CN102292683A - 用于控制自动化设备的安全控制装置和方法 - Google Patents

Abstract

本发明涉及一种用于控制自动化设备(14)的安全控制装置，该自动化设备包括多个传感器(18)和多个执行器(16)，该安全控制装置具有：控制单元(22)，多个控制输入信号(32)从传感器输送给控制单元(22)，其中控制单元(22)构建为，在自动化模式中按照在控制单元(22)中运行的应用程序(38)根据控制输入信号来产生多个控制输出信号(34)，其中借助所述多个控制输出信号(34)激励所述多个执行器(16)。此外，安全控制装置具有诊断分析单元(64)，多个诊断输入信号(66)输送给诊断分析单元(64)，其中诊断分析单元(64)构建为根据所述多个诊断输入信号(66)确定在所限定的时刻存在多个运行状态(122)中的哪个运行状态，其中所述多个运行状态(122)包含要控制的设备(14)的至少一个过程状态和安全控制装置(12)的至少一个系统状态，其中诊断分析单元(64)产生代表所确定的运行状态的运行状态信号(68)。安全控制装置包含多个接口：用于显示单元(74)的接口(70)，其中显示单元(72)构建为显示诊断报告；用于运行方式选择单元(76)的接口(74)，其中运行方式选择单元(76)构建为选择多个彼此不同的特殊运行方式之一，其中特殊运行方式分别与自动化运行不同，其中运行方式选择单元(76)提供代表所选择的特殊运行方式的特殊运行方式信号(78)，其中该特殊运行方式信号(78)输送给控制单元(22)，以便设备(14)以所选择的特殊运行方式来运行；用于检测单元(82)的接口(80)，其中检测单元(82)构建为检测访问授权，访问授权与同安全控制装置(12)交互的人员、尤其读取显示单元(72)的人员关联，其中检测单元(82)提供访问权限信号(84)，其代表所检测的访问授权。此外，安全控制装置包括诊断选择单元(86)，运行状态信号(68)以及特殊运行方式信号(78)和/或访问授权信号(84)输送给诊断选择单元(86)，其中诊断选择单元(86)根据所确定的运行状态并且根据所选择的特殊运行方式和/或所检测的访问授权确定代表所确定的运行状态的诊断报告，其中诊断选择单元(86)产生代表诊断报告的诊断信号(88)，其输送给显示单元(72)，用于显示诊断报告。

Description

用于控制自动化设备的安全控制装置和方法

本发明涉及用于控制自动化设备的安全控制装置和方法，自动化设备包括多个传感器和多个执行器。

在本发明意义下的安全控制装置是如下设备或者装置，其接收由传感器提供的输入信号并且由此通过逻辑链接和可能的其他信号处理步骤或数据处理步骤产生输出信号。输出信号于是可以输送给执行器，执行器然后根据输入信号在环境中引起有针对性的动作或者反应。

这种安全控制装置的一个优选的应用领域是在机器安全的范围中用于监控应急关断按键、双手控制装置、安全门或者光栅。使用这种传感器，以便例如保护机器，由该机器在工作中对人员或者材料货物造成威胁。在打开安全门或者在操作应急关断按键时分别产生信号，其作为输入信号输送给安全控制装置。响应于此，安全控制装置于是例如借助执行器关断机器的带来危险的部分。

与“正常的”控制装置相比，对于安全控制装置典型的是，甚至当在安全控制装置或者与安全控制装置连接的设备中出现故障时，安全控制装置始终保证带来危险的设备或者机器的安全状态。因此，在这些安全控制装置的情况下对于本身的故障安全性提出了极高的要求，这引起在开发和制造中的特别大的开销。

通常，安全控制在其使用之前需要通过主管的监管局例如在德国为职业协会或者

的特别许可。在此，安全控制装置必须遵守预先给定的安全标准，其例如记录在欧洲标准EN 954-1或者类似的标准，例如标准IEC 6158或者标准EN ISO 13849-1中。因此，在下文中安全控制装置理解为如下设备或者装置，其至少满足所提及的欧洲标准EN 954-1的安全类型3。

可编程的安全控制装置提供给应用者如下可能性：根据其需要借助软件、所谓的应用程序单独地确定逻辑链接和在必要情况下其他的信号处理步骤或者数据处理步骤。由此得到了与以前的解决方案相比大的灵活性，在以前的解决方案中通过在不同的安全部件之间的限定的接线产生逻辑链接。应用程序例如可以借助在市面上可获得的个人计算机(PC)并且通过使用相应设置的软件程序来创建。

识别故障在安全控制装置领域中具有中心意义。因为必须保证，受控制的机器或者设备在出现故障时被转移到安全的状态中。

除了实际识别故障和采取借助其将受控制的机器或者设备转移到安全状态中的相应措施之外，然而也重要的是，例如使受控制的机器或设备的操作员或者其他人员获悉关于存在的故障的信息。为此，在现有技术中已知的安全控制装置和方法中，在出现故障时借助显示单元来显示代表该故障的诊断报告。在此，所显示的诊断报告仅仅与通过相应的诊断单元确定的故障有关。然而未设置的是，对于同一故障显示不同的诊断报告。由此，不存在如下可能性：在出现故障时，将为此要显示的诊断报告例如与外部的情况匹配。在本上下文中，外部的情况是如下情况：其既不通过在安全控制装置中存储的应用程序本身也不通过在应用程序中作为输入量被处理的量来限定。

对出现的故障的识别对应于如下确定：在限定的时刻存在安全控制装置的多个系统状态中的何种系统状态。

上面的考虑不仅适用于识别故障并且由此适用于确定安全控制装置的系统状态，这些考虑同样适用于确定要控制的设备或者机器的过程状态。在此，现有技术中已知的安全控制装置和方法未设计如下可能性：在所确定的过程状态的情况下可以将为此要显示的诊断报告与外部情况匹配。

虽然已知的安全控制装置和方法保证可靠地确定安全控制装置的系统状态以及要控制的设备的过程状态，然而其在信息传达(Informationsvermittlung)方面，即在传达代表所确定的系统状态和过程状态的信息方面尚不是最优的。

因此，本发明的任务是，改进开头提及类型的安全控制装置和方法，以便可以灵活地构建如下信息的传达，该信息代表要控制的设备或者安全控制装置的系统状态的所确定的过程状态，并且由此可以将要显示的信息与外部情况匹配。

该任务通过开头提及类型的安全控制装置来解决，其具有如下装置：控制单元，多个控制输入信号由传感器输送给该控制单元，其中控制单元构建为在自动化模式中按照在该控制单元中运行的应用程序根据控制输入信号产生多个控制输出信号，其中借助这些控制输出信号激励多个执行器；诊断分析单元，多个诊断输入信号输送给该诊断分析单元，其中诊断分析单元构建为根据多个诊断输入信号确定在限定的时刻存在多个运行状态中的何种运行状态，其中多个运行状态包含要控制的设备的至少一个过程状态和安全控制装置的至少一个系统状态，其中诊断分析单元产生代表所确定的运行状态的运行状态信号；用于显示单元的接口，其中显示单元构建为显示诊断报告；用于运行方式选择单元的接口，其中运行方式选择单元构建为选择多个彼此不同的特殊运行方式之一，其中特殊运行方式分别与自动化模式不同，其中运行选择单元提供代表所选择的特殊运行方式的特殊运行方式信号，其中该特殊运行方式信号输送给控制单元，以便设备以所选择的特殊运行方式运行；用于检测单元的接口，其中检测单元构建为检测访问授权，该访问授权与同安全控制装置交互的人员、尤其是读取显示单元的人员关联，其中检测单元提供代表所检测的访问授权的访问授权信号；以及诊断选择单元，运行状态信号以及特殊运行方式信号和/或访问授权信号输送给诊断选择单元，其中诊断选择单元根据所确定的运行状态并且根据所选择的特殊运行方式和/或所检测的访问授权来确定要代表所确定的运行状态的诊断报告，其中诊断选择单元产生代表诊断报告的诊断信号，诊断信号输送给显示单元，用于显示诊断报告。

此外，该任务通过开头提及的类型的方法来解决，其中实施以下步骤：

-由传感器将多个控制输入信号输送给控制单元，其中控制单元构建为在自动化模式中按照在该控制单元中运行的应用程序根据控制输入信号产生多个控制输出信号，其中借助这些控制输出信号来激励多个执行器，

-根据多个诊断输入信号确定在限定时刻存在多个运行状态中的何种运行状态，其中这些运行状态包含要控制的设备的至少一个过程状态和安全控制装置的至少一个系统状态，以及产生代表所确定的运行状态的运行状态信号，

-选择多个彼此不同的特殊运行方式之一，其中特殊运行方式分别与自动化模式不同，以及提供代表所选择的特殊运行方式的特殊运行方式信号，

-检测访问授权，其与同安全控制装置交互的人员、尤其是读取显示单元的人员关联，以及提供代表所检测的访问授权的访问授权信号，

-将运行状态信号以及特殊运行方式信号和/或访问授权信号输送给诊断选择单元，

-根据所确定的运行状态并且根据所选择的特殊运行方式和/或所检测的访问授权确定代表所确定的运行状态的诊断报告，以及在诊断单元中产生代表诊断报告的诊断信号，以及

-将诊断信号输送给显示单元，用于显示诊断报告。

作为根据本发明的方案，根据本发明的安全控制装置和根据本发明的方法所基于的是，根据所确定的运行状态并且附加地根据所选择的特殊运行方式和/或所检测的访问授权确定代表所确定的运行状态的诊断报告，其中所确定的运行状态可以是要控制的设备的过程状态或者是安全控制装置的系统状态。现在，通过该方案存在如下可能性：可以灵活地构建如下信息的传达，该信息代表要控制的设备的所确定的过程状态或者安全控制状态的所确定的系统状态，并且由此可以将要显示的信息与外部情况匹配。

在随后对根据本发明的方法和根据本发明的安全控制装置的各个优点描述之前，首先为了更好的理解而阐述几个术语。

安全控制装置的系统状态是如下状态，其一方面可以被这样的安全控制装置、即结构单元占据，在该结构单元中安装有对于实现控制任务必需的逻辑部件、例如处理器和存储器，并且另一方面可以被要控制的设备的与该结构单元电连接的部件例如传感器和执行器占据，并且此外可以被同样与该结构单元连接的所谓报告设备、例如运行方式选择开关占据。所有接线也被一同考虑。鉴于诊断，令人感兴趣的尤其是其中在上面列举的部件上出现故障的系统状态。

要控制的设备的过程状态是要控制的设备基于如下应用所具有的状态，其中该应用通过在安全控制单元中运行的应用程序来限定。

要控制的设备可以以其来运行的运行方式首先理解为在标准DINEN 12417中描述的运行方式。在此，其涉及自动化模式，其中要控制的设备在封闭的保护装置中运行。此外，可以涉及在所述标准中描述的两种特殊运行方式之一。一方面涉及安装模式，其中在打开安全门、明显减慢速度和其他安全措施的情况下操作员可以介入过程，以便为自动化模式准备设备。另一方面是称为“扩展的手工介入”的运行方式，其中操作员例如可以在安全门打开的情况下运行机器。在此，对机器功能的减小的选择供操作者使用，该操作员只有当按压确认开关(Zustimmschalter)时才可以激活这些机器功能。此外，考虑其他运行方式，其称为“过程观察”。在此，操作员可以在安全门打开的情况下运行机器，而在此不必保持按压确认开关。在前面的标准中未描述该第三特殊运行方式。此外可以考虑其他的特殊运行方式，其例如由设备的运行者本身来限定。作为示例，在此列举了称为“周末模式”的特殊运行方式。在该特殊运行方式的情况下，在周末以减小的范围运行大型设备，该设备具有多个相同构造的单元用以实现非常高的生产率，这些单元允许并行处理。即，在周末仅仅这些单元的一部分运行，而这些单元的其他部分停工。

访问授权理解为如下许可，该许可与人员关联并且由此该人员有权，可以对要控制的设备进行介入，例如可以以上面描述的特殊运行方式运行设备。与存在不同的特殊运行方式一样，也存在不同的访问授权。机器或者设备的操作员通常不具有访问授权，即其不可以对机器或者设备进行作用。然而，维护员具有低的访问授权，该维护员可以在确定的范围中对机器或者设备进行介入。于是，维护员例如可以补充用于冷却润滑剂或者液压油的容器。可以以安装模式运行机器或者设备的安装工具有中等的访问授权。该安装工可以对机器或者设备进行所有介入，这些介入对于准备自动化模式是必要的。在安全控制装置中运行并且确定机器或者设备的自动化模式的应用程序的创建者具有大的访问授权。创建者可以对机器或者设备进行介入，其超过安装工可以进行的介入。就应用程序的创建者而言，则要区分以下两种配置：如果涉及由机床制造商以可观的件数制造的机床的安全控制装置(例如在车床、铣床或者加工中心的情况下情况如此)，则应用程序的创建者通常是机床制造商的员工。然而如果涉及大型机器设备的安全控制装置，其客户特定地配置并且尤其通常仅仅存在取决于应用者的版本，如例如在化学工业中的设备情况如此，则应用程序的创建者通常是该大型机器设备的运行者的员工。这样的安全控制装置的制造商，即其中安置有对于实现控制任务所需的逻辑部件的结构单元的制造商同样具有大的访问授权。相对于应用程序的创建者，在创建者方面该重点在于激励机器或者设备，即在于实现运动过程，在安全控制装置的制造商方面重点在于这样的安全控制装置的运行。安全委员例如希望检查，出于测试目的是否必须根据法律规定以预先给定的时间间隔来操作安装在要控制的设备中的保护装置，对于该安全委员而言，访问授权的重点在于读取诊断存储器并且较少地在于能够实现对要控制的设备的介入。

在考虑上面的实施例的情况下得出对于根据本发明的安全控制装置和根据本发明的方法不同的优点。

根据所检测的访问授权传达代表所确定的运行状态的诊断报告在信息的传达与外部情况的匹配方面非常有效。通过该措施，可以将例如要在显示单元上显示的诊断报告在内容上与读取显示单元上的显示报告的人员匹配。尤其是，可能的是，与相对于这样的安全控制装置或者要控制的设备而与该人员关联的作用的匹配，其中该作用例如通过访问授权来限定。

尤其，在考虑到所确定的安全控制装置的系统状态的情况下得出最大效率。如已经阐述那样，安全控制装置的所确定的系统状态通常是所确定的故障状态。因此，借助诊断报告指示所确定的故障。

通常，诊断报告包含如下四个信息部分：“什么”部分，其通知发生了什么，即存在何种干扰或者何种故障。“何处”部分，其通知在何处发生了干扰或者故障。“如何”部分，其通知如何消除干扰或者故障。“谁”部分，其通知谁可以消除干扰或者故障。

恰好在此特别有利的是，将要显示的诊断报告匹配于能力、正确地匹配于如下访问授权，该访问授权与读取显示单元的人员关联。在操作者的情况下通常通知其发生了什么或者什么有缺陷以及谁可以消除干扰就足够了。尤其是，谁可以消除干扰、即谁是正确的对口联系人的信息引起时间节省并且由此引起成本节省，因为可以直接接触主管人员。在操作员的情况下不需要显示可以如何消除干扰，因为其缺乏访问授权而不能够消除干扰。在维护员的情况下，如果涉及该维护员基于其访问授权而可以消除的干扰，则诊断报告除了发生了什么的信息之外还包含关于何处出现干扰以及这些干扰该如何消除的信息。如果涉及该维护员基于其访问授权而不能消除的干扰，则足够的是诊断报告包含关于存在何种干扰以及谁可以消除这些干扰的信息。在安装工、应用程序的创建者以及安全控制装置的制造商的情况下，诊断报告通常包含关于发生了什么、这在何处发生、要如何消除干扰以及谁可以进行这的信息。在此，从安装工至应用程序的创建者以及至安全控制的制造商，增加要如何消除干扰的信息部分并且同时减小干扰可以消除的信息部分，因为从安装工至应用程序的创建者以及至安全控制的制造商，介入到要控制的设备或者安全控制装置中的可能性由于增加的访问授权而增长。与安装工和应用程序的创建者相比，在安全控制装置的制造商的情况下在发生了什么的信息部分的方面重点着重地在于安全控制装置。在安全控制装置的制造商的情况下，所显示的干扰例如涉及包含在安全控制装置中的逻辑硬件部件或者在安全控制装置中实施的操作系统。对于安全委员而言，确定的诊断报告重点包含关于出现了何种干扰的信息，并且补充性地包含关于这些干扰何时出现的信息。

在考虑要控制的设备的所确定的过程状态的情况下也非常有效的是，根据所检测的访问授权确定代表所确定的过程状态的诊断报告。代表所确定的过程状态的诊断报告包含如下信息：要控制的设备占据通过应用程序限定的何种状态。在该情况下也适合的是，将借助显示单元显示的信息在内容上匹配于读取显示单元上的诊断报告的人。于是，对于操作者、维护员和安全委员意义重大的是，获悉要控制的设备在限定时刻占据的各个过程状态。而对于安装工、应用程序的创建者和安全控制装置的制造商而言这并不那么重要。在这些人员的情况下适合的例如是，将代表过程状态的诊断报告减小至信息内容“无故障的运行”或者“有故障的运行”。可能甚至可以省去这种诊断报告的显示。总之，由此提高了在显示单元上的可读性或者清楚性。

在考虑到要控制的设备的所确定的过程状态的情况下也有利的是，根据所选择的特殊运行方式确定代表过程状态的诊断报告。如果设备以自动化模式运行，则应该显示涉及所确定的过程状态的所有诊断报告。然而在此有利的是，将诊断报告的信息内容匹配于读取者的作用，诊断报告借助显示单元显示给该读取者。于是例如足够的是，通知设备的操作者要填充确定的液体容器。而可以附加地通知维护员，该容器在设备中位于何处以及例如要补充的液体储备在何处。对于安全委员而言，例如可以在要由其进行的分析方面准备要转达的信息。前面的实施形式示出，特别有利的是，不仅根据所选择的特殊运行方式而且根据所检测的访问授权确定诊断报告。这原因尤其在于，与读取显示单元的人员关联的访问授权并非强制性地与所选择的特殊运行方式相关，如前面的实施形式所示出的那样。如果设备以安装模式运行，则例如合适的是，停止代表过程状态的诊断报告，过程状态例如归因于打开的安全门。这是因为这些诊断报告不具有如下信息内容，其超过在安装模式的范围中对要控制的设备采取措施的安装工的知识水平。安装工知道安全门打开。而可以特别地显示与安装模式一致的诊断报告，其例如因此包含如下信息内容：由安装工计划的运动过程是否与机器的情况兼容。如果设备在周末模式中运行，则有利的是，停止代表由于周末模式而关断的设备部分所引起的过程状态的诊断报告，因为这些诊断报告在该特殊运行方式中不必被注意。

在考虑到安全控制装置的所确定的系统状态的情况下也特别有效的是，根据所选择的特殊运行方式确定代表系统状态的诊断报告。如果设备在自动化模式中运行，则应该显示代表系统状态的所有诊断报告。在此通常需要的是，除了何处发生了什么的信息之外也说明谁可以消除干扰。而如果设备以其中可以对设备进行维修工作的运行方式运行，则并不必要的是，代表系统状态的诊断报告包含关于谁可以消除干扰的说明，因为通常进行维修的人员具有相应的能力。更确切而言，在这种情况下有利的是显示关于为了消除干扰要执行什么的信息。同样有利的会是，显示关于要维修或者要替代的部件的数据表或者类似信息。

上面的实施形式显示，借助根据本发明的方案实现，以特别有效的方式和方法将信息与外部情况匹配并且由此显示诊断报告。此外，根据本发明的方案引起在显示单元上的特别清楚的信息显示。此外，该方案有助于时间节省和由此成本节省。

如上面的实施形式示出那样，可以通过根据所检测的访问授权来确定诊断报告的方式来实现诊断报告与外部情况的特别有效的匹配。该匹配可以通过附加地考虑在确定诊断报告时所确定的运行状态来进一步提高。

因此完全解决上面提及的任务。

在本发明的一个优选扩展方案中，在诊断选择单元中存储有多个彼此不同的诊断报告，其中这些诊断报告的每个表示所确定的运行状态，其中诊断选择单元根据所选择的特殊运行方式和/或所检测的访问授权来选择这些诊断报告之一。

该措施保证了，对于所确定的运行状态，并且更确切而言与是要控制的设备的过程状态还是安全控制装置的系统状态无关地存储有所有必需的诊断报告，并且由此可用于将要通过诊断报告显示的信息最优地匹配于所选择的特殊运行方式和/或所检测的访问授权。由此，将要显示的信息最优地匹配于外部情况是可能的。

在本发明的另一扩展方案中，对于多个运行状态的每个而言存储有多个彼此不同的诊断报告。

该措施具有如下优点：对于多个运行状态的每个可以确定在考虑到所选择的特殊运行方式和/或所检测的访问授权的情况下分别最优的诊断报告。由此，与外部情况的特别有效的匹配是可能的。

在之前提及的措施的另一扩展方案中，所检测的访问授权是多个限定的、彼此不同的访问授权之一，其中多个彼此不同的诊断报告针对彼此不同的特殊运行方式中的每个和/或针对彼此不同的访问授权中的每个包含相应地关联的诊断报告。

通过该措施保证，不仅仅针对可能的特殊运行方式的每个，而且针对可能的访问授权的每个存储有相应最优的诊断报告并且由此可以根据所选择的特殊运行方式和/或所检测的访问授权来选择并且可以由此来确定。

在本发明的另一扩展方案中，检测单元和显示单元形成结构单元。

基于该措施，读取显示单元的人员可以以简单的方式和方法将借助显示单元显示的诊断报告匹配于与该诊断报告关联的访问授权。特别的优点在于，可以直接在读取时进行匹配。

在本发明的另一扩展方案中，检测单元构建为通过与移动的访问授权单元的相互作用来检测访问授权。

在此，访问授权单元有利地代表如下访问授权，该访问授权包含在多个预先给定的、彼此不同的访问授权中，并且与同安全控制装置交互的人员关联。该措施能够实现在访问授权的检测中的特别灵活的操作。由于以可移动的方式构建代表访问授权的访问授权单元，所以可以在不同的位置检测访问授权。如果在要控制的设备中存在多个显示单元，只要这些显示单元的每个都具有检测单元，则可以通过这些显示单元中的每个来检测访问授权。此外，访问授权单元的移动的构建具有如下优点：可以明确地将访问授权分配给各个人员。

在之前提及的措施的另一扩展方案中，访问授权单元具有机械钥匙，其可以引入到设置在检测单元中的钥匙容纳部中。

有利地，钥匙容纳部构建为通过转动机械钥匙而被置于多个位置中，其中这些位置的每个代表如下访问授权，该访问授权包含在多个预先给定的、彼此不同的访问授权中，其中钥匙容纳部在机械钥匙转动之后所占据的位置与机械钥匙的成形部有关。该措施具有如下优点：在安全控制领域，至今机械钥匙和相应的钥匙容纳部的使用在确定要控制的设备要以其运行的特殊运行方式方面证明为有效的。因此，其中使用机械钥匙的运行方式选择开关以相应高的件数使用并且由此成本廉价。因此，该措施能够实现成本廉价地检测访问授权。

在两个之前提及的措施的另一扩展方案中，访问授权单元具有应答器，其中应答器包含访问授权数据，其代表访问授权。

在该扩展方案中，检测单元构建为用于读取应答器的传感器并且访问授权数据代表访问授权，该访问授权与同安全控制装置交互的人员关联。相对于机械钥匙，应答器的使用具有如下优点：可以区分显著更多的访问授权，因为与借助机械的运行方式选择开关相比，以电子途径可以生成显著更多的不同代码。由此，可以通过使用应答器实现将要传达的信息特别有效地匹配于外部情况。在使用应答器的情况下，两种可替选的扩展方案是可能的：在第一扩展方案中，应答器插入到机械钥匙中。在第二扩展方案中，为了确定访问授权并不使用机械钥匙，而是仅仅使用应答器。

在本发明的另一扩展方案中，检测单元具有多个输入元件，通过这些输入元件可以输入访问授权。所述多个输入元件可以构建为文字数字的输入栏。与安全控制装置交互的人员于是通过文字数字的输入栏输入仅其已知的代码并且通过分析该代码可以检测与该人员关联的访问授权。因为文字数字的输入栏并不昂贵，所以在此涉及检测访问授权的成本低廉的变型方案。

在本发明的另一扩展方案中，运行方式选择单元构建为通过与移动的特殊运行方式选择单元的相互作用选择特殊运行方式。

在此，特殊运行方式选择单元有利地代表要选择的特殊运行方式。该措施能够实现在选择特殊运行方式时特别灵活的操作。通过将特殊运行方式选择单元移动地构建可以在不同位置选择特殊运行方式。

特别有利的是，对于检测访问授权而设置有检测单元，并且对于选择特殊运行方式而设置有独立的运行方式选择单元。由于在此涉及两个独立且由此分离的单元，所以可以与所选择的特殊运行方式无关地检测访问授权。由此，可以同时选择特殊运行方式并且检测访问授权，其并非强制性地彼此关联。由此，可以将诊断报告和要传达的信息特别良好地匹配于外部情况。

在之前提及的措施的另一扩展方案中，特殊运行方式选择单元具有应答器，应答器包含代表所限定的特殊运行方式的特殊运行方式数据。

在该扩展方案中，运行方式选择单元构建为用于读取应答器的传感器并且特殊运行方式数据代表要选择的特殊运行方式。

在本发明的另一扩展方案中，应用程序具有：至少一个安全控制模块，在该模块中故障安全地处理安全相关的控制输入信号；以及至少一个标准控制模块，在该模块中主要处理过程相关的控制输入信号。

在该扩展方案中，多个传感器有利地包括：第一数目的传感器，其构建用于检测安全相关的量，其中安全相关的量借助安全相关的控制输入信号输送给安全控制模块；以及第二数目的传感器，其构建用于检测过程相关的量，其中这些过程相关的量借助过程相关的控制输入信号输送给标准控制模块。此外，在该扩展方案中有利地设计，多个控制输出信号包括：第一数目的控制输出信号，其在安全控制模块中被确定并且旨在激励第一数目的执行器，这些执行器构建用于执行安全相关的动作；以及第二数目的控制输出信号，其在标准控制模块中确定并且旨在激励第二数目的执行器，这些执行器构建用于执行过程相关的动作。根据应用程序的结构，该应用程序包括至少一个安全控制模块和至少一个标准控制模块，该应用程序的结构能够实现：借助同一应用程序不仅可以处理与安全控制方面关联的控制任务而且可以处理与标准控制方面关联的控制任务。由此，可以借助根据该方面构建的安全控制装置不仅可以实现与安全控制方面关联的控制任务而且可以实现与标准控制方面关联的控制任务。这具有如下优点：对于设备的全面控制，即对于包括安全控制方面和标准控制方面的控制仅仅需要一个控制设备，而不是两个控制设备，这两个控制设备中的一个处理与安全控制方面关联的控制任务，而一个处理与标准控制方面关联的控制任务。由此，也减小了对于布线所需的开销。总之，该措施表示实现设备的全面控制的成本低廉的可能性。在此应指出，借助表述“在标准控制模块中主要处理过程相关的控制输入信号”表示在标准控制模块中也可以处理安全相关的控制输入信号。

在本发明的另一扩展方案中，系统状态表示受干扰的执行器和/或传感器。

恰好在代表受干扰的执行器和/或传感器的诊断报告中有利的是，将要传达的信息匹配于读取信息的人的作用。于是例如对于设备的操作员足够的是，通知：存在受干扰的执行器或者受干扰的传感器。而有意义的是，向维护员显示附加的信息。在此，例如涉及关于哪个执行器或哪个传感器受干扰的信息。借助这种部件特定的信息而对于维护员可能的是，可以对有缺陷的部件进行迅速更换。受干扰的执行器或者受干扰的传感器应是如下执行器或传感器，其有缺陷或者出于其他原因不能明确分析。在此应说明的是，传感器理解为：传感器仅仅是借助其可以检测物理量的检测单元。然而，传感器也可以构建为由这种检测单元和信号处理单元构成的组合，其中信号处理单元构建为执行不同的信号处理措施，例如模拟/数字转换或者信号放大。

在之前提及的措施的另一扩展方案中，诊断选择单元构建为附加地根据位置说明确定诊断报告，其中位置代表执行器和/或传感器在设备内的安装位置。

恰好在位置说明的情况下特别有利的是，可以根据读取显示单元的人员的作用将位置说明记录到诊断报告中或者并不考虑位置说明。于是，对于设备的操作员并不重要的是，有缺陷的传感器或者有缺陷的执行器位于何处，因为其缺乏访问授权而不能进行更换。因此，在操作员的情况下可以在诊断报告中省去位置说明。位置说明的省略引起借助显示单元显示的信息的清楚性提高。而对于维护员而言位置说明是有用信息，因为其由此可以迅速更换有缺陷的传感器或有缺陷的执行器。因此，对于维护员而言在诊断报告中应该包含位置说明。

在本发明的另一扩展方案中，应用程序通过提供多个软件部件来创建，其中多个软件部件对应于由要控制的自动化设备包含的多个设备硬件部件。

由于该措施而可能的是，以特别简单且清楚的方式和方法创建应用程序。这有助于安全控制装置的编程的较高的故障安全性。

现在，在将诊断报告匹配于读取显示单元的人员时适于确定，应在诊断报告中完全包含大量信息部分中的哪个以及应多么详细地介绍各个信息部分。这两者可以通过分析与人员关联的访问授权来确定。对于操作员足够的是，其获得关于存在何种干扰以及谁可以消除该干扰的信息。即，指定操作员的诊断报告包含“什么”部分和“谁”部分。对于维护员、应用程序的创建者以及安全控制装置的制造商而言，除了何处发生什么的信息之外，附加地如下信息是重要的：谁可以消除干扰或故障。因此，指定该人员的诊断报告除了“什么”部分和“何处”部分之外附加地包含“如何”部分。在此，“如何”部分的详细程度匹配于通过访问授权确定的可以对设备和/或安全控制装置进行介入的可能性。该匹配也适用于“什么”部分和“何处”部分。于是，例如可以向安全控制装置的制造商具体显示：在这样的安全控制装置中包含的哪个逻辑部件有缺陷或者在安全控制装置中存储的操作系统的哪个模块有故障。而足够的是，仅仅向应用程序的创建者显示：在安全控制装置中存在故障。考虑所检测的访问授权能够在所确定的系统状态方面实现将诊断报告特别有效地匹配于读取显示单元的人员。而在所确定的过程状态方面，考虑所选择的特殊运行方式能够实现将诊断报告特别有效地匹配于读取显示单元的人员。

明显的是，上面提及的和下面还要阐述的特征不仅可以以相应说明过的组合来使用，而是也可以以其他组合或者单独地来使用，而不偏离本发明的范围。

本发明的实施例在附图中示出并且在下面的描述中予以进一步阐述。其中：

图1示出了与要控制的设备结合的根据本发明的安全控制装置的示意图，以及

图2以示意图示出了包含在安全控制装置中的诊断分析单元。

在图1中示出了在其总体上以附图标记10来表示的安全电路，其具有安全控制装置12，该安全控制装置构建为控制在其总体上以附图标记14来表示的设备。设备14包括多个执行器16和多个传感器18。示例性地示出了包含在设备14中的负载20，其例如可以是机器人。

安全控制装置12包括控制单元22。控制单元22以双通道冗余的方式来构建，以便实现用于控制安全关键的过程所需的故障安全性。代表双通道结构，在图1中示出了两个彼此分离的处理器24、26，其通过双向的通信接口28彼此连接，以便能够互相控制和交换数据。优选地，控制单元22的两个通道以及两个处理器24、26多样化，即彼此不同地构造以便在很大程度上排除系统错误。

借助附图标记30表示与两个处理器24、26的每个连接的输入/输出单元。输入/输出单元30从多个传感器18接收多个控制输入信号32并且以匹配的数据格式将这些控制输入信号转发给两个处理器24、26的每个。此外，输入/输出单元根据处理器24、26产生多个控制输出信号34，借助这些控制输出信号激励多个执行器16。

借助附图标记36表示芯片卡，在芯片卡上存储有应用程序38。应用程序38借助编程工具来创建。编程工具例如是计算机程序，其可以在传统PC上实施。将芯片卡36用作存储介质在此能够实现应用程序38的简单更换而并不直接连接到在其上实施编程工具的PC。对此可替选地，应用程序38也可以存储在固定地安装在控制单元22中的存储器、例如EEPRUM。

应用程序38确定要由安全控制装置12执行的控制任务。为此，应用程序38包含安全控制模块40，在该安全控制模块中执行与安全控制方面关联的控制任务。在安全控制模块40中故障安全地处理安全相关的控制输入信号42，其由与安全控制方面关联的安全传感器44产生。安全传感器44例如是应急关断按键、双手控制装置、安全门、转速监控设备或者用于接收安全相关的参数的其他传感器。根据在安全控制方面关联的控制任务，根据安全相关的控制输入信号42产生安全相关的控制输出信号46，借助这些控制输出信号激励安全执行器48、50，即与安全控制相关的执行器。安全执行器48、50例如是所谓的保护装置(Schuetze)，其工作接触部设置在电源52和负载20的连接中。通过安全执行器48、50可以关断负载20的电源，由此可能的是，在出现相应的故障时至少将负载20转移到安全状态中。

此外，应用程序38具有标准控制模块54，借助该标准控制模块执行与标准控制方面关联的控制任务。为此，在标准控制模块54中处理过程相关的控制输入信号56，其由标准传感器58产生。标准传感器58是例如检测对于驱动调节所需的输入量的传感器。在此，例如涉及转速、角度或者速度。根据过程相关的控制输入信号56，按照与标准控制方面关联的控制任务产生过程相关的控制输出信号60，其输送给标准执行器62。标准执行器62例如可以是发动机或者支撑油缸。

在实施例中选择的应用程序38的结构不应具有限制性作用，根据该结构，该应用程序包含安全控制模块40和标准控制模块54，由此控制单元22不仅执行与安全控制方面关联的控制任务而且执行与标准控制方面关联的控制任务。当然也可能的是，控制单元22仅仅执行与安全控制方面关联的控制任务。在该情况下，应用程序38不包含标准控制模块54。

输入/输出单元30也用于将其他包含在安全控制装置12中的部件连接至两个处理器24、26。于是，基于输入/输出单元30将多个诊断输入信号66输送给诊断分析单元64。诊断分析单元64构建为根据多个诊断输入信号66确定在限定时刻存在多个运行状态中的哪个。在此，多个运行状态包含要控制的设备14的至少一个过程状态以及安全控制装置12的至少一个系统状态。在此，系统状态应不仅检测包含在安全控制装置12中的单元和部件，而且检测所有与安全控制装置12电连接的单元。在此，涉及安全传感器44、安全执行器48、50、标准传感器58、标准执行器62以及还要描述的显示单元和还要描述的报告设备。同样，系统状态应包括所有在安全控制装置12和上面列举的单元之间存在的接线。

诊断分析单元64产生代表所确定的运行状态的运行状态信号68。运行状态信号68输送给输入/输出单元30。由此，控制单元22可以采取与所确定的运行状态对应的合适措施。安全控制装置12包括用于显示单元72的接口70。显示单元72构建为显示诊断报告。

此外，安全控制装置12包括用于运行方式选择单元76的接口74。运行方式选择单元76构建为选择多个彼此不同的特殊运行方式之一，其中特殊运行方式分别与自动模式不同。运行方式选择单元76提供代表所选择的特殊运行方式的特殊运行方式信号78。特殊运行方式信号78输送给控制单元22，以便以所选择的特殊运行方式驱动设备14。

此外，安全控制装置12具有用于检测单元82的接口80。检测单元构建为检测访问授权，其与同安全控制装置12交互的人员、尤其是读取显示单元72的人员关联。检测单元82提供访问授权信号84，其代表所检测的访问授权。

此外，安全控制装置12具有诊断选择单元86。运行状态信号68输送给诊断选择单元86。附加地，特殊运行方式信号78和/或访问授权信号84通过输入/输出单元30输送给诊断选择单元86。根据所确定的运行状态并且根据所选择的特殊运行方式和/或所检测的访问授权，诊断选择单元86确定代表所确定的运行状态的诊断报告。诊断选择单元86产生代表诊断报告的诊断信号88，其通过输入/输出单元30输送给显示单元72用于显示诊断报告。诊断分析单元64和诊断选择单元86可以组合为诊断单元90，这通过虚线图示来表明。

显示单元72和检测单元82可以组合为结构单元92，这通过虚线图示表明。有利地适合的是，检测单元82集成到显示单元72中。

检测单元82构建为，通过与移动的访问授权单元94的相互作用检测访问授权，这通过箭头96表明。对于检测单元82和由此对于移动的访问授权单元94，不同的扩展方案是可能的。在第一扩展方案中，移动的访问授权单元94实施为机械钥匙，其可以引入到设置在检测单元82中的钥匙容纳部中。该扩展方案对应于以机械方式实施的运行方式选择开关。在第二扩展方案中，移动的访问授权单元94实施为应答器，其数据可以由实施为读取设备的检测单元82读取。应答器包含代表访问授权的访问授权数据。第三扩展方案是可能的，其表示第一扩展方案和第二扩展方案的组合。即，机械钥匙包含应答器并且检测单元82在钥匙容纳部的区域中包含用于应答器的读取设备。此外，第四扩展方案是可能的，在该扩展方案中检测单元82具有多个输入元件，通过其可以输入访问授权。在此，检测单元82例如实施为文字数字的输入单元。在该扩展方案中，移动的访问授权单元94不必要。各个扩展方案的列举顺序不应表示在其应用可能性方面的评价。

运行方式选择单元76构建为通过与移动的特殊运行方式单元98的相互作用来选择特殊运行方式，这通过箭头100表示。移动的特殊运行方式单元98可以实施为应答器，其包含代表所限定的特殊运行方式的特殊运行方式数据。在该情况下，运行方式选择单元76构建为读取设备，借助该读取设备可以从应答器读取特殊运行方式数据。

运行方式选择单元76和检测单元82通常称为报告设备。

通过输入/输出单元30在安全控制装置12以及安全传感器44、安全执行器48、50、显示单元72、运行方式选择单元76和检测单元82之间交换测试信号102。借助测试信号102可以在安全控制装置12中确定，与其连接的单元和部件是否无故障地工作，这是必要的，因为一旦在与安全控制装置12连接的设备上出现故障，必需保证要控制的设备14的安全状态。

借助在图2中的视图阐明了诊断分析单元64的工作方式以及尤其诊断选择单元86的工作方式。

从输入/输出单元30出发将多个诊断输入信号66输送给诊断分析单元64。在此，涉及如下信号：安全相关的控制输入信号42和过程相关的控制输入信号56；安全相关的控制输出信号46和过程相关的控制输出信号60以及其他信号120。在其他信号120中可以包含测试信号102、访问授权信号84、特殊运行方式信号78以及在控制单元22中确定并且在其中处理的信号。

诊断分析单元64根据全部所输送的信号确定，在限定时刻存在多个运行状态122的哪个。这通过相应地分析所输送的信号来进行。所确定的运行状态可以是要控制的设备14的过程状态或者安全控制装置22的系统状态。系统状态例如可以是对地或者对电源的短路、传感器缺陷、执行器缺陷、导体断裂、在芯片卡36中出现的故障、在处理器24、26中出现的故障或者类似故障。通常，通过尤其将过程相关的控制输入信号56与预给定的阈值相比较来确定要控制的设备的过程状态。

诊断分析单元64产生代表所确定的运行状态的运行状态信号68。运行状态信号68不仅输送给输入/输出单元30而且输送给诊断选择单元86。根据图2中的视图，所确定的运行状态应为运行状态B2，这通过倾斜的角表示。在诊断选择单元86中，对于多个运行状态122中的每个都存储有多个彼此不同的诊断报告。对于所确定的运行状态B2存储有多个彼此不同的诊断报告124。从输入/输出单元30出发，代表所选择的特殊运行方式的特殊运行方式信号78以及代表所检测的访问授权的访问授权信号84输送给诊断选择单元86。在该情况下，所选择的特殊运行方式应为特殊运行方式S1并且所检测的访问授权应为访问授权Z1，这分别通过倾斜的角表示。因此，诊断选择单元86从多个彼此不同的诊断报告124中选择诊断报告D2M1并且产生诊断信号88，其代表诊断报告并且输送给输入/输出单元30用于转发给显示单元72。

在诊断选择单元86中对于多个运行状态122的每个都存储有多个彼此不同的诊断报告。多个彼此不同的诊断报告的每个都对于彼此不同的特殊运行状态S1至Sr的每个和/或对于彼此不同的访问授权Z1至Zs的每个包含相应地关联的诊断报告。总计，在诊断选择单元86中存储有针对多个运行状态121B1至Bn的诊断报告D1M1至DnMn。

基于该实施例的安全控制装置的扩展方案对于转化本发明的构思并非强制性的，根据该扩展方案，借助安全控制装置以同一控制单元处理与安全控制方面关联的控制任务以及与标准控制方面关联的控制任务。也可以针对两类控制任务使用独立的控制单元。

显示单元72可以在设置在包含在设备14中的控制台中。然而，其也可以是独立的显示单元。该显示单元可以实施为LCD屏幕或者文字数字的文本框。

例如“容器空”可以为过程诊断报告。作为系统诊断报告例如考虑“存储器故障”、“对24V短路”或者“硬件错误”。

Claims (16)

1.一种用于控制自动化设备(14)的安全控制装置，该自动化设备包括多个传感器(18)和多个执行器(16)，该安全控制装置具有：

控制单元(22)，多个控制输入信号(32)由传感器输送给控制单元(22)，其中控制单元(22)构建为，在自动化模式中按照在控制单元(22)中运行的应用程序(38)、根据控制输入信号来产生多个控制输出信号(34)，其中借助所述多个控制输出信号(34)来激励所述多个执行器(16)，

诊断分析单元(64)，多个诊断输入信号(66)输送给诊断分析单元(64)，其中诊断分析单元(64)构建为，根据所述多个诊断输入信号(66)确定在所限定的时刻存在多个运行状态(122)中的哪个运行状态，其中所述多个运行状态(122)包含要控制的设备(14)的至少一个过程状态和安全控制装置(12)的至少一个系统状态，其中诊断分析单元(64)产生代表所确定的运行状态的运行状态信号(68)，

用于显示单元(74)的接口(70)，其中显示单元(72)构建为显示诊断报告，

用于运行方式选择单元(76)的接口(74)，其中运行方式选择单元(76)构建为选择多个彼此不同的特殊运行方式之一，其中所述特殊运行方式分别与自动化模式不同，其中运行方式选择单元(76)提供代表所选择的特殊运行方式的特殊运行方式信号(78)，其中所述特殊运行方式信号(78)输送给控制单元(22)，以便设备(14)以所选择的特殊运行方式来运行，

用于检测单元(82)的接口(80)，其中检测单元(82)构建为检测访问授权，访问授权与同安全控制装置(12)交互的人员、尤其是读取显示单元(72)的人员关联，其中检测单元(82)提供代表所检测的访问授权的访问授权信号(84)，以及

诊断选择单元(86)，运行状态信号(68)以及特殊运行方式信号(78)和/或访问授权信号(84)输送给诊断选择单元(86)，其中诊断选择单元(86)根据所确定的运行状态并且根据所选择的特殊运行方式和/或所检测的访问授权来确定代表所确定的运行状态的诊断报告，其中诊断选择单元(86)产生代表诊断报告的诊断信号(88)，该诊断信号输送给显示单元(72)用于显示诊断报告。

2.根据权利要求1所述的安全控制装置，其特征在于，在诊断选择单元(86)中存储多个彼此不同的诊断报告(124)，其中所述诊断报告的每个都代表确定的运行状态，其中诊断选择单元(86)根据所选择的特殊运行方式和/或所检测的访问授权来选择所述诊断报告之一。

3.根据上述权利要求之一所述的安全控制装置，其特征在于，对于所述多个运行状态(122)中的每个存储多个彼此不同的诊断报告。

4.根据权利要求2所述的安全控制装置，其特征在于，所检测的访问授权是多个限定的、彼此不同的访问授权中的一个，其中所述多个彼此不同的诊断报告(124)对于所述彼此不同的特殊运行方式中的每个和/或对于所述彼此不同的访问授权中的每个包含相应的相关诊断报告。

5.根据上述权利要求之一所述的安全控制装置，其特征在于，检测单元(82)和显示单元(72)形成结构单元(92)。

6.根据上述权利要求之一所述的安全控制装置，其特征在于，检测单元(82)构建为通过与移动的访问授权单元(94)的相互作用来检测访问授权。

7.根据权利要求6所述的安全控制装置，其特征在于，访问授权单元(94)具有机械钥匙，该机械钥匙能够引入到设置在检测单元(82)中的钥匙容纳部中。

8.根据权利要求6或7所述的安全控制装置，其特征在于，访问授权单元(94)具有应答器，其中应答器包含代表访问授权的访问授权数据。

9.根据上述权利要求之一所述的安全控制装置，其特征在于，检测单元(82)具有多个输入元件，通过所述多个输入元件能够输入访问授权。

10.根据上述权利要求之一所述的安全控制装置，其特征在于，运行方式选择单元(76)构建为通过与移动的特殊运行方式单元(98)的相互作用来选择特殊运行方式。

11.根据权利要求10所述的安全控制装置，其特征在于，特殊运行方式单元(98)具有应答器，该应答器包含代表限定的特殊运行方式的特殊运行方式数据。

12.根据上述权利要求之一所述的安全控制装置，其特征在于，应用程序(38)具有至少一个安全控制模块(40)，在所述安全控制模块中以故障安全的方式处理安全相关的控制输入信号(42)，并且具有至少一个标准控制模块(54)，在所述标准控制模块中主要处理过程相关的控制输入信号(56)。

13.根据上述权利要求之一所述的安全控制装置，其特征在于，系统状态代表受干扰的执行器和/或传感器。

14.根据权利要求13所述的安全控制装置，其特征在于，诊断选择单元(86)构建为，附加地根据位置说明来确定诊断报告，其中位置说明代表执行器和/或传感器在设备内的安装位置。

15.一种用于控制自动化设备(14)的方法，该自动化设备包括多个传感器(18)和多个执行器(16)，该方法具有以下步骤：

-将多个控制输入信号(32)由传感器输送至控制单元，其中控制单元(22)构建为，在自动化模式中按照在控制单元(22)中运行的应用程序(38)、根据所述控制输入信号来产生多个控制输出信号(34)，其中借助所述多个控制输出信号(34)来激励所述多个执行器(16)，

-根据多个诊断输入信号(66)确定在限定的时刻存在多个运行状态(122)中的哪个运行状态，其中所述多个运行状态(122)包含要控制的设备(14)的至少一个过程状态和安全控制装置(12)的至少一个系统状态，以及产生代表所确定的运行状态的运行状态信号(68)，

-选择多个彼此不同的特殊运行方式之一，其中特殊运行方式分别与自动化模式不同，以及提供代表所选择的特殊运行方式的特殊运行方式信号(78)，

-检测访问授权，该访问授权与同安全控制装置(12)交互的人员、尤其是读取显示单元(72)的人员关联，以及提供代表所检测的访问授权的访问授权信号(84)，

-将运行状态信号(68)以及特殊运行方式信号(78)和/或访问授权信号(84)输送给诊断选择单元(86)，

-根据所确定的运行状态并且根据所选择的特殊运行方式和/或所检测的访问授权来确定代表所确定的运行状态的诊断报告，以及在诊断选择单元(86)中产生代表诊断报告的诊断信号(88)，以及

-将诊断信号(88)输送给显示单元(72)，用于显示诊断报告。

16.一种带有数据载体的计算机程序产品，该数据载体带有程序代码，该程序代码构建为，当该程序代码在根据权利要求1至14之一所述的安全控制装置(12)上运行时，执行根据权利要求15所述的方法。

Images