Safe Torque Off; (Sto - Sicher Abgeschaltetes Drehmoment) - Emerson Unidrive M400 Betriebsanleitung

Sicherheitsin- Produktinfor- Mechanische
formationen mationen Installation
4.11 SAFE TORQUE OFF (STO - sicher
abgeschaltetes Drehmoment)
Die Funktion SAFE TORQUE OFF (STO - sicher abgeschaltetes
Drehmoment) verhindert mit sehr hoher Zuverlässigkeit, dass der
Umrichter im Motor ein Drehmoment erzeugt. Sie kann in ein
Sicherheitssystem für eine Anlage eingebunden werden. Die Funktion
kann weiterhin als ein herkömmlicher Eingang für die Reglerfreigabe
eingesetzt werden.
Der sichere Zustand ist aktiv, wenn sich einer der STO-Eingänge im
logischen Low-Status gemäß der Spezifikation für elektronische
Anschlüsse befindet. Die Funktion ist gemäß EN 61800-5-2 und
IEC 61800-5-2 wie folgt definiert. (In diesen Normen wird ein Umrichter,
der sicherheitsbezogene Funktionen bietet, als ein PDS(SR) bezeichnet):
‚Dem Motor wird keine Energie zugeführt, die eine Drehung (oder bei
einem Linearmotor eine Bewegung) verursachen kann.' Das PDS(SR)
liefert keine Energie an den Motor, die ein Drehmoment (oder bei
einem Linearmotor eine Kraft) erzeugen kann.'
Diese Sicherheitsfunktion entspricht einem ungesteuerten Stillsetzen
gemäß der Stopp-Kategorie 0 der Norm IEC 60204-1. Die Funktion
SAFE TORQUE OFF nutzt die typischen Eigenschaften eines
frequenzgesteuerten Drehstromantriebes dahingehend, dass bei nicht
korrekter Funktionsweise des Umrichters kein Drehmoment im Antrieb
erzeugt wird. Alle in der Umrichterschaltung auftretenden Fehler
haben einen Ausfall der Drehmomenterzeugung zur Folge.
Die Funktion SAFE TORQUE OFF ist fehlersicher. Das heißt, bei nicht
angesteuertem STO-Eingang ist eine Ansteuerung des Antriebs nicht
möglich, selbst wenn im Umrichter andere Elektronikbausteine fehlerhaft
arbeiten sollten. Die meisten Bauelementefehler können dadurch
erkannt werden, dass der Umrichter nicht mehr betrieben werden kann.
Die Funktion SAFE TORQUE OFF ist außerdem von der Umrichter-
Firmware unabhängig. Sie erfüllt die Anforderungen der folgenden
Normen zum Verhindern eines unbeabsichtigten Motorstarts.
Gemäß der Norm EN ISO 13849-1.
PL = e
Kategorie = 4
MTTF = Hoch
D
DC = Hoch
av
Missionszeit und Prüftestintervall = 20 Jahre
Die berechnete PFD für die komplette STO-Funktion ist:
AVG
-6
Baugröße 1 bis 4: 8,4 x 10
-6
Baugröße 5 bis 6: 3,64 x 10
Gemäß der Norm EN 61800-5-2:
SIL = 3
Baugröße 1 bis 4: PFH = 9,61 x 10
Baugröße 5 bis 6: PFH = 4,16 x 10
Die Funktion SAFE TORQUE OFF kann an Stelle elektromechanischer
Schütze einschließlich spezieller Sicherheitsschütze, die andernfalls aus
Sicherheitsgründen erforderlich wären, verwendet werden.
Die Funktion kann in sicherheitsrelevanten Maschinen oder Anlagen
verwendet werden, die gemäß der Norm IEC 62061 bzw. IEC 61508
oder anderen Normen konzipiert wurden, die mit IEC 61508 kompatibel
sind, da die Analyse und die Integritätsmetriken in EN 61800-5-2
die gleichen sind.
Hinweis zur Reaktionszeit der Funktion SAFE TORQUE OFF und
den Einsatz mit Sicherheitssteuerungen mit selbstständigem
Test der Ausgänge.
Die Funktion SAFE TORQUE OFF wurde dahingehend konzipiert,
dass eine Reaktionszeit von mehr als 1 ms erreicht wird, um
Kompatibilität mit Sicherheitssteuerungen zu erlangen, deren
Ausgänge einem Dynamiktest mit einer Pulsbreite von maximal 1 ms
unterzogen werden.
Zweikanal-SAFE TORQUE OFF
88
Elektrische Bedienung und Basispa-
Installation Softwarestruktur rameter
-11 -1
h
-11 -1
h
Inbetrieb- Optimie- Handhabung der
nahme rung NV-Medienkarte
Für die Funktion SAFE TORQUE OFF (Sicherer Halt) werden zwei
vollständig unabhänige Eingangskanäle bereitgestellt. Jeder Eingang
erfüllt separat die Anforderungen der oben angegebenen Normen,
unabhängig von dem Status des anderen Eingangs. Wenn einer oder
beide Eingänge einen logischen Low-Zustand aufweisen, kann kein
einzelner Fehler dazu führen, dass der Motor angetrieben wird.
Es ist nicht erforderlich, beide Kanäle zu verwenden, damit der Umrichter
die Anforderungen der Normen erfüllt. Der Grund für die zwei Kanäle
besteht darin, eine Verbindung zu Maschinensicherheitssystemen zu
ermöglichen, wofür zwei erforderlich sind, und den Schutz vor
Verdrahtungsfehlern zu vereinfachen. Angenommen, jeder Kanal ist mit
einem sicherheitsrelevanten Digitalausgang eines sicherheitsrelevanten
Controllers oder einer SPS verbunden, kann der Umrichter auch nach
dem Erfassen eines Fehlers in einem Ausgang sicher über den anderen
Ausgang deaktiviert werden. In diesem Fall gibt es keine einzelnen
Verdrahtungsfehler, die zu einem Verlust der Sicherheitsfunktion, d. h.,
der Unmöglichkeit, den Umrichter zu deaktivieren, führen kann.
Falls ein Zweikanalbetrieb nicht erforderlich ist, können die beiden
Eingänge zusammengeschaltet werden, um einen einzelnen
SAFE TORQUE OFF-Eingang zu bilden. Es sollte jedoch angemerkt
werden, dass ein Kurzschluss vom STO - Eingang zu einer
Gleichspannungsversorgung von ca. +24 V den Umrichter aktivieren
kann. Dies kann aufgrund eines Fehlers in der Verdrahtung der Fall sein.
Das kann gemäß Norm EN ISO 13849-2 durch geschirmte
Verkabelung verhindert werden. Die Verkabelung kann mithilfe der
folgenden Verfahren geschützt werden:
• Verlegen der Verkabelung in einem getrennten Kabelschacht oder
einer anderen Einfassung,
oder
• Verwendung einer Verkabelung mit geerdeten Schirmung und
einer geerdeten Steuerspannungsversorgung mit positiver Logik.
Der Schirm soll eine Gefährdung durch eine elektrische Störung
verhindern. Er kann durch jedes geeignete Verfahren geerdet werden.
Spezielle EMV-Vorsichtsmaßnahmen sind nicht erforderlich.
SAFE TORQUE OFF - Aufhebung
Der Umrichter bietet keine Möglichkeit, die STO-Funktion
(sicher abgeschaltetes Drehmoment) aufzuheben, beispielsweise
für Wartungszwecke. Aufgrund des Risikos eines menschlichen
Fehlers darf die Einrichtung keine Vorrichtung zum Aufheben dieser
Funktion aufweisen. Der Entwurf sicherheitskritischer Steuersysteme
darf nur von entsprechendem Fachpersonal ausgeführt werden.
Dieses Personal muss entsprechend geschult sein und die notwendige
Erfahrung besitzen.
Mit der Funktion SAFE TORQUE OFF (STO - sicher abgeschaltetes
Drehmoment) wird die Sicherheit einer Anlage nur gewährleistet,
wenn diese korrekt in ein vollständiges Sicherheitssystem eingebunden
ist. Das System muss einer Gefahrenanalyse unterzogen werden,
um zu gewährleisten, dass das Restrisiko einer potenziellen Gefährdung
für den entsprechenden Anwendungsfall angemessen ist.
Durch die Funktion SAFE TORQUE OFF wird keine galvanische
Trennung bereitgestellt. Vor Arbeiten an der elektrischen Ausrüstung
ist der Umrichter vom Netz zu trennen und die Wartezeit zum Entladen
der Kondensatoren einzuhalten.
Mit der Funktion SAFE TORQUE OFF kann kein einzelner Fehler zu
einem Betrieb des Motors führen. Deswegen benötigt man weder einen
zweiten Kanal zum Unterbrechen der Stromversorgung noch eine
Fehlerüberwachung. Es ist unbedingt erforderlich, die maximal
zulässige Spannung von 5 V für einen sicheren Low-Zustand
(deaktiviert) der SAFE TORQUE OFF-Funktion zu beobachten.
Die Anschlüsse am Umrichter müssen so angeordnet sein, dass
Spannungsabfälle in der 0 V-Verkabelung diesen Wert unabhängig von
den Lastbedingungen nicht übersteigt. Es wird dringend empfohlen,
dass die SAFE TORQUE OFF-Stromkreise mit dedizierten 0 V-Leitern
ausgestattet wird, die an die Klemmen 32 und 33 des Umrichters
angeschlossen werden sollten.
Onboard- Erweiterte Technische Fehlerdia-
SPS Parameter Daten
Betriebsanleitung Unidrive M400
Ausgabenummer: 6
Hinweise zur
gnose UL-Listung