Installationshandbuch - Fritz Kübler GmbH Zähl- und Sensortechnik

Installationshandbuch 


für 

Safety-M Module 

Die Safety-M Module und die Feldbus-Erweiterungsmodule (BM) werden als Katalog-Produkte 

geführt. Alle weiteren Produkte mit der Bezeichnung "SMX" sind keine Katalog-Produkte, 

können jedoch auf Anfrage geliefert werden. 

R60372.0001 | Installationshandbuch Safety-M (Deutsch) Seite 1 von 207 

Version: 24F - HB-37350-810-01-24F-DE


Installationsanleitung für Geräte SMX 10, Safety-MS1, Safety-MSP1, Safety-MS2, Safety-MSP2, 

SMX 12 A der Safety-M Baureihe und deren Erweiterungsbaugruppen SMX 31, SMX 33, SMX 4x und 

Kommunikationsbaugruppen BMx (vgl. Abschnitt 3.). 

Hinweis: 

Die deutsche Version ist die Originalausführung der Installationsanleitung. 

Stand: 05/2011 

Gültig ab FW-Release 2.0.2.46 

Technische Änderungen vorbehalten. 

Der Inhalt unserer Dokumentation wurde mit größter Sorgfalt zusammengestellt und entspricht 

unserem derzeitigen Informationsstand. 

Dennoch weisen wir darauf hin, dass die Aktualisierung dieses Dokuments nicht immer zeitgleich 

mit der technischen Weiterentwicklung unserer Produkte durchgeführt werden kann. 

Informationen und Spezifikationen können jederzeit geändert werden. Bitte informieren Sie 

sich unter www.kuebler.com/sicherheit über die aktuelle Version. 


Version: 24F - HB-37350-810-01-24F-DE


Inhalt 

1 WICHTIGE HINWEISE ........................................................................................... 7 

1.1 Begriffsbestimmungen ........................................................................................................................... 7 

1.2 Mit geltende Dokumente ........................................................................................................................ 8 

1.3 Verwendete Abkürzungen ...................................................................................................................... 8 

2 SICHERHEITSHINWEISE .................................................................................... 10 

2.1 Bestimmungsgemäße Verwendung ...................................................................................................... 10 

Vgl. Anhang EG-Konformitätserklärung ............................................................................................................. 10 

2.2 Verwendung in Regionen mit UL/CSA-Anforderung.............................................................................. 10 

2.3 Allgemeine Sicherheitshinweise ........................................................................................................... 11 

2.4 Betrieb und Service............................................................................................................................... 12 

2.5 Transport/Einlagerung .......................................................................................................................... 12 

3 GERÄTETYPEN ................................................................................................... 12 

3.1 Baugruppenübersicht (Safety-M) .......................................................................................................... 13 

3.2 Gerätekenndaten ................................................................................................................................. 14 

3.2.1 Basisbaugruppen .................................................................................................................. 14 

3.2.1.1 Variante auf Anfrage verfügbar (SMX10) ......................................................................... 14 

3.2.1.2 Safety-MS1 ....................................................................................................................... 16 

3.2.1.3 Safety-MSP1 ..................................................................................................................... 18 

3.2.1.4 Safety-MS2 ....................................................................................................................... 20 

3.2.1.5 Variante auf Anfrage verfügbar (SMX12A) ....................................................................... 22 

3.2.1.6 Safety-MSP2 ..................................................................................................................... 24 

3.2.2 Erweiterungsbaugruppen ..................................................................................................... 26 

3.2.2.1 Variante auf Anfrage verfügbar (SMX31) ......................................................................... 26 

3.2.3 Kommunikationsbaugruppen ................................................................................................ 28 

3.2.3.1 SMX51 .............................................................................................................................. 28 

3.3 Kennzeichnung ..................................................................................................................................... 30 

Lieferumfang ..................................................................................................................................................... 31 

4 SICHERHEITSTECHNISCHE MERKMALE ......................................................... 32 

4.1 Allgemeiner Aufbau, sicherheitstechnische Architektur und Kenndaten .............................................. 32 

4.2 Sicherheitstechnische Kenndaten und Beschaltung für angeschlossene Sensorik ................................. 34 

4.2.1 Digitale Sensoren: ................................................................................................................ 34 

4.2.1.1 Charakteristik der Sensoren / Eingangselemente ............................................................ 34 

4.2.1.2 DC digitale Sensoren/Eingänge ....................................................................................... 35 

4.2.1.3 Klassifizierung der Digitalen Eingänge ............................................................................. 38 

4.2.1.4 Anschlussbeispiele digitale Sensoren .............................................................................. 40 

4.2.1.5 Übersicht erreichbarer Pl für digitale Sicherheitseingänge .............................................. 46 

4.2.2 Sensoren für Geschwindigkeits- und/oder Positionserfassung ............................................ 48 

4.2.2.1 Allgemeiner sicherheitstechnischer Aufbau Sensorinterface für Position und/oder 

Geschwindigkeit ............................................................................................................................... 48 

4.2.2.2 Allgemeine Diagnosemaßnahmen für Encoderinterface .................................................. 49 

4.2.2.3 Encodertypen und deren Kombinationen, Diagnosekenndaten ....................................... 50 

4.2.2.4 Spezifische Diagnosemaßnahmen in Bezug auf verwendeten Encodertyp .................... 54 

4.2.2.5 Sicherheitsgerichtete Abschaltschwellen Encodersysteme für Positions- und 

Geschwindigkeitserfassung .............................................................................................................. 55 

4.2.2.6 Sicherheitstechnische Bewertung der Encodertypen bzw. deren Kombination ............... 58 

4.2.3 Analogsensoren .................................................................................................................... 60 

4.2.3.1 Anschlussbeispiel analoge Sensoren ............................................................................... 61 

4.3 Sicherheitstechnische Kenndaten und Beschaltung der Ausgänge ........................................................ 62 

4.3.1 Charakteristik der Ausgangselemente ................................................................................. 62 

4.3.2 Diagnosen im Abschaltkreis ................................................................................................. 63 

4.3.2.1 Diagnosefunktionen .......................................................................................................... 63 

4.3.2.2 Übersicht DC in Bezug auf gewählte Diagnosefunktionen ............................................... 64 


Version: 24F - HB-37350-810-01-24F-DE


4.3.3 Basisausgänge ..................................................................................................................... 65 

4.3.3.1 Beschaltungsbeispiele Basisausgänge ............................................................................ 67 

4.3.4 Konfigurierbare I/O als Ausgänge ........................................................................................ 74 

4.3.4.1 Klassifizierung der I/O bei Verwendung als Ausgang ...................................................... 74 

4.3.4.2 Beschaltungsbeispiele für Ausgänge Erweiterungsbaugruppe ........................................ 74 

4.3.4.3 Übersicht erreichbarer Pl für digitale Sicherheitsausgänge ............................................. 79 

5 ANSCHLUSS UND INSTALLATION .................................................................... 81 

5.1 Allgemeine Installationshinweise ......................................................................................................... 81 

5.2 Einbau und Montage Safety-M Baugruppe ........................................................................................... 83 

5.3 Montage Rückwandbus ........................................................................................................................ 83 

5.3.1 Anordnungsbeispiele ............................................................................................................ 84 

5.3.1.1 Safety-MS1 + Safety-MS1 + Safety-MS1 + BMx/SMX51 ................................................. 84 

5.3.1.2 Safety-MS2 + Safety-MS1 + BMx/SMX5x ........................................................................ 84 

5.4 Montage der Baugruppen ..................................................................................................................... 85 

5.4.1 Montage auf C-Schiene ........................................................................................................ 85 

5.4.2 Montage auf Rückwandbus .................................................................................................. 86 

5.5 Installation und Konfiguration I/O-Erweiterung SMX31 ........................................................................ 87 

5.5.1 Anmeldung SMX31 an Basisbaugruppe .............................................................................. 87 

5.5.2 Physikalische Adresskonfiguration SMX31 .......................................................................... 88 

5.5.3 Konfiguration der I/O-Belegung SMX31 ............................................................................... 88 

5.5.4 Logische Adresskonfiguration SMX31 ................................................................................. 88 

5.6 Klemmenbelegung ................................................................................................................................ 90 

5.6.1 Klemmenbelegung SMX 10 .................................................................................................. 90 

5.6.2 Klemmenbelegung Safety-MS1 ............................................................................................ 90 

5.6.3 Klemmenbelegung Safety-MSP1 ......................................................................................... 91 

5.6.4 Klemmenbelegung Safety-MS2 ............................................................................................ 92 

5.6.5 Klemmenbelegung SMX12 A ............................................................................................... 92 

5.6.6 Klemmenbelegung Safety-MSP2 ......................................................................................... 93 

5.6.7 Klemmenbelegung SMX 31 .................................................................................................. 94 

5.6.8 Klemmenbelegung SMX51 ................................................................................................... 94 

5.7 Externe 24 VDC – Spannungsversorgung ............................................................................................... 95 

5.8 Anschluss der externen Geberversorgung ............................................................................................ 96 

5.8.1 Inkremental, HTL, SIN/COS, SSI ......................................................................................... 96 

5.8.2 Resolver ................................................................................................................................ 97 

5.9 Anschluss der Digitaleingänge .............................................................................................................. 98 

5.10 Anschluss Analogeingänge .................................................................................................................... 99 

5.11 Anschluss der Positions- und Geschwindigkeitssensoren .................................................................... 100 

5.11.1 Allgemeine Hinweise .......................................................................................................... 100 

5.11.2 Belegung der Encoderinterface .......................................................................................... 102 

5.11.3 Anschlussvarianten ............................................................................................................ 103 

5.11.3.1 Anschluss eines Absolutencoders als Master ............................................................ 103 

5.11.3.2 Anschluss eines Absolutencoders als Slave .............................................................. 104 

5.11.3.3 Anschluss eines Inkrementalencoders mit TTL-Signalpegel ..................................... 105 

5.11.3.4 Anschluss eines SIN/COS-Gebers ............................................................................. 106 

5.11.3.5 Anschluss eines Resolver als Master ......................................................................... 107 

5.11.3.6 Anschluss eines Resolvers als Slave ......................................................................... 108 

5.11.3.7 Anschluss Näherungsschalter Safety-MS1/Safety-MS2 ............................................ 109 

5.11.3.8 Anschluss HTL/Näherungsschalter Safety-MSP1/Safety-MSP2 ............................... 110 

5.12 Konfiguration der Messstrecken ......................................................................................................... 112 

5.12.1 Allgemeine Beschreibung der Geberkonfiguration ............................................................. 112 

5.12.2 Sensortyp ............................................................................................................................ 112 

5.12.2.1 Absolutencoder: .......................................................................................................... 112 

5.12.2.2 Inkrementalgeber: ....................................................................................................... 115 

5.12.2.3 SinusCosinus Geber – Standard Mode ...................................................................... 115 

5.12.2.4 SinusCosinus Geber – High Resolution Mode: .......................................................... 115 

5.12.2.5 Proxi - Switch .............................................................................................................. 116 

5.12.2.6 Erweiterte Überwachung Proxi – Switch / Proxi - Switch .......................................... 117 


Version: 24F - HB-37350-810-01-24F-DE


5.12.2.7 HTL - Sensor .............................................................................................................. 118 

5.12.2.8 Resolver ...................................................................................................................... 118 

6 REAKTIONSZEITEN DER SAFETY-M .............................................................. 119 

6.1 Reaktionszeiten im Standardbetrieb................................................................................................... 119 

6.2 Reaktionszeiten für FAST_CHANNEL ................................................................................................... 120 

6.3 Reaktionszeiten für Fehlerdistanzüberwachung ................................................................................. 121 

6.4 Reaktionszeiten bei Verwendung der SMX 31 .................................................................................... 123 

7 INBETRIEBNAHME............................................................................................ 125 

7.1 Vorgehensweise ................................................................................................................................. 125 

7.2 Einschaltsequenzen ............................................................................................................................ 125 

7.3 LED Anzeige ........................................................................................................................................ 126 

7.4 Parametrierung .................................................................................................................................. 127 

7.5 Funktionsprüfung ............................................................................................................................... 127 

7.6 Validierung ......................................................................................................................................... 127 

7.7 Die Funktion DEM (Dynamic Encoding Muting): ................................................................................ 127 

8 SICHERHEITSTECHNISCHE PRÜFUNG .......................................................... 129 

9 WARTUNG ......................................................................................................... 131 

9.1 Modifikation / Umgang mit Änderungen am Gerät ............................................................................ 131 

9.2 Tausch einer Baugruppe ..................................................................................................................... 131 

9.3 Wartungsintervalle ............................................................................................................................. 131 

10 TECHNISCHE DATEN .................................................................................... 132 

10.1 Umweltbedingungen .......................................................................................................................... 132 

10.2 Sicherheitstechnische Kenndaten ....................................................................................................... 132 

11 FEHLERARTEN SAFETY-M ........................................................................... 133 

11.1 Fehleranzeige ..................................................................................................................................... 133 

11.1.1 Safety-M.. ohne Erweiterungsbaugruppen ......................................................................... 133 

11.1.2 Safety-M.. mit Erweiterungsbaugruppen ............................................................................ 133 

11.2 Alarm Liste Safety-M .......................................................................................................................... 134 

11.3 Fatal Error Liste Safety-M ................................................................................................................... 158 

12 ENCODERTYPEN ........................................................................................... 170 

13 SCHALTERTYPEN ......................................................................................... 174 

14 HINWEISE FÜR ENTWURF, PROGRAMMIEREN, VALIDIEREN UND TESTEN 

VON SICHERHEITSTECHNISCHEN APPLIKATIONEN .......................................... 180 

14.1 Risikobetrachtung............................................................................................................................... 180 

14.2 Erforderliche technische Unterlagen ................................................................................................... 182 

14.3 Erforderliche Schritte zu Entwurf, Realisierung und Prüfung .............................................................. 183 

14.3.1 Spezifikation der Sicherheitsanforderungen (Gliederungsschema) ................................... 185 

14.3.2 Spezifikation des funktionalen Sicherheitssystems ............................................................ 188 

14.3.2.1 Definition der Sicherheitsfunktionen ........................................................................... 188 

14.3.2.2 Erforderlicher Performance Level (PLr) (zusätzlich Not-Halt) .................................... 188 

14.3.2.3 Beispiel – Spezifikation der Sicherheitsfunktionen in Tabellenform ........................... 189 

14.3.3 Softwarespezifikation .......................................................................................................... 190 

14.3.4 Hardwarespezifikation ........................................................................................................ 192 

14.3.4.1 Auswahl SRP/CS und Betriebsmittel .......................................................................... 192 

14.3.4.2 Beispiel für Vorgabe HW ............................................................................................ 193 

14.3.4.3 Betrachtung von systematischen Ausfällen ................................................................ 194 

14.3.5 Hard- und Softwaredesign .................................................................................................. 195 

14.3.6 Prüfung des HW-Designs ................................................................................................... 195 

14.3.6.1 Iterative Überprüfung des erreichten Sicherheitsniveaus .......................................... 195 

14.3.7 Verifikation Software (Programm) und Parameter ............................................................. 199 

14.3.7.1 Überprüfung FUP........................................................................................................ 199 

14.3.7.2 Validieren FUP gegen AWL und Parameter mittels Validierungsreport ..................... 201 

14.3.8 Durchführung der Systemtests / FIT (fault injection test) ................................................... 204 

ANHANG ................................................................................................................... 205 


Version: 24F - HB-37350-810-01-24F-DE


Anhang A – Einstufung der Schaltertypen ....................................................................................................... 205 


Version: 24F - HB-37350-810-01-24F-DE


1 Wichtige Hinweise 

Definition der einzelnen Zielgruppen 

Projektanten sicherer Antriebssysteme: 

Ingenieure und Techniker 

Montage, Elektroinstallation, Wartung und Gerätetausch 

Betriebselektriker und Servicetechniker 

Inbetriebnahme, Bedienung und Konfiguration: 

Techniker und Ingenieure 

1.1 Begriffsbestimmungen 

Die Bezeichnung Safety-M Module wird als Oberbegriff für alle Derivate der Safety-M– 

Produktlinie gebraucht. Wird in der Beschreibung auf ein bestimmtes Derivat Bezug 

genommen, so wird jeweils die vollständige Bezeichnung verwendet. 

Der nachfolgend verwendete Begriff „sicher“ bezieht sich jeweils auf die Einordnung als 

sichere Funktion zur Anwendung bis Pl e nach EN ISO 13849-1 bzw. SIL3 nach IEC 

61508:2010. 

Die Systemsoftware „SafePLC“ dient zur Konfiguration und Programmierung der Safety-M 

Module. 

Intern sind die Module der Serie Safety-M aus zwei unabhängigen Verarbeitungseinheiten 

aufgebaut. Diese werden nachfolgend auch als System A und System B bezeichnet. 


Version: 24F - HB-37350-810-01-24F-DE


1.2 Mit geltende Dokumente 

Beschreibung Referenz 

Konfiguration der Safety-M Module für 

Standalone-Anwendungen ohne 

Feldbusanschaltung mit dem 

Programm „SafePLC“ 

Validierungsreport der 

implementierten Parametrierung und 

des PLC-Programms 

Abnahme für allgemeine 

sicherheitstechnische Applikationen 

Abnahme für Applikationen in der 

Aufzugstechnik (Gültigkeitsbereich 

EN 81) 

SafePLC Programmierhandbuch 

(System CD) 

Sicherheitstechnische Prüfung mit 

Abnahmeprotokoll 

Zertifikat zur Typprüfung für 

Sicherheitssteuerung nach 

Maschinenrichtlinie 2006/42/EG für die 

Produktbaugruppen 

SMX10 

Safety-MS1 

Safety-MSP1 

Safety-MS2 

Safety-MSP2 

SMX12A 

Zertifikat zur Typprüfung als PESSRAL 

nach EN81-1 für die Produktbaugruppen 

SMX10/P 

SMX11/P 

Hinweis: 

� Lesen Sie Handbücher sorgfältig durch, bevor Sie mit der Installation und 

der Inbetriebnahme der Safety-M Module beginnen. 

� Die Beachtung der Dokumentation ist die Voraussetzung für einen störungsfreien 

Betrieb und die Erfüllung eventueller Garantieansprüche. 

1.3 Verwendete Abkürzungen 

Abkürzung Bedeutung 

AC Wechselspannung 

AWL Anweisungsliste 

BG Berufsgenossenschaft 

CLK Clock (Takt) 


Version: 24F - HB-37350-810-01-24F-DE


Abkürzung Bedeutung 

CPU Central Processing Unit 

DC Gleichspannung 

DI1..DI14 Digital Input (Digitaler Eingang) 

DIN Deutsches Institut für Normung 

DO Digital Output (Digitaler Ausgang) 

EMU Emergency Monitoring Unit 

EMV Elektromagnetische Verträglichkeit 

ELC Emergency Limit Control 

EN Europäische Norm 

HISIDE Nach Plus schaltender Ausgang mit 24VDC Nominalpegel 

IP20 Schutzart für Gehäuse 

ISO International Organisation for Standardisation 

LED Light Emitting Diode 

LOSIDE Nach Bezugspotential schaltender Ausgang 

OLC Operational Limit Control 

PAA Prozessabbild der Ausgänge 

PAE Prozessabbild der Eingänge 

PESSRAL Programmierbares elektronisches System in sicherheitsbezogenen 

Anwendungen für Aufzüge 

P1,P2 Pulsausgänge 

PLC Programmable Logic Controller 

POR Power on Reset 

PSC Position Supervision Control 

SELV Safety Extra Low Voltage 

SSI Synchron Serielles Interface 

VDE Verband der Elektrotechnik, Elektronik und Informationstechnik e. V. 


Version: 24F - HB-37350-810-01-24F-DE


2 Sicherheitshinweise 

2.1 Bestimmungsgemäße Verwendung 

Die Geräte der Baureihe Safety-M sind programmierbare Sicherheitssteuerungen zur 

Herstellung von Sicherheitsabschaltungen und –funktionen. Die Geräte sind bestimmt zum 

Einsatz 

- in NOT-AUS-Einrichtungen, 

- als Sicherheitsbauteil im Sinne der EG-Maschinenrichtlinie 2006/42/EG, 

- als PES für zur Risikoreduzierung im Sinne der EN 61508, 

- in Sicherheitsstromkreisen nach EN 60204-1 u. EN 60204-32, 

- als PES für funktionale Sicherheit im Sinne der EN 62061, 

- als SRP/CS im Sinne der EN 13849, 

- als Gerät zur Herstellung der Sicherheitsfunktionen nach EN 61800-5-2, 

- als Logikeinheit zur Signalwandlung und –verarbeitung in Zweihandschaltung nach EN 

574. 

Die Geräte SMX10/P und SMX11/P sind geeignet zum Einsatz als PESSRAL 

(Programmierbares elektronisches System in sicherheitsbezogenen Anwendungen für 

Aufzüge) er Aufzugstechnik, d.h. im Gültigkeitsbereich der EN81-1. Geräte der Basisbaureihe 

ohne Zusatz „/P“ sind in diesem Anwendungsbereich nicht einsetzbar! 

Warnung: 

Geräte der Basisbaureihe ohne Zusatz „/P“ sind im Anwendungsbereich der EN81-1 

nicht einsetzbar! 

Die Geräte der Baureihe Safety-M incl. Erweiterungsbaugruppe SMX 31 sind 

Sicherheitsbauteile gemäß Anhang IV EG-Maschinenrichtlinie 2006/42/EG . 

Sie wurden entwickelt, konstruiert und gefertigt in Übereinstimmung mit der o.g. 

Richtlinie sowie der EG-Richtlinie EG-EMV-Richtlinie 2004/108/EG 

Vgl. Anhang EG-Konformitätserklärung 

2.2 Verwendung in Regionen mit UL/CSA-Anforderung 

Die Module der Safety-M-Serie können unter Beachtung folgender Randbedingungen in den 

USA und Kanada eingesetzt werden: 

- die Schaltspannung der Ausgangsrelais ist auf max. 24 V zu begrenzen. 

- die Spannungsversorgung der Safety-M Module und deren Ein- und Ausgänge muss 

mit einem Netzteil erfolgt, welches der Anforderung CLASS 2 gemäß der UL 1310 

entspricht 

Unter diesen Voraussetzungen ist eine UL/CSA-Zulassung nicht notwendig und die Safety-M- 

Serie kann in Schaltanlagen gemäß der UL 508A eingesetzt werden. 


Version: 24F - HB-37350-810-01-24F-DE


2.3 Allgemeine Sicherheitshinweise 

Sicherheitshinweis: 

� Zur Vermeidung von Personen- und Sachschäden darf nur qualifiziertes Personal an 

dem Gerät arbeiten. Qualifiziertes Personal ist Personal, das eine elektrotechnische 

Ausbildung besitzt und mit den gültigen Regeln und Normen der Elektrotechnik vertraut 

ist. 

Die qualifizierte Person muss sich mit der Betriebsanleitung vertraut machen (vgl. 

IEC364, DIN VDE0100). 

� Die qualifizierte Person muss mindestens vertiefte Kenntnis der nationalen 

Unfallverhütungsvorschriften besitzen 

� Die Verwendung der Geräte ist auf deren bestimmungsgemäßen Gebrauch gemäß 

vorstehender Auflistung einzuschränken. Die Werte der im Abschnitt „3.2. 

Gerätekenndaten“ gelisteten Daten sind weiter zu beachten. 

� Der Inhalt dieser Installationsanleitung ist auf die Grundfunktion der Geräte bzw. deren 

Installation beschränkt. Die Programmierung und Neuparametrierung der Geräte wird 

in der „Programmieranleitung Safety-M“ weitergehend beschrieben. Deren genaue 

Kenntnis und Verständnis ist zwingende Voraussetzung für eine Neuinstallation bzw. 

Modifikation der Gerätefunktion oder Geräteparameter. 

� Die Inbetriebnahme (d. h. die Aufnahme des bestimmungsgemäßen Betriebes) ist nur 

bei Einhaltung der EMV-Richtlinie erlaubt. Es werden die EMV-Prüfvorschriften 

EN55011:2007 + A2:2007 und EN 61000-6-2:2005 zugrunde gelegt. 

� Für Lagerung und Transport sind die Bedingungen nach EN 60068-2-6 in Bezug auf 

die unter „Techn. Kenndaten“ genannten Werte einzuhalten. 

� Die Verdrahtungs- und Anschlusshinweise aus Kapitel „Installation“ sind zwingend zu 

beachten. 

� Es sind die geltenden VDE – Vorschriften, sowie weitere besondere 

Sicherheitsvorschriften für die gegenständliche Applikation zu beachten. 

� Die konfigurierten Überwachungsfunktionen sowie deren Parameter und 

Verknüpfungen sind über einen Validierungsreport nachzuweisen. 

� Die Implementierung der Module ist mit den Forderungen der zuständigen 

Abnahmestelle ( z.B. TÜV oder BG ) abzustimmen. 

� Niemals beschädigte Produkte installieren oder in Betrieb nehmen. Beschädigungen 

bitte umgehend beim Transportunternehmen reklamieren. 

� Niemals das Gehäuse öffnen und/oder eigenmächtige Umbauten vornehmen. 


Version: 24F - HB-37350-810-01-24F-DE


� Ein- und Ausgänge für Standardfunktionen, bzw. die per Kommunikationsbaugruppen 

übertragenen Digital- und Analogdaten dürfen nicht für sicherheitsgerichtete 

Anwendungen verwendet werden. 

WARNUNG: 

Eine Verwendung unserer Geräte entgegen den hier aufgeführter Regeln und 

Bedingungen kann Verletzungen oder Tod von Personen, sowie Schäden an 

angeschlossenen Geräten und Maschinen zur Folge haben! 

Ebenso führt dies zum Verlust jeglicher Garantie- oder Schadensersatzansprüche 

gegen den Hersteller. 

2.4 Betrieb und Service 

Vor dem Ein- und Ausbau der Baugruppe, oder dem Trennen von Signalleitungen, ist die 

Baugruppe spannungsfrei zu schalten. Dazu sind sämtliche spannungsführenden Zuleitungen 

zum Gerät abzuschalten und auf Spannungsfreiheit zu prüfen. 

Während des Ein- und Ausbaus der Baugruppe sind durch entsprechende 

Maßnahmen elektrostatische Entladungen auf die nach außen geführten Klemmen- und 

Steckverbindungen zu vermeiden. Ein Kontakt mit diesen Klemmen sollte dazu auf ein 

Minimum beschränkt bleiben und vorher und während dessen sollte eine Erdung durch z.B. 

Erdungsarmband erfolgen. 

2.5 Transport/Einlagerung 

Die Hinweise für Transport, Lagerung und sachgemäße Handhabung sind zu beachten. 

Die Klimatischen Vorgaben sind gemäß Kap. "Technische Daten" einzuhalten. 

3 Gerätetypen 

Die Baureihe Safety-M besteht aus 

- den Basisgeräten SMX10, Safety-MS1, Safety-MSP1, Safety-MS2, Safety-MSP2, SMX12A 

- den Erweiterungsbaugruppen SMX31 

- den Kommunikationsbaugruppen BMx 

Basisgeräte 

Bei der Baureihe Safety-M handelt es sich um eine kompakte Sicherheitssteuerung mit optional 

integrierter Antriebsüberwachung für eine (Safety-MS1/Safety-MSP1) oder zwei (Safety- 

MS2/Safety-MSP2) Achsen. Das Gerät ist frei programmierbar zur sicheren Verarbeitung sowohl 

von NOT-AUS Taster, Zweihandbedienung, Lichtgitter, Betriebsartenwahlschalter, etc. als auch 

von antriebsbezogenen Sicherheitsfunktionen. Für eine Vielzahl von Eingabegeräten stehen für die 

sicherheitsrelevante Signalvorverarbeitung vorkonfigurierte Bausteine zu Verfügung. Gleiches gilt 

auch für Sicherheitsfunktionen zur Antriebsüberwachung. Details sind dem Programmierhandbuch 

zu entnehmen. 

Das Gerät verfügt in der Basisausführung über 14 sichere Eingänge und 3 Abschaltkanäle welche 

auf max. 65 sichere I/O erweitert werden können. 


Version: 24F - HB-37350-810-01-24F-DE


Zur sicheren Geschwindigkeits- und/oder Positionserfassung werden 1-Geberlösungen (Inc.- 

TTL/HTL, SIN/COS, Proxi-Sw.) und auch 2-Geberlösungen (z.B. Inc.-TTL oder SSI und Inc.-HTL) 

unterstützt. 

Erweiterungsbaugruppen 

Digitale I/O-Erweiterung für die Safety-M Baureihe. 

Die Erweiterungsbaugruppe verfügt über 12 sichere Eingänge, 10 sichere, wahlweise als Eingang 

oder Ausgang konfigurierbare I/O, und 2 Meldeausgänge. 

Kommunikationsbaugruppen 

Erweiterungsbaugruppe zur Übertragung von Diagnose- und Statusdaten an eine übergeordnete 

Steuerung mittels Standard-Feldbus. 

3.1 Baugruppenübersicht (Safety-M) 


Version: 24F - HB-37350-810-01-24F-DE


3.2 Gerätekenndaten 

3.2.1 Basisbaugruppen 

3.2.1.1 Variante auf Anfrage verfügbar (SMX10) 

Typenbezeichnung Geräteausführung 

- auf Anfrage - Ausführung der Baugruppe mit folgender Peripherie: 

Eigenschaften der Baugruppe: 

14 digitale Eingänge 

2 Pulsausgänge 

2 Relaisausgänge 

2 LOSIDE 

2 HISIDE 

2 Meldeausgänge 

1 Diagnose- und Konfigurationsschnittstelle 

1 Funktionstaster 

1 7-Segmentanzeige 

1 Status-LED 

14 Status-LEDs für Eingänge 

2 Status-LEDs für Pulsausgänge 

2 Status-LEDs für Relaisausgänge 

2 Status-LEDs für HISIDE 

1 Rückwandbusschnittstelle 

� Logikverarbeitung bis Pl e nach EN ISO 13849-1 bzw. SIL 3 nach EN 61508 

� Freiprogrammierbare Kleinsteuerung für bis zu 800 AWL Anweisungen 

� Funktionsplanorientierte Programmierung 

� Pulsausgänge zur Querschlusserkennung digitaler Eingangssignale 

� Sicherheitsfunktion Externe Kontaktüberwachung angeschlossener Schaltgeräte 

� Überwachte Relaisausgänge für sicherheitsrelevante Funktionen 

� Überwachte HISIDE/LOSIDE-Ausgänge für sicherheitsrelevante Funktionen 

� CAN-Kommunikation in Verbindung mit der BMx für Diagnose über Rückwandbus 

Montage auf Hutschiene 


Version: 24F - HB-37350-810-01-24F-DE


Techn. Kenndaten 

Sicherheitstechnische Kenndaten 

Pl nach EN 13849 Pl e 

PFH / Architektur 3,0 * 10 -9 / Architektur Klasse 4 

SIL nach EN 61508 SIL 3 

Proof-Test-Intervall 20 Jahre = max. Einsatzdauer 

Allgemeine Daten 

Max. Anzahl Erweiterungsbaugruppen 2 

Schnittstelle f. Erweiterungsbaugruppen T-Busverbinder, in Hutschiene steckbar 

Sichere digitale I 14 incl. 8 OSSD 

Sichere digitale I/O - 

Sichere digitale Out 2 

Sichere Analog-In - 

Sichere Relaisausgänge 1 

Meldeausgänge 2 

Pulsausgänge 2 

Anschlussart Steckklemmen 

Elektrische Daten 

Versorgungsspannung 24 VDC / 2A 

Toleranz -15%, +20% 

Leistungsaufnahme 2,4 W 

Nenndaten digitale I 24 VDC; 20 mA, Typ1 nach EN61131-2 

Nenndaten digitale O 24VDC; 250 mA 

Nenndaten Relais 24 VDC/2A 

230 VAC/2A 

Pulsausgänge Max. 250 mA 

Absicherung der Versorgungsspannung Max. 2 A 

Umweltdaten 

Temperatur 0° bis 50° Betriebstemp.; -10° bis +70 ° 

Lagertemp. 

Schutzklasse IP 52 

Klimaklasse 3 nach DIN 50 178 

EMV Entsprechend EN 55011 und EN 61000-6-2 

Mechanische Daten 

Größe (HxTxB [mm]) 100x115x45 

Gewicht 300 g 

Befestigung Auf Normschiene aufschnappbar 

Max. Anschlussquerschnitt 1,5 mm² 


Version: 24F - HB-37350-810-01-24F-DE


3.2.1.2 Safety-MS1 


Ausführung der Baugruppe mit folgender 

Peripherie: 

1 Sensorschnittstelle 

14 digitale Eingänge, alternativ 4 

Zähleingänge 



2 LOSIDE 

2 HISIDE 


1 Diagnose- und 

Konfigurationsschnittstelle 



1 Status-LED 







� Logikverarbeitung bis Pl e EN ISO 13849-1 bzw. SIL 3 gemäß EN 61508 

� Bewegungsüberwachung einer Achse bis Pl e EN ISO 13849-1 bzw. SIL 3 gemäß EN 

61508 

� Geschwindigkeitsüberwachung: 

� Drehzahlüberwachung 

� Stillstandsüberwachung 

� Drehrichtungsüberwachung 

� Sicheres Schrittmaß 

� Not-Stop Überwachung 

� Positionsüberwachung 

� Positionsbereichsüberwachung 

� Verlaufsbereichsüberwachung 

� Zielpositionsüberwachung 




� Zähleingänge alternativ zu den digitalen Eingängen 



� Überwachte HISIDE/LOWSIDE-Ausgänge für sicherheitsrelevante Funktionen 


� Montage auf Hutschiene 


Version: 24F - HB-37350-810-01-24F-DE







Proof-Test-Intervall 


20 Jahre = max. Einsatzdauer 











Achsüberwachung 1 Achse 

Geberschnittstelle Front Anzahl / Technologie 1 / SSI; SIN/COS; Inkr.-TTL 

Max. Frequenz SIN/COS, Inkr. TTL 200 kHz 

Taktfrequenz/Mode SSI Master Mode 150 kHz / Slave Mode max. 250 kHz 

Anschlussart D-SUB 9pol 

Geberschnittstelle Klemmen Anzahl / 

1 / Proxi-Sw.; Inkr.-HTL 

Technologie 

Max. Frequenz Proxi 10 kHz 









230 VAC/2A 



Umweltdaten 


Lagertemp. 






Gewicht 310 g 




Version: 24F - HB-37350-810-01-24F-DE


3.2.1.3 Safety-MSP1 



Peripherie: 

2 Sensorschnittstellen 

14 digitale Eingänge, alternativ 4 

Zähleingänge 



2 LOSIDE 

2 HISIDE 






1 Status-LED 








� Bewegungsüberwachung einer Achse bis Pl e EN ISO 13849-1 bzw. SIL 3 gemäß EN 

61508 

� Geschwindigkeitsüberwachung: 




















Version: 24F - HB-37350-810-01-24F-DE





PFH / Architektur 2,2 * 10 -9 1) / Architektur Klasse 4 

3,0 * 10 -9 2) / Architektur Klasse 4 
















Geberschnittstelle Front Anzahl / Technologie 2 / SSI; Inkremental (SIN/COS /TTL); HTL; Resolver 

Max. Frequenz 

Inkremental 

(SIN/COS, TTL) 

Safety-M 

Encoder Ext. Board 

200 kHz 

250 kHz 

Taktfrequenz/Mode SSI Safety-M Master Mode 150 kHz / Slave Mode max. 250 kHz 

Resolver 

(Encoder Ext. Board) 

Encoder Ext. Board Master Mode 150 kHz / Slave Mode 150-350 kHz 

Signalfrequenz max. 600 Hz 

Eingangsspannung max. 8 Vss (an 16 kΩ) 

Referenzfrequenz 6 kHz – 16 kHz 

Referenzamplitude 8 Vss – 28 Vss 

Polpaarzahl 1…8 

Übersetzungsverhältnis 2:1; 3:1; 4:1 

Phasenfehler max. 8° 


Max. Frequenz HTL Safety-M (Proxi-Input) 10 kHz 

Encoder Ext. Board 200 kHz 

Geberschnittstelle Klemmen Anzahl / Technologie 2x2 / Proxi-Sw.; 









230 VAC/2A 



Umweltdaten 

Temperatur 0° bis 50° Betriebstemp.; -10° bis +70 ° Lagertemp. 





Größe (HxTxB [mm]) 100x115x67,5 

Gewicht 390 g 



1) Bei Verwendung von 2 unabhängigen Encoder 

2) Bei Verwendung von 1 Encoder 


Version: 24F - HB-37350-810-01-24F-DE





Peripherie: 


14 digitale Eingänge, alternativ 4 Zähleingänge 



2 LOSIDE 

2 HISIDE 





1 Status-LED 








� Bewegungsüberwachung einer oder zwei Achsen bis Pl e EN ISO 13849-1 bzw. SIL 3 

gemäß EN 61508 

� Geschwindigkeitsüberwachung 




















Version: 24F - HB-37350-810-01-24F-DE



























Technologie 










230 VAC/2A 



Umweltdaten 


Lagertemp. 






Gewicht 390 g 




Version: 24F - HB-37350-810-01-24F-DE


3.2.1.5 Variante auf Anfrage verfügbar (SMX12A) 




14 digitale Eingänge, alternativ 4 Zähleingänge 



2 LOSIDE 

2 HISIDE 


2x2 Analoge Eingänge 




1 Status-LED 























� Sichere Analogsignalüberwachung bis SIL 3 gemäß EN 61508 



� Überwachte Relaisausgänge für sicherheitsrelevanten Funktionen 





Version: 24F - HB-37350-810-01-24F-DE















Sichere Analog-In 2 x 2 












Technologie 










230 VAC/2A 



Umweltdaten 


Lagertemp. 






Gewicht 390 g 




Version: 24F - HB-37350-810-01-24F-DE





Peripherie: 

2x2 Sensorschnittstellen 

14 digitale Eingänge, alternativ 

4 Zähleingänge 



2 LOSIDE 

2 HISIDE 






1 Status-LED 






























Version: 24F - HB-37350-810-01-24F-DE















Sichere Analog-In 2 optional 






Geberschnittstelle Front Anzahl / Technologie 4 / SSI; SIN/COS; Inkr.-TTL; Resolver 

Max. Frequenz 

Inkremental 


Safety-M 

Encoder Ext. Board 

200 kHz 

250 kHz 

Taktfrequenz/Mode SSI Safety-M Master Mode 150 kHz / Slave Mode max. 250 kHz 

Resolver 

(Encoder Ext. Board) 

Encoder Ext. Board Master Mode 150 kHz / Slave Mode 150-350 kHz 

Signalfrequenz max. 600 Hz 

Eingangsspannung max. 8 Vss (an 16 kΩ) 

Referenzfrequenz 6 kHz – 16 kHz 

Referenzamplitude 8 Vss – 28 Vss 

Polpaarzahl 1…8 

Übersetzungsverhältnis 2:1; 3:1; 4:1 

Phasenfehler max. 8° 


Max. Frequenz HTL Safety-M (Proxi-Input) 10 kHz 

Encoder Ext. Board 200 kHz 

Geberschnittstelle Klemmen Anzahl / Technologie 2 / Proxi-Sw.; Inkr.-HTL 









230 VAC/2A 



Umweltdaten 

Temperatur 0° bis 50° Betriebstemp.; -10° bis +70 ° Lagertemp. 






Gewicht 520 g 




Version: 24F - HB-37350-810-01-24F-DE


3.2.2 Erweiterungsbaugruppen 

3.2.2.1 Variante auf Anfrage verfügbar (SMX31) 



12 digitale Eingänge 

10 I/O wahlweise als Eingang oder Ausgang 

konfigurierbar 




10 Status-LEDs für I/O 



� 12 sichere Eingänge, hiervon 8 OSSD fähig 

� 10 sichere I/O - als Ein- oder Ausgang konfigurierbar, 

� Querschlussüberwachung 

� Kontaktvervielfachung oder Kontaktverstärkung durch externe Schütze in Verbindung 

mit integrierter Überwachung möglich 

� Umfangreiche Diagnosefunktionen in FW integriert 

� Spannungsversorgung über Basisbaugruppe 



Version: 24F - HB-37350-810-01-24F-DE


Techn. Kenndaten: 



PFH / Architektur Typ. 2,6 * 10 -9 1) / Klasse 4 


Proof-Test-Intervall 20 Jahre = max. Einsatzdauer 



Sichere digitale I/O 10 

Sichere digitale Out - 


Sichere Relaisausgänge - 





Leistungsaufnahme Max. 3,8 W 




Umweltdaten 


Lagertemp. 






Gewicht 300 g 



1) Wert gilt nur für Erweiterungsbaugruppe. Für eine Gesamtbewertung nach EN 13849 ist 

eine Serienschaltung mit dem jeweiligen Basisgerät anzusetzen 

=> PFHLogik = PFHBasis + PFHErweiterung 


Version: 24F - HB-37350-810-01-24F-DE


3.2.3 Kommunikationsbaugruppen 

3.2.3.1 SMX51 



Ausführung der Baugruppe mit folgender Peripherie: 

1 CAN-BUS Schnittstelle – SMX51 

oder 

CANopen – BM21 

oder 

Profibus – BM31 


1 Status LED für den Betriebszustand 

1 Status LED CAN-Kommunikation 

� Kommunikationsmodul CAN oder CANopen oder Profibus 

� 2 x 64 Bit PAE mit wählbarer Zuordnung mittels Funktionsbaustein 

� 64 Bit Digitaldaten wie Eingangs- oder Ausgangszustände, Zwischenergebnisse der 

Logik, Ergebnisdaten der Sicherheitsfunktionen auswählbar 

� Position und/oder Geschwindigkeit und/oder Analogeingangswert 1) als Analogdaten, 

begrenzt auf max. 64 Bit wählbar 

� Verwendung als nicht sicherer Meldekanal 

� CAN-Kommunikation über Rückwandbus 


1) nur SMX12A 


Version: 24F - HB-37350-810-01-24F-DE


Techn. Kenndaten: 


Pl nach EN 13849 n.a 

PFH / Architektur n.a. 

SIL nach EN 61508 n.a. 

Proof-Test-Intervall n.a. 


Feldbusinterface 1 

Anschlussart Standard nach Feldbustyp 

Max. Größe Digitaldaten in PAE 64 Bit 

Max. Größe Analogdaten in PAE 64 Bit 

Typ. Updatezeit für Daten 16 ms 


Leistungsaufnahme Max. 2,4 W 

Nenndaten Feldbus Standard nach Feldbustyp 

Umweltdaten 


Lagertemp. 






Gewicht 110 g 



Version: 24F - HB-37350-810-01-24F-DE


3.3 Kennzeichnung 

Das Typenschild ist auf der linken Seitenwand der Baugruppe angebracht und enthält 

folgende Informationen: 

Typenbezeichnung 

Sachnummer 

Seriennummer 

Hardware Release Kennzeichnung 

Software Release Kennzeichnung 

Sicherheitskategorie 

Eigenschaften der Eingänge 

Eigenschaften der Ausgänge 

Herstellungsdatum (KW/Jahr) 

Typenschild Safety-MS1 (Bild vergrößert) 


Version: 24F - HB-37350-810-01-24F-DE


Lieferumfang 

Im Lieferumfang enthalten ist: 

Safety-M Baugruppe: 

� Stecker für alle Signalklemmen ohne Geberanschluss 

Nicht im Lieferumfang enthalten sind: 

� SafePLC-Konfigurationssoftware-CD mit 

� Installationshandbuch 

� Programmierhandbuch 

� Treiber für Programmieradapter 

� Programmieradapter 

� Lizenzkey (USB-Dongle) für SafePLC 

� System-CD mit Handbücher 

� Rückwandbusstecker (SMX31 und Verwendung Monitoring-Baugruppe) 


Version: 24F - HB-37350-810-01-24F-DE

A 

B 


4 Sicherheitstechnische Merkmale 

4.1 Allgemeiner Aufbau, sicherheitstechnische Architektur und 

Kenndaten 

Der innere Aufbau der Safety-M-Baureihe besteht aus zwei getrennten Kanälen mit 

gegenseitigem Ergebnisvergleich. In jedem der beiden Kanäle werden hochwertige Diagnosen 

zur Fehlererkennung ausgeführt. 

Der Aufbau entspricht in Architektur und Funktionsweise der Kategorie 4 der EN 13849-1. 

IA 

IB 

im 

im 

LA 

c 

LB 

m 

i 

m 

i 

OA 

OB 

PES Aktuator 

Die Gesamtarchitektur zeigt damit folgendem Aufbau: 

Sensor PES Aktuator 

Doppeltes Einlesen jedes Eingangs und Diagnose durch Quervergleich 

Die spezifischen sicherheitstechnischen Kenndaten der jeweiligen Baugruppen sind den 

techn. Kenndaten aus Kapitel 3 zu entnehmen. 

Für die sicherheitstechnische Beurteilung von Gesamtsystemen können für das Teilsystem 

PES die im Kapitel 3 angegebenen Kenndaten angesetzt werden (z.B. Pl e und PFH-Wert 

nach Tabelle für Nachweis gemäß EN 13849). 


Version: 24F - HB-37350-810-01-24F-DE


Kenndaten: 

Max. erreichbare Sicherheitsklasse � SIL 3 gemäß EN61508 

� Kategorie 4 gemäß EN945-1 

� Performance-Level e gemäß EN ISO 

13849-1 

Systemstruktur 2-kanalig mit Diagnose (1002) nach EN 61508 

Architektur Kategorie 4 nach EN 13849 

Auslegung der Betriebsart „high demand“ gemäß EN 61508 (hohe 

Wahrscheinlichkeit eines 

gefahrbringenden Ausfalls pro Stunde 

(PFH-Wert) 

Anforderungsrate) 

SMX10, Safety-MS1, Safety-MS2 und SMX12A 

< 1,4 E-8 (14FIT) 

Spezifische Werte gemäß Tabellen “tech. 

Kenndaten“ 

Proof-Test-Intervall (EN61508) 20 Jahre, danach muss die Baugruppe ersetzt 

werden 


� Die spezifischen sicherheitstechnischen Kenndaten der jeweiligen Baugruppen sind 

den techn. Kenndaten aus Kapitel 3 zu entnehmen. 

� Bei Verwendung von mehreren Sensoren unterschiedlicher Funktion (z.B. 

Stellungsanzeige Zugangstür + Geschwindigkeitserfassung) für eine 

Sicherheitsfunktion (z.B. sicher reduzierte Geschwindigkeit bei geöffneter Zugangstür) 

sind diese für die sicherheitstechnische Beurteilung des Gesamtsystems als 

Reihenschaltung aufzufassen. Siehe hierzu Berechnungsbeispiel im Anhang. 

� Die Sicherheitsvorschriften und EMV-Richtlinien müssen beachtet werden. 

� Im Bezug auf die getroffenen Fehlerausschlüsse ist auf die Tabellen unter D im 

Anhang der EN 13849-2 verwiesen. 

� Für die sicherheitstechnische Beurteilung des Gesamtsystems können die im Kapitel 3 

angegebenen Kenndaten für das Teilsystem PES angesetzt werden (z.B. Pl e und 

PFH-Wert nach Tabelle für Nachweis gemäß EN 13849) 

Die im folgendem dargestellten Beispiele und deren charakteristische Architektur sind 

maßgeblich verantwortlich für die Zuordnung in eine Kategorie nach EN ISO 13849-1. 

Die sich daraus ergebenden maximal möglichen Performance Levels nach EN 13849 

sind weiterhin abhängig von folgenden Faktoren der externen Bauteile: 

� Struktur (einfach oder redundant) 

� Erkennung von Fehlern gemeinsamer Ursache (CCF) 

� Diagnosedeckungsgrad bei Anforderung (DCavg) 

� Zeit bis zum gefährlichen Ausfall eines Kanals (MTTFd) 


Version: 24F - HB-37350-810-01-24F-DE


4.2 Sicherheitstechnische Kenndaten und Beschaltung für 

angeschlossene Sensorik 

Die Safety-M-Baugruppen verfügen über jeweils komplett getrennte Signalverarbeitungspfade 

für jeden Sicherheitseingang. Dies gilt sowohl für die digitalen als auch die analogen 

Eingänge. Weiterhin sind jeweils Maßnahmen zur Erzielung möglichst hoher DC-Werte 

implementiert. 

4.2.1 Digitale Sensoren: 

Die digitalen Eingänge sind mit Ausnahme der elektromechanischen Eingangsklemme 

grundsätzlich vollständig redundant ausgeführt. Nachfolgend sind die Details zur Einordnung, 

dem DC und dem erzielbarem Pl bzw. SIL aufgelistet. 

4.2.1.1 Charakteristik der Sensoren / Eingangselemente 

SA 

SB 

IA 

IB 


im 

im 

Zweikanaliges Eingangselement in Parallelschaltung (Cat. 4, Fehlertoleranz 1) mit hohem DC durch 

Signalverarbeitung in zwei Kanälen und Diagnose mittels Kreuzvergleich in der PES 

SA=K1 

SB=K2 

IA 

IB 


im 

im 

Zweikanaliges Eingangselement in Serienschaltung (Cat. 4, Fehlertoleranz 1) mit niedrigen bis mittleren DC durch 

Signalverarbeitung in zwei Kanälen und Diagnose mittels zyklischer Testung 


Version: 24F - HB-37350-810-01-24F-DE 

LA 

c 

LB 

LA 

c 

LB 

m 

i 

m 

i 

m 

i 

m 

i 

OA 

OB 

OA 

OB 

K1 

K2


S1 

IA 

IB 


im 

im 

Einkanaliges Eingangselement und zweikanaliger Verarbeitung mit niedrigen bis mittleren DC durch 

Signalverarbeitung in zwei Kanälen und Diagnose mittels zyklischer Testung, Pl / SIL abhängig von zulässigen 

Fehlerausschlüssen und Testrate des Eingangselements. 

4.2.1.2 DC digitale Sensoren/Eingänge 

Die Safety-M-Baugruppen gewährleisten weitreichende Diagnosefunktionen für das 

Eingangsteilsystem. Diese werden ständig, bzw. optional (Querschlussüberwachung mittels 

Pulskennung, Kreuzvergleich, 2- oder mehrkanaliger Sensor mit/ohne Zeitüberwachung, 

Anlauftest) ausgeführt. 

Ständig aktive Diagnosefunktionen: 

Kreuzvergleich: 

Die Eingänge der Safety-M-Baugruppen sind grundsätzlich intern zweikanalig ausgeführt. Der 

Status der Eingangssignale wird ständig kreuzweise verglichen. Nur bei High-Signal in beiden 

Eingangsteilsystemen wird auf High-Status des Eingangs erkannt, bei Abweichung des 

Signalpegels zwischen beiden Kanälen wird der Eingang auf Low-Status gesetzt. 

Dynamischer Test der Schaltschwellen des Eingangsteilsystems: 

Die Schaltschwellen für das Erkennen des High-Pegels werden zyklisch, mit hoher Rate 

getestet. Bei Unterschreiten des definierten Schwellwertes wird ein Baugruppen-Alarm 

ausgelöst. 

Dynamischer Test der Schaltbarkeit des Eingangsteilsystems: 

Die Schaltbarkeit des Eingangsteilsystems auf Low-Pegel wird für alle Eingänge mit 

Ausnahme DI5—DI8 zyklisch, mit hoher Rate getestet. Bei Unterschreiten des definierten 

Schwellwertes wird ein Baugruppen-Alarm ausgelöst. 

Durch Parametrierung aktivierbare Diagnosefunktionen: 

Querschlusstest: 

Die Safety-M-Baugruppen verfügen über Pulssignalausgänge welchen eine eindeutige 

Signatur eingeprägt wird. Bei Nutzung des Querschlusstest sind die Schaltelemente der 

digitalen Sensoren / Eingangselementen über die Pulssignalausgänge von der Safety-M- 

Baugruppe mit Hilfsspannung zu versorgen. Die Signatur wird somit dem High-Signalpegel der 

Sensoren / Eingangselemente eingeprägt und von der Safety-M-Baugruppe geprüft. Durch die 

Signaturprüfung können Kurz- oder Querschlüsse nach High-Signal erkannt werden. Mit 

alternierender Verwendung der Pulssignale bei Mehrfachkontakten, parallelen Signalleitungen 

oder benachbarter Klemmenbelegung werden Querschlüsse zwischen den entsprechenden 

Eingangssignalen erkannt. 



LA 

c 

LB 

m 

i 

m 

i 

OA 

OB 

K1 

K2


Sensoren / Eingangselemente mit 2- oder mehrpoligen Kontakten ohne Zeitüberwachung: 

Den Sensoren/Eingangselementen können mehrere Kontakte zugeordnet werden. Diese 

entsprechen somit mindestens 2-kanaligen Elementen. Ein High-Pegel des 

Sensors/Eingangselements erfordert eine logische Reihenschaltung beider Kontakte. 

Beispiel 1: 

Eingangselement mit 2 Öffner: High-Pegel wenn beide –Kontakte geschlossen 

Beispiel 2: 

Eingangselement mit 1 Öffner und 1 Schließer: High-Pegel wenn Schließer betätigt und Öffner 

unbetätigt. 

Sensoren / Eingangselemente mit 2- oder mehrpoligen Kontakten mit Zeitüberwachung: 

Gleiche Prüfung wie vor jedoch zusätzlich Überwachung der Eingangssignale auf 

Übereinstimmung der definierten Pegelzusammenhänge innerhalb eines Zeitfensters von 

0,5s. Bei differieren der Pegel über einen Zeitraum > 0,5s wird ein Baugruppen-Alarm 

ausgelöst. 

Starttest: 

Mit jedem Einschalten der Sicherheitsbaugruppe (=Safety-M-Baugruppe) muss ein Test des 

Eingangselements in Richtung Low-Signalstatus (=definierter Safe-Status) durchgeführt 

werden, z.B. Betätigen des Not-Aus-Tasters oder einer Türverriegelung nach Anlagenstart. 

Betriebliche / Organisatorische Tests: 

Über die vorstehend angeführten Diagnosemaßnahmen der Safety-M-Baugruppen hinaus 

kann in der Applikation eine zyklische Testung durchgeführt werden. Diese Tests können bei 

der Beurteilung des DC mit herangezogen werden. 

Hinweis: 

Die betrieblichen/organisatorischen Tests können auch auf eine Kombination von 

Hardwareeingängen und funktionale Eingänge (über Standard-Feldbus übertragene 

Eingangsinformationen) angewendet werden. Eine exklusive Verwendung von funktionalen 

Eingängen ist in diesem Zusammenhang jedoch ausgeschlossen (Kombination aus zwei oder 

mehr funktionalen Eingängen). 

Die Safety-M-Baugruppen gewährleisten somit weitreichende Diagnosefunktionen für das 

Eingangsteilsystem. Diese werden ständig, bzw. optional (Querschlussüberwachung mittels 

Pulskennung) ausgeführt. 


Version: 24F - HB-37350-810-01-24F-DE


Für die sicherheitstechnische Beurteilung des Gesamtsystems können somit grundsätzlich 

folgende Diagnosen für die Eingangssensorik herangezogen werden: 

Charakteristik 

Eingangselement 

Einkanalig 

Zweikanalig 

Querschlusstest 

Parametrierte / 

betriebliche Tests 

Mit Zeitüberwachung 

Starttest 

Zyklischer Test im 

Betrieb 

O O >60 

X 90 

X O O 90-99 

DC Definition der 

Maßnahme 

90 

O O 90-99 

X 99 

X 99 

Zyklischer Testimpuls durch 

dynamische Änderung der 

Eingangssignale 







Kreuzvergleich von 

Eingangssignalen mit 

dynamischem Test, wenn 

Kurzschlüsse nicht bemerkt 

werden können (bei Mehrfach- 

Ein-/Ausgängen) 






unmittelbarem und 

Zwischenergebnissen in der 

Logik (L) und zeitlich und 

logische Programmlauf 

Überwachung und Erkennung 

statischer Ausfälle und 

Kurzschlüsse (bei Mehrfach- 

Ein-/Eingängen) 

Plausibilitätsprüfung, z. B. 

Verwendung der Schließer- 

und Öffnerkontakte = 

antivalenter Signalvergleich 

von Eingangselementen 

Anmerkung 

Ausreichend hohe 

Testrate muss 

gewährleistet sein 

Nur wirksam wenn 

Pulszuordnung aktiv 

DC von Häufigkeit 

des Start- / zyklischen 

Test abhängig 

DC = 90 Test nur in 

Abständen > 4 

Wochen 

DC = 99 Test mind. 1 

x Tag/ bzw. 100-fach 

Anforderungsrate 

Bei Fehlerausschluss 

Kurzschluss 

bis DC=99 möglich 

DC von Häufigkeit 

des Start- / zyklischen 

Test abhängig 

Nur wirksam wenn 

Pulszuordnung aktiv 

Nur wirksam in 

Verbindung mit 

aktivierter Zeitüberwachungsfunktion 

für 



Version: 24F - HB-37350-810-01-24F-DE



� Für eine sicherheitstechnische Beurteilung des Teilsystems Sensorik sind die 

Herstellerangaben (MTTFD, FIT-Zahlen etc.) heranzuziehen. 

� Die in der Tabelle angeführten DC-Werte sind konservativ anzusetzen und die 

Einhaltung der Randbedingungen (siehe Tabelle unter „Anmerkungen“) zu 

gewährleisten. 

� Fehlerausschlüsse sind nach den einschlägigen Normen zulässig. Die dabei 

angeführten Randbedingungen sich dauerhaft zu gewährleisten. 

� Wenn mehrere Sensorsysteme zur ordnungsgemäßen Funktion einer einzelnen 

Sicherheitsfunktion erforderlich sind, sind deren Teilwerte jeweils korrekt nach 

gewähltem Verfahren zusammenzuführen. 

4.2.1.3 Klassifizierung der Digitalen Eingänge 

4.2.1.3.1 Basiseingänge DI1 … D14 

Digitale Eingänge Erreichbarer 

Performance Level 

DI1 … DI4 

DI9 … DI12 

DI5 … DI8 

DI13, DI14 

PL e 

PL e 

PL d 

PL e 

Bemerkung 

Geeignet für alle Arten von Eingangselementen, 

mit / ohne Pulse, erreichbarer Pl abhängig von 

MTTFd des Eingangselements sowie Fehleraus- 

schlüssen in der externen Verkabelung 

Einkanalig mit Pulse: 

- Überwiegend High-Pegel erforderlich (THigh 

> 100 * TLow) 

- Mindestens eine Anforderung/Tag durch 

Applikation bedingt 

- Fehlererkennung bei Anforderung 

Einkanalig ohne Pulse: 

- Fehlerausschluss Kurzschluss zwischen 

den Signalen und nach VCC 


Zweikanalig: 




PL e Verwendung von Puls1 und Puls2 

Pl d 

Ohne Puls / mit Puls1 oder 2 an beiden 

Eingängen 

Fehlererkennung bei Anforderung 


Version: 24F - HB-37350-810-01-24F-DE


4.2.1.3.2 Erweiterungseingänge EAE1 … EAE10 

Digitale Eingänge Erreichbarer 

Performance Level 

EAE1 … EAE10 

(nur SMX 31) 

Bemerkung 

Ohne Puls, einkanalig statisches Signal 

-> Hilfseingang 

Ohne Puls, zweikanalig statisches Signal 

PL e 



- Fehlererkennung nur bei Anforderung 

Ohne Puls, zweikanalig statisches Signal 

PL d 

- Weniger als eine Anforderung/Tag durch 


Einkanalig mit Pulse 

- Überwiegend High-Pegel erforderlich (THigh 

PL e 

- 

> 100 * TLow) 

Mindestens eine Anforderung/Tag durch 


- Fehlererkennung nur bei Anforderung 

PL d 

Einkanalig mit Pulse 

- Weniger als eine Anforderung/Tag 

PL e Zweikanalig mit Puls1 und Puls2 

Hinweis: Der erzeilbare Pl für eine Kombination aus HW-Eingängen und funktionalen 

Eingänge ist abhängig von den gewählten betrieblichen/organisatorischen Tests sowie der 

Unabhängigkeit beider Kanäle im Systemaufbau. Für die Bestimmung des Pl ist eine 

applikationsbezogene Analyse erforderlich. 


Version: 24F - HB-37350-810-01-24F-DE


4.2.1.4 Anschlussbeispiele digitale Sensoren 

4.2.1.4.1 Einkanaliger Sensor, ohne Querschlussprüfung 

X14 

L+ 

L- 

DI1 

DI2 

DI3 

DI4 

. 

. 

. 

DI13 

DI14 

P1 

P2 

X12 

Bild: Einkanaliger Sensor, ohne Querschlussprüfung 

Der einkanalige Sensor wird ohne Taktung, bzw. ohne Querschlussprüfung an die Safety-M 

angeschlossen. Diese Bauart ist für Sicherheitsanwendungen nicht zu empfehlen. Es kann 

max. Pl b nach EN ISO 13849-1 erreicht werden. 

4.2.1.4.2 Einkanaliger Sensor mit Querschlussprüfung 

DI1 

DI2 

DI3 

P1 

P2 

L+ 

L- 

DI4 

. 

. 

. 

DI13 

DI14 

P1 

P2 

X14 

X12 

Bild: Einkanaliger Sensor mit Taktung 


Version: 24F - HB-37350-810-01-24F-DE


Bei Einsatz eines einkanaligen Sensors mit Taktung wird ein Anschluss an den Taktausgang 

P1 oder P2 angeschlossen. Anschließend muss die Taktzuordnung auf der Safety-M noch 

zugeordnet werden. 

Die Verwendung eines einkanaligen Sensors mit Taktung erkennt: 

Kurzschluss auf die Versorgungsspannung DC 24 V 

Kurzschluss auf DC 0 V 

Kabelunterbrechung ( Stromunterbrechung ist sicherer Zustand! ) 

Vorsicht ist hingegen bei einem Kabelkurzschluss zwischen den beiden Anschlüssen des 

Sensors angebracht, da dieser nicht erkannt wird! Ebenfalls nicht erkannt wird ein Kurzschluss 

zwischen P1 und DI1. 

Aufgrund des 1-kanaligen Charakters des Schaltelements / Sensors ist für dessen Versagen 

ein Fehlerausschluss erforderlich. Dies ist bei Verwendung von zwangstrennenden Schaltern 

mit korrekter zwangsläufiger Betätigung zulässig. 

Der Anwendung gleichgestellt ist eine Reihenschaltung von 2 Schaltelementen mit 

entsprechendem Fehlerausschluss eines Doppelfehlers. Dies können z.B. die 

Sicherheitsausgänge eines elektronischen Überwachungsgeräts (Lichtvorhang, Schaltmatte) 

mit interner 2-kanaliger Abschaltung darstellen. 

Bei Verwendung eines geeigneten Schaltelements und sorgfältiger Verkabelung des Sensors 

kann Pl d nach EN ISO 13849-1 erreicht werden. In Sonderfällen, d.h. in Verbindung mit 

geeigneten Schaltelementen und zulässigen Fehlerausschlüssen kann auch PL e nach EN 

ISO 13849-1 erzielt werden. 


� Pl d oder höher nach EN ISO 13849-1 wird erreicht, wenn der Kurzschluss zwischen 

Eingang und zugehörigem Pulsausgang sowie der Kurzschluss zwischen den 

Sensoranschlüssen ausgeschlossen werden kann. Dabei ist zu beachten, dass der 

Schalter im Fehlerfall zwangsöffnend nach EN 60947-5-1 sein muss. Zusätzlich muss 

der Sensor in regelmäßigen Abständen ausgelöst und die Sicherheitsfunktion 

angefordert werden. Fehlerausschlüsse können gemäß EN ISO 13849-2 Tabelle D8 

erzielt werden. Bei einkanaliger Verwendung der Eingänge ist das erreichbare 

Sicherheitsniveau auf SIL 2 bzw. PL d eingeschränkt, wenn in regelmäßigen 

Abständen eine Anforderung der Sicherheitsfunktion erfolgt. 

� Eine Reihenschaltung von 2 Schaltelementen mit Fehlerausschluss Doppelfehler 

bedingt eine Prüfung auf Eignung nach dem angestrebten Sicherheitsniveau für dieses 

Element. Auf die einschlägigen Regelungen der EG-Maschinenrichtlinie 2006/42/EG 

wird hingewiesen. 

� Bei einkanaligen Sensoren ist grundsätzlich eine sicherheitstechnische Verwendung 

der Eingänge nur in Verbindung mit den Pulsausgängen vorgesehen. 


Version: 24F - HB-37350-810-01-24F-DE


4.2.1.4.3 Zweikanaliger Sensor ohne Zeitüberwachung mit Querschlussprüfung 

Fehler werden mindestens bei Anforderung erkannt. Der DC ist mittel und kann durch 

Verwendung zyklischer Tests (Starttests, betriebliche/organisatorische Tests) je nach 

Testhäufigkeit bis zur Einstufung hoch verändert werden. 

Für Sicherheitsanwendungen sind hierzu ausschließlich Öffnerkontakte zu verwenden. 

Pl d nach EN 13849-1 kann erreicht werden bei Verwendung von Sensoren / Schaltelementen 

mit Fehlerausschluss für das Nichtöffnen der Schaltkontakte. Dies ist bei Verwendung von 

zwangstrennenden Schaltern mit korrekter zwangsläufiger Betätigung zulässig. Ebenfalls 

zulässig ist die Verwendung von Sensoren mit selbstüberwachenden Ausgangskontakten. 

Pl e nach EN 13849-1 kann erreicht werden bei Verwendung von diversitären Sensoren / 

Eingangselementen mit ausreichend hohem MTTFd in Verbindung mit einer zeitlichen 

Plausibilitätsüberwachung und ausreichend hoher Änderung des Schaltzustands = 

dynamische Testung. 

DI1 

DI2 

DI3 

DI4 

DI13 

DI14 

P1 

P2 

L+ 

L- 

. 

. 

. 

X14 

X12 

Bild: zweikanaliger Sensor homogen ohne Taktung, mit Zwangstrennung 

DI1 

DI2 

DI3 

DI4 

DI13 

DI14 

P1 

P2 

L+ 

L- 

. 

. 

. 

X14 

X12 

S1 

A1 

Bild: zweikanaliges Eingangselement diversitär, ohne Taktung 


Version: 24F - HB-37350-810-01-24F-DE



� Pl d oder höher nach EN ISO 13849-1 wird erreicht bei Verwendung von 

Schaltelementen / Sensoren mit zwangsöffnenden Kontakten bzw. zwangsläufiger 

Betätigung nach EN 60947-5-1 

� Eine Verwendung von Geräten für dessen Schaltelementen der Fehlerausschluss 

Doppelfehler für das angestrebte Sicherheitsniveau getroffen werden kann, ist 

zulässig. Auf die einschlägigen Regelungen der EG-Maschinenrichtlinie 2006/42/EG 

wird hingewiesen. 


Version: 24F - HB-37350-810-01-24F-DE


4.2.1.4.4 Zweikanaliger Sensor mit Zeitüberwachung und Querschlussprüfung 

Durch Verwendung von zwei unabhängigen Taktsignalen am homogenen Sensor können alle 

Querschlüsse, sowie Verbindungen nach DC 24 V und DC 0 V erkannt werden. 

Für Sicherheitsanwendungen sind hierzu ausschließlich Öffnerkontakte zu verwenden. 

Pl d oder höher nach EN 13849-1 kann erreicht werden bei Verwendung von Sensoren / 

Schaltelementen mit Fehlerausschluss für das Nichtöffnen der Schaltkontakte. Dies ist bei 

Verwendung von zwangstrennenden Schaltern mit korrekter zwangsläufiger Betätigung 

zulässig. Ebenfalls zulässig ist die Verwendung von Sensoren mit selbstüberwachenden 

Ausgangskontakten. 

DI1 

DI2 

DI3 

DI4 

DI13 

DI14 

P1 

P2 

P1 

P2 

L+ 

L- 

. 

. 

. 

X14 

X12 

Bild: zweikanaliger Sensor homogen mit Taktung 



Schaltelementen / Sensoren mit zwangsläufiger Betätigung 

� Bei Verwendung von zwei unabhängigen Sensoren mit unabhängiger Betätigung kann 

Pl d oder höher nach EN ISO 13849-1 erreicht werden 

� Bei Verwendung von gemeinsamen Elementen in der Betätigungskette ist hierfür ein 

Fehlerausschluss erforderlich. Die entsprechenden Einschränkungen und Kriterien 

nach EN 13849-1 sind hierfür zu beachten. 


Version: 24F - HB-37350-810-01-24F-DE


4.2.1.4.5 Zweikanaliger Sensor mit Zeitüberwachung und Querschlussprüfung 

Durch Verwendung von zwei unabhängigen Taktsignalen am homogenen Sensor können alle 

Querschlüsse, sowie Verbindungen nach DC 24 V und DC 0 V erkannt werden. 

Pl d oder höher nach EN 13849-1 kann erreicht werden bei: 

- Verwendung von Sensoren / Schaltelementen mit zwangsläufiger Betätigung. 

- Verwendung von 2 Sensoren / Schaltelementen mit unabhängiger Betätigung 

- dto. Jedoch mit Betätigung über eine gemeinsame Betätigungseinrichtung in 

Zusammenhang mit einem Fehlerausschluss für diese Einrichtung. 

DI1 

DI2 

DI3 

DI4 

DI13 

DI14 

P1 

P2 

P1 

P2 

L+ 

L- 

. 

. 

. 

X14 

X12 

Bild: zweikanaliger Sensor homogen mit Taktung 



Schaltelementen / Sensoren mit zwangsläufiger Betätigung 

� Bei Verwendung von zwei unabhängigen Sensoren mit unabhängiger Betätigung kann 

Pl d oder höher nach EN ISO 13849-1 erreicht werden 

� Bei Verwendung von gemeinsamen Elementen in der Betätigungskette ist hierfür ein 

Fehlerausschluss erforderlich. Die entsprechenden Einschränkungen und Kriterien 

nach EN 13849-1 sind hierfür zu beachten. 


Version: 24F - HB-37350-810-01-24F-DE


4.2.1.5 Übersicht erreichbarer Pl für digitale Sicherheitseingänge 

Typ des 

Sensors / 

Eingangs 

element 

Einkanalig 

Zweikanalig 

Parallel 

Zweikanalig 

Parallel 

Eingang Parametrierte / 


DI1..D14 

DI1..D4 

DI9..DI12 

Alle 

Alle 

Alle 


Mit 

Zeitüberwachung 

Starttest 


Betrieb 

Erreichbarer 

Pl 

nach 

EN1384 

9-1 

b 

O O d 

X d 

X O O e 

e 

d 

Fehlerausschluss 

für 


Alle Fehler am 


Kurzschluss am 

Eingang/Signalleitung 





Hängenbleiben 







Kurzschluss zwischen 


Bedingung für 


Betriebsbewährtes 


MTTFD = hoch 

Verbindung im Schaltschrank 

oder geschützte Verlegung 

Eingangselement entspricht 

mind. Plr 



Überwiegend High-Pegel 

erforderlich (THigh > 100 * 

TLow). Zwangstrennend, 

MTTFD = hoch 



Eingangselement entspricht 

mind. Plr 



MTTFD = hoch 



MTTFD = mittel 

X e MTTFD = hoch 

X 

e 

Kurzschluss zwischen 


(nur bei gleichen 

Schaltelemente = 2xS 

oder 2xÖ) 



MTTFD = hoch 


Version: 24F - HB-37350-810-01-24F-DE


Typ des 

Sensors / 

Eingangs 

element 

Zweikanalig 

Seriell 

Eingang Parametrierte / 


DI1..D4 

DI9..DI12 

Alle 


Mit 


Starttest 


Betrieb 

Erreich 

barer Pl 

nach 

EN1384 

9-1 

d 

O O e 

O O d 

X: Diagnosemaßnahme aktiviert 

O: mind. 1 Diagnosemaßnahme aktiviert 

Fehlerausschluss 

für 




Hängenbleiben / 

Zwangstrennend 





Bedingung für 







MTTFD = hoch 




X O O e MTTFD = hoch 


Version: 24F - HB-37350-810-01-24F-DE


4.2.2 Sensoren für Geschwindigkeits- und/oder Positionserfassung 

4.2.2.1 Allgemeiner sicherheitstechnischer Aufbau Sensorinterface für Position 

und/oder Geschwindigkeit 

Die Basisbaugruppen der Safety-M Baureihe verfügen optional über jeweils eine (Safety- 

MS1/Safety-MS2), bzw. zwei Encoderschnittstellen (Safety-MSP1/Safety-MSP2) pro Achse. 

Je nach Encodertyp und –kombination sind unterschiedliche Sicherheitsniveaus zu erreichen. 

Für das entsprechende Teilsystem ergibt sich folgende Systembetrachtung: 

SensorA 

SensorB 

IA 

IB 


im 

im 

Zweikanaliges Sensorsystem mit getrennter Signalverarbeitung in zwei Kanäle, Diagnose durch Quervergleich in 

der PES 

Eink. Teilsyst. 

Mech.+ 

Sendeopt. 

Zweik. Teilsyst. 

Spur A 

Spur B 

IA 

IB 


im 

im 

Sensorsystem mit ein- und zweikanaligem Teilsystem (Beispiel Inkremenalencoder). Diagnose durch getrennte 

Signalverarbeitung in zwei Kanäle und Quervergleich in der PES sowie weiteren spezifischen Diagnosen. 



LA 

c 

LB 

LA 

c 

LB 

m 

i 

m 

i 

m 

i 

m 

i 

OA 

OB 

OA 

OB


4.2.2.2 Allgemeine Diagnosemaßnahmen für Encoderinterface 

Zur Fehlererkennung im Sensorsystem sind in der Safety-M-Baureihe in Abhängigkeit des 

gewählten Encodertyps bzw. deren Kombination eine Reihe von Diagnosemaßnahmen 

implementiert. Deren Aktivierung erfolgt automatisch mit Auswahl des Encodertyps. 

Grundsätzlich können die Diagnosemaßnahmen bezüglich ihrer Art und Wirksamkeit gemäß 

nachstehender Tabelle klassifiziert werden: 

Diagnosen für Sensoren zur Position- und/oder Geschwindigkeitserfassung: 

Maßnahme DC Anmerkung Verwendung 


99 Nur anzuwenden auf: Überwachung 2-kanaliger 


- zweikanalige 

Sensorsystemen bzw. 


Sensorsysteme (2 das entsprechende 


getrennte Sensoren), Teilsystem von Sensoren 


- das zweikanalige für den dynamischen 

logische 

Teilsystem von 

Betrieb 

Programmlaufüberwachung 

einkanaligen Sensoren Nicht zu verwenden für 

und Erkennung statischer 

(Inkrementalencoder) Stillstandsüberwachung! 

Ausfälle und Kurzschlüsse (bei - Diagnose für das ein- 

Mehrfach-Ein-/Eingängen) 

und zweikanalige 

Teilsysem von speziell 

geeigneten 

Sensorsystemen 

(SIN/COS-Encoder, 

Resolver) 

- Dynamischen Betrieb / 

keine 

Stillstandsüberwachung 


80- DC ist abhängig von Überwachung 2-kanaliger 

Eingangssignalen ohne 95% Häufigkeit des 

Sensorsystemen bzw. 

dynamischem Test 

dynamischen Zustands, das entsprechende 

d.h. Stillstand oder Teilsystem von Sensoren 

Bewegung und von der für den nicht- 

Qualität der 

dynamischen Betrieb. 

Überwachungsmaßnahme Zu verwenden 

(80 - 90% für 

insbesondere für 

Inkrementalencoder, 95 % 

für SIN/COS-Encoder) 

Stillstandsüberwachung! 

Überwachung einiger 

60 Diagnose von 

Überwachung des 

Merkmale des Sensors 

spezifischen Merkmalen einkanaligen Teilsystems 

(Ansprechzeit, der Bereich 

von Sensoren, nur für von einkanaligen 

analoger Signale, z. B. 

Geschwindigkeits- und Sensorsystemen 

elektrischer Widerstand, 

Positionssensoren nach 

Kapazität) 

Kapitel 4.3 ansetzbar 


Version: 24F - HB-37350-810-01-24F-DE


4.2.2.3 Encodertypen und deren Kombinationen, Diagnosekenndaten 

Typ 

Encoder an 

Interface 

X31/32 

Typ 

Encoder an 

Interface 

X33/34 

NC NC 

Typ 

Encoder an 

X 23 

1 x Bero 

+ 

1 x Bero 

Inkremental NC NC X 

Sichere Sichere 

Geschw. Richt. 

Inkremental Inkremental NC X X 

Inkremental NC 1 x Bero X 

X 

Sichere 

Position 



Fehlerausschluss DC 

Fehlerausschluss mech. Wellenbruch, 

formschlüssige Geberwellenverbindung 

erforderlich falls gemeinsame Elemente im Abgriff 



erforderlich 

1-kanaliges 

Teilsystem 

2-kanaliges 

Teilsystem 

dynamisch 

2-kanaliges 

Teilsystem 

nichtdynamisch(Stillstandsüberwachung) 

n.a. 99% 80-90% 

60% 99% 80-90% 

n.a. 99% 95% 

n.a. 99% 90-95% 

Inkremental NC 2 x Bero 90° X X n.a. 99% 90-95% 

Inkremental SIN/COS NC X X 

Inkremental HTL NC X X 

n.a. 99% 99% 

n.a. 99% 90-95%


Typ 

Encoder an 

Interface 

X31/32 

Typ 

Encoder an 

Interface 

X33/34 

Typ 

Encoder an 

X 23 



Inkremental Resolver NC X X 

Sichere 

Position 

Inkremental SSI NC X X X 

SIN/COS NC NC X X 

SIN/COS Inkremental NC X X 






erforderlich 

1-kanaliges 

Teilsystem 

2kanaliges 

Teilsystem 

dynamisch 

2-kanaliges 

Teilsystem 


n.a. 99% 99% 

n.a. 99% 90-95% 

90% 99% 90-95% 

n.a. 99% 95-99% 

SIN/COS NC 1 x Bero X X n.a. 99% 90-95% 

SIN/COS NC 2 x Bero 90° X X n.a. 99% 95-99% 

SIN/COS HTL NC X X 

SIN/COS Resolver NC X X 

n.a. 99% 95-99% 

n.a. 99% 99%


Typ 

Encoder an 

Interface 

X31/32 

Typ 

Encoder an 

Interface 

X33/34 

Typ 

Encoder an 

X 23 



Sichere 

Position 




1-kanaliges 

Teilsystem 

2kanaliges 

Teilsystem 

dynamisch 

2-kanaliges 

Teilsystem 


SIN/COS SSI NC X X X n.a. 99% 95-99% 

SSI NC 2 x Bero 90° X X X 

SSI SIN/COS NC X X X 

SSI Resolver NC X X X 

SSI SSI NC X X X 

NC SIN/COS NC X X 

NC Resolver NC X X 



erforderlich 



erforderlich 

n.a. 99% 90-95% 

n.a. 99% 95-99% 

n.a. 99% 95-99% 

n.a. 99% 90-95% 

90% 99% 90-95% 

90% 99% 90-95%


Typ 

Encoder an 

Interface 

X31/32 

Typ 

Encoder an 

Interface 

X33/34 

Typ 

Encoder an 

X 23 

NC HTL NC X 



Sichere 

Position 

NC SSI 2 x Bero 90° X X X 






erforderlich 

1-kanaliges 

Teilsystem 

2kanaliges 

Teilsystem 

dynamisch 

2-kanaliges 

Teilsystem 


60% 99% 80-90% 

n.a. 99% 90-95%

Interface X 33/34 

Interface X 31/32, 

X23 


4.2.2.4 Spezifische Diagnosemaßnahmen in Bezug auf verwendeten Encodertyp 

Encodertyp 

Überwachung Versorgungsspannung 

Differenzpegelüberwachung 

Inkremental X X X 

SIN/COS X X 

SSI X X 

Bero 2 x Zähleingang X 

Bero 1 x Zähleingang X 

Inkremental X X X X 

HTL X X 

SIN/COS Plausibilitätsüberwachung 

Überwachung Signalpegel Eingang 



Überwachung der zulässigen Quadranten 

Überwachung des Zählsignals getrennt für 

Spur A/B 

Überwachung des Übertragunsverhältnis 

Referenzsignal / Messsignal 

Frequenzüberwachung des Referenzsignals 

Spannungsüberwachung des 

Referenzsignals 

Resolver X X X X X X 

SIN_COS X X X 1) 

Formfaktoranalyse Messsignal 

Plausibilitätstest Positionssignal versus 

Geschwindigkeit 

SSI X X X X 

1) Nur im High-Resolution Mode 

Überwachung Clk-Frequnz


4.2.2.5 Sicherheitsgerichtete Abschaltschwellen Encodersysteme für Positions- und 

Geschwindigkeitserfassung 

Als Basismaßnahme werden zwischen den beiden Messkanälen A und B für Geschwindigkeit 

und Position der Safety-M Baugruppe Plausibilitätstests mit den aktuellen Werten der Position 

und Geschwindigkeit durchgeführt und gegen parametrierbare Schwellen getestet. 

Die Abschaltschwelle Inkremental beschreibt die tolerierbare Positionsabweichung zwischen 

den beiden Erfassungskanälen A und B in der Einheit der Messstrecke. 

Die Abschaltschwelle Geschwindigkeit beschreibt die tolerierbare 

Geschwindigkeitsabweichung zwischen den beiden Erfassungskanälen A und B. 

Für die Ermittlung der für die Applikation optimalen Parameterwerte stehen Diagnosefunktionen 

innerhalb des SCOPE-Dialogs des Parametriertools zur Verfügung. 

Hinweis: 

Geschwindigkeit und Beschleunigung sind erfasste Werte mit einer minimalen digitalen 

Auflösung. 

Dieser Umstand begrenzt die kleinst-mögliche Erfassung der Geschwindigkeit bzw. 

Beschleunigung und bestimmt die digitale Schrittweite für die Eingabewerte. 

Geschwindigkeitsauflösung: 

Die Erfassung der Geschwindigkeit erfolgt bis zu einer Frequenz von 500 Hz bzw. 

500 Schritte/s im Frequenzmessverfahren, darunter in einem Zeitmessverfahren. Hieraus ergibt 

sich der nachfolgend dargestellte Verlauf des Erfassungsfehlers: 

Beschleunigungsauflösung: 

Die digitale Auflösung der Beschleunigung wird durch die maximale Torzeit von 256 ms und die 

Auflösung der Encoder beschränkt. Unten aufgeführte Grafiken zeigen die niedrigste, messbare 

Beschleunigung in Abhängigkeit der Auflösung in Umdrehung/min, mm/s² und m/s². 


Version: 24F - HB-37350-810-01-24F-DE


Wert Wert 

Beschleunigung [U/min/s] Beschleunigung [mm/s²] und [m/s²] 

Auflösung 

Grafik Beschleunigungsauflösung, rotatorisch Grafik Beschleunigungsauflösung, linear 

(Werte in U/min/s) (Werte in mm/s und m/s²) 


� Der Fehler kann durch geeignete Wahl der Sensor-Auflösung für den jeweiligen 

Anwendungsfall optimiert werden. 

Auflösung 

� Für Applikationen mit begrenzter Auflösung, und/oder Zeitvarianz des Abtastsignals, 

kann die Funktionsfähigkeit der verwendeten Überwachungsfunktionen durch Einsatz 

eines Mittelwertfilters verbessert werden. Durch das Mittelwertfilter werden digitale 

Störanteile der Sensoren „geglättet“. Dies wird jedoch auf Kosten einer erhöhten 

Reaktionszeit des Gesamtsystems erreicht. 

� Die Filterzeit kann variabel zwischen 0 und 64 in Stufen von 8 eingestellt werden. Die 

Dimension ist „msec“. Für die Ermittlung der Reaktionszeit des Gesamtsystems müssen 

die Filterzeiten zu den angegebenen Reaktionszeiten des Safety-M-Systems addiert 

werden ( siehe Kapitel 11 ). 




� Werden durch den Hersteller zur Gewährleistung der angegebenen 

sicherheitstechnischen Kennwerte spezifische Diagnosen gefordert, so sind diese gemäß 

vorstehender Tabelle „Spezifische Diagnosemaßnahmen für Positions- und 

Geschwindigkeitssensoren“ in Bezug auf den spezifischen Geber zu prüfen. Im Zweifel ist 

eine Abklärung durch den Hersteller erforderlich. 


Version: 24F - HB-37350-810-01-24F-DE


� Die in der Tabelle angeführten DC-Werte sind konservativ anzusetzen und die Einhaltung 

der Randbedingungen (siehe Tabelle unter „Anmerkungen“) zu gewährleisten. 

� Zur Ermittlung des DC-Wertes für Sicherheitsfunktionen mit Stillstandüberwachung ist 

u.U. eine Abschätzung der Häufigkeit des dynamischen Zustands erforderlich. Als 

Richtwert kann hier ein DC von 90% angenommen werden. 

� Fehlerausschlüsse sind nach den einschlägigen Normen zulässig. Die dabei angeführten 

Randbedingungen sich dauerhaft zu gewährleisten. 


Sicherheitsfunktion erforderlich sind, sind deren Teilwerte jeweils korrekt nach gewähltem 

Verfahren zusammenzuführen. Dies gilt auch für eine Kombination aus digitalen und 

analogen Sensoren (z.B. sicher reduzierte Geschwindigkeit bei geöffneter Schutztür = 

Türkontakt + Encoder für Geschwindigkeitserfassung) 

� Durch geeignete Auswahl der Auflösung des Sensorsystems ist eine ausreichende 

geringe Toleranz in Bezug auf die jeweiligen Abschaltschwellen der einzelnen 

Sicherheitsfunktionen zu gewährleisten. 

� Bei Verwendung des Encoder-Eingangsfilters ist die Verlängerung der Reaktionszeit bei 

der Beurteilung der sicherheitstechnischen Funktion zu berücksichtigen. 


Version: 24F - HB-37350-810-01-24F-DE


4.2.2.6 Sicherheitstechnische Bewertung der Encodertypen bzw. deren Kombination 

Aufgrund der in der Safety-M-Baureihe implementierten Überwachungsfunktionen werden bei 

Applikationen mit Encodersystemen zunächst keine gesonderten Anforderungen an den inneren 

Aufbau der Encoderelektronik gestellt, d.h. in der Regel kann mit Standardgebern gearbeitet 

werden. 

Generell ist eine sicherheitstechnische Bewertung der Gesamtanordnung zu treffen. Hierbei sind 

die Angaben des Herstellers des Encoders (FIT, MTTF) sowie der DC aus den Tabellen unter 

4.2.2 heranzuziehen. 

Bei Verwendung von Einzelgebern ist mindestens ein Fehlerausschluss für die mechanische 

Betätigungskette sowie des einkanaligen Teils unter Beachtung der einschlägigen Vorgaben aus 

EN 13849-1 zu treffen. Die Hinweise unter 4.2.2 sind weiter zu beachten. 

Pl d und höher nach EN 13849-1 wird in der Regel durch eine Kombination aus zwei Encoder mit 

vorrangig unterschiedlicher Technologie und getrennter mechanischer Anbindung erreicht. 

Die Verwendung von Kompakt-Encoder mit innerem 2-kanaligem Aufbau unterschiedlicher 

Technologie ist ebenso geeignet für Anwendungen bis Pl e nach EN 13849-1 jedoch unter 

Beachtung der spezifisch erforderlichen Fehlerausschlüsse und deren Zulässigkeit. In der Regel 

sollten hierfür Geber mit nachgewiesenen sicherheitstechnischen Eigenschaften verwendet 

werden, deren Sicherheitsniveau mindesten dem geforderten Niveau entspricht. 


� Die Verwendung von Standard-Encoder bzw. eine Kombination von Standard-Encoder ist 

zulässig. Für die Gesamtanordnung bestehend aus Encoder, weiteren 

Sensoren/Schaltelementen zur Auslösung der Sicherheitsfunktion, der Safety-M- 

Baugruppe und dem Abschaltkanal ist eine sicherheitstechnische Bewertung erforderlich. 

Zur Ermittlung des erreichten Sicherheitsniveaus sind u.a. die Angaben des Herstellers 

(FIT, MTTF) und des DC gemäß Vorgaben unter 4.2.2 heranzuziehen. 

� Bei Verwendung von nur einem Encoder muss der Fehlerausschluss Wellenbruch / Fehler 

in der mechanischen Encoderanbindung getroffen werden. Hierzu sind geeignete 

Maßnahmen zu treffen, z.B. eine formschlüssige Anbindung des Gebers mittels Nut-Keil 

oder Sicherungsstift. Die einschlägigen Hinweise des Herstellers sowie der EN 13849-1 

hinsichtlich Anforderung und Zulässigkeit des Fehlerausschlusses sind zu beachten. 

� Als Einzelgeber sind vorzugsweise nur Geber mit nachgewiesenen 

sicherheitstechnischen Eigenschaften zu verwenden. Das Sicherheitsniveau dieser Geber 

muss mindestens dem angestrebten Sicherheitsniveau der Gesamtanordnung 

entsprechen. Die Hinweise des Herstellers in Bezug auf Diagnosemaßnahmen, 

mechanischer Anbindung und Maßnahmen der Spanungsversorgung sind zu beachten. 

� SIN/COS-Encoder: Der innere Aufbau des Sensorsystems muss so gestaltet sein, dass 

die Generierung der Ausgangssignale beider Spuren unabhängig voneinander erfolgt und 

Common-Cause Fehler ausgeschlossen werden können. Weiter ist der mechanische 

Aufbau nachzuweisen, z.B. Befestigung der Code-Scheibe an der Welle. Vorzugsweise 

sind Encoder mit nachgewiesenen sicherheitstechnischen Eigenschaften zu verwenden. 

� Bei Verwendung von Kompaktgebern mit internem zweikanaligem Aufbau, z.B. SSI + 

Inkremetal/SinCos, sind die Hinweise des Herstellers in Bezug auf sicherheitstechnische 

Eigenschaften Diagnosemaßnahmen, mechanischer Anbindung und Maßnahmen der 

Spanungsversorgung zu beachten. Das Sicherheitsniveau des Gebers muss mindestens 


Version: 24F - HB-37350-810-01-24F-DE


dem angestrebten Sicherheitsniveau der Gesamtanordnung entsprechen. Vorzugsweise 

sind Encoder mit nachgewiesenen sicherheitstechnischen Eigenschaften zu verwenden. 

Durch die Safety-M Baugruppe werden generell folgende Fehler des externen 

Encodersystems erkannt: 

� Kurzschlüsse zwischen den sicherheitsrelevanten Signalleitungen 

� Unterbrechungen an den sicherheitsrelevanten Signalleitungen 

� Stuck at 0 oder 1 auf einem oder allen sicherheitsrelevanten Signalleitungen 

Jedem Gebertyp sind weitere, spezifische Diagnosen zur Fehleraufdeckung des externen 

Encodersystems zugeordnet. Die jeweiligen Diagnosemaßnahmen sind nachstehend bei den 

einzelnen Gebertypen zusammen mit den Grenzparameter aufgelistet 


� Die Diagnosemaßnahmen weisen naturgemäß Toleranzen infolge von 

Messungenauigkeiten auf. Diese Toleranzen sind bei der sicherheitstechnischen 

Bewertung jeweils zu berücksichtigen. 

� Die Grenzwerte für die jeweiligen Diagnosemaßnahmen sind z.T. parametrierbar bzw. 

fest vorgegeben. Die sich hieraus ergebenden Diagnosedeckungsgrade sind 

applikationsbezogen zu bewerten und in die sicherheitstechnische Gesamtbewertung 

einzubeziehen. 


Version: 24F - HB-37350-810-01-24F-DE


4.2.3 Analogsensoren 

Die Basisbaugruppen SMX12A verfügt über zwei Analogeingänge mit je zwei Eingangskanälen. 

Grundsätzlich sind an dieses Interface nur 2-kanalige Sensoren anzuschließen. 

Die interne Signalverarbeitung erfolgt getrennt in beiden Kanälen mit Kreuzvergleich der 

Ergebnisse. 

X 

X 

U 

U 

SensorA 

SensorB 

IA 

IB 

im 

im 


Zwe 

ikanaliges Sensorsystem mit getrennter Signalverarbeitung in zwei Kanäle, Diagnose durch Quervergleich in der PES 

Analog zu den anderen Sensorsystem sind eine Reihe von Diagnosemaßnahmen implementiert. 

Grundsätzlich können die Diagnosemaßnahmen bezüglich ihrer Art und Wirksamkeit gemäß 

nachstehender Tabelle klassifiziert werden: 

Diagnosen für Sensoren zur Position- und/oder Geschwindigkeitserfassung: 




dynamischem Test, wenn 

Kurzschlüsse nicht bemerkt 

werden können (bei Mehrfach- 

Ein-/Ausgängen) 






logische 



Ausfälle und Kurzschlüsse (bei 

Mehrfach-Ein-/Eingängen) 



LA 

c 

LB 

m 

i 

m 

i 

OA 

OB 

90 Vergleich der analogen 

Eingangswerte mit 

gleicher Charakteristik 

für beide Kanäle 

99 Vergleich der analogen 

Eingangswerte mit 

diversitärer 

Charakteristik der beiden 

Kanäle. Z.B. inverser 

Signalverlauf etc. 

Überwachung 2-kanaliger 

Systeme mit gleicher 

Charakteristik der 


Überwachung 2-kanaliger 

Sensorsystemen mit 

diversitärer Charakteristik 

der Eingangssignale










Sicherheitsfunktion erforderlich sind, sind deren Teilwerte jeweils korrekt nach gewähltem 

Verfahren zusammenzuführen. Dies gilt auch für eine Kombination aus digitalen und 

analogen Sensoren (z.B. sicher reduzierte Geschwindigkeit bei geöffneter Schutztür = 

Türkontakt + Encoder für Geschwindigkeitserfassung) 

4.2.3.1 Anschlussbeispiel analoge Sensoren 

Durch Verwendung geeigneter Sensoren und sorgfältiger Verkabelung des Sensors kann 

Pl e nach EN ISO 13849 erreicht werden. 

Die analogen Stromeingänge sind jeweils mit einem festen Bürdenwiderstand von 500Ω bestückt. 

Bei analogen Spannungseingängen entfällt dieser Widerstand. 


� Pl e nach EN ISO 13849-1 wird erreicht, wenn zwei rückwirkungsfreie Sensoren 

verwendet werden für welche Common-Cause-Fehler ausgeschlossen werden können. . 


Version: 24F - HB-37350-810-01-24F-DE


4.3 Sicherheitstechnische Kenndaten und Beschaltung der Ausgänge 

Die Safety-M-Baugruppen verfügen jeweils über sichere Ausgänge unterschiedlichen Typs. Bei 

der Beschaltung ist die jeweilige Charakteristik gemäß nachstehender Beschreibung zu 

berücksichtigen. 

4.3.1 Charakteristik der Ausgangselemente 

IA 

IB 

im 

im 

LA 

c 

LB 

m 

i 

m 

i 



OA 

OB 

PES Aktuator 

Einkanaliger Ausgang Safety-M und einkanaliger Aktuator ohne Diagnose 

IA 

IB 

im 

im 

LA 

c 

LB 

m 

i 

m 

i 

OA 

OB 

PES Aktuator 

Einkanaliger Ausgang Safety-M und einkanaliger Aktuator mit Diagnose 

IA 

IB 

im 

im 

LA 

c 

LB 

m 

i 

m 

i 

OA 

OB 

PES Aktuator 

Einkanaliger Ausgang Safety-M (Rel 1 / 2, DO 0/1P, DO 0/1M) und zweikanaliger Aktuator 

mit mind. einkanaliger Diagnose 

IA 

IB 

im 

im 

LA 

c 

LB 

m 

i 

m 

i 

OA 

OB 

PES Aktuator 

Einkanaliger Ausgang Safety-M mit intern zweikanaliger Verarbeitung 

und zweikanaliger Aktuator mit mind. einkanaliger Diagnose 

K1 

K1 

K1 

K2 

K1 

K2


IA 

IB 

im 

im 

LA 

c 

LB 

m 

i 

m 

i 



OA 

OB 

PES Aktuator 

Einkanaliger Ausgang Safety-M mit intern zweikanaliger Verarbeitung und 

zweikanaliger Aktuator mit zweikanaliger Diagnose 

4.3.2 Diagnosen im Abschaltkreis 

IA 

IB 

im 

im 

LA 

c 

LB 

m 

i 

m 

i 

OA 

OB 

PES Aktuator 

Zweikanaliger Ausgang Safety-M und zweikanaliger Aktuator 

mit einkanaliger Diagnose 

IA 

IB 

im 

im 

LA 

c 

LB 

m 

i 

m 

i 

OA 

OB 

PES Aktuator 

Zweikanaliger Ausgang Safety-M und zweikanaliger Aktuator 

mit zweikanaliger Diagnose 

Die Abschaltkreise verfügen über fest implementierte und parametrierbare Diagnosefunktionen. 

Bestimmte Diagnosefunktionen schließen auch den externen Teil des Abschaltkanals mit ein. 

Abhängig von der Nutzung dieser Diagnosefunktionen ergeben sich unterschiedliche DC-Werte. 

4.3.2.1 Diagnosefunktionen 

Fest implementierte Diagnosefunktionen: 

Kreuzweises Rücklesen der Ausgänge: 

Sämtliche Sicherheitsausgänge werden jeweils im komplementären Kanal zurück gelesen. Fehler 

im internen Abschaltkreis der Safety-M-Baugruppe werden so mit DC = Hoch detektiert. 

Testung der Abschaltfähigkeit für Rel 1 und 2 (nur Ansteuerung des Relais), DO 0P, DO 0M, 

DO 1P, Do 1M: 

Die Abschaltfähigkeit dieser Ausgänge wird zyklisch getestet. Ein Ausfall der Abschaltmöglichkeit 

wird eindeutig erkannt. 

Parametrierbare Diagnosefunktionen: 

Rücklesen des Aktuatorstatus über Hilfskontakte, Stellungsanzeigen etc: 

K1 

K2 

K1 

K2 

K1 

K2


Der aktuelle Status des Aktuators wird durch Rücklesen von entsprechend geeigneten 

Hilfskontakten oder Stellungsanzeigen erfasst und mit dem Sollstatus verglichen. Eine 

Abweichung wird so eindeutig erkannt. 

Hinweis: Der DC ist abhängig von einer einkanaligen oder zweikanaligen Diagnose sowie von der 

Schalthäufigkeit. 

Testung der Abschaltfähigkeit für EAA1..40: 

Die Abschaltfähigkeit dieser Ausgänge wird nach Aktivierung der Funktion zyklisch getestet. Ein 

Ausfall der Abschaltmöglichkeit wird eindeutig erkannt. 

4.3.2.2 Übersicht DC in Bezug auf gewählte Diagnosefunktionen 


Überwachung der Ausgänge 

durch einen Kanal ohne 

dynamischen Test 

Redundanter Abschaltpfad 

mit Überwachung eines der 

Antriebselemente 


Ausgangssignalen mit 




logische 



Ausfälle und Kurzschlüsse 

(bei Mehrfach-Ein- 

/Eingängen) 

0-90% DC abhängig von der 

Schalthäufigkeit 

Bei Verwendung von 

Elementen zur 

Schaltverstärkung (externe 

Relais oder Schütze) nur 

wirksam in Verbindung mit 

Rücklesefunktion der 

Schaltkontakte 

90% Bei Verwendung von 

Elementen zur 






99% Bei Verwendung von 

Elementen zur 






Für Applikationen mit häufiger 

Anforderung der 

Sicherheitsabschaltung sollten 

in kürzen Zeitintervallen z.B. 

bei Schichtbeginn, 1 x pro 

Woche getestet werden. Ein 

Test sollte jedoch mindestens 

zyklisch 1 x pro Jahr erfolgen. 

Überwachung von 

elektromechanischen, 

pneumatischen oder 

hydraulischen Aktuatoren / 

Ausgängen 


Ausgänge mit direkter 

Funktion als 

Sicherheitsschaltkreis oder 


Sicherheitsschaltkreisen mit 

Elementen zur 

Schaltverstärkung oder 

pneumatischen / 

hydraulischen 

Steuerventilen in 


Rücklesefunktion von deren 

Schaltstatus 


Ausgänge mit direkter 

Funktion als 

Sicherheitsschaltkreis oder 


Sicherheitsschaltkreisen mit 

Elementen zur 

Schaltverstärkung oder 

pneumatischen / 

hydraulischen 

Steuerventilen in 


Rücklesefunktion von deren 

Schaltstatus 


Version: 24F - HB-37350-810-01-24F-DE


4.3.3 Basisausgänge 

Die Baugruppen 

� SMX10, Safety-MS1, Safety-MSP1, Safety-MS2, Safety-MSP2 

� SMX31 

verfügen jeweils über die baugleichen Basisausgänge. 

Die Safety-M Baugruppe stellt insgesamt 8 Ausgänge zur Verfügung, die entweder einzeln oder 

in Gruppen zusammengeschaltet werden können. 

Ausgang Architektur nach EN 

ISO 13849-1 

Bemerkung 

K1 und K2 4 Vollständiger Abschaltkanal entsprechend 

Architektur Kategorie 4 nach EN ISO 

13849-1 

K1 Nicht sicher Nur funktional 

K2 Nicht sicher Nur funktional 

DO0_P und 

DO0_M 

4 Vollständiger Abschaltkanal entsprechend 


13849-1 

DO0_P Nicht sicher Nur funktional 

DO0_M Nicht sicher Nur funktional 

DO1_P und 

DO1_M 

4 Vollständiger Abschaltkanal entsprechend 


13849-1 

DO1_P Nicht sicher Nur funktional 

DO1_M Nicht sicher Nur funktional 

O.1 Nicht sicher Melde- / Hilfsausgang 

O.2 Nicht sicher Melde- / Hilfsausgang 

Die HISIDE und LOWSIDE Ausgänge werden in allen Betriebszuständen einem Plausibilitätstest 

unterzogen. Im eingeschalteten Zustand werden alle Ausgänge mit einem zyklischen Testimpuls 

auf korrekte Funktion geprüft. Dazu wird der Ausgang für maximal für eine Testdauer TT



� Für Applikationen mit häufiger Anforderung der Sicherheitsabschaltung sollten in kürzen 

Zeitintervallen z.B. bei Schichtbeginn, 1 x pro Woche getestet werden. Ein Test sollte 

jedoch mindestens zyklisch 1 x pro Jahr erfolgen. 

� Die Testfunktion der Ausgänge wird bei Gruppen- und Einzelansteuerung ausgeführt. Die 

Hilfsausgänge werden nicht getestet. 

� Die High-Side (DO.0_P, DO.1_P) und Low-Side (DO.0_M, DO.1_M) Ausgänge dürfen 

einzeln nicht für Sicherheitsaufgaben verwendet werden. Die Verwendung für 

Sicherheitsaufgaben ist nur in Kombination High-Side / Low-Side zulässig 

Die Ausgänge können wie folgt belastet werden: 

Ausgang Spannung Strom 

K1, K2 24 VDC 2,0 A 

K1, K2 230VAC 2,0 A 

O.1, O.2 24 VDC 100 mA 

DO.0_P, 

DO.1_P 

DO.0_M, 

DO.1_M 

24 VDC 250 mA 

GNDEXT 250 mA 


� Für sicherheitstechnische Anwendungen dürfen nur externe Schaltelemente mit einem 

minimalen Haltestrom von > 1,2mA verwendet werden. 

� Für das Ausgangssystem sind eine Reihe von Diagnosemaßnahmen implementiert. Zu 

beachten ist hier insbesondere die Einbeziehung von Elementen zur Schaltverstärkung 

wie Relais, Schütze etc. im Abschaltkreis. 


Version: 24F - HB-37350-810-01-24F-DE


4.3.3.1 Beschaltungsbeispiele Basisausgänge 

4.3.3.1.1 Einpolig schaltender Relais- oder Halbleiter-Ausgang ohne Prüfung 

Zur Anschaltung mehr-phasiger Anwendungen bzw. bei erhöhtem Strombedarf können externe 

Schütze verwendet werden. Bei einer einpoligen Anschaltung ohne externe Prüfung ist zu 

beachten, dass ein Verkleben eines oder mehrerer externer Kontakte von der Safety-M 

Baugruppe nicht erkannt wird. Das nachfolgende Schaltbeispiel ist für Sicherheitsanwendungen 

nur eingeschränkt geeignet, es kann maximal Pl b nach EN 13849-1 erreicht werden! 

DO0_P 

DO0_M 

DO1_P 

DO1_M 

L+ 

DI1 

DI2 

DI3 

DI4 

X21 

X14 

L- 

Bild: Einpolig schaltender P-Ausgang. 

X22 

K1 

K2 

Bild: Einpolig schaltender Relaisausgang. 


L+ 

L- 

� Nicht empfohlen für Sicherheitsanwendungen! Siehe hierzu auch Hinweise in der EN 

13849-1 zur Anwendung und erforderlichen Fehlerausschlüssen. 


Version: 24F - HB-37350-810-01-24F-DE


4.3.3.1.2 Einpolig schaltender Relais- oder Halbleiterausgang mit externem Schaltverstärker und 

Testung 

Bei Verwendung externer Schaltverstärker, bzw. nachgeordneter elektromechanischer, 

pneumatischer oder hydraulischer Bauteile wird zur Erreichung von Pl c oder höher eine 

Einrichtung zur Testung der kompletten Kette und eine Melde-/Warneinrichtung bei erkanntem 

Fehler benötigt. 

Insbesondere sind für elektromechanische Geräte zwangsgeführte Hilfskontakte bzw. für 

hydraulische oder pneumatische Komponenten Meldekontakte der Ventilstellung erforderlich. 

Die Melde-/Warneinrichtung muss unmittelbar dem Bediener die Gefahrensituation kenntlich 

machen. 

Der erzielbare Pl ist stark von der Testrate abhängig, es kann maximal Pl d nach EN 13849-1 

erreicht werden! 

DO0_P 

DO0_M 

DO1_P 

DO1_M 

DI13 

DI14 

P1 

P2 

NC 

NC 

DO.1 

DO.2 

L + 

L - 

X43 

X42 

X65 

Bild: Einpolig schaltender Relaisausgang mit Testung 


� Nur bedingt empfohlen für Sicherheitsanwendungen! Siehe hierzu auch Hinweise in der 

EN 13849-1 zur Anwendung und erforderlichen Fehlerausschlüssen. 

� Für Pl c oder höher ist eine Testrate > 100 * Anforderungsrate erforderlich 

� Für PL c und höher ist eine Melde/Warneinrichtung erforderlich welche unmittelbar dem 

Bediener die Gefahrensituation kenntlich macht 


Version: 24F - HB-37350-810-01-24F-DE


4.3.3.1.3 Einpolig schaltender Relais- oder Halbleiterausgang mit zweikanaligem externem Kreis 

mit Testung 

Für Sicherheitsanwendungen ab Pl c nach EN ISO 13849-1wird empfohlen, bzw. gefordert zwei 

externe Abschaltelemente anzusteuern. Weiter wird zur Erreichung von Pl c oder höher eine 

Einrichtung zur Testung der kompletten Kette und eine Melde-/Warneinrichtung bei erkanntem 

Fehler benötigt – siehe hierzu Anmerkungen unter 4.3.3.1.2. 

DO0_P 

DO0_M 

DO1_P 

DO1_M 

DI13 

DI14 

P1 

P2 

NC 

NC 

DO.1 

DO.2 

L + 

L - 

X43 

X42 

X65 

Bild: Einkanalig schaltender Ausgang DO0_P mit zweikanaligem externem Kreis und 

Überwachung an Eingang 1 als Sammelrückmeldung 

Die beiden externen Überwachungskontakte werden in Reihe geschaltet, vom Taktsignal P1 

gespeist und über Eingang 1 eingelesen. Als Rückleseeingang wurde Eingang 1 verwendet, es 

kann jedoch auch jeder andere Eingang zugewiesen werden. 


Version: 24F - HB-37350-810-01-24F-DE


DO0_P 

DO0_M 

DO1_P 

DO1_M 

DI13 

DI14 

P1 

P2 

NC 

NC 

DO.1 

DO.2 

X43 

X42 

X65 

L + 

L - 

Bild: Einkanalig schaltender Ausgang DO0_P mit zweikanaligem externem Kreis als 

Kombination elektromechanisches Element und hydraulisches/pneumatisches Ventil und 

Überwachung an zwei Eingängen 






� Bei erhöhten Anforderungen ist zu beachten, dass alle 24 Stunden mindestens 1 

Schaltvorgang stattfinden muss, um die Schaltfähigkeit des externen Leistungsschütz zu 

testen. 


Version: 24F - HB-37350-810-01-24F-DE


4.3.3.1.4 Zweikanalig schaltender Relaisausgang mit externer Überwachung - 

Sammelrückmeldung 

Für Sicherheitsanwendungen ab Pl d nach EN ISO 13849-1 kommen zwei Relais auf der 

Safety-M Baugruppe und zwei externe Leistungsschütze zum Einsatz. 

DI1 

DI2 

DI3 

DI4 

DI13 

DI14 

P1 

P2 

X22 

X14 

X12 

K1 

K2 

Bild: Zweikanalig schaltender Relaisausgang mit externer Überwachung – 

Sammelrückmeldung 

Die Beiden externen Überwachungskontakte werden in Reihe geschaltet, von Taktsignal P1 

gespeist und von DI1 (als EMU – Eingang konfiguriert) eingelesen. Bei erhöhten Anforderungen 

ist zu beachten, dass mindestens alle 24 Stunden mindestens 1 Schaltvorgang stattfinden muss. 


� Zur Erreichung von Pl e nach EN ISO 13849-1 wird eine ausreichend hohe Testrate 

gefordert. 

� Für Applikationen mit häufiger Anforderung der Sicherheitsabschaltung sollten in kürzen 

Zeitintervallen z.B. bei Schichtbeginn, 1 x pro Woche getestet werden. Ein Test sollte 

jedoch mindestens zyklisch 1 x pro Jahr erfolgen. 



L+ 

L-


4.3.3.1.5 Zweikanaliger Ausgang mit Relaisausgang und Halbleiterausgang – externer 

Ansteuerkreis mit Überwachung 

Für Sicherheitsanwendungen ab Pl d und höher nach EN ISO 13849-1. Die Ansteuerung des 

externen Kreises erfolgt zweikanalig über einen Relais- und einen Halbleiterausgang. Jeder der 

beiden externen Abschaltpfade wird überwacht. Für PL e nach EN ISO 13849-1 ist eine 

ausreichend hohe Testrate sowie MTTFD = hoch für den externen Kreis gefordert. 

4.3.3.1.6 Zweikanaliger Ausgang mit Relaisausgang externer Ansteuerkreis in Pl e 


externen Kreises erfolgt zweikanalig über die Relaisausgänge. Für PL e nach EN ISO 13849-1 ist 

eine ausreichend hohe Testrate sowie Pl e für den externen Kreis gefordert. 

K1.1 

K1.2 

K2.1 

K2.2 

L + 

L - 

X44 

STO 

Pl e 


Version: 24F - HB-37350-810-01-24F-DE


4.3.3.1.7 Zweikanaliger Ausgang mit Halbleiterausgang und externem Ansteuerkreis in Pl e 


externen Kreises erfolgt zweikanalig über Halbleiterausgänge. Für PL e nach EN ISO 13849-1 ist 

Pl e für den externen Kreis gefordert. 

DO0_P 

DO0_M 

DO1_P 

DO1_M 

X43 

4.3.3.1.8 Beschaltung eines Hilfsausgangs 

Beide auf der Safety-M Baugruppe implementierten Halbleiterausgänge können für funktionale 

Applikationen beschaltet werden. Die Ausgänge werden nicht gepulst. 

O.1 

O.2 

X13 

Bild: Beschaltung eines Hilfsausgangs 

Anwendungen mit Hilfsausgängen sind für Sicherheitsanwendungen nicht zugelassen! 



STO 

Pl e 

L+ 

L-


4.3.4 Konfigurierbare I/O als Ausgänge 

Die Erweiterungsbaugruppe SMX31 verfügt über 10 konfigurierbare sichere I/O EAA1...EAA10 

(siehe Kapitel3 Baugruppenübersicht). Als Ausgang parametriert wirkt dieser Anschluss als 

sicherer digitaler Hi-Side Ausgang (DO_P). 

4.3.4.1 Klassifizierung der I/O bei Verwendung als Ausgang 

Architektur Performance Level Bemerkung 

Statisch einkanalig PL c 

- Fehlererkennung bzw. Fehlerreaktion 

gemäß Kat. 2 

Statisch zweikanalig PL e - Unterschiedliche Gruppe 

Gleiche Gruppe: 

- Ansteuerung zeitversetzt auf PLC-Ebene 

Statisch zweikanalig PL d 

- Fehleransatz Kurzschluss an beiden 

Ausgängen 

Unterschiedliche Gruppe: 

- Keine weitere Anforderung notwendig 

Dynamisch einkanalig PL e Keine weitere Anforderung notwendig 

Dynamisch 

zweikanalig 

PL e 

Keine weitere Anforderung notwendig 

Hinweis: 

1) Gruppe 1: EAA1 … EAA6 

Gruppe 2: EAA7 … EAA10 

2) Statisch: kein Pulstest am Ausgang 

Dynamisch: Pulstest am Ausgang mit tTest ≤ 500 µs 

4.3.4.2 Beschaltungsbeispiele für Ausgänge Erweiterungsbaugruppe 

4.3.4.2.1 Beschaltung einkanalig ohne Testung 

L+ 

L- 

EAA1 

EAA2 

P1 

P2 

EAA3 

EAA4 

EAA5 

EAA6 

EAA7 

EAA8 

EAA9 

EAA10 

X12 

X21 

X22 


Version: 24F - HB-37350-810-01-24F-DE



� Nicht empfohlen für Sicherheitsanwendungen! Siehe hierzu auch Hinweise in der EN 

13849-1 zur Anwendung und erforderlichen Fehlerausschlüssen. 

4.3.4.2.2 Beschaltung einkanalig mit Testung 

Verwendung von einem Ausgang EAA1..40 in Verbindung mit einer einkanaligen externen 

Beschaltung mit Testung. Insbesondere sind hierfür bei elektromechanischen Geräten 

zwangsgeführte Hilfskontakte bzw. für hydraulische oder pneumatische Komponenten 

Meldekontakte der Ventilstellung erforderlich. Weiter ist eine Melde-/Warneinrichtung zur Anzeige 

des Versagensfalls erforderlich. Die Melde-/Warneinrichtung muss unmittelbar dem Bediener die 

Gefahrensituation kenntlich machen. 

Der erzielbare Pl ist stark von der Testrate abhängig, es kann maximal Pl d nach EN 13849-1 

erreicht werden! 

EAA13 

EAA14 

EAA15 

EAA16 

DI13 

DI14 

P1 

P2 

NC 

NC 

DO.1 

DO.2 

X51 

X42 

X65 

L + 

L - 

Bild: Einpolig schaltender Relaisausgang mit Testung 




� Für Pl c oder höher ist eine Testrate > 100 * Anforderungsrate erforderlich 




Version: 24F - HB-37350-810-01-24F-DE


4.3.4.2.3 Einkanaliger Ausgang in Verbindung mit sicherem Abschaltkreis 

Für Sicherheitsanwendungen ab Pl c und höher nach EN ISO 13849-1. Die Ansteuerung des 

externen Kreises erfolgt direkt über einen Ausgang. Der erzielbare PL nach EN ISO 13849-1 ist 

abhängig von der Verwendung der dynamischen Testung (siehe 4.3.2.1 DC) sowie dem PL des 

nachgeordneten Geräts. 

L + 

L - 

EAA13 

EAA14 

EAA15 

EAA16 

X51 

STO 

Pl e 

Bild: Einpoliger Halbleiterausgang in Verbindung mit Gerät mit geprüfter Abschaltung 

4.3.4.2.4 Einkanaliger Ausgang in Verbindung mit zweikanaligem Abschaltkreis 

Geeignet für Pl d oder höher nach EN ISO 13849-1. Verwendung von einem Ausgang EAA1..40 

in Verbindung mit einer zweikanaligen externen Beschaltung mit Testung. Insbesondere sind 

hierfür bei elektromechanischen Geräten zwangsgeführte Hilfskontakte bzw. für hydraulische 

oder pneumatische Komponenten Meldekontakte der Ventilstellung erforderlich. 

Der erzielbare Pl ist von der Verwendung der dynamischen Testung sowie dem MTTFD-Wert des 

externen Kreises abhängig. Es kann maximal Pl e nach EN 13849-1 erreicht werden! 

EAA13 

EAA14 

EAA15 

EAA16 

DI13 

DI14 

P1 

P2 

L + 

L - 

X51 

X42 

Bild: Einpoliger Halbleiterausgang in Verbindung mit zweikanaligem Abschaltkreis mit Testung 


Version: 24F - HB-37350-810-01-24F-DE


4.3.4.2.5 Zweikanaliger Ausgang 

Geeignet für Pl d oder höher nach EN ISO 13849-1. Verwendung von zwei Ausgängen EAA1..40 

in Verbindung mit einer zweikanaligen externen Beschaltung. 

4.3.4.2.6 Beschaltung zweikanalig ingleicher Gruppe 

L+ 

L- 

EAA1 

EAA2 

P1 

P2 

EAA3 

EAA4 

EAA5 

EAA6 

EAA7 

EAA8 

EAA9 

EAA10 

X12 

X21 

X22 

4.3.4.2.7 Beschaltung zweikanalig in unterschiedlicher Gruppe 

L+ 

L- 

EAA1 

EAA2 

P1 

P2 

EAA3 

EAA4 

EAA5 

EAA6 

EAA7 

EAA8 

EAA9 

EAA10 

X12 

X21 

X22 


Version: 24F - HB-37350-810-01-24F-DE



� Für eine sicherheitstechnische Beurteilung des Teilsystems Ausgang sind bei 

Verwendung von externen Elementen im Abschaltkreis, z.B. zur Schaltverstärkung, deren 

Herstellerangaben (MTTFD, FIT-Zahlen, B10d-Wert etc.) heranzuziehen. 





� Bei Verwendung von Elementen zur Schaltverstärkung in Sicherheitskreisen ist deren 

Funktion mittels geeigneter Rücklesekontakte etc. zu überwachen (siehe Schaltbeispiele). 

Geeignete Rücklesekontakte sind Kontakte welche zwangsschaltend mit den Kontakten 

im Abschaltkreis verbunden sind. 

� Die Schaltfähigkeit der externen Schaltverstärker ist zyklisch zu prüfen. Der Zeitraum 

zwischen 2 Prüfungen ist nach Anforderung durch die Applikation festzulegen und durch 

geeignete Maßnahmen sicherzustellen. Geeignete Maßnahmen können organisatorischer 

(Aus- und Einschalten bei Schichtbeginn etc.) oder technischer (automatisches, 

zyklisches Schalten) Natur sein. 


Version: 24F - HB-37350-810-01-24F-DE


4.3.4.3 Übersicht erreichbarer Pl für digitale Sicherheitsausgänge 

Ausgang 

Safety-M 

Einkanalig 

ohne 

dynamischen 

Ausgangstest 

Rel 1 od. 2 

DO 0P, DO 

0M, DO 1P, 

DO 1M 

EAA1..EAA40 

Einkanalig 

ohne 

dynamischen 

Ausgangstest 

Rel 1 od. 2 

oder 

Einkanalig 

DO 0P, DO 

0M, DO 1P, 

DO 1M 

Einkanalig 

ohne 

dynamischen 

Ausgangstest 

EAA1..EAA40 

Einkanalig mit 

dynamischen 

Ausgangstest 

EAA1..EAA40 

Aktuator / 

externer 

Abschaltkreis 

Einkanalig 

Schütz, Ventil, 

Bremse etc. 

ohne direkte 

Rückführung zur 

Diagnose 

Einkanalig 


Bremse etc. mit 

überwachtem 

zwangsgeführte 

n Hilfskontakt 

Zweikanalig 



direkter 


Diagnose mind. 

in einem Kanal 

oder 

Aktuator 

einkanalig 

angesteuert mit 

Sicherheitsfunkti 

on Kat. 3 (z.B. 

STO) 

Zweikanalig 



direkter 




oder 

Aktuator 

einkanalig 

angesteuert mit 



STO) 

Zweikanalig 



direkter 


Diagnose in 

beiden Kanälen 

oder 

Aktuator mit 



STO) 

Katego 

- rie 

nach 

EN138 

49-1 

DC MTTFD 

Aktua 

tor 

Erziel 

barer 

Pl 

nach 

EN 

13849- 

1 

Randbedingung Fehleraus 

schluss 

Kat. B 0 % Mittel b Schütz und 

nachgeordnete 

Aktuatoren geeignet 

ausgelegt für 

Sicherheitsanwendung 

Kat. 2 60- 

90% 

Abhängig 

von 

Schalthä 

ufigkeit 

Kat. 2 90% Überwac 

hung nur 

in einem 

externen 

Abschalt 

kreis 

Kat. 3 90 % Überwac 

hung nur 

in einem 

externen 

Abschalt 

kreis 


hung in 

beiden 

externen 

Abschalt 

kreisen 



Mittel 

b Meldeausgang 

erforderlich zur Warnung 

bei erkannter 

Fehlfunktion 

Schütz und 

nachgeordnete 




Hoch c Wie vor 

d Wie vor 

DC = 90% durch in 

Bezug auf die 

Applikation ausreichend 

hohe Testrate 

Mittel c Meldeausgang 

erforderlich zur Warnung 

Hoch d 

bei erkannter 

Fehlfunktion 

Mittel 

od. 

Hoch 

Schütz und 

nachgeordnete 




d Schütz und 

nachgeordnete 




Hoch e Schütz und 

nachgeordnete 




Überwachung 

elektromechanischer 

Komponenten durch 


Schalter, 

Stellungsüberwachung 

von Schaltventilen etc. 

Kurzschluss 

an externer 

Ansteuerung 

Kurzschluss 

an externer 

Ansteuerung


Ausgang 

Safety-M 

Zweikanalig 

ohne 

dynamischen 

Ausgangstest 

Rel 1 und Rel 

2 

2 x 

EAA1..EAA40 

Zweikanalig 

Rel 1 und Rel 

2 

oder 

Zweikanalig 

mit 

dynamischen 

Ausgangstest 

DO 0P und, 

DO 0M, 

DO 1P und 

DO 1M 

2 x 

EAA1..EAA40 

Aktuator / 

externer 

Abschaltkreis 

Zweikanalig 



direkter 




oder 

Aktuator mit 



STO) 

Zweikanalig 



direkter 


Diagnose in 

beiden Kanälen 

oder 

Aktuator mit 



STO) 

Katego 

-rie 

nach 

EN138 

49-1 

DC MTTFD 

Aktuat 

or 


hung in 

beiden 

externen 

Abschalt 

kreisen 


hung in 

beiden 

externen 

Abschalt 

kreisen 

Erziel 

barer 

Pl 

nach 

EN 

13849- 

1 

Randbedingung Fehleraus 

schluss 



Mittel 

od. 

Hoch 

d Schütz und 

nachgeordnete 




Überwachung 




Schalter, 



Ausgänge EAA1..40 je 1 

x aus unterschiedlichen 

Gruppen (jeweils 

Gruppen von 6/4 

zusammenhängende 

EAA-Ports, z.B. 

EAA1..6,EAA7..10) 

oder 

Ansteuerung zeitversetzt 

auf PLC-Ebene 

Hoch e Schütz und 

nachgeordnete 




Überwachung 




Schalter, 



Für Applikationen mit 

häufiger Anforderung 

der 

Sicherheitsabschaltung 

sollten in kürzen 

Zeitintervallen z.B. bei 

Schichtbegin, 1 x pro 

Woche getestet werden. 

Ein Test sollte jedoch 

mindestens zyklisch 1 x 

pro Jahr erfolgen. 

Kurzschluss 

an externer 

Ansteuerung 

Kurzschluss 

an externer 

Ansteuerung 

in beiden 

Kanälen


5 Anschluss und Installation 

5.1 Allgemeine Installationshinweise 

Bei der Installation unbedingt die Sicherheitshinweise beachten! 

Schutzart IP52 

Führen Sie alle Signalleitungen für die Anschaltung der digitalen Eingänge und 

Kontaktüberwachungen getrennt. 

Trennen Sie in jedem Fall 230VAC Spannungen von Niederspannungsleitungen, 

falls diese Spannungen im Zusammenhang mit der Applikation verwendet 

werden. 

Die Kabellängen für die Digitalen Eingänge und Ausgänge dürfen im Regelfall 30m nicht 

überschreiten. 

Falls die Kabellängen einen Wert von 30m überschreiten, sind geeignete Maßnahmen zum 

Fehlerausschluss von unzulässigen Überspannung zu treffen. Geeignete Maßnahmen sind 

beispielsweise Blitzschutz für Außenleitungen, Überspannungsschutz der Anlage im 

Innenbereich, geschützte Kabelverlegung. 

Maßnahmen zur Elektromagnetischen Verträglichkeit ( EMV ) 

Die Safety-M Baugruppe ist für den Einsatz im Antriebsumfeld vorgesehen und erfüllt die oben 

genannten EMV-Anforderungen. 

Weiterhin wird vorausgesetzt, dass die elektromagnetische Verträglichkeit des Gesamtsystems 

durch einschlägig bekannte Maßnahmen sichergestellt wird. 

Verwendung der Baugruppe als PESSRAL nach EN81: 

Bei Verwendung der Baugruppe als PESSRAL gemäß EN81 (Aufzugsnorm) ist das Gerät in 

einem Mindestabstand von 200mm zu Sendeeinrichtungen mit den nachfolgend angegebenen 

Frequenzbereichen (Mobilfunk, etc). 166-1000 MHz, 1710-1784 MHz, 1880-1960 MHz zu 

installieren. Die Feldstärke der Sendeeinrichtung darf folgende Feldstärken nicht überschreiten: 

30V/m bei 166-1000 und 1710-1784 MHz, 10V/m bei 1880-1960 MHz . 

Zusätzlich ist hier der Einbau in ein geschlossenes Gehäuse mit Schutzgrad IP5X oder besser 

erforderlich. 


� Es ist sicherzustellen, dass die Spannungsversorgungsleitungen der Safety-M und 

„schaltenden Leitungen“ des Stromrichters getrennt voneinander verlegt werden. 

� Signalleitungen und Leistungsleitungen der Stromrichter sind in getrennten Kabelkanälen 

zu führen. Der Abstand der Kabelkanäle sollte mindestens 10 mm betragen. 

� Zum Anschluss der Positions- und Geschwindigkeitssensoren sind ausschließlich 

geschirmte Leitungen zu verwenden. Das Kabel zur Übertragung der Signale muss für 

RS-485-Standard geeignet sein (paarweise verdrillte Leitungen). 


Version: 24F - HB-37350-810-01-24F-DE


� Das richtige Auflegen des Schirms in den 9-poligen SUB-D-Steckern der Positions- und 

Geschwindigkeitssensoren ist zu beachten. Es sind nur metallische oder metallisierte 

Stecker zugelassen. 

� Die Schirmung auf der Sensorseite muss nach einschlägig bekannten Methoden 

ausgeführt sein. 

� Es ist auf eine EMV-gemäße Installation der Stromrichtertechnik im Umfeld der Safety-M 

Baugruppe zu achten. Besondere Beachtung sollte die Kabelführung und die 

Verarbeitung der Schirmung für die Motorleitung und den Anschluss des 

Bremswiderstandes finden. Hier müssen die Installationsrichtlinien des 

Stromrichtergeräteherstellers unbedingt Beachtung finden. 

� Alle Schütze im Umfeld des Umrichters müssen mit entsprechender Schutzbeschaltung 

ausgerüstet sein. 

� Es sind geeignete Maßnahmen zum Schutz gegen Überspannungen zu treffen. 

Zusätzliche Sicherheitshinweise bei Verwendung als PESSRAL nach EN81 

� Das Gerät in einem Abstand von mindestens 200 mm zu HF-Sendeeinrichtungen (WLAN, 

GSM etc.) zu installieren. Die Sendeeinrichtungen dürfen hierbei die max. Feldstärken wie 

oben angeführt nicht überschreiten. 

� Das Gerät muss in einem geschlossenen Gehäuse, IP5X oder besser eingebaut werden 


Version: 24F - HB-37350-810-01-24F-DE


5.2 Einbau und Montage Safety-M Baugruppe 

Der Einbau der Baugruppe erfolgt ausschließlich in Schaltschränken, die mindestens der 

Schutzart IP54 genügen. 

Die Baugruppen müssen senkrecht auf einer Hutschiene befestigt werden 

Die Lüftungsschlitze müssen ausreichend freigehalten werden um ein Luftzirkulation innerhalb 

der Baugruppe zu erhalten. 

5.3 Montage Rückwandbus 

Es besteht die Möglichkeit mehrere Safety-M Baugruppen (SMX10, Safety-MS1, Safety-MS2, 

SMX12A) auf einer Hutschiene in Verbindung mit dem Rückwandbus zu montieren. Diese 

Baugruppen können mit einer Kommunikationserweiterung kombiniert werden. In diesen Fall 

muss der Rückwandbus bei der Bestellung durch Kübler konfiguriert und entsprechend der 

vorliegenden Applikation geliefert werden. 

Der Rückwandbus besteht aus einem 5-poligen Steckverbinder mit Federkontakten. 

Standardmäßig sind bei den Steckverbindern alle 5 Kontakte bestückt. In diesen Fall besitzt das 

Bauteil keine besondere Kennzeichnung. Bei einer zweiten Variante des Steckverbinders sind 

lediglich 3 Kontakte bestückt. 

Anmerkung: 

Erweiterungsbaugruppen verfügen über kein eigenes Netzteil und sind auf eine DC-Versorgung 

über den Rückwandbus angewiesen. Basisbaugruppen (SMX10, Safety-MS1, Safety-MS2, 

SMX12A) verfügen über ein verstärktes Netzteil und speisen immer auf den Rückwandbus ein. 

Es gibt zwei Arten von Rückwandbusverbindern: 

� TB1: Standardausführung (alle Kontakte sind vorhanden) 

� TB2: Unterbrecherausführung (Die Beiden spannungsführenden Leiter sind nicht 

vorhanden und sind mit einem grünen Punkt gekennzeichnet) 

Verwendung des Rückwandbusverbinders TB1: 

Der Rückwandverbinder TB1 kann nur in Verbindung mit Erweiterungsbaugruppen ohne eigene 

Spannungsversorgung installiert werden. Eine Verbindung mehrerer Standalone-baugruppen ist 

nicht möglich. 

Verwendung des Rückwandbusverbinders TB2: 

Der Rückwandverbinder TB2 wird immer dann eingesetzt wenn mehrere Basisbaugruppen mit 

Erweiterungsbaugruppen kombiniert werden. Dies wird unter dem Punkt 4.3.1 noch einmal 

anschaulich dargestellt. 


Version: 24F - HB-37350-810-01-24F-DE


5.3.1 Anordnungsbeispiele 

5.3.1.1 Safety-MS1 + Safety-MS1 + Safety-MS1 + BMx/SMX51 

Safety-MS1 

Safety-MS1 

Zwischen der letzten Safety-MS1 Baugruppe und der Kommunikationsbaugruppe SMX51 ist 

keine TB2 angebracht, da für die SMX51 die Spannungsversorgung über den Rückwandbus 

eingespeist wird. 

5.3.1.2 Safety-MS2 + Safety-MS1 + BMx/SMX5x 

Safety-MS2 Safety-MS1 

Safety-MS1 

BMx / 

SMX5x 

BMx / 

SMX51 

Zwischen der letzten Safety-MS1 Baugruppe und der Kommunikationsbaugruppe BMx ist keine 

TB2 angebracht, da für die BMx die Spannungsversorgung über den Rückwandbus eingespeist 

wird. 


Version: 24F - HB-37350-810-01-24F-DE


5.4 Montage der Baugruppen 

Die Montage der Baugruppen erfolgt auf C-Normschienen mittels Schnapp-Klinke 

5.4.1 Montage auf C-Schiene 

Die Geräte werden schräg von oben in die Schiene eingeführt und nach unten eingeschnappt. 

Die Demontage erfolgt mittels eines Schraubendrehers welcher in den Schlitz der nach unten 

herausgeführten Klinke eingeführt und anschließend nach oben bewegt wird. 


Version: 24F - HB-37350-810-01-24F-DE


5.4.2 Montage auf Rückwandbus 

Nach Montage des Rückwandbus kann die Gerätemontage erfolgen. Die Baugruppe hierzu von 

schräg oben in Steckverbindung einführen und auf der C-Schiene aufschnappen 

Baugruppe von schräg oben einführen 

Nach unten auf der C-Schiene aufschnappen 


Version: 24F - HB-37350-810-01-24F-DE


Die Rückwandsteckverbindung kann nachträglich erweitert werden. Die Systemkonfiguration 

kann somit um zusätzliche Baugruppen erweitert werden. 

Rückwandbuselement in C-Schiene einschnappen und durch Verschieben seitlich in Gegenstück 

einführen 

5.5 Installation und Konfiguration I/O-Erweiterung SMX31 

5.5.1 Anmeldung SMX31 an Basisbaugruppe 

Nach dem Start des “SafePLC“ Programms ist zuerst das Basisgerät und dann die Erweiterung 

SMX31 auszuwählen. 

Hinweis: 


Version: 24F - HB-37350-810-01-24F-DE


Max. zwei SMX31 Baugruppen können mit einem Basisgerät betrieben werden. 

5.5.2 Physikalische Adresskonfiguration SMX31 

Auf der SMX31 Baugruppe muss die Busadresse mit Hilfe des Adressschalters eingestellt 

werden. 

Die Einstellung erfolgt auf der Rückseite der Baugruppe 

Hinweis: 

� Adressbereich der SMX31 Baugruppe von 1…15. 

� Adresse „0“ ist für das Basisgerät reserviert. 

5.5.3 Konfiguration der I/O-Belegung SMX31 

Im Hauptmenü des “SafePLC“ Programms kann durch “Doppelklick” auf das Basisgerät der 

Konfigurationsdialog für die SMX31 Baugruppe geöffnet werden. 

5.5.4 Logische Adresskonfiguration SMX31 

Im SMX31 Konfigurationsdialog müssen folgende Einstellungen durchgeführt werden: 

� Logischen Adresse SMX31Gerät x: Einstellung des Adressschalters der SMX31 Baugruppe x 


Version: 24F - HB-37350-810-01-24F-DE


� Gruppe1 EAAx.1-EAAx.6 bzw. Gruppe1 EAAx.7-EAAx.10: Bei Verwendung dieser Ausgänge 

kann zwischen Sicherheits- oder als Standardausgänge ausgewählt werden. 


Version: 24F - HB-37350-810-01-24F-DE


5.6 Klemmenbelegung 

5.6.1 Klemmenbelegung SMX 10 

5.6.2 Klemmenbelegung Safety-MS1 


Version: 24F - HB-37350-810-01-24F-DE


5.6.3 Klemmenbelegung Safety-MSP1 


Version: 24F - HB-37350-810-01-24F-DE


5.6.4 Klemmenbelegung Safety-MS2 

5.6.5 Klemmenbelegung SMX12 A 


Version: 24F - HB-37350-810-01-24F-DE


5.6.6 Klemmenbelegung Safety-MSP2 


Version: 24F - HB-37350-810-01-24F-DE


5.6.7 Klemmenbelegung SMX 31 

5.6.8 Klemmenbelegung SMX51 

Klemme Benennung Funktion 

X41:1 NC 

Mit Abschlusswiderstand 120Ohm 

X41:2 CAN_LO 

X41:3 CAN_GND 

X41:4 NC 

X41:5 NC 

X41:6 CAN_GND 

X41:7 CAN_HI 

X41:8 NC 

X41:9 NC 


Version: 24F - HB-37350-810-01-24F-DE


5.7 Externe 24 VDC – Spannungsversorgung 

Die Safety-M Baugruppe benötigt eine Spannungsversorgung von 24 VDC (siehe hierzu SELV 

oder PELV, EN50178). Bei der Projektierung und Installation des vorgesehenen Netzgerätes sind 

folgende Randbedingungen zu beachten: 

Die minimale und maximale Toleranz der Versorgungsspannung muss unbedingt beachtet 

werden. 

Nominalspannung DC 24 V 

Minimal: 24 VDC – 15% 20,4 VDC 

Maximal: 24 VDC + 20% 28,8 VDC 

Um eine möglichst kleine Restwelligkeit der Versorgungsspannung zu erreichen wird der Einsatz 

eines 3-phasigen Netzgerätes oder eines elektronisch geregelten Gerätes empfohlen. Das 

Netzgerät muss den Anforderungen nach EN61000-4-11 genügen (Spannungseinbruch). 

Die Auslegung der Verbindungskabel muss entsprechend der örtlichen Vorschriften erfolgen. 

Die Fremdspannungsfestigkeit der Safety-M Baugruppe beträgt 32 VDC (abgesichert durch 

Supressordioden am Eingang). 


� Die Safety-M Baugruppe ist einzeln extern mit einer Vorsicherung von 2A/24VDC 

abzusichern. Empfohlener Typ: einpoliger thermisch magnetischer Schutzschalter 

Charakteristik flink 

Anmerkungen: 

In jedem Fall muss die sichere galvanische Trennung zum 230 VAC bzw. 400 VAC Netz 

gewährleistet werden. Hierzu sind Netzgeräte auszuwählen, die den Vorschriften DIN VDE 0551, 

EN 60 742 und DIN VDE 0160 entsprechen. Neben der Auswahl des geeigneten Gerätes ist auf 

einen Potentialausgleich zwischen PE und 0-VDC auf der Sekundärseite zu achten. 


Version: 24F - HB-37350-810-01-24F-DE


5.8 Anschluss der externen Geberversorgung 

5.8.1 Inkremental, HTL, SIN/COS, SSI 

L-_ENC1-2 

L+_ENC1-2 

L-_ENC1 

L+_ENC1 

Safety-M 

SMX 

1 

2 

L+_ENC1 

L-_ENC1 

Spannungsüberwachung 

der externen 

Geberversorgungsspannungen 

9 

2 

X13 

1 

2 

X31 

9 

2 

L+_ENC2 

L-_ENC2 

X17 X15 

X33 

1) Nur Safety-MSP1 u. Safety-MSP2 

2) Nur Safety-MS2 u. Safety-MSP2 

3) Nur Safety-MSP2 

1) 

1) 

L-_ENC2-2 

L+_ENC2-2 

L-_ENC2 

L+_ENC2 

1) 

1 

2 

9 

2 

L+_ENC2 

L-_ENC2 

2) 

2) 

X15 

X32 

L+_ENC2 

L-_ENC2 



1 

2 

3) 

3) 

9 

2 

Die Safety-M Baugruppe unterstützt Geberspannungen von 5V,8V, 10 V, 12V und 24V, die intern 

entsprechend der gewählten Konfiguration überwacht werden. 

Wird ein Gebersystem nicht über die Safety-M Baugruppe versorgt, so muss dennoch eine 

Versorgungsspannung an Klemme X13 bzw. X15 angeschlossen und entsprechend konfiguriert 

werden. 

Die Geberversorgung ist mit maximal 2A abzusichern. 

Überwachung der Versorgungsspannung entsprechend der gewählten Nominalspannung: 

Nominal Spannung Minimale Spannung Maximale Spannung 

5 VDC 4,4 VDC 5,6 VDC 

8 VDC 7 VDC 9 VDC 




X19 

X34


5.8.2 Resolver 

L-_ENC1-2 

L+_ENC1-2 

Safety-M 

SMX 

31 

2 

X17 X15 

Referenz- 

Signal- 1) 

generierung 

L+_ENC2 

L-_ENC2 

L-_ENC1-2 

L+_ENC1-2 

31 

2 

X19 

1) X15 

1) 

3 

7 

X33 

L+_ENC2 

L-_ENC2 

1) Nur Safety-MSP1 u. Safety-MSP2 

2) Nur Safety-MSP2 

2) 

Referenz- 

Signalgenerierung 

2) 

3 

7 

X33 

Bei Verwendung von Resolver im Master-Modus ist zur Generierung des Referenzsignals eine 

zusätzliche Spannungsversorgung mit 24V DC erforderlich. 

Die Geberversorgung ist mit maximal 2A abzusichern. 

Überwachung der Versorgungsspannung: 

Nominal Spannung Minimale Spannung Maximale Spannung 



Version: 24F - HB-37350-810-01-24F-DE


5.9 Anschluss der Digitaleingänge 

Die Safety-M verfügt über 14 (Safety-M) bzw. 12 (SMX31) sichere digitale Eingänge. Diese sind 

zum Anschluss von ein- oder zweikanaligen Signalen mit und ohne Taktung, bzw. ohne 

Querschlussprüfung geeignet. 

Die angeschlossenen Signale müssen einen „High“-Pegel von DC 24 V (DC +15 V...+ DC 30 V ) 

aufweisen und einen „Low“-Pegel von (DC -3 V... DC +5 V, Typ1 nach EN61131-2). Die 

Eingänge sind intern mit Eingangsfiltern versehen. 

Eine geräteinterne Diagnosefunktion prüft zyklisch die korrekte Funktion der Eingänge inklusive 

der Eingangsfilter. Ein erkannter Fehler versetzt die Safety-M in den Alarmzustand. Gleichzeitig 

werden alle Ausgänge der Safety-M passiviert. 

Neben den eigentlichen Signaleingängen stellt die Safety-M Baugruppe zwei Taktausgänge P1 

und P2 zur Verfügung. Bei den Taktausgängen handelt es sich um schaltende 24 VDC 

Ausgänge. 

Die Taktausgänge sind ausschließlich für die Überwachung der digitalen Eingänge (DI1 ... DI14) 

vorgesehen und können für keine anderen Funktionen innerhalb der Applikation Verwendung 

finden. 

Die Schaltfrequenz beträgt 125 Hz für jeden Ausgang. Bei der Projektierung ist zu beachten, 

dass die Ausgänge maximal mit einem Gesamtstrom von 250 mA belastet werden dürfen. 

Weiterhin können zugelassene OSSD-Ausgänge ohne Einschränkung an die Eingänge DI1-DI4 

und DI9-DI14 angeschlossen werden 

Hinweis: 

Digitale Eingänge DI5 bis DI8 sind nicht für OSSDs geeignet, da EN 61131-2 Typ 2 

Anforderungen nicht eingehalten werden. 

Bei einkanaliger Verwendung der Eingänge ist das erreichbare Sicherheitsniveau auf SIL 2 bzw. 

PL d eingeschränkt, wenn in regelmäßigen Abständen eine Anforderung der Sicherheitsfunktion 

erfolgt. 

Grundsätzlich ist eine sicherheitstechnische Verwendung der Eingänge nur in Verbindung mit 

den Pulsausgängen vorgesehen. 

Werden die Pulsausgänge nicht verwendet, muss durch externe Maßnahmen, insbesondere eine 

geeignete Kabelführung, ein Kurzschluss in der externen Verdrahtung zwischen verschiedenen 

Eingängen und gegen die Versorgungsspannung der Safety-M ausgeschlossen werden. 

Jeder Eingang der Safety-M Baugruppe kann individuell für folgende Signalquellen 

konfiguriert werden: 

Eingang wird Puls P1 zugeordnet 

Eingang wird Puls P2 zugeordnet 

Eingang wird DC 24 V Dauerspannung zugeordnet 


Version: 24F - HB-37350-810-01-24F-DE


5.10 Anschluss Analogeingänge 

Bei der Ausführung Safety-MS2 mit Analogverarbeitung können max. 2 Analogsignale sicher 

verarbeitet werden: 

Die Analogeingänge können wie folgt beschalten werden: 

min max 

Spannung -7VDC +10VDC 

Hinweis: 

Die Baugruppe ist standardmäßig mit einem festen Bürdenwiderstand von 500Ohm bestückt. Bei 

Bedarf kann dieser Widerstand entfallen (Spannungseingang). 


Version: 24F - HB-37350-810-01-24F-DE


5.11 Anschluss der Positions- und Geschwindigkeitssensoren 

5.11.1 Allgemeine Hinweise 

Je nach Baugruppentyp verfügt die Safety-M Baugruppe (Safety-MS1/Safety-MS2) über (1/2) 

externe Geber-Schnittstellen zum Anschluss von industrieüblichen Inkremental- und 

Absolutencodern. Die Encoderschnittstellen können als Inkremental, SIN/COS, oder als Absolut- 

SSI-Geber konfiguriert werden. 

Weiterhin ist es möglich, an die Zähleingänge der Safety-M Baugruppe 2 Inkrementalsignale 

erzeugende Sensoren (etwa Proxi – Näherungsschalter) anzuschließen. Die Signale müssen 

jeweils mit Normal- und Komplementärspur eingelesen werden. 

WICHTIG 

Die Spannungsversorgung des Gebersystems erfolgt über die an der Safety-M Baugruppe 

vorgegebenen Klemmen. Diese Spannung wird zum Geberstecker geführt und von einem 

internen Diagnoseprozess überwacht. 

Wird der Sensor mit einer externen Spannung versorgt, so muss diese über den Geberstecker 

geführt werden. Die entsprechende Klemme (Geberversorgungsspannung) auf der Safety-M 

Baugruppe bleibt frei. 

Wird eine externe Sensorversorgungsspannung über den Geberstecker nicht rückgeführt, so ist 

ein Ausfall dieser Versorgung in die Fehlerbetrachtung des Gesamtsystems mit einzubeziehen. 

Insbesondere muss daher der Nachweis geführt werden, dass bei unterschreiten / überschreiten 

der spezifizierten Betriebsspannung des Gebersystems dieser Fehler erkannt wird, bzw. 

ausgeschlossen werden kann. 

EMV - Maßnahmen wie Schirmung etc. sind zu beachten. 

Die beiden Geber müssen zueinander rückwirkungsfrei sein. Dies gilt sowohl für den elektrischen 

als auch für den mechanischen Teil. 

Sind beide Geber über gemeinsame mechanische Teile mit der zu überwachenden Einrichtung 

gekoppelt, muss die Verbindung formschlüssig aufgebaut sein und darf keine 

verschleißbehafteten Teile (Ketten, Zahnriemen etc.) aufweisen. Ist dies dennoch der Fall, so 

sind zusätzliche Überwachungseinrichtungen für die mechanische Anbindung der Sensoren 

erforderlich (z.B. Überwachung eines Zahnriemens). 

Bei aktiver Positionsverarbeitung muss mindestens einen Absolutencoder verwendet werden. 

Bei Verwendung von zwei gleichwertigen Sensoren ist zu beachten, dass der Sensor mit der 

höheren Auflösung als Sensor1 (Prozesssensor) und der Sensor mit der niedrigeren Auflösung 

als Sensor 2 (Referenzsensor) konfiguriert wird. 

HINWEIS: 

Bei Verwendungen in der Aufzugstechnik nach EN81 dürfen die Ausgänge der internen Relais 

nicht zum Schalten von Spannungen über 24V verwendet werden, da dies die Vorgaben der 

EN81 nicht zulassen. Bei Zuwiderhandlung erlischt die Gewährleistung und Fa. Fritz Kübler 

leistet keinerlei Schadensersatz. 


Version: 24F - HB-37350-810-01-24F-DE


Achtung: 

Die Geberanschlüsse dürfen während des Betriebes nicht aufgesteckt oder abgezogen werden. 

Es können elektrische Bauteile am Geber zerstört werden. Schalten Sie angeschlossene Geber 

und die Safety-M Baugruppe vor dem Aufstecken oder Abziehen der Geberanschlüsse 

spannungsfrei. 

Für die Daten- und Clock-Signale bzw. Spur A und Spur B sind paarweise verdrillte Leitungen für 

die Signalübertragung nach RS485 Standard zu verwenden. Bei der Auswahl des 

Drahtquerschnittes ist der Stromverbrauch des Encoders und die Kabellänge der Installation im 

Einzelfall zu berücksichtigen. 

Bei der Verwendung von Absolutencodern gilt außerdem: 

Im Slave-Mode wird das Taktsignal von einem externen Prozess erzeugt und wird mit dem 

Datensignal von der Safety-M Baugruppe eingelesen. Durch diese Art der Abtastung entsteht 

eine Schwebung und in Folge ein Abtastfehler der folgenden Größenordnung: 

F = ( Abtastzeit des Gebers durch externes System [ms] / 8 [ms] ) * 100 % 

Die Größe des entstehenden Abtastfehlers F muss bei der Festlegung der Schwellen in den 

verwendeten Überwachungsfunktionen berücksichtigt werden, da dieser Fehler nicht kompensiert 

werden kann! 


Version: 24F - HB-37350-810-01-24F-DE


5.11.2 Belegung der Encoderinterface 

X31/X32 1) 

1) nur Safety-MS2 

X33/X34 2) 

2) nur Safety-MSP2 


Version: 24F - HB-37350-810-01-24F-DE


5.11.3 Anschlussvarianten 

5.11.3.1 Anschluss eines Absolutencoders als Master 

Sub-D- 

Stecker 

(9 polig) 

SMX 

Pin 1 

Pin 2 

Pin 3 

Pin 4 

Pin 5 

Pin 6 

Pin 7 

Pin 8 

Pin 9 

n.c. 

Ground 

n.c. 

CLK- 

DATA+ 

DATA- 

n.c. 

CLK+ 

Versorgungspannung 

Absolut- 

Encoder 

(Master-Betrieb) 

Bei dieser Art der Anschaltung verlaufen die Taktsignale von der Baugruppe Safety-M zum 

Absolutencoders und die Daten vom Geber zur Safety-M. 


Version: 24F - HB-37350-810-01-24F-DE


5.11.3.2 Anschluss eines Absolutencoders als Slave 

Sub-D- 

Stecker 

(9 polig) 

SMX 

Safety-M 

Pin 1 

Pin 2 

Pin 3 

Pin 4 

Pin 5 

Pin 6 

Pin 7 

Pin 8 

Pin 9 

n.c. 


n.c. 

CLK- 

DATA+ 

DATA- 

n.c. 

CLK+ 

Versorgungsspannung 

externes Abtastsystem 

Absolut- 

Encoder 

(Slave-Betrieb) 

Bei dieser Art der Anschaltung werden die Taktsignale und die Daten mitgelesen. Bei diesem 

Beispiel wird der Geber nicht von der Baugruppe mit Spannung versorgt. 


Version: 24F - HB-37350-810-01-24F-DE


5.11.3.3 Anschluss eines Inkrementalencoders mit TTL-Signalpegel 

Sub-D- 

Stecker 

(9 polig) 

Safety-M 

SMX 

Pin 1 

Pin 2 

Pin 3 

Pin 4 

Pin 5 

Pin 6 

Pin 7 

Pin 8 

Pin 9 

n.c. 


n.c. 

B- 

A+ 

A- 

n.c. 

B+ 


Die Pins 1, 3 und 7 bleiben offen und sind für spätere Erweiterungen reserviert. 

Inkremental 

Encoder 


Version: 24F - HB-37350-810-01-24F-DE


5.11.3.4 Anschluss eines SIN/COS-Gebers 

Sub-D- 

Stecker 

(9 polig) 

Safety-M 

SMX 

Pin 1 

Pin 2 

Pin 3 

Pin 4 

Pin 5 

Pin 6 

Pin 7 

Pin 8 

n.c. 


n.c. 

COS- 

SIN+ 

SIN- 

n.c. 

COS+ 

Pin 9 Versorgungsspannung 

Die Pins 1, 3 und 7 bleiben offen und sind für spätere Erweiterungen reserviert. 

SIN/COS 

Geber 


Version: 24F - HB-37350-810-01-24F-DE


5.11.3.5 Anschluss eines Resolver als Master 

Sub-D- 

Stecker 

(9 polig) 

Safety-M 

SMX 

Pin 1 

Pin 2 

Pin 3 

Pin 4 

Pin 5 

Pin 6 

Pin 7 

Pin 8 

Pin 9 

Reference Out + 

Reference Out - 

Reference In + 

COS - 

SIN + 

SIN - 

Reference In - 

COS + 

Monitor Reference Voltage 

Resolver 


Bei dieser Art der Anschaltung verlaufen die Taktsignale von der Baugruppe Safety-M zum 

Absolutencoders und die Daten vom Geber zur Safety-M. 


Version: 24F - HB-37350-810-01-24F-DE


5.11.3.6 Anschluss eines Resolvers als Slave 

Sub-D- 

Stecker 

(9 polig) 

Safety-M 

SMX 

Pin 1 

Pin 2 

Pin 3 

Pin 4 

Pin 5 

Pin 6 

Pin 7 

Pin 8 

Pin 9 

nc 

Monitor Reference 

Voltage GND 


COS - 

SIN + 

SIN - 


COS + 

Monitor 

Reference 

Voltage 

externes Abtastsystem 

Resolver 



Version: 24F - HB-37350-810-01-24F-DE


5.11.3.7 Anschluss Näherungsschalter Safety-MS1/Safety-MS2 

Anschluss erfolgt über den Steckverbinder X23 an den Digitalen Eingängen DI5 … DI8. 

Die genaue Pinbelegung ist abhängig welcher Gebertyp verwendet wird und wird im 

Verbindungsplan in der Programmieroberfläche angezeigt. 

Hinweis: Bei Verwendung von HTL-Encoder ist darauf zu achten, dass die Spuren A+ und B+ 

oder A- und B- entsprechend kombiniert werden müssen. 


Version: 24F - HB-37350-810-01-24F-DE


5.11.3.8 Anschluss HTL/Näherungsschalter Safety-MSP1/Safety-MSP2 

Anschluss erfolgt über den Steckverbinder X27 und X28, bzw. X29 und X30 

5.11.3.8.1 HTL-Geber mit A+/A- bzw. B+/B- Signal 

Klemmleiste 

X27 1) 

X29 2) 

1) Safety-MSP1 Encoder 3 


1 

2 

3 

1 

Klemmleiste 

X28 1) 

X30 2) 

2 

3 

Klemmleiste 

X17 1) 

X19 2) 

1 

2 

A+ 

A- 

B+ 

B- 



Spannungsversorgung 

Geber 

Inkremental 

Encoder 


Version: 24F - HB-37350-810-01-24F-DE


5.11.3.8.2 HTL-Geber mit A+ bzw. B+- Signal 

Klemmleiste 

X27 1) 

X29 2) 



1 

2 

3 

1 

Klemmleiste 

X28 1) 

X30 2) 

2 

3 

Klemmleiste 

X17 1) 

X19 2) 

1 

2 

A 

B 




Geber 

Inkremental 

Encoder 


Version: 24F - HB-37350-810-01-24F-DE


5.12 Konfiguration der Messstrecken 

5.12.1 Allgemeine Beschreibung der Geberkonfiguration 

Die wichtigsten Eingangsgrößen für die Überwachungsfunktionen der Baugruppe sind sichere 

Position, Geschwindigkeit und Beschleunigung. Diese werden zweikanalig aus den 

angeschlossenen Sensorsystemen generiert. Für Pl e nach EN 13849-1 wird eine Architektur 

entsprechend Kategorie 4, d.h. durchgehend 2-kanalige Erfassung mit hohem 

Diagnosedeckungsgrad benötigt. Für etwaige einkanalige Anteile (z.B. mechanischer Anschluss 

des Sensors/Encoders mit nur einer Welle/Befestigung) können gegebenenfalls 

Fehlerausschlüsse nach EN ISO 13849-2 zugrunde gelegt werden. Für Pl d nach EN 13849-1 

kann mit reduziertem Diagnosedeckungsgrad gearbeitet werden. Unter Berücksichtigung der 

zulässigen Fehlerausschlüsse nach EN ISO 13849-2 können u.U. auch einfach aufgebaute 

Sensorsysteme ausreichen ( nur Geschwindigkeitsüberwachung ). 

Siehe hierzu ANHANG 1 

Die weitere Konfiguration wird im Programmierhandbuch beschrieben: 

R61363.0001 - Programierhandbuch Safety-M (Deutsch) 

5.12.2 Sensortyp 

Es sind Absolutencoder und inkrementale Messsysteme möglich sowie Zählimpuls – erzeugende 

Näherungsschalter. 

5.12.2.1 Absolutencoder: 

Dateninterface: Serial Synchron Interface ( SSI ) mit variabler Datenlänge von 12 bis 28 Bit. 

Datenformat: Binär- oder Graycode, 

Physical Layer: RS-422 kompatibel 

SSI-Master-Betrieb: 

Taktrate: 150kHz 

SSI-Listener-Betrieb (Slavebetrieb): 

Max. externe Taktrate 200 KHz 1) bzw. 350 kHz 2) . 

Min. Taktpausezeit 30 µsec 

Max. Taktpausezeit 1 msec 

Diagnosen: 

Diagnose Parameter Fehlerschwelle 

Überwachung der 

Festwerte 

+/- 20% +/-2%(Messtoleranz) 

Versorgungsspannung 5 V, 8V, 10V, 12V, 20V, 

24V 

Überwachung Differenzpegel 

am Eingang 

Festwert RS 485-Pegel +/- 20% +/-2%(Messtoleranz) 

Überwachung Clk-Frequenz Festwert 100 kHz < f < 350 kHz 

Plausibilität Geschwindigkeit Festwert DP < 2 * V * T mit 

versus Position 

T = 8 ms 


Version: 24F - HB-37350-810-01-24F-DE


Parametrierung des SSI-Formats: 

Start Clk 0 

Clk 1 Clk 2 

K Daten O Status 

Status information 

Error Maske 

0 = dont´t care 

1 = aktiv 

Ergebnis Maske 

für Error = 0 

(Auswertung aktiv) 

N-4 N-3 N-2 N-1 N-0 

Anzahl Clk 

= Framelength 



Status 

1 

Mask 

1 

Result 

1 

Status 

2 

Mask 

2 

Result 

2 

Index 

Daten 

Status 

3 

Mask 

3 

Result 

3 

Clk ClkN 

.... 

Index 

Status 

.... 

.... 

Status 

0 

Mask 

0 

Result 

0


Beispiel: 

SSI-Framelength: 28 Takte 

Data-Length: 22 Bit 

Status: 5 Bit, 3 Bit Error + 2 Bit Warnung/Betriebsbereit 

Start Clk 0 

Clk 1 Clk 2 

K Daten O Status 


Error Maske 

0 = dont´t care 

1 = aktiv 

Ergebnis Maske 

für Error = False 


Temperatur 

1 = Error 



Intezität 

1 = Error 

HW 

1 = Error 

Clk ClkN 

Clk 24 Clk 25 Clk 26 Clk 27 Clk 28 

1 

6 Clk 

1Clk 

Warnung 

Verschmutzung 

1 = Error 

Betriebsart 

1 = OK 

1 1 0 0 

10 0 0 0 0 

Anzahl Clk 

= Framelength


5.12.2.2 Inkrementalgeber: 

Physical Layer. RS-422 kompatibel 

Messsignal A/B. Spur mit 90 Grad Phasendifferenz 

Maximale Frequenz der Eingangstakte 200 KHz 1) bzw. 500 kHz 2) 

Diagnosen: 



Festwerte 

+/- 20% +/-2%(Messtoleranz) 


24V 


am Eingang 

Festwert RS 485-Pegel +/- 20% +/-2%(Messtoleranz) 


Zählsignals getrennt für jede 

Spur A/B 

Festwert DP > 4 Inkremente 

5.12.2.3 SinusCosinus Geber – Standard Mode 

Physical Layer. +/- 0.5 Vss (ohne Spannungsoffset) 


Maximale Frequenz der Eingangstakte. 200 KHz 1) bzw. 500 kHz 2) 

Diagnosen: 



Festwerte 

+/- 20% +/-2%(Meßtoleranz) 

Versorgungsspannung 5 V, 8V, 10V, 12V, 20V, 24V 

Überwachung Amplitude Festwert 1VSS 

65% von 1 VSS +/- 

SIN²+COS² 

2,5%(Meßtoleranz) 

Überwachung der Phase A/B Festwert 90° +/- 30° +/-5°Meßtoleranz) 

5.12.2.4 SinusCosinus Geber – High Resolution Mode: 

Physical Layer. +/- 0.5 Vss (ohne Spannungsoffset) 


Maximale Frequenz der Eingangstakte. 15 kHz 2) 

Diagnosen: 



Festwerte 



Überwachung Amplitude Festwert 1VSS 

65% von 1 VSS +/- 

SIN²+COS² 

2,5%(Meßtoleranz) 

Überwachung der Phase A/B Festwert 90° +/- 30° +/-5°Meßtoleranz) 

Überwachung Quadrant 

Zählsignal / Signalphase 

Festwert +/- 45° 


Version: 24F - HB-37350-810-01-24F-DE


5.12.2.5 Proxi - Switch 

Signalpegegel. 24V/0V 

Max Zählimpulsfrequenz. 10kHz 

Schaltlogik entprellt 

Diagnosen: 



Festwerte 




Version: 24F - HB-37350-810-01-24F-DE


5.12.2.6 Erweiterte Überwachung Proxi – Switch / Proxi - Switch 

Die erweiterte Überwachung deckt folgende Fehler auf: 

a) Ausfall der Versorgungsspannung 

b) Ausfall des Ausgangssignals in Treiberrichtung 

c) Funktionsausfall Proxi für High-Signal 

d) Unterbrechung Signalpfad 

e) Mechanische Dejustage Proxi / zu großer Schaltabstand Proxi 

Zur Diagnose werden die beiden Statuszustände der Zählsignale zusätzlich synchron erfasst und 

logisch verglichen. Per Schaltkulisse muss eine Bedämpfung von jeweils mindestens einem der 

beiden Signale gewährleistet werden. Die Logik wertet diese Anordnungsvorschrift aus. 

Gestaltung der Schaltkulisse 

bei radialer Sensoren-Anordnung 

max 0.5mm 

Sensor A 

120° 

min 3mm 

Sensor B 

Spindelwelle 

Schaltkulisse 

Die Diagnose ist auf mindestens folgende Grenzwerte auszulegen: 

Max. Zählfrequenz: 4 kHz 

Max. Austastung 0-Signal: 50% 

Min. Überdeckung: 10% 

Einlesen der Zählsignale: 

Die beiden Zählsignale sind jeweils getrennt den beiden Kanälen zugeordnet. In jedem der 

beiden Kanäle wird der Status synchron eingelesen. Um die Synchronität zu gewährleisten ist 

dies jeweils unmittelbar nach der Kanalsynchronisierung durchzuführen. Das Sampling muss 

mind. 1x pro Zyklus erfolgen. Die max. Abweichung in der Synchronität beträgt 20 µs. 

Die Statuszustände müssen kreuzweise über das SPI ausgetauscht werden. 

Logikverarbeitung: 

Es ist folgende Auswertung in beiden Kanälen vorzunehmen: 

Signal A Signal B Ergebnis 

Low Low False 

High Low True 

Low High True 

High High True 

Angestrebte theoretische Signalform 

T=100% 



16,7 

33,3% 

16,7 

33,3%


5.12.2.7 HTL - Sensor 

Signalpegel. 24V/0V 

Physical Layer. Push/Pull 

Messsignal A/B Spur mit 90° Phasendifferenz 

Max. Zählimpulsfrequenz: 200 kHz an X27/28 bzw. X29/30 

(nur SMX11-2/12-2) 

Diagnosen: 



Festwerte 

+/- 20% +/-2% (Messtoleranz) 


24V 


am Eingang 

Festwert 24 V +/- 20% +/-2% (Messtoleranz) 


Zählsignals getrennt für jede 

Spur A/B 

Festwert DP > 4 Inkremente 

5.12.2.8 Resolver 

Messsignal: SIN/COS – Spur mit 90° Phasendifferenz 

Max. Zählimpulsfrequenz 2 kHz/Pol 

Auflösung: 9 Bit / Pol 

Master-Mode: 

Frequenz Referenzsignal: 8 kHz 

Slave-Mode 

Frequenz Referenzsignal: 6 - 16 kHz 

Referenzsignalform: Sinus, Dreieck 

1) an X31/32 

2) an X33/34 

Diagnosen: 


Überwachung Ratio Festwerte 

2:1, 3:2, 4:1 

+/- 20% +/-2% (Messtoleranz) 

Überwachung 

Signalamplitude SIN²+COS² 

Festwert


6 Reaktionszeiten der Safety-M 

Die Reaktionszeit ist eine wichtige sicherheitstechnische Eigenschaft und für jede Applikation / 

applikative Sicherheitsfunktion zu betrachten. Im nachfolgenden Kapitel sind die Reaktionszeiten 

für einzelne Funktionen, u.U. auch in Abhängigkeit von weiteren Parametern gelistet. Sind diese 

Angeben für eine spezifische Applikation nicht ausreichend ist das tatsächliche Zeitverhalten 

gegen das Sollverhalten durch gesonderte Messungen zu validieren. Dies betrifft insbesondere 

auch die Verwendung von Filterfunktionen. 


� Die Reaktionszeiten sind für jede applikative Sicherheitsfunktion im Sollverhalten 

festzulegen und gegen den tatsächliche Wert mit Hilfe der nachstehenden Angaben 

zu vergleichen. 

� Bei Verwendung von Filterfunktionen ist besondere Vorsicht geboten. Je nach 

Filterlänge / -zeit kann es zu einer erheblichen Verlängerung der Reaktionszeit 

kommen die bei der sicherheitstechnischen Auslegung mit zu betrachten ist. 

� Bei besonders kritischen Aufgabenstellungen ist das Zeitverhalten durch Messungen 

zu validieren. 

� Bei Geräteanlauf / Alarm- bzw. Fehler-Reset können u.U (abhängig vom 

Applikationsprogram) die Ausgänge für die Dauer der Reaktionszeit aktiv werden. 

Dies ist bei der Planung der Sicherheitsfunktionen zu berücksichtigen 

6.1 Reaktionszeiten im Standardbetrieb 

Grundlage der Berechnung von Reaktionszeiten ist die Zykluszeit des Systems Safety-M. Diese 

beträgt im Betrieb T_zyklus = 8 ms. Die angegebenen Reaktionszeiten entsprechen der 

jeweiligen Maximallaufzeit für den konkreten Anwendungsfall innerhalb der Safety-M Baugruppe. 

Je nach Anwendung müssen noch weitere, applikationsabhängige Reaktionszeiten der 

verwendeten Sensorik und Aktuatoren hinzugerechnet werden, um die Gesamtlaufzeit zu 

erhalten. 

Funktion 

Aktivierung einer 

Überwachungsfunktion durch 

ENABLE mit anschließender 

Abschaltung über Digitalen 

Ausgang 

Aktivierung einer 

Überwachungsfunktion durch 

ENABLE mit anschließender 

Abschaltung über Sicherheitsrelais 

Reaktions- 

zeit [ms] 

24 

*) 

47 

*) 

Erläuterung 

Aktivierung einer Überwachungsfunktion durch 

das ENABLE-Signal. 

Aktivierung einer Überwachungsfunktion durch das 

ENABLE-Signal. 


Version: 24F - HB-37350-810-01-24F-DE


Funktion 

Reaktion einer bereits aktivierten 

Überwachungsfunktion inklusive 

PLC Bearbeitung bei Positions- 

und Geschwindigkeitsverarbeitung 

über Digitalen Ausgang 

Reaktion einer bereits aktivierten 

Überwachungsfunktion inklusive 

PLC Bearbeitung bei Positions- 

und Geschwindigkeitsverarbeitung 

über Sicherheitsrelais 

Aktivierung Digitaler Ausgang über 

Digitalen Eingang 

Aktivierung Ausgang Relais über 

Digitalen Eingang 

Deaktivierung Digitaler Ausgang 

über Digitalen Eingang 

Deaktivierung Ausgang Relais 

über Digitalen Eingang 

Mittelwertfilter (Einstellung siehe 

Geberdialog SafePLC) 

Analogfilter 

� 1 (2Hz) 

� 2 (2Hz) 

� 3 (2Hz) 

� 4 (4Hz) 

� 5 (6Hz) 

� 6 (8Hz) 

� 7 (10Hz) 

� 8 (20Hz) 

Reaktions- 

zeit [ms] 

16 

*) 

39 

*) 

16 

26 

16 

47 

0 - 64 

� 760 

� 760 

� 760 

� 512 

� 268 

� 143 

� 86 

� 56 

Erläuterung 

Bei einer bereits über ENABLE aktivierten 

Überwachungsfunktion benötigt die Baugruppe einen 

Zyklus, um den aktuellen Geschwindigkeitswert zu 

berechnen. Im nächsten Zyklus wird nach 

Berechnung der Überwachungsfunktion die 

Information durch die PLC weiterverarbeitet und 

ausgegeben, d.h. nach implementierter Logik führt 

dies z.B. zum Schalten eines Ausgangs. 

Bei einer bereits über ENABLE aktivierten 

Überwachungsfunktion benötigt die Baugruppe einen 

Zyklus, um den aktuellen Geschwindigkeitswert zu 

berechnen. Im nächsten Zyklus wird nach 

Berechnung der Überwachungsfunktion die 

Information durch die PLC weiterverarbeitet und 

ausgegeben, d.h. nach implementierter Logik führt 

dies z.B. zum Schalten eines Ausgangs. 

Aktivierung eines Eingangs und Schalten des 

Ausgangs 

Aktivierung eines Eingangs und Schalten des 

Ausgangs 

Deaktivierung eines Eingangs und damit 

Deaktivierung des Ausgangs 

Deaktivierung eines Eingangs und damit 

Deaktivierung des Ausgangs 

Gruppenlaufzeit des Mittelwertbildners. Diese 

Laufzeit wirkt nur auf Überwachungsfunktionen in 

Zusammenhang mit Position / Geschwindigkeit / 

Beschleunigung, jedoch nicht auf die 

Logikverarbeitung. 

Das Analogfilter wirkt nur auf die sicheren 

Analogeingänge der Baugruppe SMX-12A. 

Reaktionszeiten der Analogeingangsfilter bezogen 

auf die Eingangsfrequenz 

Hinweis: 

*) : Bei Verwendung eines Mittelwertfilters muss dessen Reaktionszeit mit aufaddiert werden 

6.2 Reaktionszeiten für FAST_CHANNEL 

FAST_CHANNEL bezeichnet eine Eigenschaft von Safety-M auf Geschwindigkeitsanforderungen 

schneller zu reagieren, als dies mit der Bearbeitung der Sicherheitsprogramme im Normalzyklus 

( = 8 msec ) möglich ist. Die Abtastzeit des FAST_CHANNEL beträgt 2 msec. 

Folgende Reaktionszeiten können angegeben werden: 

� 4 msec ( Worst Case Bedingung ) 


Version: 24F - HB-37350-810-01-24F-DE



� Bei Verwendung des FAST_CHANNEL ist zu beachten, dass eine Abschaltung in der 

oben angegebenen Zeit für eine vorgegebene Geschwindigkeitsschwelle nur dann 

stattfinden kann, falls die Sensorinformation über eine ausreichende Auflösung verfügt. 

Die kleinste auflösbare Schaltschwelle des FAST_CHANNEL benötigt mindestens 2 

Flankenwechsel am jeweils gewählten Sensorsystem innerhalb einer Zeit von 2 msec. 

� Diese Funktion ist nur in Verwendung mit Halbleiterausgängen möglich. 

6.3 Reaktionszeiten für Fehlerdistanzüberwachung 

Für die Berechnung der WorstCase Bedingung ergibt sich folgendes Berechnungsschema: 

Systemgeschwindigkeit zum Abtastzeitpunkt V(t) 

Systemgeschwindigkeit bei Reaktion der Safety-M: VA(tSchwellwert für Überwachung 

( SLS oder SCA ): 

VS = konstant für alle t 

Parametrierter Filterwert: XF = konstant für alle t 

Maximal mögliche Beschleunigung der Applikation: aF = konstant für alle t 

Verzögerung nach Abschalten: aV = konstant für alle t 

Abtastzeitpunkt für Eintritt eines WorstCase Ereignisses: TFehler 

Reaktionszeit dese Safety-M-Systems: tReakt 

Für die WorstCase Betrachtung wird angenommen, dass sich der Antrieb zunächst mit einer 

Geschwindigkeit v(k) genau auf der parametrierten Schwelle v0 bewegt und dann mit maximal 

möglichem Wert a0 beschleunigt. 


Version: 24F - HB-37350-810-01-24F-DE


Diagramm: Verhalten des Antriebs mit / ohne Overspeed Distanz 

Für den Verlauf V und s ergeben sich ohne Overspeed Distanz folgende Zusammenhänge: 

Parameter Berechnungsverfahren Bemerkung 

tReakt 

Va2 

Va1 

VS 

XF 

TFehler 

tReakt 

tReakt 

Wert aus Angabe Reaktionszeit Safety-M 

+ Verzögerungszeit in externer 

Abschaltkette 

Verzögerungszeit in externer 

Abschaltkette aus Angabe Relais- / 

Schütz-, Bremshersteller etc. 

aF, aV n.a. Abschätzung aus Applikation 

Va1 

= VS + aF * tReakt 


Version: 24F - HB-37350-810-01-24F-DE


Für den Verlauf V und s mit Overspeed Distanz gilt: 

Parameter Berechnungsverfahren Bemerkung 

tReakt 

Wert aus Angabe Reaktionszeit Safety-M 

+ Verzögerungszeit in externer 

Abschaltkette 

Verzögerungszeit in externer 

Abschaltkette aus Angabe Relais- / 

Schütz-, Bremshersteller etc. 

aF, aV n.a. 

= aF * tReakt + (VS 

Abschätzung aus Applikation 

2 + 2 * aF * XF) 1/2 

Va2 

Der Filter verschiebt in seiner Wirkung die eingestellte Geschwindigkeitsschwelle Va um einen 

Betrag delta_v_filter nach oben. Für die Applikation sind die neuen Werte für die Reaktionszeit 

( Treact = Tsmx + Tfilter ), sowie die daraus resultierende Geschwindigkeit bei Abschaltung durch 

Safety-M zu berücksichtigen. 

6.4 Reaktionszeiten bei Verwendung der SMX 31 

Grundlage der Berechnung von Reaktionszeiten ist die Zykluszeit des Systems Safety-M. Diese 

beträgt im Betrieb T_zyklus = 8 ms. Die angegebenen Reaktionszeiten entsprechen der 

jeweiligen Maximallaufzeit für den konkreten Anwendungsfall innerhalb der Safety-M Baugruppe. 

Je nach Anwendung müssen noch weitere, applikationsabhängige Reaktionszeiten der 

verwendeten Sensorik und Aktuatoren hinzugerechnet werden, um die Gesamtlaufzeit zu 

erhalten. 

Funktion 

Worst-case Verzögerungszeit 

Eingang in der Basisbaugruppe 

zum PAE 

Worst-case Verzögerungszeit 

Eingang SMX31 zur PAE in 

Basisbaugruppe 

Verarbeitungszeit PAE zu PAA in 


Aktivierung / Deaktivierung 

Digitaler Ausgang in 

Basisbaugruppe aus PAA 

Benennung Reaktions- 

zeit [ms] 

TIN_BASE 

TIN_31 

TPLC 

TOUT_BASE 

Erläuterung 



10 

18 

8 

- 

z.B. Aktivierung einer Überwachungsfunktion 

durch ein Eingangssignal in der 


z.B. Aktivierung einer Überwachungsfunktion 

durch ein Eingangssignal in der 

Erweiterungsbaugruppe SMX31 

Abschaltung durch eine 

Überwachungsfunktion oder durch einen 

Eingang im PAE 

Aktivierung oder Deaktivierung eines 

Ausgangs in der Basisbaugruppe nach 

Änderung im PAA


Funktion 

Aktivierung / Deaktivierung 

Digitaler Ausgang in 

Erweiterungsbaugruppe über PAA 

in Basisbaugruppe 

Ermittlung der Gesamtreaktionszeit 

TTOTAL = TIN + TPLC + TOUT 

Benennung Reaktions- 

zeit [ms] 

TOUT_31 

Erläuterung 



8 

Aktivierung oder Deaktivierung eines 

Ausgangs in der Erweiterungsbaugruppe 

SMX31 nach Änderung im PAA der 


Beispiel 1: 

Eingang auf Erweiterungsbaugruppe, Aktivierung von SLS und Verarbeitung in PLC, Ausgang 

auf Basisbaugruppe 

TTOTAL = TIN_31 + TPLC + TOUT_Base = 18 ms + 8 ms + 0 ms = 24 ms; 

Beispiel 2: 

Eingang auf Basisbaugruppe, Aktivierung von SLS und Verarbeitung in PLC, Ausgang auf 

Erweiterungsbaugruppe 

TTOTAL = TIN_Base + TPLC + TOUT_31 = 10 ms + 8 ms + 8 ms = 26 ms; 

Beispiel 3: 

Eingang auf Erweiterungsbaugruppe, Aktivierung von SLS und Verarbeitung in PLC, Ausgang 

auf Erweiterungsbaugruppe 

TTOTAL = TIN_31 + TPLC + TOUT_31 = 18 ms + 8 ms + 8 ms = 34 ms;


7 Inbetriebnahme 

7.1 Vorgehensweise 

Eine Inbetriebnahme darf nur durch qualifiziertes Personal vorgenommen werden! 

Beachten Sie bitte bei der Inbetriebnahme die Sicherheitshinweise! 

7.2 Einschaltsequenzen 

Nach jedem Neustart der Baugruppe werden bei fehlerfreiem Lauf folgende Phasen durchlaufen 

und an der frontseitigen Siebensegmentanzeige angezeigt: 

7 Segment Anzeige Mode Beschreibung 

„1“ STARTUP 

„2“ SENDCONFIG 

„3“ STARTUP BUS 

„4“ RUN 

„5“ STOP 

„A“ ALARM 

„E“ ECS-Alarm 

„F“ 

Fehler 

Synchronisation zwischen 

beiden Prozessorsystemen und 

Prüfung der Konfiguration- 

/Firmwaredaten 

Verteilung der Konfigurations- 

/Firmwaredaten 

und nochmalige Prüfung dieser 

Daten. Anschließend 

Bereichsprüfung der 

Konfigurationsdaten. 

Falls vorhanden, Initialisierung 

eines Bussystems 

Normalbetrieb des Systems. Alle 

Ausgänge werden nach dem 

aktuellen Zustand der Logik 

geschaltet. 

Im Stop-Mode können 

Parameter- und Programmdaten 

extern geladen werden. 

Alarm kann über 

Digitaleneingang oder 

frontseitigen Quitierungstaster 

rückgesetzt werden. 

ECS-Alarm kann über 

Digitaleingänge oder 

frontseitigem Quittierungstaster 

rückgesetzt werden. 

Fehler kann nur über EIN/AUS 

der Baugruppe rückgesetzt 

werden. 


Version: 24F - HB-37350-810-01-24F-DE


7.3 LED Anzeige 

Farbe Mode Beschreibung 

grün „blinkend“ 

gelb „blinkend“ 

rot „blinkend“ Alarm 

rot „dauerhaft“ Fatal Error 

System OK, Konfiguration 

validiert 

System OK, Konfiguration noch 

nicht validiert 

Hinweis: 

Für alle Betriebszustände außer RUN werden die Ausgänge von der Firmware passiviert, d.h. 

sicher abgeschaltet. Im Zustand RUN ist der Zustand der Ausgänge abhängig vom 

implementierten PLC-Programm. 


Version: 24F - HB-37350-810-01-24F-DE


7.4 Parametrierung 

Die Parametrierung erfolgt über das Programm SafePLC. Um die Daten an die Baugruppe 

senden zu können wird ein Programmieradapter benötigt dessen Treiber vor dem Benutzen 

erstmals installiert werden muss. 

Die Beschreibung der Parametrierung siehe Programmierhandbuch. 

7.5 Funktionsprüfung 

Um die Sicherheit der Baugruppe zu gewährleisten muss einmal pro Jahr eine Funktionsprüfung 

der Sicherheitsfunktionen durchgeführt werden. Dazu müssen die in der Parametrierung 

verwendeten Bausteine (Eingänge, Ausgänge, Überwachungsfunktionen und Logikbausteine) 

hinsichtlich ihrer Funktion bzw. Abschaltung getestet werden. 

Siehe Programmierhandbuch. 

7.6 Validierung 

Für die Sicherstellung der implementierten Sicherheitsfunktionen muss vom Anwender nach 

erfolgter Inbetriebnahme und Parametrierung eine Überprüfung und Dokumentation der 

Parameter und Verknüpfungen vorgenommen werden. Dies wird durch den 

Validierungsassistenten in der Programmieroberfläche unterstützt (siehe Kapitel 

Sicherheitstechnische Prüfung). 

7.7 Die Funktion DEM (Dynamic Encoding Muting): 

Die Funktion DEM soll die Geberalarme ihrer Abschaltfunktion unter bestimmten Bedingungen 

muten (unterdrücken), um so sowohl hohe Betriebssicherheit und Verfügbarkeit der Maschine als 

auch Sicherheitsfunktionen mit hohem SIL oder Pl zu gewährleisten. 

Sie wirkt nur auf die Sicherheitsfunktionen mit Geschwindigkeits- und 

Relativpositionsüberwachung. Bei aktivierter Positionsverarbeitung – Enable der 

Positionsverarbeitung in der Parametrierung der Messstrecke innerhalb der Gebermaske – steht 

diese Funktion nicht zur Verfügung. 

Die Funktion DEM soll die Geberalarme ihrer Abschaltfunktion unter bestimmten Bedingungen 

muten (unterdrücken), um so sowohl hohe Betriebssicherheit und Verfügbarkeit der Maschine als 

auch Sicherheitsfunktionen mit hohem SIL oder Pl zu gewährleisten. 

Sie wirkt nur auf die Sicherheitsfunktionen mit Geschwindigkeits- und 

Relativpositionsüberwachung. Bei aktivierter Positionsverarbeitung – Enable der 

Positionsverarbeitung in der Parametrierung der Messstrecke innerhalb der Gebermaske – steht 

diese Funktion nicht zur Verfügung. 


Version: 24F - HB-37350-810-01-24F-DE


Bei Überschreiten der Grenzgeschwindigkeit (zuzüglich der Hyserese) VG+H werden 

Encoderalarme unterdrückt. Dies erfolgt bei Dauerhafter Aktivierung bei jeder Überschreitung der 

Grenzgeschwindigkeit. Andernfalls erfolgt diese Unterdrückung, wenn der Eingang (In) aktiviert 

ist und die Grenzgeschwindigkeit überschritten wird. 

Die einstellbare Hysterese H gibt an, wie groß die Geschwindigkeitsdifferenz (über der 

Grenzgeschwindigkeit VG) sein muss, bis die Alarme unterdrückt werden. Bei Unterschreiten der 

Grenzgeschwindigkeit VG (ohne Hysterese) werden die Alarme wieder freigeben. 

Die Einbindung erfolgt mit Ein- und Ausgang. 

Das einstellen der Parameter erfolgt über das Editorfenster: 


Version: 24F - HB-37350-810-01-24F-DE


Parameter: 

Der Baustein verfügt über folgende Parameter: 

� Aktivierung dauerhaft: 

Bei Anwahl dieses Feldes wird die Funktion dauerhaft aktiviert, der Eingangskonnektor des 

Bausteins wird gelöscht. 

� Mutinggrenzgeschwindigkeit VG: 

Bei Überschreiten des in diesem Feld vorgegebenen Geschwindigkeitswertes wird die 

Mutingfunktion aktiviert. Falls Aktivierung dauerhaft abgewählt, wird zusätzlich der Zustand 

des Bausteineingangs verknüpft. 

Anmerkung: 

Die Mutinggrenzgeschwindigkeit definiert gleichzeitig die max. Eingabewerte für die 

Grenzgeschwindigkeiten in den Funktionen SLS, SOS, SLI und SCA. Deren Eingabewerte 

müssen jeweils kleiner der Mutinggrenzgeschwindigkeit sein. 

� Hysterese H: 

Um ein Toggeln in der Umschaltung zu vermeiden kann ein Hysteresewert vorgegeben 

werden. Hierbei gilt: 

Aktivierungsgeschwindigkeit Muting: Mutinggrenzgeschwindigkeit + Hysteresewert (VG+H) 

Deaktivierungsgeschwindigkeit Muting: Mutinggrenzgeschwindigkeit (VG) 

8 Sicherheitstechnische Prüfung 

Für die Sicherstellung der implementierten Sicherheitsfunktionen muss vom Anwender 

nach erfolgter Inbetriebnahme und Parametrierung eine Überprüfung und Dokumentation 

der Parameter und Verknüpfungen vorgenommen werden. Dies wird durch die 


Version: 24F - HB-37350-810-01-24F-DE


Parametriersoftware SafePLC unterstützt (siehe Programmierhandbuch). 

Auf den ersten zwei Seiten können allgemeine Angaben zur Anlage gemacht werden. Die letzte 

Seite des Validierungsreports enthält den Einzelnachweis zur sicherheitstechnischen 

Prüfung. 

Hier müssen Sie die folgenden Eintragungen zwingend vornehmen: 

• Seriennummer (identisch zur Seriennummer auf dem Typenschild) 

• Identität zur Baugruppe 

Hier bestätigt der verantwortliche Prüfer der Sicherheitsbaugruppe, dass der in der 

Programmieroberfläche angezeigten CRC‘s identisch ist mit dem in der Safety-M Baugruppe 

hinterlegtem CRC. 

Nach der Eingabe aller Header-Daten kann der Validierungsreport über die 

Schaltfläche "Speichern" generiert werden. Das Parametriertool erzeugt dann eine Textdatei 

(.TXT) mit dem Dateinamen des Programmdatensatzes. Die Textdatei 

enthält die folgenden Informationen: 

� Die 3 Seiten der oben editierten Header-Daten 

� Die Konfiguration der Geber 

� Die Parameter der vorhandenen Überwachungsfunktionen 

� PLC Programm als Anweisungsliste 

Nach der Übertragung der Konfigurations- und Programmdaten zur Safety-M-Baugruppe blinkt 

die Status-LED in der Farbe Gelb. Dies zeigt an, dass die Konfigurationsdaten noch nicht validiert 

wurden. Mit Bestätigung der Taste „KONFIGURATION SPERREN“ am Ende des 

Validierungsdialogs werden die Daten als „Validiert“ gekennzeichnet und die LED blinkt in der 

Farbe „Grün“. 


Version: 24F - HB-37350-810-01-24F-DE


9 Wartung 

9.1 Modifikation / Umgang mit Änderungen am Gerät 

Wartungsarbeiten sind ausschließlich von qualifiziertem Personal vorzunehmen. 

Regelmäßige Wartungsarbeiten sind nicht durchzuführen! 

Reparatur 

Geräte sind immer komplett zu tauschen. 

Eine Reparatur des Gerätes kann nur im Werk durchgeführt werden. 

Garantie 

Mit unzulässigem öffnen der Baugruppe erlischt die Garantie. 

Hinweis: 

Bei Modifikation der Baugruppe erlischt die Sicherheitszulassung! 

9.2 Tausch einer Baugruppe 

Beim Tausch einer Baugruppe sollte folgendes beachtet werden: 

Stromrichter von der Hauptversorgung trennen. 

Spannungsversorgung für das Gerät ausschalten und Verbindung lösen. 

Geberstecker abziehen. 

Alle weiteren steck baren Verbindungen entfernen. 

Baugruppe von der Hutschiene nehmen und EMV-gerecht verpacken. 

Neue Baugruppe auf der Hutschiene anbringen. 

Alle Verbindungen wiederherstellen. 

Stromrichter einschalten. 

Versorgungsspannung einschalten. 

Gerät konfigurieren 

Hinweis: 

Grundsätzlich darf kein steckbarer Anschluss der Safety-M Baugruppe unter Spannung getrennt 

oder wieder gesteckt werden. Insbesondere bei den angeschlossenen Positions- bzw. 

Geschwindigkeitssensoren besteht die Gefahr einer Zerstörung des Sensors. 

9.3 Wartungsintervalle 

Austausch Baugruppe Siehe Technische Daten 

Funktionsprüfung Siehe Kapitel Inbetriebnahme 


Version: 24F - HB-37350-810-01-24F-DE


10 Technische Daten 

10.1 Umweltbedingungen 


Umgebungstemperatur 0°C* ... 50°C 


Lebensdauer 90000h bei 50°C Umgebung 

10.2 Sicherheitstechnische Kenndaten 

Max. erreichbare Sicherheitsklasse � SIL 3 gemäß EN61508 

� Kategorie 4 gemäß EN945-1 

� Performance-Level e gemäß EN ISO 

13849-1 

Systemstruktur 2-kanalig mit Diagnose (1002) 

Auslegung der Betriebsart „high demand“ gemäß EN 61508 (hohe 

Wahrscheinlichkeit eines 

gefahrbringenden Ausfalls pro Stunde 

(PFH-Wert) 

Anforderungsrate) 

SMX10, Safety-MS1, Safety-MS2 und SMX12A 

< 1,4 E-8 (14FIT) 

Proof-Test-Intervall (EN61508) 20 Jahre, danach muss die Baugruppe ersetzt 

werden 


Version: 24F - HB-37350-810-01-24F-DE


11 Fehlerarten Safety-M 

Prinzipiell unterscheidet die Safety-M zwischen zwei Arten von Fehlern gemäß folgender 

Zuordnung: 

Fehlerart Beschreibung 

Fatal Error 

Alarm 

ECS Alarm 

Schwerer Ausnahmefehler durch 

Programmlauf in Safety-M. Zyklischer 

Programmablauf ist aus 

sicherheitstechnischen Gründen nicht mehr 

möglich. Letzter aktiver Prozess ist die 

Bedienung der 7-Segment Anzeige durch 

System A. System B ist im Stop-Modus. 

Funktionaler Fehler, verursacht durch 

externen Prozess. Beide Systeme laufen 

zyklisch weiter und bedienen alle 

Anforderungen der Kommunikations- 

Schnittstellen. Die Abtastung des externen 

Prozesses wird ebenso aufrecht erhalten. 

Bei Verwendung der ECS-Funktion in der 

Programmieroberfläche werden die 

Geberalarmmeldungen anstelle von „A“ mit 

„E“ gekennzeichnet. 

Erkennung der Fehler System A und System B: 

� System A: ungeradzahlig 

� System B: geradzahlig 

11.1 Fehleranzeige 

Es gibt zwei Arten wie die Fehlernummer angezeigt werden 

11.1.1 Safety-M.. ohne Erweiterungsbaugruppen 

F,A oder E __ __ __ __ 

Fehlernummer 

11.1.2 Safety-M.. mit Erweiterungsbaugruppen 

F,A oder E __ __ __ __ __ 

1) Fehlernummer 

Note 1) 0: Basisbaugruppe 

1: Erweiterungsbaugruppe mit logischer Adresse 1 

2: Erweiterungsbaugruppe mit logischer Adresse 2 

Auswirkung 

auf System 

Alle 

Ausgänge 

werden 

abgeschaltet 

! 

Alle 

Ausgänge 

werden 

abgeschaltet 

! 

ECS- 

Funktionsblo 

ck liefert als 

Ergebnis „0“ 

Resetbedingung 

Rücksetzbar 

durch Aus- 

/Einschalten 

der Safety-M 

(POR). 

Rücksetzbar 

durch 

parametrierbar 

en Eingang 

Rücksetzbar 

durch 

parametrierbar 

en Eingang 


Version: 24F - HB-37350-810-01-24F-DE


11.2 Alarm Liste Safety-M 

Alarm Code A 2101 / A 2102 

Alarm Meldung Timeout Empfangstelegramm SMX31 (Adresse 1) 

Ursache Telegramm von Erweiterungsbaugruppe nicht rechtzeitig erhalten 

Fehlerbeseitigung Verbindung zur Erweiterungsbaugruppe prüfen 


Alarm Meldung CRC Fehler Sendetelegramm SMX31 (Adresse 1) 

Ursache Sendetelegramm fehlerhaft 

Fehlerbeseitigung Konfiguration der SMX31 Seriennummer prüfen 


Alarm Meldung CRC Fehler Sendetelegramm 


Fehlerbeseitigung 

� Konfiguration der SMX31 Seriennummer prüfen 

� Verbindung zur Erweiterungsbaugruppe prüfen 


Alarm Meldung CRC Fehler Empfangstelegramm 

Ursache Empfangstelegramm fehlerhaft 


Alarm Code A 2111 

� Konfiguration der SMX31 Seriennummer prüfen 

� Verbindung zur Erweiterungsbaugruppe prüfen 

Alarm Meldung 

Timeout Kommunikation mit Erweiterungsbaugruppe SMX31 

(Adresse 1) 

Ursache Fehlerhafte Installation der Erweiterungsbaugruppe 

Fehlerbeseitigung � Verbindung zur Erweiterungsbaugruppe prüfen 


Alarm Meldung 

Erweiterungsbaugruppe SMX31 (Adresse 1) vorhanden aber nicht 

konfiguriert 

Ursache Fehlerhafte Konfiguration 

Fehlerbeseitigung � Konfiguration prüfen 

Alarm Code A 2115 / A2116 

Alarm Meldung Erweiterungsbaugruppe SMX31 hat fehlerhafte logische Adresse 




Alarm Meldung Timeout Empfangstelegramm SMX31 (Adresse 2) 

Ursache Telegramm von Erweiterungsbaugruppe nicht rechtzeitig erhalten 

Fehlerbeseitigung Verbindung zur Erweiterungsbaugruppe prüfen 


Version: 24F - HB-37350-810-01-24F-DE



Alarm Meldung CRC Fehler Sendetelegramm SMX31 (Adresse 2) 


Fehlerbeseitigung Konfiguration der SMX31 Seriennummer prüfen 


Alarm Meldung 

Timeout Kommunikation mit Erweiterungsbaugruppe SMX31 

(Adresse 2) 

Ursache Fehlerhafte Installation der Erweiterungsbaugruppe 

Fehlerbeseitigung � Verbindung zur Erweiterungsbaugruppe prüfen 


Alarm Meldung 

Erweiterungsbaugruppe SMX31 (Adresse 2) vorhanden aber nicht 

konfiguriert 




Alarm Meldung Pulse1 Plausibilitätsfehler am Erweiterungseingang EAEx.1 

Ursache An diesem Eingang liegt nicht die konfigurierte Pulse1-Spannung an. 


� Konfiguration des Digitalen Eingangs gemäß Projektierung und 

Schaltplan überprüfen 

� Verdrahtung überprüfen 









Alarm Meldung Fehlerhaftes 24V Signal am EAEx.1 

Ursache Am Eingang liegt keine dauerhafte 24V-Spannung an 


� Spannung am Digitalen Eingang prüfen! 


� Prüfen ob Puls1 oder Puls2 anliegt 









Version: 24F - HB-37350-810-01-24F-DE




















































Version: 24F - HB-37350-810-01-24F-DE













































Alarm Meldung Fehlerhaftes 24V-Signal am EAEx.6 

Ursache An diesem Eingang liegt keine dauerhafte 24V-Spannung an. 


� Spannung am digitalen Eingang prüfen! 

� Verdrahtung prüfen! 

� Prüfen, ob Puls1 oder Puls2 anliegt 


Version: 24F - HB-37350-810-01-24F-DE




















































Version: 24F - HB-37350-810-01-24F-DE






































Alarm Meldung Pulse1 Plausibilitätsfehler am Eingang DI1 

Ursache Am Eingang liegt nicht die konfigurierte Pulse1-Spannung an. 













Version: 24F - HB-37350-810-01-24F-DE














































Ursache Am Eingang liegt keine Pulse2-Spannung an 






Version: 24F - HB-37350-810-01-24F-DE




















































Version: 24F - HB-37350-810-01-24F-DE







































Ursache Am Eingang liegt nicht die konfigurierte Pulse1-Spannung an.. 









� Konfiguration des Digitalen Eingangs DI9 gemäß Projektierung 

und Schaltplan überprüfen 



Version: 24F - HB-37350-810-01-24F-DE






































Alarm Meldung Fehlerhaftes 24V Signal am DI1 














Version: 24F - HB-37350-810-01-24F-DE




















































Version: 24F - HB-37350-810-01-24F-DE






































Alarm Meldung Kurzschlussfehler Digitale Eingänge 

Ursache 

Kurzschluss zwischen den Digitalen Eingängen innerhalb der 

Baugruppe 

Fehlerbeseitigung Hersteller kontaktieren 


Alarm Meldung Fehlerhafte OSSD Eingangsprüfung 

Ursache OSSD Test fehlerhaft 

Fehlerbeseitigung � 24V Eingangsspannung aller OSSD-Eingänge prüfen 


Version: 24F - HB-37350-810-01-24F-DE



Fehler Meldung Geberversorgungsspannung X31 fehlerhaft. 

� Geberversorgungsspannung entspricht nicht der konfigurierten 

Ursache 

Schwelle 

� Bauteilefehler auf der Baugruppe 

� Konfiguration prüfen! 

Fehlerbeseitigung � Geberversorgungsspannung prüfen 

� Gerät Aus-/Einschalten. 


Fehler Meldung Geberversorgungsspannung X32 fehlerhaft. 

� Geberversorgungsspannung entspricht nicht der konfigurierten 

Ursache 

Schwelle 

� Bauteilefehler auf der Baugruppe 

� Konfiguration prüfen! 

Fehlerbeseitigung � Geberversorgungsspannung prüfen 



Fehler Meldung Zu große Abweichung Ain1 zu AIn2 

Ursache 

� 

� 

Unterschiedliche Spannungen an den beiden Eingängen 

konfigurierte Schwelle zu gering 

� Spannungen am Ain1 prüfen! 

Fehlerbeseitigung � Konfiguration Schwelle/Eingangsfilter prüfen 



Fehler Meldung Zu große Abweichung Ain3 zu AIn4 

Ursache 

� 

� 

Unterschiedliche Spannungen an den beiden Eingängen 

konfigurierte Schwelle zu gering 

� Spannungen am Ain1 prüfen! 

Fehlerbeseitigung � Konfiguration Schwelle/Eingangsfilter prüfen 



Fehler Meldung Plausibilitätstest Geberspannung fehlerhaft 

Ursache � Geberspannungswert 


� Geberspannungsversorgung prüfen 

� Verkabelung Geberspannungsversorgung prüfen 


Fehler Meldung Plausibilitätstest Analogeingänge fehlerhaft 

Ursache � Fehler im Analogeingangssignal 


� Anschluss Analogeingänge prüfen 

� Analogeingangsspannung außerhalb des Bereichs 


Version: 24F - HB-37350-810-01-24F-DE



Fehler Meldung Drahtbruchüberwachung AIN1 hat ausgelöst 

Ursache � Drahtbruchüberwachung aktiviert (< 1000mV) 


� Konfiguration Aktivierung/ Sensor prüfen 

� Anschluss Sensor prüfen 


Fehler Meldung Drahtbruchüberwachung AIN2 hat ausgelöst 

Ursache � Drahtbruchüberwachung aktiviert (< 1000mV) 


� Konfiguration Aktivierung/ Sensor prüfen 

� Anschluss Sensor prüfen 


Alarm Meldung Plausibilitätsfehler Geschwindigkeitserfassung Achse 1 

Die Differenz zwischen den beiden Geschwindigkeitssensoren ist 

Ursache 

höher als die konfigurierte Abschaltschwelle Geschwindigkeit 

Theorie der Strecke nochmals mit der in der Konfiguration der Geber 

eingestellten Daten überprüfen 

Fehlerbeseitigung Geschwindigkeitssensor überprüfen 

Mit der SCOPE-Funktion Geschwindigkeitssignale deckungsgleich 

einstellen 


Alarm Meldung Plausibilitätsfehler Positionserfassung Achse 1 

Die Differenz zwischen den beiden Positionssignalen ist höher als die 

Ursache 

konfigurierte Abschaltschwelle Inkremente 

Theorie der Strecke mit konfigurierten Daten der Gebereinstellung 

überprüfen 

Positionssignal überprüfen 

Sind alle Signale am 9-poligen Geberstecker richtig angeschlossen? 


Richtige Beschaltung des Gebersteckers prüfen. 

Werden Näherungsschalter verwendet und sind diese korrekt 

angeschlossen. 

Mit der SCOPE-Funktion Positionssignale deckungsgleich einstellen 


Alarm Meldung Plausibilitätsfehler fehlerhafter Positionsbereich Achse 1 

Ursache Die aktuelle Position liegt außerhalb der konfigurierten Messlänge 



überprüfen 

Positionssignal überprüfen, ggf. Offset korrigieren 

Mit der SCOPE-Funktion Position auslesen und auf konfigurierte 

Werte ins Verhältnis setzen 


Version: 24F - HB-37350-810-01-24F-DE



Alarm Meldung Plausibilitätsfehler fehlerhafter Geschwindigkeit Achse 1 

Die aktuelle Geschwindigkeit liegt außerhalb der konfigurierten 

Ursache 

maximalen Geschwindigkeit 

Der Antrieb bewegt sich außerhalb des zulässigen und konfigurierten 

Geschwindigkeitsbereiches 


Konfiguration überprüfen 

Mit SCOPE Verlauf der Geschwindigkeit analysieren 


Alarm Meldung Konfigurationsfehler: Beschleunigung Achse 1 

Aktuelle Beschleunigung liegt außerhalb des konfigurierten 

Ursache 

Beschleunigungsbereichs 

Der Antrieb hat den zulässigen Beschleunigungsbereich überschritten 

Fehlerbeseitigung Konfiguration maximale Geschwindigkeit überprüfen 

Mit SCOPE Verlauf der Geschwindigkeit/Beschleunigung analysieren 


Fehler Meldung SSI Sensorfehler 

Ursache � Gebersprung SSI-Wert innerhalb eines Zyklus zu groß 


� Geberverkabelung prüfen 

� Geberkonfiguration prüfen 


Fehler Meldung Inkremental Encoder Achse 1 fehlerhaft 

Ursache � Die Spur A stimmt nicht mit der Spur B überein 





Alarm Meldung Plausibilitätsfehler Geschwindigkeitserfassung Achse 2 

Die Differenz zwischen den beiden Geschwindigkeitssensoren ist 

Ursache 

höher als die konfigurierte Abschaltschwelle Geschwindigkeit 

Theorie der Strecke nochmals mit der in der Konfiguration der Geber 

eingestellten Daten überprüfen 

Fehlerbeseitigung Geschwindigkeitssensor überprüfen 

Mit der SCOPE-Funktion Geschwindigkeitssignale deckungsgleich 

einstellen 


Version: 24F - HB-37350-810-01-24F-DE



Alarm Meldung Plausibilitätsfehler Positionserfassung Achse 2 

Die Differenz zwischen den beiden Positionssignalen ist höher als die 

Ursache 

konfigurierte Abschaltschwelle Inkremente 


überprüfen 

Positionssignal überprüfen 

Sind alle Signale am 9-poligen Geberstecker richtig angeschlossen? 


Richtige Beschaltung des Gebersteckers prüfen. 

Werden Näherungsschalter verwendet und sind diese korrekt 

angeschlossen. 

Mit der SCOPE-Funktion Positionssignale deckungsgleich einstellen 


Alarm Meldung Plausibilitätsfehler fehlerhafter Positionsbereich Achse 2 

Ursache Die aktuelle Position liegt außerhalb der konfigurierten Messlänge 



überprüfen 

Positionssignal überprüfen, ggf. Offset korrigieren 

Mit der SCOPE-Funktion Position auslesen und auf konfigurierte 

Werte ins Verhältnis setzen 


Alarm Meldung Plausibilitätsfehler fehlerhafter Geschwindigkeit Achse 2 

Die aktuelle Geschwindigkeit liegt außerhalb der konfigurierten 

Ursache 

maximalen Geschwindigkeit 

Der Antrieb bewegt sich außerhalb des zulässigen und konfigurierten 

Geschwindigkeitsbereiches 


Konfiguration überprüfen 

Mit SCOPE Verlauf der Geschwindigkeit analysieren 


Alarm Meldung Konfigurationsfehler: Beschleunigung Achse 2 

Aktuelle Beschleunigung liegt außerhalb des konfigurierten 

Ursache 

Beschleunigungsbereichs 

Der Antrieb hat den zulässigen Beschleunigungsbereich überschritten 

Fehlerbeseitigung Konfiguration maximale Geschwindigkeit überprüfen 

Mit SCOPE Verlauf der Geschwindigkeit/Beschleunigung analysieren 


Alarm Meldung Plausibilitätsfehler SinCos-Encoder 

Ursache Falscher Gebertyp angeschlossen 


Konfiguration prüfen 

Geberbelegung prüfen 


Fehler Meldung Inkremental Encoder Achse 2 fehlerhaft 

Ursache � Die Spur A stimmt nicht mit der Spur B überein 





Version: 24F - HB-37350-810-01-24F-DE



Alarm Meldung 

Ursache 


Differenzpegel RS485Treiber1 Fehler INC_B oder SSI_CLK 

fehlerhaft 

� Keine Geberverbindung 

� Falscher Gebertyp angeschlossen 

� Geberverbindung kontrollieren 

� Geberverkabelung überprüfen 


Alarm Meldung 

Ursache 


Differenzpegel RS485Treiber2 Fehler INC_A oder SSI_DATA 

fehlerhaft 

� Keine Geberverbindung 

� Falscher Gebertyp angeschlossen 

� Geberverbindung kontrollieren 

� Geberverkabelung überprüfen 


Fehler Meldung Fehler Sinus/Cosinus Plausibilität X31 

Ursache � Plausibilitätsüberwachung der einzelnen Spuren fehlerhaft 



� Sinus- zu Cosinus-Spur muss linear sein 


Fehler Meldung Fehler Sinus/Cosinus Plausibilität X32 

Ursache � Plausibilitätsüberwachung der einzelnen Spuren fehlerhaft 



� Sinus- zu Cosinus-Spur muss linear sein 


Alarm Meldung Fehlerhafte Resolverfrequenz 

Ursache 

� Resolverfrequenz ist außerhalb des erlaubten Bereichs. 

Fehler der Erregerfrequenz des Resolvers. 


� Überprüfung der Resolverfrequenz, ob diese im erlaubten 

Bereich liegt. 


Fehler Meldung 

Mittelwert des Referenzsignals vom Resolver ist außerhalb des 

zulässigen Bereichs. 

Ursache 

� Mittelwert des Referenzsignals vom Resolver ist außerhalb 

des zulässigen Bereichs. 

Fehlerbeseitigung � Überprüfung des angeschlossenen Resolvers 


Fehler Meldung Referenzspannung des Extension board ist fehlerhaft 

Ursache � HW Fehler auf dem Extension Board 

Fehlerbeseitigung � Überprüfung der Erweiterungskarte 


Version: 24F - HB-37350-810-01-24F-DE




Ursache 


Die Amplitude/Zeigerlänge welche aus den beiden Signalen Sinus 

und Cosinus gebildet werden (siehe auch Einheitskreis) ist außerhalb 

des zulässigen Bereichs 

� Falsche Konfiguration des Gebers 

� Fehlerhafter Anschluss des Resolvers 

� Überprüfung der Geberkonfiguration 

� Überprüfung der Anschlüsse des Resolvers 



Ursache � Internere Fehler 


Der PIC meldet einen generellen Statusfehler, z.B. Beim 

Verbindungsaufbau oder weil ein Timeout in der Verarbeitung erfolgt 

ist. 

� Power Cycle des Geräts 

� Überprüfung der Erweiterungskarte 



Plausibilitätsprüfung zwischen dem analogen SinusSignal und dem 

TTL-Pegel am Schmitt-trigger ausgang stimmen nicht überein. 

Ursache � Fehlerhafte Gebersignale vom Encoder 


� Überprüfen des Encoderanschlusses 

� Überprüfen der Encodersignale 



Der Quotient aus aritmetischen Mittelwert / quadratischen Mittelwert 

ist außerhalb des zulässigen Bereichs. 

Ursache � Fehlerhafte Gebersignale vom Geber 





Fehler Meldung Verbindungsaufbau zwischen CPU und PIC ist fehlgeschlagen. 

Ursache � Fehlerhafte HW des Extension Board 

Fehlerbeseitigung � Überprüfung der Erweiterungskarte 


Fehler Meldung Resolver_Quadrant 

Ursache � Fehlerhafte Gebersignale vom Encoder 





Fehler Meldung Resolver_UENC 

Ursache � Spannung ist nicht am ExtensionBoard angelegt 


� Überprüfen, ob Spannung ordnungsgemäß an den Klemmen des 

Extension Board angeschlossen sind. 


Version: 24F - HB-37350-810-01-24F-DE



Fehler Meldung TTL/HTL Signal fehlerhaft 

Ursache � Fehlerhafte Gebersignal vom Encoder 





Fehler Meldung Resolver_TRACE Error 

Ursache � Zählersignale des Encoders sind fehlerhaft 




� Überprüfung der Erweiterungskarte 


Fehler Meldung Lesekopffehler WCS-Encodersystem Achse 1 

Ursache � WCS Lesekopf hat Fehler erkannt 

Fehlerbeseitigung � Fehlerarten WCS-Encodersystem auslesen 


Fehler Meldung Lesekopffehler WCS-Encodersystem Achse 1 

Ursache � WCS Lesekopf hat Fehler erkannt 

Fehlerbeseitigung � Fehlerarten WCS-Encodersystem auslesen 


Fehler Meldung SSI_ECE STATUS 1.Achse SSI Ext Encoder 

Ursache � Auswertung des 1.Statusbit ist fehlerhaft 




� Austausch des SSI-Encoders 

















Version: 24F - HB-37350-810-01-24F-DE





Fehlerbeseitigung � Überprüfen der Encodersignale 













































Version: 24F - HB-37350-810-01-24F-DE



Fehler Meldung SSI STATUS 1.Achse SSI Encoder 



































Fehler Meldung Fehlerhaftes Schalten des Ausgangs EAAx.1 

Ursache Kurzschluss des Ausgangs mit „24V“ bzw. „0V“ 

Fehlerbeseitigung Gerät Aus-/Einschalten 






Version: 24F - HB-37350-810-01-24F-DE



































Alarm Meldung 

Ursache Multiple Aktivierung 


Links- und Rechtslaufüberwachung SDI1 wurden gleichzeitig 

aktiviert 

In der Programmierung muss darauf geachtet werden, dass immer 

nur ein "Enable" aktiviert wird 


Version: 24F - HB-37350-810-01-24F-DE



Alarm Meldung 



Links- und Rechtslaufüberwachung SDI2 wurden gleichzeitig 

aktiviert 




Alarm Meldung 



Überwachungsbereich Links und -Rechts der SLP1 wurde gleichzeitig 

aktiviert 


nur ein „Enable“ aktiviert wird 


Alarm Meldung 



Überwachungsbereich Links und -Rechts der SLP2 wurde gleichzeitig 

aktiviert 


nur ein „Enable“ aktiviert wird 


Alarm Meldung SLP1 Teach In Status Fehler 

Ursache SET und QUIT Eingang haben eine fehlerhafte Schaltsequenz 


Check input configuration 

Check switching sequence 


Alarm Meldung SLP 2 Teach In Status Fehler 

Ursache SET und QUIT Eingang haben eine fehlerhafte Schaltsequenz 


Konfiguration prüfen 

Schaltsequenz überprüfen 


Alarm Meldung SLP1 Teach In Positionsfehler 

Ursache Teach In Position außerhalb des Messbereichs 

Fehlerbeseitigung Übernahmeposition prüfen 


Alarm Meldung SLP2 Teach In Positionsfehler 

Ursache Teach In Position ausserhalb des Messbereichs 

Fehlerbeseitigung Übernahmeposition prüfen 


Alarm Meldung SLP1 Teach In SOS Aktivierungsfehler 

Ursache Während Teach In hat Antrieb sich bewegt (SOS Fehler) 


Bei Verwendung der Teach In Funktion muss Antrieb stehen 

Prüfen, ob SOS bereits ausgelöst hat 


Version: 24F - HB-37350-810-01-24F-DE



Alarm Meldung SLP 2 Teach In SOS Aktivierungsfehler 

Ursache Während Teach In hat Antrieb sich bewegt (SOS Fehler) 


Bei Verwendung der Teach In Funktion muss Antrieb stehen 

Prüfen, ob SOS bereits ausgelöst hat 


Alarm Meldung Links- und Rechtslaufüberwachung SLI1 wurden gleichzeitig aktiviert 






Alarm Meldung Links- und Rechtslaufüberwachung SLI2 wurden gleichzeitig aktiviert 






Alarm Meldung Test Deaktivierung Digitale Eingänge1...14 fehlerhaft 

Ursache Eingänge sind nach Deaktivierung immer noch aktiv 

Fehlerbeseitigung � Verdrahtung Digitale Eingänge prüfen 


Alarm Meldung Timeoutfehler MET 

Ursache Eingangselement mit Zeitüberwachung fehlerhaft 


Verdrahtung Eingangselement prüfen 

Eingangselement fehlerhaft 


Alarm Meldung Timeoutfehler MEZ 

Ursache Zweihandbedienelement mit Zeitüberwachung fehlerhaft 


Verdrahtung Eingangselement prüfen 

Eingangselement fehlerhaft 


Version: 24F - HB-37350-810-01-24F-DE


11.3 Fatal Error Liste Safety-M 

Fatal Error Code F 1001 


Ursache 



Konfigurationsdaten wurden fehlerhaft in das Überwachungsgerät 

geladen 

Verbindungsstörung beim Laden des Programms auf das 

Überwachungsgerät. 

Konfigurationsdaten erneut laden und dann Baugruppe Aus- 

/Einschalten. 

Fehler Meldung Konfigurationsdaten für Softwareversion Baugruppe ungültig! 

Ursache 

Baugruppe mit falscher Softwareversion der 

Programmieroberfläche konfiguriert. 


Baugruppe mit zugelassener Version der Programmieroberfläche 

parametrieren und dann Baugruppe Aus-/Einschalten. 



Ursache 


Gerät wurde nicht mit korrekter Programmieroberfläche 

programmiert 

Programm oder Konfigurationsdaten wurden mit falscher 

Programmieroberfläche auf das Gerät gespielt 

Ausführung Baugruppe prüfen und mit einer gültigen 

Programmieroberfläche erneut parametrieren. Danach Gerät Aus- 

/Einschalten. 


Fehler Meldung Fehler beim Löschen der Konfigurationsdaten im Flash-Speicher 

Fatal Error Code F 1311 / F1312 

Fehler Meldung Interner Fehler – bitte Kontakt mit Hersteller aufnehmen! 





Fatal Error Code F 1401 / F 1402 



Fehler Meldung CRC der Konfigurationsdaten ungültig! 

Ursache Konfigurationsdaten wurden fehlerhaft übertragen 

Fehlerbeseitigung Konfigurationsdaten erneut übertragen 


Version: 24F - HB-37350-810-01-24F-DE













Fehler Meldung Bereichsprüfung der Gerätebeschreibung fehlerhaft. 


Fehler Meldung Bereichsprüfung der Access Data fehlerhaft. 


Fehler Meldung Bereichsprüfung EMU fehlerhaft. 


Fehler Meldung Bereichsprüfung SCA fehlerhaft. 


Fehler Meldung Bereichsprüfung SSX fehlerhaft. 


Fehler Meldung Bereichsprüfung SEL fehlerhaft. 


Fehler Meldung Bereichsprüfung SLP fehlerhaft. 


Fehler Meldung Bereichsprüfung SOS fehlerhaft. 


Version: 24F - HB-37350-810-01-24F-DE



Fehler Meldung Bereichsprüfung SLS fehlerhaft. 


Fehler Meldung Bereichsprüfung SDI fehlerhaft. 


Fehler Meldung Bereichsprüfung SLI fehlerhaft. 


Fehler Meldung Bereichsprüfung PLC fehlerhaft. 


Fehler Meldung Bereichsprüfung Abschaltkanal fehlerhaft. 


Fehler Meldung Bereichsprüfung Ausgänge fehlerhaft. 


Fehler Meldung Bereichsprüfung Digital Eingänge fehlerhaft. 


Fehler Meldung Bereichsprüfung Analogeingang 


Fehler Meldung Bereichsprüfung Gebertyp fehlerhaft. 


Fehler Meldung Bereichsprüfung Geberverarbeitung fehlerhaft. 


Fehler Meldung Bereichsprüfung Geberposition fehlerhaft. 


Fehler Meldung Bereichsprüfung PDM fehlerhaft. 


Fehler Meldung Bereichsprüfung Addiererschaltung fehlerhaft. 


Version: 24F - HB-37350-810-01-24F-DE



Fehler Meldung Bereichsprüfung Achsverwaltung fehlerhaft 


Fehler Meldung Bereichsprüfung Erweiterungsbaugruppen fehlerhaft 


Fehler Meldung Bereichsprüfung PLC Timer fehlerhaft 


Fehler Meldung Bereichsprüfung System fehlerhaft 


Fehler Meldung Bereichsprüfung Verbindungstabelle fehlerhaft 


Fehler Meldung Bereichsprüfung SAC fehlerhaft 


Fehler Meldung Bereichsprüfung Diagnose fehlerhaft 




Fehler Meldung Timeout beim Übertragen der Konfigurations- und Firmwaredaten 










Version: 24F - HB-37350-810-01-24F-DE







Fehler Meldung Prozessorspannung 2.5V außerhalb des definierten Bereichs 

Ursache 

� 

� 

Versorgungsspannung der Baugruppe nicht korrekt! 

Bauteilefehler auf der Baugruppe 


� 

� 

Geräteversorgungsspannung prüfen! 

Gerät Aus-/Einschalten. 


Fehler Meldung Versorgungsspannung 24V Baugruppe fehlerhaft. 

Ursache 

� 

� 




� 

� 




Fehler Meldung Interne Versorgungsspannung 5.7V fehlerhaft. 

Ursache 

� 

� 




� 

� 




Fehler Meldung Interne Versorgungsspannung 5V fehlerhaft. 

Ursache 

� 

� 




� 

� 




Alarm Meldung Plausibilitätsfehler Positionsumschaltung Achse 1 

Ursache 

Bei Positionsumschaltung ist SOS, SLI oder SDI dauerhaft 

aktiviert. 

� Aktivierung SOS überprüfen 


� Aktivierung SLI überprüfen 

� Aktivierung SDI (nur bei Überwachung über Position) 


Fehler Meldung Fehler Geberalignment Achse1 

Ursache � Fehlerhafte Positionstriggerung durch System A 





Version: 24F - HB-37350-810-01-24F-DE



Fehler Meldung Plausibilitätsfehler Positionsumschaltung Achse 2 

Ursache 

Bei Positionsumschaltung ist SOS, SLI oder SDI dauerhaft 

aktiviert. 

� Aktivierung SOS überprüfen 


� Aktivierung SLI überprüfen 

� Aktivierung SDI (nur bei Überwachung über Position) 


Fehler Meldung Fehler Geberalignment Achse2 

Ursache � Fehlerhafte Positionstriggerung durch System A 





Fehler Meldung Fehlerhaftes Schalten des Relais K1 

Ursache Interne Ansteuerung Relais fehlerhaft 



Fehler Meldung Fehlerhaftes Schalten des Relais K2 

Ursache Interne Ansteuerung Relais fehlerhaft 



Fehler Meldung Fehlerhaftes Schalten des „0V“ Treibers DO1_L 

Ursache Schaltzustand Ausgang fehlerhaft 



Fehler Meldung Fehlerhaftes Schalten des „24V“ Treibers DO1_H 




Fehler Meldung Fehlerhaftes Schalten des „0V“ Treibers DO2_L 




Fehler Meldung Fehlerhaftes Schalten des „24V“ Treibers DO2_H 




Version: 24F - HB-37350-810-01-24F-DE



Fehler Meldung Fehlerhaftes Testen des „0V“ Treibers DO1_L 

Ursache Kurzschluss des Ausgangs mit „0V“ 



Fehler Meldung Fehlerhaftes Testen des „24V“ Treibers DO1_H 




Fehler Meldung Fehlerhaftes Testen des „0V“ Treibers DO2_L 




Fehler Meldung Fehlerhaftes Testen des „24V“ Treibers DO2_H 


















Version: 24F - HB-37350-810-01-24F-DE







































Version: 24F - HB-37350-810-01-24F-DE







Fehler Meldung Fehlerhaftes Testen des Ausgangs EAAx.1 
































Version: 24F - HB-37350-810-01-24F-DE



















Alarm Meldung Fehlerhafte Berechnung der Bremsrampe SSX 



� Konfiguration SSX prüfen 

� Hersteller kontaktieren 


Alarm Meldung Fehlerhafte Berechnung Grenzkurve SSX 

Ursache Fehlerhafte Berechnung Grenzkurve SSX 


� Konfiguration prüfen 

� Hersteller kontaktieren 








Version: 24F - HB-37350-810-01-24F-DE





























Version: 24F - HB-37350-810-01-24F-DE

















Version: 24F - HB-37350-810-01-24F-DE


12 Encodertypen 

Nr Typ 

69 

Encoder an 

Interface 

X31/32 

Typ 

Encoder an 

Interface 

X33/34 

NC NC 

Typ 

Encoder an 

X 23 

1 x Bero 

+ 

1 x Bero 

Sichere 

Geschw 

1 Inkremental NC NC X 

Sichere 

Richt. 

51 Inkremental Inkremental NC X X 

3 Inkremental NC 1 x Bero X 

Sichere 

Position 



X 




erforderlich falls gemeinsame Elemente im Abgriff 



erforderlich 

1-kanaliges 

Teilsystem 

2kanaliges 

Teilsystem 

dynamisch 

2-kanaliges 

Teilsystem 


n.a. 99% 80-90% 

60% 99% 80-90% 

n.a. 99% 95% 

n.a. 99% 90-95% 

68 Inkremental NC 2 x Bero 90° X X n.a. 99% 90-95% 

62 Inkremental SIN/COS NC X X 

54 Inkremental HTL NC X X 

n.a. 99% 99% 

n.a. 99% 90-95%


Nr Typ 

Encoder an 

Interface 

X31/32 

Typ 

Encoder an 

Interface 

X33/34 

Typ 

Encoder an 

X 23 



58 Inkremental Resolver NC X X 

Sichere 

Position 

65 Inkremental SSI NC X X X 

2 SIN/COS NC NC X X 

52 SIN/COS Inkremental NC X X 






erforderlich 

1-kanaliges 

Teilsystem 

2kanaliges 

Teilsystem 

dynamisch 

2-kanaliges 

Teilsystem 


n.a. 99% 99% 

n.a. 99% 90-95% 

90% 99% 90-95% 

n.a. 99% 95-99% 

4 SIN/COS NC 1 x Bero X X n.a. 99% 90-95% 

50 SIN/COS NC 2 x Bero 90° X X n.a. 99% 95-99% 

55 SIN/COS HTL NC X X 

59 SIN/COS Resolver NC X X 

n.a. 99% 95-99% 

n.a. 99% 99%


Nr 

Typ 

Encoder an 

Interface 

X31/32 

Typ 

Encoder an 

Interface 

X33/34 

Typ 

Encoder an 

X 23 



Sichere 

Position 




1-kanaliges 

Teilsystem 

2kanaliges 

Teilsystem 

dynamisch 

2-kanaliges 

Teilsystem 


66 SIN/COS SSI NC X X X n.a. 99% 95-99% 

8 SSI NC 2 x Bero 90° X X X 

63 SSI SIN/COS NC X X X 

60 SSI Resolver NC X X X 

67 SSI SSI NC X X X 

61 NC SIN/COS NC X X 

57 NC Resolver NC X X 



erforderlich 



erforderlich 

n.a. 99% 90-95% 

n.a. 99% 95-99% 

n.a. 99% 95-99% 

n.a. 99% 90-95% 

90% 99% 90-95% 

90% 99% 90-95%


Nr Typ 

Encoder an 

Interface 

X31/32 

Typ 

Encoder an 

Interface 

X33/34 

Typ 

Encoder an 

X 23 

53 NC HTL NC X 



Sichere 

Position 

64 NC SSI 2 x Bero 90° X X X 






erforderlich 

1-kanaliges 

Teilsystem 

2kanaliges 

Teilsystem 

dynamisch 

2-kanaliges 

Teilsystem 


60% 99% 80-90% 

n.a. 99% 90-95%


13 Schaltertypen 

Typ Schaltzeichen Wahrheitstabelle Logigfunktion Funktionsblock Funktion 

1 

Ö 

0 

A 

0 

LD E.1 

ST IE.X 

Schließer, nur in Darstellung 

Öffner Öffner 

1 1 

2 

3 

4 

eSwitch_1o 

sSwitch_1s 

eSwitch_2o 

eSwitch_2oT 

t 

S A 

0 0 

1 1 

Ö1 Ö2 A 

0 0 0 

1 0 0 

0 1 0 

1 1 1 

Ö1 Ö2 A 

0 0 0 

1 0 0 

0 1 0 

1 1 1 

LD E.1 

ST IE.X 

LD E.1 

AND E.2 

ST IE.X 

LD E.1 

OR E.2 

ST META_EN.1 

LD E.1 

AND E.2 

ST METB_EN.1 

LD MET.1 

ST IE.X 


MET1..MET4 



Schließer, wie Typ 1 

UND-Verknüpfung beider 

Eingänge 

Wie 3, jedoch mit zeitlicher 


Zustandsänderungen. 

Bei Signalwechsel an S oder Ö 

muss komplementäres Signal 

innerhalb Zeit t=3 s folgen. Falls 

nicht auf Störung erkennen und 

A=0 

max. 3 s max. 3 s 

Ausgang 

Öffner 

Ausgang 

Öffner 1 

Öffner 2 

Ausgang 

Öffner 1 

Öffner 2 

Ausgang


Typ Schaltzeichen Wahrheitstabelle Funktion 

5 

S Ö A LD E.1 

Überwachung auf S=inaktiv und 

0 0 0 AND NOT E.2 

Ö=aktiv 

1 0 0 ST IE.X 

0 1 1 

1 1 0 

6 

7 

eSwitch_1s1o 

eSwitch_1s1oT 

eSwitch_2s2o 

t 

S Ö A 

0 0 0 

1 0 0 

0 1 1 

1 1 0 

S1 Ö 

1 

S2 Ö2 A 

1 0 1 0 0 

0 1 1 0 0 

0 1 0 1 1 

1 0 0 1 0 

LD E.1 

OR NOT E.2 

ST META_EN.1 

LD E1 

AND NOT E2 

ST METB_EN.1 

LD MET.1 

ST IE.X 

LD E.1 

AND E.2 

AND NOT E.3 

ST IE.X 


MET1..MET4 






Bei Signalwechsel an S oder Ö 

muss komplementäres Signal 



A=0 

Überwachung auf 

S1*S2=inaktiv und Ö1*Ö2=aktiv 


Öffner 

Schließer 

Ausgang 

Öffner 

Schließer 

Ausgang 

Öffner 1 

Öffner 2 

Schließer 

Ausgang



8 

S1 Ö S2 Ö2 A LD E.1 

Zeitüberwachung Wie 6, jedoch mit zeitlicher 

1 

OR E.2 MET1..MET4 Überwachung von 

t 

1 

0 

0 

1 

1 

1 

0 

0 

0 

0 

OR NOT E.3 

ST META_EN.1 


Bei Signalwechsel an S 

0 

1 

1 

0 

0 

0 

1 

1 

1 

0 LD E.1 

AND E.2 

(Achtung Sammelleitung!) oder 

Ö muss komplementäres Signal 


AND NOT E.3 


ST METB_EN.1 

A=0 

9 

eSwitch_2s2oT 

eSwitch_3o 

Ö1 Ö2 Ö3 A 

0 0 0 0 

1 0 0 0 

0 1 0 0 

1 1 0 0 

1 1 1 1 

LD MET.1 

ST IE.X 

LD E.1 

AND E.2 

AND E.3 

ST IE.X 



UND-Verknüpfung der drei 

Eingänge 


Öffner 1 

Öffner 2 

Schließer 

Ausgang 

Öffner 1 

Öffner 2 

Öffner 3 

Ausgang


10 

eSwitch_3oT 

t 

t 

Ö1 Ö2 Ö3 A 

0 0 0 0 

1 0 0 0 

0 1 0 0 

1 1 0 0 

1 1 1 1 

LD E.1 

OR E.2 

OR E.3 

ST META_EN.1 

LD E.1 

AND E.2 

AND E.3 

ST METB_EN.1 

LD MET.1 

ST IE.X 


MET1..MET4 






Bei Signalwechsel an einer der 

Ö-Eingänge müssen die 

weiteren Eingänge innerhalb 

Zeit t=3 s folgen. Falls nicht auf 

Störung erkennen und A=0 


Öffner 1 

Öffner 2 

Öffner 3 

Ausgang



Ö S Ö S A LD NOT E.1 Zweihand- Überwachung auf S1*S2=inaktiv 

11 

1 1 2 2 OR E.2 bedienung und Ö1*Ö2=aktiv + zeitliche 

0 1 0 1 0 OR NOT E.3 MEZ 

Überwachung dieses Zustands. 

1 0 0 1 0 OR E.4 

D.h. erfolgt Signalwechsel eines 

1 

0 

0 

1 

1 

0 

0 

1 

0 

1 

ST MEZ_EN.1 

LD E.1 

S von 1->0 oder Ö von 0->1 

dann müssen die weiteren 

Signale (d.h. weiterer S=0, bzw. 

AND NOT E2 

Ö=1) innerhalb von 0,5 s folgen. 

AND E3 

Wenn nicht bleibt Ausgang = 0. 

AND NOT E4 

Keine Störungsauswertung! 

ST MEZ_EN.2 

LD NOT E1 

AND E.2 

AND NOT E3 

AND E.4 

ST MEZ_EN.3 

Keine zeitliche Überwachung bei 

Wechsel auf inaktiven Zustand. 

12 

eTwoHand_2o 

S1 S2 A 

1 0 0 

0 1 0 

0 0 0 

1 1 1 

LD MEZ.1 

ST IE.X 

LD E.1 

OR E.2 

ST MEZ_EN.1 

LD NOT E.1 

AND NOT E.2 

ST MEZ_EN.2 

LD E.1 

AND E.2 

ST MEZ_EN.3 

LD MEZ.1 

Zweihandbedienung 

MEZ 



Überwachung auf S1*S2=inaktiv 

+ zeitliche Überwachung dieses 

Zustands. D.h. erfolgt 

Signalwechsel eines S von 1->0 

dann muss das weitere Signal 

(d.h. weiteres S=0) innerhalb 

von 0,5 s folgen. Wenn nicht 

bleibt Ausgang = 0. 

Keine Störungsauswertung! 

Keine zeitliche Überwachung bei 

Wechsel auf inaktiven Zustand. 

max. 0,5 s 

max. 0,5 s 

Öffner 1 

Öffner 2 

Ausgang 

Schließer 1 

Schließer 2 

Ausgang


13 

14 

eTwoHand_2s ST IE.X 

eMode_1s1o 

eMode_3switch 

S1 S2 A A 

1 2 

1 0 1 0 

0 1 0 1 

0 0 0 0 

1 1 0 0 

S1 S2 S3 A A A 

1 2 3 

1 0 0 1 0 0 

0 1 0 0 1 0 

0 0 1 0 0 1 

1 1 0 0 0 0 

1 0 1 0 0 0 

0 1 1 0 0 0 

1 1 1 0 0 0 

0 0 0 0 0 0 

LD E.1 

AND NOT E.2 

ST IE.X1 

LD NOT E.1 

AND E.2 

ST IE.X2 

LD E.1 

AND NOT E.2 

AND NOT E.3 

ST IE.X1 

LDN E.1 

AND E2 

AND NOT E.3 

ST IE.X2 

LDN E.1 

AND NOT E.2 

AND E.3 

ST IE.X3 

Wahlschalter Eindeutige Verknüpfung der 

zulässigen Schalterstellungen 

Wahlschalter Eindeutige Verknüpfung der 

zulässigen Schalterstellungen 



Öffner 

Schließer 

Ausgang 

Schalter 1 

Schalter 2 

Schalter 3 

Ausgang 1


14 Hinweise für Entwurf, Programmieren, Validieren und Testen von 

sicherheitstechnischen Applikationen 

Nachfolgende Hinweise beschreiben die Vorgehensweise für Entwurf, Programmieren, 

Validieren und Testen von sicherheitstechnischen Applikationen 

Die Hinweise sollen dem Anwender helfen alle Schritte von der Risikobeurteilung bis zum 

Systemtest einzuordnen, leicht zu verstehen und anzuwenden. Zum besseren Verständnis der 

jeweiligen Punkte werden die einzelnen Schritte anhand von Beispielen näher erläutert. 

14.1 Risikobetrachtung 

Grundsätzlich muss der Hersteller einer Maschine die Sicherheit einer von ihm konstruierten, 

bzw. gelieferten Maschine gewährleisten. Für die Beurteilung der Sicherheit sind die jeweils 

gültigen einschlägigen Richtlinien und Normen heranzuziehen. Ziel der Sicherheitsbetrachtung 

und der daraus abgeleiteten Maßnahmen muss eine Reduzierung der Gefährdung von 

Personen auf ein akzeptierbares Niveau sein. 

Die Analyse der Gefährdungen muss sämtliche Betriebszustände der Maschine wie Betreiben, 

Rüsten und Warten bzw. Aufstellen und Außerbetriebstellen sowie auch vorhersehbare 

Fehlanwendungen berücksichtigen. 

Die hierzu erforderliche Vorgehensweise für die Risikobeurteilung und den Maßnahmen zu 

deren Reduzierung sind z.B. in den einschlägigen Normen 

EN ISO 13849-1 Sicherheit von Maschinen 

EN ISO 61508 Funktionale Sicherheit sicherheitsbezogener e/e/p e Systeme 

enthalten. 


Version: 24F - HB-37350-810-01-24F-DE


Risikobeurteilung nach EN ISO 13849-1 

Risikobeurteilung nach EN ISO 61508 

Startpunkt 

Abschätzung der 

Risikominderung 

C = Risikoparameter der Auswirkung 

F = Risikoparameter der Häufigkeit und Aufenthaltsdauer 

P = Risikoparameter der Möglichkeit, den gefährlichen Vorfall 

zu vermeiden 

W = Wahrscheinlichkeit des unerwünschten Ereignisses 

C A 

C B 

C C 

C D 

F A 

F B 

F A 

F B 

F A 

F B 

P A 

P B 

P A 

P B 

P A 

P B 

P A 

P B 

S – Schwere der Verletzung 

S1 = leichte, reversible Verletzung 

S2 = schwere, irreversible Verletzung 

F – Häufigkeit und/oder Dauer der 

Gefährdungsexposition 

F1=selten, nicht zyklisch 

F2 = häufig bis dauernd und/oder lange 

Dauer, zyklischer Betrieb 

P – Möglichkeit zur Vermeidung der 

Gefährdung 

P1 = möglich, langsame Bewegung / 

Beschleunigung 

P2 = kaum möglich, hohe Beschleunigung 

im Fehlerfall 



W 3 

a 

1 

2 

3 

4 

b 

W 2 

--- 

a 

1 

2 

3 

4 

W 1 

--- 

--- 

--- = keine Sicherheitsanforderung 

a = Keine speziellen Sicherheitsanforderungen 

b = eine einzelnes E/E/PES ist nicht ausreichend 

1,2,3,4 = Sicherheits-Integritätslevel 

Die zu betrachtenden Risiken sind ebenso in einschlägigen Richtlinien und Normen enthalten, 

bzw. sind vom Hersteller aufgrund seiner spezifischen Kenntnisse der Maschine gesondert zu 

betrachten. 

Für innerhalb der EU in Verkehr gebrachte Maschinen sind die minderst zu betrachtenden 

Risiken in der EU-Maschinenrichtlinie 2006/42/EG bzw. in der jeweils letztgültigen Fassung 

dieser Richtlinie spezifiziert. 

x 1 

x 2 

x 3 

x 4 

x 5 

x 6 

a 

1 

2 

3


Weitere Hinweise für die Risikobeurteilung und die sichere Gestaltung von Maschinen sind in 

den Normen 

EN 14121 Sicherheit von Maschinen - Risikobeurteilung 

EN 12100 Sicherheit von Maschinen - Grundbegriffe, allgemeine Gestaltungsleitsätze 

enthalten. 

Maßnahmen die zur Reduzierung identifizierter Gefährdungen angewendet werden müssen im 

Niveau mindestens demjenigen der Gefährdung entsprechen. Derartige Maßnahmen und die 

Anforderungen hieran sind ebenso beispielhaft in den oben angeführten Richtlinien und 

Normen enthalten. 

14.2 Erforderliche technische Unterlagen 

Vom Hersteller sind verschiedene technische Unterlagen zu liefern. Deren Mindestumfang ist 

ebenso in den einschlägigen Richtlinien und Normen enthalten. 

So sind z.B. gemäß EU-Maschinenrichtlinie mindestens folgende Unterlagen zu liefern: 

Quelle BGIA Report 2/2008 

Die Unterlagen sind dabei leichtverständlich und in der jeweiligen Landessprache abzufassen. 


Version: 24F - HB-37350-810-01-24F-DE


14.3 Erforderliche Schritte zu Entwurf, Realisierung und Prüfung 

Die Realisierung von Anlagenteilen mit sicherheitstechnischer Funktion bedarf einer 

besonderen Sorgfalt in der Planung, Realisierung und Prüfung. Auch hierzu sind Leitlinien in 

den einschlägigen Normen (vgl. EN ISO 13849-2, bzw. EN ISO 61508) enthalten. Der 

Aufwand richtet sich hierbei nach der Komplexität der Aufgabenstellung für Anlagenteile mit 

sicherheitstechnischer Funktion. 

Die Safety-M-Baureihe bietet für die Realisierung derartiger Funktionen mit Hilfe von 

sicherheitsgerichteten Steuer- und Überwachungsfunktionen eine effiziente Unterstützung in 

Form der Systemarchitektur (Architektur Kat. 4 nach EN ISO 13849-1) und vor allem auch der 

Programmiersprache und geprüfter Sicherheitsfunktionen an. Die Programmierung erfolgt in 

der nach den Sicherheitsnormen empfohlenen Form FUP (Funktionsplan orientierte 

Programmierung). Sie entspricht weiter den Anforderungen an eine Programmiersprache mit 

eingeschränktem Sprachumfang (LVM) für die wesentliche Vereinfachungen in Dokumentation 

und Testumfang gelten. 

In jedem Fall bedürfen die einzelnen Schritte einer sorgfältigen Planung und Analyse der 

verwendeten Methoden und Systeme. Die einzelnen Schritte sind weiter gut nachvollziehbar 

zu dokumentieren. 

V-Modell (vereinfacht) 

Die Umsetzung von sicherheitstechnischen Funktionen bedarf einer strukturieren 

Vorgehensweise wie sie beispielhaft das in einschlägigen Normen empfohlene V-Modell 

aufzeigt. Nachfolgend ist beispielhaft die Vorgehensweise für Applikationen mit Baugruppen 

der Safety-M-Baureihe aufgezeigt. 

Spezifikation der 

Sicherheitsmaßnahmen 

Spezifikation des 

funktionalen 

Sicherheitssystems 

Spezifikation der Software / 

Sicherheitsfunktionen für 

das funktionale 

Sicherheitssystem 

Spezifikation der Hardware 

für das funktionale 


Hard- und Softwaredesign 

Prüfung der Umsetzung 

Hardware durch Analyse 

Anlagenaufbau / 

Komponenten /Schaltung 

Prüfung der korrekten 

Programmierung und 

Parametrierung durch 

Analyse Validierungsreport 

Prüfung der Umsetzung 

Software durch Analyse 

FUP 

Gesamtvalidierung der 


Prüfung des funktionalen 

Sicherheitssystems durch 

FIT (Fault Injection Test) 

Spezifikation und Validierung 

aller Sicherheitsmaßnahmen 

Funktionales Sicherheitssystem 

Spezifikation und Prüfung 

Funktionales Sicherheitssystem 


der Software 


der Hardware incl. Nachweis Pl 

Realisierung 


Version: 24F - HB-37350-810-01-24F-DE


Phasen des V-Modells 

Benennung Beschreibung 

Spezifikation und 

Validierung aller 

passiver und aktiver 



funktionalen 

Sicherheitssysteme 


Software / 

Sicherheitsfunktionen 


Hardware 

Hard- und 

Softwaredesign 

Design-Phase Validierungsphase 

Spezifikation aller zu treffender 

Sicherheitsmaßnahmen wie 

Abdeckungen, 

Abschrankungen, max. 

Maschinenparameter, 

sicherheitstechnische 

Funktionen etc. 

Spezifikation der aktiven 

Sicherheitssysteme und deren 

Zuordnung auf die zu 

reduzierenden Risiken wie z.B. 

reduzierte Geschw. Im 

Einrichtbetrieb, Stop-Modus, 


Zugangsbereichen etc. 

Spezifikation des Plr bzw, 

geforderten SIL für jede 

einzelne Sicherheitsfunktion 

Spezifikation der Funktionalität 

der einzelnen 

Sicherheitsfunktionen incl. 

Definition des Abschaltkreises 

etc. 

Definition der Parameter für 

die einzelnen 

Sicherheitsfunktion wie z.B. 

max. Geschwindigkeit, Stopp- 

Rampen und – Kategorie etc. 

Spezifikation des 

Anlagenaufbaus und der 

Funktionen der einzelnen 

Sensoren, Befehlsgeräte, 

Steuerungskomponenten und 

Aktuatoren in Bezug auf die 


Konkrete Planung und 

Umsetzung des 

Anlagenaufbaus / 

Verdrahtung. 

Konkrete Umsetzung der 

Sicherheitsfunktionen durch 

Programmierung in FUP 

Prüfung aller passiver und aktiver 

Sicherheitsmaßnahmen auf deren 

ordnungsgemäßen Umsetzung 

und Wirksamkeit 

Prüfung aller aktiven 

Sicherheitssystemen auf deren 

Wirksamkeit und Einhaltung der 

spezifizierten Parameter wie z.B. 

fehlerhaft erhöhte 

Geschwindigkeit, fehlerhafter 

Stopp, Ansprechen von 

Überwachungseinrichtungen etc. 

mittels praktischer Tests 

Prüfung der korrekten Umsetzung 

der Funktionsvorgaben durch 

Analyse FUP-Programmierung 

Validierung des 

Applikationsprogramms und der 

Parameter durch Vergleich 

Validierungsreport mit FUP bzw. 

Vorgaben für Parameter 

Prüfung der korrekten Umsetzung 

der Vorgaben. 

Ermittlung der 

Ausfallwahrscheinlichkeit bzw. Pl 

mittels Analyse der 

Gesamtarchitektur und der 

Kenndaten aller beteiligten 

Komponenten, jeweils bezogen 

auf die einzelnen 


nil 


Version: 24F - HB-37350-810-01-24F-DE


14.3.1 Spezifikation der Sicherheitsanforderungen (Gliederungsschema) 

Auf Basis der anzuwendenden Normen, z.B. Produktnormen sind die 

Sicherheitsanforderungen im Einzelnen zu analysieren. 

Allgemeine Vorgabe, Auszug BGIA Report 2/2008 zu EN ISO 13849-1 

Quelle: 


Version: 24F - HB-37350-810-01-24F-DE


Beispiel für einen Handhabungsautomat: 

Funktionsbeschreibung: 

Der Handhabungsautomat dient zur automatischen Aufnahme von unterschiedlich hohen LKW 

Kabinen. Nach der Aufnahme wird die Höhe der Kabine sicher erfasst, damit im 

Arbeiterbereich die Kabine nicht unter eine bestimmte Höhe abgesenkt werden kann. Im 

Arbeiterbereich darf der Automat eine maximale Geschwindigkeit nicht überschreiten. 

Nachdem die Kabine fertig bearbeitet wurde wird sie am Ende der Bearbeitungsstraße wieder 

abgesetzt und der Handhabungsautomat fährt über eine Rücklaufbahn wieder zum Anfang der 

Strecke zurück um erneut eine Kabine aufzunehmen…. 

Grenzen der Maschine: 

Räumliche Grenzen: Im Arbeiterbereich muss genügend Raum für die Arbeiter vorhanden 

sein, um alle nötigen Arbeiten an der Kabine ausführen zu können….. Im Rücklauf muss 

genügend Raum für das leere Gehänge des Automaten vorhanden sein… 

Zeitliche Grenzen: Beschreibung der Lebensdauer, Beschreibung von Alterungsprozessen, 

die zur Änderung von Maschinenparametern führen können (z.B. Bremsen). Für solche Fälle 

müssen Überwachungsmechanismen vorgesehen werden. 

Verwendungsgrenzen: Der Automat holt automatisch neue Kabinen und fährt sie durch einen 

Bearbeitungsbereich. Im Bearbeitungsbereich halten sich Arbeiter auf…usw. 

Folgende Betriebsarten sind vorgesehen: Einrichtbetrieb, Automatischer Betrieb und 

Servicebetrieb…usw. 

Identifizierung von Gefährdungen: 

Folgende mechanische Gefährdungen sind bei dem Handhabungsautomaten relevant: 

Gefährdung 1: Quetschen durch abfahrende Kabine / Hebebalken 

Gefährdung 2: Stoßen durch fahrende Kabine / Hebebalken 

Gefährdung 3: Quetschen durch zu schnelles Absenken der Kabine im Fehlerfall 

Gefährdung 4:…….. 

Risikoanalyse: 

G1: Das Gewicht der Kabine und des Hebebalkens ist so hoch, dass es zu irreversiblen 

Quetschungen oder Todesfällen kommen kann. 

G2: Durch fahrende Kabinen/ Hebebalken kann es zu Stößen mit irreversiblen Verletzungen 

führen kann. 

G3: …. 

Risikoabschätzung: 

Unter Berücksichtigung aller Betriebsbedingungen ist eine Risikominderung erforderlich. 

Inhärent (Risiken aus dem Projekt) sichere Konstruktion 

Das Bewegen der Kabine in x und y – Richtung im Arbeiterbereich ist nicht vermeidbar. Im 

Bearbeitungsbereich muss die Kabine auf/ab und vorwärts bewegt werden…. 

Folgende Maßnahmen können ergriffen werden: 

Gefährdungen durch zu schnelle Bewegungen vermeiden 

Gefährdungen durch zu geringe Abstände vermeiden 

……. 


Version: 24F - HB-37350-810-01-24F-DE


Beispiel für eine Gefahrenanalyse: 


Version: 24F - HB-37350-810-01-24F-DE


14.3.2 Spezifikation des funktionalen Sicherheitssystems 

Abgeleitet aus der allgemeinen Gefährdungs- und Risikoanalyse der Maschine sind die 

aktiven Schutzfunktionen zu identifizieren und spezifizieren. 

Aktive Schutzfunktionen sind z.B. sicher reduzierte Geschwindigkeit in bestimmten 

Anlagenzuständen, überwachte Stopp- und Stillstandsfunktionen, Bereichsüberwachungen, 

Verarbeitung von Überwachungseinrichtungen wie Lichtgitter, Schaltmatten etc. 

Die Sicherheitsfunktionen sind jeweils abzugrenzen und die spezifischen Anforderungen in 

Funktion und Sicherheitsniveau zu definieren. 

14.3.2.1 Definition der Sicherheitsfunktionen 

Die Definition der Sicherheitsfunktion muss: 

das abzudeckende Risiko benennen 

die genaue Funktion beschreiben 

alle beteiligten Sensoren, Befehlsgeräte auflisten 

alle Steuergeräte benennen 

den angesprochenen Abschaltkreis bezeichnen. 

enthalten. Die Definition soll als Grundlage für die Spezifikation des HW- und Softwaredesigns 

dienen. 

Für jede der so definierten Sicherheitsfunktionen sind die evtl. zu verwendeten Parameter wie 

z.B. max. Anlagengeschwindigkeit im Einrichtbetrieb etc. zu bestimmen. 

Beispiele für Sicherheitsfunktionen: 

SF1: STO (sicher abgeschaltetes Moment) zum Schutz gegen sicheres Anlaufen 

SF2: Sichere Geschwindigkeiten 

SF3: Sichere Positionen 

SF4.:…… 

14.3.2.2 Erforderlicher Performance Level (PLr) (zusätzlich Not-Halt) 

Aus den oben erkannten Sicherheitsfunktionen SF1….. muss nun der erforderliche 

Performance Level bestimmt werden. Aus dem Beispiel unten ist der Entscheidungsweg 

ersichtlich. 

Beispiel für SF1: Ergebnis PF = d (Quelle Sistema) 


Version: 24F - HB-37350-810-01-24F-DE

Lfd- 

Nr. 


14.3.2.3 Beispiel – Spezifikation der Sicherheitsfunktionen in Tabellenform 

Sicherheitsfunktion Ref 

aus 

1.1 Begrenzung der max. 

Fahrgeschwindigkeit 

Fahrwerk auf 


maximalen 




Fahrwerk im Werker 

Arbeitsbereich 


maximalen 

Geschwindigkeit auf < 

0,33 m/s 



Fahrwerk im 

Einrichtbetrieb 


maximalen 

Geschwindigkeit auf < 

0,07 m/s 

1.4 Auffahrschutz Fahrwerk 


Abstände der 

Fahrwerke auf 

Mindestabstand mittels 

redundanter 

Laserabstandsmessung 

1.6.1 Überwachung 

Sensorsystem 

Fahrwerk 

Mutingmanagment der 

beiden Sensoren 

Fahrwerk 

GFA 

Plr Messwert 

/Sensor 

2.3 e 1 x WCS 

Absolutencoder 

1 x Inkrementalencoder 

an 

Motor / 

Antriebsrad 

2.4 e 1 x WCS 



an 

Motor / 

Antriebsrad 

3.1 d 1 x WCS 



an 

Motor / 

Antriebsrad 

2.5 d 2 x 

Laserdistanzmesseinrichtungen 

5.1 e 1 x WCS 



an 

Motor / 

Antriebsrad 

Umsetzung in 

Software 

Überwachung mittels 

geprüfter 

Sicherheitsfunktion SLS 

auf feste Grenzen: 


geprüfter 




geprüfter 




Abstände mittels 

geprüfter Funktion SAC. 

Die analogen Messwerte 

Distanz werden 

Gegenseitig auf max. 

Toleranz verglichen 

(Diagnose 

Analogsensor) 

Auf Mindestwerte 

überwacht (Funktion 

SAC) 

Min. Distanzwert 25% 

des max. Wertes 

Messeinrichtung 

Muting der Diagnosen 

für beide Sensoren 

Fahrwerk mittels 

geprüfter Funktion SCA 

Vor jeder Lücke wird 

Muting gestartet, ein 

falscher Geberwert dann 

kurzzeitig unterdrückt. 

In der Lücke führt ein 

Geberwert außerhalb 2 

bis 160000mm zum 

Muting 

Soll- 

Parameter 

550mm/s 

Fehlerdistanzüberwachun 

g: 

200mm 

60 mm/s 


g: 

200mm 

70mm/s 


g: 

200mm 

Eingang/ 

Aktivierung 

Ständig 

Reset: 

Quittierungstaster 

Identifizierung 

Werker 


über Position 

Fahrwerk UND 

NICHT 

Einrichten 

Reset: 


Betriebsart 

Einrichten UND 

Taster „Sicherheit 

brücken“ 

Reset: 


Fahrwerk 

innerhalb Werker 


Reset: 


Pos 1 

(7626 - 7850) 

Pos 2 

(11030-1263) 

Pos 3 

(75134-5338) 

Pos 4 

(145562-145622) 

Pos 5 

(143935-143995) 

Pos 6 

(80000-80060) 



Reaktion/ 

Ausgang 

Betriebssto 

pp 

SF 1.7.1 

SF 1.7.1 

SF 1.7.1 

SF 1.7.1 

SF 1.6.2


14.3.3 Softwarespezifikation 

Die Softwarespezifikation bezieht sich auf die vorangegangene Spezifikation der 

Sicherheitsfunktionen. Sie kann auch ersetzt werden durch eine entsprechend ausgearbeitete 

Spezifikation der Sicherheitsfunktionen sofern diese alle Vorgaben enthält (siehe Beispiel 

unter 14.3.2.3). 

Es wird jedoch empfohlen eine extrahierte Liste zu erstellen. Diese sollte folgende Angaben 

enthalten: 

Bezeichnung der Sicherheitsfunktion 

Funktionsbeschreibung 

Parameter soweit vorhanden 

Auslösendes Ereignis / Betriebszustand 

Reaktion / Ausgang 

Die Spezifikation sollte in der Detaillierung geeignet für eine spätere Validierung der 

Programmierung sein. 


Version: 24F - HB-37350-810-01-24F-DE


Beispiel Softwarespezifikation 

Lfd- Sicherheitsfunktion Plr Messwert 

Nr. 

/Sensor 

1.4 Überwachung V_Seil zu d Digitaler 

V_Soll 

Inkremental- 


Differenz zwischen 

encoder, 


Tachogenerator 

Hauptantrieb und Seiltrieb 

auf Maximalwert 

Seilscheibe 

1.6 Rücklaufsperre 

Überwachung auf 

Rücklauf 

1.15 Stufenweise Abschaltung 

3 

Aktivieren der 

Sicherheitsbremse 

d Mechanischer 

Endschalter 

22S2 

Digitaler 

Inkrementalencoder 

e - 

1.8 Stillstand funktional d Digitaler 

Inkrementalencoder 

1.9 Richtungsüberwachung e Digitaler 

Inkrementalencoder, 

Lösung neu Eingang/Aktivierun 

g 

Überwachung mittels geprüfter Ständig 

Funktion SLS + SAC mit Vergleich 

von Geschwindigkeitsbereichen / 

Analogwertbereichen = Vergleich zur Reset: 

Diagnose der 


Geschwindigkeitserfassung 

Abschaltung 2-kanalig neu (siehe 

unten) 

Überwachung mittels geprüfter 

Funktion Richtungsüberwachung SDI 



NOT(Hilfskontakt 

28K4 – 

Revisionsfahrt) 

Reset: 


Verarbeitung von SF in SafePLC SF 1.2 

SF 1.3.2 

SF 1.7 

Stillstandsüberwachung mittels 

geprüfter Funktion SOS 

Überwachung mittels geprüfter 

Funktion Richtungsüberwachung SDI 

SF 1.8 

Reglersperre 

OR 

Betriebsbremse 

setzen 

28K1 = VOR 

28K2 = ZURÜCK 

= sichere


14.3.4 Hardwarespezifikation 

In der Hardwarespezifikation soll der gesamte Anlagenaufbau und insbesondere die hier 

verwendeten Komponenten mit deren spezifischen Kenndaten beschrieben werden. Die 

Hardwarespezifikation dient als Grundlage für die Bestimmung des erreichten 

Sicherheitsniveaus auf Basis der Architektur und der Kenndaten aller an einer 

Sicherheitsfunktion beteiligten Geräte. 

In der Hardwarespezifikation sind weiter auch die konstruktiven Maßnahmen zum Schutz 

gegen systematische und Common cause Fehler zu benennen. 

14.3.4.1 Auswahl SRP/CS und Betriebsmittel 

Die Auswahl der SRP/CS (Safety related parts of control system) ist geeignet für die Erzielung 

des angestrebten Sicherheitsniveau für jede Sicherheitsfunktion zu treffen. In einer 

Gesamtübersicht des Anlagenaufbaus sind die Komponenten mit sicherheitsrelevanter 

Funktion zu bezeichnen und den einzelnen Sicherheitsfunktionen zuzuordnen. Für diese 

Komponenten sind die sicherheitstechnischen Kennzahlen zu ermitteln. 

Die Kennzahlen umfassen folgende Werte: 

MTTFd = mean time to failure, die mittlere Zeit bis zum gefahrbringenden Ausfall) 

DC avg = Mittlerer Diagnosedeckungsgrad 

CCF = common cause failure, Ausfall aufgrund gemeinsamer Ursache 

Bei einer SRP/CS sind auch die Software und systematische Fehler zu betrachten. 

Grundsätzlich ist eine Analyse der an einer Sicherheitsfunktion beteiligten SRP/CS nach dem 

Schema Sensor / PES / Aktuator durchzuführen. 



Version: 24F - HB-37350-810-01-24F-DE


14.3.4.2 Beispiel für Vorgabe HW 

Sicherheitsfunktion Sicher reduzierte Geschwindigkeit SF 

2.2 

Sicher überwachte limitierte Geschwindigkeit bei geöffneter Tür 

Typ Benennung Funktion Be- Kenndaten Anmerkun 

zeich 

g 

n. Archi MTTF PFH B10d Quelle DC Quelle 

- D [1/h] 

[%] 

tektur [Jahre 

] 

Sensor Sensor 1 Türzuhaltung – Überwachung der A 3.1 4 10000 Datenblatt 99 Inst.Hand 

Zugangstür 

0 

b. Safety- 

M 

Sensor 2.1 Inkrementalencoder – Motor- G 1.1 4 30 Allg. 99 Inst.Hand Kat. 4 in 

Feedback 

Vorgabe b. Safety- Verbindun 

SIN/COS 

M g m. 

Ausw. 

Safety-M 

PES Sicherheits Zentrale Sicherheits-SPS für A 4.1 1,4 E-8 Datenblatt 

-SPS Steuerung und Auswertung von 

sicherheitsrelevanten Funktionen 

Safety-M 

Aktuat STO Safe Torque Off an Umrichter A 5.1 4 150 Datenblatt 99 Inst.Hand Kat. 4 in 

or 

Umrichter b. Safety- Verbindun 

M g m. 2. 

Kanal 

Netzschütz Schütz in Netzleitung des 

K 5.1 4 20 E6 Datenblatt 99 Inst.Hand Kat. 4 in 

Umrichter 

Schütz 

b. Safety- Verbindun 

M g m. 2. 

Kanal 


Version: 24F - HB-37350-810-01-24F-DE


14.3.4.3 Betrachtung von systematischen Ausfällen 

Innerhalb der HW-Spezifikation sind weiter auch systematische Ausfälle zu betrachten. 

Beispiel zu Maßnahmen gegen systematische Ausfälle: 

Energieabfall während des Betriebs. Ist hier eine Gefährdung gegeben muss ein 

Energieabfall wie ein Betriebszustand betrachtet. Die SRP/CD muss diesen Zustand 

beherrschen, so dass der sichere Zustand erhalten bleibt. 

Maßnahmen gegen systematische Ausfälle nach Anhang G DIN EN ISO 13849-9 

Quelle BGIA Report 2/2008 

Fehlerausschlüsse 

Werden für bestimmte Geräte oder Anlagenkomponenten Fehlerausschlüsse getroffen so 

sind diese im Einzelnen zu benennen und zu spezifizieren. 

Fehlerausschlüsse können z.B. mech. Wellenbruch, Klebenbleiben von Schaltkontakten, 

Kurzschlüsse in Kabeln und Leitungen usw. sein. 

Die Zulässigkeit der Fehlerausschlüsse soll begründet werden, z.B. durch Referenzierung 

auf zulässige Fehlerausschlüsse nach einschlägigen Normen z.B. EN ISO 13849-1) 

Sind für diese Fehlerausschlüsse gesonderte Maßnahmen erforderlich so sind diese zu 

benennen. 

Beispiele für Fehlerausschlüsse und zugeordnete Maßnahmen: 

� Formschlüssige Verbindung bei mech. Wellenverbindungen 

� Dimensionierung auf Basis ausreichender theoretischer Grundlagen bei Bruch von 

Komponenten der Sicherheitskette 

� Zwangsführung in Verbindung mit Zwangstrennung bei Klebenbleiben von 

Schaltkontakten 

� Geschützte Verlegung innerhalb der Schaltanlage bei Kurzschlüssen in Kabeln und 

Leitungen, sowie Verlegung von Kabel in Kabelschächten – besonders für den Einsatz in 

der Aufzugstechnik nach EN81 


Version: 24F - HB-37350-810-01-24F-DE


14.3.5 Hard- und Softwaredesign 

Die Umsetzung der Vorgaben aus den HW- und SW-Spezifikation erfolgt im eigentlichen 

Anlagendesign. 

Die Vorgaben für die zu verwendenden Komponenten und deren Verschaltung aus der HW- 

Spezifikation sind ebenso einzuhalten wie die Vorgaben für die Fehlerausschlüsse. Beides 

ist mit geeigneten Mitteln sicherzustellen und zu dokumentieren. 

In der Software sind ebenso die Vorgaben aus der SW-Spezifikation zu beachten und 

komplett umzusetzen. 

Weiter sind hier die übergeordneten Vorgaben an die SW von sicherheitstechnischer 

Programmierung zu beachten. Dies sind u.a.: 

Aufbau des Programms modular und klar strukturiert 

Zuordnung von Funktionen zu den Sicherheitsfunktionen 

Verständliche Darstellung der Funktionen durch: 

Eindeutige Bezeichnungen 

Verständliche Kommentierungen 

Weites gehende Verwendung von geprüften Funktionen / Funktionsbausteinen 

Defensive Programmierung 

14.3.6 Prüfung des HW-Designs 

Nach Abschluss der Planung ist das HW-Design auf die Einhaltung der Vorgaben aus der 

HW-Spezifikation zu prüfen. 

Weiter ist die Einhaltung des spezifizieren Sicherheitsniveau für jede einzelne 

Sicherheitsfunktion durch geeignete Analyse zu prüfen. Die Analyseverfahren sind in den 

einschlägigen Normen beschrieben (z.B. EN13849-1). 

Analyse Schaltplan 

Anhand des Schaltplans und der Stückliste ist die Einhaltung der Vorgaben in 

sicherheitstechnischer Hinsicht zu überprüfen. Insbesondere ist zu prüfen: 

die korrekte Verschaltung der Komponenten gemäß Vorgabe, 

der zweikanalige Aufbau soweit vorgegeben 

die Rückwirkungsfreiheit von parallelen, redundanten Kanälen. 

Die Verwendung der Komponenten gemäß Vorgabe 

Die Prüfung soll durch nachvollziehbare Analyse erfolgen. 

14.3.6.1 Iterative Überprüfung des erreichten Sicherheitsniveaus 

Der erreichte Sicherheitsniveau ist anhand des Schaltungsaufbaus (=Architektur einkanalig / 

zweikanalig / mit oder ohne Diagnose), der Gerätekenndaten (Angaben Hersteller oder 

einschlägige Quellen) und des Diagnosedeckungsgrads (Angabe Hersteller PES oder 

allgemeine Quellen) zu ermitteln. Die einschlägigen Verfahren sind der zugrunde gelegten 

Sicherheitsnorm zu entnehmen. 


Version: 24F - HB-37350-810-01-24F-DE


Beispielhaft ist eine Berechnung nach EN ISO 13849-1 dargestellt: 

Sicherheitsfunktion: 

Sicher reduzierte Geschwindigkeit bei geöffneter Zugangstür 

Aufbauschema: 

Sensor 

SA 

SB 

Eink. Teilsyst. Zweik. Teilsyst. 

Mech.+ 

Sendeopt. 

Spur A 

Spur B 

IA 

IB 

IA 

IB 

im 

im 

im 

im 


Sicherheitstechn. Aufbauschema: 

Türzuhaltung 

Geschw. 

Sensor 

LA 

c 

LB 

LA 

c 

LB 

m 

i 

m 

i 



OA 

OB 

PES 

K1 

STO 

Umrichter 

Schütz 

STO/ 

Umrichter


Berechnung nach EN 13849-1: 

Kanal A – Abschaltung über Netzschütz: 

Komponente MTTFD [Jahre] DC 

Türzuhaltun 

g 

SIN/COS- 

Encoder 

PES 

Netzschütz 

B10d = 100000 

Nop = 30/AT = 10000/Jahr (309 AT/Jahr) 

MTTFD_SinCos = 30 Jahre 

PFH = 1,4 * 10-8 

B10d = 20 * 106 


DCSwitch = 99% 

DCEncoder = 99% 

DCPES = 99% 

DCPES = 60% 


Version: 24F - HB-37350-810-01-24F-DE


Kanal B – Abschaltung über STO/Umrichter: 

Komponente MTTFD [Jahre] DC 

Türzuhaltung 

SIN/COS- 

Encoder 

PES 

STO/Umrichte 

r 

B10d = 100000 


MTTFD_SinCos = 30 Jahre 

PFH = 1,4 * 10-8 

MTTFD_STO = 150 Jahre 

Resultierender Pl für beide Kanäle: 

Symetrisierung 

beider Kanäle: 

DC Mittelwert 

Pl 

MTTFD = 27 Jahre= mittel 

DC avg = 98 % = mittel 

Pl =“d“ (aus TEN ISO 13849-1, Tabellen 5,6, und 7) 



DCPES = 99% 

DCPES = 90% 

Bestimmend für den Pl ist in diesem Fall der B10d-Wert der 

Türüberwachung. Soll ein höheres Sicherheitsniveau erzielt werden ist ein 

entsprechend höher qualitativer Schalter zu verwenden. 

Hinweis: 

Eine Ermittlung des Pl ist u.a. auch mit dem Programmtool „Sistema“ der BGIA möglich. 


Version: 24F - HB-37350-810-01-24F-DE


14.3.7 Verifikation Software (Programm) und Parameter 

Die Verifikation findet in zwei Schritten statt: 

Überprüfung des FUP in Bezug auf die spezifizierte Funktionalität 

Überprüfung des FUP gegen das AWL-Listing des Validierungsreports, bzw. der 

vorgegebenen Parameter gegen denjenigen im Validierungsreport gelisteten. 

14.3.7.1 Überprüfung FUP 

Zur Überprüfung ist der tatsächlich programmierte FUP gegen die Vorgaben der 

Spezifikation zu vergleichen. 

Hinweis: 

Der Vergleich ist umso effizienter als je deutlicher die Programmierung in Bezug auf die 

Sicherheitsfunktionen strukturiert wurde. 

Beispiel: 


1.1 Begrenzung der max. Fahrgeschwindigkeit Fahrwerk auf 1,1 VMax 

Überwachung der maximalen Geschwindigkeit auf < 1,1 VMax 

FW Max Speed OK (ID 548) (wird gebrückt durch Lücke vorhanden): 

FW Max Speed ist dauerhaft aktiviert und spricht dann an, wenn eine Geschwindigkeit von 

550mm/s überschritten wird. 


1.2 Begrenzung der max. Fahrgeschwindigkeit Fahrwerk im Werker Arbeitsbereich 

Überwachung der maximalen Geschwindigkeit auf < 0,33 m/s 

Safe Speed OK (ID 2124) (wird gebrückt durch Lücke vorhanden): 

Safe Speed Ok spricht an, wenn in der Workerarea und bei keinem Einrichten die sichere 

Geschwindigkeit SLS (ID 2090) überschritten wird. 

Parameter SLS Safe Speed: 

60mm/s, keine weiteren Parameter 


1.7.3 Abschaltung Fahrwerk 

Abschaltung Fahrantrieb und Deaktivieren Bremsen 

Abschaltungen am Fahrwerk 


Version: 24F - HB-37350-810-01-24F-DE


Das Fahrwerk wird über zwei Ausgänge abgeschaltet (EAA1.5 ID 257 und 1.6 ID 261). 

Die Bremsen werden über zwei Ausgänge gelüftet (EAA1.3 ID 253 und 1.4 ID 249). 

Es erfolgt eine Meldung an die SPS über Bit 40 (ID 600). 

Bei Not-Halt wird die Abschaltung sofort ausgeführt. 

Hubwerk 

Sicherheitsfunktion 

Not-Aus Taster Eingänge und Abschaltausgänge 

1.1 Not-Aus Kopfsteuerung 

Zweikanaliger Not-Aus mit Pulsüberwachung. 

Wird an der übergeordneten Steuerung ein Not-Aus ausgelöst kann dieser Not-Aus mit 

Zustimmung ´Sicherheit brücken´ überbrückt werden. 

Not-Aus Taster Kopfsteuerung 

Not-Aus Kontakte vom Not-Ausrelais mit Pulsen von der Safety-M 


Version: 24F - HB-37350-810-01-24F-DE


14.3.7.2 Validieren FUP gegen AWL und Parameter mittels Validierungsreport 

Die im FUP erfolgte Programmierung ist jeweils mit dem AWL-Listing des 

Validierungsreports zu vergleichen. 

Beispiel AWL-Listing im Validierungsreport 

Validierungsreport 

PLC Programm 

Name: 

Index Befehl Operand validiert 

1 S1 SLI_EN.1 

2 S1 SLI_EN.2 

3 S1 SLI_EN.3 

4 S1 SCA_EN.1 

5 S1 SCA_EN.2 

6 S1 SCA_EN.3 

7 S1 SLS_EN.2 

8 S1 SCA_EN.4 

9 S1 SLS_EN.3 

10 S1 SLS_EN.4 

11 S1 SLI_EN.5 

12 SQH 

13 LD E0.1 

14 ST MX.2 

15 SQC 

16 SQH 

17 LD E0.3 

18 AND E0.4 

19 ST MX.3 

20 SQC 

Es wird eine schrittweise Prüfung empfohlen. Die Prüfung ist umso effizienter je strukturierter 

die Programmierung im FUP ausgeführt wurde. 


Version: 24F - HB-37350-810-01-24F-DE


Nach Prüfung des Programms sind die Parameter gegen die Vorgaben in der Spezifikation 

durch Vergleich zu prüfen. 

Beispiel SLS: 


Safe Limited Speed (SLS) 

Index Parameter Wert validiert 

SLS - 

0 Gewählte Achse: 1 

Geschwindigkeitsschwelle: 2 0 

SLS - 



SLS - 



Beschleunigungsschwelle: 2 0 

SLS - 



Zugeordnete SSX Rampe: 0 


Version: 24F - HB-37350-810-01-24F-DE


Beispiel Geberkonfiguration: 


Achskonfiguration / Sensorinterface 

Achse 1 

Allgemeine Parameter 

Messstrecke: 500 0 

Typ: Rotatorisch 

Nein 

Positionsverarbeitung: Aktiv 

Maximalgeschwindigkeit: 2000 0 

Inkremtentale Abschaltung: 10000 0 

Abschaltung 

Geschwindigkeit: 100 0 

Sensoren 0 0 

Typ: SSI-Standard SSI-Standard 

Format: Binär Binär 

Drehrichtung: Steigend Steigend 

Versorgungsspannung: 0 0 

Auflösung: 1024 Schritte/1000mm 64 Schritte/1000mm 

Offset: 0 Schritte 0 Schritte 

Allgemeine Parameter korrekt konfiguriert 

Parameter Sensor 1 korrekt 

Parameter Sensor 2 korrekt 


Version: 24F - HB-37350-810-01-24F-DE


14.3.8 Durchführung der Systemtests / FIT (fault injection test) 

Für den FIT muss der Hersteller eine vollständige Liste von zu testenden Funktionen 

erstellen. Diese Liste umfasst die definierten Sicherheitsfunktionen sowie Fehlertests zur 

Überprüfung der richtigen Reaktion der SRP/CS auf diese Fehler. 

Beispiele Testliste: 

No Setup Test Resultat 

1 Test SLS für max. Geschw. Einrichtbetrieb 

Aktivieren Einrichtbetrieb 

Fahrt mit max. erlaubter 


2 Test SSX für Stop-Kategorie 2 

Fahrt mit max. 


Betätigen Not-Aus 

-Diagnose der tatsächlichen 

Geschwindigkeit versus 

SLS Grenze 

-Manipulation der 

Einrichtgeschwindigkeit 

über erlaubte reduzierte 


-Diagnose der SSX-Rampe 

gegen die tatsächliche 

Verzögerungsrampe 

-Einstellen einer unzulässig 

schwachen Verzögerung 

-Verfahren der Achse nach 

erreichtem Stillstand durch 

Manipulation des Antriebs 

3 Test der 2-kanaligen Türüberwachung 

Betriebsmodus 

Einrichtbetrieb anwählen 

Diagnose der inaktiven 

Überwachung bei 

geschlossener Tür (durch 

Diagnosefunktion FUP) 

Diagnose der aktiven 

Überwachung bei offener 

Tür (durch 

Diagnosefunktion FUP) 

Abklemmen eines Kanals 

und öffnen der Tür 

Querschluss zwischen 

beiden Eingängen erzeugen 


Version: 24F - HB-37350-810-01-24F-DE


Anhang 

Anhang A – Einstufung der Schaltertypen 

Allgemeiner Hinweis: 

Die einzelnen Schalter der folgenden Eingangselemente können den digitalen Eingängen 

DI1 bis DI8 jeweils frei wählbar zugeordnet werden. 

Zustimmtaster 

Schaltertyp Bemerkung 

Einstufung Pl nach EN Einstufung SIL nach 

ISO 13849-1 

EN 61508 

1 Öffner Zustimmschalter einfach Pl d SIL 2 

1 Schließer Zustimmschalter einfach Pl d SIL 2 

2 Öffner Zustimmschalter erhöhte 

Anforderung 

Pl e SIL 3 

2 Öffner 


Zustimmschalter überwacht Pl e SIL 3 

Not Aus 

Schaltertyp Bemerkung Einstufung Kategorie Einstufung SIL 

1 Öffner Not-Aus einfach Pl d 1) SIL 2 

2 Öffner Not-Aus erhöhte 

Anforderung 

Pl e SIL 3 

2 Öffner 


Not-Aus überwacht Pl e SIL 3 

1) Fehlerausschlüsse und Randbedingungen nach EN 13849-2 sind zu beachten! 

Tür-Überwachung 


2 Öffner Türüberwachung erhöhte 

Anforderung 

Pl e SIL 3 

2 Öffner 

Türüberwachung 

Pl e SIL 3 

Zeitüberwachung überwacht 

1 Schließer + 1 Öffner Türüberwachung erhöhte 

Anforderung 

Pl e SIL 3 

1 Schließer + 1 Öffner Türüberwachung 

SIL 3 

Zeitüberwacht überwacht 

2 Schließer + 2 Öffner Türüberwachung erhöhte 

Anforderung 

Pl e SIL 3 

2 Schließer + 2 Öffner Türüberwachung 

Pl e SIL 3 


3 Öffner Türüberwachung erhöhte 

Anforderung 

Pl e SIL 3 

3 Öffner 

Türüberwachung 

Pl e SIL 3 



Version: 24F - HB-37350-810-01-24F-DE


Zweihandtaster 


2 Wechsler Zweihandtaster erhöhte 

Anforderung 

Typ III C Pl e SIL3 

2 Schließer Zweihandtaster überwacht Typ III A Pl e SIL1 

Hinweis: Bei diesen Eingangselementen findet eine feste Pulszuordnung statt, die vom 

Anwender nicht beeinflusst werden kann! 

Lichtvorhang 


2 Öffner Lichtvorhang erhöhte 

Anforderung 

Pl e SIL 3 

2 Öffner Zeitüberwachung 

Lichtvorhang überwacht Pl e SIL 3 

1 Schließer + 1 Öffner Lichtvorhang erhöhte 

Anforderung 

Pl e SIL 3 

1 Schließer + 1 Öffner Lichtvorhang überwacht 

Zeitüberwacht 

Pl e SIL 3 

Betriebsartenwahlschalter 


2 Stellungen Betriebsartwahlschalter 

überwacht 

Pl e SIL 3 

3 Stellungen Betriebsartwahlschalter 

überwacht 

Pl e SIL 3 

Sicherheitshinweis: Beim Zustandswechsel des Schalters ist durch das zu erstellende 

SafePLC Programm sicherzustellen, dass die Ausgänge der Baugruppe deaktiviert werden 

(Hinweis: Norm 60204-Tei1-Abschnitt 9.2.3). 

Sensor 


1 Öffner Sensoreingang einfach Pl d SIL 2 

1 Schließer Sensoreingang einfach Pl d SIL 2 

2 Öffner Sensoreingang erhöhte 

Anforderung 

Pl e SIL 3 

2 Öffner 


Sensoreingang überwacht Pl e SIL 3 

1 Schließer + 1 Öffner Sensoreingang erhöhte 

Anforderung 

Pl e SIL 3 

1 Schließer + 1 Öffner Sensoreingang überwacht 

Zeitüberwacht 

Pl e SIL 3 


Version: 24F - HB-37350-810-01-24F-DE


Start- / Resetelement 


1 Schließer Alarm-Reset einfach 

(Auswertung Flanke) 

-- -- 

1 Schließer Logik-Reset einfach Pl d SIL 2 

1 Schließer Startüberwachung einfach 

(Sonderfunktion) 

-- -- 

Hinweis: 

Der Alarm-Reset Eingang kann mit 24V-Dauerspannung betrieben werden und ist flankengesteuert. 


Version: 24F - HB-37350-810-01-24F-DE

EG-Konformitätserklärung für Sicherheitsbauteile 

Declaration of EC-Conformity for Safety Components 

Produkt/Product: Safety-M Module 

Type: Safety-MS1, Safety-MSP1, Safety-MS2, Safety-MSP2 

Hersteller: Fritz Kübler GmbH, Zähl- und Sensortechnik 

Manufacturer: Schubertstraße 47, D-78054 Villingen-Schwenningen 

Das bezeichnete Produkt stimmt mit den aufgeführten Europäischen Richtlinie überein. 

Die Übereinstimmung des bezeichneten Produktes mit den Vorschriften der Richtlinie wird 

nachgewiesen durch die Einhaltung der aufgeführten Normen. 

We herewith confirm that the above mentioned product meets the requirements of the listed european 

standard. 

The correspondance of the above mentioned product with these requirements is proved by the fact that these 

products meet with the listed single standards. 

Beschreibung der Funktion: 

Modulare, frei programmierbare Sicherheitssteuerung zur Überwachung von Antriebssystemen 

geeignet bis SIL 3 IEC 61508, bzw. Pl e nach EN ISO 13849 

Description of function: 

Modular, freely programmable safety control for monitoring drive systems suitable up to SIL 3 IEC 61508, or 

Pl e acc. to EN ISO 13849 

Für das Sicherheitsbauteil wurde eine EG-Baumusterprüfung durch den TÜV Rheinland Industrie 

Service GmbH durchgeführt. 

For the safety component an EC Pattern Evaluation Test by the TÜV Rhineland Industry Service GmbH was 

carried out 

Reg.-No. 01/205/5186/12 

EG-Richtlinie Norm 

2006/42/EG Anhang IV Maschinenrichtlinie 

2004/108/EG elektromagnetische Verträglichkeit (EMV) 

Villingen-Schwenningen, 24. Januar 2012 Peter Lins 

CAQ-Compact-Artikel. Safety-MS1, Safety-MSP1, Safety-MS2, Safety-MSP2 

EN ISO 13849-1:2008 + AC:2009 

EN ISO 13850:2008 

EN 574:1996 + A1:2008 

EN 62061:2005 

IEC 61508 Parts 1-7:2010 

EN 55011 Klasse B:2007 + A2:2007

Installation manual 


for 

Safety-M modules 

The Safety-M module and the fieldbus extension modules (BM) are catalogue 

products. All other products with the title “SMX” are not catalogue products, but 

can be supplied on request. 

R60372.0002 | Installationshandbuch Safety-M (Englisch) 16.12.2011 Page 1 of 208 

Version: 24F - HB-37350-810-01-24F-EN


Installation manual for devices SMX 10, Safety-MS1, Safety-MSP1, Safety-MS2, Safety-MSP2, 

SMX 12 A series Safety-M and the related extension modules SMX 31, SMX 33, SMX 4x and 

communication modules BMx (see section 3.). 

Note: 

The German version is the original version of the installation manual. 

Status: 05/2011 

Valid from FW release 2.0.2.46 

Subject to change without prior notification 

The contents of this documentation has been collated with greatest care and corresponds with our 

present status of information. 

However, we would like to point out, that this document cannot always be updated at the same time as 

the technical further development of the products. 

Information and specifications can be changed at any time. Please keep yourself informed about the 

current version under www.kuebler.com/safety. 


Version: 24F - HB-37350-810-01-24F-EN


Contents 

1 IMPORTANT NOTES ............................................................................................. 6 

1.1 Definitions .......................................................................................................................................... 6 

1.2 Co-valid documents ............................................................................................................................ 7 

1.3 Abbreviations used ............................................................................................................................. 7 

2 SAFETY REGULATIONS ....................................................................................... 9 

2.1 Intended use ...................................................................................................................................... 9 

See appendix "EC Declaration of Conformity" ..................................................................................................... 9 

2.2 Use in regions with UL/CSA requirements .......................................................................................... 9 

2.3 General safety regulations ................................................................................................................ 10 

2.4 Operation and service ...................................................................................................................... 11 

2.5 Transport/storage ............................................................................................................................ 11 

3 DEVICE TYPES .................................................................................................... 11 

3.1 Module overview (Safety-M) ............................................................................................................ 12 

3.2 Characteristic data of device ............................................................................................................ 13 

3.2.1 Basic modules ...................................................................................................................... 13 

3.2.1.1 available on request (SMX10) .......................................................................................... 13 

3.2.1.2 Safety-MS1 ....................................................................................................................... 15 

3.2.1.3 Safety-MSP1 ..................................................................................................................... 17 

3.2.1.4 Safety-MS2 ....................................................................................................................... 19 

3.2.1.5 available on request (SMX12A) ........................................................................................ 21 

3.2.1.6 Safety-MSP2 ..................................................................................................................... 23 

3.2.2 Extension modules ............................................................................................................... 25 

3.2.2.1 available on request (SMX31) .......................................................................................... 25 

3.2.3 Communication modules ...................................................................................................... 27 

3.2.3.1 SMX51 .............................................................................................................................. 27 

3.3 Identification .................................................................................................................................... 29 

3.4 Scope of delivery .............................................................................................................................. 30 

4 SAFETY RELATED CHARACTERISTICS ........................................................... 31 

4.1 General design, safety related architecture and characteristic data ................................................. 31 

4.2 Safety related characteristic data and wiring for the connected sensors .......................................... 33 

4.2.1 Digital sensors: ..................................................................................................................... 33 

4.2.1.1 Characteristics of sensors / input elements ...................................................................... 33 

4.2.1.2 DC digital sensors/inputs .................................................................................................. 34 

4.2.1.3 Classification of digital inputs ........................................................................................... 37 

4.2.1.4 Exemplary connections of digital sensors ........................................................................ 39 

4.2.1.5 Overview of achievable PI for digital safety inputs ........................................................... 45 

4.2.2 Sensors for speed and/or position detection ........................................................................ 47 

4.2.2.1 General safety related structure of the sensor interface for position and/or speed ......... 47 

4.2.2.2 General diagnostic measures for encoder interface......................................................... 48 

4.2.2.3 Encoder types and their combination, diagnostic data ..................................................... 49 

4.2.2.4 Specific diagnostic measures with regard to the encoder type used ............................... 53 

4.2.2.5 Safety relevant cut-off thresholds encoder systems for position and speed detection .... 54 

4.2.2.6 Safety related assessment of encoder types or there combination ................................. 57 

4.2.3 Analog sensors ..................................................................................................................... 59 

4.2.3.1 Exemplary connection of analog sensors ......................................................................... 60 

4.3 Safety related characteristic data and wiring of the outputs ............................................................ 61 

4.3.1 Characteristic of the output elements ................................................................................... 61 

4.3.2 Diagnoses in the cut-off circuit ............................................................................................. 62 

4.3.2.1 Diagnostic Functions ........................................................................................................ 62 

4.3.2.2 Overview DC with respect to the chosen diagnostics functions ....................................... 63 

4.3.3 Basic outputs ........................................................................................................................ 64 

4.3.3.1 Wiring examples basic outputs ......................................................................................... 66 

4.3.4 Configurable I/O as outputs .................................................................................................. 73 


Version: 24F - HB-37350-810-01-24F-EN


4.3.4.1 Classification of the I/O when used as output .................................................................. 73 

4.3.4.2 Wiring example for outputs of extension module ............................................................. 73 

4.3.4.3 Overview of achievable PI for digital safety outputs ......................................................... 79 

5 CONNECTION AND INSTALLATION .................................................................. 81 

5.1 General notes on installation ........................................................................................................... 81 

5.2 Installation and assembly of the Safety-M module ........................................................................... 83 

5.3 Installation of backplane bus system ................................................................................................ 83 

5.3.1 Arrangement examples ........................................................................................................ 84 

5.3.1.1 Safety-MS1 + Safety-MS1 + Safety-MS1 + BMx/SMX51 ................................................. 84 

5.3.1.2 Safety-MS2 + Safety-MS1 + BMx/SMX5x ........................................................................ 84 

5.4 Assembling the modules .................................................................................................................. 85 

5.4.1 Assembly on C-rail................................................................................................................ 85 

5.4.2 Assembly on backplane bus ................................................................................................. 86 

5.5 Installation and configuration I/O-extension SMX31 ........................................................................ 87 

5.5.1 Log on SMX31 to basic group .............................................................................................. 87 

5.5.2 Physical address configuration SMX31 ................................................................................ 88 

5.5.3 Configuration of the I/O-assignment SMX31 ........................................................................ 88 

5.5.4 Logic address configuration SMX31 ..................................................................................... 88 

5.6 Terminal assignment ........................................................................................................................ 90 

5.6.1 Terminal assignment SMX 10 .............................................................................................. 90 

5.6.2 Terminal assignment Safety-MS1 ........................................................................................ 90 

5.6.3 Terminal assignment Safety-MSP1 ...................................................................................... 91 

5.6.4 Terminal assignment Safety-MS2 ........................................................................................ 92 

5.6.5 Terminal assignment SMX12 A ............................................................................................ 92 

5.6.6 Terminal assignment Safety-MSP2 ...................................................................................... 93 

5.6.7 Terminal assignment SMX 31 .............................................................................................. 94 

5.6.8 Terminal assignment SMX51 ............................................................................................... 94 

5.7 External 24 VDC – power supply ....................................................................................................... 95 

5.8 Connection of the external encoder supply ...................................................................................... 96 

5.8.1 Incremental, HTL, SIN/COS, SSI ......................................................................................... 96 

5.8.2 Resolver ................................................................................................................................ 97 

5.9 Connection of digital inputs .............................................................................................................. 98 

5.10 Connection of analog inputs ............................................................................................................. 99 

5.11 Connection of position and speed sensors...................................................................................... 100 

5.11.1 General notes ..................................................................................................................... 100 

5.11.2 Assignment of encoder interface ........................................................................................ 102 

5.11.3 Connection variants ............................................................................................................ 103 

5.11.3.1 Connection of an absolute encoder as master ........................................................... 103 

5.11.3.2 Connection of an absolute encoder as slave ............................................................. 104 

5.11.3.3 Connecting an incremental encoder with TTL-signal level ......................................... 105 

5.11.3.4 Connection of a SIN/COS encoder............................................................................. 106 

5.11.3.5 Connection of a resolver as master ............................................................................ 107 

5.11.3.6 Connection of a resolver as slave .............................................................................. 108 

5.11.3.7 Connection of proximity switch Safety-MS1/Safety-MS2 ........................................... 109 

5.11.3.8 Connection of HTL/proximity switch Safety-MSP1/Safety-MSP2 .............................. 110 

5.12 Configuration of measuring distances ............................................................................................ 112 

5.12.1 General description of encoder configuration ..................................................................... 112 

5.12.2 Sensor type ......................................................................................................................... 112 

5.12.2.1 Absolute encoder: ....................................................................................................... 112 

5.12.2.2 Incremental encoder: .................................................................................................. 115 

5.12.2.3 SinusCosinus encoder – standard mode ................................................................... 115 

5.12.2.4 SinusCosinus encoder – high resolution mode: ......................................................... 115 

5.12.2.5 Proximity switch .......................................................................................................... 116 

5.12.2.6 Extended monitoring proximity switch / proximity switch............................................ 117 

5.12.2.7 HTL - Sensor .............................................................................................................. 118 

5.12.2.8 Resolver ...................................................................................................................... 118 

6 RESPONSE TIMES OF THE SAFETY-M ........................................................... 119 


Version: 24F - HB-37350-810-01-24F-EN


6.1 Response times in standard operation ........................................................................................... 119 

6.2 Response time for FAST_CHANNEL ................................................................................................. 120 

6.3 Response times for fault distance monitoring ................................................................................ 121 

6.4 Response times when using SMX 31 ............................................................................................... 123 

7 START-UP .......................................................................................................... 125 

7.1 Procedure ....................................................................................................................................... 125 

7.2 Making sequences .......................................................................................................................... 125 

7.3 LED display ..................................................................................................................................... 126 

7.4 Parameterization ............................................................................................................................ 127 

7.5 Function test .................................................................................................................................. 127 

7.6 Validation ....................................................................................................................................... 127 

7.7 The function DEM (Dynamic Encoding Muting): ............................................................................. 127 

8 SAFETY RELATED EXAMINATION .................................................................. 129 

9 MAINTENANCE ................................................................................................. 131 

9.1 Modification / handling changes to the device ............................................................................... 131 

9.2 Exchanging a module ...................................................................................................................... 131 

9.3 Maintenance intervals .................................................................................................................... 131 

10 TECHNICAL DATA ...................................................................................... 132 

10.1 Environmental conditions............................................................................................................... 132 

10.2 Safety related characteristic data ................................................................................................... 132 

11 FAULT TYPES SAFETY-M .......................................................................... 133 

11.1 Fault indication............................................................................................................................... 133 

11.1.1 Safety-M.. without extension modules ................................................................................ 133 

11.1.2 Safety-M.. with expansion modules .................................................................................... 133 

11.2 Alarm List Safety-M ........................................................................................................................ 134 

11.3 Fatal Fault list Safety-M .................................................................................................................. 157 

12 ENCODER TYPES ....................................................................................... 169 

13 SWITCH TYPES........................................................................................... 173 

14 NOTES ON DESIGNING, PROGRAMMING, VALIDATING AND TESTING 

SAFETY RELATED APPLICATIONS ....................................................................... 179 

14.1 Risk assessment .............................................................................................................................. 179 

14.2 Required technical documents ....................................................................................................... 181 

14.3 Necessary steps for draft, realization and testing ........................................................................... 182 

14.3.1 Specification of safety requirements (structural schematic) ............................................... 184 

14.3.2 Specification of the functional safety system ...................................................................... 189 

14.3.2.1 Definition of safety functions ....................................................................................... 189 

14.3.2.2 Required performance level (PLr) (additional emergency stop) ................................. 189 

14.3.2.3 Example – Specification of safety functions in form of a table ................................... 190 

14.3.3 Software specification ......................................................................................................... 191 

14.3.4 Hardware specification ....................................................................................................... 193 

14.3.4.1 Selection of SRP/CS and operating means ............................................................... 193 

14.3.4.2 Example for hardware specification............................................................................ 194 

14.3.4.3 Consideration of systematic failures ........................................................................... 195 

14.3.5 Hard and software design ................................................................................................... 196 

14.3.6 Testing of the hardware design .......................................................................................... 196 

14.3.6.1 Iterative testing of the achieved safety level ............................................................... 196 

14.3.7 Verification software(program) and parameters ................................................................. 200 

14.3.7.1 Checking FUP ............................................................................................................. 200 

14.3.7.2 Validation of FUP against AWL and parameters by means of validation report. ....... 202 

14.3.8 Performance of the system test / FIT (fault injection test) .................................................. 205 

APPENDIX ................................................................................................................ 206 

Appendix A – Classification of switch types ..................................................................................................... 206 


Version: 24F - HB-37350-810-01-24F-EN


1 Important notes 

Definition of individual target groups 

Project engineers for safe drive systems: 

Engineers and technicians 

Assembly, electric installation, maintenance and replacement of devices: 

Maintenance electricians and service technicians 

Commissioning, operation and configuration: 

Technicians and engineers 

1.1 Definitions 

The designation Safety-M is used as generic term for all derivatives from the Safety-M product 

range. Wherever this description refers to a certain derivative, the complete designation is 

used. 

The term "safe" used in the following text in any case refers to the classification as a safe 

function for application up to Pl e acc. to EN ISO 13849-1 or SIL3 acc. to EN 61508. 

The system software "SafePLC" serves the purpose of configuring and programming Safety-M 

modules. 

The modules of the Safety-M series are internally built up of two independent processing units. 

In the following these are referred to as system A and system B. 


Version: 24F - HB-37350-810-01-24F-EN


1.2 Co-valid documents 

Description Reference 

Configuration of the Safety-M module 

for stand-alone applications without 

field-bus interfacing with the program 

"SafePLC" 

Validation report for implemented 

parameterization and PLC-program 

Acceptance test for general safety 

related applications 

Acceptance test for applications in 

elevator technology (validity range 

EN 81) 

SafePLC programming manual 

(System CD) 

Safety inspection with acceptance 

protocol 

Certificate for type approval test for failsafe 

control system acc. to machine 

directive 2006/42/EC for the product 

groups 

SMX10 

Safety-MS1 

Safety-MSP1 

Safety-MS2 

Safety-MSP2 

SMX12A 

Certificate for type approval test as 

PESSRAL acc. to EN91-1 for the product 

groups 

SMX10/P 

SMX11/P 

Note: 

� Thoroughly read the manuals before you start the installation and the commissioning of 

the Safety-M module. 

� Paying attention to the documentation is a prerequisite for trouble-free operation and 

fulfilment of possible warranty claims. 

1.3 Abbreviations used 

Abbreviation Meaning 

AC Alternating voltage 

IL Instruction list 

ELIA Employer's liability insurance association 


Version: 24F - HB-37350-810-01-24F-EN


Abbreviation Meaning 

CLK Clock (cycle) 

CPU Central Processing Unit 

DC Direct voltage 

DI1..DI14 Digital Input 

DIN Deutsches Institut für Normung (German Institute for Standardization) 

DO Digital Output 


EMC Electromagnetic compatibility 


EN European Standard 

HISIDE Output with 24VDC nominal level switching to plus 

IP20 Degree of protection for housing 

ISO International Organisation for Standardisation 

LED Light Emitting Diode 

LOSIDE Output switching to reference potential 


PIA Process image of outputs 

PII Process image of inputs 

PESSRAL Programmable electronic system in safety related applications for 

elevators 

P1,P2 Pulse outputs 

PLC Programmable Logic Controller 

POR Power on Reset 


SELV Safety Extra Low Voltage 

SSI Synchronous Serial Interface 


(association for electrical engineering, electronics and information 

technology) 


Version: 24F - HB-37350-810-01-24F-EN


2 Safety regulations 

2.1 Intended use 

Devices of the Safety-M series are programmable fail-safe control system intended for the 

establishment of emergency shut-down features and functions. The devices are intended for 

use in 

- EMERGENCY STOP facilities, 

- as safety component as defined by the EC machine directive 2006/42/EC, 

- as PES for risk reduction as defined by EN 61508, 

- in safety circuits acc. to EN 60204 and EN 60204-32, 

- as PES for functional safety as defined by EN 62061, 

- as SRP/CS as defined by EN 13849, 

- as device for establishing the safety functions acc. to EN 61800-5-2, 

- as logic unit for converting and processing signals in two-hand control acc. to EN 574. 

The devices SMX10/P and SMX11/P are suitable for use as PESSRAL (programmable 

electronic system in safety related applications for elevators) in elevator technology, i.e in the 

validity range of EN81-1. Devices of the basic series without the extension "/P" cannot be used 

in this field of application. 

Warning: 

Devices of the basic series without the extension "/P" cannot be used in this field of 

application of EN81-1! 

The devices of series Safety-M incl. the extension module SMX 31 are safety 

components as specified in appendix IV of the EC machine directive 2006/42/EC. 

They were developed, designed and manufactured in compliance with the above 

mentioned directive as well as the EC-directive EC-EMC directive 2004/108/EC 

See appendix "EC Declaration of Conformity" 

2.2 Use in regions with UL/CSA requirements 

Modules of the Safety-M-series can be used in the USA and Canada when observing the 

following boundary conditions: 

- the switching voltage of the output relays must be limited to max. 24 V. 

- a power supply unit meeting the requirement CLASS 2 acc. to UL 1310 must be used 

for supplying electric power to the Safety-M modules and their inputs and outputs 

Under these prerequisites no UL/CSA approval is required and the Safety-M-series can be 

used in switchgear in accordance with UL 508A. 


Version: 24F - HB-37350-810-01-24F-EN


2.3 General safety regulations 

Safety note: 

� In order to avoid damage to persons and property only qualified personnel is entitled to 

work on the device. The term qualified personnel refers to persons who have 

successfully completed electrotechnical training and are fully familiar with the 

applicable rules and standards of electrical engineering. 

The qualified person must become familiar with the operating instructions (see IEC364, 

DIN VDE0100). 

� The qualified must have profound knowledge of the nartional accident prevention 

regulations 

� The use of the device must be strictly limited to the intended use as specified in the 

following list. The values of data listed under section "3.2 Characteristic device data" 

must also be observed. 

� The contents of this installation manual is restricted to the basic function of the device 

or its installation. The "Programming instructions Safety-M" contains a more detailed 

description of the programming and re-parameterization of the devices. Exact 

knowledge and understanding of these instructions is mandatory for a new installation 

or modification of device functions or device parameters. 

� Commissioning (i.e. starting up the intended operation) is only permitted in strict 

compliance with the EMC-directive. The EMC-testing regulations EN55011:2007 + 

A2:2007 and EN 61000-6-2:2005 are used as basis. 

� Compliance with the conditions acc. to EN 60068-2-6 related to the values specified 

under "Technical characteristics" is mandatory for storage and transport. 

� The wiring and connecting instructions in chapter "Installation" must be strictly followed. 

� The applicable VDE-regulations and other special safety regulations of relevance for 

the application must be strictly followed. 

� Evidence of the configured monitoring functions as well as their parameters and links 

must be issued by means of a validation report. 

� The implementation of the module must be coordinated with the demands of the 

responsible acceptance testing authority (e.g. TÜV or ELIA). 

� Do not install or operate damaged products. Report damages immediately to the 

responsible forwarding agent. 

� Never open the housing and/or make unauthorized conversions. 

� Inputs and outputs for standard functions or digital and analog data transmitted via 

communication modules must not be used for safety relevant applications. 


Version: 24F - HB-37350-810-01-24F-EN


WARNING: 

Using our devices contrary to the rules and conditions specified hereunder can lead to 

injuries or fatalities as well as damage to connected devices and machines! 

This will also cause the loss of all warranty and compensation claims against Fritz 

Kübler. 

2.4 Operation and service 

The module must always be de-energized before installation and removal, or before 

disconnecting signal lines. For this purpose all live supply lines to the device must be checked 

for safe isolation from supply 

When installing or removing the module appropriate measures must be applied to prevent 

electrostatic discharge to the externally arranged terminal and plug connections. Contact with 

such terminals should be reduced to a minimum and earthing should by means of e.g. an 

earthing strap should take place before and during these procedures. 

2.5 Transport/storage 

Information concerning transport, storage and proper handling must be strictly followed. 

The climate related specifications in chapter "Technical data" must be complied with. 

3 Device types 

The series Safety-M consists of 

- the basic devices SMX10, Safety-MS1, Safety-MSP1, Safety-MS2, Safety-MSP2, 

SMX12A 

- the extension modules SMX31 

- the communication modules BMx 

Basic devices 

Series Safety-M is a compact fail-safe control system with optionally integrated drive 

monitoring for one (Safety-MS1/Safety-MSP1) or two (Safety-MS2/Safety-MSP2) axes. The 

device is freely programmable for reliable processing of both EMERGENCY STOP button, 

two-hand control, light grid, operation mode switch, etc., but also of drive related safety 

functions. Pre-configured modules for safety relevant signal pre-processing are available for a 

vast number of input devices. The same applies for safety functions serving the purpose of 

drive monitoring. Detailed information can be found in the programming manual. 

The basic version of the device has 14 safe inputs and 3 cut-off channels, which can be 

extended to max. 65 safe I/O's. 

Single encoder solutions (incl. TTL/HTL, SIN(COS, Proxi-Sw.) as well as two encoder 

solutions (e.g. Inc.-TTL or SSI and Inc..HTL) are supported for reliable speed and/or position 

detection. 


Version: 24F - HB-37350-810-01-24F-EN


Extension modules 

Digital I/O extension for the Safety-M series. 

The extension module has 12 safe inputs, 10 safe I/O for optional configuration as input or 

output and 2 signal outputs. 

Communication modules 

Extension module for the transfer of diagnostic and status data to an imposed control by 

means of standard field bus. 

3.1 Module overview (Safety-M) 


Version: 24F - HB-37350-810-01-24F-EN


3.2 Characteristic data of device 

3.2.1 Basic modules 

3.2.1.1 available on request (SMX10) 

Type designation Device design 

Characteristics of the module: 

Design of module with the following periphery: 

14 digital inputs 

2 pulse outputs 

2 relay outputs 

2 LOSIDE 

2 HISIDE 

2 signal outputs 

1 diagnostic and configuration interface 

1 function button 

1 7-segment display 

1 status LED 

14 status LEDs for inputs 

2 status LEDs for pulse outputs 

2 status LEDs for relay outputs 

2 status LEDs for HISIDE 

1 backplane bus interface 

� Logic processing up to Pl e acc. to EN ISO 13849-1 or SIL 3 acc. to EN 61508 

� Freely programmable small control system for up to 800 IL instructions 

� Logic diagram oriented programming 

� Pulse outputs for cross-shorting detection of digital input signals 

� Safety function of external contact monitoring for connected switchgear 

� Monitored relay outputs for safety relevant functions 

� Monitored HISIDE/LOSIDE outputs for safety relevant functions 

� CAN-communication in connection with the BMx for diagnose via backplane bus 

system mounted on top-hat rail. 


Version: 24F - HB-37350-810-01-24F-EN


Technical characteristic data 

Safety related characteristic data 

Pl acc. to EN 13849 Pl e 

PFH / architecture 3,0 * 10 -9 / architecture class 4 

SIL acc. to EN 61508 SIL 3 

Proof test interval 20 years = max. utilization period 

General data 

Max. number of extension modules 2 

Interface for extension modules T-bus connector, pluggable in top-hat rail 

Safe digital I 14 incl. 8 OSSD 

Safe digital I/O - 

Safe digital Out 2 

Safe analog In - 

Safe relay outputs 1 

Signal outputs 2 

Pulse outputs 2 

Type of connection Clamp-type terminals 

Electrical data 

Supply voltage 24 VDC / 2A 

Tolerance -15%, +20% 

Power consumption 2.4 W 

Ratings digital I 24 VDC; 20 mA, Type1 acc. to EN61131-2 

Ratings digital O 24VDC; 250 mA 

Ratings relays 24 VDC/2A 

230 VAC/2A 

Pulse outputs Max. 250 mA 

Supply voltage fuse protection Max. 2 A 

Environmental data 

Temperature 0° to 50° operating temp.; -10° to +70 ° 

storage temp. 

Class of protection IP 52 

Climatic category 3 acc. to DIN 50 178 

EMC In accordance with EN 55011 and EN 61000-6-2 

Mechanical data 

Dimensions (HxDxW [mm]) 100x115x45 

Weight 300 g 

Fastening To snap on standard rail 

Max. conductor size 1.5 mm² 


Version: 24F - HB-37350-810-01-24F-EN






1 sensor interface 

14 digital inputs, alternatively 4 counting 

inputs 



2 LOSIDE 

2 HISIDE 





1 status LED 






� Logic processing up to Pl e EN ISO 13849-1 or SIL 3 acc. to EN 61508. 

� Movement monitoring of one axis up to Pl e EN ISO 13849-1 or SIL 3 acc. to EN 61508 

� Speed monitoring: 

� RPM-monitoring 

� standstill monitoring 

� Sense of rotation monitoring 

� Safe incremental dimension 

� Emergency Stop monitoring 

� Position monitoring 

� Position range monitoring 

� Trend range monitoring 

� Target position monitoring 




� Counting inputs as alternatives to the digital inputs 



� Monitored HISIDE/LOWSIDE outputs for safety relevant functions 


system mounted on top-hat rail. 


Version: 24F - HB-37350-810-01-24F-EN







Proof test interval 

General data 

20 years = max. utilization period 











Axis monitoring 1 axis 

Encoder interface front number / technology 1 / SSI; SIN/COS; Incr.-TTL 

Max. frequency SIN/COS, Incr. TTL 200 kHz 

Cycle frequency/mode SSI Master mode 150 kHz / Slave mode max. 250 kHz 

Type of connection D-SUB 9pole 

Encoder interface terminals number / 

1 / Proxi-Sw.; Inc.-HTL 

technology 

Max. frequency Proxi 10 kHz 









230 VAC/2A 




Temperature 0° to 50° operating temp.; -10° to +70 ° storage 

temp. 






Weight 310 g 




Version: 24F - HB-37350-810-01-24F-EN




Design of module with the following 

periphery: 

2 sensor interfaces 

14 digital inputs, alternatively 

4 counting inputs 



2 LOSIDE 

2 HISIDE 


1 diagnostic and configuration 

interface 



1 status LED 








� Movement monitoring of one axis up to Pl e EN ISO 13849-1 or SIL 3 acc. to EN 61508 

� Speed monitoring: 


















system 

� Assembly on top hat rail 


Version: 24F - HB-37350-810-01-24F-EN





PFH / architecture 2.2 * 10 -9 1) / Architecture class 4 

3.0 * 10 -9 2) / Architecture class 4 



General data 













Encoder interface front number / technology 2 / SSI; incremental (SIN/COS /TTL); HTL; Resolver 

Max. frequency 

incremental 


Safety-M 

Encoder ext. board 

200 kHz 

250 kHz 

Cycle frequency/mode SSI Safety-M Master mode 150 kHz / Slave mode max. 250 kHz 

Resolver 

(Encoder ext. board) 

Encoder ext. board Master mode 150 kHz / Slave mode 150-350 kHz 

Signal frequency max. 600 Hz 

Input voltage max. 8 Vss (on 16 kΩ) 

Reference frequency 6 kHz – 16 kHz 

Reference amplitude 8 Vss – 28 Vss 

Number of pole pairs 1…8 

Transformation ratio 2:1; 3:1; 4:1 

Phase fault max. 8° 


Max. frequency HTL Safety-M (Proxi-Input) 10 kHz 

Encoder ext. board 200 kHz 

Encoder interface terminals number / technology 2x2 / Proxi-Sw.; 









230 VAC/2A 




Temperature 0° to 50° operating temp.; -10° to +70 ° storage temp. 





Dimensions (HxDxW [mm]) 100x115x67.5 

Weight 390 g 



1) When using 2 independent encoders 

2) When using 1 encoder 


Version: 24F - HB-37350-810-01-24F-EN






14 digital inputs, alternatively 4 counting inputs 



2 LOSIDE 

2 HISIDE 





1 status LED 








� Movement monitoring of one or two axes up to Pl e EN ISO 13849-1 or SIL 3 acc. to 

EN 61508 

� Speed monitoring 


















system 



Version: 24F - HB-37350-810-01-24F-EN








General data 



















technology 










230 VAC/2A 





temp. 






Weight 390 g 




Version: 24F - HB-37350-810-01-24F-EN


3.2.1.5 available on request (SMX12A) 




14 digital inputs, alternatively 4 counting inputs 



2 LOSIDE 

2 HISIDE 


2x2 analog inputs 




1 status LED 









EN 61508 














� Safe analog signal monitoring up to SIL 3 acc. to EN 61508 






system 



Version: 24F - HB-37350-810-01-24F-EN








General data 







Safe analog In 2 x 2 












technology 










230 VAC/2A 





temp. 






Weight 390 g 




Version: 24F - HB-37350-810-01-24F-EN




Design of module with the following 

periphery: 

2x2 sensor interfaces 

14 digital inputs, alternatively 4 

counting inputs 



2 LOSIDE 

2 HISIDE 


1 diagnostic and configuration 

interface 



1 status LED 









EN 61508 



















system 



Version: 24F - HB-37350-810-01-24F-EN








General data 







Safe analog In 2 optional 






Encoder interface front number / technology 4 / SSI; SIN/COS; Incr.-TTL; Resolver 

Max. frequency 

incremental 


Safety-M 

Encoder ext. board 

200 kHz 

250 kHz 

Cycle frequency/mode Safety-M Master mode 150 kHz / Slave mode max. 250 kHz 

SSI 

Encoder ext. board Master mode 150 kHz / Slave mode 150-350 kHz 

Resolver 

Signal frequency max. 600 Hz 

(Encoder ext. board) Input voltage max. 8 Vss (on 16 kΩ) 

Reference frequency 6 kHz – 16 kHz 

Reference amplitude 8 Vss – 28 Vss 

Number of pole pairs 1…8 

Transformation ratio 2:1; 3:1; 4:1 

Phase fault max. 8° 


Max. frequency HTL Safety-M (Proxi-Input) 10 kHz 

Encoder ext. board 200 kHz 

Encoder interface terminals number / technology 2 / Proxi-Sw.; Inc.-HTL 

Type of connection 


Clamp-type terminals 







230 VAC/2A 


Supply voltage fuse protection 


Max. 2 A 


storage temp. 



EMC 


In accordance with EN 55011 and EN 61000-6-2 


Weight 520 g 




Version: 24F - HB-37350-810-01-24F-EN


3.2.2 Extension modules 

3.2.2.1 available on request (SMX31) 



12 digital inputs 

10 I/O optionally configurable as input or output 




10 status LEDs for I/O 



� 12 safe inputs; 8 of these OSSD compatible 

� 10 safe I/O optionally configurable as input or output, 

� Cross-shorting monitoring 

� Possibility of contact multiplication or contact amplification by means of external 

contactors in connection with integrated monitoring 

� Extensive diagnostics functions integrated in FW 

� Power supply via basic module 



Version: 24F - HB-37350-810-01-24F-EN


Technical characteristic data: 



PFH / architecture Type 2.6 * 10 -9 1) / Class 4 


Proof test interval 20 years = max. utilization period 

General data 


Safe digital I/O 10 

Safe digital Out - 


Safe relay outputs - 





Power consumption Max. 3.8 W 






storage temp. 






Weight 300 g 



1) Value applies only for extension module. For a total assessment in accordance with EN 13849 one 

must use a series connection with the corresponding basic device => PFHLogic = PFHBasic + PFHExtension 


Version: 24F - HB-37350-810-01-24F-EN


3.2.3 Communication modules 

3.2.3.1 SMX51 




1 CAN-BUS interface – SMX51 

or 


or 



1 status LED for operating status 

1 status LED CAN-communication 

� Communication module CAN or CANopen or Profibus 

� 2 x 64 bit PAE with selectable assignment by means of function module 

� 64 bit digital data such as input or output states, intermediate results of the logic, safety 

function related result data can be selected. 

� Position and/or speed and/or analog input value 1) in form of analog data, limited to 

max. 64 bit, can be selected. 

� Use as unsafe messaging channel 

� CAN-communication via backplane bus 


1) only SMX12A 


Version: 24F - HB-37350-810-01-24F-EN


Technical characteristic data: 


Pl acc. to EN 13849 n.a 

PFH / architecture n.a. 

SIL acc. to EN 61508 n.a. 

Proof test interval n.a. 

General data 

Field bus interface 1 

Type of connection Standard acc. to field bus type 

Max. size of digital data in PAE 64 bit 

Max. size of analog data in PAE 64 bit 

Type Update time for data 16 ms 


Power consumption Max. 2.4 W 

Field bus ratings Standard acc. to field bus type 



storage temp. 






Weight 110 g 



Version: 24F - HB-37350-810-01-24F-EN


3.3 Identification 

The type plate is located on the left side wall of the module and contains the following 

information: 

Type designation 

Part number 

Serial number 

Identification of hardware release 

Identification of software release 

Safety category 

Input characteristics 

Output characteristics 

Date of manufacture (week/year) 

Type plate Safety-MS1 (image enlarged) 


Version: 24F - HB-37350-810-01-24F-EN


3.4 Scope of delivery 

The scope of delivery contains: 

Safety-M module: 

� Plug for all signal terminals without encoder connection 

Not included in the scope of delivery: 

� SafePLC configuration software CD with 

� Installation manual 

� Programming manual 

� Driver for programming adapter 

� Programming adapter 

� Licence key (USB-Dongle) for SafePLC 

� System CD with manuals 

� Backplane bus plug (SMX31 and use of monitoring module) 


Version: 24F - HB-37350-810-01-24F-EN

A 

B 


4 Safety related characteristics 

4.1 General design, safety related architecture and characteristic data 

The internal structure of the Safety-M-series consists of two separate channels with reciprocal 

comparison of results. High quality diagnoses for fault detection are made in each of the two 

channels. 

With respect to architecture and function the internal structure corresponds with category 4 of 

EN 13849-1. 

IA 

IB 

im 

im 

LA 

c 

LB 

m 

i 

m 

i 

OA 

OB 

PES Aktuator 

The overall architecture therefore corresponds with the following structure: 

Sensor 

PES 

Actuator Aktuator 

Dual reading of each input and diagnose by cross-comparison 

The specific safety related characteristic data of the corresponding module can be taken from 

the technical characteristic data in chapter 3. 

The characteristic data specified in chapter 3 (e.g. PI e and PFH-value acc. to table as 

evidence acc. to EN 13849) for the partial system PES can be used for the safety related 

assessment of the overall system. 


Version: 24F - HB-37350-810-01-24F-EN


Characteristic data: 

Max. obtainable safety class � SIL 3 acc. to EN61508 

� Category 4 acc. to EN945-1 

� Performance-Level e acc. to 

EN ISO 13849-1 

System structure 2-channel with diagnose /1002) acc. to 

EN 61508 

Architecture category 4 acc. to EN 13849 

Rating of operating mode "high demand" acc. to EN 61508 (high demand 

Probability of an endangering failure 

per hour (PFH-value) 

rate) 

SMX10, Safety-MS1, Safety-MS2 and SMX12A 

< 1,4 E-8 (14FIT) 

Specific values acc. to table "techn. 

characteristic data" Characteristic data 

Proof-Test-Interval (EN61508) 20 years, after this time the module must be 

replaced 

Safety note: 

� The specific safety related characteristic data of the corresponding module can be 

taken from the technical characteristic data in chapter 3. 

� When using several sensors with different functions (e.g. position indicator access door 

+ speed detection) for a safety function (e.g. safe reduced speed when access door is 

open), these must be assumed as being connected in series for the safety related 

assessment of the overall system. See also exemplary calculation in appendix. 

� The safety regulations and EMC-directives must be strictly followed. 

� Concerning the applicable fault exclusions please refer to the tables under D in the 

appendix of EN 13849-2. 

� The characteristic data specified in chapter 3 for the partial system PES (e.g. PI e and 

PFH-value acc. to table as evidence acc. to EN 13849) can be used for the safety 

related assessment of the overall system. 

The following examples and their characteristic architecture are mainly responsible for the 

assignment to a category acc. to EN ISO 13849-1. 

The maximum possible Performance Levels acc. to EN 13849 resulting from this still 

depend on the following factors of the external components: 

� Structure (simple or redundant) 

� Detection of common cause faults (CCF) 

� Degree of diagnostic coverage on request (DCavg) 

� Mean time to dangerous failure of a channel (MTTFd) 


Version: 24F - HB-37350-810-01-24F-EN


4.2 Safety related characteristic data and wiring for the connected 

sensors 

The Safety-M modules have completely separated signal processing paths for each safety 

input. This applies for both the digital and the analog inputs. Furthermore, measures for 

achieving the highest possible DC-values have been implemented. 

4.2.1 Digital sensors: 

Digital inputs and outputs are generally of a completely redundant design, except the electromagnetic 

input terminal. The following list contains details for classification, the DC and the 

achievable PI or SIL. 

4.2.1.1 Characteristics of sensors / input elements 

SA 

SB 

IA 

IB 


Sensor PES 

im 

im 

Two-channel input element in parallel connection (Cat. fault tolerance 1) with high DC caused by signal processing 

in two channels and diagnose by means of cross-comparison in the PES 

SA=K1 

SB=K2 

IA 

IB 

im 

im 

Two-channel input element in series connection (Cat. 4, fault tolerance 1) with low to medium DC caused by signal 

processing in two channels and diagnose by means of cyclic testing 


Version: 24F - HB-37350-810-01-24F-EN 

LA 

c 

LB 

LA 

c 

LB 

m 

i 

m 

i 

m 

i 

m 

i 

OA 

OB 

OA 

OB 

Actuator 

Sensor PES 

Aktuator Actuator 

K1 

K2


S1 

IA 

IB 

Sensor PES 


im 

im 

Single channel input element and dual channel processing with low to medium DC by signal processing in two 

channels and diagnose by means of cyclic testing, PI / SIL depending on permissible fault exclusions 

and test rate for input element. 

4.2.1.2 DC digital sensors/inputs 

The Safety-M modules ensure far reaching diagnostics functions for the input element. These 

are carried out permanently, or optionally (cross-shorting monitoring by means of pulse 

identifier, cross-comparison, 2- or multi-channel sensor with/without time-out, start-up test). 

Permanently active diagnostics functions: 

Cross-comparison: 

Safety-M module inputs are in general internally designed with two channels. The status 

of input signals is permanently compared crosswise. Only with High signals in both partial 

input systems the input is considered a High input, should the signal level deviate between 

both channels, the input is set to Low state. 

Dynamic test of the partial input system switching threshold: 

The switching thresholds for detecting the High level are tested cyclically with a high cycle 

rate. Falling below the defined threshold value a module triggers a module alarm. 

Dynamic test of the input system's switchability: 

The switchability of the input system to Low level is tested for all inputs with a high rate, except 

DI5 -- DI8. Falling below the defined threshold value a module triggers a module alarm. 

Diagnostics functions to be activated by parameterization: 

Cross-shorting test: 

The Safety-M modules have pulse signal outputs, identified by an unabiguous signature. 

When performing the cross-shorting test the switching elements of the digital sensors / input 

elements are supplied with auxiliary voltage by the Safety-M-module via the pulse signal 

outputs. The signature is thus stamped on the High signal level of the sensors / input elements 

and checked by the Safety-M module. With the signature test short-circuits and cross-shorting 

to High signals can be recognized. With alternating use of the pulse signals of multi-contacts, 

parallel signal lines or adjacent terminal assignment, cross-shorting between the respective 

input elements is detected. 

Sensors / input elements with 2- or multi-pole contacts without time-out. 

Several contacts can be assigned to the sensors / input elements. These are therefore 

compatible with at least 2-channel elements. A High level of the sensor/input element requires 

a logic series connection of both contacts. 



LA 

c 

LB 

m 

i 

m 

i 

OA 

OB 

K1 

K2


Example 1: 

Input element with 2 normally closed contacts: High level when both contacts are closed. 

Example 2: 

Input element with 1 normally closed and 1 normally open contact: High level when normally 

open contact is actuated and normally closed contact is not actuated. 

Sensors / input elements with 2- or multi-pole contacts with time-out. 

Same test as before, but additional monitoring of the input signals for compliance with the 

defined level connections within a time window of 0.5 seconds. Defining the levels over a time 

period of > 0.5 seconds triggers a module alarm. 

Start test: 

Each time the safety module (=Safety-M module) is switched on, the input element must be 

tested in direction of the Low signal status (defined Safe State), e.g. by actuating the 

Emergency Stop button or a door lock after the system has been started. 

Operational / organizational tests: 

Apart from the previously mentioned diagnostic measures for the Safety-M modules, cyclic 

testing can be performed within the application. These tests can also be used when assessing 

the DC. 

Note: 

Operational/organizational tests can also be used for a combination of hardware inputs and 

functional inputs (input information transferred via standard field bus). However, an exclusive 

use of functional inputs is ruled out in this context (combination of two or more functional 

inputs). 

The Safety-M modules therefore ensure far reaching diagnostics functions for the partial input 

system. These are performed permanently or optionally (cross-shorting monitoring by means 

of pulse identifier). 


Version: 24F - HB-37350-810-01-24F-EN


The following diagnoses for input sensors can generally be used for the safety related 

assessment of the entire system: 

Input element 

characteristic 

Single-channel 

Dual channel 

Cross-shorting test 

Parameterized / 

operational tests 

With time-out 

Start test 

Cyclic test during 

operation 

O O >60 

X 90 

X O O 90-99 

DC Definition of measure Note 

90 

O O 90-99 

X 99 

X 99 

Cyclic test pulse by dynamic 

change of input signals 





Cross-comparison of input 

signals with dynamic test, if 

short-circuits cannot be 

detected (for multiple 

inputs/outputs) 




signals with immediate and 

intermediate results in the 

logic (L) and temporal as well 

as logic program sequence 

monitoring and detection of 

static failures and short circuits 

(for multiple inputs/outputs). 

Plausibility test, e.g. use of 

normally open and normally 

closed contacts = nonequivalent 

signal comparison 

of input elements. 

A sufficiently high test 

rate must be ensured. 

Only effective if pulse 

assignment is active 

DC depending on 

frequency of start / 

cyclic test 

DC = 90 test only in > 

4 week intervals 

DC = 99 test at least 

1 x day / or 100-time 

request rate 

For fault exclusion 

short-circuit up to 

DC=99 possible 

DC depending on 

frequency of start / 

cyclic test 

Only effective if pulse 

assignment is active 

Only effective in 

connection with 

activated time-out 

function for input 

element 


Version: 24F - HB-37350-810-01-24F-EN


Safety note: 

� The manufacturer's data (MTTFD, FIT-numbers, etc.) must be used for a safety related 

assessment of the partial system "Sensors". 

� The DC-values listed in the table must be used conservatively and compliance with the 

boundary conditions (see table under "Remarks") must be ensured. 

� According to the applicable standards, fault exclusions are permitted. The boundary 

conditions mentioned in this context must permanently be met. 

� If several sensor systems are required for the correct function of a single safety 

function, their partial values must be correctly merged by following the chosen method. 

4.2.1.3 Classification of digital inputs 

4.2.1.3.1 Basic inputs D1 ... D14 

Digital inputs Achievable 

performance level 

DI1 … DI4 

DI9 … DI12 

DI5 … DI8 

DI13, DI14 

PL e 

PL e 

PL d 

PL e 

Comment 

Suitable for any kind of input elements, with / 

without pulse, achievable PI depending on the 

MTTFd of the input element, as well as fault 

exclusions in the external wiring. 

Single-channel with pulse: 

- Mainly High level required (THigh > 100 * 

TLow) 

- At least one request/day required by 

application 

- Fault detection upon request 

Single-channel without pulse: 

- Fault exclusion short-circuit between 

signals and to VCC 


Dual channel: 


application 


PL e Use of pulse1 and pulse2 

Pl d 

Without pulse / with pulse1 or 2 on both inputs 

Fault detection upon request 


Version: 24F - HB-37350-810-01-24F-EN


4.2.1.3.2 Expansion inputs EAE1 … EAE10 

Digital inputs Achievable 

performance level 

EAE1 … EAE10 

(only SMX 31) 

Comment 

Without pulse, single channel static signal 

-> auxiliary input 

Without pulse, dual channel static signal 

PL e 


application 

- Fault detection only upon request 

Without pulse, dual channel static signal 

PL d 

- Less than one request/day required by 

application 

Single-channel with pulse 

- Mainly High level required (THigh > 100 * 

PL e 

- 

TLow) 

At least one request/day required by 

application 

- Fault detection only upon request 

PL d 

Single-channel with pulse 

- Less than one request/day 

PL e Dual channel with pulse1 and pulse2 

Note: The achievable PI for a combination of HW-inputs and functional inputs depends on the 

chosen operational/organizational tests as well as on the independence of both channels in 

the system structure. The determination of the PI requires an application related analysis. 


Version: 24F - HB-37350-810-01-24F-EN


4.2.1.4 Exemplary connections of digital sensors 

4.2.1.4.1 Single-channel sensor, without cross-shorting test 

X14 

L+ 

L- 

DI1 

DI2 

DI3 

DI4 

. 

. 

. 

DI13 

DI14 

P1 

P2 

X12 

Fig.: Single-channel sensor, without cross-shorting test 

The single-channel sensor is connected to the Safety-M without clocking or without crossshorting 

test. This design is not recommended for safety applications. Pl b acc. to EN ISO 

13849-1 can maximally be reached. 

4.2.1.4.2 Single-channel sensor with cross-shorting test 

DI1 

DI2 

DI3 

P1 

P2 

L+ 

L- 

DI4 

. 

. 

. 

DI13 

DI14 

P1 

P2 

X14 

X12 

Fig.: Single-channel sensor with cross-shorting test 


Version: 24F - HB-37350-810-01-24F-EN


When using a single-channel sensor with clock one output is connected to the clock output P1 

or P2. The clock must subsequently be assigned to the Safety-M. 

The use of a single-channel sensor with clock detects: 

short-circuit to supply voltage DC 24 V 

short-circuit to DC 0 V 

cable interruption (current interruption is safe state!) ) 

However, be cautious in case of a cable short between the two sensor connections, because 

this is not detected! A short-circuit between P1 and DI1 is also not detected. 

Due to the single-channel character of the switching element / sensor its failure requires an 

fault exclusion. This is permissible when using positively disconnecting switches with correct 

constrained actuation. 

A series connection of 2 switching elements with corresponding fault exclusion of a double 

fault is on equal footing with the application. These may be e.g. the safety outputs of an 

electronic monitoring device (light curtain, switching mat) with internal dual-channel switch-off. 

PI d acc. to EN ISO 13849-1 can be achieved by using a suitable switching element and with 

cautious wiring of the sensor. In special cases, i.e. in connection with suitable switching 

elements and permissible fault exclusions one may also achieve PL e as per EN ISO 13849-1. 

Safety note: 

� Pl e or higher acc. to EN ISO 13849-1 is achieved if the short-circuit between input and 

associated pulse output as well as the short-circuit between the sensor connections 

can be excluded. Here one must take care that in a fault scenario the switch must be 

positively opening in accordance with EN 60947-5-1.. The sensor must additionally be 

triggered in regular intervals and the safety function requested. Fault exclusions can be 

achieved in accordance with EN ISO 13849-2 table D8. In case of single-channel use 

of the inputs, the achievable safety level must be limited to SIL 2 or PL d, if the safety 

function is demanded at regular intervals. 

� A series connection of 2 switching elements with fault exclusion for double fault 

requires testing of the suitability in accordance with the intended safety level of this 

element. We would like to draw your attention to the applicable regulations in the EC 

machine directive 2006/42/EC. 

� For single-channel sensors a safety related use of the inputs is only intended in 

connection with the pulse outputs. 


Version: 24F - HB-37350-810-01-24F-EN


4.2.1.4.3 Dual-channel sensor without timeout with cross-shorting test 

Faults are at least detected when requested. The DC is medium and by using cyclic tests 

(start test, operational/organizational tests) can be changed up to high level. depending on the 

test frequency. 

Only normally closed contacts should be used for safety related applications. 

PI d acc. to EN 13849-1 can be achieved when using sensors / switching elements with fault 

exclusion for not opening the switch contacts. This is permissible when using positively 

disconnecting switches with correct constrained actuation. The use of sensors with selfmonitoring 

output contacts is also permitted. 

Pl e in accordance with EN 13849-1 can be achieved when using heterogeneous sensors / 

input elements with sufficiently high MTTFd in connection with temporal plausibility monitoring 

and a sufficiently high change of the switching state = dynamic testing. 

DI1 

DI2 

DI3 

DI4 

DI13 

DI14 

P1 

P2 

L+ 

L- 

. 

. 

. 

X14 

X12 

Figure: dual-channel sensor homogeneous without cycling, with positive disconnection 

DI1 

DI2 

DI3 

DI4 

DI13 

DI14 

P1 

P2 

L+ 

L- 

. 

. 

. 

X14 

X12 

S1 

A1 

Figure: dual-channel input element heterogeneous, without cycling 


Version: 24F - HB-37350-810-01-24F-EN


Safety note: 

� Pl d or higher in accordance with EN ISO 13849-1 is achieved by using switching 

elements / sensors with positively opening contacts or positive actuation acc. to 

EN 60947-5-1 

� Using devices for which the fault exclusion double fault for the intended safety level can 

be specified for the switching elements, is permitted. We would like to draw your 

attention to the applicable regulations in the EC machine directive 2006/42/EC. 


Version: 24F - HB-37350-810-01-24F-EN


4.2.1.4.4 Dual-channel sensor with time-out and cross-shorting test 

Cross-shorting as well as connections to DC 24 V and DC 0 V can be detected by using two 

independent clock signals on the homogeneous sensor. 

Only normally closed contacts should be used for safety related applications. 

PI d or higher acc. to EN 13849-1 can be achieved when using sensors / switching elements 

with fault exclusion for not opening the switch contacts. This is permissible when using 

positively disconnecting switches with correct constrained actuation. The use of sensors with 

self-monitoring output contacts is also permitted. 

DI1 

DI2 

DI3 

DI4 

DI13 

DI14 

P1 

P2 

P1 

P2 

L+ 

L- 

. 

. 

. 

X14 

X12 

Figure: two-channel sensor, homogeneous with clock 

Safety note: 


elements / sensors with positively actuation 

� When using two independent sensors with independent actuation, PI d or higher acc. to 

EN ISO 13849-1 can be achieved. 

� When using common elements in the actuation chain, an fault exclusion is required for 

this purpose. The corresponding limitations and criteria acc. to EN 13849-1 must be 

observed. 


Version: 24F - HB-37350-810-01-24F-EN


4.2.1.4.5 Dual-channel sensor with time-out and cross-shorting test 

Cross-shorting as well as connections to DC 24 V and DC 0 V can be detected by using two 

independent clock signals on the homogeneous sensor. 

Pl d or higher acc. to EN 13849-1 can be achieved when: 

- using sensors / switching elements with positive actuation. 

- using 2 sensors / switching elements with independent actuation. 

- dto. However, with actuation through a common actuating device in connection with an fault 

exclusion for this device. 

DI1 

DI2 

DI3 

DI4 

DI13 

DI14 

P1 

P2 

P1 

P2 

L+ 

L- 

. 

. 

. 

X14 

X12 

Figure: two-channel sensor, homogeneous with clock 

Safety note: 


elements / sensors with positively actuation 

� When using two independent sensors with independent actuation, PI d or higher acc. 

To EN ISO 13849-1 can be achieved. 

� When using common elements in the actuation chain, an fault exclusion is required for 

this purpose. The corresponding limitations and criteria acc. to EN 13849-1 must be 

observed. 


Version: 24F - HB-37350-810-01-24F-EN


4.2.1.5 Overview of achievable PI for digital safety inputs 

Type of 

sensor / 

input 

element 

Singlechannel 

Dualchannel 

parallel 

Dualchannel 

parallel 

InPort Parameterized / 


DI1..D14 

DI1..D4 

DI9..DI12 

All 

All 

All 

Cross-shorting 

test 

With time-out 

Start test 


operation 

Achievable 

PI acc. to 

EN 13849-1 

b 

O O d 

X d 

X O O e 

e 

d 

Fault exclusion 

for input 

element 

All faults at the 

input element 

Short-circuit at 

input/signal line 


input element 



Getting caught 




input element 



Short-circuit 

between 


Condition for input 

element 

Operation proven input 

element 

MTTFD = high 

Connection in control cabinet 

or protected routing 

Input element does not comply 

with min. PIr 



Mainly High level required 

(THigh > 100 * TLow). Positively 

disconnecting 

MTTFD = high 



Input element does not comply 

with min. PIr 



MTTFD = high 



MTTFD = medium 

X e MTTFD = high 

X 

e 

Short-circuit 

between 


(only with common 

switching elements 

= 2xNO or 2xNC) 



MTTFD = high 


Version: 24F - HB-37350-810-01-24F-EN


Type of 

sensor / 

input 

element 

Dualchannel 

InPort Parameterized / 


DI1..D4 

DI9..DI12 

All 

Cross-shorting 

test 

With time-out 

Start test 


operation 

Achievable 

PI acc. to 

EN 13849-1 

d 

O O e 

O O d 

X: Diagnostic measure activated 

O: min. 1 diagnostic measure activated 

Fault exclusion 

for input 

element 



Getting caught / 

positively 

disconnecting 





Condition for input 

element 






MTTFD = high 




X O O e MTTFD = high 


Version: 24F - HB-37350-810-01-24F-EN


4.2.2 Sensors for speed and/or position detection 

4.2.2.1 General safety related structure of the sensor interface for position and/or 

speed 

The basic modules of the Safety-M series can be optionally equipped with one (Safety- 

MS1/Safety-MS2) or two encoder interfaces (Safety-MS1-MS2/Safety-MSP2) per axis. 

Depending on encoder type and combination, different safety levels can be reached. The 

following system reflection results for the corresponding partial system: 

SensorA 

IA 

IB 

SensorB 

Sensor PES PES 


im 

im 

Dual sensor system with separate signal processing in two channels, diagnose by cross-comparison in the PES 

Eink. Single Teilsyst. channel partial Zweik. system Teilsyst. 

Dual-channel partial system 

Track Spur A 

Mech. Mech.+ + 

Send Sendeopt. opt. 

Track Spur B 

IA 

IB 

Sensor 

PES 


im 

im 

Sensor system with single and dual-channel partial system (example incremental encoder). Diagnose by separate 

signal processing in two channels and cross-comparison in the PES as well as further specific diagnoses. 



LA 

c 

LB 

LA 

c 

LB 

m 

i 

m 

i 

m 

i 

m 

i 

OA 

OB 

OA 

OB


4.2.2.2 General diagnostic measures for encoder interface 

For fault detection in the sensor system the Safety-M series has a number of diagnostic 

measures implemented, depending on the chosen encoder type or its combination. These are 

automatically activated when choosing the encoder type. 

With respect to their type and effectiveness diagnostic measures can generally be classified 

using the following table: 

Diagnoses for sensors for position and/or speed detection: 

Measure DC Note Use 

Cross-comparison of input 99 Only to be used for: Monitoring of 2-channel 


- dual-channel sensor sensor systems or the 

intermediate results in the logic systems (2 separate corresponding partial 

(L) and temporal as well as 

sensors), 

system of sensors for 

logic program sequence 

- the dual channel partial dynamic operation 


system of single Not to be used for 

static failures and short circuits channel sensors standstill monitoring! 


(incremental encoder) 

- Diagnose for the single 

and dual channel partial 

system of specially 

suitable sensor 

systems (SIN/COSencoder, 

resolver) 

- Dynamic operation / no 

standstill monitoring 

Cross-comparison of input 80- DC depends on the Monitoring of 2-channel 

signals without dynamic test 95% frequency of the dynamic sensor systems or the 

condition, i.e. standstill corresponding partial 

or movement, as well as system of sensors for 

on the quality of the non-dynamic operation 

monitoring measure To be used especially for 

(80 – 90 % for 

incremental encoder, 95 

% for SIN/COS-encoder) 

standstill monitoring! 

Monitoring of some features of 60 Diagnose of specific Monitoring of the single- 

the sensor (response time, the features of sensors, only channel partial system in 

area of analog signals, e.g. 

to be used for speed and single-channel sensor 

electric resistance, capacity) 

position sensors as per 

chapter 4.3. 

systems 


Version: 24F - HB-37350-810-01-24F-EN


4.2.2.3 Encoder types and their combination, diagnostic data 

Type 

Encoder to 

interface 

X31/32 

Type 

Encoder to 

interface 

X31/34 

NC NC 

Type 

Encoder to 

X 23 

1 x Bero 

+ 

1 x Bero 

Safe 

speed 

Incremental NC NC X 

Safe 

direction 

Incremental Incremental NC X X 

Incremental NC 1 x Bero X 

X 

Safe 

position 



Fault exclusion DC 

Fault exclusion mech. shaft breakage, positive 

encoder shaft connection required, if common 

elements are in use. 

1-channel 

partial 

system 

2-channel 

partial 

system 

dynamic 

2-channel 

partial 

system nondynamic 

(standstill 

monitoring) 

n.a. 99% 80-90% 


encoder shaft connection required 60% 99% 80-90% 

n.a. 99% 95% 

n.a. 99% 90-95% 

Incremental NC 2 x Bero 90° X X n.a. 99% 90-95% 

Incremental SIN/COS NC X X 

Incremental HTL NC X X 

n.a. 99% 99% 

n.a. 99% 90-95%


Type 

Encoder to 

interface 

X31/32 

Type 

Encoder to 

interface 

X31/34 

Type 

Encoder to 

X 23 

Safe 

speed 

Safe 

direction 

Incremental Resolver NC X X 

Safe 

position 

Incremental SSI NC X X X 


SIN/COS Incremental NC X X 




1-channel 

partial 

system 

2-channel 

partial 

system 

dynamic 

2-channel 

partial 

system 

nondynamic 

(standstill 

monitoring) 

n.a. 99% 99% 

n.a. 99% 90-95% 



n.a. 99% 95-99% 




SIN/COS Resolver NC X X 

n.a. 99% 95-99% 

n.a. 99% 99%


Type 

Encoder to 

interface 

X31/32 

Type 

Encoder to 

interface 

X31/34 

Type 

Encoder to 

X 23 

Safe 

speed 

Safe 

direction 

Safe 

position 




1-channel 

partial 

system 

2-channel 

partial 

system 

dynamic 

2-channel 

partial 

system 

nondynamic 

(standstill 

monitoring) 




SSI Resolver NC X X X 



NC Resolver NC X X 


encoder shaft connection required 



n.a. 99% 90-95% 

n.a. 99% 95-99% 

n.a. 99% 95-99% 

n.a. 99% 90-95% 

90% 99% 90-95% 

90% 99% 90-95%


Type 

Encoder to 

interface 

X31/32 

Type 

Encoder to 

interface 

X31/34 

Type 

Encoder to 

X 23 

Safe 

speed 

NC HTL NC X 

Safe 

direction 

Safe 

position 







1-channel 

partial 

system 

2-channel 

partial 

system 

dynamic 

2-channel 

partial 

system 

nondynamic 

(standstill 

monitoring) 

60% 99% 80-90% 

n.a. 99% 90-95%

Interface X 31/32, X23 



4.2.2.4 Specific diagnostic measures with regard to the encoder type used 

Encoder type 

Supply voltage monitoring 

Difference level monitoring 

Incremental X X X 

SIN/COS X X 

SSI X X 

Bero 2 x counting 

input 

Bero 1 x counting 

input 

X 

X 

Incremental X X X X 

HTL X X 

SIN/COS plausibility monitoring 

Signal level input monitoring 



Monitoring of the permissible quadrants 

Monitoring of the counting signal separated 

for track A/B 

Monitoring of the transfer ratio reference 

signal / measured signal 

Frequency monitoring of the reference 

signal 

Voltage monitoring of the reference signal 

Form factor analysis of the measured 

signal 

Resolver X X X X X X 


Plausibility test position signal versus 

speed 

SSI X X X X 

1) Only in High-Resolution Mode 

Monitoring of Clk-frequency


4.2.2.5 Safety relevant cut-off thresholds encoder systems for position and speed 

detection 

Plausibility tests with the current position and speed values are performed between both 

measuring channels A and B of the Safety-M module as a basic measure, which are then 

checked against parameterizable thresholds. 

The incremental shut-down threshold describes the tolerable deviation of position between 

both sensing channels A and B in the unit of the measuring distance. 

The speed shut-down threshold describes the tolerable deviation in speed between both 

sensing channels A and B. 

Diagnostic functions for the determination of optimal parameter values for the applications are 

available within the SCOPE-dialog of the parameterization tool. 

Note: 

Speed and acceleration are detected values with a minimal digital resolution. 

This fact limits the smallest possible detection of speed or acceleration and determines the digital 

step width for the input values. 

Speed resolution: 

Up to a frequency of 500 Hz or 500 steps/s speed is detected with the frequency measuring 

method, below this it is measured with a time measuring method. This results in the following 

course of the sensing fault: 

Fault in % 

Course of fault in V-detection 

Frequency or steps/s 

Acceleration resolution order of G. Bauer3 acc. to EN: 

The digital acceleration resolution is limited by a maximum peak time of 256 ms and the encoder 

resolution. The garphs below show the lowest measurable acceleration in dependence on the 

resolution in revolutions/min, mm/s² and m/s². 


Version: 24F - HB-37350-810-01-24F-EN


Value Value 

Acceleration [rev/min/s] Acceleration [mm/s²] and [m/s²] 

Resolution 

Graph acceleration, rotary Graph acceleration, linear 

(Values in rev/min/s) (Values in mm/s and m/s²) 

Resolution 

Safety note: 

� The fault can be optimized by choosing a suitable sensor resolution for the corresponding 

application. 

� For applications with limited resolution and/or time variance of the sensing signal, the 

functional performance of the monitoring function used can be improved by using an 

average filter. The average filter "smoothes" digital spurious components of the sensors. 

However, this is achieved at the cost of a longer response time of the overall system. 

� The filter time can be variably set between 0 and 64 in steps of 8. The dimension is 

"msec". In order to determine the response time of the overall system, the filter times must 

be added to the specified response times of the Safety-M systems (see chapter 11). 

Safety note: 



� If the manufacturer demands specific diagnoses to be able to guarantee the specified 

safety related characteristic values, these must be checked with respect to the specific 

encoder as specified in the table "Specific diagnostic measures for position and speed 

sensors". If in doubt, the matter must be clarified by the manufacturer. 



� in order to determine the DC-value for safety functions with standstill monitoring 

a frequency assessment of the dynamic status may be required. A DC of 90 % may here 

be used a s a guide value. 


Version: 24F - HB-37350-810-01-24F-EN




� If several sensor systems are required for the correct function of a single safety function, 

their partial values must be correctly merged by following the chosen method. This applies 

also for a combination of digital and analog sensors (e.g. safely reduced speed with open 

safety door = door contact + encoder for speed detection) 

� By choosing a suitable resolution of the sensor system a sufficiently low tolerance with 

regard to the corresponding cut-off thresholds for the individual safety functions must be 

ensured. 

� When using the encoder input filter one must consider the extension of the response time 

when assessing the safety related function. 


Version: 24F - HB-37350-810-01-24F-EN


4.2.2.6 Safety related assessment of encoder types or there combination 

Due to the monitoring functions implemented in the Safety-M-series, no special demands are 

initially made on the internal design of the encoder electronics in applications with encoder 

systems, i.e. standard encoders can normally be used. 

A safety related assessment of the overall arrangement must generally be made. Data issued by 

the encoder manufacturer (FIT, MTTF) as well as the DC from the table in 4.2.2 must in this case 

be used. 

When using individual encoders at least an fault exclusion for the mechanical actuating chain, as 

well as for the single-channel part of must be made under due consideration of the applicable 

specification in EN 13849-1. Furthermore, the information in 4.2.2 must also be observed. 

PI d and higher acc. to EN 13849-1 is normally reached by a combination of two encoders with 

prioritized different technology and separated mechanical linking. 

The use of compact encoders with internal 2-channel structure of different technology is also 

suitable for applications up to PI e acc. to EN 13849-1, however, under due consideration of the 

specifically required fault exclusions and their permissibility. Normally one should use encoders 

with proven safety related characteristics, the safety level of which meets the demanded level. 

Safety note: 

� They use of standard encoders or a combination of standard encoders is permitted. For 

the overall arrangement consisting of encoder, further sensors/switching elements for 

triggering the safety function, the Safety-M-module and their cut-off channel a safety 

related assessment is strictly required. For determining the achieved safety level one 

needs, among others, information from the manufacturer (FIT, MTTF) and the DC as 

specified under 4.2.2. 

� If only one encoder is used, the fault exclusion "shaft breakage / fault in the mechanical 

encoder connection" is required. Suitable measures must be applied for this purpose, e.g. 

a positive connection of the encoder by means of slot shim or locking pin. The applicable 

information issued by the manufacturer as well as EN 138549-1 with respect to 

requirements and permissibility of the fault exclusion must strictly be followed. 

� Encoders with proven safety related characteristics must preferably be used as individual 

encoders. The safety level of these encoders must at least meet the intended safety level 

of the overall arrangement. The information of the manufacturer with respect to diagnostic 

measures, mechanical connection and measures for the voltage supply must be strictly 

followed. 

� SIN/COS encoder: The internal structure of the sensor system must be designed in such 

a way, that output signals for both tracks can be generated independently from each other 

and Common-Cause faults can be ruled out. Evidence of the mechanical design, e.g. 

fastening of the code disc on the shaft, must also be provided. Encoders with proven 

safety related characteristics should preferably be used. 

� When using compact encoders with internal dual-channel structure, such as e.g. SSI + 

incremental/SinCos, you must strictly follow the instructions of the manufacturer 

concerning safety related characteristics, diagnostic measures, mechanical connection 

and measures concerning the electric power supply. The safety level of the encoder must 

at least meet the intended safety level of the overall arrangement. Encoders with proven 

safety related characteristics should preferably be used. 


Version: 24F - HB-37350-810-01-24F-EN


The Safety-M module generally detects the following faults in the external encoder 

system: 

� Short-circuits between safety relevant signal lines 

� Interruptions in safety relevant signal lines 

� Stuck at 0 or 1 on one or all safety relevant signal lines 

Each encoder type has further specific diagnoses for fault detection in the external encoder 

system assigned. The following list sows the respective diagnostic measures for the individual 

encoders, together with the limiting parameters. 

Safety note: 

� The diagnostic measures obviously have tolerances because of measuring 

inaccuracies. These tolerances must b e accounted for in the safety related 

assessment. 

� The limiting values for the corresponding diagnostic measures are partly 

parametrizable or fixed. The diagnostic coverages resulting from this must be 

assessed in relation to the application and included in the safety related overall 

assessment. 


Version: 24F - HB-37350-810-01-24F-EN


4.2.3 Analog sensors 

The basic modules SMX12A have two analog inputs with two input channels each. Only 

2-channel sensors can generally be connected to this interface. 

The internal signal processing takes place separately in the two channels with cross-comparison 

of the results. 

X 

X 

U 

U 

SensorA SensorA 

SensorB 

Sensor PES 

IA 

IB 

SensorB 


im 

im 

Dual-channel sensor system with separate signal processing in two channels, diagnose by cross-comparison in the 

PES 

As with other sensor systems, a vast number of diagnostic measures has been implemented. 

With respect to their type and effectiveness diagnostic measures can generally be classified 

using the following table: 

Diagnoses for sensors for position and/or speed detection: 



signals with dynamic test, if 

short-circuits cannot be 

detected (for multiple 

inputs/outputs) 



intermediate results in the logic 

(L) and temporal as well as 

logic program sequence 


static failures and short circuits 




LA 

c 

LB 

m 

i 

m 

i 

OA 

OB 

90 Comparison of the 

analog input values with 

identical characteristics 

for both channels 

99 Comparison of the 

analog input values with 

diverse characteristic for 

both channels. E.g. 

inverse signal course, 

etc. 

Actuator 

Monitoring of dualchannel 

systems with 

identical characteristic of 

the input signals 

Monitoring of dualchannel 

systems with 

diverse characteristic of 

the input signals


Safety note: 







� If several sensor systems are required for the correct function of a single safety function, 

their partial values must be correctly merged by following the chosen method. This applies 

also for a combination of digital and analog sensors (e.g. safely reduced speed with open 

safety door = door contact + encoder for speed detection) 

4.2.3.1 Exemplary connection of analog sensors 

By using suitable sensors and careful wiring of the sensor 

OI e acc. to EN ISO 13849 can be achieved. 

The analog current inputs are all equipped with the fixed loading resistor of 500Ohm. For analog 

voltage inputs this resistor is omitted. 

Safety note: 

� PI e acc. to EN ISO 134849-1 is achieved when using two non-reactive sensors, for which 

Common Cause faults can be ruled out. 


Version: 24F - HB-37350-810-01-24F-EN


4.3 Safety related characteristic data and wiring of the outputs 

Safety-M modules all have safe outputs of various types. For wiring, the corresponding 

characteristic as specified in the following description, must be accounted for 

4.3.1 Characteristic of the output elements 

IA 

IB 

im 

im 

LA 

c 

LB 

m 

i 

m 

i 

OA 

OB 

PES Actuator Aktuator 

Single-channel output Safety-M and single-channel actuator without diagnostics 

IA 

IB 

im 

im 

LA 

c 

LB 

m 

i 

m 

i 

OA 

OB 

PES 


Single-channel output Safety-M and single-channel actuator with diagnostics 

IA 

IB 

im 

im 

LA 

c 

LB 

m 

i 

m 

i 

K2 

PES 




OA 

OB 

Single-channel output Safety-M (Rel 1 / 2 DO 0/1P, DO 0/1M) and dual-channel actuator with at least single-channel 

diagnostics. 

IA 

IB 

im 

im 

LA 

c 

LB 

m 

i 

m 

i 

K2 

PES 


OA 

OB 

Single-channel output Safety-M with internal dual-channel processing and dual-channel actuator with at least singlechannel 

diagnose 

K1 

K1 

K1 

K1


IA 

IB 

im 

im 

LA 

c 

LB 

m 

i 

m 

i 

K2 

PES 

Actuator 

Aktuator 



OA 

OB 

Single-channel output Safety-M with internal dual-channel processing and dual-channel actuator with dualchannel 

diagnose 

IA 

IB 

im 

im 

LA 

c 

LB 

m 

i 

m 

i 

K2 

PES 


OA 

OB 

Dual-channel output Safety-M and dual-channel actuator with single-channel diagnose 

IA 

IB 

im 

im 

LA 

c 

LB 

m 

i 

m 

i 

K2 

PES 


OA 

OB 

Dual-channel output Safety-M and dual-channel actuator with dual-channel diagnose 

4.3.2 Diagnoses in the cut-off circuit 

The cut-off circuit is equipped with durably implemented and parametrizable diagnostics 

functions. Certain diagnostics functions also include the external part of the cut-off channel. 

Depending on he use of these diagnostics functions, different DC-values will arise. 

4.3.2.1 Diagnostic Functions 

Durably implemented diagnostics functions: 

Cross-wise readback of outputs: 

All safety outputs are read back in the complementary channel. Faults in the internal cutout circuit 

of the Safety-M module are thus detected with DC = High. 

Test of cutout ability for Rel 1 and 2 (only control of relay), DO 0P, DO 0M, 

DO 1P, Do 1M: 

The cutout ability of these outputs is cyclically tested. Failure of the cutout possibility is clearly 

detected. 

Parametrizable diagnostics functions: 

Readback of the actuator status via auxiliary contacts, position indicators, etc.: 

K1 

K1 

K1


The current status of the actuator is detected by correspondingly suitable auxiliary contacts or 

position indicators and compared with the nominal status. Any deviation is thereby clearly 

recognized. 

Note: The DC depends on a single-channel or dual-channel diagnose as well as on the switching 

frequency. 

Testing the cutout ability for EAA1..40: 

Once this function has been activated, the cutout ability of these outputs is cyclically tested. 

Failure of the cutout possibility is clearly detected. 

4.3.2.2 Overview DC with respect to the chosen diagnostics functions 


Monitoring of outputs b a 

channel without dynamic 

test. 

Redundant cutout path with 

monitoring one of the drive 

elements 



intermediate results in the 

logic (L) and temporal as 

well as logic program 

sequence monitoring and 

detection of static failures 

and short circuits (for 

multiple inputs/outputs). 

0-90 % DC depending on switching 

frequency 

When using elements for 

switching amplification external 

relays or contactors) only 

effective in connection with the 

readback function of the 

switching contacts 

90 % When using elements for 






99 % When using elements for 






For applications with frequent 

safety shut-down requests 

these tests should be 

performed more frequently, 

e.g. at the beginning of the 

shift, 1 x per week. However, 

a test should at least be 

carried out cyclically 1 x year. 

Monitoring of electromechanical, 

pneumatic or 

hydraulic actuators / outputs 

Monitoring of the outputs 

with direct functions as 

safety circuit or monitoring 

of safety circuits with 

elements for switching 

amplification of pneumatic / 

hydraulic control valves in 

connection with readback 

functions from their 

switching status 

Monitoring of the outputs 

with direct functions as 

safety circuit or monitoring 

of safety circuits with 

elements for switching 

amplification of pneumatic / 

hydraulic control valves in 

connection with readback 

functions from their 

switching status 


Version: 24F - HB-37350-810-01-24F-EN


4.3.3 Basic outputs 

The modules 

� SMX10, Safety-MS1, Safety-MSP1, Safety-MS2, Safety-MSP2 

� SMX31 

all have basic outputs of identical design. 

The Safety-M module provides a total of 8 outputs, which can be interconnected individually or in 

groups. 

Output Architecture acc. to 

EN ISO 13849-1 

Comment 

K1 and K2 4 Complete tripping channel in compliance 

with architecture category 4 acc. to EN 

ISO 13849-1 

K1 Not safe Only functional 

K2 Not safe Only functional 

DO0_P and 

DO0_M 

4 Complete tripping channel in compliance 

with architecture category 4 acc. to 

EN ISO 13849-1 

DO0_P Not safe Only functional 

DO0_M Not safe Only functional 

DO1_P and 

DO1_M 

4 Complete tripping channel in compliance 

with architecture category 4 acc. to 

EN ISO 13849-1 

DO1_P Not safe Only functional 

DO1_M Not safe Only functional 

O.1 Not safe Signalling/auxiliary output 

O.2 Not safe Signalling/auxiliary output 

The HISIDE and LOWSIDE outputs are subjected to a plausibility test in all operating states. In 

switched on state the correct function of all outputs is tested with a cyclic test pulse. For this 

purpose the output is switched to the corresponding inverse value for a test period TT


Safety note: 

� For applications with frequent safety shut-down requests these tests should be performed 

more frequently, e.g. at the beginning of the shift, 1 x per week. However, a test should at 

least be carried out cyclically 1 x year. 

� The test function for the outputs is performed for groups and individual control. The 

auxiliary outputs are not tested. 

� The High-Side (DO.0_P, DO.1_P) and Low-Side (DO.0_M, DO.1_M) outputs must 

individually not be used for safety duties. Any use for safety duties is only 

permitted for High-Side / Low-Side combination 

The outputs can be loaded as follows: 

Output Voltage Current 

K1, K2 24 VDC 2.0 A 

K1, K2 230VAC 2.0 A 

O.1, O.2 24 VDC 100 mA 

DO.0_P, 

DO.1_P 

DO.0_M, 

DO.1_M 

24 VDC 250 mA 

GNDEXT 250 mA 

Safety note: 

� For safety relevant applications only external switching elements with a minimum 

withstand current of > 1.2 mA may be used. 

� For the output system a vast number of diagnostic measures have been implemented. 

Special attention must be paid to the inclusion of elements for switching amplification, 

such as relays, contactors, etc. in the cutout circuit. 


Version: 24F - HB-37350-810-01-24F-EN


4.3.3.1 Wiring examples basic outputs 

4.3.3.1.1 Single-pole switching relay or semi-conductor output without test 

For the connection of multi-phase applications or for higher current demands external contactors 

may be used. For a single-pole connection without external test please bear in mind that the 

Safety-M module will not recognize bonding of one or several external contacts. The following 

circuit example is only limited suitable for safety applications, Pl b acc. to EN 13849-1 can 

maximally be achieved! 

DO0_P 

DO0_M 

DO1_P 

DO1_M 

L+ 

DI1 

DI2 

DI3 

DI4 

X21 

X14 

L- 

Fig.: Single-pole switching P-output. 

X22 

K1 

K2 

Fig.: Single-pole switching relay output. 

Safety note: 

L+ 

L- 

� Not recommended for safety applications! In this context see also the notes in EN 13849-1 

concerning the application and the required fault exclusions. 


Version: 24F - HB-37350-810-01-24F-EN


4.3.3.1.2 Single-pole switching relay or semi-conductor output with external switching amplifier 

and testing 

When using external switching amplifiers or downstream electro-mechanical, pneumatic or 

hydraulic components, the setup for testing the complete chain and a message/warning feature 

for detected faults is required in order to achieve PI c or higher. 

Positively guided auxiliary contacts are especially needed for electro-mechanical devices and 

message contacts for the valve position are required for hydraulic or pneumatic components. 

The message/warning device must ensure that the operator recognizes the dangerous situation 

immediately. 

The achievable PI is mainly depending on the test rate, PI d acc. to EM 13849-1 can maximally 

be achieved. 

DO0_P 

DO0_M 

DO1_P 

DO1_M 

DI13 

DI14 

P1 

P2 

NC 

NC 

DO.1 

DO.2 

L + 

L - 

X43 

X42 

X65 

Fig.: Single-pole relay output with testing 

Safety note: 

� Only conditionally recommended for safety applications! In this context see also the notes 

in EN 13849-1 concerning the application and the required fault exclusions. 

� For PI c or higher a test rate of > 100 * the request rate is required. 

� For PL c and higher a message/warning feature is required, which informs the operator 

immediately about a dangerous situation 


Version: 24F - HB-37350-810-01-24F-EN


4.3.3.1.3 Single-pole switching relay or semi-conductor output with dual-channel external circuit 

with testing 

For safety applications from PI c and higher acc. to EN ISO 13849-1 we strongly recommend or 

even demand the control of two external cutout elements. Furthermore, the setup for testing the 

complete chain and a message/warning device for an detected fault is required for achieving PI 

c or higher - see also remarks under 4.3.3.1.2. 

DO0_P 

DO0_M 

DO1_P 

DO1_M 

DI13 

DI14 

P1 

P2 

NC 

NC 

DO.1 

DO.2 

L + 

L - 

X43 

X42 

X65 

Fig.: Single-channel switching outout DO0_P with dual-channel external circuit and monitoring 

at output 1 as group feedback 

The two external monitoring contacts are switched in series, supplied by the clock signal P1 and 

read via input 1. Input 1 was chosen as readback input, but any other input can be assigned for 

this purpose. 


Version: 24F - HB-37350-810-01-24F-EN


DO0_P 

DO0_M 

DO1_P 

DO1_M 

DI13 

DI14 

P1 

P2 

NC 

NC 

DO.1 

DO.2 

X43 

X42 

X65 

L + 

L - 

Fig.: Single-channel switching output DO0_P with dual-channel external circuit as combination 

of electro-mechanical element and hydraulic/pneumatic valve and monitoring at two inputs 

Safety note: 





� For higher requirements you must make sure that at least 1 switching operation must take 

place every 24 hours, in order to test the switching ability of the external power contactor. 


Version: 24F - HB-37350-810-01-24F-EN


4.3.3.1.4 Two-channel switching relay output with external monitoring - group feedback 

For safety related applications from Pl d acc. to EN ISO 13849-1 two relays on the Safety-M 

module and two external power contactors are used. 

DI1 

DI2 

DI3 

DI4 

DI13 

DI14 

P1 

P2 

X22 

X14 

X12 

K1 

K2 

Fig.: Two-channel switching relay output with external monitoring – group feedback 

The two external monitoring contacts are switched in series, supplied by the clock signal P1 and 

read in from DI1 (configured as EMU-input). In case of higher demands one must consider that at 

least 1 switching process must take place every 24 hours. 

Safety note: 

� For achieving PI e acc. to EN ISO 13849-1 a sufficiently high testing rate is required. 

� For applications with frequent safety shut-down requests these tests should be performed 

more frequently, e.g. at the beginning of the shift, 1 x per week. However, a test should at 

least be carried out cyclically 1 x year. 



L+ 

L-


4.3.3.1.5 Dual-channel output with relay output and semi-conductor output – external control 

circuit with monitoring 

For safety applications from PI d and higher acc. to EN ISO 13849-1. The external circuit is 

controlled in dual-channel mode via a relay and a semi-conductor output. Each of the two 

external cutout paths is monitored. For PL e acc. to EN ISO 13849-1 a sufficiently high testing 

rate and MTTFD = high is demanded for the external circuit. 

4.3.3.1.6 Dual-channel output with relay output and external control circuit in PI e 


controlled in dual-channel mode via the relay outputs. For PL e acc. to EN ISO 13849-1 

a sufficiently high testing rate and PI e is demanded for the external circuit. 

K1.1 

K1.2 

K2.1 

K2.2 

L + 

L - 

X44 

STO 

Pl e 


Version: 24F - HB-37350-810-01-24F-EN


4.3.3.1.7 Dual-channel output with semi-conductor output and external control circuit in PI e 


controlled in dual-channel mode via the semi-conductor outputs. For PL e acc. to EN ISO 13849-1 

PI e is demanded for the external circuit 

DO0_P 

DO0_M 

DO1_P 

DO1_M 

X43 

4.3.3.1.8 Wiring of an auxiliary output 

Both semi-conductor outputs implemented on the Safety-M module can be wired for functional 

applications. These outputs are not pulse-commutated. 

O.1 

O.2 

X13 

Fig.: Wiring of an auxiliary output 

Applications with auxiliary outputs are not accepted for safety related applications! 



L+ 

L- 

STO 

Pl e


4.3.4 Configurable I/O as outputs 

The extension module SMX31 has 10 configurable safe I/O EAA1...EAA10 (see chapter 3 

Module overview). Parameterized as an output this connection acts as a safe digital Hi-Side 

output (DO_P). 

4.3.4.1 Classification of the I/O when used as output 

Architecture Performance Level Comment 

Static single-channel PL c 

- Fault detection or fault reaction acc. to 

cat. 2 

Static two-channel PL e - Different group 

Same group: 

- Time-shifted triggering on PLC level 

Static two-channel PL d 

- Fault approach short-circuit on both 

outputs 

Different group: 

- Nom further requirements necessary 

Dynamically singlechannel 

PL e 

Nom further requirements necessary 

Dynamically dualchannel 

PL e 

Nom further requirements necessary 

Note: 

1) Group 1: EAA1 … EAA6 

Group 2: EAA7 … EAA10 

2) Static: no pulse test on output 

Dynamic: Pulse test on output with tTest ≤ 500 µs 

4.3.4.2 Wiring example for outputs of extension module 

4.3.4.2.1 Wiring single-channel without testing 


Version: 24F - HB-37350-810-01-24F-EN


L+ 

L- 

EAA1 

EAA2 

P1 

P2 

EAA3 

EAA4 

EAA5 

EAA6 

EAA7 

EAA8 

EAA9 

EAA10 

X12 

X21 

X22 

Safety note: 

� Not recommended for safety applications! In this context see also the notes in EN 13849-1 

concerning the application and the required fault exclusions. 

4.3.4.2.2 Wiring single-channel with testing 

Use of one output EAA1...40 in connection with a single-channel external wiring for testing. 

Positively guided auxiliary contacts are especially needed for electro-mechanical devices and 

message contacts for the valve position are required for hydraulic or pneumatic components. 

Furthermore, a message/warning device for indicating a failure is required. The message/warning 

device must ensure that the operator recognizes the dangerous situation immediately. 

The achievable PI is mainly depending on the test rate, PI d acc. to EM 13849-1 can maximally 

be achieved. 


Version: 24F - HB-37350-810-01-24F-EN


EAA13 

EAA14 

EAA15 

EAA16 

DI13 

DI14 

P1 

P2 

NC 

NC 

DO.1 

DO.2 

X51 

X42 

X65 

L + 

L - 

Fig.: Single-pole relay output with testing 

Safety note: 



� For PI c or higher a test rate of > 100 * the request rate is required. 




Version: 24F - HB-37350-810-01-24F-EN


4.3.4.2.3 Single-channel output in connection with a safe shut-down circuit 

For safety applications from PI c and higher acc. to EN ISO 13849-1. The external circuit is 

controlled directly via an output. The achievable PL acc. to EN ISO 13849-1 depends on the use 

of dynamic testing (see 4.3.2.1 DC) and the PL of the downstream device. 

L + 

L - 

EAA13 

EAA14 

EAA15 

EAA16 

X51 

STO 

Pl e 

Fig.: Single-pole semi-conductor output in connection with device with tested shut-down. 

4.3.4.2.4 Single-channel output in connection with a dual-channel shut-down circuit 

Suitable for PI d and higher acc. to EN ISO 13849-1. Use of one output EAA1...40 in connection 

with a dual-channel external wiring with testing. Positively guided auxiliary contacts are especially 

needed for electro-mechanical devices and message contacts for the valve position are required 

for hydraulic or pneumatic components. 

The achievable PI depends on the use of dynamic testing as well as MTTFD-value of the external 

channel. Pl e acc. to EN ISO 13849-1 can maximally be reached. 

EAA13 

EAA14 

EAA15 

EAA16 

DI13 

DI14 

P1 

P2 

L + 

L - 

X51 

X42 

Fig.: Single-pole semi-conductor output in connection with dual-channel shut-down circuit with 

testing. 


Version: 24F - HB-37350-810-01-24F-EN


4.3.4.2.5 Dual-channel output 

Suitable for PI d and higher acc. to EN ISO 13849-1. Use of two outputs EAA1...40 in connection 

with a dual-channel external wiring. 

4.3.4.2.6 Wiring dual-channel in same group 

L+ 

L- 

EAA1 

EAA2 

P1 

P2 

EAA3 

EAA4 

EAA5 

EAA6 

EAA7 

EAA8 

EAA9 

EAA10 

X12 

X21 

X22 

4.3.4.2.7 Wiring dual-channel in different group 

L+ 

L- 

EAA1 

EAA2 

P1 

P2 

EAA3 

EAA4 

EAA5 

EAA6 

EAA7 

EAA8 

EAA9 

EAA10 

X12 

X21 

X22 


Version: 24F - HB-37350-810-01-24F-EN


Safety note: 

� For a safety related assessment of the partial system output the data issued by the 

respective manufacturer (MTTFD, FIT-numbers, B10d-value, etc.) must be used when 

using external elements, e.g. for switching amplification, in the shut-down circuit. 





� When using elements for switching amplification in safety circuits, their function must be 

monitored by means of suitable readback contacts, etc. (see circuitry examples). Suitable 

readback contacts are contacts which are linked with the contacts in the shut-down circuit 

in a positively switching way. 

� The switching ability of the external switching amplifier must be cyclically tested. The time 

between 2 tests must be determined in accordance with the requirements of the 

application and ensured by suitable measures. Suitable measures may be of 

organizational (On and Off switching at the beginning of a shift, etc.) or technical 

(automatic, cyclic switching) nature. 


Version: 24F - HB-37350-810-01-24F-EN


4.3.4.3 Overview of achievable PI for digital safety outputs 

Output 

Safety-M 

Singlechannel 

without 

dynamic 

output test 

Rel 1 or 2 

DO 0P, DO 

0M, DO 1P, 

DO 1M 

EAA1..EAA40 

Singlechannel 

without 

dynamic 

output test 

Rel 1 or 2 

or 

Singlechannel 

DO 0P, DO 

0M, DO 1P, 

DO 1M 

Singlechannel 

without 

dynamic 

output test 

EAA1..EAA40 

Singlechannel 

with 

dynamic 

output test 

EAA1..EAA40 

Actuator / 

external shutdown 

circuit 


Contactor, valve, 

brake, etc. 

without direct 

feedback for 

diagnostics. 



brake, etc. with 

monitored and 

positively guided 

auxiliary contact 

Dual channel 



direct feedback 

for diagnostics 

at least in one 

channel or 

actuator singlechannel 

controlled with 

safety function 

cat. 3 (e.g. STO) 

Dual channel 






channel or 

actuator singlechannel 

controlled with 



Dual channel 






channel or 

actuator with 



Catego 

ry acc. 

to 

EN138 

49-1 

DC MTTFD 

Actuat 

or 

Achie 

vable 

PI acc. 

to EN 

ISO 

13849- 

1 

Boundary 

conditions 

Cat. B 0 % Medium b Contactor and 

downstream actuators 

appropriately designed 

for safety application 

Cat. 2 60- 

90 % 

Dependin 

g on 

switching 

frequency 

Cat. 2 90 % Monitorin 

g only in 

an 

external 

shutdown 

circuit 


g only in 

an 

external 

shutdown 

circuit 


g in both 

external 

shutdown 

circuits 

Medium 

b Message output required 

for warning in case of 

detected malfunction 

Contactor and 




High c As before 

d As before DC = 90 % 

due to a sufficiently high 

test rate with reference 

to the application 

Medium c Message output required 

for warning in case of 

High d 

detected malfunction 

Medium 

or High 

Contactor and 




d Contactor and 




High e Contactor and 




Monitoring of electromechanical 

components 

by means of positively 

guided switches, position 

monitoring of control 

valves, etc. 



Fault 

exclusion 

Short circuit 

on external 

control 

Short circuit 

on external 

control


Output 

Safety-M 

Dual-channel 

without 

dynamic 

output test 

Rel 1 and Rel 

2 

2 x 

EAA1..EAA40 

Dual-channel 

Rel 1 and Rel 

2 

or 

Dual-channel 

with dynamic 

output test 

DO 0P and, 

DO 0M, 

DO 1P and 

DO 1M 

2 x 

EAA1..EAA40 

Actuator / 

external shutdown 

circuit 

Dual-channel 






channel or 

actuator with 



Dual-channel 






channel or 

actuator with 



Catego 

ry acc. 

to 

EN138 

49-1 

Cat. 3 90 % Monitori 

ng in 

both 

external 

shutdown 

circuits 

Cat. 4 99% Monitori 

ng in 

both 

external 

shutdown 

circuits 

DC MTTFD 

Actuat 

or 

Medium 

or High 

Achiev 

able PI 

acc. to 

EN 

13849- 

1 

Boundary 

conditions 

d Contactor and 





components 


guided switches, 

position monitoring of 

control valves, etc. 

Outputs EAA1..40, 1 x 

each from different 

groups (groups of 6/4 

contiguous EAA-ports 

each, e.g. 

EAA1..6,EAA7..10) 



or 

Time-shifted triggering 

on PLC level 

High e Contactor and 





components 


guided switches, 

position monitoring of 

control valves, etc. 

For applications with 

frequent safety shutdown 

requests these 

tests should be 

performed more 

frequently, e.g. at the 

beginning of the shift, 1 

x per week. However, a 

test should at least be 

carried out cyclically 1 x 

year. 

Fault 

exclusion 

Short circuit 

on external 

control 

Short-circuit 

in external 

control in 

both 

channels


5 Connection and installation 

5.1 General notes on installation 

Strictly follow the safety regulations when installing! 

Degree of protection IP52 

Route all signal lines for the interfacing of digital inputs and contact monitoring separately. 

You should in any case disconnect 230VAC voltages from low voltage power lines, if these 

voltages are used in connection with the application. 

The cable lengths for digital inputs and outputs must normally not exceed 30 m. 

If the cable lengths exceeds 30 m you must apply appropriate measures for fault exclusion 

concerning impermissible overvoltage. Appropriate measures include e.g. lightning protection for 

outdoor lines, overvoltage protection of the indoor system, protected routing of cables. 

Measures concerning the electromagnetic compatibility (EMC) 

The Safety-M module is intended for use in the drive environment and meets the EMCrequirements 

mentioned above. 

It is also assumed that the electromagnetic compatibility of the overall system is ensured by 

application of appropriate measures. 

Use of the module as PESSRAL acc. to EN81: 

When using the module as PESSRAL acc. to EN81 (elevator standard), the device must be 

installed at a minimum distance of 200mm to the transmitting facility with the following frequency 

ranges (mobile radio, etc.) 166-1000 MHz, 1710-1784 MHz, 1880-1960 MHz. The field strength 

of the transmitting facility must not exceed the following field strength values: 

30V/m at 166-1000 and 1710-1784 MHz, 10V/m at 1880-1960 MHz . 

Installation in a closed housing with degree of protection IP5X or better is additionally required. 

Safety note: 

� Electric power supply lines of the Safety-M and "discontinuous-action lines" of the power 

converter must be isolated from each other. 

� Signal lines and power lines of the power converter must be routed through separate 

cable ducts. The distance between the cable ducts should be minimum 10 mm. 

� Only shielded cables must be used to connect the position and speed sensors. The signal 

transmission cable must be RS-485-standard compliant (lines twisted in pairs). 

� Care must be taken to ensure that the shielding is correctly connected in the 9-pin SUB-D 

plugs of the position and speed sensors. Only metal or metal coated plugs are permitted. 

� The shielding on the sensor side must comply with appropriate methods. 

� EMC-compliant installation of the power converter technology in the environment of the 

Safety-M module must be assured. Special attention must be paid to the routing of cables, 

the shielding of motor cables and the connection of the braking resistor. Strict compliance 

with the installation instructions of the power converter manufacturer is mandatory. 


Version: 24F - HB-37350-810-01-24F-EN


� All contactors in the environment of the power converter must be equipped with 

appropriate suppressor circuits. 

� Suitable measures to protect against overvoltages must be applied. 

Additional safety regulations when using as PESSRAL acc. to EN81 

� Install the device at a distance of at least 200 mm from the HF-transmitting facility 

(WLAN, GSM, etc.). The transmitting facilities must thereby not exceed the max. field 

strengths as specified above. 

� The device must be installed in a closed housing, IP5X or better. 


Version: 24F - HB-37350-810-01-24F-EN


5.2 Installation and assembly of the Safety-M module 

The module is solely to be installed in control cabinets with a degree of protection of at least 

IP54. 

The modules must be vertically fastened on a top hat rail 

The ventilation slots must be kept unobstructed, to ensure adequate air circulation inside the 

module. 

5.3 Installation of backplane bus system 

Mounting several Safety-M modules (SMX10, Safety-MS1, Safety-MS2, SMX12A) on one top hat 

rail in connection with the backplane bus system is also possible. These modules can be 

combined with a communication extension. In this case the backplane bus system needs to be 

configured by Kübler when placing the order and delivered in accordance with the application in 

question. 

The backplane bus system consists of a 5-pin plug connector with snap-in contacts. In these plug 

connectors all 5 contacts are equipped by standard. In this case the component is not specially 

marked. On a second variant of the plug connector only 3 contacts are equipped. 

Note: 

Expansion modules have no own power supply unit and depend on a DC power supply via the 

backplane bus system. Base modules (SMX10, Safety-MS1, Safety-MS2, SMX12A) are 

equipped with a reinforced power supply unit and always feed in to the backplane bus. 

There are two different types of backplane bus connectors: 

� TB1: Standard design (all contacts are present) 

� TB2: Circuit breaker design (The two live conductors are not present and are marked 

with a green dot. 

Using the backplane bus connector TB1: 

The backplane bus connector TB1 can only be installed in connection with expansion modules 

without their own power supply. Connection of several standalone modules is not possible. 

Using the backplane bus connector TB2: 

The backplane bus connector TB2 is used for combining several base modules with expansion 

modules. A detailed description can be found under point 4.3.1. 


Version: 24F - HB-37350-810-01-24F-EN


5.3.1 Arrangement examples 


Safety-MS1 

Safety-MS1 

There is no TB2 between the last Safety-MS1 module and the communication module SMX51, 

because the power supply for the SMX51 is fed in through the backplane bus system. 



Safety-MS1 

BMx / 

SMX5x 

BMx / 

SMX51 

There is no TB2 between the last Safety-MS1 module and the communication module BMx, 

because the power supply for the BMx is fed in through the backplane bus system. 


Version: 24F - HB-37350-810-01-24F-EN


5.4 Assembling the modules 

The modules are mounted on C-standard rails by means of snap-on latches. 

5.4.1 Assembly on C-rail 

The devices are inserted into the rail under an oblique angle and then snapped on downwards. 

For disassembling use a screwdriver, insert it into the slot of the downwards pointing latch and 

then move it up. 


Version: 24F - HB-37350-810-01-24F-EN


5.4.2 Assembly on backplane bus 

After assembling the backplane bus the device can be installed. For this purpose insert the 

module from above into the plug connection under a oblique angle and snap it onto the C-rail. 

Insert the module from above under an oblique angle. 

Snap-on downwards on to the C-rail. 


Version: 24F - HB-37350-810-01-24F-EN


The backplane plug connection can later be extended. The system configuration can thus be 

extended by additional modules. 

Snap the backplane bus element into the C-rail and insert it into the counter-piece by sliding it 

sideways. 

5.5 Installation and configuration I/O-extension SMX31 

5.5.1 Log on SMX31 to basic group 

After starting the "Safe PLC" program you must first choose the basic unit, followed by the 

extension SMX31. 

Note: 

Max. two SMX31 modules can be operated with one basic unit. 


Version: 24F - HB-37350-810-01-24F-EN


5.5.2 Physical address configuration SMX31 

On the SMX31 module the bus address must be set with the help of the address switch. 

This setting is made on the back of the module 

Note: 

� Address range of the SMX31 module from 1...15. 

� Address "0" is reserved for the basic device. 

5.5.3 Configuration of the I/O-assignment SMX31 

In the main menu of the "Safe PLC" program one can open the configuration dialog for the 

SMX31 module by "double-clicking" on the basic device. 

5.5.4 Logic address configuration SMX31 

The following settings must be made in the SMX31 configuration dialogue: 

� Logic address SMX31 device x: Setting the address switch of the Safety-M module x 


Version: 24F - HB-37350-810-01-24F-EN


� Group1 EAAx.1-EAAx.6 or group1 EAAx.7-EAAx.10: When using these outputs one can 

choose between safety and standard outputs. 


Version: 24F - HB-37350-810-01-24F-EN


5.6 Terminal assignment 

5.6.1 Terminal assignment SMX 10 

Printed circuit board 

CPU board 

5.6.2 Terminal assignment Safety-MS1 


CPU board 


Version: 24F - HB-37350-810-01-24F-EN


5.6.3 Terminal assignment Safety-MSP1 


CPU board 

HTL encoder connection: A+/B+ 

HTL encoder connection: A+,A-/B+,B- 


Version: 24F - HB-37350-810-01-24F-EN


5.6.4 Terminal assignment Safety-MS2 


Axis 1 Axis 2 

CPU board 

5.6.5 Terminal assignment SMX12 A 


Axis 1 Axis 2 

CPU board 


Version: 24F - HB-37350-810-01-24F-EN


5.6.6 Terminal assignment Safety-MSP2 

Printed circuit board CPU board 

Axis 1 Axis 1 

Axis 2 Axis 2 

HTL encoder connection: A+,B+ 

HTL encoder connection: A+,A- 

/B+,B- 


Version: 24F - HB-37350-810-01-24F-EN


5.6.7 Terminal assignment SMX 31 

IO board CPU board 

5.6.8 Terminal assignment SMX51 

Terminal Designation Function 

X41:1 NC 

With 120 Ohm terminating resistor 

X41:2 CAN_LO 

X41:3 CAN_GND 

X41:4 NC 

X41:5 NC 

X41:6 CAN_GND 

X41:7 CAN_HI 

X41:8 NC 

X41:9 NC 


Version: 24F - HB-37350-810-01-24F-EN


5.7 External 24 VDC – power supply 

The Safety-M module requires a 24 VDC power supply (see also SELV or PELV, EN50178). 

Please comply with the following boundary conditions when planning and installing the specified 

power supply unit: 

Strictly comply with the minimum and maximum supply voltage tolerance. 

Nominal voltage DC 24 V 

Minimum: 24 VDC – 15 % 20.4 VDC 

Maximum: 24 VDC + 20 % 28.8 VDC 

We recommend the use of a 3-phase power supply unit or an electronically controlled device to 

achieve an as little as possible residual ripple of the supply voltage. The power supply unit must 

meet the requirements acc. to EN61000-4-11 (voltage dip). 

Connecting cables must comply with local regulations. 

The interference voltage resistance of the Safety-M module is 32 VDC (protected by suppressor 

diodes at the input). 

Safety note: 

� The Safety-M module must be individually protected by a 2A/24VDC back-up fuse. singlepole 

thermal magnetic circuit breaker with rapid acting characteristic 

Comments: 

Reliable galvanic isolation from the 230 VAC or 400 VAC network must be guaranteed in any 

case. This requires the selection of power supply units complying with the regulations 

DIN VDE 0551, EN 60 742 and DIN VDE 0160. Besides choosing a suitable device you must 

also ensure equipotential bonding between PE and 0-VDC on the secondary side. 


Version: 24F - HB-37350-810-01-24F-EN


5.8 Connection of the external encoder supply 

5.8.1 Incremental, HTL, SIN/COS, SSI 

L-_ENC1-2 

L+_ENC1-2 

L-_ENC1 

L+_ENC1 

Safety-M 

SMX 

1 

2 

L+_ENC1 

L-_ENC1 

X17 X15 

Monitoring Spannungs- of 

external überwachung encoder 

supply der externen voltages 1) 

Geberversorgungsspannungen 

9 

2 

X13 

1 

2 

X31 

9 

2 

L+_ENC2 

L-_ENC2 

L-_ENC2-2 

L+_ENC2-2 

X33 

1) Only Safety-MSP1 and Safety-MSP2 

2) Only Safety-MS2 and Safety-MSP2 

3) Only Safety-MSP2 

1) 

1) 

L-_ENC2 

L+_ENC2 

1 

2 

9 

2 

L+_ENC2 

L-_ENC2 

2) 

2) 

X15 

X32 

L+_ENC2 

L-_ENC2 



1 

2 

3) 

3) 

9 

2 

The Safety-M module supports encoder voltages of 5V, 8V, 10 V, 12V and 24V, which are 

internally monitored in accordance with the chosen configuration. 

If an encoder system is not supplied through the Safety-M module, a supply voltage still needs to 

be connected to terminal X13 or X15 and configured accordingly. 

The encoder supply must be protected with a fuse of max. 2A. 

Monitoring of the supply voltage in accordance with the chosen nominal voltage: 

Nominal voltage Minimum voltage Maximum voltage 

5 VDC 4.4 VDC 5.6 VDC 





X19 

X34


5.8.2 Resolver 

L-_ENC1-2 

L+_ENC1-2 

Safety-M 

SMX 

31 

2 

X17 X15 

Reference ReferenzsignalSignal- 

1) 

generation 

generierung 

L+_ENC2 

L-_ENC2 

L-_ENC1-2 

L+_ENC1-2 

31 

2 

X19 

1) X15 

1) 

3 

7 

X33 

L+_ENC2 

L-_ENC2 

2) 

Reference ReferenzsignalSignalgenerierung 

generation 

2) 

3 

7 

X33 

1) Only Safety-MSP1 and Safety-MSP2 

2) Only Safety-MSP2 

When using resolvers in Master-Mode an additional 24V DC power supply is required for 

generating the reference signal. 

The encoder supply must be protected with a fuse of max. 2A. 

Supply voltage monitoring: 

Nominal voltage Minimum voltage Maximum voltage 



Version: 24F - HB-37350-810-01-24F-EN


5.9 Connection of digital inputs 

The Safety-M comes with 14 (Safety-M) or 12 (SMX31) safe digital inputs. These are suitable for 

connecting single or two-channel signals with and without cycling, or without cross-shorting test. 

The connected signals must have a "High"-level of DC 24 V (DC +15 V...+ DC 30 V ) and a 

"Low"-level of (DC -3 V...DC +5 V, type 1 acc. to EN61131-2). 24 VDC; +5 V, Type1 acc. to 

EN61131-2. The inputs are provided with internal input filters. 

A device internal diagnostic function cyclically tests the correct function of the inputs including the 

input filters. A detected fault will set the Safety-M into an alarm status. At the same time all 

outputs of the Safety-M are rendered passive. 

Besides the actual signal inputs, the Safety-M module holds two clock inputs P1 and P2 

available. The clock outputs are switching-type 24 VDC outputs. 

The clock outputs are solely intended for monitoring the digital inputs (DI1 ... DI14) and cannot be 

used for any other function within the application. 

The switching frequency is 125 Hz for each output. In the planning stage one must bear in mind 

that the outputs may only be loaded with a total current of max. 250 mA. 

Furthermore, approved OSSD-outputs can be connected to the inputs DI1-DI4 and DI9-DI14 

without limitation 

Note: 

Digital inputs DI5 to DI8 are not suitable for OSSDs, because there is no compliance with 

EN 61131-2 Type 2 requirements. 

In case of single-channel use of the inputs, the achievable safety level must be limited to SIL 2 or 

PL d, if the safety function is demanded at regular intervals. 

A safety related use of the inputs is generally only intended in connection with the pulse outputs. 

If pulse outputs are not used, short circuits in the external wiring between different inputs and 

against the supply voltage for the Safety-M must be ruled out by external measures, appropriate 

routing of cables in particular. 

Each input of the Safety-M module can be configured individually for the following signal 

sources: 

Input assigned to pulse P1 

Input assigned to pulse P2 

Input assigned to continuous voltage DC 24 V 


Version: 24F - HB-37350-810-01-24F-EN


5.10 Connection of analog inputs 

The version Safety-MS2 with analog processing is able to reliably process max. 2 analog signals. 

The analog inputs can be connected as follows: 

min max 

Voltage -7VDC +10VDC 

Note: 

The module is equipped with the fixed loading resistor of 500 Ohm as standard. This resistor can 

be omitted is required (voltage input). 


Version: 24F - HB-37350-810-01-24F-EN


5.11 Connection of position and speed sensors 

5.11.1 General notes 

Depending on module type the Safety-M module (Safety-MS1/Safety-MS2) has (1/2) external 

encoder interfaces for the connection of industrial incremental and absolute encoders. The 

encoder interfaces can be configured as incremental, SIN/COS, or as absolute SSI-encoders. 

It is also possible to connect 2 incremental signal generating sensors (e.g. proximity switches) 

to the counting inputs of the Safety-M module. The signals must each be read in with normal and 

complementary track. 

IMPORTANT 

The voltage supply of the encoder system uses the dedicated terminals on the Safety-M module. 

This voltage is applied to the encoder plug and monitored by an internal diagnostic process. 

When the sensor is supplied with an external voltage, this voltage must be supplied through the 

encoder plug. The corresponding terminal (encoder supply voltage) on the Safety-M module 

remains unoccupied. 

If an external sensor voltage supply is not recirculated through the encoder plug, any failure of 

this supply must be included in the fault examination of the overall system. This, in particular, 

requires evidence that this fault is detected or can be excluded when the specified operating 

voltage of the overall system is fallen short of / exceeded. 

EMC - measures such as shielding etc. must be observed. 

The two encoders must be non-interacting to each other. This applies for both the electrical as 

well as the mechanical part. 

If both encoders are coupled to the facility to be monitored via common mechanical parts, the 

connection must be positively designed and should not have any parts that are susceptible to 

wear (chains, toothed belts, etc.). Should this be the case, additional monitoring features for the 

mechanical connection of the sensors (e.g. monitoring of a toothed belt) are required). 

In case of an active position processing at least one absolute value encoder must be used. 

When using two equivalent sensors one must make sure that the sensor with the higher 

resolution is configured as sensor 1 (process sensor) and the sensor with the lower resolution 

as sensor 2 (reference sensor). 

NOTE: 

When used in elevator technology acc. to EN81, the outputs of the internal relays must not be 

used for switching voltages higher than 24V, because this would contradict the specifications of 

EN81. Non-compliance will lead to the loss of all warranty claims and Fritz Kübler will not be 

liable for compensation. 


Version: 24F - HB-37350-810-01-24F-EN


Attention: 

The sensor connections must neither be plugged on nor pulled off during operation. This could 

cause damage to electrical components of the encoder. Always de-energize connected encoders 

and the Safety-M module before plugging on or pulling off encoder connections. 

Lines twisted in pairs for signal transmission acc. to RS485 standard must be used for data and 

clock signals or track A and track B. The wire cross-section must in each individual case be 

chosen in compliance with the current consumption of the encoder and the cable length required 

for the installation. 

The following applies when using absolute encoders: 

In Slave-mode the clock signal is generated by an external process and is read in by the 

Safety-M module together with the data signal. This type of reading causes a beat which results 

in a reading fault of the following magnitude: 

F = (reading time of encoder by external system [ms] / 8 [ms] ) * 100 % 

The size of the resulting reading fault F must be taken into account when determining the 

thresholds in the applied monitoring functions, because this fault cannot be compensated! 


Version: 24F - HB-37350-810-01-24F-EN


5.11.2 Assignment of encoder interface 

X31/X32 1) 

Sensor assignment 

1) only Safety-MS2 

X33/X34 2) 

Sensor assignment 

2) only Safety-MSP2 

SSI – Absolute 

X 31/X 32 

Absolute encoder 

SSI – Absolute 

X 33/X 34 


Version: 24F - HB-37350-810-01-24F-EN


5.11.3 Connection variants 

5.11.3.1 Connection of an absolute encoder as master 

Sub-D Sub-D- plug 

Stecker (9 pin) 

Safety-M (9 polig) 

SMX 

Pin 1 

Pin 2 

Pin 3 

Pin 4 

Pin 5 

Pin 6 

Pin 7 

Pin 8 

Pin 9 

n.c. 


n.c. 

CLK- 

DATA+ 

DATA- 

n.c. 

CLK+ 


Supply voltage 

Absolute Absolut- 

Encoder encoder 


(Master mode) 

With this type of connection the clock signals are submitted from the Safety-M module to 

the absolute encoder and the data from the encoder to the Safety-M. 


Version: 24F - HB-37350-810-01-24F-EN


5.11.3.2 Connection of an absolute encoder as slave 




SMX 

Pin 1 

Pin 2 

Pin 3 

Pin 4 

Pin 5 

Pin 6 

Pin 7 

Pin 8 

Pin 9 

n.c. 


n.c. 

CLK- 

DATA+ 

DATA- 

n.c. 

CLK+ 



externes external sensing Abtastsystem system 

Absolute Absolutencoder 

Encoder 


(Slave mode) 

With this type of connection both clock signals and data are read in. In this example the module 

does not supply the encoder with voltage. 


Version: 24F - HB-37350-810-01-24F-EN


5.11.3.3 Connecting an incremental encoder with TTL-signal level 




SMX 

Pin 1 

Pin 2 

Pin 3 

Pin 4 

Pin 5 

Pin 6 

Pin 7 

Pin 8 

Pin 9 

Pins 1, 3 and 7 stay open and are reserved for later expansions. 

n.c. 


n.c. 

B- 

A+ 

A- 

n.c. 

B+ 

Supply Versorgungsspannung 

voltage 

Incremental 

Inkremental 

encoder Encoder 


Version: 24F - HB-37350-810-01-24F-EN


5.11.3.4 Connection of a SIN/COS encoder 



(9 Safety-M polig) 

SMX 

Pin 1 

Pin 2 

Pin 3 

Pin 4 

Pin 5 

Pin 6 

Pin 7 

Pin 8 

n.c. 


n.c. 

COS- 

SIN+ 

SIN- 

n.c. 

COS+ 



Pins 1, 3 and 7 stay open and are reserved for later expansions. 

SIN/COS 

encoder Geber 


Version: 24F - HB-37350-810-01-24F-EN


5.11.3.5 Connection of a resolver as master 



(9 Safety-M polig) 

SMX 

Pin 1 

Pin 2 

Pin 3 

Pin 4 

Pin 5 

Pin 6 

Pin 7 

Pin 8 

Pin 9 




COS - 

SIN + 

SIN - 


COS + 


Resolver 


(Master mode) 

With this type of connection the clock signals are submitted from the Safety-M module to 

the absolute encoder and the data from the encoder to the Safety-M. 


Version: 24F - HB-37350-810-01-24F-EN


5.11.3.6 Connection of a resolver as slave 



Safety-M 

(9 polig) 

SMX 

Pin 1 

Pin 2 

Pin 3 

Pin 4 

Pin 5 

Pin 6 

Pin 7 

Pin 8 

Pin 9 

nc 


Voltage GND 


COS - 

SIN + 

SIN - 


COS + 

Monitor 

Reference 

Voltage 

external externes sensing Abtastsystem system 

Resolver 


(Slave mode) 


Version: 24F - HB-37350-810-01-24F-EN


5.11.3.7 Connection of proximity switch Safety-MS1/Safety-MS2 

he connection is made via plug connector X23 on the digital inputs DI5 … DI8. 

The exact pin assignment depends on the encoder type and is shown in the connecting plan of 

the programming interface. 

Note: When using HTL-encoders please bear in mind that the tracks A+ and B+ or A- and B- 

must be combined accordingly. 

HTL encoder connection: A+,/B+ 

HTL encoder connection: A+,A-/B+,B- 


Version: 24F - HB-37350-810-01-24F-EN


5.11.3.8 Connection of HTL/proximity switch Safety-MSP1/Safety-MSP2 

The connection is made via plug connectors X27 and X28, or X29 and X30 

5.11.3.8.1 HTL-encoder with A+/A- or B+/B- signal 

Terminal Klemmleiste strip 

X27 1) 

X29 2) 

X27 1) 

X29 2) 

1) Safety-MSP1 encoder 3 


1 

2 

3 


X28 1) 

X30 2) 

X28 1) 

X30 2) 

1 

2 

3 

1 

Klemmleiste 

Terminal 

strip 

X17 1) 

X19 2) X17 1) 

X19 2) 

2 

A+ 

A- 

B+ 

B- 


voltage 



Power supply 

Encoder 

Geber 

Incremental 

Inkremental 



Version: 24F - HB-37350-810-01-24F-EN


5.11.3.8.2 HTL-encoder with A+ or B+- signal 


X27 1) 

X29 2) 

X27 1) 

X29 2) 



1 

2 

3 

Klemmleiste 

X28 1) 

Terminal 

strip 

2 

X30 2) X28 1) 

X30 2) 

1 

3 

1 

Klemmleiste 

Terminal 

strip 

X17 1) 

X19 2) X17 1) 

X19 2) 

2 

A 

B 




Geber 

Incremental 

Inkremental 



Version: 24F - HB-37350-810-01-24F-EN


5.12 Configuration of measuring distances 

5.12.1 General description of encoder configuration 

The most important input variables for the monitoring functions of the module are safe position, 

speed and acceleration. These are obtained by dual-channel generation from the connected 

sensor system. A category 4 compliant architecture, i.e. continuous dual-channel recording with 

high degree of diagnostic coverage, is required for Pl e acc. to EN 13849-1. For possible singlechannel 

components (e.g. mechanical connection of the sensors/encoders with only one 

shaft/fastening) fault exclusions acc. to EN ISO 13849-2 may be used, if this should be 

necessary. For Pl d acc. to EN 13849-1 one may work with a reduced degree or diagnostic 

coverage. Simple design sensor systems (speed monitoring only) may under certain 

circumstances be sufficient under due consideration of the permissible fault exclusions acc. to 

EN ISO 13849-2. 

See also APPENDIX 1 

Further configuration is described in the programming manual: 

R61363.0002 Programmierhandbuch Safety-M (English) 

5.12.2 Sensor type 

Absolute encoder and incremental measuring systems are possible, as well as counting pulse 

generating proximity switches 

5.12.2.1 Absolute encoder: 

Data interface: Serial Synchronous Interface ( SSI ) with variable data length from 12 to 28 

bit. 

Data format: Binary or Gray code, 

Physical Layer: RS-422 compatible 

SSI-Master operation: 

Clock rate: 150kHz 

SSI-Listener operation (slave mode): 

Max. external clock rate 200 KHz 1) or 350 kHz 2) . 

Min. clock pause time 30 µsec 

Max. clock pause time 1 msec 

Diagnoses: 

Diagnose Parameters Fault threshold 

Supply voltage monitoring Fixed values 

+/- 20 % +/-2 %(measuring 

5 V, 8V, 10V, 12V, 20V, 24V tolerance) 

Monitoring of differential level Fixed value RS 485-level +/- 20 % +/-2 %(measuring 

on input 

tolerance) 

Monitoring of Clk-frequency Fixed value 100 kHz < f < 350 kHz 

Plausibility of speed versus Fixed value DP < 2 * V * T with 

position 

T = 8 ms 


Version: 24F - HB-37350-810-01-24F-EN


Parameterization of SSI-format: 

Start Clk 0 

Clk 1 Clk 2 

K K Data Daten O Status 


Fault Error mask Maske 

0 = don’t 

dont´t 

care 

care 

1 = aktiv 

1 = active 

Result Ergebnis mask Maske 

for error = 0 

für Error = 0 

(evaluation (Auswertung active) 

aktiv) 

N-4 N-3 N-2 N-1 N-0 

Number Clk 

Anzahl Clk 

= Framelength 



Status 

1 

Mask 

1 

Result 

1 

Status 

2 

Mask 

2 

Result 

2 

Index 

Daten Data 

Status 

3 

Mask 

3 

Result 

3 

Clk ClkN 

Index 

Status 

.... 

.... 

.... 

Status 

0 

Mask 

0 

Result 

0


Example: 

SSI-Frame length: 28 cycles 

Data length: 22 bit 

Status: 5 bit, 3 bit Fault + 2 bit Warning/ready for operation 

Start Clk 0 

Clk 1 Clk 2 

K K Data Daten O Status 


Fault 

Error 

mask 

Maske 

0 0 = = don’t dont´t care care 

1 1 = = active aktiv 

Result 

Ergebnis 

mask 

Maske 

for error = 0 

(evaluation für Error = active) False 


Temperatur Temperature Intensity Intezität 

1 = Error 1 = Error 

Clk ClkN 

Clk 24 Clk 25 Clk 26 Clk 27 Clk 28 

Warning: 

Operating 

HW Warnung 

1 = Error 

Verschmutzung 

Contamination Betriebsart mode 

1 = Error 1 = OK 

1 1 0 0 

10 0 0 0 0 



1 

6 Clk 

1Clk 

Number Anzahl Clk Clk 

= Framelength


5.12.2.2 Incremental encoder: 

Physical Layer: RS-422 compatible 

Measuring signal A/B. Track with 90 degree phase difference 

maximum frequency of input cycles 200 KHz 1) or 500 kHz 2) 

Diagnoses: 



5 V, 8V, 10V, 12V, 20V, 

24V 

Monitoring of differential level 

on input 

Monitoring of the counting 

signal separated for each 

track A/B 

+/- 20 % +/-2 %(measuring 

tolerance) 

Fixed value RS 485-level +/- 20 % +/-2 %(measuring 

tolerance) 

Fixed value DP > 4 increments 

5.12.2.3 SinusCosinus encoder – standard mode 

Physical Layer: +/- 0.5 Vss (without voltage offset) 


Maximum frequency of input clock pulses. 200 KHz 1) or 500 kHz 2) 

Diagnoses: 



+/- 20 % +/-2 %(measuring 


Monitoring of amplitude Fixed value 1VSS 

65 % of 1 VSS +/- 

SIN²+COS² 

2.5 %(measuring tolerance) 

Monitoring of phases A/B Fixed value 90° +/- 30° +/-5° measuring 

tolerance) 

5.12.2.4 SinusCosinus encoder – high resolution mode: 

Physical Layer: +/- 0.5 Vss (without voltage offset) 


Maximum frequency of input clock pulses. 15 kHz 2) 

Diagnoses: 



+/- 20 % +/-2 %(measuring 


Monitoring of amplitude Fixed value 1VSS 

65 % of 1 VSS +/- 

SIN²+COS² 

2.5 %(measuring tolerance) 

Monitoring of phases A/B Fixed value 90° +/- 30° +/-5° measuring 

tolerance) 

Monitoring of counting signal 

/ signal phase quadrant 

Fixed value +/- 45° 


Version: 24F - HB-37350-810-01-24F-EN


5.12.2.5 Proximity switch 

Signal level. 24V/0V 

Max. counting frequency. 10kHz 

Circuit logic de-bounced 

Diagnoses: 



monitoring 

Fixed values 

5 V, 8V, 10V, 12V, 20V, 

24V 

+/- 20 % +/-2 %(measuring 

tolerance) 


Version: 24F - HB-37350-810-01-24F-EN


5.12.2.6 Extended monitoring proximity switch / proximity switch 

The extended monitoring uncovers the following faults: 

a) Supply voltage failure 

b) Failure of output signal in driver direction 

c) Malfunction of High signal proximity switch 

d) Interruption of signal path 

e) Mechanical de-adjustment of proximity switch / excessive switching distance of proximity 

switch 

For diagnostic purposes both status conditions of the counting signal are additionally recorded 

synchronously and compared logically. Attenuation of at least one of the two signals must be 

ensured by means of a switching gate. The logic will evaluate this instruction. 

Design of switching gate with radial 

sensor arrangement 

max 0.5mm 

Sensor A 

120° 

min 3mm 

Sensor B 

Spindle shaft 

Switching gate 

The diagnose must be designed for at least the following limiting values: 

Max. counting frequency: 4 kHz 

Max. blanking 0-signal: 50 % 

Min. coverage 10 % 

Reading in counting signals: 

The two counting signals are both separately assigned to the two channels. In each of the 

channels the status is read in synchronously. In order to ensure synchronization this must be 

carried out directly after the channel synchronization. Sampling must take place at least 1x per 

cycle. The max. deviation in synchronization is 20 µs. 

The status conditions must be exchanged crosswise through the SPI. 

Logic processing: 

The following evaluation must be made in both channels: 

Signal A Signal B Result 

Low Low False 

High Low True 

Low High True 

High High True 

Intended theoretic signal form 

T=100% 



16.7 

33.3% 

16.7 

33.3%


5.12.2.7 HTL - Sensor 

Signal level. 24V/0V 

Physical Layer: Push/Pull 

Measuring signal A/B track with 90° phase difference 

Max. counting pulse frequency: 200 kHz on X27/28 or X29/30 

(only SMX11-2/12-2) 

Diagnoses: 



+/- 20 % +/-2 %(measuring 


Monitoring of differential level Fixed value 24 V +/- 20 % +/-2 %(measuring 

on input 

tolerance) 

Monitoring of the counting 

signal separated for each 

track A/B 

Fixed value DP > 4 increments 

5.12.2.8 Resolver 

Measuring signal: SIN/COS – track with 90° phase difference 

Max. counting pulse frequency 2 kHz/pole 

Resolution: 9 bit / pole 

Master-Mode: 

Frequency reference signal 8 kHz 

Slave-Mode 

Frequency reference signal 6 - 16 kHz 

Reference signal form: Sinusoidal, triangle 

1) on X31/32 

2) on X31/34 

Diagnoses: 


Monitoring of ratio Fixed values 

+/- 20 % +/-2 %(measuring 

2:1, 3:2, 4:1 

tolerance) 

Monitoring of signal 

Fixed value


6 Response times of the Safety-M 

The response time is a very important safety related characteristic and must be strictly observed 

for each application / application related safety function. The following chapter lists the response 

times for individual functions, probably also in dependence on further parameters. If these data 

are insufficient for a specific application you should validate the actual time behaviour against the 

nominal behaviour by means of separate measurements. This applies also for the use of filter 

functions in particular. 

Safety note: 

� The response times must be determined for each application related safety function in 

nominal behaviour and must then be compared with the actual value by using the 

following data. 

� Special care must be taken when using filter functions. Depending on the filter length / 

time the response time may be extended, which must be taken into account in the 

safety related design. 

� In case of particularly critical problem formulations the temporal behaviour must be 

validated by means of measurements. 

� During start-up of the device / alarm or fault reset the outputs may (depending on the 

application program) become active over the response time period. This must be 

taken into consideration when planning the safety function. 

6.1 Response times in standard operation 

The cycle time of the Safety-M system serves as basis for calculating the response times. In 

operation this is T_cycle = 8 ms. The specified response times comply with the corresponding 

maximum running time for the actual application within the Safety-M module. Depending on the 

application, further, application dependent response times of the sensors and actuators used 

must be added, in order to obtain the total running time. 

Function 

Activation of a monitoring function 

by means of ENABLE with 

subsequent shut-down via digital 

output 

Activation of a monitoring function 

by means of ENABLE with 

subsequent shut-down via safety 

relay 

Response of an already activated 

monitoring function including 

PLC editing in case of position and 

speed processing via digital output 

Response 

time [ms] 

24 

*) 

47 

*) 

16 

*) 

Explanation 

Activation of a monitoring function by means of 

the ENABLE signal. 

Activation of a monitoring function by means of the 

ENABLE signal. 

With a monitoring function that has already been 

activated via ENABLE, the module requires one cycle 

to calculate the current speed value. During the next 

cycle after calculation of the monitoring function the 

information is further processed and output by the 

PLC, i.e. according to the implemented logic this will 

lead to e.g. switching of an output. 


Version: 24F - HB-37350-810-01-24F-EN


Function 

Response of an already activated 

monitoring function including 

PLC editing in case of position and 

speed processing via safety relays 

Activation of digital output via 

digital input 

Activation output relay via digital 

input 

Deactivation of digital output via 

digital input 

Deactivation output relay via digital 

input 

Average filter (setting see encoder 

dialog SafePLC) 

Analog filter 

� 1 (2Hz) 

� 2 (2Hz) 

� 3 (2Hz) 

� 4 (4Hz) 

� 5 (6Hz) 

� 6 (8Hz) 

� 7 (10Hz) 

� 8 (20Hz) 

Response 

time [ms] 

39 

*) 

16 

26 

16 

47 

0 - 64 

� 760 

� 760 

� 760 

� 512 

� 268 

� 143 

� 86 

� 56 

Explanation 

With a monitoring function that has already been 

activated via ENABLE, the module requires one cycle 

to calculate the current speed value. During the next 

cycle after calculation of the monitoring function the 

information is further processed and output by the 

PLC, i.e. according to the implemented logic this will 

lead to e.g. switching of an output. 

Activation of an input and switching of the output 

Activation of an input and switching of the output 

Deactivation of an input and thus deactivation of the 

output 

Deactivation of an input and thus deactivation of the 

output 

Group running time of the averager. This running time 

only effects the monitoring function in connection with 

position / speed / acceleration, but not the logic 

processing. 

The analog filter only affects the safe analog inputs of 

the SMX-12A module. 

Response times of the analog input filters in relation 

to the input frequency 

Note: 

*) : *) : When using an average filter the response time of this filter must also be added 

6.2 Response time for FAST_CHANNEL 

FAST_CHANNEL describes a characteristic of Safety-M to respond quicker to speed 

requirements than this would be possible with the execution of the safety programs in normal 

cycle (= 8 msec). The sensing time of FAST_CHANNEL is 2 msec. 

The following response times can be specified: 

� 4 msec (Worst Case Condition) 

Safety note: 

� When using FAST_CHANNEL you should bear in mind that shutting down within the time 

specified above for a given speed threshold is only possible, if the sensor information has 

a sufficient resolution. The smallest resolvable switching threshold of the 

FAST_CHANNEL requires at least 2 edge changes on the corresponding sensor system 

within a period of 2 msec. 

� This function can only be used in connection with semi-conductor outputs. 


Version: 24F - HB-37350-810-01-24F-EN


6.3 Response times for fault distance monitoring 

The following calculation schematic applies for calculating the Worst Case condition. 

System speed to the sampling instant V(t) 

System speed in case of Safety-M response: VA(t) 

Monitoring threshold (SLS or SCA): VS = constant for all t 

Parameterized filter value: XF = constant for all t 

Maximum possible acceleration of the application: a = constant for all t 

Deceleration after shut-down: aV = constant for all t 

Sampling instant for occurrence of the Worst Case event: TFault 

Response time of the Safety-M systems: tResponse 

For the Worst Case assessment it is assumed that the drive will initially move exactly to the 

parameterized threshold with a speed v(k) and then will accelerate to the maximum possible 

value a0. 


Version: 24F - HB-37350-810-01-24F-EN


Diagram: Behaviour of the drive with / without overspeed distance 

Without overspeed distance the following connections result for the course of V and s. 

Parameters Calculation methods Comment 

tResponse 

Va2 

Va1 

VS 

XF 

TFault tResponse 

tResponse 

Value from the specified response time Safety- 

M 

+ deceleration time in external shut-down chain 

V w. overspeed 

Distance [m/s] 

V w/o. overspeed 


s w. overspeed 


s w/o. overspeed 


Deceleration time in external 

shut-off chain derived from 

relay/contactor and brake data, 

etc. issued by the manufacturer 

aF, aV n.a. Estimation of the application 

Va1 

= VS + aF * tResponse 


Version: 24F - HB-37350-810-01-24F-EN


With overspeed distance the following connections result for the course of V and s. 

Parameters Calculation methods Comment 

tResponse 

Value for response time data Safety-M + 

deceleration time in external shut-down 

chain 

Deceleration time in external shut-off 

chain derived from relay/contactor 

and brake data, etc. issued by the 

manufacturer 

aF, aV n.a. 

= aF * tResponse + (VS 

Estimation of the application 

2 + 2 * aF * XF) 1/2 

Va2 

With its effect the filter displaces the set speed threshold Va upwards by the amount 

delta_v_filter. For the application one must consider the new response time values 

(Treact = Tsmx + Tfilter), as well as the speed at shut-down by Safety-M resulting from this. 

6.4 Response times when using SMX 31 

The cycle time of the Safety-M system serves as basis for calculating the response times. In 

operation this is T_cycle = 8 ms. The specified response times comply with the corresponding 

maximum running time for the actual application within the Safety-M module. Depending on the 

application, further, application dependent response times of the sensors and actuators used 

must be added, in order to obtain the total running time. 

Function 

Worst Case deceleration time 

inlet in basic module to PAE 

Worst Case deceleration time 

input SMX31 to PAE in basic 

module 

Processing time PAE to PAA in 

basic module 

Activation / deactivation digital 

output in basic module from 

PAA 

Activation / deactivation digital 

output in extension module via 

PAA in basic module 

Designation Response Explanation 

time [ms] 

TIN_BASE 

TIN_31 

TPLC 

TOUT_BASE 

TOUT_31 



10 

18 

8 

- 

8 

e.g. activation of a monitoring function by an 

input signal in the basic module 

e.g. activation of a monitoring function by an 

input signal in the extension module SMX31 

Shut-down by a monitoring function 

or an input in PAE 

Activation or deactivation of an 

output in the basic module after 

changes to the PAA. 

Activation or deactivation of an 

output in the extension module 

SMX31 after changes to the PAA in 

the basic module.


Determination of the total response time 


Example 1: 

Input to extension module, activation of SLS and processing in PLC, output to basic module. 


Example 2: 

Input to basic module, activation of SLS and processing in PLC, output to extension module. 


Example 3: 

Input to extension module, activation of SLS and processing in PLC, output to extension module. 

TTOTAL = TIN_31 + TPLC + TOUT_31 = 18 ms + 8 ms + 8 ms = 34 ms; 


Version: 24F - HB-37350-810-01-24F-EN


7 Start-up 

7.1 Procedure 

Start-up must only be performed by qualified personnel! 

Strictly follow the safety regulations when commissioning! 

7.2 Making sequences 

The following phases are passed through and displayed by the front side seven segment display 

after each new start and fault-free running of the module: 

7 segment display Mode Description 




„4“ RUN 

„5“ STOP 

„A“ ALARM 


„F“ 

Fault 

Synchronization between both 

processor systems and checking 

of configuration/firmware data 

Distribution of 

configuration/firmware data and 

renewed checking of these data. 

Subsequent area checking of 

configuration data. 

If available, initialization of a bus 

system 

Normal system operation. All 

outputs are switched according 

to the current logic status. 

In stop mode parameter and 

program data can be loaded 

externally. 

The alarm can be reset via the 

digital input or the front side 

reset button. 

The ECS alarm can be reset via 

the digital inputs or the front side 

reset button. 

Fault can only be reset via 

ON/OFF of the module. 


Version: 24F - HB-37350-810-01-24F-EN


7.3 LED display 

Colour Mode Description 

green "flashing" 

yellow "flashing" 

red "flashing" Alarm 

red "permanent" Fatal Fault 

System OK, configuration 

validated 

System OK, configuration 

not yet validated 

Note: 

For all operating states except RUN the outputs are rendered passive by the firmware, i.e. safely 

switched off. In status RUN the state of the outputs depend on the implemented PLC-program. 


Version: 24F - HB-37350-810-01-24F-EN


7.4 Parameterization 

Parameterization takes place via the program SafePLC. The transmission of these data to the 

module requires a programming adapter, the drivers of which must first be installed by the user. 

Parameterization is described in the programming manual. 

7.5 Function test 

As a measure to ensure the safety of the module, the reliability of all safety functions must be 

checked once every year. For this purpose the modules used in the parameterization (inputs, 

outputs, monitoring functions and logic modules) must be checked with respect to function or 

shut-down. 

See programming manual. 

7.6 Validation 

In order to assure the reliability of the implemented safety functions the user must check and 

document the parameters and links after the start-up and parameterization has taken place. This 

is supported by a validation assistant in the programming desktop (see chapter "Safety related 

examination"). 

7.7 The function DEM (Dynamic Encoding Muting): 

The function DEM has the purpose of muting (suppressing) the encoder alarms of their shutdown 

function under certain conditions, in order to be able to guarantee high operation safety and 

reliability besides availability of the machine and safety functions with high SIL or PI. 

It only effects the safety functions with speed and relative position monitoring. With position 

processing activated – Position processing enabled in the parameterization of the measuring 

distance within the encoder mask – this function is not available. 

The function DEM has the purpose of muting (suppressing) the encoder alarms of their shutdown 

function under certain conditions, in order to be able to guarantee high operation safety and 

reliability besides availability of the machine and safety functions with high SIL or PI. 

It only effects the safety functions with speed and relative position monitoring. With position 

processing activated – Position processing enabled in the parameterization of the measuring 

distance within the encoder mask – this function is not available. 

When exceeding the speed limit (plus the hysteresis) VG+H encoder alarms are suppressed. This 

takes place with continuous activation at any time when the speed limit is exceeded. Otherwise 

this suppression (muting) will take place when the input (In) is active and the speed limit is 

exceeded. 


Version: 24F - HB-37350-810-01-24F-EN


The adjustable hysteresis H specifies the size the speed difference (above the speed limit VG) 

should be, until alarms are suppressed. When falling below the speed limit VG (without 

hysteresis) the alarms are enabled again. 

The integration takes place with input and output. 

Axis: 1 

Parameters are set via the editor window. 


Version: 24F - HB-37350-810-01-24F-EN


Parameters: 

The module has the following parameters: 

� Permanent activation: 

When selecting this field the function is permanently activated, the input connector of the 

module is deleted. 

� Muting speed limit VG: 

When the speed limit value specified in this field is exceeded, the muting function is activated. 

If permanent activation is deselected, the status of the module input is additionally linked. 

Note: 

The muting speed limit also defines the max. input values for the speed limits in the functions 

SLS, SOS, SLI and SCA. Their input values must always be smaller than the muting speed 

limit. 

� Hysteresis H: 

In order to avoid toggling when switching over you may specify a hysteresis value. The 

following thereby applies: 

Activation speed for muting: Muting speed limit + hysteresis value (VG+H) 

Deactivation speed for muting: Muting speed limit (VG) 

8 Safety related examination 

In order to assure the reliability of the implemented safety functions the user must check and 

document the parameters and links after the start-up and parameterization has taken place. This 

is supported by the parameterization software SafePLC (see programming manual). 

On the first page one can enter general system data. The last page of the validation report 

contains individual evidence concerning the safety related examination. 


Version: 24F - HB-37350-810-01-24F-EN


Here the following entries are mandatory: 

• Serial number (identical with the serial number on the t pe plate) 

• Identit o the module 

Here the responsible tester confirms that the CRC's displayed in the programming desktop are 

identical with the CRC stored in the Safety-M module. 

Once all header data have been entered, the validation report can be generated by pressing the 

control button "Save". The parameterization tool then creates a text file (.TXT) with the file name 

of the program data set. The text file contains the following information: 

� The 3 pages of header data edited above 

� The configuration of the encoder 

� The parameters of the existing monitoring function 

� The PLC program as instruction list 

After the transmission of the configuration and program data to the Safety-M module the status 

LED flashes yellow. This indicates that the configuration data have not yet been validated. 

Pressing the button "LOCK CONFIGURATION" at the end of the validation dialog highlights the 

data as "Validated" and the LED flashes in green. 


Version: 24F - HB-37350-810-01-24F-EN


9 Maintenance 

9.1 Modification / handling changes to the device 

Maintenance work must solely be carried out by qualified personnel. 

Regular maintenance work is not required. 

Repair 

The devices must always be replaced as whole units 

Repair work on the device can only be performed in the factory. 

Warranty 

By opening the module without permission the warranty will become null and void. 

Note: 

By modifying the module the safety approval will become null and void! 

9.2 Exchanging a module 

The following should be noted when exchanging a module: 

Disconnect the electric power converter from the main supply. 

Switch off the electric power supply for the device and disconnect. 

Pull off the encoder plug. 

Disconnect any other pluggable connections. 

Take the module off the top hat rail and pack up EMC-compliant. 

Mount the new module on the top hat rail. 

Reconnect all connections. 

Switch on the electric power converter. 

Switch on the supply voltage. 

Configure the device 

Note: 

Pluggable connections of the Safety-M module must generally not be disconnected or connected 

in live condition. There is a danger of sensor damage, particularly with connected position or 

speed sensors. 

9.3 Maintenance intervals 

Module replacement See technical data 

Function test See chapter "Start-up" 


Version: 24F - HB-37350-810-01-24F-EN


10 Technical data 

10.1 Environmental conditions 


Ambient temperature 0 °C* ... 50 °C 


Lifetime 90000h at 50 °C ambient 

10.2 Safety related characteristic data 

Max. obtainable safety class � SIL 3 acc. to EN61508 

� Category 4 acc. to EN945-1 

� Performance-Level e acc. to 

EN ISO 13849-1 

System structure 2-channel with diagnose (1002) 

Rating of operating mode "high demand" acc. to EN 61508 (high demand 

rate) 

Probability of an endangering failure SMX10, Safety-MS1, Safety-MS2 and SMX12A 

per hour (PFH-value) 

< 1,4 E-8 (14FIT) 

Proof-Test-Interval (EN61508) 20 years, after this time the module must be 

replaced 


Version: 24F - HB-37350-810-01-24F-EN


11 Fault types Safety-M 

The Safety-M generally differentiates between two types of faults as per assignment below: 

Fault type Description 

Fatal Fault 

Alarm 

ECS-Alarm 

Severe exceptional fault caused by the 

program run in the Safety-M. Cyclic 

program sequence is no longer possible for 

safety related reasons. The last active 

process is the operation of the 7-segment 

display by system A. 

Functional fault, caused by an external 

process. Both system continue to run 

cyclically and serve all requests from the 

communication interfaces. Sensing of the 

external process is also maintained. 

When using the ECS function in the 

programming desktop, the encoder alarm 

messages are marked "E" instead of "A". 

Recognizing faults system, A and system B: 

� System A: odd-numbered 

� System B: even numbered 

11.1 Fault indication 

There are two possible ways of displaying the fault number 

11.1.1 Safety-M.. without extension modules 

F,A or E __ __ __ __ 

Fault number 

11.1.2 Safety-M.. with expansion modules 

F,A or E __ __ __ __ __ 

1) Fault number 

Note 1) 0: Base module 

1: Expansion module with logic address 1 

2: Expansion module with logic address 2 

Effect on 

the system 

All outputs 

are 

switched 

off! 

All outputs 

are 

switched 

off! 

ECS 

function 

block 

delivers "0" 

as a result. 

Reset 

condition 

Reset possible 

by switching the 

Safety-M (POR) 

off/on. 


via 

parameterizable 

input 


via 

parameterizable 

input 


Version: 24F - HB-37350-810-01-24F-EN


11.2 Alarm List Safety-M 

A 2101 / A 2102 

Alarm message Timeout receive message SMX31 (address 1) 

Cause Message from expansion module not received in time 

Remedy Check connection to expansion module 

A 2105 / A 2106 

Alarm message CRC fault transmission message SMX31 (address 1) 

Cause Transmission message faulty 

Remedy Check configuration of SMX31 serial number 

A 2107 / A 2108 

Alarm message CRC fault transmission message 


Remedy 

� Check configuration of SMX31 serial number 

� Check connection to expansion module 

A 2109 / A 2110 

Alarm message CRC fault receive message 

Cause Receive message faulty 

Remedy 

� Check configuration of SMX31 serial number 

� Check connection to expansion module 

A 2111 

Alarm message Timeout communication with expansion module SMX31 (address 1) 

Cause Installation of expansion module faulty 

Remedy � Check connection to expansion module 

A 2113 

Alarm message Expansion module SMX31 (address 1) present, but not configured 

Cause Faulty configuration 

Remedy � Check configuration 

A 2115 / A2116 

Alarm message Extension module SMX31 has a faulty logic address 



A 2121 / A 2122 

Alarm message Timeout receive message SMX31 (address 2) 

Cause Message from expansion module not received in time 

Remedy Check connection to expansion module 


Version: 24F - HB-37350-810-01-24F-EN


A 2125 / A 2126 

Alarm message CRC fault transmission message SMX31 (address 2) 


Remedy Check configuration of SMX31 serial number 

A 2131 

Alarm message Timeout communication with expansion module SMX31 (address 2) 

Cause Installation of expansion module faulty 

Remedy � Check connection to expansion module 

A 2133 

Alarm message Expansion module SMX31 (address 2) present, but not configured 



A 3031 / A 3032 

Alarm message Pulse1 plausibility fault on expansion inlet EAEx.1 

Cause Configured Pulse1 voltage not applied to this input. 

Remedy 

� Check the configuration of the digital input acc. to planning and 

circuit diagram 

� Check wiring 

A 3033 / A 3034 



Remedy 




A 3035 / A 3036 

Alarm message Faulty 24V signal on EAEx.1 

Cause No permanent 24V voltage applied to this input 

Remedy 

� Check the voltage on the digital input! 


� Check whether Pulse1 or Pulse2 is applied 

A 3037 / A 3038 



Remedy 





Version: 24F - HB-37350-810-01-24F-EN


A 3039 / A 3040 



Remedy 




A 3041 / A 3042 



Remedy 




A 3043 / A 3044 



Remedy 




A 3045 / A 3046 



Remedy 




A 3047 / A 3048 



Remedy 




A 3049 / A 3050 



Remedy 




A 3051 / A 3052 



Remedy 





Version: 24F - HB-37350-810-01-24F-EN


A 3053 / A 3054 



Remedy 




A 3055 / A 3056 



Remedy 




A 3057 / A 3058 



Remedy 




A 3059 / A 3060 



Remedy 




A 3061 / A 3062 



Remedy 




A 3063 / A 3064 



Remedy 




A 3065 / A 3066 

Alarm message Fauklty 24V signal on EAEx.6 


Remedy 


� Check the wiring! 



Version: 24F - HB-37350-810-01-24F-EN


A 3067 / A 3068 



Remedy 




A 3069 / A 3070 



Remedy 




A 3071 / A 3072 



Remedy 




A 3073 / A 3074 



Remedy 




A 3075 / A 3076 



Remedy 




A 3077 / A 3078 



Remedy 




A 3079 / A 3080 



Remedy 





Version: 24F - HB-37350-810-01-24F-EN


A 3081 / A 3082 



Remedy 




A 3083 / A 3084 



Remedy 




A 3085 / A 3086 



Remedy 




A 3087 / A 3088 



Remedy 




A 3089 / A 3090 



Remedy 




A 3101 / A 3102 

Alarm message Pulse1 plausibility fault on input DI1 


Remedy 




A 3103 / A 3104 



Remedy 





Version: 24F - HB-37350-810-01-24F-EN


A 3105 / A 3106 



Remedy 




A 3107 / A 3108 



Remedy 




A 3109 / A 3110 



Remedy 




A 3111 / A 3112 



Remedy 




A 3113 / A 3114 



Remedy 




A 3115 / A 3116 



Remedy 




A 3117 / A 3118 


Cause No Pulse2 voltage applied to this input 

Remedy 





Version: 24F - HB-37350-810-01-24F-EN


A 3119 / A 3120 



Remedy 




A 3121 / A 3122 



Remedy 




A 3123 / A 3124 



Remedy 




A 3125 / A 3126 



Remedy 




A 3127 / A 3128 



Remedy 




A 3129 / A 3130 



Remedy 




A 3131 / A 3132 



Remedy 





Version: 24F - HB-37350-810-01-24F-EN


A 3133 / A 3134 



Remedy 




A 3135 / A 3136 



Remedy 




A 3137 / A 3138 



Remedy 




A 3139 / A 3140 



Remedy 




A 3141 / A 3142 



Remedy 




A 3143 / A 3144 



Remedy 




A 3147 / A 3148 



Remedy 

� Check the configuration of the digital input DI9 acc. to planning 

and circuit diagram 



Version: 24F - HB-37350-810-01-24F-EN


A 3149 / A 3150 



Remedy 




A 3151 / A 3152 



Remedy 




A 3153 / A 3154 



Remedy 




A 3155 / A 3156 



Remedy 




A 3157 / A 3158 



Remedy 




A 3159 / A 3160 

Alarm message Faulty 24V signal on DI1 


Remedy 




A 3161 / A 3162 



Remedy 





Version: 24F - HB-37350-810-01-24F-EN


A 3163 / A 3164 



Remedy 




A 3165 / A 3166 



Remedy 




A 3167 / A 3168 



Remedy 




A 3169 / A 3170 



Remedy 




A 3171 / A 3172 



Remedy 




A 3173 / A 3174 



Remedy 




A 3175 / A 3176 



Remedy 





Version: 24F - HB-37350-810-01-24F-EN


A 3177 / A 3178 



Remedy 




A 3179 / A 3180 



Remedy 




A 3181 / A 3182 



Remedy 




A 3183 / A 3184 



Remedy 




A 3185 / A 3186 



Remedy 




A 3191 / A 3192 

Alarm message Short-circuit fault digital inPorts 

Cause Short circuit between the digital inPorts within a module 

Remedy Consult the manufacturer 

A 3197 / A 3198 

Alarm message Faulty OSSD input test 

Cause OSSD test faulty 

Remedy � 24V check the input voltage on all OSSD inputs 


Version: 24F - HB-37350-810-01-24F-EN


A 3209 / A 3210 

Fault message Encoder supply voltage X31 faulty. 

� Encoder supply voltage does not comply with configured 

Cause 

threshold 

� Component fault in module 

� Check configuration! 

Remedy 

� Check encoder supply voltage 

� Switch device off/on. 

A 3213 / A 3214 

Fault message Encoder supply voltage X32 faulty. 

� Encoder supply voltage does not comply with configured 

Cause 

threshold 

� Component fault in module 

� Check configuration! 

Remedy 

� Check encoder supply voltage 


A 3225 / A 3226 

Fault message Deviation Ain1 to AIn2 too big 

Cause 

� 

� 

Different voltages on both inputs 

configured threshold too low 

� Check voltages on Ain1! 

Remedy 

� Check configuration of threshold/input filter 


A 3227 / A 3228 

Fault message Deviation Ain3 to AIn4 too big 

Cause 

� 

� 

Different voltages on both inputs 

configured threshold too low 

� Check voltages on Ain1! 

Remedy 

� Check configuration of threshold/input filter 


A 3229 / A 3230 

Fault message Plausibility test for encoder voltage faulty 

Cause � Encoder voltage value 

Remedy 

� Check encoder voltage supply 

� Check wiring of encoder voltage supply 

A 3231 / A 3232 

Fault message Plausibility test for analog inputs faulty 

Cause � Fault in analog input signal 

Remedy 

� Check connection of analog inputs 

� Analog input voltage out of range 


Version: 24F - HB-37350-810-01-24F-EN


A 3233 / A 3234 

Fault message Open-circuit monitoring AIN1 has triggered 

Cause � Open-circuit monitoring activated (< 1000 mV) 

Remedy 

� Check configuration of activation/sensor 

� Check sensor connection 

A 3235 / A 3236 

Fault message Open-circuit monitoring AIN2 has triggered 

Cause � Open-circuit monitoring activated (< 1000 mV) 

Remedy 

� Check configuration of activation/sensor 

� Check sensor connection 

A 3301 / A 3302 

Alarm message Plausibility fault speed sensing axis 1 

The difference between the two speed sensors is higher than the 

Cause 

configured speed shut-down threshold 

Check the theory of the distance once again using the data set in the 

encoder configuration 

Remedy 

Check the speed sensor 

Use the SCOPE function to adjust superimposable speed signals 

A 3303 / A 3304 

Alarm message Plausibility fault position sensing axis 1 

The difference between the two position sensors is higher than the 

Cause 

configured incremental shut-down threshold 

Check the theory of the distance using the configured data or the 

sensor setting 

Check the position signal 

Remedy 

Are all signals correctly connected to the 9-pole encoder plug? 

Check the encoder plug for correct wiring. 

If proximity switches are used, these are correctly connected. 

Use the SCOPE function to adjust superimposable position signals 

A 3307 / A 3308 

Alarm message Plausibility fault position range axis 1 

Cause The current position is outside the configured measuring length 

Remedy 



Check the position signal, if necessary correct the offset 

Use the SCOPE function to read out the position and to set into 

relation to configured values 

A 3309 / A 3310 

Alarm message Plausibility fault because of faulty speed axis 1 

Cause The current speed is outside the configured maximum speed 

Remedy 

The drive moves outside the permissible and configured speed range 

Check configuration 

Use the SCOPE function to analyse the course of speed 


Version: 24F - HB-37350-810-01-24F-EN


A 3311 / A 3312 

Alarm message Configuration fault: Acceleration axis 1 

Cause The current acceleration is outside the configured acceleration range 

Remedy 

The drive has exceeded the permissible acceleration range 

Check the configuration of maximum speed 

Use the SCOPE function to analyse the course of speed/acceleration 

A 3313 / A 3314 

Fault message SSI sensor fault 

Cause � Encoder step change SSI-value within a cycle too big 

Remedy 

� Check encoder wiring 

� Check encoder configuration 

A 3318 

Fault message Incremental encoder axis 1 faulty 

Cause � Track A does not match track B 

Remedy 



A 3321 / A 3322 

Alarm message Plausibility fault speed sensing axis 2 

The difference between the two speed sensors is higher than the 

Cause 

configured speed shut-down threshold 

Check the theory of the distance once again using the data set in the 

encoder configuration 

Remedy 

Check the speed sensor 

Use the SCOPE function to adjust superimposable speed signals 

A 3323 / A 3324 

Alarm message Plausibility fault position sensing axis 2 

The difference between the two position sensors is higher than the 

Cause 

configured incremental shut-down threshold 



Check the position signal 

Remedy 

Are all signals correctly connected to the 9-pole encoder plug? 

Check the encoder plug for correct wiring. 

If proximity switches are used, these are correctly connected. 

Use the SCOPE function to adjust superimposable position signals 

A 3327 / A 3328 

Alarm message Plausibility fault position range axis 2 

Cause The current position is outside the configured measuring length 

Remedy 



Check the position signal, if necessary correct the offset 

Use the SCOPE function to read out the position and to set into 

relation to configured values 


Version: 24F - HB-37350-810-01-24F-EN


A 3329 / A 3330 

Alarm message Plausibility fault because of faulty speed axis 2 

Cause The current speed is outside the configured maximum speed 

Remedy 

The drive moves outside the permissible and configured speed range 


Use the SCOPE function to analyse the course of speed 

A 3331 / A 3332 

Alarm message Configuration fault: Acceleration axis 2 

Cause The current acceleration is outside the configured acceleration range 

Remedy 

The drive has exceeded the permissible acceleration range 

Check the configuration of maximum speed 

Use the SCOPE function to analyse the course of speed/acceleration 

A 3333 / A 3334 

Alarm message Plausibility fault of SinCos encoder 

Cause Wrong encoder type connected 

Remedy 


Check encoder assignment 

A 3337 / A3338 

Fault message Incremental encoder axis 2 faulty 

Cause � Track A does not match track B 

Remedy 

� 

� 

Check encoder wiring 

Check encoder configuration 

Alarm message 

A 3407 / A 3408 

Difference level RS485Treiber1 fault INC_B or SSI_CLK faulty 

Cause 

� No encoder connection 

Remedy 

� Wrong encoder type connected 

� Check encoder connection 


A 3409 / A 3410 

Alarm message Difference level RS485Treiber2 fault INC_A or SSI_DATA faulty 

Cause 

� 

� 

No encoder connection 

Wrong encoder type connected 

Remedy 

� 

� 

Check encoder connection 

Check encoder wiring 

A 3411 / A 3412 

Fault message Fault Sine/Cosine plausibility X31 

Cause � Plausibility monitoring of individual tracks faulty 

Remedy 


� Sine- to Cosine- track must be linear 


Version: 24F - HB-37350-810-01-24F-EN


A 3413 / A 3414 

Fault message Fault Sine/Cosine plausibility X32 

Cause � Plausibility monitoring of individual tracks faulty 

Remedy 


� Sine- to Cosine- track must be linear 

A 3451 / A 3452 

Alarm message Faulty resolver frequency 

Cause 

� Resolver frequency outside the permissible range. Exciter 

frequency fault in resolver. 

Remedy 

� Check the resolver frequency if it is within the permissible 

range. 

A 3453 / A3454 

Fault message 

Mean value of the resolver reference signal is outside the permissible 

range. 

Cause 

� Mean value of the resolver reference signal is outside the 

permissible range. 

Remedy � Check the connected resolver. 

A 3457 / A3458 

Fault message Reference voltasge of the extension board is faulty 

Cause � HW fault in the extension board 

Remedy � Check the extension board 

Fault message 

Cause 

Remedy 

Fault message 

Cause � Internal fault 

Remedy 

Fault message 

A 3459 / A3460 

The amplitude/pointer length formed from the two signals sine and 

cosine (see also unit circle) is outside the permissible range. 

� Incorrect encoder configuration 

� Incorrect resolver connection 

� Check the encoder configuration 

� Check the resolver connections 

A 3461 / A3462 

The PIC reports a general status fault, e.g. when setting up a 

connection or because a timeout occurred during processing. 

� Power cycle of the device 

� Check the extension board 

A 3463 / A3464 

Plausibility test between the analog sine signal abd the TTL-level at 

the Schmitt-trigger output do not match. 

Cause � Faulty encoder signals from the encoder 

Remedy 

� Check the encoder connection 

� Check the encoder signal 


Version: 24F - HB-37350-810-01-24F-EN


Fault message 

A 3465 / A3466 

The quotient of arithmetic mean value / square mean value is outside 

the permissible range. 

Cause � Faulty encoder signals from encoder 

Remedy 



A 3467 / A3468 

Fault message Connection setup between CPU and PIC failed. 

Cause � Faulty HW of the extension board 

Remedy � Check the extension board 

A 3469 / A3470 

Fault message Resolver_Quadrant 


Remedy 



A 3471 / A3472 

Fault message Resolver_UENC 

Cause � No voltage applied to the extension board 

Remedy 

� Check whether voltage is correctly applied to the terminals of the 

extension board. 

A 3473 / A3474 

Fault message TTL/HTL signal faulty 


Remedy 



A 3475 / A3476 

Fault message Resolver_TRACE Fault 

Cause � Counting signals of the encoder are incorrect 

Remedy 



� Check the extension board 

A 3505 / A 3506 

Fault message Read head fault WCS encoder system axis 1 

Cause � WCS read head has detected a fault 

Remedy � Read out fault types from WCS encoder system 

A 3507 / A 3508 

Fault message Read head fault WCS encoder system axis 1 

Cause � WCS read head has detected a fault 

Remedy � Read out fault types from WCS encoder system 


Version: 24F - HB-37350-810-01-24F-EN


A 3551 / A3552 

Fault message SSI_ECE STATUS 1. axis SSI Ext Encoder 

Cause � Evaluation of the 1st status bit is faulty 

Remedy 



� Replace the SSI-encoder 

A 3553 / A3554 


Cause � Evaluation of the 2nd status bit is faulty 

Remedy 




A 3555 / A3556 


Cause � Evaluation of the 3rd status bit is faulty 

Remedy 




A 3557 / A3558 


Cause � Evaluation of the 4th status bit is faulty 

Remedy 




A 3559 / A3560 



Remedy 




A 3561 / A3562 



Remedy 





Version: 24F - HB-37350-810-01-24F-EN


A 3563 / A3564 



Remedy 




A 3565 / A3566 



Remedy 




A 3567 / A3568 



Remedy 




A 3569 / A3570 




Remedy 



Fault message 

A 3571 / A3572 

SSI STATUS 1. axis SSI Encoder 


Remedy 




A 3573 / A3574 

Fault message SSI STATUS 1. axis SSI Encoder 


Remedy 




A 3575 / A3576 



Remedy 





Version: 24F - HB-37350-810-01-24F-EN


A 3577 / A3578 



Remedy 




A 3579 / A3580 



Remedy 




A 3801 / A3802 

Fault message Faulty switching of output EAAx.1 

Cause Short-circuit of outPort with "24V" or "0V" 

Remedy Switch device off/on 

A 3803 / A3804 




A 3805 / A3806 




A 3807 / A3808 




A 3809 / A3810 




A 3811 / A3812 





Version: 24F - HB-37350-810-01-24F-EN


A 3813 / A3814 




A 3815 / A3816 




A 3817 / A3818 




A 3819 / A3820 




A 4001 / A 4002 

Alarm message CCW and CW rotation monitoring SDI1 activated at the same time 

Cause Multiple activation 

Remedy 

In programming make sure that only one "Enable" is activated at a 

time 

A 4003 / A 4004 

Alarm message CCW and CW rotation monitoring SDI2 activated at the same time 


Remedy 


time 

A 4601 / A 4602 

Alarm message Monitoring range left and right of SLP1 activated at the same time 


Remedy 


time 

A 4603 / A 4604 

Alarm message Monitoring range left and right of SLP2 activated at the same time 


Remedy 


time 


Version: 24F - HB-37350-810-01-24F-EN


A 4605 / A 4606 

Alarm message SLP1 Teach In status fault 

Cause SET and QUIT input have a faulty switching sequence 

Remedy 

Check input configuration 


A 4607 / A 4608 

Alarm message SLP 2 Teach In status fault 

Cause SET and QUIT input have a faulty switching sequence 

Remedy 



A 4609 / A 4610 

Alarm message SLP1 Teach In position fault 

Cause Teach In position outside measuring range 

Remedy Check transfer position 

A 4611 / A 4612 

Alarm message SLP2 Teach In position fault 

Cause Teach In position outside measuring range 

Remedy Check transfer position 

A 4613 / A 4614 

Alarm message SLP1 Teach In SOS activation fault 

Cause The drive moved during Teach In (SOS fault) 

Remedy 

The drive must be stopped when using the Teach In function 

Check whether SOS has already triggered 

A 4615 / A 4616 

Alarm message SLP 2 Teach In SOS activation fault 

Cause The drive moved during Teach In (SOS fault) 

Remedy 

The drive must be stopped when using the Teach In function 

Check whether SOS has already triggered 

A 4901 / A 4902 

Alarm message CCW and CW rotation monitoring SLI1 activated at the same time 


Remedy 


time 

A 4903 / A 4904 

Alarm message CCW and CW rotation monitoring SLI2 activated at the same time 


Remedy 


time 


Version: 24F - HB-37350-810-01-24F-EN


A 5001 / A 5002 

Alarm message Test deactivation of digital inputs 1...14 faulty 

Cause Inputs are still active after deactivation 

Remedy � Check wiring of digital inputs 

A 6701 / A 6702 

Alarm message Timeout fault MET 

Cause Input element with time monitoring is faulty 

Remedy 

Check wiring of input element 

Input element faulty 

A 6703 / A 6704 

Alarm message Timeout fault MEZ 

Cause Two-hand control element with time monitoring is faulty 

Remedy 

11.3 Fatal Fault list Safety-M 

Check wiring of input element 

Input element faulty 

F 1001 

Fault message 

Configuration data were incorrectly loaded into the monitoring 

device 

Cause 

Disturbed connection when loading the program into the 

monitoring device. 

Remedy Reload the configuration data, then switch module off/on. 

F 1003 

Fault message Configuration data invalid for software version of module! 

Cause 

Module configured with incorrect software version of the 

programming desktop. 

Remedy 

Parameterize the module with the approved version of the 

programming desktop, the switch the module off/on. 

F 1007 

Fault message Device not programmed with the correct programming desktop 

Cause 

Program or configuration data transferred to the device using the 

wrong programming desktop 

Remedy 

Check the module design and parameterize again with a valid 

programming desktop. Then switch device off/on. 

F 1307 

Fault message Fault when deleting configuration data from the Flash Memory 

F 1311 / F1312 

Fault message Internal fault – please contact the manufacturer! 


Version: 24F - HB-37350-810-01-24F-EN


F 1314 


F 1330 


F 1401 / F 1402 


F 1403 / F 1404 

Fault message CRC of configuration data invalid! 

Cause Configuration data were incorrectly transferred 

Remedy Transfer the configuration data again 

F 1406 


F 1407 / F 1408 


F 1501 / F 1502 


F 1503 / F 1504 


F 1505 / F 1506 


F 1601 / F 1602 

Fault message Range test of device description is faulty. 

F 1603 / F 1604 

Fault message Range test of Access Data faulty 

F 1605 / F 1606 

Fault message Range test of EMU faulty 

F 1607 / F 1608 

Fault message Range test SCA faulty 


Version: 24F - HB-37350-810-01-24F-EN


F 1609 / F 1610 

Fault message Range test SSX faulty 

F 1611 / F 1612 

Fault message Range test SEL faulty 

F 1613 / F 1614 

Fault message Range test SLP faulty 

F 1615 / F 1616 

Fault message Range test SOS faulty 

F 1617 / F 1618 

Fault message Range test SLS faulty 

F 1619 / F 1620 

Fault message Range test SDI faulty 

F 1621 / F 1622 

Fault message Range test SLI faulty 

F 1623 / F 1624 

Fault message Range test of PLC faulty 

F 1625 / F 1626 

Fault message Range test of shut-down channel faulty 

F 1627 / F 1628 

Fault message Range test of outputs faulty 

F 1629 / F 1630 

Fault message Range test of digital inputs faulty. 

F 1631 / F 1632 

Fault message Range test of analog input 

F 1633 / F 1634 

Fault message Range test of encoder type faulty 


Version: 24F - HB-37350-810-01-24F-EN


F 1635 / F 1636 

Fault message Range test of encoder processing faulty 

F 1637 / F 1638 

Fault message Range test of encoder position faulty 

F 1639 / F 1640 

Fault message Range test of PDM faulty. 

F 1641 / F 1642 

Fault message Range test of adder circuitry faulty 

F 1645 / F 1646 

Fault message Range test of axis management faulty 

F 1647 / F 1648 

Fault message Range test of expansion modules faulty 

F 1649 / F 1650 

Fault message Range test of PLC timer faulty 

F 1651 / F 1652 

Fault message Range test of system faulty 

F 1653 / F 1654 

Fault message Range test connection table faulty 

F 1655 / F 1656 

Fault message Range test SAC faulty 

F 1657 / F 1658 

Fault message Range test of diagnose faulty 

F 2001 / F 2002 


F 2003 / F 2004 

Fault message Timeout when transmitting configuration and firmware data 


Version: 24F - HB-37350-810-01-24F-EN


F 2005 


F 2007 


F 2009 


F 2011 


F 2013 / F 2014 


F 3001 / F 3002 


F 3201 / F 3202 

Fault message Processor voltage 2.5V outside defined range 

Cause 

� 

� 

Supply voltage for module not correct! 

Component fault in module 

Remedy 

� 

� 

Check device supply voltage! 

Switch device off/on. 

F 3203 

Fault message Supply voltage 24V module faulty. 

Cause 

� 

� 



Remedy 

� 

� 



F 3204 

Fault message Internal supply voltage 5.7V faulty 

Cause 

� 

� 



Remedy 

� 

� 



F 3217 / F 3218 

Fault message Internal supply voltage 5V faulty 

Cause 

� 

� 



Remedy 

� 

� 




Version: 24F - HB-37350-810-01-24F-EN


F 3306 

Alarm message Plausibility fault position switching axis 1 

Cause 

During position switching SOS, SLI or SDI is permanently 

activated. 

� Check activation of SOS 

Remedy 

� Check activation of SLI 

� Activation of SDI (only for monitoring via position) 

F 3316 

Fault message Fault in encoder alignment axis 1 

Cause � Incorrect position triggering by system A 

Remedy 



F 3326 

Fault message Plausibility fault position switching axis 2 

Cause 

During position switching SOS, SLI or SDI is permanently 

activated. 

� Check activation of SOS 

Remedy 

� Check activation of SLI 

� Activation of SDI (only for monitoring via position) 

F 3336 

Fault message Fault in encoder alignment axis 2 

Cause � Incorrect position triggering by system A 

Remedy 



F 3603 / F 3604 

Fault message Faulty switching of relay K1 

Cause Internal triggering of relay faulty 


F 3605 / F 3606 

Fault message Faulty switching of relay K2 

Cause Internal triggering of relay faulty 


F 3609 

Fault message Faulty switching of "0V" driver DO1_L 

Cause Switching state of output faulty 



Version: 24F - HB-37350-810-01-24F-EN


F 3610 

Fault message Faulty switching of "24V" driver DO1_H 



F 3611 




F 3612 

Fault message Faulty switching of "24V" driver DO2_H 



F 3613 


Cause Short-circuit of outPort with "0V" 


F 3614 

Fault message Faulty testing of "24V" driver DO1_H 



F 3615 

Fault message Faulty testing of "0V" driver DO2_L 



F 3616 

Fault message Faulty testing of "24V" driver DO2_H 



F 3617 


F 3618 


F 3619 



Version: 24F - HB-37350-810-01-24F-EN


F 3620 


F 3621 


F 3622 


F 3701 / F 3702 


F 3821 




F 3823 




F 3825 




F 3827 




F 3829 




F 3831 





Version: 24F - HB-37350-810-01-24F-EN


F 3833 




F 3835 




F 3837 




F 3839 




F 3841 / F 3842 

Fault message Faulty testing of output EAAx.1 



F 3843 / F 3844 




F 3845 / F 3846 




F 3847 / F 3848 




F 3849 / F 3850 





Version: 24F - HB-37350-810-01-24F-EN


F 3851 / F 3852 




F 3853 / F 3854 




F 3855 / F 3856 




F 3857 / F 3858 




F 3859 / F 3860 




F 3872 


F 3874 


F 3892 


F 3894 


F 4501 / F 4502 

Alarm message Faulty calculation of SSX brake ramp 


Remedy 

� Check SSX configuration 

� Consult the manufacturer 


Version: 24F - HB-37350-810-01-24F-EN


F 4503 / F 4504 

Alarm message Faulty calculation of SSX limit curve 

Cause Faulty calculation of SSX limit curve 

Remedy 

� Check configuration 

� Consult the manufacturer 

F 6801 / F 6802 


F 6803 / F 6804 


F 6805 / F 6806 


F 6807 / F 6808 


F 6809 / F 6810 


F 6811 / F 6812 


F 6813 / F 6814 


F 8205 / F 8206 


F 8207 / F 8208 


F 8213 / F 8214 


F 8220 



Version: 24F - HB-37350-810-01-24F-EN


F 8221 / F 8222 


F 8223 / F 8224 


F 8225 


F 8227 


F 8228 


F 9001 / F 9002 


F 9007 / F 9008 


F 9009 / F 9010 


F 9011 / F 9012 


F 9013 / F 9014 


F 9015 / F 9016 


F 9017 / F 9018 



Version: 24F - HB-37350-810-01-24F-EN


12 Encoder types 

No. Type 

69 

Encoder to 

interface 

X31/32 

Type 

Encoder to 

interface 

X31/34 

NC NC 

Type 

Encoder to 

X 23 

1 x Bero 

+ 

1 x Bero 

Safe 

speed 

1 Incremental NC NC X 

51 Incremental Incremental NC X X 

3 Incremental NC 1 x Bero X 

Safe Safe 

direction position 



X 



encoder shaft connection required, if common 

elements are in use. 

1-channel 

partial 

system 

2-channel 

partial 

system 

dynamic 

2-channel 

partial 

system 

nondynamic 

(standstill 

monitoring) 

n.a. 99% 80-90% 



n.a. 99% 95% 

n.a. 99% 90-95% 

68 Incremental NC 2 x Bero 90° X X n.a. 99% 90-95% 

62 Incremental SIN/COS NC X X 

54 Incremental HTL NC X X 

n.a. 99% 99% 

n.a. 99% 90-95%


No. Type 

Encoder to 

interface 

X31/32 

Type 

Encoder to 

interface 

X31/34 

Type 

Encoder to 

X 23 

Safe 

speed 

Safe 

direction 

58 Incremental Resolver NC X X 

Safe 

position 

65 Incremental SSI NC X X X 


52 SIN/COS Incremental NC X X 




1-channel 

partial 

system 

2-channel 

partial 

system 

dynamic 

2-channel 

partial 

system 

nondynamic 

(standstill 

monitoring) 

n.a. 99% 99% 

n.a. 99% 90-95% 



n.a. 99% 95-99% 




59 SIN/COS Resolver NC X X 

n.a. 99% 95-99% 

n.a. 99% 99%


No. 

Type 

Encoder to 

interface 

X31/32 

Type 

Encoder to 

interface 

X31/34 

Type 

Encoder to 

X 23 

Safe 

speed 

Safe 

direction 

Safe 

position 




1-channel 

partial 

system 

2-channel 

partial 

system 

dynamic 

2-channel 

partial 

system 

nondynamic 

(standstill 

monitoring) 







57 NC Resolver NC X X 





n.a. 99% 90-95% 

n.a. 99% 95-99% 

n.a. 99% 95-99% 

n.a. 99% 90-95% 

90% 99% 90-95% 

90% 99% 90-95%


No. Type 

Encoder to 

interface 

X31/32 

Type 

Encoder to 

interface 

X31/34 

Type 

Encoder to 

X 23 

Safe 

speed 


Safe Safe 

direction position 







1-channel 

partial 

system 

2-channel 

partial 

system 

dynamic 

2-channel 

partial 

system 

nondynamic 

(standstill 

monitoring) 

60% 99% 80-90% 

n.a. 99% 90-95%


13 Switch types 

Type Graphic symbols Truth table Logic function Function block Function 

1 

Ö 

0 

A 

0 

LD E.1 

ST IE.X 

Normally open, only shown 

normally closed closed Öffner 

1 1 

2 

3 

4 

eSwitch_1o 

sSwitch_1s 

eSwitch_2o 

eSwitch_2oT 

t 

S A 

0 0 

1 1 

Ö1 Ö2 A 

0 0 0 

1 0 0 

0 1 0 

1 1 1 

Ö1 Ö2 A 

0 0 0 

1 0 0 

0 1 0 

1 1 1 

LD E.1 

ST IE.X 

LD E.1 

AND E.2 

ST IE.X 

LD E.1 

OR E.2 

ST META_EN.1 

LD E.1 

AND E.2 

ST METB_EN.1 

LD MET.1 

ST IE.X 

Time monitoring 

MET1..MET4 



Normally open, as type 1 

AND operation of both inputs 

Like 3, but with time monitoring 

of state changes. 

In case of signal changes at S 

or Ö a complementary signal 

must follow within a period of 

t=3 s. If not, detect fault and 

A=0 

max max. 3 s max max. 3 s 

Normally 

contact 

Output Ausgang 

Normally 

closed Öffner 

contact 


Normally 

Öffner 1 

closed 1 

Normally Öffner 2 

closed 2 


Normally 

Öffner 1 

closed 1 


closed 2 

Output Ausgang


Typ 

e 

5 

6 

7 

Graphic symbols Truth table Function 

eSwitch_1s1o 

eSwitch_1s1oT 

eSwitch_2s2o 

t 

S Ö A 

0 0 0 

1 0 0 

0 1 1 

1 1 0 

S Ö A 

0 0 0 

1 0 0 

0 1 1 

1 1 0 

S1 Ö 

1 

S2 Ö2 A 

1 0 1 0 0 

0 1 1 0 0 

0 1 0 1 1 

1 0 0 1 0 

LD E.1 

AND NOT E.2 

ST IE.X 

LD E.1 

OR NOT E.2 

ST META_EN.1 

LD E1 

AND NOT E2 

ST METB_EN.1 

LD MET.1 

ST IE.X 

LD E.1 

AND E.2 

AND NOT E.3 

ST IE.X 


MET1..MET4 



Monitoring for S=inactive and 

Ö=active 




or Ö a complementary signal 



A=0 

Monitoring for S1*S2=inactive 

and Ö1*Ö2=active 


Normally 


contact 

Normally 

Schließer 

open 

contact 

Ausgang 

Output 

Normally 

closed 

Öffner 

contact 

Normally 

Schließer 

open 

contact 

Ausgang 

Output 

Normally 

closed Öffner 1 

Normally 


Normally 

open Schließer 

contact 

Output Ausgang


Typ 

e 

8 

9 


eSwitch_2s2oT 

eSwitch_3o 

t 

S1 Ö 

1 

S2 Ö2 A 

1 0 1 0 0 

0 1 1 0 0 

0 1 0 1 1 

1 0 0 1 0 

Ö1 Ö2 Ö3 A 

0 0 0 0 

1 0 0 0 

0 1 0 0 

1 1 0 0 

1 1 1 1 

LD E.1 

OR E.2 

OR NOT E.3 

ST META_EN.1 

LD E.1 

AND E.2 

AND NOT E.3 

ST METB_EN.1 

LD MET.1 

ST IE.X 

LD E.1 

AND E.2 

AND E.3 

ST IE.X 


MET1..MET4 




Normally 




(Attention: Bus line) or Ö a 

Normally 

complementary signal must 


follow within a period of t=3 s. If 

not, detect fault and A=0 Normally 

Schließer 

AND operation of both inputs 


open 

contact 

Output 

Ausgang 

Normally 


Normally 


Normally 

Öffner 3 

closed 3 

Output Ausgang


10 

eSwitch_3oT 

t 

t 

Ö1 Ö2 Ö3 A 

0 0 0 0 

1 0 0 0 

0 1 0 0 

1 1 0 0 

1 1 1 1 

LD E.1 

OR E.2 

OR E.3 

ST META_EN.1 

LD E.1 

AND E.2 

AND E.3 

ST METB_EN.1 

LD MET.1 

ST IE.X 


MET1..MET4 





In case of signal change on one 

of the Ö-inputs the other inputs 



A=0 


Normally 


Normally 

Öffner 2 

closed 2 


closed 3 

Output Ausgang


Typ 

e 

11 

12 


eTwoHand_2o 

Ö S Ö S A 

1 1 2 2 

0 1 0 1 0 

1 0 0 1 0 

1 0 1 0 0 

0 1 0 1 1 

S1 S2 A 

1 0 0 

0 1 0 

0 0 0 

1 1 1 

LD NOT E.1 

OR E.2 

OR NOT E.3 

OR E.4 

ST MEZ_EN.1 

LD E.1 

AND NOT E2 

AND E3 

AND NOT E4 

ST MEZ_EN.2 

LD NOT E1 

AND E.2 

AND NOT E3 

AND E.4 

ST MEZ_EN.3 

LD MEZ.1 

ST IE.X 

LD E.1 

OR E.2 

ST MEZ_EN.1 

LD NOT E.1 

AND NOT E.2 

ST MEZ_EN.2 

LD E.1 

AND E.2 

ST MEZ_EN.3 

Two-hand 

operation 

MEZ 

Two-hand 

operation 

MEZ 



Monitoring for S1*S2=inactive 

and Ö1*Ö2=active + temporal 

monitoring of this status. This 

means that in case of a signal 

change of an S from 1->0 or Ö 

from 0->1, the other signals (i.e. 

further S=0 or Ö=1) must follow 

within a period of 0.5 s. If not, 

the output = 0. 

No interference evaluation! No 

temporal monitoring when 

changing to inactive state. 

Monitoring for S1*S2=inactive + 

temporal monitoring of this 

status. This means that in case 

of a signal change of one S from 

1->0 the other signal (i.e. 

another S=0) must follow within 

a period of 0.5 s. If not, the 

output = 0. 

No interference evaluation! No 

temporal monitoring when 

changing to inactive state. 

max. 0,5 s 

max. 0,5 s 

Normally 


Normally 

Öffner 2 

closed 2 


Normally 

open Schließer 1 1 

Normally 

open Schließer 2 2 

Output 

Ausgang


13 

14 

eTwoHand_2s 

eMode_1s1o 

eMode_3switch 

S1 S2 A A 

1 2 

1 0 1 0 

0 1 0 1 

0 0 0 0 

1 1 0 0 


1 2 3 

1 0 0 1 0 0 

0 1 0 0 1 0 

0 0 1 0 0 1 

1 1 0 0 0 0 

1 0 1 0 0 0 

0 1 1 0 0 0 

1 1 1 0 0 0 

0 0 0 0 0 0 

LD MEZ.1 

ST IE.X 

LD E.1 

AND NOT E.2 

ST IE.X 

LD NOT E.1 

AND E.2 

ST IE.X2 

LD E.1 

AND NOT E.2 

AND NOT E.3 

ST IE.X 

LDN E.1 

AND E2 

AND NOT E.3 

ST IE.X2 

LDN E.1 

AND NOT E.2 

AND E.3 

ST IE.X3 

Selector switch Clear linkage of permissible 

switch positions 

Selector switch Clear linkage of permissible 

switch positions 



Normally 


contact 

Normally 

Schließer 

open 

contact 

Output 

Ausgang 

Switch Schalter 1 



3 

Output Ausgang 1


14 Notes on designing, programming, validating and testing safety 

related applications 

The following notes describe the procedure for designing, programming, validating and testing 

safety related applications 

The information should help the user to classify, to easily understand and to use all steps from 

risk assessment all the way to the system test. For better understanding the respective 

subjects, the individual steps are explained by means of examples. 

14.1 Risk assessment 

The manufacturer of a machine must generally guarantee the safety of any machine designed 

or delivered by him. The assessment of safety must be based on the applicable and 

appropriate regulations and standards. Objective of the safety assessment and the measures 

derived from this must be the reduction of risks for persons down to an acceptable minimum. 

Risk limit 

Residual risk 

Safety 

Actual risk reduction 

Danger 

Risk 

Necessity of minimum 

risk reduction 

Risk without safety 

measures 

The risk analysis must account for all operating conditions of the machine, such as operation, 

setup work and maintenance or installation and decommissioning as well as predictable 

erroneous operation. 

The procedure required for the risk analysis and the measures for reducing such risks can be 

found in the applicable standards 

EN ISO 13849-1 Safety of machines 

EN ISO 61508 Functional safety of safety related e/e/p e systems 

. 

R60372.0002 | Installationshandbuch Safety-M (English) Page 179 of 208 

Version: 24F - HB-37350-810-01-24F-EN


Risk assessment as per EN ISO 13849-1 

Starting 

point 

Risk assessment as per EN ISO 61508 

Starting Startpunkt point 

Estimation Abschätzung of der risk 

minimization 

Risikominderung 

C A 

C B 

C C 

C D 

Low contribution to risk 

reduction 

High contribution 

to risk reduction 

C = C Risk = Risikoparameter parameters of the der effect Auswirkung 

F = 

F 

Risk 

= Risikoparameter 

parameters of the 

der 

frequency 

Häufigkeit 

of the 

und 

dwell 

Aufenthaltsdauer 

time 

P = Risk parameters of the possibility to avoid the dangerous incident 

W = 

P 

Probability 

= Risikoparameter 

of the undesired 

der Möglichkeit, 

event 

den gefährlichen Vorfall 

zu vermeiden 

W = Wahrscheinlichkeit des unerwünschten Ereignisses 

F A 

F B 

F A 

F B 

F A 

F B 

P A 

P B 

P A 

P B 

P A 

P B 

P A 

P B 

S – Severe physical injury 

S1 = minor, reversible injury 

S2 = severe, irreversible injury 

F – Frequency and/or duration of exposure 

to danger 

F1= rarely, not cyclic 

F2 = frequently up to permanent and/or long 

duration, cyclic operation 

P – Possibility to avoid the danger 

P1 = possible, slow movement / acceleration 

P2 = hardly possible, high acceleration in 

case of a fault 



x 1 

x 2 

x 3 

x 4 

x 5 

x 6 

W 3 

a 

1 

2 

3 

4 

b 

W 2 

--- 

a 

1 

2 

3 

4 

W 1 

--- 

--- 

- = --- no = safety keine Sicherheitsanforderung 

requirement 

a = a = No Keine special speziellen safety requirements 

Sicherheitsanforderungen 

b = b = a eine single einzelnes E /E /P E E/E/PES S is not ist sufficient nicht ausreichend 

1,2,3,4 1,2,3,4 = = Safety Sicherheits-Integritätslevel 

integrity level 

The risks to be examined can also be found in applicable regulations and standards, or must 

be considered separately by the manufacturer based on his specific knowledge of the 

machine. 

For machines sold within the EU the minimum risks to be examined are specified in the EU 

machine directive 2006/42/EU or in the latest version of this directive. 

Further information concerning the risk assessment and the safe design of machines can be 

found in the standards 

EN 14121 Safety of machines - risk assessment 

EN 12100 Safety of machines - basic terms, general design guidelines 

a 

1 

2 

3


Measures to be applied in order to reduce identified risks must at least be of the same level as 

the danger itself. The regulations and standards specified above contain examples of such 

measures and the associated requirements. 

14.2 Required technical documents 

The manufacturer is obliged to supply various technical documents. The minimum extent is 

also contained in the applicable regulations and standards. 

The EU machine directive, for example, requires the delivery of the following documents: 

Source BGIA Report 2/2008 

The documents must be easy to understand and should be written in the language of the 

corresponding country. 


Version: 24F - HB-37350-810-01-24F-EN


14.3 Necessary steps for draft, realization and testing 

The realization of plant sections with safety related function requires special attention in 

planning, realization and testing. Also for this the standards (see ISO 13849-2 or EN ISO 

61508) contain specific guidelines. The effort thereby is orientated on the complexity of the 

task for system components with safety related function. 

For the realization of such functions the Safety-M-series offers safety relevant control and 

monitoring functions to support the system architecture (architecture Cat. 4 acc. to EN ISO 

13849-1) and, above all, also the programming language and tested safety functions. 

Programming uses the form FUP (function plan oriented programming) recommended by the 

safety standards. It fully meets the requirements on the programming language with limited 

scope of languages (LVM) for the essential simplifications in documentation and testing. 

The individual steps in any case require careful planning and analysis of the methods and 

systems used. Furthermore, the individual steps must be documented in an understandable 

way. 

V-model (simplified) 

The implementation of safety related functions requires a structured approach, like the Vmodel 

that is exemplary described in applicable standards. The following shows an exemplary 

approach for applications with modules of the Safety-M-series. 

Specification Spezifikation of the der safety 

measures Sicherheitsmaßnahmen 

Specification Spezifikation of the des 

functional funktionalen safety system 


Specification Spezifikation of der the Software software / 

/ safety Sicherheitsfunktionen functions for the für 

functional das safety funktionale system 


Specification Spezifikation of der the Hardware 

hardware für das for funktionale the functional 

safety Sicherheitssystem 

system 

Hard and software design 

Hard- und Softwaredesign 

Testing Prüfung of correct der korrekten 

programming Programmierung and und 

parameterization 

Parametrierung durch 


Inspection Prüfung der of the Umsetzung 

implementation 

Software durch Analyse 

Software by FUP analysis 

FUP 

Inspection Prüfung of der the Umsetzung implementation 

Hardware by durch analysis Analyse 

System Anlagenaufbau structure / components / / 

circuitry Komponenten /Schaltung 

Overall Gesamtvalidierung validation of the der 

safety Sicherheitsmaßnahmen 

measures 

Testing Prüfung of des the funktionalen 

functional 

safety Sicherheitssystems system by means durch of 

FIT FIT (Fault (Fault Injection Injection Test) Test) 

Specification Spezifikation und and Validierung validation of 

all aller safety Sicherheitsmaßnahmen 

measures 

Funktionales Functional safety Sicherheitssystem 

system 

Specification Spezifikation and und testing Prüfung 

Functional Funktionales safety Sicherheitssystem 

system 

Specification Spezifikation and und testing Prüfung of 

the software der Software 

Specification Spezifikation and und testing Prüfung of 

hardware der Hardware incl. certification incl. Nachweis PI Pl 

Realization 

Realisierung 


Version: 24F - HB-37350-810-01-24F-EN


Phases of the V-model 

Designation Description 

Specification and 

validation of all 

passive and active 

safety measures. 

Specification of the 

functional safety 

systems 

Specification of 

software / safety 

functions 


hardware 

Hard and software 

design 

Design phase Validation phase 

Specification of all safety 

measures to be applied, such 

as covers, barriers, max. 

machine parameters, safety 

related functions, etc. 

Specification of the active 

safety systems and their 

assignment to the risks to be 

reduced, such as e.g. reduced 

speed in setup operation, stopmode, 

monitoring of access 

areas, etc. 

Specification of the PIr or the 

demanded SIL for each 

individual safety function 


functionality of individual safety 

functions incl. the definition of 

the shut-down circuit, etc. 

Definition of parameters for 

individual safety functions, 

such as e.g. max. speed, stop 

ramps and - categories, etc. 

Specification of the system 

structure and the functions of 

the individual sensors, 

command units, control 

components and actuators 

regarding their safety functions 

Actual planning and 

implementation of system 

structure / wiring. 

Actual implementation of 

safety functions by 

programming in FUP 

Testing of all passive and active 

safety measures for correct 

implementation and effectiveness. 

Testing of all active safety 

systems regarding effectiveness 

and compliance with specific 

parameters, such as e.g. 

erroneous increased speed, faulty 

stop, responding of monitoring 

facilities, etc. by means of 

practical tests 

Testing of correct implementation 

of specified functions by analysis 

FUP programming 

Validation of application programs 

and parameters by comparing the 

validation report with FUP or 

specifications for parameters 

Testing of the correct 

implementation of specifications. 

Determination of the failure 

probability or PI by means of 

analysis of the overall architecture 

and the characteristic data of all 

components involved, each 

related to the individual safety 

functions 

nil 


Version: 24F - HB-37350-810-01-24F-EN


14.3.1 Specification of safety requirements (structural schematic) 

The safety requirements must be individually analysed on the basis of applicable standards, 

e.g. product standard. 


Version: 24F - HB-37350-810-01-24F-EN



Version: 24F - HB-37350-810-01-24F-EN


Source General specification, excerpt from BGIA Report 2/2008 concerning EN ISO 13849-1 


Version: 24F - HB-37350-810-01-24F-EN


Example for an automatic handling machine: 


The automatic handling machine serves the purpose of automatically picking up truck cabins 

of different heights. After being picked up, the height of the cabin is correctly detected, so that 

within the working area the cabin cannot be lowered below a certain height. Within the working 

area the automatic machine must not exceed a maximum speed. Once the cabin has been 

completely finished, it is put down at the end of the processing line and the automatic handling 

machine moves along a return track back to the beginning of the track to pick up the next 

cabin. 

Limits of the machine: 

Spatial limits: The working area must provide sufficient space for the workers, so that they are 

able to carry out all necessary work on the cabin..... In the return pass there must be sufficient 

space for the empty suspension gear of the automatic handler... 

Temporal limits: Description of lifetime, description of ageing processes, which could cause 

changes of machine parameters, (e.g. brakes). Monitoring mechanisms must be implemented 

for such cases. 

Limits of use: The automatic machine automatically fetches new cabins and moves these 

through a processing area. Workers work in the processing area .... etc. 

The following operating modes are intended: Setup operation, automatic operation and service 

operation ... etc. 

Identification of dangers: 

The following dangers are of relevance with the automatic handling machine: 

Danger 1: Crushing by cabin / lifting beam falling down 

Danger 2: Impact by moving cabin / lifting beam 

Danger 3: Crushing by too fast lowering of the cabin in case of a fault 

Danger 4:.............. 

Risk analysis: 

G1: The weight of cabin and lifting beam is so high, that it will cause irreversible crushing or 

even fatalities. 

G2: The moving cabin/lifting beam may cause impacts that can lead to irreversible injuries. 

G3: …. 

Risk assessment 

A risk reduction is required under due consideration of all operating conditions. 

Inherently (risk from the project) safe design 

Movement of the cabin in direction x and y within the working area cannot be avoided. In the 

processing area the cabin must be moved up/down ... 

The following measures can be applied: 

Avoid dangers caused by too fast movements 

Avoid dangers caused by too small distances 

……. 


Version: 24F - HB-37350-810-01-24F-EN


Example for a risk analysis: 

Risk analysis 


Version: 24F - HB-37350-810-01-24F-EN


14.3.2 Specification of the functional safety system 

Derived from the general danger and risk analysis for the machine, the active safety functions 

must be identified and specified. 

Active safety functions are, e.g. safely reduced speed under certain system conditions, 

monitored stop and standstill functions, area monitoring facilities, processing of monitoring 

facilities like light grid, switching mats, etc. 

The safety functions must each be delimited and the specific requirements in function and 

safety level must be defined. 

14.3.2.1 Definition of safety functions 

The definition of the safety function must: 

specify the risk to be covered 

describe the exact function 

list all sensors, command equipment involved 

specify the control units 

designate the shut-down circuit mentioned. 

The definition should serve as basis for the specification of the hardware and software design. 

For each of the safety functions defined this way one may need to determine parameters to be 

used, like e.g. max. system speed in setup operation, etc. 

Examples for safety functions: 

SF1: STO (safely switched off torque) to protect against safe starting 

SF2: Safe speeds 

SF3: Safe positions 

SF4.:…… 

14.3.2.2 Required performance level (PLr) (additional emergency stop) 

The required performance level must now be determined on basis of the safety functions 

SF1.... recognized above. The example below shows the decision path. 

Example for SF1: Result PF = d (source Sistema) 


Version: 24F - HB-37350-810-01-24F-EN

Cons 

.-No. 


14.3.2.3 Example – Specification of safety functions in form of a table 

Safety function Ref 

fro 

m 

GFA 

1.1 Limitation of max. 

travel speed to 

limitation of the 

maximum speed 


travel speed in working 

area of workers 

Monitoring of the 

maximum speed to < 

0.33 m/s 


travel speed in setup 

operation 


maximum speed to < 

0.07 m/s 

1.4 Collision protection of 

carriage 


distances between 

carriages for minimum 

distance by means of 

redundant laser 

distance measurement 

1.6.1 Monitoring of carriage 

sensor system 

Muting management of 

the two carriage 

sensors 

Plr Measuring 

value /sensor 

2.3 e 1 x WCS 

absolute 

encoder 

1 x Incremental 

encoder on 

motor / drive 

wheel 

2.4 e 1 x WCS 

absolute 

encoder 


encoder on 

motor / drive 

wheel 

3.1 d 1 x WCS 

absolute 

encoder 


encoder on 

motor / drive 

wheel 

2.5 d 2 x Laser 

distance 

measuring 

facilities 

5.1 e 1 x WCS 

absolute 

encoder 


encoder on 

motor / drive 

wheel 

Implementation of 

software 

Monitoring by means of 

tested safety function 

SLS for fixed limits 







Monitoring of distances 

by means of tested SAC 

function. 

The analog distance 

measurements are 

reciprocally compared 

for max. tolerance ( 

diagnose of analog 

sensor) 

M´monitored for 

minimum value (SAC 

function) 

Min distance value 25% 

of the max. value of the 

measuring device. 

Muting of diagnoses for 

both carriage sensors by 

means of tested SCA 

function 

Muting is started before 

each gap, a faulty 

encoder value will be 

temporarily suppressed. 

Within the gap an 

encoder value outside 2 

to 160000mm will cause 

muting. 

Nominal 

parameters 

550mm/s 

Fault 

distance 

monitoring 

200mm 

60 mm/s 

Fault 

distance 

monitoring 

200mm 

70mm/s 

Fault 

distance 

monitoring 

200mm 

Input/activation Response/ 

output 

Permanently 

Reset: 

Acknowledgement 

button 

Identification of 

worker's work area 

via position of 

carriage AND NOT 

Setup 

Reset: 




button 

Operating mode 

Setup AND button 

"Bridge safety" 

Reset: 


button 

Carriage inside 

worker's working 

range 

Reset: 


button 

Pos 1 

(7626 - 7850) 

Pos 2 

(11030-1263) 

Pos 3 

(75134-5338) 

Pos 4 

(145562-145622) 

Pos 5 

(143935-143995) 

Pos 6 

(80000-80060) 

Operation 

stop 

SF 1.7.1 

SF 1.7.1 

SF 1.7.1 

SF 1.7.1 

SF 1.6.2


14.3.3 Software specification 

The software specification refers to the previous specification of the safety functions. It can 

also be replaced by a correspondingly worked out specification of the safety functions, as far 

as this contains all specifications (see example under 14.3.2.3). 

However, it is recommended to prepare an extracted list. This list should contain the following 

data: 

Designation of safety function 

Description of function 

Parameters, as far as available 

Triggering event / operating status 

Response / output 

The specification in detail should be suitable for later validation of the programming. 


Version: 24F - HB-37350-810-01-24F-EN


Example of software specification 

Con 

s.- 

No. 

Safety function Plr Measuring 

value /sensor 

1.4 Monitoring V_Rope to 

V_Nominal 

Monitoring of differences 

between speed of main 

drive and rope drive for 

maximum value 

1.6 Backstop 

Monitoring for reversing 

1.15 Step-by-step shut-down 3 

Activation of the safety 

brake 

d Digital 

incremental 

encoder, 

tachometer 

generator rope 

sheave 

d Mechanical limit 

switch 22S2 

e - 

Digital 

incremental 

encoder 

1.8 Standstill functional d Digital 

incremental 

encoder 

1.9 direction monitoring e Digital 

incremental 

encoder, 



Solution new Input/activation Response/output 

Monitoring by means of tested 

function SLS + SAC with comparison 

of speed ranges /analog value 

ranges = comparison for diagnose of 

the speed detection 

Shut-down dual-channel new (see 

below) 


function direction monitoring SDI 

Permanently 

Reset: 


button 

EMERGENCY 

(auxiliary contact 

28K4 – reversing) 

Reset: 


button 

Processing of SF in Safe PLC SF 1.2 

SF 1.3.2 

SF 1.7 

Standstill monitoring by means of 

tested function SOS 


function direction monitoring SDI 

SF 1.8 

Regulator lock 

OR 

Set service brake 

28K1 = FORW. 

28K2 = BACK 

= safe


14.3.4 Hardware specification 

The hardware specification should describe the entire system design and, in particular, the 

components used with their specific characteristic data. The hardware specification serves as 

basis for the determination of the achieved safety level based on the architecture and the 

characteristic data of all devices involved in a safety function. 

Furthermore, the hardware specification should also specify the design measures applied for 

protecting against systematic and common cause faults. 

14.3.4.1 Selection of SRP/CS and operating means 

The selection of SRP/CS (Safety related parts of control system) is most suitable to achieve 

the intended safety level and should be made for any safety function. The components with 

safety relevant function must be designated in a total overview of the system structure and are 

to be assigned to the individual safety functions. The safety related code numbers must be 

determined for these components. 

The code numbers cover the following values: 

MTTFd = mean time to failure, the mean time until a danger imposing failure) 

DC avg = Mean diagnostic coverage 

CCF = common cause failure, a failure caused on a common cause 

For an SRP/CS both the software and systematic faults must be taken into consideration. 

An analysis of of the SRP/CS participating in the safety function must generally be performed 

in accordance with the schematic Sensor / PES / Actuator. 

Sensor PES Actuator 

Aktuator 


Version: 24F - HB-37350-810-01-24F-EN


14.3.4.2 Example for hardware specification 

Safety function 

Safely reduced speed SF 2.2 Safely monitored limited speed with door open 

Type Designation Function Design Characteristic data Note 

. Archite MTTFD PFH B10d Source DC Source 

cture [Years] [1/h] 

[%] 

Sensor Sensor 1 Door lock – Monitoring of the A 3.1 4 10000 Data 99 Inst. 

access door 

0 sheet 

manual 

op. 

Safety-M 

Sensor 2.1 Incremental encoder – Motor G 1.1 4 30 Gen. 99 Inst. Cat. 4 in 

feedback 

specifica manual connectio 

SIN/COS 

tion 

op. n with 

Safety-M selection 

Safety-M 

PES Safety PLC Central safety PLC for control and A 4.1 1,4 

Data 

evaluation of safety relevant 

E-8 

sheet 

functions 

Safety-M 

Actuator STO Safe Torque Off on inverter A 5.1 4 150 Data 99 Inst. Cat. 4 in 

sheet 

manual connectio 

inverter op. n with 

Safety-M dualchannel 

Mains Contactor in mains line of inverter K 5.1 4 20 E6 Data 99 Inst. Cat. 4 in 

contactor 

sheet 

manual connectio 

contacto op. n with 

r 

Safety-M dualchannel 


Version: 24F - HB-37350-810-01-24F-EN


14.3.4.3 Consideration of systematic failures 

Within the hardware specification one must also consider systematic failures. 

Examples for measures against systematic failures: 

Power drop during operation. If this causes a danger, a power drop must be considered 

a operating status. The SRP/CD must be able to cope with this condition, so that a safe state 

is maintained. 

Measures against systematic failures acc. to appendix G DIN EN ISO 13849-9 

Causes of systematic 

failures 

Before commissioning, e.g.: 

- Manufacturing faults 

- Fault in development (incorrect 

selection, incorrect 

dimensioning, faulty software) 

- Fault in integration (incorrect 

selection, faulty wiring) 

after commissioning, e.g.: 

- Power failure/fluctuations 

- environmental influences 

- Wear, overloading 

- Faulty maintenance 

Source BGIA Report 2/2008 

Measures for the avoidance of failures 

Appropriate materials and suitable manufacture 

Correct dimensioning and design of shape 

Correct selection, arrangement, assembly, installation 

Component with compatible operating characteristics 

INTEGRATION: 

additionally: 

Resistance against determined environmental conditions 

Component in accordance with standard with defined types of failure 

Function test 

Black-Box test 

Principle of power supply shut-down 

Project management, documentation 

Measures for the control of failures 

Draft for the control of voltage related influences 

Draft for the control of environment related influences 

Monitoring of program run (in case of software) 

"Secure" data communication processes (bus systems) 

Automatic testing 

additionally: Redundant hardware/hardware diversity 

Desmodromic operation mode 

Contacts with positive guidance/ with forced 

opening 

Directed failures 

Over-dimensioning 

Fault exclusions 

If fault exclusions are made for certain devices or system components, these must be 

individually nominated and specified. 

Fault exclusions may be e.g. mech. shaft breakage, sticking of switching contacts, shortcircuits 

in cables and lines, etc. 

The permissibility of fault exclusions must be justified, e.g. by referencing to permissible fault 

exclusions acc. to applicable standards, e.g. EN ISO 13849-1) 

If these fault exclusions require special measures, these must be mentioned. 

Examples for fault exclusions and associated measures: 

� Positive connection for mechanical shaft connections 

� Dimensioning based on sufficient theoretical bases in case of breakage of components in 

the safety chain. 

� Positively guided connection with forced separation in case of sticking of switching 

contacts. 

� Protected routing within switchgear in case of short-circuit in cables and lines, as well as 

routing of cables in cable ducts – especially for use in elevator technology acc. to EN81. 


Version: 24F - HB-37350-810-01-24F-EN


14.3.5 Hard and software design 

The performance targets from the hardware and software specification are implemented in 

the actual system design. 

The performance targets for the components to be used and their wiring from the hardware 

specification must also be met, the same applies for the performance targets for fault 

exclusions. Both must be achieved and documented with appropriate means. 

In the software one must also account for and completely implement the targets from the 

software specification. 

Furthermore one must consider the superimposed targets placed on the software by safety 

related programming. These are among others: 

Modular and clear program structure 

Assignment of functions to the safety functions 

Understandable representation functions by: 

Unambiguous designations 

Understandable comments 

Use of tested functions / function modules, as far as this is possible 

Defensive programming 

14.3.6 Testing of the hardware design 

After completing the planning the hardware design must be examined for compliance with 

the targets from the hardware specification. 

Furthermore, one must check the compliance with the specified safety level for each safety 

function by using suitable analyses. The analysis methods have been described in applicable 

standards (e.g. EN 13849-1). 

Analysis of wiring diagram 

Compliance with the targets set under safety related aspects can be checked by means of 

the wiring diagram and the bill of materials. The following must be checked in particular: 

the correct wiring of components as specified, 

the dual-channel structure, as far as specified 

the non-reactivity of parallel, redundant channels. 

The use of components as specified 

The checks should be made by understandable analysis. 

14.3.6.1 Iterative testing of the achieved safety level 

The achieved safety level must be determined by means of the circuit structure 

(= architecture single-channel ( dual-channel / with or without diagnose), the characteristic 

device data (manufacturer's data or appropriate sources) and the diagnostic coverage 

(manufacturer's data PES or general sources). Appropriate measures can be taken from the 

underlying safety standard. 


Version: 24F - HB-37350-810-01-24F-EN


A calculation acc. to EN ISO 13849-1 shall serve as an example: 

Safety function: 

Safely reduced speed with access door open 

Structural diagram: 

Sensor 

SA 

SB 

Single channel partial system 

Dual-channel Eink. Teilsyst. partial Zweik. system Teilsyst. 

Mech. Mech.+ + 

Send Sendeopt. opt. 

Track Spur A 

Track Spur B 

IA 

IB 

IA 

IB 

im 

im 

im 

im 

Sensor 

PES Aktuator Actuator Aktuator 

Safety related structural diagram: 

Türzuhaltung 

Door closer 

Speed Geschw. 

Sensor 

LA 

c 

LB 

LA 

c 

LB 

m 

i 

m 

i 



OA 

OB 

PES 

K1 

STO 

Inverter Umrichter 

Contactor Schütz 

STO/ 

Umrichter inverter


Calculation acc. to EN 13849-1: 

Channel A – shut-down via mains contactor: 

Component MTTFD [years] DC 

Door closer 

SIN/COS 

encoder: 

PES 

Mains 

contactor 

B10d = 100000 

Nop = 30/AT = 10000/year(309 AT/year) 

MTTFD_SinCos = 30 years 

PFH = 1.4 * 10-8 

B10d = 20 * 106 




DCPES = 99% 

DCPES = 60% 


Version: 24F - HB-37350-810-01-24F-EN


Channel B – shut-down via STO/inverter: 

Component MTTFD [years] DC 

Door closer 

SIN/COS 

encoder: 

PES 

STO/ inverter 

B10d = 100000 


MTTFD_SinCos = 30 years 

PFH = 1.4 * 10-8 

Resulting PI for both channels: 

Symmetry of both 

channels: 

DC mean value 

Pl 

MTTFD_STO = 150 years 

MTTFD_STO = 27 years = average 

DC avg = 98 % = average 

Pl =“d“ ( rom EN ISO 13849-1, tables 5, 6 and 7) 



DCPES = 99% 

DCPES = 90% 

In this case the B10d value of the door monitoring feature is is determining 

for PI. If an even higher safety level is to be reached a correspondingly 

higher qualitative switch is to be used. 

Note: 

The PI can also be determined with the program tool "Sistema" from BGIA. 


Version: 24F - HB-37350-810-01-24F-EN


14.3.7 Verification software(program) and parameters 

Verification takes place in two steps. 

Checking the FUP with respect to the specified functionality. 

Checking the FUP against the AWL-listing of the validation report, or the default parameters 

against the one listed in the validation report. 

14.3.7.1 Checking FUP 

The programmed FUP must be compared with the defaults in the specification. 

Note: 

The comparison is all the more efficient the more clearly the programming has been 

structured with respect to the safety functions. 

Example: 


1.1 Limitation of the max. travel speed of the carriage to 1.1 VMax 

Monitoring of the maximum speed to < 1.1 VMax 

FW Max Speed OK (ID 548) (is bridged by available gap): 

FW Max Speed is permanently activated and responds when a speed of 550 mm/s is 

exceeded. 

Axis: 1 

Lock Feh 


Limitation of max. travel speed in carriage in the worker's area: 

Monitoring of the maximum speed to < 0.33 m/s 

Safe Speed OK (ID 2124) (is bridged by available gap): 

Safe Speed OK responds when the the safe speed SLS (ID 2090) is exceeded in the 

worker's area and during setup work. 

Setup 

Parameter SLS Safe Speed: 

60 mm/s, no further parameters 


1.7.3 Carriage shut.down 

Shut down of travel system and deactivation of brakes 

Shut down on carriage 



Axis: 1


Gap available Emergency stop 

The carriage is switched off via two outputs (EAA1.5 ID 257 and 1.6 ID 261). 

The brakes are released via two outputs (EAA1.3 ID 253 and 1.4 ID 249). 

The PLC receives a message concerning bit 50 (ID 600) 

In case of an emergency stop the shut-down takes place immediately. 

Lift 

Safety function 

Emergency stop switch inputs and shut-down outputs. 

1.1 Emergency stop head control 

Dual-channel emergency stop with pulse monitoring 

If an emergency stop is triggered at the imposed control, this emergency stop can be 

bridgedif the approval 'Bridge safety' has been issued. 

Emergency stop button head control 

Emergency 

stop 111 

head Normally closed contact 

Normally closed contact 

Release 

brake 

Release 

brake 

Safety-M-EX2 - Inputs 

Occupied I/O:26 

Free I(O 

Digital inputs 

Measuring dustance 

Emergency stop contacts from emergency stop relay with pulsing from the Safety-M 


Version: 24F - HB-37350-810-01-24F-EN


14.3.7.2 Validation of FUP against AWL and parameters by means of validation 

report. 

The programming that took place in the FUP must be compared with the AWL-listing of the 

validation report. 

Example AWL-listing in validation report 

Validation report 

OLC-program 

Name: 

Index Command Operand validated 

1 S1 SLI_EN.1 

2 S1 SLI_EN.2 

3 S1 SLI_EN.3 

4 S1 SCA_EN.1 

5 S1 SCA_EN.2 

6 S1 SCA_EN.3 

7 S1 SLS_EN.2 

8 S1 SCA_EN.4 

9 S1 SLS_EN.3 



12 SQH 

13 LD E0.1 

14 ST MX.2 

15 SQC 

16 SQH 

17 LD E0.3 

18 AND E0.4 

19 ST MX.3 

20 SQC 

Step-by-step testing is recommended. The test all the batter, the more structured the 

programming in FUP has been made. 


Version: 24F - HB-37350-810-01-24F-EN


After checking the program one must also check the parameters against the targets set in 

the specifications by means of comparison. 

Example SLS: 



Index Parameters Value validated 

SLS - 

0 Chosen axis: 1 

Speed threshold: 2 0 

SLS - 



SLS - 



Acceleration threshold 2 0 

SLS - 



Assigned SSX-ramp 0 


Version: 24F - HB-37350-810-01-24F-EN


Example encoder configuration: 


Axis configuration / sensor interface 

Axis 1 

General parameters 

Measuring distance: 500 0 

Type: Rotational 

No 

Position processing: Active 

Maximum speed: 2000 0 

Incremental shut-down: 10000 0 

Shut-down speed: 100 0 

Sensors 0 0 

Type: SSI-standard SSI-standard 

Format: Binary Binary 

Direction of rotation: Ascending Ascending 

Supply voltage: 0 0 

Resolution: 1024 Steps/1000mm 64 Steps/1000mm 

Offset: 0 Steps 0 Steps 

General parameters correctly configured 

Parameter sensor 1 correct 

Parameter sensor 2 correct 


Version: 24F - HB-37350-810-01-24F-EN


14.3.8 Performance of the system test / FIT (fault injection test) 

For the FIT the manufacturer must prepare a complete list of the functions to be tested. This 

list includes the defined safety functions as well as the fault test for checking the right 

response of the SRP/CS to this fault 

Example test list: 

No Setup Test Result 

1 Test SLS for max. speed in setup operation 

Activate setup operation 

Travel with maximally 

allowed speed 

2 Test SSX for Stop-category 2 

Travel with max. speed 

Actuate the emergency 

stop 

3 Test of the dual-channel door monitoring 

Select operating mode for 

setup operation 

- Diagnose of the actual 

speed versus the SLS limit 

- Manipulation of the setup 

speed beyond the permitted 

reduced speed 

- Diagnose of the SSX-ramp 

against the actual 

deceleration ramp 

- Setting an impermissible 

weak deceleration 

- Moving the axis after 

standstill is reached by 

manipulating the drive 

Diagnose of inactive 

monitoring with door closed 

(using diagnostics function 

FUP) 

Diagnose of active 

monitoring with door open 

(using diagnostics function 

FUP) 

Disconnecting one channel 

and opening the door 

Generate cross-shorting 

between both inputs 


Version: 24F - HB-37350-810-01-24F-EN


Appendix 

Appendix A – Classification of switch types 

General note: 

The individual switches of the following input elements can be assigned to the digital inputs 

DI1 to DI8 as desired. 

Enable switch 

Switch type Comment 

Classification PI acc. Classification SIL acc. 

to EN ISO 13849-1 to EN 61508 

1 normally closed Enable switch standard Pl d SIL 2 

1 normally open Enable switch standard Pl d SIL 2 

2 normally closed Enable switch higher 

requirements 

Pl e SIL 3 

2 normally closed 

time monitored 

Enable switch monitored Pl e SIL 3 

Emergency Stop 

Switch type Comment Classification 

category 

Classification SIL 

1 normally closed Emergency Stop 

standard 

Pl d 1) SIL 2 

2 normally closed Emergency stop higher 

requirements 

Pl e SIL 3 

2 normally closed time Emergency Stop 

Pl e SIL 3 

monitored 

monitored 

1) Fault exclusions and boundary conditions acc. to EN 13849-2 must be observed! 

Door monitoring 


category 


2 normally closed Door monitoring higher 

requirements 

Pl e SIL 3 



Door monitoring monitored Pl e SIL 3 

1 normally open + 1 Door monitoring higher 

Pl e SIL 3 

normally closed requirements 

1 normally open + 1 

normally closed time 

monitored 

Door monitoring monitored SIL 3 

2 normally open + 2 Door monitoring higher 

Pl e SIL 3 




monitored 


3 normally closed Door monitoring higher 

requirements 

Pl e SIL 3 





Version: 24F - HB-37350-810-01-24F-EN


Two-hand button 


category 


2 two-way switch Two-hand button higher 

requirements 

Type III C Pl e SIL3 

2 normally open Two-hand button 

monitored 

Type III A Pl e SIL1 

Note: With these inPort elements a fixed pulse assignment takes place, which cannot be 

influenced by the user! 

Light curtain 


category 


2 normally closed Light curtain higher 

requirements 

Pl e SIL 3 

2 normally closed time Light curtain monitored 

monitored 

Pl e SIL 3 

1 normally open + 1 Light curtain higher 

Pl e SIL 3 




monitored 

Light curtain monitored Pl e SIL 3 

Mode selector switch 


category 


2 positions Mode selector switch 

monitored 

Pl e SIL 3 

3 positions Mode selector switch 

monitored 

Pl e SIL 3 

Safety note: When changing the status of the switch the SafePLC program to be created 

must ensure that the outPorts of the module are deactivated (note: Standard 60204-Part1- 

Paragraph 9.2.3). 

Sensor 


category 


1 normally closed Sensor input standard Pl d SIL 2 

1 normally open Sensor input standard Pl d SIL 2 

2 normally closed Sensor input higher 

requirements 

Pl e SIL 3 

2 normally closed time Sensor input monitored 

monitored 

Pl e SIL 3 

1 normally open + 1 Sensor input higher 

Pl e SIL 3 




monitored 

Sensor input monitored Pl e SIL 3 


Version: 24F - HB-37350-810-01-24F-EN


Start / reset element 


category 


1 normally open Alarm reset standard 

(evaluation of edge) 

-- -- 

1 normally open Logic reset standard Pl d SIL 2 

1 normally open Start monitoring standard 

(optional function) 

-- -- 

Note: 

The alarm reset input can be operated with 24V continuous voltage and is edge triggered. 


Version: 24F - HB-37350-810-01-24F-EN

EG-Konformitätserklärung für Sicherheitsbauteile 

Declaration of EC-Conformity for Safety Components 

Produkt/Product: Safety-M Module 

Type: Safety-MS1, Safety-MSP1, Safety-MS2, Safety-MSP2 

Hersteller: Fritz Kübler GmbH, Zähl- und Sensortechnik 

Manufacturer: Schubertstraße 47, D-78054 Villingen-Schwenningen 

Das bezeichnete Produkt stimmt mit den aufgeführten Europäischen Richtlinie überein. 

Die Übereinstimmung des bezeichneten Produktes mit den Vorschriften der Richtlinie wird 

nachgewiesen durch die Einhaltung der aufgeführten Normen. 

We herewith confirm that the above mentioned product meets the requirements of the listed european 

standard. 

The correspondance of the above mentioned product with these requirements is proved by the fact that these 

products meet with the listed single standards. 

Beschreibung der Funktion: 

Modulare, frei programmierbare Sicherheitssteuerung zur Überwachung von Antriebssystemen 

geeignet bis SIL 3 IEC 61508, bzw. Pl e nach EN ISO 13849 


Modular, freely programmable safety control for monitoring drive systems suitable up to SIL 3 IEC 61508, or 

Pl e acc. to EN ISO 13849 

Für das Sicherheitsbauteil wurde eine EG-Baumusterprüfung durch den TÜV Rheinland Industrie 

Service GmbH durchgeführt. 

For the safety component an EC Pattern Evaluation Test by the TÜV Rhineland Industry Service GmbH was 

carried out 

Reg.-No. 01/205/5186/12 

EG-Richtlinie Norm 

2006/42/EG Anhang IV Maschinenrichtlinie 

2004/108/EG elektromagnetische Verträglichkeit (EMV) 

Villingen-Schwenningen, 24. Januar 2012 Peter Lins 

CAQ-Compact-Artikel. Safety-MS1, Safety-MSP1, Safety-MS2, Safety-MSP2 

EN ISO 13849-1:2008 + AC:2009 

EN ISO 13850:2008 

EN 574:1996 + A1:2008 

EN 62061:2005 

IEC 61508 Parts 1-7:2010 

EN 55011 Klasse B:2007 + A2:2007

Instructions d’installation 


pour 

modules Safety-M 

Les modules Safety-M et les modules d’extension pour bus de terrain (BM) sont des 

produits catalogue. Tous les autres produits portant la désignation « SMX » ne sont 

pas des produits catalogue, mais ils peuvent être fournis sur demande 

R60372.0003 | Installationshandbuch Safety-M (Französisch) 30.07.2012 Page 1 de 210 

Version: 24F - HB-37350-810-01-24F-EN


Instructions d’installation pour les appareils SMX 10, Safety-MS1, Safety-MSP1, Safety-MS2, Safety- 

MSP2, SMX 12 A de la gamme Safety-M, les modules d’extension correspondants SMX 31, SMX 33, 

SMX 4x et les modules de communication BMx (voir le chapitre 3.). 

Nota : 

La version en langue allemande constitue la version originale des instructions d’installation. 

Indice : 05/2011 

Valide à partir de la version de firmware 2.0.2.46 

Toutes les informations contenues dans ce document sont susceptibles de subir des 

modifications sans avis préalable 

Le contenu de cette documentation a été rédigé avec le plus grand soin et correspond à l’état actuel de 

nos connaissances. 

Nous tenons cependant à attirer votre attention sur le fait que ce document ne peut pas toujours être 

remis à jour de manière simultanée à l’évolution technique de nos produits. 

Les informations et les caractéristiques sont susceptibles d’être modifiées à tout moment. Merci de 

vérifier la version en vigueur sur notre site Internet www.kuebler.com/safety. 


Version: 24F - HB-37350-810-01-24F-EN


Sommaire 

1 REMARQUES IMPORTANTES..............................................................................6 

1.1 Définitions..........................................................................................................................................6 

1.2 Autres documents applicables............................................................................................................7 

1.3 Abréviations utilisées .........................................................................................................................7 

2 INSTRUCTIONS DE SECURITE ............................................................................9 

2.1 Utilisation conforme...........................................................................................................................9 

Voir l’Annexe « Déclaration de Conformité CE » .................................................................................................9 

2.2 Mise en œuvre dans des régions nécessitant l’approbation UL/CSA...................................................9 

2.3 Instructions de sécurités générales...................................................................................................10 

2.4 Fonctionnement et maintenance .....................................................................................................11 

2.5 Transport/stockage ..........................................................................................................................11 

3 TYPES D’APPAREILS .........................................................................................11 

3.1 Présentation des modules (Safety-M)...............................................................................................12 

3.2 Données caractéristiques des appareils............................................................................................13 

3.2.1 Modules de base ..................................................................................................................13 

3.2.1.1 Disponible sur demande (SMX10)....................................................................................13 

3.2.1.2 Safety-MS1 .......................................................................................................................15 

3.2.1.3 Safety-MSP1.....................................................................................................................17 

3.2.1.4 Safety-MS2 .......................................................................................................................19 

3.2.1.5 Disponible sur demande (SMX12A) .................................................................................21 

3.2.1.6 Safety-MSP2.....................................................................................................................23 

3.2.2 Modules d’extension.............................................................................................................25 

3.2.2.1 Disponible sur demande (SMX31)....................................................................................25 

3.2.3 Modules de communication..................................................................................................27 

3.2.3.1 SMX51 ..............................................................................................................................27 

3.3 Identification....................................................................................................................................29 

3.4 Etendue de la livraison .....................................................................................................................30 

4 CARACTERISTIQUES DE SECURITE ................................................................31 

4.1 Conception générale, architecture de sécurité et caractéristiques ...................................................31 

4.2 Caractéristiques de sécurité et câblage des capteurs raccordés........................................................33 

4.2.1 Capteurs digitaux..................................................................................................................33 

4.2.1.1 Caractéristiques des capteurs / éléments d’entrée ..........................................................33 

4.2.1.2 DC capteurs digitaux /entrées digitales............................................................................34 

4.2.1.3 Classification des entrées digitales ..................................................................................37 

4.2.1.4 Exemples de raccordements de capteurs digitaux...........................................................39 

4.2.1.5 Vue d’ensemble des Pl réalisables pour les entrées de sécurité digitales ......................45 

4.2.2 Capteurs d’acquisition de vitesse et/ou de position .............................................................47 

4.2.2.1 Structure de sécurité générale de l’interface du capteur de vitesse et/ou de position.....47 

4.2.2.2 Mesures de diagnostic générales pour interface de codeur ............................................48 

4.2.2.3 Types de codeurs et leurs combinaisons, données de diagnostic...................................49 

4.2.2.4 Mesures de diagnostic spécifiques en fonction du type de codeur utilisé........................53 

4.2.2.5 Seuils de déclenchement de sécurité des systèmes de codeur pour l’acquisition de la 

vitesse et de al position ....................................................................................................................54 

4.2.2.6 Evaluation de sécurité des types de codeurs ou de leurs combinaisons.........................57 

4.2.3 Capteurs analogiques...........................................................................................................59 

4.2.3.1 Exemples de raccordement de capteurs analogiques .....................................................60 

4.3 Données caractéristiques de sécurité et câblage des sorties ............................................................61 

4.3.1 Caractéristiques des éléments de sortie ..............................................................................61 

4.3.2 Diagnostics dans le circuit de déclenchement .....................................................................62 

4.3.2.1 Fonctions de diagnostic....................................................................................................62 

4.3.2.2 Vue d’ensemble des valeurs DC en fonction des fonctions de diagnostic choisies.........63 

4.3.3 Sorties de base.....................................................................................................................64 

4.3.3.1 Exemples de câblage des sorties de base.......................................................................66 


Version: 24F - HB-37350-810-01-24F-EN


4.3.4 E/S configurables comme sorties .........................................................................................73 

4.3.4.1 Classification des E/S si utilisées comme sortie ..............................................................73 

4.3.4.2 Exemple de câblage des sorties du module d’extension .................................................73 

4.3.4.3 Vue d’ensemble des Pl réalisables pour les sorties de sécurité digitales........................79 

5 RACCORDEMENT ET INSTALLATION ..............................................................81 

5.1 Informations générales sur l’installation ..........................................................................................81 

5.2 Installation et montage du module Safety-M ...................................................................................83 

5.3 Installation du système de bus de fond de panier ............................................................................83 

5.3.1 Exemples de disposition.......................................................................................................84 

5.3.1.1 Safety-MS1 + Safety-MS1 + Safety-MS1 + BMx/SMX51.................................................84 

5.3.1.2 Safety-MS2 + Safety-MS1 + BMx/SMX5x........................................................................84 

5.4 Montage des modules......................................................................................................................85 

5.4.1 Montage sur rail C ................................................................................................................85 

5.4.2 Montage sur bus de fond de panier......................................................................................86 

5.5 Montage et configuration de l’extension d’E/S SMX31.....................................................................87 

5.5.1 Enregistrement du SMX31 dans le groupe de base.............................................................87 

5.5.2 Configuration de l’adresse physique SMX31 .......................................................................88 

5.5.3 Configuration de l’affectation des E/S SMX31 .....................................................................88 

5.5.4 Configuration de l’adresse logique SMX31 ..........................................................................88 

5.6 Affectation des bornes .....................................................................................................................90 

5.6.1 Affectation des bornes SMX10 .............................................................................................90 

5.6.2 Affectation des bornes Safety-MS1......................................................................................90 

5.6.3 Affectation des bornes Safety-MSP1 ...................................................................................91 

5.6.4 Affectation des bornes Safety-MS2......................................................................................92 

5.6.5 Affectation des bornes SMX12 A..........................................................................................92 

5.6.6 Affectation des bornes Safety-MSP2 ...................................................................................93 

5.6.7 Affectation des bornes SMX 31 ............................................................................................94 

5.6.8 Affectation des bornes SMX 51 ............................................................................................94 

5.7 Tension d’alimentation 24 VDC externe ...........................................................................................95 

5.8 Raccordement de l’alimentation externe du codeur.........................................................................96 

5.8.1 Incrémental, HTL, SIN/COS, SSI........................................................................................96 

5.8.2 Résolveur ..........................................................................................................................97 

5.9 Raccordement d’entrées digitales ....................................................................................................98 

5.10 Raccordement d’entrées analogiques...............................................................................................99 

5.11 Raccordement de capteurs de position et de vitesse......................................................................100 

5.11.1 Remarques générales ........................................................................................................100 

5.11.2 Affectation de l’interface codeur .........................................................................................102 

5.11.3 Variantes de raccordement ................................................................................................103 

5.11.3.1 Raccordement d’un codeur absolu comme maître.........................................................103 

5.11.3.2 Raccordement d’un codeur absolu comme esclave.......................................................104 

5.11.3.3 Raccordement d’un codeur incrémental avec niveau de signal TTL. ............................105 

5.11.3.4 Raccordement d’un codeur SIN/COS ............................................................................106 

5.11.3.5 Raccordement d’un résolveur comme maître ................................................................107 

5.11.3.6 Raccordement d’un résolveur comme esclave ..............................................................108 

5.11.3.7 Raccordement d’un détecteur de proximité Safety-MS1/Safety-MS2............................109 

5.11.3.8 Raccordement HTL/détecteur de proximité Safety-MSP1/Safety-MSP2 .......................110 

5.12 Configuration des distances à mesurer...........................................................................................112 

5.12.1 Description générale de la configuration des codeurs .......................................................112 

5.12.2 Type de capteur..................................................................................................................112 

5.12.2.1 Codeur absolu : ..............................................................................................................112 

5.12.2.2 Codeur incrémental : ......................................................................................................115 

5.12.2.3 Codeur SinusCosinus.....................................................................................................115 

5.12.2.4 Codeur SinusCosinus – mode haute résolution .............................................................115 

5.12.2.5 Détecteur de proximité ...................................................................................................116 

5.12.2.6 Surveillance étendue détecteur de proximité / détecteur de proximité ..........................117 

5.12.2.7 Capteur HTL ...................................................................................................................118 

5.12.2.8 Résolveur........................................................................................................................118 


Version: 24F - HB-37350-810-01-24F-EN


6 TEMPS DE REPONSE DU SAFETY-M..............................................................119 

6.1 Temps de réponse en fonctionnement standard ............................................................................119 

6.2 Temps de réponse de FAST_CHANNEL............................................................................................120 

6.3 Temps de réponse pour la surveillance des distances de défaut.....................................................121 

6.4 Temps de réponse dans le cas de l’utilisation de SMX 31 ...............................................................123 

7 MISE EN SERVICE.............................................................................................125 

7.1 Procédure.......................................................................................................................................125 

7.2 Séquences de démarrage ...............................................................................................................125 

7.3 Affichage à LED...............................................................................................................................126 

7.4 Paramétrage...................................................................................................................................127 

7.5 Essai de fonctionnement ................................................................................................................127 

7.6 Validation.......................................................................................................................................127 

7.7 La fonction DEM (Dynamic Encoder Muting) ..................................................................................127 

8 CONTROLE DE SECURITE...............................................................................130 

9 MAINTENANCE .................................................................................................131 

9.1 Modification / gestion des changements sur l’appareil ..................................................................131 

9.2 Remplacement d’un module ..........................................................................................................131 

9.3 Intervalles de maintenance ............................................................................................................131 

10 CARACTERISTIQUES TECHNIQUES...............................................................132 

10.1 Conditions environnementales.......................................................................................................132 

10.2 Caractéristiques de sécurité ...........................................................................................................132 

11 TYPES DE DEFAUTS SAFETY-M .....................................................................133 

11.1 Signalisation des défauts................................................................................................................133 

11.1.1 Safety-M sans modules d’extension...................................................................................133 

11.1.2 Safety-M avec modules d’extension...................................................................................133 

11.2 Liste des alarmes Safety-M.............................................................................................................134 

11.3 Liste des erreurs fatales Safety-M ..................................................................................................157 

12 TYPES DE CODEURS .......................................................................................170 

13 TYPES DE COMMUTATEURS ..........................................................................174 

14 INFORMATIONS SUR LA CONCEPTION, LA PROGRAMMATION, LA 

VALIDATION ET L’ESSAI D’APPLICATIONS DE SECURITE .........................180 

14.1 Evaluation des risques....................................................................................................................180 

14.2 Documents techniques nécessaires ................................................................................................182 

14.3 Etapes nécessaires pour le projet, la réalisation et les essais..........................................................183 

14.3.1 Spécification des exigences de sécurité (schéma de structure) ........................................185 

14.3.2 Spécification du système de sécurité fonctionnel...............................................................190 

14.3.2.1 Définition des fonctions de sécurité................................................................................190 

14.3.2.2 Niveau de performance requis (Plr) (arrêt d’urgence en plus) .......................................190 

14.3.2.3 Exemple – Spécification de fonctions de sécurité sous la forme de tableau .................191 

14.3.3 Spécification du logiciel ......................................................................................................192 

14.3.4 Spécification du matériel ....................................................................................................194 

14.3.4.1 Sélection des SRP/CS et des éléments du système......................................................194 

14.3.4.2 Exemple d’une spécification hardware...........................................................................195 

14.3.4.3 Prise en compte des défaillances systématiques...........................................................196 

14.3.5 Conception du matériel et du logiciel..................................................................................197 

14.3.6 Contrôle de la conception du matériel................................................................................197 

14.3.6.1 Contrôle itératif du niveau de sécurité réalisé ............................................................197 

14.3.7 Vérification du logiciel (programme) et des paramètres.....................................................201 

14.3.7.1 Contrôle du FUP.............................................................................................................201 

14.3.7.2 Validation du FUP par rapport à AWL et des paramètres à l’aide du compte-rendu de 

validation.........................................................................................................................203 

14.3.8 Réalisation du contrôle du système / FIT (fault injection test)............................................206 

ANNEXE....................................................................................................................207 

Annexe A – Classification des types de commutateurs....................................................................................207 


Version: 24F - HB-37350-810-01-24F-EN


1 Remarques importantes 

Ces instructions s’adressent aux groupes de personnes suivants 

Développement de projets de systèmes d’entraînement sûrs : 

Ingénieurs et techniciens 

Montage, installation électrique, maintenance et remplacement d’appareils : 

Electriciens de maintenance et techniciens d’entretien 

Mise en service, utilisation et configuration: 

Techniciens et ingénieurs 

1.1 Définitions 

La désignation Safety-M est utilisée comme terme générique pour tous les dérivés de la 

gamme de produits Safety-M. La désignation complète du produit est indiquée lorsque cette 

description concerne un dérivé spécifique. 

Le terme « sûr » utilisé dans les textes ci-dessous se rapporte dans tous les cas à la 

classification en tant que fonction sûre jusqu’à Ple selon EN ISO 13849-1 ou SIL3 selon 

EN 61508. 

Le logiciel du système, « SafePLC », sert à la configuration et à la programmation des 

modules Safety-M. 

Les modules de la gamme Safety-M sont constitués en interne de deux unités de traitement 

indépendantes. Ces unités sont appelées système A et système B dans la suite de ce 

document. 


Version: 24F - HB-37350-810-01-24F-EN


1.2 Autres documents applicables 

Description Référence 

Configuration du module Safety-M 

pour des applications autonomes sans 

interfaçage avec un bus de terrain, à 

l’aide du programme « SafePLC » 

Rapport de validation report pour le 

paramétrage implémenté et le 

programme automate 

Contrôle de réception pour les 

applications générales en rapport 

avec la sécurité 

Contrôle de réception pour les 

applications dans la technologie des 

ascenseurs (champ d’application de 

EN 81) 

Instructions de programmation SafePLC 

(CD système) 

Contrôle de sécurité avec compte-rendu 

de réception 

Certificat de réception de type pour 

systèmes de commande à sûreté intégrée 

selon la directive sur les machines 

2006/42/EC pour les groupes de produits 

SMX10 

Safety-MS1 

Safety-MSP1 

Safety-MS2 

Safety-MSP2 

SMX12A 

Certificat de réception de type conforme 

à PESSRAL selon EN91-1 pour les 

groupes de produits 

SMX10/P 

SMX11/P 

Nota : 

• Lisez attentivement les notices d’instructions avant de commencer l’installation et la 

mise en route des modules Safety-M. 

• Le respect des instructions de la documentation est une condition préalable à une 

fonctionnement sans défauts et à notre intervention sous garantie en cas de besoin. 

1.3 Abréviations utilisées 

Abréviation Signification 

AC Tension alternative 

IL Liste d’instructions 

ELIA Employer's liability insurance association (associations d'assurance 

responsabilité de l'employeur) 


Version: 24F - HB-37350-810-01-24F-EN


Abréviation Signification 

CLK Horloge (cycle) 

CPU Unité central de traitement 

DC Tension continue 

DI1..DI14 Entrée digitale 

DIN Deutsches Institut für Normung (Institut Allemand de Normalisation) 

DO Sortie digitale 


CEM Compatibilité électromagnétique 


EN Norme européenne 

HISIDE Sortie à niveau nominal 24VDC, commutation positive 

IP20 Indice de protection du boîtier 

ISO International Organisation for Standardisation = 

LED Diode électroluminescente 

LOSIDE Sortie avec commutation au potentiel de référence 


PIA Image de process des sorties 

PII Image de process des entrées 

PESSRAL Système électronique programmable dans des applications de sécurité 

pour ascenseurs 

P1,P2 Sorties d’impulsions 

PLC Automate programmable 

POR Réinitialisation à la mise sous tension 


SELV Tension extra-basse de sécurité 

SSI Interface synchrone série 


(association pour l’électrotechnique, l’électronique et l’informatique) 


Version: 24F - HB-37350-810-01-24F-EN


2 Instructions de sécurité 

2.1 Utilisation conforme 

Les appareils de la gamme Safety-M sont des systèmes de commande à sûreté intégrée 

prévus pour la création de caractéristiques et de fonctions d’arrêt d’urgence. Ces appareils 

sont destinés à une mise en œuvre 

- dans des installations d’ARRET D’URGENCE, 

- en tant que composant de sécurité tel que défini par la Directive CE sur les machines 

2006/42/CE, 

- en tant que système électronique programmable pour la réduction des risques tel que 

définie par EN 61508, 

- dans des circuits de sécurité selon EN 60204 et EN 60204-32, 

- en tant que système électronique programmable pour la sécurité fonctionnelle tel que 

défini par EN 62061, 

- en tant que SRP/CS tel que définie par EN 13849, 

- en tant qu’appareil assurant des fonctions de sécurité selon EN 61800-5-2, 

- en tant qu’unité logique pour la conversion et le retraitement de signaux dans des 

commandes bimanuelles selon EN 574. 

Les appareils SMX10/P et SMX11/P conviennent à une utilisation en tant que PESSRAL (système 

électronique programmable dans des applications de sécurité pour ascenseurs) dans la technologie 

des ascenseurs, c’est-à-dire dans le champ d’application de EN81-1. Les appareils des gammes de 

base, sans l’extension « /P », ne peuvent pas s’utiliser dans ce champ d’application. 

Avertissement : 

Les appareils des gammes de base sans l’extension « /P » ne peuvent pas s’utiliser 

dans le champ d’application de EN81-1! 

Les appareils de la gamme Safety-M, y compris le module d’extension SMX 31 

sont des composants de sécurité tels que spécifiés dans l’Annexe IV de la 

Directive CE sur les machines 2006/42/CE. 

Ils ont été développés, conçus et fabriqués en conformité avec la Directive 

susmentionnée et avec la Directive CE sur la CEM 2004/108/CE 

Voir l’Annexe « Déclaration de Conformité CE » 

2.2 Mise en œuvre dans des régions nécessitant l’approbation UL/CSA 

Las modules de la gamme Safety-M peuvent s’utiliser aux USA et au Canada, à la condition 

de respecter les conditions suivantes : 

- la tension de commutation des relais de sortie doit être limitée à max. 24 V. 

- il faut utiliser une alimentation répondant aux exigences de la CLASSE 2 selon UL 

1310 pour l’alimentation électrique des modules Safety-M et de leurs entrées et sorties 

Dans ces conditions, aucune approbation UL/CSA n’est requise, et les appareils de la gamme 

Safety-M peuvent s’utiliser dans des équipements de commutation conformes à UL 508A. 


Version: 24F - HB-37350-810-01-24F-EN


2.3 Instructions de sécurités générales 

Nota pour la sécurité : 

• Afin d’éviter toute blessure ou dommage matériel, seul du personnel qualifié est 

autorisé à intervenir sur l’appareil. Le terme personnel qualifié se rapporte à des 

personnes ayant suivi avec succès une formation en électrotechnique et au courant de 

toutes les règles et normes applicables aux équipements électriques. 

La personne qualifiée doit se familiariser avec les instructions d’utilisation (voir IEC364, 

DIN VDE0100). 

• La personne qualifiée doit avoir une connaissance approfondie de la règlementation 

nationale de prévention des accidents. 

• L’utilisation de l’appareil doit être strictement limitée à son utilisation conforme telle 

qu’elle est indiquée dans la liste suivante. Il faut également respecter les valeurs des 

données indiquées au paragraphe « 3.2 Données caractéristiques des appareils ». 

• Le contenu de ces instructions d’installation est limité au fonctionnement basique de 

l’appareil et à son installation. Les « Instructions de programmation Safety-M » 

contiennent une description plus détaillée de la programmation et du reparamétrage 

des appareils. Une connaissance et une compréhension approfondies de ces 

instructions est obligatoire pour la réalisation d’une nouvelle installation ou la 

modification de fonctions ou de paramètres de l’appareil. 

• La mise en route (c’est-à-dire le démarrage du fonctionnement prévu) n’est permise 

qu’en stricte conformité avec la Directive sur la CEM. Les normes de contrôle CEM 

EN55011:2007 + A2:2007 et EN 61000-6-2:2005 font office de base. 

• La conformité avec les conditions selon EN 60068-2-6 mentionnées dans les valeurs 

indiquées dans les « Caractéristiques techniques » est obligatoire pour le stockage et 

le transport. 

• Les instructions de câblage et de raccordement du chapitre « Installation » sont à 

suivre strictement. 

• Les règles VDE applicables, ainsi que les autres règles de sécurité particulières 

s’appliquant à l’application sont à suivre strictement. 

• Il faut éditer un rapport de validation décrivant les fonctions de surveillance configurées, 

ainsi que leurs paramètres et les liens. 

• La mise en œuvre du module doit être coordonnée avec les exigences de l’autorité de 

contrôle compétente effectuant la réception (p. ex. TÜV ou ELIA). 

• Ne pas installer ni faire fonctionner des produits endommagés. Signaler les dommages 

immédiatement au transporteur responsable. 

• Ne jamais ouvrir le boîtier et/ou effectuer des transformations non autorisées. 


Version: 24F - HB-37350-810-01-24F-EN


• Les entrées et sorties des fonctions standard ou les données digitales et analogiques 

transmises via les modules de communication ne doivent pas être utilisées pour des 

applications de sécurité. 

AVERTISSEMENT : 

Une utilisation de nos appareils contraire aux règles et conditions indiquées ci-dessous peut 

entraîner des blessures, voire la mort, et endommager les appareils et machines raccordés ! 

Elle entraînera également l’annulation de la garantie et de tous recours vis-à-vis de Fritz Kübler. 

2.4 Fonctionnement et maintenance 

Le module doit toujours être mis hors tension avant son installation ou son démontage, ou 

avant la déconnection des lignes de signal. Il faut pour cela s’assurer que toutes les lignes 

d’alimentation de l’appareil soient bien coupées de l’alimentation électrique. 

Lors de l’installation ou du démontage, il faut prendre des mesures appropriées pour éviter toute 

décharge électrostatique ur les bornes et connecteurs disposés à l’extérieur de l’appareil. Les 

contacts avec ces bornes doivent être réduits au minimum, et la mise à la terre doit être assurée 

au moyen par exemple d’une tresse de masse avant et pendant ces procédures. 

2.5 Transport/stockage 

Les informations sur le transport, le stockage et la manipulation appropriée sont à respecter 

strictement. 

Il faut se conformer aux caractéristiques se rapportant au climat du chapitre « Caractéristiques 

techniques ». 

3 Types d’appareils 

La gamme Safety-M se compose de 

- appareils de base SMX10, Safety-MS1, Safety-MSP1, Safety-MS2, Safety-MSP2, SMX12A 

- modules d’extension SMX31 

- modules de communication BMx 

Appareils de base 

La gamme Safety-M se compose de systèmes de commande à sécurité intégrée avec 

intégration en option d’une surveillance d’entraînement pour un (Safety-MS1/Safety-MSP1) ou 

deux Safety-MS2/Safety-MSP2) axes. Ces appareils sont librement programmables pour un 

retraitement fiable du bouton d’ARRET D’URGENCE, d’une commande bimanuelle, d’une 

barrière lumineuse, d’un sélecteur de mode opératoire, etc., mais aussi pour des fonctions de 

sécurité se rapportant aux entraînements. Des modules préconfigurés pour le prétraitement de 

signaux de sécurité sont disponibles pour un grand nombre de dispositifs d’entrée. Il en va de 

même pour les fonctions de sécurité servant à la surveillance des entraînements. Des 

informations détaillées peuvent être trouvées dans les instructions de programmation. 

La version de base de l’appareil dispose de 14 entrées sûres et de 3 canaux de coupure ; ils 

peuvent être étendus jusqu’à 65 entrées/sorties sûres. 


Version: 24F - HB-37350-810-01-24F-EN


Ces appareils supportent des solutions à un seul codeur (incluant TTL/HTL, SIN/COS, 

détecteur de proximité) comme des solutions à deux codeurs (p. ex. Inc.-TTL ou SSI et Inc.- 

HTL), pour une détection de vitesse et/ou de position fiable. 

Modules d’extension 

Extension d’E/S digitale pour la gamme Safety-M. 

Le module d’extension dispose de 12 entrées sûres, de 10 E/S sûres pour une configuration 

optionnelle en entrée ou en sortie et de 2 sorties de signal. 

Modules de communication 

Modules d’extension pour le transfert de données de diagnostic et d’état vers une commande 

spécifiée au moyen d’un bus de terrain standard. 

3.1 Présentation des modules (Safety-M) 


Version: 24F - HB-37350-810-01-24F-EN


3.2 Données caractéristiques des appareils 

3.2.1 Modules de base 

3.2.1.1 Disponible sur demande (SMX10) 

Désignation du type Conception de l’appareil 

Caractéristiques du module: 

Conception du module avec les périphériques suivants: 

14 entrées digitales 

2 sorties d’impulsions 

2 sorties à relais 

2 LOSIDE 

2 HISIDE 

2 sorties de signal 

1 interface de diagnostic et de configuration 

1 bouton de fonction 

1 affichage à 7 segments 

1 LED d’état 

14 LED d’état des entrées 

2 LED d’état des sorties d’impulsions 

2 LED d’état des sorties à relais 

2 LED d’état pour HISIDE 

1 interface pour bus de fond de panier 

• Traitement logique jusqu’à Pl e selon EN ISO 13849-1 ou SIL 3 selon EN 61508 

• Petit système de commande librement programmable pour jusqu’à 800 instructions IL 

• Programmation orientée schéma logique 

• Sorties d’impulsions pour détection de courts-circuits transversaux sur les signaux 

d’entrée digitaux 

• Fonction de sécurité de surveillance de contact extérieur pour les commutateurs 

raccordés 

• Sorties à relais surveillées pour les fonctions de sécurité 

• Sorties HISIDE/LOSIDE surveillées pour les fonctions de sécurité 

• Communication CAN à l’aide d’un BMx pour le diagnostic via système de bus de fond 

de panier monté sur profilé chapeau. 


Version: 24F - HB-37350-810-01-24F-EN


Caractéristiques techniques 

Caractéristiques techniques de sécurité 

Pl selon EN 13849 Pl e 

PFH / architecture 3,0 * 10 -9 / architecture classe 4 

SIL selon EN 61508 SIL 3 

Intervalle entre essais de sûreté 

Caractéristiques générales 

20 ans = période d’utilisation max. 

Nombre max. de modules d’extension 2 

Interface pour modules d’extension Connecteur en T pour bus à monter sur profilé 

chapeau 

Entrées digitales sûres 14, avec 8 OSSD 

E/S digitales sûres - 

Sorties digitales sûres 2 

Entrées analogiques sûres - 

Sorties à relais sûres 1 

Sorties de signal 2 

Sorties d’impulsions 2 

Type de raccordement 

Caractéristiques électriques 

Bornes à ressort 

Tension d’alimentation 24 VDC / 2A 

Tolérance -15%, +20% 

Puissance absorbée 2.4 W 

Caractéristiques entrées digitales 24 VDC; 20 mA, Type1 selon EN61131-2 

Caractéristiques sorties digitales 24VDC; 250 mA 

Caractéristiques relais 24 VDC/2A 

230 VAC/2A 

Sorties d’impulsions Max. 250 mA 

Fusible de protection de la tension 

Max. 2 A 

d’alimentation 

Caractéristiques environnementales 

Température Temp. de fonctionnement 0° à 50° 

Temp. de stockage -10° à +70° 

Indice de protection IP 52 

Catégorie climatique 3 selon DIN 50 178 

CEM Conforme à EN 55011 et EN 61000-6-2 

Caractéristiques mécaniques 

Dimensions (HxPxl [mm]) 100x115x45 

Poids 300 g 

Fixation Montage sur rail standard 

Section de conducteur max. 1.5 mm² 


Version: 24F - HB-37350-810-01-24F-EN




Caractéristiques du module 


1 interface capteur 

14 entrées digitale, en alternative 4 entrées de comptage 



2 LOSIDE 

2 HISIDE 



1 touche de fonction 





2 LED d’état for sorties à relais 




• Surveillance du mouvement d’un axe jusqu’à Pl e selon EN ISO 13849-1 ou SIL 3 

selon EN 61508 

• Surveillance de la vitesse 

• Surveillance de la vitesse de rotation 

• Surveillance de l’arrêt 

• Surveillance du sens de rotation 

• Dimension incrémentale sûre 

• Surveillance de l’arrêt d’urgence 

• Surveillance de la position 

• Surveillance de la plage de positions 

• Surveillance de la plage des tendances 

• Surveillance de la position cible 





• Entrées de comptage en alternatives aux entrées digitales 

• Fonction de sécurité de surveillance de contact extérieur pour les commutateurs raccordés 


• Sorties HISIDE/LOWSIDE surveillées pour les fonctions de sécurité 


de panier monté sur profilé chapeau 


Version: 24F - HB-37350-810-01-24F-EN











Interface pour les modules d’extension Connecteur en T pour bus à monter sur profilé 

chapeau 








Type de raccordement Bornes à ressort 

Nombre d’axes surveillés 1 axe 

Nombre d’interfaces codeur en face avant / 

1 / SSI; SIN/COS; Incr.-TTL 

technologie 

Fréquence max. SIN/COS, Incr. TTL 200 kHz 

Fréquence de cycle/mode SSI Mode maître 150 kHz / mode esclave max. 250 

kHz 

Type de raccordement D-SUB 9 broches 

Nombre de borniers pour interface codeur / 

1 / Détecteur de proximité; Inc.-HTL 

technologie 

Fréquence max. Proxi 10 kHz 










230 VAC/2A 



Max. 2 A 










Poids 310 g 




Version: 24F - HB-37350-810-01-24F-EN





2 interfaces capteur 

14 entrées digitales, en alternative 4 entrées de 

comptage 



2 LOSIDE 

2 HISIDE 













• Surveillance du mouvement d’un axe jusqu’à Pl e selon EN ISO 13849-1 ou SIL 3 

selon EN 61508 















• Entrées de comptage en alternative aux entrées digitales 





de panier 

• Montage sur profilé chapeau 


Version: 24F - HB-37350-810-01-24F-EN





PFH / architecture 2.2 * 10 -9 1) / Architecture classe 4 

3.0 * 10 -9 2) / Architecture classe 4 

SIL selon EN 61508 



Nombre max. de modules d’extension 

Interface pour les modules d’extension 

Entrées digitales sûres 

E/S digitales sûres 

Sorties digitales sûres 

Entrées analogiques sûres 

Sorties à relais sûres 

Sorties de signal 

Sorties d’impulsions 


Nombre d’axes surveillés 

Nombre d’interfaces codeur en face avant / technologie 

SIL 3 


2 

Connecteur en T pour bus à monter sur profilé chapeau 

14, avec 8 OSSD 

- 

2 

- 

1 

2 

2 


1 axe 

2 / SSI; incrémental (SIN/COS /TTL); HTL; Résolveur 

Fréquence incrémentale max. Safety-M 200 kHz 


Fréquence de cycle/mode 

Carte extension codeur 

Safety-M 

250 kHz 

Mode maître 150 kHz / mode esclave max. 250 kHz 

SSI Carte extension codeur Mode maître 150 kHz / mode esclave max. 150 kHz 

Résolveur 

(Carte extension codeur) 

Fréquence de signal 

Tension d’entrée 

Fréquence de référence 

Amplitude de référence 

Nbre de paires de pôles 

max. 600 Hz 

max. 8 Vss (en 16 kΩ) 

6 kHz – 16 kHz 

8 Vss – 28 Vss 

1�8 

Rapport de transformation 

Erreur de phase 

2:1; 3:1; 4:1 

max. 8° 


Fréquence max. HTL Safety-M (entrée Proxi) 

D-SUB 9 broches 

10 kHz 


Nombre de borniers pour interface codeur / technologie 



Tension d’alimentation 

200 kHz 

2x2 / Détecteur de proximité 


24 VDC / 2A 

Tolérance 

Puissance absorbée 

Caractéristiques entrées digitales 

Caractéristiques sorties digitales 

Caractéristiques relais 

-15%, +20% 

2.4 W 

24 VDC; 20 mA, Type1 selon EN61131-2 

24VDC; 250 mA 

24 VDC/2A 

230 VAC/2A 


Fusible de protection de la tension d’alimentation 


Température 

Indice de protection 

Catégorie climatique 

CEM 


Dimensions (HxPxl [mm]) 

Max. 250 mA 

Max. 2 A 

Temp. de fonctionnement 0° à 50° 


IP 52 

3 selon DIN 50 178 

Conforme à EN 55011 et EN 61000-6-2 

100x115x67.5 

Poids 

Fixation 

Section de conducteur max. 

390 g 

Montage sur rail standard 

1.5 mm² 

1) Avec 2 codeurs indépendants 

2) Avec 1 codeur 


Version: 24F - HB-37350-810-01-24F-EN







comptage 



2 LOSIDE 

2 HISIDE 













• Surveillance du mouvement d’un ou de deux axes jusqu’à Pl e selon EN ISO 13849-1 

ou SIL 3 selon EN 61508 




















de panier 



Version: 24F - HB-37350-810-01-24F-EN












chapeau 












technologie 

Max. Fréquence max. SIN/COS, Incr. TTL 200 kHz 

Fréquence de cycle/mode SSI Mode maître 150 kHz / mode esclave max. 250 kHz 




technologie 











230 VAC/2A 



Max. 2 A 









Dimensions (HxPxl [mm]) 100x115x67.5 

Poids 390 g 




Version: 24F - HB-37350-810-01-24F-EN


3.2.1.5 Disponible sur demande (SMX12A) 




14 entrées digitales, en alternative 4 entrées de comptage 



2 LOSIDE 

2 HISIDE 


2x2 entrées analogiques 




























• Surveillance sûre des signaux analogiques jusqu’à SIL 3 selon EN 61508 






de panier 



Version: 24F - HB-37350-810-01-24F-EN












chapeau 




Entrées analogiques sûres 2 x 2 








technologie 

Max. Fréquence max. SIN/COS, Incr. TTL 200 kHz 

Fréquence de cycle/mode SSI Mode maître 150 kHz / mode esclave max. 250 kHz 




technologie 











230 VAC/2A 



Max. 2 A 






Catégorie climatique 3 acc. to DIN 50 178 




Poids 390 g 




Version: 24F - HB-37350-810-01-24F-EN





2x2 interfaces capteur 


comptage 



2 LOSIDE 

2 HISIDE 


































de panier 



Version: 24F - HB-37350-810-01-24F-EN






SIL selon EN 61508 



Nombre max. de modules d’extension 

Interface pour les modules d’extension 

Entrées digitales sûres 

E/S digitales sûres 

Sorties digitales sûres 

Entrées analogiques sûres 

Sorties à relais sûres 

Sorties de signal 



Nombre d’axes surveillés 

Nombre d’interfaces codeur en face avant / technologie 

SIL 3 


2 

Connecteur en T pour bus à monter sur profilé 

chapeau 

14, avec 8 OSSD 

- 

2 

2 en option 

1 

2 

2 


1 axe 

4 / SSI; SIN/COS; Incr.-TTL; Résolveur 

Fréquence incrémentale 

max. 


Safety-M 


200 kHz 

250 kHz 

Fréquence de cycle/mode 

SSI 

Résolveur 

(Carte extension codeur) 


Fréquence max. HTL 

Safety-M 


Fréquence de signal 

Tension d’entrée 

Fréquence de référence 

Amplitude de référence 

Nombre de paires de pôles 

Rapport de transformation 

Erreur de phase 

Safety-M (entrée Proxi) 

Mode maître 150 kHz / mode esclave max. 250 kHz 

Mode maître 150 kHz / mode esclave 150-350 kHz 

max. 600 Hz 

max. 8 Vss (en 16 kΩ) 

6 kHz – 16 kHz 

8 Vss – 28 Vss 

1�8 

2:1; 3:1; 4:1 

max. 8° 

D-SUB 9 broches 

10 kHz 


Nombre de borniers pour interface codeur / technologie 




200 kHz 



24 VDC / 2A 

Tolérance 

Puissance absorbée 

Caractéristiques entrées digitales 

Caractéristiques sorties digitales 

Caractéristiques relais 

-15%, +20% 

2.4 W 

24 VDC; 20 mA, Type1 selon EN61131-2 

24VDC; 250 mA 

24 VDC/2A 

230 VAC/2A 


Fusible de protection de la tension d’alimentation 


Température 

Indice de protection 

Catégorie climatique 

CEM 


Dimensions (HxPxl [mm]) 

Poids 

Fixation 

Section de conducteur max. 

Max. 250 mA 

Max. 2 A 

Temp. de fonctionnement 0° à 50° 


IP 52 

3 selon DIN 50 178 

Conforme à EN 55011 et EN 61000-6-2 

100x115x112.5 

520 g 

Montage sur rail standard 

1.5 mm² 


Version: 24F - HB-37350-810-01-24F-EN


3.2.2 Modules d’extension 

3.2.2.1 Disponible sur demande (SMX31) 



12 entrées digitales 

10 E/S en option configurables en entrées ou en sorties 




10 LED d’état pour les E/S 



• 12 entrées sûres, dont 8 compatibles OSSD 

• 10 E/S sûres configurables en entrées ou en sorties 

• Détection de courts-circuits transversaux 

• Possibilité de multiplication ou d’amplification des contacts au moyen de contacteurs 

externes en liaison avec la surveillance intégrée. 

• Fonctions de diagnostic étendues intégrées dans le firmware 

• Alimentation via le module de base 



Version: 24F - HB-37350-810-01-24F-EN





PFH / architecture Type 2.6 * 10 -9 1) / Classe 4 


Intervalle entre essais de sûreté 20 ans = période d’utilisation max. 



E/S digitales sûres 10 

Sorties digitales sûres - 


Sorties à relais sûres - 





Puissance absorbée Max. 3.8 W 












Poids 300 g 



1) Valeur applicable uniquement au module d’extension Pour une évaluation complète conforme à EN 

13849, il faut utiliser un branchement en série avec le module de base correspondant => PFHLogique = 

PFHBase + PFHExtension 


Version: 24F - HB-37350-810-01-24F-EN


3.2.3 Modules de communication 

3.2.3.1 SMX51 




1 interface CAN-BUS – SMX51 

ou 


ou 



1 LED d’état pour l’état de fonctionnement 

1 LED d’état pour la communication CAN 

• Module de communication CAN ou CANopen ou Profibus 

• 2 x 64 bits PAE avec affectation sélectionnable au moyen d’un module de fonction 

• Il est possible de sélectionner des données digitales 64 bits telles que les états 

d’entrées ou de sorties, des résultats intermédiaires de la partie logique, des données 

de résultat de la fonction de sécurité. 

• Il est possible de sélectionner des valeurs de position et/ou de vitesse et/ou d’entrée 

analogiques 1) sous la forme de données analogiques, limitées au maximum à 64 bits. 

• A utiliser comme canal de transmission de messages non sûr 

• Communication CAN via bus de fond de terrain 


1) uniquement SMX12A 


Version: 24F - HB-37350-810-01-24F-EN




Pl selon EN 13849 n.a 

PFH / architecture n.a. 

SIL selon EN 61508 n.a. 

Proof test interval n.a. 


Interface de bus de terrain 1 

Type de raccordement Standard, en fonction du type de bus de terrain 

Taille max. des données digitales en PAE 64 bits 

Taille max. des données analogiques en PAE 64 bits 

Temps d’actualisation typique des données 16 ms 


Puissance absorbée Max. 2.4 W 

Caractéristiques du bus de terrain Standard, en fonction du type de bus de terrain 









Poids 110 g 



Version: 24F - HB-37350-810-01-24F-EN


3.3 Identification 

La plaque signalétique se trouve sur le côté gauche du module ; il contient les informations 

suivantes : 

Désignation du type 

Numéro de pièce 

Numéro de série 

Identification de la version de hardware 

Identification de la version de logiciel 

Catégorie de sécurité 

Caractéristiques d’entrée 

Caractéristiques de sortie 

Date de fabrication (semaine/année) 

Plaque signalétique Safety-MS1 (représentation agrandie) 


Version: 24F - HB-37350-810-01-24F-EN


3.4 Etendue de la livraison 

La livraison comprend : 

Module Safety-M : 

• Connecteurs pour toutes les bornes de signal, sans raccordement du codeur 

Ne sont pas fournis : 

• CD du logiciel de configuration SafePLC avec 

� Instructions d’installation 

� Instructions de programmation 

� Driver de l’adaptateur de programmation 

• Adaptateur de programmation 

• Clé de protection (dongle USB) du logiciel SafePLC 

• CD système avec les manuels 

• Connecteur pour bus de fond de panier (SMX31 et utilisation du module de 

surveillance) 


Version: 24F - HB-37350-810-01-24F-EN


4 Caractéristiques de sécurité 

4.1 Conception générale, architecture de sécurité et caractéristiques 

La structure interne de la gamme Safety-M se compose de deux canaux séparés avec 

comparaison réciproque des résultats. Chacun des deux canaux réalise des diagnostics de 

haute qualité pour la détection des défauts. 

Des points de vue de l’architecture et de la fonction, la structure interne est conforme à la 

catégorie 4 de la norme EN 13849-1. 

L’architecture générale correspond donc à la structure suivante : 

Capteur 

PES 

Actionneur 

Lecture double de chaque entrée et diagnostic par comparaison croisée 

Les caractéristiques de sécurité spécifiques du module correspondant sont données dans les 

caractéristiques techniques du chapitre 3. 

Les caractéristiques indiquées au chapitre 3 (p. ex. Pl e et valeur PFH selon le tableau 

conforme à EN 13849) pour le système partiel PES peuvent s’utiliser pour l’évaluation de 

sécurité du système complet. 


Version: 24F - HB-37350-810-01-24F-EN


Caractéristiques 

Classe de sécurité maximale réalisable • SIL 3 selon EN61508 

• Catégorie 4 selon EN945-1 

• Niveau de performance (Pl) e selon 

EN ISO 13849-1 

Structure du système A 2 canaux avec diagnostic /1002) selon 

EN 61508 

Catégorie d’architecture 4 selon EN 13849 

Classification du mode de 

« niveau d’exigence élevé » selon EN 61508 

fonctionnement 

Probabilité de défaillance dangereuse 

par heure (valeur PFH) 


(EN 61508) 

(high demand rate) 

SMX10, Safety-MS1, Safety-MS2 et SMX12A < 

1,4 E-8 (14FIT) 

Valeurs spécifiques selon le tableau 

« Caractéristiques techniques » 

20 ans ; après cette période, le module doit 

être remplacé 

Remarque de sécurité : 

• Les caractéristiques de sécurité spécifiques du module correspondant sont données 

dans les caractéristiques techniques du chapitre 3. 

• Dans le cas de l’utilisation de plusieurs capteurs ayant des fonctions différentes (p. ex. 

indicateur de position porte d’accès + détection de vitesse) pour une fonction de 

sécurité (p. ex. vitesse lente de sécurité lorsque la porte d’accès est ouverte), il doivent 

être considérés comme branchés en série pour l’évaluation de sécurité du système 

complet. Voir aussi l’exemple de calcul en annexe. 

• Les règlementations de sécurité et les directives CEM sont à respecter strictement. 

• Pour les exclusions de défaillances applicables, voir les tableaux du point D de 

l’annexe à la norme EN 13849-2. 

• Les caractéristiques indiquées au chapitre 3 pour le système partiel PES (p. ex. Pl e et 

valeur PFH selon le tableau conforme à EN 13849) peuvent s’utiliser pour l’évaluation 

de sécurité du système complet. 

Les exemples suivants et leur architecture caractéristique déterminent l’affectation à une 

catégorie selon EN ISO 13849-1. 

Les niveaux de performance maximum possible selon EN 13849 en découlant 

dépendent toujours des facteurs suivants des composants externes : 

• Structure (simple or redondante) 

• Détection des défaillances pour cause d’origine commune (CCF) 

• Taux de couverture des tests de diagnostic sur demande (DCavg) 

• Durée moyenne avant défaillance dangereuse d’un canal (MTTFd) 


Version: 24F - HB-37350-810-01-24F-EN


4.2 Caractéristiques de sécurité et câblage des capteurs raccordés 

Chaque entrée sûre des modules Safety-M dispose de canaux de traitement du signal 

entièrement séparés. Ceci s’applique aux entrées digitales et analogiques. En outre, des 

mesures permettant la réalisation des valeurs DC les plus élevées ont été mises en place. 

4.2.1 Capteurs digitaux 

Les entrées et sorties digitales sont en règle générale d’une conception entièrement 

redondante, à l’exception de la borne d'entrée électromagnétique. La liste ci-dessous contient 

des détails pour la classification, le DC et les niveaux Pl ou SIL réalisables. 

4.2.1.1 Caractéristiques des capteurs / éléments d’entrée 

Capteur PES 

Elément d’entrée à deux canaux avec branchement parallèle (cat. tolérance de défaillance 1) à DC élevé grâce au 

retraitement du signal par deux canaux et au diagnostic par comparaison croisée dans le PES 

Capteur 

PES 

Actionneur 

Actionneur 

Elément d’entrée à deux canaux avec branchement série (cat. 4, tolérance de défaillance 1) à DC bas à moyen 

grâce au retraitement du signal par deux canaux et au diagnostic par contrôle cyclique 


Version: 24F - HB-37350-810-01-24F-EN


Capteur 

PES 

Elément d’entrée à un canal et retraitement par deux canaux, à DC bas à moyen grâce au retraitement du signal 

par deux canaux et au diagnostic par contrôle cyclique, Pl / SIL en fonction des exclusions de défaillances 

admissibles et de la fréquence de contrôle de l’élément d’entrée. 

4.2.1.2 DC capteurs digitaux /entrées digitales 

Les modules Safety-M assurent des fonctions de diagnostic étendues pour l’élément d’entrée. 

Ces fonctions sont réalisées en permanence ou en option (surveillance des courts-circuits 

transversaux au moyen d’un identifiant d’impulsion, d’une comparaison croisée, d’un capteur 

bi ou multicanaux avec/sans time-out, d’un test au démarrage). 

Fonctions de diagnostic actives en permanence 

Comparaison croisée 

Les entrées des modules Safety-M sont généralement conçues en interne avec deux canaux. 

L’état des signaux d’entrée fait en permanence l’objet d’une comparaison croisée. L’entrée 

n’est considérée comme au niveau Haut que si les deux systèmes d'entrée partiels reçoivent 

un signal Haut ; si les niveaux des deux canaux sont différents, l’entrée est considérée comme 

au niveau Bas. 

Contrôle dynamique du seuil de commutation du système d’entrée partiel : 

Les seuils de commutation pour la détection du niveau Haut sont contrôlés de manière 

cyclique à une fréquence élevée. Si la valeur passe au-dessous de la valeur de seuil définie, 

le module déclenche une alarme. 

Contrôle dynamique de la capacité de commutation du système d’entrée: 

La capacité de commutation au niveau Bas du système d’entrée est testée à une fréquence 

élevée pour toutes les entrées, à l’exception de DI5 -- DI8. Si la valeur passe au-dessous de la 

valeur de seuil définie, le module déclenche une alarme. 

Fonctions de diagnostic à activée par paramétrage. 

Actionneur 

Contrôle de courts-circuits transversaux : 

Les modules Safety-M disposent de sorties de signal identifiées par une signature univoque. 

Lors de la réalisation du test de court-circuit, les éléments de commutation des capteurs / 

éléments d’entrée digitaux sont alimentés avec une tension auxiliaire par le module Safety-M 

par le biais des sorties de signaux d’impulsions. La signature est imprimée sur le niveau de 

signal Haut des capteurs / éléments d’entrée et vérifiée par le module Safety-M. Le contrôle 

de la signature permet de détecter les courts-circuits et les courts-circuits transversaux des 

signaux de niveau Haut. Les courts-circuits entre les différents éléments d’entrée sont 

détectés par l’utilisation alternative des signaux d’impulsions des multi-contacts, des lignes de 

signal parallèles ou de l’affectation de bornes adjacentes. 


Version: 24F - HB-37350-810-01-24F-EN


Capteurs / éléments d’entrée à contacts à 2 pôles ou multipôles sans time-out. 

Il est possible d’affecter plusieurs contacts / à des éléments d’entrée. Ceux-ci sont donc 

compatibles avec des éléments à au moins 2 canaux. Un niveau Haut du capteur/de l’élément 

d’entrée nécessite une connexion logique en série des deux contacts. 

Exemple 1 : 

Elément d’entrée à 2 contacts normalement fermés. Niveau haut lorsque les deux contacts 

sont fermés. 

Exemple 2 : 

Elément d’entrée à 1 contact normalement fermé et 1 contact normalement ouvert. Niveau 

Haut lorsque le contact normalement ouvert est activé et le contact normalement fermé n’est 

pas activé. 

Capteurs / éléments d’entrée à contacts à 2 pôles ou multipôles avec time-out. 

Même contrôle que ci-dessus, mais avec en plus surveillance de la conformité des signaux 

d’entrée avec les connexions de niveau définies dans une fenêtre de temps de 0,5 seconde. 

La définition des niveaux sur une période > 0,5 secondes déclenche une alarme du module. 

Contrôle au démarrage : 

A chaque fois que le module de sécurité (= module Safety-M) est mis sous tension, l’état de 

niveau Bas du signal (état sûr défini) de l’élément d’entrée doit être contrôlé, par exemple en 

actionnant le bouton d’arrêt d’urgence ou un verrouillage de porte après le démarrage du 

système. 

Contrôles en fonctionnement et organisationnels : 

Il est possible, en plus des mesures de diagnostic décrites ci-dessus pour les modules Safety- 

M, de réaliser des contrôles cycliques dans l’application. Ces contrôles peuvent également 

s’utiliser pour évaluer le DC. 

Nota : 

Les contrôles en fonctionnement/organisationnels peuvent également s’utiliser pour une 

combinaison d’entrées hardware et d’entrées fonctionnelles (informations en entrée 

transmises via un bus de terrain standard). Cependant, une utilisation exclusive d’entrées 

fonctionnelles est exclue dans ce contexte (combinaison de deux ou davantage d’entrées 

fonctionnelles). 

Les modules Safety-M assurent ainsi des fonctions de diagnostic étendues pour le système 

d’entrée partiel. Ces fonctions sont réalisées en permanence ou en option (surveillance des 

courts-circuits transversaux au moyen d’un identifiant d’impulsion). 


Version: 24F - HB-37350-810-01-24F-EN


Les diagnostics pour capteurs d’entrée ci-dessous peuvent généralement s’utiliser 

pour l’évaluation de sécurité d’un système complet. 

Caractéristique 

de l’élément 

d’entrée 

A un canal 

A deux canaux 

Contrôles paramétrés 

/ opérationnels 

Contrôle de courtscircuits 

transversaux 

Avec time-out 

Contrôle au 

démarrage 

Contrôle cyclique 

pendant le 


O O >60 

X 90 

X O O 90-99 

DC Définition de 

mesures 

90 

O O 90-99 

X 99 

X 99 

Impulsion de contrôle cyclique 

par changement dynamique 

des signaux d’entrée 







Comparaison croisée des 

signaux d’entrée avec contrôle 

dynamique, si les courtscircuits 

ne peuvent pas être 

détectés (entrées/sorties 

multiples) 





signaux d’entrée avec les 

résultats instantanés et 

intermédiaires du circuit 

logique (L) et temporelle, et 

surveillance logique de la 

séquence du programme et 

détection de défaillances 

statiques et de courts-circuits 

(entrées/sorties multiples) 

Contrôle de plausibilité, p. ex. 

utilisation de contacts 

normalement ouverts et 

normalement fermés = 

comparaison de signaux non 

équivalents d’éléments 

d’entrée. 

Remarque 

Il faut assurer une 

fréquence de contrôle 

suffisamment élevée 

Ne fonctionne que si 

l’affectation des 

impulsions est activée 

DC en fonction de la 

fréquence du contrôle 

au démarrage / 

cyclique 

DC = 90 : contrôle 

seulement à 

intervalles > 4 

semaines 

DC = 99 : contrôle au 

moins 1 x par jour ou 

100 fois la fréquence 

demandée 

Avec l’exclusion des 

défaillances par 

court-circuit, jusqu’à 

DC=99 possible 

DC en fonction de la 

fréquence du contrôle 

au démarrage / 

cyclique 

Ne fonctionne que si 

l’affectation des 

impulsions est activée 

Ne fonctionne qu’en 

relation avec 

l’activation de la 

fonction de time-out 

pour l’élément 

d’entrée 


Version: 24F - HB-37350-810-01-24F-EN



• Les données du fabricant (MTTFD, numéros FIT, etc.) sont à utiliser pour une 

évaluation de sécurité du système partiel « capteurs ». 

• Les valeurs DC du tableau sont à utiliser de manière prudente, et la conformité avec 

les valeurs limites (voir les “remarques” du tableau) doit être assurée. 

• Selon les normes applicables, des exclusions de défaillances sont permises. Les 

conditions limites indiquées dans ce contexte doivent être respectées en permanence. 

• Si le bon fonctionnement d’une seule fonction de sécurité nécessite plusieurs systèmes 

de capteurs, leurs valeurs partielles sont à fusionner correctement en se basant sur la 

méthode choisie. 

4.2.1.3 Classification des entrées digitales 

4.2.1.3.1 Entrées de base D1 ... D14 

Entrées digitales Niveau de 

performance 

réalisable 

DI1 � DI4 

DI9 � DI12 

DI5 � DI8 

DI13, DI14 

PL e 

PL e 

PL d 

PL e 

Commentaires 

Convient pour tous les types d’éléments d’entrée, 

avec/sans impulsion, le Pl réalisable dépend du 

MTTFd de l'élément d’entrée et des exclusions de 

défaillances dans le câblage externe. 

A un canal, avec impulsion : 

- Nécessite principalement le niveau Haut 

(THaut > 100 * TBas) 

- Au moins une requête par jour, émise par 

l’application. 

- Détection de défaillance sur demande 

A un canal, sans impulsion : 

- Exclusion de la défaillance court-circuit 

entre les signaux et avec VCC 


A deux canaux : 




PL e Utilisation de l’impulsion 1 et de l’impulsion 2 

Pl d 

Sans impulsion / avec impulsion 1 ou 2 sur les 

deux entrées 

Détection de défaillance sur demande 


Version: 24F - HB-37350-810-01-24F-EN


4.2.1.3.2 Entrées d’extension EAE1 � EAE10 

Entrées digitales Niveau de 

performance 

réalisable 

EAE1 � EAE10 

(uniquement 

SMX 31) 

Commentaires 

Sans impulsion, signal statique sur un canal 

-> entrée auxiliaire 

Sans impulsion, signal statique sur deux canaux 

PL e 




Sans impulsion, signal statique sur deux canaux 

PL d 

- Moins d’une requête par jour, émise par 


A un canal, avec impulsion 

- Nécessite principalement le niveau Haut 

PL e 

- 

(THaut > 100 * TBas) 

Au moins une requête par jour, émise par 



PL d 

A un canal, avec impulsion 

- Moins d’une requête par jour 

PL e A deux canaux avec impulsion 1 et impulsion 2 

Nota : Le Pl réalisable avec une combinaison d’entrées hardware et d’entrées fonctionnelles 

dépend des contrôles en fonctionnement/organisationnels choisis, ainsi que de 

l’indépendance des deux canaux dans la structure du système. La détermination du Pl 

nécessite une analyse de l’application. 


Version: 24F - HB-37350-810-01-24F-EN


4.2.1.4 Exemples de raccordements de capteurs digitaux 

4.2.1.4.1 Capteur à un canal, sans détection de court-circuit transversal 

X14 

L+ 

L- 

DI1 

DI2 

DI3 

DI4 

. 

. 

. 

DI13 

DI14 

P1 

P2 

X12 

Fig. : Capteur à un canal, sans détection de court-circuit transversal 

Ce capteur à un seul canal est raccordé à Safety-M sans horloge et sans détection de courtcircuit 

transversal. Cette conception n’est pas recommandée pour les applications de sécurité. 

Il est possible de réaliser au maximum Pl b selon EN ISO 13849-1. 

4.2.1.4.2 Capteur à un canal, avec détection de court-circuit transversal 

DI1 

DI2 

DI3 

P1 

P2 

L+ 

L- 

DI4 

. 

. 

. 

DI13 

DI14 

P1 

P2 

X14 

X12 

Fig. : Capteur à un canal, avec détection de court-circuit transversal 


Version: 24F - HB-37350-810-01-24F-EN


Dans le cas de l’utilisation d’un capteur à un canal synchronisé, une sortie est reliée à la sortie 

d’horloge P1 ou P2. L’horloge doit ensuite être affectée à Safety-M. 

L’utilisation d’un capteur à un canal permet la détection de : 

court-circuit avec la tension d’alimentation DC 24 V 

court-circuit avec DC 0 V 

coupure du câble (la coupure de courant correspond à l’état sûr !) ) 

Il faut cependant faire attention dans le cas d’un court-circuit d’un câble entre les deux 

branchements du capteur, celui-ci n’étant pas détecté ! Un court-circuit entre P1 et DI1 n’est 

pas non plus détecté. 

Du fait de la conception à un seul canal de l’élément de commutation / du capteur, une 

exclusion de défaillance est nécessaire pour la défaillance de celui-ci. Ceci est permis dans le 

cas de l’utilisation de commutateurs à ouverture forcée avec un actionnement commandé 

correctement. 

Un branchement en série de deux éléments de commutation avec une exclusion 

correspondante d’une double défaillance est équivalente à l’application. Il peut par exemple 

s’agir des sorties de sécurité d’un dispositif électronique de surveillance (barrière lumineuse,�) 

avec désactivation interne à deux canaux. 

Il est possible de réaliser Pl d selon EN ISO 13849-1 à l’aide d’un élément de commutation 

approprié et un câblage soigné du capteur. Dans des cas particuliers, par exemple en relation 

avec des éléments de commutation appropriés et l’admission d’exclusions de défaillances, il 

est possible de réaliser Pl e selon EN ISO 13849-1. 


• Pl e ou supérieur selon EN ISO 13849-1 est réalisé si le court-circuit entre l’entrée et la 

sortie d’impulsion associée et le court-circuit entre les raccordements du capteur 

peuvent être exclus. Il faut noter que, dans le cas d'une défaillance, l'ouverture du 

contacteur doit être forcée, conformément à EN 60947-5-1. Le capteur doit en outre 

être déclenché à intervalles réguliers et une requête doit être émise pour activer la 

fonction de sécurité. Les exclusions de défaillances peuvent être réalisées 

conformément à EN ISO 13849-2 tableau D8. Dans le cas d’une utilisation monocanal 

des entrées, le niveau de sécurité réalisable doit être limité à SIL 2 ou Pl d, si 

l’activation de la fonction de sécurité est requise à intervalles réguliers. 

• Un branchement en série de deux éléments de commutation avec l’exclusion de 

doubles défaillances nécessite le contrôle d'aptitude en fonction du niveau de sécurité 

prévu pour cet élément. Nous attirons votre attention sur les règlementations 

applicables de la Directive CE sur les machines 2006/42/CE. 

• Pour les capteurs à un canal, une utilisation de sécurité des entrées n’est prévue qu’en 

relation avec les sorties d’impulsions. 


Version: 24F - HB-37350-810-01-24F-EN


4.2.1.4.3 Capteur à deux canaux sans time-out, avec détection des courts-circuits transversaux 

Les défaillances sont détectées au moins à la demande. Le DC est moyen et il est possible 

d’atteindre la classification haut à l’aide de contrôles cycliques (tests au démarrage, contrôles 

en fonctionnement/organisationnels), en fonction de la fréquence des contrôles. 

N’utiliser exclusivement que des contacts normalement fermés pour des applications de sécurité. 

Il est possible d’atteindre Pl d selon EN 13849-1 en utilisant des capteurs / des éléments de 

commutation excluant la défaillance de la non-ouverture des contacts de commutation. Ceci 

est permis dans le cas de l’utilisation de commutateurs à ouverture forcée avec un 

actionnement commandé correctement. L’utilisation de capteurs avec contacts de surveillance 

autocontrôlés est également permise. 

Il est possible d’atteindre Pl e selon EN 13849-1 en utilisant des capteurs / des éléments de 

commutation hétérogènes avec un MTTFd suffisamment élevé, associé à une surveillance de 

la plausibilité temporelle, et un changement suffisamment élevé de l’état de commutation = 

contrôle dynamique. 

Fig. : Capteur à deux canaux, homogène, sans synchronisation, avec coupure forcée 

Fig. : Elément d’entrée à deux canaux, hétérogène, sans synchronisation 


Version: 24F - HB-37350-810-01-24F-EN



• Il est possible d’atteindre Pl d ou supérieur selon EN 13849-1 en utilisant des capteurs 

/ des éléments de commutation à contacts à ouverture forcée ou à actionnement forcé 

selon EN 60947-5-1. 

• L’utilisation d’appareils permettant l’exclusion des doubles défaillances de leurs 

éléments de commutation pour le niveau de sécurité recherché est permis. Nous 

attirons votre attention sur les règlementations applicables de la Directive CE sur les 

machines 2006/42/CE. 


Version: 24F - HB-37350-810-01-24F-EN


4.2.1.4.4 Capteur à deux canaux avec time-out et détection des courts-circuits transversaux 

Il est possible de détecter les courts-circuits transversaux, ainsi que les raccordements à DC 

24 V et DC 0 V à l’aide de deux signaux d’horloge indépendants sur un capteur homogène. 

N’utiliser exclusivement que des contacts normalement fermés pour des applications de 

sécurité. 

Il est possible d’atteindre Pl d ou supérieur selon EN 13849-1 en utilisant des capteurs / des 

éléments de commutation excluant la défaillance de la non-ouverture des contacts de 

commutation. Ceci est permis dans le cas de l’utilisation de commutateurs à ouverture forcée 

avec un actionnement commandé correctement. L’utilisation de capteurs avec contacts de 

surveillance autocontrôlés est également permise. 

DI1 

DI2 

DI3 

DI4 

DI13 

DI14 

P1 

P2 

P1 

P2 

L+ 

L- 

. 

. 

. 

X14 

X12 

Fig. : Capteur à deux canaux, homogène, avec synchronisation 


• Il est possible d’atteindre Pl d ou supérieur selon EN 13849-1 en utilisant des capteurs / 

des éléments de commutation à commande forcée. 

• Il est possible d’atteindre Pl d ou supérieur selon EN 13849-1 en utilisant deux 

capteurs indépendants à commande indépendante. 

• L’utilisation d’éléments communs dans la chaîne de commande nécessite une 

exclusion de défaillance pour ces éléments. Il faut se conformer aux limitations et aux 

critères selon EN 13849-1. 


Version: 24F - HB-37350-810-01-24F-EN


4.2.1.4.5 Capteur à deux canaux avec time-out et détection des courts-circuits transversaux 

Il est possible de détecter les courts-circuits transversaux, ainsi que les raccordements à DC 

24 V et DC 0 V à l’aide de deux signaux d’horloge indépendants sur un capteur homogène. 

Il est possible d’atteindre Pl d ou supérieur selon EN 13849-1 : 

- en utilisant des capteurs / des éléments de commutation à commande forcée 

- en utilisant deux capteurs / éléments de commutation à commande indépendante 

- comme ci-dessus, cependant, avec une commande par un dispositif de commande commun 

en relation avec une exclusion de défaillance pour ce dispositif. 

DI1 

DI2 

DI3 

DI4 

DI13 

DI14 

P1 

P2 

P1 

P2 

L+ 

L- 

. 

. 

. 

X14 

X12 

Fig. : Capteur à deux canaux, homogène, avec synchronisation 


• Il est possible d’atteindre Pl d ou supérieur selon EN 13849-1 en utilisant des capteurs 

/ des éléments de commutation à commande forcée. 

• Il est possible d’atteindre Pl d ou supérieur selon EN 13849-1 en utilisant deux 

capteurs indépendants à commande indépendante. 

• L’utilisation d’éléments communs dans la chaîne de commande nécessite une 

exclusion de défaillance pour ces éléments. Il faut se conformer aux limitations et aux 

critères selon EN 13849-1. 


Version: 24F - HB-37350-810-01-24F-EN


4.2.1.5 Vue d’ensemble des Pl réalisables pour les entrées de sécurité digitales 

Type de 

capteur / 

d’élément 

d’entrée 

A un canal 

A deux 

canaux 

parallèles 

A deux 

canaux 

parallèles 

Entrée Contrôles 

paramétrés / 

opérationnels 

DI1..D14 

DI1..D4 

DI9..DI12 

Toutes 

Toutes 

Toutes 

Contrôle de 

courts-circuits 

transversaux 

Avec time-out 

Contrôle au 

démarrage 


pendant le 


Pl 

réalisable 

selon EN 

13849-1 

b 

O O d 

X d 

X O O e 

e 

d 

Exclusion de 

défaillance pour 

l’élément 

d’entrée 

Toutes les 

défaillances de 

l’élément d’entrée 

Court-circuit en 

entrée/de la ligne 

de signal 

Toutes les 





de signal 

Collage 



de signal 

Toutes les 





de signal 

Court-circuit entre 

entrée/ligne de 

signal 

Condition pour l’élément 

d’entrée 

Elément d’entrée éprouvé en 


MTTFD = haut 

Branchement en armoire 

électrique ou pose protégée 

L’élément d’entrée ne 

correspond pas au moins à Plr 



Nécessite principalement le 

niveau Haut (THaut > 100 * 

TBas) Coupure forcée 

MTTFD = haut 



L’élément d’entrée ne 

correspond pas au moins à Plr 



MTTFD = haut 



MTTFD = moyen 

X e MTTFD = haut 

X 

e 

Court-circuit entre 

entrée/ligne de 

signal (uniquement 

avec éléments de 

commutation 

communs = 2xNO 

ou 2xNC) 



MTTFD = haut 


Version: 24F - HB-37350-810-01-24F-EN


Type de 

capteur / 

d’élément 

d’entrée 

A deux 

canaux 

Entrée Contrôles 

paramétrés / 

opérationnels 

DI1..D4 

DI9..DI12 

Toutes 

Contrôle de 

courts-circuits 

transversaux 

Avec time-out 

Contrôle au 

démarrage 


pendant le 


Pl 

réalisable 

selon EN 

13849-1 

d 

O O e 

O O d 

Exclusion de 

défaillance pour 

l’élément 

d’entrée 



de signal 

Collage / coupure 

forcée 



de signal 



de signal 

Condition pour l’élément 

d’entrée 



MTTFD = moyen 



MTTFD = haut 



MTTFD = moyen 

X O O e MTTFD = haut 

X : Mesure de diagnostic activée 

O : Au moins 1 mesure de diagnostic activée 


Version: 24F - HB-37350-810-01-24F-EN


4.2.2 Capteurs d’acquisition de vitesse et/ou de position 

4.2.2.1 Structure de sécurité générale de l’interface du capteur de vitesse et/ou de 

position 

Les modules de base de la gamme Safety-M peuvent être équipés en option d’une (Safety- 

MS1/Safety-MS2) ou de deux interfaces codeur (Safety-MS1-MS2/Safety-MSP2) par axe. 

En fonction du type et de la combinaison de codeurs, il est possible de réaliser différents 

niveaux de sécurité. Le schéma ci-dessous correspond au système partiel ci-dessus : 

CapteurB 

Capteur PES 

Actionneur 

Système de capteur double avec retraitement séparé du signal sur deux canaux, diagnostic par comparaison 

croisée dans le PES. 

Syst. Partiel à 1 canal 

Mec. + 

Send opt. 

Capteur 

CapteurA 

Piste A 

Piste B 

PES 

Actionneur 

Système de capteur avec systèmes partiels à un et à deux canaux (exemple codeur incrémental). Diagnostic par 

retraitement séparé du signal sur deux canaux et comparaison croisée dans le PES, ainsi que d’autres diagnostics 

spécifiques. 


Version: 24F - HB-37350-810-01-24F-EN


4.2.2.2 Mesures de diagnostic générales pour interface de codeur 

La gamme Safety-M dispose d’une série de mesures de diagnostic implémentées pour la 

détection des défaillances dans le système de capteur, en fonction du type ou de la 

combinaison de codeur. Ces mesures sont activées automatiquement à la sélection du type 

de codeur. 

Les mesures de diagnostic peuvent se classer, selon leur type et leur action, comme indiqué 

dans le tableau ci-dessous : 

Diagnostics pour les capteurs d’acquisition de position et/ou de vitesse : 

Mesure DC Remarque Utilisation 

Comparaison croisée des 99 A utiliser uniquement pour : Surveillance de systèmes 


- systèmes de capteur à de capteurs à 2 canaux 


deux canaux (2 ou du système partiel 


capteurs séparés), correspondant de 


- système partiel à deux capteurs pour un 


canaux de capteurs à fonctionnement 


un canal (codeur dynamique 


incrémental) 

A ne pas utiliser pour la 

statiques et de courts-circuits - diagnostic des 

surveillance de 


systèmes partiels à un 

et à deux canaux de 

systèmes de capteurs 

spéciaux (codeur 

SIN/COS, résolveur) 

- Fonctionnement 

dynamique / pas de 

surveillance de 

l’immobilité 

l’immobilité ! 

Comparaison croisée de 80- Le DC dépend de la Surveillance de systèmes 

signaux d’entrée sans contrôle 95 fréquence de l’état de capteurs à 2 canaux 

dynamique 

% dynamique, c.-à-d. ou du système partiel 

l’immobilité ou le correspondant de 

mouvement, ainsi que de capteurs pour un 

la qualité de l'action de fonctionnement non 

surveillance 

dynamique 

(80 – 90 % pour les A utiliser en particulier 

codeurs incrémentaux, pour la surveillance de 

95 % for pour les 

codeurs SIN/COS) 

l’immobilité ! 

Surveillance de quelques 60 Diagnostic de 

Surveillance du système 

caractéristiques du capteur 

caractéristiques 

partiel à un canal dans 

(temps de réponse, plage des spécifiques des capteurs, des systèmes de capteur 

signaux analogiques, p. ex. 

à utiliser uniquement à un canal. 

résistance électrique, capacité) pour les capteurs de 

vitesse et de position 

selon le chapitre 4.3. 


Version: 24F - HB-37350-810-01-24F-EN


4.2.2.3 Types de codeurs et leurs combinaisons, données de diagnostic 

Type 

Codeur sur 

interface 

X31/32 

Type 

Codeur sur 

interface 

X31/34 

NC NC 

Type 

Codeur sur 

X 23 

1 x Bero 

+ 

1 x Bero 

Vitesse 

sûre 

Incrémental NC NC X 

Direction 

sûre 

Incrémental Incrémental NC X X 

Incrémental NC 1 x Bero X 

X 

Position 

sûre 

Exclusion de défaillance 

Exclusion de la défaillance rupture mécanique 

de l’arbre, liaison positive de l’arbre du codeur 

requise si des elements communs sont utilisés 



requise 



Système 

partiel à 1 

canal 

DC 

Système 

partiel à 2 

canaux 

dynamique 

Système 

partiel à 2 

canaux non 

dynamique 

(surveillance 

de l’immobilité) 

n.a. 99% 80-90% 

60% 99% 80-90% 

n.a. 99% 95% 

n.a. 99% 90-95% 

Incrémental NC 2 x Bero 90° X X n.a. 99% 90-95% 

Incrémental SIN/COS NC X X 

Incrémental HTL NC X X 

n.a. 99% 99% 

n.a. 99% 90-95%


Type 

Codeur sur 

interface 

X31/32 

Type 

Codeur sur 

interface 

X31/34 

Type 

Codeur sur 

X 23 

Vitesse 

sûre 

Direction 

sûre 

Incrémental Résolveur NC X X 

Position 

sûre 

Incrémental SSI NC X X X 


SIN/COS Incrémental NC X X 


Fault exclusion mech. Exclusion de la 

défaillance rupture mécanique de l’arbre, liaison 

positive de l’arbre du codeur requise 



Système 

partiel à 1 

canal 

DC 

Système Système 

partiel à 2 partiel à 2 

canaux canaux non 

dynamique dynamique 

(surveillance 


n.a. 99% 99% 

n.a. 99% 90-95% 

90% 99% 90-95% 

n.a. 99% 95-99% 




SIN/COS Résolveur NC X X 

n.a. 99% 95-99% 

n.a. 99% 99%


Type 

Codeur sur 

interface 

X31/32 

Type 

Codeur sur 

interface 

X31/34 

Type 

Codeur sur 

X 23 

Vitesse 

sûre 

Direction 

sûre 

Position 

sûre 




Système 

partiel à 1 

canal 

DC 





(surveillance 





SSI Résolveur NC X X X 



NC Résolveur NC X X 







n.a. 99% 90-95% 

n.a. 99% 95-99% 

n.a. 99% 95-99% 

n.a. 99% 90-95% 

90% 99% 90-95% 

90% 99% 90-95%


Type 

Codeur sur 

interface 

X31/32 

Type 

Codeur sur 

interface 

X31/34 

Type 

Codeur sur 

X 23 

Vitesse 

sûre 

NC HTL NC X 

Direction 

sûre 

Position 

sûre 





requise 



Système 

partiel à 1 

canal 

DC 





(surveillance 


60% 99% 80-90% 

n.a. 99% 90-95%



1) Uniquement en mode Haute résolution 

SSI X X X X 



Résolveur X X X X X X 

HTL X X 

Incrémental X X X X 

Interface X 31/32, X23 

Bero 2 + entrée de 

comptage 

Bero 1 + entrée de 

comptage 

X 

X 

SSI X X 

SIN/COS X X 

Incrémental X X X 

Surveillance de la tension d’alimentation 

Surveillance du niveau différentiel 

Surveillance de la plausibilité SIN/COS 

Surveillance du niveau du signal d’entrée 

Surveillance des quadrants autorisés 

Surveillance du signal de comptage 

séparée pour les pistes A/B 

Surveillance du rapport de transmission 

signal de référence / signal mesuré 

Surveillance de la fréquence du signal de 

référence 

Surveillance de la tension du signal de 

référence 

Analyse du facteur de forme du signal 

mesuré 

Test de plausibilité signal de 

position/vitesse 

Surveillance de la fréquence d’horloge 

Type de codeur 

4.2.2.4 Mesures de diagnostic spécifiques en fonction du type de codeur utilisé 

Instructions d’installation


4.2.2.5 Seuils de déclenchement de sécurité des systèmes de codeur pour l’acquisition 

de la vitesse et de al position 

L’action de base consiste en des contrôles de plausibilité avec les valeurs courantes de position 

et de vitesse entre les deux canaux de mesure A et B du module Safety-M ; elles sont ensuite 

comparées à des seuils paramétrables. 

Le seuil de déclenchement Incrémental décrit la déviation de position tolérable entre els deux 

canaux d’acquisition A et B dans l’unité de la distance mesurée. 

Le seuil de déclenchement Vitesse décrit la déviation de vitesse tolérable entre els deux 

canaux d’acquisition A et B. 

Des fonctions de diagnostic pour la détermination des valeurs optimales des paramètres sont 

disponibles dans le dialogue SCOPE de l’outil de paramétrage. 

Nota : 

La vitesse et l’accélération sont des valeurs acquises avec une résolution digitale minimale. 

Ce fait limite l’acquisition la plus petite possible de la vitesse ou de l’accélération et détermine le 

pas digital pour la saisie de valeurs. 

Résolution de la vitesse : 

Jusqu’à une fréquence de 500 Hz ou de 500 pas/seconde, la vitesse se mesure par la méthode 

de mesure de la fréquence ; au-dessous, elle se mesure par une méthode de mesure de temps. 

L’évolution de l’erreur d'acquisition qui en découle est donnée ci-dessous : 

Erreur en % 

Evolution de l’erreur d’acquisition de V 

Résolution de l’accélération 

Fréquence ou pas/sec. 

La résolution digitale de l’accélération est limitée par le temps de porte maximal de 256 ms et par 

la résolution du codeur. Les graphiques ci-dessous représentent l’accélération la plus faible 

mesurable en fonction de la résolution en tours/min, mm/s² et m/s². 


Version: 24F - HB-37350-810-01-24F-EN


Valeur Valeur 

Accélération [trs/min/s] Accélération [mm/s²] et [m/s²] 

Résolution 

Courbe d’accélération en rotation Courbe d’accélération linéaire 

(Valeurs en trs/min/s) (Valeurs en mm/s et m/s²) 

Résolution 


• Le défaut peut être optimisé par la sélection d’une résolution du capteur adaptée à 

l’application correspondante. 

• Pour les applications à résolution limitée et/ou avec une variance du temps du signal de 

lecture, il est possible d’améliorer les performances de fonctionnement de la fonction de 

surveillance en utilisant un filtre moyenneur. Le filtre moyenneur « lisse » les 

composantes parasites des capteurs. Ce résultat est cependant obtenu au prix d’un 

temps de réponse plus long de l’ensemble du système. 

• Le temps de filtrage peut être réglé entre 0 et 64 par pas de 8. La valeur est donnée en 

« msec ». Afin de déterminer le temps de réaction du système complet, il faut ajouter les 

temps dus au filtre aux temps de réponse indiqués pour les systèmes Safety-M (voir 

chapitre 11). 


• Les données du fabricant (MTTF, numéros FIT, etc.) sont à utiliser pour une évaluation de 

sécurité du système partiel « capteurs ». 

• Si le constructeur demande des diagnostics spécifiques pour être en mesure de garantir 

les valeurs caractéristiques de sécurité indiquées, ces diagnostics sont à établir en 

fonction du codeur spécifique, selon le tableau « Mesures de diagnostic spécifiques pour 

les capteurs de position et de vitesse ». En cas de doute, ce point doit être clarifié par le 

constructeur. 

• Les valeurs DC du tableau sont à utiliser de manière prudente, et la conformité avec les 

valeurs limites (voir les “remarques” du tableau) doit être assurée. 


Version: 24F - HB-37350-810-01-24F-EN


• Une évaluation de la fréquence de l’état dynamique peut s’avérer nécessaire pour 

déterminer le valeur DC pour des fonctions de sécurité avec surveillance de l’immobilité. 

Un DC de 90% peut être utilisé ici come valeur indicative. 





méthode choisie. Ce point s’applique aussi à une combinaison de capteurs digitaux et 

analogiques (p. ex. vitesse réduite de sécurité avec porte de sécurité ouverte = contact de 

porte + codeur pour la détection de la vitesse. 

• Le choix de la résolution appropriée du système de capteur doit assurer une tolérance 

suffisamment réduite des seuils de déclenchements correspondants pour les différentes 

fonctions de sécurité. 

• Dans le cas de l’utilisation du filtre d’entrée codeur, il faut tenir compte de l'allongement du 

temps de réaction pour l'évaluation de la fonction de sécurité. 


Version: 24F - HB-37350-810-01-24F-EN


4.2.2.6 Evaluation de sécurité des types de codeurs ou de leurs combinaisons 

Du fait des fonctions de surveillance implémentées dans les produits Safety-M, il n’y a pas au départ 

d’exigences spéciales pour la conception interne de l’électronique des codeurs dans le cas d’applications 

avec des systèmes de codeurs; il est en règle générale possible de travailler avec des codeurs standard. 

Il faut en général réaliser une évaluation de sécurité de l’installation complète. Il faut dans ce cas 

utiliser les données fournies par le constructeur du codeur (FIT, MTTF), ainsi que les valeurs DC 

du tableau du paragraphe 4.2.2. 

Dans le cas de l’utilisation de codeurs individuels, il faut prévoir au moins une exclusion de 

défaillance pour la chaîne d’actionnement mécanique, ainsi que pour la partie à un seul canal, 

dans le respect des spécifications applicables de la norme EN 13849-1. Il faut en outre se 

conformer aux indications du paragraphe 4.2.2. 

Pl d et supérieur selon EN 13846-1 est normalement atteint au moyen d’une combinaison de deux 

codeurs avec des technologies prioritairement différentes et des liaisons mécaniques séparées. 

L’utilisation de codeurs compacts avec une structure interne à deux canaux de technologies 

différentes convient également aux applications jusqu’à Pl e selon EN 13849-1, cependant dans 

le respect des exclusions de défauts spécifiquement requises et de leur admissibilité. Il faut en 

règle générale utiliser des codeurs dont les caractéristiques de sécurité ont été éprouvées et dont 

le niveau de sécurité correspond au moins au niveau exigé. 


• L’utilisation de codeurs standard ou d’une combinaison de codeurs standard est permise. 

Une évaluation de sécurité est impérative pour les installations complètes composées 

d’un codeur, d’autres capteurs/éléments de commutation destinés à déclencher la 

fonction de sécurité, le module Safety-M et le canal de déclenchement. La détermination 

du niveau de sécurité nécessite, entre autres, les informations du constructeur (FTI, 

MTTF) et la valeur DC indiquée au paragraphe 4.2.2. 

• Si un seul codeur est utilisé, l’exclusion du défaut « rupture de l’arbre / défaut de la liaison 

mécanique du codeur » est requise. Il faut prendre des mesures appropriées à cet effet, par 

exemple une liaison positive du codeur au moyen d’une clavette ou d’une goupille de blocage. 

Il faut se conformer strictement aux informations applicables fournies par le constructeur, ainsi 

qu’à EN 13849-1 en relation avec les exigences et l’admissibilité de l’exclusion de défaillance. 

• Utiliser de préférence des codeurs dont les caractéristiques de sécurité ont été éprouvées 

en tant que codeurs individuels. Le niveau de sécurité de ces codeurs doit correspondre 

au moins au niveau de sécurité recherché pour l’installation complète. Il faut se conformer 

strictement aux informations du constructeur en termes de mesures de diagnostic, de 

raccordement mécanique et de mesures d’alimentation en tension. 

• Codeurs SIN/COS : La structure interne du système de capteur doit être conçue de sorte à 

permettre la génération de signaux de sortie pour les deux pistes indépendants l’un de 

l’autre et à exclure les défaillances pour cause d’origine commune. Il faut également justifier 

de la conception mécanique, par exemple de la fixation du disque codeur sur l’arbre. Utiliser 

de préférence des codeurs avec des caractéristiques de sécurité éprouvées. 

• Dans le cas de l’utilisation de codeurs compacts à structure interne à deux canaux, comme p. 

ex. SSI + incrémental/SINCOS, il faut se conformer strictement aux instructions du constructeur 

pour les caractéristiques de sécurité, les mesures de diagnostic, le raccordement mécanique et 

les mesures concernant l’alimentation électrique. Le niveau de sécurité du codeur doit 

correspondre au moins au niveau de sécurité recherché pour l’installation complète. Utiliser de 

préférence des codeurs avec des caractéristiques de sécurité éprouvées. 


Version: 24F - HB-37350-810-01-24F-EN


Le module Safety-M détecte généralement les défauts suivants du système de codeur 

externe : 

• Courts-circuits entre les lignes de signal importantes pour la sécurité 

• Coupure des lignes de signal importantes pour la sécurité 

• Etat permanent à 0 ou à 1 de l’une ou de toutes les lignes de signal importantes pour la 

sécurité 

Chaque type de codeur dispose d’autres diagnostics spécifiques pour la détection de défauts du 

système de codeur externe. Les mesures de diagnostic respectives sont énumérées ci-dessous, 

ainsi que les paramètres limites, avec les différents codeurs. 


• Les mesures de diagnostic ont des tolérances du fait des imprécisions de mesure. 

Ces tolérances sont à prendre en compte lors des évaluations de sécurité. 

• Les valeurs limites des mesures de diagnostic correspondantes sont en partie 

paramétrables, ou définies de manière fixe. Les taux de couverture des tests de 

diagnostic en résultant doivent être évalués en fonction de l’application et inclus dans 

l’évaluation de sécurité générale. 


Version: 24F - HB-37350-810-01-24F-EN


4.2.3 Capteurs analogiques 

Les modules de base SMX12A disposent de deux entrées analogiques avec deux canaux 

d’entrée chacune. Par principe, il ne faut raccorder à cette interface que des capteurs à deux 

canaux/ 

Le retraitement interne du signal s’effectue de manière séparée pour les deux canaux, avec 

comparaison croisée des résultats. 

Système de capteur à deux canaux avec retraitement séparé du signal sur deux canaux, diagnostic par comparaison 

croisée dans le PES. 

Comme pour les autres systèmes de capteur, une séries de mesures de diagnostic ont été 

implémentées. 

Les mesures de diagnostic peuvent se classer, selon leur type et leur action, comme indiqué 

dans le tableau ci-dessous : 

Diagnostics pour les capteurs d’acquisition de position et/ou de vitesse : 



signaux d’entrée avec contrôle 

dynamique, si les courtscircuits 

ne peuvent pas être 

détectés (entrées/sorties 

multiples) 

CapteurA 

CapteurB 

Capteur PES 









statiques et de courts-circuits 


90 Comparaison des 

valeurs d’entrée 

analogiques à 


identiques pour les deux 

canaux 

99 Comparaison des 

valeurs d’entrée 

analogiques à 


différentes pour les deux 

canaux, p. ex. évolution 

inverse des signaux, etc. 

Actionneur 

Surveillance de systèmes 

à deux canaux à 


identiques pour les 

signaux d’entrée 

Surveillance de systèmes 

à deux canaux à 


différentes pour les 

signaux d’entrée 


Version: 24F - HB-37350-810-01-24F-EN



• Les données du fabricant (MTTFFD, numéros FIT, etc.) sont à utiliser pour une évaluation 

de sécurité du système partiel « capteurs ». 







méthode choisie. Ce point s’applique aussi à une combinaison de capteurs digitaux et 

analogiques (p. ex. vitesse réduite de sécurité avec porte de sécurité ouverte = contact de 

porte + codeur pour la détection de la vitesse. 

4.2.3.1 Exemples de raccordement de capteurs analogiques 

L’utilisation de capteurs appropriés et un câblage soigné du capteur permettent d’atteindre Pl e 

selon EN ISO 13849. 

Les entrées analogiques en courant sont toutes munies d’une résistance de charge fixe de 

500 Ohms. Cette résistance n’existe pas pour les entrées analogiques en tension. 


• Pour atteindre Pl e selon EN ISO 13849-1, il faut utiliser deux capteurs exempts de 

rétroaction, pour lesquels les défaillances pour cause d’origine commune peuvent être 

exclues. 


Version: 24F - HB-37350-810-01-24F-EN


4.3 Données caractéristiques de sécurité et câblage des sorties 

Les modules Safety-M disposent de sorties sûres de différents types. Lors du câblage, il faut tenir 

compte des caractéristiques respectives, données dans la description ci-dessous. 

4.3.1 Caractéristiques des éléments de sortie 

PES Actionneur 

Safety-M à sortie à un canal et actionneur à un canal sans diagnostic 

PES 

Safety-M à sortie à un canal et actionneur à un canal avec diagnostic 

PES 

Actionneur 

Actionneur 

Safety-M à sortie à un canal (Rel 1 / 2 DO 0/1P, DO 0/1M) et actionneur à deux canaux avec diagnostic à au moins un 

canal 

PES 

Actionneur 

Safety-M à sortie à un canal avec retraitement interne sur deux canaux et actionneur à deux canaux avec diagnostic à 

au moins un canal 


Version: 24F - HB-37350-810-01-24F-EN


PES 

Safety-M à sortie à un canal avec retraitement interne sur deux canaux et actionneur à deux canaux avec diagnostic à 

deux canaux 

PES 

Safety-M à sortie à deux canaux et actionneur à deux canaux avec diagnostic à un canal 

PES 

Safety-M à sortie à deux canaux et actionneur à deux canaux avec diagnostic à deux canaux 

4.3.2 Diagnostics dans le circuit de déclenchement 

Le circuit de déclenchement est muni de fonctions de diagnostic implémentées de manière fixe et 

paramétrables. Certaines fonctions de diagnostic incluent également la partie externe du circuit 

de déclenchement. Des valeurs DC différentes seront obtenues en fonction de l’utilisation de ces 

fonctions de diagnostic. 

4.3.2.1 Fonctions de diagnostic 

Fonctions de diagnostic implémentes de manière fixe: 

Actionneur 

Actionneur 

Actionneur 

Collationnement croisé des sorties 

Toutes les sorties de sécurité sont collationnées dans le canal complémentaire. Les défauts dans 

le circuit de déclenchement interne du module Safety-M sont ainsi détectés par DC = haut. 

Test de la capacité de coupure de REL 1 et 2 (contrôle des relais uniquement), DO 0P, DO 0M, 

DO 1P, Do 1M: 

La capacité de coupure de ces circuits est contrôlée de manière cyclique. Une défaillance de la 

possibilité de coupure est clairement détectée. 

Fonctions de diagnostic paramétrables : 

Collationnement de l’état de l’actionneur au moyen de contacts auxiliaires, d’indicateurs de 

position, etc. 


Version: 24F - HB-37350-810-01-24F-EN


L’état courant de l’actionneur est détecté par des contacts auxiliaires ou des indicateurs de 

position appropriés et comparé à l’état théorique désiré. Toutes les déviations sont ainsi 

clairement détectées. 

Nota : La valeur DC dépend d’un diagnostic sur un canal ou sur deux canaux, ainsi que de la 

fréquence de commutation. 

Essai de la capacité de coupure pour EAA1..40 : 

La capacité de coupure de ces sorties est testée de manière cyclique après l’activation de cette 

fonction. Une défaillance de la possibilité de coupure est clairement détectée. 

4.3.2.2 Vue d’ensemble des valeurs DC en fonction des fonctions de diagnostic choisies 


Surveillance des sorties par 

un canal sans essai 

dynamique. 

Chemin de déclenchement 

redondant avec surveillance 

de l’un des éléments de 

l’entraînement 









statiques et de courtscircuits 

(entrées/sorties 

multiples) 

0-90 % La valeur DC dépend de la 

fréquence de commutation 

En cas d’utilisation d’éléments 

d’amplification de la 

commutation (relais ou 

contacteurs externes), n’est 

actif qu’avec la fonction de 

collationnement des contacts 

de commutation. 

90 % En cas d’utilisation d’éléments 







99 % En cas d’utilisation d’éléments 







Ces contrôles doivent être plus 

fréquents, p. ex. au début du 

poste, 1 x par semaine, pour 

des applications générant des 

demandes de coupure de 

sécurité fréquente. Un contrôle 

devrait cependant être effectué 

de manière cyclique au moins 

1 x par an. 

Surveillance d’actionneurs / 

de sorties 

électromécaniques, 

pneumatiques ou 

hydrauliques 

Surveillance des sorties 

ayant des fonctions directes 

de circuit de sécurité ou 

surveillance de circuits de 

sécurité comportant des 

éléments d’amplification de 

la commutation de vannes 

de commande 

pneumatiques / 

hydrauliques, en liaison 

avec la fonction de 

collationnement de leur état 

de commutation 

Surveillance des sorties 

ayant des fonctions directes 

de circuit de sécurité ou 

surveillance de circuits de 

sécurité comportant des 

éléments d’amplification de 

la commutation de vannes 

de commande 

pneumatiques / 

hydrauliques, en liaison 

avec la fonction de 

collationnement de leur état 

de commutation 


Version: 24F - HB-37350-810-01-24F-EN


4.3.3 Sorties de base 

Les modules 

• SMX10, Safety-MS1, Safety-MSP1, Safety-MS2, Safety-MSP2 

• SMX31 

ont tous des sorties de base de conception identique. 

Le module Safety-M offre un total de 8 sorties pouvant être interconnectées individuellement ou 

en groupes 

Sortie Architecture selon 

EN ISO 13849-1 

Commentaires 

K1 et K2 4 Canal de déclenchement complet 

conforme à l’architecture de catégorie 4 

selon EN ISO 13849-1 

K1 Non sûre Uniquement fonctionnelle 

K2 Non sûre Uniquement fonctionnelle 

DO0_P et 

DO0_M 

4 Canal de déclenchement complet 



DO0_P Non sûre Uniquement fonctionnelle 

DO0_M Not safe Uniquement fonctionnelle 

DO1_P et 

DO1_M 

4 Canal de déclenchement complet 



DO1_P Non sûre Uniquement fonctionnelle 

DO1_M Non sûre Uniquement fonctionnelle 

O.1 Non sûre Sortie de signal/auxiliaire 

O.2 Non sûre Sortie de signal/auxiliaire 

Les sorties HISIDE et LOWSIDE sont soumises à un contrôle de plausibilité dans tous leurs états 

de fonctionnement. A l’état activé, le bon fonctionnement de toutes les sorties est contrôlé au 

moyen d‘une impulsion de contrôle cyclique. Pour cela, la sortie est commutée à la valeur 

opposée pendant une période de contrôle TT < 300 µs : une sortie P est mise brièvement à un 

potentiel de 0 VDC, alors qu’une sortie M est mise à un potentiel de 24 VDC. 

La plausibilité des sorties à relais est surveillée à chaque cycle de commutation. Afin de 

maintenir la fonction de sécurité, les sorties à relais doivent être commutées, et donc contrôlées, 

de manière cyclique. Le cycle de commutation/de contrôle est à définir en fonction de 



Version: 24F - HB-37350-810-01-24F-EN



• Ces contrôles doivent être plus fréquents, p. ex. au début du poste, 1 x par semaine, pour 

des applications générant des demandes de coupure de sécurité fréquente. Un contrôle 

devrait cependant être effectué de manière cyclique au moins 1 x par an. 

• La fonction de contrôle des sorties est réalisée pour des groupes et pour les commandes 

individuelles. Les sorties auxiliaires ne sont pas contrôlées. 

• Les sorties côté HAUT (DO.0_P, DO.1_P) et côté Bas DO.0_M, DO.1_M) ne peuvent 

pas être utilisées individuellement pour des tâches de sécurité. Une utilisation pour 

des tâches de sécurité n’est permise qu’en combinaison côté Haut / côté Bas. 

Charges admissibles par les sorties : 

Sortie Tension Courant 

K1, K2 24 VDC 2.0 A 

K1, K2 230VAC 2.0 A 

O.1, O.2 24 VDC 100 mA 

DO.0_P, 

DO.1_P 

DO.0_M, 

DO.1_M 

24 VDC 250 mA 

GNDEXT 250 mA 


• Pour des applications de sécurité, n’utiliser que des éléments de commutation externes 

avec un courant de maintien minimal > 1.2 mA. 

• De nombreuses mesures de diagnostic ont été implémentées pour le système de sortie. Il 

faut prendre en compte en particulier l’intégration d’éléments d’amplification de la 

commutation tels que des relais, contacteurs, etc., dans le circuit de déclenchement. 


Version: 24F - HB-37350-810-01-24F-EN


4.3.3.1 Exemples de câblage des sorties de base 

4.3.3.1.1 Relais de commutation unipolaire ou sortie à semiconducteur sans contrôle 

Il est possible d’utiliser des contacteurs externes pour le raccordement d’applications multiphases 

ou en cas de besoins en courant plus élevés. Dans le cas d’un raccordement unipolaire sans 

contrôle externe, il faut tenir compte du fait que le module Safety-M ne détectera pas le collage 

d’un ou de plusieurs contacts externes. L’exemple de circuit suivant ne convient que de manière 

limitée pour des applications de sécurité, il permet de réaliser au maximum Pl b selon EN 13849-1 ! 

DO0_P 

DO0_M 

DO1_P 

DO1_M 

L+ 

DI1 

DI2 

DI3 

DI4 

X21 

X14 

L- 

Fig. : Sortie P à commutation unipolaire 

X22 

K1 

K2 

Fig. : Sortie à relais à commutation unipolaire 


L+ 

L- 

• Déconseillé pour des applications de sécurité ! Dans ce cadre, voir aussi les remarques de 

EN 13849-1 sur l'application et les exclusions de défauts nécessaires. 


Version: 24F - HB-37350-810-01-24F-EN


4.3.3.1.2 Sortie à relais ou à semiconducteur à commutation unipolaire avec amplificateur de 

commutation externe et contrôle 

Dans le cas de l’utilisation d’amplificateurs de commutation externes ou de composants 

électromécaniques, pneumatiques ou hydrauliques en aval, la réalisation de Pl c ou supérieur 

nécessite un dispositif de contrôle de l’ensemble de la chaîne et un dispositif d'avertissement/de 

signalisation. 

Les dispositifs électromécaniques nécessitent spécifiquement des contacts auxiliaires forcés, et 

les composants hydrauliques ou pneumatiques nécessitent des contacts de signalisation de la 

position des vannes. 

Le dispositif d'avertissement/de signalisation doit garantir une reconnaissance immédiate de la 

situation de danger par l’opérateur. 

Le Pl réalisable dépend principalement de la fréquence de contrôle, il est possible de réaliser au 

maximum PI d selon EM 13849-1. 

Fig. : Sortie à relais unipolaire avec contrôle 


• Recommandé uniquement sous certaines conditions pour des applications de sécurité ! 

Dans ce cadre, voir aussi les remarques de EN 13849-1 sur l'application et les exclusions 

de défauts nécessaires. 

• Pour Pl c ou supérieur, une fréquence de contrôle > 100 * la fréquence des requêtes est 

exigée. 

• Pl c et supérieur exigent un dispositif d'avertissement/de signalisation qui informe 

l’opérateur immédiatement en cas de situation de danger. 


Version: 24F - HB-37350-810-01-24F-EN


4.3.3.1.3 Sortie à relais ou à semiconducteur à commutation unipolaire avec circuit externe à 

deux canaux et contrôle 

Pour des applications de sécurité à partir de Pl c et supérieures selon EN ISO 13849-1, nous 

recommandons fortement, voire exigeons, la commande de deux éléments de coupure externes. 

Par ailleurs, la réalisation de Pl c ou supérieur exige un dispositif de contrôle de l’ensemble de la 

chaîne et un dispositif d'avertissement/de signalisation de défauts détectés – voir aussi les 

remarques du paragraphe 4.3.3.1.2. 

DO0_P 

DO0_M 

DO1_P 

DO1_M 

DI13 

DI14 

P1 

P2 

NC 

NC 

DO.1 

DO.2 

L + 

L - 

X43 

X42 

X65 

Fig. : Sortie de commutation à un canal DO0_P avec circuit externe à deux canaux et 

surveillance sur l’entrée 1 sous la forme d’un signal de retour groupé. 

Les deux signaux de surveillance externes sont branchés en série, alimentés par le signal 

d’horloge P et lus par l’entrée 1. L’entrée 1 a été choisie pour la lecture du signal en retour, mais 

cette tâche peut être affectée à n’importe quelle entrée. 


Version: 24F - HB-37350-810-01-24F-EN


Fig. : Sortie de commutation à un canal DO0_P avec circuit externe à deux canaux combinant 

un élément électromécanique et une vanne hydraulique/pneumatique, avec surveillance sur deux 

entrées 





• Pl c et supérieur exige un dispositif d'avertissement/de signalisation qui informe 


• Pour des exigences supérieures, il faut veiller à ce qu’au moins une opération de 

commutation ait lieu toutes les 24 heures, afin de contrôler l’aptitude à la commutation du 

contacteur de puissance externe. 


Version: 24F - HB-37350-810-01-24F-EN


4.3.3.1.4 Sortie à relais commutant deux canaux avec surveillance externe - signal de retour 

groupé 

Deux relais du module Safety-M et deux contacteurs de puissance externes sont utilisés pour 

des applications de sécurité à partir de Pl d selon EN ISO 13849-1. 

DI1 

DI2 

DI3 

DI4 

DI13 

DI14 

P1 

P2 

X22 

X14 

X12 

K1 

K2 

Fig. : Sortie à relais commutant deux canaux avec surveillance externe - signal de retour 

groupé 

Les deux contacts de surveillance externes sont branchés en série, alimentés par le signal 

d’horloge P1 et lus par DI1 (configuré comme entrée EMU). Dans le cas d’exigences supérieures, 

il faut tenir compte du fait qu’au moins une opération de commutation doit avoir lieu toutes les 24 

heures. 


• Une fréquence de contrôle suffisamment élevée est nécessaire pour réaliser PI e selon 

EN ISO 13849-1. 

• Ces contrôles doivent être plus fréquents, p. ex. au début du poste, 1 x par semaine, pour 

des applications générant des demandes de coupure de sécurité fréquente. Un contrôle 

devrait cependant être effectué de manière cyclique au moins 1 x par an. 



L+ 

L-


4.3.3.1.5 Sortie à deux canaux avec une sortie à relais et une sortie à semiconducteur – circuit 

de commande externe avec surveillance 

Pour des applications de sécurité à partir de Pl d et supérieur selon EN ISO 13849-1. Le circuit 

externe est commandé en mode deux canaux par une sortie à relais et une sortie à 

semiconducteur. Chacun des deux circuits de coupure est surveillé. Pl e selon EN ISO 13849-1 

nécessite une fréquence de contrôle suffisamment élevée et MTTFD = haut pour le circuit externe. 

4.3.3.1.6 Sortie à deux canaux avec sortie à relais et circuit de commande externe en PI e 


externe est commandé en mode deux canaux par des sorties à relais. Pl e selon EN ISO 13849-1 

nécessite une fréquence de contrôle suffisamment élevée, et Pl e est exigé pour le circuit externe. 

K1.1 

K1.2 

K2.1 

K2.2 

L + 

L - 

X44 

STO 

Pl e 


Version: 24F - HB-37350-810-01-24F-EN


4.3.3.1.7 Sortie à deux canaux avec sortie à semiconducteur et circuit de commande externe en 

PI e 


externe est commandé en mode deux canaux par des sorties à semiconducteur. Pl e est exigé 

pour le circuit externe pour réaliser Pl e selon EN ISO 13849-1. 

4.3.3.1.8 Câblage d’une sortie auxiliaire 

Les deux sorties à semiconducteur implémentées sur le module Safety-M peuvent être câblées 

pour des applications fonctionnelles. Ces sorties ne sont pas commutées par des impulsions. 

O.1 

O.2 

X13 

Fig. : Câblage d’une sortie auxiliaire 

Les applications utilisant des sorties auxiliaires ne sont pas acceptées comme des applications 

de sécurité ! 



L+ 

L-


4.3.4 E/S configurables comme sorties 

Le module d’extension SMX13 dispose de 10 E/S sûres configurables EAA1�EAA10 (voir 

chapitre 3 Présentation des modules) Paramétrée comme une sortie, de branchement fonctionne 

comme une sortie digitale côté Haut sûre (DO_P). 

4.3.4.1 Classification des E/S si utilisées comme sortie 

Architecture Niveau de 

performance 

Statique à un canal PL c 

Statique à deux 

canaux 

Statique à deux 

canaux 

PL e 

PL d 

Commentaires 

- Détection de défaut ou réaction à un 

défaut selon la cat. 2 

- Groupe différent 

Même groupe : 

- Commande différée au niveau de l’API 

- Approche du défaut court-circuit sur les 

deux sorties 

Groupe différent : 

- Aucune autre exigence requise 

Dynamique à un canal PL e Aucune autre exigence requise 

Dynamique à deux 

canaux 

PL e 

Aucune autre exigence requise 

Nota : 

1) Groupe 1 : EAA1 � EAA6 

Groupe 2 : EAA7 � EAA10 

2) Statique : pas de contrôle d’impulsion en sortie 

Dynamique : contrôle d’impulsion en sortie avec tContrôle ≤ 500 µs 

4.3.4.2 Exemple de câblage des sorties du module d’extension 

4.3.4.2.1 Câblage à un canal sans contrôle 


Version: 24F - HB-37350-810-01-24F-EN


L+ 

L- 

EAA1 

EAA2 

P1 

P2 

EAA3 

EAA4 

EAA5 

EAA6 

EAA7 

EAA8 

EAA9 

EAA10 

X12 

X21 

X22 


• Déconseillé pour des applications de sécurité ! Dans ce cadre, voir aussi les remarques de 

EN 13849-1 sur l'application et les exclusions de défauts nécessaires. 

4.3.4.2.2 Câblage à un canal avec contrôle 

Utilisation d’une sortie EAA1�40 en liaison avec un câblage externe à un canal pour le contrôle 

Les dispositifs électromécaniques nécessitent spécifiquement des contacts auxiliaires forcés, et 

les composants hydrauliques ou pneumatiques nécessitent des contacts de signalisation de la 

position des vannes. En outre, un dispositif d'avertissement/de signalisation des défauts est 

nécessaire. Le dispositif d'avertissement/de signalisation doit garantir une reconnaissance 

immédiate de la situation de danger par l’opérateur. 

Le Pl réalisable dépend principalement de la fréquence de contrôle, il est possible de réaliser au 

maximum PI d selon EM 13849-1. 


Version: 24F - HB-37350-810-01-24F-EN


EAA13 

EAA14 

EAA15 

EAA16 

DI13 

DI14 

P1 

P2 

NC 

NC 

DO.1 

DO.2 

X51 

X42 

X65 

L + 

L - 

Fig. : Sortie à relais unipolaire avec contrôle 





• Pour Pl c ou supérieur, une fréquence de contrôle > 100 * la fréquence des requêtes est 

exigée. 

• Pl c et supérieur exige un dispositif d'avertissement/de signalisation qui informe 



Version: 24F - HB-37350-810-01-24F-EN


4.3.4.2.3 Sortie à un canal en liaison avec un circuit de coupure sûr 

Pour des applications de sécurité à partir de Pl c et supérieur selon EN ISO 13849-1. Le circuit 

externe est commandé directement par une sortie. Le Pl réalisable selon EN ISO 13849-1 

dépend de l’utilisation du contrôle dynamique (voir 4.3.2.1 DC) et du Pl du dispositif aval. 

EAA13 

EAA14 

EAA15 

EAA16 

X51 

STO 

Pl e 

L + 

L - 

Fig. : Sortie unipolaire à semiconducteur en liaison avec un appareil à coupure contrôlée. 

4.3.4.2.4 Sortie à un canal en liaison avec un circuit de coupure à deux canaux 

Convient pour Pl d et supérieur selon EN ISO 13849-1. Utilisation d’une sortie EAA1�40 en 

liaison avec un câblage externe à deux canaux avec contrôle. Les dispositifs électromécaniques 

nécessitent spécifiquement des contacts auxiliaires forcés, et les composants hydrauliques ou 

pneumatiques nécessitent des contacts de signalisation de la position des vannes. 

Le Pl réalisable dépend de l’utilisation du contrôle dynamique, ainsi que de la valeur MTTFD du 

canal externe. Il est possible de réaliser au maximum Pl e selon EN ISO 13849-1. 

Fig. : Sortie unipolaire à semiconducteur en liaison avec un circuit de coupure à deux canaux 

avec contrôle. 


Version: 24F - HB-37350-810-01-24F-EN


4.3.4.2.5 Sortie à deux canaux 

Convient pour Pl d et supérieur selon EN ISO 13849-1. Utilisation de deux sorties EAA1�40 en 

liaison avec un câblage externe à deux canaux. 

4.3.4.2.6 Câblage de deux canaux dans le même groupe 

L+ 

L- 

EAA1 

EAA2 

P1 

P2 

EAA3 

EAA4 

EAA5 

EAA6 

EAA7 

EAA8 

EAA9 

EAA10 

X12 

X21 

X22 

4.3.4.2.7 Câblage de deux canaux dans des groupes différents 

L+ 

L- 

EAA1 

EAA2 

P1 

P2 

EAA3 

EAA4 

EAA5 

EAA6 

EAA7 

EAA8 

EAA9 

EAA10 

X12 

X21 

X22 


Version: 24F - HB-37350-810-01-24F-EN



• Dans le cas de l’utilisation d’éléments externes dans le circuit de coupure, p. ex. pour 

l’amplification de la commutation, l’évaluation de sécurité du système partiel Sortie 

nécessite l’utilisation des données des constructeurs respectifs (MTTFD, numéros FIT, 

valeur B10d, etc.) 





• Dans le cas de l’utilisation d’éléments d’amplification de la commutation dans des circuits 

de sécurité, leur fonction doit être surveillée au moyen de contacts de collationnement, 

etc., appropriés (voir les exemples de circuit). Les contacts de collationnement appropriés 

sont des contacts liés positivement aux contacts du circuit de coupure. 

• La capacité de coupure de l’amplificateur de commutation externe doit être contrôlée de 

manière cyclique. L'intervalle entre deux contrôles doit être déterminé en fonction des 

exigences de l’application et réalisé au moyen de mesures appropriées. Les mesures 

appropriées peuvent être de nature organisationnelle (activation et désactivation au début 

d’un poste) ou technique (commutation automatique, cyclique). 


Version: 24F - HB-37350-810-01-24F-EN


4.3.4.3 Vue d’ensemble des Pl réalisables pour les sorties de sécurité digitales 

Sortie 

Safety-M 

A un canal 

sans contrôle 

dynamique de 

la sortie 

Rel 1 ou 2 

DO 0P, DO 

0M, DO 1P, 

DO 1M 

EAA1..EAA40 

A un canal 


dynamique de 

la sortie 

Rel 1 ou 2 

ou 

A un canal 

DO 0P, DO 

0M, DO 1P, 

DO 1M 

A un canal 


dynamique de 

la sortie 

EAA1..EAA40 

A un canal 

avec contrôle 

dynamique de 

la sortie 

EAA1..EAA40 

Actionneur / 

circuit de 

coupure 

externe 

A un canal 

Contacteur ; 

vanne, frein, etc. 

sans retour 

direct pour 

diagnostic. 

A un canal 

Contacteur, 


avec contact 

auxiliaire 

surveillé et forcé 

A deux canaux 

Contacteur, 


avec retour 

direct pour 

diagnostic au 

moins sur un 

canal ou 

actionneur 

contrôlé par un 

canal avec 

fonction de 

sécurité de cat. 

3 (p. ex. STO) 

A deux canaux 

Contacteur, 


avec retour 

direct pour 

diagnostic au 

moins sur un 

canal ou 

actionneur 

contrôlé par un 

canal avec 

fonction de 



A deux canaux 

Contacteur, 


avec retour 

direct pour 

diagnostic au 

moins sur un 

canal ou 

actionneur avec 

fonction de 



Catégorie 

selon 

EN 

13849- 

4 

DC MTTFD 

Actionneur 

Pl réalisable 

selon 

EN 

13849-1 

Conditions limites Exclusion 

de 

défaillance 

Cat. B 0 % Moyen b Contacteur et 

actionneurs aval conçus 

de manière appropriée 

pour des applications de 

sécurité 

Cat. 2 60- 

90 % 

En fonction 

de la 

fréquence 

de 

commutation 

Cat. 2 90 % Surveillance 

seulement 

dans un 

circuit de 

coupure 

externe 


seulement 

dans un 

circuit de 

coupure 

externe 


dans 

les deux 

circuits de 

coupure 

externes 

Moyen 

b Sortie de message 

requise pour avertissement 

en cas de détection 

de dysfonctionnement 

Contacteur et 




sécurité 

c Comme ci-dessus 



Haut 

Moyen c 

Haut d 

Moyen 

ou haut 

d Comme ci-dessus, DC = 

90% du fait d’une 

fréquence de contrôle 

suffisamment élevée 

pour l’application 

Sortie de message 

requise pour 

avertissement en cas de 

détection de 

dysfonctionnement 

Contacteur et 




sécurité 

d Contacteur et 




sécurité 

Haut e Contacteur et 




sécurité 

Surveillance de composants 

électromécaniques au 

moyen de commutateurs 

à commande forcée, 

surveillance de la position, 

surveillance des vannes 

de commande, etc. 

Court-circuit 

sur 

commande 

externe 

Court-circuit 

sur 

commande 

externe


Sortie 

Safety-M 

A deux 

canaux sans 

contrôle 

dynamique de 

la sortie 

Rel 1 et Rel 2 

2 x 

EAA1..EAA40 

A deux 

canaux 

Rel 1 et Rel 2 

or 

A deux 

canaux avec 

contrôle 

dynamique de 

la sortie 

DO 0P et, DO 

0M, 

DO 1P et DO 

1M 

2 x 

EAA1..EAA40 

Actionneur / 

circuit de 

coupure 

externe 

A deux canaux 

Contacteur, 


avec retour 

direct pour 

diagnostic au 

moins sur un 

canal ou 


fonction de 



A deux canaux 

Contacteur, 


avec retour 

direct pour 

diagnostic au 

moins sur un 

canal ou 


fonction de 



Catégorie 

selon 

EN 

13849- 

4 


dans les 

deux 

circuits 

de 

coupure 

externes 

Cat. 4 99% Surveillance 

dans les 

deux 

circuits 

de 

coupure 

externes 

DC MTTFD 

Actionneur 

Moyen 

ou haut 

Pl réalisable 

selon 

EN 

13849-1 

Conditions limites Exclusion 

de 

défaillanc 

e 

d Contacteur et 




sécurité 

Surveillance de 

composants 




surveillance de la 

position, surveillance 

des vannes de 

commande, etc. 

Sorties EAA1...40, à 

chaque fois 1 de 

groupes différents 

(groupes de 6/4 ports 

EAA contigus chacun, p. 

ex. EAA1..6,EAA7..10) 



ou 

Commande différée au 

niveau de l’API 

Haut e Contacteur et 




sécurité 


composants 




surveillance de la 

position, surveillance 

des vannes de 

commande, etc. 

Ces contrôles doivent 

être plus fréquents, p. 

ex. au début du poste, 1 

x par semaine, pour des 

applications générant 

des demandes de 

coupure de sécurité 

fréquente. Un contrôle 

devrait cependant être 

effectué de manière 

cyclique au moins 1 x 

par an. 

Court-circuit 

sur 

commande 

externe 

Court-circuit 

sur 

commande 

externe 

dans les 

deux canaux


5 Raccordement et installation 

5.1 Informations générales sur l’installation 

Se conformer strictement aux règles de sécurité lors de l’installation ! 

Indice de protection IP52 

Poser séparément toutes les lignes de signal pour l’interfaçage des entrées digitales et de la 

surveillance des contacts. 

Il faut dans tous les cas séparer les tensions 230VAC des lignes basse tension si ces tensions 

sont utilisées en relation avec l’application. 

En règle générale, la longueur des câbles des entrées et des sorties digitales ne doit pas excéder 

30 m. 

Si la longueur de câble excède 30 m, il faut mettre en œuvre des mesures appropriées 

d’exclusion des défaillances pour des surtensions inacceptables. Les mesures appropriées 

concernent, par exemple, la protection contre la foudre pour les lignes extérieures, la protection 

du système intérieur contre les surtensions, la pose protégée des câbles. 

Mesures de compatibilité électromagnétique (CEM) 

Le module Safety-M est prévu pour une utilisation dans l’environnement des entraînements et est 

conforme aux exigences CEM susmentionnées. 

Il est également admis que la compatibilité électromagnétique de l’ensemble du système est 

assurée par la mise en œuvre de mesures appropriées. 

Utilisation du module comme PESSRAL selon EN81 : 

Si le module est utilisé comme PSESSRAL selon EN81 (norme pour les ascenseurs), l’appareil 

doit être installé à une distance minimale de 200mm du dispositif émetteur ayant les plages de 

fréquence suivantes (communication sans fil mobile) : 166-1000 MHz, 1710-1784 MHz, 1880- 

1960 MHz. L’intensité de champ du dispositif émetteur ne doit pas dépasser les valeurs 

d’intensité de champ suivantes : 

30V/m pour 166-1000 et 1710-1784 MHz, 10V/m pour 1880-1960 MHz . 

Le montage en boîtier fermé avec indice de protection IP5X ou supérieur est en outre nécessaire. 


• Il faut veiller à isoler les lignes d’alimentation électrique des Safety-M par rapport aux 

« lignes à fonctionnement intermittent » du convertisseur de puissance. 

• Les lignes de signal et les lignes de puissance du convertisseur de puissance doivent être 

posées dans des goulottes séparées. La distance entre ces goulottes doit être d’au moins 

10 mm. 

• N’utiliser que des câbles blindés pour brancher les capteurs de position et de vitesse. Le 

câble de transmission du signal doit être conforme à la norme RS-485 (lignes torsadées 

par paires). 


Version: 24F - HB-37350-810-01-24F-EN


• Il faut veiller à raccorder correctement le blindage sur les connecteurs SUB-D à 9 broches 

des capteurs de position et de vitesse. N’utiliser exclusivement que des connecteurs 

métalliques ou métallisés. 

• Le blindage du côté du capteur doit être réalisé dans les règles de l’art. 

• Il faut veiller à une installation du convertisseur de puissance conforme aux règles de la 

CEM dans l’environnement du module Safety-M. Accorder une attention particulière à 

l’acheminement des câbles, au blindage des câbles des moteurs et au branchement de la 

résistance de freinage. Le respect strict des instructions d’installation du constructeur du 

convertisseur de puissance est obligatoire. 

• Tous les contacteurs dans l’environnement du convertisseur de puissance doivent être 

équipés de circuits de protection appropriés. 

• Il faut prendre des mesures de protection contre les surtensions appropriées. 

Règles de sécurité complémentaires pour l’utilisation comme PESSRAL selon EN81 

• Installer l’appareil à une distance d’au moins 200 mm de l’émetteur HF (WLAN, GSM, 

etc.). Les intensités de champ des émetteurs ne doivent pas excéder les intensités 

maximales indiquées plus haut. 

• L’appareil doit être installé dans un boîtier fermé, IP5X ou supérieur. 


Version: 24F - HB-37350-810-01-24F-EN


5.2 Installation et montage du module Safety-M 

Le module ne peut s’installer exclusivement que dans des armoires de commande avec un indice 

de protection d’au moins IP54. 

Les modules doivent être fixés en position verticale sur un profilé chapeau. 

Les fentes de ventilation doivent rester libres afin de garantir une circulation d’air correcte à 

l’intérieur du module. 

5.3 Installation du système de bus de fond de panier 

Il est également possible de monter plusieurs modules Safety-M (SMX10, Safety-MS1, Safety- 

MS2, SMX12A) sur un profilé chapeau par l’intermédiaire du système de bus de fond de panier. 

Ces modules peuvent être combinés avec une extension de communication. Dans ce cas, le 

système de bus de fond de panier doit être configuré par Kübler lors de la passation de la 

commande et fourni en fonction de l’application concernée. 

Le système de bus de fond de panier consiste en 5 connecteurs enfichables munis de contacts à 

ressort. Tous les 5 contacts de ces connecteurs sont équipés en standard. Dans ce cas, ce 

composant ne porte pas de marquage particulier. Dans une seconde variante de ce connecteur, 

seulement 3 contacts sont équipés. 

Nota : 

Les modules d’extension ne possèdent pas d’alimentation propre ; ils dépendent d’une 

alimentation DC par l’intermédiaire du bus de fond de panier. Les modules de base (SMX10, 

Safety-MS1, Safety-MS2, SMX12A) sont équipés d’une unité d’alimentation renforcée et 

alimentent toujours le bus de fond de panier. 

Il existe deux types de connecteurs de bus de fond de panier : 

• TB1 : Modèle standard (tous les contacts sont présents) 

• TB2 : Modèle avec disjoncteur (les deux conducteurs sous tension ne sont pas présents 

et sont repérés par des points verts) 

Utilisation du connecteur de bus de fond de panier TB1 : 

Le connecteur de bus de fond de panier TB1 ne peut s’installer qu’avec des modules d’extension 

qui ne disposent pas de leur propre alimentation. Il est impossible de raccorder plusieurs 

modules indépendants. 

Utilisation du connecteur de bus de fond de panier TB2 : 

Le connecteur de bus de fond de panier TB2 s’utilise pour combiner plusieurs modules de base 

avec des modules d’extension. Une description détaillée se trouve au paragraphe 4.3.1. 


Version: 24F - HB-37350-810-01-24F-EN


5.3.1 Exemples de disposition 


Safety-MS1 

Safety-MS1 

Il n’y a pas de TB2 entre le dernier module Safety-MS1 et le module de communication SMX51, 

car ce dernier est alimenté par l’intermédiaire du bus de fond de panier. 



Safety-MS1 

BMx / 

SMX5x 

BMx / 

SMX51 

Il n’y a pas de TB2 entre le dernier module Safety-MS1 et le module de communication BMx, car 

ce dernier est alimenté par l’intermédiaire du bus de fond de panier. 


Version: 24F - HB-37350-810-01-24F-EN


5.4 Montage des modules 

Les modules se montent sur des rails C standard par l’intermédiaire de clips. 

5.4.1 Montage sur rail C 

Pour monter les modules sur le rail, les positionner inclinés depuis le haut, puis les basculer vers 

l’avant. 

Pour les démonter, utiliser un tournevis dans la fente de la languette pointant vers le bas, puis le 

soulever. 


Version: 24F - HB-37350-810-01-24F-EN


5.4.2 Montage sur bus de fond de panier 

Les appareils peuvent être mis en place après montage du bus de fond de panier. Pour cela, 

positionner les modules depuis le haut sur les connecteurs, inclinés vers l’arrière, et l’encliqueter 

sur le rail C. 

Positionner les modules depuis le haut, inclinés vers l’arrière. 

Les encliqueter sur le rail C. 


Version: 24F - HB-37350-810-01-24F-EN


L’extension ultérieure du bus de fond de panier est possible. Il est ainsi possible d'étendre la 

configuration du système en ajoutant des modules supplémentaires. 

Encliqueter l’élément de bus de fond de panier sur le rail C et la faire glisser sur le rail pour 

l’insérer dans l’élément de jonction. 

5.5 Montage et configuration de l’extension d’E/S SMX31 

5.5.1 Enregistrement du SMX31 dans le groupe de base 

Après le lancement du programme « SafePLC », sélectionner en premier lieu l'unité de base, 

puis l'extension SMX31. 

Nota : 

Une unité de base peut gérer au maximum deux modules SMX31. 


Version: 24F - HB-37350-810-01-24F-EN


5.5.2 Configuration de l’adresse physique SMX31 

Sur le module SMX31, l’adresse bus se règle à l’aide du sélecteur d’adresse. 

Ce réglage s’effectue sur la face arrière du module. 

Nota : 

• Plage d’adresses du module SMX31 de 1�15. 

• L’adresse 0 est réservée au module de base. 

5.5.3 Configuration de l’affectation des E/S SMX31 

Dans le menu principal du programme « SafePLC », un double clic sur le module de base permet 

d’ouvrir le dialogue de configuration du module SMX31. 

5.5.4 Configuration de l’adresse logique SMX31 

Les réglages suivants sont à effectuer dans le dialogue de configuration SMX31 : 

• Adresse logique de l’appareil SMX31 x : réglage du sélecteur d’adresse du module SMX31 x 


Version: 24F - HB-37350-810-01-24F-EN


• Groupe1 EAAx.1-EAAx.6 ou groupe1 EAAx.7-EAAx.10 : si ces sorties sont utilisées, il est 

possible de choisie entre des sorties de sécurité et des sorties standards. 


Version: 24F - HB-37350-810-01-24F-EN


5.6 Affectation des bornes 

5.6.1 Affectation des bornes SMX10 

Circuit imprimé 

Carte UC 

5.6.2 Affectation des bornes Safety-MS1 


Carte UC 


Version: 24F - HB-37350-810-01-24F-EN


5.6.3 Affectation des bornes Safety-MSP1 


Carte UC 

Raccordement codeur HTL : A+/B+ 

Raccordement codeur HTL : A+,A-/B+,B- 


Version: 24F - HB-37350-810-01-24F-EN


5.6.4 Affectation des bornes Safety-MS2 


Axe 1 Axe 2 

Carte UC 

5.6.5 Affectation des bornes SMX12 A 


Axe 1 Axe 2 

Carte UC 

Carte ENC 

Carte ENC 


Version: 24F - HB-37350-810-01-24F-EN


5.6.6 Affectation des bornes Safety-MSP2 

Circuit imprimé Carte UC 

Axe 1 Axe 1 

Axe 2 Axe2 

Raccordement codeur HTL : A+,B+ 

Raccordement codeur HTL : A+,A- 

/B+,B- 

Carte ext. Codeur 1 Carte ext. Codeur 2 

Carte Codeur 


Version: 24F - HB-37350-810-01-24F-EN


5.6.7 Affectation des bornes SMX 31 

Carte E/S Carte UC 

5.6.8 Affectation des bornes SMX 51 

Borne Désignation Fonction 

X41:1 NC 

Avec résistance terminale de 120 ohms 

X41:2 CAN_LO 

X41:3 CAN_GND 

X41:4 NC 

X41:5 NC 

X41:6 CAN_GND 

X41:7 CAN_HI 

X41:8 NC 

X41:9 NC 


Version: 24F - HB-37350-810-01-24F-EN


5.7 Tension d’alimentation 24 VDC externe 

Le module Safety-M nécessite une alimentation 24 VDC (voir aussi SELV ou PELV, EN50178). 

Se conformer aux conditions limites ci-dessous lors de la conception et de l’installation de 

l’alimentation prévue : 

Se conformer strictement à la tolérance minimale et maximale de la tension d’alimentation. 

Tension nominale DC 24 V 

Minimum : 24 VDC – 15 % 20.4 VDC 

Maximum : 24 VDC + 20 % 28.8 VDC 

Nous préconisons l’utilisation d’une alimentation triphasée ou d’une alimentation à régulation 

électronique pour obtenir une ondulation résiduelle de la tension d’alimentation aussi réduite que 

possible. L’alimentation doit répondre aux exigences de la norme EN61000-4-11 (chute de 

tension). 

Le branchement des câbles doit être conforme aux règlementations locales. 

La résistance aux tensions parasites du module Safety-M est de 32 VDC (protection par diodes 

zéner en entrée) 


• Le module Safety-M doit être protégé individuellement par un fusible d’entrée 2A/24VDC. 

Type préconisé : disjoncteur magnétothermique unipolaire rapide. 

Remarques : 

Une isolation galvanique fiable du réseau 230 VAC ou 400 VAC doit être assurée dans tous les 

cas. Il faut pour cela sélectionner des alimentations conformes aux prescriptions de 

DIN VDE 0551, EN 60 742 et DIN VDE 0160. EN plus du choix de l’appareil approprié, il faut 

également assurer une liaison équipotentielle entre PE et 0-VDC sur le côté secondaire. 


Version: 24F - HB-37350-810-01-24F-EN


5.8 Raccordement de l’alimentation externe du codeur 

5.8.1 Incrémental, HTL, SIN/COS, SSI 

Safety-M 

Surveillance des 

tensions 


codeur externes 

1) Uniquement Safety-MSP1 et Safety-MSP2 

2) Uniquement Safety-MS2 et Safety-MSP2 

3) Uniquement Safety-MSP2 

Le module Safety-M supporte des tensions de codeur de 5V, 8V, 10V, 12V et 24V, qui sont 

surveillées en interne en fonction de la configuration choisie. 

Si un système de codeur n’est pas alimenté par le module Safety-M, il faut malgré tout relier une 

tension d’alimentation à la borne X13 ou X15 et la configurer en conséquence. 

L’alimentation codeur doit être protégée par un fusible de max. 2A. 

Surveillance de la tension d’alimentation en fonction de la tension nominale choisie : 

Tension nominale Tension minimale Tension maximale 

5 VDC 4.4 VDC 5.6 VDC 






Version: 24F - HB-37350-810-01-24F-EN


5.8.2 Résolveur 

Safety-M 

Génération 

du signal de 

référence 

Génération 

du signal de 

référence 

1) Uniquement Safety-MSP1 et Safety-MSP2 

2) Uniquement Safety-MSP2 

Dans le cas de l’utilisation de résolveurs en mode Maître, une alimentation 24 VDC est 

nécessaire pour la génération du signal de référence. 

L’alimentation codeur doit être protégée par un fusible de max. 2A. 

Surveillance de la tension d’alimentation 

Tension nominale Tension minimale Tension maximale 



Version: 24F - HB-37350-810-01-24F-EN


5.9 Raccordement d’entrées digitales 

Le Safety-M dispose de 14 (Safety-M) ou de 12 (SMX13) entrées digitales sûres. Elles 

permettent le raccordement de signaux à un ou deux canaux avec et sans synchronisation ou 

sans détection de court-circuit transversal. 

Les signaux raccordés doivent avoir un niveau « Haut » de DC 24 V (DC +15 V...+ DC 30 V ) et 

un niveau « Bas" de (DC -3 V...DC +5 V, type 1 selon EN61131-2). 24 VDC; +5 V, Type1 selon 

EN61131-2. Les entrées sont munies de filtres d’entrée internes. 

Une fonction de diagnostic interne contrôle de manière cyclique le bon fonctionnement des 

entrées et des filtres d’entrée. La détection d’un défaut mettra le Safety-M dans un état d’alarme. 

En même temps, toutes les sorties du Safety-M sont rendues passives. 

En plus des entrées de signal même, le module Safety-M fournit deux signaux d’horloge P1 et P2. 

Ces sorties d’horloge sont des sorties 24VDC à commutation. 

Les sorties d’horloge sont exclusivement destinées à la surveillance des entrées digitales (DI1 � 

DI4) et ne peuvent pas s’utiliser pour d’autres fonctions dans l’application. 

La fréquence de commutation est de 125 Hz pour chaque sortie. Lors du développement du 

système, il faut garder à l’esprit que les sorties ne supportent qu’un courant total de max. 250 mA. 

En outre, il est possible de raccorder des sorties OSSD homologuées aux entrées DI1-DI4 et 

DI9-DI14, sans restriction. 

Nota : 

Les entrées digitales DI5 à DI8 ne conviennent pas pour les OSSD, car elles ne sont pas 

conformes aux exigences de la norme EN 61131-2 Type 2. 

Dans le cas d’une utilisation monocanal des entrées, le niveau de sécurité réalisable doit être 

limité à SIL 2 ou Pl d, si l’activation de la fonction de sécurité est requise à intervalles réguliers. 

Par principe, une utilisation de sécurité des entrées n’est prévue qu’en liaison avec les sorties 

d’impulsions. 

Si les sorties d’impulsions ne sont pas utilisées, il faut exclure les courts-circuits dans le câblage 

externe entre les différentes entrées et avec a tension d’alimentation du Safety-M par des 

mesures extérieures, en particulier par un cheminement approprié des câbles. 

Chaque entrée du module Safety-M peut être configurée individuellement pour les sources 

de signal suivantes : 

Entrée affectée à l’impulsion P1 

Entrée affectée à l’impulsion P2 

Entrée affectée à la tension DC 24 V permanente 


Version: 24F - HB-37350-810-01-24F-EN


5.10 Raccordement d’entrées analogiques 

La version Safety-MS2 à retraitement analogique permet de retraiter de manière sûre au 

maximum 2 signaux analogiques. 

Les entrées analogiques peuvent être raccordées comme suit : 

min max 

Tension -7VDC +10VDC 

Nota : 

Le module est équipé en standard d’une résistance de charge fixe de 500 Ohms. Cette 

résistance peut être retirée en cas de besoin (entrée en tension). 


Version: 24F - HB-37350-810-01-24F-EN


5.11 Raccordement de capteurs de position et de vitesse 

5.11.1 Remarques générales 

Selon le type de module, le module Safety-M (Safety-MS1/Safety-MS2) dispose de (1/2) 

interfaces codeur externes pour le raccordement de codeurs incrémentaux et absolus industriels. 

Les interfaces codeur peuvent être configurées pour des codeurs incrémentaux, SIN/COS ou SSI 

absolus. 

Il est également possible de raccorder deux capteurs générant des signaux incrémentaux (p. ex. 

des détecteurs de proximité) aux entrées de comptage du module Safety-M. Ces signaux doivent 

être lus à la fois sur la piste normale et sur la piste complémentée. 

IMPORTANT 

La tension d’alimentation du système de codeur utilise les bornes dédiées du module Safety-M. 

La tension est appliquée au connecteur du codeur et surveillée par un processus de diagnostic 

interne. 

Si le capteur est alimenté par une tension externe, cette tension doit être fournie par 

l’intermédiaire du connecteur du codeur. La borne correspondante (tension d’alimentation codeur) 

du module Safety-M reste inoccupée. 

Si la tension d’alimentation externe du capteur n’est pas ramenée sur le connecteur du codeur, 

les défauts de cette alimentation doivent être intégrés dans la détection de défauts du système 

complet. Il faut en particulier apporter la preuve que ce défaut est détecté ou peut être exclu en 

cas de dépassement par le haut/par le bas de la tension de fonctionnement spécifiée. 

Il faut se conformer aux mesures CEM telles que le blindage, etc. 

Les deux codeurs ne doivent pas interagir. Ce point s’applique aussi bien pour la partie électrique 

que pour la partie mécanique. 

Si les deux codeurs sont reliés à l’installation à surveiller au moyen de pièces mécaniques 

communes, cette liaison doit être positive et ne doit pas comporter d’éléments soumis à usure 

(chaînes, courroies crantées, etc.). Si cela est le cas, des mesures de surveillance 

complémentaires de la liaison mécanique des codeurs (p. ex. surveillance de la courroie crantée) 

sont nécessaires. 

Dans le cas d’un retraitement de position actif, il faut utiliser au moins un codeur absolu. 

Dans le cas de l’utilisation de deux capteurs équivalents, il faut veiller à ce que le capteur ayant 

la résolution la plus élevée sont configuré comme capteur 1 (capteur du processus) et le capteur 

ayant la résolution la plus basse comme capteur 2 (capteur de référence). 

NOTA : 

Dans le cas de l’utilisation dans la technologie des ascenseurs selon EN81, les sorties des relais 

internes ne doivent pas être utilisés pour commuter des tensions supérieures à 24V, ce qui serait 

en contravention avec les spécifications de EN81. La non-conformité entraînerait l’annulation de 

toute garantie et Fritz Kübler ne serait pas redevable d’un quelconque dédommagement. 


Version: 24F - HB-37350-810-01-24F-EN


Attention : 

Il est interdit de brancher ou débrancher les raccordements du capteur pendant le 

fonctionnement. Ceci pourrait endommager des composants électriques du codeur. Toujours 

mettre les codeurs raccordés, ainsi que le module Safety-M, hors tension avant d’effectuer des 

branchements ou des débranchements sur le codeur. 

Il faut utiliser des câbles de transmission de signaux torsadés par paires conformes à la norme 

RS485 pour les signaux de données, d’horloge ou les pistes A et B. La section du câble doit être 

choisie au cas par cas en fonction de la consommation de courant du codeur et de la longueur de 

câble de l’installation. 

Les points suivants s’appliquent en outre lors de l’utilisation de codeurs absolus : 

En mode Esclave, le signal d’horloge est généré par un processus externe et est lu par me 

module Safety-M avec le signal de données. Ce type de lecture cause un battement qui est à 

l’origine d’une erreur de lecture de l’ordre de grandeur suivant : 

F = (temps de lecture du codeur par le système externe [ms] / 8 [ms]) * 100 % 

La valeur de l’erreur de lecture F résultante doit être prise en compte lors de la détermination des 

seuils pour les fonctions de surveillance utilisées, car cette erreur ne peut pas être compensée ! 


Version: 24F - HB-37350-810-01-24F-EN


5.11.2 Affectation de l’interface codeur 

X31/X32 1) 

Affectation capteur 

Codeur incrémental SIN/COS Codeur absolu Prog. init SSI 

(listener) 

1) uniquement Safety-MS2 

X33/X34 2) 

Affectation capteur 

Codeur incrémental SIN/COS SSI – absolu SSI – absolu Résolveur 

X 31/X 32 X 33-X 34 

2)uniquement Safety-MSP2 


Version: 24F - HB-37350-810-01-24F-EN


5.11.3 Variantes de raccordement 

5.11.3.1 Raccordement d’un codeur absolu comme maître 

Conn. Sub-D- Sub-D 

(9 Stecker broches) 


SMX 

Pin 1 

Pin 2 

Pin 3 

Pin 4 

Pin 5 

Pin 6 

Pin 7 

Pin 8 

Pin 9 

n.c. 

Masse 


n.c. 

CLK- 

DATA+ 

DATA- 

n.c. 

CLK+ 



Codeur Absolut- absolu 

(mode Encoder Maître) 


Avec ce type de raccordement, les signaux d’horloge sont fournis par le module Safety-M 

au codeur absolu, les données étant fournies par le codeur au Safety-M. 


Version: 24F - HB-37350-810-01-24F-EN


5.11.3.2 Raccordement d’un codeur absolu comme esclave 

Conn.Sub-D Sub-D- 



SMX 

Pin 1 

Pin 2 

Pin 3 

Pin 4 

Pin 5 

Pin 6 

Pin 7 

Pin 8 

Pin 9 

n.c. 

Masse 


n.c. 

CLK- 

DATA+ 

DATA- 

n.c. 

CLK+ 



Système externes de Abtastsystem 

lecture externe 

Codeur Absolut- absolu 

(mode Encoder Esclave) 


Avec ce type de raccordement, les signaux d’horloge sont lus avec les données. Dans cet 

exemple, le codeur n’est pas alimenté en tension par le module. 


Version: 24F - HB-37350-810-01-24F-EN


5.11.3.3 Raccordement d’un codeur incrémental avec niveau de signal TTL. 




SMX 

Pin 1 

Pin 2 

Pin 3 

Pin 4 

Pin 5 

Pin 6 

Pin 7 

Pin 8 

Pin 9 

n.c. 

Masse 


n.c. 

B- 

A+ 

A- 

n.c. 

B+ 


voltage 

Inkremental Codeur 

incrémental 

Encoder 

Les broches 1, 3 et 7 restent ouvertes et sont réservées à des extensions ultérieures. 


Version: 24F - HB-37350-810-01-24F-EN


5.11.3.4 Raccordement d’un codeur SIN/COS 




SMX 

Pin 1 

Pin 2 

Pin 3 

Pin 4 

Pin 5 

Pin 6 

Pin 7 

Pin 8 

n.c. 

Masse 


n.c. 

COS- 

SIN+ 

SIN- 

n.c. 

COS+ 



SIN/COS Codeur 

SIN/COS Geber 

Les broches 1, 3 et 7 restent ouvertes et sont réservées à des extensions ultérieures. 


Version: 24F - HB-37350-810-01-24F-EN


5.11.3.5 Raccordement d’un résolveur comme maître 




SMX 

Pin 1 

Pin 2 

Pin 3 

Pin 4 

Pin 5 

Pin 6 

Pin 7 

Pin 8 

Pin 9 




COS - 

SIN + 

SIN - 


COS + 


Resolveur Resolver 


(mode Maître) 

Avec ce type de raccordement, les signaux d’horloge sont fournis par le module Safety-M 

au résolveur, les données étant fournies par le résolveur au Safety-M. 


Version: 24F - HB-37350-810-01-24F-EN


5.11.3.6 Raccordement d’un résolveur comme esclave 



Safety-M 

(9 polig) 

SMX 

Pin 1 

Pin 2 

Pin 3 

Pin 4 

Pin 5 

Pin 6 

Pin 7 

Pin 8 

Pin 9 

nc 


Voltage GND 


COS - 

SIN + 

SIN - 


COS + 

Monitor 

Reference 

Voltage 

Système externes de Abtastsystem 

lecture externe 

Resolveur Resolver 

(mode (Slave-Betrieb) Esclave) 


Version: 24F - HB-37350-810-01-24F-EN


5.11.3.7 Raccordement d’un détecteur de proximité Safety-MS1/Safety-MS2 

Le raccordement s’effectue au moyen d’un connecteur sur les entrées digitales DI5 � DI8. 

L’affectation des broches exacte dépend du type de codeur et est indiquée dans le schéma de 

branchement de l’interface de programmation. 

Nota : lors de l’utilisation de codeurs HTL, veiller à combiner les pistes A+ et B+ ou A- et B- en 

conséquence. 

Raccordement codeur HTL : A+,/B+ 

Raccordement codeur HTL : A+,A-/B+,B- 


Version: 24F - HB-37350-810-01-24F-EN


5.11.3.8 Raccordement HTL/détecteur de proximité Safety-MSP1/Safety-MSP2 

Le raccordement s’effectue au moyen des connecteurs X27 et X28, ou X29 et X30. 

5.11.3.8.1 Codeur HTL avec signal A+/A- ou B+/B- 

Klemmleiste Bornier 

X27 1) 

X29 2) 

X27 1) 

X29 2) 

1) Safety-MSP1 codeur 3 


1 

2 

3 


X28 1) 

X30 2) 

X28 1) 

X30 2) 

1 

2 

3 

1 

Klemmleiste 

Bornier 

X17 1) 

X19 2) 

X17 1) 

X19 2) 

2 

A+ 

A- 

B+ 

B- 

Tension Versorgungsspannung 


Masse 




codeur Geber 


incrémental Encoder 


Version: 24F - HB-37350-810-01-24F-EN


5.11.3.8.2 Codeur HTL avec signal A+ ou B+ 


X27 1) 

X29 2) 

X27 1) 

X29 2) 



1 

2 

3 


X28 1) 

X30 2) 

X28 1) 

X30 2) 

1 

2 

3 

1 

Klemmleiste 

Bornier 

X17 1) 

X19 2) 

X17 1) 

X19 2) 

2 

A 

B 

Tension Versorgungsspannung 


Masse 




codeur Geber 


incrémental Encoder 


Version: 24F - HB-37350-810-01-24F-EN


5.12 Configuration des distances à mesurer 

5.12.1 Description générale de la configuration des codeurs 

Les grandeurs d’entrée les plus importantes pour les fonctions de surveillance du module sont la position, 

la vitesse et l’accélération sûres. Elles sont générées sur deux canaux à partir des systèmes de capteurs 

raccordés. Une architecture conforme à la catégorie 4, c’est-à-dire une acquisition continue sur deux 

canaux avec un taux élevé de couverture des tests de diagnostic, est nécessaire pour Pl e selon 

EN 13849-1. Il est possible d’utiliser, pour les éventuels composants à un canal (p. ex. liaison mécanique 

des capteurs/des codeurs sur un même arbre/par une même fixation), d’utiliser des exclusions de 

défaillances selon EN ISO 13849-2, si cela est nécessaire. Pour Pl d selon EN 13849-1, il est possible de 

travailler avec un taux de couverture des tests de diagnostic réduit. Dans certaines conditions, des 

systèmes de capteurs de conception simple (surveillance de la vitesse seulement) peuvent être suffisants, 

en tenant compte des excusions de défaillances admissibles selon EN ISO 13849-2. 

Voir à ce sujet l’ANNEXE 1 

Le reste de la configuration est décrit dans le manuel de programmation : 

R61363.0002 Manuel de programmation Safety-M (Français) 

5.12.2 Type de capteur 

Il est possible d’utiliser des codeurs absolue et des systèmes de mesure incrémentaux, ainsi que 

des détecteurs de proximité générant des impulsions de comptage. 

5.12.2.1 Codeur absolu : 

Interface de données : Interface série synchrone (SSI) avec longueur de données variable de 

12 à 28 bits. 

Format des données : Binaire ou code Gray. 

Couche physique : Compatible RS-422 

Fonctionnement SSI maître : 

Vitesse d’horloge : 150 kHz 

Fonctionnement du programme d’initialisation SSI (mode esclave) 

Vitesse d’horloge externe max. 200 KHz 1) ou 350 kHz 2) . 

Temps de pause d’horloge min. 30 µsec 

Temps de pause d’horloge max. 1 msec 

Diagnostics 

Diagnostic Paramètres Seuil de défaut 

Surveillance de la tension 

Valeurs fixes 

+/- 20 % +/-2 %(tolérance 


5 V, 8V, 10V, 12V, 20V, 24V de mesure) 

Surveillance du niveau différentiel Valeur fixe, niveau RS 485 +/- 20 % +/-2 %(tolérance 

en entrée 

de mesure) 

Surveillance de la fréquence d’horloge Valeur fixe 100 kHz < f < 350 kHz 

Plausibilité de la vitesse par Valeur fixe DP < 2 * V * T avec 

rapport à la position 

T = 8 ms 


Version: 24F - HB-37350-810-01-24F-EN


Paramétrage du format SSI : 

K données Etat O 

Information d’état 

Masque de défaut 

0 = non pris en compte 

1 = actif 

Masque de résultat 

pour error = 0 

(évaluation active) 

Index 

Données 



Index 

Etat 

Nombre Clk 

= Longueur de trame


Exemple : 

Longueur de trame SSI : 28 cycles 

Longueur des données : 22 bits 

Etat : 5 bits, 3 bits Défaut + 2 bits Avertissement/Prêt à fonctionner 

K Données O Etat 

Information d’état 

Masque de défaut 

0 = non pris en compte 

1 = actif 

Masque de résultat 

pour error = 0 

(évaluation active) 

Température Intensité 

Avertissement: 

Contamination 



Mode 

opératoire 

Nombre Clk 

= Longueur de trame


5.12.2.2 Codeur incrémental : 

Couche physique : Compatible RS-422 

Signal de mesure A/B : Piste avec décalage de phase de 90 degrés 

Fréquence max. des cycles d’entrée : 200 KHz 1) ou 500 kHz 2) 

Diagnostics 


Surveillance de la tension Valeurs fixes 

+/- 20 % +/-2 %(tolérance de 


5 V, 8V, 10V, 12V, 20V, 24V mesure) 

Surveillance du niveau Valeur fixe, niveau RS 485 +/- 20 % +/-2 %(tolérance de 

différentiel en entrée 

mesure) 

Surveillance du signal de 

comptage séparée pour les 

pistes A/B 

Valeur fixe DP > 4 incréments 

5.12.2.3 Codeur SinusCosinus 

Couche physique : +/- 0.5 Vss (sans décalage de tension) 


Fréquence max. des impulsions d’horloge d’entrée : 200 KHz 1) ou 500 kHz 2) 

Diagnostics 



+/- 20 % +/-2 % (tolérance 


5 V, 8V, 10V, 12V, 20V, 24V de mesure) 

Surveillance de l’amplitude 

SIN²+COS² 

Valeur fixe 1VSS 

65 % de 1 VSS +/- 2.5 % 

(tolérance de mesure) 

Surveillance des phases A/B Valeur fixe 90° +/-30° +/-5° (tolérance de 

mesure) 

5.12.2.4 Codeur SinusCosinus – mode haute résolution 

Couche physique : +/- 0.5 Vss (sans décalage de tension) 


Fréquence max. des impulsions d’horloge d’entrée : 15 kHz 2) 

Diagnostics 



+/- 20 % +/-2 %(tolérance de 


5 V, 8V, 10V, 12V, 20V, 24V mesure) 

Surveillance de l’amplitude 

SIN²+COS² 

Valeur fixe 1VSS 

65 % de 1 VSS +/- 

2.5 %(tolérance de mesure) 

Surveillance des phases A/B Valeur fixe 90° +/-30° +/-5° (tolérance de 

mesure) 

Surveillance du quadrant 

signal de comptage / signal 

de phase 

Valeur fixe +/- 45° 


Version: 24F - HB-37350-810-01-24F-EN


5.12.2.5 Détecteur de proximité 

Niveau de signal : 24V/0V 

Max. Fréquence de comptage max. : 10kHz 

Circuit logique anti-rebond 

Diagnostics 


Surveillance de la 

tension d’alimentation 

Valeurs fixes 

5 V, 8V, 10V, 12V, 20V, 

24V 

+/- 20 % +/-2 %(tolérance de 

mesure) 


Version: 24F - HB-37350-810-01-24F-EN


5.12.2.6 Surveillance étendue détecteur de proximité / détecteur de proximité 

La surveillance étendue permet de détecter les défauts suivants : 

a) Défaut de la tension d’alimentation 

b) Défaillance du signal de sortie vers le driver 

c) Dysfonctionnement du détecteur de proximité du signal Haut 

d) Coupure du chemin du signal 

e) Déréglage mécanique du détecteur de proximité / distance de commutation du détecteur 

de proximité trop importante 

A des fins de diagnostic, les deux états des signaux de comptage sont relevés en plus de 

manière synchrone et soumis à une comparaison logique. Une atténuation d’au moins un des 

deux signaux doit être assurée au moyen d’une came. La logique évalue cette instruction. 

Conception de la came de commutation 

avec disposition radiale des capteurs 

max 0.5mm 

Capteur A 

120° 

min 3mm 

Capteur B 

Arbre 

Came de commutation 

Le diagnostic doit être conçu pour au moins les valeurs limites suivantes : 

Fréquence de comptage max. : 4 kHz 

Max. Suppression max. signal 0 : 50 % 

Min. Recouvrement min. : 10 % 

Forme théorique désirée du signal 

Lecture des signaux de comptage : 

Les deux signaux de comptage sont assignés séparément aux deux canaux. L’état est lu de manière 

synchrone dans chacun des deux canaux. Afin de garantir la synchronisation, cette opération doit 

être réalisée immédiatement après la synchronisation des canaux. L’échantillonnage doit être réalisé 

au moins une fois par cycle. La déviation maximale de la synchronisation est de 20 µs. 

Les états doivent être échangés de manière croisée par l’intermédiaire du SPI. 

Retraitement logique : 

L’évaluation ci-dessous doit être réalisée dans les deux canaux : 

Signal A Signal B Résultat 

Bas Bas Faux 

Haut Bas Vrai 

Bas Haut Vrai 

Haut Haut Vrai 

T=100% 



16.7 

33.3% 

16.7 

33.3%


5.12.2.7 Capteur HTL 

Niveau de signal : 24V/0V 

Couche physique : Push/Pull 

Signal de mesure A/B : piste avec décalage de phase de 90° 

Fréquence max. des impulsions de comptage : 200 kHz sur X27/28 ou X29/30 

(Uniquement SMX11-2/12-2) 

Diagnostics 



+/- 20 % +/-2 %(tolérance de 


5 V, 8V, 10V, 12V, 20V, 24V mesure) 

Surveillance du niveau Valeur fixe 24 V +/- 20 % +/-2 %(tolérance de 

différentiel en entrée 

mesure) 

Surveillance du signal de 

comptage séparée pour les 

pistes A/B 

Valeur fixe DP > 4 incréments 

5.12.2.8 Résolveur 

Signal de mesure : piste SIN/COS avec décalage de phase de 90° 

Fréquence max. des impulsions de comptage : 2 kHz/pôle 

Résolution : 9 bits / pôle 

Mode Maître : 

Signal de référence de la fréquence : 8 kHz 

Mode Esclave : 

Signal de référence de la fréquence : 6 - 16 kHz 

Forme du signal de référence : sinusoïdal, triangle 

1) sur X31/32 

2) sur X31/34 

Diagnostics 


Surveillance du rapport Valeurs fixes 

+/- 20 % +/-2 %(tolérance de 

2:1, 3:2, 4:1 

mesure) 

Surveillance de l’amplitude Valeur fixe


6 Temps de réponse du Safety-M 

Le temps de réponse constitue une caractéristique de sécurité très importante, qui doit être pris 

en compte strictement pour toutes les applications / les fonctions en rapport avec une application 

de sécurité. Le chapitre ci-dessous indique les temps de réponse des fonctions individuelles, 

également en fonction d’autres paramètres. Si ces données sont insuffisantes pour une 

application spécifique, il faut valider le comportement dans le temps par rapport au 

comportement théorique recherché au moyen de mesures séparées. Ce point s’applique aussi, 

en particulier, l’utilisation de fonctions de filtrage. 


• Les temps de réaction doivent être déterminés pour chaque fonction de sécurité sur la 

base du comportement théorique, puis comparés aux temps réels à l’aide des 

indications ci-dessous. 

• L’utilisation de fonctions de filtrage exige une attention particulière. En fonction de la 

longueur/du temps de filtrage, le temps de réaction peut se rallonger sensiblement, ce 

qui doit être pris en compte lors de la conception de la sécurité. 

• Dans le cas de problèmes particulièrement critiques, le comportement dans le temps 

doit être validé par des mesures. 

• Lors de la mise en route de l’appareil / de l’acquittement d’une alarme ou d’un défaut, 

les sorties peuvent (en fonction du programme de l’application) s’activer pendant la 

durée du temps de réaction. Ce point doit être pris en considération lors de la 

conception de la fonction de sécurité. 

6.1 Temps de réponse en fonctionnement standard 

Le temps de cycle du système Safety-M sert de base pour le calcul des temps de réponse. En 

fonctionnement, T_cycle = 8 ms. Les temps de réponse indiqués correspondent à la durée de 

fonctionnement maximale de l’application concernée à l’intérieur du module Safety-M. En 

fonction de l’application, il faut ajouter d’autres temps de réaction, dépendants de l’application, 

des capteurs et actionneurs utilisés, pour obtenir le temps de fonctionnement total. 

Fonction 

Activation d’une fonction de surveillance 

par ENABLE, suivi d’une mise 

hors tension via une sortie digitale. 

Activation d’une fonction de surveillance 

par ENABLE, suivi d’une mise 

hors tension via un relais de sécurité. 

Réponse d’une fonction de 

surveillance déjà activée, avec 

retraitement par l’API, en cas de 

traitement de la position et de la 

vitesse par une sortie digitale. 

Temps de Explication 

réponse 

[ms] 

24 

*) 

47 

*) 

16 

*) 

Activation d’une fonction de surveillance par le signal 

ENABLE. 

Activation d’une fonction de surveillance par le signal 

ENABLE. 

Dans le cas d’une fonction de surveillance déjà activée par 

ENABLE, le module a besoin d’un cycle pour calculer la 

valeur de vitesse courante. Lors du cycle suivant, après le 

calcul de la fonction de surveillance, l’information est retraitée 

et émise par l’API ; en fonction de la logique implémentée, 

cela peut p. ex. conduire à la commutation d’une sortie. 


Version: 24F - HB-37350-810-01-24F-EN


Fonction 

Réponse d’une fonction de 

surveillance déjà activée, avec 

retraitement par l’API, en cas de 

traitement de la position et de la 

vitesse par des relais de sécurité. 

Activation d’une sortie digitale par 

une entrée digitale 

Activation d’un relais de sortie par 

une entrée digitale 

Désactivation d’une sortie digitale 

par une entrée digitale 

Désactivation d’un relais de sortie 

par une entrée digitale 

Filtre moyenneur (pour le réglage, 

voir la dialogue codeur SafePLC) 

Filtre analogique 

• 1 (2Hz) 

• 2 (2Hz) 

• 3 (2Hz) 

• 4 (4Hz) 

• 5 (6Hz) 

• 6 (8Hz) 

• 7 (10Hz) 

• 8 (20Hz) 

Temps de Explication 

réponse 

[ms] 

39 

*) 

16 

26 

16 

47 

0 - 64 

• 760 

• 760 

• 760 

• 512 

• 268 

• 143 

• 86 

• 56 

Dans le cas d’une fonction de surveillance déjà activée par 

ENABLE, le module a besoin d’un cycle pour calculer la 

valeur de vitesse courante. Lors du cycle suivant, après le 

calcul de la fonction de surveillance, l’information est retraitée 

et émise par l’API ; en fonction de la logique implémentée, 

cela peut p. ex. conduire à la commutation d’une sortie. 

Activation d’une entrée et commutation de la sortie 

Activation d’une entrée et commutation de la sortie 

Désactivation d’une entrée et donc désactivation de la sortie 

Désactivation d’une entrée et donc désactivation de la sortie 

Temps de propagation de groupe du moyenneur. Ce temps 

n’affecte que les fonctions de surveillance en rapport avec la 

position / la vitesse / l’accélération, mais pas le traitement 

logique. 

Le filtre analogique n’affecte que les entrées analogiques 

sûres du module SMX-12A. 

Temps de réponse des filtres d’entrée analogique en fonction 

de la fréquence d’entrée. 

Nota : 

*) : *) : Si un filtre moyenneur est utilisé, il faut aussi ajouter le temps de réaction de celui-ci. 

6.2 Temps de réponse de FAST_CHANNEL 

FAST_CHANNEL décrit une caractéristique de Safety-M lui permettant de réagir plus rapidement 

à des exigences de vitesse que cela serait possible avec l’exécution des programmes de sécurité 

lors d’u cycle normal (= 8 msec.). Le temps de lecture de FAST_CHANNEL est de 2 msec. 

Les temps de réponse suivants peuvent être indiqués : 

• 4 msec (cas le plus défavorable) 


• Il faut tenir compte, lors de l’utilisation de FAST_CHANNEL, du fait qu'une mise hors 

tension dans le temps indiqué ci-dessus n’est possible pour un seuil de vitesse donné que 

si les informations du capteur ont une résolution suffisante. Le seuil de commutation le 

plus petit détectable par FAST_CHANNEL nécessite au moins 2 changements de flanc 

sur le système de capteur choisi dans une période de 2 msec. 

• Cette fonction ne peut s’utiliser qu’avec des sorties à semiconducteur. 


Version: 24F - HB-37350-810-01-24F-EN


6.3 Temps de réponse pour la surveillance des distances de défaut 

Le schéma de calcul suivant s’applique pour le calcul du cas le plus défavorable. 

Vitesse du système au moment de l’échantillonnage : V(t) 

Vitesse du système lors d’une réponse de Safety-M : VA(t) 

Seuil de surveillance (SLS ou SCA) : VS = constant pour tous les t 

Valeur paramétrée du filtre : XF = constante pour tous les t 

Accélération maximale possible de l’application : a = constante pour tous les t 

Décélération après mise hors tension : aV = constante pour tous les t 

Moment de l’échantillonnage pour l’apparition 

d’un cas le plus défavorable : TDéfaut 

Temps de réponse des systèmes Safety-M : tRéponse 

Il est admis pour l’évaluation du cas le plus défavorable que l’entraînement se déplace 

initialement exactement sur le seuil paramétré à une vitesse v(k) et qu’il accélère ensuite avec la 

valeur maximale a0. 


Version: 24F - HB-37350-810-01-24F-EN


Diagramme : Comportement de l’entraînement avec / sans distance de survitesse 

Sans distance de survitesse, il en résulte les relations suivantes pour l’évolution de V et de s. 

Paramètres Méthodes de calcul Commentaires 

tRéponse 

Va2 

Va1 

VS 

XF 

TDéfaut 

tRéponse 

tRéponse 

Valeur du temps de réponse spécifié pour 

Safety-M 

+ temps de décélération de la chaîne de mise 

hors tension externe 

V avec survitesse 


V sans survitesse 


s avec survitesse 


s sans. survitesse 


Le temps de décélération est 

déterminé à partir des 

informations des constructeurs 

des relais, contacteurs, freins, 

etc. 

aF, aV n.a. Estimation de l’application 

Va1 

= VS + aF * tRéponse 


Version: 24F - HB-37350-810-01-24F-EN


Avec distance de survitesse, il en résulte les relations suivantes pour l’évolution de V et de s. 

Paramètres Méthodes de calcul Commentaires 

tRéponse 

Valeur du temps de réponse spécifié pour 

Safety-M 

Le temps de décélération est 

déterminé à partir des informations 

des constructeurs des relais, 

contacteurs, freins, etc. 

aF, aV n.a. 

= aF * tRéponse + (VS 

Estimation de l’application 

2 + 2 * aF * XF) 1/2 

Va2 

Par son action, le filtre décale le seuil de vitesse réglé Va vers le haut de la valeur delta_v_filter. 

Pour l’application, il faut prendre en compte les nouvelles valeurs de temps de réaction 

(Treact = Tsmx + Tfilter), ainsi que la vitesse lors de la mise hors tension par Safety-M. 

6.4 Temps de réponse dans le cas de l’utilisation de SMX 31 

Le temps de cycle du système Safety-M sert de base pour le calcul des temps de réponse. En 

fonctionnement, T_cycle = 8 ms. Les temps de réponse indiqués correspondent à la durée de 

fonctionnement maximale de l’application concernée à l’intérieur du module Safety-M. En 

fonction de l’application, il faut ajouter d’autres temps de réaction, dépendants de l’application, 

des capteurs et actionneurs utilisés, pour obtenir le temps de fonctionnement total. 

Fonction 

Temps de décélération le plus 

défavorable – entrée du module 

de base vers PAE 

Temps de décélération le plus 

défavorable – entrée SMX31 

vers PAE dans le module de 

base 

Temps de traitement PAE vers 

PAA dans le module de base 

Activation / désactivation d’une 

sortie digitale dans un module 

de base depuis PAA 

Activation / désactivation d’une 

sortie digitale dans un module 

d’extension via PAA dans le 

module de base 

Désignation Temps de Explication 

réponse 

[ms] 

TIN_BASE 

TIN_31 

TPLC 

TOUT_BASE 

TOUT_31 



10 

18 

8 

- 

8 

p. ex. activation d’une fonction de 

surveillance par un signal d’entrée 

sur le module de base 

p. ex. activation d’une fonction de 

surveillance par un signal d’entrée 

sur le module d’extension SMX31 

Mise hors tension par une fonction 

de surveillance ou une entrée dans le 

PAE 

Activation ou désactivation d’une 

sortie dans le module de base après 

modifications dans le PAA 

Activation ou désactivation d’une 

sortie dans le module d’extension 

SMX31 après modifications dans le 

PAA du module de base


Détermination du temps de réponse total 


Exemple 1 : 

Entrée sur le module d’extension, activation de SLS et retraitement dans l’API, sortie vers un 

module de base. 


Exemple 2 : 

Entrée sur un module de base, activation de SLS et retraitement dans l’API, sortie vers un 

module d’extension. 


Exemple 3 : 

Entrée sur le module d’extension, activation de SLS et retraitement dans l’API, sortie vers le 

module d’extension. 

TTOTAL = TIN_31 + TPLC + TOUT_31 = 18 ms + 8 ms + 8 ms = 34 ms; 


Version: 24F - HB-37350-810-01-24F-EN


7 Mise en service 

7.1 Procédure 

La mise en service doit être réalisée uniquement par du personnel qualifié. 

Se conformer strictement aux règles de sécurité lors de la mise en service ! 

7.2 Séquences de démarrage 

Après chaque nouveau démarrage du module, si le fonctionnement est correct, les phases cidessous 

sont exécutées et affichées sur l’affichage à sept segments en face avant : 

Affichage à 7 

segments 



Mode Description 


„4“ RUN 

„5“ STOP 

„A“ ALARM 


„F“ 

Fault 

Synchronisation entre les deux 

systèmes de processeur et 

vérification des données de 

configuration/de firmware 

Distribution des données de 

configuration / de firmware et 

nouvelle vérification de ces données. 

Ensuite, contrôle des limites des 

données de configuration. 

Le cas échéant, initialisation d’un 

système de bus. 

Fonctionnement normal du système. 

Toutes les sorties sont commutées 

en fonction de l’état courant de la 

logique. 

En mode Stop, il est possible de 

charger des paramètres et des 

données de programmation depuis 

l’extérieur. 

L’alarme peut être acquittée à l’aide 

de l’entrée digitale ou du bouton 

d’acquittement en face avant. 

L’alarme ECS peut être acquittée à 

l’aide des entrées digitales ou du 

bouton d’acquittement en face avant. 

Le défaut ne peut être acquitté qu’en 

mettant le module hors tension, puis 

de nouveau sous tension. 


Version: 24F - HB-37350-810-01-24F-EN


7.3 Affichage à LED 

Couleur Mode Description 

vert « clignotant » 

jaune « clignotant » 

rouge « clignotant » Alarme 

rouge « fixe » Défaut fatal 

Système OK, configuration 

validée 

Système OK, configuration pas 

encore validée 

Nota : 

Pour tous les modes opératoires sauf RUN, les sorties sont commutées en mode passif par le 

firmware, c’est-à-dire coupées de manière sûre. Dans l’état RUN, les sorties dépendent du 

programme automate implémenté. 


Version: 24F - HB-37350-810-01-24F-EN


7.4 Paramétrage 

Le paramétrage s’effectue à l’aide du programme SafePLC. La transmission de ces données au 

module nécessite un adaptateur de programmation, dont les gestionnaires sont à installer au 

préalable par l’utilisateur. 

Le paramétrage est décrit dans le manuel de programmation. 

7.5 Essai de fonctionnement 

Afin de garantir la sûreté du module, la fiabilité de toutes les fonctions de sécurité doit être 

contrôlée une fois par an. A cet effet, le fonctionnement des modules utilisés pour le paramétrage 

(entrées, sorties, fonctions de surveillance et modules logiques), ainsi que la mise hors tension 

qu’ils assurent, doivent être contrôlés. 

Voir le manuel de programmation. 

7.6 Validation 

Afin de garantir la fiabilité des fonctions de sécurité implémentées, l’utilisateur doit vérifier et 

documenter les paramètres et les liens après avoir réalisé la mise en service et le paramétrage. 

Ce contrôle est assisté par un assistant de validation de l’interface de programmation (voir le 

chapitre « Contrôle de sécurité ». 

7.7 La fonction DEM (Dynamic Encoder Muting) 

La fonction DEM sert à supprimer les alarmes codeur de leur fonction de mise hors tension dans 

certaines conditions, afin de pouvoir garantir une haute sécurité de fonctionnement et une 

disponibilité élevée de la machine, ainsi que des fonctions de sécurité à SIL ou Pl élevé. 

Elle n’agit que sur les fonctions de sécurité surveillant la vitesse et la position relative. Si le 

retraitement de la position est activé - retraitement de la position activé dans le paramétrage de 

la distance de mesure dans le masque du codeur – cette fonction n’est pas disponible. 

La fonction DEM sert à supprimer les alarmes codeur de leur fonction de mise hors tension dans 

certaines conditions, afin de pouvoir garantir une haute sécurité de fonctionnement et une 

disponibilité élevée de la machine, ainsi que des fonctions de sécurité à SIL ou Pl élevé. 

Elle n’agit que sur les fonctions de sécurité surveillant la vitesse et la position relative. Si le 

retraitement de la position est activé - retraitement de la position activé dans le paramétrage de 

la distance de mesure dans le masque du codeur – cette fonction n’est pas disponible. 


Version: 24F - HB-37350-810-01-24F-EN


Les alarmes codeur sont supprimées en cas de dépassement de la limite de vitesse (plus 

l’hystérèse) VG+H. En cas d’activation permanente, cette suppression s’effectue pour chaque 

dépassement de la limite de vitesse. Dans le cas contraire, elle ne s’effectue que lorsque l’entrée 

(In) est active et lorsque la limite de vitesse est dépassée. 

L’hystérèse réglable H indique la taille de la différence de vitesse (au-dessus de la limite de 

vitesse VG) avant que les alarmes ne soient supprimées. Les alarmes sont à nouveau activées 

lorsque la vitesse repasse au-dessous de la limite de vitesse VG (sans hystérèse). 

L’intégration s’effectue avec l’entrée et la sortie. 

Axis: 1 

Les paramètres se règlent à l’aide de la fenêtre de l’éditeur. 


Version: 24F - HB-37350-810-01-24F-EN


Paramètres 

Le module dispose des paramètres suivants : 

• Activation permanente : 

Lorsque cette case est cochée, la fonction est activée en permanence, le connecteur d’entrée 

du module est effacé. 

• Vitesse limite pour la suppression VG : 

La fonction de suppression est activée lorsque la valeur de vitesse limite indiquée dans ce 

champ est dépassée. Si l’activation permanente est désactivée, le lien avec l'état de l'entrée 

du module est rétabli. 

Nota : 

La vitesse limite pour la suppression détermine également les valeurs de saisie maximales 

pour les limites de vitesse des fonctions SLS, SOS, SLI et SCA. Ces valeurs de saisie doivent 

toujours être inférieures à la vitesse limite pour la suppression. 

• Hystérèse H 

Il est possible de spécifier une valeur d’hystérèse, afin d’éviter des basculements lors de la 

commutation. Pour cela : 

Vitesse d’activation de la suppression : Vitesse limite pour la suppression + valeur de 

l’hystérèse (VG+H) 

Vitesse de désactivation de la suppression : Vitesse limite pour la suppression (VG) 


Version: 24F - HB-37350-810-01-24F-EN


8 Contrôle de sécurité 

Afin de garantir la fiabilité des fonctions de sécurité implémentées, l’utilisateur doit contrôler et 

documenter les paramètres et les liens après avoir effectué la mise en service et le paramétrage. 

Cette opération est supportée par le logiciel de paramétrage SafePLC (voir le manuel de 

programmation) 

La première page permet la saisie d’informations générales sur le système. La dernière page du 

compte-rendu de validation contient les justificatifs individuels du contrôle de sécurité. 

Les saisies suivantes sont obligatoires ici : 

Numéro de série (identique au numéro de série de la plaque signalétique) 

Identité du module 

La personne responsable du contrôle confirme ici que les CRC affichés par l’interface de 

programmation sont identiques aux CRC mémorisés dans le module Safety-M. 

Lorsque toutes les données des en-têtes ont été saisies, presser la bouton « Save » (enregistrer) 

pour générer le rapport de validation. L’outil de paramétrage crée alors un fichier texte (.TXT) 

portant le nom du jeu de données du programme. Ce fichier texte contient les informations 

suivantes : 

• Les 3 pages de données d’en-tête éditées ci-dessus 

• La configuration du codeur 

• Les paramètres de la fonction de surveillance présente 

• Le programme automate sous la forme d’une liste d’instructions 

Après la transmission des données de configuration et du programme au module Safety-M, la 

LED d’état clignote en jaune. Ceci indique que les données de configuration n’ont pas encore été 

validées. Presser le bouton « LOCK CONFIGURATION » (verrouillage configuration) à la fin du 

dialogue de validation pour marquer les données comme « validées » ; la LED clignote alors en 

vert. 


Version: 24F - HB-37350-810-01-24F-EN


9 Maintenance 

9.1 Modification / gestion des changements sur l’appareil 

Les travaux de maintenance sont réservés exclusivement au personnel qualifié. 

Aucune maintenance régulière n’est requise. 

Réparation 

Les appareils doivent toujours être remplacés en intégralité. 

Seul le constructeur peut effectuer les réparations, dans son usine. 

Garantie 

L’ouverture d’un module sans autorisation annule la garantie. 

Nota 

Toute modification apportée au module annule la garantie ! 

9.2 Remplacement d’un module 

Les points suivants sont à prendre en compte lors du remplacement d’un module : 

Isoler le convertisseur de puissance de l’alimentation principale. 

Mettre l’appareil hors tension et le débrancher. 

Retirer le connecteur du codeur. 

Débrancher toutes les autres connexions enfichables. 

Démonter le module du profilé chapeau et l’emballer dans le respect des règles de la CEM. 

Monter le nouveau module sur le profilé chapeau. 

Rétablir tous les branchements. 

Remettre le convertisseur de puissance sous tension. 

Rétablir la tension d’alimentation. 

Configurer l’appareil. 

Nota 

Il est par principe interdit de brancher ou débrancher les connexions enfichables du module 

Safety-M alors que celui-ci est sous tension. Risque de dommages au capteur, en particulier aux 

capteurs de position ou de vitesse raccordés. 

9.3 Intervalles de maintenance 

Remplacement du module Voir les caractéristiques techniques 

Contrôle du fonctionnement Voir le chapitre « Mise en service » 


Version: 24F - HB-37350-810-01-24F-EN


10 Caractéristiques techniques 

10.1 Conditions environnementales 


Température ambiante 0 °C* ... 50 °C 


Durée de vie 90000 h à une temp. ambiante de 50°C 

10.2 Caractéristiques de sécurité 

Classe de sécurité maximale réalisable • SIL 3 selon EN61508 

• Catégorie 4 selon EN945-1 

• Niveau de performance Pl e selon 

EN ISO 13849-1 

Structure du système 2 canaux avec diagnostic (1002) 

Classification du mode opératoire « niveau d’exigence élevé" selon EN 61508 

(high demand rate) 

Probabilité de défaillance dangereuse SMX10, Safety-MS1, Safety-MS2 et SMX12A < 

par heure (valeur PFH) 


(EN 61508) 

1,4 E-8 (14FIT) 

20 ans ; après cette période, le module doit 

être remplacé 


Version: 24F - HB-37350-810-01-24F-EN


11 Types de défauts Safety-M 

Safety-M différencie deux types de défauts, comme décrit ci-dessous : 

Type de 

défaut 

Défaut 

fatal 

Alarme 

Alarme 

ECS 

Désignation 

Défaut exceptionnel fatal du à l'exécution 

du programme dans le Safety-M. Le 

déroulement cyclique du programme n'est 

plus possible pour des raisons de sécurité. 

Le dernier process actif est la commande 

de l’affichage à 7 segments par le système 

A. 

Défaut fonctionnel causé par un process 

externe Les deux systèmes continuent de 

fonctionner cycliquement et répondent à 

toutes les requêtes des interfaces de 

communication. La lecture du process 

externe est également maintenue. 

Dans le cas de l’utilisation de la fonction 

ECS dans l’interface de programmation, les 

messages d’alarme codeur sont repérés 

par « E » au lieu de « A ». 

Détection des défauts système A et système B : 

• Système A : impair 

• Système B : pair 

11.1 Signalisation des défauts 

Le numéro de défaut peut s’afficher de deux manières. 

11.1.1 Safety-M sans modules d’extension 

F,A ou E __ __ __ __ 

Numéro de défaut 

11.1.2 Safety-M avec modules d’extension 

F,A ou E __ __ __ __ __ 

1) Numéro de défaut 

Nota 1) 0: Module de base 

1: Module d’extension avec adresse logique 1 

2: Module d’extension avec adresse logique 2 

Effet sur le 

système 

Toutes les 

sorties sont 

désactivées ! 

Toutes les 

sorties sont 

désactivées ! 

Le bloc 

fonctionnel 

ECS retourne 

le résultat 

« 0 ». 

Condition de 

reset 

Possibilité de 

reset en mettant 

le Safety-M hors 

tension, puis à 

nouveau sous 

tension (POR) 


reset par une 

entrée 

paramétrable 


reset par une 

entrée 

paramétrable 


Version: 24F - HB-37350-810-01-24F-EN


11.2 Liste des alarmes Safety-M 

A 2101 / A 2102 

Message d’alarme Temps écoulé pour réception de message SMX31 (adresse 1) 

Cause Le message du module d’extension n’a pas été reçu à temps 

Remède Vérifier la liaison avec le module d’extension 

A 2105 / A 2106 

Message d’alarme Erreur CRC message SMX31 en émission (adresse 1) 


Remède Vérifier la configuration du n° de série SMX31 

A 2107 / A 2108 

Message d’alarme Erreur CRC message en émission 

Cause Message en émission erroné 

Remède 

• Vérifier la configuration du n° de série SMX31 

• Vérifier la liaison avec le module d’extension 

A 2109 / A 2110 

Message d’alarme Erreur CRC message en réception 

Cause Message en réception erroné 

Remède 

• Vérifier la configuration du n° de série SMX31 

• Vérifier la liaison avec le module d’extension 

A 2111 

Message d’alarme 

Cause 

Temps écoulé lors d’une communication avec le module d’extension 

SMX31 (adresse 1) 

Installation défectueuse du module d’extension 

Remède • Vérifier la liaison avec le module d’extension 

A 2113 

Message d’alarme Module d’extension SMX31 (adresse 1) présent mais pas configuré 

Cause Configuration erronée 

Remède • Vérifier la communication 

A 2115 / A2116 

Message d’alarme Adresse logique du module d’extension SMX31 erronée 



A 2121 / A 2122 

Message d’alarme Temps écoulé pour réception de message SMX31 (adresse 2) 

Cause Le message du module d’extension n’a pas été reçu à temps 

Remède Vérifier la liaison avec le module d’extension 


Version: 24F - HB-37350-810-01-24F-EN


A 2125 / A 2126 

Message d’alarme Erreur CRC message SMX31 en émission (adresse 2) 

Cause Message en émission erroné 

Remède Vérifier la configuration du n° de série SMX31 

A 2131 

Temps écoulé lors d’une communication avec le module d’extension 


SMX31 (adresse 2) 

Cause Installation défectueuse du module d’extension 

Remède • Vérifier la liaison avec le module d’extension 

A 2133 

Message d’alarme Module d’extension SMX31 (adresse 2) présent mais pas configuré 



A 3031 / A 3032 

Message d’alarme Impulsion 1 défaut de plausibilité sur l’entrée d’extension EAEx.1 

Cause Tension configurée pour l’impulsion 1 absente sur cette entrée 

Remède 

• Vérifier la configuration de l’entrée digitale en fonction du projet 

et du schéma du circuit 

• Vérifier le câblage 

A 3033 / A 3034 



Remède 




A 3035 / A 3036 

Message d’alarme Défaut signal 24V sur EAEx.1 

Cause Pas de tension 24V permanente sur cette entrée 

Remède 

• Vérifier la tension sur l’entrée digitale ! 

• Vérifier la câblage 

• Vérifier si l’impulsion 1 ou l’impulsion 2 est présente 

A 3037 / A 3038 



Remède 





Version: 24F - HB-37350-810-01-24F-EN


A 3039 / A 3040 



Remède 




A 3041 / A 3042 



Remède 




A 3043 / A 3044 



Remède 




A 3045 / A 3046 



Remède 




A 3047 / A 3048 



Remède 




A 3049 / A 3050 



Remède 




A 3051 / A 3052 



Remède 





Version: 24F - HB-37350-810-01-24F-EN


A 3053 / A 3054 



Remède 




A 3055 / A 3056 



Remède 




A 3057 / A 3058 



Remède 




A 3059 / A 3060 



Remède 




A 3061 / A 3062 



Remède 




A 3063 / A 3064 


Cause Tension configurée pour l’impulsion 2 absente sur cette entrée. 

Remède 




A 3065 / A 3066 



Remède 





Version: 24F - HB-37350-810-01-24F-EN


A 3067 / A 3068 



Remède 




A 3069 / A 3070 



Remède 




A 3071 / A 3072 



Remède 




A 3073 / A 3074 



Remède 




A 3075 / A 3076 



Remède 




A 3077 / A 3078 



Remède 




A 3079 / A 3080 



Remède 





Version: 24F - HB-37350-810-01-24F-EN


A 3081 / A 3082 



Remède 




A 3083 / A 3084 



Remède 




A 3085 / A 3086 



Remède 




A 3087 / A 3088 



Remède 




A 3089 / A 3090 



Remède 




A 3101 / A 3102 

Message d’alarme Impulsion 1 défaut de plausibilité sur l’entrée DI1 


Remède 




A 3103 / A 3104 



Remède 





Version: 24F - HB-37350-810-01-24F-EN


A 3105 / A 3106 



Remède 




A 3107 / A 3108 



Remède 




A 3109 / A 3110 



Remède 




A 3111 / A 3112 



Remède 




A 3113 / A 3114 



Remède 




A 3115 / A 3116 



Remède 




A 3117 / A 3118 


Cause Pas de tension de l’impulsion 2 sur cette entrée 

Remède 





Version: 24F - HB-37350-810-01-24F-EN


A 3119 / A 3120 



Remède 




A 3121 / A 3122 



Remède 




A 3123 / A 3124 



Remède 




A 3125 / A 3126 



Remède 




A 3127 / A 3128 



Remède 




A 3129 / A 3130 



Remède 




A 3131 / A 3132 



Remède 





Version: 24F - HB-37350-810-01-24F-EN


A 3133 / A 3134 



Remède 




A 3135 / A 3136 



Remède 




A 3137 / A 3138 



Remède 




A 3139 / A 3140 



Remède 




A 3141 / A 3142 



Remède 




A 3143 / A 3144 



Remède 




A 3147 / A 3148 



Remède 

• Vérifier la configuration de l’entrée digitale DI9 en fonction du 

projet et du schéma du circuit 



Version: 24F - HB-37350-810-01-24F-EN


A 3149 / A 3150 



Remède 




A 3151 / A 3152 



Remède 




A 3153 / A 3154 



Remède 




A 3155 / A 3156 



Remède 




A 3157 / A 3158 



Remède 




A 3159 / A 3160 

Message d’alarme Défaut signal 24V sur DI1 


Remède 




A 3161 / A 3162 



Remède 





Version: 24F - HB-37350-810-01-24F-EN


A 3163 / A 3164 



Remède 




A 3165 / A 3166 



Remède 




A 3167 / A 3168 



Remède 




A 3169 / A 3170 



Remède 




A 3171 / A 3172 



Remède 




A 3173 / A 3174 



Remède 




A 3175 / A 3176 



Remède 





Version: 24F - HB-37350-810-01-24F-EN


A 3177 / A 3178 



Remède 




A 3179 / A 3180 



Remède 





A 3181 / A 3182 

Défaut signal 24V sur DI2 


Remède 

• 

• 

• 

Vérifier la tension sur l’entrée digitale ! 

Vérifier le câblage 

Vérifier si l’impulsion 1 ou l’impulsion 2 est présente 

A 3183 / A 3184 



Remède 




A 3185 / A 3186 



Remède 




A 3191 / A 3192 

Message d’alarme Défaut court-circuit entrées digitales 

Cause Court-circuit entre les entrées digitales d’un module 

Remède Contacter le constructeur 

A 3197 / A 3198 

Message d’alarme Test d’entrée OSSD défectueux 

Cause Test OSSD défectueux 

Remède • Vérifier la tension 24V d’entrée de toutes les entrées OSSD 


Version: 24F - HB-37350-810-01-24F-EN


A 3209 / A 3210 

Message de défaut Défaut tension d’alimentation codeur X31 

Cause 

• 

• 

La tension d’alimentation du codeur ne correspond pas au seuil 

configuré 

Composant du module défectueux 

Remède 

• 

• 

• 

Vérifier la configuration 

Vérifier la tension d’alimentation codeur 

Mettre l’appareil hors tension, puis le remettre sous tension 

A 3213 / A 3214 

Message de défaut Défaut tension d’alimentation codeur X32 

Cause 

• 

• 

La tension d’alimentation du codeur ne correspond pas au seuil 

configuré 


Remède 

• 

• 

• 




A 3225 / A 3226 

Message de défaut Déviation Ain1 / AIn2 trop importante 

Cause 

• 

• 

Tensions différentes sur les deux entrées 

Seuil configuré trop bas 

Remède 

• 

• 

• 

Vérifier les tensions sur Ain1 ! 

Vérifier la configuration du seuil/du filtre d’entrée 


A 3227 / A 3228 

Message de défaut Déviation Ain3 / AIn4 trop importante 

Cause 

• 

• 

Tensions différentes sur les deux entrées 

Seuil configuré trop bas 

Remède 

• 

• 

• 

Vérifier les tensions sur Ain1 ! 

Vérifier la configuration du seuil/du filtre d’entrée 


A 3229 / A 3230 

Message de défaut Contrôle de plausibilité de la tension codeur défectueux 

Cause • Valeur de tension codeur 

Remède 

• Vérifier la tension d’alimentation codeur 

• Vérifier le câblage de la tension codeur 

A 3231 / A 3232 

Message de défaut Contrôle de plausibilité des entrées analogiques défectueux 

Cause • Défaut d’un signal d’entrée analogique 

Remède 

• Vérifier le raccordement des entrées analogiques 

• Tension d’entrée analogique hors limites 


Version: 24F - HB-37350-810-01-24F-EN


A 3233 / A 3234 

Message de défaut Déclenchement de la surveillance de coupure de circuit AIN1 

Cause • Activation de la surveillance de coupure de circuit (< 1000 mV) 

Remède 

• Vérifier la configuration de l’activation/du capteur 

• Vérifier le raccordement du capteur 

A 3235 / A 3236 

Message de défaut Déclenchement de la surveillance de coupure de circuit AIN2 

Cause • Activation de la surveillance de coupure de circuit (< 1000 mV) 

Remède 

• Vérifier la configuration de l’activation/du capteur 

• Vérifier le raccordement du capteur 

A 3301 / A 3302 

Message d’alarme Défaut de plausibilité acquisition vitesse axe 1 

La différence entre les deux capteurs de vitesse est supérieure au 

Cause 

seuil de vitesse configuré pour le déclenchement 

Revérifier l’aspect théorique de la distance à l’aide des données 

définies dans la configuration du codeur 

Remède 

Vérifier le capteur de vitesse 

Utiliser la fonction SCOPE pour régler les signaux de vitesse de sorte 

qu’ils se recouvrent 

A 3303 / A 3304 

Message d’alarme Défaut de plausibilité acquisition position axe 1 

La différence entre les deux capteurs de position est supérieure au 

Cause 

seuil incrémental configuré pour le déclenchement 

Vérifier l’aspect théorique de la distance à l’aide des données 


Vérifier le signal de position 

Tous les signaux sont-ils raccordés correctement au connecteur 9 

broches du codeur ? 

Remède 

Vérifier le câblage du connecteur 

Si des détecteurs de proximité sont utilisés, sont-ils correctement 

raccordés ? 

Utiliser la fonction SCOPE pour régler les signaux de position de 

sorte qu’ils se recouvrent 

A 3307 / A 3308 

Message d’alarme Défaut de plausibilité plage de position axe 1 

Cause La position courante est hors de la longueur de mesure configurée 

Remède 


configurées ou du réglage du capteur 

Vérifier le signal de position, si nécessaire corriger l’offset 

A l’aide de la fonction SCOPE, lire la position et la régler par rapport 

aux valeurs configurées 


Version: 24F - HB-37350-810-01-24F-EN


A 3309 / A 3310 

Message d’alarme Défaut de plausibilité vitesse erronée axe 1 

Cause La vitesse courante est hors de la vitesse maximale configurée 

Remède 

L’entraînement travaille hors de la plage de vitesse admissible et 

configurée 


A l’aide de la fonction SCOPE, analyser l’évolution de la vitesse. 

A 3311 / A 3312 

Message d’alarme Défaut de configuration : Accélération axe 1 

Cause L’accélération courante est hors de la plage d’accélération configurée 

Remède 

L’entraînement a dépassé la plage d’accélération autorisée 

Vérifier la configuration de la vitesse maximale 

A l’aide de la fonction SCOPE, analyser l’évolution de la vitesse/de 

l’accélération 

A 3313 / A 3314 

Message de défaut Défaut capteur SSI 

Cause • Changement de pas codeur valeur SSI trop élevé dans un cycle 

Remède 

• Vérifier le câblage du codeur 

• Vérifier la configuration du codeur 

A 3318 

Message de défaut Codeur incrémental axe 1 défectueux 

Cause • La piste A ne correspond pas à la piste B 

Remède 



A 3321 / A 3322 

Message d’alarme Défaut de plausibilité acquisition vitesse axe 2 

La différence entre les deux capteurs de vitesse est supérieure au 

Cause 

seuil de vitesse configuré pour le déclenchement 

Revérifier l’aspect théorique de la distance à l’aide des données 


Remède 

Vérifier le capteur de vitesse 

Utiliser la fonction SCOPE pour régler les signaux de vitesse de sorte 

qu’ils se recouvrent 


Version: 24F - HB-37350-810-01-24F-EN


A 3323 / A 3324 

Message d’alarme Défaut de plausibilité acquisition position axe 2 

La différence entre les deux capteurs de position est supérieure au 

Cause 

seuil incrémental configuré pour le déclenchement 



Vérifier le signal de position 

Tous les signaux sont-ils raccordés correctement au connecteur 9 

Remède 

broches du codeur ? 

Vérifier le câblage du connecteur 

Si des détecteurs de proximité sont utilisés, sont-ils correctement raccordés ? 

Utiliser la fonction SCOPE pour régler les signaux de position de 

sorte qu’ils se recouvrent 

A 3327 / A 3328 

Message d’alarme Défaut de plausibilité plage de position axe 2 

Cause La position courante est hors de la longueur de mesure configurée 

Remède 



Vérifier le signal de position, si nécessaire corriger l’offset 

A l’aide de la fonction SCOPE, lire la position et la régler par rapport 

aux valeurs configurées 

A 3329 / A 3330 

Message d’alarme Défaut de plausibilité vitesse erronée axe 2 

Cause La vitesse courante est hors de la vitesse maximale configurée 

Remède 

L’entraînement travaille hors de la plage de vitesse admissible et 

configurée 


A l’aide de la fonction SCOPE, analyser l’évolution de la vitesse. 

A 3331 / A 3332 

Message d’alarme Défaut de configuration : Accélération axe 2 

Cause L’accélération courante est hors de la plage d’accélération configurée 

Remède 

L’entraînement a dépassé la plage d’accélération autorisée 

Vérifier la configuration de la vitesse maximale 

A l’aide de la fonction SCOPE, analyser l’évolution de la vitesse/de 

l’accélération 

A 3333 / A 3334 

Message d’alarme Défaut de plausibilité du codeur SinCos 

Cause Type de codeur erroné raccordé 

Remède 


Vérifier l’affectation des broches du codeur 

A 3337 / A3338 

Message de défaut Codeur incrémental axe 2 défectueux 

Cause • La piste A ne correspond pas à la piste B 

Remède 




Version: 24F - HB-37350-810-01-24F-EN


A 3407 / A 3408 

Message d’alarme Niveau différentiel Driver RS485 1, défaut INC_B ou SSI_CLK erroné 

Cause 

• 

• 

Pas de liaison avec le codeur 

Type de codeur erroné raccordé 

Remède 

• 

• 

Vérifier le raccordement du codeur 

Vérifier le câblage du codeur 


Cause 

Remède 

A 3409 / A 3410 

Niveau différentiel Driver RS485 2, défaut INC_A ou SSI_DATA 

erroné 

• Pas de liaison avec le codeur 

• Type de codeur erroné raccordé 

• Vérifier le raccordement du codeur 


A 3411 / A 3412 

Message de défaut Défaut plausibilité Sinus/Cosinus X31 

Cause • Défaut de la surveillance de plausibilité des différentes pistes 

Remède 


• La piste Sinus doit être linéaire par rapport à la piste Cosinus 

A 3413 / A 3414 

Message de défaut Défaut plausibilité Sinus/Cosinus X32 

Cause • Défaut de la surveillance de plausibilité des différentes pistes 

Remède 


• La piste Sinus doit être linéaire par rapport à la piste Cosinus 

A 3451 / A 3452 

Message d’alarme Défaut fréquence résolveur 

Cause 

• Fréquence du résolveur hors de la plage admissible Défaut 

de la fréquence d’excitation du résolveur 

Remède 

• Vérifier si la fréquence du résolveur se trouve dans la plage 

permise. 

A 3453 / A3454 

Message de défaut 

Valeur moyenne du signal de référence du résolveur hors de la plage 

permise. 

Cause 

• Valeur moyenne du signal de référence du résolveur hors de 

la plage permise. 

Remède • Vérifier le résolveur raccordé. 

A 3457 / A3458 

Message de défaut Tension de référence de la carte d’extension incorrecte 

Cause • Défaut matériel sur la carte d’extension 

Remède • Vérifier la carte d’extension 


Version: 24F - HB-37350-810-01-24F-EN



Cause 

Remède 


A 3459 / A3460 

L’amplitude/longueur d’aiguille formée par les deux signaux sinus et 

cosinus (voir aussi le cercle unitaire) est hors de la plage permise. 

• Configuration incorrecte du codeur 

• Raccordement incorrect du résolveur 


• Vérifier les branchements du résolveur 

A 3461 / A3462 

Cause • Défaut interne 

Remède 


Le PIC signale un état de défaut général, p. ex. lors de 

l’établissement de la communication ou du fait d’un timeout pendant 

le retraitement. 

• Cycle de mise sous tension de l’appareil 

• Vérifier la carte d’extension 

A 3463 / A3464 

Echec du contrôle de plausibilité entre le signal sinus analogique et le 

niveau TTL à la sortie par trigger de Schmitt (ne correspondent pas). 

Cause • Signaux erronés émis par le codeur 

Remède 



• Vérifier le signal du codeur 

A 3465 / A3466 

Le quotient moyenne arithmétique / valeur quadratique moyenne est 

hors de la plage permise 


Remède 



A 3467 / A3468 

Message de défaut Echec de l’établissement de la communication entre CPU et PIC 

Cause • Matériel de la carte d’extension défectueux 

Remède • Vérifier la carte d’extension 

A 3469 / A3470 

Message de défaut Résolveur_Quadrant 


Remède 



A 3471 / A3472 

Message de défaut Résolveur_UENC 

Cause • Pas de tension sur la carte d’extension 

Remède 

• Vérifier si la tension est bien appliquée aux bornes de la carte 

d’extension 


Version: 24F - HB-37350-810-01-24F-EN


A 3473 / A3474 

Message de défaut Défaut signal TTL/HTL 


Remède 



A 3475 / A3476 

Message de défaut Défaut Résolveur_TRACE 

Cause • Signaux de comptage du codeur défectueux 

Remède 



• Vérifier la carte d’extension 

A 3505 / A 3506 

Message de défaut Défaut tête de lecture système codeur WCS axe 1 

Cause • Détection d’un défaut par la tête de lecture WCS 

Remède • Lire les types de défauts du système de codeur WCS 

A 3507 / A 3508 

Message de défaut Défaut tête de lecture système codeur WCS axe 1 

Cause • Détection d’un défaut par la tête de lecture WCS 

Remède • Lire les types de défauts du système de codeur WCS 

A 3551 / A3552 

Message de défaut SSI_ECE STATUS 1 er axe codeur SSI Ext 

Cause • Evaluation erronée du 1 er bit d’état 

Remède 



• Remplacer le codeur SSI 

A 3553 / A3554 


Cause • Evaluation erronée du 2 ème bit d’état 

Remède 




A 3555 / A3556 



Remède 





Version: 24F - HB-37350-810-01-24F-EN


A 3557 / A3558 



Remède 




A 3559 / A3560 


Cause • Evaluation of the 5th status bit is faulty 

Remedy 

• Check the encoder connection 

• Check the encoder signal 

• Replace the SSI-encoder 

A 3561 / A3562 

Message de défaut SSI_ECE STATUS 2 ème axe codeur SSI Ext 


Remède 




A 3563 / A3564 



Remède 




A 3565 / A3566 



Remède 




A 3567 / A3568 



Remède 




A 3569 / A3570 



Remède 





Version: 24F - HB-37350-810-01-24F-EN


A 3571 / A3572 

Message de défaut SSI STATUS 1 er axe codeur SSI 


Remède 




A 3573 / A3574 



Remède 




A 3575 / A3576 



Remède 




A 3577 / A3578 



Remède 




A 3579 / A3580 



Remède 




A 3801 / A3802 

Message de défaut Commutation défectueuse de la sortie EAAx.1 

Cause Court-circuit de la sortie avec « 24V » ou « 0V » 

Remède Mettre l’appareil hors tension, puis le remettre sous tension 

A 3803 / A3804 





Version: 24F - HB-37350-810-01-24F-EN


A 3805 / A3806 




A 3807 / A3808 




A 3809 / A3810 




A 3811 / A3812 




A 3813 / A3814 




A 3815 / A3816 




A 3817 / A3818 




A 3819 / A3820 




A 4001 / A 4002 

Activation simultanée de la surveillance de rotation SDI1 sens horaire 


et antihoraire 

Cause Activation multiple 

Remède Veiller dans le programme à n’activer qu’un seul « Enable » à la fois 


Version: 24F - HB-37350-810-01-24F-EN


A 4003 / A 4004 

Activation simultanée de la surveillance de rotation SDI2 sens horaire 





A 4601 / A 4602 

Message d’alarme Activation simultanée de la plage de surveillance gauche et droite de SLP1 



A 4603 / A 4604 

Message d’alarme Activation simultanée de la plage de surveillance gauche et droite de SLP2 



A 4605 / A 4606 

Message d’alarme Défaut d’état SLP1 Teach In 

Cause Séquence de commutation des entrées SET et QUIT erronée 

Remède 

Vérifier la configuration des entrées 

Vérifier la séquence de commutation 

A 4607 / A 4608 

Message d’alarme Défaut d’état SLP2 Teach In 

Cause Séquence de commutation des entrées SET et QUIT erronée 

Remède 


Vérifier la séquence de commutation 

A 4609 / A 4610 

Message d’alarme Défaut de position SLP1 Teach In 

Cause Position d’apprentissage hors de la plage de mesure 

Remède Vérifier la position de transfert 

A 4611 / A 4612 

Message d’alarme Défaut de position SLP2 Teach In 

Cause Position d’apprentissage hors de la plage de mesure 

Remède Vérifier la position de transfert 

A 4613 / A 4614 

Message d’alarme Défaut d’activation SOS SLP1 Teach In 

Cause L’entraînement s’est déplacé pendant l’apprentissage (défaut SOS) 

Remède 

L’entraînement doit être à l’arrêt lors de l’utilisation de la fonction 

d’apprentissage 

Vérifier si SOS s’est déjà déclenché 


Version: 24F - HB-37350-810-01-24F-EN


A 4615 / A 4616 

Message d’alarme Défaut d’activation SOS SLP2 Teach In 

Cause L’entraînement s’est déplacé pendant l’apprentissage (défaut SOS) 

Remède 

L’entraînement doit être à l’arrêt lors de l’utilisation de la fonction 

d’apprentissage 

Vérifier si SOS s’est déjà déclenché 

A 4901 / A 4902 

Activation simultanée de la surveillance de rotation SLI1 sens horaire 





A 4903 / A 4904 

Activation simultanée de la surveillance de rotation SLI2 sens horaire 





A 5001 / A 5002 

Message d’alarme Défaut de l’essai de désactivation des entrées digitales 1�14 

Cause Les entrées sont toujours actives après désactivation 

Remède Vérifier le câblage des entrées digitales 

A 6701 / A 6702 

Message d’alarme Défaut temps écoulé MET 

Cause Défaut d’un élément d’entrée avec surveillance du temps 

Remède 

Vérifier le câblage de l’élément d’entrée 

Elément d’entrée défectueux 

A 6703 / A 6704 

Message d’alarme Défaut temps écoulé MEZ 

Cause 

Défaut d’un élément de commande bimanuel avec surveillance du 

temps 

Remède 

Vérifier le câblage de l’élément d’entrée 

Elément d’entrée défectueux 

11.3 Liste des erreurs fatales Safety-M 

Code d’erreur 

fatale 

Message d’erreur 

Cause 

Remède 

F 1001 

Chargement incorrect des donnes de configuration dans l’appareil 

de surveillance 

Perturbation de la liaison lors du chargement du programme dans 

l’appareil de surveillance 

Recharger les données de configuration, mettre l’appareil hors 

tension, puis le remettre sous tension 


Version: 24F - HB-37350-810-01-24F-EN


d’erreur fatale F 1003 


Cause 

Remède 

Données de configuration invalides pour la version de logiciel du 

module 

Configuration du module avec une version de logiciel de l’interface 

de programmation incorrecte 

Paramétrer le module avec la version appropriée de l’interface de 

programmation, mettre le module hors tension, puis le remettre 

sous tension 

F 1007 

Message d’erreur Appareil programmé avec une interface de programmation erronée 

Cause 

Transfert du programme ou des données de configuration à 

l’appareil à l’aide d’une interface de programmation erronée 

Vérifier la version du module et le reparamétrer à l’aide d’une 

Remède 

interface de programmation valide Mettre ensuite l’appareil hors 

tension, puis le remettre sous tension 


F 1307 

Défaut à l’effacement des données de configuration de la mémoire 

Flash 

F 1311 / F1312 

Message d’erreur Erreur interne – Contacter le constructeur 

F 1314 


F 1330 


F 1401 / F 1402 


F 1403 / F 1404 

Message d’erreur CRC des données de configuration invalide ! 

Cause Transfert incorrect des données de configuration 

Remède Répéter le transfert des données de configuration 

F 1406 


F 1407 / F 1408 



Version: 24F - HB-37350-810-01-24F-EN


F 1501 / F 1502 


F 1503 / F 1504 


F 1505 / F 1506 


F 1601 / F 1602 

Message d’erreur Erreur au contrôle des limites de la description de l’appareil 

F 1603 / F 1604 

Message d’erreur Erreur au contrôle des limites des données d’accès 

F 1605 / F 1606 

Message d’erreur Erreur au contrôle des limites EMU 

F 1607 / F 1608 

Message d’erreur Erreur au contrôle des limites SCA 

F 1609 / F 1610 

Message d’erreur Erreur au contrôle des limites SSX 

F 1611 / F 1612 

Message d’erreur Erreur au contrôle des limites SEL 

F 1613 / F 1614 

Message d’erreur Erreur au contrôle des limites SLP 

F 1615 / F 1616 

Message d’erreur Erreur au contrôle des limites SOS 

F 1617 / F 1618 

Message d’erreur Erreur au contrôle des limites SLS 

F 1619 / F 1620 

Message d’erreur Erreur au contrôle des limites SDI 


Version: 24F - HB-37350-810-01-24F-EN


F 1621 / F 1622 

Message d’erreur Erreur au contrôle des limites SLI 

F 1623 / F 1624 

Message d’erreur Erreur au contrôle des limites PLC 

F 1625 / F 1626 

Message d’erreur Erreur au contrôle des limites du canal de coupure 

F 1627 / F 1628 

Message d’erreur Erreur au contrôle des limites des sorties 

F 1629 / F 1630 

Message d’erreur Erreur au contrôle des limites des entrées digitales 

F 1631 / F 1632 

Message d’erreur Contrôle des limites des entrées analogiques 

F 1633 / F 1634 

Message d’erreur Erreur au contrôle des limites du type de codeur 

F 1635 / F 1636 

Message d’erreur Erreur au contrôle des limites du retraitement du codeur 

F 1637 / F 1638 

Message d’erreur Erreur au contrôle des limites de la position du codeur 

F 1639 / F 1640 

Message d’erreur Erreur au contrôle des limites PDM 

F 1641 / F 1642 

Message d’erreur Erreur au contrôle des limites du circuit additionneur 

F 1645 / F 1646 

Message d’erreur Erreur au contrôle des limites de la gestion d’axe 

F 1647 / F 1648 

Message d’erreur Erreur au contrôle des limites des modules d’extension 


Version: 24F - HB-37350-810-01-24F-EN


F 1649 / F 1650 

Message d’erreur Erreur au contrôle des limites de l’horloge automate 

F 1651 / F 1652 

Message d’erreur Erreur au contrôle des limites du système 

F 1653 / F 1654 

Message d’erreur Erreur au contrôle des limites du tableau des connexions 

F 1655 / F 1656 

Message d’erreur Erreur au contrôle des limites SAC 

F 1657 / F 1658 

Message d’erreur Erreur au contrôle des limites du diagnostic 

F 2001 / F 2002 



F 2003 / F 2004 

Temps écoulé lors de la transmission des données de 

configuration et de firmware 

F 2005 


F 2007 


F 2009 


F 2011 


F 2013 / F 2014 


F 3001 / F 3002 



Version: 24F - HB-37350-810-01-24F-EN


F 3201 / F 3202 

Message d’erreur Tension 2,5V processeur hors des limites définies 

Cause 

• 

• 

Tension d’alimentation du module incorrecte 


Remède 

• 

• 



F 3203 

Message d’erreur Défaut tension d’alimentation 24V du module 

Cause 

• 

• 



Remède 

• 

• 



F 3204 

Message d’erreur Défaut tension d’alimentation 5,7V interne 

Cause 

• 

• 



Remède 

• 

• 



F 3217 / F 3218 

Message d’erreur Défaut tension d’alimentation 5V interne 

Cause 

• 

• 



Remède 

• 

• 



F 3306 

Message d’alarme Défaut de plausibilité changement de position axe 1 

Cause 

Activation permanente de SOS, SLI ou SDI pendant un 

changement de position 

Remède 

• 

• 

• 

Vérifier l’activation de SOS 

Vérifier l’activation de SLI 

Activation de SLI (uniquement pour la surveillance via la position) 

F 3316 

Message d’erreur Défaut d’alignement codeur axe 1 

Cause • Déclenchement de position par le système A incorrect 

Remède 


• Mettre l’appareil hors tension, puis le remettre sous tension 

F 3326 

Message d’erreur Défaut de plausibilité changement de position axe 2 

Cause Activation permanente de SOS, SLI ou SDI pendant un 


Version: 24F - HB-37350-810-01-24F-EN


Remède 

changement de position 

• Vérifier l’activation de SOS 

• Vérifier l’activation de SLI 

• Activation de SLI (uniquement pour la surveillance via la position) 

F 3336 

Message d’erreur Défaut d’alignement codeur axe 2 

Cause • Déclenchement de position par le système A incorrect 

Remède 


• Mettre l’appareil hors tension, puis le remettre sous tension 

F 3603 / F 3604 

Message d’erreur Défaut de commutation relais K1 

Cause Défaut interne de déclenchement du relais 


F 3605 / F 3606 

Message d’erreur Défaut de commutation relais K2 

Cause Défaut interne de déclenchement du relais 


F 3609 

Message d’erreur Défaut de déclenchement du driver « 0V » DO1_L 

Cause Défaut de l’état de commutation de la sortie 


F 3610 

Message d’erreur Défaut de déclenchement du driver « 24V » DO1_H 



F 3611 

Message d’erreur Défaut de déclenchement du driver « 0V » DO2_L 



F 3612 

Message d’erreur Défaut de déclenchement du driver « 24V » DO2_H 



F 3613 

Message d’erreur Défaut à l’essai du driver « 0V » DO1_L 

Cause Court-circuit de la sortie avec « 0V » 


Version: 24F - HB-37350-810-01-24F-EN



F 3614 

Message d’erreur Défaut à l’essai du driver « 24V » DO1_H 



F 3615 

Message d’erreur Défaut à l’essai du driver « 0V » DO2_L 



F 3616 

Message d’erreur Défaut à l’essai du driver « 24V » DO2_H 



F 3617 


F 3618 


F 3619 


F 3620 


F 3621 


F 3622 


F 3701 / F 3702 


F 3821 

Message d’erreur Commutation défectueuse de la sortie EAAx.1 




Version: 24F - HB-37350-810-01-24F-EN


F 3823 




F 3825 




F 3827 




F 3829 




F 3831 




F 3833 




F 3835 




F 3837 




F 3839 





Version: 24F - HB-37350-810-01-24F-EN


F 3841 / F 3842 

Message d’erreur Défaut à l’essai de la sortie EAAx.1 



F 3843 / F 3844 




F 3845 / F 3846 




F 3847 / F 3848 




F 3849 / F 3850 




F 3851 / F 3852 




F 3853 / F 3854 




F 3855 / F 3856 




F 3857 / F 3858 





Version: 24F - HB-37350-810-01-24F-EN


F 3859 / F 3860 




F 3872 


F 3874 


F 3892 


F 3894 


F 4501 / F 4502 

Message d’alarme Erreur au calcul de la rampe de freinage SSX 


Remède 

• Vérifier la configuration SSX 

• Contacter le constructeur 

F 4503 / F 4504 

Message d’alarme Erreur au calcul de la courbe limite SSX 

Cause Erreur au calcul de la courbe limite SSX 

Remède 

• Vérifier la configuration 

• Contacter le constructeur 

F 6801 / F 6802 


F 6803 / F 6804 


F 6805 / F 6806 


F 6807 / F 6808 



Version: 24F - HB-37350-810-01-24F-EN


F 6809 / F 6810 


F 6811 / F 6812 


F 6813 / F 6814 


F 8205 / F 8206 


F 8207 / F 8208 


F 8213 / F 8214 


F 8220 


F 8221 / F 8222 


F 8223 / F 8224 


F 8225 


F 8227 


F 8228 


F 9001 / F 9002 



Version: 24F - HB-37350-810-01-24F-EN


F 9007 / F 9008 


F 9009 / F 9010 


F 9011 / F 9012 


F 9013 / F 9014 


F 9015 / F 9016 


F 9017 / F 9018 



Version: 24F - HB-37350-810-01-24F-EN


12 Types de codeurs 

N° Type 

69 

Codeur sur 

interface 

X31/32 

Type 

Codeur sur 

interface 

X31/34 

NC NC 

Type 

Codeur sur 

X 23 

1 x Bero 

+ 

1 x Bero 

Vitesse 

sûre 

1 Incrémental NC NC X 

Direction 

sûre 

51 Incrémental Incrémental NC X X 

3 Incrémental NC 1 x Bero X 

Position 

sûre 



X 


Exclusion de la défaillance rupture mécanique de 

l’arbre, liaison positive avec l’arbre du codeur 

requise si utilisation d’éléments communs 


l’arbre, liaison positive de l’arbre du codeur 

requise 

Système 

partiel à 1 

canal 

DC 





(surveillance 


n.a. 99% 80-90% 

60% 99% 80-90% 

n.a. 99% 95% 

n.a. 99% 90-95% 

68 Incrémental NC 2 x Bero 90° X X n.a. 99% 90-95% 

62 Incrémental SIN/COS NC X X 

54 Incrémental HTL NC X X 

n.a. 99% 99% 

n.a. 99% 90-95%


N° Type 

Codeur sur 

interface 

X31/32 

Type 

Codeur sur 

interface 

X31/34 

Type 

Codeur sur 

X 23 

Vitesse 

sûre 

Direction 

sûre 

58 Incrémental Résolveur NC X X 

Position 

sûre 

65 Incrémental SSI NC X X X 


52 SIN/COS Incrémental NC X X 






requise 

Système 

partiel à 1 

canal 

DC 





(surveillance 


n.a. 99% 99% 

n.a. 99% 90-95% 

90% 99% 90-95% 

n.a. 99% 95-99% 




59 SIN/COS Résolveur NC X X 

n.a. 99% 95-99% 

n.a. 99% 99%


N° 

Type 

Codeur sur 

interface 

X31/32 

Type 

Codeur sur 

interface 

X31/34 

Type 

Codeur sur 

X 23 

Vitesse 

sûre 

Direction 

sûre 

Position 

sûre 




Système 

partiel à 1 

canal 

DC 





(surveillance 








57 NC Résolveur NC X X 



requise 



requise 

n.a. 99% 90-95% 

n.a. 99% 95-99% 

n.a. 99% 95-99% 

n.a. 99% 90-95% 

90% 99% 90-95% 

90% 99% 90-95%


N° Type 

Codeur sur 

interface 

X31/32 

Type 

Codeur sur 

interface 

X31/34 

Type 

Codeur sur 

X 23 

Vitesse 

sûre 


Direction 

sûre 

Position 

sûre 







requise 

Système 

partiel à 1 

canal 

DC 





(surveillance 


60% 99% 80-90% 

n.a. 99% 90-95%


13 Types de commutateurs 

Type Symbole graphique Table de vérité Fonction logique Bloc de fonction Fonction 

1 

Ö A 

LD E.1 

Normalement ouvert, 

0 

1 

0 

1 

ST IE.X 

représenté uniquement 

normalement fermé 

2 

3 

4 

eSwitch_1o 

sSwitch_1s 

eSwitch_2o 

eSwitch_2oT 

t 

S A 

0 0 

1 1 

Ö1 Ö2 A 

0 0 0 

1 0 0 

0 1 0 

1 1 1 

Ö1 Ö2 A 

0 0 0 

1 0 0 

0 1 0 

1 1 1 

LD E.1 

ST IE.X 

LD E.1 

AND E.2 

ST IE.X 

LD E.1 

OR E.2 

ST META_EN.1 

LD E.1 

AND E.2 

ST METB_EN.1 

LD MET.1 

ST IE.X 

Surveillance du 

temps 

MET1..MET4 



Contact 

norm. Öffner 

fermé 

Sortie Ausgang 

Normalement ouvert, idem type 

Contact 

1 norm. Öffner 

fermé 


Opération ET sur les deux 

entrées 

Comme 3, avec surveillance du 

temps pour les changements 

d’état. 

En cas de changement de 

signal pour NF ou NO, un signal 

complémenté soit suivre dans 

une période de t=3 s. Sinon, 

détection de défaut et sortie=0. 

max max. 3 s max max. 3 s 

Norm. 

Öffner 1 

fermé 1 

Norm. Öffner 2 

fermé 2 


Norm. 

Öffner 1 

fermé 1 


fermé 2 

Sortie Ausgang


Typ 

e 

5 

6 

7 

Symbole graphique Table de vérité Fonction 

eSwitch_1s1o 

eSwitch_1s1oT 

eSwitch_2s2o 

t 

S Ö A 

0 0 0 

1 0 0 

0 1 1 

1 1 0 

S Ö A 

0 0 0 

1 0 0 

0 1 1 

1 1 0 

S1 Ö 

1 

S2 Ö2 A 

1 0 1 0 0 

0 1 1 0 0 

0 1 0 1 1 

1 0 0 1 0 

LD E.1 

AND NOT E.2 

ST IE.X 

LD E.1 

OR NOT E.2 

ST META_EN.1 

LD E1 

AND NOT E2 

ST METB_EN.1 

LD MET.1 

ST IE.X 

LD E.1 

AND E.2 

AND NOT E.3 

ST IE.X 


temps 

MET1..MET4 



Surveillance de NO=inactive et 

de NF=active 



d’état. 


signal pour NF ou NO, un signal 





NO1*NO2=inactive et NF1- 

NF2=active 


Contact 

norm. Öffner 

fermé 

Contact 

Schließer 

norm. 

ouvert 

Ausgang 

Sortie 

Contact 

norm. 

Öffner 

fermé 

Contact 

Schließer 

norm. 

ouvert 

Ausgang 

Sortie 

Norm. 

fermé Öffner 1 

Norm. 

fermé Öffner 2 2 

Contact 

norm. Schließer 

ouvert 

Sortie Ausgang


Typ 

e 

8 

9 


eSwitch_2s2oT 

eSwitch_3o 

t 

S1 Ö 

1 

S2 Ö2 A 

1 0 1 0 0 

0 1 1 0 0 

0 1 0 1 1 

1 0 0 1 0 

Ö1 Ö2 Ö3 A 

0 0 0 0 

1 0 0 0 

0 1 0 0 

1 1 0 0 

1 1 1 1 

LD E.1 

OR E.2 

OR NOT E.3 

ST META_EN.1 

LD E.1 

AND E.2 

AND NOT E.3 

ST METB_EN.1 

LD MET.1 

ST IE.X 

LD E.1 

AND E.2 

AND E.3 

ST IE.X 


temps 

MET1..MET4 





d’état. 


signal pour NF (attention : ligne 

bus) ou NF, un signal 




Opération ET sur les deux 

entrées 


Norm. 


Norm. 


Contact Schließer 

norm. 

ouvert 

Ausgang 

Sortie 

Norm. 

Öffner fermé 1 

Norm. 

Öffner fermé 2 

Öffner 

Norm. 

3 

fermé 3 

Sortie Ausgang


10 

eSwitch_3oT 

t 

t 

Ö1 Ö2 Ö3 A 

0 0 0 0 

1 0 0 0 

0 1 0 0 

1 1 0 0 

1 1 1 1 

LD E.1 

OR E.2 

OR E.3 

ST META_EN.1 

LD E.1 

AND E.2 

AND E.3 

ST METB_EN.1 

LD MET.1 

ST IE.X 


temps 

MET1..MET4 





d’état. 


signal sur l’une des entrées NF, 

les autres entrées doivent 

suivre dans une période de t=3 

s. Sinon, détection de défaut et 

sortie=0. 


Norm. 


Norm. 

Öffner 2 

fermé 2 


fermé 3 

Sortie Ausgang


Typ 

e 

11 

12 


eTwoHand_2o 

Ö S Ö S A 

1 1 2 2 

0 1 0 1 0 

1 0 0 1 0 

1 0 1 0 0 

0 1 0 1 1 

S1 S2 A 

1 0 0 

0 1 0 

0 0 0 

1 1 1 

LD NOT E.1 

OR E.2 

OR NOT E.3 

OR E.4 

ST MEZ_EN.1 

LD E.1 

AND NOT E2 

AND E3 

AND NOT E4 

ST MEZ_EN.2 

LD NOT E1 

AND E.2 

AND NOT E3 

AND E.4 

ST MEZ_EN.3 

LD MEZ.1 

ST IE.X 

LD E.1 

OR E.2 

ST MEZ_EN.1 

LD NOT E.1 

AND NOT E.2 

ST MEZ_EN.2 

LD E.1 

AND E.2 

ST MEZ_EN.3 

Commande 

bimanuelle 

MEZ 

Commande 

bimanuelle 

MEZ 




NO1*NO2=inactive et 

NF1*NF2=active + surveillance 

de cet état dans le temps. Ceci 

signifie que, en cas de 

changement de signal d’un NO 

de 1->0 ou d’un NF de 0->1, les 

autres signaux (c.-à-d. les autres 

NO=0 ou NF=1) doivent suivre 

dans une période de 0,5 s. 

Sinon, la sortie = 0. 

Pas d’évaluation des 

interférences ! Pas de 

surveillance dans le temps en 

cas de passage à l’état inactif. 


NO1*NO2=inactive + 

surveillance de cet état dans le 

temps. Ceci signifie que, en cas 

de changement de signal d’un 

NO de 1->0, l’autre signal (c.-àd. 

un autre NO=0) doit suivre 

dans une période de 0,5 s. 

Sinon, la sortie = 0. 

Pas d’évaluation des 

interférences ! Pas de 

max. 0,5 s 

max. 0,5 s 

Norm. 

fermé Öffner 1 1 

Norm. 

Öffner 2 

fermé 2 

SOrtie Ausgang 

Norm. 

ouvert Schließer 1 1 

Norm. 

ouvert Schließer 2 2 

Sortie 

Ausgang


13 

14 

eTwoHand_2s 

eMode_1s1o 

eMode_3switch 

S1 S2 A A 

1 2 

1 0 1 0 

0 1 0 1 

0 0 0 0 

1 1 0 0 


1 2 3 

1 0 0 1 0 0 

0 1 0 0 1 0 

0 0 1 0 0 1 

1 1 0 0 0 0 

1 0 1 0 0 0 

0 1 1 0 0 0 

1 1 1 0 0 0 

0 0 0 0 0 0 

LD MEZ.1 

ST IE.X 

LD E.1 

AND NOT E.2 

ST IE.X 

LD NOT E.1 

AND E.2 

ST IE.X2 

LD E.1 

AND NOT E.2 

AND NOT E.3 

ST IE.X 

LDN E.1 

AND E2 

AND NOT E.3 

ST IE.X2 

LDN E.1 

AND NOT E.2 

AND E.3 

ST IE.X3 



surveillance dans le temps en 

cas de passage à l’état inactif. 

Sélecteur Liaison univoque des positions 

permises du sélecteur. 

Sélecteur Liaison univoque des positions 

permises du sélecteur. 

Contact 

norm. Öffner 

fermé 

Contact 

Schließer 

norm. 

ouvert 


Sél. Schalter 1 1 

Sél. Schalter 2 2 

Sél. Schalter 3 

3 

Sortie Ausgang 1


14 Informations sur la conception, la programmation, la validation et 

l’essai d’applications de sécurité 

Les informations ci-dessous décrivent la procédure pour la conception, la programmation, la 

validation et les essais d’applications de sécurité. 

Ces informations doivent aider l’utilisateur à classer, bien comprendre et utiliser toutes les 

étapes, de puis l’évaluation des risques jusqu’à l’essai du système. Pour une meilleure 

compréhension, les différentes étapes sont expliquées à l’aide d’exemples. 

14.1 Evaluation des risques 

Par principe, le constructeur d’une machine doit garantir la sécurité de toutes les machines 

construites ou livrées par lui. L’évaluation de la sécurité doit se baser sur les règlementations 

et les normes applicables. L’objectif de l’évaluation de la sécurité et des mesures qui en 

découlent doit être la réduction des risques pour les personnes à un minimum acceptable. 

Limite des risques 

Risque résiduel 

Sécurité 

Danger 

Réduction des risques 

minimale nécessaire 

Réduction effective des risques 

Risque sans mesures 

de sécurité 

Risque 

L’analyse des risques doit prendre en compte toutes les conditions de fonctionnement de la 

machine telles que les travaux de réglage, de maintenance, d’installation et de mise hors 

service, ainsi que les erreurs d’utilisation prévisibles. 

La procédure requise pour l’analyse des risques et les mesures de réduction de ces risques 

sont décrites dans les normes applicables 

EN ISO 13849-1 Sécurité des machines 

EN ISO 61508 Sécurité fonctionnelle de systèmes électriques / électroniques / électroniques 

programmables 

. 

R60372.0002 | Installationshandbuch Safety-M (Französisch) Page 180 de 210 

Version: 24F - HB-37350-810-01-24F-EN


Evaluation des risques selon EN ISO 13849-1 

Starting 

point 

Evaluation des risques selon EN ISO 61508 

Startpunkt 

Point Abschätzung de départ der 

Estimation Risikominderung de la 

réduction du 

risque 

C A 

C B 

C C 

C D 

Contribution faible à la 

réduction des risques 

Contribution élevée 

à la réduction des 

risques 

C = Risikoparameter der Auswirkung 

C F = Paramètres = Risikoparameter de risque der de Häufigkeit l’effet und Aufenthaltsdauer 

F = P Paramètres = Risikoparameter de risque der de la Möglichkeit, fréquence et den de la gefährlichen durée d’exposition Vorfall 

P = Paramètres zu vermeiden de risque de la possibilité d’éviter l’incident 

W 

dangereux 

= Wahrscheinlichkeit des unerwünschten Ereignisses 

W = Probabilité de l’événement indésirable 

F A 

F B 

F A 

F B 

F A 

F B 

P A 

P B 

P A 

P B 

P A 

P B 

P A 

P B 

S – Gravité de la lésion 

S1 = Lésion légère, réversible 

S2 = Lésion grave, irréversible 

F – Fréquence et/ou durée d’exposition au 

danger 

F1= Rare, non cyclique 

F2 = Fréquente à continue et/ou de longue 

durée, focntionnement cyclique 

P – Possibilité d’éviter le phénomène dangereux 

P1 = Possible, mouvement / acceleration lent 

P2 = Difficilement possible, accélération 

élevée en cas de défaut 



x 1 

x 2 

x 3 

x 4 

x 5 

x 6 

W 3 

a 

1 

2 

3 

4 

b 

W 2 

--- 

a 

1 

2 

3 

4 

W 1 

--- 

--- 

--- = keine Sicherheitsanforderung 

a = Keine speziellen Sicherheitsanforderungen 

- = Aucune exigence de sécurité 

b = eine einzelnes E/E/PES ist nicht ausreichend 

a = Aucune exigence de sécurité particulière 

1,2,3,4 = Sicherheits-Integritätslevel 

b = un seul système électrique / électronique / 

électronique programmable n’est pas suffisant 

1,2,3,4 = Niveau d’intégrité de sécurité 

Les risques à évaluer sont également donnés dans les règlementations et normes applicables, 

ou ils doivent être pris en compte séparément par le constructeur sur la base de sa 

connaissance spécifique de la machine. 

Pour les machines vendues dans l’UE, les risques minimum à évaluer sont spécifiés dans la 

version la plus récente de la directive de l’UE 2006/42/UE sur les machines. 

D’autres informations sur l’évaluation des risques et la conception sûre de machines peuvent 

être trouvés dans les normes 

EN 14121 Sécurité des machines – évaluation des risques 

EN 12100 Sécurité des machines – terminologie de base, directives générales pour la conception 

a 

1 

2 

3


Les mesures à appliquer pour la réduction des risques identifiés doivent être au moins du 

même niveau que le danger lui-même. Les règlementations et normes mentionnées ci-dessus 

comportent des exemples de telles mesures et les exigences qui leurs sont associées. 

14.2 Documents techniques nécessaires 

Le fabricant est tenu de fournir divers documents techniques. Le règlementations et normes 

indiquent également l’étendue minimale de la documentation. 

Par exemple, la directive de l’UE sur les machines exige la fourniture des documents suivants : 

1. Le dossier technique comprend : 

a) une documentation technique avec les indications ou documents suivants : 

- une description générale de la machine, 

- un plan d’ensemble de la machine et les schémas électriques des circuits de 

commande, ainsi que les descriptions et explications nécessaires à la 

compréhension du fonctionnement de la machine, 

- des plans de détail complets, le cas échéant avec les calculs, les résultats 

des essais, les attestations, etc., nécessaires à la vérification de la conformité 

de la machine avec les exigences essentielles de protection de la santé et de 

sécurité, 

- les documents de l’évaluation des risques montrant la procédure mise en 

œuvre, incluant : 

i) une liste des exigences essentielles de protection de la santé et de sécurité 

s’appliquant à la machine, 

ii) la description des mesures de protection implémentées pour éliminer les 

dangers identifiés ou réduire les risques avec, le cas échéant, l’indication 

des risques résiduels associés à la machine, 

- les normes et autres spécifications techniques utilisées, avec indication des 

essentielles de protection de la santé et de sécurité couvertes par ces 

normes, 

- tous les rapports techniques donnant les résultats des essais réalisés soit par 

le constructeur soit par un organisme choisi par le constructeur ou un 

représentant autorisé de celui-ci, 

- une copie des instructions d’utilisation de la machine, 

- le cas échéant, une déclaration d’intégration pour des machines incomplètes 

et les instructions de montage se rapportant à ces machines, 

- le cas échéant, des copies de la déclaration CE de conformité des machines 

ou des autres produits intégrés dans la machine, 

- une copie de la déclaration CE de conformité. 

b) en cas de fabrication en série, une liste des mesures internes qui seront prises 

pour assurer que la machine reste conforme aux dispositions de cette directive. 

Source : rapport BGIA 2/2008 

Les documents doivent être facilement compréhensibles et rédigés dans la langue du 

pays concerné. 


Version: 24F - HB-37350-810-01-24F-EN


14.3 Etapes nécessaires pour le projet, la réalisation et les essais 

Une attention particulière est requise pour le projet, la réalisation et les essais lors de la 

réalisation de parties d’installations ayant des fonctions de sécurité. Les normes (voir ISO 

13849-2 ou EN ISO 61508) comportent également des directives à ce sujet. Dans ce cadre, le 

travail à réaliser dépend de la complexité de la tâche confiée aux parties de l’installation ayant 

des fonctions de sécurité. 

Pour la réalisation de telles fonctions faisant appel à des fonctions de commande et de 

surveillance orientées sécurité, la gamme Safety-M offre une assistance efficace grâce à 

l’architecture système (architecture Cat 4 selon EN ISO 13849-1) et, avant tout, au langage de 

programmation et aux fonctions de sécurité La programmation s’effectue au format FUP 

(programmation orientée schéma logique) recommandé par les normes de sécurité. Elle 

correspond aux exigences pour un langage de programmation à jeu d’instructions limité (LVM) 

auquel s’appliquent des simplifications importantes en termes de documentation et d’essais. 

Dans tous les cas, les étapes individuelles exigent une planification et une analyse soigneuses 

des méthodes et systèmes mis en œuvre. En outre, les différentes étapes sont à documenter 

de manière bien compréhensible. 

Modèle en V (simplifié) 

L’implémentation de fonctions de sécurité exige une approche structurée, comme celle 

représentée par exemple dans le modèle en V recommandé dans les normes applicables. Cidessous, 

un exemple d’approche pour des applications avec des modules de la gamme 

Safety-M. 

Spécification Spezifikation des der 

mesures Sicherheitsmaßnahmen 

de sécurite 

Spècification Spezifikation du système des de 

sécurité funktionalen 

fonctionnelle 


Spécification Spezifikation du der logiciel Software / / 

des Sicherheitsfunktionen fonctions de sécurité für 

pour le das système funktionale de sécurité 

fonctionnelle Sicherheitssystem 

Spécification Spezifikation du der matériel Hardware 

pour für le système das funktionale de 

sécurité Sicherheitssystem 

fonctionnelle 

Conception du matériel et 

du Hard- logiciel und Softwaredesign 

Vérification Prüfung der de la korrekten correction 

de la Programmierung programmation und et du 

paramètrage Parametrierung durch 


Vérification Prüfung der de Umsetzung 

l’implémentation 

Software durch 

du 

Analyse 

logiciel 

par analyse 

FUP 

FUP 

Vérification Prüfung der de l’implémentation 

Umsetzung 

du Hardware matériel par durch analyse Analyse de la 

structure Anlagenaufbau du cyctème / / des 

composants Komponenten / du /Schaltung circuit 

Validation Gesamtvalidierung générale des der 

mesures Sicherheitsmaßnahmen 

de sécurita 

Essai Prüfung du système des funktionalen de 

sécurité Sicherheitssystems fonctionnelle durch par 

FIT FIT (Fault (Fault Injection Injection Test) Test) 

Spécification Spezifikation und et validation Validierung de 

toutes aller Sicherheitsmaßnahmen 

les mesures de sécurité 

Système Funktionales de sécurité Sicherheitssystem fonctionnelle 

Spécification Spezifikation et essais und Prüfung 

Système Funktionales de sécurité Sicherheitssystem 

fonctionnelle 

Spécification Spezifikation et und essais Prüfung du 

logiciel der Software 

Spécification Spezifikation et essais und du Prüfung matériel, 

y compris der Hardware justtification incl. Nachweis du PI Pl 

Réalisation 

Realisierung 


Version: 24F - HB-37350-810-01-24F-EN


Phases du modèle en V 

Désignation Description 

Spécification et 

validation de toutes 

les mesures de 

sécurité passives et 

actives. 

Spécification des 

systèmes de 

sécurité fonctionnels 

Spécification du 

logiciel / des 

fonctions de sécurité 

Spécification du 

matériel 

Conception du 

matériel et du 

logiciel 

Phase de conception Phase de validation 

Spécification de toutes les 

mesures de sécurité à 

appliquer telles que des 

capots, barrières, paramètres 

machine max., fonctions de 

sécurité, etc. 

Spécification des systèmes de 

sécurité et de leur affectation 

aux risques à réduire, tels que 

p. ex. vitesse réduite pour le 

réglage, mode stop, 

surveillance des zones 

d’accès, etc. 

Spécification du Plr ou du SIL 

demandé pour chaque fonction 

de sécurité individuelle 

Spécification de la 

fonctionnalité des fonctions de 

sécurité individuelles, y 

compris la définition du circuit 

de coupure, etc. 

Définition des paramètres des 


individuelles telles que p. ex. 

vitesse max., rampes et 

catégorie d’arrêt, etc. 

Spécification de la structure du 

système et des fonctions des 

différents capteurs, appareils 

de commande, composants de 

la commande et actionneurs 

pour leurs fonctions de 

sécurité 

Projet concret et mise en 

œuvre de la construction / du 

câblage de l’installation. 

Mise en œuvre concrète des 

fonctions de sécurité par 

programmation dans FUP 

Contrôle de la bonne 

implémentation et de l’efficacité 

de toutes les mesures de sécurité 

passives et actives. 

Contrôle de l’efficacité de tous les 

systèmes de sécurité et de leur 

conformité aux paramètres 

spécifiques tels que p. ex. 

augmentation de vitesse erronée, 

défaut à l’arrêt, réponse 

d’installations de surveillance, 

etc., au moyen d'essais pratiques 

Contrôle de la bonne 

implémentation des fonctions 

spécifiées par l’analyse de la 

programmation FUP 

Validation des programmes 

d’application et des paramètres 

par comparaison du compterendu 

de validation avec le FUP 

ou avec les spécifications des 

paramètres 

Vérification de la bonne 

implémentation des 

spécifications. 

Détermination de la probabilité de 

défaillance ou du Pl au moyen de 

l’analyse de l’architecture 

générale et des données 

caractéristiques de tous les 

composants utilisés, chacun en 

rapport avec ses fonctions de 

sécurité individuelles. 

néant 


Version: 24F - HB-37350-810-01-24F-EN


14.3.1 Spécification des exigences de sécurité (schéma de structure) 

Les exigences de sécurité doivent être analysées individuellement sur la base des normes 

applicables, p. ex. la norme du produit. 

1. Informations générales sur le produit et le projet 

1.1 Identification du produit 

1.2 Auteur, version, date, nom du document, nom du fichier 

1.3 Sommaire 

1.4 Terminologie, définitions, glossaire 

1.5 Historique des versions et des modifications 

1.6 Directives, normes et règles techniques applicables lors du développement 

2 Informations fonctionnelles sur la machine, si importantes pour la 

sécurité 

2.1 Utilisation conforme et abus raisonnablement prévisibles 

2.2 Description du process (fonctions opératoires) 

2.3 Modes opératoires (p. ex. mode réglage, mode automatique, utilisation en 

mode dégradé ou de parties de la machine) 

2.4 Caractéristiques, p. ex. temps de cycle, temps de réponse, déplacements par 

inertie 

2.5 Autres caractéristiques de la machine 

2.6 Etat sûr de la machine 

2.7 Interaction entre les process (voir aussi 2.2) et interventions manuelles 

(réparation, réglage, nettoyage, dépannage, etc.) 

2.8 Interventions en cas d’urgence 

3 Niveau(x) de performance (Pl) requis 

3.1 Référence à la documentation existante concernant l’analyse des dangers et 

l’évaluation des risques pour la machine 

3.2 Résultats de l’évaluation des risques pour chaque danger identifié ou situation 

dangereuse, et indication de la ou des fonctions de sécurité nécessaires dans 

chaque cas pour la réduction du risque. 


Version: 24F - HB-37350-810-01-24F-EN


4. Fonctions de sécurité (ces informations s’appliquent à chaque fonction 

de sécurité) 

• Description de la fonction (« entrée - logique de traitement - sortie », avec 

toutes les caractéristiques fonctionnelles (voir aussi les tableaux 5.1 et 5.2) 

• Conditions ou événements d’activation /de désactivation (p. ex. modes 

opératoires de la machine) 

• Comportement de la machine en cas de déclenchement de la fonction de 

sécurité 

• Critères de performance/données de performance 

• Traitement (comportement dans le temps) de la fonction de sécurité, y 

compris temps de réponse 

• Fréquence d’activation (p. ex. fréquence des requêtes), temps de 

récupération après la requête 

• Autres données 

• Paramètres réglables (le cas échéant) 

• Classification et affectation de priorités en cas de requêtes simultanées 

d’activation et de traitement de fonctions de sécurité multiples 

• Concept fonctionnel de séparation et d’indépendance/absence de rétroaction 

sur des fonctions qui ne sont pas des fonctions de sécurité et sur d’autres 


5 Informations requises pour la conception SRP/CS 

5.1 Affectation du SRP/CS et forme de technologie pour laquelle la fonction de 

sécurité doit être implémentée, équipement prévu 

5.2 Sélection de la catégorie, architecture (structure) prévue sous la forme d’un 

schéma fonctionnel de sécurité et description 

5.3 Description des interfaces (interfaces process, interfaces internes, interfaces 

utilisateur, organes d’affichage et de commande, etc.) 

5.4 Comportement à la mise sous tension, implémentation du comportement de 

mise et de remise en route requis 

5.5 Caractéristiques de performances : temps de cycle, de réponse, etc. 

5.6 Comportement du SRP/CS en cas de défaillances de composants et de défauts 

(réaliser et maintenir un état sûr), y compris comportement dans le temps 

5.7 Modes de défaillance de composants, modules ou blocs à prendre en compte 

le cas échéant, raisons des exclusions de défaillances 

5.8 Concepts d’implémentation de la détection et maîtrise de défaillances 

accidentelles et systématiques (auto-contrôles, circuits de contrôle, 

surveillances, comparaisons, contrôles de plausibilité, détection de défauts 

par le processeur, etc.) 

5.9 Aspects quantitatifs 

5.9.1 Valeurs cibles pour MTTFd et DCavg. 


Version: 24F - HB-37350-810-01-24F-EN


5.9.2 Fréquence de commutation des composants soumis à usure 

5.9.3 Fréquence des mesures de détection des défauts 

5.9.4 Durée d’utilisation, si différente de la base de calcul utilisée pour l’architecture 

prévue (20 ans) 

5.10 Données de fonctionnement et données limites (plages de température de 

fonctionnement et d’entreposage, indice de protection IP, valeurs de 

résistance aux chocs/vibrations/CEM, informations sur l’alimentation avec 

tolérances, etc.) 

5.11 Normes génériques à appliquer pour la conception (pour l’équipement, pour la 

protection contre les chocs électriques/les courants de choc dangereux, la 

résistances aux conditions environnementales, etc.). 

5.12 Mesures techniques et organisationnelles pour l’accès protégé aux 

paramètres de sécurité et aux caractéristiques du SRP/CS (protection contre 

la manipulation, protection d’accès, protection du programme/des données) et 

pour la protection contre une utilisation non autorisée (interrupteur à clé, code, 

etc.) 

5.13 Exigences techniques générales et cadre organisationnel pour la mise en 

service, les essais et la réception, et pour la maintenance et la réparation. 

Source Spécification générale, extrait du rapport BGIA 2/2008 sur EN ISO 13849-1 


Version: 24F - HB-37350-810-01-24F-EN


Exemple d’une machine de manutention automatique 

Description fonctionnelle 

La machine de manutention automatique sert à saisir automatiquement des cabines de 

camion de différentes hauteurs. Après avoir été saisie, la hauteur de la cabine est détectée de 

manière sûre, afin que celle-ci ne puisse pas être abaissée au-dessous d’une certaine hauteur 

dans la zone de travail. Dans la zone de travail, la machine automatique ne doit pas dépasser 

une vitesse maximale. Lorsque la cabine est terminée, elle est déposée à l’extrémité de la 

ligne de production, et la machine de manutention automatique retourne au début de la ligne 

sur une voie de retour pour saisir la cabine suivante. 

Limites de la machine : 

Limites dans l’espace : La zone de travail doit assurer un espace suffisant pour les opérateurs, 

afin qu’ils puissent réaliser tout le travail nécessaire sur la cabine� La trajectoire de retour 

doit assurer un espace suffisant pour l’équipement de levage du manipulateur automatique� 

Limites dans le temps : Description de la durée de vie, description des processus de 

vieillissement qui pourraient entraîner la modification de paramètres de la machine (p. ex. les 

freins). Des mécanismes de surveillance doivent être mis en place pour ces cas. 

Limites d’utilisation La machine prélève automatiquement de nouvelles cabines et les déplace 

à travers une zone de travail. Des opérateurs sont présents dans la zone de travail� etc. 

Les modes opératoires suivants sont prévus : Réglage, marche automatique et entretien� etc. 

Identification des risques : 

Les risques suivants sont présents avec la machine de manutention automatique : 

Risque 1 : écrasement par la chute de la cabine / du palonnier de levage 

Risque 2 : impact par la cabine / le palonnier de levage en mouvement 

Risque 3 : écrasement du fait d’une descente trop rapide de la cabine en cas de défaut 

Risque 4 :�� 

Analyse des risques : 

G1 : Le poids de la cabine et du palonnier de levage sont tels qu’ils entraîneront un 

écrasement irréversible, voire la mort. 

G2 : La cabine / le palonnier de levage en mouvement peuvent occasionner des impacts 

pouvant entraîner des lésions irréversibles. 

G3 : �. 

Evaluation des risques 

Une réduction des risques est nécessaire, en prenant en compte toutes les conditions de 

fonctionnement. 

Intégration de la sécurité à la conception (risque dû au projet) 

Un déplacement de la cabine dans les directions x et y dans la zone de travail ne peut pas 

être évité. La cabine doit être déplacée vers le haut et vers le bas dans la zone de travail. 

Les mesures suivantes peuvent être prises : 

Eviter les risques dus à des mouvements trop rapides 

Eviter les risques dus à des distances trop réduites 

��. 


Version: 24F - HB-37350-810-01-24F-EN


Exemple d’une analyse des risques : 

Analyse des risques 

Mode Risque par Résultat ou objectif de la protection Solution Classe Cat. Normes et Remarques/critères Vérifié 

Opératoire initiale initiale directives pour la mise en service 

Utilisées et les essais 

le par 


Version: 24F - HB-37350-810-01-24F-EN


14.3.2 Spécification du système de sécurité fonctionnel 

Les fonctions de sécurité actives doivent être identifiées et spécifiées à partir de l’analyse 

générale des dangers et des risques. 

Les fonctions de sécurité actives sont, p. ex., une vitesse réduite de sécurité dans certains 

états de l’installation, la surveillance des fonctions d’arrêt et d’immobilité, la surveillances de 

zones, le retraitement d’installations de surveillance telles que des barrières lumineuses, etc. 

Toutes les fonctions de sécurité doivent être délimitées et leurs exigences spécifiques en 

termes de fonctions et de niveaux de sécurité doivent être définies. 

14.3.2.1 Définition des fonctions de sécurité 

La définition de la fonction de sécurité doit : 

spécifier le risque à couvrir 

décrire la fonction exacte 

lister tous les capteurs, équipements de contrôle utilisés 

spécifier les appareils de commande 

désigner le circuit de coupure commandé 

Cette définition doit servir de base à la spécification de la conception du logiciel et du matériel. 

Chacune des fonctions de sécurité définies de cette manière peut nécessiter la détermination 

de paramètres à utiliser, comme p. ex. la vitesse max. de l’installation pendant les réglages. 

Exemples de fonctions de sécurité : 

SF1 : STO (arrêt sûr du couple) pour protéger contre la remise en marche sûre 

SF2 : Vitesses sûres 

SF3 : Positions sûres 

SF4.:�� 

14.3.2.2 Niveau de performance requis (Plr) (arrêt d’urgence en plus) 

Le niveau de performance requis doit maintenant être déterminé sur la base des fonctions de 

sécurité SF1�. déterminées ci-dessus. L’exemple ci-dessous indique le chemin de décision : 

Gravité de la lésion (S) 

Exemple pour SF1 : Résultat : PF = d (source Sistema) 

S1 Lésion légère (généralement réversible) 

S2 Lésion grave (généralement irréversible), 

voire mortelle 

Fréquence et/ou durée d’exposition au danger (F) 

F1 Rare à fréquent et/ou durée d’exposition 

brève 

F2 Fréquent à constant et/ou durée 

d’exposition longue 

Possibilité d’éviter le phénomène dangereux (P) 

P1 Possible dans certaines conditions 

P2 Difficilement possible 


Version: 24F - HB-37350-810-01-24F-EN


14.3.3 Spécification du logiciel 

La spécification du logiciel se rapporte à la spécification préalable des fonctions de sécurité. 

Elle peut aussi être remplacée par une spécification élabore en conséquence des fonctions de 

sécurité, dans la mesure où celle-ci comporte toutes les indications (voir un exemple en 

14.3.2.3). 

Il est cependant recommandé de préparer une liste extraite. Cette liste doit comporter les 

données suivantes : 

Désignation de la fonction de sécurité 

Description de la fonction 

Paramètres le cas échéant 

Evénement déclencheur / état de fonctionnement 

Réponse / sortie 

Les détails de la spécification devraient pouvoir servir à la validation ultérieure du programme. 


Version: 24F - HB-37350-810-01-24F-EN


Exemple de spécification du logiciel 

N° 

cou- 

rant 

Fonction de sécurité Plr Valeur de 

mesure / 

1.4 Surveillance V_Câble par 

rapport à V_Nominale 

Surveillance de la valeur 

max. de la différence entre 

la vitesse de 

l’entraînement principal et 

le câble d’entraînement 

1.6 Anti-retour 

Surveillance du recul 

1.15 Mise hors fonction pas à 

pas 3 

Activation du frein de 

sécurité 

capteur 

d Codeur 

incrémental 

digital, 

générateur 

tachymétrique 

poulie 

d Fin de course 

mécanique 

22S2 

Codeur 

incrémental 

digital 

e - 

1.8 Arrêt fonctionnel d Codeur 

incrémental 

digital 

1.9 Surveillance de la 

direction 

e Codeur 

incrémental 

digital, 



Nouvelle solution Entrée/activation Réponse / sortie 

Surveillance au moyen de la fonction 

testée SLS + SAC avec comparaison 

des plages de vitesse / plages de 

valeurs analogiques = comparaison 

pour le diagnostic de l’acquisition de 

la vitesse 

Nouveau : coupure par deux canaux 

(voir ci-dessous) 


de surveillance de direction SDI 

testée 

Permanente 

Reset : 

Bouton 

d’acquittement 

URGENCE (contact 

auxiliaire 28K4 – 

inversion) 

Reset : 

Bouton 

d’acquittement 

Retraitement de SF dans SafePLC SF 1.2 

SF 1.3.2 

SF 1.7 

Surveillance de l’arrêt au moyen de 

la fonction SOS testée 


de surveillance de direction SDI 

testée 

SF 1.8 

Verrouillage du 

variateur 

OU 

Activation du frein 

de service 

28K1 = AVANT 

28K2 = ARRIERE 

= signaux sûrs de la 

commande « Frey » 

Arrêt de 


SF 1.3.1 

Arrêt de 


SF 1.3.1 


de sécurité 

SF 1.15/ 


de sécurité 

Arrêt de 


SF 1.3.1


14.3.4 Spécification du matériel 

La spécification du matériel doit décrire toute la conception du système et, en particulier, les 

composants utilisés avec leurs caractéristiques spécifiques. La spécification du matériel fait 

office de base pour la détermination du niveau de sécurité réalisé, à partir de l’architecture et 

des données caractéristiques de tous les appareils utilisés pour une fonction de sécurité. 

En outre, la spécification hardware doit également indiquer les mesures de conception mise 

sen œuvre pour la protection contre les défaillances systématiques et les défaillances pour 

cause d’origine commune. 

14.3.4.1 Sélection des SRP/CS et des éléments du système 

La sélection des SRC/PS (Safety related parts of control system) convient à la réalisation du 

niveau de sécurité recherché et doit être faite pour chaque fonction de sécurité. Les 

composants ayant une fonction de sécurité doivent être indiqués dans une présentation 

d’ensemble de la structure du système et affectés aux fonctions de sécurité individuelles. Les 

numéros de code de sécurité doivent être déterminés pour ces composants. 

Les numéros de code englobent les valeurs suivantes : 

MTTFd = mean time to failure, la durée moyenne de fonctionnement avant une défaillance 

occasionnant un danger 

DC avg = Taux moyen de couverture des tests de diagnostic 

CCF = common cause failure, défaillance causée par une cause commune 

Il faut prendre en compte à la fois le logiciel et les défaillances systématiques pour un SRP/CS. 

IL faut par principe réaliser une analyse des SRP/CS participant à une fonction de sécurité, 

suivant le schéma Capteur / PES : Actionneur. 

Capteur PES Actionneur 


Version: 24F - HB-37350-810-01-24F-EN


14.3.4.2 Exemple d’une spécification hardware 

Fonction de sécurité 

Vitesse réduite de sécurité SF 2.2 Vitesse limite avec surveillance sûre si porte ouverte 

Type Désignation Fonction Con- Caractéristiques Remarque 

ceptionArchi- MTTFD PFH B10d Source DC Source 

tecture [années] [1/h] 

[%] 

Capteur Capteur 1 Verrouillage de porte – 

A 3.1 4 10000 Fiche 99 Manuel 

Surveillance de la porte d’accès 

0 technique d’inst. 

Safety-M 

Capteur 2.1 Codeur incrémental – Retour G 1.1 4 30 Spécifi- 99 Manuel Cat. 4 en 

moteur 

cation d’inst. connexion 

SIN/COS 

générale Safety-M avec 

Safety-M 

PES API de Automate programmable de A 4.1 1,4 

Fiche 

sécurité sécurité central pour la commande 

E-8 

technique 

et l’évaluation des fonctions de 

sécurité 

Safety-M 

Actionne STO Désactivation sûre du couple sur le A 5.1 4 150 Fiche 99 Manuel Cat. en 

ur 

variateur 

technique d’inst. connexion 

variateur Safety-M avec canal 

double 

Contacteur Contacteur sur la ligne 

K 5.1 4 20 E6 Fiche 99 Manuel Cat. en 

secteur d’alimentation réseau du variateur 

technique d’inst. connexion 

contac- Safety-M avec canal 

teur 

double 


Version: 24F - HB-37350-810-01-24F-EN


14.3.4.3 Prise en compte des défaillances systématiques 

Il faut aussi prendre en compte les défaillances systématiques dans la spécification du 

matériel. 

Exemples de mesures contre les défaillances systématiques : 

Perte de puissance pendant le fonctionnement. Si elle entraîne un danger, une perte de 

puissance doit être considérée comme un état de fonctionnement. Le SRP/CD doit être en 

mesure de maîtriser cet état afin de maintenir un état sûr. 

Mesures contre les défaillances systématiques selon l’Annexe G de DIN EN ISO 13849-9. 

Causes des défaillances 

systématiques 

Avant la mise en service, p. ex. : 

- Défauts de fabrication 

- Défauts de développement 

(choix incorrect, 

dimensionnement incorrect, 

logiciel défectueux 

- Défaut à l’intégration (choix 

incorrect, câblage erroné) 

Après la mise en service, p. ex. : 

- Panne/fluctuation de 

l’alimentation électrique 

- Influences de l’environnement 

- Usure, surcharge 

- Maintenance incorrecte 

Source : rapport BGIA 2/2008 

Mesures pour éviter les défaillances 

Matériels adaptés et fabrication appropriée 

Dimensionnement et conception de la forme corrects 

Choix, disposition, montage, installation corrects 

INTEGRATION: 

en plus : 

en plus : 

Composants avec caractéristiques de fonctionnement compatibles 

Resistance à des conditions environnementales déterminées 

Composant conforme à la norme, avec des types de défaillances définis 

Essai fonctionnel 

Gestion du projet, documentation 

Essai Black-Box 

Mesures pour la maîtrise des défaillances 

Principe de la coupure de l’alimentation en énergie 

Projet pour le contrôle d’influences dues à la tension 

Projet pour le contrôle d’influences environnementales 

for the control of environment related influences 

Surveillance du déroulement du prog. (pour le logiciel) 

Process de communication de connées “sûr” (systèmes bus) 

Tests automatiques 

Matériel redondant/diversité de matériel 

Mode opératoire forcé 

Contacts à guidage positif/à ouverture forcée 

Défaillances orientées 

Surdimensionnement 

Exclusions de défaillances 

Si des exclusions de défaillances sont prévues pour certains appareils ou composants de 

systèmes, ces exclusions doivent être désignées et décrites individuellement. 

Des exclusions de défaillances peuvent concerner par exemple la rupture mécanique d’un 

arbre, le collage de contacts de commutation, des courts-circuits de câbles ou de lignes, etc. 

L’admissibilité d’une exclusion de défaillance doit être justifiée, p. ex. par le renvoi à des 

exclusions de défaillances autorisées selon les normes applicables, p. ex. EN ISO 13849-1. 

Si ces exclusions de défaillances nécessitent des mesures spéciales, ces mesures doivent 

être indiquées. 

Exemples d’exclusions de défaillances et de mesures associées : 

• Liaison positive pour des liaisons mécaniques d’arbres 

• Dimensionnement reposant sur des bases théoriques suffisantes an cas de rupture de 

composants de la chaîne de sécurité. 

• Guidage forcé avec ouverture forcée en cas de collage de contacts de commutation 

• Pose protégée dans les armoires de commutation en cas de court-circuit sur les câbles 

et les lignes, et pose des câbles dans des goulottes – particulièrement pour la mise en 

œuvre pour la technologie des ascenseurs selon EN81. 


Version: 24F - HB-37350-810-01-24F-EN


14.3.5 Conception du matériel et du logiciel 

La mise en œuvre des prescriptions des spécifications du matériel et du logiciel s’effectue 

dans la conception du système même. 

Les objectifs de performance définis par la spécification hardware pour les composants à 

utiliser et pour leur câblage doivent également être respectés ; il en va de même pour les 

objectifs de performance des exclusions de défaillances. Les deux doivent être réalisés et 

documentés à l’aide de moyens appropriés. 

Les objectifs définis par la spécification du logiciel doivent également être pris en compte et 

mis en œuvre intégralement dans le logiciel. 

Il faut en outre tenir compte des exigences de niveau supérieur posées pour le logiciel par la 

programmation de fonctions de sécurité. Ces exigences sont, entre autres : 

Structure du programme modulaire et claire 

Affectation de fonctions aux fonctions de sécurité 

Représentation compréhensible des fonctions par : 

Des désignations univoques 

Des commentaires compréhensibles 

Utilisation de fonctions / de modules fonctionnels testés 

Programmation défensive 

14.3.6 Contrôle de la conception du matériel 

A la fin de l’élaboration du projet, il faut contrôler la conformité de la conception du matériel 

avec les objectifs définis dans la spécification du matériel. 

Il faut en outre vérifier la conformité de chaque fonction de sécurité avec le niveau de 

sécurité spécifié au moyen d’analyses appropriées. Les méthodes d’analyse ont été décrites 

dans les normes applicables (p. ex. EN 13849-1). 

Analyse du schéma de câblage 

Il est possible de contrôler la conformité avec les objectifs du point de vue de la sécurité au 

moyen du schéma de câblage et de la nomenclature. Les point suivants sont 

particulièrement à vérifier : 

le câblage correct des composants selon les spécifications, 

la structure à deux canaux, si elle est prescrite, 

l’absence de réaction de canaux parallèles, redondants, 

l’utilisation de composants conformes aux spécifications. 

Ce contrôle doit être réalisé au moyen d’une analyse compréhensible. 

14.3.6.1 Contrôle itératif du niveau de sécurité réalisé 

Le niveau de sécurité doit être déterminé à l'aide de la structure du circuit (= architecture à 

un canal /à deux canaux / avec ou sans diagnostic), des caractéristiques de l’appareil 

(données PES du constructeur ou sources appropriées) et le taux de couverture des tests de 

diagnostic (données PES du constructeur ou sources générales). Les mesures appropriées 

sont à extraire de la norme de sécurité retenue. 


Version: 24F - HB-37350-810-01-24F-EN


Exemple d’un calcul selon EN ISO 13849-1 : 


Vitesse réduite de sécurité lorsque la porte est ouverte 

Schéma : 

Capteur 

Système partiel à un canal 

Système partiel à deux canaux 

Mec. + 

Send opt. 

Capteur 

Schéma de sécurité : 

Fermeture de 

porte 

Piste A 

Piste B 

Variateur 

PES Actionneur 

Capteur de 

vitesse 

PES 

Contacteur 

STO/ 

variateur 


Version: 24F - HB-37350-810-01-24F-EN


Calcul selon EN 13849-1 : 

Canal A – coupure par le contacteur secteur : 

Composant MTTFD [années] DC 

Fermeture 

de porte 

Codeur 

SIN/COS 

PES 

Contacteur 

secteur 

B10d = 100000 

Nop = 30/AT = 10000/an(309 AT/an) 

MTTFD_SinCos = 30 ans 

PFH = 1.4 * 10-8 

B10d = 20 * 106 

Nop = 20/AT = 3990/an(309 AT/an) 

DCCommutateur = 99% 

DCCodeur = 99% 

DCPES = 99% 

DCPES = 60% 


Version: 24F - HB-37350-810-01-24F-EN


Canal B – coupure par STO/variateur : 

Composant MTTFD [années] DC 

Fermeture de 

porte 

Codeur 

SIN/COS 

PES 

STO/Variateur 

B10d = 100000 

Nop = 30/AT = 10000/an(309 AT/an) 

MTTFD_SinCos = 30 ans 

PFH = 1.4 * 10-8 

MTTFD_STO = 150 ans 

Pl résultant pour les deux canaux : 

Symétrie des deux 

canaux : 

DC valeur moyenne 

Pl 

MTTFD_STO = 27 ans = moyenne 

DC avg = 98 % = moyenne 

Pl =“d“ (de TEN ISO 13849-1, tableaux 5, 6 et 7) 

DCCommutateur = 

99% 

DCCodeur = 99% 

DCPES = 99% 

DCPES = 90% 

Dans ce cas, la valeur B10d de la surveillance de la porte est déterminante 

pour le Pl. Pour atteindre un niveau de sécurité supérieur, il faut utiliser un 

commutateur de qualité plus élevée en conséquence. 

Nota : 

Le Pl peut également être déterminé à l’aide de l’outil de programmation « Sistema » de 

BGIA. 


Version: 24F - HB-37350-810-01-24F-EN


14.3.7 Vérification du logiciel (programme) et des paramètres 

La vérification s’effectue en deux étapes. 

Contrôle du FUP par rapport à la fonctionnalité spécifiée. 

Contrôle du FUP par rapport au listing AWL du compte-rendu de validation ou des 

paramètres spécifiés par rapport à ceux du compte-rendu de validation. 

14.3.7.1 Contrôle du FUP 

Le FUP programmé doit être comparé aux indications de la spécification. 

Nota : 

La comparaison sera d’autant plus efficace si le programme a été structuré clairement en 

fonction des fonctions de sécurité. 

Exemple : 


1.1 Limitation de la vitesse de déplacement max. du chariot à 1.1 VMax 

Surveillance de la vitesse max. < 1.1 VMax 

FW Max Speed OK (ID 548) (est ponté par l’intervalle) : 

FW Max Speed est activé en permanence et répond si une vitesse de 550 mm/s est 

dépassée. 

Axis: 1 

Lock Feh 


1.2 Limitation de la vitesse de déplacement max. du chariot dans la zone des opérateurs : 

Surveillance de la vitesse max. < 0,33 m/s 

Safe Speed OK (ID 2124) (est ponté par l’intervalle) : 

Safe Speed OK répond si le SLS vitesse sûre (ID 2090) est dépassé dans la zone des 

opérateurs et pendant les réglages. 

Setup 

Paramètre SLS Safe Speed 

60 mm/s, pas d’autres paramètres 

Fonction de sécurité : 

1.7.3 Mise hors tension du chariot 

Mise hors tension de l’entraînement de translation et désactivation des freins 

Mise hors tension du chariot 



Axis: 1


Gap available Emergency stop 

Le chariot est mis hors tension par deux sorties (EAA1.5 ID 257 et 1.6 ID 261). 

Les freins sont relâchés par deux sorties (EAA1.3 ID 253 et 1.4 ID 249). 

L’API reçoit un message concernant le bit 50 (ID 600). 

Dans le cas d’un arrêt d’urgence, la mise hors tension est immédiate. 

Elévateur 


Entrées du bouton d’arrêt d’urgence et sorties de mise hors tension. 

1.1 Arrêt d’urgence commande de la tête 

Arrêt d’urgence à deux canaux avec surveillance d’impulsion. 

Si un arrêt d’urgence est actionné sur la commande de niveau supérieur, cet arrêt d’urgence 

peut être ponté si l’approbation « Ponter sécurité a été émise. 

Bouton d’arrêt d’urgence commande de tête 

Emergency 

stop 111 

head Normally closed contact 

Normally closed contact 

Release 

brake 

Release 

brake 

Safety-M-EX2 - Inputs 

Occupied I/O:26 

Free I(O 

Digital inputs 

Measuring dustance 

Contacts d’arrêt d’urgence du relais d’arrêt d’urgence avec impulsions du Safety-M 


Version: 24F - HB-37350-810-01-24F-EN


14.3.7.2 Validation du FUP par rapport à AWL et des paramètres à l’aide du 

compte-rendu de validation 

La programmation réalisée dans le FUP doit être comparée au listing AWL du compte-rendu 

de validation. 

Exemple de listing AWL dans le compte-rendu de validation 

Compte-rendu de 

validation 

Programme API 

Nom : 

Indice Commande Opérande validé 

1 S1 SLI_EN.1 

2 S1 SLI_EN.2 

3 S1 SLI_EN.3 

SCA_EN. 

4 S1 1 

SCA_EN. 

5 S1 

6 S1 

SCA_EN. 

3 

7 S1 SLS_EN.2 

SCA_EN. 

8 S1 4 

9 S1 SLS_EN.3 



12 SQH 

13 LD E0.1 

14 ST MX.2 

15 SQC 

16 SQH 

17 LD E0.3 

18 AND E0.4 

19 ST MX.3 

20 SQC 

2 

Un contrôle pas à pas est recommandé. Le contrôle sera d’autant plus efficace si le 

programme réalisé dans le FUP est bien structuré. 


Version: 24F - HB-37350-810-01-24F-EN


Après le contrôle du programme, il faut aussi contrôler les paramètres par comparaison avec 

les valeurs de la spécification. 

Exemple SLS/ 

Compte-rendu de validation 


Indice Paramètres Valeur validé 

SLS - 

0 Axe sélectionné : 1 

Seuil de vitesse : 2 0 

SLS - 



SLS - 



Seuil d’accélération : 2 0 

SLS - 



Rampe SSX affectée : 0 


Version: 24F - HB-37350-810-01-24F-EN


Exemple de configuration d’un codeur : 

Compte-rendu de validation 

Configuration d’axe / Interface capteur 

Axe 1 

Paramètres généraux 

Distance de mesure : 500 0 

Type : Rotatif 

Non 

Retraitement de la position : Actif 

Vitesse maximale : 2000 0 

Coupure incrémentale : 10000 0 

Vitesse de coupure : 100 0 

Capteurs 0 0 

Type : Standard SSI Standard SSI 

Format Binaire Binaire 

Sens de rotation : 

Ascendan 

t Ascendant 

Tension d’alimentation : 0 0 

Résolution : 1024 Pas/1000mm 64 Pas/1000mm 

Offset : 0 Pas 0 Pas 

Paramètres généraux configurés correctement 

Paramètres capteur 1 corrects 

Paramètres capteur 2 corrects 


Version: 24F - HB-37350-810-01-24F-EN


14.3.8 Réalisation du contrôle du système / FIT (fault injection test) 

Le constructeur doit préparer, pour le FIT, une liste complète des fonctions à contrôler. Cette 

liste comprend les fonctions de sécurité définies ainsi que des contrôles de défauts pour la 

vérification de la réponse du SRP/CS à ces défauts. 

Exemple de liste de contrôles : 

N° Réglage Contrôle Résultat 

1 Contrôle SLS pour vitesse max. pendant les réglages 

Activer le mode réglage 

Déplacement à la vitesse 

maximale autorisée 

2 Contrôle SSX pour catégorie d’arrêt 2 

Déplacement à la vitesse 

max. 

Actionner l’arrêt d’urgence 

- Diagnostic de la vitesse 

effective par rapport à la 

limite SLS 

- Manipulation de la vitesse 

de réglage pour qu’elle 

dépasse la vitesse réduite 

permise 

- Diagnostic de la rampe 

SSX par rapport à la rampe 

d’accélération effective 

- Réglage d’une 

décélération faible non 

autorisée 

- Déplacement de l’axe 

après réalisation de l’arrêt 

en manipulant 

l’entraînement 

3 Contrôle de la surveillance à deux canaux de la porte 

Choisir le mode opératoire 

Réglage 

Diagnostic de surveillance 

inactive avec la porte 

fermée (à l’aide de la 

fonction de diagnostic FUP) 

Diagnostic de surveillance 

active avec la porte ouverte 

(à l’aide de la fonction de 

diagnostic FUP) 

Débranchement d’un canal 

et ouverture de la porte 

Génération d’un courtcircuit 

transversal entre les 

deux entrées. 


Version: 24F - HB-37350-810-01-24F-EN


Annexe 

Annexe A – Classification des types de commutateurs 

Remarques générales : 

Les commutateurs individuels des éléments d’entrée suivante peuvent être affectés aux 

entrées digitales DI1 à DI8 en fonction des besoins. 

Commutateur de validation 

Type de 

commutateur 

1 normalement 

fermé 

1 normalement 

ouvert 

2 normalement 

fermés 

2 normalement 

fermés avec 

surveillance du 

temps 

Arrêt d’urgence 

Commentaires 


standard 


standard 


pour exigences élevées 


surveillé 

Classification Pl selon Classification SIL 

EN ISO 13849-1 selon EN 61508 

Pl d SIL 2 

Pl d SIL 2 

Pl e SIL 3 

Pl e SIL 3 

Type de 

Commentaires Catégorie de Classification SIL 

commutateur 

classification 

1 normalement fermé Arrêt d’urgence standard Pl d 1) SIL 2 

2 normalement fermés Arrêt d’urgence pour 

exigences élevées 

2 normalement fermés Arrêt d’urgence surveillé 

avec surveillance du 

temps 

Pl e 

Pl e 

SIL 3 

SIL 3 

1) Il faut se conformer aux exclusions de défaillances et aux conditions aux limites selon 

EN 13849-2 ! 


Version: 24F - HB-37350-810-01-24F-EN


Surveillance de porte 

Type de 


commutateur 


2 normalement 

fermés 

Surveillance de porte pour 


Pl e SIL 3 

2 normalement Surveillance de porte 

fermés avec surveillée 

surveillance du temps 

Pl e SIL 3 

1 normalement ouvert Surveillance de porte pour 

+ 1 normalement exigences élevées 

fermé 

Pl e SIL 3 

1 normalement ouvert Surveillance de porte 

+ 1 normalement surveillée 

fermé avec 


SIL 3 

2 normalement Surveillance de porte pour 

ouverts + 2 exigences élevées 

normalement fermés 

Pl e SIL 3 

2 normalement 

ouverts +2 

normalement fermés 

avec surveillance du 

temps 

Surveillance de porte 

surveillée 

Pl e SIL 3 

3 normalement 

fermés 

Surveillance de porte pour 


Pl e SIL 3 

3 normalement Surveillance de porte 



Pl e SIL 3 

Commande bimanuelle 

Type de 


commutateur 


2 commutateurs Commande bimanuelle 

inverseurs 

pour exigences élevées 

2 normalement ouvert Commande bimanuelle 

surveillée 

Type III C Pl e 

Type III A Pl e 

SIL3 

SIL1 

Nota : Une affectation fixe des impulsions, qui ne peut pas être influencée par l’utilisateur, 

est réalisée sur ces éléments d’entrée ! 

Barrière lumineuse 

Type de 


commutateur 


2 normalement 

fermés 

Barrière lumineuse pour 


Pl e SIL 3 

2 normalement Barrière lumineuse 



Pl e SIL 3 

1 normalement ouvert Barrière lumineuse pour 

+1 normalement exigences élevées 

fermé 

Pl e SIL 3 

1 normalement ouvert Barrière lumineuse 

+1 normalement surveillée 

fermé avec 


Pl e SIL 3 


Version: 24F - HB-37350-810-01-24F-EN


Sélecteur de mode 

Type de 


commutateur 

2 positions 

3 positions 


surveillé 


surveillé 


Pl e 

Pl e 

SIL 3 

SIL 3 

Remarque de sécurité : lors du changement d’état du sélecteur, le programme SafePLC à 

créer doit veiller à ce que les sorties du module soient désactivées (nota : norme 60204partie1-paragraphe 

9.2.3). 

Capteur 

Type de 


commutateur 

1 normalement fermé Entrée capteur simple 


Pl d SIL 2 

1 normalement ouvert Entrée capteur standard Pl d SIL 2 

2 normalement 

fermés 

2 normalement 

fermés avec 

Entrée capteur pour 


Entrée capteur surveillée 

Pl e 

Pl e 

SIL 3 

SIL 3 


1 normalement ouvert Entrée capteur pour 

+ 1 normalement exigences élevées 

fermé 

1 normalement ouvert Entrée capteur surveillée 

+ 1 normalement 

fermé avec 


Pl e 

Pl e 

SIL 3 

SIL 3 

Elément de départ / de reset 

Type de 


commutateur 


1 normalement ouvert Acquittement d’alarme 

simple (évaluation du 

front d’impulsion) 

-- -- 

1 normalement ouvert Reset logique simple Pl d SIL 2 

1 normalement ouvert Surveillance de départ 

standard (fonction 

optionnelle) 

-- -- 

Nota : 

l’entrée d’acquittement des alarmes peut être commandée en tension continue 24V et est 

déclenchée par un front d’impulsion. 


Version: 24F - HB-37350-810-01-24F-EN



Version: 24F - HB-37350-810-01-24F-EN

Installationshandbuch - Fritz Kübler GmbH Zähl- und Sensortechnik

You also want an ePaper? Increase the reach of your titles

Delete template?

Save as template?