· CAMC-G-S3 2 Festo – GDCP-CAMC-G-S3-FR – 1406NH – Français Traduction de la notice originale GDCP-CAMC-G-S3-FR Heidenhain ®, EnDat®, PHOENIX sont des marques déposées

CAMC-G-S3

Description

Fonctions de sécurité

– STO,

– SS1,

– SS2,

– SOS, – SBC,

– SLS,

– SSR,

– SSM

selon EN 61800-5-2

pour contrôleur

de moteur

CMMP-AS-...-M3

759298

1406NH

Module de sécurité

CAMC-G-S3

2 Festo – GDCP-CAMC-G-S3-FR – 1406NH – Français

Traduction de la notice originale

GDCP-CAMC-G-S3-FR

Heidenhain®, EnDat®, PHOENIX® sont des marques déposées appartenant à leurs propriétaires res

pectifs dans certains pays.

Identification des dangers et remarques utiles pour les éviter :

AvertissementDangers pouvant entraîner la mort ou des blessures graves.

AttentionDangers pouvant entraîner des blessures légères ou de graves dégâts matériels.

Autres symboles :

NotaDégâts matériels ou dysfonctionnement.

Recommandation, conseil, renvoi à d’autres documents.

Accessoires nécessaires ou utiles.

Informations pour une utilisation écologique.

Identifications de texte :

� Activités qui peuvent être effectuées dans n’importe quel ordre.

1. Activités qui doivent être effectuées dans l’ordre indiqué.

– Énumérations générales.

CAMC-G-S3

Festo – GDCP-CAMC-G-S3-FR – 1406NH – Français 3

Table des matières – CAMC-G-S3

1 Sécurité et conditions préalables à l'utilisation du produit 13. . . . . . . . . . . . . . . . . . . . . . . .

1.1 Sécurité 13. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

1.1.1 Mesures générales de sécurité 13. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

1.1.2 Usage normal 13. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

1.1.3 Mauvais usage prévisible 14. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

1.1.4 Niveau de sécurité pouvant être atteint,

fonction de sécurité selon EN ISO 13849-1/EN 61800-5-2 15. . . . . . . . . . . . . . . . .

1.2 Conditions préalables à l'utilisation du produit 16. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

1.2.1 Conditions techniques préalables 16. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

1.2.2 Qualification du personnel technique (exigences imposés au personnel) 16. . . . .

1.2.3 Niveau de couverture du diagnostic (DC) 16. . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

1.2.4 Domaine d'application et homologations 17. . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2 Description de produit Module de sécurité CAMC-G-S3 18. . . . . . . . . . . . . . . . . . . . . . . . . . .

2.1 Vue d’ensemble du produit 18. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.1.1 Utilisation 18. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.1.2 Caractéristiques de puissance 18. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.1.3 Appareils pris en charge 19. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.1.4 Éléments de commande et raccordements 20. . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.1.5 Contenu de la livraison 20. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.2 Fonctionnement et application 21. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.2.1 Présentation du système 21. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.2.2 Câblage du module de sécurité [X40] 23. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.2.3 Vue d'ensemble des fonctions de sécurité prises en charge 25. . . . . . . . . . . . . . . .

2.2.4 Schéma de branchement fonctionnel du module de sécurité 26. . . . . . . . . . . . . . .

2.2.5 Vue d'ensemble des codeurs de position pris en charge 30. . . . . . . . . . . . . . . . . .

2.2.6 Échange de données et commande du contrôleur de moteur 33. . . . . . . . . . . . . . .

2.2.7 Configuration des fonctions de sécurité avec le SafetyTool 36. . . . . . . . . . . . . . . .

2.3 Reprise de données à partir du contrôleur de moteur 37. . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.3.1 Informations de base 38. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.3.2 Configuration des codeurs 40. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.3.3 Paramètres pour les codeurs de position 41. . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.3.4 Paramètres pour la surveillance de codeurs et l'enregistrement de la vitesse de

rotation 43. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.3.5 Liste de l'ensemble des paramètres pour la configuration du codeur 46. . . . . . . .

2.4 Entrées numériques 48. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.4.1 Aperçu 48. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.4.2 Entrées sûres à deux canaux DIN40 … DIN43 [X40] 53. . . . . . . . . . . . . . . . . . . . . .

2.4.3 Entrées numériques à un canal (conditionnellement sûres)

DIN44 … DIN49 [X40] 59. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

CAMC-G-S3


2.5 Fonctions de sécurité 63. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.5.1 STO - couple désactivé de manière sûre (Safe Torque Off ) 66. . . . . . . . . . . . . . . . .

2.5.2 SBC – commande de freinage sûre (Safe Brake Control) 69. . . . . . . . . . . . . . . . . .

2.5.3 SS1 – arrêt sûr 1 (Safe Stop 1) 77. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.5.4 SS2 – arrêt sûr 2 (Safe Stop 2) 84. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.5.5 SOS – arrêt de service sûr (Safe Operating Stop) 91. . . . . . . . . . . . . . . . . . . . . . . .

2.5.6 Fonctions de sécurité universelles USF 95. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.5.7 Fonctions de vitesse sûres SSF 95. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.5.8 SLS – vitesse limitée de manière sûre (Safely-Limited Speed) 103. . . . . . . . . . . . . .

2.5.9 SSR – plage de vitesse sûre (Safe Speed Range) 104. . . . . . . . . . . . . . . . . . . . . . . .

2.5.10 SSM – surveillance de vitesse sûre (Safe Speed Monitor) 105. . . . . . . . . . . . . . . . .

2.6 Fonctions logiques 106. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.6.1 Sélecteur de mode de fonctionnement 106. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.6.2 Terminal de dialogue à deux mains 108. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.6.3 Advanced Logic Functions – ALF 110. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.7 Remise en marche 111. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.7.1 Gamme des fonctions 111. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.7.2 Exemples et remarques particulières pour l'implémentation 112. . . . . . . . . . . . . . .

2.8 Gestion et validation des erreurs 114. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.8.1 Déclenchement d'erreurs et classes d'erreurs 114. . . . . . . . . . . . . . . . . . . . . . . . . .

2.8.2 Paramétrage de la réaction sur erreur du module de sécurité 117. . . . . . . . . . . . . .

2.8.3 Logique de validation des erreurs 118. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.9 Sorties numériques 120. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.9.1 Sorties à deux canaux sûres DOUT40 … DOUT42 [X40] 120. . . . . . . . . . . . . . . . . . .

2.9.2 Commande de freinage interne du contrôleur de moteur [X6] 124. . . . . . . . . . . . . .

2.9.3 Contact de signalisation C1, C2 [X40] 127. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.9.4 Alimentation auxiliaire +24 V [X40] 129. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.10 État de service et indications d'état 130. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.10.1 États du système / machine d'état 130. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.10.2 Affichage de l’état au niveau du module de sécurité 134. . . . . . . . . . . . . . . . . . . . .

2.10.3 Afficheur à 7 segments du contrôleur de moteur 135. . . . . . . . . . . . . . . . . . . . . . . .

2.11 Mémoire de diagnostic permanente et temporaire dans le contrôleur de moteur 135. . . . . . .

2.12 Fonction de transfert 137. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.12.1 Périodes d'échantillonnage 137. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2.12.2 Temps de réaction en cas de demande d'une fonction de sécurité 137. . . . . . . . . . .

2.12.3 Temps de réaction en cas de dysfonctionnement d'une fonction de sécurité 139. . .

2.12.4 Autres durées pour la détection d'erreurs et la communication 141. . . . . . . . . . . . .

2.13 Micro-interrupteurs DIL 141. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

CAMC-G-S3


3 Montage et installation 142. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

3.1 Montage/démontage 142. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

3.2 Installation électrique 144. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

3.2.1 Instructions de sécurité 144. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

3.2.2 Terre du système 145. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

3.2.3 Raccordement [X40] 145. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

3.2.4 Câblage minimal pour la première mise en service [X40] 147. . . . . . . . . . . . . . . . . .

3.3 Exemples de circuits 148. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

3.3.1 Demande de sécurité via les appareils avec contacts de commutation 149. . . . . . .

3.3.2 Demande de sécurité via les appareils avec sorties semi-conductrices 150. . . . . . .

3.3.3 Demande de sécurité via un dispositif de coupure de sécurité 151. . . . . . . . . . . . . .

3.3.4 Enchaînement de plusieurs CMMP-AS-…-M3 avec le CAMC-G-S3 153. . . . . . . . . . . .

3.3.5 Commande d'une unité de blocage 155. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

3.3.6 Commande d'une unité de blocage à 2 canaux 156. . . . . . . . . . . . . . . . . . . . . . . . . .

3.3.7 Raccordement de codeurs pour fonctions de sécurité dynamiques 157. . . . . . . . . .

3.3.8 Commande d'un bloc de commande de soupape à 2 canaux avec fonctions

de sécurité 158. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4 Mise en service 161. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.1 Avant la mise en service 162. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.2 Réglage des micro-interrupteurs DIL 162. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.3 Consignes pour le paramétrage avec le plug-in FCT CMMP-AS 163. . . . . . . . . . . . . . . . . . . . . .

4.3.1 Paramétrage de la configuration 163. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.3.2 Réglage de la configuration du codeur 163. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.3.3 Définitions des unités de mesure (en option) 164. . . . . . . . . . . . . . . . . . . . . . . . . . .

4.3.4 Reprise du module de sécurité 164. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.3.5 Indication d'état 165. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.3.6 Affichage de la mémoire de diagnostic permanente du contrôleur de moteur 165. .

4.4 Bases pour le paramétrage du module de sécurité 168. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.4.1 Réglage en usine 168. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.4.2 Etat à la livraison 170. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.4.3 PlugIn FCT CMMP-AS et SafetyTool 170. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.5 Paramétrage sûr avec le SafetyTool 171. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.5.1 Démarrage du programme 171. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.5.2 Sélection des types de session – Assistant de configuration 171. . . . . . . . . . . . . . .

4.5.3 Paramétrage en ligne 172. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.5.4 Paramétrage hors ligne 174. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.5.5 Règles de base pour le paramétrage avec le SafetyTool 175. . . . . . . . . . . . . . . . . . .

4.5.6 Comportement en cas de paramétrage non valide 178. . . . . . . . . . . . . . . . . . . . . . .

4.5.7 Version du bloc de paramètres 178. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

CAMC-G-S3


4.6 Déroulement du paramétrage avec le SafetyTool (exemple) 179. . . . . . . . . . . . . . . . . . . . . . . .

4.6.1 Sélection de la variante de session dans l'assistant 180. . . . . . . . . . . . . . . . . . . . . .

4.6.2 Reprise de données et comparaison 181. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.6.3 Démarrage du paramétrage 183. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.6.4 Contrôle de la reprise de données 184. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.6.5 Informations de base 184. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.6.6 Configuration du codeur 184. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.6.7 Configurer des entrées numériques 185. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.6.8 Sélection et paramétrage des fonctions de sécurité 186. . . . . . . . . . . . . . . . . . . . . .

4.6.9 Fonctions logiques 190. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.6.10 Logique Validation des erreurs 191. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.6.11 Sorties numériques 191. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.6.12 Gestion des erreurs 191. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.6.13 Fin du paramétrage 191. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.7 Fonctions spéciales de SafetyTool 193. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.7.1 Modification du mot de passe 193. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.7.2 Définition des paramètres par défaut 193. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.7.3 Contrôle de vraisemblance 193. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.7.4 Vue d'ensemble des paramètres 194. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.7.5 Fenêtre de diagnostic 195. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

4.8 Test de fonctionnement et validation 197. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5 Conditions d'utilisation et d'emploi 200. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.1 Obligations de l'exploitant 200. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.2 Maintenance et entretien 200. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.3 Fonctions de protection 200. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.3.1 Alimentation - Protection contre les surtensions et l'inversion de polarité

Surveillance de la tension 200. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.3.2 Alimentation de l'électronique interne 200. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.3.3 Alimentation Failsafe 201. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.3.4 Fonctions de protection pour les sorties numériques 201. . . . . . . . . . . . . . . . . . . . .

5.3.5 Fonctions de protection pour les entrées numériques 201. . . . . . . . . . . . . . . . . . . .

5.3.6 Fonctions de protection pour la commande de freinage 201. . . . . . . . . . . . . . . . . . .

5.3.7 Fonctions de protection de l'alimentation pour la commande des pilotes 202. . . . .

5.3.8 Fonctions de protection pour les codeurs de position raccordés 202. . . . . . . . . . . .

5.3.9 Fonctions de protection internes de l'électronique du module de sécurité 202. . . .

5.3.10 Surveillance du respect des fonctions de sécurité demandées 203. . . . . . . . . . . . .

5.4 Diagnostic et dépannage 204. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.4.1 Témoins LED sur le module de sécurité 204. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.4.2 Afficheur à 7 segments du contrôleur de moteur 205. . . . . . . . . . . . . . . . . . . . . . . .

CAMC-G-S3


5.5 Messages d'erreur et traitement des erreurs 207. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.5.1 Numéros d’erreur 207. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.5.2 Validation des erreurs 207. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.5.3 Messages de diagnostic 208. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5.6 Messages de diagnostic avec remarques relatives à l'élimination de l'incident 209. . . . . . . . .

6 Maintenance, réparation, remplacement et mise au rebut 226. . . . . . . . . . . . . . . . . . . . . . . .

6.1 Maintenance 226. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

6.2 Réparation 226. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

6.3 Remplacement du module de sécurité 226. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

6.3.1 Démontage et montage 227. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

6.3.2 Reprise du module de sécurité 227. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

6.3.3 Nouvelle mise en service avec le SafetyTool 227. . . . . . . . . . . . . . . . . . . . . . . . . . . .

6.4 Mise hors service et mise au rebut 228. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A Annexe technique 229. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.1 Caractéristiques techniques 229. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.1.1 Technique de sécurité 229. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.1.2 Généralités 230. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.1.3 Conditions de fonctionnement et d’environnement 231. . . . . . . . . . . . . . . . . . . . . .

A.1.4 Entrées numériques DIN40A/B à DIN43A/B et DIN44 à DIN49 [X40] 233. . . . . . . . .

A.1.5 Sorties numériques DOUT40A/B à DOUT42A/B [X40] 234. . . . . . . . . . . . . . . . . . . .

A.1.6 Contact de signalisation C1/C2 [X40] 235. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.1.7 Alimentation auxiliaire 24 V [X40] 235. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.1.8 Exécution du câble de connexion [X40] 236. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.1.9 Sortie numérique pour un frein de maintien sur l'appareil de base [X6] 236. . . . . . .

A.2 Indices de sécurité 238. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.2.1 Fonctions de sécurité 238. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.2.2 Entrées numériques 239. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.2.3 Systèmes de codeurs 241. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.2.4 Sorties numériques 258. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.3 Précision du système et temps de réaction 260. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.3.1 Précision de la surveillance de position (SOS, arrêt de service sûr) du point

de vue de l'application 261. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.3.2 Précision de la surveillance de la vitesse (SLS, SSR)

du point de vue de l'application 262. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.3.3 Détermination des paramètres significatifs pour Safe Speed Function

(avec SLS, SSR) 263. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.3.4 Exigences en cas d'erreurs de codeur du point de vue de l'application 264. . . . . . .

A.3.5 Surveillance des longueurs vectorielles des signaux analogiques du codeur

(résolveur, codeur SIN/COS) 267. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

CAMC-G-S3


A.3.6 Conséquence d'une erreur d'angle dans les limites d'erreur de

la surveillance des longueurs vectorielles sur le signal de vitesse 271. . . . . . . . . . .

A.3.7 Base pour l'observation de la précision du système 273. . . . . . . . . . . . . . . . . . . . . .

A.4 Messages d'état, diagnostic via le bus de terrain 275. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.4.1 Édition de messages d'erreur via les sorties numériques de l'appareil de base 275

A.4.2 Messages d'état via le bus de terrain – Protocole CiA 402 276. . . . . . . . . . . . . . . . .

A.4.3 Messages d'état via le bus de terrain – Protocole FHPP 280. . . . . . . . . . . . . . . . . . .

A.5 Enregistrement des données de mesure – “Trace” 283. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.5.1 Aperçu 283. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.5.2 Configuration 283. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.5.3 Lancement de la fonction Trace 285. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

A.5.4 Exemple 285. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

B Liste de référence pour les signaux de commande et les paramètres 287. . . . . . . . . . . . . . .

B.1 Liste de l'ensemble des signaux logiques 287. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

B.1.1 Entrées logiques LIN 287. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

B.1.2 Entrées virtuelles VIN 290. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

B.1.3 Sorties virtuelles VOUT 291. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

B.1.4 Sorties logiques LOUT 293. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

B.1.5 Mots d'état pour l'échange de données / le diagnostic via les bus de terrain 294. .

B.2 Liste des paramètres supplémentaires 296. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

B.3 Liste d'objets de communication importants dans l'appareil de base 303. . . . . . . . . . . . . . . .

C Glossaire 306. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

C.1 Concepts et abréviations de sécurité technique 306. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

C.2 Concepts du SafetyTool de paramétrage sûr 308. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

CAMC-G-S3


Remarques relatives à la présente documentationCette documentation a pour but d'assurer un travail sûr avec les fonctions de sécurité

– STO – Couple désactivé de manière sûre (Safe Torque Off )

– SS1 – Arrêt sûr 1 (Safe Stop 1)


– SOS – Arrêt de service sûr (Safe Operating Stop)

– SLS – Vitesse limitée de manière sûre (Safely-Limited Speed)

– SSR – Plage de vitesse sûre (Safe Speed Range)

– SSM – Surveillance de vitesse sûre (Safe Speed Monitor)

– SBC – Commande de freinage sûre (Safe Brake Control)

conformément à la norme EN 61800-5-2 grâce à l'utilisation du module de sécurité CAMC-G-S3 pour le

contrôleur moteur CMMP-AS-...-M3.

� Respecter également impérativement les consignes de sécurité générales relatives au CMMP-AS-…-M3.

Les consignes de sécurité générales relatives au CMMP-AS-...-M3 figurent dans le manuel

du matériel “Montage et installation”, GDCP-CMMP-M3-HW-... � Tab. 3.

Tenir compte des informations relatives à la sécurité et aux conditions d'utilisation du

produit au paragraphe 1.2.

Identification du produit

Cette documentation se rapporte aux versions suivantes :

– Module de sécurité CAMC-G-S3, à partir de la révision 01 (révision générale 1.1)

– Contrôleur de moteur CMMP-AS-...-M3 avec firmware à partir de la version

4.0.1501.2.1 et révision logicielle à partir de 6.0 (CMMP-AS-C2-3A-M3, CMMP-AS-

C5-3A-M3) ou à partir de 4.1 (CMMP-AS-C5-11A-P3-M3, CMMP-AS-C10-11A-P3-M3)

– FCT-PlugIn CMMP-AS à partir de la version 2.4.x.x avec SafetyTool à partir de la

version 1.0.x.x

Il s'agit des premières versions disponibles ou prises en charge. En cas de versions plus

récentes ou en cas de remplacement du module de sécurité, vérifier si les versions sont

compatibles � voir la documentation concernant la version respective utilisée.

Plaque signalétique (exemple) Signification

CAMC-G-S31501331 XX

P0012345Rév. XXDES

1

2 3 4

5

[XX]

1 Code de commande (désignation de type)2 Numéro de pièce1)

3 Code à deux caractères pour une identificationunivoque de la date de fabrication2)

4 Révision du module (révision générale, c'est-à-dire combinaison entre version matérielle etlogicielle)

5 Numéro de série en cours2)

1) Numéro de pièce du module de sécurité CAMC-G-S3

2) Permet la traçabilité du produit

Tab. 1 Plaque signalétique CAMC-G-S3

CAMC-G-S3


Service après-ventePour toute question d'ordre technique, s'adresser à l'interlocuteur Festo en région.

Version des normes indiquées

Norme : Version

EN 50178:1997 EN ISO 13849-1:2008

EN 61326-3-1:2008 EN ISO 13849-2:2012

EN 61800-3:2004 + A1:2012 EN 62061:2005

EN 61800-5-1:2007 EN 61508-1 jusqu'à -7:2010

EN 61800-5-2:2007

Tab. 2 Versions

CAMC-G-S3


DocumentationsPour obtenir des informations sur le contrôleur de moteur, consulter les documentations suivantes :

Documentation utilisateur relative au contrôleur de moteur CMMP-AS-...-M3Nom, type Table des matières

Description Matériel, GDCP-CMMP-M3-HW-...

Montage et installation du contrôleur de moteur CMMP-AS-...-M3pour toutes les variantes/classes de puissance (monophasées outriphasées), affectations des connecteurs, messages d'erreur etmaintenance.

Description Fonctions, GDCP-CMMP-M3-FW-...

Description des fonctions (Firmware) CMMP-AS-...-M3,remarques relatives à la mise en service.

Description FHPP, GDCP-CMMP-M3/-M0-C-HP-...

Commande et paramétrage du contrôleur de moteur par le profilFHPP Festo.– Contrôleur de moteur CMMP-AS-...-M3 avec les bus de

terrain suivants : CANopen, PROFINET, PROFIBUS, EtherNet/IP, DeviceNet, EtherCAT.

– Contrôleur de moteur CMMP-AS-...-M0 avec bus de terrainCANopen.

Description CiA 402 (DS 402),GDCP-CMMP-M3/-M0-C-CO-...

Commande et paramétrage du contrôleur de moteur par le profild'appareil CiA 402 (DS402)– Contrôleur de moteur CMMP-AS-...-M3 avec les bus de

terrain suivants : CANopen et EtherCAT.– Contrôleur de moteur CMMP-AS-...-M0 avec bus de terrain

CANopen.

Description Éditeur CAM, P.BE-CMMP-CAM-SW-...

Fonctionnalité “Disque à cames” (CAM) du contrôleur de moteurCMMP-AS-...-M3/-M0.

Description Module de sécurité, GDCP-CAMC-G-S1-...

Technique de sécurité fonctionnelle pour le contrôleur demoteur CMMP-AS-...-M3 avec la fonction de sécurité STO.

Description Module de sécurité, GDCP-CAMC-G-S3-...

Technique de sécurité fonctionnelle pour le contrôleur demoteur CMMP-AS-...-M3 avec les fonctions de sécurité STO,SS1, SS2, SOS, SLS, SSR, SSM, SBC.

Description Échange etconversion de projets GDCP-CMMP-M3-RP-...

Contrôleur de moteur CMMP-AS-...-M3 en remplacement descontrôleurs de moteur antérieurs CMMP-AS. Modifications lorsde l'installation électrique et description de la conversion deprojets.

Aide relative au PlugIn FCT CMMP-AS

Surface et fonctions du PlugIn CMMP-AS pour le FestoConfiguration Tool.� www.festo.com

Aide relative au SafetyTool Interface et fonctions du SafetyTool pour le paramétrage dumodule de sécurité CAMC-G-S3.

Tab. 3 Documentations relatives au contrôleur de moteur CMMP-AS-...-M3

Les documentations sont disponibles sur les supports suivants :

– CD-ROM (fourniture),

– portail d'assistance : � www.festo.com/sp

CAMC-G-S3


Symboles utilisés pour la technique de sécurité

Entrées et sorties

Entrée à deux canaux Sortie à deux canaux

Entrée à un canal Sortie de relais

Types de capteur

Sélecteur de mode de fonction

nement

Bouton-poussoir Start

Frein de retenue Terminer la fonction de sécurité

(remise en marche)

Rideau lumineux Verrouillage de porte/capot de

protection

Interrupteur d'arrêt d'urgence Bouton-poussoir d'assentiment

Acquittement Commande bimanuelle

Capteur de référence sûr Capteur de position


STO – Couple désactivé de manière

sûre (Safe torque off )

USF – Fonction de sécurité uni

verselle (Universal safety function)

SS1 – Arrêt sûr 1

(Safe stop 1)

SLS – Vitesse limitée de manière

sûre (Safely-limited speed)

SS2 – Arrêt sûr 2

(Safe stop 2)

SSR – Plage de vitesse sûre

(Safe speed range)

SOS – Arrêt de service sûr

(Safe operating stop)

SSM – Surveillance de vitesse sûre

(Safe speed monitor)

SBC – Commande de freinage sûre

(Safe brake control)

ALF – Fonction logique étendue,

aucune fonction de sécurité

(Advanced Logic Function)

Tab. 4 Symboles pour la technique de sécurité

1 Sécurité et conditions préalables à l'utilisation du produit



1.1 Sécurité

1.1.1 Mesures générales de sécurité

� Respecter également impérativement les consignes de sécurité générales relatives au CMMP-AS-…-M3.

Les consignes générales de sécurité relatives au CMMP-AS-...-M3 figurent dans la des

cription matérielle, GDCP-CMMP-M3-HW-... � Tab. 3, page 11.

NotaPerte de la fonction de sécurité.

Le non-respect des conditions de raccordement et d'environnement peut entraîner la

perte de la fonction de sécurité.

� Tenir compte des conditions ambiantes et de raccordement, notamment des tolé

rances de tension d'entrée � Caractéristiques techniques, annexe A.1.

NotaEndommagement du module de sécurité ou du contrôleur de moteur dû à une

manipulation non conforme.� Avant de procéder aux travaux de montage et d'installation, couper toutes les ten

sions d'alimentation. Ne rebrancher les tensions alimentation qu'une fois les travaux

de montage et d'installation complètement terminés.

� Ne jamais retirer le module de sécurité du contrôleur de moteur lorsqu'il est sous

tension ni l'enficher !

� Respecter les consignes de manipulation des composants sensibles aux charges

électrostatiques.

1.1.2 Usage normal

Le module de sécurité CAMC-G-S3 sert d'extension au contrôleur de moteur CMMP-AS-...-M3 afin d'at

teindre la fonction de sécurité :

– STO – Couple désactivé de manière sûre (Safe Torque Off )



– SOS – Arrêt de service sûr (Safe Operating Stop)

– SLS – Vitesse limitée de manière sûre (Safely-Limited Speed)

– SSR – Plage de vitesse sûre (Safe Speed Range)

– SSM – Surveillance de vitesse sûre (Safe Speed Monitor)

– SBC – Commande de freinage sûre (Safe Brake Control)



L'utilisation de capteurs de position adaptés et la commande appropriée du module de sécurité

permettent de satisfaire aux exigences selon EN 61800-5-2 jusqu'à SIL3 (inclus) ou selon

EN ISO 13849-1 jusqu'à la catégorie 4 / PL e (incluse).

En fonction des codeurs utilisés pour la détection de la position, seul SIL2 est atteint le cas échéant,

� paragraphe 1.1.4.

Le contrôleur de moteur CMMP-AS-...-M3 avec module de sécurité CAMC-G-S3 est un produit doté de

fonctions essentielles de sécurité, conçu pour être monté sur des machines ou des systèmes d'auto

matisation et à être utilisé exclusivement :

– dans un état fonctionnel irréprochable,

– dans son état d'origine, sans modifications non autorisées,

– dans les limites définies par les caractéristiques techniques du produit � annexe A.1,

– dans le domaine industriel.

Le module de sécurité CAMC-G-S3 peut être exploité dans l'ensemble des contrôleurs de moteur

CMMP-AS-...-M3 dotés d'un emplacement d'enfichage Ext3 pour la technique de sécurité. Il ne peut

être enfiché dans les emplacements d'enfichage Ext1 ou Ext2 destinés aux interfaces.

NotaTout dommage dû à des interventions menées par des personnes non autorisées ou

toute utilisation différant de l'usage normal entraîne l'exclusion des recours en garantie

et dégage le fabricant de sa responsabilité.

1.1.3 Mauvais usage prévisible

Les mauvais usages prévisibles suivants figurent parmi les utilisations différant de l'usage normal :

– utilisation dans un appareil autre que le CMMP-AS-…-M3,

– utilisation à l’extérieur,

– utilisation dans un domaine non industriel (zone résidentielle),

– utilisation en dehors des limites du produit définies par les caractéristiques techniques,

– modifications non autorisées.

Nota– La fonction STO n'est pas une fonction de sécurité suffisante dans le cas d'action

neurs soumis à un couple permanent (par ex. charges suspendues). Tenir compte de

cette remarque en prenant des mesures adaptées correspondantes, comme l'instal

lation d'une unité de blocage.

– Le pontage de dispositifs de sécurité n'est pas autorisé.

– Les réparations du module de sécurité ne sont pas autorisées ! Un remplacement

approprié du module de sécurité est autorisé.

La fonction STO (Safe Torque Off ) ne protège pas contre une électrocution, mais

uniquement contre des mouvements dangereux ! Il n'en résulte aucune isolation de

l'actionneur de l'alimentation électrique au sens de la sécurité électrique � description

matérielle, GDCP-CMMP-M3-HW-...



1.1.4 Niveau de sécurité pouvant être atteint, fonction de sécurité selon EN ISO 13849-1/EN 61800-5-2

Le module de sécurité répond aux exigences des principes de test

– catégorie 4, PL e selon EN ISO 13849-1,

– SIL CL 3 selon EN 62061,

et peut être utilisé dans des systèmes de catégorie 4 / PL e selon EN ISO 13849-1 et jusqu'à SIL�3 selon

EN 62061 / CEI 61508.

Le niveau de sécurité pouvant être atteint dépend des autres composants utilisés pour l'application de

la fonction de sécurité.

Contrôleurde moteur

Module de sécurité

Entrées/sorties

Codeur 1

Codeur 2

CAMC-G-S3: Cat. 4 / PL e, SIL 3

Périphériques : Cat. ... / PL ..., SIL ... � annexe A.2

Fig. 1.1 Niveau de sécurité CAMC-G-S3 et système complet

Respecter les combinaisons de codeurs de position autorisées avec les remarques

correspondantes � paragraphe 2.2.5, Tab. 2.7.

Pour des informations relatives aux valeurs caractéristiques de sécurité atteignables pour les

différentes fonctions de sécurité avec les périphériques correspondants � annexe A.2



1.2 Conditions préalables à l'utilisation du produit

� Mettre la notice d'utilisation complète à disposition du concepteur, du monteur et de l'ensemble dupersonnel chargé de la mise en service de la machine ou de l'installation dans laquelle ce produitsera utilisé.

� Veiller au respect permanent des consignes figurant dans la présente notice. À cet effet, prendreégalement en considération toutes les documentations concernant les autres composants et modules (comme le contrôleur de moteur, les câbles, etc.).

� Pour le lieu de destination, tenir également compte des réglementations légales en vigueur,notamment :– des prescriptions et normes,– des règlements des organismes de certification et des assurances,– des dispositions nationales en vigueur.

� Le module de sécurité satisfait aux exigences de la norme EN 61800-5-2. Pour les autres composants de sécurité utilisés dans la machine ainsi que leur utilisation, les prescriptions, normes etdirectives à prendre en considération dans le cas général s'appliquent également.

� En cas d'applications d'arrêt d'urgence, il convient de prévoir une protection contre la remise enmarche automatique qui respecte la catégorie de sécurité exigée. Celle-ci peut être atteinte par ex.en utilisant un interrupteur de sécurité externe ou un paramétrage adapté du module de sécuritéCAMC-G-S3 � paragraphe 2.7.

1.2.1 Conditions techniques préalablesConsignes générales à respecter en permanence pour garantir un fonctionnement correct et sécurisé dece produit :� Respecter les conditions ambiantes et de raccordement spécifiées dans les caractéristiques

techniques du module de sécurité (� annexe A.1), du contrôleur de moteur ainsi que de tous lescomposants connectés. Seul le respect des valeurs limites ou des limites de charge permet un fonctionnement du produitconforme aux directives de sécurité en vigueur.

� Respecter les avertissements et remarques figurant dans cette documentation.

1.2.2 Qualification du personnel technique (exigences imposés au personnel)Cet appareil doit impérativement être mis en service par une personne qualifiée dans le domaine del'électrotechnique et familiarisée avec les éléments suivants :– l'installation et le fonctionnement de systèmes de commande électriques,– les prescriptions en vigueur concernant l'exploitation des installations de sécurité,– les prescriptions en vigueur relatives à la sécurité au travail et la prévention des accidents,– la documentation relative à ce produit.

1.2.3 Niveau de couverture du diagnostic (DC)Le niveau de couverture du diagnostic dépend de l'intégration du contrôleur de moteur avec module desécurité dans la chaîne d'asservissement, des moteurs/codeurs de position utilisés ainsi que des mesures appliquées pour le diagnostic.



Des mesures appropriées de maintien du niveau de sécurité doivent être prévues dans le cas où undysfonctionnement est décelé lors du diagnostic.

NotaLa réaction du module de sécurité par rapport à l'erreur détectée peut être paramétrée

de manière correspondante, par ex. activation de la fonction de sécurité SS1 et SBC en

cas de court-circuit transversal des signaux d'entrée sûres.

NotaVérifier si l'application requiert une détection des courts-circuits transversaux du circuit

d'entrée et le câblage de raccordement.

Le cas échéant, utiliser un interrupteur de sécurité avec détection des courts-circuits

transversaux pour la commande du module de sécurité ou utiliser les sorties sûres du

module de sécurité pour l'alimentation des interrupteurs passifs en combinaison avec

les fonctions de surveillance correspondantes pour les entrées sûres.

1.2.4 Domaine d'application et homologationsLe contrôleur de moteur avec module de sécurité intégré est un composant de sécurité conforme à la

directive machine 2006/42/CE et possède le marquage CE.

Les normes de sécurité et les valeurs d'essai que respecte le produit sont indiquées dans le paragraphe

“Caractéristiques techniques” � annexe A.1. Les directives CE et normes relatives à ce produit figurent

dans la déclaration de conformité.

Les certificats et la déclaration de conformité de ce produit sont disponibles à l'adresse

� www.festo.com/sp.

2 Description de produit Module de sécurité CAMC-G-S3



2.1 Vue d’ensemble du produit

2.1.1 Utilisation

Avec une automatisation croissante, la protection des personnes des déplacements dangereux prend

une place toujours plus importante. La sécurité fonctionnelle décrit les mesures nécessaires pour les

dispositifs électriques ou électroniques afin de réduire ou d'éliminer les dangers occasionnés par des

dysfonctionnements. En fonctionnement normal, les dispositifs de protection empêchent tout accès

humain aux points dangereux. Dans des modes de fonctionnement définis, par ex. lors du réglage, des

personnes doivent également se tenir dans les zones dangereuses. Dans ces situations, l'opérateur

doit être protégé par des mesures internes d'actionnement et de commande.

La technique de sécurité fonctionnelle intégrée avec le module de sécurité CAMC-G-S3 dans le cont

rôleur de moteur CMMP-AS-...-M3 offre les conditions côté commande et côté actionnement pour la

réalisation optimale des fonctions de protection. Les dépenses de planification et d'installation

baissent. Grâce à l'utilisation de la technique de sécurité fonctionnelle intégrée, la fonctionnalité de la

machine et la disponibilité augmentent par rapport à l'utilisation d'une technique de sécurité

classique.

Les contrôleurs de moteur de la gamme CMMP-AS-...-M3 peuvent être équipés de modules enfichables

pour la technique de sécurité fonctionnelle intégrée. Les modules suivants sont disponibles :

Type Description

CAMC-DS-M1 Module de micro-interrupteurs avec micro-interrupteurs DIL, aucune fonction desécurité.

CAMC-G-S1 Module de sécurité avec fonction STO et micro-interrupteurs DIL.

CAMC-G-S3 Module de sécurité avec les fonctions STO, SS1, SS2, SOS, SBC, SLS, SSR, SSM

et micro-interrupteurs DIL.

Tab. 2.1 Aperçu des modules de sécurité et de micro-interrupteurs pour le CMMP-AS-...-M3

2.1.2 Caractéristiques de puissanceLe module de sécurité CAMC-G-S3 possède les caractéristiques de performance suivantes :

– Capacité d'atteindre une ou plusieurs des fonctions de sécurité suivantes :

– STO - couple désactivé de manière sûre (Safe Torque Off )

– SS1 – arrêt sûr (Safe Stop 1)

– SS2 – arrêt sûr 2 (Safe Stop 2)

– SOS – arrêt de service sûr (Safe Operating Stop)

– SLS – vitesse limitée de manière sûre (Safely-Limited Speed)

– SSR – plage de vitesse sûre (Safe Speed Range)

– SSM – surveillance de vitesse sûre (Safe Speed Monitor)

– SBC – commande de freinage sûre (Safe Brake Control)



– Entrées à un canal et à deux canaux pour la demande des fonctions de sécurité.

– Sorties sûres à deux canaux pour la commande d'éléments et de fonctions de sécurité supplémen

taires.

– Contact d'accusé de réception libre de potentiel pour l'état de fonctionnement.

– Exécution comme module enfichable de l'extérieur, un équipement ultérieur est ainsi possible.

Cette technique de sécurité fonctionnelle intégrée dans le contrôleur de moteur permet :

– Des temps de réaction extrêmement courts grâce à une détection rapide des états dangereux.

– Une détection complète des risques grâce à un accès rapide et direct à une multitude de signaux et

de valeurs mesurées dans le contrôleur de moteur.

– L'analyse d'une multitude de capteurs de position, comme par ex. résolveurs, codeurs SIN/COS,

codeurs Hiperface, ainsi que l'analyse de capteurs de position avec des protocoles purement sériels

(ENDAT 2.2, BISS, ...)

– Si besoin est, l'accès rapide et direct aux valeurs de consigne / à la commande du régulateur

d'actionnement. Un axe peut également être mis à l'arrêt de manière sûre et contrôlée sans

l'intervention de la commande fonctionnelle / de l'API ou être ralenti jusqu'à atteindre une vitesse

limitée.

– Une interaction directe entre la commande séquentielle dans le contrôleur de moteur et le module

de sécurité. Ainsi, l'unité de blocage ou le frein de maintien après demande de la fonction de sécu

rité SBC et redémarrage subséquent par ex., est ouvert uniquement lorsque le contrôleur de moteur

régule à nouveau activement la position. Un “affaissement” des axes verticaux est évité, la prog

rammation d'un cycle dans la commande fonctionnelle devient inutile.

2.1.3 Appareils pris en chargeLe module de sécurité CAMC-G-S3 s'utilise exclusivement dans les contrôleurs de moteur conformé

ment au paragraphe 1.1.2. Les contrôleurs de moteur CMMP-AS-...-M3 sont livrés sans module de

sécurité ou module de micro-interrupteurs dans l'emplacement d'enfichage Ext3 destiné aux modules

de sécurité.

Grâce à l'emploi du module de sécurité CAMC-G-S3, l'extension de la sécurité fonctionnelle intégrée

aux fonctions de sécurité décrites dans cette documentation est possible pour la surveillance et la

commande des déplacements de sécurité.

Si aucune fonction de sécurité n'est nécessaire, le module de micro-interrupteurs

CAMC-DS-M1 doit être commandé et monté dans l'emplacement d'enfichage Ext3.



2.1.4 Éléments de commande et raccordementsLe module de sécurité CAMC-G-S3 dispose des éléments de commande, raccordements et éléments

d'affichage suivants :

5

6

2

3 4

1

Broche 13

7

Broche 24

Broche 1

Broche 12

1 Contrôleur de moteur CMMP-AS-...-M3 avecemplacement d'enfichage Ext3

2 Afficheur à 7 segments du contrôleur demoteur, pour l'affichage de la fonction desécurité active ou des messages d'erreur dumodule de sécurité

3 Module de sécurité CAMC-G-S3

4 Interface I/O [X40A] et [X40B] pour la commande des fonctions de sécurité

5 LED d'affichage de l'état de fonctionnement(état de la sécurité fonctionnelle)

6 Micro-interrupteur DIL (activation/configuration de la communication du bus deterrain dans le contrôleur de moteur)

7 Connexion de la terre du système (fiche mâle plate 6,3 mm)

Fig. 2.1 Élément de commande et raccordements CAMC-G-S3

2.1.5 Contenu de la livraison

Module de sécurité CAMC-G-S3

Module de sécurité avec matériel de fixation

(2 vis avec rondelle élastique)

Module pour fonctions de sécurité STO, SS1,

SS2, SOS, SLS, SSR, SSM, SBC

2 connecteurs mâles pour interface I/O [X40A],

[X40B]

(également disponibles séparément en tant

qu'assortiment de connecteurs NEKM-C-9)

PHOENIX MiniCombicon MC1,5_12ST-3,81-BK

Description sommaire avec instructions de

montage

allemand / anglais / espagnol / français / italien

/ chinois

Tab. 2.2 Contenu de la livraison



2.2 Fonctionnement et application

2.2.1 Présentation du système

La figure suivante présente un actionneur typique avec technique de sécurité fonctionnelle intégrée,

comprenant les composants suivants :

– contrôleur de moteur CMMP-AS-...-M3,

– module de sécurité CAMC-G-S3,

– servomoteur synchrone, par ex. de la série EMMS-AS ou EMME-AS de Festo,

– axe linéaire avec second système de mesure, par ex. EGC-...-M... de Festo,

– unité de blocage sûre.

Moteur

Bus de terrainou X1

Appareildebase μC

μC1

μC2

DIN40A/BDIN41A/B

DIN42A/B

DIN43A/BDIN44

DIN45

DIN46DIN47

DIN48

DIN49DOUT40A/B

DOUT41A/B

DOUT42A/BC1

C2

BR+BR-

STOSBC

SS1

SS2SOS

SLS

SSMSSR

Contrôleurde moteur Module de sécurité Demande via

DIN4x

Par ex. unité de blocage externe viaDOUT4x

X40

État

DIL

Phases moteur U/V/WSystème de mesure linéaireX6

X2A

X2B

X10

Frein de maintien dans le moteur

État

Diagnostic

Codeur X2A

Codeur X2B

Codeur X10

Fig. 2.2 Principe de fonctionnement du module de sécurité

La régulation d'actionnement et la commande fonctionnelle de l'axe de déplacement s'effectuent

comme à l'accoutumée par le biais du contrôleur de moteur CMMP-AS-...-M3 et des interfaces de com

mande affectées, par ex. [X1] ou via un bus de terrain.

Le module de sécurité surveille le fonctionnement du régulateur d'actionnement du contrôleur de

moteur. Pour ce faire, les grandeurs de sécurité des déplacements du moteur sont enregistrées et

surveillées selon les fonctions de sécurité sélectionnées. En cas de non-respect des limites de sécurité,

par ex. le dépassement d'une vitesse maximale autorisée, le module de sécurité peut par ex. désactiver



de manière sûre l'alimentation pilote pour les semi-conducteurs de puissance et empêcher ainsi que

l'étage de sortie de puissance ne fournisse l'énergie requise par le moteur.

NotaUne défaillance technique ou une coupure de l'alimentation électrique entraîne la

désactivation de l'étage de sortie de puissance du contrôleur de moteur. En fonction de

l'application, il peut en résulter des limitations relatives à la sécurité.

La surveillance de sécurité de l'axe s'effectue comme suit dans le module de sécurité :

– Deux contrôleurs de moteurs œuvrent dans le CAMC-G-S3 dans une structure redondante. Ils com

parent en cours de fonctionnement, tous les signaux d'entrée et de sortie importants ainsi que les

données des codeurs de position.

– Les fonctions de sécurité dans le CAMC-G-S3 sont demandées et activées via les entrées numé

riques sûres du module de sécurité, par d'autres fonctions de sécurité ou en tant que réaction sur

erreur. Les combinaisons logiques permettent de régler quelles entrées numériques demandent une

fonction de sécurité dans quelle combinaison de signaux.

– Dès qu'une fonction de sécurité est active, la surveillance sûre de l'état de l'appareil de base et de

l'axe peut avoir lieu.

– À cet effet, le module de sécurité enregistre le déplacement de l'axe (position, vitesse) par le biais

du codeur de position dans le moteur et, selon l'architecture du système, via un second système de

mesure.

– Pour ce faire, les capteurs de position sont, comme à l'accoutumée, raccordés à [X2A], [X2B] et

[X10] sur l'appareil de base. Les signaux sont transmis en interne au module de sécurité.

Important : Selon le niveau de sécurité demandé et selon la configuration de l'axe, un

second système de mesure peut s'avérer nécessaire sur l'axe.

– Lorsque l'axe se trouve dans un état sûr, la fonction de sécurité signale l'état SSR, “Safe State Rea

ched” ; en cas de non-respect des conditions de sécurité, la fonction de sécurité signale l'état SCV

“Safety Condition Violated”.

– Le module de sécurité dispose de sorties numériques sûres permettant de signaler l'état de sécu

rité à l'extérieur, par ex. à une commande de sécurité externe ou à un autre CAMC-G-S3 ou pour

l'alimentation d'entrées numériques avec impulsions tests.

– Le module de sécurité commande - par le biais d'un chemin d'accès interne - la sortie de pilotage de

freinage sur le raccord du moteur [X6] et autorise ainsi la fonction de sécurité SBC dans la combinai

son avec une unité de blocage certifiée correspondante.

– Une unité de blocage externe peut également être commandée via une sortie numérique sûre et un

dispositif de commutation externe sûr.

Important : La mise en œuvre de la fonction de sécurité SBC nécessite l'utilisation d'une

unité de blocage avec niveau de sécurité correspondant. En règle générale, une analyse

du risque doit être effectuée pour tous les types de freins de maintien ou d'unités de

blocage sans certification et l'adéquation pour l'application de sécurité en question doit

être confirmée. Dans le cas contraire, ils ne doivent pas être utilisés.

Généralement, le frein de maintien dans les moteurs n'est pas qualifié en conséquence et

n'est donc pas adapté.



– Un contact de signalisation libre de potentiel est disponible à des fins de diagnostic

– L'état de fonctionnement du module de sécurité est indiqué via une LED d'état et via l'afficheur à

7 segments de l'appareil de base

Des données sont échangées entre le module de sécurité et l'appareil de base par le biais d'une inter

face de communication interne.

– Ainsi, l'appareil de base connaît toujours l'état de fonctionnement actuel du module de sécurité,

par ex. la demande et l'exécution d'une fonction de sécurité ou encore le non-respect éventuel

d'une condition de sécurité.

– L'état de fonctionnement de la technique de sécurité peut ainsi être signalé à la commande

fonctionnement via les différentes interfaces du bus de terrain.

– Le module de sécurité peut intervenir activement dans la commande de l'appareil de base, sans

détour par la commande fonctionnelle. Par ex. en cas de demande de la fonction de sécurité SS2,

l'actionneur peut être ramené activement avec un délai à une vitesse nulle

Important : Cette fonction est surtout avantageuse en cas de déplacement d'axes indivi

duels. À l'inverse, si l'axe est déplacé dans un mode de fonctionnement en interpolation

(par ex. CAN interpolated position mode), cette fonction est peu utile.

Autres fonctions du firmware dans le module de sécurité :

– Désactivation sûre du contrôleur de moteur en cas d'erreur, réaction variable à différentes erreurs.

– Analyse des signaux des entrées sûres, surveillance du bon fonctionnement du matériel (impulsions

tests).

– Commande des sorties sûres, surveillance du bon fonctionnement du matériel.

– Surveillance sûre du fonctionnement conforme du microcontrôleur : test cyclique de la mémoire

(RAM, Flash) et du CPU.

– Surveillance des tensions d'alimentation.

– Surveillance croisée des deux microcontrôleurs impliqués.

– Gestion des blocs de paramètres, réalisation d'un paramétrage sûr, protégé par des sommes de

contrôle et un mot de passe.

2.2.2 Câblage du module de sécurité [X40]

Pour le câblage des fonctions de sécurité, le module de sécurité dispose d'une interface à 24 pôles

[X40A/B] avec les raccords suivants :

– 4 entrées de capteurs numériques, à deux canaux avec affectation configurable (entrées SIL3),

– 6 entrées numériques à un canal avec affectation configurable (entrées SIL2 max.), par ex. comme

– 1 sélecteur de mode de fonctionnement numérique à 3 pôles

– 1 entrée pour la validation des erreurs

– 1 entrée pour la commande de la remise en marche après demande d'une fonction de sécurité

– 1 entrée pour un signal d'accusé de réception d'une unité de blocage externe

– 3 sorties numériques à deux canaux (SIL3) avec affectation configurable, utilisable alternativement

en tant que sortie d'horloge,

– 1 contact d'accusé de réception (contact de relais) à des fins de diagnostic,

– potentiel de référence pour toutes les entrées et sorties,

– une alimentation électrique auxiliaire 24 V pour les capteurs raccordés.



Tab. 2.3 montre les raccords classés par fonctions. L'affectation des connecteurs classés par numéros

de broche figure au � paragraphe 3.2, Installation électrique.

Désignation Description (réglage à l'usine1)) Broche, connecteur

Entrées numériques

X40A X40B

DIN40A Entrée numérique 40 à deux canaux

(réglage à l'usine : Dispositif de commutation d'arrêt

d'urgence, demande STO et SBC)

X40A.1

DIN40B X40A.2

DIN41A Entrée numérique 41 à deux canaux X40B.13

DIN41B X40B.14

DIN42A Entrée numérique 42 à deux canaux X40A.3

DIN42B X40A.4

DIN43A Entrée numérique 43 à deux canaux X40B.15

DIN43B X40B.16

DIN 44 Entrée numérique 44 (réglage à l'usine : Message de

retour Commande de freinage)

X40A.7

DIN 45 Entrées numériques 45, 46, 47 (réglage à l'usine :

Sélecteur du mode de fonctionnement)

X40A.8

DIN 46 X40A.9

DIN 47 X40A.10

DIN 48 Entrée numérique 48 (réglage à l'usine : Validation des

erreurs).

X40A.11

DIN 49 Entrée numérique 49 (réglage à l'usine : Fonction de

sécurité Terminer lors de flancs ascendants).

X40A.12

Sorties numériques et contact de signalisation

DOUT40A Sortie numérique 40 à deux canaux X40A.5

DOUT40B X40A.6

DOUT41A Sortie numérique 41, à deux canaux X40B.17

DOUT41B X40B.18

DOUT42A Sortie numérique 42, à deux canaux X40B.19

DOUT42B X40B.20

C1 Contact de signalisation, contacts de relais

(réglage à l'usine : État sûr atteint, toutes les

conditions de sécurité sont respectées).

– ouvert : “Fonctions de sécurité inactives”

– fermé : “Fonctions de sécurité actives”

X40B.21

C2 X40B.22

Potentiel de référence et alimentation auxiliaire

GND24 0 V, potentiel de référence pour DINx / DOUTx / +24 V X40B.23

+24 V Sortie 24 V, alimentation auxiliaire par ex. pour les

périphériques sécurisés (alimentation logique 24 V DC

du contrôleur de moteur).

X40B.24

1) Fonction à l'état de livraison ou après réinitialisation au réglage à l'usine (préparamétrage)

Tab. 2.3 Entrées et sorties numériques, contact de signalisation, potentiel de référence et alimenta

tion auxiliaire [X40]



2.2.3 Vue d'ensemble des fonctions de sécurité prises en chargeLe module de sécurité prend en charge les fonctions de déplacement et d'arrêt sûres suivantes :

Fonction Nombre Commentaire

STO 1 Arrêt non commandé, blocage de démarrage sûr � paragraphe 2.5.1

SS1 1 Arrêt contrôlé avec STO subséquent � paragraphe 2.5.3

SS2 1 Arrêt contrôlé avec SOS subséquent � paragraphe 2.5.4

SOS 1 Arrêt sûr (avec “limite subtile de la vitesse de rotation”1)) � paragraphe 2.5.5

USF 4 “Universal Safety Function”, fonctions de sécurité regroupées.

Dans “Safe Speed Function” (SSF), un paramétrage correspondant permet

de réaliser les fonctions de sécurité suivantes :

SLS Vitesse limitée de manière sûre � paragraphe 2.5.8

SSR Plage de vitesse sûre � paragraphe 2.5.9

SSM Vitesse surveillée de manière sûre � paragraphe 2.5.9

SBC 1 Commande de freinage sûre � paragraphe 2.5.2

1) Un déplacement lent dans la fenêtre de position surveillée peut être autorisé

Tab. 2.4 Équipement du module de sécurité



2.2.4 Schéma de branchement fonctionnel du module de sécuritéLes fonctions du module de sécurité sont expliquées à l'aide du schéma de branchement fonctionnel suivant :

DO

UT4

0A/B

DO

UT4

2A/B

BR

+/B

R-

C1/C

2

U_O

S+/

U_U

S

[5x-

x] x

xx_E

RR

INPU

T FI

LTER

+ LOG

IC

Safe

ty F

unct

ions

Safe

ty F

unct

ion

STO

Logi

c

... ...

...

Safe

ty F

unct

ion

SS

1

Logi

c

... ...

...

Safe

ty F

unct

ion

SB

C

Logi

c

... ...

...

Logi

c Fu

nctio

ns

Adv

ance

d Lo

gic

ALF

0 ...

7

Logi

c

... ...

...

Ope

ratin

g M

ode

Switc

hFi

xed

Inpu

tsLI

N_D

45...

D47

Two

Han

d Co

ntro

l Uni

tFi

xed

Inpu

tsLI

N_D

42 +

D43

LIN

_D47

_SA

FE

LIN

_2H

AN

D_C

TRL

LIN

_D46

_SA

FE

LIN

_D45

_SA

FELI

N_D

45 ..

. D47

LIN

_D49

LIN

_D44

LIN

_D43

LIN

_D40

VIN

_x_y

LIN

_x

VO

UT_

STO

_SFR

VO

UT_

x

VO

UT_

STO

_SS

R

VO

UT_

SS

1_S

FR

VO

UT_

SS

1_S

SR

VO

UT_

SB

C_S

FR

VO

UT_

SB

C_S

SR

VO

UT_

ALF

0_O

UT

VO

UT_

PS_E

N

VO

UT_

REA

DY

VO

UT_

SFR

VO

UT_

SS

R

VO

UT_

SER

VIC

E

VO

UT_

ERR

OR

VO

UT_

SCV

VO

UT_

WA

RN

VO

UT_

ALF

7_O

UT

DIN

40A

/B

DIN

43A

/B

DIN

44

DIN

49

Stat

us S

igna

ls fr

om D

rive

Feed

back

Sig

nals

LIN

_xy

:= V

OU

T_xy

Out

put D

rive

r + Te

st P

ulse

Uni

t

Logi

c

LOU

T_x

...

Out

put D

rive

r + Te

st P

ulse

Uni

t

Logi

c

...

Inte

rnal

B

rake

Cont

rol

Logi

c

...

Sign

al

Rel

ais

Logi

c

...In

tern

al

Pow

er S

tage

Enab

le

Stat

e M

achi

ne

Erro

r Log

ic

+ Erro

r Han

dler

LED

LIN

_D49

_RIS

ING

...

Logi

c...

INPU

T FI

LTER

+ LOG

IC

INPU

T FI

LTER

+ LOG

IC

INPU

T FI

LTER

+ LOG

IC

Fig. 2.3 Schéma de branchement fonctionnel du module de sécurité (légende � Tab. 2.5)



Concept/abréviation Explication

DIN40A/B ... DIN43A/B Entrées numériques à deux canaux

DIN44 ... DIN 49 Entrées numériques à un canal

INPUT FILTER + LOGIC Filtre d'entrée et logique d'entrée

Status Signals from Drive Signaux d'état de l'actionneur

LIN_x Entrées logiques

VIN_x_y Entrées virtuelles

Safety Functions Fonctions de sécurité

Logic Logique, pouvant être configurée via les termes de produits

pour les fonctions de sécurité

Safety Function STO, SS1, ... Fonction de sécurité STO, SS1, ...

Logic Functions Fonctions logiques

Advanced Logic ALF... Fonctions logiques avancées ALF...

Fixed Inputs LIN_... Entrées logiques affectées de manière fixe LIN_...

Operating Mode Switch Sélecteur de mode de fonctionnement

Two Hand Control Unit Terminal de dialogue à deux mains

VOUT_x Sorties virtuelles

LOUT_x Sorties logiques

Output Driver + Test Pulse Unit Pilote de sortie et génération d'une impulsion test

DOUT40A/B ... DOUT42A/B Sorties numériques à deux canaux

Signal Relais Contact de signalisation

C1/C2 Broches C1/C2 du contact de signalisation

Internal Brake Control Commande de freinage interne

BR+/BR- Broches BR+/BR- de la commande de freinage interne

Internal Power Stage Enable Activation interne de l'étage de sortie

U_OS+/U_OS- Broches U_OS+/U_OS- de l'activation interne de l'étage de

sortie

Error Logic + Error Handler Logique d'erreur et traitement des erreurs

[5x-x] xxx_ERR Signal d'erreur interne Erreur 5x-x

State Machine Machine d'état

Feedback Signals LIN_xy := VOUT_xy Message de retour des signaux LIN_xy := VOUT_xy

Tab. 2.5 Légende pour Fig. 2.3

Les entrées numériques de l'interface [X40] sont représentées à gauche dans l'image, les sorties numé

riques à droite. Entre les deux se trouvent une structure avec les blocs logiques ainsi que les fonctions

de sécurité.

Tous les signaux sûrs sont marqués en jaune dans le schéma de branchement fonctionnel

et dans les autres schémas synoptiques, les signaux potentiellement incertains sont

marqués en gris.



Filtre d'entrée et entrées logiquesLes signaux d'entrée numériques sur [X40] sont d'abord filtrés dans le bloc fonctionnel “Input Filter +

Logic”. Le bloc vérifie également la présence d'impulsions tests sur les signaux d'entrée ainsi que leur

vraisemblance. Dans le cas d'entrées à deux canaux, le contrôle porte sur la correspondance entre le

niveau d'entrée et le type d'entrée configuré (commutation équivalente / antivalente) ainsi que sur la

commutation simultanée des signaux.

Les états logiques des signaux d'entrée sont représentés en tant que résultat de ces contrôles et ca

ractérisés avec LIN_x “Logic Inputs” dans le schéma synoptique. Par ex. le signal LIN_D40 représente

l'état de commutation logique de l'entrée à deux canaux DIN40.

Liste des entrées logiques � paragraphe B.1.1, Tab. B.2.

Fonctions de sécurité :Les fonctions de sécurité possèdent quelques caractéristiques communes :

Une fonction logique configurable permet de définir les signaux d'entrée logiques LIN à commuter sur

la fonction de sécurité pour

– la demande de la fonction de sécurité,

– la cessation de la demande,

– la sélection de signaux de commande supplémentaires, si nécessaire.

Ces signaux de commande internes pour les fonctions de sécurité sont désignés en tant que VIN_x_y

“Virtual Inputs”, par ex. VIN_SS1_RSF désigne l'entrée dédiée à la demande (Request Safety Function)

de la fonction de sécurité SS1. L'état de commutation de ces signaux peut être lu et affiché. Liste des

sorties virtuelles � paragraphe B.1.2, Tab. B.5.

Pour la configuration des conditions de commutation, 32 termes de produits au total sont

disponibles, ce qui est comparable à un composant logique programmable (PLD). Les

termes de produits peuvent être répartis en toute flexibilité sur les fonctions souhaitées.

4 termes de produits à fonction OU au maximum peuvent être utilisés avec 7 entrées au

maximum avec/sans inversion pour chaque signal de commande VIN_x_y pour les

fonctions logiques et de sécurité ainsi que pour la configuration des sorties VOUT_x.

Les entrées virtuelles qui ne présentent aucune affectation de terme de produit, ont l'état

logique “0”.

L'exemple suivant utilise deux des 32 termes de produits pour demander la fonction STO :

La gestion des termes de produits est exécutée automatiquement via le SafetyTool (un

logiciel spécifique, intégré dans le plugin FCT), et reste ainsi largement invisible pour

l'utilisateur.



La fonction de sécurité en soi comprend des fonctions logiques et d'exécution paramétrables. Elle tient

compte de l'état actuel de l'actionneur (position, vitesse) et procède à la surveillance de l'actionneur.

Chaque fonction de sécurité met à disposition les signaux de sortie suivants :

– le message d'état indiquant que la fonction de sécurité est demandée,

– le message d'état indiquant que l'état sûr est atteint,

– un message d'erreur en cas de non-respect de la condition de sécurité.

De plus, quelques fonctions de sécurité mettent à disposition des signaux de commande supplémen

taires pour la commande directe des fonctions dans le régulateur d'actionnement. Ces messages d'état

sont représentés en intégralité dans le schéma synoptique, ils sont caractérisés par VOUT_x “Virtual

Output Signals”.

Liste des sorties virtuelles � paragraphe B.1.2, Tab. B.5.

Fonctions logiques pour les entrées :

Quelques applications nécessitent des signaux de commande logiques spéciaux, composés d'une

combinaison de plusieurs signaux d'entrée. Le module de sécurité prend en charge ces applications en

mettant à disposition des fonctions logiques prédéfinies pour :

– le sélecteur de mode de fonctionnement,

– le terminal de dialogue à deux mains

Les signaux de sortie de ces blocs logiques sont représentés directement dans LIN_x, étant donné

qu'ils servent également à la commande des fonctions de sécurité.

Il est néanmoins possible de configurer des blocs logiques supplémentaires propres. À cet effet, les ALF

“Advanced Logic Functions” ALF0 à ALF7 sont mis à disposition, leurs signaux de sortie pouvant être

utilisés en tant que VOUT_x “Virtual Output Signals”. Liste des sorties virtuelles � paragraphe B.1.2,

Tab. B.5.

Sorties logiques et pilote de sortie :Le module de sécurité dispose de blocs configurables avec pilotes de puissance pour :

– la commande de sorties numériques avec génération d'impulsions tests,

– la commande de la sortie de relais,

– la commande de l'appareil de base, par ex. de la sortie pour la commande de freinage et pour la

coupure de l'alimentation pilote pour STO.

Une fonction logique configurable permet de définir quels signaux VOUT sont activés en tant que LOUT

“Logic Output Signal” sur le pilote de sortie correspondant.

La fonction logique se compose d'un terme de produit avec sept entrées max. ainsi qu'une inversion

des entrées et sorties. Liste des sorties virtuelles � paragraphe B.1.4, Tab. B.7.

L'état de la sortie logique (un bit) est transposé par le pilote de sortie dans les signaux de sortie phy

siques (souvent deux signaux, configurables antivalents / équivalents / impulsions tests).

Rétroaction :

Dans certaines applications, l'exécution des fonctions de sécurité en fonction de l'état d'une autre

fonction logique ou de sécurité est souhaitée. Par conséquent, le module de sécurité possède un

chemin de rétroaction interne :

Les principaux signaux VOUT sont ainsi occasionnés par les entrées logiques LIN et sont disponibles

pour les combinaisons logiques.

Liste des entrées logiques � paragraphe B.1.1, Tab. B.2.



Machine d'état (State Machine) :L'état de fonctionnement du module de sécurité est commandé par le biais d'une machine d'état.

L'état de fonctionnement est indiqué par une LED multicolore et représenté dans VOUT.

La description précise des états de fonctionnement se trouve au � paragraphe 2.10.

Gestion des erreurs :La gestion des erreurs commande la réaction du module de sécurité en cas d'erreurs. La principale

réaction sur erreur est la désactivation immédiate de l'étage de sortie de puissance dans l'appareil de

base (Safe Torque Off, STO) ainsi que celle de l'ensemble des sorties sûres. Les réactions sur erreur

sont configurables � paragraphe 2.8.

2.2.5 Vue d'ensemble des codeurs de position pris en chargeLa surveillance sûre de la vitesse, par ex. pour SLS, et de la position, par ex. pour SOS, requiert des

capteurs appropriés pour la détection de position.

Le contrôleur de moteur CMMPAS...M3 prend en charge de nombreux codeurs rotatifs différents pour

la détection de la vitesse et de la position via les interfaces de l'appareil X2A, X2B et X10. Les signaux

du codeur de position sont transmis en interne par le CMMP-AS-...-M3 au module de sécurité

(� Fig. 2.2). La plupart des codeurs rotatifs peuvent également être analysés directement par le mo

dule de sécurité, les signaux étant mis à disposition du module de sécurité. Les codeurs rotatifs

permettent de détecter la position et la vitesse.

Les codeurs rotatifs suivants sont pris en charge par le module de sécurité :

– Résolveur via X2A

– Codeur incrémentiel SIN/COS via X2B

– Codeur rotatif SICK Hiperface via X2B (uniquement canal des données de processus)

– Codeur ENDAT Heidenhain via X2B

– Codeur incrémentiel avec signaux A/B numériques via X2B

– Capteurs de position BISS pour moteurs linéaires via X2B

– Codeur incrémentiel avec signaux A/B numériques via X10

Les codeurs rotatifs permettent de détecter la position et la vitesse.

Les fonctions de sécurité prises en charge par le module de sécurité n'exigent aucune

connaissance de la position absolue. Par conséquent, une analyse sûre de la position

absolue du codeur ou une mise en référence sûre n'est pas prévue.

Chaque microcontrôleur du module de sécurité peut analyser jusqu'à deux capteurs de position :



Encoder Evaluation

μCBase Device

Position Sensor 1

[X2A] ...[X2B] ...

Position Sensor 2

[X10] ...

μC 1

μC 2

Cross Comparison

CAMC-G-S3

[X2A], [X2B][X2B], other

[X10]

[X2A] Resolver[X2B] SINCOS

Fig. 2.4 Analyse des capteurs de position sur le module de sécurité


Position Sensor 1/2 Codeur de position 1/2

μC Base Device Microcontrôleur Appareil de base

Cross Comparison Comparaison croisée


– Lorsque deux capteurs de position sont utilisés, chaque microcontrôleur analyse les deux capteurs.

Chaque microcontrôleur compare les valeurs de position et de vitesse des deux capteurs et libère

un message d'erreur en cas de divergences non autorisées.

– Si un seul capteur de position avec classification SIL est utilisé, celui-ci est également analysé par

les deux microcontrôleurs du module de sécurité.

– En cas d'utilisation d'un capteur de position pouvant être analysé par l'appareil de base (appareil

de base μC) mais n'étant pas directement pris en charge par le module de sécurité, il est possible

de transmettre l'information d'angle normalisée depuis l'appareil de base vers le module de sécu

rité. En combinaison avec un deuxième capteur de position directement analysé par le module de

sécurité, un système sûr (jusqu'à SIL 2) peut ainsi être configuré. La variante est signalée dans

Tab. 2.7 avec “X2B autre codeur”.

– Une comparaison croisée permanente des données de position est toujours effectuée entre le mic

rocontrôleur1 et le microcontrôleur2 avec déclenchement d'erreur en cas de divergences non auto

risées.

– Les deux microcontrôleurs 1 et 2 utilisent dans chaque configuration, diverses valeurs de position

et de vitesse pour la surveillance de l'axe. De plus, il est possible de configurer une surveillance

d'accélération pour un contrôle de vraisemblance.



Les fabricants des codeurs rotatifs certifiés SIL donnent des directives pour la mise en

œuvre desdits-codeurs dans des applications de sécurité.

Le CAMC-G-S3 tient compte des spécifications suivantes émises par les fabricants dans

l'analyse des signaux de codeur :

– Spécification des exigences de sécurité E/E/PES pour le maître EnDat du 19.10.2009

(D533095 - 04 - G - 01) � www.heidenhain.de (en préparation)

– Manuel d'implémentation / Implementation Manual HIPERFACE® Safety du

21.12.2010 (8014120/2010-12-21) � www.sick.com

Contrôler ces documents quant aux mesures nécessaires pour le montage des codeurs

rotatifs et des exclusions d'erreur requises.

Combinaisons admissibles de codeurs de positionTab. 2.7 indique les combinaisons de codeurs autorisées. D'autres combinaisons ne peuvent être para

métrées dans le module de sécurité.

Les valeurs de référence de sécurité pouvant être atteintes avec les combinaisons figurent au

� paragraphe A.2.3.

Premier codeur Deuxième codeur Nota

[X2A] Résolveur [X2B] Autre codeur –

[X2A] Résolveur [X10] Codeur incrémentiel –

[X2A] Résolveur aucune Respecter les indications suivantes !

[X2B] Codeur incré

mentiel SIN/COS

aucune Nécessite la classification SIL du codeur.

[X2B] Codeur incré

mentiel SIN/COS

[X10] Codeur incrémentiel Respecter les indications suivantes !

[X2B] Codeur incré

mentiel Hiperface

[X10] Codeur incrémentiel Respecter les indications suivantes !

[X2B] Codeur incré

mentiel Hiperface

aucune Nécessite la classification SIL du codeur.

[X2B] Codeur ENDAT [X10] Codeur incrémentiel Réglage du codeur 1 : “[X2B] Autre codeur”.

Respecter les indications suivantes !

[X2B] Codeur ENDAT aucune En préparation.

Nécessite la classification SIL du codeur.

[X2B] Autre codeur [X10] Codeur incrémentiel –

Tab. 2.7 Combinaisons admissibles de codeurs de position

NotaÉvaluer si les codeurs de position sélectionnés sont suffisamment précis pour pouvoir

procéder à la surveillance, spécialement pour la fonction de sécurité SOS. Respecter les

indications relatives à la précision du système dans � l'annexe A.3.



NotaDans les applications avec un seul codeur rotatif / codeur de position, celui-ci doit pré

senter la classification SIL requise conformément à l'analyse du risque. Dans la plupart

des cas, la classification conditionne les exigences supplémentaires et les exclusions

d'erreur dans la mécanique. Veiller à ce que ces exigences soient satisfaites pour l'ap

plication et que les exclusions d'erreur correspondantes puissent être exécutées ! À cet

égard, toujours respecter les consignes d'implémentation et les exclusions d'erreur

requises, spécifiées par le fabricant du codeur de position.

NotaDans les applications avec un seul codeur rotatif / codeur de position avec interface de

signal analogique (résolveur, SIN/COS, Hiperface,…), les limitations quant à la couverture de

diagnostic ainsi que la limitation de précision de la surveillance d'arrêt et de la vitesse pou

vant être atteinte, doivent être prises en compte � annexes A.3.5 et A.3.6.

NotaEn cas d'utilisation de deux codeurs fonctionnels sans classification SIL, l'adéquation

de la combinaison de codeurs pour une utilisation dans des systèmes sûrs jusqu'à SIL3

doit être prouvée séparément (nécessaire par ex. diversité des systèmes de codeurs

quant à CCF, MTTFd, etc., adéquation du codeur pour les conditions ambiantes et d'exp

loitation, CEM, etc.).

Recommandation : Le cas échéant, utiliser des exemples de solutions fournis par le

fabricant avec des combinaisons définies d'axes, de moteurs et de codeurs.

2.2.6 Échange de données et commande du contrôleur de moteurLe module de sécurité peut intervenir par le biais de signaux de commande numériques dans l'étage de

sortie de puissance du contrôleur de moteur. Le contrôleur de moteur signale son état de fonction

nement via des signaux de commande numériques supplémentaires. De plus, le module de sécurité est

relié au microcontrôleur de l'appareil de base par le biais d'une interface de communication (� parag

raphe 2.2.1, Fig. 2.2 principe de fonctionnement du module de sécurité).

Le module de sécurité peut commander le contrôleur de moteur (“priorité de com

mande”). Il commande :

– la désactivation de l'étage de sortie de puissance,

– l'intervention dans la commande de freinage,

– les valeurs de consigne pour la régulation,

– la validation des erreurs.

Les signaux de commande numériques sont utilisés comme suit :

a) Coupure de l'alimentation pilote dans le contrôleur de moteur :

La désactivation de l'étage de sortie de puissance du contrôleur de moteur s'effectue par deux

canaux indépendants.



Le premier canal commande l'alimentation de l'interrupteur supérieur, le second, celle de l'interrup

teur inférieur. Les canaux sont commandés différemment par le module de sécurité et sont surveil

lés en cours de fonctionnement par le biais d'impulsions tests. La commande s'effectue exclusi

vement via la fonction de sécurité STO � paragraphe 2.5.1.

b) Intervention dans la commande de freinage (raccord [X6] ) :

La désactivation de la commande de freinage s'effectue de façon redondante dans le module de sécurité

via les signaux de commande correspondants destinés à l'appareil de base. La commande de freinage

est également surveillée en cours de fonctionnement par le biais d'impulsions tests. Ainsi, la sortie de

freinage sûre de l'appareil peut aussi être utilisée pour la commande des unités de blocage. La com

mande s'effectue exclusivement via la fonction de sécurité SBC � paragraphe 2.5.2.

À l'inverse, la ventilation d'un frein de maintien a lieu uniquement lorsque l'appareil de base signale

au module de sécurité qu'il compte activer le frein de maintien aussi sur le plan fonctionnel par le

biais d'un câble de commande supplémentaire. Cette combinaison permet le redémarrage facile de

l'axe après SBC.

En cas d'erreurs système sur le module de sécurité, des circuits matériels commandés

dynamiquement permettent de désactiver rapidement et de manière sûre les câbles de

commande pour l'alimentation pilote et la commande de freinage.

c) Déclenchement d'un arrêt rapide dans l'appareil de base :

Un câble de commande interne permet au module de sécurité de déclencher un arrêt rapide dans

l'appareil de base. Le temps de réaction de l'appareil de base est particulièrement court (< 2 ms).

Lorsque le signal est activé, l'appareil de base ralentit sur la rampe d'arrêt rapide jusqu'à atteindre

une vitesse nulle dans les modes de fonctionnement Régulation de la vitesse de rotation et Po

sitionnement. En fonction du mode de fonctionnement, la vitesse de rotation est ensuite réglée sur

0 tr/min ou la position est réglée sur la position actuelle.

La fonction est utilisée pour la réalisation de la fonction de sécurité SS1 ou SS2 type b)

�, paragraphes 2.5.3 et 2.5.4.

L'interface de communication interne entre le module de sécurité et l'appareil de base est utilisée pour

les tâches suivantes :

– Établissement de la connexion de communication vers l'extérieur entre le module de sécurité et le

PC à des fins de paramétrage et de diagnostic.

– Autres interventions actives du module de sécurité dans la commande du microcontrôleur.

– Échange de messages d'état et d'états de fonctionnement.

– Livraison d'informations débogage pour la recherche d'erreurs / l'analyse.

– Transmission bidirectionnelle de télégrammes de données sûrs vers les commandes de sécurité

externes (en préparation).

d) Interface de paramétrage :

Le paramétrage du module de sécurité s'effectue via le SafetyTool (� paragraphes 2.2.7 et 4.5).

Le SafetyTool est appelé via le Festo Configuration Tool (FCT). La communication sûre entre le

SafetyTool et le module de sécurité s'effectue au choix via l'une des interfaces du contrôleur de

moteur (Ethernet [X18] ou via USB [X19]. Le contrôleur de moteur transmet les télégrammes de

données depuis et vers le module de sécurité, sans les modifier.



e) Limitation active de la vitesse de rotation / vitesse dans l'appareil de base :

Le module de sécurité peut intervenir directement dans la régulation d'actionnement de l'appareil de

base via la connexion de communication interne, en limitant activement la consigne de vitesse dans

l'appareil de base. L'appareil de base est ralenti sur la rampe paramétrée dans le module de sécurité. La

limitation est efficace dans les modes de fonctionnement suivants de l'appareil de base :

– Vitesse de rotation / régulation de la vitesse de rotation

– Positionnement (fonctionnement direct ou par séquence)

La fonction est utilisée pour la réalisation de la fonction de sécurité SS1 ou SS2 type a)

� paragraphes 2.5.3 et 2.5.4. Elle est également utile en combinaison avec des fonctions

de vitesse sûre, comme par ex. SLS, étant donné que l'axe peut être ralenti de façon

autonome, sans intervention de la commande.

Si plusieurs fonctions de sécurité fixant différentes limitations de la vitesse sont actives simultané

ment sur le module de sécurité, les valeurs limites minimales se composent de l'ensemble des

fonctions de sécurité et sont envoyées à l'appareil de base.

La limitation active de la vitesse de rotation est inutile pour tous les modes de fonctionnement en

interpolation dans lesquels l'appareil de base est guidé directement par la commande.

f ) Messages d'état :

L'état de fonctionnement du module de sécurité et l'état des fonctions de sécurité (par ex. Safety

Function Requested (SFR), Safe State Reached (SSR)) sont transmis de manière cyclique à

l'appareil de base par le biais de l'interface de communication interne.

L'appareil de base peut :

– émettre et afficher ce statut via les sorties numériques,

– envoyer ce statut à la commande de niveau supérieur via l'interface du bus de terrain active,

– émettre ce statut via l'afficheur à 7 segments.

La description des messages d'état disponibles figure au � paragraphe 2.10.

Les informations d'état disponibles via le protocole de communication FHPP et CiA 402,

figurent au � paragraphe A.4.

g) Analyse des erreurs / débogage :

L'appareil de base reçoit l'état d'erreur du module de sécurité via l'interface de communication et

accède aux variables d'état internes, comme par ex. la vitesse sûre mesurée ou les limites de

surveillance de vitesse.

L'appareil de base utilise ces données :

– pour l'affichage de l'état de fonctionnement et d'éventuels messages d'erreur sur l'afficheur à

7 segments,

– pour l'enregistrement des messages dans une mémoire de diagnostic non volatile pour un diag

nostic ultérieur,

– pour l'analyse des variables d'état du module de sécurité via la fonction oscilloscope (Trace).

Par exemple, l'enregistrement de la limite de vitesse surveillée et de la vitesse actuelle permet

de contrôler pour quelle raison le module de sécurité a détecté le non-respect d'une condition

de sécurité.



2.2.7 Configuration des fonctions de sécurité avec le SafetyToolContrairement à une commande de sécurité, le module de sécurité n'est pas librement programmable.

Il possède une gamme de fonctions définie pouvant être activée et paramétrée par l'utilisateur. Pour

ajuster avec flexibilité les fonctions dans le module de sécurité aux différentes applications, les

fonctions de sécurité et les sorties possèdent une partie logique configurable destinée à la définition

des conditions de commutation.

La sélection des fonctions de sécurité, l'affectation des I/O et la demande des fonctions de sécurité via

les entrées et d'autres conditions sont configurées par le biais du SafetyTool.

Le SafetyTool est un module logiciel permettant la mise en service sûre du module de sécurité démarré

depuis le plugin FCT CMMP-AS.

Le paramétrage permet, entre autres, de déterminer les réglages suivants :

– Les entrées sont activées par affectation d'une fonction, comme par ex. un type de capteur

� exemple au paragraphe 4.6.7.

– Les fonctions de sécurité individuelles sont activées et paramétrées, par ex. en indiquant les

vitesses limites, etc.

– La demande d'une fonction de sécurité est paramétrée en tant que combinaison logique, par ex. via

la demande par le biais d'une entrée � exemple au paragraphe 4.6.8.

– Pour la signalisation d'une fonction de sécurité active, l'état interne peut par ex. être relié à une

sortie.

– La réaction en cas d'erreur (la réaction sur erreur) peut être configurée

La description de la procédure à suivre lors du paramétrage du module de sécurité avec

le SafetyTool figure au � paragraphe 4.5.

Important :

Le SafetyTool prend en charge le transfert automatique des données depuis l'appareil de

base. Les codeurs rotatifs, les réducteurs, les constantes d'avance, etc. sont configurés

une seule et unique fois dans le cadre de la mise en service de l'appareil de base. Après la

mise en service de l'appareil de base, ces données sont lues par le SafetyTool et transfé

rées dans le module de sécurité via une assistance par dialogue.

– En premier lieu, paramétrer entièrement l'appareil de base et optimiser l'application

sur le plan fonctionnel.

– Paramétrer ensuite la technique de sécurité.

NotaFonctions de sécurité dans la phase de mise en service.

Des mesures pour assurer la sécurité fonctionnelle requise étant nécessaires dès la

phase de mise en service, il convient de veiller aux points suivants :

� Le module de sécurité doit être entièrement configuré et l'application doit être va

lidée en intégralité avant de pouvoir assurer une protection



Le module de sécurité peut être livré “préconfiguré” au départ usine � paragraphe 4.4.1.

– DIN40 permet de demander les fonctions de sécurité STO et SBC.

– DIN49 permet la remise en marche.

– DIN48 permet la validation des erreurs.

L'état à la livraison est détectable également sans FCT / SafetyTool au niveau de la LED

clignotante vert-rouge du module de sécurité (si DIN40 en circuit et aucune demande de

fonction de sécurité) � paragraphe 2.10).

2.3 Reprise de données à partir du contrôleur de moteur

Pour assurer la surveillance sûre des déplacements, le module de sécurité doit connaître les capteurs

raccordés dédiés à la détection de position, leur résolution, le type de mécanique, d'avance, de ré

ducteurs, etc. utilisé ainsi que les unités sélectionnées par l'utilisateur pour le paramétrage de l'ap

plication. Le SafetyTool offre une aide via le transfert assisté par menu de l'ensemble de ces données

depuis l'appareil de base. Le paramétrage est ainsi simplifié et on évite des saisies erronées.

Pour la création de nouveaux projets, il est recommandé de procéder comme suit :

Utiliser un module de sécurité se trouvant à l'état de livraison ou réinitialiser le réglage à

l'usine � paragraphe 4.4.2 ou 4.4.1.

Paramétrer d'abord l'appareil de base en intégralité à l'aide du FCT et le mettre en service

(si possible).

Démarrer ensuite le paramétrage sûr à l'aide du SafetyTool et reprendre auto

matiquement les données réglées depuis l'appareil de base dans le SafetyTool via les

boutons de commande “Copy” � paragraphes 4.5.1 et 4.6.2.

NotaUn transfert des données depuis l'appareil de base est également nécessaire en cas

d'utilisation d'un module de sécurité utilisé au préalable avec une mécanique différente

dans le cadre d'une autre application ou si un module de sécurité a été réglé manuel

lement sur les réglages à l'usine.

Dans ce cas, la configuration de l'appareil de base est “avancée”, les données

correspondantes relatives aux unités d'affichage, à la mécanique et à la configuration

des codeurs doivent être repris depuis l'appareil de base.

Dans le cas où le module de sécurité offre des fonctions de déplacement sûres para

métrées, les valeurs limites réglées dans le module de sécurité sont reprises en tant que

valeurs de consigne dans le SafetyTool. Elles doivent être transférées une nouvelle fois

dans le module de sécurité pour que les valeurs limites restent inchangées.



Exemple :

Une fonction SLS avec une valeur limite de +/- 200 mm/s est initialement configurée dans le module de

sécurité. Le module de sécurité était exploité sur un axe à courroie crantée avec une avance de

100 mm/tr.

Le module de sécurité est à présent utilisé dans le cadre d'une autre application, pour laquelle l'avance

est de 150 mm/tr.

Après la reprise de l'avance modifiée, le SafetyTool affiche une discordance entre la valeur de consigne

et la valeur réelle dans la fonction SLS :

Valeur de consigne : 200 mm/s

Valeur réelle : 300 mm/s

Par conséquent, la valeur de consigne doit être écrite et validée une nouvelle fois dans le module de

sécurité.

2.3.1 Informations de baseLes informations de base comprennent les unités d'affichage sélectionnées pour (� Tab. 2.8) :

– la trajectoire (P06.3E et P06.41),

– la vitesse (P06.42 à P06.45),

– l'accélération (P06.46 à P06.49),

ainsi qu'une description de la transmission mécanique via :

– le rapport de transmission (compteur et dénominateur) entre le moteur et la prise de force (P06.4A

et P06.4B),

– la constante d'avance (compteur et dénominateur) pour la conversion en rotation -> en translation

(P06.3F et P06.40).

Elles sont utilisées pour la conversion entre les valeurs affichées et les valeurs de l'appareil (position,

vitesse, accélération).

NotaCes paramètres doivent être transmis au module de sécurité avant d'être vérifiés et

validés. Ceci garantit que le module de sécurité calcule en utilisant les mêmes unités

que l'appareil de base !

Paramètres des informations de base :

Informations de baseN° Nom Description

P06.3E Unité à afficher pour les positions. Unité à afficher pour les positions. Pour

“UserDefined”, aucune unité pour les valeurs de

position n'est affichée dans le SafetyTool.

P06.3F Compteur Constante d'avance de l'axe

en unités de position

Compteur de la constante d'avance de l'axe en

unités de position par rotation de moteur (sans

rapports de transmission).



Informations de base

N° DescriptionNom

P06.40 Dénominateur Constante d'avance de

l'axe en unités de position

Dénominateur de la constante d'avance de l'axe

en unités de position par rotation de moteur

(sans rapports de transmission).

P06.41 Nombre de chiffres affichés après la

virgule pour les positions.

Nombre de chiffres affichés après la virgule pour

les valeurs de position.

P06.42 Unité à afficher pour les vitesses. Unité à afficher pour les vitesses. Pour “UserDefi

ned”, aucune unité n'est affichée. Si la position

est “UserDefined”, la vitesse doit l'être éga

lement.

P06.43 Compteur Base de temps modifiée pour

les vitesses du type “UserDefined”.

Compteur de la base de temps modifiée pour les

vitesses du type “UserDefined”.

P06.44 Dénominateur Base de temps modifiée

pour les vitesses du type “UserDefined”.

Dénominateur de la base de temps modifiée pour

les vitesses du type “UserDefined”.


virgule pour les vitesses.


les vitesses.

P06.46 Unité à afficher pour les accélérations. Unité à afficher pour les accélérations. Pour

“UserDefined”, aucune unité n'est affichée. Si la

position est “UserDefined”, l'accélération doit

l'être également.

P06.47 Compteur Base de temps modifiée

pour les accélérations du type

“UserDefined”.

Compteur de la base de temps modifiée pour les

accélérations du type “UserDefined”.

P06.48 Dénominateur Base de temps modifiée

pour les accélérations du type

“UserDefined”.

Dénominateur de la base de temps modifiée pour

les accélérations du type “UserDefined”.


virgule pour les accélérations.


les accélérations.

P06.4A Compteur Rapport de transmission in

tégrale entre le moteur et l'axe.

Compteur Rapport de transmission intégrale

entre le moteur et l'axe.

P06.4B Dénominateur Rapport de transmission

intégrale entre le moteur et l'axe.

Dénominateur Rapport de transmission intégrale

entre le moteur et l'axe.

Tab. 2.8 Paramètres des informations de base



2.3.2 Configuration des codeursLa sélection et le réglage des codeurs rotatifs pour la détection de position, le réglage du sens de

comptage de l'angle / de la position, la résolution du codeur de position et le réglage des rapports de

transmission des codeurs de position doivent également être repris automatiquement depuis la

configuration de l'appareil de base.

Important :

Souvent, un seul codeur de position (sur le moteur) est utilisé dans l'appareil de base

pour la régulation. Pour la sécurité fonctionnelle, un codeur de position supplémentaire

est prévu dans la plupart des cas (� Tab. 2.7), par ex. sur la prise de force.

S'assurer que le ou les codeurs de position a/ont été configuré(s) au préalable dans

l'appareil de base via le FCT, comme le montre l'exemple suivant pour 2 codeurs :

Dans le cas contraire, la reprise des données ne peut être effectuée en intégralité.

NotaCes paramètres doivent être transmis au module de sécurité avant d'être vérifiés et

validés. Ceci garantit que le module de sécurité calcule en utilisant les mêmes unités

que l'appareil de base !

La configuration des codeurs de position est relativement complexe car le module de sécurité prend en

charge de nombreux types de codeurs différents ainsi qu'une multitude de configurations. Dans le

SafetyTool, la configuration se subdivise dans les registres suivants :

– paramètres standard (sélection d'interfaces et de types de codeurs),

– paramètres pour les codeurs de position sur [X2B],

– paramètres pour les codeurs de position sur [X10],

– paramètres experts pour la comparaison croisée des données de position,

– paramètres experts pour la configuration de l'enregistrement sûr de la vitesse de rotation et la

détection de l'arrêt,

– paramètres experts pour la surveillance du signal de codeurs sûrs avec signaux analogiques (résol

veur, codeur SIN/COS).

Paramètres standardLa sélection de l'interface de codeur mise en œuvre et du type de codeur utilisé dans le module de

sécurité en tant que codeur de position 1 et codeur de position 2, s'effectue ici. Les réducteurs entre le

moteur et l'axe sont représentés via les rapports de transmission. Une inversion du sens de rotation est

prise en compte par le biais de rapports de transmission négatifs.



Une reprise de données / un réglage du principal codeur de position 1 (premier codeur) ont lieu :

– résolveur [X2A],

– codeur SIN/COS ou Hiperface [X2B],

– autre codeur [X2B], par ex. ENDAT, BISS.

Par ailleurs, le réglage d'un rapport de transmission pour le codeur de position 1 entre le codeur et le

moteur est possible.

Une reprise de données / un réglage du principal codeur de position 2 (second codeur) ont ensuite lieu :

– autre codeur [X2B], par ex. SIN/COS, ENDAT, BISS,

– codeur incrémentiel [X10],

– aucun (uniquement si le codeur de position 1 est un codeur certifié).

Le réglage d'un rapport de transmission pour le codeur de position 2 entre le codeur et le moteur est

également possible.

Important : le SafetyTool met en garde contre des combinaisons de codeurs non autori

sées.

Les combinaisons de codeurs autorisées et le niveau de sécurité correspondant figurent

au � paragraphe 2.2.5 (Tab. 2.7).

Pour les moteurs linéaires, FCT détermine - via la résolution de position du système de

mesure et l'écartement polaire ôp du moteur - une constante d'avance (informations de

base), un rapport de transmission et une résolution du système de mesure relative à 2ôp.

Ces données sont transmises au SafetyTool. Une reprise automatique des données est

également assurée pour les moteurs linéaires.

NotaMalgré une reprise des données réussie, en cas d'apparition de l'erreur Comparaison

croisée Codeurs 1 / 2.

� Dans ce cas, contrôler le rapport de transmission du codeur 2, car seul ce dernier est

surveillé par le module de sécurité et n'est pas intégré dans la régulation par FCT.

2.3.3 Paramètres pour les codeurs de position

Paramètres pour les codeurs de position sur [X2A]Le raccord [X2A] est prévu pour le résolveur. Les signaux de voie analogiques, modulés en amplitude,

du résolveur sont interceptés dans le CMMPAS...M3 derrière l'amplificateur différentiel d'entrée,

guidés en interne vers le module de sécurité où ils sont ensuite analysés par deux canaux et de manière

sûre par les deux microcontrôleurs.

Il n'est pas nécessaire de procéder à un paramétrage / une reprise de données depuis l'appareil de base.



Paramètres pour les codeurs de position sur [X2B]Le raccord [X2B] est prévu pour les codeurs avec signaux de voie analogiques, tels que :– les codeurs incrémentiels avec signaux de voie SIN/COS,– les codeurs Hiperface avec signaux de voie SIN/COS.Les signaux de voie des codeurs SIN/COS et Hiperface sont interceptés dans le CMMPAS...M3 derrièrel'amplificateur différentiel d'entrée, guidés en interne vers le module de sécurité où ils sont ensuite analyséspar deux canaux et de manière sûre par les deux microcontrôleurs. C'est toujours le cas lorsque “CodeurSIN/COS / Hiperface (X2B) = [2]” a été sélectionné dans l'onglet Paramètres standard.Dans le cadre de la reprise de données / du paramétrage, le nombre d'étapes de comptage d'anglenumériques (correspond à 4 x nombre de traits par rotation du moteur ou, pour les moteurs linéaires,par 2ôp) est réglé.

NotaLorsque les axes sont à l'arrêt, les codeurs SIN/COS délivrent des signaux statiques. Siaucun codeur angulaire supplémentaire n'est utilisé, les erreurs Stuck At (“Blocage dela valeur car aucune modification ou légère modification du signal de sortie”) ne sontpas détectées. Les axes doivent ainsi être régulièrement déplacés en cas de demandede fonctions de sécurité.En cas d'utilisation d'un codeur SIN/COS ou Hiperface comme seul et unique codeur,l'erreur 55-2 se déclenche après 24 h d'arrêt si la fonction de sécurité est demandée.Si la fonction de sécurité SS2 / SOS est demandée en continu pour une durée supérieure à 24 heures, l'erreur 54-7 se déclenche.





En outre, le raccord [X2B] est également prévu pour les codeurs avec interface numérique comme– les codeurs incrémentiels numériques avec signaux d'onde rectangulaire A/B/N,– ENDAT-2.1 et les codeurs 2.2 avec interface numérique,– les codeurs sériels avec interface numérique, par ex.. BISS.Ces codeurs ne sont pas analysés de manière sûre dans l'appareil de base CMMP-AS-...-M3.L'interface de données interne permet au module de sécurité d'appeler cycliquement une informationd'angle numérique normalisée depuis l'appareil de base. C'est toujours le cas lorsque “Autre codeur(X2B) = [4]” est sélectionné dans le registre Paramètres standard.L'information d'angle d'un codeur quelconque, raccordé à X2B sur le contrôleur de moteur, peut êtreutilisée en tant que canal de la détection d'angle sûre à deux canaux.Il est possible de paramétrer une variation de temps admissible pour une erreur, lorsque le module desécurité détecte des télégrammes de données défaillants. La valeur par défaut de 1 ms ne doit pas êtremodifiée sans motif valable, la valeur agissant comme un filtre supplémentaire au temps de réaction dumodule de sécurité.

NotaL'utilisation de codeurs avec une transmission de données purement numérique dans

des systèmes sûrs, est autorisée uniquement en combinaison avec un second codeur,

par ex. sur [X10].



L'utilisation d'un codeur EnDat sûr n'est pas encore possible (en préparation).D'un point de vue formel, l'utilisation d'un codeur EnDat sûr implique le paramétrage de“Codeur angulaire 1 = EnDat”. De plus, un seul codeur incrémentiel supplémentaire peutêtre évalué en tant que codeur angulaire 2 sur [X10].

NotaLors d'une mise en référence d'actionneurs avec codeurs multitours ENDAT dotés d'unenregistrement du décalage du point zéro dans le codeur, un saut en position réelle esteffectué au moment de l'enregistrement. Ce saut entraîne l'actionnement de la surveillance d'accélération dans le module de sécurité et, par conséquent, à une erreur dumodule de sécurité.Cette mise en référence doit être effectué une seule fois lors de la préparation de lamachine.

Paramètres pour les codeurs de position sur [X10]Le raccord [X10] est prévu pour les codeurs incrémentiels numériques avec signaux d'onde rectangulaire A/B/N. La détection de position s'effectue via les entrées du compteur quadruple des microcontrôleurs du module de sécurité.Le codeur incrémentiel [X10] est utilisé de préférence en tant que deuxième système de mesure deposition. C'est toujours le cas lorsque “Codeur incrémentiel (X10) = [5]” a été sélectionné dans l'ongletParamètres standard.Dans le cadre de la reprise de données / du paramétrage, le nombre d'étapes de comptage d'anglenumériques (correspond à 4 x nombre de traits par rotation du moteur ou, pour les moteurs linéaires,par 2ôp) est réglé.

2.3.4 Paramètres pour la surveillance de codeurs et l'enregistrement de la vitesse de rotationFig. 2.5 montre la structure de l'analyse des codeurs et de la surveillance :

μC1-μC2Position

Comparator

+ Speed

Comparator

[56-8] Sensor 1-2

[55-0] Act. Value invalid

ACTUAL_ACC.

[55-8] Imperm. Accel.

ACTUAL_SPEED

SPEED = 0

ACTUAL_POSITION

POSITION +SPEED VALID

&

[56-9] Sensor μC1-μC2

Position 1 / 2Comparator

+

Speed 1 / 2Comparator

Acceleration Comparator

PositionSensor 1

PositionSensor 2

d/dt

tn_ist

d/dt tn_ist

Zn

232

2n

1

n_min-n_min

Position Sensor 1Evaluation

Position Sensor 2Evaluation

Gearn Bits

Speed + Position from 2nd μC

Fig. 2.5 Calcul de la vitesse et de l'accélération




Position Sensor 1/2 Analyse des codeurs de position 1/2

Evaluation Analyse ou évaluation

Gear Réducteur

Acceleration Comparator Comparaison de l'accélération 1/2

Position 1/2 Comparator +

Speed 1/2 Comparator

Comparaison de la position 1/2 et

comparaison de la vitesse 1/2

ACTUAL_ACC. Signal interne : accélération actuelle

ACTUAL_SPEED Signal interne : vitesse actuelle

SPEED = 0 Signal interne : vitesse = 0

ACTUAL_POSITION Signal interne : position actuelle

POSITION + SPEED VALID Signal interne : position et vitesse valables



Description :– Le Block Position Sensor Evaluation est disponible deux fois dans chaque microcontrôleur, séparé

ment pour le codeur de position 1 et le codeur de position 2.

– L'information de position du capteur 1 et du capteur 2 est d'abord normalisée à 2³². Un rapport de

transmission est également pris en compte, il permet de représenter une inversion du sens de

comptage.

– Le bloc fournit ainsi une position normalisée lui permettant de calculer la vitesse ainsi que l'accélé

ration actuelles.

– Les données du codeur de position 1 sont utilisées pour la surveillance des variables d'état.

– L'accélération est surveillée et sa vraisemblance est vérifiée – paramétrable.

– Chaque microcontrôleur effectue une comparaison continue des valeurs de position et de vitesse

du capteur 1 avec celles du capteur 2.

– Les tolérances pour cette comparaison des capteurs peuvent être paramétrées.

– De plus, chaque microcontrôleur effectue une comparaison croisée de ses propres données de

position et de vitesse avec celles des autres microcontrôleurs. Ici, les valeurs limites sont éga

lement paramétrables.

– Le microcontrôleur génère différents messages d'erreur lorsque des divergences ou des dé

passements de valeurs limites sont constatés.

NotaLe réglage à l'usine des paramètres pour l'analyse des capteurs est ajusté à la ré

solution des codeurs de position et à l'électronique de traitement dans le module de

sécurité.

Ils doivent être modifiés uniquement dans des cas avérés car ils exercent une influence

sur le temps de réaction du module de sécurité lors de la détection de déplacements

dangereux ou pour la détection d'erreurs. Ils constituent des “Paramètres experts”.



Paramètres experts pour la configuration de l'enregistrement sûr de la vitesse de rotation et la détection de l'arrêt

Les deux microcontrôleurs calculent la vitesse et l'accélération sûres à partir des données de positions

enregistrées. Les paramètres suivants sont disponibles pour l'enregistrement de la vitesse de rotation

et la détection de l'arrêt :

– La surveillance de l'accélération sert au contrôle de vraisemblance de la détection de position. Une

accélération non atteinte par le moteur en raison du modèle, est paramétrée. Si la rampe de vitesse

de rotation dépasse une limite définie par l'accélération maximale, l'erreur 55-8 se déclenche

� paragraphe 5.6.

– Le filtre pour l'enregistrement de la vitesse de rotation/de la vitesse réduit le bruit sur le signal de

vitesse, en particulier lors de l'utilisation de codeurs avec signaux analogiques ou avec une ré

solution grossière.

– La valeur seuil et la durée de filtrage pour la détection de l'arrêt. La détection de l'arrêt est par ex.

utilisée pour la fonction de sécurité SOS.

Paramètres experts pour la comparaison croisée des données de position

Ce registre comprend des paramètres pour le contrôle de vraisemblance des données de position et de

vitesse.

– La fenêtre de tolérance et la variation de temps admissible pour la comparaison des données de

position des capteurs 1 / 2 par le microcontrôleur correspondant dans le module de sécurité.

– La fenêtre de tolérance et la variation de temps admissible pour la comparaison des données de

vitesse des capteurs 1 / 2 par le microcontrôleur correspondant dans le module de sécurité.

– La fenêtre de tolérance et la variation de temps admissible pour la comparaison croisée des don

nées de position entre le microcontrôleur1 et le microcontrôleur2 sur le module de sécurité.

– La fenêtre de tolérance pour la comparaison croisée des données de vitesse entre le microcon

trôleur1 et le microcontrôleur2 sur le module de sécurité.

Si le module de sécurité détecte une divergence des données de position ou de vitesse, dont la valeur

dépasse en permanence la valeur paramétrable pendant le temps paramétrable, une erreur se dé

clenche et les valeurs réelles ne sont pas valables.

Paramètres experts pour la surveillance du signal de codeurs sûrs avec signaux analogiques

Ce registre comprend des paramètres pour la surveillance des signaux analogiques des codeurs

SIN/COS et des résolveurs.

– La surveillance de l'amplitude et des longueurs vectorielles pour les signaux de résolveurs ainsi

qu'une variation de temps admissible pour la surveillance.

– Filtre d'observation paramétrable pour l'analyse du résolveur.

– surveillance de l'amplitude et des longueurs vectorielles pour l'analyse des codeurs SIN/COS et

Hiperface ainsi qu'une variation de temps admissible pour la surveillance.

Influence des paramètres pour la configuration des codeurs sur la fonction de transfertQuelques paramètres dédiés à la détection sûre de la vitesse de rotation exercent une influence sur le

temps de réaction avec lequel sont détectés des changements de déplacement.

Les paramètres suivants sont influents :



Paramètres pour la détection de déplacement et la détection d'erreur qui influencent la fonction detransfert

Paramètres min. max. Réglage à l'usine

P06.08 Constante de durée de filtrage pourl'enregistrement de la vitesse de rotation

0,4 ms 1000 ms 8,0 ms

P06.0A Durée de filtrage pour la détection de l'arrêt 0,0 ms 1000 ms 10,0 msP06.04 Variation de temps admissible pour la dif

férence de position 1 - 20,0 ms 1000 ms 10,0 ms

P06.06 Variation de temps admissible pour la différence de vitesse 1 - 2

0,0 ms 1000 ms 10,0 ms

P06.15 Filtre d'observation du résolveur - durée defiltrage

0,0 ms 3 ms 1,0 ms

P06.13 Surveillance du signal du résolveur Variationde temps admissible

0,0 ms 10 ms 1,0 ms

P06.1E Surveillance du signal de SIN/COS Variationde temps admissible

0,0 ms 10 ms 1,0 ms

Tab. 2.10 Paramètres pour la détection d'erreur dans les capteurs de position, qui influencent la fonction de transfert

Si les réglages à l'usine sont conservés, les temps de réaction escomptés sont les suivants :

Enregistrement de la vitesse et de la position TI < 10 ms

Détection d'erreurs dans la détection de position TF < 10 ms

2.3.5 Liste de l'ensemble des paramètres pour la configuration du codeur

Configuration du codeurN° Nom Description

Paramètres standardP06.00 Sélection du principal codeur de po

sition 1Codeur 1 utilisé pour l'angle

P06.0B Compteur de rapport de transmissionpour le codeur de position 1

Rapport de transmission / Nombre de paires depôles du compteur

P06.0C Dénominateur de rapport detransmission pour le codeur de position 1

Rapport de transmission / Nombre de paires depôles du dénominateur

P06.01 Sélection du codeur de positionredondant 2

Codeur 2 utilisé pour l'angle

P06.0D Compteur de rapport de transmissionpour le codeur de position 2

Rapport de transmission / Nombre de paires depôles du compteur

P06.0E Dénominateur de rapport detransmission pour le codeur de position 2

Rapport de transmission / Nombre de paires depôles du dénominateur

X2BP06.19 Nombre d'incréments/tour du codeur

incrémentiel sur X2BNombre d'incréments/tour du codeur incrémentiel sur X2B

Paramètres expertsP06.28 Variation de temps admissible pour une

communication perturbée du codeurVariation de temps admissible pour une communication perturbée du codeur



Configuration du codeur

N° DescriptionNom

X10P06.18 Nombre d'incréments/tour du codeur

incrémentiel sur X10Nombre d'incréments/tour du codeur incrémentiel sur X10

Enregistrement de la vitesse de rotationParamètres expertsP06.07 Accélération maximale pour la surveil

lance du codeurAccélération maximale jamais atteinte parl'actionneur --> limite d'erreur pour le contrôle devraisemblance d'angle

P06.08 Constante de durée de filtrage pourl'enregistrement de la vitesse derotation

Constante de durée de filtrage du filtre de valeursréelles de vitesse de rotation

P06.09 Valeur seuil de vitesse pour la détection de l'arrêt

Vitesse de rotation max. pour la détection del'arrêt

P06.0A Durée de filtrage pour la détection del'arrêt

Fenêtre temporelle pour n < nmin pour la détection de l'arrêt

Comparaison Codeur 1 - 2P06.03 Fenêtre de tolérance pour le décalage

de position Codeur 1 - 2Décalage de position autorisé entre les codeursangulaires 1 et 2

P06.04 Variation de temps admissible pour ladifférence de position

Temps pendant lequel la différence de positionpeut se trouver hors de la limite

P06.05 Fenêtre de tolérance Différence devitesse Codeur 1 - 2

Décalage de vitesse de rotation autorisé entreles codeurs angulaires 1 et 2

P06.06 Variation de temps admissible pour ladifférence de vitesse

Temps pendant lequel la différence de vitesse derotation peut se trouver hors de la limite

Paramètres expertsP1D.04 Fenêtre de tolérance pour la position -

Comparaison croisée μC1 - μC2Décalage d'angle autorisé entre ce processeur etle partenaire

P1D.05 Variation de temps admissible pour laposition - Comparaison croisée μC1 - μC2

Temps pendant lequel les valeurs de comparaison croisées peuvent se trouver hors de la limite

P1D.06 Fenêtre de tolérance pour la vitesse -Comparaison croisée μC1 - μC2

Différence de vitesse de rotation autorisée entrece processeur et le partenaire

Surveillance du signalParamètres expertsP06.11 Amplitude du signal du résolveur - li

mite d'erreur inférieureTension d'entrée min. Signal sinus ou cosinus

P06.12 Amplitude du signal du résolveur - limite d'erreur supérieure

Tension d'entrée max. Signal sinus ou cosinus

P06.0F Résolveur - Limite inférieure Longueurvectorielle

Tension d'entrée min. U = racine(sin² + cos²)

P06.10 Résolveur - Limite supérieure Longueurvectorielle

Tension d'entrée max. U = racine(sin² + cos²)

P06.13 Surveillance du signal du résolveur Variation de temps admissible

Temps maximal pendant lequel un signal de résolveur peut se trouver hors des limites de lasurveillance de signal avant qu'une erreur ne sedéclenche.

P06.15 Durée de filtrage Analyse du résolveur Durée de filtrage pour le filtre d'observationP06.1C Amplitude du signal SIN/COS - limite

d'erreur inférieureTension d'entrée min. Signal sinus ou cosinus



Configuration du codeur

N° DescriptionNom

P06.1D Amplitude du signal SIN/COS - limited'erreur supérieure

Tension d'entrée max. Signal sinus ou cosinus

P06.1A SIN/COS - Limite inférieure Longueurvectorielle

Longueur vectorielle Racine(sin² + cos²) min.

P06.1B SIN/COS - Limite supérieure Longueurvectorielle

Longueur vectorielle Racine(sin² + cos²) max.

P06.1E Variation de temps admissible Surveillance de l'amplitude du signal

Temps maximal pendant lequel un signal peut setrouver hors de la limite avant qu'une erreur nese déclenche.

Tab. 2.11 Configuration du codeur

2.4 Entrées numériques

2.4.1 AperçuLe module de sécurité possède de nombreuses entrées et sorties numériques pour le raccordement de cap

teurs passifs et actifs. Les fonctions de sécurité sont demandées via les entrées sûres, à deux canaux.

Pour les descriptions suivantes, il est nécessaire de définir quelques concepts :

Concept Signification

Temps de

discordance

Temps maximal pendant lequel les deux canaux d'une entrée sûre peuvent se

trouver dans des états antivalents, sans que la technique de sécurité ne

déclenche une réaction sur erreur.

Durée de filtrage

d'entrée

Durée pendant laquelle les impulsions parasites et les impulsions tests ne

sont par ex. pas détectées par les capteurs actifs raccordés.

Fonction de sécurité

à l'ARRÊT

La fonction des entrées peut être configurée librement dans de vastes plages.

Lors de la configuration, l'utilisateur doit s'assurer que l'état sûr est atteint pour

les entrées hors tension (respecter le principe du courant de repos !).

Fonction de com

mande en MARCHE

La fonction des entrées peut être configurée librement dans de vastes

plages. Les fonctions de commande nécessitent l'actionnement / le câblage

actif de l'entrée de pilotage avec 24 V, afin de déclencher la réaction

souhaitée (exemple : Validation des erreurs, remise en marche, sélecteur de

mode de fonctionnement). Pour cela, le principe du courant de repos ne

pourrait être garanti !Signaux d'entrée

équivalents

Une entrée sûre se compose de deux câbles de commande qui commutent

simultanément sur HIGH ou LOW (entrées à commutation simultanée).

Signaux d'entrée

antivalents

Une entrée sûre se compose de deux câbles de commande qui commutent

sur HIGH ou LOW dans le sens opposé. À tout moment (à l'exception du

temps de discordance), seule une entrée est HIGH ou LOW (entrées à com

mutation différentielle).

Tab. 2.12 Concepts



Capteurs passifs (à deux canaux)Les capteurs passifs sont des éléments de circuit à deux canaux, à contact. Les câbles de connexion et

la fonction des capteurs doivent être surveillés.

Les contacts peuvent commuter de façon antivalente et équivalente (conformément à la norme pour

l'élément de circuit correspondant). Néanmoins, les fonctions de sécurité sont déclenchées dès qu'un

canal au minimum est activé.

Exemples de capteurs passifs :

– Commandes d'arrêt d'urgence (toujours équivalentes)

– Contacteurs de porte (antivalents et équivalents)

– Boutons-poussoirs d'assentiment (antivalents et équivalents)

– Terminal de dialogue à deux mains

– Sélecteur de mode de fonctionnement (1 de sélection N)

Le module de sécurité détecte les erreurs suivantes pour les capteurs passifs :

– Signaux d'entrée antivalents ou équivalents après écoulement du temps de discordance, selon le

type de capteur et le paramétrage

– En cas d'alimentation via une sortie sûre du module de sécurité :

courts-circuits normaux et transversaux après +24 V et 0 V en raison de l'absence d'impulsions tests.

Les capteurs passifs qui déclenchent un arrêt d'urgence de l'installation (STO, SBC, SS1)

doivent être exécutés “à ouverture forcée” d'après EN 60204-1 et paramétrés en tant

qu'entrées équivalentes.

Types de capteur

Fonction Commande

d'arrêt d'ur

gence

Contacteur de

porte

Bouton-

poussoir

d'assentiment

Terminal de

dialogue à

deux mains

Sélecteur de

mode de

fonctionnement

Symbole

Entrée DIN40A/B …

DIN43A/B

DIN40A/B …

DIN43A/B

DIN40A/B …

DIN43A/B

DIN40A/B …

DIN43A/B

DIN45,

DIN46,

DIN47

Sortie DOUT40A/B … DOUT42A/B (cadence A/B) +24 V1)

1) Peut également être alimenté avec des impulsions tests de DOUT40 … 42.

Tab. 2.13 Affectation des capteurs aux entrées et sorties (exemples)

Commande d'arrêt d'urgenceLa commande d'arrêt d'urgence est habituellement utilisée pour déclencher l'arrêt d'urgence. Dans la

plupart des cas, la fonction de sécurité STO ou SS1 est activée.

Contacteur de porteLe contacteur surveille l'ouverture / le franchissement d'une porte de protection, d'un rideau lumineux,

ou similaire.



Bouton-poussoir d'assentimentEn règle générale, le bouton-poussoir d'assentiment est utilisé en mode réglage.

Exemple : En mode réglage, le déplacement de la machine avec porte de protection ouverte est autori

sé avec la fonction SLS dès que le bouton-poussoir d'assentiment est actionné. Le bouton-poussoir

d'assentiment suspend provisoirement une fonction de sécurité, elle est temporairement remplacée

par une autre fonction de sécurité. La fonction du bouton-poussoir d'assentiment est atteinte via un

paramétrage adéquat de la logique (demande, terminer la demande) des fonctions de sécurité.

Les fonctions logiques suivantes sont définitivement affectées à certaines entrées :

Terminal de dialogue à deux mains (DIN42A/B et DIN43A/B)

Le terminal de dialogue à deux mains est utilisé dans des applications pendant lesquelles l'opérateur

doit déclencher le déplacement à deux mains dès qu'il a quitté la zone dangereuse. Le terminal de dia

logue à deux mains occupe deux paires d'entrées sûres. Ici également, une fonction de sécurité, par ex.

SS1, peut être remplacée par une autre fonction, par ex. SLS. La fonction du terminal de dialogue à

deux mains (surveillance des deux entrées) est implémentée en tant que fonction logique fixe dans le

module de sécurité, la commutation des fonctions de sécurité est assurée via un paramétrage adéquat

de la logique (demande, terminer la demande) des fonctions de sécurité.

Sélecteur de mode de fonctionnement (DIN45, DIN46, DIN47)

Sert à sélectionner le mode de fonctionnement, les modes de fonctionnement suivants sont pris en

charge :

– Mode normal / mode de fonctionnement 1

– Mode réglage / mode de fonctionnement 2

– Mode spécial / mode de fonctionnement 3

Remarque : La désignation des modes de fonctionnement dépend des normes C pour les machines

correspondantes. La fonction du sélecteur de mode de fonctionnement est implémentée en tant que

fonction logique fixe dans le module de sécurité, la commutation des fonctions de sécurité est assurée

via un paramétrage adéquat de la logique (demande, terminer la demande) des fonctions de sécurité.

Remise en marcheL'entrée Remise en marche permet de réinitialiser les fonctions de sécurité qui ne sont plus demandées

lors de l'actionnement de l'entrée. DIN49 est prévue pour la remise en marche, mais il reste possible de

paramétrer toute autre entrée pour la remise en marche.

Exemple :

– SS1 a été demandée via l'arrêt d'urgence, SS2 via le contacteur de porte.

– L'arrêt d'urgence est maintenant supprimé, la porte reste ouverte.

=> En cas d'actionnement de la touche de remise en marche, l'installation reste immobilisée avec la

fonction de sécurité SS2 active et peut redémarrer directement lors de la fermeture de la porte de

protection.



Capteurs actifs (à deux canaux)Les capteurs actifs sont des unités dotées de sorties semi-conductrices à deux canaux (sorties OSSD).

Le module de sécurité prend en charge des capteurs actifs avec des signaux de sortie équivalents /

antivalents et avec / sans sorties d'impulsions tests. La technique de sécurité intégrée de la gamme

d'appareils CMMP-AS-...-M3 autorise les impulsions tests pour la surveillance des sorties et des

câbles. Les capteurs à commutation positive/négative commutent les câbles positif et négatif ou les

câbles de signal et de masse d'un signal de capteur.

Les sorties doivent commuter simultanément. Néanmoins, les fonctions de sécurité sont déclenchées

dès qu'un canal au minimum est activé.

Exemples de capteurs actifs :

– Barrière photoélectrique

– Scanner laser

– Commandes

Ces erreurs sont détectées pour les capteurs actifs :

– Signaux d'entrée antivalents ou équivalents après écoulement du temps de discordance, selon le

type de capteur et le paramétrage

Capteurs actifs et passifs (à un canal)Les capteurs à un canal sont utilisés pour la commande séquentielle ainsi que pour les messages de

retour et les diagnostics.

Exemples de capteurs passifs :

– contact d'accusé de réception d'une unité de blocage externe,

– bouton-poussoir pour la validation des erreurs présentes,

– bouton-poussoir pour la remise en marche.

Il est également possible d'utiliser des combinaisons de capteurs à un canal pour la commande des

fonctions de sécurité, exemple :

– Sélecteur de mode de fonctionnement (1 de sélection N).

Ces erreurs sont détectées pour les capteurs passifs à un canal :

– En cas d'alimentation via une sortie sûre du module de sécurité :

Courts-circuits normaux et transversaux après +24 V et 0 V en raison de l'absence d'impulsions

tests

Types de capteurs admissiblesTab. 2.14 montre une vue d'ensemble des types de capteurs admissibles sur les entrées numériques.



Type de capteur admissible DIN... 40 41 42 43 44 45 46 47 48 49

à deux canaux à un canal

1: Entrée générale à deux canaux X X X X

2: Commande d'arrêt d'urgence X1) X X X

3: Bouton-poussoir d'assentiment X X X X

4: Terminal de dialogue à deux

mains2)X X X X

5: Bouton-poussoir de démarrage X X X X

6: Verrouillage de porte X X X X

7: Capteur de référence sûr X X X X

8: Barrière photoélectrique X X X X

9: Message de retour Commande de

freinage

X X X X X1) X X X

10: Entrée générale à un canal X X X X X X X X

11: Sélecteur de mode de fonction

nement2)X X X X X1) X1) X1)

12: Valider les erreurs X X X X X1)

13: Remise en marche X X X X X1)

1) Réglage à l'usine (informations sur le réglage à l'usine et l'état de livraison � paragraphes 4.4.1 et 4.4.2)

2) L'activation de la fonction logique dans le SafetyTool implique la configuration adéquate des entrées correspondantes.

Tab. 2.14 Vue d'ensemble des types de capteurs admissibles sur les entrées numériques



2.4.2 Entrées sûres à deux canaux DIN40 … DIN43 [X40]

Utilisation

Les entrées numériques DIN40..DIN43 sont conçues avec deux canaux (DIN40A/B …

DIN43A/B). Elles servent à la demande des fonctions de sécurité jusqu'à la cat. 4 / PL e

ou SIL3 et sont, par conséquent, basées sur une architecture 1oo2.

Pour la demande des fonctions de sécurité, les entrées logiques internes affectées sont

reliées à la fonction de sécurité correspondante.

Fonction

Fig. 2.6 montre le schéma synoptique d'une entrée. La fonction est expliquée ci-après pour DIN40.

Les entrées DIN40 à DIN43 présentent une structure identique.

LIN_D40/41/...

[57-0] IO_ERR

DIN40A/41A/...

P02.04/09/0E/13

DIN40 ... DIN 43

COMPA-RATOR+ TIMER+ LOGIC

GLITCHFILTER

LPF

[57-1] IO_ERRDIN40B/41B/...

GLITCHFILTER

LPF

P02.05/0A/0F/14P02.06/0B/10/15P02.07/0C/11/16P02.08/0D/12/17

Fig. 2.6 Schéma synoptique des entrées sûres à deux canaux


DIN40A/..., DIN40B/... Entrées numériques à deux canaux DIN40A/DIN40B ...

GLITCH FILTER Filtre pour impulsions parasites

LPF Low-pass filter, filtre passe-bas

COMPARATOR + TIMER + LOGIC Comparateur, temporisateur et logique

LIN_x Entrées logiques ...



Les niveaux de signal sur les entrées DIN40A et DIN40B sont d'abord déparasités dans un filtre pri

maire CEM (“Glitch Filter”). La constante de durée de filtrage est de 500 μs et ne peut être paramétrée.



Sur ce filtre primaire, chaque signal d'entrée est suivi par un second filtre passe-bas “LPF” paramét

rable via le paramètre “Constante de durée de filtrage” (P02.04/...), conçu en tant que bascule mono

stable programmable. Ses usages sont les suivants :

– Filtrage d'impulsions tests externes, par ex. d'un capteur actif avec sorties OSSD.

– Filtrage d'impulsions tests de DOUT4x dans le cas de capteurs passifs.

– Filtrage de rebondissements de contacts.

Dans une logique située en aval avec comparateur, les deux signaux d'entrée A et B permettent de

former le signal de commande logique LIN_D40. Les impulsions tests sur l'entrée sont également analy

sées dans cette section. Pour la demande des fonctions de sécurité, l'entrée logique est reliée à la

fonction de sécurité correspondante (LIN_D40 = 1 correspond à Fonction de sécurité demandée).

Le paramètre “Type de capteur” (P02.24/...) permet de sélectionner un type de capteur.

Le paramètre “Mode de fonctionnement” (P02.06/...) permet la mise en œuvre de trois modes de

fonctionnement différents sur les entrées :

– Mode de fonctionnement = “Inutilisée” (P02.06/... = 0), l'entrée n'est pas utilisée. Le signal d'ent

rée logique LIN_D40 est durablement 0.

– Mode de fonctionnement = “Équivalent” (P02.06 = 1), entrée à commutation équivalente : Les ent

rées A et B d'un canal doivent toujours présenter un niveau de signal identique. Le signal d'entrée

logique LIN_D40 est inversé par rapport au niveau de signal sur DIN40, comme montré Tab. 2.16.

Entrée DIN40/ … /43 équivalente Au repos Fonction de sécurité demandée

DIN40A / … / 43A 24 V 0 V

DIN40B / … / 43B 24 V 0 V

État LIN_D40 / … /43 0 1

Tab. 2.16 Entrées à commutation équivalente

L'inversion de l'état logique correspond au principe du courant de repos. Utiliser les ent

rées exclusivement selon le principe du courant de repos et demander l'état sûr par 0 V

sur l'entrée.

– Mode de fonctionnement = “antivalent” (P02.06 = 2), entrée à commutation antivalente : Les ent

rées A et B doivent présenter un niveau de signal contraire. Le signal d'entrée logique LIN_D40 est

inversé par rapport au niveau de signal sur DIN40A, comme le montre Tab. 2.17.

Entrée DIN40/ … /43 antivalente Au repos Fonction de sécurité demandée

DIN40A / … / 43A 24 V 0 V

DIN40B / … / 43B 0 V 24 V

État LIN_D40 / … /43 0 1

Tab. 2.17 Entrées à commutation antivalente

Les capteurs passifs qui déclenchent un arrêt d'urgence de l'installation (STO, SBC, SS1)

doivent être exécutés “à ouverture forcée” d'après EN 60204-1 et paramétrés en tant

qu'entrées équivalentes.



Détection d'erreurLe niveau des entrées A et B peut diverger des états représentés dans Tab. 2.16 et Tab. 2.17 pendant

une durée paramétrable (“temps de discordance”, P02.05/...). Si la divergence dure plus longtemps,

l'erreur “[57-1] entrées numériques - erreur du niveau de signal” (erreur de discordance) est signalée.

Les entrées A et B peuvent être surveillées par le biais d'impulsions tests. La sélection de la source

d'impulsions tests s'effectue via le paramètre “Source pour impulsions test” (P02.07/...). Lorsqu'il

manque une impulsion test ou que la logique d'entrée détecte un court-circuit normal ou transversal,

l'erreur “[57-0] auto-test I/O (interne/externe)” est signalée.

En cas d'erreur, l'entrée logique LIN_D40 se place sur 1 (fonction de sécurité demandée).

NotaUne erreur détectée est transmise à la gestion des erreurs via les signaux d'erreurs

illustrés dans le schéma synoptique. La réaction à l'erreur est réglable (uniquement

avertissement, STO, SS1, SS2...). Pour la suite du traitement, l'entrée logique LIN_D40

passe alors à l'état 1.

L'utilisateur doit veiller à ce qu'une erreur (gestion des erreurs) mène à l'état sûr du

système intégral.

Diagrammes de tempsFig. 2.7, Fig. 2.8, Fig. 2.9 et Fig. 2.10 montrent les diagrammes de temps correspondants d'une entrée à

deux canaux, respectivement pour un paramétrage équivalent et antivalent.

DIN40A

P02.05

DIN40B

LIN_D40

RSFP02.04

Ts < 2,5 ms

P02.08 = 1 P02.08 = 0

P02.07

P02.07

Request Safety Function – Equivalent (P02.06 = 1)

Ts < 2,5 ms

ERRORDISCREPANCE

Fig. 2.7 Diagramme de temps de l'entrée sûre à deux canaux équivalente – démarrer la demande

(DIN40)



DIN40A

DIN40B

ERRORDISCREPANCE

LIN_D40

CSF

P02.07

P02.07

P02.04

Ts < 2,5 ms

Ts < 2,5 ms

P02.04 P02.05

Release Safety Function request – Equivalent (P02.06 = 1)

Fig. 2.8 Diagramme de temps de l'entrée sûre à deux canaux équivalente – terminer la demande

(DIN40)


RSF: Request Safety Function Demander la fonction de sécurité

RSF: Request Safety Function Terminer la demande de fonction de sécurité

Error Disperiance Erreur de discordance

Tab. 2.18 Légende pour Fig. 2.7 et Fig. 2.8



P02.05

DIN40A

DIN40B

LIN_D40

RSFP02.04

Ts < 2,5 ms

P02.08 = 1 P02.08 = 0

P02.07

P02.07

Request Safety Function – Antivalent (P02.06 = 2)

Ts < 2,5 ms

ERRORDISCREPANCE

Fig. 2.9 Diagramme de temps de l'entrée sûre à deux canaux antivalente – démarrer la demande

(DIN40)

ERRORDISCREPANCE

DIN40A

DIN40B

LIN_D40

CSF

P02.07

P02.07

P02.04

Ts < 2,5 ms

Ts < 2,5 ms

P02.04 P02.05

Release Safety Function request – antivalent (P02.06 = 2)

Fig. 2.10 Diagramme de temps de l'entrée sûre à deux canaux antivalente – terminer la demande

(DIN40)


RSF: Request Safety Function Demander la fonction de sécurité

RSF: Request Safety Function Terminer la demande de fonction de sécurité

Error Disperiance Erreur de discordance

Tab. 2.19 Légende pour Fig. 2.9 et Fig. 2.10



Le paramètre “Détection rapide de la demande” (P02.08/...) permet d'activer la détection rapide d'une

demande de sécurité. Si les deux entrées DIN40A et DIN40B changent de niveau simultanément, l'état

de commutation est transmis au signal logique LIN_D40 en contournant le filtre “LPF”. Même lorsque

les impulsions tests sont relativement longues et que la constante de temps du filtre est conséquem

ment importante, une détection ultra-rapide de la demande d'une fonction de sécurité est possible.

À partir de la demande de la fonction de sécurité STO via DIN40 … DIN43, les durées suivantes

s'écoulent jusqu'à l'entrée logique LIN_D... et, par conséquent, jusqu'à l'activation de la demande de

fonction de sécurité :

Durées de temporisation à partir du changement de niveau Valeur min. Valeurmax.

Typique

Ts 0,5 ms 2,5 ms 1,5 ms

“Constante de durée de filtrage” (P02.04/09/0E/13) 1,0 ms 1000,0 ms 3,0 ms

Temps de réaction en cas de “détection rapide de la

demande” = 0 (P02.08/P02.0D/P02.12/P02.17 = 0)

1,5 ms 12,5 ms 4,5 ms


demande” = 1 (P02.08/P02.0D/P02.12/P02.17 = 1)

0,5 ms 2,5 ms 1,5 ms

Tab. 2.20 Durées de temporisation DIN40 … DIN43

Paramètres pour les entrées numériques à deux canaux

N° de paramètre pour l'entrée ... Nom Description

DIN 40 DIN 41 DIN 42 DIN 43

P02.24 P02.25 P02.26 P02.27 Type de capteur Identification du capteur raccordé à

DIN4x.

P02.06 P02.0B P02.10 P02.15 Mode de fonction

nement

Mode : 0 = inutilisé, 1 = équivalent,

2 = antivalent

P02.05 P02.0A P02.0F P02.14 Temps de discordance Temps de discordance.

P02.07 P02.0C P02.11 P02.16 Source pour l'impulsion

test

Sélection de la sortie qui délivre les

impulsions test.

Paramètres experts

P02.04 P02.09 P02.0E P02.13 Constante de durée de

filtrage

Constante de durée de filtrage.

P02.08 P02.0D P02.12 P02.17 Détection rapide de la

demande

Utiliser la désactivation rapide en

cas de niveau bas sur DIN4xA et

DIN4xB.

Tab. 2.21 Paramètres des entrées numériques à deux canaux

Tab. A.10 � en annexe A.1 décrit les caractéristiques techniques pour les entrées de

pilotage dans la plage de fonctionnement spécifiée des tensions logiques selon

EN 61131-1.



2.4.3 Entrées numériques à un canal (conditionnellement sûres) DIN44 … DIN49 [X40]

Utilisation

Les entrées numériques DIN44..DIN49 sont conçues avec un canal. Elles conviennent

pour le raccordement d'interrupteurs passifs et de capteurs actifs.

Utiliser les entrées à un canal en tant qu'entrées de diagnostic, pour les fonctions de

commande qui nécessitent une seule entrée à un canal, ou en combinaison de plusieurs

entrées pour la demande de fonctions de sécurité.

En cas d'utilisation de capteurs à deux fils actifs sans auto-diagnostic :

Si le capteur à deux fils actif n'est pas actionné, le module de sécurité n'exécute pas

l'ensemble des contrôles nécessaires. Par conséquent, un actionnement régulier est

requis pour le contrôle de fonctionnement. Un actionnement est recommandé toutes les

8 heures ou une fois par équipe, et obligatoire au moins une fois toutes les 24 heures

(� A.1.4, Tab. A.10).

Pour la demande et la désactivation de fonctions de sécurité, seules les entrées à deux

canaux DIN40 … DIN43 ou des combinaisons logiques appropriées d'entrées à un canal

peuvent être utilisées.

FonctionFig. 2.11 montre le schéma synoptique des entrées à un canal. La fonction est expliquée ci-après pour

DIN44. Les entrées DIN44 à DIN49 présentent une structure identique.

LIN_D44/45/...

[57-0] IO_ERR

DIN44/45/...

P02.18/...

DIN44 ... DIN 49

COMPA-RATOR+ LOGIC

GLITCHFILTER

LPF

P02.18/1A/...

P02.19/1B...

Fig. 2.11 Schéma synoptique des entrées à un canal




DIN40A/..., DIN40B/... Entrées numériques à deux canaux DIN40A/DIN40B ...

GLITCH FILTER Filtre pour impulsions parasites

LPF Low-pass filter, filtre passe-bas

COMPARATOR + LOGIC Comparateur et logique

LIN_x Entrées logiques ...



Les niveaux de signal sur les entrées DIN44 à DIN49 sont d'abord déparasités dans un filtre primaire

CEM “Glitch Filter”. La constante de durée de filtrage est de 500 μs et ne peut être paramétrée.

Pour chaque signal d'entrée, le premier filtre est suivi d'un deuxième filtre “LPF”, conçu comme une

bascule monostable programmable et paramétrable via le paramètre “Constante de durée de filtrage”

(P02.18). Ses usages sont les suivants :

– Filtrage d'impulsions tests externes, par ex. d'un capteur actif avec sorties OSSD.

– Filtrage d'impulsions tests de DOUT4x dans le cas de capteurs passifs.

– Filtrage de rebondissements de contacts.

Dans une logique située en aval avec comparateur, les signaux d'entrée permettent de former le signal

de commande logique LIN_D44/.../49 (LIN_D44/.../49 = 1 correspond à Fonction de commande

demandée). Les impulsions tests sur l'entrée sont également analysées dans cette section.

Le paramètre “Type de capteur” (P02.28 … P02.2D) permet de sélectionner le type de capteur.

Entrée DIN44/ … /49 Au repos Fonction de commande demandée

DIN44 / … / 49 0 V 24 V

État LIN_D44 / … /49 0 1

Tab. 2.23 Entrées à commutation antivalente

L'état logique constitue le niveau de tension directement sur l'entrée – contrairement aux

entrées à deux canaux DIN40…DIN43, conformes au principe du courant de repos ! Les

entrées sont conçues pour les fonctions de commande, telles que le sélecteur de mode

de fonctionnement, qui requièrent une logique positive.

En cas d'utilisation prévue des entrées à un canal ou d'une combinaison de ce type d'ent

rée pour la demande de fonctions de sécurité, le principe du courant de repos doit être

respecté :

Utiliser alors le signal logique inversé pour la demande de la fonction de sécurité, par ex. :



Détection d'erreurLes entrées peuvent être surveillées par le biais d'impulsions tests. La sélection de la source des impul

sions tests (DOUT40 à DOUT42) s'effectue via le paramètre “Source pour l'impulsion test” (P02.19/...).

Lorsqu'il manque une impulsion test ou que la logique d'entrée détecte un court-circuit normal ou

transversal, l'erreur “[57-0] auto-test I/O (interne/externe)” est signalée.

En cas d'erreur, l'entrée logique LIN_D44 se place sur 1 (fonction de commande demandée).

NotaUne erreur détectée est transmise à la gestion des erreurs via les signaux d'erreurs

illustrés dans le schéma synoptique. La réaction à l'erreur est réglable (uniquement

avertissement, STO, SS1, SS2...). Pour la suite du traitement, l'entrée logique LIN_D44

passe alors à l'état 1.

L'utilisateur doit veiller à ce qu'une erreur (gestion des erreurs) mène à l'état sûr du

système intégral.

Paramètres pour les entrées numériques à un canal

N° de paramètre pour l'entrée ... Nom Description

DIN 44 DIN 45 DIN 46 DIN 47 DIN 48 DIN49

P02.28 P02.29 P02.2A P02.2B P02.2C P02.2D Type de capteur Identification du capteur

raccordé à DIN4x.

P02.19 P02.1B P02.1D P02.1F P02.21 P02.23 Source pour

l'impulsion test

Sélection de la sortie qui

délivre les impulsions

test.

Paramètres experts

P02.18 P02.1A P02.1C P02.1E P02.20 P02.22 Constante de

durée de filtrage

Constante de durée de

filtrage

Tab. 2.24 Entrées numériques

Diagramme de tempsFig. 2.12 montre le diagramme de temps correspondant d'une entrée à un canal :



DIN 44

Digital Input DIN44

LIN_D44

P02.18

Ts < 2,5 ms

P02.19

DIN 44

LIN_D44

P02.18

Ts < 2,5 ms

P02.19

High -> Low

Low -> High

Fig. 2.12 Diagramme de temps d'une entrée à un canal (exemple DIN44)

À partir de la demande de la fonction de commande via DIN44 … DIN49, les durées suivantes s'écoulent

jusqu'à l'activation de l'entrée logique LIN_D... :

Durées de temporisation à partir du changement de niveau Valeur min. Valeurmax.

Typique

Ts 0,5 ms 2,5 ms 1,5 ms

Constante de durée de filtrage (P02.18/1A/1C/1E/20/22) 1,0 ms 10,0 ms 3,0 ms

Temps de réaction 1,5 ms 12,5 ms 4,5 ms

Tab. 2.25 Durées de temporisation DIN44 … DIN49

Tab. A.10 � en annexe A.1 décrit les caractéristiques techniques pour les entrées de

pilotage dans la plage de fonctionnement spécifiée des tensions logiques selon

EN 61131-1.



2.5 Fonctions de sécurité

Les fonctions de sécurité présentent une structure en deux parties qui s'applique à l'ensemble des

fonctions :

VOUT_xxx_SFR

[5x-x] xxx_ERR

Safety Function

1

VOUT_xxx_SSR

Logic Input Signals

&

&

&

...

...

......

...

VIN

VIN_xxx_RSF

VIN_xxx_CSF

Logic Safety Function

Fig. 2.13 Schéma synoptique de la structure globale des fonctions de sécurité


Logic Input Signals Signaux d'entrée logiques

Logic Logique, pouvant être configurée via les termes de produits pour les

fonctions de sécurité

Safety Function Fonction de sécurité

VIN_xxx_RSF Entrée virtuelle : Demander la fonction de sécurité xxx

(Request Safety Function)

VIN_xxx_CSF Entrée virtuelle : Terminer la demande de la fonction de sécurité xxx

(Clear Safety Function request)

VOUT_xxx_SFR Sortie virtuelle : Fonction de sécurité xxx demandée (Safety Func

tion requested)

VOUT_xxx_SSR Sortie virtuelle : La fonction de sécurité xxx a atteint l'état sûr

(Safe State Reached)

[5x-x] xxx_ERR Signal d'erreur interne : Erreur 5x-x


Partie logique (partie gauche)

Une fonction logique configurable (porte ET ou OU dans une forme standard disjonctive) permet de

définir les signaux d'entrée (LIN_x) à commuter sur la fonction de sécurité pour :

– la demande de fonction de sécurité, signal VIN_xxx_RSF (Request Safety Function),

– l'arrêt de la demande de fonction de sécurité, signal VIN_xxx_CSF (Clear Safety Function),

– la sélection de signaux d'accusé de réception supplémentaires (par ex. pour SBC)



La logique d'entrée pour la fonction STO pourrait par ex. se présenter comme suit dans le

SafetyTool, registre “Demander” :

La fonction STO est demandée via DIN40 si le sélecteur de mode de fonctionnement

DIN45 est actif ou via DIN41 si le même sélecteur DIN45 est inactif.

Pour chaque entrée VIN..., une porte OU avec quatre entrées et des portes ET situées en

amont avec sept entrées sont disponibles. Tous les signaux peuvent également être

inversés.

Chaque demande de fonction de sécurité est prioritaire par rapport à l'arrêt de la demande.

Cela signifie : Tant que l'un des signaux xxx_RSF (Request Safety Function) est présent, la fonction de

sécurité ne peut être terminée par un signal xxx_CSF (Clear Safety Function).

Fonction de sécurité (partie droite)Tant que la fonction de sécurité est demandée, elle exécute de manière sûre la surveillance correspon

dante des variables d'état de l'actionneur. Elle comprend les fonctions logiques et d'exécution

nécessaires à cet effet et pouvant être paramétrées.

La logique et la fonction d'exécution sont initialisées avec le flanc ascendant de la demande, par ex. les

valeurs initiales pour les rampes de freinage sont ainsi calculées.

La fonction de sécurité tient compte de l'état actuel de l'actionneur (position, vitesse) et génère dif

férents messages d'état et signaux de commande. Les principales fonctions sont brièvement décrites

ci-après :

– Un paramètre permet de déterminer la nécessité d'une remise en marche automatique après la

suppression de la demande.

– Les fonctions ARRÊT possèdent une entrée de pilotage supplémentaire pour la demande de la

fonction de sécurité – cette entrée ERR_xxx_RSF est directement alimentée par la gestion des

erreurs, les fonctions ARRÊT pouvant également être demandées en tant que réaction sur erreur par

la gestion des erreurs.

– Quelques fonctions de sécurité peuvent également être demandées directement par d'autres

fonctions de sécurité. Ainsi, STO est activée automatiquement par la fonction SS1, au terme de la

rampe de freinage de cette dernière fonction ; elle est également terminée automatiquement avec

la fonction SS1.

Chaque fonction de sécurité met au moins à disposition les signaux de sortie suivants :

– le message d'état VOUT_xxx_SFR, fonction de sécurité xxx demandée,

– le message d'état VOUT_xxx_SSR, état sûr xxx atteint,

– au moins un message d'état xxx_ERR en cas de non-respect de la condition de sécurité.



De plus, quelques fonctions de sécurité mettent à disposition des signaux de commande supplémen

taires, par ex.

– pour la commande directe du matériel, par ex. l'alimentation pilote ou la sortie du frein de maintien

pour la commande de freinage sûre,

– pour la demande de fonctions de sécurité en aval, par ex. STO_SBC_RSF.

Ces signaux de sortie peuvent être transmis à la commande fonctionnelle en tant que

message d'état ; ils peuvent être utilisés via des sorties sûres pour la commande de

dispositifs de coupure de sécurité externes. Ainsi, il est par ex. possible de commander

une unité de blocage externe.

Les fonctions de sécurité dédiés à la surveillance de déplacement utilisent en plus la vitesse

(ACTUAL_SPEED) ou la position (ACTUAL_POSITION) détectée de manière sûre pour la surveillance.

Elles commandent la vitesse admissible dans la partie fonctionnelle du contrôleur de moteur via une

limitation de la vitesse (SPEED_LIMIT).

Les fonctions de sécurité sont configurées par le biais d'une gamme de paramètres. Sont réglables :

– les rampes de vitesse,

– la valeur limite de surveillance pour la vitesse et la position,

– les durées de temporisation.

Parmi les autres options réglables, on peut citer :

– La réaction lors de la remise en marche.

– Le type et la manière d'intervention du module de sécurité dans le fonctionnement de l'appareil de

base :

– Il n'intervient pas activement et se limite à la surveillance.

– Il commande l'arrêt rapide dans l'appareil de base et entraîne un arrêt rapide de l'appareil de

base pendant qu'il surveille le freinage.

– Il réduit activement la vitesse dans l'appareil de base tout en surveillant le respect des valeurs

limites.

La norme EN 61800-5-2 définit les différentes fonctions de sécurité pour les régulateurs

d'actionnement. Elle définit trois méthodes de surveillance du freinage. Grâce à la

configuration décrite ci-dessus, le module de sécurité prend en charge toutes les mé

thodes prévues par la norme.

Le module de sécurité prend en charge les fonctions de déplacement et d'arrêt sûres

décrites dans les paragraphes suivants, conformément au � paragraphe 2.2.3, Tab. 2.4.



2.5.1 STO - couple désactivé de manière sûre (Safe Torque Off )

Application

La fonction décrite ici réalise la fonction de sécurité STO selon EN 61800-5-2 (arrêt de

catégorie 0 de EN 60204-1).

Utiliser la fonction “Couple désactivé de manière sûre” (“Safe Torque Off ”, STO), si l'ap

plication exige de couper l'alimentation en énergie vers le moteur de façon sécurisée,

mais qu'il n'y a aucune autre demande pour un arrêt ciblé de l'actionneur.

La fonction STO est activée via le réglage à l'usine (préparamétrage).

Étant donné que la fonction est utilisée par d'autres fonctions (demande par SS1 ou ré

action sur erreur en cas de dysfonctionnement d'autres fonctions de sécurité

demandées), elle ne peut être désactivée.

FonctionLa fonction “Couple désactivé de manière sûre” coupe l'alimentation pilote pour les semi-conducteurs

de puissance et empêche ainsi que l'étage de sortie fournisse l'énergie nécessaire pour le moteur.

Si la fonction de sécurité STO “Arrêt sécurisé” est activée, l'approvisionnement en énergie de l'action

neur est coupé de manière sûre. L'actionneur ne peut plus générer de couple et donc de mouvements

dangereux. En cas de charges suspendues ou d'autres forces extérieures, prévoir des mesures supplé

mentaires pour éviter tout affaissement (par ex. des unités de blocage mécaniques). Dans l'état STO

“Safe Torque Off ”, aucune surveillance de la position d'arrêt n'est effectuée.

La mise à l'arrêt de la machine doit s'effectuer conformément aux normes de sécurité et être assurée.

Cette précaution s'applique tout particulièrement aux axes verticaux sans mécanisme autobloquant,

unité de blocage ni compensation de poids.

NotaIl existe un danger de secousses de l'actionneur en cas d'erreurs multiples dans le

CMMP-AS-...-M3.

Une panne de l'étage de sortie du contrôleur de moteur au cours de l'état STO (court-

circuit simultané de 2 semi-conducteurs de puissance dans des phases différentes)

peut être à l'origine d'un mouvement d'arrêt limité du rotor. Le parcours/l'angle de

rotation correspond à un écartement polaire. Exemples :

– Axe de rotation, machine synchrone, 8 pôles � mouvement 45° sur arbre de

moteur.

– Moteur linéaire, écartement polaire 20 mm � mouvement 20 mm sur la pièce en

mouvement.

La fonction STO (Safe Torque Off ) ne protège pas contre une électrocution, mais

uniquement contre des mouvements dangereux ! Aucune séparation de l'actionneur et de

l'alimentation électrique dans le cadre de la sécurité électrique, n'a lieu � description

matérielle, GDCP-CMMP-M3-HW-...



La logique dédiée à la demande de la fonction de sécurité STO est représentée dans le schéma synop

tique suivant :

VOUT_PS_EN

[54-5] STO_ERR

SS1_STO_RSF

VIN_STO_RSF

ERR_STO_RSF

VIN_STO_CSF

P0A.00

Safety Function STO

TIMERS

R

Q

STO_SBC_RSF1

1 1

P0A.0x

VOUT_STO_SFR

VOUT_STO_SSR

Fig. 2.14 Schéma synoptique STO


Safety Function STO Fonction de sécurité STO

SS1_STO_RSF Signal interne : Demande de STO par SS1

ERR_STO_RSF Signal interne : Demande de STO par la réaction sur erreur

VIN_STO_RSF Entrée virtuelle : Demander STO

VIN_STO_CSF Entrée virtuelle : Terminer la demande STO

TIMER Temporisateur

VOUT_PS_EN Sortie virtuelle : Activation de l'étage de sortie autorisée

VOUT_STO_SFR Sortie virtuelle : STO demandée

VOUT_STO_SSR Sortie virtuelle : État sûr STO atteint

[54-5] STO_ERR Signal d'erreur interne : Erreur 54-5

STO_SBC_RSF Signal interne : Demande de SBC par STO


La fonction de sécurité est demandée comme suit :

– Par l'utilisateur via une combinaison quelconque de signaux d'entrée LIN_D..., conduits sur le signal

VIN_STO_RSF.

– En tant que réaction sur erreur, commandée via la gestion des erreurs, signal ERR_STO_RSF.

– Via la fonction de sécurité SS1, signal SS1_STO_RSF.

La demande de la fonction de sécurité STO est annulée comme suit :

– Par l'utilisateur via une combinaison quelconque de différents signaux, conduits sur le signal

VIN_STO_CSF.

– Le réglage du paramètre “Remise en marche automatique autorisée” (P0A.00) autorise la remise en

marche automatique après suppression de la demande.






La fonction de sécurité commande la coupure de l'alimentation pilote via le signal VOUT_PS_EN.

Si besoin est, la fonction de sécurité SBC peut être demandée automatiquement, signal STO_SBC_RSF.

De plus, elle génère les messages d'état :

– VOUT_STO_SFR, fonction de sécurité STO demandée.

– VOUT_STO_SSR, état sûr STO atteint.

Détection d'erreur :Si la fonction de sécurité STO “Arrêt sécurisé” est activée, l'approvisionnement en énergie de l'action

neur est coupé immédiatement et de manière sûre. Ceci est assuré par le circuit de coupure à deux

canaux qui effectue un contrôle en cours de fonctionnement. En cas de défaillance d'un canal de cou

pure, un message d'erreur est généré. L'actionneur est désactivé par le biais du canal restant.

Le message d'erreur [54-5] STO_ERR “Condition de sécurité STO non respectée” est émis en cas

d'erreur dans la fonction STO.

DéroulementL'exécution de la fonction de sécurité STO est représentée dans le diagramme suivant :

Safety Function RequestSFR

P0A.02

n

t

Safe State ReachedSSR

nValeur réelle

SBC

P0A.01

STO

Fig. 2.15 Organigramme STO


Safety Function Request SFR Demande de fonction de sécurité

Safe State Reached SSR État sûr atteint

nréelle Vitesse réelle




En cas de demande de la fonction de sécurité STO, l'alimentation pilote est coupée immédiatement et

sans temporisation notable par deux canaux.

Après écoulement d'une durée de temporisation paramétrable “Durée de temporisation avant le

message STO” (P0A.02), l'état interne VOUT_STO_SSR, “État sûr atteint” est activé.

À partir de la demande de la fonction de sécurité STO, les durées suivantes s'écoulent jusqu'à

activation de la fonction de sécurité :

Durées de temporisation à partir deVIN_STO_RSF

Valeur min. Valeur max. Typique

VOUT_STO_SFR 2,0 ms 2,1 ms 2,0 ms

VOUT_STO_SSR 2,0 ms + P0A.02 2,1 ms + P0A.02 2,0 ms + P0A.02

Temps de réaction avant la coupure de l'ali

mentation pilote de l'appareil de base et

ARRÊT de l'étage de sortie

2,5 ms 4,5 ms 3,5 ms

Tab. 2.29 Durées de temporisation STO

Paramètres pour STO

STO : Couple désactivé de manière sûreN° Nom Description

P0A.02 Durée de temporisation jusqu'au

message “STO”

Durée de temporisation avant l'activation de la

sortie “État sûr atteint”.

P0A.00 Remise en marche automatique

autorisée

Si réglé : Suppression de la demande (remise en

marche) si l'entrée demandée est inactive

P0A.01 Activation automatique SBC Si réglé : La commande de freinage sûre est acti

vée lorsque l'état sûr est atteint (après écou

lement de la durée de temporisation).

Tab. 2.30 STO : Couple désactivé de manière sûre

2.5.2 SBC – commande de freinage sûre (Safe Brake Control)

Application

La fonction décrite ici réalise la fonction de sécurité SBC selon EN 61800-5-2.

Utiliser la fonction “Commande de freinage sûre” (“Safe Brake Control”, SBC) pour la

commande d'une unité de blocage ou d'un frein de maintien, afin de ralentir mé

caniquement un axe de façon ciblée ou de le maintenir fixement.

La commande d'une unité de blocage ou d'un frein de maintien peut s'effectuer au choix via :

– la sortie de freinage sûre [X6] dans le contrôleur de moteur,

– une sortie sûre du module de sécurité et un dispositif de commutation de freinage

externe.



Important : La mise en œuvre de la fonction de sécurité SBC nécessite l'utilisation d'une

unité de blocage ou d'un frein de maintien avec niveau de sécurité correspondant. En

règle générale, une analyse du risque doit être effectuée pour tous les types d'unités de

blocage sans certification et l'adéquation pour l'application de sécurité en question doit

être confirmée. Dans le cas contraire, ils ne doivent pas être utilisés.

Généralement, le frein de maintien dans les moteurs n'est pas qualifié en conséquence.

La fonction SBC est activée via le réglage à l'usine (préparamétrage).

Tant que la fonction est utilisée par d'autres fonctions (demande par STO, par d'autres

paramétrages ou par une réaction sur erreur en cas de dysfonctionnement d'autres

fonctions de sécurité demandées), elle ne peut être désactivée.

Fonction

La fonction “Safe Brake Control” désactive immédiatement la tension pour une unité de blocage ou un

frein de maintien raccordé(e). L'unité de blocage ou le frein de maintien retombe et ralentit le moteur et

l'axe. Les déplacements dangereux sont ainsi ralentis mécaniquement. Le temps de freinage dépend de

la rapidité d'intervention du frein et du niveau d'énergie dans le système.

NotaDans le cas de charges suspendues, un affaissement se produit généralement lorsque

SBC est demandé simultanément avec STO. Ceci est dû à l'inertie mécanique de l'unité

de blocage ou du frein de maintien et ne peut être évité.

Le module de sécurité met à disposition la fonction de sécurité SS1 en association avec

SBC ou la fonction de sécurité SS2. Vérifier si ces fonctions de sécurité peuvent ou

doivent être utilisées avec SBC au lieu de STO dans le cadre de l'application concernée.

La commande de freinage sûre peut être utilisée exclusivement sur les unités de blocage ou freins de

maintien qui retombent à l'état sans courant. L'ouverture de l'unité de blocage ou du frein de maintien

s'effectue par l'approvisionnement en énergie.

Lors de l'utilisation de la sortie de freinage de l'appareil de base, veiller à ce que les câbles soient po

sés de manière à être protégés. Si l'intensité admissible des sorties sûres du module de sécurité est

suffisante, une détection de court-circuit transversal avec impulsions tests est possible.

La logique dédiée à la demande de la fonction de sécurité SBC est représentée dans le schéma synop

tique suivant :



Safety Function SBC

TIMER+ BRAKE FEEDBACKDETECTION

1

1

1

S

R

Q

VIN_BRK_ACK

STO_SBC_RSF

SS1_SBC_RSF

ERR_SBC_RSF

VIN_SBC_RSF

VIN_SBC_CSF

P17.03

P17.0x

VOUT_SBC_SFR

VOUT_SBC_SSR

[54-0] SBC_ERR

VOUT_SBC_BRK_ON

[54-6] 24H_ERR

#SH2_BRK_EN1

Fig. 2.16 Schéma synoptique SBC


Safety Function SBC Fonction de sécurité SBC

#SH2_BRK_EN L'appareil de base active la commande de freinage sûre

STO_SBC_RSF Signal interne : Demande de SBC par STO

SS1_SBC_RSF Signal interne : Demande de SBC par SS1

ERR_SBC_RSF Signal interne : Demande de SBC par la réaction sur erreur

VIN_STO_RSF Entrée virtuelle : Demander SBC

VIN_STO_CSF Entrée virtuelle : Terminer la demande SBC

VIN_BRK_ACK Entrée virtuelle : Analyse du signal d'accusé de réception Commande de

freinage sûre

TIMER + BRAKE

FEEDBACK DETEC

TION

Temporisateur et analyse du message de retour Commande de freinage sûre

VOUT_SBC_BRK_ON Sortie virtuelle : Activer la sortie de freinage

VOUT_SBC_SFR Sortie virtuelle : SBC demandé

VOUT_SBC_SSR Sortie virtuelle : État sûr SBC atteint

[54-0] SBC_ERR Signal d'erreur interne Erreur 54-0

[54-6] 24H_ERR Signal d'erreur interne Erreur 54-6


La fonction de sécurité SBC est demandée comme suit :


VIN_SBC_RSF.

– En tant que réaction sur erreur, commandé via la gestion des erreurs, signal ERR_SBC_RSF.

– Via la fonction de sécurité STO, signal STO_SBC_RSF.

– Via la fonction de sécurité SS1, signal SS1_SBC_RSF.



La demande de la fonction de sécurité SBC est annulée comme suit :


VIN_SBC_CSF.

– Le réglage du paramètre P17.03 autorise la remise en marche automatique après suppression de la

demande.




La fonction de sécurité commande la désactivation de la commande de freinage sûre via le signal

VOUT_SBC_BRK_ON. Lorsque la fonction de sécurité est demandée, VOUT_SBC_BRK_ON = 1.

De plus, VOUT_SBC_BRK_ON est relié en interne avec un signal de commande de l'appareil de base qui

reproduit l'état de commutation de la commande de freinage dans l'appareil de base. La commande de

freinage sûre est alimentée uniquement si aucune fonction SBC n'est demandée et si l'appareil de base

active le frein (#SH2_BRK_EN est Low).

Après une demande de SBC et son annulation subséquente, la commande de freinage

sûre n'est réalimentée que lorsque l'appareil de base active le frein de maintien.

Ceci permet de garantir le redémarrage sans affaissement des axes z avec charge

suspendue.

Le signal de commande VOUT_SBC_BRK_ON doit commuter soit sur la commande de freinage interne

du contrôleur de moteur (signal de commande LOUT_BRAKE_CTRL, � paragraphe B.1.4), soit sur une

sortie numérique pour la commande d'une unité de blocage externe (LOUT_D4x, � paragraphe B.1.4).

Pour utiliser la commande de freinage de l'appareil de base sur [X6] en combinaison avec SBC,

configurer la sortie “Frein interne” du module de sécurité :

Exigence :

Paramètre standard :

La commande de freinage de l'appareil de base est également surveillée par le biais

d'impulsions tests.

Le contrôleur de moteur détecte une désactivation de la commande de freinage sûre par

l'extérieur ; il exécute un arrêt rapide et désactive l'étage de sortie. La commande de

freinage peut être activée en permanence du côté du contrôleur de moteur (utilisation

des paramètres de la commande du frein de maintien dans le contrôleur de moteur), de

sorte que la commande s'effectue exclusivement via le module de sécurité.



Pour utiliser la commande de freinage de l'appareil de base [X6] indépendamment de SBC

et pour utiliser SBC en combinaison avec DOUT4x, la sortie “Frein interne” du module de

sécurité doit être configurée sur MARCHE permanente :

Exigence :


Configurer également une sortie, par ex. DOUT41, pour l'émission du signal de com

mande pour la commande de freinage sûre :

Exigence :


Si la fonction SBC commande une unité de blocage ou un frein de maintien externe via une sortie numé

rique, les signaux de commande pour la commande de freinage sûre interne de l'appareil de base

peuvent être configurés, de sorte que SBC n'exerce plus aucune influence sur les signaux en question.

La sortie de freinage de l'appareil de base est alors disponible pour d'autres fonctions (=> signaux de

commande FSM_BR+_EN et FSM_BR-_EN paramétrables sur high).

Des informations relatives au paramétrage de la sortie de freinage figurent dans la � description des

fonctions de CMMP-AS-...-M3, GDCP-CMMP-M3-FW-...

La commande d'une unité de blocage avec un besoin élevé en électricité (typiquement 8 A ou plus)

requiert un câblage externe via deux contacteurs intermédiaires avec contacts d'accusé de réception

forcés. Dans ce cas, le message de retour doit être câblé séparément. Le message de retour est alors

exécuté sur le module de sécurité via une entrée numérique, généralement DIN44.

De plus, la fonction SBC génère les messages d'état :

– VOUT_SBC_SFR, fonction de sécurité SBC demandée.

– VOUT_SBC_SSR, état sûr SSBC atteint (temporisation réglable via P17.01).

Signaux de sortie SBC Au repos Fonction de sécurité demandée / atteinte

VOUT_SBC_BRK_ON 0 1

VOUT_SBC_SFR 0 1

VOUT_SBC_SSR 0 1 (temporise P17.01)

Tab. 2.32 Signaux de sortie SBC



Détection d'erreur :La fonction de sécurité peut analyser un signal d'accusé de réception externe et ainsi contrôler si l'unité

de blocage ou le frein de maintien est effectivement retombé. L'analyse est effectuée via l'entrée

VIN_BRK_ACK, lorsque cette fonction est activée via le paramètre P17.02.

La paramètre P17.00 permet de paramétrer une durée de temporisation pour le message de retour.

Le message de retour est analysé après écoulement de la temporisation. En cas d'absence d'un

message de retour, le message d'erreur [54-0] SBC_ERR est généré.

NotaL'entrée de signalisation de retour VIN_BRK_ACK peut être commutée sur l'entrée de

signalisation de retour de l'appareil de base (signal LIN_BRAKE_X6_FB) en cas d'utili

sation de la sortie de freinage sur [X6]. Ce signal représente l'état de commutation de la

sortie de freinage sûre sur l'appareil de base.

Dans le cas où un câble de moteur - et non une unité de blocage ou un frein de maintien -

est raccordé sur la sortie de freinage [X6], il existe un risque de couplage parasite dans la

conduite de frein ouverte et, par conséquent, de message de retour erroné (erreur [54-0]).

� Désactiver alors l'entrée de signalisation de retour.

NotaL'entrée de signalisation de retour VIN_BRK_ACK doit être mappée sur une entrée

numérique sûre en cas d'utilisation d'une unité de blocage externe.

Seul l'état “Frein retombé” (surveillance de niveau de VIN_BRK_ACK) est surveillé. La

surveillance du message de retour en cas de “frein alimenté” n'a pas lieu.

De plus, la fonction SBC possède une surveillance de temps intégrée :

La fonction SBC peut être demandée pour 24 h max. L'unité de blocage ou le frein de maintien doit ainsi

être commuté (ventilé) au moins une fois en l'espace de 24 h, car les interrupteurs de puissance ne

peuvent être contrôlés qu'à l'état activé par le biais d'impulsions tests.

Le dépassement de la limite temporelle génère l'erreur [54-6] 24H_ERR.

La limitation de temps est annulée lorsque la fonction SBC est utilisée en combinaison avec une sortie

sûre (DOUT40 … DOUT42) ou que le frein de maintien n'est plus utilisé de manière sûre. La surveillance

24 h peut être désactivée via les paramètres experts P17.04.

NotaÀ l'état de livraison du module de sécurité, la fonction SBC est toujours configurée en

combinaison avec la sortie [X6], même si l'utilisation de la fonction SBC n'est pas

prévue. Pour les applications dans lesquelles les conduites de commande de freinage

sont guidées dans le câble du moteur, un couplage parasite peut se produire dans les

conduites de frein ouvertes dans le cas où aucun frein de maintien n'est raccordé au

moteur. Le module de sécurité signale alors l'erreur 57-0.

� Débrancher alors les conduites de commande de freinage sur X6 et les raccorder sur

la broche PE.



Déroulement :L'exécution de la fonction de sécurité SBC est représentée dans le diagramme suivant :


P17.00

t


P17.01

P17.02

VIN_BRK_ACK

Fig. 2.17 Organigramme SBC




VIN_BRK_ACK Entrée virtuelle : analyse du signal d'accusé de réception Frein de

maintien


En cas de demande de la fonction de sécurité SBC, les durées suivantes s'écoulent pour la

désactivation de l'unité de blocage ou du frein de maintien(VOUT_SBC_BRK_ON) et les messages de

retour de la fonction de sécurité :

Durées de temporisation à partir deVIN_SBC_RSF


VOUT_SBC_BRK_ON 2,0 ms 2,1 ms 2,0 ms

VOUT_SBC_SFR 2,0 ms 2,1 ms 2,0 ms

VOUT_SBC_SSR 2,0 ms + P17.01 2,1 ms + P17.01 2,0 ms + P17.01

Temps de réaction sur erreur en cas de

message de retour manquant VIN_BRK_ACK

2,0 ms + P17.00 2,1 ms + P17.00 2,0 ms + P17.00

Tab. 2.34 Durées de temporisation SBC



Paramètres pour SBC

SBC : Commande de freinage sûreN° Nom Description

P17.00 Durée de temporisation Analyse

Message de retour de freinage

Temps s'écoulant à partir de la demande de la

fonction de sécurité jusqu'au message de retour

du frein de maintien.

P17.01 Durée de temporisation Message

“Frein retombé”

Durée de temporisation entre la demande de la

fonction de sécurité et le moment où la sortie

“État sûr atteint” est activée

P17.02 Message de retour Frein de maintien

Analyse

Si 1 : Analyser le message de retour du frein de

maintien.

P17.03 Remise en marche automatique autori

sée

Si 1 : Suppression de la demande (remise en

marche) si l'entrée de demandée est inactive

Paramètres experts

P17.04 Test cyclique/désactiver la surveillance

24h/24

Si 1 : Désactivation du test cyclique de la com

mande de freinage et de la surveillance 24 h/24

pour l'actionnement du frein de maintien par

l'appareil de base. La sortie de freinage sûre de

l'appareil de base peut être utilisée en tant que

DOUT “normale” avec une intensité maximale

admissible élevée.

Tab. 2.35 SBC : Commande de freinage sûre



2.5.3 SS1 – arrêt sûr 1 (Safe Stop 1)

Application

La fonction décrite ici réalise la fonction de sécurité SS1 selon EN 61800-5-2.

Utiliser la fonction “Arrêt sûr 1” (“Safe Stop 1”, SS1), si l'application exige de ralentir le

moteur, de couper l'alimentation en énergie vers le moteur de façon sécurisée, mais qu'il

n'y a aucune autre demande pour un arrêt ciblé de l'actionneur (voir catégorie d'arrêt 1

de EN 60204-1).

Les trois versions décrites dans la norme sont prises en charge :

a) Déclenchement et commande des grandeurs de temporisation du moteur dans les

limites définies et déclenchement de la fonction STO lorsque le régime moteur passe

sous une valeur limite définie.

� L'actionneur est guidé vers une rampe de freinage jusqu'à la détection d'arrêt

(P06.09), l'étage de sortie est alors désactivé.

b) Déclenchement et surveillance des grandeurs de temporisation du moteur dans les

limites définies et déclenchement de la fonction STO lorsque le régime moteur passe


� Le module de sécurité active un arrêt rapide dans l'appareil de base, la rampe de

freinage est surveillée, l'étage de sortie est désactivé.

c) Déclenchement de la temporisation du moteur et, après une durée de temporisation

spécifique à l'application, déclenchement de la fonction STO.

� Le module de sécurité délivre un message d'état, l'appareil de base doit être ralen

ti par la commande fonctionnelle, l'étage de sortie est désactivé après un temps d'at

tente.

La fonction SS1 est activée via le réglage à l'usine (préparamétrage).

Tant que la fonction est utilisée par d'autres fonctions (réaction sur erreur en cas de dys

fonctionnement d'autres fonctions de sécurité demandées), elle ne peut être désactivée.

FonctionEn cas de demande de la fonction de sécurité SS1, celle-ci surveille le freinage de l'actionneur jusqu'à

immobilisation en un temps défini, à l'aide d'une rampe de freinage définie. Après écoulement de la

durée définie, STO est déclenchée et l'étage de sortie est désactivé de manière sûre.

NotaDans le cas de charges suspendues, un affaissement se produit généralement lorsque

STO est demandé immédiatement après écoulement de la rampe de freinage.

Par conséquent, la fonction SS1 peut également déclencher SBC, de sorte qu'une unité

de blocage ou un frein de maintien disponible puisse retomber. L'affaissement d'un axe

est ainsi évité. SBC déclenche ensuite STO (enchaînement des fonctions de sécurité

SS1 } SBC } STO).



La logique dédiée à la demande de la fonction de sécurité SS1 est représentée dans le schéma synop

tique suivant :

Safety Function SS1

TIMER+ SPEED RAMPGENERATOR

1

1S

R

Q

VOUT_SS1_SFR

VOUT_SS1_SSR

[54-4] SS1_ERR

SPEED_LIMIT

SS1_STO_RSF

SS1_SBC_RSF

ERR_SS1_RSF

VIN_SS1_RSF

VIN_SS1_CSF

P0C.08

P0C.0x

ACTUAL_SPEED

Fig. 2.18 Schéma synoptique SS1


Safety Function SS1 Fonction de sécurité SS1

ERR_SS1_RSF Signal interne : Demande de SS1 par la réaction sur erreur

VIN_SS1_RSF Entrée virtuelle : Demander SS1

VIN_SS1_CSF Entrée virtuelle : Terminer la demande SS1

ACTUAL SPEED Signal interne : Vitesse actuelle

TIMER + SPEED

RAMP GENERATOR

Temporisateur et calcul des rampes de vitesse

VOUT_SS1_SFR Sortie virtuelle : SS1 demandé

VOUT_SS1_SSR Sortie virtuelle : État sûr SS1 atteint

[54-4] SS1_ERR Signal d'erreur interne : Erreur 54-4

SPEED_LIMIT Signal interne : Limitation de la vitesse dans l'appareil de base

SS1_STO_RSF Signal interne : Demande de STO par SS1

SS1_SBC_RSF Signal interne : Demande de SBC par SS1


La fonction de sécurité SS1 est demandée comme suit :


VIN_SS1_RSF.

– En tant que réaction sur erreur, commandée via la gestion des erreurs, signal ERR_SS1_RSF.

La demande de la fonction de sécurité SS1 est annulée comme suit :


VIN_SS1_CSF.

– Le réglage du paramètre “Remise en marche automatique autorisée” (P0C.08) autorise la remise en







La fonction de sécurité commande directement les fonctions de sécurité suivantes :

– STO via le signal SS1_STO_SFR.

– SBC via le signal SS1_SBC_SFR.

En cas d'arrêt de demande de la fonction SS1, les fonctions de sécurité suivantes sont auto

matiquement terminées.

Par ailleurs, la fonction SS1 fournit également quelques signaux de commande pour la commande de

l'appareil de base :

– Limitations pour la vitesse dans l'appareil de base, SPEED_LIMIT.

– Un signal de commande pour le déclenchement de la rampe d'arrêt rapide dans l'appareil de base

(non représentée dans le schéma synoptique).

De plus, la fonction SS1 génère les messages d'état :

– VOUT_SS1_SFR, fonction de sécurité SS1 demandée.

– VOUT_SS1_SSR, état sûr SS1 atteint

Signaux de sortie SS1 Au repos Fonction de sécurité demandée / atteinte

VOUT_SS1_SFR 0 1

VOUT_SS1_SSR 0 1 (temporisé via P0C.01 + P0C.0C + P0C.0B)

Tab. 2.37 Signaux de sortie SS1

Détection d'erreur

La fonction de sécurité compare la vitesse actuelle (ACTUAL_SPEED) de manière cyclique avec la rampe

de vitesse calculée. Si la vitesse actuelle pour une durée paramétrable “Variation de temps admissible

en cas de dépassement de la valeur limite” (P0C.02) se situe hors de la plage de vitesse autorisée,

l'erreur [54-4] SS1_ERR est déclenchée.

Pour SS1, l'état “Condition de sécurité non respectée” n'est pas annulé si l'actionneur se trouve à nou

veau dans la plage autorisée après un non-respect temporaire.

En cas de non-respect de la condition de sécurité, la norme EN 61800-5-2 exige “STO” en

tant que réaction sur erreur. Dans quelques applications, d'autres réactions sur erreur

peuvent également être utiles, par ex. “STO + SBC” � paragraphe 2.8.2.



DéroulementL'exécution de la fonction de sécurité SS1 est représentée dans le diagramme suivant :


P0C.05

P0C.00

P0C.01

n

t

nmax.

nmin.

nValeur réelle

P0C.07 Safe State ReachedSSR

P0C.02

Monitoring

P0C.0A

P0C.0A

SS1 � STO

SFR (SBC)

P0C.0B

(P0C.09)

P0C.06

Initial setting for speed ramp (n 0) :nmax = nréelle + ( | nréelle | * P0C.03) + P0C.04)nmin = –P06.09

P0C.0C

P0C.0C

Initial setting for speed ramp (n 0) :nmax = P06.09nmin = nréelle – ( | nréelle | * P0C.03) – P0C.04)

Fig. 2.19 Organigramme SS1



Monitoring Monitoring (Surveillance)

SFR (SBC) Demande SBC


Initial setting for speed ramp Valeurs initiales pour la rampe de vitesse



L'organigramme et la description ci-après sont valables pour une vitesse positive nréelle.

Ceci vaut également en cas de vitesse négative, la valeur nréelle est alors ramenée d'une

vitesse de rotation négative à zéro, avec un délai.

Après la demande de SS1, le module de sécurité démarre une rampe de freinage pour la surveillance

du freinage :

– “Durée de temporisation jusqu'au démarrage de la surveillance” (P0C.00) permet de définir une

durée de temporisation. Une fois cette durée écoulée, le respect des valeurs limites de vitesse est

surveillé.

– “Durée de la rampe de freinage” (P0C.01) permet de définir la durée de la rampe de freinage.

– Si l'“Activation automatique SBC” (P0C.09) a été activée, la fonction de sécurité SBC est déclenc

hée après écoulement de la “durée de la rampe de freinage” (P0C.01). Sinon, STO est déclenché.



– Uniquement en cas de déclenchement de SBC (P0C.09 = 1) :

La durée de temporisation mécanique de l'unité de blocage ou du frein de maintien peut être prise

en compte via “Temporisation après écoulement P0C.01 avant le déclenchement de STO” (P0C.0B).

STO est déclenchée et le message VOUT_SS1 est réglé après écoulement de la durée P0C.01 +

P0C.0B.

La durée P0C.0b est toujours respectée, même si P0C.01 = 0.

– La valeur initiale de la rampe de freinage de surveillance, nmax, est calculée suivant la formule dans

le diagramme, elle est paramétrable via “Rampe de freinage - Valeur initiale Facteur” (P0C.03) et

“Rampe de freinage - Valeur initiale Décalage” (P0C.04). La rampe prend fin lorsque la vitesse = 0

(la tolérance est prédéfinie par la valeur limite “Valeur seuil de vitesse pour la détection d'arrêt”

(P06.09)).

– “Rampe de freinage - durée de temporisation avant le démarrage” (P0C.05) permet de paramétrer

une durée de temporisation pour le démarrage de la rampe de freinage.

Si le freinage ne doit pas être commandé via le module de sécurité pour SS1, mais via la

commande fonctionnelle, il est possible de paramétrer une temporisation de la rampe par

le biais de P0C.05 afin de compenser le temps de réaction de la commande.

Le paramètre “Limiter activement la vitesse dans l'appareil de base” (P0C.06) permet d'activer la limi

tation active de la vitesse dans l'appareil de base :

– Les limites de vitesse actuelles sont transmises par cycles à l'appareil de base. Les limites de

vitesse doivent présenter un écart de sécurité par rapport aux limites de surveillance, cet écart est

réglé via le paramètre “Décalage de vitesse pour la limitation dans l'appareil de base” (P0C.0A).

– La limite de vitesse est égale à 0 à la fin de la rampe de freinage de surveillance.

– L'appareil de base limite activement la valeur de consigne de vitesse et, suivant le paramétrage, la

vitesse de déplacement des procédures de positionnement en cours.

Le paramètre “Activer la rampe d'arrêt rapide dans l'appareil de base” (P0C.07) permet d'activer l'arrêt

rapide dans l'appareil de base :

– Lors de la demande de SS1, la rampe d'arrêt rapide est automatiquement activée dans l'appareil de

base, l'actionneur freine avec la rampe d'arrêt rapide jusqu'à l'arrêt complet.

NotaPour garantir le respect de la condition de sécurité lors du freinage via la rampe d'arrêt

rapide de l'appareil de base, il faut s'assurer que la durée de la rampe paramétrée via

“Durée de la rampe de freinage” (P0C.01) est supérieure au temps de freinage de

l'appareil de base sur la rampe d'arrêt rapide à partir de la vitesse maximale.

Lors du paramétrage, le SafetyTool met en garde contre un conflit potentiel.

Lorsque la demande de la fonction SS1 est terminée, les signaux de commande internes pour l'arrêt

rapide et la limitation de la vitesse dans l'appareil de base sont réinitialisés.



Consignes pour le paramétrage des modes a), b) et c) selon EN 61800-5-2

Mode Paramétrage

Mode a) Régler “Limiter activement la vitesse dans l'appareil de base” (P0C.06).

Le module de sécurité commande la rampe de freinage dans l'appareil de base à

l'aide des paramètres réglés dans le module de sécurité pour la rampe.

Mode b) Régler “Activer la rampe d'arrêt rapide dans l'appareil de base” (P0C.07).

Le module de sécurité permet à l'appareil de base de freiner à l'aide de la rampe

d'arrêt rapide tout en surveillant la rampe de freinage réglée dans le module de

sécurité.

Mode c) Ne paramétrer aucune rampe de freinage :

La commande fonctionnelle doit freiner l'axe. Pour ce faire, le signal

VOUT_SS1_SFR ou le message général VOUT_SFR doit être signalé à la com

mande fonctionnelle � paragraphe B.1.5.

“Durée de temporisation avant le démarrage de la surveillance” (P0C.00) permet

de régler la durée souhaitée avant l'immobilisation de l'axe et l'activation de la

surveillance SS1 (toujours supérieure à 4 ms). Aucune rampe de freinage n'est

surveillée auparavant.

Régler “Durée de la rampe de freinage” (P0C.01), “Rampe de vitesse de rotation

- Durée de temporisation Surveillance” (P0C.0C) et “Durée de temporisation

lorsque n = 0 avant le déclenchement de STO” (PC.0B) sur la valeur minimale

(resp. 2 ms).

Tab. 2.39 Paramétrage des modes a), b) et c) selon EN 61800-5-2

À partir de la demande de la fonction de sécurité SS1, les durées suivantes s'écoulent jusqu'à

l'activation de la fonction de sécurité et la détection d'une erreur :

Durées de temporisation à partir deVIN_SS1_RSF


VOUT_SS1_SFR 2,0 ms 2,1 ms 2,0 ms

VOUT_SS1_SSR 2,0 ms + P0C.01

+ P0C.0B

+ P0C.0C

2,1 ms + P0C.01

+ P0C.0B

+ P0C.0C

2,0 ms + P0C.01

+ P0C.0B

+ P0C.0C

Détection d'un non-respect de la condition de

sécurité après VOUT_SBC_SFR

2,0 ms + P0C.00

+ P0C.02

2,1 ms + P0C.00

+ P0C.02

2,0 ms + P0C.00

+ P0C.02

Tab. 2.40 Durées de temporisation SS1

Paramétrer P0C.00 sur une valeur inférieure à la rampe de freinage avant STO (P0C.01 +

P0C.0B + P0C.0C).

En cas de paramétrage de “Durée de temporisation avant le démarrage de la surveil

lance” (P0C.00) sur une valeur supérieure à la rampe de freinage globale avant STO

(P0C.01 + P0C.0B + P0C.0C), STO et, par conséquent, le message SS1_SSR sont atteints

après 2,1 ms + P0C.00 seulement.



Paramètres pour SS1

SS1 : Arrêt sûr 1N° Nom Description

P0C.00 Durée de temporisation avant le dé

marrage de la surveillance

Durée à partir de la demande de la fonction de

sécurité pour laquelle aucune surveillance de la

vitesse de rotation n'a lieu

P0C.01 Durée de la rampe de freinage Durée, à partir de la demande de la fonction de

sécurité, après écoulement de laquelle les

rampes de vitesse de rotation sont maintenues et

l'état sûr est atteint.

P0C.02 Variation de temps admissible après

dépassement de la valeur limite

Intervalle de temps au cours duquel la valeur

réelle de la vitesse de rotation peut se situer en

dehors des limites autorisées, avant que l'état

“Condition de sécurité non respectée” ne soit

atteint.

P0C.06 Limiter activement la vitesse dans

l'appareil de base

Si réglé : Commander la vitesse de rotation de

l'appareil de base

P0C.07 Activer la rampe d'arrêt rapide dans

l'appareil de base

Si réglé : En cas de demande de la fonction de

sécurité, la commande d'arrêt rapide (câble de

commande) est renvoyée à l'appareil de base

P0C.08 Remise en marche automatique autori

sée


marche) si l'entrée de demande est inactive

P0C.09 Activation automatique SBC Si réglé : La commande de freinage sûre est acti

vée lorsque l'état de repos est atteint ou après

écoulement de la durée de temporisation.

Paramètres experts

P0C.0C Rampe de vitesse de rotation - Durée

de temporisation Surveillance

Durée de temporisation entre la rampe de vitesse

de rotation, écrite dans l'appareil de base, et le

démarrage de la surveillance par le module de

sécurité.

P0C.0B Temporisation après écoulement de

P0C.01 avant le déclenchement de STO

Durée après écoulement de laquelle STO est dé

clenchée au terme du freinage.

P0C.05 Rampe de freinage - Durée de tempori

sation avant le démarrage

Durée de temporisation après écoulement de

laquelle les rampes démarrent.

P0C.03 Rampe de freinage - Valeur initiale

Facteur

Facteur dédié au calcul de la valeur initiale des

rampes de vitesse de rotation.

P0C.04 Rampe de freinage - Valeur initiale

Décalage

Décalage dédié au calcul de la valeur initiale des

rampes de vitesse de rotation.

P0C.0A Décalage de vitesse pour la limitation

dans l'appareil de base

Décalage des limites de vitesse de rotation pour

la commande de l'appareil de base.

Tab. 2.41 SS1 : Arrêt sûr 1



2.5.4 SS2 – arrêt sûr 2 (Safe Stop 2)

Application

La fonction décrite ici réalise la fonction de sécurité SS2 selon EN 61800-5-2.

Utiliser la fonction “Arrêt sûr 2” (“Safe Stop 2”, SS2), si l'application exige de freiner le

moteur et si une divergence du moteur, par rapport à sa position d'arrêt, supérieure à une

valeur prédéfinie doit être évitée (conformément à l'arrêt de catégorie 2 de EN 60204-1).

Les trois versions décrites dans la norme sont prises en charge :

a) Déclenchement et commande des grandeurs de temporisation du moteur dans les

limites définies et déclenchement de la fonction SOS lorsque le régime moteur passe


� L'actionneur est guidé sur une rampe de freinage jusqu'à détection de l'arrêt

(P06.09), ce qui permet un arrêt de service sûr.

b) Déclenchement et surveillance des grandeurs de temporisation du moteur dans les

limites définies et déclenchement de la fonction SOS lorsque le régime moteur passe


� Le module de sécurité active un arrêt rapide dans l'appareil de base, la rampe de

freinage est surveillée, un arrêt de service sûr est exécuté.

c) Déclenchement de la temporisation du moteur et, après une durée de temporisation

spécifique à l'application, déclenchement de la fonction SOS.

� Le module de sécurité délivre un message d'état, l'appareil de base doit être ralen

ti par la commande fonctionnelle, la fonction de sécurité SOS est activée après un

temps d'attente.

La fonction de sécurité SS2 peut être utilisée en tant que réaction sur erreur (en cas de

dysfonctionnement d'autres fonctions de sécurité demandées). Pour ce faire, elle doit

être activée et paramétrée.

FonctionEn cas de demande de la fonction de sécurité SS2, celle-ci surveille le freinage de l'actionneur jusqu'à

immobilisation en un temps défini, à l'aide d'une rampe de freinage définie. Après écoulement de la

durée définie, SOS est déclenchée et un arrêt de service sûr est exécuté.



La logique dédiée à la demande de la fonction de sécurité SS2 est représentée dans le schéma synop

tique suivant :

ACTUAL_SPEED

ERR_SS2_RSF

VIN_SS2_RSF

VIN_SS2_CSF

P0D.08

P0D.0x

Safety Function SS2


VOUT_SS2_SFR

VOUT_SS2_SSR

[54-2] SS2_ERR

SPEED_LIMIT

SS2_SOS_RSF1

1S

R

Q

Fig. 2.20 Schéma synoptique SS2


Safety Function SS2 Fonction de sécurité SS2

ERR_SS2_RSF Signal interne : Demande de SS2 par la réaction sur erreur

VIN_SS2_RSF Entrée virtuelle : Demander SS2

VIN_SS2_CSF Entrée virtuelle : Terminer la demande SS2


TIMER + SPEED

RAMP GENERATOR


VOUT_SS2_SFR Sortie virtuelle : SS2 demandé

VOUT_SS2_SSR Sortie virtuelle : État sûr SS2 atteint

[54-2] SS2_ERR Signal d'erreur interne : Erreur 54-2


SS2_SOS_RSF Signal interne : Demande de SOS par SS2


La fonction de sécurité SS2 est demandée comme suit :


VIN_SS2_RSF.

– En tant que réaction sur erreur, commandé via la gestion des erreurs, signal ERR_SS2_RSF.

La demande de la fonction de sécurité SS2 est annulée comme suit :

– Par l'utilisateur via une combinaison quelconque de différents signaux, conduits sur le signal VIN_SS2_CSF.

– Le réglage du paramètre “Remise en marche automatique autorisée” (P0D.08) autorise la remise en







La fonction de sécurité commande directement les fonctions de sécurité suivantes :

– SOS via le signal SS2_SOS_RSF.

En cas d'arrêt de demande de la fonction SS2, les fonctions de sécurité suivantes sont auto

matiquement terminées.

Par ailleurs, la fonction SS2 fournit également quelques signaux de commande pour la commande de

l'appareil de base :

– Limitations pour la vitesse dans l'appareil de base, SPEED_LIMIT.

– Un signal de commande pour le déclenchement de la rampe d'arrêt rapide dans l'appareil de base

(non représentée dans le schéma synoptique).

De plus, la fonction SS2 génère les messages d'état :

– VOUT_SS2_SFR, fonction de sécurité SS2 demandée.

– VOUT_SS2_SSR, état sûr SS2 atteint

Signaux de sortie SS2 Au repos Fonction de sécurité demandée / atteinte

VOUT_SS2_SFR 0 1

VOUT_SS2_SSR 0 1 (temporisé via P0D.01 + P0D.0A)

Tab. 2.43 Signaux de sortie SS2

Détection d'erreurLa fonction de sécurité compare la vitesse actuelle (ACTUAL_SPEED) de manière cyclique avec la rampe

de vitesse calculée. Si la vitesse actuelle pour une durée paramétrable “Variation de temps admissible

en cas de dépassement de la valeur limite” (P0D.02) se situe hors de la plage de vitesse autorisée,

l'erreur [54-2] SS2_ERR est déclenchée.

Pour SS2, l'état “Condition de sécurité non respectée” n'est pas annulé si l'actionneur se trouve à nou

veau dans la plage autorisée après un non-respect temporaire.

Dès que l'actionneur est freiné jusqu'à l'arrêt, la fonction de sécurité SOS possédant sa propre détec

tion d'erreur (surveillance de position), est demandée.

En cas de non-respect de la condition de sécurité, la norme EN 61800-5-2 exige “STO” en

tant que réaction sur erreur. Dans quelques applications, d'autres réactions sur erreur

peuvent également être utiles, par ex. “STO + SBC” � paragraphe 2.8.2.



DéroulementL'exécution de la fonction de sécurité SS2 est représentée dans le diagramme suivant :


P0D.05

P0D.00

P0D.01

n

t

nmax.

nmin.

nValeur réelle

P0D.07


P0D.02

Monitoring

P0D.09

P0D.09

SS2 � SOSP0D.06

P0D.0A

P0D.0A

Initial setting for speed ramp (n 0) :nmax = nréelle + ( | nréelle | * P0D.03) + P0D.04)nmin = –P06.09

Initial setting for speed ramp (n 0) :nmax = P06.09nmin = nréelle – ( | nréelle | * P0D.03) – P0D.04)

Fig. 2.21 Organigramme SS2








L'organigramme et la description ci-après sont valables pour une vitesse positive nréelle ;

pour une vitesse négative, le diagramme reproduit sur l'axe du temps est valable.



Après la demande de SS2, le module de sécurité démarre une rampe de freinage :

– “Durée de temporisation avant le démarrage de la surveillance” (P0D.00) permet de définir une

durée de temporisation. Une fois cette durée écoulée, le respect des valeurs limites de vitesse est

surveillé.

– “Durée de la rampe de freinage” (P0D.01) permet de définir la durée de la rampe de freinage.

– La valeur initiale de la rampe de freinage de surveillance, nmax, est calculée suivant la formule dans

le diagramme, elle est paramétrable via “Rampe de freinage - Valeur initiale Facteur” (P0D.03) et

“Rampe de freinage - Valeur initiale Décalage” (P0D.04). La rampe se termine lorsque la vitesse

atteint une valeur nulle (la tolérance est prédéfinie par la valeur limite pour la détection de l'arrêt

“Valeur seuil de vitesse pour la détection de l'arrêt” (P06.09)).

– “Rampe de freinage - durée de temporisation avant le démarrage” (P0D.05) permet de paramétrer

une durée de temporisation pour le démarrage de la rampe de freinage.

Si le freinage ne doit pas être commandé via le module de sécurité pour SS2, mais via la

commande fonctionnelle, il est possible de paramétrer une temporisation de la rampe par

le biais de P0D.05 afin de compenser le temps de réaction de la commande.

Le paramètre “Limiter activement la vitesse dans l'appareil de base” (P0D.06) permet d'activer la limi

tation active de la vitesse dans l'appareil de base :

– Les limites de vitesse actuelles sont transmises par cycles à l'appareil de base. Les limites de

vitesse doivent présenter un écart de sécurité par rapport aux limites de surveillance, cet écart est

réglé via le paramètre “Décalage de vitesse pour la limitation dans l'appareil de base” (P0D.09).

– La limite de vitesse est égale à 0 à la fin de la rampe de freinage de surveillance.

– L'appareil de base limite activement la valeur de consigne de vitesse et, suivant le paramétrage, la

vitesse de déplacement des procédures de positionnement en cours.

Le paramètre “Activer la rampe d'arrêt rapide dans l'appareil de base” (P0D.07) permet d'activer l'arrêt

rapide dans l'appareil de base :

– Lors de la demande de SS2, la rampe d'arrêt rapide est automatiquement activée dans l'appareil de

base, l'actionneur freine avec la rampe d'arrêt rapide jusqu'à l'arrêt complet.

NotaPour garantir le respect de la condition de sécurité lors du freinage via la rampe d'arrêt

rapide de l'appareil de base, il faut s'assurer que la durée de la rampe paramétrée via

(P0D.01) est supérieure au temps de freinage de l'appareil de base sur la rampe d'arrêt

rapide à partir de la vitesse maximale.

Lors du paramétrage, le SafetyTool met en garde contre un conflit potentiel.

Lorsque la demande de la fonction SS2 est terminée, les signaux de commande internes pour l'arrêt

rapide et la limitation de la vitesse dans l'appareil de base sont réinitialisés.



Consignes pour le paramétrage des modes a), b) et c) selon EN 61800-5-2

Mode Paramétrage

Mode a) Régler “Limiter activement la vitesse dans l'appareil de base” (P0D.06).

Le module de sécurité commande la rampe de freinage dans l'appareil de base à

l'aide des paramètres réglés dans le module de sécurité pour la rampe.

Mode b) Régler “Activer la rampe d'arrêt rapide dans l'appareil de base” (P0D.07).

Le module de sécurité permet à l'appareil de base de freiner à l'aide de la rampe

d'arrêt rapide tout en surveillant la rampe de freinage réglée dans le module de

sécurité.

Mode c) Ne paramétrer aucune rampe de freinage :

La commande fonctionnelle doit freiner l'axe. Pour ce faire, le signal

VOUT_SS2_SFR ou le message général VOUT_SFR doit être signalé à la com

mande fonctionnelle � paragraphe B.1.5.

“Durée de temporisation avant le démarrage de la surveillance” (P0D.00) permet

de régler la durée souhaitée avant l'immobilisation de l'axe et l'activation de la

surveillance SS2 (toujours supérieure à 4 ms). Aucune rampe de freinage n'est

surveillée auparavant.

Régler “Durée de la rampe de freinage” (P0D.01) et “Rampe de vitesse de

rotation - Durée de temporisation Surveillance” (P0D.0A) sur la valeur minimale

(resp. 2 ms).

Tab. 2.45 Paramétrage des modes a), b) et c) selon EN 61800-5-2

À partir de la demande de la fonction de sécurité SS2, les durées suivantes s'écoulent jusqu'à


Durées de temporisation à partir deVIN_SS2_RSF


VOUT_SS2_SFR 2,0 ms 2,1 ms 2,0 ms

VOUT_SS2_SSR 2,0 ms + P0D.01

+ P0D.0A

2,1 ms + P0D.01

+ P0D.0A

2,0 ms + P0D.01

+ P0D.0A


sécurité après VOUT_SS2_SFR

2,0 ms + P0D.00

+ P0D.02

2,0 ms + P0D.00

+ P0D.02

2,0 ms + P0D.00

+ P0D.02

Tab. 2.46 Durées de temporisation SS2

Paramétrer P0D.00 sur une valeur inférieure à la rampe de freinage avant SOS

(P0D.01 + P0D.0A).

En cas de paramétrage de “Durée de temporisation avant le démarrage de la surveil

lance” (P0D.00) sur une valeur supérieure à la rampe de freinage globale avant SOS

(P0D.01 + P0D.0A), SOS et, par conséquent, le message SS2_SSR sont atteints après

2,1 ms + P0D.00 seulement.



Paramètres pour SS2

SS2 : Arrêt sûr 2N° Nom Description

P0D.00 Durée de temporisation avant le dé


Durée à partir de la demande de la fonction de

sécurité pour laquelle aucune surveillance de la

vitesse de rotation n'a lieu.

Pour SS2, les limites de surveillance de la

fonction SOS sont utilisées.

P0D.01 Durée de la rampe de freinage Durée, à partir de la demande de la fonction de

sécurité, après écoulement de laquelle les

rampes de vitesse de rotation sont maintenues et

l'état sûr est atteint.

P0D.02 Variation de temps admissible après

dépassement de la valeur limite

Intervalle de temps au cours duquel la valeur

réelle de la vitesse de rotation peut se situer en

dehors des limites autorisées, avant que l'état

“Condition de sécurité non respectée” ne soit

atteint.

P0D.06 Limiter activement la vitesse dans

l'appareil de base

Si réglé : Commander la vitesse de rotation de

l'appareil de base

P0D.07 Activer la rampe d'arrêt rapide dans

l'appareil de base

Si réglé : En cas de demande de la fonction de

sécurité, la commande d'arrêt rapide (câble de

commande) est renvoyée à l'appareil de base

P0D.08 Remise en marche automatique autori

sée


marche) si l'entrée de demandée est inactive

Paramètres experts

P0D.0A Rampe de vitesse de rotation - Durée

de temporisation Surveillance

Durée de temporisation entre le départ de la

rampe de vitesse de rotation, écrite dans

l'appareil de base, et le démarrage de la surveil

lance par le module de sécurité.

P0D.05 Rampe de freinage - Durée de tempori

sation avant le démarrage

Durée de temporisation après écoulement de

laquelle les rampes démarrent.

P0D.03 Rampe de freinage - Valeur initiale

Facteur

Facteur dédié au calcul de la valeur initiale des

rampes de vitesse de rotation

P0D.04 Rampe de freinage - Valeur initiale

Décalage

Décalage dédié au calcul de la valeur initiale des

rampes de vitesse de rotation

P0D.09 Décalage de vitesse pour la limitation


Décalage des limites de vitesse de rotation pour

la commande de l'appareil de base.

Tab. 2.47 SS2 : Arrêt sûr 2



2.5.5 SOS – arrêt de service sûr (Safe Operating Stop)

Application

La fonction décrite ici réalise la fonction de sécurité SOS selon EN 6180052.

Utiliser la fonction “Arrêt de service sûr” (“Safe Operating Stop”, SOS), si l'application

exige que la position du moteur ou la position de l'axe soit maintenue active et soit ainsi

surveillée de manière sûre.

La fonction SOS est également déclenchée par la fonction SS2 et peut ainsi être utilisée

en tant que réaction sur erreur (en cas de dysfonctionnement d'autres fonctions de sécu

rité demandées). Dans ce cas, elle est activée via le réglage à l'usine et ne peut être dés

électionnée.

FonctionEn cas de demande de la fonction de sécurité SOS, celle-ci surveille le réglage de l'actionneur dans une

tolérance de position déterminée après une durée définie. Si besoin est, un arrêt rapide peut être

demandé au préalable dans l'appareil de base. L'actionneur est alors ralenti jusqu'à l'arrêt complet.

Lorsque la fonction de sécurité SOS est demandée, l'alimentation en énergie du moteur est maintenue

de sorte que ce dernier puisse supporter les contraintes externes exercées. La vitesse dans l'appareil

de base est réglée sur zéro.

NotaÉtant donné que les signaux du codeur de position à l'arrêt peuvent être statiques, par

ex. dans le cas de signaux de voie SIN/COS, la fonction SOS ne peut être demandée en

continu de façon illimitée. Entre temps, un déplacement de l'axe s'avère nécessaire.

Si SOS est demandée pour > 24 h, l'erreur 54-7 se déclenche.

Le temps d'arrêt maximal dans la fonction SOS est ainsi limité à 24 h.



La logique dédiée à la demande de la fonction de sécurité SOS est représentée dans le schéma synop

tique suivant :

Safety Function SOS

TIMER+ POSITIONCOMPARATOR1

1

S

R

Q

SS2_SOS_RSF

VIN_SOS_RSF

VIN_SOS_CSF

P0B.03

P0B.0x

ACTUAL_POSITION

[54-3] SOS_ERR

VOUT_SOS_SFR

VOUT_SOS_SSR

Fig. 2.22 Schéma synoptique SOS


Safety Function SOS Fonction de sécurité SOS

VIN_SOS_RSF Entrée virtuelle : Demander SOS

VIN_SOS_CSF Entrée virtuelle : Terminer la demande SOS

ACTUAL POSITION Signal interne : Position actuelle

TIMER + POSITION

COMPARATOR

Temporisateur (Timer) et comparateur de position

VOUT_SOS_SFR Sortie virtuelle : SOS demandée

VOUT_SOS_SSR Sortie virtuelle : état sûr SOS atteint

[54-3] SOS_ERR Signal d'erreur interne : erreur 54-3


La fonction de sécurité SOS est demandée comme suit :


VIN_SOS_RSF.

– Via la fonction de sécurité SS2, signal SS2_SOS_RSF.

La demande de la fonction de sécurité SOS est annulée comme suit :


VIN_SOS_CSF.

– Le réglage du paramètre “Remise en marche automatique autorisée” (P0B.03) autorise la remise en



Cela signifie : tant que l'un des signaux xxx_RSF est présent, la fonction de sécurité ne peut être termi

née par un signal xxx_CSF.



Détection d'erreurLa condition de sécurité est considérée comme non respectée si le déplacement de l'actionneur, après

écoulement de P0B.00, dépasse le trajet “Fenêtre de tolérance Surveillance de position” (±P0B.01) ou

en cas de détection d'un déplacement de l'axe via la mesure de la vitesse.





La condition de sécurité est également considérée comme non respectée si la valeur réelle de position

passe à l'état “non valide” pendant la demande de la fonction de sécurité (par exemple en cas de

défaillance d'un codeur de position).

Si la condition de sécurité n'est pas respectée, une erreur se déclenche. La fonction “SOS” est réalisée

conformément à EN 6180052, si la réaction sur erreur est paramétrée sur “STO”.

La fonction de sécurité peut être exécutée indépendamment du fait que l'axe soit mis en référence ou non.

DéroulementL'exécution de la fonction de sécurité SOS est représentée dans le diagramme suivant :


P0B.00

n

t

nValeur réelle


x

P0B.01

P0B.01

P0B.02

Fig. 2.23 Organigramme SOS








Si un paramétrage adéquat est effectué avec “Activer la rampe d'arrêt rapide dans l'appareil de base”

(P0B.02), le contrôleur de moteur reçoit l'ordre - via le câble “Arrêt rapide” d'arrêter l'actionneur.

Après écoulement de la “Durée de temporisation avant le démarrage de la surveillance” (P0B.00),

l'actionneur est surveillé à l'arrêt. À ce moment-là, la sortie “État sûr atteint” devient active si la

condition de sécurité est respectée.

Pendant la durée P0B.00, la surveillance de position n'est pas encore active. Après écoulement de

P0B.00, la position réelle actuelle est enregistrée et utilisée en tant que valeur de consigne pour la

position à surveiller. La position est surveillée en comparant de manière cyclique la valeur réelle de

position avec la valeur enregistrée.

À partir de la demande de la fonction de sécurité SOS, les durées suivantes s'écoulent jusqu'à


Durées de temporisation à partir deVIN_SOS_RSF


VOUT_SOS_SFR 2,0 ms 2,1 ms 2,0 ms

VOUT_SOS_SSR 2,0 ms + P0B.00 2,1 ms + P0B.00 2,0 ms + P0B.00


sécurité1) après P0B.00 en l'espace de

0,0 ms 2,0 ms 2,1 ms

1) La condition de sécurité est considérée comme non respectée lorsque...

a) la fenêtre de surveillance +/- P0B.01 est quittée ou

b) un déplacement d'axe est détecté via la détection d'arrêt dans la fenêtre de position

Tab. 2.50 Durées de temporisation SOS

Paramètres pour SOS

SOS : arrêt de service sûrN° Nom Description

P0B.00 Durée de temporisation avant le dé


Durée de temporisation après la demande de la

fonction avant le démarrage de la surveillance

P0B.01 Fenêtre de tolérance Surveillance de

position

Valeur limite de déplacement après adoption de

l'état d'arrêt

P0B.03 Remise en marche automatique autori

sée


marche) si l'entrée de demande est inactive

Paramètres experts

P0B.02 Activer la rampe d'arrêt rapide dans

l'appareil de base

Envoyer l'ordre de freinage à l'appareil de base

(signal SS1) Oui / Non

Tab. 2.51 SOS : arrêt de service sûr



2.5.6 Fonctions de sécurité universelles USF

Les “Fonctions de sécurité universelles” (Universal Safety Function, USF) ) servent à

surveiller les variables d'état (déplacement, vitesse et force / couple de rotation) du

moteur / de l'axe.

Sont actuellement disponibles :

– La “Fonction de vitesse sûre” (“Save Speed Function”, SSF)

La fonction USF regroupe également les termes de produits pour “Demander” et “Termi

ner la demande”, les entrées et sorties logiques et virtuelles (LIN_USFx..., VOUT_USFx...)

ainsi que les paramètres de la gestion des erreurs.

4 fonctions USF (USF0 … USF3) sont disponibles.

2.5.7 Fonctions de vitesse sûres SSF

ApplicationLa “Fonction de vitesse sûre” (“Save Speed Function”, SSF) peut être exécutée comme l'une des

fonctions de sécurité suivantes via le paramétrage :

– SLS – Vitesse limitée de manière sûre (Safely-Limited Speed) � paragraphe 2.5.8,

– SSR – Plage de vitesse sûre (Safe Speed Range) � paragraphe 2.5.9,

– SSM – Surveillance de vitesse sûre (Safe Speed Monitoring) � paragraphe 2.5.10.

La fonction spécifique est ensuite définie par le biais d'un paramétrage spéciale de la SSF, voir parag

raphes suivants.

À cet effet, chacune des 4 fonctions comprend une fonction SSF (SSF0 … SSF3). Il est ainsi possible de

réaliser et d'exécuter jusqu'à 4 fonctions de sécurité en parallèle.

FonctionLes SSF en tant que SLS / SSR / SSM surveillent la vitesse de l'actionneur grâce aux limites minimale et

maximale. Si la vitesse du moteur dépasse la valeur limite, l'erreur “Non-respect de la condition de

sécurité” se déclenche.

Les limites de vitesse pour la surveillance ne sont pas prédéfinies de manière fixe. La SSF peut calculer

les rampes de vitesse de façon dynamique et, de ce fait, surveiller le transport de l'actionneur à une

vitesse quelconque dans la plage de vitesses sûre souhaitée.

Par ailleurs, la limitation de la vitesse du contrôleur de moteur peut être commandée de manière à

respecter la condition de sécurité.



La logique dédiée à la demande de la fonction de sécurité SSF0 est représentée dans le schéma synop

tique suivant :

Safety Function SSF0


&

1

S

R

Q

VOUT_USF0_SFR

VOUT_USF0_SSR

[53-0] USF0_ERRP0E.00

VIN_USF0_CSF

P0E.0B

P0E.0x

SPEED_LIMIT

VIN_USF0_RSF

ACTUAL_SPEED

Fig. 2.24 Schéma synoptique SSF0


Safety Function SFF0 Fonction de sécurité SFF0

VIN_USF0_RSF Entrée virtuelle : demander USF0

VIN_USF0_CSF Entrée virtuelle : terminer la demande USF0


TIMER + SPEED

RAMP GENERATOR


VOUT_USF0_SFR Sortie virtuelle : USF0 demandée

VOUT_USF0_SSR Sortie virtuelle : état sûr USF0 atteint

[53-0] USF0_ERR Signal d'erreur interne : erreur 53-0



La fonction de sécurité SSF0 est demandée comme suit :


VIN_USF0_RSF si la fonction SSF a été activée via le paramètre “Activer SSF” (P0E.00/...).

La demande de la fonction de sécurité SSF0 est annulée comme suit :


VIN_USF0_CSF.

– Le réglage du paramètre “Remise en marche automatique autorisée” (P0E.0B/...) autorise la remise

en marche automatique après suppression de la demande.

La fonction SSF0 fournit les signaux de commande suivants pour la commande de l'appareil de base :

– Limitations en fonction du temps pour la vitesse dans l'appareil de base, SPEED_LIMIT.



De plus, la fonction SSF0 génère les messages d'état :

– VOUT_USF0_SFR, fonction de sécurité USF0 demandée.

– VOUT_USF0_SSR, état sûr USF0 atteint.

Signaux de sortie USF0 Au repos Fonction de sécurité demandée / atteinte

VOUT_USF0_SFR 0 1

VOUT_USF0_SSR 0 1 (temporisé, voir fonction de transfert)

Tab. 2.53 Messages d'état SSF0


Cela signifie : tant que l'un des signaux xxx_RSF est présent, la fonction de sécurité ne peut être termi

née par un signal xxx_CSF.

Détection d'erreurLa condition de sécurité est considérée comme non respectée si la vitesse de rotation se situe en

permanence hors de la plage autorisée pendant la durée “Variation de temps admissible en cas de

dépassement de la valeur limite” (P0E.03/...). Le non-respect est considéré comme annulé si la vitesse

de rotation se situe en permanence dans la plage autorisée pendant la durée “Variation de temps

admissible en cas de dépassement de la valeur limite”.





Si la condition de sécurité n'est pas respectée, une erreur entraînant une réaction sur erreur paramét

rable, se déclenche.

L'erreur “Condition de sécurité non respectée” est également générée en cas de défaillance d'un co

deur de position, ce qui entraîne l'absence d'une information de vitesse sûre.



Exécution de la fonction de sécurité � Fig. 2.25 (paramètre � Tab. 2.56)

L'exécution de la fonction de sécurité SSF0 est représentée dans le diagramme suivant :


P0E.06

P0E.01

P0E.02 P0E.08 P0E.0C

n

t

nmax.

nmin.

nValeur réelle

P0E.09


P0E.03P0E.07 P0E.0C

Initial setting for speed ramp :nmax = nréelle + ( | nréelle | * P0E.04) + P0E.05nmin = nréelle � ( | nréelle | * P0E.04) � P0E.05If (nmin > nmin_end) => nmin = nmin_endIf (nmax < nmax_end) => nmax = nmax_end

Monitoring

P0E.0D

nmax_end

nmin_endP0E.0D

Fig. 2.25 Organigramme SSF0








La fonction de sécurité SSF0 surveille la vitesse de l'actionneur à l'état stationnaire. Le couloir de

vitesse autorisé est défini par les paramètres “Vitesse sûre - limite supérieure” (P0E.07/..., nmax_end) et

“Vitesse sûre - limite inférieure” (P0E.08/..., nmin_end) (� Fig. 2.25, partie droite).

Lorsque la vitesse réelle quitte le couloir de vitesse, l'erreur “Condition de sécurité non respectée” est

générée après la “variation de temps admissible en cas de dépassement de la valeur limite”

(P0E.03/...).

L'exécution de la fonction de sécurité SSF en tant que SLS, SSR ou SSM est essentiel

lement définie par le paramétrage de la vitesse finale :

– “Safely-Limited Speed” (SLS) � paragraphe 2.5.8,

– “Safe Speed Range” (SSR) � paragraphe 2.5.9,

– “Safe Speed Monitoring” (SSM) � paragraphe 2.5.10.



En cas de demande de la fonction de sécurité SSF0 (VOUT_USF0_SFR), une rampe de vitesse est cal

culée pour transporter l'actionneur, à partir de la vitesse actuelle, dans le couloir de vitesse autorisé :

– Le calcul des valeurs initiales nmax et nmin est basé sur la vitesse réelle actuelle nréelle en tant que

valeur de base. Sur la base d'un paramètre de gain “Rampe de freinage - Valeur initiale Facteur”

(P0E.04/...) et d'un paramètre de décalage “Rampe de freinage - Valeur initiale Décalage”

(P0E.05/...), une fenêtre de démarrage comportant la vitesse réelle actuelle est d'abord calculée.

– La position de la fenêtre de démarrage est mise en relation avec le couloir de vitesse souhaité, les

valeurs initiales sont ajustées de manière à générer un couloir de vitesse trapézoïdal se rétrécissant

(conformément à Fig. 2.25).

– L'instant de départ de la rampe peut être défini via la “Rampe de freinage - Durée de temporisation avant

le démarrage” (P0E.06/..., valeur minimale : 6 ms) ; l'instant de fin de la rampe via “Durée de la rampe de

freinage” (P0E.02). Après écoulement de P0E.02, le couloir de vitesse stationnaire est atteint et la

fonction SSF0 signale VOUT_USF0_SSR (si la vitesse réelle se situe dans la plage autorisée !).

– “Durée de temporisation avant le démarrage de la surveillance” (P0E.01/...) permet de définir le

moment à partir duquel la fonction SSF0 surveille la vitesse.

Une temporisation de la rampe via “Rampe de freinage - Durée de temporisation avant le

démarrage” (P0E.06/...) s'avère utile si l'axe est ralentit via la commande fonctionnelle et

transporté dans le couloir de vitesse surveillé. P0E.06 permet de compenser le temps de

réaction de la commande fonctionnelle.

Le module de sécurité peut intervenir activement dans la régulation de l'appareil de base et, par consé

quent, limiter activement la vitesse de l'axe. Les valeurs limites sont transmises par cycles à l'appareil

de base:

– Cette fonction est activée par réglage du paramètre “Limiter activement la vitesse dans l'appareil de

base” (P0E.09/...).

– Pour garantir le respect des valeurs limites surveillées en cas de limitation active de la vitesse dans

l'appareil de base, des paramètres supplémentaires sont prévus :

– La valeur minimale de “Rampe de freinage - Durée de temporisation avant le démarrage”

(P0E.06, 6 ms) permet de compenser les temps d'exécution internes pour la transmission des

signaux des nouvelles valeurs limites à l'appareil de base, avant l'intervention de la régulation

dans l'appareil de base.

– “Rampe de vitesse de rotation - Durée de temporisation Surveillance” (P0E.0D/...) permet de

retarder de quelques millisecondes supplémentaires la limite de vitesse dédiée à la surveillance

dans le module de sécurité. L'appareil de base dispose ainsi de temps supplémentaire, si par ex.

un profil de déplacement avec limitation d'à-coups a été sélectionné dans l'appareil de base et

que le freinage peut être effectuée uniquement avec la limitation d'à-coups.

– “Décalage Limitation de la vitesse” (P0E.0C/...) permet de paramétrer un décalage de la vitesse.

Les limites de vitesse pour l'appareil de base sont ainsi décalées de P0E.0C/... dans le couloir de

vitesse pour la surveillance. Par conséquent, les variations légères de la vitesse réelle

n'entraînent pas encore l'activation de la surveillance.



– Dans le cas où les limites de vitesse inférieure et supérieure pour l'appareil de base se che

vauchent en raison d'un couloir très étroit et du décalage P0E.0C/..., les deux limites sont ré

glées sur la valeur moyenne entre la vitesse de rotation minimale et maximale surveillée.

La description peut être transmise de façon conforme aux paramètres pour les fonctions SSF1, SSF2 et

SSF3.

La fonction SSF0 permet ainsi un ajustement à diverses applications.

Les paramètres de la fonction SSF0 se subdivisent comme suit dans le SafetyTool :

– Paramètres standard : il s'agit de paramètres simples à ajuster individuellement à

l'application pour chaque surveillance de vitesse.

– Paramètres experts : il s'agit de paramètres dédiés à une optimisation de la fonction

en combinaison avec les fonctions de régulation dans l'appareil de base, ces para

mètres sont préréglés à l'usine de manière judicieuse.

Dans la plupart des applications, seuls les paramètres standard sont nécessaires !

À partir de la demande de la fonction de sécurité SSF0, les durées suivantes s'écoulent jusqu'à


Durées de temporisation à partirde VIN_USF0_RSF

min. max. typique

Message VOUT_USF0_SFR 2,0 ms 2,1 ms 2,0 ms

Message VOUT_USF0_SSR 8,0 ms +

(P0E.02 + P0E.0D)

8,1 ms +

(P0E.02 + P0E.0D)

8,0 ms +

(P0E.02 + P0E.0D)

Démarrage de la surveillance de la

condition de sécurité après

VOUT_USF0_SFR

2,0 ms + MAX

(P0E.01 OU

(P0E.06 + P0E.0D))

2,1 ms + MAX

(P0E.01 OU

(P0E.06 + P0E.0D))

2,0 ms + MAX

(P0E.01 OU

(P0E.06 + P0E.0D))

Détection d'un non-respect de la

condition de sécurité après P0E.01

OU (P0E.06 + P0E.0D) en l'espace de

P0E.03 P0E.03 P0E.03

Tab. 2.55 Durées de temporisation SSF0



Paramètres pour SSF

SSF : vitesse sûreN° de paramètre pour ... Nom Description

SSF0 SSF1 SSF2 SSF3

P0E.00 P0E.14 P0E.28 P0E.3C Activer SSF Si 1 : la demande de USF entraîne

la demande de SSF

P0E.01 P0E.15 P0E.29 P0E.3D Durée de temporisation

avant le démarrage de la

surveillance

Durée à partir de la demande de

la fonction de sécurité pour

laquelle aucune surveillance de la

vitesse de rotation n'a lieu

P0E.07 P0E.1B P0E.2F P0E.43 Vitesse sûre - limite supé

rieure

Valeur finale de la rampe supé

rieure sur nmax_end

P0E.08 P0E.1C P0E.30 P0E.44 Vitesse sûre - limite infé

rieure

Valeur finale de la rampe infé

rieure sur nmin_end

P0E.02 P0E.16 P0E.2A P0E.3E Durée de la rampe de frei

nage

Durée, à partir de la demande de

la fonction de sécurité, après

écoulement de laquelle les

rampes sont maintenues et l'état

sûr est atteint.

P0E.03 P0E.17 P0E.2B P0E.3F Variation de temps

admissible après dé

passement de la valeur

limite

Intervalle de temps au cours

duquel la valeur réelle de la

vitesse peut se situer en dehors

des limites autorisées, avant que

l'état “Condition de sécurité non

respectée” ne soit atteinte.

P0E.09 P0E.1D P0E.31 P0E.45 Limiter activement la

vitesse dans l'appareil de

base

Si réglé : la limitation de la

vitesse est transmise à l'appareil

de base, la vitesse est limitée

activement dans l'appareil de

base.

P0E.0B P0E.1F P0E.33 P0E.47 Remise en marche auto

matique autorisée

Si 1 : Suppression de la demande

(remise en marche) si l'entrée de

demande est inactive.



SSF : vitesse sûre

N° de paramètre pour ... DescriptionNom

SSF0

DescriptionNom

SSF3SSF2SSF1

Paramètres experts

P0E.0D P0E.21 P0E.35 P0E.49 Rampe de vitesse de

rotation - Durée de tempo

risation Surveillance

La rampe utilisée pour la surveil

lance de la vitesse dans le mo

dule de sécurité, est également

retardée par rapport à la rampe

écrite dans l'appareil de base.

P0E.06 P0E.1A P0E.2E P0E.42 Rampe de freinage - Durée

de temporisation avant le

démarrage

Durée de temporisation après

écoulement de laquelle la rampe

de surveillance démarre dans le

module de sécurité.

P0E.04 P0E.18 P0E.2C P0E.40 Rampe de freinage - Valeur

initiale Facteur

Facteur dédié au calcul de la va

leur initiale des rampes.

P0E.05 P0E.19 P0E.2D P0E.41 Rampe de freinage - Valeur

initiale Décalage

Décalage dédié au calcul de la va

leur initiale des rampes.

P0E.0C P0E.20 P0E.34 P0E.48 Décalage Limitation de la

vitesse

Décalage des limites de vitesse

pour la commande de l'appareil

de base.

P0E.0A P0E.1E P0E.32 P0E.46 Activer la rampe d'arrêt

rapide dans l'appareil de

base

Si réglé : En cas de demande de

la fonction de sécurité, la com

mande d'arrêt rapide (câble de

commande) est renvoyée à

l'appareil de base.

Tab. 2.56 SSF : vitesse sûre



2.5.8 SLS – vitesse limitée de manière sûre (Safely-Limited Speed)

La fonction décrite ici réalise la fonction de sécurité SLS selon EN 6180052.

Utiliser la fonction “Vitesse limitée de manière sûre” (“Safely-Limited Speed”, SLS), si

l'application exige d'éviter le dépassement de la vitesse du moteur au-delà de la limi

tation définie.

La fonction se caractérise par une plage de surveillance symétriquement nulle pour la

vitesse, les limites peuvent être réglées séparément.

L'actionneur peut être ralenti à une vitesse admissible le long d'une rampe de freinage, la

fonction peut toutefois être désactivée. Dans le cas le plus simple, la surveillance dé

marre après la “Durée de temporisation avant le démarrage de la surveillance”

(P0E.01/P0E.15/P0E.29/P0E.3D). La vitesse de rotation maximale est définie au-delà de

la “Vitesse sûre - limite supérieure” (P0E.07/P0E.1B/P0E.2F/P0E.43).

Avec le paramétrage suivant, la fonction de vitesse sûre SSF correspond à la fonction de sécurité SLS

(avec surveillance immédiate de la vitesse sans rampe de freinage) :

Paramétrer SSF en tant que SLSN° de paramètre pour ... Nom Réglage pour la fonction de

sécurité SLSSSF0 SSF1 SSF2 SSF3

Paramètre standard SSF

P0E.00 P0E.14 P0E.28 P0E.3C Activer SSF = 1, activer

P0E.01 P0E.15 P0E.29 P0E.3D Durée de temporisation avant

le démarrage de la surveil

lance

2,0 ms


rieure

Régler une vitesse limite po

sitive pour SLS.

P0E.08 P0E.1C P0E.30 P0E.44 Vitesse sûre - limite inférieure = -P0E.07/-P0E.1B /-P0E.27

/-P0E.43

P0E.02 P0E.16 P0E.2A P0E.3E Durée de la rampe de freinage 6,2 ms, valeur minimale

P0E.03 P0E.17 P0E.2B P0E.3F Variation de temps admissible

après dépassement de la va

leur limite

Valeur par défaut : 10 ms,

peut être réduite pour une dé

tection d'erreurs plus rapide.

P0E.09 P0E.1D P0E.31 P0E.45 Limiter activement la vitesse


Réglage possible.

Paramètre expert SSF : aucune modification par rapport aux réglages à l'usine (important !)

P0E.06 P0E.1A P0E.2E P0E.42 Rampe de freinage - Durée de

temporisation avant le

démarrage

= 6 ms (valeur la plus petite

réglable).

Gestion des erreurs

P20.00 P20.01 P20.02 P20.03 [53-x] USFx : condition de

sécurité non respectée

Conformément à la réaction

sur erreur requise pour

l'application.

Tab. 2.57 Paramétrer SSF en tant que SLS



2.5.9 SSR – plage de vitesse sûre (Safe Speed Range)

La fonction décrite ici réalise la fonction de sécurité SSR selon EN 6180052.

Utiliser la fonction “Plage de vitesse sûre” (“Safe Speed Range”, SSR), si l'application

exige le maintien de la vitesse du moteur dans la plage de valeurs limites définie.

Avec le paramétrage suivant, la fonction de vitesse sûre SSF correspond à la fonction de sécurité SSR

(avec surveillance immédiate de la vitesse sans rampe de freinage) :

Paramétrer SSF en tant que SSRN° de paramètre pour ... Nom Réglage pour la fonction de

sécurité SSRSSF0 SSF1 SSF2 SSF3

Paramètre standard SSF

P0E.00 P0E.14 P0E.28 P0E.3C Activer SSF = 1, activer

P0E.01 P0E.15 P0E.29 P0E.3D Durée de temporisation avant

le démarrage de la surveil

lance

2,0 ms


rieure

Régler la vitesse limite supé

rieure pour SSR.

P0E.08 P0E.1C P0E.30 P0E.44 Vitesse sûre - limite inférieure Régler la vitesse limite infé

rieure pour SSR.

P0E.02 P0E.16 P0E.2A P0E.3E Durée de la rampe de freinage 6,2 ms, valeur minimale

P0E.03 P0E.17 P0E.2B P0E.3F Variation de temps admissible

après dépassement de la

valeur limite

Valeur par défaut : 10 ms,

peut être réduite pour une dé

tection d'erreurs plus rapide.

P0E.09 P0E.1D P0E.31 P0E.45 Limiter activement la vitesse


Réglage possible.

Paramètre expert SSF : aucune modification par rapport aux réglages à l'usine (important !)

P0E.06 P0E.1A P0E.2E P0E.42 Rampe de freinage - Durée de

temporisation avant le dé

marrage

= 6 ms (valeur la plus petite

réglable).

Gestion des erreurs



Conformément à la réaction

sur erreur requise pour

l'application.

Tab. 2.58 Paramétrer SSF en tant que SSR



2.5.10 SSM – surveillance de vitesse sûre (Safe Speed Monitor)

La fonction décrite ici réalise la fonction de sécurité SSM selon EN 6180052.

Utiliser la fonction Surveillance de vitesse sûre (“Safe Speed Monitor”, SSM), si l'ap

plication nécessite un signal de sortie sûr pour indiquer si la vitesse de rotation du

moteur se situe ou non sous la valeur limite définie.

La paramétrage de la fonction SSM correspond à celui de SSR, seule la gestion des erreurs doit être

ajustée :

Paramétrer SSF en tant que SSMN° de paramètre pour ... Nom Réglage pour la fonction de

sécurité SSMSSF0 SSF1 SSF2 SSF3

Paramètre standard SSF : voir SSR, Tab. 2.58

Paramètre expert SSF : voir SSR, Tab. 2.58

Gestion des erreurs



En fonction de l'application :

– aucune = [0], ou

– aucune, uniquement entrée

dans la mémoire de diag

nostic = [1]

– avertissement + entrée dans

la mémoire de diagnostic = [2]

Tab. 2.59 Paramétrer SSF en tant que SSM



2.6 Fonctions logiques

2.6.1 Sélecteur de mode de fonctionnement

Utilisation

Utiliser la fonction logique “Sélecteur de mode de fonctionnement” pour commuter entre les

différents modes de fonctionnement / fonctions de surveillance du module de sécurité.

Exemple :

En position Mode normal, un déplacement normal de l'installation est possible, une inter

vention dans l'installation entraîne un arrêt, par ex. via SS1.

En position Mode réglage, la fonction de sécurité SLS est activée, une intervention dans

l'installation ne doit pas entraîner SS1, le mode Réglage étant autorisé.

Les entrées DIN45, DIN46 et DIN47 peuvent être configurées en tant qu'entrées pour la sélection des

modes de fonctionnement. Le “sélecteur de mode de fonctionnement” met à disposition trois signaux

de commande logiques sûrs, LIN_D45_SAFE, LIN_D46_SAFE et LIN_D47_SAFE, pouvant être utilisés

pour la commutation entre les différentes fonctions de sécurité.

FonctionL'état des trois entrées DIN45, DIN46 et DIN47 est représenté à l'identique sur les signaux logiques

sûrs LIN_D45_SAFE, LIN_D46_SAFE et LIN_D47_SAFE.

Si les entrées DIN45 ... DIN47 sont configurées en tant que sélecteur de mode de fonctionnement, le

niveau d'une entrée doit être élevé. Pour ce faire, la fonction logique exécute une surveillance 1/N avec

surveillance du temps de discordance.

Entrées logiques Démarrage du système1)

Mode normal État d'erreur

LIN_D45_SAFE 1 = LIN_D45 Dernier état valide

LIN_D46_SAFE 0 = LIN_D46

LIN_D47_SAFE 0 = LIN_D47

1) État jusqu'à la détection d'un état valide ou si l'analyse sûre du sélecteur de mode de fonctionnement n'est plus active.

Tab. 2.60 Entrées logiques du sélecteur de mode de fonctionnement



LIN_D45_SAFE

[57-1] IO_ERR

LIN_D45

P02.00

Operating Mode Switch

TIMER+1/N LOGIC

LIN_D46

LIN_D47

P02.01

LIN_D46_SAFE

LIN_D47_SAFE

Fig. 2.26 Schéma synoptique du sélecteur de mode de fonctionnement


LIN_... Entrées logiques

TIMER + 1/N LOGIC Temporisateur (Timer) et 1 de logique n

[57-1] IO_ERR Signal d'erreur interne Erreur 57-1


Détection d'erreurPour la fonction Sélecteur de mode de fonctionnement, si aucune entrée ou plus d'une entrée présente

un niveau élevé pendant une durée paramétrable, une erreur se déclenche et les signaux d'entrée ne

sont plus considérés comme valides.

Si les entrées DIN45 … DIN47 présentent un état défectueux, les signaux LIN_D45_SAFE,

LIN_D46_SAFE et LIN_D47_SAFE conservent le dernier état sans erreur connu.

Durées de temporisation à partir du changement de niveauLIN_D...

Valeur min. Valeurmax.

Typique

LIN_D45/46/47_SAFE 2,0 ms 2,1 ms 2,0 ms

Temps de réaction sur erreur en cas de non-respect de la

condition 1/N

2,0 ms

+ P02.01

2,1 ms

+ P02.01

2,0 ms

+ P02.01

Tab. 2.62 Fonction de transfert du sélecteur de mode de fonctionnement



Paramètres du sélecteur de mode de fonctionnement

Sélecteur de mode de fonctionnementN° Nom Description

P02.00 Activation DIN45..DIN47 sont utilisées en tant que sélec

teur de mode de fonctionnement (1 de 3).

P02.01 Temps de discordance Durée pendant laquelle aucune entrée ou plus

d'une entrée peut présenter un niveau élevé.

Tab. 2.63 Sélecteur de mode de fonctionnement

2.6.2 Terminal de dialogue à deux mains

Utilisation

La fonction logique “Terminal de dialogue à deux mains” est utilisée dans des ap

plications pendant lesquelles l'opérateur doit déclencher le déplacement à deux mains

dès qu'il a quitté la zone dangereuse (par ex. presses)

UtilisationLe terminal de dialogue à deux mains délivre le signal de commande LIN_2HAND_CTRL = LIN_DIN42

OR LIN_DIN43, permettant de commuter les fonctions de sécurité via des combinaisons logiques.

De plus, le terminal surveille la commutation simultanée des entrées (surveillance du temps de

discordance).

Le terminal de dialogue à deux mains occupe les deux entrées DIN42 et DIN43 (respectivement à deux

canaux A et B) et peut être activé uniquement en cas de sélection “Terminal de dialogue à deux mains”

comme type de capteur raccordé pour les entrées de pilotage DIN42 et DIN43.

En mode de fonctionnement “Terminal de dialogue à deux mains”, les entrées individuelles DIN42 et

DIN43 ont également des fonctions “normales” (équivalence/antivalence, signaux tests, comparaison

croisée avec 2 processeurs ...).

Fonction

Le résultat de la combinaison des deux entrées est conduit sur l'entrée logique séparée

LIN_2HAND_CTRL. LIN_2HAND_CTRL représente une fonction OU de LIN_D42 et LIN_D43, cela signifie

qu'elle n'est à l'état “0” que si les deux entrées logiques sont également à l'état “0”.

LIN_2HAND_CTRL = LIN_DIN42 OR LIN_DIN43



LIN_2HAND_CTRL

[57-1] IO_ERR

LIN_D42

P02.02

Two-Hand Control Unit

TIMER+LOGIC

LIN_D43

P02.03

1

ENABLE

Fig. 2.27 Schéma synoptique du terminal de dialogue à deux mains


LIN_... Entrées logiques

TIMER + LOGIC Temporisateur (Timer) et logique

ENABLE Signal de validation



Détection d'erreurLes états logiques des entrées DIN42 et DIN43 doivent correspondre. Si les états logiques diffèrent

pendant une durée supérieure au temps de discordance réglable, une erreur est signalée.

En règle générale, le paramètre “Temps de discordance” (P02.03) doit être réglé pour une

durée supérieure au temps de discordance pour la surveillance des entrées DIN42,

DIN43. En effet, ceci permet de couvrir la période nécessaire à l'opérateur pour appuyer

ou relâcher les deux touches du terminal de dialogue à deux mains.

Durées de temporisation à partir du changement de niveauLIN_D...


Typique

LIN_2HAND_CTRL 2,0 ms 2,1 ms 2,0 ms

Temps de réaction sur erreur en cas de non-respect de la

condition deux mains

2,0 ms

+ P02.03

2,1 ms

+ P02.03

2,0 ms

+ P02.03

Tab. 2.65 Fonction de transfert du terminal de dialogue à deux mains



Paramètres du terminal de dialogue à deux mains

Terminal de dialogue à deux mainsN° Nom Description

P02.02 Activation DIN42 et DIN43 sont utilisées en tant que termi

nal de dialogue à deux mains

P02.03 Temps de discordance Durée pendant laquelle les états logiques de

DIN42 et DIN43 peuvent différer

Tab. 2.66 Terminal de dialogue à deux mains

2.6.3 Advanced Logic Functions – ALF

Utilisation

Utiliser les ALF lorsque des combinaisons complexes de signaux d'entrée logiques LIN_x

doivent être réalisées, ou si - pour des raisons de clarté dans l'application - il s'avère

judicieux de regrouper une certaine combinaison de LIN_x en tant que signal logique

interne sûr

Advanced Logic Function permet de combiner logiquement des entrées et sorties internes. Il est ainsi

possible, par ex., de réaliser des combinaisons d'entrées spéciales. ALF est mise en œuvre si des com

binaisons logiques complexes sont requises et si la logique d'entrée (cellule OU avec 4 cellules ET en

amont, avec respectivement 7 entrées) d'une fonction de sécurité s'avère insuffisante.

Fonction

VOUT_ALFx_OUTVIN_ALFx_IN

Advanced Logic Function

1

P12....

Fig. 2.28 Schéma synoptique des Advanced Logic Functions


VIN_x_y Entrées virtuelles

VOUT_x_y Sorties virtuelles


Durées de temporisation à partir de VIN_ALFx_IN Valeur min. Valeurmax.

Typique

VOUT_ALFx_OUT 2,0 ms 2,1 ms 2,0 ms

Tab. 2.68 Fonction de transfert des Advanced Logic Functions



Paramètres des Advanced Logic-Functions

Advanced Logic FunctionsALF... N° Nom Description

ALF0 P12.00 Fonction de transfert Choix de la fonctionnalité (fix) :

Identité (OUT = IN) = [2]

Pour la fonction “Identité”, la sortie pré

sente toujours l'état logique de l'entrée.

ALF1 P12.03 Fonction de transfert



ALF4 P12.0C Fonction de transfert

ALF5 P12.0F Fonction de transfert



Tab. 2.69 Advanced Logic Functions

2.7 Remise en marche

2.7.1 Gamme des fonctions

La fonction “Remise en marche” décrite ici permet de terminer une ou plusieurs fonctions

de sécurité, de sorte que l'actionneur puisse “redémarrer”.

En combinaison avec des fonctions de déplacement sûres, comme par ex. SLS, “Remise

en marche” signifie que l'actionneur n'est plus surveillé et peut à nouveau être déplacé à

pleine vitesse.

L'utilisateur peut définir séparément pour chaque fonction de sécurité, le signal de commande activant

la remise en marche. Pour ce faire, les fonctions de sécurité occupent l'entrée virtuelle VIN_xxx_CSF

(Clear Safety Function).

Il convient de définir une remise en marche pour chaque fonction de sécurité, sauf si cette dernière a

été paramétrée sur “Remise en marche automatique”. Dans ce cas, la remise en marche a lieu auto

matiquement dès que la demande de fonction de sécurité est annulée.

Une remise en marche est possible uniquement si la demande de fonction de sécurité a été annulée au

préalable. La demande d'une fonction de sécurité est toujours prioritaire par rapport à la remise en

marche.



À l'état de livraison, l'entrée à un canal DIN49 est préréglée sur le type de capteur “Termi

ner la fonction de sécurité / remise en marche” et est connectée en tant que “remise en

marche” sur les fonctions de sécurité “STO” et “SBC”.

Lors de chaque flanc ascendant (0 V -> 24 V), le signal LIN_D49_RISING_EDGE fournit à

DIN49 une brève impulsion de commutation de longueur 2 ms permettant de réinitialiser

les fonctions de sécurité.

Durées de temporisation à partir de LIN_D49_RISING_EDGE


VIN_xxx_CSF jusqu'à la fin de la fonction de sécurité 0,0 ms 2,1 ms 2,0 ms

Tab. 2.70 Fonction de transfert de la remise en marche

NotaVérifier si l'application tolère une entrée de pilotage à un canal pour la remise en

marche et si celle-ci est commandée par niveau ou par flancs. Utiliser...

– LIN_D49, si une remise à zéro commandée par niveau est autorisée,

– LIN_D49_RISING_EDGE, si une remise à zéro commandée par flancs est requise,

– dans tous les autres cas, une entrée à deux canaux LIN_D40 à LIN_D43.

NotaVérifier si l'analyse du risque de la machine génère des demandes supplémentaires

pour la commande de la remise en marche et pour le diagnostic de l'entrée de pilotage

correspondante, par ex. une remise à zéro manuelle commandée par flancs dans le casde dispositifs de protection accessibles par l'arrière.

2.7.2 Exemples et remarques particulières pour l'implémentation

Remise en marche après STOFig. 2.29 montre la structure de la fonction de sécurité STO. STO peut être demandée en cours de

fonctionnement via VIN_STO_RSF. La demande de la fonction de sécurité STO entraîne la coupure de

l'alimentation pilote dans le contrôleur de moteur. Pour remettre en marche l'actionneur après la

demande STO, la demande doit être terminée comme décrit au � paragraphe 2.7.1.



VOUT_PS_EN

[54-5] STO_ERR

SS1_STO_RSF

VIN_STO_RSF

ERR_STO_RSF

VIN_STO_CSF

P0A.00

Safety Function STO

TIMERS

R

Q

STO_SBC_RSF1

1 1

P0A.0x

VOUT_STO_SFR

VOUT_STO_SSR

Fig. 2.29 Demande d'une fonction de sécurité (exemple STO) / remise en marche

Remise en marche après validation des erreursLa gestion des erreurs peut également demander la fonction STO en tant que réaction sur erreur (via le

signal ERR_STO_RSF). La demande est entrée dans la fonction STO comme indiqué dans la fig. 2.27.

Pour que l'actionneur puisse redémarrer après la validation de l'erreur, la remise en marche doit être

effectuée via VIN_STO_CSF, ou le paramètre “Remise en marche automatique autorisée” (P0A.00) doit

être réglé pour une remise en marche automatique. Ceci s'applique de manière appropriée aux

fonctions de sécurité SS1, SS2 et SBC, configurables en tant que réaction sur erreur.

Remise en marche après SS1Lorsqu'elle a expiré, la fonction SS1 demande STO via l'entrée de pilotage SS1_STO_RSF.

Comme on peut le voir dans Fig. 2.29, la demande STO est automatiquement désactivée dès que la

demande de la fonction SS1 n'existe plus. La demande de la fonction STO ne doit pas être désactivée

séparément. Ceci s'applique également pour la demande de la fonction SS1 en cas d'erreur : l'erreur

doit être validée et SS1 doit être désactivée, il n'est pas nécessaire de désactiver STO séparément.

Remise en marche après SBC

La logique pour la demande et l'arrêt de la fonction SBC correspond largement à celle de la demande

de STO (� paragraphe 2.5.2, Fig. 2.16)

Outre la logique traditionnelle, SBC peut être commandée par le biais de signaux de commande directs

de STO (STO_SBC_RSF) et de SS1 (SS1_SBC_RSF). La remise en marche depuis STO ou SS1 entraîne

ainsi la remise en marche automatique depuis SBC.

Par conséquent, il est possible d'implémenter différentes conditions de remise en

marche, même si des fonctions de sécurité identiques sont utilisées :

– Demande directe de SBC, remise en marche par ex. via LIN_D49_RISING_EDGE,

– Demande indirecte, par ex. via SS1, remise en marche depuis SBC de pair avec la

remise en marche depuis SS1, dès que la condition de remise en marche correspon

dante est satisfaite (par ex. LIN_D40).



Remise en marche après SS2Les combinaisons de SS2 et SOS fonctionnent de la même manière que la combinaison de SS1 et STO

décrite précédemment.

2.8 Gestion et validation des erreurs

2.8.1 Déclenchement d'erreurs et classes d'erreurs

Le module de sécurité exécute les fonctions de sécurité demandées. Il s'auto-surveille et surveille éga

lement les entrées et sorties ainsi que les codeurs de position 1 et 2. En cas de dysfonctionnement

d'une fonction de sécurité et de détection d'une erreur, le module de sécurité passe à l'état d'erreur.

En combinaison avec la technique de sécurité fonctionnelle et le module de sécurité CAMC-G-S3, des

erreurs déclenchées par l'appareil de base et par le module de sécurité, se produisent. Ces erreurs sont

réparties en différentes classes se distinguant grâce au numéro d'erreur indiqué sur l'afficheur à 7 seg

ments du contrôleur de moteur.

Le numéro se compose d'un index principal à deux chiffres (plage 51 … 59) et d'un sous-index (plage 0 … 9) :

Numéro d'erreur

Index

principal

Sous-index Type d'erreur/classe

Erreur des appareils de base51-x 9 8 7 6 5 4 3 2 1 0 Signaux de commande du module de sécurité

défaillants, type de module / identification in

correct(e)52-x 9 8 7 6 5 4 3 2 1 0 Erreur dans le déroulement de la commande avec le

module de sécuritéErreur du module de sécurité53-x 9 8 7 6 5 4 3 2 1 0 Dysfonctionnement d'une fonction de sécurité54-x 9 8 7 6 5 4 3 2 1 0 Dysfonctionnement d'une fonction de sécurité55-x 9 8 7 6 5 4 3 2 1 0 Erreur système : détection de la valeur réelle / co

deur de position incorrect(e)56-x 9 8 7 6 5 4 3 2 1 0 Erreur système : détection de la position / comparai

son incorrecte57-x 9 8 7 6 5 4 3 2 1 0 Erreur système : entrées et sorties ou signaux de test

internes incorrect(e)s58-x 9 8 7 6 5 4 3 2 1 0 Erreur système : communication externe / interne

incorrecte59-x 9 8 7 6 5 4 3 2 1 0 Erreur système du firmware / erreur matérielle du

module de sécurité

Tab. 2.71 Champ de bits des numéros d'erreurs (gris = réservé pour des extensions ultérieures)

Une description exhaustive de l'ensemble des erreurs avec les causes probables et les

mesures à prendre pour les éviter, figure au � paragraphe 5.6.



Erreur des appareils de base :En cours de fonctionnement, l'appareil de base surveille la communication avec le module de sécurité

et la vraisemblance des signaux de commande du module de sécurité. Après l'activation, l'appareil de

base vérifie si le type de module de sécurité approprié a été monté et si un remplacement de module a

été effectué. En cas d'erreurs, il génère un message d'erreur correspondant avec une réaction sur

erreur paramétrable (� description des fonctions de CMMP-AS-...-M3, GDCP-CMMP-M3-FW-...).

Erreur du module de sécurité :Le module de sécurité exécute les fonctions de sécurité demandées. Il s'auto-surveille et surveille éga

lement les entrées et sorties ainsi que les codeurs de position 1 et 2. En cas de dysfonctionnement

d'une fonction de sécurité et de détection d'une erreur, le module de sécurité passe à l'état d'erreur.

Dans le module de sécurité, on fait la distinction entre

– les erreurs dues au non-respect d'une condition de sécurité (53-x et 54-x) – la LED reste allumée en

rouge

et

– les erreurs système (55-x à 59-x) – la LED clignote en rouge (témoins LED � paragraphe 2.10.2)

Les erreurs sont générés par les différents blocs fonctionnels dans le module de sécurité :

Par exemple, la fonction de sécurité SSF génère un signal d'erreur lorsque l'actionneur se déplace en

dehors de la plage de vitesse surveillée. Le signal d'erreur est très bref si l'actionneur quitte la plage

autorisée pendant un court instant.

De ce fait, l'appareil de base et le module de sécurité disposent d'une mémoire de diagnostic interne.

Chaque erreur se produisant en cours de fonctionnement est d'abord inscrite dans la mémoire de diag

nostic et enregistrée temporairement.

– La mémoire de diagnostic de l'appareil de base peut enregistrer plus de 200 entrées. Lorsque cette

limite est atteinte, les entrées les plus anciennes sont remplacées par les nouvelles.

– La mémoire de diagnostic du module de sécurité regroupe 32 entrées.

Elle sert de mémoire intermédiaire avant que les erreurs ne soient signalées à l'appareil de base et y

soient enregistrées dans la mémoire de diagnostic permanente.

La mémoire de diagnostic permanente de l'appareil de base est sauvegardée même en

cas de panne secteur. Un historique des erreurs est ainsi disponible. Outre les erreurs,

d'autres événements sont également enregistrés dans la mémoire de diagnostic

permanente. Pour une description détaillée, se reporter au � paragraphe 2.11.

Le numéro d'erreur, composé de l'index principal et du sous-index, est également affiché sur l'afficheur

à 7 segments du contrôleur de moteur. La dernière erreur déclenchée avec la priorité la plus élevée

(numéro d'erreur) y est affichée. Les erreurs ultérieures avec une priorité plus faible sont enregistrées

dans la mémoire de diagnostic mais ne sont pas affichées sur l'afficheur à 7 segments.

L'état d'erreur est maintenu jusqu'à sa validation.



Non-respect des conditions de sécuritéLes signaux “Condition de sécurité non respectée” des fonctions de sécurité individuelles sont regrou

pés - selon la réaction sur erreur paramétrée - en un message d'erreur générale ou un message

d'avertissement général. Cela permet, par ex., de commande un relais de signalisation. Les messages

généraux en soi n'entraînent pas de réaction sur erreur.

La réaction sur erreur est définie individuellement pour chaque fonction de sécurité � paragraphes

4.6.12 et B.2.

Si, pour la première fois, la condition de sécurité n'est pas respectée, une erreur est déclenchée une

seule et unique fois après la demande de la fonction de sécurité. Lorsque la condition de sécurité n'est

pas respectée une seconde fois, un message d'erreur est à nouveau déclenché après validation de

l'erreur.

La sortie “Condition de sécurité non respectée” reproduit l'état actuel. Exemple :

1. SLS est demandée.

2. Vitesse en dehors de la plage autorisée } message d'erreur, sortie active.

3. Vitesse à nouveau dans la plage autorisée } la sortie devient inactive.

4. Vitesse à nouveau en dehors de la plage autorisée } sortie active, aucun nouveau message

d'erreur.

Réaction sur des variables d'état erronées

Aussi longtemps qu'une fonction de sécurité n'est pas demandée, la validité des variables d'entrée (par

ex. signal de vitesse, signal de détection d'arrêt,...) n'est pas surveillée, ni contrôlée.

La validité des variables d'entrée est surveillée pendant la demande d'une fonction de sécurité ou si

une fonction de sécurité est atteinte. Lorsqu'une erreur est détectée, le message d'erreur correspon

dant “Condition de sécurité non respectée” est déclenché.

Il existe un paramètre expert caché P09.00, permettant de régler un masque pour exclure

des fonctions de sécurité individuelles de la génération des états VOUT_SSR et

VOUT_SCV.

Ceci peut s'avérer utile si les fonctions de sécurité sont utilisées à des fins d'observation,

par ex. “Safe Speed Monitor, SSM” et si elles doivent être masquées dans les messages

d'état de fonctionnement.

Si besoin, s'adresser à l'interlocuteur Festo en région.



2.8.2 Paramétrage de la réaction sur erreur du module de sécuritéPour bon nombre d'erreurs des groupes 53-x à 57-x, la réaction sur erreur peut être configurée dans

une vaste plage. Le choix est limité ou même interdit pour quelques erreurs critiques. Chaque erreur

déclenche la réaction sur erreur qui lui est affectée, indépendamment de l'ordre chronologique d'appa

rition. L'apparition simultanée de plusieurs erreurs entraîne ainsi l'exécution simultanée de plusieurs

réactions sur erreur.

En cas de non-respect d'une condition de sécurité, le module de sécurité doit amorcer un arrêt définitif

des axes, selon la catégorie d'arrêt requise (STO, SS1, SS2, ou SBC).

Dans le cas des erreurs système, l'importance de la réaction sur erreur nécessaire dépend de

l'assurance d'un fonctionnement sûr du module de sécurité.

Les réactions sur erreur (en démarrant avec celles qui ont la priorité la plus élevée) sont disponibles :

[8] Demande STO + SBC + régler toutes les sorties numériques sur “0”

[7] Demande STO + SBC

[6] Demande STO

[5] Demande SS1 + SBC

[4] Demande SS1

[3] Demande SS2

[2] Génération d'un avertissement (écran du contrôleur de moteur), aucune autre réaction

[1] Aucune réaction, uniquement entrée dans la mémoire de diagnostic

[0] Aucune réaction, aucune entrée dans la mémoire de diagnostic

NotaEn cas d'erreurs, l'actionneur doit être mis hors tension au plus vite (STO), l'unité de

blocage ou le frein de maintien doit retomber (SBC) et les entrées sûres doivent être

désactivées, ceci correspond à la réaction sur erreur [8].

Cet état correspond à “l'état initial sûr” du module de sécurité.

– L'alimentation en énergie vers le moteur devient impossible.

– Un déplacement est freiné par le biais d'une unité de blocage externe dotée de ca

ractéristiques de freinage d'urgence.

– L'électronique externe consécutive est désactivée / mise à l'état sûr.

Contrôler la réaction sur erreur nécessaire dans l'application de sécurité. En cas de

doute, sélectionner celle dont la priorité est la plus élevée [8].



2.8.3 Logique de validation des erreurs

La fonction “Validation des erreurs” décrite ici permet de réinitialiser les erreurs qui se

sont produites. C'est la condition pour une remise en marche après erreurs.

Le flanc ascendant du signal de commande VIN_ERR_QUIT permet de valider des erreurs. Pour ce faire,

le signal de commande doit être relié à une entrée numérique.

La configuration s'effectue de la même manière que la configuration de la demande ou de la remise en

marche d'une fonction de sécurité. Commuter une entrée de pilotage sur VIN_ERR_QUIT et actionner

l'entrée de sorte que le module de sécurité quitte l'état d'erreur.

À l'état de livraison et après une réinitialisation sur les réglages à l'usine, l'entrée DIN48

est prévue pour la fonction “Validation des erreurs”. Les erreurs sont validées avec le

flanc ascendant (0 V -> 24 V).

Une erreur ne peut ainsi être validée (retirée de la “mémoire de diagnostic temporaire” du module de

sécurité) que si la condition d'erreur n'existe plus. De ce fait, le module de sécurité vérifie systé

matiquement toutes les conditions d'erreurs lors de la validation et supprime les entrées d'erreurs

corrigées. Les erreurs restantes sont maintenues. Suite à une procédure de validation, le module inscrit

une entrée “Validation des erreurs” dans la “mémoire de diagnostic permanente” de l'appareil de base.

Au terme de la validation des erreurs, les erreurs restantes sont à nouveau enregistrées dans la mé

moire de diagnostic.

Au terme de la validation des erreurs dans le module de sécurité, ce dernier envoie une commande

“Valider erreur” à l'appareil de base, de sorte que les erreurs en suspens soient validées dans

l'appareil de base.

Le module de sécurité possède ainsi une fonction de maître pour la validation d'erreurs.

– Les erreurs validées dans le module de sécurité, le sont également dans l'appareil de

base.

– Les numéros d'erreurs générés par le module de sécurité (53-x à 59-x) peuvent être

validés uniquement via le module de sécurité.

– En cas de validation des erreurs via la commande fonctionnelle ou via les I/O,

l'appareil de base peut valider uniquement les numéros d'erreurs qu'il génère lui-

même.

La validation des erreurs du module de sécurité est effectuée exclusivement via l'entrée de pilotage

configurée à cet effet.



Durées de temporisation LIN_D48 à ... Valeur min. Valeur max. Typique

VIN_ERR_QUIT avant la suppression de la mémoire de

diagnostic temporaire et le changement de mode de

fonctionnement

4,0 ms 20 ms 10 ms

VIN_ERR_QUIT avant la suppression de l'erreur dans

l'appareil de base et l'ordre de marche de l'appareil de

base

20 ms 500 ms 100 ms

Tab. 2.72 Fonction de transfert de la validation des erreurs

NotaEn cas de non-respect d'une condition de sécurité, l'erreur ne peut être validée que si

les variables d'état de l'actionneur se trouvent à nouveau dans la plage autorisée.

Exemple - dysfonctionnement SOS :Lorsque SOS a été demandée, l'axe est déplacé en dehors de la plage de tolérance –> L'erreur [54-3]

Dysfonctionnement SOS est générée. L'erreur ne peut être validée que si :

– les axes sont revenus dans la plage autorisée, ou (en alternative),

– la demande de la fonction de sécurité SOS a été terminée (remise en marche).

Suite au dysfonctionnement SOS, une autre fonction de sécurité, ici SS1, est exécutée en tant que

réaction sur erreur.

La procédure doit être effectuée pour une remise en marche suite à un “dysfonctionnement SOS” :

1. Actionnement de la remise en marche

–> Termine la fonction SOS, SS1 (de réaction sur erreur) est ensuite exécutée

2. Validation des erreurs

–> Supprimer l'erreur “Dysfonctionnement SOS”

3. Remise en marche

–> Termine la fonction de sécurité SS1 –> l'axe/le moteur peut redémarrer

Les erreurs des fonctions de sécurité suivantes peuvent également être validées si la

fonction de sécurité est demandée :

STO, SS1, SBC, USF/SSF dans les trois exécutions SLS, SSR, SSM.



2.9 Sorties numériques

2.9.1 Sorties à deux canaux sûres DOUT40 … DOUT42 [X40]

Utilisation

Utiliser les sorties sûres à deux canaux pour :

– transmettre les messages d'état sûrs aux unités de commande externes,

– commander les dispositifs de coupure de sécurité.

– Si elles sont activées en continu, elles peuvent servir de source pour les impulsions

tests.

Fonction

Le module de sécurité possède trois sorties sûres DOUT40A/B, DOUT41A/B, DOUT42A/B. Les sorties

peuvent être configurées librement et il est possible d'y affecter diverses fonctions (fonction de sécurité

demandée, état sûr atteint, erreur, ...). L'état de fonctionnement du module de sécurité ou de la

fonction de sécurité individuelle peut être signalé à l'extérieur :

– pour signaler l'état de sécurité aux actionneurs consécutifs,

– pour demander des fonctions de sécurité dans les actionneurs consécutifs avec le module de sécu

rité CAMC-G-S3,

– pour signaler l'état de sécurité à une commande de sécurité externe ou à une commande fonction

nelle,

– pour commander des actionneurs sûrs externes, par ex, une unité de blocage, une purge de

soupape, un verrouillage de porte, ou similaire.

Schéma synoptique

DOUT4xA

[57-0] IO_ERR

LOUT_D4x

P02.3x

DOUT40 ... DOUT42

DRIVER+ TEST PULSE GENERATOR+ FEED BACK EVALUATION DOUT4xB

0 VPS

+ 24 V

0 VPS

Fig. 2.30 Schéma synoptique des sorties sûres à deux canaux





DRIVER + TEST PULSE GENERATOR +

FEED BACK EVALUATION

Pilote, génération d'impulsions tests et analyse

DOUT4...A / DOUT4...B Sorties numériques à deux canaux



La commande de la sortie s'effectue en sélectionnant un signal ou plusieurs signaux VOUT_x, affectés à

LOUT_D4x.

Chaque sortie numérique sûre peut être configurée comme suit (P03.30 pour DOUT40) :

– ARRÊT permanent (DOUT40A/B = 0 V),

– MARCHE permanente (DOUT40A/B = 24 V),

– à commutation équivalente,

– à commutation antivalente.

La longueur des impulsions tests sont paramétrables (P03.31 pour DOUT40).

Les sorties peuvent être utilisées pour surveiller les capteurs passifs à l'aide d'impulsions

tests. Pour ce faire, configurer l'une des sorties sur “Marche permanente” et utiliser les

sorties DOUT4x A/B pour l'alimentation du dispositif de commutation � paragraphe 3.3,

Exemples de circuits.

Les tableaux suivants montrent l'affectation du signal logique LOUT_D4x pour le niveau des sorties à

commutation antivalente et équivalente :

Sortie DOUT40/41/42 équivalente Au repos État sûr demandé

LOUT_D40/41/42 1 0

DOUT40A/41A/42A 24 V 0 V

DOUT40B/41B/42B 24 V 0 V

Tab. 2.74 Signaux logiques DOUT40/41/42 équivalents

Sortie DOUT40/41/42 antivalente Au repos État sûr demandé

LOUT_D40/41/42 1 0

DOUT40A/41A/42A 24 V 0 V

DOUT40B/41B/42B 0 V 24 V

Tab. 2.75 Signaux logiques DOUT40/41/42 antivalents



Les sorties sûres (y compris la sortie d'horloge) doivent toujours être conformes au

principe du courant de repos, ce qui signifie que le niveau bas correspond à l'état sûr.

Lors de la configuration, l'utilisateur doit procéder à l'inversion du signal de commande

LOUT_D40, de manière à garantir ce principe.

L'utilisateur doit garantir qu'une sortie hors tension entraîne l'état sûr du système entier.

Chaque sortie numérique sûre peut également être utilisée en tant que sortie d'horloge pour l'alimen

tation de capteurs passifs. Dans ce cas, la sortie est configurée comme “MARCHE en permanence”.

Détection d'erreurLes pilotes de sortie possèdent deux canaux et sont redondants. Les niveaux de sortie sur DOUT4xA/B

sont consultés par les deux microcontrôleurs en cours de fonctionnement. Les deux microcontrôleurs

délivrent des impulsions tests sur les sorties, qui sont alternativement consultées et analysées par

l'autre microcontrôleur.

Grâce à ces mesures, les courts-circuits après 24 V, 0 V et les courts-circuits transversaux entre les

sorties sont détectés de manière sûre. En cas d'erreur, la sortie passe à l'état sûr (DOUT4xA/B désacti

vée ou 0 V). Un message d'erreur [57-0] IO-ERR est généré.

En cas d'erreurs internes graves qui entraînent l'impossibilité pour un microcontrôleur ou pour les deux

de commander l'état des sorties de manière sûre, toutes les sorties sont désactivées communément.

Pour les sorties antivalentes, les deux broches A/B commutent sur le niveau bas.

Exemple d'erreurs de ce type :

– tension de service défaillante,

– capteurs de position défectueux,

– erreur de mémoire, erreur Stack,

– la surveillance de l'exécution de programme signale une erreur, erreur de communication interne

Diagramme de tempsFig. 2.31 montre un exemple de fonction de transfert pour la désactivation et l'activation de la sortie

DOUT40. Les impulsions tests pour le niveau élevé sont également représentées. Elles sont décalées

dans le temps pour toutes les sorties.



DOUT40A

DOUT40B

DOUT40A

DOUT40B

VOUT_x Ts < 2,5 ms

P02.31

P02.31

P02.31

P02.31

Digital Output DOUT40A/B

Equivalent (P02.30 = 1)

Antivalent (P02.30 = 2)

Ts < 2,5 ms

LOUT_D40 LOUT_D40 = NOT(VOUT_x)

Fig. 2.31 Diagramme de temps des sorties sûres à deux canaux


VOUT_x Sorties virtuelles


DOUT40A, DOUT40B Sorties numériques à deux canaux

Equivalent / Antivalent Équivalente / antivalente


Les durées suivantes s'écoulent entre la commande d'une sortie sûre et la commutation des broches

de sortie :

Durées de temporisation entre LOUT_D4x et le changementde niveau de la sortie


Durée de temporisation Ts 0,0 ms 2,5 ms 0,5 ms

Durée des impulsions tests (P02.31, ...) 0,4 ms 10,0 ms 1,0 ms

Tab. 2.77 Durées de temporisation DOUT40 … DOUT42



Paramètres pour les sorties numériques à deux canaux

N° de paramètre pour la sortie ... Nom Description

DIN 40 DIN 41 DIN 42

P02.30 P02.32 P02.34 Mode de fonctionnement Mode : arrêt (0 V) / équivalent /

antivalent / MARCHE (24 V)

P02.31 P02.33 P02.35 Longueur d'impulsion test Longueur de l'impulsion test

Tab. 2.78 Paramètres des sorties numériques à deux canaux

2.9.2 Commande de freinage interne du contrôleur de moteur [X6]

Utilisation

Le contrôleur de moteur dispose d'interrupteurs de puissance intégrés pour une com

mande de freinage sûre. Le raccord +24 V et le raccord 0 V du frein de maintien sont com

mutés via des transistors de puissance séparés.

Habituellement, la commande du frein de maintien s'effectue de manière fonctionnelle

via le contrôleur de moteur. Néanmoins, les interrupteurs de puissance peuvent éga

lement être utilisés en combinaison avec le CAMCGS3 pour commander une unité de

blocage ou un frein de maintien via la fonction de sécurité SBC.

La commande de freinage intégrée à la sortie [X6] satisfait aux exigences PL d / cat. 3

selon EN ISO 13849, ou SIL 2 selon EN 61800-5-2.

FonctionLe module de sécurité intervient activement dans la commande des interrupteurs “High side” et “Low

side” du contrôleur de moteur. L'intervention a lieu différemment sur le module de sécurité par le biais

des deux microcontrôleurs via les signaux BR+_BASEUNIT et BR-_BASEUNIT. L'état bas du signal

désactive le transistor de puissance correspondant, le frein de maintien retombe.

À l'état de livraison, la commande de freinage interne est configurée de sorte qu'une

demande de la fonction de sécurité SBC entraîne la désactivation des signaux BR+_BA

SEUNIT et BR-_BASEUNIT.

Respecter la polarité du signal de commande de la fonction SCB :

VOUT_SBC_BRK_ON = 1 signifie que l'unité de blocage ou le frein de maintien doit retomber.

Par conséquent, le signal de commande doit être inversé :

LOUT_BRAKE_CTRL = NOT(VOUT_SBC_BRK_ON)



Schéma synoptique

BR+_BASEUNITLOUT_BRAKE_CTRL

P02.37

Internal Brake

DRIVER+ TEST PULSE GENERATOR

BR-_BASEUNIT

[57-0] IO_ERR

P02.36

Fig. 2.32 Schéma synoptique de la commande de freinage sûre dans l'appareil de base


LOUT_BRAKE_CONTROL Sortie logique Commande de freinage

DRIVER + TEST PULSE GENERATOR Pilote et génération d'impulsions tests

BR+_BASEUNIT/BR-_BASEUNIT Signaux internes : commande de freinage



Sortie des signaux de commande BR+/ BR-

Commande de freinage sûrenon alimentée

Commande de freinage sûrealimentée

LOUT_BRAKE_CTRL 1 0

BR+_BASEUNIT 0 1

BR-_BASEUNIT 0 1

Tab. 2.80 Signaux logiques BR+_BASEUNIT/BR-_BASEUNIT

Détection d'erreurLes impulsions tests permettent de contrôler le fonctionnement des interrupteurs “High side” et “Low

side” en cours de fonctionnement. La longueur d'impulsion test est paramétrable (P02.37). Le contrôle

à l'aide d'impulsions tests est réalisé séparément pour chaque interrupteur de puissance dans

l'appareil de base, à condition que la commande de freinage sûre soit alimentée. La durée d'impulsion

est paramétrable. Un signal d'accusé de réception interne permet de mesurer la tension sur la sortie de

freinage sûre du module de sécurité.

Les erreurs suivantes sont détectées :

– Terminaison de BR+ à 24 V.

– Terminaison de BR- à 0 V.

En cas d'erreur, l'erreur [57-0] IO_ERR est générée.



La commande de freinage intégrée à la sortie [X6] convient pour les unités de blocage ou

les freins de maintien 24 V, avec une intensité absorbée de max. 2 A � Caractéristiques

techniques de la sortie de freinage dans le manuel du matériel GDCP-CMMP-AS-G3-HW-...

En alternative, la commande de l'unité de blocage ou du frein de maintien peut également être

effectuée par le biais d'une sortie numérique sûre (DOUT40 à DOUT42) et d'un dispositif de

commutation de freinage externe � voir exemples, paragraphes 3.3.5 et 3.3.6.

Diagramme de temps

Fig. 2.33 montre un exemple de fonction de transfert pour la désactivation et l'activation de la sortie de

freinage interne [X6]. Les impulsions tests pour l'unité de blocage ou le frein de maintien alimenté(e)

(ventilé) sont également représentées. Elles sont décalées dans le temps.

X6.x BR+

X6.y BR-

VOUT_SBC_BRK_ON Ts < 4,0 ms

P02.37

Ts < 4,0 ms

LOUT_BRK_CONTROLLOUT_BRK_CONTROL = NOT(VOUT_SBC_BRK_ON)

P02.37

Internal Brake

Fig. 2.33 Diagramme de temps de la commande de freinage intégrée dans l'appareil de base


VOUT_SBC_BRK_ON Sortie virtuelle de commande du frein interne

LOUT_BRK_CONTROL Sortie logique de commande du frein interne

X6.x BR+ / X6.y BR- Signaux à destination des contacts de la sortie de freinage dans

l'appareil de base


Les durées suivantes s'écoulent entre la commande du frein interne et la commutation des broches de

sorties sur [X6] :

Durées de temporisation entre LOUT_BRAKE_CTRL lechangement de niveau de la sortie de freinage [X6] de

l'appareil de base



Durée des impulsions tests (P02.37) 0,4 ms 10,0 ms 1,0 ms

Tab. 2.82 Durées de temporisation du frein interne



Paramètres pour la commande de freinage interne sûre

Frein interneN° Nom Description

P02.37 Longueur d'impulsion test Longueur de l'impulsion test

Tab. 2.83 Paramètres du frein interne

2.9.3 Contact de signalisation C1, C2 [X40]

Utilisation

Le contact de signalisation libre de potentiel est privilégié par rapport à la sortie de diag

nostic. L'état de fonctionnement du module de sécurité peut ainsi être signalé à une com

mande de sécurité externe.

FonctionLe contact de signalisation possède un canal et ne doit pas être utilisé en tant que composant d'une

chaîne de sécurité.

Le contact ne possède pas de contacts forcés pour la surveillance sûre d'un fonctionnement sans

erreur. Le contact de signalisation libre de potentiel peut être configuré comme une sortie sûre.

Néanmoins, aucune impulsion test pour le contrôle des entrées numériques ne peut être émise.

Le contact est un contact NO. À l'état de repos / non-alimenté, le contact est ouvert, de même que

pendant l'initialisation et les opérations Power off/on du module de sécurité.

Schéma synoptique

C1

LOUT_RELAIS

Signal Relais C1/C2

DRIVER

C2

RELAIS

Fig. 2.34 Schéma synoptique de la sortie de relais libre de potentiel


LOUT_RELAIS Sortie logique Contact d'accusé de réception

DRIVER Driver ou pilote


Sortie du contact de signalisation Au repos Actif

LOUT_RELAIS 0 1

Contact C1/C2 ouvert fermé

Tab. 2.85 Signaux logiques Contact de signalisation



Détection d'erreurL'état du contact de commutation n'est pas surveillé.

À l'état de livraison, le contact de signalisation est préconfiguré comme suit :

contact fermé en cas d'absence d'erreur et si toutes les fonctions de sécurité demandées

signalent l'état sûr (message général VOUT_SSR “Safe State Reached”).

Diagramme de tempsFig. 2.35 montre un exemple de fonction de transfert pour la désactivation et l'activation du contact de

signalisation.

VOUTx

Signaling contact C1/C2

C1/C2

Ts < 20 msRelay Output

OPEN

Ts < 20 ms

CLOSED OPEN

Fig. 2.35 Diagramme de temps du contact de signalisation libre de potentiel


VOUTx Sortie virtuelle

OPEN / CLOSED (Contact de relais) ouvert / fermé


Les durées suivantes s'écoulent entre la commande du relais et la commutation des broches de sortie :

Durées de temporisation entre LOUT_RELAIS et la commutation du relais


Typique


Tab. 2.87 Durées de temporisation de la sortie de relais

Le contact de signalisation est un relais miniature.

La durée de vie et la résistance aux cycles de commutation du relais dépendent essentiel

lement de l'importance et du type de charge du contact de relais.

Tab. A.12 en annexe A.1.6 décrit les caractéristiques électriques du contact de signalisation.



2.9.4 Alimentation auxiliaire +24 V [X40]L'alimentation auxiliaire peut être mise en œuvre en cas d'utilisation du contact d'accusé de réception

C1/C2 ou pour alimenter des capteurs externes actifs.

Le module de sécurité met à disposition une tension continue de 24 V, avec une intensité admissible de

100 mA max., sur l'interface X40.

La sortie pour 24 V est protégée contre les surcharges et les courts-circuits par le biais d'une

thermistance PTC.

Tab. A.13 en annexe A.1.7 décrit les caractéristiques techniques de l'alimentation auxiliaire.



2.10 État de service et indications d'état

2.10.1 États du système / machine d'état

Fig. 2.36 montre les transitions d'état du module de sécurité lors du démarrage après Power ON.

Activer l'étage de sortieSorties hors tension

Étage de sortie verrouilléSorties hors tension

Activer l'étage de sortie, lorsque toutes les conditions de sécurité sont respectéesErreur système

L'erreur système ne peut être validée,par ex. Stack, RAM, processeur,défaut matériel

Opérationnel, aucune fonction de sécuritéFonction de sécurité demandéeÉtat sûr atteintCondition de sécurité non respectéeL'erreur système peut être validée

Exploitation

Démarrer unesession deparamétrage

Validation deserreurs

Erreur decommunication

Timeout

Démarrer unesession deparamétrage

Établissement dela communicationBus du système

Session de paramétrage en cours

Terminer lasession deparamétrage,paramètrevalidé

Terminer lasession deparamétrage,paramètrenon validé

Démarrerune sessionde paramétrage

Paramétrage del'appareil de base

Charger lesparamètres

Aucun paramètredisponible

Initialisation 2

Initialisation 1

Témoins LED

– Paramètre disponible– Paramètre validé– Bloc de paramètres = par défaut

– Aucun paramètre – Paramètre non validé– Mot de passe réinitialisé

Fig. 2.36 États du “système entier”



Description des états du “système entier”– Dans la phase Initialisation 1, les tests fondamentaux du système sont effectués sur les compo

sants logiciels et matériels.

– Le bloc de paramètres est ensuite chargé depuis la mémoire FLASH du module et vérifié :

– Le module de sécurité contrôle la présence d'un bloc de paramètres sûr valide dans le module

de sécurité. Un bloc de paramètres sûr valide est disponible lorsque tous les paramètres indivi

duels sont validés et que le bloc de paramètres en intégralité est marqué comme “validé”.

– Il est également contrôlé si le module de sécurité se trouve à l'état de livraison. À l'état de livrai

son, tous les paramètres individuels sont validés mais le bloc de paramètres en intégralité est

marqué comme “non validé”. De plus, le bloc de paramètres est identifié comme étant à l'“état

de livraison”.

À l'état de livraison, l'appareil de base peut être mis en service et le moteur peut être

déplacé. Le module de sécurité est préconfiguré avec les fonctions de sécurité STO et

SBC qui peuvent être demandées via DIN40, et offre ainsi une protection minimale

� paragraphe 4.4.2 ou 4.4.1.

– Si les paramètres individuels ne sont pas tous validés ou si le bloc de paramètres en intégralité est

marqué comme “non validé” et en cas d'absence de l'état de livraison, le module de sécurité passe

à l'état “Service” et est dans l'attente d'un paramétrage venant de l'extérieur.

À l'état “Service”, le moteur et l'appareil de base ne peuvent être mis en service. Le mo

dule de sécurité a désactivé toutes les sorties sûres ainsi que les signaux de commande

internes à l'appareil, dédiés à l'activation de l'étage de sortie et du frein de maintien.

– Lorsqu'un paramétrage est terminé, une seconde initialisation se produit.

– La communication avec l'appareil de base est ensuite établie.

– Si aucune erreur n'a été constatée jusqu'à présent et que le module de sécurité dispose d'un bloc

de paramètres sûr valide et validé en intégralité, il passe à l'état “Fonctionnement” qui autorise la

demande et l'exécution des fonctions de sécurité. À l'état “Fonctionnement”, tous les modules

marchent selon leur fonctionnalité spécifique.

– En cas de détection d'erreurs système, par ex. un codeur de position défectueux, le module de

sécurité passe à l'état “Erreur système”. Celui-ci ne peut être quitté qu'après élimination et va

lidation subséquente de l'erreur ou après un redémarrage du système.

Fig. 2.37 montre les transitions d'état du module de sécurité en cours de “fonctionnement”.

– L'état est “opérationnel” tant qu'aucune fonction de sécurité n'est demandée.

– Si une fonction de sécurité au minimum est demandée, le module de sécurité passe à l'état

“Fonction de sécurité demandée”. La surveillance est déjà active mais l'état sûr n'est pas encore

atteint, une rampe de vitesse étant par ex. parcourue.

– Il s'ensuit l'état “État sûr atteint”, la surveillance est active, l'actionneur se trouve à l'état sûr.

– L'état “Condition de sécurité non respectée” est adopté en cas d'erreur et ne peut être quitté que

par le biais d'une validation des erreurs.



Demander lafonction de sécurité

Non demandée

Pour ces transitions, une erreur entraînant la réaction sur erreur paramétréeest déclenchée

Fonction de sécurité demandée

Terminer lademande

Terminer lademande

Terminer lademande

Non-respect desconditions de sécurité

État sûr atteint

État sûr atteint, selon lafonction de sécurité concernée

Variable d'étatdans / en dehorsde la plage autorisée

Variable d'étatdans / en dehorsde la plageautorisée

Fig. 2.37 États des fonctions de sécurité “Fonctionnement”

Les fonctions de sécurité possèdent de petites commandes séquentielles et génèrent des

messages d'état et d'erreur (exemple de la fonction de sécurité SS1 � paragraphe 2.5.3,

Fig. 2.18). Les états d'erreur et de fonctionnement des fonctions logiques et de sécurité

individuelles permettent de générer différents messages d'état généraux.

Les messages généraux sont mis en œuvre en tant que sorties virtuelles d'un point de vue formel. Ils

sont renvoyés en tant qu'entrées logiques correspondantes.

Les sorties (par ex. relais de signalisation) peuvent ainsi être commandées en fonction de l'état du

système et des fonctions de sécurité peuvent être commandées en fonction de l'état du système.

Les messages d'état généraux sont décrits ci-après.

VOUT_READY : “Opérationnel, aucune fonction de sécurité demandée”

Le signal “Opérationnel, aucune fonction de sécurité demandée ” passe en “1” en cas d'absence d'un

message d'erreur dont la réaction est supérieure à un avertissement, et si aucune fonction de sécurité

n'est demandée.

VOUT_SERVICE : “Service”, le module de sécurité doit être paramétréLe signal “Service” passe en “1” si le bloc de paramètres du module est invalide, si une session de

paramétrage est en cours ou en cas d'absence d'un bloc de paramètres. Dans le bloc de paramètres, il

existe un identificateur permettant au module de sécurité d'identifier l'état de livraison (= bloc de para

mètres standard).



NotaSi la somme de contrôle du bloc de paramètres est erronée, il s'agit d'une erreur interne

grave entraînant l'état “Erreur système”.

VOUT_SFR : “Safety Function Requested” / ”Fonction de sécurité demandée”Le signal “Fonction de sécurité demandée” passe en “1” lorsqu'une fonction de sécurité au minimum

est demandée. Il reste actif jusqu'à ce que toutes les demandes soient réinitialisées.

VOUT_SSR : “Safe State Reached” / “État sûr atteint”Le signal “État sûr atteint” passe en “1” lorsque la sortie “État sûr atteint” est active pour toutes les

fonctions de sécurité demandées et si une fonction de sécurité au minimum est demandée.

VOUT_ERROR : “System Error” / “Erreur système interne”

Le signal “Erreur système” passe en “1” en cas de présence d'au moins une erreur dont la réaction

paramétrée est supérieure à “Avertissement”. En sont exclues les erreurs de catégorie “Non-respect

des conditions de sécurité” qui possèdent leur propre message d'erreur général.

Remarque : c'est le cas lorsque qu'une erreur d'un module pouvant être validée s'est produite ou

lorsque le système entier se trouve dans l'état “Erreur système” ou “Erreur de communication”.

VOUT_SCV : “Safety Condition Violated” / “Condition de sécurité non respectée”Le signal “Condition de sécurité non respectée” passe en “1” si au moins une erreur de catégorie

“Condition de sécurité non respectée” s'est produite dans la gestion des erreurs et si la réaction sur

cette erreur a un niveau de priorité plus élevé que “Avertissement”.

VOUT_WARN : “Avertissement”Le signal “Avertissement” passe en “1” en cas de présence d'au moins une erreur dont la réaction est

paramétrée sur “Avertissement”. En sont exclues les erreurs de catégorie “Condition de sécurité non

respectée”.

VOUT_PS_EN : “Power Stage Enable” / “Prêt pour l'activation de l'étage de sortie”Le signal “Prêt pour l'activation de l'étage de sortie” représente directement l'état du blocage d'impul

sions sûr (fonction de sécurité STO). Il passe en “1” lorsque l'alimentation pilote est activée par le mo

dule de sécurité et en “0” lorsque l'alimentation pilote a été coupée via la fonction de sécurité STO.



2.10.2 Affichage de l’état au niveau du module de sécuritéLe module de sécurité est doté d'une LED sur la face avant pour indiquer l'état de la fonction de sécu

rité � paragraphe 5.4.1.

La LED d'état indique l'état de fonctionnement du module de sécurité. Les témoins doivent être utilisés

exclusivement pour le diagnostic et non comme des dispositifs de sécurité.

Lorsque plusieurs états entraînant un affichage existent simultanément, l'état doté de la priorité la plus

élevée est affiché, les priorités sont représentées dans Tab. 2.88.

L'affichage se fait par une lumière permanente ou un clignotement avec env. 3 Hz.

Témoins LED Message d'état Prio État du module desécurité

État interne

Clignote en

rouge

VOUT_ERROR = 1 7 “Erreur système” Le système entier se trouve

dans l'état “Erreur système”

ou “Erreur de com

munication”.� � � � �

est allumée en

rouge

VOUT_SCV = 1

VOUT_SFR = 1

6 “Safety Condition

Violated”, réaction à

l'erreur initiée

Dysfonctionnement d'une

des fonctions de sécurité

actuellement demandées au

moins.� � � � �

allumée en

jaune

VOUT_SSR = 1

VOUT_SFR = 1

5 “Safe State Reached”,

état sûr atteint

Toutes les fonctions de sécu

rité demandées se trouvent

dans l'état “État sûr atteint”.� � � � �

Clignote en

jaune

VOUT_SFR = 1 4 “Safety Function

Requested”

Le signal est actif dès qu'une

fonction de sécurité au mini

mum est demandée.

Il reste actif jusqu'à ce que

toutes les demandes soient

réinitialisées.

� � � � �

Clignote en

rouge/vert

VOUT_SERVICE = 1

VOUT_PS_EN = 1

3 “État à la livraison” L'état de livraison peut être

distingué de l'“état de

service” via VOUT_PS_EN.� � � � �

clignote en

vert

VOUT_SERVICE = 1

VOUT_PS_EN = 0

2 État de “Service” Pas de paramètres existants,

paramètres non valides ou

session de paramétrage en

cours.� � � � �

est allumée en

vert

VOUT_READY = 1

VOUT_PS_EN = 1

1 “Ready”, opérationnel Opérationnel, aucune

fonction de sécurité

demandée, aucune erreur.� � � � �

éteinte VOUT_READY = 0

VOUT_PS_EN = 0

0 “Initialisation en

cours”

Initialisation 1 : chargement

des paramètres, initialisation

2 : établissement de la com

munication.

� � � � �

Tab. 2.88 États du système et messages



2.10.3 Afficheur à 7 segments du contrôleur de moteurL'afficheur à 7 segments du contrôleur de moteur donne des informations supplémentaires

� paragraphe 5.4.2, par ex. :

– Affichage de la fonction de sécurité active.

– Affichage des messages d'erreur du module de sécurité avec des numéros d'erreurs univoques. Les

fonctions ARRÊT demandées au préalable (STO, SS1, SS2, SOS) possèdent une priorité d'affichage

plus importante que les fonctions de sécurité restantes � paragraphe 5.6.

– Affichage d'une session de paramétrage active.

2.11 Mémoire de diagnostic permanente et temporaire dans le contrôleurde moteur

Dans la mémoire permanente du contrôleur de moteur, les messages de diagnostic sont enregistrés

durablement (protection contre les pannes de courant). Cette mémoire se compose de 2 segments

remplis successivement. Lorsque les deux segments sont remplis, le segment antérieur est auto

matiquement supprimé. De cette manière, une mémoire quasi-circulaire est disponible pour les

messages enregistrés en permanence.

Le contrôleur de moteur gère une mémoire de diagnostic permanente stockée dans la mémoire non

volatile de l'appareil et qui reste ainsi disponible en cas de panne de courant / Power Off. La mémoire

de diagnostic permanente sert à l'enregistrement non volatile d'erreurs ou d'autres événements.

La mémoire de diagnostic permanente se compose de deux blocs décrits en alternance. Lorsqu'un bloc

est plein, l'autre bloc est supprimé. L'architecture de la mémoire implique que lors d'une remise à zéro,

la moitié des entrées enregistrées est perdue.

La mémoire de diagnostic permanente est utilisée à la fois par le module de sécurité et par le cont

rôleur de moteur. Les entrées du contrôleur de moteur sont à la charge de l'emplacement mémoire

intégral disponible. Aucun emplacement mémoire n'est réservé pour le module de sécurité.

L'état et les messages d'erreur sont saisis chronologiquement. Les entrées les plus anciennes sont

supprimées lorsqu'un bloc est plein.

Les événements suivants sont enregistrés dans la mémoire de diagnostic permanente en rapport avec

le module de sécurité :

– Ouverture d'une session de paramétrage (également tentative d'ouverture)

– Fermeture de la session de paramétrage

– Modification / réinitialisation du mot de passe

– Sauvegarde du bloc de paramètres dans le module de sécurité

– Erreurs et avertissements

– Validation des erreurs

– Demande d'une fonction de sécurité (activable)

L'enregistrement de la demande d'une fonction de sécurité peut être désactivé à l'usine,

et si besoin, il peut être activé via le paramètre P20.4A.

Une entrée dans la liste d'erreurs se présente comme suit dans le FCT :



N° N° d'incident

Fault Description (Description du défaut)

Daterelative

Constante

Free Parameter (Paramètres libres)

Type

1 00-21 Entrée journal issue du


580:15.03 0x0000 Erreur validée, source :

0x01, sans erreur

Erreur

2 00-8 Contrôleur mis sous ten

sion

580:15.00 0x0000 0x0000 Erreur

3 00-12 Remplacement du mo

dule : Module actuel

580:15.22 0x4830 CAMC-G-S3,

S/N : 1212820487,

rév. matérielle : 1.0,

rév. logicielle : 1.0

Erreur

4 00-11 Remplacement du mo

dule : Module précédent

580:15.22 0x48FF CAMC-DS-M1,

S/N : 3781764777,

rév. matérielle : 0.1,

rév. logicielle : 0.1

Erreur

... ... ... ... ... ... ...

Tab. 2.89 Exemple d'entrées dans la mémoire de diagnostic permanente de l'appareil de base avec

messages d'erreurs du module de sécurité

Une entrée dans la mémoire de diagnostic permanente comprend les informations suivantes :

– Numéro en cours

– Numéro d'état ou d'erreur, composé d'un index principal et d'un sous-index, avec description som

maire

– Paramètres de diagnostic sous forme hexadécimale :

1 x 16 bits Constante

1 x 32 bits Paramètres libres (signification en fonction de l'erreur)

– Horodatage, temps système actuel du compteur d'heures de service dans le contrôleur de moteur

Les messages d'erreur du module de sécurité comprennent, le cas échéant, des informations supplé

mentaires représentées dans un entrée suivante. Ainsi, l'entrée n° 2 comporte des informations supplé

mentaires sur l'entrée d'erreur n° 1.

Lors de demandes d'assistance, indiquer toujours l'information d'erreur complète,

notamment les paramètres de diagnostic et les entrées suivantes.

Les paramètres de diagnostic comprennent des informations internes, par ex. concernant

le module de programme et les conditions dans lesquelles s'est produite l'erreur. Ces

informations sont destinées au fabricant et peuvent - dans certaines conditions - s'avérer

utiles dans la résolution du problème.

Il est possible de lire la mémoire de diagnostic intégrale de l'appareil et de l'exporter vers

un fichier CSV. Le fichier comprend alors l'historique complet des erreurs de l'appareil et

peut être utilisé pour la clarification des erreurs ainsi que les demandes d'assistance.



2.12 Fonction de transfert

2.12.1 Périodes d'échantillonnage

Le module de sécurité fonctionne avec un enregistrement cyclique de l'ensemble des grandeurs d'ent

rée et de sortie.

L'enregistrement est effectué avec deux fréquences d'horloge fixes � Tab. 2.90.

Cadence Fréquenced'échantill

onnage

Temps decycle

Fonction

TSample typ. 8 KHz typ. 125 μs La séquence est synchronisée en interne sur le pas

d'échantillonnage de régulation de l'appareil de base, plage

TSample = 100 μs – 200 μs

– Enregistrement de l'ensemble des entrées et sorties

– Analyse des codeurs de position

– Calcul de filtre

– Génération des impulsions tests

– Communication interne

TLogic 500 Hz 2 ms Pas d'échantillonnage fixe pour les fonctions de sécurité

– Calcul des fonctions de sécurité

– Calcul des fonctions logiques

– Machine d'état, gestion des erreurs

– Passage de signaux LIN_x -> VOUT_x

Tab. 2.90 Périodes d'échantillonnage du module de sécurité

L'enregistrement des signaux d'entrée est ainsi soumis à un jitter maximal de TLogic +

TSample. Un signal d'entrée est enregistré immédiatement ou, au plus tard, après

2,125 ms. Le démarrage d'une fonction de sécurité est également soumis à ce jitter relatif

au signal d'entrée. Le jitter est pris en compte dans les temps de réaction spécifiés des

blocs fonctionnels individuels.

2.12.2 Temps de réaction en cas de demande d'une fonction de sécuritéLe temps de réaction du module de sécurité comporte trois composants (Fig. 2.38):

DOUT40A/BINPUT FILTER+LOGIC

Safety Functions

Safety Function

STO

Logic

......

...

LIN_D40

VIN_x_yLIN_x

VOUT_STO_SFR

VOUT_x

VOUT_STO_SSR

DIN40A/B Output Driver +Test Pulse Unit

Logic

LOUT_x

...

TI TL TO

Fig. 2.38 Temps de réaction du module de sécurité (représentation schématique, extrait de Fig. 2.3)



TI : durée comprise entre le changement de signal à l'entrée et la représentation de l'état d'entrée

dans le signal d'entrée logique LIN_x. La durée dépend des réglages du filtre d'entrée � parag

raphe 2.4.

TL : temps nécessaire pour l'exécution de la fonction logique ou de sécurité de LIN_x avant

l'émission de l'état dans VOUT_x. La durée dépend des réglages des fonctions logiques et de

sécurité, spécifiés aux � paragraphes 2.5 et 2.6.

TO : temps nécessaire pour l'émission des informations d'état VOUT_x au niveau des sorties numé

riques. La durée dépend du retard de commutation des sorties � paragraphe 2.8.

Si les signaux de sortie VOUT_x sont renvoyés aux entrées LIN_x, il faut noter l'apparition

d'un temps d'exécution supplémentaire de TLogic.

Exemple : utilisation des fonctions logiques étendues pour la demande d'une fonction de

sécurité, via le signal LIN_ALFx_OUT.

� Si possible, toutes les fonctions de sécurité doivent être demandées directement, afin

de minimiser les temps d'exécution.

Le temps de réaction en résultant avant l'exécution de la fonction de sécurité est déterminé comme suit :

Tres = TI + TL

Exemple : Demande de STO via DIN40, demande rapide P02.08 réglée

Temps de réaction Valeur min. Valeur max. Typique

Donnée pour TI pour DIN4x du Tab. 2.20, paragraphe 2.4.2


demande” = 1 (P02.08/P02.0D/P02.12/P02.17 = 1)

0,5 ms 2,5 ms 1,5 ms

Donnée pour TL pour STO du Tab. 2.29 paragraphe 2.5.1

Temps de réaction avant la coupure de l'alimentation pilote

de l'appareil de base et ARRÊT de l'étage de sortie

2,5 ms 4,5 ms 3,5 ms

Total : 3,5 ms 7,0 ms 5,0 ms

La durée avant le message d'état indiquant que la fonction de sécurité est demandée, se calcule

comme suit :

Tres = TI + TL + TO

Exemple : demande SOS via DIN40, P02.08 =0, P02.04 = 3 ms, P0B.00 = 2 ms


Données pour TI pour DIN4x du Tab. 2.20, paragraphe 2.4.2

Temps de réaction sans “Détection rapide de la demande”

et durée de filtrage de 3 ms

3,5 ms 5,5 ms 4,5 ms

Donnée pour TL pour SOS du Tab. 2.50, paragraphe 2.5.5

Émission de VOUT_SOS_SSR avec P0B.00 = 2 ms 4,0 ms 4,1 ms 4,0 ms

Donnée pour TO sur DOUT40 du Tab. 2.77, paragraphe 2.9.1


Total : 7,5 ms 12,1 ms 9,0 ms



2.12.3 Temps de réaction en cas de dysfonctionnement d'une fonction de sécuritéLe temps de réaction du module de sécurité lors de l'apparition de déplacements dangereux ou en cas

de défaillance d'un codeur de position, comporte également trois composants (Fig. 2.39):

DOUT40A/B

Safety Function

SS1

Logic

......

... VOUT_STO_SFR

VOUT_STO_SSR

Output Driver +Test Pulse Unit

Logic

...

TF TL TO

Fig. 2.39 Calcul de la vitesse et de l'accélération (représentation schématique, extraits de Fig. 2.5 et

Fig. 2.3)

TF : durée comprise entre l'apparition du déplacement dangereux et la représentation dans le mo

dule de sécurité (filtre pour les signaux de vitesse) ou durée avant la détection du codeur de

position défectueux � Tab. 2.10, paragraphe 2.3.4.

TL : temps nécessaire pour l'exécution de la fonction logique ou de sécurité de LIN_x en tenant

compte des éventuelles variations de temps admissibles, avant l'émission du signal d'erreur

VOUT_xxx_SCV � paragraphe 2.5.

TO : temps nécessaire pour l'émission des informations d'état VOUT_x au niveau des sorties numé

riques. La durée dépend du retard de commutation des sorties � paragraphe 2.8.

Détection d'un déplacement dangereux : le temps de réaction avant la détection interne au module du

non-respect se calcule comme suit :

Tres = TF + TL

Exemple : fonction de sécurité SSF0, marquée comme SLS, variation de temps admissible

P0E.03 = 4 ms

Configuration de capteur avec filtre de vitesse de rotation P06.08 = 8 ms


Détection du déplacement dangereux TF

Temporisation du signal dans le filtre de vitesse de

rotation, P06.08

8,0 ms 8,1 ms 8,0 ms

Fonction de sécurité SS0, TL

Temps de réaction en tenant compte de la variation de

temps admissible P0E.03

4,0 ms 6,0 ms 5,0 ms

Total : 12,0 ms 14,1 ms 13,0 ms

Détection d'un déplacement dangereux : la durée avant l'émission sûre du message d'état indiquant

que la fonction de sécurité n'est pas respectée, se calcule comme suit :

Tres = TF + TL + TO



Exemple : Comme auparavant, émission via DOUT40


Détection du déplacement dangereux TFTemporisation du signal dans le filtre de vitesse de

rotation, P06.08

8,0 ms 8,1 ms 8,0 ms

Fonction de sécurité SS0, TLTemps de réaction en tenant compte de la variation de

temps admissible P0E.03 = 4 ms

4,0 ms 6,0 ms 5,0 ms

Donnée pour TO sur DOUT40 du Tab. 2.77, paragraphe 2.9.1Durée de temporisation Ts 0,0 ms 2,5 ms 0,5 msTotal : 12,0 ms 16,6 ms 13,5 ms

Détection d'un déplacement dangereux : la durée comprise entre l'apparition d'un déplacement dange

reux et la réaction sur erreur (ici STO) ainsi que la désactivation sûre de l'étage de sortie, se calcule

comme suit :

Tres = TF + TL,SSF0 + TL,STO

Exemple : Comme auparavant, désactivation de l'actionneur via la réaction sur erreur STO


Détection du déplacement dangereux TFTemporisation du signal dans le filtre de vitesse de

rotation, P06.08

8,0 ms 8,1 ms 8,0 ms

Fonction de sécurité SS0, TLTemps de réaction en tenant compte de la variation de

temps admissible P0E.03 = 4 ms

4,0 ms 6,0 ms 5,0 ms

Donnée pour TL pour STO du Tab. 2.29 paragraphe 2.5.1Temps de réaction avant la coupure de l'alimentation pilote


2,5 ms 4,5 ms 3,5 ms

Total : 14,5 ms 18,6 ms 16,5 ms

Détection d'un codeur de position défectueux. La durée comprise entre l'apparition d'une erreur dans

le codeur de position et la réaction sur erreur (ici STO) ainsi que la désactivation sûre de l'étage de

sortie, se calcule comme suit :

Tres = TF + TL,STO

Exemple : Détection d'une erreur de capteur, désactivation de l'actionneur via la réaction sur

erreur STO


Détection de l'erreur du codeur TFDétection d'erreur dans l'analyse du codeur 10,0 ms 10,1 ms 10,0 msDonnée pour TL pour STO du Tab. 2.29 paragraphe 2.5.1Temps de réaction avant la coupure de l'alimentation pilote


2,5 ms 4,5 ms 3,5 ms

Total : 12,5 ms 14,6 ms 13,5 ms



2.12.4 Autres durées pour la détection d'erreurs et la communicationLes durées de temporisation / temps de réaction sur erreur supplémentaires correspondent à Tab. 2.91.

Description Temps TF max.

La fonction de sécurité est demandée, les variables d'état ne

sont pas disponibles → Condition de sécurité non respectée

2 ms

Entrée : détection d'une erreur “Stuck At”, absence d'impulsion

test

< 16 s

Sortie : détection d'une erreur “Stuck At”, absence d'impulsion

test

< 16 s

Entrées à deux canaux :

erreur d'équivalence / antivalence sur l'entrée

(temps de discordance)

Paramétrable, typiquement

100 ms (P02.05, P02.0A, P02.0F,

P02.14)

Terminal de dialogue à deux mains :

Atteinte au temps Simultanéité (temps de discordance)


500 ms (P02.03)

Sélecteur de mode de fonctionnement :

Dysfonctionnement 1-de-N (temps de discordance)


100 ms (P02.01)

Erreur RAM, erreur Flash, erreur Stack, erreur CPU, erreur

d'exécution du programme

Selon le type d'erreur 2 ms … 8 h

La comparaison croisée des données μC1 / μC2 fournit une

erreur

< 16 s

Tension de service défectueuse : durée qui s'écoule entre

l'apparition de l'erreur et le déclenchement de la réaction

≤ 2 ms

Codeur angulaire numérique : erreur de communication, erreur

à quatre cycles (packs EnDat erronés ou manquants)

≤ 2 ms

Autre codeur angulaire [X2B] : durée de temporisation pour la

transmission des données à partir de l'appareil de base

≤ 400 μs, typiquement 250 μs

Transmission des limites de consigne (les fonctions de sécurité

commandent les limites de consigne dans le contrôleur de

moteur)

≤ 2 ms

Tab. 2.91 Autres durées de temporisation / temps de réaction sur erreur

2.13 Micro-interrupteurs DIL

Des micro-interrupteurs DIL se trouvent sur la face avant du module de sécurité. Ils ne sont dotés d'au

cune fonction sécurisée. La signification des différents interrupteurs dépend de l'interface utilisée pour

la communication du bus de terrain.

Les micro-interrupteurs DIL permettent d'activer/désactiver la communication du bus de terrain et, par

exemple, de paramétrer une adresse d'abonné.

De plus amples informations sur le réglage des micro-interrupteurs DIL figurent dans le

� manuel de montage et d'installation, GDCP-CMMP-M3-HW-...

3 Montage et installation



3.1 Montage/démontage

Le module de sécurité CAMC-G-S3 est conçu exclusivement pour être intégré dans les contrôleurs de

moteur CMMP-AS-…-M3. Il ne peut fonctionner hors d'un contrôleur de moteur.

AvertissementDanger d'électrocution avec un module de sécurité non monté.

Tout contact avec des pièces conductrices d'électricité peut provoquer des blessures

graves, voire entraîner la mort.

Avant de toucher des pièces conductrices d'électricité lors des opérations de maintenance,

d'entretien et de nettoyage, ainsi que lors des arrêts prolongés de l'exploitation :

1. Mettre l'équipement électrique hors tension à l'aide de l'interrupteur général, puis

le sécuriser contre toute remise en marche.

2. Après la mise hors tension, attendre l'écoulement du temps de décharge pendant au

moins 5 minutes et vérifier l'absence de tension avant d'intervenir sur le contrôleur.

NotaEndommagement du module de sécurité ou du contrôleur de moteur dû à une

manipulation non conforme.� Avant de procéder aux travaux de montage et d'installation, couper toutes les ten

sions d'alimentation. Ne rebrancher les tensions d'alimentation qu'une fois les tra

vaux de montage et d'installation complètement terminés.

� Ne jamais retirer le module de sécurité du contrôleur de moteur lorsqu'il est sous

tension ni l'enficher !

� Respecter les consignes de manipulation des composants sensibles aux charges

électrostatiques. Ne pas toucher les composants et les pistes de la platine ni les

broches de la barrette de raccordement du contrôleur de moteur. Ne saisir le mo

dule de sécurité que par la plaque frontale ou le bord de la platine.



Montage du module de sécurité1. Glisser le module de sécurité dans les guidages.

2. Serrer les vis. Respecter le couple de serrage

0,4 Nm ± 10 %.

Résultat : La plaque frontale a un contact électrique avec le

boîtier.

Démontage du module de sécurité1. Dévisser les vis.

2. Dégager le module de sécurité en le soulevant légèrement

au niveau du panneau frontal ou en le déplaçant de

quelques millimètres au niveau du connecteur opposé et le

retirer de l'emplacement d'enfichage. Fig. 3.1 Montage/démontage



3.2 Installation électrique

3.2.1 Instructions de sécurité

AvertissementDanger dû à la perte de la fonction de sécurité !

Dans les installations de machines non impactées par des forces extérieures, il est gé

néralement admis que la perte d'énergie provoque un état sûr (principe du courant de

repos). Cela doit être démontré/confirmé par l'analyse du risque et des dangers pour

l'application.

Une fonction de sécurité manquante peut entraîner de graves et irréversibles blessures,

notamment en cas de mouvements incontrôlés des actionneurs reliés.

� Garantir une alimentation électrique sûre ou prévoir des mesures supplémentaires

adaptées à l'application.

Lors de l'installation, il convient de satisfaire les exigences de la norme EN 60204-1. Si cela s'avère

impossible, l'exclusion d'erreur peut par ex. s'effectuer au moyen d'un interrupteur de sécurité avec

détection des courts-circuits transversaux.

AvertissementDanger d'électrocution en cas d'utilisation de sources de tension sans protection.

� Utiliser exclusivement pour l’alimentation logique électrique des circuits électriques

TBTP selon EN 60204-1 (Très Basse Tension de Protection, TBTP).

� Tenir compte des exigences générales de la norme EN 60204-1 pour les circuits

électriques TBTP.

� Utiliser exclusivement des sources de tension qui garantissent une isolation

électrique fiable de la tension de service par rapport aux autres circuits électriques

actifs selon EN 60204-1.

L'utilisation des circuits électriques TBTP permet d'assurer la protection contre l'électrocution (protec

tion contre un contact direct ou indirect) selon EN 60204-1. Le bloc d'alimentation 24 V utilisé dans le

système doit maîtriser la coupure de tension définie dans la norme EN 60204-1.

Le raccordement des câbles s’effectue sur deux connecteurs mâles. Les câbles peuvent ainsi rester

raccordés dans les connecteurs mâles par ex. en cas de remplacement du module de sécurité.

S'assurer que des ponts ou autres ne peuvent être installés parallèlement au câblage de

sécurité, en utilisant notamment une section de conducteur maximale de 1,5 mm² ou des

cosses appropriées munies d'une gaine d'isolation.

Pour le bouclage de câbles entre des appareils rapprochés, utiliser des cosses doubles.

Protection contre l'électricité statiqueDu fait des connecteurs mâles non affectés, il existe un danger de dommage dû aux décharges électro

statiques (DES) sur l'appareil ou sur d'autres parties de l'installation. Mettre à la terre toutes les

parties de l'installation avant de procéder à l'installation du contrôleur et utiliser des équipements DES

adaptés (par ex. bandes de mise à la terre, etc.).



3.2.2 Terre du systèmeEn cas d'utilisation d'un câble de connexion blindé pour [X40] :

La partie non blindée du câble doit être aussi courte que possible ( 50 mm), utiliser une bande de

mise à la terre courte avec une fiche mâle plate de 6,3 mm pour le raccordement de blindage.

Raccorder la fiche mâle plate pour le raccordement de blindage au raccordement pour la mise à la terre

fonctionnelle prévu à cet effet (� Fig. 2.1 au paragraphe 2.1.4, raccordement 7 ).

3.2.3 Raccordement [X40]Le module de sécurité CAMC-G-S3 possède sur la face avant une interface combinée pour la commande

et le signal de retour via un connecteur enfichable [X40].

– Version sur l'appareil : PHOENIX MINICOMBICON MC 1,5/8-GF-3,81 BK

– Connecteur mâle (fourni à la livraison) : PHOENIX MINICOMBICON MC 1,5/8-STF-3,81 BK

Le jeu de connecteurs mâles opposé, composé des connecteurs mâles opposés pour X40A et

X40B peut également être commandé séparément : Assortiment de connecteurs NEKM-C-9.



Connecteur mâle Broche

Désignation Description (réglage à l'usine1))

X40A X40B Connecteur mâle X40A

1 DIN40A Entrée numérique 40 à deux canaux

(réglage à l'usine : Interrupteur d'arrêt d'urgence,

demande de STO et SBC)2 DIN40B


4 DIN42B

5 DOUT40A Sortie numérique 40 à deux canaux

6 DOUT40B

7 DIN 44 Entrée numérique 44

(réglage à l'usine : Retour d'information du frein)

8 DIN 45 Entrées numériques 45, 46, 47

(réglage à l'usine : Sélecteur de mode de fonctionnement)9 DIN 46

10 DIN 47


(réglage à l'usine : Validation des erreurs).


(réglage à l'usine : Fonction de sécurité Terminer en cas de

flanc ascendant).

Connecteur mâle X40B


14 DIN41B


16 DIN43B


18 DOUT41B


20 DOUT42B

21 C1 Contact de signalisation, contacts de relais

(réglage à l'usine : État sûr atteint, aucune violation de

condition de sécurité).

– Ouvert : “Fonctions de sécurité désactivées”

– Fermé : “Fonctions de sécurité activées”

22 C2

23 GND24 0 V, potentiel de référence pour DINx / DOUTx / +24 V

24 +24 V Sortie 24 V, alimentation auxiliaire, par ex. pour les périp

hériques sécurisés

(alimentation logique 24 V DC du contrôleur de moteur).

1) Fonctionnement dans l'état à la livraison ou après réinitialisation sur le réglage à l'usine (préparamétrage)

Tab. 3.1 Affectation du connecteur [X40]



Pour assurer les fonctions de sécurité, raccorder les entrées de pilotage à deux canaux via un câblage

parallèle, voir par exemple Fig. 3.2.

3.2.4 Câblage minimal pour la première mise en service [X40]

NotaPerte de la fonction de sécurité !



� Avant la première mise en service, définir quelles fonctions de sécurité sont requises

pendant la phase de mise en service afin de garantir la sécurité de l'installation

également dans cette phase avant la livraison.

En règle générale, une fonction d'arrêt d'urgence sûre est requise au minimum !

La mise en service selon la directive Machines désigne le premier usage normal de la

machine par le client final. Dans le cas présent, cela désigne la mise en service par le

fabricant de la machine pendant le montage de la machine.

Si un câblage conforme aux normes de sécurité n'existe pas (encore) pendant la phase de mise en

service, installer un module de micro-interrupteurs CAMC-DS-M1. Le CAMC-G-S3 peut être monté dans

le contrôleur de moteur uniquement après la mise en service fonctionnelle des axes.

Si seules les fonctions de sécurité STO et SBC sont requises lors de la phase de mise en service (arrêt d'ur

gence), la première mise en service du contrôleur de moteur CMMP-AS-...-M3 doit s'effectuer avec le module

de sécurité CAMC-G-S3 avec un circuit minimal conformément à la Fig. 3.2 (� paragraphe 3.3.1) avec un

interrupteur d'arrêt d'urgence ( 2 ). Utiliser pour ce faire un module de sécurité dans “l'état à la livraison”

(clignote en rouge/vert � � � � � ), � paragraphe 2.10.2, Tab. 2.88). Dans l'état à la livraison, les

fonctions de sécurité STO et SBC sont déjà préparées.

NotaLes fonctions de sécurité ne doivent en aucun cas être court-circuitées.

Exécuter les circuits minimaux pour la première mise en service de sorte à devoir obligatoirement les

retirer lorsque le circuit de sécurité définitif sera installé.

D'autres exemples de circuits sont décrits en détail dans les paragraphes suivants.



3.3 Exemples de circuits

Un contrôleur de moteur monophasé CMMP-AS-C...-3A-M3 est représenté dans chacun

des exemples de circuits suivants. Pour les contrôleurs de moteurs triphasés, le câblage

de [X9] doit être ajusté en conséquence.

Un seul dispositif d'entrée / de commutation est représenté. Il est néanmoins possible

d'utiliser les quatre entrées à deux canaux pour la demande des fonctions de sécurité !

NotaLes exemples de circuits suivants utilisent en partie des capteurs passifs, comme par

ex. des interrupteurs d'arrêt d'urgence surveillés via des signaux d'horloge externes.

Les signaux numériques du module de sécurité doivent être utilisés tant que source

pour ces signaux d'horloge. La détection des erreurs suivantes est ainsi possible :

– Courts-circuits entre les entrées A et B, dans le circuit de sortie (DOUT4x) et dans le

circuit d'entrée (DIN4x).

– Courts-circuits 0 V ou +24 V d'un câble.

Les courts-circuits entre l'entrée et la sortie d'un capteur passif ne sont pas détectés ou

sont détectés uniquement lors de l'activation (via la surveillance de discordance). Lors

du câblage du système, il convient de prévoir des mesures permettant d'éviter cette

erreur (exclusion d'erreur).



3.3.1 Demande de sécurité via les appareils avec contacts de commutationLa fonction de sécurité (par ex. STO – couple désactivé de manière sûre ou SS1 – arrêt sûr 1) est dé

clenchée par un dispositif d'entrée dédié à la demande de sécurité. La demande de sécurité est effec

tuée sur 2 canaux via le dispositif d'entrée S1 et entraîne la coupure sur 2 canaux de l'étage de sortie

du contrôleur de moteur.

n

T1Festo CMMP-AS-...-3A-M3

avec CAMC-G-S3

1 2 7 8 9

L

PE

+24

V

GN

D 2

4 V

n

-X9

219

DIN

4

DIN

5-X

1

-X40

21 22

C1 C2

S1S1 1

2

1

42

1 2

DIN

40A

DIN

40B

19 20

DO

UT4

2A

DO

UT4

2B

13

14

12

DIN

49

S3

11

DIN

48

S2

L

PE

24 V DC0 V DC

13

14

33

4

Seuls les raccordements pertinents sont indiqués

Entr

ée A

PI :

Mes

sage

de

reto

ur d

e sé

curi

té T

1S

orti

e A

PI :

Act

ivat

ion

duré

gula

teur

T1

Sor

tie

API

: A

ctiv

atio

n de

l'éta

ge d

e so

rtie

T1

1

2

3

1 T1 : contrôleur de moteur avec module desécurité (seuls les raccordements pertinentssont illustrés)

2 S1 : dispositif d'entrée, par ex. interrupteurd'arrêt d'urgence

3 S1 : dispositif d'entrée, par ex. porte deprotection

Fig. 3.2 Exemple de circuits avec contacts de commutation

Indications concernant l'exemple de circuit :– Une détection de court-circuit transversal est effectuée par le module de sécurité CAMC-G-S3 dans

le circuit d'entrée pour les interrupteurs S1, le bouton-poussoir de validation S2 et pour le bouton-

poussoir de mise en route S3.

– La remise en marche s'effectue avec l'activation du bouton-poussoir de mise en route S3.

– Si le module de sécurité CAMC-G-S3 détecte le non-respect d'une condition de sécurité ou la pré

sence d'une erreur, par ex. dans le câblage de raccordement, il passe à l'état de dysfonctionnement.

La validation des erreurs s'effectue via le bouton-poussoir de validation S2.

– Le contact d'accusé de réception C1/C2 doit être interrogé via la commande.

– Le circuit d'entrée présente une structure à 2 canaux adaptée à la catégorie 4.

– En fonction du domaine d'application et du concept de sécurité de la machine, des mesures supplé

mentaires sont nécessaires.



3.3.2 Demande de sécurité via les appareils avec sorties semi-conductricesLa fonction de sécurité peut être demandée par différents appareils. L'interrupteur S1 peut consister

en un rideau lumineux ou un dispositif de coupure de sécurité avec sorties semi-conductrices. La

demande de sécurité est effectuée sur 2 canaux via l'interrupteur S1. Si la fonction de sécurité est

active, cela est émis par le contact libre de potentiel C1/C2 comme dans l'exemple.

1 2 7 8 9

L

PE

+24

V

GN

D 2

4 V

n

-X9

219D

IN 4

DIN

5-X

1

-X40

21 22

C1 C2

1 2

DIN

40A

DIN

40B

19 20

DO

UT4

2A

DO

UT4

2B

Expéditeur Récepteur

OSS

D1

OSS

D2

S1 1

42

13

14

12

S3

DIN

49

11

S2D

IN 4

8

n


avec CAMC-G-S3

L

PE

24 V DC0 V DC


Entr

ée A

PI :

Mes

sage

de

reto

ur d

e sé

curi

té T

1S

orti

e A

PI :

Act

ivat

ion

duré

gula

teur

T1

Sor

tie

API

: A

ctiv

atio

n de

l'éta

ge d

e so

rtie

T1

13

14

3

1

2


2 S1 : dispositif d'entrée, par ex. barrièrephotoélectrique

Fig. 3.3 Exemple de circuit d'appareil avec sorties semi-conductrices

Indications concernant l'exemple de circuit :

– Dans le circuit d'entrée pour l'interrupteur S1, la détection de court-circuit transversal s'effectue via

le rideau lumineux S1.

– Une détection de court-circuit transversal est effectuée par le module de sécurité CAMC-G-S3 dans le

circuit d'entrée pour le bouton-poussoir de mise en route S3 et le bouton-poussoir de validation S2.

– La remise en marche s'effectue avec l'activation du bouton-poussoir de mise en route S3 et du

bouton-poussoir de validation S2.




– Le contact d'accusé de réception C1/C2 doit être interrogé via la commande.






3.3.3 Demande de sécurité via un dispositif de coupure de sécuritéSi plus de quatre dispositifs de commande de sécurité (S1) sont requis ou en cas d'utilisationnécessaire d'une commande de sécurité de niveau supérieur, le contrôleur de moteur (T1) peut également être commandé par le biais d'autres dispositifs de commande de sécurité.La fonction de sécurité peut être demandée par différents appareils. La demande de sécurité est effectuée sur 2 canaux via l'interrupteur S1 et est analysée par le dispositif de coupure de sécurité S2 (relaisde sécurité, API de sécurité). Si la fonction de sécurité est active, cela est émis par le contact libre depotentiel C1/C2 comme dans l'exemple.

1 2 7 8 9

L

PE

+24

V

GN

D 2

4 V

n

-X9

219

DIN

4

DIN

5-X

1

-X40

21 22

C1 C2

1 2

DIN

40A

DIN

40B

19

DO

UT4

2A

T2 1

42

S1

Expéditeur Récepteur

OS

SD

1

OS

SD

2

S1

S1

20

DO

UT4

2B

13

14

11

S2

DIN

48

3

n


avec CAMC-G-S3

L

PE

24 V DC0 V DC


Sor

tie

API

: A

ctiv

atio

n du

régu

late

ur T

1S

orti

e A

PI :

Act

ivat

ion

del'é

tage

de

sort

ie T

1

Bloc logiquede sécurité

Circ

uit

d’en

trée

Circ

uit

de r

etou

rd'

info

rmat

ion

1

2

3

4

5

PE


2 S1 : dispositif de coupure de sécurité

3 S1 : barrière photoélectrique4 S1 : porte de protection5 S1 : interrupteur d'arrêt d'urgence

Fig. 3.4 Exemple de circuit avec dispositif de coupure de sécurité

Indications concernant l'exemple de circuit :

– Dans le circuit d'entrée pour l'interrupteur S1, la détection de court-circuit transversal s'effectue via

le dispositif de coupure de sécurité T2. Si un bouton-poussoir de mise en route est nécessaire pour

l'application, celui-ci est raccordé sur le dispositif de coupure de sécurité T2. Pour le bouton-

poussoir de validation S2, une détection de court-circuit transversal est effectuée par le module de

sécurité CAMC-G-S3.



– Les fonctions de sécurité dans le CAMC-G-S3 sont paramétrées sur “Remise en marche automatique

après suppression de la demande” en cas d'utilisation d'un dispositif de coupure de sécurité externe.




– Le contact d'accusé de réception C1/C2 est également intégré dans la boucle de retour du dispositif

de coupure de sécurité.






3.3.4 Enchaînement de plusieurs CMMP-AS-…-M3 avec le CAMC-G-S3La fonction de sécurité est déclenchée par un dispositif d'entrée dédié à la demande de sécurité pourles deux contrôleurs de moteur. La demande de sécurité est effectuée sur 2 canaux via le dispositifd'entrée S1 et entraîne la coupure sur 2 canaux de l'étage de sortie des contrôleurs de moteur T1 et T2.Lorsque l'état sûr est atteint dans les deux contrôleurs de moteur, ceci est émis par le contact libre depotentiel C1-C2 des contrôleurs de moteur T1 et T2.

12

78

9

L

PE

+24 V

GND 24 V

n

-X9

219

DIN 4

DIN 5-X1

-X40

21 2

2

C1

C2

S11 2 1

2

DIN40A

DIN40B

19 2

0

DOUT42A

DOUT42B

13

12

78

9

L

PE

+24 V

GND 24 V

n

-X9

219

DIN 4

DIN 5-X1

-X40

C1

C2

12

DIN40A

DIN40B19

20

DOUT42A

DOUT42B

12 DIN 49

5 DOUT40A

DOUT40B

14

12

S3

DIN 49

13 14

11

S2

DIN 48

11 DIN 48

21 2

25

6DOUT40A

DOUT40B

13 1

4

DIN41A

DIN41B

3 4

n

T2Fe

sto

CMM

P-A

S-.

..-3A

-M3

avec

CA

MC-

G-S

3

L PE

24 V

DC

0 V

DC

Seu

ls le

s ra

ccor

dem

ents

per

tine

nts

sont

indi

qués

Sortie API : Activation du régulateur T2

Sortie API : Activation del'étage de sortie T2

Dis

posi

tif

d'en

trée

dédi

é à

lade

man

dede

séc

urit

é

Entrée API : Message de retour desécurité T1 et T2

Sortie API : Activation durégulateur T1

Sortie API : Activation del'étage de sortie T1

T1Fe

sto

CMM

P-A

S-.

..-3A

-M3

avec

CA

MC-

G-S

3

Seu

ls le

s ra

ccor

dem

ents

per

tine

nts

sont

indi

qués

6

1

2

1

1 T1/T2 : contrôleur de moteur avec module desécurité (seuls les raccordements pertinentssont illustrés)

2 S1 : dispositif d'entrée dédié à la demandede sécurité

Fig. 3.5 Exemple de circuit composé de plusieurs CMMP-AS-…-M3 avec CAMC-G-S3




T1 dans le circuit d'entrée pour les dispositifs d'entrée dédiés à la demande de sécurité S1, pour le

bouton-poussoir de validation S2 et pour le bouton-poussoir de mise en route S3.


– Le contrôleur de moteur T1 doit transmettre la demande de sécurité via DOUT40A/B au contrôleur

de moteur T2, qui réagit également à la demande de sécurité.

– Le contrôleur de moteur T2 doit renvoyer une demande de sécurité au contrôleur de moteur T1.

– Les contacts d'accusé de réception C1, C2 de T1 et T2 sont branchés en série, le signal doit être

interrogé via la commande. Si une demande de sécurité s'est produite, la commande doit réagir de

façon appropriée (par ex. pour SLS, les valeurs de consigne doivent être diminuées, pour SS1

l'activation du régulateur doit être annulée).









3.3.5 Commande d'une unité de blocageLa fonction de sécurité (par ex. STO – couple désactivé de manière sûre ou SS1 – arrêt sûr 1) est dé



du contrôleur de moteur. L'unité de blocage est à la fois activée et surveillée.

1 2 7 8 9

L

PE

+24

V

GN

D 2

4 V

n

-X9

219

DIN

4

DIN

5-X

1

-X40

21 22

C1 C2

S1 1

2

1 2

DIN

40A

DIN

40B

7

DIN

44

12B

R -

BR

+-X

6

19 20

DO

UT4

2A

DO

UT4

2B

13

14

12

S3

DIN

49

11

S2

DIN

48

n


avec CAMC-G-S3

L

PE

24 V DC0 V DC


Entr

ée A

PI :

M

essa

ge d

e re

tour

de

sécu

rité

T1

Sor

tie

API

:

Act

ivat

ion

du

régu

late

ur T

1S

orti

e A

PI :

A

ctiv

atio

n de

l'ét

age

de s

orti

e T1

Dispositifd'entréedédié à lademandede sécurité

3

4

13

14

1

2

3

Y1

1

2

V1

p

S4

3



3 V1/Y1 : soupape et unité de blocageS4 : manocontact pour la surveillance de lacommande de l'unité de blocage

Fig. 3.6 Exemple de circuit de l'unité de blocage


le circuit d'entrée pour les dispositifs d'entrée dédiés à la demande de sécurité S1, pour le bouton-

poussoir de validation S2 et pour le bouton-poussoir de mise en route S3.


– Le contact d'accusé de réception C1, C2 doit être interrogé via la commande. Si une demande de

sécurité s'est produite, l'activation du régulateur doit être annulée.




– L'unité de blocage est commandée via la sortie BR+/BR- du contrôleur de moteur (T1) et surveillée

via l'interrupteur S4 du module de sécurité CAMC-G-S3. (Nota : des manocontacts actifs sont utili



sés à cet effet, détection de court-circuit avec DOUT42 impossible !). La surveillance indirecte

indiquée requiert un test de fonctionnement régulier de l'unité de blocage.

– La surveillance de l'unité de blocage contrôle uniquement l'activation de l'unité de blocage et ne

vérifie pas si le coefficient de frottement de l'unité de blocage est suffisamment important pour que

cette dernière puisse encore fonctionner de manière conforme.

– Dans l'unité de blocage, l'exemple de circuit présente une structure à un canal surveillée, qui

convient pour un test de fonctionnement de l'unité de blocage jusqu'à la catégorie 2.



3.3.6 Commande d'une unité de blocage à 2 canauxLa fonction de sécurité (par ex. STO – couple désactivé de manière sûre ou SS1 – arrêt sûr 1) est dé



du contrôleur de moteur. Les unités de blocage sont à la fois activées et surveillées.

1 2 7 8 9

L

PE

+24

V

GN

D 2

4 V

n

-X9

219

DIN

4

DIN

5-X

1

-X40

21 22

C1 C2

S1 1

2

1 2

DIN

40A

DIN

40B

14

DIN

41B

19 20

DO

UT4

2A

DO

UT4

2B

13

14

12

S3

DIN

49

11

S2

DIN

48

19

DO

UT4

1A

DO

UT4

1B

n


avec CAMC-G-S3

L

PE

24 V DC0 V DC


Entr

ée A

PI :

M

essa

ge d

e re

tour

de

sécu

rité

T1

Sor

tie

API

:

Act

ivat

ion

du

régu

late

ur T

1

Sor

tie

API

:

Act

ivat

ion

de l'

étag

e de

sor

tie

T1


13

14

3

4

1

2

3

V2

p

1

2

13

2

Y1S4

p

S5

V1

13

DIN

41A

19

3



3 V1/V2/Y1 : soupapes et unité de blocage à2 canaux S4/S5 : manocontacts pour lasurveillance de la commande de l'unité deblocage

Fig. 3.7 Exemple de circuit de l'unité de blocage à 2 canaux




le circuit d'entrée pour les dispositifs d'entrée dédiés à la demande de sécurité S1, pour le bouton-

poussoir de validation S2 et pour le bouton-poussoir de mise en route S3.





– Les unités de blocage sont commandées via la sortie à deux canaux DOUT41A/DOUT41B du module

de sécurité.

– Si les soupapes dédiées aux unités de blocage nécessitent plus de courant que DOUT41 ne peut en

fournir, un relais adapté (avec contacts forcés et message de retour) doit être interconnecté. Il faut

également vérifier si la sortie BR+/BR- du contrôleur de moteur T1 peut être utilisée.

– Le fonctionnement des unités de blocage est surveillé via les manocontacts S4 et S5 du module de

sécurité (nota : des manocontacts actifs sont utilisés à cet effet, détection de court-circuit avec

DOUT41 impossible !). La surveillance indirecte indiquée requiert un test de fonctionnement ré

gulier de l'unité de blocage.

– La surveillance de l'unité de blocage contrôle uniquement l'activation de l'unité de blocage et ne

vérifie pas si le coefficient de frottement de l'unité de blocage est suffisamment important pour que

cette dernière puisse encore fonctionner de manière conforme.

– Dans l'unité de blocage, l'exemple de circuit présente une structure à 2 canaux, qui convient pour

un test de fonctionnement de l'unité de blocage jusqu'à la catégorie 3.



3.3.7 Raccordement de codeurs pour fonctions de sécurité dynamiquesLa surveillance via les codeurs s'effectue par le biais des connecteurs mâles [X2A], [X2B] et [X10]. Selon

les valeurs de mesure incrémentielles ou absolues disponibles, il est possible d'effectuer des surveil

lances de la vitesse et d'arrêt.

Dans le mode de fonctionnement “Automatique”, la fonction de sécurité (par ex. STO – couple désacti

vé de manière sûre ou SS1 – arrêt sûr 1) est déclenchée par un dispositif d'entrée dédié à la demande

de sécurité.

La fonction de sécurité “Vitesse limitée de manière sûre (SLS)” est demandée via le sélecteur de mode

de fonctionnement S6 en position “Manuelle”.

La demande de sécurité est effectuée sur 2 canaux via le dispositif d'entrée S1 et entraîne la coupure

sur 2 canaux de l'étage de sortie du contrôleur de moteur. Si la coupure de l'étage de sortie se produit,

cela est émis par le contact libre de potentiel C1/C2 du contrôleur de moteur.



1 2 7 8 9

L

PE

+24

V

GN

D 2

4 V

n

-X9

219

DIN

4

DIN

5-X

122

C2

-X2B

-X10

n1 M1

n2

8 9

DIN

46

DIN

45

S6

Man.Auto

11

12 14

21

C1

-X40

S1 13

24

1 2

DIN

40A

DIN

40B

19 20

DO

UT4

2A

DO

UT4

2B

13

14

12

S3

DIN

49

11

S2D

IN 4

8

13

14

n


avec CAMC-G-S3

L

PE

24 V DC0 V DC


Entr

ée A

PI :

M

essa

ge d

e re

tour

de s

écur

ité

T1S

orti

e A

PI :

A

ctiv

atio

n du

rég

ulat

eur

T1S

orti

e A

PI :

A

ctiv

atio

n de

l'ét

age

deso

rtie

T1


1

2

3

4



3 n1 : codeur dans le servomoteur sur X2B4 n2 : codeur sur X10

Fig. 3.8 Exemple de circuit d'un codeur avec fonctions de sécurité dynamiques

Indications concernant l'exemple de circuit :– Les codeurs doivent être adaptés aux applications de sécurité.– La surveillance sûre de la vitesse (SLS, SSR, SS1, etc.) ainsi que la surveillance de position arrêtée

via SS2 et SOS sont possibles au moyen de codeurs avec des signaux strictement incrémentiels.– Une détection de court-circuit transversal est effectuée par le module de sécurité CAMC-G-S3 dans

le circuit d'entrée pour les dispositifs d'entrée dédiés à la demande de sécurité S1, pour le bouton-poussoir de validation S2, pour le bouton-poussoir de mise en route S3 et pour le sélecteur demode de fonctionnement S6.

– La remise en marche s'effectue avec l'activation du bouton-poussoir de mise en route S3.– Le contact d'accusé de réception C1, C2 doit être interrogé via la commande. Si une demande de


3.3.8 Commande d'un bloc de commande de soupape à 2 canaux avec fonctions de sécuritéLa fonction de sécurité (par ex. pour le contrôleur de moteur, STO – couple désactivé de manière sûreou SS1 – arrêt sûr 1 ; pour le bloc de commande de soupape, ventilation sûre ou inversion sûre) estdéclenchée par un dispositif d'entrée dédié à la demande de sécurité pour le contrôleur de moteur et lebloc de commande avec fonction de sécurité. La demande de sécurité est effectuée sur 2 canaux via ledispositif d'entrée S1 et entraîne la coupure sur 2 canaux de l'étage de sortie du contrôleur de moteuret du bloc de commande.



12

78

9

L

PE+24 VGND 24 V

n

-X40

219

DIN 4

DIN 5

21 2

2

C1C2

17

18

DOUT41A

DOUT41B

7 DIN 44

K1

K1K2

K2

41 4241 42

K1K2

V1

1 4

GND

3V

2E2

E1

GND

33

4

DIN42ADIN42B

-X9

S1

1 2 12

DIN40A

DIN40B

19 2

0

DOUT42ADOUT42B

13 14

12

S3

DIN 49

11

S2

DIN 48

3 4

13 14

-X1

13 14

13 14

n

Y1 Fest

o V

OFA

-...

L PE

24 V

DC

0 V

DC

Sortie API : Activation durégulateur T1

Sortie API : Activation de l'étagede sortie T1

Dis

posi

tif

d'en

trée

dédi

é à

lade

man

dede

séc

urit

é

Entrée API : Message de retourde sécurité T1

T1Fe

sto

CMM

P-A

S-.

..-3A

-M3

avec

CA

MC-

G-S

3S

euls

les

racc

orde

men

ts p

erti

nent

s so

nt in

diqu

és

1 4

1

2

3



3 Y1 : bloc de commande à deux canaux

Fig. 3.9 Exemple de circuit d'un bloc de commande à 2 canaux avec fonctions de sécurité




le circuit d'entrée pour les interrupteurs S1, le bouton-poussoir de validation S2 et pour le bouton-

poussoir de mise en route S3.





– Les entrées DIN42A/B doivent être configurées de manière à surveiller l'activation et la

désactivation du bloc de commande V1. Un montage en série vers les contacts de mise à la terre

41/42 des contacteurs K1 et K2 est impossible puisque c'est également le cas pour les capteurs de

proximité inductifs utilisés.

– Le contact d'accusé de réception C1, C2 doit être interrogé via la commande. Si une demande de





4 Mise en service


4 Mise en service

Ce chapitre décrit la mise en service du module de sécurité. Des informations sur la mise

en service du contrôleur de moteur sont disponibles ici :

� Description matérielle “Montage et installation” GDCP-CMMP-M3-HW-...

� Aide relative au PlugIn FCT CMMP-AS.

NotaDans la présente documentation, la mise en service ne désigne pas le premier usage

normal par l'utilisateur final, mais la mise en service par le fabricant de la machine

pendant le montage de la machine.

NotaPerte de la fonction de sécurité !

Des fonctions de sécurité manquantes peuvent entraîner de graves et irréversibles

blessures, notamment en cas de mouvements incontrôlés des actionneurs reliés.

� Utiliser le module de sécurité uniquement dans les conditions suivantes :

– s'il est monté,

– après le paramétrage complet du module de sécurité,

– lorsque toutes les mesures de protection, y compris la fonction de sécurité ont

été installées et après vérification de leur bon fonctionnement.

� Valider la fonction de sécurité au terme de la mise en service � paragraphe 4.8.

Un câblage défectueux, l'utilisation d'un module de sécurité inadéquat ou de compo

sants externes non sélectionnés en fonction de la catégorie de sécurité, sont des causes

de perte de fonction de sécurité.

� Procéder à une analyse du risque pour l'application et sélectionner le circuit et les composants de

manière appropriée.

� Tenir compte des exemples � paragraphe 3.3.

4 Mise en service


4.1 Avant la mise en service

Pour préparer la mise en service, se conformer aux étapes suivantes :

1. S'assurer que le module de sécurité est correctement installé (� paragraphe 3.1).

2. Vérifier l'installation électrique (câbles de raccordement, affectation des contacts � paragraphe

3.2). Tous les conducteurs de protection PE sont-ils raccordés ?

4.2 Réglage des micro-interrupteurs DIL

Des micro-interrupteurs DIL permettant d'activer et de commander la configuration du bus se trouvent

sur le module de sécurité. La fonctionnalité des micro-interrupteurs DIL est identique à celle de tous les

modules dans l'emplacement d'enfichage Ext3 et elle dépend de l'interface de bus utilisée.

Régler les micro-interrupteurs DIL comme décrit dans la description matérielle “Montage

et installation” GDCP-CMMP-M3-HW-... ou dans la documentation spécifique au bus

correspondante, � Tab. 3, page 11.

4 Mise en service


4.3 Consignes pour le paramétrage avec le plug-in FCT CMMP-AS

Avant le paramétrage du module de sécurité avec le SafetyTool, paramétrer intégralement le contrôleur

de moteur à l'aide du PlugIn FCT CMMP-AS.

Les paragraphes suivants contiennent quelques instructions qu'il conviendra de respecter en asso

ciation avec le module de sécurité.

De plus amples informations relatives à la mise en service avec FCT figurent dans l'aide

relative au PlugIn CMMP-AS ou, le cas échéant, dans la description Fonctions du

CMMP-AS-...-M3, GDCP-CMMP-M3-FW-...

4.3.1 Paramétrage de la configurationProcéder à la conception du module de sécurité dans le FCT sur la page “Configuration” du PlugIn CMMP-AS :

– Aucune configuration de l'actionneur disponible : bouton “Create a new Drive Configuration”

(“Créer une nouvelle configuration d'actionneur”).

– Configuration de l'actionneur disponible : bouton “Modify” (“Modifier”).

� Ensuite, sélectionner dans la fenêtre “Create Drive Configuration” (“Créer la configuration de

l'actionneur”) ou “Edit Drive Configuration” (“Modifier la configuration de l'actionneur”) le module

de sécurité utilisé pour l'emplacement d'enfichage optionnel Ext3.

Fig. 4.1 PlugIn FCT CMMP-AS : “Edit/Create Drive Configuration” (“Modifier/créer la configuration

de l'actionneur”)

Dans la suite du paramétrage du contrôleur de moteur, il convient de valider explicitement le module de

sécurité en mode en ligne � paragraphe 4.3.4.

4.3.2 Réglage de la configuration du codeurLa surveillance sûre de la vitesse, par ex. pour SLS, et de la position, par ex. pour SOS, requiert des

capteurs appropriés pour la détection de position.

Pour obtenir des informations sur les codeurs requis, se reporter au paragraphe 2.2.5.

Respecter le Tab. 2.7 avec les combinaisons de codeurs admissibles.

Le premier codeur est défini par la sélection du moteur dans la configuration de l'actionneur. Les informa

tions sont affichées sur la page “Motor” (“Moteur”), onglet “Angle Encoder” (“Codeur angulaire”).

Sélectionner l'interface du deuxième codeur sur la page “Measuring Systems” (“Systèmes de me

sure”), onglet “Common” (“Généralités”) section “Monitoring” (“Surveillance”).

Ensuite, configurer le codeur dans l'onglet correspondant de l'interface sélectionnée.

4 Mise en service


4.3.3 Définitions des unités de mesure (en option)Les unités de mesure dans le PlugIn FCT CMPP-AS sont définies avec les réglages suivants :

– Sélection de l'axe – unités linéaires ou rotatives.

– Option : adaptation des unités de mesure (menu [Composants] [Unités de mesure]) – unités mé

triques/impériales (mm/pouce), chiffres après la virgule.

4.3.4 Reprise du module de sécuritéPour la sécurité fonctionnelle, il existe la demande de reproductibilité des modifications. Afin de pou

voir le garantir, des données relatives au type de module, au numéro de série et à la révision sont

enregistrées sur le module de sécurité. Les données sont lues dans le contrôleur de moteur et enregist

rées durablement lors de la reprise du module. Ainsi, il est possible de détecter une modification des

composants.

Des informations relatives aux versions figurent sur la page “Device Information” (“Informations sur les

appareils”) en mode en ligne.

Page “Device Information” (“Informations sur les appareils”)

ContrôleurType de contrôleur Type du contrôleur de moteur (appareil de base).Version du matériel Version du matériel du contrôleur de moteur.Version du microprogramme Version progicielle du contrôleur de moteur.Numéro de série Numéro de série du contrôleur de moteur.

Emplacement d'enfichage optionnel Ext3Type de module Type du module : CAMC-G-S3 : module de sécurité.Révision générale Révision générale du module de sécurité, par ex. 1.0.Numéro de série Numéro de série du module de sécurité, par ex. 1212820487.

Tab. 4.1 Page “Controller“ (“Contrôleur”) – Informations sur les versions

Reprise du module de sécuritéLa détection d'une modification non autorisée, par ex. un changement de module, déclenche une

erreur impossible à valider. Afin de remettre en marche l'application à l'aide du contrôleur de moteur, la

modification doit être “configurée”. En d'autres termes, la modification doit être explicitement prise en

charge ou confirmée. En ce qui concerne les modules de sécurité ou de micro-interrupteurs, il s'agit

d'un changement de module en cas de modifications reproductibles.

Pour le remplacement du module, les règles suivantes s’appliquent :– un remplacement d'un module de micro-interrupteurs par un module de micro-inter

rupteurs est possible à tout moment,– un remplacement de module CAMC-G-S1 par un autre CAMC-G-S1 ne nécessite au

cune confirmation. Exception : le contrôle de la version dans l'appareil de base provoque une incompatibilité des modules (message d'erreur 51-3), et le remplacement du module doit alorsêtre confirmé.

– En cas de remplacement d'un type de module par un type différent (message d'erreur51-2) le remplacement du module doit toujours être confirmé.

– En cas de remplacement du module CAMC-G-S3 par un module CAMC-G-S3 (messaged'erreur 51-6), le remplacement du module doit également toujours être confirmé.

4 Mise en service


Pour la confirmation du remplacement du module, il existe deux possibilités :

� Lors de l'activation du mode en ligne, le remplacement du module est détecté et une boîte de dia

logue de confirmation s'affiche automatiquement.

� Si le remplacement du module n'a pas été confirmé lors de l'activation du mode en ligne, il est

possible d'ouvrir à tout moment la boîte de dialogue de confirmation via la commande de menu

[Component] [Online] [Confirm Module Change] ([Composant] [En ligne] [Confirmer remplacement du

module]).

Dans la boîte de dialogue “Confirm Module Change” (“Confirmer remplacement du module”), le type de

module, la révision générale (CAMC-G-S3) ou la révision et la version (CAMC-G-S1, CAMC-DS-M1) ainsi

que le numéro de série du module précédent et le module actuellement monté s'affichent.

� “Yes” (“Oui”) permet de confirmer le remplacement du module, et les paramètres sont enregistrés

de manière rémanente dans l'appareil de base et un redémarrage est exécuté.

4.3.5 Indication d'étatDes informations relatives à l'état du module de sécurité s'affichent en mode en ligne dans la zone de

version du projet dans l'onglet “Safety Functions” (“Fonctions de sécurité”).

Sortie du projet – Onglet en ligne “CAMC-G-S3 : Safety Module” (“Module de sécurité”)

Zone “CAMC-G-S3 : State Flags” (“Signaux d'état”)

Affichage des états du module de sécurité État1)

Vert Activation d'étage de sortie admissible VOUT_PS_EN = 1

Rouge Avertissement VOUT_WARN = 1

Rouge Non-respect des conditions de sécurité VOUT_SCV = 1

Rouge Erreur VOUT_ERROR = 1

Jaune Fonction de sécurité atteinte VOUT_SSR = 1

Jaune État sûr demandé VOUT_SFR = 1

Vert État de service VOUT_SERVICE = 1

Vert “Opérationnel” VOUT_READY = 1

Zone “CAMC-G-S3 : Safety functions” (“Fonctions de sécurité”)

Fonctions de sécurité STO SS1 SS2 SOS SBC USF0 USF1 USF2 USF3 État2)

Vert Service normal VOUT_xxx_SFR = 0

Jaune État sûr atteint VOUT_xxx_SFR = 1

Zone “CAMC-G-S3 : Digital I/O” (“I/O numériques”)

État DINxx, DOUTxx, C1/C2 (GND/+24V sans fonction)

Vert Entrée = 1

Jaune Sortie = 1 ou relais fermé

Gris Entrée ou sortie = 0 ou relais ouvert

1) État du module de sécurité � paragraphe 2.10.2, Tab. 2.88

2) État de la fonction de sécurité � paragraphe 2.5

Tab. 4.2 Affichage de l'onglet en ligne “CAMC-G-S3 : Safety Module” (“Module de sécurité”)

4.3.6 Affichage de la mémoire de diagnostic permanente du contrôleur de moteurPour l'affichage ou l'enregistrement de la mémoire de diagnostic permanente, activer l'onglet en ligne“Diagnosis” (“Diagnostic”) dans le PlugIn FCT.

4 Mise en service


Si la connexion en ligne est activée, activer le registre en ligne “Permanent” (“Permanent”). “Read”(“Lecture”) permet de lire le nombre d'entrées défini sous “Entries” (“Entrées”) de la mémoire de diagnostic permanente et de les afficher dans l'ordre chronologique, l'entrée la plus récente apparaissanten premier.L'option “all entries” (“Toutes les entrées”) permet de lire la mémoire de diagnostic permanente complète. Cela peut prendre quelques secondes.Le contenu de la mémoire de diagnostic s'affiche sous forme de tableau :

Colonne Explication

N° Numéro en cours de l'entrée.N° d'incident Numéro de l'erreur, de l'avertissement ou de l'événement

� voir paragraphe 5.5.3.Fault Description (Description du défaut)

Nom de l'entrée, texte d'erreur.

Date relative Heure de l'événement de diagnostic au format <hh>:<mm>:<ss> (compteurd'heures de fonctionnement, facteur de marche de l'alimentation logique).

Constante Informations complémentaires pour le personnel du service après-venteFesto


Informations complémentaires pour le personnel du service après-venteFesto

Type Type d'entrée (erreur, avertissement, entrée journal).

Tab. 4.3 Affichage de la mémoire de diagnostic permanente

Le tableau suivant présente un exemple d'entrées :

N° N° d'incident

Fault Description (Description du défaut)

Daterelative

Constante


Type

1 00-21 Entrée journal issue dumodule de sécurité

580:15.03 0x0000 Erreur validée, source :0x01, sans erreur

Erreur

2 00-8 Contrôleur mis soustension

580:15.00 0x0000 0x0000 Erreur

3 00-12 Remplacement du module : module actuel

580:15.22 0x4830 CAMC-G-S3, S/N : 1212820487, rév. matérielle : 1.0, rév. logicielle : 1.0

Erreur

4 00-11 Remplacement du module : module précédent

580:15.22 0x48FF CAMC-DS-M1, S/N : 3781764777, rév. matérielle : 0.1, rév. logicielle : 0.1

Erreur

... ... ... ... ... ... ...

Tab. 4.4 Exemple d'entrées dans la mémoire de diagnostic

Autres remarques relatives aux entrées dans la mémoire de diagnostic :– les entrées s'effectuent dans l'ordre chronologique, l'entrée supérieure étant l'entrée

la plus récente,– de légères divergences de la date relative sont possibles après Power OFF/ON, dans la

mesure où le contrôleur de moteur enregistre la date relative de manière non volatileuniquement une fois par minute.

“Copy” (“Copier”) et “Export” (“Exporter”) permet de reprendre le contenu au format CSV avec “;”comme séparateur dans le presse-papier Windows ou dans un fichier.La colonne “Timestamp” (“Date relative”) affiche la valeur du compteur d'heures de fonctionnement ducontrôleur de moteur au moment de l'entrée journal.

4 Mise en service


Au-dessus de la liste, la valeur actuelle du compteur d'heures de fonctionnement du

contrôleur de moteur s'affiche en tant que “Current System Time” (“Heure système

actuelle”)

4 Mise en service


4.4 Bases pour le paramétrage du module de sécurité

4.4.1 Réglage en usine

Pour simplifier le paramétrage, certaines fonctions sont activées ou des valeurs par défaut prédéfinies

à l'état de livraison ou après la restauration des réglages à l'usine.

Le Tab. 4.5 présente un aperçu de ces réglages importants.

Page Réglage en usine Affectation

Entrées TORDIN40 Type de capteur : Appareil de commutation

d'arrêt d'urgenceDemande STO etSBC

Mode de fonctionnement : équivalentDélai de discordance : 100 msSource pour l'impulsion test : Aucune

DIN41 Type de capteur : Non défini Non applicableMode de fonctionnement : équivalentDélai de discordance : 100 msSource pour l'impulsion test : Aucune



DIN44 Type de capteur : Signal de retour des freins Non applicableSource pour l'impulsion test : Aucune

DIN45 Type de capteur : Sélecteur de mode defonctionnement

Non applicable

Source pour l'impulsion test : AucuneDIN46 Type de capteur : Sélecteur de mode de

fonctionnementNon applicable

Source pour l'impulsion test : AucuneDIN47 Type de capteur : Sélecteur de mode de

fonctionnementNon applicable

Source pour l'impulsion test : AucuneDIN48 Type de capteur : Validation des erreurs Demande Va

lidation deserreurs

Source pour l'impulsion test : Aucune

DIN49 Type de capteur : Quitter la fonction de sécurité Flanc ascendant :terminer STO, SS1et SBC

Source pour l'impulsion test : Aucune

des fonctions de sécuritéSTO Demander : DIN40 –

Remise en marche automatique :

Non

Activation automatique SBC : OuiTerminer la demande : DIN49, flanc montant

4 Mise en service


Page AffectationRéglage en usine

SS1 Demander : aucune affectation Non applicableRampe d'arrêt rapide : OuiRemise en marcheautomatique :

Non

Activation automatique SBC : OuiTerminer la demande : DIN49, flanc montant

SS2 non activé –SOS non activé –USF... non activé –SBC Demander : DIN40 –

Message de retour Frein demaintien :

Non

Remise en marcheautomatique :

Non

Désactiver le test cycliquede 24 h

Non

Terminer la demande : DIN49, flanc montantFonctions logiquesSélecteur demode defonctionnement

non activé –

Terminal dedialogue àdeux mains

non activé –

ALF... non activé –Logique Validation des erreursLogiqueValidation deserreurs

Demander : DIN48 –

Sorties numériquesDOUT40 Demander : aucune affectation –

Mode de fonctionnement : équivalent –DOUT41 Demander : aucune affectation –

Mode de fonctionnement : équivalent –DOUT42 Demander : aucune affectation –

Mode de fonctionnement : activé en permanence –Frein interne Demander : SBC demandé –

Mode de fonctionnement : équivalent –Contact de signalisationC1/C2

Demander : État sûr atteint et toutes lesconditions de sécurité sontrespectées

–

Gestion des erreursGestion deserreurs

Non-respect des conditions desécurité :divers autres

SBC + STO Respecter et vérifier les réglagessupplémentaires.

Autres erreurs graves : SBC + STO + sorties = 0

Tab. 4.5 Réglage en usine

4 Mise en service


4.4.2 Etat à la livraisonAu départ usine, le module de sécurité est toujours fourni dans “l'état à la livraison” .

Ce dernier est signalé par le clignotement des LED verte/rouge ainsi que par le biais de messages

d'état correspondants (� paragraphe 2.10.2, Tab. 2.88).

Particularités de l'état de livraison par rapport aux réglages à l'usine :

– le paramétrage des réglages à l'usine “valide intégralement” le module de sécurité et le rend

fonctionnel. Le contrôleur de moteur peut être mis en route et la validation de l'étage de sortie et du

régulateur peut être définie.

– tous les messages d'erreurs sont ignorés s'ils sont dus à un paramétrage différent de l'appareil de

base et du module de sécurité.

Ainsi, la mise en service de base du contrôleur de moteur est possible indépendamment des périp

hériques techniques de sécurité fastidieux. Par exemple, le module de sécurité est paramétré sur

“Resolveur” à l'état de livraison. Lors de l'utilisation d'autres capteurs, le contrôleur de moteur ne

peut pas être mis en service sans forcer la validation des erreurs du module de sécurité.

L'état de livraison ne peut pas être restauré par l'utilisateur. Seuls les réglages à l'usine

peuvent être restaurés.

4.4.3 PlugIn FCT CMMP-AS et SafetyToolLa mise en service de base du contrôleur de moteur s'effectue avec le PlugIn CMMP-AS correspondant

pour le Festo Configuration Tool (FCT).

Elle comprend la détermination de la configuration matérielle, comme par ex. le moteur raccordé, les

systèmes de mesure, les axes ainsi que les modules et interfaces montés dans les emplacements

d'enfichage optionnels.

Le paramétrage du module de sécurité s'effectue alors avec un logiciel spécial, le SafetyTool. Le

SafetyTool s'affiche depuis le PlugIn FCT CMMP-AS.

NotaAvant le démarrage du SafetyTool, il faut impérativement charger et sauvegarder la

configuration matérielle ainsi que, si nécessaire, les unités de mesure définies dans le

contrôleur de moteur � paragraphe 4.3.

Ces opérations sont nécessaires pour la transmission des données dans SafetyTool.

4 Mise en service


4.5 Paramétrage sûr avec le SafetyTool

4.5.1 Démarrage du programme

Démarrer le SafetyTool lorsque le plugin FCT CMMP-AS est activé à l'aide du bouton “Lancer

SafetyTool”.

Fig. 4.2 Lancer SafetyTool

4.5.2 Sélection des types de session – Assistant de configuration

Le SafetyTool est un outil logiciel hors ligne dans les deux types de session (en ligne/hors

ligne), au sens de la norme EN 61508 pour l'installation et la mise en service (phase 12).

Par ailleurs, le SafetyTool constitue une aide lors de la validation (phase 13) : un proto

cole correspondant peut être établi via les fonctions paramétrées du module de sécurité.

Une modification des paramètres en cours de fonctionnement est impossible, le module

de sécurité passe à l'état sûr lors de l'ouverture d'une session de paramétrage en ligne

(STO + SBC). La validation des fonctions incombe en tous les cas au fabricant ou à l'exp

loitant de la machine.

Le SafetyTool support 2 types de session :

– En ligne : travailler sur le module de sécurité.Le SafetyTool communique avec le système cible (le module de sécurité).

Il est possible d'observer le module de sécurité et de lire les paramètres ; de modifier individuel

lement les paramètres ou de transférer un bloc de paramètres complet et sûr.

Avant la modification des paramètres, le module de sécurité passe à l'“état initial sûr”. Les para

mètres doivent être validés avant que le module de sécurité ne quitte l'“état initial sûr”. Les para

mètres modifiés ne sont pas effectifs immédiatement, mais après la validation complète et le redé

marrage.

– Hors ligne : travailler sur un fichier local.Le SafetyTool ne communique pas avec le système cible (le module de sécurité).

Il est néanmoins possible d'établir et d'enregistrer un pré-paramétrage pour le module de sécurité.

4 Mise en service


Le SafetyTool représente une aide lors du lancement du programme avec “l'assistant de configuration

pour un paramétrage sûr”. Sélectionner la variante de session souhaitée.

Type de session Variante de session Description

En ligne

� paragraphe

4.5.3

Démarrer un nouveau

paramétrage

Ouvre un nouveau projet avec les paramètres

standard du module de sécurité.

Démarrer un nouveau paramét

rage avec le projet existant1)Ouvre un nouveau projet sur un fichier de

projet enregistré en local.

Afficher le paramétrage Affiche le paramétrage disponible dans le mo

dule de sécurité (en lecture seule !).

Modifier le paramétrage

disponible

Charge le paramétrage disponible dans le mo

dule de sécurité pour modification.

Transférer le bloc de para

mètres sûr

Transfert un bloc de paramètres sûr enregistré

au préalable dans le module de sécurité.

Hors ligne

� paragraphe

4.5.4

Créer un nouveau projet Ouvre un nouveau projet avec les réglages

standard du SafetyTool.

Générer un nouveau projet à

partir d'un bloc de paramètres

sûr

Ouvre un nouveau projet sur la base d'un bloc

de paramètres sûr enregistré.

Ouvrir un projet disponible1) Ouvre un fichier de projet enregistré en local.

1) Possible uniquement si le type d'axe (linéaire/rotatif ) du fichier de projet SafetyTool concorde avec le projet FCT actuel.

Tab. 4.6 Sélection des variantes de session – Assistant de configuration

4.5.3 Paramétrage en ligneSi la liaison en ligne vers le contrôleur de moteur est active dans le plugin FCT, les fonctions du para

métrage en ligne sont disponibles dans le SafetyTool.

S'assurer que les données dans le contrôleur de moteur concordent avec les données duprojet (“Télécharger”) et ont été sauvegardées (“Sauvegarder”) avant de démarrer leSafetyTool. Dans le cas contraire, les informations de base après un redémarrage del'appareil de base peuvent différer des informations de base utilisées.

Seul le paramétrage en ligne autorise la validation des paramètres et du bloc de paramètres !

Pour les fonctions du paramétrage en ligne, il est nécessaire d'indiquer un nom d'utilisateur et de saisir

un mot de passe :

Le mot de passe réglé à l'usine est : SAFETYSaisir un mot de passe spécifique au projet pour protéger les paramètres de sécuritécontre des modifications involontaires (Menu [Extras] [Modifier le mot de passe]� paragraphe 4.7.1).

Lors du démarrage du SafetyTool, ce dernier compare sa base de données avec les données de

l'appareil de base et celles du module de sécurité. Selon la variante de session sélectionnée, un

chargement de l'ensemble des paramètres du module de sécurité est nécessaire.

4 Mise en service


La procédure est affichée via une barre de progression. La durée peut varier selon la variante de

session et la vitesse de la liaison de communication.

1

2

3

4

5

6

Démarrage avecsession en ligne

Session hors ligne

Sélection en cas desession en ligne

Entrer le motde passe

Quitterl'assistant

Nouveau paramétrage

Nouveau paramétrage avec leprojet existant

Modifier leparamétragedisponible

Transférer lebloc de paramètres sûr

Afficher le paramétragedisponible

Sélectionner unbloc de paramètres sûr

Sélectionnerun fichier deprojet

1 Démarrage de l'assistant avec la possibilitéde sélectionner le mode de fonctionnementhors ligne

2 Sélection de la variante de session en ligne3 Nota sur la variante de session concernée

4 Sélection d'un fichier de projet / d'un bloc deparamètres

5 Identification personnelle6 Quitter l'assistant de démarrage

Fig. 4.3 Étapes de sélection de la variante de session en ligne

Une session de paramétrage peut également être démarrée lorsque l'actionneur est activé. Lorsque la

session de paramétrage est lancée, l'actionneur est désactivé par le module de sécurité (pas

d'activation de l'étage de sortie).

Lorsqu'une session de paramétrage est en cours, toutes les sorties numériques sont désactivées.

Le SafetyTool est automatiquement quitté lors de la fermeture de la session de paramétrage. Lors de la

fermeture, tous les paramètres doivent avoir le statut “validé”. Dans le cas contraire, toutes les mo

difications sont perdues, le module de sécurité démarre avec le bloc de paramètres précédemment

enregistré et validé.

4 Mise en service


4.5.4 Paramétrage hors ligneLa préparation d'un paramétrage peut être effectuée hors ligne.

Pour assurer le bon fonctionnement du module de sécurité, les paramètres doivent toutefois être va

lidés en ligne et, une fois validés, être transférés dans le module de sécurité.

1

2

3

4

5

Démarrage avecsession hors ligne

Session hors ligne

Sélection en cas desession hors ligne

Quitterl'assistant

Nouveau paramétrage

Ouvrir projet Nouveau projet àpartir d'un bloc deparamètres sûr

Sélectionner unfichier de projet

Sélectionner unbloc de paramètres sûr

1 Démarrage de l'assistant en mode defonctionnement hors ligne

2 Sélection de la variante de session hors ligne3 Page de notas sur la variante de session

concernée

4 Sélection d'un fichier de projet / d'un bloc deparamètres

5 Quitter l'assistant.

Fig. 4.4 Étapes de sélection de la variante de session hors ligne

4 Mise en service


4.5.5 Règles de base pour le paramétrage avec le SafetyTool

Caractéristiques communes des procédures de paramétrageUn paramétrage comprend toujours les étapes suivantes :

1. Ouverture d'une session de paramétrage.

2. Modification des paramètres individuels.

3. Validation de paramètres individuels ou du bloc de paramètres intégral (génération d'un code de

validation).

4. Enregistrement durable du bloc de paramètres dans le module de sécurité, le bloc de paramètres

complet est considéré comme validé.

Si d'autres modifications de paramètres sont effectuées, les étapes 3. et 4. doivent être de nouveau

exécutées.

5. Fermeture de la session de paramétrage “Activation” du bloc de paramètres.

6. Redémarrage du module de sécurité.

Ouverture d'une session de paramétrageLors de l'ouverture d'une session de paramétrage, le module de sécurité passe à l'état initial sûr,

l'actionneur est désactivé (étage de sortie désactivé, commande de freinage sûre non alimentée,

DOUT4x désactivé sur le module de sécurité).

Durant une session de paramétrage, l'état VOUT_SERVICE est activé.

La procédure d'activation / accostage de l'actionneur est à nouveau possible après la fermeture de la

session de paramétrage et lorsque le bloc de paramètres est validé.

L'ouverture d'une session de paramétrage est enregistrée dans la mémoire de diagnostic permanente.

Pendant que la session de paramétrage est active, le message “FSPArA” apparaît sur l'afficheur à

7 segments du contrôleur de moteur (uniquement en cas d'absence d'erreur), voir � paragraphe

5.4.2. Le bouton “Démarrer l'identification” dans l'assistant de démarrage permet d'émettre le

message “HELLO...”. Le message sert à identifier le contrôleur de moteur lorsque plusieurs contrôleurs

de moteur sont raccordés au PC de paramétrage.

À tout moment, seule une session de paramétrage peur être ouverte par module de sécurité.

Si une session de paramétrage a déjà été ouverte, le module de sécurité refuse des demandes supplé

mentaires jusqu'à ce que la session de paramétrage en cours soit fermée.

On exclut ainsi l'éventualité du paramétrage simultané d'un module de sécurité avec le SafetyTool via

plusieurs PC. Le SafetyTool autorise la modification de paramètres uniquement après l'ouverture d'une

session de paramétrage.

Identifiant de l'utilisateur et mot de passe

Lors de l'ouverture d'une session de paramétrage, un identifiant d'utilisateur (nom d'utilisateur) et un

mot de passe doivent être saisis.

L'identifiant d'utilisateur et le mot de passe se composent chacun de caractères ASCII (lettres, chiffres

et trémas, pas de caractère spécial) et ont une longueur maximale de 8 caractères.

À l'état de livraison ou après réinitialisation au réglage à l'usine, le mot de passe est “SAFETY”.

4 Mise en service


Le mot de passe doit immédiatement être modifié après la mise en service.

Le nouveau mot de passe et le mot de passe du réglage à l'usine doivent être connus

uniquement par la personne “responsable de la sécurité fonctionnelle de la machine”.

Le mot de passe modifié est enregistré dans le module de sécurité et remplace l'ancien,

cette règle s'applique à tous les utilisateurs. Le mot de passe n'est pas enregistré dans

un fichier de paramètres. Il ne peut être lu via le module de sécurité.

Reprise de données à partir du contrôleur de moteurPour comparer les paramètres significatifs du module de sécurité avec ceux du contrôleur de moteur

(appareil de base), la variante de session en ligne impose en premier lieu une reprise de données à

partir de l'appareil de base.

Pour que les données éventuellement chargées par le plugin FCT dans le microcontrôleur

ne soient pas perdues lors du redémarrage après avoir quitté le SafetyTool, les données

doivent impérativement être enregistrées lors du démarrage du SafetyTool, si la liaison en

ligne est active. L'enregistrement fait l'objet d'une demande via boîte de dialogue.

Lors de la reprise de données dans le SafetyTool, les unités de mesure, mais surtout les paramètres du

codeur rotatif raccordé, représentés sur les paramètres de sécurité pour le codeur 1 et le codeur 2,

sont repris.

Principe “Envoyer et valider”Tous les paramètres modifiés dans le SafetyTool doivent être envoyés au module de sécurité puis

testés et validés par celui-ci. Ceci s'applique aux données reprises depuis le contrôleur de moteur

(appareil de base) ainsi qu'aux termes de produits dédiés à la demande des fonctions de sécurité ou

autres mappings.

La procédure est identique sur toutes les pages de paramètres :

Étape 1 : Activer le paramètre via le bouton “Activer la modification” pour permettre sa modification.

Étape 2 : Manipuler ou modifier le paramètre. La plage de valeurs est ainsi vérifiée.

Étape 3 : Envoyer les paramètres modifiés au module de sécurité via le bouton “Envoyer”.

Étape 4 : Pour finir, tous les paramètres envoyés doivent être validés.

Pour la validation, les valeurs de consigne (du SafetyTool) et les valeurs réelles (du module de sécurité)

doivent être affichées. Les valeurs différentes sont caractérisées par un symbole :

Symbole État

La valeur de consigne et la valeur réelle sont différentes.

Ce paramètre doit être comparé.

La valeur de consigne et la valeur réelle sont légèrement différentes.

Certaines valeurs, comme par ex. les temps, sont arrondies dans le module de sécurité

au multiple d'une unité de base. Par conséquent, cet arrondissement entraîne un écart

entre la valeur de consigne et la valeur réelle. Une telle valeur peut être validée !

Tab. 4.7 Affichage de l'écart entre la valeur de consigne et la valeur réelle

4 Mise en service


Pour la validation après le contrôle, cocher les cases correspondantes dans la colonne “Contrôlé” et

valider les paramètres sélectionnés avec le bouton “Valider”. Les paramètres sont alors transférés

comme étant valides dans le module de sécurité.

La colonne “Valide” permet de voir si les valeurs réelles des paramètres sont valides, c'est-à-dire si

elles sont validées.

Symbole État

Le paramètre n'est pas encore validé.

Le paramètre est validé.

Tab. 4.8 Affichage de la validité des paramètres

Contrôle de vraisemblancePendant la session de paramétrage, le SafetyTool exécute divers contrôles de vraisemblance :

de la surveillance des limites de plage jusqu'au contrôle logique des limites de la vitesse de rotation (la

limite supérieure ne doit pas être inférieure à la vitesse de rotation minimale, les limites inférieures

doivent se trouver sous les limites supérieures, ...). Le contrôle de vraisemblance peut être également

effectué manuellement � paragraphe 4.7.3.

Valider et enregistrer durablement dans l'appareil

Lorsque les paramètres ont été modifiés, ils doivent être enregistrés dans le module de sécurité de

façon rémanente. De plus, la cohérence du bloc de paramètres est garantie par le biais d'un code de

validation intégral unique. L'enregistrement rémanent et le calcul du code de validation sont effectués

via le bouton correspondant sur la page “Terminer”.

Dans le cas où une session de paramétrage dans le SafetyTool était accessible en écriture, le redé

marrage est automatique lors de la fermeture du SafetyTool.

Enregistrer les états intermédiaires paramétrés (sans validation intégrale) :

La fonction “Paramétrage / enregistrer durablement les paramètres dans le module de sécurité”

permet d'enregistrer les paramètres, sans qu'ils soient “validés en intégralité”. Le module de sécurité

détecte cet état lors du redémarrage et passe à l'état initial sûr.

Paramètres standard et expertsQuelques paramètres sont caractérisés de “paramètres experts” et se trouvent dans un registre dédié

“Paramètres experts”.

NotaNormalement, les paramètres experts ne doivent pas être modifiés, une modification

peut s'avérer nécessaire uniquement en cas de besoin.

État des groupes de paramètresChaque page du SafetyTool comprend un groupe de paramètres. Dans le cas d'une session en ligne,

l'état de ce groupe de paramètres est affiché dans l'arbre de navigation via le symbole LED :

4 Mise en service


Symbole État

Les paramètres ne sont pas encore validés (tous les stades des paramètres avant la va

lidation).

Tous les paramètres de cette page sont validés. Ces paramètres sont identiques à ceux

de l'appareil. Une validation intégrale et l'enregistrement durable des paramètres dans le

module de sécurité sont possibles uniquement lorsque tous les paramètres sur toutes

les pages ont été validés.

Un paramètre au moins diffère du paramètre dans l'appareil. Les différences doivent être

ajustées.

Une valeur erronée se trouve dans le champ de saisie ou de sélection. L'erreur doit être

corrigée.

Tab. 4.9 Affichage de l'état des groupes de paramètres

4.5.6 Comportement en cas de paramétrage non valideSi aucun bloc de paramètres valide n'est disponible dans le module de sécurité,

l'étage de sortie du contrôleur de moteur est verrouillé, toutes les sorties numériques sont mises hors

tension.

Le module de sécurité peut être paramétré une nouvelle fois avec le SafetyTool.

4.5.7 Version du bloc de paramètresUne modification de la révision du module de sécurité n'entraîne pas forcément une nouvelle version

du bloc de paramètres (une modification de la version du firmware ou du matériel entraîne une nou

velle révision intégrale du module de sécurité).

La version du bloc de paramètres permet de surveiller la compatibilité entre le SafetyTool et le module

de sécurité.

Nouveau bloc de paramètres dans un ancien firmwareLes blocs de paramètres ayant été générés avec une version du firmware plus récente que celle du

module de sécurité, ne sont pas pris en charge. Un message d'erreur “Bloc de paramètres incom

patible” est alors généré.

Ancien bloc de paramètres dans un nouveau firmwareLes paramètres sont d'abord chargés. Le numéro de version du bloc de paramètres permet de com

prendre comment il faut procéder avec le bloc de paramètres.

Si la version du bloc de paramètres n'est pas compatible, la validation est refusée via le code de

validation.

Si la version du bloc de paramètres est compatible, les paramètres non compris, par ex., sont réglés sur

des valeurs qui permettent au module de sécurité de se comporter comme une ancienne révision.

La mise à jour du firmware peut être effectuée uniquement par le fabricant.

4 Mise en service


4.6 Déroulement du paramétrage avec le SafetyTool (exemple)

Ce chapitre décrit le déroulement complet du paramétrage à l'aide d'un exemple. Les étapes fondamentales s'appliquent néanmoins dans toute autre situation.Les conditions pour le déroulement sont les suivantes :– La mise en service de base du contrôleur de moteur avec le plugin FCT a été effectuée, une liaison

en ligne est active avec le FCT.– Le module de sécurité se trouve à l'état de livraison ou est doté des réglages d'usine

(� paragraphe 4.7.2).

Une description complète de l'interface et des fonctions du SafetyTool figure dans le

document d'aide relatif au SafetyTool.

Des informations sur quelques fonctions spécifiques figurent au � paragraphe 4.7.

Exemple d'application :Machine avec1. Interrupteur d'arrêt d'urgence (DIN40) devant toujours déclencher SS1 type b) puis SBC lors de

l'activation.2. Barrière photoélectrique (DIN41) pour la protection contre les interventions sur la machine, SS1 est

également déclenché en mode normal, SS2 est demandé en mode réglage.3. Bouton-poussoir d'assentiment (DIN42) pour pouvoir déplacer l'axe avec SLS en mode réglage.4. Sélecteur de mode de fonctionnement pour le mode normal et le mode réglage (DIN45, DIN46).5. Surveillance des interrupteurs par le biais d'impulsions tests via DOUT42.6. Valider l'erreur (DIN48).7. Remise en marche (DIN49) de flancs ascendants, la remise en marche après SS1 est effectuée par

le biais d'un signal de commande externe “Remise en marche”.8. La remise en marche automatique a lieu lors de la commutation entre SS2 et SLS.Le paramétrage suivant est effectué dans l'exemple :– Après la mise sous tension :

Demande de STO avec activation automatique de SBC.– Mode normal :

En cas d'actionnement de l'arrêt d'urgence ou d'entrée dans la barrière photoélectrique, SS1 puisSBC doivent être déclenchées, remise en marche uniquement via DIN49.

– Mode réglage :– SLS est toujours demandée en mode réglage.– SLS peut être terminée uniquement si,

a) le sélecteur de mode de fonctionnement est à nouveau en mode normal etb) la barrière lumineuse n'est plus rompue etc) la remise en marche est actionnée.

– Lors de l'entrée dans la barrière photoélectrique, SS2 est également déclenchée.– Remise en marche depuis SS2 uniquement via DIN49 et si la barrière photoélectrique a été éva

cuée, ou via le bouton-poussoir d'assentiment DIN42.– Lors de l'actionnement du bouton-poussoir d'assentiment, commutation de SS2 vers SLS.

Le câblage et le paramétrage nécessaires à l'application doivent être déterminés indivi

duellement, dans le cadre de l'analyse du risque.

4 Mise en service


4.6.1 Sélection de la variante de session dans l'assistant1. Démarrer le SafetyTool à l'aide du bouton de commande “Lancer SafetyTool” � paragraphe 4.5.1.

2. Pour démarrer le paramétrage sûr, sélectionner le type de session “... en ligne” dans l'assistant et

confirmer avec “Suivant”.

3. Sélectionner la variante de session “Modifier le paramétrage existant” et confirmer avec “Suivant”.

Une remarque relative à la variante de session apparaît alors. Celle-ci doit être observée et confir

mée avec “Suivant”.

4. La saisie d'un identifiant d'utilisateur et d'un mot de passe est nécessaire pour l'écriture de para

mètres. À l'état de livraison ou après réinitialisation aux réglages d'usine, le mot de passe est

“SAFETY”.

4 Mise en service


Quitter l'assistant avec “Terminer”.

4.6.2 Reprise de données et comparaison1. Normalement, les informations de base du réglage à l'usine diffèrent du paramétrage actuel des

appareils de base. Ceci est indiqué via une boîte de dialogue et doit être confirmé avec “OK”.

Dans le cas contraire, passer au point 3..

2. Les valeurs différentes sont indiquées en rouge sur la page dédiée aux informations de base et

doivent d'abord faire l'objet d'une comparaison.

4 Mise en service


Cliquer sur “Activer la modification” et cocher les cases des paramètres différents sous “Envoyer”.

Le bouton “Envoyer” permet de charger les paramètres sélectionnés dans le module de sécurité.

Par conséquent, les paramètres ne sont plus valables. Vérifier les paramètres en comparant les

valeurs indiquées sous “Valeur de consigne” et “Valeur réelle”. Confirmer le contrôle en cochant la

case sous “Contrôlé”. Valider ensuite le contrôle avec le bouton “Valider”.

4 Mise en service


3. Lorsque tous les paramètres des informations de base sont identiques, les autres paramètres sont

chargés depuis le module de sécurité, la page “Reprise de données” est affichée avec la comparai

son des données reprises par l'appareil de base.

4.6.3 Démarrage du paramétrage

La variante de session “Modifier le paramétrage existant” est désormais active et le paramétrage en soi

peut démarrer.

� Pour ce faire, parcourir successivement toutes les pages de paramètres à l'aide des touches flé

chées 1 et vérifier ou modifier les paramètres affichés.

4 Mise en service


1

2

La page de paramètres est affichée dans l'arbre de navigation 2 qui permet également de basculer

directement sur une autre page, par ex. pour re-visualiser les paramètres ultérieurement.

Pour la mise en service, il est recommandé de vérifier ou de modifier les pages les unes après les

autres.

4.6.4 Contrôle de la reprise de donnéesLes principaux paramètres de la configuration du codeur sont affichés sur la première page de para

mètres “Reprise de données”.

Les divergences, si existantes, sont indiquées par une flèche bleue. Un clic sur la flèche permet de re

prendre le réglage de l'appareil de base en tant que valeur de consigne du paramètre. La valeur de

consigne du paramètre doit ensuite être ultérieurement envoyée sur la page correspondante de

configuration du codeur puis au module de sécurité avant d'être validée.

4.6.5 Informations de baseLes informations de base ont déjà été modifiées comme décrit au paragraphe 4.6.2. Les valeurs sur

cette page doivent donc déjà concorder.

4.6.6 Configuration du codeur

� Vérifier ou modifier successivement les paramètres de la configuration du codeur.

Si des valeurs de consigne ont été reprises conformément au paragraphe 4.6.4, elles sont déjà saisies

pour le paramètre correspondant. Elles peuvent ensuite être reprises avec “Valider la modification”,

“Envoyer” avant d'être vérifiées et validées.

4 Mise en service


4.6.7 Configurer des entrées numériquesL'affectation des entrées à un canal et deux canaux est affichée sur la page “Entrées numériques”. La

modification s'effectue ensuite séparément sur les pages correspondant à chaque entrée.

Les incohérences sont caractérisées par un symbole d'erreur. Dans l'exemple, DIN45, DIN46 et DIN47

sont paramétrés en tant que type de capteur “Sélecteur de mode de fonctionnement”, même si le para

mètre “Activation” du sélecteur de mode de fonctionnement n'est pas encore actif.

Les pages des entrées numériques peuvent ensuite être modifiées successivement.

DIN 40� Pour l'exemple, DOUT42A/B est réglé en tant que source pour l'impulsion test.

DIN 41� Pour l'exemple, le type de capteur “Barrière photoélectrique” est réglé et DOUT42A/B est réglé en

tant que source pour l'impulsion test.

4 Mise en service


DIN 42� Pour l'exemple, le type de capteur “Bouton-poussoir d'assentiment” est réglé et DOUT42A/B est

réglé en tant que source pour l'impulsion test.

DIN45 ... DIN 47� Pour l'exemple, DOUT42B est réglé en tant que source pour l'impulsion test à la fois pour DIN45,

DIN46 et DIN47.

DIN43 et DIN44, DIN48 et DIN49Pour l'exemple, aucune modification n'est requise car tous les réglages correspondent aux réglages d'usine.

4.6.8 Sélection et paramétrage des fonctions de sécuritéLes fonctions actives sont affichées sur la page “Fonctions de sécurité”.

� Pour l'exemple, activer également SS2, SOS et USF0. La fonction de sécurité SLS peut être para

métrée avec USF. Pour l'activation des fonctions de sécurité, l'envoi et la validation ne sont pas

nécessaires.

4 Mise en service


STO : couple désactivé de manière sûre1. Vérifier et si besoin, modifier les paramètres de la fonction de sécurité STO � paragraphe 2.5.1.

2. Dans le registre “Demander”, supprimer la demande existante dans le réglage à l'usine via DIN40.

Après la validation de la modification, sélectionner également dans la porte l'entrée logique

LIN_D40 (marquée en bleu) et la supprimer avec “Opérandes : suppr.”.

Comme l'opérande est à présent supprimé du terme de produit mais que ce dernier (ici P04.00) est

encore occupé, il est encore affiché en partie inférieure.

3. Dans le cadre de droite “Opérandes”, sélectionner LIN_AFTER_RST_PULSE et reprendre l'entrée

avec “Porte : insert.”.

4. Grâce à “Envoyer”, transmettre la modification au module de sécurité. La nouvelle affectation ainsi

que la remise à zéro sont ensuite affichées sous “Validation” (dans l'image en haut à droite), et

peuvent être vérifiées et validées.

Le réglage dans le registre “Terminer la demande” peut être maintenu par LIN_D49_RISING_EDGE dans

l'exemple.

SS1 : arrêt sûr 11. Dans le registre “Paramètres standard”, vérifier les réglages et, si besoin est, les ajuster à l'ap

plication, � paragraphe 2.5.3.

2. Pour l'exemple, activer “Activation automatique de SBC” (P0C.09).

Pour l'exemple, rétablir la logique suivante dans le registre “Demander” :

4 Mise en service


3. Dans le cadre de droite “Opérandes”, sélectionner LIN_D40 et reprendre l'entrée avec “Opérandes :

insert.”. En alternative, il est également possible de glisser l'entrée sur le lien logique du pilote avec

la souris (ici, terme de produit P04.00).

4. Sélectionner ensuite LIN_D45_SAFE et reprendre l'entrée avec “Porte : insert.”. En alternative, il est

possible de glisser l'entrée sur la porte Ou (≥ 1) avec la souris. Une nouvelle porte est alors insérée

avec l'entrée LIN_D45_SAFE (dans l'exemple, terme de produit P04.07).

5. Sous “Porte”, sélectionner l'entrée insérée LIN_D45_SAFE, pour marquer la deuxième porte en tant

que cible pour l'insertion d'opérandes supplémentaires (ici, terme de produit P04.07).

6. Dans le cadre de droite “Opérandes”, sélectionner ensuite l'entrée LIN_D41 et la reprendre avec

“Opérandes : insert.”. En alternative, il est possible de glisser l'entrée sur le lien logique du pilote

avec la souris. Le lien logique du pilote est alors modifié automatique en fonction ET.

7. Suite à l'envoi, il convient de valider 2 termes de produits via la fonction OU.

Le réglage dans le registre “Terminer la demande” peut être maintenu par LIN_D49_RISING_EDGE dans

l'exemple.

SS2 : arrêt sûr 21. Dans le registre “Paramètres standard”, vérifier les réglages et, si besoin est, les ajuster à l'ap

plication, � paragraphe 2.5.4.

Pour l'exemple, rétablir la logique suivante dans le registre “Demander” :

4 Mise en service


2. Dans le cadre de droite “Opérandes”, sélectionner LIN_D41 et reprendre l'entrée avec “Opérandes :

insert.”. En alternative, il est possible de glisser l'entrée sur le lien logique du pilote avec la souris

(ici, terme de produit P04.08).

3. Répéter l'étape 2. avec les opérandes LIN_D46_SAFE et LIN_D42.

4. Inverser LIN_D42 avec “Opérandes : invers.”. En cas de sélection d'un autre élément dans l'entre-

temps, LIN_D42 doit éventuellement être à nouveau sélectionné au préalable.

5. Après l'envoi, seul un terme de produit doit être sélectionné.

Pour l'exemple, rétablir la logique suivante dans le registre “Terminer la demande” :

6. Dans le cadre de droite “Opérandes”, sélectionner LIN_D49_RISING_EDGE et reprendre l'entrée

avec “Opérandes : insert.”.

7. Répéter l'étape 6. avec LIN_D41.

8. Inverser LIN_D41 avec “Opérandes : invers.”.

9. Sélectionner ensuite LIN_D42 avant de l'insérer en tant que fonction ET avec “Porte : insert.”.

10.Suite à l'envoi, il convient de valider 2 termes de produits via la fonction OU.

SOS : arrêt de service sûr1. Paramétrer la fonction de sécurité SOS selon l'application � paragraphe 2.5.5.

2. Aucune logique n'est requise pour la demande de SOS, SOS étant utilisée uniquement en tant que

réaction sur erreur.

3. Pour “Terminer la demande”, insérer LIN_D49_RISING_EDGE (comme pour SS2).

USF0 : fonction universelle

1. Pour la demande de USF0, insérer LIN_DIN46_SAFE dans l'exemple.

2. Pour l'exemple, rétablir la logique suivante dans le registre “Terminer la demande” :

4 Mise en service


Les principales opérations d'utilisation sont décrites précédemment.

SSF0 : vitesse sûre� Paramétrer la fonction SSF0 pour la fonction de sécurité SLS, selon votre application � paragraphe 2.5.8.

SBC : commande de freinage sûre1. Paramétrer la fonction de sécurité SBC selon l'application � paragraphe 2.5.2.

2. Pour l'exemple, supprimer la demande via LIN_D40.

3. Pour “Terminer la demande”, laisser LIN_D49_RISING_EDGE.

4. En fonction de l'application, une logique peut s'avérer nécessaire pour le message de retour de

freinage dans le registre “Message de retour”.

4.6.9 Fonctions logiquesDans l'exemple, les “Advanced Logic Functions” ALFx ne sont pas utilisées et, de ce fait, ne doivent pas

être activées sur la page “Fonctions logiques”.

4 Mise en service


Sélecteur de mode de fonctionnement� Activer le sélecteur de mode de fonctionnement sur la page “Sélecteur de mode de fonction

nement”.

Terminal de dialogue à deux mainsLe terminal de dialogue n'est pas utilisé dans cet exemple.

4.6.10 Logique Validation des erreursLa logique Validation des erreurs peut conserver le réglage d'usine pour cet exemple.

4.6.11 Sorties numériques

DOUT40, DOUT41Pour l'exemple, les sorties numériques DOUT40 et DOUT41 ne sont pas utilisées.

DOUT42

Pour l'exemple, le paramétrage ne doit pas être modifié, DOUT42 étant déjà paramétré sur “Activé en

permanence” (réglage à l'usine).

Frein interneDans l'exemple, le paramétrage du frein interne peut conserver le réglage d'usine.

Contact de signalisation

Dans l'exemple, le paramétrage du contact de signalisation peut conserver le réglage d'usine. Le relais

est fermé lorsque toutes les fonctions de sécurité demandées sont actives et que les conditions de

sécurité ont été respectées.

4.6.12 Gestion des erreursPour le non-respect des conditions de sécurité et pour les erreurs, par ex. lors de l'analyse du codeur

angulaire, une réaction adéquate sur l'erreur doit être sélectionnée sur la page “Gestion des erreurs”.

Le réglage à l'usine est maintenu pour l'exemple. Cela signifie qu'en cas d'erreur, STO ou SS1 ou

encore SBC est déclenchée.

4.6.13 Fin du paramétrage

Le bloc de paramètres peut être validé lorsque les LED du nœud principal sont allumées en “vert” (va

lidation globale). Le code de validation actuel calculé par le module de sécurité est lu et affiché sous

forme hexadécimale dans le champ d'affichage “Code de validation”.

L'état actuel du paramétrage est affiché sous le champ “Code de validation”.

Pour terminer avec succès le paramétrage, les paramètres doivent être enregistrés dans l'appareil.

4 Mise en service


1. Pour ce faire, cliquer d'abord sur “Valider et enregistrer durablement dans l'appareil”.

2. Le code de validation doit être saisi dans l'ordre inverse et confirmé avec OK.

3. Lorsque le code de validation est correctement saisi, le module de sécurité enregistre les para

mètres de façon rémanente dans la mémoire FLASH, la page “Terminer” apparaît alors en vert dans

l'arbre de navigation.

4. Pour la création du rapport de validation nécessaire, le résumé peut être soit imprimé directement

avec “Imprimer”, soit enregistré au format PDF avec “Enregistrer en tant que PDF”.

5. Pour une utilisation ultérieure sur d'autres modules de sécurité au paramétrage identique, ou en

cas de remplacement du module de sécurité, il est possible d'enregistrer un fichier avec “Créer un

bloc de paramètres sûr”. Ce fichier permet alors d'envoyer ultérieurement le bloc de paramètres

validé sur un autre module de sécurité.

6. Cliquer sur “Redémarrer” pour terminer le paramétrage. Le contrôleur de moteur et le module de

sécurité sont alors redémarrés.

Le paramétrage de l'exemple est alors terminé.

4 Mise en service


4.7 Fonctions spéciales de SafetyTool

4.7.1 Modification du mot de passe

Pendant qu'une session de paramétrage est active, le mot de passe peut à tout moment être modifié.

1. Ouvrir la boîte de dialogue “Change password” (Modifier le mot de passe) avec la commande de

menu [Extras] [Change password] ([Outils] [Modifier le mot de passe]).

Fig. 4.5 Modification du mot de passe

2. Saisir le mot de passe existant “Password” (Mot de passe).

3. Saisir le nouveau mot de passe deux fois dans le champ “New password” (Nouveau mot de passe)

et “Confirm password” (Confirmer le mot de passe).

4. Valider en cliquant sur “OK”.

Le nouveau mot de passe est immédiatement activé dans le module de sécurité.

4.7.2 Définition des paramètres par défaut

Pour restaurer les paramètres par défaut sur le module de sécurité (� paragraphe 4.4.1) :

1. Lorsque la connexion en ligne est activée, démarrer le SafetyTool (� paragraphe 4.6).

2. Sélectionner la variante de session en ligne “Show parameterization” (Affichage du paramétrage)

(pas de mot de passe requis).

3. Le cas échéant, les informations de base divergentes s'affichent ensuite, qu'il convient de confirmer

avec OK.

4. Le module de sécurité est réinitialisé avec la commande de menu [Extras] [Set Factory Settings]

([Outils] [Définit les paramètres par défaut]). À cet effet, le nom d'utilisateur est demandé (consigné

dans la mémoire de diagnostic permanente).

5. Ensuite, le bloc de paramètres est à nouveau lu depuis le module de sécurité. Le cas échéant, il

faudra à nouveau confirmer les éventuelles divergences des informations de base.

6. Quitter SafetyTool.

4.7.3 Contrôle de vraisemblance

Le contrôle de vraisemblance peut être effectué à tout moment pendant une session de paramétrage.

� Ouvrir la fenêtre “Plausibility test” (Contrôle de vraisemblance) avec la commande de menu [Extras]

[Check parameters for plausibility] ([Outils] [Contrôler la vraisemblance des paramètres]).

4 Mise en service


Fig. 4.6 Contrôle de vraisemblance

Les points détectés lors du contrôle sont identifiés par un symbole.

Symbole Signification

Information : pure information, n'a pas de portée fonctionnelle.

Avertissement : le paramétrage fonctionne, mais peut ne pas être complet.

Erreur : paramétrage erroné, le module de sécurité ne fonctionnera pas correctement.

Tab. 4.10 Affichage du contrôle de vraisemblance

4.7.4 Vue d'ensemble des paramètresPour permettre aux experts d'y accéder rapidement, les paramètres peuvent être indiqués et traités

dans une fenêtre séparée.

� Ouvrir la fenêtre “Parameter Overview” (Aperçu des paramètres) avec la commande de menu

[Extras] [Parameter overview] ([Outils] [Aperçu des paramètres]).

Fig. 4.7 Vue d'ensemble des paramètres

4 Mise en service


4.7.5 Fenêtre de diagnosticLe sous-menu [Extras] [Diagnosis] ([Outils] [Diagnostic]) contient différentes commandes pour l'affic

hage de différentes fenêtres de diagnostic. D'autres informations sont disponibles dans l'aide de

SafetyTool.

La fenêtre “Digital I/O (logical states)” (I/O numériques (états logiques) indique par exemple l'état

logique des entrées et sorties :

Fig. 4.8 I/O numériques (états logiques)

La fenêtre “Display of errors” (Affichage d'erreurs) indique les erreurs actives ; utiliser le bouton

“Acknowledge errors!” (Acquitter l'erreur !) pour les acquitter dans la mesure du possible.

Fig. 4.9 Affichage d'erreurs

Ouvrir la fenêtre “Functional diagram” (Schéma de branchement fonctionnel) avec la commande

[Extras] [Diagnosis] [Internal signals] ([Outils] [Diagnostic] [Signaux internes]). La fenêtre présente un

aperçu général des entrées et sorties logiques et virtuelles du module de sécurité.

Cliquer sur l'un des liens hypertextes bleus pour ouvrir une autre fenêtre qui contient l'état du groupe

de signaux correspondants (dans l'exemple, les entrées logiques correspondant aux entrées phy

siques).

4 Mise en service


Fig. 4.10 Schéma de branchement fonctionnel

4 Mise en service


4.8 Test de fonctionnement et validation

NotaLes fonctions de sécurité doivent être validées après l'installation et après chaque mo

dification de l'installation.

Cette validation doit être documentée par l'opérateur de mise en service. En guise

d'aide à la mise en service, une compilation des questions relatives à la réduction des

risques figure ci-après sous forme de bilans de contrôle.

Les bilans de contrôle qui suivent ne remplacent aucune formation technique de sécurité.

L'exhaustivité des bilans de contrôle ne peut être garantie.

N° Questions Concerne Réalisée

1. Toutes les conditions de service et toutes les méthodes

d'intervention ont-elles été prises en compte ?

Oui 0 Non 0 0

2. La “méthode des 3 niveaux” pour la réduction des risques

a-t-elle été appliquée ? C'est-à-dire, 1. Construction inhérente

sûre, 2. Mesures de protection technique et éventuelles me

sures complémentaires, 3. Informations pour l'usager sur le

risque résiduel.

Oui 0 Non 0 0

3. Les dangers ont-ils été éliminés ou les dangers présentés par

les risques ont-ils été réduits autant que possible ?

Oui 0 Non 0 0

4. Est-il certain que les mesures appliquées ne présentent pas de

nouveaux risques ?

Oui 0 Non 0 0

5. Les utilisateurs sont-ils suffisamment informés et alertés sur

les risques résiduels ?

Oui 0 Non 0 0

6. Est-il certain que les conditions de travail des opérateurs n'ont

pas été détériorées par les mesures de protection mises en

œuvre ?

Oui 0 Non 0 0

7. Les mesures de protection appliquées sont-elles compatibles

entre elles ?

Oui 0 Non 0 0

8. Les conséquences susceptibles de survenir en raison de l'utili

sation d'une machine construite à des fins commerciales/

industrielles dans un environnement ni commercial, ni indus

triel, ont-elles suffisamment été prises en compte ?

Oui 0 Non 0 0

9. Est-il certain que les mesures mises en œuvre n'affectent pas

trop la capacité de la machine à remplir ses fonctions ?

Oui 0 Non 0 0

Tab. 4.11 Questions pour la validation selon la norme EN ISO 12100 (exemple)

4 Mise en service


N° Questions Concerne Réalisée

1. Une analyse du risque a-t-elle été réalisée ? Oui 0 Non 0 0

2. Une liste des erreurs et un plan de validation ont-ils été établis

?

Oui 0 Non 0 0

3. Le plan de validation (incluant l'analyse et le contrôle) a-t-il été

traité et un rapport de validation a-t-il été établi ?

Les contrôles suivants doivent au moins être effectués dans le

cadre de la validation :

Oui 0 Non 0 0

a) Contrôle des composants : Est-ce que le CMMP-AS-…-M3

est utilisé avec le CAMC-G-S3 (contrôle à l'aide des plaques

signalétiques)

Oui 0 Non 0 0

b) Le câblage est-il correct (contrôle à l'aide du plan de rac

cordement) ?

Oui 0 Non 0 0

– Les dispositifs de commande de sécurité, par ex. interrup

teurs de portes de protection, interrupteurs d'arrêt d'ur

gence, etc. ont-ils été câblés sur X40 ?

Oui 0 Non 0 0

– Les dispositifs de commande de sécurité sont-ils adaptés

aux exigences de l'application et câblés en conséquence ?

Oui 0 Non 0 0

c) Contrôle du paramétrage : Oui 0 Non 0 0

– Le paramétrage du module de sécurité est-il terminé et tous

les paramètres sont-ils validés ?

Oui 0 Non 0 0

– Le bloc de paramètres a-t-il été imprimé et joint au plan de

validation ?

Oui 0 Non 0 0

d) Contrôles du fonctionnement : Oui 0 Non 0 0

– Actionnement de l'arrêt d'urgence de l'installation :

L'actionneur est-il immobilisé ?

Oui 0 Non 0 0

– Actionnement de l'arrêt d'urgence de l'installation :

Une seule entrée DIN4xA ou DIN4xB affectée à l'arrêt d'ur

gence a-t-elle été activée, la fonction de sécurité affectée

a-t-elle été immédiatement exécutée et l'erreur “Violation

du temps de discordance” (affichage 57-1) dans le CMMP-

AS-M3 a-t-elle été signalée une fois le temps de

discordance écoulé ?

Oui 0 Non 0 0

– Actionnement des fonctions de sécurité supplémentaires de

l'installation – à effectuer séparément pour chaque fonction

de sécurité :

Une seule entrée DIN4xA/B à deux canaux affectée pour la

demande de la fonction de sécurité a-t-elle été activée, la

fonction de sécurité affectée a-t-elle été immédiatement

exécutée et l'erreur “Violation du temps de discordance”

(affichage 57-1) dans le CMMP-AS-...-M3 a-t-elle été signa

lée une fois le temps de discordance écoulé ?

Oui 0 Non 0 0

4 Mise en service


N° RéaliséeConcerneQuestions

– En cas d'utilisation de sorties sûres – à effectuer séparé

ment pour chaque sortie :

Les deux sorties DOUT4xA/B se coupent-elles de façon

équivalente en présence de la condition de commutation

correspondante et l'état sûr est-il adopté en cas d'erreur

(rupture de câble, court-circuit, etc.) dans l'interrupteur de

sécurité suivant ?

Oui 0 Non 0 0

– Uniquement en cas d'utilisation d'un interrupteur de sécu

rité avec évaluation du contact d'accusé de réception

C1/C2 :

En cas de court-circuit, l'actionneur est-il immobilisé de C1

vers C2 au plus tard au moment de la prochaine demande

de sécurité ?

Oui 0 Non 0 0

– La remise en marche est-elle empêchée ? Est-ce que cela

signifie que, en cas d'arrêt d'urgence actionné et de signaux

d'activation actifs, aucun mouvement ne se produit sans un

acquittement préalable par l'entrée “Remise en marche” en

cas d'ordre de démarrage ?

Oui 0 Non 0 0

Tab. 4.12 Questions pour la validation selon la norme EN ISO 13849-2 (exemple)

5 Conditions d'utilisation et d'emploi



5.1 Obligations de l'exploitant

Il convient de contrôler le bon fonctionnement du module de sécurité CAMC-G-S3 selon des intervalles

définis. L'exploitant est tenu de définir le mode de contrôle et la durée des intervalles. Ce contrôle se

doit de prouver le fonctionnement irréprochable du dispositif de sécurité par l'action concertée de tous

ses composants.

Intervalle de test (Proof-Test-Interval) � Annexe A, Tab. A.1.

AvertissementDanger dû à une perte de la fonction de sécurité !

En cas de panne secteur, les fonctions de sécurité ne sont pas garanties (exception :

couple désactivé de manière sûre, STO ; commande de freinage sûre, SBC).



� Selon l'application, veiller à assurer la sécurité de l'alimentation électrique ou

prévoir d'autres mesures adéquates.

5.2 Maintenance et entretien

Le module de sécurité ne nécessite aucune maintenance.

5.3 Fonctions de protection

5.3.1 Alimentation - Protection contre les surtensions et l'inversion de polarité Surveillancede la tension

L'alimentation 24 V est assurée par l'équipement de base. La plage de tension de service autorisée est

surveillée par le module de sécurité.

En outre, l'alimentation du module de sécurité est particulièrement protégée contre

– la surtension selon EN 61326-3-1,

– l'accroissement de l'alimentation 24 V en cas d'erreur jusqu'à 60 V (spécification de l'alimentation TBTS).

La protection contre l'inversion de polarité est assurée par l'appareil de base.

5.3.2 Alimentation de l'électronique interneLes tensions de service internes sont générées à partir de l'alimentation 24 V.

Les tensions d'alimentation internes de l'électronique sont redondantes.

Les deux microcontrôleurs du module de sécurité sont ainsi alimentés séparément.

Ils surveillent toutes les tensions de service internes de manière réciproque.



5.3.3 Alimentation FailsafeL'“alimentation Failsafe” est l'élément central pour la commande des sorties. Par le biais d'un signal

dynamique, chaque microcontrôleur génère sa propre alimentation auxiliaire (interne) (U_FS1, U_FS2)

dédiée à la commande des différentes sorties (sûres) pour

– l'alimentation dédiée à la commande des pilotes, séparée pour les commutateurs supérieur et inférieur,

– la commande de freinage, séparée pour les interrupteurs de puissance BR+ et BR-,

– les sorties numériques DOUT40 – DOUT42, séparée pour la broche A et la broche B.

U_FS1 agit sur les sorties commandées par le microcontrôleur2 et U_FS2 sur les sorties du microcon

trôleur1. De cette manière, chaque microcontrôleur peut désactiver les sorties de l'autre microcon

trôleur en cas d'erreur.

Lors de la défaillance d'un microcontrôleur (peu importe la cause – erreur matérielle, incident prog

ramme, etc.), l'alimentation “Failsafe” correspondante est coupée et les sorties sont désactivées.

5.3.4 Fonctions de protection pour les sorties numériquesLes sorties numériques sont protégées contre :

– Court-circuit après 0 V et 24 V et PE

– Courts-circuits transversaux vers les autres sorties

– Accroissement de la tension jusqu'à 60 V

Les sorties actives sont surveillées en cours de fonctionnement par des impulsions tests.

En cas d'erreur, toutes les sorties sont désactivées ensemble.

5.3.5 Fonctions de protection pour les entrées numériquesLes entrées numériques sont protégées contre :



– Dysfonctionnements dus à la surtension


Les entrées sont surveillées en cours de fonctionnement par le biais d'impulsions tests internes.

La surveillance des capteurs passifs raccordés s'effectue par le biais d'impulsions tests externes via

DOUT4x.

Dans le cas d'entrées multicanaux, un contrôle de vraisemblance est effectué lors de la commutation

simultanée avec la surveillance du temps de discordance.

5.3.6 Fonctions de protection pour la commande de freinageLes sorties pour la commande de freinage sont protégées contre :




Les sorties sont surveillées en cours de fonctionnement par des impulsions tests.

En cas d'erreur, les sorties sont désactivées.



5.3.7 Fonctions de protection de l'alimentation pour la commande des pilotesLes sorties pour la commande des pilotes sont protégées contre :

– Court-circuit après 0 V et 5 V ainsi que la tension externe jusqu'à 60 V

– Courts-circuits transversaux entre les deux alimentations


Les sorties sont surveillées en cours de fonctionnement par des impulsions tests.

En cas d'erreur, les sorties sont désactivées.

5.3.8 Fonctions de protection pour les codeurs de position raccordés

La fonction des codeurs de position est surveillée en cours de fonctionnement.

L'étendue de la surveillance dépend du type de codeur utilisé, par ex. :

– Surveillance des signaux de voie analogiques, des amplitudes et surveillance des longueurs vecto

rielles avec SIN/COS, les codeurs Hiperface ainsi que les résolveurs

– Surveillance de la communication avec les codeurs purement sériels

– En plus, contrôle de vraisemblance des données de position par le biais de la surveillance d'accélé

ration

– Comparaison des données de position et de vitesse du codeur de position 1 avec celles du codeur

de position 2 dans le cadre d'une comparaison croisée entre les microcontrôleurs

– Surveillance de temps en cas d'arrêt et fonction de sécurité demandée pour le codeur de position

sans dynamisation forcée (surveillance 24h/24).

5.3.9 Fonctions de protection internes de l'électronique du module de sécuritéLe module de sécurité possède de nombreuses fonctions de surveillance internes supplémentaires,

exécutées mutuellement par les microcontrôleurs internes :

– Dynamisation de nombreux signaux analogiques internes par le biais d'impulsions tests

– Surveillance propre des microcontrôleurs en cours de fonctionnement par le biais de tests de mé

moire, de tests OP-Code et de la surveillance de stack et de l'exécution du programme

– Comparaison croisée de l'exécution correcte du programme et de l'exécution synchrone du prog

ramme entre le microcontrôleur1 et le microcontrôleur2

– Comparaison croisée de l'ensemble des principaux états de fonctionnement et des principales va

riables d'état entre le microcontrôleur1 et le microcontrôleur2

– Surveillance des conditions ambiantes (température)

– Surveillance des interfaces de communication internes

– Surveillance de la communication vers l'extérieur

– Surveillance de l'intégrité des données des blocs de paramètres sûrs

– Surveillance des états de fonctionnement et changement

– Surveillance de la session de paramétrage (session, mot de passe, priorité de commande, ...)

– Surveillance de l'état d'erreur



5.3.10 Surveillance du respect des fonctions de sécurité demandéesToutes les fonctions de sécurité et fonctions logiques demandées font l'objet d'une surveillance

permanente dans le module de sécurité. En cas de dépassement d'une limite de sécurité, l'erreur

correspondante se déclenche. La surveillance comprend essentiellement :

– Respect des limites de vitesse fixées

– Respect des limites de position fixées

– Surveillance d'arrêt

– Respect des conditions de temps demandées

– Surveillance des signaux d'accusé de réception (disponibilité, fonction de transfert)

– Surveillance 24h/24 (en cas d'arrêt de service sûr SOS et commande de freinage sûre SBC)



5.4 Diagnostic et dépannage

5.4.1 Témoins LED sur le module de sécurité

L'état de fonctionnement est affiché directement par la LED d'état bicolore du module de sécurité.

� Figure au paragraphe 2.1.4, Fig. 2.1.

Les états suivants sont affichés :

Témoins LED État de fonctionnement Message d'état1)

Clignote enrouge

Le module de sécurité se trouve à l'état “Erreur interne”,erreur dans le module de sécurité.

VOUT_ERROR = 1

� � � � �

est allumée enrouge

Le module de sécurité est à l'état “Non-respect desconditions de sécurité”, réaction à l'erreur initiée.

VOUT_SCV = 1VOUT_SFR = 1

� � � � �

allumée enjaune

Le module de sécurité se trouve à l'état “État sûr atteint”. VOUT_SSR = 1VOUT_SFR = 1

� � � � �

clignote enjaune

Le module de sécurité se trouve à l'état “Fonction de sécurité demandée, pas encore atteinte”.

VOUT_SFR = 1

� � � � �

clignote enrouge/vert

Le module de sécurité se trouve à l'état “État à la livraison -paramétrage du contrôleur de moteur”. L'actionneur estactivé, toutes les I/O numériques sont hors tension.

VOUT_SERVICE = 1VOUT_PS_EN = 1

� � � � �

clignote envert

– Le module de sécurité se trouve à l'état “Service” (étatinitial).

– Le bloc de paramètres du module de sécurité n'est pasvalidé.

– Aucun bloc de paramètres n'est disponible dans le contrôleur de moteur.

– Une session de paramétrage a été ouverte.– Les blocs de paramètres dans le contrôleur de moteur et

le module de sécurité diffèrent.

VOUT_SERVICE = 1VOUT_PS_EN = 0

� � � � �

est allumée envert

Le module de sécurité se trouve à l'état “Opérationnel, aucune fonction de sécurité demandée”. Le module de sécurité a été initialisé sans erreur et est opérationnel.

VOUT_READY = 1VOUT_PS_EN = 1

� � � � �

éteinte Le module de sécurité n'est pas initialisé / pas opérationnel. VOUT_READY = 0VOUT_PS_EN = 0� � � � �

1) Élément des “sorties virtuelles” � Paragraphe B.1.3, Tab. B.6

Tab. 5.1 Témoins LED du module de sécurité

La description intégrale des états figure au � paragraphe 2.10.1, Tab. 2.88.



5.4.2 Afficheur à 7 segments du contrôleur de moteur

NotaL'afficheur à sept segments du contrôleur de moteur sert exclusivement à indiquer le

diagnostic. L'affichage de données de sécurité nécessiterait un test fonctionnel de l'af

fichage effectué en amont – cette disposition n'est pas prévue.

Les messages d'état du contrôleur de moteur sont affichés sur l'afficheur à 7 segments du contrôleur

de moteur. De plus, le module de sécurité peut afficher des messages d'état et d'erreur via l'afficheur à

7 segments, si le contrôleur de moteur ne se trouve pas à l'état d'erreur.

Affichage de chaînes de caractères

Les caractères individuels sont affichés à la suite. L'affichage est brièvement bloqué lors de chaque

changement de caractère.

L'affichage est répété de manière cyclique. Une pause sépare le dernier caractère de la chaîne de ca

ractères et le premier caractère de la répétition, l'affichage est brièvement éteint.

Les chaînes de caractères peuvent également être affichées par “clignotement rapide”. Chaque ca

ractère clignote alors plusieurs fois pendant la durée d'affichage.

Affichage d'erreurs

Seuls les avertissements et les erreurs sont affichés (une erreur s'est produite dont la réaction n'est

pas paramétrée sur “Aucune réaction, uniquement entrée dans la mémoire de diagnostic”).

L'affichage des erreurs du module de sécurité se déroule de la même manière que l'affichage des

erreurs dans le contrôleur de moteur.

Une fonction de sécurité est demandée

Les fonctions entraînant un arrêt de l'actionneur (STO, SOS, SS1, SS2) sont affichées en priorité. Dans

le cas contraire, la dernière fonction de sécurité demandée est affichée.

Si une fonction de sécurité est demandée mais que l'état sûr n'a pas encore été atteint, le nom de la

fonction clignote rapidement.

L'affichage des fonctions de sécurité demandées se déroule comme décrit dans le tableau suivant.

Fonction de sécurité Affichage

STO S t O

SS1 S S 1

SS2 S S 2

SOS S O S



Fonction de sécurité Affichage

USF0 (avec SSF0 : SLS, SSR, SSM) U S F 0




SBC S b C

Tab. 5.2 Affichage des fonctions de sécurité

Autres affichagesLe tableau suivant indique d'autres affichages en rapport avec le module de sécurité.

Fonction/état Affichage

Session de paramétrage activeLa suite de caractères est affichée

de manière cyclique tant qu'une

session de paramétrage est active.

F S P A r A

Indentifier le contrôleurLa suite de caractères HELLO suivie

du numéro de série1) de l'appareil de

base est affichée de manière cyc

lique tant que la fonction “Iden

tification” est active (fonction

angulaire).

H E L L O ...

1) Le numéro de série de l'appareil de base est affiché dans le plugin FCT à la page “Contrôleur” ainsi que dans le SafetyTool. Par

ailleurs, le numéro de série est indiqué sur un petit autocollant au bas de l'appareil (entre [X6] et [X2A] ).

Tab. 5.3 Autres affichages



5.5 Messages d'erreur et traitement des erreurs

5.5.1 Numéros d’erreur

Les numéros d'erreur compris entre 51 et 59 sont réservés au module de sécurité.

Le tableau suivant donne un aperçu pour l'affectation.

N° Description

51-x Contrôleur de moteur : erreur matérielle (module de sécurité disponible,

changement de module).

52-x Contrôleur de moteur : erreurs du module de sécurité (machine d'état, temps de

discordance, ...) et erreurs du contrôleur de moteur dans la mesure où elles

touchent le module de sécurité.

53-x Module de sécurité : (erreur du module de sécurité).

54-x

55-x

56-x

57-x

58-x

59-x

Tab. 5.4 Messages d'erreur générés par le contrôleur de moteur et le module de sécurité

5.5.2 Validation des erreurs

Les erreurs 51-x et 52-x générées par le contrôleur de moteur peuvent être validées par le contrôleur de

moteur � voir description des fonctions du CMMP-AS-...-M3.

Les erreurs 53-x à 59-x sont générées par le module de sécurité et peuvent uniquement être validées

par le module de sécurité.

La validation s'effectue par le biais de l'entrée de commande paramétrée sur le module de sécurité ou

dans le SafetyTool (sur la page d'accueil “Module de sécurité” ou dans la fenêtre “Affichage d'erreur” –

Menu [Extras] [Diagnostic] [Erreur]. Ainsi, toutes les erreurs, y compris l'erreur de l'appareil de base,

sont validées dans la mesure du possible.

Après un redémarrage du contrôleur de moteur (touche de réinitialisation de l'appareil de base ou

désactivation/activation de l'alimentation électrique), les erreurs sont également “validées” si la cause

a été éliminée.

Pour de plus amples informations, relatives à la validation des erreurs dans le module de

sécurité, se reporter au � paragraphe 2.8.3.



5.5.3 Messages de diagnosticLorsqu'une erreur survient, elle est signalée par le module de sécurité au moyen d'une LED allumée ou

clignotant en rouge. De plus, le contrôleur de moteur CMMP-AS-...-M3 affiche de manière cyclique un

message de diagnostic sur l'afficheur à 7 segments. Un message d'erreur se compose d'un E (pour

Error), d'un index principal et d'un sous-index, par ex. : E 0 1 0.

Les avertissements ont le même numéro qu'un message d'erreur. Les avertissements se distinguent

toutefois par un tiret placé avant et après, par ex.- 1 7 0 -.

Les messages d'erreur importants pour la sécurité fonctionnelle liée au module de sécu

rité sont répertoriés au paragraphe 5.6.

La liste complète des messages d'erreur figure dans la documentation Matériel GDCP-

CMMP-M3-HW-... du contrôleur de moteur utilisé.

Tab. 5.5 explique les entrées des tableaux au paragraphe 5.6

Colonne Signification

N° Index principal et sous-index du message de diagnostic.

Code La colonne Code contient le code d'erreur (hexadécimal) via le profil CiA 301.

Message Message affiché dans FCT.

Cause Causes éventuelles du message.

Mesure Mesure à mettre en œuvre par l'utilisateur.

Réaction La colonne Réaction précise la réaction en cas d'erreur (réglage par défaut,configuration partielle possible) :– PS off (désactiver l'étage de sortie),– MCStop (arrêt rapide avec courant maximal),– QStop (arrêt rapide avec rampe paramétrable),– Warn (avertissement),– Ignore (pas de message, uniquement entrée dans la mémoire de diagnostic),– NoLog (pas de message et pas d'entrée dans la mémoire de diagnostic).La réaction aux erreurs 53-x à 59-x est configurée via le SafetyTool :– Demande SBC + STO + régler toutes les sorties numériques sur “0” [8]– Demande SBC + STO [7]– Demande STO [6]– Demande SBC SS1 [5]– Demande SS1 [4]– Demande SS2 [3]– Génération d'un avertissement, aucune autre réaction [2] – correspond à

“Warn”– Aucune réaction, uniquement entrée dans la mémoire de diagnostic [1] –

correspond à “Entrée”– Aucune réaction, aucune entrée dans la mémoire de diagnostic [0] –

correspond à “Ignore”

Tab. 5.5 Explications des tableaux “Messages de diagnostic du CMMP-AS-...-M3”

En cas de message d'erreur impossible à valider, commencer par en éliminer la cause en adoptant les

mesures recommandées. Effectuer ensuite une réinitialisation du contrôleur de moteur et vérifier si la

cause de l'erreur a été réparée et si le message d'erreur a disparu.



5.6 Messages de diagnostic avec remarques relatives à l'élimination del'incident

Groupe d'erreurs 0 InformationN° Code Message Réaction

0-0 - Défaut non valable IgnoreCause Information : une entrée d'erreur non valable (corrompue) a été

marquée avec ce numéro d'erreur dans la mémoire de diag

nostic.

L'entrée correspondant à l'heure système est réglée sur 0.Mesure –

0-1 - Erreur non valable détectée et corrigée IgnoreCause Information : une entrée d'erreur non valable (corrompue) a été

détectée et corrigée dans la mémoire de diagnostic. Le numéro

d'erreur d'origine figure dans l'information supplémentaire.

L'entrée de l'heure du système comprend l'adresse du numéro

d'erreur corrompu.Mesure –

0-2 - Erreur effacée IgnoreCause Information : l'erreur active a été validée.Mesure –

0-4 - Numéro de série/type d'appareil (changement de module) IgnoreCause Information : � Entrée dans la mémoire de diagnostic.Mesure –

0-7 - Entrée suivante IgnoreCause Information : � Entrée dans la mémoire de diagnostic.Mesure –

0-8 - Contrôleur mis sous tension IgnoreCause Information : � Entrée dans la mémoire de diagnostic.Mesure –

0-9 - Contrôleur - paramètres de sécurité modifiés IgnoreCause Information : � Entrée dans la mémoire de diagnostic.Mesure –

0-10 - Module de sécurité : Paramètres modifiés IgnoreCause Information : � Entrée dans la mémoire de diagnostic.Mesure –

0-11 - Remplacement du module : module précédent IgnoreCause Information : � Entrée dans la mémoire de diagnostic.Mesure –

0-12 - Remplacement du module : module actuel IgnoreCause Information : � Entrée dans la mémoire de diagnostic.Mesure –

0-13 - Module de sécurité : Erreur validée IgnoreCause Information : � Entrée dans la mémoire de diagnostic.Mesure –



Groupe d'erreurs 0 Information

N° RéactionMessageCode

0-14 - Fonction de sécurité demandée IgnoreCause Information : � Entrée dans la mémoire de diagnostic.Mesure –

0-15 - Module de sécurité : Session de paramétrage ouverte IgnoreCause Information : � Entrée dans la mémoire de diagnostic.Mesure –

0-16 - Module de sécurité : Session de paramétrage fermée IgnoreCause Information : � Entrée dans la mémoire de diagnostic.Mesure –

0-17 - Module de sécurité : Mot de passe modifié IgnoreCause Information : � Entrée dans la mémoire de diagnostic.Mesure –

0-18 - Module de sécurité : Mot de passe réinitialisé IgnoreCause Information : � Entrée dans la mémoire de diagnostic.Mesure –

0-19 - Module de sécurité : Bloc de paramètres chargé IgnoreCause Information : � Entrée dans la mémoire de diagnostic.Mesure –

0-20 - Module de sécurité : Bloc de paramètres enregistré IgnoreCause Information : � Entrée dans la mémoire de diagnostic.Mesure –

0-21 - Entrée journal issue du module de sécurité IgnoreCause Information : � Entrée dans la mémoire de diagnostic.Mesure –

Groupe d'erreurs 51 Fonction/module de sécuritéN° Code Message Réaction

51-0 8091h Module de sécurité absent/inconnu ou alimentation pilotedéfectueuse

PSoff

Cause Erreur interne liée à la tension du module de sécurité ou de

commutation.Mesure � Module vraisemblablement défectueux. Si possible, le rem

placer par un autre module.Cause Aucun module de sécurité détecté ou type de module inconnu.Mesure � Installer un module de sécurité ou de commutation adapté

au firmware et au matériel.

� Charger un firmware adapté au module de sécurité ou de

commutation en comparant la désignation du type indiquée

sur le module.



Groupe d'erreurs 51 Fonction/module de sécurité


51-1 8092h Fonction de sécurité : Alimentation pilote défectueuse PSoffCause Erreur matérielle interne (défaut de tension) du module de

sécurité ou du module de micro-interrupteurs.Mesure � Module vraisemblablement défectueux. Si possible, le rem

placer par un autre module.Cause – Erreur dans la partie de circuit du pilote de freinage de

l'appareil de base.Mesure � Appareil de base vraisemblablement défectueux. Si

possible, le remplacer par un autre appareil de base.51-2 8093h Module de sécurité : type de module différent PSoff

Cause Ce type ou cette révision du module n'est pas adapté à la

conception.Mesure � Vérifier si le type de module et la révision correcte sont utilisés.

� En cas de changement de module : Type de module pas

encore projeté. Valider le module de sécurité ou de com

mutation actuellement installé en le désignant comme

accepté.51-3 8094h Module de sécurité : version de module différente PSoff

Cause Ce type ou cette révision du module n'est pas pris en charge.Mesure � Installer un module de sécurité ou de commutation adapté

au firmware et au matériel.

� Charger un firmware adapté au module en comparant la

désignation du type indiquée sur le module.Cause Le type de module est correct mais la révision du module n'est

pas prise en charge par l'appareil de base.Mesure � Contrôle de la révision du module ; après le remplacement,

utiliser dans la mesure du possible un module de même

révision. Monter un module de sécurité ou un module de

micro-interrupteurs pour le firmware et le matériel.

� Si seul un module avec une révision supérieure est

disponible : Charger un firmware adapté au module dans

l'appareil de base, en comparant la désignation de type sur

le module.51-4 8095h Module de sécurité : Erreur de communication SSIO PSoff

Cause La connexion de communication interne entre l'appareil de

base et le module de sécurité est perturbée.Mesure � L'erreur peut survenir lorsqu'un CAMC-G-S3 a été prévu

dans l'appareil de base mais qu'un autre type de module a

finalement été branché.

� Charger un firmware adapté au module de sécurité ou de

commutation en comparant la désignation du type indiquée

sur le module.



Groupe d'erreurs 51 Fonction/module de sécurité


51-5 8096h Module de sécurité : Erreur dans la commande de freinage PSoffCause Erreur matérielle interne (signaux de pilotage de la commande

de freinage) du module de sécurité ou du module de micro-

interrupteurs.Mesure � Module vraisemblablement défectueux. Si possible, le rem

placer par un autre module.Cause Erreur dans la partie commande du pilote de freinage de


possible, le remplacer par un autre appareil de base.51-6 8097h Module de sécurité : Numéro de série du module différent PSoff

Cause Le numéro de série du module de sécurité actuellement branc

hé diffère de celui qui est enregistré.Mesure Cette erreur ne survient qu'après un remplacement du CAMC-

G-S3.

� En cas de changement de module : type de module pas

encore projeté. Valider le CAMC-G-S3 actuellement installé

en le désignant comme accepté.

Groupe d'erreurs 52 Fonction de sécuritéN° Code Message Réaction

52-1 8099h Fonction de sécurité : Temps de discordance dépassé PSoffCause – Les entrées de pilotage STO-A et STO-B ne sont pas confir

mées simultanément.Mesure � Vérifier l'écart du temps de commutation.Cause – Les entrées de pilotage STO-A et STO-B ne sont pas action

nées dans le même sens.Mesure � Vérifier l'écart du temps de commutation.Cause Alimentations OS et US non branchées simultanément (temps

de discordance dépassé)– Erreur dans la commande / le câblage externe du module de

sécurité.

– Erreur dans le module de sécurité.Mesure � Contrôler le câblage du module de sécurité. Les entrées

STO-A et STO-B sont-elles désactivées simultanément et viadeux canaux ?

� Remplacer le module de sécurité, si un défaut du moduleest soupçonné.



Groupe d'erreurs 52 Fonction de sécurité


52-2 809Ah Fonction de sécurité : défaillance de l'alimentation despilotes avec commande PWM activée

PSoff

Cause Ce message d'erreur n'apparaît pas sur les appareils livrés endépart usine. Il risque de survenir en cas d'utilisation d'unfirmware pour appareil spécifique au client.

Mesure � L'état sûr a été demandé avec l'étage de sortie depuissance libéré. Vérifier l'intégration dans la mise enmarche sécurisée.

52-3 809Bh Module de sécurité : Chevauchement des limites devitesse de rotation dans l'appareil de base

PSoff

Cause L'appareil de base signale une erreur, lorsque le sens de déplacement actuellement demandé n'est pas exécutable car lemodule de sécurité a verrouillé la valeur de consigne dans cettedirection.Cette erreur peut survenir en lien avec les fonctions de sécuritéSSFx ayant trait à la vitesse, en cas d'utilisation d'une fenêtrede vitesse asymétrique dont une des limites est fixée à zéro.Dans ce cas, l'erreur apparaît lorsque l'appareil de basese trouve en mode positionnement et se déplace dans la direction verrouillée.

Mesure � Contrôler l'application et la modifier si nécessaire.

Groupe d'erreurs 53 Non-respect des conditions de sécuritéN° Code Message Réaction

53-0 80A1h USF0 : condition de sécurité non respectée ConfigurableCause – Non-respect des limites de vitesse contrôlées de SSF0 en

cours de fonctionnement/en cas de demande deUSF0/SSF0.

Mesure Rechercher le moment auquel les conditions de sécurité n'ontplus été satisfaites :a) lors du freinage dynamique pour atteindre une vitesse de

rotation sûreb) une fois que l'actionneur a atteint la vitesse de rotation sûre.� Pour a) Enregistrement du contrôle critique de la rampe de

freinage Trace - l'actionneur peut-il suivre la rampe ?� Modifier les paramètres de la rampe de freinage ou du point de

départ/des durées de temporisation pour la surveillance.� Pour b) Contrôle visant à déterminer l'écart entre la vitesse

actuelle et la vitesse limite surveillée ; le cas échéant, augmenter l'écart (paramètres dans le module de sécurité) oucorriger les valeurs de vitesse par défaut dans l'automate.

53-1 80A2h USF1 : condition de sécurité non respectée ConfigurableCause – Non-respect des limites de vitesse contrôlées de SSF1 en cours

de fonctionnement/en cas de demande de USF1/SSF1.Mesure � voir USF0, erreur 53-0.



Groupe d'erreurs 53 Non-respect des conditions de sécurité






Groupe d'erreurs 54 Non-respect des conditions de sécuritéN° Code Message Réaction

54-0 80AAh SBC : condition de sécurité non respectée ConfigurableCause – Le freinage doit être exécuté, l'information en retour

n'intervient pas dans le délai prévu.Mesure � Vérifier la configuration de l'information en retour. Le choix

de l'entrée pour l'information en retour est-il correct ?� La polarité du signal d'accusé de réception est-elle

adaptée ?� Vérifier également que le signal d'accusé de réception se

déclenche correctement.� La durée de temporisation paramétrée convient-elle pour l'ana

lyse du signal d'accusé de réception correspondant au freinutilisé (le cas échéant, mesurer le temps de commutation).

54-2 80ACh SS2 : condition de sécurité non respectée ConfigurableCause – La valeur réelle de vitesse de rotation reste trop longtemps

en dehors des limites autorisées.Mesure Rechercher le moment auquel les conditions de sécurité n'ont

plus été satisfaites :a) à zéro lors du freinage dynamique.b) une fois que l'actionneur a atteint la vitesse de rotation zéro.� Pour a) Enregistrement du contrôle critique de la rampe de

freinage Trace - l'actionneur peut-il suivre la rampe ? Modifier les paramètres de la rampe de freinage ou du point dedépart/des durées de temporisation pour la surveillance.

� Pour a) Lorsque l'option de déclenchement de l'arrêt rapidede l'appareil de base est paramétrée : Contrôle critique dela rampe d'arrêt rapide de l'appareil de base.

� Pour b) Contrôle � Si l'actionneur continuer de vibrer unefois la vitesse de rotation zéro atteinte ou si l'actionneurreste stable, augmenter la variation de temps du contrôle lecas échéant.

� Pour b) Si la valeur réelle de vitesse à l'arrêt est très perturbée. Contrôler et, si nécessaire, adapter les paramètresexperts pour l'enregistrement de la vitesse de rotation et ladétection d'arrêt.





54-3 80ADh SOS : condition de sécurité non respectée ConfigurableCause – L'analyse du codeur angulaire signale que “Le moteur

tourne” (la valeur réelle de vitesse de rotation dépasse lalimite).

– L'actionneur a tourné et a abandonné sa position aprèsavoir atteint l'état sécuritaire.

Mesure � Contrôler la tolérance de positionnement pour la surveillance SOS, le cas échéant l'augmenter si admissible.

� Lorsque la valeur réelle de vitesse à l'arrêt est très perturbée : Contrôler, et si nécessaire, adapter les paramètresexperts pour l'enregistrement de la vitesse de rotation et ladétection d'arrêt.

54-4 80AEh SS1 : condition de sécurité non respectée ConfigurableCause – La valeur réelle de vitesse de rotation reste trop longtemps

en dehors des limites autorisées.Mesure Rechercher le moment auquel les conditions de sécurité n'ont

plus été satisfaites :a) à zéro lors du freinage dynamique.b) une fois que l'actionneur a atteint la vitesse de rotation zéro.� Pour a) Enregistrement du contrôle critique de la rampe de

freinage Trace - l'actionneur peut-il suivre la rampe ? Modifier les paramètres de la rampe de freinage ou du point dedépart/des durées de temporisation pour la surveillance.

� Pour a) Lorsque l'option de déclenchement de l'arrêt rapidede l'appareil de base est paramétrée : Contrôle critique dela rampe d'arrêt rapide de l'appareil de base.

� Pour b) Contrôle � Si l'actionneur continuer de vibrer unefois la vitesse de rotation zéro atteinte ou si l'actionneurreste stable, augmenter la variation de temps du contrôle lecas échéant.

� Pour b) Lorsque la valeur réelle de vitesse à l'arrêt est trèsperturbée : Contrôler, et si nécessaire, adapter les paramètres experts pour l'enregistrement de la vitesse derotation et la détection d'arrêt.





54-5 80AFh STO : condition de sécurité non respectée ConfigurableCause – Erreur matérielle interne (défaut de tension) du module de

sécurité.Mesure � Module vraisemblablement défectueux. Si possible, le rem

placer par un autre module.Cause – Erreur dans la partie de circuit du pilote de freinage de


possible, le remplacer par un autre appareil de base.Cause – L'information de retour émanant de l'appareil de base, pour

signaler que l'étage de sortie est désactivé, reste coupée.Mesure � Vérifier que l'erreur peut être validée et que STO réapparaît

lors du renouvellement de la demande. Si oui : Appareil debase vraisemblablement défectueux. Si possible, le remplacer par un autre appareil de base.

54-6 80B0h SBC : Frein > 24 h sans ventilation ConfigurableCause – Une erreur survient lorsque SBC est demandée et que le

frein n'a pas été ouvert par l'appareil de base au cours desdernières 24 h.

Mesure � Lorsque la commande de freinage intervient via le pilote defreinage de l'appareil de base [X6] : Le frein doit être alimenté en courant au moins une fois dans la limite de 24 V avantla requête SBC, étant donné que le contrôle de l'interrupteur de puissance ne peut être opéré que lorsque le freinest activé (sous tension).

� Uniquement lorsque la commande de freinage intervient viaDOUT4x et un appareil de commande de freinage externe :Désactiver la surveillance 24 h dans les paramètres SBC sil'appareil de commande de freinage externe le permet.

54-7 80B1h SOS : SOS > 24 h demandée ConfigurableCause – Si SOS est demandée pour une durée supérieure à 24 h,

une erreur se déclenche.Mesure � Entre temps, terminer SOS et déplacer l'axe une fois.



Groupe d'erreurs 55 Mesure de la valeur réelle 1N° Code Message Réaction

55-0 80C1h Aucune valeur réelle de vitesse de rotation/de positiondisponible ou arrêt > 24 h

Configurable

Cause – Erreur consécutive en cas de panne d'un codeur de position.

– Fonction de sécurité SSF, SS1, SS2 ou SOS demandée et

valeur réelle de vitesse de rotation non valable.Mesure � Contrôle du fonctionnement du/des codeur(s) de position

(voir erreur suivante).55-1 80C2h Codeur SIN/COS [X2B] - Erreur de signaux de voie Configurable

Cause – Longueur vectorielle sin²+cos² en dehors de la plage autorisée.

– Amplitude de l'un des deux signaux en dehors de la plage

autorisée.

– Décalage entre le signal analogique et le signal numérique >

1 quadrant.Mesure L'erreur peut survenir avec SIN/COS et les codeurs Hiperface.

� Contrôle du codeur de position.

� Contrôle du câblage de raccordement (rupture de câble,

terminaison entre deux signaux ou un signal/blindage).

� Contrôle de la tension d'alimentation pour le codeur de

position.

� Contrôle du câble de moteur/blindage du moteur et côté de

l'actionneur, des interférences CEM peuvent être à l'origine

de l'erreur.55-2 80C3h Codeur SIN/COS [X2B] - Arrêt > 24 h Configurable

Cause – Les signaux d'entrée du codeur Sin/Cos n'ont pas enregistré

de modifications supérieures à une grandeur minimale

durant 24 h (avec fonction de sécurité demandée).Mesure � Entre temps, terminer SS2 ou SOS et déplacer l'axe une fois.

55-3 80C4h Résolveur [X2A] - Erreur de signal ConfigurableCause – Longueur vectorielle sin²+cos² en dehors de la plage

autorisée.

– Amplitude de l'un des deux signaux en dehors de la plage

autorisée.

– Le signal d'entrée est statique (mêmes valeurs à droite et à

gauche du maximum).Mesure � Contrôle du résolveur.



� Contrôle de défaillance du signal d'excitation

� Contrôle du câble de moteur et du codeur/du blindage côté

moteur et actionneur. Les interférences CEM peuvent être à

l'origine de l'erreur.



Groupe d'erreurs 55 Mesure de la valeur réelle 1


55-4 - Codeur EnDat= [X2B] - erreur de capteur ConfigurableCause – Erreur de communication entre le module de sécurité et le

codeur ENDAT.

– Présence du message d'erreur du codeur ENDAT.Mesure � Contrôle du codeur ENDAT.



� Contrôle de la tension d'alimentation pour le codeur ENDAT.



de l'erreur.55-5 - Codeur EnDat [X2B] - type de capteur incorrect Configurable

Cause – Le nombre de traits ne correspond pas au paramétrage.

– N° de série ne correspond pas au paramétrage.

– Le type de codeur ne correspond pas au paramétrage.Mesure � Contrôler le paramétrage.

� Utiliser uniquement des codeurs autorisés.55-6 80C5h Codeur incrémentiel [X10] - Erreur des signaux de voie Configurable

Cause – Signaux de voie du codeur incrémentiel défectueux.Mesure � Contrôle du câblage de raccordement (rupture de câble,




de l'erreur.

55-7 80C6h Autres codeurs [X2B] - information relative à l'angleerronée

Configurable

Cause – Un message “Angle défectueux” est émis par l'appareil de

base lorsque l'état perdure plus longtemps que la durée

autorisée.

– Le codeur est analysé par l'appareil de base au niveau de X2B,

– Le codeur est défectueux.Mesure � Contrôle du codeur de position sur X2B.



� Contrôle de la tension d'alimentation pour le codeur ENDAT.



de l'erreur.





55-8 - Détection d'une accélération non autorisée ConfigurableCause – Erreur dans le codeur de position raccordé.

– Interférences CEM influant sur le codeur de position.

– Accélérations trop élevées par rapport au seuil admissible

dans les profilés de déplacement.

– Limite d'accélération paramétrée sur une valeur trop basse.

– Discontinuité angulaire selon la mise en référence, dans les

données de position transmises par l'appareil de base au

module de sécurité.Mesure � Contrôle du codeur de position raccordé : si d'autres

messages d'erreur en lien avec les codeurs surviennent,éliminer tout d'abord leur origine.

� Contrôle du câble de moteur et du codeur/du blindage côtémoteur et actionneur. Les interférences CEM peuvent être àl'origine de l'erreur.

� Contrôle des valeurs de consigne/profilés de déplacementde l'automate : ces derniers comprennent-ils des accélérations trop importantes, supérieures aux limites toléréespar la surveillance d'accélération (P06.07) ?

� Contrôle visant à vérifier que la valeur limite pour la surveillance d'accélération est correctement paramétrée. La valeurlimite (P06.07) doit se situer au moins 30 % ... 50 % au-dessus de l'accélération maximale en présence.

� En cas de discontinuité angulaire dans les données de position de l'appareil de base, valider l'erreur une fois.

Groupe d'erreurs 56 Mesure de la valeur réelle 2N° Code Message Réaction

56-8 80D1h Différence de vitesse de rotation/angulaire - codeurs 1 - 2 ConfigurableCause – La différence de vitesse de rotation entre le codeur 1 et le

codeur 2 d'un μC est plus importante que le seuil autorisé,

en dehors de la plage admissible.

– La différence angulaire entre le codeur 1 et le codeur 2 d'un

μC est plus importante que le seuil autorisé, en dehors de la

plage admissible.Mesure � Le problème peut survenir si deux codeurs de position sont

utilisés dans le système sans être accouplés de manière

rigide.

� Contrôle de l'élasticité (Lose), améliorer la mécanique.

� Adaptation des paramètres experts pour la comparaison

des positions, dans la mesure où c'est acceptable du point

de vue de l'application.





56-9 - Erreur - comparaison croisée de l'analyse des codeurs ConfigurableCause La comparaison croisée entre μC1 et μC2 a révélé une dif

férence angulaire ou une différence de vitesse de rotation ou

un écart entre les temps d'enregistrement des codeurs de po

sition.Mesure � Timing perturbé. Lorsque l'erreur survient de nouveau après

une RESET (Réinitialisation), il est possible que le module

de sécurité soit défectueux.

Groupe d'erreurs 57 Erreur entrées/sortiesN° Code Message Réaction

57-0 80E1h Erreur auto-test I/O (interne/externe) Configurable

Cause – Erreur sur les sorties DOUT40 ... DOUT42 (détection via des

impulsions tests).

– Erreur interne des entrées numériques DIN40 ... DIN49 (via

des signaux tests internes).

– Erreur au niveau de la sortie de freinage sur X6 (jeu du sig

nal, détection via des impulsions tests).

– Erreur interne de la sortie de freinage (via des signaux tests

internes).

– Erreur interne des sorties numériques DOUT40 � DOUT42

(via des signaux tests internes).

Mesure � Contrôle du câblage de raccordement des sorties numé

riques DOUT40 ... DOUT42 (court-circuit, court-circuit

transversal, etc.).

� Contrôle du câblage de raccordement pour le frein (court-

circuit, court-circuit transversal, etc.).

� Raccord de freinage : L'erreur peut survenir avec les câbles

de moteur relativement longs, si :

1. la sortie de freinage X6 a été configurée pour le frein (ce qui

est le cas avec les paramètres d'usine !) et

2. un moteur sans frein d'arrêt est utilisé et que les lignes de

raccordement du frein sont installés sur X6 dans le câble de

moteur. Dans ce cas : Débrancher les lignes de rac

cordement du frein de X6.

� En l'absence d'erreur dans le câblage de raccordement, il

est possible que le module présente un défaut interne (vé

rification par un échange du module).



Groupe d'erreurs 57 Erreur entrées/sorties


57-1 80E2h Entrées numériques - erreur niveau de signal ConfigurableCause Dépassement/non-respect du temps de discordance en pré

sence d'entrées multicanaux (DIN40 ... DIN44, terminal de

dialogue à deux mains, sélecteur de mode de fonctionnement).Mesure � Contrôle des capteurs externes actifs et passifs utilisés, ces

derniers sont-ils activés simultanément sur les deux canaux

(durant le temps de discordance paramétré).

� Terminal de dialogue à deux mains : Contrôle de l'utilisation

de l'appareil par l'utilisateur, les deux touches sont-elles

actionnées durant le temps de discordance ? Le cas

échéant, dispenser une formation.

� Contrôle des temps de discordance paramétrés, sont-ils

suffisants ?57-2 - Entrées numériques - erreur impulsion test Configurable

Cause – Une ou plusieurs entrées (DIN40 ... DIN49) ont été

configurées pour l'analyse des impulsions tests des sorties

(DOUT40 ... DOUT42). Les impulsions tests issues de DOUTx

ne parviennent pas à DIN4x.Mesure � Contrôle du câblage (court-circuits 0 V, 24 V, courts-circuits

transversaux).

� Contrôle de l'affectation, la sortie correcte a-t-elle été sélec

tionnée/configurée pour l'impulsion test ?57-6 - Température excessive du système électronique Configurable

Cause – La surveillance de température du module de sécurité s'est

déclenchée, la température de μC 1 ou μC2 était inférieure à

-20 °C ou supérieure à +75 °C.Mesure � Contrôle des conditions de service (température ambiante,

température du coffret de commande, position d'instal

lation dans le coffret de commande).

� Lorsque le contrôleur de moteur est soumis à des sol

licitations thermiques élevées (température élevée dans le

coffret de commande, puissance absorbée/rejetée élevée

au niveau du moteur, beaucoup d'emplacements d'enfic

hage occupés), il convient d'utiliser un contrôleur de

moteur présentant le niveau de puissance immédiatement

supérieur.



Groupe d'erreurs 58 Erreur lors de la communication/du paramétrageN° Code Message Réaction

58-0 80E9h Contrôle de vraisemblance des paramètres ConfigurableCause Le contrôle de vraisemblance du module de sécurité a signalé

des erreurs, par ex. une configuration de codeur angulaire nonadmissible ; l'erreur se produit lors de la demande d'un code devalidation par le SafetyTool et lors de la sauvegarde des paramètres dans le module de sécurité.

Mesure � Suivre les consignes émises par le SafetyTool lors de la validation globale, effectuer un contrôle critique du paramétrage.

58-1 - Erreur générale de paramétrage ConfigurableCause Session de paramétrage active depuis > 8 h.

Le module de sécurité a donc mis fin à la session de paramétrageLe message d'erreur est enregistré dans la mémoire de diagnostic.

Mesure � Terminer la session de paramétrage dans un délai de 8 h, sinécessaire, redémarrer une autre session de paramétrageet continuer.

58-4 80E9h Tampon - communication interne Fixe [8]Cause – Connexion de communication perturbée.

– Timeout / erreur de données / ordre incorrect (compteur depacks) lors de la transmission des données appareil debase/module de sécurité.

– Trafic de données trop dense, nouvelles requêtes envoyéesau module de sécurité avant que les précédentes n'aientreçu une réponse.

Mesure � Contrôle des interfaces de communication, du câblage, dublindage, etc.

� Contrôle pour vérifier si d'autres appareils accèdent en lecture au contrôleur de moteur et au module de sécurité alorsqu'une session de paramétrage est en cours, risquant deprovoquer une sollicitation excessive de la connexion decommunication.

� Contrôle pour vérifier la compatibilité des versions dufirmware dans le module de sécurité et l'appareil de base etde la version de révision du plugin FCT et du SafetyTool.

58-5 80EAh Module de communication - appareil de base Fixe [8]Cause – Erreur du compteur de packs lors de la transmission μC1

<-� μC2.– Erreur de somme de contrôle lors de la transmission μC1

<-� μC2.Mesure � Interférence interne du contrôleur de moteur.

� Contrôle pour vérifier la compatibilité des versions dufirmware dans le module de sécurité et l'appareil de base etde la version de révision du plugin FCT et du SafetyTool.



Groupe d'erreurs 58 Erreur lors de la communication/du paramétrage


58-6 80EBh Erreur - comparaison croisée des processeurs 1 - 2 Fixe [8]Cause Timeout de la comparaison croisée (aucune donnée) ou compa

raison croisée défectueuse (les données μC1 et μC2 necoïncident pas).– Erreur de comparaison croisée des I/O numériques.– Erreur de comparaison croisée de l'entrée analogique.– Erreur de comparaison croisée de la mesure interne de ten

sion de service (5 V, 3,3 V, 24 V) et de la tension deréférence (2,5 V).

– Erreur de comparaison croisée des valeurs analogiques ducodeur angulaire SIN/COS.

– Erreur de comparaison croisée de la surveillance de l'exécution du programme.

– Erreur de comparaison croisée du compteur d'interruptions.– Erreur de comparaison croisée du schéma d'entrée.– Erreur de comparaison croisée, non-respect des conditions

de sécurité.– Erreur de comparaison croisée de la mesure de

température.Mesure Il s'agit d'une erreur interne du module qui ne devrait pas

survenir en cours de fonctionnement.� Contrôle des conditions de service (température, humidité

de l'air, embuage).� Contrôle pour vérifier la conformité du câblage CEM aux

prescriptions, du concept de blindage, y-a-t-il des sourcesd'interférence externes ?

� Il se peut que le module de sécurité soit défectueux, élimination des erreurs après remplacement du module ?

� Vérification de la disponibilité d'un nouveau firmware pourle contrôleur de moteur ou d'une nouvelle version du module de sécurité auprès du fabricant.

Groupe d'erreurs 59 Erreur interne du module de sécuritéN° Code Message Réaction

59-1 80F1h Alimentation Failsafe (sans faille)/blocage d'impulsions sûr Fixe [8]Cause – Erreur interne du module dans la partie de circuit de l'ali

mentation Failsafe ou dans l'alimentation pilote pour lescommutateurs supérieur ou inférieur.

Mesure � module défectueux, le remplacer.59-2 80F2h Erreur d'alimentation électrique externe Fixe [8]

Cause – Tension de référence 2,5 V hors tolérance.– Détection d'une surtension de l'alimentation logique +24 V.

Mesure � module défectueux, le remplacer.



Groupe d'erreurs 59 Erreur interne du module de sécurité


59-3 80F3h Erreur de l'alimentation électrique interne Fixe [8]Cause – Tension (interne 3,3 V, 5 V, référence ADU) hors plage

autorisée.Mesure � module défectueux, le remplacer.

59-4 80F4h Gestion des erreurs : Trop d'erreurs Fixe [8]Cause – Le nombre d'erreurs survenues simultanément est trop

important.Mesure � Explication : Quel est l'état du module de sécurité installé,

contient-il un bloc de paramètres valide ?� Lire et analyser le ficher journal de l'appareil de base via FCT.� Éliminer les causes des erreurs pas à pas.� Monter le module de sécurité dans son état à la livraison et

mettre l'appareil de base en service.� En cas d'indisponibilité : établir les paramètres d'usine dans

le module de sécurité, puis procéder à la reprise de données à partir de l'appareil de base avant d'effectuer la validation globale. Vérifier si l'erreur réapparaît.

59-5 80F5h Erreur écriture mémoire de diagnostic Fixe [8]Cause Erreur consécutive en cas de perturbation de la communication

interne.

– Appareil de base non opérationnel, défectueux ou erreur demémoire.

Mesure � Contrôle du fonctionnement de l'appareil de base� Générer une erreur dans l'appareil de base, par ex. en déb

ranchant le connecteur du codeur de position, et vérifier sil'appareil inscrit une entrée dans le fichier journal.

� Module ou appareil de base défectueux, remplacer.59-6 80F6h Erreur lors de l'enregistrement du bloc de paramètres Fixe [8]

Cause – Coupure de courant / Power-Off lors de l'enregistrementdes paramètres.

Mesure � Maintenir l'alimentation électrique 24 V pendant toute lasession de paramétrage.

� Après l'apparition d'une erreur, re-paramétrer le module,valider de nouveau le bloc de paramètres.

59-7 80F7h Erreur de somme de contrôle FLASH Fixe [8]Cause – Coupure de courant / Power-Off lors de l'enregistrement

des paramètres.– Mémoire FLASH corrompue dans le module de sécurité (par

ex. en raison d'interférences très puissantes).Mesure Vérifier si l'erreur revient après une réinitialisation (RESET), si oui

� re-paramétrer le module, valider de nouveau le bloc deparamètres, si l'erreur perdure :

� module défectueux, le remplacer.



Groupe d'erreurs 59 Erreur interne du module de sécurité


59-8 80F8h Surveillance interne processeur 1 - 2 Fixe [8]Cause – Erreur interne grave dans le module de sécurité : Détection

d'une erreur lors de la dynamisation des signaux internes– Exécution du programme perturbée, erreur Stack (pile) ou

échec de l'OP-Code-Test, exception processeur/interruption.Mesure Vérifier si l'erreur revient après une réinitialisation (RESET), si oui

� module défectueux, le remplacer.59-9 80F9h Autre erreur inattendue Fixe [8]

Cause Déclenchement de la surveillance interne de l'exécution de

programme.Mesure � Vérification des versions de firmware de l'appareil de base

et de la révision du module de sécurité, � mise à jourdisponible ?

� Module de sécurité défectueux, le remplacer.

6 Maintenance, réparation, remplacement et mise au rebut



6.1 Maintenance

Le module de sécurité ne comporte aucune pièce nécessitant une maintenance.

6.2 Réparation

Une réparation ou maintenance du module de sécurité n'est pas autorisée. Si nécessaire,

remplacer le module de sécurité complet.

� Remplacer impérativement le module de sécurité en cas de défaut interne.

� Renvoyer le module de sécurité défectueux et non modifié, accompagné d'une description de

l'erreur et du cas d'utilisation, à des fins d'analyse à Festo.

� Veuillez contacter votre conseiller technique pour clarifier les modalités du retour.

6.3 Remplacement du module de sécurité

Dans le cas où un module de sécurité est défaillant et remplacé, s'assurer de l'absence d'un état de

danger en prenant des mesure organisationnelles. Cela suppose

– que le module de sécurité n'est pas remplacé par un autre type de module sans fonctionnalité de

sécurité (module de micro-interrupteurs),

– que le module de sécurité n'est pas remplacé par un autre type de module avec une gamme de

fonctions réduite (CAMC-G-S3 contre CAMC-G-S1).

– que la version de révision du nouveau module de sécurité correspond ou est compatible avec celle

de l'ancien module de sécurité,

– que le paramétrage du nouveau module de sécurité correspond au paramétrage du module de

sécurité défectueux.

La désignation de type du module de sécurité et la version de révision figurent sur la

plaque signalétique � Tab. 1, page 9.

Respecter les mesures organisationnelles nécessaires afin d'éviter les erreurs en relation avec le

changement de module.

En raison du numéro de série différent du module de sécurité et du nouveau code de validation, créer

impérativement un nouveau rapport de validation.



6.3.1 Démontage et montageAvant un remplacement de module, vérifier la compatibilité entre le module de sécurité et l'appareil de

base, voir également � paragraphe “Versions” dans les premières pages de la présente documen

tation.

Des informations concernant le démontage et le montage du module de sécurité figurent

sous Montage / démontage du module de sécurité � Paragraphe 3.1.

Conseil : Si le module de sécurité à remplacer est accessible à partir de SafetyTool, il est recommandé

d'enregistrer un bloc de paramètres sûr de l'état réel validé (démarrer le SafetyTool en mode en ligne –

afficher le paramétrage – générer ensuite un bloc de paramètres sûr).

6.3.2 Reprise du module de sécuritéAprès un remplacement de module, le module de sécurité doit d'abord être repris dans le PlugIn FCT

CMMP-AS.

Reprise du numéro de série du module de sécurité remplacé � Paragraphe 4.3.4.

6.3.3 Nouvelle mise en service avec le SafetyTool

Après la reprise du module de sécurité remplacé, transférer le paramétrage souhaité vers le module de

sécurité, puis valider.

Les informations essentielles sont fournies dans les paragraphes :

– SafetyTool � paragraphe 4.5

– paramétrage � paragraphe 4.4

– test de fonctionnement et validation � paragraphe 4.8

Pour ce faire, démarrer d'abord le SafetyTool en mode en ligne.

Selon le type de données existant du module de sécurité à remplacer, il existe pour ce faire différentes

possibilités :

a) En présence d'un bloc de paramètres sûr du module de sécurité à remplacer :

� Ouvrir le bloc de paramètres dans le SafetyTool et le charger sur le module de sécurité. Pour ce

faire, les informations de base de l'appareil de base doivent correspondre à celles du bloc de

paramètres.

b) En présence d'un projet SafetyTool enregistré qui correspond au paramétrage :

� Si nécessaire, régler le module de sécurité avec le réglage à l'usine s'il ne se trouve pas dans

l'état à la livraison.

� Ouvrir ensuite le projet SafetyTool.

� Les informations de base de l'appareil de base doivent correspondre. Dans le cas contraire, faire

correspondre ces informations.

� Valider ensuite les différentes pages de paramètres et les charger sur le module de sécurité.



c) Pas de données sauvegardées existantes pour le module de sécurité à remplacer :

� Si nécessaire, régler le module de sécurité avec le réglage à l'usine s'il ne se trouve pas dans

l'état à la livraison.

� Procéder ensuite comme lors de la première mise en service.

Indépendamment de la variante a), b) ou c), créer à nouveau un rapport de validation, avec un nouveau

code de validation et un nouveau numéro de série du module de sécurité.

6.4 Mise hors service et mise au rebut

Consulter les consignes de démontage du module de sécurité au paragraphe 3.1.

Mise au rebut

Procéder à la mise au rebut des modules électroniques selon les directives locales de

protection de l'environnement. Le module de sécurité est conforme à 2002/95/CE

(RoHS).

L'emballage est conçu pour que ses matériaux puissent être recyclés.

A Annexe technique


A Annexe technique

A.1 Caractéristiques techniques

A.1.1 Technique de sécurité

Indices de sécurité


selon EN 61800-5-2

STO Couple désactivé de manière sûre (Safe Torque Off )

SS1 Arrêt sûr 1 (Safe Stop 1)

SS2 Arrêt sûr 2 (Safe Stop 2)

SOS Arrêt de service sûr (Safe Operating Stop)

SLS Vitesse limitée de manière sûre (Safely-Limited Speed)

SSR Plage de vitesse sûre (Safe speed range)

SSM Surveillance de vitesse sûre (Safe speed monitor)

SBC Commande de freinage sûre (Safe Brake Control)

Valeurs selon EN 61800-5-2SIL SIL 3 Niveau d'intégrité de sécurité (Safety Integrity Level)

PFH [h-1] 9,5 x 10–9 Probabilité d'une défaillance matérielle aléatoire dangereuse

par heure (Probability of dangerous random hardware failure

per Hour)

DC [%] 97,5 Niveau de couverture du diagnostic (Diagnostic Coverage)

HFT 1 Tolérance d'erreur du matériel (Hardware Failure Tolerance)

SFF [%] 99,5 Proportion de défaillances sûres (Safe Failure Fraction)

T [années] 20 Intervalle de test (Proof Test Interval)

Valeurs selon EN 62061SIL SIL CL 3 Limite de déclenchement SIL, pour un système partiel (Claim

Limit for a subsystem)

PFHD [h-1] 9,5 x 10–9 Probabilité d'une défaillance dangereuse par heure (Probabi

lity of dangerous Failure per Hour)





Valeurs selon EN 61508SIL SIL 3 Niveau d'intégrité de sécurité (Safety Integrity Level)

PFH [h-1] 9,5 x 10–9 Fréquence moyenne jusqu'à une défaillance dangereuse (Ave

rage Frequency to dangerous failure)





A Annexe technique


Indices de sécurité

Valeurs selon EN ISO 13849-1Catégorie1) 4 Catégorie

Performance Level (ni

veau de performance)1)Pl e Performance Level (niveau de performance)

PFH [h-1] 9,5 x 10–9 Probabilité moyenne d'une défaillance dangereuse par heure

(Average probability of a dangerous failure per hour)


MTTFd [années] 8700 Durée moyenne jusqu'à une défaillance dangereuse (Mean

time to dangerous failure)

TM [années] 20 Durée d'utilisation (Mission time)

1) Classement maximal atteignable, limitations selon la fonction de sécurité � paragraphe 1.1.4, Tab. A.16, le circuit et les codeurs

� annexe A.2

Tab. A.1 Caractéristiques techniques : indices de sécurité

Renseignements sur la sécurité

Essai de type Conformément au paragraphe 1.1.4, la technique de sécurité

fonctionnelle du produit a été certifiée par un organisme de

contrôle indépendant, voir Certificat d'examen de type CE

� www.festo.com/sp

Certificat de l'organisme d'émission TÜV Rheinland, Certification Body of Machinery, NB 0035

N° de certification 01/205/5165.01/14

Composant éprouvé Oui

Tab. A.2 Caractéristiques techniques : renseignements sur la sécurité

A.1.2 Généralités

Mécanique

Longueur/largeur/hauteur [mm] 112,2 x 99,1 x 28,7

Poids [g] 220

Emplacement Emplacement Ext3 pour les modules de sécurité

Note relative aux matériaux Conforme à 2002/95/CE (RoHS)

Tab. A.3 Caractéristiques techniques : mécanique

Homologations (module de sécurité CAMC-G-S3 pour contrôleur de moteur CMMP-AS-...-M3)

Marque CE (voir la déclaration de

conformité) � www.festo.com

selon la directive européenne relative aux machines

2006/42/CE

selon directive européenne CEM

L’appareil est destiné à être utilisé dans le domaine indus

triel. Des mesures d’antiparasitage supplémentaires

doivent éventuellement être prises dans les zones résiden

tielles.

Tab. A.4 Caractéristiques techniques : Homologations

A Annexe technique


A.1.3 Conditions de fonctionnement et d’environnement

Transport

Plage de température [°C] �25 … +70

Humidité de l'air [%] 0 ... 95, à une température ambiante max. de 40 °C

Durée de transport maximale maximum 4 semaines de la durée de vie totale du produit

Tab. A.5 Caractéristiques techniques : Transport

Stockage

Température de stockage [°C] –25 … +55

Humidité de l'air [%] 5 … 95, sans condensation ou protégé contre la condensation

Altitude admissible [m] 3000 (au-dessus du niveau de la mer)1)

1) Respecter les autres restrictions, notamment l'altitude d'installation admissible pour les contrôleurs de moteur (en règle générale <

2000 m au-dessus du niveau de la mer)

Tab. A.6 Caractéristiques techniques : stockage

Conditions ambiantes CMMP-AS-...-M3 avec module de sécurité CAMCGS3 dans Ext3

CMMP-AS-... C2-3A-M3 C5-3A-M3 C5-11A-P3-M3 C10-11A-P3-M3

Température ambiante1) [°C] 0 … +35 0 … +40 0 … +40 0 … +40

Température ambiante à

puissance réduite1)[°C] +35 … +40 +40 … +50 +40 … +50 +40 … +45

En présence d'une puissance de sortie trop élevée de

l'appareil de base, et/ou d'une sollicitation importante de

la partie commande et des I/O, le système opère une

désactivation anti-surchauffe.

Refroidissement Via l'air ambiant dans le contrôleur de moteur, pas de venti

lation forcée.

Humidité de l'air [%] 0 … 90 (sans condensation).

Aucun fluide corrosif n'est autorisé à proximité de

l'appareil.

Altitude d'installation autorisée au-dessus du niveau de la mer

en cas de puissance

nominale

[m] 1000

en cas de puissance

réduite

[m] 1000 … 2000

Degré de protection IP20 (monté dans CMMP-AS-…-M3).

Tenue aux vibrations et aux chocs Les exigences selon EN 61800-5-1 et EN 61800-2 sont

remplies.

1) La température de service maximale admissible varie en fonction de nombreux paramètres, et notamment en fonction du nombre

d'entrées actionnées et de la sollicitation des sorties dans le CAMC-G-S3, de l'équipement des autres modules de EXT1 et EXT2

dans le CMMP-AS-M3, de la sollicitation de l'étage de sortie de puissance dans le CMMP-AS-M3 et de la circulation de l'air dans le

coffret de commande.

Les valeurs indiquées valent pour une configuration d'appareil standard.

Le CAMC-G-S3 dispose d'un système de surveillance séparée de la température qui désactive le module de sécurité et l'appareil

de base en cas de surchauffe de l'électronique � paragraphe 5.6 Erreur 57-6.

Tab. A.7 Caractéristiques techniques : Conditions ambiantes

A Annexe technique


Conditions de service électriques

Plages de potentiel isolées

galvaniquement

Tension de commande de l'appareil de base.

Tension de commande 24 V (toutes les entrées et sorties).

Contact de signalisation libre de potentiel C1/C2.

Tension système [V] < 50 (alimentation électrique TBTP 24 V selon EN 60204-1).

Le bloc d'alimentation 24 V utilisé dans le système doit maî

triser la coupure de tension définie dans la norme

EN 60204-1.

Catégorie de surtension selon

EN 6180051

3

Taux de pollution selon la norme

EN 61800-5-1

2

Ce point doit être garanti par la prise de mesures appro

priées, par ex. l'installation dans un coffret de commande.

Tab. A.8 Caractéristiques techniques : Conditions de service électriques

Conditions de service CEM

Immunité aux perturbations Exigences pour le “deuxième environnement” selon

EN 61800-3 (PDS de la catégorie C3)

Exigences selon EN 61326-3-1

Émission de perturbations Exigences pour le “premier environnement en cas de disponibi

lité limitée” selon EN 61800-3 (PDS de la catégorie C2)

Tab. A.9 Caractéristiques techniques : conditions de service CEM

A Annexe technique


A.1.4 Entrées numériques DIN40A/B à DIN43A/B et DIN44 à DIN49 [X40]

Entrées numériques DIN40A/B à DIN43A/B et DIN44 à DIN491)

Entrée Type 3 selon CEI 61131-2

Tension nominale [V DC] 24

Plage de tension adm. [V] -3 … 30

Tension d'entrée maximale “HI” UH,max [V] 30

Tension d'entrée minimale “HI” UH,min

typique [V] 11

maximal [V] 133)

Tension d'entrée maximale “LO” ULmax [V] 5

Tension d'entrée minimale “LO” UL,min [V] –3

Courant d'entrée maximal “HI” IH,max [mA] 15

Courant d'entrée minimal “HI” IH,min [mA] 2

Courant d'entrée maximal “LO” IL,max [mA] 15

Courant d'entrée minimal “LO” } “HI” IT,min [mA] 1,52)

Retard de commutation jusqu'à la broche du

port (transition Low-High)

[ms] < 1

Tolérance par rapport aux impulsions de test [ms] 0 ... 10 (paramétrable

� paragraphes 2.4.2 et 2.4.3)

1) Désignations des données selon CEI 61131-2.

2) Le respect de IT,min ne peut pas être contrôlé dans le cadre du diagnostic propre. En cas d'utilisation de capteurs à deux fils actifs

sur DIN40A/B ... DIN43A/B pour la demande de fonctions de sécurité, des contrôles cycliques sont nécessaires (toutes les 24 h).

3) En tenant compte de toutes les tolérances dans la série, la tension d'entrée minimale requise s'élève à UH,min = 13 V,

contrairement à l'exigence CEI61131.

Tab. A.10 Caractéristiques techniques : entrées numériques DIN40A/B à DIN43A/B et DIN44 à

DIN49 [X40]

Les entrées numériques DIN40A/B à DIN43A/B et DIN44 à DIN49 sont conformes aux

exigences de CEM de la norme N 6132631.

A Annexe technique


A.1.5 Sorties numériques DOUT40A/B à DOUT42A/B [X40]

Sorties numériques DOUT40A/B à DIN42A/B

Sortie Commutateur High Side avec Pull Down

Plage de tensions [V DC] 18 … 30

Courant de sortie admissible IL,nominal (nomi

nal)

[mA] < 50

Perte de tension avec IL,nominal [V] 1 V

Courant résiduel avec commutateur DÉSACTI

VÉ1)[μA] < 100 A

Résistance Pull Down RPulldown [kΩ] < 50 (env. 0,6 mA à 24 V)

Protection contre les courts-circuits/la sur

intensité

Protégé contre les courts-circuits, résistant

au retour d'alimentation et aux surtensions

jusqu'à 60 V

Protection thermique Désactivation de toutes les sorties d'un

groupe (DOUT40A à DOUT 42A ou DOUT40B

à DOUT 42B à une surtempérature TJ > 150°

Alimentation Protection en cas de charges inductives

Charges

Charge résistive [Ω] > 500

Charge inductive [mH] < 10

Charge capacitive2) [nF] < 10

Retard de mise en circuit à partir de la broche [ms] < 1

Émission de l'impulsion de test [ms] 0,4 … 10 (paramétrable

� paragraphe 2.9.1)

1) Dans certains cas d'erreur (par ex. les coupures internes à l'appareil du potentiel de référence de 24 V), le courant résiduel peut

être significativement supérieur à 100 μA. En cas de sollicitations de la sortie avec une entrée compatible CEI 61131 de type 3, la

plage de l'état Low n'est pas dépassée même en cas d'erreur.

2) Nécessite une sollicitation de la sortie avec une entrée de type 3 et une longueur d'impulsion de test ≥ 400 μs. Pour les autres

types d'entrées, des impulsions de test plus longues sont éventuellement nécessaires.

Tab. A.11 Caractéristiques techniques : sorties numériques DOUT40A/B à DOUT42A/B [X40]

Les sorties numériques DOUT40A/B à DOUT42A/B sont conformes aux exigences de CEM

de la norme N 6132631.

A Annexe technique


A.1.6 Contact de signalisation C1/C2 [X40]

Contact de signalisation C1/C2

Modèle Contact de relais, contact à fermeture


Courant de sortie IL,nominal (nominal) [mA] < 200

Perte de tension avec IL,nominal [V] 1

Courant résiduel avec commutateur DÉSACTI

VÉ

[μA] < 10

Protection contre les courts-circuits/la surintensité Non protégé contre les courts-circuits,

résistant aux surtensions jusqu'à 60 V

Temps de réponse [ms] < 20

Durée de vie du contact d'accusé de récep

tion

[nop] 10 x 106 (à 24 V et Icontact = 10 mA, pour des

courants de charge plus élevés, la durée de

vie diminue)

Tab. A.12 Caractéristiques techniques : contact de signalisation C1/C2 [X40]

A.1.7 Alimentation auxiliaire 24 V [X40]

Alimentation auxiliaire 24 V

Modèle Tension d'alimentation logique transférée

par le contrôleur de moteur (injectée au ni

veau de [X9], pas de filtration ou de stabili

sation supplémentaire). Protégé contre

l'inversion de polarité, résistant aux surten

sions jusqu'à 60 V DCTension nominale [V] 24

Courant de sortie IL,nominal (nominal) [mA] 100

Perte de tension avec IL,nominal [V] 1

Protection contre les inversions de polarité Via la diode de série 100 V / 1 A

Protection contre les courts-circuits/la surintensité PTC de protection avec courant de déclenc

hement typ. de 300 mA, résistant à la

surtension jusqu'à 60 V

Tab. A.13 Caractéristiques techniques : alimentation auxiliaire de 24 V [X40]

A Annexe technique


A.1.8 Exécution du câble de connexion [X40]

Câblage [X40]

Longueur de câble max. [m] 30

Blindage Utiliser des câbles blindés pour le câblage à

l'extérieur du coffret de commande. Blin

dage jusqu'à l'intérieur du coffret de com

mande/pose côté coffret de commande

Section de conducteur (conducteur flexible, cosse avec gaine d'isolation)

un conducteur [mm²] 0,25 … 0,5

deux conducteurs [mm²] 2 x 0,25 (avec cosses doubles)

Couple de serrage du connecteur opposé

MC1,5_12ST3,81BK – M2

[Nm] 0,22 … 0,25

Tab. A.14 Caractéristiques techniques : câblage [X40]

A.1.9 Sortie numérique pour un frein de maintien sur l'appareil de base [X6]

Sortie numérique BR+ / BR-

Sortie Commutateur High Side pour BR+

Commutateur Low Side BR-


Courant de sortie admissible IL,nominal (nomi

nal)

[mA] < 2000

Perte de tension avec IL,nominal [V] 1 V

Résistance Pull Down RPulldown [kΩ] env. 2,5 (env. 10 mA à 24 V) entre BR+ et BR-

Protection contre les courts-circuits/la sur

intensité

Protégé contre les courts-circuits contre

24 V, 0 V et PE

Protection thermique Coupure du moteur pas à pas en cas

d'échauffement

Alimentation Protection en cas de charges inductives

Charges

Charge résistive [Ω] > 12

Charge inductive [mH] < 1000

Charge capacitive [nF] < 10

Retard de mise en circuit à partir de la broche [ms] < 1

Émission de l'impulsion de test [ms] 0,4 … 10 (paramétrable

� paragraphe 2.9.2)

Tab. A.15 Caractéristiques techniques : sorties numériques pour le frein de maintien [X6]

La sortie numérique de l'appareil de base pour un frein de maintien, BR+, BR-, est

conforme aux exigences CEM selon EN 6132631.

A Annexe technique


NotaÀ l'état de livraison du module de sécurité, la fonction SBC est toujours configurée en

combinaison avec la sortie [X6], même si l'utilisation de la fonction SBC n'est pas

prévue. Pour les applications dans lesquelles les conduites de commande de freinage

sont guidées dans le câble du moteur, un couplage parasite peut se produire dans les

conduites de frein ouvertes dans le cas où aucun frein de maintien n'est raccordé au

moteur. Le module de sécurité signale alors l'erreur 57-0.

� Dans ce cas, déconnecter les conduites de commande de freinage sur X6 et les rac

corder sur la broche PE.

A Annexe technique


A.2 Indices de sécurité

A.2.1 Fonctions de sécurité

Affectation des fonctions de sécurité – Classification

Le Tab. A.16 indique la classification des fonctions de sécurité selon EN 61800-5-2

Fonction Cat., PL1) SIL2) Nota

STO Cat. 4, PL e SIL 3 –

SBC –

SS2 Cat. 3, PL d

ou

Cat. 4, PL e

SIL 2

ou

SIL 3

La classification dépend de la combinaison de codeurs

de position mise en œuvre. En cas d'utilisation d'un co

deur individuel avec classification SIL, un raccord

d'arbre sûr est nécessaire et selon la configuration du

codeur, seule la Cat. 3, PL d ou SIL 2 peut être atteinte

� paragraphe A.2.3, Tab. A.19, Tab. A.20, Tab. A.21,

Tab. A.22 et Tab. A.23.

Respecter les limites de précision de la détection de

position � paragraphe A.3.

SS1

SLS

SSR

SSM

SOS

1) Classement en catégorie et Performance Level (niveau de performance) selon EN ISO 13849-1

2) Classification Safety Integrity Level selon EN 62061

Tab. A.16 Classification des fonctions de sécurité et remarques

Des informations partielles sur une sélection de combinaisons de codeurs préqualifiées

sont disponibles séparément.

Si besoin, s'adresser à l'interlocuteur Festo en région.

Pour permettre un “raccord d'arbres sûr”, l'exclusion d'erreur est par ex. assurée avec

des composants à liaison mécanique et/ou surdimensionnés de façon adéquate.

À cet effet, tenir compte de la chaîne de traction intégrale jusqu'à l'emplacement à

risques.

Si le déplacement de l'arbre du moteur est surveillé uniquement par un codeur rotatif ou

linéaire individuel présentant une structure à deux canaux, ce dernier doit posséder un

certificat décerné par un organisme notifié conformément à la réduction de risque visée.

En cas d'utilisation de deux codeurs, la limite de résolution est définie par le codeur avec

une limite de résolution inférieure, par rapport à la détection de déplacement pour les

fonctions de sécurité.

Les codeurs de position utilisés pour la surveillance de la position d'arrêt, par ex. SOS, et

présentant des signaux de sortie statiques à l'état d'arrêt, requièrent une dynamisation

par l'utilisateur : l'actionneur doit être déplacé une fois en l'espace de 24 heures.

A Annexe technique


La commande de freinage sûre du CAMC-G-S3 est conçue pour SIL3 / EN 61800-5-2.

Vérifier si l'unité de blocage utilisée atteint un PL e correspondant à SIL 3. En règle générale,l'unité de blocage en soi a une classification inférieure de sorte que la fonction de sécuritéSBC, en combinaison avec l'unité de blocage, atteint uniquement la classification inférieure.

A.2.2 Entrées numériques

En principe, il convient de respecter les normes en vigueur s'appliquant aux appareils de commande

pour la demande des fonctions de sécurité, par ex. EN ISO 13850 pour l'arrêt d'urgence.

Type de capteur Type de commutateur Classement dansla catégorie, PL1)

ClassificationSIL2)

1 : entrée générale à 2 canaux 2 contacts à ouverture ou 1 contact à ouverture +1 contact à fermeture

Cat. 4, PL e SIL 3

2 : appareil de commutationd'arrêt d'urgence

2 contacts à ouverture Cat. 4, PL e SIL 3

3 : bouton-poussoir d'assentiment

2 contacts à ouverture ou 1 contact à ouverture +1 contact à fermeture

Cat. 4, PL e SIL 3

4 : terminal de dialogue bimanuel

2 resp. 1 contact à ouverture,1 contact à fermeture

Cat. 4, PL e SIL 3

5 : bouton-poussoir de miseen route

2 contacts à ouverture ou 1 contact à ouverture +1 contact à fermeture

Cat. 4, PL e SIL 3

6 : verrouillage de porte 2 contacts à ouverture ou 1 contact à ouverture +1 contact à fermeture

Cat. 4, PL e SIL 3

7 : capteur de référence sûr 2 contacts à ouverture ou 1 contact à ouverture +1 contact à fermeture

Cat. 4, PL e SIL 3

8 : barrière photoélectrique 2 contacts à ouverture ou 1 contact à ouverture +1 contact à fermeture

Cat. 4, PL e SIL 3

9 : signal de retour des freins 1 contact à ouverture ou 2 contacts à ouverture

uniquement comme informationde retour pour SBC

10 : entrée générale à 1 canal 1 contact à ouverture ou1 contact à fermeture

Sans affectationd'impulsion testCat. 1, PL c

SIL 1

Avec affectationd'impulsion testCat. 2, PL d

SIL 2

11 : sélecteur de mode defonctionnement

1 de n Cat. 4, PL e SIL 3

12 : valider l'erreur 1 contact NO Sans affectationd'impulsion testCat. 1, PL c

SIL 1


SIL 2

1) selon EN ISO 13849-1

2) selon EN 61800-5-2

A Annexe technique


Type de capteur ClassificationSIL2)

Classement dansla catégorie, PL1)

Type de commutateur

13 : remise en marche (terminer la fonction de sécurité)

1 contact NO Sans affectationd'impulsion testCat. 1, PL c

SIL 1


SIL 2


2) selon EN 61800-5-2

Tab. A.17 Indices de sécurité des entrées numériques

Nota– Les indications suivantes relatives aux mesures et au courant continu se basent sur

les spécifications de la norme EN ISO 13849-1.

– Pour l'analyse technique de sécurité des capteurs, les indications du fabricant

doivent être prises en compte.

– Les valeurs DC indiquées sont autorisées uniquement dans le respect des mesures

spécifiées et des conditions supplémentaires évoquées.

– Les exclusions d'erreur sont possibles selon les normes en vigueur. Les conditions

nécessaires doivent ainsi être garanties en permanence.

Mesure DC Remarque Utilisation

Impulsion test cyclique par variation dyna

mique des signaux d'entrée.

90 Efficace uniquement si l'af

fectation des impulsions

tests est active.

Surveillance de

court-circuit

transversal pour

capteurs à

1 canal.Comparaison croisée de signaux d'entrée

avec test dynamique si les courts-circuits

ne peuvent être détectés (dans le cas de

plusieurs entrées/sorties).

90 Sans affectation d'impul

sions tests.

Variation cyclique des sig

naux d'entrée nécessaire,

par ex. via le process ou

activation régulière.

Surveillance de

capteurs à

2 canaux.

Comparaison croisée des signaux d'entrée

avec résultats immédiats et intermédiaires

dans la logique (L) ainsi que surveillance

dans le temps et logique de l'exécution du

programme et détection de défaillances

statiques et de courts-circuits (dans le cas

de plusieurs entrées/sorties).

99 Uniquement avec l'affec

tation d'impulsions tests.

Surveillance de

capteurs à

2 canaux.

Contrôle de vraisemblance, par ex. utili

sation de contacts à ouverture et à

fermeture.

99 Uniquement avec l'utili

sation de signaux

antivalents.

Surveillance de

capteurs à

2 canaux.

Tab. A.18 Mesures pour entrées numériques

A Annexe technique


A.2.3 Systèmes de codeursEn principe, les normes en vigueur pour la sécurité fonctionnelle d'actionneurs électriques doivent être

respectées, par ex. EN 61800-5-2.

Le Tab. A.19 indique les combinaisons de codeurs autorisées ainsi que le Performance Level (niveau de

performance) et le Safety Integrity Level (niveau de sécurité) max. pouvant être atteints.

P06.00 : sélection du codeur de

position 1


position 2

Remarques Niveau de sécurité pouvantêtre atteint

EN 61800-5-2 ISO 13849

Résolveur

(X2A)= [1]

Autre codeur

(X2B) = [4] 1)– SIL 3 Cat. 3 / PL d

ou

Cat. 3 / PL e

Résolveur

(X2A)= [1]

Codeur incrémen

tiel (X10) = [5]

– SIL 3 Cat. 4 / PL e

Résolveur

(X2A)= [1]

Aucune = [6] Nécessite un raccord

d'arbres sûr.

Le résolveur doit ré

pondre aux exigences SIL

2 (valeur MTTFd, ...)

SIL 2 Cat. 3 / PL d

SIN/COS /

Hiperface

(X2B) = [2]

Codeur incrémen

tiel (X10) = [5]

– SIL 3 Cat. 4 / PL e

SIN/COS /

Hiperface

(X2B) = [2]


d'arbres sûr.

Nécessite un codeur

certifié SIL 2

SIL 2 Cat. 3 / PL d

SIN/COS /

Hiperface

(X2B) = [2]


d'arbres sûr.


certifié SIL 3

SIL 3 Cat. 3 / PL e

1) Autre codeur (X2B) = [4] :

– Codeur EnDat sans certification SIL

– Codeur BISS

– Codeur incrémentiel avec signaux A/B/N

– Codeur incrémentiel avec signaux SINCOS

– Codeur Hiperface sans SIL

A Annexe technique



position 1

Niveau de sécurité pouvantêtre atteint

RemarquesP06.01 : sélection du codeur de

position 2


position 1 ISO 13849EN 61800-5-2

RemarquesP06.01 : sélection du codeur de

position 2

EnDat SIL

(X2B) = [3]

Codeur incrémen

tiel (X10) = [5]

Ne fait pas partie de PS1 SIL 3 Cat. 4 / PL e

EnDat SIL

(X2B) = [3]

Aucune = [6] Ne fait pas partie de PS1

Nécessite un raccord

d'arbres sûr.


certifié SIL 2

SIL 2 Cat. 3 / PL d

EnDat SIL

(X2B) = [3]

Aucune = [6] Ne fait pas partie de PS1

Nécessite un raccord

d'arbres sûr.


certifié SIL 3

SIL 3 Cat. 4 / PL e

Autre codeur

(X2B) = [4] 1)Codeur incrémen

tiel (X10) = [5]

Respecter la remarque

suivante.

SIL 2 Cat. 3 / PL d

Autre codeur

(X2B) = [4] 1)Aucune = [6] Non autorisé, verrouillé

par le CAMC-G-S3 et le

SafetyTool

– –

1) Autre codeur (X2B) = [4] :

– Codeur EnDat sans certification SIL

– Codeur BISS

– Codeur incrémentiel avec signaux A/B/N

– Codeur incrémentiel avec signaux SINCOS

– Codeur Hiperface sans SIL

Tab. A.19 Indices de sécurité Analyse des systèmes de codeurs

NotaLe niveau de sécurité effectif pouvant être atteint pour le système composé de

CAMCGS3, d'un moteur, d'un axe et, le cas échéant, du deuxième codeur de position,

doit être calculé à l'aide des indices de sécurité du CAMCGS3 � annexe A.1.1, ainsi

que des indices de sécurité des composants restants.

Pour toute proposition d'application pré-calculée, s'adresser à l'interlocuteur Festo en

région Festo.

Respecter les informations supplémentaires :

– Informations générales sur l'analyse de codeur et les codeurs de position pris en

charge � paragraphe 2.2.5.

– Informations sur la configuration du codeur � paragraphe 2.3.2.

– Exemple de configuration de codeur dans le SafetyTool � paragraphe 4.6.4.

A Annexe technique


NotaL'adéquation des “codeurs standard” et des “codeurs incrémentiels numériques” pour

une utilisation dans des systèmes sûrs jusqu'à SIL 3 (EN 61800-5-2, EN 61508) ou PL e

(EN ISO 13849), doit être prouvée séparément (par ex. diversité des systèmes de co

deurs quant à CCF, MTTFd, etc. et adéquation du codeur pour les conditions ambiantes

et d'exploitation, CEM, ...).


les spécifications de la norme EN 61800-5-2, tableau de l'annexe D.16.

– Pour l'analyse technique de sécurité des codeurs de position, les indications du

fabricant doivent impérativement être prises en compte.

– Les valeurs DC indiquées pour l'analyse des systèmes de codeurs dans le module de

sécurité, sont autorisées uniquement dans le respect des mesures spécifiées et des

conditions supplémentaires évoquées.



Codeur SIN/COS / codeur Hiperface

Hypothèse d'erreur Exclusiond'erreur

Détection d'erreurs par lemodule de sécurité

Remarques supplémentaires

Court-circuit entre deux

conducteurs quelconques du

câble de connexion

Aucune Surveillance de signal indi

viduel et surveillance des

longueurs vectorielles1)

Selon le paragraphe A.3;

DC > 90 %2)

Interruption d'un conducteur

quelconque du câble de

connexion





DC > 90 %2)

Signal “0” ou “1” statique sur

les entrées et sorties, individuel

ou simultanément sur plusieurs

entrées/sorties





DC > 90 %2)

Interruption ou état à forte va

leur ohmique sur une entrée/

sortie individuelle ou simultané

ment sur plusieurs entrées/

sorties





DC > 90 %2)

1) La sensibilité et le courant continu dépendant des limites d'erreur paramétrées ; l'indication s'applique au réglage à l'usine

2) L'information de position est “statique” en cas d'erreur => Position de commutation fixe, le moteur est à l'arrêt / tension d'un

canal statique => La position de commutation change de +/-90° max. d'une période de signal du codeur, le moteur se déplace

uniquement dans cette plage

A Annexe technique


Hypothèse d'erreur Remarques supplémentaires


Exclusiond'erreur

Réduction ou augmentation de

l'amplitude de sortie





DC > 90 %2)

Oscillations parasites sur une ou

plusieurs sorties





DC > 90 %2)

En cas d'oscillation d'un

signal, déplacement

maximal du moteur dans

la fenêtre de tolérance

de la surveillance d'amp

litude

Modification du décalage de

phase entre les signaux de sortie





DC > 90 %2)

par ex. en raison d'un

disque codeur encrassé

La fixation se desserre à l'état de

repos :

– Le corps de capteur se dé

tache du carter de moteur

– L'arbre de capteur se dé

tache de l'arbre du moteur

Néces

saire !

Selon la

fiche

technique

du fa

bricant

pour le co

deur

N'est pas forcément

possible !

Une surveillance de la

durée de la demande SOS

se produit :

la déconnexion se produit

et le message d'erreur est

envoyé après 24 h

Appliquer l'exclusion

d'erreur pour le système

Moteur - codeur ou utili

ser un deuxième système

de mesure pour une

comparaison de po

sition !La fixation se desserre lors du

déplacement :





La mesure matérialisée se dé

clenche (par ex. disque codeur

optique)

La diode d'émission ne s'allume

pas





DC > 90 %2)

Exigences supplémentaires pour codeurs rotatifs avec signaux de sortie sin/cos, génération designal analogique





A Annexe technique




Exclusiond'erreur

Signal statique sur les entrées et

sorties, individuel ou simultané


sorties, amplitude dans la plage

de l'alimentation électrique





DC > 90 %2)

Modification de la forme des sig

naux





DC > 90 %2)

Inversement par erreur du signal

de sortie sin et cos

Oui Le module de sécurité

possède un traitement de

signaux séparé suffisant

sans multiplexeur

–

Exigences supplémentaires pour codeurs rotatifs avec signaux incrémentiels et absolusModification de position erronée

et simultanée du signal incré

mentiel et du signal absolu

Aucune Aucune, le module de

sécurité analyse

uniquement les signaux

analogiques sin/cos

Uniquement pour

l'interface Hiperface

L'appareil de base effec

tue un contrôle de vrai

semblance cyclique par

le biais d'une comparai

son croisée des signaux

sin/cos, avec la position

absolue relevée via

l'interface de données

Exigences supplémentaires pour codeurs rotatifs avec signaux de sortie générés de façon synthétique

Falsification quelconque du sig

nal de sortie

Aucune N'est pas toujours

possible dans le cas où les

deux signaux de sortie

sont falsifiés simultané

ment !


d'erreur pour le codeur

ou utiliser un deuxième

système de mesure pour

une comparaison de

position !Exigences supplémentaires pour codeurs linéaires





A Annexe technique




Exclusiond'erreur

Fixation de la tête de lecture

rompue

Néces

saire !

Selon la

fiche

technique

du fa

bricant

pour le co

deur


possible !



se produit :



envoyé après 24 h





de mesure pour une

comparaison de po

sition !

Décalage statique de la mesure

matérialisée (par ex. cryptog

rammes optiques)

Mesure matérialisée endom

magée (par ex. cryptogrammes

optiques)

Exigences supplémentaires pour l'analyse de codeurs de position SILSurveillance de la tension d'ali

mentation du codeur

Aucune Non disponible.

Doit être garanti sur le co

deur

L'appareil de base com

prend une régulation de

la tension d'alimentation

pour le codeur. En cas

d'erreur (surtension, sur

intensité), l'alimentation

du codeur peut être

coupée

Respect des conditions

ambiantes et de service

spécifiées pour le codeur


Doit être garanti sur le co

deur

L'appareil de base

possède une entrée pour

surveiller la température

du moteur. En cas

d'erreur, l'actionneur

peut être désactivé





Tab. A.20 Codeur SIN/COS, codeur Hiperface

Classification du module de sécurité en combinaison avec le codeur SIN/COS, le codeur

Hiperface :

Découverte d'une erreur de codeur : DC > 90 %

Classement selon EN 61800-5-2 / EN 13849-1 : SIL2 / cat. 3 / PL d (positionnement

sûr avec arrêt)

et

SIL3 / cat. 3 / PL e (vitesse et accélé

ration sûres)

A Annexe technique


Résolveur




Court-circuit entre deux

conducteurs quelconques du

câble de connexion




Les erreurs sont détec

tées de manière sûre

(DCAV du module de

sécurité)Interruption d'un conducteur

quelconque du câble de

connexion






(DCAV du module de

sécurité)Signal “0” ou “1” statique sur

les entrées et sorties, individuel

ou simultanément sur plusieurs

entrées/sorties






(DCAV du module de

sécurité)Interruption ou état à forte va

leur ohmique sur une entrée/

sortie individuelle ou simultané


sorties






(DCAV du module de

sécurité)

Réduction ou augmentation de

l'amplitude de sortie






(DCAV du module de

sécurité)Oscillations parasites sur une ou

plusieurs sorties






(DCAV du module de

sécurité)Modification du décalage de

phase entre les signaux de sortie

Aucune Ne s'applique pas aux ré

solveurs

–

La fixation se desserre à l'état de

repos :





Néces

saire !

Selon la

fiche

technique

du fa

bricant

pour le co

deur


possible !



se produit :



envoyé après 24 h





de mesure pour une

comparaison de po

sition !La fixation se desserre lors du

déplacement :





1) DC = 60 % s'applique au réglage à l'usine, DC = 90 % pour les tolérances limitées de la surveillance des longueurs vectorielles

� annexe A.3

A Annexe technique




Exclusiond'erreur

La mesure matérialisée se dé

clenche (par ex. disque codeur

optique)


solveurs

–

La diode d'émission ne s'allume

pas


solveurs

–

Exigences supplémentaires pour le résolveur avec traitement des signaux / générateur deréférenceDiaphonie de la fréquence de

référence






(DCAV du module de

sécurité)– Le temporisateur central

tombe en panne

– Pas de démarrage de la

conversion pour le

transducteur A/D

– La procédure “Sample &

Hold” a lieu au mauvais mo

ment

Aucune Surveillance de défaillance

du signal SYNC



(DCAV du module de

sécurité)

La transducteur A/D génère des

valeurs erronées






(DCAV du module de

sécurité)La transducteur A/D ne génère

aucune valeur






(DCAV du module de

sécurité)Le générateur de référence ne

fournit aucune fréquence

Aucune Surveillance de défaillance

du signal SYNC



(DCAV du module de

sécurité)Le générateur de référence

fournit une fréquence erronée






(DCAV du module de

sécurité)Le générateur de référence ne

fournit pas de signal de

référence périodique






(DCAV du module de

sécurité)


� annexe A.3

A Annexe technique




Exclusiond'erreur

Erreur de gain lors du traitement

des signaux (signal de référence,

sin, cos), oscillations






(DCAV du module de

sécurité)Influence magnétique sur le lieu

d'implantation

Blindage

suffisant

sur le lieu

d'implan

tation

Surveillance de signal indi





(DCAV du module de

sécurité)

Exigences supplémentaires pour l'analyse de codeurs de position SILSurveillance de la tension d'ali

mentation du codeur

Aucune Surveillance indirecte du

support de résolveur via la

surveillance des longueurs

vectorielles



(DCAV du module de

sécurité)Respect des conditions

ambiantes et de service

spécifiées pour le codeur


Doit être garanti sur le

codeur

L'appareil de base

possède une entrée pour

surveiller la température

du moteur. En cas

d'erreur, l'actionneur

peut être désactivé


� annexe A.3

Tab. A.21 Résolveur

Classification du module de sécurité en combinaison avec le résolveur :

Découverte d'une erreur de codeur : DC > 90%

Classement selon EN 61800-5-2 / EN 13849-1 : SIL2 / cat. 3 / PL d (positionnement

sûr avec arrêt)

et

SIL3 / cat. 3 / PL e (vitesse et accélé

ration sûres)

A Annexe technique


Systèmes de codeurs combinés : Codeur 1 : résolveur [X2A] ou codeur SIN/COS [X2B]

Codeur 2 : codeur incrémentiel [X10]




Court-circuit entre deuxconducteurs quelconques ducâble de connexion

Aucune Surveillance de signal individuel et surveillance deslongueurs vectorielles1)

Comparaison croisée desdonnées de position (codeur 1 – codeur 2)

DC “élevé”2)

Interruption d'un conducteurquelconque du câble deconnexionSignal “0” ou “1” statique surles entrées et sorties, individuelou simultanément sur plusieursentrées/sortiesInterruption ou état à forte valeur ohmique sur une entrée/sortie individuelle ou simultanément sur plusieurs entrées/sortiesRéduction ou augmentation del'amplitude de sortieOscillations parasites sur une ouplusieurs sortiesModification du décalage dephase entre les signaux de sortieLa fixation se desserre à l'état derepos :– Le corps de capteur se dé




Pas nécessaire !


DC “élevé”2)

La fixation se desserre lors dudéplacement :– Le corps de capteur se dé



tache de l'arbre du moteurLa mesure matérialisée se déclenche (par ex. disque codeur optique)





A Annexe technique




Exclusiond'erreur

La diode d'émission ne s'allumepas



DC “élevé”2)

Exigences supplémentaires pour codeurs rotatifs avec signaux de sortie sin/cos, génération designal analogiqueSignal statique sur les entrées etsorties, individuel ou simultanément sur plusieurs entrées/sorties, amplitude dans la plagede l'alimentation électrique


DC “élevé”2)

Modification de la forme des signauxInversement par erreur du signalde sortie sin et cosExigences supplémentaires pour codeurs rotatifs avec signaux de sortie rectangulaires (codeur 2)Oscillation parasite sur la sortie Aucune Comparaison croisée des

données de position (codeur 1 – codeur 2)

DC “élevé”2)

Le signal de sortie est rompuL'impulsion nulle est annulée,est trop courte, trop longue oumultipleExigences supplémentaires pour codeurs rotatifs avec signaux de sortie générés de façon synthétique (codeur 1 ou codeur 2)Falsification quelconque du signal de sortie

Aucune Comparaison croisée desdonnées de position (codeur 1 – codeur 2)

DC “élevé”2)

Exigences supplémentaires pour codeurs rotatifs avec détermination de la position par le compteur(codeur 2)Valeur de position erronée enraison d'un comptage erroné


DC “élevé”2)





A Annexe technique




Exclusiond'erreur

Exigences supplémentaires pour le résolveur avec traitement des signaux / générateur deréférenceDiaphonie de la fréquence deréférence



DC “élevé”2)

– Le temporisateur central

tombe en panne

– Pas de démarrage de la

conversion pour le

transducteur A/D

– La procédure “Sample &

Hold” a lieu au mauvais mo

ment

Aucune

La transducteur A/D génère desvaleurs erronées

Aucune

La transducteur A/D ne génèreaucune valeur

Aucune

Le générateur de référence nefournit aucune fréquence

Aucune

Le générateur de référencefournit une fréquence erronée

Aucune

Le générateur de référence nefournit pas de signal deréférence périodique

Aucune

Erreur de gain lors du traitementdes signaux (signal de référence,sin, cos), oscillations

Aucune

Influence magnétique sur le lieud'implantation

Blindagesuffisantsur le lieud'implantation

Exigences supplémentaires pour l'analyse de codeurs de position SILSurveillance de la tension d'alimentation du codeur

Aucune Production séparée de latension d'alimentationpour :– Résolveur [X2A]

– Codeur SIN/COS [X2B]

– Codeur incrémentiel

[X10]

–





A Annexe technique




Exclusiond'erreur

Respect des conditionsambiantes et de servicespécifiées pour le codeur

Aucune Non disponible.Doit être garanti sur le codeur

L'appareil de basepossède une entréepour surveiller latempérature dumoteur. En casd'erreur, l'actionneurpeut être désactivé





Tab. A.22 Systèmes de codeurs combinés : Codeur 1 : résolveur [X2A] ou codeur SIN/COS [X2B],

Codeur 2 : codeur incrémentiel [X10]

Classification du module de sécurité en association avec l'appareil de base dans la com

binaison Codeur 1 : résolveur [X2A] ou codeur SIN/COS [X2B], codeur 2 : codeur incré

mentiel [X10] (sans tenir compte du codeur en soi) :

Découverte d'une erreur de codeur : DC > 95 %

Classification selon EN 61800-5-2: SIL 3

Classification selon EN ISO 13849 : Cat. 4 / PL e

A Annexe technique


Systèmes de codeurs combinés : Codeur 1 : résolveur [X2A] ou codeur incrémentiel [X10]

Codeur 2 : codeur quelconque [X2B] (analyse via l'appareil de base)




Court-circuit entre deuxconducteurs quelconques ducâble de connexion



DC 1 x “élevé”(module desécurité)

+ 1 x “faible”(appareil debase) 2)

Interruption d'un conducteurquelconque du câble deconnexionSignal “0” ou “1” statique surles entrées et sorties, individuelou simultanément sur plusieursentrées/sortiesInterruption ou état à forte valeur ohmique sur une entrée/sortie individuelle ou simultanément sur plusieurs entrées/sortiesRéduction ou augmentation del'amplitude de sortieOscillations parasites sur une ouplusieurs sortiesModification du décalage dephase entre les signaux de sortieLa fixation se desserre à l'état derepos :– Le corps de capteur se dé

tache du carter de moteur– L'arbre de capteur se dé


Pas nécessaire !


DC 1 x “élevé” (module de sécurité)


La fixation se desserre lors dudéplacement :– Le corps de capteur se dé

tache du carter de moteur– L'arbre de capteur se dé

tache de l'arbre du moteurLa mesure matérialisée se déclenche (par ex. disque codeur optique)

1) La sensibilité et le courant continu dépendant des limites d'erreur paramétrées ; l'indication s'applique au réglage à l'usine2) Limitation par le courant continu/alternatif du module, par le courant continu de l'appareil de base

A Annexe technique




Exclusiond'erreur

La diode d'émission ne s'allumepas





Exigences supplémentaires pour codeurs rotatifs avec signaux de sortie sin/cos, génération designal analogiqueSignal statique sur les entrées etsorties, individuel ou simultanément sur plusieurs entrées/sorties, amplitude dans la plagede l'alimentation électrique




+ 1 x “faible”(appareil debase) 2)Modification de la forme des sig

nauxInversement par erreur du signalde sortie sin et cos


A Annexe technique




Exclusiond'erreur

Exigences supplémentaires pour le résolveur avec traitement des signaux / générateur deréférence (codeur 1)Diaphonie de la fréquence deréférence





– Le temporisateur centraltombe en panne

– Pas de démarrage de laconversion pour letransducteur A/D

– La procédure “Sample & Hold”a lieu au mauvais moment

Aucune

La transducteur A/D génère desvaleurs erronées

Aucune

La transducteur A/D ne génèreaucune valeur

Aucune

Le générateur de référence nefournit aucune fréquence

Aucune

Le générateur de référencefournit une fréquence erronée

Aucune

Le générateur de référence nefournit pas de signal deréférence périodique

Aucune

Erreur de gain lors du traitementdes signaux (signal de référence,sin, cos), oscillations

Aucune

Influence magnétique sur le lieud'implantation

Blindagesuffisantsur le lieud'implantation

Exigences supplémentaires pour codeurs rotatifs avec signaux de sortie rectangulaires (codeur 1)Oscillation parasite sur la sortie Aucune Comparaison croisée des

données de position (codeur 1 – codeur 2)



Le signal de sortie est rompu

L'impulsion nulle est annulée,est trop courte, trop longue oumultiple

Exigences supplémentaires pour codeurs rotatifs avec signaux de sortie générés de façon synthétique (codeur 1 ou codeur 2)Falsification quelconque dusignal de sortie





A Annexe technique




Exclusiond'erreur

Exigences supplémentaires pour codeurs rotatifs avec détermination de la position par le compteur(codeur 1 ou codeur 2)Valeur de position erronée enraison d'un comptage erroné




Exigences supplémentaires pour codeurs linéaires (codeur 1 ou codeur 2)Fixation de la tête de lecturerompue

Pas nécessaire !




Décalage statique de la mesurematérialisée (par ex. cryptogrammes optiques)Mesure matérialisée endommagée (par ex. cryptogrammesoptiques)Exigences supplémentaires pour codeurs rotatifs avec interface d'ordinateur (codeur 2)Erreur de transmission :– répétition ;– perte ;– insertion ;– séquence erronée ;– falsification des informations ;– temporisation




Exigences supplémentaires pour l'analyse de codeurs de position SILSurveillance de la tensiond'alimentation du codeur

Aucune Production séparée de latension d'alimentation pour :– Résolveur [X2A]– Codeur SIN/COS [X2B]– Codeur incrémentiel

[X10]

–

Respect des conditionsambiantes et de servicespécifiées pour le codeur

Aucune Non disponible.Doit être garanti sur lecodeur

L'appareil de basepossède une entréepour surveiller latempérature dumoteur. En casd'erreur, l'actionneurpeut être désactivé


Tab. A.23 Systèmes de codeurs combinés : codeur 1 : résolveur [X2A] ou codeur incrémentiel [X10],codeur 2 : codeur quelconque [X2B] (analyse via l'appareil de base)

A Annexe technique


Classification du module de sécurité en association avec l'appareil de base dans la combinaison Codeur 1 : résolveur [X2A] ou codeur incrémentiel [X10], codeur 2 : codeur quelconque [X2B] (sans tenir compte du codeur en soi) :

Détection d'angle de l'appareil de base : MTTF de chaque canal : > 100 a, “élevé”

DC du canal : = 50 % “faible”

Module de sécurité : MTTF de chaque canal : > 100 a, “élevé”

Découverte d'une erreur de codeur DC : > 95 % “élevé”

Classification du système (module de sécurité + appareil de base) :

Classification selon EN 61800-5-2: SIL 3

Classification selon EN ISO 13849 : Cat. 3 / PL d

A.2.4 Sorties numériquesEn principe, les normes en vigueur pour la commande d'interrupteurs de sécurité externes doivent être

respectées.

Type de sortie Type de commutateur

Classement dans la catégorie, PL1)

ClassificationSIL2)

1 : blocage d'impulsionssûr intégré

2 contacts à ouverture Cat. 4, PL e SIL 3

2 : sortie générale à2 canaux DOUT40 ...DOUT42

2 contacts à ouvertureou1 contact à ouverture+ 1 contact àfermeture

Cat. 4, PL e SIL 3

2 : sortie générale à2 canaux

2 contacts à ouvertureou1 contact à ouverture+ 1 contact àfermeture

Cat. 4, PL e SIL 3

3 : commande du frein demaintien via [X6] dansl'appareil de base CMMP-AS

2 contacts à ouverture

Cat. 3, PL d, dans le cas d'unitésde blocage directement raccordées, demande via SBC.

SIL 2

2 contacts à ouverture Cat. 1, PL c, dans le cas d'unitésde blocage indirectement raccordées (par ex. à ouverturepneumatique), demande via SBC.

SIL 1

2 contacts à ouverture Cat. 3, PL d, dans le cas d'unitésde blocage indirectement raccordées (par ex. à ouverturepneumatique), demande via SBC.

SIL 2

10 : contact d'accusé deréception libre de potentiel (diagnostic)

1 contact NO Uniquement comme information de retour pourl'interrupteur de sécurité de niveau supérieur.


2) selon EN 61508, EN 61800-5-2, EN 62061

Tab. A.24 Indices de sécurité des sorties numériques

A Annexe technique



les spécifications de la norme EN ISO 13849-1.

– Pour l'analyse technique de sécurité des dispositifs de coupure, les indications du

fabricant doivent être prises en compte.

– Les valeurs DC indiquées sont autorisées uniquement dans le respect des mesures

spécifiées et des conditions supplémentaires évoquées.



Mesure DC Remarque Utilisation

Impulsion test cyclique par va

riation dynamique des signaux de

sortie.

90 Toujours efficace dans le

module de sécurité, étant

donné que les impulsions

tests pour le blocage

d'impulsions sûr et pour

DOUT40 ... 42 ne peuvent

pas être désactivées.

Surveillance de court-

circuit transversal pour

sorties à 2 canaux.

Comparaison croisée de signaux

de sortie avec test dynamique si

les courts-circuits ne peuvent être

détectés (dans le cas de plusieurs

entrées/sorties).

90 Sans affectation d'impul

sions tests.

Variation cyclique des sig

naux d'entrée nécessaire,

par ex. via le process ou

activation régulière.

Surveillance de sorties

à 2 canaux.

Comparaison croisée des signaux

de sortie avec résultats immédiats

et intermédiaires dans la logique

(L) ainsi que surveillance dans le

temps et logique de l'exécution du

programme et détection de

défaillances statiques et de courts-

circuits (dans le cas de plusieurs

entrées/sorties).

99 Toujours efficace dans le

module de sécurité, étant

donné que les impulsions

tests pour le blocage

d'impulsions sûr et pour

DOUT40 ... 42 ne peuvent

pas être désactivées


à 2 canaux

Contrôle de vraisemblance, par ex.

utilisation de sorties à com

mutation antivalente.

99 Uniquement utilisable pour

DOUT40 ... 42, commutant

en cas de configuration

“antivalente”.


à 2 canaux.

Tab. A.25 Mesures pour sorties numériques

A Annexe technique


A.3 Précision du système et temps de réaction

Les paragraphes suivants traitent des exigences fixées à la précision du système de la technique de

sécurité fonctionnelle au regard des fonctions de déplacement surveillées de manière sûre pour la

position et la vitesse.

La précision de système pouvant être atteinte dépend en premier lieu de la configuration

du système qui se compose des éléments suivants : Moteur – Réducteur – Axe

La précision peut notamment être augmentée grâce à l'utilisation d'un réducteur ou au

choix d'un axe avec une avance faible (� paragraphe A.3.7, Tab. A.35).

Les précisions et les temps de réaction spécifiés du module de sécurité représentent toujours un com

promis entre :

– la résolution et la précision des capteurs de position raccordés et l'électronique de traitement af

fectée dans le module de sécurité,

– la grande précision souhaitée pour la surveillance des valeurs limites de position et de vitesse,

– le temps de réaction jusqu'à la détection du non-respect d'une condition,

– la disponibilité de l'installation en cours de fonctionnement dans un environnement industriel

(défauts, CEM, etc.).

Les précisions et les temps de réaction doivent être aussi élevés que nécessaire du point de vue de la

sécurité, mais ne doivent pas être excessifs.

NotaLes réglages à l'usine du module de sécurité pour l'analyse de codeur, la détection de

la vitesse et la surveillance de position sont compatibles avec la plupart des ap

plications. Ils sont ajustés à la résolution du codeur de position et à l'électronique de

traitement dans le module de sécurité.

Ils doivent être modifiés uniquement en cas de problèmes avérés car ils exercent une

influence sur le temps de réaction du module de sécurité lors de la détection de dépla

cements dangereux ou pour la détection d'erreurs. Ils constituent des “Paramètres

experts”.

En alternative, contrôler si la mécanique peut être modifiée (par ex. axe avec avance

réduite).

Via la reprise de données (� paragraphe 2.3), s'assurer que le module de sécurité

possède les paramètres adéquats pour la constante d'avance et les rapports de

transmission, avant de procéder au paramétrage des fonctions de sécurité.

A Annexe technique


A.3.1 Précision de la surveillance de position (SOS, arrêt de service sûr) du point de vue del'application

En cas de demande de la fonction de sécurité SOS, la position actuelle est détectée et enregistrée

dans x_sample.

La surveillance s'effectue dans une fenêtre de position de :

(x_sample – x_max) ≤ x_réelle ≤ (x_sample + x_max)

Les exigences spécifiques aux applications pour x_max (pour SOS) sont indiquées au paragraphe

A.3.7, Tab. A.33.

Le réglage de x_max se fait via P0B.01 (� paragraphe 2.5.5).

Paramètres Nom min. typique max. Nota

x_max Tolérances de po

sition pour SOS

– 1 mm 1,8 mm Paragraphe A.3.7,

Tab. A.33

phi_max Tolérances

angulaires de l'arbre

du moteur pour SOS

– 4,0° 7,2° Exemple de calcul

sur la base d'une

avance 90 mm/tr

Tab. A.26 Valeurs typiques SOS

À cet effet, le module de sécurité est paramétré comme suit :

Fig. A.1 Exemple de détermination des paramètres importants pour Safe Operation Stop (SOS)

Base pour la conversion de ces données d'exemple de grandeurs de déplacement en grandeurs de

rotation :

– moteur sans réducteur,

– axe EGC-80 avec une avance de 90 mm/tr.

A Annexe technique


A.3.2 Précision de la surveillance de la vitesse (SLS, SSR) du point de vue de l'application

En cas de demande des fonctions de sécurité avec surveillance de la vitesse, par ex. SLS, SSR, la

vitesse actuelle v_réelle est détectée en cours de fonctionnement et surveillée quant au respect de

valeurs limites définies.

Les valeurs limites peuvent changer dynamiquement, par ex. avec la demande de SLS, en cas de ralen

tissement initial pour atteindre la vitesse limitée de manière sûre.

La surveillance s'effectue dans une fenêtre de vitesse de :

v_min ≤ v_réelle ≤ v_max

Les exigences spécifiques aux applications pour v_max (pour SLS) sont indiquées au paragraphe

A.3.7, Tab. A.34.

La constante de durée de filtrage acceptable t_filtre_v dans la détection de la vitesse découle de la

qualité du traitement des signaux analogiques sur le module de sécurité (pour les codeurs de position

avec signaux analogiques tels que résolveurs ou codeurs Hiperface) et de la résolution de position

(nombre de pas angulaire par rotation du moteur).

Par ailleurs, un “transitoire d'engagement” se produit lors de modifications dynamiques, jusqu'à ce

que la vitesse atteigne la nouvelle valeur de consigne. La durée dépend de la largeur de bande du

circuit de régulation de la vitesse de rotation. Pour garantir une disponibilité élevée de l'installation,

les transitoires d'engagement brefs compris dans la largeur de bande du circuit de régulation de la

vitesse de rotation ne doivent pas entraîner l'activation de l'installation de surveillance.

Une variation de temps admissible t_tol_v est prévue à cet effet. Pendant la durée de t_tol_v, v_réelle

peut se déplacer en dehors de la fenêtre de vitesse, avant le déclenchement du non-respect des

conditions de sécurité.

Paramètres Nom Min. typique max. Nota

v_max Limitation de la

vitesse pour SLS

4 mm/s 250 mm/s ≥ 10 m/s Paragraphe A.3.7,

Tab. A.34

n_max Limitation minimale

de la vitesse de l'arbre

du moteur pour SLS

2,1 tr/min 167 tr/min Exemple de calcul sur

la base d'une avance

90 mm/tr

t_filtre_v Constante de durée

de filtrage Détection

de la vitesse

2 ms 8 ms ≥ 100 ms Paragraphe A.3.7,

Tab. A.33

t_tol_v Variation de temps

admissible pour

v_réelle en dehors de

la plage de vitesse

autorisée

0 ms 10 ms ≥ 100 ms Largeur de bande

typique pour la ré

gulation de la vitesse

f_gr = 100 Hz

1) La résolution du signal de vitesse est déterminée de manière significative par la qualité des codeurs utilisés et par le temps de

filtrage paramétré du filtre de vitesse. La surveillance de n_typ_min doit être possible avec les codeurs angulaires classiques tels

que les résolveurs ou les codeurs SIN/COS, si le filtre de vitesse est paramétré dans une plage de 20 ms (l'axe se déplace de

0,08 mm en 20 ms à 4 mm/s).

Tab. A.27 Valeurs typiques SLS

A Annexe technique


A.3.3 Détermination des paramètres significatifs pour Safe Speed Function (avec SLS, SSR)Le module de sécurité est paramétré comme suit pour les exigences définies au paragraphe A.3.2 :

Fig. A.2 Exemple de détermination des paramètres significatifs pour Safe Speed Function (SLS, SSR)

Fig. A.3 Exemple de détermination des paramètres experts pour Safe Speed Function (SLS, SSR)

A Annexe technique


A.3.4 Exigences en cas d'erreurs de codeur du point de vue de l'applicationL'analyse des capteurs de position sur le module de sécurité est basée sur l'un des deux principes

fondamentaux suivants :

a) Deux informations de positions redondantes sont disponibles, évaluées séparément et de manière

redondantes par deux microcontrôleurs, donc deux signaux de vitesse séparés.

Exemple : moteur avec codeur ENDAT + deuxième capteur de position incrémentiel sur l'axe.

b) Une seule information de position est disponible de manière “sûre”, l'information est transmise via

les mêmes lignes et via des parties de circuit partiellement identiques (par ex. amplificateur dif

férentiel pour les signaux d'entrée) et évaluée avec redondance sur le module de sécurité par deux

microcontrôleurs.

Exemple : résolveur (SIL2) ou codeur SIN/COS avec SIL 2/SIL 3.

Cas a) La détection d'erreurs de codeur et de variations de position entre les codeurs de position 1 et

2 ne présente “pas de problème dans le temps” étant donné que la surveillance est toujours

garantie via l'autre codeur si l'un des deux tombe en panne.

Cas b) La détection de variations de position entre le microcontrôleur1 et le microcontrôleur2 ne pré

sente “pas de problème dans le temps” étant donné que la surveillance est toujours garantie

via l'autre microcontrôleur.

La détection d'erreurs dans le canal de transmission (par ex. câble) et dans les parties de circuit

utilisées communément pour l'analyse du codeur doit se dérouler le plus rapidement possible

dans le cadre d'un temps de réaction à l'erreur à spécifier.

La détection d'erreurs de codeur repose essentiellement sur une surveillance des signaux ana

logiques. Les limites de la surveillance des signaux ont une influence sur la précision de surveil

lance en résultant et sur le niveau de couverture du diagnostic � voir paragraphe A.2.3.

La surveillance de la différence de position ne doit pas être plus précise que dans d'autres cas

d'erreurs.

Le “Worst Case” (pire cas) de mouvement incontrôlé de l'axe est la défaillance partielle de deux semi-

conducteurs de puissance dans l'étage de sortie du CMMPASM3. Dans le pire des cas, cette erreur

entraîne un mouvement d'approche électrique de l'axe allant jusqu'à 180° (== 45° sur l'arbre pour un

moteur à 8 pôles).

Remarque : le système doit naturellement être conçu de sorte que cette erreur n'entraîne pas de dif

férence de position interdite – par ex. grâce au choix d'un réducteur adéquat ou d'une avance réduite

en conséquence.

NotaIl existe un danger de secousses de l'actionneur en cas d'erreurs multiples dans le

CMMP-AS-...-M3.

Une panne de l'étage de sortie du contrôleur de moteur au cours de l'état STO (court-

circuit simultané de 2 semi-conducteurs de puissance dans des phases différentes)

peut être à l'origine d'un mouvement d'arrêt limité du rotor. Le parcours/l'angle de

rotation correspond à un écartement polaire. Exemples :

– Axe de rotation, machine synchrone, 8 pôles � mouvement 45° sur arbre de

moteur.

– Moteur linéaire, écartement polaire 20 mm � mouvement 20 mm sur la pièce en

mouvement.

A Annexe technique


Détermination de la différence angulaire (dynamique)

Détection des erreurs de signaux dans la voie de com

munication “commune” (résolveur, codeur SIN/COS)

≤ 2 ms

Décalage de position en cas de “défaillance partielle”

de deux semi-conducteurs de puissance (Worst Case)

env. 60° sur l'arbre

Décalage de position dû à une détection décalée dans

le temps de la position par le microcontrôleur1 et le

microcontrôleur2

env. 1° sur l'arbre

Décalage dynamique de la position lors de

l'accélération

typ. 30° sur l'arbre

Durée de la procédure de compensation typ. ≤ 10 ms

Différence totale de position en résultant env. 0,167 tr

Tab. A.28 Observation de la différence de position possible entre les microcontrôleurs 1 et 2

La surveillance de la différence de vitesse dépend des résolutions de l'analyse du codeur et du

décalage horaire possible lors de la détection entre le microcontrôleur1 et le microcontrôleur2 pour

une accélération maximale. La constante de durée de filtrage autorisée est obtenue suivant les

indications du paragraphe A.3.7, Tab. A.33.

Détermination de la différence totale de vitesse de rotation (dynamique)

Résolution de l'analyse du codeur (brute)

(important pour la détection d'arrêt, P06.09)

env. 20 tr/min

Décalage de la vitesse de rotation lors de

l'accélération

env. 120 tr/min

Décalage horaire 1 cadence de base => ≤ 200 μs

Accélération maximale 0 > 5000 RPM en 1 ms

Décalage de la vitesse de rotation lors de l'accélération 200 μs x 6000 tr/min / 10 ms

Différence totale de vitesse de rotation en résultant env. 150 tr/min

Constante de durée de filtrage pour les signaux de

vitesse

Valeur caractéristique 8 ms

Tab. A.29 Observation de la différence de vitesse de rotation dynamique possible entre les microcon

trôleurs 1 et 2

La variation de temps admissible pour la surveillance du codeur peut être augmentée et réglée sur

100 ms en raison de la fiabilité élevée (PFH) du circuit.

Par conséquent, la configuration du codeur du module de sécurité est paramétrée comme suit :

A Annexe technique


Fig. A.4 Réglage de paramètre pour la détection de la vitesse de rotation

Fig. A.5 Réglage de paramètre pour la comparaison Codeur 1 – 2

A Annexe technique


A.3.5 Surveillance des longueurs vectorielles des signaux analogiques du codeur (résolveur,codeur SIN/COS)

Le module de sécurité surveille les signaux analogiques d'un codeur SIN/COS ou du résolveur :– Les signaux de voie ex (correspond au signal COS d'un codeur SIN/COS / résolveur) et ey

(correspond au signal SIN d'un codeur SIN/COS / résolveur) sont mesurés.– Chaque signal est surveillé individuellement (respect de la plage du signal autorisée). Les courts-

circuits de signaux individuels contre GND / VCC et un niveau de signal trop élevé, non autorisé,sont détectés.

– De plus, la longueur vectorielle est calculée :

e � e2x � e2

y�

– Le respect des valeurs limites paramétrable de la longueur vectorielle actuelle e mesurée est contrôlé :

emin � e � emax (paramètres P06.0F, P06.10, P06.1A, P06.1B)– Si un signal individuel (ex, ey) ou le vecteur (e) se situe en dehors de la plage admissible, une

erreur de codeur se déclenche et la réaction à l'erreur est activée (erreur du groupe 55-x).La surveillance des longueurs vectorielles est utilisée pour l'identification des différentes erreurs du codeur et pour l'identification d'erreurs dans la détection de signaux analogiques � paragraphe A.2.3:– Défaillance d'un signal en raison d'un court-circuit, d'une interruption, ...– Amplitudes et erreurs de phases– Erreur “Stuck At”– Dérive et oscillationL'angle d'erreur maximal avant l'activation de la surveillance des longueurs vectorielles résulte de lalongueur vectorielle nominale erated, y compris les valeurs limites, comme suit :

�� acos� eminerated�� acos�emin

emax�

Couverture du diagnostic de la surveillance des longueurs vectorielles :Le niveau de couverture du diagnostic peut être calculé comme suit, à partir du rapport des surfacesde tension dans l'espace des coordonnées x-y, en supposant une répartition homogène des erreurs detension :

Valeur Codeur SIN/COS Résolveur

Plage de tension des signaux

du codeur ex, ey

0,5 V ex , ey 4,5 V –6,7 V ex , ey 6,7 V

Surface totale de la plage de

tension Ftotal

Ftotal = (4,50 V – 0,50 V)² Ftotal = (6,7 V – (-6,7 V))²

Part de la plage de tension

“autorisée” Fvalid

Fvalid = ð(emax² – emin²)

Fvalid = ð(0,70 V² – 0,21 V²) 1)

Fvalid = ð(0,60 V² – 0,40 V²) 2)

Fvalid = ð(2,20 V² – 6,40 V²) 1)

Fvalid = ð(5,20 V² – 6,40 V²) 2)

Couverture de diagnostic DCvl

DCvl =1 – Fvalid/ Ftotal

DCvl =91 % 1)

DCvl =95 % 2)

DCvl =37 % 1)

DCvl =76 % 2)

1) Réglage à l'usine

2) Réglage avec tolérance réduite

Tab. A.30 Calcul du niveau de couverture du diagnostic

A Annexe technique


La couverture du diagnostic de la surveillance de longueur vectorielle DCVL entre dans la couverture

de diagnostic globale DCAV pour le système complet via l'AMDEC des erreurs de codeur possibles.

DCAV étant généralement significativement supérieur à DCVL.

À l'état de livraison, les paramètres pour la surveillance des longueurs vectorielles sont “relativement

grossiers” pour permettre le fonctionnement avec bon nombre de codeurs différents et obtenir

disponibilité maximale en cas d'effets parasites externes :

Fig. A.6 Réglage de paramètre pour la surveillance des signaux analogiques et l'identification des

erreurs

Le tableau suivant regroupe les données supplémentaires relatives au codeur dans les gammes de

moteur Festo.

Les valeurs indiquées sont les valeurs nominales des vecteurs, les chiffres de périodes du codeur, les

valeurs pour emin, emax (voir ci-dessus), les erreurs d'angle maximales qui en résultent jusqu'à ce que

la détection d'erreur se déclenche, DCVL ainsi que le niveau de couverture du diagnostic global qui en

résulte DCAV pour le moteur avec système de codeur.

Gammedemoteur

Codeur 1 p0 emin erated emax Δåmech Erreur de positionlors de l'avance[mm/t]

DCVL DCVL

100 20

EMMS-AS

avec résol

veur

Résolveur 1 2,20 V 5,80 V 6,40 V 138° 38 mm 7 mm 36 % 91 %

EMME-AS Codeur

Hiperface

(codeur

SIN/COS)

16 0,21 V 0,50 V 0,70 V 8,6° 2,4 mm 0,5 mm 91% 93%

A Annexe technique


Gammedemoteur

DCVLDCVLErreur de positionlors de l'avance[mm/t]

Δåmechemaxeratedeminp0Codeur 1Gammedemoteur

DCVLDCVL

20100

Δåmechemaxeratedeminp0Codeur 1

Servo

moteur

avec co

deur

Hiperface

SKS 36 /

SKM 36

Codeur

Hiperface

(codeur

SIN/COS)

128 0,21 V 0,50 V 0,70 V 1,1° 0,3 mm 0,06 mm 91% 93%

Tab. A.31 Erreur de position avant l'activation de la surveillance des longueurs vectorielles ainsi que

le courant continu DC correspondant (réglage à l'usine)

Si le niveau de couverture du diagnostic est trop faible, une limitation est possible en réglant emin et

emax sur les valeurs limites suivantes (le cas échéant, au détriment de la disponibilité du système dans

un environnement industriel perturbé) :

Gammedemoteur

Codeur 1 p0 emin erated emax Δåmech Erreur de positionlors de l'avance

DCVL DCVL

100 mm/t 20 mm/t

EMMS-AS

avec résol

veur

Résol

veur

1 5,20 V 5,80 V 6,40 V 62° 17 mm 3,4 mm 75% 91 %

EMME-

AS

Codeur

Hiperface

(codeur

SIN/COS)

16 0,40 V 0,50 V 0,60 V 5,3° 1,5 mm 0,3 mm 95% 96%

Servo

moteur

avec co

deur

Hiperface

SKS 36 /

SKM 36

Codeur

Hiperface

(codeur

SIN/COS)

128 0,40 V 0,50 V 0,60 V 0,7° 0,2 mm 0,04 mm 95% 96%

Tab. A.32 Erreur de position avant l'activation de la surveillance des longueurs vectorielles ainsi que

le courant continu DC correspondant (tolérances limitées)

A Annexe technique


Le niveau de couverture du diagnostic de la surveillance des longueurs vectorielles DCVL

convient pour le fonctionnement du CAMC-G-S3 avec le système de codeur correspon

dant, dans l'ensemble du niveau de couverture du diagnostic.

De nombreuses erreurs sont également détectées de manière sûre en cas de surveillance

de longueur vectorielle réglée de manière “relativement grossière” ou elles sont détec

tées par d'autres mécanismes de détection d'erreurs. Pour cette raison, le DCAV global

est supérieur au DCVL.

Exemple : résolveur avec réglage à l'usine pour la surveillance } DCVL = 37 %, mais

dans le système, on arrive à DCAV = 91 %.

NotaContrôler l'application quant aux points critiques suivants :

� Quelles sont les exigences en matière de précision de la surveillance de position et

d'immobilisation ?

Tenir également compte des limitations indiquées dans ce chapitre lors du choix du

système

A Annexe technique


A.3.6 Conséquence d'une erreur d'angle dans les limites d'erreur de la surveillance des longueurs vectorielles sur le signal de vitesse

Soit le cas suivant : un signal de codeur ex ou ey présente une erreur, par ex. une erreur d'amplitude.

L'erreur est assez peu importante, de sorte que la surveillance des longueurs vectorielles n'est pas

activée.

Si l'arbre se déplace à une vitesse constante / tourne à une vitesse de rotation constante, l'erreur

entraîne des “variations” de la vitesse momentanée actuelle mesurée. La vitesse déterminée sur une

période de codeur correspond toutefois à la vitesse de déplacement réelle.

Fig. A.7 Courbes d'erreur sur le signal de vitesse (CH1) lors d'une réduction de 10 % de l'amplitude

du signal ex. On obtient également une ondulation de la vitesse de rotation de 10 %.

La mesure est effectuée sur l'entraînement indépendant de l'arbre avec une vitesse de rota

tion constante.

Habituellement, le codeur de position 1 est également évalué dans l'appareil de base et utilisé pour la

régulation de la vitesse de rotation. L'appareil de base régule à présent selon les variations de la

vitesse momentanée. En cas de basses fréquences, situées sous la fréquence limite du circuit de ré

gulation de la vitesse de rotation, la variation supposée est réglée, l'axe ne se déplace plus à une

vitesse constante mais la vitesse de rotation effective varie. Le signal d'angle et de vitesse semblent

désormais “bons”

La possibilité de détection des erreurs de vitesse dans les fonctions de sécurité, telles que SLS ou

SSR, dépend ainsi de plusieurs facteurs :

a) Si, en plus, un deuxième système de mesure est utilisé sur la prise de force, la variation est détec

tée de manière sûre.

Le deuxième système de mesure permet de détecter correctement la variation de la vitesse de

rotation, le module de sécurité détecte un dépassement de la vitesse de rotation momentanée et

adopte un état sûr.

b) Seul un système de codeur avec un nombre élevé de périodes par rotation est utilisé :

même à faibles vitesses, on obtient une fréquence relativement élevée qui ne nécessite plus de

réglage, la variation de la vitesse de rotation est détectée par le module de sécurité qui adopte un

état sûr.

A Annexe technique


c) Seul un système de codeur avec un nombre peu élevé de périodes par rotation est utilisé :

à faibles vitesses, on obtient une basse fréquence de la variation de la vitesse de rotation qui

nécessite encore de nombreux réglages.

c1) Le module de sécurité peut détecter de manière sûre un dépassement de la vitesse moyenne

sur une période du codeur.

c2) Pour garantir la surveillance de la vitesse de rotation momentanée, la limite de surveillance doit

être réduite.

Exemple pour c2) : Surveillance de la longueur vectorielle du résolveur avec +/- 20 % => La vitesse de

rotation à surveiller doit être diminuée de la valeur escomptée de variation de la vitesse de rotation, à

savoir de 20 %

=> Pour une surveillance demandée à v = 200 mm/s, la surveillance est réglée sur v = 160 mm/s.

NotaContrôler l'application quant aux points critiques suivants :

� Quelles sont les exigences en matière de surveillance de la vitesse ?

� Une surveillance de la vitesse moyenne par le biais d'une rotation du moteur est-

elle suffisante ?

Tenir également compte des limitations indiquées dans ce chapitre lors du choix du

système.

A Annexe technique


A.3.7 Base pour l'observation de la précision du système

Limites de position SOS

Surveillance de position

Exemple de tolérance maximale, la valeur

requise doit être définie lors de l'analyse du

risque

La limite supérieure pour SOS est 1,8 mm, ce qui

signifie que l'axe peut se déplacer de 1,8 mm

max. en direction du danger.

Surveillance de la vitesse

Temps de filtrage max. courants 64 ms

Valeur par défaut typique Identification immédiate avec cadence de surveil

lance de 8 ms.

RésuméTolérance de position typique admissible +/ 1 mm

Durée de filtrage typique Filtre 8 ms, instant de détection 2 ms.

Tab. A.33 Limites de position SOS, temps de filtrage

Limites de vitesse SLS

DIN EN 12417:200907 Machines-outils – Sécurité – Centres d'usinage

Vitesse limitée en mode de fonctionnement

spécifique

Protecteurs séparés, ouverts 5 m/min = 83,3 mm/s

Vitesse limitée en cas de changement d'outil, de travaux de maintenance ou de réglage

Uniquement danger de collision 15 m/min = 250 mm/s

Danger d'écrasement 2 m/min = 33,3 mm/s

DIN EN 23125:201010 Machines-outils - Sécurité Tours

Vitesse limitée en mode de fonctionnement manuel

Pour les tours de petite taille 6 m/min = 100 mm/s

Pour les tours de grande taille 10 m/min = 166,7 mm/s

Vitesse de fermeture du mandrin à mors 4 mm/s

Déplacement de l'axe 2 m/min = 33,3 mm/s

Mouvement d'avance de la broche 1,2 m/min = 20 mm/s

EN 102181:201201 Robots industriels – Exigences de sécurité – partie 1 : robots

Vitesse limitée 250 mm/s

RésuméPlage de valeurs “Vitesse limitée”

Valeur min. 4 mm/s

Valeur max. 250 mm/s

Durée de filtrage typique Filtre 8 ms, instant de détection 2 ms.

Tab. A.34 Limites de vitesse SLS

A Annexe technique


Données typiques de quelques axes linéaires de Festo

Axes à courroie crantée EGCTBKF, avec guidage à billes

Taille 50 70 80 120 185

Pas [mm] 2 3 3 5 8

Allongement (force

max.)

[%] 0,094 0,08 0,24 0,13 0,29

Diamètre primitif [mm] 18,46 24,83 28,65 39,79 73,85

Constante d’avance [mm/tr] 58 78 90 125 232

Axes à vis EGCBSKF, avec guidage à billes

Taille 70 80 120 185

Diamètre [mm] 12 15 25 40

Pas [mm/tr] 10 10 20 10 25 40

Axes à courroie crantée DGEZR (vitesse élevée selon le type, jusqu'à 10 m/s)

Taille 8 12 18 25 40 63

Pas [mm] 2 2 2 3 5 8

Allongement (force

max.)

[%] 0,04 0,1 0,2 0,11 0,1 0,15

Diamètre primitif [mm] 10,18 12,09 16,55 20,05 31,83 56,02

Constante d’avance [mm/tr] 32 28 52 63 100 176

Axes à courroie crantée ELGA-TB-G

Taille 70 80 120

Pas [mm] 3 5 5

Allongement (force

max.)

[%] 0,31 0,19 0,23

Diamètre primitif [mm] 28,65 39,79 52,52

Constante d’avance [mm/tr] 90 125 165

Actionneurs linéaires, par ex. ELGLLAS, sur coussin d'air avec moteur linéaire

Pas polaires typiques dans la plage d'avance 20 mm…80 mm == 40 mm…160 mm

RésuméPlage de valeurs “Avance” Z : 20 mm/tr …. 300 mm/t

Tab. A.35 Axes linéaires typiques de Festo – Constantes d'avance à respecter

Facteur�de�position �Rapport�de�réduction� *� Pas�de�progression�Tour

Constante�davance

A Annexe technique


A.4 Messages d'état, diagnostic via le bus de terrain

A.4.1 Édition de messages d'erreur via les sorties numériques de l'appareil de base

Le contrôleur de moteur peut afficher des messages d'état importants du module de sécurité sur les

sorties numériques DOUT0 à DOUT3 via l'interface I/O [X1].

La configuration des sorties numériques se fait via le Festo Configuration Tool.

Les messages généraux suivants (par comparaison avec le paragraphe 2.10.2) sont disponibles pour

l'édition:

VOUT Signal Nom Fonction

40 VOUT_PS_EN Activation d'étage

de sortie

admissible

Le bit d'état indique si le contrôleur de moteur

peut activer l'étage de sortie.

41 VOUT_WARN Avertissement Au moins une erreur de priorité

“Avertissement” est survenue.

42 VOUT_SCV Non-respect des

conditions de sécu

rité

Au moins une condition de sécurité n'a pas été

respectée.

43 VOUT_ERROR Erreur Le module de sécurité a constaté une erreur

interne.

44 VOUT_SSR État sûr atteint Bit global “Safety State reached”, toutes les

fonctions de sécurité demandées signalent un

état sûr.

45 VOUT_SFR Fonction de sécu

rité demandée

Bit global “Safety Function Requested”,

au moins une fonction de sécurité est

demandée. Reste actif jusqu'à ce que toutes

les demandes soient réinitialisées.

46 VOUT_SERVICE État de “Service” État “Service”, pas de paramètres existants,

paramètres non valides ou session de paramét

rage en cours.

47 VOUT_READY Opérationnel État “opérationnel”, aucune fonction de sécu

rité demandée.

Tab. A.36 Signaux d'état du module de sécurité pour l'édition via la sortie DOUTx de l'appareil de base

Les messages d'état du CAMC-G-S3 sont compatibles avec ceux du CAMC-G-S1 (module

de sécurité avec fonction de sécurité “Safe Torque Off ”).

Dans les applications à utilisation mixte des modules de sécurité, cela permet d'obtenir

un retour d'information homogène à la commande.

A Annexe technique


A.4.2 Messages d'état via le bus de terrain – Protocole CiA 402Le contrôleur de moteur dispose de toutes les fonctions essentielles du module de sécurité (état,

modes, erreurs, IO). Pour la transmission aux systèmes de bus, les informations suivantes sont

particulièrement significatives pour obtenir un schéma détaillé du système dans la commande

fonctionnelle:

– Messages généraux sur l'état du module de sécurité (fonctionnement normal, fonction de sécurité

demandée, erreur, etc. � en comparaison avec le paragraphe 2.10.2).

– État des différentes fonctions de sécurité (quelles fonctions sont demandées, quelles fonctions sont

atteintes).

– État des entrées et sorties numériques.

Les objets CiA 402 correspondants sont énumérés dans la suite, les informations reçues via le module

de sécurité et celles du CMMPAS...-M3 prises en charge.

Objet 2000h: manufacturer_statuswordsAfin de pouvoir représenter d'autres états de régulation, qui ne doivent pas être présents dans le

statusword souvent interrogé de manière cyclique, le groupe d'objets manufacturer_statuswords at

teint pour le module de sécurité a été mis en place.

Index 2000h

Nom manufacturer_statuswords

Object Code RECORD

No. of Elements 2

Sub-Index 00h

Description manufacturer_statuswords

Data Type UINT8

Access ro

PDO Mapping no

Units –

Value Range –

Default Value 1

Sub-Index 01h

Description manufacturer_statusword_1

Data Type UINT32

Access ro

PDO Mapping yes

Units –

Value Range –

Default Value –

A Annexe technique


manufacturer_statusword_1Bit Signal Description

Bit 0 IS_REFERENCED L'actionneur est référencé

Bit 1 COMMUTATION_

VALID

Commutation valide

Bit 2 READY_FOR_ENABLE Ce bit est défini lorsque toutes les conditions sont réunies pour

libérer le régulateur et que seule la validation du régulateur

manque. Les conditions suivantes doivent être réunies:

– L'actionneur est sans erreur.

– Le circuit intermédiaire est chargé.

– L'analyse du codeur angulaire est prête. Aucun processus

(p. ex. des transmissions en série) qui empêche la validation

n'est actif.

– Aucun processus bloquant n'est actif (p. ex. l'identification

automatique des paramètres du moteur).

– STO n'est pas actif ou une fonction de sécurité est active qui

autorise la validation.Bit 3 IPO_IN_TARGET Le générateur de positionnement a fermé le profil.

Bit 4 ... 7 FAO Réservé et utilisé pour le disque à cames.

Bit 8 SAFE_STANDSTILL “Arrêt sûr” “H” sur l'écran à 7 segments.

Utilisation par le module de sécurité CAMC-G-S1.

Bit 9 ... 11 – Réservé aux extensions.

Bit 12 VOUT_PS_EN Indique que l'entraînement peut être actionné (pas de limi

tations par le module de sécurité).

Bit 13 VOUT_WARN Correspond à VOUT_WARN (VOUT41) du module de sécurité.

il y a au moins une erreur, dont la réaction sur erreur est para

métrée sur “Avertissement”.

Bit 14 VOUT_SCV Correspond à VOUT_SCV (VOUT 42) du module de sécurité.

Au moins une condition de sécurité n'a pas été respectée.

Bit 15 VOUT_ERROR Correspond à VOUT_ERROR (VOUT 43) du module de sécurité.

Aucune erreur interne constatée.

Bit 16 VOUT_SAVE_STAT Correspond à VOUT_SSR (VOUT 44) du module de sécurité.

Le bit est défini si une fonction de sécurité est demandée dans

le module de sécurité, mais que l'état sûr n'est pas encore

atteint.

Bit 17 VOUT_SFR Correspond à VOUT_SFR (VOUT 45) du module de sécurité.

Le bit est défini si au moins une fonction de sécurité est

demandée dans le module de sécurité. Le bit reste actif jusqu'à

ce que toutes les demandes soient réinitialisées.

A Annexe technique


manufacturer_statusword_1

Bit DescriptionSignal

Bit 18 VOUT_SERVICE Pas de paramètres existants, paramètres non valides ou

session de paramétrage en cours (pris en charge par

CAMC-G-S1). L'état est défini lorsque le module de sécurité

a été remplacé par un autre type.

Bit 19 VOUT_READY État normal: VOUT_READY= NOT(VOUT_SFR)

Bit 20 ... 31 – Réservé.

Tab. A.37 Affectation des bits dans manufacturer_statusword_1

Objet 2600h: FSM_VOUTCes objets représentent l'état du VOUT (0..64).

Index 2600h

Nom FSM_vout

Object Code RECORD

No. of Elements 2

Sub-Index 01h

Description FSM_vout_0_31

Data Type UINT32

Access ro

PDO Mapping yes

Units –

Value Range –

Default Value –

Bits 0..31 = VOUT0..31 du module de sécurité

Sub-Index 02h

Description FSM_vout_32_63

Data Type UINT32

Access ro

PDO Mapping yes

Units –

Value Range –

Default Value –

Bits 0..31 = VOUT32..63 du module de sécurité

A Annexe technique


Objet 2602h: FSM_IOLecture du niveau aux entrées du module de sécurité

Index 2602h

Nom FSM_io

Object Code RECORD

No. of Elements 1

Sub-Index 01h

Description FSM_dig_io

Data Type UINT32

Access ro

PDO Mapping yes

Units –

Value Range –

Default Value –

FSM_dig_ioBit Signal Description

Bit 0 LOUT48 État logique DIN40 A/B




Bit 4 LOUT52 État logique DIN44

Bit 5 LOUT53 État logique DIN45 ; sélecteur de mode de fonctionnement (1 de 3)



Bit 8 LOUT56 Validation des erreurs via DIN48

Bit 9 LOUT57 Remise en marche via DIN49

Bit 10 LOUT58 État logique du terminal de dialogue à deux mains (paire de 2 x DIN4x)

Bit 11 LOUT59 Message de retour Frein de maintien

Bit 12 ... 15 LOUT60 ... 63 Non affecté

Bit 16 LOUT64 État de la sortie DOUT40



Bit 19 LOUT67 État du relais de signalisation

Bit 20 LOUT68 Commande de freinage

Bit 21 LOUT69 État du signal de commande SS1

Bit 22 ... 31 LOUT70 ... Non affecté

Tab. A.38 Affectation des bits FSM_dig_io

A Annexe technique


A.4.3 Messages d'état via le bus de terrain – Protocole FHPPLe contrôleur de moteur dispose de toutes les fonctions essentielles du module de sécurité (état,modes, erreurs, IO). Pour la transmission aux systèmes de bus, les informations suivantes sontparticulièrement significatives pour obtenir un schéma détaillé du système dans la commandefonctionnelle:– Messages généraux sur l'état du module de sécurité (fonctionnement normal, fonction de sécurité

demandée, erreur, ... -> en comparaison avec le paragraphe 2.10.2).– État des différentes fonctions de sécurité (quelles fonctions sont demandées, quelles fonctions sont

atteintes).– État des entrées et sorties numériques.

Les objets correspondant au protocole de communication FHPP (Festo Handling and Positioning Profile)contenant des informations sur le module de sécurité sont énumérés dans la suite.

FSM_STATE via FHPP

PNU 280 Safety State (Safety Status)Sous-index 01 Classe: Var Type de données:

uint32à partir du FW

4.0.1501.2.1

Accès: ro

Mot d'état de la fonction de sécurité.

Bit Nom Valeur Signification

0 … 7 – 0x0000 00FF Réservé.

8 VOUT_PS_EN 0x0000 0100 Activation de l'étage de sortie possible.

CAMC-G-S3: VOUT_PS_EN = NOT (VOUT_SFR).

CAMC-G-S1: aucune des entrées STO-A ouSTO-B n'a été commutée.

9 VOUT_WARN 0x0000 0200 Avertissement. il y a au moins une erreur, dontla réaction sur erreur est paramétrée sur“Avertissement”.

CAMC-G-S3: VOUT_WARN (VOUT41).

CAMC-G-S1: réservé.

10 VOUT_SCV 0x0000 0400 Au moins une condition de sécurité n'a pas étérespectée.

CAMC-G-S3: VOUT_SCV (VOUT 42).


11 VOUT_ERROR 0x0000 0800 Erreur interne (message d'erreur général) dumodule de sécurité.

CAMC-G-S3: VOUT_ERROR ( VOUT 43).

CAMC-G-S1: délai de discordance non respecté.

12 VOUT_SSR 0x0000 1000 État sûr atteint (message général).

CAMC-G-S3: VOUT_SSR (VOUT 44) Le bit estdéfini lorsque l'état sûr est atteint pour toutesles fonctions de sécurité dans le module desécurité.

CAMC-G-S1: STO actif.

A Annexe technique


PNU 280 Safety State (Safety Status)

Accès: roà partir du FW

4.0.1501.2.1

Type de données:uint32

Classe: VarSous-index 01

13 VOUT_SFR 0x0000 2000 Fonction de sécurité demandée.

CAMC-G-S3: VOUT_SFR (VOUT 45): Le bit est défini si au moins une fonction desécurité est demandée dans le module desécurité. Le bit reste actif jusqu'à ce quetoutes les demandes soient réinitialisées.

CAMC-G-S1: au moins une des entrées STO-Aou STO-B a été commutée.

14 VOUT_SERVICE 0x0000 4000 Message de service.

CAMC-G-S3: état défini,… …après le remplacement du module,…à l'état de la livraison,…lors d'une session de paramétrage.


15 VOUT_READY 0x0000 8000 Ready. État normal, aucune fonction de sécurité demandée.

CAMC-G-S3: VOUT_READY= NOT(VOUT_SFR).

CAMC-G-S1: aucun STO demandé.

16 … 31 – 0xFFFF 0000 Réservé.

Tab. A.39 PNU 280

PNU 281 FSM Status word (mot d'état FSM)Sous-index

01 … 02

Classe: Array Type de données:

uint32

à partir du FW

4.0.1501.2.1

Accès: ro

CAMC-G-S3: contenu du mot d'état VOUT (0 … 64).

Sous-index 01 Lower Bytes (octets inférieurs)

Bits 0 … 31 = VOUT_0 … 31 du module de sécurité CAMC-G-S3.

Sous-index 02 Upper Bytes (octets supérieurs)

Bits 0 … 31 = VOUT_32 … 63 du module de sécurité CAMC-G-S3.

Tab. A.40 PNU 281

A Annexe technique


PNU 282 FSM IO (FSM IO)Sous-index 01 Classe: Var Type de données:

uint32

à partir du FW

4.0.1501.2.1

Accès: ro

CAMC-G-S3: niveau aux entrées du module de sécurité.

Bit Signal Signification

0 LOUT48 État logique DIN40 A/B




4 LOUT52 État logique DIN44

5 LOUT53 État logique DIN45 ; sélecteur de mode de fonctionnement (1 de 3)



8 LOUT56 État logique Validation des erreurs via DIN48

9 LOUT57 État logique Remise en marche via DIN49

10 LOUT58 État logique du terminal de dialogue à deux mains

(paire de 2 x DIN4x)

11 LOUT59 Message de retour Frein de maintien

12 . 15 LOUT60 … 63 Non affecté

16 LOUT64 État logique de la sortie DOUT40



19 LOUT67 État logique du relais de signalisation

20 LOUT68 Sortie logique de la commande de freinage

21 LOUT69 État logique du signal de commande SS1

22 … 31 LOUT70 … 79 Non affecté.

Tab. A.41 PNU 282

A Annexe technique


A.5 Enregistrement des données de mesure – “Trace”

A.5.1 AperçuPour le diagnostic, la fonction Trace (fonction d'oscilloscope) du PlugIn FCT CMMP-AS vous permetd'enregistrer, outre les données normales du contrôleur du moteur, les données de mesure du modulede sécurité.

Les données de mesure enregistrées servent à la recherche des erreurs. Elles ne jouent

aucun rôle dans la sécurité.

Le paramétrage des données de mesure et l'enregistrement sont effectués avec le FCT (� paragraphe A.5.2).Jusqu'à quatre données numéraires ou numériques peuvent être enregistrées parallèlement. Pour lemodule de sécurité, les données suivantes sont disponibles :

Données Description

Numeric data (Données numéraires)Upper value of rotation speed set value limitation (Limite supérieure de la valeur de consigne de vitesse derotation)1)

Limite supérieure actuelle de la vitesse dansl'appareil de base, limite prescrite pas lemodule de sécurité.

Lower value of rotation speed set value limitation (Limite inférieure de la valeur de consigne de vitesse derotation)1)

Limite inférieure actuelle de la vitesse dansl'appareil de base, limite prescrite pas lemodule de sécurité.

CAMC-G-S3: Rotation speed - actual value (Valeur devitesse de rotation réelle)

Valeur de vitesse de rotation réelle du module de sécurité.

CAMC-G-S3: Position actual value (Valeur réelle deposition)

Valeur réelle de position du module de sécurité.

CAMC-G-S3: Actual upper value of the safe speed limitation (Limite supérieure de la vitesse actuellementsurveillée)

Limite supérieure actuelle de la vitessesurveillée par le module de sécurité.

CAMC-G-S3: Actual lower value of the safe speed limitation (Limite inférieure de la vitesse actuellementsurveillée)

Limite inférieure actuelle de la vitessesurveillée par le module de sécurité.

Freely selectable CO (OC ... au choix) Cette sélection permet d'enregistrer tous lesparamètres souhaités � paragraphe A.5.2.

Digital Data (Données numériques)CAMC-G-S3: ... Bits d'état du module de sécuritéCAMC-G-S3: DIN40A État physique de l'entrée DIN40A... États physiques des autres entrées ...CAMC-G-S3: DOUT40A État physique de la sortie DOUT40... États physiques des autres sorties ...CAMC-G-S3: C1/C2 État physique du contact de relais C1/C2

1) Données de l'appareil de base

Tab. A.42 Données de mesure du module de sécurité

A.5.2 ConfigurationLes données enregistrées sont définies comme d'habitude dans le PlugIn FCT CMMP-AS sur la page“Trace” (Configurer les données de mesure).Pour le module de sécurité, les données numéraires et numériques supplémentaires du � Tab. A.42sont disponibles.

A Annexe technique


Fig. A.8 Configuration des mesures

À l'exception de l'entrée “Freely selectable CO” (OC ... au choix), les entrées peuvent être réglées

directement.

Pour les objets de communication au choix, une boîte de dialogue spéciale s'ouvre :

Fig. A.9 Objet de communication au choix

1. D'abord activer les données de mesure du module de sécurité dans l'onglet “CAMC-G-S3: Safety

Module” (Module de sécurité).

2. Dans “Freely selectable CO” (OC ... au choix), saisir le numéro sous forme de valeur hexadécimale.

Le numéro correspond au numéro du paramètre sans “P” et le point, dans l'exemple “639” pour

P06.39 - valeur réelle de la vitesse sécuritaire. Le numéro du paramètre est indiqué en bas.

Les paramètres utiles figurent par exemple dans � paragraphe B.2, Tab. B.10

“Paramètres de diagnostic”

3. Sous “Filtre”, il est possible de déterminer un masque, par ex. pour les plages de bits ou d'autres

données numériques.

4. Sous “Unité de mesure”, sélectionner la bonne entrée pour la grandeur de mesure afin qu'elle soit

correctement affichée dans le diagramme ultérieurement.

Pour modifier les réglages, il suffit de resélectioneer l'entrée “Freely selectable CO” (OC ... au choix).

A Annexe technique


A.5.3 Lancement de la fonction TraceNormalement, les réglages de la page “Trace” (Configurer les données de mesure) sont transmises

automatiquement au contrôleur de moteur au lancement de la fonction Trace. Cela n'est pas possible si

le module de sécurité CAMC-G-S3 est installé, étant donné que les données de mesure déterminées par

le module de sécurité ne sont appliquées qu'après le redémarrage.

C'est pourquoi le PlugIn FCT affiche la boîte de dialogue suivante dès qu'une ou plusieurs des données

contenues dans le � Tab. A.42 est (sont) sélectionnée(s) (à l'exception des données identifiées comme

étant des données de l'appareil de base).

Fig. A.10 Sauvegarde des données et redémarrage

Cette opération est nécessaire une fois après l'ouverture du PlugIn CMMP-AS dans FCT et après chaque

modification des données de mesure.

Après le redémarrage du contrôleur de moteur, la fonction Trace peut être lancée comme d'habitude.

A.5.4 ExempleL'objectif est d'enregistrer un non-respect d'une condition de sécurité dans SS1. DOUT42 est

demandée via VOUT-SCV “Safety Condition Violated” comme déclencheur.

Fig. A.11 Exemple de configuration des données de mesure

A Annexe technique


Comme représenté dans la Fig. A.11, les données suivantes sont réglées :

– Trace Canal 1 – Données numéraires – CAMC-G-S3 : limite supérieure de la vitesse actuellement

surveillée

– Trace Canal 2 – Données numéraires – CAMC-G-S3 : KO : 0x639, Filtre 0xFFFFFFFF

(P06.39 – Valeur réelle de la vitesse sûre)

– Trace Canal 3 – Données numéraires – CAMC-G-S3 : limite inférieure de la vitesse actuellement

surveillée

– Trace Canal 4 – Données numériques – CAMC-G-S3 : DOUT42B

On obtient par exemple le diagramme suivant :

Fig. A.12 Exemple de diagramme

B Liste de référence pour les signaux de commande et les paramètres


B Liste de référence pour les signaux de commande et lesparamètres

B.1 Liste de l'ensemble des signaux logiques

B.1.1 Entrées logiques LIN

Les entrées logiques sont regroupées en un vecteur de bits d'une longueur de 128 bits.

Le vecteur de bits se compose des plages suivantes :

LIN Nom Fonction

0 – Réservé à l'extension ultérieure de la fonctionnalité du module de sécu

rité, toujours nul.... ...

63 –

64 LIN_USF0_SSR Signaux de sortie virtuels renvoyés VOUT (messages d'état des fonctions

de sécurité, messages généraux).

Ils peuvent être ainsi être reliés logiquement aux signaux d'entrée.

... ...

95 LIN_READY

96 LIN_D40 État logique des entrées numériques DIN40…DIN49 ainsi que des signaux

de sortie des fonctions logiques et quelques états d'aide.... ...

127 LIN_STATIC_ONE

Tab. B.1 Composition du vecteur de bits des entrées logiques

L'état actuel du vecteur de bits LIN peut être lu via les objets de communication :

Bit 00 ... Bit 31 : P04.20

Bit 32 ... Bit 63 : P04.21

Bit 64 ... Bit 95 : P04.22

Bit 66 ... Bit 127 : P04.23



Illustration des entrées physiques sur les entrées logiquesLes entrées physiques sont représentées comme suit sur les entrées logiques (précision de l'état

stationnaire après filtration, analyse de l'impulsion test, etc.) :

LIN Nom Fonction

96 LIN_D40 Le bit LIN_D40 est réglé lorsque DIN40 A/B = 0 V (principe du courant de

repos)1)


repos)1)


repos)1)


repos)1)

100 LIN_D44 Le bit LIN_D44 est réglé lorsque DIN44 = 24 V101 LIN_D45 Le bit LIN_D45 est réglé lorsque DIN47 = 0 V et DIN46 = 0 V et DIN45 = 24 V102 LIN_D46 Le bit LIN_D46 est réglé lorsque DIN47 = 0 V et DIN46 = 24 V et DIN45 = 0 V103 LIN_D47 Le bit LIN_D47 est réglé lorsque DIN47 = 24 V et DIN46 = 0 V et DIN45 = 0 V104 LIN_D48 Le bit LIN_D48 est réglé lorsque DIN48 = 24 V105 LIN_D49 Le bit LIN_D49 est réglé lorsque DIN49 = 24 V

1) S'applique à la configuration en tant qu'entrée équivalente. Configuration en tant qu'entrée antivalente selon : LIN_DIN4x réglé

lorsque D4xA = 0 V et D4xB = 24 V.

Tab. B.2 Entrées logiques, affectation du niveau aux entrées physiques

Noter que LIN_D40 ... LIN_D43 ont une affectation spéciale aux niveaux de tension. Les

entrées logiques peuvent ainsi être transmises sans inversion aux fonctions de sécurité

(par ex. demande de STO), de manière à arriver au principe du courant de repos (entrée

0 V = STO demandé).

Entrées logiques après le pré-traitement et fonctions d'aideIllustration des entrées physiques après le pré-traitement (attente, 1 de n, etc..)

LIN Nom Fonction

96 LIN_D40 État logique DIN40 A/B97 LIN_D41 État logique DIN41 A/B98 LIN_D42 État logique DIN42 A/B99 LIN_D43 État logique DIN43 A/B100 LIN_D44 État logique DIN44101 LIN_D45 État logique DIN45 ; sélecteur de mode de fonctionnement (1 de 3)

État logique DIN45 47 (1 de 3) DIN45102 LIN_D46 État logique DIN45 47 (1 de 3) DIN46103 LIN_D47 État logique DIN45 47 (1 de 3) DIN47104 LIN_D48 État logique DIN48105 LIN_D49 État logique DIN49106 LIN_2HAND_CTRL État logique du terminal de dialogue à deux mains (couple de 2 x

DIN4x)107 LIN_BRAKE_X6_FB Message de retour Frein de maintien117 LIN_PWSTG_ON Appareil de base Étage de sortie actif



LIN FonctionNom

121 LIN_D45_SAFE État logique DIN45 après analyse du sélecteur de mode de fonction

nement122 LIN_D46_SAFE DIN46 après analyse du sélecteur de mode de fonctionnement123 LIN_D47_SAFE DIN47 après analyse du sélecteur de mode de fonctionnement124 LIN_D49_RI

SING_EDGE

Impulsion logique “1” d'une longueur d'env. 2 ms – 10 ms après

chaque front ascendant du signal LIN_D49. Prévu pour la “remise en

marche sensible au front”.125 LIN_AF

TER_RST_PULSE

Impulsion logique “1” d'une longueur d'env. 2 ms – 10 ms après

chaque RESET (réinitialisation). Prévue pour le premier réglage auto

matique d'une demande de fonction de sécurité après Power ON (ini

tialisation) ou après chaque RESET (réinitialisation) du système.126 LIN_STATIC_ZERO Toujours “0”127 LIN_STATIC_ONE Toujours “1”

Tab. B.3 Entrées logiques après le pré-traitement

Sorties virtuelles renvoyées en tant qu'entrées logiques

LIN Nom Fonction

64 LIN_USF0_SSR État sûr USF0 atteint65 LIN_USF1_SSR État sûr USF1 atteint66 LIN_USF2_SSR État sûr USF2 atteint67 LIN_USF3_SSR État sûr USF3 atteint75 LIN_SBC_SSR État sûr SBC atteint76 LIN_SS2_SSR État sûr SS2 atteint77 LIN_SOS_SSR État sûr SOS atteint78 LIN_SS1_SSR État sûr SS1 atteint79 LIN_STO_SSR État sûr STO atteint80 LIN_ALF0_OUT “Additional Logic Function” pour l'information de retour ou logique

propre81 LIN_ALF1_OUT “Additional Logic Function” pour l'information de retour ou logique







propre88 LIN_PS_EN Le bit d'état indique si le contrôleur de moteur peut activer l'étage

de sortie



LIN FonctionNom

89 LIN_WARN Au moins une erreur de priorité “Avertissement” est survenue90 LIN_SCV Au moins une condition de sécurité n'a pas été respectée91 LIN_ERROR Le module de sécurité a constaté une erreur interne92 LIN_SSR Bit global “Safe State Reached”, au moins une fonction de sécu

rité est demandée dans le module de sécurité. Le bit reste actif

jusqu'à ce que toutes les demandes soient réinitialisées.93 LIN_SFR Bit global “Safety Function requested”, au moins une fonction de

sécurité est demandée mais n'a pas encore été atteinte.94 LIN_SERVICE État de service, pas de paramètres existants, paramètres non

valides ou session de paramétrage en cours.95 LIN_READY État opérationnel, aucune fonction de sécurité demandée

Tab. B.4 Entrées logiques, sorties virtuelles renvoyées

B.1.2 Entrées virtuelles VINLes entrées virtuelles sont les entrées des fonctions de sécurité et des fonctions logiques supplémen

taires (ALF = additional logic function). Les abréviations suivantes sont valables :

“RSF” = Request Safety Function (demander la fonction de sécurité).

“CSF” = Clear Safety Function, remise en marche suite au non-respect de la condition de sécurité.

Les entrées virtuelles sont regroupées en un vecteur de bits d'une longueur de 64 bits.

L'état actuel du vecteur de bits VIN peut être lu via les objets de communication :

Bit 00 ... Bit 31 : P04.24

Bit 32 ... Bit 63 : P04.25

Représentation des entrées virtuelles

VIN Nom Fonction

0 VIN_USF0_RSF Demander la fonction de sécurité USF01 VIN_USF1_RSF Demander la fonction de sécurité USF12 VIN_USF2_RSF Demander la fonction de sécurité USF23 VIN_USF3_RSF Demander la fonction de sécurité USF34 – Réservé, toujours nul... ...10 –11 VIN_SBC_RSF Demander la fonction de sécurité SBC12 VIN_SS2_RSF Demander la fonction de sécurité SS213 VIN_SOS_RSF Demander la fonction de sécurité SOS14 VIN_SS1_RSF Demander la fonction de sécurité SS115 VIN_STO_RSF Demander la fonction de sécurité STO16 VN_USF0_CSF Terminer la demande USF017 VIN_USF1_CSF Terminer la demande USF118 VIN_USF2_CSF Terminer la demande USF219 VIN_USF3_CSF Terminer la demande USF327 VIN_SBC_CSF Terminer la demande SBC28 VIN_SS2_CSF Terminer la demande SS229 VIN_SOS_CSF Terminer la demande SOS



VIN FonctionNom

30 VIN_SS1_CSF Terminer la demande SS131 VIN_STO_CSF Terminer la demande STO32 VIN_ALF0_IN Entrée de la fonction logique supplémentaire ALF033 VIN_ALF1_IN Entrée de la fonction logique supplémentaire ALF134 VIN_ALF2_IN Entrée de la fonction logique supplémentaire ALF235 VIN_ALF3_IN Entrée de la fonction logique supplémentaire ALF336 VIN_ALF4_IN Entrée de la fonction logique supplémentaire ALF437 VIN_ALF5_IN Entrée de la fonction logique supplémentaire ALF538 VIN_ALF6_IN Entrée de la fonction logique supplémentaire ALF639 VIN_ALF7_IN Entrée de la fonction logique supplémentaire ALF740 – Réservé aux extensions de la fonction ALF, toujours nul... ...47 –48 – Réservé à l'extension ultérieure de la fonctionnalité du module de

sécurité, toujours nul... ...59 –60 VIN_ERR_QUIT Valider l'erreur61 – Réservé, toujours nul62 – Réservé, toujours nul63 VIN_BRK_ACK Message de retour Frein de maintien

Tab. B.5 Entrées virtuelles

B.1.3 Sorties virtuelles VOUT

Les sorties virtuelles sont les sorties des fonctions de sécurité et des fonctions logiques supplémen

taires (ALF = additional logic function). Elles sont définies dans des concepts tels que “SS1_état sûr

atteint”. Les abréviations suivantes sont valables :

SSR = Safety Function Requested (fonction de sécurité demandée)

SSR = “Safe State Reached” (état sûr atteint)

Les sorties virtuelles sont regroupées en un vecteur de bits d'une longueur de 64 bits. Des signaux de

sortie virtuels sélectionnés sont renvoyés en tant qu'entrées logiques dans le traitement, conformé

ment au Tab. B.4.

L'état actuel du vecteur de bits VIN peut être lu via les objets de communication :

Bit 00 ... Bit 31 : P05.10

Bit 32 ... Bit 63 : P05.11

VOUT Nom Fonction

0 VOUT_USF0_SFR Fonction de sécurité USF0 demandée1 VOUT_USF1_SFR Fonction de sécurité USF1 demandée2 VOUT_USF2_SFR Fonction de sécurité USF2 demandée3 VOUT_USF3_SFR Fonction de sécurité USF3 demandée4 – Réservé, toujours nul... ...10 –11 VOUT_SBC_SFR Fonction de sécurité SBC demandée



VOUT FonctionNom

12 VOUT_SS2_SFR Fonction de sécurité SS2 demandée13 VOUT_SOS_SFR Fonction de sécurité SOS demandée14 VOUT_SS1_SFR Fonction de sécurité SS1 demandée15 VOUT_STO_SFR Fonction de sécurité STO demandée16 VOUT_USF0_SSR État sûr USF0 atteint17 VOUT_USF1_SSR État sûr USF1 atteint18 VOUT_USF2_SSR État sûr USF2 atteint19 VOUT_USF3_SSR État sûr USF3 atteint20 – Réservé, toujours nul... ...26 –27 VOUT_SBC_SSR État sûr SBC atteint28 VOUT_SS2_SSR État sûr SS2 atteint29 VOUT_SOS_SSR État sûr SOS atteint30 VOUT_SS1_SSR État sûr SS1 atteint31 VOUT_STO_SSR État sûr STO atteint32 VOUT_ALF0_OUT Sortie de la fonction logique supplémentaire ALF033 VOUT_ALF1_OUT Sortie de la fonction logique supplémentaire ALF134 VOUT_ALF2_OUT Sortie de la fonction logique supplémentaire ALF235 VOUT_ALF3_OUT Sortie de la fonction logique supplémentaire ALF336 VOUT_ALF4_OUT Sortie de la fonction logique supplémentaire ALF437 VOUT_ALF5_OUT Sortie de la fonction logique supplémentaire ALF538 VOUT_ALF6_OUT Sortie de la fonction logique supplémentaire ALF639 VOUT_ALF7_OUT Sortie de la fonction logique supplémentaire ALF740 VOUT_PS_EN Le bit d'état indique si le contrôleur de moteur peut activer l'étage

de sortie41 VOUT_WARN Au moins une erreur de priorité “Avertissement” est survenue42 VOUT_SCV Au moins une condition de sécurité n'a pas été respectée43 VOUT_ERROR Le module de sécurité a constaté une erreur interne44 VOUT_SSR Bit global “Safety State reached”, toutes les fonctions de sécurité

demandées signalent un état sûr45 VOUT_SFR Bit global “Safety Function Requested”, au moins une fonction de

sécurité est demandée dans le module de sécurité. Le bit reste

actif jusqu'à ce que toutes les demandes soient réinitialisées.46 VOUT_SERVICE État de “service”, pas de paramètres existants, paramètres non

valides ou session de paramétrage en cours47 VOUT_READY État “opérationnel”, aucune fonction de sécurité demandée48 – Réservé, toujours nul... ...62 –63 VOUT_SBC_BRK_ON Activer le frein de maintien

Tab. B.6 Signaux de sortie virtuels



B.1.4 Sorties logiques LOUTL'état des sorties logiques est représenté par 1 bit, comme pour les entrées logiques. Ceci est valable

également pour les sorties à deux canaux.

L'équivalence / l'antivalence et les signaux de test sont traités dans les sorties physiques lors de la

conversion des sorties logiques.

Les sorties logiques sont regroupées en un vecteur de bits d'une longueur de 96 bits.

L'état actuel du vecteur de bits LOUT peut être lu via les objets de communication :

Bit 00 ... Bit 31 : P05.12

Bit 32 ... Bit 63 : P05.13

Bit 64 ... Bit 95 : P05.14

Représentation des sorties logiques

LOUT Nom Fonction

0 – Sorties logiques pour diagnostic via bus de terrain

� paragraphe A.4... ...

63 –

64 LOUT_D40 État de la sortie DOUT40



67 LOUT_RELAIS État du relais de signalisation C1/C2

68 LOUT_BRK_CTRL Commande de freinage

69 LOUT_SS1_RQ Signal de commande SS1 (câblage fixe)

70 – Réservé, toujours nul

... ...

95 –

Tab. B.7 Sorties logiques, représentation des sorties physiques

Les sorties physiques sont affectées aux sorties logiques LOUT64 ... LOUT69.



B.1.5 Mots d'état pour l'échange de données / le diagnostic via les bus de terrainUn échange cyclique des données se produit entre le module de sécurité et l'appareil de base. Les

données importantes du module de sécurité sont ainsi transmises à l'appareil de base et sont

disponibles pour l'échange de données avec une commande fonctionnelle et pour les fonctions de

diagnostic.

Les données des objets de communication dans le module de sécurité sont “reflétées” dans les objets

de communication correspondants de l'appareil de base.

Ces données sont utilisées pour :

– les messages d'état via bus de terrain et les sorties numériques,

– l'enregistrement de données via la fonction Trace de l'appareil de base.

Le Tab. B.8 indique les objets de communication de diagnostic correspondants. Les données du module

de sécurité peuvent être lues dans l'appareil de base et via les objets de communication (OC) 0794h à

0797h.

OC del'appareil

de base

Nom de l'OC dansl'appareil de base

OC du module de

sécurité

Valeurtransmise1)

Signification/valeur transmiseà l'appareil de base

0782 ioh_fsm_mov_vout_0_31

P05.10 --- Valeur réelle des sorties virtuellesVOUT00…VOUT31

0783 ioh_fsm_mov_vout_32_63

P05.11 --- Valeur réelle des sorties virtuellesVOUT32…VOUT63

079B ioh_fsm_limit_speed_upper

Limite supérieure actuelle de la vitesse dans l'appareil de base

079C ioh_fsm_limit_speed_lower

Limite inférieure actuelle de la vitesse dans l'appareil de base

0790 ioh_fsm_diag_ch0 --- P06.39 Sélection de l'OC transmis via lecanal de diagnostic 0




0794 ioh_fsm_dat_ch0 P1D.00 P06.39 Vitesse réelle sûre du module desécurité

0795 ioh_fsm_dat_ch1 P1D.01 P04.23 État des entrées logiques LIN96…LIN127 � Tab. B.3

0796 ioh_fsm_dat_ch2 P1D.02 P05.10 État des sorties virtuellesVOUT0…VOUT31 � Tab. B.6

0797 ioh_fsm_dat_ch3 P1D.03 P05.11 État des sorties virtuellesVOUT32…VOUT63 � Tab. B.6

1) Réglage par défaut

Tab. B.8 Liste des informations de diagnostic pour l'appareil de base



Si besoin est, les sorties de diagnostic peuvent être modifiées. Pour ce faire, utiliser la

fonction Trace du plugin FCT CMMP-AS � paragraphe A.5. Les réglages suivants sont

effectués :

1. Les OC du module de sécurité devant être enregistrés sont saisis dans les OC n° 0790h

à 0793h des appareils de base.

2. Les réglages sont enregistrés dans l'appareil de base et un redémarrage a lieu. Les

réglages sont ainsi transmis au module de sécurité.

Exemple :

OC 0790h } Valeur : 0639h Transmission de la vitesse sûre

OC 0791h } Valeur : 0423h État de LIN96…LIN127 (LIN_D40…LIN_D49, etc.)

OC 0792h } Valeur : 1D09h Limite supérieure de surveillance de la vitesse

OC 0793h } Valeur : 1D0Ah Limite inférieure de surveillance de la vitesse

RESET (réinitialisation) / redémarrage:

OC 0794h { Valeur : 0639h Transmission de la vitesse sûre

OC 0795h { Valeur : 0423h État de LIN96…LIN127 (LIN_D40…LIN_D49, etc.)

OC 0796h { Valeur : 1D09h Limite supérieure de surveillance de la vitesse -> voir liste B.2

OC 0797h { Valeur : 1D0Ah Limite inférieure de surveillance de la vitesse -> voir liste B.2

Les données correspondantes (résolution temporelle env. 2 ms) sont représentées dans les OC 0794h à

0797h des appareils de base



B.2 Liste des paramètres supplémentaires

Le SafetyTool permet aux experts de visualiser tous les paramètres du module de sécurité ou de les

modifier dans la commande de menu [Extras] [Parameter overview] ([Outils] [Aperçu des paramètres]).

Des filtres permettent de choisir les paramètres qui doivent être affichés. Il est donc possible de rec

hercher rapidement les paramètres dont le réglage diffère entre le SafetyTool et le module de sécurité.

La plupart des paramètres sont décrits dans le cadre de la fonction correspondante :

– Informations de base � Tab. 2.8, page 39

– Configuration du codeur � Tab. 2.11, page 48

– Entrées numériques à deux canaux � Tab. 2.21, page 58

– Entrées numériques à un canal � Tab. 2.24, page 61

– STO : Couple désactivé de manière sûre � Tab. 2.30, page 69

– SS1 : Arrêt sûr 1 � Tab. 2.41, page 83

– SS2 : Arrêt sûr 2 � Tab. 2.47, page 90

– SOS : Arrêt de service sûr � Tab. 2.51, page 94

– SSF : Vitesse sûre � Tab. 2.56, page 102

– SBC : Commande de freinage sûre � Tab. 2.35, page 76

– Fonctions logiques Sélecteur de mode de fonctionnement � Tab. 2.63, page 108

– Fonctions logiques Terminal de dialogue à deux mains � Tab. 2.66, page 110

– Fonctions logiques Fonctions logiques avancées � Tab. 2.69, page 111

– Sorties numériques � Tab. 2.78, page 124

Les tableaux suivants contiennent un récapitulatif de tous les paramètres qui n'ont pas été expliqués

jusqu'ici.

Gestion des erreursN° Nom Description

P20.00 [53-0] USF0 : Condition de sécurité non

respectée

Réaction à l'erreur 53-0


respectée



respectée



respectée


P20.0A [54-0] SBC : Condition de sécurité non

respectée


P20.0C [54-2] SS2 : Condition de sécurité non

respectée


P20.0D [54-3] SOS : Condition de sécurité non

respectée


P20.0E [54-4] SS1 : Condition de sécurité non

respectée




Gestion des erreurs

N° DescriptionNom

P20.0F [54-5] STO : Condition de sécurité non

respectée


P20.10 [54-6] SBC : Frein > 24 h sans venti

lation


P20.11 [54-7] SOS : SOS > 24 h demandée Réaction à l'erreur 54-7P20.14 [55-0] Aucune valeur réelle de vitesse

de rotation/de position disponible ou

arrêt > 24 h


P20.15 [55-1] Codeur SIN/COS [X2B] -

Erreur de signaux de voie


P20.16 [55-2] Codeur SIN/COS [X2B] -

Arrêt > 24 h


P20.17 [55-3] Résolveur [X2A] - Erreur de

signal


P20.18 [55-4] Codeur EnDat [X2B] -

Erreur de capteur


P20.19 [55-5] Codeur EnDat [X2B] -

Type de capteur incorrect


P20.1A [55-6] Codeur incrémentiel [X10] -

Erreur des signaux de voie


P20.1B [55-7] Autres codeurs [X2B] -

Information relative à l'angle erronée


P20.26 [56-8] Différence de vitesse de

rotation/angulaire - Codeurs 1 - 2

Réaction à l'erreur 56-8. L'erreur est déclenchée

lorsque l'un des deux micro-contrôleurs constate

une différence de position ou de vitesse non

admissible entre le codeur 1 et le codeur 2P20.27 [56-9] Erreur - Comparaison croisée de

l'analyse des codeurs

Réaction à l'erreur 56-9. L'erreur est déclenchée

lorsque, lors de la comparaison croisée des valeurs

de position sûres, une différence de position est

constatée entre les micro-contrôleurs 1 et 2P20.28 [57-0] Erreur auto-test I/O (interne/ex

terne)


P20.29 [57-1] Entrées numériques -

Erreur niveau de signal


P20.2A [57-2] Entrées numériques -

Erreur impulsion test


P20.2E [57-6] Température excessive du

système électronique


P20.32 [58-0] Contrôle de vraisemblance des

paramètres


P20.33 [58-1] Erreur générale de paramétrage Réaction à l'erreur 58-1P20.36 [58-4] Tampon - Communication interne Réaction à l'erreur 58-4



Gestion des erreurs

N° DescriptionNom

P20.37 [58-5] Module de communication -

Appareil de base


P20.38 [58-6] Erreur - Comparaison croisée

des processeurs 1 - 2

Réaction à l'erreur 58-6. L'erreur est déclenchée,

si lors de la comparaison croisée une différence

inadmissible est constatée entre les micro-cont

rôleurs 1 et 2, par ex. différents états des entrées

et sorties, ou des différences des valeurs de

vitesse sûres. Dans le cas particulier des valeurs

de position, l'erreur 56-9 est émise !P20.3D [59-1] Alimentation Failsafe

(sans faille)/blocage d'impulsions sûr


P20.3E [59-2] Erreur de l'alimentation

électrique externe


P20.3F [59-3] Erreur de l'alimentation

électrique interne


P20.40 [59-4] Gestion des erreurs : Trop

d'erreurs


P20.41 [59-5] Erreur écriture mémoire de

diagnostic


P20.42 [59-6] Erreur lors de l'enregistrement

du bloc de paramètres


P20.43 [59-7] Erreur de somme de contrôle

FLASH


P20.44 [59-8] Surveillance interne processeur

1 - 2


P20.45 [59-9] Autre erreur inattendue Réaction à l'erreur 59-9

Tab. B.9 Gestion des erreurs

Paramètres de diagnosticN° Nom Description

P00.00 Version du bloc de paramètres Version du bloc de paramètresP20.46 État d'erreur Groupe 53 et 54 : Numéro d'erreur principal 53 et 54 dans le

champ d'erreurP20.47 État d'erreur Groupe 55 et 56 : Numéro d'erreur principal 55 et 56 dans le

champ d'erreurP20.48 État d'erreur Groupe 57 et 58 : Numéro d'erreur principal 57 et 58 dans le

champ d'erreurP20.49 État d'erreur Groupe 59 : Numéro d'erreur principal 59 dans le champ

d'erreurParamètres expertsP02.2F État des entrées numériques État des entrées numériquesP02.38 État des sorties numériques État des sorties numériquesP02.39 État des sorties numériques B État des sorties numériques



Paramètres de diagnostic

N° DescriptionNom

P02.3A État des entrées numériques B État des entrées numériquesP05.10 État VOUT0�VOUT31 Valeurs réelles de VOUT0..VOUT31P05.11 État VOUT32�VOUT63 Valeurs réelles de VOUT32..VOUT63P05.12 État LOUT0�LOUT31 Valeurs réelles de LOUT0..LOUT31P05.13 État LOUT32�LOUT63 Valeurs réelles de LOUT32..LOUT63P05.14 État LOUT64�LOUT95 Valeurs réelles de LOUT64..LOUT95P06.39 Vitesse réelle de la vitesse sûre Valeur réelle de vitesseP06.3A Position sûre Valeur réelle de position raccourcie à 32 bitsP06.3B Accélération sûre Accélération du codeur angulaireP06.3C Angle du codeur 1 Angle du codeur 1 (sans réducteur)P06.3D Angle du codeur 2 Angle du codeur 2 (sans réducteur)P06.56 Position du codeur 1 Position calculée du codeur 1 (comprend la

conversion du réducteur)P06.57 Position du codeur 2 Position calculée du codeur 2 (comprend la

conversion du réducteur)P1D.00 OC pour le canal de diagnostic 0 OC pour l'émission en tant que canal de diag

nostic 0P06.58 Vitesse du codeur 1 Vitesse calculée du codeur 1 (comprend la


nostic 1P06.59 Vitesse du codeur 2 Vitesse calculée du codeur 2 (comprend la


nostic 2P1D.03 OC pour le canal de diagnostic 3 OC pour l'émission en tant que canal de diag

nostic 3P0E.50 Limitation supérieure de la vitesse

actuelle

Limitation supérieure de la vitesse actuelle sur le

module de sécuritéP0E.51 Limitation inférieure de la vitesse

actuelle

Limitation inférieure de la vitesse actuelle sur le


Tab. B.10 Paramètres de diagnostic

MappingN° Nom Description

P04.00 Terme du produit Mapping et affectation pour le terme de produit 0P04.01 Terme du produit Mapping et affectation pour le terme de produit 1P04.02 Terme du produit Mapping et affectation pour le terme de produit 2P04.03 Terme du produit Mapping et affectation pour le terme de produit 3P04.04 Terme du produit Mapping et affectation pour le terme de produit 4P04.05 Terme du produit Mapping et affectation pour le terme de produit 5P04.06 Terme du produit Mapping et affectation pour le terme de produit 6P04.07 Terme du produit Mapping et affectation pour le terme de produit 7P04.08 Terme du produit Mapping et affectation pour le terme de produit 8



Mapping

N° DescriptionNom

P04.09 Terme du produit Mapping et affectation pour le terme de produit 9P04.0A Terme du produit Mapping et affectation pour le terme de produit 10P04.0B Terme du produit Mapping et affectation pour le terme de produit 11P04.0C Terme du produit Mapping et affectation pour le terme de produit 12P04.0D Terme du produit Mapping et affectation pour le terme de produit 13P04.0E Terme du produit Mapping et affectation pour le terme de produit 14P04.0F Terme du produit Mapping et affectation pour le terme de produit 15P04.10 Terme du produit Mapping et affectation pour le terme de produit 16P04.11 Terme du produit Mapping et affectation pour le terme de produit 17P04.12 Terme du produit Mapping et affectation pour le terme de produit 18P04.13 Terme du produit Mapping et affectation pour le terme de produit 19P04.14 Terme du produit Mapping et affectation pour le terme de produit 20P04.15 Terme du produit Mapping et affectation pour le terme de produit 21P04.16 Terme du produit Mapping et affectation pour le terme de produit 22P04.17 Terme du produit Mapping et affectation pour le terme de produit 23P04.18 Terme du produit Mapping et affectation pour le terme de produit 24P04.19 Terme du produit Mapping et affectation pour le terme de produit 25P04.1A Terme du produit Mapping et affectation pour le terme de produit 26P04.1B Terme du produit Mapping et affectation pour le terme de produit 27P04.1C Terme du produit Mapping et affectation pour le terme de produit 28P04.1D Terme du produit Mapping et affectation pour le terme de produit 29P04.1E Terme du produit Mapping et affectation pour le terme de produit 30P04.1F Terme du produit Mapping et affectation pour le terme de produit 31P05.00 Sélection de la fonction DOUT40 Mapping de sortie pour LOUT64 (DOUT40)P05.01 Sélection de la fonction DOUT41 Mapping de sortie pour LOUT65 (DOUT41)P05.02 Sélection de la fonction DOUT42 Mapping de sortie pour LOUT66 (DOUT42)P05.03 Sélection de la fonction Contact

d'accusé de réception C1/C2

Mapping de sortie pour LOUT67

(relais de signalisation)Paramètres expertsP04.20 État LIN0..LIN31 Valeurs réelles des LIN0..LIN31P04.21 État LIN32..LIN63 Valeurs réelles des LIN32..LIN63P04.22 État LIN64..LIN95 Valeurs réelles des LIN64..LIN95P04.23 État LIN96..LIN127 Valeurs réelles des LIN96..LIN127P04.24 État VIN0..VIN31 Valeurs réelles des VIN0..VIN31P04.25 État VIN32..VIN63 Valeurs réelles des VIN32..VIN63P05.04 Sélection de la fonction Sortie de frei

nage Appareil de base

Mapping de sortie pour LOUT68 (frein de maintien

de l'appareil de base)

Tab. B.11 Mapping



Paramètres internes/masquésN° Nom Description

P06.14 Décalage des phases du résolveur Décalage des phases entre Toggle MLI et l'instant

de palpageP06.20 Résolution Single Turn en bits Nombre de bits par valeur d'angleP06.21 Nombre de rotations mesurables

(Multiturn)

Nombre de rotations mesurables (Multiturn)

P06.22 Numéro de série du codeur EnDat

(partie 1)

Numéro de série du codeur EnDat (partie 1)


(partie 2)



(partie 3)


P06.25 Numéro d'identification du codeur

EnDat (partie 1)

Numéro d'identification du codeur EnDat (partie 1)


EnDat (partie 2)



EnDat (partie 3)


P06.38 Temps de tolérance pour les données

angulaires à transmission erronée

Temps maximal pendant lequel l'angle de

l'appareil de base peut être transmis de manière

erronée.P09.00 Filtre pour les messages généraux SFR

ou SSR

Masque permettant d'exclure les messages

d'état des différentes fonctions de sécurité du

calcul des messages générauxP09.01 Temps entre deux impulsions Sync

(fréquence de base)

Temps entre deux impulsions Sync

(fréquence de base)P12.01 Temporisation à l'enclenchement Durée de temporisation à l'enclenchementP12.02 Temporisation au déclenchement Durée de temporisation au déclenchementP12.04 Temporisation à l'enclenchement Durée de temporisation à l'enclenchementP12.05 Temporisation au déclenchement Durée de temporisation au déclenchementP12.07 Temporisation à l'enclenchement Durée de temporisation à l'enclenchementP12.08 Temporisation au déclenchement Durée de temporisation au déclenchementP12.0A Temporisation à l'enclenchement Durée de temporisation à l'enclenchementP12.0B Temporisation au déclenchement Durée de temporisation au déclenchementP12.0D Temporisation à l'enclenchement Durée de temporisation à l'enclenchementP12.0E Temporisation au déclenchement Durée de temporisation au déclenchementP12.10 Temporisation à l'enclenchement Durée de temporisation à l'enclenchementP12.11 Temporisation au déclenchement Durée de temporisation au déclenchementP12.13 Temporisation à l'enclenchement Durée de temporisation à l'enclenchementP12.14 Temporisation au déclenchement Durée de temporisation au déclenchementP12.16 Temporisation à l'enclenchement Durée de temporisation à l'enclenchementP12.17 Temporisation au déclenchement Durée de temporisation au déclenchementP1C.00 Révision du logiciel (principale) Révision du logiciel (principale)P1C.01 Révision du logiciel

(numéro d'application)

Révision du logiciel (numéro d'application)



Paramètres internes/masqués

N° DescriptionNom

P1C.02 Révision du logiciel

(KM / sous-révision)

Révision du logiciel (KM / sous-révision)

P20.06 [53-6] SDI0 : Condition de sécurité non

respectée


P20.07 [53-7] SDI1 : Condition de sécurité non

respectée


P20.08 [53-8] SLI0 : Condition de sécurité non

respectée


P20.09 [53-9] SLI1 : Condition de sécurité non

respectée


P20.0B [54-1] SBT : Condition de sécurité non

respectée


P20.2B [57-3] Erreur d'entrée analogique

(plage de valeurs)


P20.2C [57-4] Erreur de mesure du courant Réaction à l'erreur 57-4P20.2D [57-5] Erreur de mesure de la tension

du moteur


P20.4A Demande de journalisation des

fonctions de sécurité

Si défini : Demande de journalisation des

fonctions de sécuritéPFF.00 État de service : État actuel de la session de paramétragePFF.01 Identification “État à la livraison”

1 = OUI

Identification “État à la livraison”

PFF.02 Identification “Validation générale”

1= OUI

Identification “Validation générale”

Paramètres expertsPFF.03 Code de validation : Code de validation de la session de paramétrage

Tab. B.12 Paramètres internes/masqués



B.3 Liste d'objets de communication importants dans l'appareil de base

Liste de référence des objets de communication dans le contrôleur de moteur disponibles par le biais

d'informations sur le module de sécurité.

N° OC Nom Type Unité Description

0750 ioh_fsm_ctrl RW UINT32 Mot de commande pour le module de sécurité

0751 ioh_fsm_stat RO UINT32 Mot d'état pour le module de sécurité

0752 ioh_fsm_sto_dis

crep_time

RW UINT32 Délai de discordance au sein des niveaux brièvement

divergents des entrées STO (couple désactivé de

manière sûre) du CAMC-G-S1 admis sans qu'une

erreur ne soit émise

0753 ioh_fsm_config RW UINT32 Mot de configuration pour le module de sécurité

0760 srvc_fsm_act_art

_hi

RO UINT32 N° d'article spécifique au fabricant actuel du module

de sécurité : codage ASCII des 4 chiffres supérieurs,

par ex. 0x39313030 = '9100'


_mid


de sécurité : mot long intermédiaire


_lo


de sécurité : mot long inférieur

0763 srvc_fsm_act_typ RO UINT32 Type actuel du module de sécurité raccordé :

0764 srvc_fsm_act_ser

_hi

RO UINT32 Numéro de série spécifique au fabricant du module

de sécurité raccordé : codage ASCII des 4 chiffres

supérieurs, par ex. 0x30303134 = '0014'


_mid


de sécurité raccordé : mot long intermédiaire


_lo


de sécurité raccordé : mot long inférieur

0767 srvc_fsm_act_rev

_idx

RO UINT32 Révision du matériel du module de sécurité raccordé

0768 srvc_fsm_act_sof

t_ref_idx

RO UINT32 Révision du logiciel du module de sécurité raccordé

0769 ioh_fsm_proj_art

_hi

RW UINT32 Numéro d'article spécifique au fabricant du module

de sécurité planifié par le programme de paramét

rage : codage ASCII des 4 chiffres supérieurs, par ex.

0x39313030 = '9100'

076O ioh_fsm_proj_art

_mid

RW UINT32 N° d'article spécifique au fabricant planifié du mo

dule de sécurité : mot long intermédiaire

076B ioh_fsm_proj_art

_lo

RW UINT32 N° d'article spécifique au fabricant planifié du mo

dule de sécurité : mot long inférieur

076C ioh_fsm_proj_typ RW UINT32 Type planifié du module de sécurité raccordé.



N° OC DescriptionUnitéTypeNom

076D ioh_fsm_proj_ser

_hi

RW UINT32 Numéro de série spécifique au fabricant du module

de sécurité planifié : codage ASCII des 4 chiffres su

périeurs, par ex. 0x30303134 = '0014'

076E ioh_fsm_proj_ser

_mid


de sécurité planifié : mot long intermédiaire

076F ioh_fsm_proj_ser

_lo


de sécurité planifié : mot long inférieur

0770 ioh_fsm_proj_rev

_idx

RW UINT32 Révision du matériel du module de sécurité planifié

0771 ioh_fsm_proj_

soft_rev_idx

RW UINT32 Révision du logiciel du module de sécurité planifié

0772 srvc_fsm_dip_val

_std

RO UINT32 Fournit la valeur relevée après la réinitialisation des

micro-interrupteurs sur le module de sécurité/mo

dule de micro-interrupteurs

0773 ioh_fsm_num_

entry_act

RO UINT32 Fournit le nombre d'entrées dans la mémoire du

journal d'erreurs de l'appareil de base

0774 ioh_fsm_num_

entry_max

RO UINT32 Fournit le nombre maximal d'entrées possibles dans

la mémoire du journal d'erreurs de l'appareil de base

0780 ioh_7segment_

fsm_ctrl

RW UINT32 Mot de contrôle pour la commande de l'affichage à

7 segments à partir du module de sécurité.

0781 ioh_7segment_

fsm_data

RW UINT32 Commande de l'affichage à 7 segments à partir du


0782 ioh_fsm_mov_

vout_0_31

RW UINT32 État interne du module de sécurité (64 bits du bus

système) Low-Word (Tab. B.6, VOUT 0 ... 31)

0783 ioh_fsm_mov_

vout_32_63

RW UINT32 État interne du module de sécurité (64 bits du bus

système) High-Word (Tab. B.6, VOUT 32 ... 64)

0784 ioh_fsm_mov_

mscfct_rx

RW UINT32 Caractère réceptionné du FCT. Entrée USB, Ethernet.

Suivre l'indice de lecture, FIFO-SYSTEM

0785 ioh_fsm_mov_

mscfct_tx

RW UINT32 Caractère à envoyer au FCT. Sortie vers USB, Ethernet

FIFO-SYSTEM

0786 ioh_fsm_mscfct_

rx_cnt

RO UINT32 Nombre de caractères du FCT dans le tampon USB,

Ethernet FIFO-SYSTEM

0787 ioh_fsm_mscfct_

tx_cnt

RO UINT32 Nombre de caractères du module de sécurité pour le

FCT dans le tampon USB, Ethernet FIFO-SYSTEM

0788 ioh_fsm_din_

dout

RO UINT32 Lecture des entrées numériques du module de sécu

rité

0789 ioh_fsm_mov_

stat_arb

RW UINT32 Définition/lecture du module de sécurité Statema

chine

078B srvc_fsm_act_

gesamt_rev_idx

RO UINT16 --



N° OC DescriptionUnitéTypeNom

078C ioh_fsm_proj_

gesamt_rev_idx

RW UINT16 --

0790 ioh_fsm_diag_ch0 RW UINT32 Canal de diagnostic 1 du module de sécurité : sélec

tion de l'OC dans le module de sécurité







0794 ioh_fsm_dat_ch0 RO UINT32 Canal de diagnostic 1 du module de sécurité : date

actualisée dynamiquement du module de sécurité







0798 ioh_fsm_log_

entry_0

RW UINT32 Saisie d'une entrée de journal dans la mémoire de

diagnostic du module de sécurité. L'écriture n'a lieu

qu'avec la troisième entrée

0799 ioh_fsm_log_

entry_1




079O ioh_fsm_log_

entry_2




079B ioh_fsm_limit_

speed_upper

RW INT32 Limitation de la valeur de consigne de la vitesse de

rotation, limitation de la limite supérieure > 0

079C ioh_fsm_limit_

speed_lower

RW INT32 Limitation de la valeur de consigne de la vitesse de

rotation, limitation de la limite inférieure autorisée

uniquement < 0

079D ioh_fsm_limit_

torque_upper

RW INT32 Limitation de la valeur de consigne du couple, limite

supérieure autorisée uniquement > 0

079E ioh_fsm_limit_

torque_lower

RW INT32 Limitation de la valeur de consigne du couple, limite

inférieure autorisée uniquement < 0

079F ioh_fsm_

deccelramp

RW INT32 Rampe d'ARRÊT du module de sécurité

Tab. B.13 Liste d'objets de communication importants dans l'appareil de base

C Glossaire


C Glossaire

C.1 Concepts et abréviations de sécurité technique

Concept/abréviation Description

ALF “Additional Logic Function”, fonction logique étendue. Pas de fonction de

sécurité. Permet la commutation logique des entrées et sorties internes.

Arrêt d’urgence Selon EN 60204-1 : sécurité fonctionnelle en cas d'urgence par immobili

sation d'une machine ou de pièces en mouvement.

L'arrêt d'urgence est destinée à arrêter un mouvement dans la mesure où

celui-ci entraîne une mise en danger.

Bloc logique

de sécurité

Appareil permettant d'exécuter des fonctions de sécurité ou de déclencher

un état sécurisé de la machine par la coupure de l'alimentation en énergie

vers des fonctions dangereuses de la machine. La fonction de sécurité

souhaitée est uniquement activée en association avec d'autres mesures de

réduction des risques.

Cat. Catégorie conformément à la norme EN ISO 13849-1, niveaux 1 ... 4.

CCF Common Cause Failure, défaillance de cause commune selon la norme

EN ISO 13849-1.

Coupure d'urgence Selon EN 60204-1 : sécurité électrique en cas d'urgence par coupure de

l'énergie électrique dans toute l'installation ou dans une partie de celle-ci.

La coupure d'urgence doit être utilisée en cas de risque d'électrocution ou

d'un autre danger d'origine électrique.

DC avg Average Diagnostic Coverage, degré de couverture du diagnostic selon les

normes CEI 61508 et EN 61800-5-2.

FCT Festo Configuration Tool, logiciel de configuration et de mise en service.

HFT Hardware Fault Tolerance, tolérance d'erreur du matériel selon la norme

CEI 61508.

MTTFd Mean Time To (dangerous) Failure : temps en années jusqu'à la première

défaillance dangereuse avec une probabilité de 100 % conformément à la

norme EN ISO 13849-1.

OSSD “Output Signal Switching Device” : signaux de sortie avec synchronisation de

niveau sur 24 V pour l'apparition d'erreurs.

PFH Probability of Dangerous Failures per Hour, probabilité totale d'une

défaillance dangereuse par heure conformément à la norme CEI 61508.

PL Performance Level (niveau de performance) conformément à la norme

EN ISO 13849-1 : niveaux a ... e.

SBC Safe Brake Control, commande de freinage sûre conformément à la norme

EN 61800-5-2.

C Glossaire


Concept/abréviation Description

SFF Safe Failure Fraction [%], rapport des taux de défaillance des accidents sécu

risés et dangereux (mais détectables) sur la somme de toutes les

défaillances conformément à la norme CEI 61508.

SIL Niveau d'intégrité de sécurité, des niveaux discrets pour la définition des

exigences en termes d'intégrité de sécurité des fonctions de sécurité confor

mément aux normes CEI 61508, EN 62061 et EN ISO 13849.

SILCL SIL maximal qui peut être sollicité par un sous-système.

SLS Safely-Limited Speed, vitesse limitée de manière sûre conformément à la

norme EN 61800-5-2.

SOS Safe Operating Stop, arrêt de service sûr conformément à la norme

EN 61800-5-2.

SS1 Safe Stop 1, arrêt sûr 1 conformément à la norme EN 61800-5-2.

SS2 Safe Stop 2, arrêt sûr 2 conformément à la norme EN 61800-5-2.

SSF “Safe Speed Function” (fonction de vitesse sûre), fonctions de sécurité reg

roupées sur la surveillance et la commande de la vitesse.

SSM Safe speed monitor, surveillance de vitesse sûre conformément à la norme

EN 61800-5-2.

SSR Safe Speed Range, plage de vitesse sûre conformément à la norme

EN 61800-5-2.

STO Safe Torque Off, couple désactivé de manière sûre conformément à la norme

EN 61800-5-2.

T Durée d'utilisation selon EN ISO 13849-1.

USF “Universal Safety Function”, fonctions de sécurité regroupées.

Tab. C.1 Concepts et abréviations

C Glossaire


C.2 Concepts du SafetyTool de paramétrage sûr

Concept Signification / Fonction

Appareil de base Contrôleur de moteur en tant que support du module de sécurité, ici un

CMMP-AS-…-M3.

Bloc de paramètres

sûr

La somme de tous les paramètres du module de sécurité forme le bloc de

paramètres. Si le bloc de paramètres comprend un code de validation valide,

ce bloc de paramètres est un “bloc de paramètres sûr”.

Le bloc de paramètres sûr d'une application se trouve donc toujours dans un

module de sécurité prêt à fonctionner. En outre, il peut être lu, y compris le

code de validation défini par le module de sécurité, avec le SafetyTool et

sauvegardé sur un support de sauvegarde. Il y est protégé contre les mo

difications au moyen d'une somme de contrôle.

Consigne La valeur d'affichage prescrite par l'utilisateur d'un paramètre.

État sûr de l'appareil En cas de paramétrage n'ayant pas été valide globalement manquant ou non

valide, le module de sécurité passe à l'état de base sûr :

– Étage de sortie désactivé

– Unité de blocage et frein de maintien fermé(e)

– Sorties DOUT4x débranchées sur le module de sécurité

Code de validation Contenu d'un objet de communication spécial, généré par le module de sécu

rité lorsque tous les paramètres sont validés.

Module de sécurité CAMC-G-S3 en tant que module enfichable dans l'appareil de base, res

ponsable de la sécurité de l'application de l'actionneur. Le paramétrage de

ce module de sécurité se fait avec le SafetyTool.

Objet de

communication

Élément de données individuels, pouvant être lu, écrit et validé par le

SafetyTool.

Paramétrage hors

ligne

Utilisation du SafetyTool sans connexion à l'appareil (sur le bureau)

Paramétrage en ligne Utilisation du SafetyTool avec connexion au module de sécurité (via

l'appareil de base).

Plage de

quantification

Différence admissible entre la valeur écrite et la valeur lue d'un paramètre.

Les valeurs au sein de la limite de quantification peuvent être considérées

comme identiques. La limite de quantification est lue depuis le module de

sécurité pour l'accès au paramètre d'écriture.

Projet Voir le projet SafetyTool.

Projet SafetyTool Le SafetyTool permet à l'utilisateur d'enregistrer le paramétrage local en tant

que “projet SafetyTool”. Ce fichier comprend les paramètres en tant que

valeurs d'affichage (contrairement au bloc de paramètres sûr, dans lequel

sont enregistrées les valeurs de l'appareil).

Le projet SafetyTool peut être transféré sur le module de sécurité lors d'une

session en ligne. La validation des paramètres transmis doit être réalisée

individuellement par l'utilisateur.

C Glossaire


Concept Signification / Fonction

Quantification Certains paramètres sont quantifiés par le module de sécurité (indexés par

tranche de temps), par ex. lorsque la valeur doit s'élever à un multiple du

temps de cycle.

Lors de la lecture depuis le module de sécurité, une autre valeur que la valeur

écrite peut dans ces cas être signalée. Grâce aux plages de quantification

définies, il n'y a pas de différences significatives.SCV Safety Condition Violated, condition de sécurité non respectée.

SFR Safety Function Requested, fonction de sécurité demandée.

Somme de contrôle Mesure pour garantir l'intégrité des données lors de la transmission ou de la

sauvegarde des données. Des sommes de contrôle sont générées à partir

des données, qui selon une évaluation normale garantissent l'équivalence

des données.

SSR Safe State Reached, état sûr atteint.

Terme du produit Pour la configuration des conditions de commutation du module de sécurité,

des liaisons entre les entrées logiques et sorties virtuelles ainsi qu'entre les

sorties virtuelles et les sorties logiques configurées sous forme de termes de

produit.

Un terme de produit est une liaison ET avec ou sans inverseur et au maximum

7 entrées.

Au maximum, 4 termes de produit peuvent être combinés comme liaison OU.

Les termes de produit (liaison ET) et les liaisons OU sont d'une manière géné

rale désigné(e)s par le terme “Porte”.

Unité d’affichage Unité dans laquelle les différents paramètres sont affichés. Les unités d'affic

hage souhaitées pour les valeurs de position, de vitesse et d'accélération

sont prescrites par le programme d'ouverture au démarrage du SafetyTool.

Valeur affichée La valeur convertie en unité d'affichage souhaitée d'un paramètre.

Valeur réelle La valeur actuelle d'un paramètre dans le module de sécurité convertie en

unité d'affichage

Tab. C.2 Concepts du SafetyTool de paramétrage sûr

Toute communication ou reproduction de ce document, sous quelqueforme que ce soit, et toute exploitation ou communication de soncontenu sont interdites, sauf autorisation écrite expresse. Toutmanquement à cette règle est illicite et expose son auteur auversement de dommages et intérêts. Tous droits réservés pour le casde la délivrance d’un brevet, d’un modèle d’utilité ou d’un modèle deprésentation.

Copyright:Festo SE & Co. KGPostfach73726 EsslingenAllemagne

Phone:+49 711 347-0

Fax:+49 711 347-2144

e-mail:[email protected]

Internet:www.festo.com

Version originale: de

Documents

· CAMC-G-S3 2 Festo – GDCP-CAMC-G-S3-FR – 1406NH – Français Traduction de la notice originale GDCP-CAMC-G-S3-FR Heidenhain ®, EnDat®, PHOENIX sont des marques déposées