Beschreibung: Die Erfindung betrifft ein Antriebssystem und ein Verfahren zum Betreiben eines

Antriebssystems.

Es ist bekannt, mittels eines Umrichters einem Elektromotor einen mehrphasigen

Wechselstrom zuzuführen und den somit zugeführten Motorstrom zu erfassen.

Der Erfindung liegt die Aufgabe zugrunde, die Sicherheit eines Antriebssystems in einfacher Weise zu erhöhen.

Unter Elektromotor wird auch eine elektrische Maschine verstanden, also auch ein

Generator.

Erfindungsgemäß wird die Aufgabe bei dem Antriebssystem nach den in Anspruch 1 und bei dem Verfahren zum Betreiben eines Antriebssystems nach den in Anspruch 7 angegebenen Merkmalen gelöst.

Wichtige Merkmale der Erfindung bei dem Antriebssystem sind, dass es zumindest einen einen Elektromotor speisenden Umrichter und einen Sicherheitswächter umfasst, wobei dem Elektromotor mittels steuerbarer Leistungshalbleiter der Leistungselektronik des Umrichters ein Wechselstrom, insbesondere ein mehrphasiger Strom, zuführbar ist, wobei in mindestens zwei Phasen des Wechselstroms ein Stromsensor angeordnet ist, wobei die von den Stromsensoren erfassten Stromwerte auch einer Steuerelektronik des Umrichters zugeführt werden, die gemäß einem Maschinenmodell Ansteuersignale, insbesondere pulsweitenmodulierte Ansteuersignale, für die Leistungshalbleiter erzeugt, insbesondere abhängig von den erfassten Stromwerten,

BESTÄTIGUNGSKOPIE wobei in der Steuerelektronik Mittel zur Bestimmung eines ersten Modellwertes für eine physikalische Größe vorgesehen sind und die Steuerelektronik mittels elektrischer Leitungen mit einem Sicherheitswächter verbunden ist, so dass der ermittelte erste Modellwert dem Sicherheitswächter zuführbar ist, wobei die in einer dritten Phase erfassten Stromwerte auch einem Sicherheitswächter zugeführt werden, der zumindest ein Mittel zur Bestimmung eines zweiten

Modellwertes für eine physikalische Größe aufweist, wobei der Sicherheitswächter Vergleichsmittel umfasst, mit welchen der erste Modellwert mit dem zweiten Modellwert vergleichbar ist.

Von Vorteil ist dabei, dass ein Sicherheitswächter, also eine vom Umrichter separate

Komponente, aus den erfassten Strom messwerten Modellwerte bestimmt und somit das Antriebssystem überwachbar ist. Einerseits ist auf diese Weise eine Überwachung des Modellwertes ermöglicht und andererseits ist eine Überwachung der Stromsensoren ermöglicht.

Bei einer vorteilhaften Ausgestaltung werden die von den Stromsensoren erfassten

Stromwerte auch einer Steuerelektronik des Umrichters zugeführt, die pulsweitenmodulierte Ansteuersignale für die Leistungshalbleiter erzeugt, insbesondere abhängig von den erfassten Stromwerten. Von Vorteil ist dabei, dass der Umrichter in bekannter Weise aufbaubar ist. Zusätzlich ist nur ein Abschalten der Leistungselektronik durch den

Sicherheitswächter zu ermöglichen, beispielsweise also ein durch den Sicherheitswächter bewirkbares Unterbrechen der Stromversorgung der Treiber für die Ansteuersignale der Leistungshalbleiter.

Bei einer vorteilhaften Ausgestaltung ist der Sicherheitswächter nur mit einem der dritten Phase zugeordneten Stromsensor verbunden, und/oder die in der dritten Phase erfassten Stromwerte werden nur dem Sicherheitswächter zugeführt. Von Vorteil ist dabei, dass die Stromerfassung für den Sicherheitswächter vollständig unabhängig ausgeführt ist von der Stromerfassung für die Steuerelektronik. Somit ist also auch die Berechnung des Modellwertes für Drehmoment vollständig unabhängig ausführbar und dadurch die Sicherheit der Überwachung erhöhbar. Bei einer vorteilhaften Ausgestaltung sind die Leistungshalbleiter in Halbbrücken angeordnet, insbesondere wobei jede Halbbrücke eine jeweilige Phase des dem Motor zugeführten Wechselstroms speist. Von Vorteil ist dabei, dass durch Abschalten der Leistungshalbleiter auch ein Abschalten des Motors bewirkbar ist.

Bei einer vorteilhaften Ausgestaltung ist die physikalische Größe ein Drehmoment, insbesondere das vom Motor erzeugte Drehmoment. Von Vorteil ist dabei, dass ein

Modellwert für eine fundamentale Größe des Antriebssystems bestimmt wird. Somit ist auch ein belastungsabhängiger Drehmomentverlauf herausgebbar und dadurch eine Diagnose der den Antrieb umfassenden Anlage durchführbar.

Bei einer vorteilhaften Ausgestaltung ist der mehrphasige Strom ein Drehstrom,

insbesondere wobei der Elektromotor ein Drehstrommotor ist. Von Vorteil ist dabei, dass Strommesswerte in drei Phasen bestimmbar sind und somit das Drehmoment aus

verschiedenen Messwertpaaren bestimmbar ist und diese bestimmten Werte miteinander vergleichbar sind. Außerdem ist in der Steuerelektronik ein Wert für Drehmoment im

Maschinenmodell bestimmbar. Diese Bestimmung ist in jedem Fall dann notwendig, wenn eine Drehmomentsollwertvorgabe an die Steuerelektronik des Umrichters erfolgen soll.

Bei einer vorteilhaften Ausgestaltung umfasst der Sicherheitswächter einen Speicher zur Abspeicherung eines Wertes für ein kritisches Drehmoment, wobei der Sicherheitswächter ein Vergleichsmittel aufweist, das einen Vergleich des aus den erfassten Stromwerten bestimmten Modellwertes und/oder des von der Steuerelektronik übermittelten ersten Modellwertes mit dem abgespeicherten Wert für ein kritisches

Drehmoment ausführbar macht, und mittels des Vergleichsmittels abhängig vom Ergebnis des Vergleichs ein Abschalten der Leistungselektronik des Umrichters bewirkbar ist. Von Vorteil ist dabei, dass somit eine Drehmomentbegrenzung ausführbar ist. Denn, wenn ein unzulässig hoher Wert an Drehmoment erreicht wird, wird eine Abschaltung des

Antriebssystems ausgeführt. Genauso ist der von der Steuerelektronik bestimmte und übermittelte Modellwert für Drehmoment vergleichbar mit dem abgespeicherten Wert für kritisches Drehmoment. Auf diese Weise ist die Sicherheit weiter erhöhbar. Bei einer vorteilhaften Ausgestaltung weist der Sicherheitswächter einen redundanten und/oder zweikanaligen Aufbau auf, insbesondere zwei separate elektronische Schaltungen, auf, wobei die erfassten Stromwerte beiden Schaltungen zugeführt werden und der jeweils von einer Schaltung bestimmte Modellwert der jeweils anderen zugeführt wird, wobei mittels jeder der Schaltungen ein Abschalten der Leistungselektronik des Umrichters bewirkbar ist. Von Vorteil ist dabei, dass die Sicherheit mittels Redundanz erhöht ist.

Insbesondere sind die Schaltungen diversitär ausführbar und somit die Sicherheit weiter erhöhbar.

Bei einer vorteilhaften Ausgestaltung sind die separaten Schaltungen auf einer einzigen Leiterplatte angeordnet, insbesondere galvanisch getrennt angeordnet und mittels Optokopplern signalverbunden. Von Vorteil ist dabei, dass eine kostengünstige Herstellung ausführbar ist und zusätzlich die Signalverbindung zwischen den

Schaltungen besonders sicher mittels entsprechender galvanischer Trennmittel, wie Optokoppler und/oder Transformatoren, ausführbar ist. Die Gefahr von

Spannungsüberschlägen zwischen den Schaltungen ist somit verhinderbar oder zumindest reduzierbar. Außerdem ist die Wahrscheinlichkeit einer

Signalunterbrechung reduzierbar, die beispielsweise bei einer sich lösenden

Steckverbindung eintreten könnte.

Bei einer vorteilhaften Ausgestaltung wird statt der elektrischen Leitungen zwischen

Steuerelektronik und Sicherheitswächter der von der Steuerelektronik bestimmte Modellwert berührungslos übertragen, insbesondere mittels Funkverbindung. Von Vorteil ist dabei, dass elektrische Leitungen einsparbar sind.

Wichtige Merkmale bei dem Verfahren zum Betreiben eines Antriebssystems, umfassend zumindest einen einen Elektromotor speisenden Umrichter und einen Sicherheitswächter, sind, dass einem Elektromotor ein mehrphasiger Ausgangsstrom eines Umrichters zugeführt wird, wobei zumindest in zwei Phasen des Ausgangsstroms jeweils der Strom erfasst wird und die erfassten Stromwerte einer Steuerelektronik des Umrichters zugeführt werden, die gemäß einem Maschinenmodell pulsweitenmodulierte Ansteuersignale für die Leistungshalbleiter erzeugt, wobei im Maschinenmodell der Steuerelektronik ein erster Modellwert für die physikalische Größe bestimmt wird und der erste Modellwert dem Sicherheitswächter zugeführt wird, wobei die in einer dritten Phase erfassten Stromwerte dem Sicherheitswächter zugeführt werden, der daraus einen zweiten Modellwert für die physikalische Größe bestimmt, wobei der erste Modellwert mit dem zweiten Modellwert verglichen wird und bei Überschreiten einer zulässigen Abweichung, insbesondere zwischen den beiden Modellwerten, eine Aktion ausgelöst wird.

Von Vorteil ist dabei, dass ein Modellwert in vom Umrichter unabhängiger Weise bestimmbar ist und somit die verschieden bestimmten Werte vergleichbar sind. Eine die Sicherheit erhöhende Aktion ist abhängig vom Ergebnis ausführbar.

Bei einer vorteilhaften Ausgestaltung ist die physikalische Größe ein Drehmoment, insbesondere das vom Motor erzeugte Drehmoment. Von Vorteil ist dabei, dass ein

Modellwert für eine fundamentale Größe des Antriebssystems bestimmt wird. Somit ist auch ein belastungsabhängiger Drehmomentverlauf herausgebbar und dadurch eine Diagnose der den Antrieb umfassenden Anlage durchführbar.

Bei einer vorteilhaften Ausgestaltung wird im Sicherheitswächter ein dritter

Modellwert für die physikalische Größe berechnet. Von Vorteil ist dabei, dass durch einen weiteren Modellwert der erste und zweite Modellwert überprüfbar sind. Die Sicherheit ist somit erhöhbar.

Bei einer vorteilhaften Ausgestaltung wird im Sicherheitswächter aus dem Verlauf der Stromwerte der dritten Phase ein zu einem Zeitintervall zugehöriger Spitzenwert und/oder Effektivwert bestimmt und daraus ein Modellwert für die physikalische Größe. Von Vorteil ist dabei, dass die Strommesswerte einer einzigen

Motorphasenleitung ausreichen zur Bestimmung des Modellwertes für die

physikalische Größe. Dabei sind diese Strommesswerte vollständig unabhängig von der Stromwerteerfassung für die Steuereinrichtung erfassbar. Bei einer vorteilhaften Ausgestaltung ist das Zeitintervall die halbe Periodendauer oder ein ganzzahliges Vielfaches der halben Periodendauer des Stromwerteverlaufs. Von Vorteil ist dabei, dass die Drehmomentbestimmung in sehr kurzer Zeit ausführbar ist, insbesondere innerhalb einer halben Periodendauer. Also ist eine kurze

Reaktionszeit des Sicherheitswächters bis zum Ausführen einer

sicherheitsgerichteten Aktion ermöglicht.

Bei einer vorteilhaften Ausgestaltung wird die Periodendauer aus den

Nulldurchgängen bestimmt. Von Vorteil ist dabei, dass der Nulldurchgang in einfacher Weise detektierbar ist.

Bei einer vorteilhaften Ausgestaltung wird der Modellwert für die physikalische Größe aus dem Spitzenwert und/oder Effektivwert mittels Multiplikation mit einem Motorabhängigen Faktor bestimmt. Von Vorteil ist dabei, dass das Drehmoment in einfacher Weise mit geringem Rechenaufwand oder sogar mittels analoger Bauelemente, also ohne MikroController oder Mikroprozessoren, bestimmbar ist.

Bei einer vorteilhaften Ausgestaltung wird der dritte Modellwert in anderer Weise bestimmt als der zweite und/oder erste Modellwert, insbesondere ohne

Berücksichtigung von erfassten Spannungswerten. Von Vorteil ist dabei, dass die

Sicherheit erhöht ist, weil bei Verwendung der gleichen Berechnungsmethode bei den Drehmomentbestimmungen systematische Fehler nicht festgestellt werden könnten.

Bei einer vorteilhaften Ausgestaltung wird der zweite Modellwert mittels dem im Sicherheitswächter bestimmten Effektivwert des Stroms berechnet und der dritte Modellwert mittels dem im Sicherheitswächter bestimmten Spitzenwert des Stroms bestimmt. Von Vorteil ist dabei, dass die Berechnung des Modellwertes unabhängig ausführbar ist, wodurch die Sicherheit erhöhbar ist. Bei einer vorteilhaften Ausgestaltung werden der erste, zweite und/oder dritte

Modellwert im Sicherheitswächter paarweise verglichen und bei Überschreiten einer zulässigen Abweichung wird eine Aktion ausgelöst. Von Vorteil ist dabei, dass die Sicherheit erhöhbar ist. Bei einer vorteilhaften Ausgestaltung speist der Umrichter den Motor mit einer mehrphasigen Spannung, insbesondere Drehspannung, deren elektrische

Drehfrequenz größer ist als Null oder als ein vorgegebener Minimalwert, und/oder der vom Umrichter gestellte, den Motor speisende Spannungsraumzeiger weist eine elektrische Drehfrequenz auf, welche größer ist als Null oder als ein vorgegebener Minimalwert. Von Vorteil ist dabei, dass ein Drehstrommotor an den Umrichter anschließbar ist. Außerdem ist schon zu Beginn eines Einklemm-Unfalls, also bei noch drehendem Motor, ein Detektieren des beginnenden Einklemmens ausführbar, da die schon bei Berührung des vom Motor angetriebenen Teils auftretende

Drehmomenterhöhung detektierbar ist und davon abhängig ein sicheres Abschalten des Motors ermöglicht ist und/oder eine andere sicherheitsgerichtete Aktion. Zur sicheren Funktion sollte allerdings eine Mindestdrehzahl des Motors vorhanden sein.

Bei einer vorteilhaften Ausgestaltung wird der erste, zweite und/oder dritte Modellwert mit einem kritischen Wert, insbesondere einem Wert für ein kritisches Drehmoment, verglichen und bei Abweichungen, die ein zulässiges Maß überschreiten, wird vom Sicherheitswächter ein Abschalten der Leistungselektronik bewirkt. Von Vorteil ist dabei, dass die Sicherheit erhöhbar ist. Bei einer vorteilhaften Ausgestaltung wird ein Wert für ein kritisches Drehmoment in einem Speicher des Sicherheitswächters abgespeichert. Von Vorteil ist dabei, dass eine

Drehmomentbegrenzung auf diesen gespeicherten Wert hin ermöglicht ist.

Bei einer vorteilhaften Ausgestaltung wird mittels des Sicherheitswächters eine Warninformation herausgegeben oder eine Warnanzeige aktiviert. Von Vorteil ist dabei, dass eine Person im Arbeitsbereich eines Motors informiert wird, sobald eine sicherheitsrelevante Fehlfunktion eintritt. Dadurch wird diese Person den

Gefährdungsbereich verlassen, so dass Unfälle verhinderbar sind. Bei einer vorteilhaften Ausgestaltung wird der Umrichter mittels des

Sicherheitswächters deaktiviert oder abgeschaltet. Von Vorteil ist dabei, dass der Umrichter vollkommen stromlos ist und keine Gefahr von elektrischen Strömen ausgeht. Bei einer vorteilhaften Ausgestaltung wird die Leistungselektronik des Umrichters deaktiviert und/oder abgeschaltet. Von Vorteil ist dabei, dass die Steuerelektronik des Umrichters weiterhin betriebsbereit ist und beispielsweise mit einer übergeordneten Steuereinheit kommuniziert. Des Weiteren ist ein schneller und reibungsloser Neustart der Leistungselektronik nach erfolgreicher Problembehebung ermöglicht.

Bei einer vorteilhaften Ausgestaltung werden die Ansteuersignale der

Leistungselektronik des Umrichters mittels des Sicherheitswächters abgeschaltet. Von Vorteil ist dabei, dass fehlerhafte Signale von der Steuerelektronik nicht zur Leistungselektronik geleitet werden. Dadurch ist die Sicherheit erhöht.

Bei einer vorteilhaften Ausgestaltung wird mittels des Sicherheitswächters das

Drehmoment sicher abgeschaltet. Von Vorteil ist dabei, dass der Motor nicht einfach abgeschaltet wird, sondern in eine sichere Position gefahren wird. Beispielsweise bei Hubwerken ist somit ein Herabstürzen der Last verhinderbar.

Bei einer vorteilhaften Ausgestaltung aktiviert der Sicherheitswächter eine

mechanische Bremse des Antriebs. Von Vorteil ist dabei, dass ein ungewolltes

Wiederanlaufen des Motors verhinderbar ist.

Weitere Vorteile ergeben sich aus den Unteransprüchen. Die Erfindung ist nicht auf die Merkmalskombination der Ansprüche beschränkt. Für den Fachmann ergeben sich weitere sinnvolle Kombinationsmöglichkeiten von Ansprüchen und/oder einzelnen

Anspruchsmerkmalen und/oder Merkmalen der Beschreibung und/oder der Figuren, insbesondere aus der Aufgabenstellung und/oder der sich durch Vergleich mit dem Stand der Technik stellenden Aufgabe.

Die Erfindung wird nun anhand von Abbildungen näher erläutert: In der Figur 1 ist das Prinzip der Erfindung schematisch skizziert.

Die Steuerelektronik 1 erzeugt pulsweitenmodulierte Ansteuersignale 5 für die

Leistungshalbleiterschalter der Leistungselektronik 2, insbesondere Endstufe, eines

Umrichters, welcher zur Speisung eines Elektromotors M vorgesehen ist. Dabei ist die Leistungselektronik 2 vorzugsweise aus drei Halbbrücken zusammengesetzt, welche aus einer unipolaren Spannung, insbesondere Gleichspannung, versorgt werden. Diese unipolare Spannung wird von einem Netz-gespeisten Gleichrichter erzeugt oder aus einer

Gleichspannungsquelle bereit gestellt.

Jede Halbbrücke besteht aus zumindest zwei in Reihe geschalteten ansteuerbaren

Leistungshalbleiterschaltern, wie beispielsweise IGBT oder MOSFET-Transistoren.

Jede Halbbrücke speist eine der drei Motorphasen (U, V, W) des Elektromotors M. Die jeweiligen zu den Motorphasen zugehörigen Ströme werden mittels der Stromerfassung 3 erfasst, wobei entsprechende Sensoren vorgesehen sind. Ein erster Stromsensor macht somit den Stromwert in der U-Phase, ein zweiter in der V-Phase und ein dritter in der W- Phase erfassbar.

Zumindest zwei der erfassten Stromwerte, beispielsweise U und V, werden einerseits der Steuerelektronik 1 zugeführt, so dass die pulsweitenmodulierten Ansteuersignale 5 als Stellgrößen unter Verwendung eines Maschinenmodells bestimmbar sind und hierbei die erfassten Stromwerte einer Reglerstruktur als Istwerte zuführbar sind. Gemäß dem

Maschinenmodell wird hierbei ein Modellwert für. Drehmoment, also für das vom Motor abgegebene Drehmoment, bestimmt. Insbesondere ist zur Bestimmung des Drehmoments die Bestimmung eines Modellwertes für den Statorfluss notwendig, also ist eine Integration im Modell vorgesehen.

Außerdem wird zumindest einer der erfassten Stromwerte - im Beispiel also W - einem Sicherheitswächter 4 zugeführt, der als elektronische Schaltung ausgeführt ist. Dabei ist dieser zugeführte Stromwert vorzugsweise einer anderen Motorphase zugeordnet als diejenigen beiden Stromwerte, welche der Steuerelektronik 1 zugeführt werden. Im Sicherheitswächter 4 wird der zugeführte Stromwert - im Beispiel also der der W- Phase zugeordnete erfasste Stromwert - verarbeitet. Insbesondere wird der zu einem Zeitintervall zugehörige Effektivwert und/oder der innerhalb eines Zeitintervalls auftretende Spitzenwert bestimmt. Vorzugsweise wird als Zeitintervall die halbe oder ganze Periodendauer des zugehörigen erfassten Stromwertesignals verwendet. Eine einfache Bestimmung der Periodendauer ist mittels der Bestimmung der

Nulldurchgänge des Signals ausführbar. Aus diesem verarbeiteten Wert wird auf den Motorstromraumzeiger geschlossen und daraus wiederum auf das vom Motor erzeugte Drehmoment.

Dabei wird vorausgesetzt, dass das Drehfeld eine zum Zeitintervall zugehörige

Mindestdrehfrequenz aufweist. In diesem Fall ist der Wert des Drehmoments bestimmbar durch Multiplikation des Spitzenwertes beziehungsweise des

Effektivwerts mit einem Motor-abhängigen Faktor.

Außerdem wird dem Sicherheitswächter 4 auch der von der Steuerelektronik 1 bestimmte Modellwert für das Drehmoment zugeführt zum Vergleich mit dem über den Faktor bestimmten Drehmomentwert.

Auf diese Weise ist bei Erreichen eines kritischen Zustandes vom Sicherheitswächter aus ein sicheres Abschalten der Endstufe bewirkbar. Beispielsweise ist dies erreichbar, indem die Versorgungsspannung der Treiber für die Leistungshalbleiter der Leistungselektronik abgeschaltet wird.

Somit ist beispielsweise ein vollständiges Einklemmen einer Person zwischen einem beweglichen Teil einer Maschine und einer Wand verhinderbar. Denn sobald sich die Person das bewegliche Teil berührt, erhöht sich das Drehmoment. Bei Überschreiten eines vorgegebenen kritischen Drehmomentwertes ist ein Abschalten oder sogar

Zurückfahren ausführbar. Alternativ ist auch die zeitliche Ableitung des Drehmoments überwachbar auf Überschreiten eines zulässigen Grenzwertes, wobei wiederum nach Überschreiten abgeschaltet oder zurückgefahren wird. Der Sicherheitswächter ist ein zweikanalig aufgebautes sicherheitsgerichtetes System. Die erfassten Stromwerte in einer der Phasen werden im Sicherheitswächter verwendet, um auf mindestens eine von der in der Steuerelektronik des Umrichters verwendete

Maschinenmodellwertbestimmung unterschiedliche Weise einen Wert für Drehmoment zu bestimmen. Sobald dieser Wert von dem an den Sicherheitswächter übermittelten Wert voneinander abweicht um mehr als einen kritischen Wert, wird eine Abschaltung der Leistungselektronik veranlasst.

Hierbei wird im Sicherheitswächter 4 von einem ersten Mikrocontroller ein erster Drehmomentwert bestimmt unter Verwendung des Stromwertes, welcher der W-Phase zugeordnet ist, und indem der Spitzenwert im Zeitintervall bestimmt wird. Unabhängig davon wird im Sicherheitswächter 4 von einem zweiten Mikrocontroller ein zweiter Drehmomentwert bestimmt unter Verwendung des Stromwertes, welcher der W-Phase zugeordnet ist, und indem der Effektivwert im Zeitintervall bestimmt wird.

Beide Werte werden jeweils mit einem jeweiligen Faktor multipliziert, um jeweils einen Modellwert für Drehmoment zu erhalten.

Somit sind paarweise die drei unterschiedlich bestimmten Drehmomentwerte vergleichbar und auf das Überschreiten einer unzulässig großen Abweichung überwach bar.

Auf diese Weise ist also die Sicherheit erhöhbar. Denn bei einem fehlerhaften Bauteil, wie Stromsensor, ist eine Abschaltung ermöglicht.

Außerdem ist dem Sicherheitswächter ein Wert für ein kritisches Drehmoment zuführbar. Beispielsweise ist dieser Wert als Parameter mit Eingabemitteln, welche mit dem

Sicherheitswächter elektrisch verbunden sind, oder über Feldbus dem Sicherheitswächter zuführbar, insbesondere bei der Inbetriebnahme der Anlage. Somit ist ein Vergleich des Drehmomentwertes, welcher von dem Sicherheitswächter bestimmt wird, mit dem Wert für ein kritisches Drehmoment ausführbar. Auf diese Weise ist eine Drehmomentbegrenzung realisierbar, da bei Überschreiten des Wertes für ein kritisches Drehmoment die Abschaltung der Leistungsstufe ausgeführt wird. Alternativ oder zusätzlich ist auch ein Vergleich des Modellwertes für Drehmoment mit dem kritischen Drehmoment ausführbar. ln einem weiteren erfindungsgemäßen Ausführungsbeispiels werden die verschiedenen Berechnungen des Drehmoments im Sicherheitswächter von zwei separaten elektronischen Schaltungen ausgeführt oder beide Berechnungen von beiden separaten Schaltungen. Auf diese Weise ist somit die Sicherheit weiter erhöhbar. Das jeweilige von einer Schaltung bestimmte Ergebnis wird an die jeweils andere Schaltung übermittelt und von dieser mit dem eigen bestimmten, entsprechenden Ergebnis verglichen. Somit überwachen sich die beiden Schaltungen gegenseitig und können bei Abweichungen, die ein zulässiges Maß

überschreiten, eine Abschaltung der Leistungselektronik bewirken, wobei die Abschaltung dann bewirkt wird, wenn eine der Schaltungen kein Freigabesignal erzeugt.

Bei weiteren erfindungsgemäßen Ausführungsbeispielen sind die beiden Schaltungen auf einer einzigen Leiterplatte angeordnet, tauschen Daten aus und/oder führen die

Funktionalität des Überwachens des Drehmoments und des sicheren Abschaltens jeweils eigenständig aus.

Bei weiteren erfindungsgemäßen Ausführungsbeispielen sind die beiden Schaltungen diversitär ausgeführt. Bei weiteren erfindungsgemäßen Ausführungsbeispielen veranlasst der Sicherheitswächter abhängig vom Ergebnis des Vergleichs als Aktion, dass

eine Warnanzeige aktiviert wird,

der Umrichter deaktiviert oder abgeschaltet wird und/oder

die Leistungselektronik des Umrichters abgeschaltet wird.

Bezugszeichenliste

1 Steuerelektronik

2 Leistungselektronik, insbesondere Endstufe

3 Stromerfassung

4 Sicherheitswächter

5 pulsweitenmodulierte Ansteuersignale M Elektromotor

STO sichere Abschaltung der Leistungselektronik 2, insbesondere Endstufe μ01 erster Mikrocontroller

\JC2 zweiter Mikrocontroller