CN101689042B - 用于多通道控制相关安全装置的安全设备 - Google Patents

Abstract

本发明涉及一种安全设备，用于多通道地控制安全相关装置(40)，所述安全设备具有：被微处理器控制的第一控制装置(70)，其具有用于生成第一监控信号的信号生成装置(71)，所述第一监控信号示出第一控制装置(70)的当前工作状态；以及第二控制装置(80)。还设有通过第一和第二控制装置(70、80)控制的开关装置(90)，所述开关装置能够接通安全相关装置(30、40)，或者使其在安全状态中运行，其中第二控制装置(80)具有基于硬件的单稳态触发器(85)，其响应监控信号时以这样的方式控制开关装置(90)，即安全相关装置(30、40)在第一控制装置(70)错误工作时能够以安全状态运行，第一控制装置(70)匹配一个用于生成对于第二控制装置(80)的释放信号的装置(50、101)。

Description

用于多通道控制相关安全装置的安全设备

技术领域

本发明涉及一种安全设备，用于多通道控制根据德国专利申请102006001805所述的相关安全装置。

背景技术

德国专利申请102006001805公开了一种多通道的安全设备，通过该安全设备能够以安全状态运行一种相关安全装置，例如一种工业用机器人，其作为自动化设备的组件或完整的自动化设备。一种安全状态在于，当工业用机器人或自动化设备的供电中断时，或者阻止工业用机器人使用的安全门被锁定时。安全设备具有一个通过微处理器控制的控制装置和另一个纯基于硬件的控制装置。基于硬件的控制装置的特征在于，其不通过微处理器控制，而是采用一种开关上的实施方式，优选使用一种单稳态触发器作为开关单元或控制单元。两种控制装置都输送一种调制的输入信号。调制信号显示出，被微处理器控制的控制装置是否在无故障地工作。尤其是，调制信号将指出，微处理器是否准确地处理了安全相关的程序或部分程序。安全相关的程序可以执行一种诊断方法，该诊断方法将检查控制装置的供电，检测系统参数，例如被控制装置控制的继电器的触点，周期性地检测基于硬件的控制装置的运行状态，诸如此类。当微处理器没有像所指定地那样处理安全相关的程序或部分程序(其可以是子程序)时，调制信号将停留在静止状态，该状态对应于一种保持不变的高或低的水平。例如，当安全相关的程序没有启动时，控制装置将输出一种高水平作为调制信号。当安全相关的程序没有像所指定的那样终止时，则通过控制装置能够生成一种低水平作为调制信号。在所规定的运行方式中，被微处理器控制的控制装置生成动态的调制信号，例如图2中所示的那样。仅仅当一个动态信号处于基于硬件的控制装置的输出端上时，开关装置则以这样的方式进行控制，即一个相关安全装置，例如工业用机器人、自动化设备及诸如此类的设备能够按照规定来运行。如果静止信号处于基于硬件的控制装置上，则开关装置无效，从而工业用机器人在安全状态中运转。源于多通道的安全设备，相关安全装置能够通过基于硬件的控制装置在安全状态中运行，也就是说，在被微处理器控制的控制装置无故障地工作时。如果基于硬件的控制装置中的单稳态触发器作为控制单元使用，单稳态触发时间(monozeit)则不能够长于所指定的安全关闭时间。在基于硬件的控制装置中的安全关键的故障能够识别出被微处理器控制的控制装置，因为其已知基于硬件的控制装置的传输功能，例如单稳态触发器的传输功能，并且在此期间其能够传送基于硬件的控制装置的输入信号及输出信号。从基于硬件的控制装置的输入信号及传输功能，被微处理器控制的控制装置可以计算出基于硬件的控制装置的带等候的输出信号，并且随后将该输出信号与回馈的输出信号进行比较。如果两个信号并不一致，被微处理器控制的控制装置以这样的方式接通开关装置，即相关安全装置能够在安全状态中运行。

通常，自动化设备包括现场总线系统，在该系统上连接有激励器、传感器及上位和/或下位的控制及监控装置。在这种自动化设备上的重要条件是，尤其在出现故障时，有故障的相关安全组件，例如激励器或甚至于整个自动化设备都能够以安全状态运行。为了能够实现安全地中断自动化设备或有故障的激励器，必须要确保，限定的能够使得自动化设备以安全状态运行的输入信号能够始终表现为一种关闭信号。

在属于特定安全范畴的多种装置及设备中，例如都使用到多通道的监控系统，其包括相互间独立工作的子系统，这些子系统分别能够使得每个装置及设备以安全状态运行。多通道或冗余构架的监控系统还以这样的形式构成，即子系统能够监控另外各个子系统的性能。通常，相互间的监控通过状态数据的双向交换来实现。在已知的多通道监控系统中，每个子系统具有自身的微处理器，其中每个子系统能够使装置以安全状态运行。

发明内容

本发明的目的在于，以此方式进一步地开发开头所述类型的安全设备，即满足DIN EN 954标准第四章的条件。

另外，DIN EN 954标准第四章要求，识别出往返于传感器(警报按键)的线路中的故障。这种故障可以是对于工作电压或质量引起的输入或输出线路中的短路，也可以是导体之间的跨接。DIN EN 954标准第四章还要求，通过其他的控制装置识别出被微处理器控制的控制装置在状态转换时，尤其是在接通安全相关装置时出现的故障。

本发明的核心思想在于，提出一些措施，通过该措施使得被微处理器控制的控制装置和/或基于硬件的控制装置识别出往返于传感器的线路中的短路和跨接，并且响应所识别出的短路或跨接能够使得被监控的安全相关装置以安全状态运行。一种附加的或可选的措施在于，当启动或运行安全相关装置时，被微处理器控制的控制装置不再能够使得安全相关装置以安全装置运行时，基于硬件的安全装置将无效。在这种情况下，基于硬件的控制装置将安全相关装置保持在安全状态，也就是说，安全相关装置不能够工作。对于这点要说明的是，通过微处理器控制的孔子装置应当理解为一种装置，该装置借助于程序控制的微处理器来判断，安全相关装置是否在运行，例如可以运转，或者可以在安全状态运行。基于硬件的控制装置应当理解为一种装置，该装置代替微处理器而包括一种电子电路，例如是单稳态触发器，该电子电路在出现输入信号时生成预定的输出信号。

首先，上述技术问题本发明通过权利要求1的特征来实现。

随后，安全设备设置用于多通道地控制安全相关装置。

对于这一点要说明的是，安全相关装置本身可以是自动化设备的激励器、可执行的安全相关应用程序和/或自动化设备。为此设有被微处理器控制的第一控制装置，其具有用于生成第一监控信号的信号生成装置。第一监控信号示出第一控制装置的当前工作状态。优选地，第一监控信号示出，第一控制装置的微处理器是否以指定的方式在工作。另外设有第二控制装置以及能够通过第一和第二控制装置控制的开关装置。开关装置能够接通安全相关装置，或者使其在安全状态中运行。对此要说明一点，优选的是，当安全相关装置被两个控制装置激活时，开关装置将接通该安全相关装置，反之，当安全相关装置被两个控制装置中的至少一个无效时，则该安全相关装置能够在安全状态中运行。第二控制装置具有基于硬件的开关装置，其响应监控信号时以这样的方式控制开关装置，即安全相关装置在第一控制装置错误工作时能够以安全状态运行。然后在有利的实施例中可以看出，微处理器不再执行指定的功能。此外，第一控制装置匹配于一个用于生成对于第二控制装置的释放信号的装置。通过这种方式将确保，例如当被微处理器控制的第一控制装置按照规定工作时，在安全相关装置被要求接通时随后仅执行接通。在故障情况下，没有释放信号出现第二控制装置上，从而安全相关装置停留在安全状态中。例如，当第一控制装置完全不能够关闭安全相关装置时，则存在故障情况。

有利的实施例在从属权利要求中给出。

为了能够识别出第一控制装置有故障的工作或无故障的工作，在第一控制装置，尤其是微处理器无故障工作时，信号生成装置将生成交流信号，反之，当第一控制装置，优选微处理器有故障工作时，将生成直流信号。

为了第二控制装置能够成本低廉地构造，则基于硬件的开关装置具有单稳态触发器。

优选地，开关装置具有匹配于第一控制装置的第一安全继电器，以及匹配于第二控制装置的第二安全继电器。值得注意的是，第一控制装置与其对应的第一安全继电器可以称为多通道安全设备的通道1；第二控制装置与其对应的第二安全继电器可以成为多通道安全设备的通道2。每个安全继电器都具有强制导向触点。这意味着，每个安全继电器具有至少一个断开触点和一个闭合触点，其相互间刚性连接。这将促使，一个触点强制断开并且另一触点被闭合。仅仅在第一安全继电器无故障运作时才生成释放信号。为此而确保了，第二控制装置能够识别出在通道1中的安全关键故障，尤其是在第一安全继电器的闭合触点的状态转换时不再能够断开时。状态转换理解为一种设备工作方式的变换，例如在安全相关装置可以运转时。在这一点上值得注意的是，当匹配于第一控制装置的第一安全继电器按照规定工作时，第二控制装置仅仅在状态转换时接收释放信号。当第二控制装置没有接收释放信号时，则会导致，第二控制装置不能控制与其对应的第二安全继电器，从而安全相关装置停留在安全状态中。

单稳态触发器具有用于提供释放信号的主控复位输入及触发输入，在该输入上能够直接或间接地(下文还会详细描述)输送第一监控信号。当不仅出现释放信号，而且生成示出第一控制装置的规定工作状态，尤其是微处理器的规定运作状态的监控信号时，则第二控制装置的单稳态触发器仅控制与其对应的第二安全继电器。

为了单稳态触发器在规定工作时保持激活，用于将主控复位输入保持在释放信号水平的电路匹配于该单稳态触发器。当在触发输入上没有出现信号或出现示出了第一控制装置的微处理器的故障运行的静态信号时，单稳态触发器将自动复位。

为了多通道安全设备也可以作为独立运行设备工作，则第一和第二控制装置匹配一个输入级，其设计用于通过由信号生成装置生成的第一监控信号来调制从可外部接通的传感器装置得到的输入信号。在这种情况下，传感器装置是一种有源的传感器，其能够自己生成输出信号。有源的传感器可以是一个保护门。对此，不同的是，警报按键构成无源的传感器。

第一控制装置和/或第二控制装置可以在响应调制过的输入信号时将安全相关装置控制在安全状态中，其中第一调制过的输入信号出现在基于硬件的开关装置的触发输入上。在第一控制装置故障工作时，调制过的输入信号是一种静态信号，该静态信号被第一控制装置的微处理器识别为故障信号，紧接着微处理器无效匹配于第一控制装置的第一安全继电器。第二控制装置的单稳态触发器通过静态的输入信号被无效，从而匹配于第二控制装置的第二安全继电器也被无效或保持不变。

为了能够识别出在可外部连接的无源传感器的导入及导出的线路中的短路以及有源传感器的导出线路中的短路，第一控制装置的信号生成装置设计用于生成第二监控信号。第二监控信号同样信号化第一控制装置，尤其是微处理器的当前运行状态。两个监控信号的区别仅在于，当其是交流信号时，在两个监控信号之间存在相位差。输入级在这种情况下设计用于通过由信号生成装置生成的第二监控信号来调制从第一可连接的传感器装置得到的第二输入信号。第二调制的输入信号仅传送给第一控制装置。通过这种方式，由第一和/或第二控制装置能够识别出往返于线路的短路，在导入及导出的传感器线路之间跨接时通过两个控制装置都能识别，因为在这种情况下，由传感器输出的输入信号是静态信号，该静态信号不仅通过第一控制装置的微处理器，而且通过第二控制装置的单稳态触发器都能被识别为故障信号。在响应到导入和/或导出的传感器线路中的跨接或短路时，匹配于第一和第二控制装置的安全继电器被无效，由此，安全相关装置在安全状态中运行，例如在此期间中断了供电。

对此有利的是，输入级具有：第一连接装置，用于UND(与)连接第一输入信号和第一监控信号；以及第二连接装置，用于UND(与)连接第二输入信号和第二监控信号。

对于这种情况，即传感器装置具有无源传感器，例如警报按键，信号生成装置将提供第二监控信号，其中，第一监控信号通过外部连接的无源传感器传送到第一及第二控制装置，此时第二监控信号通过外部连接的传感器仅传送到第一控制装置，而在此不需要连接装置。

为了第一控制装置能够监控第二控制装置的运行状态，其具有一个存储器，在该存储器中储存基于硬件的开关装置的传输功能。微处理器能够使用第一调制输入信号、第二控制装置的与该第一调制输入信号回馈的输出信号以及所储存的传输功能确定出第二控制装置的运行状态。微处理器根据已知的输入信号和所储存的传输功能能够确定出第二控制装置，也就是基于硬件的开关装置的等候的输出信号。如果回馈的输出信号和所计算出的第二控制装置的输出信号不一致，则存在一个故障。根据安全设备的设计方案，就此第一安全装置将无效与其对应的第一安全继电器，和/或第二控制装置将无效与其对应的第二安全继电器，这将使得，安全相关装置在安全状态中运行或保持。

在特定的应用程序中有意义的或需要，第二控制装置的输出信号以特定的时间交错进行变换，用于改变输入信号。这样能够实现，即设有用于调节单稳态触发器的反应时间的装置。为了微处理器能够监控调节的反应时间，第一控制装置具有用于存放单稳态触发器的反应时间的存储器。因为第一控制装置的微处理器不仅传送输入信号也传送第二控制装置的输出信号，所以其能够计算出单稳态触发器的实际反应时间。如果该实际反应时间与存放的反应时间不一致，第一控制装置可以使得，第一和/或第二安全继电器无效。反应时间能够手动存储到第一控制装置的存储器中或者自动地由第一控制装置的微处理器从调节装置中读出。对于反应时间自动读出的切换上的实施方案对于本领域技术人员是已知，本发明不再赘述。

上述技术问题也通过一种安全设备来实现，该安全设备用于多通道地控制安全相关装置，其中信号生成装置提供第二监控信号，其中第一监控信号通过外部连接的无源传感器传送到第一和第二控制装置，其间第二监控信号通过外部连接的传感器仅传送到第一控制装置。

上述技术问题还通过一种安全设备来实现，在该安全设备中，信号生成装置提供第二监控信号，其中第一监控信号通过外部连接的无源传感器传送给第一和第二控制装置，而第二监控信号通过外部连接的传感器仅传送给第一控制装置。

附图说明

接下来，本发明根据附图中示出的两个实施例来详细描述。其中，

图1示出了安全设备的方块图，该安全设备用于多通道地控制安全相关装置，其中生成释放信号，

图2示出了监控信号的时间曲线，该监控信号由图1中示出的第一控制装置提供，

图3示出了可选的安全设备的方块图，该设备与图1中示出的安全设备的区别在于，通过第一控制装置生成两个监控信号，

图4示出了多个时间上交错的监控信号，其由图3中示出的第一控制装置提供，

图5示出了用于图1及图3中示出的单稳态触发器的释放信号保持装置，以及

图6示出了用于调节图1及图3中示出的单稳态触发器的反应时间的电路布局。

具体实施方式

图1示出了示例的多通道安全设备10，在该安全设备上连接有有源传感器20，例如是保护门。输出端上连接有安全相关装置30，其通过例如工业用机器人40和供电电压V象征性表示。当然，在这样的安全设备上也可以连接多个传感器和安全相关装置。

对于这种情况，传感器20是一种有源的传感器，其本身能够生成输出信号，从而设有输入级60，其具有调制器62，该调制器在本实施例中设计为与门。在与门62上首选可适用传感器20的输出信号。另外还设有被微处理器控制的第一控制装置70，其可以具有监控信号生成装置71、微处理器72、至少一个存储器74和开关76。微处理器72不仅与监控信号生成装置71、开关76连接，也与存储器74连接。监控信号生成装置71生成监控信号，其在微处理器的规定工作时具有在图2中示出的变化曲线。微处理器72例如执行预定的诊断-和/或监控功能，该功能在规定执行过程中将导致图2中示出的交流信号。例如，一旦微处理器72执行安全相关的监控任务，则生成一种高水平，其中在完成监控任务期间都生成高水平。在监控任务时，微处理器72能够访问预定的端口、存储器74的内容以及根据执行情况访问其他的控制点。如果启动的安全相关人物没有结束，则监控信号被锁定在静止状态，其表示出一种直流信号。在另一种形式中，假如监控任务根本没有启动，则监控信号生成装置71将生成一种静态的低水平。

在存储器74中例如存在用于微处理器72的指令，用于执行诊断-及安全相关的监控任务。监控信号生成装置71的输出信号(优选是一种数字信号)将提供到输入级62的与门62的第二输入上。

除了被微处理器控制的控制装置70，安全设备10还具有纯以硬件构架的第二控制装置80，其在本实施例中作为硬件的实施方式具有单稳态触发器82。通过与门62调制的输出信号作为输入信号传送给第一控制装置70的微处理器72和第二控制装置80的单稳态触发器85的触发输入。为了能够接通或关闭安全相关装置30，安全设备10具有可控制的开关装置90(也成为输出级)。输出级90具有第一安全继电器100，其能够通过第一控制装置70的开关76来控制。第一控制装置70和安全继电器100一同构成多通道控制设备的通道1。安全继电器100具有强制导向触点101、102，其中触点101作为断开触点，触点102作为闭合触点。强制导向触点应理解为多个决不会处于相同状态的触点。如果触点101闭合，则触点102被强制断开，反之亦然。在图1中象征性示出的安全继电器100的触点101、102通过第一控制装置的开关76控制，其中开关76处于安全继电器100的控制电路中，而闭合触点102处于安全继电器100的负载电流中。在断开触点101上连接有电源50(以V_cc表示)，其例如提供25伏的电压。电源50可以通过断开触点101与单稳态触发器85的主控复位输入连接。

第二控制装置80也匹配一个安全继电器110，其设置在输出级90中。第二安全继电器110也具有强制导向触点。强制导向触点具有断开触点111及闭合触点112，其与安全相关装置30连接。安全继电器100的闭合触点102与安全继电器110的闭合触点112都串联，从而在两个闭合触点都闭合时，也就是说在第一控制装置70和第二控制装置80都将闭合触点102、112控制在闭合状态时，仅控制装置30进行工作。控制装置80与控制装置70相似的方式具有开关86，其处于安全继电器110的控制电路中。开关86通过单稳态触发器85，且甚至于通过其Q输出接收控制信号。闭合触点112处于安全继电器110的负载电路中。断开触点111与电源50以及与第一控制装置70的微处理器72连接。通过这种方式，微处理器72能够监控安全继电器110的功能。当例如电源50也在安全继电器110的状态转换时没有与微处理器71连接，则安全继电器110出现故障。第二控制装置和安全继电器110构成安全设备10的通道2。

电源50可以为控制装置70、80提供所需的电能。

接下来将详细描述在图1中示出的安全设备10的功能。

可以假设，安全相关装置30能够运行。因此，通过传感器20提供高水平在与门62上。此外还可以想到，微处理器72规定工作，从而监控信号生成装置71生成在图2中示出的交流信号，并且提供到与门62的第二输入上。与门62的输出上显示出动态的监控信号，其不仅传送给微处理器72还传送给单稳态触发器85的触发输入。如果安全继电器100按照规定工作，则在静止状态中电源50通过断开触点101提供到单稳态触发器85的主控复位输入MR上，如在图5中所示。因为从与门62上得到的调制输入信号是交流信号，所以单稳态触发器85控制开关86，该开关随之闭合安全继电器110的闭合触点112和断开触点111。因为微处理器72也能够无故障地处理接收的调制输入信号，所以微处理器能够使得开关76、安全继电器100的闭合触点102闭合，并且使得断开触点101断开。因为两个闭合触点102、112闭合，则工业用机器人40接通工作电压V。安全继电器100的断开触点101被断开，则在单稳态触发器85的MR输入上不再存在电压。当是释放信号也出现在MR输入上时，则设有自锁电路(其在图5中详细示出)，因为单稳态触发器85随后只控制闭合触点11。自锁电路具有开关87，其例如设置为NPN晶体管。开关87的集流器通过电阻88按比例设置。工作电压V_cc出现在发射器输入上。晶体管87的本体通过电阻86与单稳态触发器85的Q输出上。在单稳态触发器运行时出现在Q输出上的逻辑低水平适用于，工作电压V_cc反馈在单稳态触发器85的MR输入上，从而在安全继电器100的断开触点101被断开时，工作电压也处于MR输入上。

目前设想出现一个故障，在该故障中传感器20例如信号化保护门的一个不理想的断开。这将导致，在传感器20的生成一个逻辑低水平，其将与门62的输出也转换为逻辑低水平。单稳态触发器85随后在Q输出上生成低水平，其以这样的方式控制开关86，即闭合触点112被断开，由此安全相关装置30被切断。微处理器72也可以根据调制的输入信号进行识别，即传感器20信号化一个故障，并且通过开关76控制闭合触点102进入断开状态。在本实施例中，安全相关装置30因此而关闭两个控制装置70、80。

对于这种情况，即安全继电器100以规定的方式进行作业，则在这种情况下强制导向的断开触点101闭合，并且工作电压50提供到单稳态触发器85的主控复位输入上。当传感器20再次生成高水平，则工业用机器人(如前文所述)再次接通工作电压V。然而在安全继电器100出现故障时，也就是说闭合触点102不再能断开时，则断开触点101保持在断开状态，并且在单稳态触发器85上不会出现释放信号。随之，一次被关闭的安全相关装置30不能再接通。因为在这种情况下单稳态触发器85将安全继电器110的闭合触点112保持在断开状态。换句话说，控制装置80仅随后将闭合触点112控制在闭合状态，当第一控制装置的微处理器72首先按规定工作并且由此而监控信号生成装置72产生交流信号且随之安全继电器100按规定进行作业时，则通过断开触点101在单稳态触发器85上出现释放信号。

值得重点注意的是，在图5中示出的单稳态触发器85在关闭工业用机器人之后自己又进行复位。在短暂时间之后，在单稳态触发器85的触发输入上又出现交流信号时，单稳态触发器85又能够首先控制安全继电器110，当释放信号通过断开触点101又出现在MR输入上时。

在这一点上要值得说明的是，单稳态触发器85支配一个可调节的反应时间。在此，例如RC元件与单稳态触发器85连接，该RC元件可以由分压器135和电容构成。这种电路在图6中示出。通过分压器135可以调节单稳态触发器85的反应时间。反应时间例如储存在第一控制装置70的存储器74中。

控制装置80的输出通过线路105与微处理器72连接。微处理器72可以监控控制装置80的运行动作，在此期间该运行动作能够通过与门62的接收的调制输入信号以及单稳态触发器85的传输功能计算出其输出信号。传输功能例如储存在存储器74中。如果单稳态触发器85的回馈的输出信号与所计算出的输出信号不一致，则控制装置80按规定进行工作。其他情况也会出现故障。如果微处理器72识别出这样的故障，该微处理器能通过开关断开安全继电器100的闭合触点102，从而安全相关装置30被关闭。可选或选择性地，微处理器72也可以控制开关86，以使得安全继电器110的闭合触点112断开。

图3示出了另一种多通道的安全设备10′，其与在图1中示出的安全设备10的区别在于，第一控制装置70的监控信号生成装置71提供两种监控信号，并且无源传感器20(例如警报按键)通过数字接口(未示出)连接到10′。当微处理器72按规定进行其特定的功能时，监控信号生成装置71生成在图4中示出的交流信号，该交流信号仅仅是相互间有相位差。通过这种方式，连接到安全设备10′上的无源传感器20双通道地访问，以便于能够识别出在输入线路151、152中及其输出线路150、155中的短路和跨接。输入级60除了与门62之外还具有另一与门64。第一监控信号通过监控信号生成装置71从内部提供到与门62的输入上，并且通过数字输出和输入线路152传送给传感器20的输入。第一监控信号还通过传感器20的内按键21和输出线路150传送给与门62的另一输入。以相似的方式，第二监控信号通过监控信号生成装置71从内部提供给与门64的输入，并且通过另一数字输出以及通过输入线路151传送给传感器20的另一输入。第二监控信号还通过传感器20的内按键22和传感器20的输出线路155传送给与门64的另一输入。与门64的输出信号仅仅传送给微处理器72，而与门62的输出不仅与微处理器72连接还与第二控制装置的单稳态触发器85的触发输入连接。

在图3中示出的安全设备10′的功能基本上对应于在图1中示出的安全设备10，其中额外要强调的是，输出线路150、155和输入线路151、152之间的跨接以及输出线路150、155和/或输入线路151、152之间的短路能够被设定。例如如果输出线路155和地线，或者输入线路151和地线之间出现短路，则在与门64的相应输入上出现低水平，其将使得，与门64的输出上也处于低水平。这种状态信号化给微处理器72，该微处理器从报告的状态上识别出故障。随之，微处理器以这样的方式控制在安全继电器100的控制电路中的开关76，即闭合触点102被断开并且由此而能够关闭安全相关装置30。

以相似的方式，当按照地线线路150或152出现短路时，与连接线路150连接的与门62的输入被设置为低。与门62的输入上的逻辑零将使得，输出上也处于逻辑零，从而单稳态触发器也在输出上提供逻辑零。在响应到单稳态触发器85的输出信号时，开关86以这样的方式控制，即闭合触点112被断开并且由此而安全相关装置30被关闭。另外，微处理器72在响应到与门62输出上的逻辑零时开关76被这样控制，即闭合触点102被断开并且由此而安全相关装置30被关闭。

如果输入线路151、152或输出线路150、155之间出现跨接，则带有直流电势的静止信号设置在与门62、64的输入上。其结果是，将导致位于与门62输出上的静止信号，即单稳态触发器85以这样的方式控制开关86，即闭合触点112被断开并且由此而关闭安全相关装置30。此外，处于与门62和/或64输出上的静止信号将导致，微处理器72以这样的方式控制开关76，即闭合触点102被断开并且由此而关闭安全相关装置30。

当前要注意到这种情况，即输出线路150和/或输入线路152对于工作电压短路。在这种情况下，两个直流电势的静止信号又出现在与门62上，这会使得，与门62的静止输出信号以这样的方式控制单稳态触发器85及开关86，即闭合触点112被断开并且由此而关闭安全相关装置30。此外，处于与门62输出上的静止信号会导致，微处理器72以这样的方式控制开关76，即闭合触点102被断开并且由此而关闭安全相关装置30。

当前要注意到这种情况，即输出线路155和/或输入线路151对于工作电压短路。在这种情况下，两个直流电势的静止信号又出现在与门64上。在响应到与门62的静止输出信号时，微处理器72以这样的方式控制开关76，即闭合触点102被断开并且由此而关闭安全相关装置30。

对于这种情况，即传感器20是一种有源传感器，两个连接线路151、152出现故障时，则两个由监控信号生成装置71生成的监控信号不会传送给传感器20。

根据安全设备目前能够实现，即第二基于硬件的控制装置80将控制匹配于第一控制装置70的安全继电器100的正确的作业，并且在出现故障时能够使得，安全相关装置30被关闭。由此而将确保，在通道1的释放信号出现在MR输入上时，第二控制装置80首先进行工作。

Claims (13)

1.一种安全设备，用于多通道地控制安全相关装置(40)，所述安全设备具有：被微处理器(72)控制的第一控制装置(70)，其具有用于生成第一监控信号的信号生成装置(71)，所述第一监控信号示出第一控制装置(70)的当前工作状态；第二控制装置(80)；通过第一和第二控制装置(70、80)控制的开关装置(90)，所述开关装置能够接通安全相关装置(30、40)，或者使其在安全状态中运行，其中第二控制装置(80)具有基于硬件的开关装置，所述基于硬件的开关装置响应监控信号时以这样的方式控制开关装置(90)，即所述安全相关装置(30、40)在所述第一控制装置(70)错误工作时能够以安全状态运行，

其特征在于，所述第一控制装置(70)匹配一个用于生成对于所述第二控制装置(80)的释放信号的装置(50、101)，

其中，所述开关装置(90)具有匹配于第一控制装置(70)的第一安全继电器(100)以及匹配于第二控制装置(80)的第二安全继电器(110)，其中每个安全继电器具有至少一个断开触点(101；111)和一个闭合触点(102；112)，其相互间强制导向连接，

其中，仅仅在第一安全继电器(100)无故障运作时才生成释放信号。

2.根据权利要求1所述的安全设备，其特征在于，当所述第一控制装置(70)无故障工作时，信号生成装置(71)将生成交流信号，当所述第一控制装置(70)有故障工作时，所述信号生成装置将生成直流信号。

3.根据权利要求2所述的安全设备，其特征在于，基于硬件的开关装置具有单稳态触发器(85)。

4.根据权利要求1所述的安全设备，其特征在于，单稳态触发 器(85)具有用于提供释放信号的主控复位输入及触发输入。

5.根据权利要求4所述的安全设备，其特征在于，用于将主控复位输入保持在释放信号水平的电路(86、87、88)匹配于所述单稳态触发器(85)，其中当在触发输入上没有出现信号或出现第一控制装置(70)的微处理器(72)的故障运行的静态信号时，所述单稳态触发器(85)将复位。

6.根据权利要求1所述的安全设备，其特征在于，所述被微处理器控制的第一控制装置(70)和所述第二控制装置(80)连接输入级(60)，所述输入级设计用于通过由信号生成装置(71)生成的第一监控信号来调制从可外部接通的传感器装置(20)得到的输入信号，其中所述被微处理器控制的第一控制装置(70)和/或第二控制装置(80)在响应调制过的输入信号时将所述安全相关装置(40)控制在安全状态中，其中第一调制过的输入信号出现在基于硬件的开关装置的触发输入上。

7.根据权利要求6所述的安全设备，其特征在于，信号生成装置(71)提供第二监控信号，输入级(60)设计用于通过由信号生成装置(71)生成的第二监控信号来调制从可外部连接的传感器装置(20)得到的第二输入信号，其中仅用于评估第一控制装置(70)的第二调制输入信号被传送。

8.根据权利要求7所述的安全设备，其特征在于，所述输入级(60)具有：第一连接装置(62)，用于与连接第一输入信号和第一监控信号；以及第二连接装置(64)，用于与连接第二输入信号和第二监控信号。

9.根据权利要求1所述的安全设备，其特征在于，所述信号生成装置(71)提供第二监控信号，第一监控信号通过外部连接的无源 传感器(20)传送到第一及第二控制装置(70、80)，第二监控信号通过外部连接的无源传感器(20)传送到第一控制装置(70)。

10.根据前述权利要求中任一项所述的安全设备，其特征在于，所述第一控制装置(70)具有一个存储器(74)，在所述存储器中储存基于硬件的开关装置的传输功能，并且其中所述第一控制装置(70)的微处理器(72)能够使用第一调制输入信号、第二控制装置(80)的输出信号以及所储存的传输功能确定出所述第二控制装置(80)的运行状态。

11.根据权利要求3所述的安全设备，其特征在于，设有用于调节单稳态触发器的反应时间的装置(130、135)，其中所述第一控制装置(70)具有用于存放单稳态触发器(85)的反应时间的存储器，并且所述微处理器(72)设计用于监控单稳态触发器(85)的反应时间。

12.一种安全设备，用于多通道地控制安全相关装置(40)，所述安全设备具有：被微处理器控制的第一控制装置(70)，其具有用于生成第一监控信号的信号生成装置(71)，所述第一监控信号示出第一控制装置(70)的当前工作状态；第二控制装置(80)；通过第一和第二控制装置(70、80)控制的开关装置(90)，所述开关装置能够接通安全相关装置(30、40)，或者使其在安全状态中运行；与被微处理器控制的第一控制装置(70)和第二控制装置(80)连接的输入级(60)，所述输入级设计用于通过由信号生成装置(71)生成的第一监控信号来调制从可外部接通的传感器装置(20)得到的输入信号，其中第二控制装置(80)具有基于硬件的开关装置，所述基于硬件的开关装置在响应到第一调制的输入信号时以这样的方式控制开关装置(90)，即安全相关装置(40)在第一控制装置(70)有故障工作时能够在安全状态中运行，

其特征在于， 

信号生成装置(71)提供第二监控信号，输入级(60)设计用于通过由信号生成装置(71)生成的第二监控信号来调制从可外部连接的传感器装置(20)得到的第二输入信号，其中用于评估第一控制装置(70)的第二调制输入信号被传送和用于评估第一和第二控制装置(70、80)的第一监控信号被传送。

13.一种安全设备，用于多通道地控制安全相关装置(40)，所述安全设备具有：被微处理器控制的第一控制装置(70)，其具有用于生成第一监控信号的信号生成装置(71)，所述第一监控信号示出第一控制装置(70)的当前工作状态；第二控制装置(80)；通过第一和第二控制装置(70、80)控制的开关装置(90)，所述开关装置能够接通安全相关装置(40)，或者使其在安全状态中运行，其中第二控制装置(80)具有基于硬件的开关装置，所述基于硬件的开关装置在响应到第一调制的输入信号时以这样的方式控制开关装置(90)，即安全相关装置(40)在第一控制装置(70)有故障工作时能够在安全状态中运行，

其特征在于，

信号生成装置(71)提供第二监控信号，第一监控信号通过外部连接的无源传感器(20)传送给第一和第二控制装置(70、80)，并且第二调制输入信号通过外部连接的传感器(20)传送给第一控制装置(70)。 

Images