· camc-g-s3 2 festo – gdcp-camc-g-s3-es – 1406nh – español traducción del manual original...

CAMC-G-S3

Descripción

Funciones de

seguridad

– STO,

– SS1,

– SS2, – SOS,

– SBC,

– SLS,

– SSR,

– SSM

de conformidad conEN 61800-5-2

para controlador

del motor

CMMP-AS-...-M3

759297

1406NH

Módulo de seguridad

CAMC-G-S3

2 Festo – GDCP-CAMC-G-S3-ES – 1406NH – Español

Traducción del manual original

GDCP-CAMC-G-S3-ES

Heidenhain®, EnDat®, PHOENIX® son marcas registradas de los propietarios correspondientes de las

marcas en determinados países.

Identificación de peligros e indicaciones para evitarlos:

AdvertenciaPeligros que pueden ocasionar lesiones graves e incluso la muerte.

AtenciónPeligros que pueden ocasionar lesiones leves o daños materiales graves.

Otros símbolos:

NotaDaños materiales o pérdida de funcionalidad.

Recomendaciones, sugerencias y referencias a otras fuentes de documentación.

Accesorios indispensables o convenientes.

Información sobre el uso de los productos respetuoso con el medio ambiente.

Identificadores de texto:

� Actividades que se pueden realizar en cualquier orden.

1. Actividades que se tienen que realizar en el orden indicado.

– Enumeraciones generales.

CAMC-G-S3

Festo – GDCP-CAMC-G-S3-ES – 1406NH – Español 3

Contenido – CAMC-G-S3

1 Seguridad y requerimientos para el uso del producto 13. . . . . . . . . . . . . . . . . . . . . . . . . . . .

1.1 Seguridad 13. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

1.1.1 Medidas generales de seguridad 13. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

1.1.2 Uso previsto 13. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

1.1.3 Usos incorrectos previsibles 14. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

1.1.4 Nivel de seguridad alcanzable,

función de seguridad conforme a EN ISO 13849-1/EN 61800-5-2 15. . . . . . . . . . .

1.2 Requerimientos para el uso del producto 16. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

1.2.1 Requerimientos técnicos 16. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

1.2.2 Cualificaciones del personal técnico (requerimientos que debe cumplir el

personal) 16. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

1.2.3 Cobertura de diagnosis (DC) 16. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

1.2.4 Aplicaciones y certificaciones 17. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2 Descripción del producto Módulo de seguridad CAMC-G-S3 18. . . . . . . . . . . . . . . . . . . . . . .

2.1 Guía de productos 18. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.1.1 Aplicación 18. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.1.2 Características 18. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.1.3 Equipos compatibles 19. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.1.4 Elementos de mando y conexiones 20. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.1.5 Dotación del suministro 20. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.2 Funcionamiento y aplicación 21. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.2.1 Cuadro general del sistema 21. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.2.2 Distribución de contactos del módulo de seguridad [X40] 23. . . . . . . . . . . . . . . . .

2.2.3 Cuadro general de las funciones de seguridad compatibles 25. . . . . . . . . . . . . . . .

2.2.4 Diagrama de funciones del módulo de seguridad 26. . . . . . . . . . . . . . . . . . . . . . . .

2.2.5 Resumen de sensores de posición compatibles 30. . . . . . . . . . . . . . . . . . . . . . . . .

2.2.6 Intercambio de datos y control del controlador de motor 33. . . . . . . . . . . . . . . . . .

2.2.7 Configurar las funciones de seguridad con el SafetyTool 36. . . . . . . . . . . . . . . . . .

2.3 Adquisición de datos desde el controlador de motor 37. . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.3.1 Informaciones básicas 38. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.3.2 Configuración de los transmisores 40. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.3.3 Parámetros para los sensores de posición 41. . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.3.4 Parámetros para la supervisión de transmisores y detección de las

revoluciones 43. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.3.5 Lista de todos los parámetros para la configuración de transmisores 46. . . . . . . .

2.4 Entradas digitales 48. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.4.1 Resumen 48. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.4.2 Entradas seguras de dos canales DIN40 … DIN43 [X40] 53. . . . . . . . . . . . . . . . . . .

2.4.3 Entradas digitales (limitadamente seguras) de un canal DIN44 … DIN49 [X40] 59.

CAMC-G-S3


2.5 Funciones de seguridad 63. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.5.1 STO – Desconexión segura del par (Safe Torque Off ) 66. . . . . . . . . . . . . . . . . . . . .

2.5.2 SBC – Control seguro de freno (Safe Brake Control) 69. . . . . . . . . . . . . . . . . . . . . .

2.5.3 SS1 – Parada segura 1 (Safe Stop 1) 77. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.5.4 SS2 – Parada segura 2 (Safe Stop 2) 84. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.5.5 SOS – Parada de servicio segura (Safe Operating Stop) 91. . . . . . . . . . . . . . . . . . .

2.5.6 Funciones de seguridad universales USF 95. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.5.7 Funciones seguras de velocidad SSF 95. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.5.8 SLS – Velocidad con limitación segura (Safely-Limited Speed) 103. . . . . . . . . . . . .

2.5.9 SSR – Margen de velocidad seguro (Safe Speed Range) 104. . . . . . . . . . . . . . . . . .

2.5.10 SSM – Control de velocidad seguro (Safe Speed Monitor) 105. . . . . . . . . . . . . . . . .

2.6 Funciones lógicas 106. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.6.1 Selector del modo de funcionamiento 106. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.6.2 Terminal de mando de dos manos 108. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.6.3 Advanced Logic Functions – ALF 110. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.7 Rearranque 111. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.7.1 Volumen de funciones 111. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.7.2 Ejemplos y notas especiales para la implementación 112. . . . . . . . . . . . . . . . . . . . .

2.8 Gestión de errores y acuse de recibo de errores 114. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.8.1 Generación de errores y clases de errores 114. . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.8.2 Parametrización de la reacción ante errores del módulo de seguridad 117. . . . . . .

2.8.3 Lógica para acuse de recibo de error 118. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.9 Salidas digitales 120. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.9.1 Salidas seguras de dos canales DOUT40 … DOUT42 [X40] 120. . . . . . . . . . . . . . . . .

2.9.2 Control interno de freno del controlador de motor [X6] 124. . . . . . . . . . . . . . . . . . . .

2.9.3 Contacto de aviso C1, C2 [X40] 127. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.9.4 Alimentación auxiliar +24 V [X40] 129. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.10 Estado operativo e indicaciones de estado 130. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.10.1 Estados del sistema / Máquina de estado 130. . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.10.2 Indicador del estado en el módulo de seguridad 134. . . . . . . . . . . . . . . . . . . . . . . .

2.10.3 Visualizador digital de 7 segmentos del controlador de motor 135. . . . . . . . . . . . . .

2.11 Memoria de diagnosis permanente y temporal en el controlador de motor 135. . . . . . . . . . . .

2.12 Respuesta en función del tiempo 137. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.12.1 Tiempos de detección 137. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.12.2 Tiempo de respuesta al solicitar una función de seguridad 137. . . . . . . . . . . . . . . .

2.12.3 Tiempo de respuesta en caso de vulnerar una función de seguridad 139. . . . . . . . .

2.12.4 Otros tiempos para la detección de errores y comunicación 141. . . . . . . . . . . . . . .

2.13 Interruptores DIL 141. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

CAMC-G-S3


3 Montaje e instalación 142. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

3.1 Montaje y desmontaje 142. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

3.2 Instalación eléctrica 144. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

3.2.1 Instrucciones de seguridad 144. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

3.2.2 Tierra funcional 145. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

3.2.3 Conexión [X40] 145. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

3.2.4 Circuito de protección mínimo para la primera puesta a punto [X40] 147. . . . . . . . .

3.3 Ejemplos de circuitos 148. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

3.3.1 Requisitos de seguridad a través de aparatos con contactos de conmutación 149.

3.3.2 Requisitos de seguridad a través de aparatos con salidas de semiconductores 150

3.3.3 Requisito de seguridad a través de un dispositivo de desconexión de seguridad 151

3.3.4 Encadenamiento de varios CMMP-AS-…-M3 con CAMC-G-S3 153. . . . . . . . . . . . . . .

3.3.5 Control de una unidad de bloqueo 155. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

3.3.6 Control de una unidad de bloqueo de 2 canales 156. . . . . . . . . . . . . . . . . . . . . . . . .

3.3.7 Conexión de encoders para funciones de seguridad dinámicas 157. . . . . . . . . . . . .

3.3.8 Activación de un bloque de válvulas de 2 canales con funciones de seguridad 158.

4 Puesta a punto 161. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.1 Antes de la puesta a punto 162. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.2 Ajuste de los interruptores DIL 162. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.3 Notas sobre la parametrización con el plugin de FCT CMMP-AS 163. . . . . . . . . . . . . . . . . . . . .

4.3.1 Ajuste de la configuración 163. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.3.2 Ajuste de la configuración de transmisores 163. . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.3.3 Determinar las unidades de medida (opcional) 164. . . . . . . . . . . . . . . . . . . . . . . . . .

4.3.4 Aceptación del módulo de seguridad 164. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.3.5 Indicación del estado 165. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.3.6 Visualizar memoria de diagnosis permanente del controlador de motor 165. . . . . .

4.4 Principios básicos de la parametrización del módulo de seguridad 168. . . . . . . . . . . . . . . . . .

4.4.1 Ajustes de fábrica 168. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.4.2 Estado de entrega 170. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.4.3 Plugin de FCT para CMMP-AS y SafetyTool 170. . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.5 Parametrización segura con el SafetyTool 171. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.5.1 Inicio del programa 171. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.5.2 Selección de los tipos de sesión: Asistente de configuración 171. . . . . . . . . . . . . . .

4.5.3 Parametrización Online 172. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.5.4 Parametrización Offline 174. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.5.5 Reglas básicas para la parametrización con el SafetyTool 175. . . . . . . . . . . . . . . . .

4.5.6 Comportamiento en caso de parametrización incorrecta 178. . . . . . . . . . . . . . . . . .

4.5.7 Versión del conjunto de parámetros 178. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

CAMC-G-S3


4.6 Secuencia de la parametrización con el SafetyTool (ejemplo) 179. . . . . . . . . . . . . . . . . . . . . . .

4.6.1 Selección la variante de sesión en el asistente 180. . . . . . . . . . . . . . . . . . . . . . . . . .

4.6.2 Adquisición de datos y ajuste 181. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.6.3 Inicio de la parametrización 183. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.6.4 Verificación de la adquisición de datos 184. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.6.5 Informaciones básicas 184. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.6.6 Configuración de transmisores 184. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.6.7 Configurar entradas digitales 185. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.6.8 Selección y parametrización de las funciones de seguridad 186. . . . . . . . . . . . . . . .

4.6.9 Funciones lógicas 190. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.6.10 Lógica de acuse de recibo de error 191. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.6.11 Salidas digitales 191. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.6.12 Gestión de errores 191. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.6.13 Concluir la parametrización 191. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.7 Funciones especiales del SafetyTool 193. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.7.1 Modificar contraseña 193. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.7.2 Activar ajustes de fábrica 193. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.7.3 Verificación de plausibilidad 193. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.7.4 Resumen de parámetros 194. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.7.5 Ventana de diagnosis 195. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.8 Comprobación del funcionamiento, validación 197. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5 Manejo y funcionamiento 200. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.1 Obligaciones de la empresa explotadora 200. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.2 Cuidados y mantenimiento 200. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.3 Funciones de protección 200. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.3.1 Alimentación, protección contra sobretensión e inversión de polaridad,

supervisión de tensión 200. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.3.2 Alimentación para la electrónica interna 200. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.3.3 Alimentación Failsafe 201. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.3.4 Funciones de protección para las salidas digitales 201. . . . . . . . . . . . . . . . . . . . . . .

5.3.5 Funciones de protección para las entradas digitales 201. . . . . . . . . . . . . . . . . . . . .

5.3.6 Funciones de protección para el control de freno 201. . . . . . . . . . . . . . . . . . . . . . . .

5.3.7 Funciones de protección de la alimentación para el accionamiento del

controlador 202. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.3.8 Funciones de protección para los sensores de posición conectados 202. . . . . . . . .

5.3.9 Funciones internas de protección de la electrónica en el módulo de seguridad 202

5.3.10 Supervisión del cumplimiento las funciones de seguridad solicitadas 203. . . . . . . .

5.4 Diagnosis y eliminación de fallos 204. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.4.1 Indicadores LED en el módulo de seguridad 204. . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.4.2 Visualizador digital de 7 segmentos del controlador de motor 205. . . . . . . . . . . . . .

CAMC-G-S3


5.5 Mensajes de error y tratamiento de errores 207. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.5.1 Números de error 207. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.5.2 Acuse de recibo de error 207. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.5.3 Mensajes de diagnosis 208. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.6 Mensajes de diagnosis con notas sobre la eliminación de fallos 209. . . . . . . . . . . . . . . . . . . . .

6 Mantenimiento, reparación, sustitución, eliminación 226. . . . . . . . . . . . . . . . . . . . . . . . . . . .

6.1 Mantenimiento 226. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

6.2 Reparación 226. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

6.3 Sustitución del módulo de seguridad 226. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

6.3.1 Desmontaje y montaje 227. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

6.3.2 Aceptación del módulo de seguridad 227. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

6.3.3 Nueva puesta a punto con el SafetyTool 227. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

6.4 Puesta fuera de servicio y eliminación 228. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A Apéndice técnico 229. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.1 Especificaciones técnicas 229. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.1.1 Ingeniería de seguridad 229. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.1.2 Informaciones generales 230. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.1.3 Condiciones de operación y del entorno 231. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.1.4 Entradas digitales DIN40A/B hasta DIN43A/B y DIN44 hasta DIN49 [X40] 233. . . .

A.1.5 Salidas digitales DOUT40A/B hasta DOUT42A/B [X40] 234. . . . . . . . . . . . . . . . . . .

A.1.6 Contacto de aviso C1/C2 [X40] 235. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.1.7 Alimentación auxiliar de 24 V [X40] 235. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.1.8 Ejecución de los cables de conexión [X40] 236. . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.1.9 Salida digital para un freno de sostenimiento en la unidad básica [X6] 236. . . . . . .

A.2 Índices de seguridad 238. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.2.1 Funciones de seguridad 238. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.2.2 Entradas digitales 239. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.2.3 Sistemas de transmisores 241. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.2.4 Salidas digitales 258. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.3 Precisión del sistema y tiempo de respuesta 260. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.3.1 Precisión y supervisión de la posición (SOS) desde el punto de vista de la

aplicación 261. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.3.2 Precisión de la supervisión de la velocidad (SLS, SSR)

desde el punto de vista de la aplicación 262. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.3.3 Determinación de los parámetros relevantes para Safe Speed Stop (función de

velocidad segura) (con SLS, SSR) 263. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.3.4 Requerimientos para errores de transmisores desde el punto de vista de la

aplicación 264. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.3.5 Supervisión de longitud de vectores de señales analógicas de transmisor

(resolvedor, transmisor SEN/COS) 267. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

CAMC-G-S3


A.3.6 Efecto de un error angular dentro de los límites de error de la supervisión de longitud

de vectores sobre la señal de velocidad 271. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.3.7 Base para la observación de la precisión del sistema 273. . . . . . . . . . . . . . . . . . . . .

A.4 Mensajes de estado, diagnosis a través de bus de campo 275. . . . . . . . . . . . . . . . . . . . . . . . .

A.4.1 Emisión de mensajes de estado a través de las salidas digitales de la unidad

básica 275. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.4.2 Mensajes de estado a través de bus de campo – Protocolo CiA 402 276. . . . . . . . .

A.4.3 Mensajes de estado a través de bus de campo – Protocolo FHPP 280. . . . . . . . . . .

A.5 Grabar datos de medición – “Trace” 283. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.5.1 Resumen 283. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.5.2 Configurar 283. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.5.3 Iniciar “Trace” 285. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.5.4 Ejemplo 285. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

B Lista de referencia de señales de mando y parámetros 287. . . . . . . . . . . . . . . . . . . . . . . . . . .

B.1 Lista de todas las señales lógicas 287. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

B.1.1 Entradas lógicas LIN 287. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

B.1.2 Entradas virtuales VIN 290. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

B.1.3 Salidas virturales VOUT 291. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

B.1.4 Salidas lógicas LOUT 293. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

B.1.5 Palabras de estado para el intercambio de datos / diagnosis a través de buses

de campo 294. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

B.2 Lista de parámetros adicionales 296. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

B.3 Lista de los objetos de comunicación más importantes de la unidad básica 303. . . . . . . . . . .

C Glosario 306. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

C.1 Términos de ingeniería de seguridad y abreviaciones 306. . . . . . . . . . . . . . . . . . . . . . . . . . . . .

C.2 Términos relativos al SafetyTool y a la parametrización segura 308. . . . . . . . . . . . . . . . . . . . .

CAMC-G-S3


Notas sobre la presente documentaciónEsta documentación tiene como finalidad garantizar un trabajo seguro con las funciones de seguridad

– STO – Desconexión segura del par (Safe Torque Off )

– SS1 – Parada segura 1 (Safe Stop 1)


– SOS – Parada de servicio segura (Safe Operating Stop)

– SLS – Velocidad con limitación segura (Safely-Limited Speed)

– SSR – Margen de velocidad seguro (Safe Speed Range)

– SSM – Control de velocidad seguro (Safe Speed Monitor)

– SBC – Control seguro de freno (Safe Brake Control)

de conformidad con EN 61800-5-2 al utilizar el módulo de seguridad CAMC-G-S3 para los controladores

de motor CMMP-AS-...-M3.

� Debe observar además necesariamente los reglamentos generales de seguridad del

CMMP-AS-…-M3.

Los reglamentos generales de seguridad para el CMMP-AS-...-M3 se encuentran en la

descripción “Montaje e instalación”, GDCP-CMMP-M3-HW-... � Tab. 3.

Observe las informaciones de seguridad y las condiciones previas para el uso del

producto en la sección 1.2.

Identificación del producto

La presente documentación se refiere a las siguientes versiones:

– Módulo de seguridad CAMC-G-S3, a partir de la revisión 01 (revisión total 1.1).

– Controlador de motor CMMP-AS-...-M3 con firmware a partir de la versión 4.0.1501.2.1 y

hardware a partir de la versión 6.0 (CMMP-AS-C2-3A-M3, CMMP-AS-C5-3A-M3) o a partir

de 4.1 (CMMP-AS-C5-11A-P3-M3, CMMP-AS-C10-11A-P3-M3).

– Plugin de FCT para CMMP-AS a partir de la versión 2.4.x.x con SafetyTool a partir de la

versión 1.0.x.x.

Estas son las primeras versiones disponibles o compatibles. Para versiones más recientes

o en caso de sustituir el módulo de seguridad, compruebe si las versiones son

compatibles � Documentación de la versión utilizada respectivamente.

Placa de características (ejemplo) Significado

CAMC-G-S31501331 XX

P0012345Rev XXESD

1

2 3 4

5

[XX]

1 Código del producto (denominación del tipo)2 Número de artículo1)

3 Código de dos dígitos para la identificacióninequívoca de la fecha de publicación2)

4 Revisión del módulo (revisión completa, esdecir, combinación del estado del hardware ydel firmware)

5 Número de serie correlativo2)

1) Número de artículo del módulo de seguridad CAMC-G-S3

2) Permite la rastreabilidad del producto

Tab. 1 Placa de características CAMC-G-S3

CAMC-G-S3


Servicio de postventaPara cualquier consulta técnica, diríjase a su representante regional de Festo.

Estado de versión de las normas especificadas

Norma: Estado de versión

EN 50178:1997 EN ISO 13849-1:2008

EN 61326-3-1:2008 EN ISO 13849-2:2012

EN 61800-3:2004 + A1:2012 EN 62061:2005

EN 61800-5-1:2007 EN 61508-1 hasta -7:2010

EN 61800-5-2:2007

Tab. 2 Estados de versión

CAMC-G-S3


DocumentaciónEncontrará más información sobre el controlador de motor en la siguiente documentación:

Documentación del usuario del controlador de motor CMMP-AS-...-M3Nombre, tipo Contenido

Descripción del hardware, GDCP-CMMP-M3-HW-...

Montaje e instalación del controlador de motor CMMP-AS-...-M3para todas las variantes/clases de potencia (de 1 fase y de3 fases), asignación de clavijas, mensajes de error,mantenimiento.

Descripción de las funciones, GDCP-CMMP-M3-FW-...

Descripción de funciones (firmware) CMMP-AS-...-M3, notassobre la puesta a punto.

Descripción de FHPP, GDCP-CMMP-M3/-M0-C-HP-...

Control y parametrización del controlador de motor mediante elperfil Festo FHPP.– Controlador de motor CMMP-AS-...-M3 con los siguientes

buses de campo: CANopen, PROFINET, PROFIBUS, EtherNet/IP, DeviceNet, EtherCAT.

– Controlador de motor CMMP-AS-...-M0 con bus de campoCANopen.

Descripción CiA 402 (DS 402),GDCP-CMMP-M3/-M0-C-CO-...

Control y parametrización del controlador de motor mediante elperfil de equipo CiA 402 (DS402)– Controlador de motor CMMP-AS-...-M3 con los siguientes

buses de campo: CANopen y EtherCAT.– Controlador de motor CMMP-AS-...-M0 con bus de campo

CANopen.Descripción del editor CAM, P.BE-CMMP-CAM-SW-...

Funcionalidad del disco de levas (CAM) del controlador de motorCMMP-AS-...-M3/-M0.

Descripción del módulo deseguridad, GDCP-CAMC-G-S1-...

Técnica de seguridad funcional para el controlador de motorCMMP-AS-...-M3 con la función de seguridad STO.

Descripción del módulo deseguridad, GDCP-CAMC-G-S3-...

Técnica de seguridad funcional para el controlador de motorCMMP-AS-...-M3 con las funciones de seguridad STO, SS1, SS2,SOS, SLS, SSR, SSM, SBC.

Descripción de sustitución yconversión de proyectos GDCP-CMMP-M3-RP-...

Controlador de motor CMMP-AS-...-M3 como equipo derepuesto para los controladores de motor CMMP-AS anteriores.Modificaciones en la instalación eléctrica y descripción de laconversión de proyectos.

Ayuda del plugin de FCT paraCMMP-AS

Interfaz y funciones del plugin CMMP-AS para FestoConfiguration Tool. � www.festo.com

Ayuda del SafetyTool Inferfaz y funciones del SafetyTool para la parametrización delmódulo de seguridad CAMC-G-S3.

Tab. 3 Documentación del controlador de motor CMMP-AS-...-M3

Las documentación está disponible en los siguientes medios:

– CD-ROM (incluido en el suministro)

– Portal de Soporte técnico: � www.festo.com/sp

CAMC-G-S3


Símbolos utilizados para la ingeniería de seguridad

Entradas y salidas

Entrada de dos canales Salida de dos canales

Entrada de un canal Salida de relés

Tipos de sensor

Selector del modo de

funcionamiento

Tecla de start

Freno de sostenimiento Finalizar función de seguridad

(rearranque)

Barrera de luz Bloqueo de puerta/cubierta

protectora

Pulsador de PARADA DE

EMERGENCIA

Tecla de confirmación

Confirmación Sistema bimanual

Interruptor de referencia seguro Sensor de posición

Funciones de seguridad

STO – Desconexión segura del par

(Safe Torque Off )

USF – Función universal de

seguridad

(Universal safety function)

SS1 – Parada segura 1

(Safe Stop 1)

SLS – Velocidad con limitación

segura (Safely-Limited Speed)

SS2 – Parada segura 2

(Safe Stop 2)

SSR – Margen de velocidad seguro

(Safe Speed Range)

SOS – Parada de servicio segura

(Safe Operating Stop)

SSM – Control de velocidad seguro

(Safe Speed Monitor)

SBC – Control seguro de freno

(Safe Brake Control)

ALF – Función lógica ampliada,

ninguna función de seguridad

(Advanced Logic Function)

Tab. 4 Símbolos para la ingeniería de seguridad

1 Seguridad y requerimientos para el uso del producto



1.1 Seguridad

1.1.1 Medidas generales de seguridad

� Debe observar además necesariamente los reglamentos generales de seguridad del CMMP-AS-…-M3.

Las normas generales de seguridad relativas al CMMP-AS-...-M3 se encuentran en la

descripción del hardware, GDCP-CMMP-M3-HW-... � Tab. 3, página 11.

NotaMerma de la función de seguridad.

Si no se observan las condiciones del entorno y de conexión puede verse mermada la

función de seguridad.

� Observe las condiciones del entorno y de conexión especificadas, en especial las

tolerancias de la tensión de entrada � Especificaciones técnicas, Apéndice A.1.

NotaDaños en el módulo de seguridad o en el controlador de motor por una manipulación

inadecuada.� Desconecte las tensiones de alimentación antes de los trabajos de montaje e

instalación. Vuelva a conectar las tensiones de alimentación solo cuando los

trabajos de montaje e instalación hayan finalizado por completo.

� ¡Nunca desenchufe ni enchufe el módulo de seguridad del controlador de motor

mientras esté bajo tensión!

� Observe las especificaciones sobre manipulación de componentes sensibles a las

descargas electrostáticas.

1.1.2 Uso previsto

El módulo de seguridad CAMC-G-S3 sirve como ampliación del controlador de motor CMMP-AS-...-M3

para obtener la función de seguridad:











Si se utilizan sensores de posición adecuados y se acciona el módulo de seguridad adecuadamente, se

cumplen los requerimientos conforme a EN 61800-5-2 hasta SIL3 incluido o conforme a

EN ISO 13849-1 hasta categoría 4 / PL e incluida.

Dependiendo de los transmisores utilizados para la detección de posición se obtiene, dado el caso,

únicamente SIL2 � Sección 1.1.4.

El controlador de motor CMMP-AS-...-M3 con módulo de seguridad CAMC-G-S3 es un producto con

funciones relevantes para la seguridad previsto para ser instalado en máquinas o sistemas

automatizados y utilizado exclusivamente de la siguiente manera:

– en perfecto estado técnico,

– en su estado original, sin modificaciones no autorizadas,

– dentro de los límites del producto definidos en las especificaciones técnicas � Apéndice A.1,

– en el sector industrial.

El módulo de seguridad CAMC-G-S3 se puede utilizar en todos los controladores de motor

CMMP-AS-...-M3 que dispongan de la posición de enchufe Ext3 para la ingeniería de seguridad. No se

puede introducir en las posiciones de enchufe Ext1 ni Ext2 para interfaces.

NotaEn caso de daños surgidos por manipulaciones no autorizadas o usos no previstos

expirarán los derechos de garantía y de responsabilidad por parte del fabricante.

1.1.3 Usos incorrectos previsibles

Entre los usos no previstos, se cuentan los siguientes usos incorrectos previsibles:

– utilización en otro equipo que no sea el CMMP-AS-…-M3,

– utilización en exteriores,

– utilización en zonas no industriales (residenciales),

– utilización fuera de los límites definidos por las especificaciones técnicas del producto,

– modificaciones por parte del usuario.

Nota– La función STO no es suficiente como única función de seguridad en accionamientos

en los que actúa un par permanente (p. ej. cargas en suspensión). Tenga esto en

cuenta y tome las medidas adecuadas correspondientes, como p. ej. una unidad de

bloqueo.

– No está permitido puentear dispositivos de seguridad.

– No está permitido realizar reparaciones en el módulo de seguridad. Está permitida

la sustitución profesional del módulo de seguridad.

¡La función STO (Safe Torque Off ) no protege frente a descargas eléctricas, sino

exclusivamente frente a movimientos peligrosos! No tiene lugar ninguna separación del

actuador de la alimentación de energía en el sentido de la protección contra descargas

eléctricas � Descripción del hardware, GDCP-CMMP-M3-HW-...



1.1.4 Nivel de seguridad alcanzable, función de seguridad conforme a EN ISO 13849-1/EN 61800-5-2

El módulo de seguridad cumple los requisitos de los principios de ensayo

– Categoría 4, PL e según EN ISO 13849-1,

– SIL CL 3 según EN 62061,

y puede utilizarse en aplicaciones de hasta cat. 4 / PL e según EN ISO 13849-1 y hasta SIL 3 según

EN 62061 / CEI 61508.

El nivel de seguridad alcanzable depende del resto de los componentes que se utilicen para la puesta

en práctica de una función de seguridad.

Controladorde motor

Módulo deseguridad Entradas/

Salidas

Transmisor 1

Transmisor 2

CAMC-G-S3: Cat. 4 / PL e, SIL 3

Periferia: Cat. ... / PL ..., SIL ... � Apéndice A.2

Fig. 1.1 Nivel de seguridad CAMC-G-S3 y sistema completo

Observe las combinaciones permitidas de sensores de posición con las notas

correspondientes � Sección 2.2.5, Tab. 2.7.

Hallará información sobre los valores característicos de seguridad alcanzables con la

periferia correspondiente para las diferentes funciones de seguridad en � Apéndice A.2



1.2 Requerimientos para el uso del producto

� Ponga esta documentación a disposición del ingeniero diseñador, del personal de montaje y del

personal encargado de la puesta a punto de la máquina o instalación en la que se utiliza este

producto.

� Deben observarse en todo momento las indicaciones de esta documentación. Tenga en cuenta

asimismo la documentación de los demás componentes y módulos (p. ej. controladores de motor,

cables etc.).

� Observe las reglamentaciones legales específicas del lugar de destino así como:

– las directivas y normas,

– las reglamentaciones de las organizaciones de inspección y empresas aseguradoras,

– las disposiciones nacionales.

� El módulo de seguridad cumple los requerimientos de la norma EN 61800-5-2. Para los demás

componentes de seguridad utilizados en la máquina así como para su aplicación son válidas en

general las directivas, reglamentos y normativas adicionales que también deben ser observadas.

� Para aplicaciones de parada de emergencia se debe prever una protección contra el rearranque

automático según la categoría exigida. Esto se puede realizar, por ejemplo, a través de un

dispositivo de DESCONEXIÓN de seguridad o de una parametrización adecuada del módulo de

seguridad CAMC-G-S3 � Sección 2.7.

1.2.1 Requerimientos técnicosIndicaciones generales a tener en cuenta siempre para garantizar un uso del producto seguro y

conforme a lo previsto:

� Observe las condiciones de conexión y ambientales determinadas en las especificaciones técnicas

del módulo de seguridad (� Apéndice A.1), del controlador de motor, así como de todos los

componentes conectados.

Este producto solo puede hacerse funcionar siguiendo las directrices correspondientes de

seguridad si se observan los límites máximos de cargas.

� Observe las advertencias y notas de esta documentación.

1.2.2 Cualificaciones del personal técnico (requerimientos que debe cumplir el personal)El aparato solo debe ser puesto a punto por una persona con formación electrotécnica que esté

familiarizada con:

– la instalación y el funcionamiento de sistemas de mando eléctricos,

– las directivas vigentes para la operación de instalaciones de seguridad,

– las directivas vigentes para la prevención de accidentes y seguridad laboral y

– la documentación del producto.

1.2.3 Cobertura de diagnosis (DC)La cobertura de diagnosis depende de la integración del controlador de motor en la cadena de mando,

de los motores/sensores de posición utilizados y de las medidas aplicadas para la diagnosis.



Si durante la diagnosis se detecta un fallo potencialmente peligroso, deberán tomarse las medidas

adecuadas para mantener el nivel de seguridad.

NotaLa reacción del módulo de seguridad a fallos detectados se puede parametrizar

correspondientemente, p. ej. activación de las funciones de seguridad SS1 y SBC en

caso de un circuito cruzado de señales de entrada seguras.

NotaCompruebe si en su aplicación se requiere una detección de circuitos cruzados del

circuito de entrada y del cableado de conexiones.

Si es necesario, utilice un dispositivo de desconexión de seguridad con detección de

circuitos cruzados para controlar el módulo de seguridad o bien las salidas seguras del

módulo de seguridad para la alimentación de aparatos de conexión pasivos en

combinación con las funciones de supervisión correspondientes para las entradas

seguras.

1.2.4 Aplicaciones y certificacionesEl controlador de motor con módulo de seguridad incorporado es un componente de seguridad

conforme a la Directiva de Máquinas 2006/42/CE; el controlador de motor está dotado de la marca CE.

Las normas y valores de prueba relativos a la seguridad que el producto respeta y cumple figuran en la

sección “Especificaciones técnicas” � Apéndice A.1. Consulte las normas y directivas EU

correspondientes al producto en la declaración de conformidad.

Los certificados y la declaración de conformidad de este producto se encuentran en

� www.festo.com/sp.

2 Descripción del producto Módulo de seguridad CAMC-G-S3



2.1 Guía de productos

2.1.1 Aplicación

Con el aumento de la automatización, la protección de personas contra movimientos peligrosos tiene

un papel cada vez más importante. La seguridad funcional describe medidas necesarias mediante

dispositivos eléctricos o electrónicos para evitar o eliminar peligros causados por fallos de

funcionamiento. En funcionamiento normal, los dispositivos de protección impiden que las personas

tengan acceso a áreas de peligro. En determinados modos de funcionamiento, p. ej. durante la puesta a

punto, las personas tienen que permanecer en zonas de peligro. En estas situaciones, el operador de la

máquina debe estar protegido mediante medidas de accionamiento e internas del control.

La ingeniería de seguridad funcional integrada en el controlador de motor CMMP-AS-...-M3 con el

módulo de seguridad CAMC-G-S3 ofrece las condiciones de mando y accionamiento para la ejecución

óptima de funciones de seguridad. Los costes de planificación e instalación se reducen. Mediante el

uso de la ingeniería de seguridad funcional integrada se amplía la funcionalidad de las máquinas y

mejora su disponibilidad, en comparación con el uso de la ingeniería de seguridad convencional.

Los controladores de motor de la serie CMMP-AS-...-M3 se pueden equipar con módulos enchufables

para la ingeniería de seguridad funcional integrada. Están disponibles los módulos siguientes:

Type (Tipo) Descripción

CAMC-DS-M1 Módulo con interruptores DIL sin función de seguridad.

CAMC-G-S1 Módulo de seguridad con interruptores DIL y función STO.

CAMC-G-S3 Módulo de seguridad con las funciones STO, SS1, SS2, SOS, SBC, SLS, SSR,

SSM e interruptores DIL.

Tab. 2.1 Cuadro general de módulos de seguridad y módulos de microinterruptores para el

CMMP-AS-...-M3

2.1.2 Características

El módulo de seguridad CAMC-G-S3 posee las siguientes características:

– Obtener una o varias funciones de seguridad:









– Entradas de uno o de dos canales para solicitar las funciones de seguridad.



– Salidas seguras para controlar otros elementos y funciones de seguridad.

– Contacto de recibo sin potencial para el estado operacional.

– Ejecución como módulo enchufable desde el exterior, que hace posible un equipamiento posterior.

Esta ingeniería de seguridad funcional integrada en el controlador de motor permite:

– Tiempos de respuesta más cortos gracias a una detección más rápida de los estados peligrosos.

– Una extensa detección de peligros mediante el acceso rápido y directo a numerosas señales y

magnitudes medidas en el controlador de motor.

– La evaluación de numerosos transmisores de posiciones, como p. ej. resolvedores, transmisores

SEN/COS, transmisores Hiperface, pero también la evaluación de sensores de posición con

protocolos en serie (ENDAT 2.2, BISS, ...)

– En caso necesario, el acceso rápido y directo a los valores nominales / control del regulador de

accionamiento. Un eje también puede detenerse de modo seguro y controlado sin intervención del

control / PLC funcional, o bien frenarse hasta una velocidad limitada.

– Una interacción directa entre el control secuencial en el controlador de motor y el módulo de

seguridad. De este modo, p. ej. la unidad de bloqueo o el freno de sostenimiento, tras solicitar la

función de seguridad SBC y el posterior rearranque, se abren solo después de que el controlador de

motor haya regulado activamente la posición. Se evita un “descenso brusco” de los ejes verticales,

se suprime la programación de una secuencia en el control funcional.

2.1.3 Equipos compatiblesEl módulo de seguridad CAMC-G-S3 se puede utilizar exclusivamente en controladores de motor como

se indica en la sección 1.1.2. Los controladores de motor CMMP-AS-...-M3 se suministran sin módulo

de seguridad ni módulo de microinterruptores en la posición de enchufe Ext3 para módulos de

seguridad.

Con el empleo del módulo de seguridad CAMC-G-S3 es posible la ampliación con las funciones de

seguridad funcional integrada para la supervisión y el control de movimientos orientados a la seguridad

descritos en esta documentación.

Si no es necesaria una función de seguridad, se debe pedir el módulo de

microinterruptores CAMC-DS-M1 y montarlo en la posición de enchufe Ext3.



2.1.4 Elementos de mando y conexionesEl módulo de seguridad CAMC-G-S3 dispone de los siguientes elementos de mando, conexiones y

elementos de indicación:

5

6

2

3 4

1

Pin 13

7

Pin 24

Pin 1

Pin 12

1 Controlador de motor CMMP-AS-...-M3 conposición de enchufe Ext3

2 Visualizador digital de 7 segmentos para lavisualización de la función de seguridadactiva o mensajes de error del módulo deseguridad

3 Módulo de seguridad CAMC-G-S3

4 Interfaz I/O [X40A] y [X40B] para el controlde las funciones de seguridad

5 LED para indicación del estado operativo(estado de la seguridad funcional)

6 Interruptor DIL (activación/configuración dela comunicación del bus de campo en elcontrolador de motor)

7 Conexión a tierra funcional (enchufe plano de 6,3 mm)

Fig. 2.1 Elementos de mando y conexiones de CAMC-G-S3

2.1.5 Dotación del suministro

Módulo de seguridad CAMC-G-S3

Módulo de seguridad con elementos de fijación

(2 tornillos con arandela elástica)

Módulo para las funciones de seguridad STO,

SS1, SS2, SOS, SLS, SSR, SSM, SBC

2 conectores para interfaz I/O [X40A], [X40B]

(también disponible como surtido de conectores

tipo clavija NEKM-C-9 por separado)

PHOENIX MiniCombicon MC1,5_12ST-3,81-BK

Descripción resumida con instrucciones para el

montaje

Alemán / inglés / español / francés / italiano /

chino

Tab. 2.2 Dotación del suministro



2.2 Funcionamiento y aplicación

2.2.1 Cuadro general del sistema

La figura siguiente muestra un sistema de accionamiento típico con ingeniería de seguridad funcional

integrada, que consta de los siguientes componentes:

– controlador de motor CMMP-AS-...-M3,

– módulo de seguridad CAMC-G-S3,

– servomotor síncrono, p. ej. de la serie EMMS-AS o EMME-AS de Festo,

– eje lineal con segundo sistema de medición, p. ej. EGC-...-M... de Festo,

– unidad de bloqueo segura.

Motor

Bus decampo o X1

μC-GG

μC1

μC2

DIN40A/BDIN41A/B

DIN42A/B

DIN43A/BDIN44

DIN45

DIN46DIN47

DIN48

DIN49DOUT40A/B

DOUT41A/B

DOUT42A/BC1

C2

BR+BR-

STOSBC

SS1

SS2SOS

SLS

SSMSSR

Controladorde motor Módulo de

seguridadSolicitud a travésde DIN4x

P. ej. unidad de bloqueo externa a travésde DOUT4x

X40

Estado

DIL

Fases de motor U/V/W

Sistema de medición linealX6

X2A

X2B

X10

Freno de sostenimientoen el motor

Estado

Diagnosis

Emisor X2A

Emisor X2B

Emisor X10

Fig. 2.2 Principio de funcionamiento del módulo de seguridad

La regulación del accionamiento y el control funcional del eje de movimiento tienen lugar, como de

costumbre, a través del controlador de motor CMMP-AS-...-M3 y de las interfaces asignadas, p. ej. [X1]

o mediante un bus de campo.

El módulo de seguridad supervisa la función del regulador de accionamiento del controlador de motor.

A tal fin se registran las magnitudes del movimiento del motor relevantes para la seguridad y se

supervisan dependiendo de las funciones de seguridad seleccionadas. En caso de una vulneración de

los límites de seguridad, como p. ej. cuando se excede una velocidad máxima permitida, el módulo de

seguridad puede, p. ej., desconectar de modo seguro la alimentación del excitador para los



semiconductores de potencia y con ello evitar que el paso de salida de potencia suministre la energía

requerida por el motor.

NotaUn fallo técnico o una avería de la fuente de alimentación conduce a una desconexión

del paso de salida de potencia del controlador de motor. Dependiendo de la aplicación,

las consecuencias pueden ser limitaciones en la seguridad.

La supervisión del eje orientada a la seguridad se realiza en el módulo de seguridad de la siguiente

manera:

– En el CAMC-G-S3 trabajan dos microcontroladores en una estructura redundante. Estos comparan

continuamente, durante el funcionamiento, todas las señales relevantes de entrada y salida así

como los datos del sensor de posición.

– Las funciones de seguridad en el CAMC-G-S3 se solicitan o activan a través de las entradas digitales

seguras en el módulo de seguridad, mediante otras funciones de seguridad o como reacción ante

errores. A través de conexiones lógicas es posible ajustar qué entradas digitales en qué

combinaciones de señales solicitan una función de seguridad.

– En cuanto una función de seguridad está activada tiene lugar la supervisión segura del estado de la

unidad básica y del eje.

– Para ello, el módulo de seguridad registra el movimiento del eje (posición, velocidad) a través del

sensor de posición en el motor y, dependiendo de la estructura del sistema, también a través de un

segundo sistema de medición.

– A tal fin, los sensores de posición se conectan, como es habitual, a [X2A], [X2B] y [X10] en la unidad

básica. Las señales se transmiten al módulo de seguridad internamente en el aparato.

Importante: Dependiendo de la clasificación de seguridad requerida y de la configuración

del eje, puede ser obligatoriamente necesario el segundo sistema de medición en el eje.

– Cuando el eje se encuentra en estado seguro, la función de seguridad comunica el estado SSR

“Safe State Reached”; en caso de vulneración de las condiciones de seguridad, la función de

seguridad comunica el estado SCV “Safety Condition Violated”.

– El módulo de seguridad dispone de salidas digitales seguras para comunicar el estado de seguridad

hacia fuera, p. ej. a un control de seguridad externo o a otro CAMC-G-S3 o hacia la alimentación de

entradas digitales con pulsos de prueba.

– El módulo de seguridad controla la salida de control de freno a través de una ruta interna del

aparato en la conexión de motor [X6] y permite de este modo la función de seguridad SBC en

combinación con una unidad de bloqueo debidamente certificada.

– Una unidad de bloqueo externa también se puede activar a través de una salida digital segura y un

aparato de conexión externo seguro.

Importante: Para utilizar la función de seguridad SBC debe utilizarse una unidad de

bloqueo con la clasificación de seguridad correspondiente. En principio, para todos los

tipos de frenos de sostenimiento o unidades de bloqueo sin certificación debe realizarse

siempre una evaluación de riesgos y determinar la idoneidad para la aplicación orientada

a la seguridad en cuestión. De no ser así, estos no se deben utilizar.

El freno de sostenimiento en motores en general no es apto y por lo tanto no es adecuado.



– Para fines de diagnosis está disponible un contacto de señal libre de potencial

– Mediante un LED de estado y el visualizador digital de 7 segmentos de la unidad básica se visualiza

el estado de funcionamiento del módulo de seguridad

A través de una interfaz interna de comunicación se intercambian datos entre el módulo de seguridad y

la unidad básica.

– Esto permite a la unidad básica conocer siempre el estado de funcionamiento actual del módulo de

seguridad, p. ej., si se solicita y ejecuta una función de seguridad o si se detecta una vulneración de

una condición de seguridad.

– De este modo, el estado de funcionamiento de la ingeniería de seguridad también se puede

comunicar al control funcional a través de las distintas interfaces del bus de campo.

– El módulo de seguridad puede acceder activamente al control de la unidad básica sin desviarse a

través del control funcional. P. ej., en caso de solicitar la función de seguridad SS2, el actuador se

puede retardar activamente hasta la velocidad cero

Importante: Esta función es especialmente ventajosa cuando se desplazan ejes individuales.

No obstante, si el eje se desplaza en un modo de funcionamiento de interpolación (p. ej. CAN

interpolated position mode), esta función no tiene mucho sentido.

Otras funciones del firmware en el módulo de seguridad:

– Desconexión segura del controlador de motor en caso de error, reacción variable a distintos errores.

– Evaluación de las señales de las entradas seguras, supervisión del funcionamiento correcto del

hardware (pulsos de prueba).

– Control de las salidas seguras, supervisión del funcionamiento correcto del hardware.

– Supervisión segura del correcto funcionamiento del microcontrolador: prueba cíclica de la memoria

(RAM, Flash) y de la CPU.

– Supervisión de las tensiones de alimentación.

– Supervisión cruzada de los dos microcontroladores implicados.

– Gestión de los conjuntos de parámetros, realización de una parametrización segura y asegurada

mediante sumas de prueba y contraseña.

2.2.2 Distribución de contactos del módulo de seguridad [X40]

Para la distribución de contactos de las funciones de seguridad, el módulo de seguridad dispone de

una interfaz de 24 contactos [X40A/B] con las siguientes conexiones:

– 4 entradas de sensor digitales de dos canales con asignación configurable (entradas SIL3),

– 6 entradas de sensor digitales de un canal con asignación configurable (máx. entradas SIL2), p. ej., como

– 1 selector del modo de funcionamiento digital de 3 contactos

– 1 entrada para el acuse de recibo del error

– 1 entrada para el control del rearranque después de solicitar una función de seguridad

– 1 entrada para una señal de acuse de recibo de una unidad de bloqueo externa

– 3 entradas de sensor digitales de dos canales(SIL3) con asignación configurable, opcionalmente

utilizable como salida de ciclo,

– 1 contacto de recibo (contacto por relé) para fines de diagnosis,

– Potencial de referencia para todas las entradas y salidas,

– una alimentación de corriente de 24 V para sensores conectados.



La Tab. 2.3 muestra las conexiones clasificadas por funciones. Hallará la distribución de conectores

clasificada por números de pin en � Sección 3.2, Instalación eléctrica.

Denominación Descripción (ajuste de fábrica1)) Pin, conector

Entradas digitales

X40A X40B

DIN40A Entrada digital 40 de dos canales

(ajuste de fábrica:aparato de conexión de parada de

emergencia, solicitud de STO y SBC)

X40A.1

DIN40B X40A.2

DIN41A Entrada digital 41 de dos canales X40B.13DIN41B X40B.14DIN42A Entrada digital 42 de dos canales X40A.3DIN42B X40A.4DIN43A Entrada digital 43 de dos canales X40B.15DIN43B X40B.16DIN44 Entrada digital 44

(ajuste de fábrica: acuse de recibo control de freno)

X40A.7

DIN45 Entradas digitales 45, 46, 47

(ajuste de fábrica: Selector del modo de

funcionamiento)

X40A.8

DIN46 X40A.9

DIN47 X40A.10

DIN48 Entrada digital 48

(ajuste de fábrica: acuse de recibo del error).

X40A.11

DIN49 Entrada digital 49

(ajuste de fábrica: Terminar función de seguridad con

flanco ascendente).

X40A.12

Salidas digitales y contacto de avisoDOUT40A Salida digital 40 de dos canales X40A.5DOUT40B X40A.6DOUT41A Salida digital 41 de dos canales X40B.17DOUT41B X40B.18DOUT42A Salida digital 42 de dos canales X40B.19DOUT42B X40B.20C1 Contactos de aviso, contactos por relé

(ajuste de fábrica: estado seguro alcanzado, ninguna

condición de seguridad vulnerada).

– Abierto: “Funciones de seguridad no activas”

– Cerrado: “Funciones de seguridad activas”

X40B.21

C2 X40B.22

Potencial de referencia y alimentación auxiliarGND24 0 V, potencial de referencia para DINx / DOUTx / +24 V X40B.23+24 V Salida 24 V, alimentación auxiliar, p. ej. para una

periferia segura (alimentación de la lógica 24 V DC del

controlador de motor).

X40B.24

1) Función en estado de entrega o después de restablecer los ajustes de fabrica (parametrización previa)

Tab. 2.3 Entradas y salidas digitales, contacto de aviso, potencial de referencia y alimentación

auxiliar [X40]



2.2.3 Cuadro general de las funciones de seguridad compatiblesEl módulo de seguridad admite las siguientes funciones de parada segura y de movimiento seguro:

Función Número Comentario

STO 1 Parada no controlada, bloqueo seguro de arranque � Sección 2.5.1

SS1 1 Parada controlada con STO a continuación � Sección 2.5.3

SS2 1 Parada controlada con SOS a continuación � Sección 2.5.4

SOS 1 Parada segura (con “límite de velocidad preciso”1)) � Sección 2.5.5

USF 4 “Universal Safety Function”, funciones de seguridad resumidas.

En el atributo “Safe Speed Function” (SSF) se pueden llevar a cabo las

siguientes funciones de seguridad mediante la parametrización

correspondiente:

SLS Velocidad con limitación segura � Sección 2.5.8

SSR Margen de velocidad seguro � Sección 2.5.9

SSM Velocidad supervisada de modo seguro � Sección 2.5.9

SBC 1 Control seguro de freno � Sección 2.5.2

1) Un movimiento lento dentro del margen de posición supervisado puede estar permitido

Tab. 2.4 Equipamiento del módulo de seguridad



2.2.4 Diagrama de funciones del módulo de seguridadLas funciones del módulo de seguridad se explican en base al siguiente diagrama de funciones:

DO

UT4

0A/B

DO

UT4

2A/B

BR

+/B

R-

C1/C

2

U_O

S+/

U_U

S

[5x-

x] x

xx_E

RR

INPU

T FI

LTER

+ LOG

IC

Safe

ty F

unct

ions

Safe

ty F

unct

ion

STO

Logi

c

... ...

...

Safe

ty F

unct

ion

SS

1

Logi

c

... ...

...

Safe

ty F

unct

ion

SB

C

Logi

c

... ...

...

Logi

c Fu

nctio

ns L

ogic

Fun

ctio

ns

Adv

ance

d Lo

gic

Adv

ance

d Lo

gic

ALF

0 ...

7

Logi

c

... ...

...

Ope

ratin

g M

ode

Switc

hFi

xed

Inpu

tsLI

N_D

45...

D47

Two

Han

d Co

ntro

l Uni

tFi

xed

Inpu

tsLI

N_D

42 +

D43

LIN

_D47

_SA

FE

LIN

_2H

AN

D_C

TRL

LIN

_D46

_SA

FE

LIN

_D45

_SA

FELI

N_D

45 ..

. D47

LIN

_D49

LIN

_D44

LIN

_D43

LIN

_D40

VIN

_x_y

LIN

_x

VO

UT_

STO

_SFR

VO

UT_

x

VO

UT_

STO

_SS

R

VO

UT_

SS

1_S

FR

VO

UT_

SS

1_S

SR

VO

UT_

SB

C_S

FR

VO

UT_

SB

C_S

SR

VO

UT_

ALF

0_O

UT

VO

UT_

PS_E

N

VO

UT_

REA

DY

VO

UT_

SFR

VO

UT_

SS

R

VO

UT_

SER

VIC

E

VO

UT_

ERR

OR

VO

UT_

SCV

VO

UT_

WA

RN

VO

UT_

ALF

7_O

UT

DIN

40A

/B

DIN

43A

/B

DIN

44

DIN

49

Stat

us S

igna

ls fr

om D

rive

Feed

back

Sig

nals

LIN

_xy

:= V

OU

T_xy

Out

put D

rive

r + Te

st P

ulse

Uni

t

Logi

c

LOU

T_x

...

Out

put D

rive

r + Te

st P

ulse

Uni

t

Logi

c

...

Inte

rnal

B

rake

Cont

rol

Logi

c

...

Sign

al

Rel

ais

Logi

c

...

Inte

rnal

Po

wer

Sta

geEn

able

Stat

e M

achi

ne

Erro

r Log

ic

+ Erro

r Han

dler

LED

LIN

_D49

_RIS

ING

...

Logi

c...

INPU

T FI

LTER

+ LOG

IC

INPU

T FI

LTER

+ LOG

IC

INPU

T FI

LTER

+ LOG

IC

Fig. 2.3 Diagrama de funciones del módulo de seguridad (leyenda � Tab. 2.5)



Término/abreviación Explicación

DIN40A/B ... DIN43A/B Entradas digitales de dos canales

DIN44 ... DIN49 Entradas digitales de un canal

INPUT FILTER + LOGIC Entrada de filtro y lógica de entrada

Status Signals from Drive Señales de estado del actuador

LIN_x Entradas lógicas

VIN_x_y Entradas virtuales

Safety Functions Funciones de seguridad

Logic Lógica, configurable en las funciones de seguridad a través

de términos productos

Safety Function STO, SS1, ... Función de seguridad STO, SS1, ...

Logic Functions Funciones lógicas

Advanced Logic ALF... Funciones lógicas avanzadas ALF...

Fixed Inputs LIN_... Entradas lógicas de asignación fija LIN_...

Operating Mode Switch Selector del modo de funcionamiento

Two Hand Control Unit Terminal de mando de dos manos

VOUT_x Salidas virtuales

LOUT_x Salidas lógicas

Output Driver + Test Pulse Unit Excitador de salida y generación de pulsos de prueba

DOUT40A/B ... DOUT42A/B Salidas digitales de dos canales

Signal Relais Contacto de aviso

C1/C2 Pines C1/C2 del contacto de señal

Internal Brake Control Control interno de freno

BR+/BR- Pines BR+/BR- del control interno de freno

Internal Power Stage Enable Habilitación interna de paso de salida

U_OS+/U_OS- Pines U_OS+/U_OS- de la habilitación interna de paso de

salida

Error Logic + Error Handler Lógica de errores y tratamiento de errores

[5x-x] xxx_ERR Señal de error interna error 5x-x

State Machine Máquina de estado

Feedback Signals LIN_xy := VOUT_xy Acuse de recibo de las señales LIN_xy := VOUT_xy

Tab. 2.5 Leyenda de la Fig. 2.3

Las entradas digitales de la interfaz [X40] están representadas en el lado izquierdo de la imagen y las

salidas digitales en el lado derecho. Entre ellas se encuentra una estructura con bloques lógicos y

funciones de seguridad.

Todas las señales seguras aparecen con fondo amarillo en el diagrama de funciones y en

los demás diagramas de bloques; las señales potencialmente no seguras se muestran

con fondo gris.



Filtro de entrada y entradas lógicas:Las señales digitales de entrada en [X40] se filtran primero en el bloque funcional “Input Filter + Logic”.

Además, el bloque comprueba si hay pulsos de prueba en las señales de entrada y si estos son

plausibles. En las entradas de dos canales se comprueba si el nivel de entrada corresponde al tipo de

entrada (de conmutación equivalente / antivalente) y si las señales conmutan simultáneamente.

Como resultado de dichas comprobaciones se representan los estados lógicos de las señales de

entrada, marcadas en el diagrama de bloques con LIN_x “Logic Inputs”. P. ej., la señal LIN_D40

representa el estado lógico de conmutación de la entrada de dos canales DIN40.

Lista de las entradas lógicas � Sección B.1.1, Tab. B.2.

Funciones de seguridad:Las funciones de seguridad poseen algunas características unificadas:

A través de una función lógica configurable se define qué señales lógicas de entrada, LINs, se

conmutan a la función de seguridad para

– la demanda de la función de seguridad,

– la finalización de la demanda,

– la selección de señales de mando adicionales, siempre que sea necesario.

Estas señales de mando internas para las funciones de seguridad se denominan VIN_x_y “Virtual

Inputs”, p. ej., VIN_SS1_RSF designa la entrada para requerir (Request Safety Function) la función de

seguridad SS1. El estado de conmutación de dichas señales se puede leer y visualizar. Lista de las

salidas virtuales � Sección B.1.2, Tab. B.5.

Para la configuración de las condiciones de conmutación están disponibles en total 32

términos productos, comparables con un módulo lógico programable (PLD). Los términos

productos se pueden distribuir de modo flexible entre las distintas funciones.

Para cada señal de mando VIN_x_y para funciones lógicas o de seguridad, pero también

para la configuración de las salidas VOUT_x se pueden utilizar como máximo 4 términos

productos “O” vinculados con, como máximo, 7 entradas con o sin inversión.

Las entradas virtuales, que no tienen ningún término producto asignado, poseen el

estado lógico “0”.

El siguiente ejemplo utiliza dos de los 32 términos productos para solicitar la función

STO:

La gestión de los términos productos tiene lugar automáticamente a través del SafetyTool

(un software especial integrado en el plugin de FCT) y por lo tanto es invisible en gran

parte para el usuario.



La función de seguridad propiamente dicha contiene funciones lógicas y secuenciales. Tiene en cuenta

el estado actual del actuador (posición, velocidad) y ejecuta la supervisión del mismo. Cada función de

seguridad pone a disposición las siguientes señales de salida:

– el mensaje de estado que indica función de seguridad solicitada,

– el mensaje de estado que indica que se ha alcanzado el estado seguro,

– un mensaje de error en caso de vulnerar la condición de seguridad.

Algunas funciones de seguridad proporcionan, además, otras señales de mando para el accionamiento

directo de funciones en el regulador de accionamiento. Estos mensajes de estado están representados

en el diagrama de bloques en conjunto y se identifican con “Virtual Output Signals”.

Lista de las salidas virtuales � Sección B.1.2, Tab. B.5.

Funciones lógicas para las entradas:Para algunas aplicaciones son necesarias señales de mando lógicas especiales que se componen de

una combinación de varias señales de entrada. El módulo de seguridad admite dichas aplicaciones,

para ello proporciona funciones lógicas predefinidas para:

– el selector de modos de funcionamiento,

– el terminal de mando de dos manos

Las señales de salida de estos bloques lógicos se representan directamente en LIN_x, puesto que

también sirven para el control de funciones de seguridad.

No obstante, también es posible configurar bloques lógicos adicionales propios. A tal fin están

disponibles las denominadas ALF “Advanced Logic Functions” (funciones lógicas avanzadas) ALF0

hasta ALF7, cuyas señales de salida están a disposición como VOUT_x “Virtual Output Signals”

(señales de salidas virtuales). Lista de las salidas virtuales � Sección B.1.2, Tab. B.5.

Salidas lógicas y excitadores de salidas:

El módulo de seguridad dispone de bloques configurables con excitadores de potencia para:

– la activación de las salidas digitales con la generación de pulsos de prueba,

– la activación de la salida de relé,

– la activación de la unidad básica, p. ej. de la salidas para el control de freno y para la desconexión

de la alimentación de excitador para STO.

Por medio de una función lógica configurable se define qué señales VOUT se conmutan al excitador de

salida correspondiente como LOUT “Logic Output Signal” (señal de salida lógica).

La función lógica se compone de un término producto con siete entradas como máximo así como

inversión de entrada y salida. Lista de las salidas virtuales � Sección B.1.4, Tab. B.7.

El estado de la salida lógica (un bit) es convertido a las señales físicas de salida (a menudo dos

señales, configurables como antivalente / equivalente/ pulsos de prueba) por el excitaor de salida.

Acoplamiento regenerativo:Puesto que en algunas aplicaciones se desea ejecutar funciones de seguridad dependiendo del estado

de otra función lógica o de seguridad, el módulo de seguridad dispone de una ruta regenerativa

interna:

Por ello las señales VOUT más importantes son reconducidas a señales lógcas LIN y están disponibles

para operaciones lógicas.

Lista de las entradas lógicas � Sección B.1.1, Tab. B.2.



Máquina de estado (State Machine):El estado operativo del módulo de seguridad se controla a través de una máquina de estado. El estado

operativo se visualiza por medio de un LED multicolor y además se representa en VOUT.

En � Sección 2.10 figura una descripción precisa de los estados operativos.

Gestión de errores:La gestión de errores controla cómo reacciona el módulo de seguridad cuando se producen errores.

La reacción ante errores más importante es la desconexión inmediata del paso de salida de potencia en

la unidad básica (Safe Torque Off, STO), así como la desconexión de todas las salidas seguras. Las

reacciones ante errores se pueden configurar � Sección 2.8.

2.2.5 Resumen de sensores de posición compatiblesLa supervisión segura de la velocidad (p. ej. para SLS) y de la posición (p. ej. para SOS) requiere los

sensores correspondientes para la detección de posición.

El controlador de motor CMMPAS...M3 es compatible con numerosos transmisores giratorios de

pulsos para la detección de posición y velocidad a través de las interfaces del dispositivo X2A, X2B y

X10. Las señales de los sensores de posición se transmiten desde el CMMP-AS-...-M3 al módulo de

seguridad, internamente en el aparato (� Fig. 2.2). La mayoría de transmisores giratorios también

pueden ser evaluados por el módulo de seguridad, puesto que las señales están disponibles para el

mismo. A través del transmisor giratorio se registran la posición y la velocidad.

El módulo de seguridad admite los siguientes transmisores giratorios de pulsos:

– resolvedores a través de X2A

– encoders incrementales SEN/COS a través de X2B

– transmisores giratorios de pulsos Hiperface SICK a través de X2B (solo canal de datos de proceso)

– transmisores Heidenhain ENDAT a través de X2B

– encoders incrementales con señales digitales A/B a través de X2B

– sensores de posición BISS para motores lineales a través de X2B

– encoders incrementales con señales digitales A/B a través de X10

A través del transmisor giratorio se registran la posición y la velocidad.

Las funciones de seguridad compatibles con el módulo de seguridad no requieren

conocimiento de la posición absoluta. Por ello no está prevista una evaluación segura de

la posición absoluta del transmisor ni un recorrido de referencia seguro.

Cada microcontrolador del módulo de seguridad puede evaluar hasta dos sensores de posición:



Encoder Evaluation

μCBase Device

Position Sensor 1

[X2A] ...[X2B] ...

Position Sensor 2

[X10] ...

μC 1

μC 2

Cross Comparison

CAMC-G-S3

[X2A], [X2B][X2B], other

[X10]

[X2A] Resolver[X2B] SINCOS

Fig. 2.4 Evaluación de los sensores de posición en el módulo de seguridad


Position Sensor 1/2 Sensor de posición 1/2

μC Base Device Microcontrolador de la unidad básica

Cross Comparison Comparación cruzada


– Si se utilizan dos sensores de posición, cada microcontrolador evalúa ambos sensores. Cada

microcontrolador compara los valores de posición y velocidad de ambos sensores y genera un

mensaje de error en caso de desviaciones no permitidas.

– Si únicamente se utiliza un sensor de posición con clasificación SIL, este también es evaluado por

los dos microcontroladores en el módulo de seguridad.

– Si se utiliza un sensor de posición que puede ser evaluado por la unidad básica (μC GG) pero que no

es compatible directamente con el módulo de seguridad, existe la posibilidad de transmitir la

información de ángulo normalizada desde la unidad básica al módulo de seguridad. En combinación

con un segundo sensor de posición que es evaluado directamente por el módulo de seguridad,

también se puede configurar de este modo un sistema seguro (hasta SIL2). Esta variante está

identificada en la Tab. 2.7 con “X2B otro transmisor”.

– En todos los casos tiene lugar una comparación cruzada continua de los datos de posición entre el

microcontrolador1 y el microcontrolador2 con resolución de error en caso de desviaciones no

permitidas.

– Ambos microcontroladores 1 y 2 utilizan en todas las configuraciones valores de posición y

velocidad por varias vías para la supervisión del eje. Adicionalmente se puede configurar una

supervisión de aceleración para una verificación de plausibilidad.



Los fabricantes de transmisores giratorios con certificación SIL publican las directivas

para la utilización de dichos transmisores en aplicaciones orientadas a la seguridad.

El CAMC-G-S3 tiene en cuenta las siguientes especificaciones de fabricantes en la

evaluación de las señales de transmisores:

– Especificación de los requisitos de seguridad de E/E/PES para el máster EnDat del

19-10-2009 (D533095 - 04 - G - 01) � www.heidenhain.de (en preparación)

– Manual de implementación / Implementation Manual HIPERFACE® Safety del

21-12-2010 (8014120/2010-12-21) � www.sick.com

Por favor, compruebe dichos documentos en relación con las medidas necesarias para el

montaje del transmisor giratorio y las exclusiones de errores necesarias.

Combinaciones permitidas de sensores de posiciónLa Tab. 2.7 muestra las combinaciones de transmisores permitidas. Otras combinaciones no se pueden

parametrizar en el módulo de seguridad.

Hallará los índices de seguridad alcanzables con las combinaciones en � Sección A.2.3.

Primer transmisor Segundo transmisor Nota

[X2A] Resolvedor [X2B] Otro transmisor –

[X2A] Resolvedor [X10] Encoder

incremental

–

[X2A] Resolvedor Ninguno ¡Observar las notas siguientes!

[X2B] Encoder

intcremental SEN/COS

Ninguno Requiere clasificación SIL del transmisor.

[X2B] Encoder

intcremental SEN/COS

[X10] Encoder

incremental

¡Observar las notas siguientes!

[X2B] Encoder

incremental Hiperface

[X10] Encoder

incremental


[X2B] Encoder

incremental Hiperface

Ninguno Requiere clasificación SIL del transmisor.

[X2B] Transmisor

ENDAT

[X10] Encoder

incremental

Ajuste trasmisor 1: “[X2B] Otro transmisor”.


[X2B] Transmisor

ENDAT

Ninguno En preparación.

Requiere clasificación SIL del transmisor.

[X2B] Otros

transmisores

[X10] Encoder

incremental

–

Tab. 2.7 Combinaciones permitidas de sensores de posición

NotaEvalúe si los sensores de posición que ha seleccionado son lo suficientemente precisos

para el cumplimiento de la función de supervisión, en particular también para la función

de seguridad SOS (parada de servicio segura). Tenga en cuenta las notas sobre la

precisión del sistema en el � Apéndice A.3.



NotaEn aplicaciones con un único transmisor giratorio / sensor de posición, este debe

poseer la clasificación SIL necesaria conforme a la evaluación de riesgos. En la mayoría

de los casos, la clasificación exige requerimientos adicionales o exclusiones de errores

en la mecánica. ¡Compruebe minuciosamente que la aplicación cumple dichos

requerimientos y que está permitido realizar las exclusiones de errores

correspondientes! En este contexto tenga en cuenta siempre las indicaciones de

implementación y las exclusiones de errores necesarias que requiere el fabricante del

sensor de posición.

NotaEn aplicaciones con un único transmisor giratorio / sensor de posición con interfaz

analógica de señales (resolvedor, SEN/COS, Hiperface,…) deben tenerse en cuenta las

restricciones relativas a la cobertura de diagnosis así como la limitación de la precisión

alcanzable de la supervisión de parada y de velocidad � Apéndice A.3.5 y A.3.6.

NotaSi se utilizan dos transmisores funcionales sin clasificación SIL, debe demostrarse por

separado la idoneidad de la combinación de transmisores para el empleo en sistemas

seguros hasta SIL3 (son necesarias, p. ej. diversidad de los sistemas de transmisores

en relación con CCF, MTTFd, etc., idoneidad de los transmisores para las condiciones

ambientales y de funcionamiento, compatibilidad electromagnética, etc.).

Recomendación: Dado el caso, utilice los ejemplos de soluciones creados por el

fabricante con combinaciones definidas de ejes, motores y transmisores.

2.2.6 Intercambio de datos y control del controlador de motor

El módulo de seguridad puede acceder al paso final de potencia del controlador de motor a través de

señales de mando digitales. El controlador de motor señaliza su estado de funcionamiento por medio

de otras señales digitales. Además, a través de una interfaz interna de comunicación está conectado

con el microcontrolador de la unidad básica (� Sección 2.2.1, Fig. 2.2 Principio de funcionamiento del

módulo de seguridad).

El módulo de seguridad puede controlar al controlador de motor (“control de nivel

superior”). Controla lo siguiente:

– la desconexión del paso de salida de potencia,

– el acceso al control de freno,

– los valores nominales para la regulación,

– el acuse de recibo del error.

Las señales de mando digitales se utilizan como se indica a continuación:

a) Desconexión de la alimentación del excitador en el controlador de motor:

El paso de salida de potencia del controlador de motor se puede desconectar a través de dos

canales independientes.



Uno de los canales controla la alimentación del conmutador superior y el otro controla la

alimentación del conmutador inferior. Los canales son controlados por el módulo de seguridad por

varias vías y se supervisan continuamente durante el funcionamiento mediante pulsos de prueba.

El control se realiza exclusivamente a través de la función de seguridad STO � Sección 2.5.1.

b) Acceso al control de freno (conexión [X6] ):

La desconexión del control de freno se realiza de manera redundante en el módulo de seguridad

mediante las correspondientes señales de mando a la unidad básica. El control de freno se supervisa

continuamente durante el funcionamiento mediante pulsos de prueba. Por tanto, la salida de freno

segura de la unidad básica se puede utilizar también para el control de unidades de bloqueo. El control

se realiza exclusivamente a través de la función de seguridad SBC � Sección 2.5.2.

Como contrapartida, un freno de sostenimiento se suelta solamente cuando la unidad básica

señaliza al módulo de seguridad, por medio de otra línea de mando, que habilitará el freno de

sostenimiento también de modo funcional. Este enlace permite el rearranque sencillo del eje

conforme a SBC.

En caso de errores del sistema en el módulo de seguridad, las conexiones de hardware

accionadas dinámicamente se encargan de desconectar las líneas de mando para la

alimentación del excitador y para el control de freno de modo rápido y seguro.

c) Activación de una parada rápida en la unidad básica:

A través de una línea de mando interna el módulo de seguridad puede activar una parada rápida en

la unidad básica. El tiempo de respuesta de la unidad básica es especialmente breve (< 2 ms).

Cuando se activa la señal, en los modos de funcionamiento de regulación de la velocidad y de

posicionamiento la unidad básica frena en la rampa Quick Stop hasta la velocidad cero, a

continuación la velocidad de giro se regula hasta 0 rpm o la posición se regula a la posición actual

dependiendo del modo de funcionamiento.

Esta función se utiliza para poner en práctica la función de seguridad SS1 o SS2 tipo b)

� Secciones 2.5.3 y 2.5.4.

La interfaz interna de comunicación entre el módulo de seguridad y la unidad básica se utiliza para las

siguientes tareas:

– Establecer la conexión de comunicación hacia fuera entre el módulo de seguridad y el PC para

parametrización y diagnosis.

– Otras intervenciones activas del módulo de seguridad en el control del controlador de motor.

– Cambio de mensajes de estado y estados de funcionamiento.

– Suministro de informaciones de depuración para la búsquda de errores / análisis.

– Transmisión bidireccional de telegramas de datos seguros a controles de seguridad externos (en

preparación).

d) Interfaz para la parametrización:

La parametrización del módulo de seguridad se realiza mediante el SafetyTool (� Secciones 2.2.7 y 4.5).

Se accede al SafetyTool a través del Festo Configuration Tool (FCT). La comunicación segura entre el

Safety Tool y el módulo de seguridad tiene lugar por medio de una de las interfaces del controlador

de motor (Ethernet [X18] o USB [X19]). El controlador de motor transmite los telegramas de datos

desde y hacia el módulo de seguridad sin modificarlos.



e) Limitación activa de las revoluciones / velocidad en la unidad básica:

El módulo de seguridad puede acceder directamente a la regulación del accionamiento a través de

la conexión interna de comunicación; para ello limita el valor nominal de velocidad activamente en

la unidad básica. La unidad básica se frena en la rampa parametrizada en el módulo de seguridad.

La limitación es efectiva en los siguientes modos de funcionamiento de la unidad básica:

– revoluciones / regulación de la velocidad

– posicionamiento (funcionamiento directo o de registro)

Esta función se utiliza para poner en práctica la función de seguridad SS1 o SS2 tipo a)

� Secciones 2.5.3 y 2.5.4. También es conveniente utilizarla en combinación con

funciones seguras de velocidad, como p. ej. SLS (velocidad con limitación segura), puesto

que el eje puede frenar de modo autónomo, incluso sin intervención del control.

Si en el módulo de seguridad hay varias funciones de seguridad activas simultáneamente que

prescriben distintas limitaciones de velocidad, se obtiene el mínimo de los valores límites de todas

las funciones de seguridad y se envía a la unidad básica.

En todos los modos de funcionamiento de interpolación en los que la unidad básica es guiada

directamente por medio del control, la limitación activa de las revoluciones no tiene sentido.

f ) Mensajes de estado:

El estado de funcionamiento del módulo de seguridad y el estado de las funciones de seguridad

(p. ej. Safety Function Requested (SFR), Safe State Reached (SSR)) se transmiten cíclicamente a la

unidad básica a través de la interfaz interna de comunicación.

La unidad básica puede

– emitir y visualizar dicho estado a través de las salidas digitales,

– enviar dicho estado a la unidad de control de nivel superior a través de la interfaz del bus de

campo activa respectivamente,

– emitir dicho estado mediante el visualizador digital de 7 segmentos.

Hallará la descripción de los mensajes de estado disponibles en � Sección 2.10.

Las informaciones de estado que están disponibles a través de los protocolos de

comunicación FHPP y CiA 402 figuran en � Sección A.4.

g) Análisis de errores / Depuración (Debugging):

A través de la interfaz de comunicación, la unidad básica recibe también el estado de error del

módulo de seguridad y tiene acceso a magnitudes de estado internas, tales como la velocidad

segura medida o los límites de supervisión para la velocidad.

La unidad básica utiliza estos datos:

– para la indicación, en el visualizador digital de 7 segmentos, del estado de funcionamiento y de

los mensajes de error que pueda haber,

– para el registro de todos los mensajes en una memoria de diagnosis no volátil para la posterior

diagnosis,

– para el análisis de las magnitudes de estado del módulo de seguridad a través de la función de

osciloscopio (Trace). Por ejemplo, mediante el registro del límite de velocidad supervisado y de

la velocidad actual se puede comprobar porqué el módulo de seguridad detecta la vulneración

de una condición de seguridad.



2.2.7 Configurar las funciones de seguridad con el SafetyToolEn oposición a un mando de seguridad, el módulo de seguridad no se puede programar libremente.

Posee un volumen de funciones definido que puede ser activado y parametrizado por el usuario. No

obstante, para adaptar las funciones en el módulo de seguridad de modo flexible a las distintas

aplicaciones, las funciones de seguridad y las salidas disponen de una parte lógica configurable para

determinar las condiciones de conmutación.

La selección de las funciones de seguridad, la ocupación de las I/Os y la demanda de las funciones de

seguridad a través de entradas y otras condiciones se configuran mediante el SafetyTool.

El SafetyTool es un módulo de software para la puesta a punto segura del módulo de seguridad, que se

arranca desde el plugin de FCT CMMP-AS.

Por medio de la parametrización se establecen, entre otros, los siguientes ajustes:

– Las entradas se activan al asignarles una función, como p. ej. un tipo de sensor � Ejemplo en

sección 4.6.7.

– Las funciones de seguridad individuales se activan y parametrizan, p. ej., mediante la especificación

de velocidades límite, etc.

– La demanda de una función de seguridad se parametriza como operación lógica, p. ej., por medio

de la demanda a través de una entrada � Ejemplo en sección 4.6.8.

– Para el aviso de una función de seguridad activa se puede enlazar el estado interno, p. ej., con una

salida.

– El comportamiento en caso de error (la reacción ante un error) se puede configurar

La descripción del procedimiento para la parametrización del módulo de seguridad con el

SafetyTool figura en � Sección 4.5.

Importante:

El SafetyTool admite la adquisición automática de datos desde la unidad básica. Los

encoders, reductores, constantes de avance, etc. se configuran una única vez en el marco

de la puesta a punto de la unidad básica. Después de la puesta a punto de la unidad

básica, dichos datos son leídos por SafetyTool y transmitidos al módulo de seguridad

mediante diálogos.

– Parametrice en el primer paso la unidad básica por completo y optimice la aplicación

de modo funcional.

– En el segundo paso parametrice la ingeniería de seguridad.

NotaFunciones de seguridad en la fase de puesta a punto.

Puesto que ya en la fase de puesta a punto de una instalación se requieren medidas

para garantizar la seguridad funcional necesaria, se debe tener en cuenta lo siguiente:

� El módulo de seguridad debe estar configurado completamente y la aplicación debe

validarse por completo antes de que ofrezca una protección



El módulo de seguridad se suministra “preconfigurado” de fábrica � Sección 4.4.1.

– A través de DIN40 se solicitan las funciones de seguridad STO y SBC.

– Por medio de DIN49 tiene lugar el rearranque.

– Mediante DIN48 se realiza el acuse de recibo del error.

El estado de entrega también se puede detectar sin FCT / SafetyTool en el LED

intermitente verde-rojo del módulo de seguridad (cuando DIN40 ha sido conectado y no

se ha solicitado ninguna función de seguridad � Sección 2.10).

2.3 Adquisición de datos desde el controlador de motor

Para la monitorización segura de movimientos, el módulo de seguridad debe saber qué sensores están

conectados para la detección de posición, qué resolución poseen y qué tipo de mecánica, avance,

reductor, etc. se utiliza y en qué unidades parametrizará el usuario la aplicación. El SafetyTool le asiste

mediante la adquisición guiada por menús de todos estos datos desde la unidad básica, de modo que

se simplifica la parametrización y se evitan entradas incorrectas.

Para la creación de proyectos nuevos, lo mejor es proceder de la siguiente manera:

Utilice un módulo de seguridad que se encuentre en el estado de entrega o restablézcalo

con los ajustes de fábrica � Sección 4.4.2 o 4.4.1.

Parametrice primero la unidad básica por completo mediante FCT y a continuación (si es

posible) póngala en funcionamiento.

Solo después, debe iniciar la parametrización por medio de SafetyTool y transferir

automáticamente los datos ajustados desde la unidad básica al SafetyTool mediante los

botones “Copy” � Secciones 4.5.1 y 4.6.2.

NotaUna adquisición de datos desde la unidad básica también es necesaria cuando se desea

utilizar un módulo de seguridad que ya se estaba utilizando en otra aplicación con otra

mecánica, o cuando se ha restablecido un módulo de seguridad manualmente a los

ajustes de fábrica.

En este caso, la configuración de la unidad básica también es la “guía”; los datos

correspondientes para las unidades de visualización, la mecánica y la configuración de

transmisores se tienen que tomar desde la unidad básica.

Si en el módulo de seguridad ya existen funciones de movimiento seguras

parametrizadas, los valores límite ajustados en el módulo de seguridad se transmiten al

SafetyTool como valores nominales. Estos se deben transmitir de nuevo al módulo de

seguridad para que los valores límite permanezcan sin modificar.



Ejemplo:

Originariamente en el módulo de seguridad hay una función SLS configurada con un valor límite de

+/- 200 mm/s. Estaba en funcionamiento en un eje de correa dentada con 100 mm/rev de avance.

Ahora el módulo de seguridad se utilizará en otra aplicación, el avance en dicha aplicación es de

150 mm/rev.

Después de aceptar el avance modificado, el SafetyTool muestra en la función SLS una discrepancia

entre el valor nominal y el valor efectivo:

Valor nominal: 200 mm/s

Valor efectivo: 300 mm/s

Por ello el valor nominal se debe volver a escribir y validar en el módulo de seguridad.

2.3.1 Informaciones básicas

Las informaciones básicas contienen las unidades de visualización seleccionadas para (� Tab. 2.8):

– recorrido (P06.3E y P06.41),

– velocidad (de P06.42 hasta P06.45),

– aceleración (desde P06.46 hasta P06.49),

así como una descripción de la transmisión mecánica mediante:

– relación de reducción (numerador y denominador) entre el motor y el actuador (P06.4A y P06.4B),

– constante de avance (numerador y denominador) para la conversión rotatorio -> translatorio

(P06.3F y P06.40).

Se utilizan para la conversión entre valores de indicación y valores de dispositivo (posicion, velocidad,

aceleración).

NotaEstos parámetros tienen que transmitirse al módulo de seguridad, comprobarse y

validarse; ¡solo así se garantiza que el módulo de seguridad calcula con las mismas

unidades que la unidad básica!

Parámetro informaciones básicas:

Informaciones básicasN.º Nombre Descripción

P06.3E Unidad a visualizar para posiciones. Unidad a visualizar para posiciones. Con

“UserDefined” no se visualiza ninguna unidad en

los valores de posición en el SafetyTool.

P06.3F Numerador de constante de avance del

eje en unidades de posición

Numerador de constante de avance del eje en

unidades de posición por revolución del motor

(sin factores de reducción).

P06.40 Denominador de constante de avance

del eje en unidades de posición

Denominador de constante de avance del eje en

unidades de posición por revolución del motor

(sin factores de reducción).

P06.41 Número de cifras decimales

visualizadas en posiciones.

Número de cifras decimales visualizadas en

valores de posición.



Informaciones básicas

N.º DescripciónNombre

P06.42 Unidad a visualizar para velocidades. Unidad a visualizar para velocidades. Con

“UserDefined” no se visualiza ninguna unidad.

Si la posición es UserDefined, la velocidad

también tiene que serlo.

P06.43 Numerador de base de tiempo

modificada para velocidades del tipo

UserDefined.

Numerador de base de tiempo modificada para

velocidades del tipo “UserDefined”.

P06.44 Denominador de base de tiempo

modificada para velocidades del tipo

UserDefined.

Denominador de base de tiempo modificada para

velocidades del tipo “UserDefined”.


visualizadas en velocidades.


velocidades.

P06.46 Unidad a visualizar para aceleraciones. Unidad a visualizar para aceleraciones. Con

UserDefined no se visualiza ninguna unidad.

Si la posición es “UserDefined”, la aceleración

también tiene que serlo.

P06.47 Numerador de base de tiempo

modificada para aceleraciones del tipo

UserDefined.

Numerador de base de tiempo modificada para

aceleraciones del tipo “UserDefined”.

P06.48 Denominador de base de tiempo

modificada para aceleraciones del tipo

UserDefined.

Denominador de base de tiempo modificada para

aceleraciones del tipo “UserDefined”.


visualizadas en aceleraciones.


aceleraciones.

P06.4A Numerador de relación de reducción

total entre motor y eje.

Numerador de relación de reducción total entre

motor y eje.

P06.4B Denominador de relación de reducción

total entre motor y eje.

Denominador de relación de reducción total

entre motor y eje.

Tab. 2.8 Parámetro informaciones básicas



2.3.2 Configuración de los transmisoresLa selección y el ajuste de los transmisores giratorios para la detección de la posición, el ajuste del

sentido de contaje de ángulo / posición, la resolución del sensor de posición y el ajuste de las

relaciones de reducción de los sensores de posición también se toman automáticamente de la

configuración de la unidad básica.

Importante:

A menudo en la unidad básica se utiliza solamente un sensor de posición (en el motor)

para la regulación, pero para la seguridad funcional en muchos casos (� Tab. 2.7) está

previsto otro sensor de posición, p. ej. en la salida.

Asegúrese de haber configurado el o los sensores de posición a través de FCT en la

unidad básica, como se muestra en el siguiente ejemplo para 2 sensores:

De lo contrario la adquisición de datos no se podrá realizar por completo.

NotaEstos parámetros tienen que transmitirse al módulo de seguridad, comprobarse y

validarse; ¡solo así se garantiza que el módulo de seguridad calcula con las mismas

unidades que la unidad básica!

La configuración de los sensores de posición es relativamente amplia porque el módulo de seguridad

admite numerosos tipos de transmisores y configuraciones diferentes. Por este motivo, en el

SafetyTool la configuración está estructurada en los siguientes registros:

– parámetros estándar (selección de las interfaces y tipos de transmisores),

– parámetros para sensores de posición en [X2B],

– parámetros para sensores de posición en [X10],

– parámetros avanzados para la comparación cruzada de los datos de posición,

– parámetros avanzados para la configuración de la detección segura de la velocidad y del estado de

parada,

– parámetros avanzados para la supervisión de señales de transmisores seguros con señales

analógicas (resolvedores, transmisores SEN/COS).

Parámetros estándarAquí tiene lugar la selección de las interfaces de transmisor y del tipo de transmisor que se utilizarán en

el módulo de seguridad como sensor de posición 1 y sensor de posición 2. Mediante las relaciones de

reducción se representan reductores entre el motor y el eje, con relaciones de reducción negativas se

tiene en cuenta una inversión del sentido de giro.



Tiene lugar la adquisición de datos / ajuste del sensor de posición 1 que sirve de guía (primer transmisor):

– resolvedor [X2A],

– transmisor SEN/COS o Hiperface [X2B],

– otros transmisores [X2B], p. ej. ENDAT, BISS.

Además, también es posible ajustar una relación de reducción para el sensor de posición 1 entre el

transmisor y el motor.

Después tiene lugar la adquisición de datos / ajuste del sensor de posición 2 (segundo transmisor):

– otros transmisores [X2B], p. ej. SEN/COS, ENDAT, BISS,

– encoder incremental [X10],

– ninguno (solo cuando el sensor de posición 1 es un sensor de posición certificado).

También es posible ajustar una relación de reducción para el sensor de posición 2 entre el transmisor y

el motor.

Importante: El SafetyTool le advierte de las combinaciones de transmisores no

permitidas.

Consulte las combinaciones de transmisores permitidas y la clasificación de seguridad

correspondiente en � Sección 2.2.5 (Tab. 2.7).

En motores lineales el FCT calcula, a través de la resolución de posición del sistema de

medición y del paso polar ôp del motor, tanto una constante de avance (informaciones

básicas), como una relación de reducción y una resolución del sistema de medición

referidas a 2ôp.

Estos datos se transmiten al SafetyTool. De este modo se garantiza una adquisición

automática de los datos también para los motores lineales.

NotaSi a pesar de una adquisición de datos con éxito hay errores de comparación cruzada 1 / 2:

� En este caso, compruebe la relación de reducción del transmisor 2, puesto que este solo

es supervisado por el módulo de seguridad y no está integrado en la regulación en FCT.

2.3.3 Parámetros para los sensores de posición

Parámetros para sensores de posición en [X2A]La conexión [X2A] está prevista para resolvedores. Las señales de pista analógicas de amplitud

modulada del resolvedor se captan en el CMMPAS...M3 detrás del amplificador diferencial de

entrada, son guiadas al módulo de seguridad internamente y allí son evaluadas de modo seguro en dos

canales por los dos microcontroladores.

No es necesaria una parametrización / adquisición de datos desde la unidad básica.



Parámetros para sensores de posición en [X2B]La conexión [X2B] está prevista para transmisores con señales de pista analógicas, tales como:– transmisores incrementales con señales de pista SEN/CON,– Transmisores Hiperface con señales de pista SEN/COS.Las señales de pista de transmisores SEN/COS y de transmisores Hiperface se captan en elCMMPAS...M3 detrás del amplificador diferencial de entrada, son guiadas al módulo de seguridadinternamente y allí son evaluadas de modo seguro y a través de dos canales por los dosmicrocontroladores. Este es el caso siempre que en la pestaña de parámetros estándar se haseleccionado “Transmisor SIN/COS / Hiperface (X2B) = [2]”.Durante la adquisición de datos / parametrización se ajusta el número de pasos angulares de contajedigitales (equivale a 4 x número de pulsos por cada revolución del motor o en caso de motores linealespor cada 2ôp).

NotaEn caso de un eje en parada, los transmisores SEN/COS suministran señales estáticas. Si no

se utiliza un segundo transductor angular no se pueden detectar los fallos “stuck-at”

(“Bloqueo del valor debido a modificación mínima o inexistente de la señal de salida”). Por

ello, el eje debe moverse regularmente al solicitar funciones de seguridad.

Si se utiliza un transmisor SIN/COS o Hiperface como único transmisor, tras 24 h de

parada con función de seguridad solicitada se genera el error 55-2.

Si se solicita la función de seguridad SS2 / SOS continuamente durante más de

24 horas, se genera el error 54-7.





La conexión [X2B] también está prevista para transmisores con interfaz digital, tales como– encoders incrementales con señales de onda rectangular A/B/N,– transmisores ENDAT-2.1 y 2.2 con interfaz digital,– transmisores seriales con interfaz digital, p. ej. BISS.Dichos transmisores no se evalúan en la unidad básica CMMP-AS-...-M3 de modo orientado a la seguridad.A través de la interfaz interna de datos el módulo de seguridad interroga cíclicamente una informaciónangular digital normalizada de la unidad básica. Este es el caso siempre que en la pestaña deparámetros estándar se ha seleccionado “Otro transmisor (X2B) = [4]”.La información angular de cualquier transmisor conectado en X2B al controlador de motor se puedeutilizar como canal de la detección angular segura de dos canales.Es posible parametrizar un tiempo tolerado de error cuando el módulo de seguridad detecta telegramas dedatos con perturbaciones. El valor predeterminado de 1 ms no debería modificarse sin motivo fundado,puesto que el valor actúa como un filtro adicional al tiempo de respuesta del módulo de seguridad.

NotaEl uso de transmisores con transmisión de datos puramente digital en sistemas seguros

solo está permitido en combinación con un segundo transmisor, p. ej. en [X10].



Todavía no es posible el uso de un transmisor EnDat seguro (en preparación).

Formalmente al utilizar un transmisor EnDat seguro se parametriza “Transductor angular

1 = EnDat”. Como transductor angular 2 solo se puede evaluar adicionalmente un en

coder incremental en [X10].

NotaDurante un recorrido de referencia de actuadores con transmisores ENDAT multiturn con

memorización del desplazamiento del punto cero en el transmisor, al guardar aparece un

salto en la posición real. Este salto origina una excitación de la supervisión de aceleración en

el módulo de seguridad y, por lo tanto, un error del módulo de seguridad.

Dicho recorrido de referencia debe ejecutarse solamente una vez al configurar la máquina.

Parámetros para sensores de posición en [X10]La conexión [X10] está prevista para encoders incrementales digitales con señales de onda rectangular

A/B/N. La detección de la posición se realiza a través de entradas de contaje de cuadratura con

microcontroladores del módulo de seguridad.

El encoder incremental [X10] se utiliza preferentemente como segundo sistema de medición de

posición. Este es el caso siempre que en la pestaña de parámetros estándar se haya seleccionado

“Encoder incremental (X10) = [5]”.

Durante la adquisición de datos / parametrización se ajusta el número de pasos angulares de contaje

digitales (equivale a 4 x número de pulsos por cada revolución del motor o en caso de motores lineales

por cada 2ôp).

2.3.4 Parámetros para la supervisión de transmisores y detección de las revoluciones

La Fig. 2.5 muestra la estructura de la evaluación de transmisores y de la supervisión:

μC1-μC2Position

Comparator

+ Speed

Comparator

[56-8] Sensor 1-2

[55-0] Act. Value invalid

ACTUAL_ACC.

[55-8] Imperm. Accel.

ACTUAL_SPEED

SPEED = 0

ACTUAL_POSITION

POSITION +SPEED VALID

&

[56-9] Sensor μC1-μC2

Position 1 / 2Comparator

+

Speed 1 / 2Comparator

Acceleration Comparator

PositionSensor 1

PositionSensor 2

d/dt

T +n_ist

d/dt T +n_ist

ZN

232

2n

1

n_min-n_min

Position Sensor 1Evaluation

Position Sensor 2Evaluation

Gearn Bits

Speed + Position from 2nd μC

Fig. 2.5 Cálculo de la velocidad y de la aceleración




Position Sensor 1/2 Evaluación de sensor de posición 1/2

Evaluation Evaluación

Gear Engranaje

Acceleration Comparator Comparación de aceleración 1/2

Position 1/2 Comparator +

Speed 1/2 Comparator

Compararción de posición 1/2 y

comparación de velocidad 1/2

ACTUAL_ACC. Señal interna: Aceleración real

ACTUAL_SPEED Señal interna: Velocidad real

SPEED = 0 Señal interna: Velocidad = 0

ACTUAL_POSITION Señal interna: Posición real

POSITION + SPEED VALID Señal interna: Posición y velocidad válidas



Descripción:– El bloque “Position Sensor Evaluation” (evaluación de sensor de posición) existe dos veces en cada

microcontrolador, separado para sensor de posición 1 y sensor de posición 2.

– La información de posición de transmisor 1 y transmisor 2 se normaliza en primer lugar a 2³².

Entonces se tiene en cuenta también una relación de reducción, a través de la cual se puede

representar una inversión del sentido de contaje.

– Así, el bloque suministra una posición normalizada y calcula a partir de ella la velocidad actual, así

como la aceleración.

– Para la supervisión de las magnitudes de estado se recurre a los datos del sensor de posición 1.

– La aceleración se supervisa y se comprueba la plausibilidad; parametrizables.

– Cada microcontrolador ejecuta una comparación continua de los valores de posición y los valores

de velocidad del sensor 1 con los del sensor 2.

– Las tolerancias para dicha comparación de sensores son parametrizables.

– Adicionalmente cada microcontrolador compara, en una comparación cruzada, los datos propios de

posición y velocidad con los del otro microcontrolador; los valores límites para ello también son

parametrizables.

– El microcontrolador genera diferentes mensajes de error cuando se determinan desviaciones o

vulneraciones de los valores límite.

NotaLos ajustes de fábrica de los parámetros para la evaluación de transmisores está

adaptado a la resolución del sensor de posición y a la electrónica de evaluación del

módulo de seguridad.

Solo deberían modificarse en casos fundados, porque influyen en el tiempo de

respuesta del módulo de seguridad durante la detección de movimientos peligrosos o

en la detección de errores. Son los denominados “parámetros avanzados”.



Parámetros avanzados para la configuración de la detección segura de la velocidad y del estado deparada

Los dos microcontroladores calculan la velocidad y la aceleración seguras a partir de los datos de

posición captados. Están disponibles los siguientes parámetros para la detección de las revoluciones y

para la detección del estado de parada:

– La supervisión de la aceleración sirve para el control de plausibilidad de la detección de posición.

Se parametriza una aceleración que, con seguridad, el motor no alcanzará a causa de su forma

constructiva. Si la rampa de revoluciones sobrepasa un límite definido por la aceleración máxima,

entonces se produce un error 55-8 � Sección 5.6.

– El filtro para la detección de revoluciones/velocidad reduce el ruido en la señal de velocidad, en

particular cuando se utilizan transmisores con señales analógicas o con resolución gruesa.

– El valor umbral y el tiempo de filtrado para la detección del estado de parada. La detección de

parada se utiliza, p. ej., para la función de seguridad SOS.

Parámetros avanzados para la comparación cruzada de los datos de posiciónEste registro contiene parámetros para la verificación de plausibilidad de los datos de posición y de

velocidad.

– El margen de tolerancia y el tiempo tolerado para la comparación de los datos de posición del

sensor 1 / sensor 2 por el microcontrolador correspondiente en el módulo de seguridad.

– El margen de tolerancia y el tiempo tolerado para la comparación de los datos de velocidad del

sensor 1 / sensor 2 por el microcontrolador correspondiente en el módulo de seguridad.

– El margen de tolerancia y el tiempo tolerado para la comparación cruzada de los datos de posición

entre el microcontrolador 1 y el microcontrolador 2 en el módulo de seguridad.

– El margen de tolerancia para la comparación cruzada de los datos de velocidad entre el

microcontrolador 1 y el microcontrolador 2 en el módulo de seguridad.

Si el módulo de seguridad detecta una desviación de los datos de posición o de velocidad, cuyo valor

excede el tiempo parametrizable, entonces se genera un error y los valores efectivos no son válidos.

Parámetros avanzados para la supervisión de señales de transmisores seguros con señalesanalógicasEste registro contiene parámetros para la supervisión de las señales de transmisor analógicas de

transmisores SEN/COS y resolvedores.

– La supervisión de amplitud y de longitud de vectores para las señales de resolvedor así como un

tiempo tolerado para la supervisión.

– Filtro observador parametrizable para la evaluación de resolvedor.

– La supervisión de amplitud y de longitud de vectores para la evaluación de transmisores Hiperface y

SEN/COS así como un tiempo tolerado para la supervisión.

Influencia de los parámetros para la configuración de transmisores en la respuesta en función del

tiempoAlgunos parámetros para la configuración de la detección segura de revoluciones influyen en el tiempo

de respuesta con el que se detectan modificaciones en el movimiento.

Tienen influencia los siguientes parámetros:



Parámetros para la detección de movimientos y de errores que influyen en la respuesta en funcióndel tiempo

Parámetro Mín. Máx. Ajustes de fábrica

P06.08 Constante de tiempo de filtrado para detección

de revoluciones

0,4 ms 1000 ms 8,0 ms

P06.0A Tiempo de filtrado para detección de parada 0,0 ms 1000 ms 10,0 ms

P06.04 Tiempo tolerado para diferencia de posición 1 - 2 0,0 ms 1000 ms 10,0 msP06.06 Tiempo tolerado para diferencia de velocidad 1 - 2 0,0 ms 1000 ms 10,0 msP06.15 Resolvedor filtro observador - tiempo filtrado 0,0 ms 3 ms 1,0 msP06.13 Tiempo tolerado supervisión de señal resolvedor 0,0 ms 10 ms 1,0 msP06.1E Tiempo tolerado supervisión de señal SEN/COS 0,0 ms 10 ms 1,0 ms

Tab. 2.10 Parámetros para la detección de errores en la sensórica de posición que influyen en la re

spuesta en función del tiempo

Si no se modifican los ajustes de fábrica, para los tiempos de respuesta se puede contarde forma simplificada con los tiempos siguientes:

Detección de la velocidad y la posición TI < 10 ms

Reconocimiento de errores en la detección de posición TF < 10 ms

2.3.5 Lista de todos los parámetros para la configuración de transmisores

Configuración de transmisores

N.º Nombre Descripción

Parámetros estándarP06.00 Selección del sensor de posición guía 1 Sensor 1 utilizado para ánguloP06.0B Relación de reducción de numerador

para sensor de posición 1Relación de reducción / número de pares depolos numerador

P06.0C Relación de reducción de denominadorpara sensor de posición 1

Relación de reducción / número de pares depolos denominador

P06.01 Selección del sensor de posiciónredundante 2

Sensor 2 utilizado para ángulo

P06.0D Relación de reducción de numeradorpara sensor de posición 2

Relación de reducción / número de pares depolos numerador

P06.0E Relación de reducción de denominadorpara sensor de posición 2

Relación de reducción / número de pares depolos denominador

X2BP06.19 Número de incr./rev. del transmisor

incremental en X2BNúmero de incrementos / revolución deltransmisor incremental en X2B

Parámetros avanzadosP06.28 Tiempo tolerado para comunicación de

transmisor perturbadaTiempo tolerado para comunicación detransmisor perturbada

X10P06.18 Número de incr./rev. del transmisor

incremental en X10Número de incrementos / revolución deltransmisor incremental en X10





Detección de revolucionesParámetros avanzadosP06.07 Aceleración máxima para supervisión

de transmisorAceleración máxima que el actuador no alcanzanunca --> límite de error para verificación deplausibilidad de ángulo

P06.08 Constante de tiempo de filtrado paradetección de revoluciones

Constante de tiempo de filtrado para filtro devalor real de revoluciones

P06.09 Valor umbral de velocidad paradetección de parada

Revoluciones máximas para detección de parada

P06.0A Tiempo de filtrado para detección deparada

Margen de tiempo para n < nmin para detección deparada

Comparación transmisor 1 - 2P06.03 Margen de tolerancia para decalaje de

posición transmisor 1 - 2Decalaje de posición permitido entre transductorangular 1 y 2

P06.04 Tiempo tolerado para diferencia deposición

Tiempo máximo durante el cual la diferencia deposición puede estar fuera del límite

P06.05 Margen de tolerancia desviación develocidad transmisor 1 - 2

Decalaje de revoluciones permitido entretransductor angular 1 y 2

P06.06 Tiempo tolerado para diferencia develocidad

Tiempo máximo durante el cual la diferencia derevoluciones puede estar fuera del límite

Parámetros avanzadosP1D.04 Margen de tolerancia para posición -

comparación cruzada μC1 - μC2Asimetría angular permitida entre esteprocesador y el participante

P1D.05 Tiempo tolerado para para posición -comparación cruzada μC1 - μC2

Tiempo máximo durante el cual los valores decomparación cruzada pueden estar fuera dellímite

P1D.06 Margen de tolerancia para velocidad -comparación cruzada μC1 - μC2

Diferencia de revoluciones permitida entre esteprocesador y el participante

Supervisión de señalParámetros avanzadosP06.11 Amplitud de señal del resolvedor -

Límite inferior de errorTensión de entrada mín. señal seno o coseno

P06.12 Amplitud de señal del resolvedor -Límite superior de error

Tensión de entrada máx. señal seno o coseno

P06.0F Resolvedor - Límite inferior longitud devector

Tensión de entrada mín. U = Raíz(sen² + cos²)

P06.10 Resolvedor - Límite superior longitudde vector

Tensión de entrada máx. U = Raíz(sen² + cos²)

P06.13 Tiempo tolerado supervisión de señalresolvedor

Tiempo máximo durante el cual una señal deresolvedor puede permanecer fuera de loslímites de la supervisión de señal antes de que segenere un error.

P06.15 Tiempo de filtrado evaluación deresolvedor

Tiempo de filtrado para el filtro observador





P06.1C Amplitud de señal SEN/COS - Límiteinferior de error

Tensión de entrada mín. señal seno o coseno

P06.1D Amplitud de señal SEN/COS - Límitesuperior de error

Tensión de entrada máx. señal seno o coseno

P06.1A SEN/COS - Límite inferior longitud devector

Longitud de vector raíz(sen² + cos²) mín.

P06.1B SEN/COS - Límite superior longitud devector

Longitud de vector raíz(sen² + cos²) máx.

P06.1E Tiempo tolerado supervisión deamplitud de señal

Tiempo máximo durante el cual una señal puedepermanecer fuera del límite antes de que segenere un error.

Tab. 2.11 Configuración de transmisores

2.4 Entradas digitales

2.4.1 Resumen

El módulo de seguridad dispone de numerosas entradas y salidas digitales para la conexión de

sensores pasivos y activos. Las funciones de seguridad se solicitan a través de las entradas seguras de

dos canales.

Para las siguientes descripciones es necesario definir algunos términos:

Término Significado

Tiempo dediscrepancia

Tiempo máximo durante el cual los dos canales de una entrada segurapueden encontrarse en estados antivalentes sin que la ingeniería deseguridad genere una reacción ante error.

Tiempo de filtrado deentrada

Tiempo durante el cual no se reconocen los pulsos perturbadores ni lospulsos de prueba de, p. ej., sensores activos conectados.

Función de seguridaden estadoDESCONECTADO

La función de las entradas se puede configurar libremente en ampliosmárgenes. Durante la configuración el usuario debe asegurarse de que elestado seguro se alcanza cuando las entradas están sin tensión (¡respetar elprincipio de corriente en reposo!).

Función de control enestado CONECTADO

La función de las entradas se puede configurar libremente en ampliosmárgenes. Las funciones de control requieren el accionamiento / circuito deprotección de la entrada de mando con 24 V para generar la reaccióndeseada (ejemplo: acuse de recibo de error, rearranque, selector del modode funcionamiento). ¡El principio de corriente en reposo aquí no sería seguro!

Señales de entradaequivalentes

Una entrada segura se compone de dos líneas de mando que conmutensimultáneamente HIGH o LOW (entradas de conmutación igual).

Señales de entradaantivalentes

Una entrada segura se compone de dos líneas de mando que conmutensimultáneamente HIGH o LOW (entradas de conmutación opuesta). En cadamomento (con excepción del tiempo de discrepancia) solo una de lasentradas es HIGH o LOW (entradas de conmutación diferente).

Tab. 2.12 Begriffe



Sensores pasivos (de dos canales)Los sensores pasivos son elementos de conexión de dos canales con contacto. Los cables de conexión

y la función de los sensores deben supervisarse.

Los contactos pueden activarse de modo antivalente o equivalente (conforme a la norma para el

elemento de conexión correspondiente). No obstante, las funciones de seguridad se activan en cuanto

se ha conectado al menos uno de los canales.

Ejemplos de sensores pasivos:

– aparatos de conexión de parada de emergencia (siempre equivalentes)

– interruptores de contacto de puerta (tanto antivalentes como equivalentes)

– pulsadores de autorización (tanto antivalentes como equivalentes)

– terminales de mando de dos manos

– selectores de modos de funcionamiento (1 de selección N)

Los siguientes errores de sensores pasivos son reconocidos por módulo de seguridad:

– Señales de entrada antivalentes o equivalentes una vez finalizado el tiempo de discrepancia, según

el tipo de sensor y la parametrización

– En caso de alimentación a través de una salida segura del módulo de seguridad:

circuitos cruzados y cortocircuitos a +24 V y 0 V a causa de la ausencia de pulsos de prueba.

Los sensores pasivos que activan una parada de emergencia de la instalación (STO, SBC,

SS1) tienen que ejecutarse conforme a EN 60204-1 “de apertura obligatoria” y

parametrizarse como entradas equivalentes.

Tipos de sensor

Función Aparato de

conexión de

parada de

emergencia

interruptor de

contacto de

puerta

Tecla de

autorización

Terminal de

mando de dos

manos

Selector del

modo de

funcionamiento

Símbolo

Entrada DIN40A/B …

DIN43A/B

DIN40A/B …

DIN43A/B

DIN40A/B …

DIN43A/B

DIN40A/B …

DIN43A/B

DIN45,

DIN46,

DIN47

Salida DOUT40A/B … DOUT42A/B (ciclo A/B) +24 V1)

1) Se puede alimentar también con pulsos de prueba desde DOUT40 … 42.

Tab. 2.13 Asignación de los sensores a las entradas y salidas (ejemplos)

Aparato de conexión de parada de emergenciaEl aparato de conexión de parada de emergencia se utiliza generalmente para activar la parada de

emergencia, en la mayoría de los casos se activa la función de seguridad STO o SS1.

Interruptor de contacto de puertaControla si una puerta protectora, una barrera de luz o similar se abre / traspasa.



Pulsador de autorizaciónEl pulsador de autorización se utiliza en general durante la operación de ajuste.

Ejemplo: En el modo operativo de ajuste se permite la operación de la máquina con la puerta

protectora abierta con la función SLS tan pronto como se acciona el pulsador de autorización.

El pulsador de autorización anula provisionalmente una función de seguridad que es sustituida

temporalmente por otra función de seguridad. La función del pulsador de autorización se obtiene

mediante una parametrización correspondiente de la lógica (demanda, terminar demanda) de las


Las siguientes funciones lógicas están asignadas de forma fija a determinadas entradas:

Terminal de mando de dos manos (DIN42A/B y DIN43A/B)El terminal de mando de dos manos se utiliza en aplicaciones en las que el operador debe habilitar el

movimiento con ambas manos en cuanto ha abandonado la zona de peligro. El terminal de mando de

dos manos ocupa dos pares de entradas seguras. Aquí también se puede sobrescribir una función de

seguridad, p. ej. SS1, con otra función, p. ej. SLS. La función del terminal de mando de dos manos

(supervisión de las dos entradas) está implementada en el módulo de seguridad como función lógica

fija; la conmutación de las funciones de seguridad se obtiene mediante una parametrización

correspondiente de la lógica (demanda, terminar demanda) de las funciones de seguridad.

Selector del modo de funcionamiento (DIN45, DIN46, DIN47)Sirve para seleccionar el modo de funcionamiento y admite los siguientes modos:

– servicio normal / modo de funcionamiento 1

– operación de ajuste / modo de funcionamiento 2

– modo especial / modo de funcionamiento 3

Nota: La denominación de los modos de funcionamiento se rige por las normas C para las máquinas

correspondientes. La función del selector del modo de funcionamiento (supervisión de las dos

entradas) está implementada en el módulo de seguridad como función lógica fija; la conmutación de

las funciones de seguridad se obtiene mediante una parametrización correspondiente de la lógica

(demanda, terminar demanda) de las funciones de seguridad.

RearranqueA través de la entrada de rearranque se pueden restablecer las funciones de seguridad que ya no se

solicitan en el momento del accionamiento de la entrada. Para el rearranque está previsto DIN49, sin

embargo también se puede parametrizar cualquier otra entrada como entrada de rearranque.

Ejemplo:

– Se ha solicitado SS1 a través de parada de emergencia y SS2 por medio del interruptor de contacto

de puerta.

– Ahora se desactiva la parada de emergencia, la puerta permanece abierta.

=> Al accionar la tecla de rearranque la instalación permanece parada con la función de seguridad SS2

activa y se puede volver a arrancar inmediatamente al cerrar la puerta protectora.



Sensores activos (de dos canales)Los sensores activos son unidades con salidas de semiconductores de dos canales (salidas OSSD).

El módulo de seguridad admite sensores activos con señales de salida equivalentes/antivalentes, así

como con/sin salidas de pulsos de prueba. Con la ingeniería de seguridad integrada de la serie de

equipos CMMP-AS-...-M3 están permitidos los pulsos de prueba para la supervisión de las salidas y los

cables. Los sensores de conmutación positiva/negativa conmutan cables positivos y negativos o cables

de señal y de masa de una señal de sensor.

Las salidas tienen que conmutar simultáneamente. No obstante, las funciones de seguridad se activan

en cuanto se ha conectado al menos uno de los canales.

Ejemplos de sensores activos:

– barreras fotoeléctricas

– escáner de rayos láser

– controles

En sensores activos se detectan los siguientes errores:

– Señales de entrada antivalentes o equivalentes una vez finalizado el tiempo de discrepancia, según

el tipo de sensor y la parametrización

Sensores pasivos y activos (de un canal)Los sensores de un canal se utilizan para el control secuencial así como para retroseñales y diagnosis.

Ejemplos de sensores pasivos:

– contacto de recibo de una unidad de bloqueo externa,

– pulsadores para validar errores presentes,

– teclas para el rearranque.

Las combinaciones de sensores de un canal también se pueden utilizar para el control de funciones de

seguridad, por ejemplo:

– selectores de modos de funcionamiento (1 de selección N).

En errores pasivos de un canal se detectan los siguientes errores:

– En caso de alimentación a través de una salida segura del módulo de seguridad:

circuitos cruzados y cortocircuitos a +24 V y 0 V a causa de la ausencia de pulsos de prueba

Tipos de sensores permitidosLa Tab. 2.14 muestra un cuadro general de los tipos de sensores permitidos en las entradas digitales.



Tipo de sensor permitido DIN... 40 41 42 43 44 45 46 47 48 49

De dos canales De un canal

1: Entrada general de dos canales X X X X

2: Aparato de conexión de parada

de emergencia

X1) X X X

3: Tecla de autorización X X X X

4: Terminal de mando de dos

manos2)X X X X

5: Pulsador de arranque X X X X

6: Bloqueo de puerta X X X X

7: Interruptor de referencia seguro X X X X

8: Barrera fotoeléctrica X X X X

9: Acuse de recibo de control de

freno

X X X X X1) X X X

10: Entrada general de un canal X X X X X X X X

11: Selector del modo de

funcionamiento2)X X X X X1) X1) X1)

12: Validación de error X X X X X1)

13: Rearranque X X X X X1)

1) Ajuste de fábrica (informaciones sobre los ajustes de fábrica y el estado de entrega � Sección 4.4.1 y 4.4.2)

2) Con la activación de la función lógica en el SafetyTool es necesario configurar correspondientemente las entradas respectivas.

Tab. 2.14 Cuadro general de tipos de sensores permitidos en las entradas digitales



2.4.2 Entradas seguras de dos canales DIN40 … DIN43 [X40]

Utilización

Las entradas digitales DIN40..DIN43 disponen de dos canales (DIN40A/B … DIN43A/B).

Sirven para solicitar las funciones de seguridad hasta cat. 4 / PL e o bien SIL3 y por lo

tanto están estructuradas con arquitectura 1oo2.

Para solicitar funciones de seguridad, las entradas lógicas internas asignadas se enlazan

con la función de seguridad correspondiente.

Función

La Fig. 2.6 muestra el diagrama de bloques de una entrada. A continuación se explica la función para DIN40.

Las entradas DIN40 hasta DIN43 están estructuradas de modo idéntico.

LIN_D40/41/...

[57-0] IO_ERR

DIN40A/41A/...

P02.04/09/0E/13

DIN40 ... DIN43

COMPA-RATOR+ TIMER+ LOGIC

GLITCHFILTER

LPF

[57-1] IO_ERRDIN40B/41B/...

GLITCHFILTER

LPF

P02.05/0A/0F/14P02.06/0B/10/15P02.07/0C/11/16P02.08/0D/12/17

Fig. 2.6 Diagrama de bloques de las entradas seguras de dos canales


DIN40A/..., DIN40B/... Entradas digitales de dos canales DIN40A/DIN40B ...

GLITCH FILTER Filtros para pulsos de perturbaciones

LPF Low-pass filter, filtro de paso bajo

COMPARATOR + TIMER + LOGIC Comparador, temporizador (Timer) y lógica

LIN_x Entradas lógicas ...



Primero se eliminan las perturbaciones de los niveles de señales en las entradas DIN40A y DIN40B en

un filtro previo de compatibilidad electromagnética (“Glitch Filter”). La constante de tiempo de filtrado

es de 500 μs y no se puede parametrizar.



Para cada señal de entrada a este primer filtro le sigue, mediante el parámetro “Constante de tiempo

de filtrado” (P02.04/...), un segundo filtro parametrizable de paso bajo “LPF”, ejecutado como

Mono-Flop programable. Sirve para los fines siguientes:

– Filtrado de pulsos de prueba externos, p. ej. de un sensor activo con salidas OSSD.

– Filtrado de los pulsos de prueba de DOUT4x en caso de sensores pasivos.

– Filtrado de rebotes de contacto.

En una lógica postconectada con comparador se crea la señal de mando lógica LIN_D40 a partir de las

dos señales de entrada A y B. Aquí también se evalúan los pulsos de prueba en la entrada. Para

solicitar funciones de seguridad, la entrada lógica se enlaza con la función de seguridad

correspondiente (LIN_D40 = 1 equivale a función de seguridad solicitada).

Por medio del parámetro “Tipo de sensor” (P02.24/...) se puede seleccionar un tipo de sensor.

Con el parámetro “Modo de funcionamiento” (P02.06/...) se pueden utilizar las entradas en tres modos

de funcionamiento diferentes:

– Modo de funcionamiento = “no utilizado” (P02.06/... = 0), la entrada no se utiliza. La señal lógica

de entrada LIN_D40 es permanentemente 0.

– Modo de funcionamiento = “Equivalente” (P02.06 = 1), la entrada conmuta de modo equivalente:

Las entradas A y B de un canal tienen que presentar siempre el mismo nivel de señal. La señal lógica

de entrada LIN_D40 es inversa al nivel de señal en DIN40, como muestra la Tab. 2.16.

Entrada DIN40/ … /43 equivalente Estado de reposo Función de seguridad solicitada

DIN40A / … / 43A 24 V 0 V

DIN40B / … / 43B 24 V 0 V

Estado de LIN_D40 / … /43 0 1

Tab. 2.16 Entradas de conmutación equivalente

La inversión del estado lógico corresponde al principio de corriente en reposo. Utilice las

entradas también exclusivamente según el principio de corriente en reposo y solicite el

estado seguro mediante 0 V en la entrada.

– Modo de funcionamiento = “Antivalente” (P02.06 = 2), la entrada conmuta de modo antivalente:

Las entradas A y B tienen que presentar un nivel de señal opuesto. La señal lógica de entrada

LIN_D40 es inversa al nivel de señal en DIN40A, como muestra la Tab. 2.17.

Entrada DIN40/ … /43 antivalente Estado de reposo Función de seguridad solicitada

DIN40A / … / 43A 24 V 0 V

DIN40B / … / 43B 0 V 24 V


Tab. 2.17 Entradas de conmutación antivalente

Los sensores pasivos que activan una parada de emergencia de la instalación (STO, SBC,

SS1) tienen que ejecutarse conforme a EN 60204-1 “de apertura obligatoria” y

parametrizarse como entradas equivalentes.



Detección de erroresEl nivel de las entradas A y B puede diferir durante un tiempo parametrizado (“Tiempo de

discrepancia”, P02.05/...) de los estados representados en Tab. 2.16 y Tab. 2.17, si la desviación dura

más tiempo, se emitirá el error “[57-1] Entradas digitales - Error de nivel de señal” (error de

discrepancia).

Las entradas A y B se pueden supervisar mediante pulsos de prueba. La selección de la fuente de

pulsos de prueba tiene lugar a través del parámetro “Fuente para pulso de prueba” (P02.07/...). Si

falta un pulso de prueba o la lógica de entrada determina un cortocircuito o circuito cruzado se emitirá

el error “[57-0] Autotest I/O (interno/externo)”.

En caso de error la entrada lógica LIN_D40 pasa a 1 (función de seguridad solicitada).

NotaUn error detectado se transmite a la gestión de errores mediante las señales de error

reresentadas en el diagrama de bloques. La reacción ante el error se puede ajustar

(solo advertencia, STO, SS1, SS2...). Para el tratamiento posterior la entrada lógica

LIN_D40 adopta en este caso el estado 1.

El usuario debe encargarse de que un error (gestión de errores) conduzca al estado

seguro de todo el sistema.

Diagramas de temporización

Las Fig. 2.7, Fig. 2.8, Fig. 2.9 y Fig. 2.10 muestran los diagramas de temporización correspondientes de

una entrada de dos canales, respectivamente para parametrización equivalente y antivalente.

DIN40A

P02.05

DIN40B

LIN_D40

RSFP02.04

Ts < 2,5 ms

P02.08 = 1 P02.08 = 0

P02.07

P02.07

Request Safety Function – Equivalent (P02.06 = 1)

Ts < 2,5 ms

ERRORDISCREPANCE

Fig. 2.7 Diagrama de temporización de entrada segura de dos canales equivalente – iniciar solicitud

(DIN40)



DIN40A

DIN40B

ERRORDISCREPANCE

LIN_D40

CSF

P02.07

P02.07

P02.04

Ts < 2,5 ms

Ts < 2,5 ms

P02.04 P02.05

Release Safety Function request – Equivalent (P02.06 = 1)

Fig. 2.8 Diagrama de temporización de entrada segura de dos canales equivalente – terminar

solicitud (DIN40)


RSF: Request Safety Function Solicitar función de seguridad

CSF: Release Safety Function request Terminar solicitud de la función de seguridad

Error Discrepance Error de discrepancia

Tab. 2.18 Leyenda de Fig. 2.7 y Fig. 2.8



P02.05

DIN40A

DIN40B

LIN_D40

RSFP02.04

Ts < 2,5 ms

P02.08 = 1 P02.08 = 0

P02.07

P02.07

Release Safety Function request – Antivalent (P02.06 = 2)

Ts < 2,5 ms

ERRORDISCREPANCE

Fig. 2.9 Diagrama de temporización de entrada segura de dos canales antivalente – iniciar solicitud

(DIN40)

ERRORDISCREPANCE

DIN40A

DIN40B

LIN_D40

CSF

P02.07

P02.07

P02.04

Ts < 2,5 ms

Ts < 2,5 ms

P02.04 P02.05

Release Safety Function request – Antivalent (P02.06 = 2)

Fig. 2.10 Diagrama de temporización de entrada segura de dos canales antivalente – terminar solici

tud (DIN40)


RSF: Request Safety Function Solicitar función de seguridad

CSF: Release Safety Function request Terminar solicitud de la función de seguridad

Error Discrepance Error de discrepancia

Tab. 2.19 Leyenda de Fig. 2.9 y Fig. 2.10



A través del parámetro “Detección rápida de solicitud” (P02.08/...) se puede activar una detección

rápida de una solicitud de seguridad. Si las dos entradas DIN40A y DIN40B cambian el nivel

simultáneamente, el estado de conmutación se transmite a la señal lógica LIN_D40 evitando el filtro

“LPF”. De esta manera, también en caso de pulsos de prueba relativamente largos y, por lo tanto, una

constante de tiempo mayor del filtro, es posible una detección rápida de la solicitud de una función de

seguridad.

A partir de la solicitud de una función de seguridad a través de DIN40 … DIN43 transcurren los tiempos

siguientes hasta que se activa la entrada lógica LIN_D... y con ella la solicitud de la función de

seguridad:

Tiempos de retardo a partir del cambio de nivel Mínimo Máximo Típico

Ts 0,5 ms 2,5 ms 1,5 ms

“Constante de tiempo de filtrado” (P02.04/09/0E/13) 1,0 ms 1000,0 ms 3,0 ms

Tiempo de respuesta cuando “Detección rápida de la

solicitud” = 0 (P02.08/P02.0D/P02.12/P02.17 = 0)

1,5 ms 12,5 ms 4,5 ms

Tiempo de respuesta cuando “Detección rápida de la

solicitud” = 1 (P02.08/P02.0D/P02.12/P02.17 = 1)

0,5 ms 2,5 ms 1,5 ms

Tab. 2.20 Tiempos de retardo DIN40 … DIN43

Parámetros para las entradas digitales de dos canales

N.º de parámetro para entrada ... Nombre Descripción

DIN40 DIN41 DIN42 DIN43

P02.24 P02.25 P02.26 P02.27 Tipo de sensor Identificador del sensor conectado

a DIN4x.

P02.06 P02.0B P02.10 P02.15 Modo de

funcionamiento

Modos: 0 = no utilizado, 1 =

equivalente, 2 = antivalente

P02.05 P02.0A P02.0F P02.14 Tiempo de

discrepancia

Tiempo de discrepancia.

P02.07 P02.0C P02.11 P02.16 Fuente para pulso de

prueba

Selección de la salida que

proporciona los pulsos de prueba.

Parámetros avanzados

P02.04 P02.09 P02.0E P02.13 Constante de tiempo de

filtrado

Constante de tiempo de filtrado.

P02.08 P02.0D P02.12 P02.17 Detección rápida de

solicitud

Utilizar desconexión rápida en caso

de nivel Low en DIN4xA y DIN4xB.

Tab. 2.21 Parámetros de entradas digitales de dos canales

La Tab. A.10 � En el apéndice A.1 describe las especificaciones técnicas para las

entradas de mando en el margen de funcionamiento de tensiones de la lógica

especificado conforme a EN 61131-1.



2.4.3 Entradas digitales (limitadamente seguras) de un canal DIN44 … DIN49 [X40]

Utilización

Las entradas digitales DIN44..DIN49 disponen de un canal. Son adecuadas para la

conexión de interruptores pasivos y sensores activos.

Utilice las entradas de un canal como entradas de diagnosis, para funciones de control

que solo requieren una entrada de un canal o en combinación con varias entradas para la

solicitud de funciones de seguridad.

En caso de utilizar sensores de bifilares activos sin diagnosis propia:

Si no se acciona el sensor bifilar activo, el módulo de seguridad no realizará todas las

comprobaciones necesarias. Por ello para la comprobación de la función es necesario un

accionamiento regular. Se recomienda un accionamiento cada 8 horas o una vez por

turno, no obstante, como mínimo una vez cada 24 horas (� A.1.4, Tab. A.10).

Para solicitar y desactivar las funciones de seguridad solo está permitido utilizar las

entradas de los canales DIN40 … DIN43 o combinaciones lógicas adecuadas de entradas

de un canal.

FunciónLa Fig. 2.11 muestra el diagrama de bloques de las entradas de un canal. A continuación se explica la

función para DIN44. Las entradas DIN44 hasta DIN49 están estructuradas de modo idéntico.

LIN_D44/45/...

[57-0] IO_ERR

DIN44/45/...

P02.18/...

DIN44 ... DIN49

COMPA-RATOR+ LOGIC

GLITCHFILTER

LPF

P02.18/1A/...

P02.19/1B...

Fig. 2.11 Diagrama de bloques de las entradas de un canal




DIN40A/..., DIN40B/... Entradas digitales de dos canales DIN40A/DIN40B ...

GLITCH FILTER Filtros para pulsos de perturbaciones

LPF Low-pass filter, filtro de paso bajo

COMPARATOR + LOGIC Comparador y lógica

LIN_x Entradas lógicas ...



Primero se eliminan las perturbaciones de los niveles de señales en las entradas DIN44 hasta DIN49 en

un filtro previo de compatibilidad electromagnética (“Glitch Filter”). La constante de tiempo de filtrado

es de 500 μs y no se puede parametrizar.

Para cada señal de entrada a este primer filtro le sigue, mediante el parámetro “Constante de tiempo

de filtrado” (P02.18), un segundo filtro parametrizable “LPF”, ejecutado como Mono-Flop programable.

Sirve para los fines siguientes:

– Filtrado de pulsos de prueba externos, p. ej. de un sensor activo con salidas OSSD.

– Filtrado de los pulsos de prueba de DOUT4x en caso de sensores pasivos.

– Filtrado de rebotes de contacto.

En una lógica postconectada con comparador se crea la señal de mando lógica LIN_D44/.../49 a partir

de las señales de entrada (LIN_D44/.../49 = 1 equivale a función de seguridad solicitada). Aquí

también se evalúan los pulsos de prueba en la entrada.

Por medio del parámetro “Tipo de sensor” (P02.28 … P02.2D) se puede seleccionar el tipo de sensor.

Entrada DIN44/ … /49 Estado de reposo Función de control solicitada

DIN44 / … / 49 0 V 24 V


Tab. 2.23 Entradas de conmutación antivalente

¡El estado lógico reproduce el nivel de tensión directamente en la entrada, en oposición a

las entradas de dos canales DIN40…DIN43, que siguen el principio de corriente en

reposo! Así, las entradas están diseñadas para funciones de control, como el selector del

modo de funcionamiento, que requieren una lógica positiva.

Si desea utilizar las entradas de un canal o una combinación de estas para la solicitud de

funciones de seguridad, debe observar el principio de corriente en reposo:

Utilice en ese caso la señal lógica invertida para solicitar la función de seguridad, por

ejemplo:



Detección de erroresLas entradas se pueden supervisar mediante pulsos de prueba. La selección de la fuente de pulsos de

prueba (DOUT40 hasta DOUT42) tiene lugar a través del parámetro “Fuente para pulso de prueba”

(P02.19/...). Si falta un pulso de prueba o la lógica de entrada determina un cortocircuito o circuito

cruzado se emitirá el error “[57-0] Autotest I/O (interno/externo)”.

En caso de error la entrada lógica LIN_D44 pasa a 1 (función de control solicitada).

NotaUn error detectado se transmite a la gestión de errores mediante las señales de error

reresentadas en el diagrama de bloques. La reacción ante el error se puede ajustar

(solo advertencia, STO, SS1, SS2...). Para el tratamiento posterior la entrada lógica

LIN_D44 adopta en este caso el estado 1.

El usuario debe encargarse de que un error (gestión de errores) conduzca al estado

seguro de todo el sistema.

Parámetros para las entradas digitales de dos canales

N.º de parámetro para entrada ... Nombre Descripción

DIN44 DIN45 DIN46 DIN47 DIN48 DIN49

P02.28 P02.29 P02.2A P02.2B P02.2C P02.2D Tipo de sensor Identificador del sensor

conectado a DIN4x.

P02.19 P02.1B P02.1D P02.1F P02.21 P02.23 Fuente para

pulso de prueba

Selección de la salida

que proporciona los

pulsos de prueba.


P02.18 P02.1A P02.1C P02.1E P02.20 P02.22 Constante de

tiempo de

filtrado

Constante de tiempo de

filtrado

Tab. 2.24 Entradas digitales

Diagrama de temporizaciónLa Fig. 2.12 muestra el diagrama de temporización correspondiente de una entrada de un canal:



DIN44

Digital Input DIN44

LIN_D44

P02.18

Ts < 2,5 ms

P02.19

DIN44

LIN_D44

P02.18

Ts < 2,5 ms

P02.19

High -> Low

Low -> High

Fig. 2.12 Diagrama de temporización de entrada de un canal (ejemplo DIN44)

A partir de la solicitud de una función de control a través de DIN44 … DIN49 transcurren los tiempos

siguientes hasta que se activa la entrada lógica LIN_D...:

Tiempos de retardo a partir del cambio de nivel Mínimo Máximo Típico

Ts 0,5 ms 2,5 ms 1,5 ms

Constante de tiempo de filtrado (P02.18/1A/1C/1E/20/22) 1,0 ms 10,0 ms 3,0 ms

Tiempo de respuesta 1,5 ms 12,5 ms 4,5 ms

Tab. 2.25 Tiempos de retardo DIN44 … DIN49

La Tab. A.10 � En el apéndice A.1 describe las especificaciones técnicas para las

entradas de mando en el margen de funcionamiento de tensiones de la lógica

especificado conforme a EN 61131-1.



2.5 Funciones de seguridad

Las funciones de seguridad poseen una estructura dividida en dos, característica en todas las

funciones:

VOUT_xxx_SFR

[5x-x] xxx_ERR

Safety Function

1

VOUT_xxx_SSR

Logic Input Signals

&

&

&

...

...

......

...

VIN

VIN_xxx_RSF

VIN_xxx_CSF

Logic Safety Function

Fig. 2.13 Diagrama de bloques de la estructura general de las funciones de seguridad


Logic Input Signals Señales lógicas de entrada

Logic Lógica, configurable en las funciones de seguridad a través de términos

productos

Safety Function Función de seguridad

VIN_xxx_RSF Entrada virtual: Solicitar función de seguridad xxx (Request Safety Function)

VIN_xxx_CSF Entrada virtual: Finalizar función de seguridad xxx

(Clear Safety Function request)

VOUT_xxx_SFR Salida virtual: Función de seguridad xxx solicitada

(Safety Function requested)

VOUT_xxx_SSR Salida virtual: Función de seguridad xxx STO estado seguro alcanzado

(Safe State Reached)

[5x-x] xxx_ERR Señal de error interna: Error 5x-x


Parte lógica (lado izquierdo)

A través de una función lógica configurable (puerta Y o puerta O en forma normal disyuntiva) se define

qué señales de entrada (LIN_x) se conmutan a la función de seguridad para:

– la solicitud de la función de seguridad, señal VIN_xxx_RSF (Request Safety Function)

– la finalización de la solicitud de la función de seguridad, señal VIN_xxx_CSF (Clear Safety Function)

– la selección de señales de confirmación adicionales (p. ej. en SBC)



La lógica de entrada para la función STO en el SafetyTool en el registro “Solicitar” podría

tener, por ejemplo, el siguiente aspecto:

La función STO se solicita a través de DIN40 cuando el selector del modo de

funcionamiento DIN45 está activo, o a través de DIN41 cuando el selector del modo de

funcionamiento DIN45 no está activo.

Para cada entrada VIN... están disponibles una puerta O con cuatro entradas y puertas Y

preconectadas con siete entradas. Todas las señales también se pueden invertir.

Cualquier solicitud de la función de seguridad tiene prioridad sobre la finalización de la solicitud.

Esto significa que: Mientras esté presente una de las señales xxx_RSF (Request Safety Function) no es

posible finalizar la función de seguridad a través de una señal xxx_CSF (Clear Safety Function).

Función de seguridad (lado derecho)Mientras la función de seguridad está solicitada, ejecuta de modo seguro la supervisión

correspondiente de las magnitudes de estado del actuador. Contiene las funciones lógicas y

secuenciales necesarias para ello, que pueden ser parametrizadas.

Con el flanco ascendente de la solicitud se inicializa la lógica y la función secuencial, así se calculan,

p. ej., los valores iniciales para rampas de frenado.

La función de seguridad tiene en cuenta el estado actual del actuador (posición, velocidad) y genera

diferentes mensajes de estado y señales de mando. A continuación se describen brevemente las

funciones más importantes:

– A través de un parámetro se define si debe tener lugar o no un rearranque automático después de

retirar la solicitud.

– Las funciones de parada tienen una entrada de mando para solicitar la función de seguridad, dicha

entrada ERR_xxx_RSF es alimentada directamente desde la gestión de errores, puesto que las

funciones de parada también pueden ser solicitadas por la gestión de errores como reacción ante

errores.

– Algunas funciones de seguridad también se pueden solicitar directamente desde otras funciones de

seguridad, de modo que la función STO es activada por una función SS1 automáticamente al final

de la rampa de frenado de esta, pero también finaliza automáticamente con ella.

Cada función de seguridad pone a disposición, como mínimo, las siguientes señales de salida

– el mensaje de estado VOUT_xxx_SFR, función de seguridad xxx solicitada,

– el mensaje de estado VOUT_xxx_SSR, estado seguro xxx alcanzado,

– al menos un mensaje de error xxx_ERR en caso de vulnerar la condición de seguridad.



Algunas funciones de seguridad proporcionan, además, otras señales de mando, p. ej.

– para el control directo del hardware, p. ej. la alimentación del excitador o la salida del freno de

sostenimiento para el control seguro de freno,

– para la solicitud de funciones de seguridad postconectadas, p. ej. STO_SBC_RSF.

Estas señales de salida se pueden transmitir al control funcional como mensajes de

estado; se pueden utilizar a través de salidas seguras para el control de dispositivos de

desconexión de seguridad externos, con ello se puede controlar, por ejemplo, una unidad

de bloqueo externa.

Las funciones de seguridad para la supervisión de movimiento utilizan adicionalmente la velocidad

registrada de modo seguro (ACTUAL_SPEED) o la posición registrada de modo seguro

(ACTUAL_POSITION) para la supervisión. Controlan la velocidad permitida en la parte funcional del

controlador de motor a través de una limitación de la velocidad (SPEED_LIMIT).

Las funciones de seguridad se configuran por medio de una serie de parámetros; se pueden ajustar:

– rampas de velocidad,

– valore límite de supervisión para velocidad y posición,

– tiempos de retardo.

Otras opciones ajustables son:

– El comportamiento para el rearranque.

– El modo en que el módulo de seguridad interviene en el funcionamiento de la unidad básica:

– No interviene activamente y solo supervisa.

– Controla la parada rápida en la unidad básica y causa una parada rápida en esta mientras

supervisa el proceso de frenado.

– Reduce activamente la velocidad en la unidad básica y comprueba al mismo tiempo que se

observen los valores límite.

La norma EN 61800-5-2 define las distintas funciones de seguridad para reguladores de

accionamiento. Define también tres métodos para la supervisión del proceso de frenado.

Por medio de la configuración descrita arriba, el módulo de seguridad admite todos los

métodos que figuran en la norma.

El módulo de seguridad admite las siguientes funciones de parada segura y de movimiento

seguro descritas en las siguientes secciones conforme a � Sección 2.2.3, Tab. 2.4.



2.5.1 STO – Desconexión segura del par (Safe Torque Off )

Aplicación

La función descrita aquí pone en práctica la función de seguridad STO conforme a EN

61800-5-2 (categoría de parada 0 de EN 60204-1).

Utilice la función de desconexión segura del par (“Safe Torque Off ”, STO), si en su

aplicación tiene que desconectar de forma segura la alimentación de energía al motor,

pero no existen más solicitudes de una parada expresa del actuador.

La función STO está activada a través del ajuste de fábrica (parametrización previa).

Puesto que esta función es utilizada por otras funciones (solicitud mediante SS1 o

reacción ante errores en caso de vulneración de otras funciones de seguridad

solicitadas), nunca se puede anular su selección.

FunciónLa función “Desconexión segura del par” desconecta la alimentación del excitador para el

semiconductor de potencia e impide así que el paso de salida de potencia suministre la energía

requerida por el motor.

Con la función de seguridad STO “Safe Torque Off ” se interrumpe de forma segura la alimentación de

energía del actuador. El accionamiento no puede generar ningún par de giro ni, por tanto, ningún

movimiento peligroso. En caso de que haya cargas en suspensión u otras fuerzas externas hay que

prever medidas adicionales para evitar de modo seguro un posible desplome (p. ej. unidades de

bloqueo mecánicas). En estado STO “Safe Torque Off ” (desconexión segura del par) no se efectúa

ninguna supervisión de la posición de parada.

La parada de la máquina debe ser provocada y asegurada a través de un sistema de seguridad. Esto es

válido especialmente para ejes verticales sin sistema mecánico autobloqueante, unidad de bloqueo ni

contrapeso.

NotaExiste peligro de sacudidas del accionamiento si ocurren fallos múltiples en el

CMMP-AS-...-M3.

Si durante el estado STO falla el paso de salida del controlador de motor (cortocircuito

simultáneo de 2 semiconductores de potencia en diferentes pasos), puede generarse

un movimiento de retención limitado del rotor. El ángulo de giro / paso equivale a un

paso polar. Ejemplos:

– Eje rotativo, máquina sincrónica, de 8 contactos � Movimiento 45° en el árbol de

motor.

– Motor lineal, paso polar 20 mm � Movimiento 20 mm en la pieza móvil.

¡La función STO (Safe Torque Off ) no protege frente a descargas eléctricas, sino

exclusivamente frente a movimientos peligrosos! No tiene lugar ninguna separación del

actuador de la alimentación de energía en el sentido de la protección contra descargas

eléctricas � Descripción del hardware, GDCP-CMMP-M3-HW-...



La lógica para la demanda de la función de seguridad STO está representada en el siguiente diagrama

de bloques:

VOUT_PS_EN

[54-5] STO_ERR

SS1_STO_RSF

VIN_STO_RSF

ERR_STO_RSF

VIN_STO_CSF

P0A.00

Safety Function STO

TIMERS

R

Q

STO_SBC_RSF1

1 1

P0A.0x

VOUT_STO_SFR

VOUT_STO_SSR

Fig. 2.14 Diagrama de bloques STO


Safety Function STO Función de seguridad STO (desconexión segura del par)

SS1_STO_RSF Señal interna: Solicitud de STO mediante SS1

ERR_STO_RSF Señal interna: Solicitud de STO mediante reacción ante errores

VIN_STO_RSF Entrada virtual: Solicitar STO

VIN_STO_CSF Entrada virtual: Terminar solicitud STO

TIMER Temporizador

VOUT_PS_EN Salida virtual: Habilitación del paso de salida permitida

VOUT_STO_SFR Salida virtual: STO solicitada

VOUT_STO_SSR Salida virtual: STO estado seguro alcanzado

[54-5] STO_ERR Señal de error interna: Error 54-5

STO_SBC_RSF Señal interna: Solicitud de SBC mediante STO


La función de seguridad se solicita de la siguiente manera:

– Por el usuario mediante una combinación indistinta de señales de entrada LIN_D... que son

conducidas a la señal VIN_STO_RSF.

– Como reacción ante error, controlada a través de la gestión de errores, señal ERR_STO_RSF.

– A través de la función de seguridad SS1, señal SS1_STO_RSF.

La solicitud de la función de seguridad STO se desactiva de la siguiente manera:

– Por el usuario mediante una combinación de distintas entradas que son conducidas a la señal

VIN_STO_CSF.

– Mediante la activación del parámetro “Rearranque automático permitido” (P0A.00) se consigue un

rearranque automático después de retirar la solicitud.




Esto significa que: Mientras esté presente una de las señales xxx_RSF (Request Safety Function) no esposible finalizar la función de seguridad a través de una señal xxx_CSF (Clear Safety Function).

La función de seguridad controla la desconexión de la alimentación del excitador a través de la señalVOUT_PS_EN.Si es necesario, la función de seguridad SBC se puede solicitar al mismo tiempo automáticamente,señal STO_SBC_RSF. Adicionalmente genera los mensajes de estado:– VOUT_STO_SFR, función de seguridad STO solicitada.– VOUT_STO_SSR, estado seguro STO alcanzado.

Detección de errores:Con la función de seguridad STO “Safe Torque Off ” activada, se interrumpe inmediatamente de formasegura la alimentación de energía del actuador; de ello se encarga un diseño de dos canales delcircuito de desconexión que se supervisa continuamente durante el funcionamiento. En caso de unaavería del canal de desconexión se genera un mensaje de error. El actuador se desconecta a través delcanal remanente.El mensaje de error [54-5] STO_ERR “Condición de seguridad STO vulnerada” se genera en caso de unerror en la función de seguridad STO.

SecuenciaLa secuencia de la función de seguridad STO está representada en el siguiente diagrama:

Safety Function RequestSFR

P0A.02

n

t

Safe State ReachedSSR

nist

SBC

P0A.01

STO

Fig. 2.15 Diagrama de flujo STO


Safety Function Request SFR Solicitud de función de seguridadSafe State Reached SSR Estado seguro alcanzadonist Velocidad real




Al solicitar la función de seguridad STO se desconecta la alimentación del excitador inmediatamente y

sin retardo considerable por dos canales.

Tras un tiempo de retardo parametrizable, “Tiempo de retardo hasta mensaje “STO”” (P0A.02) se

activa el estado interno VOUT_STO_SSR, “Estado seguro alcanzado”.

A partir de la solicitud de la función de seguridad STO transcurren los tiempos siguientes hasta que se

activa la función se seguridad:

Tiempos de retardo a partir de VIN_STO_RSF Mínimo Máximo Típico

VOUT_STO_SFR 2,0 ms 2,1 ms 2,0 ms

VOUT_STO_SSR 2,0 ms + P0A.02 2,1 ms + P0A.02 2,0 ms + P0A.02

Tiempo de respuesta hasta la desconexión de

la alimentación del excitador de unidad

básica y paso de salida DESCONECTADO

2,5 ms 4,5 ms 3,5 ms

Tab. 2.29 Tiempos de retardo STO

Parámetros para STO

STO: Desconexión segura del parN.º Nombre Descripción

P0A.02 Tiempo de retardo hasta el

mensaje “STO”

Tiempo de retardo hasta que se activa la salida

“Estado seguro alcanzado”.

P0A.00 Rearranque automático permitido Si está activado: Anulación de la solicitud

(rearranque) con la entrada de solicitud desactivada

P0A.01 Activación automática SBC Si está activado: Al alcanzar el estado seguro (una

vez transcurrido el tiempo de retardo) se activa el

control seguro de freno.

Tab. 2.30 STO: Desconexión segura del par

2.5.2 SBC – Control seguro de freno (Safe Brake Control)

Aplicación

La función descrita aquí pone en práctica la función de seguridad SBO conforme a

EN 61800-5-2.

Utilice la función “Control seguro de freno” (“Safe Brake Control”, SBC) para controlar

una unidad de bloqueo o un freno de sostenimiento, para frenar mecánicamente un eje

de modo expreso o para retenerlo de modo seguro.

El control de la unidad de bloqueo o del freno de sostenimiento puede controlarse

opcionalmente a través de:

– la salida de freno segura [X6] en el controlador de motor,

– una salida segura del módulo de seguridad y un aparato de conexión de freno externo.



Importante: Para utilizar la función de seguridad SBC debe utilizarse una unidad de

bloqueo o un freno de sostenimiento con la clasificación de seguridad correspondiente.

En principio, para todos los tipos de unidades de bloqueo sin certificación debe realizarse

siempre una evaluación de riesgos y determinar la idoneidad para la aplicación orientada

a la seguridad en cuestión. De no ser así, estos no se deben utilizar.

noEl freno de sostenimiento en motores en general no cuenta con la debida cualificación.

La función SBC está activada a través del ajuste de fábrica (parametrización previa).

Mientras esta función sea utilizada por otras funciones (solicitud mediante STO, por

medio de otras parametrizaciones o por reacción ante errores en caso de vulneración de

otras funciones de seguridad solicitadas), nunca se puede anular su selección.

Función

La función “Safe Brake Control” desconecta la tensión para una unidad de bloqueo o un freno de

sostenimiento inmediatamente. La unidad de bloqueo o el freno de sostenimiento actúa y frena el

motor o el eje. De este modo se frenan mecánicamente los movimientos peligrosos. El tiempo de

frenado depende de la velocidad con que interviene el freno y de la magnitud de la energía en el

sistema.

NotaEn caso de cargas en suspensión, en general tiene lugar una caída repentina cuando se

solicitan simultáneamente las funciones SBC y STO. Esto se debe a la inercia mecánica

de la unidad de bloqueo o del freno de sostenimiento, y por lo tanto es inevitable.

El módulo de seguridad también pone a disposición la función de seguridad SS1 en

combinación con SBC o la función de seguridad SS2. Compruebe si dichas funciones de

seguridad se pueden o deben utilizar en su aplicación con SBC en lugar de con STO.

El control seguro de freno se puede utilizar exclusivamente en unidades de bloqueo o frenos de

sostenimiento que intervienen en estado sin corriente. La apertura de la unidad de bloqueo o del freno

de sostenimiento tiene lugar entonces a través del suministro de energía.

Si se utiliza la salida de freno de la unidad básica, asegúrese de que los cables están tendidos con

protección. Si la capacidad de carga de las salidas seguras del módulo de seguridad es suficiente, es

posible una detección de circuito cruzado con pulsos de prueba.

La lógica para la demanda de la función de seguridad SBC está representada en el siguiente diagrama

de bloques:



Safety Function SBC

TIMER+ BRAKE FEEDBACKDETECTION

1

1

1

S

R

Q

VIN_BRK_ACK

STO_SBC_RSF

SS1_SBC_RSF

ERR_SBC_RSF

VIN_SBC_RSF

VIN_SBC_CSF

P17.03

P17.0x

VOUT_SBC_SFR

VOUT_SBC_SSR

[54-0] SBC_ERR

VOUT_SBC_BRK_ON

[54-6] 24H_ERR

#SH2_BRK_EN1

Fig. 2.16 Diagrama de bloques SBC


Safety Function SBC Función de seguridad SBC

#SH2_BRK_EN La unidad básica habilita el control seguro de freno

STO_SBC_RSF Señal interna: Solicitud de SBC mediante STO

SS1_SBC_RSF Señal interna: Solicitud de SBC mediante SS1

ERR_SBC_RSF Señal interna: Solicitud de SBC mediante reacción ante errores

VIN_STO_RSF Entrada virtual: Solicitar SBC

VIN_STO_CSF Entrada virtual: Finalizar solicitud SBC

VIN_BRK_ACK Entrada virtual: Evaluación de señal de acuse de recibo de control seguro de

freno

TIMER + BRAKE FEED

BACK DETECTION

Temporizador (Timer) y evaluación de acuse de recibo de control seguro de

freno

VOUT_SBC_BRK_ON Salida virtual: Conectar salida de freno

VOUT_SBC_SFR Salida virtual: SBC solicitada

VOUT_SBC_SSR Salida virtual: SBC estado seguro alcanzado

[54-0] SBC_ERR Señal de error interna error 54-0

[54-6] 24H_ERR Señal de error interna error 54-6


La función de seguridad SBC se solicita de la siguiente manera:


conducidas a la señal VIN_SBC_RSF.

– Como reacción ante error, controlada a través de la gestión de errores, señal ERR_SBC_RSF.

– A través de la función de seguridad STO, señal STO_SBC_RSF.

– A través de la función de seguridad SS1, señal SS1_SBC_RSF.



La solicitud de la función de seguridad SBC se desactiva de la siguiente manera:


VIN_SBC_CSF.

– Mediante la activación del parámetro P17.03 se consigue un rearranque automático después de

retirar la solicitud.




La función de seguridad controla la desconexión del control seguro de freno a través de la señal

VOUT_SBC_BRK_ON. Cuando se solicita la función de seguridad, entonces VOUT_SBC_BRK_ON = 1.

VOUT_SBC_BRK_ON está vinculada internamente de modo adicional con una señal de mando de la

unidad básica, que reproduce el estado de conmutación del control de freno en la unidad básica.

El control seguro de freno solo recibe corriente cuando no se solicita SBC y cuando la unidad básica

habilita el freno (#SH2_BRK_EN es Low).

Después de una solicitud de SBC y la consiguiente retirada, el control seguro de freno

vuelve a recibir corriente cuando la unidad básica habilita el freno de sostenimiento.

De este modo se garantiza que también los ejes Z con carga en suspensión se puedan

volver a poner en marcha sin caída repentina.

La señal de mando VOUT_SBC_BRK_ON se tiene que conectar al control de frenado interno del

controlador de motor (señal de mando LOUT_BRAKE_CTRL, � Sección B.1.4) o bien a una salida digital

para el control de una unidad de bloqueo externa (LOUT_D4x, � Sección B.1.4).

Para utilizar el control de freno de la unidad básica en [X6] en combinación con SBC,

configura la salida “Freno interno” del módulo de seguridad:

Solicitud:

Parámetros estándar:

El control de freno de la unidad básica se supervisa ahora mediante pulsos de prueba.

El controlador de motor detecta una desconexión del control seguro de freno desde el

exterior; dado el caso ejecuta una parada rápida y desconecta el paso de salida. El

control de freno también se puede conectar permanentemente por parte del controlador

de motor (utilización de los parámetros del control seguro de freno en el controlador de

motor), de modo que el control se realiza exclusivamente desde el módulo de seguridad.



Para utilizar el control de freno de la unidad básica [X6] independientemente de SBC así

como SBC en combinación con DOUT4x, configure la salida “Freno interno” del módulo de

seguridad en CONECTADO permanentemente:

Solicitud:


Configure adicionalmente una salida, p. ej. DOUT41, para la salida de la señal de mando

para el control seguro de freno:

Solicitud:


Si la función SBC controla una unidad de bloqueo o un freno de sostenimiento a través de una salida

digital, las señales de mando para el control seguro de freno interno de la unidad básica se pueden

configurar de modo que la función SBC ya no actúe en ella. La salida de freno de la unidad básica

entonces estará disponible para otras funciones (=> señales de control FSM_BR+_EN y FSM_BR-_EN

parametrizables en High).

Hallará información sobre la parametrización de la salida del freno en la � Descripción de las

funciones para CMMP-AS-...-M3, GDCP-CMMP-M3-FW-...

El control de una unidad de bloqueo con su consumo de corriente más elevado (típico 8 A o más)

requiere un circuito de protección externo a través de dos contactores insertados con contactos de

recibo de conducción forzada. En este caso el acuse de recibo se tiene que cablear por separado.

Se realiza en el módulo de seguridad a través de una entrada digital, en general DIN44.

Adicionalmente la función SBC genera los mensajes de estado:

– VOUT_SBC_SFR, función de seguridad SBC solicitada.

– VOUT_SBC_SSR, estado seguro de SSBC alcanzado (retraso parametrizable a través de P17.01).

Señales de salida SBC Estado de reposo Función de seguridad solicitada / alcanzada

VOUT_SBC_BRK_ON 0 1

VOUT_SBC_SFR 0 1

VOUT_SBC_SSR 0 1 (retardada P17.01)

Tab. 2.32 Señales de salida SBC



Detección de errores:La función de seguridad puede evaluar una señal de acuse de recibo externa y así controlar que la unidad de

bloqueo o el freno de sostenimiento realmente se hayan aplicado. La evaluación se lleva a cabo a través de

la entrada VIN_BRK_ACK, cuando esta función se activa a través del parámetro P17.02.

A través del parámetro P17.00 se puede parametrizar un tiempo de retardo para el acuse de recibo.

La señal de acuse de recibo se evalúa una vez finalizado el retardo. Si no hay ningún acuse de recibo se

genera el mensaje de error [54-0] SBC_ERR.

NotaLa entrada de acuse de recibo VIN_BRK_ACK, si se utiliza la salida de freno en [X6], se

puede conectar a la entrada de acuse de recibo de la unidad básica (señal

LIN_BRAKE_X6_FB). Esta señal representa el estado de conmutación de la salida

segura de freno en la unidad básica.

Si en la salida de freno [X6] hay un cable de motor conectado, pero ninguna unidad de

bloqueo ni freno de sostenimiento, pueden darse perturbaciones por acoplamiento en

el cable de freno abierto y, por lo tanto, un acuse de recibo incorrecto (error [54-0]).

� En este caso se tiene que desactivar la entrada de acuse de recibo.

NotaLa entrada de acuse de recibo VIN_BRK_ACK tiene que asignarse (mapping) a una

entrada digital segura en caso de utilizar una unidad de bloqueo externa.

Solo se supervisa el estado “Freno aplicado” (supervisión de nivel de VIN_BRK_ACK).

En caso de “freno alimentado” no tiene lugar una supervisión del acuse de recibo.

Además, la función SBC posee una supervisión de tiempo integrada:

La función SBC se puede solicitar como máximo para 24 h. Por ello, la unidad de bloqueo o el freno de

sostenimiento tienen que conectarse (presurizarse) al menos una vez dentro de 24 h, puesto que los

disyuntores solo se pueden comprobar mediante pulsos de prueba cuando están conectados.

Si se sobrepasa el límite de tiempo se genera el error [54-6] 24H_ERR.

La limitación de tiempo se suprime cuando se utiliza la función SBC en combinación con una salida

segura (DOUT40 … DOUT42) o si el freno de sostenimiento no se utiliza orientado a la seguridad. La

supervisión de 24 h se puede desactivar entonces mediante el parámetro avanzado P17.04.

NotaEn el estado de entrega del módulo de seguridad, la función SBC en combinación con la

salida [X6] siempre está configurada, incluso si no se desea utilizar la función SBC. En

aplicaciones en las que los cables de control de freno se conducen en el cable del

motor, si no hay ningún freno de sostenimiento conectado en el lado de motor puede

haber perturbaciones de acoplamiento en los cables abiertos de frenos, de manera que

el módulo de seguridad comunica el error 57-0.

� En tales casos se deben fijar los cables de control de freno a X6 y conectarlas a PE.



Desarollo:La secuencia de la función de seguridad SBC está representada en el siguiente diagrama:


P17.00

t


P17.01

P17.02

VIN_BRK_ACK

Fig. 2.17 Diagrama de flujo SBC


Safety Function Request SFR Solicitud de función de seguridad

Safe State Reached SSR Estado seguro alcanzado

VIN_BRK_ACK Entrada virtual: Evaluación de señal de acuse de recibo de freno de

sostenimiento


Al solicitar la función de seguridad SBC transcurren los tiempos siguientes para la desconexión de la

unidad de bloqueo o el freno de sostenimiento (VOUT_SBC_BRK_ON) y los acuses de recibo de la

función de seguridad:

Tiempos de retardo a partir de VIN_SBC_RSF Mínimo Máximo Típico

VOUT_SBC_BRK_ON 2,0 ms 2,1 ms 2,0 ms

VOUT_SBC_SFR 2,0 ms 2,1 ms 2,0 ms

VOUT_SBC_SSR 2,0 ms + P17.01 2,1 ms + P17.01 2,0 ms + P17.01

Tiempo de respuesta ante error en caso de

ausencia del acuse de recibo VIN_BRK_ACK

2,0 ms + P17.00 2,1 ms + P17.00 2,0 ms + P17.00

Tab. 2.34 Tiempos de retardo SBC



Parámetros para SBC

SBC: Control seguro de frenoN.º Nombre Descripción

P17.00 Tiempo de retardo de evaluación de

acuse de recibo del freno

Tiempo a partir de la solicitud de la función de

seguridad hasta que debe tener lugar el acuse de

recibo del freno de sostenimiento.

P17.01 Tiempo de retardo mensaje “Freno

aplicado”

Tiempo de retardo a partir de la solicitud de la

función de seguridad hasta que se activa la

salida “Estado seguro alcanzado”

P17.02 Evaluar acuse de recibo de freno de

sostenimiento

Si es 1: Evaluar acuse de recibo del freno de

sostenimiento.

P17.03 Rearranque automático permitido Si es 1: Anulación de la solicitud (rearranque)

con la entrada de solicitud desactivada


P17.04 Desactivar prueba cíclica/supervisión

24 h

Si es 1: La prueba cíclica del control de freno y la

supervisión de 24 h para el accionamiento del

freno de sostenimiento por el GG se desactivan.

La salida segura de freno del GG se puede utilizar

como DOUT “normal” con elevada intensidad de

corriente máxima admisible .

Tab. 2.35 SBC: Control seguro de freno



2.5.3 SS1 – Parada segura 1 (Safe Stop 1)

Aplicación

La función descrita aquí pone en práctica la función de seguridad SS1 conforme a

EN 61800-5-2.

Utilice la función de parada segura 1 (“Safe Stop 1”, SS1), si en su aplicación tiene que

frenar el motor y después desconectar de forma segura la alimentación de energía al

mismo, pero no existen más solicitudes de una parada expresa del actuador (comp.

categoría de parada 1 de EN 60204-1).

Se admiten los tres atributos descritos en la norma:

a) Generar y bloquear la magnitud de la deceleración del motor dentro de límites fijados

y activar la función STO cuando las revoluciones del motor descienden por debajo de

un valor límite predeterminado.

� El actuador es guiado en una rampa de frenado hasta la detección del estado de

reposo (P06.09) y después se desconecta el paso de salida.

b) Generar y supervisar la magnitud de la deceleración del motor dentro de límites

fijados y activar la función STO cuando las revoluciones del motor descienden por

debajo de un valor límite predeterminado.

� El módulo de seguridad activa una parada rápida en la unidad básica, se supervisa

la rampa de frenado y después se desconecta el paso de salida.

c) Activación de la deceleración del motor y, después de un retardo de tiempo específico

del usuario, activación de la función STO.

� El módulo de seguridad suministra un mensaje de estado, el control funcional tiene

que frenar la unidad básica y, tras un tiempo de espera, se desconecta el paso de

salida.

La función SS1 está activada a través del ajuste de fábrica (parametrización previa).

Mientras esta función sea utilizada por otras funciones (reacción ante errores en caso de

vulneración de otras funciones de seguridad solicitadas), nunca se puede anular su selección.

FunciónAl solicitar la función de seguridad SS1, esta controla que el actuador sea frenado hasta el estado de

reposo dentro de un tiempo definido en base a una rampa de frenado definida. Una vez transcurrido el

tiempo definido, se activa la función STO y el paso de salida de potencia se desconecta de modo

seguro.

NotaEn caso de cargas en suspensión, en general tiene lugar una caída repentina cuando se

solicita la función STO inmediatamente después de la ejecución de la rampa de frenado.

Por ello la función SS1 también puede activar la función SBC, de modo que se aplica

una unidad de bloqueo o freno de sostenimiento y se evita una caída repentina del eje.

SBC activa a su vez la función STO (encadenamiento de las funciones de seguridad

SS1 } SBC } STO).



La lógica para la demanda de la función de seguridad SS1 está representada en el siguiente diagrama

de bloques:

Safety Function SS1

TIMER+ SPEED RAMPGENERATOR

1

1S

R

Q

VOUT_SS1_SFR

VOUT_SS1_SSR

[54-4] SS1_ERR

SPEED_LIMIT

SS1_STO_RSF

SS1_SBC_RSF

ERR_SS1_RSF

VIN_SS1_RSF

VIN_SS1_CSF

P0C.08

P0C.0x

ACTUAL_SPEED

Fig. 2.18 Diagrama de bloques SS1


Safety Function SS1 Función de seguridad SS1

ERR_SS1_RSF Señal interna: Solicitud de SS1 mediante reacción ante errores

VIN_SS1_RSF Entrada virtual: Solicitar SS1

VIN_SS1_CSF Entrada virtual: Finalizar solicitud SS1

ACTUAL SPEED Señal interna: Velocidad real

TIMER + SPEED

RAMP GENERATOR

Temporizador (Timer) y cálculo de rampas de velocidad

VOUT_SS1_SFR Salida virtual: SS1 solicitada

VOUT_SS1_SSR Salida virtual: SS1 estado seguro alcanzado

[54-4] SS1_ERR Señal de error interna: Error 54-4

SPEED_LIMIT Señal interna: Limitación de velocidad en la unidad básica

SS1_STO_RSF Señal interna: Solicitud de STO mediante SS1

SS1_SBC_RSF Señal interna: Solicitud de SBC mediante SS1


La función de seguridad SS1 se solicita de la siguiente manera:


conducidas a la señal VIN_SS1_RSF.

– Como reacción ante error, controlada a través de la gestión de errores, señal ERR_SS1_RSF.

La solicitud de la función de seguridad SS1 se desactiva de la siguiente manera:


VIN_SS1_CSF.

– Mediante la activación del parámetro “Rearranque automático permitido” (P0C.08) se consigue un







La función de seguridad controla directamente las siguientes funciones de seguridad:

– STO a través de la señal SS1_STO_SFR.

– STO a través de la señal SS1_SBC_SFR.

Al finalizar la solicitud de la función SS1 finalizan también directa y automáticamente las siguientes


Además, la función SS1 también suministra algunas señales de mando para el control de la unidad

básica:

– Limitaciones para la velocidad en la unidad básica, SPEED_LIMIT.

– Una señal de mando para activar la rampa de parada rápida en la unidad básica (no representada

en el diagrama de bloques).

Adicionalmente la función SS1 genera los mensajes de estado:

– VOUT_SS1_SFR, función de seguridad SS1 solicitada.

– VOUT_SS1_SSR, estado seguro SS1 alcanzado

Señales de salida SS1 Estado de reposo Función de seguridad solicitada / alcanzada

VOUT_SS1_SFR 0 1

VOUT_SS1_SSR 0 1 (retardo mediante P0C.01 + P0C.0C + P0C.0B)

Tab. 2.37 Señales de salida SS1

Detección de errores

La función de seguridad compara cíclicamente la velocidad real (ACTUAL_SPEED) con la rampa de

velocidad calculada. Si la velocidad real para un tiempo parametrizado “Tiempo tolerado en caso de

sobrepasar el valor límite” (P0C.02) se encuentra fuera del margen de velocidad permitido, se genera el

error [54-4] SS1_ERR.

El estado “Condición de seguridad vulnerada” no se retira en SS1 si el actuador se encuentra de nuevo

en el margen permitido después de una vulneración temporal.

En caso de vulneración de la condición de seguridad, la norma EN 61800-5-2 requiere

“STO” como reacción ante error. No obstante, en algunas aplicaciones también pueden

ser convenientes otras reacciones ante error, p. ej. “STO + SBC” � Sección 2.8.2.



SecuenciaLa secuencia de la función de seguridad SS1 está representada en el siguiente diagrama:


P0C.05

P0C.00

P0C.01

n

t

nmax

nmin

nist

P0C.07 Safe State ReachedSSR

P0C.02

Monitoring

P0C.0A

P0C.0A

SS1 � STO

SFR (SBC)

P0C.0B

(P0C.09)

P0C.06

Initial setting for speed ramp (n 0):nmax = nist + ( | nist | * P0C.03) + P0C.04)nmin = –P06.09

P0C.0C

P0C.0C

Initial setting for speed ramp (n 0):nmax = P06.09nmin = nist – ( | nist | * P0C.03) – P0C.04)

Fig. 2.19 Diagrama de flujo SS1



Monitoring Supervisión

SFR (SBC) Solicitud de SBC


Initial setting for speed ramp Valores iniciales para la rampa de velocidad

nist Velocidad real


El diagrama de flujo y la subsiguiente descripción son válidos para una velocidad positiva

nist. Para una velocidad negativa también son válidos correspondientemente; en este

caso una velocidad negativa decelera nist a cero.

Después de solicitar SS1, el módulo de seguridad inicia una rampa de frenado para la supervisión del

proceso de frenado:

– A través de “Tiempo de retardo hasta que se inicia la supervisión” (P0C.00) se define un tiempo de

retardo. Solo después de que haya transcurrido dicho tiempo se supervisa el cumplimiento de los

valores límite de velocidad actuales.

– A través de “Tiempo para rampa de frenado” (P0C.01) se determina la duración de la rampa de

frenado.



– Si se ha activado “Activación automática de SBC” (P0C.09), tras finalizar el “Tiempo para rampa de

frenado” (P0C.01) se activa la función de seguridad SBC, en otro caso se activa STO.

– Solo en caso de activación de SBC (P0C.09 = 1):

El tiempo de retardo mecánico de la unidad de bloqueo o freno de sostenimiento se puede tener en

cuenta por medio de “Retardo tras finalizar P0C.01 hasta activación de STO” (P0C.0B). Una vez

transcurrido el tiempo P0C.01 + P0C.0B se activa STO y se indica el mensaje VOUT_SS1_SSR.

Siempre se espera a que transcurra el tiempo P0C.0b, incluso cuando P0C.01 = 0.

– El valor inicial de la rampa de frenado de supervisión nmax se calcula conforme a la fórmula del

diagrama, se puede parametrizar a través de “Rampa de frenado - Factor valor inicial” (P0D.03) y

“Rampa de frenado - Decalaje de valor inicial” (P0C.04). La rampa finaliza a la velocidad = 0 (la

tolerancia está especificada por el valor límite para la detección de parada “Valor umbral de

velocidad para detección de parada” (P06.09)).

– A través de “Rampa de frenado - Tiempo de retardo hasta el arranque” (P0C.05) se puede

parametrizar un tiempo de retardo para el arranque de la rampa de frenado.

Si el proceso de frenado en SS1 no se debe controlar a través del módulo de seguridad,

sino a través del control funcional, a través de P0C.05 se puede parametrizar un retardo

de la rampa para compensar el tiempo de respuesta del control.

Mediante el parámetro “Limitar activamente la velocidad en la unidad básica” P0C.06 se conecta la

limitación activa de la velocidad en la unidad básica:

– Se transmiten cíclicamente límites de velocidad actuales a la unidad básica. Los límites de

velocidad deben tener una distancia de seguridad respecto a los límites de supervisión, que se

ajusta por medio del parámetro “Decalaje de velocidad para la limitación en la unidad básica”

(P0C.0A).

– Al final de la rampa de frenado de supervisión, el límite de velocidad es = 0.

– La unidad básica limita activamente el valor nominal de velocidad y, dependiendo de la

parametrización, también la velocidad de desplazamiento de procesos de posicionado en curso.

Con el parámetro “Activar rampa de parada rápida en la unidad básica” (P0C.07) se activa la parada

rápida en la unidad básica:

– Al solicitar SS1 se activa automáticamente la rampa de parada rápida en la unidad básica, el

actuador frena hasta cero con la rampa de parada rápida.

NotaPara evitar una vulneración de la condición de seguridad al frenar a través de la rampa

de frenado rápido de la unidad básica, asegúrese de que el tiempo de rampa

parametrizado por medio de “Tiempo para rampa de frenado” P0C.01 es mayor que el

tiempo de frenado de la unidad básica en la rampa de parada rápida desde la velocidad

máxima.

Durante la parametrización, el SafetyTool le avisa de un posible conflicto.

Tras finalizar la solicitud de la función SS1, las señales de mando internas para la parada rápida y la

limitación de velocidad se restablecen en la unidad básica.



Notas sobre la parametrización de modos a), b) y c) conforme a EN 61800-5-2

Modo Configuración de parámetros

Modo a) Activar “Limitar activamente la velocidad en la unidad básica” (P0C.06).

El módulo de seguridad controla la rampa de frenado en la unidad básica en

función de los parámetros establecidos para la rampa en el módulo de

seguridad.

Modo b) Activar “Activar rampa de parada rápida en la unidad básica” (P0C.07).

El módulo de seguridad provoca un frenado con la rampa de parada rápida, pero

al mismo tiempo supervisa la rampa de frenado ajustada en el módulo de

seguridad.

Modo c) No parametrizar ninguna rampa de frenado:

El control funcional debe frenar el eje; para ello se debe comunicar la señal

VOUT_SS1_SFR o el mensaje común VOUT_SFR al control funcional

� Sección B.1.5.

Mediante “Tiempo de retardo hasta que se inicia la supervisión” (P0C.00)

ajustar, con un valor siempre mayor que 4 ms, el tiempo deseado hasta que el

eje esté parado y deba intervenir la supervisión SS1. Antes tampoco se

supervisa ninguna rampa de frenado.

Ajustar el “Tiempo para rampa de frenado” (P0C.01) y “Rampa de revoluciones -

Supervisión de tiempo de retardo” (P0C.0C) y “Tiempo de retardo tras alcanzar n = 0

hasta que se activa STO” (PC.0B) con el valor mínimo (2 ms respectivamente).

Tab. 2.39 Parametrización de modos a), b) y c) conforme a EN 61800-5-2

A partir de la solicitud de la función de seguridad SS1 transcurren los tiempos siguientes hasta que se

activa la función se seguridad y se detectan errores:

Tiempos de retardo a partir de VIN_SS1_RSF Mínimo Máximo Típico

VOUT_SS1_SFR 2,0 ms 2,1 ms 2,0 ms

VOUT_SS1_SSR 2,0 ms + P0C.01

+ P0C.0B

+ P0C.0C

2,1 ms + P0C.01

+ P0C.0B

+ P0C.0C

2,0 ms + P0C.01

+ P0C.0B

+ P0C.0C

Detección de una vulneración de la condición

de seguridad tras VOUT_SBC_SFR

2,0 ms + P0C.00

+ P0C.02

2,1 ms + P0C.00

+ P0C.02

2,0 ms + P0C.00

+ P0C.02

Tab. 2.40 Tiempos de retardo SS1

Parametrice P0C.00 con un valor menor que la rampa de frenado hasta STO

(P0C.01 + P0C.0B + P0C.0C).

Si el “Tiempo de retardo hasta que se inicia la supervisión” (P0C.00) parametrizado es

mayor que la rampa de frenado total hasta STO (P0C.01 + P0C.0B + P0C.0C), entonces la

función STO, y con ella el mensaje SS1_SSR, también se alcanzan correspondientemente

solo después de 2,1 ms + P0C.00.



Parámetros para SS1

SS1: Parada segura 1N.º Nombre Descripción

P0C.00 Tiempo de retardo hasta que se inicia

la supervisión


seguridad durante el cual no tiene lugar ninguna

supervisión de las revoluciones

P0C.01 Tiempo para rampa de frenado Tiempo a partir de la solicitud de la función de

seguridad tras el cual se detienen las rampas de

revoluciones y se ha alcanzado el estado seguro.

P0C.02 Tiempo de tolerancia en caso de

sobrepasar el valor límite

Intervalo de tiempo durante el cual el valor

efectivo de revoluciones puede estar fuera de los

límites antes de que se alcance el estado

“Condición de seguridad vulnerada”.

P0C.06 Limitar activamente la velocidad en la

unidad básica

Si está activado: Controlar las revoluciones de la

unidad básica

P0C.07 Activar rampa de parada rápida en la

unidad básica

Si está activado: Al solicitar la función de

seguridad se suprime el comando de parada

rápida (línea de mando) a la unidad básica

P0C.08 Rearranque automático permitido Si está activado: Anulación de la solicitud

(rearranque) con la entrada de solicitud

desactivada

P0C.09 Activación automática SBC Si está activado: Al alcanzar el estado seguro o

una vez transcurrido el tiempo de retardo, se

activa el control seguro de freno.


P0C.0C Rampa de revoluciones - Supervisión

de tiempo de retardo

Tiempo de retardo entre la rampa de

revoluciones que se escribe en la unidad básica y

el inicio de la supervisión por parte del módulo

de seguridad.

P0C.0B Retardo tras finalizar P0C.01 hasta que

se activa STO.

Tiempo, tras cuya finalización se activa STO al

final del proceso de frenado.

P0C.05 Rampa de frenado - Tiempo de retardo

hasta el arranque

Tiempo de retardo, tras cuya finalización se

inician las rampas.

P0C.03 Rampa de frenado - Factor de valor

inicial

Factor para el cálculo del valor inicial de las

rampas de revoluciones.

P0C.04 Rampa de frenado - Decalaje de valor

inicial

Decalaje para el cálculo del valor inicial de las

rampas de revoluciones.

P0C.0A Decalaje de velocidad para la

limitación en la unidad básica

Decalaje para límites de revoluciones para

controlar la unidad básica.

Tab. 2.41 SS1: Parada segura 1



2.5.4 SS2 – Parada segura 2 (Safe Stop 2)

Aplicación

La función descrita aquí pone en práctica la función de seguridad SS2 conforme a

EN 61800-5-2.

Utilice la función de �parada segura 2” (“Safe Stop 2”, SS2) si en su aplicación se debe

frenar el motor y, después, evitar que este difiera de la posición de parada en más de un

valor determinado (comp. categoría de parada 2 de EN 60204-1).

Se admiten los tres atributos descritos en la norma:

a) Generar y bloquear la magnitud de la deceleración del motor dentro de límites fijados

y activar la función SOS cuando las revoluciones del motor descienden por debajo de

un valor límite predeterminado.

� El actuador es guiado en una rampa de frenado hasta la detección del estado de

reposo (P06.09) y después se ejecuta una parada de funcionamiento segura.

b) Generar y supervisar la magnitud de la deceleración del motor dentro de límites

fijados y activar la función SOS cuando las revoluciones del motor descienden por

debajo de un valor límite predeterminado.

� El módulo de seguridad activa una parada rápida en la unidad básica, se supervisa

la rampa de frenado y después se ejecuta una parada de funcionamiento segura.

c) Activación de la deceleración del motor y, después de un retardo de tiempo específico

del usuario, activación de la función SOS.

� El módulo de seguridad suministra un mensaje de estado, el control funcional tiene

que frenar la unidad básica y, tras un tiempo de espera, se activa la función de

seguridad SOS.

La función SS2 también se puede utilizar como reacción ante errores (en caso de

vulneración de otras funciones de seguridad solicitadas). Para ello tiene que ser activada

y parametrizada.

FunciónAl solicitar la función de seguridad SS2, esta controla que el actuador sea frenado hasta el estado de

reposo dentro de un tiempo definido en base a una rampa de frenado definida. Una vez transcurrido el

tiempo definido, se activa la función SOS y con ella se ejecuta una parada de funcionamiento segura.



La lógica para la demanda de la función de seguridad SS2 está representada en el siguiente diagrama

de bloques:

ACTUAL_SPEED

ERR_SS2_RSF

VIN_SS2_RSF

VIN_SS2_CSF

P0D.08

P0D.0x

Safety Function SS2


VOUT_SS2_SFR

VOUT_SS2_SSR

[54-2] SS2_ERR

SPEED_LIMIT

SS2_SOS_RSF1

1S

R

Q

Fig. 2.20 Diagrama de bloques SS2


Safety Function SS2 Función de seguridad SS2

ERR_SS2_RSF Señal interna: Solicitud de SS2 mediante reacción ante errores

VIN_SS2_RSF Entrada virtual: Solicitar SS2

VIN_SS2_CSF Entrada virtual: Finalizar solicitud SS2


TIMER + SPEED

RAMP GENERATOR


VOUT_SS2_SFR Salida virtual: SS2 solicitada

VOUT_SS2_SSR Salida virtual: SS2 estado seguro alcanzado

[54-2] SS2_ERR Señal de error interna: Error 54-2


SS2_SOS_RSF Señal interna: Solicitud de SOS mediante SS2


La función de seguridad SS2 se solicita de la siguiente manera:


conducidas a la señal VIN_SS2_RSF.

– Como reacción ante error, controlada a través de la gestión de errores, señal ERR_SS2_RSF.

La solicitud de la función de seguridad SS2 se desactiva de la siguiente manera:


VIN_SS2_CSF.

– Mediante la activación del parámetro “Rearranque automático permitido” (P0D.08) se consigue un







La función de seguridad controla directamente las siguientes funciones de seguridad:

– SOS a través de la señal SS2_SOS_RSF.

Al finalizar la solicitud de la función SS2 finalizan también directa y automáticamente las siguientes


Además, la función SS2 también suministra algunas señales de mando para el control de la unidad

básica:

– Limitaciones para la velocidad en la unidad básica, SPEED_LIMIT.

– Una señal de mando para activar la rampa de parada rápida en la unidad básica (no representada

en el diagrama de bloques).

Adicionalmente la función SS2 genera los mensajes de estado:

– VOUT_SS2_SFR, función de seguridad SS2 solicitada.

– VOUT_SS2_SSR, estado seguro SS2 alcanzado

Señales de salida SS2 Estado de reposo Función de seguridad solicitada / alcanzada

VOUT_SS2_SFR 0 1

VOUT_SS2_SSR 0 1 (retardo mediante P0D.01 + P0D.0A)

Tab. 2.43 Señales de salida SS2

Detección de erroresLa función de seguridad compara cíclicamente la velocidad real (ACTUAL_SPEED) con la rampa de

velocidad calculada. Si la velocidad real para un tiempo parametrizado “Tiempo tolerado en caso de

sobrepasar el valor límite” (P0D.02) se encuentra fuera del margen de velocidad permitido, se genera

el error [54-2] SS2_ERR.

El estado “Condición de seguridad vulnerada” no se retira en SS2 si el actuador se encuentra de nuevo

en el margen permitido después de una vulneración temporal.

En cuanto el actuador ha frenado hasta el estado de reposo se solicita la función de seguridad SOS,

que dispone de una detección de errores propia (supervisión de posición).

En caso de vulneración de la condición de seguridad, la norma EN 61800-5-2 requiere

“STO” como reacción ante error. No obstante, en algunas aplicaciones también pueden

ser convenientes otras reacciones ante error, p. ej. “STO + SBC” � Sección 2.8.2.



SecuenciaLa secuencia de la función de seguridad SS2 está representada en el siguiente diagrama:


P0D.05

P0D.00

P0D.01

n

t

nmax

nmin

nist

P0D.07


P0D.02

Monitoring

P0D.09

P0D.09

SS2 � SOSP0D.06

P0D.0A

P0D.0A

Initial setting for speed ramp (n 0):nmax = nist + ( | nist | * P0D.03) + P0D.04)nmin = –P06.09

Initial setting for speed ramp (n 0):nmax = P06.09nmin = nist – ( | nist | * P0D.03) – P0D.04)

Fig. 2.21 Diagrama de flujo SS2






nist Velocidad real


El diagrama de flujo y la subsiguiente descripción son válidos para una velocidad positiva

nist, para una velocidad negativa es válido el diagrama reflejado en el eje de tiempo.



Después de solicitar SS2 el módulo de seguridad inicia una rampa de frenado:

– A través de “Tiempo de retardo hasta que se inicia la supervisión” (P0D.00) se define un tiempo de

retardo. Solo después de que haya transcurrido dicho tiempo se supervisa el cumplimiento de los

valores límite de velocidad actuales.

– A través de “Tiempo para rampa de frenado” (P0D.01) se determina la duración de la rampa de

frenado.

– El valor inicial de la rampa de frenado de supervisión nmax se calcula conforme a la fórmula del

diagrama, se puede parametrizar a través de “Rampa de frenado - Factor valor inicial” (P0D.03)

y “Rampa de frenado - Decalaje de valor inicial” (P0D.04). La rampa finaliza a la velocidad = 0

(la tolerancia está especificada por el valor límite para la detección de parada “Valor umbral de

velocidad para detección de parada” (P06.09)).

– A través de “Rampa de frenado - Tiempo de retardo hasta el arranque” (P0D.05) se puede

parametrizar un tiempo de retardo para el arranque de la rampa de frenado.

Si el proceso de frenado en SS2 no se debe controlar a través del módulo de seguridad,

sino a través del control funcional, a través de P0D.05 se puede parametrizar un retardo

de la rampa para compensar el tiempo de respuesta del control.

Mediante el parámetro “Limitar activamente la velocidad en la unidad básica” P0D.06 se conecta la

limitación activa de la velocidad en la unidad básica:

– Se transmiten cíclicamente límites de velocidad actuales a la unidad básica. Los límites de

velocidad deben tener una distancia de seguridad respecto a los límites de supervisión, que se

ajusta por medio del parámetro “Decalaje de velocidad para la limitación en la unidad básica”

(P0D.09).

– Al final de la rampa de frenado de supervisión, el límite de velocidad es = 0.

– La unidad básica limita activamente el valor nominal de velocidad y, dependiendo de la

parametrización, también la velocidad de desplazamiento de procesos de posicionado en curso.

Con el parámetro “Activar rampa de parada rápida en la unidad básica” (P0D.07) se activa la parada

rápida en la unidad básica:

– Al solicitar SS2 se activa automáticamente la rampa de parada rápida en la unidad básica, el

actuador frena hasta cero con la rampa de parada rápida.

NotaPara evitar una vulneración de la condición de seguridad al frenar a través de la rampa

de frenado rápido de la unidad básica, asegúrese de que el tiempo de rampa

parametrizado con P0D.01 es mayor que el tiempo de frenado de la unidad básica en la

rampa de parada rápida desde la velocidad máxima.

Durante la parametrización, el SafetyTool le avisa de un posible conflicto.

Tras finalizar la solicitud de la función SS2, las señales de mando internas para la parada rápida y la

limitación de velocidad se restablecen en la unidad básica.



Notas sobre la parametrización de modos a), b) y c) conforme a EN 61800-5-2

Modo Configuración de parámetros

Modo a) Activar “Limitar activamente la velocidad en la unidad básica” (P0D.06).

El módulo de seguridad controla la rampa de frenado en la unidad básica en

función de los parámetros establecidos para la rampa en el módulo de

seguridad.

Modo b) Activar “Activar rampa de parada rápida en la unidad básica” (P0D.07).

El módulo de seguridad provoca un frenado con la rampa de parada rápida y, al

mismo tiempo, supervisa la rampa de frenado ajustada en el módulo de

seguridad.

Modo c) No parametrizar ninguna rampa de frenado:

El control funcional debe frenar el eje; para ello se debe comunicar la señal

VOUT_SS2_SFR o el mensaje común VOUT_SFR al control funcional

� Sección B.1.5.

Mediante “Tiempo de retardo hasta que se inicia la supervisión” (P0D.00)

ajustar, con un valor siempre mayor que 4 ms, el tiempo deseado hasta que el

eje esté parado y deba intervenir la supervisión SS2. Antes tampoco se

supervisa ninguna rampa de frenado.

Ajustar el “Tiempo para rampa de frenado” (P0D.01) y “Rampa de revoluciones -

Supervisión de tiempo de retardo” (P0D.0A) con el valor mínimo (2 ms

respectivamente).

Tab. 2.45 Parametrización de modos a), b) y c) conforme a EN 61800-5-2

A partir de la solicitud de la función de seguridad SS2 transcurren los tiempos siguientes hasta que se


Tiempos de retardo a partir de VIN_SS2_RSF Mínimo Máximo Típico

VOUT_SS2_SFR 2,0 ms 2,1 ms 2,0 ms

VOUT_SS2_SSR 2,0 ms + P0D.01

+ P0D.0A

2,1 ms + P0D.01

+ P0D.0A

2,0 ms + P0D.01

+ P0D.0A


de seguridad tras VOUT_SS2_SFR

2,0 ms + P0D.00

+ P0D.02

2,0 ms + P0D.00

+ P0D.02

2,0 ms + P0D.00

+ P0D.02

Tab. 2.46 Tiempos de retardo SS2

Parametrice P0D.00 con un valor menor que la rampa de frenado hasta SOS

(P0D.01 + P0D.0A).

Si el “Tiempo de retardo hasta que se inicia la supervisión” (P0D.00) parametrizado es

mayor que la rampa de frenado total hasta SOS (P0D.01 + P0D.0A), entonces la función

SOS, y con ella el mensaje SS2_SSR, también se alcanzan correspondientemente solo

después de 2,1 ms + P0D.00.



Parámetros para SS2

SS2: Parada segura 2N.º Nombre Descripción

P0D.00 Tiempo de retardo hasta que se inicia

la supervisión


seguridad durante el cual no tiene lugar ninguna

supervisión de las revoluciones.

Para SS2 se utilizan los límites de supervisión de

la función SOS.

P0D.01 Tiempo para rampa de frenado Tiempo a partir de la solicitud de la función de

seguridad tras el cual se detienen las rampas de

revoluciones y se ha alcanzado el estado seguro.

P0D.02 Tiempo de tolerancia en caso de

sobrepasar el valor límite

Intervalo de tiempo durante el cual el valor

efectivo de revoluciones puede estar fuera de los

límites antes de que se alcance el estado

“Condición de seguridad vulnerada”.

P0D.06 Limitar activamente la velocidad en la

unidad básica

Si está activado: Controlar las revoluciones de la

unidad básica

P0D.07 Activar rampa de parada rápida en la

unidad básica

Si está activado: Al solicitar la función de

seguridad se suprime el comando de parada

rápida (línea de mando) a la unidad básica

P0D.08 Rearranque automático permitido Si está activado: Anulación de la solicitud

(rearranque) con la entrada de solicitud

desactivada


P0D.0A Rampa de revoluciones - Supervisión

de tiempo de retardo

Tiempo de retardo entre el inicio de la rampa de

revoluciones que se escribe en la unidad básica y

el inicio de la supervisión por parte del módulo

de seguridad.

P0D.05 Rampa de frenado - Tiempo de retardo

hasta el arranque

Tiempo de retardo, tras cuya finalización se

inician las rampas.

P0D.03 Rampa de frenado - Factor de valor

inicial

Factor para el cálculo del valor inicial de las

rampas de revoluciones

P0D.04 Rampa de frenado - Decalaje de valor

inicial

Decalaje para el cálculo del valor inicial de las

rampas de revoluciones

P0D.09 Decalaje de velocidad para la

limitación en la unidad básica

Decalaje para límites de revoluciones para

controlar la unidad básica.

Tab. 2.47 SS2: Parada segura 2



2.5.5 SOS – Parada de servicio segura (Safe Operating Stop)

Aplicación

La función descrita aquí pone en práctica la función de seguridad SOS conforme a

EN 61800-5-2.

Utilice la función de parada de servicio segura (“Safe Operating Stop”, SOS) cuando en

su aplicación tenga que garantizar que la posición del motor o del eje se detiene

activamente y a la vez se controla de modo seguro.

La función SOS también es activada por la función SS2 y se puede utilizar como reacción

ante errores (en caso de vulneración de otras funciones de seguridad solicitadas). En este

caso se activa a través de los ajustes de fábrica y en principio no se puede anular su

selección.

FunciónAl solicitar la función de seguridad SOS, esta controla que, tras un tiempo definido, el actuador sea

regulado dentro de una tolerancia de posición predeterminada. Si es necesario, se puede solicitar con

anterioridad una parada rápida en la unidad básica, con la que el actuador frena hasta el estado de

parada. Incluso con la función de seguridad SOS solicitada el motor sigue recibiendo energía, de modo

que puede soportar la aplicación de fuerzas externas. La velocidad se regula a cero en la unidad

básica.

NotaPuesto que las señales del sensor de posición en estado de parada pueden ser

estáticas, p. ej. en caso de señales de pista SEN/COS, la función SOS no se puede

solicitar reiteradamente de forma ilimitada, mientras es necesario que el eje se mueva.

Si se ha solicitado SOS para >24 h se generará el error 54-7.

El tiempo máximo de parada en la función SOS está limitado por tanto a 24 h.



La lógica para la demanda de la función de seguridad SOS está representada en el siguiente diagrama

de bloques:

Safety Function SOS

TIMER+ POSITIONCOMPARATOR1

1

S

R

Q

SS2_SOS_RSF

VIN_SOS_RSF

VIN_SOS_CSF

P0B.03

P0B.0x

ACTUAL_POSITION

[54-3] SOS_ERR

VOUT_SOS_SFR

VOUT_SOS_SSR

Fig. 2.22 Diagrama de bloques SOS


Safety Function SOS Función de seguridad SOS

VIN_SOS_RSF Entrada virtual: Solicitar SOS

VIN_SOS_CSF Entrada virtual: Finalizar solicitud SOS

ACTUAL POSITION Señal interna: Posición real

TIMER + POSITION

COMPARATOR

Temporizador (Timer) y comparador de posición

VOUT_SOS_SFR Salida virtual: SOS solicitada

VOUT_SOS_SSR Salida virtual: SOS estado seguro alcanzado

[54-3] SOS_ERR Señal de error interna: Error 54-3


La función de seguridad SOS se solicita de la siguiente manera:


conducidas a la señal VIN_SOS_RSF.

– A través de la función de seguridad SS2, señal SS2_SOS_RSF.

La solicitud de la función de seguridad SOS se desactiva de la siguiente manera:


VIN_SOS_CSF.

– Mediante la activación del parámetro “Rearranque automático permitido” (P0B.03) se consigue un



Esto significa que: Mientras esté presente una de las señales xxx_RSF no es posible finalizar la función

de seguridad a través de una señal xxx_CSF.



Detección de erroresLa condición de seguridad se considera vulnerada cuando el actuador, una vez transcurrido P0B.00, se

desplaza más allá del “Margen de tolerancia supervisión de posición” (±P0B.01) o cuando se detecta

un movimiento del eje a través de la medición de velocidad.





La condición de seguridad también se considera vulnerada cuando el valor efectivo de posición adopta

el estado “no válido” mientras la función de seguridad está solicitada (por ejemplo cuando falla un

sensor de posición).

Si se vulnera la condición de seguridad se genera un error. La función “SOS” se lleva a cabo conforme a

EN 61800-5-2 cuando la reacción ante errores está parametrizada en “STO”.

La función de seguridad se puede ejecutar independientemente de si el eje está referenciado o no.

SecuenciaLa secuencia de la función de seguridad SOS está representada en el siguiente diagrama:


P0B.00

n

t

nist


x

P0B.01

P0B.01

P0B.02

Fig. 2.23 Diagrama de flujo SOS






nist Velocidad real


Si el controlador de motor está parametrizado conforme a “Activar rampa de parada rápida en la

unidad básica” (P0B.02), a través de la línea “Parada rápida” el controlador de motor recibe la

instrucción de detener el actuador.

Una vez transcurrido el tiempo “Tiempo de retardo hasta que se inicia la supervisión” (P0B.00) se

supervisa el estado de parada del actuador. En ese momento se activa la salida “Estado seguro

alcanzado” si no se ha vulnerado la condición de seguridad.

Durante el transcurso del tiempo P0B.00 la supervisión de posición aún no está activa. Una vez

transcurrido el tiempo P0B.00 se guarda la posición real actual y se utiliza como valor nominal para la

posición a supervisar. La posición se supervisa mediante la comparación cíclica del valor efectivo de

posición con el valor guardado.

A partir de la solicitud de la función de seguridad SOS transcurren los tiempos siguientes hasta que se


Tiempos de retardo a partir de VIN_SOS_RSF Mínimo Máximo Típico

VOUT_SOS_SFR 2,0 ms 2,1 ms 2,0 ms

VOUT_SOS_SSR 2,0 ms + P0B.00 2,1 ms + P0B.00 2,0 ms + P0B.00


de seguridad1) tras P0B.00 dentro de

0,0 ms 2,0 ms 2,1 ms

1) La condición de seguridad se considera vulnerada cuando...

a) se abandona el margen de supervisión +/- P0B.01, o bien

b) se detecta un movimiento del eje a través de la detección de parada dentro del margen de posición

Tab. 2.50 Tiempos de retardo SOS

Parámetros para SOS

SOS: Parada de servicio segura

N.º Nombre Descripción

P0B.00 Tiempo de retardo hasta que se

inicia la supervisión

Tiempo de retardo tras solicitar la función hasta el

inicio de la supervisión

P0B.01 Margen de tolerancia de

supervisión de posición

Valor límite para el movimiento tras aceptar el estado

de parada

P0B.03 Rearranque automático permitido Si está activado: Anulación de la solicitud

(rearranque) con la entrada de solicitud desactivada


P0B.02 Activar rampa de parada rápida en

la unidad básica

Enviar orden de frenado a la unidad básica

(señal SS1) Sí / No

Tab. 2.51 SOS: Parada de servicio segura



2.5.6 Funciones de seguridad universales USF

Las “Funciones de seguridad universales” (Universal Safety Function, USF) ) sirven para la

supervisión de las magnitudes de estado (carrera, velocidad y fuerza / par de giro) del

motor / eje.

Actualmente está disponible:

– La “Función segura de velocidad” (“Save Speed Function”, SSF)

La función USF agrupa también los términos productos para “Solicitar”, “Finalizar

solicitud”, las entradas y salidas lógicas y virtuales (LIN_USFx..., VOUT_USFx...) y los

parámetros de la gestión de errores.

Están disponibles 4 funciones USF (USF0 … USF3).

2.5.7 Funciones seguras de velocidad SSF

AplicaciónMediante la parametrización es posible atribuir a la “Función segura de velocidad” (“Save Speed

Function”, SSF) una de las siguientes funciones de seguridad:

– SLS – Velocidad con limitación segura (Safely-Limited Speed) � Sección 2.5.8,

– SSR – Margen de velocidad seguro (Safe Speed Range) � Sección 2.5.9,

– SSM – Control de velocidad seguro (Safe Speed Monitoring) � Sección 2.5.10.

La función específica se determina entonces a través de una parametrización específica del SSF, véanse

las secciones siguientes.

Cada una de las 4 funciones USF contiene a tal fin una función SSF (SSF0 … SSF3). De este modo es

posible poner en práctica hasta 4 funciones de seguridad y ejecutarlas paralelamente.

FunciónLas SSF con los atributos SLS / SSR / SSM controlan la velocidad del actuador en base a límites

mínimos y máximos. Si la velocidad del motor sobrepasa el valor límite, se genera el mensaje

“Vulneración de condición de seguridad”.

Los límites de velocidad para la supervisión están predeterminados de manera no estática. La SSF

puede calcular dinámicamente rampas de velocidad y también supervisarlas, de modo que el actuador

es conducido desde cualquier velocidad al margen de velocidad seguro deseado.

Además, la limitación de la velocidad del controlador de motor se puede controlar de manera que no se

vulnere la condición de seguridad.



La lógica para la demanda de la función de seguridad SSF0 está representada en el siguiente diagrama

de bloques:

Safety Function SSF0


&

1

S

R

Q

VOUT_USF0_SFR

VOUT_USF0_SSR

[53-0] USF0_ERRP0E.00

VIN_USF0_CSF

P0E.0B

P0E.0x

SPEED_LIMIT

VIN_USF0_RSF

ACTUAL_SPEED

Fig. 2.24 Diagrama de bloques SSF0


Safety Function SFF0 Función de seguridad SFF0

VIN_USF0_RSF Entrada virtual: Solicitar USF0

VIN_USF0_CSF Entrada virtual: Finalizar solicitud USF0


TIMER + SPEED

RAMP GENERATOR


VOUT_USF0_SFR Salida virtual: USF0 solicitada

VOUT_USF0_SSR Salida virtual: USF0 estado seguro alcanzado

[53-0] USF0_ERR Señal de error interna: Error 53-0



La función de seguridad SSF0 se solicita de la siguiente manera:


conducidas a la señal VIN_USF0_RSF, si la función SSF se ha activado a través del parámetro

“Activas SSF” (P0E.00/...).

La solicitud de la función de seguridad SSF0 se desactiva de la siguiente manera:


VIN_USF0_CSF.

– Mediante la activación del parámetro “Rearranque automático permitido” (P0E.0B/...) se consigue

un rearranque automático después de retirar la solicitud.

La función SSF0 suministra algunas señales de mando para el control de la unidad básica:

– Limitaciones dependientes del tiempo para la velocidad en la unidad básica, SPEED_LIMIT.



Adicionalmente la función SSF0 genera los mensajes de estado

– VOUT_USF0_SFR, función de seguridad USF0 solicitada.

– VOUT_USF0_SSR, estado seguro USF0 alcanzado.

Señales de salida USF0 Estado de reposo Función de seguridad solicitada / alcanzada

VOUT_USF0_SFR 0 1

VOUT_USF0_SSR 0 1 (con retardo, véase la respuesta en función

del tiempo)

Tab. 2.53 Mensajes de estado SSF0


Esto significa que: Mientras esté presente una de las señales xxx_RSF no es posible finalizar la función

de seguridad a través de una señal xxx_CSF.

Detección de erroresLa condición de seguridad se considera vulnerada cuando las revoluciones se encuentran fuera del

margen permitido reiteradamente durante el tiempo “Tiempo tolerado en caso de sobrepasar el valor

límite” (P0E.03/...). La vulneración se considera eliminada cuando las revoluciones se encuentran

dentro del margen permitido reiteradamente durante el tiempo “Tiempo tolerado en caso de

sobrepasar el valor límite”.





Si se vulnera la condición de seguridad se genera un error, que tiene como consecuencia una reacción

ante errores parametrizable.

El error “Condición de seguridad vulnerada” también se genera cuando falla un sensor de posición y

por lo tanto ya no está disponible ninguna información segura de velocidad.



Secuencia de la función de seguridad � Fig. 2.25 (Parámetros � Tab. 2.56)

La secuencia de la función de seguridad SSF0 está representada en el siguiente diagrama:


P0E.06

P0E.01

P0E.02 P0E.08 P0E.0C

n

t

nmax

nmin

nist

P0E.09


P0E.03P0E.07 P0E.0C

Initial setting for speed ramp:nmax = nist + ( | nist | * P0E.04) + P0E.05nmin = nist � ( | nist | * P0E.04) � P0E.05If (nmin > nmin_end) => nmin = nmin_endIf (nmax < nmax_end) => nmax = nmax_end

Monitoring

P0E.0D

nmax_end

nmin_endP0E.0D

Fig. 2.25 Diagrama de flujo SSF0






nist Velocidad real


La función de seguridad SSF0 supervisa en estado estacionario la velocidad del actuador. El pasaje de

velocidad permitido se define a través de los parámetros “Velocidad segura - Límite superior”

(P0E.07/..., nmax_end) y “Velocidad segura - Límite inferior” (P0E.08/..., nmin_end) (� Fig. 2.25, lado

derecho).

Cuando la velocidad real sale del pasaje de velocidad, después de un tiempo tolerado “Tiempo

tolerado en caso de exceder valor límite” (P0E.03/...), se genera el error “Condición de seguridad

vulnerada”.

El atributo de la función de seguridad SSF como SLS, SSR o SSM se define esencialmente

mediante la parametrización de la velocidad final:

– “Safely-Limited Speed” (SLS) � Sección 2.5.8,

– “Safe Speed Range” (SSR) � Sección 2.5.9,

– “Safe Speed Monitoring” (SSM) � Sección 2.5.10.



Al solicitar la función de seguridad SSF0 (VOUT_USF0_SFR) se ejecuta un cálculo de una rampa de

velocidad para conducir al actuador, partiendo de la velocidad actual, al pasaje de velocidad permitido:

– El cálculo de los valores iniciales nmax y nmin se basa en la velocidad real actual nist como valor

inicial. En base a un parámetro Gain “Rampa de frenado - Factor de valor inicial” (P0E.04/...) y un

parámetro de decalaje “Rampa de frenado - Decalaje de valor inicial” (P0E.05/...) se calcula primero

una ventana inicial con la velocidad real actual.

– La posición de la ventana inicial se establece en relación con el pasaje de velocidad deseado; los

valores iniciales se adaptan, si es necesario, de modo que se obtenga un pasaje de velocidad

trapezoidal que se estrecha (comp. Fig. 2.25).

– El instante de arranque de la rampa se puede determinar mediante “Rampa de frenado - Tiempo de

retardo hasta arranque” (P0E.06/..., valor mínimo: 6 ms) y el instante de fin de la rampa a través de

“Tiempo para rampa de frenado” (P0E.02). Una vez transcurrido el tiempo P0E.02 se ha alcanzado

el pasaje de velocidad estacionario y la función SSF0 indica VOUT_USF0_SSR (¡si la velocidad real

se encuentra en el margen permitido!).

– Mediante “Tiempo de retardo hasta inicio de supervisión” (P0E.01/...) se puede determinar a partir

de qué momento la función SSF0 supervisará la velocidad.

Un retardo de la rampa mediante “Rampa de frenado - Tiempo de retardo hasta inicio”

(P0E.06/...) resulta conveniente siempre que el eje frene a través del control funcional y

sea conducido al pasaje de velocidad supervisado. Con P0E.06 se puede compensar el

tiempo de respuesta del control funcional.

El módulo de seguridad puede acceder activamente a la regulación de la unidad básica y limitar así la

velocidad del eje. Los valores límite se transmiten cíclicamente a la unidad básica:

– Esta función se activa al establecer el parámetro “Limitar activamente la velocidad en la unidad

básica” (P0E.09/...).

– En caso de limitación activa de la velocidad en la unidad básica, para garantizar que se respetan de

modo seguro los valores límite supervisados están previstos otros parámetros:

– Por medio del valor mínimo de “Rampa de frenado - Tiempo de retardo hasta el arranque”

(P0E.06, 6 ms) se compensan los tiempos de ejecución internos del aparato para la transmisión

de señales de los nuevos valores límite de la unidad básica hasta la intervención de la regulación

en la unidad básica.

– Mediante “Rampa de revoluciones - Tiempo de retardo supervisión” (P0E.0D/...) se puede

retardar el límite de velocidad utilizado para la supervisión en el módulo de seguridad

expresamente en otros cuando milisegundos. Esto concede a la unidad básica un tiempo

adicional, p. ej. cuando en ella se ha seleccionado un perfil de desplazamiento con sacudida

limitada y solo se puede frenar con limitación de sacudida.

– Mediante “Decalaje de limitación de velocidad” (P0E.0C/...) se puede parametrizar finalmente

un decalaje de la velocidad. Los límites de velocidad para la unidad básica están desplazados

entonces en P0E.0C/... dentro del pasaje de velocidad para la supervisión, de modo que las

fluctuaciones mínimas de la velocidad real aún no originan una reacción de la supervisión.



– Si los límites superior e inferior para la unidad básica se solapan a causa de un pasaje muy

estrecho y del decalaje P0E.0C/..., entonces ambos límites se establecen con el valor medio

entre las revoluciones mínimas y máximas supervisadas.

La descripción se puede aplicar de modo correspondiente a los parámetros para las funciones SSF1,

SSF2 y SSF3.

La función SSF0 permite de este modo la adaptación a distintas aplicaciones.

Los parámetros de SSF0 están estructurados en el SafetyTool en:

– Parámetros estándar: Son los parámetros sencillos que se deben adaptar

individualmente a la aplicación para cada control de velocidad.

– Parámetros expertos: Son los parámetros para una optimización de la función en

interacción con las funciones de regulación en la unidad básica; estos parámetros

están preajustados de fábrica convenientemente.

¡En la mayoría de aplicaciones solo necesitará los parámetros estándar!

A partir de la solicitud de la función de seguridad SSF0 transcurren los tiempos siguientes hasta que se


Tiempos de retardo a partir deVIN_USF0_RSF

Mín. Máx. Típico

Mensaje VOUT_USF0_SFR 2,0 ms 2,1 ms 2,0 ms

Mensaje VOUT_USF0_SSR 8,0 ms +

(P0E.02 + P0E.0D)

8,1 ms +

(P0E.02 + P0E.0D)

8,0 ms +

(P0E.02 + P0E.0D)

Inicio de la supervisión de la

condición de seguridad tras

VOUT_USF0_SFR

2,0 ms + MAX

(P0E.01 O

(P0E.06 + P0E.0D))

2,1 ms + MAX

(P0E.01 O

(P0E.06 + P0E.0D))

2,0 ms + MAX

(P0E.01 O

(P0E.06 + P0E.0D))

Detección de una vulneración de la

condición de seguridad tras P0E.01

o (P0E.06 + P0E.0D) dentro de

P0E.03 P0E.03 P0E.03

Tab. 2.55 Tiempos de retardo SSF0



Parámetros para SSF

SSF: Velocidad seguraN.º de parámetro para ... Nombre Descripción

SSF0 SSF1 SSF2 SSF3

P0E.00 P0E.14 P0E.28 P0E.3C Activar SSF Si es 1: La solicitud de USF

dispara la solicitud de SSF

P0E.01 P0E.15 P0E.29 P0E.3D Tiempo de retardo hasta

que se inicia la supervisión

Tiempo a partir de la solicitud de

la función de seguridad durante

el cual no tiene lugar ninguna

supervisión de las revoluciones

P0E.07 P0E.1B P0E.2F P0E.43 Velocidad segura - Límite

superior

Valor final de la rampa superior

en nmax_end

P0E.08 P0E.1C P0E.30 P0E.44 Velocidad segura - Límite

inferior

Valor final de la rampa inferior en

nmin_end

P0E.02 P0E.16 P0E.2A P0E.3E Tiempo para rampa de

frenado

Tiempo a partir de la solicitud de

la función de seguridad tras el

cual se detienen las rampas y se

ha alcanzado el estado seguro.

P0E.03 P0E.17 P0E.2B P0E.3F Tiempo de tolerancia en

caso de sobrepasar el

valor límite

Intervalo de tiempo durante el

cual el valor efectivo de velocidad

puede estar fuera de los límites

antes de que se alcance el estado

“Condición de seguridad

vulnerada”.

P0E.09 P0E.1D P0E.31 P0E.45 Limitar activamente la

velocidad en la unidad

básica

Cuando está activado: La

limitación de velocidad se

transmite a la unidad básica, la

velocidad se limita activamente

en la unidad básica.

P0E.0B P0E.1F P0E.33 P0E.47 Rearranque automático

permitido

Si es 1: Anulación de la solicitud

(rearranque) con la entrada de

solicitud desactivada.



SSF: Velocidad segura

N.º de parámetro para ... DescripciónNombre

SSF0

DescripciónNombre

SSF3SSF2SSF1


P0E.0D P0E.21 P0E.35 P0E.49 Rampa de revoluciones -

Supervisión de tiempo de

retardo

La rampa que se utiliza en el

módulo de seguridad para el

control de la velocidad se retrasa

adicionalmente con respecto a la

rampa escrita en la unidad

básica.

P0E.06 P0E.1A P0E.2E P0E.42 Rampa de frenado -

Tiempo de retardo hasta el

arranque

Tiempo de retardo, tras cuya

finalización se inicia la rampa de

supervisión en el módulo de

seguridad.

P0E.04 P0E.18 P0E.2C P0E.40 Rampa de frenado - Factor

de valor inicial

Factor para el cálculo del valor

inicial de las rampas.

P0E.05 P0E.19 P0E.2D P0E.41 Rampa de frenado -

Decalaje de valor inicial

Decalaje para el cálculo del valor

inicial de las rampas.

P0E.0C P0E.20 P0E.34 P0E.48 Decalaje de limitación de

velocidad

Decalaje para los límites de

velocidad para controlar la

unidad básica.

P0E.0A P0E.1E P0E.32 P0E.46 Activar rampa de parada

rápida en la unidad básica

Si está activado: Al solicitar la

función de seguridad se suprime

el comando de parada rápida

(línea de mando) a la unidad

básica.

Tab. 2.56 SSF: Velocidad segura



2.5.8 SLS – Velocidad con limitación segura (Safely-Limited Speed)

La función descrita aquí pone en práctica la función de seguridad SLS conforme a

EN 61800-5-2.

Utilice la función de “velocidad con limitación segura” (“Safely-Limited Speed”, SLS)

cuando en su aplicación deba evitar que el motor sobrepase una limitación fijada de la

velocidad.

La función está identificada mediante un margen de supervisión de simetría cero para la

velocidad, los límites se pueden ajustar por separado.

El actuador puede frenarse a lo largo de una rampa de frenado hasta una velocidad de

giro permitida; no obstante la función se puede desconectar. En el caso más sencillo la

supervisión comienza tras el tiempo “Tiempo de retardo hasta que se inicia la

supervisión” (P0E.01/P0E.15/P0E.29/P0E.3D). Las revoluciones máximas se determinan

a través de “Velocidad segura - Límite superior” (P0E.07/P0E.1B/P0E.2F/P0E.43).

Con la siguiente parametrización, la función segura de velocidad SSF equivale a la función de seguridad

SLS (con supervisión inmediata de la velocidad sin rampa de frenado):

Parametrizar SSF como SLSN.º de parámetro para ... Nombre Ajuste para la función de

seguridad SLSSSF0 SSF1 SSF2 SSF3

Parámetros estándar SSFP0E.00 P0E.14 P0E.28 P0E.3C Activar SSF = 1, activarP0E.01 P0E.15 P0E.29 P0E.3D Tiempo de retardo hasta

que se inicia la supervisión2,0 ms

P0E.07 P0E.1B P0E.2F P0E.43 Velocidad segura - Límitesuperior

Establecer velocidad límitepositiva para SLS.

P0E.08 P0E.1C P0E.30 P0E.44 Velocidad segura - Límiteinferior

= -P0E.07/-P0E.1B /-P0E.27/-P0E.43

P0E.02 P0E.16 P0E.2A P0E.3E Tiempo para rampa defrenado

6,2 ms, valor mínimo

P0E.03 P0E.17 P0E.2B P0E.3F Tiempo de tolerancia encaso de sobrepasar elvalor límite

Valor predeterminado: 10 ms,puede reducirse para unadetección de errores más rápida.

P0E.09 P0E.1D P0E.31 P0E.45 Limitar activamente lavelocidad en la unidadbásica

Puede activarse.

Parámetros avanzados SSF: Ninguna modificación respecto a los ajustes de fábrica (¡importante!)P0E.06 P0E.1A P0E.2E P0E.42 Rampa de frenado -

Tiempo de retardo hasta elarranque

= 6 ms (valor mínimo ajustable)

Gestión de erroresP20.00 P20.01 P20.02 P20.03 [53-x] USFx: Condición de

seguridad vulneradaCorresponde a la reacción anteerrores necesaria para laaplicación.

Tab. 2.57 Parametrizar SSF como SLS



2.5.9 SSR – Margen de velocidad seguro (Safe Speed Range)

La función descrita aquí pone en práctica la función de seguridad SSR conforme a

EN 61800-5-2.

Utilice la función “Margen de velocidad seguro” (“Safe Speed Range”, SSR) cuando en su

aplicación deba garantizar que la velocidad del motor permanezca dentro de valores

límite establecidos.

Con la siguiente parametrización, la función segura de velocidad SSF equivale a la función de seguridad

SSR (con supervisión inmediata de la velocidad sin rampa de frenado):

Parametrizar SSF como SSRN.º de parámetro para ... Nombre Ajuste para la función de

seguridad SSRSSF0 SSF1 SSF2 SSF3

Parámetros estándar SSF

P0E.00 P0E.14 P0E.28 P0E.3C Activar SSF = 1, activar

P0E.01 P0E.15 P0E.29 P0E.3D Tiempo de retardo hasta

que se inicia la supervisión

2,0 ms

P0E.07 P0E.1B P0E.2F P0E.43 Velocidad segura - Límite

superior

Establecer velocidad límite

superior para SSR.

P0E.08 P0E.1C P0E.30 P0E.44 Velocidad segura - Límite

inferior

Establecer velocidad límite

inferior para SSR.

P0E.02 P0E.16 P0E.2A P0E.3E Tiempo para rampa de

frenado

6,2 ms, valor mínimo

P0E.03 P0E.17 P0E.2B P0E.3F Tiempo de tolerancia en

caso de sobrepasar el

valor límite

Valor predeterminado: 10 ms,

puede reducirse para una

detección de errores más rápida.

P0E.09 P0E.1D P0E.31 P0E.45 Limitar activamente la

velocidad en la unidad

básica

Puede activarse.

Parámetros avanzados SSF: Ninguna modificación respecto a los ajustes de fábrica (¡importante!)

P0E.06 P0E.1A P0E.2E P0E.42 Rampa de frenado -

Tiempo de retardo hasta el

arranque

= 6 ms (valor mínimo ajustable)

Gestión de errores

P20.00 P20.01 P20.02 P20.03 [53-x] USFx: Condición de

seguridad vulnerada

Corresponde a la reacción ante

errores necesaria para la

aplicación.

Tab. 2.58 Parametrizar SSF como SSR



2.5.10 SSM – Control de velocidad seguro (Safe Speed Monitor)

La función descrita aquí pone en práctica la función de seguridad SSM conforme a

EN 61800-5-2.

Utilice la función “Control de velocidad seguro”� (“Safe Speed Monitor”, SSM) cuando en

su aplicación necesite una señal de salida segura para indicar si la velocidad del motor

permanece por debajo de un valor límite establecido.

La parametrización de la función SSM corresponde a la de SSR; solo es necesario adaptar la gestión de

errores:

Parametrizar SSF como SSMN.º de parámetro para ... Nombre Ajuste para la función de

seguridad SSMSSF0 SSF1 SSF2 SSF3

Parámetros estándar SSF: Véase SSR, Tab. 2.58

Parámetros avanzados SSF: Véase SSR, Tab. 2.58

Gestión de errores

P20.00 P20.01 P20.02 P20.03 [53-x] USFx: Condición de

seguridad vulnerada

Dependiendo de la aplicación:

– ninguno = [0], o bien

– ninguno, solo entrada en la

memoria de diagnosis = [1]

– advertencia + entrada de la

memoria de diagnosis = [2]

Tab. 2.59 Parametrizar SSF como SSM



2.6 Funciones lógicas

2.6.1 Selector del modo de funcionamiento

Utilización

Utilice la función lógica “Selector del modo de funcionamiento” para conmutar entre

distintos modos de funcionamiento / funciones de supervisión del módulo de seguridad.

Ejemplo:

En la posición del interruptor “servicio normal” es posible una marcha normal de la

instalación, en caso de intervención en la misma tiene lugar una parada, p. ej. a través de

SS1.

En la posición del interruptor “operación de ajuste” se activa la función de seguridad SLS,

una intervención en la instalación no debe conducir a SS1, puesto que la operación de

ajuste está permitida.

Las entradas DIN45, DIN46 y DIN47 se pueden configurar como entradas para la selección del modo de

servicio. El “Selector del modo de funcionamiento” pone a disposición tres señales de mando lógicas

seguras, LIN_D45_SAFE, LIN_D46_SAFE y LIN_D47_SAFE, que se pueden utilizar para la conmutación

entre distintas funciones de seguridad.

FunciónEl estado de las tres entradas DIN45, DIN46 y DIN47 se representa 1:1 en las señales lógicas seguras

LIN_D45_SAFE, LIN_D46_SAFE y LIN_D47_SAFE.

Si las entradas DIN45 ... DIN47 están configuradas como selector del modo de funcionamiento,

exactamente una entrada debe tener un nivel High. A tal fin, la función lógica ejecuta una supervisión

1/N con supervisión del tiempo de discrepancia.

Entradas lógicas System start1) Servicio normal Estado de error

LIN_D45_SAFE 1 = LIN_D45 Último estado válido

LIN_D46_SAFE 0 = LIN_D46

LIN_D47_SAFE 0 = LIN_D47

1) Estado hasta que se detecta un estado válido o cuando la evaluación segura del selector de modos de funcionamiento no está

activa.

Tab. 2.60 Entradas lógicas del selector del modo de funcionamiento



LIN_D45_SAFE

[57-1] IO_ERR

LIN_D45

P02.00

Operating Mode Switch

TIMER+1/N LOGIC

LIN_D46

LIN_D47

P02.01

LIN_D46_SAFE

LIN_D47_SAFE

Fig. 2.26 Diagrama de bloques del selector del modo de funcionamiento


LIN_... Entradas lógicas

TIMER + 1/N LOGIC Temporizador (Timer) y 1 de n lógica

[57-1] IO_ERR Señal de error interna error 57-1


Detección de erroresSi en la función “Selector del modo de funcionamiento” durante un tiempo parametrizable ninguna o

más de una entrada tiene el nivel High, se genera un error y las señales de entrada se identifican como

no válidas.

Si las entradas DIN45 … DIN47 tienen un estado erróneo, las señales LIN_D45_SAFE, LIN_D46_SAFE y

LIN_D47_SAFE conservan el último estado sin errores detectado.

Tiempos de retardo a partir del cambio de nivel LIN_D... Mínimo Máximo Típico

LIN_D45/46/47_SAFE 2,0 ms 2,1 ms 2,0 ms

Tiempo de respuesta de error al vulnerar la condición 1/N 2,0 ms

+ P02.01

2,1 ms

+ P02.01

2,0 ms

+ P02.01

Tab. 2.62 Respuesta en función del tiempo del selector de modos de funcionamiento



Parámetros del selector de modos de funcionamiento

Selector del modo de funcionamientoN.º Nombre Descripción

P02.00 Activación DIN45..DIN47 se utilizan como selector del modo

de funcionamiento (1 de 3).

P02.01 Tiempo de discrepancia Tiempo durante el cual más de una entrada a la

vez o ninguna entrada pueden tener nivel High.

Tab. 2.63 Selector del modo de funcionamiento

2.6.2 Terminal de mando de dos manos

Utilización

La función lógica “Terminal de mando de dos manos” se utiliza en aplicaciones en las que

el operador debe habilitar el movimiento con ambas manos en cuanto ha abandonado la

zona de peligro (p. ej., aplicaciones de prensado)

UtilizaciónEl terminal de mando de dos manos suministra la señal de mando LIN_2HAND_CTRL = LIN_DIN42 OR

LIN_DIN43, con la cual se pueden conmutar funciones de seguridad a través de operaciones lógicas.

Adicionalmente supervisa la conmutación simultánea de las entradas (supervisión de tiempo de

discrepancia).

El terminal de mando de dos manos ocupa las dos entradas DIN42 y DIN43 (de dos canales A y B

respectivamente) y se puede activar solo después de seleccionar como tipo de sensor conectado

“Terminal de mando de dos manos” para las entradas de mando DIN42 y DIN43.

En el modo de funcionamiento “Terminal de mando de dos manos” las entradas individuales DIN42 y

DIN43 siguen teniendo todas las funciones “normales” (equivalencia/antivalencia, señales de prueba,

comparación cruzada con 2º procesador ...).

Función

El resultado del enlace de ambas entradas se transmite a la entrada lógica separada LIN_2HAND_CTRL.

LIN_2HAND_CTRL representa un enlace O entre LIN_D42 y LIN_D43, esto significa que solo tiene el

estado “0” cuando ambas entradas lógicas tienen el estado “0”.

LIN_2HAND_CTRL = LIN_DIN42 OR LIN_DIN43



LIN_2HAND_CTRL

[57-1] IO_ERR

LIN_D42

P02.02

Two-Hand Control Unit

TIMER+LOGIC

LIN_D43

P02.03

1

ENABLE

Fig. 2.27 Diagrama de bloques de terminal de mando de dos manos


LIN_... Entradas lógicas

TIMER + LOGIC Temporizador (Timer) y lógica

ENABLE Señal de vía libre



Detección de erroresLos estados lógicos de las entradas DIN42 y DIN43 deben coincidir entre sí. Si las entradas lógicas

difieren una de otra durante un tiempo mayor que el tiempo de discrepancia ajustable se genera un

error.

El parámetro “Tiempo de discrepancia” (P02.03) tiene que ajustarse en general con un

valor mayor que el tiempo de discrepancia para la supervisión de las entradas DIN42,

DIN43 porque con él se puentea el tiempo que necesita el usuario para pulsar o soltar las

dos teclas del terminal de mando de dos manos.

Tiempos de retardo a partir del cambio de nivel LIN_D... Mínimo Máximo Típico

LIN_2HAND_CTRL 2,0 ms 2,1 ms 2,0 ms

Tiempo de respuesta de error al vulnerar la condición de

dos manos

2,0 ms

+ P02.03

2,1 ms

+ P02.03

2,0 ms

+ P02.03

Tab. 2.65 Respuesta en función del tiempo del terminal de mando de dos manos



Parámetros del terminal de mando de dos manos

Terminal de mando de dos manosN.º Nombre Descripción

P02.02 Activación DIN42 y DIN43 se utilizan como terminal de dos

manos

P02.03 Tiempo de discrepancia Tiempo durante el cual los estados lógicos de

DIN42 y DIN43 pueden diferir uno de otro

Tab. 2.66 Terminal de mando de dos manos

2.6.3 Advanced Logic Functions – ALF

Utilización

Utilice las ALF cuando tenga que establecer enlaces más complejos entre señales de

entrada lógicas LIN_x, o cuando, por motivos de claridad, en la aplicación sea

conveniente agrupar una combinación determinada de las LIN_x como señal lógica

interna segura

Con la Advanced Logic Function se pueden enlazar entradas y salidas de forma lógica. De este modo se

pueden realizar, p. ej., combinaciones especiales de entradas. La ALF se utiliza cuando se requieren

enlaces lógicos complicados y la lógica de entrada (puerta O con 4 puertas Y preconectadas con 7

entradas cada una) de una función de seguridad no es suficiente.

Función

VOUT_ALFx_OUTVIN_ALFx_IN

Advanced Logic Function

1

P12....

Fig. 2.28 Diagrama de bloques de Advanced Logic Fuctions


VIN_x_y Entradas virtuales

VOUT_x_y Salidas virtuales


Tiempos de retardo a partir de VIN_ALFx_IN Mínimo Máximo Típico

VOUT_ALFx_OUT 2,0 ms 2,1 ms 2,0 ms

Tab. 2.68 Respuesta en función del tiempo de las Advanced Logic Functions



Parámetros de Advanced Logic-Functions

Advanced Logic FunctionsALF... N.º Nombre Descripción

ALF0 P12.00 Función de transmisión Selección de la funcionalidad (fix):

Identidad (OUT = IN) = [2]

Con la función “Identidad” la salida siempre

tiene el estado lógico de la entrada.

ALF1 P12.03 Función de transmisión



ALF4 P12.0C Función de transmisión

ALF5 P12.0F Función de transmisión



Tab. 2.69 Advanced Logic Functions

2.7 Rearranque

2.7.1 Volumen de funciones

Mediante la función “Rearranque” descrita aquí finalizan una o varias funciones de

seguridad, de modo que el actuador puede “volver a arrancar”.

En combinación con funciones seguras de movimiento, como p. ej. SLS, “Rearranque”

significa que el actuador deja de ser supervisado y se puede volver a desplazar a la

velocidad máxima.

Para cada función de seguridad, el usuario puede determinar por separado qué señal de mando debe

permitir el rearranque. A tal fin, las funciones de seguridad disponen de la entrada virtual VIN_xxx_CSF

(Clear Safety Function).

Es necesario definir un rearranque para cada función de seguridad, excepto cuando la función de

seguridad se ha parametrizado con “rearranque automático”. En este caso el rearranque tiene lugar

automáticamente en cuanto se retira la solicitud de la función de seguridad.

Un rearranque solo es posible cuando se ha retirado previamente la solicitud de la función de

seguridad. Una solicitud de una función de seguridad tiene siempre prioridad sobre el rearranque.



En el estado de entrega, la entrada de un canal DIN49 está preajustada con el tipo de

sensor “Finalizar / volver a arrancar función de seguridad” y con “Rearranque” en las

funciones de seguridad “STO” y “SBC”.

La señal LIN_D49_RISING_EDGE suministra en cada flanco ascendente (0 V -> 24 V) un

breve pulso de conmutación de 2 ms a DIN49, a través del cual se pueden restablecer las


Tiempos de retardo a partir de LIN_D49_RISING_EDGE Mínimo Máximo Típico

VIN_xxx_CSF hasta la finalización de la función de seguridad 0,0 ms 2,1 ms 2,0 ms

Tab. 2.70 Respuesta en función del tiempo del rearranque

NotaCompruebe si en su aplicación se permite una entrada de mando de un canal para el

rearranque y si esta se debe aplicar controlada por nivel o por flanco. Utilice...

– LIN_D49 cuando esté permitida una reposición controlada por nivel,

– LIN_D49_RISING_EDGE cuando sea necesaria una reposición controlada por flanco,

– una entrada de dos canales LIN_D40 hasta LIN_D43 en todos los demás casos.

NotaCompruebe si la evaluación de riesgos de la máquina requiere solicitudes adicionales

para el control del rearranque y para la diagnosis de la entrada de mando

correspondiente, p. ej. una reposición manual controlada por flanco en caso dedispositivos de protección accesibles.

2.7.2 Ejemplos y notas especiales para la implementación

Rearranque después de finalizar STOLa Fig. 2.29 muestra la estructura para la función de seguridad STO. STO se puede solicitar mediante

VIN_STO_RSF durante el funcionamiento. La solicitud de la función de seguridad STO provoca la

desconexión de la alimentación del excitador en el controlador de motor. Para volver a conectar el

actuador después de efectuar la función STO es necesario finalizar la solicitud como se describe en

� Sección 2.7.1.



VOUT_PS_EN

[54-5] STO_ERR

SS1_STO_RSF

VIN_STO_RSF

ERR_STO_RSF

VIN_STO_CSF

P0A.00

Safety Function STO

TIMERS

R

Q

STO_SBC_RSF1

1 1

P0A.0x

VOUT_STO_SFR

VOUT_STO_SSR

Fig. 2.29 Solicitud de una función de seguridad (ejemplo con STO) / rearranque

Rearranque tras acuse de recibo de errorLa gestión de errores también puede solicitar la función STO como reacción ante errores (a través de la

señal ERR_STO_RSF). La solicitud es alimentada en la función STO como se muestra en la Fig. 2.27.

Para que el actuador se ponga en marcha después de la validación del error tiene que llevarse a cabo

un rearranque a través de VIN_STO_CSF, o bien el parámetro “Rearranque automático permitido”

(P0A.00) tiene que estar activado para un rearranque automático. Esto se aplica de modo

correspondiente también a las funciones de seguridad SS1, SS2 y SBC, que se pueden configurar como

reacciones ante errores.

Rearranque después de finalizar SS1

Al final de su desarrollo, la función SS1 solicita la función STO a través de la entrada de mando

SS1_STO_RSF.

Como se muestra en la Fig. 2.29, la solicitud de STO se desactiva automáticamente cuando se ha

desactivado la solicitud de la función SS1. La solicitud de la función STO no se tiene que desactivar por

separado. Esto también es válido para la solicitud de la función SS1 en caso de error: El error tiene que

estar validado y SS1 desactivada; no es necesario desactivar STO por separado.

Rearranque después de finalizar SBCLa lógica para la solicitud y finalización de la función SBC se corresponde ampliamente con la de la

solicitud de STO (� Sección 2.5.2, Fig. 2.16).

Además de la lógica convencional, SBC también se puede controlar mediante señales de mando

directas de STO (STO_SBC_RSF) y de SS1 (SS1_SBC_RSF). Con el rearranque desde STO o SS1 también

tiene lugar automáticamente el rearranque desde SBC.

De este modo es posible implementar diferentes condiciones de rearranque, aunque se

utilicen las mismas funciones de seguridad:

– Solicitud directa de SBC, rearranque, p. ej., a través de LIN_D49_RISING_EDGE,

– Solicitud indirecta, p. ej. a través de SS1, rearranque desde SBC junto con el

rearranque desde SS1 en cuanto se cumple condición de rearranque (p. ej. LIN_D40).



Rearranque después de finalizar SS2La combinación de SS2 y SOS funciona análogamente a la combinación de SS1 y STO descrita arriba.

2.8 Gestión de errores y acuse de recibo de errores

2.8.1 Generación de errores y clases de erroresEl módulo de seguridad ejecuta las funciones de seguridad solicitadas. Se controla a sí mismo, a las

entradas y salidas y a los sensores de posición 1 y 2. En caso de vulnerar una función de seguridad o al

detectar un error, el módulo de seguridad cambia al estado de error.

En combinación con la ingeniería de seguridad funcional y el módulo de seguridad CAMC-G-S3 hay

errores que se activan desde la unidad básica, y otros que se activan desde el módulo de seguridad.

Están clasificados en clases distintas, que se distinguen por el número de error visualizado en el

visualizador digital de siete segmentos del controlador de motor.

El número se compone de un índice principal de dos caracteres (margen 51 … 59) con un subíndice

(margen 0 … 9):

Número de error

Índice

principal

Subíndice Tipo de error/clase

Error de unidad básica

51-x 9 8 7 6 5 4 3 2 1 0 Señales de mando del módulo de seguridad

incorrectas, tipo de módulo / identificador incorrectos

52-x 9 8 7 6 5 4 3 2 1 0 Error en la ejecución del pilotaje con el módulo de

seguridad

Error del módulo de seguridad

53-x 9 8 7 6 5 4 3 2 1 0 Incumplimiento de una función de seguridad

54-x 9 8 7 6 5 4 3 2 1 0 Incumplimiento de una función de seguridad

55-x 9 8 7 6 5 4 3 2 1 0 Error del sistema: Registro de valor real / sensor de

posición incorrectos

56-x 9 8 7 6 5 4 3 2 1 0 Error del sistema: Registro de posición / comparación

incorrectos

57-x 9 8 7 6 5 4 3 2 1 0 Error del sistema: Entradas y salidas o señales internas

de prueba incorrectas

58-x 9 8 7 6 5 4 3 2 1 0 Error del sistema: Comunicación externa / interna

incorrecta

59-x 9 8 7 6 5 4 3 2 1 0 Error del sistema del firmware / error de hardware del

módulo de seguridad

Tab. 2.71 Campo de bits de los números de error (gris = reservado para futuras ampliaciones)

Hallará una descripción completa de todos los errores con las posibles causas y posibles

medidas para evitarlos en � Sección 5.6.



Errores de la unidad básica:La unidad básica supervisa durante el funcionamiento la comunicación con el módulo de seguridad y la

plausibilidad de las señales de mando del módulo de seguridad. Después de la puesta en marcha, la

unidad básica comprueba que se haya montado el tipo correcto del módulo de seguridad y si ha tenido

lugar un cambio de módulo. En caso de errores, genera el correspondiente mensaje de error con

reacción ante errores parametrizable (� Descripción de funciones para CMMP-AS-...-M3,

GDCP-CMMP-M3-FW-...).

Errores del módulo de seguridadEl módulo de seguridad ejecuta las funciones de seguridad solicitadas. Se controla a sí mismo, a las

entradas y salidas y a los sensores de posición 1 y 2. En caso de vulnerar una función de seguridad o al

detectar un error, el módulo de seguridad cambia al estado de error. Por ello en el módulo de seguridad

se distingue entre

– errores en caso de vulneración de una condición de seguridad (53-x y 54-x) – el LED está encendido

permanentemente en rojo

y

– errores del sistema (55-x hasta 59-x) – el LED está intermitente en rojo (indicación LED

� Sección 2.10.2)

Los errores son generados por los distintos bloques funcionales en el módulo de seguridad:

Por ejemplo, la función de seguridad SSF genera una señal de error cuando el actuador se mueve fuera

del margen de velocidad supervisado. La señal de error también puede ser muy corta cuando el

actuador abandona el margen permitido solo brevemente.

Por ello, tanto la unidad básica como el módulo de seguridad disponen internamente de una memoria

de diagnosis. Cada error que aparece durante el funcionamiento se registra primero en dicha memoria

de diagnosis y después se guarda temporalmente.

– La memoria de diagnosis de la unidad básica puede recibir más de 200 entradas; al alcanzar este

límite se sobrescriben las entradas más antiguas.

– La memoria de diagnosis del módulo de seguridad abarca 32 entradas.

Sirve como memoria intermedia antes de que el error sea comunicado a la unidad básica y

registrado en la memoria de diagnosis permanente de esta.

La memoria de diagnosis permanente de la unidad básica se conserva también en caso de

un fallo de tensión, de modo que el historial de errores sigue estando disponible. En la

memoria permanente de diagnosis se registran otros eventos además de los errores.

Hallará una descripción detallada en � Sección 2.11.

Adicionalmente, en el visualizador digital de 7 segmentos del controlador de motor se visualiza el

número de error, que se compone de un índice principal y un subíndice. Se visualiza respectivamente el

último error generado con la prioridad más alta (número de error). Los errores posteriores con

prioridad más baja se registran también en la memoria de diagnosis, pero no se emiten en el

visualizador digital de 7 segmentos.

Un estado de error permanece hasta que es validado.



Vulneración de condiciones de seguridadLas señales “Condición de seguridad vulnerada” de las funciones de seguridad individuales se

agrupan, según la reacción ante errores parametrizada, en un mensaje común de error o en un mensaje

común de advertencia. Con ello es posible, p. ej., controlar el relé de mensajes. Los mensajes comunes

no provocan una reacción ante errores.

La reacción ante errores se determina individualmente para cada función de seguridad

� Secciones 4.6.12 y B.2.

Un error se genera una vez al vulnerar por primera vez la condición de seguridad después de la solicitud

de la función de seguridad. Una vulneración repetida de la condición de seguridad provoca de nuevo un

mensaje de error solo después del acuse de recibo del error.

La salida “Condición de seguridad vulnerada” reproduce el estado actual. Ejemplo:

1. Se solicita SLS.

2. Velocidad fuera del margen permitido } mensaje de error, salida activa.

3. Velocidad de nuevo en el margen permitido } la salida se desactiva.

4. Velocidad nuevamente fuera del margen permitido } salida activa, no hay nuevo mensaje de error.

Reacción ante magnitudes de estado erróneasMientras no se haya solicitado una función de seguridad, la validez de las magnitudes de estado (p. ej.

señal de velocidad, señal de la detección del estado de parada,...) no se supervisa ni se verifica.

Mientras se solicita o alcanza una función de seguridad se supervisala validez de las magnitudes de

estado. Cuando se detecta un error se origina el correspondiente mensaje de error “Condición de

seguridad vulnerada”.

Existe un parámetro avanzado oculto P09.00 con el que se puede activar una máscara

para excluir funciones de seguridad individuales de la generación de estados VOUT_SSR

y VOUT_SCV.

Esto puede resultar conveniente cuando se desea utilizar funciones de seguridad para

observar, p. ej. “Safe Speed Monitor, SSM”, y estas se deben ocultar en los mensajes de

estado de funcionamiento.

En caso necesario diríjase a su representante regional de Festo.



2.8.2 Parametrización de la reacción ante errores del módulo de seguridadPara muchos errores de los grupos 53-x hasta 57-x se puede configurar la reacción ante errores en un

amplio margen. Para algunos errores críticos la selección está limitada o no permitida. Cada error

genera la reacción que le ha sido asignada, independientemente del orden temporal de su aparición. Si

hay varios errores al mismo tiempo, tendrán lugar también varias reacciones ante errores

simultáneamente.

En caso de vulneración de una condición de seguridad, el módulo de seguridad tienen que iniciar una

parada definida del eje, dependiendo de la categoría de parada requerida (STO, SS1, SS2 o SBC).

En errores del sistema, el volumen de la reacción ante errores necesaria depende de si la función

segura del módulo de seguridad todavía se puede garantizar o no.

Están disponibles las siguientes reacciones ante errores (empezando por las de prioridad más alta):

[8] Solicitud de STO + SBC + poner todas las salidas digitales en “0”

[7] Solicitud de STO + SBC

[6] Solicitud de STO

[5] Solicitud de SS1 + SBC

[4] Solicitud de SS1

[3] Solicitud de SS2

[2] Generación de una advertencia (pantalla del controlador de motor), no hay más reacciones

[1] Ninguna reacción, solo entrada en la memoria de diagnosis

[0] Ninguna reacción, ninguna entrada en la memoria de diagnosis

NotaCuando hay un error, en caso de duda debe desconectarse el actuador y dejarlo sin

energía lo más rápido posible (STO), la unidad de bloqueo o el freno de sostenimiento

se deben aplicar (SBC) y se deben desconectar todas las salidas seguras; esto

corresponde a la reacción ante errores [8].

Este estado en el “Estado básico seguro” del módulo de seguridad.

– Ya no es posible suministrar energía al motor.

– Un movimiento se detiene a través de una unidad de bloqueo externa con

propiedades de freno de emergencia.

– La electrónica subsiguiente se desconecta / pasa al estado seguro.

Compruebe qué reacción ante errores es necesaria para su aplicación de seguridad; en

caso de duda seleccione la de mayor prioridad [8].



2.8.3 Lógica para acuse de recibo de error

Mediante la función “Acuse de recibo de error” descrita aquí se reponen los errores que

se hayan generado. Esta es la condición previa para un rearranque después de errores.

Por medio de un flanco ascendente de la señal de mando VIN_ERR_QUIT es posible validar los errores.

Para ello, la señal de mando tiene que conectarse a una entrada digital.

La configuración tiene lugar del mismo modo que la configuración de la solicitud o del rearranque de

una función de seguridad. Conmute una entrada de mando a VIN_ERR_QUIT y accione la entrada para

que el módulo de seguridad abandone el estado de error.

En estado de entrega y después de restablecer los ajustes de fábrica está prevista la

entrada DIN48 para la función “Acuse de recibo de error”. Los errores se validan con el

flanco ascendente (0 V -> 24 V).

Un error se puede validar (eliminar de la memoria “temporal” de diagnosis del módulo de seguridad)

únicamente cuando ya no existe la condición de error. Por ello al validarlo, el módulo de seguridad

comprueba sistemáticamente todas las condiciones de error y borra las entradas de los errores que

han sido subsanados. Los demás errores se conservan. Tras un proceso de validación terminado, el

módulo de seguridad escribe una entrada “Acuse de recibo de error” en la memoria “permanente” de

la unidad básica. Tras finalizar el acuse de recibo de errores, los errores que aún existan se registrarán

de nuevo en la memoria de diagnosis.

Al final del acuse de recibo del error en el módulo de seguridad, este envía un comando “Validar

errores” a la unidad básica, de modo que se validan los errores presentes también en la unidad básica.

Así, el módulo de seguridad posee una función de máster para la validación de errores.

– Los errores que se validan en el módulo de seguridad se validan también en la unidad

básica.

– Los números de error generados por el módulo de seguridad (de 53-x hasta 59-x) se

pueden validar exclusivamente a través del módulo de seguridad.

– En caso de un acuse de recibo de error, a través del control funcional o de I/Os, la

unidad básica solo puede validar los números de error que también han sido

generados por ella.

La validación de errores del módulo de seguridad tiene lugar exclusivamente a través de la entrada de

mando configurada para ello.

Tiempos de retardo LIN_D48 hasta ... Mínimo Máximo Típico

VIN_ERR_QUIT hasta el borrado de la memoria temporal de

diagnosis y cambio del modo de funcionamiento

4,0 ms 20 ms 10 ms

VIN_ERR_QUIT hasta el borrado de los errores en la unidad

básica y disponibilidad para el servicio de la unidad básica

20 ms 500 ms 100 ms

Tab. 2.72 Respuesta en función del tiempo del acuse de recibo de error



NotaEn caso de vulneración una condición de seguridad, el error se puede validar solo

cuando las magnitudes de estado del actuador se encuentran de nuevo en el margen

permitido.

Ejemplo - Vulneración de SOS:

Después de haber solicitado SOS, el eje se ha desplazado más allá del margen de tolerancia –>

Se genera el error [54-3] Vulneración de SOS. El error se puede validad solo después de:

– que el eje se haya desplazado de nuevo al margen permitido o (alternativamente)

– que haya finalizado la solicitud de la función de seguridad SOS (rearranque).

Como consecuencia de la vulneración de SOS se ejecuta otra función de seguridad, en este ejemplo

SS1, como reacción ante errores.

Para un rearranque después de una “Vulneración de SOS” es necesaria la siguiente secuencia:

1. Accionamiento de rearranque

–> Finaliza la función SOS, SS1 (como reacción ante errores) se sigue ejecutando

2. Acuse de recido de error

–> Borra el error “Vulneración SOS”

3. Rearranque

–> Finaliza la función de seguridad SS1 –> El eje/motor puede volver a arrancar

Los errores de las siguientes funciones de seguridad también se pueden validar con la

función de seguridad solicitada:

STO, SS1, SBC, USF/SSF con los tres atributos SLS, SSR, SSM.



2.9 Salidas digitales

2.9.1 Salidas seguras de dos canales DOUT40 … DOUT42 [X40]

Utilización

Utilice las salidas seguras de dos canales para:

– Transmitir mensajes de estado seguros a equipos de mando externos.

– Controlar dispositivos de desconexión de seguridad.

– Si están conectados continuamente se pueden utilizar como fuente para pulsos de

prueba.

Función

El módulo de seguridad dispone de tres salidas seguras DOUT40A/B, DOUT41A/B, DOUT42A/B.

Las salidas se pueden configurar libremente y se les pueden asignar diferentes funciones (función de

seguridad solicitada, estado seguro alcanzado, error ...). El estado de funcionamiento del módulo de

seguridad o funciones de seguridad individuales se pueden comunicar hacia el exterior:

– para comunicar el estado de seguridad a actuadores slave,

– para solicitar funciones de seguridad en actuadores slave con módulo de seguridad CAMC-G-S3,

– para comunicar el estado de seguridad a un control de seguridad externo o a un control funcional,

– para controlar actuadores externos seguros, p. ej. una unidad de bloqueo, una evacuación de

válvula, un cierre de puerta etc.

Diagrama de bloques

DOUT4xA

[57-0] IO_ERR

LOUT_D4x

P02.3x

DOUT40 ... DOut42

DRIVER+ TEST PULSE GENERATOR+ FEED BACK EVALUATION DOUT4xB

0VPS

+ 24V

0VPS

Fig. 2.30 Diagrama de bloques de las salidas seguras de dos canales





DRIVER + TEST PULSE GENERATOR +

FEED BACK EVALUATION

Excitador, generación de pulsos de prueba y evaluación

DOUT4...A / DOUT4...B Salidas digitales de dos canales



La activación de la salida tiene lugar mediante la selección de una o varias señales VOUT_x, que se

aplican en LOUT_D4x.

Cada salida digital segura se puede configurar como se indica a continuación (P03.30 für DOUT40):

– permanentemente DESCONECTADA (DOUT40A/B = 0 V),

– permanentemente CONECTADA (DOUT40A/B = 24 V),

– con conmutación equivalente,

– con conmutación antivalente.

La longitud de los pulsos de prueba se puede parametrizar (P03.31 para DOUT40).

Puede utilizar las salidas para supervisar sensores pasivos mediante pulsos de prueba.

Para ello, configure las salidas “permanentemente conectadas” y utilice las salidas

DOUT4x A/B para la alimentación del aparato de conexión � Sección 3.3,

Ejemplos de circuitos.

Las tablas siguientes muestran la asignación de la señal lógica LOUT_D4x al nivel de salida para salidas

de conmutación equivalente y antivalente:

Salida DOUT40/41/42 equivalente Estado de reposo Estado seguro solicitado

LOUT_D40/41/42 1 0

DOUT40A/41A/42A 24 V 0 V

DOUT40B/41B/42B 24 V 0 V

Tab. 2.74 Señales lógicas DOUT40/41/42 equivalentes

Salida DOUT40/41/42 antivalente Estado de reposo Estado seguro solicitado

LOUT_D40/41/42 1 0

DOUT40A/41A/42A 24 V 0 V

DOUT40B/41B/42B 0 V 24 V

Tab. 2.75 Señales lógicas DOUT40/41/42 antivalentes



Las salidas seguras (incluida la salida de ciclo) deben seguir siempre el principio de

corriente en reposo, esto significa que el nivel Low es el estado seguro.

El usuario debe garantizar esto durante la configuración mediante la inversión de la señal

de mando LOUT_D40, de modo que se garantice dicho principio.

El usuario debe garantizar que una salida libre de tensión conduzca al estado seguro de

todo el sistema.

Cada salida digital segura se puede utilizar también como salida de ciclo para la alimentación de

sensores pasivos; en este caso se configura como “permanentemente CONECTADA”.

Detección de erroresLos excitadores de salida están estructurados con dos canales y de manera redundante. Los niveles de

salida en DOUT4xA/B son leídos durante el funcionamiento constantemente por ambos

microcontroladores. Ambos microcontroladores emiten pulsos de prueba en las salidas, que son leídos

y evaluados alternadamente por el otro microcontrolador.

Con estas medidas se detectan de modo seguro los cortocircuitos en 24 V, 0 V y circuitos cruzados entre

salidas indistintas. En caso de error la salida pasa al estado seguro (DOUT4xA/B desconectada, o 0 V).

Se genera un mensaje de error [57-0] IO-ERR.

En caso de errores internos graves que provocan que uno o ambos microcontroladores no puedan

controlar de modo seguro el estado de las salidas, se desconectarán todas las salidas a la vez; también

en caso de salidas antivalentes ambos pins A/B se conmutarán al nivel Low.

Ejemplos de tales errores:

– tensión de funcionamiento erróneo,

– sensores de posición averiados,

– error de memoria, error Stack

– la supervisión del desarrollo del programa comunica errores, errores internos de comunicación

Diagrama de temporizaciónLa Fig. 2.31 muestra un ejemplo de la respuesta en función del tiempo al desconectar y volver a

conectar la salida DOUT40. Lo pulsos de prueba en caso de nivel High también están representados.

Están desplazados temporalmente para todas las salidas.



DOUT40A

DOUT40B

DOUT40A

DOUT40B

VOUT_x Ts < 2,5 ms

P02.31

P02.31

P02.31

P02.31

Digital Output DOUT40A/B

Equivalent (P02.30 = 1)

Antivalent (P02.30 = 2)

Ts < 2,5 ms

LOUT_D40 LOUT_D40 = NOT(VOUT_x)

Fig. 2.31 Diagrama de temporización de las salidas seguras de dos canales


VOUT_x Salidas virtuales


DOUT40A, DOUT40B Salidas digitales de dos canales

Equivalent / Antivalent Equivalente / antivalente


A partir de la activación de una salida segura transcurren los tiempos siguientes hasta que se

conmutan los pins de la salida:

Tiempos de retardo a partir de LOUT_D4x hasta el cambio denivel de salida

Mínimo Máximo Típico

Tiempo de retardo Ts 0,0 ms 2,5 ms 0,5 ms

Duración de los pulsos de prueba (P02.31, ...) 0,4 ms 10,0 ms 1,0 ms

Tab. 2.77 Tiempos de retardo DOUT40 … DOUT42



Parámetros para las salidas digitales de dos canales

N.º de parámetro para salida...

Nombre Descripción

DIN40 DIN41 DIN42

P02.30 P02.32 P02.34 Modo de funcionamiento Modo: Desconectado (0 V) /

equivalente / antivalente /

CONECTADO (24 V)

P02.31 P02.33 P02.35 Longitud de pulso de prueba Longitud del pulso de prueba

Tab. 2.78 Parámetros de salidas digitales de dos canales

2.9.2 Control interno de freno del controlador de motor [X6]

Utilización

El controlador de motor dispone de disyuntores integrados para el control seguro de

freno. Se conmutan tanto la conexión de +24 V como la conexión de 0 V del freno de

sostenimiento a través de transistores de potencia separados.

El control del freno de sostenimiento tiene lugar habitualmente de modo funcional a

través del controlador de motor. Los disyuntores, no obstante, también se pueden utilizar

en combinación con el CAMCGS3 para controlar una unidad de bloqueo o un freno de

sostenimiento a través de la función de seguridad SBC.

El control interno de freno integrado en la salida [X6] cumple los requerimientos PL d /

cat. 3 conforme a EN ISO 13849, o bien SIL 2 conforme a EN 61800-5-2.

FunciónEl módulo de seguridad interviene activamente en el control de los interruptores High Side y Low Side

en el controlador de motor. La intervención se realiza en el módulo de seguridad de modo por varias

vías a través de ambos controladores de motor a través de las señales BR+_BASEUNIT y

BR-_BASEUNIT. El estado Low de la señal respectiva conecta el transistor de potencia correspondiente;

se aplica el freno de sostenimiento.

En el estado de entrega el control de freno ya está configurado de modo que una solicitud

de la función de seguridad SBC provoca una desconexión de las señales BR+_BASEUNIT y

BR-_BASEUNIT.

Observe la polaridad de la señal de mando de la función SBC:

VOUT_SBC_BRK_ON = 1 significa que se debe aplicar la unidad de bloqueo o el freno de

sostenimiento.

Por lo tanto se debe invertir la señal de mando:

LOUT_BRAKE_CTRL = NOT(VOUT_SBC_BRK_ON)



Diagrama de bloques

BR+_BASEUNITLOUT_BRAKE_CTRL

P02.37

Internal Brake

DRIVER+ TEST PULSE GENERATOR

BR-_BASEUNIT

[57-0] IO_ERR

P02.36

Fig. 2.32 Diagrama de bloques del control seguro de freno en la unidad básica


LOUT_BRAKE_CONTROL Salida lógica control de freno

DRIVER + TEST PULSE GENERATOR Excitador y generación de pulsos de prueba

BR+_BASEUNIT/BR-_BASEUNIT Señales internas: Control interno de freno



Salida señales de mando BR+ / BR- Control seguro de freno noalimentado

Control seguro de frenoalimentado

LOUT_BRAKE_CTRL 1 0

BR+_BASEUNIT 0 1

BR-_BASEUNIT 0 1

Tab. 2.80 Logiksignale BR+_BASEUNIT/BR-_BASEUNIT

Detección de erroresMediante pulsos de prueba se comprueba la función de los conmutadores High Side y Low Side

durante el funcionamiento. La longitud de los pulsos de prueba se puede parametrizar (P02.37). La

comprobación mediante pulsos de prueba se realiza por separado para cada disyuntor en la unidad

básica siempre que el control seguro de freno recibe alimentación. La duración del pulso se puede

parametrizar. Mediante una señal de confirmación, el módulo de seguridad mide la tensión en la salida

segura de freno.

Se detectan los errores siguientes

– Contacto de BR+ a 24 V.

– Contacto de BR+ a 0 V.

En caso de error se genera el error [57-0] IO_ERR.



El control de freno integrado en la salida [X6] es adecuado para unidades de bloqueo o

frenos de sostenimiento con 24 V y un consumo de corriente de máx. 2 A

� Especificaciones técnicas de la salida de freno en la descripción del hardware

GDCP-CMMP-AS-G3-HW-...

Como alternativa se puede realizar el control de la unidad de bloqueo o del freno de

sostenimiento a través de una salida digital segura (DOUT40 hasta DOUT42) y un aparato

externo de conexión de freno � véanse los ejemplos de las secciones 3.3.5 y 3.3.6.

Diagrama de temporizaciónLa Fig. 2.33 muestra un ejemplo de la respuesta en función del tiempo al desconectar y volver a

conectar la salida de freno interna [X6]. Lo pulsos de prueba en caso de unidad de bloqueo o freno de

sostenimiento alimentados (presurizados) también están representados. Están desplazados

temporalmente.

X6.x BR+

X6.y BR-

VOUT_SBC_BRK_ON Ts < 4,0 ms

P02.37

Ts < 4,0 ms

LOUT_BRK_CONTROLLOUT_BRK_CONTROL = NOT(VOUT_SBC_BRK_ON)

P02.37

Internal Brake

Fig. 2.33 Diagrama de temporización del control de freno integrado en la unidad básica


VOUT_SBC_BRK_ON Salida virtual control de freno interno

LOUT_BRK_CONTROL Salida lógica control de freno interno

X6.x BR+ / X6.y BR- Señales en los contactos de la salida de freno en la unidad básica


A partir de la activación del freno interno transcurren los tiempos siguientes hasta que se conmutan los

pins de la salida en [X6]:

Tiempos de retardo a partir de LOUT_BRAKE_CTRL hasta elcambio de nivel en la salida de freno [X6] de la unidad básica



Duración de los pulsos de prueba (P02.37) 0,4 ms 10,0 ms 1,0 ms

Tab. 2.82 Tiempos de retardo del freno interno



Parámetros para el control seguro de freno interno

Freno internoN.º Nombre Descripción

P02.37 Longitud de pulso de prueba Longitud del pulso de prueba

Tab. 2.83 Parámetros de freno interno

2.9.3 Contacto de aviso C1, C2 [X40]

Utilización

El contacto de aviso sin potencial se utiliza preferiblemente como salida de diagnosis. A

través de él, se puede comunicar el estado de funcionamiento del módulo de seguridad a

un control de seguridad externo.

FunciónEl contacto de aviso es de un canal y no se puede utilizar como parte de una cadena de seguridad.

El contacto no dispone de contactos de conducción forzada a la supervisión orientada a la seguridad de

la función sin errores. El contacto de aviso sin potencial se puede configurar del mismo modo que una

salida segura, pero no se pueden emitir pulsos de prueba para la comprobación de entradas digitales.

Este contacto se ha ejecutado como contacto normalmente abierto. En estado de reposo / sin corriente el

contacto está abierto, igual que durante la inicialización y durante Power off/on del módulo de seguridad.

Diagrama de bloques

C1

LOUT_RELAIS

Signal Relais C1/C2

DRIVER

C2

RELAIS

Fig. 2.34 Diagrama de bloques de la salida de relé libre de potencial


LOUT_RELAIS Salida lógica de contacto de recibo

DRIVER Excitador


Salida de contacto de aviso Estado de reposo Activo

LOUT_RELAIS 0 1

Contacto C1/C2 Abierto Cerrado

Tab. 2.85 Señales lógicas de contacto de aviso



Detección de erroresEl estado del contacto de conmutación no se controla.

En estado de entrega el contacto de aviso está preconfigurado de la siguiente manera:

Contacto cerrado cuando no hay ningún error y todas las funciones de seguridad solicitadas

confirman el estado seguro (mensaje común VOUT_SSR “Safe State Reached”).

Diagrama de temporizaciónLa Fig. 2.35 muestra un ejemplo de la respuesta en función del tiempo al desconectar y volver a conectar el

contacto de aviso.

VOUTx

Signaling contact C1/C2

C1/C2

Ts < 20 msRelay Output

OPEN

Ts < 20 ms

CLOSED OPEN

Fig. 2.35 Diagrama de temporización del contacto de aviso libre de potencial


VOUTx Salida virtual

OPEN / CLOSED (Contacto por relé) abierto / cerrado


A partir de la activación del relé transcurren los tiempos siguientes hasta que se conmutan los pins de la

salida:

Tiempos de retardo a partir de LOUT_RELAIS hasta que seconecta el relé



Tab. 2.87 Tiempos de retardo de salida de relé

El contacto de aviso está diseñado como un relé en miniatura.

La vida útil y la resistencia de ciclo de conmutación del relé depende esencialmente de la

magnitud y el tipo de la carga del contacto por relé.

La Tab. A.12 en el apéndice A.1.6 describe los datos eléctricos del contacto de aviso.



2.9.4 Alimentación auxiliar +24 V [X40]La alimentación auxiliar se puede utilizar durante el uso del contacto de recibo C1/C2 o para la

alimentación de sensores activos externos.

El módulo de seguridad pone a disposición una tensión continua de 24 V en la interfaz X40 con una

capacidad de carga de 100 mA como máximo.

La salida para 24 V está protegida contra inversión de polaridad y cortocircuito mediante un PTC.

La Tab. A.13 en el apéndice A.1.7 describe los datos eléctricos de la alimentación auxiliar.



2.10 Estado operativo e indicaciones de estado

2.10.1 Estados del sistema / Máquina de estado

La Fig. 2.36 muestra las transiciones de estado del módulo de seguridad durante el arranque tras

Power-ON.

Paso de salida habilitadoSalidas sin tensión

Paso de salida bloqueadoSalidas sin tensión

Paso de salida habilitado, cuando no se vulnera ninguna condición de seguridadError del sistema

Error del sistema, no validable,p. ej. Stack, RAM, procesador,defecto de hardware

Preparado para funcionar, ningunafunción de seguridadFunción de seguridad solicitadaEstado seguro alcanzadoCondición de segurida vulneradaError del sistema validable

Funcionamiento

Iniciar sesión deparametrizaciónValidación de error

Error decomunicación

Timeout

Iniciar sesión deparametrización

Estructura decomunicación busdel sistema

Sesión deparametrizaciónen curso

Finalizarsesión deparametrización,parámetrovalidado

Finalizarsesión deparametrización,parámetro novalidado

Iniciar sesión deparametrización

Parametrizaciónde unidad básica

Cargar parámetros

No hay parámetrosdisponibles

Inicialización 2

Inicialización 1

Indicador LED

– Parámetro existente– Parámetro validado– Conjunto de parámetros =por defecto

– Ningún parámetro – Parámetro no validado– Contraseña restablecida

Fig. 2.36 Estados del “sistema completo”



Descripción de los estados del “sistema completo”– En la fase Inicialización 1 se realizan comprobaciones básicas de sistema del hardware y el software.– A continuación, el conjunto de parámetros de carga desde la memoria FLASH del módulo y se verifica:

– El módulo de seguridad comprueba si hay un conjunto de parámetros válido en el módulo deseguridad. Existe un conjunto de parámetros válido seguro cuando se han validado todos losparámetros individuales y el conjunto de parámetros completo también posee la identificación“validado”.

– Comprueba si el módulo de seguridad se encuentra en el estado de entrega. En el estado deentrega todos los parámetros individuales están validados, pero el conjunto de parámetroscompleto tiene la identificación “no validado”. Además, en el conjunto de parámetros estáactivado el identificador “Estado de entrega”.

En el estado de entrega, la unidad básica se puede poner en funcionamiento y el motor se

puede poner en marcha. El módulo de seguridad está preconfigurado con las funciones

de seguridad STO y SBC, que se pueden solicitar a través de DIN40 y ofrece así una

protección mínima � Sección 4.4.2 o 4.4.1.

– Si no están validados todos los parámetros individuales o el conjunto de parámetros completo

posee el identificador “no validado” y no presenta estado de entrega, el módulo de seguridad pasa

al estado “Service” y espera una parametrización desde el exterior.

En el estado “Servicio” el motor y la unidad básica no se pueden poner en

funcionamiento. El módulo de seguridad ha desconectado todas las salidas seguras y

también las señales de mando internas del aparato para la habilitación del paso de salida

y del freno de sostenimiento.

– Al terminar una parametrización sigue una segunda inicialización.– A continuación se establece la comunicación con la unidad básica.– Si hasta ahora no se han determinado errores y el módulo de seguridad dispone de conjunto de

parámetros válido seguro validado por completo, pasa al estado “Funcionamiento”, en el que sepueden solicitar y ejecutar funciones de seguridad. En el estado “Funcionamiento” todos losmódulos funcionan conforme a su funcionalidad especificada.

– Si se detectan errores del sistema, p. ej. un sensor de posición averiado, el módulo de seguridadpara al estado “Error del sistema”, del que solo se puede salir después de eliminar el error yvalidarlo o después de un reinicio del sistema.

La Fig. 2.37 muestra las transiciones de estado del módulo de seguridad durante el “funcionamiento”en curso.– Mientras no se solicite ninguna función de seguridad se mantiene el estado “Preparado para

funcionar”.– Cuando se solicita al menos una función de seguridad, el módulo de seguridad cambia al estado

“Función de seguridad solicitada”. La supervisión ya está activada, pero el estado seguro aún no seha alcanzado, p. ej. porque se pone en marcha una rampa de velocidad.

– Después sigue el estado “Estado seguro alcanzado”, la supervisión está activa y el actuador seencuentra en estado seguro.

– El estado “Condición de seguridad vulnerada” se adopta en caso de error. Solo se puede abandonara través del acuse de recibo de error.



Solicitar función deseguridad

No solicitada

En estas transiciones se genera un error que conduce a la reacción anteerrores parametrizada

Función de seguridadsolicitada

Finalizarsolicitud

Finalizarsolicitud

Finalizarsolicitud

Condición deseguridadvulnerada

Estado seguroalcanzado

Estado seguro alcanzado,depende de la función deseguridad respectiva

Magnitud deestado fuera /dentro del margenpermitido

Magnitud deestado fuera /dentro delmargenpermitido

Fig. 2.37 Estados de las funciones de seguridad “Funcionamiento”

Las funciones de seguridad no poseen pequeños mandos secuenciales propios y generan

mensajes de estado o de error (ejemplo: Función de seguridad SS1 � Sección 2.5.3,

Fig. 2.18). Desde los estados de error o de funcionamiento de las funciones lógicas y de

seguridad individuales se generan distintos mensajes comunes de estado.

Los mensajes comunes se implementan formalmente como salidas virtuales. Son reconducidas como

entradas lógicas correspondientes respectivamente.

Esto permite controlar salidas (p. ej. relés de aviso) en función del estado del sistema, y se pueden

controlar funciones de seguridad dependiendo del estado del sistema.

A continuación, se describen los mensajes de estado comunes.

VOUT_READY: “Preparado para funcionar, ninguna función de seguridad solicitada”

La señal “Preparado para funcionar, ninguna función de seguridad solicitada” pasa a ser “1” cuando no

hay ningún mensaje de error cuya reacción supere a una advertencia, y cuando no hay ninguna función

de seguridad solicitada.

VOUT_SERVICE: “Service”, el módulo de seguridad se tiene que parametrizarLa señal “Service” pasa a ser “1” cuando el conjunto de parámetros del módulo no es válido, cuando

hay una sesión de parametrización en curso o cuando no hay ningún conjunto de parámetros. En el

conjunto de parámetros hay un identificador con el que el módulo de seguridad puede detectar si se

trata del estado de entrega (=conjunto de parámetros estándar).



NotaSi la suma de comprobación del conjunto de parámetros es errónea, entonces se trata

de un error interno grave que conduce al estado “Error del sistema”.

VOUT_SFR: “Safety Function Requested” / “Función de seguridad solicitada”La señal “Función de seguridad solicitada” pasa a ser “1” cuando se ha solicitado al menos una función

de seguridad. Permanece activa hasta que se han restablecido todas las solicitudes.

VOUT_SSR: “Safe State Reached” / Estado seguro alcanzado”La señal “Estado seguro alcanzado” pasa a ser “1” cuando en todas las funciones de seguridad la

salida “Estado seguro alcanzado” está activa y al menos se ha solicitado una función de seguridad.

VOUT_ERROR: “System Error” / “Error interno del sistema”

La señal “Error del sistema” pasa a ser “1” cuando hay al menos un error cuya reacción está

parametrizada como superior a “Advertencia”. Están excluidos los errores de la categoría “Condición

de seguridad vulnerada” que disponen de un mensaje de error común propio.

Observación: Este es el caso cuando hay un error validable de un módulo o cuando el sistema completo

se encuentra en el estado “Error del sistema” o “Error de comunicación”.

VOUT_SCV: “Safety Condition Violated” / “Condición de seguridad vulnerada”La señal “Condición de seguridad vulnerada” pasa a ser “1” cuando hay al menos un error de la

categoría “Condición de seguridad vulnerada” en la gestión de errores y cuando la reacción ante

errores de dicho error tiene una prioridad superior a “Advertencia”.

VOUT_WARN: “Advertencia”La señal “Advertencia” pasa a ser “1” cuando hay al menos un error cuya reacción está parametrizada

como “Advertencia”. Están excluidos los errores de la categoría “Condición de seguridad vulnerada”.

VOUT_PS_EN: “Power Stage Enable” / “Preparado para conectar el paso de salida”

La señal “Preparado para conectar el paso de salida” representa directamente el estado del bloqueo

seguro de pulsos (función de seguridad STO). Es “1” cuando el módulo de seguridad ha habilitado la

alimentación del excitador, y es “0” cuando la alimentación del excitador ha sido desconectada

mediante la función de seguridad STO.



2.10.2 Indicador del estado en el módulo de seguridadPara indicar el estado de la función de seguridad el módulo de seguridad dispone de un LED en la partefrontal � Sección 5.4.1.El LED de estado muestra el estado operativo del módulo de seguridad. El indicador debe utilizarseexclusivamente para la diagnosis y no orientado a la seguridad.Si hay varios estados a la vez que tienen como consecuencia una indicación, se visualizará el estadocon la prioridad más alta; las prioridades están representadas en la Tab. 2.88.La indicación es una luz permanente o intermitente de aprox. 3 Hz.

Indicador LED Mensaje de estado Prioridad Estado del módulo deseguridad

Estado interno

Intermitenteen rojo

VOUT_ERROR = 1 7 “Error del sistema” El sistema completo seencuentra en el estado“Error del sistema” o“Error de comunicación”.

� � � � �

Encendido enrojo

VOUT_SCV = 1VOUT_SFR = 1

6 “Safety ConditionViolated”, reacciónante error iniciada

Incumplimiento de,como mínimo, una delas funciones deseguridad solicitadasactualmente.

� � � � �

Encendido enamarillo

VOUT_SSR = 1VOUT_SFR = 1

5 “Safe State Reached”,estado seguroalcanzado

Todas las funciones deseguridad solicitadas seencuentran en el estado“Estado seguroalcanzado”.

� � � � �

Intermitenteen amarillo

VOUT_SFR = 1 4 “Safety FunctionRequested”

La señal está activa encuanto se solicita almenos una función deseguridad.Permanece activa hastaque se han restablecidotodas las solicitudes.

� � � � �

Intermitenteen rojo/verde

VOUT_SERVICE = 1VOUT_PS_EN = 1

3 “Estado de entrega” El estado de entrega sepuede distinguir del“Estado de servicio”mediante VOUT_PS_EN.

� � � � �

Intermitenteen verde


2 “Estado Service” No hay parámetrosdisponibles, parámetrono válido o una sesiónde parametrización enproceso.

� � � � �

Encendido enverde

VOUT_READY = 1VOUT_PS_EN = 1

1 “Ready”, preparadopara funcionar

Preparado parafuncionar, ningunafunción de seguridadsolicitada, ningún error.

� � � � �

Apagado VOUT_READY = 0VOUT_PS_EN = 0

0 “Inicialización enproceso”

Inicialización 1: Cargarparámetro,inicialización 2:Establecimiento de lacomunicación.

� � � � �

Tab. 2.88 Estados del sistema y mensajes



2.10.3 Visualizador digital de 7 segmentos del controlador de motorEl visualizador digital de 7 segmentos del controlador de motor muestra informaciones adicionales

� Sección 5.4.2, p. ej.:

– Indicación de la función de seguridad activa.

– Indicación de mensajes de error del módulo de seguridad con números de error inequívocos. Las

funciones de parada ya solicitadas (STO, SS1, SS2, SOS) tienen una prioridad de visualización

superior que las demás funciones de seguridad � Sección 5.6.

– Visualización de una sesión de parametrización activa.

2.11 Memoria de diagnosis permanente y temporal en el controlador demotor

En la memoria permanente del controlador de motor se guardan los mensajes de diagnosis

permanentemente. Esta memoria se compone de 2 segmentos que se llenan uno tras otro. Cuando

ambos segmentos están llenos, se borra automáticamente el segmento más antiguo. De este modo se

dispone de una memoria casi circular para los mensajes guardados permanentemente.

El controlador de motor gestiona una memoria de diagnosis permanente que está depositada en la

memoria no volátil del equipo y por lo tanto se conserva también en caso de fallo de tensión / Power

Off. La memoria permanente de diagnosis sirve para a memorización no volátil de errores y otros

eventos.

La memoria permanente de diagnosis se compone de dos bloques en los que se escribe de forma

alterna. Cuando un bloque está lleno se borra el otro bloque. La arquitectura de la memoria exige que

en caso de un borrado se pierda la mitad de las entradas guardadas.

La memoria permanente de diagnosis es utilizada tanto por el módulo de seguridad como por el

controlador de motor. Las entradas del controlador de motor cargan el espacio de memoria disponible

en total. No hay ninguna reserva de espacio de memoria para el módulo de seguridad.

Los mensajes de estado y de error se introducen cronológicamente; las entradas más antiguas se

borran cuando un bloque está lleno.

En relación con el módulo de seguridad se protocolan los siguientes eventos en la memoria

permanente de diagnosis:

– Apertura de una sesión de parametrización (también intento de apertura)

– Cierre de la sesión de parametrización

– Modificación / restablecimiento de la contraseña

– Memorización del conjunto de parámetros en el módulo de seguridad

– Errores y advertencias

– Acuse de recibo de errores

– Solicitud de una función de seguridad (activable)

La creación de un protocolo de la solicitud de una función de seguridad está desactivada

de fábrica; en caso necesario se puede activar mediante el parámetro P20.4A.



Una entrada en la lista de errores se representa de la siguiente manera en el FCT:

N.º Fault No.(N.º fallo)

Fault Description(Descripción del fallo)

Timestamp(Tiempo

registrado)

Constant(Constante)

Free Parameter(Parámetro libre)

Type(Tipo)

1 00-21 Entrada de registro del


580:15:03 0 x 0000 Error validado, fuente:

0x01, sin errores

Error

2 00-8 Controlador conectado 580:15:00 0x0000 0 x 0000 Error

3 00-12 Cambio de módulo:

Módulo actual

580:15:22 0 x 4830 CAMC-G-S3, S/N:

1212820487, rev. HW:

1.0, rev. Rev.: 1.0

Error


Módulo anterior

580:15:22 0x48FF CAMC-DS-M1, S/N:

3781764777, rev. HW:

0.1, rev. Rev.: 0.1

Error

... ... ... ... ... ... ...

Tab. 2.89 Ejemplo de entradas en la memoria permanente de diagnosis de la unidad básica con

mensajes de error del módulo de seguridad

Una entrada en la memoria permanente de diagnosis contiene las siguientes informaciones:

– Número de orden

– Número de estado o de error, compuesto de un índice principal y un subíndice, con descripción

resumida

– Parámetros de diagnosis es representación hexadecimal:

1 x 16 bits constante

1 x 32 bits parámetros libres (significado dependiente del error)

– Registro de tiempo, hora actual del sistema del contador de horas de servicio del controlador de

motor

Los mensajes de error del módulo de seguridad contienen, dado el caso, más información adicional que

se representa en una entrada subsiguiente. Así, la entrada n.º 2 contiene la información adicional para

la entrada de error n.º 1.

En caso de consultas de asistencia técnica documente siempre toda la información de

errores, en particular los parámetros de diagnosis y las entradas subsiguientes.

Los parámetros de diagnosis contienen informaciones internas, p. ej. acerca de en qué

módulo de programa y bajo qué condiciones ha aparecido el error. Dichas informaciones

están previstas para el fabricante y, bajo determinadas circunstancias, pueden ser útiles

para solucionar el problema.

Es posible leer la totalidad de la memoria de diagnosis del equipo y exportarla a un

archivo CSV. El archivo contiene entonces todo el historial de errores del aparato y se

puede utilizar para la explicación de errores y para consultas de asistencia técnica.



2.12 Respuesta en función del tiempo

2.12.1 Tiempos de detección

El módulo de seguridad trabaja con una detección cíclica de todas las magnitudes de entrada y salida.

La detección se realiza con dos frecuencias de ciclo fijas � Tab. 2.90.

Ciclo Frecuenciade detección

Tiempo deciclo

Función

TSample Típ. 8 KHz Típ. 125 μs El ciclo se sincroniza internamente en el ciclo de

regulación de detección de la unidad básica, margen

TSample = 100 μs – 200 μs

– Detección de todas las entradas y salidas

– Evaluación de los sensores de posición

– Dimensionamiento del filtro

– Generación de los pulsos de prueba

– Comunicación interna

TLogic 500 Hz 2 ms Ciclo de detección fijo para funciones de seguridad

– Dimensionamiento de las funciones de seguridad

– Dimensionamiento de las funciones lógicas

– Máquina de estado, gestión de errores

– Ciclo de señal LIN_x -> VOUT_x

Tab. 2.90 Tiempos de detección del módulo de seguridad

La detección de las señales de entrada está sujeta por ello a una inestabilidad máxima de

TLogic + TSample. Una señal de entrada se detecta de forma inmediata si es posible, a más

tardar tras 2,125 ms. El inicio de la función de seguridad también está sujeta a dicha

inestabilidad en relación con la señal de entrada. La inestabilidad se tiene en cuenta en

los tiempos de respuesta especificados para los bloques funcionales individuales.

2.12.2 Tiempo de respuesta al solicitar una función de seguridad

El tiempo de respuesta del módulo de seguridad se compone de tres componentes (Fig. 2.38):

DOUT40A/BINPUT FILTER+LOGIC

Safety Functions

Safety Function

STO

Logic

......

...

LIN_D40

VIN_x_yLIN_x

VOUT_STO_SFR

VOUT_x

VOUT_STO_SSR

DIN40A/B Output Driver +Test Pulse Unit

Logic

LOUT_x

...

TI TL TO

Fig. 2.38 Tiempos de respuesta del módulo de seguridad (representación esquemática, detalle de la

Fig. 2.3)



TI : Tiempo desde el cambio de señal en la entrada hasta la representación del estado de entrada en

la señal lógica de entrada LIN_x. El tiempo depende de los ajustes del filtro de entrada

� Sección 2.4.

TL : Tiempo para la ejecución de la función lógica o de seguridad de LIN_x hasta la emisión del

estado en VOUT_x. El tiempo depende de los ajustes de las funciones lógicas y de seguridad,

especificados en � Secciones 2.5 y 2.6.

TO : Tiempo para la emisión de las informaciones de estado VOUT_x en las salidas digitales.

El tiempo depende del retardo de conmutación de las salidas � Sección 2.8.

Si reconduce las señales de salida VOUT_x a las entradas LIN_x, debe tener en cuenta

que se da un tiempo de ejecución adicional de TLogic.

Ejemplo: Uso de las funciones lógicas ampliadas para la solicitud de una función de

seguridad a través de la señal LIN_ALFx_OUT.

� Si es posible, las funciones de seguridad deberían solicitarse directamente para

minimizar los tiempos de ejecución.

El tiempo de respuesta resultante hasta la ejecución de la función de seguridad se compone de:

Tres = TI + TL

Ejemplo: Solicitud de STO a través de DIN40, solicitud rápida P02.08 activada

Tiempos de respuesta Mínimo Máximo Típico

Especificación para TI para DIN4x de la Tab. 2.20, sección 2.4.2

Tiempo de respuesta cuando “Detección rápida de la solicitud” =

1 (P02.08/P02.0D/P02.12/P02.17 = 1)

0,5 ms 2,5 ms 1,5 ms

Especificación para TL para STO de la Tab. 2.29, sección 2.5.1

Tiempo de respuesta hasta la desconexión de la alimentación del

excitador de unidad básica y paso de salida DESCONECTADO

2,5 ms 4,5 ms 3,5 ms

Total: 3,5 ms 7,0 ms 5,0 ms

El tiempo hasta el mensaje de estado que indica función de seguridad solicitada resulta de

Tres = TI + TL + TO

Ejemplo: Solicitud de SOS a través de DIN40, P02.08 =0, P02.04 = 3 ms, P0B.00 = 2 ms


Especificación para TI para DIN4x de la Tab. 2.20, sección 2.4.2

Tiempo de respuesta sin “Detección rápida de la solicitud” y

3 ms de tiempo de filtrado

3,5 ms 5,5 ms 4,5 ms

Especificación para TL para SOS de la Tab. 2.50, sección 2.5.5

Emisión de VOUT_SOS_SSR con P0B.00 = 2 ms 4,0 ms 4,1 ms 4,0 ms

Especificación para TO a través de DOUT40 de la Tab. 2.77, sección 2.9.1


Total: 7,5 ms 12,1 ms 9,0 ms



2.12.3 Tiempo de respuesta en caso de vulnerar una función de seguridadEl tiempo de respuesta del módulo de seguridad cuando se generan movimientos peligrosos o en caso

de avería de un sensor de posición se compone también de tres componentes (Fig. 2.39):

DOUT40A/B

Safety Function

SS1

Logic

......

... VOUT_STO_SFR

VOUT_STO_SSR

Output Driver +Test Pulse Unit

Logic

...

TF TL TO

Fig. 2.39 Cálculo de la velocidad y de la aceleración (representación esquemática, detalles de la

Fig. 2.5 y la Fig. 2.3)

TF : Tiempo desde que se genera el movimiento peligroso hasta la representación en el módulo de

seguridad (filtro para señales de velocidad), o tiempo hasta la detección del sensor de posición

averiado � Tab. 2.10, sección 2.3.4.

TL : Tiempo para la ejecución de la función lógica o de seguridad de LIN_x teniendo en cuenta los

tiempos tolerados que pueda haber hasta la emisión de la señal de error VOUT_xxx_SCV

� Sección 2.5.

TO : Tiempo para la emisión de las informaciones de estado VOUT_x en las salidas digitales. El

tiempo depende del retardo de conmutación de las salidas � Sección 2.8.

Detección de un movimiento peligroso: El tiempo de respuesta hasta la detección interna del módulo

de la vulneración resulta de:

Tres = TF + TL

Ejemplo: Función de seguridad SSF0, con atributo SLS, tiempo tolerado P0E.03 = 4 ms

Configuración de sensores con filtro de revoluciones P06.08 = 8 ms


Detección del movimiento peligroso TF

Retardo de la señal en el filtro de revoluciones, P06.08 8,0 ms 8,1 ms 8,0 ms

Función de seguridad SS0, TL

Tiempo de respuesta teniendo en cuenta el tiempo tolerado

P0E.03

4,0 ms 6,0 ms 5,0 ms

Total: 12,0 ms 14,1 ms 13,0 ms

Detección de un movimiento peligroso: El tiempo hasta la emisión segura del mensaje de estado

indicando que se ha vulnerado la función de seguridad resulta de

Tres = TF + TL + TO



Ejemplo: Como el anterior, emisión a través de DOUT40






P0E.03 = 4 ms

4,0 ms 6,0 ms 5,0 ms

Especificación para TO a través de DOUT40 de la Tab. 2.77, sección 2.9.1


Total: 12,0 ms 16,6 ms 13,5 ms

Detección de un movimiento peligroso: El tiempo desde que aparece un movimiento peligroso hasta la

reacción ante error (aquí STO) y hasta la desconexión segura del paso de salida resulta de

Tres = TF + TL,SSF0 + TL,STO

Ejemplo: Como el anterior, desconexión del actuador a través de la reacción ante error STO






P0E.03 = 4 ms

4,0 ms 6,0 ms 5,0 ms




2,5 ms 4,5 ms 3,5 ms

Total: 14,5 ms 18,6 ms 16,5 ms

Detección de un sensor de posición averiado. El tiempo desde que aparece un error en el sensor de

posición hasta la reacción ante error (aquí STO) y hasta la desconexión segura del paso de salida

resulta de

Tres = TF + TL,STO

Ejemplo: Detección de error de sensor, desconexión del actuador a través de la reacción ante error STO


Detección del error de sensor TF

Detección de errores en la evaluación de sensores 10,0 ms 10,1 ms 10,0 ms




2,5 ms 4,5 ms 3,5 ms

Total: 12,5 ms 14,6 ms 13,5 ms



2.12.4 Otros tiempos para la detección de errores y comunicaciónOtros tiempos de retardo / tiempos de reacción ante errores correspondientes en la Tab. 2.91.

Descripción Tiempo TF máximo

Se solicita la función de seguridad, las magnitudes de estado

no están disponibles Condición de seguridad vulnerada

2 ms

Entrada: Fallo “stuck-at” detectado, ausencia de pulsos de

prueba

< 16 s

Salida: Fallo “stuck-at” detectado, ausencia de pulsos de

prueba

< 16 s

Entradas de dos canales:

Error de equivalencia / antivalencia en la entrada

(tiempo de discrepancia)

Parametrizable, típico 100 ms

(P02.05, P02.0A, P02.0F, P02.14)

Terminal de mando de dos manos:

Vulneración de tiempo simultaneidad (tiempo de discrepancia)


(P02.03)

Selector del modo de funcionamiento:

Vulneración 1 de N (tiempo de discrepancia)


(P02.01)

Error RAM, error Flash, error Stack, error de CPU, error de

ejecución de programa

Según el tipo de error 2 ms … 8 h

La comparación cruzada de datos μC1 / μC2 suministra errores < 16 s

Tensión de funcionamiento incorrecta: Tiempo entre la

aparición del error y la generación de la reacción

≤ 2 ms

Transductor angular digital: Error de comunicación, error de

ciclo de cuatro partes (paquetes EnDat incorrectos o faltan)

≤ 2 ms

Otro transductor angular [X2B]: Tiempo de retardo para la

determinación de datos desde la unidad básica

≤ 400 μs, típico 250 μs

Transmisión de los límites de valor nominal

(las funciones de seguridad controlan límites de valor nominal

en el controlador de motor)

≤ 2 ms

Tab. 2.91 Otros tiempos de retardo / tiempos de reacción ante errores

2.13 Interruptores DIL

En la parte frontal de módulo de seguridad hay microinterruptores. Estos no tienen ninguna función de

seguridad. El significado de cada microinterruptor depende de la interfaz utilizada para la

comunicación con el bus de campo. Con ayuda de los microinterruptores es posible activar/desactivar

la comunicación con el bus de campo y, p. ej., configurar una dirección de participante.

Hallará informaciones sobre el ajuste de los interruptores DIL en la

� Descripción “Montaje e instalación”, GDCP-CMMP-M3-HW-...

3 Montaje e instalación



3.1 Montaje y desmontaje

El módulo de seguridad CAMC-G-S3 es adecuado exclusivamente para la integración en el controlador

de motor CMMP-AS-…-M3. No se puede hacer funcionar fuera del controlador de motor.

AdvertenciaPeligro de descarga eléctrica en el módulo de seguridad no montado.

El contacto con piezas bajo tensión causa lesiones graves y puede provocar la muerte.

Antes de tocar piezas bajo tensión durante trabajos de mantenimiento, reparación y

limpieza, así como durante interrupciones prolongadas de la operación:

1. Dejar sin tensión el equipo eléctrico mediante el interruptor principal y asegurarlo

contra reconexiones.

2. Tras la desconexión se debe esperar 5 minutos de tiempo de descarga y comprobar

que no hay tensión antes de acceder al controlador.

NotaDaños en el módulo de seguridad o en el controlador de motor por una manipulación

inadecuada.� Desconecte las tensiones de alimentación antes de los trabajos de montaje e

instalación. Vuelva a conectar las tensiones de alimentación solo cuando los

trabajos de montaje e instalación hayan finalizado por completo.

� ¡Nunca desenchufe ni enchufe el módulo de seguridad del controlador de motor

mientras esté bajo tensión!

� Observe las especificaciones sobre manipulación de componentes sensibles a las

descargas electrostáticas. No toque los componentes ni las pistas conductoras del

circuito impreso ni los pines de la regleta de terminales del controlador de motor.

Agarre el módulo de seguridad únicamente por la placa frontal o el borde del

circuito impreso.



Montaje del módulo de seguridad1. Insertar el módulo de seguridad en las guías.

2. Apretar los tornillos. Respetar el par de apriete de

0,4 Nm ± 10%.

Resultado: la placa frontal tiene contacto conductor con la

carcasa.

Desmontaje del módulo de seguridad1. Extraer los tornillos.

2. Aflojar varios milímetros el módulo de seguridad

ejerciendo palanca ligeramente en el panel frontal o

tirando del contraconector y extrayéndolo de la posición

de enchufe. Fig. 3.1 Montaje y desmontaje



3.2 Instalación eléctrica

3.2.1 Instrucciones de seguridad

Advertencia¡Peligro debido a merma de la función de seguridad!

En instalaciones de maquinaria sin actuación de fuerzas externas en principio se

presupone que la pérdida de energía conduce al estado seguro (principio de corriente

en reposo). Esto se debe mostrar/confirmar mediante el análisis de riesgos y peligros

de la aplicación.

La ausencia de función de seguridad puede causar daños graves irreversibles, p. ej.

debido a movimientos inesperados de la técnica de los actuadores conectados.

� Asegúrese de que, conforme a su aplicación haya una fuente de alimentación segura

o disponga las medidas correspondientes.

Para la instalación se deben cumplir los requerimientos de la norma EN 60204-1. Si esto no fuera

posible puede realizarse, p. ej., una exclusión de errores por medido de un dispositivo de desconexión

de seguridad con detección de circuitos cruzados.

AdvertenciaPeligro de descargas eléctricas en fuentes de tensión sin medidas de seguridad.

� Para la alimentación eléctrica de la lógica, utilice exclusivamente circuitos PELV

conforme a EN 60204-1 (PELV = Protective Extra-Low Voltage).

� Preste atención a las exigencias generales para circuitos PELV de conformidad con

EN 60204-1.

� Utilice exclusivamente fuentes de alimentación que garanticen una desconexión

electrónica segura de la tensión de funcionamiento de otros circuitos activos

conforme a la EN 60204-1.

Utilizando fuentes de alimentación PELV se garantiza la protección contra posibles descargas eléctricas

(protección contra contacto directo e indirecto) según la norma EN 60204-1. La unidad de red de 24 V

utilizada en el sistema debe dominar la interrupción de tensión definida en la norma EN 60204-1.

La conexión de los cables se realiza con conectores. Esto permite, p. ej., que los cables permanezcan

en los conectores durante la sustitución del módulo de seguridad.

Asegúrese de que no se puedan utilizar puentes o similares paralelamente al cableado de

seguridad, p. ej. mediante el uso de la sección de los hilos máxima de 1,5 mm² o de

fundas terminales de cable con collar aislante adecuadas.

Para el enlazado de cables entre aparatos vecinos utilice fundas terminales de cable

gemelas.

Protección ESD

En los conectores enchufables sin asignar hay riesgo de que se produzcan daños en el aparato o en

otras partes de la instalación, como resultado de la ESD (descarga electrostática). Antes de la

instalación, ponga a tierra todas las partes del sistema y use equipamiento ESD apropiado (p. ej.

bandas de toma a tierra, etc.).



3.2.2 Tierra funcionalSi utiliza un cable de conexión apantallado para [X40]:

La parte no apantallada del cable debe ser lo más corta posible ( 50 mm), para la conexión pantallada

utilice una cinta de puesta a tierra corta con conector plano de 6,3 mm.

Enchufe el conector plano de la conexión apantallada en la conexión prevista para ello para la tierra

funcional (� Fig. 2.1 en la sección 2.1.4, conexión 7 ).

3.2.3 Conexión [X40]El módulo de seguridad CAMC-G-S3 dispone de una interfaz combinada para control y acuse de recibo

a través del conector enchufable [X40].

– Ejecución en el aparato: PHOENIX MINICOMBICON MC 1,5/8-GF-3,81 BK

– Conector (incluido en el suministro): PHOENIX MINICOMBICON MC 1,5/8-STF-3,81 BK

El juego de contraconectores, compuesto de contraconectores para X40A y X40B también

se puede pedir por separado: Surtido de conectores tipo clavija NEKM-C-9.



Conector Pin Nombre Descripción (ajuste de fábrica1))

X40A X40B Conector enchufable X40A

1 DIN40A Entrada digital 40 de dos canales

(ajuste de fábrica: Aparato de conexión de parada de

emergencia, solicitud de STO y SBC)2 DIN40B


4 DIN42B

5 DOUT40A Salida digital 40 de dos canales

6 DOUT40B

7 DIN44 Entrada digital 44

(ajuste de fábrica: Acuse de recibo freno)

8 DIN45 Entradas digitales 45, 46, 47

(ajuste de fábrica: Selector del modo de funcionamiento)9 DIN46

10 DIN47


(ajuste de fábrica: Acuse de recibo del error).


(ajuste de fábrica: Terminar función de seguridad con

flanco ascendente).

Conector enchufable X40B


14 DIN41B


16 DIN43B


18 DOUT41B


20 DOUT42B

21 C1 Contactos de aviso, contactos por relé

(ajuste de fábrica: Estado seguro alcanzado, ninguna

condición de seguridad vulnerada).

– Abierto: “Funciones de seguridad no activas”

– Cerrado: “Funciones de seguridad activas”

22 C2

23 GND24 0 V, potencial de referencia para DINx / DOUTx / +24 V

24 +24 V Salida 24 V, alimentación auxiliar, p. ej. para una periferia

segura (alimentación de la lógica 24 V DC del controlador

de motor).

1) Función en estado de entrega o después de restablecer los ajustes de fabrica (parametrización previa)

Tab. 3.1 Distribución de conectores [X40]

Para garantizar las funciones de seguridad se deben conectar las entradas de mando STO-A y STO-B en

dos canales con cableado paralelo, véase ejemplo en Fig. 3.2.



3.2.4 Circuito de protección mínimo para la primera puesta a punto [X40]

Nota¡Merma de la función de seguridad!


debido a movimientos inesperados de la técnica de los actuadores conectados.

� Antes de la primera puesta a punto, determine qué funciones de seguridad son

necesarias durante la fase de puesta punto para garantizar la seguridad del sistema

también en esta fase antes de la entrega.

¡En general, se necesita, como mínimo, una función de parada de emergencia

segura!

La puesta a punto según la Directiva de Máquinas es el primer uso conforme a lo previsto

de la máquina por el usuario final. En este caso, se trata de la puesta a punto por el

fabricante de la máquina durante el montaje de la misma.

Si en la fase de puesta a punto (todavía) no se requiere un circuito de protección orientado a la

seguridad, se puede utilizar el módulo de microinterruptores CAMC-DS-M1. El CAMC-G-S3 se puede

integrar entonces en el controlador de motor solo después de la puesta a punto funcional de los ejes.

Si en la fase de puesta a punto solo se necesitan las funciones de seguridad STO y SBC (parada de

emergencia), la primera puesta a punto del controlador de motor CMMP-AS-...-M3 con el módulo de

seguridad CAMC-G-S3 debería realizarse con un circuito de protección mínimo conforme a Fig. 3.2

(� Sección 3.3.1) con un interruptor de parada de emergencia ( 2 ). Utilice para ello un módulo de

seguridad que se encuentre en el “estado de entrega” (intermitencia rojo/verde � � � � � ),

� Sección 2.10.2, Tab. 2.88). En el estado de entrega las funciones de seguridad STO y SBC ya están

preparadas.

NotaLas funciones de seguridad nunca se deben puentear.

Ejecute los circuitos de protección mínimos para la primera puesta a punto de modo que se tengan que

retirar obligatoriamente cuando se establezca un circuito de seguridad definitivo.

Hallará más ejemplos de conexiones eléctricas con descripciones detalladas en las

secciones siguientes.



3.3 Ejemplos de circuitos

En los siguientes ejemplos de circuitos se representa respectivamente un controlador de

motor CMMP-AS-C...-3A-M3 de una fase. Para controladores de motor trifásicos es

necesario adaptar el circuito de protección de [X9] de forma correspondiente.

Se representa en cada caso solo una unidad de entrada / aparato de conexión. ¡Sin

embargo se pueden utilizar las cuatro entradas de dos canales para la solicitud de

funciones de seguridad!

NotaLos siguientes ejemplos de circuitos utilizan, en parte, sensores pasivos, como p. ej.

interruptores de parada de emergencia, que se supervisan mediante señales de ciclo

externas. Las salidas digitales del módulo de seguridad deberían utilizarse como fuente

para dichas señales de ciclo. Con ello es posible la detección de los errores siguientes:

– Los cortocircuitos entre las entradas A y B, en el circuito de salida (DOUT4x) y en el

circuito de entrada (DIN4x).

– Cortocircuitos de un circuito contra 0 V o +24 V.

Los cortocircuitos entre entrada y salida del sensor pasivo no se detectan o se detectan

solo en caso de accionamiento (a través de la supervisión de discrepancia). Por este

motivo al realizar el cableado del sistema deben tomarse medidas para evitar este error

(exclusión de errores).



3.3.1 Requisitos de seguridad a través de aparatos con contactos de conmutaciónLa función de seguridad (p. ej. STO – desconexión segura del par o SS1 – parada segura 1) se activa

mediante una unidad de entrada para los requisitos de seguridad. El requisito de seguridad se realiza

por 2 canales a través de la unidad de entrada S1 y conduce a una desconexión por 2 canales del paso

de salida del controlador de motor.

N

T1Festo CMMP-AS-...-3A-M3

con CAMC-G-S3

1 2 7 8 9

L

PE

+24

V

GN

D24

VN

-X9

219

DIN

4

DIN

5-X

1

-X40

21 22

C1 C2

S1S1 1

2

1

42

1 2

DIN

40A

DIN

40B

19 20

DO

UT4

2A

DO

UT4

2B

13

14

12

DIN

49

S3

11

DIN

48

S2

L

PE

24 V DC0 V DC

13

14

33

4

Solo se representan las conexiones relevantes

Entr

ada

PLC:

R

etro

seña

l Saf

ety

T1

Salid

a PL

C:

Hab

ilita

ción

del

regu

lado

r T1

Sal

ida

PLC:

H

abili

taci

ón d

e pa

so

de s

alid

a T1

1

2

3

1 T1: Controlador de motor con módulo deseguridad (solo se representan lasconexiones relevantes)

2 S1: Unidad de entrada, p. ej. interruptor deparada de emergencia

3 S1: Unidad de entrada, p. ej. puertaprotectora

Fig. 3.2 Ejemplo de conexiones con contactos de conmutación

Notas sobre el ejemplo de circuito:– En el circuito de entrada para los interruptores S1, para el pulsador de confirmación S2 y para el

pulsador de arranque S3 tiene lugar una detección del circuito cruzado mediante el módulo de

seguridad CAMC-G-S3.

– Al accionar el pulsador de arranque S3 tiene lugar el rearranque.

– Si el módulo de seguridad CAMC-G-S3 detecta una vulneración de una condición de seguridad, p. ej.

en el cableado de la conexión, pasa al estado de avería. El acuse de recibo del error tiene lugar a

través del pulsador de confirmación S2.

– El contacto de recibo C1/C2 debería ser interrogado a través del control.

– El circuito de protección de entrada presenta una estructura de 2 canales que es adecuada para la

categoría 4.

– Dependiendo del margen de aplicación y del concepto de seguridad de la máquina se requieren

otras medidas.



3.3.2 Requisitos de seguridad a través de aparatos con salidas de semiconductoresLa función de seguridad se puede solicitar a través de diferentes dispositivos. El interruptor S1 puede

ser una barrera de luz o un dispositivo de desconexión de seguridad con salidas de semiconductores. El

requisito de seguridad tiene lugar por 2 canales a través del interruptor S1. Si la función de seguridad

está activa, esto se emite en el ejemplo a través del contacto libre de potencial C1/C2.

1 2 7 8 9

L

PE

+24

V

GN

D24

VN

-X9

219D

IN4

DIN

5-X

1

-X40

21 22

C1 C2

1 2

DIN

40A

DIN

40B

19 20

DO

UT4

2A

DO

UT4

2B

sender receiver

OSS

D1

OSS

D2

S1 1

42

13

14

12

S3

DIN

49

11

S2D

IN48

N


con CAMC-G-S3

L

PE

24 V DC0 V DC


Entr

ada

PLC:

R

etro

seña

l Saf

ety

T1Sa

lida

PLC:

H

abili

taci

ón d

el re

gula

dor T

1S

alid

a PL

C:

Hab

ilita

ción

de

paso

de

sal

ida

T1

13

14

3

1

2


2 S1: Unidad de entrada, p. ej. barrerafotoeléctrica

Fig. 3.3 Ejemplo de circuito de aparato con salidas de semiconductores

Notas sobre el ejemplo de circuito:

– En el circuito de entrada para los interruptores S1 la detección del circuito cruzado tiene lugar

mediante la barrera de luz S1.

– En el circuito de entrada para el pulsador de arranque S3 y el pulsador de confirmación S2 tiene

lugar una detección del circuito cruzado mediante el módulo de seguridad CAMC-G-S3.

– Al accionar el pulsador de arranque S3 y el pulsador de confirmación S2 tiene lugar el rearranque.




– El contacto de recibo C1/C2 debería ser interrogado a través del control.


categoría 4.


otras medidas.



3.3.3 Requisito de seguridad a través de un dispositivo de desconexión de seguridadSi se necesitan más de cuatro aparatos de comandos de seguridad (S1) o se debe utilizar un control de

seguridad externo, el controlador de motor (T1) también se puede controlar a través de otros aparatos

de comandos de seguridad.

La función de seguridad se puede solicitar a través de diferentes dispositivos. El requisito de seguridad

tiene lugar por 2 canales a través del interruptor S1 y es evaluado por el dispositivo de desconexión de

seguridad S2 (relé de seguridad, PLC de seguridad). Si la función de seguridad está activa, esto se

emite en el ejemplo a través del contacto libre de potencial C1/C2.

1 2 7 8 9

L

PE

+24

V

GN

D24

VN

-X9

219

DIN

4

DIN

5-X

1

-X40

21 22

C1 C2

1 2

DIN

40A

DIN

40B

19

DO

UT4

2A

T2 1

42

S1

sender receiver

OS

SD

1

OS

SD

2

S1

S1

20

DO

UT4

2B

13

14

11

S2

DIN

48

3

N


con CAMC-G-S3

L

PE

24 V DC0 V DC


Salid

a PL

C:

Hab

ilita

ción

del

regu

lado

r T1

Salid

a PL

C:

Hab

ilita

ción

de

paso

de

sal

ida

T1Dispositivo dedesconexión deseguridadCi

rcui

to d

e en

trad

a

Circ

uito

de

reto

rno

1

2

3

4

5

PE


2 S1: dispositivo de desconexión de seguridad

3 S1: Barrera fotoléctrica4 S1: Puerta protectora5 S1: Interruptor de parada de emergencia

Fig. 3.4 Ejemplo de circuito con dispositivo de desconexión de seguridad

Notas sobre el ejemplo de circuito:

– En el circuito de entrada para los interruptores S1, la detección del circuito cruzado tiene lugar

mediante el dispositivo de desconexión de seguridad T2. Si para la aplicación se requiere un

pulsador de arranque, este se conecta también al dispositivo de desconexión de seguridad T2. Para



el pulsador de confirmación S2 tiene lugar una detección del circuito cruzado mediante el módulo

de seguridad CAMC-G-S3.

– Cuando se utiliza un dispositivo de desconexión de seguridad, las funciones de seguridad en el

CAMC-G-S3 se parametrizan con “rearranque automático tras retirar la solicitud”.




– El contacto de recibo C1/C2 se integra en el circuito de retorno del dispositivo de desconexión de

seguridad.


categoría 4.


otras medidas.



3.3.4 Encadenamiento de varios CMMP-AS-…-M3 con CAMC-G-S3La función de seguridad se activa mediante una unidad de entrada para los requisitos de seguridad paraambos controladores de motor. El requisito de seguridad se realiza por 2 canales a través de la unidad deentrada S1 y conduce a una desconexión por 2 canales del paso de salida de los controladores de motor T1y T2. Cuando se ha alcanzado el estado seguro en ambos controladores de motor, esto se emite a través deun contacto libre de potencial C1-C2 de los controladores de motor T1 y T2.

12

78

9

L

PE

+24 V

GND24V

N

-X9

219

DIN4

DIN5-X1

-X40

21 2

2

C1

C2

S11 2 1

2

DIN40A

DIN40B

19 2

0

DOUT42A

DOUT42B

13

12

78

9

L

PE

+24 V

GND24V

N

-X9

219

DIN4

DIN5-X1

-X40

C1

C2

12

DIN40A

DIN40B19

20

DOUT42A

DOUT42B

12 DIN49

5 DOUT40A

DOUT40B

14

12

S3

DIN49

13 14

11

S2

DIN48

11 DIN48

21 2

25

6DOUT40A

DOUT40B

13 1

4

DIN41A

DIN41B

3 4

N

T2Fe

sto

CMM

P-A

S-.

..-3A

-M3

con

CA

MC-

G-S

3

L PE

24 V

DC

0 V

DC

Sol

o se

rep

rese

ntan

las

cone

xion

es r

elev

ante

s

Salida PLC: Habilitación del regulador T2

Salida PLC: Habilitación de paso de salida T2

Uni

dad

deen

trad

a pa

rare

quis

itos

de

segu

rida

d

Entrada PLC: Retroseñal Safety T1 y T2

Salida PLC: Habilitación delregulador T1

Salida PLC: Habilitación depaso de salida T1

T1Fe

sto

CMM

P-A

S-.

..-3A

-M3

con

CA

MC-

G-S

3

Sol

o se

rep

rese

ntan

las

cone

xion

es r

elev

ante

s6

1

2

1

1 T1/T2: Controlador de motor con módulo deseguridad (solo se representan las conexionesrelevantes)

2 S1: Unidad de entrada para requisitos deseguridad

Fig. 3.5 Ejemplo de conexiones de varios CMMP-AS-…-M3 con CAMC-G-S3



Notas sobre el ejemplo de circuito:– En el circuito de entrada de las unidades de entrada para el requisito de seguridad S1, para el

pulsador de confirmación S2 y para el pulsador de arranque S3 tiene lugar una detección del

circuito cruzado mediante el CAMC-G-S3 en T1.


– El controlador de motor T1 tiene que transferir los requisitos de seguridad a través de DOUT40A/B

al controlador de motor T2, que también reacciona a los requisitos de seguridad.

– El controlador de motor T2 tiene que volver a comunicar al controlador de motor T1 los requisitos

de seguridad.

– Los contactos de recibo C1, C2 de T1 y T2 están conectados en serie; la señal se debe interrogar a

través del control. Si ha tenido lugar un requisito de seguridad, el control debería reaccionar

adecuadamente (p. ej., en caso de SLS deberían reducirse los valores nominales, en SS1 debería

retirarse la habilitación del regulador).





categoría 4.


otras medidas.



3.3.5 Control de una unidad de bloqueoLa función de seguridad (p. ej. STO – Desconexión segura del par o SS1 – Parada segura 1) se activa

mediante una unidad de entrada para los requisitos de seguridad. El requisito de seguridad se realiza

por 2 canales a través de la unidad de entrada S1 y conduce a una desconexión por 2 canales del paso

de salida del controlador de motor. Simultáneamente se activa y supervisa la unidad de bloqueo.

1 2 7 8 9

L

PE

+24

V

GN

D24

VN

-X9

219

DIN

4

DIN

5-X

1

-X40

21 22

C1 C2

S1 1

2

1 2

DIN

40A

DIN

40B

7

DIN

44

12B

R-

Br+

-X6

19 20

DO

UT4

2A

DO

UT4

2B

13

14

12

S3

DIN

49

11

S2

DIN

48

N


con CAMC-G-S3

L

PE

24 V DC0 V DC


Entr

ada

PLC:

R

etro

seña

l Saf

ety

T1

Sal

ida

PLC

: H

abili

taci

ón d

el

regu

lado

r T1

Sal

ida

PLC:

H

abili

taci

ón d

e pa

so

de s

alid

a T1

Unidad deentrada pararequisitos deseguridad

3

4

13

14

1

2

3

Y1

1

2

V1

p

S4

3



3 V1/Y1: Válvula y unidad de bloqueoS4: Pulsador para supervisión del control dela unidad de bloqueo

Fig. 3.6 Ejemplo de circuito de unidad de bloqueo

Notas sobre el ejemplo de circuito:– En el circuito de entrada de las unidades de entrada para requisitos de seguridad S1, para el


circuito cruzado mediante el módulo de seguridad CAMC-G-S3.


– El contacto de recibo C1, C2 debería ser interrogado a través del control. Cuando ha tenido lugar un

requisito de seguridad debería retirarse la habilitación del regulador.




– La unidad de bloqueo se controla a través de la salida BR+/BR- del controlador de motor (T1) y essupervisado por el módulo de seguridad CAMC-G-S3 a través del interruptor S4. (Nota: A tal fin se



utilizan pulsadores activos, ¡no es posible la detección de circuito cruzado con DOUT42!). Lasupervisión indirecta mostrada requiere una comprobación regular del funcionamiento de la unidadde bloqueo.

– La supervisión de la unidad de bloqueo comprueba solamente el accionamiento, y no si elcoeficiente de fricción de la unidad de bloqueo es lo suficientemente alto para que esta puedafuncionar debidamente.

– El ejemplo de circuito presenta en la unidad de bloqueo una estructura supervisada de 1 canal,apropiada hasta la categoría 2 con una comprobación del funcionamiento de la unidad de bloqueo.

– Dependiendo del margen de aplicación y del concepto de seguridad de la máquina se requierenotras medidas.

3.3.6 Control de una unidad de bloqueo de 2 canalesLa función de seguridad (p. ej. STO – desconexión segura del par o SS1 – parada segura 1) se activamediante una unidad de entrada para los requisitos de seguridad. El requisito de seguridad se realizapor 2 canales a través de la unidad de entrada S1 y conduce a una desconexión por 2 canales del pasode salida del controlador de motor. Simultáneamente se activan y supervisan la unidades de bloqueo.

1 2 7 8 9

L

PE

+24

VG

ND

24VN

-X9

219

DIN

4

DIN

5-X

1

-X40

21 22

C1 C2

S1 1

2

1 2

DIN

40A

DIN

40B

14

DIN

41B

19 20

DO

UT4

2A

DO

UT4

2B

13

14

12

S3

DIN

49

11

S2

DIN

48

19

DO

UT4

1A

DO

UT4

1B

N


con CAMC-G-S3

L

PE

24 V DC0 V DC


Entr

ada

PLC:

R

etro

seña

l Saf

ety

T1

Sal

ida

PLC:

H

abili

taci

ón d

el

regu

lado

r T1

Sal

ida

PLC:

H

abili

taci

ón d

e pa

so

de s

alid

a T1


13

14

3

4

1

2

3

V2

p

1

2

13

2

Y1S4

p

S5

V1

13

DIN

41A

19

3



3 V1/V2/Y1: Válvulas y unidad de bloqueo dedos canalesS4/S5: Pulsador para supervisión del controlde la unidad de bloqueo

Fig. 3.7 Ejemplo de circuito de unidad de bloqueo de 2 canales



Notas sobre el ejemplo de circuito:– En el circuito de entrada para las unidades de entrada para requisitos de seguridad S1, para el


circuito cruzado mediante el módulo de seguridad CAMC-G-S3.





– Las unidades de bloqueo se controlan a través de la salida de dos canales DOUT41A/DOUT41B del


– Si las válvulas para las unidades de bloqueo necesitan más corriente de la que puede suministrar

DOUR41, debe interconectarse un relé adecuado (con contactos de conducción forzada y

retroseñal). Alternativamente se debe controlar si se puede utilizar la salida BR+/BR- del

controlador de motor T1.

– El módulo de seguridad supervisa la función de las unidades de bloqueo a través de los pulsadores

S4 y S5 (nota: A tal fin se utilizan pulsadores activos, ¡no es posible la detección de circuito cruzado

con DOUT41!). La supervisión indirecta mostrada requiere una comprobación regular del

funcionamiento de la unidad de bloqueo.

– La supervisión de la unidad de bloqueo comprueba solamente el accionamiento, y no si el

coeficiente de fricción de la unidad de bloqueo es lo suficientemente alto para que esta pueda

funcionar debidamente.

– El ejemplo de circuito presenta en la unidad de bloqueo una estructura de 2 canales, apropiada

hasta la categoría 3 con una comprobación del funcionamiento de la unidad de bloqueo.


otras medidas.

3.3.7 Conexión de encoders para funciones de seguridad dinámicasLa supervisión de los encoders se realiza a través de los racores rápidos [X2A], [X2B] y [X10].

Dependiendo de los valores medidos incrementales o absolutos se pueden ejecutar controles de

velocidad y de parada.

En el modo de funcionamiento “Automático”, la función de seguridad (p. ej. STO – Desconexión segura

del par o SS1 – Parada segura 1) se activa mediante una unidad de entrada para los requisitos de

seguridad.

La función de seguridad “Velocidad con limitación segura (SLS)” se solicita a través del selector del

modo de funcionamiento S6 en la posición “Manual”.

El requisito de seguridad se realiza por 2 canales a través de la unidad de entrada S1 y conduce a una

desconexión por 2 canales del paso de salida del controlador de motor. Si se ha llevado a cabo la

desconexión del paso de salida, esto se emite a través del contacto libre de potencial C1/C2 del

controlador de motor.



1 2 7 8 9

L

PE

+24

V

GN

D24

VN

-X9

219

DIN

4

DIN

5-X

122

C2

-X2B

-X10

n1 M1

n2

8 9

DIN

46

DIN

45

S6

Man.Auto

11

12 14

21

C1

-X40

S1 13

24

1 2

DIN

40A

DIN

40B

19 20

DO

UT4

2A

DO

UT4

2B

13

14

12

S3

DIN

49

11

S2D

IN48

13

14

N


con CAMC-G-S3

L

PE

24 V DC0 V DC


Entr

ada

PLC:

R

etro

seña

l Saf

ety

T1S

alid

a PL

C:

Hab

ilita

ción

del

reg

ulad

or T

1S

alid

a PL

C:

Hab

ilita

ción

de

paso

de

salid

a T1


1

2

3

4



3 n1: Encoder en el servomotor en X2B4 n2: Encoder en X10

Fig. 3.8 Ejemplo de circuito de encoder para funciones de seguridad dinámicas

Notas sobre el ejemplo de circuito:– Los encoders tienen que ser adecuados para aplicaciones orientadas a la seguridad.– El control de velocidad seguro (SLS, SSR, SS1, etc.) así como el control de la posición de parada

mediante SS2 y SOS es posible mediante encoders con señales puramente incrementales.– En el circuito de entrada de las unidades de entrada para requisitos de seguridad S1, para el

pulsador de confirmación S2, para el pulsador de arranque S3 y para el selector del modo defuncionamiento S6 tiene lugar una detección del circuito cruzado mediante el módulo de seguridadCAMC-G-S3.

– Al accionar el pulsador de arranque S3 tiene lugar el rearranque.– El contacto de recibo C1, C2 debería ser interrogado a través del control. Cuando ha tenido lugar un


3.3.8 Activación de un bloque de válvulas de 2 canales con funciones de seguridadLa función de seguridad (p. ej. STO – desconexión segura del par o SS1 – parada segura 1 en elcontrolador de motor; descarga segura o inversión en el bloque de control de válvulas) se activamediante una unidad de entrada para requisitos de seguridad para el controlador de motor y el bloquede control con función de seguridad. El requisito de seguridad se realiza por 2 canales a través de launidad de entrada S1 y conduce a una desconexión por 2 canales del paso de salida del controlador demotor y del bloque de control.



12

78

9

L

PE+24 VGND24V

N

-X40

219

DIN4

DIN5

21 2

2

C1C2

17

18

DOUT41A

DOUT41B

7 DIN44

K1

K1K2

K2

41 4241 42

K1K2

V1

1 4

GND

3V

2I2

e1

GND

33

4

DIN42ADIN42B

-X9

S1

1 2 12

DIN40A

DIN40B

19 2

0

DOUT42ADOUT42B

13 14

12

S3

DIN49

11

S2

DIN48

3 4

13 14

-X1

13 14

13 14

N

Y1 Fest

o V

OFA

-...

L PE

24 V

DC

0 V

DC

Salida PLC: Habilitación delregulador T1

Salida PLC: Habilitación depaso de salida T1

Uni

dad

deen

trad

a pa

rare

quis

itos

dese

gurid

ad

Entrada PLC: Retroseñal Safety T1

T1Fe

sto

CMM

P-A

S-.

..-3A

-M3

con

CA

MC-

G-S

3S

olo

se r

epre

sent

an la

s co

nexi

ones

rel

evan

tes

1 4

1

2

3



3 Y1: Bloque de control de dos canales

Fig. 3.9 Ejemplo de circuito de bloque de control de 2 canales con funciones de seguridad



Notas sobre el ejemplo de circuito:– En el circuito de entrada para los interruptores S1, para el pulsador de confirmación S2 y para el

pulsador de arranque S3 tiene lugar una detección del circuito cruzado mediante el módulo de

seguridad CAMC-G-S3.





– Las entradas DIN42A/B tienen que configurarse de modo que supervisen la conexión y la

desconexión del bloque de control V1. No es posible una conexión en serie de los contactos

contactores 41/42 de los contactores K1 y K2, puesto que los sensores de proximidad inductivos

utilizados no lo permiten.

– El contacto de recibo C1, C2 debería ser interrogado a través del control. Si ha tenido lugar un



categoría 4.


otras medidas.

4 Puesta a punto


4 Puesta a punto

Este capítulo describe la puesta a punto del módulo de seguridad. Hallará información

sobre la puesta a punto del controlador de motor en:

� Descripción del hardware “Montaje e instalación” GDCP-CMMP-M3-HW-...

� Ayuda del plugin de FCT para CMMP-AS.

NotaEn este documento, la puesta a punto no se refiere al primer uso previsto por el cliente

final, sino a la puesta a punto por el fabricante de la máquina durante el montaje de la

máquina.

Nota¡Merma de la función de seguridad!

La ausencia de funciones de seguridad puede causar daños graves irreversibles, p. ej.

debido a movimientos inesperados del sistema de actuadores conectado.

� Operar el módulo de seguridad únicamente:

– cuando esté montado,

– después de que el módulo de seguridad se haya parametrizado por completo,

– cuando se hayan instalado todas las medidas de seguridad, incluida la función

de seguridad, y se haya comprobado su capacidad de funcionamiento.

� Validar la función de seguridad para completar la puesta a punto � Sección 4.8.

Un cableado incorrecto, el uso de un módulo de seguridad equivocado o componentes

externos escogidos sin tener en cuenta la categoría causan la merma de la función de

seguridad.

� Lleve a cabo una evaluación de riesgos para su aplicación y diseñe el modo de conexión y los

componentes según los resultados de la misma.

� Tenga en cuenta los ejemplos � Sección 3.3.

4 Puesta a punto


4.1 Antes de la puesta a punto

Realice los pasos siguientes para preparar la puesta a punto:

1. Asegúrese de que el módulo de seguridad se ha montado correctamente (�Sección 3.1).

2. Compruebe la instalación eléctrica (cables de conexión, asignación de contactos � Sección 3.2).

¿Están conectados todos los conductores protectores PE?

4.2 Ajuste de los interruptores DIL

En el módulo de seguridad hay interruptores DIL para activar y controlar la configuración del bus. La

funcionalidad de los interruptores DIL es idéntica para todos los módulos de la ranura Ext3 y depende

de la interfaz de bus utilizada.

Ajuste los interruptores DIL como se indica en la descripción del hardware “Montaje e

instalación” GDCP-CMMP-M3-HW-... o en la correspondiente documentación específica

del bus, � Tab. 3, página 11.

4 Puesta a punto


4.3 Notas sobre la parametrización con el plugin de FCT CMMP-AS

Antes de la parametrización del módulo de seguridad con el SafetyTool, es necesario parametrizarcompletamente el controlador de motor con ayuda del plugin de FCT CMMP-AS.En las secciones siguientes hallará algunas notas respecto a lo que se debe observar en relación con elmódulo de seguridad.

Hallará más informaciones sobre la puesta a punto con el FCT en la ayuda del plugin

CMMP-AS o, dado el caso, en la descripción de las funciones del CMMP-AS-...-M3,

GDCP-CMMP-M3-FW-...

4.3.1 Ajuste de la configuraciónRealice la planificación del proyecto del módulo de seguridad en el FCT en la página “Configuration”(Configuración) del plugin de CMMP-AS:– Si no hay configuración del actuador: Botón “Create a new Drive Configuration” (Crear

configuración de actuador nueva).– Si hay configuración del actuador: Botón “Modify” (Modificar).� En la ventana “Create Drive Configuration” (Crear configuración de actuador) o “Edit Drive

Configuration” (Editar configuración de actuador) seleccione el módulo de seguridad utilizado parala ranura opcional Ext3.

Fig. 4.1 Plugin de FCT para CMMP-AS: “Edit/Create Drive Configuration”

(Editar/crear configuración de actuador)

En el subsiguiente transcurso de la parametrización del controlador de motor es necesario aceptar,explícitamente, el módulo de seguridad en el funcionamiento Online � Sección 4.3.4.

4.3.2 Ajuste de la configuración de transmisoresLa supervisión segura de la velocidad (p. ej. para SLS) y de la posición (p. ej. para SOS) requiere lossensores correspondientes para la detección de posición.

Hallará información sobre los sensores necesarios en la sección 2.2.5. Observe en ella la

Tab. 2.7 con las combinaciones de transmisores admisibles.

Determine el primer sensor mediante la selección del motor en la configuración del actuador. Lasinformaciones se visualizan en la página “Motor”, registro “Angle Encoder” (Transductor angular).Seleccione la interfaz del segundo sensor en la página “Measuring Systems” (Sistemas de medición),registro “Common” (General) en “Monitoring” (Supervisión).A continuación debe configurar los transmisores en el registro correspondiente de la interfaz seleccionada.

4 Puesta a punto


4.3.3 Determinar las unidades de medida (opcional)Las unidades de medida en el plugin de FCT para CMMP-AS se determinan mendiante los ajustessiguientes:– Selección del eje: Unidades lineales o rotativas.– Opcional: Adaptación de las unidades de medida (menú der Maßeinheiten (Menü [Component]

(Componente) [Measurements] (Unidades de medida)): Unidades métricas/imperiales(mm/pulgadas), decimales.

4.3.4 Aceptación del módulo de seguridadPara la seguridad funcional existe el requerimiento de un seguimiento de cambios. Para podergarantizar esto, en el módulo de seguridad se guardan los datos sobre el tipo de módulo, el número deserie y la revisión. En el controlador de motor se leen dichos datos y se guardan permanentemente alaceptar el módulo de seguridad. Gracias a ellos se puede reconocer una modificación en loscomponentes.En la página “Device Information” (Información del dispositivo) se visualiza información sobre lasversiones en el modo Online.

Página “Device Information” (Información del dispositivo)

ControllerController Type Tipo del controlador de motor (unidad básica).Hardware Version Version de hardware del controlador de motor.Firmware Version Versión de firmware del controlador de motor.Serial Number Número de serie del controlador de motor.

Option Slot Ext3Module Type Tipo de módulo: CAMC-G-S3: Módulo de seguridad.Total Revision Revisión total del módulo de seguridad, p. ej 1.0.Serial Number Número de serie del módulo de seguridad, p. ej. 1212820487.

Tab. 4.1 Página “Controller” (Controlador) – Informaciones sobre las versiones

Aceptación del módulo de seguridadCuando se detecta una modificación inadmisible, p. ej. un cambio de módulo, se emite un error novalidable. Para volver a poner en funcionamiento la aplicación con el controlador del motor se debe“proyectar” el cambio. Esto significa que la modificación se acepta o confirma explícitamente. Enrelación con los módulos de seguridad o de microinterruptores, estas modificaciones comprensiblesindican un cambio de módulo.

Para la sustitución del módulo se aplican las reglas siguientes:– Una sustitución del módulo de microinterruptores por un módulo de

microinterruptores siempre es posible.– Una sustitución del módulo CAMC-G-S1 por otro CAMC-G-S1 normalmente no se

puede confirmar. Excepción: Según la comprobación de versión en la unidad básica, los módulos no soncompatibles –mensaje de error 51-3– entonces es necesario confirmar el cambio demódulo.

– Al cambiar un tipo de módulo por otro tipo –mensaje de error 51-2– siempre se tieneque confirmar el cambio de módulo.

– Al cambiar un módulo CAMC-G-S3 por uno CAMC-G-S3 –mensaje de error 51-6–también se tiene que confirmar siempre el cambio de módulo.

4 Puesta a punto


Existen dos opciones para la confirmación del cambio de módulo:

� Al activar el modo Online se detecta el cambio de módulo y aparece automáticamente un diálogo de

confirmación.

� Si no ha confirmado el cambio de módulo directamente al activar el modo Online, puede abrir el

diálogo de confirmación en cualquier momento con la orden de menú [Component] (Componente)

[Online] [Confirme Module Change] (Confirmar cambio de módulo).

En el diálogo “Confirm Module Change” (Confirmar cambio de módulo) se visualizan el tipo de módulo,

la revisión total (CAMC-G-S3) o la revisión y versión (CAMC-G-S1, CAMC-DS-M1) así como el número de

serie del módulo anterior y del módulo visualizado actualmente.

� Confirme el cambio de módulo con “Yes” (Sí), los parámetros se guardan de modo remanente en la

unidad básica y se ejecuta un reinicio.

4.3.5 Indicación del estadoLas informaciones sobre el estado del módulo de seguridad se visualizan en el modo Online en el área

de la emisión del proyecto en el registro “Safety Functions” (Funciones de seguridad).

Emisión del proyecto – Registro Online “CAMC-G-S3: Safety Module” (Módulo de seguridad)

Marco “CAMC-G-S3: State Flags” (Señales de estado)

Visualización del estado del módulo de seguridad Estado1)

Verde Habilitación del paso de salida permitida VOUT_PS_EN = 1

Rojo Advertencia VOUT_WARN = 1

Rojo Condición de seguridad vulnerada VOUT_SCV = 1

Rojo Error VOUT_ERROR = 1

Amarillo Función de seguridad alcanzada VOUT_SSR = 1

Amarillo Estado seguro solicitado VOUT_SFR = 1

Verde Estado de servicio VOUT_SERVICE = 1

Verde Preparado para el funcionamiento VOUT_READY = 1

Marco “CAMC-G-S3: Safety Functions” (Funciones de seguridad)

Funciones de seguridad STO SS1 SS2 SOS SBC USF0 USF1 USF2 USF3 Estado2)

Verde Servicio normal VOUT_xxx_SFR = 0

Amarillo Estado seguro alcanzado VOUT_xxx_SFR = 1

Marco “CAMC-G-S3: Digital I/O” (I/Os digitales)

Estado DINxx, DOUTxx, C1/C2 (GND/+24 V sin función)

Verde Entrada = 1

Amarillo Salida = 1 o relé cerrado

Gris Entrada o salida = 0 o relé abierto

1) Estado del módulo de seguridad � Sección 2.10.2, Tab. 2.88

2) Estado de la función de seguridad � Sección 2.5

Tab. 4.2 Indicaciones en el registro Online “CAMC-G-S3: Safety Module” (Módulo de seguridad)

4.3.6 Visualizar memoria de diagnosis permanente del controlador de motor

Para visualizar o guardar la memoria permanente de diagnosis, active en el plugin de FCT el registro

Online “Diagnosis”.

4 Puesta a punto


Con la conexión Online activa, active el registro “Permanent” (Permanente). Con “Read” (Leer) se lee el

número fijado de entradas en “Entries” de la memoria permanente de diagnosis y se visualizan en

orden cronológico, la entrada más reciente en primer lugar.

Con “all entries” (todas las entradas) se lee la memoria permanente de diagnosis completa. Esto puede

durar algunos minutos.

El contenido de la memoria de diagnosis se visualiza en forma de tabla:

Columna Explicación

No. Número de orden de la entrada.

Fault Número de error, de advertencia o de evento � véase la sección 5.5.3.

Fault description Nombre de entrada, texto de error

Timestamp Momento del evento de diagnosis en formato <hh>:<mm>:<ss> (contador de

horas de servicio, tiempo de utilización de la alimentación de la lógica).

Constant Información adicinal para el personal del servicio de postventa de Festo

Free Parameter Información adicinal para el personal del servicio de postventa de Festo

Type Tipo de entrada (error, advertencia, entrada de registro).

Tab. 4.3 Visualización de la memoria permanente de diagnosis

La tabla siguiente muestra algunas entradas de ejemplo:

No.

Fault Fault description Timestamp Constant Free Parameter Type

1 00-21 Entrada de registro del


580:15:03 0 x 0000 Error validado, fuente:

0x01, sin errores

Error

2 00-8 Controlador conectado 580:15:00 0x0000 0 x 0000 Error


Módulo actual

580:15:22 0 x 4830 CAMC-G-S3, S/N:

1212820487, rev. HW:

1.0, rev. SW: 1.0

Error


Módulo anterior

580:15:22 0x48FF CAMC-DS-M1, S/N:

3781764777, rev. HW:

0.1, rev. SW: 0.1

Error

... ... ... ... ... ... ...

Tab. 4.4 Ejemplo de entradas en la memoria de diagnosis

Otras notas sobre las entradas en la memoria de diagnosis:

– Las entradas se realizan cronológicamente, la entrada de más arriba es la más reciente.

– Puede haber desviaciones mínimas del registro de tiempo después de Power OFF/ON,

puesto que el controlador de motor guarda el registro de tiempo de manera no volátil

solo una vez por minuto.

Con “Copy” (Copiar) y “Export” (Exportar) puede aceptar el contenido en formato csv con signos de

separación ';' en el portapapeles de Windows o en el archivo.

En la columna “Timestamp” (Registro de tiempo) se indica el valor del contador de horas de servicio del

controlador de motor en el momento de la entrada de registro.

4 Puesta a punto


Por encima de la lista se visualiza como “Current System Time” (Hora actual del sistema)

el valor momentáneo del contador de horas de servicio del controlador de motor

4 Puesta a punto


4.4 Principios básicos de la parametrización del módulo de seguridad

4.4.1 Ajustes de fábrica

Para una parametrización simplificada, en el estado de entrega o después de reponer los ajustes de

fábrica algunas funciones están activadas o los valores predeterminados están preajustados.

La Tab. 4.5 muestra un cuadro general de los ajustes más importantes.

Página Ajuste de fábrica Asignación

Entradas digitalesDIN40 Tipo de sensor: Aparato de desconexión de

parada de emergencia

Solicitud de STO y

SBCModo de funcionamiento: EquivalenteTiempo de discrepancia: 100 msFuente para pulso de prueba: Ninguna

DIN41 Tipo de sensor: Sin definir Sin utilizaciónModo de funcionamiento: EquivalenteTiempo de discrepancia: 100 msFuente para pulso de prueba: Ninguna



DIN44 Tipo de sensor: Retroseñal de freno Sin utilizaciónFuente para pulso de prueba: Ninguna

DIN45 Tipo de sensor: Selector del modo de

funcionamiento

Sin utilización

Fuente para pulso de prueba: NingunaDIN46 Tipo de sensor: Selector del modo de

funcionamiento

Sin utilización

Fuente para pulso de prueba: NingunaDIN47 Tipo de sensor: Selector del modo de

funcionamiento

Sin utilización

Fuente para pulso de prueba: NingunaDIN48 Tipo de sensor: Confirmación de error Solicitud de acuse

de recibo del errorFuente para pulso de prueba: NingunaDIN49 Tipo de sensor: Finalizar función de

seguridad

Flanco ascendente:

Finalizar STO, SS1 y

SBCFuente para pulso de prueba: NingunaFunciones de seguridadSTO Solicitar: DIN40 –

Rearranque automático: NoActivación automática SBC: SíFinalizar solicitud: DIN49, flanco ascendente

4 Puesta a punto


Página AsignaciónAjuste de fábrica

SS1 Solicitar: Sin asignación Sin utilizaciónRampa de parada rápida: SíRearranque automático: NoActivación automática SBC: SíFinalizar solicitud: DIN49, flanco ascendente

SS2 No activado –SOS No activado –USF... No activado –SBC Solicitar: DIN40 –

Retroseñal de freno de

sostenimiento:

No

Rearranque automático: NoDesactivar prueba cíclica 24 h: NoFinalizar solicitud: DIN49, flanco ascendente

Funciones lógicasSelector del

modo de

funcionamiento

No activado –

Terminal de

mando de dos

manos

No activado –

ALF... No activado –Lógica acuse de recibo de errorLógica acuse

de recibo de

error

Solicitar: DIN48 –

Salidas digitalesDOUT40 Solicitar: Sin asignación –

Modo de funcionamiento: Equivalente –DOut41 Solicitar: Sin asignación –

Modo de funcionamiento: Equivalente –DOUT42 Solicitar: Sin asignación –

Modo de funcionamiento: Conectado

permanentemente

–

Freno interno Solicitar: STO solicitado –Modo de funcionamiento: Equivalente –

Contacto de

aviso C1/C2

Solicitar: Estado seguro alcanzado y

ninguna condición de

seguridad vulnerada

–

Gestión de erroresGestión de

errores

Condición de seguridad

vulnerada:

diversas otras

SBC + STO Observar y

comprobar ajustes

adicionales.Otros errores graves: SBC + STO + salidas = 0

Tab. 4.5 Ajustes de fábrica

4 Puesta a punto


4.4.2 Estado de entregaEl módulo de seguridad se suministra de fábrica en el denominado “estado de entrega”.

Este se indica mediante el LED verde/rojo intermitente así como mediante los correspondientes

mensajes de estado (� Sección 2.10.2, Tab. 2.88).

Características diferentes del estado de entrega respecto a los ajustes de fábrica:

– El módulo de seguridad está “validado por completo” con la parametrización del ajuste de fábrica y,

por lo tanto, listo para el funcionamiento. El controlador de motor se puede poner en

funcionamiento, se pueden activar la habilitación de paso de salida y del regulador.

– Se suprimen todos los mensajes de error debidos a una parametrización diferente de la únidad

básica y del módulo de seguridad.

Con ello, la puesta a punto básica del controlador de motor es posible independientemente de la

periferia costosa de técnica de seguridad. Por ejemplo, el módulo de seguridad está parametrizado

como “Resolvedor” en el estado de entrega. Si se utilizan otros transmisores, el controlador de

motor podría no ponerse en marcha si no se suprime el mensaje de error del módulo de seguridad.

El estado de entrega no puede ser restablecido por el usuario. Solo es posible restablecer

los ajustes de fábrica.

4.4.3 Plugin de FCT para CMMP-AS y SafetyToolLa puesta a punto básica del controlador de motor se realiza con el plugin correspondiente de

CMMP-AS para el Festo Configuration Tool (FCT).

Este contiene la determinación de la configuración de hardware, como p. ej. el motor conectado, los

sistemas de medición, el eje y los módulos e interfaces montados en las ranuras opcionales.

La parametrización del módulo de seguridad se realiza con un software especial, el SafetyTool.

El SafetyTool se abre desde el plugin de FCT para CMMP-AS.

NotaAntes de iniciar el SafetyTool es obligatoriamente necesario cargar y guardar la

configuración del hardware así como, dado el caso, las unidades de medida fijadas en

el controlador de motor � Sección 4.3.

Esto es necesario para la adquisición de datos en el SafetyTool.

4 Puesta a punto


4.5 Parametrización segura con el SafetyTool

4.5.1 Inicio del programa

Inicie el SafetyTool con el plugin de FCT para CMMP-AS activo con el botón “Start SafetyTool”

(Iniciar SafetyTool).

Fig. 4.2 Iniciar SafetyTool

4.5.2 Selección de los tipos de sesión: Asistente de configuración

En ambos tipos de sesión (Online/Offline) el SafetyTool es una herramienta de software

Offline conforme a la norma EN 61508 para la instalación y puesta a punto (fase 12).

Además, el SafetyTool es un asistente para la validación (fase 13): a través de las

funciones parametrizadas del módulo de seguridad se puede crear el protocolo

correspondiente. No es posible modificar los parámetros durante el funcionamiento

activo; al abrir una sesión de parametrización Online el módulo de seguridad pasa al

estado seguro (STO + SBC). La validación de las funciones es incumbencia siempre del

fabricante de la máquina o del explotador de la máquina.

El SafetyTool admite 2 tipos de sesiones:

– Online: Trabajar en el módulo de seguridad.El SafetyTool se comunica con el sistema de destino (el módulo de seguridad).

Se puede observar el módulo de seguridad y leer parámetros; se pueden modificar parámetros

individuales o transferir un conjunto de parámetros seguro completo.

Antes de la modificación de parámetros, el módulo de seguridad cambia al “Estado básico seguro”.

Los parámetros se tienen que validar antes de que el módulo de seguridad salga del “Estado básico

seguro”. Los parámetros modificados no son efectivos inmediatamente, sino después de la

validación total y del reinicio.

– Offline: Trabajar en un archivo local.El SafetyTool no se comunica con el sistema de destino (el módulo de seguridad).

Sin embargo, es posible crear y guardar una parametrización previa para el módulo de seguridad.

4 Puesta a punto


El SafetyTool le asiste durante el arranque del programa con el “Assistant to start the safe

parameterization” (Asistente de configuración para la parametrización segura). Seleccione la variante

de sesión deseada.

Inicio de sesión Variante de sesión Descripción

Online� Sección 4.5.3

Start new parameterization(Iniciar parametrización nueva)

Abre un proyecto nuevo con los parámetrosestándar del módulo de seguridad.

Start new parameterizationfrom existing project (Iniciarparametrización nueva conproyecto existente)1)

Abre un proyecto nuevo basado en un archivode proyecto guardado localmente.

Show parameterization(Mostrar parametrización)

Muestra la parametrización existente en elmódulo de seguridad (¡solo lectura!).

Change existingparameterization (Modificarparametrización existente)

Carga la parametrización existente en elmódulo de seguridad para ser editada.

Download safe parameter set(Transferir conjunto deparámetros seguro)

Transfiere al módulo de seguridad un conjuntode parámetros guardado anteriormente.

Offline� Sección 4.5.4

Create new project (Crearproyecto nuevo)

Abre un proyecto nuevo con los ajustesestándar del SafetyTool.

Create new project from safeparameter set (Crear proyectonuevo con el conjunto deparámetros seguro)

Abre un proyecto nuevo basado en unconjunto de parámetros seguro guardado.

Open project file (Abrir proyectoexistente)1)

Abre un archivo de proyecto guardadolocalmente.

1) Solo es posible cuando el tipo de eje (lineal/rotativo) del archivo de proyecto del SafetyTool coincide con el proyecto FCT actual.

Tab. 4.6 Selección de las variantes de sesión: Asistente de configuración

4.5.3 Parametrización OnlineSi en el plugin de FCT la conexión Online con el controlador de motor está activa, en el SafetyTool estándisponibles las funciones para la parametrización Online.

Asegúrese de que los datos en el controlador de motor coinciden con los datos deproyecto (“Download”) y se han guardado (“Store” (Guardar)) antes de iniciar elSafetyTool. En otro caso existe la posibilidad de que las informaciones básicas despuésde un reinicio de la unidad básica difieran de las informaciones básicas utilizadas.

¡Los parámetros y el conjunto de parámetros solo pueden validarse en la parametrización Online!Para las funciones de la parametrización Online siempre es necesario indicar un nombre de usuario eintroducir una contraseña:

El ajuste de fábrica para la contraseña es: SAFETYAsigne una contraseña individual a su proyecto para proteger los parámetros deseguridad de modificaciones involuntarias (Menú [Extras] [Change password] (Cambiarcontraseña) � Sección 4.7.1).

Al iniciar el SafetyTool, este compara su base de datos con los datos de la unidad básica y con los delmódulo de seguridad. Según la variante de sesión elegida será necesario cargar todos los parámetrosdesde el módulo de seguridad.

4 Puesta a punto


El proceso se visualiza mediante una barra de progreso. La duración del mismo puede variar

dependiendo de la variante de sesión y de la velocidad de la conexión de comunicación.

1

2

3

4

5

6

Inicio con sesión Online

Sesión Offline

Selección en casode sesión Online

Introducircontraseña

Terminarasistente

Parametrizaciónnueva

Parametrizaciónnueva conproyectoexistente

Modificarparametrizaciónexistente

Transferirconjunto deparámetrosseguro

Mostrarparametrizaciónexistente

Seleccionar conjunto de parámetrosseguro

Seleccionararchivo deproyecto

1 Inicio del asistente con la opción deseleccionar también el modo Offline

2 Selección de la variante de sesión Online3 Nota sobre la variante de sesión

correspondiente

4 Selección de un archivo de proyecto /un conjunto de parámetros

5 Identificación personal6 Terminar asistente de inicio

Fig. 4.3 Pasos para seleccionar la variante de sesión Online

Una sesión de parametrización también se puede iniciar con el actuador conectado. Cuando se ha

iniciado la sesión de parametrización el módulo de seguridad desconecta el actuador (sin habilitación

de paso de salida).

Durante una parametrización en curso se desconectan todas las salidas digitales.

El SafetyTool se cierra automáticamente al terminar la sesión de parametrización. Al terminar, todos los

parámetros deben tener el estado “Validado”. En otro caso se perderán todas las modificaciones y el

módulo de seguridad se iniciará con el último conjunto de parámetros guardado y validado.

4 Puesta a punto


4.5.4 Parametrización OfflinePara preparar una parametrización es posible prepararla primero por completo en estado Offline.

Para poner en funcionamiento el módulo de seguridad correctamente, no obstante, es necesario

validar los parámetros Online y transferir los parámetros validados al módulo de seguridad.

1

2

3

4

5

Inicio con sesión Offline

Sesión Offline

Selección en casode sesión Offline

Terminarasistente

Parametrizaciónnueva

Abrir proyecto Nuevo proyectode conjunto deparámetrosseguro

Seleccionararchivo deproyecto

Seleccionarconjunto deparámetrosseguro

1 Inicio del asistente en modo Offline2 Selección de la variante de sesión Offline3 Página de notas sobre la variante de sesión

correspondiente

4 Selección de un archivo de proyecto /un conjunto de parámetros

5 Terminar asistente.

Fig. 4.4 Pasos para seleccionar la variante de sesión Offline

4 Puesta a punto


4.5.5 Reglas básicas para la parametrización con el SafetyTool

Propiedades comunes de los procesos de parametrizaciónUna parametrización se compone siempre de los pasos siguientes:

1. Abrir una sesión de parametrización.

2. Modificar parámetros individuales.

3. Validar parámetros individualmente o el conjunto de parámetros completo (generación de un

código de validación).

4. Guardar permanentemente el conjunto de parámetros en el módulo de seguridad; el conjunto de

parámetros completo se considera validado.

Tras realizar otras modificaciones en los parámetros es necesario volver a ejecutar los pasos 3. y 4..

5. Cerrar la sesión de parametrización, “Activación” del conjunto de parámetros.

6. Reinicio del módulo de seguridad.

Abrir una sesión de parametrización

Al abrir una sesión de parametrización el módulo de seguridad pasa al estado básico seguro, el

actuador se desconecta (paso de salida desconectado, control seguro de freno no alimentado, DOUT4x

desconectado en el módulo de seguridad).

Durante una sesión de parametrización el estado VOUT_SERVICE es activo.

Es posible volver a conectar / arrancar el actuador solo después de cerrar la sesión de parametrización,

y únicamente si el conjunto de parámetros está validado.

La apertura de una sesión de parametrización se guarda en la memoria permanente de diagnosis.

Durante la sesión de parametrización activa se emite el mensaje “FSPArA” en el visualizador digital de

7 segmentos del controlador de motor (siempre que no haya ningún error), véase � Sección 5.4.2.

Con el botón “Start Identificación” (Iniciar identificación) en el asistente de inicio se puede emitir el

mensaje “HELLO...”. El mensaje sirve para idenfiticar el controlador de motor cuando hay varios

controladores de motor conectados con el PC de parametrización.

En cada momento es posible abrir únicamente una sesión de parametrización por cada módulo de

seguridad.

Si ya hay una sesión de parametrización abierta, el módulo de seguridad rechaza otras demandas

hasta que se cierre la sesión de parametrización actual.

De este modo se evita que un módulo de seguridad se pueda parametrizar simultáneamente con el

SafetyTool a través de varios PCs. El SafetyTool permite una modificación de parámetros solo después

de haber iniciado una sesión de parametrización.

Identificación de usuario y contraseña

Al abrir una sesión de parametrización es necesario introducir una identificación de usuario (nombre de

usuario) y una contraseña.

La identificación de usuario y la contraseña se componen de caracteres ASCII (letras, números y

vocales modificadas, sin caracteres especiales) y tienen una longitud máxima de 8 caracteres.

En estado de entrega y después de reponer los ajustes de fábrica la contraseña es “SAFETY”.

4 Puesta a punto


Se recomienda modificar la contraseña inmediatamente después de la puesta a punto.

La nueva contraseña y la contraseña del ajuste de fábrica solo debería conocerlas el

“Responsable de la seguridad funcional de la máquina” correspondiente.

La contraseña modificada se guarda en el módulo de seguridad y sustituye a la

contraseña válida anterior; es válida para todos los usuarios. La contraseña no se guarda

en un archivo de parámetros. No se puede leer desde el módulo de seguridad.

Recepción de datos desde el controlador de motorPara comparar los parámetros relevantes del módulo de seguridad con los del controlador de motor

(unidad básica), en la variante de sesión Online siempre se realiza primero una recepción de datos

desde la unidad básica.

Para que los datos que haya podido cargar el plugin de FCT en el controlador de motor no

se pierdan durante el reinicio tras finalizar el SafetyTool, es obligatorio guardar los datos

al iniciar el SafetyTool con la conexión Online activa. A tal fin aparece un diálogo de

confirmación.

En la recepción de datos en el SafetyTool, además de las unidades de medida se reciben especialmente

los parámetros de los transmisores giratorios de pulsos conectados, que se representan en los

parámetros de seguridad para el transmisor 1 y el transmisor 2.

Principio “Send and validate” (Enviar y validar)Todos los parámetros modificados en el SafetyTool se tienen que enviar al módulo de seguridad, ser

comprobados y validados. Esto se aplica tanto a los datos recibidos desde el controlador de motor

(unidad básica) como a los términos productos para solicitar las funciones de seguridad u otras

asignaciones (mappings).

La secuencia es la misma en todas las páginas de parámetros:

Paso 1: Habilitar parámetros para su edición mediante el botón “Enable Edit” (Habilitar edición).

Paso 2: Manipular o modificar parámetros. Se comprueba el margen de valores.

Paso 3: Enviar los parámetros al módulo de seguridad mediante el botón “Send” (Enviar).

Paso 4: Para finalizar, es necesario validar los parámetros enviados.

Para la validación se muestran tanto los valores nominales (del SafetyTool) como los valores efectivos

(del módulo de seguridad). Los valores divergentes están identificados mediante un símbolo:

Símbolo Estado

El valor nominal y el valor efectivo son diferentes.

Este parámetro se tiene que comparar.

El valor nominal y el valor efectivo difieren mínimamente.

Algunos valores, como p. ej. tiempos, se redondean en el módulo de seguridad hasta el

múltiplo de una unidad básica. Por ello es posible que el valor nominal y el valor efectivo

sean diferentes. ¡Tales valores se pueden validar!

Tab. 4.7 Indicación de divergencia entre el valor nominal y el valor efectivo

4 Puesta a punto


Para la validación después de la comprobación, active la casilla de control correspondiente en la

columna “Checked” (Comprobado) y valide los parámetros correspondientes con el botón “Validate”

(Validar). Solo después se aceptan los parámetros como válidos en el módulo de seguridad.

En la columna “Valid” se indica si los valores efectivos de los parámetros son válidos, es decir, han sido

validados.

Símbolo Estado

El parámetro aún no se ha validado.

Parámetro validado.

Tab. 4.8 Indicación de la validez de los parámetros

Verificación de plausibilidadDurante la sesión de parametrización el SafetyTool ejecuta diversas verificaciones de plausibilidad.

Estas incluyen desde el control de límites de márgenes hasta la comprobación lógica de límites de

revoluciones (el límite superior de revoluciones no puede estar por debajo de las revoluciones

mínimas, los límites inferiores tienen que estar por debajo de los límites superiores, ...). La verificación

de plausibilidad también se puede realizar manualmente � Sección 4.7.3.

Habilitación y memorización en el equipo

Después de modificar parámetros, estos se deben guardar en el módulo de seguridad de modo

remanente. Además, la consistencia del conjunto de parámetros se tiene que asegurar mediante un

código inequívoco de validación total. La memorización remanente y el cálculo del código de validación

se realizan a través del botón correspondiente en la página “Completion” (Finalización).

Si una sesión de parametrización en el SafetyTool estaba activa con acceso para escritura, al finalizar el

SafetyTool se ejecuta automáticamente un reinicio.

Guardar estados intermedios parametrizados (sin validación total):

Con la función “Parameterization / Release and store in device permanently” (Parametrización /

Guardar parámetros permanentemente en el módulo de seguridad) se guardan los parámetros, pero no

están “validados totalmente”. El módulo de seguridad detecta este estado durante el reinicio y pasa al

estado básico seguro.

Parámetros estándar y avanzados

Algunos parámetros están marcados como “Expert parameters” (Parámetros avanzados) o en un

registro propio “Parámetros avanzados”.

NotaNormalmente no es necesario modificar los parámetros avanzados, solo en algunos

casos puede ser necesaria una modificación.

Estado de los grupos de parámetros

Cada página del SafetyTool contiene un denominado grupo de parámetros. El estado del grupo de

parámetros se muestra en una sesión Online mediante el símbolo LED en el árbol de navegación:

4 Puesta a punto


Símbolo Estado

Los parámetros todavía no están validados (todos los estados de los parámetros antes

de la validación).

Todos los parámetros de esta página están validados. Estos parámetros son idénticos a

los parámetros del equipo. Solo cuando todos los parámetros están validados en todas

las páginas es posible realizar una validación total y guardar permanentemente los

parámetros en el módulo de seguridad.

Al menos un parámetro difiere de los parámetros del equipo. Es necesario eliminar las

diferencias.

En un campo de entrada o de selección hay un valor incorrecto. Es necesario corregir el

error.

Tab. 4.9 Indicación del estado de los grupos de parámetros

4.5.6 Comportamiento en caso de parametrización incorrectaSi en el módulo de seguridad no hay ningún conjunto de parámetros válido,

se bloquea el paso de salida del controlador de motor, todas las salidas digitales se encuentran sin

tensión.

El módulo de seguridad se puede volver a parametrizar con el SafetyTool.

4.5.7 Versión del conjunto de parámetrosUna modificación de la revisión del módulo de seguridad no exige necesariamente una nueva versión

de conjunto de parámetros (la modificación de la versión del firmware o del hardware conduce a una

nueva revisión total del módulo de seguridad).

Con la versión del conjunto de parámetros se supervisa la compatibilidad entre el SafetyTool y el


Nuevo conjunto de parámetros en firmware antiguoLos conjuntos de parámetros que se han generado con una versión del firmware más reciente que la del

módulo de seguridad no se acepta. Se genera un mensaje de error “Conjunto de parámetros incompatible”.

Conjunto de parámetros antiguo en firmware nuevo

Primero se cargan los parámetros. En base al número de versión del conjunto de parámetros se

comprueba cómo se debe proceder con el conjunto de parámetros.

Si la versión del conjunto de parámetros no es compatible, se rechaza la validación a través del código

de validación.

Si la versión del conjunto de parámetros es compatible, en los parámetros no incluidos se ponen, por

ejemplo, valores que se encargan de que el módulo de seguridad se comporte como una revisión más

antigua.

La actualización del firmware solo puede ser realizada por el fabricante.

4 Puesta a punto


4.6 Secuencia de la parametrización con el SafetyTool (ejemplo)

En esta sección se describe una secuencia completa de parametrización en base a un ejemplo. Lospasos fundamentales son aplicables a cualquier otro caso de aplicación.Para esta secuencia se presupone lo siguiente:– La puesta a punto básica del controlador de motor se ha realizado con el plugin de FCT y existe una

conexión Online activa con el FCT.– El módulo de seguridad se encuentra en estado de entrega o con los ajustes de fábrica (� Sección 4.7.2).

Hallará una descripción completa de la interfaz y las funciones del SafetyTool en la ayuda

del SafetyTool.

Hallará información sobre algunas funciones especiales en � Sección 4.7.

Ejemplo de aplicación:Máquina con1. Interruptor de parada de emergencia (DIN40), que al ser accionado siempre debe disparar la

función SS1 tipo b) y, a continuación, SBC.2. Barrera fotoeléctrica (DIN41) para protección contra manipulaciones de la máquina, en servicio

normal se dispara también SS1, en modo de funcionamiento de ajuste se solicita SS2.3. Tecla de autorización (DIN42) para poder hacer funcionar el eje con SLS en el modo de

funcionamiento de ajuste.4. Selector del modo de funcionamiento para servicio normal y modo de ajuste (DIN45, DIN46).5. Supervisión de los interruptores mediante pulsos de prueba a través de DOUT42.6. Validación de errores (DIN48).7. Flanco ascendente de rearranque (DIN49), el rearranque tras SS1 tiene lugar a través de la señal

externa “Rearranque”.8. La conmutación entre SS2 y SLS tiene lugar con rearranque automático.En el ejemplo se lleva a cabo la siguiente parametrización:– Tras la puesta en marcha:

STO solicitada con activación automática de SBC.– Servicio normal:

Al accionar la parada de emergencia o la entrada en la barrera fotoeléctrica debe activarse SS1 conSBC a continuación, rearranque solamente a través de DIN49.

– Modo de funcionamiento de ajuste:– Al seleccionar el modo de funcionamiento de ajuste se solicita siempre SLS.– Solo se puede finalizar SLS cuando,

a) el selector del modo de funcionamiento vuelve a estar en posición de servicio normal yb) la barrera fotoeléctrica deja de estar interrumpida yc) se acciona el rearranque.

– En caso de entrada en la barrera fotoeléctrica se vuelve a activar adicionalmente SS2.– Rearranque desde SS2 solo a través de DIN49 y cuando se ha salido de la barrera fotoeléctrica,

o mediante la tecla de autorización DIN42.– Al accionar la tecla de autorización debe conmutarse de SS2 a SLS.

El circuito de protección y la parametrización necesarios para su aplicación debe

determinarlos individualmente en el marco de su evaluación de riesgos.

4 Puesta a punto


4.6.1 Selección la variante de sesión en el asistente1. Inicie el SafetyTool con el botón “Start SafetyTool” (Iniciar SafetyTool) � Sección 4.5.1.

2. Para iniciar la parametrización segura seleccione el inicio de sesión “Online ...” en el asistente y

confirme la selección con “Next” (Siguiente).

3. Seleccione la variante de parametrización “Change existing parametrization”

(Modificar parametrización existente) y confirme con “Next” (Siguiente).

Observe la nota respecto a la variante de sesión que se visualiza a continuación y confirme con

“Next” (Siguiente).

4. Para escribir parámetros es necesario introducir una identificación de usuario y la contraseña. En el

estado de entrega o después de restablecer los ajustes de fábrica, la contraseña es “SAFETY”.

4 Puesta a punto


Cierre el asistente con “Finish” (Finalizar).

4.6.2 Adquisición de datos y ajuste1. Normalmente las informaciones básicas del ajuste de fábrica difieren de la parametrización básica

actual del aparato. Esto se visualiza en un diálogo, que debe confirmar con “OK”.

De no ser así, puede continuar con el punto 3..

2. Los valores divergentes se visualizan en rojo en la sección de las informaciones básicas y se tienen

que ajustar primero.

4 Puesta a punto


Haga clic en “Enable Edit” (Habilitar edición) y active las casillas de control de los parámetros

divergentes con “Send” (Enviar).

Con el botón “Send” (Enviar) se cargan los parámetros seleccionados en el módulo de seguridad.

Al hacerlo, en primer lugar los parámetros ya no son válidos. Compruebe los parámetros mediante

la comparación de los valores en “Nominal value” (Valor nominal) y “Actual value” (Valor efectivo).

Confirme la verificación activando la casilla de seguridad “Checked” (Verificado). A continuación

valídela con “Validate” (Validar).

4 Puesta a punto


3. Si todos los parámetros de las informaciones básicas son idénticos, los demás parámetros se

cargan desde el módulo de seguridad, se visualiza la página “Data Acquisition” (Adquisición de

datos) con el cotejo de los datos adquiridos desde la unidad básica.

4.6.3 Inicio de la parametrización

Ahora está activa la variante de sesión “Change existing parametrization” (Modificar parametrización

existente) y se puede empezar con la parametrización propiamente dicha.

� A tal fin, desplácese con los botones de las flechas 1 por todas las páginas de parámetros una tras

otras y compruebe o modifique los parámetros visualizados.

4 Puesta a punto


1

2

La página de parámetros correspondiente se visualiza en el árbol de navegación 2, que le permite

cambiar directamente a otra página, p. ej. para volver a ver parámetros.

Para la puesta a punto se recomienda comprobar o editar todas las páginas, una tras otra.

4.6.4 Verificación de la adquisición de datosEn la primera página de parámetros “Data Acquisition” (Adquisición de datos) se visualizan los

parámetros más importantes de la configuración de transmisores.

Las diferencias existentes se indican mediante una flecha azul. Al hacer clic en la flecha se acepta el

ajuste de la unidad básica como valor nominal de parámetro. Posteriormente, desde la página

correspondiente de configuración de transmisores se debe enviar el valor nominal de parámetro al

módulo de seguridad y validarlo.

4.6.5 Informaciones básicas

Las informaciones básicas ya se han editado en la sección 4.6.2. Por ello, los valores de esta página ya

deberían ser correctos.

4.6.6 Configuración de transmisores� Verifique o edite uno tras otro los parámetros de la configuración de transmisores.

Si ha aceptado valores nominales en la sección 4.6.4, estos ya están introducidos en los parámetros

correspondientes. En ese caso los puede aceptar con “Enable Edit” (Habilitar edición), “Send” (Enviar)

y comprobarlos y enviarlos a continuación.

4 Puesta a punto


4.6.7 Configurar entradas digitalesEn la página “Digital Inputs” (Entradas digitales) se visualiza la asignación de todas las entradas de uno

y dos canales. No obstante, la edición se realiza en las páginas siguientes por separado para cada

entrada.

Las inconsistencias están marcadas mediante un símbolo de error; en el ejemplo se muestran DIN45, DIN46

y DIN47 parametrizadas como tipo de sensor “Operating mode switch” (Selector del modo de

funcionamiento), pero el parámetro “Activación” del selector del modo de funcionamiento no está activo.

Edite ahora las páginas de las entradas digitales consecutivamente.

DIN40

� Para el ejemplo se ajusta DOUT42A/B como fuente para el pulso de prueba.

DIN41

� Para el ejemplo se ajusta el tipo de sensor “Light Curtain” (Barrera fotoeléctrica) y DOUT42A/B

como fuente para el pulso de prueba.

4 Puesta a punto


DIN42� Para el ejemplo se ajusta el tipo de sensor “Enable Switch” (Tecla de autorización) y DOUT42A/B

como fuente para el pulso de prueba.

DIN45 ... DIN47� Para el ejemplo se ajusta DOUT42B para DIN45, DIN46 y DIN47 respectivamente como fuente para

el pulso de prueba.

DIN43 y DIN44, DIN48 y DIN49Para el ejemplo no se requieren modificaciones, puesto que todos los ajustes se corresponden con los

ajustes de fábrica.

4.6.8 Selección y parametrización de las funciones de seguridadEn la página “Safety Functions” (Funciones de seguridad) se visualizan las funciones activas.

� En el ejemplo, active adicionalmente SS2, SOS y USF0. Con USF se puede parametrizar la función de

seguridad SLS. Para activar funciones de seguridad no es necesario enviar y validar.

4 Puesta a punto


STO: Desconexión segura del par1. Compruebe y modifique, si es necesario, los parámetros para la función de seguridad STO

� Sección 2.5.1.

2. En el registro “Request” (Solicitar) borre la solicitud existente en los ajustes de fábrica mediante

DIN40. Después de habilitar la edición seleccione en la puerta la entrada lógica LIN_D40 (marcada

en azul) y bórrela con “Operands: Delete” (Operandos: Eliminar).

Puesto que ahora el operando se ha borrado del término producto, pero el término producto

(aquí P04.00) todavía está ocupado, este aun se visualiza abajo.

3. Seleccione en el marco derecho “Operands” (Operandos) LIN_AFTER_RST_PULSE y acepte la

entrada con “Gates: Insert” (Puertas: Insertar).

4. Transmita la modificación al módulo de seguridad con “Send” (Enviar). Entonces en “Validation”

(Validación) (en la parte superior derecha de la pantalla) se visualizará la nueva asignación así

como el proceso de borrado y se puede comprobar y validar.

El ajuste del registro “Finish Request” (Finalizar solicitud) mediante LIN_D49_RISING_EDGE se puede

dejar en el ejemplo.

SS1: Parada segura 1

1. Compruebe los ajustes en el registro “Standard Parameters” (Parámetros estándar)y adáptelos a

su aplicación si es necesario � Sección 2.5.3.

2. Active “Automatic activate SBC” (Activación automática SBC) (P0C.09) para el ejemplo.

En el ejemplo, ajuste la siguiente lógica en el registro “Request” (Solicitar):

4 Puesta a punto


3. Seleccione en el marco derecho “Operands” (Operandos) LIN_D40 y acepte la entrada con

“Operands: Insert” (Operandos: Insertar). Como alternativa también puede arrastrar la entrada con

el ratón hasta la operación de excitador (aquí término producto P04.00).

4. Después seleccione LIN_D45_SAFE y acepte la entrada con “Gates: Insert” (Puertas: Insertar).

Como alternativa también puede arrastrar la entrada con el ratón hasta la puerta O (≥ 1). Con ello se

inserta una nueva puerta con la entrada LIN_D45_SAFE (término producto P04.07 en el ejemplo).

5. Ahora seleccione en “Gates” (Puertas) la entrada LIN_D45_SAFE que acaba de insertar a fin de

marcar la segunda puerta como destino para insertar otros operandos (aquí término producto

P04.07).

6. Después seleccione la entrada LIN_D41 en el marco derecho “Operands” (Operandos) y acéptela

con “Operands: Insert” (Operandos: Insertar). Como alternativa también puede arrastrar la entrada

con el ratón hasta la operación del excitador. Con ello la operación del excitador cambia

automáticamente a operación Y.

7. Después de enviar tiene que validar 2 productos términos mediante la operación O.

El ajuste del registro “Finish Request” (Finalizar solicitud) mediante LIN_D49_RISING_EDGE se puede

dejar en el ejemplo.

SS2: Parada segura 21. Compruebe los ajustes en el registro “Standard Parameters” (Parámetros estándar)y adáptelos a

su aplicación si es necesario � Sección 2.5.4.

En el ejemplo, ajuste la siguiente lógica en el registro “Request” (Solicitar):

4 Puesta a punto


2. Seleccione en el marco derecho “Operands” (Operandos) LIN_D41 y acepte la entrada con“Operands: Insert” (Operandos: Insertar). Como alternativa también puede arrastrar la entrada conel ratón hasta la operación de excitador (aquí término producto P04.08).

3. Repita el paso 2. con los operandos LIN_D46_SAFE y LIN_D42.4. Invierta LIN_D42 con “Operands: Invert” (Operandos: Invertir). Si entretanto había seleccionado

otro elemento, es posible que antes tenga que volver a seleccionar LIN_D42.5. Después de enviar tiene que validar solamente un término producto.En el ejemplo, ajuste la siguiente lógica en el registro “Finish Request” (Finalizar solicitud):

6. Seleccione en el marco derecho “Operands” (Operandos) LIN_D49_RISING_EDGE y acepte laentrada con “Operands: Insert” (Operandos: Insertar).

7. Repita el paso 6. con LIN_D41.8. Invierta LIN_D41 con “Operands: Invert” (Operandos: Invertir).9. Después seleccione LIN_D42 e insértela con “Gates: Insert” (Puertas: Insertar) como operación Y.10.Después de enviar tiene que validar 2 productos términos mediante la operación O.

SOS: Parada de servicio segura1. Parametrice la función de seguridad SOS conforme a su aplicación � Sección 2.5.5.2. Para solicitar SOS no se requiere ninguna lógica, puesto que SOS se utiliza únicamente como

reacción ante errores.3. Para “Finish Request” (Finalizar solicitud) inserte LIN_D49_RISING_EDGE (del mismo modo que en

SS2).

USF0: Función universal1. Para la solicitud de USF0 en el ejemplo inserte LIN_DIN46_SAFE.

4 Puesta a punto


2. En el ejemplo, ajuste la siguiente lógica en el registro “Finish Request” (Finalizar solicitud):

Los pasos de manejo fundamentales están descritos en los pasos anteriores.

SSF0: Velocidad segura� Parametrice la función SSF0 para la función de seguridad SLS conforme a su aplicación � Sección 2.5.8.

SBC: Control seguro de freno1. Parametrice la función de seguridad SBC conforme a su aplicación � Sección 2.5.2.

2. Para el ejemplo borre la solicitud mediante LIN_D40.

3. Para “Finish Request” (Finalizar solicitud) deje LIN_D49_RISING_EDGE.

4. Dependiendo de la aplicación en el registro “Retroseñal” puede ser necesaria una lógica para la

retroseñal del freno.

4.6.9 Funciones lógicas

En el ejemplo no se utilizan las funciones Advanced Logic Functions ALFx y por lo tanto no se tienen que

activar en la página “Funciones lógicas”.

4 Puesta a punto


Selector del modo de funcionamiento� Active el selector del modo de funcionamiento en la página “Operating mode switch” (Selector del

modo de funcionamiento).

Terminal de mando de dos manosEl terminal de mando de dos manos no se utiliza en este ejemplo.

4.6.10 Lógica de acuse de recibo de errorLa lógica de acuse de recibo de error se puede dejar con los ajustes de fábrica para este ejemplo.

4.6.11 Salidas digitales

DOUT40, DOUT41Para el ejemplo no se utilizan las salidas digitales DOUT40 y DOUT41.

DOUT42

Para el ejemplo no es necesario modificar nada en la parametrización puesto que DOUT42 ya está

parametrizada como “Permanentemente conectada” en los ajustes de fábrica.

Freno internoLa parametrización para el freno interno se puede dejar con los ajustes de fábrica para este ejemplo.

Contacto de estado

La parametrización para contacto de aviso se puede dejar con los ajustes de fábrica para este ejemplo.

El relé está cerrado cuando todas las funciones de seguridad solicitadas están activas y no se ha

vulnerado ninguna condición de seguridad.

4.6.12 Gestión de erroresEn la página “Error management” (Gestión de errores) debe seleccionar una reacción ante errores

adecuada para la vulneración de condiciones de seguridad y para errores, p. ej. para la evaluación del

transductor angular.

Para el ejemplo se mantienen los ajustes de fábrica, esto significa que en principio en caso de error se

activan STO o SS1 así como SBC.

4.6.13 Concluir la parametrizaciónCuando los LEDs del nodo principal están en “verde” se puede validar el conjunto de parámetros

(validación total). El código de validación calculado actualmente por el módulo de seguridad se lee y se

visualiza en forma hexadecimal en el campo de indicación “Validation code” (código de validación).

En el campo “Validation code” (código de validación) se visualiza el estado actual de la

parametrización.

Para concluir una parametrización correctamente es necesario guardar los parámetros en el

dispositivo.

4 Puesta a punto


1. A tal fin, primero haga clic en “Release and store in device permanently” (Habilitar y guardar

permanentemente en el dispositivo).

2. Para la confirmación, el código de validación se tiene que introducir en orden inverso y confirmarlo

con OK.

3. Si se ha introducido correctamente el código de validación, el módulo de seguridad guarda los

parámetros de forma remanente en la memoria FLASH y en el árbol de navegación la página

“Completion” (Finalización) ahora se muestra también en verde.

4. Para elaborar el informe de validación necesario puede imprimir el resumen directamente en una

impresora con “Imprimir” o generar el correspondiente documento PDF con “Guardar como PDF”.

5. Para la utilización en otros módulos de seguridad con parametrización idéntica o en caso de

sustitución del módulo, mediante “Crear conjunto de parámetros seguro” puede guardar un archivo

con el que podrá enviar el conjunto de parámetros validado a otro módulo de seguridad.

6. Para concluir la parametrización haga clic en “Ejecutar reinicio”. El controlador de motor y el

módulo de seguridad se reiniciarán.

Con ello se ha completado la parametrización del ejemplo.

4 Puesta a punto


4.7 Funciones especiales del SafetyTool

4.7.1 Modificar contraseña

Mientras una sesión de parametrización está activa es posible modificar la contraseña en cualquier

momento.

1. Abra el diálogo “Change password” (Cambiar contraseña) con la orden de menú [Extras] [Change

password] (Cambiar contraseña).

Fig. 4.5 Modificar contraseña

2. Introduzca la contraseña actual en el campo “Password” (Contraseña).

3. Introduzca la contraseña nueva dos veces en “New password” (Contraseña nueva) y en “Confirm

password” (Confirmar contraseña).

4. Haga clic en “OK” para confirmar.

La contraseña nueva está activada inmediatamente en el módulo de seguridad.

4.7.2 Activar ajustes de fábricaPara reponer los ajustes de fábrica del módulo de seguridad (� Sección 4.4.1):

1. Inicie el SafetyTool con conexión Online activa (� Sección 4.6).

2. Seleccione la variante de sesión Online “Mostrar parametrización” (no se requiere contraseña).

3. Es posible que después se muestren informaciones básicas divergentes, que debe confirmar con

OK.

4. Con la orden de menú [Extras] [Reset Factory Settings] (Restablecer ajustes de fábrica) se

restablece el módulo de seguridad. Aquí se solicitará el nombre de usuario (será protocolado en la

memoria permanente de diagnosis).

5. Después se volverá a leer el conjunto de parámetros del módulo de seguridad. Es posible que sea

necesario volver a confirmar informaciones básicas.

6. Cierre el SafetyTool.

4.7.3 Verificación de plausibilidad

La verificación de plausibilidad se puede realizar en cualquier momento durante una sesión de

parametrización.

� Abra la ventana “Plausibility test” (Verificación de plausibilidad) con la orden de menú [Extras]

[Check parameters for plausibility] (Comprobar plausibilidad de parámetros).

4 Puesta a punto


Fig. 4.6 Verificación de plausibilidad

Los puntos reconocidos durante la verificación están marcados respectivamente con un símbolo.

Símbolo Significado

Información: Se trata únicamente de información sin significado funcional.

Advertencia: La parametrización funciona, pero es posible que no esté completada.

Error: Parametrización incorrecta, el módulo de seguridad no funcionará debidamente.

Tab. 4.10 Visualización de la verificación de plausibilidad

4.7.4 Resumen de parámetrosPara el acceso rápido a los parámetros avanzados, es posible visualizar y editar los parámetros en una

ventana por separado.

� Abra la ventana “Resumen de parámetros” con la orden de menú [Extras] [Parameter Overview]

(Resumen de parámetros).

Fig. 4.7 Resumen de parámetros

4 Puesta a punto


4.7.5 Ventana de diagnosisEn el submenú [Extras] [Diagnosis] se encuentran distintos comandos para la visualización de

diferentes ventanas de diagnosis. Hallará más información en la ayuda del SafetyTool.

La ventana “Digital I/O (logical states)” (I/Os digitales (estados lógicos)) muestra, p. ej., el estado

lógico de las entradas y salidas:

Fig. 4.8 I/Os digitales: Estados lógicos

La ventana “Display of errors” (Visualización de errores) muestra los errores activos; con el botón

“Acknowlegde Errors!” (¡Validar errores!) estos también se pueden validar aquí en la medida de lo

posible.

Fig. 4.9 Indicación de error

Abra la ventana “Functional diagram” (Diagrama de funciones) con la orden de menú [Extras]

[Diagnosis] [Internal Signals] (Señales internas). La ventana muestra un cuadro general de las entradas

lógicas y virtuales, así como las salidas virtuales y lógicas del módulo de seguridad.

Al hacer clic en uno de los enlaces de texto azul se abrirá otra ventana, en la que se muestra el estado

del grupo de señales correspondiente (en el ejemplo es el de las entradas físicas de las entradas

lógicas mostradas).

4 Puesta a punto


Fig. 4.10 Diagrama de funciones

4 Puesta a punto


4.8 Comprobación del funcionamiento, validación

NotaLas funciones de seguridad se tienen que validar después de la instalación y después de

cada modificación realizada en la instalación.

Esta validación debe ser documentada por el encargado de la puesta a punto. Como

ayuda para la puesta a punto, se han reunido las siguientes preguntas sobre la reduc

ción de riesgos en forma de listas de comprobación.

Las siguientes listas de comprobación no sustituyen a una formación técnica en seguridad.

No se puede garantizar que las listas de comprobación estén completas.

N.º Preguntas Es correcto Resuelto

1. ¿Se han tenido en cuenta todas las condiciones de operación y

todos los procedimientos de intervención?

Sí 0 No 0 0

2. ¿Se ha utilizado el “método de las 3 fases” para reducir

riesgos, es decir, 1. construcción intrínsecamente segura, 2.

medidas de seguridad técnicas y complementarias, 3.

información del usuario con respecto al riesgo residual?

Sí 0 No 0 0

3. ¿Se han eliminado estos peligros o se han minimizado los

riesgos de peligro todo lo prácticamente posible?

Sí 0 No 0 0

4. ¿Se ha asegurado que las medidas llevadas a cabo no

conlleven nuevos peligros?

Sí 0 No 0 0

5. ¿Se ha informado y advertido suficientemente a los usuarios

acerca de los riesgos residuales?

Sí 0 No 0 0

6. ¿Se ha comprobado que las condiciones de trabajo de los

operadores no hayan empeorado debido a las medidas de

seguridad adoptadas?

Sí 0 No 0 0

7. ¿Las medidas de seguridad adoptadas son compatibles entre

ellas?

Sí 0 No 0 0

8. ¿Se han tenido suficientemente en cuenta las consecuencias

del uso de una máquina construida con fines

comerciales/industriales en ámbitos no comerciales/no

industriales?

Sí 0 No 0 0

9. ¿Se ha comprobado que las medidas adoptadas no influyan

demasiado en la capacidad de la máquina para cumplir su

función?

Sí 0 No 0 0

Tab. 4.11 Preguntas para la validación según EN 12100 (ejemplo)

4 Puesta a punto


N.º Preguntas Es correcto Resuelto

1. ¿Se ha llevado a cabo una evaluación de riesgos? Sí 0 No 0 0

2. ¿Se ha confeccionado una lista de errores y un plan de

validación?

Sí 0 No 0 0

3. ¿Se ha procesado el plan de validación, incluidos el análisis y la

comprobación, y se ha creado un informe de validación?

Se deben llevar a cabo por lo menos las siguientes

comprobaciones para la validación:

Sí 0 No 0 0

a) Verificación de los componentes: ¿se utiliza el CMMP-

AS-…-M3 con el CAMC-G-S3(comprobación según la placa

de características)?

Sí 0 No 0 0

b) ¿El cableado es correcto (comprobación según el esquema

del circuito)?

Sí 0 No 0 0

– ¿Los dispositivos de comandos de seguridad, p. ej.

interruptores de puertas de protección, interruptores de

parada de emergencia, etc, se han cableado en X40?

Sí 0 No 0 0

– ¿Los dispositivos de comandos de seguridad son

adecuados para los requerimientos de la aplicación y se han

cableado correspondientemente?

Sí 0 No 0 0

c) Comprobación de la parametrización: Sí 0 No 0 0

– ¿Se ha completado la parametrización del módulo de

seguridad; se han validado todos los parámetros?

Sí 0 No 0 0

– ¿Se ha impreso el conjunto de parámetros y se ha añadido

el plan de validación?

Sí 0 No 0 0

d) Comprobaciones de funcionamiento: Sí 0 No 0 0

– Accionamiento de la parada de emergencia de la instalación:

¿El actuador se detiene?

Sí 0 No 0 0

– Accionamiento de la parada de emergencia de la instalación:

¿Se activa solo una de las entradas DIN4xA o DIN4xB

asignadas a la parada de emergencia? ¿Se ejecuta

inmediatamente la función de seguridad asignada y, tras el

tiempo de discrepancia, se comunica el error “Vulneración

del tiempo de discrepancia” (indicación 57-1) en el

CMMP-AS-M3?

Sí 0 No 0 0

– Confirmación de las demás funciones de seguridad del equipo,

a ejecutar por separado para cada función de seguridad:

¿Se activa solo una de las entradas asignadas de dos

canales DIN4xA/B para la solicitud de la función de

seguridad? ¿Se ejecuta inmediatamente la función de

seguridad asignada y después del tiempo de discrepancia

se indica el mensaje “Vulneración del tiempo de

discrepancia” (indicación 57-1) en el CMMP-AS-...-M3?

Sí 0 No 0 0

4 Puesta a punto


N.º ResueltoEs correctoPreguntas

– Si se utilizan salidas seguras, ejecutar por separado para

cada salida:

¿Las dos salidas DOUT4xA/B se desconectan de modo

equivalente cuando existe la condición de conmutación

correspondiente y en el dispositivo de desconexión de

seguridad postconectado se toma el estado seguro en caso

de error (rotura de cable, cortocircuito)?

Sí 0 No 0 0

– Solo si se utiliza un dispositivo de desconexión de

seguridad con evaluación del contacto de recibo C1/C2:

¿En caso de cortocircuito de C1 a C2 se detiene el actuador

a más tardar con la siguiente solicitud de una función de

seguridad?

Sí 0 No 0 0

– ¿Se impide el rearranque? Es decir, ¿cuando se ha

accionado la parada de emergencia con las señales de

habilitación activas, con la orden de arranque no se

realizará ningún movimiento sin un acuse de recibo previo

mediante la entrada “Rearranque”?

Sí 0 No 0 0

Tab. 4.12 Preguntas para la validación según EN ISO 13849-2 (ejemplo)

5 Manejo y funcionamiento



5.1 Obligaciones de la empresa explotadora

Se debe comprobar la fiabilidad funcional del módulo de seguridad CAMC-G-S3en intervalos apropiados.

Es responsabilidad de la empresa explotadora elegir el tipo de comprobación y los intervalos en el periodo

de tiempo mencionado. La comprobación se debe realizar de manera que se acredite el funcionamiento

correcto del dispositivo de seguridad combinado con el resto de los componentes.

Intervalo de verificación (Proof Test Interval) � Apéndice A, Tab. A.1.

Advertencia¡Peligro debido a merma de la función de seguridad!

Las funciones de seguridad no están garantizadas en caso de un fallo de tensión

(excepción: Desconexión segura del par, STO, control seguro de freno, SBC).


debido a movimientos inesperados del sistema de actuadores conectado.

� Asegúrese de que, conforme a su aplicación, haya una fuente de alimentación

segura o disponga las medidas correspondientes.

5.2 Cuidados y mantenimiento

El módulo de seguridad no requiere mantenimiento.

5.3 Funciones de protección

5.3.1 Alimentación, protección contra sobretensión e inversión de polaridad, supervisión detensión

La alimentación de 24 V tiene lugar a través de la unidad básica. El módulo de seguridad supervisa el

margen permitido de la tensión de funcionamiento.

La alimentación del módulo de seguridad está protegida además especialmente contra

– Sobrecarga conforme a EN 61326-3-1.

– Aumento de la alimentación de 24 V en caso de error hasta a 60 V (especificación de alimentación PELV).

La unidad básica proporciona protección contra inversión de polaridad.

5.3.2 Alimentación para la electrónica internaLas tensiones de funcionamiento internas se generan desde la alimentación de 24 V.

Las tensiones internas de alimentación de la electrónica están ejecutadas de manera redundante.

Los dos microcontroladores del módulo de seguridad son alimentados por lo tanto de forma

independiente.

Estos supervisan todas las tensiones de funcionamiento internas de forma alterna.



5.3.3 Alimentación FailsafeEl elemento principal del control de las salidas es la denominada “alimentación Failsafe”. Cada

microcontrolador genera, a través de una señal dinámica, una alimentación auxiliar propia (interna)

(U_FS1, U_FS2) para el accionamiento de las distintas salidas (seguras) para

– la alimentación para el accionamiento del controlador, separada para conmutador superior y

conmutador inferior,

– el control de freno, separado para disyuntores BR+ y BR-,

– las salidas digitales DOUT40 – DOUT42, por separado para Pin A y Pin B.

La U_FS1 actúa sobre las salidas que son controladas por el microcontrolador2; U_FS2 actúa sobre las

salidas del microcontrolador1. De este modo se garantiza que en caso de error cada microcontrolador

pueda desconectar las salidas del otro microcontrolador respectivamente.

En caso de avería de un microcontrolador (independientemente de la causa: fallo del hardware, caída

del programa, etc.) la alimentación “Failsafe” correspondiente falla totalmente y se desconectan las

salidas.

5.3.4 Funciones de protección para las salidas digitalesLas salidas digitales están protegidas contra:

– cortocircuito hacia 0 V y 24 V y PE

– circuitos cruzados indistintos con otras salidas

– aumento de tensión hasta 60 V

Las salidas activas se supervisan durante el funcionamiento mediante pulsos de prueba.

En caso de fallo se desconectan las salidas, también todas a la vez.

5.3.5 Funciones de protección para las entradas digitalesLas entradas digitales están protegidas contra:



– fallos de sobrecarga


Las entradas se supervisan durante el funcionamiento mediante pulsos de prueba internos.

La supervisión de los sensores pasivos conectados tiene lugar a través de pulsos de prueba externos a

través de DOUT4x.

En entradas de varios canales se realiza una verificación de plausibilidad de conexión simultánea con

supervisión de tiempo de discrepancia.

5.3.6 Funciones de protección para el control de freno

Las salidas para el control de freno están protegidas contra:




Las salidas se supervisan durante el funcionamiento mediante pulsos de prueba.

En caso de fallo se desconectan las salidas.



5.3.7 Funciones de protección de la alimentación para el accionamiento del controladorLas salidas para el accionamiento del controlador están protegidas contra:

– cortocircuito hacia 0 V y 5 V así como tensión ajena hasta 60 V

– circuitos cruzados entre las dos alimentaciones


Las salidas se supervisan durante el funcionamiento mediante pulsos de prueba.

En caso de fallo se desconectan las salidas.

5.3.8 Funciones de protección para los sensores de posición conectados

La función de los sensores de posición se supervisa continuamente durante el funcionamiento.

La extensión de la supervisión depende del tipo de transmisor utilizado, p. ej.:

– Supervisión las señales de pista analógicas, amplitudes y supervisión de longitud de vectores en

transmisores SEN/COS e Hiperface así como resolvedores

– Supervisión de la comunicación en transmisores puramente seriales

– Adicionalmente verificación de plausibilidad de los datos de posición mediante supervisión de

aceleración

– Comparación de los datos de posición y velocidad del sensor de posición 1 con los del sensor de

posición 2 en comparación cruzada entre los microcontroladores

– Supervisión de tiempo en caso de parada y función de seguridad solicitada para sensores de

posición sin dinamización forzada (supervisión de 24 h).

5.3.9 Funciones internas de protección de la electrónica en el módulo de seguridadEl módulo de seguridad dispone de otras numerosas funciones internas de control que son ejecutadas

por los microcontroladores internos recíprocamente:

– Dinamización de muchas señales internas analógicas mediante pulsos de prueba

– Control propio de los microcontroladores durante el funcionamiento mediante pruebas de

memorización, pruebas de codificación OP, supervisión de Stack y de ejecución del programa

– Comparación cruzada de la ejecución correcta del programa y del procesamiento del programa

entre el microcontrolador1 y el microcontrolador2

– Comparación cruzada de todos los estados operativos importantes y de las magnitudes de estado

importantes entre el microcontrolador1 y el microcontrolador2

– Supervisión de las condiciones ambientales (temperatura)

– Supervisión de las interfaces de comunicación internas

– Supervisión de la comunicación hacia el exterior

– Supervisión de la integridad de datos de los conjuntos de parámetros seguros

– Supervisión de los estados operativos y cambios

– Supervisión de la sesión de parametrización (sesión, contraseña, control de nivel superior, ...)

– Supervisión del estado de error



5.3.10 Supervisión del cumplimiento las funciones de seguridad solicitadasTodas las funciones de seguridad y funciones lógicas solicitadas se supervisan permanentemente en el

módulo de seguridad. En caso de vulneración del límite de seguridad se genera el error

correspondiente. La supervisión abarca fundamentalmente:

– cumplimiento de los límites de velocidad establecidos

– cumplimiento de los límites de posición establecidos

– supervisión de parada

– cumplimiento de las condiciones de tiempo requeridas

– Supervisión de las señales de confirmación (existencia, respuesta en función del tiempo)

– supervisión de 24 h (en caso de parada de servicio segura SOS y control seguro de freno SBC)



5.4 Diagnosis y eliminación de fallos

5.4.1 Indicadores LED en el módulo de seguridad

El estado operativo se muestra directamente en el LED bicolor de estado del módulo de seguridad.

� Figura en la sección 2.1.4, Fig. 2.1.

Se visualizan los siguientes estados:

Indicador LED Estado operativo Mensaje de estado1)

Intermitenteen rojo

El módulo de seguridad se encuentra en el estado “errorinterno”, error en el módulo de seguridad.

VOUT_ERROR = 1

� � � � �Encendido enrojo

El módulo de seguridad se encuentra en el estado“condición de seguridad vulnerada”, reacción ante erroresiniciada.

VOUT_SCV = 1VOUT_SFR = 1

� � � � �luce enamarillo

El módulo de seguridad se encuentra en el estado “estadoseguro alcanzado”.

VOUT_SSR = 1VOUT_SFR = 1

� � � � �Intermitenteen amarillo

El módulo de seguridad está en el estado “función deseguridad solicitada, todavía no alcanzada”.

VOUT_SFR = 1

� � � � �Intermitenteen rojo/verde

El módulo de seguridad está en el estado “estado deentrega - parametrización del controlador de motor”.El actuador está habilitado, todas las I/Os digitales estánlibres de tensión.


� � � � �

Intermitenteen verde

– El módulo de seguridad está en el estado “Service”(estado básico).

– El conjunto de parámetros del módulo de seguridad noestá validado.

– No hay ningún conjunto de parámetros en el controladorde motor.

– Se ha abierto una sesión de parametrización.– Los conjuntos de parámetros del controlador de motor y

del módulo de seguridad son diferentes.


� � � � �

Encendido enverde

El módulo de seguridad está en el estado “preparado parafuncionar, ninguna función de seguridad solicitada”.El módulo de seguridad está inicializado libre de fallos ypreparado para funcionar.

VOUT_READY = 1VOUT_PS_EN = 1

� � � � �

Apagado El módulo de seguridad no está inicializado / no estápreparado para funcionar.

VOUT_READY = 0VOUT_PS_EN = 0� � � � �

1) Componente de las “salidas virturales” � Sección B.1.3, Tab. B.6

Tab. 5.1 Indicadores LED del módulo de seguridad

Hallará la descripción completa de los estados en � Sección 2.10.1, Tab. 2.88.



5.4.2 Visualizador digital de 7 segmentos del controlador de motor

NotaEl visualizador digital de siete segmentos del controlador de motor es una indicación

puramente de diagnosis. La indicación de datos orientados a la seguridad requeriría

una comprobación previa del funcionamiento del visualizador, esto no está previsto.

En el visualizador digital de 7 segmentos del controlador de motor se muestran mensajes de estado del

controlador de motor. Además, el módulo de seguridad puede emitir mensajes de estado y de error a

través del visualizador digital de 7 segmentos cuando el controlador de motor no se encuentra en

estado de error.

Visualización de cadenas de caracteres Los caracteres individuales se muestran uno detrás de otro. Con cada cambio de carácter, desaparece

brevemente la indicación.

La visualización se repite cíclicamente. Entre el último carácter de la cadena de caracteres y el primero

de la repetición hay una pausa y la indicación se apaga brevemente.

Las cadenas de caracteres también se pueden visualizar con “intermitencia rápida”. En este caso cada

carácter parpadea varias veces durante el tiempo de visualización.

Indicación de erroresSe visualizan únicamente errores y advertencias (se muestran errores cuya reacción no se haya

parametrizado con “ninguna reacción, solo inscripción en la memoria de diagnosis”).

La visualización de errores del módulo de seguridad se realiza de la misma manera que la visualización

de errores en el controlador de motor.

Se ha solicitado una función de seguridadLas funciones que tienen como consecuencia una parada del actuador (STO, SOS, SS1, SS2) se

visualizan con preferencia, en otro caso se visualiza la última función de seguridad solicitada.

Cuando se ha solicitado una función de seguridad pero aún no se ha alcanzado el estado seguro, se

visualiza el nombre de la función con intermitencia rápida.

La visualización de las funciones de seguridad solicitadas se realiza como se describe en la tabla

siguiente.

Función de seguridad Indicación

STO S t O

SS1 S S 1

SS2 S S 2

SOS S O S



Función de seguridad Indicación

USF0 (con SSF0: SLS, SSR, SSM) U S F 0




SBC S b C

Tab. 5.2 Indicación de las funciones de seguridad

Otras indicacionesLa tabla siguiente muestra otras indicaciones relacionadas con el módulo de seguridad.

Función/estado Indicación

Sesión de parametrización activaLa secuencia de caracteres se

visualiza cíclicamente mientras haya

una sesión de parametrización en

curso.

F S P A r A

Identificación de controladorSe visualiza cíclicamente la

secuencia de caracteres HELLO,

seguida del número de serie1) de la

unidad básica mientras la función

“Identificación” esté activa (función

de saludo).

H E L L O ...

1) El número de serie de la unidad básica se visualiza en el plugin de FCT en la página “Controller” (Controlador) así como en el

SafetyTool. Además, hallará el número de serie en un pequeño adhesivo situado en la parte inferior del aparato (entre [X6] y

[X2A]).

Tab. 5.3 Otras indicaciones



5.5 Mensajes de error y tratamiento de errores

5.5.1 Números de error

Los números de error 51 a 59 están reservados para el módulo de seguridad.

La tabla siguiente presenta un cuadro general de la asignación.

N.° Descripción

51-x Controlador de motor: Error del hardware (módulo de seguridad existente,

cambio de módulo).

52-x Controlador de motor: Errores del módulo de seguridad (máquina de estado,

tiempo de discrepancia ...) y errores del controlador de motor siempre que

afecten al módulo de seguridad.

53-x Módulo de seguridad: (Errores del módulo de seguridad).

54-x

55-x

56-x

57-x

58-x

59-x

Tab. 5.4 Mensajes de error generados por el controlador de motor y por el módulo de seguridad

5.5.2 Acuse de recibo de error

Los errores generados por el controlador de motor 51-x y 52-x se pueden validar a través del

controlador de motor � véase la descripción de funciones del CMMP-AS-...-M3.

Los errores 53-x hasta 59-x son generados por el módulo de seguridad y solamente pueden validarse a

través del módulo de seguridad.

La validación tiene lugar a través de la entrada de mando parametrizada en el módulo de seguridad o

en el SafetyTool (en la página inicial “Safety Module” (Módulo de seguridad) o en la ventana “Error

Display” (Indicación de errores) en el menú [Extras] [Diagnostics] (Diagnosis) [Errors] (Errores). Se

validan todos los errores en la medida de lo posible, incluidos los errores de la unidad básica.

Tras un reinicio del controlador de motor (tecla de Reset de la unidad básica o apagar/encender la

alimentación), los errores también están “validados” siempre que la causa ya no exista.

Hallará más información sobre la validación de errores en el módulo de seguridad

� Sección 2.8.3.



5.5.3 Mensajes de diagnosisCuando se produce un error, el módulo de seguridad lo indica mediante el LED rojo encendido de forma

permanente o intermitente. Además, el controlador de motor muestra CMMP-AS-...-M3 cíclicamente un

mensaje de diagnosis en el visualizador digital de 7 segmentos. Un mensaje de error se compone de

una E (de Error), un índice principal y un subíndice como, p. ej.:E 0 1 0.

Las advertencias tienen el mismo número que un mensaje de error. Para diferenciarlas de estos, en las

advertencias aparece un guión antes y después del número, p. ej. - 1 7 0 -.

En la sección 5.6 se enumeran los mensajes relevantes para la seguridad funcional en

relación con el módulo de seguridad.

La lista completa de los mensajes de error se encuentra en la documentación del

hardware GDCP-CMMP-M3-HW-... del controlador de motor utilizado.

La Tab. 5.5 explica las entradas de las tablas de la sección 5.6

Columna Significado

N.° Índice principal y subíndice del mensaje de diagnosis.Código La columna Código contiene el código de error (Hex) por CiA 301.Mensaje Mensaje que se visualiza en el FCT.Causa Posibles causas del mensaje.Medida Medida a tomar por el usuario.Reacción La columna Reacción contiene la reacción ante errores (ajuste predeterminado,

configurable parcialmente):– PS off (desconectar paso de salida),– MCStop (parada rápida con corriente máxima),– QStop (parada rápida con rampa parametrizada),– Warn (advertencia),– Ignore (ningún mensaje, solo entrada en la memoria de diagnosis),– NoLog (ningún mensaje y ninguna entrada en la memoria de diagnosis).Las reacciones ante los errores 53-x a 59-x se configuran a través del SafetyTool:– Solicitud de STO + SBC + poner todas las salidas digitales en “0” [8]– Solicitud de STO + SBC [7]– Solicitud de STO [6]– Solicitud de SBC SS1 [5]– Solicitud de SS1 [4]– Solicitud de SS2 [3]– Generación de una advertencia, no hay más reacciones [2] – corresponde a

“Warn”– Ninguna reacción, solo entrada en la memoria de diagnosis [1] – corresponde

a “Entrada”– Ninguna reacción, ninguna entrada en la memoria de diagnosis [0] –

corresponde a “Ignore”

Tab. 5.5 Explicación de la tabla “Mensajes de diagnosis del CMMP-AS-...-M3”

En caso de un mensaje de error que no se pueda validar, se debe eliminar la causa según la medida

recomendada. A continuación reinicie el controlador del motor y compruebe si se ha eliminado la causa

del error y con ella el mensaje de error.



5.6 Mensajes de diagnosis con notas sobre la eliminación de fallos

Grupo de errores 0 InformaciónN.º Código Mensaje Reacción

0-0 - Error no válido Ignorar

Causa Información: Se ha marcado una entrada de error no válida

(corrupta) con este número de error en la memoria de diagnosis.

La entrada de la hora del sistema se ajusta en 0.

Medida –

0-1 - Error no válido detectado y corregido Ignorar

Causa Información: Se ha detectado y corregido una entrada de error

no válida (corrupta) en la memoria de diagnosis. En la

información adicional se encuentra el número de error original.

La entrada de la hora del sistema incluye la dirección del

número de error corrupto.

Medida –

0-2 - Error borrado Ignorar

Causa Información: Se han validado errores activos.

Medida –

0-4 - Número de serie / tipo de equipo (cambio de módulo) Ignorar

Causa Información: � Entrada en la memoria de diagnosis.

Medida –

0-7 - Entrada siguiente Ignorar


Medida –

0-8 - Controlador conectado Ignorar


Medida –

0-9 - Parámetro de seguridad del controlador modificado Ignorar


Medida –

0-10 - Módulo de seguridad: Parámetros modificados Ignorar


Medida –

0-11 - Cambio de módulo: Módulo anterior Ignorar


Medida –

0-12 - Cambio de módulo: Módulo actual Ignorar


Medida –

0-13 - Módulo de seguridad: Error validado Ignorar


Medida –



Grupo de errores 0 Información

N.º ReacciónMensajeCódigo

0-14 - Función de seguridad solicitada Ignorar


Medida –

0-15 - Módulo de seguridad: Sesión de parametrización abierta Ignorar


Medida –

0-16 - Módulo de seguridad: Sesión de parametrización cerrada Ignorar


Medida –

0-17 - Módulo de seguridad: Contraseña modificada Ignorar


Medida –

0-18 - Módulo de seguridad: Contraseña restablecida Ignorar


Medida –

0-19 - Módulo de seguridad: Conjunto de parámetros cargado Ignorar


Medida –

0-20 - Módulo de seguridad: Conjunto de parámetros guardado Ignorar


Medida –

0-21 - Entrada de registro del módulo de seguridad Ignorar


Medida –

Grupo de errores 51 Módulo/Función de seguridadN.º Código Mensaje Reacción

51-0 8091h No hay ningún módulo de seguridad o es desconocido o laalimentación del excitador es errónea

PSoff

Causa Módulo interno de tensión del módulo de seguridad o del

módulo de microinterruptores.

Medida � Probablemente el módulo esté averiado. Si es posible,

cambiarlo por otro módulo.

Causa No se ha detectado ningún módulo de seguridad ni tipo de

módulo desconocido.

Medida � Montar un módulo de seguridad o de microinterruptores

adecuado para el firmware y el hardware.

� Cargar un módulo de seguridad o de microinterruptores

adecuado para el firmware; compárese el código del

producto en el módulo.



Grupo de errores 51 Módulo/Función de seguridad


51-1 8092h Función de seguridad: Alimentación del excitador errónea PSoffCausa Error interno de hardware (fallo de tensión) del módulo de

seguridad o del módulo de microinterruptores.Medida � Probablemente el módulo esté averiado. Si es posible,

cambiarlo por otro módulo.Causa – Error en la parte de conmutación del excitador en la unidad

básica.Medida � Probablemente la unidad básica esté averiada. Si es posible,

cambiarla por otra unidad básica.51-2 8093h Módulo de seguridad: Tipo de módulo diferente PSoff

Causa El tipo o la revisión del módulo no es adecuado para la

planificación del proyecto.Medida � Comprobar si se está utilizando el tipo de módulo correcto y

la revisión correcta.

� En caso de cambio de módulo: Tipo de módulo no

planificado. Tomar el módulo de seguridad o de

microinterruptores montado actualmente como aceptado.

51-3 8094h Módulo de seguridad: Versión del módulo diferente PSoffCausa El tipo o revisión del módulo no es compatible.Medida � Montar un módulo de seguridad o de microinterruptores


� Cargar un firmware adecuado para adecuado para el

módulo; compárese el código del producto en el módulo.

Causa El tipo de módulo es correcto, pero la revisión del módulo no es

compatible con la unidad básica.Medida � Verificar la revisión del módulo; después de la sustitución

utilizar un módulo a ser posible con la misma revisión.

Montar un módulo de seguridad o de microinterruptores


� Si solo está disponible un módulo con una revisión superior:

Cargar en la unidad básica un firmware adecuado para el

módulo, compárese el código del producto en el módulo.51-4 8095h Módulo de seguridad: Error en la comunicación SSIO PSoff

Causa La conexión de comunicación interna entre la unidad básica y el

módulo de seguridad está perturbada.Medida � El error puede aparecer cuando en la unidad básica se ha

planificado un CAMC-G-S3 pero hay otro tipo de módulo

insertado.

� Cargar un módulo de seguridad o de microinterruptores

adecuado para el firmware; compárese el código del

producto en el módulo.



Grupo de errores 51 Módulo/Función de seguridad


51-5 8096h Módulo de seguridad: Error en el control de freno PSoffCausa Error interno de hardware (señales de mando de control de

freno) del módulo de seguridad o del módulo de

microinterruptores.Medida � Probablemente el módulo esté averiado. Si es posible,

cambiarlo por otro módulo.Causa Error en la parte de conmutación del excitador de freno en la

unidad básica.Medida � Probablemente la unidad básica esté averiada. Si es posible,

cambiarla por otra unidad básica.51-6 8097h Módulo de seguridad: Número de serie del módulo diferente PSoff

Causa El número de serie del módulo de seguridad insertado

actualmente difiere del número guardado.Medida El error se produce solo después de cambiar el CAMC-G-S3.

� En caso de cambio de módulo: Tipo de módulo no

planificado. Tomar el CAMC-G-S3 montado actualmente

como aceptado.

Grupo de errores 52 Función de seguridadN.º Código Mensaje Reacción

52-1 8099h Función de seguridad: Tiempo de discrepancia excedido PSoff

Causa – Las entradas de mando STO-A y STO-B no se accionan

simultáneamente.

Medida � Comprobar el tiempo de discrepancia.

Causa – Las entradas de mando STO-A y STO-B no se conmutan en el

mismo sentido.

Medida � Comprobar el tiempo de discrepancia.

Causa Alimentación OS y US no conectadas simultáneamente (tiempode discrepancia excedido)– Error en la activación / circuito de protección externo del


– Error en módulo de seguridad.

Medida � Comprobar el circuito del módulo de seguridad; ¿lasentradas STO-A y STO-B se desconectan por dos canales ysimultáneamente?

� Cambiar el módulo de seguridad si se sospecha que estáaveriado.



Grupo de errores 52 Función de seguridad


52-2 809Ah Función de seguridad: Avería de la alimentación delexcitador con activación PWM activa

PSoff

Causa Este mensaje de error no aparece en aparatos suministrados defábrica. Puede aparecer si se utiliza un firmware de dispositivoespecífico del cliente.

Medida � El estado seguro se ha solicitado con el paso de salida depotencia habilitado. Comprobar la integración en la conexiónde seguridad.

52-3 809Bh Módulo de seguridad: Límites solapantes de la limitaciónde revoluciones en la unidad básica

PSoff

Causa La unidad básica indica un error cuando la dirección delmovimiento solicitada actualmente no se puede ejecutar porqueel módulo de seguridad ha bloqueado un valor nominal en dichadirección.El error puede aparecer en combinación con las funcionesseguras de velocidad SSFx cuando se utiliza una ventanaasimétrica de velocidad en la que se establece un límite en cero.En este caso el error se produce cuando la unidad básicase desplaza en la dirección bloqueada en el modo defuncionamiento de posicionamiento.

Medida � Comprobar la aplicación y modificarla si es necesario.

Grupo de errores 53 Vulneración de condiciones de seguridadN.º Código Mensaje Reacción

53-0 80A1h USF0: Condición de seguridad vulnerada ConfigurableCausa – Vulneración de los límites de velocidad controlados de la

SSF0 durante el funcionamiento / en caso de USF0 / SSF0solicitada.

Medida Comprobar cuándo se produce la vulneración de la condición deseguridad:a) en caso de frenado dinámico hasta la velocidad de giro segurab) después de que el actuador haya alcanzado la velocidad de

giro segura.� En el caso a) Comprobación crítica de la rampa de frenado -

grabar Trace - ¿el actuador puede seguir a la rampa?� Modificar los parámetros para la rampa de frenado o el

momento del inicio / tiempos de retardo para la supervisión.� En el caso b) Comprobar a qué distancia se encuentra la

velocidad actual de la velocidad límite controlada; si esnecesario aumentar la distancia (parámetro en el módulo deseguridad) o corregir la especificación de velocidad del control.



Medida � Véase USF0, error 53-0.



Grupo de errores 53 Vulneración de condiciones de seguridad




Medida � Véase USF0, error 53-0.53-3 80A4h USF3: Condición de seguridad vulnerada Configurable

Causa – Vulneración de los límites de velocidad controlados de laSSF3 durante el funcionamiento / en caso de USF3 / SSF3solicitada.

Medida � Véase USF0, error 53-0.

Grupo de errores 54 Vulneración de condiciones de seguridadN.º Código Mensaje Reacción

54-0 80AAh SBC: Condición de seguridad vulnerada ConfigurableCausa – El freno se debe aplicar, retroseñal no en el tiempo esperado.Medida � Comprobar cómo está configurada la retroseñal: ¿se ha

seleccionado la entrada correcta para la retroseñal?� ¿La polaridad de la retroseñal es la adecuada?� Comprobar si la señal de confirmación conmuta realmente.� Comprobar si el tiempo de retardo parametrizado es

adecuado para la evaluación de la señal de confirmaciónpara el el freno utilizado (dado el caso, comprobar el tiempode conmutación).

54-2 80ACh SS2: Condición de seguridad vulnerada ConfigurableCausa – El valor efectivo de revoluciones se encuentra durante

demasiado tiempo fuera de los límites permitidos.Medida Comprobar cuándo se produce la vulneración de la condición de

seguridad:a) en caso de frenado dinámico a cero.b) después de que el actuador haya alcanzado la velocidad de

giro cero.� En el caso a) Comprobación crítica de la rampa de frenado -

grabar Trace - ¿el actuador puede seguir a la rampa?Modificar los parámetros para la rampa de frenado o elmomento de inicio / tiempos de retardo para la supervisión.

� En el caso a) Si está activada la opción de “generar la paradarápida de la unidad básica”: Verificación crítica de la rampade parada rápida de la unidad básica.

� En el caso b) Comprobar si el actuador sigue oscilando trasalcanzar la velocidad de giro cero o si se detiene de formaestable, dado el caso aumentar el tiempo tolerado de lasupervisión.

� En el caso b) Si el valor efectivo de velocidad en estado deparada es muy ruidoso: Comprobar los parámetrosavanzados para la detección de las revoluciones y del estadode parada y adaptarlos si es necesario.





54-3 80ADh SOS: Condición de seguridad vulnerada ConfigurableCausa – La evaluación de transductor angular indica “el motor gira”

(el valor efectivo de velocidad excede el límite).– El actuador ha girado de su posición tras alcanzar el estado

seguro.Medida � Comprobar la tolerancia de posición para la supervisión

SOS, aumentarla en caso necesario si está permitido.� Si el valor efectivo de velocidad en estado de parada es muy

ruidoso: Comprobar los parámetros avanzados para ladetección de las revoluciones y del estado de parada yadaptarlos si es necesario.

54-4 80AEh SS1: Condición de seguridad vulnerada ConfigurableCausa – El valor efectivo de revoluciones se encuentra durante

demasiado tiempo fuera de los límites permitidos.Medida Comprobar cuándo se produce la vulneración de la condición de

seguridad:a) en caso de frenado dinámico a cero.b) después de que el actuador haya alcanzado la velocidad de

giro cero.� En el caso a) Comprobación crítica de la rampa de frenado -

grabar Trace - ¿el actuador puede seguir a la rampa?Modificar los parámetros para la rampa de frenado o elmomento de inicio / tiempos de retardo para la supervisión.

� En el caso a) Si está activada la opción de “generar la paradarápida de la unidad básica”: Verificación crítica de la rampade parada rápida de la unidad básica.

� En el caso b) Comprobar si el actuador sigue oscilando trasalcanzar la velocidad de giro cero o si se detiene de formaestable, dado el caso aumentar el tiempo tolerado de lasupervisión.

� En el caso b) Si el valor efectivo de velocidad en estado deparada es muy ruidoso: Comprobar los parámetrosavanzados para la detección de las revoluciones y del estadode parada y adaptarlos si es necesario.





54-5 80AFh STO: Condición de seguridad vulnerada ConfigurableCausa – Error interno de hardware (fallo de tensión) del módulo de

seguridad.Medida � Probablemente el módulo esté averiado. Si es posible,

cambiarlo por otro módulo.Causa – Error en la parte de conmutación del excitador en la unidad

básica.Medida � Probablemente la unidad básica esté averiada. Si es posible,

cambiarla por otra unidad básica.Causa – No hay retroseñal de la unidad básica indicando que se ha

desconectado el paso de salida.Medida � Comprobar si se puede validar el error y si vuelve a aparecer

al volver a solicitar STO; en caso afirmativo; la unidad básicaprobablemente esté averiada. Si es posible, cambiarla porotra unidad básica.

54-6 80B0h SBC: Freno no presurizado > 24 h ConfigurableCausa – El error aparece cuando se solicita SBC y la unidad básica no

ha abierto el freno en las últimas 24 h.Medida � Si el control de freno se realiza a través del excitador de

freno de la unidad básica [X6]: El freno debe recibiralimentación al menos 1 vez durante las 24 h anteriores a lasolicitud de SBC, puesto que la comprobación del disyuntorsolo se puede realizar con el freno conectado (alimentado).

� Solo si el control de freno se realiza a través de DOUT4x y deun equipo de mando de freno externo: Desactivar lasupervisión de 24 h en los parámetros SBC si el mando defreno externo lo permite.

54-7 80B1h SOS: SOS solicitada > 24 h ConfigurableCausa – Si se solicita SOS durante más de 24 h se dispara el error.Medida � Finalizar SOS entretanto, desplazar el eje una vez entretanto.



Grupo de errores 55 Detección de valor efectivo 1N.º Código Mensaje Reacción

55-0 80C1h No hay valor efectivo disponible de revoluciones / deposición o estado de reposo > 24 h

Configurable

Causa – Error subsiguiente en caso de avería de un sensor deposición.

– Función de seguridad SSF, SS1, SS2 o SOS solicitada y valorefectivo de revoluciones no válido.

Medida � Comprobar la función del sensor o los sensores de posición(ver errores siguientes).

55-1 80C2h Transmisor SEN/COS [X2B] - Error de señales de pista Configurable

Causa – Longitud de vectores sen²+cos² fuera del margen permitido.– La amplitud de una de las dos señales se encuentra fuera del

margen permitido.– Decalaje entre la señal analógica y la señal digital > 1

cuadrante.

Medida El error puede aparecer en transmisores SEN/COS y también entransmisores Hiperface.� Comprobación del sensor de posición.� Comprobación del cableado de conexión (rotura de cable,

cortocircuito entre dos señales o señal / blindaje).� Comprobación de la tensión de alimentación para los

sensores de posición.� Comprobación del cable de motor / soporte de blindaje; las

averías de compatibilidad electromagnética del motor y delactuador pueden generar el error.

55-2 80C3h Transmisor SEN/COS [X2B] - Parada > 24 h Configurable

Causa – Las señales de entrada del transmisor SEN/COS no se hanmodificado en una magnitud mínima durante 24 h (confunción de seguridad solicitada).

Medida � Mientras, finalizar SS2 o SOS; mientras, desplazar el eje unavez.

55-3 80C4h Resolvedor [X2A] - Error de señal Configurable

Causa – Longitud de vectores sen²+cos² fuera del margen permitido.– La amplitud de una de las dos señales se encuentra fuera del

margen permitido.– La señal de entrada es estática (los mismos valores a la

derecha y a la izquierda del máximo).

Medida � Comprobación del resolvedor.� Comprobación del cableado de conexión (rotura de cable,

cortocircuito entre dos señales o señal / blindaje).� Comprobación de avería de la señal del excitador� Comprobación del cable del motor y del transmisor / soporte

de blindaje en el lado del motor y del actuador. Las averíasde compatibilidad electromagnética pueden generar el error.



Grupo de errores 55 Detección de valor efectivo 1


55-4 - Transmisor EnDat [X2B] - Error de sensor Configurable

Causa – Error de comunicación entre el módulo de seguridad y eltransmisor ENDAT.

– Hay un mensaje de error del transmisor ENDAT.

Medida � Comprobación del transmisor ENDAT.� Comprobación del cableado de conexión (rotura de cable,

cortocircuito entre dos señales o señal / blindaje).� Comprobación de la tensión de alimentación para el

transmisor ENDAT.� Comprobación del cable de motor / soporte de blindaje; las


55-5 - Transmisor EnDat [X2B] - Tipo de sensor incorrecto Configurable

Causa – El número de pulsos no se corresponde con laparametrización.

– N.º de serie No se corresponde con la parametrización.– El tipo de transmisor no se corresponde con la

parametrización.

Medida � Comprobar la parametrización.� Utilizar únicamente transmisores autorizados.

55-6 80C5h Encoder incremental [X10] - Error de señales de pista Configurable

Causa – Señales de pista del encoder incremental incorrectas.

Medida � Comprobación del cableado de conexión (rotura de cable,cortocircuito entre dos señales o señal / blindaje).

� Comprobación del cable de motor / soporte de blindaje; lasaverías de compatibilidad electromagnética del motor y delactuador pueden generar el error.

55-7 80C6h Otros transmisores [X2B] - Información angular incorrecta Configurable

Causa – La unidad básica emite el error “Ángulo erróneo” cuando elestado se mantiene durante más tiempo del permitido.

– El transmisor en X2B es evaluado por la unidad básica,– Transmisor averiado.

Medida � Comprobación del sensor de posición en X2B.� Comprobación del cableado de conexión (rotura de cable,

cortocircuito entre dos señales o señal / blindaje).� Comprobación de la tensión de alimentación para el

transmisor ENDAT.� Comprobación del cable de motor / soporte de blindaje; las






55-8 - Aceleración inadmisible detectada Configurable

Causa – Error en el sensor de posición conectado.– Averías de compatibilidad electromagnética que influyen en

los sensores de posición.– Aceleraciones elevadas inadmisibles en los perfiles de

desplazamiento.– El límite de aceleración parametrizado es demasiado bajo.– Salto de ángulo después del recorrido de referencia en los

datos de posición transmitidos desde la unidad básica almódulo de seguridad.

Medida � Comprobación de los sensores de posición conectados: Si seproducen otros mensajes de error en relación con lostransmisores, primero es necesario confirmar su causa.

� Comprobación del cable del motor y del transmisor / soportede blindaje en el lado del motor y del actuador. Las averíasde compatibilidad electromagnética pueden generar el error.

� Comprobación de las especificaciones de valor nominal /perfiles de desplazamiento del control: ¿Contienenaceleraciones elevadas no permitidas por encima del valorlímite para la supervisión de aceleración (P06.07)?

� Controlar si el valor límite para la supervisión de aceleraciónestá parametrizada correctamente, el valor límite (P06.07)debería estar como mínimo 30% ... 50 % por encima de laaceleración máxima generada.

� En caso de salto de ángulo en los datos de posición de launidad básica validar el error una única vez.


N.º Código Mensaje Reacción

56-8 80D1h Diferencia revoluciones / ángulo transmisor 1 - 2 Configurable

Causa – Diferencia de revoluciones entre encoder 1 y 2 de un μC más

larga de lo permitido fuera del margen permitido.

– Diferencia de ángulo entre encoder 1 y 2 de un μC más larga

de lo permitido fuera del margen permitido.

Medida � El problema puede surgir cuando en el sistema se utilizan

dos sensores de posición sin acoplamiento rígido.

� Comprobar elasticidades u holgura, mejorar mecánica.

� Adaptación de los parámetros expertos para la comparación

de posición si es aceptable desde el punto de vista de la

aplicación.





56-9 - Error comparación cruzada evaluación de transmisores Configurable

Causa La comparación cruzada entre μC1 y μC2 ha determinado

diferencia de ángulos o de revoluciones o una diferencia en los

momentos de detección para los sensores de posición.

Medida � Temporización averiada. Si el error vuelve a aparecer

después de RESET, es probable que el módulo de seguridad

esté averiado.

Grupo de errores 57 Error entradas/salidas

N.º Código Mensaje Reacción

57-0 80E1h Error de autotest I/O (interno/externo) Configurable

Causa – Error en las salidas DOUT40 ... DOUT42 (detección mediante

pulsos de prueba).

– Error interno de las entradas digitales DIN40 ... DIN49

(mediante señales de prueba internas).

– Error en la salida de freno en X6 (juego de señal, detección

mediante pulsos de prueba).

– Error interno de la salida de freno (mediante señales de

prueba internas).

– Error interno de las salidas digitales DOUT40 �DOUT42

(mediante señales de prueba internas).

Medida � Comprobar el cableado de conexiones para las salidas digitales

DOUT40 ... DOUT42 (cortocircuito, circuito cruzado, etc.).

� Comprobar el cableado de conexiones para el freno

(cortocircuito, circuito cruzado, etc.).

� Conexión de freno: El error puede aparecer en cables de

motor largos cuando:

1. La salida de freno X6 se ha configurado para el freno (¡este es

el caso en los ajustes de fábrica!) y

2. Se utiliza un motor sin freno de sostenimiento y los cables de

conexión del freno en el cable de motor están tendidos en

X6. En este caso: Desconecte los cables de conexión de

freno de X6.

� Si no hay ningún error en el cableado de conexión puede

haber un error interno en el módulo (comprobación

mediante cambio de módulo).



Grupo de errores 57 Error entradas/salidas


57-1 80E2h Entradas digitales - Error nivel de señal Configurable

Causa Tiempo de discrepancia excedido / vulnerado en salidas de

varios canales (DIN40 ... DIN44, terminal de mando de dos

manos, selector del modo de funcionamiento).

Medida � Comprobar si sensores externos activos y pasivos utilizados

conmutan por dos canales y simultáneamente (dentro del

tiempo de discrepancia parametrizado).

� Terminal de mando de dos manos, comprobar cómo es

manejado el aparato por el usuario, ¿se accionan las dos

teclas dentro del tiempo de discrepancia? Si es necesario

instruir al personal.

� Comprobar los tiempos de discrepancia ajustados, ¿son

suficientes?

57-2 - Entradas digitales - Error pulso de prueba Configurable

Causa – Se han configurado una o varias entradas (DIN40 ... DIN49)

para la evaluación de pulsos de prueba de las salidas

(DOUT40 ... DOUT42). Los pulsos de prueba de DOUTx no

llegan a DIN4x.

Medida � Comprobar el cableado (cortocircuitos a 0 V, 24 V, circuitos

cruzados).

� Comprobar la asignación, ¿se ha seleccionado / configurado

la salida correcta para el pulso de prueba?

57-6 - Temperatura de la electrónica demasiado alta Configurable

Causa – El control de la temperatura del módulo de seguridad ha

reaccionado, la temperatura de μC 1 o μC2 estaba por

debajo de -20 ° o por encima de +75 °C.

Medida � Comprobar las condiciones de operación (temperatura

ambiente, temperatura del armario de maniobra, situación

de montaje en el armario de maniobra).

� Si el controlador de motor tiene una carga térmica elevada

(temperatura alta del armario de maniobra, potencia

absorbida elevada / emisión al motor, muchas posiciones de

enchufe ocupadas) debería utilizarse un controlador de

motor con el siguiente nivel de potencia superior.



Grupo de errores 58 Error en la comunicación / parametrizaciónN.º Código Mensaje Reacción

58-0 80E9h Verificación de plausibilidad de parámetro Configurable

Causa La verificación de plausibilidad ha detectado un error en elmódulo de seguridad, p. ej. una configuración inadmisible deltransductor angular; el error se genera cuando al solicitar uncódigo de validación mediante el SafetyTool y al guardarparámetros en el módulo de seguridad.

Medida � Observar las notas del SafetyTools durante la validacióntotal, comprobar críticamente la parametrización.

58-1 - Error general de parametrización Configurable

Causa Sesión de parametrización activa ya desde > 8 h.Por ello el módulo de seguridad ha interrumpido la sesión deparametrizaciónEl mensaje de error se guarda en la memoria de diagnosis.

Medida � Finalizar la sesión de parametrización en un plazo de 8 h ,después iniciar nueva sesión de parametrización y continuar.

58-4 80E9h Memoria intermedia comunicación interna Fijo [8]

Causa – Conexión de comunicación perturbada.– Timeout / error de datos / orden incorrecto (contador de

paquetes) en la tarnsmisión de datos unidad básica - módulode seguridad.

– Tráfico de datos demasiado alto, nuevas solicitudesenviadas al módulo de seguridad antes de que hayacontestado a las anteriores.

Medida � Comprobar las interfaces de comunicación, cableado,blindaje, etc.

� Comprobar si durante una sesión de parametrización encurso hay otros aparatos que acceden con lectura alcontrolador de motor y al módulo de seguridad, de modoque la conexión de comunicación puede sobrecargarse.

� Comprobar si las revisiones del firmware en el módulo deseguridad, la unidad básica y la versión de revisión del pluginde FCT y del SafetyTool son compatibles.

58-5 80EAh Comunicación módulo - unidad básica Fijo [8]

Causa – Error de contador de paquetes en la transmisión μC1<-� μC2.

– Error en suma de prueba en la transmisión μC1 <-� μC2.

Medida � Avería interna en el controlador de motor.� Comprobar si las revisiones del firmware en el módulo de

seguridad, la unidad básica y la versión de revisión del pluginde FCT y del SafetyTool son compatibles.



Grupo de errores 58 Error en la comunicación / parametrización


58-6 80EBh Error comparación cruzada procesadores 1 - 2 Fijo [8]Causa Timeout de comparación cruzada (no hay datos) o comparación

cruzada errónea (los datos de μC1 y μC2 difieren entre sí).– Error de comparación cruzada I/Os digitales.– Error de comparación entrada analógica.– Error de comparación cruzada de la medición interna de

tensión de funcionamiento (5 V, 3,3 V, 24 V) y tensión dereferencia (2,5 V).

– Error de comparación cruzada de valores analógicos deltransductor angular SEN/COS.

– Error de comparación cruzada supervisión de ejecución delprograma.

– Error de comparación cruzada contador interrupción.– Error de comparación cruzada imagen de entrada.– Error de comparación cruzada vulneración de condiciones de

seguridad.– Error de comparación cruzada medición de temperatura.

Medida Se trata de un error interno del módulo que no debe aparecerdurante el funcionamiento.� Comprobación de las condiciones de operación

(temperatura, humedad del aire, condensación).� Comprobar la compatibilidad electromagnética, ¿cableado

como prescrito, concepto de apantallado, hay fuentes deperturbación externas?

� El módulo de seguridad podría estar averiado, ¿eliminaciónde errores tras sustitución de módulo?

� Comprobar si el fabricante dispone de un nuevo firmwarepara el controlador de motor o una nueva versión del módulode seguridad.

Grupo de errores 59 Error interno del módulo de seguridadN.º Código Mensaje Reacción

59-1 80F1h Alimentación Failsafe/bloqueo seguro de pulso Fijo [8]Causa – Error interno en el módulo en la parte de conmutación de la

alimentación Failsafe o en la alimentación del excitador parael interruptor superior o inferior.

Medida � Módulo averiado, sustituirlo.59-2 80F2h Error alimentación de corriente externa Fijo [8]

Causa – Tensión de referencia 2,5 V fuera de la tolerancia.– Se ha detectado sobretensión en la alimentación de la lógica

+24 V.Medida � Módulo averiado, sustituirlo.



Grupo de errores 59 Error interno del módulo de seguridad


59-3 80F3h Error fuente de alimentación interna Fijo [8]Causa – Tensión (interna 3,3 V, 5 V, referencia ADU) fuera del margen

permitido.Medida � Módulo averiado, sustituirlo.

59-4 80F4h Gestión de errores: Demasiados errores Fijo [8]Causa – Han ocurrido demasiados errores simultáneamente.Medida � Aclaración: ¿Qué estado tiene el módulo de seguridad

montado? ¿Contiene un conjunto de parámetros válido?� Leer el archivo Log de la unidad básica a través del FCT y

analizarlo.� Eliminar las causas de error paso a paso.� Montar módulo de seguridad con estado de entrega y

ejecutar “puesta a punto de la unidad básica”.� Si esto no está disponible: establecer ajustes de fábrica en

el módulo de seguridad y, a continuación, ejecutar unaadquisición de datos desde la únidad básica y una validacióntotal. Comprobar si vuelve a aparecer el programa.

59-5 80F5h Error de escritura memoria de diagnosis Fijo [8]Causa Error subsiguiente cuando la comunicación interna está

perturbada.– Unidad básica no preparada para funcionar, averiada o error

de memorización.Medida � Comprobar la función de la unidad básica

� Generar un error en la unidad básica, p. ej. desenchufar elconector del sensor de posición, comprobar si la unidadbásica escribe una entrada en el archivo Log.

� Módulo o unidad básica averiados, sustituirlos.59-6 80F6h Error al guardar conjunto de parámetros Fijo [8]

Causa – Interrupción de la tensión / Power-Off mientras se guardanlos parámetros.

Medida � Mantener la alimentación de 24 V durante toda la sesión deparametrización.

� Después de que aparecza el error volver a parametrizar elmódulo y volver a validar el conjunto de parámetros.

59-7 80F7h Error suma de prueba memoria FLASH Fijo [8]Causa – Interrupción de la tensión / Power-Off mientras se guardan

los parámetros.– Memoria FLASH corrupta en el módulo de seguridad (p. ej. a

causa de perturbaciones extremadamente intensas).Medida Comprobar si se vuelve a producir el error después de RESET, en

caso afirmativo� volver a parametrizar el módulo y volver a validar el conjunto

de parámetros si el error persiste:� Módulo averiado, sustituirlo.



Grupo de errores 59 Error interno del módulo de seguridad


59-8 80F8h Supervisión interna procesador 1 - 2 Fijo [8]Causa – Error interno grave en el módulo de seguridad: Error

detectado en la dinamización de señales internas– Ejecución del programa perturbada, error de Stack o prueba

de código OP fallida, excepción / interrupción de procesador.Medida Comprobar si se vuelve a producir el error después de RESET, en

caso afirmativo� Módulo averiado, sustituirlo.

59-9 80F9h Otros errores inesperados Fijo [8]Causa Reacción de la supervisión de ejecución del programa.Medida � Comprobar las revisiones del firmware de la unidad básica y

la revisión del módulo de seguridad; ¿hay una actualizacióndisponible?

� Módulo de seguridad averiado, sustituirlo.

6 Mantenimiento, reparación, sustitución, eliminación



6.1 Mantenimiento

El módulo de seguridad no contiene piezas que requieran mantenimiento.

6.2 Reparación

No está permitido realizar reparaciones en el módulo de seguridad. Si es necesario, cam

bie el módulo de seguridad completo.

� En caso de avería interna es necesario cambiar el módulo de seguridad.

� Envíe a Festo el módulo de seguridad averiado no modificado, incluyendo una descripción del fallo y

del caso de aplicación para realizar un análisis.

� Póngase en contacto con su comercial técnico para averiguar las modalidades de envío posibles.

6.3 Sustitución del módulo de seguridad

En caso de que un módulo de seguridad falle y deba ser sustituido, es necesario tomar medidas

organizativas para garantizar la seguridad. Esto requiere:

– que el módulo de seguridad no sea sustituido por otro tipo de módulo sin funcionalidad de

seguridad (módulo de microinterruptores).

– que el módulo de seguridad no sea sustituido por otro tipo de módulo con un volumen de funciones

menor (CAMC-G-S3 por CAMC-G-S1).

– que el estado de revisión del módulo de seguridad nuevo coincida o sea compatible con el del

módulo de seguridad antiguo.

– que la parametrización del módulo de seguridad nuevo coincida con la parametrización del módulo

de seguridad averiado.

El código del producto del módulo de seguridad y la versión de revisión figuran en la

placa de características � Tab. 1, página 9.

Observe las medidas organizativas necesarias para evitar fallos en relación con la sustitución del

módulo.

Por ejemplo, dado que el número de serie del módulo de seguridad es distinto y el código de validación

es nuevo, en cualquier caso deberá elaborar un nuevo informe de validación.



6.3.1 Desmontaje y montajeAntes de la sustitución del módulo es necesario comprobar la compatibilidad entre el módulo de

seguridad y la unidad básica, véase también � Sección “Versiones” en este documento.

Hallará información sobre el desmontaje y el montaje del módulo de seguridad en

Montaje y desmontaje del módulo de seguridad � Sección 3.1.

Consejo: Si el módulo de seguridad a sustituir se puede activar desde el SafetyTool, se recomienda

guardar un conjunto seguro de parámetros desde el estado real validado (iniciar SafetyTool en modo

Online, visualizar parametrización, después crear conjunto seguro de parámetros).

6.3.2 Aceptación del módulo de seguridad

Después de sustituir el módulo, es necesario volver a aceptar el nuevo módulo de seguridad en el

plugin de FCT para CMMP-AS.

Aceptar el número de serie del módulo de seguridad cambiado � Sección 4.3.4.

6.3.3 Nueva puesta a punto con el SafetyToolDespués de la aceptación del módulo de seguridad cambiado, debe transferir la parametrización

deseada al módulo de seguridad y validarla a continuación.

Hallará informaciones básicas en las siguientes secciones:

– SafetyTool � Sección 4.5

– Parametrización � Sección 4.4

– Comprobación del funcionamiento y validación � Sección4.8

Para ello, es necesario iniciar primero el SafetyTool en el modo Online.

Dependiendo de los datos disponibles del módulo de seguridad que se debe sustituir, existen las

siguientes opciones:

a) Está disponible un conjunto de parámetros seguro del módulo de seguridad que se debe sustituir:

� Abra el conjunto de parámetros en el SafetyTool y cárguelo en el módulo de seguridad. Para ello,

la información básica de la unidad básica debe coincidir con la contenida en el conjunto de

parámetros.

b) Existe un proyecto de SafetyTool guardado que corresponde a la parametrización:

� En caso necesario, restablezca los ajustes de fábrica del módulo de seguridad si este no se

encuentra en el estado de entrega.

� A continuación, abra el proyecto de SafetyTool.

� La información básica de la unidad básica tiene que coincidir. De lo contrario, es necesario

ajustarla.

� Después podrá validar las páginas de parámetros individuales y cargarlas en el módulo de

seguridad.



c) No hay datos guardados disponibles del módulo de seguridad que se debe sustituir:

� En caso necesario, restablezca los ajustes de fábrica del módulo de seguridad si este no se

encuentra en el estado de entrega.

� A continuación proceda del mismo modo que en la primera puesta a punto.

Independientemente de la variante a), b) o c), es necesario volver a crear un informe de validación con

un nuevo código de validación y el nuevo número de serie del módulo de seguridad.

6.4 Puesta fuera de servicio y eliminación

Observe las indicaciones generales sobre el desmontaje del módulo de seguridad en la sección 3.1.

Eliminación

Observe las directivas locales relativas a la eliminación ecológica de módulos

electrónicos. El módulo de seguridad presenta conformidad con la directiva 2002/95/CE

(RoHS).

Los embalajes están diseñados para ser reciclados separándolos en función del material.

A Apéndice técnico



A.1 Especificaciones técnicas

A.1.1 Ingeniería de seguridad

Índices de seguridad

Funciones de seguridad

según EN 61800-5-2

STO Desconexión segura del par (Safe Torque Off )

SS1 Parada segura 1 (Safe Stop 1)

SS2 Parada segura 2 (Safe Stop 2)

SOS Parada de servicio segura (Safe Operating Stop)

SLS Velocidad con limitación segura (Safely-Limited Speed)

SSR Margen de velocidad seguro (Safe Speed Range)

SSM Control seguro de la velocidad (Safe Speed Monitor)

SBC Control seguro de freno (Safe Brake Control)

Valores según EN 61800-5-2SIL SIL 3 Nivel de integridad de la seguridad (Safety Integrity Level)

PFH [h-1] 9,5 x 10–9 Probabilidad de una avería peligrosa del hardware por hora

(Probability of a dangerous random hardware failure per hour)

DC [%] 97,5 Grado de cobertura de diagnosis (Diagnostic Coverage)

HFT 1 Tolerancia de error de hardware (Hardware Failure Tolerance)

SFF [%] 99,5 Fracción de fallos seguros (Safe Failure Fraction)

T [Años] 20 Proof Test Interval

Valores según EN 62061SIL SIL CL 3 Valor de exigencia SIL, para un sistema parcial (Claim Limit, for

a subsystem)

PFHD [h-1] 9,5 x 10–9 Probabilidad de un fallo peligroso por hora (Probability of

dangerous Failure per Hour)




T [Años] 20 Proof Test Interval

Valores según EN 61508SIL SIL 3 Nivel de integridad de la seguridad (Safety Integrity Level)

PFH [h-1] 9,5 x 10–9 Frecuencia media de una avería peligrosa por hora (Average

Frequency of dangerous Failure)




T [Años] 20 Intervalo de verificación (Proof Test Interval)



Índices de seguridad

Valores según EN ISO 13849-1Categoría1) 4 Categoría

Nivel de prestaciones

(PL)1)Pl e Nivel de prestaciones

PFH [h-1] 9,5 x 10–9 Valor medio de probabilidad de una avería grave por hora

(Average probability of a dangerous failure per hour)


MTTFd [Años] 8700 Tiempo medio hasta avería peligrosa (Mean time to dangerous

failure)

TM [Años] 20 Duración de la utilización (Mission time)

1) Clasificación máxima alcanzable, limitaciones dependientes de la función de seguridad � Sección 1.1.4, Tab. A.16 así como del

circuito de protección y de los transmisores � Apéndice A.2

Tab. A.1 Especificaciones técnicas: Índices de seguridad

Indicaciones de seguridad

Ensayo de tipo La ingeniería de seguridad funcional del producto ha sido

certificada conforme a la sección 1.1.4 por un centro de

pruebas independiente, véase el certificado del ensayo de

tipo CE

� www.festo.com/sp

Organismo que emite el certificado TÜV Rheinland, Certification Body of Machinery, NB 0035

N.º de certificado 01/205/5165.01/14

Componente de funcionamiento

comprobado

Sí

Tab. A.2 Especificaciones técnicas: Indicaciones de seguridad

A.1.2 Informaciones generales

Parte mecánica

Largo / ancho / alto [mm] 112,2 x 99,1 x 28,7

Peso [g] 220

Ranura Posición de enchufe Ext3 para módulos de seguridad

Nota sobre los materiales Conformidad con la directiva 2002/95/CE (RoHS)

Tab. A.3 Especificaciones técnicas: Parte mecánica

Certificaciones (módulo de seguridad CAMC-G-S3 para controladores de motor CMMP-AS-...-M3)

Símbolo CE (véase la declaración de

conformidad)

� www.festo.com

Según Directiva de Máquinas UE 2006/42/CE

Según Directiva EMC de UE

Este aparato está previsto para un uso industrial. En zonas

residenciales puede ser necesario tomar otras medidas de

supresión de interferencias.

Tab. A.4 Especificaciones técnicas: Certificaciones



A.1.3 Condiciones de operación y del entorno

Transporte

Temperatura máximas y

minimas

[°C] �25 … +70

Humedad del aire [%] 0 ... 95, con una temperatura ambiente máxima de 40 °C

Duración de transporte máxima Como máximo 4 semanas en todo el ciclo de vida del

producto

Tab. A.5 Especificaciones técnicas: Transporte

Almacenamiento

Temperatura de

almacenamiento

[°C] –25 … +55

Humedad del aire [%] 5 … 95, sin condensación o protegido contra condensación

Altura permitida [m] 3000 (sobre el nivel del mar)1)

1) Observe otras limitaciones, como p. ej. la altura de montaje permitida para los controladores de motor (en general < 2000 m sobre

el nivel del mar)

Tab. A.6 Especificaciones técnicas: Almacenamiento

Condiciones ambientales CMMP-AS-...-M3 con módulo de seguridad CAMCGS3 en Ext3 CMMP-AS-... C2-3A-M3 C5-3A-M3 C5-11A-P3-M3 C10-11A-P3-M3

Temperatura ambiente1) [°C] 0 … +35 0 … +40 0 … +40 0 … +40Temperatura ambiente con

reducción de potencia1)[°C] +35 … +40 +40 … +50 +40 … +50 +40 … +45

En caso de potencia de salida demasiado elevada de la

unidad básica y/o carga elevada del órgano de mando y de

las I/Os tiene lugar una desconexión por sobretemperatura.

Refrigeración Mediante el aire ambiente en el controlador del motor,

ninguna ventilación forzada.

Humedad del aire [%] 0 … 90 (sin condensación).

No se permiten medios corrosivos en el entorno del equipo.

Altura de montaje sobre el nivel del mar permitida

con potencia nominal [m] 1.000

con reducción de potencia [m] 1.000 … 2.000

Grado de protección IP20 (montado en CMMP-AS-…-M3).

Vibraciones y choque Se cumplen los requerimientos de EN 61800-5-1 y

EN 61800-2.

1) La temperatura de funcionamiento máxima permitida depende de numeroros parámetros, entre otros, del número de entradas

conectadas y de la carga de las salidas en el CAMC-G-S3, del equipamiento de otros módulos en EXT1 y EXT2 en el CMMP-AS-M3,

de la carga del paso de salida de potencia en el CMMP-AS-M3 y de las condiciones de aire e hidrodinámicas en el armario de

maniobra.

Los valores especificados son válidos para una configuración típica del dispositivo.

El CAMC-G-S3 dispone de una supervisión de temperatura por separado que desconecta el módulo de seguridad y la unidad

básica en caso de una temperatura demasiado alta de la electrónica � Sección 5.6 error 57-6.

Tab. A.7 Especificaciones técnicas: condiciones ambientales



Condiciones de operación eléctricas

Rangos de potencial separados

galvánicamente

Tensión de mando de la unidad básica.

Tensión de mando de 24 V (todas las entradas y salidas).

Contacto de estado sin potencial C1/C2.

Tensión del sistema [V] < 50 (alimentación de corriente 24 V PELV conforme a

EN 60204-1).

La unidad de alimentación de 24 V utilizada en el sistema

debe dominar la interrupción de tensión definida en la

norma EN 60204-1.

Categoría de sobretensión conforme a

EN 6180051

3

Grado de ensuciamiento según

EN 61800-5-1

2

Esto debe garantizarse tomando las medidas adecuadas,

p. ej. mediante el montaje en un armario de maniobra.

Tab. A.8 Especificaciones técnicas: Condiciones de operación eléctricas

Condiciones de funcionamiento EMC

Resistencia a interferencias Requerimientos para “segundo entorno” conforme a

EN 61800-3 (PDS de la categoría C3)

Requerimientos conforme a EN 61326-3-1

Emisión de interferencias Requerimientos para “primer entorno” con disponibilidad

limitada conforme a EN 61800-3 (PDS de la categoría C2)

Tab. A.9 Especificaciones técnicas: Condiciones de operación EMC



A.1.4 Entradas digitales DIN40A/B hasta DIN43A/B y DIN44 hasta DIN49 [X40]

Entradas digitales DIN40A/B hasta DIN43A/B y DIN44 hasta DIN491)

Entrada Tipo 3 según CEI 61131-2

Tensión nominal [V DC] 24

Margen de tensión permitido [V] -3 … 30

Tensión de entrada máxima “HI” UH,max [V] 30

Tensión de entrada mínima “HI” UH,min

típica [V] 11

máxima [V] 133)

Tensión de entrada máxima “LO” ULmax [V] 5

Tensión de entrada mínima “LO” UL,min [V] –3

Corriente de entrada máxima “HI” IH,max [mA] 15

Corriente de entrada mínima “HI” IH,min [mA] 2

Corriente de entrada máxima “LO” IL,max [mA] 15

Corriente de entrada mínima

“LO” } “HI” IT,min

[mA] 1,52)

Retardo de conexión hasta Portpin

(transición LowHigh)

[ms] < 1

Tolerancia a pulsos de prueba [ms] 0 ... 10

(parametrizable � Secciones 2.4.2 y 2.4.3)

1) Designaciones de los datos conforme a CEI 61131-2.

2) El cumplimiento de IT,min no se puede comprobar en el marco de la diagnosis propia. En caso de utilizar sensores bifilares activos

en DIN40A/B ... DIN43A/B para la solicitud de funciones de seguridad se requieren comprobaciones cíclicas (cada 24 h).

3) Teniendo en consideración todas las tolerancias en la serie, la tensión de entrada mínima necesaria es UH,min = 13 V, con

desviación de requerimiento de CEI 61131.

Tab. A.10 Especificaciones técnicas: DIN40A/B hasta DIN43A/B y DIN44 hasta DIN49 [X40]

Las entradas digitales DIN40A/B hasta DIN43A/B y DIN44 hasta DIN49 cumplen los

requerimientos de CEM de la norma EN 6132631.



A.1.5 Salidas digitales DOUT40A/B hasta DOUT42A/B [X40]

Salidas digitales DOUT40A/B hasta DIN42A/B

Salida Interruptor High-Side con Pull-Down

Margen de tensión [V DC] 18 … 30

Corriente de salida permitida IL,Nenn

(nominal)

[mA] < 50

Pérdida de tensión con IL,Nenn [V] 1 V

Corriente residual en caso de interruptor en

OFF1)[μA] < 100 A

Resistencia Pulldown RPulldown [kΩ] < 50 (aprox. 0,6 mA a 24 V)

Cortocircuito / protección de sobreintensidad A prueba de cortocircuitos, a prueba de

retorno de alimentación, a prueba de

sobretensión hasta 60 V

Protección térmica Desconexión de todas las salidas de un

grupo (DOUT40A hasta DOUT 42A o

DOUT40B hasta DOUT 42B en caso de

sobretemperatura TJ > 150°

Alimentación Protección en caso de cargas inductivas

Cargas

carga óhmica [Ω] > 500

carga inductiva [mH] < 10

carga capacitiva2) [nF] < 10

Retardo de conexión a partir de Portpin [ms] < 1

Emisión de pulsos de prueba [ms] 0,4 … 10 (parametrizable � Sección 2.9.1)

1) En determinados casos de error (p. ej. interrupción interna del aparado del potencial de referencia de 24 V) la corriente residual

también puede estar claramente por encima de los 100 μA. En caso de carga de la salida con una entrada del tipo 3 compatible

con CEI 61131 tampoco se vulnera el margen del estado Low en caso de fallo.

2) Requiere una carga de la salida con una entrada tipo 3 y una longitud de pulsos de prueba ≥ 400 μs. En otros tipos de entradas

pueden ser necesarios pulsos de prueba más largos.

Tab. A.11 Especificaciones técnicas: Salidas digitales DOUT40A/B hasta DOUT42A/B [X40]

Las salidas digitales DOUT40A/B hasta DOUT42A/B cumplen los requerimientos de CEM

de la norma EN 6132631.



A.1.6 Contacto de aviso C1/C2 [X40]

Contacto de aviso C1/C2

Ejecución Contacto del relé, contacto normalmente

abierto


Corriente de salida IL,Nenn (nominal) [mA] < 200

Pérdida de tensión con IL,Nenn [V] 1

Corriente residual en caso de interruptor en

OFF

[μA] < 10

Cortocircuito / protección de sobreintensidad No a prueba de cortocircuitos, a prueba de

sobretensión hasta 60 V

Retardo de conmutación [ms] < 20

Vida útil del contacto de recibo [nop] 10 x 106 (a 24 V y Icontacto = 10 mA, con

corrientes de carga mayores se reduce la

vida útil)

Tab. A.12 Especificaciones técnicas: Contacto de aviso C1/C2 [X40]

A.1.7 Alimentación auxiliar de 24 V [X40]

Alimentación auxiliar de 24 V

Ejecución Tensión de alimentación de la lógica

conducida a través del controlador de motor

(alimentada en [X9], no filtrada ni

estabilizada adicionalmente). Protección

contra inversión de polaridad, a prueba de

sobretensión hasta 60 V DCTensión nominal [V] 24

Corriente de salida IL,Nenn (nominal) [mA] 100

Pérdida de tensión con IL,Nenn [V] 1

Protección contra inversión de polaridad A través de diodo en serie 100 V / 1 A

Cortocircuito / protección de sobreintensidad ProtecciónPTC con corriente de disparo típ.

300 mA, resistente a sobretensión hasta 60 V

Tab. A.13 Especificaciones técnicas: Alimentación auxiliar de 24 V [X40]



A.1.8 Ejecución de los cables de conexión [X40]

Cableado [X40]

Longitud máx. del cable [m] 30

Blindaje En caso de cableado fuera del armario de

maniobra, utilizar cables apantallados. Guiar

el blindaje hasta el armario de

maniobra / colocar en el lado del armario de

maniobra

Sección de cable (conductor flexible, funda terminal de cable con collar de aislamiento)

un conductor [mm²] 0,25 … 0,5

dos conductores [mm²] 2 x 0,25 (con fundas terminales de cable

gemelas)

Par de apriete del contraconector

MC1,5_12ST3,81BK – M2

[Nm] 0,22 … 0,25

Tab. A.14 Especificaciones técnicas: Cableado [X40]

A.1.9 Salida digital para un freno de sostenimiento en la unidad básica [X6]

Salida digital BR+ / BR-

Salida Interruptor High-Side para BR+

Interruptor LowSide para BR-


Corriente de salida permitida IL,Nenn

(nominal)

[mA] < 2000

Pérdida de tensión con IL,Nenn [V] 1 V

Resistencia Pulldown RPulldown [kΩ] Aprox. 2,5 (aprox. 10 mA a 24 V) entre BR+ y BR-

Cortocircuito / protección de sobreinten

sidad

A prueba de cortocircuitos contra 24 V, 0 V y PE

Protección térmica Desconexión del excitador de potencia en

caso de exceso de temperatura

Alimentación Protección en caso de cargas inductivas

Cargas

carga óhmica [Ω] > 12

carga inductiva [mH] < 1000

carga capacitiva [nF] < 10

Retardo de conexión a partir de Portpin [ms] < 1

Emisión de pulsos de prueba [ms] 0,4 … 10 (parametrizable � Sección 2.9.2)

Tab. A.15 Especificaciones técnicas: Salidas digitales para un freno de sostenimiento [X6]

La salida digital de la unidad básica para un freno de sostenimiento, BR+, BR- cumple los

requerimientos de CEM conforme a EN 6132631.



NotaEn el estado de entrega del módulo de seguridad, la función SBC en combinación con la

salida [X6] siempre está configurada, incluso si no se desea utilizar la función SBC.

En aplicaciones en las que los cables de control de freno se conducen en el cable del

motor, si no hay ningún freno de sostenimiento conectado en el lado de motor puede

haber perturbaciones de acoplamiento en los cables abiertos de frenos, de manera que

el módulo de seguridad comunica el error 57-0.

� En tales casos se deben fijar los cables de control de freno a X6 y conectarlos a PE.



A.2 Índices de seguridad

A.2.1 Funciones de seguridad

Asignación función de seguridad – clasificación

La Tab. A.16 muestra la clasificación de las funciones de seguridad según 61800-5-2

Función Cat., PL1) SIL2) Nota

STO Cat. 4, PL e SIL 3 –

SBC –

SS2 Cat. 3, PL d

o bien

cat. 4, PL e

SIL 2

o bien

SIL 3

La clasificación depende de la combinación utilizada de

sensores de posición, si se utiliza un único transmisor

con clasificación SIL es necesario un acoplamiento de

eje seguro; dependiendo de la configuración de

transmisores solo se alcanza cat. 3, PL d o bien SIL 2

� Sección A.2.3, Tab. A.19, Tab. A.20, Tab. A.21,

Tab. A.22 y Tab. A.23.

Observar los límites de precisión de la detección de

posición � Sección A.3.

SS1

SLS

SSR

SSM

SOS

1) Clasificación de categoría y nivel de prestaciones según EN ISO 13849-1

2) Clasificación Safety Integrity Level según EN 62061

Tab. A.16 Clasificación de las funciones de seguridad y notas

La información sobre algunas combinaciones de transmisores seleccionadas y

precalificadas están disponibles en parte por separado.

En caso necesario diríjase a su representante regional de Festo.

Para un “acoplamiento de eje seguro” se obtiene una exclusión de fallos, p. ej. con

elementos de montaje en unión continua y/o correspondientemente

sobredimensionados.

Para ello tenga en cuenta el ramal de accionamiento total hasta el punto de peligro.

Si el movimiento del árbol de motor se supervisa exclusivamente mediante un transmisor

giratorio o lineal que disponga de una estructura de dos canales, este debe demostrar

que posee un certificado de un organismo mencionado conforme a la reducción de

riesgos deseada.

Si se utilizan dos transmisores, en relación con la detección de movimientos el límite de

resolución para las funciones de seguridad se determina por el transmisor que tiene el

límite de resolución más bajo.

Los sensores de posición que se utilizan para la supervisión de posición de parada, p. ej. SOS,

y que presentan señales de salida estáticas en estado de reposo, requieren una dinamización

por parte del usuario, es decir, el actuador se debe mover una vez en 24 horas.



El control seguro de freno del CAMC-G-S3 está diseñado para SIL3 / EN 61800-5-2.

Compruebe si la unidad de bloqueo utilizada alcanza un PL e correspondiente a SIL 3. En

general, la propia unidad de bloqueo posee una clasificación más baja, de modo que la

función de seguridad SBC en combinación con la unidad de bloqueo solo alcanza la

clasificación más baja.

A.2.2 Entradas digitalesDeben observarse siempre las normas pertinentes sobre aparatos de mando para el requerimiento de

funciones de seguridad, p. ej. EN ISO 13850 para parada de emergencia.

Tipo de sensor Tipo de interruptor Clasificación encategoría, PL1)

ClasificaciónSIL2)

1: Entrada general de 2canales

2 contactos normalmente cerrados o1 contacto normalmente cerrado +1 contacto normalmente abierto

Cat. 4, PL e SIL 3

2: Aparato de conexiónde parada de emergencia

2 contactos normalmente cerrados Cat. 4, PL e SIL 3

3: Pulsador deautorización


Cat. 4, PL e SIL 3

4: Terminal de mando dedos manos

2, 1 contacto normalmente cerrado,1 normalmente abierto

Cat. 4, PL e SIL 3

5: Pulsador de arranque 2 contactos normalmente cerrados o1 contacto normalmente cerrado +1 contacto normalmente abierto

Cat. 4, PL e SIL 3

6: Bloqueo de puerta 2 contactos normalmente cerrados o1 contacto normalmente cerrado +1 contacto normalmente abierto

Cat. 4, PL e SIL 3

7: Interruptor dereferencia seguro


Cat. 4, PL e SIL 3

8: Barrera fotoeléctrica 2 contactos normalmente cerrados o1 contacto normalmente cerrado +1 contacto normalmente abierto

Cat. 4, PL e SIL 3

9: Retroseñal de freno 1 contacto normalmente cerrado o 2 contactos normalmente cerrados

Solo como feedback para SBC

10: Entrada general de uncanal

1 contacto normalmente cerrado o1 contacto normalmente abierto

Sin asignación depulso de pruebacat. 1, PL c

SIL 1

Con asignación depulso de pruebacat. 2, PL d

SIL 2

11: Selector del modo defuncionamiento

1 de n Cat. 4, PL e SIL 3

12: Validar fallo 1 Contacto normalmente abierto Sin asignación depulso de pruebacat. 1, PL c

SIL 1


SIL 2

1) Conforme a EN ISO 13849-1

2) Conforme a EN 61800-5-2



Tipo de sensor ClasificaciónSIL2)

Clasificación encategoría, PL1)

Tipo de interruptor

13: Rearranque (finalizarfunción de seguridad)

1 Contacto normalmente abierto Sin asignación depulso de pruebacat. 1, PL c

SIL 1


SIL 2


2) Conforme a EN 61800-5-2

Tab. A.17 Índices de seguridad de entradas digitales

Nota– Las siguientes especificaciones para medidas y cobertura de diagnosis (DC) se

basan en las especificaciones de la norma EN ISO 13849-1.

– Para una evaluación técnica de seguridad de los sensores debe recurrirse a las

especificaciones del fabricante.

– Los valores de cobertura de diagnosis (DC) indicados solo están permitidos

respetando las medidas especificadas y las condiciones adicionales mencionadas.

– Las exclusiones de fallos son posibles conforme a las normas pertinentes, debiendo

garantizarse de modo permanente las condiciones necesarias para ello.

Medida DC Observación Utilización

Impulso cíclico de prueba mediantemodificación dinámica de las señales deentrada.

90 Solo efectivo cuando laasignación de pulsos deprueba está activa.

Supervisión decircuito cruzadopara sensores de1 canal.

Comparación cruzada de señales deentrada con prueba dinámica cuando no sepueden percibir cortocircuitos (enentradas/salidas múltiples).

90 Sin asignación de pulsos deprueba.Modificación cíclica de lasseñales de entradanecesarias, p. ej. medianteel proceso o elaccionamiento regular.

Supervisión desensores de2 canales.

Comparación cruzada de señales deentrada con resultados inmediatos eintermedios en la lógica (L) y supervisióntemporal y lógica de ejecución deprograma así como identificación de fallosestáticos y cortocircuitos (enentradas/salidas múltiples).

99 Solamente con asignaciónde pulsos de prueba.


Verificación de plausibilidad, p. ej.utilización de los contactos normalmenteabiertos y normalmente cerrados.

99 Únicamente si se utilizanseñales antivalentes.


Tab. A.18 Medidas para entradas digitales



A.2.3 Sistemas de transmisoresDeben observarse siempre las normas pertinentes para la seguridad funcional de actuadores

eléctricos, p. ej. EN 61800-5-2.

La Tab. A.19 muestra las combinaciones de transmisores permitidas y el nivel de prestaciones y Safety

Integrity Level máximos alcanzables.

P06.00: Selección desensor de posición 1


Notas Nivel de seguridadalcanzable

EN 61800-5-2 ISO 13849

Resolvedor (X2A)= [1] Otro transmisor(X2B) = [4] 1)

– SIL 3 Cat. 3 / PL do bien cat. 3 / PL e

Resolvedor (X2A)= [1] Encoder incremental(X10) = [5]

– SIL 3 Cat. 4 / PL e

Resolvedor (X2A)= [1] Ninguno = [6] Requiere acoplamientode eje seguro.El resolvedor debesatisfacer losrequerimientos de SIL2 (valor MTTFd, ...)

SIL 2 Cat. 3 / PL d

SEN/COS / Hiperface(X2B) = [2]

Encoder incremental(X10) = [5]

– SIL 3 Cat. 4 / PL e


Ninguno = [6] Requiere acoplamientode eje seguro.Requiere transmisorcertificado SIL 2

SIL 2 Cat. 3 / PL d


Ninguno = [6] Requiere acoplamientode eje seguro.Requiere transmisorcertificado SIL 3

SIL 3 Cat. 3 / PL e

1) Otro transmisor (X2B) = [4]: – Transmisor EnDat sin certificación SIL– Transmisor BISS– Encoder incremental con señales A/B/N– Encoder incremental con señales SEN/COS– Transmisor Hiperface sin SIL




Nivel de seguridadalcanzable

NotasP06.01: Selección desensor de posición 2


ISO 13849EN 61800-5-2

NotasP06.01: Selección desensor de posición 2

EnDat SIL (X2B) = [3] Encoder incremental(X10) = [5]

No es componente delPS1

SIL 3 Cat. 4 / PL e

EnDat SIL (X2B) = [3] Ninguno = [6] No es componente delPS1Requiere acoplamientode eje seguro.Requiere transmisorcertificado SIL 2

SIL 2 Cat. 3 / PL d

EnDat SIL (X2B) = [3] Ninguno = [6] No es componente delPS1Requiere acoplamientode eje seguro.Requiere transmisorcertificado SIL 3

SIL 3 Cat. 4 / PL e

Otro transmisor(X2B) = [4] 1)

Encoder incremental(X10) = [5]

Tener en cuenta lanota siguiente.

SIL 2 Cat. 3 / PL d

Otro transmisor(X2B) = [4] 1)

Ninguno = [6] Inadmisible, esbloqueado porCAMC-G-S3 ySafetyTool

– –

1) Otro transmisor (X2B) = [4]: – Transmisor EnDat sin certificación SIL– Transmisor BISS– Encoder incremental con señales A/B/N– Encoder incremental con señales SEN/COS– Transmisor Hiperface sin SIL

Tab. A.19 Índices de seguridad de evaluación de sistemas de transmisores

NotaEl nivel de seguridad realmente alcanzable para el sistema, compuesto de CAMCGS3,motor, eje y, dado el caso, segundo sensor de posición, se debe calcular en base a losíndices de seguridad del CAMCGS3 � Apéndice A.1.1, así como a los índices deseguridad de los demás componentes. En caso necesario diríjase a su representante regional de Festo para obtenerpropuestas de aplicación precalculadas.

Tenga en cuenta también las demás informaciones:– Información general sobre la evaluación del transmisor y los sensores de posición

compatibles � Sección 2.2.5.– Informaciones sobre la configuración de transmisores � Sección 2.3.2.– Ejemplo de configuración de transmisores en el SafetyTool � Sección 4.6.4.



NotaLa idoneidad de los “transmisores estándar” y de los “encoders incrementales digitales”

para el uso en sistemas seguros hasta SIL3 (EN 61800-5-2, EN 61508) o PL e

(EN ISO 13849) debe demostrarse por separado (p. ej. diversidad de los sistemas de

transmisores en relación con CCF, MTTFd, etc. así como la idoneidad de los transmisores

para las condiciones ambientales y de funcionamiento, compatibilidad electromagnética, ...).


basan en las especificaciones de la norma EN 61800-5-2, tabla del apéndice D.16.

– Para una evaluación técnica de seguridad de los sensores de posición debe

recurrirse en cualquier caso adicionalmente a las especificaciones del fabricante.

– Los valores de cobertura de diagnosis (DC) indicados para la evaluación de los

sistemas de transmisores en el módulo de seguridad solo están permitidos si se

respetan las medidas especificadas y las condiciones adicionales mencionadas.

– Las exclusiones de fallos son posibles conforme a las normas pertinentes, debiendo


Transmisor SEN/COS / Transmisor Hiperface

Recepción de error Exclusiónde errores

Detección de error por elmódulo de seguridad

Notas/observacionescomplementarias

Cortocircuito entre dosconductores indistintos delcable de conexión

Ninguna Supervisión de señalindividual y supervisión delongitud de vector1)

Según sección A.3; DC > 90 %2)

Interrupción de un conductorindistinto del cable de conexión



Señal estática “0” o “1” enentradas y salidas,individualmente o en variasentradas/salidas a la vez



Interrupción o estado de altaimpedancia en una o variasentradas/salidassimultáneamente



Reducción o aumento de laamplitud de salida



1) Sensibilidad y cobertura de diagnosis (DC) dependientes de los límites de error parametrizados; la especificación es válida para elajuste de fábrica

2) La información de posición en caso de error es “estática” => posición de conmutación fija, motor parado / tensión de un canal estática => posición de conmutación cambia en máx. +/-90° de un periodo de señal del transmisor, el motor solo se mueve en este margen



Recepción de error Notas/observacionescomplementarias


Exclusiónde errores

Oscilaciones parásitas en una ovarias salidas



En caso de oscilaciónde una señalmovimiento máximodel motor en el margende tolerancia de lasupervisión deamplitud

Modificación del desfase entreseñales de salida



P. ej. a causa de undisco de codificaciónsucio

La fijación se suelta en estadode reposo:– La caja del sensor se suelta

de la caja del motor– El árbol del sensor se suelta

del árbol del motor

¡Necesaria!Conforme ala hoja dedatos delfabricantedeltransmisor

¡No posible de modoseguro!No obstante tiene lugaruna supervisión de laduración de la solicitud deSTO:Tras 24 h tiene lugar unadesconexión y mensaje deerror

¡Aplicar exclusión deerrores para el sistemamotor – transmisor outilizar un segundosistema de mediciónpara una comparaciónde posición!La fijación se suelta durante el

movimiento:– La caja del sensor se suelta



El elemento de medición sesuelta (p. ej. disco óptico decodificación)

No hay luz del diodo emisor Ninguna Supervisión de señalindividual y supervisión delongitud de vector1)


Requerimientos adicionales para transmisores giratorios de pulsos con señales de salida sen/cos,generación analógica de señales

Señal estática en entradas ysalidas, individualmente o envarias señales, amplitud en elmargen de la alimentación



Modificación de la forma de laseñal










Intercambio de la señal de salidasen y cos

Sí El módulo de seguridaddispone de suficienteprocesamiento de señalseparado sin multiplexor

–

Requerimientos adicionales para transmisores giratorios de pulsos con señales incrementales yabsolutas

Modificación incorrecta deposición simultánea de señalincremental y absoluta

Ninguna Ninguna, el módulo deseguridad solo evalúa lasseñales sen/cosanalógicas

Solo en interfazHiperface:La unidad básicaejecuta unaverificación deplausibilidad cíclicamediante comparacióncruzada de las señalessen/cos con laposición absoluta leídapor la interfaz de datos

Requerimientos adicionales para transmisores giratorios de pulsos con señales de salidageneradas sintéticamente

Alteración indistinta de la señalde salida

Ninguna ¡No es posible en todos loscasos cuando ambasseñales de salida sealteran simultáneamente!

¡Aplicar exclusión deerrores para eltransmisor o utilizar unsegundo sistema demedición para unacomparación deposición!

Requerimientos adicionales para transmisores linealesFijación del cabezal de lecturaroto



¡Aplicar exclusión deerrores para el sistemamotor – transmisor outilizar un segundosistema de mediciónpara una comparaciónde posición!

Desplazamiento estático delelemento de medición (p. ej.banda óptica de codificación)

Elemento de medición dañado(p. ej. banda óptica decodificación)








Otros requerimientos para la evaluación de sensores de posición SILSupervisión de la tensión dealimentación del sensor

Ninguna No disponible.Debe garantizarse porparte del transmisor

La unidad básicacontiene unaregulación de latensión dealimentación para eltransmisor. En caso deerror (sobretensión,sobrecorriente), laalimentación deltransmisor se puededesconectar de modofuncional

Cumplimiento de las condicionesambientales y defuncionamiento especificadaspara el transmisor


La unidad básicadispone de unaentrada para el controlde la temperatura delmotor. En caso de errorel actuador se puededesconectar de modofuncional



Tab. A.20 Transmisor SEN/COS, transmisor Hiperface

Clasificación del módulo de seguridad en combinación con transmisores SEN/COS y

transmisores Hiperface

Encontrar error de transmisor: DC > 90 %

Clasificación según EN 61800-5-2 / EN 13849-1: SIL2 / cat. 3 / PL d (posicionamiento

seguro incl. parada)

y

SIL3 / cat. 3 / PL e (velocidad y

aceleración seguras)



Resolvedor






Error detectado conseguridad (DCAV delmódulo de seguridad)



Error detectado conseguridad (DCAV delmódulo de seguridad














Ninguna No aplicable aresolvedores

–






¡Aplicar exclusión deerrores para el sistemamotor – transmisor outilizar un segundosistema de mediciónpara una comparaciónde posición!La fijación se suelta durante el

movimiento:– La caja del sensor se suelta




Ninguna No aplicable aresolvedores

–

No hay luz del diodo emisor Ninguna No aplicable aresolvedores

–

1) DC = 60 % es válido para el ajuste de fábrica, DC = 90 % para tolerancias limitadas de la supervisión de longitud de vectores� Apéndice A.3






Requerimientos adicionales para resolvedores con procesamiento de señal / generador de referenciaDiafonía de la frecuencia dereferencia



– Fallo del temporizadorcentral

– No hay Conversion Start paraconvertidores A/D

– Sample & Hold tiene lugar enel momento equivocado

Ninguna Supervisión de avería dela señal SYNC


El convertidor A/D generavalores equivocados



El convertidor A/D no generavalores



El generador de referencia nosuministra ninguna frecuencia

Ninguna Supervisión de avería dela señal SYNC


El generador de referenciasuministra frecuenciaequivocada



El generador de referencia nosuministra ninguna señal dereferencia periódica



Error de amplificación en elprocesamiento de señal (señalde referencia, sen, cos),oscilación



Influencia magnética en el lugarde montaje

Apantallamientosuficientepara ellugar demontaje

Supervisión de señalindividual y supervisión delongitud de vector1)


Otros requerimientos para la evaluación de sensores de posición SIL

Supervisión de la tensión dealimentación del sensor

Ninguna Supervisión indirecta delsoporte de resolvedormediante la supervisiónde la longitud de vectores









Ninguna No disponible. Debe garantizarse porparte del transmisor



Tab. A.21 Resolvedor

Clasificación del módulo de seguridad en combinación con resolvedor:


Clasificación según EN 61800-5-2 / EN 13849-1: SIL2 / cat. 3 / PL d (posicionamiento

seguro incl. parada)

y

SIL3 / cat. 3 / PL e (velocidad y

aceleración seguras)



Sistemas de transmisores combinados: Transmisor 1: Resolvedor [X2A] o transmisor SEN/COS transmisor [X2B],

transmisor 2: Encoder incremental [X10]






Comparación cruzada delos datos de posición (transmisor 1 – transmisor 2)

DC “alta”2)




Reducción o aumento de laamplitud de salidaOscilaciones parásitas en una ovarias salidas





¡Innecesaria! Comparación cruzada delos datos de posición (transmisor 1 – transmisor 2)

DC “alta”2)

La fijación se suelta durante elmovimiento:– La caja del sensor se suelta













DC “alta”2)




DC “alta”2)

Modificación de la forma de laseñal


Requerimientos adicionales para transmisores giratorios de pulsos con señales de salida de ondarectangular (transmisor 2)

Oscilación parásita en la salida Ninguna Comparación cruzada delos datos de posición (transmisor 1 – transmisor 2)

DC “alta”2)

La señal de salida se interrumpe

Fallo del pulso cero, esdemasiado corto, demasiadolargo, o múltiple

Requerimientos adicionales para transmisores giratorios de pulsos con señales de salidageneradas sintéticamente (transmisor 1 o transmisor 2)

Alteración indistinta de la señalde salida

Ninguna Comparación cruzada delos datos de posición (transmisor 1 – transmisor 2)

DC “alta”2)

Requerimientos adicionales para transmisores giratorios de pulsos con determinación de posiciónmediante contador (transmisor 2)

Valor de posición incorrectodebido a un contaje erróneo


DC “alta”2)








Requerimientos adicionales para resolvedores con procesamiento de señal / generador de referenciaDiafonía de la frecuencia dereferencia



DC “alta”2)




Ninguna


Ninguna


Ninguna


Ninguna


Ninguna


Ninguna


Ninguna





Ninguna Generación separada de latensión de alimentaciónpara:– Resolvedor [X2A]– Transmisor SEN/COS

[X2B]– Encoder incremental

[X10]

–










La unidad básicadispone de unaentrada para el controlde la temperatura delmotor. En caso de errorel actuador, se puededesconectar de modofuncional



Tab. A.22 Sistemas de transmisores combinados: Transmisor 1: Resolvedor [X2A] o transmisor

SEN/COS transmisor [X2B], transmisor 2: Encoder incremental [X10]

Clasificación del módulo de seguridad en combinación con la unidad básica en la

combinación de transmisores: Transmisor 1: Resolvedor [X2A] o bien transmisor

SEN/COS [X2B], transmisor 2: Encoder incremental [X10] (sin tener en cuenta el

transmisor propiamente dicho):


Clasificación según EN 61800-5-2: SIL3

Clasificación según EN ISO 13849: Cat. 4 / PL e



Sistemas de transmisores combinados: Transmisor 1: Resolvedor [X2A] o encoder incremental [X10]

transmisor 2: Otro transmisor [X2B] (evaluación a través de unidad básica)







DC 1 x “alta”(módulo deseguridad)

+ 1 x “baja”(unidad básica) 2)










¡Innecesaria! Comparación cruzada delos datos de posición (transmisor 1 – transmisor 2)



La fijación se suelta durante elmovimiento:– La caja del sensor se suelta





2) Limitación mediante DCAV del módulo a través de cobertura de diagnosis (DC) de la unidad básica















+ 1 x “baja”(unidad básica) 2)Modificación de la forma de la

señal









Requerimientos adicionales para resolvedores con procesamiento de señal / generador dereferencia (transmisor 1)Diafonía de la frecuencia dereferencia








Ninguna


Ninguna


Ninguna


Ninguna


Ninguna


Ninguna


Ninguna



Requerimientos adicionales para transmisores giratorios de pulsos con señales de salida de ondarectangular (transmisor 1)Oscilación parásita en la salida Ninguna Comparación cruzada de

los datos de posición (transmisor 1 – transmisor 2)



La señal de salida se interrumpeFallo del pulso cero, esdemasiado corto, demasiadolargo, o múltipleRequerimientos adicionales para transmisores giratorios de pulsos con señales de salidageneradas sintéticamente (transmisor 1 o transmisor 2)Alteración indistinta de la señalde salida











Requerimientos adicionales para transmisores giratorios de pulsos con determinación de posiciónmediante contador (transmisor 1 o transmisor 2)

Valor de posición incorrectodebido a un contaje erróneo




Requerimientos adicionales para transmisores lineales (transmisor 1 o transmisor 2)Fijación del cabezal de lectura roto ¡Innecesaria! Comparación cruzada de

los datos de posición (transmisor 1 – transmisor 2)



Desplazamiento estático delelemento de medición (p. ej.banda óptica de codificación)

Elemento de medición dañado(p. ej. banda óptica decodificación)

Requerimientos adicionales para transmisores giratorios de pulsos con interfaz de ordenador(transmisor 2)

Fallos de transmisión:– repetición;– pérdida;– inserción;– secuencia incorrecta;– alteración de mensajes;– retardo






Ninguna Generación separada de latensión de alimentaciónpara:– Resolvedor [X2A]– Transmisor SEN/COS

[X2B]– Encoder incremental

[X10]

–






Tab. A.23 Sistemas de transmisores combinados: Transmisor 1: Resolvedor [X2A] o encoder incremental

[X10], transmisor 2: Otro transmisor [X2B] (evaluación a través de unidad básica)



Clasificación del módulo de seguridad en combinación con la unidad básica en la

combinación de transmisores: Transmisor 1: Resolvedor [X2A] o bien encoder incremental

[X10], transmisor 2: Otro transmisor [X2B] (sin tener en cuenta el transmisor propiamente

dicho):

Detección angular de la unidad básica: MTTF de cada canal: > 100 a, “alta”

DC del canal: = 50% “baja”

Módulo de seguridad: MTTF de cada canal: > 100 a, “alta”

Encontrar error de transmisor DC: > 95 % “alta”

Clasificación del sistema (módulo de seguridad + unidad básica):

Clasificación según EN 61800-5-2: SIL3

Clasificación según EN ISO 13849: Cat. 3 / PL d

A.2.4 Salidas digitalesDeben observarse siempre las normas pertinentes para el control de dispositivos de desconexión de

seguridad externos.

Tipo de salida Tipo de interruptor Clasificación en categoría,PL1)

Clasificación SIL2)

1: Bloqueoseguro de pulsointegrado

2 contactos normalmente cerrados Cat. 4, PL e SIL 3

2: Salida generalde 2 canalesDOUT40 ...DOUT42


Cat. 4, PL e SIL 3

2: Salida generalde 2 canales


Cat. 4, PL e SIL 3

3: Activación delfreno desostenimiento através de [X6] enla unidad básicaCMMP-AS

2 contactos normalmente cerrados Cat. 3, PL d, en unidades debloqueo conectadasdirectamente, solicitud através de SBC.

SIL 2

2 contactos normalmente cerrados Cat. 1, PL c, en unidades debloqueo conectadasindirectamente (p. ej. deapertura neumática),solicitud a través de SBC.

SIL 1

2 contactos normalmente cerrados Cat. 3, PL d, en unidades debloqueo conectadasindirectamente (p. ej. deapertura neumática),solicitud a través de SBC.

SIL 2

10: Contacto deacuse de recibosin potencial(diagnosis)

1 Contacto normalmente abierto Solo como feedback para dispositivo dedesconexión de seguridad de nivelsuperior.


2) Conforme a EN 61508, EN 61800-5-2, EN 62061

Tab. A.24 Índices de seguridad de salidas digitales




basan en las especificaciones de la norma EN ISO 13849-1.– Para una evaluación técnica de seguridad de los aparatos de conexión debe

recurrirse a las especificaciones del fabricante.– Los valores de cobertura de diagnosis (DC) indicados solo están permitidos

respetando las medidas especificadas y las condiciones adicionales mencionadas.– Las exclusiones de fallos son posibles conforme a las normas pertinentes, debiendo


Medida DC Observación Utilización

Pulso cíclico de prueba mediantemodificación dinámica de lasseñales de salida.

90 Siempre efectivo en elmódulo de seguridad,puesto que los pulsos deprueba para el bloqueoseguro de pulsos y paraDOUT40 ... 42 no se puedendesconectar.

Supervisión de circuitocruzado para salidas de2 canales.

Comparación cruzada de señalesde salida con prueba dinámicacuando no se pueden percibircortocircuitos (en entradas/salidasmúltiples).

90 Sin asignación de pulsos deprueba.Modificación cíclica de lasseñales de entradanecesarias, p. ej. medianteel proceso o elaccionamiento regular.

Supervisión de salidasde 2 canales.

Comparación cruzada de señalesde salida con resultadosinmediatos e intermedios en lalógica (L) y supervisión temporal ylógica de ejecución de programaasí como identificación de fallosestáticos y cortocircuitos (enentradas/salidas múltiples).

99 Siempre efectivo en elmódulo de seguridad,puesto que los pulsos deprueba para el bloqueoseguro de pulsos y paraDOUT40 ... 42 no se puedendesconectar

Supervisión de salidasde 2 canales

Verificación de plausibilidad, p. ej.utilización de salidas deconmutación antivalente.

99 Solo aplicable paraDOUT40 ... 42, conconfiguración deconmutación “antivalente”.

Supervisión de salidasde 2 canales.

Tab. A.25 Medidas para salidas digitales



A.3 Precisión del sistema y tiempo de respuesta

Las secciones siguientes contemplan los requerimientos de precisión del sistema de la ingeniería de

seguridad funcional respecto a las funciones de movimiento controladas de modo seguro para la

posición y la velocidad.

La precisión del sistema que se puede lograr depende en primer lugar de la estructura

del sistema, compuesta de: Motor – Reductor – Eje

Puede aumentar especialmente mediante el uso de un reductor o la elección de un eje

con avance mínimo (� Sección A.3.7, Tab. A.35).

Las precisiones y tiempos de respuesta especificados para el módulo de seguridad representan

siempre un compromiso entre:

– la resolución y la precisión de los sensores de posición conectados y de la electrónica de

evaluación asignada en el módulo de seguridad,

– la elevada precisión deseada para el control de los valores límite para posición y velocidad,

– el tiempo de respuesta hasta que se detecta una vulneración de una condición,

– la disponibilidad del equipo durante el funcionamiento en el entorno industrial (perturbaciones,

compatibilidad electromagnética, etc.).

Por ello las precisiones y tiempos de respuesta deberían seleccionarse con valores tan altos como

sean necesarios para la seguridad, pero no mayores.

NotaLos ajustes de fábrica del módulo de seguridad para la evaluación de transmisores, la

detección de la velocidad y para la supervisión de posición son adecuados para la

mayoría de las aplicaciones. Están adaptados a la resolución de los sensores de

posición y a la electrónica de evaluación del módulo de seguridad.

Solo deberían modificarse en casos problemáticos fundados, porque influyen en el

tiempo de respuesta del módulo de seguridad durante la detección de movimientos

peligrosos o en la detección de errores. Son los denominados “parámetros

avanzados”.

Compruebe si, como alternativa, se puede modificar la mecánica (p. ej., eje con avance

reducido).

Antes de parametrizar las funciones de seguridad asegúrese, a través de la adquisición

de datos (� Sección 2.3), de que el módulo de seguridad dispone de los parámetros

correctos para la constante de avance y de las relaciones de reducción correctas.



A.3.1 Precisión y supervisión de la posición (SOS) desde el punto de vista de la aplicaciónCon la solicitud de la función de seguridad SOS se registra la posición actual y se guarda en x_sample.

La supervisión se realiza en una ventana de posición:

(x_sample – x_max) ≤ x_ist ≤ (x_sample + x_max)

Los requerimientos a x_max (para SOS) específicos de la aplicación figuran en la sección A.3.7, Tab. A.33.

El ajuste de x_max se realiza a través de P0B.01 (� Sección 2.5.5).

Parámetro Nombre Mín. Típico Máx. Nota

x_max Tolerancias de

posición en caso de

SOS

– 1 mm 1,8 mm Sección A.3.7,

Tab. A.33

phi_max Tolerancias angulares

en el eje de motor en

caso de SOS

– 4,0° 7,2° Modelo de cálculo en

base a un avance de

90 mm/rev

Tab. A.26 Valores típicos de SOS

Para ello, el módulo de seguridad se parametriza de la siguiente manera:

Fig. A.1 Ejemplo de determinación de los parámetros relevantes para Safe Operation Stop

(parada de servicio segura) (SOS)

Base para la conversión de magnitudes translatorias a rotatorias de los datos de este ejemplo:

– motor sin reductor,

– eje EGC-80 con un avance de 90 mm/rev.



A.3.2 Precisión de la supervisión de la velocidad (SLS, SSR) desde el punto de vista de la aplicación

En caso de solicitar las funciones de seguridad con supervisión de la velocidad, p. ej. SLS, SSR, se

registra continuamente la velocidad actual v_ist y se supervisa el cumplimiento de determinados

valores límite.

Los valores límite se pueden modificar de modo dinámico, p. ej. al solicitar SLS, cuando en primer

lugar se frena hasta la velocidad limitada de modo seguro.

La supervisión tiene lugar en una ventana de posición de:

v_min ≤ v_ist ≤ v_max

Los requerimientos a v_max (para SLS) específicos de la aplicación figuran en la sección A.3.7, Tab. A.34.

La constante de tiempo de filtrado aceptable t_filter_v en la detección de la velocidad resulta de la

calidad del procesamiento analógico de señal en el módulo de seguridad (en sensores de posición con

señales analógicas, como resolvedores o transmisores Hiperface) y de la resolución de posición

(número de pasos angulares por revolución del motor).

Además, para modificaciones dinámicas existe un “proceso de estabilización” hasta que la velocidad

se estabiliza con el nuevo valor nominal. La duración depende del ancho de banda del circuito de

regulación de revoluciones. Para garantizar la elevada disponibilidad del equipo, los procesos de

estabilización cortos en el margen del ancho de banda del circuito de regulación de revoluciones no

deben conducir a una reacción de la instalación de supervisión.

A tal fin está previsto un tiempo tolerado t_tol_v. Para la duración de t_tol_v, v_ist puede desplazarse

fuera de la ventana de velocidad antes de que se genere la vulneración de la condición de seguridad.

Parámetro Nombre Mín. Típico Máx. Nota

v_max Limitación de velocidad

en caso de SLS

4 mm/s 250 mm/s ≥ 10 m/s Sección A.3.7,

Tab. A.34

n_max Limitación mínima de

velocidad en el eje de

motor en caso de SLS

2,1 rpm 167 rpm Modelo de cálculo en

base a un avance de

90 mm/rev

t_filter_v Constante de tiempo

de filtrado de

detección de la

velocidad

2 ms 8 ms ≥ 100 ms Sección A.3.7,

Tab. A.33

t_tol_v El tiempo tolerado

para v_ist está fuera

del margen de

velocidad permitido

0 ms 10 ms ≥ 100 ms Ancho de banda

típico de la

regulación de la

velocidad

f_gr = 100 Hz

1) La resolución de la señal de velocidad se determina en gran medida por la calidad de los transmisores utilizados y del tiempo de

filtrado parametrizado para el filtro de velocidad. La supervisión de n_typ_min debe ser posible con los transmisores giratorios de

pulsos clásicos, como resolvedores o transmisores SEN/COS, cuando el filtro de velocidad se parametriza en el margen de 20 ms

(el eje se desplaza una vez 0,08 mm en 20 ms a 4 mm/s).

Tab. A.27 Valores típicos de SLS (velocidad con limitación segura)



A.3.3 Determinación de los parámetros relevantes para Safe Speed Stop (función develocidad segura) (con SLS, SSR)

El módulo de seguridad se parametriza de la siguiente manera para los requerimientos determinados

en la sección A.3.2:

Fig. A.2 Ejemplo de determinación de los parámetros relevantes para Safe Speed Stop (función de

velocidad segura) (con SLS, SSR)

Fig. A.3 Ejemplo de determinación de los parámetros avanzados para Safe Speed Stop (función de

velocidad segura) (con SLS, SSR)



A.3.4 Requerimientos para errores de transmisores desde el punto de vista de la aplicaciónLa evaluación de los sensores de posición en el módulo de seguridad se basa en uno de los dos

principios básicos siguientes:

a) Están disponibles dos informaciones de posición redundantes, que también son evaluadas por dos

microcontroladores de modo redundante y por separado, es decir, también dos señales de

velocidad independientes.

Ejemplo: Motor con transmisor ENDAT + segundo sensor incremental de posición en el eje.

b) Solo está disponible una información de posición “segura”; la información se transmite a través de

los mismos cables y, en parte, a través de componentes de circuito idénticos (p. ej. amplificador

diferencial para las señales de entrada) y es evaluada de forma redundante por dos

microcontroladores.

Ejemplo: Resolvedor (SIL2) o transmisor SEN/COS con SIL 2/SIL 3.

Caso a) La detección de errores de transmisión y desviaciones de posición entre los sensores de

posición 1 y 2 no es de “tiempo crícito”, puesto que la supervisión a través del otro transmisor

respectivo siempre está garantizada, incluso cuando falla uno de los transmisores.

Caso b) La detección de desviaciones de posición entre el microcontrolador1 y el microcontrolador2

no es de “tiempo crítico”, puesto que la supervisión siempre está garantizada por el otro

microcontrolador.

La detección de errores en el canal de transmisión (p. ej. cable) y en los componentes de

circuitos utilizados en común para la evaluación de transmisores debe realizarse lo más

rápidamente posible dentro de un tiempo de respuesta ante errores a especificar.

La detección de errores de transmisores se basa principalmente en una supervisión de señales

analógicas. Los límites de la supervisión de señales influyen en la precisión resultante de la

supervisión y en el grado de cobertura de diagnosis � véase la sección A.2.3.

La supervisión de la diferencia de posición no debe ser más precisa que en otros casos de error.

El “Worst Case” para un movimiento incontrolado del eje es una fusión parcial de dos

semiconductores de potencia en el paso de salida del CMMPASM3. Este fallo origina en el peor de

los casos una sacudida del eje de hasta 180° eléctricos (== 45° en el eje con un motor de 8 polos).

Observación: Obviamente, el sistema debe diseñarse de manera que este error no provoque una

diferencia de posición inadmisile, p. ej. mediante la elección de un avance o reductor reducido

adecuado.

NotaExiste peligro de sacudidas del accionamiento si ocurren fallos múltiples en el

CMMP-AS-...-M3.

Si durante el estado STO falla el paso de salida del controlador de motor (cortocircuito

simultáneo de 2 semiconductores de potencia en diferentes pasos), puede generarse

un movimiento de retención limitado del rotor. El ángulo de giro / paso equivale a un

paso polar. Ejemplos:

– Eje rotativo, máquina sincrónica, de 8 contactos � Movimiento 45° en el árbol de

motor.

– Motor lineal, paso polar 20 mm � Movimiento 20 mm en la pieza móvil.



Determinación de la diferencia angular (dinámica)

Detección de errores del sistema en el recorrido de

transmisión “común” (resolvedor, transmisor

SEN/COS)

≤ 2 ms

Decalaje de posición en caso de “fusión parcial” de

dos semiconductores de potencia (Worst Case)

Aprox. 60° en el árbol

Decalaje de posición a causa de deteccion

desplazada en el tiempo de la posición del

microcontrolador1 y el microcontrolador2

Aprox. 1° en el árbol

Decalaje dinámico de posición al acelerar Típ. 30° en el eje

Duración del proceso de compensación Típ. ≤ 10 ms

Diferencia total resultante de posición Aprox. 0,167 rev

Tab. A.28 Observación de la posible diferencia de posición entre microcontrolador1 y 2

La supervisión de la diferencia de velocidad se orienta por las resoluciones en la evaluación de

transmisores y en el posible decalaje temporal en la detección entre el microcontrolador 1 y el

microcontrolador2 a la velocidad máxima. La constante de tiempo de filtrado permitida se obtiene

conforme a la sección A.3.7, Tab. A.33.

Determinación de la diferencia total de revoluciones (dinámica)

Resolución de evaluación de transmisor (bruta)

(importante para la detección del estado de parada,

P06.09)

Aprox. 20 rpm

Decalaje de revoluciones al acelerar Aprox. 120 rpm

Decalaje de tiempo 1 ciclo básico => ≤ 200 μs

Aceleración máxima 0 > 5000 rpm dentro de 1 ms

Decalaje de revoluciones al acelerar 200 μs x 6000 rpm / 10 ms

Diferencia total de revoluciones resultante Aprox. 150 rpm

Constante de tiempo de filtrado para señales de

velocidad

Típ. 8 ms

Tab. A.29 Observación de la posible diferencia dinámica de revoluciones entre microcontrolador1 y 2

El tiempo tolerado establecido para la supervisión de transmisores se puede aumentar sin problemas

hasta 100 ms debido a la alta fiabilidad (PFH) del circuito.

La configuración de transmisores del módulo de seguridad se parametriza de la siguiente manera

derivada de este:



Fig. A.4 Ajuste de parámetros para la detección de revoluciones

Fig. A.5 Ajuste de parámetros para la comparación transmisor 1 – 2



A.3.5 Supervisión de longitud de vectores de señales analógicas de transmisor (resolvedor,transmisor SEN/COS)

El módulo de seguridad supervisa las señales analógicas de transmisor de un resolvedor o transmisorSEN/COS:– Se miden las señales de pista ex (corresponde a la señal COS de un transmisor SEN/COS o de un

resolvedor) y ey (corresponde a la señal SEN de un transmisor SEN/COS o de un resolvedor).– Se supervisa cada señal individual (observación del margen de señales permitido). Se detectan los

cortocircuitos de señales individuales frente a GND / VCC y los niveles de señalesinadmisiblemente altos.

– Además se calcula la longitud de vector:

e � e2x � e2

y�

– Se comprueba que la longitud de vector medida actualmente e se encuentre dentro de los valoreslímite parametrizables:

emin � e � emax (parámetros P06.0F, P06.10, P06.1A, P06.1B)– Si una señal individual (ex, ey) o el vector (e) se encuentra fuera del margen permitido, se genera

un error de transmisor y se inicia la reacción ante errores (errores del grupo 55-x).La supervisión de longitud de vectores de señales se utiliza para la detección de distintos errores deltransmisor y para la detección de errores en la detección analógica de señales � Sección A.2.3:– avería de una señal a causa de cortocircuito, interrupción, ...– amplitudes y errores de fase– fallos “stuck-at”– deriva y oscilaciónEl ángulo erróneo máximo hasta la activación de la supervisión de longitud de vectores se calcula dela siguiente manera en base a la longitud de vector nominal erated teniendo en cuenta la integración delos valores límite:

�� acos� eminerated�� acos�emin

emax�

Cobertura de diagnosis de la supervisión de longitud de vectores:El grado de cobertura de diagnosis se puede calcular de la siguiente manera a partir de la relación delas superficies de tensión en el margen de coordenadas x-y y suponiendo una aceptación de ladistribución homogénea de los errores de tensión:

Valor Transmisor SEN/COS Resolvedor

Margen de tensión de lasseñales de transmisor ex, ey

0,5 V ex , ey 4,5 V –6,7 V ex , ey 6,7 V

Superficie total del margen detensión Ftotal

Ftotal = (4,50 V – 0,50 V)² Ftotal = (6,7 V – (-6,7 V))²

Fracción del margen de tensión“permitido” FvalidFvalid = ð(emax² – emin²)

Fvalid = ð(0,70 V² – 0,21 V²) 1)

Fvalid = ð(0,60 V² – 0,40 V²) 2)Fvalid = ð(2,20 V² – 6,40 V²) 1)

Fvalid = ð(5,20 V² – 6,40 V²) 2)

Cobertura de diagnosis DCvlDCvl =1 – Fvalid/ Ftotal

DCvl =91% 1)

DCvl =95 % 2)DCvl =37 % 1)

DCvl =76 % 2)

1) Ajuste de fábrica

2) Ajuste con tolerancia reducida

Tab. A.30 Cálculo del grado de cobertura de diagnosis



La cobertura de la diagnosis de la supervisión de longitud de vector DCVL aborda la cobertura de la

diagnosis total DCAV para el sistema transmisor mediante el análisis FMEA de los posibles errores del

transmisor. DCAV suele ser claramente superior a DCVL.

Los parámetros para la supervisión de longitud de vectores están parametrizados de modo

“relativamente aproximado” para permitir el funcionamiento con numerosos transmisores distintos y

obtener la máxima disponibilidad en caso de influencias perturbadoras externas:

Fig. A.6 Ajuste de parámetros para la supervisión analógica de señales y detección de errores

La tabla siguiente resume los demás datos de los transmisores en las series de motores de Festo.

Se indican los valores nominales de los vectores, el número de ciclos de los transmisores, los valores

para emin, emax (ver arriba), los errores angulares máximos resultantes hasta que responde la

detección de errores, DCVL así como la cobertura de la diagnosis total resultante DCAV para el motor

con sistema transmisor.

Serie demotores

Transmisor1

p0 emin erated emax Δåmech Errores de posiciónen caso de avance[mm/rev]

DCVL DCAV

100 20

EMMS-AS conresolvedor

Resolvedor 1 2,20 V 5,80 V 6,40 V 138° 38 mm 7 mm 36 % 91 %

EMME-AS TransmisorHiperface(transmisorSEN/COS)

16 0,21 V 0,50 V 0,70 V 8,6° 2,4 mm 0,5 mm 91% 93%



Serie demotores

DCAVDCVLErrores de posiciónen caso de avance[mm/rev]

Δåmechemaxeratedeminp0Transmisor1

Serie demotores

DCAVDCVL

20 100

Δåmechemaxeratedeminp0Transmisor1

ServomotorcontransmisorHiperfaceSKS 36 /SKM 36

TransmisorHiperface(transmisorSEN/COS)

128 0,21 V 0,50 V 0,70 V 1,1° 0,3 mm 0,06 mm 91% 93%

Tab. A.31 Errores de posición hasta la reacción de la supervisión de longitud de vectores así como

cobertura de diagnosis (DC) correspondiente (ajuste de fábrica)

Si los grados de cobertura de diagnosis son demasiado bajos, es posible una limitación mediante la

modificación de emin y emax hasta los siguientes valores límite (dado el caso, carga de la

disponibilidad del sistema en entorno industrial con perturbaciones):

Serie demotores

Transmisor1

p0 emin erated emax Δåmech Errores de posiciónen caso de avance[mm/rev]

DCVL DCAV

100 20

EMMS-ASconresolvedor

Resolvedor 1 5,20 V 5,80 V 6,40 V 62° 17 mm 3,4 mm 75% 91 %

EMME-AS TransmisorHiperface(transmisorSEN/COS)

16 0,40 V 0,50 V 0,60 V 5,3° 1,5 mm 0,3 mm 95 % 96 %

ServomotorcontransmisorHiperfaceSKS 36 /SKM 36

TransmisorHiperface(transmisorSEN/COS)

128 0,40 V 0,50 V 0,60 V 0,7° 0,2 mm 0,04 mm 95 % 96 %

Tab. A.32 Errores de posición hasta la reacción de la supervisión de longitud de vectores así como

cobertura de diagnosis (DC) correspondiente (tolerancias limitadas)



El grado de cobertura de diagnosis de la supervisión de longitud de vectores DCVL

acepta el grado total de cobertura de diagnosis para el funcionamiento del CAMC-G-S3

con el sistema de transmisores correspondiente.

No obstante, muchos errores también se detectan con seguridad incluso si la

supervisión de longitud de vector se ha ajustado de modo aproximado o se detectan

mediante otros mecanismos de detección de errores. Por ello, el DCAV total es superior al

DCVL.

Ejemplo: Resolvedor con ajuste de fábrica para la supervisión } DCVL = 37 %, pero en el

sistema se alcanza DCAV = 91 %.

NotaCompruebe su aplicación críticamente:

� ¿Qué requisitos se exigen a la precisión de la supervisión de posición y de parada?

En la elección de su sistema, tenga en cuenta las limitaciones que figuran en este

capítulo



A.3.6 Efecto de un error angular dentro de los límites de error de la supervisión de longitudde vectores sobre la señal de velocidad

Suponiendo el caso siguiente: Hay un error de una señal de transmisor ex o ey, puede tratarse, por

ejemplo, de un error de amplitud. El error es lo suficientemente pequeño como para no activar la

supervisión de longitud de vectores.

Si el eje se desplaza a velocidad constante / el árbol gira con revoluciones constantes, el error causa

“fluctuaciones” de la velocidad momentánea medida actualmente. No obstante, la velocidad

determinada para un período de transmisor corresponde a la velocidad real de movimiento.

Fig. A.7 Curvas de error en la señal de velocidad (CH1) con una reducción del 10 % del la amplitud

de señal de ex. El resultado es una ondulación de revoluciones también del 10 %.

La medición se realizó con actuador ajeno del árbol a velocidad de giro constante.

Habitualmente el sensor de posición 1 se evalúa también en la unidad básica y se recurre a él para la

regulación de las revoluciones. La unidad básica regula ahora a las fluctuaciones de la velocidad

momentánea. Al menos en caso de frecuencias bajas, por debajo de la frecuencia límite del circuito de

regulación de revoluciones, se regula la fluctuación supuesta, el eje ya no se desplaza a velocidad

constante sino que las revoluciones reales fluctúan, pero ahora la señal de ángulo y de velocidad

tienen “buen aspecto”

La posibilidad de detección de los errores de velocidad en funciones de seguridad, como SLS o SSR

depende por lo tanto de varios factores:

a) Si se utiliza adicionalmente un segundo sistema de medición en el actuador, la fluctuación se

detecta de modo seguro.

A través del segundo sistema de medición se detecta correctamente la fluctuación de revoluciones,

el módulo de seguridad reconoce un exceso de las revoluciones momentáneas y pasa al estado

seguro.

b) Se utiliza únicamente un sistema de transmisor con un alto número de periodos por revolución:

Ya a velocidades bajas se obtiene una frecuencia relativamente alta que ya no se regula; la

fluctuación de revoluciones es detectada por el módulo de seguridad y pasa al estado seguro.



c) Se utiliza únicamente un sistema de transmisor con un número bajo de periodos por revolución:

A velocidades bajas se obtiene una frecuencia baja de la fluctuación de revoluciones, que se regula

ampliamente.

c1) El módulo de seguridad podrá detectar de modo seguro un exceso de la velocidad media

durante un periodo de transmisor.

c2) Para garantizar que las revoluciones momentáneas también sean supervisadas, es necesario

reducir el límite de supervisión.

Ejemplo para c2): Supervisión de la longitud de vectores del resolvedor con +/- 20 % => Las

revoluciones a supervisar deben reducirse con el valor de la fluctuación de revoluciones, es decir,

también en un 20 %

=> En caso de una supervisión solicitada de v = 200 mm/s se ajustará la supervisión a v = 160 mm/s.

NotaCompruebe su aplicación críticamente:

� ¿qué requerimientos se exigen a la supervisión de velocidad?

� ¿es suficiente una supervisión de la velocidad media durante una revolución de

motor?

En la elección de su sistema, tenga en cuenta las limitaciones que figuran en este

capítulo.



A.3.7 Base para la observación de la precisión del sistema

Límites de posición SOS

Control de posiciones

Ejemplo de tolerancia máxima, el valor necesario

tiene que fijarse al realizar la evaluación de

riesgos

1,8 mm es el límite más alto para SOS, es decir, el

eje puede desplazarse como máximo 1,8 mm en

el sentido del peligro.

Control de la velocidad

Tiempos máximos de filtrado convencionales 64 ms

Valor predeterminado típico Detección inmediata con ciclo de supervisión de

8 ms.

ResumenTolerancia de posición típica permitida +/ 1 mm

Tiempo de filtrado típico 8 ms filtro, 2 ms tiempo de detección.

Tab. A.33 Límites de posición SOS, tiempos de filtrado

Límites de velocidad SLS

EN 12417:200907 Máquinas herramienta – Seguridad – Centros de mecanizado

Velocidad limitada en modo de funccionamiento

especial

dispositivos de protección con separación,

abiertos

5 m/min = 83,3 mm/s

Velocidad limitada para cambio de herramienta, trabajos de mantenimiento o de ajuste

solo peligro de choque 15 m/min = 250 mm/s

Peligro de aplastamiento 2 m/min = 33,3 mm/s

EN 23125:201010 Máquinas herramienta – Seguridad – Tornos

Velocidad limitada en el funcionamiento manual

en tornos pequeños 6 m/min = 100 mm/s

en tornos grandes 10 m/min = 166,7 mm/s

velocidad de cierre mandril 4 mm/s

movimiento del eje 2 m/min = 33,3 mm/s

movimiento de avance pínola 1,2 m/min = 20 mm/s

EN 102181:201201 Robots y dispositivos robóticos. Requisitos de seguridad para robots

industriales. Parte 1: Robots

Velocidad limitada 250 mm/s

ResumenMargen de valores “velocidad limitada”

Mínimo 4 mm/s

Máximo 250 mm/s

Tiempo de filtrado típico 8 ms filtro, 2 ms tiempo de detección.

Tab. A.34 Límites de velocidad SLS



Datos típicos de algunos ejes lineales de Festo

Ejes accionados por correa dentada EGC-TB-KF, con guía de rodamiento de bolas

Tamaño 50 70 80 120 185

Paso [mm] 2 3 3 5 8

Elongación (fuerza máx.) [%] 0,094 0,08 0,24 0,13 0,29

Diámetro efectivo [mm] 18,46 24,83 28,65 39,79 73,85

Constante de avance [mm/rev] 58 78 90 125 232

Ejes accionados por husillo EGC-BS-KF, con guía de rodamiento de bolas

Tamaño 70 80 120 185

Diámetro [mm] 12 15 25 40

Paso [mm/rev] 10 10 20 10 25 40

Ejes accionados por correa dentada DGEZR (alta velocidad, dependiendo del tiempo hasta 10 m/s)

Tamaño 8 12 18 25 40 63

Paso [mm] 2 2 2 3 5 8

Elongación (fuerza máx.) [%] 0,04 0,1 0,2 0,11 0,1 0,15

Diámetro efectivo [mm] 10,18 12,09 16,55 20,05 31,83 56,02

Constante de avance [mm/rev] 32 28 52 63 100 176

Ejes accionados por correa dentada ELGA-TB-G

Tamaño 70 80 120

Paso [mm] 3 5 5

Elongación (fuerza máx.) [%] 0,31 0,19 0,23

Diámetro efectivo [mm] 28,65 39,79 52,52

Constante de avance [mm/rev] 90 125 165

Actuadores lineales, p. ej. ELGL-LAS, con colchón de aire y motor lineal

Pasos polares típicos En el margen de 20 mm…80 mm == 40 mm…160 mm de

avance

ResumenMargen de valores “avance” Z : 20 mm/rev …. 300 mm/rev

Tab. A.35 Ejes lineales típicos de Festo; constantes de avance a tener en cuenta

Factor de posición �Factor de reducción * Incrementos�Revolución

Avance constante



A.4 Mensajes de estado, diagnosis a través de bus de campo

A.4.1 Emisión de mensajes de estado a través de las salidas digitales de la unidad básica

El controlador de motor puede emitir mensajes de estado importantes del módulo de seguridad en las

salidas digitales DOUT0 hasta DOUT3 a través de la interfaz I/O [X1].

Las salidas digitales se configuran mediante el Festo Configuration Tool.

Para la emisión están disponibles los siguientes mensajes comunes (compárese la sección 2.10.2):

VOUT Señal Nombre Función

40 VOUT_PS_EN Habilitación del

paso de salida

permitida

El bit de estado indica si el controlador de

motor puede conectar el paso de salida.

41 VOUT_WARN Advertencia Se ha producido al menos un error con la

prioridad “Advertencia”.

42 VOUT_SCV Condición de

seguridad

vulnerada

Se ha vulnerado como mínimo una condición de

seguridad.

43 VOUT_ERROR Error El módulo de seguridad ha determinado un

error interno.

44 VOUT_SSR Estado seguro

alcanzado

Bit global “Safety State reached” (estado

seguro alcanzado), todas las funciones de

seguridad solicitadas indican estado seguro.

45 VOUT_SFR Función de

seguridad

solicitada

Bit global “Safety Function Requested”

(Función de seguridad solicitada)

se ha solicitado al menos una función de

seguridad. Permanece activo hasta que se han

restablecido todas las solicitudes.

46 VOUT_SERVICE Estado “Service” Estado “Service”, no hay parámetros

disponibles, parámetro no válido o sesión de

parametrización en proceso.

47 VOUT_READY Preparado para

funcionar

Estado “Preparado para funcionar”, ninguna

función de seguridad solicitada.

Tab. A.36 Señales de estado del módulo de seguridad para la emisión a través de DOUTx de la

unidad básica

Los mensajes de estado del CAMC-G-S3 son compatibles con los del CAMC-G-S1 (módulo de

seguridad con la función de seguridad “Safe Torque Off” (desconexión segura del par)).

En aplicaciones con una utilización mixta de los módulos de seguridad se obtiene así un

feedback unificado al sistema de mando.



A.4.2 Mensajes de estado a través de bus de campo – Protocolo CiA 402El controlador de motor dispone de todas las informaciones necesarias del módulo de seguridad

(estado, modos, errores, IO). Para la transmisión a sistemas de bus son relevantes sobre todo las

siguientes informaciones, a fin de reflejarlas detalladamente en un control funcional:

– Mensajes de estado comunes sobre el estado del módulo de seguridad (servicio normal, función de

seguridad solicitada, error, etc. � comp. sección 2.10.2).

– Estado de las funciones de seguridad individuales (cuáles se han solicitado, cuáles se han

alcanzado).

– Estado de las entradas y salidas digitales.

A continuación figuran los objetos CiA 402 correspondientes, que contienen información sobre el

módulo de seguridad y son compatibles con el CMMPAS...-M3.

Objeto 2000h: manufacturer_statuswordsPara poder reflejar otros estados del regulador, que no deben existir en la palabra de estado, a menudo

interrogado cíclicamente, se ha introducido el grupo de objetos manufacturer_statuswords, que ha

sido ampliado para el módulo de seguridad.

Index 2000h

Name manufacturer_statuswords

Object Code Record

No. of Elements 2

Sub-Index 00h

Description manufacturer_statuswords

Data Type UINT8

Access ro

PDO Mapping no

Units –

Value Range –

Default Value 1

Sub-Index 01h

Description manufacturer_statusword_1

Data Type UINT32

Access ro

PDO Mapping yes

Units –

Value Range –

Default Value –



manufacturer_statusword_1Bit Señal Descripción

Bit 0 IS_REFERENCED El actuador está referenciado

Bit 1 COMMUTATION_

VALID

Conmutación válida

Bit 2 READY_FOR_ENABLE Este bit se activa cuando se dan todas las condiciones para

habilitar el regulador y solo falta la propia habilitación del

regulador. Deben cumplirse las siguientes condiciones:

– No hay errores en el actuador.

– El circuito intermedio está cargado.

– La evaluación del transductor angular está lista. No hay

procesos activos (p. ej. transmisión en serie), que eviten

una habilitación.

– No hay ningún proceso de bloqueo activo (p. ej., la

identificación automática de parámetros del motor).

– STO no está activa o hay una función de seguridad activa

que permite la habilitación.Bit 3 IPO_IN_TARGET El generador de posicionamiento ha completado el perfil.

Bit 4 ... 7 CAM Reservado y utilizado para el disco de leva.

Bit 8 SAFE_STANDSTILL “Parada segura” “H” en el visualizador digital de 7 segmentos.

Utilización por el módulo de seguridad CAMC-G-S1.

Bit 9 ... 11 – Reservado para ampliaciones.

Bit 12 VOUT_PS_EN Indica que el actuador se puede conectar (no hay limitaciones

por parte del módulo de seguridad).

Bit 13 VOUT_WARN Corresponde a VOUT_WARN (VOUT41) del módulo de

seguridad.

Hay al menos un error cuya reacción está parametrizada con

“Advertencia”.

Bit 14 VOUT_SCV Corresponde a VOUT_SCV (VOUT 42) del módulo de seguridad.

Se ha vulnerado como mínimo una condición de seguridad.

Bit 15 VOUT_ERROR Corresponde a VOUT_ERROR (VOUT 43) del módulo de

seguridad.

Se ha determinado un error interno.

Bit 16 VOUT_SAVE_STAT Corresponde a VOUT_SSR (VOUT 44) del módulo de seguridad.

El bit se activa cuando se ha solicitado una función de

seguridad en el módulo de seguridad y se ha alcanzado el

estado seguro.

Bit 17 VOUT_SFR Corresponde a VOUT_SFR (VOUT 45) del módulo de seguridad.

El bit se activa cuando se ha solicitado al menos una función de

seguridad en el módulo de seguridad. El bit permanece activo

hasta que se han restablecido todas las solicitudes.



manufacturer_statusword_1

Bit DescripciónSeñal

Bit 18 VOUT_SERVICE No hay parámetros disponibles, parámetro no válido o una

sesión de parametrización en proceso (no compatible con

CAMC-G-S1). El estado se adopta cuando el módulo de

seguridad se ha sustituido por otro tipo.

Bit 19 VOUT_READY Estado normal: VOUT_READY= NOT(VOUT_SFR)

Bit 20 ... 31 – Reservado.

Tab. A.37 Asignación de bits en el manufacturer_statusword_1

Objeto 2600h: FSM_VOUTEstos objetos reflejan el estado de VOUT (0..64).

Index 2600h

Name FSM_vout

Object Code Record

No. of Elements 2

Sub-Index 01h

Description FSM_vout_0_31

Data Type UINT32

Access ro

PDO Mapping yes

Units –

Value Range –

Default Value –

Bits 0..31 = VOUT0..31 del módulo de seguridad

Sub-Index 02h

Description FSM_vout_32_63

Data Type UINT32

Access ro

PDO Mapping yes

Units –

Value Range –

Default Value –

Bits 0..31 = VOUT32..63 del módulo de seguridad



Objeto 2602h: FSM_IOLectura del nivel en las entradas del módulo de seguridad

Index 2602h

Name FSM_io

Object Code Record

No. of Elements 1

Sub-Index 01h

Description FSM_dig_io

Data Type UINT32

Access ro

PDO Mapping yes

Units –

Value Range –

Default Value –

FSM_dig_ioBit Señal Descripción

Bit 0 LOUT48 Estado lógico de DIN40 A/B




Bit 4 LOUT52 Estado lógico de DIN44

Bit 5 LOUT53 Estado lógico de DIN45; selector del modo de funcionamiento (1 de 3)



Bit 8 LOUT56 Acuse de recibo de error a través de DIN48

Bit 9 LOUT57 Rearranque a través de DIN49

Bit 10 LOUT58 Estado lógico del terminal de mando de dos manos (par de 2 x DIN4x)

Bit 11 LOUT59 Retroseñal de freno de sostenimiento

Bit 12 ... 15 LOUT60 ... 63 No asignado

Bit 16 LOUT64 Estado de la salida DOUT40



Bit 19 LOUT67 Estado del relé de aviso

Bit 20 LOUT68 Control de freno

Bit 21 LOUT69 Estado de la señal de mando SS1

Bit 22 ... 31 LOUT70 ... No ocupado

Tab. A.38 Asignación de bits de FSM_dig_io



A.4.3 Mensajes de estado a través de bus de campo – Protocolo FHPPEl controlador de motor dispone de todas las informaciones necesarias del módulo de seguridad

(estado, modos, errores, IO). Para la transmisión a sistemas de bus son relevantes sobre todo las

siguientes informaciones, a fin de reflejarlas detalladamente en un control funcional:

– Mensajes de estado comunes sobre el estado del módulo de seguridad (servicio normal, función de

seguridad solicitada, error, ... -> comp. sección 2.10.2).

– Estado de las funciones de seguridad individuales (cuáles se han solicitado, cuáles se han

alcanzado).

– Estado de las entradas y salidas digitales.

A continuación figuran los objetos correspondientes para el protocolo de comunicación FHPP (perfil de

Festo para manipulación y posicionamiento) que contienen información sobre el módulo de seguridad.

FSM_STATE a través de FHPP

PNU 280 Safety State (estado de seguridad)Subíndice 01 Clase: Var Tipo de datos: uint32 A partir de FW 4.0.1501.2.1 Acceso: ro

Palabra de estado de la función de seguridad.

Bit Name Valor Significado

0 … 7 – 0x0000 00FF Reservado.

8 VOUT_PS_EN 0x0000 0100 Habilitación de paso de salida posible.

CAMC-G-S3: VOUT_PS_EN = NOT (VOUT_SFR).

CAMC-G-S1: No se ha conectado ninguna de lasentradas STO-A o STO-B.

9 VOUT_WARN 0x0000 0200 Advertencia. Hay al menos un error cuyareacción está parametrizada con “Advertencia”.

CAMC-G-S3: VOUT_WARN (VOUT41).

CAMC-G-S1: Reservado.

10 VOUT_SCV 0x0000 0400 Se ha vulnerado como mínimo una condición deseguridad.

CAMC-G-S3: VOUT_SCV (VOUT 42).


11 VOUT_ERROR 0x0000 0800 Error interno (mensaje de error común) delmódulo de seguridad.

CAMC-G-S3: VOUT_ERROR ( VOUT 43).

CAMC-G-S1: Tiempo de discrepancia vulnerado.

12 VOUT_SSR 0x0000 1000 Estado de seguridad alcanzado (mensajecomún).

CAMC-G-S3: VOUT_SSR (VOUT 44) El bit seactiva cuando se ha solicitado una función deseguridad en el módulo de seguridad y se haalcanzado el estado seguro.

CAMC-G-S1: STO activo.



PNU 280 Safety State (estado de seguridad)

Acceso: roA partir de FW 4.0.1501.2.1Tipo de datos: uint32Clase: VarSubíndice 01

13 VOUT_SFR 0x0000 2000 Función de seguridad solicitada.

CAMC-G-S3: VOUT_SFR (VOUT 45): El bit se activa cuando se ha solicitado al menosuna función de seguridad en el módulo deseguridad. El bit permanece activo hasta que sehan restablecido todas las solicitudes.

CAMC-G-S1: Se ha conectado como mínimo unade las entradas STO-A o STO-B.

14 VOUT_SERVICE 0x0000 4000 Mensaje de servicio.

CAMC-G-S3: Se adopta el estado,… …después deuna sustitución del módulo,…en estado de entrega,…durante una sesión de parametrización.


15 VOUT_READY 0x0000 8000 Ready. Estado normal, ninguna función deseguridad solicitada.

CAMC-G-S3: VOUT_READY= NOT(VOUT_SFR).

CAMC-G-S1: No se ha solicitado STO.

16 … 31 – 0xFFFF 0000 Reservado.

Tab. A.39 PNU 280

PNU 281 FSM Status word (palabra de estado FSM)Subíndice 01 … 02 Clase: Array Tipo de datos: uint32 A partir de FW 4.0.1501.2.1 Acceso: ro

CAMC-G-S3: Contenido la palabra de estado VOUT (0 … 64).

Subíndice 01 Lower Bytes (bytes inferiores)

Bits 0 … 31 = VOUT_0 … 31 del módulo de seguridad CAMC-G-S3.

Subindex 02 Upper Bytes (bytes superiores)

Bits 0 … 31 = VOUT_32 … 63 del módulo de seguridad CAMC-G-S3.

Tab. A.40 PNU 281



PNU 282 FSM IO (FSM IO)Subíndice 01 Clase: Var Tipo de datos: uint32 A partir de FW 4.0.1501.2.1 Acceso: ro

CAMC-G-S3: Nivel en las entradas del módulo de seguridad.

Bit Señal Significado

0 LOUT48 Estado lógico de DIN40A/B

1 LOUT49 Estado lógico de DIN41A/B

2 LOUT50 Logischer Zustand DIN42A/B

3 LOUT51 Logischer Zustand DIN43A/B

4 LOUT52 Estado lógico de DIN44

5 LOUT53 Estado lógico de DIN45; selector del modo de funcionamiento (1 de 3)



8 LOUT56 Estado lógico del acuse de recibo de error a través de DIN48

9 LOUT57 Estado lógico del rearranque a través de DIN49

10 LOUT58 Estado lógico del terminal de mando de dos manos (par de 2 x DIN4x)

11 LOUT59 Retroseñal de freno de sostenimiento

12 . 15 LOUT60 … 63 No ocupado

16 LOUT64 Estado lógico de la salida DOUT40



19 LOUT67 Estado lógico del relé de aviso

20 LOUT68 Estado lógico del control de freno

21 LOUT69 Estado lógico de la señal de mando SS1

22 … 31 LOUT70 … 79 No asignado.

Tab. A.41 PNU 282



A.5 Grabar datos de medición – “Trace”

A.5.1 ResumenCon la función Trace (función de osciloscopio) del plugin de FCT para CMMP-AS es posible grabar datosde medición del módulo de seguridad, además de los datos normales del controlador de motor.

Los datos de medición grabados sirven para la búsqueda de errores. No son relevantespara la seguridad.

La parametrización de los datos de medición y la grabación se realiza a través del FCT (� Sección A.5.2).Se pueden grabar hasta cuato datos numéricos o digitales paralelamente. Para el módulo de seguridadestán disponibles los siguientes datos:

Datos Descripción

Numeric Data (Datos numéricos)Upper value of rotationspeed set value limitation(Límite superior valornominal de revoluciones)1)

Limitación superior actual de la velocidad en la unidad básica, límitepredeterminado por el módulo de seguridad.

Lower value of rotationspeed set value limitation(Límite inferior valor nominalde revoluciones)1)

Limitación inferior actual de la velocidad en la unidad básica, límitepredeterminado por el módulo de seguridad.

CAMC-G-S3: Rotationspeed - actual value (Valorefectivo de revoluciones)

Valor efectivo de revoluciones del módulo de seguridad.

CAMC-G-S3: Position actualvalue (Valor efectivo deposición)

Valor efectivo de posición del módulo de seguridad.

CAMC-G-S3: Actual uppervalue of the safe speedlimitiaton (Límite superiorde velocidad controladoactualmente)

Limitación superior actual de la velocidad controlada actualmente porel módulo de seguridad.

CAMC-G-S3: Actual lowervalue of the safe speedlimitiaton (Límite inferior develocidad controladoactualmente)

Limitación inferior actual de la velocidad controlada actualmente porel módulo de seguridad.

Freely selectable CO (CO de libre elección) ...

Con esta selección se pueden grabar parámetros indistintos� Sección A.5.2.

Digital Data (Datos digitales)CAMC-G-S3: ... Bits de estado del módulo de seguridadCAMC-G-S3: DIN40A Estado físico de la entrada DIN40A... Estados físicos de las demás entradas ...CAMC-G-S3: DOUT40A Estado físico de la salida DOUT40A... Estados físicos de las demás salidas ...CAMC-G-S3: C1/C2 Estado físico del contacto por relé C1/C2

1) Datos de la unidad básica

Tab. A.42 Datos de medición para el módulo de seguridad

A.5.2 Configurar

Los datos grabados se fijan de modo habitual en el plugin de FCT para CMMP-AS en la página “Trace”

(Configurar datos de medición).



Para el módulo de seguridad están disponibles los datos numéricos y digitales incluidos

adicionalmente en � Tab. A.42.

Fig. A.8 Configuración de datos de medición

A excepción de “Free Selectable CO” (CO de libre elección) se pueden ajustar las entradas directamente.

Para los COs (objetos de comunicación) de libre elección se abre un diálogo especial:

Fig. A.9 Objeto de comunicación de libre elección

1. Active primero para los datos de medición el registro “CAMC-G-S3: Safety Module” (Módulo de

seguridad).

2. En “Freely Selectable CO” (CO de libre elección) introduzca primero el número como valor

hexadecimal. El número corresponde al número de parámetro sin la “P” ni el punto, en el ejemplo

“639” para P06.39 – Valor efectivo de la seguridad segura. El número de parámetro se muestra en

abajo.

Hallará parámetros útiles, p. ej. en � Sección B.2, Tab. B.10 “Parámetros de diagnosis”

3. En “Filter” (Filtro) puede fijar una máscara, p. ej. para Bit Arrays u otros datos digitales.

4. En “Measure” (Unidad de medida) seleccione la entrada correcta para la magnitud de medición

para que se visualice correctamente en el diagrama posteriormente.

Para modificar los ajustes vuelva a seleccionar la entrada “Freely Selectable CO ...” (CO de libre

elección).



A.5.3 Iniciar “Trace”Normalmente los ajustes de la página “Trace”(Configurar datos de medición) se pueden transmitir

automáticamente al controlador de motor al iniciar el Trace. Esto no es posible cuando se ha instalado

un módulo de seguridad CAMC-G-S3, puesto que los datos de medición determinados son efectivos

solo después de un reinicio.

Por este motivo el plugin de FCT muestra el siguiente diálogo en cuanto se selecciona uno o varios de

los datos contenidos en � Tab. A.42 (a excepción de los datos marcados por la unidad básica).

Fig. A.10 Guardar datos y reiniciar

Esto es necesario una única vez después de abrir el plugin CMMP-AS en el FCT o tras cada modificación

de los datos de medición.

Después del reinicio del controlador de motor se puede volver a iniciar el Trace modo habitual.

A.5.4 EjemploSe debe grabar una vulneración de la condición de seguridad en SS1. Como disparador se solicita

DOUT42 a través de VOUT_SCV “Safety Condition Violated” (Condición de seguridad vulnerada).

Fig. A.11 Ejemplo de configuración de datos de medición



Como se muestra en Fig. A.11, se ajustan los siguientes datos:

– Trace canal 1 – Datos numéricos – CAMC-G-S3: Límite superior de velocidad controlado actualmente

– Trace canal 2 – Datos numéricos – CAMC-G-S3: CO: 0x639, Filtro 0xFFFFFFFF

(P06.39 – Valor efectivo de la velocidad segura)

– Trace canal 3 – Datos numéricos – CAMC-G-S3: Límite inferior de velocidad controlado actualmente

– Trace canal 4 – Datos digitales – CAMC-G-S3: DOUT42B

Aplicando esos criterios se obtiene, p. ej., el diagrama siguiente:

Fig. A.12 Ejemplo de diagrama

B Lista de referencia de señales de mando y parámetros



B.1 Lista de todas las señales lógicas

B.1.1 Entradas lógicas LIN

Las entradas lógicas están agrupadas en un vector de bits con una longitud de 128 bits.

En el vector de bits se distinguen las siguientes secciones:

LIN Nombre Función

0 – Reservado para la posterior ampliación de las funciones del módulo de

seguridad, siempre cero.... ...

63 –

64 LIN_USF0_SSR Señales de salida virtuales VOUT reconducidas (mensajes de estado de

las funciones de seguridad, mensajes comunes).

Estas se pueden enlazar lógicamente con señales de entrada.

... ...

95 LIN_READY

96 LIN_D40 Estado lógico de las entradas digitales DIN40…DIN49 así como de las

señales de salida de las funciones lógicas y algunos estados auxiliares.... ...

127 LIN_STATIC_ONE

Tab. B.1 Composición del vector bit de las entradas lógicas

El estado actual del vector de bits LIN se puede leer a través de los objetos de comunicación:

Bit 00 ... Bit 31: P04.20

Bit 32 ... Bit 63: P04.21

Bit 64 ... Bit 95: P04.22

Bit 66 ... Bit 127: P04.23



Representación de las entradas físicas en las entradas lógicasLas entradas físicas se representan en las entradas lógicas como se muestra a continuación (se indica

el estado estacionario por filtrado, evaluación de pulsos de prueba, etc.):

LIN Nombre Función

96 LIN_D40 Bit LIN_D40 activado cuando DIN40 A/B = 0 V (principio de corriente en reposo)1)




100 LIN_D44 Bit LIN_D44 activado cuando DIN44 A/B = 24 V

101 LIN_D45 Bit LIN_D45 activado cuando DIN47 = 0 V y DIN46 = 0 V y DIN45 = 24 V



104 LIN_D48 Bit LIN_D48 activado cuando DIN48 = 24 V

105 LIN_D49 Bit LIN_D49 activado cuando DIN49 = 24 V

1) Válido para configuración como entrada equivalente. Configuración como entrada antivalente correspondiente: LIN_DIN4x activo

cuando D4xA = 0 V y D4xB = 24 V.

Tab. B.2 Entradas lógicas, asignación de nivel a las entradas físicas

Tenga en cuenta que LIN_D40 ... LIN_D43 tienen una asignación especial a los niveles de

tensión. Esto permite que las entradas lógicas se puedan añadir a las funciones de

seguridad (p. ej. solicitar STO) sin inversión, de modo que se alcanza el principio de

corriente en reposo (entrada 0 V = STO solicitada).

Entradas lógicas después del procesamiento previo así como funciones auxiliaresRepresentación de las entradas físicas después del procesamiento previo (tiempo esperado, 1 de n, etc.)

LIN Nombre Función

96 LIN_D40 Estado lógico de DIN40 A/B




100 LIN_D44 Estado lógico de DIN44

101 LIN_D45 Estado lógico de DIN45; selector del modo de funcionamiento (1 de 3)

Estado lógico de DIN45 47 (1 de 3) DIN45

102 LIN_D46 Estado lógico de DIN45 47 (1 de 3) DIN46

103 LIN_D47 Estado lógico de DIN45 47 (1 de 3) DIN47



106 LIN_2HAND_CTRL Estado lógico del terminal de mando de dos manos (pareja de 2 x DIN4x)

107 LIN_BRAKE_X6_FB Retroseñal de freno de sostenimiento

117 LIN_PWSTG_ON Paso de salida de unidad básica activo

121 LIN_D45_SAFE Estado lógico de DIN45 después de la evaluación del selector del modo

de funcionamiento



LIN FunciónNombre

122 LIN_D46_SAFE DIN46 después de la evaluación del selector del modo de funcionamiento

123 LIN_D47_SAFE DIN47 después de la evaluación del selector del modo de funcionamiento

124 LIN_D49_RISING_

EDGE

Pulso lógico “1” con aprox. 2 ms – 10 ms de longitud tras cada flanco

ascendente de la señal LIN_D49. Prevista para “Rearranque sensitivo a

flanco”.

125 LIN_AFTER_RST_

PULSE

Pulso lógico “1” con aprox. 2 ms – 10 ms de longitud tras cada RESET.

Prevista para la primera activación automática de una solicitud de

función de seguridad después de Power On o de un RESET del sistema.

126 LIN_STATIC_ZERO Siempre “0”

127 LIN_STATIC_ONE Siempre “1”

Tab. B.3 Entradas lógicas después del procesamiento previo

Salidas virtuales reconducidas como entradas lógicas

LIN Nombre Función

64 LIN_USF0_SSR Estado seguro USF0 alcanzado




75 LIN_SBC_SSR Estado seguro SBC alcanzado

76 LIN_SS2_SSR Estado seguro SS2 alcanzado

77 LIN_SOS_SSR Estado seguro SOS alcanzado

78 LIN_SS1_SSR Estado seguro SS1 alcanzado

79 LIN_STO_SSR Estado seguro STO alcanzado

80 LIN_ALF0_OUT “Additional Logic Function” para feedback o lógica propia








88 LIN_PS_EN El bit de estado indica si el controlador de motor puede conectar el

paso de salida

89 LIN_WARN Se ha producido al menos un error con la prioridad “Advertencia”

90 LIN_SCV Se ha vulnerado como mínimo una condición de seguridad

91 LIN_ERROR El módulo de seguridad ha determinado un error interno

92 LIN_SSR Bit global “Safe State Reached”, en el módulo de seguridad se solicita

al menos una función de seguridad. El bit permanece activo hasta que

se han restablecido todas las solicitudes.



LIN FunciónNombre

93 LIN_SFR Bit global “Safety Function Requested” (Función de seguridad

solicitada), se ha solicitado al menos una función de seguridad, pero

aún no se ha alcanzado.

94 LIN_SERVICE Estado “Service”, no hay parámetros disponibles, parámetro no válido

o sesión de parametrización en proceso.

95 LIN_READY Estado “Preparado para funcionar”, ninguna función de seguridad

solicitada

Tab. B.4 Entradas lógicas, salidas virtuales reconducidas

B.1.2 Entradas virtuales VINLas entradas virtuales son las entradas de las funciones de seguridad y de las funciones lógicas

adicionales (ALF = additional logic function). Son válidas las siguientes abreviaciones:

“RSF” = Request Safety Function (solicitar función de seguridad).

“CSF” = Clear Safety Function, rearranque tras condición de seguridad vulnerada.

Las entradas virtuales están agrupadas en un vector de bits con una longitud de 64 bits.

El estado actual del vector de bits VIN se puede leer a través de los objetos de comunicación:

Bit 00 ... Bit 31: P04.24

Bit 32 ... Bit 63: P04.25

Representación de las entradas virtuales

VIN Nombre Función

0 VIN_USF0_RSF Solicitar función de seguridad USF0




4 – Reservado, siempre cero

... ...

10 –

11 VIN_SBC_RSF Solicitar función de seguridad SBC

12 VIN_SS2_RSF Solicitar función de seguridad SS2

13 VIN_SOS_RSF Solicitar función de seguridad SOS

14 VIN_SS1_RSF Solicitar función de seguridad SS1

15 VIN_STO_RSF Solicitar función de seguridad STO

16 VN_USF0_CSF Finalizar solicitud USF0

17 VIN_USF1_CSF Finalizar solicitud USF1



27 VIN_SBC_CSF Finalizar solicitud SBC

28 VIN_SS2_CSF Finalizar solicitud SS2

29 VIN_SOS_CSF Finalizar solicitud SOS

30 VIN_SS1_CSF Finalizar solicitud SS1



VIN FunciónNombre

31 VIN_STO_CSF Finalizar solicitud STO

32 VIN_ALF0_IN Entrada función lógica adicional ALF0








40 – Reservado para ampliaciones de ALF, siempre cero

... ...

47 –

48 – Reservado para la posterior ampliación de las funciones del módulo de

seguridad, siempre cero... ...

59 –

60 VIN_ERR_QUIT Validar error



63 VIN_BRK_ACK Retroseñal de freno de sostenimiento

Tab. B.5 Entradas virtuales

B.1.3 Salidas virturales VOUTLas salidas virtuales son las salidas de las funciones de seguridad y de las funciones lógicas adicionales.

Están definidas en términos como “SS1_Estado_seguro_alcanzado”. Son válidas las siguientes

abreviaciones:

SSR= Safety Function Requested (función de seguridad solicitada)

SSR= Safe State Reached (estado seguro alcanzado)

Las salidas virtuales están agrupadas en un vector de bits con una longitud de 64 bits. Las señales de

salida virtuales seleccionadas son reconducidas como entradas lógicas en el procesamiento,

compárese Tab. B.4.

El estado actual del vector de bits VIN se puede leer a través de los objetos de comunicación:

Bit 00 ... Bit 31: P05.10

Bit 32 ... Bit 63: P05.11

VOUT Nombre Función

0 VOUT_USF0_SFR Función de seguridad USF0 solicitada






VOUT FunciónNombre


... ...

10 –

11 VOUT_SBC_SFR Función de seguridad SBC solicitada

12 VOUT_SS2_SFR Función de seguridad SS2 solicitada

13 VOUT_SOS_SFR Función de seguridad SOS solicitada

14 VOUT_SS1_SFR Función de seguridad SS1 solicitada

15 VOUT_STO_SFR Función de seguridad STO solicitada

16 VOUT_USF0_SSR Estado seguro USF0 alcanzado





... ...

26 –

27 VOUT_SBC_SSR Estado seguro SBC alcanzado

28 VOUT_SS2_SSR Estado seguro SS2 alcanzado

29 VOUT_SOS_SSR Estado seguro SOS alcanzado

30 VOUT_SS1_SSR Estado seguro SS1 alcanzado

31 VOUT_STO_SSR Estado seguro STO alcanzado

32 VOUT_ALF0_OUT Salida función lógica adicional ALF0








40 VOUT_PS_EN El bit de estado indica si el controlador de motor puede conectar

el paso de salida

41 VOUT_WARN Se ha producido al menos un error con la prioridad “Advertencia”

42 VOUT_SCV Se ha vulnerado como mínimo una condición de seguridad

43 VOUT_ERROR El módulo de seguridad ha determinado un error interno

44 VOUT_SSR Bit global “Safety State reached” (estado seguro alcanzado), todas

las funciones de seguridad solicitadas indican estado seguro

45 VOUT_SFR Bit global “Safety Function Requested” (Función de seguridad

solicitada) en el módulo de seguridad se solicita al menos una

función de seguridad. El bit permanece activo hasta que se han

restablecido todas las solicitudes.

46 VOUT_SERVICE Estado “Service”, no hay parámetros disponibles, parámetro no

válido o sesión de parametrización en proceso



VOUT FunciónNombre

47 VOUT_READY Estado “Preparado para funcionar”, ninguna función de seguridad

solicitada


... ...

62 –

63 VOUT_SBC_BRK_ON Fijar freno de sostemiento

Tab. B.6 Señales de salida virtuales

B.1.4 Salidas lógicas LOUT

El estado de las salidas lógicas se representa de modo similar a las entradas lógicas mediante 1 bit.

Esto también se aplica a las salidas de dos canales.

La equivalencia / antivalencia y las señales de prueba se procesan en la conversión de las salidas

lógicas a salidas físicas.

Las salidas lógicas están agrupadas en un vector de bits con una longitud de 96 bits.

El estado actual del vector de bits LOUT se puede leer a través de los objetos de

comunicación:

Bit 00 ... Bit 31: P05.12

Bit 32 ... Bit 63: P05.13

Bit 64 ... Bit 95: P05.14

Representación de las salidas lógicas

LOUT Nombre Función

0 – Salidas lógicas para diagnosis a través del bus de campo

� Sección A.4... ...

63 –

64 LOUT_D40 Estado de la salida DOUT40



67 LOUT_RELAIS Estado del relé de aviso C1/C2

68 LOUT_BRK_CTRL Control de freno

69 LOUT_SS1_RQ Señal de mando SS1 (cableado fijo)70 – Reservado, siempre cero

... ...

95 –

Tab. B.7 Salidas lógicas, representación de las salidas físicas

Las salidas físicas están asignadas a las salidas lógicas LOUT64 ... LOUT69.



B.1.5 Palabras de estado para el intercambio de datos / diagnosis a través de buses de campoEntre el módulo de seguridad y la unidad básica tiene lugar un intercambio de datos cíclico. De este

modo se transmiten datos importantes del módulo de seguridad y están disponibles para el

intercambio de datos con un mando funcional y para funciones de diagnosis.

Los datos de los objetos de comunicación en el módulo de seguridad se “reflejan” en objetos de

comunicación correspondientes en la unidad básica.

Dichos datos se utilizan para:

– Mensajes de estado a través de buses de campo y salidas digitales,

– grabación de datos a través de la función Trace de la unidad básica.

En la Tab. B.8 figuran los objetos de comunicación de diagnosis correspondientes. Los datos del módulo de

seguridad se pueden leer por tanto a través de los objetos de comunicación 0794h hasta 0797h.

CO unidadbásica

Nombre de CO en launidad básica

CO Módulode seguridad

Valortransmitido1)

Significado/valor transmitido ala unidad básica

0782 ioh_fsm_mov_vout_0_31

P05.10 --- Valor efectivo de las salidasvirtuales VOUT00…VOUT31


P05.11 --- Valor efectivo de las salidasvirtuales VOUT32…VOUT63

079B ioh_fsm_limit_speed_upper

Limitación superior actual de lavelocidad en la unidad básica

079C ioh_fsm_limit_speed_lower

Limitación inferior actual de lavelocidad en la unidad básica

0790 ioh_fsm_diag_ch0 --- P06.39 Selección del CO que se transmiteen el canal de diagnosis 0




0794 ioh_fsm_dat_ch0 P1D.00 P06.39 Velocidad real segura delmódulo de seguridad

0795 ioh_fsm_dat_ch1 P1D.01 P04.23 Estado de las entradas lógicas LIN96…LIN127 � Tab. B.3

0796 ioh_fsm_dat_ch2 P1D.02 P05.10 Estado de las salidas virtualesVOUT0…VOUT31 � Tab. B.6

0797 ioh_fsm_dat_ch3 P1D.03 P05.11 Estado de las salidas virtualesVOUT32…VOUT63 � Tab. B.6

1) Ajuste por defecto

Tab. B.8 Lista de las informaciones de diagnosis para la unidad básica



Las emisiones de diagnosis pueden modificarse si es necesario. A tal fin, utilice la función

Trace del plugin de FCT para CMMP-AS � Sección A.5. Al hacerlo se realizan los

siguientes ajustes:

1. En los números de CO 0790h hasta 0793h se introducen los COs del módulo de

seguridad que deben ser grabados.

2. Los ajustes se guardan en la unidad básica y se ejecuta un reinicio. A continuación, los

ajustes se transmiten al módulo de seguridad.

Ejemplo:

CO 0790h } Valor: 0639h Transmisión de la velocidad segura

CO 0791h } Valor: 0423h Estado de LIN96…LIN127 (LIN_D40…LIN_D49, etc.)

CO 0792h } Valor: 1D09h Límite superior de supervisión de la velocidad

CO 0793h } Wert: 1D0Ah Límite inferior de supervisión de la velocidad

RESET / Reinicio:

CO 0794h { Valor: 0639h Transmisión de la velocidad segura

CO 0795h { Wert: 0423h Estado de LIN96…LIN127 (LIN_D40…LIN_D49 etc.)

CO 0796h { Wert: 1D09h Límite superior de supervisión de la velocidad -> véase lista B.2

CO 0797h { Wert: 1D0Ah Límite inferior de supervisión de la velocidad -> véase lista B.2

En los COs de la unidad básica 0794h hasta 0797h se representan los datos correspondientes

(resolución de tiempo aprox. 2 ms)



B.2 Lista de parámetros adicionales

A través del punto de menú Extras/Resumen de parámetros, el SafetyTool ofrece la posibilidad para

avanzados de ver o modificar todos los parámetros del módulo de seguridad. Mediante filtros se puede

seleccionar qué parametros se visualizan. Esto permite, p. ej., encontrar todos los parámetros cuyo

ajuste difiere entre el SafetyTool y el módulo de seguridad.

La mayorái de parámetros se describen en el marco de la función correspondiente:

– Informaciones básicas � Tab. 2.8, página 39

– Configuración de transmisores � Tab. 2.11, página 48

– Entradas digitales de dos canales � Tab. 2.21, página 58

– Entradas digitales de un canal � Tab. 2.24, página 61

– STO: Desconexión segura del par � Tab. 2.30, página 69

– SS1: Parada segura 1 � Tab. 2.41, página 83

– SS2: Parada segura 2 � Tab. 2.47, página 90

– SOS: Parada de servicio segura � Tab. 2.51, página 94

– SSF: Velocidad segura � Tab. 2.56, página 102

– SBC: Control seguro de freno � Tab. 2.35, página 76

– Funciones lógicas del selector del modo de funcionamiento � Tab. 2.63, página 108

– Funciones lógicas del terminal de mando de dos manos � Tab. 2.66, página 110

– Funciones lógicas Advanced Logic-Functions � Tab. 2.69, página 111

– Salidas digitales � Tab. 2.78, página 124

Las tablas siguientes contienen un resumen de todos los parámetros que no se han descrito en el

marco de las descripciones anteriores.

Gestión de erroresN.° Nombre Descripción

P20.00 [53-0] USF0: Condición de seguridad

vulnerada

Reacción ante error del error 53-0


vulnerada



vulnerada



vulnerada


P20.0A [54-0] SBC: Condición de seguridad

vulnerada


P20.0C [54-2] SS2: Condición de seguridad

vulnerada


P20.0D [54-3] SOS: Condición de seguridad

vulnerada


P20.0E [54-4] SS1: Condición de seguridad

vulnerada




Gestión de errores

N.° DescripciónNombre

P20.0F [54-5] STO: Condición de seguridad

vulnerada


P20.10 [54-6] SBC: Freno no presurizado > 24 h Reacción ante error del error 54-6

P20.11 [54-7] SOS: SOS solicitada > 24 h Reacción ante error del error 54-7

P20.14 [55-0] No hay valor efectivo disponible

de revoluciones / de posición o estado

de reposo > 24 h


P20.15 [55-1] Transmisor SEN/COS [X2B] -

Error de señales de pista


P20.16 [55-2] Transmisor SEN/COS [X2B] -

Parada > 24 h


P20.17 [55-3] Resolvedor [X2A] - Error de señal Reacción ante error del error 55-3

P20.18 [55-4] Transmisor EnDat [X2B] - Error

de sensor


P20.19 [55-5] Transmisor EnDat [X2B] - Tipo de

sensor incorrecto


P20.1A [55-6] Encoder incremental [X10] - Error

de señales de pista


P20.1B [55-7] Otros transmisores [X2B] -

Información angular incorrecta


P20.26 [56-8] Diferencia revoluciones / ángulo

transmisor 1 - 2

Reacción ante error del error 56-8. Se genera el

error cuando uno de los dos microcontroladores

determina una diferencia inadmisible de posición o

velocidad entre el transmisor 1 y el transmisor 2

P20.27 [56-9] Error comparación cruzada

evaluación de transmisores

Reacción ante error del error 56-9. Se genera el

error cuando en la comparación cruzada de los

valores de posición entre microcontrolador1 y 2

se determina una diferencia de posición

inadmisible

P20.28 [57-0] Error de autotest I/O

(interno/externo)


P20.29 [57-1] Entradas digitales - Error nivel de

señal


P20.2A [57-2] Entradas digitales - Error pulso

de prueba


P20.2E [57-6] Temperatura de la electrónica

demasiado alta


P20.32 [58-0] Verificación de plausibilidad de

parámetro


P20.33 [58-1] Error general de parametrización Reacción ante error del error 58-1



Gestión de errores


P20.36 [58-4] Memoria intermedia

comunicación interna


P20.37 [58-5] Comunicación módulo - unidad

básica


P20.38 [58-6] Error comparación cruzada

procesadores 1 - 2

Reacción ante error del error 58-6. El error segenera cuando en la comparación cruzada entremicrocontrolador1 y 2 aparece una desviacióninadmisible, p. ej. estados diferentes de lasentradas y salidas o valores seguros de velocidaddistintos. ¡En el caso especial de valores deposición diferentes se genera el error 56-9!

P20.3D [59-1] Alimentación Failsafe/bloqueo

seguro de pulso


P20.3E [59-2] Error alimentación de corriente

externa


P20.3F [59-3] Error Fuente de alimentación

interna


P20.40 [59-4] Gestión de errores: Demasiados

errores


P20.41 [59-5] Error escritura memoria de

diagnosis


P20.42 [59-6] Error al guardar conjunto de

parámetros


P20.43 [59-7] Error suma de prueba memoria

FLASH


P20.44 [59-8] Supervisión interna procesador

1 - 2


P20.45 [59-9] Otros errores inesperados Reacción ante error del error 59-9

Tab. B.9 Gestión de errores

Parámetros de diagnosisN.° Nombre Descripción

P00.00 Versión del conjunto de parámetros Versión del conjunto de parámetros

P20.46 Estado de error grupo 53 y 54: Número error principal 53 y 54 en el campo de error



P20.49 Estado de error grupo 59: Número error principal 59 en el campo de error


P02.2F estado de las entradas digitales y Estado de las entradas digitales

P02.38 Estado de las salidas digitales Estado de las salidas digitales

P02.39 Estado de las salidas digitales B Estado de las salidas digitales



Parámetros de diagnosis


P02.3A Estado de las entradas digitales B Estado de las entradas digitales

P05.10 Estado VOUT0�VOUT31 Valores efectivos de VOUT0..VOUT31

P05.11 Estado VOUT32�VOUT63 Valores efectivos de VOUT32..VOUT63

P05.12 Estado LOUT0�LOUT31 Valores efectivos de LOUT0..LOUT31



P06.39 Valor efectivo de la velocidad segura Valor efectivo de revoluciones

P06.3A Posición segura Valor efectivo de posición reducido a 32 bits

P06.3B Aceleración segura Aceleración del transductor angular

P06.3C Ángulo del transmisor 1 Ángulo del transmisor 1 (sin reductor)

P06.3D Ángulo del transmisor 2 Ángulo del transmisor 2 (sin reductor)

P06.56 Posición del transmisor 1 Posición calculada del transmisor 1

(contiene conversión de reductor)

P06.57 Posición del transmisor 2 Posición calculada del transmisor 2


P1D.00 CO para canal de diagnosis 0 CO para emisión como canal de diagnosis 0

P06.58 Velocidad del transmisor 1 Velocidad calculada del transmisor 1



P06.59 Velocidad del transmisor 2 Velocidad calculada del transmisor 2


P1D.02 CO para canal de diagnosis 2 Co para emisión como canal de diagnosis 2


P0E.50 Limitación de velocidad superior actual Limitación de velocidad superior actual en el


P0E.51 Limitación de velocidad inferior actual Limitación de velocidad inferior actual en el


Tab. B.10 Parámetros de diagnosis

MappingN.° Nombre Descripción

P04.00 Término producto Mapping y asignación para término producto 0











Mapping



P04.0A Término producto Mapping y asignación para término producto 10

P04.0B Término producto Mapping y asignación para término producto 11

P04.0C Término producto Mapping y asignación para término producto 12

P04.0D Término producto Mapping y asignación para término producto 13

P04.0E Término producto Mapping y asignación para término producto 14

P04.0F Término producto Mapping y asignación para término producto 15











P04.1A Término producto Mapping y asignación para término producto 26

P04.1B Término producto Mapping y asignación para término producto 27

P04.1C Término producto Mapping y asignación para término producto 28

P04.1D Término producto Mapping y asignación para término producto 29

P04.1E Término producto Mapping y asignación para término producto 30

P04.1F Término producto Mapping y asignación para término producto 31

P05.00 Selección de funciones DOUT40 Mapping de salida para LOUT64 (DOUT40)



P05.03 Selección de función contacto de

recibo C1/C2

Mapping de salida para LOUT67 (relé de aviso)


P04.20 Estado LIN0..LIN31 Valores efectivos de LIN0..LIN31




P04.24 Estado VIN0..VIN31 Valores efectivos de VIN0..VIN31

P04.25 Estado VIN32..VIN63 Valores efectivos de VIN32..VIN63

P05.04 Selección de funciones salida de freno

unidad básica

Mapping de salida para LOUT68

(freno de sostenimiento de la unidad básica)

Tab. B.11 Mapping



Parámetros internos/ocultosN.° Nombre Descripción

P06.14 Resolvedor decalaje de fase Decalaje de fase entre toggle PWM y punto dedetección

P06.20 Resolución Singleturn en bits Número de bits por valor angular

P06.21 Número de revoluciones medible(Multiturn)

Número de revoluciones medible (Multiturn)

P06.22 Número de serie del transmisor EnDat(parte 1)

Número de serie del transmisor EnDat (parte 1)





P06.25 Número ident. del transmisor EnDat(parte 1)

Número ident. del transmisor EnDat (parte 1)





P06.38 Tiempo tolerado para datosangulares transmitidos erróneamente

Tiempo máximo en el que se puede transmitirerróneamente el ángulo de la unidad básica.

P09.00 Filtro para mensaje común SFR o SSR Máscara para excluir mensajes de estado de funcionesde seguridad individuales del cálculo del mensajecomún

P09.01 Tiempo entre dos pulsos Sync (ciclo básico)

Tiempo entre dos pulsos Sync (ciclo básico)

P12.01 Retardo de conexión Tiempo de retardo en caso de retardo a la conexión

P12.02 Retardo de desconexión Tiempo de retardo en caso de retardo a la desconexión





P12.0A Retardo de conexión Tiempo de retardo en caso de retardo a la conexión

P12.0B Retardo de desconexión Tiempo de retardo en caso de retardo a la desconexión

P12.0D Retardo de conexión Tiempo de retardo en caso de retardo a la conexión

P12.0E Retardo de desconexión Tiempo de retardo en caso de retardo a la desconexión









Parámetros internos/ocultos


P1C.00 Revisión del software (revisión principal)

Revisión del software (revisión principal)

P1C.01 Revisión del software (número de aplicación)

Revisión del software (número de aplicación)

P1C.02 Revisión del software (KM / revisión secundaria)

Revisión del software (KM / revisión secundaria)

P20.06 [53-6] SDI0: Condición de seguridadvulnerada


P20.07 [53-7] SDI1: Condición de seguridadvulnerada


P20.08 [53-8] SLI0: Condición de seguridadvulnerada


P20.09 [53-9] SLI1: Condición de seguridadvulnerada


P20.0B [54-1] SBT: Condición de seguridadvulnerada


P20.2B [57-3] Error de entrada analógica(margen de valores)


P20.2C [57-4] Error en la medición decorriente


P20.2D [57-5] Error de medición de la tensióndel motor


P20.4A Protocolar solicitud funciones deseguridad

Si está activado: Protocolar solicitud de funciones deseguridad

PFF.00 Estado operativo: Estado actual de la parametrización

PFF.01 Identificación “estado de entrega” 1 = SÍ

Identificación “estado de entrega”

PFF.02 Identificación “validación total” 1 = SÍ Identificación “validación total”


PFF.03 Código de validación: Código de validación de la sesión de parametrización

Tab. B.12 Parámetros internos/ocultos



B.3 Lista de los objetos de comunicación más importantes de la unidadbásica

Lista de referencia de los objetos de comunicación del controlador de motor a través de los cuales se

ponen a disposición informaciones sobre el módulo de seguridad.

N.º CO Nombre Tipo Unidad Descripción

0750 ioh_fsm_ctrl RW UINT32 Palabra de control para el módulo de seguridad0751 ioh_fsm_stat RO UINT32 Palabra de estado para el módulo de seguridad0752 ioh_fsm_sto_

discrep_timeRW UINT32 Tiempo de discrepancia dentro del cual puede haber

distintos niveles temporalmente en las entradas STOdel CAMC-G-S1 sin que se genere un error

0753 ioh_fsm_config RW UINT32 Palabra de configuración para el módulo deseguridad

0760 srvc_fsm_act_art_hi

RO UINT32 Número de artículo actual específico del fabricantedel módulo de seguridad: Codificación ASCII de los4 dígitos superiores, p. ej. 0x39313030 = '9100'

0761 srvc_fsm_act_art_mid

RO UINT32 Número de artículo actual específico del fabricantedel módulo de seguridad: Longword intermedia

0762 srvc_fsm_act_art_lo

RO UINT32 Número de artículo actual específico del fabricantedel módulo de seguridad: Longword inferior

0763 srvc_fsm_act_typ RO UINT32 Tipo actual del módulo de seguridad enchufado:0764 srvc_fsm_act_

ser_hiRO UINT32 Número de artículo del módulo de seguridad

específico del fabricante: Codificación ASCII de los4 dígitos superiores, p. ej. 0x30303134 = '0014'

0765 srvc_fsm_act_ser_mid

RO UINT32 Número de serie específico del fabricante delmódulo de seguridad enchufado: Longwordintermedia

0766 srvc_fsm_act_ser_lo

RO UINT32 Número de serie específico del fabricante delmódulo de seguridad enchufado: Longword inferior

0767 srvc_fsm_act_rev_idx

RO UINT32 Revisión del hardware del módulo de seguridadenchufable

0768 srvc_fsm_act_soft_ref_idx

RO UINT32 Revisión del software del módulo de seguridadenchufable

0769 ioh_fsm_proj_art_hi

RW UINT32 Número de artículo específico del fabricante delmódulo de seguridad planificado en el proyecto através del programa de parametrización:Codificación ASCII de los 4 dígitos superiores, p. ej.0x39313030 = '9100'

076A ioh_fsm_proj_art_mid

RW UINT32 Número de artículo específico del fabricante delmódulo de seguridad planificado en el proyecto:Longword intermedia

076B ioh_fsm_proj_art_lo

RW UINT32 Número de artículo específico del fabricante delmódulo de seguridad planificado en el proyecto:Longword inferior

076C ioh_fsm_proj_typ RW UINT32 Tipo del módulo de seguridad enchufado planificadoen el proyecto.



N.º CO DescripciónUnidadTipoNombre

076D ioh_fsm_proj_ser_hi

RW UINT32 Número de serie del módulo de seguridad específicodel fabricante planificado en el proyecto:Codificación ASCII de los 4 dígitos superiores, p. ej.0x30303134 = '0014'

076E ioh_fsm_proj_ser_mid

RW UINT32 Número de serie específico del fabricante delmódulo de seguridad planificado en el proyecto:Longword intermedia

076F ioh_fsm_proj_ser_lo

RW UINT32 Número de serie específico del fabricante delmódulo de seguridad planificado en el proyecto:Longword inferior

0770 ioh_fsm_proj_rev_idx

RW UINT32 Revisión del hardware del módulo de seguridadplanificado en el proyecto

0771 ioh_fsm_proj_soft_rev_idx

RW UINT32 Revisión del software del módulo de seguridadplanificado en el proyecto

0772 srvc_fsm_dip_val_std

RO UINT32 Proporciona el valor leído, después del reinicio, delinterruptor DIL en el módulo de seguridad/módulode microinterruptores

0773 ioh_fsm_num_entry_act

RO UINT32 Proporciona el número de entradas en la memoriadel registro de errores de la unidad básica

0774 ioh_fsm_num_entry_max

RO UINT32 Proporciona el número máximo de entradas en lamemoria del registro de errores de la unidad básica

0780 ioh_7segment_fsm_ctrl

RW UINT32 Palabra de control para el control del visualizadordigital de 7 segmentos desde el módulo deseguridad.

0781 ioh_7segment_fsm_data

RW UINT32 Control del visualizador digital de 7 segmentosdesde el módulo de seguridad


RW UINT32 Tab. B.6Estado interno del módulo de seguridad(64 bits del bus del sistema) Low- Word (, VOUT 0 ...31)


RW UINT32 Estado interno del módulo de seguridad (64 bits delbus del sistema) High- Word (Tab. B.6, VOUT 32 ...64)

0784 ioh_fsm_mov_mscfct_rx

RW UINT32 Carácter recibido por FCT. Input de USB, Ethernet.Actualizar índice de lectura, SISTEMA FIFO

0785 ioh_fsm_mov_mscfct_tx

RW UINT32 Carácter que se debe enviar al FCT. Output a USB,Ethernet SISTEMA FIFO

0786 ioh_fsm_mscfct_rx_cnt

RO UINT32 Número de caracteres de FCT en la memoriaintermedia, USB, Ethernet SISTEMA FIFO

0787 ioh_fsm_mscfct_tx_cnt

RO UINT32 Número de caracteres desde el módulo de seguridadpara FCT en la memoria intermedia USB, EthernetSISTEMA FIFO

0788 ioh_fsm_din_dout RO UINT32 Lectura de las entradas digitales del módulo deseguridad

0789 ioh_fsm_mov_stat_arb

RW UINT32 Activación/lectura del módulo de seguridadmáquina de estado



N.º CO DescripciónUnidadTipoNombre

078B srvc_fsm_act_gesamt_rev_idx

RO UINT16 --

078C ioh_fsm_proj_gesamt_rev_idx

RW UINT16 --

0790 ioh_fsm_diag_ch0 RW UINT32 Canal de diagnosis 1 del módulo de seguridad:Selección del CO en el módulo de seguridad




0794 ioh_fsm_dat_ch0 RO UINT32 Canal de diagnosis 1 del módulo de seguridad:Fecha, actualizada dinámicamente por el módulo deseguridad




0798 ioh_fsm_log_entry_0

RW UINT32 Inclusión de una entrada Log en la memoria dediagnosis del módulo de seguridad. La escritura serealiza solo a partir de la tercera entrada

0799 ioh_fsm_log_entry_1


079A ioh_fsm_log_entry_2


079B ioh_fsm_limit_speed_upper

RW INT32 Limitación del valor nominal de revoluciones Límitesuperior limitación > 0

079C ioh_fsm_limit_speed_lower

RW INT32 Limitación del valor nominal de revoluciones Límiteinferior limitación solo < 0 permitida

079D ioh_fsm_limit_torque_upper

RW INT32 Limitación del valor nominal del par Límite superiorsolo > 0 pemitido

079E ioh_fsm_limit_torque_lower

RW INT32 Limitación del valor nominal del par Límite superiorsolo < 0 pemitido

079F ioh_fsm_deccelramp

RW INT32 Rampa de PARADA del módulo de seguridad

Tab. B.13 Lista de los objetos de comunicación más importantes de la unidad básica

C Glosario


C Glosario

C.1 Términos de ingeniería de seguridad y abreviaciones

Término/abreviación Descripción

ALF “Additional Logic Function”, función lógica ampliada. Ninguna función de

seguridad. Permite la interconexión lógica de entradas y salidas internas.

Cat. Categoría según EN ISO 13849-1, niveles 1 ... 4.

CCF Common Cause Failure, fallo como consecuencia de una causa común según

EN ISO 13849-1.

Desconexión de

emergencia

Según EN 60204-1: Seguridad eléctrica en caso de emergencia por desconexión

de la energía eléctrica en toda la instalación o en una parte de ella.

La desconexión de emergencia debe aplicarse cuando haya riesgo de

electrocución o cualquier otro riesgo de origen eléctrico.

Dispositivo de

desconexión de

seguridad

Dispositivo para ejecutar funciones de seguridad o provocar un estado

seguro de la máquina mediante la desconexión de la alimentación de energía

de las funciones peligrosas de la máquina. La función de seguridad deseada

solo se alcanza en combinación con otras medidas de seguridad para la

minimización de riesgos.

DC avg Average Diagnostic Coverage, grado de cobertura de diganosis según

CEI 61508 y EN 61800-5-2.

FCT Festo Configuration Tool, software para la configuración y puesta a punto.

HFT Hardware Failure Tolerance, tolerancia de error de hardware según CEI 61508.

MTTFd Mean Time To Failure (dangerous): tiempo en años hasta que ha aparecido la

primera avería peligrosa con una probabilidad del 100 %,

según EN ISO 13849-1.

OSSD “Output Signal Switching Device”: Señales de salida con ciclo de nivel de

24 V para revelación de fallos.

Parada de

emergencia

Según EN 60204-1: seguridad funcional en caso de emergencia por parada

de una máquina o piezas en movimiento.

La parada de emergencia está prevista para detener un movimiento, que

pueda implicar un peligro de algún tipo.

PFH Probability of Dangerous Failures per Hour, probabilidad total de un fallo

peligroso por hora según CEI 61508.

PL Nivel de prestaciones (PL) requerido según EN ISO 13849-1: Niveles a ... e.

SBC Safe Brake Control, control seguro de freno conforme a EN 61800-5-2.

SFF Safe Failure Fraction [%], relación de las tasas de averías seguras y

peligrosas (pero detectables) respecto a la suma de todas la averías según

CEI 61508.

C Glosario


Término/abreviación Descripción

SIL Nivel de seguridad integral, etapas discretas para la determinación de los

requerimientos de la integridad de seguridad de funciones de seguridad

según CEI 61508, EN 62061 y EN ISO 13849.

SILCL SIL máximo que puede ser solicitado por un sistema parcial.

SLS Safely-Limited Speed, velocidad con limitación segura conforme a EN 61800-5-2.

SOS Safe Operating Stop, Parada de servicio segura conforme a EN 61800-5-2.

SS1 Safe Stop 1, parada segura 1 conforme a EN 61800-5-2.

SS2 Safe Stop 2, parada segura 2 conforme a EN 61800-5-2.

SSF “Safe Speed Function”, funciones de seguridad agrupadas respecto a la

supervisión y el control de la seguridad.

SSM Safe Speed Monitor, control seguro de la velocidad conforme a EN 61800-5-2.

SSR Safe Speed Range, margen de velocidad seguro conforme a EN 61800-5-2.

STO Safe Torque Off, desconexión segura del par conforme a EN 61800-5-2.

T Duración de uso según EN ISO 13849-1.

USF “Universal Safety Function”, funciones de seguridad agrupadas.

Tab. C.1 Términos y abreviaciones

C Glosario


C.2 Términos relativos al SafetyTool y a la parametrización segura

Concepto Significado/función

Área de

cuantificación

Desviación máxima entre el valor escrito y el valor leído de un parámetro. Los

valores situados dentro del límite de cuantificación se pueden considerar

como idénticos. El límite de cuantificación se lee desde el módulo de

seguridad durante el acceso de lectura al parámetro.

Código de validación Contenido de un objeto de comunicación que es creado por el módulo de

seguridad cuando se han validado todos los parámetros.

Conjunto seguro de

parámetros

La suma de todos los parámetros del módulo de seguridad forma un

conjunto de parámetros. Si el conjunto de parámetros contiene un código de

validación válido, se trata de un “conjunto seguro de parámetros”.

El conjunto seguro de parámetros de una aplicación se encuentra por tanto

siempre en un módulo de seguridad ejecutable. Además puede leerse con el

SafetyTool y, junto con el código de validación creado por el módulo de

seguridad, guardarse en un medio de memoria. En él se protegerá contra

modificaciones con una suma de prueba.

Cuantificación Algunos parámetros son cuantificados (reticulados) por el módulo de seguridad,

p. ej. cuando el valor debe ser un múltiplo de una duración de ciclo.

Al leer desde el módulo de seguridad, en tales casos se puede dar el acuse

de recibo de un valor distinto al valor escritos. Mediante los márgenes

cuantificados predeterminados, no obstante, no se generan desviaciones

relevantes.Estado básico seguro En caso de una parametrización carente o no válida, o no validada por

completo, el módulo de seguridad pasa al estado básico seguro:

– Paso de salida desconectado

– Unidad de bloqueo o freno de sostenimiento

– Salidas DOUT4x en el módulo de seguridad desconectadas

Módulo de seguridad CAMC-G-S3 como módulo enchufable en la unidad básica, que es el

responsable de la seguridad de la aplicación del actuador. La

parametrización de este módulo de seguridad se realiza con el SafetyTool.

Objeto de

comunicación

Elemento de datos individual que puede ser leído, escrito y validado por el

SafetyTool.

Parametrización

offline

Funcionamiento del SafetyTool sin conexión con el aparato (en el escritorio)

Parametrización

online

Funcionamiento del SafetyTool con conexión con módulo de seguridad (a

través de la unidad básica).

Proyecto Véase Proyecto de SafetyTool.

C Glosario


Concepto Significado/función

Proyecto de

SafetyTool

El SafetyTool permite al usuario guardar la parametrización local existente

como “Proyecto de SafetyTool”. Este archivo contiene los parámetros como

valores de visualización (en oposición al conjunto seguro de parámetros, en

el que se guardan valores del aparato).

El proyecto de SafetyTool se puede transferir al módulo de seguridad en una

sesión Online. La validación de los parámetros transmitidos debe ser

realizada individualmente por el usuario.

SCV Safety Condition Violated, condición de seguridad vulnerada.

SFR Safety Function Requested, función de seguridad solicitada.

SSR Safe State Reached, estado seguro alcanzado.

Suma de prueba Medida para garantizar la integridad de datos en la transmisión o

memorización de datos. A partir de los datos se generan sumas de prueba,

que conforme a la medición normal garantizan la igualdad de los datos.

Término producto Para la configuración de las condiciones de conexión del módulo de

seguridad se configuran operaciones entre las entradas lógicas y las salidas

virtuales así como entre las salidas virtuales y las salidas lógicas en forma de

los denominados términos productos.

Un término producto es una operación Y con o sin inversión con 7 entradas

como máximo.

Es posible combinar hasta un máximo de 4 términos productos como

operación O.

Los términos productos (operación Y) u operaciones O reciben en general la

denominación “puertas”.

Unidad básica Controlador de motor como soporte del módulo de seguridad, en este caso

un CMMP-AS-…-M3.

Unidad de

visualización

Unidad en la que se visualizan los parámetros correspondientes. Las

unidades de visualización deseadas para los valores de posición, de

velocidad y de aceleración se predeterminan al iniciar el SafetyTool por el

programa a abrir.

Valor efectivo Valor actual de un parámetro en el módulo de seguridad convertido a la

unidad de visualización

Valor indicado Valor convertido de un parámetro en la unidad de visualización deseada.

Valor nominal Valor de visualización de un parámetro predeterminado por el usuario.

Tab. C.2 Términos relativos al SafetyTool y a la parametrización segura

Sin nuestra expresa autorización, queda terminantemente prohibidala reproducción total o parcial de este documento, así como su usoindebido y/o exhibición o comunicación a terceros. De los infractoresse exigirá el correspondiente resarcimiento de daños y perjuicios.Quedan reservados todos los derechos inherentes, en especial los depatentes, de modelos registrados y estéticos.

Copyright:Festo AG & Co. KGPostfach73726 EsslingenAlemania

Phone:+49 711 347-0

Fax:+49 711 347-2144

e-mail:[email protected]

Internet:www.festo.com

Original: de

· camc-g-s3 2 festo – gdcp-camc-g-s3-es – 1406nh – español traducción del manual original...

Documents