Moderne Frequenzumrichter (VFDs) haben sich von einfachen Motorsteuerungen zu zertifizierten Geräten für die funktionale Sicherheit entwickelt. In der modernen Industrieautomation wird die Integration von Sicherheitsfunktionen nicht mehr ausschließlich über externe elektromechanische Relais und Hauptschütze gelöst.

Integrierte Sicherheitsfunktionen ermöglichen eine präzise Mensch-Maschine-Interaktion, reduzieren den mechanischen Verschleiß, verringern den Verkabelungsaufwand im Schaltschrank und erfüllen internationale Normen wie IEC 61800-5-2, ISO 13849-1 (PL e) sowie IEC 62061 (SIL 3).

Dieser Leitfaden erläutert zertifizierte Umrichter-Sicherheitsfunktionen, erweiterte Funktionen für die sichere Bewegungssteuerung und die betrieblichen Besonderheiten des HVAC-Brandbetriebs (Fire Mode).

1. Safe Torque Off (STO): Die Basis der funktionalen Sicherheit bei Frequenzumrichtern

Traditionelle Not-Aus-Sicherheitsschaltung:
  [ Not-Aus gedrückt ] ──> Sicherheitsrelais ──> Öffnet Hauptschütz (Lichtbogen, Verschleiß, langsam)

Moderne integrierte STO-Schaltung:
  [ Not-Aus gedrückt ] ──> Zweikanalige STO-Eingänge ──> Deaktiviert IGBT-Treiber (Sofort, ohne Lichtbogen, SIL 3)

Safe Torque Off (Sicher abgeschaltetes Moment / STO) ist die grundlegende Sicherheitsfunktion in modernen Frequenzumrichtern. Bei Aktivierung über zweikanalige Sicherheitseingänge schaltet STO die Steuerspannung zu den Ausgangstransistoren (IGBTs) des Umrichters auf Hardware-Ebene ab.

Hauptmerkmale von integriertem STO:

Keine Drehmomenterzeugung: Verhindert zuverlässig, dass die Wechselrichterstufe des Frequenzumrichters drehmomentbildende Energie an der Motorwelle erzeugt.
Verzicht auf Netzschütze: Ersetzt sperrige elektromechanische Schütze, spart Platz im Schaltschrank, reduziert den Verkabelungsaufwand und eliminiert Lichtbogenverschleiß an den Kontakten.
Schnelle Wiedereinschaltzeiten: Da der Zwischenkreis geladen bleibt, kann der Frequenzumrichter das Ausgangsdrehmoment sofort wieder freigeben, sobald die Schutztür geschlossen wird. Dies verkürzt die Wiederanlaufzeiten der Maschine erheblich.
Sicherheits-Klassifizierung: Zertifiziert bis SIL 3 (Safety Integrity Level 3 nach IEC 62061) und PL e (Performance Level e nach ISO 13849-1).

2. Erweiterte Sichere Bewegungsfunktionen (IEC 61800-5-2)

Wenn Maschinenbediener Anlagen inspizieren, einstellen oder warten müssen, ohne das System vollständig spannungsfrei zu schalten, ermöglichen erweiterte sichere Bewegungsfunktionen einen kontrollierten Zugang:

Sicherheitsfunktion	Funktionsweise	Ideale industrielle Anwendung
Safe Stop 1 (SS1)	Steuert und überwacht die Verzögerung des Motors bis zum Stillstand und leitet anschließend automatisch Safe Torque Off (STO) ein.	Anwendungen mit hoher Massenträgheit (Zentrifugen, große Sägen), die ein gesteuertes Abbremsen vor dem Entriegeln der Schutztür erfordern.
Safe Stop 2 (SS2)	Bremst den Motor bis zum Stillstand ab und hält die Umrichterleistung aufrecht, um die Position unter SOS (Safe Operating Stop) zu halten.	Präzise Servo- und VFD-Achsen, die ein aktives Stillstandsmoment ohne Verlust der Geberreferenz benötigen.
Safely-Limited Speed (SLS)	Verhindert, dass der Motor eine vorprogrammierte Höchstgeschwindigkeit überschreitet, wenn die Schutzeinrichtung geöffnet ist.	Einricht- oder Tippbetrieb, bei dem Techniker nahe an beweglichen Förderbändern oder Walzen arbeiten.
Safe Brake Control (SBC)	Stellt ein zweikanaliges, sicheres Ausgangssignal zur Ansteuerung einer mechanischen Haltebremse bereit.	Vertikalhebezeuge, Krane und Z-Achsen zur Verhinderung von Absackungen durch Schwerkraft bei Stromausfall.

3. Die Realität des Brandbetriebs (Fire Mode / Entrauchung)

Ein wesentlicher Unterschied in der Gebäudeleittechnik und bei industriellen HVAC-Systemen ist der Brandbetrieb (auch bekannt als Smoke Purge Mode oder Fire Mode).

Im Gegensatz zu Standard-Betriebsarten, die zum Schutz der Umrichterelektronik entwickelt wurden, ist der Brandbetrieb ein gezielter Notfall-Algorithmus zur Zerstörungsfahrt.

Standard-Betriebsmodus:
  Fehler erkannt (Übertemperatur / Überstrom) ──> Schaltet Ausgang ab ──> Schützt Frequenzumrichter

Brandbetrieb (Notfall-Übersteuerung):
  Fehler erkannt ─────────────────────────────> Übersteuert alle Fehler ──> Hält Entrauchungsventilator in Betrieb

Merkmale des Brandbetriebs:

Übersteuerung von Schutzprotokollen: Wenn ein dedizierter Digitaleingang den Brandbetrieb auslöst (z. B. über die Brandmeldeanlage), ignoriert der Frequenzumrichter interne Übertemperaturgrenzen, Kippschutz, Phasenausfallprüfungen und Strombegrenzungen.
Priorisierter Betrieb: Der Umrichter läuft mit maximaler programmierter Drehzahl, um den Druck im Treppenraum aufrechtzuerhalten oder toxischen Rauch aus den Fluchtwegen abzusaugen.
Inkaufnahme der Zerstörung: Der Frequenzumrichter betreibt den Motor so lange weiter, bis Motor oder Umrichter physisch ausfallen. Die Menschenrettung hat hierbei absoluten Vorrang vor dem Hardware-Erhalt.

4. Engineering-Checkliste für die Umsetzung

Um die vollständige Sicherheitskonformität Ihrer Umrichterinstallationen zu gewährleisten:

Überprüfung der Zertifizierung: Achten Sie bei der Auslegung von Not-Aus-Schaltkreisen in der Umrichterdokumentation stets auf offizielle TÜV- oder UL-Zertifizierungszeichen für SIL 3 / PL e.
Verwendung geschirmter Sicherheits-E/A-Kabel: Verlegen Sie zweikanalige STO-Kabel getrennt von leistungstarken Motorausgangsleitungen, um zu verhindern, dass induzierte elektromagnetische Störungen Fehlauslösungen verursachen.
Jährliche Sicherheitsprüfungen: Testen Sie regelmäßig Not-Aus-Schalter, Lichtgitter und Schutztürverriegelungen, um sicherzustellen, dass der Frequenzumrichter innerhalb der spezifizierten Reaktionszeiten zuverlässig in den STO-Zustand übergeht.