(57)【要約】  本発明は、可動コンポーネント（３）を作動させる少なくとも１つの電気機械的駆動ユニット（２）を有する、電気機械的駆動システム（１）を提供する。電気機械的駆動ユニット（２）は、駆動ユニット制御信号（ＤＡ）を受信するための駆動ユニットインターフェース２０と、作動信号（ＡＳ）によって制御されてコンポーネント（３）を作動させる電気機械的モータ（２１）と、安全モジュール（４）と、第１のデータ接続（５１）を介して安全モジュールに接続された位置センサ（５）とを備える。位置センサは、作動させたコンポーネント（３）及び／又はモータ（２１）のコンポーネント（３）及び／又はモータ（２１）位置及び／又は速度を監視（Ｓ１）するように適合され、安全モジュール（４）は、駆動ユニット制御信号（ＤＡ）を受信するための駆動ユニットインターフェース（２０）に接続され、安全モジュールは、第３のデータ接続（４１）を介してモータ制御ユニット（２２）に接続されて、作動速度及び所望のコンポーネント位置などの作動信号（ＡＳ）を、コンポーネント（３）を作動（Ａ）させるためにモータ制御ユニット（２２）に送信する。安全モジュール（４）は、安全機能（ＳＦ）として、休止又は中立位置（ＦＰ）におけるコンポーネント（３）の少なくとも作動（Ａ）を含み、安全モジュール（４）は、位置センサ（５）から受信したセンサデータに基づいて、コンポーネント（３）をその休止若しくは中立位置（ＦＰ）に達するまで作動させ続けるか、又はコンポーネント（３）の作動を停止するかを決定するように構成される。【選択図】図１
2017535879.tif 000002
【特許請求の範囲】
【請求項１】
可動コンポーネント（３）を作動させる少なくとも１つの電気機械的駆動ユニット（２）を有する、電気機械的駆動システム（１）であって、前記電気機械的駆動ユニット（２）が、駆動ユニット制御信号（ＤＡ）を受信するための駆動ユニットインターフェース（２０）と、作動信号（ＡＳ）によって制御されて前記コンポーネント（３）を作動させる電気機械的モータ（２１）と、安全モジュール（４）と、第１のデータ接続（５１）を介して前記安全モジュールに接続され、前記作動させたコンポーネント（３）及び／又はモータ（２１）のコンポーネント（３）及び／又はモータ（２１）位置及び／又は速度を監視する（Ｓ１）ように適合された、位置センサ（５）と、を備え、前記安全モジュール（４）が、前記駆動ユニット制御信号（ＤＡ）を受信するための前記駆動ユニットインターフェース（２０）に接続されており、前記安全モジュールが、第３のデータ接続（４１）を介して前記モータ制御ユニット（２２）に接続されて、作動速度及び所望のコンポーネント位置などの作動信号（ＡＳ）を、前記コンポーネント（３）を作動させる（Ａ）ために前記モータ制御ユニット（２２）に送信し、前記安全モジュール（４）が、安全機能（ＳＦ）として、休止又は中立位置（ＦＰ）にある前記コンポーネント（３）の少なくとも作動（Ａ）を含み、それにより、前記安全モジュール（４）が、前記位置センサ（５）から受信したセンサデータに基づいて、前記コンポーネント（３）をその休止若しくは中立位置（ＦＰ）に達するまで作動を続けるか、又は前記コンポーネント（３）の作動を停止するかを決定するように構成されている、電気機械的駆動システム（１）。
【請求項２】
測定ユニット（２４）が、レゾルバ（２５）のモータ位置及び／又はモータ速度データを使用することによって、前記モータを第１のモードで駆動する前記モータ位置及び／又はモータ速度データを判断するためのレゾルバ（２５）を備え、前記安全モジュール（４）が、前記測定ユニット（２４）によって送達されたデータと、前記位置センサ（５）によって送達されたセンサデータとの間で有効性確認を実施するように適合されており、前記有効性確認が前記位置センサ（５）の誤動作を示している場合、前記安全モジュール（４）が、前記測定ユニット（２４）によって提供されるデータを使用することによって、前記コンポーネント（３）を作動させて、前記休止又は中立位置（ＦＰ）へと至らせる、請求項１に記載の電気機械的駆動システム。
【請求項３】
測定ユニット（２４）が、モータ位置及び／又はモータ速度を判断するためのレゾルバ（２５）を備え、前記安全モジュール（４）が、前記測定ユニット（２４）によって送達されたデータと前記位置センサ（５）によって送達されたセンサデータとの間で有効性確認を実施するように適合されており、前記有効性確認が前記レゾルバ（２５）の誤動作を示している場合、前記安全モジュール（４）が、前記レゾルバ（２５）の入力を使用せずに前記測定ユニット（２５）が前記モータを駆動する第２のモードで前記モータを切り替えることによって、前記コンポーネント（３）を作動させて、前記休止又は中立位置（ＦＰ）へと至らせる、請求項１に記載の電気機械的駆動。
【請求項４】
測定ユニット（２４）が、モータ位置及び／又はモータ速度を判断するためのレゾルバ（２５）を備え、前記安全モジュール（４）が、前記測定ユニット（２４）によって送達されたデータと前記位置センサ（５）によって送達されたセンサデータとの間で有効性確認を実施するように適合されており、前記有効性確認が、前記測定ユニット（２４）からのデータ及び前記位置センサ（２５）のデータのどちらも信頼できないことを示している場合、前記安全モジュール（４）が前記モータを停止する、請求項１に記載の電気機械的デバイス。
【請求項５】
検出されたエラーが前記モータ制御ユニット（２２）の通信及び／又は動作におけるものである場合、前記安全モジュール（４）が、前記モータ制御ユニット（２２）のリセット線に対する直接アクセス（４４）を介して、前記モータ制御ユニット（２２）をリセットする（Ｒ）ように適合されている、請求項１〜４のいずれか一項に記載の電気機械的駆動システム（１）。
【請求項６】
前記安全モジュール（４）が、前記コンポーネント（３）を作動させて前記休止又は中立位置（ＦＰ）へと至らせる場合に、第１の部分では、前記電気機械的モータ（２１）の速度が増加され、第２の部分では、前記電気機械的モータ（２１）の速度が減少されるように、前記電気機械的モータ（２１）に対する速度コマンド（ＡＣ）を修正するように適合されている、請求項１〜５のいずれか一項に記載の電気機械的駆動システム（１）。
【請求項７】
前記安全モジュール（４）上に実装された前記安全機能（ＳＦ）が、前記コンポーネント（３）の位置が許容された位置範囲内にあることを担保する安全限定位置制御機能（ＳＬＰ）、前記作動させたコンポーネント（３）の速度が最大速度を超過しないことを担保する安全限定速度制御機能（ＳＬＳ）、前記コンポーネント（３）が所望の方向へと作動されることを担保する安全方向制御（ＳＤＩ）機能、前記コンポーネント（３）に適用されるトルクがゼロであることを担保する安全トルクオフ制御（ＳＴＯ）機能、前記モータ（２１）のブレーキが適用されることを担保する安全制動制御機能（ＳＢＣ）、及び／又は他の安全機能（ＳＦ）にしたがった停止手順の実行を担保する安全停止制御機能（ＳＳ１）という、１つ以上の安全機能（ＳＦ）を更に含み、前記安全モジュール（４）が前記実装された安全機能（ＦＳ）を実行するように好適に適合されている、請求項１〜６のいずれか一項に記載の電気機械的駆動システム（１）。
【請求項８】
前記安全モジュール（４）が、
前記モータ制御信号（ＭＣＳ）を前記モータ制御ユニット（２２）から受信するＰＷＭブロッカーモジュール（４２）であって、前記安全トルクオフ制御機能（ＳＴＯ）及び／又は前記安全停止制御機能（ＳＳ１）の少なくとも１つを実行することによって、前記モータ制御信号（ＭＣＳ）が、前記ＰＷＭブロッカーモジュール（４２）を前記電力制御ユニット（２３）に向けて通過するのを阻止し、好ましくは、前記ＰＷＭブロッカーモジュール（４２）の出力が０Ｖに設定される、ＰＷＭブロッカーモジュール（４２）、
ブレーキ制御信号（ＢＣＳ）を別のタイプのモータ制御信号（ＭＣＳ）として前記モータ制御ユニット（２２）から受信する制動ブロッカーモジュール（４３）であって、前記安全制動制御機能（ＳＢＣ）及び／又は前記安全停止制御機能（ＳＳ１）の少なくとも１つを実行することによって、前記ブレーキ制御信号（ＢＣＳ）が、前記制動ブロッカーモジュール（４３）を前記電力制御ユニット（２３）に向けて通過するのを阻止し、好ましくは、前記制動ブロッカーモジュール（４３）の出力が０Ｖに設定される、制動ブロッカーモジュール（４３）、のうち少なくとも１つを備える、請求項１〜７のいずれか一項に記載の電気機械的駆動システム（１）。
【請求項９】
前記安全モジュール（４）が、いわゆる心拍信号（ＨＳ）によって、前記モータ制御ユニット（２２）のエラーフリーの通信及び動作を証明するように適合されており、その際、前記モータ制御ユニット（２２）が、適切に動作している場合は所定の方式で前記心拍信号（ＨＳ）に応える、請求項１〜８のいずれか一項に記載の電気機械的駆動システム（１）。
【請求項１０】
前記安全モジュール（４）が、前記作動信号（ＡＳ）を前記モータ制御ユニット（２２）に少なくとも送信するために、好ましくは安全インターフェース（４１ｓ）としてのＦＳバス及び／又はデータインターフェース（４１ｃ）としてのＳＳＩインターフェースを含む、安全カード（４）を前記モータ制御ユニット（２２）に接続する第３のデータ接続（４１）としての、第１のインターフェース（４１）と、前記モータ制御信号（ＭＣＳ）及び／又は前記ブレーキ制御信号（ＢＣＳ）を、前記安全カード（４）を介して前記電力ユニット（２３）に送信する、第２のインターフェース（４５）とを備える、プラグイン安全カードとして配置されている、請求項１〜９のいずれか一項に記載の電気機械的駆動システム（１）。
【請求項１１】
前記位置センサ（５）が、前記安全モジュール（４）に対する前記第１のデータ接続（５１）として、ＩＥＣ  ６１５０８規格に従って開発されたＦＳバスインターフェース（５１）を介して、安全絶対位置及び／又は速度並びに故障状態データを提供する、安全直線又は回転エンコーダであり、好ましくは、作動としての回転のための回転エンコーダの場合、前記位置センサ（５）がＳＩＬ定格のマルチターンエンコーダである、請求項１〜１０のいずれか一項に記載の電気機械的駆動システム（１）。
【請求項１２】
前記電気機械的駆動システム（１）が、少なくとも２つの電気機械的駆動ユニット（２、２’、２”）を備え、他の安全モジュール（４、４’、４”）を始動してアラインされた形で対応する安全機能（ＳＦ）を実行するために、任意の適用された安全機能（ＳＦ）に関する情報を含む情報を少なくとも交換するために、前記電気機械的駆動ユニット（２、２’、２”）の前記安全モジュール（４、４’、４”）が互いに接続されている、請求項１〜１１のいずれか一項に記載の電気機械的駆動システム（１）。
【請求項１３】
前記接続が、好適な双方向インターフェース（６１）、好ましくはＦＳＯＥインターフェースを介して各電気機械的駆動ユニット（２、２’、２”）に接続された、中央ユニット安全カード（６２）を備える中央ユニット（６）を介して確立されて、前記コンポーネントに関する要求された作動及び／又は位置データ（ＤＡ）を、各電気機械的駆動ユニット（２、２’、２”）の前記安全モジュール（４、４’、４”）に送って、対応する作動信号（ＡＳ）を生成し、また、緊急事態において、第１の安全信号（ＦＳ）を前記安全モジュール（４、４’、４”）に送り、前記安全モジュール（４、４’、４”）が、前記第１の安全信号（ＦＳ）に応答して前記第１の安全機能（ＳＦＲ）を実行するように適合されている、請求項１２に記載の電気機械的駆動システム（１）。
【請求項１４】
各安全モジュール（４、４’、４”）が、前記コンポーネント（３）の少なくとも安全位置及び／又は速度データ（ＰＤ）を、対応する安全モジュール（４、４’、４”）から前記中央ユニット（６）に報告するように適合されており、前記中央ユニット安全カード（６２）が、前記報告された安全位置及び／又は速度データ（ＰＤ）を、各アクチュエータ（Ａ）の要求された位置及び／又は速度と比較するように適合されており、不一致がある場合、前記第１の安全信号（ＦＳ）を各安全モジュール（４、４’、４”）に送るように適合されている、請求項１３に記載の電気機械的駆動システム（１）。
【請求項１５】
回転羽根（３）を回転させるための請求項１に記載の電気機械的駆動システムを備える、風力タービン（７）の少なくとも１つの回転羽根（３）、好ましくは全ての回転羽根（３）を回転させるのに適したピッチシステム（７１）であって、前記回転羽根（３）が作動（Ａ）させられる前記コンポーネント（３）であり、前記電気機械的モータ（２１）が、作動（Ａ）として前記回転羽根（３）をその長手方向軸線を中心にして回転させるように適合されており、フェザリング位置（ＦＰ）にある前記回転羽根（３）を回転させる安全フェザリング運転（ＳＦＲ）が前記第１の安全機能（ＳＦＲ）である、ピッチシステム（７１）。
【請求項１６】
前記電気機械的駆動システム（１）が２つ以上の電気機械的駆動ユニット（２、２’、２”）を備え、前記電気機械的駆動ユニット（２、２’、２”）が、好適な双方向インターフェース（６１）、好ましくはＦＳバス若しくはＦＳＯＥインターフェースを介して、各回転羽根（３）に対する各電気機械的駆動ユニット（２、２’、２”）に接続されて、前記回転羽根（３）に対して要求された回転及び／又は位置データを各電気機械的駆動ユニット（２、２’、２”）の前記安全モジュール（４、４’、４”）に送って回転信号を生成し、また、緊急事態の場合に前記安全モジュール（４、４’、４”）にフェザリング信号（ＦＳ）を送って、前記安全モジュール（４、４’、４”）が前記フェザリング信号（ＦＳ）に応答して各回転羽根（３）に対して前記安全フェザリング運転（ＳＦＲ）を実行するように適合されている、中央ユニット（６）を更に備える、請求項１５に記載のピッチシステム（７１）。
【請求項１７】
２つ以上の回転羽根（３）を備える風力タービン（７）であって、各回転羽根（３）が、請求項１５に記載の前記ピッチシステム（７１）の別個の電気機械的モータ（２１）によって回転させられ、前記風力タービン（７）が、各回転羽根（３）を回転させるための位置及び／又は速度コマンド（ＴＣＳ）を前記中央ユニット（６）に送信するように適合された、前記風力タービン（７）のナセル（７３）内に配置されたタービン制御ユニット（７２）を更に備え、前記中央ユニット安全カード（６２）が、各回転羽根（３）の要求された位置としての前記送信された位置及び／又は速度コマンド（ＴＣＳ）を、各安全モジュール（４、４’、４”）によって前記中央ユニット（６）に報告された安全位置及び／又は速度データ（ＰＤ）と比較し、不一致がある場合、前記安全フェザリング運転（ＳＦＲ）を実行するために、前記フェザリング信号（ＦＳ）を各安全モジュール（４、４’、４”）に送るように適合されている、風力タービン（７）。
【請求項１８】
少なくとも１つの電気機械的駆動ユニット（２）を有する、請求項１に記載の電気機械的駆動システムを動作させる方法であって、前記電気機械的駆動ユニット（２）が、コンポーネント（３）を動作させるための前記コンポーネント（３）の作動（Ａ）の信頼性、保全性、及び診断性が安全に関連する、前記可動コンポーネント（３）を作動（Ａ）させる電気機械的モータ（２１）と、前記電気機械的モータ（２１）に電力供給する電力ユニット（２３）と、モータ制御信号（ＭＣＳ）を介して前記電力ユニット（２３）を制御するために前記電力ユニット（２３）に接続されたモータ制御ユニット（２２）と、前記モータ制御ユニット（２２）に接続されて、モータ位置及び／又はモータ速度データを判断し、前記データをモータ信号（ＭＳ）として前記モータ制御ユニット（２２）に送る、測定ユニット（２４）と、前記モータ制御ユニット（２２）及び前記電力ユニット（２３）に接続された安全モジュール（４）と、前記安全モジュール（４）に接続された安全位置センサ（５）と、を備え、前記方法が、
前記安全位置センサ（５）、好ましくは位置エンコーダ（５）による、前記安全性に関連する作動（Ａ）に対する安全要件を満たすのに十分な程度の信頼性及び保全性で、前記作動させたコンポーネント（３）及び／又は前記モータ（２１）のコンポーネント及び／又はモータ位置及び／又は速度を監視するステップ（Ｓ１）と、
位置及び／又は速度データを含む対応するセンサ信号（ＳＳ）を、前記安全位置センサ（５）によって第１のデータ接続（５１）を介して前記安全モジュール（４）に送るステップ（Ｓ２）と、
作動速度及び所望のコンポーネント位置のような作動信号（ＡＳ）を、前記安全モジュール（４）から前記モータ制御ユニット（２２）に、第３のデータ接続（４１）を介して送信するステップ（Ｓ３）と、
前記安全モジュールによる安全機能の実行を可能にするため、前記モータ制御信号（ＭＣＳ）を、前記安全モジュール（４）を介して前記電力ユニット（２３）に送信するステップ（Ｓ４）と、
前記安全モジュール（４）に少なくとも実装された１つ以上の安全機能（ＳＦ）に従って、前記コンポーネント（３）の安全作動（Ａ）を担保するため、前記作動信号（ＡＳ）によってもたらされる前記モータ制御信号（ＭＣＳ）に基づいて、前記電気機械的モータ（２１）によって前記コンポーネントを作動させるステップ（Ｓ５）と、
前記コンポーネントの前記監視された（Ｓ１）位置及び速度を、前記安全モジュール（４）による前記作動信号（ＡＳ）から予測される挙動と比較するステップ（Ｓ６）と、
少なくとも緊急事態において前記安全モジュール（４）によって実行される第１の安全機能（ＳＦＲ）として、前記コンポーネント（３）を休止又は中立位置（ＦＰ）で作動させるステップ（Ｓ７）と、を含む、方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、電気機械的駆動システム、及びかかる駆動システムを動作させる方法、並びにかかる駆動システムをそれぞれ備えるピッチシステム及び風力タービンに関する。
【背景技術】
【０００２】
コンポーネントを作動させなければならない、例えば移動又は回転させなければならない、いくつかの用途がある。コンポーネントの位置及び作動動力学が、デバイス、システム、又は環境上の安全性に大きく影響する場合、コンポーネントは、安全性に関連するコンポーネントであり、その作動は高い保全性及び信頼性をもって実施されなければならない。高い安全要件を満たすような駆動コンポーネントは、診断機能によって裏付けられる系統的誤差及び偶発的な制御誤差を回避するため、慎重に設計し試験しなければならない。安全要件を満たすために、市販の電気機械的駆動部は、コスト集約的な高い機械的精度で製造されたコンポーネントを使用し、追加の高価なフィードバック制御回路及び高価で信頼性の高い制御ソフトウェアを備える、非常に高性能のモータ及びモータ制御ユニットを備える。結果として得られる駆動部コンポーネントは、それに対応して、開発及び設計コストが高く、また製造コストも高い。
【０００３】
ＥＰ２３７２４７８Ａ２によって、モータコントローラ、及びモータに対して電源制御を行うように構成されたモータ制御部を備える安全モジュールであって、安全コントローラが第１及び第２のセンサを管理するものが知られている。安全モジュールは、モータコントローラに付加的に接続される機能拡張部である。モータ駆動システムは、第１のドアを有する第１の安全フェンスに取り囲まれている。第１の安全フェンスは、第２のドアを有する第２の安全フェンスに取り囲まれている。第２のセンサが、第２のドアが開いていることを安全モジュールに知らせた場合、安全モジュールは事前対策としてモータを減速させる。第１のセンサが、第１のドアが開いていることを安全モジュールに知らせた場合、安全モジュールはモータを停止させる。
【０００４】
ＵＳ７，９１１，３３３Ｂ２は、機械の運動監視方法を記載しており、機械は、センサ信号がセンサからコントローラ又は駆動デバイスに送信されるセンサを備え、フェイルセーフコントローラ又は駆動デバイスは、機械の動作を危険な運動から保護するため、３つの独立した監視デバイスを備えている。既知の駆動デバイスは、故障が起こった場合の冗長性を増大させるため、２つの運転停止経路を有する。
【０００５】
同じレベルの安全性を提供し、より低コストで製造することができる、電気機械的駆動部を得ることが望ましいであろう。
【発明の概要】
【０００６】
本発明の目的は、高いレベルの信頼性及び保全性で、安全性に関連するコンポーネントを作動させるための安全要件を満たすと同時に、低コストで簡単に実装可能である、これらのコンポーネントを作動させる駆動システムを提供することである。
【０００７】
この目的は、可動コンポーネントを作動させる少なくとも１つの電気機械的駆動ユニットを有する、電気機械的駆動システムによって解決され、電気機械的駆動ユニットは、駆動ユニット制御信号を受信するための駆動ユニットインターフェースと、作動信号によって制御されてコンポーネントを作動させる電気機械的モータと、安全モジュールと、第１のデータ接続を介して安全モジュールに接続され、作動させたコンポーネント及び／又はモータのコンポーネント及び／又はモータ位置及び／又は速度を監視するように適合された位置センサと、を備え、安全モジュールは、駆動ユニット制御信号を受信するための駆動ユニットインターフェースに接続されており、安全モジュールは、第３のデータ接続を介してモータ制御ユニットに接続されて、作動速度及び所望のコンポーネント位置などの作動信号を、コンポーネントを作動させるためにモータ制御ユニットに送信する。安全モジュールは、少なくとも、安全機能として、コンポーネントの作動を休止又は中立位置で実装している。安全モジュールは、位置センサから受信したセンサデータに基づいて、コンポーネントをその休止若しくは中立位置に達するまで作動させるか、又はコンポーネントの作動を停止するかを決定するように構成されている。
【０００８】
電気機械的駆動システムは、その作動が特定のタイプの作動に限定されない、コンポーネントを作動させる任意のシステムであってもよい。例えば、作動は、１つ以上の方向での直線移動又は回転であってもよく、例えば、直線移動の場合は前方及び／又は後方への移動、あるいは回転の場合は右及び／又は左方向の回転であって、本発明による電気機械的駆動システムは、コンポーネントの作動の信頼性及び保全性が、コンポーネントを動作させるための安全性に関連するものであり、それに対応する診断基準が実施される用途に限定される。これらの境界条件は、少なくとも、コンポーネントの安全な作動を担保する安全モジュール及び位置センサが存在することによって満たされる。この場合、「安全」及び「安全性」という用語は、作動を実施及び／又は制御するのに好適なコンポーネントを示し、それらの作動は、ＩＥＣ６１５０８規格及び／又はＩＥＣ１３８４９規格に従って開発された、安全性に関連する用途に対してかかるシステムを発売するための安全要件を満たす、ある程度の信頼性、保全性、及び診断性をもって実施されなければならない。電気機械的システムを備える風力タービン用のピッチシステムの場合、電気機械的駆動システムは、風力タービンに関するＩＥＣ６１４００規格に従って開発される。それとは対照的に、「従来」という用語は、他の追加のコンポーネントによって支援されなければ、コンポーネントの作動に対する十分な信頼性、保全性、及び診断性を提供する任意の特定の安全規格に適合されない、従来のモータ制御ユニット、従来の電力ユニット、及び従来の測定ユニットなどのコンポーネントを示す。
【０００９】
本発明による電気機械的駆動ユニットは、可動コンポーネントを作動させるための安全要件を満たすが、このユニットは従来のコンポーネントも備えており、本発明による指定の方式で、ここでは安全モジュール及び位置センサである安全コンポーネントと相互作用することによって、電気機械的駆動ユニットの全体的な信頼性、保全性、及び診断性（＝安全性）を提供する。以後、本明細書において、安全モジュールに接続された位置センサは、安全モジュールに直接接続されていることから、安全位置センサと称する。したがって、他の場所に存在することがあるが、安全モジュールに直接は接続されていない、他の位置センサと混同することはないはずである。特定の安全な保全性レベルを達成するため、安全位置センサも上述したような安全要件を満たすことが必要なことがある。
【００１０】
コンポーネントを作動させる電気機械的モータは、任意の好適なモータであってもよい。モータは、電気機械的駆動システムが満たしている安全規格に必ずしも準拠していなくてもよい。電気機械的モータに電力供給する従来の電力ユニットは、モータに電力供給して電気機械的モータに対する電力要件を提供するのに適した任意の電力ユニットであってもよい。一例として、従来の電力ユニットは、増幅器と、インバータと、ゲート駆動部と、モータ及びブレーキに対する最終電力出力部とを備えてもよい。システムに電力供給する電源は、内部電源、例えば電池、又は好適な接続によって電気機械的駆動システムに接続された、外部電源、例えばグリッドであってもよい。従来のモータ制御ユニット及び従来の電力ユニットは、単一の又は組み合わされたＰＣＢ上に配置されてもよい。
【００１１】
従来のモータ制御ユニットは、例えば、コンポーネントの特定の作動が実行されるまで指定の速度でモータを回転させる、この速度を変動させる、モータを減速させる、及び／又はモータを停止させる（モータを制動する）など、モータを作動させる信号を指すモータ制御信号を介して要求された作動又は停止を実行するために、モータを制御するのに適した任意の制御ユニットであってもよい。モータ速度に関するモータ制御信号は、ＰＷＭ信号として出力されてもよく、制動動作に関するモータ制御信号は、ＰＷＭブレーキ制御信号として出力されてもよい。一例として、モータブレーキは、保持用永久磁石ブレーキであってもよい。パルス幅変調（ＰＷＭ）は、変調器信号情報に基づいて、電気パルスの（時間）幅を制御する変調技術である。この変調は主に、電気デバイスに対して、特にモータなどの慣性負荷に対して供給される電力の制御を可能にするのに使用される。
【００１２】
従来のモータ制御ユニットでは、従来のモータ制御ユニットのモータ制御インターフェースは、駆動ユニットインターフェースに直接接続される。したがって、従来の駆動ユニットは、駆動ユニットインターフェースを介して受信した制御信号を駆動して作動信号を形成し、それらがそれぞれ作動信号又は作動コマンドとして、モータ制御ユニットに直接転送される。この概念における安全モジュールは、第２のデータ接続を実際的に形成する駆動ユニットインターフェースに接続されると共に、第３のデータ接続、例えばデータバスを介して従来のモータ制御ユニットに接続される。したがって、安全モジュールは、従来のモータ制御ユニットと要求された入力データを提供するデータソースとの間で中間者デバイスとして作用して、１つ以上の安全機能に従って特定のやり方で特定の位置へのコンポーネントの作動を実行する。データソースは、中央ユニットのような外部データソースであってもよく、それに応答して、作動速度及び所望のコンポーネント位置のような作動信号が、安全モジュールから従来のモータ制御ユニットに送信される。安全モジュール上に実装された安全機能によって、コンポーネントの安全な作動が、作動の信頼性、保全性、及び診断性を担保することが担保される。したがって、安全モジュールは、基準信号、及びそれに対応する、安全位置センサから受信したセンサ信号から判断されるデータと比較することによって、コンポーネントの位置及び／又は速度を監視する。安全モジュールは、安全規則がいずれも侵害されておらず、モータ駆動ユニット又は安全位置センサ自体の誤動作がないことを安全位置センサが示している場合、第２のデータ接続を介して受信した作動コマンドを透過的に第３のデータ接続に渡してもよい。
【００１３】
安全位置センサからのセンサデータを使用して、安全モジュールは、安全位置センサからの情報又はモータ測定ユニットからの情報が信頼できるものであるか、あるいはこれらの情報のどちらも信頼すべきでないかを決定するため、有効性確認を実施することができるようになる。この有効性確認の結果として、安全モジュールは、通常動作を継続するか、緊急事態に入るか、休止若しくは中立位置に達するまでコンポーネントを作動させるか、又は更には、コンポーネントを休止若しくは中立位置まで作動させ続けようとする試みのリスクが高すぎることを有効性確認が提示している場合、コンポーネントを停止させるかを決定してもよい。安全規則が侵害されている場合、又は安全位置センサがエラー信号を介して、自身のセンサ信号を信用できないことを示している場合、安全モジュールは、安全規則の侵害の誤動作の重大性に応じて、自身のデータ駆動ユニットインターフェースを介して受信された制御信号を修正し、修正した信号若しくはコマンドを、第３のデータ接続を介してモータ制御ユニットに送信するか、又は電気機械的モータを即座に停止させる信号若しくはコマンドを生成するかを決定してもよい。モータ制御信号又はモータ制御コマンドの修正は、モータの速度を増加させることも含んでもよい。
【００１４】
位置センサという用語は、工学において一般に知られている用語であり、基本的に、管理されているコンポーネントが基準位置から移動した距離を測定するセンサを説明している。コンポーネントがその基準位置又は初期位置からどこまで変位したかは、位置センサによって、絶対値又は漸増値のどちらかとして感知される。管理されているコンポーネントの運動の関数として、位置センサは、直線位置又は角度位置を測定してもよい。測定された変位の時間を考慮に入れることによって、任意の位置センサのセンサデータを、管理されているコンポーネントの速度情報又は加速度情報に変換できることも良く知られている。これは可逆関数なので、どの速度情報又は加速度情報も、少なくとも１つの基準点が与えられたときの位置を計算するのに使用することができる。したがって、位置センサという用語は、直接又は間接的に（基準点、速度若しくは加速度情報を介して）、作動させたコンポーネントの位置を指示する、全ての種類のセンサを網羅するものとする。
【００１５】
安全位置センサから安全モジュールに送信された位置及び／又は速度データを含むセンサ信号は、作動させたコンポーネントの測定されたコンポーネント位置及び／又は速度に基づいてもよい。代替実施形態では、安全位置センサから送信されるデータは、モータから測定されたデータが安全要件を満たすのに十分な程度の信頼性及び保全性を提供する限り、モータの測定されたモータ位置及び／又は速度に基づいてもよい。ここで、安全位置センサは、モータシャフトに取り付けられてもよく、シャフトの位置及び速度とコンポーネントの位置及び速度との間には直接的な相関がある。いくつかの用途では、作動させたコンポーネントは、例えばギアボックスなどの伝動装置によって、電気機械的モータに間接的に接続されてもよい。伝動装置は、作動させたコンポーネントの速度を増加させるか、又はコンポーネントを作動させるトルクを増加させるのに使用されてもよい。センサ信号は、伝動装置の伝動比を考慮に入れることによって、モータの位置及び／又は速度からコンポーネントの位置及び／又は速度を計算するために、安全モジュールによって更に処理される。
【００１６】
一実施形態では、安全位置センサは位置エンコーダであり、好ましくは、コンポーネントの回転位置をアナログ（例えば、アナログ直交成分）又はデジタル（例えば、デジタル直交成分、３２ビットパラレル、若しくはＵＳＢ）電子信号に変換する安全回転エンコーダ、あるいは同様に、コンポーネントの直線位置を電子信号に変換して、安全モジュールに対する第１のデータ接続としての、ＩＥＣ６１５０８規格に従って開発したＦＳバスインターフェースを介して、安全絶対位置及び／又は速度並びに誤り状態データを提供する、直線エンコーダである。ＦＳバスは、ＩＥＣ６１７８４−３又はそれに対応する追加の規格ＩＥＣ６１７８４−３−ｘに準拠した、任意の安全バスに基づいたデータ通信プロトコルを示す。回転を作動とする回転エンコーダの場合、安全位置センサは、ＳＩＬ定格のマルチターンエンコーダであってもよい。安全位置データによって提供される位置及び／又は速度データはまた、安全位置及び／又は速度データとしても示される。特定の安全度レベルが承認された位置デコーダの一部は、それら自体の適切な機能を管理する。それらの位置センサが誤動作を検出した場合、又はそれらが提供するデータに欠陥がある可能性がある場合、それらのセンサはそれぞれ、エラー信号又はエラーコードを生成する。エラーフリー動作を示すフェイルセーフデバイスが実際にエラーフリーであることは絶対的に保証されるものではないが、統計的アプローチにより、フェイルセーフデバイスのエラーフリー動作は、かかる情報を提供しないセンサよりも信頼できるという結果が示されている。
【００１７】
第１の安全機能は、緊急事態において、休止又は中立位置でコンポーネントを作動させる。この休止又は中立位置は、コンポーネントが損傷を受けず、コンポーネントの周囲の環境がコンポーネントによって、又はコンポーネントの誤動作によって危険に晒されない位置を示す。一例として、風力タービンの場合の第１の安全機能は、回転羽根のフェザリング位置を確立するために、回転羽根を旋回させて風を受けないようにする、安全フェザリング運転（safe feathering run）を示す。
【００１８】
安全モジュールによる安全機能を実行する場合、安全モジュールは、１つ以上のプログラムされた手順の実行、及び／又はプログラムされた手順を実行するために安全モジュールに搭載された半導体コンポーネントの制御が可能な、１つ以上のプロセッサ又はコンピュータチップを備える。安全モジュールの必要なコンポーネントは、プログラムされた手順を実行するために、安全モジュール内のインターフェースを介して、又は電気機械的駆動ユニットの他のコンポーネントに、直接若しくは間接的に接続される。
【００１９】
安全性に関連するコンポーネントを作動させるために提供される電気機械的駆動システムは、高レベルの信頼性、保全性、及び診断性でこれらのコンポーネントを作動させるための安全要件を満たすと同時に、低コストで簡単に実装可能であるが、それは、モータ制御ユニット、電力ユニット、及び測定ユニットなどのモータ及び制御コンポーネントが、製造、試験、及び発売にかかる労力を少なくして、従来のコンポーネントの製造及び実装コストを低下させて実装可能な、従来のコンポーネントとして使用することができるためである。安全機能は、安全モジュール及び安全位置センサという２つのコンポーネントのみに実装されるので、安全な電気機械的駆動ユニットに対する総コストが低減される。これにより、従来のコンポーネントを制御する一般のソフトウェアを使用することができるので、適用されるコンポーネントの開発コストが大幅に低減される。更に、本発明による電気機械的駆動システムは、安全駆動システムを提供し、その際の安全機能は、対応するコンポーネントを現在位置で停止させることのみに限定されず、コンポーネントを現在位置から安全位置まで駆動して、安全な方式でのコンポーネントの移動及び停止の組み合わせを提供することもできる。
【００２０】
一実施形態では、安全モジュールに実装された安全機能は、コンポーネントの位置が許容された位置範囲内にあることを担保する安全限定位置制御機能、作動させたコンポーネントの速度が最大速度を超過しないことを担保する安全限定速度制御機能、コンポーネントが所望の方向へと作動していることを担保する安全方向制御機能、コンポーネントに加えられるトルクがゼロであることを担保する安全トルクオフ制御機能、モータの制動が適用されることを担保する安全制動制御機能、及び／又は他の安全機能にしたがった停止手順の実行を担保する安全停止制御機能のうち１つ以上の安全機能を更に含み、安全モジュールは、実装された安全機能を実行するように好適に適合（若しくは設計）される。安全機能は、安全モジュール内の機能に関連するソフトウェアを実行するプロセッサを備える、好適なハードウェア／ソフトウェアモジュールとして実装される。これらの安全機能を適用して、コンポーネントを、起こり得る全ての状況に対して安全モードで制御することができる。
【００２１】
安全限定位置制御機能は、コンポーネントが既定の位置範囲内に留まるようにコンポーネント位置を監視する。例えば、風力タービンの回転羽根が作動させたコンポーネントである場合、限定位置範囲は０°〜９０°の羽根位置であり、９０°はフェザリング位置を示し、０°は、回転羽根に最大負荷が加えられる位置を示す。安全限定速度制御機能は、コンポーネントを作動させる全てのモードの間、コンポーネントの作動の速度を継続的に監視する。例えば、風力タービンの回転羽根が作動させたコンポーネントである場合、羽根をその長手方向軸線を中心にして回転させる、許容できる最大速度は６°／秒である。安全方向制御機能は、コンポーネントの移動方向、例えば直線移動の場合は前方若しくは後方、又は回転の場合は右又は左の方向を監視する。安全トルクオフ制御機能は、コンポーネントに提供するトルクをゼロにするために、対応するモータ制御信号を阻止することによって電気機械的モータからの電力を除去するものであり、他の安全機能によって、これら他の安全機能の一部として使用することができる。安全制動制御機能は、例えば、ブレーキを係合して、ブレーキの係合を引き起こすために送電を遮断するのに必要な制動のタイプを示唆するために、ブレーキから電力を除去するものであり、他の安全機能によって、これら他の安全機能の一部として使用することができる。安全停止制御機能は、電気機械的モータの減速を開始し、それに続いて、特定の時間遅延後、安全トルクオフ制御機能及び安全制動制御機能の命令適用を開始して、コンポーネントの安全状態を達成してもよく、他の安全機能によって、これら他の安全機能の一部として使用することができる。
【００２２】
更に、少なくとも、安全機能、安全限定位置制御機能、安全限定速度制御機能、及び安全方向制御機能は、コンポーネントの作動の信頼性、保全性、及び診断性を保証するために、既定の故障反応を含んでもよい。安全限定位置制御機能、安全限定速度制御機能、及び／又は安全方向制御機能の故障反応は、第１の安全機能の実行を要求するか、又は駆動システムの動作モードに応じて、安全停止制御機能を要求してもよい。
【００２３】
第１の安全機能、安全限定位置制御機能、安全限定速度制御機能、及び／又は安全停止制御機能などの安全機能を実行するために、安全に関連するコマンド及びデータが、例えば全二重データバスなどの第３のデータ接続を介して、従来のモータ制御ユニットに送られてもよい。
【００２４】
本発明の１つの態様では、電気機械的駆動システムは、レゾルバのモータ位置及び／又はモータ速度データを使用することによって、モータを第１のモードで駆動するためのモータ位置及び／又はモータ速度データを判断するための、レゾルバを有する測定ユニットを備える。安全モジュールは、測定ユニットによって送達されるデータと位置センサによって送達されるセンサデータとの間で、有効性確認を行うように適合される。有効性確認が位置センサの誤動作を示している場合、測定ユニットによって提供されるデータを使用することによって、コンポーネントは安全モジュールによって作動させられて、休止又は中立位置へと至る。
【００２５】
例えば、風力タービンの場合、信用できなくなった位置センサのデータの代わりに、測定ユニットのデータが、羽根位置を監視し推定するのにそれぞれ使用される。推定された羽根位置を用いて、適正な速度コマンドをモータ制御ユニットに対して発行して、回転羽根がフェザリング位置に達するまでモータの動作を継続し、この位置でモータを停止することができる。測定ユニットからのデータによって、モータと回転羽根との間のギアボックスが適切に働いているかをチェックすることはできないが、これは、回転羽根を風に対して完全に露出したままにするリスクに照らして、補助的なものであると見なされる。
【００２６】
本発明の別の態様では、電気機械的駆動部は、モータ位置及び／又はモータ速度を判断するためのリゾルバを有する測定ユニットを備える。安全モジュールは、測定ユニットによって送達されるデータと位置センサ５によって送達されるセンサデータとの間で、有効性確認を行うように適合される。有効性確認がレゾルバの誤動作を示している場合、レゾルバの入力を使用せずに測定ユニットがモータを駆動する第２のモードにモータを切り替えることによって、安全モジュールがコンポーネントを作動させて、休止又は中立位置へと至らせる。
【００２７】
一実施形態では、従来のモータは、モータ位置及び／又はモータ速度データを判断するのに適した従来の測定ユニットを備える。一例として、測定ユニットは、モータ位置及びモータ角度を判断するレゾルバである。測定ユニットからのデータは、モータ信号として、従来のモータ制御ユニットに送信される。利用可能なレゾルバの高分解能を用いて、モータを、本明細書では「通常モード」と呼ばれる第１のモードで、精密に制御することができる。別の実施形態として、従来の測定ユニットは、レゾルバ又は角度を物理的に測定するエンコーダなどのセンサを有さずにモータシャフトの位置が推定されるので、本明細書では「センサレスモード」と呼ばれる第２のモードで、モータ位置及び／又は速度を判断する。その代わりに、固有であるか若しくは意図的に追加することができる、モータの物理的構成における角度依存の特質を使用して、実際のモータ電流を入力として使用してモータの位置及び／又は速度を判断する、例えばカルマンフィルタなどのセルフセンシングリアルタイムアルゴリズムによって、シャフト角が推定される。結果はさほど精密ではないが、休止位置又は中立位置に達するまで緊急動作を継続する目的には十分である。
【００２８】
本発明の別の態様では、電気機械的デバイスは、モータ位置及び／又はモータ速度を判断するためのレゾルバを有する測定ユニットを備える。安全モジュールは、測定ユニットによって送達されるデータと位置センサによって送達されるセンサデータとの間で、有効性確認を行うように適合される。有効性確認が、測定ユニットからのデータ及び位置センサのデータのどちらも信頼できないことを示している場合、安全モジュールはモータを停止する。
【００２９】
それに加えて、電気機械的デバイスのシステムの場合、安全モジュールは、システム内の他の安全モジュールに対して欠陥／故障を知らせる。任意に、他の安全モジュールは、この故障の通知を受信すると、それらのコンポーネントを休止又は中立位置へと作動させてもよい。３つの回転羽根を有する風力タービンの場合、１つの羽根が故障すると、他の２つの羽根がフェザリング位置に何とか達すれば、ロータを停止させることができる。
【００３０】
一実施形態では、安全モジュールは、モータ制御信号を従来のモータ制御ユニットから受信するＰＷＭブロッカーモジュールを備え、安全トルクオフ制御機能及び／又は安全停止制御機能の少なくとも１つを実行すると、モータ制御信号が、ＰＷＭブロッカーモジュールを従来の電力制御ユニットに向けて通過するのを阻止する。従来のモータ制御ユニットからＰＷＭブロッカーモジュールに入力されるＰＷＭモータ制御信号は、ＰＷＭモータ信号の要求に基づいて電力がモータへと切り替えられる、電気機械的モータの標準的な挙動を制御する。ＰＷＭブロッカーモジュールは、この安全機能を実行するために、従来のモータ制御ユニットから来るモータ制御信号をオーバーライドするように適合される。好ましい一実施形態では、この安全機能を実行するために、ＰＷＭブロッカーモジュールの出力は０Ｖに設定される。ＰＷＭブロッカーモジュールに対する安全入力を０Ｖに設定することによって、従来の電力ユニットに対するＰＷＭブロッカーモジュールの出力が０Ｖに設定される。この実施形態により、安全モータ制御ユニットを要することなく、モータを停止する安全機能を簡単にモータ制御信号に実装することができる。
【００３１】
一実施形態では、安全モジュールは、別のタイプのモータ制御信号として、従来のモータ制御ユニットからブレーキ制御信号を受信する制動ブロッカーモジュールを更に備え、安全制動制御機能及び／又は安全停止制御機能の少なくとも１つを実行することによって、ブレーキ制御信号が、制動ブロッカーモジュールを従来の電力制御ユニットに向けて通過するのを阻止する。従来のモータ制御ユニットから制動ブロッカーモジュールに入力されるブレーキ制御信号は、制動信号（及び場合によってはＰＷＭ信号）の要求に基づいて電力がブレーキへと切り替えられる、制動作用を含む電気機械的モータの標準的な挙動を制御する。制動ブロッカーモジュールは、この安全機能を実行するために、従来のモータ制御ユニットから来るモータ制御信号としてのブレーキ制御信号をオーバーライドするように適合される。好ましい一実施形態では、この安全機能を実行するため、制動ブロッカーの出力は０Ｖに設定される。制動ブロッカーモジュールに対する安全入力を０Ｖに設定することによって、従来の電力ユニットに対する制動ブロッカーモジュールの出力が０Ｖに設定される。この実施形態により、安全モータ制御ユニットを要することなく、安全機能を簡単にモータ制御信号に実装することができる。モータ制御信号は、モータを駆動するためのモータ制御信号と、モータを制動するためのブレーキ制御信号とを含む。
【００３２】
安全停止機能を実行する場合、上述の手順は、安全停止機能の一部として安全トルクオフ制御機能及び安全制動制御機能を実行する場合にも当てはまる。更に、第１の安全機能、並びに安全限定位置制御機能、安全限定速度制御機能、及び安全方向制御機能は、これらの安全機能による作動が終了すると、安全トルクオフ制御機能及び安全制動制御機能を実行することを含んでもよい。
【００３３】
本発明の別の態様では、モータ制御ユニットの通信及び／又は動作においてエラーが検出された場合、安全モジュールは、モータ制御ユニットのリセット線に直接アクセスすることによって、モータ制御ユニットをリセットするように適合される。有効性確認が失敗した場合、１つの戦略はモータ制御ユニットをリセットすることである。このリセットは一般的に１秒もかからないので、特に例えば、実際の風の条件が即時的なリスクを示していない場合、リセットを試みる価値はある。リセットにより、電気機械的モータがコンポーネントを作動させて休止又は中立位置に至らせることが可能な場合がある。電気機械的モータのシステムでは、総合的なシステム故障のリスクを低下させて、リセット後に第１の安全機能をシステムの全ての電気機械的モータに送り、それらを安全位置に、即ち休止又は中立位置に付勢することが、良好な戦略であることがある。
【００３４】
本発明の別の態様では、電気機械的駆動システムの安全モジュールは、コンポーネントを作動して休止又は中立位置へと至らせる場合、第１の部分ではモータの速度が増加し、第２の部分ではモータの速度が減少するように、モータに対する速度コマンドを修正するように適合される。
【００３５】
モータの速度の増加を含むコマンドの修正には大きなリスクがあり、通常は回避される。安全位置センサによってもたらされる結果が信頼できるものである限り、このリスクは速度を増加させることの利点に反して緩和され、それにより、作動させたコンポーネントを、リスクが高い位置から損傷のリスクが大幅に低い位置へと至らせることができる。風力タービンの場合、羽根を３０°旋回させて風を受けないようにすることによって、回転羽根によって生じる揚力が大幅に低下する。したがって、羽根を旋回させて風を受けないようにするのが迅速であるほど、風力タービンが安全状態になるのが早くなる。次に、羽根をゆっくりと更に旋回させることができるので、最終位置をより正確に達成することができる。
【００３６】
一実施形態では、安全モジュールは、いわゆる心拍信号によって、従来のモータ制御ユニットのエラーフリーの通信及び動作を証明するように適合され、その際、従来のモータ制御ユニットは、適切に動作している場合は所定の方式で心拍信号に応える。心拍信号の実行は、安全モジュールのカウンタが増分され、値が従来のモータ制御ユニットに送られる次の心拍信号の第１のパラメータに書き込まれる手順を含む。それと並行して、安全モジュールは、タイマーを開始して、従来のモータ制御ユニットとの通信のタイムアウトをチェックする。心拍信号は、例えば第３のデータ接続を介して、従来のモータ制御ユニットに対して周期的に発射され、心拍信号は安全カードとの新しいメッセージ交換を開始する。従来のモータ制御ユニットは、特定のパラメータの値を、第２の特定のパラメータを含むマッピング構成に従って、この第２の特定のパラメータにコピーし、任意にビット単位で反転させて、例えば第３のデータ接続を介して、安全モジュールに返送されるメッセージにする。安全モジュールは、返信されたメッセージから第２のパラメータの値を読み取り、（任意にビット単位で反転された）値がそれ自体のカウンタに等しいかを確認する。安全モジュール内のタイマーが、従来のモータ制御ユニットからのメッセージを読み取る前に時間切れになった場合、又は比較した値がそれ自体のカウンタと異なる場合、故障反応スキームが開始される。故障反応は、第１の安全機能の実行であってもよい。安全モジュールと従来のモータ制御ユニットとの間の通信が適正に働くことにより、安全モジュールから送信された制御コマンドを従来のモータ制御ユニットが実行できることが担保され、それによって、診断手順として、電気機械的駆動システムの信頼性及び保全性の程度が増加する。好ましい一実施形態では、従来のモータ制御ユニットの通信及び／又は動作においてエラーが検出された場合、安全モジュールは、他の故障反応を開始する前に最初に実行される故障反応として、従来のモータ制御ユニットのリセット線に直接アクセスすることによって、従来のモータ制御ユニットをリセットするように適合される。過去の診断手順によって得られるこの基準により、電気機械的駆動システムの信頼性及び保全性の程度を更に改善するために、安全モジュールが、モータ制御ユニットを再び適切に働かせることができる。作動システムを再確立することによって、コンポーネントの緊急作動を単に実行するのに比べて、コンポーネントの通常動作を継続することを可能にする、改善された解決策がもたらされる。
【００３７】
一実施形態では、安全モジュールは、作動信号を従来のモータ制御ユニットに少なくとも送信するために、安全カードを従来のモータ制御ユニットに接続する第３のデータ接続としての、第１のインターフェースと、モータ制御信号及び／又はブレーキ制御信号を別のタイプのモータ制御信号として、安全カードを介して従来の電力ユニットに送信する、第２のインターフェースとを備える、プラグイン安全カードとして配置される。これらの実施形態は、開発、製造、及びコンポーネントのコストを節約するために、異なる用途に適用可能なプラグイン解決策において、従来のコンポーネントの配線とは別個に安全に関連する回路を開発する可能性を提供する。好ましい一実施形態では、第１のインターフェースは、このデータ転送を実行するため、安全インターフェースとしてのＦＳバス、及び／又は従来のデータインターフェースとしてのＳＳＩインターフェースを備える。ここで、第１のインターフェースは、チェックサムアルゴリズムのような安全基準が実装された従来のＳＳＩインターフェースであってもよく、又は安全インターフェースであるか、若しくは安全インターフェースと従来のインターフェースの組み合わせとして配置されてもよい。このデータ接続を介して、従来のモータ制御ユニットは、作動信号の実行に対するフィードバックを提供するために、モータの非安全速度及び位置データ、並びにモータ温度フィードバック及び状態データを、安全モジュールに送信してもよい。ここで、安全カードは、実装された安全機能を実行するために必要なハードウェア及びソフトウェアコンポーネントを備えるプリント回路基板を示す。安全カード及びモータ制御ユニットは、安全ハウジング内に配置されてもよい。代替実施形態では、安全カード及び少なくとも従来のモータ制御ユニットは、同じプリント回路基板上に配置される。好ましい一実施形態では、第１のインターフェースは、ＩＥＣ６１７８４−３又はそれに対応する追加の規格ＩＥＣ６１７８４−３−ｘに準拠した、任意のデータ通信プロトコルを指すＦＳバスであり、好ましくは、ＩＥＣ６１５０８規格に従った安全プロトコルが実装されたインターフェースを示す、ＦＳＯＥ（ＥｔｈｅｒＣａｔ）又はＰｒｏｆｉＳａｆｅ（ＰｒｏｆｉＮｅｔ）バスである。
【００３８】
更なる実施形態では、電気機械的駆動システムは、少なくとも２つの電気機械的駆動ユニットを備え、他の安全モジュールを起動して対応する安全機能をアラインされた形で実行するために任意の適用された安全機能に関する情報を含む情報を少なくとも交換するために、電気機械的駆動ユニットの安全モジュールは互いに接続される。電気機械的駆動ユニットの数は、特定の用途に応じて決まる。より複雑な用途では、特に特定の形で相互作用する場合の異なるコンポーネントの作動は、例えば、それぞれ別個に加速（風力の場合）又は装荷（船用プロペラの場合）されるが、プロペラとして同じ回転軸に機械的に接続された、風力タービン又は船用プロペラの複数の回転羽根は、全体的に効率的で安全なシステムを提供するために、別個の作動を整列させる必要がある。この整列は、情報を交換するために互いに接続された電気機械的駆動ユニットの場合に可能である。
【００３９】
好ましい一実施形態では、接続は、好適な双方向インターフェースを介して各電気機械的駆動ユニットに接続されて、コンポーネントに関して要求された作動及び／又は位置データを、対応する作動信号を生成するために各電気機械的駆動ユニットの安全モジュールに送り、また緊急事態において、少なくとも第１の安全信号を、第１の安全信号に応答して第１の安全機能を実行するように適合された安全モジュールに送る、中央ユニット安全カードを備える中央ユニットを介して確立される。中央ユニット安全カードは、１つ以上の安全機能が実装されたコンポーネントの配置を示す。中央ユニット安全カードは、１つ以上のプログラムされた手順の実行、及び／又はプログラムされた手順を実行するために中央ユニットの安全カードに搭載された半導体コンポーネントの制御が可能な、１つ以上のプロセッサ又はコンピュータチップを備えてもよい。中央ユニット安全カードは、プログラムされた手順を実行するために、安全モジュール内のインターフェースを介して、直接若しくは間接的に接続されてもよい。好ましい一実施形態では、双方向インターフェースはＦＳＯＥ（ＥｔｈｅｒＣａｔ）インターフェースである。通常動作の下では、中央ユニット、好ましくは中央ユニット安全カードは、アラインされた形でコンポーネントの作動を実行するために、各電気機械的駆動ユニットの安全モジュールを介して、従来のモータ制御ユニットに対する速度コマンドを発行してもよい。第１の安全信号などの安全コマンドを電気機械的駆動ユニットに送るのが可能であることにより、本発明によるシステムに対する追加の安全に関する機能性が提供され、システムの全体的状況を考慮することができる中央レベルでは、併せて考慮した場合に緊急事態であることがあり、駆動ユニットレベルのみにおいてシステムの同じ状況を考慮した場合は、そうでない場合がある。各電気機械的駆動ユニットの安全モジュールは、この場合に管理している中央ユニットから受信した第１の安全信号に応答して、第１の安全機能を少なくとも実行する。別個の安全モジュールは、一実施形態では、中央ユニットに対する通信接続が失われた場合、又は中央ユニット内部のエラーがある場合に、第１の安全機能を実行することもできる。ここで、安全モジュールは、従来のモータ制御ユニットと中央ユニットとの間の中間者デバイスである。別の実施形態では、中央ユニットは、安全に関連する機能の少なくとも一部（例えば、第１の安全機能）を実行する中央ユニット安全カードと、要求された作動及び／又は位置データをコンポーネントに送る中央ユニット制御カードとを備えてもよい。中央ユニット安全カードは、電気機械的駆動ユニットの安全モジュールに対して追加のコンポーネントであり、１つの電気機械的駆動ユニットが第１の安全機能を実行している場合、中央ユニット安全カードが他の電気機械的駆動ユニットの他の全ての安全モジュールに、第１の安全機能の実行にも反応するように要求することを担保する、コーディネータとして作用する。中央ユニット安全カードはまた、第１の安全機能を実行するという要求を、中央ユニットから全ての電気機械的駆動ユニットに拡散するように作用する。
【００４０】
別の実施形態では、各安全モジュールは、コンポーネントの少なくとも安全位置及び／又は速度データを、安全モジュールから中央ユニットに報告するように適合され、中央ユニット安全カードは、報告された安全位置及び／又は速度データを、各アクチュエータの要求された位置及び／又は速度と比較するように適合され、不一致がある場合、第１の安全信号を各安全モジュールに送るように適合される。これにより、中央ユニットが、電気機械的駆動ユニットによって作動させたコンポーネントの要求された位置と、安全位置センサによって測定され、対応する安全モジュールを介して中央ユニットに報告された現在位置との間で、有効性確認を実行することが可能になる。中央ユニット安全カードに加えて中央ユニット制御カードを備える中央ユニットの場合、有効性確認は中央ユニット安全カードに対して実施される。安全位置又は速度データは、安全位置センサから受信した位置又は速度データを示す。
【００４１】
本発明は更に、回転羽根を回転させるための本発明による電気機械的駆動システムを備える、風力タービンの少なくとも１つの回転羽根、好ましくは全ての回転羽根を回転させるのに適したピッチシステムに関し、回転羽根は作動させられるコンポーネントであり、電気機械的モータは、作動として回転羽根をその長手方向軸線を中心にして回転させるように適合され、フェザリング位置にある回転羽根を回転させる安全フェザリング運転は、第１の安全機能である。「ピッチシステム」という用語は、風力タービンの回転羽根をその長手方向軸線を中心にして回転させるのに適した任意のシステムを示す。風力タービンのピッチシステムは、第一に、風速がタービンの定格値を上回ると、タービン速度及び電力制御のためのアクチュエータとして働き、第二に、風力タービンを制動する作動システムとして作用するという、２つの基本的機能を満たさなければならない。「安全フェザリング運転」という用語は、風力タービンの停止手順を示し、全て又は少なくとも十分な数の回転羽根を、風が特定の回転羽根に対して加速力を加えず、また手順の間の全ての構造部品に対する負荷が分配され均衡される、フェザリング位置へと移動させなければならない。フェザリング位置に達するために、回転羽根を同期させて風を受けないように移動させる。フェザリング運転では、風によって回転羽根に加えられる力が、あらゆる適用可能な電気機械的制動システムの制動力を上回るので、それによってのみ風力タービンを停止させることができる。
【００４２】
一実施形態では、電気機械的駆動システムは２つ以上の電気機械的駆動ユニットを備え、これは更に、好適な双方向インターフェース、好ましくはＦＳバス若しくはＦＳＯＥインターフェースを介して、各回転羽根に対する各電気機械的駆動ユニットに接続されて、回転羽根に対して要求された回転及び／又は位置データを各電気機械的駆動ユニットの安全モジュールに送って回転信号を生成し、また、緊急事態の場合に安全モジュールにフェザリング信号を送って、安全モジュールがフェザリング信号に応答して各回転羽根に対して安全フェザリング運転を実行するように適合される、中央ユニットを備える。好ましい一実施形態では、中央ユニットは、装荷されたロータをフェザリング位置（若しくは状態）へと移動するために、３つの回転羽根を備える風力タービンの場合は３つの回転羽根のうち少なくとも２つに対して、又は２つの回転羽根を備える風力タービンの場合は２つの回転羽根のうち少なくとも１つに対して、安全フェザリング運転を実行するように適合される。これはつまり、１つの電気機械的駆動ユニットが、その特定の回転羽根に対して安全フェザリング運転を実行できない故障の場合に、中央ユニットを介して安全に管理することができ、安全フェザリング運転を実行している他の回転羽根が、安全フェザリング運転を実行できない１つの回転羽根の作用を補償するのに関与している回転羽根に適合されることによって、ロータの安全な停止がもたらされることを意味する。一実施形態では、電気機械的駆動ユニットによる故障反応を実行する場合、故障は、電気機械的駆動ユニットの対応する安全モジュールによって中央ユニットに報告される。報告される故障は、安全フェザリング運転を実行することができないという故障であってもよい。
【００４３】
本発明は更に、２つ以上の回転羽根を備え、各回転羽根が、本発明によるピッチシステムの別個の電気機械的モータによって回転させられる、風力タービンに関する。
【００４４】
一実施形態では、風力タービンは、各回転羽根を回転させるための位置及び／又は速度コマンドを中央ユニットに送信するように適合された、風力タービンのナセル内に配置されたタービン制御ユニットを更に備え、中央ユニット安全カードは、各回転羽根の要求された位置としての送信された位置及び／又は速度コマンドを、各安全モジュールによって中央ユニットに報告された安全位置及び／又は速度データと比較し、不一致がある場合、安全フェザリング運転を実行するために、フェザリング運転信号を各安全モジュールに送るように適合される。風力タービンは、塔の垂直軸を中心にして回転することができる、塔の頂部にあるナセルを備える塔を備える。ナセルは水平回転軸を更に備え、ロータは、水平回転軸を中心にして回転するハブを備えると共に、水平回転軸に対して本質的に垂直なハブに装着された回転羽根によって加速又は減速される。タービン制御ユニットは、タービンを全体的に制御し、グリッドに接続される。中央ユニットに対する接続は、ＦＳバス又はＦＬＤバスを介して確立されてもよく、ＦＬＤバスは、風力タービンの回転部としてロータ内に配置されたピッチシステムに対するスリップリング接続を介した、ＰｒｏｆｉＢｕｓ又はＣＡＮなど、任意のリアルタイムの産業用Ｅｔｈｅｒｎｅｔ又は産業用のフィールドバスに基づくデータ接続プロトコルを示す。ＦＳバスと共に使用した場合、例えば、ＦＳＯＥを用いたＥｔｈｅｒＣａｔ又はＰｒｏｆｉＳａｆｅを用いたＰｒｏｆｉＮｅｔ（ＰｒｏｆｉＢｕｓ）など、ＦＬＤバスは、そのＦＳバスを支援することができる。一実施形態では、タービン中央ユニットとピッチシステムの中央ユニットとの通信は、位置及び／又は速度コマンド並びに第１の安全機能の要求された実行を中央ユニットに安全に通信するため、ＦＳバスを用いたＦＬＤバスを介して確立されてもよい。別の実施形態では、タービン中央ユニットとピッチシステムの中央ユニットとの通信は、位置及び／又は速度コマンドの通信のための非安全ＦＬＤバスを介して、また、中央ユニットに対して第１の安全機能の実行を要求する手段として確立された安全なチェイン入力接続を介して確立されてもよい。第１の安全運転を要求する安全なチェイン入力は、０Ｖに設定された値であってもよい。
【００４５】
別の実施形態では、中央ユニットは、回転羽根の現在の角度／位置と、２つ以上の回転羽根の（風に対する）現在の角度位置間の偏差を検出した場合との違いを比較するように適合され、中央ユニットは、違いが特定の予め定められた限界を超えた場合に、安全フェザリング運転の実行を合図（命令）する第１の安全信号として、フェザリング信号を発行する。
【００４６】
本発明は更に、少なくとも１つの電気機械的駆動ユニットを有する、本発明による電気機械的駆動システムを動作させる方法に関し、電気機械的駆動ユニットが、コンポーネントを動作させるためのコンポーネントの作動の信頼性、保全性、及び診断性が安全に関連する、可動コンポーネントを作動させる電気機械的モータと、電気機械的モータに電力供給する従来の電力ユニットと、モータ制御信号を介して従来の電力ユニットを制御するために従来の電力ユニットに接続された従来のモータ制御ユニットと、従来のモータ制御ユニットに接続されて、モータ位置及び／又はモータ速度データを判断し、これらのデータをモータ信号（ＭＳ）として従来のモータ制御ユニットに送る、従来の測定ユニットと、従来のモータ制御ユニット及び従来の電力ユニットに接続された安全モジュールと、安全モジュールに接続された安全位置センサとを備え、
安全位置センサ、好ましくは位置エンコーダによる、安全性に関連する作動に対する安全要件を満たすのに十分な程度の信頼性及び保全性で、作動させたコンポーネントのコンポーネント位置及び／又は速度を監視するステップと、
位置及び／又は速度データを含む対応するセンサ信号を、安全位置センサによって第１のデータ接続を介して安全モジュールに送るステップと、
作動速度及び所望のコンポーネント位置のような作動信号を、安全モジュールから従来のモータ信号ユニットに、第３のデータ接続を介して送信するステップと、
安全モジュールによる安全機能の実行を可能にするため、モータ制御信号を、安全モジュールを介して従来の電力ユニットに送信するステップと、
安全モジュールに少なくとも実装された１つ以上の安全機能に従って、コンポーネントの安全作動を担保するため、作動信号によってもたらされるモータ制御信号に基づいて、電気機械的モータによってコンポーネントを作動させるステップと、
コンポーネントの監視された位置及び速度を、安全モジュールによる作動信号から予測される挙動と比較するステップと、
少なくとも緊急事態において安全モジュールによって実行される第１の安全機能として、コンポーネントを休止又は中立位置で作動させるステップと、を含む。
【図面の簡単な説明】
【００４７】
本発明の上述及び他の態様はまた、図面を参照した後で、本明細書に記載される本発明の実施形態を参照することによって、明白になると共に明瞭になるであろう。
【図１】本発明による電気機械的駆動システムの一実施形態を示す図である。
【図２】中央ユニットを備える、本発明による電気機械的駆動システム（又はピッチシステム）の別の実施形態を示す図である。
【図３】こしょう反応に関連する電気機械的駆動システムの別の実施形態を示す図である。
【図４】本発明による風力タービンの一実施形態を示す図である。
【図５】本発明による電気機械的駆動システムを動作させる方法を示す図である。
【発明を実施するための形態】
【００４８】
図１は、駆動ユニット制御信号ＤＡを受信するための駆動ユニットインターフェース２０と、従来の電力ユニット２３が電力供給する電気機械的モータ２１と、従来の電力ユニット２３に接続され、モータ制御信号ＭＣＳを介して従来の電力ユニット２３を制御する、従来のモータ制御ユニット２２と、従来のモータ制御ユニット２２に接続されて、モータ位置及び／又はモータ速度データを判断し、これらのデータをモータ信号ＭＳとして従来のモータ制御ユニット２２に送る、従来の測定ユニット２４とを備える、安全性に関連する可動コンポーネント３を作動させる１つの電気機械的駆動ユニット２によって確立される、本発明による電気機械的駆動システム１の一実施形態を示している。この目的のため、測定ユニット２４は、モータシャフトに取り付けられた、モータ位置及びモータ角度を判断するためのレゾルバ２５を備える。この実施形態では、選択されたレゾルバ２５は、モータシャフトの丸一回転当たり１６ビットの高分解能を提供する。したがって、電気モータ２１を、本明細書では「通常モード」と呼ばれる第１のモードで精密に制御することができる。あるいは、従来の測定ユニット２４は、本明細書では「センサレスモード」と呼ばれる第２のモードで、モータ位置及び／又は速度を判断するように構成される。センサレスモードでは、モータシャフトの位置は、レゾルバ２５を使用せずに推定される。その代わりに、固有であるか若しくは意図的に追加することができる、モータの物理的構成における角度依存の特質を使用して、実際のモータ電流を入力として使用してモータの位置及び／又は速度を判断する、例えばカルマンフィルタなどのセルフセンシングリアルタイムアルゴリズムによって、シャフト角が推定される。結果は、高分解能のレゾルバ２５を使用した場合ほど精密ではないが、モータを動作させるのには十分である。動作モードは安全モジュール４によって要求することができる。
【００４９】
コンポーネント３の安全作動Ａを提供する信頼性、保全性、及び診断性は、この実施形態では差込み式安全カードとして配置される安全モジュール４と、安全位置センサ５とによって達成され、安全位置センサ５は、安全性に関連する作動のための安全要件を満たすのに十分な程度の信頼性、保全性、及び診断性で、作動されたコンポーネント３のコンポーネント位置及び／又は速度を監視（Ｓ１）し、第１のデータ接続５１を介して安全モジュール４に接続されて、位置及び／又は速度データを含む対応するセンサ信号ＳＳを安全モジュール４に送る。安全位置センサ５は、安全モジュール４に対する第１のデータ接続５１として、ＩＥＣ６１５０８規格に従って開発されたＦＳバスインターフェース５１を介して、安全絶対位置、速度、及び故障状態データを提供する、安全直線又は回転エンコーダであってもよい。回転を作動とする回転エンコーダの場合、安全位置センサ５は、ＳＩＬ定格のマルチターンエンコーダであってもよい。代替実施形態では、安全位置センサ５から送信されるセンサ信号ＳＳは、モータ２１から測定されたデータが、安全要件を満たすのに十分な程度の信頼性及び保全性を提供する限り、モータ２１の測定されたモータ位置及び／又は速度に基づいてもよい。モータ位置及び／又は速度データの測定は、モータ２１から安全位置センサ５に向かう、破線の矢印Ｓ１によって示されている。安全位置センサ５は、モータシャフト（ここでは詳細に図示されない）に取り付けられてもよく、その場合、シャフトの位置及び速度とコンポーネントの位置及び速度とが直接相関している。あるいは、安全位置センサ５は、ギアボックス（図示なし）の出力側に取り付けられてもよく、その場合、ギアボックスの入力側に連結されたモータシャフトと、ギアボックスの出力シャフトとは間接的に相関する。ギアボックスの小歯車は、風力タービンの羽根を回転させる、冠歯車又は環状歯車（図示なし）を駆動してもよい。位置センサ５を、ギアボックスの出力側、ギアボックスの小歯車、冠歯車、又は環状歯車に取り付けることは、安全位置センサ５によってギアボックスの適切な機能又は回転羽根の回転を管理することが可能になるという利点を有する。しかしながら、モータ速度と回転羽根の回転速度との相関は、ギアボックス内の歯車及び他の伝動コンポーネントの遊び／バックラッシによって曖昧になる場合がある。
【００５０】
センサ信号ＳＳは、モータの位置及び／又は速度からコンポーネントの位置及び／又は速度を計算するために、安全モジュール４によって更に処理される。第２のデータ接続４０を介して、安全モジュール４はデータ駆動ユニットインターフェース２０に接続される。安全モジュール４は、第３のデータ接続４１を介して従来のモータ制御ユニット２２に更に接続されて、作動速度及び所望のコンポーネント位置のような作動信号ＡＳを、従来のモータ制御ユニット２２に送信して、安全モジュール４に少なくとも実装された１つ以上の安全機能ＳＦに従ってコンポーネント３を作動させて（Ａ）、コンポーネント３の安全な作動を担保し、その場合、第３のデータ接続４１は第１のインターフェース４１を備え、好ましくは、安全インターフェース４１ｓとしてのＦＳバス、及び／又は従来のデータインターフェース４１ｃとしてのＳＳＩインターフェースを備える。従来のモータ制御ユニット２２が作動信号ＡＳを実際に受信することを担保するために、安全モジュール４は、いわゆる心拍信号ＨＳによって、従来のモータ制御ユニット２２のエラーフリーの通信及び動作を証明するように適合され、その際、従来のモータ制御ユニット２２は、適切に動作している場合は所定の方式で心拍信号ＨＳに応える。検出されたエラーが、従来のモータ制御ユニット２２に対する通信及び／又はその動作におけるものである場合、安全モジュール４は、従来のモータ制御ユニット２２のリセット線に対する直接アクセス４４を介して、従来のモータ制御ユニット２２をリセットする（Ｒ）。実施されたリセット（Ｒ）によって、第１の安全機能ＳＦＲが即座に実行されることがある。あるいは、安全モジュール４は、リセットが失敗した場合又は所定数のリセット失敗後にのみ、第１の安全機能ＳＦＲを引き起こすように構成されてもよい。
【００５１】
安全モジュール４は、コンポーネント３の監視された位置及び／又は速度と、作動信号ＡＳから予測される挙動とを比較し、安全モジュール４を介して従来の電力ユニット２３に送信されるモータ制御信号ＭＣＳを制御する。したがって、安全モジュール４は、モータ制御信号ＭＣＳを従来のモータ制御ユニット２２から受信するＰＷＭブロッカーモジュール４２を備え、安全トルクオフ制御機能ＳＴＯ及び／又は安全停止制御機能ＳＳ１の少なくとも１つを実行することによって、モータ制御信号ＭＣＳが、ＰＷＭブロッカーモジュール４２を従来の電力管理ユニット２３に向けて通過するのを阻止し、好ましくは、ＰＷＭブロッカーモジュール４２の出力は０Ｖに設定される。安全モジュール４は、ブレーキ制御信号ＢＣＳを従来のモータ制御ユニット２２からの別のタイプのモータ制御信号ＭＣＳとして受信する制動ブロッカーモジュール４３を更に備え、安全制動制御機能ＳＢＣ及び／又は安全停止制御機能ＳＳ１の少なくとも１つを実行することによって、ブレーキ制御信号ＢＣＳが、制動ブロッカーモジュール４３を従来の電力管理ユニット２３に向けて通過するのを阻止し、好ましくは、制動ブロッカーモジュール４３の出力は０Ｖに設定される。
【００５２】
安全機能ＳＦは、少なくとも緊急事態で安全モジュール４によって実行される第１の安全機能ＳＦＲ並びに、コンポーネント３の位置が特定の許容された位置範囲内にあることを担保する、安全限定位置制御機能ＳＬＰ、作動されたコンポーネント３の速度が最大速度を超過しないことを担保する安全限定速度制御機能ＳＬＳ、コンポーネント３が所望の方向へと作動していることを担保する安全方向制御ＳＤＩ機能、コンポーネント３に加えられるトルクがゼロであることを担保する安全トルクオフ制御ＳＴＯ機能、制動が適用されることを担保する安全制動制御機能ＳＢＣ、及び他の安全機能ＳＦにしたがった停止手順の実行を担保する安全停止制御機能ＳＳ１としての、休止又は中立位置ＦＰにおけるコンポーネント３の作動Ａを含む。したがって、この実施形態では、安全停止制御機能ＳＳ１はまた、例えば第１の安全機能ＳＦＲの一部として、第１のインターフェース４１を介して、モータ２１を減速するように従来のモータ制御ユニット２２にアドバイスするために、第１のインターフェース４１にも接続される。この実施形態では、安全モジュール４は、従来のモータ制御ユニット２２と要求された入力データを提供する外部のデータソースＥＤＳとの間で中間者デバイスとして作用して、１つ以上の安全機能ＳＦに従って特定のやり方で特定の位置へのコンポーネントの作動を実行し、それに応答して、作動速度及び所望のコンポーネント位置のような作動信号ＡＳが、安全モジュール４から従来のモータ制御ユニット２２に送信される。一例として、データソースは、図２に示されるような中央ユニット６であってもよい。安全モジュール４は、これらの実装された安全機能ＦＳを実行するように適合され、したがって、プログラムされた手順の実行、及び／又はプログラムされた手順を実行するために安全モジュール４に搭載された半導体コンポーネント制御が可能な、１つ以上のプロセッサ又はコンピュータチップを備える。安全モジュール４の必要なコンポーネントは、プログラムされた手順を実行するために、安全モジュール４のインターフェースを介して電気機械的駆動ユニット２の他のコンポーネントに、直接若しくは間接的に接続される。これらの詳細は図１には明示されていない。
【００５３】
安全モジュール４は、測定ユニット２４によって送達されるデータ、及び安全位置センサ５によって送達されるセンサデータの有効性確認を実施するように適合される。有効性確認が、測定ユニットからのデータ又は位置センサからのデータのどちらも信頼できないことを示している場合、例えば、測定ユニットの報告された速度が安全位置センサ５によって検出された速度よりも著しく低いか若しくは高い場合、モータシャフトにおいて直接測定される速度の相関が不完全であり、ギアボックスの出力側にある安全位置センサから間接的に計算されることのマージンを考慮に入れて、安全モジュール４は、レゾルバ２５又は安全位置センサ５という２つのセンサのうちどちらをより信頼するかを決定しなければならない。
【００５４】
選択された安全位置センサ５が、安全位置センサ５の恒久的自己試験が誤動作を検出すると放出されるエラー信号を提供するものである場合、かかるエラーコードが安全モジュール４によって受信されないと、安全モジュールは、安全位置センサ５から導き出される速度情報を、レゾルバ２６から導き出される速度情報よりも優先する。当業者であれば、報告される速度の量を考慮に入れるなど、追加の妥当性試験が適用されてもよいことを認識するであろう。安全位置センサ５から導き出された速度が、技術的に可能である速度よりもはるかに高速である場合、安全モジュール４は、レゾルバ２５によって提供される速度情報を信用するか、又は両方の速度情報を信用しないと決定してもよい。
【００５５】
有効性確認が安全位置センサ５の誤動作を示している場合、安全モジュールは、第１のＳＦＲを開始して、リゾルバ−２５によって提供される位置データ／速度データを使用することによって、回転羽根を電気モータ２１によって作動してフェザリング位置へと至らせる。この場合、安全モジュール４は、回転羽根の位置をそれぞれ監視し推定するため、信用できなくなった位置センサによって提供されるデータの代わりに、測定ユニット２４によって提供されるデータを使用する。推定された回転羽根位置を用いて、適正な速度コマンドをモータ制御ユニット２１に対して発行して、回転羽根がフェザリング位置に達するまで電気モータ２１の動作を継続し、モータをこの位置で停止することができる。測定ユニットからのデータは、モータと回転羽根との間のギアボックスが適切に働いているかをチェックすることができないが、これは、回転羽根を風に対して完全に露出したままにするよりもリスクが低いものと見なされる。
【００５６】
有効性確認がレゾルバ２５の誤動作を示している場合、安全モジュールは、モータを通常の動作モードから、レゾルバ２５の入力を使用せずに測定ユニットがモータを駆動するセンサレス動作モードへと切り替えることによって、コンポーネントを作動させてフェザリング位置へと至らせる。有効性確認が、測定ユニットからのデータ又は位置センサからのデータのどちらも信頼できないことを示している場合、安全モジュールは即座にモータを停止させる。モータユニット２１に対して示された速度をゼロに修正することに加えて、モータの停止が安全モジュール４の誤動作によって阻害されることを担保するために、安全モジュール４はまた、ＰＷＭブロッカーを起動して、電気モータ２１が信頼性高く停止されることを担保してもよい。
【００５７】
上述したように、安全モジュール４は、コマンドを作動信号ＡＳとして従来のモータ制御ユニット２２に転送する前に、駆動ユニットインターフェース２０で受信される要求された作動コマンドＤＡとして、受信された速度コマンドを修正してもよい。例えば、回転羽根を作動してフェザリング位置へと至らせる、第１の安全機能を実行する場合、安全モジュール４は、第１の部分では、電気機械的モータ２１の速度を増加させるように、第２の部分では、要求された速度が維持されるように、第３の部分では、回転羽根が最終位置に接近すると、モータの速度が減少されるように、コマンドを修正する。持続時間、実際の速度増加、及び減少の特定の情報は、様々な因子のうち２つを挙げると、風力タービンの寸法、及び電気機械的モータ２１の電気機械的特性に依存する。当業者であれば、これらの修正は２ステップのみで、又は更には３つを超えるステップで適用されてもよいことも認識するであろう。
【００５８】
図２は、１つ以上の安全機能ＳＦが実装された、中央ユニット安全カード６２を備える中央ユニット６を備える、本発明による電気機械的駆動システム１（若しくはピッチシステム７１）の別の実施形態を示している。電気機械的駆動ユニット２、２’、及び２”の詳細は、図１に示されている。図２の電気機械的駆動システム１（若しくはピッチシステム７１）は、３つの電気機械的駆動ユニット２、２’、２”を備え、電気機械的駆動ユニット２、２’、２”の安全モジュール４、４’、４”は、好適な双方向インターフェース６１を、好ましくはＦＳＯＥインターフェースを介して、中央ユニット６の中央ユニット安全カード６２に接続されて、コンポーネントに関する要求された作動及び／又は位置データＤＡを、対応する作動信号ＡＳのため、各電気機械的駆動ユニット２、２’、２”の安全モジュール４、４’、４”に送る。また、第１の安全信号ＦＳは、緊急事態では、安全モジュール４、４’、４”に送られてもよい。安全モジュール４、４’、４”は、受信した第１の安全信号ＦＳに応答して、第１の安全機能ＳＦＲを実行する。中央ユニット６は、アラインされた形で、全ての電気機械的駆動ユニット２、２’、２”に対する安全機能ＳＦの実行を可能にする。更に、各安全モジュール４、４’、４”は、コンポーネント３の少なくとも安全位置及び／又は速度データＰＤを中央ユニット安全カード６２に報告し、そこで、報告された位置及び／又は速度データＰＤを、各アクチュエータＡの要求された位置及び／又は速度と比較し、不一致がある場合、第１の安全信号ＦＳを各安全モジュール４、４’、４”に送る。
【００５９】
図３は、図１及び２に示されるような電気機械的駆動システムに対する故障反応に関連する、電気機械的駆動システムの別の実施形態を示している。安全機能、安全限定位置制御機能ＳＬＰ、安全限定速度制御機能ＳＬＳ、及び安全方向制御機能ＳＤＩは、電気機械的駆動システムの動作モードに応じて、コンポーネント３の作動Ａの信頼性、保全性、及び診断性を保証するために、規定の故障反応ＦＲを含む。安全限定位置制御機能ＳＬＰ、安全限定速度制御機能ＳＬＳ、及び／又は安全方向制御機能ＳＤＩの故障反応ＦＲは、電気機械的駆動システムの通常動作の間、第１の安全機能ＳＦＲの実行を要求してもよく、又は、例えば電気機械的駆動システムの手動動作の場合、ＳＦＲ又はＳＳ１のどちらかに向いた「ＦＲ」によって示される矢印によって示される、安全停止制御機能ＳＳ１を要求してもよい。安全モジュール４は更に、いわゆる心拍信号ＨＳによる従来のモータ制御ユニット２２のエラーフリーの通信及び動作を証明するように適合され、故障反応ＦＲスキームは、適切な接続の証明の失敗に応答して開始される。故障反応ＦＲは第１の安全機能ＳＦＲの実行であってもよい。安全モジュール４と従来のモータ制御ユニット２２との間で適正に働く通信によって、安全モジュール４から送信される制御コマンドを、従来のモータ制御ユニット２２によって実行できることが担保され、それによって診断手順として、電気機械的駆動システム１の信頼性及び保全性の程度が増加する。従来のモータ制御ユニット２２の通信及び／又は銅さにおける検出されたエラーの場合、安全モジュール４は、従来のモータ制御ユニット２２のリセット線に対する直接アクセスを介して、従来のモータ制御ユニット２２をリセットしてもよい。電気機械的駆動ユニット２によって故障反応ＦＲを実行する場合、故障は、電気機械的駆動ユニット２（ここでは詳細に図示されない）の対応する安全モジュール４によって、中央ユニット６に報告される。安全限定位置制御機能ＳＬＰは、コンポーネント３が規定の位置範囲内に留まるように、コンポーネント位置を監視する。安全限定速度制御機能ＳＬＳは、速度が最大値未満に留まるように、コンポーネントを作動させる全てのモードの間、コンポーネントの作動の速度を継続的に監視する。安全方向制御機能ＳＤＩは、コンポーネントの移動方向、例えば直線移動の場合は前若しくは後、又は回転の場合は右若しくは左の方向を監視する。安全停止制御機能ＳＳ１は、それに応答して電気機械的モータ２１の減速を開始し、それに続いて、特定の時間遅延後、安全トルクオフ制御機能ＳＴＯ及び安全制動制御機能ＳＢＣの命令適用を開始して、コンポーネントの安全状態を達成する。ＳＳ１、ＳＢＣ、及びＳＴＯは、第１の安全機能ＳＦＲの一部でもある。
【００６０】
図４は、本発明による風力タービン７の一実施形態を概略図で示している。この実施形態では、風力タービン７は、作動されたコンポーネント３として３つの回転羽根３を備える。好適なピッチシステム７１は電気機械的駆動システムを備え、１つの電気機械的駆動ユニット２、２’、２”が各回転羽根３に対して提供され、各電気機械的駆動ユニット２の電気機械的モータ２１は、作動Ａとして回転羽根３をその長手方向軸線を中心にして回転させるように適合される。緊急事態の場合、又は故障反応として、第１の安全機能としての安全フェザリング運転ＳＦＲは、回転羽根３をフェザリング位置ＦＰで回転させる。ピッチシステム７１は、好適な双方向インターフェース６１を介して、各回転羽根３に対する各電気機械的駆動ユニット２、２’、２”に接続された、中央ユニット６を更に備えて、回転羽根３の要求された回転及び／又は位置データを、回転信号ＡＳを生成するため、各電気機械的駆動ユニット２、２’、２”（ここでは詳細に図示されない）の安全モジュール４、４’、４”に送り、また、緊急事態の場合にフェザリング信号ＦＳを安全モジュール４、４’、４”に送り、その際、安全モジュール４、４’、４”は、フェザリング信号ＦＳに応答して、各回転羽根３に対して安全フェザリング運転ＳＦＲを実行するように適合される。風力タービンは更に、各回転羽根３を回転させるための位置及び／又は速度コマンドＴＣＳを、中央ユニット６（ここでは、理解を簡単にするため、ピッチシステム７１のみが示される）に送信するように適合された、風力タービン７のナセル７３内に配置されたタービン制御ユニット７２を備え、中央ユニット６内の中央ユニット安全カード６２は、各回転羽根３の要求された位置としての送信された位置及び／又は速度コマンドＴＣＳを、各安全モジュール４、４’、４”によって中央ユニット６に報告された位置データＰＤと比較し、不一致があった場合、安全フェザリング運転ＳＦＲを実行するために、フェザリング信号ＦＳを各安全モジュール４、４’、４”に送るように適合される。一実施形態では、安全フェザリング運転ＳＦＲは、回転羽根３の現在位置に応じて、２つの異なる部分に分割される。第１の部分は、正トルクが回転羽根に適用される（回転羽根に対する風力荷重を加速させる）、回転羽根３の角度領域を示す。第２の部分は、負トルクが回転羽根に適用される（回転羽根３に対する風力荷重を減速させる）、回転羽根３の角度領域を示す。第１及び第２の部分間での移行が生じる角度は、回転羽根３の構成及び風力タービン７の設定に応じて決まる。一般的に、この移行角度は３０°の範囲である。風力タービン７に対して誘導される風力は第１の部分で最大なので、回転羽根３をこの羽根角度領域からできるだけ早く外すことが有益である。この理由で、ＳＬＳは、回転羽根３が移行角度を通過するまで、ＳＦＲの間は無効にされてもよい。いくつかの実施形態では、安全モジュール４は、受信した駆動ユニット制御信号ＤＡを修正して、これらの信号で示されるモータ速度を増加させてもよく、その後、第１の部分における羽根の回転速度を高速にするために、修正された信号が作動信号としてモータ制御ユニットに渡される。移行角度を通���した後、長手方向軸線の周りでの回転羽根３の回転Ａの速度は減速させられる。これはまた、受信した駆動制御信号を修正することによって達成されてもよい。回転速度は、回転羽根３がフェザリング位置ＦＰに接近すると更に減少する。速度は段階的に減少してもよい。回転羽根３がフェザリング位置ＦＰに達すると、安全停止制御機能が実行されて、安全フェザリング運転ＳＦＲが終了する。別の実施形態では、中央ユニット６は、回転羽根３の現在の軸線間の差を比較するように適合され、（風に対する）２つ以上の回転羽根３の現在の軸線間の偏差を検出する場合、中央ユニット６は、フェザリング信号ＦＳを発行して、差が特定の予め定められた限界を超過した場合に安全フェザリング運転ＳＦＲを実行する。
【００６１】
図５は、本発明による電気機械的駆動システムを動作させる方法を示している。方法は、安全位置センサ５によって、安全性に関連する作動Ａの安全要件を満たすのに十分な程度の信頼性、保全性、及び診断性で、作動されたコンポーネント３のコンポーネント位置及び／又は速度を監視するステップＳ１と、位置及び／又は速度データを含む対応するセンサ信号ＳＳを、安全位置センサ５によって第１のデータ接続５１を介して安全モジュール４に送るステップＳ２と、作動速度及び所望のコンポーネント位置のような作動信号ＡＳを、第３のデータ接続４１を介して安全モジュール４から従来のモータ制御ユニット２２に送信するステップＳ３と、安全モジュールによる安全機能の実行を可能にするために、安全モジュール４を介して従来の電力ユニット２３にモータ制御信号ＭＣＳを送信するステップＳ４と、安全モジュール４上に少なくとも実装された１つ以上の安全機能ＳＦに従って、作動信号ＡＳから得られるモータ制御信号ＭＣＳに基づいて、電気機械的モータ２１によってコンポーネント３を作動させて、コンポーネント３の安全作動Ａを担保する、ステップＳ５と、コンポーネントの監視（Ｓ１）された位置及び速度を、安全モジュール４によって作動信号ＡＳから予測される挙動と比較するステップＳ６と、少なくとも緊急事態において、安全モジュール４によって実行される第１の安全機能ＳＦＲとして、休止又は中立位置ＦＰでコンポーネント３を作動させるステップＳ７とを含む。
【００６２】
別の実施形態では、作動させたコンポーネントは、共に又は互いに別個に作動させられる、２つ以上の下位コンポーネントを備えてもよい。一例として、作動させたコンポーネントはロータであってもよく、下位コンポーネントは回転羽根であってもよい。この場合、安全モジュールは、例えば、従来のモータ制御ユニットがモータ制御信号を、ここでは、下位コンポーネントの１つをそれぞれ作動させる２つ以上のサブモータを備えるモータシステムを示すモータに送ることによって、全ての下位コンポーネントを駆動する、電気機械的駆動ユニットに関する。したがって、安全位置センサは、サブセンサが各下位コンポーネントに関連した安全位置及び／又は速度データを測定する、安全位置センサシステムを示す。
【００６３】
本発明を図面及び上記説明において詳細に例証し記載してきたが、かかる例証及び記載は、限定ではなく実例又は例示と見なされるものとし、本発明は開示される実施形態に限定されない。図面の教示、開示、及び添付の特許請求の範囲から、請求される発明を当業者が実施する際に、開示されるコンポーネントに対する他の変形例を理解し実行することができる。本発明は、安全モジュール及び安全位置センサを従来のモータに実装するのに有利なものとして記述してきたが、本発明は、フェイルセーフモータとして最初から設計される電気モータにも使用されてもいことは明白である。
【００６４】
特許請求の範囲において、「備える」という語句は他の要素又はステップを除外するものではなく、不定冠詞「ａ」又は「ａｎ」は複数を除外しない。相互に異なる従属請求項において特定の基準が列挙されるという事実のみで、これらの基準の組み合わせを利点に使用できないことを示すものではない。特許請求の範囲におけるあらゆる参照記号は、範囲を限定するものとして解釈すべきではない。
【符号の説明】
【００６５】
１   電気機械的駆動システム
２、２’、２” 電気機械的駆動ユニット
２０ 駆動ユニットインターフェース
２１ 電気機械的モータ
２２ 従来のモータ制御ユニット
２３ 従来の電力ユニット
２４ 従来の測定ユニット
２５ レゾルバ
３   作動させたコンポーネント
４、４’、４” 安全モジュール
４０ 駆動ユニットインターフェースに対する第２のデータ接続
４１ 従来のモータ制御ユニット／第１のインターフェースに対する第３のデータ接続
４１ｓ 第１のインターフェースの一部としての安全インターフェース
４１ｃ 第１のインターフェースの一部としての従来のデータインターフェース
４２ ＰＷＭブロッカーモジュール
４３ 制動ブロッカーモジュール
４４ モータ制御ユニット２２のリセット線に対する安全モジュールの直接アクセス
４５ 第２のインターフェース
５   安全位置センサ、エンコーダ
５１ 第１のデータ接続
６   中央ユニット
６１ 中央ユニットと電気機械的駆動ユニットとの間の双方向インターフェース
６２ 中央ユニット安全カード
７   風力タービン
７１ ピッチシステム
７２ タービン制御ユニット
７３ ナセル
Ａ   作動／コンポーネントの作動
ＡＳ 作動信号
ＢＣＳ モータ制御信号の１つとしてのブレーキ制御信号
ＤＡ 安全モジュール４に送られる要求された作動及び／又は位置データ
ＥＤＳ 外部データソース（例えば、中央ユニット６）
ＦＰ 中立又は休止（フェザリング）位置
ＦＲ 安全機能の故障反応
ＦＳ 第１の安全信号、フェザリング信号
ＨＳ 心拍信号
ＭＣＳ モータ制御信号
ＭＳ モータ信号
ＰＤ 位置データ
Ｒ   リセット（コマンド）
Ｓ１ コンポーネント及び／又はモータの作動及び位置の監視
Ｓ２ 安全モジュールに対するセンサ信号の送付
Ｓ３ 安全モジュールから従来のモータ制御ユニットへの作動信号の送信
Ｓ４ 安全モジュールによるモータ制御信号の送信
Ｓ５ １つ以上の安全機能にしたがったコンポーネントの作動
Ｓ６ コンポーネントの監視された位置／速度と予期される挙動との比較
Ｓ７ 緊急事態における休止又は中立位置でのコンポーネントの作動
ＳＦ 安全機能
ＳＢＣ 安全制動制御機能
ＳＤＩ 安全方向制御機能
ＳＦＲ 第１の安全機能／安全フェザリング運転
ＳＬＰ 安全限定位置制御機能
ＳＬＳ 安全限定速度制御機能
ＳＳ１ 安全停止制御機能
ＳＴＯ 安全トルクオフ制御機能
ＳＳ センサ信号
ＴＣＳ タービン制御信号
【図１】
2017535879.tif 000003
【図２】
2017535879.tif 000004
【図３】
2017535879.tif 000005
【図４】
2017535879.tif 000006
【図５】
2017535879.tif 000007
【手続補正書】
【提出日】平成28年4月29日(2016.4.29)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
可動コンポーネント（３）を作動させる少なくとも１つの電気機械的駆動ユニット（２）を有する、電気機械的駆動システム（１）であって、前記電気機械的駆動ユニット（２）が、駆動ユニット制御信号（ＤＡ）を受信するための駆動ユニットインターフェース（２０）と、作動信号（ＡＳ）によって制御されて前記コンポーネント（３）を作動させる電気機械的モータ（２１）と、モータ位置及び／又はモータ速度を判断するためのレゾルバ（２５）を備える測定ユニット（２４）と、安全モジュール（４）と、第１のデータ接続（５１）を介して前記安全モジュール（４）に接続され、前記作動させたコンポーネント（３）及び／又はモータ（２１）のコンポーネント（３）及び／又はモータ（２１）位置及び／又は速度を監視する（Ｓ１）ように適合された、安全位置センサ（５）と、を備え、前記安全モジュール（４）が、前記駆動ユニット制御信号（ＤＡ）を受信するための前記駆動ユニットインターフェース（２０）に第２のデータ接続（４０）を介して接続されており、前記安全モジュールが、第３のデータ接続（４１）を介して前記モータ制御ユニット（２２）に接続されて、作動速度及び所望のコンポーネント位置などの作動信号（ＡＳ）を、前記コンポーネント（３）を作動させる（Ａ）ために前記モータ制御ユニット（２２）に送信し、前記安全モジュール（４）が、安全機能（ＳＦ）として、前記コンポーネント（３）が損傷されず、前記コンポーネント（３）の周りの環境が前記コンポーネント（３）によって、又は前記コンポーネント（３）の誤動作によって危険に晒されない、休止又は中立位置（ＦＰ）にある前記コンポーネント（３）の少なくとも作動（Ａ）を含み、前記安全モジュール（４）が、前記測定ユニット（２４）によって送達されたデータと、前記安全位置センサ（５）によって送達されたセンサデータとの間で有効性確認を実施するように適合されており、前記有効性確認が、前記測定ユニット（２４）からのデータ及び前記安全位置センサ（２５）のデータのどちらも信頼できないことを示している場合、前記安全モジュール（４）が前記モータ（２１）を停止し、前記有効性確認が前記安全位置センサ（５）の誤動作を示している場合、前記測定ユニット（２４）によって提供されるデータを使用することによって、休止又は中立位置（ＦＰ）に達するまで前記コンポーネント（３）を作動させる、電気機械的駆動システム（１）。
【請求項２】
前記有効性確認が前記安全位置センサ（５）の誤動作を示している場合、前記安全モジュール（４）が、前記レゾルバ（２５）の前記モータ位置及び／又はモータ速度データを使用することによって、前記コンポーネント（３）を作動させて前記休止又は中立位置（ＦＰ）へと至らせて、前記モータ（２１）を駆動する、請求項１に記載の電気機械的駆動システム。
【請求項３】
前記有効性確認が前記レゾルバ（２５）の誤動作を示している場合、前記安全モジュール（４）が、前記レゾルバ（２５）の入力を使用せずに前記測定ユニット（２４）が前記モータを駆動する第２のモードで前記モータを切り替えることによって、前記コンポーネント（３）を作動させて、前記休止又は中立位置（ＦＰ）へと至らせる、請求項１に記載の電気機械的駆動。
【請求項４】
検出されたエラーが前記モータ制御ユニット（２２）の通信及び／又は動作におけるものである場合、前記安全モジュール（４）が、前記モータ制御ユニット（２２）のリセット線に対する直接アクセス（４４）を介して、前記モータ制御ユニット（２２）をリセットする（Ｒ）ように適合されている、請求項１〜３のいずれか一項に記載の電気機械的駆動システム（１）。
【請求項５】
前記安全モジュール（４）が、前記コンポーネント（３）を作動させて前記休止又は中立位置（ＦＰ）へと至らせる場合に、第１の部分では、電気機械的モータ（２１）の速度が増加され、第２の部分では、前記電気機械的モータ（２１）の速度が減少されるように、前記電気機械的モータ（２１）に対する速度コマンド（ＡＣ）を修正するように適合されている、請求項１〜４のいずれか一項に記載の電気機械的駆動システム（１）。
【請求項６】
前記安全モジュール（４）上に実装された前記安全機能（ＳＦ）が、前記コンポーネント（３）の位置が許容された位置範囲内にあることを担保する安全限定位置制御機能（ＳＬＰ）、前記作動させたコンポーネント（３）の速度が最大速度を超過しないことを担保する安全限定速度制御機能（ＳＬＳ）、前記コンポーネント（３）が所望の方向へと作動されることを担保する安全方向制御（ＳＤＩ）機能、前記コンポーネント（３）に適用されるトルクがゼロであることを担保する安全トルクオフ制御（ＳＴＯ）機能、前記モータ（２１）のブレーキが適用されることを担保する安全制動制御機能（ＳＢＣ）、及び／又は他の安全機能（ＳＦ）にしたがった停止手順の実行を担保する安全停止制御機能（ＳＳ１）という、１つ以上の安全機能（ＳＦ）を更に含み、前記安全モジュール（４）が前記実装された安全機能（ＦＳ）を実行するように好適に適合されている、請求項１〜５のいずれか一項に記載の電気機械的駆動システム（１）。
【請求項７】
前記安全モジュール（４）が、
前記モータ制御信号（ＭＣＳ）を前記モータ制御ユニット（２２）から受信するＰＷＭブロッカーモジュール（４２）であって、前記安全トルクオフ制御機能（ＳＴＯ）及び／又は前記安全停止制御機能（ＳＳ１）の少なくとも１つを実行することによって、前記モータ制御信号（ＭＣＳ）が、前記ＰＷＭブロッカーモジュール（４２）を前記電力制御ユニット（２３）に向けて通過するのを阻止し、好ましくは、前記ＰＷＭブロッカーモジュール（４２）の出力が０Ｖに設定される、ＰＷＭブロッカーモジュール（４２）、
ブレーキ制御信号（ＢＣＳ）を別のタイプのモータ制御信号（ＭＣＳ）として前記モータ制御ユニット（２２）から受信する制動ブロッカーモジュール（４３）であって、前記安全制動制御機能（ＳＢＣ）及び／又は前記安全停止制御機能（ＳＳ１）の少なくとも１つを実行することによって、前記ブレーキ制御信号（ＢＣＳ）が、前記制動ブロッカーモジュール（４３）を前記電力制御ユニット（２３）に向けて通過するのを阻止し、好ましくは、前記制動ブロッカーモジュール（４３）の出力が０Ｖに設定される、制動ブロッカーモジュール（４３）、のうち少なくとも１つを備える、請求項１〜６のいずれか一項に記載の電気機械的駆動システム（１）。
【請求項８】
前記安全モジュール（４）が、いわゆる心拍信号（ＨＳ）によって、前記モータ制御ユニット（２２）のエラーフリーの通信及び動作を証明するように適合されており、その際、前記モータ制御ユニット（２２）が、適切に動作している場合は所定の方式で前記心拍信号（ＨＳ）に応える、請求項１〜７のいずれか一項に記載の電気機械的駆動システム（１）。
【請求項９】
前記安全モジュール（４）が、前記作動信号（ＡＳ）を前記モータ制御ユニット（２２）に少なくとも送信するために、好ましくは安全インターフェース（４１ｓ）としてのＦＳバス及び／又はデータインターフェース（４１ｃ）としてのＳＳＩインターフェースを含む、安全カード（４）を前記モータ制御ユニット（２２）に接続する第３のデータ接続（４１）としての、第１のインターフェース（４１）と、前記モータ制御信号（ＭＣＳ）及び／又は前記ブレーキ制御信号（ＢＣＳ）を、前記安全カード（４）を介して前記電力ユニット（２３）に送信する、第２のインターフェース（４５）とを備える、プラグイン安全カードとして配置されている、請求項１〜８のいずれか一項に記載の電気機械的駆動システム（１）。
【請求項１０】
前記安全位置センサ（５）が、前記安全モジュール（４）に対する前記第１のデータ接続（５１）として、ＩＥＣ  ６１５０８規格に従って開発されたＦＳバスインターフェース（５１）を介して、安全絶対位置及び／又は速度並びに故障状態データを提供する、安全直線又は回転エンコーダであり、好ましくは、作動としての回転のための回転エンコーダの場合、前記安全位置センサ（５）がＳＩＬ定格のマルチターンエンコーダである、請求項１〜９のいずれか一項に記載の電気機械的駆動システム（１）。
【請求項１１】
前記電気機械的駆動システム（１）が、少なくとも２つの電気機械的駆動ユニット（２、２’、２”）を備え、他の安全モジュール（４、４’、４”）を始動してアラインされた形で対応する安全機能（ＳＦ）を実行するために、任意の適用された安全機能（ＳＦ）に関する情報を含む情報を少なくとも交換するために、前記電気機械的駆動ユニット（２、２’、２”）の前記安全モジュール（４、４’、４”）が互いに接続されている、請求項１〜１０のいずれか一項に記載の電気機械的駆動システム（１）。
【請求項１２】
前記接続が、好適な双方向インターフェース（６１）、好ましくはＦＳＯＥインターフェースを介して各電気機械的駆動ユニット（２、２’、２”）に接続された、中央ユニット安全カード（６２）を備える中央ユニット（６）を介して確立されて、前記コンポーネントに関する要求された作動及び／又は位置データ（ＤＡ）を、各電気機械的駆動ユニット（２、２’、２”）の前記安全モジュール（４、４’、４”）に送って、対応する作動信号（ＡＳ）を生成し、また緊急事態において、第１の安全信号（ＦＳ）を前記安全モジュール（４、４’、４”）に送り、前記安全モジュール（４、４’、４”）が、前記第１の安全信号（ＦＳ）に応答して前記第１の安全機能（ＳＦＲ）を実行するように適合されている、請求項１２に記載の電気機械的駆動システム（１）。
【請求項１３】
各安全モジュール（４、４’、４”）が、前記コンポーネント（３）の少なくとも安全位置及び／又は速度データ（ＰＤ）を、対応する安全モジュール（４、４’、４”）から前記中央ユニット（６）に報告するように適合されており、前記中央ユニット安全カード（６２）が、前記報告された安全位置及び／又は速度データ（ＰＤ）を、各アクチュエータ（Ａ）の要求された位置及び／又は速度と比較するように適合されており、不一致がある場合、前記第１の安全信号（ＦＳ）を各安全モジュール（４、４’、４”）に送るように適合されている、請求項１３に記載の電気機械的駆動システム（１）。
【請求項１４】
回転羽根（３）を回転させるための請求項１に記載の電気機械的駆動システムを備える、風力タービン（７）の少なくとも１つの回転羽根（３）、好ましくは全ての回転羽根（３）を回転させるのに適したピッチシステム（７１）であって、前記回転羽根（３）が作動（Ａ）させられる前記コンポーネント（３）であり、前記電気機械的モータ（２１）が、作動（Ａ）として前記回転羽根（３）をその長手方向軸線を中心にして回転させるように適合されており、フェザリング位置（ＦＰ）にある前記回転羽根（３）を回転させる安全フェザリング運転（ＳＦＲ）が前記第１の安全機能（ＳＦＲ）である、ピッチシステム（７１）。
【請求項１５】
前記電気機械的駆動システム（１）が２つ以上の電気機械的駆動ユニット（２、２’、２”）を備え、前記電気機械的駆動ユニット（２、２’、２”）が、好適な双方向インターフェース（６１）、好ましくはＦＳバス若しくはＦＳＯＥインターフェースを介して、各回転羽根（３）に対する各電気機械的駆動ユニット（２、２’、２”）に接続されて、前記回転羽根（３）に対して要求された回転及び／又は位置データを各電気機械的駆動ユニット（２、２’、２”）の前記安全モジュール（４、４’、４”）に送って回転信号を生成し、また、緊急事態の場合に前記安全モジュール（４、４’、４”）にフェザリング信号（ＦＳ）を送って、前記安全モジュール（４、４’、４”）が前記フェザリング信号（ＦＳ）に応答して各回転羽根（３）に対して前記安全フェザリング運転（ＳＦＲ）を実行するように適合されている、中央ユニット（６）を更に備える、請求項１５に記載のピッチシステム（７１）。
【請求項１６】
２つ以上の回転羽根（３）を備える風力タービン（７）であって、各回転羽根（３）が、請求項１５に記載の前記ピッチシステム（７１）の別個の電気機械的モータ（２１）によって回転させられ、前記風力タービン（７）が、各回転羽根（３）を回転させるための位置及び／又は速度コマンド（ＴＣＳ）を前記中央ユニット（６）に送信するように適合された、前記風力タービン（７）のナセル（７３）内に配置されたタービン制御ユニット（７２）を更に備え、前記中央ユニット安全カード（６２）が、各回転羽根（３）の要求された位置としての前記送信された位置及び／又は速度コマンド（ＴＣＳ）を、各安全モジュール（４、４’、４”）によって前記中央ユニット（６）に報告された安全位置及び／又は速度データ（ＰＤ）と比較し、不一致がある場合、前記安全フェザリング運転（ＳＦＲ）を実行するために、前記フェザリング信号（ＦＳ）を各安全モジュール（４、４’、４”）に送るように適合されている、風力タービン（７）。
【請求項１７】
少なくとも１つの電気機械的駆動ユニット（２）を有する、請求項１に記載の電気機械的駆動システムを動作させる方法であって、前記駆動ユニット（２）が、コンポーネント（３）を動作させるための前記コンポーネント（３）の作動（Ａ）の信頼性、保全性、及び診断性が安全に関連する、前記可動コンポーネント（３）を作動（Ａ）させる電気機械的モータ（２１）と、前記電気機械的モータ（２１）に電力供給する電力ユニット（２３）と、モータ制御信号（ＭＣＳ）を介して前記電力ユニット（２３）を制御するために前記電力ユニット（２３）に接続されたモータ制御ユニット（２２）と、前記モータ制御ユニット（２２）に接続された測定ユニット（２４）であって、モータ位置及び／又はモータ速度データを判断し、また前記データをモータ信号（ＭＳ）として前記モータ制御ユニット（２２）に送るためのレゾルバ（２５）を備える、測定ユニット（２４）と、前記モータ制御ユニット（２２）及び前記電力ユニット（２３）に接続された安全モジュール（４）と、前記安全モジュール（４）に接続された安全位置センサ（５）と、を備え、前記方法が、
駆動ユニット制御信号（ＤＡ）を、第２のデータ接続（４０）を介して駆動ユニットインターフェースから受信するステップと、
前記安全位置センサ（５）、好ましくは位置エンコーダ（５）による、前記安全性に関連する作動（Ａ）に対する安全要件を満たすのに十分な程度の信頼性及び保全性で、前記作動させたコンポーネント（３）及び／又は前記モータ（２１）のコンポーネント及び／又はモータ位置及び／又は速度を監視するステップ（Ｓ１）と、
位置及び／又は速度データを含む対応するセンサ信号（ＳＳ）を、前記安全位置センサ（５）によって第１のデータ接続（５１）を介して前記安全モジュール（４）に送るステップ（Ｓ２）と、
作動速度及び所望のコンポーネント位置のような作動信号（ＡＳ）を、前記安全モジュール（４）から前記モータ制御ユニット（２２）に、第３のデータ接続（４１）を介して送信するステップ（Ｓ３）と、
前記安全モジュールによる安全機能の実行を可能にするため、前記モータ制御信号（ＭＣＳ）を、前記安全モジュール（４）を介して前記電力ユニット（２３）に送信するステップ（Ｓ４）と、
前記安全モジュール（４）に少なくとも実装された１つ以上の安全機能（ＳＦ）に従って、前記コンポーネント（３）の安全作動（Ａ）を担保するため、前記作動信号（ＡＳ）によってもたらされる前記モータ制御信号（ＭＣＳ）に基づいて、前記電気機械的モータ（２１）によって前記コンポーネントを作動させるステップ（Ｓ５）と、
有効性確認として、前記コンポーネントの前記監視（Ｓ１）された位置及び速度を、前記安全モジュール（４）による前記作動信号（ＡＳ）から予測される挙動と比較するステップ（Ｓ６）と、
前記有効性確認が、前記測定ユニット（２４）からのデータ及び前記安全位置センサ（５）のデータのどちらも信頼できないことを示している場合、前記コンポーネント（３）の作動を停止するステップと、
前記有効性確認が前記安全位置センサ（５）の誤動作を示している場合、少なくとも緊急事態において前記安全モジュール（４）によって実行される第１の安全機能（ＳＦＲ）として、前記コンポーネント（３）を前記測定ユニット（２４）によって提供されたデータを使用することによって、前記コンポーネント（３）が損傷されず、前記コンポーネント（３）の周りの環境が前記コンポーネント（３）によって、又は前記コンポーネント（３）の誤動作によって危険に晒されない、休止又は中立位置（ＦＰ）で作動させるステップ（Ｓ７）と、を含む、方法。
【国際調査報告】
2017535879.tif 000008
2017535879.tif 000009
2017535879.tif 000010