-
Die
vorliegende Erfindung betrifft ein Verfahren und eine korrespondierende
Vorrichtung zur Bewegungsüberwachung.
Verfahren und Vorrichtungen zur Bewegungsüberwachung sind an sich bekannt. Eine
solche Bewegungsüberwachung
erfolgt üblicherweise
mittels einer Gebereinrichtung, welche ein Gebersystem darstellt.
-
Gebereinrichtungen
sind insbesondere im technischen Gebiet der Sicherheit bei der Antriebs- und
Steuerungstechnik für
z. B. Werkzeugmaschinen oder Produktionsmaschinen, etc., von Bedeutung.
In einer Maschine dient ein Motor z. B. zur Änderung der Lage und Geschwindigkeit
oder Drehgeschwindigkeit eines Werkzeugs. Um eine solche Lage oder Geschwindigkeit
zu erfassen, sind direkt am Motor z. B. magnetische oder optische
Gebersysteme angeordnet. Beispielsweise umfassen optische Gebersysteme
eine Leuchtdiode, welche über
eine mit Schlitzen versehene Glasscheibe, die sich mit dem Motor dreht,
Licht zu zwei Phototransistoren sendet. Die Signale der Phototransistoren
sind die Ausgangssignale des Gebersystems und sind insbesondere
sinus- und kosinusförmig.
Diese Signale müssen
so ausgewertet werden, dass sich zumindest einen Lageistwert für das Werkzeug
ergibt. Ferner sollte sich aus der Lage und der Abtastzeit auch
die Drehzahl oder Geschwindigkeit des Werkzeugs bestimmen lassen. Der
Lagesollwert ist durch die Geometrie des zu bearbeitenden Werkstücks vorgegeben.
Die Lageregelung verwendet den Lageistwert zur Einstellung des Lagesollwerts.
-
Zur
Erzeugung des Lageistwerts werden die Sinus- und Kosinuskurven mittels
dafür vorgesehener
Elektronik interpoliert. Ein Analog-Digital-Wandler wandelt die
analogen Signale in digitale Signale um, und es wird die Zahl der
Null-Durchgänge
der Sinus- bzw. Kosinuskurven ermittelt, um festzustellen, die wievielte
Sinus- bzw. Kosinuskurve gegenwärtig von
dem Gebersystem ausgegeben wird. Zur Feinermittlung des Winkels
wird der Sinus durch den Kosinus geteilt und von diesem Wert der
Arcustangens ermittelt. Wenn die mit Schlitzen versehene Glasscheibe
z. B. 2.048 Schlitze umfasst, erhält man pro Umdrehung des Motors
2.048 Sinus- bzw. Kosinuskurven. Der Arcus Tangens kann abermals
in z. B. 2.048 Einzelschritte aufgelöst sein. Es ergeben sich somit
pro Umdrehung des Motors ca. vier Millionen mögliche Informationen.
-
Um
eine eventuell vorhandene Störanfälligkeit
der Elektronik zu reduzieren, ist die Auswertung zweier Kanäle vorgesehen.
Dabei werden die Signale von dem Geber unabhängig voneinander in zwei gleichartigen
Kanälen
aufbereitet. Der von einem Kanal ermittelte Lageistwert wird mit
dem Lageistwert verglichen, der in dem anderen Kanal ermittelt wird. Stimmen
die Lageistwerte innerhalb bestimmter Toleranzen überein,
wird der Lageistwert eines der beiden Kanäle als Ausgangssignal verwendet.
Stimmen die Lageistwerte der beiden Kanäle nicht miteinander überein,
erfolgt eine Fehlermeldung. Da in einem solchen Fall die Lageregelung
nicht mehr zuverlässig arbeiten
kann, wird die Maschine als Ganzes angehalten.
-
Eine
Aufgabe der Erfindung besteht darin, eine einfache und sichere Bewegungsüberwachung in
Form einer diesbezüglichen
Vorrichtung und eines korrespondierenden Verfahrens anzugeben.
-
Zur
Lösung
der Aufgabe ist bei einem Verfahren zur Bewegungsüberwachung
einer Maschine, welche einen Geber aufweist, wobei ein Gebersignal vom
Geber zu einer Steuerung übertragen
wird, vorgesehen, dass als Steuerung eine fehlersichere Steuerung
verwendet wird. Die o.g. Aufgabe wird ebenfalls mit einer Vorrichtung
zur Bewegungsüberwachung
mit Mitteln zur Durchführung
des o.g. Verfahrens gelöst.
Insbesondere ist dazu eine Vorrichtung mit einem Motor, genau einem
Geber für
den oder einen Motor, einer Antriebseinrichtung für den oder
einen Motor, einer der Antriebseinrichtung zugeordneten fehlersicheren
Steuerung, vorgesehen, bei der ein vom Geber ge nerierbares Gebersignal
zumindest durch die fehlersicheren Steuerung verarbeitbar ist, die
dazu eine redundant ausgeführte Überwachungseinrichtung
aufweist, wobei durch die redundant ausgeführte Überwachungseinrichtung ein
erster oder zweiter Abschalteweg aktivierbar ist.
-
Die
abhängigen
Ansprüche
sind auf bevorzugte Ausführungsformen
der vorliegenden Erfindung gerichtet.
-
In
Unteransprüchen
verwendete Rückbeziehungen
weisen auf die weitere Ausbildung des Gegenstandes des Hauptanspruches
durch die Merkmale des jeweiligen Unteranspruches hin; sie sind nicht
als ein Verzicht auf die Erzielung eines selbständigen, gegenständlichen
Schutzes für
die Merkmalskombinationen der rückbezogenen
Unteransprüche
zu verstehen. Des Weiteren ist im Hinblick auf eine Auslegung der
Ansprüche
bei einer näheren Konkretisierung
eines Merkmals in einem nachgeordneten Anspruch davon auszugehen,
dass eine derartige Beschränkung
in den jeweils vorangehenden Ansprüchen nicht vorhanden ist.
-
Ein
mögliches
Einsatzgebiet der Erfindung ist eine Pressensteuerung, wobei eine
Presse ein Beispiel für
eine Produktionsmaschine ist. Die sichere Bewegungsüberwachung
mit insbesondere nur einem Geber, dient beispielsweise dem Schutz
eines Bedieners einer Maschine vor Gefahr bringenden Bewegungen,
insbesondere bei manuellen Eingriffen. Dabei kann eine Überwachung
auf sicher reduzierte Geschwindigkeit, Drehrichtung und/oder sicheren
Betriebshalt von Bedeutung sein. Wichtig ist auch eine sichere Abschaltung
im Antrieb (sicherer Halt) bei elektrischen Achsen oder auch bei
elektrischen oder hydraulischen Antrieben.
-
Zur
Gewährleistung
einer sicheren Erfassung einer Ist-Drehzahl wurden bislang die Geber
redundant ausgelegt. Dies hat hohe Kosten, einen erhöhten Platzbedarf
und Verdrahtungsaufwand zur Folge. Zur sicheren Auswertung ist eine
sichere Auswertungsüberwachung
der Drehzahl mit einem Überwachungs-/Auswertegerät notwendig.
Derartige Geräte
sind bislang externe Geräte.
Dies hat den Nachteil, dass eine zusätzliche Programmierung mit
einem zusätzlichen
Programmiertool notwendig ist.
-
Vorteilhaft
ist gemäß der Erfindung
die Überwachung
bzw. die Auswertung in eine bereits anderweitig genutzte Automatisierungseinrichtung
integriert. Diese Automatisierungseinrichtung wird beispielsweise
für eine
Regelung eines Antriebes oder auch für eine Steuerung eines Prozesses
verwendet.
-
Gegenüber einer
fehlersicheren Steuerungseinrichtung, welche für Steuerungs- und/oder Regelungsaufgaben
vorgesehen und als Überwachungseinrichtung
einsetzbar ist, haben Systeme mit redundanten Steuerungseinrichtungen
den Nachteil einer notwendigen doppelten Programmierung und der Synchronisierung
der Steuerungseinrichtungen.
-
Gemäß einer
Ausführungsform
der Erfindung erfolgt die Bewegungsüberwachung in einem Antriebsgerät, welches
auch als Überwachungseinrichtung
fungiert.
-
Die Überwachungseinrichtung
ist beispielsweise eine fehlersichere speicherprogrammierbare Steuerung
(F-SPS). Eine solche F-SPS kann darüber hinaus auch zur Ausführung weiterer
Steuerung-, Regelungs- und Überwachungsfunktionen
ausgebildet sein. Die F-SPS ist oftmals bereits in einer Maschine
vorhanden. Die F-SPS kann zusätzlich
für sichere
Bewegungsüberwachung
genutzt werden. Eine sichere Abschaltung im Antrieb erfolgt z. B. über eine
sichere E/A Ansteuerung.
-
Vorteilhaft
sind auch einzelne oder mehrerer der folgenden Funktionen
- – sichere
Erfassung der Ist-Drehzahl
- – Übertragung
der redundanten Istwerte über
ein gesichertes Telegramm an die F-SPS (sicherer Istwert wird für andere
Aufgaben im Antriebsgerät erzeugt
und gespeichert)
- – schnelle
Fehlerreaktion
- – zusätzliche
Drehzahlüberwachung
auch in der integrierten Steuerung des Antriebsgeräts (reagiert
bei fehlerfreier HW/SW früher
als die F-SPS; Schnellabschaltung über das Antriebstelegramm
implementiert.
-
Als
Vorteil der Erfindung und/oder von Ausgestaltungen der Erfindung
ergibt sich insbesondere:
- – „integrierte Lösung": keine zusätzliche
Steuerung oder ext. Überwachungsgerät
- – einheitliche
Programmierung von sicherer Logik und Bewegungsüberwachung
- – Synchronisierung
von sicherer Logik und Bewegungsüberwachung
- – nur
ein (Sin/Cos) Geber
- – unterlagerte „Schnellabschaltung"
-
Ein
System zur sicheren Bewegungsüberwachung
kann wie folgt ausgestaltet sein:
System zur sicheren Drehzahlüberwachung
(insbesondere bei Produktionsmaschinen oder bei Pressensteuerungen)
eines drehzahlveränderbaren
Antriebs welches aufweist:
- a) Überwachung
der Motordrehzahl mittels einer fehlersicheren SPS
- b) Sichere Erfassung der Ist-Drehzahl mit nur einem Geber
- C) Fehlersichere Übertragung
der Ist-Drehzahl über
einen Feldbus
- d) Sichere Abschaltung des Motors über fehlersichere Ein-/Ausgabeklemmen der
SPS (insbesondere F-SPS)
-
Vorteilhaft
erfolgt zusätzlich
eine gleichzeitige Überwachung
der Motordrehzahl im Antriebsgerät zur
Realisierung einer Schnellabschaltung
-
Vorteilhaft
ist die F-SPS in das Antriebsgerät integriert.
-
Vorteilhaft
ist zumindest ein fehlersicherer Ein-/Ausgang in das Antriebsgerät integriert.
-
Vorteilhaft
erfolgt eine Abschaltung nicht über
fehlersichere Klemmen, sonder über
ein fehlersicheres Antriebstelegramm.
-
Vorteilhaft
erfolgt eine Schnellabschaltung über
das Achstelegramm. Technische Voraussetzungen für ein fehlersicheres System
sind beispielsweise den folgenden Normen zu entnehmen:
- • Draft
IEC 61800-5-2
- •IEC/EN
61508
-
Fehlersichere
Controller oder Steuerungen, wie sie z. B aus der
EP 1 043 640 A2 bekannt
sind, sind in der Lage, sicherheitsrelevante Feldsignale auszuwerten
und bei Fehlern unmittelbar in einen sicheren Zustand zu schalten
bzw. darin zu verbleiben. Diese Fähigkeit beruht beispielsweise
auf dem Prinzip der zeitdiversitären
Redundanz (Coded Processing). Dabei werden sicherheitsgerichtete
Operationen auf zwei unterschiedlichen Wegen, d. h. mit (logisch
und zeitlich) voneinander abweichenden (diversitären) Algorithmen, bearbeitet
und am Ende des CPU-Zyklus die Ergebnisse verglichen. Bei Abweichungen
ist auf einem der beiden Wege ein Fehler aufgetreten, und die CPU
oder die Steuerung schaltet automatisch in einen sicheren Zustand.
Zusätzlich kann
ein Controller oder eine Steuerung über eine umfangreiche Eigendiagnose
verfügen.
Simatic Safety Integrated der Siemens AG bietet beispielsweise fehlersichere
Systeme, die auf die unterschiedlichen Anforderungen von Prozessindustrie und
Fertigungsindustrie zugeschnitten sind. So gibt es beispielsweise
für die
Fertigungstechnik fehlersichere Controller in unterschiedlichen
Leistungsbereichen.
-
In
der Prozessindustrie gilt es z. B. Menschen, Produktionseinrichtungen
und Umwelt zu schützen.
Hierfür
ist beispielsweise als fehlersichere Steuerung die von der Anmelderin
unter der Bezeichnung Simatic S7-400FH angebotene Steuerung einsetzbar.
Eine solche Steuerung basiert auf den CPUs einer hochverfügbaren Steuerung,
z. B. einer Steuerung, wie sie von der Anmelderin unter der Bezeichnung
Simatic S7-400H angeboten wird. Fehlersicher wird das System durch
das in der CPU ablaufende fehlersichere, so genannte F-Programm
(F für
Failsafe) mit Sicherheitsfunktionen und durch fehlersichere Signalbaugruppen.
Für die
Sicherheitsfunktionen können
mit Hilfe eines Engineering Tools Funktionsbausteine aus einer F-Bibliothek aufgerufen
und verschaltet werden. Die F-Bibliothek enthält vorgefertigte und von einer
Zertifizierungs- oder
Prüfstelle
(z. B. TÜV
oder Berufsgenossenschaft) abgenommene Grundfunktionsbausteine sowie
ein Parametriertool für
die fehlersichere Peripherie. Für
die Peripherie stehen fehlersichere Peripheriebaugruppen, z. B.
Peripheriebaugruppen, wie sie von der Anmeldering unter der Bezeichnung
Simatic ET 200M oder Simatic ET 2005 angeboten werden, zur Verfügung. Solche fehlersicheren
Peripheriebaugruppen werden mit dem in der F-Bibliothek enthaltenen
Parametriertool parametriert. Eine Kommunikation zwischen den von dem
Gesamtsystem umfassten Komponenten erfolgt beispielsweise über einen
Feldbus, z. B. den so genannten Profibus, insbesondere Profibus
DP, wobei die fehlersicheren Baugruppen über das Profibus Profil „ProfiSafe" für sicherheitsgerichtete
Anwendungen angesteuert werden. Das Profibus Profil ProfiSafe ist
ein Beispiel für
einen sicheren Feldbus.
-
Beispiele
für bevorzugte
Ausführungsformen der
Erfindung sind in den Zeichnungen dargestellt und nachfolgend beschrieben.
-
Das
erfindungsgemäße Verfahren
wird bevorzugt in Software implementiert, so dass die Erfindung
neben dem Verfahren auch ein Computerprogramm mit durch einen Computer
ausführbaren
Programmcodeanweisungen zur Implementierung des oben oder nachfolgend
beschriebenen Verfahrens betrifft. In gleicher Weise betrifft die
Erfindung auch ein Computerprogrammprodukt, insbesondere ein Speichermedium,
z. B. einen Datenträger
wie eine Diskette oder dergleichen, mit einem durch einen Computer
ausführbaren
solchen Computerprogramm.
-
Die
mit der Anmeldung eingereichten Patentansprüche sind Formulierungsvorschläge ohne
Präjudiz
für die
Erzielung weitergehenden Patentschutzes. Die Anmelderin behält sich
vor, noch weitere, bisher nur in der Beschreibung und/oder Zeichnung offenbarte
Merkmalskombinationen zu beanspruchen.
-
Das
oder jedes Ausführungsbeispiel
ist nicht als Einschränkung
der Erfindung zu verstehen. Vielmehr sind im Rahmen der vorliegenden
Offenbarung zahlreiche Abänderungen
und Modifikationen möglich,
insbesondere solche Varianten, Elemente und Kombinationen, die zum
Beispiel durch Kombination oder Abwandlung von einzelnen in Verbindung
mit den im allgemeinen oder speziellen Beschreibungsteil beschriebenen
sowie in den Ansprüchen und/oder
der Zeichnung enthaltenen Merkmalen bzw. Elementen oder Verfahrensschritten
für den Fachmann
im Hinblick auf die Lösung
der Aufgabe entnehmbar sind und durch kombinierbare Merkmale zu
einem neuen Gegenstand oder zu neuen Verfahrensschritten bzw. Verfahrensschrittfolgen
führen.
-
Nachfolgend
wird ein Ausführungsbeispiel der
Erfindung anhand der Zeichnung näher
erläutert. Einander
entsprechende Gegenstände
oder Elemente sind in allen Figuren mit den gleichen Bezugszeichen
versehen.
-
1 eine
erste Ausführungsform
einer bekannten Bewegungsüberwachung,
-
2 eine
zweite Ausführungsform
einer bekannten Bewegungsüberwachung,
-
3 eine
schematisch vereinfachte Darstellung einer Bewegungsüberwachung
gemäß der Erfindung,
-
4 eine
detailliertere Darstellung der Bewegungsüberwachung gemäß der Erfindung
und
-
5 Details
zur Verarbeitung eines bei der Bewegungsüberwachung verarbeiteten Wertes.
-
1 zeigt
zur Erläuterung
einer im Stand der Technik bekannten Bewegungsüberwachung eine nur schematisch
dargestellten Antriebseinrichtung 10, der als Aggregat
z. B. einen Motor 12 ansteuert, wobei der Motor 12 mit
gegebenenfalls weiteren Aggregaten Bestandteil eines nicht dargestellten
technischen Prozesses, z. B. einer Pressensteuerung ist.
-
Der
Motor 12 treibt eine Welle 14, und beeinflusst
auf diese Weise ein nicht dargestelltes Werkzeug. Zur Erfassung
von Bewegungsinformationen in Bezug auf den Motor 12 sind
ein erster und ein zweiter Geber 16, 18 vorgesehen.
Beide Geber 16, 18 sind der Welle 14 zugeordnet
und erfassen als Bewegungsinformation z. B. eine Lage oder eine
Geschwindigkeit der Welle 14. Jeder Geber 16, 18 liefert ein
eigenes Ausgangssignal, also ein erstes Gebersignal 20 und
ein zweites Gebersignal 22. Das erste Gebersignal 20 wird
der Antriebseinrichtung 10 zugeführt, der über einen Feldbus 24,
z. B. den so genannten Profibus, kommunikativ mit einer ersten Steuerung 26 verbunden
ist. Die erste Steuerung 26 übernimmt die eigentliche Auswertung
des ersten Gebersignals 20, das zu diesem Zweck über den Feldbus 24 von
der Antriebseinrichtung 10 an die erste Steuerung 26 übermittelt
wird. Wird bei der Überprüfung des
ersten Gebersignals 20 durch die erste Steuerung 26 eine
Ausnahmesituation festgestellt, gibt die erste Steuerung 26 ein
diesbezügliches
erstes Steuersignal 28 ab, das über den Feldbus 24 an die
Antriebseinrichtung 10 gelangt. Mit dem ersten Steuersignal 28 kann
z. B. unter Kontrolle der Antriebseinrichtung 10 eine Schnellabschaltung
des Motors 12 erfolgen. Das zweite Gebersignal 22 wird durch
eine redundant zur ersten Steuerung 26 vorgesehene zweite
Steuerung 30 ausgewertet. Stellt die zweite Steuerung 30 in
Bezug auf das zweite Gebersignal 22 eine Ausnahmesituation
fest, übermittelt diese
an die Antriebseinrichtung 10 ein diesbezügliches
zweites Steuersignal 32, mit dem ebenfalls z. B. die vorgenannte
Schnellabschaltung des Motors 12 eingeleitet werden kann.
Sowohl das erste als auch das zweite Steuersignal 28, 32 kann
unterschiedliche Werte annehmen oder es kann eine Mehrzahl erster und
zweiter Steuersignale 28, 32 vorgesehen sein, so
dass unterschiedliche Reaktionen auf eine durch eine der Steuerungen 26, 30 erkannte
Ausnahmesituation möglich
sind. Optional kann vorgesehen sein, dass einer der Steuerungen 26, 30 oder
beiden Steuerungen 26, 30 eine Ein-/Ausgabe einrichtung 34 zugeordnet
ist, mittels derer z. B. für
Bedienpersonal eventuelle Ausnahmesituationen visualisierbar sind. Dazu
ist die Ein-/Ausgabeeinrichtung 34 in geeigneter Weise
mit der oder jeder Steuerung 26, 30 kommunikativ
verbunden.
-
2 zeigt
eine alternative und ebenfalls bekannte Ausführungsform zu der Konstellation
gemäß 1.
Auch bei der Ausführungsform
gemäß 2 erfolgt
die Bewegungsüberwachung
noch über
zwei Geber 16, 18, deren Gebersignale (erstes
Gebersignal 20 und zweites Gebersignal 22) über ein
neben der ersten Steuerung 26 vorgesehenes Überwachungsgerät 36 erfolgt.
Das Überwachungsgerät 36 wertet
beide Gebersignale 20, 22 aus und setzt je nachdem,
ob in Bezug auf eines der Gebersignale 20, 22 eine
Ausnahmesituation vorliegt, ein diesbezügliches erstes oder zweites
Steuersignal 28, 32 ab, das durch die Antriebseinrichtung 10 ausgewertet wird
und unter Kontrolle der Antriebseinrichtung 10 z. B. eine
Schnellabschaltung des Motors 12 bewirkt.
-
3 zeigt
eine Ausführungsform
der erfindungsgemäßen Lösung. In
Bezug auf die Darstellung in 3 werden
nachfolgend nur die Unterschiede zu den Ausführungsformen gemäß
-
1 und 2 beschrieben.
Abweichend von der Ausführungsform
gemäß 1 und 2 ist in
der Ausführungsform
gemäß 3 nur
ein Sensor, nämlich
nur der erste Sensor 16 vorgesehen. Nachdem dieser erste
Sensor 16 der einzige Sensor in der Gesamtanordnung ist,
wird der erste Sensor 16 im Folgenden auch nur kurz als
Sensor 16 bezeichnet.
-
Der
Sensor 16 gibt als Ausgangssignal einen sicheren Geber-Istwert 38 ab.
Das Ausgangssignal des Gebers 16 ergibt sich als sicherer
Geber-Istwert 38, indem eine redundante Geberauswertung
erfolgt. Dies kann z. B. umfassen, dass aus den Sinus- und Kosinus-Signalen
des Gebers 16 als Lageinformation zwei Lage-Istwerte, z.
B. ein erster Istwert mit voller Genauigkeit (Standard-Gebergesamtwert
mit oder ohne Feinauflösung)
und ein zweiter, gröberer Istwert
(redundanter Groblagewert), gebildet werden. Erster und zweiter
Lage-Istwert, also
insbesondere Standard-Gebergesamtwert und redundanter Groblagewert,
werden dabei über
diversitäre
Hardware ermittelt. Der sichere Geber-Istwert 38 wird zunächst zur
Antriebseinrichtung 10 geleitet und gelangt von dort an
eine als fehlersichere Steuerung 40 ausgeführte Steuerungseinheit,
z. B. eine fehlersichere speicherprogrammierbare Steuerung. Die
fehlersichere Steuerung 40 ist mit dem Antrieb kommunikativ über einen
Feldbus 24 verbunden. Über
den Feldbus 24 erfolgt auch die Übermittlung des sicheren Geber-Istwerts 38 vom
Antrieb an die fehlersichere Steuerung 40.
-
Die
fehlersichere Steuerung 40 umfasst eine Überwachungseinrichtung 42.
Der sichere Geber-Istwert 38, also insbesondere die Geberinformation
mit Standard-Gebergesamtwert und redundantem Groblagewert, wird
im Bereich der fehlersicheren Steuerung 40 durch die Überwachungseinrichtung 42 auf Plausibilität geprüft und im
Fehlerfall wird eine entsprechende Abschaltreaktion ausgelöst. Dazu
ist eine fehlersichere Ein-/Ausgabe 44 vorgesehen,
die bei entsprechender Ansteuerung ein Steuersignal 46 abgibt,
das zur Antriebseinrichtung 10 gelangt und dort die jeweilige
Abschaltreaktion auslöst.
-
Während zur
Aufdeckung eventueller Fehler bei der Übertragung des sicheren Geber-Istwerts 38 vom
Geber 16 zur Antriebseinrichtung 10 oder vom Antrieb 10 zur
fehlersicheren Steuerung 40 aus den Sinus- und Kosinus-Signalen
des Gebers 16 ein redundanter Geber-Istwert der oben beschriebenen
Art erzeugt wird, dessen Übertragung
bis zur Antriebseinrichtung 10 zum Beispiel über eine
so genannte DRIVE-CliQ-Verbindung erfolgt, wird zur Sicherung der
Datenübertragung
und zur Prüfung
der Funktion der beiden Steuerungen eine so genannte Lebenszeichenüberwachung
und eine CRC-Prüfung
durchgeführt.
Die Überwachungseinrichtung 42 vergleicht die
Standard-Gesamtlage mit der redundanten Groblage und führt insoweit
einen Plausibilitätscheck durch.
Im Fehlerfall wird intern eine so genannte Impulssperre ausgelöst und über den
Weg 44 ein diesbezügliches
Steuersignal 46 generiert. Ein als gültig (unverfälscht) erkannter
Geber-Istwert 38 kann weiter verarbeitet und/oder überwacht
werden.
-
4 ist
eine detailliertere Darstellung der Ausführungsform gemäß 3.
Die Antriebseinrichtung 10 (3) ist jetzt
in Form eines Motormoduls 10' und
einer damit kommunikativ verbundenen Motorsteuerung 10'' dargestellt. Als dem Sensor 16 nachgeschaltet
ist eine bisher nicht gezeigte Geberauswertung 48 dargestellt.
Innerhalb der Antriebseinrichtung 10 besteht eine kommunikative
Verbindung zwischen dessen Komponenten, nämlich dem Motormodul 10' und der Motorsteuerung 10'', über eine so genannte DRIVE-CliQ-Verbindung 50.
Zu diesem Zweck weist sowohl das Motormodul 10' als auch die Motorsteuerung 10'' eine entsprechende Busanschaltung 52 auf.
Eine DRIVE-CliQ-Verbindung
besteht auch von und zur Geberauswertung 48, die zu diesem
Zweck ebenfalls eine Busanschaltung 52 aufweist. Das Motormodul 10' umfasst eine
Diagnosefunktionalität 54 und
eine Überwachungsfunktionalität 56,
wobei zur Ansteuerung des Motors 14 eine Leistungselektronik 58 vorgesehen
ist, die von einer Gleichstromversorgung 60 gespeist wird.
-
Der
Geber 16 liefert als Ausgangssignal ein Sinus- und Kosinus-Signal.
Aus diesem werden in der Geberauswertung 48 als Lageinformation
zwei Lage-Istwerte 62, 64 gebildet. Dazu wird
in einem ersten Funktionsblock 66 als erster Lage-Istwert 62 ein
Istwert mit voller Genauigkeit, insbesondere ein Standard-Gebergesamtwert,
der eine Grob- und eine Feinlage des Motors 14 abbildet,
gebildet. In einem zweiten Funktionsblock 68 wird durch
einen redundanten Groblagenzähler
eine redundante Groblage als zweiter Lage-Istwert 64 gebildet.
Durch die Kombination der beiden Lage-Istwerte 62, 64 wird
aus dem Ausgangssignal des Gebers 16 der sichere Geber-Istwert 38 (3),
der mittels der Busanschaltung 52 und der DRIVE-CliQ-Verbindung 50 z.
B. zur Geschwindigkeits- oder Lageregelung an das Motormodul 10' sowie zur Bewegungsüberwachung
an die Motorsteuerung 10'' übermittelt
wird. Neben dem ersten und zweiten Funktionsblock 66, 68 ist
ein dritter Funktionsblock 70 im Bereich der Geberauswertung 48 vorgesehen,
der einen Plausibilitätscheck
in Bezug auf die vom Geber 16 erhaltenen Ausgangssignale
durchführt,
die im Wesentlichen einen Vergleich von Standard-Gebergesamtwert
und/oder Feinauflösung
mit dem redundanten Groblagewert umfasst, wobei bei einer Abweichung
um mehr als eine vorgegebene oder vorgebbare Toleranz eine Ausnahmesituation
vorliegt, die die Einleitung einer geeigneten Maßnahme, z. B. Sofortstopp oder
Impulslöschung, nach
sich zieht.
-
Im
Bereich der Motorsteuerung 10' wird der sichere Geber-Istwert 38 in
seiner Form als erster und zweiter Lage-Istwert 62, 64,
also insbesondere Standard-Gebergesamtwert bzw. redundanter Groblagewert,
durch eine erste und zweite Funktionseinheit 72, 74 verarbeitet,
wobei die erste Funktionseinheit 72 im internen Sprachgebrauch der
Anmelderin als auch „Drive-Control" und die zweite Funktionseinheit 74 als „MC-Steuerung" bezeichnet wird.
Zwischen den beiden Funktionseinheiten 72, 74 besteht eine
Busverbindung, insbesondere in Form eines Feldbusses, z. B. als
so genannte Profibusverbindung 76. Zu diesem Zweck weisen
beide Funktionseinheiten 72, 74 je eine Busanschaltung 78 auf.
Innerhalb der ersten Funktionseinheit 72 werden die beiden
Lage-Istwerte 62, 64 abgegriffen und sind einem
im Zusammenhang mit der Erfindung nicht weiter relevanten Antriebssteuerungsmodul 80 zuführbar. Aus
dem Abgriff der beiden Lage-Istwerte 62, 64 ist
auch eine Drehzahl 82 oder ein Maß für eine Drehzahl des Motors 14 ermittelbar. Über die
Busverbindung 76 wird vom ersten Funktionsmodul 72 zum zweiten
Funktionsmodul 74 der sichere Geber-Istwert 38 in seiner Form als
Kombination aus erstem und zweitem Lage-Istwert 62, 64 zusammen
mit der Drehzahl 82 übermittelt.
Auch die zweite Funktionseinheit 74 weist eine Busanschaltung 84 zum
Anschluss des Feldbusses 24 (vgl.
-
3)
auf, über
den der sichere Lage-Istwert 38 und die Drehzahl 82 an
die fehlersichere Steuerung 40 (vgl. 3) übermittelbar
ist.
-
Die
fehlersichere Steuerung 40 umfasst die Überwachungseinrichtung 42 (vgl. 3),
die wiederum einen ersten Überwa chungsfunktionsblock 86 zur
Bewegungsüberwachung,
einen zweiten Überwachungsfunktionsblock 88 zum
Vergleich der beiden Lage-Istwerte 62, 64 und
einen dritten Überwachungsfunktionsblock 90 zum
Anfordern einen sicheren Zustands umfasst. Durch den zweiten Überwachungsfunktionsblock 88 erfolgt
im Wesentlichen ein Plausibilitätscheck
in Bezug auf ersten und zweiten Lage-Istwert 62, 64,
insbesondere durch Vergleich von Standard-Gebergesamtwert und redundantem Groblagewert.
Der erste Überwachungsfunktionsblock 68 übernimmt
zusätzlich
eine Bewegungsüberwachung,
so dass Sicherheitsfunktionen wie eine Überwachung von Not-Halt-Tastern,
Schutztüren
und dergleichen möglich
sind. Als Sicherheitsfunktionen der Bewegungsüberwachung sind insbesondere
zu nennen: sicher reduzierte Geschwindigkeit, sicherer Betriebshalt,
sicheres Stillsetzen mit Stillstandsüberwachung. Die dazu erforderlichen
Eingangssignale, also z. B. Statusinformationen eines Not-Halt-Tasters 92 werden
dem zweiten Überwachungsfunktionsblock 68 über eine
fehlersichere Ein-/Ausgabe 44 (vgl. 3) sowie
eine zu deren Auswertung vorgesehene Logik 94, z. B. in
Form eines fehlersicheren Steuerungsprogramms, zugeführt. Im
Falle einer durch die Überwachungseinheit 42 erkannten
Ausnahmesituation wird ein diesbezügliches Steuersignal 46 abgesetzt,
das über
eine fehlersichere Busverbindung 96 und eine zu dessen
Anschluss vorgesehen Busanschaltung 98, insbesondere nach
den Konventionen für „ProfiSafe", an die fehlersichere Ein-/Ausgabe 44 gelangt
und dort einen ersten und zweiten Abschalteweg 46', 46'' aktiviert. Dabei ergibt sich der
erste und zweite Abschaltweg 46', 46'' aufgrund
der Tatsache, dass die fehlersichere Steuerung 40 aufgrund
ihrer Fehlersicherheit jede Funktion in redundanter Form implementiert,
so dass auch die Überwachungseinrichtung 42 redundant
z. B. mit diversitärer
Hardware oder diversitärer
Software oder gemischt mit diversitärer Hard- und/oder Software ausgeführt ist.
Entsprechend kann sich ein Steuersignal 46 für die dargestellte Überwachungseinrichtung 42 oder
die nicht dargestellte, redundante Überwachungseinrichtung ergeben.
Mit zwei Steuersignalen 46 ist auch die Aktivierung zweier
Abschaltwege 46', 46'' möglich. Wenn beide Überwachungseinrichtungen 42,
also die dargestellte Überwachungseinrichtung 42 und
die nicht dargestellte, redundante Überwachungseinrichtung gleiche
Ergebnisse liefern, erkennen beide Überwachungseinrichtungen 42 eine
gleiche Situation und würden
im Falle einer erkannten Ausnahmesituation auch jeweils ein diesbezügliches
Steuersignal absetzen. Dann erfolgt eine Aktivierung beider Abschaltwege 46', 46''.
-
Die
Aktivierung beider Abschaltwege 46', 46'' muss
nicht notwendig zeitgleich erfolgen, weil sich aufgrund der diversitären Ausführung beider Überwachungseinrichtungen 42 unterschiedliche
Dynamiken ergeben können.
Wichtig im vorliegenden Zusammenhang ist aber das zwei Abschaltwege 46', 46'' zur Verfügung stehen, wobei aufgrund
der nicht redundanten Ausführung
der Funktionseinheiten „vor" der fehlersicheren
Steuerung 40 der erste Abschaltweg 46' über das
Motormodul 10' als
einer Komponente der Antriebseinrichtung 10 (3)
und der zweite Abschaltweg 46'' über die
die Motorsteuerung 10'', insbesondere
dessen erster Funktionseinheit 72, führt. Damit ist in Bezug auf
die Auswertung des Steuersignals 46 auch durch nicht-redundante Komponenten
der Forderung nach Diversität
Genüge getan,
weil der erste Abschaltweg 46' direkt auf das Motormodul 10' wirkt und dort
durch geeignete Verarbeitung die entsprechenden Maßnahmen
zur Ansteuerung des Motors 14 ausgelöst werden können, während der zweite Abschaltweg 46'' auf die vom Motormodul 10' unabhängige Motorsteuerung 10'' wirkt und von dort über die
DRIVE-CliQ-Verbindung 50 eine unabhängige geeignete Beeinflussung
des Motors 14 möglich
ist.
-
Gemäß einer
bevorzugten, in 4 dargestellten Ausführungsform
ist vorgesehen, dass eine weitere Überwachungseinrichtung 100 auch
für die Motorsteuerung 10'' vorgesehen ist. Die weitere Überwachungseinrichtung 100 entspricht
in ihrer Funktionalität
identisch oder zumindest im Wesentlichen der Überwachungseinrichtung 42,
wie sie im Bereich der fehlersicheren Steuerung 40 vorgesehen ist.
Die einzelnen Komponenten der weiteren Überwachungseinrichtung 100 werden
daher im Folgen den auch nicht nochmals erläutert. Wesentlich im Bezug
auf die weitere Überwachungseinrichtung 100 ist,
dass sich mit dieser ein dritter Abschaltweg 102 ergibt,
wobei ein diesbezügliches
Steuersignal über die
Busverbindung 76 zunächst
zur ersten Funktionseinheit 72 der Motorsteuerung 10'' und über die DRIVE-CliQ-Verbindung 50 schließlich zum
Motormodul 10' gelangt
und dort eine geeignete Beeinflussung des Motors 14, wie
z. B. dessen Stillsetzung, bewirkt.
-
Die
weitere Überwachungseinrichtung 100 ist
damit in einem nicht redundanten Bereich der in 4 dargestellten
Gesamtkonstellation vorgesehen, so dass es sich um eine zwar zusätzliche
aber nicht fehlersichere Überwachung
handelt. Die weitere Überwachungseinrichtung 100 ist
aber deswegen vorteilhaft, weil der dritte Abschaltweg 102 aufgrund anderer
dynamischer Verhältnisse
im Vergleich zur Überwachung
im Bereich der fehlersicheren Steuerung 40 gegebenenfalls
zu einer schnelleren Abschaltung führen kann. Sollte die weitere Überwachungseinrichtung 100 eine
Ausnahmesituation nicht erkennen, ist eine fehlersichere Behandlung
einer solchen Ausnahmesituation immer noch durch die fehlersichere
Steuerung 40 und die dortige Überwachungseinrichtung 42 gewährleistet.
Erkennt die weitere Überwachungseinrichtung 100 die
Ausnahmesituation, ist gegebenenfalls eine schnellere Reaktion darauf
möglich.
-
Die
Datenübertragung
innerhalb der Motorsteuerung 10'' und
von der Motorsteuerung 10'' zur fehlersicheren
Steuerung 40, wobei weder Motorsteuerung 10'' noch die intern und die mit der
fehlersicheren Steuerung 40 bestehenden Kommunikationsverbindungen
fehlersicher ausgeführt
sind, wird durch geeignete Maßnahmen
abgesichert. Z. B. eine Lebenszeichenüberwachung oder ein Prüfsummenverfahren
oder dergleichen, insbesondere in Form einer so genannten zyklischen
Redundanzprüfung (CRC).
Auf diese weise ist eine ausreichende Absicherung des Datentransfers
möglich.
Etwaige Fehler bei der Datenübertragung
sind sofort erkennbar und als Ausnahmesituation behandelbar.
-
In
Bezug auf den Geber 16 ist zu bemerken, dass dieser als
Ausgangssignal insbesondere ein Sinus- und ein Kosinus-Signal, also
zwei um neunzig Grad phasenverschobene Signale liefert. Geber, die zwei
Signale liefern, welche in einem festen Bezug zueinander stehen,
dürfen
im Hinblick auf deren Fehlersicherheit wie zwei Geber betrachtet
werden. Weitere Voraussetzung in diesem Zusammenhang ist, dass die
Auswertung der Signale getrennt erfolgt, was nach dem Ansatz gemäß der Verbindung,
wie insbesondere vorstehend im Zusammenhang mit 4 erläutert, der
Fall ist.
-
Die
Standard-Groblage gibt sich durch Zählen von Nulldurchgängen der
vom Geber 16 gelieferten Ausgangssignale oder daraus abgeleiteter
Signale. Die redundante Groblage ergibt sich durch redundantes Zählen entsprechender
Nulldurchgänge
in einem komplementären
Signal. Dabei kann vorgesehen sein, dass für die redundante Groblage eine
umgekehrte Zählrichtung
vorgesehen ist, so dass sich damit eine nochmals erhöhte Diversität ergibt.
Die beiden auf diese Art und Weise erhaltenen Lage-Istwerte 62, 64 können zur
Absicherung gegen Verfälschung
mit einer Prüfsumme,
z. B. einer CRC-Signatur, versehen werden. Beim Vergleich der beiden
Lage-Istwerte 62, 64 in der Überwachungseinrichtung 42 sowie
der dazu redundanten Überwachungseinrichtung
im Bereich der fehlersicheren Steuerung 40 oder durch die
weitere Überwachungseinrichtung 100 in
der Motorsteuerung 10'' darf die übertragene Standard-Groblage um nicht
mehr als einen vorgegebenen oder vorgebbaren Schwellwert, z. B. ±1, von der
redundanten Groblage abweichen. Vor diesem Vergleich muss ggf. zusätzlich die
umgekehrte Zählrichtung
in Bezug auf die redundante Groblage umgerechnet werden. Die Absicherung
mittels einer Prüfsumme,
z. B. CRC, kann sich auf einen der beiden Lage-Istwerte 62, 64,
insbesondere die redundante Groblage, beziehen oder auf beide Lage-Istwerte 62, 64.
-
Abschließend wird
die Bildung des sicheren Geberwerts 38 im Bereich der Geberauswertung 48 (vgl. 3 und 4)
anhand der Darstellung in 5 weiter
erläutert.
Das Sinus- und das Kosinus-Signal des Gebers 16 ist in 5 mit
den Buchstaben A und B bezeichnet. Sowohl für die Ermittlung der Standard-Groblage als auch
der redundanten Groblage erfolgt eine Signalvervierfachung von aus den
sinusförmigen
Signalen A, B gewonnenen Rechtecksignalen K_A, K_B durch eine so
genannte Vierflankenauswertung. Die Standard-Groblage wird dabei
durch einen ersten Zähler 104 und
die redundante Groblage durch einen zweiten Zähler 106 ermittelt.
Die redundante Groblage wird dabei zusätzlich mit einer Prüfsumme,
insbesondere einer CRC-Signatur, gesichert. Als Ergebnis ergibt
sich eine redundante Groblage mit CRC, die als erstes Datum 108 in
Form eines Blocks dargestellt ist und als erster Lage-Istwert 62 in
den sicheren Geber-Istwert 38 einfließt.
-
Im
Bereich oder im Zusammenhang mit der Ermittlung der Standard-Gesamtlage
folgen zusätzliche
Prüfungen
der Signale A, B, z. B. eine Hardware-Amplitudenüberwachung mittels eines ersten Amplitudenüberwachungsfunktionsblocks 110,
durch den die Signale A, B in Bezug auf die Bedingungen |A| + |B| > 1.41 und |A| + |B| < 1 überwacht
werden. Eine weitere Überwachung
erfolgt in Form einer Software-Amplitudenüberwachung durch einen zweiten Amplitudenüberwachungsfunktionsblock 112,
in dem überwacht
wird, ob die Signale A, B der Bedingung A2 +
B2 = 1 genügen. Ergibt eine dieser Überprüfungen eine
Verletzung der jeweils zugrunde liegenden Bedingungen, wird ein
diesbezügliches
erstes oder zweites Fehlersignal 114, 116 generiert,
das zusammen mit dem zweiten Lage-Istwert 64 in den sicheren Geber-Istwert 38 einfließt.
-
Durch
die Abtastung (Unterabtastung) der Signale A, B werden bei hohen
Drehzahlen (hohe Geberfrequenz) nicht alle kurzzeitigen Amplitudenfehler,
wie z. B. Spitzen oder Einbrüche,
erkannt. Dabei können
sich Zustände
ergeben, bei denen bei einer Überlappungsprüfung wie
nachfolgend beschrieben die beiden überlappenden Bitwerte zwar
nur um einen vorgegebenen Schwellwert differieren, die Groblage
dennoch fehlerhaft ist (zu hoch oder zu niedrig gezählt). Dafür ist die
externe Hardware-Amplitudenüberwachung 110 in
Bezug auf die Summe der Beträge
der Signale A und B vorgesehen. Bei Ansprechen dieser Amplitudenüberwachung
wird das erste Fehlersignal 114 generiert.
-
Durch
die Software-Amplitudenüberwachung 112 in
Bezug auf eine Erfüllung
der Bedingung A2 + B2 =
1 werden Fehler wie Leitungsbruch, „Stuck-at-High" und „Stuck-at-Low" und natürlich auch
direkte Geberfehler erkannt. Bei Verlassen eines bestimmten Toleranzbereichs,
eine identische Erfüllung
der Bedingung A2 + B2 =
1 ist also nicht notwendig gefordert, wird das zweite Fehlersignal 116 generiert.
-
Die
Standard-Gesamtlage entsteht schließlich durch Zusammensetzen
von Grob- und Feinlage, wobei sich die Groblage aus dem Wert des
ersten Zählers 104 ergibt.
Die Feinlage ergibt sich nach Analog-/Digitalwandlung der Signale
A, B, durch Anwendung einer mathematischen Operation auf diese beiden
Signale, z. B. eine Operation der Art „Arcustangens(A/B)". Für diese
oder eine vergleichbare Operation ist ein vierter Funktionsblock 118 vorgesehen.
-
Beim
Zusammensetzen der Grob- und Feinlage überlappen die zwei höchstwertigen
Bits der Feinlage mit den zwei niederwertigsten Bits der Groblage.
Damit ergeben sich für
diese zwei Bitpositionen in der Standard-Gesamtlage zwei Werte,
die zu einem Wert korrigiert werden müssen. Bedingt durch Laufzeiten
und Abtastung können
diese zwei Werte um einen vorgegebenen oder vorgebbaren Schwellwert,
z. B. ±1,
differieren. Priorität
erhält
der Wert der Feininformation. Die Groblage, also der Wert des ersten
Zählers 104,
wird vor dem Zusammensetzen von Grob- und Feinlage zur Gesamtlage
entsprechend korrigiert. Für
diese oder eine vergleichbare Operation ist ein fünfter Funktionsblock 120 vorgesehen.
-
Bei
Abweichungen größer dem
vorgegebenen oder vorgebbaren Schwellwert wird ein drittes Fehlersignal 122 erzeugt,
das in den zweiten Lage-Istwert 64 und damit in den sicheren
Geber-Istwert 38 einfließt. Die
resultierende Gesamtlage, also die Standard-Gesamtlage ist als Datum
zweites 124 dargestellt und bildet die Basis für den zweiten
Lage-Istwert 64.