CN100545982C - 用于安全电路的安全开关 - Google Patents

Abstract

安全开关(18a，18b)包含用于处理输入信号的控制部分，并包含至少一个开关元件，开关元件具有至少一个启用和一个停用开关状态。控制部分被配置为控制开关元件，以便产生取决于输入信号的输出信号。另外，安全开关具有用于识别功能故障的诊断功能，其中，控制部分被配置为当识别出功能故障时将开关元件转换到停用状态。根据本发明的一个实施形态，控制部分还被配置为通过开关元件产生数据消息(96)，其中，该数据消息取决于所识别出的功能故障。

Description

用于安全电路的安全开关

技术领域

本发明涉及一种用于安全电路的安全开关，其包含：控制部分，该部分用于处理输入信号；至少一个开关元件，该元件具有至少一个启用和一个停用开关状态，其中，控制部分被配置为对开关元件进行控制，以便在输出上产生依赖于输入信号的输出信号，该开关还包含用于识别功能故障的诊断功能，其中，控制部分被配置为当功能故障被识别出时将开关元件转换到停用状态。

本发明还涉及一种安全电路，该电路用于以故障保护方式切断危险设备，该电路包含多个这类安全开关，并包含更高等级的安全控制器，该控制器被配置为切断到该设备的电源通路。

背景技术

这种安全开关和相应的安全电路可从EP 1 363 306 A2获知。

EP 1 363 306 A2公开了一种安全开关装置，该装置用于监测保护栏、保护门、机器覆盖件或其他用于保护旋转机件或其他危险场所的保护装置的位置。这种安全开关装置经常被称为安全开关或被称为用于安全开关电路的发信号装置。安全开关(或者更一般的发信号装置)用于产生与安全有关的输入信号，该信号被提供给更高等级的安全控制器。安全控制器被配置为对若干个发信号装置的输入信号做出评估，并依赖于此将危险设备引入安全状态，例如，切断移动的驱动系统。在这种布置中，安全控制器通常与设备的运行控制器分开实现，这是因为与“简单”的运行控制器相比，安全控制器必须满足高得多的故障安全标准。

然而，本发明意义上的安全开关不仅是发信号装置，还是被典型称为安全开关装置或安全继电器、甚至是安全控制器的装置，也就是说，甚至是对来自发信号装置的输入信号进行评估的装置。尽管如此，本发明的优选应用领域为用于与安全有关的应用场合的发信号装置。这种发信号装置有时也称为传感器。

为了保证任何时候都能满足预期的安全功能，就像安全控制器/安全开关装置那样，用于与安全有关的应用场合的发信号装置/传感器必须被构建为具有故障保护性。因此，例如光障(light barriers)或光幕(light curtains)的智能传感器典型地可被构建为具有固有的故障保护性，故而满足欧洲标准EN 954-1的类别3或甚至是类别4，或满足类似的安全要求。尽管例如紧急关断按钮、保护门开关、双臂开关(two-handed switches)等简单的发信号装置同样是冗余的，但通常来说它们实际上不具备智能性、或仅具备有限的智能性。通常，通过更高等级的安全控制器或更高等级的安全开关装置实现故障监测。

开始处提到的EP 1 363 306 A2公开了一种安全开关，该安全开关具有自己的诊断功能。具体而言，所介绍的安全开关能够通过回读其输出信号来监测开关元件的运行。

该文档还公开了一种安全电路，在该电路中，若干个这种安全开关相互串联连接到更高等级的安全控制器。在这种布置中，启用信号通过各个安全开关的开关元件环行，上行到更高等级的安全控制器。一旦安全开关中的一个通过其开关元件抑制了启用信号，启用信号在安全控制器处丢失，安全控制器因此将被监测的设备引入停止的安全位置。

然而，采用已知的安全电路，各安全开关(发信号装置)不能向安全控制器通知它们的诊断结果。尽管因此使得被监测设备能够快速切断，不可能得出关于切断原因的结论。

在例如光障或光幕等更为智能的传感器中，已经知道，采用单独的诊断线或用于此目的的现场总线连接，将诊断信息发送到更高等级的安全控制器。这对于“小型”的发信号装置未免过于复杂和昂贵，特别是对于机械操作的发信号装置。

发明内容

鉴于这种背景，本发明的一个目标在于对开头提到的类型的安全开关进行说明，该开关使得具有综合诊断能力的安全电路能以节省成本的方式构建。

该目标通过开头提到的类型的安全开关实现，其中，控制部分还被配置为在输出处产生数据消息，该数据消息取决于所识别的功能故障。

对应的安全电路包含安全控制器，该控制器被配置为接收和处理安全开关的数据消息。

因此，本发明基于这样一种构思：沿着已有的安全线——安全开关典型地通过该安全线向更高等级的控制器传送切断命令——传送安全开关的诊断信息。因此，可以省掉现场总线连接或额外的诊断线。与所有先前的方法形成对照的是，由于已有的安全线(安全输出)在被监测的设备已被切断后、一直到该设备重新投入运行时不具有功能，这是容易实现的。因此，可以在这一阶段向更高等级的安全控制器传送诊断数据。

根据本发明的布置只需要很小的布线工作量，节省了各个装置处的连接，并使安全电路能被配置为具有综合诊断功能。为了进一步减小布线工作量，发信号装置或其他安全开关优选为彼此串联连接到更高等级的安全控制器。

由此，新型安全开关提供了具有综合诊断功能的安全电路的一种节约成本且灵活的配置，但又不具有额外通信线的复杂性和成本。由此，圆满达到了上面提到的目标。

在本发明的优选实施例中，控制部分被配置为通过所述的至少一个开关元件产生数据消息。

或者，用于产生数据消息的控制部分还可以驱动附加的开关元件，该元件连接到输出线。然而，采用已有的开关元件节省了另外的成本，并减小了所需要的构造空间。

在进一步的实施例中，新型安全开关具有至少两个互为冗余的开关元件，这些开关元件被布置为由控制部分冗余地进行控制。

在安全自动化技术领域中，采用冗余开关元件本质上是公知的。然而，在本发明的背景中，冗余开关元件的采用不仅增强了故障安全性，还增强了可用性。即使开关元件中有一个由于功能故障(继电器中的接触焊、半导体开关元件的击穿等等)不能再执行开关功能，新型安全开关仍能够经由冗余通道递送所有的诊断信息。尽管任何诊断数据的缺失可在输出端指示出开关元件的故障，当前实施例在不显著增加布线和成本费用的条件下提供了更为广泛的诊断。

在进一步的实施例中，为了产生脉冲型的数据消息，控制部分被配置为以脉冲方式对开关元件进行控制。

可以用非常简单的方式实现采用脉冲型的数据消息。另一方面，其提供了经由几根线用串行协议传送大量数据的可能性。因此，脉冲型数据消息的采用是用很小的布线工作量实现高度诊断的特别节省成本的方法。

在进一步的实施例中，控制部分被配置为在数据消息中包含地址。

因此，各个发信号装置、更为一般的是各安全开关装置，可以向更高等级的控制器报告其身份。因此，可以甚至更加简单且更具选择性地实现整个安全电路的详细诊断。

在进一步的实施例中，新型安全开关具有用于外部启用信号——其形成输入信号——的至少一个输入。

本实施例对于从一个安全开关向下一个安全开关串行传送诊断数据特别有利。下游的安全开关可经由所述输入接收上游安全开关的诊断数据，并在其输出处对之进行再现。另外，在本实施例中，如果需要，下游的安全开关具有对所接收到的诊断数据进行补充和/或改变的能力。诊断能力因此甚至更为灵活。

在进一步的实施例中，新型安全开关具有初始化模式，在该模式中，控制部分通过所述至少一个开关元件产生脉冲序列，该脉冲序列比在输入处提供的启用信号包含更多的脉冲。

本实施例用简单和节省成本的方法提供了对于被彼此串联布置的若干个安全开关的自动地址分配。如同下面结合优选实施例所介绍的那样，增加脉冲导致以增序方式进行的地址分配。相关的自动化系统使自己适应于安全电路中的改变(增加或移除安全开关)并由此避免错误。另外，这种类型的地址分配是可行的，而且没有额外的硬件工作量，因此是节省成本的。

在进一步的实施例中，新型安全开关具有至少一个输入部分，该部分用于致动器，致动器适用于在第一状态和至少一个第二状态之间变换，输入部分产生输入信号。

本实施例将新型安全开关定义为发信号设备。由于在复杂的安全电路中，通常必须将多个发信号装置连接到一个或几个安全控制器，本发明的优点在本实施例中尤其有效。本发明在机械操作的发信号装置中特别有益，特别是在保护门开关、紧急关断按钮、双臂开关、开始或控制按钮以及位置开关中。迄今为止，如果这些“简单”的发信号装置有诊断功能的话，也只具有很少的诊断功能。另外，例如，与智能光障相比，这些是相对较为节省成本的部件，这就是为什么迄今为止不值得为实现诊断功能投入高费用的原因。然而，采用本发明，尤其是这些简单的发信号装置可以在具备高诊断功能以及小布线费用的情况下连接到更高等级的安全控制器。

在不脱离本发明背景的前提下，上述以及有待下文阐述的特征可以用各实例中说明的组合或其他组合进行应用，或者单独应用各实例，这一点是不言自明的。

附图说明

附图示出了本发明的典型实施例，这些典型实施例将在下文的介绍中更为详细地阐释。在附图中：

图1示出了设备的简化图，在该设备中，将根据本发明的发信号装置用于保护；

图2示出了对新型发信号装置典型实施例的图示；

图3示出了安全电路，该电路具有串联布置的、图2所示类型的两个发信号装置；以及

图4示出了根据图3的安全电路在初始化期间信号变化的时间图。

具体实施方式

在图1中，用参考标号10总体标识根据本发明的被保护设备。

在本实例中，设备10包含机器人12，机器人12的自动化移动对位于其移动范围内的人(此处未示出)来说将会是危险的。如同已知的那样，因此通过保护门14和保护栏对机器人12的移动范围进行保护。在保护门14上装有致动器16。安全开关18、更一般的是根据本发明的发信号装置位于固定的框架上，依靠该框架，保护门14处于关闭状态。安全开关18经由若干根线连接到安全控制器20。安全控制器20在其输出处控制两个接触器22与24，接触器22与24的接触将中断到机器人12的电源26。

这里以简化的方式示出了设备10。如本领域技术人员所知，保护门14通常具有至少两个安全开关18和对应的致动器16，其中，安全开关之一通常以隐藏的方式布置，以便使篡改更加困难。另外，这种设备通常包含其它的发信号装置，例如紧急关断按钮或其它的保护门开关(这里未示出)。另外，出于简化目的，没有示出机器人12所需的运行控制。

在简单的方案中，安全控制器20可以为如申请人在

的商标名下提供的安全开关装置。然而，如果需要用大量的与安全有关的发信号装置保护设备10，采用更为复杂的安全控制器是有利的，例如采用申请人在的商标名下销售的安全控制器。至少在后一种情况下，安全控制器20通常具有现场总线连接以及用于与此处未示出的运行控制器进行通信的和/或用于与更高等级的控制计算机进行通信的其它接口。

在根据图2的优选典型实施例中，安全开关18被构建为具有两通道冗余。相应地，安全开关18具有相互监测的两个冗余微控制器30与32，这种相互监测用微控制器之间的双向箭头表示。在优选典型实施例中，微控制器是不同的，也就是说，安全开关18被构建为具有差异性。

参考标号34与36标识着两个电子开关元件，此处，该元件被示为场效应管。或者，也可采用双极晶体管或优选为电子开关元件的其它元件。

开关元件34的控制连接(门极)连接到微控制器30。输入38(源极)连接到线40，当安全开关18正在运行时，线40上存在运行电压U_B。输出42(漏极)连接到端子44，可在端子44上对安全开关18进行外部布线。开关元件34的输出42因此构成安全开关18的输出信号。

第二开关元件36在其控制连接(门极)上连接到微控制器32。其输入38同样经由线40位于运行电压U_B。其输出42被提供到安全开关18的第二输出端子46。

经由两个分压器48与50，开关元件34与36的输出42上的信号耦合回到微控制器30与32。微控制器30与32因此能够监测开关元件34与36各自的开关状态。

参考标号52标识着输入部分，微控制器30与32通过该部分判断致动器16的当前状态。在此处示出的优选典型实施例中，致动器16为具有信号发生电路54以及发送与接收线圈56的询答机。在信号发生电路54中，存有独立的编码58。输入部分52同样具有发送与接收线圈(此处仅象征性地示出)，其通过该线圈发出询问信号。一旦询答机16在输入部分52附近的区域之内(保护门闭合)，致动器16中的信号发生电路54被启用。于是，致动器16将存储的编码58发回到输入部分52。在那里，从接收到的信号中对编码58进行解调并将之提供给微控制器30与32。

相反，如果保护门14打开，致动器16在输入部分52的发送与接收范围之外，如图2中的位置16′所示。在这种情况下，致动器16与输入部分52之间没有联系。因此，微控制器30与32没有接收到任何编码，其被解释为开着的保护门14。如果存在第二保护门开关或至少一个第二致动器(未示出)，还可识别致动器16的或者输入部分52的缺陷。在安全工程领域中，用于监测保护门的询答机的应用是已知的，例如可从EP 0 968 567B1中获知。

在其他的典型实施例中，输入部分52可被配置为其它类型的致动器。致动器还可集成在安全开关18中。例如，安全开关18可以为紧急关断按钮，且在这种情况下致动器为按钮的活柱(plunger)。在其它的典型实施例中，输入部分52包含电感性、电容性、光学或其它类型的传感器，该传感器用于确定可机械移动的致动器的当前位置。另外，本发明基本上还可与光障以及在至少两种状态间进行识别的其它发信号装置一起使用。

在输入端，安全开关18具有三个端子60、62与64，这些端子在所有情况下被布置为安全输入并被冗余地连接到两个微控制器30与32。经由端子60至64，可向微控制器30与32冗余地提供外部启用信号。另外，还有端子66以及接地端子68，端子66以已知的方式用于提供运行电压U_B。自然，在所有情况下，这些端子可在安全开关18的外壳70之外接触。

在图3中，具有两个这类安全开关18的安全电路整体上用参考标号80标识。对于其余的部分，如前面一样，相同的参考标号标识着同样的元件。两个安全开关用18a与18b标识，以便相互区分。

安全开关18a在其端子60与62上连接到安全控制器20的输出。它们优选为安全控制器20的所谓时钟输出，在该输出上存在不同频率的两种时钟信号，因此，在安全开关18a和安全控制器20中均可识别交叉连接(通过此处未示出的回读)。另外，安全开关18a分别在端子66和68上连接到运行电压U_B以及接地。在输出端，安全开关18a的端子44与46连接到接下来的安全开关18b的端子60与62。两个安全开关18a与18b由此被彼此串联地布置。在所示出的布置中，安全开关18b还从安全开关18a接收其运行电压。或者，安全开关18b也可连接到其它的源以得到运行电压U_B。

安全开关18b的两个输出信号——即在其端子44与46上存在的信号——被提供到安全控制器20的安全输入。在输出端，安全控制器20连接在电源26和要切断的驱动器82——例如机器人12的致动驱动器——之间。另外，这里大概性地示出了安全控制器20经由现场总线84连接到机器人12的运行控制器86和/或更高等级的控制计算机。为清楚起见，图3中没有示出属于安全开关18a与18b的致动器。

安全电路80如下运行：

在其被投入运行之后，安全控制器20在其输出处产生两个时钟信号88与90，时钟信号88与90作为启用信号被提供到安全开关18a。安全开关18a的微控制器30与32通过输入部分52对所关联的致动器的当前状态进行监测。如果致动器在输入部分52的范围内，且如果正确地接收到启用信号88与90，微控制器30与32通过开关元件34与36产生两个输出信号，该输出信号为启用信号88与90的复制。然而，它们也可以与时钟信号88及90不同，例如，在它们的频率方面。第二安全开关18b接收复制的启用信号，并且，当其也发现闭合的保护门以及正确的运行时，在其输出处又对它们进行复制。安全控制器20经由线92与94接收复制的启用信号。

如果安全开关18a接下来检测到其所关联的保护门的打开，也即当所关联的致动器改变其状态时，微控制器30与32断开开关元件34与36。因此，后面的安全开关18b不再收到复制的启用信号。这由安全开关18b中的微控制器检测，并通过断开开关元件34与36向安全控制器20发信号。接着，控制器可切断驱动器82。

当安全开关18a检测到功能故障——例如输入端或输入端的端子上的交叉连接、开关元件34与36之一的击穿或其它功能故障——的时候，信号流是同样的。在存储在安全控制器和所有安全开关的微控制器中的、短暂的等待时间之后，通过在开关元件34与36中的至少一个上以脉冲方式闭合并再次断开，安全开关18a在其输出线的至少一个上产生数据消息96。后面的安全开关18b接收该数据消息并将其以同样的方式向前传送到安全控制器20。如果必要，其还可以在数据消息96中集成其它信息。

在一个典型实施例中，用与异步串行接口的情况相同的方式实施数据消息96，也就是说，其用定义的起始位开始，用定义的停止位结束。在这之间是任意数量或固定数量的数据位。在另一典型实施例中，各数据消息96包含具有定义的脉冲持续时间的、固定数量的脉冲。各个脉冲的有效位数取决于在安全开关18与安全控制器20之间建立的协议。

在相同的方式下，如果安全开关18b本身也发现功能故障，其产生自身的数据消息96。与已知的布置形成对照的是，不管安全开关18a断开还是闭合开关元件34与36，安全开关18b可产生其数据消息。

在优选实施例中，安全开关18a与18b的数据消息包含地址信息项，该地址信息项识别希望向更高等级的安全控制器20发送信息的安全开关。可以用不同的方式向安全开关18a与18b分配相应的地址。例如，各安全开关18a与18b可具有多级地址选择开关(此处未示出)，在该开关上设置所分配的地址。在另一实施例中，在各种情况下，安全开关18a与18b将它们所关联的致动器16的编码58用作地址。

在进一步的典型实施例中，在安全电路80起动后的初始化模式下将地址分配给串联连接的安全开关18a与18b。通过图4示出了进行这种地址分配的优选方法。

图4示出了这种初始化模式的信号图。最上方的脉冲序列100为用于安全电路80中所有部件的运行电压U_B的接通。在参考标号102处，示出了安全控制器20的第一时钟输出处的信号，即线88上的信号。在参考标号104处，示出了安全控制器20的第二时钟输出处的信号，即线90上的信号。在运行电压U_B被接通后，第一安全开关18因此在其输入60处接收到持续高，并在其输入62处接收到一个脉冲。在检测到这种情况之后，其立即在其输出44处对在其端子60上存在的信号(持续高)进行复制(参考标号106)。在等待时间T后，其接着在其输出46处产生如参考标号108处所示的两个脉冲。等待时间T用于识别在输入端上是否收到了其它脉冲。

第二安全开关装置18b在其输入60与62处接收信号106与108，并在其输出44与46处进行复制。在这样做的时候，其将另外的一个脉冲增添到其在端子62处接收到的单一脉冲(single pulses)108。因此，在第二安全开关18b的输出处存在如参考标号110与112所示的脉冲序列。以相同的方法，其它安全开关装置18c与18d等等(图3中未示出)将在一条信号线上对持续高进行复制(参考标号114)并在第二信号线上对脉冲序列进行复制，且各个安全开关将对该脉冲序列增加一个脉冲。

在链路末端，安全控制器20接收参考标号114与116的信号。从信号114中，安全控制器20检测通道A的布线正确。从脉冲序列116中，安全控制器20检测通道B的布线正确。另外，由脉冲数减去1，其可以判断串联布置的安全开关18a、18b等等的数量。采用相同的方法，各安全开关18a与18b可由接收到的脉冲的数量识别其地址。采用这种方式，当安全电路80接通时，可向串联连接的各安全开关自动分配独立的地址。如果后来更改了安全电路80，当其再次接通时，自动进行对现有配置的新的、正确的地址分配。

通过尚未介绍的输入端子64，进一步提高了新型发信号装置的灵活性。该端子可用于将外部反馈信号馈送到安全开关18。通过这种方式，例如，安全开关18可以独立地驱动具有正驱动接点的接触器，即不采用迄今为止采用的任何安全开关装置或相应的安全控制器。如果接触器的正驱动常闭接点连接到安全开关18的反馈输入64，这一点是足够的。

在进一步的典型实施例中，例如所示出的安全开关18的发信号装置具有另外的输入端子，该端子用于施加起动信号。因此，可以在不采用迄今为止使用的安全控制器的情况下实现设备的受监测的重起动。

另外，如同从例如DE 100 16 712 A1中获知的那样，可通过输入端子64对发信号装置18的相应运行进行参数化。另外，可通过不同的询答机编码从外部进行参数化。

Claims (10)

1.一种用于安全电路的安全开关，其包含用于处理输入信号(60，62，64；52)的控制部分(30，32)，并包含至少一个开关元件(34，36)，所述开关元件(34，36)至少具有一个启用和一个停用开关状态，其中，所述控制部分(30，32)被配置为控制所述开关元件(34，36)、以便在输出(44，46)处产生取决于所述输入信号的输出信号，所述安全开关还包含用于识别功能故障的诊断功能，其中，所述控制部分(30，32)被配置为当识别出功能故障时将所述开关元件(34，36)转换到所述停用状态，所述安全开关的特征在于：所述控制部分(30，32)进一步被配置为在所述输出(44，46)处产生数据消息(96)，所述数据消息取决于所述识别出的功能故障。

2.根据权利要求1的安全开关，其特征在于所述控制部分(30，32)被配置为通过所述开关元件(34，36)产生所述数据消息(96)。

3.根据权利要求1或2的安全开关，其特征在于所布置的至少两个互为冗余的开关元件(34，36)，所述开关元件(34，36)由所述控制部分(30，32)冗余地进行控制。

4.根据权利要求1或2的安全开关，其特征在于所述控制部分(30，32)被配置为以脉冲方式控制所述开关元件(34，36)，以便产生脉冲型的数据消息(96)。

5.根据权利要求1或2的安全开关，其特征在于所述控制部分(30，32)被配置为在所述数据消息(96)中包含地址。

6.根据权利要求1或2的安全开关，其特征在于用于外部启用信号(88、90)的至少一个输入(60，62)，所述外部启用信号(88、90)构成所述输入信号。

7.根据权利要求6的安全开关，其特征在于初始化模式，在所述初始化模式中，所述控制部分(30，32)通过所述至少一个开关元件(34，36)产生脉冲序列(108，112，116)，所述脉冲序列(108，112，116)比在所述输入处提供的启用信号(88，90)包含更多的脉冲。

8.根据权利要求1或2的安全开关，其特征在于用于致动器(16)的至少一个输入部分(52)，所述致动器(16)适用于在第一状态和至少一个第二状态之间变换，其中，所述输入部分(52)产生所述输入信号。

9.一种以故障保护方式切断危险设备(10)的安全电路，其包含多个根据权利要求1至7中任意一项的安全开关(18a，18b)，并包含更高等级的安全控制器(20)，所述安全开关串联连接到所述安全控制器，所述安全控制器(20)被配置为中断到所述设备(10)的电源通路(26)，其中，所述安全控制器(20)还被配置为接收和处理所述安全开关(18a，18b)的所述数据消息(96)。

10.根据权利要求9的安全电路，其中，所述多个安全开关(18a，18b)彼此串联地连接到所述安全控制器(20)。

Images