diesem Sicherheitskonzept werden unterschiedliche Stufen vorgesehen. Eine Vielzahl von Modulen hält die unterschiedliche Stufenzahl bereit, welche in unterschiedliche Gruppen eingeteilt werden kann und demgemäß auf eine Bestellung hin zugeschnitten und angepasst verfügbar gehalten werden kann. Es ist sogar möglich, spätere Änderungen vorzunehmen, indem allein das Modul auf dem Grundgerät ausgetauscht wird.
-
Die Sicherheitsmodule besitzen dabei die Möglichkeit, den Antrieb als Beispiel einer Maschine zu überwachen und sicher stillzusetzen, wobei die Art und Weise der Stillsetzung unterschiedliche Anforderungen gemäß den eingangs dargestellten Möglichkeiten stellt.
-
”Stillsetzen” umfasst alle Varianten des Reduzierens der Drehzahl, von momentenlos [Anspruch 12] bis hin zur gesteuerten Herabsetzung der Drehzahl durch ein bestimmt vorgegebenes Moment [Anspruch 13]. Diese Abschaltungen haben Kategorien. So ist die Kategorie Null diejenige, bei welcher der Antrieb momentenlos geschaltet wird und allein durch Widerstandsmomente und die Last austrudelt (Stopp bzw. Signal der Kategorie Null, Anspruch 12). Die Kategorie 1 (Stopp bzw. Signal der Kategorie 'Eins', Anspruch 13) reduziert die Drehzahl des Motors mit Drehmoment, also stromgesteuert. Für diese unterschiedliche Drehzahlreduzierung werden unterschiedliche Kontakte der ersten Kontakte und der zweiten Kontakte verwendet. Bei der Kategorie Null werden zwei Kontakte der ersten Gruppe benötigt, also auch zwei Kontakte auf einem jeweiligen Modul. Für die Kategorie Eins wird nur ein Kontakt in der ersten Gruppe benötigt, welcher Kontakt aber ein anderer ist, als die beiden zuvor genannten ersten Kontakte. Diese zumindest drei Kontakte sind in jedem zweiten Modul fest vorgesehen und nicht veränderlich, um zu der von einer jeweiligen Hauptplatine vorgegebenen Position grundsätzlich zu passen [Anspruch 14]. Keines der mehreren zweiten Module darf diese festgelegten Kontakte anders verwenden.
-
Zu dem Stopp der Kategorie Null kann außerdem eine zunächst einsetzende Sperre hinzugenommen werden, welche durch ein gesondertes Signal oder durch dasselbe Sperrsignal vermittelt wird. Diese Sperre verhindert einen Wiederanlauf der Maschine. Die Sperre wird zunächst vorgegeben und kann von einem Benutzer oder Bediener nach Behebung der Störung wieder zurückgesetzt werden. Ziel ist das sichere Stillsetzen und das Vermeiden des Wiederanlaufs, bis der Antrieb auf seinen Fehler hin untersucht worden ist [Anspruch 16].
-
Informationen, die aus dem Steuergerät zur Verfügung gestellt werden, werden über die erste Kontaktgruppe, welche als interne Schnittstelle bezeichnet werden kann, geführt. Alternativ oder kumulativ können Sicherheits- oder Gebersignale auch durch externe Anschlüsse bereitgestellt werden, wobei diese externen Anschlüsse beispielsweise für sichere Sensoren oder Rückmeldungen von Informationen auf einem jeweiligen Modul vorhanden sind.
-
Das Modul erhält damit als zentrales Element die Sicherheits-Funktionen zugewiesen [Anspruch 6 sowie Ansprüche 2 bis 5]. Das Modul hat nur solche Funktionen, welche mit der Sicherheit in unmittelbarer Verbindung stehen. Das führt dazu, dass nur solche Signale über die erste Gruppe und jede zweite Gruppe von Kontakten geführt werden, welche mit der Sicherheit in Verbindung stehen. Naturgemäß gehören zu solchen Signalen auch Stromversorgungs-”Signale”, welche zu dem Modul geführt werden [Anspruch 5].
-
In einer ausgeprägten Betrachtung finden sich auf der Haupt- oder Steuerplatine keine Sicherheitsfunktionen der Maschine, ggf. mit Ausnahme des oben beschriebenen Sicherheits-Watchdogs, und/oder auf jedem der Module sind keine Funktionen, welche nicht mit der Sicherheit der Maschine oder des Steuergerätes zu tun haben bzw. sie betreffen.
-
Die so geschaffene skalierbare Sicherheitsfunktionalität für Maschinen, insbesondere Antriebe, ermöglicht es, einem Kunden angepasst auf seine Applikation nur die Funktionen zur Verfügung zu stellen, die er benötigt. Dazu werden keine überwiegenden Kosten eingesetzt und der Aufwand des Auswechselns oder zielgerichteten Platzierens eines von mehreren auswahlfähigen Modulen wird stark herabgesetzt. In Applikationen mit Frequenzumrichtern (bei der Fördertechnik) wird häufig nur ein sicherer Schutz gegen den Wiederanlauf benötigt [Ansprüche 12, 16]. Andere Applikationen, welche lineare oder rotierende Positionieraufgaben zu erfüllen haben, verwenden Servoantriebe. Sie werden, häufig auch zum Einrichten der Maschine, eine Funktion der ”sicher reduzierten Drehzahl” benötigen [Anspruch 13].
-
Durch die Skalierung der Sicherheitstechnik wird eine Skalierung des Preises erzielt, wobei zusätzliche Sicherheit dadurch gewonnen wird, dass das Grundgerät in keinem Fall geändert werden muss. Es muss deshalb auch keine neue Abnahme durch eine Zertifizierungsstelle hinsichtlich eines gegebenenfalls angepassten Grundgerätes erfolgen, da man allgemein davon ausgehen muss, dass ein Eingriff in ein Gerät eine bisher ausgestellte Zertifizierung erlöschen lässt und in jedem Fall die durchgeführte Änderung eine Betrachtung der Auswirkungen auf die Sicherheitstechnik des gesamten Gerätes und meist auch eine erneute Abnahme erfordert.
-
Dazuhin kann die Aufrüstung bestehender Anlagen erfindungsgemäß erreicht werden durch Tausch des Moduls, ohne das Komplettgerät ersetzen zu müssen. Die Lagerhaltung wird zusätzlich reduziert.
-
Alle Gerätevarianten können mit allen Sicherheitsfunktionen ausgerüstet werden, ohne dass die Haupt- oder Steuerplatine in entsprechender Vielzahl vorgehalten werden muss. Die entsprechende Vielzahl reduziert sich auf die eigenständigen oder individuell angepassten und skalierten (abgestuften) Sicherheitsfunktionen in den Modulen, zur Aufsteckung auf die ersten Kontakte als erste Gruppe auf der Hauptplatine, welche die interne Schnittstelle im Sinne einer Sicherheitsschnittstelle bildet.
-
Ausführungsbeispiele erläutern und ergänzen die beanspruchte Erfindung.
-
1 veranschaulicht schematisch eine Hauptplatine 1, mit einer darauf angeordneten (aufgesteckten) Modulplatine 20.
-
2 veranschaulicht drei weitere Modulplatinen 21, 22, 23 mit darauf angeordneter schaltungstechnischer Logik.
-
3 ist eine Seitenansicht aus der Ebene der Hauptplatine 1 mit aufgesteckter Modulplatine 20p des Moduls 20, teilweise geschnitten.
-
1 veranschaulicht schematisch eine Hauptplatine 1, die ein Grundgerät repräsentiert, welches als Steuergerät zur Ansteuerung eines Motors dient, der als Dreiphasenmotor 2 dargestellt ist. Eine Mehrphasen-Eingangsspannung N versorgt das Grundgerät über einen Gleichrichter, einen Zwischenkreis und über einen Steller oder Wechselrichter (Umrichter). Diese Leistungskomponenten sind nicht gesondert dargestellt, nachdem sie allgemein verständlich und jedem Steller oder Umrichter eigen sind.
-
Zur Steuerung des Umrichters wird ein Feldbus verwendet, Eingabe/Ausgabe-Schnittstellen und zur Erfassung der Betriebssituation des Motors 2 sind Geber vorgesehen, die nicht spezifisch dargestellt, sondern schematisch veranschaulicht sind. Unter solchen Gebern werden Tachogeneratoren oder Drehzahlsensoren, Inkrementalgeber, Lagegeber, Strommessglieder oder Spannungsmessungen verstanden, auch Temperatursensoren sind möglich. Diese Geber stehen im Betriebszustand in funktioneller Verbindung mit dem Motor 2, entweder seiner Welle für eine Drehzahlerfassung oder seinen Phasen für eine Strom- oder Spannungsmessung. Die Geber sind also nicht so, wie in der 1 dargestellt, unmittelbar auf dem Grundgerät angeordnet, sondern können dem Motor zugeordnet sein, können aber auch auf dem Grundgerät selbst Auswerteelektroniken besitzen, die mit dem Feldbus zur Steuerung und den E/A-Schnittstellen unter 4 gemeinsam repräsentiert sind.
-
Statt des Motors 2 als Mehrphasenmotor kann auch ein Generator eingesetzt werden. Es sind Servoantriebe auch einsetzbar, die als Gleichstromantriebe ausgeführt werden können, was nicht gesondert dargestellt ist.
-
Mit dem Steuergerät wird der elektrische Antrieb angesteuert. Die Hauptplatine 1 enthält dazu die Steuerungstechnik, die oben beschrieben war. In dieser Steuerungstechnik ist bevorzugt eine Drehzahlregelung, eine Stromsteuerung oder -regelung oder andere Steuerungen oder Regelungen vorgesehen.
-
Die Betriebsweise oder der Betrieb des Motors bringt es mit sich, dass dieser nicht immer im zulässigen Bereich oder sich nicht immer in solchen elektrischen oder mechanischen Situationen befindet, die zugelassen sind. Solche Störungen müssen erkannt werden und aus der erkannten Störung muss ein Steuersignal abgeleitet werden, welches als Sperr- oder ansteuerndes Aktivierungs-Signal den Motor wieder in einen betriebssicheren Zustand bringt. Der sicherste Betriebszustand ist der Ruhezustand, ohne eine Drehbewegung. Diese ”Stillsetzung” genannte Überführung des Motors aus einem gefährdeten Betriebszustand in einen gefahrlosen (oder gefahrloseren) Betriebszustand kann auf viele Arten erfolgen, wie eingangs der Beschreibung unter Bezugnahme auf das DKE-Positionspapier erläutert wurde.
-
Das Grundgerät (entsprechend der Hauptplatine 1) hat diese verschiedenen Steuermechanismen oder Steuerverfahren zur Erlangung eines sichereren Betriebszustandes aus einem unsichereren Betriebszustand nicht selbst, sondern bekommt sie über eine Zusatzplatine und eine Gruppe von eng beieinander liegenden Steckkontakten hinzu. Dazu ist ein Abschnitt 9 auf der Steuerplatine 1 vorgesehen. Dieser Abschnitt ist eine Schnittstelle im Sinne einer inneren Schnittstelle, die als eine Kontaktleiste oder -gruppe vorgesehen ist, welche beispielsweise Buchsen oder Stifte aufweisen kann. Das jeweilige Gegenstück findet sich an dem Modul 20, dessen Platine 20p ebenfalls eine Kontaktgruppe trägt, welche komplementär ausgebildet ist. Diese ist Stecker/Buchse 10 des Moduls 20.
-
Dieser Stecker 10 steckt auf der Aufnahme 9, wobei diese beiden Kontaktgruppen jeweils mehrere Kontakte aufweisen. Die ersten Kontakte sind diejenigen, welche unten auf der Hauptplatine liegen. Die zweiten Kontakte sind diejenigen, welche im Modul angelegt sind und mit diesem elektrisch verbunden werden. Mehrere Kontakte sind vorgesehen, wobei das Ausführungsbeispiel der 1 die Kontaktgruppe 9 mit zwei Reihen fünf Kontakten angibt.
-
Dargestellt ist symbolisch sichtbar die Kontaktgruppe 9, obwohl das Grundgerät bereits ein aufgestecktes Modul 20 besitzt, so dass in der Aufsicht eigentlich nur die Kontaktleiste 10 des Moduls zu sehen ist.
-
Die Steckerverbindung kann aufgetrennt werden, also das Modul 20 kann von der Kontaktgruppe 9 abgenommen werden. Dann ist unmittelbar die Leiste 9 ersichtlich und bildet den Abschnitt der Hauptplatine, welcher klein ist gegenüber ihrer gesamten Flächenerstreckung. Auch die Platine 20 als Sicherheitsmodul ist von der Flächenerstreckung wesentlich kleiner ausgebildet, als das Grundgerät. Im dargestellten Beispiel ist die Größe des Sicherheitsmoduls zur Verdeutlichung größer dargestellt, sie kann aber unter 30% der Fläche der Hauptplatine liegen.
-
Andere Sicherheitsmodule zeigt die 2. Jedes dieser Module hat eine andere Logikauswertung und damit eine andere Sicherheitsfunktion, bei teilweiser Überlappung der Funktionalität. Alle Module 21, 22 und 23, und auch weitere, nicht dargestellte Module, haben aber dieselbe Kontaktleiste mit derselben Anordnung von Kontakten. Diese bspw. Steckerleisten 10, 11, 12, 13 passen jeweils zu der Buchsenleiste 9 der Hauptplatine. Damit ist die Hauptplatine mit unterschiedlichen Modulen 20, 21, 22 oder 23 zu versehen und erhält eine angepasste Sicherheitsfunktion durch jeweils eines dieser Module.
-
Auf jedem der Module ist eine Auswerte- oder Logikschaltung vorgesehen. Das Modul 20 trägt eine Logikschaltung 20a, die als ASIC oder diskret aufgebaut sein kann. Das Modul 21 trägt eine Logikschaltung 21a. Das Modul 22 trägt eine erweiterte Logikschaltung 22a und das Modul 23 eine noch komplexere Logikschaltung 23a. Diesen Logikschaltungen können einzelne oder mehrere der eingangs genannten Sicherheitsfunktionen zugewiesen sein, bzw. sie können aus Signalen des Systemzustandes, welche ihnen über einige der Steckkontakte zugeführt werden, ein Sperr- oder Störsignal generieren. Eine Zufuhr geschieht dabei jeweils über einen Kontakt der Leiste 9 und einen Kontakt der Leiste 10, bzw. mehrere Paare solcher zusammenpassenden Kontakte.
-
Der Abschnitt 9 der Hauptplatine, auf dem die als erste Gruppe zusammengefassten zehn Steckkontakte 9a bis 9e und 9f bis 9j angesiedelt sind, ist der Ausgangspunkt für eine veränderbare Zuordnung von Sicherheitsfunktionen. Jedes Modul kann auf den Stecker 9 aufgesteckt werden und ist davon auch wieder abziehbar, wobei die elektrische Kontaktierung geschaffen oder getrennt wird. Alle Steckkontakte der Module der zweiten Gruppe, jeweils die Steckerleisten 10, 11, 12 und 13 haben eine gleiche Anordnung von Kontakten, welche räumlich zu den Kontakten passen, die die Buchsenleiste 9 bereithält. Über die Kontakte der unteren Gruppe und der oberen Gruppe (der Module) werden die für die Sicherheit des Antriebs relevanten Signale des Antriebs oder des Steuergeräts geführt. 3 verdeutlicht die Seitenansicht eines aufgesteckten Moduls, wie 1 in Aufsicht zeigt.
-
Die Steckkontakte können dabei so vorgesehen sein, dass nur solche Signale über die Kontaktpaare geführt werden, welche mit der Sicherheit in Verbindung stehen. Dazu gehören beispielsweise ein Drehzahlsignal, ein Stromsignal und auch Stromversorgungs-Signale, welche das Arbeiten der Auswertung und Logik auf den Modulen 20 bis 23 ermöglichen.
-
Aus der Logikschaltung auf der jeweiligen Platine 20p, 21p, 22p und 23p werden ein oder mehrere Steuersignale abgeleitet, welches wiederum über ein oder mehrere Kontaktpaare zur Hauptplatine 1 zurückgeführt werden. Dort veranlassen sie ein Überführen des Antriebs in den sichereren Zustand, wenn eines dieser Signale angesprochen hat, bzw. die der Logik zugeführten Systemsignale bei der Auswertung einen gefährdenden Zustand erkennen ließen, der die Auslösung des Stör-, Sperr- oder Sicherheitssignals (als modulgeneriertes Steuersignal) veranlasste.
-
In den vier gegebenen Beispielen sind auf den Modulen jeweils eine Steckerleiste vorgesehen, die mit 30 in 1 und 31, 32 und 33 in 2 bezeichnet sind.
-
Bei angenommenen vier unterschiedlichen Modulen 20 bis 23, können dem jeweiligen Sicherheitsmodul über die weitere, auf seiner Platine vorgesehene ”externe Steckerleiste” Systemsignale direkt zugeführt werden. Eine externe Zuführung von solchen Systemsignalen, wie Signale von nicht dargestellten Sicherheitssensoren, z. B. Not-Aus-Taster, Lichtgitter, und zur Rückmeldung von anderen Sicherheitsinformationen, z. B. ”Sicherer Halt aktiviert”, erfolgt über die Kontakte 30, 31, 32, 33, nicht über die interne Schnittstelle 9/10 oder 9/11 oder 9/12 oder 9/13.
-
Statt der Zuführung solcher übergeordneter Systemsignale können auch Zustandssignale der Maschine, wie Drehzahl, Lage oder Strom, nicht über die interne Schnittstelle 9/10 oder 9/11 oder 9/12 oder 9/13, sondern dem jeweiligen Sicherheitsmodul über die weitere, auf seiner Platine vorgesehene Steckerleiste als ”externe Steckerleiste” direkt zugeführt werden. Hierfür kann die in den vier gegebenen Beispielen gezeigte Steckerleisten auch verwendet werden, die mit 30 in 1 und 31, 32 und 33 in 2 bezeichnet ist.
-
Die Zustandssignale der Maschine können beispielsweise ein Drehzahlsignal sein, das über einen externen Geber mit der Maschine oder seiner Welle in Verbindung steht. Dieses Signal wird dann nicht über das Grundgerät geführt, soweit es die Sicherheitsfunktion oder die Sicherheit des Antriebs betrifft. Zusätzlich kann es aber auch auf die Hauptplatine 1 eingekoppelt werden oder über den Feldbus zugeführt werden, wenngleich die Sicherheitsfunktion nicht von diesem Signal abhängt, sondern über das getrennt zugeführte Signal von der Steckerleiste 30 abhängt.
-
Jedes Modul 20 bis 23 ist eigenständig. Es arbeitet zusammen mit dem Grundgerät, wobei nur ein Modul jeweils mit dem Grundgerät über die interne Schnittstelle 9 in Verbindung steht. Sollte die Sicherheitsfunktion geändert werden, reduziert werden oder eine zusätzliche Sicherheitsfunktion hinzukommen, wird ein anderes Modul verwendet und gegen das zuvor mit dem Grundgerät in Verbindung stehende Modul ausgetauscht. Das Austauschen geschieht durch Abziehen des alten und durch Einstecken des neuen Moduls.
-
Zumindest zwei Module sind erforderlich, wenn eine Sicherheits-Funktion als skalierbar bezeichnet werden soll. Diese beiden Module haben unterschiedliche Funktionen, betreffen aber beide die Sicherheit des Antriebs. In Verbindung mit einem Grundgerät ergibt sich eine Kombination, die durch weitere Module erweitert werden kann. Ein Unterschied in der Funktion ist auch dann möglich, wenn eine Teilüberlappung der Funktionen zweier Module gegeben ist.
-
Es schadet nicht, wenn auf den Sicherheitsmodulen 20 bis 23 außer den Sicherheitsfunktionen und dem Generieren von Sicherheitssignalen (zur Vermeidung von Schäden am Antrieb oder Umrichter) auch andere Funktionen vorgesehen sind. Es ist aber günstig, wenn die Modulplatinen selbst nur und ausschließlich mit der Sicherheit in Verbindung stehen und nur solche Signale zugeführt erhalten und nur solche modulgenerierte Steuersignale abgeben, die mit der Sicherheit oder Sicherheitsfunktion zusammenhängen. Dann ist eine größtmögliche Trennung der Sicherheit von anderen Funktionseinheiten möglich.
-
Wenn eine der Modulplatinen gegen eine andere ausgetauscht wird, werden nur und alleinig Sicherheitsfunktionen und -signale ausgewechselt.
-
Bei den unterschiedlichen Modulen müssen nicht alle Stifte oder Buchsen des jeweiligen Kontaktfeldes 11, 12, 13 oder 10 belegt sein oder überhaupt vorhanden sein. Es ist gut möglich und auch realistisch, nur diejenigen Stifte oder Buchsen auch metallisch zu belegen, welche für ein jeweiliges Sicherheitsmodul vorhanden sind oder von diesem Modul zur Verfügung gestellt werden. Die Stecker- oder Buchsenleiste der Hauptplatine 1 dagegen besitzt sämtliche metallischen Kontakte, um möglichst vielseitig auf alle Varianten von Modulplatinen, auch auf zukünftige Entwicklungen hin, vorbereitet zu sein. Alle Stifte können, gleichwohl ebenso wie Buchsen in allen Modulen immer vorhanden sein, müssen nur nicht mit aktiven Signalen belegt werden.
-
Die Anzahl der Gegenkontakte auf der Seite der Module kann also je Modul variieren, kann geringer sein als die Anzahl der Kontakte der inneren Schnittstellen 9 der Hauptplatine 1, ist höchstens gleich, aber nicht größer als die Anzahl der Kontakte der Kontaktgruppe 9.
-
Es sollen zwei Sicherheitsabschaltungen skizziert werden. Sie tragen die Namen ”Kategorie Null” und ”Kategorie Eins”. Die Kategorie Eins ist ein Quickstop, im Sinne einer schnellen Abschaltung. Bei ihr wird der Antrieb mit einem Drehmoment in einen Betriebszustand gebracht, welcher sicherer ist, als derjenige, in welchem er sich zuvor befand. Der Motor wird beispielsweise mit Drehmoment gesteuert auf eine Drehzahl von Null heruntergesteuert, wobei eine Rampe als Sollwert den Motor in der Drehzahl herabsetzt. Die Kategorie Eins verwendet dazu einen Signalpfad aus einer Signalleitung (zuzüglich Masseleitung), wobei das Signal modulgeneriert von der Platine 22p und der dortigen Logik 22a aus dieser zugeführten Systemsignalen generiert wird und über ein Kontaktpaar, beispielsweise die Kontakte 12e und 9e, zur Hauptplatine 1 übertragen wird.
-
Ein anderes Sicherheitssignal der Kategorie Null ist ein solches, das ohne Drehmoment den Antrieb stromlos schaltet und austrudeln lässt. Er wird gebremst durch seine Last oder durch andere Bremsmomente an ihm. Diese Kategorie erfordert zwei Kanäle, also zwei Paare von Kontakten, die bei dem Modul 21 mit 11a, 11f vorgesehen sind, zusätzlich zu den entsprechenden Gegenkontakten 9a, 9f in der Kontaktleiste 9, welche dort die gleiche Position innerhalb der Kontaktleiste besitzen.
-
Die Logikschaltung 21a wertet ihm zugeführte Systemsignale aus und gibt im Falle einer erkannten Gefahr oder eines nicht ordnungsgemäßen (zulässigen) Betriebszustandes ein Steuersignal ab, welches einen sicheren Halt vorgibt, wobei der sichere Halt das Signal des drehmomenten-losen Abschaltens des Antriebs ist.
-
Das Signal der Kategorie Null (das nullte Signal) kann außerdem einen Wiederanlauf des Antriebs sperren. Diese Sperrung erfolgt so lange, bis ein Benutzer den fehlerhaften Systemzustand ermittelt und behoben hat, oder der Antrieb repariert worden ist. Die Sperrung ist also nicht dauerhaft, sondern auf eine Zeit angelegt, bis sie aktiv freigegeben wird.
-
Der Stopp der Kategorie Null sollte auf jeder Platine der mehreren unterschiedlichen Sicherheitsplatinen vorhanden sein. Er verwendet dabei auf jeder Platine dieselben Kontakte, die beispielhaft 9a, 9f bei der Hauptplatine 1, Kontakte 10a, 10f bei dem ersten Sicherheitsmodul 20, Kontakte 11a, 11f beim Grundmodul 21, Kontakte 12a, 12f beim erweiterten Modul 22 mit zusätzlich der Quickstop-Sicherheitsfunktion, und in einem noch erweiterten Modul 23 mit den Kontakten 13a, 13f vorgesehen ist.
-
Die Sicherheitssignale der Kategorie Null und der Kategorie Eins werden selbstverständlich nicht über dieselben Kontakte der Kontaktgruppe 9 übertragen, sondern über unterschiedliche Kontaktpaare. In dem Kontaktfeld 9 sind aber die für diese Sicherheitsfunktion immer fest vorgegebenen Kontakte belegt und entsprechend ausgeführt. Diesen Kontakten 9a, 9f, 9e sind bei keinem der mehreren Module 20 bis 23 andere Signale zugeordnet, als diejenigen der Stopp-Kategorie Null und Eins.
-
Die in 2 dargestellten Module sind teilweise schon beschrieben worden. Ihre technischen Eigenschaften als Funktionen im Sinne von Sicherheitsfunktionen sollen im Folgenden vertieft werden.
-
Das Grundmodul 21 hat eine Funktion in der Logik 21a, welche sicheren Halt und Schutz gegen Wiederanlauf bietet. Die entsprechenden Signale werden über die Kontakte 11a, 11f übertragen. Sie betreffen die Kategorie Null und sind zwei Signalpfaden zugeordnet (zuzüglich der Masse).
-
Das erweiterte Modul 22 kann außer der genannten Funktion des sicheren Haltes ein sicheres Stillsetzen im Sinne eines Quickstops (der Stopp-Kategorie Eins) enthalten. Zusätzlich wird ein direkter Anschluss von Signalen der Sicherheitsperipherie über eine weitere (externe) Kontaktleiste 32 ermöglicht. Es gibt außerdem eine sichere Rückmeldung über die Kontaktleiste 12. Der Schutz gegen Wiederanlauf im Sinne eines zusätzlichen Signals ist hier als Alternative ausgeführt.
-
Das Modul 23 hat zusätzlich zu den Funktionen des Moduls 22 bei einer größer und komplexer ausgeführten Logikschaltung 23a eine sicher reduzierte Drehzahl und einen sicheren Betriebshalt in einer Stopp-Kategorie Zwei. Es ist außerdem eine sichere Tippschaltung vorgesehen.
-
Ein noch weiteres, nicht dargestelltes Modul kann die Funktion des Moduls 23 besitzen und zusätzlich noch den Anschluss eines sicheren Feldbusses über die zusätzliche externe Steckerleiste auf der Modulplatine bereitstellen. Sichere Feldbusse sind beispielsweise SafetyBUS p oder Profisafe.
-
Dadurch können künftige Lösungen und Funktionen realisiert werden, die derzeit weder abzusehen, noch konkret festliegen. Die Sicherheitsskalierung und die Aufteilung einzelner Sicherheitsfunktionen auf die Module erlaubt die künftige Erweiterung bei unverändertem Grundgerät.
-
Die Erzeugung von Signalen zur Kennzeichnung eines unsicheren Betriebszustandes oder eines Gefährdungszustandes wurde nicht eingehend erläutert. Solche Signale zu generieren wird Logikschaltungen überlassen, im einfachsten Fall ist es ein Grenzwert für den Messwert der Drehzahl, welcher mit einem Komparator verglichen wird. Überschreitet die Drehzahl den Grenzwert (betragsmäßig betrachtet), wird eine Sicherheitsabschaltung ausgelöst, die beispielsweise diejenige des Stromlosschaltens und des Austrudelns des Antriebs ist. Das sichere Reduzieren der Drehzahl oder ein Zurückführen eines lagegeregelten Antriebs auf eine bestimmte Lage (translatorisch oder rotatorisch) wird über eine Vorgabe einer Lagefunktion und einer Drehzahlfunktion erreicht, bspw. wenn der Lagewert einen Grenzwert überschritten hat oder die Temperatur zu stark angestiegen ist.
