Frequenzumrichter in Aufzugsanlagen

Wenn man die Erfahrungen der letzten 20 Jahre betrachtet, dann waren es vor allem mechanische Gefahren, die sich im Aufzug negativ ausgewirkt haben. Dabei bestehen die mechanischen Gefährdungen in der Regel nur bei sich bewegender Kabine und somit im Fahrbetrieb des Frequenzumrichters.

Frequenzumrichter hatten in der Anfangszeit, als noch einfachste Industrieumrichter für die Bestromung des Aufzugsmotors verwendet wurden, einen eher negativen Ruf. Viele Störungen oder kleinere Unfälle ließen sich darauf zurückführen, dass Umrichter durch EMV-Empfindlichkeit, Software-Fehlfunktionen oder Hardware-Defekte unkontrollierte Bewegungen des Aufzugs verursachten.

Konsequent hat man Überwachungen geschaffen, die nur das Abschalten des Einflusses des Frequenzumrichters auf den Motor zur Folge haben. Maßgeschneiderte Aufzugsregelgeräte, die auf der Basis der ursprünglichen Frequenzumrichter aus dem Industrieeinsatz entstanden sind, wurden dann aber schon in den 90er Jahren, durch Integration der abschaltenden Elemente, der Schütze, weiterentwickelt, um Fehlerquellen bei der Montage und Inbetriebnahme zu reduzieren.

Anforderungen aus den sich weiter entwickelnden Normen wird man immer gerne durch bestehende Geräte lösen, um nicht neue Kosten zu verursachen. So wurde zunächst die unkontrollierte Fahrkorbbewegung nach oben durch speziell zertifizierte Bremsen am Antrieb gelöst, um auf Zusatzkosten bei Bremsen zu verzichten. Das war überraschend, da auch Bremsen zu den Verursachern dieser Bewegung gehören können.

Die neuere Anforderung des Schutzes gegen unbeabsichtigte Bewegung wird auch teilweise über die Bremsenzertifizierung erfüllt. Es kommen aber noch zusätzliche Aufgaben dazu. Die Bewegung muss detektiert werden. Dabei war anfangs klar, dass der Frequenzumrichter als denkbarer Auslöser für die Bewegung nicht auch der Detektor sein sollte. Mittlerweile hat sich selbst das gewandelt. Zumindest hat man einige zusätzliche Funktionen integriert, die bei allen Aufgaben, die zum System der neuen Sicherheitsfunktion gehören, unterstützen.

Nachdem in den 90er Jahren die Fehleranfälligkeit von Frequenzumrichtern als Störquelle ausgeräumt war, hat die Entwicklung triebwerksraumloser Aufzüge neue mögliche Gefährdungen geschaffen. Eine Besonderheit der seitdem aufkommenden Antriebsart, der magneterregten getriebelosen Synchronmaschinen, ist das Gebersystem. Um die optimale Bestromung des Motors zu gewährleisten, ist es erforderlich, auch die Winkellage des Rotors zu kennen und nicht mehr nur die Drehzahl. Wenn das Regelgerät falsche Informationen über die Winkelposition des Rotors und damit der drehmomentbildenden Magnetpole erhält, kann es zu Drehmomentreduzierung bis hin zur Drehmomentlosigkeit kommen, aber ebenso auch zu einer dramatischen Beschleunigung in eine beliebige Richtung.

Die Reaktionen der auch diesmal wieder eher aus der Industrie bezogenen Frequenzumrichter waren dabei meist nicht vorhersagbar. Auf jeden Fall wurde zu wenig unternommen, um diese plötzlich eintretenden Gefahren zu unterbinden. Aufzugsregler wie der Zetadyn 2SY von Ziehl-Abegg wurden natürlich von Anfang an daran angepasst und stellten die sichere Funktion auch bei gestörter Geberposition her.

Dennoch scheint es bis heute Umrichterhersteller zu geben, die das Risiko ignorieren und so mit dazu beigetragen haben, dass es wieder Sicherheitseinrichtungen im Aufzug gibt, die dem entgegen wirken sollen: Die Funktion gegen unbeabsichtigte Fahrkorbbewegung bei geöffneter Fahrkorbtür – eine Funktion, die zumindest nach Überzeugung bei Ziehl-Abegg normalerweise unnötig gewesen wäre oder nur auf die Betrachtung des Halte-Bremsenausfalls reduziert gewesen wäre. Im Aufzugsbau ist eine neue Diskussion entbrannt, die sich wirklich um elektrische Sicherheit im Aufzug dreht. Es wurde insbesondere vom TÜV-Nord in Frage gestellt, ob die übliche Praxis, den Leistungskreis des Aufzugs nicht durch FI-Schalter zu schützen, normgerecht und ausreichend ist. Es steht eindeutig fest, dass der Schutz des Aufzugsbenutzers gegen jede Gefährdung an oberster Stelle steht.

Elektrischer Schlag ist das Risiko, das am wenigsten vom Benutzer erwartet wird. Somit muss man dieses restlos ausschließen. Andererseits sind der Antrieb und der Frequenzumrichter relativ weit vom Benutzer entfernt und durch das Erdungssystem an allen metallenen Elementen des Aufzugs auch sicher von der Gefahrenquelle abgesetzt. Kontakt kann nur zu Steuerungskomponenten über die Drücker entstehen. Deshalb ist hier immer der klassische FI-Schalter mit 30mA im Einsatz. Dazu kommt, dass praktisch alle Frequenzumrichter Funktionen zum Schutz der Endstufe des Wechselrichters enthalten. Diese sollen ursprünglich beim Kurzschluss der Leistungsausgänge die Zerstörung der Endstufe verhindern.

Die Normen widersprechen dem Schutz gegen indirekte Berührung durch die Frequenzumrichter-Endstufe in einem Punkt: Halbleiter-Schalter sind als Trenner nicht zugelassen. Wenn man diesen Punkt durch eine entsprechende Risikobetrachtung entkräften könnte, so ist durch eine Baumusterprüfung oder sogar eine Herstellererklärung denkbar, dass der teure allstromsensitive RCD verzichtbar wird.

Einige Frequenzumrichterhersteller, wie auch Ziehl-Abegg, haben sich dieses Themas bereits angenommen und die verschiedenen Aspekte untersucht. Wie so oft sind technische Forderungen nicht immer vereinbar. Die Standby-Funktion wird aus Gründen der Energie­ersparnis immer wichtiger. Ein besonders wichtiger Teil der Standby-Funktion von Frequenzumrichtern enthält das Abschalten des Zwischenkreises. Da Zwischenkreise nicht einfach hart eingeschaltet werden dürfen, ist es Stand der Technik, einen Vorwiderstand durch ein Laderelais zu schalten. Während der Zeit des Einschaltens erhöht sich durch den Vorladewiderstand die Impedanz deutlich.

So besteht bei einem Berühren der Umrichterausgänge in Richtung Netz kein Kurzschluss mit niedriger Impedanz und die ganze Sicherheitsbetrachtung der Endstufe ist aufgehoben. Das Vorladen findet bei jedem Einschalten eines Spannungszwischenkreis-Frequenzumrichters statt. Bei einer Standby-Funktion würde diese Situation allerdings entsprechend häufig auftreten. Nur wenn solche kurzzeitigen Gefährdungen als vernachlässigbar anerkannt würden, könnte man wirklich den Selbstschutz der Endstufe als eine Alternative zu allstromsensitiven RCDs einsetzen. Allstromsensitive RCDs sind bekanntlich erforderlich, da Frequenzumrichter nicht reine Wechselströme aus dem Netz beziehen und der Gleichanteil das Auslösen eines RCDs sonst verhindern würde.

Ziehl-Abegg sieht in dieser Frage hohen Klärungsbedarf durch die entsprechenden Normungsgremien. Dennoch konnte nach ausführlicher Untersuchung bei Zetadyn-Umrichtern bestätigt werden, dass erforderliche Abschaltzeiten und maximal zulässige Spannungen alle Kriterien erfüllen.

Im Geltungsbereich der Maschinenrichtlinie sind schon vor längerer Zeit andere Standards gesetzt worden, um die Bestromung eines Antriebs sicher zu verhindern und dadurch auch angetriebene Bewegungen. Die Norm EN 61800-5-2 verwendet dafür die Bezeichnung STO (Safe Torque Off). Die STO-Funktion der allgemeinen Industrie ist sicher und zuverlässig. Bei der Umsetzung in den Aufzugsbau muss aber immer auch an spezifische Gegebenheiten gedacht werden, um wirklich das gleiche Sicherheitsniveau zu erreichen.

Durch Baumusterprüfung und ein sorgfältig erarbeitetes sicheres Konzept kann man die Trennung des Energieflusses nach EN81-1 auch elektronisch und ohne laute und große mechanische Schütze realisieren. Das Ziel ist, einen Fehlerausschluss zu erreichen, das heißt, wenn die Steuerung anfordert, dass der Energiefluss zum Motor unterbrochen wird, muss das in jedem Fall auch passieren. Eine sichere Rückmeldung über den Erfolg der Maßnahme ist somit nicht mal erforderlich.

Um das Ziel zu erreichen, werden aktuelle Normen angewendet. Fehlermöglichkeiten werden mit dem Mittel der FMEA untersucht und durch bewährte Maßnahmen beseitigt. In der Grafik unten links wird eine reine Hardwarelösung vorgestellt. Die Abschaltung des Drehfeldes erfolgt in der Endstufe durch getrennte Abschaltung der sogenannten oberen und unteren IGBTs. Eine zusätzliche Hardwareschaltung dient als Diagnose. Sollten ein STO-Kanal oder beide Kanäle nicht mehr reagieren, wird das festgestellt. Ebenso wird auch erkannt, wenn die Diagnose nicht mehr funktioniert. Prinzipiell erwartet der Umrichter auf beiden STO-Eingängen gleiche Signale, sonst liegt ein Fehler vor.
Drehmoment kann nur erzeugt werden, wenn beide Eingänge aktiv sind:

• Eingänge STO-A und STO-B werden in Abhängigkeit vom Sicherheitskreis aktiviert
• Ersetzen der Motorschütze durch zwei Kleinrelais

Für Aufzugsregelgeräte empfiehlt Ziehl-Abegg die zweikanalige Umsetzung durch Hardwarezweige, die getrennt die oberen und die unteren Transistoren des Wechselrichters abschalten. Sogenannte Common-Cause-Fehler werden ausgeschlossen durch zusätzliche Maßnahmen. Die Auswertung der Eingänge ist 3-Fehler sicher, da eine zusätzliche Diagnoseeinheit beide Schaltwege überwacht.

Das Risiko liegt nun noch in der Verlegung der Signalleitungen. Eine einkanalige Lösung ist hier deutlich anfälliger für eine Beschädigung der Signalleitung als eine zweikanalige. Insbesondere sollten die beiden STO-Eingänge durch zwei getrennte Leitungen angesteuert werden. Dann ist auch in der Verlegung der Leitungen das Risiko extrem minimiert.

Bei aktiver Funktion STO kann es möglich (jedoch fast unwahrscheinlich) sein, dass zwei oder mehr Leistungsschalter des IGBTs gleichzeitig fehlerhaft sind und durchsteuern. Dann ist immer noch sichergestellt, dass es kein Drehfeld gibt, das eine längerdauernde Bewegung verursachen könnte. Allerdings kann es zu einer ruckartigen Ausrichtbewegung kommen.

Beim typischen Seilaufzug mit Maschinenraum und einer Schneckengetriebe-Maschine ergeben sich schlechte Wirkungsgrade und somit ein hoher Energieverbrauch. Der Wirkungsgrad ist auch Schuld daran, dass solche Maschinen relativ groß gebaut werden, da sonst die Erwärmung zu erhöhtem Verschleiß und kurzer Lebensdauer führt. Triebwerksraumlose Aufzüge haben keinen Platz für solche Maschinen. Die Antriebe müssen kompakt sein und dementsprechend energiesparend. Der Zusammenhang ist uns oft gar nicht bewusst, da man immer nur an das generelle Verlangen nach Energieeinsparung denkt.

Der relativ schlechte Wirkungsgrad des Schneckengetriebes bringt aber auch Sicherheit. Wenn man die mechanische Bremse öffnet, ohne den Antrieb zu bestromen, so bewegt sich aufgrund der Reibung im Getriebe die Kabine nur langsam aus ihrer Position. Ganz anders ist es schon seit dem ersten Einsatz von Planetengetrieben und nun erst recht bei getriebelosen Antrieben. Praktisch reibungslos und ungehemmt bewegt sich die Kabine weg. Das ist ein Risiko gerade bei Notevakuierungen.

Konsequent wurde die Eigenschaft der magneterregten Synchronmotoren verwendet, dass ein drehzahlabhängiges Bremsmoment bei elektrischem Kurzschluss der Motorwicklungsenden entsteht. Dabei ist es entscheidend, ob der Motorhersteller ausreichend viel und besonders hochkoerzitives Magnetmaterial einsetzt. Nicht alle Hersteller erreichen das gleiche Qualitätsniveau und raten deshalb von dieser Lösung ab. Es gibt drei Möglichkeiten, diese Schaltung einzusetzen, um die Sicherheit bei der manuellen Notbefreiung zu erhöhen:

• Mindestens eines der zwei Schütze zur Unterbrechung des Energieflusses zwischen Umrichter und Motor hat zwei Öffner-Kontakte. Durch die Öffner-Kontakte wird bei stromlosem Abfall des Schützes der Wicklungskurzschluss realisiert.
• Der Umrichter hat eine STO-Funktion zur Unterbrechung des Energieflusses, aber der Kurzschluss des Motors muss über ein zusätzliches Schütz gelöst werden.
• Der Umrichter hat eine STO-Funktion und eine elektronische Kurzschlussschaltung.

Solange noch ein Kurzschlussschütz in der Steuerung benötigt wird, ergeben sich einige Nachteile. Die elektronische Kurzschlussschaltung kombiniert Sicherheit, Kompaktheit und geringen Verdrahtungsaufwand.