P/N: 403001727_03 Änderungen vorbehalten / subject to change 03/2022
6.3.2 Sichere Zustände
a. Fehlerloser Normalbetrieb
Ein sicherer Zustand liegt vor, wenn die Ausgangskennlinien
beider Ausgangskanäle fehlerlos im definierten gültigen Bereich
liegen (s. Datenblatt)
b. Sicherer Ausfall (safe failure)
Jeder Kanal des Sensors verfügt über ein internes
Diagnosesystem zur Erkennung von diversen internen Fehlern
oder Verlust des Positionsgebers (Magnet) . Wird ein interner
Fehler erkannt, so wechselt das Ausgangssignal in den
Diagnosebereich:
Ratiometrischer Ausgang < 2% Versorgungsspg. Ub
Stromausgang < 3,5 mA
Spannungsausgang < 100 mV
c. Sicherer Ausfall (safe failure) durch Bewertung des
Summensignals im Steuergerät
Durch Kreuzvergleich (Summenbildung beider Signale) können
weitere Fehler erkannt werden (Gleichtaktfehler). Für die
Bewertung des Summensignals ist eine Toleranzgrenze
festzulegen, welche applikationsspezifisch ermittelt werden
muss.
6.3.3 Unsichere Zustände
Gefährlicher unentdeckter Ausfall (dangerous undetected
failure)
Ein gefährlicher unentdeckter Fehler liegt vor, wenn beide
Ausgangssignale innerhalb der definierten Kennlinien einen
Fehler aufweisen, welcher nicht durch o.g. Methoden
diagnostiziert werden kann (Gegentaktfehler).
Stromschnittstelle:
Beim Kurzschluss beider Ausgangsleitungen
ist das Summensignal der gekreuzten
Kennlinien im definierten gültigen Bereich
(Signal entspricht Kennlinienmitte). Dadurch ist
dieser Fehlerfall nicht zu diagnostizieren und ist
kundenseitig zu vermeiden oder zu bewerten.
6.3.4 Konfiguration der Logikeinheiten
Die Logikeinheiten müssen die Ausgangskreise des
Winkelaufnehmers auswerten.
Die Logikeinheiten müssen mindestens dem Performance Level
des Systems entsprechen.
6.4 Annahmen für Sicherheitsbetrachtung
Bei der Durchführung der Sicherheitsbetrachtungen (FMEAs,
FMEDA, etc.) wurden folgende Annahmen zugrunde gelegt:
•Ausfallraten sind konstant
•Abnützung der mechanischen Teile, Ausfallraten von externen
Stromversorgungen und Mehrfachfehler wurden nicht betrachtet
•Die mittlere Umgebungstemperatur während der Betriebszeit
beträgt 40 °C (104 °F)
•Die Umweltbedingungen entsprechen einer durchschnittlichen
industriellen Umgebung
•Die Gebrauchsdauer des Sensors liegt im Bereich
von 8 bis 12 Jahren (IEC 61508-2:2010, 7.4.9.5, Anmerkung 3)
•Die die Sensordaten auswertende Logik bewertet die
Plausibilität des Ausgangssignales jedes einzelnen Kanals
sowie die Summe beider Ausgangsignale
•Die Grenzwerte für den maximal akzeptablen Fehler des
Einzelsignales sowie der Summe der Kanäle wurden in der
FMEDA-Excel-Datei (auf Anfrage) als vom Kunden variierbar
angelegt, um die spezifisch für die jeweilige Applikation im
Ergebnis MTTFd- und DCavg-Werte zu erhalten.
6.3.2 Safe states
a. Error free normal operation
A safe state is present when the output signals of both
channels are inside the valid output range (see data sheet).
b. Safe failure
Every sensor channel has an internal diagnostics to detect
various internal malfunctions. When an an error is detected,
the output signal changes into the diagnostic range:
Ratiometric output < 2% supply voltage Ub
Current output < 3.5 mA
Voltage output < 100 mV
c. Safe failure by evaluation of both channels in ECU
By cross comparison (sum of channel 1 and channel 2),
further errors can be detected (common mode error). For the
evaluation of the sum signal, a tolerance limit has to be
defined that has to be determined application specific.
6.3.3 Unsafe states
Dangerous undetected failure
A dangerous undetected failure is present when both output
signals are along the defined output curves and still have an
error or deviation that cannot be detected by the above
described methods (reverse mode error).
Current Interface:
If both output lines are short-circuited, the sum
signal of the crossed output characteristics is
within the defined valid output range (signal
corresponds to electrical center position).
So, this error case cannot be detected and
has to be avoided or evaluated by the
customer.
6.3.4 Configuration of Logical Units
The logical units must process the output curcuits of the
transducer.
The logical units must at minimum comply to the intended
Performance Level of the system.
6.4 Presumptions for safety examinations
During processing of the safety examinations (FMEAs,
FMEDA, etc.), the following presumptions were met:
•Failure rates are constant
•Wear on mechanical parts, failure rates of external power
supplies and multiple faults were not taken into account
•The mean temperature during working time is 40 °C (104
°F)
•The environmental conditions correspond the ones from an
average industrial environment
•The useage time of the sensor lies in the range of 8 to 12
years (IEC 61508-2, 7.4.9.5, remark 3)
•The logic unit that processes the sensor‘s data checks for
the plausibility of each channel as well as the total of both
channels.
•The limit values for the max. acceptable error of a single
channel and the total of both channels are in the FMEDA
Excel document (on request) adjustable by the customer to
the needs of his application, resulting in a variation of
resulting MTTFd and DCavg values.
RFE-3200 Gebrauchsanleitung
RFE-3200 User Manual
