Beschreibung
Krananlage, insbesondere Containerkran
Krananlagen dienen bekanntermaßen zum Umschlagen von Gütern, wobei Containerkrananlagen zum Bewegen großer, in der Regel zwischen 20' und 45' (Fuß) großen Containern dienen. Solche Containerkrananlagen kommen beispielsweise zum Be- und Entladen von Schiffen oder Eisenbahnwagons etc. zum Einsatz. Eine solche Kranlage weist in der Regel eine horizontal verfahrbare Katze auf, an der ein Lastaufnahmemittel, also beispielsweise ein Container-Spreader hängt, über welches die zu bewegende Last gegriffen wird. Mit dem Betrieb der Krananlage bzw. dem Bewegen der Last, die vornehmlich bei Containern ei- nerseits sehr große Abmessungen, zum anderen bis zu mehreren Tonnen schwer sein kann, ist ein Gefährdungspotential sowohl für die Krananlage bedienende oder dort arbeitende Personen als auch für die Umgebung gegeben. Infolgedessen sind eine Reihe sicherheitstechnischer Einrichtungen an der Krananlage vorgesehen, die es einer speicherprogrammierbaren Steuerungseinrichtung, die die Krananlage steuert, ermöglichen eine sicherheitsrelevante Abschaltung im Bedarfsfall durchzuführen. Zu nennen sind beispielsweise sicherheitsrelevante Abschaltungen wie Not-Aus, Not-Halt, die Not-Endschalterüberwachung, die Vorendschalteüberwachung oder aber Überlast- oder Überdrehzahlüberwachungen .
Wenngleich bei bekannten Krananlagen hierdurch ein beachtliches Maß an Betriebssicherheit gewährleistet ist, liegt der Erfindung die Aufgabe zugrunde, eine Krananlage anzugeben, die diesbezüglich noch weiter verbessert ist.
Zur Lösung dieses Problems ist eine Kranlage, insbesondere ein Containerkran, zum Bewegen einer Last, insbesondere eines Containers vorgesehen,
- mit einer ersten speicherprogram ierbaren Steuerungseinrichtung, der im Bedarfsfall zu einem sicherheitsrelevan-
ten Steuerungszugriff auf ein oder mehrere elektrische o- der elektromechanische Betriebselemente führende Signale gegeben werden, und - mit einer zweiten speicherprogrammierbaren Steuerungsein- richtung, die zum zumindest teilweisen Überwachen des
Steuerungsbetriebs der ersten Steuerungseinrichtung auf Basis ihr gegebener sicherheitsrelevanter Signale derart ausgebildet ist, dass über sie im Bedarfsfall bei unzureichendem sicherheitsrelevantem Steuerungszugriff seitens der ersten Steuerungseinrichtung ein eigener Steuerungszugriff auf ein oder mehrere Betriebselemente erfolgt.
Bei der erfindungsgemäßen Krananlage erfolgt die gesamte Steuerung des Krans über die erste speicherprogrammierbare Steuerungseinrichtung. Diese ist auch für sicherheitsrelevante Steuerungseingriffe, also beispielsweise zur Durchführung eines Not-Halts oder dergleichen ausgebildet, wenn ein solcher auf Basis ihr gegebener Signale nötig ist. Für sicherheitsrelevante Abschaltungen ist zusätzlich erfindungsgemäß eine zweite speicherprogrammierbare Steuerungseinrichtung vorgesehen, die die erste Steuerungseinrichtung im Hinblick auf deren Steuerungszugriff im Falle einer sicherheitsrelevanten Abschaltung überwacht. Die zweite Steuerungseinrichtung kontrolliert also, ob die erste Steuerungseinrichtung bei einem seitens der zweiten Steuerungseinrichtung erkannten sicherheitsrelevanten Abschaltfall richtig reagiert und die erforderliche Abschaltung ansteuert. Falls dem nicht so ist greift die zweite Steuerungseinrichtung ein, um die Abschaltung des oder der betroffenen Betriebselemente vorzunehmen. Der Fall, dass die erste Steuerungseinrichtung nicht reagiert, kann beispielsweise dann gegeben sein, wenn der ersten Steuerungseinrichtung aus welchem Grund auch immer keine oder falsche Signale gegeben werden, ein Fehler seitens der ersten Steuerungseinrichtung selbst vorliegt etc.
In der zweiten Steuerungseinrichtung werden zweckmäßigerweise lediglich sicherheitsrelevante Signale eingelesen, die für
das Erkennen und gegebenenfalls Durchführen des sicherheitsrelevanten Steuerungszugriffs auf ein oder mehrere Betriebselemente im jeweiligen Sicherheitsfall relevant sind, da die zweite Steuerungseinrichtung nicht zum allgemeinen Steuern der Krananlage dient, sondern lediglich zu Sicherheits- und Überwachungszwecken der ersten Steuerungseinrichtung vorgesehen ist.
Insgesamt bietet die erfindungsgemäß realisierte Überwachung ein Höchstmaß an Sicherheit, da hierdurch in jedem Fall ein Steuerungszugriff im Bedarfsfall gewährleistet ist.
Zweckmäßigerweise ist die erste und/oder die zweite Steuerungseinrichtung für einen verzögerten möglichen Steuerungs- zugriff ausgebildet. Dies ist zum einen deshalb zweckmäßig, als mitunter die beiden Steuerungseinrichtungen mit unterschiedlichen Taktzyklen arbeiten. Während beispielsweise seitens der ersten Steuerungseinrichtung die Signalauswertung in einem Zyklus von 40ms erfolgt und erst anschließend eine Re- aktion möglich ist, arbeitet die zweite Steuerungseinrichtung mit einem Zyklus von z. B. 6ms, sie arbeitet bei Erkennen eines sicherheitsrelevanten Abschaltfalles der ersten Steuerungseinrichtung gegenüber also vorauseilend. Das heißt, sie würde einen fehlenden Steuerungszugriff der ersten Steue- rungseinrichtung erkennen, der aber aufgrund des längeren Zyklus dieser Steuerungseinrichtung noch gar nicht möglich ist. Es würde dann ein Steuerungszugriff über die zweite Steuerungseinrichtung erfolgen, was aber nicht wünschenswert ist. Durch die Verzögerung wird dies vermieden, indem eben so lange verzögert wird, bis die erste Steuerungseinrichtung ü- berhaupt steuernd eingreifen kann. Zum anderen ist diese Verzögerung - vor allem wenn eine solche bezüglich beider Steuerungseinrichtungen vorgesehen ist - dahingehend zweckmäßig, als betriebsrelevante Zustände des zu betätigenden Betriebs- elements oder anderer damit zusammenwirkender Betriebselemente noch geändert oder gesperrt werden können, so beispielsweise Impulse der Stromrichter oder dergleichen.
Nach einer besonders zweckmäßigen Erfindungsausgestaltung kann vorgesehen sein, dass die erste Steuerungseinrichtung zur Durchführung einer Plausibilitätsprüfung der der zweiten Steuerungseinrichtung gegebenen Signale auf Basis der ihr vorliegenden Signale ausgebildet ist. Nach dieser Erfindungsausgestaltung erfolgt neben der Überwachung der ersten Steuerungseinrichtung durch die zweite Steuerungseinrichtung auch eine Überwachung der zweiten Steuerungseinrichtung durch die erste. Es erfolgt quasi eine Gegenkontrolle dahingehend, ob der zweiten Steuerungseinrichtung sicherheitsrelevante Signale gegeben werden, die plausibel und kongruent mit der ersten Steuerungseinrichtung gegebenen Signalen sind, auf Basis welcher die erste Steuerungseinrichtung eine etwaige Sicher- heitsabschaltung erkennen würde. Das heißt, es wird hierdurch kontinuierlich überprüft, ob die zweite Steuerungseinrichtung überhaupt im Stande ist, eine Sicherheitsabschaltung korrekt zu erkennen. Denn es kann der Fall auftreten, dass auch der zweiten Steuerungseinrichtung fehlerhafte sicherheitsrelevan- te Signale gegeben werden und so folglich eine tatsächlich nicht vorhandene Sicherheitsabschaltung erkannt wird. Wenn seitens der ersten Steuerungseinrichtung, an der die „korrekten" Signale anliegen, keine Sicherheitsabschaltung erkannt wird, wird folglich die zweite Steuerungseinrichtung aktiv und führt einen sicherheitsrelevanten Steuerungszugriff auf ein Betriebselement durch, der tatsächlich jedoch nicht erforderlich ist, da kein Gefahrenfall vorliegt. Insgesamt bietet diese erfindungsgemäße Ausgestaltung eine gegenseitige Überwachungs- und Kontrollmöglichkeit, wodurch ein hohes Maß an Anlagensicherheit gewährleistet ist.
Um die gegenseitige Kontrollmöglichkeit bzw. insbesondere die beschriebene Plausibilitätsprüfung hinsichtlich der der zweiten Steuerungseinrichtung gegebenen Signale zu gewährleisten ist es zweckmäßig, wenn die erste und die zweite Steuerungseinrichtung miteinander in bidirektionaler Kommunikationsverbindung stehen, das heißt es ist ein direkter Datenaustausch
möglich. Beispielsweise kann im Rahmen der Plausibilitätsprü- fung die erste Steuerungseinrichtung die benötigten Daten o- der Signale von der zweiten Steuerungseinrichtung zyklisch abfragen. Jedoch ist auch ein unidirektionaler Datenaustausch von der zweiten zur ersten Steuerungseinrichtung möglich, wobei hier die zweite Steuerungseinrichtung kontinuierlich und zyklisch ohne direkter Anfrage die benötigten Daten an die erste Steuerungseinrichtung überträgt.
Wie beschrieben ist die erste Steuerungseinrichtung zweckmäßigerweise zur zyklischen Plausibilitätsprüfung ausgebildet, wobei sich der Zyklus nach dem allgemeinen Arbeitszyklus der ersten Steuerungseinrichtung richtet. Zweckmäßige Zykluszeiten liegen zwischen 10 ms und 80 ms, insbesondere zwischen 30 ms und 50 ms, und konkret z. B. bei 40 ms.
Um zu vermeiden, dass ein sicherheitsrelevanter Steuerungszugriff deshalb erfolgt, weil an beiden Steuerungseinrichtungen fehlerhafte Signale vorliegen, die eine sicherheitsrele- vante Gefahrensituation anzeigen, obwohl eine solche tatsächlich nicht vorliegt, ist es zweckmäßig, wenn die erste und die zweite Steuerungseinrichtung zum Verarbeiten von zumindest teilweise unterschiedlichen Signalen, die im Bedarfsfall zum gleichen sicherheitsrelevanten Steuerungszugriff führen, ausgebildet sind. Das heißt, die Ermittlung eines etwaigen sicherheitsrelevanten Falles erfolgt in der ersten und in der zweiten Steuerungseinrichtung zumindest teilweise auf Basis unterschiedlicher Signale. Beispielsweise ist es denkbar, zur Erfassung des Vorendschaltersignals und des Notendschalter- Signals der ersten Steuerungseinrichtung Wegimpulse der am Ausleger entlang fahrenden Katze zu geben, wobei die erste ■ Steuerungseinrichtung den Vorend- und den Notendschalter über den über die Wegimpulse gegebenen Weg softwaremäßig abbildet. Das heißt, dort wird anhand der Wegimpulse errechnet, wo die Katze ist und ob beispielsweise gerade der Vorendschalter ü- berfahren wurde. Der zweiten Steuerungseinrichtung werden hingegen die Schaltersignale selbst gegeben, das heißt dort
liegen „echte" Hardware-Signale an. Ist nun beispielsweise der Vorendschalter defekt und gibt er bereits ein Signal, bevor die Katze ihn überfahren hat, so erkennt die zweite Steuerungseinrichtung zwar dieses fehlerhafte Signal, was gegebe- nenfalls dann zu einem Steuerungszugriff führen würde. Aufgrund der Plausibilitätsprüfung jedoch erkennt die erste Steuerungseinrichtung ihrerseits, dass das gegebene Vorendschaltersignal nicht plausibel ist und mit dem ihr gegebenen Wegimpuls nicht übereinstimmt und sperrt infolgedessen die zweite Steuerungseinrichtung.
Dabei kann die erste Steuerungseinrichtung im Rahmen der Plausibilitätsprüfung zur parallelen Funktionsprüfung eines ein sicherheitsrelevantes Signal an die zweite Steuerungsein- richtung liefernden Betriebselements und zur gegebenenfalls nötigen Ausgabe einer Fehlermeldung ausgebildet sein. Im Rahmen der Überwachung der zweiten Steuerungseinrichtung durch die erste Steuerungseinrichtung wird beispielsweise um den Signalgabepunkt vorteilhaft ein Toleranzbereich gelegt, in- nerhalb welchem das Signal anliegen muss. Da die erste Steuerungseinrichtung aufgrund des Wegbezugs weiß, wann beispielsweise der Vorendschalter überfahren wurde, muss das Vorendschaltersignal innerhalb des Toleranzbereichs an der zweiten Steuerungseinrichtung anliegen. Falls dem nicht so ist wird dies als Fehler des Vorendschalters erkannt, unabhängig davon, ob überhaupt ein Sicherheitsfall vorliegt, da das Vorendschaltersignal aufgrund des möglichen Schalterdefekts entweder nicht oder viel zu spät gegeben wird, verglichen mit der in der ersten Steuerungseinrichtung erkannten Ist- Position bzw. der Lage des Schalters. Der erfasste Fehler wird beispielsweise dem Kranführer angezeigt.
Zur weiteren Erhöhung der Sicherheit im Hinblick darauf, ob eine oder die beiden Steuerungseinrichtungen überhaupt funk- tionstüchtig sind, kann vorgesehen sein, dass die erste und/oder die zweite Steuerungseinrichtung zum Simulieren eines einen Steuerungszugriff seitens der zweiten und/oder der
ersten Steuerungseinrichtung auslösender Signale und zum Prüfen der Reaktion der zweiten und/oder der ersten Steuerungseinrichtung als Funktionstest beim Einschalten der Krananlage ausgebildet ist. Dies ermöglicht es, etwaige Defekte in einer oder beiden Steuerungseinrichtungen zu erkennen. Man simuliert quasi einen Notfall und prüft, ob die jeweilige Steuerungseinrichtung geschaltet hätte. Falls dem so ist wird der normale Steuerungsbetrieb fortgesetzt.
Weitere Vorteile, Merkmale und Einzelheiten der Erfindung ergeben sich aus dem im Folgenden beschriebenen Ausführungsbeispiel sowie anhand der Zeichnungen. Dabei zeigen:
Fig. 1 eine Prinzipskizze einer erfindungsgemäßen Kranan- läge, und
Fig. 2 eine Prinzipskizze zur Darstellung der Arbeitsweisen der Steuerungseinrichtungen.
Fig. 1 zeigt eine erfindungsgemäße Krananlage 1 in Form eines Containerkrans, der im Ausführungsbeispiel zum Be- und Entladen eines Schiffs 2 ausgebildet ist. Der Containerkran ist entlang einer Kaimauer 3 verfahrbar. Am Krangestell 4 ist ein Ausleger 5 vorgesehen, an dem eine Katze 6 verfahrbar ist, siehe Doppelpfeil A. An der Katze 6 ist über geeignete
Hubseile 7 ein Container-Spreader 8 angeordnet, der vertikal bewegt werden kann, siehe Doppelpfeil B, und über den ein Container 9 auf das Schiff 2 oder vom Schiff 2 geladen werden kann.
Der Betrieb der Krananlage insgesamt wird über eine erste speicherprogrammierbare Steuerungseinrichtung 10 gesteuert. Hierzu gibt die Steuerungseinrichtung 10 entsprechende Steuerbefehle an entsprechende Betriebselemente des Krans, bei- spielsweise an das Fahrwerk der Katze 6, an das Hubwerk etc., und sie empfängt entsprechende Signale von Betriebselementen oder sonstigen signalgebenden Anlagenelementen, in Abhängig-
keit welcher die Steuerung erfolgt, wobei diese bidirektionale Kommunikation durch den Doppelpfeil C dargestellt ist.
Weiterhin ist eine zweite speicherprogrammierbare Steuerungs- einrichtung 11 vorgesehen, die im gezeigten Beispiel bidirektional mit der ersten Steuerungseinrichtung 10 kommuniziert (s. Doppelpfeil D) , und die zum Überwachen der ersten Steuerungseinrichtung 10 und zur Durchführung eines sicherheitsrelevanten Steuerungszugriffs auf ein oder mehrere Betriebsele- mente dann vorgesehen ist, wenn die Steuerungseinrichtung 10 dies nicht vornimmt und ausfällt. Hierzu werden der zweiten Steuerungseinrichtung sicherheitsrelevante Signale von Betriebselementen oder sonstigen signalgebenden Elementen des Krans gegeben. Die zweite Steuerungseinrichtung 11 ist ihrer- seits in der Lage entsprechende Steuerungssignale an ein abzuschaltendes oder sonst wie zu steuerndes Betriebselement zu geben, wie durch den Doppelpfeil E dargestellt ist.
Fig. 2 zeigt in Form einer Prinzipskizze das erfindungsgemäße Zusammenwirken der Steuerungseinrichtungen. Beschrieben wird das Beispiel der Überwachung eines Vorendschalters, der an einer endseitigen Position am freien Ende des Auslegers 5 vorgesehen ist. Beim Überfahren dieses Vorendschalters zur Wasserseite hin muss über die erste Steuerungseinrichtung 10 die Geschwindigkeit um ein vorbestimmtes Maß heruntergeregelt werden, beispielsweise auf eine vorgegebene Geschwindigkeit die 70% der maximalen Geschwindigkeit beträgt.
Zum Erkennen, wann die Katze 6 den Vorendschalter überfährt, ist an der Katze ein Wegsensor mit einem Winkelcodierer 12 vorgesehen, der kontinuierlich ein Wegsignal Si an die erste Steuerungseinrichtung 10 gibt. Hierüber kann die erste Steuerungseinrichtung 10 die Ist-Position der Katze 6 am Ausleger 5 erfassen und, nachdem ihr die Ist-Position des Vorendschal- ters am Ausleger 5 bekannt ist, erkennen, wann dieser von der Katze 6 überfahren wird. Stellt sie dies fest so steuert sie beispielsweise einen Stromrichter 13 an, über den ein Motor
14 des Katzfahrwerks betrieben wird, so dass die Geschwindigkeit heruntergeregelt wird.
Die zweite Steuerungseinrichtung 11 überwacht die erste Steu- erungseinrichtung 10, wie durch den Doppelpfeil D angedeutet ist. Sie kann so erkennen, ob die erste Steuerungseinrichtung 10 korrekt arbeitet, da im Normalfall auch die zweite Steuerungseinrichtung 11 das Überfahren des Vorendschalters erkannt hat und weiß, dass die Geschwindigkeit heruntergeregelt werden muss.
Damit die zweite Steuerungseinrichtung das Überfahren des Endschalters erkennen kann wird ihr zum einen das eigentliche Vorendschalter-Signal E gegeben. Liegt das Signal E an, so befindet sich die Katze 6 noch vor dem Endschalter, öffnet dieser und liegt das Signal E nicht mehr an, so wurde der Vorendschalter 15 überfahren. Zusätzlich wird ihr das Wegsignal S2 eines Impulsgebers 16 gegeben, anhand welchem die zweite Steuerungseinrichtung durch Bildung der Zeitableitung ds/dt die Geschwindigkeit der Katze ermitteln kann. Die zweite Steuerungseinrichtung 11 kann also überprüfen, ob die erste Steuerungseinrichtung die Geschwindigkeit korrekt bei Ü- berfahren des Vorendschalters 15 heruntergeregelt hat oder nicht.
Sofern dem so ist erfolgt kein Steuerungseingriff seitens der zweiten Steuerungseinrichtung 11 am Stromrichter 13. Sollte jedoch die erste Steuerungseinrichtung 10 aus welchen Gründen auch immer - sei es dass beispielsweise der Winkelcodierer 12 defekt ist oder falsche Signale liefert, oder dass ein Fehler in der ersten Steuerungseinrichtung 10 selbst vorliegt - die Geschwindigkeit nicht reduzieren, was darauf zurückzuführen ist, dass sie beispielsweise das Überfahren des Vorendschalters 15 nicht erkennt, so wird dieser Fehler von der zweiten Steuerungseinrichtung 11 erkannt, die dann - wie durch den gestrichelten Pfeil dargestellt ist - auf den Stromrichter 13 zugreift .
Um zu vermeiden, dass die Überwachungsfunktion der zweiten Steuerungseinrichtung 11 fehlerhaft ist bzw. auf fehlerhaften Eingangsdaten, nämlich dem Vorendschalter-Signal E und dem Wegsignal S2 beruht, überwacht nun die erste Steuerungseinrichtung 10 ihrerseits die zweite Steuerungseinrichtung 11 dahingehend, ob die anliegenden Signale plausibel sind und mit dem Erfassungsergebnis seitens der ersten Steuerungseinrichtung 10 korrespondieren.
Im Rahmen dieser Plausibilitätsprüfung überprüft die erste Steuerungseinrichtung zunächst, ob das Signal Si angibt, dass der Vorendschalter 15 tatsächlich überfahren wurde. Wenn dem so ist wird überprüft, ob das Vorendschalter-Signal E = 0 ist, das heißt, dass dieses also nicht mehr an der zweiten Steuerungseinrichtung 11 anliegt und der Vorendschalter tatsächlich geöffnet hat. Ferner wird überprüft, ob das an der zweiten Steuerungseinrichtung 11 anliegende Wegsignal S2 dem an der ersten Steuerungseinrichtung 10 anliegenden Wegsignal Sx oder der momentanen Ist-Geschwindigkeit entspricht oder damit korrespondiert. Wenn dem so ist erkennt die erste Steuerungseinrichtung 10, dass der zweiten Steuerungseinrichtung 11 korrekte Signale gegeben werden und mithin an beiden Steuerungseinrichtungen quasi die gleiche Ausgangsbasis zur Ent- scheidung vorhanden ist.
Wie Fig. 2 zeigt werden hierzu von der zweiten Steuerungseinrichtung 11 die Signale E und S2 an die erste Steuerungseinrichtung übertragen, was entweder automatisch und zyklisch oder auf Anfrage von der ersten Steuerungseinrichtung 10 erfolgen kann. Es ist hier ein bidirektionaler Datenaustausch realisiert. Die Arbeits- und damit die Überwachungszyklen beider Steuerungseinrichtungen können gleich oder unterschiedlich sein. Da die erste Steuerungseinrichtung 10 der gesamten Steuerung der Krananlage dient wird sie in der Regel längere Zyklen von z. B. 40ms haben, während die zweite Steuerungseinrichtung 11, die lediglich der Überwachung der ers-
ten Steuerungseinrichtung 10 und zum gegebenenfalls erforderlichen Steuerungseingriff dient, und der ausschließlich sicherheitsrelevante Signale, also nicht sämtliche Signale wie der ersten Steuerungseinrichtung 10 gegeben werden, bei- spielsweise mit einem Zyklus von 6ms arbeitet. Wird beim Ü- berfahren des Vorendschalters eine zu hohe Geschwindigkeit durch die zweite Steuerungseinrichtung 11 festgestellt, so wird unverzüglich über ein zweites Stellglied (hier z. B. ein Schütz während die Steuerungseinrichtung 10 den Umrich- ter/Stromrichter steuert) der Antrieb abgeschaltet.
Auf der anderen Seite kann die erste Steuerungseinrichtung 10 durch die kontinuierliche Überwachung der der zweiten Steuerungseinrichtung 11 gegebenen, in der Regel von den eigentli- chen Sensoren etc. abgenommenen Signale erfassen, ob dort ein Defekt vorliegt. Fällt beispielsweise das Vorendschalter- Signal E in einem Auslegebereich deutlich vor dem Vorendschalter ab, so wird dies im Rahmen der kontinuierlichen Plausibilitätsprüfung erkannt, als Fehler des Vorendschalters 15 erfasst und beispielsweise als Fehlermeldung ausgegeben.
Fig. 2 beschreibt lediglich ein Ausführungsbeispiel. Weitere sicherheitsrelevante Abschaltungen sind z. B. Not-Aus, Not- Halt, die Notendschalterüberwachung, die Überlast- und Schlaffseilüberwachung der Hubwerke, die Überlast- und
Schlaffseilüberwachung der Einziehwerke, die Überdrehzahlüberwachung der Hub- und Einziehwerke, der Kollisionsschutz zwischen Katze bzw. Last- und Drittgegenständen, sowie der Personenschutz. Natürlich besteht auch die Möglichkeit, dass die beiden Steuerungseinrichtungen nicht nur auf ein Betriebselement, wie hier den Umrichter 13 zugreifen, sondern auf mehrere, wenn mehrere Betriebselemente abhängig vom jeweils erkannten Sicherheitsfall zu betätigen sind. Dies ist zweckmäßig um zu vermeiden, dass ein Fehler im Betriebsele- ment zu Problemen führt. Beispielsweise kann die Steuerungseinrichtung 10 so auf den Um- oder Stromrichter zugreifen, die Steuerungseinrichtung 11 auf ein dem Um- oder Stromrich-
ter zugeordneten Schütz. Hat nun der Um- oder Stromrichter einen internen Fehler, so kann er trotz korrekter Funktion der Steuerungseinrichtung 10 (z. B. Reduktion eines Sollwerts etc.) dem nicht folgen. Bei Erkennung des Fehlers kann über die zweite Steuerungseinrichtung der Sicherheitsabschaltung über das Schütz erfolgen.