modulo di sicurezza camc-g-s3 · 2020. 8. 2. · camc-g-s3 2 festo – gdcp-camc-g-s3-it – 1406nh...

CAMC-G-S3

Descrizione

Funzioni di sicurezza

– STO,

– SS1,

– SS2,

– SOS, – SBC,

– SLS,

– SSR,

– SSM

secondo

EN 61800-5-2

per controllore

motore

CMMP-AS-...-M3

759299

1406NH

Modulo di sicurezza

CAMC-G-S3

2 Festo – GDCP-CAMC-G-S3-IT – 1406NH – Italiano

Traduzione delle istruzioni originali

GDCP-CAMC-G-S3-IT

Heidenhain®, EnDat®, PHOENIX® sono marchi registrati dei singoli proprietari in determinati paesi.

Identificazione dei pericoli e indicazioni su come evitarli:

AllarmePericoli che possono causare morte o lesioni di grave entità.

PrudenzaPericoli che possono causare lesioni di lieve entità o gravi danni materiali.

Altri simboli:

AttenzioneDanni materiali o perdita di funzionamento.

Raccomandazione, suggerimento, rimando ad altre documentazioni.

Accessorio necessario o utile.

Informazioni per un impiego nel rispetto dell'ambiente.

Indicazioni nel testo:

� Attività che possono essere eseguite nella sequenza desiderata.

1. Attività che devono essere eseguite nella sequenza indicata.

– Enumerazioni generiche.

CAMC-G-S3

Festo – GDCP-CAMC-G-S3-IT – 1406NH – Italiano 3

Indice generale – CAMC-G-S3

1 Sicurezza e condizioni di utilizzo 13. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

1.1 Sicurezza 13. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

1.1.1 Avvertenze generali di sicurezza 13. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

1.1.2 Utilizzo conforme 13. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

1.1.3 Impiego errato prevedibile 14. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

1.1.4 Livello di sicurezza raggiungibile,

funzione di sicurezza secondo EN ISO 13849-1/EN 61800-5-2 15. . . . . . . . . . . . .

1.2 Condizioni di utilizzo 16. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

1.2.1 Requisiti tecnici 16. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

1.2.2 Qualifica del personale specializzato (requisiti del personale) 16. . . . . . . . . . . . . .

1.2.3 Grado di copertura diagnostica (DC) 16. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

1.2.4 Campo di impiego e omologazioni 17. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2 Descrizione prodotto modulo di sicurezza CAMC-G-S3 18. . . . . . . . . . . . . . . . . . . . . . . . . . .

2.1 Panoramica prodotti 18. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.1.1 Scopo d'impiego 18. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.1.2 Caratteristiche tecniche 18. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.1.3 Apparecchi supportati 19. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.1.4 Elementi operativi e attacchi 20. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.1.5 Volume di fornitura 20. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.2 Funzionamento e utilizzo 21. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.2.1 Panoramica del sistema 21. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.2.2 Cablaggio del modulo di sicurezza [X40] 23. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.2.3 Panoramica delle funzioni di sicurezza supportate 25. . . . . . . . . . . . . . . . . . . . . . .

2.2.4 Schema delle funzioni del modulo di sicurezza 26. . . . . . . . . . . . . . . . . . . . . . . . . .

2.2.5 Panoramica encoder di posizione supportati 30. . . . . . . . . . . . . . . . . . . . . . . . . . .

2.2.6 Scambio di dati e comando del controllore motore 33. . . . . . . . . . . . . . . . . . . . . .

2.2.7 Configurazione delle funzioni di sicurezza con il SafetyTool 36. . . . . . . . . . . . . . . .

2.3 Rilevamento dei dati dal controllore motore 37. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.3.1 Informazioni di base 38. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.3.2 Configurazione dell'encoder 40. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.3.3 Parametri per l'encoder di posizione 41. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.3.4 Parametri per il monitoraggio dell'encoder ed il rilevamento del numero di giri 43

2.3.5 Lista di tutti i parametri per la configurazione dell'encoder 46. . . . . . . . . . . . . . . .

2.4 Ingressi digitali 48. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.4.1 Panoramica 48. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.4.2 Ingressi sicuri a due canali DIN40 … DIN43 [X40] 53. . . . . . . . . . . . . . . . . . . . . . . .

2.4.3 I ingressi digitali a un canale (sicuri) DIN44 … DIN49 [X40] 59. . . . . . . . . . . . . . . . .

CAMC-G-S3


2.5 Funzioni di sicurezza 63. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.5.1 STO – Coppia disinserita in sicurezza (Safe Torque Off ) 66. . . . . . . . . . . . . . . . . . .

2.5.2 SBC – Comando sicuro del freno (Safe Brake Control) 69. . . . . . . . . . . . . . . . . . . .

2.5.3 SS1 – Stop sicuro 1 (Safe Stop 1) 77. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.5.4 SS2 – Stop sicuro 2 (Safe Stop 2) 84. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.5.5 SOS – Arresto operativo sicuro (Safe Operating Stop) 91. . . . . . . . . . . . . . . . . . . .

2.5.6 Funzioni di sicurezza universali USF 95. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.5.7 Funzioni di sicurezza sicure SSF 95. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.5.8 SLS – Rispetto valore limite di velocità (Safely-Limited Speed) 103. . . . . . . . . . . . .

2.5.9 SSR – Intervallo di velocità sicuro (Safe Speed Range) 104. . . . . . . . . . . . . . . . . . . .

2.5.10 SSM – Controllo sicuro della velocità (Safe Speed Monitor) 105. . . . . . . . . . . . . . . .

2.6 Funzioni logiche 106. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.6.1 Selettore dei tipi di funzionamento 106. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.6.2 Unità di gestione e visualizzazione a due mani 108. . . . . . . . . . . . . . . . . . . . . . . . . .

2.6.3 Advanced Logic Functions – ALF 110. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.7 Riavvio 111. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.7.1 Volume delle funzioni 111. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.7.2 Esempi ed indicazioni particolari per l'implementazione 112. . . . . . . . . . . . . . . . . .

2.8 Gestione degli errori e tacitazione errori 114. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.8.1 Attivazione degli errori e delle classi di errore 114. . . . . . . . . . . . . . . . . . . . . . . . . . .

2.8.2 Parametrizzazione della reazione all'errore del modulo di sicurezza 117. . . . . . . . .

2.8.3 Logica per la tacitazione errori 118. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.9 Uscite digitali 120. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.9.1 Uscite sicure a due canali DOUT40 … DOUT42 [X40] 120. . . . . . . . . . . . . . . . . . . . . .

2.9.2 Comando del freno interno del controllore motore [X6] 124. . . . . . . . . . . . . . . . . . .

2.9.3 Contatto di segnalazione C1, C2 [X40] 127. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.9.4 Alimentazione ausiliaria +24 V [X40] 129. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.10 Stato d'esercizio e indicazioni di stato 130. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.10.1 Stati del sistema / macchina di stato 130. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.10.2 Segnalazione di stato sul modulo di sicurezza 134. . . . . . . . . . . . . . . . . . . . . . . . . .

2.10.3 Display a 7 segmenti del controllore motore 135. . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.11 Memoria diagnostica permanente e temporanea nel controllore motore 135. . . . . . . . . . . . . .

2.12 Tempo di risposta 137. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.12.1 Tempi di scansione 137. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.12.2 Tempo di reazione con richiesta di una funzione di sicurezza 137. . . . . . . . . . . . . . .

2.12.3 Tempo di reazione con violazione di una funzione di sicurezza 139. . . . . . . . . . . . . .

2.12.4 Altri tempi per il rilevamento degli errori e la comunicazione 141. . . . . . . . . . . . . . .

2.13 Interruttore DIP 141. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

CAMC-G-S3


3 Montaggio e installazione 142. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

3.1 Montaggio / Smontaggio 142. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

3.2 Installazione elettrica 144. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

3.2.1 Norme di sicurezza 144. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

3.2.2 Messa a terra 145. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

3.2.3 Collegamento [X40] 145. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

3.2.4 Cablaggio minimo per la prima messa in funzione [X40] 147. . . . . . . . . . . . . . . . . . .

3.3 Esempi di cablaggio 148. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

3.3.1 Richiesta di sicurezza tramite dispositivi con contatti di commutazione 149. . . . . .

3.3.2 Richiesta di sicurezza tramite dispositivi con uscite a semiconduttore 150. . . . . . .

3.3.3 Richiesta di sicurezza tramite una centralina di sicurezza 151. . . . . . . . . . . . . . . . .

3.3.4 Concatenamento di più CMMP-AS-…-M3 con CAMC-G-S3 153. . . . . . . . . . . . . . . . . .

3.3.5 Comando di un'unità di bloccaggio 155. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

3.3.6 Comando di un'unità di bloccaggio a 2 canali 156. . . . . . . . . . . . . . . . . . . . . . . . . . .

3.3.7 Collegamento di encoder per funzioni di sicurezza dinamiche 157. . . . . . . . . . . . . .

3.3.8 Comando di un blocco di comando valvole a 2 canali con funzioni di sicurezza 158.

4 Messa in servizio 161. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.1 Prima della messa in servizio 162. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.2 Impostazione degli interruttori DIP 162. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.3 Indicazioni per la parametrizzazione con PlugIn FCT CMMP-AS 163. . . . . . . . . . . . . . . . . . . . . .

4.3.1 Impostazione della configurazione 163. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.3.2 Impostazione della configurazione dell'encoder 163. . . . . . . . . . . . . . . . . . . . . . . . .

4.3.3 Determinazione delle unità di misura (opzionale) 164. . . . . . . . . . . . . . . . . . . . . . . .

4.3.4 Acquisizione del modulo di sicurezza 164. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.3.5 Indicazione di stato 165. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.3.6 Visualizzazione della memoria diagnostica permanente del controllore motore 165

4.4 Principi fondamentali per la parametrizzazione del modulo di sicurezza 168. . . . . . . . . . . . . .

4.4.1 Impostazione di fabbrica 168. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.4.2 Stato di fornitura 170. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.4.3 FCT-PlugIn CMMP-AS e SafetyTool 170. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.5 Parametrizzazione sicura con il SafetyTool 171. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.5.1 Start del programma 171. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.5.2 Selezioni dei tipi di sessione – assistente di configurazione 171. . . . . . . . . . . . . . . .

4.5.3 Parametrizzazione Online 172. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.5.4 Parametrizzazione Offline 174. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.5.5 Regole di base con la parametrizzazione sicura con il SafetyTool 175. . . . . . . . . . . .

4.5.6 Comportamento con parametrizzazione non valida 178. . . . . . . . . . . . . . . . . . . . . .

4.5.7 Versione set di parametri 178. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

CAMC-G-S3


4.6 Sequenza della parametrizzazione con il SafetyTool (esempio) 179. . . . . . . . . . . . . . . . . . . . .

4.6.1 Selezione della variante di sessione nell'assistente 180. . . . . . . . . . . . . . . . . . . . . .

4.6.2 Rilevamento dei dati e regolazione 181. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.6.3 Inizio della parametrizzazione 183. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.6.4 Controllo del rilevamento dei dati 184. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.6.5 Informazioni di base 184. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.6.6 Configurazione dell'encoder 184. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.6.7 Configurazione degli ingressi digitali 185. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.6.8 Selezione e parametrizzazione delle funzioni di sicurezza 186. . . . . . . . . . . . . . . . .

4.6.9 Funzioni logiche 190. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.6.10 Tacitazione errori logica 191. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.6.11 Uscite digitali 191. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.6.12 Gestione degli errori 191. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.6.13 Termine della parametrizzazione 191. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.7 Funzioni speciali del SafetyTool 193. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.7.1 Modifica password 193. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.7.2 Impostazione delle impostazioni di fabbrica 193. . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.7.3 Controllo plausibilità 193. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.7.4 Panoramica dei parametri 194. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.7.5 Finestra di diagnosi 195. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.8 Test funzionale, validazione 197. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5 Uso e funzionamento 200. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.1 Obblighi del committente 200. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.2 Manutenzione e cura 200. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.3 Funzioni di protezione 200. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.3.1 Alimentazione, protezione contro le sovratensioni e l'inversione di polarità del

monitoraggio della tensione 200. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.3.2 Alimentazione di tensione dell'elettronica interna 200. . . . . . . . . . . . . . . . . . . . . . .

5.3.3 Alimentazione Failsafe 201. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.3.4 Funzioni di protezione per le uscite digitali 201. . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.3.5 Funzioni di protezione per gli ingressi digitali 201. . . . . . . . . . . . . . . . . . . . . . . . . . .

5.3.6 Funzioni di protezione per il comando del freno 201. . . . . . . . . . . . . . . . . . . . . . . . .

5.3.7 Funzioni di protezione dell'alimentazione per il comando del driver 202. . . . . . . . .

5.3.8 Funzioni di protezione per l'encoder di posizione collegato 202. . . . . . . . . . . . . . . .

5.3.9 Funzioni di protezione interne dell'elettronica sul modulo di sicurezza 202. . . . . . .

5.3.10 Monitoraggio del rispetto delle funzioni di sicurezza richieste 203. . . . . . . . . . . . . .

5.4 Diagnosi e eliminazione dei guasti 204. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.4.1 Indicazione LED sul modulo di sicurezza 204. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.4.2 Display a 7 segmenti del controllore motore 205. . . . . . . . . . . . . . . . . . . . . . . . . . . .

CAMC-G-S3


5.5 Segnalazioni di errore e trattamento degli errori 207. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.5.1 Codici di errore 207. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.5.2 Tacitazione errori 207. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.5.3 Segnalazioni diagnostiche 208. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.6 Segnalazioni diagnostiche con indicazioni per l'eliminazione dei guasti 209. . . . . . . . . . . . . .

6 Manutenzione, riparazione, sostituzione, smaltimento 226. . . . . . . . . . . . . . . . . . . . . . . . . . .

6.1 Manutenzione 226. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

6.2 Riparazione 226. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

6.3 Sostituzione del modulo di sicurezza 226. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

6.3.1 Smontaggio e montaggio 227. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

6.3.2 Acquisizione del modulo di sicurezza 227. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

6.3.3 Nuova messa in servizio con il SafetyTool 227. . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

6.4 Messa fuori servizio e smaltimento 228. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A Appendice tecnica 229. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.1 Dati tecnici 229. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.1.1 Tecnica di sicurezza 229. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.1.2 Informazioni generali 230. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.1.3 Condizioni d’esercizio e ambientali 231. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.1.4 Ingressi digitali da DIN40A/B a DIN43A/B e da DIN44 a DIN49 [40] 233. . . . . . . . .

A.1.5 Uscite digitali da DOUT40A/B a DOUT42A/B [X40] 234. . . . . . . . . . . . . . . . . . . . . . .

A.1.6 Contatto di segnalazione C1/C2 [X40] 235. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.1.7 Alimentazione ausiliaria 24 V [X40] 235. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.1.8 Versione del cavo di collegamento [X40] 236. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.1.9 Uscita digitale per un freno di arresto sull'apparecchio di base [X6] 236. . . . . . . . .

A.2 Numeri di riferimento di sicurezza 238. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.2.1 Funzioni di sicurezza 238. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.2.2 Ingressi digitali 239. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.2.3 Sistemi encoder 241. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.2.4 Uscite digitali 258. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.3 Precisione di sistema e tempo di reazione 260. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.3.1 Precisione del monitoraggio della posizione (SOS) dal punto di vista

dell'applicazione 261. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.3.2 Precisione del monitoraggio della velocità (SLS, SSR)

dal punto di vista dell'applicazione 262. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.3.3 Determinazione dei parametri rilevanti per Safe Speed Function (con SLS, SSR) 263

A.3.4 Requisiti con errori dell'encoder dal punto di vista dell'applicazione 264. . . . . . . . .

A.3.5 Monitoraggio della lunghezza del vettore di segnali dell'encoder analogici

(resolver, encoder SIN/COS) 267. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.3.6 Effetto di un errore angolare entro i limiti di errore del

monitoraggio della lunghezza del vettore sul segnale di velocità 271. . . . . . . . . . . .

CAMC-G-S3


A.3.7 Base dell'osservazione della precisione di sistema 273. . . . . . . . . . . . . . . . . . . . . .

A.4 Segnalazioni di stato, diagnosi tramite Fieldbus 275. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.4.1 Output di segnalazioni di stato tramite le uscite digitali dell'apparecchio

di base 275. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.4.2 Segnalazioni di stato tramite Fieldbus – protocollo CiA 402 276. . . . . . . . . . . . . . . .

A.4.3 Segnalazioni di stato tramite Fieldbus – protocollo FHPP 280. . . . . . . . . . . . . . . . . .

A.5 Registrazione dei dati di misurazione – “Trace” 283. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.5.1 Panoramica 283. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.5.2 Configurazione 283. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.5.3 Avvio Trace 285. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.5.4 Esempio 285. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

B Lista di riferimento per segnali di comando e parametri 287. . . . . . . . . . . . . . . . . . . . . . . . . .

B.1 Lista di tutti i segnali logici 287. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

B.1.1 Ingressi logici LIN 287. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

B.1.2 Ingressi virtuali VIN 290. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

B.1.3 Uscite virtuali VOUT 291. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

B.1.4 Uscite logiche LOUT 293. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

B.1.5 Parole di stato per lo scambio dei dati / la diagnosi tramite Fieldbus 294. . . . . . . .

B.2 Lista dei parametri supplementari 296. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

B.3 Lista degli oggetti di comunicazione importanti nell'apparecchio di base 303. . . . . . . . . . . . .

C Glossario 306. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

C.1 Termini e abbreviazioni per la sicurezza tecnica 306. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

C.2 Termini sul SafetyTool e per la parametrizzazione sicura 308. . . . . . . . . . . . . . . . . . . . . . . . . . .

CAMC-G-S3


Istruzioni relative alla presente documentazioneQuesta documentazione permette di operare in modo sicuro con le funzioni di sicurezza

– STO – Coppia disinserita in sicurezza (Safe Torque Off )

– SS1 – Stop sicuro 1 (Safe Stop 1)


– SOS – Arresto operativo sicuro (Safe Operating Stop)

– SLS – Rispetto valore limite di velocità (Safely-Limited Speed)

– SSR – Intervallo di velocità sicuro (Safe Speed Range)

– SSM – Controllo sicuro della velocità (Safe Speed Monitor)

– SBC – Comando sicuro del freno (Safe Brake Control)

secondo EN 61800-5-2 utilizzando il modulo di sicurezza CAMC-G-S3 per il controllore motore

CMMP-AS-...-M3.

� In aggiunta osservare assolutamente le prescrizioni di sicurezza generali sul CMMP-AS-…-M3.

Le prescrizioni di sicurezza generali su CMMP-AS-...-M3 sono reperibili nella descrizione

“Montaggio e installazione”, GDCP-CMMP-M3-HW-... � Tab. 3.

Attenersi alle informazioni sulla sicurezza e sui requisiti per l'impiego del prodotto di cui

al paragrafo 1.2.

Denominazione del prodotto

La presente documentazione si riferisce alle seguenti versioni:

– modulo di sicurezza CAMC-G-S3, a partire dalla revisione 01 (revisione complessiva 1.1)

– controllore motore CMMP-AS-...-M3 con firmware a partire dalla versione

4.0.1501.2.1 e versione hardware a partire da 6.0 (CMMP-AS-C2-3A-M3,

CMMP-AS-C5-3A-M3) o da 4.1 (CMMP-AS-C5-11A-P3-M3, CMMP-AS-C10-11A-P3-M3)

– FCT-PlugIn CMMP-AS a partire dalla versione 2.4.x.x con SafetyTool a partire dalla

versione 1.0.x.x

Queste sono le prime versioni disponibili o supportate. Con le nuove versioni o con la

sostituzione del modulo di sicurezza verificare se le versioni sono compatibili

� vedere documentazione relativa alla rispettiva versione utilizzata.

Targhetta di identificazione (esempio) Significato

CAMC-G-S31501331 XX

P0012345Rev. XXESD

1

2 3 4

5

[XX]

1 Codice articolo (sigla)2 Codice prodotto1)

3 Codice a due cifre per l'identificazione univocadella data di produzione2)

4 Revisione del modulo (revisione complessiva,quindi combinazione della versione dell'hardware e del software)

5 Numero di serie corrente2)

1) Codice prodotto del modulo di sicurezza CAMC-G-S3

2) Consente la tracciabilità del prodotto

Tab. 1 Targhetta di identificazione CAMC-G-S3

CAMC-G-S3


Servizio di assistenzaPer eventuali domande tecniche rivolgersi al partner di riferimento regionale di Festo.

Stato di edizione delle norme indicate

Norma:Stato di edizione

EN 50178:1997 EN ISO 13849-1:2008

EN 61326-3-1:2008 EN ISO 13849-2:2012

EN 61800-3:2004 + A1:2012 EN 62061:2005

EN 61800-5-1:2007 EN 61508-1 fino a -7:2010

EN 61800-5-2:2007

Tab. 2 Stati di edizione

CAMC-G-S3


DocumentazioniLe informazioni sul controllore motore sono disponibili nelle seguenti documentazioni:

Documentazione utente sul controllore motore CMMP-AS-...-M3Nome, tipo Contenuto

Descrizione hardware,

GDCP-CMMP-M3-HW-...

Montaggio e installazione controllore motore CMMP-AS-...-M3per tutte le varianti/classi di potenza (monofase, trifase), occu

pazione dei connettori, messaggi d'errore, manutenzione.

Descrizione funzioni,

GDCP-CMMP-M3-FW-...

Descrizione del funzionamento (firmware) CMMP-AS-...-M3,

indicazioni per la messa in servizio.

Descrizione FHPP,

GDCP-CMMP-M3/-M0-C-HP-...

Comando e parametrizzazione del controllore motore tramite il

profilo Festo FHPP.

– Controllore motore CMMP-AS-...-M3 con i seguenti Fieldbus:

CANopen, PROFINET, PROFIBUS, EtherNet/IP, DeviceNet,

EtherCAT.

– Controllore motore CMMP-AS-...-M0 con Fieldbus CANopen.Descrizione CiA 402 (DS 402),

GDCP-CMMP-M3/-M0-C-CO-...

Comando e parametrizzazione del controllore motore tramite il

profilo dell'unità CiA 402 (DS402)

– Controllore motore CMMP-AS-...-M3 con i seguenti Fieldbus:

CANopen e EtherCAT.

– Controllore motore CMMP-AS-...-M0 con Fieldbus CANopen.

Descrizione CAM-Editor,

P.BE-CMMP-CAM-SW-...

Funzionalità delle camme a disco (CAM) del controllore motore

CMMP-AS-...-M3/-M0.

Descrizione modulo di sicurezza,

GDCP-CAMC-G-S1-...

Tecnica di sicurezza funzionale per il controllore motore

CMMP-AS-...-M3 con funzione di sicurezza STO.

Descrizione modulo di sicurezza,

GDCP-CAMC-G-S3-...

Tecnica di sicurezza funzionale per il controllore motore

CMMP-AS-...-M3 con le funzioni di sicurezza STO, SS1, SS2,

SOS, SLS, SSR, SSM, SBC.

Descrizione sostituzione e conver

sione progetto

GDCP-CMMP-M3-RP-...

Controllore motore CMMP-AS-...-M3 come dispositivo sostituti

vo per i controllori motori correnti CMMP-AS. Modifiche con

l'installazione elettrica e descrizione della conversione progetto.

Help per l'FCT-PlugIn CMMP-AS Superficie e funzioni del PlugIn CMMP-AS per il Festo Configura

tion Tool.

� www.festo.com

Help sul SafetyTool Superficie e funzioni del SafetyTool per la parametrizzazione del

modulo di sicurezza CAMC-G-S3.

Tab. 3 Documentazioni sul controllore motore CMMP-AS-...-M3

Le documentazioni sono disponibili sui seguenti mezzi:

– CD-ROM (volume di fornitura)

– Support Portal: � www.festo.com/sp

CAMC-G-S3


Simboli utilizzati per la tecnica di sicurezza

Ingressi e uscite

Ingresso a due canali Uscita a due canali

Ingresso a un canale Uscita a relè

Tipi di sensore

Selettore dei tipi di funzionamento Tasto start

Freno di arresto Terminare la funzione di sicurezza

(riavvio)

Barriera fotoelettrica Bloccaggio porta/calotta protettiva

Interruttore di arresto d'emergenza Pulsante di abilitazione

Conferma Comando a due mani

Interruttore di riferimento sicuro Sensore di posizione

Funzioni di sicurezza

STO – Coppia disinserita in sicurez

za (Safe torque off )

USF – Funzione di sicurezza univer

sale (Universal safety function)

SS1 – Stop sicuro 1

(Safe stop 1)

SLS – Rispetto valore limite di

velocità (Safely-limited speed)

SS2 – Stop sicuro 2

(Safe stop 2)

SSR – Intervallo di velocità sicuro

(Safe speed range)

SOS – Arresto operativo sicuro

(Safe operating stop)

SSM – Controllo sicuro della veloci

tà (Safe speed monitor)

SBC – Comando sicuro del freno

(Safe brake control)

ALF – Funzione logica avanzata,

nessuna funzione di sicurezza

(Advanced Logic Function)

Tab. 4 Simboli per la tecnica di sicurezza

1 Sicurezza e condizioni di utilizzo



1.1 Sicurezza

1.1.1 Avvertenze generali di sicurezza

� In aggiunta osservare assolutamente le prescrizioni di sicurezza generali sul CMMP-AS-…-M3.

Le prescrizioni di sicurezza generali sul CMMP-AS-...-M3 sono reperibili nella descrizione

hardware, GDCP-CMMP-M3-HW-... � Tab. 3, pagina 11.

AttenzionePerdita della funzione di sicurezza.

La non osservanza delle condizioni ambientali e delle condizioni di collegamento può

determinare la perdita della funzione di sicurezza.

� Rispettare le condizioni ambientali e di collegamento specifiche, in particolar modo

le tolleranze della tensione d'ingresso � Dati tecnici, appendice A.1.

AttenzioneDanneggiamento del modulo di sicurezza o del controllore motore dovuto a manipola

zione impropria.� Prima dei lavori di montaggio ed installazione disinserire le tensioni di alimenta

zione. Inserire le tensioni di alimentazione se i lavori di montaggio e manutenzione

sono completamente conclusi.

� Mai estrarre o inserire, con tensione, il modulo di sicurezza dal/nel controllore

motore!

� Osservare le prescrizioni di impiego dei componenti sensibili alle correnti elettrosta

tiche.

1.1.2 Utilizzo conforme

Il modulo di sicurezza CAMC-G-S3 serve come ampliamento del controllore motore CMMP-AS-...-M3 per

raggiungere la funzione di sicurezza:











Con utilizzo di sensori di posizione adatti e con comando adatto del modulo di sicurezza vengono sod

disfatti i requisiti secondo EN 61800-5-2 fino a SIL3 inclusi o secondo EN ISO 13849-1 fino alla catego

ria 4 / PL e inclusa.

A seconda degli encoder utilizzati per il rilevamento della posizione viene raggiunto eventualmente solo

SIL2 � sezione 1.1.4.

Il controllore motore CMMP-AS-...-M3 con modulo di sicurezza CAMC-G-S3 è un prodotto con funzioni

rilevanti a livello di sicurezza e pensato per l'installazione in macchine o impianti di automazione e deve

essere installato esclusivamente:

– in uno stato tecnicamente perfetto,

– nello stato originale, senza apportare modifiche non autorizzate,

– entro i limiti definiti nei dati tecnici del prodotto � appendice A.1,

– nell'ambito industriale.

Il modulo di sicurezza CAMC-G-S3 può comandare tutti i controllori motore CMMP-AS-...-M3, che di

spongono dello slot Ext3 per la tecnica di sicurezza. Non può essere innestato in uno slot Ext1 o Ext2

per interfacce.

AttenzioneIn caso di danni, riconducibili ad interventi impropri o ad un uso non conforme all'utiliz

zo conforme, si perde il diritto di garanzia e di responsabilità nei confronti del produtto

re.

1.1.3 Impiego errato prevedibile

Fanno parte utilizzo non conforme i seguenti impieghi errati prevedibili:

– l'impiego in un altro apparecchio rispetto a CMMP-AS-…-M3,

– l'impiego all'aperto,

– l'impiego nel settore non industriale (unità abitative),

– l'impiego non entro i limiti dell'unità riportati nei dati tecnici,

– modifiche arbitrarie.

Attenzione– La funzione STO non è sufficiente come funzione di sicurezza unica in attuatori su cui

ha effetto un momento permanente (ad es. carichi sospesi). Considerare ciò attra

verso misure adatte, come ad es. unità di bloccaggio.

– Non è ammesso il cavallottamento dei dispositivi di sicurezza.

– Non sono ammesse le riparazioni del modulo di sicurezza! È ammessa una sostitu

zione adeguata del modulo di sicurezza.

La funzione STO (Safe Torque Off) non protegge dalle scosse elettriche ma esclusivamente da

movimenti pericolosi! Non avviene alcuna separazione dell'attuatore dall'alimentazione elettri

ca ai sensi della sicurezza elettrica � descrizione hardware, GDCP-CMMP-M3-HW-...



1.1.4 Livello di sicurezza raggiungibile, funzione di sicurezza secondo EN ISO 13849-1/EN 61800-5-2

Il modulo di sicurezza soddisfa i requisiti dei principi di prova

– categoria 4, PL e secondo EN ISO 13849-1,

– SIL CL 3 secondo EN 62061,

e può essere impiegato in applicazioni fino a cat. 4 / PL e secondo EN ISO 13849-1 e fino a SIL 3 secon

do EN 62061 / IEC 61508.

Il livello di sicurezza raggiungibile dipende dagli ulteriori componenti che vengono utilizzati per la rea

lizzazione della funzione di sicurezza.

Controlloremotore

Modulo di sicurezza Ingressi/

uscite

Encoder 1

Encoder 2

CAMC-G-S3: Cat. 4 / PL e, SIL 3

Periferica: Cat. ... / PL ..., SIL ... � Appendice A.2

Fig. 1.1 Livello di sicurezza CAMC-G-S3 e sistema intero

Osservare le combinazioni ammesse dell'encoder di posizione con relative indicazioni

� sezione 2.2.5, Tab. 2.7.

Le informazioni relative ai valori caratteristici sulla sicurezza raggiungibili con la relativa

periferica, per le diverse funzioni di sicurezza, sono disponibili in � appendice A.2



1.2 Condizioni di utilizzo

� La documentazione completa deve essere messa a disposizione del progettista, dell'installatore e

del personale addetto alla messa in servizio della macchina o dell'impianto su cui viene montata

questa unità.

� Provvedere affinché vengano sempre verificate le condizioni indicate nella documentazione. A ques

to scopo tenere in considerazione anche la documentazione sugli ulteriori componenti e moduli (ad

es. controllore motore, cavi ecc.).

� Osservare le disposizioni legali valide per il luogo di destinazione del prodotto nonché:

– le prescrizioni e norme,

– i regolamenti delle organizzazioni di controllo e delle compagnie di assicurazione,

– le norme nazionali.

� Il modulo di sicurezza soddisfa i requisiti della EN 61800-5-2. Per gli altri componenti di sicurezza

utilizzati nella macchina e la relativa applicazione valgono, di norma, disposizioni, norme e direttive

supplementari, che devono essere osservate.

� Con le applicazioni di arresto d'emergenza deve essere prevista una protezione contro la riaccen

sione automatica in base alla categoria richiesta. Ciò può essere raggiunto ad es. tramite una cen

tralina di sicurezza esterna o una parametrizzazione adatta del modulo di sicurezza CAMC-G-S3

� sezione 2.7.

1.2.1 Requisiti tecniciIndicazioni generali da seguire attentamente per garantire il funzionamento sicuro e corretto del prodotto:

� Rispettare le condizioni di collegamento e ambientali specificate nei dati tecnici del modulo di sicu

rezza (� appendice A.1), del controllore motore e di tutti i componenti collegati.

Solo l’osservanza dei valori limite e dei limiti di carico permette di impiegare il prodotto secondo le

norme di sicurezza vigenti.

� Osservare le indicazioni e avvertenze riportate nella presente documentazione.

1.2.2 Qualifica del personale specializzato (requisiti del personale)

L'unità può essere messa in funzione solo da una persona specializzata in elettrotecnica che ha confi

denza con:

– l'installazione e l'esercizio di sistemi di comando elettrici,

– le disposizioni vigenti per l'esercizio di impianti tecnici di sicurezza,

– Le disposizioni vigenti sulla prevenzione degli infortuni e la sicurezza del lavoro e

– la documentazione del prodotto.

1.2.3 Grado di copertura diagnostica (DC)

Il grado di copertura diagnostico dipende dall'integrazione del controllore motore con modulo di sicu

rezza nella catena di comando, dai motori/encoder di posizione utilizzati e dalle misure attuate per la

diagnosi.



Se durante la diagnosi viene riconosciuto un guasto, devono essere previste misure adatte per il man

tenimento del livello di sicurezza.

AttenzioneLa reazione del modulo di sicurezza ad errori riconosciuti può essere parametrizzata, ad

es. attivazione della funzione di sicurezza SS1 e SBC in caso si un cortocircuito trasver

sale dei segnali di ingresso sicuri.

AttenzioneSi prega di verificare se nella propria applicazione è disponibile un'identificazione del

circuito trasversale del circuito d'ingresso e il cablaggio di collegamento.

Utilizzare eventualmente una centralina di sicurezza con identificazione del circuito

trasversale per l'azionamento del modulo di sicurezza o utilizzare le uscite sicure del

modulo di sicurezza per l'alimentazione di dispositivi di commutazione passivi in unione

con le relative funzioni di monitoraggio per le uscite sicure.

1.2.4 Campo di impiego e omologazioniIl controllore motore con modulo di sicurezza installato è un componente di sicurezza secondo la diret

tiva macchine 2006/42/CE, il controllore motore è dotato di marcatura CE.

Le norme e i valori di prova e di sicurezza, rispettati e osservati dal prodotto, sono riportati nel paragra

fo “Dati tecnici” � sezione A.1. Le direttive CE significative e le norme del prodotto sono riportate nella

dichiarazione di conformità.

Le certificazioni e la dichiarazione di conformità relative a questo prodotto sono riportate

all'indirizzo � www.festo.com/sp.

2 Descrizione prodotto modulo di sicurezza CAMC-G-S3



2.1 Panoramica prodotti

2.1.1 Scopo d'impiego

Con l'aumentare dell'automazione, la protezione delle persone da movimenti pericolosi diventa sempre

più importante. La sicurezza funzionale descrive le misure necessarie per ridurre o eliminare i pericoli

causati da errori di funzionamento adottando dispositivi elettrici o elettronici. In condizioni di fun

zionamento normale, i dispositivi di protezione evitano l'accesso da parte delle persone ai punti di

pericolo. In determinati modi operativi, ad es. durante le operazioni di messa a punto, le persone ven

gono a trovarsi anche nelle aree di pericolo. In queste situazioni, l'operatore della macchina deve esse

re protetto da misure di azionamento e di comando interne.

La tecnica di sicurezza funzionale integrata con il modulo di sicurezza CAMC-G-S3 nel controllore

motore CMMP-AS-...-M3 offre i requisiti di comando e di azionamento per la realizzazione ottimale delle

funzioni di protezione. I costi per la progettazione e l'installazione diminuiscono. Utilizzando la tecnica

di sicurezza funzionale integrata si ottiene una funzionalità avanzata e una migliore disponibilità della

macchina, rispetto all'impiego della tecnica di sicurezza tradizionale.

I controllori motore della serie CMMP-AS-...-M3 possono essere equipaggiati con modulo a innesto per

la tecnica di sicurezza funzionale integrata. Sono disponibili i seguenti moduli:

Tipo Descrizione

CAMC-DS-M1 Modulo interruttori con interruttori DIP, nessuna funzione di sicurezza.

CAMC-G-S1 Modulo di sicurezza con interruttori DIP e funzione STO.

CAMC-G-S3 Modulo di sicurezza con le funzioni STO, SS1, SS2, SOS, SBC, SLS, SSR, SSM e

interruttori DIP.

Tab. 2.1 Panoramica moduli di sicurezza e interruttori per il CMMP-AS-...-M3

2.1.2 Caratteristiche tecniche

Il modulo di sicurezza CAMC-G-S3 dispone delle seguenti caratteristiche tecniche:

– raggiungimento di una o più funzioni di sicurezza:









– ingressi a uno o due canali per la richiesta delle funzioni di sicurezza.

– uscite sicure a due canali per il comando di ulteriori elementi e funzioni di sicurezza.



– contatto di feedback a potenziale zero per lo stato d'esercizio.

– versione come modulo ad innesto innestabile dall'esterno, con conseguente possibilità di equipag

giamento successivo.

Questa tecnica di sicurezza funzionale integrata nel controllore motore permette:

– tempi di reazione più brevi grazie ad un rilevamento più rapido degli stati pericolosi.

– un'identificazione completa dei rischi attraverso l'accesso rapido e diretto a una varietà di segnali e

valori di misura nel controllore motore.

– la valutazione di una molteplicità di sensori di posizione come, ad es., resolver, encoder SIN/COS,

encoder Hiperface, ma anche la valutazione di sensori di posizione con protocolli puramente seriali

(ENDAT 2.2, BISS, ...)

– se necessario l'intervento rapido e diretto nei valori nominali / nel controllo del regolatore dell'at

tuatore. Un asse può essere fermato in maniera controllata e sicura o frenato ad una velocità limita

ta anche senza intervento del controllo funzionale / PLC.

– Un'interazione diretta tra comando sequenziale nel controllore motore e nel modulo di sicurezza.

Così, ad es., l'unità di bloccaggio o il freno di arresto viene aperta/o solo poi la richiesta della fun

zione di sicurezza SBC e il successivo avvio, se il controllore motore rende nuovamente attiva la

posizione. Uno “Stallo” degli assi della valvola viene impedito, viene a meno la programmazione di

una sequenza nel comando funzionale.

2.1.3 Apparecchi supportatiIl modulo di sicurezza CAMC-G-S3 può essere impiegato esclusivamente nel controllore motore secon

do la sezione 1.1.2. I controllori motore CMMP-AS-...-M3 vengono forniti senza modulo sicurezza o

interruttore nello slot Ext3 per moduli di sicurezza.

Utilizzando il modulo di sicurezza CAMC-G-S3 è possibile realizzare l'ampliamento alle funzioni di sicu

rezza della sicurezza funzionale integrata descritte in questa documentazione per il monitoraggio del

movimento e il comando del movimento orientati alla sicurezza.

Se non è necessaria alcuna funzione di sicurezza, occorre ordinare il modulo interruttori

CAMC-DS-M1 e montarlo nello slot Ext3 per i moduli di sicurezza.



2.1.4 Elementi operativi e attacchiIl modulo di sicurezza CAMC-G-S3 dispone dei seguenti componenti, collegamenti ed elementi di visu

alizzazione:

5

6

2

3 4

1

Pin 13

7

Pin 24

Pin 1

Pin 12

1 Controllore motore CMMP-AS-...-M3 con slotExt3

2 Display a 7 segmenti del controllore motoreper la visualizzazione della funzione di sicurezza attiva o dei messaggi di errore delmodulo di sicurezza

3 Modulo di sicurezza CAMC-G-S3

4 Interfaccia I/O [X40A] e [X40B] per il comando delle funzioni di sicurezza

5 LED per la visualizzazione dello stato d'esercizio (stato della sicurezza funzionale)

6 Interruttore DIP (attivazione/configurazionedella comunicazione Fieldbus nel controlloremotore)

7 Attacco per messa a terra (connettore piatto6,3 mm)

Fig. 2.1 Elemento di comando e attacchi CAMC-G-S3

2.1.5 Volume di fornitura

Modulo di sicurezza CAMC-G-S3

Modulo di sicurezza con materiale di fissaggio

(2 viti con rondella elastica)

Modulo per le funzioni di sicurezza STO, SS1,

SS2, SOS, SLS, SSR, SSM, SBC

2 connettori per interfaccia I/O [X40A], [X40B]

(disponibile anche a parte come assortimento

connettori NEKM-C-9)

PHOENIX MiniCombicon MC1,5_12ST-3,81-BK

Breve descrizione con istruzioni di montaggio tedesco / inglese / spagnolo / francese / italiano

/ cinese

Tab. 2.2 Volume di fornitura



2.2 Funzionamento e utilizzo

2.2.1 Panoramica del sistema

L'immagine seguente mostra un sistema di azionamento tipico con tecnica di sicurezza funzionale inte

grata composto dai seguenti componenti:

– controllore motore CMMP-AS-...-M3,

– modulo di sicurezza CAMC-G-S3,

– servomotore sincrono, ad es. dalla serie EMMS-AS o EMME-AS di Festo,

– asse lineare con secondo trasduttore di posizione, ad es. EGC-...-M... di Festo,

– unità di bloccaggio sicura.

Motore

Fieldbuso X1

μC-GG

μC1

μC2

DIN40A/BDIN41A/B

DIN42A/B

DIN43A/BDIN44

DIN45

DIN46DIN47

DIN48

DIN49DOUT40A/B

DOUT41A/B

DOUT42A/BC1

C2

BR+BR-

STOSBC

SS1

SS2SOS

SLS

SSMSSR

Controlloremotore Modulo di sicurezza Requisito relativo

a DIN4x

ad es. unità di bloccaggio esternaper DOUT4x

X40

Status

DIP

Fasi del motore U/V/W Trasduttore di posizione lineareX6

X2A

X2B

X10

Freno di arresto nelmotore

Stato

Diagnosi

Encoder X2A

Encoder X2B

Encoder X10

Fig. 2.2 Principio di funzionamento modulo di sicurezza

La regolazione effettiva dell'attuatore e il comando funzionale dell'asse di movimento avviene, come di

consueto, tramite il controllore motore CMMP-AS-...-M3 e le interfacce assegnate, ad es. [X1] o tramite

un Fieldbus.

Il modulo di sicurezza monitora il regolatore dell'attuatore del controllore motore e la rispettiva fun

zione. Allo scopo vengono rilevate le grandezze rilevanti per la sicurezza del movimento del motore e

monitorate in relazione alle funzioni di sicurezza selezionate. Se si presenta una violazione dei limiti di

sicurezza come, ad es., il superamento di una velocità massima ammessa, il modulo di sicurezza può



disinserire in modo sicuro l'alimentazione del driver per i semiconduttori di potenza ed evitare così che

il modulo terminale di potenza fornisca l'energia richiesta dal motore.

AttenzioneUn guasto tecnico o una caduta dell'alimentazione di tensione porta ad un disinseri

mento del modulo terminale di potenza del controllore motore. A seconda dell'applica

zione si possono avere, come conseguenza, limitazioni in termini di sicurezza.

Il monitoraggio dell'asse orientato alla sicurezza avviene nel modulo di sicurezza come segue:

– In CAMC-G-S3 i due microcontrollori lavorano in una struttura ridondante. Durante l'esercizio con

frontano tutti i segnali di ingresso e uscita rilevanti e i dati dell'encoder di posizione.

– Le funzioni di sicurezza in CAMC-G-S3 vengono richieste o attivate tramite ingressi digitali sicuri sul

modulo di sicurezza, attraverso altre funzioni di sicurezza o come reazione all'errore. Attraverso

connessioni logiche è impostabile quali ingressi digitali e in quale combinazione di segnale richiedo

no una funzione di sicurezza.

– Non appena è attiva una funzione di sicurezza, avviene un monitoraggio sicuro dello stato dell'appa

recchio di base e dell'asse.

– Il modulo di sicurezza rileva il movimento dell'asse (posizione, velocità) tramite l'encoder di posi

zione nel motore e a seconda della struttura di sistema, ancora tramite un secondo trasduttore di

posizione.

– I sensori di posizione vengono collegati, come di consueto, a [X2A], [X2B] e [X10] sull'apparecchio di

base. I segnali vengono inoltrati internamente all'unità al modulo di sicurezza.

Importante: A seconda della classificazione di sicurezza richiesta e a seconda della confi

gurazione dell'asse, il secondo trasduttore di posizione può essere assolutamente neces

sario sull'asse.

– Se asse si trova nello stato sicuro, la funzione di sicurezza segnala lo stato SSR, “Safe State Rea

ched”, con una violazione delle condizioni di sicurezza, la funzione di sicurezza segnala lo stato SCV

“Safety Condition Violated”.

– Il modulo di sicurezza dispone di uscite digitali sicure, per segnalare lo stato di sicurezza verso

l'esterno, ad es. ad un comando di sicurezza esterno o un ulteriore CAMC-G-S3 per l'alimentazione

degli ingressi digitali con impulsi di prova.

– Il modulo di sicurezza comanda, con un percorso interno all'apparecchio, l'uscita di controllo del

freno sul collegamento del motore [X6] e permette così la funzione di sicurezza SBC in combinazione

con un'unità di bloccaggio adeguatamente certificata.

– Un'unità di bloccaggio esterna può essere comandata anche attraverso un'uscita digitale sicura o

un apparecchio di commutazione esterno.

Importante: Per l'utilizzo della funzione di sicurezza SBC deve essere utilizzata un'unità di

bloccaggio con relativa classificazione della sicurezza. Di principio vale che con tutti i tipi

di freni di arresto o di unità di bloccaggio senza una certificazione deve essere eseguita

una valutazione dei rischi e determinata l'idoneità per l'applicazione orientata alla sicu

rezza prevista. Altrimenti non possono essere applicati.

Il freno di arresto nei motori non è, di norma, adeguatamente qualificato e quindi non è

adatto.



– È disponibile un contatto di segnalazione a potenziale zero per gli scopi diagnostici

– Attraverso un LED di stato e tramite un display a 7 segmenti dell'apparecchio di base viene visualiz

zato lo stato d'esercizio del modulo di sicurezza

Attraverso un'interfaccia di comunicazione interna vengono scambiati i dati tra modulo di sicurezza e

apparecchio di base.

– L'apparecchio di base consce quindi sempre lo stato d'esercizio attuale del modulo di sicurezza, ad

es. se una funzione di sicurezza viene richiesta ed eseguita o se viene rilevata una violazione della

condizione di sicurezza.

– Lo stato d'esercizio della tecnica di sicurezza può così essere segnalata, tramite le diverse interfac

ce, al comando funzionale.

– Il modulo di sicurezza può avere accesso in modo attivo al comando dell'apparecchio di base, senza

passaggio attraverso il comando funzionale. Ad es. può ritardare l'attuatore in modo attivo, con

richiesta della funzione di sicurezza SS2, fino alla velocità zero

Importante: Questa funzione è di vantaggio specialmente quando devono essere spostati

assi singoli. Se l'asse viene spostato in un modo operativo interpolante (ad es. CAN inter

polated position mode) questa funzione non ha molto senso.

Altre funzioni del firmware nel modulo di sicurezza:

– disinserimento sicuro del controllore motore in caso di errore, reazione variabile a diversi errori.

– valutazione dei segnali degli ingressi sicuri, monitoraggio del funzionamento corretto dell'hardware

(impulsi di prova).

– comando delle uscite sicure, monitoraggio del corretto funzionamento dell'hardware.

– monitoraggio sicuro del funzionamento conforme dei microcontrollori: test ciclico della memoria

(RAM, Flash) e della CPU.

– monitoraggio delle tensioni di alimentazione.

– monitoraggio incrociato di entrambi i microcontrollori coinvolti.

– gestione dei seti di parametri, realizzazione di una parametrizzazione sicura attraverso cifre di con

trollo e password.

2.2.2 Cablaggio del modulo di sicurezza [X40]

Per il cablaggio delle funzioni di sicurezza, il modulo di sicurezza dispone di un'interfaccia a 24 poli

[X40A/B] con i seguenti collegamenti:

– 4 ingressi per sensori digitali, a due canali con assegnazione configurabile (ingressi SIL3),

– 6 ingressi digitali, a un canale con assegnazione configurabile (max. ingressi SIL2), ad es. come

– 1 selettore di tipi di funzionamento a 3 poli

– 1 ingresso per la tacitazione errori

– 1 ingresso per il comando del riavvio dopo la richiesta di una funzione di sicurezza

– 1 ingresso per un segnale di conferma di un'unità di bloccaggio esterna

– 3 uscite digitali a due canali (SIL3) con assegnazione configurata, a scelta utilizzabile come uscita

ad impulsi,

– 1 contatto di feedback (contatto di relè) per scopi diagnostici,

– potenziale di riferimento per tutti gli ingressi le uscite,

– un'alimentazione ausiliaria da 24 V per sensore collegati.



Tab. 2.3 mostra i collegamenti ordinati in base alle funzioni. L'occupazione dei connettori ordinata in

base ai numeri dei pin è riportata nella � sezione 3.2, Installazione elettrica.

Denominazione Descrizione (impostazione di fabbrica1)) Pin, Connettore

Ingressi digitali

X40A X40B

DIN40A Ingresso digitale 40 a due canali(Impostazione di fabbrica: Dispositivo di arrestod'emergenza, richiesta STO e SBC)

X40A.1

DIN40B X40A.2

DIN41A Ingresso digitale 41 a due canali X40B.13DIN41B X40B.14DIN42A Ingresso digitale 42 a due canali X40A.3DIN42B X40A.4DIN43A Ingresso digitale 43 a due canali X40B.15DIN43B X40B.16DIN44 Ingresso digitale 44

(Impostazione di fabbrica: Segnale di confermacomando fremo)

X40A.7

DIN45 Ingressi digitali 45, 46, 47(Impostazione di fabbrica: Selettore dei tipi di funzionamento)

X40A.8DIN46 X40A.9DIN47 X40A.10DIN48 Ingresso digitale 48

(Impostazione di fabbrica: Tacitazione errori).X40A.11

DIN49 Ingresso digitale 49(Impostazione di fabbrica: Conclusione funzione disicurezza con fronte di risalita).

X40A.12

Uscite digitali e contatto di segnalazioneDOUT40A Uscita digitale 40 a due canali X40A.5DOUT40B X40A.6DOUT41A Uscita digitale 41, a due canali X40B.17

DOUT41B X40B.18

DOUT42A Uscita digitale 42, a due canali X40B.19DOUT42B X40B.20C1 Contatto di segnalazione, contatto di relè

(Impostazione di fabbrica: Stato sicuro raggiunto,nessuna condizione di sicurezza violata).– aperto: “Funzioni di sicurezza non attive”

– chiuso: “Funzioni di sicurezza attive”

X40B.21

C2 X40B.22

Potenziale di riferimento e alimentazione ausiliariaGND24 0 V, potenziale di riferimento per DINx / DOUTx / +24 V X40B.23+24 V Uscita 24 V, alimentazione ausiliaria ad es. per perife

rica di sicurezza (24 V DC alimentazione logica del controllore motore).

X40B.24

1) Funzione nello stato di fornitura o dopo il reset sull'impostazione di fabbrica (parametrizzazione preliminare)

Tab. 2.3 Ingressi e uscite digitali, contatto di segnalazione, potenziale di riferimento e alimenta

zione ausiliaria [X40]



2.2.3 Panoramica delle funzioni di sicurezza supportateIl modulo di sicurezza supporta le seguenti funzioni di stop sicuro e le funzioni di movimento sicuro:

Funzione Numero Commento

STO 1 Arresto non controllato, blocco di avviamento sicuro � sezione 2.5.1

SS1 1 Arresto controllato seguito da STO � sezione 2.5.3

SS2 1 Arresto controllato seguito da SOS � sezione 2.5.4

SOS 1 Arresto sicuro (con “Limite di velocità sensibile”1)) � sezione 2.5.5

USF 4 “Universal Safety Function”, funzioni di sicurezza riunite.

Nella coniazione “Safe Speed Function” (SSF) possono essere realizzate,

mediante la relativa parametrizzazione, le seguenti funzioni di sicurezza:

SLS Rispetto valore limite di velocità � sezione 2.5.8

SSR Intervallo di velocità sicuro � sezione 2.5.9

SSM Velocità a monitoraggio sicuro � sezione 2.5.9

SBC 1 Comando sicuro del freno � sezione 2.5.2

1) Un movimento lento all'interno della finestra di posizione monitorata può essere ammesso

Tab. 2.4 Equipaggiamento del modulo di sicurezza



2.2.4 Schema delle funzioni del modulo di sicurezzaLe funzioni del modulo di sicurezza vengono spiegate in base al seguente schema funzionale:

DO

UT4

0A/B

DO

UT4

2A/B

BR

+/B

R-

C1/C

2

U_O

S+/

U_U

S

[5x-

x] x

xx_E

RR

INPU

T FI

LTER

+ LOG

IC

Safe

ty F

unct

ions

Safe

ty F

unct

ion

STO

Logi

c

... ...

...

Safe

ty F

unct

ion

SS

1

Logi

c

... ...

...

Safe

ty F

unct

ion

SB

C

Logi

c

... ...

...

Logi

c Fu

nctio

ns

Adv

ance

d Lo

gic

ALF

0 ...

7

Logi

c

... ...

...

Ope

ratin

g M

ode

Switc

hFi

xed

Inpu

tsLI

N_D

45...

D47

Two

Han

d Co

ntro

l Uni

tFi

xed

Inpu

tsLI

N_D

42 +

D43

LIN

_D47

_SA

FE

LIN

_2H

AN

D_C

TRL

LIN

_D46

_SA

FE

LIN

_D45

_SA

FELI

N_D

45 ..

. D47

LIN

_D49

LIN

_D44

LIN

_D43

LIN

_D40

VIN

_x_y

LIN

_x

VO

UT_

STO

_SFR

VO

UT_

x

VO

UT_

STO

_SS

R

VO

UT_

SS

1_S

FR

VO

UT_

SS

1_S

SR

VO

UT_

SB

C_S

FR

VO

UT_

SB

C_S

SR

VO

UT_

ALF

0_O

UT

VO

UT_

PS_E

N

VO

UT_

REA

DY

VO

UT_

SFR

VO

UT_

SS

R

VO

UT_

SER

VIC

E

VO

UT_

ERR

OR

VO

UT_

SCV

VO

UT_

WA

RN

VO

UT_

ALF

7_O

UT

DIN

40A

/B

DIN

43A

/B

DIN

44

DIN

49

Stat

us S

igna

ls fr

om D

rive

Feed

back

Sig

nals

LIN

_xy

:= V

OU

T_xy

Out

put D

rive

r + Te

st P

ulse

Uni

t

Logi

c

LOU

T_x

...

Out

put D

rive

r + Te

st P

ulse

Uni

t

Logi

c

...

Inte

rnal

B

rake

Cont

rol

Logi

c

...

Sign

al

Rel

ais

Logi

c

...In

tern

al

Pow

er S

tage

Enab

le

Stat

e M

achi

ne

Erro

r Log

ic

+ Erro

r Han

dler

LED

LIN

_D49

_RIS

ING

...

Logi

c...

INPU

T FI

LTER

+ LOG

IC

INPU

T FI

LTER

+ LOG

IC

INPU

T FI

LTER

+ LOG

IC

Fig. 2.3 Schema delle funzioni modulo di sicurezza (legenda � Tab. 2.5)



Termine/Abbreviazione Spiegazione

DIN40A/B ... DIN43A/B Ingressi digitali a due canali

DIN44 ... DIN49 Ingressi digitali a un canale

INPUT FILTER + LOGIC Filtro di entrata e logica di entrata

Status Signals from Drive Segnale di stato dell'attuatore

LIN_x Ingressi logici

VIN_x_y Ingressi virtuali

Safety Functions Funzioni di sicurezza

Logic Logica, configurabile con le funzioni di sicurezza attraverso i

termini di prodotto

Safety Function STO, SS1, ... Funzione di sicurezza STO, SS1, ...

Logic Functions Funzioni logiche

Advanced Logic ALF... Funzioni logiche ampliate ALF...

Fixed Inputs LIN_... Ingressi logici con assegnazione fissa LIN_...

Operating Mode Switch Selettore dei tipi di funzionamento

Two Hand Control Unit Unità di gestione e visualizzazione a due mani

VOUT_x Uscite virtuali

LOUT_x Uscite logiche

Output Driver + Test Pulse Unit Driver uscita e generazione dell'impulso di prova

DOUT40A/B ... DOUT42A/B Uscite digitali a due canali

Signal Relais Contatto di segnalazione

C1/C2 Pin C1/C2 del contatto di segnalazione

Internal Brake Control Comando del freno interno

BR+/BR- Pin BR+/BR- del comando del freno interno

Internal Power Stage Enable Sblocco interno del modulo terminale

U_OS+/U_OS- Pin U_OS+/U_OS- dell'abilitazione del modulo terminale

interna

Error Logic + Error Handler Errore logica e trattamento degli errori

[5x-x] xxx_ERR Segnale di errore interno errore 5x-x

State Machine Macchina di stato

Feedback Signals LIN_xy := VOUT_xy Segnale di conferma dei segnali LIN_xy := VOUT_xy

Tab. 2.5 Legenda per Fig. 2.3

Gli ingressi digitali dell'interfaccia [X40] sono rappresentati, in figura, completamente a sinistra, le

uscite digitali completamente a destra. Nel mezzo si trova una struttura con blocchi logici e le funzioni

di sicurezza.

Tutti i segnali sicuri sono riportati nello schema funzionale ed in ulteriori schemi a blocchi

con sfondi gialli, i segnali potenzialmente insicuri hanno uno sfondo grigio.



Filtro di ingresso ed ingressi logici:I segnali di ingresso digitali [X40] vengono prima filtrati in “Input Filter + Logic”. Il blocco verifica inoltre

se gli impulsi di prova sui segnali di ingresso sono presenti e se sono plausibili. Con ingressi a due

canali, il controllo avviene se il livello di ingresso corrisponde al tipo di ingresso configurato (a commu

tazione equivalente / antivalente) e se i segnali commutano contemporaneamente.

Come risultato di queste prove vengono rappresentati gli stati logici dei segnali di ingresso, nello sche

ma a blocchi contrassegnato con LIN_x “Logic Inputs”. Ad es. il segnale LIN_D40 rappresenta lo stato

di commutazione logico dell'ingresso a due canali DIN40.

Lista degli ingressi logici � sezione B.1.1, Tab. B.2.

Funzioni di sicurezza:Le funzioni di sicurezza possiedono alcune caratteristiche comuni:

Attraverso una funzione logica configurabile viene definito quale segnale di ingresso logico, LIN, deve

essere commutato sulla funzione di sicurezza per

– la richiesta della funzione di sicurezza,

– la conclusione della richiesta,

– la selezione di segnali di comando supplementari, se necessario.

Questi segnali di comando interni per le funzione di sicurezza vengono denominati come VIN_x_y

“Virtual Inputs”, ad es. denominato VIN_SS1_RSF l'ingresso per la richiesta (Request Safety Function)

della funzione di sicurezza SS1. Lo stato di commutazione di questi segnali può essere letto e visualiz

zato. Lista delle uscite virtuali � sezione B.1.2, Tab. B.5.

Per la configurazione delle condizioni di commutazione sono disponibili complessivamen

te 32 termini di prodotto, simile a un componente logico programmabile (PLD). I termini di

prodotto possono essere suddivisi in modo flessibile tra le diverse funzioni.

Per ogni segnale di comando VIN_x_y per funzioni di sicurezza o logiche, ma anche per la

configurazione delle uscite VOUT_x, possono essere utilizzati al massimo 4 termini di

prodotto con accoppiamento OR con massimo 7 ingressi con/senza inversione.

Gli ingressi virtuali, a cui non è assegnato alcun termine di prodotto, hanno lo stato logico

“0”.

Il seguente esempio utilizza due dei 32 termini di prodotto per richiedere la funzione STO:

La gestione dei termini di prodotto avviene automaticamente tramite SafetyTool (un soft

ware speciale integrato nel PlugIn FCT), ed è quindi completamente invisibile per l'utente.



La funzione di sicurezza stessa contiene funzioni logiche e di sequenza parametrizzabili. Essa considera

lo stato attuale dell'attuatore (posizione, velocità) ed esegue il monitoraggio dell'attuatore. Ogni fun

zione di sicurezza mette a disposizione i seguenti segnali di uscita:

– la segnalazione di stato, che la funzione di sicurezza è stata richiesta,

– la segnalazione di stato, che lo stato sicuro è stato raggiunto,

– un messaggio di errore in caso di una violazione della condizione di sicurezza.

Alcune funzioni di sicurezza mettono a disposizione ulteriori segnali di comando per il controllo diretto

delle funzioni nel regolatore dell'attuatore. Queste segnalazioni di stato sono rappresentate complessi

vamente nello schema a blocchi, esse vengono contrassegnate con VOUT_x “Virtual Output Signals”.

Lista delle uscite virtuali � sezione B.1.2, Tab. B.5.

Funzioni logiche per gli ingressi:Per alcune applicazioni sono necessari segnali di comando logici speciali, che sono formati da una

combinazioni di più segnali di ingresso. Il modulo di sicurezza supporta questa applicazione in cui ven

gono messe a disposizione funzioni logiche predefinite per:

– il selettore dei modi operativi,

– l'unità di gestione e visualizzazione a due mani

I segnali di uscita di questi blocchi logici vengono rappresentati direttamente in LIN_x, poiché sono

inoltre usati per controllare le funzioni di sicurezza.

Possono tuttavia essere configurati alcuni blocchi logici supplementari. Allo scopo sono disponibili i

cosiddetti ALF “Advanced Logic Functions” da ALF0 a ALF7, i cui segnali di uscita sono disponibili come

VOUT_x “Virtual Output Signals”. Lista delle uscite virtuali � sezione B.1.2, Tab. B.5.

Uscite logiche e driver di uscita:Il modulo di sicurezza dispone di blocchi configurabili con driver di potenza per:

– il comando delle uscite digitali con la generazione di impulsi di prova,

– il comando dell'uscita di relè,

– il comando dell'apparecchio di base, ad es. dell'uscita per il comando del freno e per il disinseri

mento dell'alimentazione del driver per STO.

Attraverso una funzione logica configurabile viene definito quali segnali VOUT vengono commutati

come LOUT “Logic Output Signal” sul rispettivo driver di uscita.

La funzione logica è composta da un termine di prodotto con massimo sette ingressi ed inversione di

ingresso e uscita. Lista delle uscite virtuali � sezione B.1.4, Tab. B.7.

Lo stato dell'uscita logica (un bit) viene convertito dal driver di uscita in segnali di uscita fisici (spesso

due segnali, configurabili in antivalente / equivalente / impulsi di prova).

Feedback:Dato che in alcune applicazioni è auspicabile eseguire funzioni di sicurezza in relazione dello stato di un'altra

funzione di sicurezza o logica, il modulo di sicurezza dispone in un percorso di feedback interno:

I più importanti segnali VOUT vengono resettati quindi sugli ingressi logici LIN e sono disponibili per le

connessioni logiche.

Lista degli ingressi logici � sezione B.1.1, Tab. B.2.



Macchina di stato (State Machine):Lo stato d'esercizio del modulo di sicurezza viene comandato tramite macchina di stato. Lo stato

d'esercizio viene visualizzato da un LED a più colori e inoltre rappresentato in VOUT.

Una descrizione esatta degli stati d'esercizio avviene nella � sezione 2.10.

Gestione degli errori:La gestione degli errori comanda come deve reagire il modulo di sicurezza in caso di presenza di errori.

La reazione all'errore più importante e l'immediato disinserimento dello stato di potenza nell'apparec

chio di base (Safe Torque Off, STO) ed il disinserimento di tutte le uscite sicure. Le reazioni all'errore

sono configurabili � sezione 2.8.

2.2.5 Panoramica encoder di posizione supportatiIl monitoraggio sicuro della velocità, ad es. per SLS e la posizione, ad es. per SOS, richiede determinati

sensori per il rilevamento della posizione.

Il controllore motore CMMPAS...M3 supporta molti encoder rotativi diversi per il rilevamento della

posizione e della velocità tramite interfacce dell'unità X2A, X2B e X10. I segnali dell'encoder di posi

zione vengono inoltrati internamente all'unità da CMMP-AS-...-M3 al modulo di sicurezza (� Fig. 2.2).

La maggior parte degli encoder rotativi possono essere valutati direttamente anche dal modulo di sicu

rezza, in quanto i segnali sono a disposizione del modulo di sicurezza. Tramite l'encoder rotativo vengo

no rilevate la posizione e la velocità.

I seguenti encoder rotativi vengono supportati dal modulo di sicurezza:

– resolver tramite X2A

– encoder incrementale SIN/COS tramite X2B

– encoder rotativo Hiperface SICK tramite X2B (solo canale dati di processo)

– encoder ENDAT Heidenhain tramite X2B

– encoder incrementale con segnali A/B digitali tramite X2B

– sensori di posizione BISS per motori lineari tramite X2B

– encoder incrementale con segnali A/B digitali tramite X10

Tramite l'encoder rotativo vengono rilevate la posizione e la velocità.

Le funzioni di sicurezza supportate da modulo di sicurezza non richiedono alcuna cono

scenza della posizione assoluta. Per questo non è prevista una valutazione sicura della

posizione assoluta dell'encoder o una corsa di riferimento assoluta.

Ogni controllore motore sul modulo di sicurezza può valutare fino a due sensori di posizione:



Encoder Evaluation

μCBase Device

Position Sensor 1

[X2A] ...[X2B] ...

Position Sensor 2

[X10] ...

μC 1

μC 2

Cross Comparison

CAMC-G-S3

[X2A], [X2B][X2B], other

[X10]

[X2A] Resolver[X2B] SINCOS

Fig. 2.4 Valutazione dei sensori di posizione sul modulo di sicurezza


Position Sensor 1/2 Sensore di posizione 1/2

μC Base Device Microcontrollore apparecchio di base

Cross Comparison Confronto incrociato


– Se vengono utilizzati due sensori di posizione, ogni microcontrollore interpreta entrambi i sensori.

Ogni microcontrollore confronta i valori di posizione e di velocità di entrambi i sensori e produce un

messaggio d'errore con differenze non ammesse.

– Se viene utilizzato un solo sensore di posizione con classificazione SIL, anch'esso viene valutato da

entrambi i microcontrollori del modulo di sicurezza.

– Se viene utilizzato un sensore di posizione, che può essere valutato dall'apparecchio di base (μC

GG), ma che non viene supportato direttamente dal modulo di sicurezza, sussiste la possibilità di

trasmettere l'informazione angolare nominata dall'apparecchio di base al modulo di sicurezza. In

unione con un secondo sensore di posizione, che viene valutato direttamente dal modulo di sicurez

za, può essere così configurato ugualmente un sistema sicuro (fino SIL2). La variante è contrasse

gnata in Tab. 2.7 con “X2B Altri encoder”.

– In tutti i casi ha luogo un confronto incrociato dei dati di posizione tra microcontrollore1 e microcon

trollore2 con risoluzione degli errori con differenze non ammesse.

– Entrambi i microcontrollori 1 e 2 utilizzano in ogni configurazione valori di posizione e velocità diver

si per il monitoraggio dell'asse. Inoltre è configurabile anche un monitoraggio dell'accelerazione per

un controllo della plausibilità.



Il produttore di encoder rotativi certificati SIL forniscono direttive per l'impiego di questi

encoder rotativi in applicazioni orientate alla sicurezza.

Il CAMC-G-S3 considera nella valutazione dei segnali dell'encoder le seguenti applicazioni

del produttore:

– specificazione dei requisiti di sicurezza E/E/PES per il master EnDat del 19.10.2009

(D533095 - 04 - G - 01) � www.heidenhain.de (in preparazione)

– manuale di implementazione / Implementation Manual HIPERFACE® Safety del

21.12.2010 (8014120/2010-12-21) � www.sick.com

Verificare questi documenti relativamente alle misure necessarie per il montaggio degli

encoder rotativi e le esclusioni degli errori necessarie.

Combinazioni possibili degli encoder di posizioneTab. 2.7 mostra le combinazioni dell'encoder ammesse. Altre combinazioni non sono parametrizzabili

nel modulo di sicurezza.

I valori di sicurezza raggiungibili con le combinazioni sono riportati nella � sezione A.2.3.

Primo encoder Secondo encoder Attenzione

[X2A] Resolver [X2B] Altro encoder –

[X2A] Resolver [X10] Trasduttore

incrementale

–

[X2A] Resolver non disponibile Rispettate le seguenti indicazioni!

[X2B] Encoder

incrementale SIN/COS

non disponibile Richiede la classificazione SIL dell'encoder.

[X2B] Encoder incre

mentale SIN/COS

[X10] Trasduttore

incrementale

Rispettate le seguenti indicazioni!

[X2B] Trasduttore

incrementale Hiperface

[X10] Trasduttore

incrementale


[X2B] Trasduttore

incrementale Hiperface

non disponibile Richiede la classificazione SIL dell'encoder.

[X2B] Encoder ENDAT [X10] Trasduttore

incrementale

Classificazione encoder 1: “[X2B] Altro encoder”.


[X2B] Encoder ENDAT non disponibile In fase di preparazione.

Richiede la classificazione SIL dell'encoder.

[X2B] Altri encoder [X10] Trasduttore

incrementale

–

Tab. 2.7 Combinazioni possibili degli encoder di posizione

AttenzioneValutare se gli encoder di posizione selezionati sono sufficientemente precisi per soddi

sfare i compiti di monitoraggio, specialmente anche per la funzione di sicurezza SOS.

Osservare le indicazioni per la precisione di sistema in � appendice A.3.



AttenzioneIn applicazioni con un solo encoder rotativo / encoder di posizione, esso deve possede

re la classificazione SIL necessaria in base alla valutazione dei rischi. Nella maggior

parte dei casi la classificazione necessita di requisiti supplementari o di esclusione di

errori nella meccanica. Controllare accuratamente che i requisiti nell'applicazione sia

soddisfatti e che sia state eseguite le rispettive esclusioni di errori! Osservare sempre in

questo contesto anche le indicazioni di implementazione e le esclusioni degli errori

necessarie, presupposte dal produttore dell'encoder di posizione.

AttenzioneIn applicazioni con solo un encoder rotativo / encoder di posizione con interfaccia ana

logica (resolver, SIN-/COS, Hiperface,…) devono essere considerate le limitazioni dal

punto di vista della copertura diagnostica e le limitazioni della precisione raggiungibile

del monitoraggio dello stato di fermo e della velocità � appendice A.3.5 e A.3.6.

AttenzioneCon utilizzo di due encoder funzionali senza classificazione SIL, l'idoneità della combinazione

degli encoder per l'impiego in sistemi sicuri fino a SIL3 deve essere provata separatamente

(necessaria ad es. la diversità dei sistemi di encoder dal punto di vista di CCF, MTTFd, ecc.,

idoneità dell'encoder per la condizioni di esercizio ed ambientali, CEM, ecc.).

Raccomandazione: Utilizzare eventualmente gli esempi di soluzioni forniti dal produttore

con combinazioni definiti di assi, motori ed encoder.

2.2.6 Scambio di dati e comando del controllore motoreIl modulo di sicurezza può accedere tramite segnali di comando digitali nel modulo terminale di potenza del

controllore motore. Tramite altri segnali di comando digitali, il controllore motore segnala il proprio stato

d'esercizio. Inoltre è collegato tramite un'interfaccia di comunicazione interna con il microcontrollore nel

l'apparecchio di base (� sezione 2.2.1, Fig. 2.2 principio di funzionamento modulo di sicurezza).

Il modulo di sicurezza può comandare il controllore motore (“Comando di livello

superiore”). Esso comanda:

– il disinserimento del modulo terminale di potenza,

– l'accesso nel comando del freno,

– i valori nominali per la regolazione,

– la tacitazione errori.

I segnali di comando digitali vengono utilizzati come segue:

a) disinserimento dell'alimentazione del driver nel controllore motore:

Il modulo terminale di potenza del controllore motore può essere disinserito mediante due canali

indipendenti.



Un canale comanda l'alimentazione dell'interruttore superiore, l'altro l'alimentazione dell'interrut

tore inferiore. I canali vengono comandati in modo diverso dal modulo di sicurezza e monitorati

durante l'esercizio con impulsi di prova. Il comando avviene esclusivamente attraverso la funzione

di sicurezza STO � sezione 2.5.1.

b) Accesso nel comando del freno (collegamento [X6]):

Il disinserimento del comando del freno avviene nel modulo di sicurezza in modo ridondante tramite

relativi segnali di comando verso l'apparecchio di base. Anche il comando del freno viene monitora

to in esercizio in corso mediante impulsi di prova. L'uscita del freno sicura dell'apparecchio di base

è anche utilizzabile per il controllo delle unità di bloccaggio. Il comando avviene esclusivamente

attraverso la funzione di sicurezza SBC � sezione 2.5.2.

Al contrario la ventilazione di un freno di arresto avviene solo se l'apparecchio di base segnala al modulo

di sicurezza, tramite un'ulteriore linea di pilotaggio, che vuole abilitare il freno di arresto anche dal punto

di vista funzionale. Questa connessione permette il semplice riavvio degli assi dopo SBC.

Con errori di sistema sul modulo di sicurezza, i circuiti hardware comandati in modo

dinamico provvedono affinché le linee di pilotaggio per l'alimentazione del driver e per il

comando del freno vengono disinserite rapidamente ed in sicurezza.

c) Attivazione di un arresto rapido nell'apparecchio di base:

Attraverso una linea di pilotaggio interna, il modulo di sicurezza può attivare un arresto rapido nell'appa

recchio di base. Il tempo di reazione dell'apparecchio di base è particolarmente piccolo (< 2 ms).

Se il segnale viene attivato, l'apparecchio di base frena nei modi operativi regolazione del numero di giri

e posizionamento sulla rampa di stop rapido fino alla velocità zero, poi viene regolato, in base al modo

operativo, il numero di giri su 0 giri/min o la posizione su quella attuale.

La funzione viene utilizzata per la realizzazione della funzione di sicurezza SS1 o SS2

tipo b) � , sezione 2.5.3 e 2.5.4.

L'interfaccia di comunicazione interna tra modulo di sicurezza ed apparecchio di base viene utilizzata

per i seguenti compiti:

– realizzazione di una connessione di comunicazione verso l'esterno tra il modulo di sicurezza e il PC

per la parametrizzazione e la diagnosi.

– altri interventi attivi del modulo di sicurezza nel comando del controllore motore.

– scambio di segnalazioni diagnostiche e stati d'esercizio.

– fornitura di informazioni Debug per la ricerca degli errori / analisi.

– trasmissione bidirezionale di telegrammi dei dati sicuri per comandi di sicurezza esterna (in pre

parazione).

d) Interfaccia per la parametrizzazione:

La parametrizzazione del modulo di sicurezza avviene tramite SafetyTool (� sezioni 2.2.7 e 4.5).

Il SafetyTool viene richiamato attraverso il Festo Configuration Tool (FCT). La comunicazione sicura

tra SafetyTool e il modulo di sicurezza avviene a scelta attraverso una delle interfacce del controllo

re motore (Ethernet [X18] o USB [X19]. Il controllore motore trasmette i telegrammi dei dati da e al

modulo di sicurezza, senza modificarli.

e) Limitazione attiva del numero di giri / velocità nell'apparecchio di base:



Il modulo di sicurezza può accedere direttamente, tramite la connessione di comunicazione interna,

nella regolazione dell'attuatore dell'apparecchio di base, limitando attivamente il valore nominale

della velocità nell'apparecchio di base. L'apparecchio di base frenato sulla rampa parametrizzata

nel modulo di sicurezza. La limitazione è attiva nei seguenti modi operativi dell'apparecchio di base:

– regolazione della velocità / numero di giri

– posizionamento (esercizio record o diretto)

La funzione viene utilizzata per la realizzazione della funzione di sicurezza SS1 o SS2

tipo a) � sezione 2.5.3 e 2.5.4. È utilizzabile in maniera sensata anche in unione con

funzioni di velocità sicure, come ad es. SLS, in quanto l'asse può essere frenata

autonomamente anche senza l'intervento del comando.

Se sul modulo di sicurezza sono attive contemporaneamente più funzioni di sicurezza, definire le

diverse limitazioni della velocità, il minimo dei valori limite sarà formato da tutte le funzioni di sicu

rezza ed inviato all'apparecchio di base.

In tutti i modi operativi interpolanti, in cui l'apparecchio di base viene condotto direttamente dal

comando, la limitazione attiva del numero di giri non è sensata.

f ) Segnalazioni di stato:

Lo stato d'esercizio del modulo di sicurezza e lo stato delle funzioni di sicurezza (ad es. Safety Func

tion Requested (SFR), Safe State Reached (SSR)) viene trasmesso in modo ciclico, tramite un'inter

faccia di comunicazione interna, all'apparecchio di base.

L'apparecchio di base può

– emettere e visualizzare questo stato tramite le uscite digitali,

– inviarlo tramite la rispettiva interfaccia Fieldbus attiva al comando principale,

– emetterlo tramite display a 7 segmenti.

La descrizione delle segnalazioni di stato disponibili è riportata nella � sezione 2.10.

Le informazioni di stato, disponibili tramite i protocolli di comunicazione FHPP e CiA 402

sono riportati nella � sezione A.4.

g) Analisi degli errori / Debugging:

Attraverso l'interfaccia di comunicazione, l'apparecchio di base ottiene anche lo stato di errore del

modulo di sicurezza e ha accesso alle grandezze di stato interne, come la velocità sicura misurata o

i limiti di monitoraggio per la velocità.

Il modulo di base utilizza questi dati:

– per la visualizzazione dello stato d'esercizio ed eventuali messaggi di errore sul display a 7 seg

menti,

– per il rilevamento di tutti i messaggi in una memoria diagnostica non volatile per la diagnosi

successiva,

– per l'analisi delle grandezze di stato del modulo di sicurezza tramite funzione oscilloscopio

(Trace). È possibile controllare ad esempio attraverso la registrazione del limite di velocità moni

torato e la velocità attuale, come mai il modulo di sicurezza rileva la violazione di una condizione

di sicurezza.



2.2.7 Configurazione delle funzioni di sicurezza con il SafetyToolAl contrario di un comando di sicurezza, il modulo di sicurezza non è liberamente programmabile.

Possiede un volume delle funzioni definito, che può essere attivato e parametrizzato dall'utente. Per

adattare in modo flessibile le funzioni nel modulo di sicurezza alle diverse applicazioni, le funzioni di

sicurezza effettive e le uscite possiedono una parte logica configurabile per la determinazione delle

condizioni di commutazione.

La selezione delle funzioni di sicurezza, l'occupazione degli I/O e la richiesta delle funzioni di sicurezza

tramite gli ingressi e altre condizioni vengono configurate tramite SafetyTool.

Il SafetyTool è un modulo software per la messa in servizio sicura del modulo di sicurezza, che viene

avviato dal PlugIn FCT CMMP-AS.

Attraverso la parametrizzazione vengono determinate, tra l'altro, le seguenti impostazioni:

– gli ingressi vengono attivati, quando viene a loro assegnata una funzione, come ad es. un tipo di

sensore � esempio sezione 4.6.7.

– le singole funzioni vengono attivate e parametrizzate, ad es. inserendo velocità limite ecc.

– la richiesta di una funzione di sicurezza viene parametrizzata come connessione logica, ad es. trami

te la richiesta attraverso un ingresso � esempio sezione 4.6.8.

– per la segnalazione di una funzione attiva lo stato interno può essere accoppiato ad es. con un'uscita.

– il comportamento in caso di errore (la reazione all'errore) può essere configurata

La descrizione della procedura della parametrizzazione del modulo di sicurezza con il

SafetyTool è riportata nella � sezione 4.5.

Importante:

Il SafetyTool supporta il rilevamento automatico dei dati dall'apparecchio di base. L'enco

der rotativo, il riduttore, le costanti di avanzamento, ecc. vengono configurati una sola

volta nell'ambito della messa in servizio dell'apparecchio di base. Dopo la messa in servi

zio dell'apparecchio di base, questi dati vengono letti dal SafetyTool e trasmessi nel

modulo di sicurezza in modalità interattiva.

– Parametrizzare completamente, in una prima fase, l'apparecchio di base e ottimizza

re, dal punto di vista funzionale, l'applicazione.

– In una seconda fase parametrizzare la tecnica di sicurezza.

AttenzioneFunzioni di sicurezza nella fase di messa in servizio.

Dato che già nella fase di messa in servizio di un impianto sono necessarie misure per

l'assicurazione della sicurezza funzionale necessaria, osservare:

� Il modulo di sicurezza deve essere completamente configurato e l'applicazione deve

essere completamente validata, prima che offra una protezione



Il modulo di sicurezza viene fornito “Pre-configurato” di fabbrica � sezione 4.4.1.

– tramite DIN40 vengono richieste le funzioni di sicurezza STO e SBC.

– tramite DIN49 avviene un riavvio.

– tramite DIN48 avviene la tacitazione degli errori.

Lo stato di fornitura è riconoscibile anche senza FCT / SafetyTool al LED verde-rosso lam

peggiante del modulo di sicurezza (se DIN40 è cablato e non è richiesta alcuna funzione

di sicurezza � sezione 2.10).

2.3 Rilevamento dei dati dal controllore motore

Per il monitoraggio sicuro del movimento, il modulo di sicurezza deve sapere quali sensori per il rileva

mento della posizione sono collegati, di quale risoluzioni dispongono, che tipo di meccanica, avanza

mento, riduttore ecc. viene utilizzato e in che unità l'utente vuole parametrizzare l'applicazione. Il Safe

tyTool supporta con il rilevamento tramite menu di tutti questi dati dall'apparecchio di base, affinché la

parametrizzazione sia più semplice e in modo da evitare inserimenti errati.

Per la creazione di nuovi progetti procedere preferibilmente nel modo seguente:

Utilizzare un modulo di sicurezza che si trova nel volume di fornitura o resettarlo sulle

impostazioni di fabbrica � sezione 4.4.2 o 4.4.1.

Parametrizzare dapprima completamente l'apparecchio di base mediante FCT e metterlo

in servizio (se possibile).

Solo successivamente si avvia la parametrizzazione sicura tramite SafetyTool e si rilevano

automaticamente i dati impostati dall'apparecchio di base nel SafetyTool tramite il pul

sante “Copy” SafetyTool � sezioni 4.5.1 e 4.6.2.

AttenzioneUn rilevamento dei dati dall'apparecchio di base è necessario anche se si desidera uti

lizzare un modulo di sicurezza che sia gia stato utilizzato in un'altra applicazione con

un'altra meccanica o se un modulo di sicurezza è stato impostato manualmente sulle

impostazioni di fabbrica.

Anche in questo caso la configurazione del modulo di base è “principale”, i rispettivi

dati per le unità di visualizzazione, per la meccanica e la configurazione dell'encoder

devono essere rilevati dall'apparecchio di base.

Se nel modulo di sicurezza sono già presenti funzioni di movimento sicure parametrizza

te, i valori limite impostati nel modulo di sicurezza vengono rilevati come valori nominali

nel SafetyTool. Esse devono essere nuovamente trasmesse nel modulo di sicurezza, in

modo che i valori limite restino invariati.



Esempio:

Nel modulo di sicurezza è configurato originariamente una funzione SLS con un valore limite di

+/- 200 mm/s. Era in funzione un asse a cinghia dentata con 100 mm/giri di avanzamento.

Il modulo di sicurezza viene ora usato in un'altra applicazione, l'avanzamento in questa applicazione è

di solo 150 mm/giro.

Dopo il rilevamento dell'avanzamento modificato, il SafetyTool mostra nella funzione SLS una discre

panza tra valore nominale ed effettivo:

Valore nominale: 200 mm/s

Valore effettivo: 300 mm/s

Il valore nominale deve quindi essere nuovamente scritto e validato nel modulo di sicurezza.

2.3.1 Informazioni di base

Le informazioni di base contengono le unità di misura selezionate per (� Tab. 2.8):

– corsa (P06.3E e P06.41),

– velocità (da P06.42 a P06.45),

– accelerazione (da P06.46 a P06.49),

ed una descrizione della traduzione meccanica tramite:

– fattore di trasmissione (contatore e denominatore) tra motore e attuatore (P06.4A e P06.4B),

– costante di avanzamento (contatore e denominatore) per la conversione rotatorio -> traslatorio

(P06.3F e P06.40).

Vengono utilizzati per la conversione tra valori di visualizzazione e dell'apparecchio (posizione, veloci

tà, accelerazione).

AttenzioneQuesti parametri devono essere trasmessi, verificati e validati sul modulo di sicurezza,

solo così è assicurato che il modulo di sicurezza converta nelle stesse unità come

l'apparecchio di base!

Parametri informazioni di base:

Informazioni di baseN. Nome Descrizione

P06.3E Unità da visualizzare per le posizioni. Unità da visualizzare per le posizioni. Con “User

Defined” nel SafetyTool non viene visualizzata

alcuna unità con valori di posizione.

P06.3F Contatore costante di avanzamento

dell'asse nelle unità di posizione

Contatore della costante di avanzamento dell'as

se nelle unità di posizione per ogni giro del

motore (senza fattori di trasmissione).

P06.40 Denominatore costante di avanzamen

to dell'asse nelle unità di posizione

Denominatore della costante di avanzamento

dell'asse nelle unità di posizione per ogni giro del

motore (senza fattori di trasmissione).

P06.41 Numero delle posizioni decimali visualiz

zate dopo la virgola con le posizioni.

Numero delle posizioni decimali visualizzate do

po la virgola con i valori di posizione.



Informazioni di base

N. DescrizioneNome

P06.42 Unità da visualizzare per le velocità. Unità da visualizzare per le velocità. Con “User

Defined” non viene visualizzata alcuna unità. Se

la posizione è UserDefined, lo deve essere anche

la velocità.

P06.43 Contatore base di tempo modificata

per le velocità del tipo UserDefined.

Contatore base di tempo modificata per le veloci

tà del tipo “UserDefined”.

P06.44 Denominatore base di tempo modifica

ta per le velocità del tipo UserDefined.

Denominatore base di tempo modificata per le

velocità del tipo “UserDefined”.

P06.45 Numero delle posizioni decimali visualiz

zate dopo la virgola con le velocità.


po la virgola con le velocità.

P06.46 Unità da visualizzare per le accelera

zioni.

Unità da visualizzare per le accelerazioni. Con

UserDefined non viene visualizzata alcuna unità.

Se la posizione è “UserDefined”, lo deve essere

anche l'accelerazione.

P06.47 Contatore base di tempo modificata per

le accelerazioni del tipo UserDefined.

Contatore base di tempo modificata per le acce

lerazioni del tipo “UserDefined”.

P06.48 Denominatore base di tempo modifica

ta per le accelerazioni del tipo UserDe

fined.

Denominatore base di tempo modificata per le

accelerazioni del tipo “UserDefined”.

P06.49 Numero delle posizioni decimali vi

sualizzate dopo la virgola con le acce

lerazioni.


po la virgola con le accelerazioni.

P06.4A Contatore fattore di trasmissione com

plessivo tra motore e asse.

Contatore fattore di trasmissione complessivo tra

motore e asse.

P06.4B Denominatore fattore di trasmissione

complessivo tra motore e asse.

Denominatore fattore di trasmissione complessi

vo tra motore e asse.

Tab. 2.8 Parametri informazioni di base



2.3.2 Configurazione dell'encoderAnche la selezione e l'impostazione dell'encoder rotativo per il rilevamento della posizione, la classifi

cazione del senso di conteggio angolare / della posizione, la risoluzione dell'encoder di posizione e

l'impostazione dei fattori di trasmissione dell'encoder di posizione vengono rilevati automaticamente

dalla configurazione dell'apparecchio di base.

Importante:

Spesso nell'apparecchio di base viene utilizzato, per la regolazione, un solo encoder di

posizione (sul motore), per la sicurezza funzionale è previsto tuttavia, in molti casi

(� Tab. 2.7), un ulteriore encoder di posizione, ad es. sull'attuatore.

Assicurarsi di aver configurato il o gli encoder di posizione tramite FCT nell'apparecchio di

base, come mostra l'esempio seguente per 2 encoder:

Altrimenti il rilevamento dei dati non può avvenire completamente.

AttenzioneQuesti parametri devono essere trasmessi, verificati e validati sul modulo di sicurezza,

solo così è assicurato che il modulo di sicurezza converta nelle stesse unità come l'ap

parecchio di base!

La configurazione dell'encoder di posizione è relativamente vasta, poiché il modulo di sicurezza sup

porta molti tipi diversi di encoder e configurazioni. Nel SafetyTool la configurazione è quindi suddivisa

nei seguenti registri:

– parametri standard (selezione delle interfacce dell'encoder e dei tipi di encoder),

– parametri per l'encoder di posizione su [X2B],

– parametri per l'encoder di posizione su [X10],

– parametri esperti per il confronto incrociato dei dati di posizione,

– parametri esperti per la configurazione del rilevamento sicuro dei dati e del riconoscimento dello

stato di fermo,

– parametri standard per il monitoraggio del segnale di encoder sicuri con segnali analogici (resolver,

encoder SIN/COS).

Parametri standardQui avviene la selezione su quale interfaccia dell'encoder e quale tipo di encoder deve essere utilizzato

nel modulo di sicurezza come encoder di posizione 1 e come encoder di posizione 2. Attraverso i fattori

di trasmissione vengono raffigurati i riduttori tra motore e asse, attraverso i fattori di trasmissione

negativi viene considerata un'inversione del senso di rotazione.



Avviene il rilevamento dei dati / l'impostazione dell'encoder di posizione 1 principale (primo encoder):

– resolver [X2A],

– encoder SIN/COS o Hiperface [X2B],

– altro encoder [X2B], ad es. ENDAT, BISS.

Inoltre è possibile l'impostazione di un fattore di trasmissione per l'encoder di posizione 1 tra encoder

e motore.

Inoltre avviene il rilevamento dei dati / l'impostazione dell'encoder di posizione 2 (secondo encoder):

– altro encoder [X2B], ad es. SIN/COS, ENDAT, BISS,

– encoder incrementale [X10],

– nessuno (solo se l'encoder di posizione 1 è un encoder di posizione certificato).

Ugualmente è possibile l'impostazione di un fattore di trasmissione per l'encoder di posizione 2 tra

encoder e motore.

Importante: Il SafetyTool allerta con combinazioni di encoder non ammesse.

Le combinazioni degli encoder ammesse e la relativa classificazione di sicurezza sono

disponibili nella � sezione 2.2.5 (Tab. 2.7).

Con motori lineari FCT calcola, tramite risoluzione della posizione del trasduttore di misu

ra e il passo polare ôp del motore, costante di avanzamento (informazioni di base), un

fattore di trasmissione e una risoluzione del trasduttore di misura riferiti a 2ôp.

Questi dati vengono trasmessi al SafetyTool. Così è garantito un rilevamento automatico

dei dati per i motori lineari.

AttenzioneSe nonostante rilevamento dei dati avvenuto con successo dovesse presentarsi un

errore del confronto incrociato degli encoder 1 / 2.

� Verificare in questo caso il fattore di trasmissione dell'encoder 2, in quanto questo viene

monitorato solo dal modulo di sicurezza e non è incorporato, di norma, nel FCT.

2.3.3 Parametri per l'encoder di posizione

Parametri per l'encoder di posizione su [X2A]

Il collegamento [X2A] è previsto per il resolver. I segnali di traccia analogici con modulazione dell'am

piezza del resolver vengono prelevati in CMMPAS...M3 dietro l'amplificatore differenziale di ingresso,

condotti internamente al modulo di sicurezza e qui valutati in modo sicuro e a due canali da entrambi i

microcontrollori.

Non è necessaria una parametrizzazione / rilevamento dei dati dall'apparecchio principale.



Parametri per l'encoder di posizione su [X2B]Il collegamento [X2B] è previsto per encoder con segnali di traccia analogici, come:

– encoder incrementale con segnali di traccia SIN/COS,

– encoder Hiperface con segnali di traccia SIN/COS.

I segnali di traccia dell'encoder SIN/COS e dell'encoder Hiperface vengono prelevati in CMMPAS...M3

dietro l'amplificatore differenziale di ingresso, condotti internamente al modulo di sicurezza e qui valu

tati in modo sicuro e a due canali da entrambi i microcontrollori. Questo è sempre il caso se nella sche

da dei parametri standard è stato sezionato “Encoder SIN/COS / Hiperface (X2B) = [2]”.

Nell'ambito del rilevamento dei dati / della parametrizzazione viene impostato il numero dei passi di conteg

gio angolari digitali (corrisponde a 4 x numero di tacche per ogni giro del motore o con motori lineari per 2ôp).

AttenzioneCon asse fermo gli encoder SIN/COS forniscono segnali statici. Se non viene impiegato

un secondo encoder angolare, non possono essere riconosciuti gli errori Stuck-At

(“blocco del valore dovuto a nessuna modifica o modifica ridotta del segnale di uscita).

Per questo, con funzioni di sicurezza richieste, l'asse deve essere mosso regolarmente.

Se un encoder SIN/COS o Hiperface viene usato come unico encoder, dopo 24 h di fer

mo, con funzione di sicurezza richiesta, viene emesso l'errore 55-2.

Se la funzione di sicurezza SS2 / SOS viene richiesta per più di 24 ore, viene emesso

l'errore 54-7.





Inoltre il collegamento [X2B] è previsto anche per encoder con interfaccia digitale, come

– Encoder incrementale digitale con segnale rettangolare A/B/N,

– ENDAT-2.1 ed encoder 2.2 con interfaccia digitale,

– Encoder seriale con interfaccia digitale, ad es. BISS.

Questi encoder vengono valutati nell'apparecchio di base CMMP-AS-...-M3 senza orientamento alla

sicurezza.

Attraverso l'interfaccia dati interna, il modulo di sicurezza richiama ciclicamente un'informazione ango

lare digitale nominata dall'apparecchio di base. Questo è sempre il caso se nel registro dei parametri

standard è stato sezionato “Altro encoder (X2B) = [4]”.

L'informazione angolare di un encoder azionato, che è collegato a X2B sul controllore motore, può

essere utilizzato come un canale del rilevamento angolare sicuro a due canali.

È possibile parametrizzare un tempo di tolleranza all'errore se il modulo di sicurezza rileva telegrammi

dati disturbati. Il valore di default di 1 ms non deve essere modificato senza una ragione valida, in quan

to il valore ha un effetto come un filtro supplementare sul tempo di reazione del modulo di sicurezza.

AttenzioneL'utilizzo di encoder con trasmissione dati puramente digitale in sistemi sicuri è ammes

so solo in unione con un secondo encoder, ad es. su [X10].



L'utilizzo di un encoder EnDat sicuro non è ancora possibile (in preparazione).

La formula viene parametrizzata con utilizzo di un encoder EnDat sicuro “Encoder angolare 1 = EnDat”. Come encoder angolare 2 può essere inoltre valutato solo un encoderincrementale su [X10].

AttenzioneCon una corsa di riferimento degli attuatori con encoder multiturn ENDAT con memorizzazione dello spostamento del punto zero nell'encoder, con il salvataggio si presenta unsalto nella posizione effettiva. Questo salto porta all'attivazione del monitoraggio dell'accelerazione nel modulo di sicurezza e quindi a un errore del modulo di sicurezza.Questa corsa di riferimento deve essere eseguita solo una volta con l'avviamento della

macchina.

Parametri per l'encoder di posizione su [X10]Il collegamento [X10] è previsto per gli encoder incrementali digitali con segnali rettangolari A/B/N. Ilrilevamento della posizione avviene tramite ingressi di conteggio in quadratura del microcontrollore delmodulo di sicurezza.L'encoder incrementale [X10] viene applicato preferibilmente come secondo trasduttore di posizione.Questo è sempre il caso se nella scheda dei parametri standard è stato sezionato “Encoder incrementale (X10) = [5]”.Nell'ambito del rilevamento dei dati / della parametrizzazione viene impostato il numero dei passi diconteggio angolari digitali (corrisponde a 4 x numero di tacche per ogni giro del motore o con motorilineari per 2ôp).

2.3.4 Parametri per il monitoraggio dell'encoder ed il rilevamento del numero di giriFig. 2.5 mostra la struttura della valutazione dell'encoder e il monitoraggio:

μC1-μC2Position

Comparator

+ Speed

Comparator

[56-8] Sensor 1-2

[55-0] Act. Value invalid

ACTUAL_ACC.

[55-8] Imperm. Accel.

ACTUAL_SPEED

SPEED = 0

ACTUAL_POSITION

POSITION +SPEED VALID

&

[56-9] Sensor μC1-μC2

Position 1 / 2Comparator

+

Speed 1 / 2Comparator

Acceleration Comparator

PositionSensor 1

PositionSensor 2

d/dt

Tn_eff.

d/dt Tn_eff.

ZN

232

2n

1

n_min-n_min

Position Sensor 1Evaluation

Position Sensor 2Evaluation

Gearn Bits

Speed + Position from 2nd μC

Fig. 2.5 Calcolo della velocità e dell'accelerazione




Position Sensor 1/2 Valutazione sensore di posizione 1/2

Evaluation Valutazione

Gear Riduttori

Acceleration Comparator Confronto accelerazione 1/2

Position 1/2 Comparator +

Speed 1/2 Comparator

Confronto posizione 1/2 e

Confronto velocità 1/2

ACTUAL_ACC. Segnale interno: Accelerazione attuale

ACTUAL_SPEED Segnale interno: Velocità attuale

SPEED = 0 Segnale interno: Velocità = 0

ACTUAL_POSITION Segnale interno: Posizione attuale

POSITION + SPEED VALID Segnale interno: Posizione e velocità valide



Descrizione:– La Block Position Sensor Evaluation è presente due volte in ogni microcontrollore, separatamente

per l'encoder di posizione 1 e l'encoder di posizione 2.

– L'informazione di posizione dell'encoder 1 e dell'encoder 2 viene prima nominata su 2³². Poi viene

considerato un fattore di trasmissione, attraverso il quale può essere raffigurata un'inversione della

direzione di conteggio.

– Il blocco fornisce così una posizione nominata e calcola la velocità e l'accelerazione attuale.

– I dati dell'encoder di posizione 1 vengono utilizzati per il monitoraggio delle grandezze di stato.

– L'accelerazione viene monitorata e verificata dal punto di vista delle plausibilità – parametrizzata.

– Ogni microcontrollore esegue un confronto continuo dei valori di posizione e dei valori di velocità

del encoder 1 con quelli dell'encoder 2.

– Le tolleranze per questo confronto degli encoder sono parametrizzabili.

– Inoltre ogni microcontrollore confronta in un confronto incrociato i propri dati di posizione e velocità

con quelli degli altri microcontrollori, anche per questo sono parametrizzabili valori limite.

– Il microcontrollore genera diversi messaggi di errore, se vengono determinate differenze o

superamenti dei valori limite.

AttenzioneL'impostazione di fabbrica dei parametri per la valutazione dell'encoder è adattata alla

risoluzione dell'encoder di posizione e all'elettronica di valutazione nel modulo di sicu

rezza.

Dovrebbero essere sostituiti solo con casi giustificati, poiché hanno influenza sul tempo

di reazione del modulo di sicurezza con il riconoscimento di movimenti pericolosi o per il

riconoscimento degli errori. Sono i cosiddetti “Parametri esperti”.



Parametri esperti per la configurazione del rilevamento sicuro dei dati e del riconoscimento dellostato di fermo

Entrambi i microcontrollori calcolano dai dati di posizione rilevati la velocità sicura e l'accelerazione.

Sono presenti i seguenti parametri per il rilevamento del numero di giri e per il riconoscimento dello

stato di fermo:

– Il monitoraggio dell'accelerazione serve per il controllo di plausibilità del rilevamento della posi

zione. Viene parametrizzata un'accelerazione, che con sicurezza non raggiunge il motore in ragione

della sua struttura. Se la rampa del numero di giri supera un limite definito attraverso l'accelera

zione massima, allora viene emesso l'errore 55-8 � sezione 5.6.

– Il filtro per il rilevamento del numero di giri/della velocità riduce i rumori sul segnale della velocità,

specialmente se viene utilizzato un encoder con segnali analogici o con risoluzione scarsa.

– Il valore di soglia e il tempo di filtraggio per il riconoscimento dello stato di fermo. Il riconoscimento

dello stato di fermo viene usato ad es. per la funzione di sicurezza SOS.

Parametri esperti per il confronto incrociato dei dati di posizioneQuesto registro contiene i parametri per il controllo della plausibilità dei dati di posizione e di velocità.

– La finestra ed il tempo di tolleranza per il confronto dei dati di posizione encoder 1 / encoder 2 at

traverso il rispettivo microcontrollore nel modulo di sicurezza.

– La finestra ed il tempo di tolleranza per il confronto dei dati di velocità encoder 1 / encoder 2 attra

verso il rispettivo microcontrollore nel modulo di sicurezza.

– La finestra ed il tempo di tolleranza per il confronto incrociato dei dati di posizione tra microcontrol

lore 1 e microcontrollore 2 sul modulo di sicurezza.

– La finestra di tolleranza per il confronto incrociato dei dati di velocità tra microcontrollore 1 e micro

controllore 2 sul modulo di sicurezza.

Se il modulo di sicurezza rileva una differenza tra i dati di posizione o velocità, il cui valore supera cos

tantemente il tempo parametrizzabile del valore parametrizzabile, allora viene emesso un errore e i

valori effettivi non sono validi.

Parametri standard per il monitoraggio del segnale di encoder sicuri con segnali analogiciQuesto registro contiene parametri per il monitoraggio dei segnali dell'encoder analogici di encoder

SIN/COS e resolver.

– Il monitoraggio dell'ampiezza e della lunghezza del vettore per i segnali del resolver e un tempo di

tolleranza per il monitoraggio.

– Filtro osservatore parametrizzabile per la valutazione del resolver.

– Il monitoraggio dell'ampiezza e della lunghezza del vettore per la valutazione degli encoder SIN/

COS e Hiperface ed un tempo di tolleranza per il monitoraggio.

Influenza dei parametri per la configurazione dell'encoder sul tempo di rispostaAlcuni parametri per la configurazione del rilevamento sicuro del numero di giri hanno influenza sul

tempo di reazione, vengono rilevati con le modifiche nel movimento.

Gli influssi hanno i seguenti parametri:



Parametri per il rilevamento del movimento e il riconoscimento degli errori, che influenzano il tempo di risposta

Parametri min. max. Regolazionedi fabbrica

P06.08 Costante di tempo del filtro per il rilevamento delnumero di giri

0,4 ms 1000 ms 8,0 ms

P06.0A Tempo di filtraggio per il riconoscimento dello stato difermo

0,0 ms 1000 ms 10,0 ms

P06.04 Tempo di tolleranza per la differenza di posizione 1 - 2 0,0 ms 1000 ms 10,0 msP06.06 Tempo di tolleranza per la differenza di velocità 1 - 2 0,0 ms 1000 ms 10,0 msP06.15 Filtro osservatore del resolver - tempo di filtraggio 0,0 ms 3 ms 1,0 msP06.13 Tempo di tolleranza del monitoraggio del segnale del

resolver0,0 ms 10 ms 1,0 ms

P06.1E Tempo di tolleranza del monitoraggio del segnale SIN/COS

0,0 ms 10 ms 1,0 ms

Tab. 2.10 Parametri per il riconoscimento degli errori nei sensori di posizione, che influenzano il tempo

di risposta

Se non si modificano le impostazioni di fabbrica è possibile semplificare i tempi di reazione con il seguente conteggio del tempo:

Rilevamento della velocità e della posizione TI < 10 ms

Riconoscimento degli errori nel rilevamento della posizione TF < 10 ms

2.3.5 Lista di tutti i parametri per la configurazione dell'encoder

Configurazione dell'encoder

N. Nome Descrizione

Parametri standardP06.00 Selezione dell'encoder di posizione 1

principaleEncoder 1 utilizzato per l'angolo

P06.0B Fattore di trasmissione contatore perencoder di posizione 1

Fattore di trasmissione / contatore numero coppia di poli

P06.0C Fattore di trasmissione denominatoreper encoder di posizione 1

Fattore di trasmissione / denominatore numerocoppia di poli

P06.01 Selezione dell' encoder di posizione 2ridondante

Encoder 2 utilizzato per l'angolo

P06.0D Fattore di trasmissione contatore perencoder di posizione 2

Fattore di trasmissione / contatore numero coppia di poli

P06.0E Fattore di trasmissione denominatoreper encoder di posizione 2

Fattore di trasmissione / denominatore numerocoppia di poli

X2BP06.19 Numero incr. / giri dell'encoder incre

mentale su X2BNumero incrementi / giri dell'encoder incrementale su X2B

Parametri espertiP06.28 Tempo di tolleranza per comunicazione

dell'encoder disturbataTempo di tolleranza per comunicazione dell'encoder disturbata




N. DescrizioneNome

X10P06.18 Numero incr. / giri dell'encoder incre

mentale su X10Numero incrementi / giri dell'encoder incrementale su X10

Rilevamento del numero di giriParametri espertiP06.07 Accelerazione massima per il monito

raggio dell'encoderAccelerazione massima che l'attuatore non raggiunge mai --> Limite di errore per controllo diplausibilità angolare

P06.08 Costante di tempo del filtro per il rilevamento del numero di giri

Costante di tempo del filtro filtro del valore effettivo del numero di giri

P06.09 Valore di soglia della velocità per il riconoscimento dello stato di fermo

Numero di giri max. per il riconoscimento dellostato di fermo

P06.0A Tempo di filtraggio per il riconoscimento dello stato di fermo

Finestra temporale per n < nmin per riconoscimento dello stato di fermo

Confronto encoder 1 - 2P06.03 Finestra di tolleranza per scostamento

della posizione encoder 1 - 2Scostamento della posizione ammesso tra encoder angolare 1 e 2

P06.04 Tempo di tolleranza per la differenza diposizione

Tempo in cui la differenza di posizione può essereal massimo di fuori del limite

P06.05 Finestra di tolleranza differenza divelocità encoder 1 - 2

Scostamento del numero di giri ammesso tra encoder angolare 1 e 2

P06.06 Tempo di tolleranza per la differenza divelocità

Tempo in cui la differenza del numero di giri puòessere al massimo di fuori del limite

Parametri espertiP1D.04 Finestra di tolleranza per posizione -

confronto incrociato μC1 - μC2Spostamento angolare ammesso tra questo processore e il partner

P1D.05 Tempo di tolleranza per posizione -confronto incrociato μC1 - μC2

Tempo in cui i valori del confronto incrociato possono essere al massimo al di fuori del limite

P1D.06 Finestra di tolleranza per velocità - confronto incrociato μC1 - μC2

Differenza del numero di giri ammessa tra questoprocessore e il partner

Monitoraggio del segnaleParametri espertiP06.11 Ampiezza del segnale resolver - limite

di errore inferioreTensione d'ingresso min. segnale seno o coseno

P06.12 Ampiezza del segnale resolver - limitedi errore superiore

Tensione d'ingresso max. segnale seno o coseno

P06.0F Resolver - limite inferiore lunghezzavettore

Tensione d'ingresso min. U = radice(sin² + cos²)

P06.10 Resolver - limite superiore lunghezzavettore

Tensione d'ingresso max. U = radice(sin² + cos²)

P06.13 Tempo di tolleranza del monitoraggiodel segnale del resolver

Tempo massimo del monitoraggio di segnale diun segnale del resolver al di fuori dei limiti, primache venga emesso un errore.

P06.15 Tempo di filtraggio della valutazionedel resolver

Tempo di filtraggio per il filtro osservatore

P06.1C Ampiezza del segnale SIN/COS - limitedi errore inferiore

Tensione d'ingresso min. segnale seno o coseno




N. DescrizioneNome

P06.1D Ampiezza del segnale SIN/COS - limitedi errore superiore

Tensione d'ingresso max. segnale seno o coseno

P06.1A SIN/COS - limite inferiore lunghezzavettore

Lunghezza vettore radice(sin² + cos²) min.

P06.1B SIN/COS - limite superiore lunghezzavettore

Lunghezza vettore radice(sin² + cos²) max.

P06.1E Tempo di tolleranza monitoraggio ampiezza di segnale

Tempo massimo del segnale al di fuori dei limiti,prima che venga emesso un errore.

Tab. 2.11 Configurazione dell'encoder

2.4 Ingressi digitali

2.4.1 PanoramicaIl modulo di sicurezza dispone di innumerevoli ingressi ed uscite digitali per il collegamento di sensori

passivi e attivi. Le funzioni di sicurezza vengono richieste attraverso gli ingressi sicuri a due canali.

Per le seguenti descrizioni è necessario definire alcuni termini:

Definizione Significato

Tempo di discrepanza Il tempo massimo entro il quale i due canali di un ingresso sicuro possono

trovarsi in stati antivalenti senza che la tecnica di sicurezza attivi una rea

zione all'errore.

Tempo del filtro di

ingresso

Tempo i cui gli impulsi di guasto e di prova, ad es. dei sensori attivi collegati,

non vengono riconosciuti.

Funzione di sicurezza

in stato OFF

La funzione degli ingressi può essere configurata liberamente in una vasta

gamma. Con la configurazione l'utente deve assicurarsi che lo stato sicuro

venga raggiunto con ingressi senza tensione (rispettare il principio della

corrente di riposto!).

Funzione di comando

in stato ON

La funzione degli ingressi può essere configurata liberamente in una vasta

gamma. Le funzioni di comando richiedono l'azionamento attivo / il cablag

gio dell'ingresso di comando con 24 V, per attivare la reazione desiderata

(esempio: Tacitazione degli errori, riavvio, selettore dei tipi di funzionamen

to). Allo scopo il principio della corrente di riposo non sarebbe sicuro!

Segnali di ingresso

equivalenti

Un ingresso sicuro è composto da due linee di pilotaggio, che commutano

contemporaneamente HIGH o LOW (ingressi con commutazione comune).

Segnali di ingresso

antivalenti

Un ingresso sicuro è composto da due linee di pilotaggio, che commutano

contrariamente HIGH o LOW. In ogni momento (ad eccezione del tempo di

discrepanza) solo un ingresso è contemporaneamente su HIGH o LOW

(ingressi con commutazione diversa).

Tab. 2.12 Termini



Sensori passivi (a due canali)I sensori passivi sono elementi di contatti di commutazione a due canali. I cavi di collegamento e la

funzione dei sensori devono essere monitorati.

I contatti possono avere commutazione antivalente e equivalente (secondo la norma per il rispettivo

elemento di commutazione). Malgrado ciò le funzioni di sicurezza vengono attivate non appena viene

commutato almeno un canale.

Esempio per sensori passivi:

– apparecchi di commutazione arresto d'emergenza (sempre equivalente)

– interruttore contatto porta (sia antivalente che equivalente)

– tasto di consenso (sia antivalente che equivalente)

– unità di gestione e visualizzazione a due mani

– selettore dei modi operativi (1 da selezione N)

I seguenti errori vengono riconosciuti dal modulo di sicurezza con sensori passivi:

– Segnali di ingresso antivalenti o equivalenti dopo lo scadere del tempo di discrepanza, a seconda

del tipo di sensore e della parametrizzazione

– Con alimentazione tramite un'uscita sicura del modulo di sicurezza:

Cortocircuiti dopo +24 V e 0 V dovuti alla mancanza degli impulsi di prova.

I sensori passivi, che attivano un arresta d'emergenza dell'impianto (STO, SBC, SS1)

devono essere realizzati secondoEN 60204-1 “ad apertura forzata” e parametrizzati

come ingressi equivalenti.

Tipi di sensore

Funzione Apparecchio di

commutazione

arresto

d'emergenza

Interruttore

contatto porta

Pulsante di

abilitazione

Unità di ges

tione e visua

lizzazione a

due mani

Selettore dei

tipi di fun

zionamento

Simbolo

Ingresso DIN40A/B …

DIN43A/B

DIN40A/B …

DIN43A/B

DIN40A/B …

DIN43A/B

DIN40A/B …

DIN43A/B

DIN45,

DIN46,

DIN47

Uscita DOUT40A/B … DOUT42A/B (cicloA/B) +24 V1)

1) Può essere alimentato anche con impulsi di prova da DOUT40 … 42.

Tab. 2.13 Assegnazione dei sensori agli ingressi e alle uscite (esempi)

Apparecchio di commutazione arresto d'emergenzaL'apparecchio di commutazione per l'arresto d'emergenza viene utilizzato di solito per attivare l'arresto

d'emergenza, nella maggior parte dei casi viene attivata la funzione di sicurezza STO o SS1.

Interruttore contatto portaViene monitorato se viene aperta / superata una porta di protezione, una barriera fotoelettrica o simili.



Tasto di consensoIl tasto di consenso viene usato, di norma, nella messa a punto.

Esempio: Nella messa a punto è ammesso lo spostamento della macchina con porta di protezione aper

ta con la funzione SLS, non appena viene azionato il tasto di consenso. Il tasto di consenso annulla

momentaneamente una funzione di sicurezza, che viene sostituita temporaneamente da un'altra fun

zione di sicurezza. La funzione del tasto di consenso viene raggiunta attraverso la rispettiva parametriz

zazione della logica (richiesta, conclusione della richiesta) delle funzioni di sicurezza.

Le seguenti funzioni logiche sono assegnate a ingressi determinati:

Unità di gestione e visualizzazione a due mani (DIN42A/B e DIN43A/B)

L'unità di gestione e visualizzazione a due mani viene utilizzata nell'applicazione, al momento in cui il

gestore deve abilitare il movimento con due mani, non appena è al di fuori della zona di pericolo. L'uni

tà di gestione e visualizzazione a due mani occupa due coppie di ingressi sicure. Anche qui la funzione

di sicurezza, ad es. SS1, può essere sovrascritta da un'altra funzione, ad es. SLS. La funzione dell'unità

di gestione e visualizzazione a due mani (monitoraggio di due ingressi) è implementata come funzione

logica fissa nel modulo di sicurezza, la commutazione della funzione di sicurezza viene raggiunta attra

verso la rispettiva parametrizzazione della logica (richiesta, conclusione della richiesta) delle funzioni

di sicurezza.

Selettore dei tipi di funzionamento (DIN45, DIN46, DIN47)Serve per la selezione del modo operativo, vengono supportati i seguenti modi operativi:

– esercizio normale / modo operativo 1

– esercizio di preparazione / modo operativo 2

– esercizio speciale / modo operativo 3

Attenzione: La definizione dei modi operativi si orienta in base alle norme C per le rispettive macchine.

La funzione del selettore dei tipi di funzionamento è implementata come funzione logica fissa nel

modulo di sicurezza, la commutazione della funzione di sicurezza viene raggiunta attraverso la rispetti

va parametrizzazione della logica (richiesta, conclusione della richiesta) delle funzioni di sicurezza.

RiavvioAttraverso l'ingresso di riavvio possono essere resettate le funzioni di sicurezza, che non vengono più

richieste al momento dell'azionamento dell'ingresso. Per il riavvio è previsto DIN49, ma può essere

parametrizzato qualsiasi altro ingresso come ingresso di riavvio.

Esempio:

– SS1 viene richiesta tramite arresto d'emergenza, SS2 tramite l'interruttore di contatto della porta.

– ora viene tolto arresto d'emergenza, la porta resta aperta.

=> Con l'azionamento del tasto di riavvio, l'impianto resta fermo con funzione di sicurezza SS2 e può

ripartire immediatamente al momento della chiusura della porta di protezione.



Sensori attivi (a due canali)I sensori attivi sono unità con uscite a semiconduttore a due canali (uscite OSSD). Il modulo di sicurez

za supporta sensori attivi con segnali di uscita equivalenti / antivalenti e con / senza uscite per gli im

pulsi di prova. Con la tecnica di sicurezza integrata della serie di apparecchi CMMP-AS-...-M3 sono am

messi gli impulsi di prova per il monitoraggio delle uscite e dei cavi. I sensori a commutazione positiva/

negativa commutano cavi positivi e negativi o cavi di segnale e di massa di un segnale del sensore.

Le uscite devono commutare contemporaneamente. Malgrado ciò le funzioni di sicurezza vengono

attivate non appena viene commutato almeno un canale.

Esempio per sensori attivi:

– barriera fotoelettrica

– scanner laser

– comandi

Questi errori vengono riconosciuti con sensori attivi:

– Segnali di ingresso antivalenti o equivalenti dopo lo scadere del tempo di discrepanza, a seconda

del tipo di sensore e della parametrizzazione

Sensori passivi e attivi (a un canale)

I sensori a un canale vengono utilizzati per il comando sequenziale e per i segnali di conferma e la diagnosi.

Esempio per sensori passivi:

– contatto di feedback di un'unità di bloccaggio esterna,

– pulsante per la tacitazione di errori presenti,

– pulsante per il riavvio.

Le combinazioni di sensori a un canale possono essere utilizzati anche per il comando delle funzioni di

sicurezza, esempio:

– selettore dei modi operativi (1 da selezione N).

Questi errori vengono riconosciuti con sensori passivi a un canale:

– Con alimentazione tramite un'uscita sicura del modulo di sicurezza:

Cortocircuiti dopo +24 V e 0 V dovuti alla mancanza degli impulsi di prova

Tipi di sensore ammessiTab. 2.14 mostra una panoramica dei tipi di sensori ammessi sugli ingressi digitali.



Tipo di sensore ammesso DIN... 40 41 42 43 44 45 46 47 48 49

a due canali a un canale

1: Ingresso a due canali generale X X X X

2: Dispositivo di commutazione

arresto d'emergenza

X1) X X X

3: Pulsante di abilitazione X X X X

4: Unità di gestione e visualizza

zione a due mani2)X X X X

5: Pulsante di start X X X X

6: Bloccaggio porta X X X X

7: Interruttore di riferimento sicuro X X X X

8: Barriera fotoelettrica X X X X

9: Segnale di conferma comando

fremo

X X X X X1) X X X

10: Ingresso ad un canale generale X X X X X X X X

11: Selettore dei tipi di

funzionamento2)X X X X X1) X1) X1)

12: Tacitazione di errori X X X X X1)

13: Riavvio X X X X X1)

1) Impostazione di fabbrica (informazioni sull'impostazione di fabbrica e sullo stato di fornitura � sezione 4.4.1 e 4.4.2)

2) Con l'attivazione della funzione logica nel SafetyTool devono essere adeguatamente configurati i relativi ingressi.

Tab. 2.14 Panoramica dei tipi di sensori ammessi sugli ingressi digitali



2.4.2 Ingressi sicuri a due canali DIN40 … DIN43 [X40]

Utilizzo

Gli ingressi digitali DIN40..DIN43 sono realizzati a due canali (DIN40A/B … DIN43A/B).

Servono per la richiesta delle funzioni di sicurezza fino cat. 4 / PL e o SIL3 e sono quindi

realizzati nell'architettura 1oo2.

Per la richiesta delle funzioni di sicurezza vengono connessi gli ingressi logici interni asse

gnati con la relativa funzione di sicurezza.

Funzione

Fig. 2.6 mostra lo schema a blocchi di un ingresso. La funzione è spiegata a seguire per DIN40.

Gli ingressi da DIN40 a DIN43 sono strutturati in modo identico.

LIN_D40/41/...

[57-0] IO_ERR

DIN40A/41A/...

P02.04/09/0E/13

DIN40 ... DIN43

COMPA-RATOR+ TIMER+ LOGIC

GLITCHFILTER

LPF

[57-1] IO_ERRDIN40B/41B/...

GLITCHFILTER

LPF

P02.05/0A/0F/14P02.06/0B/10/15P02.07/0C/11/16P02.08/0D/12/17

Fig. 2.6 Schema a blocchi degli ingressi sicuri a due canali


DIN40A/..., DIN40B/... Ingressi digitali a due canali DIN40A/DIN40B ...

GLITCH FILTER Filtro per impulsi di disturbo

LPF Low-pass filter, filtro passa basso

COMPARATOR + TIMER + LOGIC Comparatore, timer e logica

LIN_x Ingressi logici ...



I livelli di segnale sugli ingressi DIN40A e DIN40B vengono prima schermati con pre-filtro CEM (“Glitch

Filter”). La costante di tempo del filtro è 500 μs e non è parametrizzabile.



A questo primo filtro segue, per ogni segnale di ingresso, un secondo filtro passa basso “LPF” paramet

rizzabile attraverso il parametro “Costante del tempo di filtraggio” (P02.04/...), realizzato come Mono-

Flop programmabile. Serve per i seguenti scopi:

– filtraggio di impulsi di prova esterni, ad es. sensori attivi con uscite OSSD.

– filtraggio di impulsi di prova di DOUT4x in caso di sensori passivi.

– filtraggio di rimbalzo di contatto.

In una logica collegata a valle con comparatore viene formato, dai due segnali di ingresso A e B, il se

gnale di comando logico LIN_D40. In questa parte vengono valutati anche gli impulsi di prova sull'in

gresso. Per la richiesta delle funzioni di sicurezza viene connesso l'ingresso logico con la relativa fun

zione di sicurezza (LIN_D40 = 1 corrisponde alla funzione di sicurezza richiesta).

Attraverso il parametro “Tipo di sensore” (P02.24/...) può essere selezionato un tipo di sensore.

Con il parametro “Modo operativo” (P02.06/...) possono essere utilizzati gli ingressi in tre diversi modi

operativi:

– Modo operativo = “Non utilizzato” (P02.06/... = 0), l'ingresso non viene utilizzato. Il segnale di

ingresso logico LIN_D40 è permanentemente 0.

– Modo operativo = “Equivalente” (P02.06 = 1), ingresso a commutazione equivalente: Gli ingressi A

e B di un canale devono sempre presentare lo stesso livello di segnale. Il segnale di ingresso logico

LIN_D40 è inverso al livello del segnale su DIN40, come mostra Tab. 2.16.

Ingresso DIN40/ … /43 equivalente Stato a riposo Funzione di sicurezza richiesta

DIN40A / … / 43A 24 V 0 V

DIN40B / … / 43B 24 V 0 V

Stato LIN_D40 / … /43 0 1

Tab. 2.16 Ingressi a commutazione equivalente

L'inversione dello stato logico corrisponde al principio della corrente di riposo. Utilizzare

gli ingressi anche esclusivamente in base al principio della corrente di riposo e richiedere

lo stato sicuro tramite 0 V sull'ingresso.

– Modo operativo = “Antivalente” (P02.06 = 2), ingresso a commutazione antivalente: Gli ingressi A e

B di un canale devono sempre presentare un livello di segnale opposto. Il segnale di ingresso logico

LIN_D40 è inverso al livello del segnale su DIN40A, come mostra Tab. 2.17.

Ingresso DIN40/ … /43 antivalente Stato a riposo Funzione di sicurezza richiesta

DIN40A / … / 43A 24 V 0 V

DIN40B / … / 43B 0 V 24 V

Stato LIN_D40 / … /43 0 1

Tab. 2.17 Ingressi a commutazione antivalente

I sensori passivi, che attivano un arresta d'emergenza dell'impianto (STO, SBC, SS1)

devono essere realizzati secondo EN 60204-1 “ad apertura forzata” e parametrizzati

come ingressi equivalenti.



Identificazione di erroriIl livello degli ingressi A e B può essere diverso per un tempo parametrizzabile (“Tempo di discrepan

za”, P02.05/...) dagli stati rappresentati in Tab. 2.16 e Tab. 2.17, se la differenza dura più a lungo, viene

segnalato l'errore “[57-1] Ingressi digitali - Errore livello di segnale” (tempo di discrepanza).

Gli ingressi A e B possono essere monitorati mediante gli impulsi di prova. La selezione della fonte degli

impulsi di prova avviene tramite il parametro “Fonte per gli impulsi di prova” (P02.07/...). Se un impul

so di prova resta spento o segnala un cortocircuito nella logica di ingresso, viene segnalato l'errore

“[57-0] Autotest I/O (interno/esterno)”.

In caso di errore l'ingresso logico LIN_D40 passa a 1 (funzione di sicurezza richiesta).

AttenzioneUn errore riconosciuto viene trasmesso, tramite i segnali di errore rappresentati nello

schema a blocchi, alla gestione degli errori. La reazione all'errore è impostabile (solo

allarme, STO, SS1, SS2...). Per l'ulteriore lavorazione, l'ingresso logico LIN_D40 assu

me, in questo caso, lo stato 1.

L'utente deve far sì che un errore (gestione degli errori) porti allo stato sicuro dell'intero

sistema.

Diagrammi di timingFig. 2.7, Fig. 2.8, Fig. 2.9 e Fig. 2.10 mostrano i relativi diagrammi di timing di un ingresso a due canali,

rispettivamente per parametrizzazione equivalente e antivalente.

DIN40A

P02.05

DIN40B

LIN_D40

RSFP02.04

Ts < 2,5 ms

P02.08 = 1 P02.08 = 0

P02.07

P02.07

Request Safety Function – Equivalent (P02.06 = 1)

Ts < 2,5 ms

ERRORDISCREPANCE

Fig. 2.7 Diagramma di timing di un ingresso sicuro a due canali equivalente – Avvio della richiesta

(DIN40)



DIN40A

DIN40B

ERRORDISCREPANCE

LIN_D40

CSF

P02.07

P02.07

P02.04

Ts < 2,5 ms

Ts < 2,5 ms

P02.04 P02.05

Release Safety Function request – Equivalent (P02.06 = 1)

Fig. 2.8 Diagramma di timing di un ingresso sicuro a due canali equivalente – Conclusione della

richiesta (DIN40)


RSF: Request Safety Function Richiesta della funzione di sicurezza

CSF: Release Safety Function request Conclusione della richiesta della funzione di sicurezza

Error Discrepance Errore di discrepanza

Tab. 2.18 Legenda per Fig. 2.7 e Fig. 2.8



P02.05

DIN40A

DIN40B

LIN_D40

RSFP02.04

Ts < 2,5 ms

P02.08 = 1 P02.08 = 0

P02.07

P02.07

Request Safety Function – Antivalent (P02.06 = 2)

Ts < 2,5 ms

ERRORDISCREPANCE

Fig. 2.9 Diagramma di timing di un ingresso sicuro a due canali antivalente – Avvio della richiesta

(DIN40)

ERRORDISCREPANCE

DIN40A

DIN40B

LIN_D40

CSF

P02.07

P02.07

P02.04

Ts < 2,5 ms

Ts < 2,5 ms

P02.04 P02.05

Release Safety Function request – Antivalent (P02.06 = 2)

Fig. 2.10 Diagramma di timing di un ingresso sicuro a due canali antivalente – Conclusione della

richiesta (DIN40)


RSF: Request Safety Function Richiesta della funzione di sicurezza

CSF: Release Safety Function request Conclusione della richiesta della funzione di sicurezza

Error Discrepance Errore di discrepanza

Tab. 2.19 Legenda per Fig. 2.9 e Fig. 2.10



Attraverso il parametro “Richiesta di rilevamento rapido” (P02.08/...) può essere attivato un rilevamen

to rapido di una richiesta di sicurezza. Se entrambi gli ingressi DIN40A e DIN40B cambiano contempo

raneamente il livello, lo stato di commutazione viene trasmesso, in alcune condizioni del filtro “LPF” al

segnale logico LIN_D40. Con con impulsi di prova relativamente lunghi e costanti di tempo grandi del

filtro è possibile un riconoscimento rapido della richiesta di una funzione di sicurezza.

A partire dalla richiesta di una funzione di sicurezza tramite DIN40 ... DIN43 trascorrono i seguenti

tempi finché l'ingresso logico LIN_D... e la funzione di sicurezza diventino attivi:

Tempi di ritardo dal cambio di livello Minimo Massimo Tipico

Ts 0,5 ms 2,5 ms 1,5 ms

“Costante di tempo del filtro” (P02.04/09/0E/13) 1,0 ms 1000,0 ms 3,0 ms

Tempo di reazione con “Richiesta di rilevamento rapido” = 0

(P02.08/P02.0D/P02.12/P02.17 = 0)

1,5 ms 12,5 ms 4,5 ms


(P02.08/P02.0D/P02.12/P02.17 = 1)

0,5 ms 2,5 ms 1,5 ms

Tab. 2.20 Tempi di ritardo DIN40 … DIN43

Parametri per gli ingressi digitali a due canali

N. parametro per l'ingresso ... Nome Descrizione

DIN40 DIN41 DIN42 DIN43

P02.24 P02.25 P02.26 P02.27 Tipo di sensore Riconoscimento del sensore colle

gato a DIN4x.

P02.06 P02.0B P02.10 P02.15 Modo operativo Modalità: 0 = inutilizzato, 1 = equi

valente, 2 = antivalente

P02.05 P02.0A P02.0F P02.14 Tempo di discrepanza Tempo di discrepanza.

P02.07 P02.0C P02.11 P02.16 Fonte per impulso di

prova

Selezione dell'uscita che fornisce

gli impulsi di prova.

Parametri esperti

P02.04 P02.09 P02.0E P02.13 Costante di tempo del

filtro

Costante di tempo del filtro.

P02.08 P02.0D P02.12 P02.17 Richiesta di rilevamento

rapido

Utilizzare il disinserimento rapido

con livello Low su DIN4xA e DIN4xB.

Tab. 2.21 Parametri ingressi digitali a due canali

Tab. A.10 � nell'appendice A.1 descrive i dati tecnici per gli ingressi di comando nel cam

po di funzionamento delle tensioni logiche secondo EN 61131-1.



2.4.3 I ingressi digitali a un canale (sicuri) DIN44 … DIN49 [X40]

Utilizzo

Gli ingressi digitali DIN44..DIN49 sono realizzati a un canale. Sono adatti per il collega

mento di interruttori passivi e sensori attivi.

Utilizzare gli ingressi a un canale come ingressi diagnostici per le funzioni di controllo, che

richiedono solo un ingresso a un canale, o in combinazione con più ingressi per la richie

sta di funzioni di sicurezza.

Con l'utilizzo di sensori a due conduttori attivi senza diagnosi propria:

Se il sensore a due conduttori attivo non viene azionato, non avvengono tutte le prove

necessarie attraverso il modulo di sicurezza. Per questo è necessario, per il controllo

funzionale, un azionamento regolare. Si consiglia un azionamento ogni 8 ore o uno per

ogni turno di lavoro, tuttavia almeno uno ogni 24 ore (� A.1.4, Tab. A.10).

Per richiedere e disattivare le funzioni di sicurezza possono essere utilizzati solo gli in

gressi a due canali DIN40 … DIN43 o combinazioni logiche adatte di ingressi a un canale.

FunzioneFig. 2.11 mostra lo schema a blocchi degli ingressi a un canale. La funzione è spiegata a seguire per

DIN44. Gli ingressi da DIN44 a DIN49 sono strutturati in modo identico.

LIN_D44/45/...

[57-0] IO_ERR

DIN44/45/...

P02.18/...

DIN44 ... DIN49

COMPA-RATOR+ LOGIC

GLITCHFILTER

LPF

P02.18/1A/...

P02.19/1B...

Fig. 2.11 Schema a blocchi degli ingressi a un canale




DIN40A/..., DIN40B/... Ingressi digitali a due canali DIN40A/DIN40B ...

GLITCH FILTER Filtro per impulsi di disturbo

LPF Low-pass filter, filtro passa basso

COMPARATOR + LOGIC Comparatore e logica

LIN_x Ingressi logici ...



I livelli di segnale sugli ingressi DIN44 e DIN49 vengono prima schermati con pre-filtro CEM, “Glitch

Filter”. La costante di tempo del filtro è 500 μs e non è parametrizzabile.

A questo primo filtro segue, per ogni segnale di ingresso, un secondo filtro “LPF” parametrizzabile at

traverso il parametro “Costante del tempo di filtraggio” (P02.18), realizzato come Mono-Flop program

mabile. Serve per i seguenti scopi:

– filtraggio di impulsi di prova esterni, ad es. sensori attivi con uscite OSSD.

– filtraggio di impulsi di prova di DOUT4x in caso di sensori passivi.

– filtraggio di rimbalzo di contatto.

In una logica collegata a valle con comparatore viene formato, dai segnali di ingresso, il segnale di

comando logico LIN_D44/.../49 (LIN_D44/.../49 = 1 corrisponde alla funzione di comando richiesta).

In questa parte vengono valutati anche gli impulsi di prova sull'ingresso.

Attraverso il parametro “Tipo di sensore” (P02.28 ... P02.2D) può essere selezionato il tipo di sensore.

Ingresso DIN44/ … /49 Stato a riposo Funzione di comando richiesta

DIN44 / … / 49 0 V 24 V

Stato LIN_D44 / … /49 0 1

Tab. 2.23 Ingressi a commutazione antivalente

Lo stato logico rappresenta direttamente il livello di tensione sull'ingresso – al contrario

degli ingressi a due canali DIN40…DIN43, che seguono il principio della corrente di ripo

so! Gli ingressi sono quindi dimensionati per le funzioni di controllo, come i selettori dei

tipi di funzionamento, che richiedono una logica positiva.

Se si desiderano utilizzare gli ingressi a un canale o la loro combinazione per la richiesta

delle funzioni di sicurezza, occorre osservare il principio della corrente di riposo:

Utilizzare il segnale logico invertito per la richiesta della funzione di sicurezza, come

esempio:



Identificazione di erroriGli ingressi possono essere monitorati mediante gli impulsi di prova. La selezione della fonte degli im

pulsi di prova (DOUT40 a DOUT42) avviene tramite il parametro “Fonte per gli impulsi di prova”

(P02.19/...). Se un impulso di prova resta spento o segnala un cortocircuito nella logica di ingresso,

viene segnalato l'errore “[57-0] Autotest I/O (interno/esterno)”.

In caso di errore l'ingresso logico LIN_D44 passa a 1 (funzione di comando richiesta).

AttenzioneUn errore riconosciuto viene trasmesso, tramite i segnali di errore rappresentati nello

schema a blocchi, alla gestione degli errori. La reazione all'errore è impostabile (solo

allarme, STO, SS1, SS2...). Per l'ulteriore lavorazione, l'ingresso logico LIN_D44 assu

me, in questo caso, lo stato 1.

L'utente deve far sì che un errore (gestione degli errori) porti allo stato sicuro dell'intero

sistema.

Parametri per gli ingressi digitali a un canale

N. parametro per l'ingresso ... Nome Descrizione

DIN44 DIN45 DIN46 DIN47 DIN48 DIN49

P02.28 P02.29 P02.2A P02.2B P02.2C P02.2D Tipo di sensore Riconoscimento del sen

sore collegato a DIN4x.

P02.19 P02.1B P02.1D P02.1F P02.21 P02.23 Fonte per impul

so di prova

Selezione dell'uscita che

fornisce gli impulsi di

prova.

Parametri esperti

P02.18 P02.1A P02.1C P02.1E P02.20 P02.22 Costante di tem

po del filtro

Costante di tempo del

filtro

Tab. 2.24 Ingressi digitali

Diagramma di timingFig. 2.12 mostra il relativo diagramma di timing di un ingresso a un canale:



DIN44

Digital Input DIN44

LIN_D44

P02.18

Ts < 2,5 ms

P02.19

DIN44

LIN_D44

P02.18

Ts < 2,5 ms

P02.19

High -> Low

Low -> High

Fig. 2.12 Diagramma di timing ingresso a un canale (esempio DIN44)

A partire dalla richiesta della funzione di sicurezza tramite DIN44 … DIN49 trascorrono i seguenti tempi

finché l'ingresso logico LIN_D... viene commutato attivamente:

Tempi di ritardo dal cambio di livello Minimo Massimo Tipico

Ts 0,5 ms 2,5 ms 1,5 ms

Costante di tempo del filtro (P02.18/1A/1C/1E/20/22) 1,0 ms 10,0 ms 3,0 ms

Tempo di reazione 1,5 ms 12,5 ms 4,5 ms

Tab. 2.25 Tempi di ritardo DIN44 … DIN49

Tab. A.10 � nell'appendice A.1 descrive i dati tecnici per gli ingressi di comando nel cam

po di funzionamento delle tensioni logiche secondo EN 61131-1.



2.5 Funzioni di sicurezza

Le funzioni di sicurezza hanno una struttura divisa in due che si conia in tutte le funzioni:

VOUT_xxx_SFR

[5x-x] xxx_ERR

Safety Function

1

VOUT_xxx_SSR

Logic Input Signals

&

&

&

...

...

......

...

VIN

VIN_xxx_RSF

VIN_xxx_CSF

Logic Safety Function

Fig. 2.13 Schema a blocchi struttura generale delle funzioni di sicurezza


Logic Input Signals Segnali di ingresso logici

Logic Logica, configurabile con le funzioni di sicurezza attraverso i termini di

prodotto

Safety Function Funzione di sicurezza

VIN_xxx_RSF Ingresso virtuale: Richiesta funzione di sicurezza xxx (Request Safe

ty Function)

VIN_xxx_CSF Ingresso virtuale: Conclusa richiesta funzione di sicurezza xxx

(Clear Safety Function request)

VOUT_xxx_SFR Uscita virtuale: Funzione di sicurezza xxx richiesta (Safety Function requested)

VOUT_xxx_SSR Uscita virtuale: Funzione di sicurezza xxx stato sicuro raggiunto

(Safe State Reached)

[5x-x] xxx_ERR Segnale di errore interno: Errore 5x-x


Componente logica (parte sinistra)Attraverso una funzione logica configurata (elemento AND , o OR in forma normale disgiuntiva) viene

definito quali segnali di ingresso (LIN_x) devono essere commutati alla funzione di sicurezza per:

– la richiesta della funzione di sicurezza, segnale VIN_xxx_RSF (Request Safety Function)

– la conclusione della richiesta della funzione di sicurezza, segnale VIN_xxx_CSF (Clear Safety Function)

– la selezione dei segnali di feedback ammessi (ad es. con SBC)



La logica di ingresso per la funzione STO può essere visualizzata nel SafetyTool nel regi

stro “Richiesta” per l'esempio come segue:

La funzione STO viene richiesta tramite DIN40, se il selettore di tipi di funzionamento DIN45 è

attivo o tramite DIN41, se il selettore dei tipi di funzionamento DIN45 non è attivo.

Per ogni ingresso VIN... è disponibile un elemento OR con quattro ingressi ed elementi

AND collegati di fronte con sette ingressi. Tutti i segnali possono anche essere invertiti.

Ogni richiesta della funzione di sicurezza ha priorità rispetto alla conclusione della richiesta.

Ciò significa: Finché è presente uno dei segnali xxx_RSF (Request Safety Function), la funzioni di sicu

rezza non può essere conclusa da un segnale xxx_CSF (Clear Safety Function).

Funzione di sicurezza (parte destra)Finché viene richiesta la funzione di sicurezza, essa esegue in modo sicuro il rispettivo monitoraggio

delle grandezze di stato dell'attuatore. Essa contiene le funzioni logiche e sequenziali necessarie, che

possono essere parametrizzate.

Con il fronte di risalita della richiesta, vengono inizializzate la logica e la funzione sequenziale, così

vengono calcolati ad esempio i valori iniziali per le rampe di frenatura.

La funzione di sicurezza considera lo stato attuale dell'attuatore (posizione, velocità) e genera diverse

segnalazioni di stato e segnali di comando. A seguire sono descritte in breve le funzioni più importanti:

– attraverso un parametro viene definito se deve aver luogo o meno un riavvio automatico dopo il

disinserimento della richiesta.

– le funzioni di stop possiedono un ulteriore ingresso di comando per la richiesta della funzione di

sicurezza – questo ingresso ERR_xxx_RSF viene memorizzato direttamente sulla gestione degli

errori, in quanto le funzioni di arresto possono essere richieste anche come reazione all'errore della

gestione degli errori.

– Alcune funzioni di sicurezza possono essere richieste direttamente da altre funzioni di sicurezza,

così STO viene attivata al termine della rampa di frenatura di una funzione SS1 automaticamente da

questa, ma anche automaticamente con essa disattivata.

Ogni funzione di sicurezza mette a disposizione almeno i seguenti segnali di uscita

– la segnalazione di stato VOUT_xxx_SFR, funzione di sicurezza xxx richiesta,

– la segnalazione di stato VOUT_xxx_SSR, stato sicuro xxx raggiunto,

– almeno un messaggio di errore xxx_ERR in caso di una violazione della condizione di sicurezza.

Così alcune funzioni di sicurezza mettono a disposizione ulteriori segnali di comando, ad es.



– per il comando diretto dell'hardware, ad es. l'alimentazione del driver o l'uscita del freno di arresto

per il comando sicuro del freno,

– per la richiesta di funzioni di sicurezza collegate a valle, z. B. STO_SBC_RSF.

Questi segnali di uscita possono essere trasmessi come segnalazione di stato al comando

funzionale, possono essere utilizzati tramite uscite sicure per il comando di centraline di

sicurezza esterne, in modo che venga comandata ad es. un'unità di bloccaggio esterna.

Le funzioni di sicurezza per il monitoraggio del movimento utilizzano inoltre la velocità sicura rilevata

(ACTUAL_SPEED) o la posizione sicura rilevata (ACTAL_POSITION) per il monitoraggio. Esse comandano

la velocità ammessa nella parte funzionale del controllore motore tramite la limitazione della velocità

(SPEED_LIMIT).

Le funzioni di sicurezza vengono configurate attraverso una serie di parametri, sono impostabili:

– le rampe di velocità,

– i valori di monitoraggio per la velocità e la posizione,

– i tempi di ritardo.

Altre opzioni impostabili sono:

– il comportamento per il riavvio.

– il modo in cui interviene il modulo di sicurezza nel funzionamento dell'apparecchio di base:

– non interviene in modo attivo ma monitora solo.

– comanda l'arresto rapido nell'apparecchio di base e provoca un arresto rapido dell'apparecchio

di base mentre monitora la procedura di frenatura.

– riduce attivamente la velocità nell'apparecchio di base e monitora contemporaneamente il ri

spetto dei valori limite.

EN 61800-5-2 definisce le diverse funzioni di sicurezza per il regolatore dell'attuatore.

Definisce anche tre metodi per il monitoraggio della procedura di frenatura. Attraverso la

configurazione sopra descritta, il modulo di sicurezza supporta tutti i metodi elencati

nella norma.

Il modulo di sicurezza supporta le funzioni di arresto e movimento sicure descritte nelle

seguenti sezioni � sezione 2.2.3, Tab. 2.4.



2.5.1 STO – Coppia disinserita in sicurezza (Safe Torque Off )

Applicazione

La funzione qui descritta realizza la funzione di sicurezza STO secondo EN 61800-5-2

(categoria stop 0 da EN 60204-1).

Utilizzare la funzione “Momento disattivato in modo sicuro” (“Safe Torque Off ”, STO) se si

desidera disattivare in modo sicuro durante l'applicazione l'alimentazione al motore, ma

non sussiste alcuna ulteriore richiesta per l'arresto mirato dell'attuatore.

La funzione STO è attivata attraverso l'impostazione di fabbrica (parametrizzazione preli

minare).

Dato che la funzione viene utilizzata attraverso altre funzioni (richiesta attraverso SS1 o

reazione all'errore con violazione di altre funzioni di sicurezza richieste) di principio essa

non è selezionabile.

FunzioneLa funzione “Momento disattivato in modo sicuro” disattiva l'alimentazione del driver per i semicondut

tori di potenza, impedendo così che il modulo terminale di potenza fornisca l'energia richiesta dal

motore.

Con funzione di sicurezza attiva STO “Safe Torque Off ” l'alimentazione di energia all'attuatore è inter

rotta in modo sicuro. L'attuatore non può più generare alcuna coppia e quindi nessun movimento peri

coloso. In caso di carichi sospesi si devono adottare misure supplementari per impedire la caduta del

carico (ad es. unità di bloccaggio meccaniche). Nello stato STO „Safe Torque Off“ non avviene alcun

monitoraggio della posizione d'arresto.

L'arresto della macchina deve essere provocato in sicurezza e garantito. Ciò vale soprattutto per gli assi

verticali senza macchina autobloccante o compensazione del peso.

AttenzioneSussiste il pericolo di avvio con uno scossone dell'attuatore con errori multipli nel

CMMP-AS-...-M3.

Se durante lo stadio STO viene a mancare lo stadio finale del controllore motore (corto

circuito contemporaneo di 2 semiconduttori di potenza in fasi diverse), ciò può causare

un movimento di arresto limitato del rotore. L'angolo di rotazione / la corsa corrisponde

ad un passo polare. Esempi:

– asse rotativo, macchina sincrona, ad 8 poli � Movimento 45° sull'albero motore.

– motore lineare, passo polare 20 mm � Movimento 20 mm sulle parti azionate.

La funzione STO (Safe Torque Off) non protegge dalle scosse elettriche ma esclusivamente da

movimenti pericolosi! Non avviene alcuna separazione dell'attuatore dall'alimentazione elettri

ca ai sensi della sicurezza elettrica � descrizione hardware, GDCP-CMMP-M3-HW-...



La logica per la richiesta della funzione di sicurezza STO è rappresentata nello schema a blocchi a seguire:

VOUT_PS_EN

[54-5] STO_ERR

SS1_STO_RSF

VIN_STO_RSF

ERR_STO_RSF

VIN_STO_CSF

P0A.00

Safety Function STO

TIMERS

R

Q

STO_SBC_RSF1

1 1

P0A.0x

VOUT_STO_SFR

VOUT_STO_SSR

Fig. 2.14 Schema a blocchi STO

Termine/Abbreviazione

Spiegazione

Safety Function STO Funzione di sicurezza STO

SS1_STO_RSF Segnale interno: Richiesta STO attraverso SS1

ERR_STO_RSF Segnale interno: Richiesta STO attraverso la reazione all'errore

VIN_STO_RSF Ingresso virtuale: Richiesta STO

VIN_STO_CSF Ingresso virtuale: Conclusione della richiesta STO

TIMER Timer

VOUT_PS_EN Uscita virtuale: Sblocco del modulo terminale ammesso

VOUT_STO_SFR Uscita virtuale: STO richiesto

VOUT_STO_SSR Uscita virtuale: Stato sicuro STO raggiunto

[54-5] STO_ERR Segnale di errore interno: Errore 54-5

STO_SBC_RSF Segnale interno: Richiesta SBC attraverso STO


La funzione di sicurezza viene richiesta come segue:

– dall'utente attraverso una combinazione a piacere di segnali di ingresso LIN_D..., che vengono con

dotti su VIN_STO_RSF.

– come reazione all'errore, comandata tramite gestione degli errori, segnale ERR_STO_RSF.

– tramite la funzione di sicurezza SS1, segnale SS1_STO_RSF.

La richiesta della funzione di sicurezza STO viene annullata come segue:

– dall'utente attraverso una combinazione di diversi ingressi, che vengono condotti su VIN_STO_CSF.

– impostando il parametro “Riavvio automatico ammesso” (P0A.00) viene raggiunto un riavvio

automatico dopo il disinserimento della richiesta.






La funzione di sicurezza comanda il disinserimento dell'alimentazione del driver tramite il segnale

VOUT_PS_EN.

Se necessario anche la funzione di sicurezza SBC può essere richiesta automaticamente, segnale

STO_SBC_RSF. Inoltre genera le segnalazioni di stato:

– VOUT_STO_SFR, funzione di sicurezza STO richiesta.

– VOUT_STO_SSR, stato sicuro STO raggiunto.

Identificazione di errori:Con funzione di sicurezza attiva STO “Safe Torque Off ” l'alimentazione di energia all'attuatore viene

interrotta immediatamente e in modo sicuro, a ciò provvede un dimensionamento del circuito di disin

serzione a due canali, che viene monitorato con esercizio in corso. In caso di guasto di un canale di

disinserimento viene generato un messaggio d'errore. L'attuatore viene disinserito dal canale restante.

Il messaggio d'errore [54-5] STO_ERR “Condizione di sicurezza STO violata” avviene in caso di un errore

nella funzione STO.

SequenzaLa sequenza della funzione di sicurezza STO è rappresentata nel seguente diagramma:

Safety Function RequestSFR

P0A.02

n

t

Safe State ReachedSSR

neff.

SBC

P0A.01

STO

Fig. 2.15 Diagramma di flusso STO


Safety Function Request SFR Richiesta funzione di sicurezza

Safe State Reached SSR Stato sicuro raggiunto

neff. Velocità effettiva




Con richiesta della funzione di sicurezza STO, l'alimentazione del driver viene disinserita immediata

mente a due canali e senza ritardo rilevante.

Dopo un tempo di ritardo parametrizzabile “Tempo di ritardo fino alla segnalazione “STO”” (P.0A.02)

diventa attivo lo stato interno VOUT_STO_SSR, “Stato sicuro raggiunto”.

A partire dalla richiesta della funzione di sicurezza STO trascorrono i seguenti tempi finché la funzione

di sicurezza viene commutata attivamente:

Tempi di ritardo da VIN_STO_RSF Minimo Massimo Tipico

VOUT_STO_SFR 2,0 ms 2,1 ms 2,0 ms

VOUT_STO_SSR 2,0 ms + P0A.02 2,1 ms + P0A.02 2,0 ms + P0A.02

Tempo di reazione fino al disinserimento del

l'alimentazione del driver dell'apparecchio di

base e del modulo terminale OFF

2,5 ms 4,5 ms 3,5 ms

Tab. 2.29 Tempi di ritardo STO

Parametri per STO

STO: Coppia disinserita in sicurezzaN. Nome Descrizione

P0A.02 Tempo di ritardo fino al messaggio “STO” Tempo di ritardo finché non diventa attiva l'uscita

“Stato sicuro raggiunto”.

P0A.00 Riavvio automatico ammesso Se impostato: Disinserimento della richiesta

(riavvio) con ingresso di richiesta inattivo

P0A.01 Attivazione automatica SBC Se impostato: Al raggiungimento dello stato sicu

ro (allo scadere del tempo di ritardo) viene attiva

to il comando sicuro del freno.

Tab. 2.30 STO: Coppia disinserita in sicurezza

2.5.2 SBC – Comando sicuro del freno (Safe Brake Control)

Applicazione

La funzione qui descritta realizza la funzione di sicurezza SBC secondo EN 61800-5-2.

Utilizzare la funzione “Comando sicuro del freno” (“Safe Brake Control”, SBC) per il

comando di un'unità di bloccaggio o del freno d'arresto, per frenare meccanicamente in

modo mirato un asse o per arrestarlo in modo sicuro.

Il comando dell'unità di bloccaggio o del freno di stazionamento può avvenire a scelta

tramite:

– l'uscita del freno sicura [X6] nel controllore motore,

– un'uscita sicura del modulo di sicurezza e un apparecchio di commutazione del freno

esterno.



Importante: Per l'utilizzo della funzione di sicurezza SBC deve essere utilizzata un'unità di

bloccaggio o un freno d'arresto con relativa classificazione della sicurezza. Di principio

vale che con tutti i tipi di unità di bloccaggio senza una certificazione deve essere esegui

ta una valutazione dei rischi e determinata l'idoneità per l'applicazione orientata alla

sicurezza prevista. Altrimenti non possono essere applicati.

Il freno di arresto nei motori non è, di norma, adeguatamente qualificato.

La funzione SBC è attivata attraverso l'impostazione di fabbrica (parametrizzazione preli

minare).

Finché la funzione viene utilizzata attraverso altre funzioni (richiesta attraverso STO, at

traverso altre parametrizzazioni o attraverso la reazione all'errore con violazione di altre

funzioni di sicurezza richieste) di principio essa non è selezionabile.

Funzione

La funzione “Safe Brake Control” disinserisce immediatamente la tensione per l'unità di bloccaggio

collegata o il freno di arresto. L'unità di bloccaggio o il freno di arresto chiusa intervengono e frenano il

motore o l'asse. I movimento pericolosi vengono così frenati in modo meccanico. Il tempo di frenatura

dipende da quanto velocemente interviene il freno e da quanto è alta l'energie nel sistema.

AttenzioneCon carichi sospesi si ha di norma un abbassamento se SBC viene richiesta insieme a

STO. Questo può essere ricondotto all'inerzia meccanica dell'unità di bloccaggio o del

freno d'arresto ed è quindi inevitabile.

Il modulo di sicurezza mette a disposizione anche la funzione di sicurezza SS1 in unione

con SBC o la funzione di sicurezza SS2. Si prega di verificare se queste funzioni di sicu

rezza possono essere utilizzate con l'applicazione al posto di STO con SBC.

Il comando sicuro del freno può essere utilizzato esclusivamente con unità di bloccaggio o freni d'arre

sto, che si presentano senza corrente. L'apertura dell'unità di bloccaggio o del freno di arresto avviene

con l'alimentazione dell'energia.

Con l'utilizzo dell'uscita del freno dell'apparecchio di base fare attenzione alla posa protetta dei cavi.

Se il carico ammissibile delle uscite sicure del modulo di sicurezza è sufficiente, è possibile un ricono

scimento di cortocircuito tra due conduttori con impulsi di prova.

La logica per la richiesta della funzione di sicurezza SBC è rappresentata nello schema a blocchi a seguire:



Safety Function SBC

TIMER+ BRAKE FEEDBACKDETECTION

1

1

1

S

R

Q

VIN_BRK_ACK

STO_SBC_RSF

SS1_SBC_RSF

ERR_SBC_RSF

VIN_SBC_RSF

VIN_SBC_CSF

P17.03

P17.0x

VOUT_SBC_SFR

VOUT_SBC_SSR

[54-0] SBC_ERR

VOUT_SBC_BRK_ON

[54-6] 24H_ERR

#SH2_BRK_EN1

Fig. 2.16 Schema a blocchi SBC

Termine/Abbreviazione

Spiegazione

Safety Function SBC Funzione di sicurezza SBC

#SH2_BRK_EN L'apparecchio di base abilita il comando sicuro del freno

STO_SBC_RSF Segnale interno: Richiesta SBC attraverso STO

SS1_SBC_RSF Segnale interno: Richiesta SBC attraverso SS1

ERR_SBC_RSF Segnale interno: Richiesta SBC attraverso la reazione all'errore

VIN_STO_RSF Ingresso virtuale: Richiesta SBC

VIN_STO_CSF Ingresso virtuale: Conclusione della richiesta SBC

VIN_BRK_ACK Ingresso virtuale: Valutazione segnale di ritorno comando sicuro del freno

TIMER + BRAKE FEED

BACK DETECTION

Timer e valutazione del segnale di feedback del comando sicuro del freno

VOUT_SBC_BRK_ON Uscita virtuale: Commutazione uscita del freno

VOUT_SBC_SFR Uscita virtuale: SBC richiesto

VOUT_SBC_SSR Uscita virtuale: Stato sicuro SBC raggiunto

[54-0] SBC_ERR Segnale di errore interno: Errore 54-0

[54-6] 24H_ERR Segnale di errore interno: Errore 54-6


La funzione di sicurezza SBC viene richiesta come segue:


dotti su VIN_SBC_RSF.

– come reazione all'errore, comandata tramite gestione degli errori, segnale ERR_SBC_RSF.

– tramite la funzione di sicurezza STO, segnale STO_SBC_RSF.

– tramite la funzione di sicurezza SS1, segnale SS1_SBC_RSF.



La richiesta della funzione di sicurezza SBC viene annullata come segue:

– dall'utente attraverso una combinazione di diversi ingressi, che vengono condotti su VIN_SBC_CSF.

– impostando il parametro P17.03 viene raggiunto un riavvio automatico dopo il disinserimento della

richiesta.




La funzione di sicurezza comanda il disinserimento del comando sicuro del freno tramite il segnale

VOUT_SBC_BRK_ON. Se viene richiesta la funzione di sicurezza, allora VOUT_SBC_BRK_ON = 1.

VOUT_SBC_BRK_ON è connesso internamente anche con un segnale di comando dell'apparecchio di

base, che riproduce lo stato di commutazione del comando del freno nell'apparecchio di base. Il

comando sicuro del freno viene alimentato solo se non viene richiesta SBC e se l'apparecchio di base

abilita il freno (#SH2_BRK_EN è Low).

Dopo una richiesta di SBC e relativo annullamento, il comando sicuro del freno viene

alimentato solo se l'apparecchio di base abilita il freno d'arresto.

Così viene garantito che anche gli assi z con carichi sospesi possano essere riavviati sen

za abbassamento.

Il segnale di comando VOUT_SBC_BRK_ON deve essere commutato o sul comando del freno interno del

controllore motore (segnale di comando LOUT_BRAKE_CTRL, � sezione B.1.4) o su un'uscita digitale

per il comando di un'unità di bloccaggio esterna (LOUT_D4x, � sezione B.1.4).

Per utilizzare il comando del freno dell'apparecchio di base su [X6] in unione con SBC,

configurare l'uscita “Freno interno” del modulo di sicurezza:

Requisito:

Parametri standard:

Il comando del freno dell'apparecchio di base viene inoltre monitorato con impulsi di

prova.

Il controllore motore riconosce un disinserimento del comando sicuro del freno dall'ester

no; esegue eventualmente un arresto rapido e disinserisce il modulo terminale. Il coman

do del freno può essere permanentemente attivo sul lato del controllore motore (utilizzo

dei parametri al comando del freno d'arresto nel controllore motore) in modo che il

comando avvenga esclusivamente attraverso il modulo di sicurezza.



Per utilizzare il comando del freno dell'apparecchio di base su [X6] indipendentemente da

SBC e utilizzare SBC in unione con DOUT4x, configurare l'uscita “Freno interno” del modu

lo di sicurezza su permanentemente ON:

Requisito:

Parametri standard:

Configurare inoltre un'uscita, ad es. DOUT41, per l'output del segnale di comando per il

comando sicuro del freno:

Requisito:

Parametri standard:

Se la funzione SBC comanda un'unità di bloccaggio esterna o un freno d'arresto attraverso un'uscita

digitale, i segnali di comando per il comando sicuro del freno interno all'apparecchio di base può esse

re configurato in modo tale che SBC non abbia più effetto. L'uscita del freno dell'apparecchio di base è

quindi disponibile per altre funzioni (=> segnali di comando FSM_BR+_EN und FSM_BR-_EN parametriz

zabili su high).

Le informazioni sulla parametrizzazione dell'uscita del freno sono riportate nella � descrizione funzioni

su CMMP-AS-...-M3, GDCP-CMMP-M3-FW-...

Il comando di un'unità di bloccaggio con l'elevato fabbisogno di corrente (di norma 8 A o più) richiede

un circuito esterno attraverso due relè intermedi con contatti di feedback forzati. Il segnale di conferma

deve essere cablato, in questo caso, separatamente. In questo caso avviene sul modulo di sicurezza

tramite un ingresso digitale, di norma DIN44.

Inoltre la funzione SBC genera segnalazioni di stato:

– VOUT_SBC_SFR, funzione di sicurezza SBC richiesta.

– VOUT_SBC_SSR, stato sicuro SSBC raggiunto (ritardo impostabile tramite P17.01).

Segnali di uscita SBC Stato a riposo Funzione di sicurezza richiesta / raggiunta

VOUT_SBC_BRK_ON 0 1

VOUT_SBC_SFR 0 1

VOUT_SBC_SSR 0 1 (ritardato P17.01)

Tab. 2.32 Segnali di uscita SBC



Identificazione di errori:La funzione di sicurezza può valutare un segnale di conferma esterno e controllare così che l'unità di

bloccaggio o il freno d'arresto sia veramente attiva/o. La valutazione avviene tramite un ingresso

VIN_BRK_ACK, se la funzione viene attivata tramite il parametro P17.02.

Attraverso il parametro P17.00 può essere parametrizzato un tempo di ritardo per il segnale di conferma.

Il segnale di conferma viene valutato allo scadere del ritardo. Se non è presente alcuna conferma, viene

generato il messaggio d'errore [54-0] SBC_ERR.

AttenzioneL'ingresso del segnale di conferma VIN_BRK_ACK può essere commutato con l'utilizzo

dell'uscita del freno su [X6] sull'ingresso del segnale di conferma dall'apparecchio di

base (segnale LIN_BRAKE_X6_FB). Questo segnale forma lo stato di sicurezza dell'usci

ta sicura di frenatura sull'apparecchio di base.

Se sull'uscita del freno [X6] è collegato un cavo motore ma nessuna un'unità di bloccag

gio o freno d'arresto, possono presentarsi connessioni di guasto in un cavo del freno

aperto e quindi un segnale di conferma errato (errore [54-0]).

� In questo caso disattivare l'ingresso del segnale di conferma.

AttenzioneL'ingresso del segnale di conferma VIN_BRK_ACK deve essere mappato con l'utilizzo di

un'unità di bloccaggio esterna su un ingresso digitale sicuro.

Viene monitorato solo lo stato “Freno attivo” (monitoraggio del livello del

VIN_BRK_ACK). Un monitoraggio del segnale di conferma con “Freno alimentato” non

avviene.

Inoltre la funzione di sicurezza SBC possiede un monitoraggio dei tempi integrato:

La funzione SBC può essere richiesta per massimo 24 h. L'unità di bloccaggio o il freno di arresto deve

quindi essere commutata/o (alimentata/o) almeno una volta entro 24 h, in quanto gli interruttori di

potenza possono essere controllati solo nello stato attivo mediante impulsi di prova.

Con superamento del limite di tempo viene generato un errore [54-6] 24H_ERR.

La limitazione di tempo viene meno se la funzione SBC viene utilizzata in unione con un ingresso sicuro

(DOUT40 … DOUT42) o se il freno d'arresto non viene usato in funzione della sicurezza. Il monitoraggio

24 h può essere disattivato tramite il parametro esperti P17.04.

AttenzioneNello stato di fornitura del modulo di sicurezza, la funzione SBC è sempre configurata in

unione all'uscita [X6] anche se non si desidera utilizzare la funzione SBC. In applicazioni,

in cui vengono condotti i cavi di controllo del freno nel cavo motore, può aver luogo, se

sul lato motore non è collegato alcun freno di arresto, un accoppiamento dei disturbi

nei cavi del freno aperti, ed il modulo di sicurezza emette così un errore 57-0.

� In questo caso scollegare i cavi di controllo del freno a X6 e collegarli su PE.



Procedura:La sequenza della funzione di sicurezza SBC è rappresentata nel seguente diagramma:


P17.00

t


P17.01

P17.02

VIN_BRK_ACK

Fig. 2.17 Diagramma di flusso SBC




VIN_BRK_ACK Ingresso virtuale: Valutazione segnale di ritorno freno di arresto


Con richiesta della funzione di sicurezza SBC trascorrono i seguenti tempi per il disinserimento dell'unità di

bloccaggio o del freno di arresto (VOUT_SBC_BRK_ON) e i segnali di conferma della funzione di sicurezza:

Tempi di ritardo da VIN_SBC_RSF Minimo Massimo Tipico

VOUT_SBC_BRK_ON 2,0 ms 2,1 ms 2,0 ms

VOUT_SBC_SFR 2,0 ms 2,1 ms 2,0 ms

VOUT_SBC_SSR 2,0 ms + P17.01 2,1 ms + P17.01 2,0 ms + P17.01

Tempo di reazione all'errore errato con

segnale di conferma assente VIN_BRK_ACK

2,0 ms + P17.00 2,1 ms + P17.00 2,0 ms + P17.00

Tab. 2.34 Tempi di ritardo SBC



Parametri per SBC

SBC: Comando sicuro del frenoN. Nome Descrizione

P17.00 Tempo di ritardo valutazione segnale di

conferma del freno

Tempo, a partire dalla richiesta della funzione di

sicurezza, finché ha luogo il segnale di conferma

del freno di arresto.

P17.01 Tempo di ritardo messaggio

“Freno intervenuto”

Tempo di ritardo, a partire dalla richiesta della

funzione di sicurezza, finché non diventa attiva

l'uscita “Stato sicuro raggiunto”

P17.02 Valutazione del segnale di conferma

del freno di arresto

Se 1: Valutazione della conferma del freno di

arresto.

P17.03 Riavvio automatico ammesso Se 1: Disinserimento della richiesta (riavvio) con

ingresso di richiesta inattivo

Parametri esperti

P17.04 Disattivazione test

ciclico/monitoraggio 24 h

Se 1: Il test ciclico del comando del freno e il

monitoraggio 24h per l'azionamento del freno

d'arresto ad opera di GG viene disattivato. L'usci

ta del freno sicura di GG può essere utilizzata

come DOUT “normale” con carico di corrente am

missibile elevato.

Tab. 2.35 SBC: Comando sicuro del freno



2.5.3 SS1 – Stop sicuro 1 (Safe Stop 1)

Applicazione

La funzione qui descritta realizza la funzione di sicurezza SS1 secondo EN 61800-5-2.

Utilizzare la funzione “Stop sicuro 1” (“Safe Stop 1”, SS1) se si desidera arrestare il

motore e poi disattivare in modo sicuro durante l'applicazione l'alimentazione al motore,

ma non sussiste alcuna ulteriore richiesta per l'arresto mirato dell'attuatore (confr. Cate

goria di stop 1 da EN 60204-1).

Supporta le tre forme descritte nella norma:

a) Attivazione e controllo della grandezza del ritardo del motore entro i limiti determinati

e attivazione della funzione STO, se in numero di giri del motore scende al di sotto di

un valore limite determinato.

� L'attuatore viene condotto su una rampa di frenatura fino al riconoscimento dello

stato di fermo (P06.09), poi viene disinserito il modulo terminale.

b) Attivazione e monitoraggio della grandezza del ritardo del motore entro i limiti deter

minati e attivazione della funzione STO, se in numero di giri del motore scende al di

sotto di un valore limite determinato.

� Il modulo di sicurezza attiva un arresto rapido nell'apparecchio di base, la rampa di

frenatura viene monitorata, poi viene disinserito il modulo terminale.

c) Attivazione del ritardo del motore e dopo un ritardo di tempo per applicazioni specifi

che, attivazione della funzione STO.

� Il modulo di sicurezza fornisce una segnalazione di stato, l'apparecchio di base

deve essere frenato dal comando funzionale, dopo un tempo di attesa viene disinseri

to il modulo terminale.

La funzione SS1 è attivata attraverso l'impostazione di fabbrica (parametrizzazione preli

minare).

Finché la funzione viene utilizzata attraverso altre funzioni (reazione all'errore con

violazione di altre funzioni di sicurezza richieste) di principio essa non è selezionabile.

FunzioneCon richiesta della funzione di sicurezza SS1 questa monitora che l'attuatore venga frenato fino all'ar

resto entro un tempo definito e con una rampa di frenatura definita. Allo scadere del tempo definito

viene azionata STO e il modulo terminale di potenza viene disinserito in modo sicuro.

AttenzioneCon carichi sospesi si ha di norma un abbassamento se dopo la sequenza della rampa di

frenatura viene richiesta immediatamente STO.

Per questo la funzione SS1 può attivare anche SBC, così non è necessaria/o l'unità di

bloccaggio o il freno d'arresto e viene evitato l'abbassamento di un asse. SBC disattiva

nuovamente STO (concatenazione delle funzioni di sicurezza SS1 } SBC } STO).



La logica per la richiesta della funzione di sicurezza SS1 è rappresentata nello schema a blocchi a se

guire:

Safety Function SS1

TIMER+ SPEED RAMPGENERATOR

1

1S

R

Q

VOUT_SS1_SFR

VOUT_SS1_SSR

[54-4] SS1_ERR

SPEED_LIMIT

SS1_STO_RSF

SS1_SBC_RSF

ERR_SS1_RSF

VIN_SS1_RSF

VIN_SS1_CSF

P0C.08

P0C.0x

ACTUAL_SPEED

Fig. 2.18 Schema a blocchi SS1


Safety Function SS1 Funzione di sicurezza SS1

ERR_SS1_RSF Segnale interno: Richiesta SS1 attraverso la reazione all'errore

VIN_SS1_RSF Ingresso virtuale: Richiesta SS1

VIN_SS1_CSF Ingresso virtuale: Conclusione della richiesta SS1

ACTUAL SPEED Segnale interno: Velocità attuale

TIMER + SPEED RAMP

GENERATOR

Timer e calcolo delle rampe della velocità

VOUT_SS1_SFR Uscita virtuale: SS1 richiesto

VOUT_SS1_SSR Uscita virtuale: Stato sicuro SS1 raggiunto

[54-4] SS1_ERR Segnale di errore interno: Errore 54-4

SPEED_LIMIT Segnale interno: Limitazione velocità nell'apparecchio di base

SS1_STO_RSF Segnale interno: Richiesta STO attraverso SS1

SS1_SBC_RSF Segnale interno: Richiesta SBC attraverso SS1


La funzione di sicurezza SS1 viene richiesta come segue:


dotti su VIN_SS1_RSF.

– come reazione all'errore, comandata tramite gestione degli errori, segnale ERR_SS1_RSF.

La richiesta della funzione di sicurezza SS1 viene annullata come segue:

– dall'utente attraverso una combinazione di diversi ingressi, che vengono condotti su VIN_SS1_CSF.

– impostando il parametro “Riavvio automatico ammesso” (P0C.08) viene raggiunto un riavvio







La funzione di sicurezza comanda direttamente le seguenti funzioni di sicurezza:

– STO attraverso il segnale SS1_STO_SFR.

– SBC attraverso il segnale SS1_SBC_SFR.

Con conclusione della richiesta della funzione SS1 vengono concluse direttamente ed automaticamen

te anche le seguenti funzioni di sicurezza.

Per questo la funzione SS1 trasmette anche un segnale di comando per il controllo dell'apparecchio di base:

– limitazioni per la velocità nell'apparecchio di base, SPEED_LIMIT.

– Un segnale di base per l'azionamento della rampa di arresto rapido nell'apparecchio di base (non

rappresentato nello schema a blocchi).

Inoltre la funzione SS1 genera segnalazioni di stato:

– VOUT_SS1_SFR, funzione di sicurezza SS1 richiesta.

– VOUT_SS1_SSR, stato sicuro SS1 raggiunto

Segnali di uscita SS1 Stato a riposo Funzione di sicurezza richiesta / raggiunta

VOUT_SS1_SFR 0 1

VOUT_SS1_SSR 0 1 (ritardato tramite P0C.01 + P0C.0C + P0C.0B)

Tab. 2.37 Segnali di uscita SS1

Identificazione di erroriLa funzione di sicurezza confronta ciclicamente la velocità attuale (ACTUAL_SPEED) con la rampa di

velocità calcolata. Se la velocità attuale per un tempo parametrizzabile “Tempo di tolleranza con

superamento del valore limite” (P0C.02) è al di fuori dell'intervallo di velocità ammesso, viene emesso

l'errore [54-4] SS1_ERR.

Lo stato “Condizione di sicurezza violata” non viene resettato con SS1, se l'attuatore si trova, dopo una

violazione temporanea, nuovamente nell'intervallo ammesso.

EN 61800-5-2 richiede, in caso di una violazione della condizione di sicurezza, come rea

zione all'errore “STO”. In alcune applicazioni possono essere tuttavia sensate anche altre

reazioni all'errore, ad es. “STO + SBC” � sezione 2.8.2.



SequenzaLa sequenza della funzione di sicurezza SS1 è rappresentata nel seguente diagramma:


P0C.05

P0C.00

P0C.01

n

t

nmax

nmin

neff.

P0C.07 Safe State ReachedSSR

P0C.02

Monitoring

P0C.0A

P0C.0A

SS1 � STO

SFR (SBC)

P0C.0B

(P0C.09)

P0C.06

Initial setting for speed ramp (n 0):nmax = neff. + ( | neff. | * P0C.03) + P0C.04)nmin = –P06.09

P0C.0C

P0C.0C

Initial setting for speed ramp (n 0):nmax = P06.09nmin = neff. – ( | neff. | * P0C.03) – P0C.04)

Fig. 2.19 Diagramma di flusso SS1



Monitoring Monitoraggio

SFR (SBC) Richiesta SBC


Initial setting for speed ramp Valori iniziali per la rampa della velocità



Il diagramma di flusso e la seguente descrizione valgono per una velocità positiva neff. Per

una velocità negativa neff. viene ritardato da un numero di giri negativo su zero.

Dopo la richiesta di SS1 viene avviata, dal modulo di sicurezza, una rampa di frenatura per il monitorag

gio della procedura di frenatura:

– tramite “Tempo di ritardo fino all'avvio del monitoraggio” (P0C.00) viene definito un tempo di ritar

do. Solo dopo questo tempo viene monitorato il rispetto dei valori limite di velocità attuali.

– tramite “Tempo per la rampa di frenatura” (P0C.01) viene determinato il tempo della rampa di frenatura.

– se è stata attivata “Attivazione automatica SBC” (P0C.09), dopo la sequenza del “Tempo per la rampa di

frenatura” (P0C.01) viene avviata la funzione di sicurezza SBC, altrimenti viene avviata STO.



– Solo con attivazione di SBC (P0C.09 = 1):

Il tempo di ritardo meccanico dell'unità di bloccaggio o del freno d'arresto può essere controllato

tramite “Ritardo dopo la sequenza P0C.01 fino all'attivazione di STO” (P0C.0B). Allo scadere del

tempo P0C.01 + P0C.0B viene attivata STO e viene impostato il messaggio VOUT_SS1_SSR.

Il tempo P0C.0b viene sempre atteso, anche se P0C.01 = 0.

– Il valore iniziale della rampa di frenatura del monitoraggio, nmax, viene calcolato in base alla formula

nel diagramma, è parametrizzabile attraverso “Rampa di frenatura - fattore valore iniziale” (P0C.03)

e “Rampa di frenatura - Offset valore iniziale” (P0C.04). La rampa termina con velocità = 0 (la tolle

ranza è indicata attraverso il valore limite “Valore di soglia della velocità per il riconoscimento dello

stato di fermo” (P06.09)).

– Attraverso “Rampa di frenatura - Tempo di ritardo fino all'avvio” (P0C.05) può essere parametrizza

to un tempo di ritardo per l'avvio della rampa di frenatura.

Se la procedura di frenatura con SS1 non deve essere comandata attraverso il modulo di

sicurezza, ma attraverso il comando funzionale, con P0C.05 può essere parametrizzato un

tempo di ritardo della rampa, per compensare il tempo di reazione del comando.

Attraverso il parametro “Limitazione attiva della velocità nell'apparecchio di base” (P0C.06) viene inse

rita la limitazione attiva della velocità nell'apparecchio di base:

– Vengono trasmessi limiti di velocità attuali all'apparecchio di base. I limiti di velocità devono avere

una distanza di sicurezza dai limiti di monitoraggio, questi possono essere impostati tramite il para

metro “Offset della velocità per la limitazione nell'apparecchio di base” (P0C.0A).

– Al termine della rampa di frenatura di monitoraggio il limite di velocità è = 0.

– L'apparecchio di base limita attivamente il valore nominale della velocità e, a seconda della para

metrizzazione, anche la velocità di traslazione delle procedure di posizionamento in corso.

Tramite il parametro “Attivazione della rampa di arresto rapido nell'apparecchio di base” (P0C.07)

viene attivato l'arresto rapido nell'apparecchio di base:

– Con la richiesta di SS1 viene attivata automaticamente la rampa di arresto rapido nell'apparecchio

di base, l'attuatore frena con la rampa di arresto rapido fino a zero.

AttenzionePer evitare una violazione della condizione di sicurezza durante la frenatura attraverso

la rampa di arresto rapido dell'apparecchio di base, assicurarsi che il tempo di rampa

parametrizzato tramite “Tempo per la rampa di frenatura” (P0C.01) sia maggiore rispet

to al tempo di frenatura dell'apparecchio di base sulla rampa di arresto rapido dalla

velocità massima.

Il SafetyTool indica, durante la parametrizzazione, un possibile conflitto.

Al termine della richiesta della funzione SS1, vengono resettati i segnali di comando interni per l'arre

sto rapido e la limitazione della velocità nell'apparecchio di base.



Indicazioni per la parametrizzazione modalità a), b) e c) secondo EN 61800-5-2

Modalità Parametrizzazione

Modalità a) Impostare “Limitazione attiva della velocità nell'apparecchio di base” (P0C.06).

Il modulo di sicurezza comanda la rampa di frenatura nell'apparecchio di base

secondo i parametri per la rampa impostati nel modulo di sicurezza.

Modalità b) Impostare “Attivazione della rampa di arresto rapido nell'apparecchio di base”

(P0C.07).

Il modulo di sicurezza induce l'apparecchio di base ad arrestare con la rampa di

arresto rapido e a monitorare tuttavia contemporaneamente la rampa di frenatu

ra impostata nel modulo di base.

Modalità c) Non parametrizzare alcuna rampa di frenatura:

Il comando funzionale deve arrestare l'asse, allo scopo il segnale

VOUT_SS1_SFR o il messaggio cumulativo VOUT_SFR deve essere segnalato al

comando funzionale � sezione B.1.5.

Attraverso “Tempo di ritardo fino all'avvio del monitoraggio” (P0C.00) impostare

il tempo desiderato, fino all'arresto dell'asse e all'intervento del monitoraggio

SS1,in ogni caso maggiore di 4 ms. Precedentemente non viene monitorata

neanche la rampa di frenatura.

“Tempo per la rampa di frenatura” (P0C.01), “Rampa del numero di giri - Tempo

di ritardo monitoraggio” (P0C.0C) e “Tempo di ritardo dopo il raggiungimento di

n = 0 finché non interviene STO” (PC.0B) impostare sul valore minimo (rispettiva

mente 2 ms).

Tab. 2.39 Parametrizzazione modalità a), b) e c) secondo EN 61800-5-2

A partire dalla richiesta della funzione di sicurezza SS1 trascorrono i seguenti tempi finché la funzione

di sicurezza viene commutata attivamente e vengono riconosciuti gli errori:

Tempi di ritardo da VIN_SS1_RSF Minimo Massimo Tipico

VOUT_SS1_SFR 2,0 ms 2,1 ms 2,0 ms

VOUT_SS1_SSR 2,0 ms + P0C.01

+ P0C.0B

+ P0C.0C

2,1 ms + P0C.01

+ P0C.0B

+ P0C.0C

2,0 ms + P0C.01

+ P0C.0B

+ P0C.0C

Riconoscimento di una violazione della condi

zione di sicurezza dopo VOUT_SBC_SFR

2,0 ms + P0C.00

+ P0C.02

2,1 ms + P0C.00

+ P0C.02

2,0 ms + P0C.00

+ P0C.02

Tab. 2.40 Tempi di ritardo SS1

Parametrizzare P0C.00 inferiore alla rampa di frenatura fino a STO (P0C.01 + P0C.0B +

P0C.0C).

Se “Tempo di ritardo fino all'avvio del monitoraggio” (P0C.00) viene parametrizzato mag

giore alla rampa di frenatura complessiva fino a STO (P0C.01 + P0C.0B + P0C.0C) allora

STO e il messaggio SS1_SSR vengono raggiunti solo dopo 2,1 ms + P0C.00.



Parametri per SS1

SS1: Stop sicuro 1N. Nome Descrizione

P0C.00 Tempo di ritardo fino all'avvio del moni

toraggio

Tempo a partire dalla richiesta della funzione di

sicurezza in cui non avviene alcun monitoraggio

del numero di giri

P0C.01 Tempo per la rampa di frenatura Tempo a partire dalla richiesta della funzione di

sicurezza al cui scadere le rampe del numero di

giri vengono arrestate e viene raggiunto lo stato

sicuro.

P0C.02 Tempo di tolleranza con superamento

del valore limite

Intervallo di tempo durante il quale il valore effet

tivo del numero di giri può trovarsi al di fuori dei

limiti, prima che venga raggiunto lo stato “Condi

zione di sicurezza violata”.

P0C.06 Limitazione attiva della velocità nel

l'apparecchio di base

Se impostato: Comando del numero di giri del


P0C.07 Attivazione della rampa di arresto rapi

do nell'apparecchio di base

Se impostato: Con richiesta della funzione di si

curezza viene tolto il comando di arresto rapido

(linea di pilotaggio) sull'apparecchio di base

P0C.08 Riavvio automatico ammesso Se impostato: Disinserimento della richiesta


P0C.09 Attivazione automatica SBC Se impostato: Al raggiungimento dello stato di

fero o allo scadere del tempo di ritardo viene atti

vato il comando sicuro del freno.

Parametri esperti

P0C.0C Rampa del numero di giri - Monitorag

gio del tempo di ritardo

Tempo di ritardo tra la rampa del numero di giri,

descritta nell'apparecchio di base, e l'avvio del

monitoraggio attraverso il modulo di sicurezza.

P0C.0B Ritardo dopo la sequenza P0C.01 fin

ché viene emesso STO

Tempo dopo il quale viene attivata STO alla fine

della procedura di frenatura.

P0C.05 Rampa di frenatura - Tempo di ritardo

fino all'avvio

Tempo di ritardo al cui scadere si avviano le rampe.

P0C.03 Rampa di frenatura - Fattore valore di

start

Fattore per il calcolo del valore di start delle ram

pe del numero di giri.

P0C.04 Rampa di frenatura - Offset valore di

start

Offset per il calcolo del valore di start delle ram

pe del numero di giri.

P0C.0A Offset della velocità per la limitazione

nell'apparecchio di base

Offset per i limiti del numero di giri per il coman

do dell'apparecchio di base.

Tab. 2.41 SS1: Stop sicuro 1



2.5.4 SS2 – Stop sicuro 2 (Safe Stop 2)

Applicazione

La funzione qui descritta realizza la funzione di sicurezza SS2 secondo EN 61800-5-2.

Utilizzare la funzione “Arresto sicuro 2” (“Safe Stop 2”, SS2),se nell'applicazione è neces

sario frenare il motore e successivamente impedire che il motore diverga di oltre un im

porto fisso rispetto alla posizione di arresto (confr. Categoria di stop 2 da EN 60204-1).

Supporta le tre forme descritte nella norma:

a) Attivazione e controllo della grandezza del ritardo del motore entro i limiti determinati

e attivazione della funzione SOS, se in numero di giri del motore scende al di sotto di

un valore limite determinato.

� L'attuatore viene condotto su una rampa di frenatura fino al riconoscimento dello

stato di fermo (P06.09), poi viene eseguito un arresto operativo sicuro.

b) Attivazione e monitoraggio della grandezza del ritardo del motore entro i limiti deter

minati e attivazione della funzione SOS, se in numero di giri del motore scende al di

sotto di un valore limite determinato.

� Il modulo di sicurezza attiva un arresto rapido nell'apparecchio di base, la rampa di

frenatura viene monitorata, poi viene eseguito un arresto operativo sicuro.

c) Attivazione del ritardo del motore e dopo un ritardo di tempo per applicazioni specifi

che, attivazione della funzione SOS.

� Il modulo di sicurezza fornisce una segnalazione di stato, l'apparecchio di base

deve essere frenato dal comando funzionale, dopo un tempo di attesa viene attivata la

funzione di sicurezza STO.

La funzione SS2 può essere utilizzata come reazione all'errore (con violazione di altre

funzioni di sicurezza richieste). Allo scopo deve essere attivata e parametrizzata.

FunzioneCon richiesta della funzione di sicurezza SS2 questa monitora che l'attuatore venga frenato fino all'ar

resto entro un tempo definito e con una rampa di frenatura definita. Allo scadere del tempo definito

viene azionata SOS e così viene eseguito un arresto operativo sicuro.



La logica per la richiesta della funzione di sicurezza SS2 è rappresentata nello schema a blocchi a seguire:

ACTUAL_SPEED

ERR_SS2_RSF

VIN_SS2_RSF

VIN_SS2_CSF

P0D.08

P0D.0x

Safety Function SS2


VOUT_SS2_SFR

VOUT_SS2_SSR

[54-2] SS2_ERR

SPEED_LIMIT

SS2_SOS_RSF1

1S

R

Q

Fig. 2.20 Schema a blocchi SS2


Safety Function SS2 Funzione di sicurezza SS2

ERR_SS2_RSF Segnale interno: Richiesta SS2 attraverso la reazione all'errore

VIN_SS2_RSF Ingresso virtuale: Richiesta SS2

VIN_SS2_CSF Ingresso virtuale: Conclusione della richiesta SS2


TIMER + SPEED RAMP

GENERATOR


VOUT_SS2_SFR Uscita virtuale: SS2 richiesto

VOUT_SS2_SSR Uscita virtuale: Stato sicuro SS2 raggiunto

[54-2] SS2_ERR Segnale di errore interno: Errore 54-2


SS2_SOS_RSF Segnale interno: Richiesta SOS attraverso SS2


La funzione di sicurezza SS2 viene richiesta come segue:


dotti su VIN_SS2_RSF.

– come reazione all'errore, comandata tramite gestione degli errori, segnale ERR_SS2_RSF.

La richiesta della funzione di sicurezza SS2 viene annullata come segue:

– dall'utente attraverso una combinazione di diversi ingressi, che vengono condotti su VIN_SS2_CSF.

– impostando il parametro “Riavvio automatico ammesso” (P0D.08) viene raggiunto un riavvio







La funzione di sicurezza comanda direttamente le seguenti funzioni di sicurezza:

– SOS tramite il segnale SS2_SOS_RSF.

Con conclusione della richiesta della funzione SS2 vengono concluse direttamente ed automaticamen

te anche le seguenti funzioni di sicurezza.

Per questo la funzione SS2 trasmette anche un segnale di comando per il controllo dell'apparecchio di

base:

– limitazioni per la velocità nell'apparecchio di base, SPEED_LIMIT.

– Un segnale di base per l'azionamento della rampa di arresto rapido nell'apparecchio di base (non

rappresentato nello schema a blocchi).

Inoltre la funzione SS2 genera segnalazioni di stato:

– VOUT_SS2_SFR, funzione di sicurezza SS2 richiesta.

– VOUT_SS2_SSR, stato sicuro SS2 raggiunto

Segnali di uscita SS2 Stato a riposo Funzione di sicurezza richiesta / raggiunta

VOUT_SS2_SFR 0 1

VOUT_SS2_SSR 0 1 (ritardato tramite P0D.01 + P0D.0A)

Tab. 2.43 Segnali di uscita SS2

Identificazione di erroriLa funzione di sicurezza confronta ciclicamente la velocità attuale (ACTUAL_SPEED) con la rampa di

velocità calcolata. Se la velocità attuale per un tempo parametrizzabile “Tempo di tolleranza con

superamento del valore limite” (P0D.02) è al di fuori dell'intervallo di velocità ammesso, viene emesso

l'errore [54-2] SS2_ERR.

Lo stato “Condizione di sicurezza violata” non viene resettato con SS2, se l'attuatore si trova, dopo una

violazione temporanea, nuovamente nell'intervallo ammesso.

Non appena l'attuatore viene frenato fino all'arresto, viene richiesta la funzione di sicurezza SOS, che

dispone di un proprio rilevamento degli errori (monitoraggio della posizione).

EN 61800-5-2 richiede, in caso di una violazione della condizione di sicurezza, come rea

zione all'errore “STO”. In alcune applicazioni possono essere tuttavia sensate anche altre

reazioni all'errore, ad es. “STO + SBC” � sezione 2.8.2.



SequenzaLa sequenza della funzione di sicurezza SS2 è rappresentata nel seguente diagramma:


P0D.05

P0D.00

P0D.01

n

t

nmax

nmin

neff.

P0D.07


P0D.02

Monitoring

P0D.09

P0D.09

SS2 � SOSP0D.06

P0D.0A

P0D.0A

Initial setting for speed ramp (n 0):nmax = neff. + ( | neff. | * P0D.03) + P0D.04)nmin = –P06.09

Initial setting for speed ramp (n 0):nmax = P06.09nmin = neff. – ( | neff. | * P0D.03) – P0D.04)

Fig. 2.21 Diagramma di flusso SS2








Il diagramma di flusso e la seguente descrizione valgono per una velocità positiva neff. per

una velocità negati vale il diagramma raffigurato sull'asse temporale.



Dopo la richiesta di SS2 viene avviata, dal modulo di sicurezza, una rampa di frenatura:

– tramite “Tempo di ritardo fino all'avvio del monitoraggio” (P0D.00) viene definito un tempo di ritar

do. Solo dopo questo tempo viene monitorato il rispetto dei valori limite di velocità attuali.

– tramite “Tempo per la rampa di frenatura” (P0D.01) viene determinato il tempo della rampa di

frenatura.

– Il valore iniziale della rampa di frenatura del monitoraggio, nmax, viene calcolato in base alla formula

nel diagramma, è parametrizzabile attraverso “Rampa di frenatura - fattore valore iniziale” (P0D.03)

e “Rampa di frenatura - Offset valore iniziale” (P0D.04). La rampa termina con velocità = 0 (la tolle

ranza è indicata attraverso il valore limite per il riconoscimento dello stato di fermo “Valore di soglia

della velocità per il riconoscimento dello stato di fermo” (P06.09)).

– Attraverso “Rampa di frenatura - Tempo di ritardo fino all'avvio” (P0D.05) può essere parametrizza

to un tempo di ritardo per l'avvio della rampa di frenatura.

Se la procedura di frenatura con SS2 non deve essere comandata attraverso il modulo di

sicurezza, ma attraverso il comando funzionale, con P0D.05 può essere parametrizzato

un tempo di ritardo della rampa, per compensare il tempo di reazione del comando.

Attraverso il parametro “Limitazione attiva della velocità nell'apparecchio di base” P0D.06 viene inseri

ta la limitazione attiva della velocità nell'apparecchio di base:

– Vengono trasmessi limiti di velocità attuali all'apparecchio di base. I limiti di velocità devono avere

una distanza di sicurezza dai limiti di monitoraggio, questi possono essere impostati tramite il para

metro “Offset della velocità per la limitazione nell'apparecchio di base” (P0D.09).

– Al termine della rampa di frenatura di monitoraggio il limite di velocità è = 0.

– L'apparecchio di base limita attivamente il valore nominale della velocità e, a seconda della para

metrizzazione, anche la velocità di traslazione delle procedure di posizionamento in corso.

Tramite il parametro “Attivazione della rampa di arresto rapido nell'apparecchio di base” (P0D.07)

viene attivato l'arresto rapido nell'apparecchio di base:

– Con la richiesta di SS2 viene attivata automaticamente la rampa di arresto rapido nell'apparecchio

di base, l'attuatore frena con la rampa di arresto rapido fino a zero.

AttenzionePer evitare una violazione della condizione di sicurezza durante la frenatura attraverso

la rampa di arresto rapido dell'apparecchio di base, assicurarsi che il tempo di rampa

parametrizzato tramite P0D.01 sia maggiore rispetto al tempo di frenatura dell'apparec

chio di base sulla rampa di arresto rapido dalla velocità massima.

Il SafetyTool indica, durante la parametrizzazione, un possibile conflitto.

Al termine della richiesta della funzione SS2, vengono resettati i segnali di comando interni per l'arre

sto rapido e la limitazione della velocità nell'apparecchio di base.



Indicazioni per la parametrizzazione modalità a), b) e c) secondo EN 61800-5-2

Modalità Parametrizzazione

Modalità a) Impostare “Limitazione attiva della velocità nell'apparecchio di base” (P0D.06).

Il modulo di sicurezza comanda la rampa di frenatura nell'apparecchio di base

secondo i parametri per la rampa impostati nel modulo di sicurezza.

Modalità b) Impostare “Attivazione della rampa di arresto rapido nell'apparecchio di base”

(P0D.07).

Il modulo di sicurezza induce l'apparecchio di base ad arrestare con la rampa di

arresto rapido e a monitorare contemporaneamente la rampa di frenatura impo

stata nel modulo di base.

Modalità c) Non parametrizzare alcuna rampa di frenatura:

Il comando funzionale deve arrestare l'asse, allo scopo il segnale

VOUT_SS2_SFR o il messaggio cumulativo VOUT_SFR deve essere segnalato al

comando funzionale � sezione B.1.5.

Attraverso “Tempo di ritardo fino all'avvio del monitoraggio” (P0D.00) impostare

il tempo desiderato, fino all'arresto dell'asse e all'intervento del monitoraggio

SS2,in ogni caso maggiore di 4 ms. Precedentemente non viene monitorata

neanche la rampa di frenatura.

“Tempo per la rampa di frenatura” (P0D.01), “Rampa del numero di giri - Tempo

di ritardo monitoraggio” (P0D.0A) impostare sul valore minimo (rispettivamente

2 ms).

Tab. 2.45 Parametrizzazione modalità a), b) e c) secondo EN 61800-5-2

A partire dalla richiesta della funzione di sicurezza SS2 trascorrono i seguenti tempi finché la funzione


Tempi di ritardo da VIN_SS2_RSF Minimo Massimo Tipico

VOUT_SS2_SFR 2,0 ms 2,1 ms 2,0 ms

VOUT_SS2_SSR 2,0 ms + P0D.01

+ P0D.0A

2,1 ms + P0D.01

+ P0D.0A

2,0 ms + P0D.01

+ P0D.0A


zione di sicurezza dopo VOUT_SS2_SFR

2,0 ms + P0D.00

+ P0D.02

2,0 ms + P0D.00

+ P0D.02

2,0 ms + P0D.00

+ P0D.02

Tab. 2.46 Tempi di ritardo SS2

Parametrizzare P0D.00 inferiore alla rampa di frenatura fino a SOS (P0D.01 + P0D.0A).

Se “Tempo di ritardo fino all'avvio del monitoraggio” (P0D.00) viene parametrizzato mag

giore alla rampa di frenatura complessiva fino a SOS (P0D.01 + P0D.0A) allora SOS e il

messaggio SS2_SSR vengono raggiunti solo dopo 2,1 ms + P0D.00.



Parametri per SS2

SS2: Stop sicuro 2N. Nome Descrizione

P0D.00 Tempo di ritardo fino all'avvio del moni

toraggio

Tempo a partire dalla richiesta della funzione di

sicurezza in cui non avviene alcun monitoraggio

del numero di giri.

Per SS2 vengono utilizzati i limiti di monitoraggio

della funzione STO.

P0D.01 Tempo per la rampa di frenatura Tempo a partire dalla richiesta della funzione di

sicurezza al cui scadere le rampe del numero di

giri vengono arrestate e viene raggiunto lo stato

sicuro.

P0D.02 Tempo di tolleranza con superamento

del valore limite

Intervallo di tempo durante il quale il valore effet

tivo del numero di giri può trovarsi al di fuori dei

limiti, prima che venga raggiunto lo stato “Condi

zione di sicurezza violata”.

P0D.06 Limitazione attiva della velocità nel


Se impostato: Comando del numero di giri del


P0D.07 Attivazione della rampa di arresto rapi


Se impostato: Con richiesta della funzione di si

curezza viene tolto il comando di arresto rapido

(linea di pilotaggio) sull'apparecchio di base

P0D.08 Riavvio automatico ammesso Se impostato: Disinserimento della richiesta


Parametri esperti

P0D.0A Rampa del numero di giri - Monitorag

gio del tempo di ritardo

Tempo di ritardo tra l'inizio della rampa del nu

mero di giri, descritta nell'apparecchio di base, e

l'avvio del monitoraggio attraverso il modulo di

sicurezza.

P0D.05 Rampa di frenatura - Tempo di ritardo

fino all'avvio

Tempo di ritardo al cui scadere si avviano le rampe.

P0D.03 Rampa di frenatura - Fattore valore di

start

Fattore per il calcolo del valore di start delle ram

pe del numero di giri

P0D.04 Rampa di frenatura - Offset valore di

start

Offset per il calcolo del valore di start delle ram

pe del numero di giri

P0D.09 Offset della velocità per la limitazione

nell'apparecchio di base

Offset per i limiti del numero di giri per il coman

do dell'apparecchio di base.

Tab. 2.47 SS2: Stop sicuro 2



2.5.5 SOS – Arresto operativo sicuro (Safe Operating Stop)

Applicazione

La funzione qui descritta realizza la funzione di sicurezza SOS secondo EN 6180052.

Utilizzare la funzione “Arresto operativo sicuro” (“Safe Operating Stop”, SOS), se si deve

assicurare nell'applicazione che la posizione del motore o la posizione dell'asse venga

mantenuta attivamente e quindi monitorata in modo sicuro.

La funzione SOS viene anche attivata dalla funzione SS2 e può essere utilizzata come

reazione all'errore (con violazione di altre funzioni di sicurezza richieste). In questo caso

viene attivata attraverso l'impostazione di fabbrica e non è di norma deselezionabile.

FunzioneCon richiesta della funzione di sicurezza SOS questa monitora, dopo un tempo definito, che l'attuatore

venga regolato entro una tolleranza di posizione definita. Se necessario può essere precedentemente

richiesto un arresto rapido nell'apparecchio di base, con cui viene frenato l'attuatore fino allo stato di

fermo. Anche con funzione di sicurezza SOS richiesta al motore viene condotta ulteriore energia, in

modo che possa resistere all'azione di altre forze. La velocità nell'apparecchio di base viene regolata

su zero.

AttenzioneDato che i segnali dell'encoder di posizione possono essere statici durante l'arresto, ad

es. con segnali di traccia SIN/COS, la funzione SOS non può essere richiesta in maniera

illimitata, è necessario di tanto in tanto un movimento dell'asse.

Se SOS viene richiesta per > 24 h, scatta l'errore 54-7.

Il tempo di fermo massimo nella funzione SOS è quindi limitato a 24 h.



La logica per la richiesta della funzione di sicurezza SOS è rappresentata nello schema a blocchi a se

guire:

Safety Function SOS

TIMER+ POSITIONCOMPARATOR1

1

S

R

Q

SS2_SOS_RSF

VIN_SOS_RSF

VIN_SOS_CSF

P0B.03

P0B.0x

ACTUAL_POSITION

[54-3] SOS_ERR

VOUT_SOS_SFR

VOUT_SOS_SSR

Fig. 2.22 Schema a blocchi SOS


Safety Function SOS Funzione di sicurezza SOS

VIN_SOS_RSF Ingresso virtuale: Richiesta SOS

VIN_SOS_CSF Ingresso virtuale: Conclusione della richiesta SOS

ACTUAL POSITION Segnale interno: Posizione attuale

TIMER + POSITION COM

PARATOR

Timer e comparatore della posizione

VOUT_SOS_SFR Uscita virtuale: SOS richiesto

VOUT_SOS_SSR Uscita virtuale: Stato sicuro SOS raggiunto

[54-3] SOS_ERR Segnale di errore interno: Errore 54-3


La funzione di sicurezza SOS viene richiesta come segue:


dotti su VIN_SOS_RSF.

– tramite la funzione di sicurezza SS2, segnale SS2_SOS_RSF.

La richiesta della funzione di sicurezza SOS viene annullata come segue:

– dall'utente attraverso una combinazione di diversi ingressi, che vengono condotti su VIN_SOS_CSF.

– impostando il parametro “Riavvio automatico ammesso” (P0B.03) viene raggiunto un riavvio



Ciò significa: Finché è presente uno dei segnali xxx_RSF, la funzioni di sicurezza non può essere conclu

sa da un segnale xxx_CSF.



Identificazione di erroriLa condizione di sicurezza viene considerata violata se l'attuatore, allo scadere di P0B.00, si muove di

un tratto maggiore rispetto a “Finestra di tolleranza monitoraggio della posizione” (±P0B.01), o se at

traverso la misurazione della velocità viene rilevato un movimento dell'asse.





La condizione di sicurezza viene considerata violata anche se il valore effettivo della posizione assume

lo stato “invalido”, mentre è richiesta la funzione di sicurezza (ad esempio con guasto di un encoder di

posizione).

Se la condizione di sicurezza viene violata, viene emesso un errore. La funzione “SOS” è realizzata

secondo EN 6180052, se la reazione all'errore è parametrizzata su “STO”.

La funzione di sicurezza può essere realizzata indipendentemente se l'asse è referenziato o meno.

SequenzaLa sequenza della funzione di sicurezza SOS è rappresentata nel seguente diagramma:


P0B.00

n

t

neff.


x

P0B.01

P0B.01

P0B.02

Fig. 2.23 Diagramma di flusso SOS








Se parametrizzato con “Attivazione della rampa di arresto rapido nell'apparecchio di base” (P0B.02), il

controllore motore viene informato mediante la linea “Arresto rapido” di arrestare l'attuatore.

Allo scadere del tempo “Tempo di ritardo fino all'avvio del monitoraggio” (P0B.00) viene monitorato

che l'attuatore sia fermo. A questo punto l'uscita “Stato sicuro raggiunto” diventa attiva, se non vi è

alcuna violazione della condizione di sicurezza.

Durante il tempo P0B.00 in corso, il monitoraggio della posizione non è ancora attivo. Allo scadere di

P0B.00 viene memorizzata la posizione effettiva attuale e come utilizzato come valore nominale per la

posizione da monitorare. La posizione viene monitorata comparando ciclicamente il valore effettivo

della posizione con il valore memorizzato.

A partire dalla richiesta della funzione di sicurezza SOS trascorrono i seguenti tempi finché la funzione


Tempi di ritardo da VIN_SOS_RSF Minimo Massimo Tipico

VOUT_SOS_SFR 2,0 ms 2,1 ms 2,0 ms

VOUT_SOS_SSR 2,0 ms + P0B.00 2,1 ms + P0B.00 2,0 ms + P0B.00


zione di sicurezza1) dopo P0B.00 entro

0,0 ms 2,0 ms 2,1 ms

1) La condizione di sicurezza è da considerarsi violata se...

a) la finestra di monitoraggio +/- P0B.01 viene lasciata o

b) se viene riconosciuto un movimento dell'asse dal rilevamento dello stato di fermo entro la finestra di posizione

Tab. 2.50 Tempi di ritardo SOS

Parametri per SOS

SOS: Arresto operativo sicuroN. Nome Descrizione

P0B.00 Tempo di ritardo fino all'avvio del moni

toraggio

Tempo di ritardo dopo la richiesta della funzione

fino all'avvio del monitoraggio

P0B.01 Finestra di tolleranza del monitoraggio

della posizione

Valore limite per il movimento dopo l'assunzione

dello stato “Fermo”

P0B.03 Riavvio automatico ammesso Se impostato: Disinserimento della richiesta


Parametri esperti

P0B.02 Attivazione della rampa di arresto rapi


Invio del comando del freno all'apparecchio di

base (segnale SS1) sì / no

Tab. 2.51 SOS: Arresto operativo sicuro



2.5.6 Funzioni di sicurezza universali USF

Le “Funzioni di sicurezza universali” (Universal Safety Function, USF) ) servono per il

monitoraggio delle grandezze di stato (corsa, velocità e forza / coppia) del motore /

dell'asse.

Attualmente è disponibile:

– la “Funzione della velocità sicura ”(“Save Speed Function”, SSF)

La funzione USF comprende anche i termini di prodotto per “Richiesta”, “Conclusione

richiesta”, gli ingressi e le uscite logici e virtuali (LIN_USFx..., VOUT_USFx...) e i parametri

della gestione degli errori.

Sono disponibili 4 funzioni USF (USF0 … USF3).

2.5.7 Funzioni di sicurezza sicure SSF

ApplicazioneLa “Funzione della velocità sicura ”(“Save Speed Function”, SSF) può essere coniata dalla parametriz

zazione come una delle seguenti funzioni di sicurezza:

– SLS – Rispetto valore limite di velocità (Safely-Limited Speed) � sezione 2.5.8,

– SSR – Intervallo di velocità sicuro (Safe Speed Range) � sezione 2.5.9,

– SSM – Controllo sicuro della velocità (Safe Speed Monitoring) � sezione 2.5.10.

La funzione specifica viene determinata attraverso una parametrizzazione specifica di SSF, vedere le

sezioni a seguire.

Ognuna della 4 funzioni USF contiene una funzione SSF (SSF0 … SSF3). Così è possibile realizzare e

eseguire in parallelo fino a 4 delle funzioni di sicurezza.

FunzioneSSF nelle impronte SLS / SSR / SSM monitorano la velocità dell'attuatore in base ai limiti minimi e

massimi. Se la velocità del motore supera il valore limite, viene emesso l'errore “Violazione della condi

zione di sicurezza”.

I limiti di velocità per il monitoraggio non sono preimpostati in modo statico. SSF può calcolare rampe

di velocità dinamiche e monitorare anche che l'attuatore passi, con velocità a piacere, nell'intervallo di

velocità sicuro desiderato.

Inoltre la limitazione della velocità del controllore motore può essere comandata in modo tale che non

venga violata la condizione di sicurezza.



La logica per la richiesta della funzione di sicurezza SSF0 è rappresentata nello schema a blocchi a

seguire:

Safety Function SSF0


&

1

S

R

Q

VOUT_USF0_SFR

VOUT_USF0_SSR

[53-0] USF0_ERRP0E.00

VIN_USF0_CSF

P0E.0B

P0E.0x

SPEED_LIMIT

VIN_USF0_RSF

ACTUAL_SPEED

Fig. 2.24 Schema a blocchi SSF0


Safety Function SFF0 Funzione di sicurezza SFF0

VIN_USF0_RSF Ingresso virtuale: Richiesta USF0

VIN_USF0_CSF Ingresso virtuale: Conclusione della richiesta USF0


TIMER + SPEED RAMP

GENERATOR


VOUT_USF0_SFR Uscita virtuale: USF0 richiesto

VOUT_USF0_SSR Uscita virtuale: Stato sicuro USF0 raggiunto

[53-0] USF0_ERR Segnale di errore interno: Errore 53-0



La funzione di sicurezza SSF0 viene richiesta come segue:


dotti su VIN_USF0_RSF, se la funzione SSF è stata attivata attraverso il parametro “Attivazione SSF”

(P0E.00/...).

La richiesta della funzione di sicurezza SSF0 viene annullata come segue:

– dall'utente attraverso una combinazione di diversi ingressi, che vengono condotti su

VIN_USF0_CSF.

– impostando il parametro “Riavvio automatico ammesso” (P0E.0B/...) viene raggiunto un riavvio


La funzione FSS0 trasmette i seguenti segnali di comando per il controllo dell'apparecchio di base:

– limitazioni dipendenti dal tempo per la velocità nell'apparecchio di base, SPEED_LIMIT.



Inoltre la funzione SSF0 genera segnalazioni di stato:

– VOUT_USF0_SFR, funzione di sicurezza USF0 richiesta.

– VOUT_USF0_SSR, stato sicuro USF0 raggiunto.

Segnali di uscita USF0 Stato a riposo Funzione di sicurezza richiesta / raggiunta

VOUT_USF0_SFR 0 1

VOUT_USF0_SSR 0 1 (ritardato, vedere tempo di risposta)

Tab. 2.53 Segnalazioni di stato SSF0


Ciò significa: Finché è presente uno dei segnali xxx_RSF, la funzioni di sicurezza non può essere conclu

sa da un segnale xxx_CSF.

Identificazione di erroriLa condizione di sicurezza viene considerata violata se il numero di giri si trova a lungo al di fuori dell'in

tervallo ammesso del tempo “Tempo di tolleranza con superamento della velocità” (P0E.03/...). La

violazione viene considerata eliminata se il numero di giri, durante il tempo “Tempo di tolleranza con

superamento della velocità”, si trova nuovamente all'interno dell'intervallo ammesso.





Se la condizione di sicurezza viene violata, viene emesso un errore che ha come conseguenza una rea

zione all'errore parametrizzabile.

L'errore “Condizione di sicurezza violata” viene generato anche se un encoder di posizione si guasta e

non è più quindi disponibile alcuna informazioni della velocità sicura.



Sequenza delle funzioni di sicurezza � Fig. 2.25 (parametri � Tab. 2.56)

La sequenza della funzione di sicurezza SSF0 è rappresentata nel seguente diagramma:


P0E.06

P0E.01

P0E.02 P0E.08 P0E.0C

n

t

nmax

nmin

neff.

P0E.09


P0E.03P0E.07 P0E.0C

Initial setting for speed ramp:nmax = neff. + ( | neff. | * P0E.04) + P0E.05nmin = neff. � ( | neff. | * P0E.04) � P0E.05If (nmin > nmin_end) => nmin = nmin_endIf (nmax < nmax_end) => nmax = nmax_end

Monitoring

P0E.0D

nmax_end

nmin_endP0E.0D

Fig. 2.25 Diagramma di flusso SSF0








La funzione di sicurezza SSF0 monitora, in stato stazionario, la velocità dell'attuatore. Il corridoio di

velocità ammesso viene definito tramite i parametri “Velocità sicura - limite superiore” (P0E.07/...,

nmax_end) e “Velocità sicura - limite inferiore” (P0E.08/..., nmin_end) (� Fig. 2.25, parte destra).

Se la velocità reale lascia il corridoio della velocità, dopo un tempo di tolleranza, “Tempo di tolleranza

monitoraggio valore limite” (P0E.03/...), viene generato l'errore “Condizione di sicurezza violata”.

L'impronta della funzione di sicurezza SSF come SLS, SSR o SSM viene definita essenzial

mente attraverso la parametrizzazione della velocità terminale:

– “Safely-Limited Speed” (SLS) � sezione 2.5.8,

– “Safe Speed Range” (SSR) � sezione 2.5.9,

– “Safe Speed Monitoring” (SSM) � sezione 2.5.10.



Con richiesta della funzione di sicurezza SSF0 (VOUT_USF0_SFR) viene eseguito un calcolo per la ram

pa di velocità, per spostare l'attuatore partendo dalla velocità attuale nel corridoio della velocità am

messo:

– il calcolo del valore di start nmax e nmin è alla base della velocità effettiva attuale neff. come valore di

start. Sulla base di un parametro Gain “Rampa di frenatura - fattore valore di start” (P0E.04/...) e un

parametro Offset “Rampa di frenatura - offset valore di start” (P0E.05/...) viene calcolato dapprima

una finestra di start per la velocità effettiva attuale.

– La posizione della finestra di start viene posta in relazione al corridoio di velocità desiderato, i valori

di start vengono eventualmente adattati in modo tale da ottenere un corridoio di velocità

trapezoidale assottigliato (confr. Fig. 2.25).

– Il punto di avvio della rampa può essere determinato tramite “Rampa di frenatura - tempo di ritardo

fino all'avvio” (P0E.06/..., valore minimo: 6 ms) il punto finale della rampa tramite “Tempo per la

rampa di frenatura” (P0E.02). Al termine di P0E.02 è raggiunto il corridoio di velocità stazionario e

SSF0 segnala VOUT_USF0_SSR (se la velocità effettiva è nell'intervallo ammesso!).

– Tramite “Tempo di ritardo fino all'avvio del monitoraggio” (P0E.01/...) può essere determinato da

quando la funzione SSF0 monitora la velocità.

Un ritardo della rampa tramite “Rampa di frenatura - tempo di ritardo fino all'avvio”

(P0E.06/...) ha sempre senso se l'asse deve essere frenato attraverso il comando fun

zionale e deve essere condotto nella velocità monitorata. Con P0E.06 può essere com

pensato il tempo di reazione del comando funzionale.

Il modulo di sicurezza può avere accesso in modo attivo alla regolazione dell'apparecchio di base e

limitare così in modo attivo la velocità dell'asse. I valori limite vengono trasmessi in modo ciclico all'ap

parecchio di base:

– la funzione viene attivata attraverso l'impostazione del parametro “Limitazione attiva della velocità

nell'apparecchio di base” (P0E.09/...).

– per assicurare, con limitazione attiva della velocità nell'apparecchio di base, che il valore limite

monitorato venga rispettato in modo sicuro, sono previsti altri parametri:

– attraverso il valore minimo di “Rampa di frenatura - tempo di ritardo fino all'avvio” (P0E.06,

6 ms) vengono compensati i tempi di ciclo interni dell'unità per la trasmissione di segnale del

nuovo valore limite all'apparecchio di base fino all'intervento della regolazione nell'apparecchio

di base.

– attraverso “Rampa del numero di giri - monitoraggio tempo di ritardo” (P0E.0D/...) può essere

ritardato in modo mirato di alcuni millisecondi il monitoraggio di valori di velocità impiegati nel

modulo di sicurezza. Ciò fornisce all'apparecchio di base altro tempo, se ad es. nell'apparecchio

di base è stato selezionato un profilo di traslazione con limitazione dello strappo e se può essere

frenato solo con limitazione dello strappo.

– attraverso “Offset limitazione della velocità” (P0E.0C/...) può essere parametrizzato un offset

della velocità. I limiti di velocità per l'apparecchio di base sono all'interno del corridoio di veloci

tà spostati di P0E.0C/... per il monitoraggio, affinché oscillazioni ridotte della velocità effettiva

non causino l'intervento del monitoraggio.



– Se il limite di velocità superiore ed inferiore per l'apparecchio di base si sovrappongono a causa

di un corridoio molto stretto e dell'offset P0E.0C/..., allora entrambi i limiti vengono impostati

sul valore medio tra il numero di giri minimo e massimo monitorato.

La descrizione vale anche per i parametri delle funzioni SSF1, SSF2 e SSF3.

SSF0 permette l'adattamento di diverse applicazioni.

I parametri di SSF0 sono suddivisi nel SafetyTool in:

– Parametri standard – sono i parametri semplici, che per ogni monitoraggio della

velocità devono essere adattati individualmente all'applicazione.

– Parametri esperti – questi sono parametri per l'ottimizzazione della funzione in unione

con le funzioni di regolazione nell'apparecchio di base, questi parametri sono preim

postati di fabbrica in maniera sensata.

Nella maggior parte delle applicazioni sono necessari solo i parametri standard!

A partire dalla richiesta della funzione di sicurezza SSF0 trascorrono i seguenti tempi finché la funzione


Tempi di ritardo da VIN_USF0_RSF min. max. tipico

Messaggio VOUT_USF0_SFR 2,0 ms 2,1 ms 2,0 ms

Messaggio VOUT_USF0_SSR 8,0 ms +

(P0E.02 + P0E.0D)

8,1 ms +

(P0E.02 + P0E.0D)

8,0 ms +

(P0E.02 + P0E.0D)

Avvio del monitoraggio della

condizione di sicurezza dopo

VOUT_USF0_SFR

2,0 ms + MAX

(P0E.01 ODER

(P0E.06 + P0E.0D))

2,1 ms + MAX

(P0E.01 ODER

(P0E.06 + P0E.0D))

2,0 ms + MAX

(P0E.01 ODER

(P0E.06 + P0E.0D))

Riconoscimento di una violazione

della condizione di sicurezza dopo

P0E.01 o (P0E.06 + P0E.0D) entro

P0E.03 P0E.03 P0E.03

Tab. 2.55 Tempi di ritardo SSF0



Parametri per SSF

SSF: Velocità sicuraN. parametro per ... Nome Descrizione

SSF0 SSF1 SSF2 SSF3

P0E.00 P0E.14 P0E.28 P0E.3C Attivazione SSF Se 1: Richiesta della richiesta

USF eccitata di SSF

P0E.01 P0E.15 P0E.29 P0E.3D Tempo di ritardo fino al

l'avvio del monitoraggio

Tempo a partire dalla richiesta

della funzione di sicurezza in cui

non avviene alcun monitoraggio

del numero di giri

P0E.07 P0E.1B P0E.2F P0E.43 Velocità sicura - limite

superiore

Valore finale della rampa

superiore su nmax_end

P0E.08 P0E.1C P0E.30 P0E.44 Velocità sicura - limite

inferiore

Valore finale della rampa inferiore

su nmin_end

P0E.02 P0E.16 P0E.2A P0E.3E Tempo per la rampa di

frenatura

Tempo a partire dalla richiesta

della funzione di sicurezza al cui

scadere le rampe vengono arre

state e viene raggiunto lo stato

sicuro.

P0E.03 P0E.17 P0E.2B P0E.3F Tempo di tolleranza con

superamento del valore

limite

Intervallo di tempo durante il

quale il valore effettivo della

velocità può trovarsi al di fuori dei

limiti, prima che venga raggiunto

lo stato “Condizione di sicurezza

violata”.

P0E.09 P0E.1D P0E.31 P0E.45 Limitazione attiva della

velocità nell'apparecchio

di base

Se impostato: La limitazione della

velocità viene trasmessa all'ap

parecchio di base, la velocità

viene limitata in modo attivo nel

l'apparecchio di base.

P0E.0B P0E.1F P0E.33 P0E.47 Riavvio automatico

ammesso

Se 1: Disinserimento della richie

sta (riavvio) con ingresso di ri

chiesta inattivo.



SSF: Velocità sicura

N. parametro per ... DescrizioneNome

SSF0

DescrizioneNome

SSF3SSF2SSF1

Parametri esperti

P0E.0D P0E.21 P0E.35 P0E.49 Rampa del numero di giri -

Monitoraggio del tempo di

ritardo

La rampa utilizzata per il monito

raggio della velocità nel modulo

di sicurezza, viene ulteriormente

ritardata rispetto alla rampa pres

critta per l'apparecchio di base.

P0E.06 P0E.1A P0E.2E P0E.42 Rampa di frenatura - Tem

po di ritardo fino all'avvio

Tempo di ritardo al cui scadere si

avviano le rampe di monitoraggio


P0E.04 P0E.18 P0E.2C P0E.40 Rampa di frenatura - Fatto

re valore di start

Fattore per il calcolo del valore di

start delle rampe.

P0E.05 P0E.19 P0E.2D P0E.41 Rampa di frenatura - Off

set valore di start

Offset per il calcolo del valore di

start delle rampe.

P0E.0C P0E.20 P0E.34 P0E.48 Offset limitazione della

velocità

Offset per i limiti di velocità per al

l'avvio dell'apparecchio di base.

P0E.0A P0E.1E P0E.32 P0E.46 Attivazione della rampa di

arresto rapido nell'appa

recchio di base

Se impostato: Con richiesta della

funzione di sicurezza viene tolto il

comando di arresto rapido (linea

di pilotaggio) sull'apparecchio di

base.

Tab. 2.56 SSF: Velocità sicura



2.5.8 SLS – Rispetto valore limite di velocità (Safely-Limited Speed)

La funzione qui descritta realizza la funzione di sicurezza SLS secondo EN 6180052.

Utilizzare la funzione “Rispetto valore limite di velocità” (“Safely-Limited Speed”, SLS), se

si deve impedire nell'applicazione che il motore superi una determinata limitazione della

velocità.

La funzione è contrassegnata da un intervallo di monitoraggio a simmetria zero per la

velocità, i limiti possono essere impostati separatamente.

L'attuatore può essere frenato lungo una rampa di frenatura fino a una velocità accettabi

le, ma la funzione è disattivata. Nel caso più semplice il monitoraggio inizia dopo il tempo

“Tempo di ritardo fino all'avvio del monitoraggio” (P0E.01/P0E.15/P0E.29/P0E.3D). La

velocità massima viene determinata tramite “Velocità sicura - limite superiore”

(P0E.07/P0E.1B/P0E.2F/P0E.43).

Con la seguente parametrizzazione la funzione di velocità sicura SSF corrisponde alla funzione di sicu

rezza SLS (con monitoraggio immediato della velocità senza rampa di frenatura):

Parametrizzazione di SSF come SLSN. parametro per ... Nome Impostazione per la funzione di

sicurezza SLSSSF0 SSF1 SSF2 SSF3

Parametri standard SSF

P0E.00 P0E.14 P0E.28 P0E.3C Attivazione SSF = 1, attivazione



2,0 ms


superiore

Impostazione della velocità limite

positiva per SLS.

P0E.08 P0E.1C P0E.30 P0E.44 Velocità sicura - limite in

feriore

= -P0E.07/-P0E.1B /-P0E.27 /

-P0E.43


frenatura

6,2 ms, valore minimo


superamento del valore li

mite

Valore di default: 10 ms, può es

sere ridotto per un rilevamento

degli errori più rapido.



di base

Può essere impostato.

Parametri esperto SSF: Nessuna modifica rispetto alle impostazioni di fabbrica (importante!)



= 6 ms (più piccolo valore impo

stabile)

Gestione degli errori

P20.00 P20.01 P20.02 P20.03 [53-x] USFx: Condizione di

sicurezza violata

In base alla reazione all'errore ne

cessaria dell'applicazione.

Tab. 2.57 Parametrizzazione di SSF come SLS



2.5.9 SSR – Intervallo di velocità sicuro (Safe Speed Range)

La funzione qui descritta realizza la funzione di sicurezza SRS secondo EN 6180052.

Utilizzare la funzione “Intervallo di velocità sicuro” (“Safe Speed Range”, SSR), se nell'applica

zione deve essere assicurato che la velocità del motore resti entro valori limite definiti.

Con la seguente parametrizzazione la funzione di velocità sicura SSF corrisponde alla funzione di sicu

rezza SSR (con monitoraggio immediato della velocità senza rampa di frenatura):

Parametrizzazione di SSF come SSRN. parametro per ... Nome Impostazione per la funzione di

sicurezza SSRSSF0 SSF1 SSF2 SSF3

Parametri standard SSF

P0E.00 P0E.14 P0E.28 P0E.3C Attivazione SSF = 1, attivazione



2,0 ms


superiore

Impostazione della velocità

superiore per SSR.

P0E.08 P0E.1C P0E.30 P0E.44 Velocità sicura - limite in

feriore

Impostazione della velocità infe

riore per SSR.


frenatura

6,2 ms, valore minimo


superamento del valore

limite

Valore di default: 10 ms, può es

sere ridotto per un rilevamento

degli errori più rapido.



di base

Può essere impostato.

Parametri esperto SSF: Nessuna modifica rispetto alle impostazioni di fabbrica (importante!)



= 6 ms (più piccolo valore impo

stabile)



sicurezza violata

In base alla reazione all'errore ne

cessaria dell'applicazione.

Tab. 2.58 Parametrizzazione di SSF come SSR



2.5.10 SSM – Controllo sicuro della velocità (Safe Speed Monitor)

La funzione qui descritta realizza la funzione di sicurezza SSM secondo EN 6180052.

Utilizzare la funzione “Controllo sicuro della velocità” (“Safe Speed Monitor”, SSM), se

nell'applicazione è necessario un segnale di uscita sicuro per visualizzare se il numero di

giri del motore è al di sotto di un valore limite determinato.

La parametrizzazione di SSM corrisponde a quella per SSR, solo la gestione degli errori deve essere

adattata:

Parametrizzazione di SSF come SSMN. parametro per ... Nome Impostazione per la funzione di

sicurezza SSMSSF0 SSF1 SSF2 SSF3

Parametri standard SSF: Vedere SSR, Tab. 2.58

Parametri esperti SSF: Vedere SSR, Tab. 2.58



sicurezza violata

A seconda dell'applicazione:

– nessuna = [0], o

– nessuna, solo registrazione

memoria diagnostica = [1]

– allarme + registrazione

memoria diagnostica = [2]

Tab. 2.59 Parametrizzazione di SSF come SSM



2.6 Funzioni logiche

2.6.1 Selettore dei tipi di funzionamento

Utilizzo

Utilizzare la funzione logica “Selettore dei tipi di funzionamento” per commutare tra

diversi modi operativi / funzioni di sicurezza del modulo di sicurezza.

Esempio:

Con posizione dell'interruttore su esercizio normale avviene un procedimento normale

dell'impianto, con intervento nell'impianto avviene un arresto, ad es. tramite SS1.

Nella posizione dell'interruttore messa a punto, viene attivata la funzione di sicurezza

SLS, un intervento nell'impianto non deve portare a SS1, dato che la messa a punto è

ammessa.

Gli ingressi DIN45, DIN46 e DIN47 possono essere configurati come ingressi per la selezione dei modi

operativi. Il “Selettore dei tipi di funzionamento” mette a disposizione tre segnali di comando logici

sicuri LIN_D45_SAFE, LIN_D46_SAFE e LIN_D47_SAFE, che possono essere utilizzati per la commuta

zione tra diverse funzioni di sicurezza.

FunzioneLo stato dei tre ingressi DIN45, DIN46 e DIN47 viene raffigurato 1:1 sui segnali logici sicuri

LIN_D45_SAFE, LIN_D46_SAFE e LIN_D47_SAFE.

Se gli ingressi DIN45 ... DIN47 sono configurati come selettore dei tipi di funzionamento, un ingresso

deve condurre il livello high. La funzione logica esegue un monitoraggio 1/N con monitoraggio del tem

po di discrepanza.

Ingressi logici Avviamento del sistema1)

Esercizio normale Stato di errore

LIN_D45_SAFE 1 = LIN_D45 Ultimo stato valido

LIN_D46_SAFE 0 = LIN_D46

LIN_D47_SAFE 0 = LIN_D47

1) Stato fino al riconoscimento di uno stato valido o se la valutazione sicura del selettore dei tipi di funzionamento non è attiva.

Tab. 2.60 Ingressi logici selettore dei tipi di funzionamento



LIN_D45_SAFE

[57-1] IO_ERR

LIN_D45

P02.00

Operating Mode Switch

TIMER+1/N LOGIC

LIN_D46

LIN_D47

P02.01

LIN_D46_SAFE

LIN_D47_SAFE

Fig. 2.26 Schema a blocchi selettore dei tipi di funzionamento


LIN_... Ingressi logici

TIMER + 1/N LOGIC Timer 1 da n logica

[57-1] IO_ERR Segnale di errore interno: Errore 57-1


Identificazione di erroriSe con la funzione selettore dei tipi di funzionamento per tutto un tempo parametrizzabile nessuno o

più di un ingresso ha un livello high, viene emesso un errore e i segnali di ingresso vengono contrasse

gnati come non validi.

Se gli ingressi DIN45 … DIN47 hanno uno stato errato, i segnali LIN_D45_SAFE, LIN_D46_SAFE e

LIN_D47_SAFE mantengono l'ultimo stato senza errori noto.

Tempi di ritardo dal cambio di livello LIN_D... Minimo Massimo Tipico

LIN_D45/46/47_SAFE 2,0 ms 2,1 ms 2,0 ms

Tempo di reazione all'errore con violazione della condizione 1/N 2,0 ms

+ P02.01

2,1 ms

+ P02.01

2,0 ms

+ P02.01

Tab. 2.62 Tempo di risposta del selettore dei tipi di funzionamento



Parametri del selettore dei tipi di funzionamento

Selettore dei tipi di funzionamentoN. Nome Descrizione

P02.00 Attivazione DIN45..DIN47 vengono utilizzati come selettori

dei tipi di funzionamento (1 di 3).

P02.01 Tempo di discrepanza Tempo in cui più di un ingresso contempora

neamente o nessun ingresso può condurre il

livello high.

Tab. 2.63 Selettore dei tipi di funzionamento

2.6.2 Unità di gestione e visualizzazione a due mani

Utilizzo

La funzione logica “Unità di gestione e visualizzazione a due mani” viene utilizzata nel

l'applicazione, al momento in cui il gestore deve abilitare il movimento con due mani, non

appena è al di fuori della zona di pericolo (ad es. applicazioni di pressatura)

UtilizzoL'unità di gestione e visualizzazione a due mani trasmette il segnale di comando LIN_2HAND_CTRL =

LIN_DIN42 OR LIN_DIN43, con cui le funzioni di sicurezza possono essere commutate tramite connes

sioni logiche.

Inoltre monitora la commutazione contemporanea degli ingressi (monitoraggio del tempo di discrepanza).

L'unità di gestione e visualizzazione a due mani occupa entrambi gli ingressi DIN42 e DIN43 (entrambi a

due canali A e B) e può essere attivata solo se per gli ingressi di comando DIN42 e DIN43 è stato sele

zionato come tipo di sensore collegato “Unità di gestione e visualizzazione a due mani”.

I singoli ingressi DIN42 e DIN43 hanno nel modo operativo “Unità di gestione e visualizzazione a due

mani” tutte le funzioni “normali” (equivalenza/antivalenza, segnali di prova, confronto incrociato con 2°

processore ...).

Funzione

Il risultato della connessione di entrambi gli ingressi viene condotto su un ingresso logico separato

LIN_2HAND_CTRL. LIN_2HAND_CTRL rappresenta una connessione OR da LIN_D42 e LIN_D43 ovvero

ha solo lo stato “0”, se entrambi gli ingressi logici hanno lo stato “0”.

LIN_2HAND_CTRL = LIN_DIN42 OR LIN_DIN43



LIN_2HAND_CTRL

[57-1] IO_ERR

LIN_D42

P02.02

Two-Hand Control Unit

TIMER+LOGIC

LIN_D43

P02.03

1

ENABLE

Fig. 2.27 Schema a blocchi unità di gestione e visualizzazione a due mani


LIN_... Ingressi logici

TIMER + LOGIC Timer e logica

ENABLE Segnale di abilitazione



Identificazione di erroriGli stati logici degli ingressi DIN42 e DIN43 devono coincidere. Se questi stati logici differiscono per un

tempo di discrepanza impostabile, viene segnalato un errore.

Il parametro “Tempo di discrepanza” (P02.03) deve essere impostato, di norma, più lungo

rispetto al tempo di discrepanza per il monitoraggio degli ingressi DIN42, DIN43, poiché

così facendo viene escluso il tempo necessario all'utente per premere e rilasciare entram

bi i tasti dell'unità di gestione e visualizzazione a due mani.

Tempi di ritardo dal cambio di livello LIN_D... Minimo Massimo Tipico

LIN_2HAND_CTRL 2,0 ms 2,1 ms 2,0 ms

Tempo di reazione all'errore con violazione del comando a

due mani

2,0 ms

+ P02.03

2,1 ms

+ P02.03

2,0 ms

+ P02.03

Tab. 2.65 Tempo di risposta dell'unità di gestione e visualizzazione a due mani



Parametri dell'unità di gestione e visualizzazione a due mani

Unità di gestione e visualizzazione a due maniN. Nome Descrizione

P02.02 Attivazione DIN42 e DIN43 vengono utilizzati come terminali

a due mani

P02.03 Tempo di discrepanza Tempo in cui gli stati logici di DIN42 e DIN43 pos

sono differire

Tab. 2.66 Unità di gestione e visualizzazione a due mani

2.6.3 Advanced Logic Functions – ALF

Utilizzo

Utilizzare ALF,se si devono realizzare connessioni complesse dei segnali di ingresso logici

LIN_x o se per ragioni di chiarezza nell'applicazione dovesse aver senso riassumere una

determinata combinazione di LIN_x come segnale logico interno sicuro

Con la Advanced Logic Function possono essere connessi in modo logico ingressi ed uscite interni. Così

è possibile realizzare ad es. combinazioni di ingressi speciali. ALF viene utilizzata, se sono necessarie

connessioni logiche complesse e la logica di ingresso (elemento OR con 4 elementi AND a valle con

rispettivamente 7 ingressi) di una funzione di sicurezza non è sufficiente.

Funzione

VOUT_ALFx_OUTVIN_ALFx_IN

Advanced Logic Function

1

P12....

Fig. 2.28 Schema a blocchi Advanced Logic Fuctions


VIN_x_y Ingressi virtuali

VOUT_x_y Uscite virtuali


Tempi di ritardo da VIN_ALFx_IN Minimo Massimo Tipico

VOUT_ALFx_OUT 2,0 ms 2,1 ms 2,0 ms

Tab. 2.68 Tempo di risposta delle Advanced Logic Functions



Parametri delle Advanced Logic Functions

Advanced Logic FunctionsALF... N. Nome Descrizione

ALF0 P12.00 Funzione di trasmissione Selezione delle funzionalità (fix):

Identità (OUT = IN) = [2]

L'uscita ha, con la funzione “Identità”, sem

pre lo stato logico dell'ingresso.

ALF1 P12.03 Funzione di trasmissione



ALF4 P12.0C Funzione di trasmissione

ALF5 P12.0F Funzione di trasmissione



Tab. 2.69 Advanced Logic Functions

2.7 Riavvio

2.7.1 Volume delle funzioni

Tramite la funzione “Riavvio” qui descritta vengono concluse una o più funzioni di sicurez

za in modo che l'attuatore possa “Avviarsi nuovamente”.

In unione con funzioni di movimento sicure, come ad es. SLS significa “Riavvio”, l'attuato

re non può essere più monitorato e può essere traslato nuovamente a piena velocità.

L'utente può determinare separatamente per ogni funzione di sicurezza, quale segnale di comando

debba permettere il riavvio. Allo scopo le funzioni di sicurezza sono dotati dell'ingresso virtuale

VIN_xxx_CSF (Clear Safety Function).

Per ogni funzione di sicurezza deve essere definito un riavvio, eccetto se la funzione di sicurezza è stata

parametrizzata su “Riavvio automatico”. In questo caso il riavvio avviene automaticamente, non appe

na la richiesta per la funzione di sicurezza viene ritirata.

Un riavvio è possibile solo se la richiesta per la funzione di sicurezza è stata precedentemente ritirata.

Una richiesta di una funzione di sicurezza ha sempre priorità rispetto al riavvio.



Nello stato di fornitura l'ingresso a un canale DIN49 è preimpostato sul tipo di sensore

“Conclusione della funzione di sicurezza / riavvio” e commutato come “Riavvio” sulle

funzioni di sicurezza “STO” e “SBC”.

Il segnale LIN_D49_RISING_EDGE fornisce, con ogni fronte di risalita (0 V -> 24 V), a

DIN49 un breve impulso di commutazione di 2 ms, attraverso il quale possono essere

resettate le funzioni di sicurezza.

Tempi di ritardo da LIN_D49_RISING_EDGE Minimo Massimo Tipico

VIN_xxx_CSF fino alla conclusione della funzione di sicurez

za

0,0 ms 2,1 ms 2,0 ms

Tab. 2.70 Tempo di risposta riavvio

AttenzioneControllare se nell'applicazione è ammessa un ingresso di comando a un canale per il riavvio

e se questo deve essere impiegato con controllo del livello o del fronte. Utilizzare...

– LIN_D49, se è ammesso un reset comandato dal livello,

– LIN_D49_RISING_EDGE, se è necessario un reset comandato dal fronte,

– in tutti gli altri casi un ingresso a due canali da LIN_D40 e LIN_D43.

AttenzioneVerificare se dalla valutazione dei rischi per la macchina sussistono requisiti supple

mentari per il comando del riavvio e per la diagnosi del rispettivo ingresso di comando,

ad es. con dispositivo di sicurezza retro giustificabile un reset manuale con comandodel fronte.

2.7.2 Esempi ed indicazioni particolari per l'implementazione

Riavvio al termine di STOFig. 2.29 mostra la struttura per la funzione di sicurezza STO. STO può essere richiesta durante il fun

zionamento tramite VIN_STO_RSF. La richiesta della funzione di sicurezza STO causa il disinserimento

dell'alimentazione del driver nel controllore motore. Per attivare nuovamente l'attuatore dopo richiesta

STO avvenuta, la richiesta deve essere conclusa, come descritto nella � sezione 2.7.1.



VOUT_PS_EN

[54-5] STO_ERR

SS1_STO_RSF

VIN_STO_RSF

ERR_STO_RSF

VIN_STO_CSF

P0A.00

Safety Function STO

TIMERS

R

Q

STO_SBC_RSF1

1 1

P0A.0x

VOUT_STO_SFR

VOUT_STO_SSR

Fig. 2.29 Richiesta di una funzione di sicurezza (esempio STO) / riavvio

Riavvio dopo tacitazione erroriIl gestione degli errori può richiedere, come reazione all'errore, ugualmente la funzione STO (tramite

segnale ERR_STO_RSF). La richiesta viene mostrata in Fig. 2.27, memorizzata nella funzione STO.

Affinché l'attuatore riparta dopo la tacitazione dell'errore, deve aver luogo un riavvio tramite

VIN_STO_CSF, o deve essere impostato il parametro “Riavvio automatico ammesso” (P0A.00) per un

avvio automatico. Ciò vale anche per le funzioni di sicurezza SS1, SS2 e SBC, configurabili come rea

zione all'errore.

Riavvio al termine di SS1La funzione SS1 richiede, al termine della sequenza, STO tramite l'ingresso di comando SS1_STO_RSF.

Come riconoscibile in Fig. 2.29, la richiesta STO viene disattivata automaticamente, quando non è più

presente la richiesta della funzione SS1. La richiesta della funzione STO non deve essere disattivata

separatamente. Ciò vale anche con la richiesta della funzione SS1 in caso d'errore: L'errore deve essere

tacitato e SS1 disattivata, STO non deve essere disattivata separatamente.

Riavvio al termine di SBS

La logica per la richiesta della conclusione della funzione SBC corrisponde a quella per la richiesta di

STO (� sezione 2.5.2, Fig. 2.16)

Oltre alla logica comune SBC può essere comandata tramite il segnale di comando diretto di STO

(STO_SBC_RSF) e di SS1 (SS1_SBC_RSF). Con il riavvio da STO o SS1 avviene anche un riavvio automa

tico da SBC.

Così è possibile implementare diverse condizioni di riavvio nonostante vengano utilizzate

le stesse funzioni di sicurezza:

– richiesta diretta di SBC, riavvio ad es. tramite LIN_D49_RISING_EDGE,

– richiesta indiretta, ad es. tramite SS1, riavvio da SBC insieme al riavvio da SS1, non

appena sono soddisfatte le condizioni per il riavvio (ad es. LIN_D40).



Riavvio al termine di SS2In modo analogo alla combinazione sopra descritta di SS1 e STO funzione la combinazione di SS2 e SOS.

2.8 Gestione degli errori e tacitazione errori

2.8.1 Attivazione degli errori e delle classi di erroreIl modulo di sicurezza esegue le funzioni di sicurezza richieste. Monitora se stesso, gli ingressi e le

uscite e gli encoder di posizione 1 e 2. Con violazione di una funzione di sicurezza o con riconoscimento

di un errore il modulo di sicurezza passa allo stato di errore.

In unione con la tecnica di sicurezza funzionale e il modulo di sicurezza CAMC-G-S3 vi sono errori, che

vengono emessi dall'apparecchio di base e quelli che vengono emessi dal modulo di sicurezza. Sono

suddivisi in diverse classi, che possono essere distinte in base al numero di errore visualizzato sul di

splay a sette segmenti del controllore motore.

I numeri sono composti da un indice principale a due canali (intervallo 51 … 59) con un sottoindice

(intervallo 0 … 9):

Numero errore

Indice prin

cipale

Sottoindice Tipo di errore/classe

Errore apparecchio base

51-x 9 8 7 6 5 4 3 2 1 0 Segnali di comando dal modulo di sicurezza non OK,

tipo di modulo / identificativo non OK

52-x 9 8 7 6 5 4 3 2 1 0 Errore nella sequenza del comando con il modulo di

sicurezza

Errore del modulo di sicurezza

53-x 9 8 7 6 5 4 3 2 1 0 Violazione di una funzione di sicurezza

54-x 9 8 7 6 5 4 3 2 1 0 Violazione di una funzione di sicurezza

55-x 9 8 7 6 5 4 3 2 1 0 Errore di sistema: Rilevamento del valore reale / en

coder di posizione non OK

56-x 9 8 7 6 5 4 3 2 1 0 Errore di sistema: Rilevamento della posizione / con

fronto non OK

57-x 9 8 7 6 5 4 3 2 1 0 Errore di sistema: Ingressi e uscite o segnali di test

interni non OK

58-x 9 8 7 6 5 4 3 2 1 0 Errore di sistema: Comunicazione esterna / interna

non OK

59-x 9 8 7 6 5 4 3 2 1 0 Errore di sistema del firmware / hardware del modu

lo di sicurezza

Tab. 2.71 Campo bit dei numeri di errore (grigio = riservato per espansioni future)

Una descrizione completa di tutti gli errori con possibili cause e rimedi per evitarli è ripor

tata nella � sezione 5.6.



Errore apparecchio base:L'apparecchio di base monitora, in funzionamento, la comunicazione con il modulo di sicurezza e la

plausibilità dei segnali di comando del modulo di sicurezza. Dopo l'accensione l'apparecchio di base

prova, che sia stato montato il tipo di modulo di sicurezza corretto e se ha avuto luogo una sostituzione

del modulo. In caso di errori genera un messaggio di errore con reazione all'errore parametrizzabile

(� descrizione funzioni per CMMP-AS-...-M3, GDCP-CMMP-M3-FW-...).

Errore del modulo di sicurezza:Il modulo di sicurezza esegue le funzioni di sicurezza richieste. Monitora se stesso, gli ingressi e le

uscite e gli encoder di posizione 1 e 2. Con violazione di una funzione di sicurezza o con riconoscimento

di un errore il modulo di sicurezza passa allo stato di errore. Nel modulo di sicurezza si distingue quindi

tra

– errori con violazione di una condizione di sicurezza (53-x e 54-x) – LED acceso permanentemente in rosso

e

– errori di sistema (da 55-x a 59-x) – LED lampeggia in rosso (indicatore LED � sezione 2.10.2)

Gli errori vengono generati dai diversi blocchi funzionali nel modulo di sicurezza:

Ad esempio la funzione di sicurezza SFF genera un segnale di errore, se l'attuatore si trova al di fuori

dell'intervallo di velocità monitorato. Il segnale di errore può anche essere molto breve se l'attuatore

lascia solo brevemente l'intervallo ammesso.

Sia l'apparecchio di base che il modulo di sicurezza dispongono quindi di una memoria diagnostica

interna. Ogni errore, che si presenta durante il funzionamento, viene dapprima riportato e memorizzato

temporaneamente in questo memoria diagnostica.

– La memoria diagnostica dell'apparecchio di base può contenere più di 200 registrazioni, al raggiun

gimento di questo limite vengono sovrascritte le registrazioni più vecchie..

– La memoria diagnostica del modulo di sicurezza comprende 32 registrazioni.

Serve come buffer intermedio, prima che gli errori vengano trasmessi all'apparecchio di base e da

qui alla memoria permanente.

La memoria diagnostica permanente dell'apparecchio di base viene mantenuta anche con

caduta di tensione, facendo sì che sia disponibile uno storico degli errori. Nella memoria

diagnostica permanente vengono registrati, oltre agli errori, anche altri eventi. Una desc

rizione dettagliata è riportata nella � sezione 2.11.

Inoltre sul display a 7 segmenti del controllore motore viene visualizzato il numero di errore, composto

da indice principale e sottoindice. Viene visualizzato l'ultimo errore emesso con priorità massima (nu

mero di errore). Gli errori successivi con priorità inferiore vengono registrati sì nella memoria diagnosti

ca, ma non visualizzati sul display a 7 segmenti.

Uno stato di errore resta invariato finché non viene confermato.



Violazione di condizioni di sicurezzaI segnali “Condizione di sicurezza violata” delle singole funzioni di sicurezza vengono riassunti, a secon

da della reazione all'errore parametrizzata, in un messaggio d'errore cumulativo o un messaggio di

allarme cumulativo. Così può essere comando, ad es., il relè di segnalazione. I messaggi generali stessi

non portano ad una reazione all'errore.

La reazione all'errore viene determinata individualmente per ogni funzione di sicurezza � sezioni

4.6.12 e B.2.

Un errore viene emesso una volta con la prima violazione della condizione di sicurezza dopo la richiesta

della funzione di sicurezza. Una violazione ripetuta della condizione di sicurezza porta nuovamente ad

un messaggio di errore solo dopo la tacitazione dell'errore.

L'uscita “Condizione di sicurezza violata” indicato lo stato attuale. Esempio:

1. viene richiesto SLS.

2. velocità al di fuori dell'intervallo ammesso } messaggio d'errore, uscita attiva.

3. velocità nuovamente nell'intervallo ammesso } l'uscita diventa inattiva.

4. velocità nuovamente al di fuori dell'intervallo ammesso } uscita attiva, nessun nuovo messaggio

d'errore.

Reazione a grandezze di stato difettoseFinché non viene richiesta una funzione di sicurezza, non viene monitorata o controllata la validità delle

grandezze di ingresso (ad es. segnale di velocità, segnale del rilevamento dello stato di fermo).

Mentre viene richiesta o raggiunta la funzione di sicurezza, viene monitorata la validità delle grandezze

di ingresso. Se viene riconosciuto un errore, questo porta al rispettivo messaggio d'errore “Condizione

di sicurezza violata”.

Vi è un parametro esperto nascosto P09.00, con cui può essere applicata una maschera,

per escludere le singole funzioni di sicurezza dalla generazione degli stati VOUT_SSR e

VOUT_SCV.

Ciò può essere sensato se si desidera utilizzare le funzioni di sicurezza per l'osservazione,

ad es. “Safe Speed Monitor, SSM”, e se devono essere eliminate dai messaggi dello stato

d'esercizio.

Se necessario rivolgersi al partner di riferimento regionale di Festo.



2.8.2 Parametrizzazione della reazione all'errore del modulo di sicurezzaPer molti errori dei gruppi da 53-x a 57-x la reazione all'errore può essere configurata in un intervallo

allargato. Per un errore critico la selezione è limitata o completamente interdetta. Ogni errore causa la

reazione all'errore assegnata, indipendentemente dalla sequenza temporale in cui si presenta. Se sono

presenti contemporaneamente più errori, allora vengono eseguite contemporaneamente anche più

reazioni all'errore.

Con la violazione di una condizione di sicurezza, il modulo di sicurezza deve rispettare uno stop definito

dell'asse, a seconda della categoria di stop richiesta (STO, SS1, SS2, event. SBC).

Con errori di sistema il volume delle razioni all'errore richiesto dipende dal fatto se la funzione sicura

del modulo di sicurezza può essere garantita o meno.

Sono disponibili le seguenti reazioni all'errore (cominciando con priorità massima):

[8] richiesta STO + SBC + impostare tutte le uscite digitali su “0”

[7] richiesta STO + SBC

[6] richiesta STO

[5] richiesta SS1 + SBC

[4] richiesta SS1

[3] richiesta SS2

[2] generazione di un allarme (display del controllore motore), nessuna ulteriore reazione

[1] nessuna reazione, solo registrazione nella memoria diagnostica

[0] nessuna reazione, nessuna registrazione nella memoria diagnostica

AttenzioneIn caso di errori e di dubbio l'attuatore deve essere disattivato il più velocemente possi

bile (STO), l'unità di bloccaggio o il freno d'arresto deve intervenire (SBC) e le uscite

sicure devono essere disinserite tutte quante, questa è la reazione all'errore [8].

Questo stato è lo “Stato di base sicuro” del modulo di sicurezza.

– Non è più possibile un apporto di energia al motore.

– Un movimento viene arrestato tramite un'unità di bloccaggio esterna con proprietà

di arresto d'emergenza.

– L'elettronica successiva esterna viene disinserita / portata nello stato sicuro.

Controllare quale reazione all'errore è necessaria nell'applicazione Safety, in caso di

dubbio selezionare quella massima [8].



2.8.3 Logica per la tacitazione errori

Attraverso la funzione qui descritta “Tacitazione degli errori” vengono resettati gli errori

che si sono presentati. Questo è il presupposto per un riavvio dopo gli errori.

Attraverso un fronte di risalita del segnale di comando VIN_ERR_QUIT possono essere tacitati gli errori.

Il segnale di comando deve essere collegato con un ingresso digitale.

La configurazione avviene come la configurazione della richiesta o del riavvio della funzione di sicurez

za. Commutare un ingresso di comando su VIN_ERR_QUIT ed azionare l'ingresso affinché il modulo di

sicurezza lasci lo stato d'errore.

Con stato alla consegna e dopo il reset alle impostazioni di fabbrica è previsto l'ingresso

DIN48 per la funzione “Tacitazione degli errori”. Gli errori vengono tacitati con il fronte di

risalita (0 V -> 24 V).

Un errore può essere tacitato (rimossi dalla memoria diagnostica “temporanea” del modulo di sicurez

za) solo se non esiste la condizione di errore. Al momento della tacitazione il modulo di sicurezza con

trolla sistematicamente tutte le condizioni di errore e cancella le registrazioni degli errori che sono stati

eliminati. I restanti errori vengono mantenuti. Dopo una procedura di tacitazione, il modulo di sicurezza

scrive una registrazione “Tacitazione degli errori” nella memoria “permanente” dell'apparecchio di

base. Al termine della tacitazione degli errori vengono nuovamente registrati nella memoria diagnostica

gli errori presenti.

Al termine della tacitazione degli errori nel modulo di sicurezza, questo invia un comando “Errore di

tacitazione” all'apparecchio di base, in modo che l'errore che si presenta nell'apparecchio di base

venga tacitato.

Il modulo di sicurezza possiede così una funzione master per la tacitazione degli errori.

– Gli errori che vengono tacitati nel modulo di sicurezza, vengono tacitati anche nell'ap

parecchio di base.

– I numeri di errore, che vengono generati dal modulo di sicurezza (da 53-x a 59-x) pos

sono essere tacitati esclusivamente dal modulo di sicurezza.

– L'apparecchio di base può tacitare, con una tacitazione degli errori tramite comando

funzione o tramite I/O, solo i numeri di errore che vengono generati anche dall'appa

recchio di base.

La tacitazione degli errori del modulo di sicurezza avviene esclusivamente tramite l'ingresso di coman

do configurato.

Tempi di ritardo LIN_D48 fino a ... Minimo Massimo Tipico

VIN_ERR_QUIT fino alla cancellazione della memoria dia

gnostica temporanea e il cambio del modo operativo

4,0 ms 20 ms 10 ms

VIN_ERR_QUIT fino alla cancellazione dell'errore nell'appa

recchio di base e lo stato di pronto dell'apparecchio di base

20 ms 500 ms 100 ms

Tab. 2.72 Tempo di risposta della tacitazione errori



AttenzioneCon violazione di una condizione di sicurezza, l'errore può essere tacitato solo se le

grandezze di stato dell'attuatore sono nuovamente nell'intervallo definito.

Esempio - Violazione SOS:

Dopo che è stata richiesta STO, l'asse viene mosso dall'intervallo di tolleranza –> Viene generato l'erro

re [54-3] violazione SOS. L'errore può essere tacitato solo se:

– l'asse viene ricondotto nell'intervallo ammesso, o (alternativa)

– la richiesta della funzione di sicurezza SOS è stata conclusa (riavvio).

In conseguenza della violazione di SOS viene eseguita come reazione all'errore un'altra funzione di

sicurezza, in questo esempio SS1.

Per un riavvio dopo una “Violazione SOS” è necessaria la seguente sequenza:

1. Conferma riavvio

–> Conclude la funzione SOS, SS1 (su reazione all'errore) continua ad essere eseguita

2. Tacitazione degli errori

–> Cancella l'errore “Violazione SOS”

3. Riavvio

–> Conclude la funzione di sicurezza SS1 –> L'asse/Il motore può ripartire

Gli errore delle seguenti funzioni di sicurezza possono essere tacitati anche con funzione

di sicurezza richiesta:

STO, SS1, SBC, USF/SSF in tutte e tre le impronte SLS, SSR, SSM.



2.9 Uscite digitali

2.9.1 Uscite sicure a due canali DOUT40 … DOUT42 [X40]

Utilizzo

Utilizzare le uscite sicure a due canali per:

– trasmettere segnalazioni di stato sicure al dispositivo di comando esterno.

– comandare centraline di sicurezza.

– sempre accese possono essere utilizzate come fonte per gli impulsi di prova.

Funzione

Il modulo di sicurezza dispone di tre uscite sicure DOUT40A/B, DOUT41A/B, DOUT42A/B. Le uscite

sono liberamente configurabili e possono essere occupate da diverse funzioni (funzione di sicurezza

richiesta, stato sicuro raggiunto, errore ...). Lo stato d'esercizio del modulo di sicurezza o delle singole

funzioni di sicurezza può essere così segnalato verso l'esterno:

– per segnalare lo stato di sicurezza agli attuatori successivi,

– per richiedere le funzioni di sicurezza negli attuatori successivi con modulo di sicurezza CAMC-G-S3,

– per segnalare lo stato di sicurezza ad un comando di sicurezza esterno o ad un comando funzionale,

– per comandare attuatori esterni sicuri, ad es. un'unità di bloccaggio, uno scarico valvole, una chiu

sura della porta o simili.

Schema a blocchi

DOUT4xA

[57-0] IO_ERR

LOUT_D4x

P02.3x

DOUT40 ... DOUT42

DRIVER+ TEST PULSE GENERATOR+ FEED BACK EVALUATION DOUT4xB

0 VPS

+ 24 V

0 VPS

Fig. 2.30 Schema a blocchi delle uscite sicure a due canali





DRIVER + TEST PULSE GENERATOR +

FEED BACK EVALUATION

Driver, generazione impulsi di prova e valutazione

DOUT4...A / DOUT4...B Uscite digitali a due canali



Il comando dell'uscita avviene tramite la selezione di uno o più segnali VOUT_x, impostati su LOUT_D4x.

Ogni uscita digitale sicura è configurabile come segue (P03.30 per DOUT40):

– sempre OFF (DOUT40A/B = 0 V),

– sempre ON (DOUT40A/B = 24 V),

– a commutazione equivalente,

– a commutazione antivalente.

La lunghezza degli impulsi di prova è parametrizzabile (P03.31 per DOUT40).

Si possono utilizzare uscite per monitorare i sensori passivi mediante impulsi di prova.

Allo scopo configurare una delle uscite su “sempre on” e utilizzare le uscite DOUT4x A/B

per l'alimentazione dell'apparecchio di commutazione � sezione 3.3,

Esempi di cablaggio.

Le seguenti tabelle mostrano l'assegnazione del segnale logico LOUT_D4x al livello di uscita per uscite a

commutazione equivalente o antivalente:

Uscita DOUT40/41/42 equivalente Stato a riposo Stato sicuro richiesto

LOUT_D40/41/42 1 0

DOUT40A/41A/42A 24 V 0 V

DOUT40B/41B/42B 24 V 0 V

Tab. 2.74 Segnali logici DOUT40/41/42 equivalenti

Uscita DOUT40/41/42 antivalente Stato a riposo Stato sicuro richiesto

LOUT_D40/41/42 1 0

DOUT40A/41A/42A 24 V 0 V

DOUT40B/41B/42B 0 V 24 V

Tab. 2.75 Segnali logici DOUT40/41/42 antivalenti



Le uscite sicure (inclusa l'uscita a impulsi) devono sempre seguire il principio della cor

rente di riposo, ciò significa, il livello low è nello stato sicuro.

L'utente deve assicurare al momento della configurazione che il segnale di comando

LOUT_D40 è stato invertito, in modo che questo principio sia assicurato.

L'utente deve garantire che un'uscita senza tensione porti ad uno stato sicuro dell'intero

sistema.

Ogni uscita digitale sicura può essere utilizzata come uscita di ciclo per l'alimentazione dei sensori pas

sivi, in questo caso viene configurata su “sempre ON”.

Identificazione di erroriI driver di uscita sono realizzati a due canali e in modo ridondante. I livelli di uscita su DOUT4xA/B ven

gono resettati durante il funzionamento dai due microcontrollori. Entrambi i microcontrollori emettono

impulsi di prova dalle uscite, che vengono resettate e valutate alternatamente.

Con queste misure vengono riconosciuti in modo sicuro cortocircuiti da 24 V, 0 V e cortocircuiti trasver

sali tra le uscite a scelta. In caso di errore l'uscita passa allo stato sicuro (DOUT4xA/B disinserito, o 0 V).

Viene generato un messaggio d'errore [57-0] IO-ERR.

Con errori interni gravi che fanno sì che uno o entrambi i microcontrollori non comandino più in modo

sicuro lo stato delle uscite, tutte le uscite vengono disinserite insieme, anche con uscite antivalenti

entrambi i pin A/B vengono commutati sul livello low.

Esempi per questi tipi di errore:

– tensione d'esercizio errata,

– sensori di posizione errati,

– errore di memoria, errore Stack,

– il monitoraggio della sequenza di programma segnala un errore, errore di comunicazione interno

Diagramma di timingFig. 2.31 mostra, a titolo di esempio, il tempo di risposta con disinserimento e reinserimento dell'uscita

DOUT40. Gli impulsi di prova con livello high sono ugualmente rappresentati. Sono sfalsati dal punto di

vista temporale per tutte le uscite.



DOUT40A

DOUT40B

DOUT40A

DOUT40B

VOUT_x Ts < 2,5 ms

P02.31

P02.31

P02.31

P02.31

Digital Output DOUT40A/B

Equivalent (P02.30 = 1)

Antivalent (P02.30 = 2)

Ts < 2,5 ms

LOUT_D40 LOUT_D40 = NOT(VOUT_x)

Fig. 2.31 Diagramma di timing delle uscite sicure a due canali


VOUT_x Uscite virtuali


DOUT40A, DOUT40B Uscite digitali a due canali

Equivalent / Antivalent Equivalente / Antivalente


A partire dal comando di un'uscita sicura passano i seguenti tempi prima della commutazione dei pin di

uscita:

Tempi di ritardo da LOUT_D4x fino all'uscita cambio di livello Minimo Massimo Tipico

Tempo di ritardo Ts 0,0 ms 2,5 ms 0,5 ms

Durata degli impulsi di prova (P02.31, ...) 0,4 ms 10,0 ms 1,0 ms

Tab. 2.77 Tempi di ritardo DOUT40 … DOUT42



Parametri per le uscite digitali a due canali

N. parametro per uscita ... Nome Descrizione

DIN40 DIN41 DIN42

P02.30 P02.32 P02.34 Modo operativo Modalità: Off (0 V) / equivalente /

antivalente / ON (24 V)

P02.31 P02.33 P02.35 Lunghezza dell'impulso di

prova

Lunghezza dell'impulso di prova

Tab. 2.78 Parametri uscite digitali a due canali

2.9.2 Comando del freno interno del controllore motore [X6]

Utilizzo

Il controllore motore dispone di interruttori di potenza integrati per il comando sicuro del

freno. Viene commutato sia il collegamento +24 V che il collegamento 0 V del freno d'arre

sto tramite transistor di potenza separati.

Il comando del freno d'arresto avviene si solito in modo funzionale tramite il controllore

motore. Gli interruttori di potenza possono anche essere utilizzati in unione con

CAMCGS3, per comandare un'unità di bloccaggio o un freno d'arresto tramite la fun

zione di sicurezza SBC.

Il comando del freno integrato sull'uscita [X6] soddisfa i requisiti PL d / cat. 3 secondo

EN ISO 13849, o SIL 2 secondo EN 61800-5-2.

FunzioneIl modulo di sicurezza interviene attivamente nel comando del l'interruttore High-Side e Low-Side nel

controllore motore. L'intervento avviene in modo diverso sul modulo di sicurezza tramite i due micro

controllori attraverso i segnali BR+_BASEUNIT e BR-_BASEUNIT. Lo stato low del rispettivo segnale

disattiva il rispettivo transistor di potenza, il freno d'arresto interviene.

Nello stato di fornitura il comando interno del freno è configurato in modo tale che una

richiesta della funzione di sicurezza SBC provochi un disinserimento dei segnali

BR+_BASEUNIT e BR-_BASEUNIT.

Osservare la polarità del segnale di comando dalla funzione SBC:

VOUT_SBC_BRK_ON = 1 significa che l'unità di bloccaggio o il freno d'arresto deve inter

venire.

Il segnale di comando deve essere invertito:

LOUT_BRAKE_CTRL = NOT(VOUT_SBC_BRK_ON)



Schema a blocchi

BR+_BASEUNITLOUT_BRAKE_CTRL

P02.37

Internal Brake

DRIVER+ TEST PULSE GENERATOR

BR-_BASEUNIT

[57-0] IO_ERR

P02.36

Fig. 2.32 Schema a blocchi del comando sicuro del freno nell'apparecchio di base


LOUT_BRAKE_CONTROL Uscita logica del comando del freno

DRIVER + TEST PULSE GENERATOR Driver e generazione impulsi di prova

BR+_BASEUNIT/BR-_BASEUNIT Segnali interni: Comando del freno



Uscita segnali di comando BR+ / BR- Comando sicuro del frenonon alimentato

Comando sicuro del frenoalimentato

LOUT_BRAKE_CTRL 1 0

BR+_BASEUNIT 0 1

BR-_BASEUNIT 0 1

Tab. 2.80 Segnali logici BR+_BASEUNIT/BR-_BASEUNIT

Identificazione di erroriCon gli impulsi di prova viene controllata la funzione dell'interruttore HighSide e LowSide in funzione.

La lunghezza degli impulsi di prova è parametrizzabile (P02.37). Il controllo tramite impulsi di prova

avviene separatamente per ogni interruttore di potenza nell'apparecchio di base sempre se il comando

sicuro del freno è alimentato. La durata dell'impulso è parametrizzabile. Attraverso un segnale di con

ferma interno viene misurata la tensione sull'uscita del freno sicura del modulo di sicurezza.

Vengono individuati i seguenti errori

– cortocircuito di BR+ a 24 V.

– cortocircuito di BR- a 0 V.

In caso di errore viene generato l'errore [57-0] IO_ERR.



Il comando del freno integrato sull'uscita [X6] è adatto per unità di bloccaggio o freni

d'arreso con 24 V e un assorbimento di corrente di max. 2 A � Dati tecnici uscita freno

nella descrizione hardware GDCP-CMMP-AS-G3-HW-...

In alternativa il comando dell'unità di bloccaggio o del freno d'arresto può avvenire attra

verso un'uscita digitale sicura (da DOUT40 a DOUT42) e un apparecchio di commutazione

del freno esterno � vedere esempi nella sezione 3.3.5 e 3.3.6.

Diagramma di timingFig. 2.33 mostra, a titolo di esempio, il tempo di risposta con disinserimento e reinserimento dell'uscita

del freno interna [X6]. Gli impulsi di prova con unità di bloccaggio o freno d'arresto alimentata/o sono

ugualmente rappresentati. Sono sfalsati dal punto di vista temporale.

X6.x BR+

X6.y BR-

VOUT_SBC_BRK_ON Ts < 4,0 ms

P02.37

Ts < 4,0 ms

LOUT_BRK_CONTROLLOUT_BRK_CONTROL = NOT(VOUT_SBC_BRK_ON)

P02.37

Internal Brake

Fig. 2.33 Diagramma di timing del comando del freno integrato nell'apparecchio di base


VOUT_SBC_BRK_ON Uscita virtuale comando freno interno

LOUT_BRK_CONTROL Uscita logica comando freno interno

X6.x BR+ / X6.y BR- Segnali sui contatti dell'uscita del freno nell'apparecchio di base


A partire dal comando del freno interno passano i seguenti tempi prima della commutazione dei pin di

uscita su [X6]:

Tempi di ritardo da LOUT_BRAKE_CTRL fino al cambio dilivello dell'uscita del freno [X6] dell'apparecchio di base

Minimo Massimo Tipico


Durata degli impulsi di prova (P02.37) 0,4 ms 10,0 ms 1,0 ms

Tab. 2.82 Tempi di ritardo freno interno



Parametri per il comando sicuro del freno interno

Freno internoN. Nome Descrizione

P02.37 Lunghezza dell'impulso di prova Lunghezza dell'impulso di prova

Tab. 2.83 Parametri freno interno

2.9.3 Contatto di segnalazione C1, C2 [X40]

Utilizzo

Il contatto di segnalazione a potenziale zero viene preferibilmente utilizzato come uscita

diagnostica. Lo stato d'esercizio del modulo di sicurezza può essere così segnalato ad un

comando di sicurezza esterno.

FunzioneIl contatto di segnalazione è ad un canale e non può essere utilizzato come parte di una catena di sicu

rezza.

Il contatto non dispone di contatti forzati per il monitoraggio orientato alla sicurezza del funzionamento

senza errori. Il contatto di segnalazione a potenziale zero è configurabile proprio come un'uscita sicura,

ma non possono essere emessi impulsi di prova per il controllo degli ingressi digitali.

Il contatto è realizzato come contatto di sicurezza. A riposo / in assenza di corrente il contatto è aperto,

allo stesso modo durante l'inizializzazione ed il power off/on del modulo di sicurezza.

Schema a blocchi

C1

LOUT_RELAIS

Signal Relais C1/C2

DRIVER

C2

RELAIS

Fig. 2.34 Schema a blocchi dell'uscita a relè a potenziale zero


LOUT_RELAIS Uscita logica contatto di feedback

DRIVER Driver


Uscita contatto di segnalazione Stato a riposo Attiva

LOUT_RELAIS 0 1

Contatto C1/C2 aperto chiuso

Tab. 2.85 Segnali logici contatto di segnalazione



Identificazione di erroriLo stato del contatto di commutazione non viene monitorato.

Allo consegna il contatto di segnalazione è preconfigurato come segue:

Contatto chiuso se non è presente alcun errore e tutte le funzioni di sicurezza richieste

confermano lo stato sicuro (messaggio generale VOUT_SSR “Safe State Reached”).

Diagramma di timingFig. 2.35 mostra, a titolo di esempio, il tempo di risposta con disinserimento e reinserimento del contat

to di segnalazione.

VOUTx

Signaling contact C1/C2

C1/C2

Ts < 20 msRelay Output

OPEN

Ts < 20 ms

CLOSED OPEN

Fig. 2.35 Diagramma di timing del contatto di segnalazione a potenziale zero


VOUTx Uscita virtuale

OPEN / CLOSED (Contatto a relè) aperto / chiuso


A partire dal comando del relè passano i seguenti tempi prima della commutazione dei pin di uscita:

Tempi di ritardo da LOUT_RELAIS fino alla commutazionedel relè

Minimo Massimo Tipico


Tab. 2.87 Tempi di ritardo uscita a relè

Il contatto di segnalazione è realizzato come relè miniatura.

La durata e la resistenza del ciclo di commutazione del relè dipende essenzialmente dal

misura e dal tipo di carico del contatto di relè.

Tab. A.12 nell'appendice A.1.6 descrive i dati elettrici del contatto di segnalazione.



2.9.4 Alimentazione ausiliaria +24 V [X40]L'alimentazione ausiliari può essere impiegata per l'utilizzo del contatto di feedback C1/C2 o per ali

mentare sensori attivi esterni.

Il modulo di sicurezza mette a disposizione dell'interfaccia X40 una tensione continua di 24 V con un

carico ammissibile di massimo 100 mA.

L'uscita per 24 V viene protetta tramite PTC contro il sovraccarico e il cortocircuito.

Tab. A.13 nell'appendice A.1.7 descrive i dati elettrici dell'alimentazione ausiliaria.



2.10 Stato d'esercizio e indicazioni di stato

2.10.1 Stati del sistema / macchina di stato

Fig. 2.36 mostra il passaggio di stato del modulo di sicurezza all'avvio dopo il Power ON.

Modulo terminale attivatoUscite senza tensione

Modulo terminale bloccatoUscite senza tensione

Modulo terminale attivato, se non è stata violata alcuna condizione di sicurezzaErrore di sistema

Errore di sistema non tacitabile,ad es. Stack, RAM, processore,difetto hardware

Pronto all'esercizio, nessuna funzione di sicurezzaFunzione di sicurezza richiestaStato sicuro raggiuntoCondizione di sicurezza violataErrore di sistema tacitabile

Esercizio

Avviare la parametrizzazioneTacitazione errore

Errore di comunicazione

Timeout

Avviare la parametrizzazione

Struttura dellacomunicazionebus di sistema

Parametrizzazione in corso

Terminare laparametrizzazione,parametrovalidato

Terminare laparametrizzazione,parametronon validato

Avviare laparametrizzazione

Parametrizzazioneapparecchio di base

Caricare parametri

Nessun parametropresente

Inizializzazione 2

Inizializzazione 1

Indicatore LED

– Parametro presente– Parametro validato– Set di parametri = default

– Nessun parametro – Parametro non validato– Password resettata

Fig. 2.36 Stati del “Sistema intero”



Descrizione degli stati del “Sistema intero”– Nella fase di inizializzazione 1 hanno luogo test di sistema basilare dell'hardware e del firmware.

– Poi il set di parametri viene caricato dalla memoria FLASH del modulo e controllato:

– Il modulo di sicurezza controlla se è presente un set di parametri sicuro valido nel modulo di

sicurezza. Un set di parametri sicuro e valido è presente se tutti i singoli parametri sono validati

e se anche il set possiede complessivamente la marcatura “validato”.

– Controlla se il modulo di sicurezza si trova nello stato di fornitura. Nello stato di fornitura tutti i

singoli parametri sono validati ma il set di parametri ha la marcatura “non validato”. Inoltre nel

set di parametri è impostato l'identificativo “Stato di fornitura”.

Nello stato di fornitura l'apparecchio di base può essere messo in servizio e il motore può

essere avviato. Il modulo di sicurezza è preconfigurato con le funzioni di sicurezza STO e

SBC, che possono essere richieste tramite DIN40, e offre così una protezione minima

� sezione 4.4.2 o 4.4.1.

– Se tutti i singoli parametri non sono validati o il set di parametri complessivo possiede l'identificati

vo “non validato” e non è presente alcun stato di fornitura, il modulo di sicurezza passa allo stato

“Servizio di assistenza” e attende una parametrizzazione dall'esterno.

Nello stato “Servizio di assistenza” il motore e l'apparecchio di base non possono essere

messi in servizio. Il modulo di sicurezza ha tutte le uscite sicure e anche i segnali di

comando interni all'unità per l'abilitazione del modulo terminale e il freno d'arresto

disattivati.

– Alla conclusione di una parametrizzazione segue una seconda inizializzazione.

– Poi viene creata la comunicazione con l'apparecchio di base.

– Se finora non è stato determinato alcun errore e il modulo di sicurezza di un set di parametri sicuro

e valido e complessivamente validato, passa allo stato “Esercizio”, in cui possono essere richieste

ed eseguite le funzioni di sicurezza. Nello stato “Esercizio” tutti i moduli lavoro in base alle loro

funzionalità specificate.

– Se vengono rilevati errori di sistema, ad es. un encoder di posizione difettoso, il modulo di sicurezza

passa allo stato “Errore di sistema” che può essere lasciato solo dopo eliminazione dell'errore e

successiva tacitazione degli errori o con un riavvio del sistema.

Fig. 2.37 mostra il passaggio di stato del modulo di sicurezza con “Esercizio” in corso.

– Finché non è richiesta alcuna funzione di sicurezza continua ad esserci lo stato “Pronto all'eserci

zio”.

– Se viene richiesta almeno una funzione di sicurezza, il modulo di sicurezza passa allo stato “Fun

zione di sicurezza richiesta”. Il monitoraggio è già attivo, ma lo stato sicuro non è ancora raggiunto,

ad es. perché viene eseguita una traslazione sulla rampa di velocità.

– Segue lo stato “Stato sicuro raggiunto”, il monitoraggio è attivo, l'attuatore si trova nello stato

sicuro.

– Lo stato “Condizione di sicurezza violata” viene assunto in caso di errore. Può essere lasciato solo

tramite la tacitazione degli errori.



Richiesta della funzione di sicurezza

non richiesto

Con questi passaggi viene generato un errore , che porta alla reazione all'errore parametrizzata

Funzione di sicurezzarichiesta

Concludere la richiesta

Concluderela richiesta

Concludere larichiesta

Condizione disicurezza violata

Stato sicuro raggiunto

Stato sicuro raggiunto, a seconda della rispettiva funzionedi sicurezza

Grandezza di stato fuori / dentro l'intervalloconsentito

Grandezza di stato fuori / dentro l'intervalloconsentito

Fig. 2.37 Stati delle funzioni di sicurezza “Esercizio”

Le funzioni di sicurezza non possiedono alcun comando sequenziale e generano segnala

zioni di stato e messaggi di errore (esempio funzione di sicurezza SS1 � sezione 2.5.3,

Fig. 2.18). Dagli stati di errore o di esercizio delle singole funzioni di sicurezza o logiche

vengono generati diversi segnalazioni di stato cumulativo.

I messaggi generali vengono implementati in modo formale come uscite virtuali. Essi vengono restituiti

rispettivamente come ingressi logici.

Così possono essere comandate uscite (ad es. relè di segnalazione) in funzione dello stato di sistema, e

possono essere comandate funzioni di sicurezza in funzione dello stato di sistema.

Le segnalazioni di stato cumulativo vengono descritte di seguito.

VOUT_READY: “Pronto all'esercizio, nessuna funzione di sicurezza richiesta”

Il segnale “Pronto all'esercizio, nessuna funzione di sicurezza richiesta” diventa “1” non è presente

alcun messaggio d'errore, la cui reazione superi un allarme e se non viene richiesta alcuna funzione di

sicurezza.

VOUT_SERVICE: “Servizio di assistenza”, il modulo di sicurezza deve essere parametrizzatoIl segnale “Servizio di assistenza” diventa “1” se il set di parametri del modulo non è valido, se è in

corso una sessione di parametrizzazione o se non è presente alcun set di parametri. Nel set di paramet

ri esiste un identificativo, con cui il modulo di sicurezza può riconoscere se si tratta dello stato di forni

tura (=set parametri standard).



AttenzioneSe la somma di controllo del set di parametri è errata, allora è un errore interno grave

che porta allo stato “Errore di sistema”.

VOUT_SFR: “Safety Function Requested” / “Funzione di sicurezza richiesta”Il segnale “Funzione di sicurezza richiesta” diventa “1” se viene richiesta almeno una funzione di sicu

rezza. Resta attivo finché non vengono resettate tutte le richieste.

VOUT_SSR: “Safe State Reached” / “Stato sicuro raggiunto”Il segnale “Stato sicuro raggiunto” diventa “1” se con tutte le funzioni di sicurezza richieste è attiva

l'uscita “Stato sicuro raggiunto”, e se è stata richiesta almeno una funzione di sicurezza.

VOUT_ERROR: “System Error” / “Errore di sistema interno”

Il segnale “Errore cumulativo” diventa “1” se è presente almeno un errore la cui reazione è parametriz

zata con priorità maggiore rispetto ad “Allarme”. Sono esclusi gli errori della categoria “Condizione di

sicurezza violata”, che possiedono una propria segnalazione di errore cumulativo.

Osservazione: Questo è il caso se è presente o un errore tacitabile di un modulo e se il sistema comple

to si trova nello stato “Errore di sistema” o “Errore di comunicazione”.

VOUT_SCV: “Safety Condition Violated” / “Condizione di sicurezza violata”Il segnale “Condizione di sicurezza violata” diventa “1” se è presente almeno un errore di categoria

“Condizione di sicurezza violata” nella gestione degli errori e se la reazione a questo errore ha una

priorità maggiore rispetto a “Allarme”.

VOUT_WARN: “Allarme”Il segnale “Allarme” diventa “1” se è presente almeno un errore la cui reazione è parametrizzata con

“Allarme”. Sono esclusi gli errori della categoria “Condizione di sicurezza violata”.

VOUT_PS_EN: “Power Stage Enable” / “Pronto per l'attivazione del modulo terminale”

Il segnale “Pronto per l'attivazione del modulo terminale” raffigura direttamente lo stato del blocco

impulsi sicuro (funzione di sicurezza STO). È “1” se l'alimentazione del drive è abilitata dal modulo di

sicurezza e “0” se l'alimentazione del driver è disinserita tramite la funzione di sicurezza STO.



2.10.2 Segnalazione di stato sul modulo di sicurezzaPer l'indicazione di stato della funzione di sicurezza, il modulo di sicurezza è dotato di un LED sulla

parte frontale � sezione 5.4.1.

Il LED di stato indica lo stato d'esercizio del modulo di sicurezza. L'indicazione deve essere utilizzato

esclusivamente per la diagnosi e non orientato alla sicurezza.

Se sono presenti contemporaneamente più stati, che hanno come conseguenza una visualizzazione,

viene visualizzato lo stato con priorità massima, le priorità sono rappresentate in Tab. 2.88.

La visualizzazione avviene con luce continua o lampeggio con circa 3 Hz.

Indicatore LED Messaggio di stato Prio Stato modulo di sicurezza

Stato interno

luce rossa

lampeggiante

VOUT_ERROR = 1 7 “Errore di sistema” Il sistema completo si trova

nello stato “Errore di siste

ma” o “Errore di comunica

zione”.� � � � �

illuminato in

rosso

VOUT_SCV = 1

VOUT_SFR = 1

6 “Safety Condition

Violated”, reazione

all'errore avviata

Violazione di almeno una del

le funzioni di sicurezza at

tualmente richieste.� � � � �

illuminato in

giallo

VOUT_SSR = 1

VOUT_SFR = 1

5 “Safe State Reached”,

stato sicuro raggiunto

Tutte le funzioni di sicurezza

richieste si trovano nello sta

to “Stato di sicurezza rag

giunto”.� � � � �

luce gialla

lampeggiante

VOUT_SFR = 1 4 “Safety Function

Requested”

Il segnale è attivo non appe

na viene richiesta almeno

una funzione di sicurezza.

Resta attivo finché non vengo

no resettate tutte le richieste.

� � � � �

rosso/verde

lampeggiante

VOUT_SERVICE = 1

VOUT_PS_EN = 1

3 “Stato di fornitura” Lo stato di fornitura può es

sere distino trami

te VOUT_PS_EN da “Stato di

assistenza”.� � � � �

verde

lampeggiante

VOUT_SERVICE = 1

VOUT_PS_EN = 0

2 “Stato di assistenza” Nessun parametro presente,

parametro non valido o para

metrizzazione in corso.� � � � �

illuminato in

verde

VOUT_READY = 1

VOUT_PS_EN = 1

1 “Ready”, pronto

all'esercizio

Pronto all'esercizio, nessuna

funzione di sicurezza richie

sta, nessun errore.� � � � �

spento VOUT_READY = 0

VOUT_PS_EN = 0

0 “Inizializzazione

in corso”

Inizializzazione 1: Caricare

parametri, inizializzazione

2: Struttura della comunica

zione.

� � � � �

Tab. 2.88 Stati di sistema e messaggi



2.10.3 Display a 7 segmenti del controllore motoreIl display a 7 segmenti del controllore motore mostra informazioni supplementari � sezione 5.4.2, ad es.:

– visualizzazione della funzione di sicurezza attiva.

– visualizzazione di messaggi di errore del modulo di sicurezza con numeri di errore univoci. Le fun

zioni di stop già richieste (STO, SS1, SS2, SOS) hanno una priorità di visualizzazione superiore ri

spetto alle altre funzioni di sicurezza � sezione 5.6.

– visualizzazione di una sessione di parametrizzazione attiva.

2.11 Memoria diagnostica permanente e temporanea nel controlloremotore

Nella memoria permanente del controllore motore vengono memorizzati in modo permanente le segna

lazioni diagnostiche (in modo sicuro contro la caduta di rete). Questa memoria è composta da 2 seg

menti, che vengono riempiti uno dietro l'altro. Quando entrambi i segmenti sono pieni, viene cancellato

automaticamente il segmento più vecchio. In questo modo è presente una memoria per così dire ad

anello per la disposizione permanente dei messaggi memorizzati.

Il controllore motore gestisce una memoria diagnostica permanente, contenuta nella memoria non

volatile dell'apparecchio di base e che resta così invariata anche con caduta di tensione / power off. La

memoria diagnostica permanente serve per il salvataggio non volatile di errori e altri eventi.

La memoria diagnostica permanente è composta da due blocchi, che verranno descritti alternatamen

te. Se un blocco è pieno, viene cancellato l'altro blocco. L'architettura della memoria presuppone che

con una procedura di cancellazione la metà delle registrazioni inserite venga persa.

La memoria diagnostica permanente viene utilizzata sia dal modulo di sicurezza che dal controllore

motore. Le registrazioni del controllore motore sono a carico dello spazio di memoria disponibile nel

complesso. Non vi è un prenotazione dello spazio di memoria per il modulo di sicurezza.

Lo stato e i messaggi di errore vengono inseriti cronologicamente, le registrazioni più vecchie vengono

cancellate se un blocco è pieno.

In riferimento al modulo di sicurezza vengono protocollati i seguenti eventi nella memoria diagnostica

permanente:

– apertura di una sessione di parametrizzazione (anche prova di apertura)

– chiusura di una sessione di parametrizzazione

– modifica / ripristino della password

– salvataggio del set di parametri nel modulo di sicurezza

– errori e allarmi

– tacitazione di errori

– modifica di una funzione di sicurezza (attivabile)

Il protocollare della richiesta di una funzione di sicurezza è disattivato di fabbrica, se

necessario può essere attivato attraverso il parametro P20.4A.

Una registrazione nella lista degli errori è rappresentata nel FCT come segue:



N. N.guasto

Fault Description [Descrizione del guasto]

Timestamp[Marcatura

temporale]

Constant[Costante]

Free Parameter [Parametri liberi]

Type[Tipo]

1 00-21 Registrazione Log dal

modulo di sicurezza

580:15.03 0x0000 Errore resettato, fonte:

0x01, senza errori

Errori

2 00-8 Controllore attivato 580:15.00 0x0000 0x0000 Errori

3 00-12 Sostituzione del modu

lo: Modulo attuale

580:15.22 0x4830 CAMC-G-S3, S/N:

1212820487, revisione

HW: 1.0, revisione SW: 1.0

Errori


lo: Modulo precedente

580:15.22 0x48FF CAMC-DS-M1, S/N:



Errori

... ... ... ... ... ... ...

Tab. 2.89 Esempi di registrazioni nella memoria diagnostica permanente dell'apparecchio di base con

messaggi di errore del modulo di sicurezza

Una registrazione nella memoria diagnostica permanente contiene le seguenti informazioni:

– numero corrente

– numero di stato o di errore, composto da indice principale e sottoindice, con breve descrizione

– parametri diagnostici con rappresentazione esadecimale:

1 x 16 bit costante

1 x 32 bit parametro libero (significato a seconda dell'errore)

– marcatura temporale, tempo di sistema attuale del contaore d'esercizio nel controllore motore

I messaggi d'errore del modulo di sicurezza contengono eventualmente ulteriori informazioni supple

mentari che vengono rappresentate in una registrazione successiva. Così la registrazione n. 2 ottiene le

informazioni supplementari della registrazione dell'errore n. 1.

In caso di richiesta di supporto documentare sempre l'informazione dell'errore completa,

specialmente i parametri diagnostici e anche le registrazioni successive.

I parametri diagnostici contengono informazioni interne ad es. in quale modulo di programma

e in che condizioni si è presentato l'errore. Queste informazioni sono pensate per il produttore

e possono essere, in alcuni casi, di grande aiuto per la soluzione del problema.

È possibile leggere l'intera memoria diagnostica dell'unità ed esportarla in un file CSV. Il

file contiene tutto lo storico errori dell'apparecchio e può essere utilizzato per il riconosci

mento degli errori e per richieste di supporto.



2.12 Tempo di risposta

2.12.1 Tempi di scansione

Il modulo di sicurezza lavoro con un rilevamento ciclico di tutte le grandezze d'ingresso e d'uscita.

Il rilevamento avviene con due frequenze di ciclo fisse � Tab. 2.90.

Ciclo Frequenza discansione

Tempo diciclo

Funzione

TSample tip. 8 KHz tip. 125 μs Il ciclo viene sincronizzato internamento sul ciclo di scan

sione della regolazione dell'apparecchio di base, interval

lo TSample = 100 μs – 200 μs

– Rilevamento di tutti gli ingressi e le uscite

– Valutazione dell'encoder di posizione

– Calcolo del filtro

– Generazione degli impulsi di prova

– Comunicazione interna

TLogic 500 Hz 2 ms Ciclo di scansione fisso per le funzioni di sicurezza

– Calcolo delle funzioni di sicurezza

– Calcolo delle funzioni logiche

– Macchina di stato, gestione degli errori

– Andamento di segnale LIN_x -> VOUT_x

Tab. 2.90 Tempi di scansione del modulo di sicurezza

Il rilevamento dei segnali di ingresso è sottoposto ad un jitter massimo di TLogic + TSample.

Un segnale di ingresso viene rilevato il più velocemente possibili, tuttavia al massimo

dopo 2,125 ms. Anche l'avvio di una funzione di sicurezza è sottoposto a questo jitter

riferito al segnale di ingresso. Il jitter è considerato nei tempi di reazione specificati dei

singoli blocchi funzionali.

2.12.2 Tempo di reazione con richiesta di una funzione di sicurezza

Il tempo di reazione del modulo di sicurezza è composto da tre componenti (Fig. 2.38):

DOUT40A/BINPUT FILTER+LOGIC

Safety Functions

Safety Function

STO

Logic

......

...

LIN_D40

VIN_x_yLIN_x

VOUT_STO_SFR

VOUT_x

VOUT_STO_SSR

DIN40A/B Output Driver +Test Pulse Unit

Logic

LOUT_x

...

TI TL TO

Fig. 2.38 Tempi di reazione del modulo di sicurezza (rappresentazione schematica, particolare da

Fig. 2.3)



TI : Tempo del cambio di segnale sull'ingresso fino alla rappresentazione dello stato di ingresso nel

segnale di ingresso logico LIN_x. Il tempo dipende dalle impostazioni del filtro di ingresso

� sezione 2.4.

TL : Tempo per l'esecuzione della funzione di sicurezza o logica di LIN_x fino all'emissione dello stato

in VOUT_x. Il tempo dipende dalle impostazioni delle funzioni di sicurezza e logiche, specificato

in � sezioni 2.5 e 2.6.

TO : Tempo per l'emissione della informazioni di stato VOUT_x sulle uscite digitali. Il tempo dipende

dai ritardi di inserzione delle uscite � sezione 2.8.

Se i segnali di uscita VOUT_x riconducono agli ingressi LIN_x, occorre osservare che si

presenta un tempo di ciclo supplementare di TLogic.

Esempio: Utilizzo delle funzioni logiche estese per la richiesta di una funzione di sicurezza

attraverso il segnale LIN_ALFx_OUT.

� Se possibile le funzioni di sicurezza devono essere richieste direttamente, per ridurre i

tempi di ciclo.

Il tempo di reazione risultante fino all'esecuzione della funzione di sicurezza è composto da:

Tres = TI + TL

Esempio: Richiesta STO tramite DIN40, richiesta rapida P02.08 impostata

Tempi di reazione Minimo Massimo Tipico

Indicazione per TI per DIN4x dalla Tab. 2.20, sezione 2.4.2


(P02.08/P02.0D/P02.12/P02.17 = 1)

0,5 ms 2,5 ms 1,5 ms

Indicazione per TL per STO dalla Tab. 2.29 sezione 2.5.1

Tempo di reazione fino al disinserimento dell'alimentazione del

driver dell'apparecchio di base e del modulo terminale OFF

2,5 ms 4,5 ms 3,5 ms

Somma: 3,5 ms 7,0 ms 5,0 ms

Il tempo fino alla segnalazione di stato, che la funzione di sicurezza è stata richiesta, si calcola da

Tres = TI + TL + TO

Esempio: Richiesta SOS tramite DIN40, P02.08 =0, P02.04 = 3 ms, P0B.00 = 2 ms


Indicazione per TI per DIN4x dalla Tab. 2.20, sezione 2.4.2

Tempo di reazione senza “Richiesta di rilevamento rapido”

e 3 ms di tempo di filtraggio

3,5 ms 5,5 ms 4,5 ms

Indicazione per TL per SOS dalla Tab. 2.50, sezione 2.5.5

Output VOUT_SOS_SSR con P0B.00 = 2 ms 4,0 ms 4,1 ms 4,0 ms

Indicazione per TO attraverso DOUT40 dalla Tab. 2.77, sezione 2.9.1


Somma: 7,5 ms 12,1 ms 9,0 ms



2.12.3 Tempo di reazione con violazione di una funzione di sicurezzaIl tempo di reazione del modulo di sicurezza con il presentarsi di movimenti pericolosi o con guasto di

un encoder di posizione è composto anch'esso da tre componenti (Fig. 2.39):

DOUT40A/B

Safety Function

SS1

Logic

......

... VOUT_STO_SFR

VOUT_STO_SSR

Output Driver +Test Pulse Unit

Logic

...

TF TL TO

Fig. 2.39 Calcolo della velocità e dell'accelerazione (rappresentazione schematica, particolari da

Fig. 2.5 e Fig. 2.3)

TF : Tempo dal presentarsi del movimento pericoloso,fino alla raffigurazione nel modulo di sicurezza

(filtro per segnali di velocità), o tempo fino al riconoscimento dell'encoder di posizione difettoso

� Tab. 2.10, sezione 2.3.4.

TL : Tempo per l'esecuzione della funzione di sicurezza o logica di LIN_x considerando gli eventuali

tempi di tolleranza fino all'emissione del segnale di errore VOUT_xxx_SCV � sezione 2.5.

TO : Tempo per l'emissione della informazioni di stato VOUT_x sulle uscite digitali. Il tempo dipende

dai ritardi di inserzione delle uscite � sezione 2.8.

Attivazione di un movimento pericoloso: Il tempo di reazione fino al riconoscimento interno del modulo

della violazione è composto da:

Tres = TF + TL

Esempio: Funzione di sicurezza SSF0, coniata come SLS, tempo di tolleranza P0E.03 = 4 ms

Funzione dell'encoder con filtro del numero di giri P06.08 = 8 ms


Rilevamento dell'errore pericoloso TF

Ritardo del segnale nel filtro del numero di giri, P06.08 8,0 ms 8,1 ms 8,0 ms

Funzione di sicurezza SS0, TL

Tempo di reazione considerando il tempo di tolleranza P0E.03 4,0 ms 6,0 ms 5,0 ms

Somma: 12,0 ms 14,1 ms 13,0 ms

Attivazione di un movimento pericoloso: Il tempo fino all'emissione sicura della segnalazione di stato,

che la funzione di sicurezza è stata violata, si calcola da

Tres = TF + TL + TO



Esempio: Come prima, output tramite DOUT40





Tempo di reazione considerando il tempo di tolleranza

P0E.03 = 4 ms

4,0 ms 6,0 ms 5,0 ms

Indicazione per TO attraverso DOUT40 dalla Tab. 2.77, sezione 2.9.1


Somma: 12,0 ms 16,6 ms 13,5 ms

Attivazione di un movimento pericoloso: Il tempo dal presentarsi di un movimento pericoloso fino alla

reazione all'errore (qui STO) e fino al disinserimento sicuro del modulo terminale, si calcola da

Tres = TF + TL,SSF0 + TL,STO

Esempio: Come prima, disinserimento dell'attuatore tramite reazione all'errore STO





Tempo di reazione considerando il tempo di tolleranza

P0E.03 = 4 ms

4,0 ms 6,0 ms 5,0 ms




2,5 ms 4,5 ms 3,5 ms

Somma: 14,5 ms 18,6 ms 16,5 ms

Rilevamento di un encoder di posizione difettoso. Il tempo dal presentarsi di un errore nell'encoder di

posizione fino alla reazione all'errore (qui STO) e fino al disinserimento sicuro del modulo terminale, si

calcola da

Tres = TF + TL,STO

Esempio: Attivazione errore dell'encoder, disinserimento dell'attuatore tramite reazione

all'errore STO


Rilevamento dell'errore dell'encoder TF

Identificazione di errori nella valutazione dell'encoder 10,0 ms 10,1 ms 10,0 ms




2,5 ms 4,5 ms 3,5 ms

Somma: 12,5 ms 14,6 ms 13,5 ms



2.12.4 Altri tempi per il rilevamento degli errori e la comunicazioneUlteriori tempi di ritardo / tempi di reazione all'errore in Tab. 2.91.

Descrizione Tempo TF massimo

La funzione di sicurezza viene richiesta, le grandezze di stato

non sono disponibili Condizione di sicurezza violata

2 ms

Ingresso: Errore StuckAt riconosciuto, assenza impulsi di prova < 16 s

Uscita: Errore StuckAt riconosciuto, assenza impulsi di prova < 16 s

Ingressi a due canali:

Errore equivalente / antivalente sull'ingresso

(tempo di discrepanza)

Parametrizzabile, tipico 100 ms

(P02.05, P02.0A, P02.0F, P02.14)

Unità di gestione e visualizzazione a due mani:

Violazione di tempo contemporaneità (tempo di discrepanza)


(P02.03)

Selettore dei tipi di funzionamento:

Violazione 1-di-N (tempo di discrepanza)


(P02.01)

Errore RAM, errore Flash, errore Stack, errore CPU, errore svol

gimento di programma

a seconda del tipo di errore 2 ms …

8 h

Confronto incrociato dati μC1 / μC2 conduce errori < 16 s

Tensione d'esercizio errata: Tempo tra il presentarsi dell'errore

e l'intervento della reazione

≤ 2 ms

Encoder angolare digitale: Errore di comunicazione, errore ciclo

quattro (pacchetti EnDat errati o mancanti)

≤ 2 ms

Altro encoder angolare [X2B]:Tempo di ritardo per la trasmis

sione dei dati dall'apparecchio di base

≤ 400 μs, tipico 250 μs

Trasmissione dei limiti del valore nominale (comando della

funzioni di sicurezza limiti del valore nominale nel controllore

motore)

≤ 2 ms

Tab. 2.91 Altri tempi di ritardo / tempi di reazione all'errore

2.13 Interruttore DIP

Sulla parte frontale del modulo di sicurezza si trovano gli interruttori DIP. Questi non hanno funzioni di

sicurezza. Il significato dei singoli interruttori dipende dall'interfaccia utilizzata per la comunicazione

Fieldbus.

Grazie agli interruttori DIP è possibile attivare/disattivare la comunicazione Fieldbus o ad es. impostare

un indirizzo utenza.

Le informazioni sull'impostazione dell'interruttore DIP sono riportate in � Descrizione

Montaggio e installazione, GDCP-CMMP-M3-HW-...

3 Montaggio e installazione



3.1 Montaggio / Smontaggio

Il modulo di sicurezza CAMC-G-S3 è adatto esclusivamente per l'integrazione nel controllore motore

CMMP-AS-…-M3. Non può essere azionato al di fuori del controllore motore.

AllarmePericolo di scossa elettrica con modulo di sicurezza non montato.

Il contatto di parti in tensione causa lesioni gravi e può portare alla morte.

Per evitare il contatto di parti in tensione con i lavori di manutenzione, riparazione e

pulizia e con lunghe interruzioni d'esercizio:

1. Diseccitare l'impianto elettrico agendo sull'interruttore principale e poi assicurarlo

per evitare inserimenti non desiderati.

2. Dopo la disattivazione attendere un tempo di scarica di 5 minuti, prima che si inter

venga sul controllore.

AttenzioneDanneggiamento del modulo di sicurezza o del controllore motore dovuto a manipola

zione impropria.� Prima dei lavori di montaggio ed installazione disinserire le tensioni di alimenta

zione. Inserire le tensioni di alimentazione se i lavori di montaggio e manutenzione

sono completamente conclusi.

� Mai estrarre o inserire, con tensione, il modulo di sicurezza dal/nel controllore

motore!

� Osservare le prescrizioni di impiego dei componenti sensibili alle correnti elettrosta

tiche. Non toccare i componenti, i circuiti stampati e i pin del blocchetto nel control

lore motore. Afferrare il modulo di sicurezza solo dalla piastra frontale o dalla ruota

della piastra.



Montaggio del modulo di sicurezza1. Inserire il modulo di sicurezza nelle guide.

2. Serrare le viti. Rispettare la coppia di serraggio 0,4 Nm ± 10%.

Risultato: La piastra frontale è in contatto conduttivo con il

corpo.

Smontaggio del modulo di sicurezza

1. Svitare le viti.

2. Staccare di alcuni millimetri il modulo di sicurezza facendo

leva sulla copertura frontale o tirando il controconnettore

ed estrarlo dallo slot.

Fig. 3.1 Montaggio / Smontaggio



3.2 Installazione elettrica

3.2.1 Norme di sicurezza

AllarmePericolo dovuto a perdita della funzione di sicurezza!

In dispositivi a macchina senza effetto eccetto le forze si presume di norma che la perdi

ta di energia porti nello stato sicuro (principio della corrente di riposo). Ciò deve essere

mostrato/confermato dall'analisi dei pericoli e dei rischi dell'applicazione.

La mancanza di una funzione di sicurezza può causare lesioni gravi irreversibili, ad es.

dovute a movimenti involontari di attuatori collegati.

� In base all'applicazione provvedere ad un'alimentazione di tensione sicura o pre

vedere altre misure adeguate.

Con l'installazione devono essere soddisfatti i requisiti della norma EN 60204-1. Se ciò non è possibile,

può aver luogo, ad es., un'esclusione degli errori tramite una centraline di sicurezza con riconoscimen

to del cortocircuito trasversale.

AllarmePericolo di scossa elettrica con fonti di tensione senza misure di sicurezza.

� Per l'alimentazione logica elettrica utilizzare esclusivamente circuiti elettrici PELV

secondo EN 60204-1 (Protective Extra-Low Voltage, PELV).

� Osservare i requisiti generali previsti dalla norma per i circuiti elettrici PELV secondo

EN 60204-1.

� Utilizzare solo sorgenti di tensione in grado di garantire un sezionamento elettrico

sicuro della tensione d'esercizio da altri circuiti elettrici attivi secondo EN 60204-1.

La protezione contro le scosse elettriche (protezione dal contatto diretto e indiretto) viene ottenuta

impiegando circuiti elettrici PELV secondo EN 60204-1. L'alimentatore 24 V utilizzato nel sistema deve

controllare l'interruzione di tensione definita in EN 60204-1.

Il collegamento dei cavi avviene a due connettori. Così facendo anche ad es. con sostituzione del modu

lo di sicurezza, i cavi possono rimanere collegati ai connettori.

Assicurarsi, che non possano essere applicati ponti o simili parallelamente al cablaggio di

sicurezza, ad es. con l'utilizzo della diametro massimo del conduttore di 1,5 mm² o mani

cotti terminali dei conduttori adatti con colletto di isolamento.

Per il collegamento al terminale delle linee tra apparecchi vicini utilizzare manicotti termi

nali dei conduttori gemelli.

Protezione contro le scariche elettrostaticheIn caso di connettori non occupati, sussiste il pericolo di danneggiare l'apparecchio o altre parti dell'im

pianto per effetto delle scariche elettrostatiche (ESD, electrostatic discharge). Mettere a terra le parti

dell'impianto prima dell'installazione ed utilizzare equipaggiamento di protezione dalle scariche elet

trostatiche adatto (ad es. fascette di terra ecc.).



3.2.2 Messa a terraSe si utilizza un cavo di collegamento schermato per [X40]:

Mantenere la parte del cavo non schermata più corta possibile ( 50 mm), per il collegamento dello

schermo utilizzare un nastro di terra corto con connettore piatto 6,3 mm.

Inserire il connettore piatto per il collegamento dello schermo nel collegamento previsto per la messa a

terra (� Fig. 2.1 nella sezione 2.1.4, collegamento 7 ).

3.2.3 Collegamento [X40]Il modulo di sicurezza CAMC-G-S3 possiede sul lato frontale un'interfaccia combinata per il comando e

la conferma mediante il raccordo ad innesto [X40].

– Esecuzione sull'unità: PHOENIX MINICOMBICON MC 1,5/8-GF-3,81 BK

– Connettore (nel volume di fornitura): PHOENIX MINICOMBICON MC 1,5/8-STF-3,81 BK

Il set del controconnettore composto da controconnettori per X40A e X40B è ordinabile

anche separatamente: Assortimento connettori NEKM-C-9.



Connettore Pin Denominazione Descrizione (impostazione di fabbrica1))

X40A X40B Raccordo a innesto X40A

1 DIN40A Ingresso digitale 40 a due canali

(Impostazione di fabbrica: Dispositivo di arresto d'emer

genza, richiesta STO e SBC)2 DIN40B


4 DIN42B

5 DOUT40A Uscita digitale 40 a due canali

6 DOUT40B

7 DIN44 Ingresso digitale 44

(Impostazione di fabbrica: Segnale di conferma fremo)

8 DIN45 Ingressi digitali 45, 46, 47

(Impostazione di fabbrica: Selettore dei tipi di fun

zionamento)

9 DIN46

10 DIN47


(Impostazione di fabbrica: Tacitazione errori).


(Impostazione di fabbrica: Conclusione funzione di sicu

rezza con fronte di risalita).

Raccordo a innesto X40B


14 DIN41B


16 DIN43B

17 DOUT41A Uscita digitale 41, a due canali

18 DOUT41B

19 DOUT42A Uscita digitale 42, a due canali

20 DOUT42B

21 C1 Contatto di segnalazione, contatto di relè

(Impostazione di fabbrica: Stato sicuro raggiunto, nes

suna condizione di sicurezza violata).

– aperto: “Funzioni di sicurezza non attive”

– chiuso: “Funzioni di sicurezza attive”

22 C2

23 GND24 0 V, potenziale di riferimento per DINx / DOUTx / +24 V

24 +24 V Uscita 24 V, alimentazione ausiliaria ad es. per periferica

di sicurezza

(24 V DC alimentazione logica del controllore motore).

1) Funzione nello stato di fornitura o dopo il reset sull'impostazione di fabbrica (parametrizzazione preliminare)

Tab. 3.1 Occupazione dei connettori [X40]

Per assicurare le funzioni di sicurezza, gli ingressi di comando a due canali devono essere collegati in

parallelo, esempio vedere Fig. 3.2.



3.2.4 Cablaggio minimo per la prima messa in funzione [X40]

AttenzionePerdita della funzione di sicurezza!



� Prima della prima messa in servizio, spiegare quali funzioni di sicurezza sono neces

sarie durante la fase di messa in servizio, per garantire la sicurezza dell'impianto

anche in questa fase prima dello consegna.

Di norma è necessaria almeno una funzione d'arresto d'emergenza sicura!

La messa in servizio in base alle direttiva macchine è il primo utilizzo conforme della mac

china ad opera dell'utente finale. Qui si intende la messa in servizio ad opera del produt

tore della macchina durante il montaggio della macchina stessa.

Se nella fase di messa in servizio non è (ancora) necessario un cablaggio di sicurezza, il modulo di sicu

rezza CAMC-DS-M1 può essere utilizzato. Il CAMC-G-S3 può essere montato solo dopo la messa in ser

vizio funzionale degli assi nel controllore motore.

Se nella fase di messa in servizio sono necessarie solo le funzioni di sicurezza STO e SBC (arresto

d'emergenza), la prima messa in servizio del controllore motore CMMP-AS-...-M3 con un modulo di

sicurezza CAMC-G-S3 con un cablaggio minimo dovrebbe avvenire secondo Fig. 3.2 (� sezione 3.3.1)

con un interruttore di arresto d'emergenza ( 2 ). Allo scopo utilizzare un modulo di sicurezza, che si

trova nello “Stato di fornitura” (lampeggia in rosso/verde � � � � � ), � sezione 2.10.2,

Tab. 2.88). Nello stato di fornitura sono già preparate le funzioni di sicurezza STO e SBC.

AttenzioneLe funzioni di sicurezza non possono mai essere cavallottate.

Eseguire i cablaggi minimi per la prima messa in servizio in modo tale che essi vengano rimossi forzata

mente se avviene il cablaggio di sicurezza finale.

Altri moduli di esempio con descrizione dettagliata sono disponibili nelle seguenti sezioni.



3.3 Esempi di cablaggio

Nei seguenti esempi di circuiti è rappresentato un controllore motore monofase CMMP-

AS-C...-3A-M3. Per controllori motore trifase il cablaggio di [X9] deve essere adeguata

mente adattato.

È rappresentato rispettivamente solo un dispositivo di ingresso / apparecchio di commu

tazione. Tuttavia possono essere utilizzate tutte e quattro le uscite a due canali per la

richiesta delle funzioni di sicurezza!

AttenzioneI seguenti esempi di circuiti utilizzano in parte sensori passivi, come ad es. interruttori

di arresto d'emergenza, che vengono monitorati tramite segnali di clock esterni. Le

uscite digitali del modulo di sicurezza dovrebbero essere utilizzate come fonte per

questi segnali di clock. In questo modo è possibile il riconoscimento dei seguenti errori:

– cortocircuiti tra ingresso A e B, nel circuito di uscita (DOUT4x) e nel circuito di in

gresso (DIN4x).

– cortocircuiti a 0 V o +24 V.

I cortocircuiti tra ingresso e uscita del sensore passivo non vengono riconosciuti, o solo

all'azionamento (tramite il monitoraggio del tempo di discrepanza). Con cablaggio del

sistema occorre adottare misure per evitare questo errore (esclusione dell'errore).



3.3.1 Richiesta di sicurezza tramite dispositivi con contatti di commutazioneLa funzione di sicurezza (ad es. STO – Coppia disinserita in sicurezza o SS1 – Stop sicuro 1) viene emes

sa attraverso un dispositivo di ingresso per la richiesta di sicurezza. La richiesta di sicurezza avviene su

2 canali tramite il dispositivo di ingresso S1 e causa la disattivazione su 2 canali del modulo terminale

del controllore motore.

N

T1Festo CMMP-AS-...-3A-M3

con CAMC-G-S3

1 2 7 8 9

L

PE

+24

V

GN

D24

VN

-X9

219

DIN

4

DIN

5-X

1

-X40

21 22

C1 C2

S1S1 1

2

1

42

1 2

DIN

40A

DIN

40B

19 20

DO

UT4

2A

DO

UT4

2B

13

14

12

DIN

49

S3

11

DIN

48

S2

L

PE

24 V DC0 V DC

13

14

33

4

Indicati solo i collegamenti rilevanti

Ingr

esso

PLC

: S

egna

le d

i con

ferm

a S

afet

y T1

Usc

ita

PLC:

A

bilit

azio

ne d

el r

egol

ator

e T1

Usc

ita

PLC

Abi

litaz

ione

del

mod

ulo

term

inal

e T1

1

2

3

1 T1: Controllore motore con modulo di sicurezza (rappresentati solo i collegamenti rilevanti)

2 S1: Dispositivo di ingresso, ad es. interruttore di arresto d'emergenza

3 S1: Dispositivo di ingresso, ad es. porta diprotezione

Fig. 3.2 Esempio di circuito con contatti di commutazione

Indicazioni sull'esempio di cablaggio:– Nel circuito di ingresso per l'interruttore S1, per l'interruttore di tacitazione S2 e per l'interruttore di

start S3 avviene un riconoscimento di cortocircuito tra due conduttori attraverso il modulo di sicu

rezza CAMC-G-S3.

– Con l'azionamento del tasto di start S3 avviene il riavvio.

– Se il modulo di sicurezza CAMC-G-S3 riconosce una violazione della condizione di sicurezza o è

presente un errore, ad es. nel cablaggio di collegamento, entra in guasto. La tacitazione errori av

viene tramite il tasto di tacitazione S2.

– Il contatto di feedback C1/C2 dovrebbe essere richiesto tramite l'unità di comando.

– Il cablaggio di ingresso presenta una struttura a 2 canali, adatta per la categoria 4.

– A seconda del campo di applicazione e del concetto di sicurezza della macchina sono necessarie

ulteriori misure.



3.3.2 Richiesta di sicurezza tramite dispositivi con uscite a semiconduttoreLa funzione di sicurezza può essere richiesta da diversi apparecchi. L'interruttore S1 può essere unabarriera fotoelettrica o una centralina di sicurezza con uscite a semiconduttore. La richiesta di sicurezza avviene su 2 canali tramite l'interruttore S1. Se la funzione di sicurezza è attiva, questa viene segnalata, nell'esempio, dal contatto a potenziale zero C1/C2.

1 2 7 8 9

L

PE

+24

VG

ND

24VN

-X9

219D

IN4

DIN

5-X

1

-X40

21 22

C1 C2

1 2

DIN

40A

DIN

40B

19 20

DO

UT4

2A

DO

UT4

2B

OSS

D1

OSS

D2

S1 1

42

13

14

12

S3

DIN

49

11

S2D

IN48

N


con CAMC-G-S3

L

PE

24 V DC0 V DC


Ingr

esso

PLC

: S

egna

le d

i con

ferm

a S

afet

y T1

Usc

ita

PLC:

A

bilit

azio

ne d

el r

egol

ator

e T1

Usc

ita

PLC

Abi

litaz

ione

del

mod

ulo

term

inal

e T1

13

14

3

1

2

unità unitàtrasmittente ricevente

1 T1: Controllore motore con modulo disicurezza (rappresentati solo i collegamentirilevanti)

2 S1: Dispositivo di ingresso, ad es. barrierafotoelettrica

Fig. 3.3 Esempio di circuito dispositivo con uscite a semiconduttori

Indicazioni sull'esempio di cablaggio:– Nel circuito di ingresso per l'interruttore S1, il riconoscimento di cortocircuito tra due conduttori

avviene attraverso la barriera fotoelettrica S1.– Nel circuito di ingresso per l'interruttore di start S3 e per l'interruttore di tacitazione S2 avviene un

riconoscimento di cortocircuito tra due conduttori attraverso il modulo di sicurezza CAMC-G-S3.– Con l'azionamento del tasto di start S3 e del tasto di tacitazione S2 avviene il riavvio.– Se il modulo di sicurezza CAMC-G-S3 riconosce una violazione della condizione di sicurezza o è

presente un errore, ad es. nel cablaggio di collegamento, entra in guasto. La tacitazione errori avviene tramite il tasto di tacitazione S2.

– Il contatto di feedback C1/C2 dovrebbe essere richiesto tramite l'unità di comando.– Il cablaggio di ingresso presenta una struttura a 2 canali, adatta per la categoria 4.– A seconda del campo di applicazione e del concetto di sicurezza della macchina sono necessarie

ulteriori misure.



3.3.3 Richiesta di sicurezza tramite una centralina di sicurezzaSe sono necessari più di quattro apparecchi di comando di sicurezza (S1) e se deve essere utilizzato un

comando di sicurezza principale, il controllore motore (T1) può essere comandato anche tramite altri

apparecchi di comando di sicurezza.

La funzione di sicurezza può essere richiesta da diversi apparecchi. La richiesta di sicurezza avviene su

2 canali tramite l'interruttore S1 e viene valutato dal centralina di sicurezza S2 (relè di sicurezza, PLC di

sicurezza). Se la funzione di sicurezza è attiva, questa viene segnalata, nell'esempio, dal contatto a

potenziale zero C1/C2.

1 2 7 8 9

L

PE

+24

VG

ND

24VN

-X9

219

DIN

4

DIN

5-X

1

-X40

21 22

C1 C2

1 2

DIN

40A

DIN

40B

19

DO

UT4

2A

T2 1

42

S1

OS

SD

1

OS

SD

2

S1

S1

20

DO

UT4

2B

13

14

11

S2

DIN

48

3

N


con CAMC-G-S3

L

PE

24 V DC0 V DC


Usc

ita

PLC:

A

bilit

azio

ne d

el r

egol

ator

e T1

Usc

ita

PLC

Abi

litaz

ione

del

mod

ulo

term

inal

e T1

Centralina di sicurezzaCi

rcui

to

di i

ngre

sso

Circ

uito

di

retr

oazi

one

1

2

3

4

5

PE

unità unitàtrasmittente ricevente

1 T1: Controllore motore con modulo di sicurezza (rappresentati solo i collegamentirilevanti)

2 S1: Centralina di sicurezza

3 S1: Barriera fotoelettrica4 S1: Porta di protezione5 S1: Interruttore di arresto d'emergenza

Fig. 3.4 Esempio di circuito con centralina di sicurezza

Indicazioni sull'esempio di cablaggio:– Nel circuito di ingresso per l'interruttore S1, il riconoscimento di cortocircuito tra due conduttori avviene

attraverso la centralina di sicurezza T2. Se per l'applicazione è necessario un interruttore di start, anche

questo viene collegato alla centralina di sicurezza T2. Per l'interruttore di tacitazione S2 avviene un rico

noscimento di cortocircuito tra due conduttori attraverso il modulo di sicurezza CAMC-G-S3.



– Le funzioni di sicurezza in CAMC-G-S3 vengono parametrizzate, con utilizzo di una centralina di sicu

rezza esterna, su “Riavvio automatico dopo ritiro della richiesta”.




– Il contatto di feedback C1/C2 viene collegato nel circuito di ritorno della centralina di sicurezza.



ulteriori misure.



3.3.4 Concatenamento di più CMMP-AS-…-M3 con CAMC-G-S3La funzione di sicurezza viene emessa attraverso un dispositivo di ingresso per la richiesta di sicurezzaper entrambi i controllori motore. La richiesta di sicurezza avviene su 2 canali tramite il dispositivo diingresso S1 e causa la disattivazione su 2 canali del modulo terminale del controllore motore T1 e T2.Se è stato raggiunto lo stato sicuro in entrambi i controllori motore, esso viene emesso tramite il contatto a potenziale zero C1-C2 dei controllori motore T1 e T2.

12

78

9

L

PE

+24 V

GND24V

N

-X9

219

DIN4

DIN5-X1

-X40

21 2

2

C1

C2

S11 2 1

2

DIN40A

DIN40B

19 2

0

DOUT42A

DOUT42B

13

12

78

9

L

PE

+24 V

GND24V

N

-X9

219

DIN4

DIN5-X1

-X40

C1

C2

12

DIN40A

DIN40B19

20

DOUT42A

DOUT42B

12 DIN49

5 DOUT40A

DOUT40B

14

12

S3

DIN49

13 14

11

S2

DIN48

11 DIN48

21 2

25

6DOUT40A

DOUT40B

13 1

4

DIN41A

DIN41B

3 4

N

T2Fe

sto

CMM

P-A

S-.

..-3A

-M3

con

CA

MC-

G-S

3

L PE

24 V

DC

0 V

DC

Indi

cati

sol

o i c

olle

gam

enti

rile

vant

i

Uscita PLC: Abilitazione del regolatore T2

Uscita PLCAbilitazione del modulo terminale T2

Dis

posi

tivo

di in

gres

sope

r la

ri

chie

sta

disi

cure

zza

Ingresso PLC: Segnale di conferma Safety T1 e T2

Uscita PLC: Abilitazione delregolatore T1

Uscita PLCAbilitazione delmodulo terminale T1

T1Fe

sto

CMM

P-A

S-.

..-3A

-M3

con

CA

MC-

G-S

3

Indi

cati

sol

o i c

olle

gam

enti

rile

vant

i

6

1

2

1

1 T1/T2: Controllore motore con modulo disicurezza (rappresentati solo i collegamentirilevanti)

2 S1: Dispositivo di ingresso per la richiesta disicurezza

Fig. 3.5 Esempio di circuito più CMMP-AS-…-M3 con CAMC-G-S3



Indicazioni sull'esempio di cablaggio:– Nel circuito di ingresso per il dispositivo di ingresso per la richiesta di sicurezza S1, per l'interruttore

di tacitazione S2 e per l'interruttore di start S3 avviene un riconoscimento di cortocircuito tra due

conduttori attraverso CAMC-G-S3 in T1.


– Il controllore motore T1 deve inoltrare la richiesta di sicurezza tramite DOUT40A/B al controllore

motore T2, che reagisce anch'esso alla richiesta di sicurezza.

– Il controllore motore T2 deve fornire una segnalazione di risposta al controllore motore T1 sula

richiesta di sicurezza.

– I contatti di feedback C1, C2 di T1 e T2 sono collegati in serie, il segnale deve essere richiesto trami

te unità di comando. Se è avvenuta una richiesta di sicurezza, l'unità di comando dovrebbe reagire

adeguatamente (ad es. con SLS dovrebbero essere ridotti i valori nominali, con SS1 dovrebbe esse

re ritirata l'abilitazione del regolatore).






ulteriori misure.



3.3.5 Comando di un'unità di bloccaggioLa funzione di sicurezza (ad es. STO – Coppia disinserita in sicurezza o SS1 – Stop sicuro 1) viene emes



del controllore motore. Contemporaneamente viene attivata e monitorata l'unità di bloccaggio.

1 2 7 8 9

L

PE

+24

VG

ND

24VN

-X9

219

DIN

4

DIN

5-X

1

-X40

21 22

C1 C2

S1 1

2

1 2

DIN

40A

DIN

40B

7

DIN

44

12B

R-

Br+

-X6

19 20

DO

UT4

2A

DO

UT4

2B

13

14

12

S3

DIN

49

11

S2

DIN

48

N


con CAMC-G-S3

L

PE

24 V DC0 V DC


Ingr

esso

PLC

: S

egna

le d

i con

ferm

a S

afet

y T1

Usc

ita

PLC:

A

bilit

azio

ne d

el r

egol

ator

e T1

Usc

ita

PLC

Abi

litaz

ione

del

mod

ulo

term

inal

e T1

Dispositivodi ingressoper la richiesta disicurezza

3

4

13

14

1

2

3

Y1

1

2

V1

p

S4

3



3 V1/Y1: Valvola e unità di bloccaggioS4: Interruttore di pressione per il monitoraggio del comando dell'unità di bloccaggio

Fig. 3.6 Esempio di circuito unità di bloccaggio



conduttori attraverso il modulo di sicurezza CAMC-G-S3.


– Il contatto di feedback C1, C2 dovrebbe essere richiesto tramite l'unità di comando. Se è avvenuta

una richiesta di sicurezza, l'abilitazione del regolatore dovrebbe essere ritirata.




– L'unità di bloccaggio viene comandata tramite l'uscita BR+/BR- del controllore motore (T1) e moni

torata tramite l'interruttore S4 del modulo di sicurezza CAMC-G-S3. (Attenzione: Allo scopo vengo



no utilizzati interruttori di pressione attivi, riconoscimento di cortocircuito tra due conduttori

DOUT42 non possibile!). Il monitoraggio indiretto non visualizzato richiede un test funzionale

regolare dell'unità di bloccaggio.

– Il monitoraggio dell'unità di bloccaggio controlla solo l'azionamento e non se il coefficiente di attrito

dell'unità di bloccaggio è sufficientemente grande, affinché possa funzionare correttamente.

– L'esempio di cablaggio presenta, nell'unità di bloccaggio, una struttura a 1 canale monitorata indi

cata con un test funzionale dell'unità di bloccaggio fino alla categoria 2.


ulteriori misure.

3.3.6 Comando di un'unità di bloccaggio a 2 canaliLa funzione di sicurezza (ad es. STO – Coppia disinserita in sicurezza o SS1 – Stop sicuro 1) viene emes



del controllore motore. Contemporaneamente vengono attivate e monitorate le unità di bloccaggio.

1 2 7 8 9

L

PE

+24

VG

ND

24VN

-X9

219

DIN

4

DIN

5-X

1

-X40

21 22

C1 C2

S1 1

2

1 2

DIN

40A

DIN

40B

14

DIN

41B

19 20

DO

UT4

2A

DO

UT4

2B

13

14

12

S3

DIN

49

11

S2

DIN

48

19

DO

UT4

1A

DO

UT4

1B

N


con CAMC-G-S3

L

PE

24 V DC0 V DC


Ingr

esso

PLC

: S

egna

le d

i con

ferm

a S

afet

y T1

Usc

ita

PLC:

A

bilit

azio

ne d

el r

egol

ator

e T1

Usc

ita

PLC

Abi

litaz

ione

del

mod

ulo

term

inal

e T1


13

14

3

4

1

2

3

V2

p

1

2

13

2

Y1S4

p

S5

V1

13

DIN

41A

19

3

1 T1: Controllore motore con modulo di sicurezza (rappresentati solo i collegamenti rilevanti)


3 V1/V2/Y1: Valvole con unità di bloccaggio a due canaliS4/S5: Interruttore di pressione per il monitoraggio del comando dell'unità dibloccaggio

Fig. 3.7 Esempio di circuito unità di bloccaggio a 2 canali





conduttori attraverso il modulo di sicurezza CAMC-G-S3.





– Le unità di bloccaggio vengono comandate tramite l'uscita a due canali DOUT41A/DOUT41B del

modulo di sicurezza.

– Se le valvole per le unità di bloccaggio richiedono più corrente, di quella che può fornire DOUT41,

deve essere collegato internamente un relè adatto (con contatti a due canali e segnale di confer

ma). In alternativa occorre osservare se l'uscita BR+/BR- del controllore motore T1 può essere uti

lizzata.

– La funzione delle unità di bloccaggio viene monitorata attraverso l'interruttore di pressione S4 e S5

del modulo di sicurezza (Attenzione: Allo scopo vengono utilizzati interruttori di pressione attivi,

riconoscimento di cortocircuito tra due conduttori DOUT41 non possibile!). Il monitoraggio indiretto

non visualizzato richiede un test funzionale regolare dell'unità di bloccaggio.

– Il monitoraggio dell'unità di bloccaggio controlla solo l'azionamento e non se il coefficiente di attrito

dell'unità di bloccaggio è sufficientemente grande, affinché possa funzionare correttamente.

– L'esempio di cablaggio presenta, nell'unità di bloccaggio, una struttura a 2 canali indicata con un

test funzionale dell'unità di bloccaggio fino alla categoria 3.


ulteriori misure.

3.3.7 Collegamento di encoder per funzioni di sicurezza dinamicheIl monitoraggio tramite encoder avviene tramite i raccordi a innesto [X2A], [X2B] e [X10]. A seconda dei

valori di misurazione incrementali o assoluti disponibili possono essere eseguiti monitoraggi della

velocità e dello stato di fermo.

Nel modo operativo “Automatico” la funzione di sicurezza (ad es. STO – Coppia disinserita in sicurezza

o SS1 – Stop sicuro 1) viene emessa attraverso un dispositivo di ingresso per la richiesta di sicurezza.

Le funzioni di sicurezza “Rispetto valore limite di velocità (SLS)” viene richiesta attraverso il selettore

dei tipi di funzionamento S6 nella posizione “Manuale”.

La richiesta di sicurezza avviene su 2 canali tramite il dispositivo di ingresso S1 e causa la disattiva

zione su 2 canali del modulo terminale del controllore motore. Una volta avvenuta la disattivazione del

modulo terminale, questa viene segnalata dal contatto a potenziale zero C1/C2 del controllore motore.



1 2 7 8 9

L

PE

+24

V

GN

D24

VN

-X9

219

DIN

4

DIN

5-X

122

C2

-X2B

-X10

n1 M1

n2

8 9

DIN

46

DIN

45

S6

Man.Auto

11

12� 14

21

C1

-X40

S1 13

24

1 2

DIN

40A

DIN

40B

19 20

DO

UT4

2A

DO

UT4

2B

13

14

12

S3

DIN

49

11

S2D

IN48

13

14

N


con CAMC-G-S3

L

PE

24 V DC0 V DC


Ingr

esso

PLC

: S

egna

le d

i con

ferm

a S

afet

y T1

Usc

ita

PLC:

A

bilit

azio

ne d

el r

egol

ator

e T1

Usc

ita

PLC

Abi

litaz

ione

del

mod

ulo

term

inal

e T1


1

2

3

4



3 n1: Encoder nel servomotore su X2B4 n2: Encoder su X10

Fig. 3.8 Esempio di circuito encoder per funzioni di sicurezza dinamiche

Indicazioni sull'esempio di cablaggio:– Gli encoder devono essere adatti per le applicazioni orientate alla sicurezza.– Il monitoraggio sicuro della velocità (SLS, SSR, SS1, ecc.) e il monitoraggio del posizionamento

dello stato di fermo mediante SS2 e SOS sono possibili mediante encoder con segnali puramenteincrementali.

– Nel circuito di ingresso per il dispositivo di ingresso per la richiesta di sicurezza S1, per l'interruttoredi tacitazione S2, per l'interruttore di start S3 ed il selettore dei tipi di funzionamento S6 avviene unriconoscimento di cortocircuito tra due conduttori attraverso il modulo di sicurezza CAMC-G-S3.

– Con l'azionamento del tasto di start S3 avviene il riavvio.– Il contatto di feedback C1, C2 dovrebbe essere richiesto tramite l'unità di comando. Se è avvenuta

una richiesta di sicurezza, l'abilitazione del regolatore dovrebbe essere ritirata.

3.3.8 Comando di un blocco di comando valvole a 2 canali con funzioni di sicurezzaLa funzione di sicurezza (ad es. con controllore motore STO – Coppia disinserita in sicurezza o SS1 – Stopsicuro 1, con blocco di comando valvola scarico sicuro o prenotazione sicura) viene emessa attraverso undispositivo di ingresso per la richiesta di sicurezza per il controllore motore e il blocco di comando con funzione di sicurezza. La richiesta di sicurezza avviene su 2 canali tramite il dispositivo di ingresso S1 e causa ladisattivazione su 2 canali del modulo terminale del controllore motore e del blocco di comando.



12

78

9

L

PE+24 VGND24V

N

-X40

219

DIN4

DIN5

21 2

2

C1C2

17�

��

�18

DOUT41A

DOUT41B

7 DIN44

K1

K1K2

K2

41 4241 42

K1K2

V1

1 4

GND

3V

2E2

E1

GND

33

4

DIN42ADIN42B

-X9

S1

1 2 12

DIN40A

DIN40B

19 2

0

DOUT42ADOUT42B

13 14

12

S3

DIN49

11

S2

DIN48

3 4

13 14

-X1

13 14

13 14

N

Y1 Fest

o V

OFA

-...

L PE

24 V

DC

0 V

DC

Uscita PLC: Abilitazione del regolatore T1

Uscita PLCAbilitazione del modulo terminale T1

Dis

posi

tivo

di in

gres

sope

r la

ri

chie

sta

disi

cure

zza

Ingresso PLC: Segnale di confermaSafety T1

T1Fe

sto

CMM

P-A

S-.

..-3A

-M3

con

CA

MC-

G-S

3In

dica

ti s

olo

i col

lega

men

ti r

ileva

nti

1 4

1

2

3



3 Y1: Blocco di comando a due canali

Fig. 3.9 Esempio di circuito blocco di comando a 2 canali con funzioni di sicurezza



Indicazioni sull'esempio di cablaggio:– Nel circuito di ingresso per l'interruttore S1, per l'interruttore di tacitazione S2 e per l'interruttore di

start S3 avviene un riconoscimento di cortocircuito tra due conduttori attraverso il modulo di sicu

rezzaCAMC-G-S3.





– Gli ingressi DIN42A/B devono essere configurati in modo tale da monitorare l'accensione e lo spe

gnimento del blocco di comando V1. Un collegamento in serie con i contatti di protezione 41/42 dei

relè K1 e K2 non è possibile, in quanto ciò non è possibile con i sensori di finecorsa induttivi.

– Il contatto di feedback C1, C2 dovrebbe essere richiesto tramite l'unità di comando. Se è avvenuta

una richiesta di sicurezza, dovrebbe essere ritirata l'abilitazione del regolatore.



ulteriori misure.

4 Messa in servizio


4 Messa in servizio

Il presente capitolo descrive la messa in servizio del modulo di sicurezza. Le informazioni

sulla messa in servizio del controllore motore sono riportate qui:

� Descrizione hardware “Montaggio e installazione” GDCP-CMMP-M3-HW-...

� Help per l'FCT-PlugIn CMMP-AS.

AttenzioneCon la messa in servizio ai sensi del presente documento non si intende il primo utilizzo

conforme previsto ad opera dell'utente finale, bensì la messa in servizio ad opera del

produttore della macchina durante il montaggio della macchina.

AttenzionePerdita della funzione di sicurezza!

La mancanza di funzioni di sicurezza può causare lesioni gravi irreversibili, ad es. dovute

a movimenti involontari di attuatori collegati.

� Mettere in funzione il modulo di sicurezza solo:

– da installato,

– dopo che il modulo di sicurezza è stato completamente parametrizzato,

– se tutte le misure di sicurezza, inclusa la funzione di sicurezza, sono state instal

late e sono state verificate dal punto di vista del funzionamento.

� Validare la funzione di sicurezza per il termine della messa in funzione � sezione 4.8.

Il cablaggio errato, l'utilizzo di un modulo di sicurezza errato o di componenti esterni, che non

sono stati selezionati in base alla categoria, causano la perdita della funzione di sicurezza.

� Eseguire una valutazione dei rischi per la propria applicazione e dimensionare il cablaggio e i com

ponenti in modo adatto.

� Attenersi agli esempi � sezione 3.3.

4 Messa in servizio


4.1 Prima della messa in servizio

Eseguire per la preparazione della messa in servizio le seguenti operazioni:

1. accertarsi che il modulo di sicurezza sia montato correttamente (� sezione 3.1).

2. controllare l'installazione elettrica (cavo di collegamento, occupazione dei contatti, � sezione 3.2).

Tutti i conduttore di terra PE collegati?

4.2 Impostazione degli interruttori DIP

Sul modulo di sicurezza si trovano gli interruttori DIP per l'attivazione e il comando della configurazione

bus. La funzionalità degli interruttori DIP è identica per tutti i moduli nello slot Ext3 e dipende dall'inter

faccia bus utilizzata.

Impostare gli interruttori DIP come descritto nella descrizione hardware “Montaggio e

installazione” GDCP-CMMP-M3-HW-... o nella documentazione specifica del bus,

� Tab. 3, pagina 11.

4 Messa in servizio


4.3 Indicazioni per la parametrizzazione con PlugIn FCT CMMP-AS

Prima della parametrizzazione del modulo di sicurezza con il SafetyTool il controllore motore deve esse

re completamente parametrizzato con l'ausilio del PlugIn FCT CMMP-AS.

Nelle seguenti sezioni sono riportate alcune indicazioni che devono essere osservate in relazione con il


Ulteriori informazioni sulla messa in servizio con FCT sono riportate nell'help sul PlugIn

CMMP-AS o eventualmente nella descrizione delle funzioni su CMMP-AS-...-M3,

GDCP-CMMP-M3-FW-...

4.3.1 Impostazione della configurazioneEseguire la progettazione del modulo di sicurezza nel FCT alla pagina “Configurazione” del PlugIn CMMP-AS:

– Nessuna configurazione dell'attuatore presente: Pulsante “Crea nuova configurazione dell'attuatore”.

– Configurazione dell'attuatore presente: Pulsante “Modifica”.

� Selezionare poi la finestra “Crea configurazione online” o “Modifica configurazione online” per il

vano opzionale Ext3 del modulo di sicurezza utilizzato.

Fig. 4.1 FCT-PlugIn CMMP-AS: “Crea/modifica configurazione attuatore”

Procedendo con la parametrizzazione del controllore motore il modulo di sicurezza deve essere rilevato

in modo esplicito nell'esercizio online � sezione 4.3.4.

4.3.2 Impostazione della configurazione dell'encoderIl monitoraggio sicuro della velocità, ad es. per SLS e la posizione, ad es. per SOS, richiede determinati

sensori per il rilevamento della posizione.

Le informazioni sugli encoder necessari sono riportate nella sezione 2.2.5. Nella Tab. 2.7

osservare le combinazioni dell'encoder ammesse.

Il primo encoder viene determinato attraverso la selezione del motore con configurazione dell'attuato

re. Le informazioni vengono visualizzate sulla pagina “Motore”, registro “Encoder angolare”.

Selezionare l'interfaccia del secondo encoder sulla pagina “Trasduttori di misura”, registro “Generale”

in “Monitoraggio”.

Poi l'encoder deve essere configurato nel rispettivo registro dell'interfaccia selezionata.

4 Messa in servizio


4.3.3 Determinazione delle unità di misura (opzionale)Le unità di misura nel PlugIn FCT CMMP-AS vengono determinate attraverso le seguenti impostazioni:

– Selezione dell'asse – unità lineari o rotative.

– Opzionale: Adattamento delle unità di misura (menu [Componenti] [Unità di misura] ) – unità metri

che/imperiali (mm/pollici), posizioni dopo la virgola.

4.3.4 Acquisizione del modulo di sicurezzaPer la sicurezza funzionale è possibile richiedere la tracciabilità delle modifiche. Al fine di garantire

questa possibilità, sul modulo di sicurezza vengono salvati dati relativo al tipo di modulo, al numero di

serie e alla revisione. Nel controllore motore vengono letti questi dati e con rilevamento del modulo

memorizzati in modo permanente. In questo modo è possibile riconoscere una modifica ai componenti.

Sulla pagina “Informazioni sulle unità” vengono visualizzate, nell'esercizio online, le informazioni sulle

versioni.

Pagina “Informazioni sulle unità”

ControlloreTipo di controllore Tipo di controllore motore (apparecchio di base).Versione hardware Versione dell'hardware del controllore motore.Versione del firmware Versione del firmware del controllore motore.Numero di serie Numero di serie del controllore motore.

Vano opzionale Ext3Tipo di modulo Tipo di modulo: CAMC-G-S3: Modulo di sicurezza.Revisione complessiva Revisione complessiva del modulo di sicurezza, ad es. 1.0.Numero di serie Numero di serie del modulo di sicurezza, ad es. 1212820487.

Tab. 4.1 Pagina “Controllore” – Informazioni sulle versioni

Acquisizione del modulo di sicurezza

Con riconoscimento di una modifica non ammessa, ad es. una sostituzione modulo, viene emesso un

segnale di errore non confermabile. Per poter mettere di nuovo in funzione l'applicazione con controllo

re motore, la modifica deve essere “progettata”. Ciò significa che la modifica deve essere assunta o

confermata in modo esplicito. Con riferimento ai moduli di sicurezza o interruttori si tratta nel caso di

queste modifiche tracciabili di una sostituzione modulo.

Per la sostituzione del modulo valgono le seguenti regole:

– una sostituzione del modulo con il modulo interruttore è sempre possibile.

– una sostituzione del modulo CAMC-G-S1 con un altro CAMC-G-S1 non deve essere

normalmente confermata.

Eccezione: Se il controllo della versione nell'apparecchio di base indica che i moduli

non sono compatibili – messaggio di errore 51-3 – allora la sostituzione del modulo

deve essere confermata.

– Con la sostituzione di un tipo di modulo con un altro tipo – messaggio di errore 51-2 –

la sostituzione del modulo deve sempre essere confermata.

– Con la sostituzione del modulo CAMC-G-S3 con CAMC-G-S3 – messaggio di errore 51-6

– la sostituzione del modulo deve essere ugualmente sempre confermata.

4 Messa in servizio


Per la conferma della sostituzione del modulo ci sono due possibilità:

� con attivazione dell'esercizio online, la sostituzione del modulo viene riconosciuta e visualizzata

automaticamente nella finestra di dialogo per la conferma.

� se la sostituzione del modulo non è stata confermata direttamente all'attivazione dell'esercizio online, è

possibile aprire in qualsiasi momento la finestra di dialogo per la conferma con il comando menu [Com

ponent] [Online] [Confirm Module Change] ([Componenti] [Online] [Conferma sostituzione modulo]).

Nella finestra di dialogo “Conferma sostituzione modulo” vengono visualizzati, la revisione complessiva

(CAMC-G-S3) o la revisione e la versione (CAMC-G-S1, CAMC-DS-M1) il numero di serie del modulo

precedente e il modulo attualmente montato.

� Confermare con “Sì” la sostituzione del modulo, i parametri vengono memorizzati in modo ritentivo

nell'apparecchio di base e viene effettuato un riavvio.

4.3.5 Indicazione di statoLe informazioni sullo stato del modulo di sicurezza vengono visualizzate nell'esercizio online nell'area

dell'output di progetto nel registro “Safety Functions” (funzioni di sicurezza).

Output di progetto – registro online “CAMC-G-S3: Safety Module”

Telaio “CAMC-G-S3: State Flags”

Visualizzazione dello stato del modulo di sicurezza Status1)

Verde Sblocco del modulo terminale ammesso VOUT_PS_EN = 1

Rosso Allarme VOUT_WARN = 1

Rosso Condizione di sicurezza violata VOUT_SCV = 1

Rosso Errori VOUT_ERROR = 1

Giallo Funzione di sicurezza raggiunta VOUT_SSR = 1

Giallo Stato sicuro richiesto VOUT_SFR = 1

Verde Stato di servizio VOUT_SERVICE = 1

Verde Pronto all’esercizio VOUT_READY = 1

Telaio “CAMC-G-S3: Safety Functions”

Funzioni di sicurezza STO SS1 SS2 SOS SBC USF0 USF1 USF2 USF3 Status2)

Verde Esercizio normale VOUT_xxx_SFR = 0

Giallo Stato sicuro raggiunto VOUT_xxx_SFR = 1

Telaio “CAMC-G-S3: Digital I/O”

Stato DINxx, DOUTxx, C1/C2 (GND/+24 V senza funzione)

Verde Ingresso = 1

Giallo Uscita = 1 o relè chiuso

Grigio Ingresso o uscita = 0 o relè aperto

1) Stato del modulo di sicurezza � sezione 2.10.2, Tab. 2.88

2) Stato della funzione di sicurezza � sezione 2.5

Tab. 4.2 Visualizzazioni nel registro online “CAMC-G-S3: Safety Module”

4.3.6 Visualizzazione della memoria diagnostica permanente del controllore motore

Per la visualizzazione o il salvataggio della memoria diagnostica permanente, attivare nel FCT-PlugIn il

registro online “Diagnosis” [“Diagnosi”].

4 Messa in servizio


Con connessione online attiva, attivare poi il registro “Permanent” [“Permanente”]. Con “Read” [“Lettura”] viene letto il numero delle registrazioni della memoria diagnostica permanente determinato in“Registrazioni” e visualizzato in sequenza cronologica, prima la registrazione più attuale.Con “all entries” [“Tutte le registrazioni”] leggere la memoria diagnostica permanente completa. Questo può durare alcuni minuti.Il contenuto della memoria diagnostica viene visualizzato in forma di tabella:

Colonna Spiegazione

No. [N.] Numero corrente della registrazione.

Fault No. [N. guasto] Numero di errore, di allarme o dell'evento � vedere sezione 5.5.3.


Nome della registrazione, testo di errore.

Timestamp [Marcaturatemporale]

Momento dell'evento diagnostico in formato <hh>:<mm>:<ss> (contaore di esercizio, durata dell'inserimento dell'alimentazione logica).

Constant [Costante] Informazioni supplementari per il personale di servizio Festo


Informazioni supplementari per il personale di servizio Festo

Type [Tipo] Tipo di registrazione (errore, allarme, registrazione log).

Tab. 4.3 Indicazione della memoria diagnostica permanente

La seguente tabella mostra alcune registrazioni a titolo di esempio:

N. N.guasto


Marcaturatemporale

Constant[Costante]


Tipo

1 00-21 Registrazione Log dal

modulo di sicurezza

580:15.03 0x0000 Errore resettato, fonte:

0x01, senza errori

Errori

2 00-8 Controllore attivato 580:15.00 0x0000 0x0000 Errori


lo: Modulo attuale

580:15.22 0x4830 CAMC-G-S3, S/N:



Errori


lo: Modulo precedente

580:15.22 0x48FF CAMC-DS-M1, S/N:



Errori

... ... ... ... ... ... ...

Tab. 4.4 Esempio registrazioni nella memoria diagnostica

Ulteriori indicazioni sulle registrazioni nella memoria diagnostica:– le registrazioni avvengono in ordine cronologico, la registrazione superiore è la regi

strazione più attuale.– sono possibili divergenze ridotte della marcatura temporale dopo il power OFF/ON, in

quanto il controllore motore memorizza la marcatura temporale una volta al minuto inmodo non volatile.

Con “Copy” [“Copia”] ed “Export” [“Esporta”] è possibile assumere il contenuto in formato csv con

segno separatore “;” negli appunti di Windows o in un file.

Nella colonna “Timestamp” [“Marcatura temporale”] viene visualizzato il valore del contaore di eserci

zio del controllore motore al momento della registrazione Log.

4 Messa in servizio


Al di sopra della lista viene visualizzato come “Current System Time” [“Tempo di sistema

attuale”] il valore momentaneo del contaore di esercizio del controllore motore

4 Messa in servizio


4.4 Principi fondamentali per la parametrizzazione del modulo disicurezza

4.4.1 Impostazione di fabbricaPer la parametrizzazione semplificata, nello stato di fornitura o dopo il reset alle impostazioni di fabbri

ca, sono attivate alcune funzioni o preimpostati valori standard.

Una panoramica delle impostazioni importanti è offerta dalla Tab. 4.5.

Pagina Impostazione di fabbrica Assegnazione

Ingressi digitaliDIN40 Tipo di sensore: Dispositivo di arresto d'

emergenza

Richiesta STO e

SBCModo operativo: EquivalenteTempo di discrepanza: 100 msFonte per impulso di prova: Nessuno

DIN41 Tipo di sensore: Non definito Nessun utilizzoModo operativo: EquivalenteTempo di discrepanza: 100 msFonte per impulso di prova: Nessuno



DIN44 Tipo di sensore: Segnale di conferma fremo Nessun utilizzoFonte per impulso di prova: Nessuno

DIN45 Tipo di sensore: Selettore dei tipi di fun

zionamento

Nessun utilizzo

Fonte per impulso di prova: NessunoDIN46 Tipo di sensore: Selettore dei tipi di fun

zionamento

Nessun utilizzo

Fonte per impulso di prova: NessunoDIN47 Tipo di sensore: Selettore dei tipi di fun

zionamento

Nessun utilizzo

Fonte per impulso di prova: NessunoDIN48 Tipo di sensore: Tacitazione errori Richiesta tacita

zione erroriFonte per impulso di prova: NessunoDIN49 Tipo di sensore: Conclusione funzione di si

curezza

Fronte di risalita:

Terminare STO,

SS1 e SBCFonte per impulso di prova: NessunoFunzioni di sicurezzaSTO Richiesta: DIN40 –

Riavvio automatico: noAttivazione automatica SBC: sìConcludere la richiesta: DIN49, fronte di risalita

4 Messa in servizio


Pagina AssegnazioneImpostazione di fabbrica

SS1 Richiesta: nessuna assegnazione Nessun utilizzoRampa di arresto rapido: sìRiavvio automatico: noAttivazione automatica SBC: sìConcludere la richiesta: DIN49, fronte di risalita

SS2 non attivato –SOS non attivato –USF... non attivato –SBC Richiesta: DIN40 –

Segnale di conferma freno di

arresto:

no

Riavvio automatico: noDisattivare il test ciclico 24h: noConcludere la richiesta: DIN49, fronte di risalita

Funzioni logicheSelettore dei

tipi di fun

zionamento

Non attivato –

Unità di gestione

e visualizzazione

a due mani

Non attivato –

ALF... Non attivato –Tacitazione errori logicaTacitazione

errori logica

Richiesta: DIN48 –

Uscite digitaliDOUT40 Richiesta: nessuna assegnazione –

Modo operativo: Equivalente –DOUT41 Richiesta: nessuna assegnazione –

Modo operativo: Equivalente –DOUT42 Richiesta: Nessuna assegnazione –

Modo operativo: Continuamente inserito –Freno interno Richiesta: SBC richiesto –

Modo operativo: Equivalente –Contatto di se

gnalazione

C1/C2

Richiesta: Stato sicuro raggiunto e

nessuna condizione di

sicurezza violata

–


Gestione degli

errori

Condizione di sicurezza violata:

diverse ulteriori

SBC + STO Osservare e con

trollare le impo

stazioni supple

mentari.Ulteriori errori gravi: SBC + STO + uscite = 0

Tab. 4.5 Impostazione di fabbrica

4 Messa in servizio


4.4.2 Stato di fornituraDi fabbrica viene fornito il modulo di sicurezza nel cosiddetto “stato di fornitura”.

Questo viene visualizzato attraverso il LED lampeggiante verde/rosso ed attraverso le rispettive segna

lazioni di stati (� sezione 2.10.2, Tab. 2.88).

Particolarità dello stato di fornitura in contrasto con le impostazioni di fabbrica:

– Il modulo di sicurezza è parametrizzato con l'impostazione di fabbrica “validazione complessiva” e

quindi pronto al funzionamento. Il controllore motore può essere messo in esercizio, l'abilitazione

modulo terminale e regolatore può essere applicata.

– Tutti i messaggi d'errore vengono nascosti, che possono essere ricondotti ad una parametrizzazione

del apparecchio di base e del modulo di sicurezza.

Così la messa in servizio di base del controllore motore è indipendente dalla dispendiosa periferia

tecnica di sicurezza. Ad es. il modulo di sicurezza è parametrizzato, allo stato di consegna, su

“Resolver”. Con l'utilizzo di altri encoder il controllore motore non può essere messo in servizio

senza la soppressione del messaggio d'errore del modulo di sicurezza.

Lo stato di fornitura non può essere ripristinato dall'utente. Solo le impostazioni di fabbri

ca possono essere ripristinate.

4.4.3 FCT-PlugIn CMMP-AS e SafetyToolLa messa in servizio di base del controllore motore avviene con il relativo PlugIn CMMP-AS per il Festo

Configuration Tool (FCT).

Esso contiene la determinazione della configurazione hardware, come ad es. il motore collegato, i tras

duttori di posizione, l'asse ed i moduli e le interfacce montati nei vani opzionali.

La parametrizzazione del modulo di sicurezza avviene con un software speciale, il SafetyTool. Il Safety

Tool viene richiamato da FCT-PlugIn CMMP-AS.

AttenzionePrima dell'avvio del SafetyTool devono essere assolutamente caricate e salvate nel

controllore motore le configurazioni hardware ed eventualmente le misure determinate

� sezione 4.3.

Ciò è necessario per il rilevamento dei dati nel SafetyTool.

4 Messa in servizio


4.5 Parametrizzazione sicura con il SafetyTool

4.5.1 Start del programma

Avviare il SafetyTool, con PlugIn FCT CMMP-AS attivo, con il pulsante “Start SafetyTool”.

Fig. 4.2 Avvio del SafetyTool

4.5.2 Selezioni dei tipi di sessione – assistente di configurazione

In entrambi i tipi di sessione (Online/Offline) il SafetyTool è uno strumento software Offli

ne ai sensi della norma EN 61508 per l'installazione e la messa in servizio (fase 12). Per

questo il SafetyTool offre un supporto durante la validazione (fase 13), al momento in cui

può essere creato un protocollo tramite le funzioni parametrizzate modulo di sicurezza.

Una variazione dei parametri con funzionamento attivo non è possibile, il modulo di sicu

rezza entra, in caso di apertura di una sessione di parametrizzazione Online, nello stato

sicuro (STO + SBC). La validazione delle funzioni spetta in ogni caso al produttore della

macchina o al gestore della macchina.

Il SafetyTool supporta 2 tipi di sessione:

– Online: Lavorare sul modulo di sicurezza.Il SafetyTool comunica con il sistema di destinazione (il modulo di sicurezza).

È possibile osservare il modulo di sicurezza e leggere i parametri; è possibile modificare i singoli

parametri o trasferire un set completo di parametri sicuro.

Prima della variazione dei parametri, il modulo di sicurezza passa allo “Stato di base sicuro”. I para

metri devono essere validati prima che il modulo di sicurezza lasci lo “Stato di base sicuro”. I para

metri modificati non sono subito efficaci, ma lo diventano solo dopo la validazione complessiva ed il

riavvio.

– Offline: Lavorare sul file locale.

Il SafetyTool non comunica con il sistema di destinazione (il modulo di sicurezza).

È possibile tuttavia creare e memorizzare una validazione preliminare per il modulo di sicurezza.

4 Messa in servizio


Il SafetyTool supporta durante lo start del programma con l'“Assistente di configurazione per la para

metrizzazione sicura”. Selezionare la variante di sessione desiderata.

Tipo di sessione Varianti di sessione Descrizione

Online

� sezione 4.5.3

Avvia nuova parametrizzazione Apre un nuovo progetto con i parametri stan

dard dal modulo di sicurezza.

Avviare la nuova parametrizza

zione con progetto presente1)Apre un nuovo progetto basato su un file di

progetto memorizzato localmente.

Visualizzazione della paramet

rizzazione

Visualizza la parametrizzazione presente nel

modulo di sicurezza (sola lettura!).

Modifica della parametrizza

zione presente

Carica la parametrizzazione presente nel

modulo di sicurezza per l'elaborazione.

Trasmissione della parametriz

zazione sicura

Trasferisce un set di parametri sicuro pre

cedentemente memorizzato nel modulo di si

curezza.

Offline

� sezione 4.5.4

Creazione di un nuovo progetto Apre un nuovo progetto con le impostazioni

standard del SafetyTool.

Creazione di un nuovo progetto

da un set di parametri sicuro

Apre un nuovo progetto basato su un set di

parametri sicuro memorizzato.

Apertura di un progetto presen

te1)

Apre un file di progetto memorizzato local

mente.

1) Possibile solo se il tipo di asse (lineare/rotativo) del file di progetto SafetyTool concorda con il progetto FCT attuale.

Tab. 4.6 Selezioni delle varianti di sessione – assistente di configurazione

4.5.3 Parametrizzazione Online

Se nel PlugIn FCT è attiva la connessione Online con il controllore motore, nel SafetyTool sono disponi

bili le funzioni per la parametrizzazione Online.

Si prega di accertarsi che i dati nel controllore motore coincidano con i dati di progetto

(“Download”) e che siano stati salvati (“Store”), prima di avviare il SafetyTool. Altrimenti

sussiste la possibilità che le informazioni di base dopo un riavvio dell'apparecchio di base

siano diverse dalle informazioni di base utilizzate.

Solo con parametrizzazione Online possono essere validati i parametri ed il set di parametri!

Per le funzioni della parametrizzazione Online è sempre necessaria l'indicazione di un nome utente e

l'inserimento della password:

l'impostazione di fabbrica per la password è: SAFETYAssegnare al progetto una password individuale, per proteggere i parametri di sicurezza

dalle modifiche involontarie (Menu [Extras] [Change password] � sezione 4.7.1).

Con l'avvio del SafetyTool, il SafetyTool confronta i suoi dati di base con i dati dell'apparecchio di base

e con quelli del modulo di sicurezza. A seconda della variante di sessione selezionata è necessario allo

scopo un upload dei parametri dal modulo di sicurezza.

4 Messa in servizio


La procedura viene visualizzata tramite una barra di avanzamento. La durata può variare a seconda

della variante di sessione e della velocità di connessione della comunicazione.

1

2

3

4

5

6

Avvio della sessione Online

Sessione Online

Selezione consessione Online

Introdurrepassword

Termina assistente

Nuova parametrizzazione

Nuova parametrizzazione conprogetto presente

Modifica dellaparametrizzazione presente

Trasmissionedella parametrizzazione sicura

Visualizzazionedella parametrizzazione presente

Selezione dellaparametrizzazione sicura

Selezione del file di progetto

1 Avvio dell'assistente con la possibilità di selezionare anche l'esercizio Offline

2 Selezione della variante di sessione Online3 Nota sulla rispettiva variante di sessione

4 Selezione di un file di progetto / di un set diparametri

5 Identificazione personale6 Conclusione dell'assistente di avvio

Fig. 4.3 Passi per la selezione della variante di sessione Online

Una sessione di parametrizzazione può essere avviata anche con attuatore acceso. Se la sessione di

parametrizzazione viene avviata, l'attuatore viene spento dal modulo di sicurezza (nessuna abilitazione

del modulo terminale).

Con una sessione di parametrizzazione in corso vengono spente tutte le uscite digitali.

Il SafetyTool termina automaticamente con chiusura della sessione di parametrizzazione. Con la conclu

sione tutti i parametri devono avere lo stato “validato”. Altrimenti le modifiche andranno perse, il

modulo di sicurezza parte con l'ultimo record di parametri memorizzato e validato.

4 Messa in servizio


4.5.4 Parametrizzazione OfflinePer la preparazione di una parametrizzazione è possibile eseguirla completamente Offline.

Per mettere correttamente in servizio il modulo di sicurezza occorre tuttavia validare online i valori e

trasmettere i parametri validati nel modulo di sicurezza.

1

2

3

4

5

Avvio con sessione Offline

Sessione Online

Selezione dellasessione Offline

Termina assistente

Nuova parametrizzazione

Apri progetti Nuovo progettoda un set di parametri sicuro

Selezione del file di progetto

Selezione dellaparametrizzazione sicura

1 Avvio dell'assistente nell'esercizio Offline2 Selezione della variante di sessione Offline3 Pagina di indicazione per la rispettiva varian

te di sessione

4 Selezione di un file di progetto / di un set diparametri

5 Terminare gli assistenti.

Fig. 4.4 Passi per la selezione della variante di sessione Offline

4 Messa in servizio


4.5.5 Regole di base con la parametrizzazione sicura con il SafetyTool

Caratteristiche comuni delle procedure di parametrizzazioneUna parametrizzazione è costituita sempre dai seguenti passi:

1. apertura di una sessione di parametrizzazione.

2. modifica dei singoli parametri.

3. validazione dei singoli parametri o del set di parametri complessivo (creazione di un codice di vali

dazione).

4. salvataggio continuo del set di parametri nel modulo di sicurezza, il set di parametri complessivo

vale come validato.

Con ulteriori modifiche dei parametri i passi 3. e 4. devono essere nuovamente eseguiti.

5. Chiusura della sessione di parametrizzazione, “Attivazione” del set di parametri.

6. Riavvio del modulo di sicurezza.

Apertura di una sessione di parametrizzazione

Con apertura di una sessione di parametrizzazione il modulo di sicurezza passa allo stato di base sicu

ro, l'attuatore viene spento (modulo terminale spento, comando sicuro del freno non alimentato,

DOUT4x sul modulo di sicurezza disinserito).

Durante la sessione di parametrizzazione è attivo lo stato VOUT_SERVICE.

Un inserimento / avviamento dell'attuatore è possibile solo dopo la chiusura della sessione di paramet

rizzazione, e anche solo se il set di parametri è stato validato.

L'apertura di una sessione di parametrizzazione viene memorizzata nella memoria diagnostica perma

nente.

Durante la sessione di parametrizzazione attiva viene emesso il messaggio “FSPArA” al display a 7

segmenti del controllore motore (se non è presente alcun errore), vedere � sezione 5.4.2. Con il pul

sante “Avvio identificazione” nell'assistente di avvio è possibile emettere il messaggio “HELLO...”. Il

messaggio serve ad identificare il controllore motore se sono collegati più controllori motore al PC di

parametrizzazione.

In ogni momento può essere aperta solo una sessione di parametrizzazione per modulo di sicurezza.

Se è già aperta una sessione di parametrizzazione, il modulo di sicurezza rifiuta altre richieste finché

non viene conclusa la sessione di parametrizzazione in corso.

In questo modo si esclude che un modulo di sicurezza possa essere parametrizzato contempora

neamente tramite più PC con il SafetyTool. Il SafetyTool permette una modifica dei parametri solo dopo

che è stata aperta una sessione di parametrizzazione.

Contrassegno utente e password

Con l'apertura di una sessione di parametrizzazione devono essere inseriti un identificativo utente

(nome utente) ed una password.

L'identificativo utente e la password sono composti da caratteri ASCII (lettere, numeri e caratteri, nes

sun carattere speciale) e hanno una lunghezza di massimo 8 caratteri.

Nello stato di fornitura o dopo il reset sulle impostazioni di fabbrica la password è “SAFETY”.

4 Messa in servizio


La password dovrebbe essere modifica subito dopo la messa in servizio.

La nuova password e la password della impostazioni fabbrica dovrebbe essere nota solo

al rispettivo “Responsabile della sicurezza funzionale della macchina”.

La password modificata viene memorizzata nel modulo di sicurezza e sostituisce quella

precedente, ciò vale per tutti gli utenti. La password non viene memorizzata in un file di

parametri. Non può essere letta dal modulo di sicurezza.

Rilevamento dei dati dal controllore motorePer confrontare i parametri rilevanti nel modulo di sicurezza con quelli del controllore motore (apparec

chio di base), con una variante di sessione Online avviene sempre dapprima un rilevamento dei dati

dall'apparecchio di base.

Affinché i dati eventualmente caricati al riavvio dal PlugIn FCT nel controllore motore non

vengono perduti non la conclusione del SafetyTool, i dati devono essere assolutamente

memorizzati all'avvio del SafetyTool con connessione Online attiva. Ciò viene richiesto da

una finestra di dialogo.

Con il rilevamento dei dati nel SafetyTool vengono rilevati, oltre alle unità di misura, specialmente i

parametri dell'encoder rotativo collegato, che vengono rappresentati sui parametri di sicurezza per

l'encoder 1 e l'encoder 2.

Principio “Invio e validazione”Tutti i parametri modificati nel SafetyTool devono essere inviati al modulo di sicurezza, controllati e

validati. Ciò vale per il rilevamento dei dati dal controllore motore (apparecchio di base) e per i termini

di prodotto per la richiesta delle funzioni di sicurezza o altre mappature.

La sequenza è la stessa su tutte le pagine di parametro:

Passo 1: Abilitare i parametri tramite il pulsante “Enable edit”.

Passo 2: Manipolare o modificare i parametri. Allo scopo viene controllato l'intervallo dei valori.

Passo 3: Inviare i parametri modificati tramite il pulsante “Send” al modulo di sicurezza.

Passo 4: Poi devono essere validati i parametri inviati.

Per la validazione vengono visualizzati rispettivamente i valori nominali (dal SafetyTool) e i valori effetti

vi (dal modulo di sicurezza). I valori divergenti sono contrassegnati da un simbolo.

Simbolo Stato

Il valore nominale ed il valore effettivo divergono l'uno dall'altro.

Questo parametro deve essere confrontato.

Il valore nominale ed il valore effettivo divergono di poco l'uno dall'altro.

Determinati valore, come ad es. tempi, vengono arrotondati nel modulo di sicurezza ad un

multiplo dell'unità di base. Per questo nell'ambito di questo arrotondamento il valore

nominale e quello effettivo possono divergere. Un valore simile può essere validato!

Tab. 4.7 Visualizzazione differenza valore nominale e valore effettivo

4 Messa in servizio


Per la validazione dopo il controllo attivare le rispettive caselle di controllo nella colonna “Checked” e

validare i parametri selezionati con il pulsante “Validate”. Solo allora i parametri sono rilevati in modo

valido nel modulo di sicurezza.

Nella colonna “Valid” viene visualizzato se i valori effettivi dei parametri sono validi, ovvero se sono

stati validati.

Simbolo Stato

Il parametro non è ancora validato.

Il parametro è validato.

Tab. 4.8 Visualizzazione della validità del parametro

Controllo plausibilitàIl SafetyTool esegue, durante la sessione di parametrizzazione, diversi controlli di plausibilità.

Ciò si estende dal monitoraggio dei limiti degli intervalli fino al controllo logico dei limiti del numero di

giri (il limite del numero di giri superiore non deve essere al di sotto del numero di giri minimo, i limiti

inferiori devono essere al di sotto dei limiti superiori, ...). È possibile eseguire il controllo di plausibilità

anche manualmente � sezione 4.7.3.

Abilita e memorizza in modo permanente nell'apparecchio

Dopo che i parametri sono stati modificati, essi devono essere memorizzati in modo ritentivo nel modu

lo di sicurezza. Inoltre la consistenza del set di parametri è assicurata mediante un codice di valida

zione complessivo univoco. Il salvataggio ritentivo ed il calcolo del codice di validazione avviene tramite

il rispettivo pulsante alla pagina “Completion”.

Se una sessione di parametrizzazione era attiva nel SafetyTool con accesso per scrittura, al termine del

SafetyTool viene eseguito automaticamente un riavvio.

Salvataggio di stati intermedi parametrizzati (senza validazione complessiva):

Con la funzione “Salvataggio della parametrizzazione / dei parametri in modo continuo nel modulo di

sicurezza” vengono memorizzati i parametri, ma non hanno una “validazione complessiva”. Il modulo di

sicurezza riconosce questo stato al riavvio e passa allo stato di base sicuro.

Parametri standard ed espertiAlcuni dei parametri sono contrassegnati come “Parametri esperti” o in un loro proprio registro

“Expert parameters”.

AttenzioneI parametri esperti non devono, di solito, essere modificati, solo in caso di necessità

può essere necessaria una modifica.

Stato dei gruppi di parametriOgni pagina nel SafetyTool contiene cosiddetti gruppi di parametri. Lo stato dei gruppi di parametri

viene visualizzato con una sessione Online tramite i simboli LED nella struttura di navigazione:

4 Messa in servizio


Simbolo Stato

I parametri non sono ancora validati (tutti gli stadi dei parametri prima della validazione).

Tutti i parametri di questa pagina sono validati. Questi parametri sono identici ai paramet

ri nell'apparecchio. Solo se tutti i parametri su tutte le pagine sono stati validati, è possi

bile un validazione complessiva e un salvataggio permanente dei parametri nel modulo di

sicurezza.

Almeno un parametro diverge dai parametri nell'apparecchio. La differenze devono essere

adattate.

In un campo di inserimento o selezione è presente un valore errato. L'errore deve essere

corretto.

Tab. 4.9 Visualizzazione dello stato dei gruppi di parametri

4.5.6 Comportamento con parametrizzazione non validaSe nel modulo di sicurezza non è presente un set di parametri valido,

il modulo terminale del controllore motore viene bloccato, tutte le uscite digitali sono senza tensione.

Il modulo di sicurezza può essere nuovamente parametrizzato con il SafetyTool.

4.5.7 Versione set di parametriUna modifica della revisione del modulo di sicurezza non richiede necessariamente una nuova versione

del set di parametri (la modifica della versione del firmware o hardware porta as una nuova revisione

complessiva del modulo di sicurezza).

Con la versione del set di parametri viene monitorata la compatibilità tra SafetyTool e modulo di sicu

rezza.

Nuovo set di parametri nel vecchio firmware

I set di parametri, che sono stati creati precedentemente con una nuova versione del firmware rispetto

a quelli nel modulo di sicurezza, non vengono accettati. Viene generato un messaggio di errore “Set di

parametri incompatibile”.

Vecchio set di parametri nel nuovo firmware

I parametri vengono dapprima caricati. A seconda del numero di versione del set di parametri viene

verificato come occorre procedere con il set di parametri.

Se la versione del set di parametri non è compatibile, la validazione viene rifiutata tramite il codice di

validazione.

Se la versione del set di parametri è compatibile, ad es. i parametri non inclusi vengono impostati sui

valori, che fanno sì che il modulo di sicurezza si comporti come nella revisione precedente.

Un aggiornamento del firmware è possibile solo a cura del produttore.

4 Messa in servizio


4.6 Sequenza della parametrizzazione con il SafetyTool (esempio)

In questa sezione viene descritta una sequenza di parametrizzazione completa in base all'esempio. I

passi fondamentali sono, tuttavia, trasferibili ad altre applicazioni.

Per la sequenza si richiedono i seguenti presupposti:

– la messa in servizio di base del controllore motore è avvenuta con il PlugIn FCT, con FCT è attiva una

connessione online.

– il modulo di sicurezza è nello stato di fornitura o con l'impostazione di base (� sezione 4.7.2).

Una descrizione completa delle superfici e delle funzioni del SafetyTool è riportata nel

l'help sul SafetyTool.

Le informazioni su alcune funzioni speciali sono riportate nella � sezione 4.7.

Applicazione esemplificativa:Macchina con1. Interruttore di arresto d'emergenza (DIN40), che con l'azionamento deve sempre attivare SS1 tipo

b) e poi SBC.2. Barriera fotoelettrica (DIN41) per la protezione contro l'intervento nella macchina, nell'esercizio

normale viene ugualmente attivato SS1, nell'esercizio di configurazione viene richiesto SS2.3. Pulsante di abilitazione (DIN42), per traslare, nell'esercizio di configurazione, l'asse con SLS.4. Selettore dei tipi di funzionamento per l'esercizio normale e l'esercizio di configurazione (DIN45,

DIN46).5. Monitoraggio dell'interruttore tramite impulsi di prova tramite DOUT42.6. Tacitazione degli errori (DIN48).7. Riavvio (DIN49) del fronte di risalta, il riavvio dopo SS1 avviene tramite un segnale di comando

esterno “Riavvio”.8. La commutazione tra SS2 e SLS avviene con riavvio automatico.Nell'esempio viene eseguita la seguente parametrizzazione:– Dopo l'inserzione:

Richiesta STO con attivazione automatica SBC.– Esercizio normale:

Con l'azionamento arresto d'emergenza o ingresso nella barriera fotoelettrica deve essere attivatoSS1 con relativo SBC, riavvio solo tramite DIN49.

– Esercizio di preparazione:– con selettore dei modi operativi esercizio di configurazione viene sempre richiesto SLS.– SLS può essere concluso solo se,

a) il selettore dei modi operativi è nuovamente sull'esercizio normale eb) la fotocellula non è più interrotta ec) viene azionato il riavvio.

– con ingresso nella barriera fotoelettrica viene emesso anche SS2.– riavvio da SS2 solo tramite DIN49 e se la barriera fotoelettrica è stata lasciata o tramite il pul

sante di abilitazione DIN42.– con azionamento del pulsante di abilitazione si deve commutare da SS2 a SLS.

Il cablaggio e la parametrizzazione necessari per l'applicazione devono essere determina

ti individualmente come parte della valutazione del rischio.

4 Messa in servizio


4.6.1 Selezione della variante di sessione nell'assistente1. Avviare il SafetyTool con il pulsante “Start SafetyTool” � sezione 4.5.1.

2. Nell'assistente selezionare per l'avvio della parametrizzazione sicura il tipo di sessione “Online ...” e

confermare con “Next”.

3. Selezionare la variante di sessione “Change existing parameterization” (modifica della parametriz

zazione presente) e confermare con “Next”.

Poi viene visualizzata una nota sulla variante della sessione, da osservare e confermare con “Next”.

4. Per la scrittura dei parametri è necessario l'inserimento di un riconoscimento utente e della pas

sword. Nello stato di fornitura o dopo il reset sulle impostazioni di fabbrica questo è “SAFETY”.

4 Messa in servizio


Concludere poi gli assistenti con “Finish”.

4.6.2 Rilevamento dei dati e regolazione1. Di solito le informazioni di base dell'impostazione di fabbrica divergono della parametrizzazione di

base attuale. Ciò viene visualizzato da una finestra di dialogo, che si conferma con “OK”.

Se questo non dovesse essere il caso, è possibile procedere con il punto 3.

2. I valori divergenti vengono visualizzati in rosso sulla pagina delle informazioni di base e devo prima

essere confrontati.

4 Messa in servizio


Fare clic su “Enable edit” ed attivare le caselle di controllo dei parametri divergenti in “Send”.

Con il pulsante “Send” i parametri selezionati vengono caricati nel modulo di sicurezza.

Facendo ciò i parametri non sono più validi. Controllare i parametri confrontando i valori in “Nominal

value” e “Actual value”. Confermare il controllo attivando le caselle di controllo in “Checked”. Vali

darle poi con il pulsante “Validate”.

4 Messa in servizio


3. Se tutti i parametri delle informazioni di base sono identici, vengono caricati gli altri parametri dal

modulo di sicurezza, viene visualizzata la pagina “Data Acquisition” con il confronto dei dati rilevati

dall'apparecchio di base.

4.6.3 Inizio della parametrizzazione

Ora è attiva la variante di sessione “Change existing parameterization” e ore è possibile dare avvio alla

parametrizzazione effettiva.

� Muoversi con i tasti freccia 1 attraverso tutte le pagine di parametro e verificare o modificare i

parametri visualizzati.

4 Messa in servizio


1

2

La rispettiva pagina di parametro viene visualizzata nella struttura di navigazione 2 attraverso la quale

è anche possibile passare direttamente ad un'altra pagina, ad es., per visualizzare nuovamente in se

guito il parametro.

Per la messa in servizio si consiglia di controllare o elaborare tutte le pagina l'una dietro l'altra.

4.6.4 Controllo del rilevamento dei datiSulla prima pagina di parametro “Data Acquisition” vengono visualizzati i parametri più importanti

della configurazione dell'encoder.

Le differenze presenti vengono visualizzate attraverso una freccia blu. Con un clic sulla freccia viene

assunto l'impostazione dell'apparecchio di base come valore nominale di parametro. Il valore nominale

di parametro deve essere successivamente inviato, e validato, alla rispettiva pagina di configurazione

dell'encoder e al modulo di sicurezza.

4.6.5 Informazioni di baseLe informazioni di base sono già state elaborate alla sezione 4.6.2. Per questo motivo i valori su questa

pagina dovrebbero già essere corretti.

4.6.6 Configurazione dell'encoder

� Controllare o elaborare uno dietro l'altro i parametri della configurazione dell'encoder.

Se sono stati rilevati valori nominali alla sezione 4.6.4, questi sono già registrati con i parametri appropriati.

Poi è possibile rilevarli con “Enable edit”, “Send” e controllarli e validarli successivamente.

4 Messa in servizio


4.6.7 Configurazione degli ingressi digitaliAlla pagina “Digital Inputs” viene visualizzata l'assegnazione di tutti gli ingressi a uno e due canali.

L'elaborazione avviene tuttavia separatamente sulle seguenti pagine per ogni ingresso.

Le inconsistente sono contrassegnate con un simbolo di errore, nell'esempio DIN45, DIN46 e DIN47

sono parametrizzati come tipo di sensore “Operating mode switch”, il parametro “Attivazione” del

selettore dei tipi di funzionamento non è tuttavia attivo.

Ora elaborare una dietro l'altra le pagine degli ingressi digitali.

DIN40� Per l'esempio viene impostato DOUT42A/B come fonte per gli impulsi di prova.

DIN41� Per l'esempio viene impostato come tipo di sensore “Light Curtain” (barriera fotoelettrica) e

DOUT42A/B come fonte per gli impulsi di prova.

4 Messa in servizio


DIN42� Per l'esempio viene impostato come tipo di sensore “Pulsante di abilitazione” e DOUT42A/B come

fonte per gli impulsi di prova.

DIN45 ... DIN47� Per l'esempio viene impostato per DIN45, DIN46 e DIN47 rispettivamente DOUT42B come fonte per


DIN43 e DIN44, DIN48 e DIN49Per l'esempio non sono necessarie modifiche, in quanto tutte le impostazioni corrispondono alle impo

stazioni di base.

4.6.8 Selezione e parametrizzazione delle funzioni di sicurezzaAlla pagina “Funzioni di sicurezza” vengono visualizzate le funzioni attive.

� Attivare per l'esempio in aggiunta SS2, SOS e USF0. Con USF è possibile parametrizzare la funzione di

sicurezza SLS. Per l'attivazione delle funzioni di sicurezza non è necessario alcun invio o validazione.

4 Messa in servizio


STO: Coppia disinserita in sicurezza1. Controllare e se necessario modificare i parametri della funzione di sicurezza STO � sezione 2.5.1.

2. Nel registro “Request” cancellare la richiesta presente nell'impostazione di fabbrica tramite DIN40.

Dopo l'abilitazione dell'elaborazione selezionare nel gate l'ingresso logico LIN_D40 (marcato in blu)

e rimuoverlo con “Operands: Delete”.

Dato che l'operando è stato ora cancellato dal termine di prodotto, ma il termine di prodotto stesso

(qui P04.00) viene ancora occupato, esso viene ancora visualizzato in basso.

3. Selezionare nella cornice destra “Operands” LIN_AFTER_RST_PULSE e rilevare la registrazione con

“Gates: Insert”.

4. Con “Send” trasmettere la modifica al modulo di sicurezza. Poi in “Validation” (in figura in alto a

destra) viene visualizzata la nuova assegnazione e anche la procedura di cancellazione e può essere

controllata e validata.

L'impostazione nel registro “End Request” attraverso LIN_D49_RISING_EDGE può essere lasciata nel

l'esempio.

SS1: Stop sicuro 11. Nel registro “Standard Parameters” controllare le impostazioni ed adattarle, se necessario, alla

applicazione � sezione 2.5.3.

2. Attivare per l'esempio “Automatic activate SBC” (P0C.09).

Per l'esempio realizzare nel registro “Request” la seguente logica:

4 Messa in servizio


3. Selezionare nella cornice destra “Operands” LIN_DIN40 e rilevare la registrazione con “Operands:

Insert”. In alternativa è possibile portare la registrazione con il mouse sulla connessione logica del

driver (qui termine di prodotto P04.00).

4. Selezionare poi LIN_D45_SAFE e rilevare la registrazione con “Gates: Insert”. In alternativa è possi

bile portare la registrazione con il mouse sull'elemento OR (≥ 1). Così facendo viene aggiunto un

nuovo gate con l'ingresso LIN_D45_SAFE (nell'esempio termine di prodotto P04.07).

5. Selezionare in “Gates” la registrazione appena inserita LIN_D45_SAFE, per contrassegnare il secon

do gate come destinazione per l'inserimento di ulteriori operandi (qui termine di prodotto P04.07).

6. Selezionare poi nella cornice destra “Operands” la registrazione LIN_DIN41 e rilevarla con “Ope

rands: Insert”. In alternativa è possibile portare la registrazione con il mouse sulla connessione

logica del driver. La connessione logica del drive varia così automaticamente alla funzione logica

AND.

7. Dopo l'invio occorre validare 2 termini di prodotto attraverso la funzione logica OR.

L'impostazione nel registro “End Request” attraverso LIN_D49_RISING_EDGE può essere lasciata nel

l'esempio.

SS2: Stop sicuro 2

1. Nel registro “Standard Parameters” controllare le impostazioni ed adattarle, se necessario, alla

applicazione � sezione 2.5.4.

Per l'esempio realizzare nel registro “Request” la seguente logica:

4 Messa in servizio


2. Selezionare nella cornice destra “Operands” LIN_DIN41 e rilevare la registrazione con “Operands:

Insert”. In alternativa è possibile portare la registrazione con il mouse sulla connessione logica del

driver (qui termine di prodotto P04.08).

3. Ripetere il passo 2. con gli operandi LIN_D46_SAFE e LIN_D42.

4. Invertire LIN_D42 con “Operands: Invert”. Se nel frattempo è stato selezionato un altro elemento,

occorre selezionare precedentemente di nuovo LIN_D42.

5. Dopo l'invio si deve validare un solo termine di prodotto.

Per l'esempio realizzare nel registro “End Request” la seguente logica:

6. Selezionare nella cornice destra “Operands” LIN_D49_RISING_EDGE e rilevare la registrazione con

“Operands: Insert”.

7. Ripetere il passo 6. con LIN_D41.

8. Invertire LIN_D41 con “Operands: Invert”.

9. Selezionare poi LIN_D42 ed aggiugerlo con “Gates: Insert” come funzione logica AND.

10.Dopo l'invio occorre validare 2 termini di prodotto attraverso la funzione logica OR.

SOS: Arresto operativo sicuro1. Parametrizzare la funzione di sicurezza SOS in base all'applicazione � sezione 2.5.5.

2. Per la richiesta di SOS non è necessaria alcuna logica, in quanto SOS viene utilizzato solo come

risposta all'errore.

3. Per “End Request” aggiungere LIN_D49_RISING_EDGE (come per SS2).

USF0: Funzione universale

1. Per la richiesta di USF0 nell'esempio aggiungere LIN_DIN46_SAFE.

2. Per l'esempio realizzare nel registro “End Request” la seguente logica:

4 Messa in servizio


I passi di comando fondamentali sono descritti nei passi precedenti.

SSF0: Velocità sicura� Parametrizzare per la funzione di sicurezza SLS la funzione SSF0 in base all'applicazione � sezione 2.5.8.

SBC: Comando sicuro del freno1. Parametrizzare la funzione di sicurezza SBC in base all'applicazione � sezione 2.5.2.

2. Per l'esempio cancellare la richiesta tramite LIN_D40.

3. Per “End Request” lasciare LIN_D49_RISING_EDGE.

4. A seconda dell'applicazione nel registro “Acknowledge” può essere necessaria una logica per il

segnale di conferma del freno.

4.6.9 Funzioni logicheNell'esempio non vengono utilizzate le Advanced Logic Functions ALFx e non devono quindi essere

attivate alla pagina “Logic Functions”.

4 Messa in servizio


Selettore dei tipi di funzionamento� Attivare il selettore dei tipi di funzionamento alla pagina “Operating Mode”.

Unità di gestione e visualizzazione a due mani

L'unità di gestione e visualizzazione a due mani non viene utilizzata in questo esempio.

4.6.10 Tacitazione errori logicaLa logica tacitazione errori può essere lasciata, per l'esempio, nell'impostazione di fabbrica.

4.6.11 Uscite digitali

DOUT40, DOUT41Per l'esempio non vengono utilizzate le uscite digitali DOUT40 e DOUT41.

DOUT42Per l'esempio non deve essere modificato nulla alla parametrizzazione, in quanto DOUT42 nell'impo

stazione di fabbrica è già parametrizzato su “Static High”.

Freno internoLa parametrizzazione per il freno interno può essere lasciata, nell'esempio, sull'impostazione di fabbri

ca.

Contatto di segnalazione

La parametrizzazione per il contatto di segnalazione può essere lasciata, nell'esempio, sull'imposta

zione di fabbrica. Il relè è chiuso se tutte le funzioni di sicurezza richieste sono attive è non è violata

alcuna condizione di sicurezza.

4.6.12 Gestione degli erroriPer la violazione delle condizioni di sicurezza e per l'errore ad es. con la valutazione dell'encoder ango

lare, occorre selezionare alla pagina “Error management” una reazione agli errori adeguata.

Per l'esempio viene lasciata l'impostazione di fabbrica, ovvero essenzialmente viene attivata, in caso di

errore, STO o SS1 e SBC.

4.6.13 Termine della parametrizzazione

Se i LED dei nodi principali mostrano “Verde”, il set di parametri è validabile (validazione complessiva).

Il codice di validazione attualmente calcolato dal modulo di sicurezza viene letto e visualizzato nel cam

po di visualizzazione “Validation code” in formato esadecimale.

Nel campo “Validation code” viene visualizzato lo stato attuale della parametrizzazione.

Per concludere con successo la parametrizzazione, i parametri devono essere salvati nell'apparecchio.

4 Messa in servizio


1. Allo scopo fare clic prima su “Release and store in device permanently”.

2. Per la conferma il codice di validazione deve essere inserito in sequenza inversa e confermato con OK.

3. Con inserimento corretto del codice di validazione, il modulo di sicurezza memorizza in modo ritenti

vo i parametri nella memoria FLASH, la pagina “Completion” viene visualizzata ora in verde nella

struttura di navigazione.

4. Per la realizzazione di report di validazione necessari è possibile emettere il riassunto o direttamen

te con “Print” su una stampante o generare un documento PDF con “Save to PDF”.

5. Per l'utilizzo successivo su altri moduli di sicurezza parametrizzati in modo identico o con sostituzione del

modulo di sicurezza è possibile salvare un file con “Create safe parameter set”, con il quale è possibile

inviare successivamente un set di parametri validato su un altro modulo di sicurezza.

6. Per concludere la parametrizzazione fare clic su “Performing a Restart”. Così facendo il controllore

motore e il modulo di sicurezza vengono riavviati.

Così è conclusa la parametrizzazione dell'esempio.

4 Messa in servizio


4.7 Funzioni speciali del SafetyTool

4.7.1 Modifica password

Mentre è attiva una sessione di parametrizzazione è possibile modificare in qualsiasi momento la password.

1. Aprire la finestra di dialogo “Change password” con il comando menu [Extras] [Change password].

Fig. 4.5 Modifica password

2. In “Password” immettere la password esistente.

3. Immettere due volte la nuova password in “New password” e in “Confirm password”.

4. Confermare con “OK”.

La nuova password è immediatamente attiva nel modulo di sicurezza.

4.7.2 Impostazione delle impostazioni di fabbricaPer resettare il modulo di sicurezza sulle impostazioni di fabbrica (� sezione 4.4.1):

1. Con collegamento online attivo avviare il SafetyTool (� sezione 4.6).

2. Selezionare la variante di sessione online “Show parameterization” (nessuna password necessaria).

3. Successivamente vengono visualizzate eventualmente informazioni di base diverse che vengono

confermate con OK.

4. Con il comando menu [Extras] [Set Factory Settings] il modulo di sicurezza viene resettato. Allo

scopo viene richiesto il nome utente (viene protocollato nella memoria diagnostica permanente).

5. Poi il set di parametri viene nuovamente letto sul modulo di sicurezza. Con ciò le eventuali informa

zioni di base diverse devono essere nuovamente confermate.

6. Terminare il SafetyTool.

4.7.3 Controllo plausibilità

Il controllo plausibilità può essere eseguito in qualsiasi momento durante una sessione di parametriz

zazione.

� Aprire la finestra “Plausibility test” con il comando menu [Extras] [Check parameters for plausibility].

4 Messa in servizio


Fig. 4.6 Controllo plausibilità

I punti riconosciuti con il controllo sono contrassegnati con un simbolo.

Simbolo Significato

Informazione: Pura informazione, non ha un significato funzionale.

Allarme: La parametrizzazione funziona, ma non è eventualmente completa.

Errore: Parametrizzazione errata, il modulo di sicurezza non funzionerà correttamente.

Tab. 4.10 Visualizzazione del controllo plausibilità

4.7.4 Panoramica dei parametriPer l'accesso rapido per esperti, i parametri possono essere visualizzati ed elaborati in una finestra separata.

� Aprire la finestra “Parameter overview” con il comando menu [Extras] [Parameter overview].

Fig. 4.7 Panoramica dei parametri

4 Messa in servizio


4.7.5 Finestra di diagnosiNel sottomenu [Extras] [Diagnosis] sono riportati diversi comandi per la visualizzazione di diverse fine

stre di diagnosi. Ulteriori informazioni sono riportate nell'Help sul SafetyTool.

La finestra “Digital I/O (logical states)” mostra ad es. lo stato logico degli ingressi e delle uscite:

Fig. 4.8 I/O digitali – stati logici

La finestra “Display of errors” mostra gli errori attivi, con il pulsante “Acknowledge Errors!” essi posso

no essere confermati, se possibile, anche qui.

Fig. 4.9 Indicazione di errore

Con il comando menu [Extras] [Diagnosis] [Internal signals] si apre la finestra “Functional diagram”. La

finestra mostra una panoramica completa degli ingressi logici e virtuali e delle uscite logiche e virtuali

del modulo di sicurezza.

Facendo clic su uno dei link di testo blu, viene aperta un'ulteriore finestra in cui viene visualizzato lo

stato del rispettivo gruppo di segnali (nell'esempio gli ingressi logici rappresentati dagli ingressi fisici).

4 Messa in servizio


Fig. 4.10 Schema delle funzioni

4 Messa in servizio


4.8 Test funzionale, validazione

AttenzioneLe funzioni di sicurezza devono essere validate dopo l'installazione e dopo qualsiasi

modifica dell'installazione.

Tale validazione deve essere documentata prima della messa in servizio. Come ausilio

alla messa in servizio sono state raggruppate di seguito le domande per la riduzione dei

rischi sotto forma di checklist.

Le seguenti checklist non sostituiscono in alcun modo una formazione di sicurezza.

La ditta non si assume alcuna responsabilità per la completezza delle checklist.

N. Domande Relative a Risolto

1. Sono state considerate tutte le condizioni di esercizio e tutti i

metodi d'intervento?

Sì 0 No 0 0

2. Per ridurre i rischi è stato applicato il “metodo a 3 livelli”, ovvero 1.

Costruzione sicura inerente, 2. Misure di protezione tecniche ed

event, aggiuntive, 3. Informazioni agli utenti sui rischi residui?

Sì 0 No 0 0

3. I pericoli sono stati eliminato o i rischi di pericolo ridotti nella

misura consentita dalla pratica?

Sì 0 No 0 0

4. È stato accertato che le misure adottate non generano nuovi

pericoli?

Sì 0 No 0 0

5. Gli utenti sono stati sufficientemente informati e avvertiti sui

rischi residui?

Sì 0 No 0 0

6. È stato accertato che le condizioni di lavoro degli operatori non

sono state peggiorate dalle misure di protezione adottate?

Sì 0 No 0 0

7. La misura di sicurezza adottate sono compatibili tra loro? Sì 0 No 0 0

8. Sono state valutate le conseguenze che potrebbero derivare

dall'utilizzo di una macchina costruita per scopi industriali in

campo non industriale?

Sì 0 No 0 0

9. È stato accertato che le misure adottate non compromettono

eccessivamente la capacità della macchina di adempiere le

proprie funzioni?

Sì 0 No 0 0

Tab. 4.11 Domande per la validazione secondo EN 12100 (esempio)

4 Messa in servizio


N. Domande Relative a Risolto

1. È stata eseguita una valutazione dei rischi? Sì 0 No 0 0

2. Sono stati creati una lista errori e uno schema di validazione? Sì 0 No 0 0

3. Lo schema di validazione, incl. l'analisi e il controllo, sono stati

elaborati ed è stato creato un rapporto di validazione?

Nell'ambito della validazione occorre eseguire almeno i seguenti

controlli:

Sì 0 No 0 0

a) Verifica dei componenti: Viene utilizzato CMMP-AS-…-M3 con

CAMC-G-S3 (controllo sulla base delle targhette di identifica

zione)

Sì 0 No 0 0

b) Il cablaggio è corretto (controllo sulla base dello schema

elettrico)?

Sì 0 No 0 0

– Gli apparecchi di comando di sicurezza, ad es. interruttore

della porta di protezione, interruttore di arresto d'emergen

za, ecc. sono stati cablati su X40?

Sì 0 No 0 0

– I dispositivi di comando di sicurezza per i requisiti dell'appli

cazione sono adatti e cablati adeguatamente?

Sì 0 No 0 0

c) Controllo della parametrizzazione: Sì 0 No 0 0

– La parametrizzazione del modulo di sicurezza è conclusa,

tutti i parametri sono validati?

Sì 0 No 0 0

– Il set di parametri è stato stampato e il progetto di valida

zione è stato aggiunto?

Sì 0 No 0 0

d) Controlli del funzionamento: Sì 0 No 0 0

– Azionamento dell'arresto d'emergenza dell'impianto:

L'attuatore viene arrestato?

Sì 0 No 0 0

– Azionamento dell'arresto d'emergenza dell'impianto:

Viene attivata solo uno degli ingressi assegnati all'arresto

d'emergenza DIN4xA o DIN4xB – la funzione di sicurezza

assegnata viene eseguita immediatamente e viene segnalato

al termine del tempo di discrepanza l'errore “Violazione tem

po di discrepanza” (visualizzazione 57-1) in CMMP-AS-M3?

Sì 0 No 0 0

– Azionamento delle ulteriori funzioni di sicurezza dell'impianto –

da eseguire separatamente per ogni funzione di sicurezza:

Viene attivato un solo ingresso a due canali assegnato per la

richiesta della funzione di sicurezza DIN4xA/B – la funzione di

sicurezza assegnata viene eseguita immediatamente e viene

segnalato al termine del tempo di discrepanza l'errore

“Violazione tempo di discrepanza” (visualizzazione 57-1) in

CMMP-AS-...-M3?

Sì 0 No 0 0

4 Messa in servizio


N. RisoltoRelative aDomande

– Con l'utilizzo di uscite sicure – da eseguire separatamente

per ogni uscita:

Entrambe le uscite DOUT4xA/B si disinseriscono in modo

equivalente con la presenta della rispettiva condizione di

disinserimento e viene assunto lo stato sicuro nella centrali

na di sicurezza seguente in caso di errore (rottura cavo, cor

tocircuito,…)?

Sì 0 No 0 0

– Solo se si utilizza un dispositivo di commutazione di sicurez

za con valutazione del contatto di feedback C1/C2:

In caso di cortocircuito di C1 verso C2, l'attuatore viene arre

stato al più tardi alla successiva richiesta di sicurezza?

Sì 0 No 0 0

– Viene impedito il riavvio? Ovvero, con arresto d' emergenza

azionato e segnali enable attivi non si verificherà attraverso

l'ingresso “Riavvio”, ad un comando di start, alcun movimen

to senza previa conferma?

Sì 0 No 0 0

Tab. 4.12 Domande per la validazione secondo EN ISO 13849-2 (esempio)

5 Uso e funzionamento



5.1 Obblighi del committente

La funzionalità del modulo di sicurezza CAMC-G-S3 deve essere verificata ad intervalli di tempo

adeguati. È responsabilità del committente selezionare il tipo di verifica e gli intervalli di tempo. La

verifica deve essere eseguita in modo tale che venga provato il corretto funzionamento del dispositivo

di sicurezza in comunicazione con tutti i componenti.

Intervallo di prova (Proof-Test-Interval) � appendice A, Tab. A.1.

AllarmePericolo dovuto a perdita della funzione di sicurezza!

Con caduta di tensione le funzioni di sicurezza non sono garantite (eccezione: Coppia

disinserita in sicurezza, STO; Comando sicuro del freno, SBC).



� In base all'applicazione provvedere ad un'alimentazione di tensione sicura o pre

vedere altre misure adeguate.

5.2 Manutenzione e cura

Il modulo di sicurezza è esente da manutenzione.

5.3 Funzioni di protezione

5.3.1 Alimentazione, protezione contro le sovratensioni e l'inversione di polarità del monitoraggio della tensione

L'alimentazione 24 V avviene tramite l'apparecchio di base. L'intervallo della tensione d'esercizio am

messo viene monitorato dal modulo di sicurezza.

L'alimentazione del modulo di sicurezza è quindi particolarmente protetto contro

– La sovratensione momentanea secondo EN 61326-3-1.

– L'aumento dell'alimentazione 24 V in caso di errore fino a 60 V (specificazione alimentazione PELV).

La protezione contro l'inversione di polarità è offerta dall'apparecchio di base.

5.3.2 Alimentazione di tensione dell'elettronica internaLe tensioni di esercizio interne vengono generate dall'alimentazione 24 V.

Le tensioni di alimentazione dell'elettronica interna sono realizzate in modo ridondante.

Entrambi i controllori motore nel modulo di sicurezza vengono così alimentati in modo indipendente.

Essi monitorano alternatamente tutte le tensioni di esercizio interne.



5.3.3 Alimentazione FailsafeL'elemento centrale per il comando delle uscite è la cosiddetta “Alimentazione Failsafe”. Ogni control

lore motore genera, tramite un segnale dinamico, una propria alimentazione ausiliaria (interna) (U_FS1,

U_FS2) per il comando delle diverse uscite (sicure) per

– l'alimentazione del comando del driver, separata per interruttore superiore ed inferiore,

– il comando del motore, separato per interruttore di potenza BR+ e BR-,

– le uscite digitali DOUT40 – DOUT42, separate per pin A e pin B.

U_FS1 agisce sulle uscite, che vengono controllate del controllore motore 2, viceversa U_FS2 agisce

sulle uscite del controllore motore 1. Così viene garantito che ogni controllore motore possa disinseri

re, in caso di errore, le uscite dell'altro controllore motore.

In caso di guasto di un controllore motore (non importa la causa - errore hardware, crash del program

ma ecc.) l'alimentazione “Failsafe” si arresta e le uscite vengono disinserite.

5.3.4 Funzioni di protezione per le uscite digitaliLe uscite digitali sono protette contro:

– cortocircuito dopo 0 V e 24 V e PE

– cortocircuiti trasversali a scelta rispetto ad altre uscite

– aumento della tensione fino a 60 V

Le uscite attive vengono monitorate, durante l'esercizio, tramite impulsi di prova.

In caso di errore le uscite vengono disinserite, anche tutte insieme.

5.3.5 Funzioni di protezione per gli ingressi digitaliGli ingressi digitali sono protetti contro:



– guasti da sovratensione momentanea


Gli ingressi vengono monitorati con l'ausilio degli impulsi di prova interni.

Il monitoraggio dei sensori passivi collegati avviene tramite impulsi di prova esterni tramite DOUT4x.

Con ingressi a più canali avviene un controllo di plausibilità con commutazione contemporanea con

monitoraggio del tempo di discrepanza.

5.3.6 Funzioni di protezione per il comando del freno

Le uscite per il comando del freno sono protette contro:




Le uscite vengono monitorate, durante l'esercizio, tramite impulsi di prova.

In caso di errore le uscite vengono disinserite.



5.3.7 Funzioni di protezione dell'alimentazione per il comando del driverLe uscite per il comando del driver sono protette contro:

– cortocircuito dopo 0 V e 5 V e tensione esterna fino a 60 V

– cortocircuiti tra le due alimentazioni


Le uscite vengono monitorate, durante l'esercizio, tramite impulsi di prova.

In caso di errore le uscite vengono disinserite.

5.3.8 Funzioni di protezione per l'encoder di posizione collegato

La funzione dell'encoder di posizione viene verificata durante il funzionamento.

L'estensione del monitoraggio si orienta in base al tipo di encoder utilizzato, ad es.:

– monitoraggio dei segnali di traccia analogici, ampiezza e monitoraggio della lunghezza del vettore

con SIN-/COS e encoder Hiperface e resolver

– monitoraggio della comunicazione con encoder puramente seriali

– inoltre controllo della plausibilità dei dati di posizione mediante monitoraggio dell'accelerazione

– confronto dei dati di posizione e dei dati di velocità dell'encoder di posizione 1 con quelli dell'enco

der di posizione 2, con confronto incrociato tra i controllori motore

– controllo dei tempi in caso di fermo e funzione di sicurezza richiesta per encoder di posizione senza

dinamizzazione forzata (monitoraggio 24 h).

5.3.9 Funzioni di protezione interne dell'elettronica sul modulo di sicurezzaIl modulo di sicurezza dispone di innumerevoli ulteriori funzioni di monitoraggio interne, che con l'ausi

lio del microcontrollore interno vengono eseguite reciprocamente:

– dinamizzazione di molti segnali interni analogici mediante impulsi di prova

– monitoraggio proprio del microcontrollore con funzionamento in corso tramite test di memorizza

zione, test OP-Code, monitoraggio stack e di andamento del programma

– confronto incrociato dell'esecuzione corretta del programma e dell'elaborazione sincrona del pro

gramma tra microcontrollore1 e microcontrollore2

– confronto incrociato di tutti gli stati operativi importanti e delle grandezze di stato tra microcontrol

lore1 e microcontrollore2

– monitoraggio delle condizioni ambientali (temperatura)

– monitoraggio interne delle interfacce di comunicazione

– monitoraggio della comunicazione verso l'esterno

– monitoraggio dell'integrità dei dati dei set di parametri sicuri

– monitoraggio degli stati d'esercizio e sostituzione

– monitoraggio della sessione di parametrizzazione (sessione, password, unità di comando, ...)

– monitoraggio dello stato d'errore



5.3.10 Monitoraggio del rispetto delle funzioni di sicurezza richiesteTutte le funzioni di sicurezza richieste e le funzioni logiche vengono monitorate in modo permanente nel

modulo di sicurezza. Con violazione di un limite di sicurezza viene emesso il rispettivo errore. Il monito

raggio comprende essenzialmente:

– rispetto dei limiti di velocità impostati

– rispetto dei limiti di posizione impostati

– monitoraggio stato di fermo

– rispetto delle condizioni di tempo richieste

– monitoraggio dei segnali di risposta (se sono presenti, tempo di risposta)

– monitoraggio 24 h (con arresto operativo sicuro SOS e comando sicuro del freno SBC)



5.4 Diagnosi e eliminazione dei guasti

5.4.1 Indicazione LED sul modulo di sicurezza

Lo stato d'esercizio viene visualizzato direttamente sul LED di stato a due colori del modulo di sicurez

za.

� Figura nella sezione 2.1.4, Fig. 2.1.

Vengono visualizzati i seguenti stati:

Indicatore LED Stato di esercizio Messaggio di stato1)

Luce rossa

lampeggiante

Il modulo di sicurezza è nello stato “Errore interno”, errore


VOUT_ERROR = 1

� � � � �

illuminato in

rosso

Il modulo interno è nello stato “Condizione di sicurezza

violata”, risposta errata introdotta.

VOUT_SCV = 1

VOUT_SFR = 1

� � � � �

illuminato in

giallo

Modulo di sicurezza nello stato “Stato sicuro raggiunto”. VOUT_SSR = 1

VOUT_SFR = 1

� � � � �

giallo

lampeggiante

Il modulo di sicurezza è nello stato “Funzione di sicurezza

richiesta, non ancora raggiunta”.

VOUT_SFR = 1

� � � � �

rosso/verde

lampeggiante

Il modulo di sicurezza è nello stato “Stato di fornitura - Pa

rametrizzazione controllore motore”. L'attuatore è abilitato,

tutti gli IO digitali sono privi di tensione.

VOUT_SERVICE = 1

VOUT_PS_EN = 1

� � � � �

verde

lampeggiante

– Modulo di sicurezza nello stato di servizio (stato di base).

– Il set di parametri del modulo di sicurezza non è validato.

– Non è presente alcun set di parametri nel controllore

motore.

– Viene aperta una sessione di parametrizzazione.

– I set di parametri nel controllore motore e nel modulo di

sicurezza sono diversi.

VOUT_SERVICE = 1

VOUT_PS_EN = 0

� � � � �

illuminato in

verde

Il modulo di sicurezza è nello stato “Pronto all'esercizio,

nessuna funzione di sicurezza richiesta”. Il modulo di sicu

rezza è inizializzato senza errori e pronto all'esercizio.

VOUT_READY = 1

VOUT_PS_EN = 1

� � � � �

spento Il modulo di sicurezza non è inizializzato / non pronto

all'esercizio.

VOUT_READY = 0

VOUT_PS_EN = 0� � � � �

1) Parte integrante delle “Uscite virtuali” � sezione B.1.3, Tab. B.6

Tab. 5.1 Indicatore LED del modulo di sicurezza

La descrizione completa degli stati è riportata alla � sezione 2.10.1, Tab. 2.88.



5.4.2 Display a 7 segmenti del controllore motore

AttenzioneIl display a sette segmenti del controllore motore è un'indicatore puramente diagnosti

co. Per la visualizzazione di dati orientati alla sicurezza è necessario un test funzionale

precedente della visualizzazione – ciò non è previsto.

Sul display a 7 segmenti del controllore motore vengono visualizzati le segnalazioni di stato del control

lore motore. Inoltre il modulo di sicurezza può emettere segnalazioni di stato e d'errore tramite il dis

play a 7 segmenti, se il controllore motore stesso non si trova nello stato di errore.

Visualizzazione di catene di caratteri

I singoli caratteri vengono visualizzati l'uno dietro l'altro. Con ogni sostituzione del carattere la visualiz

zazione viene brevemente soppressa.

La visualizzazione viene ripetuta ciclicamente. Tra gli ultimi caratteri della catena ed i primi caratteri

della ripetizione vi è una pausa, la visualizzazione è brevemente scura.

Le catene di caratteri possono essere visualizzate anche “velocemente lampeggianti”. Ogni carattere

lampeggia più volte durante il tempo di visualizzazione.

Visualizzazione degli errori attraverso

Vengono visualizzati solo errori ed allarmi (si è presentato un errore la cui reazione non è stata para

metrizzata in “nessuna reazione, solo registrazione nella memoria diagnostica”.

La visualizzazione degli errori del modulo di sicurezza avviene allo stesso modo come la visualizza

zione degli errori nel controllore motore.

È stata richiesta una funzione di sicurezza

Le funzioni che hanno come conseguenza un arresto dell'attuatore (STO, SOS, SS1, SS2) vengono vi

sualizzate con precedenza, altrimenti viene visualizzata l'ultima funzione di sicurezza richiesta.

Se viene richiesta una funzione di sicurezza, ma non è ancora stato raggiunto lo stato sicuro, il nome

della funzione viene rappresentato in modo lampeggiante veloce.

La visualizzazione delle funzioni di sicurezza richieste avviene come descritto nella seguente tabella.

Funzione di sicurezza Display

STO S t O

SS1 S S 1

SS2 S S 2

SOS S O S



Funzione di sicurezza Display

USF0 (con SSF0: SLS, SSR, SSM) U S F 0




SBC S b C

Tab. 5.2 Visualizzazione delle funzioni di sicurezza

Ulteriori visualizzazioniLa seguente tabella mostra ulteriori visualizzazioni in relazione al modulo di sicurezza.

Funzione/stato Display

Sessione di parametrizzazione attivaLa sequenza dei caratteri viene

visualizzata ciclicamente, finché è

presente una sessione di parametriz

zazione.

F S P A r A

Identificazione del controlloreLa sequenza di caratteri HELLO se

guita dal numero di serie 1) dell'ap

parecchio di base viene visualizzata

in modo ciclico, finché è attiva la fun

zione “Identificazione” (funzione

angolare).

H E L L O ...

1) Il numero di serie dell'apparecchio di base viene visualizzato nel PlugIn FCT alla pagina “Controllore” e nel SafetyTool. Inoltre il

numero di serie è riportato su un piccolo adesivo sul lato inferiore dell'apparecchio (tra [X6] e [X2A] ).

Tab. 5.3 Ulteriori visualizzazioni



5.5 Segnalazioni di errore e trattamento degli errori

5.5.1 Codici di errore

I numeri di errore da 51 a 59 sono riservai per il modulo di sicurezza.

Nella seguente tabella è rappresentata una panoramica sulla assegnazione.

N. Descrizione

51-x Controllore motore: Errore rispetto all'hardware (modulo di sicurezza presente,

sostituzione del modulo).

52-x Controllore motore: Errore sul modulo di sicurezza (macchina di stato, tempo di

discrepanza ...) ed errore del controllore motore se interessano il modulo di

sicurezza.

53-x Modulo di sicurezza: (Errore del modulo di sicurezza).

54-x

55-x

56-x

57-x

58-x

59-x

Tab. 5.4 Segnalazioni di errore che vengono generati dal controllore motore e dal modulo di sicurezza

5.5.2 Tacitazione errori

Gli errori generati dal controllore motore 51-x e 52-x possono essere tacitati tramite il controllore

motore � vedere descrizione di funzionamento su CMMP-AS-...-M3.

Gli errori da 53-x a 59-x vengono generati dal modulo di sicurezza e possono essere tacitati solo trami

te il modulo di sicurezza.

La tacitazione avviene tramite l'ingresso di comando parametrizzato sul modulo di sicurezza o nel Safe

tyTool (alla pagina di start “Modulo di sicurezza” o nella finestra “Display of errors” – Menu [Extras]

[Diagnosis] [Errors]. Così vengono tacitati possibilmente tutti gli errori, incluso l'errore dell'apparecchio

di base.

Dopo un riavvio del controllore motore (tasto reset dell'apparecchio di base o spegnimento/accen

sione dell'alimentazione di tensione) gli errori sono ugualmente “tacitati”, a patto che la causa non sia

più presente.

Ulteriori informazioni sulla conferma degli errori nel modulo di sicurezza � sezione 2.8.3.



5.5.3 Segnalazioni diagnosticheSe si presenta un errore, il modulo di sicurezza lo visualizza tramite i LED rossi accesi o lampeggianti.

Inoltre il controllore motore CMMP-AS-...-M3 visualizza una segnalazione diagnostica ciclica sul display

a 7 segmenti. Un messaggio di errore è composto da una E (per Error), un indice principale e un sottoin

dice, ad es.: E 0 1 0.

Le avvertenze hanno lo stesso numero dei messaggi di errore. Si differenziano però per il fatto di essere

precedute e seguite da una barra centrale, ad es. - 1 7 0 -.

Nella sezione 5.6 sono elencati i messaggi rilevanti per la sicurezza funzionale in relazione

con il modulo di sicurezza.

La lista completa dei messaggi di errore è disponibile nella documentazione hardware

GDCP-CMMP-M3-HW-... del controllore motore utilizzato.

Tab. 5.5 spiega le registrazioni delle tabelle nella sezione 5.6

Colonna Significato

N. Indice principale e sottoindice della segnalazione diagnostica.

Codice La colonna del codice contiene il codice di errore (Hex) di CiA 301.

Messaggio Messaggio che viene visualizzato nel FCT.

Causa Possibili cause del messaggio.

Rimedio Rimedio da parte dell'utilizzatore.

Reazione La colonna reazione contiene la reazione all'errore (predisposizione per default,in parte configurabile):– PS off (disattivazione del modulo terminale),– MCStop (alt rapido con corrente massima),– QStop (alt rapido con rampa parametrizzata),– Warn (allarme),– Ignore (nessun messaggio, solo registrazione nella memoria diagnostica),– NoLog (nessun messaggio e nessuna registrazione nella memoria diagnostica).Le reazioni all'errore da 53-x a 59-x vengono configurate tramite il SafetyTool:– richiesta SBC + STO + impostare tutte le uscite digitali su “0” [8]– richiesta SBC + STO [7]– richiesta STO [6]– richiesta SBC SS1 [5]– richiesta SS1 [4]– richiesta SS2 [3]– generazione di un'allarme, nessuna ulteriore reazione [2] – corrisponde a “Warn”– nessuna reazione, solo la registrazione nella memoria diagnostica [1] – corri

sponde a “Registrazione”– nessuna reazione, nessuna registrazione nella memoria diagnostica [0] –

corrisponde a “Ignore”

Tab. 5.5 Spiegazioni sulla tabella “segnalazioni diagnostiche del CMMP-AS-...-M3”

Nel caso di un messaggio di errore non confermabile occorre eliminare dapprima la causa secondo le

misure raccomandate. Eseguire un reset del controllore motore e verificare se la causa dell'errore e

quindi il messaggio dell'errore sono stati eliminati.



5.6 Segnalazioni diagnostiche con indicazioni per l'eliminazione dei guasti

Gruppo errore 0 InformazioneN. Codice Messaggio Reazione

0-0 - Errore non valido Ignore

Causa Informazione: Una registrazione di errore non valida (corrotta) è stata

contrassegnata con questo numero nella memoria diagnostica.

La registrazione del tempo di sistema viene impostata su 0.

Rimedio –

0-1 - Rilevato e corretto errore non valido Ignore

Causa Informazione: Una registrazione di errore non valida (corrotta) è

stata rilevata e corretta nella memoria diagnostica. L'informazione

supplementare contiene il numero di errore originario.

La registrazione del tempo di sistema contiene l'indirizzo del nume

ro di errore corrotto.

Rimedio –

0-2 - Errore eliminato Ignore

Causa Informazione: Gli errori attivi vengono tacitati.

Rimedio –

0-4 - Numero di serie / tipo di unità (sostituzione moduli) Ignore

Causa Informazione: � Registrazione nella memoria diagnostica.

Rimedio –

0-7 - Registrazione successiva Ignore


Rimedio –

0-8 - Controllore attivato Ignore


Rimedio –

0-9 - Parametri di sicurezza controllore modificati Ignore


Rimedio –

0-10 - Modulo di sicurezza: Parametri modificati Ignore


Rimedio –

0-11 - Sostituzione del modulo: Modulo precedente Ignore


Rimedio –

0-12 - Sostituzione del modulo: Modulo attuale Ignore


Rimedio –

0-13 - Modulo di sicurezza: Errore tacitato Ignore


Rimedio –



Gruppo errore 0 Informazione

N. ReazioneMessaggioCodice

0-14 - Funzione di sicurezza richiesta Ignore


Rimedio –

0-15 - Modulo di sicurezza: Sessione di parametrizzazione aperta Ignore


Rimedio –

0-16 - Modulo di sicurezza: Sessione di parametrizzazione chiusa Ignore


Rimedio –

0-17 - Modulo di sicurezza: Password modificata Ignore


Rimedio –

0-18 - Modulo di sicurezza: Password ripristinata Ignore


Rimedio –

0-19 - Modulo di sicurezza: Set di parametri caricato Ignore


Rimedio –

0-20 - Modulo di sicurezza: Set di parametri salvato Ignore


Rimedio –

0-21 - Registrazione Log dal modulo di sicurezza Ignore


Rimedio –

Gruppo errore 51 Modulo/funzione di sicurezzaN. Codice Messaggio Reazione

51-0 8091h Modulo di sicurezza non presente/sconosciuto o alimentazione del driver difettosa

PSoff

Causa Errore di tensione interno del modulo di sicurezza o del modulo

interruttore.

Rimedio � Modulo probabilmente difettoso. Se possibile sostituire con un

altro modulo.

Causa Nessun modulo di sicurezza riconosciuto o tipo di modulo ignoto.

Rimedio � Per il firmware e l'hardware installare il modulo di sicurezza o

interruttore adatto.

� Caricare un modulo di sicurezza o interruttore adatto per il

firmware, confrontare con la sigla sul modulo.



Gruppo errore 51 Modulo/funzione di sicurezza


51-1 8092h Funzione di sicurezza: Alimentazione driver difettosa PSoff

Causa Errore hardware interno (errore di tensione) del modulo di sicurez

za o del modulo interruttori.


altro modulo.

Causa – Errore nella parte di circuito driver nell'apparecchio di base.

Rimedio � Apparecchio di base probabilmente difettoso. Se possibile

sostituire con un altro apparecchio di base.

51-2 8093h Modulo di sicurezza: Tipo di modulo diverso PSoff

Causa Il tipo o la revisione del modulo non è adatto/a alla progettazione.

Rimedio � Controllare se si utilizzano un tipo di modulo e una revisione

corretti.

� Con scambio di moduli: Tipo di modulo non ancora progettato.

Modulo di sicurezza o modulo interruttore attualmente installa

to accettato.

51-3 8094h Modulo di sicurezza: Versione modulo diversa PSoff

Causa Il tipo o la revisione del modulo non viene supportato/a.

Rimedio � Per il firmware e l'hardware installare il modulo di sicurezza o

interruttore adatto.

� Caricare un modulo adatto per il firmware, confrontare con la

sigla sul modulo.

Causa Il tipo di modulo è corretto, ma la revisione del modulo non è sup

portata dall'apparecchio di base.

Rimedio � Controllo della revisione del modulo, dopo la sostituzione utiliz

zare possibilmente un modulo della stessa revisione. Per il

firmware e l'hardware installare il modulo di sicurezza o inter

ruttore adatto.

� Se è disponibile un solo modulo con revisione superiore: Cari

care nell'apparecchio di base un firmware adatto per il modulo,

confrontare con la sigla sul modulo.

51-4 8095h Modulo di sicurezza: Errore nella comunicazione SSIO PSoff

Causa Il collegamento di comunicazione interno tra apparecchio di base e

modulo di sicurezza è disturbato.

Rimedio � L'errore può presentarsi se nell'apparecchio di base è stato

proiettato un CAMC-G-S3, ma è inserito un altro tipo di modulo.

� Caricare un modulo di sicurezza o interruttore adatto per il

firmware, confrontare con la sigla sul modulo.



Gruppo errore 51 Modulo/funzione di sicurezza


51-5 8096h Modulo di sicurezza: Errore nell'azionamento del freno PSoff

Causa Errore interno dell'hardware (segnali di comando azionamento del

freno) del modulo di sicurezza o del modulo interruttori.


altro modulo.

Causa Errore nella parte di commutazione del driver del freno nell'appa

recchio di base.



51-6 8097h Modulo di sicurezza: Numero di serie modulo diverso PSoff

Causa Il numero di serie del modulo di sicurezza attualmente inserito è

diverso da quello salvato.

Rimedio L'errore si presenta solo dopo una sostituzione di CAMC-G-S3.

� Con scambio di moduli: Tipo di modulo non ancora progettato.

Accettare CAMC-G-S3 attualmente installato.

Gruppo errore 52 Funzione di sicurezza

N. Codice Messaggio Reazione

52-1 8099h Funzione di sicurezza: Tempo discrepanza superato PSoff

Causa – Gli ingressi di comando STO-A e STO-B non vengono azionati

contemporaneamente.

Rimedio � Controllare il tempo di discrepanza.

Causa – Gli ingressi di comando STO-A e STO-B non vengono azionati

nello stesso senso.

Rimedio � Controllare il tempo di discrepanza.

Causa Alimentazione OS e US non contemporaneamente attivate (tempo

di discrepanza superato)

– Errore nell'azionamento / cablaggio esterno del modulo di

sicurezza.

– Errore nel modulo di sicurezza.

Rimedio � Controllare il cablaggio del modulo di sicurezza � gli ingressi

STO-A e STO-B diventano a due canali e vengono disattivati

contemporaneamente?

� Sostituire il modulo di sicurezza, se si sospetta un difetto del

modulo.



Gruppo errore 52 Funzione di sicurezza


52-2 809Ah Funzione di sicurezza: Caduta alimentazione driver concomando PWM attivo

PSoff

Causa Questo messaggio d'errore non si presenta con unità fornite di

fabbrica. Può presentarsi con l'utilizzo di un firmare dell'unità su

richiesta cliente.

Rimedio � Lo stato sicuro viene richiesto con modulo terminale di potenza

sbloccato. Controllare il collegamento con il collegamento di

sicurezza.

52-3 809Bh Modulo di sicurezza: Limiti sovrapposti della limitazione dinumero di giri nell'apparecchio di base

PSoff

Causa L'apparecchio di base segnala un errore se la direzione di movimento attualmente richiesta non è eseguibile, perché il modulo disicurezza ha bloccato il valore nominale in questa direzione.L'errore può presentarsi in relazione alle funzioni di velocità sicureSSFx se si utilizza una finestra di velocità asimmetrica in cui unlimite è impostato su zero. In tal caso l'errore si presenta se l'apparecchio di base processa nel modo operativo posizionamento nelladirezione bloccata.

Rimedio � Controllare l'applicazione ed eventualmente sostituirla.

Gruppo errore 53 Violazione di condizioni di sicurezzaN. Codice Messaggio Reazione

53-0 80A1h USF0: Condizione di sicurezza violata configurabile

Causa – Violazione dei limiti di velocità monitorati di SSF0 in esercizio/

con USF0/SSF0 richiesto.

Rimedio Controllare quando si presenta la violazione della condizione di

sicurezza:

a) con frenata dinamica sul numero di giri sicuro

b) dopo che l'attuatore ha raggiunto il numero di giri sicuro.

� Con a) Controllo critico della rampa di decelerazione � registrare la traccia - l'attuatore riesce a seguire la rampa?

� Modificare i parametri per la rampa di decelerazione o il puntodi inizio/i tempi di ritardo per il monitoraggio.

� Per il controllo b) � che divario c'è tra la velocità attuale e lavelocità limite monitorata; eventualmente aumentare la distanza (parametri nel modulo di sicurezza) o correggere i parametridi velocità del comando.




Rimedio � vedere USF0, errore 53-0.



Gruppo errore 53 Violazione di condizioni di sicurezza










Gruppo errore 54 Violazione di condizioni di sicurezzaN. Codice Messaggio Reazione

54-0 80AAh SBC: Condizione di sicurezza violata configurabile

Causa – Il freno deve arrestarsi, segnale di feedback non avvenuto nel

tempo atteso.

Rimedio � Controllare come è configurato il segnale di feedback � è statoscelto l'ingresso corretto per il segnale di feedback?

� La polarità del segnale di feedback è adatta?� Controllare se il segnale di feedback scatta veramente.� Adatta il tempo di ritardo parametrizzato per la valutazione del

segnale di feedback al freno utilizzato (eventualmente misurareil tempo di commutazione).

54-2 80ACh SS2: Condizione di sicurezza violata configurabile

Causa – Il valore effettivo del numero di giri si trova troppo al di fuori dei

limiti consentiti.


sicurezza:

a) con frenata dinamica sullo zero.b) dopo che l'attuatore ha raggiunto il numero di giri zero.� Con a) Controllo critico della rampa di decelerazione � registra

re la traccia - l'attuatore riesce a seguire la rampa? Modificare iparametri per la rampa di decelerazione o il punto di inizio/itempi di ritardo per il monitoraggio.

� Con a) Se è impostata l'opzione “di attivazione dell'arrestorapido dell'apparecchio di base”: Controllo critico della rampadi arresto rapido dell'apparecchio di base.

� Con b) Controllo � l'attuatore continua a oscillare dopo averraggiunto il numero di giri zero oppure rimane stabile � eventualmente aumentare il tempo di tolleranza del monitoraggio.

� Con b) Se il valore di velocità allo stato fermo è molto basso.Controllare ed eventualmente adattare i parametri di espertiper il rilevamento del numero di giri e il riconoscimento dellostato di fermo.





54-3 80ADh SOS: Condizione di sicurezza violata configurabile

Causa – Valutazione encoder angolare segnala “Motore gira” (il valore

effettivo del numero di giri supera il limite).

– L'attuatore si è girato dalla sua posizione dal raggiungimento

dello stato sicuro.

Rimedio � Controllare la tolleranza di posizione per il monitoraggio SOS,

eventualmente aumentarla se ammesso.

� Se il valore di velocità allo stato fermo è molto basso: Control

lare ed eventualmente adattare i parametri di esperti per il

rilevamento del numero di giri e il riconoscimento dello stato di

fermo.54-4 80AEh SS1: Condizione di sicurezza violata configurabile

Causa – Il valore effettivo del numero di giri si trova troppo al di fuori dei

limiti consentiti.


sicurezza:

a) con frenata dinamica sullo zero.

b) dopo che l'attuatore ha raggiunto il numero di giri zero.

� Con a) Controllo critico della rampa di decelerazione � registra

re la traccia - l'attuatore riesce a seguire la rampa? Modificare i

parametri per la rampa di decelerazione o il punto di inizio/i

tempi di ritardo per il monitoraggio.

� Con a) Se è impostata l'opzione “di attivazione dell'arresto

rapido dell'apparecchio di base”: Controllo critico della rampa

di arresto rapido dell'apparecchio di base.

� Con b) Controllo � l'attuatore continua a oscillare dopo aver

raggiunto il numero di giri zero oppure rimane stabile � even

tualmente aumentare il tempo di tolleranza del monitoraggio.

� Con b) Se il valore di velocità allo stato fermo è molto basso:

Controllare ed eventualmente adattare i parametri di esperti

per il rilevamento del numero di giri e il riconoscimento dello

stato di fermo.





54-5 80AFh STO: Condizione di sicurezza violata configurabile

Causa – Errore hardware interno (errore di tensione) del modulo di sicu

rezza.


altro modulo.

Causa – Errore nella parte di circuito driver nell'apparecchio di base.



Causa – Non compare il segnale di feedback dall'apparecchio di base

che è stato disattivato il modulo terminale.

Rimedio � Controllare se sia possibile tacitare l'errore e se a una nuova

richiesta si verifichi di nuovo STO � se sì: Apparecchio di base

probabilmente difettoso. Se possibile sostituire con un altro

apparecchio di base.

54-6 80B0h SBC: Freno > 24 h non ventilato configurabile

Causa – L'errore si presenta se viene richiesto SBC e il freno non è stato

aperto dall'apparecchio di base nelle ultime 24 ore.

Rimedio � Se nell'apparecchio di base [X6] avviene il comando del freno

tramite attuatore del freno: Il freno deve essere alimentato

almeno una volta in 24 ore dalla richiesta di SBC, perché il con

trollo dell'interruttore di potenza può avvenire solo con freno

attivato (alimentato).

� Solo se il comando del freno avviene tramite DOUT4x e un ap

parecchio esterno di comando del freno: Disattivare il monito

raggio di 24 ore nei parametri SBC se l'apparecchio esterno di

comando del freno lo consente.

54-7 80B1h SOS: SOS > 24 h richiesto configurabile

Causa – Se SOS viene richiesto per più di 24 h, scatta l'errore.

Rimedio � Nel contempo terminare SOS, processare una volta gli assi.



Gruppo errore 55 Rilevamento valore effettivo 1N. Codice Messaggio Reazione

55-0 80C1h Nessun valore di numero di giri/posizione disponibile o statofermo > 24 h

configurabile

Causa – Errore successivo in caso di guasto di un encoder di posizione.

– Funzione di sicurezza SSF, SS1, SS2 o SOS richiesta e valore

effettivo del numero di giri non valido.

Rimedio � Controllo della funzione dell'encoder/degli encoder di posi

zione (vedere gli errori seguenti).

55-1 80C2h Encoder SINCOS [X2B] - errore segnali di traccia configurabile

Causa – Lunghezza vettoriale sin²+cos² fuori dall'intervallo consentito.

– Ampiezza di uno dei due segnali fuori dall'intervallo consentito.

– Spostamento tra segnale analogico e digitale > 1 quadrante.

Rimedio L'errore può presentarsi con encoder SIN/COS e anche Hiperface.

� Controllo dell'encoder di posizione.

� Controllo del cablaggio di collegamento (rottura linea, chiusura

tra due segnali o segnale/schermo).

� Controllo della tensione di alimentazione per l'encoder di posi

zione.

� Controllo del cavo motore/supporto schermo motore e lato

attuatore � le interferenze CEM possono causare l'errore.

55-2 80C3h Encoder SINCOS [X2B] - stato fermo > 24 h configurabile

Causa – I segnali di ingresso dell'encoder SinCos non sono cambiati di

una grandezza minima per 24h (con funzione di sicurezza ri

chiesta).

Rimedio � Nel contempo terminare SS2 o SOS, processare una volta gli assi.

55-3 80C4h Resolver [X2A] - errore segnale configurabile

Causa – Lunghezza vettoriale sin²+cos² fuori dall'intervallo consentito.

– Ampiezza di uno dei due segnali fuori dall'intervallo consentito.

– Il segnale di ingresso è statico (stessi valori a destra e a sinistra

del massimo).

Rimedio � Controllo del resolver.



� Controllo al guasto dell'eccitatore

� Controllo del cavo del motore e dell'encoder/supporto scher

mo lato motore e attuatore. Le interferenze CEM possono

causare l'errore.



Gruppo errore 55 Rilevamento valore effettivo 1


55-4 - Encoder EnDat [X2B] - errore sensore configurabile

Causa – Errore di comunicazione tra il modulo di sicurezza e l'encoder

ENDAT.

– Messaggio di errore dell'encoder ENDAT presente.

Rimedio � Controllo dell'encoder ENDAT.



� Controllo della tensione di alimentazione per l'encoder ENDAT.


attuatore � le interferenze CEM possono causare l'errore.55-5 - Encoder EnDat [X2B] - tipo di sensore sbagliato configurabile

Causa – Il numero di tacche non corrisponde alla parametrizzazione.

– Numero di serie Non corrisponde alla parametrizzazione.

– Il tipo di encoder non corrisponde alla parametrizzazione.

Rimedio � Controllare la parametrizzazione.

� Utilizzare solo encoder omologati.

55-6 80C5h Encoder incrementale [X10] - errore segnali di traccia configurabile

Causa – Segnali di traccia errati dall'encoder incrementale.

Rimedio � Controllo del cablaggio di collegamento (rottura linea, chiusura




55-7 80C6h Encoder speciale [X2B] - informazioni errate sull'angolo configurabile

Causa – Passa il messaggio dell'apparecchio di base “Angolo errato” se

lo stato rimane più a lungo di quanto consentito.

– L'encoder su X2B viene valutato dall'apparecchio di base,

– L'encoder è difettoso.

Rimedio � Controllo dell'encoder di posizione su X2B.



� Controllo della tensione di alimentazione per l'encoder ENDAT.







55-8 - Accelerazione non ammissibile rilevata configurabile

Causa – Errore nel sensore di posizione collegato.

– Interferenze CEM che agiscono sull'encoder di posizione.

– Accelerazioni elevate non consentite nei profili della procedura.

– Limiti di velocità parametrizzati troppo bassi.

– Salto angolare secondo corsa di riferimento nei dati di posizione

trasmessi dall'apparecchio di base al modulo di sicurezza.

Rimedio � Controllo degli encoder di posizione collegati: Se si presentano

altri messaggi di errore in relazione agli encoder, eliminarne

prima la causa.

� Controllo del cavo del motore e dell'encoder/supporto scher

mo lato motore e attuatore. Le interferenze CEM possono

causare l'errore.

� Controllo dei valori di riferimento/profili della procedura del

comando: Contengono accelerazioni elevate non consentite che

superano il valore limite per il monitoraggio dell'accelerazione

(P06.07)?

� Controllare se il valore limite per il monitoraggio dell'accelera

zione è parametrizzato correttamente � il valore limite (P06.07)

dovrebbe trovarsi almeno al 30 % ... 50 % sopra all'accelera

zione massima presentatasi.

� In caso di salto angolare nei dati di posizione dall'apparecchio

di base � tacitare l'errore una volta.



56-8 80D1h Differenza numero di giri/angolare encoder 1 - 2 configurabile

Causa – Differenza numero di giri tra encoder 1 e 2 di un μC fuori dall'in

tervallo consentito più a lungo di quanto ammesso.

– Differenza angolare tra encoder 1 e 2 di un μC fuori dall'inter

vallo consentito più a lungo di quanto ammesso.

Rimedio � Il problema può presentarsi se nel sistema si utilizzano due

encoder di posizione che non sono accoppiati in modo fisso.

� Migliorare il controllo su elasticità, parti non montate, meccanica.

� Adattamento dei parametri di esperti per il confronto della

posizione se questo è accettabile dal punto di vista dell'appli

cazione.





56-9 - Errore confronto incrociato valutazione encoder configurabile

Causa Il confronto incrociato tra μC1 e μC2 ha determinato la differenza

angolare o differenza del numero di giri o una differenza nei punti

del tempo di rilevamento per l'encoder di posizione.

Rimedio � Timing disturbato. Se l'errore si ripresenta dopo il RESET, pro

babilmente il modulo di sicurezza è difettoso.

Gruppo errore 57 Errori ingressi/uscite


57-0 80E1h Errori autotest I/O (interno/esterno) configurabile

Causa – Errore sulle uscite DOUT40 ... DOUT42 (rilevamento mediante

impulsi di prova).

– Errore interno degli ingressi digitali DIN40 ... DIN49 (mediante

segnali di prova interni).

– Errore nell'uscita del freno su X6 (intercambio di segnali, rileva

mento mediante impulsi di prova).

– Errore interno dell'uscita del freno (mediante segnali di prova

interni).

– Errore interno delle uscite digitali DOUT40 � DOUT42 (mediante

segnali di prova interni).

Rimedio � Controllo del cablaggio di collegamento per le uscite digitali

DOUT40 ... DOUT42 (cortocircuito, cortocircuito trasversale

ecc.).

� Controllo del cablaggio di collegamento per il freno (cortocir

cuito, cortocircuito trasversale ecc.).

� Collegamento freno: L'errore può presentarsi con cavi motore

più lunghi, se:

1. L'uscita del freno X6 è stata configurata per il freno (questo è il

caso delle impostazioni di fabbrica!) e

2. Si utilizza un motore senza freno di arresto e i cavi di collega

mento del freno nel cavo motore sono posizionati su X6. In tal

caso: Scollegare i cavi di collegamento del freno su X6.

� Se è presente un errore nel cablaggio del collegamento, può

essere presente un errore interno nel modulo (controllo

mediante sostituzione del modulo).



Gruppo errore 57 Errori ingressi/uscite


57-1 80E2h Ingressi digitali - errore livello del segnale configurabile

Causa Superamento/violazione del tempo di discrepanza negli ingressi a

più canali (DIN40 ... DIN44, unità di gestione e di visualizzazione a

due mani, selettore dei tipi di funzionamento).

Rimedio � Controllo dei sensori utilizzati esterni attivi e passivi � se si

attivano a due canali e contemporaneamente (entro il tempo di

discrepanza parametrizzato).

� Unità di gestione e visualizzazione a due mani: Controllo di

come viene utilizzato l'apparecchio dall'utente � vengono

azionati entrambi i tasti nel tempo di discrepanza? Eventual

mente eseguire una formazione.

� Controllo dei tempi di discrepanza impostati � sono sufficienti?

57-2 - Ingressi digitali - errore impulso di prova configurabile

Causa – Uno o più ingressi (DIN40 ... DIN49) sono stati configurati per la

valutazione di impulsi di prova delle uscite (DOUT40 ...

DOUT42). Gli impulsi di prova da DOUTx non arrivano a DIN4x.

Rimedio � Controllo del cablaggio (chiusure secondo 0 V, 24 V, cortocircui

ti trasversali).

� Controllo dell'assegnazione � selezionata/configurata l'uscita

corretta per l'impulso di prova?

57-6 - Temperatura troppo elevata delle parti elettroniche configurabile

Causa – Il monitoraggio della temperatura del modulo di sicurezza è

intervenuto, la temperatura di μC 1 o μC2 era inferiore a -20 ° o

superiore a +75 °C.

Rimedio � Controllo delle condizioni di esercizio (temperatura ambiente,

temperatura nell'armadio di comando, situazione di montaggio

nell'armadio di comando).

� Se il controllore motore è sovraccaricato dal punto di vista

termico (temperatura elevata dell'armadio di comando, poten

za assorbita elevata/rilascio elevato al motore, molti posti

scheda occupati) si dovrebbe utilizzare un controllore motore

del livello di potenza superiore successivo.



Gruppo errore 58 Errore di comunicazione / parametrizzazioneN. Codice Messaggio Reazione

58-0 80E9h Controllo plausibilità parametri configurabile

Causa Il controllo di plausibilità nel modulo di sicurezza ha mostrato degli

errori, ad es. una configurazione non ammessa dell'encoder ango

lare, l'errore si presenta con la richiesta di un codice di validazione

mediante il SafetyTool e al salvataggio dei parametri nel modulo di

sicurezza.

Rimedio � Attenersi alle indicazioni del SafetyTool per la validazione com

pleta, eseguire la parametrizzazione in modo critico.

58-1 - Errore generale parametrizzazione configurabile

Causa Sessione di parametrizzazione attiva già da > 8 h.

Il modulo di sicurezza ha quindi interrotto la sessione di paramet

rizzazione

Il messaggio di errore viene salvato nella memoria diagnostica.

Rimedio � Terminare la sessione di parametrizzazione entro 8 h, eventual

mente iniziare poi una nuova sessione di parametrizzazione e

proseguire.

58-4 80E9h Buffer comunicazione interna Fisso [8]

Causa – Collegamento di comunicazione disturbato.

– Timeout/errore dati/sequenza errata (contatore pacchetti)

nella trasmissione dati apparecchio di base � modulo di sicu

rezza.

– Traffico dati troppo elevato, nuove richieste inviate al modulo di

sicurezza, prima che si sia risposto a quelle vecchie.Rimedio � Controllo delle interfacce di comunicazione, cablaggio, scher

mo, ecc.

� Controllare se durante una sessione di parametrizzazione in

corso altri apparecchi accedono in lettura al controllore motore

e al modulo di sicurezza, in modo che il collegamento di comu

nicazione possa essere sovraccaricato.

� Controllare se la versione del firmware nel modulo di sicurezza,

l'apparecchio di base e la revisione dell'FCT-Plugins e del Safe

tyTool sono compatibili tra loro.

58-5 80EAh Comunicazione modulo - apparecchio di base Fisso [8]

Causa – Errore contatore pacchetti durante il trasferimento μC1 <-� μC2.

– Errore di checksum durante il trasferimento μC1 <-� μC2.

Rimedio � Guasto interno nel controllore motore.

� Controllare se la versione del firmware nel modulo di sicurezza,

l'apparecchio di base e la revisione dell'FCT-Plugins e del Safe

tyTool sono compatibili tra loro.



Gruppo errore 58 Errore di comunicazione / parametrizzazione


58-6 80EBh Errore confronto incrociato processori 1 - 2 Fisso [8]

Causa Timeout confronto incrociato (nessun dato) oppure confronto

incrociato errato (i dati μC1 e μC2 non combaciano).

– Errore confronto incrociato IO digitali.

– Errore confronto incrociato ingresso analogico.

– Errore confronto incrociato misurazione interna della tensione

d'esercizio (5 V, 3,3 V, 24 V) e tensione di riferimento (2,5 V).

– Errore confronto incrociato valori analogici encoder angolare

SIN/COS.

– Errore confronto incrociato monitoraggio esecuzione programma.

– Errore confronto incrociato contatore interrupt.

– Errore confronto incrociato immagine dell'ingresso.

– Errore confronto incrociato violazione di condizioni di sicurezza.

– Errore confronto incrociato misurazione della temperatura.

Rimedio Si tratta di un errore interno del modulo che non dovrebbe presen

tarsi in esercizio.

� Controllo delle condizioni di esercizio (temperatura, umiditàdell'aria, formazione di condensa).

� Controllo del cablaggio CEM � come previsto, concetto di schermo, sono presenti sorgenti di disturbo esterne?

� Il modulo di sicurezza potrebbe essere difettoso � eliminazioneerrori dopo scambio di moduli?

� Controllare se presso il produttore è disponibile un nuovo firmware per il controllore motore o una nuova versione del modulodi sicurezza.

Gruppo errore 59 Errore interno modulo di sicurezza


59-1 80F1h Alimentazione Failsafe/blocco impulsi sicuro Fisso [8]

Causa – Errore interno nel modulo nella parte di circuito alimentazione

Failsafe oppure nell'alimentazione del driver per interruttore

superiore o inferiore.

Rimedio � Modulo difettoso, sostituire.

59-2 80F2h Errore alimentazione esterna Fisso [8]

Causa – Tensione di riferimento 2,5 V fuori tolleranza.

– Riconosciuta sovratensione alimentazione logica +24 V.


59-3 80F3h Errore alimentazione di tensione interna Fisso [8]

Causa – Tensione (interna 3,3 V, 5 V, riferimento ADU) fuori dall'interval

lo consentito.






59-4 80F4h Gestione degli errori: Troppi errori Fisso [8]

Causa – Si sono verificati troppi errori contemporaneamente.

Rimedio � Spiegazione: Che stato ha il modulo di sicurezza montato, con

tiene un record di parametri valido?

� Leggere e analizzare il file log dell'apparecchio di base median

te FCT.

� Eliminare le cause dell'errore passo per passo.

� Montare il modulo di sicurezza così come “fornito” ed eseguire

la messa in servizio dell'apparecchio di base.

� Se non è disponibile: Creare le impostazioni di fabbrica nel

modulo di sicurezza, infine eseguire il rilevamento dei dati dal

l'apparecchio di base e la validazione completa. Controllare se

l'errore si ripresenta.

59-5 80F5h Scrittura errore nella memoria diagnostica Fisso [8]

Causa Errore successivo se la comunicazione interna è disturbata.

– L'apparecchio di base non è pronto all'uso, è difettoso o c'è un

errore di memoria.

Rimedio � Verifica della funzionalità dell'apparecchio di base

� Creazione di un errore nell'apparecchio di base, ad es. staccare

il connettore dell'encoder di posizione e controllare se l'appa

recchio di base scrive una voce nel file log.

� Modulo o apparecchio di base difettoso, sostituire.

59-6 80F6h Errore durante salvataggio set di parametri Fisso [8]

Causa – Interruzione di tensione / power off durante il salvataggio dei

parametri.

Rimedio � Mantenere costante l'alimentazione di tensione a 24 V durante

l'intera sessione di parametrizzazione.

� Dopo il verificarsi dell'errore, parametrizzare nuovamente il

modulo, validare nuovamente il record di parametri.

59-7 80F7h Errore di checksum FLASH Fisso [8]

Causa – Interruzione di tensione / power off durante il salvataggio dei

parametri.

– Memoria FLASH nel modulo di sicurezza corrotta (ad es. per

interferenze molto forti).

Rimedio Controllare se si ripete l'errore dopo il RESET; se sì

� Parametrizzare nuovamente il modulo, validare nuovamente il

record di parametri; se l'errore rimane:

� Modulo difettoso, sostituire.





59-8 80F8h Monitoraggio interno processore 1 - 2 Fisso [8]

Causa – Errore interno grave nel modulo di sicurezza: Rilevato errore

nella dinamizzazione dei segnali interni

– Esecuzione del programma disturbata, errore stack oppure test

OP-code fallito, eccezione/interruzione processore.

Rimedio Controllare se si ripete l'errore dopo il RESET; se sì

� Modulo difettoso, sostituire.

59-9 80F9h Altro errore inatteso Fisso [8]

Causa Attivazione del monitoraggio interno dell'esecuzione del programma.

Rimedio � Controllo dello stato del firmware dell'apparecchio di base e

della revisione del modulo di sicurezza � update disponibile?

� Modulo di sicurezza difettoso, sostituire.

6 Manutenzione, riparazione, sostituzione, smaltimento



6.1 Manutenzione

Il modulo di sicurezza non contiene pezzi che necessitano di manutenzione.

6.2 Riparazione

Non è ammesso effettuare riparazioni al modulo di sicurezza. Se necessario, sostituire

completamente il modulo di sicurezza.

� Sostituire assolutamente il modulo di sicurezza nel caso di un difetto interno.

� Rispedire a Festo il modulo di sicurezza difettoso, non modificato, con una descrizione dell'errore e

del caso di impiego per poterlo analizzare.

� Invitiamo a mettersi in contatto con il proprio consulente tecnico per chiarire le modalità per rispe

dire il componente.

6.3 Sostituzione del modulo di sicurezza

In caso di rottura e sostituzione del modulo di sicurezza, deve essere assicurato, attraverso misure

organizzative, che non si presenti uno stato non sicuro. Ovvero facendo sì

– che il modulo di sicurezza non venga sostituito con un altro tipo di modulo senza funzionalità di

sicurezza (modulo interruttore).

– che il modulo di sicurezza non venga sostituito con un altro tipo di modulo con funzionalità ridotte

(CAMC-G-S3 rispetto a CAMC-G-S1).

– che lo stato di revisione del nuovo modulo di sicurezza sia concorde o compatibile con il vecchio


– che la parametrizzazione del nuovo modulo di sicurezza sia concorde alla parametrizzazione del

modulo di sicurezza difettoso.

La sigla del modulo di sicurezza e lo stato di revisione devono essere desunti dalla tar

ghetta di identificazione � Tab. 1, pagina 9.

Osservare le misure organizzative necessarie per evitare i danni in relazione con la sostituzione del

modulo.

Ad es. in ragione del diverso numero di serie del modulo di sicurezza e del nuovo codice di validazione,

si deve realizzare in ogni caso un nuovo report di validazione.



6.3.1 Smontaggio e montaggioPrima di una sostituzione del modulo, deve essere verificata la compatibilità tra il modulo di sicurezza e

l'apparecchio di base, vedere anche � sezione “Versioni” davanti in questo documento.

Le informazioni sullo smontaggio e sul montaggio del modulo di sicurezza sono riportate

in Montaggio / smontaggio del modulo di sicurezza � sezione 3.1.

Suggerimento: Se il modulo di sicurezza da sostituire è disponibile dal SafetyTool, è consigliabile

memorizzare dallo stato effettivo validato un record di parametri sicuro (avviare il SafetyTool in modali

tà online – visualizzare la parametrizzazione – poi generare un record di parametri sicuro).

6.3.2 Acquisizione del modulo di sicurezza

Dopo la sostituzione del modulo occorre dapprima acquisire nuovamente nel FCT PlugIn CMMP-AS il

nuovo modulo di sicurezza.

Acquisizione del numero di serie del modulo di sicurezza sostituito � sezione 4.3.4.

6.3.3 Nuova messa in servizio con il SafetyToolDopo l'acquisizione del modulo di sicurezza sostituito occorre trasmettere la parametrizzazione desi

derata dal modulo di sicurezza e poi validare.

Le informazioni di base sono riportate nelle sezioni:

– SafetyTool � sezione 4.5

– parametrizzazione � sezione 4.4

– test funzionale e validazione � sezione 4.8

Allo scopo occorre avviare innanzitutto il SafetyTool in modalità online.

A seconda di quali dati sono presenti nel modulo di sicurezza da sostituire si hanno le seguenti possibilità:

a) È presente un set di parametri sicuro del modulo di sicurezza da sostituire:

� Aprire il set di parametri nel SafetyTool e caricarlo nel modulo di sicurezza. Allo scopo l'informa

zione di base dell'apparecchio di base deve coincidere con quella contenuta nel set di parametri.

b) È presente un progetto SafetyTool memorizzato, che è conforme alla parametrizzazione:

� Se necessario impostare il modulo di sicurezza sull'impostazione di fabbrica, se non si trova

nello stato di fornitura.

� Aprire poi il progetto SafetyTool.

� L'informazione di base dell'apparecchio di base deve coincidere. Altrimenti occorre confrontarle.

� Successivamente è possibile validare le pagine dei parametri e caricarle sul modulo di sicurezza.



c) Non è presente alcun dato assicurato del modulo di sicurezza da sostituire:

� Se necessario impostare il modulo di sicurezza sull'impostazione di fabbrica, se non si trova

nello stato di fornitura.

� Procedere poi come per la prima messa in servizio.

Indipendentemente dalla variante a), b) o c) occorre realizzare nuovamente un report di validazione,

con nuovo codice di validazione e nuovo numero di serie del modulo di sicurezza.

6.4 Messa fuori servizio e smaltimento

Rispettare le indicazioni sullo smontaggio del modulo di sicurezza di cui al paragrafo 3.1.

Smaltimento

Osservare le disposizioni locali per lo smaltimento eco-compatibile dei gruppi elettrici. Il

modulo di sicurezza è conforme alla direttiva EU 2002/95 (RoHS).

Gli imballaggi possono essere riciclati in base al loro materiale.

A Appendice tecnica


A Appendice tecnica

A.1 Dati tecnici

A.1.1 Tecnica di sicurezza

Numeri di riferimento di sicurezza

Funzioni di sicurezza se

condo EN 61800-5-2

STO Coppia disinserita in sicurezza (Safe Torque Off )

SS1 Stop sicuro 1 (Safe Stop 1)

SS2 Stop sicuro 2 (Safe Stop 2)

SOS Arresto operativo sicuro (Safe Operating Stop)

SLS Rispetto valore limite di velocità (Safely-Limited Speed)

SSR Intervallo di velocità sicuro (Safe Speed Range)

SSM Controllo sicuro della velocità (Safe Speed Monitor)

SBC Comando sicuro del freno (Safe Brake Control)

Valori secondo EN 61800-5-2SIL SIL 3 Livello di integrità di sicurezza (Safety Integrity Level)

PFH [h-1] 9,5 x 10–9 Probabilità di una disfunzione hardware casuale pericolosa

per ora (Probability of a dangerous random hardware failure

per hour)

DC [%] 97,5 Grado di copertura diagnostico (Diagnostic Coverage)

HFT 1 Tolleranza d'errore hardware (Hardware Failure Tolerance)

SFF [%] 99,5 Quota disfunzioni sicure (Safe Failure Fraction)

T [Anno] 20 Proof Test Interval

Valori secondo EN 62061SIL SIL CL 3 Limite di intervento SIL, per un sottosistema (Claim Limit, for a

subsystem)

PFHD [h-1] 9,5 x 10–9 Probabilità di una disfunzione pericolosa per ora (Probability

of dangerous Failure per Hour)




T [Anno] 20 Proof Test Interval

Valori secondo EN 61508SIL SIL 3 Livello di integrità di sicurezza (Safety Integrity Level)

PFH [h-1] 9,5 x 10–9 Frequenza media di un guasto pericoloso (Average Frequency

of dangerous Failure)




T [Anno] 20 Intervallo di prova (Proof Test Interval)

A Appendice tecnica


Numeri di riferimento di sicurezza

Valori secondo EN ISO 13849-1Categoria1) 4 Categoria

Performance Level1) PL e Performance Level

PFH [h-1] 9,5 x 10–9 Probabilità media di un guasto pericoloso per ora (Average

probability of a dangerous failure per hour)


MTTFd [Anno] 8700 Tempo medio fino al guasto pericoloso (Mean time to dange

rous failure)

TM [Anno] 20 Durata d'utilizzo (Mission time)

1) Classificazione massima raggiungibile, limitazioni dipendenti dalla funzione di sicurezza � sezione 1.1.4, Tab. A.16 e dal cablag

gio e dagli encoder � sezione A.2

Tab. A.1 Dati tecnici: Numeri di riferimento di sicurezza

Dati sulla sicurezza

Verifica tipo di prodotto La tecnica di sicurezza funzionale del prodotto viene certifica

ta in base alla sezione 1.1.4 da una stazione di prova indipen

dente, vedere certificazione di tipo CE

� www.festo.com/sp

Certificato ente certificatore TÜV Rheinland, Certification Body of Machinery, NB 0035

N. descrizione 01/205/5165.01/14

Componente di provata affidabilità sì

Tab. A.2 Dati tecnici: Dati sulla sicurezza

A.1.2 Informazioni generali

Parte meccanica

Lunghezza / larghezza / altezza [mm] 112,2 x 99,1 x 28,7

Peso [g] 220

Slot Slot Ext3 per moduli di sicurezza

Note materiale Conforme RoHS

Tab. A.3 Dati tecnici: Parte meccanica

Omologazioni (modulo di sicurezza CAMC-G-S3 per controllore motore CMMP-AS-...-M3)

Marcatura CE (vedere dichiarazione di

conformità)

� www.festo.com

secondo la direttiva UE sulle macchine 2006/42/CE

secondo la direttiva UE sulla CEM

L’unità è stata realizzata per l’impiego nel settore indu

striale. Per l’utilizzo all’interno delle unità abitative bisogna

eventualmente adottare ulteriori misure per la soppres

sione di radiodisturbi.

Tab. A.4 Dati tecnici: Omologazioni

A Appendice tecnica


A.1.3 Condizioni d’esercizio e ambientali

Trasporto

Intervallo di temperatura [°C] �25 … +70

Umidità dell'aria [%] 0 ... 95, con max. 40 °C temperatura ambiente

Durata trasporto massima massimo 4 settimane in tutta la durata utile del prodotto

Tab. A.5 Dati tecnici: Trasporto

Stoccaggio

Temperatura di stoccaggio [°C] –25 … +55

Umidità dell'aria [%] 5 … 95, senza condensa o protetto dalla formazione di con

densa

Altezza ammessa [m] 3000 (s.l.m.)1)

1) Osservare le ulteriori limitazione come ad es. le altezze di posa ammesse per il controllore motore (di norma < 2000 m sopra l.d.m.)

Tab. A.6 Dati tecnici: Stoccaggio

Condizioni ambientali CMMP-AS-...-M3 con modulo di sicurezza CAMCGS3 in Ext3 CMMP-AS-... C2-3A-M3 C5-3A-M3 C5-11A-P3-M3 C10-11A-P3-M3

Temperatura ambiente1) [°C] 0 … +35 0 … +40 0 … +40 0 … +40Temperatura ambiente con ri

duzione della potenza1)[°C] +35 … +40 +40 … +50 +40 … +50 +40 … +45

Con potenza d'uscita dell'apparecchio di base troppo eleva

ta e/o carico elevato della parte di comando e degli I/O si

ha una disattivazione da sovratemperatura.

Raffreddamento Mediante l'aria nel controllore motore, nessuna ventilazione

forzata.

Umidità dell'aria [%] 0 … 90 (senza formazione di condensa).

Non ammesso alcun mezzo ad effetto corrosivo nell'am

biente dell'apparecchio.

Altezza di installazione ammissibile sopra l.d.m

con potenza nominale [m] 1000

con riduzione della potenza [m] 1000 … 2000

Grado di protezione IP20 (montato in CMMP-AS-…-M3).

Oscillazioni / urti I requisiti della EN 61800-5-1 e EN 61800-2 vengono sod

disfatti.

1) La temperatura d'esercizio massima consentita dipende da numerosi parametri, tra cui il numero degli ingressi azionati e il carico

delle uscite nel CAMC-G-S3, l'equipaggiamento di altri moduli in Ext1 e Ext2 nel CMMP-AS-M3, il carico del modulo terminale di

potenza nel CMMP-AS-M3 e le relazioni aria-corrente nell'armadio di comando.

I valori indicati sono validi per una configurazione tipica dell'apparecchio.

Il CAMC-G-S3 dispone di un monitoraggio della temperatura separato che disattiva il modulo di sicurezza e l'apparecchio di base

in caso di temperatura troppo elevata delle parti elettroniche � sezione 5.6 errore 57-6.

Tab. A.7 Dati tecnici: Condizioni ambientali

A Appendice tecnica


Condizioni di esercizio elettriche

Campi di potenziale separati galvani

camente

Tensione di comando dell'apparecchio di base.

24 V tensione di comando (tutti gli ingressi e le uscite).

Contatto di segnalazione a potenziale zero C1/C2.

Tensione di sistema [V] < 50 (24 V alimentazione di corrente PELV secondo

EN 60204-1).

L'alimentatore 24 V utilizzato deve controllare l'interruzione

di tensione definita in EN 60204-1.

Categoria di sovratensione secondo

EN 6180051

3

Grado di inquinamento secondo

EN 61800-5-1

2

Ciò deve essere garantito con misure adatte, ad es. tramite

l'installazione in un armadio elettrico.

Tab. A.8 Dati tecnici: Condizioni di esercizio elettriche

Condizioni di esercizio EMC

Immunità alle interferenze Requisiti per “secondo ambiente” secondo EN 61800-3

(PDS della categoria C3)

Requisiti secondo EN 61326-3-1

Emissione di interferenze Requisiti per “primo ambiente” con ricezione limitata secon

do EN 61800-3 (PDS della categoria C2)

Tab. A.9 Dati tecnici: Condizioni di esercizio CEM

A Appendice tecnica


A.1.4 Ingressi digitali da DIN40A/B a DIN43A/B e da DIN44 a DIN49 [40]

Ingressi digitali da DIN40A/B a DIN43A/B e da DIN44 a DIN491)

Ingresso Tipo 3 secondo IEC 61131-2

Tensione nominale [V DC] 24

Intervallo di tensione amm. [V] -3 … 30

Tensione di ingresso massima “HI” UH,max [V] 30

Tensione di ingresso minima “HI” UH,min

tipica [V] 11

massima [V] 133)

Tensione di ingresso massima “LO” ULmax [V] 5

Tensione di ingresso minima “LO” UL,min [V] –3

Corrente di ingresso massima “HI” IH,max [mA] 15

Corrente di ingresso minima “HI” IH,min [mA] 2

Corrente di ingresso massima “LO” IL,max [mA] 15

Corrente di ingresso minima “LO” } „HI“

IT,min

[mA] 1,52)

Ritardo di inserzione fino a Portpin

(passaggio Low-High)

[ms] < 1

Tolleranza rispetto gli impulsi di prova [ms] 0 ... 10

(parametrizzabile � sezioni 2.4.2 e 2.4.3)

1) Denominazioni dei dati secondo IEC 61131-2.

2) Il rispetto di IT,min non può essere controllato nell'ambito della diagnosi propria. Con l'utilizzo di sensori a due conduttori attivi

DIN40A/B ... DIN43A/B per i requisiti della funzione di sicurezza, sono necessari controlli ciclici (ogni 24 h).

3) Considerando tutte le tolleranze nella serie, la tensione di ingresso minima necessaria è UH,min = 13 V, differente dai requisiti

della IEC61131.

Tab. A.10 Dati tecnici: Ingressi digitali da DIN40A/B a DIN43A/B e da DIN44 a DIN49 [X40]

Gli ingressi digitali da DIN40A/B a DIN43A/B e da DIN44 a DIN49 sono conformi ai requi

siti CEM della norma EN 6132631.

A Appendice tecnica


A.1.5 Uscite digitali da DOUT40A/B a DOUT42A/B [X40]

Uscite digitali da DOUT40A/B a DIN42A/B

Uscita Interruttore HighSide con PullDown

Intervallo di tensione [V DC] 18 … 30

Corrente di uscita ammessa IL,nom. (nom.) [mA] < 50

Perdita di tensione con IL,nom. [V] 1 V

Corrente residua con interruttore OFF1) [μA] < 100 A

Resistenza Pulldown RPulldown [kΩ] < 50 (ca. 0,6 mA con 24 V)

Cortocircuito / protezione da sovraccarico A prova di cortocircuito, sicuro contro l'ali

mentazione di ritorno, a prova di sovraten

sione fino a 60 V

Protezione temperatura Disinserimento delle uscite di un gruppo (da

DOUT40A a DOUT 42A o da DOUT40B a

DOUT 42B con sovratemperatura TJ > 150°

Alimentazione Protezione con carichi induttivi

Carichi

carico ohmico [Ω] > 500

carico induttivo [mH] < 10

carico capacitivo2) [nF] < 10

Ritardo di inserzione da Portpin [ms] < 1

Output dell'impulso di prova [ms] 0,4 … 10 (parametrizzabile � sezione 2.9.1)

1) In determinati casi di errore (ad es. interruzione interna dell'unità del potenziale di riferimento 24 V) la corrente residua può essere

notevolmente superiore a 100 μA. Con carico dell'uscita con un ingresso compatibile secondo IEC 61131 del tipo 3 il campo dello

stato Low non viene violato neanche in caso di errore.

2) Richiede un carico dell'uscita con un ingresso di tipo 3 e una lunghezza dell'impulso di prova ≥ 400 μs. Con altri tipi di ingressi sono

eventualmente necessari impulsi di prova più lunghi.

Tab. A.11 Dati tecnici: Uscite digitali da DOUT40A/B a DOUT42A/B [X40]

Le uscite digitali da DOUT40A/B a DOUT42A/B sono conformi ai requisiti CEM secondo

EN 6132631.

A Appendice tecnica


A.1.6 Contatto di segnalazione C1/C2 [X40]

Contatto di segnalazione C1/C2

Esecuzione Contatto di relè, contatto normalmente aper

to


Corrente di uscita IL,nom. (nom.) [mA] < 200

Perdita di tensione con IL,nom. [V] 1

Corrente residua con interruttore OFF [μA] < 10

Cortocircuito / protezione da sovraccarico Non a prova di cortocircuito,

a prova di sovratensione fino a 60 V

Ritardo di inserzione [ms] < 20

Durata contatto di feedback [nop] 10 x 106 (con 24 V e Icontatto = 10 mA, con

correnti di carico più alte la durata si riduce)

Tab. A.12 Dati tecnici: Contatto di segnalazione C1/C2 [X40]

A.1.7 Alimentazione ausiliaria 24 V [X40]

Alimentazione ausiliaria 24 V

Esecuzione La tensione di alimentazione logica inoltrata

dal controllore motore (alimentata a [X9], in

aggiunta non filtrata o stabilizzata). Prote

zione contro l'inversione di polarità, a prova

di sovratensione fino a 60 V DC

Tensione nominale [V] 24

Corrente di uscita IL,nom. (nom.) [mA] 100

Perdita di tensione con IL,nom. [V] 1

Protezione contro l'inversione di polarità Tramite diodo di serie 100 V / 1 A

Cortocircuito / protezione da sovraccarico Protezione PTC con corrente di commuta

zione tip. 300 mA, a prova di sovratensione

fino a 60 V

Tab. A.13 Dati tecnici: Alimentazione ausiliaria 24 V [X40]

A Appendice tecnica


A.1.8 Versione del cavo di collegamento [X40]

Cablaggio [X40]

Lunghezza max. del cavo [m] 30

Schermatura Con cablaggio al di fuori dell'armadio elettri

co utilizzare cavi schermati. Condurre la sc

hermatura fino all'interno dell'armadio elet

trico / posa lato armadio elettrico

Sezione del conduttore (conduttore flessibile, bussola terminale con colletto di isolamento)

Un conduttore [mm²] 0,25 … 0,5

Due conduttori [mm²] 2 x 0,25 (con manicotti terminali dei condut

tori gemelli)

Coppia di serraggio controconnettore

MC1,5_12ST3,81BK – M2

[Nm] 0,22 … 0,25

Tab. A.14 Dati tecnici: Cablaggio [X40]

A.1.9 Uscita digitale per un freno di arresto sull'apparecchio di base [X6]

Uscita digitale BR+ / BR-

Uscita Interruttore HighSide per BR+

Interruttore LowSide per BR-


Corrente di uscita ammessa IL,nom. (nom.) [mA] < 2000

Perdita di tensione con IL,nom. [V] 1 V

Resistenza Pulldown RPulldown [kΩ] ca. 2,5 (ca. 10 mA con 24 V) tra BR+ e BR-

Cortocircuito / protezione da sovraccarico A prova di cortocircuito contro 24 V, 0 V e PE

Protezione temperatura Disinserimento del driver nel caso di sovra

temperatura

Alimentazione Protezione con carichi induttivi

Carichi

carico ohmico [Ω] > 12

carico induttivo [mH] < 1000

carico capacitivo [nF] < 10

Ritardo di inserzione da Portpin [ms] < 1

Output dell'impulso di prova [ms] 0,4 … 10 (parametrizzabile � sezione 2.9.2)

Tab. A.15 Dati tecnici: Uscite digitali per un freno di arresto [X6]

L'uscita digitale dell'apparecchio di base per un freno di arresto, BR+, BR-, è conforme ai

requisiti CEM secondo EN 6132631.

A Appendice tecnica


AttenzioneNello stato di fornitura del modulo di sicurezza, la funzione SBC è sempre configurata in

unione all'uscita [X6] anche se non si desidera utilizzare la funzione SBC. In applicazioni,

in cui vengono condotti i cavi di controllo del freno nel cavo motore, può aver luogo, se

sul lato motore non è collegato alcun freno di arresto, un accoppiamento dei disturbi

nei cavi del freno aperti, ed il modulo di sicurezza emette così un errore 57-0.

� In questo caso scollegare i cavi di controllo del freno a X6 e posarli su PE.

A Appendice tecnica


A.2 Numeri di riferimento di sicurezza

A.2.1 Funzioni di sicurezza

Assegnazione funzione di sicurezza – classificazione

Tab. A.16 mostra la classificazione delle funzioni di sicurezza secondo EN 61800-5-2

Funzione Cat., PL1) SIL2) Attenzione

STO Cat. 4, PL e SIL 3 –

SBC –

SS2 Cat. 3, PL d

o

Cat. 4, PL e

SIL 2

o

SIL 3

La classificazione dipende dalla combinazione degli en

coder di posizione utilizzati, con utilizzo di un singolo

encoder con classificazione SIL è necessario un collega

mento dell'albero sicuro; a seconda della configurazione

dell'encoder viene raggiunto solo cat. 3, PL d o SIL 2

� sezione A.2.3, Tab. A.19, Tab. A.20, Tab. A.21,

Tab. A.22 e Tab. A.23.

Osservare i limiti di precisione del rilevamento della

posizione � sezione A.3.

SS1

SLS

SSR

SSM

SOS

1) Classificazione categoria e Performance Level secondo EN ISO 13849-1

2) Classificazione Safety Integrity Level secondo EN 62061

Tab. A.16 Classificazione delle funzioni di sicurezza ed indicazioni

Le informazioni su alcune combinazioni di encoder selezionate, pre-qualificate, sono in

parte disponibili separatamente.

Se necessario rivolgersi al partner di riferimento regionale di Festo.

Per un “Collegamento dell'albero sicuro” viene raggiunta un'esclusione dei guasti con, ad

es., elementi di fissaggio accoppiabili e/o sovradimensionati.

Allo scopo osservare tutta la linea di azionamento fino al punto di pericolo.

Se il movimento dell'albero motore viene monitorato esclusivamente da un solo encoder

rotativo o lineare, che presenta una struttura a due canali, esso deve avere un certificato

da un organismo notificato conformemente alla riduzione del rischio desiderata.

Quando si utilizzano due encoder, il limite di risoluzione viene impostato, in riferimento al

rilevamento del movimento per le funzioni di sicurezza, dall'encoder con il limite di risolu

zione inferiore.

Gli encoder di posizione, che vengono utilizzati per il monitoraggio della posizione con

stato di fermo, ad es. SOS, e che presentano in stato di fermo segnali di uscita statici,

richiedono sul lato utente una dinamizzazione, ovvero l'attuatore deve essere spostato

una volta in 24 ore.

A Appendice tecnica


Il comando sicuro del freno di CAMC-G-S3 è dimensionato per SIL3 / EN 61800-5-2.

Verificare se l'unità di bloccaggio utilizzata raggiunge un PL e relativo di SIL 3. L'unità di

bloccaggio stessa ha, di norma, una classificazione bassa, in modo che la funzione di

sicurezza SBC in unione con l'unità di bloccaggio raggiunga solo la classificazione bassa.

A.2.2 Ingressi digitaliÈ necessario considerare le norme pertinenti per i dispositivi di comando per il requisito delle funzioni

di sicurezza quali ad es. EN ISO 13850 per l'arresto di emergenza.

Tipo di sensore Tipo di interruttore Classificazione categorie,PL1)

ClassificazioneSIL2)

1: Ingresso a 2 canaligenerale

2 Contatti n.c. o 1 Contatto n.c. + 1Contatto n.a.

Cat. 4, PL e SIL 3

2: Dispositivo di arrestod' emergenza

2 Contatti n.c. Cat. 4, PL e SIL 3

3: Pulsante di abilitazione 2 Contatti n.c. o 1 Contatto n.c. + 1Contatto n.a.

Cat. 4, PL e SIL 3

4: Unità di gestione e visualizzazione a due mani

2 rispettivamente 1contatto n.c., 1 contatto n.a.

Cat. 4, PL e SIL 3

5: Tasto di start 2 Contatti n.c. o 1 Contatto n.c. + 1Contatto n.a.

Cat. 4, PL e SIL 3

6: Bloccaggio porta 2 Contatti n.c. o 1 Contatto n.c. + 1Contatto n.a.

Cat. 4, PL e SIL 3

7: Interruttore di riferimento sicuro


Cat. 4, PL e SIL 3

8: Barriera fotoelettrica 2 Contatti n.c. o 1 Contatto n.c. + 1Contatto n.a.

Cat. 4, PL e SIL 3

9: Segnale di confermafremo

1 Contatto n.c. o2 Contatti n.c.

solo come feedback per SBC

10: Ingresso ad un canalegenerale

1 Contatto n.c. o1 Contatto n.a.

senza assegnazione impulsodi prova cat. 1, PL c

SIL 1

con assegnazione impulsodi prova cat. 2, PL d

SIL 2

11: Selettore dei tipi difunzionamento

1 di n Cat. 4, PL e SIL 3

12: Tacitazione degli errori 1 Contatto n.a. Senza assegnazione impulso di prova cat. 1, PL c

SIL 1

Con assegnazione impulsodi prova cat. 2, PL d

SIL 2

1) secondo EN ISO 13849-1

2) A norme EN 61800-5-2

A Appendice tecnica


Tipo di sensore ClassificazioneSIL2)

Classificazione categorie,PL1)

Tipo di interruttore

13: Riavvio (conclusionedella funzione di sicurezza)

1 Contatto n.a. Senza assegnazione impulso di prova cat. 1, PL c

SIL 1

Con assegnazione impulsodi prova cat. 2, PL d

SIL 2


2) A norme EN 61800-5-2

Tab. A.17 Numeri di riferimento di sicurezza ingressi digitali

Attenzione– I seguenti dati sulle misure e DC considerano i dati della norma EN ISO 13849-1.

– Per una valutazione della sicurezza tecnica dei sensori, devono essere consultate le

indicazioni del produttore.

– I valori DC riportati sono ammessi solo nel rispetto delle misure indicate e delle

condizioni menzionate in aggiunta.

– Le esclusioni degli errori sono possibili secondo le norme pertinenti, in cui le condi

zioni necessarie devono essere garantite in modo permanente.

Misura DC Nota Utilizzo

Impulso di prova ciclico con variazione

dinamica dei segnali di ingresso.

90 Efficace solo se l'assegna

zione degli impulsi di prova

è attiva.

Monitoraggio cor

tocircuito trasver

sale per sensori a

1 canale.

Confronto incrociato dei segnali di ingres

so con test dinamico, se i cortocircuiti non

possono essere notati (con ingressi/uscite

multipli).

90 Senza l'assegnazione degli

impulsi di prova.

Modifica ciclica dei segnali

di ingresso necessaria, ad

es. attraverso il processo o

l'azionamento regolare.

Monitoraggio sen

sori a 2 canali.

Confronto incrociato di segnali di ingresso

con risultati immediati ed intermedi nella

logica (L) e monitoraggio dell'andamento

del programma temporale e logico e rico

noscimento di guasti statici e cortocircuiti

(con ingressi/uscite multipli).

99 Solo con l'assegnazione de


Monitoraggio sen

sori a 2 canali.

Controllo di plausibilità, ad es. utilizzo di

contatti n.a. e n.c.

99 Solo con utilizzo di segnali

antivalenti.

Monitoraggio sen

sori a 2 canali.

Tab. A.18 Misure ingressi digitali

A Appendice tecnica


A.2.3 Sistemi encoderGeneralmente devono essere osservate le norme per la sicurezza funzionale con i lavori elettrici, ad es.

EN 61800-5-2.

Tab. A.19 mostra le combinazioni di encoder possibili ed i Performance Level e Safety Integrity Level

massimi raggiungibili.

P06.00: Selezione encoder di

posizione 1


posizione 2

Attenzioni Livello di sicurezza raggiungibile

EN 61800-5-2 ISO 13849

Resolver (X2A)= [1] Altro encoder

(X2B) = [4] 1)– SIL 3 Cat. 3 / PL d o

Cat. 3 / PL e

Resolver (X2A)= [1] Encoder incre

mentale (X10) =

[5]

– SIL 3 Cat. 4 / PL e

Resolver (X2A)= [1] Nessuno = [6] Richiede il collegamento

sicuro dell'albero.

Il resolver deve soddi

sfare i requisiti SIL 2

(valore MTTFd, ...)

SIL 2 Cat. 3 / PL d

SINCOS / Hiperfa

ce (X2B) = [2]

Encoder incremen

tale (X10) = [5]

– SIL 3 Cat. 4 / PL e

SINCOS / Hiperfa

ce (X2B) = [2]

Nessuno = [6] Richiede il collegamento

sicuro dell'albero.

Richiede un encoder cer

tificato SIL 2

SIL 2 Cat. 3 / PL d

SINCOS / Hiperfa

ce (X2B) = [2]

Nessuno = [6] Richiede il collegamento

sicuro dell'albero.


tificato SIL 3

SIL 3 Cat. 3 / PL e

1) Altro encoder (X2B) = [4]:

– encoder EnDat senza certificazione SIL

– encoder BISS

– encoder incrementale con segnali A/B/N

– encoder incrementale con segnali SINCOS

– encoder Hiperface senza SIL

A Appendice tecnica



posizione 1

Livello di sicurezza raggiungibile

AttenzioniP06.01: Selezione encoder di

posizione 2


posizione 1 ISO 13849EN 61800-5-2

AttenzioniP06.01: Selezione encoder di

posizione 2

EnDat SIL

(X2B) = [3]

Encoder incremen

tale (X10) = [5]

Non componente di PS1 SIL 3 Cat. 4 / PL e

EnDat SIL

(X2B) = [3]

Nessuno = [6] Non componente di PS1

Richiede il collegamento

sicuro dell'albero.


tificato SIL 2

SIL 2 Cat. 3 / PL d

EnDat SIL

(X2B) = [3]

Nessuno = [6] Non componente di PS1

Richiede il collegamento

sicuro dell'albero.


tificato SIL 3

SIL 3 Cat. 4 / PL e

Altro encoder

(X2B) = [4] 1)Encoder incremen

tale (X10) = [5]

Osservare la seguente

indicazione.

SIL 2 Cat. 3 / PL d

Altro encoder

(X2B) = [4] 1)Nessuno = [6] Non ammesso, viene

bloccato da CAMC-G-S3 e

dal SafetyTool

– –

1) Altro encoder (X2B) = [4]:

– encoder EnDat senza certificazione SIL

– encoder BISS

– encoder incrementale con segnali A/B/N

– encoder incrementale con segnali SINCOS

– encoder Hiperface senza SIL

Tab. A.19 Numeri di riferimento di sicurezza valutazione sistemi di encoder

AttenzioneIl livello di sicurezza effettivamente raggiungibile per il sistema, composto da

CAMCGS3, motore, asse ed eventualmente il secondo encoder di posizione, deve

essere calcolato sulla base dei numeri di riferimento di sicurezza del CAMCGS3

� appendice A.1.1, ed i numeri di riferimento di sicurezza dei restanti componenti.

Per consigli di applicazione già calcolati, rivolgersi al partner di riferimento regionale di

Festo.

Osservare ulteriori informazioni:

– informazioni generali per la valutazione dell'encoder e gli encoder di posizione sup

portati � sezione 2.2.5.

– informazioni sulla configurazione dell'encoder � sezione 2.3.2.

– esempio per la configurazione dell'encoder nel SafetyTool � sezione 4.6.4.

A Appendice tecnica


AttenzioneL'idoneità dell'“Encoder standard” e dell'“Encoder incrementale digitale” per l'impiego

in sistemi sicuri fino a SIL3 (EN 61800-5-2, EN 61508) o PL e (EN ISO 13849) deve esse

re provata separatamente (ad es. diversità dei sistemi di encoder dal punto di vista di

CCF, MTTFd, ecc. ed idoneità dell'encoder per le condizioni di esercizio ed ambientali,

CEM, ...).

Attenzione– I seguenti dati sulle misure e DC considerano i dati della norma EN 61800-5-2, tabel

la appendice D.16.

– Per una valutazione della sicurezza tecnica degli encoder di posizione, devono esse

re consultate, in ogni caso, le indicazioni del produttore.

– I valori DC riportati, per la valutazione dei sistemi di encoder nel modulo di sicurez

za, sono ammessi solo nel rispetto delle misure indicate e delle condizioni men

zionate in aggiunta.



Encoder SIN/COS / encoder Hiperface

Assunzione di errori Esclusionedi errori

Rilevamento degli erroriattraverso il modulo di si

curezza

Indicazioni/annotazionicomplementari

Cortocircuito tra due conduttori ascelta del cavo di collegamento

nonpresente

Monitoraggio del segnaleunico e monitoraggio dellalunghezza del vettore1)

Secondo la sessione A.3;DC > 90 %2)

Interruzione di un conduttore ascelta del cavo di collegamento

nonpresente



Segnale “0” o “1” statico su ingressi ed uscite, contemporaneamente su ingressi/uscitesingoli o multipli

nonpresente



Interruzione o stato ad alta impedenza contemporaneamente suingressi/uscite singoli o multipli

nonpresente



Riduzione o aumento dell'ampiezza di uscita

nonpresente



1) Sensibilità e DC a seconda dei limiti di errore parametrizzati; il dato vale per l'impostazione di fabbrica

2) L'informazione della posizione è con l'errore “statico” => posizione di commutazione fissa, motore fermo / tensione di un canale

statica => la posizione di commutazione varia di max +/-90° di un periodo di segnale dell'encoder, il motore si muove ancora solo

in questo intervallo

A Appendice tecnica


Assunzione di errori Indicazioni/annotazionicomplementari


curezza

Esclusionedi errori

Oscillazioni dei disturbi su unao più uscite

nonpresente



Con oscillazione di un segnale movimento massimo del motore nella finestra di tolleranza delmonitoraggio dell'ampiezza

Modifica dello sfasamento trasegnali d'uscita

nonpresente



ad es. attraverso un disco di codifica sporco

Il fissaggio si allenta a riposo:– il corpo del sensore si stac

ca dal corpo del motore

– l'albero del sensore si stac

ca dall'albero del motore

Necessario!Secondo ilfoglio datidel produttoreper l'encoder

Non sicuramente possibile!Segue tuttavia un monitoraggio della durata dellarichiesta SOS:dopo 24 h avviene lo spegnimento e il messaggio dierrore

Utilizzare l'esclusionedell'errore per il motore -encoder di sistema o utilizzare un secondo sistema di misura per il confronto di posizione!

Il fissaggio si allenta durante ilmovimento:– il corpo del sensore si stac




La misura materiallizzata si dissolve (ad es. disco di codificaottico)

Nessuna luce dal diodo di trasmissione

nonpresente



Requisiti supplementari per l'encoder rotativo con segnali di uscita sin/cos, generazione dei segnali analogica

Segnale statico su ingressi eduscite, segnali singoli o multipli,ampiezza nell'intervallo dell'alimentazione di tensione

nonpresente



Modifica della forma del segnale nonpresente







A Appendice tecnica




curezza

Esclusionedi errori

Sostituzione del segnale diuscita sin e cos

Sì Il modulo di sicurezza possiede una sufficienteelaborazione del segnaleseparata senza multiplexer

–

Requisiti supplementari per l'encoder rotativo con segnali incrementali ed assoluti

Modifica della posizione contemporanea errata del segnaleincrementale e assoluto

nonpresente

Non presente, il modulo disicurezza valuta solo i segnali analogici sin/cos

Solo con interfaccia Hiperface:l'apparecchio di baseesegue un controllo diplausibilità ciclicomediante confronto incrociato dei segnali sin/cos con la posizione assoluta letta sull'interfaccia dati

Requisiti supplementari per l'encoder rotativo con segnali di uscita generati in modo sinteticoDistorsione a scelta del segnaledi uscita

nonpresente

Non possibile in tutti i casi,se entrambi i segnali diuscita vengono distorticontemporaneamente!

Utilizzare l'esclusionedell'errore per l'encodero utilizzare un secondosistema di misura per ilconfronto di posizione!

Requisiti supplementari per l'encoder lineareFissaggio della testina di letturarotto



Utilizzare l'esclusionedell'errore per il motore -encoder di sistema o utilizzare un secondo sistema di misura per il confronto di posizione!

Spostamento statico della misura materializzata (ad es. strisce di codifica ottiche)

Misura materializzata danneggiata (ad es. strisce di codificaottiche)





A Appendice tecnica




curezza

Esclusionedi errori

Ulteriori requisiti per la valutazione degli encoder di posizione SILMonitoraggio della tensione dialimentazione dell'encoder

nonpresente

Non presente.Questo deve essere assicurato sul lato encoder

L'apparecchio di basecontiene una regolazionedella tensione di alimentazione per l'encoder. Incaso di errore (sovratensione, sovracorrente)l'alimentazione dell'encoder può essere disattivata in modo funzionale

Rispetto delle condizioni diesercizio ed ambientali specifiche per l'encoder

nonpresente


L'apparecchio di base dispone di un ingresso peril monitoraggio dellatemperatura del motore.In caso di errore l'attuatore può essere disattivato in modo funzionale





Tab. A.20 Encoder SIN/COS, encoder Hiperface

Classificazione del modulo di sicurezza in unione con l'encoder SIN/COS, encoder Hiperface:

Scoperta errore encoder: DC > 90 %

Classificazione secondo EN 61800-5-2 / EN 13849-1: SIL2 / cat. 3 / PL d (posi

zionamento sicuro incl. arresto)

e

SIL3 / cat. 3 / PL e (velocità ed

accelerazione sicure)"

A Appendice tecnica


RESOLVER



curezza


Cortocircuito tra due conduttoria scelta del cavo di collegamento

nonpresente


L'errore viene riconosciuto in modo sicuro(DCAV del modulo di sicurezza)


nonpresente




nonpresente



Interruzione o stato ad alta impedenza contemporaneamentesu ingressi/uscite singoli o multipli

nonpresente




nonpresente




nonpresente




nonpresente

Non adeguato per il resolver –


ca dal corpo del motore– l'albero del sensore si stac




Utilizzare l'esclusionedell'errore per il motore -encoder di sistema o utilizzare un secondo sistema di misura per il confronto di posizione!Il fissaggio si allenta durante il

movimento:– il corpo del sensore si stac

ca dal corpo del motore– l'albero del sensore si stac


La misura materializzata si dissolve (ad es. disco di codificaottico)

nonpresente

Non adeguato per il resolver –

1) DC = 60 % vale per l'impostazione di fabbrica, DC = 90 % per tolleranze limitate del monitoraggio della lunghezza del vettore

� appendice A.3

A Appendice tecnica




curezza

Esclusionedi errori


nonpresente

Non adeguato per il resolver

–

Requisiti supplementari per il resolver con elaborazione dei segnali / generatore di riferimento

Diafonia della sequenza di riferimento

nonpresente



– timer centrale guasto– nessun Conversion Start per

convertitore A/D– Sample & Hold avviene al

momento errato

nonpresente

Monitoraggio del guastodel segnale SYNC


Il convertitore A/D genera valorierrati

nonpresente



Il convertitore A/D non generaalcun valore

nonpresente



Il generatore di riferimento nonfornisce alcuna frequenza

non presente nonpresente

Monitoraggio del guastodel segnale SYNC


Il generatore di riferimento fornisce frequenza errata

nonpresente



Il generatore di riferimento nonfornisce alcuna segnale di riferimento periodico

nonpresente



Errore di amplificazione conelaborazione del segnale (segnale di riferimento, sin, cos),oscillante

nonpresente



Influssi magnetici sul luogo diinstallazione

Schermatura sufficiente peril luogo diinstallazione




� appendice A.3

A Appendice tecnica




curezza

Esclusionedi errori


nonpresente

Monitoraggio indiretto delsupporto del resolvertramite monitoraggio dellalunghezza del vettore



nonpresente

Non presente. Questo deve essere assicurato sul lato encoder



� appendice A.3

Tab. A.21 Resolver

Classificazione del modulo di sicurezza in unione con il resolver:


Classificazione secondo EN 61800-5-2 / EN 13849-1: SIL2 / cat. 3 / PL d (posi

zionamento sicuro incl. arresto)

e

SIL3 / cat. 3 / PL e (velocità ed

accelerazione sicure)"

A Appendice tecnica


Sistemi di encoder combinati: Encoder 1: Resolver [X2A] o encoder SIN/COS [X2B]

Encoder 2: Encoder incrementale [X10]



curezza

Indicazioni/annotazioni complementari


nonpresente


Confronto incrociato deidati di posizione (encoder 1 – encoder 2)

DC “elevato”2)


Segnale “0” o “1” statico su ingressi ed uscite, contemporaneamente su ingressi/uscite singoli o multipli

Interruzione o stato ad alta impedenza contemporaneamente suingressi/uscite singoli o multipli

Riduzione o aumento dell'ampiezza di uscitaOscillazioni dei disturbi su una opiù uscite

Modifica dello sfasamento tra segnali d'uscita

Il fissaggio si allenta a riposo:– il corpo del sensore si stacca

dal corpo del motore– l'albero del sensore si stacca

dall'albero del motore

Non necessario!


DC “elevato”2)

Il fissaggio si allenta durante ilmovimento:– il corpo del sensore si stacca

dal corpo del motore– l'albero del sensore si stacca

dall'albero del motore

La misura materiallizzata si dissolve(ad es. disco di codifica ottico)


nonpresente



DC “elevato”2)





A Appendice tecnica


Assunzione di errori Indicazioni/annotazioni complementari


curezza

Esclusionedi errori



nonpresente


DC “elevato”2)

Modifica della forma del segnale

Sostituzione del segnale di uscitasin e cos

Requisiti supplementari per l'encoder rotativo con segnali di uscita rettangolari (encoder 2)Oscillazione del disturbo sull'uscita

nonpresente


DC “elevato”2)

Il segnale di uscita si interrompe

L'impulso zero si ferma, è troppobreve, troppo lungo o multiplo

Requisiti supplementari per l'encoder rotativo con segnali di uscita generati in modo sintetico (encoder 1 o encoder 2)

Distorsione a scelta del segnaledi uscita

nonpresente


DC “elevato”2)

Requisiti supplementari per l'encoder rotativo con determinazione della posizione ad opera delcontatore (encoder 2)

Valore di posizione errato a causadel conteggio difettoso

nonpresente


DC “elevato”2)





A Appendice tecnica




curezza

Esclusionedi errori

Requisiti supplementari per il resolver con elaborazione dei segnali / generatore di riferimentoDiafonia della sequenza di riferimento

nonpresente



DC “elevato”2)



momento errato

nonpresente


nonpresente

Il convertitore A/D non genera alcun valore

nonpresente


nonpresente


nonpresente


nonpresente

Errore di amplificazione conelaborazione del segnale (segnaledi riferimento, sin, cos), oscillante

nonpresente

Influssi magnetici sul luogo di installazione


Ulteriori requisiti per la valutazione degli encoder di posizione SIL

Monitoraggio della tensione dialimentazione dell'encoder

nonpresente

Generazione separata della tensione di alimentazione per:– resolver [X2A]– encoder SIN/COS [X2B]– encoder incrementale

[X10]

–





A Appendice tecnica




curezza

Esclusionedi errori

Rispetto delle condizioni di esercizio ed ambientali specifiche perl'encoder

nonpresente


L'apparecchio di basedispone di un ingressoper il monitoraggio della temperatura delmotore. In caso di errore l'attuatore può essere disattivato inmodo funzionale





Tab. A.22 Sistemi di encoder combinati: Encoder 1: Resolver [X2A] o encoder SIN/COS [X2B],

Encoder 2: Encoder incrementale [X10]

Classificazione del modulo di sicurezza in unione con l'apparecchio di base nella combi

nazione encoder encoder 1: Resolver [X2A] o encoder SIN/COS [X2B], encoder 2: Encoder

incrementale [X10] (senza considerazione dell'encoder stesso):


Classificazione secondo EN 61800-5-2: SIL3

Classificazione secondo EN ISO 13849: Cat. 4 / PL e

A Appendice tecnica


Sistemi di encoder combinati: Encoder 1: Resolver [X2A] o encoder incrementare [X10]

Encoder 2: Altro encoder [X2B] (valutazione tramite apparecchi di base)



curezza



nonpresente



DC 1 x “elevato”(modulo di sicurezza)

+ 1 x “basso” (apparecchio di base) 2)



Interruzione o stato ad alta impedenza contemporaneamentesu ingressi/uscite singoli o multipli








Non necessario!




Il fissaggio si allenta durante ilmovimento:– il corpo del sensore si stac




La misura materializzata sidissolve (ad es. disco di codifica ottico)


2) Limitazione tramite DCAV del modulo ad opera di DC dell'apparecchio di base

A Appendice tecnica




curezza

Esclusionedi errori


nonpresente







nonpresente




+ 1 x “basso” (apparecchio di base) 2)Modifica della forma del segnale

Sostituzione del segnale diuscita sin e cos



A Appendice tecnica




curezza

Esclusionedi errori

Requisiti supplementari per il resolver con elaborazione dei segnali / generatore di riferimento(encoder 1)Diafonia della sequenza di riferimento

nonpresente







momento errato

nonpresente


nonpresente

Il convertitore A/D non generaalcun valore

nonpresente


nonpresente


nonpresente


nonpresente

Errore di amplificazione conelaborazione del segnale (segnale di riferimento, sin, cos),oscillante

nonpresente

Influssi magnetici sul luogo diinstallazione


Requisiti supplementari per l'encoder rotativo con segnali di uscita rettangolari (encoder 1)Oscillazione del disturbo sull'uscita

nonpresente




Il segnale di uscita si interrompeL'impulso zero si ferma, è troppobreve, troppo lungo o multiploRequisiti supplementari per l'encoder rotativo con segnali di uscita generati in modo sintetico (encoder 1 o encoder 2)Distorsione a scelta del segnaledi uscita

nonpresente






A Appendice tecnica




curezza

Esclusionedi errori

Requisiti supplementari per l'encoder rotativo con determinazione della posizione ad opera delcontatore (encoder 1 o encoder 2)Valore di posizione errato acausa del conteggio difettoso

non presente




Requisiti supplementari per l'encoder lineare (encoder 1 o encoder 2)Fissaggio della testina di letturarotto

Non necessario!




Spostamento statico della misura materializzata (ad es. strisce di codifica ottiche)Misura materializzata danneggiata (ad es. strisce di codificaottiche)Requisiti supplementari per l'encoder rotativo con interfaccia del calcolatore (encoder 2)Errore di trasmissione:– ripetizione;

– perdita;

– aggiunta;

– sequenza errata;

– alterazione dei messaggi;

– ritardo

nonpresente





nonpresente

Generazione separata della tensione di alimentazione per:– resolver [X2A]

– encoder SIN/COS [X2B]

– encoder incrementale

[X10]

–


nonpresente





Tab. A.23 Sistemi di encoder combinati: Encoder 1: Resolver [X2A] o encoder incrementare [X10], Enco

der 2: Altro encoder [X2B] (valutazione tramite apparecchi di base)

A Appendice tecnica


Classificazione del modulo di sicurezza in unione con l'apparecchio di base nella combi

nazione encoder encoder 1: Resolver [X2A] o encoder incrementale [X10], encoder 2: Altro

encoder [X2B] (senza considerazione dell'encoder stesso):

Rilevamento angolare

dell'apparecchio di base:

MTTF ogni canale: > 100 a, “elevato”

DC del canale: = 50 % “basso”

Modulo di sicurezza: MTTF ogni canale: > 100 a, “elevato”

Scoperta errore encoder DC: > 95 % “elevato”

Classificazione di sistema (modulo di sicurezza + apparecchio di base):

Classificazione secondo EN 61800-5-2: SIL3

Classificazione secondo EN ISO 13849: Cat. 3 / PL d

A.2.4 Uscite digitaliGeneralmente devono essere osservate le norme per il comando di centraline di sicurezza esterne.

Tipo di uscita Tipo di interruttore Classificazione categorie,PL1)

ClassificazioneSIL2)

1: Blocco impulsi sicurointegrato

2 Contatti n.c. Cat. 4, PL e SIL 3

2: Uscita a 2 canaligenerale DOUT40 ...DOUT42


Cat. 4, PL e SIL 3

2: Uscita a 2 canaligenerale


Cat. 4, PL e SIL 3

3: Comando del freno diarresto tramite [X6] nell'apparecchio di baseCMMP-AS

2 Contatti n.c. Cat. 3, PL d, con unità dibloccaggio direttamentecollegate, richiesto tramiteSBC.

SIL 2

2 Contatti n.c. Cat. 1, PL c, con unità dibloccaggio direttamentecollegate (ad es. ad apertura pneumatica), richiestotramite SBC.

SIL 1

2 Contatti n.c. Cat. 3, PL d, con unità dibloccaggio direttamentecollegate (ad es. ad apertura pneumatica), richiestotramite SBC.

SIL 2

10: Contatto di feedback apotenziale zero (diagnosi)

1 Contatto n.a. Solo come feedback per centraline di sicurezzaprincipali.


2) secondo EN 61508, EN 61800-5-2, EN 62061

Tab. A.24 Numeri di riferimento di sicurezza uscite digitali

A Appendice tecnica


Attenzione– I seguenti dati sulle misure e DC considerano i dati della norma EN ISO 13849-1.

– Per una valutazione della sicurezza tecnica degli apparecchi di commutazione, devo

no essere consultate le indicazioni del produttore.

– I valori DC riportati sono ammessi solo nel rispetto delle misure indicate e delle

condizioni menzionate in aggiunta.



Misura DC Nota Utilizzo

Impulso di prova ciclico con

variazione dinamica dei segnali di

uscita.

90 Sempre efficace nel modulo

di sicurezza, in quanto gli

impulsi di prova per il blocco

sicuro degli impulsi per

DOUT40 ... 42 non possono

essere disattivati.

Monitoraggio cortocir

cuito trasversale per

uscite a 2 canali.

Confronto incrociato dei segnali di

uscita con test dinamico, se i cor

tocircuiti non possono essere nota

ti (con ingressi/uscite multipli).

90 Senza l'assegnazione degli

impulsi di prova.

Modifica ciclica dei segnali

di ingresso necessaria, ad

es. attraverso il processo o

l'azionamento regolare.

Monitoraggio uscite

a 2 canali.

Confronto incrociato di segnali di

uscita con risultati immediati ed in

termedi nella logica (L) e monitorag

gio dell'andamento del programma

temporale e logico e riconoscimento

di guasti statici e cortocircuiti (con

ingressi/uscite multipli).

99 Sempre efficace nel modulo

di sicurezza, in quanto gli

impulsi di prova per il blocco

sicuro degli impulsi per

DOUT40 ... 42 non possono

essere disattivati

Monitoraggio uscite

a 2 canali

Controllo di plausibilità, ad es. uscite

a commutazione antivalente.

99 Applicabile solo per DOUT40

... 42, con configurazione a

commutazione “antivalente”.

Monitoraggio uscite

a 2 canali.

Tab. A.25 Misure uscite digitali

A Appendice tecnica


A.3 Precisione di sistema e tempo di reazione

Le seguenti sezioni trattano i requisiti relativi alla precisione del sistema sulla tecnica di sicurezza

funzionale dal punto di vista delle funzioni di movimento monitorate per la posizione e la velocità.

La precisione del sistema ottenuta dipende, in prima linea, dalla struttura del sistema,

composto da: Motore – Riduttore – Asse

Essa può essere aumentata con l'impiego di un riduttore o attraverso la selezione di un

asse con avanzamento ridotto (� sezione A.3.7, Tab. A.35).

Le precisioni specifiche e i tempi di reazione del modulo di sicurezza rappresentano sempre un com

promesso tra:

– la risoluzione e la precisione dei sensori di posizione collegati e dell'elettronica di valutazione

assegnata nel modulo di sicurezza,

– la precisione elevata per il monitoraggio dei valori limite per la posizione e la velocità,

– il tempo di reazione fino al riconoscimento di una violazione di una condizione,

– la disponibilità dell'impianto in servizio in campo industriale (guasti, CEM, ecc.).

Le precisioni e i tempi di reazione devono essere così alti come necessario dal punto di vista della

sicurezza, ma poi non essere selezionati.

AttenzioneLe impostazioni di fabbrica del modulo di sicurezza per la valutazione dell'encoder, la

determinazione della velocità e per il monitoraggio della posizione sono adatti per la

maggior parte delle applicazioni. Sono adattati alla risoluzione dell'encoder di posi

zione e all'elettronica di valutazione nel modulo di sicurezza.

Dovrebbero essere sostituiti solo con problemi giustificati, poiché hanno influenza sul

tempo di reazione del modulo di sicurezza con il riconoscimento di movimenti pericolo

si o per il riconoscimento degli errori. Sono cosiddetti “Parametri esperti”.

In alternativa verificare se la meccanica può essere modificata (ad es. asse con avanza

mento ridotto).

Con il rilevamento dei dati (� sezione 2.3) assicurarsi, che il modulo di sicurezza di

sponga dei parametri corretti per la costante di avanzamento e i fattori del riduttore,

prima di effettuare la parametrizzazione delle funzioni di sicurezza.

A Appendice tecnica


A.3.1 Precisione del monitoraggio della posizione (SOS) dal punto di vista dell'applicazioneCon requisito della funzione di sicurezza SOS viene rilevata la posizione attuale e salvata in x_sample.

Il monitoraggio avviene in una finestra di posizione di:

(x_sample – x_max) ≤ x_eff. ≤ (x_sample + x_max)

I requisiti specifici per l'applicazione x_max (per SOS) sono indicati alla sezione A.3.7, Tab. A.33.

L'impostazione di x_max avviene tramite P0B.01 (� sezione 2.5.5).

Parametri Nome min. tipico max. Attenzione

x_max Tolleranze di posi

zione con SOS

– 1 mm 1,8 mm sezione A.3.7,

Tab. A.33

phi_max Tolleranze angolari

sull'albero del

motore con SOS

– 4,0° 7,2° Esempio di calcolo

sulla base dell'avan

zamento 90 mm/giro

Tab. A.26 Valori caratteristici SOS

Allo scopo il modulo di sicurezza viene parametrizzato come segue:

Fig. A.1 Esempio determinazione dei parametri rilevanti per Safe Operation Stop (SOS)

Base per il calcolo di questi dati esemplari da grandezze di traslazione a quelle di rotazione:

– motore senza riduttore,

– asse EGC-80 con uno spostamento di 90 mm/giro.

A Appendice tecnica


A.3.2 Precisione del monitoraggio della velocità (SLS, SSR) dal punto di vista dell'applicazione

Con richiesta delle funzioni di sicurezza con monitoraggio della velocità, ad es. SLS, SSR, viene rilevata la

velocità attuale v_eff. in corso e monitorata per ciò che riguarda il rispetto di determinati valori limite.

I valori limite possono variare in modo dinamico, ad es. con richiesta di SLS, se prima viene effettuata

una frenatura sul rispetto valore limite di velocità.

Il monitoraggio avviene in una finestra di velocità di:

v_min ≤ v_eff. ≤ v_max

I requisiti specifici per l'applicazione v_max (per SLS) sono indicati alla sezione A.3.7, Tab. A.34.

La costante di tempo del filtro accettabile t_filtro_v nel rilevamento della velocità si ottiene dalle quali

tà dell'elaborazione dei segnali analogici sul modulo di sicurezza (con encoder di posizione con segna

li analogici, come resolver o encoder Hiperface) e (numero di passi angolari per giro motore).

Con modifiche dinamiche vi è inoltre una “procedura di traslazione” fino al passaggio della velocità sul

nuovo valore nominale. La durata dipende dalla larghezza di banda del circuito di regolazione del nu

mero di giri. Per garantire un'elevata disponibilità dell'impianto dovrebbero essere eseguite brevi

procedure di traslazione nell'ambito della larghezza di banda del circuito di regolazione del numero di

giri non per l'attivazione del dispositivo di monitoraggio.

Allo scopo è previsto un tempo di tolleranza di t_tol_v. Per la durata di t_tol_v , v_eff. può muoversi al

di fuori della finestra della velocità, prima che venga emessa la violazione delle condizioni di sicurezza.

Parametri Nome Min. tipico max. Attenzione

v_max Limitazione della

velocità con SLS

4 mm/s 250 mm/s ≥ 10 m/s sezione A.3.7,

Tab. A.34

n_max Limitazione della

velocità minima sul

l'albero del motore

con SLS

2,1 1/min 167 1/min Esempio di calcolo

sulla base dell'avan

zamento 90 mm/giro

t_filtro_v Costante di tempo

del filtro rilevamento

della velocità

2 ms 8 ms ≥ 100 ms sezione A.3.7,

Tab. A.33

t_tol_v Tempo di tolleranza

per v_eff. ad di fuori

dell'intervallo della

velocità ammesso

0 ms 10 ms ≥ 100 ms Larghezza di banda

tipica per la

regolazione della

velocità

f_gr = 100 Hz

1) La risoluzione del segnale di velocità è in gran parte determinata dalla qualità del riduttore utilizzato e del tempo di filtro paramet

rizzato del filtro di velocità. Il monitoraggio su n_tip._min dovrebbe essere possibile con gli encoder rotativi classici, come resolver

o encoder SIN/COS, se il filtro della velocità viene parametrizzato nell'intervallo di 20 ms (l'asse si muove in 20 ms con 4 mm/s e

dritto una volta di 0,08 mm).

Tab. A.27 Valori caratteristici SLS

A Appendice tecnica


A.3.3 Determinazione dei parametri rilevanti per Safe Speed Function (con SLS, SSR)Il modulo di sicurezza viene parametrizzato come segue per i requisiti determinati alla sezione A.3.2:

Fig. A.2 esempio determinazione dei parametri rilevanti per Safe Speed Function (con SLS, SSR)

Fig. A.3 esempio determinazione dei parametri esperti per Safe Speed Function (con SLS, SSR)

A Appendice tecnica


A.3.4 Requisiti con errori dell'encoder dal punto di vista dell'applicazioneLa valutazione dei sensori di posizione sul modulo di sicurezza si basa su uno o entrambi i seguenti

principi fondamentali:

a) sono disponibili due informazioni di posizione ridondanti, che vengono valutate in maniera ridondante

e separatamente da due microcontrollori, quindi anche da due segnali di velocità indipendenti.

Esempio: Motore con encoder ENDAT + secondo sensore di posizione incrementale sull'asse.

b) È disponibile solo un'informazione di posizione “sicura”, l'informazione viene trasmessa attraverso gli

stessi cavi e tramite parti di circuito in parte identiche (ad es. amplificatore differenziale per segnali di

ingresso) e valutati sul modulo di sicurezza in maniera ridondante da due microcontrollori.

Esempio: Resolver (SIL2) o encoder SIN/COS con SIL 2/SIL 3.

Caso a) Il riconoscimento di errori dell'encoder e di differenze di posizione tra encoder di posizione 1

e 2 è “non critico dal punto di vista temporale”, in quanto il monitoraggio è sempre garantito da

un altro encoder, anche se uno degli encoder si rompe.

Caso b) Il riconoscimento di differenze di posizione tra microcontrollore 1 e microcontrollore 2 è “non

critico dal punto di vista temporale”, in quanto il monitoraggio è sempre garantito dall'altro

microcontrollore.

Il riconoscimento di errore nel canale di trasmissione (ad es. cavo) e nelle parti di circuito ad

utilizzo comune per la valutazione dell'encoder, deve avvenire il più velocemente possibile

nell'ambito di un tempo di reazione all'errore da specificare.

Il rilevamento dell'errore dell'encoder è dovuto in buona parte ad un monitoraggio dei segnali

analogici, i limiti del monitoraggio del segnale hanno influenza sulla precisione risultante del

monitoraggio e sul grado di copertura diagnostica � vedere sezione A.2.3.

Il monitoraggio della differenza di posizione non deve essere più preciso rispetto agli altri casi di errore.

Il “Worst Case” per un movimento incontrollato dell'asse è la ripartizione di due semiconduttori di

potenza nel modulo terminale del CMMPASM3. Nel caso peggiore questo errore porta ad un avanza

mento dell'asse fino a 180° elettrico (== 45° sull'albero con un motore ad 8 poli).

Osservazione: Naturalmente il sistema deve essere dimensionato in modo tale che questo errore non

porti ad una differenza di posizione non ammessa – ad es. attraverso la selezione di un avanzamento

adatto del riduttore.

AttenzioneSussiste il pericolo di avvio con uno scossone dell'attuatore con errori multipli nel

CMMP-AS-...-M3.

Se durante lo stadio STO viene a mancare lo stadio finale del controllore motore (corto

circuito contemporaneo di 2 semiconduttori di potenza in fasi diverse), ciò può causare

un movimento di arresto limitato del rotore. L'angolo di rotazione / la corsa corrispon

de ad un passo polare. Esempi:

– asse rotativo, macchina sincrona, ad 8 poli � Movimento 45° sull'albero motore.

– motore lineare, passo polare 20 mm � Movimento 20 mm sulle parti azionate.

A Appendice tecnica


Determinazione differenza angolare (dinamica)

Rilevamento degli errori di segnale nel percorso di

trasmissione “comune” (resolver, encoder SIN/COS)

≤ 2 ms

Spostamento di posizione con “ripartizione” di due

semiconduttori di potenza (Worst Case)

ca. 60° sull'albero

Spostamento di posizione dovuto alla scansione con

ritardo temporale della posizione del microcontrol

lore1 e del microcontrollore2

ca. 1° sull'albero

Spostamento della posizione dinamico con

accelerazione

tip. 30° sull'albero

Durata della procedura di confronto tip. ≤ 10 ms

Differenza di posizione complessiva risultante ca. 0,167 giri

Tab. A.28 Osservazione della possibile differenza di posizione tra microcontrollore1 e 2

Il monitoraggio della differenza di velocità si orienta alla risoluzione nella valutazione dell'encoder e al

possibile spostamento temporale nel rilevamento tra microcontrollore1 e microcontrollore2 con acce

lerazione massima. La costante del tempo del filtro ammessa si ottiene in base alla sezione A.3.7,

Tab. A.33.

Determinazione delle differenza del numero di giri complessiva (dinamica)

Risoluzione valutazione dell'encoder (grezza)

(importante per il riconoscimento dello stato di fer

mo, P06.09)

ca. 20 1/min

Scostamento del numero di giri con accelerazione ca. 120 1/min

Scostamento temporale 1 ciclo base => ≤ 200 μs

Accelerazione massima 0 > 5000 RPM entro 1 ms

Scostamento del numero di giri con accelerazione 200 μs x 6000 1/min / 10 ms

Differenza del numero di giri complessiva risultante ca. 150 1/min

Costante di tempo del filtro per segnali di velocità tip. 8 ms

Tab. A.29 Osservazione della possibile differenza dinamica del numero di giri tra microcontrollore1 e 2

Il tempo di tolleranza per il monitoraggio dell'encoder può essere impostato più in alto su 100 ms, in

ragione dell'elevata affidabilità (PFH) del circuito.

La configurazione dell'encoder del modulo di sicurezza viene quindi parametrizzata come segue:

A Appendice tecnica


Fig. A.4 Impostazione dei parametri per la determinazione del numero di giri

Fig. A.5 Impostazione dei parametri per il confronto encoder 1 – 2

A Appendice tecnica


A.3.5 Monitoraggio della lunghezza del vettore di segnali dell'encoder analogici (resolver,encoder SIN/COS)

Il modulo di sicurezza monitora i segnali dell'encoder analogici di un encoder SIN/COS o del resolver:

– vengono misurati i segnali di traccia ex (corrisponde al segnale COS di un encoder SINCOS / resol

ver) e ey (corrisponde al segnale SIN di un encoder SINCOS / resolver).

– ogni segnale singolo viene monitorato (rispetto del campo di segnale ammesso). Vengono ricono

sciuti cortocircuiti dei singoli segnali contro GND / VCC e livello del segnale elevato non ammesso.

– Inoltre viene calcolata la lunghezza del vettore:

e � e2x � e2

y�

– la lunghezza del vettore attualmente misurata viene verificata in base al rispetto dei valori limite

parametrizzabili:

emin � e � emax (parametri P06.0F, P06.10, P06.1A, P06.1B)– se un segnale singolo (ex, ey) o il vettore (e) sono al di fuori del campo ammesso, viene emesso un

errore dell'encoder e la reazione all'errore viene avviata (errore del gruppo 55-x).

Il monitoraggio della lunghezza del vettore viene utilizzato per il riconoscimento di diversi errori del

l'encoder e per il rilevamento di errori nel rilevamento analogico dei segnali � sezione A.2.3:

– caduta di un segnale dovuta a cortocircuito, interruzione, ...

– ampiezze e errori di fase

– errore Stuck-At

– drift e oscillazione

L'angolo di errore massimo fino all'intervento del monitoraggio della lunghezza del vettore si ottiene

sulla base della lunghezza del vettore nominale erated includendo i valori limite come segue:

�� acos� eminerated�� acos�emin

emax�

Copertura diagnostica del monitoraggio della lunghezza del vettore:

Il grado di copertura diagnostica può essere calcolato dal rapporto delle aree di tensione nello spazio

di coordinate x-y considerando una distribuzione omogenea dell'errore di tensione calcolato come

segue:

Valore Encoder SIN/COS Resolver

Intervallo di tensione dei segna

li dell'encoder ex, ey

0,5 V ex , ey 4,5 V –6,7 V ex , ey 6,7 V

Superficie complessiva dell'in

tervallo di tensione Ftotale

Ftotale = (4,50 V – 0,50 V)² Ftotale = (6,7 V – (-6,7 V))²

Quota dell'intervallo di tensione

“ammesso” Fvalido

Fvalido = ð(emax² – emin²)

Fvalido = ð(0,70 V² – 0,21 V²) 1)

Fvalido = ð(0,60 V² – 0,40 V²) 2)

Fvalido = ð(2,20 V² – 6,40 V²) 1)

Fvalido = ð(5,20 V² – 6,40 V²) 2)

Copertura diagnostica DCvl

DCvl =1 – Fvalido/ Ftotale

DCvl =91 % 1)

DCvl =95 % 2)

DCvl =37 % 1)

DCvl =76 % 2)

1) Impostazione di fabbrica

2) Impostazione con tolleranza ridotta

Tab. A.30 Calcolo grado di copertura diagnostica

A Appendice tecnica


La copertura diagnostica del monitoraggio delle lunghezze di vettore DCVL entra, tramite il FMEA del

possibile errore dell'encoder, nella copertura diagnostica complessiva DCAV per il sistema dell'enco

der. Per questo, nella maggior parte dei casi, DCAV è notevolmente maggiore rispetto a DCVL.

I parametri per il monitoraggio della lunghezza del vettore sono parametrizzata alla consegna come

“relativamente grezzi”, per permettere l'esercizio con molti encoder diversi ed ottenere la massima

disponibilità in caso di influssi di guasto esterni:

Fig. A.6 Impostazione dei parametri per il monitoraggio analogico dei segnali e riconoscimento degli

errori

La seguente tabella riassume gli ulteriori dati dell'encoder nelle serie dei motori Festo. Sono indicati i

valori nominali dei vettori, i numeri dei periodi dell'encoder, i valori per emin, emax (vedere sopra), gli

errori angolari massimi risultanti finché non interviene il rilevamento degli errori, DCVL ed il grado di

copertura diagnostica complessiva risultante DCAV per il motore con sistema encoder.

Serie delmotore

Encoder 1 p0 emin erated emax Δåmech Errore di posizionecon avanzamento[mm/giro]

DCVL DCAV

100 20

EMMS-AS

con resol

ver

Resolver 1 2,20 V 5,80 V 6,40 V 138° 38 mm 7 mm 36 % 91 %

EMME-AS Encoder

Hiperface

(encoder

SIN/COS)

16 0,21 V 0,50 V 0,70 V 8,6° 2,4 mm 0,5 mm 91 % 93 %

A Appendice tecnica


Serie delmotore

DCAVDCVLErrore di posizionecon avanzamento[mm/giro]

Δåmechemaxeratedeminp0Encoder 1Serie delmotore

DCAVDCVL

20100

Δåmechemaxeratedeminp0Encoder 1

Servomo

tore con

encoder

Hiperface

SKS 36 /

SKM 36

Encoder

Hiperface

(encoder

SIN/COS)

128 0,21 V 0,50 V 0,70 V 1,1° 0,3 mm 0,06 mm 91 % 93 %

Tab. A.31 Errore di posizione fino all'intervento del monitoraggio della lunghezza del vettore e del

relativo grado di copertura diagnostica (impostazione di fabbrica)

Se i gradi di copertura diagnostica sono troppo piccoli, è possibile una limitazione tramite modifica di

emin e emax fino ai seguenti valori limite (eventualmente a scapito della disponibilità del sistema in

ambienti industriali disturbati):

Serie delmotore

Encoder 1 p0 emin erated emax Δåmech Errore di posizionecon avanzamento[mm/giro]

DCVL DCVL

100 20

EMMS-AS

con resol

ver

Resolver 1 5,20 V 5,80 V 6,40 V 62° 17 mm 3,4 mm 75 % 91 %

EMME-AS Encoder

Hiperface

(encoder

SIN/COS)

16 0,40 V 0,50 V 0,60 V 5,3° 1,5 mm 0,3 mm 95 % 96 %

Servomo

tore con

encoder

Hiperface

SKS 36 /

SKM 36

Encoder

Hiperface

(encoder

SIN/COS)

128 0,40 V 0,50 V 0,60 V 0,7° 0,2 mm 0,04 mm 95 % 96 %

Tab. A.32 Errore di posizione fino all'intervento del monitoraggio della lunghezza del vettore e del

relativo grado di copertura diagnostica (tolleranza limitata)

A Appendice tecnica


Il grado di copertura diagnostica del monitoraggio della lunghezza del vettore DCVL passa

nel grado di copertura diagnostica complessivo per l'esercizio del CAMC-G-S3 con il rispetti

vo sistema dell'encoder. Molti errori vengono riconosciuti in modo sicuro anche con monito

raggio delle lunghezze di vettore impostato in modo “relativamente grezzo” oppure essi

vengono riconosciuti attraverso altri meccanismi per il rilevamento degli errori. Per questo la

DCAV complessiva è maggiore a DCVL.

Esempio: Resolver con impostazione di fabbrica per monitoraggio } DCVL = 37 %, ma

nel sistema viene raggiunto DCAV = 91 %.

AttenzioneVerificare in modo critico l'applicazione:

� Quali requisiti vengono richiesti alla precisione del monitoraggio della posizione o

dello stato di fermo?

Considerare in questo capitolo le limitazioni riportate per la propria scelta di sistema

A Appendice tecnica


A.3.6 Effetto di un errore angolare entro i limiti di errore del monitoraggio della lunghezza del vettore sul segnale di velocità

Supponendo il seguente caso: È presente un errore di un segnale dell'encoder ex o ey, questo può

essere ad es. un erre di ampiezza. L'errore è sufficientemente piccolo da far sì che non intervenga il

monitoraggio della lunghezza del vettore.

Se l'asse con velocità costante si muove / l'albero ruota con numero di giri costante, l'errore causa

“Oscillazioni” della velocità momentanea attualmente misurata. La velocità media per tutto un periodo

dell'encoder corrisponde tuttavia all'effettiva velocità di movimento.

Fig. A.7 Curve di errore sul segnale di velocità (CH1) con una riduzione dell'ampiezza del segnale di

ex del 10 %. Si ottiene un'ondulazione del numero di giri anch'essa del 10 %.

La misurazione è avvenuta con comando esterno dell'albero con numero di giri costante.

Di solito l'encoder di posizione 1 viene valutato anche nell'apparecchio di base e usato per la

regolazione del numero di giri. L'apparecchio di base regola ora sulle oscillazioni della velocità

momentanea. Almeno a basse frequenze al di sotto della frequenza limite del circuito di regolazione

del numero di giri viene corretta la variazione presunta, l'asse non trasla più con velocità costante, ma

il numero di giri effettivo oscilla, il segnale angolare e della velocità hanno ora un “buon” aspetto.

La velocità di rilevamento degli errori di velocità nelle funzioni di sicurezza, come SLS o SSR, dipende

quindi da molti fattori:

a) se viene utilizzato in aggiunta un secondo sistema di misurazione sull'attuatore, l'oscillazione

viene sicuramente riconosciuta.

Attraverso il secondo sistema di misurazione, l'oscillazione del numero di giri viene rilevata corret

tamente, il modulo di sicurezza riconosce un superamento del numero di giri momentaneo e passa

allo stato sicuro.

b) Viene utilizzato un solo sistema encoder con numero elevato di periodi per giro:

Già a basse velocità si ottiene una frequenza relativamente alta, che non viene più regolata, l'oscil

lazione del numero di giri viene riconosciuta dal modulo di sicurezza e passa allo stato sicuro.

A Appendice tecnica


c) Viene utilizzato un solo sistema encoder con numero basso di periodi per giro:

Con basse velocità si ottiene una frequenza bassa dell'oscillazione del numero di giri che viene

continuamente regolata.

c1) Il modulo di sicurezza sarà in grado di rilevare sicuramente un superamento della velocità

media tramite un periodo dell'encoder.

c2) Per garantire che anche la velocità momentanea venga monitorata, deve essere ridotto il limite

di monitoraggio.

Esempio per c2): Monitoraggio della lunghezza del vettore del resolver con +/- 20 % => Il numero di

giri da monitorare deve essere ridotto dell'importo previsto dell'oscillazione del numero di giri, quindi

ugualmente del 20 %

=> Con monitoraggio richiesto di v = 200 mm /s il monitoraggio viene impostato su v = 160 mm/s.

AttenzioneVerificare in modo critico l'applicazione:

� quali requisiti vengono posti al monitoraggio della velocità?

� È sufficiente un monitoraggio della velocità media tramite un giro del motore?

Considerare in questo capitolo le limitazioni riportate per la propria scelta di sistema.

A Appendice tecnica


A.3.7 Base dell'osservazione della precisione di sistema

Limiti di posizione SOS

Monitoraggio della posizione

Esempio per la tolleranza massima, il valore ne

cessario deve essere determinato durante la

valutazione dei rischi

1,8 mm è il limite superiore per SOS, ovvero

l'asse può traslare max. di 1,8 mm in direzione di

pericolo.

Monitoraggio della velocità

Tempi di filtraggio max. comuni 64 ms

Valore predefinito tipico Rilevamento immediato con ciclo di monitoraggio

di 8 ms.

RiepilogoTolleranza di posizione tipica ammessa +/ 1 mm

Tempo di filtraggio tipico Filtro da 8 ms, tempo di ripetibilità 2 ms.

Tab. A.33 Limiti di posizione SOS, tempi di filtraggio

Limiti di velocità SLS

DIN EN 12417:200907 Macchine utensili – Sicurezza centri di elaborazione

Velocità limitata in modi operativi speciali

Dispositivo di protezione aperto, separatore 5 m/min = 83,3 mm/s

Velocità limitata con cambio utensile, lavori di manutenzione o impostazione

solo pericolo di urti 15 m/min = 250 mm/s

Pericolo di schiacciamento 2 m/min = 33,3 mm/s

DIN EN 23125:201010 Macchine utensili – Sicurezza torni

Velocità limitata nell'esercizio manuale

con torni piccoli 6 m/min = 100 mm/s

con torni grandi 10 m/min = 166,7 mm/s

Velocità chiusura mandrino autocentrante 4 mm/s

Movimento dell’asse 2 m/min = 33,3 mm/s

Movimento di avanzamento bussola 1,2 m/min = 20 mm/s

EN 102181:201201 robot industriale – requisiti di sicurezza – parte 1: Robot

Velocità limitata 250 mm/s

RiepilogoIntervallo dei valori “Velocità limitata”

Minimo 4 mm/s

Massimo 250 mm/s

Tempo di filtraggio tipico Filtro da 8 ms, tempo di ripetibilità 2 ms.

Tab. A.34 Limiti di velocità SLS

A Appendice tecnica


Dati tipici di alcuni assi lineari di Festo

Assi a cinghia dentata EGCTBKF, con guida a ricircolo di sfere

Dimensioni 50 70 80 120 185

Passo [mm] 2 3 3 5 8

Dilatazione (forza max.) [%] 0,094 0,08 0,24 0,13 0,29

Diametro effettivo [mm] 18,46 24,83 28,65 39,79 73,85

Costante di avanzamento [mm/giro] 58 78 90 125 232

Assi a vite EGCBSKF, con guida a ricircolo di sfere

Dimensioni 70 80 120 185

Diametro [mm] 12 15 25 40

Passo [mm/giro] 10 10 20 10 25 40

Assi a cinghia dentata DGEZR (velocità elevata, a seconda del tipo fino a 10 m/s)

Dimensioni 8 12 18 25 40 63

Passo [mm] 2 2 2 3 5 8

Dilatazione (forza max.) [%] 0,04 0,1 0,2 0,11 0,1 0,15

Diametro effettivo [mm] 10,18 12,09 16,55 20,05 31,83 56,02

Costante di avanzamento [mm/giro] 32 28 52 63 100 176

Assi a cinghia dentata ELGA-TB-G

Dimensioni 70 80 120

Passo [mm] 3 5 5

Dilatazione (forza max.) [%] 0,31 0,19 0,23

Diametro effettivo [mm] 28,65 39,79 52,52

Costante di avanzamento [mm/giro] 90 125 165

Attuatori lineari, ad es. ELGLLAS, con supporto pneumatico e motore lineare

Passi polari tipici nell'intervallo 20 mm…80 mm == 40 mm…160 mm avanza

mento

RiepilogoIntervallo dei valori “Avanzamento” Z : 20 mm/giro …. 300 mm/giro

Tab. A.35 Assi lineari tipici di Festo – costanti di avanzamento da considerare

Fattore di posizionamento� ��Rapporto di riduzione * incrementi�rotazione

Costante di avanzamento

A Appendice tecnica


A.4 Segnalazioni di stato, diagnosi tramite Fieldbus

A.4.1 Output di segnalazioni di stato tramite le uscite digitali dell'apparecchio di base

Il controllore motore può emettere segnalazioni di stato importanti del modulo di sicurezza sulle uscite

digitali da DOUT0 a DOUT3 tramite l'interfaccia I/O [X1].

La configurazione delle uscite digitali avviene tramite il Festo Configuration Tool.

Per l'output sono disponibili i seguenti messaggi generali (confrontare sezione 2.10.2):

VOUT Segnale Nome Funzione

40 VOUT_PS_EN Sblocco del modulo

terminale ammesso

Il bit di stato indica se il controllore motore può

inserire il modulo terminale.

41 VOUT_WARN Allarme Si è verificato almeno un errore di priorità “Al

larme”.

42 VOUT_SCV Condizione di sicu

rezza violata

È stata violata almeno una condizione di sicu

rezza.

43 VOUT_ERROR Errore Il modulo di sicurezza ha determinato un errore

interno.

44 VOUT_SSR Stato sicuro rag

giunto

Bit globale “Safety State reached”, tutte le fun

zioni di sicurezza richiesta segnalano lo stato

sicuro.

45 VOUT_SFR Funzione di sicurez

za richiesta

Bit globale “Safety Function requested”,

è stata richiesta almeno una funzione di sicu

rezza. Resta attivo finché non vengono resetta

te tutte le richieste.

46 VOUT_SERVICE Stato di assistenza Stato “Servizio di assistenza”, nessun paramet

ro presente, parametro non valido o parametriz

zazione in corso.

47 VOUT_READY Pronto all’esercizio Stato “Pronto all'esercizio”, nessuna funzione

di sicurezza richiesta.

Tab. A.36 Segnali di stato del modulo di sicurezza per l'output tramite DOUTx dell'apparecchio di

base

Le segnalazioni di stato del CAMC-G-S3 sono compatibili con quelle del CAMC-G-S1

(modulo di sicurezza con funzione di sicurezza “Safe Torque Off ”).

In applicazioni con un utilizzo misto dei moduli di sicurezza viene così raggiunto un segna

le di conferma unitario sul comando.

A Appendice tecnica


A.4.2 Segnalazioni di stato tramite Fieldbus – protocollo CiA 402Il controllore motore dispone di tutte le informazioni essenziali del modulo di sicurezza (stato, modo,

errore, IO). Per la trasmissione su sistemi bus sono rilevanti specialmente le seguenti informazioni, per

realizzare, in un comando funzionale, una mappatura del sistema dettagliata:

– le segnalazioni di stato cumulativo sullo stato del modulo di sicurezza (esercizio normale, funzione

di sicurezza richiesta, errore, ecc. � confr. sezione 2.10.2).

– stato delle singole funzioni di sicurezza (quali sono richieste, quali sono raggiunte).

– stato degli ingressi e delle uscite digitali.

A seguire sono elencati i rispettivi oggetti CiA 402, che contengono informazioni sul modulo di sicurez

za e che supportano il CMMPAS...-M3.

Oggetto 2000h: manufacturer_statuswords

È stato introdotto il gruppo di oggetti, che è stato ampliato per il modulo di sicurezza, manufactu

rer_statuswords per poter mappare ulteriori stati del regolatore che non devono essere presenti nello

statusword sottoposto spesso a interrogazione ciclica.

Index 2000h

Name manufacturer_statuswords

Object Code RECORD

No. of Elements 2

Sub-Index 00h

Description manufacturer_statuswords

Data Type UINT8

Access ro

PDO Mapping no

Units –

Value Range –

Default Value 1

Sub-Index 01h

Description manufacturer_statusword_1

Data Type UINT32

Access ro

PDO Mapping yes

Units –

Value Range –

Default Value –

A Appendice tecnica


manufacturer_statusword_1Bit Segnale Descrizione

Bit 0 IS_REFERENCED Attuatore con riferimento definito

Bit 1 COMMUTATION_

VALID

Commutazione valida

Bit 2 READY_FOR_ENABLE Il bit viene impostato se tutte le condizioni sono realizzate per

abilitare il regolatore e manca solo l'abilitazione del medesimo.

Devono essere soddisfatte le condizioni qui riportate:

– l'attuatore è senza errori.

– il circuito intermedio è caricato.

– l'analisi del resolver è pronta. Nessun processo è attivo (ad

es. trasmissione seriale) che possa impedire l'abilitazione.

– Non è attivo alcun processo bloccante (ad es. l'identifica

zione automatica dei parametri del motore).

– STO non è attivo o è attiva una funzione di sicurezza, che

permette l'abilitazione.

Bit 3 IPO_IN_TARGET Il generatore di posizionamento ha concluso il profilo.

Bit 4 ... 7 CAM Riservato ed utilizzato per la camma a disco.

Bit 8 SAFE_STANDSTILL “Stop sicuro” “H” sul display a 7 segmenti.

Utilizzo tramite modulo di sicurezza CAMC-G-S1.

Bit 9 ... 11 – Riservato per espansioni.

Bit 12 VOUT_PS_EN Mostra che l'attuatore può essere attivato (nessuna limitazione

ad opera del modulo di sicurezza).

Bit 13 VOUT_WARN Conforme a VOUT_WARN (VOUT41) del modulo di sicurezza.

È presente almeno un errore, la cui risposta è parametrizzata su

“Allarme”.

Bit 14 VOUT_SCV Conforme a VOUT_SCV (VOUT 42) del modulo di sicurezza.

È stata violata almeno una condizione di sicurezza.

Bit 15 VOUT_ERROR Conforme a VOUT_ERROR (VOUT 43) del modulo di sicurezza.

È stato accertato un errore interno.

Bit 16 VOUT_SAVE_STAT Conforme a VOUT_SSR (VOUT 44) del modulo di sicurezza.

Il bit viene impostato se nel modulo di sicurezza è stata richiesta

una funzione di sicurezza ed è stato raggiunto lo stato sicuro.

Bit 17 VOUT_SFR Conforme a VOUT_SFR (VOUT 45) del modulo di sicurezza.

Il bit viene impostato se nel modulo di sicurezza è stata richie

sta almeno una funzione di sicurezza. Il bit resta attivo finché

non vengono resettate tutte le richieste.

A Appendice tecnica


manufacturer_statusword_1

Bit DescrizioneSegnale

Bit 18 VOUT_SERVICE Nessun parametro presente, parametro non valido o paramet

rizzazione in corso (non viene supportato da CAMC-G-S1). Lo

stato viene assunto se il modulo di sicurezza è stato sostituito

con un altro tipo.

Bit 19 VOUT_READY Stato normale: VOUT_READY= NOT(VOUT_SFR)

Bit 20 ... 31 – Riservato.

Tab. A.37 Occupazione dei bit manufacturer_statusword_1

Oggetto 2600h: FSM_VOUTQuesti oggetti rappresentano lo stato di VOUT (0..64).

Index 2600h

Name FSM_vout

Object Code RECORD

No. of Elements 2

Sub-Index 01h

Description FSM_vout_0_31

Data Type UINT32

Access ro

PDO Mapping yes

Units –

Value Range –

Default Value –

Bit 0..31 = VOUT0..31 del modulo di sicurezza

Sub-Index 02h

Description FSM_vout_32_63

Data Type UINT32

Access ro

PDO Mapping yes

Units –

Value Range –

Default Value –

Bit 0..31 = VOUT32..63 del modulo di sicurezza

A Appendice tecnica


Oggetto 2602h: FSM_IOLettura del livello sugli ingressi del modulo di sicurezza

Index 2602h

Name FSM_io

Object Code RECORD

No. of Elements 1

Sub-Index 01h

Description FSM_dig_io

Data Type UINT32

Access ro

PDO Mapping yes

Units –

Value Range –

Default Value –

FSM_dig_ioBit Segnale Descrizione

Bit 0 LOUT48 Stato logico DIN40 A/B




Bit 4 LOUT52 Stato logico DIN44

Bit 5 LOUT53 Stato logico DIN45; selettore dei tipi di funzionamento (1 di 3)



Bit 8 LOUT56 Tacitazione errori tramite DIN48

Bit 9 LOUT57 Riavvio tramite DIN49

Bit 10 LOUT58 Stato logico unità di gestione e visualizzazione a due mani

(coppia di 2 x DIN4x)

Bit 11 LOUT59 Segnale di conferma freno di arresto

Bit 12 ... 15 LOUT60 ... 63 Non occupato

Bit 16 LOUT64 Stato dell'uscita DOUT40



Bit 19 LOUT67 Stato del relè di segnalazione

Bit 20 LOUT68 Comando del freno

Bit 21 LOUT69 Stato del segnale di comando SS1

Bit 22 ... 31 LOUT70 ... Non occupato

Tab. A.38 Occupazione dei bit FSM_dig_io

A Appendice tecnica


A.4.3 Segnalazioni di stato tramite Fieldbus – protocollo FHPPIl controllore motore dispone di tutte le informazioni essenziali del modulo di sicurezza (stato, modo,

errore, IO). Per la trasmissione su sistemi bus sono rilevanti specialmente le seguenti informazioni, per

realizzare, in un comando funzionale, una mappatura del sistema dettagliata:

– le segnalazioni di stato cumulativo sullo stato del modulo di sicurezza (esercizio normale, funzione

di sicurezza richiesta, errore, ... -> confr. sezione 2.10.2).

– stato delle singole funzioni di sicurezza (quali sono richieste, quali sono raggiunte).

– stato degli ingressi e delle uscite digitali.

A seguire sono elencati i rispettivi oggetti per il protocollo di comunicazione FHPP (Festo manipolazione

e posizionamento), che contengono informazioni sul modulo di sicurezza e che supportano il .

FSM_STATE tramite FHPP

PNU 280 Safety State (Safety Status)Sottoindice 01 Classe: Var Tipo dati: uint32 da FW 4.0.1501.2.1 Accesso: ro

Parola di stato della funzione di sicurezza.

Bit Nome Valore Significato

0 … 7 – 0x0000 00FF Riservato.

8 VOUT_PS_EN 0x0000 0100 Abilitazione del modulo terminale possibile.

CAMC-G-S3: VOUT_PS_EN = NOT (VOUT_SFR).

CAMC-G-S1: Nessuno degli ingressi STO-A o

STO-B è stato attivato.

9 VOUT_WARN 0x0000 0200 Allarme. È presente almeno un errore, la cui

risposta è parametrizzata su “Allarme”.

CAMC-G-S3: VOUT_WARN (VOUT41).

CAMC-G-S1: Riservato.

10 VOUT_SCV 0x0000 0400 È stata violata almeno una condizione di sicu

rezza.

CAMC-G-S3: VOUT_SCV (VOUT 42).


11 VOUT_ERROR 0x0000 0800 Errore interno (segnalazione di errore

generale) del modulo di sicurezza.

CAMC-G-S3: VOUT_ERROR ( VOUT 43).

CAMC-G-S1: Tempo di discrepanza violato.

12 VOUT_SSR 0x0000 1000 Stato di sicurezza raggiunto (messaggio

generale).

CAMC-G-S3: VOUT_SSR (VOUT 44) Il bit viene

impostato se nel modulo di sicurezza è stato

raggiunto lo stato sicuro con tutte le funzioni

di sicurezza richieste.

CAMC-G-S1: STO attivo.

A Appendice tecnica


PNU 280 Safety State (Safety Status)

Accesso: roda FW 4.0.1501.2.1Tipo dati: uint32Classe: VarSottoindice 01

13 VOUT_SFR 0x0000 2000 Funzione di sicurezza richiesta.

CAMC-G-S3: VOUT_SFR (VOUT 45):

Il bit viene impostato se nel modulo di sicurez

za è stata richiesta almeno una funzione di

sicurezza. Il bit resta attivo finché non vengo

no resettate tutte le richieste.

CAMC-G-S1: Almeno uno degli ingressi STO-A

o STO-B è stato attivato.

14 VOUT_SERVICE 0x0000 4000 Messaggio di servizio.

CAMC-G-S3: Lo stato viene assunto,… …dopo

una sostituzione del modulo,

…nello stato di fornitura,

…con una sessione di parametrizzazione.


15 VOUT_READY 0x0000 8000 Ready. Stato normale, nessuna funzione di

sicurezza richiesta.

CAMC-G-S3: VOUT_READY= NOT(VOUT_SFR).

CAMC-G-S1: Nessuno STO richiesto.

16 … 31 – 0xFFFF 0000 Riservato.

Tab. A.39 PNU 280

PNU 281 FSM Status word (parola di stato FSM)Sottoindice 01 … 02 Classe: Array Tipo dati: uint32 da FW 4.0.1501.2.1 Accesso: ro

CAMC-G-S3: Contenuto della parola di stato VOUT (0 … 64).

Sottoindice 01 Lower Bytes (Byte inferiori)

Bit 0 … 31 = VOUT_0 … 31 del modulo di sicurezza CAMC-G-S3.

Sottoindice 02 Upper Bytes (Byte superiori)

Bit 0 … 31 = VOUT_32 … 63 del modulo di sicurezza CAMC-G-S3.

Tab. A.40 PNU 281

A Appendice tecnica


PNU 282 FSM IO (FSM IO)Sottoindice 01 Classe: Var Tipo dati: uint32 da FW 4.0.1501.2.1 Accesso: ro

CAMC-G-S3: Livello sugli ingressi del modulo di sicurezza.

Bit Segnale Significato

0 LOUT48 Stato logico DIN40A/B




4 LOUT52 Stato logico DIN44

5 LOUT53 Stato logico DIN45; selettore dei tipi di funzionamento (1 di 3)



8 LOUT56 Stato logico tacitazione errori tramite DIN48

9 LOUT57 Stato logico riavvio tramite DIN49

10 LOUT58 Stato logico unità di gestione e visualizzazione a due mani

(coppia di 2 x DIN4x)

11 LOUT59 Segnale di conferma freno di arresto

12 . 15 LOUT60 … 63 Non occupato

16 LOUT64 Stato logico dell'uscita DOUT40



19 LOUT67 Stato logico del relè di segnalazione

20 LOUT68 Stato logico del comando del freno

21 LOUT69 Stato logico del segnale di comando SS1

22 … 31 LOUT70 … 79 Non occupato.

Tab. A.41 PNU 282

A Appendice tecnica


A.5 Registrazione dei dati di misurazione – “Trace”

A.5.1 Panoramica

Per la diagnosi è possibile registrare con la funzione Trace (funzione oscilloscopio) del FCT-PlugIn

CMMP-AS, in aggiunta ai dati normali del controllore motore, anche i dati di misurazione del modulo di

sicurezza.

I dati di misurazione registrati servono come ricerca degli errori. Non sono rilevanti per la

sicurezza.

La parametrizzazione dei dati di misurazione e la registrazione avviene tramite FCT (� sezione A.5.2).

Possono essere registrati in parallelo fino a quattro dati numerici o digitali. Sono disponibili per il

modulo di sicurezza i seguenti dati:

Dati Descrizione

Dati numericiLimite superiore valore no

minale della velocità1)Limitazione della velocità superiore attuale nell'apparecchio di base,

limite indicato dal modulo di sicurezza.Limite inferiore valore nomi

nale della velocità1)Limitazione della velocità inferiore attuale nell'apparecchio di base,

limite indicato dal modulo di sicurezza.CAMC-G-S3: Numero di giri -

valore effettivo

Valore effettivo del numero di giri dal modulo di sicurezza.

CAMC-G-S3: Posizione -

valore effettivo

Valore effettivo della posizione dal modulo di sicurezza.

CAMC-G-S3: Limite

superiore della velocità at

tualmente monitorato

Limitazione della velocità superiore attualmente monitorata dal


CAMC-G-S3: Limite inferiore

della velocità attualmente

monitorato

Limitazione della velocità inferiore attualmente monitorata dal modu

lo di sicurezza.

KO a scelta ... Con questa selezione possono essere registrati parametri a scelta

� sezione A.5.2.Dati digitaliCAMC-G-S3: ... Bit di stato del modulo di sicurezzaCAMC-G-S3: DIN40A Stato fisico dell'ingresso DIN40A... Stati fisici degli ulteriori ingressi ...CAMC-G-S3: DOUT40A Stato fisico dell'uscita DOUT40A... Stati fisici delle ulteriori uscite ...CAMC-G-S3: C1/C2 Stato fisico del contatto di relè C1/C2

1) Dati dall'apparecchio di base

Tab. A.42 Dati di misurazione per il modulo di sicurezza

A.5.2 Configurazione

I dati registrati vengono determinati, come di consueto, nel PlugIn FCT sulla pagina “Configurazione dei

dati di misurazione”.

Per il modulo di sicurezza sono disponibili i dati numerici e digitali contenuti in aggiunta nella � Tab. A.42.

A Appendice tecnica


Fig. A.8 Configurazione dei dati di misurazione

Con eccezione di “KO a scelta ...” è possibile impostare direttamente le registrazioni.

Per i KO a scelta (oggetti di comunicazione) viene aperta una finestra di dialogo speciale:

Fig. A.9 Oggetto di comunicazione a scelta

1. Per i dati di misurazione del modulo di sicurezza attivare dapprima il registro “CAMC-G-S3: Modulo

di sicurezza”.

2. In “KO a scelta” inserire il numero come valore esadecimale. Il numero corrisponde al numero di

parametro senza “P” e il punto, nell'esempio “639” per P06.39 - valore effettivo della velocità sicu

ra. Il numero di parametro viene visualizzato in basso.

I parametri utili sono riportati ad es. in � sezione B.2, Tab. B.10 “Parametri di diagnosi”

3. In “Filtro” è possibile determinare una maschera, ad es. per array di bit o altri dati digitali.

4. Selezionare in “Unità di misura” la registrazione corretta per il valore di misura, in modo che succes

sivamente venga visualizzato correttamente nel diagramma.

Per modificare le impostazioni selezionare semplicemente di nuovo la registrazione “KO a scelta ...”.

A Appendice tecnica


A.5.3 Avvio TraceDi norma le impostazioni della pagina “Trace” (configurazione dei dati di misurazione) vengono tras

messi automaticamente al controllore motore con l'avvio del Trace. Ciò non è possibile, se è installato

un modulo di sicurezza CAMC-G-S3, in quanto i dati di misurazione determinati dal modulo di sicurezza

diventano attivi solo dopo un riavvio.

Per questo dal PlugIn FCT viene visualizzata la seguente finestra di dialogo, non appena vengono sele

zionati uno o più dati contenuti nella � Tab. A.42 (come eccezione di quelli contrassegnati come dati

dall'apparecchio di base).

Fig. A.10 Salvataggio dei dati e riavvio

Ciò è necessario una volta dopo l'apertura del PlugIn CMMP-AS nel FCT o dopo la modifica dei dati di

misurazione.

Dopo il riavvio del controllore motore è possibile avviare il Trace come di consueto.

A.5.4 EsempioDeve essere registrata una violazione della condizione di sicurezza con SS1. Come trigger viene richie

sto DOUT42 tramite VOUT_SCV “Safety Condition Violated”.

Fig. A.11 Esempio configurazione dei dati di misurazione

A Appendice tecnica


Come rappresentato in Fig. A.11, vengono impostati i seguenti dati:

– canale Trace 1 – dati numerici – CAMC-G-S3: Limite superiore della velocità attualmente monitorato

– canale Trace 2 – dati numerici – CAMC-G-S3: KO: 0x639, filtro 0xFFFFFFFF

(P06.39 – Valore effettivo della velocità sicura)

– canale Trace 3 – dati numerici – CAMC-G-S3: Limite inferiore della velocità attualmente monitorato

– canale Trace 4 – dati digitali – CAMC-G-S3: DOUT42B

Così si ottiene ad es. il seguente diagramma:

Fig. A.12 Esempio diagramma

B Lista di riferimento per segnali di comando e parametri



B.1 Lista di tutti i segnali logici

B.1.1 Ingressi logici LIN

Gli ingressi logici sono riuniti in un vettore bit con una lunghezza di 128 bit.

Si possono distinguere i seguenti campi nel vettore bit:

LIN Nome Funzione

0 – Riservato per lo smontaggio successivo delle funzionalità del modulo di

sicurezza, sempre zero.... ...

63 –

64 LIN_USF0_SSR Segnali di uscita virtuali riportati VOUT (segnalazioni di stato delle fun

zioni di sicurezza, messaggi generali).

Questi possono essere accoppiati in modo logico con i segnali di ingresso.

... ...

95 LIN_READY

96 LIN_D40 Stato logico degli ingressi digitali DIN40…DIN49 e dei segnali di uscita

delle funzioni logiche e di alcuni stati ausiliari.... ...

127 LIN_STATIC_ONE

Tab. B.1 Composizione del vettore bit degli ingressi logici

Lo stato attuale del vettore bit LIN può essere letto attraverso gli oggetti di comunicazione:

Bit 00 ... Bit 31: P04.20

Bit 32 ... Bit 63: P04.21

Bit 64 ... Bit 95: P04.22

Bit 66 ... Bit 127: P04.23



Rappresentazione degli ingressi fisici sugli ingressi logiciGli ingressi fisici vengono rappresentati come segue sugli ingressi logici (viene indicato lo stato sta

zionario dopo il filtraggio, la valutazione degli impulsi di prova ecc.):

LIN Nome Funzione

96 LIN_D40 Bit LIN_D40 impostato, se DIN40 A/B = 0 V (principio della corrente di riposo)1)




100 LIN_D44 Bit LIN_D44 impostato, se DIN44 = 24 V

101 LIN_D45 Bit LIN_D45 impostato, se DIN47 = 0 V e DIN46 = 0 V e DIN45 = 24 V





1) Vale per la configurazione come ingresso equivalente. Configurazione come ingresso antivalente rispettivamente con: LIN_DIN4x

impostato, se D4xA = 0 V e D4xB = 24 V.

Tab. B.2 Ingressi logici, assegnazione del livello agli ingressi fisici

Controllare che LIN_D40 ... LIN_D43 abbiano un'assegnazione speciale rispetto ai livelli

di tensione. Cosi agli ingressi logici possano essere inviate le funzioni di sicurezza (ad

es. richiesta STO) senza inversione, in modo tale che il principio della corrente di riposo

(ingresso 0 V = richiesta STO).

Ingressi logici dopo la pre-elaborazione e le funzioni ausiliarieMappatura degli ingressi fisici dopo la pre-elaboazione (tempo previsto, 1 off n ecc.)

LIN Nome Funzione

96 LIN_D40 Stato logico DIN40 A/B




100 LIN_D44 Stato logico DIN44

101 LIN_D45 Stato logico DIN45; selettore dei tipi di funzionamento (1 di 3)

Stato logico DIN45 47 (1 di 3) DIN45

102 LIN_D46 Stato logico DIN45 47 (1 di 3) DIN46

103 LIN_D47 Stato logico DIN45 47 (1 di 3) DIN47



106 LIN_2HAND_CTRL Stato logico unità di gestione e visualizzazione a due mani

(coppietta di 2 x DIN4x)

107 LIN_BRAKE_X6_FB Segnale di conferma freno di arresto

117 LIN_PWSTG_ON Modulo terminale dell'apparecchio di base attivo



LIN FunzioneNome

121 LIN_D45_SAFE Stato logico DIN45 dopo la valutazione selettore dei tipi di fun

zionamento

122 LIN_D46_SAFE DIN46 dopo la valutazione del selettore dei tipi di funzionamento

123 LIN_D47_SAFE DIN47 dopo la valutazione del selettore dei tipi di funzionamento

124 LIN_D49_RI

SING_EDGE

Impulso “1” logico con ca. 2 ms – 10 ms di lunghezza dopo ogni fronte

di risalita del segnale LIN_D49. Previsto per “Riavvio sensibile al fron

te”.

125 LIN_AF

TER_RST_PULSE

Impulso “1” logico con ca. 2 ms – 10 ms di lunghezza dopo ogni RESET.

Previsto per la prima impostazione automatica di una richiesta della

funzione di sicurezza dopo power ON o dopo un RESET del sistema.

126 LIN_STATIC_ZERO Sempre “0”

127 LIN_STATIC_ONE Sempre “1”

Tab. B.3 Ingressi logici dopo la pre-elaborazione

Uscite virtuali ricondotte come ingressi logici

LIN Nome Funzione

64 LIN_USF0_SSR Stato sicuro USF0 raggiunto




75 LIN_SBC_SSR Stato sicuro SBC raggiunto

76 LIN_SS2_SSR Stato sicuro SS2 raggiunto

77 LIN_SOS_SSR Stato sicuro SOS raggiunto

78 LIN_SS1_SSR Stato sicuro SS1 raggiunto

79 LIN_STO_SSR Stato sicuro STO raggiunto

80 LIN_ALF0_OUT “Additional Logic Function” per feedback o alcune logiche








88 LIN_PS_EN Il bit di stato indica se il controllore motore può inserire il modulo

terminale

89 LIN_WARN Si è verificato almeno un errore di priorità “Allarme”

90 LIN_SCV È stata violata almeno una delle condizioni di sicurezza

91 LIN_ERROR Il modulo di sicurezza ha determinato un errore interno

92 LIN_SSR Bit globale “Safe State Reached”, nel modulo di sicurezza è stata ri

chiesta almeno una funzione di sicurezza. Il bit resta attivo finché non

vengono resettate tutte le richieste.



LIN FunzioneNome

93 LIN_SFR Bit globale “Safety Function requested”, è stata richiesta almeno una

funzione di sicurezza, ma non ancora raggiunta.

94 LIN_SERVICE Stato Servizio di assistenza, nessun parametro presente, parametro

non valido o parametrizzazione in corso.

95 LIN_READY Stato Pronto all'esercizio, nessuna funzione di sicurezza richiesta

Tab. B.4 Ingressi logici, uscite virtuali ricondotte

B.1.2 Ingressi virtuali VINGli ingressi virtuali sono gli ingressi delle funzioni di sicurezza e delle funzioni logiche supplementari

(ALF = additional logic function). Valgono le seguenti abbreviazioni:

“RSF” = Request Safety Function (richiesta funzione di sicurezza).

“CSF” = Clear Safety Function, riavvio con funzione di sicurezza violata.

Gli ingressi virtuali sono riuniti in un vettore bit con una lunghezza di 64 bit.

Lo stato attuale del vettore bit VIN può essere letto attraverso gli oggetti di comunicazione:

Bit 00 ... Bit 31: P04.24

Bit 32 ... Bit 63: P04.25

Mappatura degli ingressi virtuali

VIN Nome Funzione

0 VIN_USF0_RSF Richiesta della funzione di sicurezza USF0




4 – Riservato, sempre zero

... ...

10 –

11 VIN_SBC_RSF Richiesta della funzione di sicurezza SBC

12 VIN_SS2_RSF Richiesta della funzione di sicurezza SS2

13 VIN_SOS_RSF Richiesta della funzione di sicurezza SOS

14 VIN_SS1_RSF Richiesta della funzione di sicurezza SS1

15 VIN_STO_RSF Richiesta della funzione di sicurezza STO

16 VN_USF0_CSF Conclusione della richiesta USF0

17 VIN_USF1_CSF Conclusione della richiesta USF1



27 VIN_SBC_CSF Conclusione della richiesta SBC

28 VIN_SS2_CSF Conclusione della richiesta SS2

29 VIN_SOS_CSF Conclusione della richiesta SOS

30 VIN_SS1_CSF Conclusione della richiesta SS1

31 VIN_STO_CSF Conclusione della richiesta STO



VIN FunzioneNome

32 VIN_ALF0_IN Ingresso della funzione logica supplementare ALF0








40 – Riservato per espansioni di ALF, sempre zero

... ...

47 –

48 – Riservato per lo smontaggio successivo delle funzionalità del modulo di

sicurezza, sempre zero... ...

59 –

60 VIN_ERR_QUIT Tacitazione di errori



63 VIN_BRK_ACK Segnale di conferma freno di arresto

Tab. B.5 Ingressi virtuali

B.1.3 Uscite virtuali VOUTLe uscite virtuali sono le uscite delle funzioni di sicurezza e delle funzioni logiche supplementari. Sono

definite in termini come “SS1_Stato_sicuro_raggiunto”. Valgono le seguenti abbreviazioni:

SSR = Safety Function Requested (funzione di sicurezza richiesta)

SSR = Safe State Reached (stato sicuro raggiunto)

Le uscite virtuali sono riunite in un vettore bit con una lunghezza di 64 bit. I segnali di uscita virtuali

selezionati vengono retro-alimentati come ingressi logici nell'elaborazione, confrontare la Tab. B.4.

Lo stato attuale del vettore bit VIN può essere letto attraverso gli oggetti di comunica

zione:

Bit 00 ... Bit 31: P05.10

Bit 32 ... Bit 63: P05.11

VOUT Nome Funzione

0 VOUT_USF0_SFR Funzione di sicurezza USF0 richiesta






VOUT FunzioneNome


... ...

10 –

11 VOUT_SBC_SFR Funzione di sicurezza SBC richiesta

12 VOUT_SS2_SFR Funzione di sicurezza SS2 richiesta

13 VOUT_SOS_SFR Funzione di sicurezza SOS richiesta

14 VOUT_SS1_SFR Funzione di sicurezza SS1 richiesta

15 VOUT_STO_SFR Funzione di sicurezza STO richiesta

16 VOUT_USF0_SSR stato sicuro USF0 raggiunto





... ...

26 –

27 VOUT_SBC_SSR stato sicuro SBC raggiunto

28 VOUT_SS2_SSR stato sicuro SS2 raggiunto

29 VOUT_SOS_SSR stato sicuro SOS raggiunto

30 VOUT_SS1_SSR stato sicuro SS1 raggiunto

31 VOUT_STO_SSR stato sicuro STO raggiunto

32 VOUT_ALF0_OUT Uscita funzione logica supplementare ALF0








40 VOUT_PS_EN Il bit di stato indica se il controllore motore può inserire il modulo

terminale

41 VOUT_WARN Si è verificato almeno un errore di priorità “Allarme”

42 VOUT_SCV È stata violata almeno una condizione di sicurezza

43 VOUT_ERROR Il modulo di sicurezza ha determinato un errore interno

44 VOUT_SSR Bit globale “Safety State reached”, tutte le funzioni di sicurezza

richiesta segnalano lo stato sicuro

45 VOUT_SFR Bit globale “Safety Function requested”, è stata richiesta almeno

una funzione di sicurezza nel modulo di sicurezza. Il bit resta attivo

finché non vengono resettate tutte le richieste.

46 VOUT_SERVICE Stato “Servizio di assistenza”, nessun parametro presente, para

metro non valido o parametrizzazione in corso

47 VOUT_READY Stato “Pronto all'esercizio”, nessuna funzione di sicurezza richiesta



VOUT FunzioneNome


... ...

62 –

63 VOUT_SBC_BRK_ON Arresto del freno di arresto

Tab. B.6 Segnali di uscita virtuali

B.1.4 Uscite logiche LOUT

Lo stato delle uscite logiche viene rappresentato in modo simile come per gli ingressi logici tramite 1

bit. Ciò vale anche per le uscite a due canali.

L'equivalenza / l'antivalenza ed i segnali di prova vengono elaborati con conversione delle uscite logi

che in uscite fisiche.

Le uscite logiche sono riunite in un vettore bit con una lunghezza di 96 bit.

Lo stato attuale del vettore bit LOUT può essere letto attraverso gli oggetti di comunicazione:

Bit 00 ... Bit 31: P05.12

Bit 32 ... Bit 63: P05.13

Bit 64 ... Bit 95: P05.14

Mappatura delle uscite logiche

LOUT Nome Funzione

0 – Uscite logiche per diagnosi tramite Fieldbus

� sezione A.4... ...

63 –

64 LOUT_D40 Stato dell'uscita DOUT40



67 LOUT_RELAIS Stato del relè di segnalazione C1/C2

68 LOUT_BRK_CTRL Comando del freno

69 LOUT_SS1_RQ Segnale di comando SS1 (cablaggio fisso)


... ...

95 –

Tab. B.7 Uscite logiche, mappatura delle uscite fisiche

Le uscite fisiche sono assegnate alle uscite logiche LOUT64 ... LOUT69.



B.1.5 Parole di stato per lo scambio dei dati / la diagnosi tramite FieldbusTra il modulo di sicurezza e l'apparecchio di base ha luogo uno scambio di dati ciclico. I dati importanti

del modulo di sicurezza vengono così trasmessi nell'apparecchio di base e sono a disposizione per lo

scambio di dati con un'unità di comando funzionale e per le funzioni diagnostiche.

I dati degli oggetti di comunicazione nel modulo di sicurezza si “rispecchiano” nei rispettivi oggetti di

comunicazione nell'apparecchio di base.

Questi dati vengono utilizzati per:

– segnalazioni di stato tramite Fieldbus e uscite digitali,

– registrazione di dati tramite funzione Trace dell'apparecchio di base.

Tab. B.8 elenca i rispettivi oggetti di comunicazione di diagnosi. I dati del modulo di sicurezza possono

essere letti nell'apparecchio di base tramite gli oggetti di comunicazione da 0794h a 0797h.

Apparecchiodi base KO

Nome KO nell'apparecchio di base

Modulo disicurezza KO

Valoretrasmesso1)

Significato/valore trasmessoall'apparecchio di base

0782 ioh_fsm_mov_vout_0_31

P05.10 --- Valore effettivo delle uscitevirtuali VOUT00…VOUT31

0783 ioh_fsm_mov_vout_32_63

P05.11 --- Valore effettivo delle uscitevirtuali VOUT32…VOUT63

079B ioh_fsm_limit_speed_upper

Limitazione della velocità superiore attuale nell'apparecchio di base

079C ioh_fsm_limit_speed_lower

Limitazione della velocità inferiore attuale nell'apparecchio di base

0790 ioh_fsm_diag_ch0 --- P06.39 Selezione del KO, che vienetrasmesso sul canale di diagnosi 0




0794 ioh_fsm_dat_ch0 P1D.00 P06.39 Velocità effettiva sicura delmodulo di sicurezza

0795 ioh_fsm_dat_ch1 P1D.01 P04.23 Stato degli ingressi logici LIN96…LIN127 � Tab. B.3

0796 ioh_fsm_dat_ch2 P1D.02 P05.10 Stato delle uscite virtualiVOUT0…VOUT31 � Tab. B.6

0797 ioh_fsm_dat_ch3 P1D.03 P05.11 Stato delle uscite virtualiVOUT32…VOUT63 � Tab. B.6

1) Impostazione di default

Tab. B.8 Lista delle informazioni diagnostiche per l'apparecchio di base



Le uscite diagnostiche possono essere modificate in caso di necessità. Allo scopo utilizza

re la funzione Trace del PlugIn FCT CMMP-AS � sezione A.5. Allo scopo eseguire le se

guenti impostazioni:

1. Negli apparecchi di base KO n. da 0790h a 0793h vengono inseriti i KO del modulo di

sicurezza, che devono essere registrati.

2. Le impostazioni vengono memorizzate nell'apparecchio di base e viene effettuato un

riavvio. Poi le impostazioni vengono trasmesse al modulo di sicurezza.

Esempio:

KO 0790h } Valore: 0639h Trasmissione della velocità sicura

KO 0791h } Valore: 0423h Stato di LIN96…LIN127 (LIN_D40…LIN_D49, ecc.)

KO 0792h } Valore: 1D09h Limite di monitoraggio superiore della velocità

KO 0793h } Valore: 1D0Ah Limite di monitoraggio inferiore della velocità

RESET / Riavvio:

KO 0794h { Valore: 0639h Trasmissione della velocità sicura

KO 0795h { Valore: 0423h Stato di LIN96…LIN127 (LIN_D40…LIN_D49 ecc.)

KO 0796h { Valore: 1D09h Limite di monitoraggio superiore della velocità -> vedere lista B.2

KO 0797h { Valore: 1D0Ah Limite di monitoraggio inferiore della velocità -> vedere lista B.2

Nell'apparecchio di base KO da 0794h a 0797h vengono rappresentati i rispettivi dati (risoluzione tem

porale ca. 2 ms)



B.2 Lista dei parametri supplementari

Il SafetyTool offre agli esperti, attraverso la voce del menu Extras / Parameter overview, la possibilità di

visualizzare o modificare tutti i parametri del modulo di sicurezza. Tramite il filtro è possibile sele

zionare quali parametri vengono visualizzati. Così è possibile ad es. trovare rapidamente tutti i para

metri, le cui impostazioni si differenziano tra SafetyTool e modulo di sicurezza.

La maggior parte dei parametri viene descritta nell'ambito della rispettiva funzione:

– Informazioni di base � Tab. 2.8, pagina 39

– Configurazione dell'encoder � Tab. 2.11, pagina 48

– Ingressi digitali a due canali � Tab. 2.21, pagina 58

– Ingressi digitali a un canale � Tab. 2.24, pagina 61

– STO: Coppia disinserita in sicurezza � Tab. 2.30, pagina 69

– SS1: Stop sicuro 1 � Tab. 2.41, pagina 83

– SS2: Stop sicuro 2 � Tab. 2.47, pagina 90

– SOS: Arresto operativo sicuro � Tab. 2.51, pagina 94

– SSF: Velocità sicura � Tab. 2.56, pagina 102

– SBC: Comando sicuro del freno � Tab. 2.35, pagina 76

– Funzioni logiche selettore dei tipi di funzionamento � Tab. 2.63, pagina 108

– Funzioni logiche unità di gestione e visualizzazione a due mani � Tab. 2.66, pagina 110

– Funzioni logiche Advanced Logic-Functions � Tab. 2.69, pagina 111

– Uscite digitali � Tab. 2.78, pagina 124

Le seguenti tabelle contengono una raccolta di tutti i parametri che, fino a questo momento, non sono

stati spiegati nell'ambito delle descrizioni.

Gestione degli erroriN. Nome Descrizione

P20.00 [53-0] USF0: Condizione di sicurezza

violata

Reazione all'errore dell'errore 53-0


violata



violata



violata


P20.0A [54-0] SBC: Condizione di sicurezza

violata


P20.0C [54-2] SS2: Condizione di sicurezza

violata


P20.0D [54-3] SOS: Condizione di sicurezza

violata


P20.0E [54-4] SS1: Condizione di sicurezza

violata





N. DescrizioneNome

P20.0F [54-5] STO: Condizione di sicurezza

violata


P20.10 [54-6] SBC: Freno > 24 h non ventilato Reazione all'errore dell'errore 54-6

P20.11 [54-7] SOS: SOS > 24 h richiesto Reazione all'errore dell'errore 54-7

P20.14 [55-0] Nessun valore di numero di giri /

posizione disponibile o stato fermo > 24 h


P20.15 [55-1] Encoder SINCOS [X2B] - errore

segnali di traccia


P20.16 [55-2] Encoder SINCOS [X2B] - stato

fermo > 24 h


P20.17 [55-3] Resolver [X2A] - errore segnale Reazione all'errore dell'errore 55-3

P20.18 [55-4] Encoder EnDat [X2B] - errore

sensore


P20.19 [55-5] Encoder EnDat [X2B] - tipo di

sensore sbagliato


P20.1A [55-6] Encoder incrementale [X10] - er

rore segnali di traccia


P20.1B [55-7] Encoder speciale [X2B] - infor

mazioni errate sull'angolo


P20.26 [56-8] Differenza numero di giri/ango

lare encoder 1 - 2

Reazione all'errore dell'errore 56-8. L'errore

viene emesso se uno dei due microcontrollori

rileva una differenza della posizione o della

velocità non ammessa tra encoder 1 e encoder 2

P20.27 [56-9] Errore confronto incrociato

valutazione encoder


viene emesso se con confronto incrociato dei

valori di posizione sicuri tra microcontrollore 1 e

2 si rileva una differenza della posizione non am

messa

P20.28 [57-0] Errori autotest I/O (interno/es

terno)


P20.29 [57-1] Ingressi digitali - errore livello

del segnale


P20.2A [57-2] Ingressi digitali - errore impulso

di prova


P20.2E [57-6] Temperatura troppo elevata del

le parti elettroniche


P20.32 [58-0] Controllo plausibilità parametri Reazione all'errore dell'errore 58-0

P20.33 [58-1] Errore generale parametrizza

zione


P20.36 [58-4] Buffer comunicazione interna Reazione all'errore dell'errore 58-4




N. DescrizioneNome

P20.37 [58-5] Comunicazione modulo - appa

recchio di base


P20.38 [58-6] Errore confronto incrociato pro

cessori 1 - 2


viene emesso se nel confronto incrociato tra mi

crocontrollore 1 e 2 si presenza una differenza

non ammessa, ad es. stati diversi degli ingressi e

delle uscite, o valori di velocità sicuri diversi. In

casi speciali con valori di posizioni diversi viene

emesso l'errore 56-9!

P20.3D [59-1] Alimentazione Failsafe/blocco

impulsi sicuro


P20.3E [59-2] Errore alimentazione esterna Reazione all'errore dell'errore 59-2

P20.3F [59-3] Errore alimentazione di tensione

interna


P20.40 [59-4] Gestione degli errori: Troppi

errori


P20.41 [59-5] Scrittura errore nella memoria

diagnostica


P20.42 [59-6] Errore durante salvataggio set di

parametri


P20.43 [59-7] Errore di checksum FLASH Reazione all'errore dell'errore 59-7

P20.44 [59-8] Monitoraggio interno processore

1 - 2


P20.45 [59-9] Altro errore inatteso Reazione all'errore dell'errore 59-9

Tab. B.9 Gestione degli errori

Parametri di diagnosiN. Nome Descrizione

P00.00 Versione set di parametri Versione set di parametri

P20.46 Stato di errore gruppo 53 e 54: Numero dell'errore principale 53 e 54 nel campo

errori


errori


errori

P20.49 Stato di errore gruppo 59: Numero dell'errore principale 59 nel campo errori

Parametri esperti

P02.2F Stato degli ingressi digitali Stato degli ingressi digitali

P02.38 Stato delle uscite digitali Stato delle uscite digitali

P02.39 Stato delle uscite digitali B Stato delle uscite digitali



Parametri di diagnosi

N. DescrizioneNome

P02.3A Stato degli ingressi digitali B Stato degli ingressi digitali

P05.10 Stato VOUT0�VOUT31 Valori effettivi di VOUT0..VOUT31

P05.11 Stato VOUT32�VOUT63 Valori effettivi di VOUT32..VOUT63

P05.12 Stato LOUT0�LOUT31 Valori effettivi di LOUT0..LOUT31



P06.39 Valore effettivo della velocità sicura Valore effettivo del numero di giri

P06.3A Posizione sicura Valore di posizione accorciato su 32 bit

P06.3B Accelerazione sicura Accelerazione su encoder angolare

P06.3C Angolo da encoder 1 Angolo da encoder 1 (senza riduttori)

P06.3D Angolo da encoder 2 Angolo da encoder 2 (senza riduttori)

P06.56 Posizione da encoder 1 Posizione calcolata dell'encoder 1 (contiene con

versione del riduttore)

P06.57 Posizione da encoder 2 Posizione calcolata dell'encoder 2 (contiene con


P1D.00 KO per canale di diagnosi 0 KO per output come canale di diagnosi 0

P06.58 Velocità da encoder 1 Velocità calcolata dell'encoder 1 (contiene con



P06.59 Velocità da encoder 2 Velocità calcolata dell'encoder 2 (contiene con




P0E.50 Limitazione della velocità superiore

attuale

Limitazione della velocità superiore attuale nel

modulo di sicurezza

P0E.51 Limitazione della velocità inferiore

attuale

Limitazione della velocità inferiore attuale nel

modulo di sicurezza

Tab. B.10 Parametri di diagnosi

MappingN. Nome Descrizione

P04.00 Termine di prodotto Mappatura ed assegnazione per termine di prodotto 0











Mapping

N. DescrizioneNome


P04.0A Termine di prodotto Mappatura ed assegnazione per termine di prodotto 10

P04.0B Termine di prodotto Mappatura ed assegnazione per termine di prodotto 11

P04.0C Termine di prodotto Mappatura ed assegnazione per termine di prodotto 12

P04.0D Termine di prodotto Mappatura ed assegnazione per termine di prodotto 13

P04.0E Termine di prodotto Mappatura ed assegnazione per termine di prodotto 14

P04.0F Termine di prodotto Mappatura ed assegnazione per termine di prodotto 15











P04.1A Termine di prodotto Mappatura ed assegnazione per termine di prodotto 26

P04.1B Termine di prodotto Mappatura ed assegnazione per termine di prodotto 27

P04.1C Termine di prodotto Mappatura ed assegnazione per termine di prodotto 28

P04.1D Termine di prodotto Mappatura ed assegnazione per termine di prodotto 29

P04.1E Termine di prodotto Mappatura ed assegnazione per termine di prodotto 30

P04.1F Termine di prodotto Mappatura ed assegnazione per termine di prodotto 31

P05.00 Selezione funzione DOUT40 Mappatura dell'uscita per LOUT64 (DOUT40)



P05.03 Selezione funzione contatto di

feedback C1/C2

Mappatura dell'uscita per LOUT67

(relè di segnalazione)

Parametri esperti

P04.20 Stato LIN0..LIN31 Valori effettivi di LIN0..LIN31




P04.24 Stato VIN0..VIN31 Valori effettivi di VIN0..VIN31

P04.25 Stato VIN32..VIN63 Valori effettivi di VIN32..VIN63

P05.04 Selezione funzione uscita freno

apparecchio di base

Mappatura dell'uscita per LOUT68

(freno di arresto dell'apparecchio di base)

Tab. B.11 Mapping



Parametri interni/nascostiN. Nome Descrizione

P06.14 Spostamento di fase resolver Spostamento di fase tra PWM-Toggle e momento

del rilevamento

P06.20 Risoluzione singleturn in bit Numero bit per valore angolare

P06.21 Numero giri misurabili (multiturn) Numero giri misurabili (multiturn)

P06.22 Numero di serie dell'encoder EnDat

(parte 1)

Numero di serie dell'encoder EnDat (parte 1)


(parte 2)



(parte 3)


P06.25 Numero di identificazione dell'encoder

EnDat (parte 1)

Numero di identificazione dell'encoder EnDat

(parte 1)


EnDat (parte 2)


(parte 2)


EnDat (parte 3)


(parte 3)

P06.38 Tempo di tolleranza per dati angolari

trasmessi senza errori

Tempo massimo, che l'angolo dell'apparecchio di

base può trasmettere senza errori.

P09.00 Filtro per messaggio generale SFR o SSR Maschera, per escludere le segnalazioni di stato

delle singole funzioni di sicurezza prima del cal

colo del messaggio generale

P09.01 Tempo tra due impulsi Sync

(ciclo di base)

Tempo tra due impulsi Sync (ciclo di base)

P12.01 Ritardo di inserzione Tempo di ritardo con ritardo di inserzione

P12.02 Ritardo di disinserzione Tempo di ritardo con ritardo di disinserzione





P12.0A Ritardo di inserzione Tempo di ritardo con ritardo di inserzione

P12.0B Ritardo di disinserzione Tempo di ritardo con ritardo di disinserzione

P12.0D Ritardo di inserzione Tempo di ritardo con ritardo di inserzione

P12.0E Ritardo di disinserzione Tempo di ritardo con ritardo di disinserzione







P1C.00 Revisione software (revisione principale) Revisione software (revisione principale)



Parametri interni/nascosti

N. DescrizioneNome

P1C.01 Revisione software

(numero applicazione)

Revisione software (numero applicazione)

P1C.02 Revisione software

(KM / sottorevisione)

Revisione software (KM / sottorevisione)

P20.06 [53-6] SDI0: Condizione di sicurezza

violata


P20.07 [53-7] SDI1: Condizione di sicurezza

violata


P20.08 [53-8] SLI0: Condizione di sicurezza

violata


P20.09 [53-9] SLI1: Condizione di sicurezza

violata


P20.0B [54-1] SBT: Condizione di sicurezza

violata


P20.2B [57-3] Errore ingresso analogico

(intervallo dei valori)


P20.2C [57-4] Errore nella misurazione della

corrente


P20.2D [57-5] Errore misurazione della ten

sione del motore


P20.4A Protocollare richiesta funzioni di sicu

rezza

Se impostato: Protocollare la richiesta della fun

zione di sicurezza

PFF.00 Stato di esercizio: Stato attuale della sessione di parametrizzazione

PFF.01 Marcatura “Stato di fornitura” 1 = Sì Marcatura “Stato di fornitura”

PFF.02 Marcatura “Validazione complessiva”

1 = Sì

Marcatura “Validazione complessiva”

Parametri esperti

PFF.03 Codice di validazione: Codice di validazione della sessione di paramet

rizzazione

Tab. B.12 Parametri interni/nascosti



B.3 Lista degli oggetti di comunicazione importanti nell'apparecchio di base

Lista di riferimento degli oggetti di comunicazione nel controllore motore attraverso la quale sono di

sponibili le informazioni sul modulo di sicurezza.

N. KO Nome Tipo Unità Descrizione

0750 ioh_fsm_ctrl RW UINT32 Parola di controllo per il modulo di sicurezza

0751 ioh_fsm_stat RO UINT32 Parola di controllo per il modulo di sicurezza

0752 ioh_fsm_sto_di

screp_time

RW UINT32 Tempo di discrepanza, entro i livelli temporanei

diversi che possono presentarsi tra gli ingressi STO

del CAMC-G-S1, senza che venga emesso un errore

0753 ioh_fsm_config RW UINT32 Parola di configurazione per il modulo di sicurezza

0760 srvc_fsm_act_art

_hi

RO UINT32 Numero dell'articolo attuale specifico del produttore

del modulo di sicurezza: Codifica ASCII delle 4 posi

zioni superiori ad es. 0x39313030 = '9100'


_mid


del modulo di sicurezza: Parola Log media


_lo


del modulo di sicurezza: Parola Log inferiore

0763 srvc_fsm_act_typ RO UINT32 Tipo attuale del modulo di sicurezza inserito:

0764 srvc_fsm_act_ser

_hi

RO UINT32 Numero di serie specifico del produttore del modulo

di sicurezza inserito: Codifica ASCII delle 4 posizioni

superiori ad es. 0x30303134 = '0014'


_mid


di sicurezza inserito: Parola Log media


_lo


di sicurezza inserito: Parola Log inferiore

0767 srvc_fsm_act_rev

_idx

RO UINT32 Revisione dell'hardware del modulo di sicurezza

inserito

0768 srvc_fsm_act_sof

t_ref_idx

RO UINT32 Revisione del software del modulo di sicurezza inserito

0769 ioh_fsm_proj_art

_hi

RW UINT32 Numero dell'articolo specifico del produttore del

modulo di sicurezza progettato attraverso il pro

gramma di parametrizzazione: Codifica ASCII delle 4

posizioni superiori ad es. 0x39313030 = '9100

076 A ioh_fsm_proj_art

_mid

RW UINT32 Numero dell'articolo progettato specifico del pro

duttore del modulo di sicurezza: Parola Log media

076B ioh_fsm_proj_art

_lo

RW UINT32 Numero dell'articolo progettato specifico del pro

duttore del modulo di sicurezza: Parola Log inferiore

076C ioh_fsm_proj_typ RW UINT32 Tipo progettato del modulo di sicurezza inserito



N. KO DescrizioneUnitàTipoNome

076D ioh_fsm_proj_ser

_hi

RW UINT32 Numero di serie specifico del produttore del modulo

di sicurezza progettato: Codifica ASCII delle 4 posi

zioni superiori ad es. 0x30303134 = '0014

076E ioh_fsm_proj_ser

_mid


di sicurezza progettato: Parola Log media

076F ioh_fsm_proj_ser

_lo


di sicurezza progettato: Parola Log inferiore

0770 ioh_fsm_proj_rev

_idx

RW UINT32 Revisione dell'hardware del modulo di sicurezza pro

gettato

0771 ioh_fsm_proj

_soft_rev_idx

RW UINT32 Revisione del software del modulo di sicurezza pro

gettato

0772 srvc_fsm_dip_val

_std

RO UINT32 Trasmette il valore letto dell'interruttore DIP dopo il

reset sul modulo di sicurezza/modulo interruttore

0773 ioh_fsm_num

_entry_act

RO UINT32 Trasmette il numero di registrazioni nella memoria

Errorlog dell'apparecchio di base

0774 ioh_fsm_num

_entry_max

RO UINT32 Trasmette il numero massimo delle possibili registra

zioni nella memoria Errorlog dell'apparecchio di base

0780 ioh_7seg

ment_fsm_ctrl

RW UINT32 Parola di controllo per il comando del display a 7

segmenti dal modulo di sicurezza.

0781 ioh_7seg

ment_fsm_data

RW UINT32 Comando del display a 7 segmenti dal modulo di

sicurezza

0782 ioh_fsm_mov_vo

ut_0_31

RW UINT32 Stato interno del modulo di sicurezza (64 bit del bus

di sistema) Low-Word (Tab. B.6, VOUT 0 ... 31)

0783 ioh_fsm_mov

_vout_32_63

RW UINT32 Stato interno del modulo di sicurezza (64 bit del bus

di sistema) High-Word (Tab. B.6, VOUT 32 ... 64)

0784 ioh_fsm_mov

_mscfct_rx

RW UINT32 Caratteri ricevuti da FCT. Input da USB, Ethernet.

Seguire l'indice di lettura, FIFO-SYSTEM

0785 ioh_fsm_mov

_mscfct_tx

RW UINT32 Caratteri da inviare a FCT. Output verso USB, Ether

net FIFO-SYSTEM

0786 ioh_fsm_msc

fct_rx_cnt

RO UINT32 Numero caratteri da FCT nel buffer USB, Ethernet

FIFO-SYSTEM

0787 ioh_fsm_msc

fct_tx_cnt

RO UINT32 Numero caratteri dal modulo di sicurezza per FCT nel

buffer USB, Ethernet FIFO-SYSTEM

0788 ioh_fsm_din

_dout

RO UINT32 Lettura degli ingressi digitali del modulo di sicurezza

0789 ioh_fsm_mov

_stat_arb

RW UINT32 Impostazione/lettura della statemachine del modulo

di sicurezza

078B srvc_fsm_act

_gesamt_rev_idx

RO UINT16 --



N. KO DescrizioneUnitàTipoNome

078C ioh_fsm_proj

_gesamt_rev_idx

RW UINT16 --

0790 ioh_fsm_diag_ch0 RW UINT32 Canale di diagnosi del modulo di sicurezza 1: Sele

zione del KO nel modulo di sicurezza







0794 ioh_fsm_dat_ch0 RO UINT32 Canale di diagnosi del modulo di sicurezza 1: Data,

attualizzata in modo dinamico dal modulo di sicurezza







0798 ioh_fsm_log

_entry_0

RW UINT32 Registrazione di una registrazione Log nella memoria

diagnostica del modulo di sicurezza. La scrittura av

viene solo con la terza registrazione

0799 ioh_fsm_log

_entry_1




079 A ioh_fsm_log

_entry_2




079B ioh_fsm_li

mit_speed_upper

RW INT32 Limitazione del valore nominale del numero di giri

limitazione del limite superiore > 0

079C ioh_fsm_limit

_speed_lower

RW INT32 Limitazione del valore nominale del numero di giri

limitazione del limite inferiore ammessa solo < 0

079D ioh_fsm_limit

_torque_upper

RW INT32 Limitazione del valore nominale della coppia limite

superiore ammesso solo > 0

079E ioh_fsm_limit

_torque_lower

RW INT32 Limitazione del valore nominale della coppia limite

inferiore ammesso solo < 0

079F ioh_fsm

_deccelramp

RW INT32 Rampa STOP del modulo di sicurezza

Tab. B.13 Lista degli oggetti di comunicazione importanti nell'apparecchio di base

C Glossario


C Glossario

C.1 Termini e abbreviazioni per la sicurezza tecnica

Termine/Abbreviazione Descrizione

ALF “Additional Logic Function”, funzione logica avanzata. Nessuna funzione di

sicurezza. Permette l'interconnessione logica di ingressi ed uscite interni/e.

Apparecchio di sicurezza Apparecchio per l'esecuzione di funzioni di sicurezza o per la determina

zione di uno stato sicuro della macchina mediante disinserimento dell'ali

mentazione alle funzioni macchina pericolose. La funzione di sicurezza

desiderata viene raggiunta solo in combinazione con altre misure per la

riduzione dei rischi.

Arresto d'emergenza Secondo EN 60204-1: sicurezza funzionale in caso d'emergenza dovuta

all'arresto di una macchina o di parti in movimento.

L'arresto d'emergenza consiste nell'arrestare un movimento che può

portare ad un pericolo.

Cat. Categoria secondo EN ISO 13849-1, livelli 1 ... 4.

CCF Common Cause Failure, errore causa comune secondo EN ISO 13849-1.

DC avg Average Diagnostic Coverage, grado di copertura diagnostico secondo

IEC 61508 e EN 61800-5-2.

FCT Festo Configuration Tool, software per la configurazione e la messa in

funzione.

HFT Hardware Fault Tolerance, tolleranza d'errore hardware secondo

IEC 61508.

Interruzione di emergenza Secondo EN 60204-1: sicurezza elettrica in caso d'emergenza dovuta al

disinserimento dell'energia elettrica in tutta l'installazione o in una parte

della medesima.

Attivare lo interruzione di emergenza se sussiste il rischio di una scossa

elettrica o un altro rischio di origine elettrica.

MTTFd Mean Time To Failure (dangerous): tempo in anni prima che si verifichi la

prima disfunzione pericolosa con il 100 % di probabilità, secondo

EN ISO 13849-1.

OSSD “Output Signal Switching Device”: segnali di uscita con temporizzazione

livello 24 V per rilevazione degli errori.

PFH Probability of Dangerous Failures per Hour, probabilità totale di una di

sfunzione pericolosa per ora secondo IEC 61508.

PL Performance Level secondo EN ISO 13849-1: Livelli a … e.

SBC Safe Brake Control, comando sicuro del freno secondo EN 61800-5-2.

SFF Safe Failure Fraction [%], rapporto dei tassi di disfunzione delle disfun

zioni sicure e pericolose (ma rilevabili) rispetto alla somma di tutte le

disfunzioni secondo IEC 61508.

C Glossario


Termine/Abbreviazione Descrizione

SIL Livello di integrità di sicurezza, livelli discreti per la determinazione delle

richieste sull'integrità di sicurezza delle funzioni di sicurezza secondo

IEC 61508, EN 62061 e EN ISO 13849.

SILCL SIL max. che può essere richiesto da un sottosistema.

SLS Safely-Limited Speed, rispetto valore limite di velocità secondo

EN 61800-5-2.

SOS Safe Operating Stop, arresto operativo sicuro secondo EN 61800-5-2.

SS1 Safe Stop 1, stop sicuro 1 secondo EN 61800-5-2.

SS2 Safe Stop 2, stop sicuro 2 secondo EN 61800-5-2.

SSF “Funzione Safe Speed”, funzioni di sicurezza riunite relative al controllo

ed il comando della velocità.

SSM Safe Speed Monitor, controllo sicuro della velocità secondo

EN 61800-5-2.

SSR Safe Speed Range, intervallo di velocità sicuro secondo EN 61800-5-2.

STO Safe Torque Off, momento disattivato in modo sicuro secondo

EN 61800-5-2.

T Durata d'utilizzo secondo EN ISO 13849-1.

USF “Universal Safety Function”, funzioni di sicurezza riunite.

Tab. C.1 Termini e abbreviazioni

C Glossario


C.2 Termini sul SafetyTool e per la parametrizzazione sicura

Definizione Significato /Funzione

Apparecchio di base Controllore motore come supporto del modulo di sicurezza, qui un CMMP-

AS-…-M3.

Campo di quantizza

zione

Tolleranza tra il valore scritto e il valore letto di un parametro. I valori entro il

limite di quantizzazione possono essere trattati come identici. Il limite di

quantizzazione viene letto dal modulo di sicurezza con accesso ai parametri

di scrittura.

Codice di validazione Contenuto di un oggetto di comunicazione speciale, che viene generato dal

modulo di sicurezza se tutti i parametri sono validati.

Modulo di sicurezza CAMC-G-S3 come modulo ad innesto nell'apparecchio di base, che è respon

sabile per la sicurezza dell'utilizzo dell'attuatore. La parametrizzazione di

questo modulo di sicurezza avviene con il SafetyTool.

Oggetto di comunica

zione

Elemento dati singolo che può essere letto, scritto e validato dal SafetyTool.

Parametrizzazione

offline

Esercizio del SafetyTool senza connessione con l'unità (sulla scrivania)

Parametrizzazione

online

Esercizio del SafetyTool con connessione con il modulo di sicurezza (attraver

so l'apparecchio di base).

Progetto Vedere progetto SafetyTool.

Progetto SafetyTool Il SafetyTool permette all'utente di memorizzare la parametrizzazione pre

sente in modo locale come “Progetto SafetyTool”. Questo file contiene i

parametri come valori di visualizzazione (rispetto al set di parametri sicuro, in

cui vengono salvati i valori dell'unità).

Il progetto SafetyTool può essere trasmesso in una sessione online sul modu

lo di sicurezza. La validazione dei parametri trasmessi deve avvenire uno ad

uno ad opera dell'utente.

Quantizzazione Alcuni parametri vengono quantizzati dal modulo di sicurezza (retinati), ad

es. se il valore deve corrispondere ad un multiplo di un tempo di ciclo.

Con la lettura dal modulo di sicurezza può essere annunciato, in questi casi,

un altro valore rispetto a quello scritto. Attraverso i campi di quantizzazione

determinati non si creano tuttavia divergenze rilevanti.

SCV Safety Condition Violated, condizione di sicurezza violata.

Set di parametri sicuro La somma di tutti i parametri del modulo di sicurezza forma un set di para

metri. Se questo set di parametri contiene un codice di validazione valido,

allora si tratta di un “Set di parametri sicuro”.

Il set di parametri sicuro di un'applicazione si trova quindi sempre in un

modulo di sicurezza pronto. Inoltre può essere letto, incluso il codice di vali

dazione generato dal modulo di sicurezza, con il SafetyTool e memorizzato su

un supporto dati. Viene protetto dalle modifiche con una cifra di controllo.

SFR Safety Function Requested, funzione di sicurezza richiesta.

C Glossario


Definizione Significato /Funzione

Somma di controllo Misura per garantire l'integrità dei dati con trasmissione o salvataggio dei

dati. Dai dati vengono così generate somme di controllo, che dopo una nor

male valutazione garantiscono l'uguaglianza dei dati.

SSR Safe State Reached, stato sicuro raggiunto.

Stato normale sicuro Con parametrizzazione errata o non valida o non complessivamente validata,

il modulo di sicurezza passa allo stato di base sicuro:

– Modulo terminale disattivato

– Unità di bloccaggio o freno di arresto chiusa/o

– Uscite DOUT4x sul modulo di sicurezza disinserite

Termine di prodotto Per la configurazione delle condizioni di commutazione del modulo di sicu

rezza vengono configurate funzioni logiche tra ingressi logici e le uscite vir

tuali e tra le uscite virtuali e le uscite logiche in forma di cosiddetti termini di

prodotto.

Un termine di prodotto è una funzione logica AND con o senza inversione con

massimo 7 ingressi.

Al massimo 4 termini di prodotto possono essere combinati come funzione

logica OR.

I termini di prodotto (funzione logica AND) e funzioni logiche OR vengono

indicati in generale come gate.

Unità di visualizza

zione

Unità in cui vengono visualizzati i rispettivi parametri. Le unità di visualizza

zione desiderate per i valori di posizione, i valori di velocità e di accelerazione

vengono indicate all'avvio del SafetyTool dal programma richiamato.

Valore effettivo Il valore attuale di un parametro nel modulo di sicurezza calcolato nell'unità

di visualizzazione

Valore nominale Il valore di visualizzazione di un parametro indicato dall'utente.

Valore visualizzato Il valore di un parametro calcolato nell'unità di visualizzazione desiderata.

Tab. C.2 Termini sul SafetyTool e per la parametrizzazione sicura

È vietato consegnare a terzi o riprodurre questo documento, utilizzarne il contenuto o renderlo comunque noto a terzi senza esplicita autorizzazione. Ogni infrazione comporta il risarcimento deidanni subiti. Tutti i diritti sono riservati, compreso il diritto di deposito brevetti, modelli registrati o di design.

Copyright:Festo SE & Co. KGPostfach73726 EsslingenGermania

Phone:+49 711 347-0

Fax:+49 711 347-2144

e-mail:[email protected]

Internet:www.festo.com

Original: de

modulo di sicurezza camc-g-s3 · 2020. 8. 2. · camc-g-s3 2 festo – gdcp-camc-g-s3-it – 1406nh...

Documents