Die Erfindung betrifft einen programmierbaren elektronischen Leistungssteller mit einem Leistungsmodul zum Ansteuern mindestens eines an das Leistungsmodul anschließbaren bzw. angeschlossenen, insbesondere elektromechanischen Ak tuators mittels eines Aktuator-Stellsignals, bspw. in Form einer angelegten Span nung oder eines geeignet gewählten Stroms. Die Spannung respektive der Strom können durch eine geeignete Energieversorgung zur Verfügung gestellt und in dem Leistungsmodul des Leistungsstellers entsprechend eingestellt werden, bspw. mittels eines Thyristorstellers, eines Transformators, eines Wechselrich ters, eines Pulsweitenmodulators oder dgl. elektronischen Gerät, mit dem die Ausgangsleistung bzw. der Ausgangsstrom und/oder die Ausgangsspannung va riabel einstellbar sind.

Der Leistungssteller weist ferner ein Steuerungsmodul zum Betätigen bzw. An steuern des Leistungsmoduls mittels eines Leistungsmodul-Ansteuersignals und ein internes Überwachungsmodul zum Überführen des Steuerungsmoduls in ei nen Notbetrieb auf. In dem Notbetrieb ist das Steuerungsmodul dazu eingerichtet, eine vordefinierte Fehlerreaktion auszuführen und den Aktuator in einen sicheren Zustand zu versetzen, wobei das interne Überwachungsmodul dazu eingerichtet ist, einen Systemzustand zu überwachen, einen kritischen Betriebszustand zu er kennen und im Falle eines erkannten kritischen Betriebszustands mindestens ein Fehlersignal auszugeben, das insbesondere das Steuerungsmodul respektive den Leistungssteller in den Notbetrieb versetzt.

Derartige programmierbare Leistungssteller werden häufig bei Systemen einge setzt, in denen das bloße Abschalten eines oder mehrerer elektromechanischer Aktuatoren im Fehlerfall (d.h. einem kritischen Betriebszustand) gefährlich ist o- der sein kann, weil es zumindest eine kritische Betriebsphase des Systems gibt, in der durch das einfache Abschalten der Aktuatoren ein oder mehrere Sicher heitsziele für das System verletzt würden. Ein häufiger, erfindungsgemäß bevor zugter Anwendungsfall ist ein Pitchsystem einer Windkraftanlage, mit dem die Drehstellung mindestens eines Rotorblatts an der Rotornabe eingestellt wird. An dere sinnvolle Anwendungsgebiete können kritische Produktionsprozesse oder elektrisch angetriebene Fahrzeuge sein. In solchen Systemen müssen Fehlerto leranzmaßnahmen vorgesehen werden, die im Fehlerfall zumindest einen Notbe trieb des Systems ermöglichen ("Fail-Operational-System").

In geregelten elektromechanischen Aktuatoren werden fast immer programmier bare elektronische Leistungssteller (PEL) eingesetzt. Diese enthalten neben den eigentlichen Basisfunktionen zur Regelung des Aktuators zahlreiche Zusatzfunk tionen, etwa zum Einlesen von externen Sensoren, zur Generierung von kinema tischen Bewegungsprofilen und zur Echtzeit-Kommunikation mit anderen Syste men über komplexe Kommunikationsschnittstellen. Weitere Zusatzfunktionen er möglichen bspw. die komfortable Diagnose, Parametrierung, Anwenderprogram mierung und Inbetriebnahme der programmierbaren elektronischen Leistungs steller. Die Komplexität solcher programmierbarer Leistungssteller birgt signifi kante Risiken für unentdeckte, systematische Softwarefehler.

Softwarefehler in den komplexen Zusatzfunktionen können den zuverlässigen Übergang des Leistungsstellers vom Normalbetrieb in den Notbetrieb verhindern, bspw. wenn die Software bei der Abarbeitung hängen bleibt oder bspw. in einer Endlosschleife eine hohe Prozessorleistung verbraucht. Bei der Verwendung von mehreren gleichartigen komplexen Leistungsstellern in einem System besteht da mit ein hohes Risiko für systemkritische "common cause" Fehler. Eine hinrei chende Minimierung der Auftrittswahrscheinlichkeit dieser common cause Fehler durch fehlervermeidende Maßnahmen während der Produktentwicklung ist bei komplexen Systemen - und sei es aus Kostengründen - in der Regel nicht in aus reichendem Maße möglich.

Die Integration von funktionaler Sicherheit bei der Ansteuerung elektromechani sche Aktuatoren, z.B. in den elektrischen Antriebssystemen, ist seit mehreren Jahren bekannt und in der industriellen Praxis eingeführt. Der sichere Zustand des Aktuators ist in der Regel der Stillstand mit sicherer Abschaltung von Dreh moment- bzw. Kraftbildung und einer sicheren Bremsenansteuerung. Auch Si cherheitsfunktionen, die bei laufender Bewegung angefordert werden können, wie z.B. ein sicher begrenztes Drehmoment, eine sicher begrenzte Drehzahl oder ein sicher begrenzter Positionsbereich, beinhalten nach Aufdeckung einer Fehlfunk tion als sichere Fehlerreaktion immer das Stillsetzen mit anschließender Abschal tung des Drehmoments bzw. der Kraft.

Eine komplexe Fehlerreaktion kann insbesondere das Erreichen einer sicheren Position in einer vorgegebenen Zeit sein. Ein Beispiel hierfür ist bspw. ein Pitch- Antrieb zur Verstellung des Rotorblattwinkels einer Windenergieanlage. Je nach Anwendungsfall können weitere mögliche Fehlerreaktionen die Aufrechterhaltung einer Antriebsdrehzahl oder die Reduzierung / Erhöhung einer Antriebsdrehzahl nach einer vorgegebenen Beschleunigungs- oder Bremsrampe bis zu einem vor gegebenen Zielwert sein.

Voraussetzung für das Durchführen einer komplexen Fehlerfunktion ist, dass trotz des kritischen Betriebszustands diese Fehlerreaktion durch das Steuerungsmo dul des Leistungsstellers noch zuverlässig angesteuert werden kann. Dies ist je doch nicht möglich, wenn das Steuerungsmodul selbst, bspw. aufgrund von Soft warefehlern in aufwendigen Zusatzfunktionen, nicht mehr ordnungsgemäß funk tioniert und bspw. die gesamte Prozessorleistung durch Ausführung einer - si cherheitstechnisch nicht wichtigen - Zusatzfunktion verbraucht wird. In der DE 102012 012 521 A1 wird eine programmierbare Steuerung für sicher heitskritische Anwendungen in einer Maschinenumgebung beschrieben. Es ist vorgesehen, dass die Funktion von sicherheitsrelevanten Programmkomponen ten nicht durch Fehler oder Abläufe von anderen Programmkomponenten beein flusst wird. Zur Ablaufsteuerung von Anwendungsprogrammen können unter schiedliche Kriterien herangezogen werden, beispielsweise kann die Ablaufsteu erung auf Basis eines Laufzeitsystems in Verbindung mit einem Betriebssystem erfolgen. Es erfolgt ein paralleler und unabhängiger Betrieb eines normalen und eines sicheren Programms auf Basis einer Laufzeitsystemstruktur, wobei vorge schlagen wird, alle für die Steuerung relevanten Komponenten auf einer Hard warekomponente mit einer spezifischen Hardwarearchitektur zu integrieren und mittels einer mindestens dual ausgebildeten Laufzeitsystemstruktur für zwei Lauf zeitsysteme voneinander zu trennen, um Änderungen an nicht sicherheitsrelevan ten Komponenten frei vornehmen zu können. Die Trennung kann insbesondere durch eine Priorisierung eines der Laufzeitsysteme erfolgen.

Aus der DE 102005007477 A1 ist eine programmierbare Steuerung zur Maschi nen- und/oder Anlagenautomatisierung mit einer Standard-Steuerung mit Stan dard-Steuerungsfunktionen und einer Sicherheits-Steuerung mit Sicherheitsfunk tionen auf Basis eines PC bekannt. Die Sicherheits-Steuerung besteht aus einem oder mehreren mit dem PC-Bus verbundenen Sicherheits-Modulen, und in den Sicherheits-Modulen ist eine sicherheitszertifizierte Firmware vorgesehen. So bietet die Steuerung eine Trennung zwischen der nicht sicherheitsgerichteten Standardfunktion und der Sicherheitsfunktion durch modulare Aufteilung inner halb des Steuergerätes. Die Standardfunktion unterliegt bei dieser Aufteilung kei nen sicherheitstechnisch begründeten Restriktionen und kann entsprechend komplex realisiert sein. Aufgabe der Erfindung ist es vor diesem Hintergrund, einen programmierbaren elektronischen Leistungsteller vorzusehen, mit dem auch in einem kritischen Be triebszustand noch komplexe Fehlerreaktionen durch das Steuerungsmodul zu verlässig abgearbeitet werden, um das System definiert in einen sicheren Still stand zu überführen.

Diese Aufgabe wird mit einem programmierbaren elektronischen Leistungssteller der eingangs genannten Art insbesondere dadurch gelöst, dass das Steuerungs modul des programmierbaren elektronischen Leistungsstellers eine Basissteue rung, eine Zusatzsteuerung und eine Steuerungstrennstelle aufweist. Insbeson dere kann das Steuerungsmodul aus diesen drei Bestandsteilen bestehen.

Die Basissteuerung ist dazu eingerichtet, die Leistungsmodul-Ansteuersignale auszugeben. Ferner sind in der Basissteuerung die bzw. vorzugsweise alle Funk tionen zur autarken Steuerung und Regelung des Aktuators implementiert, die für einen Notbetrieb in einem kritischen Betriebszustand notwendig sind. Damit ist die Basissteuerung derjenige Teil des Steuerungsmoduls, das den Aktuator an steuert (d.h. das Leistungsmodul-Ansteuersignale ausgibt). Das Leistungsmodul stellt sodann die für den Aktuator benötigte Leistung in Form eines Aktuator-Stell signals zur Verfügung. Das Aktuator-Stellsignal kann insbesondere ein Strom- und/oder Spannungssignal sein, mit dem der Aktuator, bspw. ein Drehstrommo tor, versorgt wird.

Die zur autarken Steuerung und Regelung des Aktuators implementierten Funk tionen umfassen insbesondere Anweisungen zur Umsetzung von (logischen) Stellbefehlen aus einer Steuerung und/oder Regelung in (maschinennahe) Leis tungsmodul-Ansteuersignale sowie die Steuer- und Regelalgorithmen für den Ak tuator sowie ggf. eine dafür benötigte Sensorik. Im Falle eines Pitch-Antriebs einer Windkraftanlage zur Drehverstellung eines der Rotorblätter an einer Rotornabe als einen bevorzugten Anwendungsfall kann der elektromechanische Aktuator insbesondere ein Drehstromantrieb (Drehstrommo tor) sein. In diesem Fall umfasst die Basissteuerung für die autarke Steuerung und Regelung des Drehstromantriebs insbesondere eine Messwerterfassung, ein Feldmodell (das bspw. der Zustandsbeschreibung des Aktuators oder des durch den Aktuator gesteuerten Systems meist auf Grundlage der erfassten Messwerte dient), eine Stromregelung, eine Modulation, eine Drehzahlregelung.

In der Zusatzsteuerung sind für den Notbetrieb in einem kritischen Betriebszu stand nicht benötigte Funktionen implementiert. Dazu können Funktionen zählen wie Auswertung von externen Sensoren, Generierung von kinematischen Bewe gungsprofilen oder Echtzeit-Kommunikation mit externen Systemen über (teils komplexe) Kommunikationsschnittstellen. Derartige Funktionen sind insbeson dere für eine Optimierung des Betriebs des durch den Aktuator angesteuerten Systems sinnvoll und wünschenswert, ohne allerdings sicherheitsrelevant zu sein. Weitere Zusatzfunktionen ermöglichen bspw. eine komfortable Diagnose, Parametrierung, Anwenderprogrammierung und Inbetriebnahme des program mierbaren elektronischen Leistungsstellers und führen zu einer Vereinfachung bei Instandhaltung und Wartung.

Als optionales Element kann der vorgeschlagene elektronische Leistungssteller daher erfindungsgemäß über eine Schnittstelle der Zusatzsteuerung mit einer ex ternen Steuerung verbunden bzw. verbindbar sein. Die Zusatzsteuerung kann er findungsgemäß dazu eingerichtet sein, Betriebsdaten von der Zusatzsteuerung an die externe Steuerung zu versenden und/oder Steuerungsdaten von der ex ternen Steuerung zu empfangen.

Die erfindungsgemäß vorgesehene Steuerungstrennstelle verbindet die Ba sissteuerung mit der Zusatzsteuerung über eine Steuerverbindung, die sowohl eine Steuerbindung von der Basissteuerung zu der Zusatzsteuerung als auch eine Steuerverbindung von der Zusatzsteuerung zur der Basissteuerung umfas sen kann. Die Steuerverbindung erlaubt im Normalbetrieb eine gemeinsame Nut zung der Basissteuerung und der Zusatzsteuerung, die miteinander Daten aus- tauschen können. Somit können im Normalbetrieb sowohl die Funktionen ausge führt werden, die (auch) im Notbetrieb benötigt und in der Basissteuerung umge setzt werden, als auch die Funktionen, die nur im Normalbetrieb ausgeführt wer den können und in der Zusatzsteuerung umgesetzt werden.

Für den Fehlerfall, d.h. bei Erkennen eines kritischen Betriebszustands durch das interne Überwachungsmodul, ist die Steuerungstrennstelle dazu eingerichtet, das Fehlersignal von dem internen Überwachungssignal zu erhalten und nach dessen Erhalt die Steuerverbindung zumindest teilweise zu trennen, etwa in eine Verbin dungsrichtung der Steuerverbindung von der Basissteuerung zu der Zusatzsteu erung oder in eine zweite Verbindungsrichtung der Steuerverbindung von der Zu satzsteuerung zu der Basissteuerung, vorzugsweise aber vollständig in beide Verbindungsrichtungen. Mit anderen Worten ist das Überwachungsmodul erfin dungsgemäß dazu eingerichtet, im Notbetrieb eine funktionale Trennung der Ba sissteuerung von der Zusatzsteuerung vorzunehmen, so dass eine externe Be einflussung der Basissteuerung durch die Zusatzsteuerung ausgeschlossen wer den kann.

Mit dem erfindungsgemäßen programmierbaren elektronischen Leistungssteller kann also ein auch erfindungsgemäßes Verfahren umgesetzt werden, mit dem eine sichere Aktuator-Steuerung in dem Steuerungsmodul realisiert wird, bei dem nach Aufdeckung einer Fehlfunktion in einen Notbetrieb mit einem reduzierten Funktionsumfang umgeschaltet wird, in dem die Basissteuerung ohne Beeinflus sung und/oder Zugriff durch eine Zusatzsteuerung autark eine komplexe Fehlerreaktion ausführt, bevor ein sicheres Stillsetzen des Aktuators wie im Stand der Technik üblich erfolgt. Erfindungsgemäß kann im Notbetrieb insbesondere auf das Ausführen einer Fehlerauswertung in der Software verzichtet werden. Eine solche Fehlerauswertung ist in der Regel aufwendig und dient insbesondere dem systematischen Aufdecken und Anzeigen von Fehlfunktionen, bevor ein kritischer Betriebszustand erreicht wird. So besteht die Möglichkeit, systematische Fehler durch Softwareupdates zu korrigieren und/oder dem Entstehen eines kritischen Betriebszustands im Vorfeld entgegenzuwirken. Nach dem Erreichen des kriti schen Betriebszustands steht das Ausführen einer komplexen Fehlerfunktion im Vordergrund. Daher kann eine (umfassende) Fehlerauswertung erfindungsge mäß in der Zusatzsteuerung implementiert sein und somit im Notbetrieb nicht zur Verfügung stehen.

Im Rahmen der Erfindung wurde erkannt, dass die Probleme im Notbetrieb ins besondere dann auftreten, wenn die Softwareteile für Basisfunktionen und Zu satzfunktionen auf demselben Mikrocontroller mit gemeinsam genutzten Res sourcen (CPU, Peripherie, Speicher) ausgeführt werden. Zur Vermeidung dieses Problems wurden die verschiedenen Teile der Steuerung in eine - in sich autarke - Basissteuerung und eine Zusatzsteuerung aufgeteilt, wobei eine zuverlässige Steuerungstrennstelle vorgesehen ist, um die beiden Teilsteuerungen zuverlässig voneinander zu separieren, insbesondere in einem kritischen Fehlerfall. Die in dieser Erfindung beschriebene Lösung realisiert den Notbetrieb mit reduziertem Funktionsumfang also durch Auftrennung der komplexen Steuerungshardware und -Software in eine Basissteuerung und eine Zusatzsteuerung durch ein unab hängiges Überwachungsmodul. Die Basissteuerung enthält ausschließlich die für den reduzierten Funktionsumfang des Notbetriebs benötigten Hardware- und Softwarekomponenten, die insgesamt eine deutlich geringere Komplexität bein halten als die der Zusatzsteuerung. Dies hat den Vorteil, dass sich die sicher heitstechnische Bewertung der Software der Aktuator-Steuerung (d.h. des Steu erungsmoduls) auf die Software der Basissteuerung beschränken kann und damit deutlich einfacher ist als die Bewertung der kompletten Steuerungssoftware. Das Trennen von Basissteuerung und Zusatzsteuerung kann in einer einfachen Ausgestaltung dadurch realisiert werden, dass zwischen den beiden Steuerungen eine vorzugsweise bidirektionale Schnittstelle realisiert ist, die eine Steuerverbin dung (im Sinne einer Kommunikationsverbindung) zwischen den beiden Steue- rungen ermöglicht, so dass Daten zwischen den beiden Steuerungen ausge tauscht werden können. In einem solchen Fall lässt sich das Trennen der Ba sissteuerung von der Zusatzsteuerung durch ein Unterbrechen der Kommunika tionsschnittstelle realisieren. In einer weiteren Ausführungsform, die alternativ oder zusätzlich realisiert sein kann, kann die Steuerungstrennstelle als Speicherschutzeinrichtung realisiert sein, welche dazu eingerichtet ist, festgelegte Speicherbereiche der Basissteue rung vor einer Beeinflussung durch die Zusatzsteuerung zu schützen. Dazu kann bspw. eine Zugriffsbeschränkung (bspw. eine Schreibbeschränkung, ggf. sogar in Verbindung mit einer Lesebeschränkung) für Zugriffe auf Speicherbereiche der Basissteuerung erfolgen. Auch hierdurch wird verhindert, dass ein softwaretech nisches Problem in der Zusatzsteuerung Auswirkungen auf die Basissteuerung hat. Dies wird auch als Trennen der Steuerverbindung zwischen Basissteuerung und Zusatzsteuerung verstanden.

In einer weiteren, alternativ oder zusätzlich realisierbaren Ausführungsform kann die Steuerungstrennstelle dazu eingerichtet sein, die Zusatzsteuerung bei Erhalt des Fehlersignals von dem internen Überwachungsmodul in einen Resetzustand zu versetzen und zu halten, bis der Notbetrieb beendet wird. Im Resetzustand entfaltet die Zusatzsteuerung keine Wirkung in dem Leistungssteller, so dass keine Beeinflussung der Basissteuerung durch die Zusatzsteuerung möglich ist. Auch hierdurch wird die Steuerverbindung zwischen Basissteuerung und Zusatz steuerung getrennt. io

Gemäß einer bevorzugten Ausgestaltung des erfindungsgemäß vorgeschlagenen Leistungsstellers kann das Steuerungsmodul mehrere Prozessoren aufweisen, wobei die Basissteuerung und die Zusatzsteuerung auf jeweils unterschiedlichen Prozessoren implementiert sind. Sowohl für die Basissteuerung als auch für die Zusatzsteuerung ist also jeweils mindestens ein eigener Prozessor vorgesehen. Somit kann die Trennung von Basissteuerung und Zusatzsteuerung auch hard wareseitig realisiert werden. Ggf. kann im Notfallbetrieb der Prozessor mit der Zusatzsteuerung heruntergefahren oder deaktiviert werden, um jeglichen Einfluss durch die Zusatzsteuerung auf die Ausführung der komplexen Fehlerreaktionen zu vermeiden und die Steuerverbindung zwischen Basissteuerung und Zusatz steuerung auf diese Weise zu trennen.

In einer ähnlichen Ausführungsform der Erfindung kann das Steuerungsmodul ei nen Multi-Kern-Prozessor aufweisen, wobei die Basissteuerung und die Zusatz steuerung auf jeweils mindestens einem unterschiedlichen Kern des Multi-Kern- Prozessors implementiert sind. Auch hierdurch wird hardwareseitig eine Tren nung der Steuerverbindung zwischen Basissteuerung und Zusatzsteuerung er reicht.

Als weiteres Sicherheitsmerkmal kann das Leistungsmodul erfindungsgemäß eine Leistungsmodultrennstelle aufweisen, welche zwischen dem Leistungsmo dul und einem Anschluss an den Aktuator angeordnet und dazu eingerichtet ist, das Fehlersignal von dem internen Überwachungsmodul zu erhalten und nach dessen Erhalt das Aktuator-Stellsignal nicht an den Anschluss des Aktuators (gleichbedeutend mit: nicht an den Aktuator oder mehrere Aktuatoren) weiterzu leiten. Dies entspricht etwa einer Notaus-Funktion, die den Anschluss an den Ak tuator ström- und spannungslos schaltet, d.h. den Aktuator instantan stillsetzt. In diesem Fall kann die erfindungsgemäß komplexe Fehlerreaktion nicht mehr aus geführt werden. Ein solcher Fall kann eventuell nach Ausfall von kritischen Hard warekomponenten auftreten, die einen Notbetrieb des Leistungsstellers nicht mehr erlauben. In diesem Fall kann es sinnvoll sein, elektromechanische Aktua toren unmittelbar stillzusetzen.

Das interne Überwachungsmodul kann in diesem Fall (quasi als zweite Rückfall- ebene der Fehlerbehandlung) also durch Aktivierung der Leistungsmo dultrennstelle mittels eines Fehlersignals an die Leistungsmodultrennstelle eine oder ggf. mehrere extern angeschlossene Komponenten von dem Leistungsstel ler trennen. So kann ein Leistungsfluss zwischen extern angeschlossenen Kom ponenten und dem Leistungssteller verhindert werden. Die mehreren Komponen- ten können ggf. unterschiedliche Aktuatoren sein, die unterschiedliche Stellvor gänge ausführen und durch den Leistungssteller separat oder gemeinsam an sprechbarsind. Mögliche Aktuatoren können Motoren, eine Betriebs-Haltebremse oder andere elektrisch betriebene Geräte sein. Eine Betriebs-Haltebremse kann bspw. so realisiert sein, dass diese eine Energieversorgung benötigt, um die Bremse zu öffnen, und bei Wegfall der Energieversorgung die Bremse schließt.

Andere an das Leistungsmodul angeschlossene Komponenten können eine Ener gieversorgung sein, bspw. eine Netzversorgung oder ein Energiespeicher. Das Aktivieren der Leistungsmodultrennstelle kann vorzugsweise auch die Energie- Versorgung von dem Leistungsmodul des Leistungsstellers trennen und damit sämtliche angeschlossene Aktuatoren stillsetzen.

Die Trennung der einzelnen Komponenten kann selektiv, in Gruppen oder ge meinsam erfolgen.

In einer besonders bevorzugten Ausführungsform der Erfindung kann an das in terne Überwachungsmodul ein interner Signalgeber, ein externer Signalgeber und/oder ein externes Überwachungsmodul angeschlossen sein, wobei der in terne Signalgeber, der externer Signalgeber und/oder das externe Überwa- chungsmodul dazu eingerichtet sind, Datensignale an das interne Überwa chungsmodul zu senden. Der interne und der externe Signalgeber können bspw. Messwertgeber mit Sensoren sein, die als Datensignal die Sensorsignale und/o der aus den Sensorsignalen abgeleitete Sensorwerte übermitteln. Das externe Überwachungsmodul kann ein eigenständiges Sicherheitsmodul zur Erkennung von Fehler- oder Gefahrensituationen sein, das autark gesammelte Informationen (Messwerte, Zustandswerte oder sonstige Daten) sammelt und bewertet. Als Da tensignal kann dann bspw. ein Fehlersignal an das interne Überwachungsmodul gesendet werden. Dieses Fehlersignal kann als Anforderungssignal an das in terne Überwachungsmodul verstanden werden, den programmierbaren elektroni sche Leistungssteller in einen Notbetrieb zu überführen, in dem erfindungsgemäß die Basissteuerung von der Zusatzsteuerung getrennt wird (Ausführen einer kom plexen Fehlerreaktion) und/oder das Leistungsmodul von angeschlossenen Aktu atoren, der Energieversorgung und/oder anderen angeschlossenen Leistungs komponenten zu trennen (Stillsetzen der Komponente, insbesondere im Sinne eines Notaus).

Ferner kann die Basissteuerung direkt an das interne Überwachungsmodul ange schlossen sein und Datensignale an das interne Überwachungsmodul senden. Eine Möglichkeit für ein solches Datensignal stellt ein Fehlersignal dar. Auch die ses Fehlersignal kann als Anforderungssignal an das interne Überwachungsmo dul verstanden werden, den programmierbaren elektronischen Leistungssteller in einen Notbetrieb zu überführen, bspw. wenn in der Basissteuerung ein Zustand der Basissteuerung und/oder (im Normalbetrieb auch) der Zusatzsteuerung er kannt wird, der kritisch ist und ggf. zu einem Ausfall von Basis- und/oder Zusatz steuerung führen könnte.

In Reaktion auf die Bewertung kann, sofern das interne Überwachungsmodul eine kritische Betriebssituation erkennt, das interne Überwachungsmodul ein Fehler- Signal oder mehrere Fehlersignale aussenden. Das Erkennen einer kritischen Be triebssituation kann bspw. durch Vergleich der empfangenen Datensignale mit zulässigen Bereichen ermittelt werden. Auch eine Kombination mehrerer Daten werte ist möglich, ggf. über algebraische Regeln, Methoden der Fuzzy-Logik oder mittels Künstlicher Intelligenz (Kl).

Dabei kann das interne Überwachungsmodul auch unterschiedliche Stufen von kritischen Betriebszuständen erkennen und, abhängig von der erkannten Stufe, unterschiedliche Fehlersignale aussenden. Verschiedene Möglichkeiten für Feh lersignale werden nachstehend erläutert. Alle diese Fehlersignale können einzeln oder in beliebiger Kombination ausgesendet werden, und zwar ggf. zusätzlich zu dem bereits beschriebenen Fehlersignal an die Steuerungstrennstelle.

In einer erfindungsgemäß vorteilhaften Ausführung kann das interne Überwa chungsmodul dazu eingerichtet sein, ein Fehlersignal (Neustart-Fehlersignal) an die Basissteuerung auszusenden, wobei die Basissteuerung bei Erhalten dieses Fehlersignals dazu eingerichtet ist, einen Neustart der Basissteuerung auszulö sen. Bei Ausfall des komplexen programmierbaren elektrischen Leistungsstellers während eines kritischen Systemzustands kann die Aktivierung des Notbetriebs also durch einen Software-Neustart der Aktuatorsteuerung erfolgen.

Gemäß einer bevorzugten Variante erfolgt der Neustart derart, dass das Steue rungsmodul nach dem Neustart durch das Neustart-Fehlersignal automatisch in einem Notbetrieb arbeitet, d.h. die Basissteuerung von der Zusatzsteuerung ge trennt ist. Vorzugsweise kann bei dem Neustart die gesamte Steuerung herunter gefahren und nur die Basissteuerung gestartet werden. Hierdurch kann der Neu start so schnell durchgeführt werden, wie dies die Sicherheits-Reaktionszeit des Systems erfordert. Die Software arbeitet nach dem Neustart automatisch im Not betrieb, in dem die nicht benötigten komplexen Zusatzfunktionen des program mierbaren elektrischen Leistungsstellers zuverlässig deaktiviert sind. Dadurch wird der potenziell gefährliche Einfluss von systematischen Software-Fehlern in den komplexen Zusatzfunktionen auf die Verfügbarkeit der für den Notbetrieb be nötigten Basisfunktionen eliminiert. Die Zusatzsteuerung kann bspw. in dem be reits beschriebenen Resetzustand gehalten werden, bis die kritische Betriebssi tuation nicht mehr besteht.

Ein besonderer Vorteil dieser erfindungsgemäßen Variante liegt darin, dass die Basissteuerung nach dem Schnell-Neustart in einem definierten Betriebszustand arbeitet und anstehende komplexe Fehlerreaktionen zuverlässig ausgeführt wer den können.

Gemäß einer weiteren Variante kann das interne Überwachungsmodul dazu ein gerichtet sein, ein Fehlersignal an die Basissteuerung auszusenden, wobei die Basissteuerung bei Erhalten dieses Fehlersignals (Vorwarn-Fehlersignal) dazu eingerichtet ist, einen Notbetrieb vorzubereiten. Dieses Vorwarn-Fehlersignal kann durch das interne Überwachungsmodul sehr zeitig ausgesendet werden, bspw. wenn in dem internen Überwachungsmodul ein Flinweis auf einen mögli chen kritischen Betriebszustand vorliegt, bspw. ohne dass dieser in dem internen Überwachungsmodul vollständig bestätigt ist. Ein solches Vorwarn-Fehlersignal kann bspw. in der Basissteuerung dazu verwendet werden, den Betriebszustand der Basissteuerung zu überprüfen, auf Anfrage der Zusatzsteuerung ausgeführte Funktionen abzubrechen und/oder ein Datensignal an das interne Überwa chungsmodul zu senden, dass ein Neustart der Basissteuerung sinnvoll oder not wendig ist. Durch ein solches Vorwarn-Fehlersignal kann ein geordneter Über gang in den Notbetrieb eingeleitet werden.

Erfindungsgemäß kann ein weiteres Fehlersignal an das externe Überwachungs modul gesendet werden, um das Eintreten eines kritischen Betriebszustandes bspw. an eine Leitstelle zur Alarmierung weiterzuleiten. Das externe Überwa chungsmodul kann auch das oder die internen Überwachungsmodul eines oder mehrerer weiterer in der gleichen Anlage installierten programmierbaren elektri schen Leistungssteller sein. Hierdurch wird eine Vernetzung verschiedener Leis tungssteller in derselben Anlage erreicht. Dies ist vorteilhaft, weil für einen ande ren Leistungssteller erkannte kritische Betriebssituationen, insbesondere von sie von Umgebungseinflüssen herrühren, häufig auch für die anderen Leistungsstel ler derselben Anlage gelten. Dies ist durch eine derartige Vernetzung schnell an lagenweit erkennbar.

Zusätzlich zu dem Fehlersignal nach Eintreten des kritischen Betriebszustands respektive dem Einleiten des Notbetriebs kann auch ein vorbeschriebenes Vor- warn-Fehlersignal an das externe Überwachungsmodul ausgesendet werden.

In einer besonders bevorzugten Ausführungsform kann ausschließlich die Ba sissteuerung dazu eingerichtet sein, Leistungsmodul-Ansteuersignale an das Leistungsmodul auszugeben und/oder andere (wesentliche) Funktionen des Steuerungsmoduls auszuführen. Damit werden wesentliche Funktionen der Ba sissteuerung, insbesondere die mit der direkten Ansteuerung des Aktuators in Verbindung stehenden Funktionen, sowohl im Normalbetrieb (d.h. mit aktiver Ba sissteuerung und Zusatzsteuerung) als auch im Notbetrieb (d.h. mit nur aktiver Basissteuerung und deaktiver / deaktivierter Zusatzsteuerung) ausschließlich durch die Basissteuerung gesteuert. Es ist somit davon auszugehen, dass diese Funktionen dann auch im Notbetrieb fehlerfrei ausgeführt werden. Mit anderen Worten ist zumindest ein Großteil der im Notbetrieb benötigten Funktionen auch im Normalbetrieb ständig in Betrieb bzw. in Benutzung. Diese Funktionen können daher als betriebsbewährt angesehen werden.

Um einen Notbetrieb auch wieder aufzuheben, wenn bspw. kein kritischer Be triebszustand mehr besteht, kann die interne Überwachungseinrichtung erfin dungsgemäß dazu eingerichtet sein, das Ende eines Notbetriebs zu erkennen und den programmierbaren elektronischen Leistungssteller aus dem Notbetrieb in einen Normalbetrieb zu überführen, insbesondere durch Deaktivieren der Steu erungstrennstelle und/oder der Leistungsmodultrennstelle.

Vorteilhafter Weise kann die interne Überwachungseinrichtung eine autarke Funktionseinheit des programmierbaren elektronischen Leistungsstellers sein, die unabhängig von dem Steuerungsmodul betreibbar ist. Das heißt mit anderen Worten, dass die interne Überwachungseinheit des Leistungsstellers in dieser Ausführungsform auch dann funktionsfähig ist, wenn weder das Steuerungsmo dul noch das Leistungsmodul aktiviert sind. Durch diese Autarkie von den übrigen Funktionseinheiten des Leistungsstellers wird eine zuverlässige Sicherheitsfunk tion erreicht. Das interne Überwachungsmodul kann auf diese Weise auch eine Watch-Dog-Funktion übernehmen und das Funktionieren insbesondere der Ba sissteuerung bspw. durch Abfrage bestimmter Statusdaten quasi-kontinuierlich überprüfen. In Falle eines Ausbleibens der Statusdaten kann das interne Über wachungsmodul einen Neustart des gesamten Steuerungsmoduls im Normalbe trieb oder einen Neustart nur der Basissteuerung im Notbetrieb anstoßen.

Die Erfindung bezieht sich auch auf eine besonders vorteilhafte Verwendung des vorgeschlagenen programmierbaren elektronischen Leistungsstellers zum An steuern eines Pitchsystems einer Windkraftanlage, mit dem die Drehstellung ei nes Rotorblatts oder mehrerer Rotorblätter in der Rotornabe eingestellt wird. Dies stellt eine besonders sicherheitsrelevante Anwendung dar, weil bspw. bei Sturm oder starken Windböen die Rotorblätter der Windkraftanlage in eine Fahnenstel lung überführt werden müssen, in der der an die Rotorblätter anströmende Wind nur eine geringe Kraft auf die Rotorblätter überträgt, um im schlimmsten Fall ein Abfallen der Rotorblätter von der Rotornahe der Windkraftanlage zu vermeiden.

Eine vorteilhafte Verwendung ist aber auch in anderen Anwendungsfällen sinn voll, bspw. zur Sicherung eines unterbrechungsfreien Betriebs von Aktuatoren in kritischen, bspw. chemischen, Produktionsprozessen, bei elektrischen Fahran trieben oder bei anderen Anwendungen, bei denen ein einfaches Abschalten von Aktuatoren (Notaus) zu besonders gefährlichen Situationen führen kann.

Weitere Vorteile, Merkmale und Anwendungsmöglichkeiten der Erfindung erge ben sich auch aus der nachfolgenden Beschreibung von Ausführungsbeispielen und der Zeichnung. Dabei gehören alle beschriebenen und/oder bildlich darge stellten Merkmale zusammen oder in beliebiger fachmännisch sinnvoller Kombi nation zum Gegenstand der Erfindung, auch unabhängig von ihrer Zusammen fassung in beschriebenen bzw. dargestellten Ausführungsbeispielen oder in den Ansprüchen.

Die einzige Figur 1 zeigt einen programmierbaren elektronischen Leistungssteller 200 in einer schematischen Darstellung dessen funktionaler Komponenten.

Der programmierbare elektronische Leistungssteller 200 umfasst ein Leistungs modul 10, das zur Energieversorgung über einen Leistungsanschluss 101 mit ei ner Netzversorgung 100 und/oder über einen Leistungsanschluss 91 - beispiels weise für einen Netzausfall - mit einem Energiespeicher 90 verbunden ist. Über ein Aktuator-Stellsignal 81 steuert das Leistungsmodul 10 einen an den Leis tungssteller 200 angeschlossenen Aktuator 80 an.

Das Leistungsmodul 10 wird durch ein Steuerungsmodul 20 über ein Leistungs- modul-Ansteuersignal 29 angesteuert. Zustandsdaten des Leistungsmoduls 10 werden über ein Feedback-Signal 15 an das Steuerungsmodul 20 zurückgemel det.

Um auch in kritischen Betriebssituationen noch komplexe Fehlerreaktionen durch das Steuerungsmodul 20 zuverlässig abarbeiten und das System definiert in ei- nen sicheren Stillstand überführen zu können, weist der programmierbare elekt ronische Leistungssteller 200 ein autark arbeitendes internes Überwachungsmo dul 30 auf, das dazu eingerichtet ist, einen kritischen Betriebszustand zu erken nen und zu bewerten.

Für die Bewertung erhält das interne Überwachungsmodul 30 Datensignale 41 eines internen Signalgebers 40. Der interne Signalgeber 40 kann insbesondere Sensoren beinhalten, die Zustandswerte, wie bspw. eine Temperatur, in dem Leistungssteller 200 erfassen und als Datensignale 41 an das interne Überwa chungsmodul 30 senden.

In ähnlicher Weise sind externe Sensoren eines externen, d.h. außerhalb des Leistungsstellers 200 angeschlossenen, Signalgebers 70 an das interne Überwa chungsmodul 30 angeschlossen und senden erfasste Zustandswerte über ein Da tensignal 71 an das interne Überwachungsmodul 30.

Ein weiteres Datensignal 51 erhält das interne Überwachungsmodul 30 von einem externen Überwachungsmodul 50, das bspw. äußere Umgebungseinflüsse auf das von dem Aktuator beeinflusste System erfassen und bewerten kann. Zeigen diese äußeren Umgebungseinflüsse einen Zustand an, der für das von dem Ak tuator 80 beeinflusste System gefährlich ist, sendet das externe Überwachungs modul 50 ein Datensignal 51, das als Anforderungssignal zu verstehen ist dafür, dass das interne Überwachungsmodul 30 einen gefährlichen Betriebszustand er kennt.

Die in dem internen Überwachungsmodul 30 eingehenden Datensignale 41 , 71 , 51 werden softwaretechnisch erfasst und bewertet. Erkennt das interne Überwa chungsmodul 30 einen kritischen Betriebszustand, versetzt es das Steuerungs modul 20 durch Aussenden eines Fehlersignals 31 in einen Notbetrieb. Der Notbetrieb des Steuerungsmoduls 20 soll, anders als eine reine Notaus-Funk- tion, noch eine komplexe Fehlerreaktion ausführen und auf den Aktuator 80 über das Leistungsmodul-Ansteuersignal 29 geeignet einwirken, um das System defi niert in einen sicheren Stillstand zu überführen. Regeln, wie diese komplexe Fehlerreaktion konkret aussehen soll, sind in das Steuerungsmodul 20 eingebbar, bspw. durch eine geeignete Programmierung bestimmter Verfahrensabläufe.

Weil komplexe Steuerungen mit vielfältigen Funktionen und insbesondere pro grammierbare Steuerungen anfällig für Softwarefehler bzw. Funktionsstörungen sind, andererseits aber sicherheitsrelevante Funktionen zuverlässig ausgeführt werden müssen, wird erfindungsgemäß eine Aufteilung der Steuerung in dem Steuerungsmodul 20 in eine Basissteuerung 21 und eine Zusatzsteuerung 23 vor geschlagen.

Die Basissteuerung 21 enthält die für den reduzierten Funktionsumfang des Not betriebs benötigen Flard- und Softwarekomponenten. Dazu zählt insbesondere der Anschluss für die Ausgabe des Leistungsmodul-Ansteuersignals 29 sowie An schlüsse für Datensignale 42, 72 von dem internen Signalgeber 40 und dem ex ternen Signalgeber 70. Die von diesen Signalgebern 40, 70 erfassten Sensor werte werden in der Regel auch bei der Abarbeitung der komplexen Fehlerreak tion benötigt.

Die Zusatzsteuerung 23 enthält zusätzliche, für den Notbetrieb nicht benötigte Funktionen, etwa zur Auswertung von externen Sensoren in einer externen Steu erung 60, zur Generierung von kinematischen Bewegungsprofilen und zur Echt zeit-Kommunikation mit externen Systemen (bspw. die externe Steuerung 60) über (komplexe) Kommunikationsschnittstellen. Die externe Steuerung 60 erhält ein Datensignal 26 mit Betriebsdaten der Steuerung (Empfangen von durch die Zusatzsteuerung 23 gesendeten Betriebsdaten) und sendet ein Datensignal 61 mit externen Steuerungsdaten (Senden von Daten durch die externe Steuerung 60, die von der Zusatzsteuerung 23 empfangen werden).

Weitere Zusatzfunktionen der Zusatzsteuerung 23 ermöglichen beispielsweise die komfortable Diagnose, Parametrierung, Anwenderprogrammierung und Inbe triebnahme des programmierbaren elektronischen Leistungsstellers 200.

Um Störungen bei der Ausführung von Funktionen der Basissteuerung 21 durch die Zusatzsteuerung 23 bspw. aufgrund von Softwarefehlern zu vermeiden, ohne dass die gesamte Software der Zusatzsteuerung einer aufwendigen Sicherheits überprüfung unterzogen werden muss, verfügt das Steuerungsmodul 200 über eine Steuerungstrennstelle 22, die in einer Steuerverbindung 24 von der Ba sissteuerung 21 zu der Zusatzsteuerung 23 und in der Steuerverbindung 25 von der Zusatzsteuerung 23 zu der Basissteuerung 21 angeordnet ist und zum Ein richten eines Notbetriebs durch ein Fehlersignal 31 von dem internen Überwa chungsmodul 30 aktivierbar ist. Durch Aktivierung der Steuerungstrennstelle 22 wird ein Zugriff der Zusatzsteuerung 23 auf die Basissteuerung 21 verhindert. Dies kann technisch auf vielfältige Weise realisiert werden, bspw. durch Verhin dern eines Speicherzugriffs auf die Basissteuerung 21 durch die Zusatzsteuerung 23, durch Versetzen der Zusatzsteuerung 23 in einen deaktivierten oder Reset- Zustand (d.h. quasi ein Herunterverfahren der Zusatzsteuerung 23), durch Tren nen einer Kommunikationsverbindung zwischen der Basissteuerung 21 und der Zusatzsteuerung 23, die bspw. auf separaten Prozessoren implementiert und über eine Kommunikationsverbindung miteinander verbunden sind, oder dgl. technisch geeignete Maßnahmen.

Dies ist eine sehr effektive Möglichkeit, die Funktionen des Steuerungsmoduls 20 auf die im Notbetrieb benötigten Funktionen zu beschränken und Fehler im Not betrieb durch komplexe Funktionen der Zusatzsteuerung 23 zu vermeiden. Das interne Überwachungsmodul 30 kann ferner ein Fehlersignal 32 an die Ba sissteuerung 21 senden, das in der Basissteuerung 21 einen Neustart der Ba sissteuerung 21 im Notbetrieb und vorzugsweise gleichzeitiger Deaktivierung der Zusatzsteuerung auslöst (Neustart-Fehlersignal). Technisch kann dies bspw. durch einen schnellen Shut-Down des gesamten Steuerungsmoduls 20 mit Ba sissteuerung 21 und Zusatzsteuerung 23 und einen selektiven Neustart der Ba sissteuerung 21 realisiert werden. Zusätzlich kann das interne Überwachungsmo dul 30, ggf. auch vorab, ein Fehlersignal 33 zur Vorankündigung eines Notbe triebs (Vorwarn-Fehlersignal). Dies ermöglicht der Basissteuerung 21 das Vorbe reiten des Notbetriebs.

Es kann auch vorgesehen sein, dass die Basissteuerung 21 , bspw. wenn diese einen instabilen Zustand der Zusatzsteuerung 23 und/oder der Basissteuerung 21 feststellt, ein Datensignal 28 mit dieser Information zur Auswertung an das interne Überwachungsmodul 30 übersendet, das diese Information bewertet und dann ggf. einen Notbetrieb in der beschriebenen Weise einleitet.

Je nach Art des durch das interne Überwachungsmodul 30 festgestellten Be triebsstands kann statt einer komplexen Fehlerreaktion zur kontrollierten Stillle gung des Aktuators 80 auch ein sofortiger Notaus des Aktuators 80 oder des ge samten Systems geboten sein. Dies kann das interne Überwachungsmodul 30 in einer bevorzugten Ausführung ohne Beteiligung der Basissteuerung 21 mittels eines Fehlersignal 34 an eine Leistungsmodultrennstelle 11 erreichen, die dazu eingerichtet ist, bei einer Aktivierung durch das Fehlersignal 34 selektiv be stimmte oder alle Leistungseingänge von einer Energieversorgung (Netzversor gung 100, Energiespeicher 90) sowie selektive bestimmte oder alle Leistungs ausgänge an einen oder mehrere Aktuatoren 80 (in der Figur ist zur Vereinfa chung nur ein Aktuator dargestellt) zu trennen. Hierdurch wird eine klassische Notaus-Funktion realisiert. Im Falle der Einleitung eines Notbetriebs und/oder zur Vorwarnung kann das in terne Überwachungsmodul 30 ein Fehlersignal 36 auch an das externe Überwa chungsmodul 50 senden, das bspw. ein Leitstand oder mit einem Leitstand ver bunden sein kann.

Bezugszeichenliste:

10 Leistungsmodul

11 Leistungsmodultrennstelle 15 Feedback-Signal

20 Steuerungsmodul

21 Basissteuerung

22 Steuerungstrennstelle

23 Zusatzsteuerung

24 Steuerverbindung von der Basissteuerung zur Zusatzsteuerung

25 Steuerverbindung von der Zusatzsteuerung zur Basissteuerung

26 Datensignal mit Betriebsdaten

28 Datensignal mit Betriebsdaten

29 Leistungsmodul-Ansteuersignal

30 internes Überwachungsmodul

31 Fehlersignal an die Steuerungstrennstelle

32 Fehlersignal an die Basissteuerung zum Neustart (Neustart-Fehlersignal)

33 Fehlersignal an die Basissteuerung zur Vorankündigung (Vorwarn-Fehler- signal)

34 Fehlersignal an die Leistungsmodultrennstelle

36 Fehlersignal an das externe Überwachungsmodul

40 interner Signalgeber

41 Datensignal

42 Datensignal externes Überwachungsmodul Datensignal externe Steuerungseinheit

Datensignal mit externen Steuerungsdaten externer Signalgeber

Datensignal

Datensignal elektromechanischer Aktuator

Aktuator-Stellsignal

Energiespeicher

Leistungsanschluss

Netzversorgung

Leitungsanschluss programmierbarer elektronischer Leistungssteller