DE10207834A1

DE10207834A1 - Anlage und Verfahren

Info

Publication number: DE10207834A1
Application number: DE10207834A
Authority: DE
Inventors: Josef Schmidt
Original assignee: SEW Eurodrive GmbH and Co KG
Current assignee: SEW Eurodrive GmbH and Co KG
Priority date: 2001-02-27
Filing date: 2002-02-25
Publication date: 2002-09-05

Abstract

Anlage, umfassend Automatisierungszellen, und Verfahren, wobei zumindest eine Automatisierungszelle zumindest einen mindestens einen Umrichter und Motor umfassenden Antrieb und einen Verteiler aufweist, und wobei der Verteiler eine Signalelektronik aufweist, die mindestens einen Mikroprozessor und/oder Mikrocontroller umfasst, und der Verteiler mindestens einen Anschluss für Niederspannung zur Versorgung seiner Signalelektronik umfasst, und wobei der Verteiler mindestens einen Anschluss für Feldbus zum Datenaustausch mit weiteren Feldbusteilnehmern und/oder mit einer Steuerung, insbesondere einer zentralen Steuerung, umfasst, und wobei der jeweilige Motor von einem Umrichter versorgt wird, der mit Netzspannung zur Leistungsversorgung verbindbar ist, und wobei der Umrichter und der Verteiler zum Datenaustausch verbindbar sind, DOLLAR A und wobei eine sichere Versorgung der Signalelektronik des Umrichters mit Niederspannung vom Verteiler aus gemäß einer Sicherheitskategorie vorhanden ist, und wobei mindestens der Umrichter, der Verteiler und die sichere Versorgung gemäß einer Sicherheitskategorie derart ausgeführt sind, dass die gesamte jeweilige Automatisierungszelle die Sicherheitskategorie hat oder ihr eine solche zuordenbar ist.

Description

Die Erfindung betrifft eine Anlage und ein Verfahren.

Aus der EP 1 043 643 sind Zellen, die auch als Automatisierungszelle bezeichenbar sind, für Anlagen bekannt. Aus der DE 199 05 952 ist ein Verteiler bekannt, der bei einer Automatisierungs zelle verwendbar ist, die einen Umrichter umfasst. Ein Umrichter versorgt einen Motor mit einer derartigen Wechselspannung, dass über ein entsprechendes Drehfeld im Motor eine Drehbewegung des Rotors erzeugbar ist. Ein typisches Beispiel hierfür ist aus der DE 197 04 226 bekannt.

Aus der Norm EN 954-1 und der Norm EN 60 204-1 sind Definitionen für Sicherheitskategorien, insbesondere B, 1, 2, 3 oder 4, und Stoppkategorien bekannt. Auf diese Normen wird in der vorliegenden Schrift Bezug genommen. Die Sicherheitskategorie B ist eine triviale Sicherheitskategorie, da entsprechende Vorrichtungen den zu erwartenden Einflüssen standhalte sollen, aber bei Auftreten von Fehlern ein Verlust der Sicherheitsfunktion nicht ausschließbar ist. Als nichttriviale Sicherheiten werden die Sicherheitskategorien 2, 3 oder höhere wie 4 bezeichnet, da dabei zumindest ein Verlust der Sicherheitsfunktion erkannt wird.

Aus der Norm EN 1037, S. 3, sind unerwartete, unbeabsichtigte oder ungewollte Anläufe bei Vorrichtungen bekannt.

Aus der Veröffentlichung Achenbach "Hat sich gemausert" in Elektrotechnik, 1991, H. 1/1, Seite 28-39, 33 ist ein Umrichter bekannt, der Überwachungs- und Steuerfunktionen aufweist. Aus de Veröffentlichung Fichtner "Antrieb mit Eigeninitiative" in Industrie - Elektrik + Elektronik, 1990, H. 1, S. 50, 51 ist ebenfalls ein Antrieb mit Überwachungsfunktionen und Sicherheitsfunktionen bekannt. Jedoch ist bei beiden Veröffentlichungen bei Ausfall der 24 V Niederspannung zur Versorgung der Signalelektronik kein sicheres Abschalten des Umrichters vorhanden. Denn ein einfacher Fehler kann die Erzeugung eines unkontrollierten Drehfeldes zur Folge haben. Somit genügt der Umrichter nur der trivialen Sicherheitskategorie B. Gleiches tritt auf bei der Veröffentlichung Siemens-Firmenschrift Nr. A19100-E 319-A365-V1 vom Mai 1989.

Aus der DE 41 05 132 C1 ist eine kinetische Pufferung bekannt. Dabei wird bei Netzausfall die Signalelektronik durch Anzapfen des Zwischenkreises des Umrichters versorgbar. Somit ist ein weiter kontrollierter Betrieb ermöglicht. Allerdings muss die Versorgungsspannung für die Signalelektronik in extrem aufwendiger Weise aus der Zwischenkreisspannung erzeugt werden und es wird keine industrieübliche 24 V Niederspannung verwendet. Bei Ausfall des Zwischenkreises, beispielsweise Kurzschluss, ist durch einen einfachen Fehler wiederum ein unkontrolliertes Drehfeld erzeugbar. Somit genügt auch dieser Umrichter nur der trivialen Sicherheitskategorie B.

Aus der DE 39 28 998 A1 ist eine Verbindung untergeordneter Steuergruppen bekannt, wobei ein serieller und ein paralleler Bus notwendig sind, um bei Ausfall des parallelen Busses Sicherheitsinformationen übertragbar zu machen. Es ist zwar in dieser Weise für die Datenübertragung eine nichttriviale Sicherheitskategorie gemäß Norm erreichbar, dies gilt aber nur für die Datenübertragung und nicht für die Versorgungsspannungen und den Umrichter. Außerdem sind zwei unabhängige, aufwendige und kostspielige Verdrahtungen notwendig.

Aus der DE 196 43 092 C2 ist ein Bussystem zu Übertragung sicherheitsrelevanter Daten bekannt, das aber zwei aufwendige, kostspielige parallele und redundante Busse erfordert. Es ist zwar in dieser Weise für die Datenübertragung eine nichttriviale Sicherheitskategorie gemäß Norm erreichbar, dies gilt aber nur für die Datenübertragung und nicht für Versorgungsspannungen und Umrichter. Außerdem sind zwei unabhängige, aufwendige und kostspielige Verdrahtungen notwendig.

Entsprechendes gilt auch für den Ringbus und den Sicherheitsbus gemäß DE 38 13 789 A1.

Aus der Veröffentlichung "Integralmotor" in Elektrische Maschinen 1996, H. 12, S. 26, 27 ist ein Kompaktantrieb bekannt, der aber keiner nichttrivialen Sicherheitskategorie der Norm genügt.

Aus der DE 198 51 186 A1 und dem dort dargestellten Stand der Technik ist eine potentialgetrennte Versorgung der Treiber für die Leistungsschalter einer Endstufe eines Umrichters bekannt. Dabei sind Signal- und Strompfad potentialgetrennt ausgeführt. Jedoch ist die Signalelektronik mit zugehörigem Ansteuer-IC nicht sicher ausgeführt. Wenn die Versorgungsspannung ausfällt, kann durch einen einzigen Fehler, beispielsweise eine Fremdspannung am Ansteuer-IC, ein unkontrolliertes Drehfeld erzeugt werden. Somit genügt auch dieser Umrichter nur der trivialen Sicherheitskategorie B.

Der Erfindung liegt die Aufgabe zugrunde, eine Zelle kostengünstig weiterzubilden unter gleichzeitiger Einhaltung von nichttrivialen Sicherheitskategorien.

Erfindungsgemäß wird die Aufgabe bei der Anlage nach den in Anspruch 1 angegebenen Merkmalen und bei dem Verfahren nach den in Anspruch 11 angegebenen Merkmalen gelöst.

Wesentliche Merkmale der Erfindung bei der Anlage sind, dass
zumindest eine Automatisierungszelle zumindest einen mindestens einen Umrichter und Motor umfassenden Antrieb und einen Verteiler aufweist,
und wobei der Verteiler eine Signalelektronik aufweist, die mindestens einen Mikroprozessor und/oder Mikrocontroller umfasst, und der Verteiler mindestens einen Anschluss für Niederspannung zur Versorgung seiner Signalelektronik umfasst,
und wobei der Verteiler mindestens einen Anschluss für Feldbus zum Datenaustausch mit weiteren Feldbusteilnehmern und/oder mit einer Steuerung, insbesondere einer zentralen Steuerung, umfasst,
und wobei der jeweilige Motor von einem Umrichter versorgt wird, der mit Netzspannung zur Leistungsversorgung verbindbar ist,
und wobei der Umrichter und der Verteiler zum Datenaustausch verbindbar sind,
und wobei mindestens der Umrichter, der Verteiler und eine sichere Versorgung der Signalelektronik des Umrichters mit Niederspannung vom Verteiler gemäß einer Sicherheitskategorie derart ausgeführt ist, dass die gesamte jeweilige Automatisierungszelle die Sicherheitskategorie hat oder ihr eine solche zuordenbar ist.

Von Vorteil ist dabei, dass ein Antrieb sicher betreibbar ist, insbesondere im Sinne der Normen. Also ist bei einem Auftreten eines Fehlers, einem Notfall oder bei einem Zustand von Gefährdung beispielweise ein sicheres Abschalten des Motors oder ein gesteuertes und sogar ein geregeltes Herunterfahren des Motors gemäß einer Stoppkategorie ermöglicht. Danach ist dann erfindungsgemäß ein Schutz gegen Wiederanlauf gegeben. Besonders vorteilhaft ist dabei, dass durch den die Signalelektronik des Umrichters versorgenden Verteiler die entsprechende Niederspannung sicher abschaltbar ist und somit das Wiederanlaufen sicher verhinderbar. Somit ist die Signalelektronik des Umrichters sicher abschaltbar und das vom Umrichter generierte Drehfeld zur Versorgung des Motors ist zumindest konstant oder verschwindet. Auf diese Weise ist also ein kostengünstiges sicheres Abschalten des Motors ausführbar, das keine weiteren zusätzlichen Maßnahmen oder weitere Vorrichtungen benötigt.

Eine komplizierte Ausführung, wie beispielsweise mehrfach redundant aufgebaute Umrichter zur Versorgung eines einzigen Motors, wird vermieden. Somit werden Kosten eingespart. Des weiteren ist auch der Motor gegen Wiederanlaufen sicher geschützt.

Da der Umrichter und der Verteiler zum Datenaustausch verbindbar sind, ist das sichere Abschalten des Drehfeldes auch gemäß einer nichttrivialen Stoppkategorie derartig ausführbar, dass für einen ersten Zeitabschnitt ein geregeltes oder ein gesteuertes Herunterfahren der Drehzahl des Motors ausführbar ist und nach Ablauf dieses ersten Zeitabschnitts ein Abschalten oder wenigstens Konstanthalten des Drehfeldes ausführbar ist. Insbesondere ist nach Abschalten ein konstantes Drehfeld beispielsweise durch einen Fehler erzeugbar.

Bei einer vorteilhaften Ausgestaltung ist die Sicherheit jeweils durch zwei- oder mehrfach redundante Ausführung bewirkt und/oder durch Mittel zum Ausführen einer Beobachterfunktion ausgeführt, wobei nach Beobachten eines Fehlers eine Sicherheitsmeldung, insbesondere optisch, akustisch oder elektrisch ausgeführt wird. Von Vorteil ist dabei, dass die Sicherheit in einfacher Weise herstellbar ist, wobei die Risikoanalyse des Systems berücksichtigbar ist.

Bei einer vorteilhaften Ausgestaltung ist der Verteiler mindestens an einen Sicherheitsbus zum Austausch von sicherheitsrelevanten Daten anschließbar. Von Vorteil ist dabei, dass nicht nur eine Automatisierungszelle sondern eine gesamte Anlage in nichttrivialer Sicherheitskategorie ausführbar ist.

Bei einer vorteilhaften Ausgestaltung ist der Sicherheitsbus durch gemäß einer Sicherheitskategorie verwendbare Hardware und elektrische Leitungen ausgeführt. Von Vorteil ist dabei, dass auch bei Ausfall des Feldbusses, beispielsweise Durchtrennung von Feldbusleitungen, noch eine Übertragung von Sicherheitsdaten ausführbar ist.

Bei einer vorteilhaften Ausgestaltung umfasst der Sicherheitsbus Übertragung von Sicherheitsdaten über Leitungen des Feldbus mindestens bis zum Anschluss für Feldbus des Verteilers. Von Vorteil ist dabei, dass keine weiteren Leitungen für das Übertragen sicherheitsrelevanter Daten ausgeführt werden muss. Somit ist die Anlage insgesamt äußerst kostengünstig.

Bei einer vorteilhaften Ausgestaltung ist die sichere Niederspannungs-Versorgung der Signalelektronik des Umrichters durch den Verteiler nach der genormten Sicherheitskategorie 0, 1 oder 2 ausgeführt. Von Vorteil ist dabei, dass ein sicheres Abschalten der Niederspannung ausführbar ist und somit das Drehfeld in sicherer Weise abschaltbar oder bei Auftreten eines Fehlers wenigstens konstant haltbar ist. Somit ist ein sicherer Schutz gegen Wiederanlaufen vorhanden.

Bei einer vorteilhaften Ausgestaltung bilden der Umrichter und der Motor eine bauliche Einheit, insbesondere einen Kompaktantrieb. Von Vorteil ist dabei, dass der Antrieb und somit die Automatisierungszelle kompakt, übersichtlich und mit geringem Raumbedarf ausführbar ist.

Bei einer vorteilhaften Ausgestaltung umfasst der Datenaustausch auch den Austausch von Programmen. Von Vorteil ist dabei, dass sogar Programme zur Positionierung übertragbar sind.

Bei einer vorteilhaften Ausgestaltung sind Umrichter und Verteiler zum Datenaustausch mit Leitungen verbindbar oder Umrichter und Verteiler weisen derartige elektronische Schaltungen auf, dass der Datenaustausch zwischen Umrichter und Verteiler durch Aufmodulation auf Leitungen ausführbar ist. Von Vorteil ist dabei, dass im ersten Fall eine geringe Anfälligkeit gegen Störspannungen vorhanden ist und im zweiten Fall Leitungen unter Erhöhung der Übersichtlichkeit einsparbar sind.

Wesentliche Merkmale der Erfindung bei dem Verfahren sind, dass nach Feststellen eines Fehlers oder Empfang einer Sicherheitsinformation mindestens ein Antrieb in einen sicheren Zustand gemäß einer nichttrivialen Sicherheitskategorie überführt wird. Von Vorteil ist dabei, dass ein sicherer Betrieb kostengünstig ausführbar ist.

Bei einer vorteilhaften Ausgestaltung ist das Überführen in einen sicheren Zustand ein gemäß der nichttrivialen Sicherheitskategorie sicheres Abschalten und/oder ein sicheres Verharren im abgeschalteten Zustand. Von Vorteil ist dabei, dass kein Drehmoment vom Elektromotor, insbesondere Asynchronmotor, in die Anlage übertragen wird, insbesondere sogar nach Auftreten einer einzigen Fehlspannung. Außerdem ist somit ein Schutz gegen das Wiederanlaufen gegeben.

Bei einer vorteilhaften Ausgestaltung umfasst das Überführen in einen sicheren Zustand ein gesteuertes oder geregeltes Herunterfahren der Winkelgeschwindigkeit des Drehfeldes. Von Vorteil ist dabei, dass eine Bremsbeschleunigung und/oder ein Ruck in der Anlage, beispielsweise bei einem Förderband für mit Flüssigkeit gefüllten Flaschen, verminderbar ist.

Bei einer vorteilhaften Ausgestaltung wird das Überführen in einen sicheren Zustand gemäß einer genormten Stoppkategorie sicher gemäß der nichttrivialen Sicherheitskategorie ausgeführt. Von Vorteil ist dabei, dass das Stoppen sogar sicher mit der Sicherheitskategorie ausführbar und garantierbar ist.

Weiter vorteilhafte Ausgestaltungen ergeben sich aus den Unteransprüchen.

Die Erfindung wird nun anhand von einer Abbildung näher erläutert:

In der Fig. 1 ist eine Automatisierungszelle gezeigt, die einen Motor 2 umfasst, der von einem Umrichter 1 versorgt wird. Beim Antreiben von mit dem Motor 2 verbundenen mechanischen Komponenten erzeugt der Umrichter 1 ein Drehfeld, also ein magnetisches Feld, dessen Richtung sich im Inneren des Motors 2, also im Bereich des Rotors, dreht.

Die angetriebene mechanische Anordnung setzt die Drehbewegung des Rotors des Motors 2 je nach dem Typ der Anlage, also des jeweiligen erfindungsgemäßen Ausführungsbeispiels, in eine rotatorische und/oder translatorische Bewegung eines oder mehrerer Objekte um.

Der Verteiler 4 umfasst einen T-Knoten für die Starkstromleitung 5 zur Durchleitung an weitere Verbraucher und zur Versorgung des Umrichters. Außerdem umfasst der Verteiler 4 auch Signalelektronik 3, die einen Mikrocontroller mit Speicher umfasst. Somit sind vom Verteiler auch Programme ausführbar.

Der Verteiler 4 umfasst auch Anschlüsse 7 für Feldbusleitung 6. Somit ist der Verteiler als Feldbusteilnehmer betriebsfähig und kann Daten und/oder Programme empfangen und/oder senden. Insbesondere wandelt die Signalelektronik 3 des Verteilers 4 die für den Umrichter 1 bestimmten Daten und/oder Programme in ein Systembusprotokoll um und sendet diese per Datenaustausch 8 an den Umrichter 1. Über diesen Datenaustausch 8 werden auch Daten vom Umrichter 1 empfangen.

Der Systembus ist herstellerspezifisch und somit kompatibel für die herstellereigenen Geräte. Er weist auch eine hohe Datenübertragungsrate auf und ermöglicht somit auch zeitkritische Abläufe, wie beispielsweise elektronische Kurvensteuerungen oder Echt-Zeit-Anwendungen.

Der Datenaustausch 8 ist mit trivialer Sicherheitskategorie B ausgeführt. Bei weiteren erfindungsgemäßen Ausführungsbeispielen ist der Datenaustausch 8 sicher gemäß einer nichttrivialen Sicherheitskategorie 2, 3 oder 4 ausgeführt. Somit wird dann sogar ein sicheres gesteuertes Herunterfahren des Antriebs ausführbar gemäß einer nichttrivialen Sicherheits- und Stoppkategorie.

Der Verteiler 4 weist bei einem Ausführungsbeispiel auch Anschlussvorrichtungen für Ein- /Ausgänge auf.

Der Datenaustausch 8 ist bei einem ersten erfindungsgemäßen Ausführungsbeispiel über eine Schnittstelle RS485 realisiert. Die Leitungen sind dabei separat oder innerhalb eines Hybridkabels, das auch Starkstromleitungen 5 umfasst, ausführbar. Bei anderen erfindungsgemäßen Ausführungsbeispielen wird der Datenaustausch 8 durch Aufmodulation der Informationen auf Starkstromleitungen oder durch Infrarotübertragung ausgeführt.

Die Signalelektronik 3 des Verteilers 4 wird über einen Anschluss für Niederspannung mit 24 V versorgt.

Über einen sicheren Ausgang 9 und sichere Leitungen 10 für Niederspannung wird die Signalelektronik des Umrichters 1 sicher versorgt. Somit ist im Sinne der entsprechenden Sicherheitskategorie der Automatisierungszelle das sichere Abschalten des Motors 2 und der Schutz gegen das Wiederanlaufen gewährleistet. Der sichere Ausgang 9 ist bei einem Ausführungsbeispiel realisiert durch eine zweifach oder mehrfach redundante Ausführungsart des Ausgangs 9. Die Leitungen 10 sind dabei mit entsprechender Sicherheitskategorie ausgeführt, insbesondere ebenfalls mehrfach redundant und/oder beispielsweise im Panzerrohr.

Bei einem weiteren Ausführungsbeispiel sind der sichere Ausgang 9 und die Leitungen 10 Leitungen 10 realisierbar, indem Mittel zum Ausführen einer Beobachterfunktion eingebaut werden. Beispielsweise sind als solche Mittel weitere Leitungen und Vorrichtungen verwendbar, mit denen eine Rückmeldung vom Umrichter an den Verteiler ausführbar ist, die eine Information für die Signalelektronik 3 des Verteilers 4 darstellt mit dem Inhalt, ob die 24 V-Niederspannung zur Versorgung der Signalelektronik des Umrichters 1 korrekt vorhanden ist oder nicht. In einem weiteren erfindungsgemäßen Ausführungsbeispiel umfassen diese Mittel auch eine im Verteiler sich befindende Spannungserfassung der Niederspannung des Umrichters 1.

Ein wesentlicher Vorteil ist dabei, dass der Umrichter in der im Stand der Technik üblichen Weise ausführbar und verwendbar ist. Es muss daher keine redundante Ausführung des Umrichters vorgenommen werden. Somit werden solche aufwendige Vorrichtungen eingespart.

Die sichere Ausführung des Ausgangs 9 und der Leitungen 10 ist zwar aufwendig, aber die Gesamtkosten sind durch die Verwendbarkeit des genannten Umrichters 2 erniedrigt.

Insbesondere ist bei einem erfindungsgemäßen Ausführungsbeispiel die Norm EN 954 - 1 erfüllt. Somit ist der Automatisierungszelle eine im Gegensatz zum Stand der Technik nichttriviale Sicherheitskategorie zuordenbar, insbesondere die Sicherheitskategorie 3.

Als Stoppkategorien sind die Stoppkategorien 0 und 1 ausführbar.

Bei der Stoppkategorie 0 wird das Drehfeld des Antriebs abgeschaltet oder konstant gehalten. Das Konstant-Halten ist beispielsweise auch durch einen Fehler, wie eine Fehlspannung oder dergleichen, bewirkbar.

Bei der Stoppkategorie 1 wird das Drehfeld von seinem Betriebswert, also beispielsweise einer nicht verschwindenden Winkelgeschwindigkeit, aus auf einen Sicherheitswert, insbesondere Ruhen oder Verschwinden des Drehfeldes, gesteuert. Nach einem vorgebbaren Zeitabschnitt wird dann das Drehfeld abgeschaltet oder wenigstens konstant gehalten.

In der Fig. 2 ist ein weiteres Ausführungsbeispiel gezeigt, das andere Stoppkategorien ermöglicht. Dabei ist der Sensor 21 mit dem Rotor des Motors 2 verbunden und als Winkellagegeber ausgebildet.

In einem erfindungsgemäßen Ausführungsbeispiel ist der Sensor durch zwei induktive Schalter realisiert, die um 90° versetzt am Lüfter des Motors 2 angeordnet sind. Somit werden die digitalen Signale der beiden induktiven Schalter über die Leitung 22 für Sensorsignale an digitale Eingänge des Verteilers 4 geleitet. Die Signalelektronik 3 des Verteilers 4 bestimmt aus den Signalen einen Wert für Winkelgeschwindigkeit und die entsprechende Drehrichtung des Rotors. Aus diesen Werten berechnet die Signalelektronik 3 Informationen, die mittels des Datenaustausches 8 an den Umrichter 1 übertragen werden. Dadurch ist sogar ein geregeltes Herunterfahren des Antriebs ausführbar.

Somit ist auch Stoppkategorie 2 ausführbar, bei der das Drehfeld von seinem Betriebswert, also beispielsweise einer nicht verschwindenden Winkelgeschwindigkeit, aus auf einen Sicherheitswert, insbesondere Ruhen oder Verschwinden des Drehfeldes, geregelt wird.

Bei weiteren erfindungsgemäßen Ausführungsbeispielen sind der Sensor 21 und die Leitung 22 sicher gemäß einer nichttrivialen Sicherheitskategorie ausgeführt. Dann ist sogar eine jeweilige Stoppkategorie sicher gemäß der nichttrivialen Sicherheitskategorie ausführbar.

Bei weiteren Ausführungsbeispielen ist als Sensor 21 statt eines Winkellagegebers ein Drehgeber, Resolver, Tacho-Geber oder dergleichen einsetzbar.

Bei weiteren Ausführungsbeispielen bewirkt statt des Winkelgebers ein anderer Sensor 21 eine Rückmeldung. Beispielsweise ist dies ein Endschalter oder eine Menge von Gebern, die in der mechanischen Anordnung der Anlage angebracht sind. Es sind aber auch andere Sensoren, wie beispielsweise Kamerasysteme mit entsprechender elektronischer Auswerteinheit, verwendbar. Die Rückmeldung ist also auch indirekt über ein Getriebe und einen angetriebenen Maschinentisch oder dergleichen ausführbar.

In der Fig. 3 ist eine Anlage mit mehreren Automatisierungszellen gezeigt, wobei die jeweiligen Umrichter und Motoren nicht eingezeichnet sind. Die Automatisierungszellen sind dabei mit einem Sicherheitsbus 31 verbunden.

Bei einem erfindungsgemäßen Ausführungsbeispiel umfasst der Sicherheitsbus 31 eine Feldbusverkabelung und zusätzlich eine weitere Verkabelung für sicherheitsrelevante Informationen. Die letztgenannte Verkabelung ist mit der Sicherheitskategorie entsprechenden sicheren Auswerteeinheiten in den jeweiligen Verteilern 4 zur Auswertung und Verarbeitung verbunden.

Bei einem weiteren erfindungsgemäßen Ausführungsbeispiel umfasst der Sicherheitsbus 31 nur eine einfache Feldbusverkabelung, wobei die sicherheitsrelevanten Informationen als spezielles Sicherheitstelegramm übertragen werden. Somit sind keine zusätzlichen Leitungen zum Feldbus 6 nach den Fig. 1 oder 2 erforderlich. Speziell für die Auswertung und Verarbeitung der sicherheitsrelevanten Informationen sind elektronische Komponenten innerhalb der Signalelektronik 3 des Verteilers vorgesehen. Somit ist ein gemäß der nichttrivialen Sicherheitskategorie, insbesondere 3, Datenaustausch zwischen den Automatisierungszellen in kostengünstiger Weise verwirklicht.

Auf diese Weise ist nun eine gesamte Anlage gemäß der Sicherheitskategorie, insbesondere 3, in kostengünstiger Weise ausgebildet.

In der Fig. 4 ist eine erfindungsgemäße Ausführungsform des Umrichters gezeigt. Die Endstufe 51 umfasst einen Zwischenkreisgleichrichter 50 der von den Starkstromleitungen 5 versorgt wird und die Zwischenkreisspannung bildet, die die Endstufe 51, umfassend sechs Leistungshalbleiter, versorgt. In der Fig. 4 sind nur ein oberer und ein unterer, beispielhaft als IGBT ausführbarer Leistungshalbleiter (44, 45) mit jeweiliger Freilaufdiode gezeigt.

Vom Verteiler 4 führen die Leitungen 10 für Niederspannung zum Schaltnetzteil 49, das zur Potentialtrennung 41 die Primärwicklung 52 eines Trenntransformators versorgt. Mehrere Sekundärwicklungen 53 versorgen einerseits den Microcontroller 47 und den Treiber 48 für die unteren Schalter 44, andererseits bilden drei Sekundärwicklungen 53 mit einer Diode und einem Kondensator jeweils Quellen 46 zur Versorgung der Treiber 43, die mittels Optokopplern vom Mikrocontroller 47 angesteuert werden, da sie auf einem hohen, von der Zwischenkreisspannung bestimmten Potential liegen.

Der Datenaustausch 8 führt über den Optokoppler 42 potentialgetrennt zum Microcontroller 47.

Ein Abschalten der über die Leitungen 10 zugeführten 24 V-Niederspannung führt also zum Abschalten der Quellen 46 und zum Abschalten des Mikrocontrollers 47 und der Treiber 48. Das Drehfeld ist also abgeschaltet und gegen Wiederanlauf geschützt, obwohl der Umrichter noch über die Starkstromleitungen 5 versorgt ist.

Selbst dann, wenn eine Fremdspannung eingeleitet wird, wird kein Drehfeld erzeugt. Denn es könnte zwar ein Treiber 48 oder 47 versorgt sein, dies würde aber nur bewirken, dass Motorphasen U Spannung führen. Ein Drehfeld ist nicht vorhanden und ein Wiederanlaufen verhindert.

Erst beim Auftreten mehrerer Fehler, also verschiedenen Fremdspannungen an verschiedenen Stellen ist die Erzeugung eines Drehfeldes prinzipiell möglich, wenn auch extrem unwahrscheinlich.

Bei erfindungsgemäßen Ausführungsformen ist der Umrichter derart ausgeführt, dass das sichere Abschalten und/oder der Schutz gegen Wiederanlauf bloß durch Beeinflussung von elektronischen Halbleiterschaltern im Umrichter vorgesehen ist. Zu diesen Halbleiterschalter zählen die elektronischen Leistungsschalter 44, 45 der Endstufe 51. Die Steuersignale für die Endstufe wird nach Abschaltung der Versorgung der Treiber 43, 48 sicher verhindert. Diese Versorgung und die Versorgung des Mikrocontrollers 47 wird unterbrochen, wenn die 24 V- Niederspannungs-Versorgung über die Leitungen 10 unterbrochen wird, beispielsweise durch sicheres, von der weiteren Vorrichtung ausgeführtes Abschalten der 24 V-Niederspannungs- Versorgung.

Wesentlicher Vorteil ist bei der Erfindung, dass das Abschalten innerhalb des Umrichters verschleißfrei ausgeführt ist, insbesondere ohne Relais. Außerdem wird bei der erfindungsgemäßen Ausführung des Umrichters kein zusätzlicher Platz benötigt. Gerade dies begünstigt die Ausführbarkeit und Verwendung eines kompakten Umrichtermotors, bei dem Motor und Umrichter eine bauliche Einheit bilden und die raumsparende Ausführung den Umrichtermotor auch in sicheren Anlagen einsatzfähig macht.

Bezugszeichenliste

1

Umrichter

2

Motor

3

Signalelektronik des Verteilers

4

Verteiler

5

Starkstromleitung, T-förmige Starkstromleitung

6

Feldbusleitung

7

Anschluss für Feldbus

8

Datenaustausch

9

sicherer Ausgang, insbesondere für 24 V

10

sichere Leitung für Niederspannung, insbesondere 24 V

21

Sensor

22

Leitung für Sensorsignale

31

Sicherheitsbus

41

Potentialtrennung

42

Optokoppler

43

Treiber mit Optokoppler

44

Unterer Schalter

45

Oberer Schalter

46

Quelle

47

Microcontroller

48

Treiber

49

Schaltnetzteil

50

Zwischenkreisgleichrichter

51

Endstufe

52

Primärwicklung

53

Sekundärwicklung
U Motorphase

Claims

1. Anlage, umfassend eine oder mehrere Automatisierungszellen,
wobei zumindest eine Automatisierungszelle zumindest einen mindestens einen Umrichter und Motor umfassenden Antrieb und einen Verteiler aufweist,
und wobei der Verteiler eine Signalelektronik aufweist, die mindestens einen Mikroprozessor und/oder Mikrocontroller umfasst, und der Verteiler mindestens einen Anschluss für Niederspannung zur Versorgung seiner Signalelektronik umfasst,
und wobei der Verteiler mindestens einen Anschluss für Feldbus zum Datenaustausch mit weiteren Feldbusteilnehmern und/oder mit einer Steuerung, insbesondere einer zentralen Steuerung, umfasst,
und wobei der jeweilige Motor von einem Umrichter versorgt wird
und wobei der Umrichter und der Verteiler zum Datenaustausch verbindbar sind,
und wobei eine gemäß Norm, insbesondere gemäß deutscher und/oder europäischer Norm EN 954-1 und/oder EN 60 204-1, sichere Versorgung der Signalelektronik des Umrichters mit Niederspannung vom Verteiler aus gemäß einer nichttrivialen Sicherheitskategorie, insbesondere gemäß Sicherheitskategorie 2, 3 oder 4, vorgesehen ist,
und wobei mindestens der Umrichter, der Verteiler und die sichere Versorgung gemäß einer nichttrivialen Sicherheitskategorie derart ausgeführt ist, dass der gesamten jeweiligen Automatisierungszelle als Ganzes die nichttriviale Sicherheitskategorie zuordenbar ist.

2. Anlage nach mindestens einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass zum Erreichen der Sicherheitskategorie jeweils zwei- oder mehrfach redundante Ausführung von Komponenten oder Teilsystemen vorgesehen sind und/oder dass zum Erreichen der Sicherheitskategorie Mittel zum Ausführen einer Beobachterfunktion vorgesehen sind.

3. Anlage nach mindestens einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass nach Erkennen eines Fehlers eine Sicherheitsmeldung, insbesondere optisch, akustisch oder elektrisch ausgeführt wird.

4. Anlage nach mindestens einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass und wobei der Verteiler mindestens an einen Sicherheitsbus zum Austausch von sicherheitsrelevanten Daten anschließbar ist.

5. Anlage nach mindestens einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass der Sicherheitsbus durch gemäß einer Sicherheitskategorie verwendbare Hardware und elektrische Leitungen ausgeführt ist.

6. Anlage nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass der Sicherheitsbus Übertragung von Sicherheitsdaten über Leitungen des Feldbus mindestens bis zum Anschluss für Feldbus am Verteiler umfasst.

7. Anlage nach mindestens einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass die sichere Versorgung des Umrichters durch den Verteiler nach der genormten Sicherheitskategorie 2, 3 oder 4 ausgeführt ist.

8. Anlage nach mindestens einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass der Umrichter und der Motor eine bauliche Einheit, insbesondere einen Umrichtermotor, bilden.

9. Anlage nach mindestens einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass der Datenaustausch auch den Austausch von Programmen umfasst.

10. Anlage nach mindestens einem der vorangegangenen Ansprüche,
dadurch gekennzeichnet, dass
Umrichter und Verteiler zum Datenaustausch mit Leitungen verbindbar sind
oder dass Umrichter und Verteiler derartige elektronische Schaltungen aufweisen, dass der Datenaustausch zwischen Umrichter und Verteiler durch Aufmodulation auf Leitungen ausführbar ist.

11. Verfahren zum Betreiben einer Anlage nach mindestens einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass nach Erkennen eines Fehlers und/oder Empfang einer Sicherheitsinformation mindestens ein Antrieb in einen gemäß einer nichttrivialen Sicherheitskategorie sicheren Zustand überführt wird.

12. Verfahren nach Anspruch 11, dadurch gekennzeichnet, dass das Überführen in den sicheren Zustand ein gemäß der nichttrivialen Sicherheitskategorie sicheres Abschalten und/oder ein sicheres Verharren im abgeschalteten Zustand ist.

13. Verfahren nach mindestens einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass zum Überführen in den sicheren Zustand zumindest ein gesteuertes oder geregeltes Herunterfahren der Winkelgeschwindigkeit des Drehfeldes ausgeführt wird.

14. Verfahren nach mindestens einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass das Überführen in einen sicheren Zustand gemäß einer Stoppkategorie gemäß Norm sicher gemäß der nichttrivialen Sicherheitskategorie ausgeführt wird.