DE10163010A1 - Verfahren und Vorrichtung zur sicheren Geschwindigkeitsüberwachung - Google Patents

Abstract

Ein System aus zwei Prozessoren ermöglicht, die Ergebnisse kreuzweise zu vergleichen, wobei beide Prozessoren auf unterschiedliche Weise eine Überwachung durchführen. Der zweite Prozessor ermittelt entweder aus den (ohnehin erfassten) Stromistwerten oder aus einer Rekonstruktion der Spannung aus den Ansteuersignalen der Transistoren die aktuelle Ausgangsfrequenz des Umrichters und führt in analoger Weise zum ersten Prozessor eine Grenzwertüberwachung und entsprechende Folgeaktionen bei dessen Überschreitung durch. Ein großer Vorteil besteht in der Tatsache, dass die Funktionalität mit einem sehr geringen zusätzlichen Hardwareaufwand realisiert werden kann. Es ist insbesondere weder nötig, einen zusätzlichen Geber vorzusehen, noch müsssen Teile der Ansteuerung mehrfach realisiert werden. Das Verfahren erkennt aufgrund der Auswertung der Phasenströme darüber hinaus auch Fehler im Leistungsteil. Außerdem können durchziehende Lasten bei geeigneter Projektierung der Anlage beherrscht werden.

Description

Die Erfindung bezieht sich auf ein Verfahren zur sicheren Ge­ schwindigkeitsüberwachung mit einem System aus zwei Prozesso­ ren, die Ergebnisse kreuzweise vergleichen, wobei beide Pro­ zessoren über eine Kommunikationseinrichtung miteinander ver­ bunden sind, sowie auf eine damit korrespondierende Vorrich­ tung.

Der klassische Weg zur Überwachung einer Geschwindigkeits­ grenze führt über den Einsatz eines Gebers, der - zusätzlich zur normalen Drehzahlregelung - eine Überwachung der Drehzahl erlaubt. Eine solche klassische Anordnung ist in der Fig. 3 gezeigt. Ein Prozessor 1 fungiert als eine Regelung 11, der Sollwerte 5 als Eingangsgröße dienen und die über eine Puls­ erzeugung 9 und einen Umrichter 8 eine Maschine 7 ansteuert (hier eine dreiphasige Maschine). Aus den Phasenströmen wer­ den entsprechende Istwerte an die Regelung 11 zurückgeführt. Über den Geber 27 und eine nachgeschaltete Geberauswertung 28 werden Gebersignale an die Regelung 11 sowie an eine zusätz­ liche Einheit 29 zur Fehlererkennung geliefert. Auch die Re­ gelung liefert Werte an die Einheit 29. Hierbei ist das Auf­ treten genau eines Fehlers - Ausfall von Regelung 11 oder Ge­ ber 27 - aufgrund der dann auftretenden Inkonsistenz zwischen Geber- und Regelungsdaten erkennbar.

Soll der Antrieb jedoch geberlos betrieben werden, so gestal­ tet sich die Sachlage komplizierter (vgl. Fig. 4). Ein bekann­ ter Lösungsweg lässt sich hierzu folgendermaßen charakteri­ sieren: man verwendet im wesentlichen zwei identische Struk­ turen, die mit identischen Eingangsdaten versorgt werden, und vergleicht kreuzweise Prozessdaten und Ergebnisse. Wie in Fig. 4 gezeigt werden Sollwerte 5 einmal an den Prozessor 1 mit der Regelung 11 und zugleich an einen zweiten Prozessor 2 mit einer weiteren Regelung 30 geleitet. Ein kreuzweiser Daten­ vergleich erfolgt über eine Kommunikationsverbindung 19 zwi­ schen den beiden Prozessoren 1 und 2. Über eine jeweilige Pulserzeugung 9 und 31 werden Ansteuersignale generiert, die eingangsseitig einer Einheit 32 zur logischen Verknüpfung und Identifikation von Abweichungen zugeführt werden. Hier ist somit der komplette Steuersatz redundant ausgeführt, die bei­ den resultierenden Sätze von Ansteuersignalen für die Tran­ sistoren des Umrichters 8 werden logisch verknüpft und so auf Fehler untersucht. Zur Ansteuerung der Transistoren werden nur die Signale des ersten Steuersatzes bzw. der ersten Puls­ erzeugung 9 herangezogen. Der Umrichter steuert die Maschine 7, wobei ebenfalls aus den Phasenströmen entsprechende Ist­ werte an die Regelung 11 zurückgeführt werden.

Diese Vorgehensweise erlaubt die Identifikation einer Fehl­ funktion in den genannten Strukturen und ist in der DE 195 17 377 detailliert beschrieben. Das Problem durchziehen­ der Lasten wird bei dieser bekannten Lösung nicht beherrscht.

Aufgabe der vorliegenden Erfindung ist es daher, eine sicher reduzierte Geschwindigkeit zu realisieren. Dabei ist "sicher im Sinne der 1-Fehler-Sicherheit zu verstehen. Insbesondere soll dabei sichergestellt werden, dass der gesetzte Geschwin­ digkeitsgrenzwert auch bei Auftreten genau eines Fehlers im System nicht überschritten wird. Eine weitere Aufgabe ist, dass der Fehler darüber hinaus erkannt wird und zu einer si­ cheren Abschaltung des Antriebes führt.

Gemäß der vorliegenden Erfindung wird diese Aufgabe durch ein Verfahren zur sicheren Geschwindigkeitsüberwachung mit einem System aus zwei Prozessoren gelöst, die Ergebnisse kreuzweise vergleichen, wobei beide Prozessoren über eine Kommunikati­ onseinrichtung miteinander verbunden sind und die beiden Pro­ zessoren auf unterschiedliche Weise eine Überwachung durch­ führen.

Nach einer ersten vorteilhaften Ausgestaltung des Verfahrens nach der Erfindung arbeitet der erste Prozessor einen jeweils regulären Regelungsalgorithmus ab und führt anhand eines ge­ schätzten oder gemessenen Drehzahlwertes die gewünschte Über­ wachung auf Überschreitung der Drehzahlgrenze und/oder ent­ sprechende Folgereaktionen durch und der zweite Prozessor er­ mittelt aus den Stromistwerten die aktuelle Ausgangsfrequenz eines zugeordneten Umrichters und führt dementsprechend ana­ log zum ersten Prozessor eine Grenzwertüberwachung und/oder entsprechende Folgereaktionen bei dessen Überschreitung durch.

Dabei hat es sich als günstig erwiesen, wenn zur Ermittlung der Ausgangsfrequenz aus mindestens zwei gemessenen Phasen­ strömen ein Stromraumzeiger bestimmt wird und die aktuelle Ausgangsfrequenz aus der zeitlichen Ableitung des Winkels des Stromraumzeigers ermittelt wird. Vorteilhaft erfolgt vor der Durchführung einer zeitlichen Ableitung eine Tiefpassfilte­ rung.

Eine alternative Ausgestaltung zeichnet sich dadurch aus, dass der erste Prozessor einen jeweils regulären Regelungsal­ gorithmus abarbeitet und anhand eines geschätzten oder gemes­ senen Drehzahlwertes die gewünschte Überwachung auf Über­ schreitung der Drehzahlgrenze und/oder entsprechende Folgere­ aktionen durchführt und der zweite Prozessor aus einer Rekon­ struktion der Spannung der Ansteuersignale des Systems die aktuelle Ausgangsfrequenz eines zugeordneten Umrichters er­ mittelt und dementsprechend analog zum ersten Prozessor eine Grenzwertüberwachung und/oder entsprechende Folgereaktionen bei dessen Überschreitung durchführt.

In diesem Fall hat es sich günstig erwiesen, wenn eine Rekon­ struktion der Spannung der Ansteuersignale des Systems durch deren geeignete Filterung erfolgt, insbesondere durch Filte­ rung mit einem P-T1-Glied mit einer Grenzfrequenz, die über der maximalen Ausgangsfrequenz und unter der Pulsfrequenz des Umrichters liegt.

Vorteilhaft werden die Ansteuersignale von lediglich zwei Stromventilen in unterschiedlichen Zweigen einer Brücke des Umrichters ausgewertet. Es ist aber auch eine Auswertung von mehr als zwei Transistoren möglich.

Zur sicheren Geschwindigkeitsüberwachung einer Synchronma­ schine wird gemäß der Erfindung eine aktuelle Drehzahl gleich der ermittelten Ausgangsfrequenz angenommen und ein außer Tritt Fallen wird anhand hoher Ausgleichsströme erkannt, wor­ auf eine Abschaltung des Umrichters erfolgt.

Zur sicheren Geschwindigkeitsüberwachung einer Asynchronma­ schine im generatorischen Betrieb wird die Asynchronmaschine derart ausgelegt, dass mit der durchziehenden Last einherge­ hende Drehmomente auch von der zweiphasig betriebenen Asyn­ chronmaschine noch beherrscht werden.

In allen Fällen hat es sich als günstig herausgestellt, wenn ein Drehzahlsollwert mit dem ersten und dem zweiten Prozessor zweikanalig auf einen vorgegebenen Grenzwert limitiert wird.

Eine weitere vorteilhafte Ausgestaltung des Verfahrens gemäß der Erfindung zeichnet sich dadurch aus, dass beide Prozesso­ ren auf der Grundlage einer gemeinsamen Zeitbasis arbeiten, wobei in beiden Prozessoren über jeweilige Zeitgeber jeweili­ ge Taktsignale erzeugt werden, die dem jeweils anderen Pro­ zessor zum Vergleich mit einem Nominalwert bereitgestellt werden, wobei im Fall einer Abweichung, insbesondere einer Abweichung größer einer vorgegebenen Toleranzschwelle, ein sicherer Halt herbeigeführt wird.

Ferner wird die Aufgabe der Erfindung durch eine Einrichtung zur sicheren Geschwindigkeitsüberwachung mit einem System aus zwei Prozessoren gelöst, in dem Prozessergebnisse kreuzweise miteinander vergleichbar sind, wobei beide Prozessoren über eine Kommunikationseinrichtung miteinander in Verbindung ste­ hen und der erste und der zweite Prozessor derart program­ miert sind, dass die Überwachung auf unterschiedliche Weise durchführbar ist.

Eine erste vorteilhafte Ausführungsform der erfindungsgemäßen Einrichtung zeichnet sich dadurch aus, dass durch den ersten Prozessor ein regulärer Regelungsalgorithmus abarbeitbar ist und dass anhand eines geschätzten oder auch gemessenen Dreh­ zahlwertes die gewünschte Überwachung auf Überschreitung der Drehzahl durchführbar ist, und dass durch den zweiten Prozes­ sor aus den Stromistwerten die jeweils aktuelle Ausgangsfre­ quenz eines Umrichters des Systems ermittelbar ist und dass in analoger Weise zum ersten Prozessor eine Grenzwertüberwa­ chung und/oder entsprechende Folgereaktionen bei dessen Über­ schreitung durchführbar sind.

Eine alternative vorteilhafte Ausführungsform zeichnet sich dadurch aus, dass durch den ersten Prozessor ein regulärer Regelungsalgorithmus abarbeitbar ist und dass anhand eines geschätzten oder auch gemessenen Drehzahlwertes die gewünsch­ te Überwachung auf Überschreitung der Drehzahl durchführbar ist, und dass durch den zweiten Prozessor aus einer Rekon­ struktion der Spannung aus den Ansteuersignalen zugeordneter Transistoren die jeweils aktuelle Ausgangsfrequenz eines Um­ richters des Systems ermittelbar ist und dass in analoger Weise zum ersten Prozessor eine Grenzwertüberwachung und/oder entsprechende Folgereaktionen bei dessen Überschreitung durchführbar sind.

Besonders vorteilhaft lässt sich die Erfindung auf der Grund­ lage einer numerischen Steuerung realisieren, indem ein Rege­ lungsprozessor der Steuerung als erster Prozessor dient und ein für eine Kommunikationsanbindung vorgesehener Kommunika­ tionsprozessor als zweiter Prozessor dient oder umgekehrt.

Ein großer Vorteil des geschilderten Verfahrens ist die Tat­ sache, dass die Funktionalität "sicher reduzierte Ge­ schwindigkeit" mit einem sehr geringen zusätzlichen Hardware­ aufwand realisiert werden kann. Es ist insbesondere weder nö­ tig, einen zusätzlichen Geber vorzusehen, noch müssen Teile der Ansteuerung mehrfach realisiert werden. Das Verfahren er­ kennt aufgrund der Auswertung der Phasenströme darüber hinaus auch Fehler im Leistungsteil. Außerdem können durchziehende Lasten bei geeigneter Projektierung der Anlage beherrscht werden.

Weitere Vorteile und Details der Erfindung ergeben sich an­ hand der Beschreibung zweier Ausführungsbeispiele und in Ver­ bindung mit den Figuren. Es zeigen jeweils in Prinzipdarstel­ lung:

Fig. 1 ein Blockschaltbild einer Einrichtung zur sicheren Geschwindigkeitsüberwachung nach der Erfindung unter Einsatz einer Strommessung,

Fig. 2 ein Blockschaltbild einer Einrichtung zur sicheren Geschwindigkeitsüberwachung nach der Erfindung unter Einsatz einer Spannungsauswertung,

Fig. 3 eine herkömmliche Überwachungsstruktur mit Geber und

Fig. 4 eine bekannte geberlose Überwachungsstruktur.

Ein zentrales Element der Erfindung ist eine Struktur aus zwei Prozessoren wie sie im vorangehenden beschrieben wurde, die jedoch im Gegensatz zu den bisherigen Lösungsansätzen auf unterschiedliche Weise die Überwachung der Geschwindigkeits­ grenze durchführen und die Ergebnisse kreuzweise vergleichen. Die beiden Darstellungen nach Fig. 1 und Fig. 2 zeigen zwei mögliche Ausführungsformen der Erfindung in Form von Block­ schaltbildern.

Die beiden Prozessoren 1 und 2 sind über eine Kommunikations­ einrichtung 19 verbunden. Dies kann eine parallele oder auch eine (nicht notwendigerweise sichere) serielle Verbindung sein. Die Prozessoren 1 und 2 müssen nicht notwendig in räum­ licher Nähe zueinander angeordnet sein. Beide Prozessoren werden von einer überlagerten Steuerung 3 angesteuert und mit Sollwerten 5 beaufschlagt. Außerdem werden Sicherheitsparame­ ter 6 an den jeweiligen Prozessoren zugeordnete Überwachungs­ einheiten 13 und 14 geleitet. Diese Überwachungseinheiten dienen zur Auslösung eines sicheren Halts 10 sowie von Brems­ kommandos 22 und 23, welche über die jeweiligen Regelungsein­ heiten 11 und 12 ausgeführt werden. Eine Ansteuerung von Pulserzeugung 9, Umrichter 8 und Maschine 7 erfolgt in den Ausführungsbeispielen nur durch den ersten Prozessor 1. Ein Gebersystem 27 kann optional vorhanden sein, wird jedoch für die Funktion nach der Erfindung nicht benötigt.

Der erste Prozessor 1 arbeitet den regulären Regelungsalgo­ rithmus der Regelung 11 ab und führt anhand eines geschätzten oder auch gemessenen Drehzahlwertes (z. B. Schätzwert 24 der Ständerfrequenz) die gewünschte Überwachung 13 auf Über­ schreitung der Drehzahlgrenze durch. Bei Überschreitung der Grenze wird zunächst das Kommando 22 "Bremsen an die Rege­ lung 11 gegeben und entweder bei Erreichen der Drehzahl 0 oder sobald feststellbar ist, dass keine ausreichende Brems­ wirkung erzielt werden kann, ein Eintritt in den sicheren Halt 10 eingeleitet.

Der zweite Prozessor 2 ermittelt entweder aus den (ohnehin erfassten) Stromistwerten (vgl. Fig. 1) oder aus einer Rekon­ struktion der Spannung aus den Ansteuersignalen der Transis­ toren (vgl. Fig. 2) die aktuelle Ausgangsfrequenz des Umrich­ ters und führt in analoger Weise zum ersten Prozessor 1 eine Grenzwertüberwachung 14 und entsprechende Folgeaktionen bei dessen Überschreitung durch.

Zur Ermittlung der Ausgangsfrequenz im Prozessor 2, bei­ spielsweise auf Basis der gemessenen Ströme wie in Fig. 1 ge­ zeigt, wird aus den (in der Regel zwei) gemessenen Phasen­ strömen der Stromraumzeiger errechnet. Dazu werden die Pha­ senströme zyklisch abgetastet und die Messwerte digitali­ siert. Die zeitliche Ableitung des Winkels des Stromraumzei­ gers entspricht gerade der gesuchten Ausgangsfrequenz. Zur Vermeidung von Problemen bei der Differentiation können noch geeignete Tiefpassfilterungen der einzelnen Signale vorgenom­ men werden. Diese Maßnahmen erfolgen in einer Einheit 12 zur Ermittlung der Signalfrequenz und zur Überwachung der Signale auf Plausibilität, die einen Messwert 25 der Ständerfrequenz an die Überwachungseinheit 14 liefert. Die Messung von zwei Phasenströmen erlaubt zudem eine Auswertung der Phasenbezie­ hung der beiden Ströme, so dass der Ausfall einer der drei Phasen detektiert werden kann. Fehler im Leistungsteil werden also mit erfasst.

Alternativ können die Spannungssignale ausgewertet werden wie in dem Ausführungsbeispiel nach Fig. 2 gezeigt. Die Anordnung entspricht, abgesehen von der Ermittlung der Ausgangsfre­ quenz, im wesentlichen der aus Fig. 1. Dazu werden aus den von der Pulserzeugung 9 gelieferten Ansteuersignalen der Transis­ toren die zugehörigen Spannungen durch eine geeignete Filte­ rung rekonstruiert. Dazu genügen zwei in unterschiedlichen Zweigen der Bücke angeordnete Transistoren.

Als Filter 32 kann im einfachsten Fall ein P-T1-Glied mit ei­ ner hinreichend niedrigen Grenzfrequenz (größer als maximale Ausgangsfrequenz, deutlich kleiner als die Pulsfrequenz) ver­ wendet werden. Da nur die Ansteuersignale der Transistoren zur Auswertung herangezogen werden, können bei diesem Verfah­ ren keine Fehler im Leistungsteil ermittelt werden. Hier er­ folgt die Erkennung jedoch im Rahmen der Regelungs- und Schutzmechanismen des Umrichters 8, da diese eine Auswertung der aktuell fließenden Ströme umfassen.

Eine Überwachung der Ausgangsfrequenz als Maß für die wirkli­ che Drehzahl des Motors ist aus den folgenden Gründen zuläs­ sig:

• - bei Synchronmaschinen ist die (elektrische) Drehzahl gerade gleich der Frequenz der Ausgangsspannung; sollte die Ma­ schine außer Tritt gefallen sein, so wird dieser Fehlerzu­ stand aufgrund der hohen Ausgleichsströme erkannt und der Umrichter abgeschaltet
• - bei Asynchronmotoren unterscheidet sich die (elektrische) Drehzahl um den Schlupf von der Ausgangsfrequenz des Um­ richters; dabei ist im motorischen Betrieb die Drehzahl stets kleiner als die Frequenz der Spannung, insofern also vom Sicherheitsstandpunkt unproblematisch; generatorischer Betrieb führt zu einem im Rahmen der Projektierung bekann­ ten maximalen übersynchronen Betriebszustand, der durch ge­ eignete Wahl des Grenzwertes beherrschbar bleibt
• - tritt bei einer Asynchronmaschine ein Drahtbruch auf, so verfügt sie über ein geringeres Drehmoment als im Normalbe­ trieb; es kann also im motorischen Betrieb keine höhere Drehzahl auftreten als im fehlerfreien Betrieb; generatori­ sche Betriebszustände können unter Umständen zu einer Über­ schreitung der zulässigen Grenzdrehzahl führen, da das Mo­ ment der Maschine nicht mehr ausreicht, um eine durchzie­ hende Last zu bremsen; die Verwendung von durchziehenden Lasten muss daher auf Drehmomente beschränkt bleiben, die auch von der zweiphasig betriebenen Maschine noch be­ herrscht werden. Dies ist bei der Projektierung der Anlage zu beachten. Unter dieser Voraussetzung können beim vorlie­ genden Verfahren durchziehende Lasten beherrscht werden. Zur sicheren Erkennung des Fehlers muss dabei die Strommes­ sung zum Einsatz kommen.

Bei Aktivierung der Funktion 26 "sicher reduzierte Geschwin­ digkeit" erfolgt eine Aktivierung 33 der Überwachungen 13 und 14 und es wird zudem der Drehzahlsollwert zweikanalig (einmal im Prozessor 2, danach nochmals im Prozessor 1) auf den Grenzwert limitiert (Begrenzungen 20 und 21 mit Aktivierung 34), so dass die Regelung zuverlässig einen korrekten Soll­ wert erhält.

Wird die sicher reduzierte Geschwindigkeit von einer höheren als der Grenzdrehzahl aus aktiviert, so muss zunächst ein Bremsvorgang auf die Grenzdrehzahl hin erfolgen. Dabei kann permanent überwacht werden, ob der Motor 7 wirklich mit der gewünschten Rate verzögert, und im Abweichungsfall sofort der sichere Halt 10 eingelegt werden.

Grundlage der funktionierenden Zusammenarbeit zwischen den beiden Prozessoren 1 und 2 ist die korrekte Funktion der Zeitbasen. Daher werden in beiden Prozessoren mittels jeweils zugeordneten Timern 15 und 16 Taktsignale erzeugt, die dem jeweils anderen Prozessor zur Auswertung zur Verfügung ge­ stellt werden. Dieser ermittelt die Periodendauer des Signals (Einheiten 17 und 18) und vergleicht sie mit dem bekannten Normalwert. Ist die Abweichung größer als eine Toleranzgren­ ze, so ist eine der Zeitbasen verstimmt, und es muss der si­ chere Halt 10 herbeigeführt werden.

Zusätzlich zu den genannten Sicherheitsfunktionen kann eine optionale übergeordnete Steuerung 3 zyklisch die relevanten Sicherheitsparameter in beiden Prozessoren prüfen und ggf. den Antrieb stillsetzen.

Als spezielle Ausführungsform verwendet man als Prozessor 1 den ohnehin für die Regelung vorhandenen Prozessor und für Prozessor 2 den (ebenfalls ohnehin vorhandenen) Kommunikati­ onsprozessor, welcher für eine Feldbusanbindung 4 zuständig ist.

Als Alternative zu der voranstehend beschriebenen Ausfüh­ rungsform gemäß der Erfindung, bei der zwei Prozessoren nicht näher bestimmten Typs, also auch gleichen Typs, die Überwa­ chung auf unterschiedliche Weise ausführen, lassen sich auch zwei unterschiedliche Prozessoren, also mit unterschiedlicher Bauart oder von verschiedenen Herstellern - einsetzen, die dann auf unterschiedliche oder aber auch auf gleiche Weise eine Überwachung vornehmen können. Indem beispielsweise beide Prozessoren dieselbe Überwachung in gleicher Weise durchfüh­ ren und dabei Prozessoren unterschiedlichen Typs zum Einsatz kommen, lassen sich Auswirkungen systematischer Fehler eines Prozessortyps eliminieren.

Claims (15)

1. Verfahren zur sicheren Geschwindigkeitsüberwachung mit ei­ nem System aus zwei Prozessoren, die Ergebnisse kreuzweise vergleichen, wobei beide Prozessoren über eine Kommuni­ kationseinrichtung miteinander verbunden sind, dadurch gekennzeichnet, dass die beiden Prozessoren auf unterschiedliche Weise eine Überwachung durchführen.

2. Verfahren zur sicheren Geschwindigkeitsüberwachung mit ei­ nem System aus zwei Prozessoren nach Anspruch 1, da­ durch gekennzeichnet, dass
der erste Prozessor einen jeweils regulären Regelungsalgo­ rithmus abarbeitet und anhand eines geschätzten oder ge­ messenen Drehzahlwertes die gewünschte Überwachung auf Überschreitung der Drehzahlgrenze und/oder entsprechende Folgereaktionen durchführt und
der zweite Prozessor aus den Stromistwerten die aktuelle Ausgangsfrequenz eines zugeordneten Umrichters ermittelt und dementsprechend analog zum ersten Prozessor eine Grenz­ wertüberwachung und/oder entsprechende Folgereaktionen bei dessen Überschreitung durchführt.

3. Verfahren zur sicheren Geschwindigkeitsüberwachung mit ei­ nem System aus zwei Prozessoren nach Anspruch 2, da­ durch gekennzeichnet, dass zur Ermitt­ lung der Ausgangsfrequenz aus mindestens zwei gemessenen Pha­ senströmen ein Stromraumzeiger bestimmt wird und die aktuelle Ausgangsfrequenz aus der zeitlichen Ableitung des Winkels des Stromraumzeigers ermittelt wird.

4. Verfahren zur sicheren Geschwindigkeitsüberwachung mit ei­ nem System aus zwei Prozessoren nach Anspruch 3, da­ durch gekennzeichnet, dass vor der Durchführung einer zeitlichen Ableitung eine Tiefpassfilte­ rung erfolgt.

5. Verfahren zur sicheren Geschwindigkeitsüberwachung mit ei­ nem System aus zwei Prozessoren nach Anspruch 1, da­ durch gekennzeichnet, dass
der erste Prozessor einen jeweils regulären Regelungsalgo­ rithmus abarbeitet und anhand eines geschätzten oder gemes­ senen Drehzahlwertes die gewünschte Überwachung auf Über­ schreitung der Drehzahlgrenze und/oder entsprechende Folge­ reaktionen durchführt und
der zweite Prozessor aus einer Rekonstruktion der Spannung der Ansteuersignale des Systems die aktuelle Ausgangsfre­ quenz eines zugeordneten Umrichters ermittelt und dement­ sprechend analog zum ersten Prozessor eine Grenzwertüberwa­ chung und/oder entsprechende Folgereaktionen bei dessen Überschreitung durchführt.

6. Verfahren zur sicheren Geschwindigkeitsüberwachung mit ei­ nem System aus zwei Prozessoren nach Anspruch 5, da­ durch gekennzeichnet, dass eine Rekon­ struktion der Spannung der Ansteuersignale des Systems durch deren geeignete Filterung erfolgt, insbesondere durch Filte­ rung mit einem P-T1-Glied mit einer Grenzfrequenz, die über der maximalen Ausgangsfrequenz und unter der Pulsfrequenz des Umrichters liegt.

7. Verfahren zur sicheren Geschwindigkeitsüberwachung mit ei­ nem System aus zwei Prozessoren nach Anspruch 5 oder 6, dadurch gekennzeichnet, dass die An­ steuersignale von mindestens zwei Stromventilen in unter­ schiedlichen Zweigen einer Brücke des Umrichters ausgewertet werden.

8. Verfahren zur sicheren Geschwindigkeitsüberwachung einer Synchronmaschine mit einem System aus zwei Prozessoren nach einem der vorangehenden Ansprüche, dadurch ge­ kennzeichnet, dass eine aktuelle Drehzahl gleich der ermittelten Ausgangsfrequenz angenommen wird und ein außer Tritt Fallen anhand hoher Ausgleichsströme erkannt wird, worauf eine Abschaltung des Umrichters erfolgt.

9. Verfahren zur sicheren Geschwindigkeitsüberwachung einer Asynchronmaschine im generatorischen Betrieb mit durchziehen­ der Last mit einem System aus zwei Prozessoren nach einem der vorangehenden Ansprüche 1 bis 4, dadurch ge­ kennzeichnet, dass die Asynchronmaschine derart ausgelegt wird, dass mit der durchziehenden Last einhergehen­ de Drehmomente auch von der zweiphasig betriebenen Asynchron­ maschine noch beherrscht werden.

10. Verfahren zur sicheren Geschwindigkeitsüberwachung mit einem System aus zwei Prozessoren nach einem der vorangehen­ den Ansprüche, dadurch gekennzeichnet, dass ein Drehzahlsollwert mit dem ersten und dem zweiten Pro­ zessor zweikanalig auf einen vorgegebenen Grenzwert limitiert wird.

11. Verfahren zur sicheren Geschwindigkeitsüberwachung mit einem System aus zwei Prozessoren nach einem der vorangehen­ den Ansprüche, dadurch gekennzeichnet dass beide Prozessoren auf der Grundlage einer gemeinsamen Zeitbasis arbeiten, wobei in beiden Prozessoren über jeweili­ ge Zeitgeber jeweilige Taktsignale erzeugt werden, die dem jeweils anderen Prozessor zum Vergleich mit einem Nominalwert bereitgestellt werden, wobei im Fall einer Abweichung, insbe­ sondere einer Abweichung größer einer vorgegebenen Toleranz­ schwelle, ein sicherer Halt herbeigeführt wird.

12. Einrichtung zur sicheren Geschwindigkeitsüberwachung mit einem System aus zwei Prozessoren, in dem Prozessergebnisse kreuzweise miteinander vergleichbar sind, wobei beide Prozes­ soren über eine Kommunikationseinrichtung miteinander in Ver­ bindung stehen, dadurch gekennzeichnet, dass der erste und der zweite Prozessor derart programmiert sind, dass die Überwachung auf unterschiedliche Weise durch­ führbar ist.

13. Einrichtung zur sicheren Geschwindigkeitsüberwachung mit einem System aus zwei Prozessoren nach Anspruch 12, da­ durch gekennzeichnet, dass
durch den ersten Prozessor ein regulärer Regelungsalgorith­ mus abarbeitbar ist und dass anhand eines geschätzten oder auch gemessenen Drehzahlwertes die gewünschte Überwachung auf Überschreitung der Drehzahl durchführbar ist, und dass
durch den zweiten Prozessor aus den Stromistwerten die je­ weils aktuelle Ausgangsfrequenz eines Umrichters des Sys­ tems ermittelbar ist und dass in analoger Weise zum ersten Prozessor eine Grenzwertüberwachung und/oder entsprechende Folgereaktionen bei dessen Überschreitung durchführbar sind.

14. Einrichtung zur sicheren Geschwindigkeitsüberwachung mit einem System aus zwei Prozessoren nach Anspruch 12, da­ durch gekennzeichnet, dass
durch den ersten Prozessor ein regulärer Rege­ lungsalgorithmus abarbeitbar ist und dass anhand eines ge­ schätzten oder auch gemessenen Drehzahlwertes die gewünsch­ te Überwachung auf Überschreitung der Drehzahl durchführbar ist, und dass
durch den zweiten Prozessor aus einer Rekonstruktion der Spannung aus den Ansteuersignalen zugeordneter Transistoren die jeweils aktuelle Ausgangsfrequenz eines Umrichters des Systems ermittelbar ist und dass in analoger Weise zum ers­ ten Prozessor eine Grenzwertüberwachung und/oder entspre­ chende Folgereaktionen bei dessen Überschreitung durchführ­ bar sind.

15. Numerische Steuerung mit einer Einrichtung zur sicheren Geschwindigkeitsüberwachung mit einem System aus zwei Prozes­ soren nach einem der Ansprüche 12 bis 14, dadurch gekennzeichnet, dass ein Regelungsprozessor der Steuerung als erster Prozessor dient und ein für eine Kommunikationsanbindung vorgesehener Kommunikationsprozessor als zweiter Prozessor dient oder umgekehrt.