Outstanding Characteristics

• At no point does safety depend on only a single element, and the machine cannot be tripped by an individual error.

  Thereby enhanced safety and protection against a false trip. Reduces costs and increases machine availability.

• Fast reaction within 15 milliseconds to an overspeed situation, including the safety relay response.

• The ready wired 2of3 voted system output provides 2 parallel and isolated trip circuits by safety relay contacts.

• The safety relays actuate two isolated trip alarm contacts plus another contact for a true response check by the system.

• Each channel provides an extra input accepting an external signal for an alternative condition (temperature, pressure, flame), for possible inclusion into the voted trip.

• Sensor monitoring, channel comparison, and plausibility check for the measurements detect a failure in its early stage, releasing a separate warning.

• Alarms memory: An overspeed alarm, and a detected failure can be programmed to remain memorized for a later identification.

• Our test routine as designed under IEC 61508 SIL3

  exempts the user from the otherwise required periodic checks and the associated documentation.

• One extra alarm as standard with each channel, freely programmable for speed setpoint and response.

• Input repeating isolated pulse output to other device, powered to a 24 volts push-pull level.

Input frequency divider balances irregularities of the target profile. Programmable 001 through 256.

• Structure of the E16 Systems providing true
  Triple Modular Redundancy

• 3 monitoring channels. Each realized by a plug-in Monitor Module encompassing the full channel function from sensor input and signal process, up to and including the safety trip relay outputs. Also includes all the other standard or optional functions.

• Every monitor operates independently, but in constant comparison to both its neighbours.

• Every monitor within the system is placed in a plug-in socket, allowing its replacement under full operation.

• The safety trip relay contacts of the 3 Monitors are ready hard wired on the back plane of the system to terminals, providing 2 isolated breaking trip circuits with a 2of3 voting, or separately from each monitor, as option.

Optional Test Module

The three channels can be augmented by an independent Test Generator Module. This enables under load response checks by    sequentially applying its speed simulating frequency signal to each channel.  This can be carried out manually by push buttons at the system, or optionally as an automatic test routine following a programmed test cycle, under full operation of the turbine. Each channel's reaction to the test is observed, and a failure signal released if the response is not as expected.

More functions as option
To meet further demands, additional functions are available, to each of the 3 channels (alarms then with an additional 2of3 voter on request):

• up to 8 setpoint alarms,

• up to 3 analog outputs,

• PROFIBUS data interface,

• detector for the direction of rotation,

• acceleration monitor

• monitor for speed and difference of an additional drive (turn gear, for instance)

• Isolating barriers to intrinsically safety sensors, located in a hazardous (Ex-)area.

E16 -  a very flexible series of systems. Available with any required safety characteristics and additional functions.

E16 groups meet different safety requirements - their Nomenclature and Compliance to Standards

By two groups of versions the E16 provides optimum adaptation to the safety grade and comfort as appropriate for the application.
Both groups E16x3 and E16x4 have the 3-channel architecture with its safety in trip release and protection against erratic tripping. All with the functional safety and specific advantages as described for the monitors.
Both groups offer the same options regarding their mechanical design and data interface mode.
Several additions are available for both groups: analog outputs, more speed alarms, forward/reverse detection, comparison with another drive, and acceleration monitor, all making use of the safeguarded channel inputs.

• The E16X3 group is designed to comply to the highest safety level, and is approved to SIL3 according to IEC 61508, with intrinsic double self-check facility. All versions within this include a Test Generator Module. If equipped to perform the periodic test routine it exempts the user from the otherwise required periodic checks and the associated documentation, thereby saving service labour cost.

The E16X4 group covers applications not affording this high testing comfort. However, they provide the same safety degree complying to the API 670 Standard. Also in this group, a Test generator is available and recommended as option.

See the below nomenclature defining the core versions and additional functions

General Specifications applying to all Systems

Trip output of the system
With the 2of3 voting incorporated in the system, the contacts of both safety relays on each monitor are hard wired by the system backplane to two separate and isolated breaking circuits.
An optional version has the same safety NO contacts are separately wired to the output terminals.

The power handling facilities as listed for the individual monitor also apply to the system trip output.

Power Supply
Standard 3x24 v DC (18.. 33 v) separate per channel, common zero. An incorporated diodes network feeds modules not assigned to a specific channel.
Power consumption (without additions) 3x 0.5 A.

Options 2x 115 v AC (100..130 v) or 2x230 V AC (200..253 v),
feeding a common rail within the system. Power approx. 60 VA.

Insulation and Electric Protection
grade I, voltage class I.

Mechanical design options

• Surface Mount (A)

  to place on the rear plate inside a cabinet. Access to terminals from front side. Protection grade IP20 (open).

• 19-inch rack file (E)

  ready to insert into an existing rack. Access to terminals from rear. Protection grade IP20 (open).

• Outdoor enclosure (G) to mount on a plate or post. Inside a swing open rack file (as under E). Protection grade IP65 (NEMA 4).

Ambient Conditions
Temperature:

• in operation 0 ..+60 °C ( 30 ..105 °F),
• for storage -40 °C .. + 85 °C (-18...+ 30 °F).

Humidity:

• max 95 % (no condensation)

EMI and CE
Compliance to Standards 89/336/EWG, EN 61000-6-2,  -6-4.

E16 -  the Safety Concept

Permanently performed Intrinsic checks within the monitors
for early failure detection

• Sensor circuit monitoring for interrupt or short circuit, and for the signal lead activity (this feature restricted to BRAUN A5S sensor series),

• input signal comparison with neighbour channels for their equality in the amount of pulses processed within a programmed period of time,

• function presence and plausibility check, requiring that measurement must not drop below a programmable low level during operation (to be skipped by the starter function). A very comprehensive check.

Any of these criteria can be included per program into a collective alarm, which is part of the monitor's trip conditions.

The major criterion certainly is the excess of SP1, the overspeed alarm level.

Another one comes from outside the system. Each channel accepts a contact or electronic signal as a peripheral alarm condition, for instance from a temperature or pressure monitor, or a flame guard.

The user decides per program which of these criteria the channel alarm comprises, in order to release the trip output.
And, a similarly programmed selection further actuates a  separate warning output of the monitor module.

• Thus, the singular failure will be detected in time. But it does not curtail the speed monitoring process. This remains alert. Indispensable for true safety.

The 2 of 3 voting principle

3 monitoring channels operate in parallel. Each encompasses in its monitoring module the entire function: sensor signal input, measurement, setpoint alarm, peripheral alarm. Its trip alarm or the collective alarm actuates the two monitor incorporated safety relays, each with two contact sets as output and one as response feedback.

The system trip however is not released before 2 of the 3 monitors enter their programmed trip condition. A discrepancy between the 3 monitors will be detected, but does not result in machine tripping.

• This prevents erratic shutdown followed by expensive stops.

• This allows testing of each monitor under duty, for its reaction to an alarm condition.

• This allows replacement of a monitor under full operation.

With the 2of3 voting incorporated in the system, these outputs of the monitors are directly wired on the system backplane. Forming two isolated trip circuits, breaking to trip, if at least two monitors are in trip condition. Only one monitor in trip condition, for whatever reason, cannot release the trip output of the system.

With separate channel trip outputs, the external 2of3 voting (by electric or hydraulic means) must achieve this. However, the E16 thus equipped, provides inputs expecting return signals from  the peripheral actuators acknowledging their correct response.

A single channel in error cannot activate the trip,

nor can it release an erratic shutdown.

Safety never depends on merely one element or one signal

E16 - surface mount version

surface mount version - look on top

Details of the Monitor Modules
Speed measuring principle
Utilizing the advantageous principle of quartz controlled  pulse distance evaluation, automatically extended over a minimum period of time (5 millisec). The ideal combination of fast response and steady measurements, as appropriate for turbine speed monitoring. Programmable relationship between turbine RPM and signal frequency (Hz), thereby all readings and presets in RPM terms.
Accuracy ± 0,005 %  ± 1 in the last of 5 digits.

Speed setpoint alarms
3 programmable alarms on every monitor, each reacting within 15 millisec + 1 measuring period (see above).
Setpoint SP1 is assigned to the overspeed trip alarm, programmable for setpoint and hysteresis bandwidth. Actuates the safety relays as the trip output of the monitor and  participates in its failure signal (see below).

Setpoint SP2 is used for the intrinsic plausibility check: any  measurement below this programmable level (during machine operation) registers an obvious function failure of the monitor (check to be disengaged for the turbine start up).
Setpoint SP3 is freely available to set to any other speed level, programmable for its response characteristics, as its hysteresis bandwidth and position, its condition at setpoint excess or not-excess, and start-up state. Output as a NO- contact.

The start-up signal throws SP2 and SP3 to a programmed condition. Following an external contact or pulse signal, the duration  of its validity can be extended by program up to 999 s.

The alarm released may be kept memorized for a later analysis.

Trip output of the monitor
Both safety relays on every monitor module drop to de-energized state under one of the following conditions:

• Overspeed = SP1 setpoint level exceeded, or

• collective intrinsic failure signal, or

• external trip condition signal.

Both safety relays provide 2 NO-contacts directly to the 2of3 wiring on the backplane or to separate terminals. A further contact is used internally by the system to signal correct monitor response to the (optional) test module.

Power handling facility of the trip output contacts:
Standard max 130 v AC/DC, max 2 a AC/DC, max 100 w.
Overload protection must be provided externally.

Collective intrinsic failure signal
With programmable selection the monitor assembles these failure signals as its intrinsic collective failure signal acting as one of the trip release conditions (see above):

• sensor circuit failure as supply interrupt, short circuit, or signal lead inactivity (presumes a p/p output as with our A5S.. sensors),

• plausibility check by SP2 (see above) fails,

• sensor signal fails in pulse amount equality compared to both its neighbours.

The collective failure signal breakes a relay contact as an externally available alarm.
Each of the above individual failure signals may be memorized or automatically cancelled by programmable selection, once its cause has been eliminated.

Sensor input
The standard monitor input fits our recommended A5S.. or equivalent sensors. On/off level >7 / < 3 v, with 3k input impedance.
Optional input for low level magnetic sensors, response 150/300 millivolts and low pass filter selection by program.  
Input circuit isolated, max signal 60 v, frequency 0...30 kHz.
Sensor supply approx + 11 v, max 60 ma, short circuit protected.
In the "test" condition, the monitor input is switched by the electronics to the test generator signal.

Display
5-digits led 8 mm height. In operation, speed by programmed unit, failures identified  by listed code. During the programming phase, the display reads program steps and parameters.

Conditions signalized by single LEDs.

Data interface
Output: measurements and alarms on demand. Input to configure the operational parameters (in addition to the front keys).
Standard mode RS232, optional PROFIBUS.
Connection to front socket Sub-D.

Output repeating the sensor input
Square wave pulses in same sequence as the input signal, not affected by switching of the monitor to test. Level approx. 22 volts under 1 k load.  
Output isolated and without a reaction to the monitor function.

Analog outputs (option)

Up to 3 outputs with 20 ma into 500 ohms max load. Each individually programmable for low and high end of its span, with or without live zero.
Programmable response to test condition, level at failure condition, rising or falling output with increasing speed.

Resolution 12 bit, linearity error < 1 %.

Not available for monitors with PROFIBUS interface.

Details of the (optional) Test Generator Module

Continuous testing provides a reliable knowledge of the system's reaction to danger and greatly increases the safety factor.  Therefore an appropriate test routine is highly recommended, indispensable for the SIL3 safety level.
The Test Generator Module provides the frequency signals simulating the speed signal to the monitor modules to check their response to different speeds. The Test Module reads the actual test frequency (in terms of RPM) on its display, and indicates which channel is currently under test.

Frequency selection is available in several modes:

• manual tuning over the entire range by narrow steps,

• 4 pre-programmable frequency (speed) levels for automatic application during the course of a test procedure.

The tests may be carried out according to the following options:

• Manual selection of the channel to be tested, by push-button or external signal. The reaction being made apparent by its alarm LED and its monitor collective failure alarm,

• Automatic test procedure, performed in a regular and sequential manner. The monitor response is checked internally by auxiliary contacts of its safety relays, addressing the Test module. A separate system failure alarm is released if one response is not as expected. Further tests are stopped, to prevent of any erratic shut down of the machine.
  
  

Intrinsic Self Tests
The Test Generator module controls the entire test procedures.

The version performing the automatic test routine as approved to SIL3 IEC 61508 has a multiple self test facility, monitoring the correct sequence and timing of all steps, and actuating its own system failure signal, if not as anticipated.

Specifications of the Optional Facilities

Additional speed alarms

Options:

4, or 8, in addition to each channel A, B, C.
Setpoints individually programmable over the entire range, also their response characteristics, the signal condition at power failure and during the starter phase.

Options:

1 each separate  SPNO relay contact with programmable alarm position.
Additional  2of3 voting between channels A, B, C, as breaking circuit.

Max. 130 Volts AC/ DC, 2 amps AC or DC, max. 100 W. Higher voltage capacity on request.
Overload protection required for inductive type loads.

Response Time:

1 input signal period at setpoint + 15 milliseconds.

Analog outputs:

1, or 2, or 3 available as optional parts of the Core Monitor, in each channel A, B, C.
Each isolated. Full scale 20 ma into max. 500 ohms load.
High and low end of range, and live zero individually programmable.
Resolution 12 bit (1. 4096). Linearity error < 0.1 % of full scale.
Note: the analog output adds 2 milliseconds to the monitor reaction time.

Sense of Rotation Monitor

Addition to any channel A, B, C with special input to Sensor Series A5S30 ...33,

2 isolated SPDT contacts reversing with motion signal, as programmed. One can be converted by program into a RPM setpoint alarm.

Contacts Capacity

Max. 130 Volts AC / DC, 2 amps AC or DC, 100 W.
Overload protection required for inductive type loads.

Response to motion reverse

Signal goes into reverse direction after a programmable amount of pulses, or speed,  in reverse direction. Forward direction will be signalized immediately. By program, the forward or reverse signal can also be assigned to no-motion condition.

Display

Speed by 5-digits readout, reverse direction by LED.

Speed/Difference Monitors

1, 2, or 3 available as optional addition, with their reference leg attached to A, B, or C. Speed measurement of own input, 5 digits, scaleable to RPM, measuring principle based on pulse interval with programmable minimum of time > 30 millisec. Digital comparison to the reference programmable, as difference, percentage difference, or ratio.. Own input with two paths of different level: Path to standard 3-leads sensors 7/6 volts, path to magnetic pick-ups > 50 mV RMS. Sensor supply (not monitored) 12 V / 60 mA.

Contact Output:

SPDT contact. Programmable to refer to either the own input speed measurement, or to one of the difference quantities.

Contact Capacity:

Max.130 Volts AC/DC, 2 amps AC or DC, 100 W.
Overload protection required for inductive type loads.

Analog output:

Per program assigned  to either the own input speed measurement, or to one of the difference quantities. 0/4-20 mA isolated circuit into max. 500 ohms load. Programmable span.
Resolution 12 bit (1. 4096). Linearity error < 0.1 % of full scale.

Display:

5 digits, programmable to read the speed or one of the difference quantities.

Acceleration Monitor

Available as additional module in channel A, or in each A, B, C.
Each provides 2 setpoint alarms, analog output, and display of the acceleration.
Signal input internally tied to the corresponding channel input.

Measuring Principle:

The rotational speed, as the basis of determining the acceleration, is measured in the proven  way of pulse distance extended over a minimum period of time. The acceleration then determines - according to its definition - from the difference between subsequent results and the time interval between them. Parameters are programmable to achieve stable and reliable measurements.
The acceleration module does not participate in the test procedure.

Alarms:

SPNO contact, with programmable setpoint and response characteristics.

Analog output:

0/4-20 mA isolated circuit into max. 500 ohms load, with programmable span.
Resolution 12 bit (1. 4096). Linearity error < 0.1 % of full scale.

Display:

4 digits and  - sign for deceleration.

Herausragende Eigenschaften

• In unserer Ausstattung gemäß SIL3 nach IEC61508 befreit die automatische Prüfroutine den Anwender von den sonst vorgeschriebenen aufwändigen regelmäßigen Prüfungen.

• Schnelle Reaktion: kürzer als 15 Millisekunden (einschließlich Relais-Umschlagzeit) + 1 Impulsabstand im Sensorsignal.

• Die Sicherheitsrelais in den Monitoren bieten zwei isolierte Auslöse-Stromkreise als System-Tripausgang. Sie erlauben außerdem zuverlässige Schalt-Rückmeldung an die Selbstüberwachung des Systems.

• Die Prüfautomatik gibt beruhigende Gewissheit über die Funktionsbereitschaft im Gefahrfall.

• Sensorkontrolle und Kanalvergleich, sowie Plausibilitätskontrolle erkennen Störungen frühzeitig. Erst dadurch ergibt sich eine für wirkliche Sicherheit unabdingbare Meldung.

• An jedem Monitor ein freier Signalpfad für eine weitere Meldegröße aus der Anlage. Sie wird dadurch mit derselben 2v3 Sicherheit in die Auslösung einbezogen.

• 1 zusätzliche Drehzahl-Grenzmeldung als Standard in jedem Kanal, unabhängig einstellbar.

• Bis zu 3 frei einstellbare Analogausgänge pro Kanal.

• Rückwirkungsfreie Impulsausgänge aus jedem Kanal, an Regler oder andere Auswertsysteme.

• Sensoreingänge nach Wahl für den Standardpegel unserer Sensoren, oder für magnet-induktive Geber.

Frequenzbereich 0 ... 30 kHz.

Struktur der Systeme

• Jeder der 3 Kanäle enthält einen Monitor-Modul, steckbar im Systemrahmen. Jeder arbeitet unabhängig von den anderen und umfasst alle Funktionen vom Sensoreingang bis zu den Tripauslösekontakten durch Sicherheitsrelais. Sie sind durch Leiterbahnen auf der System-Rückplatte zur 2von3 Auswahl verdrahtet oder frei herausgeführt. Ausstattung des Monitors, Datenschnittstelle und weitere Funktionen nach Bedarf.

  An keiner Stelle im System hängt die Sicherheit und Verfügbarkeit von nur 1 Element ab!

• Unabhängig von den Kanälen kann übergeordnet ein Testgenerator vorgesehen werden, zur echten Funktionskontrolle der Kanäle im Betrieb. Prüfauslösung und Ergebnisprüfung manuell, oder automatisch in regelmäßigen Zyklen.

Bei Bedarf können - pro Kanal oder insgesamt -als Zusatzfunktionen hinzugefügt werden:

• bis zu 8 weitere Grenzmeldungen,

• bis zu 3 Analogausgänge,

• PROFIBUS-Drehzahlmeldung,

• Drehrichtungsmeldung,

• Überwachung eines weiteren Antriebs und seiner Differenz zum Hauptantrieb,

• Messung und Überwachung der Beschleunigung.

  Jeweils einzeln oder mit 2v3-Auswahl.

Trennstufen für eigensichere Sensoren im explosionsgefährdeten Bereich.

E16 - die Lösung zum Schutz von Mensch und Maschine, für höhere Verfügbarkeit der Anlage
und dadurch zum Nutzen des Anwenders.

Dieses flexible Konzept enthält Systeme mit allen denkbaren Sicherheits-Merkmalen. Durch die Wahl  der Ausstattung an jede Anwendung kostengünstig anzupassen. 

Ausstattungsgruppen der Systeme - ihre Eigenschaften und ihre Zulassung

Zwei Hauptgruppen: E16x3... undE16x4... unterscheiden sich durch ihre Ausstattung und Zulassung. Beide haben die 3-kanalige Gliederung mit gegenseitigem Vergleich und Ausfallerkennung, und die 2von3 Entscheidung. Voraussetzung und Kennzeichen für einen verlässlichen Drehzahlschutz, als Gewähr für die Auslösung im Gefahrfall, und zum Schutz gegen fälschliche Abschaltung. Die Ausstattung der Monitor-Module bestimmt die Sicherheit innerhalb jedes Kanals, und auch diesbezüglich sind alle E16-Systeme gleich. Ferner in der gebotenen Wahl der Bauform, der Stromversorgung und der Ausstattung mit zusätzlichen Funktionen.

Unterschiede liegen  in der Intensität und im Ablauf der Selbstkontrolle, welche die Systeme beinhalten, und welche Testverfahren und Störmeldungen sie bieten. Danach richtet sich die Einfachheit der Handhabung für den Benutzer, und die Einordnung in die Zulassungs-Kategorie.

Die Systeme E16x3... erfüllen höchste Anforderungen,&nbsp; zugelassen für Sicherheitsstufe SIL3 nach IEC61508. Alle&nbsp; Systeme dieser Gruppe enthalten einen unabhängigen Test-Frequenzgenerator zur durchgängigen kanalweisen Auslöseprüfung. In der Ausstattung mit Testautomatik befreit dies den Anwender von der sonst vorgeschriebenen regelmäßigen Kontrolle mit Dokumentation und den damit verbundenen Kosten.

Die Systeme E16x4 sind geschaffen für Anwendungen, die den hohen Testkomfort nicht brauchen und die Kosten dafür nicht erlauben. Sie entsprechen aber den Vorschriften nach API 670 Sicherheitsklasse SIL2. Auch in dieser Gruppe ist  eine Ausstattung mit Testfrequenzgenerator möglich und empfohlen.

Angaben für alle Systeme

Trip-Auslösung
Bei eingebauter 2von3 Auswahl sind die Sicherheitskontakte der Monitor im System schon auf der gedruckten Rückplatte verdrahtet zu zwei getrennten (unterbrechenden) Auslöse-Stromkreisen. Bei der Option mit getrennter Auslösung sind sie aus jedem Monitor (als Offner) einzeln auf den Ausgangsklemmen aufgelegt.

Die Angabe der Schaltleistung in der Monitorbeschreibung gilt auch für den Systemausgang.

Stromversorgung
Bei Speisung aus 3x24V DC sind die Anschlüsse für jeden Kanal getrennt auf Klemmen aufgelegt. Nullpunkt gemeinsam. Module, die keinem Kanal zugeordnet sind, werden aus einer systeminternen Sammelschiene versorgt.

Strombedarf (ohne Zusätze) ca. 3x 0,5 A.

Bei Speisung aus 2x115 V AC(100-130V) oder 2x230V AC (200 - 253V) AC versorgen zwei getrennt eingebaute Speisemodule eine System-Sammelschiene. Leistungsaufnahme ca. 60 VA.

Schutzklasse und Isolation  1.

Bauformen nach Wahl
(siehe Abbildungen und Maßzeichnungen)

• Aufbaurahmen (A)

  zum Aufsetzen z.B. auf eine Montageplatte im Innern eines Schaltschranks. Anschlussklemmen von vorn zugänglich.

  Rahmen oben und unten offen, Schutzart IP 20.

• 19-Zoll-Einschub (E)

  zum Einbau in ein (schwenkbares) 19-Zoll-Rack. Anschlussklemmen von der Rückseite zugänglich. Schutzart IP 20.

• Aufbau-Feldgehäuse (G)

  Form E schwenkbar eingebaut in ein Gehäuse IP 65, mit Klarsichttür und PG- Leitungsdurchführungen von unten.

Betriebsbedingungen
Umgebungstemperatur im Betrieb 0...+60 °C,

Lagertemperatur -40 °C... + 85 °C.

Feuchte max 95% (keine Betauung).

EMI und CE

nach 89/336/EWG, EN 61000-6-2,  -6-4.

E16 - zur Sicherheit Ständige Sicherheits-Kontrollen in den Monitoren

• Prüfung des Sensorstromkreises auf äußere Unterbrechung oder Kurzschluss. Prüfung der Signalader auf ihre Aktivität (diese Kontrolle nur bei den Sensoren unserer Baureihen A5S).

• Vergleich der Anzahl der empfangenen Sensorimpulse mit den beiden Nachbarkanälen. Innerhalb einer (programmierbaren) Zeit wird laufend geprüft, ob gleich viele Impulse (zulässige Abweichung programmierbar) durchgesetzt wurden.

• Prüfung auf Plausibilität der erzielten Messwerte: Im Betrieb dürfen sie nicht unter einen (programmierbaren) Drehzahlwert fallen, sonst gilt der betreffende Monitor als gestört (zum Anfahren wirkt die Anlaufüberbrückung für eine (programmierbare) Zeit. Ein umfassender Test.

• Sogar eine von außen gemeldete Störung (unabhängig von der Drehzahlerfassung - z.B. von einem Drucksignal oder Flammenwächter) kann den Monitor auf Störung setzen.

Per Programm kann man jede dieser Kontrollen in die Sammel-Störmeldung des einzelnen Monitors einschließen. Damit lässt sich der Fehler frühzeitig beheben - schon wenn er auftritt.

Die Sicherheit der Auslösung im Gefahrfall bleibt bei Störung eines Monitors gewährleistet. Dafür sorgt die 2von3 Auswahl

Die 2von3 - Auswahl

Die drei Monitore arbeiten im System parallel und unabhängig. Jeder Monitor umfasst alles: Sensoreingang, Messung, Grenzwertvergleich. Am Ende steht das Sicherheitsrelais mit 2 Meldekontakten (Öffner). Erst wenn 2 von den 3 eine Überdrehzahl oder Störung melden, wird Trip ausgelöst. Eine einzelne abweichende Meldung von einem Monitor wird zwar erkannt, führt aber noch nicht zur Auslösung.

• Das vermeidet eine unnötige Abschaltung mit teuren Stillstandszeiten und Meldungen.

• Durch dieses Prinzip kann man jederzeit im laufenden Betrieb einen der drei Monitore auf Überdrehzahl bringen, um seine Reaktion zu prüfen.

• Und man kann jederzeit einen der Monitore auswechseln.

   

Bei eingebauter 2von3 Auswahl sind die beiden Kontakte der Sicherheitsrelais direkt auf der Rückplatte fest so verdrahtet. Es ist kein weiteres Element im Spiel. Am Ausgang des Systems stehen zwei isolierte Stromkreise zur Verfügung, die zur Trip-Auslösung gleichzeitig öffnen.

Bei getrennt herausgeführten Monitor-Meldungen muss die äußere Schaltung oder Hydraulik dies bewerkstelligen. Bei den E16x3 Systemen gibt es Rückmeldeeingänge hierfür, sodass die richtige Reaktion beim Test erkannt wird.

Ein einzelner Fehler kann nicht die Sicherheit der Auslösung gefährden,  und er kann keine Fehlabschaltung herbeiführen. An keiner Stelle hängt die Sicherheit der Auslösung von einem einzelnen  Element oder einer einzelnen Meldung ab.

E16 - Aufbau Version

Aufbau Rahmen von oben gesehen  

Die 3 Monitore zur Drehzahl-Überwachung

Drehzahlmessung
Impulsabstandmessung mit automatisch gleitender Periodenzahl zur Sicherung einer Mindest-Messzeit von 5 Millisekunden.
Zusammenhang zwischen Sensor-Signalfrequenz und Drehzahl programmierbar, ebenso Dezimalstellen.
Genauigkeit ± 0,005 % ± 1 in der letzten der 5 Stellen.

Drehzahl-Grenzmeldungen
3 unabhängig einstellbare Grenzmeldungen:
Meldung SP1 ist für die Überdrehzahl vorgesehen, einstellbar in
Schaltpunkt, Hysterese-Breite und Schaltlage bei Überdrehzahl. Diese Meldung wirkt auf die Trip-Schaltung des Monitors, und zusätzlich auf die Monitor-Störmeldung (siehe unten).
Meldung SP2 dient der Plausibilitätskontrolle, der (einstellbare) Schaltpunkt darf bei laufender Maschine nicht unterschritten werden, sonst erkennt die Funktionsüberwachung eine offenbare Störung des Monitors.
Meldung SP3 ist frei verfügbar und dazu programmierbar nach Schaltpunkt, Breite und Lage der Hysterese, Schaltlage bei Unter/Überdrehzahl, bei Störmeldung und während der Anlaufüberbrückung. SP3 wirkt auf ein eigenes Melderelais (Schließer).
Anlaufüberbrückung setzt SP2 und SP3 in eine programmierbare Lage. Auslösung durch externen Kontakt oder Impuls, per Programm verlängerbar bis 999 s.

Tripausgang aus den Monitoren
Die beiden im Monitor vorhandenen Sicherheitsrelais werden auf stromlos gesteuert, sobald eine dieser Einzelmeldungen ansteht:

• Überdrehzahlmeldung aus Grenzwert SP1 (siehe oben), oder

• Sammel-Störmeldung (siehe unten), oder

• eine extern anstehende Status-Alarmmeldung aus der Anlage.

Schaltleistung der Trip-Meldekontakte (zugleich der nach außen geführten Trip-Auslösung):130 V AC/DC, max. 2 A, max. 100 W. Externe Funkenlöschung erforderlich.

Ein weiterer Kontakt aus den Sicherheitsrelais kann die Schaltlage an den Testgenerator-Modul zurückmelden. Dieser erkennt  daraus bei Autotest-Ausstattung den korrekten Vollzug.

Sammel-Störmeldung
Wirkt als eine der Kriterien für den Trip-Ausgang des Monitors.
Per Programm kann jede der folgenden Überwachungen in die Sammelstörmeldung einbezogen oder davon ausgenommen werden:

• Sensor-Stromkreis: Unterbrechung und/oder Kurzschluss, und/oder Aktivität der Signalader,

• Gleichlauf der Sensorsignale: im Vergleich zwischen dem Monitor selbst zu seinen beiden Nachbarn,

• Funktionsstörung im Monitor, erkannt durch Unterschreiten der Grenze SP2 (siehe oben).

Bei Sammel-Störmeldung unterbricht außerdem ein nach außen geführter Relaiskontakt.

Im Programm kann man festlegen, welche der Meldungen gespeichert werden, und welche sich selbst löschen, sobald die Störung behoben ist.

Eingang für das Sensorsignal

Ansprechpegel ausgelegt für unsere Sensoren der Reihe A5S oder ähnlich starke: >7/<3 Volt an 3 kΩ Eingangsimpedanz.

Optional für magnetinduktive Geber mit niedrigem Pegel, umschaltbar ca. 150/300 mV.

Eingang potenzialfrei, max. Spannung 60 V, Frequenzbereich bis 30 kHz.

Geberspeisung ca. 11 V/60mA kurzschlussfest.

Zur Prüfung des Monitors durch den Testgenerator wird der Eingang dorthin elektronisch umgeschaltet.

Anzeige      

5-stellig für die Drehzahl-Messwerte, 8mm LED rot. Anstehende Störmeldungen werden als Code angezeigt. Während der Programmierphase Anzeige der Schritte und ihrer Parameter.

Statusanzeige durch farbige LED.

Datenschnittstelle
Nach RS232 oder wahlweise als PROFIBUS.
Ausgabe der Messwerte und anstehender Status- und Grenzmeldungen. Eingabe der Parameter des Monitors zusätzlich zu den Fronttasten.
Anschluss an frontseitiger Sub-D-Dose.

Weitergabe des Sensorsignals an andere Geräte
Gleichfrequent mit dem Sensorsignal (von der Prüfumschaltung aber nicht betroffen). Aktive Rechteckimpulse mit ca. 22 V bei 1kΩ Last. Ausgang potenzialfrei und ohne Rückwirkung auf den Monitor.

Analogausgänge (Option)
Wahlweise als Zusatzausstattung bis zu 3 Ausgänge (nicht bei PROFIBUS- Datenschnittstelle). Jeder Ausgang mit 20 mA in max 500Ω Last, getrennt programmierbar für Anfangs- und Endwert, mit/ohne live zero. Auflösung 12 bit, Linearitätsfehler <0,1%.
Steigende oder fallende Kennlinie ist programmierbar, ebenso das Verhalten bei erkannter Sensorstörung.

Der Testgenerator

Zur Prüfung der Reaktion im Gefahrfall kann den Kanälen im System ein Testgenerator übergeordnet werden. Ein wahlweiser Zusatz - aber zur Sicherheit empfohlen, und für die Systemausstattung nach IEC 61508 SIL 3 unerlässlich.

Testfrequenzen
Zur Reaktions-Kontrolle der Kanäle schaltet das System nacheinander auf die einzelnen Monitore statt der Sensoren eine Testfrequenz (= Testdrehzahl) auf. Sie wird vom unabhängigen Testgenerator bereitgestellt. Die jeweils aktive Test-Drehzahl wird im 5-stelligen Display des Testgenerators angezeigt, außerdem durch LED der geprüfte  Kanal.

Für das Testverfahren selbst stehen zur Wahl:

Manueller Test
Durch frontseitige Tasten oder externe Einzel-Steuersignale
wird ein Kanal nach dem anderen auf Test umgeschaltet. Eine (abschaltbare) Verriegelung verhindert das Aufschalten von 2 Kanälen zugleich (was Tripauslösung zur Folge hätte). Die Testfrequenz selbst ist feinstufig durch Fronttasten durchstimmbar. Das Ansprechen lässt sich an Hand des Alarm-Status und die Fehlermeldung des Monitors beobachten.

Automatischer Test
Die Testautomatik schaltet nacheinander die Kanäle auf Test. In den einzelnen Prüfschritten werden  Prüffrequenzen auf den Kanal aufgeschaltet, oberhalb und unterhalb der Auslösedrehzahl. Man legt sie im Programm gemäß Anwendung fest. Sie werden im Programm festgelegt. Die richtige Reaktion der Monitore prüft die Testautomatik anhand der Rückmeldung aus deren Sicherheitsrelais. Bei einer falschen  Reaktion erfolgt selbsttätig eine System-Störmeldung (durch Kontakt). Die Automatik verhindert einen fälschlichen Trip nach erkanntem Fehler. Die Zeitabstände zwischen den Testphasen sind programmierbar. 
Bei der Ausstattung nach IEC 61508 SIL 3 prüft der Testgenerator den korrekten Ablauf mehrfach selbst nochmals, und betätigt abhängig davon einen eigenen Fehlermeldekontakt.

Diese  automatische Testroutine ersetzt die sonst vorgeschriebenen regelmäßigen manuellen Kontrollarbeiten: Zeitersparnis und höhere Verfügbarkeit der Anlage.

Weitere Mess- und Überwachungsfunktionen

Dazu können Zusatzmodule in das System integriert werden. Sie nutzen die ohne schon fehlergesicherten Signaleingänge des Hauptteils. In die Testvorgänge sind sie nicht einbezogen. Die Zusätze können einzelnen Kanälen zugeordnet werden, oder allen drei. Dann kann man die Aussagekraft für diese Funktion durch eine 2von3 Meldungsauswahl (als  Zusatzmodul) noch erhöhen.

Beschreibungen im Anschluss an die Funktionsdiagramme.

1 Die wählbaren Zusatzausstattungen

Zusätzliche Drehzahl-Grenzmeldungen

Für die Automatisierung beim Hochlauf oder Stillsetzen können pro Kanal 4 oder 8 Schaltpunkte hinzugefügt werden, je mit eigenem Ansprechverhalten, mit eigenem Relaiskontakt (Schließer).

Drehrichtungs-Meldung
Besonders zur Überwachung von Pumpen und Drehwerken. Dieser Zusatz braucht einen speziellen Sensor (Reihe A5S3...). Dieser kann aber auch für das Hauptsystem genutzt und überwacht werden. Ausgang als Relaiskontakt-Wechsler. Eigener Analogausgang möglich. Datenschnittstelle nur nach RS232.

Beschleunigungsmeldung
Modul mit selbständigem Drehzahl-Messteil auf Impulsabstand-Prinzip mit einstellbarer Mindestmesszeit. Beschleunigung gebildet aus der Differenz aufeinander folgender Drehzahlmessungen. Anzahl der dabei einbezogenen Messvorgänge programmierbar.

Maßeinheit nach Wahl U/min/sec oder U/min/min.

Meldung mit zwei einstellbaren Schaltpunkten über Relaiskontakt-Schließer. 4-stellige Anzeige mit -Vorzeichen. RS232 Schnittstelle und Analogausgang als wahlweiser Zusatz.

Drehzahl anderer Antriebe und ihre Differenz
zur Hauptmaschine
Typisch die Anwendung beim Drehwerk der Turbine, für die Freigabe des Kupplungsvorgangs bei Gleichlauf. Der zusätzlich erfasste Antrieb benutzt naturgemäß einen eigenen Drehzahlsensor mit eigenem Systemeingang. Dieser Modul besitzt zwei digitale Messteile, die unabhängig von der Überwachung der Turbine  arbeiten. Aus ihren Messwerten bildet der Zusatzmodul digital die Differenz bzw. das Verhältnis und steuert damit eigenen Anzeige, Analogausgang und eigene Grenzmelder an.
 
Zusätzliche Messmodule mit Profibus-Schnittstelle
Jeder Modul misst selbständig die Drehzahl des Hauptantriebs. Dies kann auch allein als eigenständiges System mit 3 Kanälen ausgeführt werden. Die Profibus Ausgänge stehen zur Meldung an andere Geräte zur Verfügung, beispielsweise für die schnell folgende Ausgabe der Istdrehzahl an einen Regler.

Trennstufen zu eigensicheren Sensoren im Ex-Bereich
Im Aufschnappgehäuse für Tragschiene außerhalb des E16-Systems. Alle Sensoren der Baureihen A5S1.. sind anschließbar. Auch deren Sensorstromkreis wird mit überwacht.
Ausführliche Angaben unter D461 im Abschnitt „Einbaugeräte".