CN102292679B - 用于控制自动化设备的安全控制装置和方法 - Google Patents

Abstract

本发明涉及一种用于控制自动化设备(14)的安全控制装置，该自动化设备包括多个传感器(18)和多个执行器(16)，该安全控制装置具有：控制单元(22)，其中传感器将多个控制输入信号(32)输送给控制单元(22)，其中控制单元(22)构建为以自动化模式按照在控制单元(22)中运行的应用程序(38)、根据控制输入信号产生多个控制输出信号(34)，其中借助多个控制输出信号(34)激励多个执行器(16)；诊断分析单元(64)，其多个诊断输入信号(66)输送给诊断分析单元(64)，其中诊断分析单元(64)构建为根据诊断输入信号确定在限定的时刻存在多个运行状态(122)中的哪个运行状态，其中诊断分析单元(64)产生运行状态数据组(68)，其表征所确定的运行状态；以及用于显示单元(72)的接口(70)，其构建为显示诊断报告，其中运行状态数据组(68)具有多个诊断数据和布尔状态指示器，以及其中控制单元(22)构建为根据布尔状态指示器激励至少一个执行器。

Description

用于控制自动化设备的安全控制装置和方法

本发明涉及一种用于控制自动化设备的安全控制装置和方法，该自动化设备包括多个传感器和多个执行器。

安全控制装置在本发明的意义下是一种设备或者一种装置，其接收由传感器提供的输入信号并且由此通过逻辑链接并且可能通过其他信号处理步骤或数据处理步骤产生输出信号。输出信号可以输送给执行器，其于是根据输入信号在此环境中引起有针对性的动作或反应。

这种安全控制装置的一个优选应用领域为对在机器安全领域中的光格栅、应急关断按键、双手控制装置或安全门的监控。这种传感器被使用，例如以便保护如下机器，在运行中由于该机器对人或者材料货物造成威胁。在打开安全门或者操作应急关断按键时，分别产生信号，其作为输入信号输送给安全控制装置。响应于此，安全控制装置于是例如借助执行器关断机器的带来危险的部分。

与“正常的”控制装置相比，对于安全控制装置典型的是，安全控制装置始终保证带来危险的设备或者机器的安全状态，即使在安全控制装置中或者在与其连接的设备中出现故障。因此，在安全控制装置中对自身的故障安全性提出了极高的要求，这导致在开发和制造时的极大的开销。

通常，安全控制装置在其使用之前需要通过主管的监管局譬如在德国为职业协会或者特别许可。安全控制装置在此必须遵守预定的安全标准，其例如记录在欧洲标准EN 954-1或者类似标准，例如标准IEC 6158或者标准EN ISO 13849-1中。在下文中，因此安全控制装置理解为如下设备或者装置，其至少符合所提及的欧洲标准EN 954-1的安全类型3。

可编程的安全控制装置为应用者提供了如下可能性，借助软件、所谓的应用程序根据其需求个别地确定逻辑链接和必要时其他信号处理步骤或者数据处理步骤。由此得到了与以前的解决方案相比大的灵活性，在以前的解决方案中逻辑链接通过在不同的安全部件之间所限定的接线来产生。应用程序例如可以借助市面上可获得的个人计算机(PC)并且在使用相应设置的软件程序的情况下来生成。

除了对故障的实际识别和采取相应措施之外(借助这些措施将受控制的机器或者设备转移至安全状态中)，还重要的是，为受控制的机器或设备的用户或者其他人员提供关于本故障的信息。为此，在已知的安全控制装置中借助显示单元显示表征故障的诊断报告。在此，所显示的诊断报告仅仅与由相应的诊断单元确定的故障有关。对故障的识别对应于确定安全控制装置的多个系统状态中的哪一系统状态在限定的时刻存在。

虽然已知的安全控制装置和方法保证了可靠地确定安全控制装置的系统状态和要控制的设备的过程状态，然而其在信息告知方面即在表征确定的系统状态和过程状态的信息的告知方面尚未最佳。

因此，本发明的任务是改进开头所提及类型的安全控制装置和方法，以便更为简单且更为灵活地构建对表征要控制的设备的所确定的过程状态或者安全控制装置的系统状态的信息的告知，并且尤其是要显示的信息可以与外部的情况匹配。

该任务通过开头所提及类型的安全控制装置来解决，安全控制装置具有：控制单元，其中传感器将多个控制输入信号输送给控制单元，其中控制单元构建为以自动化模式按照在控制单元中运行的应用程序、根据控制输入信号产生多个控制输出信号，其中借助多个控制输出信号来激励多个执行器；诊断分析单元，多个诊断输入信号输送给诊断分析单元，其中诊断分析单元构建为根据诊断输入信号确定，多个运行状态中的哪一个在限定时刻存在，其中诊断分析单元产生运行状态数据组，其表征所确定的运行状态；以及用于显示单元的接口，显示单元构建为显示诊断报告，其中运行状态数据组具有多个诊断数据和布尔状态指示器，并且其中控制单元构建为根据布尔状态指示器激励至少一个执行器。

此外，该任务通过开头所提及类型的方法来解决，其中执行以下步骤：

-将多个控制输入信号从传感器输送给控制单元，其中控制单元构建为以自动化模式按照在控制单元中运行的应用程序、根据控制输入信号产生多个控制输出信号，其中借助多个控制输出信号来激励多个执行器，

-根据多个诊断输入信号来确定多个运行状态中的哪个在限定的时刻存在，并且产生运行状态数据组，其表征所确定的运行状态，其中运行状态数据组具有多个诊断数据和布尔状态指示器，

-在显示单元上显示诊断数据的至少一部分，以及

-根据布尔状态指示器激励执行器。

新型安全控制装置和新型方法基于如下构思：提供运行状态数据组用于显示诊断信息，其中运行状态数据组优选包含所有诊断相关的数据。然而，运行状态数据组此外具有布尔状态指示器，该指示器可以作为布尔变量在应用程序中被检索和读取。由此可能的是，根据运行状态数据组(并且由此至多间接地根据“真正的”传感器信号)来激励执行器，譬如告警灯或者蜂鸣器。控制单元因此获得其他输入信息，其有目的地集合所有对于系统诊断和过程诊断所需的信息。借助新的运行状态数据组提供了一致的、在系统范围中统一的诊断信息，其能够实现非常灵活的显示和选择诊断信息以及对运行状态进行有针对的反应。

在一个优选的扩展方案中，多个运行状态包含要控制的设备的至少一个过程状态和安全控制装置的至少一个系统状态，其中运行状态数据组表征过程状态和系统状态。

安全控制装置的系统状态在此应表示所有状态，其对于安全控制装置和与其相连的外围设备譬如传感器和执行器而言是有代表性的。相反，要控制的设备的过程状态是要控制的设备在受控制的过程中可以具有的状态，其中该过程通过在安全控制装置中运行的应用程序来限定。例如，传感器的故障或至传感器的线路的短路是系统状态，而状态“罐空”称作燃料库情况下的过程状态。

诊断信息与过程状态和系统状态组合成共同的中央数据组还进一步简化了对诊断信息的访问，尤其是在数据组在应用程序中如变量那样来处理时。应用程序可以以集中方式访问所有诊断相关的信息。

在另一扩展方案中，运行状态数据组包含多个彼此不同的诊断报告，其中每个诊断报告都表征确定的运行状态。优选地，这些诊断报告中的每个都根据所选择的特殊运行方式和/或根据访问权限来表征所确定的运行状态，并且根据所选择的特殊运行方式和/或访问权限来显示。

通常，诊断报告包含四个信息部分：“什么”部分，其通知发生了什么，即存在何种干扰或者何种故障。“何处”部分，其通知何处发生了干扰或故障。“如何”部分，其通知干扰或者故障如何消除。“谁”部分，其通知谁可以消除干扰或故障。特别有利的是，使要显示的诊断报告与分配给读取显示单元的人员的访问权限匹配。在用户的情况下通常通告其发生了什么或者有何故障以及谁能够消除干扰就足够了。尤其是，谁能消除干扰、即谁是正确的对话伙伴的信息引起节约时间并且因此引起节约成本，因为可以直接联系主管的人员。在为单一用户的情况下并不需要显示如何能够消除干扰，因为其缺少访问权限而不能消除干扰。在为维护工的情况下，如果涉及该维护工基于其访问权限能够消除的干扰，则诊断报告除了包含发生了什么的信息之外还可以包含关于干扰出现在何处和如何可以消除该干扰的信息。如果涉及该维护工基于其权限不能消除的干扰，则诊断报告包含关于何种干扰存在以及谁能消除该干扰的信息就足够了。在装配工、应用程序的编程员和安全控制装置的制造商的情况下，诊断报告通常将包含关于发生什么、其在何处发生、如何能消除干扰并且谁能进行这的信息。在此，从装配工开始到应用程序的编程员和到安全控制装置的制造商，如何能消除干扰的信息部分增加并且同时可消除干扰的信息部分减小，因为从装配工开始到应用程序的编程员和到安全控制装置的制造商，介入要控制的设备或安全控制装置的可能性由于访问权限增加而增长。与装配工和应用程序的编程员相比，在安全控制装置的制造商的情况下关于发生什么的信息部分方面的重点在于安全控制装置。在安全控制装置的制造商的情况下，所显示的干扰例如涉及在安全控制装置中所包含的逻辑硬件部件或在安全控制装置中实施的操作系统。用于安全代理人的诊断报告着重包含关于何种干扰出现的信息，并且补充地包含关于这些干扰何时出现的信息。

鉴于要控制的设备的所确定的过程状态，也非常有效的是，根据所检测的访问权限来确定表征所确定的过程状态的诊断报告。表征所确定的过程状态的诊断报告包含要控制的设备占据由应用程序限定的何种状态的信息。在此情况下也适合使借助显示单元所显示的信息在内容上与读取显示单元上的诊断报告的人员匹配。这样，对于用户、维护工和安全代理人而言非常重要的是，获悉要控制的设备在限定的时刻所处的各个过程状态。然而对于装配工、应用程序的编程员和安全控制装置的制造商而言这不那么重要。在为这些人员的情况下，例如适于将表征过程状态的诊断报告减小到信息内容“无故障地运行”或“有故降地运行”。可能甚至可以省去这种诊断报告的显示。总之由此提高了在显示单元上的可读性或清楚性。

鉴于要控制的设备的所确定的过程状态，有利的是，根据所选择的特殊运行方式来确定表征该过程状态的诊断报告。如果设备以自动化模式运行，则应显示涉及所确定的过程状态的所有诊断报告。然而在此有利的是，将诊断报告的信息内容与借助显示单元向其显示诊断报告的阅读者的作用匹配。这样，例如通告该设备的用户要填充确定的液体容器就足够了。然而，此外可以通告维护工该容器位于设备中的何处以及例如何处储备有要补充的液体。对于安全代理人而言例如可以关于由其要进行的分析方面准备要告知的信息。上述实施形式显示出，特别有利的是，诊断报告不仅根据所选择的特殊运行方式而且根据所检测的访问权限来确定。这尤其是因为分配给读取显示单元的人员的访问权限并非一定必须与所选择的特殊运行方式相关，如前面的实施形式所示情况。如果设备在安装模式中运行，则例如合适的是阻止表征过程状态的诊断报告，其中过程状态例如归因于打开的安全门。这原因在于，这些诊断报告不具有超过装配工的知识水平的信息内容，该装配工在设置模式的范围内对要控制的设备采取措施。该装配工知道安全门打开。然而，可以特别地显示与设置模式协调的诊断报告，其因此包含由装配工所规划的运动过程是否与机器的情况协调的信息。如果设备在周末模式中运行，则合适的是阻止表征过程状态的诊断报告，过程状态源于由于周末模式而关断的设备部分，因为在该特殊运行模式的情况下不必注意该诊断报告。

鉴于安全控制装置的所确定的系统状态也特别有效的是，根据所选择的特殊运行方式确定表征系统状态的诊断报告。如果设备在自动模式中运行，则要显示表征系统状态的所有诊断报告。在此情况下通常也需要除了显示在何处发生什么的信息之外还显示谁能消除干扰。而如果设备在可对设备进行维修工作的运行方式中运行，则不必要的是，表征系统状态的诊断报告包含关于谁能消除干扰的说明，因为一般而言进行维修的人员具有相应的能力。在这样的情况下，更确切地说有利的是，显示为消除干扰而执行什么的信息。同样，可为有利的是显示关于待维修的或待替换的部件的数据表或者类似信息。

上述实施形式显示出诊断报告可以以新的方式非常灵活地显示。

在本发明的另一扩展方案中，应用程序具有：至少一个安全控制装置模块，在该安全控制装置模块中故障安全地处理安全相关的控制输入信号；以及至少一个标准控制模块，在该标准控制模块中处理主要过程相关的控制输入信号。

在该扩展方案中，多个传感器有利地包括：第一数目的传感器，其构建用于检测安全相关的量，其中这些安全相关的量借助安全相关的控制输入信号输送给安全控制模块；以及第二数目的传感器，其构建用于检测过程相关的量，其中这些过程相关的量借助过程相关的控制输入信号输送给标准控制模块。此外，在该扩展方案中有利地设置为，多个控制输出信号包括：第一数目的控制输出信号，其在安全控制模块中被确定，并且其指旨在于激励第一数目的执行器，这些执行器构建用于执行安全相关的动作；以及第二数目的控制输出信号，其在标准控制模块中被确定，并且其旨在于激励第二数目的执行器，其构建为用于执行过程相关的动作。根据应用程序的结构，该应用程序包括至少一个安全控制模块和至少一个标准控制模块，该结构能够实现：可以借助同一应用程序不仅处理与安全控制方面相关的控制任务，而且处理与标准控制方面相关的控制任务。因此，借助根据该方面构建的安全控制装置不仅可以实现与安全控制方面相关的控制任务，而且可以实现与标准控制方面相关的控制任务。这具有如下优点：对于设备的全面控制，即对于不仅包括安全控制方面而且包括标准控制方面的控制仅仅需要一个控制设备，而不是两个控制设备，其中一个处理与安全控制方面相关的控制任务，而一个处理与标准控制方面相关的控制任务。因此，也减小了对于接线所需的开销。总之，该措施表示实现设备的全面控制的成本低廉的可能性。在此应指出的是，表述“在标准控制模块中主要处理过程相关的控制输入信号”意指：在标准控制模块中也可以处理安全相关的控制输入信号。

在本发明的另一扩展方案中，系统状态表征受干扰的执行器和/或传感器。

恰好在表征受干扰的执行器和/或传感器的诊断消息的情况下，有利的是，要转发的信息与读取信息者的作用相匹配。这样，例如对于该设备的用户而言通知存在受干扰的执行器或受干扰的传感器就足够了。而有意义的是，为维护工显示附加的信息。在此情况下例如涉及关于哪个执行器或者哪个传感器受干扰的信息。借助这种部件特定的信息对于维护工而言可能的是能够进行有故障的部件的迅速更换。受干扰的执行器或受干扰的传感器应该为有故障的或出于其他原因而不能清楚分析的执行器或传感器。在此应解释的是，传感器应理解为：该传感器可以仅仅是检测单元，借助其可以检测物理量。但传感器也可以构建为由这种检测单元与信号处理单元的组合，其中信号处理单元构建为，执行不同的信号处理措施，例如模拟/数字转换或信号放大

在前面提及的措施的另一扩展方案中，诊断分析单元构建为附加地根据位置说明确定诊断报告，其中位置说明表征执行器和/或传感器在设备内的安装位置。

恰好在位置说明的情况下特别有利的是，根据读取显示单元的人员的作用将位置说明包括到诊断报告中或不予考虑。这样，对于设备的用户而言不重要的是，有故障的传感器或者有故障的执行器处于何处，因为该用户没有访问权限而不能进行更换。因此，在用户的情况下，可以取消诊断报告中的位置说明。忽略位置说明使借助显示单元显示的信息的清楚性提高。而对于维修人员而言，位置说明是有用的信息，因为该维修工程师由此可以迅速更换有故障的传感器或者有故障的执行器。因此，对于维护工而言，位置说明应包含在诊断报告中。

在本发明的另一扩展方案中，应用程序通过提供多个软件部分来生成，其中多个软件部分对应于由要控制的自动化设备包含的多个设备硬件部件。

基于该措施可能的是，以特别简单和清楚的方式和方法生成应用程序。这有助于安全控制装置的编程的更高的故障安全性。

在诊断报告与读取显示单元的人员匹配时，现在适于确定究竟这么多信息部分的哪些信息部分要包含在诊断报告中并且要多么详细地解释各信息部分。这两者可以通过分析分配给该人员的访问权限来确定。对于用户而言足够的是，其获得关于存在何种干扰以及谁可以消除该干扰的信息。也就是说，旨在于用户的诊断报告包含“什么”部分和“谁”部分。对于维护工、应用程序的编程员和安全控制装置的制造商而言除了在何处发生什么的信息之外，重要的还有如何能够消除干扰或者故障的信息。因此，旨在于该人员的诊断报告除了包含“什么”部分和“何处”部分之外还附加地包含“如何”部分。在此，“如何”部分的详细程度与通过访问权限确定的能够对设备和/或安全控制装置进行干预的可能性相匹配。该匹配也适用于“什么”部分和“何处”部分。这样，例如可以向安全控制装置的制造商具体地显示，在控制设备中就其本身而言所包含的逻辑部件中的哪个有缺陷或者存储在安全控制装置中的操作系统的哪个模块有故障。而足够的是，向应用程序的编程员仅仅显示故障存在于安全控制装置中。对所检测的访问权限的考虑能够在所确定的系统状态方面实现诊断报告与读取显示单元的人员的有效匹配。而在所确定的过程状态方面，对所选择的特殊运行方式的考虑能够实现诊断报告与读取显示单元的人员的特别有效的匹配。

应理解的是，前面提及的和接下来还要阐述的特征不仅可以以相应说明的组合而且也可以以其他组合或单独地使用，而不离开本发明的范围。

本发明的实施例在附图中示出并且在接下来的描述中进一步阐述。其中：

图1示出了与要控制的设备结合的新的安全控制装置的示意图，以及

图2在示意图中示出了包含在安全控制装置中的诊断选择单元。

在图1中示出了在其整体上用附图标记10表示的安全电路，其具有安全控制装置12，该安全控制装置构建为控制设备14。设备14包括多个执行器16和多个传感器18。示例性地示出了在设备14中包含的负载20，其例如可以为机器人。

安全控制装置12包括控制单元22。该控制单元22双通道冗余地构建，以便实现对控制安全关键的过程所需的故障安全性。替代双通道结构在图1中示出了两个彼此分离的处理器24、26，其通过双向通信接口28彼此连接，以便可以相互控制并且交换数据。优选地，控制单元22的两个通道和两个处理器24、26是相异的，即彼此不同地构建，以便在很大程度上排除系统故障。

借助附图标记30表示输入/输出单元，其与两个处理器24、26的每个相连。输入/输出单元30从多个传感器18接收多个控制输入信号32并且将其以适配的数据格式传送给两个处理器24、26的每个。此外，输入/输出单元根据处理器24、26产生多个控制输出信号34，借助其激励多个执行器16。

借助附图标记36表示芯片卡，在其上存储有应用程序38。应用程序38借助编程工具生成。编程工具例如是计算机程序，该计算机程序可以在传统的PC上实施。将芯片卡36用作存储介质在此能够实现简单地更换应用程序38而不直接连接在其上实施有编程工具的PC。对此可替选地，应用程序38也可以存储在固定地安装在控制单元22中的存储器，例如EEPROM中。

应用程序38确定由安全控制装置12执行的控制任务。为此，应用程序38包含安全控制模块40，在该安全控制模块中执行与安全控制方面关联的控制任务。在安全控制模块40中故障安全地处理安全相关的控制输入信号42，其由与安全控制方面相关的安全传感器44产生。安全传感器44例如是应急关断按键、双手控制装置、安全门、转速监控设备或其他用于记录安全相关的参数的传感器。根据在安全控制方面相关的控制任务，根据安全相关的控制输入信号42产生安全相关的控制输出信号46，借助其激励安全执行器48、50、与安全控制方面相关的执行器。安全执行器48、50例如是所谓的接触器，其工作接触部设置在电源52与负载20之间的连接中。负载20的电源可以通过安全执行器48、50关断，由此可能的是，在出现相应的故障时至少将负载20转移到安全的状态中。

此外，应用程序38具有标准控制模块54，借助其执行与标准控制方面相关的控制任务。对此，在标准控制模块54中处理过程相关的控制输入信号56，其由标准传感器58产生。标准传感器58是检测例如对于驱动控制所需的输入量的传感器。在此情况下，其例如可以是转速、如角度或速度。根据过程相关的控制输入信号56，按照与标准控制方面相关的控制任务产生过程相关的控制输出信号60，其被输送给标准执行器62。标准执行器62例如可以是马达或支撑油缸(Stellzylinder)。

根据在实施例中选择的应用程序38的结构，该应用程序包含安全控制模块40和标准控制模块54，由此控制单元22不仅执行与安全控制方面相关的控制任务而且执行与标准控制方面相关的控制任务，该结构应该没有任何限制作用。也可以考虑的是，控制单元22仅仅执行与安全控制方面相关的控制任务。在此情况下，应用程序38并不包含标准控制模块54。

输入/输出单元30也用于将包含在安全控制装置12中的部件进一步连接到两个传感器24、26。这样，在此通过输入/输出单元30将多个诊断输入信号66输送给诊断分析单元64。诊断分析单元64构建为根据多个诊断输入信号66确定在限定的时刻存在多个运行状态中的哪个运行状态。多个运行状态包含要控制的设备14的至少一个过程状态和安全控制装置12的至少一个系统状态。系统状态不仅包含检测包含在安全控制装置12中的部件，而且也检测与安全控制装置12电连接的所有单元。在此，其涉及安全传感器44、安全执行器48、50、标准传感器58、标准执行器62以及还要描述的显示单元和还要描述的报告设备。同样，系统状态应包括在安全控制装置12与上面所列举的单元之间的所有接线。

诊断分析单元64产生运行状态数据组68，其表征所确定的运行状态。运行状态68包含多个诊断数据和布尔状态指示器，其可以作为布尔变量采用第一状态，譬如“有效”，和第二状态，如“无效”。状态指示器由此发信号通知，确定的运行状态实际存在与否。在此关键的是，带有布尔状态指示器的运行状态数据组68输送给输入/输出单元30。因此，在控制单元中执行的应用程序可以访问带有布尔状态指示器还有运行状态数据组68并且触发对应于所确定的运行状态的措施。

此外，安全控制装置12包括用于显示单元72的接口70。显示单元72构建为显示诊断报告。

此外，安全控制装置12包括用于运行方式选择单元76的接口74。运行方式选择单元76构建为选择多个彼此不同的特殊运行方式之一，其中特殊运行方式分别不同于自动化模式。运行方式选择单元76提供了特殊运行方式信号78，其表征所选择的特殊运行方式。特殊运行方式信号78输送给控制单元22，以便以所选择的特殊运行方式驱动设备14。

此外，安全控制装置12具有用于检测单元82的接口80。检测单元构建为检测访问权限，其分配给与安全控制装置12相互作用的人员尤其是读取显示单元72的人员。检测单元82提供了访问权限信号84，其表征所检测的访问权限。

此外，安全控制装置12具有诊断选择单元86。运行状态数据组68输送给诊断选择单元86。此外，特殊运行方式信号78和/或访问权限信号84通过输入/输出单元30输送给诊断选择单元86。根据所确定的运行状态和根据所选择的特殊运行方式和/或所检测的访问权限，诊断选择单元86确定合适的诊断报告。诊断选择单元86产生表征诊断报告的诊断信号88，其通过输入/输出单元30输送给显示单元72，用于显示诊断报告。诊断分析单元64和诊断选择单元86可以组成诊断单元90，这通过虚线图表示。

显示单元72和检测单元82可以组合成结构单元92，这通过虚线图表示。有利地，合适的是，检测单元82集成到显示单元72中。

检测单元82构建为通过与移动的访问权限单元94的交互作用检测访问权限，这通过箭头96来表示。对于检测单元82和因此也对于移动的访问权限单元94可以考虑不同的扩展方案。在第一扩展方案中，移动的访问权限单元94实施为机械钥匙，其引入到钥匙容纳部中，该钥匙容纳部设置在检测单元82中。该第一扩展方案对应于以机械方式实施的运行方式选择开关。在第二扩展方案中，移动的访问权限单元94实施为应答器，其数据可以被实施为读取设备的检测单元82来读出。应答器包含访问权限数据，其表征访问权限。可以考虑第三扩展方案，其为第一扩展方案和第二扩展方案的组合。即机械钥匙包含应答器而检测单元82在钥匙容纳部的区域中包含用于应答器的读取设备。此外，可考虑第四扩展方案：其中检测单元82具有多个输入元件，通过这些输入元件可以输入访问权限。在此，检测单元82例如实施为字母数字的输入单元。在该扩展方案中，移动的访问权限单元94不必要。各个扩展方案的列举顺序不应表示关于其使用可能性的评定。

运行方式选择单元76构建为，通过与移动的特殊运行方式单元98的交互作用选择特殊运行方式，这通过箭头100来表示。移动的特殊运行方式单元98可以构建为应答器，其包含表征所限定的特殊运行方式的特殊运行方式数据。在此情况下，运行方式选择单元76构建为读取设备，借助其可以从应答器读出特殊运行方式数据。

运行数据选择单元76和检测单元82通常称作报告设备。

通过输入/输出单元30在安全控制装置12和安全传感器44、安全执行器48、50、显示单元72、运行方式选择单元76和检测单元82之间交换测试信号102。借助测试信号102可以在安全控制装置12中确定连接到其上的单元和部件是否无故障地工作，这是必要的，因为一旦在与安全控制装置12连接的设备上出现故障，则必须保证要控制的设备14的安全状态。

借助图2中的视图阐述了诊断分析单元64的工作方式并且尤其是阐述诊断选择单元86的工作方式。

从输入/输出单元30出发，多个66诊断输入信号输送给诊断分析单元64。在此可以涉及以下信号：安全相关的控制输入信号42和过程相关的控制输入信号56；安全相关的控制输出信号46和过程相关的控制输出信号60以及其他信号120。在其他信号120中可以包含测试信号102、访问权限信号84、特殊运行方式信号78以及在控制单元22中所确定的并且在其中被处理的信号。

根据所有所输送的信号，诊断分析单元64确定，在限定的时刻存在多个运行状态122中的哪个运行状态。这通过相应分析所输送的信号来进行。所确定的运行状态可以是要控制的设备14的过程状态或者安全控制装置22的系统状态。系统状态例如可以是对地或者电源电压短路，传感器故障、执行器故障、导体断裂、芯片卡36中出现的故障或者类似故障。通常通过尤其将过程相关的控制输入信号56与预先给定的阈值比较的方式确定要控制的设备的过程状态。

诊断分析单元64产生运行状态数据组68，其表征所确定的运行状态。运行状态信号68不仅输送给输入/输出单元30而且输出给诊断选择单元86。根据图2中的视图，所确定的运行状态应为运行状态B2，这通过倾斜的角表示。在诊断选择单元86中，针对多个运行状态122的每个存储多个彼此不同的诊断报告。针对所确定的运行状态B2存储有多个124彼此不同的诊断报告。从输入/输出单元30出发，向诊断选择单元86输送特殊运行方式信号78，其表征所选择的特殊运行方式，以及输送访问权限信号84，其表征所检测的访问权限。在此情况下，所选择的特殊运行方式将是特殊运行方式S1并且所检测的访问权限将是访问权限Z1，这分别通过倾斜的角表示。因此，诊断选择单元86从多个彼此不同的诊断报告124中选择诊断消息D2M1并且产生诊断信号88，其表征诊断报告并且被输送给输入/输出单元30，用于传送给显示单元72。

在诊断选择单元86中针对多个运行状态122的每个存储有多个彼此不同的诊断报告。多个彼此不同的诊断报告的每个针对彼此不同的特殊运行状态S1至Sr的每个和/或针对彼此不同的访问权限Z1至Zs的每个都包含相应相关的诊断报告。总之，在诊断选择单元86中针对多个运行状态121B1至Bn存储有诊断报告D1M1至D1M1至DnMn。

基于该实施例的安全控制装置的如下扩展方案对于实现本发明的构思并非强制性的，根据该扩展方案，借助安全控制装置，与安全控制方面相关的控制任务以及与标准控制方面相关的控制任务借助同一安全单元来处理。针对控制任务的两个类型也可以使用独立的控制单元。

显示单元72可以设置在包含在设备14中的控制台中。但也可以涉及独立显示单元。其可以实施为LCD屏幕或者文字数字的文本区。

作为过程诊断报告例如可以是“容器空”。例如“存储器故障，对24V短路或者“硬件故障”视为系统诊断报告。

Claims (5)

1.一种用于控制自动化设备(14)的安全控制装置，自动化设备包括多个传感器(18)和多个执行器(16)，其特征在于，安全控制装置具有：

控制单元(22)，其中传感器将多个控制输入信号(32)输送给控制单元(22)，其中控制单元(22)构建为以自动化模式按照在控制单元(22)中运行的应用程序(38)、根据控制输入信号产生多个控制输出信号(34)，其中借助所述多个控制输出信号(34)激励多个执行器(16)，

诊断分析单元(64)，多个诊断输入信号(66)输送给诊断分析单元(64)，其中诊断分析单元(64)构建为根据诊断输入信号确定在限定的时刻存在多个运行状态(122)中的哪个，其中诊断分析单元(64)产生运行状态数据组(68)，其表征所确定的运行状态，以及

用于显示单元(72)的接口(70)，该显示单元构建为显示诊断报告，

其中运行状态数据组(68)具有多个诊断数据和布尔状态指示器，以及

其中控制单元(22)构建为根据布尔状态指示器激励至少一个执行器。

2.根据权利要求1所述的安全控制装置，其特征在于，所述多个运行状态(122)包含要控制的设备(14)的至少一个过程状态和安全控制装置(12)的至少一个系统状态，其中运行状态数据组(68)表征所述过程状态和所述系统状态。

3.根据权利要求1或2所述的安全控制装置，其特征在于，运行状态数据组(68)包含多个彼此不同的诊断报告(124)，其中所述诊断报告的每个都表征所确定的运行状态。

4.根据权利要求1所述的安全控制装置，其特征在于，应用程序(38)具有至少一个安全控制模块(40)，在所述安全控制模块中以故障安全的方式处理与安全相关的控制输入信号(42)，以及具有至少一个标准控制模块(54)，在所述标准控制模块中处理与过程相关的控制输入信号(56)。

5.一种用于控制自动化设备(14)的方法，该自动化设备包括多个传感器(18)和多个执行器(16)，该方法具有如下步骤：

-将来自传感器的多个控制输入信号(32)输送给控制单元，其中控制单元(22)构建为以自动化模式按照在控制单元(22)中运行的应用程序(38)、根据所述控制输入信号产生多个控制输出信号(34)，其中借助所述多个控制输出信号(34)激励多个执行器(16)，

-根据多个诊断输入信号(66)确定在限定的时刻存在多个运行状态(122)中的哪个，并且产生运行状态数据组(68)，其表征所确定的运行状态，其中运行状态数据组(68)具有多个诊断数据和布尔状态指示器，

-在显示单元(72)上显示诊断数据的至少一部分，以及

-根据布尔状态指示器激励执行器。