Startseite > Automation > Winkel- und Neigungssensoren als »CANopen Safety«-Teilnehmer

CANopen

Winkel- und Neigungssensoren als »CANopen Safety«-Teilnehmer

16. Juni 2011, 15:56 Uhr | Von Theo W. Kessler und Ulf Stark

▶ Diesen Artikel anhören

Fortsetzung des Artikels von Teil 1

Berechnung der Ausfallwerte - Proof Test Intervall

Berechnung der λ-Werte (Ausfallwerte) – Proof Test Intervall

Für die Berechnung der Zuverlässigkeitswerte, sprich der Gesamtausfallrate, kann auf folgende Dokumentationen zurückgegriffen werden:

Handbook of Reliability Data for Electronic Components used in Telecommunication Systems (HRD 5), British Telecommunication plc.
MIL-HDBK-217E Military Handbook, Reliability Prediction of Electronic Equipment, Department of Defense Washington DC
Siemens Standard SN 29500, Ausfallraten für Bauteile, Siemens AG

Weitere Angaben über mögliche Berechnungsvorlagen sind im Anhang der DIN EN ISO 13849-1 zu finden.

In Abhängigkeit des Aufbaues des jeweiligen Sensors kann hiermit die Gesamtausfallrate und somit der MTTF-Wert (Mean Time To Failure) berechnet werden. Letzterer bildet wiederum die Basis für die Berechnung des MTTF_d-Wertes (λ_d = 0,5λ).

Bezüglich der Angaben für das Proof-Test-Intervall ist generell zu sagen, dass die Winkelcodierer und Neigungssensoren keine zusätzlichen Überprüfungszeiträume innerhalb der spezifizierten Lebensdauer haben. Natürlich ist die Lebensdauer stark abhängig von der applikativen Seite, allerdings ist von einem Zeitraum zwischen 7 und 20 Jahren auszugehen. Diese Werte basieren auf jahrelange Erfahrungen im Bereich der Sensortechnik.

Für die Verifizierung nach IEC 61508 ist das Durchfürhen einer FMEA (Fehler-Möglichkeits- und Einflussanalyse) notwendig. Diese FMEA ermöglicht bereits in der Konstruktionsphase die sicherheitskritischen Fehler abzuschätzen und Maßnahmen zu treffen, um diese abzustellen und damit auch sicher zu beherrschen. Das Hinterfragen der Richtigkeit von Werten und Prozeduren ist ein wichtiger Schritt zur Erreichung der Anforderungen eines sicheren Sensors.

»CANopen Safety« Objekterweiterungen (Software)

Das CANopen-Protokoll wurde um einige Aspekte erweitert. So entstand das »Canopen Safety«-Protokoll Die Erweiterungen sind:

Objekt 1301/1302 – SRDO Communication Parameter mit den Parametern: Information, direction, Refresh Time, Validation Time, Transmission Type und COB-ID1, 2
Objekt 1381/2 – SRDO1/2 Mapping Parameter
Objekt 13FE – Configuration valid
Objekt 13FF – SRDO1, 2 Checksum

Mit dem Objekt 13FF werden sämtliche Save-Parameter zusätzlich über CRC (Cyclic Redundancy Check), ein Prüfsummenverfahren, abgesichert. Um den Anwender die CRC-Berechnung zu vereinfachen liefert TWK zusätzlich das Programm »CANopen Safety« Checksum Calculation (Bild 1).

Beschreibung des prinzipiellen Aufbaus der Sensoren (Hardware)

Anhand des Winkelcodieres der Modellreihe »TRN« erfolgt hier beispielhaft der prinzipielle Aufbau der Sensoren (Bild 2). Der Winkelcodierer ist komplett redundant aufgebaut. Integriert sind der elektromagnetische Sensor, das Multitour-Getriebe, die Hauptplatine einschließlich Controller, CAN-Treiberausgang, EMV-Filtermaßnahmen und Schaltreglerplatine. Neben den Fehlermechanismen des Sensorsystems kommen umfangreiche Maßnahmen zur Erkennung von sicherheitskritischen Fehlern zur Anwendung, u.a. RAM-Tests, UART-Überprüfung, Plausibilitätsüberprüfungen, CRC, Über- und Unterspannungsschutz, Überwachung der Controllerfunktionen und Programmlaufüberwachungen wie das Implementierung von inversen Funktionen für sicherheitskritische Programmfunktionen hinzu. Die Zielfunktion besteht darin im Fehlerfalle einen sicheren Zustand einzunehmen. Das bedeutet, dass der Winkelcodierer verschiedene Fehlerarten erkennt und sicher darauf reagiert.

Als Microcontroller werden sowohl 8-Bit-Versionen als auch 32- Bit-Versionen (Cortex) eingesetzt.

Der Positionswert des Winkelcodierers wird als SRDO1 und SRDO2 (bitinvertiert) ausgegeben. Das läuft im Codierer so ab: Zuerst werden die Positionswerte der Knoten 1 und 2 miteinander verglichen; der sogenannte Gleichlauf muss innerhalb bestimmter Forderungswerte liegen (statisch: ≤ 1%; dynamisch ≤ 5 %). Ist das erfüllt, so wird der Positionswert des Knotens 1 auf dem SRDO1 und auf dem SRDO2 bitinvertiert ausgegeben (Bild 3). Voraussetzung für dieses Vorgehen ist, dass sich die Microcontroller der zwei Sensoren über die UART des jeweiligen Controllers unterhalten. Natürlich ist es auch denkbar, dass diese Gleichlaufprüfung vom Anwender selbst durchgeführt werden kann. Das bedeutet, dass auf dem SRDO1 der Knoten 1 und auf dem SRDO2 der Knoten 2 die Positionswerte des Winkelcodierers sendet.