CN103425542B - 具有集成诊断功能的安全检测系统 - Google Patents

Abstract

本发明涉及一种安全检测系统，其包括由多个互连的安全检测器（D1、……D5）形成的检测链。链中的检测器（D1、……D5）还被互连以便形成与安全链并行的诊断线。因而第一检测器包括用于生成包括它的监督状态的诊断信息的装置、及用于在诊断线上向链中的第二检测器发送此诊断信息的装置，链中的第二检测器依次丰富诊断信息。在链的末尾，最后一个检测器连接至诊断模块（MD），诊断模块（MD）旨在接收诊断信息、解释它、并控制要保护的应用的开启。

Description

具有集成诊断功能的安全检测系统

技术领域

本发明涉及一种具有增强的集成诊断功能的安全检测系统。

背景技术

为了保证对位于房间内的机器的接入，已知安装一种安全检测系统，使得可以在到房间的接入装置断开时防止机器被开启。因为给定的房间可以具有多个接入装置，所以提供至少一个检测器来保证每个接入装置。在这种情况下，对检测器进行串行布线，使得第一检测器的输出端连接到第二检测器的输入端，等等。从而，仅当检测器的所有安全输出是激活时，即当到房间的所有接入装置是闭合的时，才可能开启机器。在现有技术的安全检测系统中，将额外的安全模块连接至链中最后一个检测器的输出端，并连接至用于开启机器的装置。机器的两个控制继电器和包括开启按钮的返回回路被连接至该额外的安全模块。

例如在文献US4290055中公开了检测链。

然而，两种类型的事件可以防止机器被开启：接入装置的断开和链的布线中的断路。接入装置的断开与系统的正常操作相关联。布线中的断路与不良的或欺骗性的操作相关联。

在检测链中，每个检测器通常配备有指示灯，指示所监视的接入装置的断开或闭合状态。在具有多个接入的安装中，如果接入装置保持断开，那么操作员必须检查每个检测器以找出哪个在防止机器被开启。

为克服此缺陷，提出了用于从控制站集中地监视检测链中的检测器的状态的方法。

这些方法中的一个包括在检测链中的每个检测器和可编程逻辑控制器之间添加直接连接，目的在于集中地监视所有检测器的状态并识别指示断开的接入装置的检测器。然而，此系统需要大量的布线和具有很多输入的控制器。

另一方法包括例如借助于总线将检测器和安全可编程逻辑控制器进行联网。安全可编程逻辑控制器与检测链并联，负责分析每个检测器的监督状态。此方法昂贵并被证明难以实现。

允许识别断开的接入装置的现有方法对于检测系统的正常操作期间的诊断是令人满意的，诸如在现有技术文献US4290055中的情况。然而，它们都不能允许将布线中的断路与正常操作区分开来，并且不能允许在不良的或欺骗性的操作的情况下执行诊断。

发明内容

本发明的目的是提供一种采用串行连接的安全检测器的安全检测系统，使用其可以：

-集中地监视检测链中的检测器的监督状态；

-无需使用大量布线即可确定每个检测器的监督状态、断开或闭合；

-检测检测链中的断路；

-区分各种类型的故障；

-定位检测链中的故障；

-与检测链的响应时间一致地分析和解释诊断；以及

-控制机器的开启。

此目标通过一种安全检测系统来实现，该安全检测系统包括：

-至少一个第一检测器和一个第二检测器，每个检测器包括连接至它的安全逻辑输入的两个输入端、连接至它的安全逻辑输出的两个输出端、以及连接至两条供电线的两个供电端，第一检测器的两个输出端连接至第二检测器的两个输入端，并且第二检测器的两个输出端直接或经由安全模块间接连接至用于控制要保护的应用的部件，以便形成检测链；

-取决于每个检测器的监督状态来激活所述检测器的安全逻辑输出；

-第一检测器包括诊断输出接口，并且第二检测器包括仅连接至第一检测器的诊断输出接口的诊断输入接口及诊断输出接口，以便形成诊断线；

-第一检测器包括用于生成包括它的监督状态的诊断信息的装置、及用于在诊断线上向第二检测器发送此诊断信息的装置；

-第二检测器被设计为通过在所接收的诊断信息中插入它的监督状态来丰富所接收的诊断信息；以及

-该系统包括诊断模块，该诊断模块连接至第二检测器的诊断输出接口，并且旨在接收诊断信息、解释它，并且控制应用的开启。

根据一个特征，诊断信息采取诊断帧的形式，诊断帧包括起始位、每个反映检测链中每个检测器的监督状态的一个或更多个位、及停止位。

根据另一特征，链中的检测器被设计为实现初始化阶段，使得能够确定检测链中的哪个检测器是第一检测器，此检测器旨在生成诊断信息。

根据另一特征，每个检测器包括用于存储在链中它相对于第一检测器的位置的装置。

根据另一特征，检测链中的第一检测器被设计为发射通过所设置的规律时间间隔而彼此分开的诊断帧。

根据另一特征，每个检测器被设计为当它在所设置的时间间隔中没有接收到诊断帧时发起所谓的超时过程，在该过程中它生成所谓的超时帧。

根据另一特征，生成超时帧的检测器被设计为不激活它的安全逻辑输出，防止应用的开启，直到它被重启为止。

根据另一特征，触发超时过程的时间间隔对于链中的每个检测器是不同的。

附图说明

结合附图，其它特征和优点将从下面的详细描述中变得清楚，其中：

-图1示出安全检测系统的使用上下文；

-图2示出在本发明的检测系统中采用的检测器的功能结构；

-图3示出根据本发明的安全检测系统；

-图4示出图解本发明的检测系统的诊断原理的第一定时图；以及

-图5示出图解本发明的检测系统的诊断原理的第二定时图。

具体实施方式

在下面的描述中，将使用表述“监督状态”来定义检测器的状态1或状态0，即，例如如果检测器旨在监视接入装置，则为接入装置的闭合状态（1）或断开状态（0）。

本发明涉及一种安全检测系统。例如使用这样的安全检测系统来保证应用、例如位于房间Z中的机器的开启。图1示出此例子。安全检测系统包括串行连接的多个检测器D1、D2、D3、……Dn，每个检测器专用于到房间Z的接入装置的监督。仅当检测器的所有安全输出是激活时，即当到房间的所有接入装置是闭合的时，才可以开启机器M。

检测器例如采用射频识别技术（此后为RFID）。当然，可以使用除RFID之外的技术，诸如，例如采用霍尔效应、光学效应或磁接触的检测技术。下面的描述涉及采用RFID的检测器。

在图1所示的上下文中，例如将电子RFID标签Et1、Et2、Et3固定于接入装置，而将读/写单元Stat1、Stat2、Stat3固定于接入装置的框架（frame）。当电子RFID标签Et1、Et2、Et3位于单元的域（field）中时，意味着接入装置被闭合，因而检测器的安全输出是激活。

下面的描述涉及包括数目为n个的检测器的检测链，n大于或等于2。编号为n的检测器位于检测链的末端。在图3中，本发明的安全检测系统包括五个检测器D1、D2、D3、D4、D5。

如图2中所示，每个检测器的读/写单元Stat包括：连接至它的安全逻辑输入IN（下面称作sa输入）的两个安全输入端I1、I2；连接至它的安全逻辑输出OUT（下面称为安全输出）的两个安全输出端O1、O2；以及连接至用于管理供电的装置ALIM的两个供电端（V-、V+）。单元Stat还包括接收安全输入的状态并定义安全输出的状态的处理装置CPU。如果检测器采用RFID技术，则它还包括RFID接口INT和天线ANT，以允许它与电子RFID标签Et通信。

根据本发明，每个检测器还包括：连接至诊断输入接口DIn的诊断输入端Di；及连接至诊断输出接口DOut的诊断输出端Do。检测器的处理装置CPU能够生成要向其诊断输出接口DOut发送的诊断信息。

如图3中所示，在本发明的安全检测系统中，编号为1的检测器的安全输出端O1、O2连接至编号为2的检测器的安全输入端I1、I2，编号为2的检测器的安全输出端O1、O2连接至编号为3的检测器的安全输入端I1、I2，等等。从而，编号为n-1的检测器的安全输出端O1、O2连接至编号为n的检测器的安全输入端I1、I2。

额外的安全模块MS例如被连接至链的末尾。此额外的安全模块MS管理机器M的开启模式，并监视返回回路Br，即机器的控制继电器K1、K2的状态。作为变型的实施例，根据本发明，编号为n的检测器的输出端O1、O2直接连接到机器M的两个控制继电器K1、K2。在编号为n的检测器的开启输入端和测试输出端之间连接允许监视两个继电器K1、K2的状态的返回回路Br（该变型未示出）。机器的开启按钮B-St位于此返回回路Br中。

通过按压开启按钮B-St来开启机器M，并且这仅当编号为n的检测器的安全输出是激活的并且返回回路Br是闭合的时才是可能的。

链中每个检测器的两个供电端（V-、V+）连接到两条供电线，两条供电线在链的整个长度上延伸并且连接至电源。第一供电线L1处于零电势，并且第二供电线L2处于正电势，例如被设置为+24伏。链中的第一检测器的两个安全输入端连接至第二供电线L2，以便自动激活链中的第一检测器的两个安全输入IN。

例如使用两个T或Y形的互联部件来实现链中两个检测器之间的布线。一个互连部件与链中的每个检测器关联。从而，检测系统还包括n个相同的互连部件。当然，可以通过在每个检测器中集成使用每个互联部件实现的布线配置来省略互联部件。

互联部件被设计为确保供电线L1、L2的连续性并且将检测器的输出端O1、O2连接到下一检测器的输入端I1、I2。

在正常操作中，如果所有接入装置是闭合的，则编号为1至n-1的检测器的安全输出OUT是激活的，则然后位于链的末尾处的编号为n的检测器的安全输入IN是激活的。如果RFID标签在读取器（reader）的范围之内，则编号为n的检测器的安全输出OUT将是激活的。如果要开启安全模块并从而开启机器，则返回回路Br必须是闭合的，即两个监督继电器K1、K2必须是闭合的，并且必须按压开启按钮B-St。如果接入装置是断开的，则此接入装置的检测器的安全输出OUT是去激活的。因为检测器的安全输出OUT和安全输入IN被串行连接，所以然后位于所述检测器之后的所有检测器的安全输出OUT和安全输入IN将全部是去激活的。

根据本发明，除了形成安全检测链之外，链中的检测器形成诊断线。因而编号为1的检测器的诊断输出端Do仅连接至编号为2的检测器的诊断输入端Di，并且编号为2的检测器的诊断输出端Do仅连接至编号为3的检测器的诊断输入端Di，等等，直到编号为n的检测器，其诊断输出端Do连接至形成本发明的安全检测系统的一部分的诊断模块MD。上述互连部件例如被设计以提供链中检测器之间的诊断布线。

如此形成的诊断线允许传递诊断信息。链中的每个检测器通过指示它的监督状态、即它正监视的接入装置的状态、断开或闭合，来丰富诊断信息，并且向链中下一检测器发送丰富后的信息。在每个检测器之间延伸的诊断线例如采取单个布线的形式。

链中的第一检测器D1的诊断输入端Di连接至第二供电线L2，以便自动激活第一检测器D1的诊断输入接口DIn。

位于链末尾处的诊断模块MD收集诊断信息，并根据诊断信息来确定链中每个检测器的监督状态。诊断模块MD和安全模块MS可以采取两个单独的单元的形式，或者是可以被一起组合在同一片硬件中。

由链中的第一检测器D1来发起诊断信息的生成。在初始化阶段期间，例如当第一次开启系统时识别链中的第一检测器。第一次开启系统时，每个检测器向它的诊断输出接口DOut发送与它的监督状态无关的预设帧，例如00H。从而，没有在其诊断输入接口DIn处接收到信号的检测器将自身识别为链中的第一检测器。

一旦初始化阶段已终止，则链中的第一检测器D1生成诊断信息。在此例子中，诊断信息是诊断帧，并包括：

-起始位St；

-指示检测器的监督状态的位（即，接入装置断开=0以及接入装置闭合=1）；

-分隔位Sn（被设置为0）；

-其它位，被设置为1的；以及

-位于帧末尾的停止位Sp。

链中的后面的检测器在等待诊断帧到达它们的诊断输入接口DIn。当帧被检测器接收时，后者将指示先前检测器的监督状态的数据移位，然后在这些数据和起始位St之间添加指示它的监督状态的位。然后，检测器向它的诊断输出接口DOut发送如此完成的帧。

分隔位Sn是帧中被设置为0的最后一位。因而每个检测器能够很简单地通过对起始位St和分隔位Sn之间的位数进行计数来确定链在中有多少检测器位于它之前。每个检测器能够存储在安全链中它相对于第一检测器的位置。每个检测器同样能够确定并存储在链中位于它之前的检测器的监督状态。

诊断帧中的最后一位总是被设置为1，并且不能被采用来发送接入装置的状态。依靠此位，即使所有的接入装置都是断开的，诊断模块MD也能够区分初始化帧与诊断帧。

例如以预设的时间间隔Td来发送诊断帧，发射频率由链中的第一检测器D1来设置。

图4示出通过包含串行连接的五个检测器的检测系统的诊断帧的一段（passage）。此定时图示出这样的情形，其中由编号为1至4的检测器监视的接入装置是闭合的，而由编号为5的检测器监视的接入装置是断开的。

在此定时图中：

-第一检测器D1发送第一诊断帧；此帧包括被设置为0的起始位St、因为所监视的接入装置是闭合的而被设置为1的表示它的监督状态的一位、总是被设置为0的分隔位Sn、以及直到停止位Sp的被设置为1的其它位。此诊断帧被发送给第二检测器D2的诊断输入接口DIn。

-第二检测器D2接收诊断帧，并且在起始位St和表示第一检测器的监督状态的位之间添加与它自身的监督状态对应的位。因为由第二检测器D2监视的接入装置是闭合的，所以此位被设置为1。第二检测器D2向第三检测器发送如此被丰富的诊断帧。

-第三检测器D3考虑它的监督状态做相同的事情。因为由第三检测器D3监视的接入装置是闭合的，所以添加位被设置为1。第三检测器D3向第四检测器D4发送完成的诊断帧。

-第四检测器D4用与上述相同的方式丰富诊断帧，并且将其发送到链中的第五检测器D5。

-第五检测器D5通过在起始位St和表示第四检测器D4的监督状态的位之间，添加因为由第五检测器D5监视的接入装置是断开的而被设置为0的位，来完成该帧。

在预设的时间间隔Td之后，第一检测器D1生成新的诊断帧。

当然，诊断帧的长度取决于在链中存在的检测器的数目。如果链包括二至六个检测器，则它将是一字节，如果链包括七个和十四个之间检测器，则将是两个字节，如果链包括十五个至二十二个之间的检测器，则将是三个字节。无论如何，诊断帧的长度保持较小，从而允许与安全链的响应时间一致地快速分析其内容被。

根据本发明，如果检测器在预设的时间窗中没有接收到诊断数据，则由所述检测器触发被称为超时过程的过程。超时过程由链中的故障而导致，通常是布线中的断路或硬件故障。在此情形中，在触发超时过程的检测器的输入I1、I2处出现去激活状态。所述检测器的安全输出OUT和安全链中位于它之后的所有检测器的安全输出OUT进入去激活状态。防止机器M的开启直到下一次重启为止。

当检测器实施超时过程时，即，当它在预设的时间窗中没有接收到诊断帧时，它生成超时帧并且将它发送到检测链中的下一个检测器。发起超时帧的检测器、即链中第一个什么也没有接收到的检测器将表示位于其上流的检测器的监督状态的位设置为0值。然后，以设置的时间间隔Tt来生成超时帧，超时帧的发射频率由发起超时过程的检测器来确定。

图5示出超时过程的实施。图5中的定时图示出这样的情形，其中在给定时刻t1，将第二检测器D2连接至第三检测器D3的诊断线被切断。在此定时图中：

-第一诊断帧由第一检测器D1发送，并且正常地通过直至第五检测器D5。

-在时刻t1，将第二检测器D2连接至第三检测器D3的线被切断，防止任何新的诊断帧到达第三检测器D3。

-因为第三检测器D3在所提供的时间间隔Tt3中没有接收到任何东西，所以所述检测器生成超时帧。在此超时帧中，第三检测器将表示位于上游的第一和第二检测器D1、D2的监督状态的位设置为0。

-第四检测器D4和第五检测器D5接收超时帧并且如上丰富它，它们中的每个添加与它们的监督状态对应的位。

为了使每个检测器在其自身超时之前有时间来读超时帧，并非所有的检测器都具有相同的超时间隔Tt。从而，在图5中，Tt4>Tt3并且Tt5>Tt4。例如，链中检测器x的超时值可以被设置为值Ttx，其是链中出现在它之前的检测器的数目的函数。Ttx=Tt1+(x-1)Δt，其中：

-Tt1是基于诊断帧的发射时段Td定义的初始超时值，由第一检测器设置；

-Δt是要对于每个检测器添加的额外时间；以及

-x是检测器在链中的位置。

每当链中的检测器超时或者在超时时段中接收到超时帧时，通过保持它的安全输出OUT是去激活的，将防止机器M被再次开启直到它被重启为止。一旦接收到超时帧，诊断模块MD就断开位于返回回路Br中的接触ESC，以便防止机器M没有在先的重启而被再次开启。

其它事件也可以导致防止机器M被开启直到下一次重启为止，例如：

-诊断输入永久为0。线插头或位于第一检测器D1上游的线缆的一端被断开连接。

-当已经执行初始化阶段时发射被设置为00H的诊断帧。链中先前的检测器已被断开连接然后被重新连接。

-接收到除00H之外的初始帧。接收到诊断帧的检测器当然是已被断开连接然后被重新连接。

-诊断帧中的位数不对。例如，已向检测链添加了一个或更多个检测器。

如上所述，通过检测器自身发现大部分错误布线（miswiring），检测器通过将它们的安全输出OUT保持为去激活来防止机器M被开启。

诊断模块MD管理如果位于最后一个检测器和控制站之间的最后的线缆不安全而仍可能存在的错误布线。如果所述最后的线缆被断开连接，则诊断模块MD通过断开接触ESC来防止机器在重启之前被开启。

Claims (8)

1.一种安全检测系统，包括：

至少一个第一检测器和一个第二检测器，每个检测器包括连接至它的安全逻辑输入(IN)的两个输入端(I1、I2)、连接至它的安全逻辑输出(OUT)的两个输出端(O1、O2)及连接至两条供电线的两个供电端(V-、V+)，第一检测器的两个输出端(O1、O2)连接至第二检测器的两个输入端(I1、I2)，并且第二检测器的两个输出端(O1、O2)直接地或经由安全模块间接地连接至用于控制要保护的应用的部件(K1、K2)，以便形成检测链；

每个检测器的安全逻辑输出(OUT)，取决于所述检测器的监督状态而被激活，

其特征在于：

第一检测器包括诊断输出接口(DOut)，并且第二检测器包括仅连接至第一检测器的诊断输出接口(DOut)的诊断输入接口(DIn)及诊断输出接口(DOut)，以便形成诊断线；

第一检测器包括用于生成包括它的监督状态的诊断信息的装置、及用于在诊断线上向第二检测器发送此诊断信息的装置；

第二检测器被设计为通过在所接收的诊断信息中插入它的监督状态来丰富所接收的诊断信息；以及

系统包括诊断模块(MD)，该诊断模块(MD)连接至第二检测器的诊断输出接口(DOut)，并且旨在接收诊断信息、解释它、并且控制应用的开启。

2.根据权利要求1所述的系统，其特征在于，诊断信息采取诊断帧的形式，诊断帧包括起始位(St)、其每个反映检测链中的每个检测器的监督状态的一个或更多个位、及停止位(Sp)。

3.根据权利要求1和2中的任何一个所述的系统，其特征在于，链中的检测器被设计为实施初始化阶段，使得能够确定检测链中的哪个检测器是第一检测器，此检测器旨在生成诊断信息。

4.根据权利要求3所述的系统，其特征在于，每个检测器包括用于存储在链中它相对于第一检测器的位置的装置。

5.根据权利要求1和2中的一个所述的系统，其特征在于，检测链中的第一检测器被设计为发射通过所设置的规律时间间隔(Td)而彼此分开的诊断帧。

6.根据权利要求1所述的系统，其特征在于，每个检测器被设计为当它在所设置的时间间隔(Tt)中没有接收到诊断帧时发起所谓的超时过程，在超时过程中它生成所谓的超时帧。

7.根据权利要求6所述的系统，其特征在于，生成超时帧的检测器被设计为将它的安全逻辑输出去激活，以防止应用的开启直到它被重启为止。

8.根据权利要求6和7中的任何一个所述的系统，其特征在于，触发超时过程的时间间隔对于链中的每个检测器是不相同的。