Safety – die Umsetzung im Antrieb
Fortsetzung des Artikels von Teil 2
Safety – die Umsetzung im Antrieb
Diese Sicherheitsfunktionen lassen sich relativ leicht als Zusatzfunktionen integrieren. Allerdings kosten sie Verarbeitungszeit, die der Antriebsfunktion nicht mehr zur Verfügung steht. Etwas schwerwiegender ist allerdings der Umstand, dass bei diesem Ansatz neben dem Sicherheitscontroller der Antriebscontroller nach den Sicherheitskriterien der Norm zu programmieren ist. Das bedeutet stets, dass jedes Programm, jede Routine beziehungsweise jede Funktion den strukturierten Vorgaben zu entsprechen hat. Die Verwendung eines hinzugekauften Stacks für eine Netzwerkfunktion ist damit in der Regel nicht möglich. Jede Änderung muss sicherheitsrelevant durchgeführt und vollständig getestet werden. Kurzum: Eine 2-Controller-Lösung mag bei der reinen Betrachtung der Hardwarekosten etwas günstiger sein, die Flexibilität hingegen ist eher eingeschränkt.
Ein oder zwei Drehgeber?
Die in der Norm angegebenen Werte für die Hardware-Fehlertoleranz beziehen sich prinzipiell auf den gesamten Kanal. Da Fehler nicht nur in den Controllern, sondern auch bei der Messwert-Erfassung auftreten, liegt der Schluss nahe, dass für Sicherheitssysteme ein zweiter Encoder erforderlich ist, der zusammen mit dem bereits vorhandenen den zweiten sicheren Kanal vervollständigt. Diese Aufgabe kann jedoch ein einziger Drehgeber übernehmen, sofern dieser eine getrennte Sinus- und Cosinus-Spur zur Verfügung stellt und die nachgeschaltete Logik die Daten fehlerfrei verarbeiten kann. Dies deshalb, weil Sinus/Cosinus-Encoder selbst eigensicher sind, indem sich aufgrund der Funktion sin²+cos² = r² jederzeit die richtige und unabhängige Winkelerfassung nachweisen lässt.
Regelung per Softwaremodell
Die Zweikanaligkeit muss nicht unbedingt aus zwei Hardware-Funktionen bestehen. So sind auch Lösungen verfügbar, die nur einen Prozessor enthalten, welcher ein Regelungsprogramm „zweifach“ in diversitärer Form durchläuft. Hierbei wird die funktionale Regelung mit einem Simulationsprogramm verglichen. Sofern die hardware-basierte Verarbeitung zu identischen Größen wie die software-basierte Simulation führt, ist davon auszugehen, dass der Antrieb die gewünschte Funktion ausführt. Grundsätzlich ist eine derartige Lösung als sicherer einzustufen als eine einkanalige Variante. Dennoch erfüllt sie nicht die Anforderungen nach einem HFT-Wert von 2. Um hier eine hinreichende Sicherheit zu gewährleisten, sind noch zahlreiche Zusatzelemente notwendig, die eine Unabhängigkeit der Hardware- und Software-Verarbeitung garantieren: So muss zu jeder Zeit sichergestellt sein, dass die Hardware alleine keine Blockade der Sicherheitsfunktion auslösen kann. Ferner gilt es, alle „Fehler gemeinsamer Ursache“, die aus der einkanaligen Hardware erwachsen, auszuschalten.
- Safety – die Umsetzung im Antrieb
- Safety – die Umsetzung im Antrieb
- Safety – die Umsetzung im Antrieb
- Safety – die Umsetzung im Antrieb
