Maschinensicherheit mit Frequenzumrichtern gewährleisten: Schlüssel-Funktionen & Best Practices

Allgemeine Prinzipien von Sicherheitsfunktionen in elektronischen Geräten

Dieser Blog gibt eine Einführung in die Verwendung von Frequenzumrichtern in Maschinen-Sicherheitsfunktionen. Er soll denen helfen, die mit Wechselrichter-Antrieben vertraut sind, aber weniger mit sicherheitsbezogenen Steuerungssystemen. Er sollte dem Leser helfen, die Prinzipien zu verstehen und weiter auf die große Menge an detailliertem Material zuzugreifen, die über sicherheitsbezogene Systeme verfügbar ist.

Der Begriff „Funktionale Sicherheit“ wird angewendet, wo elektrische, elektronische oder programmierbare Geräte verwendet werden, um Funktionen auszuführen, die die menschliche Sicherheit betreffen. Dies ist ein riesiges Thema, das diverse Anwendungen wie Eisenbahnsignalisierung und die Überwachung und Steuerung großer Prozessanlagen umfasst, wo viele Menschen bei einem Unfall gefährdet sein könnten. Am häufigsten in Antriebsanwendungen würde es sich auf irgendeine Art von Maschinen beziehen, wo das Steuerungssystem verwendet werden kann, um eine Situation zu verhindern, in der eine Person durch den Betrieb der Maschinen verletzt werden könnte. Ein einfaches Beispiel ist eine Sicherheitsbarriere, die häufig geöffnet werden muss, um Zugang zu einem Teil der Maschine zu erhalten, aber wenn sie offen ist, darf die Maschine nicht betrieben werden können. Ein System aus Sensoren und Aktoren kann entworfen werden, um den Zustand der Barriere zu erkennen und die Maschine zu steuern.

Mit der Verfügbarkeit intelligenter programmierbarer Geräte wie SPS und digitalen Frequenzumrichtern können Sicherheitssysteme flexibler und intelligenter sein als dieses Beispiel, was flexiblen Betrieb bei gleichzeitiger Aufrechterhaltung der Sicherheit ermöglicht. Beispielsweise könnte es möglich sein, den Betrieb mit reduzierter Geschwindigkeit zu erlauben, wenn eine Barriere offen ist, möglicherweise bedingt durch einen speziellen Sicherheitsschlüssel, der von einer qualifizierten Person bedient wird, oder vielleicht, wenn das Gesicht dieser Person erkannt wird, oder eine andere Vorsichtsmaßnahme.

Fehlermodi

Der entscheidende Faktor bei Sicherheitsfunktionen ist, dass die Zuverlässigkeit der Funktion erheblich besser sein muss als das, was durch einfache elektrische, elektronische oder programmierbare Geräte erreicht werden kann. Wie gut auch immer die Qualität eines konventionellen elektrischen oder elektronischen Schaltkreises ist, können einige Komponentenfehler auftreten, die dazu führen, dass die erforderliche Sicherheitsfunktion nicht ausgeführt wird, ohne dass der Fehler offensichtlich wird. Hardware für Sicherheitsfunktionen muss daher mit Selbsttest- oder „Fail-Safe“-Funktionen designed werden. Während der Produktentwicklung müssen die Auswirkungen von Hardware-Fehlern in einer Fehlermöglichkeits- und -auswirkungsanalyse (FMEA) analysiert und potenziell gefährliche Fehlermodi durch Design auf ein sehr niedriges Niveau reduziert werden. Ein typisches Ziel für die PFH_D (Wahrscheinlichkeit eines gefährlichen Versagens) für Integritätslevel SIL3 wäre 10^-8 pro Stunde, d. h. eine Ausfallrate von weniger als einem pro 10.000 Jahre. Solch niedrige Ausfallraten erfordern immer spezielle Strukturen in elektronischen Steuerungssystemen. Beachten Sie hier, dass wir uns auf zufällige Ausfälle beziehen, die während der vorgesehenen Lebensdauer der Ausrüstung auftreten, und nicht auf die Lebenserwartung. Teile mit bekannten Verschleißmechanismen innerhalb der vorgesehenen Lebensdauer des Systems können durch geplante Wartung gemanagt werden.

Steuerstrukturen

In den meisten Anwendungen mit Antrieben wird die Sicherheit einer festen Maschine adressiert, und die häufigste Option ist die Verwendung von zwei unabhängigen Kanälen für die Sicherheitsfunktion, mit Kreuzüberwachung, sodass im Falle einer Diskrepanz der Antrieb stoppt, d. h. das Antriebsdrehmoment stoppt. In den meisten Maschinen resultiert dies in einem sicheren Zustand. Für eine Maschine wie einen Hebezeug, das sich unter Schwerkraft ohne Antrieb bewegen könnte, müssen Maßnahmen ergriffen werden, um sicherzustellen, dass es keine Gefahr verursachen kann, wenn das Antriebsdrehmoment verschwindet.

Abbildung 1 illustriert ein grundlegendes Zwei-Kanal-Sicherheitssystem, das auch als „eins aus zwei“ oder 1oo2-System bezeichnet wird, was bedeutet, dass wenn einer der beiden Kanäle einen Stopp anfordert, die Maschine stoppt. Dies ist die häufigste Anordnung für ein Maschinen-Sicherheitssteuerungssystem. Ein Fehler in entweder Sensor oder Signalverarbeitungsprozessor führt nicht zum Verlust der Sicherheitsfunktion. Beachten Sie, dass Abbildung 1 ein funktionales Diagramm ist, das „UND-Gatter“ am Ausgang ist kein einfacher Logikchip, weil dies einen Einzelpunkt-Ausfallmechanismus einführen würde, wenn der Logikchip ausfällt. Es könnte ein zwei-Kanal-STO-Eingang am Antrieb sein oder eine andere Methode, wo der gemeinsame Ursachenausfall eines einzelnen Geräts eliminiert wird.

Die in grau gezeigte Diagnosefunktion ist normalerweise notwendig, um fortlaufende Sicherheit zu gewährleisten, weil ohne sie, obwohl ein Fehler in einem Kanal die Sicherheitsfunktion nicht zum Scheitern bringt, es möglich wäre, dass die Maschine unbegrenzt mit einem Kanal im unsicheren Zustand weiterläuft. Ein zweiter Fehler würde dann zu einem gefährlichen Zustand führen.

Software/Firmware

Die Verwendung eingebetteter Prozessoren, die Firmware und Software ausführen, führt eine neue Dimension in die funktionale Sicherheit ein. Die Software hat keine zufälligen Ausfälle, aber ihre Komplexität bedeutet, dass es schwierig ist, sicherzustellen, dass sie unter allen Bedingungen und Ereignissequenzen wie beabsichtigt funktioniert. Dies kann nicht durch einen Test des vollständigen Systems als „Black Box“ bewiesen werden – die Software muss in einer gut definierten Sprache geschrieben werden, mit Maßnahmen zur Vermeidung von Codierfehlern, und sorgfältig in Module strukturiert, die bei jedem Schritt spezifiziert und getestet werden können. Es muss auch bewiesen werden, dass die Module nicht nachteilig durch andere Aktivitäten im Prozessorsystem beeinflusst werden können, und dies ist schwierig, wenn anderer Nicht-Sicherheits-Code auf demselben Prozessor läuft.

Die notwendige Disziplin, eine klare, eindeutige Spezifikation mit einem Testplan zu erstellen und den Prozess gründlich zu dokumentieren, gilt sowohl für das Schreiben des Codes als auch für das Design des vollständigen Systems.

Eine wichtige Kontrolle über Softwarequalität ist die Unterscheidung einer „begrenzten Variabilitätssprache“ (LVL) von einer „vollen Variabilitätssprache“ (FVL). Die LVL ist darauf beschränkt, vorgeprüfte Module mit gut definierten Funktionen in einer eingeschränkten Weise zu konfigurieren, sodass das Ergebnis durch ein einfaches sequentielles Testprogramm getestet werden kann. Die LVL wäre mit einer FVL wie C++ usw. erstellt worden, die einen vollständigen rigorosen Designprozess durchlaufen hatte und dann über den Zugriff durch den LVL-Programmierer hinaus gesperrt wurde.

Die Leichtigkeit, mit der Software geändert werden kann, bedeutet auch, dass ein sicheres Versionskontrollsystem vorhanden sein muss, einschließlich der Verhinderung unbefugter Änderungen.

Antriebsanwendungen

Viele Sicherheitsfunktionen, die einfache Sequenzen und Kombinationen von Eingängen zur Steuerung von Ausgängen umfassen, können in einer SPS mit speziellen Funktionen zur Verhinderung von Gefahren durch Hardware-Fehler und Software-Fehler implementiert werden, d. h. einer „Sicherheits-SPS“. Es gibt jedoch Anwendungen, wo der Antrieb besonders gut positioniert ist, um solche Funktionen kosteneffektiv zu implementieren:

• Verhinderung des Antriebs – der Wechselrichterantrieb hat einzigartige Merkmale, die ihn für das letzte Glied in der Sicherheitskette geeignet machen, nämlich das Verhindern der Drehmomententwicklung im Motor bei Bedarf mit sehr hoher Integrität. Dies ist als Safe Torque Off (STO) definiert.
• Einschränkung des Bewegungsbereichs, einschließlich Drehmoment, Beschleunigung, Geschwindigkeit, Richtung oder Position, entweder in absoluten Werten oder relativen Werten wie Positionsschritten. Der Antrieb steuert diese Variablen und hat oft genaue und schnell reagierende Messungen davon, z. B. durch einen Wellen- oder Positiongeber oder möglicherweise durch Beobachtung des Verhaltens von Motorspannung und -strom. Wenn diese antriebsbezogenen Funktionen mit etwas einfacher kombinatorischer und sequentieller Logik für Eingänge von Maschinensensoren wie Tor-Schaltern und Schlüsselschaltern kombiniert werden, dann kann eine große Klasse von Sicherheitsanwendungen implementiert werden.

Standards für sicherheitsbezogene Teile von Maschinensteuerungssystemen

Die Notwendigkeit rigorosen Managements und Implementierens von Sicherheits-Systemdesign bedeutet, dass die relevanten internationalen Standards komplex und dicht sind. In dieser Notiz werden wir nur einige Schlüsselmerkmale der für Maschinensicherheit relevantesten Standards betrachten.

Internationale Standards haben das Präfix ISO oder IEC. Europäische CENELEC-Standards haben das Präfix EN. Wir werden uns hier die EN-Versionen ansehen, die internationalen Formen verwenden dieselben Nummern mit unterschiedlichen Präfixen. Die EN-Versionen haben den Status harmonisierter Standards für die EG-Maschinenrichtlinie.

EN ISO 12100 beschreibt, wie die Maschinen-Risikobewertung durchgeführt werden sollte, was zur Zuordnung von Sicherheitsfunktionen zum Steuerungssystem führt, falls notwendig. Dies ist ein wesentlicher Vorläufer für das korrekte Design der sicherheitsbezogenen Steuerung und liegt in der Verantwortung des Maschinenkonstrukteurs.

EN 61800-5-2 ist ein Standard für funktionale Sicherheit von Antriebssystemen. Er definiert eine Reihe von Funktionen, die besonders für Antriebe geeignet sind, bezeichnet als „designated safety sub-functions“, wie Safe Torque Off (STO), Safely-Limited Speed (SLS) usw. Die Sicherheitsintegrität einer vollständigen Sicherheitsfunktion wird durch den SIL gemessen, der Werte von 1 (niedrigste) bis 3 annehmen kann. Da der Antrieb ein Teilsystem eines vollständigen sicherheitsbezogenen Steuerungssystems ist, wird dies als seine „SIL-Fähigkeit“ bezeichnet.

EN 62061 ist ein Standard für elektrische/elektronische/programmierbare Steuerungssysteme von Maschinen, der dieselbe SIL-Metrik wie EN 61800-5-2 verwendet.

EN ISO 13849-1 ist ein Standard für Steuerungssysteme von Maschinen, einschließlich nicht-elektrischer Systeme. Er verwendet eine andere Metrik, das Performance Level (PL) und die Kategorie (von B bis 4). Ein ergänzender Standard EN ISO 13849-2 deckt „Validierung“ ab, was Anleitung dazu enthält, welche Fehler berücksichtigt werden müssen und welche ausgeschlossen werden können („Fehlerausschlüsse“).

Das Fundament vieler Standardisierung sicherheitsbezogener elektrischer/elektronischer/programmierbarer Systeme ist die EN 61508-Reihe, Teile 1 bis 7. Diese sind nicht selbst harmonisierte Standards, da sie alle Systeme abdecken und nicht nur Steuerungssysteme für Maschinen.

Sicherheitsintegritätslevel

Der erforderliche SIL oder PL für eine gegebene Sicherheitsfunktion ist mit dem Risikograd verknüpft, den die Funktion mindern muss – d. h. der Wahrscheinlichkeit und Schwere einer möglichen Verletzung. Der Prozess der Entscheidung hierüber beginnt mit der Risikobewertung der Maschine, die in EN ISO 12100 beschrieben ist. Regeln für die Ableitung des erforderlichen SIL oder PL sind in EN 62061 und EN ISO 13849-1 gegeben.

Safe Torque Off in Wechselrichterantrieben (STO)

Die grundlegendste Sicherheitsfunktion, die ein Antrieb bieten kann, ist STO. Ein Wechselrichterantrieb, der einen Asynchronmotor steuert, ist besonders für diese Funktion geeignet, da die Wechselrichter-Leistungsstufe kontinuierlich aktiv sein muss mit einem komplexen und gut kontrollierten PWM-Schaltmuster für die meisten Leistungshalbleiter, um irgendein Drehmoment im Motor zu erzeugen. Abbildung 2 illustriert die grundlegende Leistungsstruktur des Wechselrichters.

Der Motor benötigt ein rotierendes Magnetfeld, um Drehmoment zu erzeugen, das nur durch die sechs Leistungstransistoren erzeugt werden kann, die einem komplexen und gut definierten Schaltmuster folgen, das eine dreiphasige Spannung an den Ausgangsklemmen erzeugt. In Abwesenheit dieses Steuerungsmusters, da die Stromversorgung des Wechselrichters Gleichstrom ist, gibt es keine Fehler im Wechselrichter-Leistungskreis, die Drehmoment erzeugen könnten. Der schlimmste Fall wäre, wo zwei Transistoren in den gegenüberliegenden Polen zweier Wechselrichter-Beine ungewollt leiten, wie durch die roten Pfeile in Abbildung 2 gezeigt. In diesem Fall würde ein hoher unkontrollierter Strom in einer Motorphase fließen, bis entweder das Überstrom-Schutzschema arbeitet oder der Wechselrichter zerstört wird (die Eingangs-Sicherung oder der Leistungsschalter löst aus). Keines davon erzeugt ein rotierendes Magnetfeld, also wird kein Drehmoment erzeugt.

Im Fall eines Permanentmagnet- oder Reluktanzmotors würde dieser schlimmste Fall einen vorübergehenden Ausrichtungs-Drehmoment verursachen, bis das Schutzgerät anspricht. Im Grenzbereich könnte der Motor um einen Polabstand bei einem PM-Motor oder einen halben Polabstand bei einem Reluktanzmotor drehen.

Die Schnittstelle zwischen der Wechselrichter-Leistungsstufe und dem Antriebs-STO-Steuereingang muss so designed sein, dass die sehr geringe Wahrscheinlichkeit eines unsicheren Ausfalls aufrechterhalten wird, was bedeuten würde, dass das komplexe PWM-Steuermuster versehentlich an die Wechselrichter-Transistoren durchgereicht wird. Typischerweise verwendet die Anordnung eine Art „Fail-Safe“-Technik, wobei genauso wie im Wechselrichter selbst, Komponentenausfälle aller Art zum Verlust des „Enable“-Befehls führen. Es können zwei unabhängige Kanäle vorhanden sein, sodass die STO-Funktion leicht an einen zwei-Kanal-Sicherheitscontroller angebunden werden kann.

Fortgeschrittene Antriebssicherheitsfunktionen

Die meisten der anderen antriebsspezifischen Sicherheitsfunktionen erfordern eine Analyse von Daten wie Motorstrom und/oder Drehzahl usw. Dies wird typischerweise in einem Mikrocontroller implementiert, mit einem zweiten Controller, der die Eingangs- und Ausgangsdaten und die Prozessoraktionen kontinuierlich kreuzprüft, wie in Abbildung 3 illustriert. Unweigerlich ist das Ergebnis einer erkannten Diskrepanz, dass der Antrieb durch die STO-Funktion deaktiviert wird.

Die Wahrscheinlichkeit eines Hardware-Fehlers in gefährlicher Richtung wird auf ein tolerierbares Niveau reduziert, indem zwei Kanäle mit Kreuzüberwachung verwendet werden. Eingabegeräte wie Schalter werden dupliziert, um die Erkennung einfacher „stuck-at“-Fehler zu ermöglichen, und sie können mit diversifizierten elektrischen Impulsen versorgt werden, damit subtilere Sneak-Fehler zwischen Kanälen detektiert werden können. Basis-Inkremental-Wellengeber haben eine nützliche inhärente Eigenschaft, die die meisten Fehler detektieren lässt, da die zwei Pulsspuren einen 90°-Phasenversatz haben, was bedeutet, dass die meisten Fehler in einer unmöglichen Pulssequenz resultieren, die detektiert werden kann. Digitale Ausgänge werden durch regelmäßige Testimpulse geprüft, die testen, ob ein absichtlich im High-(True)-Logikzustand gehaltener Ausgang noch in der Lage ist, Low zu gehen – manchmal als OSSD-Ausgänge bezeichnet.

Die Wahrscheinlichkeit eines systematischen Fehlers, d. h. eines inhärenten Designfehlers, wird auf ein tolerierbares Niveau reduziert durch einen äußerst rigorosen Prozess der Definition der präzisen Anforderungen für die Sicherheitsfunktionen und der Verfolgung ihrer Implementierung, Tests und Dokumentation.

Vollständige Maschinen und Sicherheitskomponenten

Der rigorose Prozess der Spezifikation und Verfolgung von Sicherheitsfunktionen muss für jede einzelne Anwendung befolgt werden, und der Maschinenkonstrukteur ist letztlich dafür verantwortlich. Wenn ein Antrieb mit funktionalen Sicherheitsmerkmalen als Teil des Designs verwendet wird, wird er zu einer Sicherheitskomponente, und seine eigene Sicherheitsanforderungsspezifikation und Zertifizierung werden Teil der vollständigen Systemdokumentation.

Innerhalb der Europäischen Union ist diese Anforderung in Form der Maschinenrichtlinie 2006/42/EG im Gesetz verankert, die eine Definition und Anforderungen für Sicherheitskomponenten enthält, wenn sie separat auf den Markt gebracht werden. In der Praxis bedeutet dies normalerweise, dass der Antrieb mit Sicherheitsfunktionen mit einem EG-Typenprüfzertifikat kommt, das von einer unabhängigen, staatlich anerkannten Benannten Stelle ausgestellt wurde, um ihn im sicherheitsbezogenen Steuerungssystem einer Maschine verwenden zu können. Wenn er die STO-Funktion als Standard eingebaut hat, sodass er möglicherweise oder möglicherweise nicht als Sicherheitskomponente verwendet wird, muss der Antrieb dann zwei separate EG-Herstellererklärungen haben, gemäß der Maschinenrichtlinie und der Niederspannungsrichtlinie.