Technische Information

Sicherheitsbezogene Steuerungstechnik
für Werkzeugmaschinen

Im Maschinen- und Anlagenbau gewinnt das Thema Sicherheit immer größere Bedeutung. In erster Linie dienen die hohen Anforderungendem Personenschutz, zunehmend aber auch dem Schutz von Sachwerten und der Umwelt. Ziel der funktionalen Sicherheit ist die Minimierung oder Beseitigung von Gefahren, die sowohl im ungestörten als auch im gestörten Betrieb von Maschinen oder Anlagen entstehenkönnen. Dies wird in erster Linie durch redundante Systeme erreicht. So benötigen bewegte Achsen in sicherheitsgerichteten Anwendungen redundante Positionsinformationen und zweikanalig aufgebaute Sicherheitssysteme, um entsprechende Sicherheitsfunktionen
erfüllen zu können.
Zur Gewinnung unabhängiger Positionswerte können unterschiedliche Systemkonﬁgurationen realisiert werden. Eine Möglichkeit bietet
der Einsatz von zwei Messgeräten pro Achse. Aus Kostengründen wird jedoch in vielen Fällen eine Lösung mit nur einem Positionsmessgerät angestrebt. HEIDENHAIN liefert sicherheitsbezogene Positionsmessgeräte mit rein serieller Ein-Geber-Lösung.
Bei den HEIDENHAIN-Steuerungen wird das zweikanalige Sicherheitssystem durch eine zweikanalige Steuerungsarchitektur erreicht.
Die beiden Rechner beﬁnden sich in den Komponenten Hauptrechner und Regler-Einheit, auf denen zwei unabhängige Software-Prozesse laufen. Durch die beiden Prozesse werden zwei Sicherheitskanäle realisiert, die alle sicherheitsrelevanten Signale zweikanalig erfassen
und auswerten.

Grundprinzip
Steuerungen und Positionsmessgeräte mit
funktionaler Sicherheit von HEIDENHAIN
entsprechen dem Sicherheitsintegritätslevel 2 (SIL 2) nach der Norm EN 61 508
bzw. dem Performance Level „d“ nachEN ISO 13 849-1 (Nachfolgenorm derEN 954-1). In diesen Normen erfolgt die
Beurteilung sicherheitsgerichteter Systeme
unter anderem auf Basis von Ausfallwahrscheinlichkeiten integrierter Bauelementebzw. Teilsysteme. Dieser modulare Ansatz
erleichtert den Herstellern sicherheitsgerichteter Anlagen die Realisierung ihrerSysteme, da sie auf bereits qualiﬁzierten
Teilsystemen aufbauen können. Diesem
Konzept wird sowohl bei den Steuerungen
TNC 640, TNC 620 und iTNC 530 mit HSCI
Rechnung getragen, ebenso wie bei sicherheitsbezogenen Positionsmessgeräten.

Juli 2013

Funktionale Sicherheit an Werkzeugmaschinen– Sicherheitsbezogene Steuerungen

HEIDENHAIN bietet mit der TNC 640,
TNC 620 und der iTNC 530 HSCI Steuerungen mit funktionaler Sicherheit an. Basis fürdie Steuerungen mit funktionaler Sicherheit
sind zwei redundante, voneinander unabhängig arbeitende Sicherheitskanäle. Allesicherheitsrelevanten ­Signale werden zweikanalig erfasst, verarbeitet und ausgegeben.
Durch einen wechselseitigen Datenvergleichzwischen den ­Zuständen der beiden Kanäle
werden Fehler erkannt. Das Auftreten eines
einzelnen Fehlers in der Steuerung führt
somit nicht zum Verlust der Sicherheitsfunktion. Zukünftig wird das beschriebene
Konzept auch bei weiteren HEIDENHAINSteuerungen zum Einsatz kommen.
Das HEIDENHAIN-Steuerungssystem mit
funktionaler Sicherheit besteht dabei aus
folgenden Teilsystemen:• HEIDENHAIN-Steuerung mit funktionalerSicherheit• HSCI-System mit Hauptrechner undRegler-Einheit• PL 6000 FS zum Anschluss sicherheits­
relevanter Ein-/Ausgänge• Maschinenbedienfeld MB 7xx FS• Tastatureinheit TE 7xx• Bildschirm BF 7xx• Leistungsteile und Antriebe für Vorschub­achsen und Spindeln• Lage- und Drehzahlmessgeräte• Handräder HR xxx FSAufbau
Die sicherheitsgerichteten Steuerungenvon HEIDENHAIN sind zweikanalig mit gegenseitiger Überwachung aufgebaut. DieGrund­lage der beiden redundanten Systeme
bilden die Software-Prozesse SPLC (sicherheitsbezogene PLC) und SKERN (Sicherheitskern-Software). Beide Software-Prozesse laufen auf den beiden KomponentenHauptrechner (CPU) und Regler-Einheit(DSP).
In der SKERN sind die grundlegenden­Sicherheitsfunktionen fest verankert undkönnen nicht verändert werden. Zu den
Aufgaben der SKERN gehören:• Auslösung und Überwachung von StoppReaktionen• Überwachung der sicher begrenzten­Geschwindigkeiten in den verschiedenen
sicherheitsbezogenen Betriebsarten• Durchführen des Kreuzvergleiches zwischen den Daten und Zuständen der­beiden Sicherheitskanäle• Überwachung von Randbedingungen desSystems wie Versorgungsspannungen,Betriebstemperaturen, usw.

Über die SPLC passt der Maschinenhersteller die Funktionalität der SKERN individuell an seine Werkzeug­maschine an.
Zu den Aufgaben der SPLC gehören:• Flexible Anpassung der funktionalen­Sicherheit an die jeweilige Maschine• Erfassung, Verarbeitung und Ausgabe­sicherheitsbezogener Signale• Anforderung von Sicherheitsfunktionen
bei SKERN
Der zweikanalige Aufbau bei Hauptrechnerund Regler-Einheit setzt sich fort in den Ein-/
Ausgangssystemen PL 6000 FS und
MB 7xx FS: Alle sicherheitsrelevanten Signale (z.B. Zustimmtasten, Türkontakte, NotHalt-Taster) werden zweikanalig erfasst undunabhängig voneinander durch Hauptrechner und Regler-Einheit ausgewertet. Siebedienen über getrennte Kanäle die Leistungsmodule und setzen im Fehlerfall die
Antriebe still.
Sicherheitsfunktionen• Sichere Stopp Reaktionen SS0/SS1/SS2• Sicher abgeschaltetes Moment STO• Sicherer Betriebshalt SOS• Sicher begrenzte Geschwindigkeit SLS• Sicher begrenzte Lage SLP• Sicheres Bremsenmanagement SBC• Sichere Betriebsarten nach EN 12 417
Sicherheitsbezogene Betriebsarten
Die HEIDENHAIN-Steuerungen mit funk­tionaler Sicherheit bieten vier sicherheits­
bezogene Betriebsarten gemäß Norm
EN 12 417 (Sicherheit von Werkzeugmaschinen und Bearbeitungszentren). Die
hierdurch mögliche praxisnahe Betriebsweise verspricht eine hohe Akzeptanz und! Türkontakte

dadurch Sicherheit. Ziel ist es, Tätigkeiten
bei geöffneten, trennenden Schutzeinrichtungen während automatischer Fertigungsabläufe an Bearbeitungszentren zu ermöglichen, ohne den Bediener zu gefährden.
Folgende sicherheitsbezogene Betriebsarten
nach EN 12 417 sind z.B. über Schlüsselschalter wählbar:
Betriebsart 1 – Automatik- bzw. Produktionsbetrieb• Betrieb nur bei geschlossener Schutztür• keine Maschinenbewegung bei geöffneterSchutztüre
Betriebsart 2 – Einrichtbetrieb• Betrieb bei offener Schutztüre• Achsbewegungen mit höchstens 2 m/min• Spindelstopp innerhalb 2 Umdrehungen• gleichzeitige Bewegung maximal einer
Achse möglich (keine interpolierendenBewegungen)• Spindeldrehung nur mit Zustimmtaste
Betriebsart 3 – manuelles Eingreifen• Betrieb bei offener Schutztüre• Achsbewegungen mit höchstens 5 m/min• Spindelstopp innerhalb 5 Umdrehungen• gleichzeitige Bewegung mehrerer Achsen
möglich (interpolierende Bewegungen)• Spindeldrehung nur mit Zustimmtaste
Betriebsart 4 – Erweitertes manuelles
Eingreifen, Prozessbeobachtung• Betrieb bei offener Schutztüre• Achsbewegungen mit höchstens 5 m/min• Spindelstopp innerhalb 5 Umdrehungen• gleichzeitige Bewegung mehrerer Achsen
möglich (interpolierende Bewegungen)• Spindelstart nur mit Zustimmtaste

PL 6xxx FS

MB 7xx FS" Zustimmtasten
 Not-Halt-Taster

24 VµC A

1µC A

24 V

23µC BµC B

Kanal A
Kanal B
Kreuzvergleich
der Daten

HSCI

– Sicherheitsbezogene Positionsmesssysteme

Für eine Reihe von Sicherheitsfunktionen –wie sicher reduzierte Geschwindigkeit, sichere Absolutposition, sicherer Betriebshalt
etc. -– benötigt die Steuerung sichere Positionsinformationen. Dazu werden redundante
Informationen benötigt. Zur Erzeugung
redundanter Positionswerte kommen bisweilen unterschiedliche Konzepte zum Einsatz. Eine echte Zweikanaligkeit ist durchInstallation zweier Messgeräte pro Achse
gegeben. Aus Kostengründen wird eine
Lösung mit nur einem Positionsmessgerät
bevorzugt.

Sicherheitsbezogene Positionsmesssysteme mit rein serieller Datenübertragung über EnDat 2.2

Der Trend zu rein digitalen Antriebskonzepten erfordert für sicherheitsgerichtete Anwendungen Ein-Geber-Lösungen, die eine
redundante Positionswertermittlung auf
Basis einer rein seriellen Datenübertragung
ermöglichen.

Einbindung des Positionsmesssystems
Das Positionsmesssystem ist über einemechanische und eine elektrische Schnittstelle in das Gesamtsystem integriert. Die
mechanische Kopplung des Messgeräts
am Antrieb erfolgt über die Wellenverbindung und die Kupplung, die beide durch die
Geometrie des Geräts vorgegeben sind.
Die elektrische Integration ist über die Einbindung des EnDat-Masters mit Überwachungsfunktionen in die sichere Steuerung
realisiert. Die notwendigen Implementierungsmaßnahmen sind bereits vordeﬁniert
und müssen vom Steuerungshersteller lediglich umgesetzt werden. Somit kann das
sicherheitsbezogene Positionsmesssystem
als ein Teilsystem mit den entsprechendenAusfallwahrscheinlichkeiten in die sicherheitstechnische Beurteilung des Gesamtsystems des Anlagen bzw. Antriebsherstellers einbezogen werden.

Diese Möglichkeit bietet HEIDENHAIN mit
seinen sicherheitsbezogenen Positionsmesssystemen: Auf Basis der rein seriellen
EnDat 2.2-Schnittstelle werden Ein-GeberLösungen für sicherheitsgerichtete Anwendungen nach EN ISO 13 849 bzw. EN 61 508
unterstützt. Somit sind nun auch in Sicherheitsapplikationen alle Vorteile der seriellen
Datenübertragung nutzbar.

MC 6xxx

CC 6xxx

SKERN
SPLC

SKERNSPLCCPUDSPIn einem sicheren Antrieb bildet das sicherheitsbezogene Positionsmesssystem ein
Teilsystem bestehend aus:
• Messgerät mit EnDat-2.2-Sendebaustein• Übertragungsstrecke mit EnDat-2.2Kommunikation und Kabel• EnDat-2.2-Empfängerbaustein mit Überwachungsfunktion (EnDat-Master).

Funktion
Das Sicherheitskonzept des Positionsmesssystems basiert auf zwei im Geber erzeugten, voneinander unabhängigen Positionswerten und zusätzlichen Fehlerbits, dieüber das EnDat-2.2-Protokoll an den EnDatMaster übertragen werden. Der EnDatMaster übernimmt verschiedene Überwachungsfunktionen, mit deren Hilfe Fehler
im Messgerät und der Übertragung aufgedeckt werden. Beispielsweise wird ein Vergleich der beiden Positionswerte durchgeführt. Anschließend stellt der EnDat-Masterbeide Positionswerte und voneinander unabhängige Fehlerbits z.B. über zwei Prozessorschnittstellen der sicheren Steuerung
bereit. Zusätzlich überwacht die Steuerung
die Funktionalität des sicherheitsbezogenen
Positionsmesssystems und des EnDatMasters durch periodisch ausgelöste Tests(Zwangsdynamisierung).
Die Architektur des EnDat-2.2-Protokolls
ermöglicht es, alle sicherheitsrelevanten
Informationen bzw. Kontrollmechanismen
im uneingeschränkten Regelbetrieb durchzuführen. Dies wird ermöglicht, weil diesicherheitsrelevanten Informationen in sogenannten Zusatzinformationen hinterlegt
sind. Diese Zusatzinformationen können
von der Steuerung mit jedem Abfragezyklus
neben der eigentlichen Position angefordert werden. Die Architektur des Positionsmesssystems laut EN 61 508 gilt als einkanaliges, getestetes System.

Sicherheitsbezogenes Positionsmesssystem
EnDat-Master
EnDat-2.2-Übertragungsstrecke
Messgerät

Umrichtersystem

PWM

Leistungsverstärker

HSCIAbsoluter Multiturn-Drehgeber EQN 1337
Sicherheitsbezogenes Positionsmessgerät(Ein-Geber-Lösung)Konzeptgegenüberstellung ohne/mit funktionaler Sicherheit

Schaltschrank

Achsfreigabemodul
PSLUmrichter

POWER MODULEREADYRESET

Bedienpult
BF 7xx

HDL

TE 7xxUSBMB 7xxCC 6110MC 6xxx

Sicherheitsrelais
Sicherheits-Schützkomb. SSKs:– Not-Halt– Arbeitsräume– Werkzeugmagazin
Drehzahl-/AchsüberwachungPL 62xx

Not-Halt-Schalter,
Zustimmtaste,
Türkontakt,
Schlüsselschalter,
Ruherelais, usw.

HR xxx

entfällt bei Sicherheitskonzept mit funktionaler Sicherheit FS

Sicherheitskonzept ohne funktionale Sicherheit

HSCIUmrichter

Schaltschrank

PSL

POWER MODULEREADYRESET

Bedienpult
HDL

BF 7xx

USBTE 7xx

MB 7xx FS



Beim HEIDENHAIN-Sicherheitskonzept
mit funktionaler Sicherheit FS (FunctionalSafety) sind die sicherheitsrelevanten
Funktionen in der Hard- und Software
integriert. Durch den Einsatz der zweikanaligen HEIDENHAIN-Komponenten
Ein-/Ausgabebaugruppe PL 6000 FS, Maschinen-Bedienfeld MB 7xx FS und einem
sicheren Handrad HR xxx FS wird die Verdrahtung der Maschine wesentlich vereinfacht. Die Sicherheits-Schützkombinationen
SSKs, zusätzliche Geräte für die Achs- bzw.
Drehzahlüberwachung und die Verdrahtung
des externen Sicherheitskanals können
komplett entfallen. Ein sicheres PLC-Programm ermöglicht dem Maschinenhersteller
die ﬂexible Anpassung der integrierten
funktionalen Sicherheit an verschiedenste
Werkzeugmaschinentypen.

HSCI



Die Grundlage eines Sicherheitskonzepts fürSteuerungen ohne integrierte funktionale
Sicherheit ist ein zweikanaliger Aufbau.
Ein Sicherheitskanal wird dabei durch externe Geräte und Verdrahtung (z. B. Sicherheits-Schützkombinationen SSKs, Sicherheitsrelais) zur Ansteuerung der Freigabe
für Achsen und Spindeln in den Umrichternbzw. Achsfreigabemodulen realisiert. Derzweite Kanal beinhaltet die Steuerung, dieaus dem Hauptrechner und der Regler-Einheit besteht und die Umrichter über die
PWM-Schnittstelle ansteuert. Die externen
Sicherheits-Schützkombinationen (SSKs)
stellen in diesem Konzept die zentralen Einheiten für die Erfassung und Auswertung
allersicherheitsrelevanten Baugruppen (z. B.
Schlüsselschalter, Not-Halt-Taster) dar. Füreine Drehzahl- bzw. Achsüberwachung sindzusätzlich externe Baugruppen notwendig.
Die externen Geräte bilden aus ihren
Eingangsinformationen Ausgangssignale,
die den beiden Sicherheitskanälen des Steuerungssystems wiederum als Eingangssignale dienen.

CC 6110

MC 6xxx
Zustimmtaste,
Schlüsselschalter

Endschalter,
Not-Halt-Schalter,
Türkontakt,
Ruherelais

PL 62xx FS

HR xxx FS

Sicherheitskonzept mit funktionaler Sicherheit FSKataloge, Prospekte und Produktinformationen ﬁnden Sie unter
www.heidenhain.de/doku����������������������������
��������������������������������
������������������������� �������������� ���������������������������������������
�����������������

636223 · 03 · A · 01 · 7/2013 · PDF

Weitere Informationen:• Prospekt iTNC 530 HSCI – Informationen für den Maschinenhersteller• Technische Information Sicherheitsbezogene Positionsmesssysteme• Prospekt TNC 640 – Informationen für den Maschinenhersteller• Prospekt TNC 620 – Informationen für den Maschinenhersteller