Menschen, Maschinen, Produktivität Funktionale Sicherheit bei Antrieben im Fokus

Durch den Einsatz funktionaler Sicherheit lässt sich der Achsenbetrieb so regeln, dass sowohl eine sichere Umgebung aufrechterhalten als auch die Leistung optimiert wird.

Früher wurde die Maschinensicherheit durch eine Reihe von Relaisbänken gewährleistet, die bei Verletzung einer Bedingung die Stromzufuhr unterbrachen, z. B. beim Betreten eines Schaltschranks durch einen Maschinenführer oder beim Betreten einer Druckmatte. Der Schwerpunkt lag auf der Trennung des Maschinenpersonals von der Anlage. Dieser Ansatz gewährleistete zwar die Sicherheit der Maschinenführer, führte aber oft zu frustrierend langsamen Wartungs- und Reinigungsarbeiten. Wiederholte Notabschaltungen belasteten die Anlagen stark. Das Schlimmste war jedoch, dass bei einer Änderung der Produktionslinie die Sicherheitslösung komplett neu konzipiert werden musste.

Heutzutage hat sich die Fertigung weiterentwickelt. Die Chargen sind kleiner, Umstellungen erfolgen häufiger. Rezepturen ändern sich mit einem einfachen Berühren eines HMI. Auch die Sicherheit hat sich weiterentwickelt. Eine von intelligenten Antrieben unterstützte funktionale Sicherheit bietet eine flexible, effiziente und vor allem vertrauenswürdige Möglichkeit, Mitarbeiter und Anlagen zu schützen und gleichzeitig die Anlageneffektivität (OEE) drastisch zu erhöhen. Bei einem auf Sicherheit ausgerichtetem Design steuern sicherheitsbewertete Komponenten die Betriebsparameter des Geräts. Anstatt die Stromzufuhr zu einer Achse sofort zu unterbrechen, sobald eine Bedingung verletzt wird, beschränken funktionale Sicherheitssysteme lediglich die Bewegung der Achse (siehe Bild 1). Das System ist in der Lage, mit einem Fehler umzugehen, dabei jedoch ein bestimmtes Sicherheitsniveau aufrechtzuerhalten und den Benutzer durch Selbstdiagnose und automatische Warnungen zu informieren.

Bei der funktionalen Sicherheit wird die Sicherheitshardware durch Software ersetzt. Sie tauscht Leistungskomponenten gegen Logikebenen aus. Dieser Ansatz erhöht die Betriebszeit, steigert die Produktivität und reduziert den Ausschuss. Durch die Minimierung der Anzahl von Notstopps bei gleichzeitiger Aufrechterhaltung sicherer Bedingungen trägt funktionale Sicherheit dazu bei, dass Komponenten wie Motoren und Antriebe länger halten. Beispiele hierfür sind die Verwendung von sicher begrenzter Geschwindigkeit (SLS), um die Reinigung effizienter zu gestalten, oder sicher begrenztes Drehmoment (SLT), damit ein SCARA-Roboter als Teil eines kollaborativen Robotersystems funktionieren kann. Wir erleben derzeit eine Revolution in der Fertigung, und die funktionale Sicherheit steht dabei im Mittelpunkt.

Funktionale Sicherheitsarchitekturen

Implementierungen der funktionalen Sicherheit sind sehr unterschiedlich und hängen von den Anforderungen des Systems, den verwendeten Komponenten, den Fähigkeiten des Systemintegrators und dem Budget ab. Beginnen wir mit den vier Grundkomponenten eines Sicherheitssystems:

• Sensoren: Encoder, Druckaufnehmer, Lichtvorhänge usw.

• Eine sicherheitsgerichtete SPS

• Eine Bewegungssteuerung

• Antriebe: Basisantriebe oder sicherheitsfähige Antriebe mit integrierter Sicherheitsfunktionalität

Wenn das System in Betrieb ist, übernimmt die SPS die grundlegenden Maschinenfunktionen. Der Motion Controller berechnet die Wege und sendet Befehle an die Antriebe, die wiederum den Motor kommutieren, um die Last zu positionieren. Gleichzeitig verarbeitet die sicherheitsgerichtete SPS die Eingaben der Sicherheitssensoren. Erkennt sie eine Grenzwertüberschreitung (z. B. Erreichen des zulässigen Verfahrwegs), bestimmt die Sicherheits-SPS die richtige Reaktion für den Motor (Stopp). Der Motor wird entweder durch Befehle von der Bewegungssteuerung an einen "dummen" Antrieb oder durch den Aufruf der in einem sicherheitsbewerteten Antrieb eingebauten Sicherheitsfunktionen zum Stillstand gebracht.

In unserem Zeitalter der intelligenten Komponenten haben Speicher und Onboard-Verarbeitung die Möglichkeiten fast aller Komponenten eines Antriebssystems erheblich erweitert. Dieselbe SPS, die eine Maschine steuert, kann potenziell auch Sicherheitsfunktionen übernehmen. Sicherheitsbewertete Antriebe rationalisieren Sicherheitsimplementierungen, indem sie die komplexe Programmierung durch integrierte Funktionen ersetzen, die lediglich konfiguriert werden müssen. In einfacheren Maschinen können intelligente, sicherheitsbewertete Antriebe nicht nur die Bewegung ohne eine zusätzliche Steuerung steuern, sondern auch die Sicherheitsfunktionen verwalten. Diese einfachere Architektur reduziert die Anzahl der Teile, die Verkabelung, die Kosten und die Komplexität.

Die Implementierung eines sicherheitsrelevanten Antriebs umfasst mehr als nur die Programmierung. Sicherheitssysteme legen Wert auf Redundanz. Sicherheitsantriebe verfügen in der Regel über zwei Prozessoren und zwei Speichereinheiten. Sie arbeiten auf der Grundlage des Inputs von zwei Absolutwertgebern. Backup-Hardware ist jedoch nicht genug.

Die beiden Prozessoren sollten von verschiedenen Herstellern stammen, um Ausfälle aufgrund gemeinsamer Ursachen bei Chipdesign, Fertigung und Firmware zu vermeiden. Darüber hinaus ermöglicht eine umfassende Selbstkontrolle dem Antrieb, Probleme sofort zu erkennen. Wenn eine Anomalie erkannt wird, ist der Antrieb so programmiert, dass er in einen bekannten sicheren Zustand übergeht. Maschinen mit Sicherheitsnetzwerken benötigen eine Hochgeschwindigkeitskommunikation zwischen den Komponenten. Funktionale Sicherheit erfordert, dass das Netzwerk auf einem sicherheitsbewerteten Protokoll wie Functional Safety over EtherCAT (FSoE) basiert. Diese Protokolle beinhalten eine umfassende Selbstüberprüfung. Wie bei den Prozessoren wird die Achse jedes Mal, wenn das System beschädigte Daten oder einen Kommunikationsfehler feststellt, in einen bekannten sicheren Zustand übergehen.

Power-Tipp

Stromversorgungen für Kfz-Frontkameras designen

Wichtige Sicherheitsmerkmale

Die funktionale Sicherheit wird durch eine Reihe von internationalen Normen definiert. Die wichtigsten sind:

IEC EN 61508: Primäre Norm für funktionale Sicherheit; definiert den Rahmen für die Sicherheitsintegritätsstufe (SIL).

IEC-61800-5-2: Sicherheit von Servoantrieben.

IEC 62061: Maschinenbasierte funktionale Sicherheitsnorm für sicherheitsbezogene elektrische, elektronische und programmierbare elektronische Steuerungssysteme. Beschreibt die Umsetzung der IEC 61508 für verschiedene Anwendungsbereiche und Maschinenkonzepte.

ISO EN 13849-1: ISO-Version der Norm für funktionale Sicherheit; definiert den Sicherheits-Performance-Level (PL).

ETG-6100, ETG-5100, ETG-5101, IEC-61784: Kommunikationsnormen (EtherCAT und Sicherheitskommunikation).

ETG-7100, ETG-7010: Konformitätstests für Sicherheitskommunikation.

Endanwender arbeiten mit dem Maschinenbauer und Systemintegrator zusammen, um die SIL- oder PL-Stufen für die Anwendung zu bestimmen. Ein Teil des Entwurfs des Sicherheitssystems umfasst die Auswahl von Komponenten, die das erforderliche Schutzniveau bieten. Die Normen definieren eine Reihe spezifischer Sicherheitsfunktionen, die zur Behebung bestimmter unsicherer Zustände herangezogen werden können.

• Sicheres Abschalten des Drehmoments (STO): Unterbricht die Stromzufuhr zum Motor. Die Motor­welle läuft im Freilauf weiter, ohne dass ein Dreh­moment aufgebracht wird, bis die kinetische Energie nachlässt; die Antriebe bleiben für einen schnelleren Neustart eingeschaltet.

• Sicherer Halt 1 (SS1): Aktives Bremsen bringt die Welle schnell und kontrolliert zum Stillstand, damit sich die Achse nicht weiterdreht; an diesem Punkt wird STO ausgelöst. Wird in Fällen angewendet, in denen jede Bewegung der Achse eine Gefahr für Personen, Produkte oder Geräte darstellen könnte.

• Sicherer Betriebsstopp (SOS): Der Antrieb hält den Motor bei Drehzahl Null, ohne das Drehmoment zu verringern. Die Anlage kann sofort wieder anlaufen, ohne dass ein Reset erforderlich ist.

• Sicherer Halt 2 (SS2): Eine kontrollierte Bremsfunktion bringt Geräte mit hoher kinetischer Energie zu einem kontrollierten Stopp; an diesem Punkt wird SOS aufgerufen. Wird verwendet, wenn jede weitere Bewegung eine Gefahr für Personen, Produkte oder Geräte darstellen kann.

• Sichere Bremsensteuerung (SBC): Sichere Steuerung der externen Abschaltbremse; wird im Allgemeinen bei vertikalen Achsen verwendet. Bei einem Ausfall eines redundanten Bremssystems ruft der Antrieb normalerweise SOS auf.

• Sicher begrenzte Geschwindigkeit (SLS): Legt eine Höchstgeschwindigkeit fest. Wenn ein Fehler dazu führt, dass das System den Schwellenwert überschreitet, bringt der Antrieb die Achse in einen sicheren Zustand.

• Sicher begrenztes Drehmoment (SLT): Begrenzt das Motordrehmoment durch Begrenzung des vom Umrichter gelieferten Stroms.

• Sicher begrenzte Position (SLP): Begrenzt den Bereich, innerhalb dessen sich die Last bewegen kann, indem die Position durch Encoder-Feedback überwacht wird. Wenn die Rückmeldung informiert, dass sich die Last über den zulässigen Bereich hinaus bewegt hat, wird die Last mit SS1/STO oder SS2/SOS zum Stillstand gebracht. Die schnelle Reaktion dieser Funktionen minimiert den Sicherheitsspielraum um das Gerät.

Beim Erzwingen einer der Safe-Motion-Funktionen (z. B. SLP, SLS und SLT) überwacht der Antrieb den Sensorausgang und vergleicht ihn mit vordefinierten Schwellenwerten.

Wenn der Ausgang den Schwellenwert überschreitet, meldet der Antrieb einen Überwachungsfehler und folgt einer vorprogrammierten Reaktion (z. B. Fail to SS1/STO oder SS2/SOS). Für einen praktischen Anwendungsfall kehren wir zu unserem früheren Beispiel einer Achse zurück, die SLT verwendet, um einen kollaborierenden Roboter zu realisieren. Das Drehmoment in einem Servomotor ist proportional zum Antriebsstrom.

Der Umrichter mit Sicherheitseinstufung kann so konfiguriert werden, dass der dem Motor zugeführte Umrichterstrom und damit das Ausgangsdrehmoment begrenzt wird. Falls ein Fehler dazu führt, dass der Antrieb die Stromgrenzen überschreitet, würden entweder der Antrieb oder die Steuerung SS1 und STO aufrufen, um den Motor schnell genug in einen sicheren Zustand zu bringen, um den SIL-Level aufrechtzuerhalten. Die Achse durchläuft keinen Notstopp. Die Hardware wird nicht erschüttert, der Antrieb wird nicht durch eine plötzliche Stromunterbrechung belastet. Das System kann schneller wieder in Betrieb genommen werden, indem es in einen bekannten sicheren Zustand versetzt wird.

Maschinen mit Sicherheitsnetzwerken benötigen eine Hochgeschwindigkeitskommunikation zwischen den Komponenten. Die funktionale Sicherheit erfordert, dass das Netzwerk auf einem sicherheitsrelevanten Protokoll wie Functional Safety over EtherCAT (FSoE) basiert. Diese Protokolle beinhalten eine umfassende Selbstkontrolle. Wie bei den Prozessoren wird die Achse jedes Mal, wenn das System beschädigte Daten oder einen Kommunikationsfehler feststellt, in einen bekannten sicheren Zustand übergehen.

Intelligente Sicherheit

Seit einigen Jahren fertigt Elmo kompakte und leistungsstarke Antriebe mit extrem hoher Leistungsdichte und STO-Funktionalität. Obwohl diese Antriebe weiterhin bedeutende Vorteile für Maschinenbauer und Anlagenbesitzer bieten, sind sie nur ein Aspekt unseres Engagements für die Förderung der Fertigungs- und Verarbeitungstechnologien der Industrie 4.0 und der intelligenten Fertigung. Wir verstehen die Schlüsselrolle funktionaler Sicherheit in dieser neuen Ära der Fertigung. Als es an der Zeit war, unsere neueste Generation von Servoantrieben zu entwickeln, haben wir den Schwerpunkt auf intelligente Sicherheit gelegt. Das Ergebnis ist unsere Platinum- Reihe von Servoantrieben mit funktionaler Sicherheit, einschließlich des Platinum Twitter, der eine Leistung von 5,5 kW in einem 35 mm x 30 mm x 14,4 mm großen Gehäuse liefert (siehe Bild 2).

Die Platinum-Laufwerke basieren auf einem 400-MHz-Prozessor mit 32 MB Flash- und LPDDR-Speicher. Zu den integrierten Sicherheitsfunktionen gehören:

STO, SS1, SOS, SS2, SBC, SLP, SLS, SLT

Die Antriebe verfügen über drei Anschlüsse für Rückmeldung und E/A sowie über Unterstützung für zwei Absolutwertgeber, die für die Sicherheitsredundanz erforderlich sind. Alle Produkte der Platinum-Reihe sind nach IEC 61800-5-2 SIL-3, Cat4 PL-e zertifiziert.

In ihrer kleinsten Ausführung sind die Platinum- Antriebe kompakt und dennoch so leistungsstark, dass sie tief in der Maschine oder in einem Robotergelenk montiert werden können. Sie sind so konzipiert, dass sie als verteiltes Netzwerk von Sicherheitsknoten fungieren. Anwender haben die Wahl zwischen einer EtherCAT-Anbindung mit integriertem FSoE oder eigenständigen sicheren digitalen E/A. Die integrierten Sicherheitsfunktionen können mit dem Elmo Application Studio 2.5 konfiguriert werden, das bereits für die Bewegungsaspekte der Maschine zuständig ist. Das Ergebnis ist ein System, das die volle Sicherheitsfunktionalität bietet und gleichzeitig die Anzahl der Sicherheitskomponenten, den Stromverbrauch, die Maschinenkosten und die Komplexität minimiert.

Fazit

Moderne Antriebssysteme werden in zunehmendem Maße funktionale Sicherheit im Netzwerk einsetzen, um Mitarbeiter zu schützen und die OEE zu maximieren. Antriebe mit funktionaler Sicherheit ermöglichen es End­anwendern und OEMs, mit weniger Hardware mehr zu erreichen, die Komplexität zu verringern und den Stromverbrauch zu reduzieren.

Die Antriebe der Platinum-Serie von Elmo kombinieren funktionale Sicherheit mit unserer charakteristischen hohen Leistungsdichte, erhöhter Effizienz und benutzerfreundlicher Software. Die daraus resultierenden Lösungen ermöglichen es OEMs, ihre Produkte schneller auf den Markt zu bringen, während sie ihren Endkunden helfen, die Rentabilität zu maximieren und in die neue Ära der Fertigung einzusteigen. (mr)

* Ronen Sadan ist Vice President Marketing bei Elmo Motion Control Ltd.

(ID:50095663)