CN105765470A - 具有可配置输入的安全控制系统 - Google Patents

Abstract

用于开启及安全地关闭至少一个致动器的安全控制系统(10)，包括用于评估安全变送器的输入信号(58)以及用于生成输出信号的至少一个输入模块(20)，以及用于根据输入模块(20)的输出信号对至少一个致动器进行安全致动的至少一个输出模块(30)。输入信号(58)具有根据安全变送器的种类的不同信号参数(72)。此外，安全控制系统包括具有存储器的设置单元(70)，存储器中存储用于输入模块(20)的信号参数(72)，并且输入模块(20)根据信号参数(72)评估输入信号(58)。

Description

具有可配置输入的安全控制系统

本发明涉及用于开启及安全地关闭至少一个致动器的安全控制系统，其包括用于评估安全变送器的输入信号且用于生成输出信号的至少一个输入模块和用于根据输入模块的输出信号来使致动器安全致动的至少一个输出模块。

例如，根据编号为21256-DE-04的操作说明“PSSuniversal,可编程控制系统系统说明”，申请人已知这样的安全控制系统。

因此，在本发明的上下文中，安全控制系统优选地为具有至少一个输入模块和一个输出模块的模块化装置。输入模块从连接的安全变送器例如光屏障、光幕、紧急停止按钮或防护门开关接收输入信号并且经由逻辑链接根据输入信号来生成输出信号。响应于输出信号，输出模块驱动致动器，致动器根据输入信号实现目标动作或环境中的响应，例如以便关闭在操作期间造成危险的机器如压机或焊接机器人，或者使该机器进入安全状态。

安全变送器分为两种安全变送器。第一种安全变送器是被动式安全变送器，其本身不生成输入信号。被动式安全变送器以静态电势或时钟信号的形式从外部源通常从安全控制系统接收测试信号，并且如果安全变送器指示安全状态则将测试信号未改变地发送至评估安全控制系统。如果状态改变，例如由于安全变送器已经被致动，则安全变送器中断信号流。安全控制系统基于信号的缺失来检测状态的改变。

例如，一个被动式安全变送器为具有常闭触点的双通道紧急停止开关。在该上下文中，常闭触点指的是待切换的信号路径在通常的非致动状态下是闭合的。因此，在非致动状态下，在输入侧路由至安全变送器的测试信号未改变地呈现在其输出端。从安全变送器的外输信号转而是评估安全控制系统的输入信号，使得在正常操作期间输入信号总是施加至安全控制系统。一旦紧急停止开关被致动，则信号流被中断并且输入信号缺失。因此，安全控制系统可以关闭待监视的机器或者使其进入安全状态。

此外，已知反效双通道安全变送器是被动式安全变送器的形式，其具有正链接的一个常闭触点和一个常开触点，而非两个常闭触点。常开触点与常闭触点相反，即，在常开触点中，信号路径通常断开并且仅在开关被致动时闭合。因而，在反效双通道安全变送器中，在每一状态中一个信号路径闭合且另一信号路径断开。在这种情况下，安全控制系统在以下情况下检测到状态改变：在先前没有信号存在的输入处存在信号；而在第二输入处没有信号。

已知主动式变送器是另一种安全变送器。主动式变送器自动生成表示其相应状态的输入信号。主动式变送器通常是更为复杂的安全变送器如光屏障和光幕，主动式变送器也被称为输出信号切换装置(OSSD)，主动式变送器的用于安全控制系统的输入信号被称为OSSD信号。OSSD通常具有其自身的用于评估监视部件以及用于生成OSSD信号的电子单元。如被动式安全变送器一样，相关联的安全控制系统以输入信号缺失或改变来检测主动式安全变送器的状态改变。

在被动式安全变送器和主动式安全变送器两者中，表示安全变送器的状态的输入信号通常是静态电势，该静态电势优选地叠加有测试脉冲，以便能够在连接安全变送器时检测故障以及信号线上的短路和交叉短路。另外，通过测试脉冲还可以执行关闭测试。通常通过安全控制系统生成时钟信号，并且在被动式安全变送器的情况下将时钟信号直接叠加在输入信号上，或者在主动式安全变送器的情况下将时钟信号间接叠加在输入信号上。通过在输入处读取回时钟信号，安全控制系统可以针对该任何可能的故障而关闭。

在被动式安全变送器的情况下，通常直接发生与动态时钟信号的叠加，因为被发送至安全变送器的测试信号已经具有时钟。在自动生成输入信号的主动式安全变送器的情况下，可以根据特定方案自生成或者外部地触发动态时钟信号。外部触发经由安全变送器处的单独的测试输入而发生，在该单独的测试输入处可以馈入时钟，安全变送器可以基于该时钟在输入信号上附加测试脉冲。

为了将不同类型的安全变送器连接至一个安全控制系统，可想到给每种安全变送器提供特定的输入模块。可替选地，可以采用在输入端处具有滤波器的输入模块，该滤波器允许使不同类型的安全变送器连接至一个输入模块。滤波器抑制测试脉冲，使得静态信号可以用于逻辑评估。然而，这必然导致评估整体延迟；因而，安全控制系统的响应时间增加。

此外，已知以下输入模块，其具有不同的输入并且取决于这些输入的配置根据所连接的安全变送器的类型而关闭。例如，在DE19707241C2中描述了这样的安全开关装置。然而，这些装置的缺点在于，输入模块也具有输入，使得连线更为复杂且容易出错。另外，通过这些输入模块可能仅覆盖有限数量的不同安全变送器类型。

因此，本发明的目标是提供一种更好的安全控制系统，其可以更灵活地且经济地用于多种安全变送器。

根据本发明的一个方面，该目标通过初始指定的类型的安全控制系统来实现，其中输入信号根据安全变送器的类型具有不同的信号参数，其中安全控制系统包括具有存储器的设置单元，存储器中存储用于输入模块的信号参数，其中输入模块根据信号参数来评估输入信号。

根据本发明的另一方面，该目标通过用于开启及安全地关闭至少一个致动器的方法来实现，该方法包括如下步骤：

-提供用于根据要监视的安全关键过程生成输入信号的安全变送器；

-提供具有至少一个输入模块和一个输出模块的安全控制系统；

-将根据安全变送器的类型的输入信号的信号参数存储在安全控制系统的设置单元中；

-根据存储在设置单元中的信号参数经由输入模块评估输入信号；

-根据评估生成输出模块的输出信号；

-根据输出信号经由输出模块对致动器进行致动。

因而本发明的一个想法是使安全控制系统特别是输入模块是可配置的，使得可以执行对所连接的安全变送器的单独调节。为此，安全控制系统在输入模块自身中或在中央头单元中具有其中存储有信号参数的设置单元。信号参数是通过其可以描述输入信号的特征的信息，例如，物理描述变量如信号的幅度、相位或频率。另外，信号参数也可以包含描述信号变送器所引起的信号改变的相对信息。

例如，设置单元可以是可编程存储器，参数值可以作为变量存储在该可编程存储器中。编程可以通过对安全控制系统的用户输入而手动地进行或通过加载外部数据来进行。可替选地，也可以经由连接的安全变送器将信号参数传送至安全控制系统。

可存储的信号参数描述连接的安全变送器的输入信号并且可以被输入模块用于评估。因而，可以对预期的输入信号更准确地调节评估。安全控制系统的响应时间基本上由信号传播时间决定，即，从安全变送器的致动直至输出信号的触发和连接的致动器的切换所需的时间段。因而信号传播时间由所涉及的部件的各处理时间的总和得到。虽然电子部件的处理时间在安全变送器和安全控制系统中由各自的传播延迟(通常在几纳秒的范围内)决定，但是输入端处的输入信号的评估的时间由于输入滤波器和评估容限而显著较高。然而，如果安全控制系统已知预期的输入信号，则可以针对输入信号调节输入滤波器或者甚至可以省略输入滤波器。类似的，对于阈值检测，可以减小安全检测输入信号的特定值的各容限范围。因而评估更为可靠且尤其更快，使得安全控制系统的可用性和响应时间整体提高。

特别有利的是，可以将来自不同制造商的安全变送器与新的安全控制系统一起使用。可以将所有市售的安全变送器连接至新的安全控制系统。因此，安全控制系统整体上变得更为灵活。特别地，可以在现有系统的情况下容易地改造这样的安全控制系统。

除了对安全变送器的状态的准确评估之外，叠加的测试信号也可以有利地被检测和详细评估。因此，也可以使用先前要求特定输入模块的安全变送器。特别地，可以在新的安全控制系统上使用独立于控制单元地将测试信号施加至输入信号的主动式安全变送器，而不必使用特定的、通常专属的输入模块。

因而完全实现了前述目标。

在另一实施方式中，输入信号是具有测试脉冲的动态时钟信号，其中第一参数表示测试脉冲之间的测试周期而第二信号参数表示测试脉冲持续时间。

在该实施方式中，输入信号是以规律周期施加有测试脉冲的动态时钟信号。测试脉冲优选地是在确立的测试周期内重复的具有限定脉冲持续时间的矩形脉冲。优选地，测试周期和测试脉冲持续时间被存储为信号参数，使得在评估期间，知道在输入端处何时发生测试脉冲并且测试脉冲持续多久。一方面，因而可以确保输入端处的状态改变不被错误地认为是安全状况的状态改变，并且另一方面，可以检验测试脉冲是否以预期间隔和预期的持续时间发生。如此，可以发现接线错误、安全变送器中的错误、或信号线上的交叉短路/短路。

在另一实施方式中，输入模块具有用于连接安全变送器的第一输入端和用于连接另外的安全变送器的第二输入端，其中可以将第一组信号参数存储在设置单元中以用于安全变送器，并且可以将第二组信号参数存储在设置单元中以用于另外的安全变送器。

在该实施方式中，用于安全变送器的信号参数因此被组合为一组。此外，输入模块可以具有多个输入端，针对该多个输入端存储有不同参数组。如此，单个输入模块可以同时处理不同安全变送器的不同信号。优选地，输入模块还具有不同的时钟输出，经由不同的时钟输出，可以在输出端处将不同的时钟信号施加至安全变送器。输入模块的灵活性通过另外的输入端被进一步提高。

在另一实施方式中，安全控制系统具有用于提供测试信号的至少一个测试输出端，其中安全变送器根据测试信号生成具有延迟时间Δt的输入信号，其中延迟时间Δt是信号参数中的参数。

在该实施方式中，至少一个安全变送器具有用于接收测试信号的测试输入端，通过测试信号可以校验安全变送器的功能能力。例如，可以将测试脉冲周期地发送至传感器作为测试信号。安全变送器优选地以安全变送器生成的输入信号上的相似脉冲对测试脉冲进行响应。取决于传感器类型，安全变送器的响应可能延迟延迟时间Δt。Δt的值与信号参数一起存储在设置单元中并且在评估期间被考虑。如此，也可以更安全且准确地评估例如经由外部触发的测试来自主动式安全变送器的输入信号。

在另一实施方式中，安全变送器经由具有特定特性的电线连接至安全控制系统，其中信号参数具有表示该特定特性的另外的参数。

例如，特定特性包括所使用的线缆类型、线缆长度、或电线的以任何方式改变或影响输入信号的其他值。如此，可以对安全变送器进行更为准确的调节，其不仅根据信号变送器，而且根据特定于应用的特性。特别地，电线的电容效应可以强烈地影响输入信号并且延迟安全评估。如果对于评估已知电容效应，则可以例如经由输入滤波器相应地调节评估时间。

在另一实施方式中，安全控制系统具有配置系统，该配置系统具有用于配置设置单元的通信接口，其中可以经由通信接口将一组信号参数传送至设置单元。

可以经由配置系统利用信号参数对设置单元编程。优选地，可以在外部系统例如PC上编辑一组信号参数，然后作为块传送至一个或多个安全控制系统。网络或总线连接可以用作通信接口。可替选地，通信接口也可以被设计为用于便携式存储介质的读取器。通过配置系统可以实现安全配置。

特别优选地，将用于安全变送器的一组参数存储在传感器定义文件中，其中传感器定义文件包括具有特定于安全变送器的参数的传感器数据部分和具有特定于应用的参数的应用数据部分。

如此，取决于传感器的数据和取决于应用的数据被彼此单独地存储并且仅对于特定应用情况合并。这具有如下优点：特定于应用的参数必须仅在调试期间被指定，而用于安全变送器的数据(电子数据表)优选地可以从库中提供。因此，一方面设置变得更简单，而且另外还更安全，原因是不可能输入传感器的错误参数。

特别优选地，传感器定义文件还具有单独的校验和，配置系统基于校验和来认证传感器定义文件。如此，传感器定义文件被保护免受可能导致安全控制系统的错误配置的修改。

此外，在特别优选的实施方式中，配置系统具有用于校验真实性的校验算法，校验算法相对于传感器数据部分校验应用数据部分。借助于真实性校验，校验用户输入的特定于应用的参数是否与特定于传感器的参数进行匹配。真实性校验例如可以包含确保所使用的线缆长度不超过针对安全变送器确立的限定值的验证。类似地，通过真实性校验可以确保配置对应于适当的安全水平。此外，在配置期间的早期阶段可以检测互连错误并且排除互连错误。因而安全控制系统及其配置更安全且更不容易出错。

在附图中示出并在下面的描述中更详细地描述本发明的示例实施方式。在附图中：

图1示出了新的安全控制系统的优选示例实施方式的简化表示，

图2示出了不同类型的安全变送器的示意性表示，

图3示出了新的安全控制系统的示意性表示，

图4示出了新的安全控制系统的配置的示意性表示。

图1描绘了附图标记为10的整个新的安全控制系统的一个示例实施方式。所描绘的示例实施方式是此处用于保护技术系统12的安全控制系统。在该实施例中，技术系统12是自动化机器人14，通过光幕16限定自动化机器人14的危险区以用于保护人员。此外，通过附图标记18指示紧急停止开关，经由该紧急停止开关，可以在危险情况下关闭机器人。

光幕16和紧急停止开关18各自连接至安全控制系统10的输入模块20。紧急停止开关18的连接经由第一线路22和经由第二线路24被建立。光幕16经由单个线路26连接至输入模块20。

光幕16和紧急停止开关18是不同类型的安全变送器。光幕16是主动式安全变送器而紧急停止开关18是被动式安全变送器。如所示，安全变送器一方面在连接类型上不同，另一方面在要监视的安全关键过程的状态的信号发送上不同。

光幕16是所谓的OSSD装置。其被设计成自动地生成指示光幕的每个状态的信号。如果光幕为正常工作，即，与用于确定安全关键状态有关的光线28未被物体或人中断，则光幕16经由线路26向安全控制系统发送所定义的输入信号。由主动式安全变送器生成的信号通常被称为OSSD信号，并且相应的线路被称为OSSD线路。优选地，OSSD信号被冗余地从安全变送器发送至安全控制系统10。OSSD线路26因此优选地被设计成具有两个通道，其中这通常经由具有多个线的线路进行，多个线中每个线发送单个通道的信号。在另一示例实施方式中，光幕16还可以具有用于接收测试信号的测试输入端，经由该测试输入端，OSSD信号被以有针对性的方式影响，如下面更详细地解释的。测试信号尤其可以用于检测单个线路的两个线之间的交叉短路。

紧急停止开关18是不自动生成信号的被动式安全变送器。相反，优选地通过安全控制系统向被动式安全变送器提供外部测试信号，其中被动式安全变送器在输出侧提供该信号作为输入信号。在所描绘的示例实施方式中，信号经由线路22被路由至紧急停止开关18。此处，紧急停止开关18具有两个常闭触点，其在非致动状态下将信号从线路22路由至线路24。经由线路24，测试信号由此作为输入信号返回至输入模块20。如果紧急停止开关18被致动，则常闭触点被打开，并且从线路22至线路24的信号流被中断。

光幕16和紧急停止开关18二者由此示出其所表示的向输入模块20发送或不发送输入信号的状态。在这种情况下，优选地通过输入信号的不存在来表示安全关键状态。

如果来自两个安全变送器16、18之一的输入信号不存在，则安全控制系统可以去激活机器人14或者使其进入无危险状态。在本示例实施方式中，出于此目的，安全控制系统10具有输出模块30，两个接触器32连接至输出模块30。接触器32的触点34串联连接在机器人14的电源36中。如果两个接触器32均被激活，则机器人14被提供电流。

如果在输入模块20之一处不存在安全变送器16、18的输入信号，则安全控制系统10经由输出模块30启动接触器32的去激活，使机器人14与电源36断开连接。

安全控制系统10也可以经由头模块38连接至此处没有更详细描绘的上级控制器。与上级控制器的连接可以经由通常使用的用于标准控制功能的现场总线系统或经由特定安全总线如申请人针对安全相关功能销售的安全总线P来进行。头模块38由此包括至少一个中央处理单元和用于通信的接口。

下面基于图2a、图2b和图2c更详细地说明各种类型的安全变送器。

图2a示出了连接至输入模块20的被动式安全变送器40的示意性表示。被动式安全变送器40可以是例如根据图1的根据示例实施方式的紧急停止开关18。此处，输入模块20具有第一评估单元42a和第二评估单元42b。这些评估单元优选地是被设计成冗余地评估输入信号的两个微控制器。可替选地，评估也可以经由不同的信号处理单元来执行。评估单元42a、42b被设计成使得其能够彼此监视，如双箭头44所示。由于监视44以及评估单元42a和42b优选地不同设计，当评估输入信号时可以确保非常高水平的安全性。

输入模块20具有测试输出端46。经由测试输出端46通过评估单元42a、42b提供测试信号48。此处，测试信号48是静态电势，通过以间隔T(所谓的测试周期)使测试信号中断测试脉冲持续时间d而使测试信号48为动态。测试信号48被安全变送器输入端50接收，并经由常闭触点52(此处通过虚线示出)路由至安全变送器输出端54。安全变送器输出端54连接至输入模块20的输入端56，以便测试信号48直接且未改变地呈现为输入端56处的输入信号58。

由于安全变送器输入端50与安全变送器输出端54之间经由常闭触点52直接连接，所以在输入端56处通常存在与测试输出端46处存在的信号相同的信号。因此，评估单元42a、42b可以直接从测试信号48得出输入信号56的预期信号轮廓。图2a示出了测试信号48和输入信号58的理想化信号轮廓。以理想方化式描绘的开启沿和关闭沿实际上不突然上升和下降，而是分别伴有延迟，其中延迟可以是描述输入信号的信号参数之一的斜坡或边沿斜率的形式。

图2b示出了另外的输入模块20，其也包括冗余评估单元42a、42b、以及测试信号输出端46和输入端56。如图2a中所示，经由测试信号输出端46提供具有测试周期T和测试脉冲持续时间d的测试信号48。在这种情况下，所连接的安全变送器是主动式安全变送器60。主动式安全变送器60可以例如是根据图1的示例实施方式的光屏障或光幕。相比于被动式安全变送器40，主动式安全变送器60具有信号变送器单元62，其自动地生成输入信号58并在安全变送器输出端54处提供该信号。

在根据图2b的示例实施方式中，主动式安全变送器60在测试输入端64处接收输入模块的测试信号48。测试信号48被提供至信号变送器单元62，以便信号变送器单元62能够在生成输入信号58的过程中考虑测试信号48。在根据图2b的示例实施方式中，信号变送器单元62向输入信号58传递测试脉冲66。输入信号58上的测试脉冲66由此理想地具有相同的测试周期T和相同的测试脉冲持续时间d。然而，输入信号的测试脉冲66可以相对于测试信号48的测试脉冲66移位延迟时间Δt。延迟时间可以例如由通过信号变送器单元62的信号处理造成。由于延迟时间Δt，评估单元42a、42b不能直接从测试信号48得出输入信号58的信号轮廓。

在新的安全控制系统中，延迟时间Δt可以被存储为此处未描绘的设置单元中额外的信号参数。评估单元42a、42b可以读取该值并在评估期间考虑该值。由此，评估单元42a、42b可以直接被调节至输入信号，借此使评估加速，这是因为不必确立另外的容限范围。

图2c示出了主动式信号变送器60至输入模块20的另外的连接选项。在该示例实施方式中，输入模块20的测试输出端46没有被连接。在安全变送器输出端54与输入模块输入端56之间仅存在一个连接。主动式安全变送器60借助于信号变送器单元62自动地生成输出信号58。在这种情况下，信号变送器单元62自动地将测试脉冲66’调制到输入信号58上。具有测试脉冲持续时间d_A的测试脉冲66’以周期T_A重复。由此与输入模块20无关地生成测试脉冲66’。因此，评估单元42无法使用基准变量来评估输入信号58。在新的安全控制系统中，周期T_A和/或测试脉冲持续时间d_A的值可以被存储。评估单元42a、42b可以访问这些值并相应地评估输入信号58。

图2a至图2c中所示的安全变送器40、60的示例实施方式可以不管其生成的不同的输入信号而全部被连接至新的安全控制系统。为此目的，每个安全变送器的特定信号参数被用户存储在设置单元中并被提供至相应的输入模块。通过调节信号参数，可以以可变方式对于不同的安全变送器调节输入模块。在这种情况下，不同组信号参数也可以被存储在用于多个输入模块的设置单元中。

应理解，信号参数不限于所示实施例。除了上述实施例外，也可以使用描述输入信号58的其他信息作为信号参数。除了绝对信息之外，相对信息或加权因子也是可以想到的。信号参数也不限于安全变送器的影响，而是也可以包括描述输入信号的其他参数，例如馈送线路的电容和/或电阻的值。

图3示意性描绘了新的安全控制系统10的结构和功能。不同的安全变送器40、60可以连接至安全控制系统10。此处，示出附图标记为40的表示被动式安全变送器的紧急停止开关。此处，附图标记60表示主动式安全变送器，如光幕所指示的。安全变送器40、60将其输入信号58发送至安全控制系统10。安全控制系统10也可以具有至安全变送器的输出连接，出于清楚起见在此省略。

此处，安全控制系统10具有至少一个输入模块20和一个输出模块30。如下面更详细地描述的，输入模块20评估输入信号58并根据输入信号58提供输出信号68。基于输出信号68，输出模块驱动技术系统12并可能地将其关闭或使其为安全状态。

安全控制系统10具有设置单元70，用于输入信号58的评估的信号参数72被存储在设置单元70中。信号参数72是描述输入信号58的信号轮廓的值。经由信号参数72对输入信号58的描述不必是完整的，而是可以仅限于准确地和以故障安全方式评估输入信号所必要的参数。

在这种情况下，信号参数72优选地由特定于安全变送器的部分74和特定于应用的部分76构成。特定于安全变送器的部分包括仅为安全变送器的函数的信号参数72。这尤其可以是信号/安全变送器类型、测试周期、测试脉冲持续时间、延迟时间Δt、和/或输入滤波时间。优选地，特定于安全变送器的部分74被存储在所谓的电子数据表中。

特定于应用的部分包括作为连接拓扑的函数的信号参数72。这些连接拓扑可以是例如线路的线缆类型或线缆长度，安全变送器40、60经由该线路连接至安全控制系统10。特定于应用的部分因此包括与安全变送器40、60无关地影响输入信号58的那些参数。

特定于安全变送器的部分和特定于应用的部分优选地在传感器定义文件78中被合并。这可以在外部配置系统(此处由PC80指示)上进行。经由配置系统80，用户可以优选地借助应用接口录入特定于应用的数据并将其与安全变送器的电子数据表连接。在这种情况下，电子数据表优选地被存储在库中，以便在设置安全变送器时输入错误可以被消除。由配置系统80生成的传感器定义文件78可以包括特定于安全变送器的部分和特定于应用的部分，并可以经由通信接口82传送至设置单元70。通信接口82可以经由有线或无线传送来实施。可替选地，也可以经由手动传送，例如借助便携式存储介质，来建立通信接口。

可替选地，特定于安全变送器的部分和特定于应用的部分也可以被分开提供并仅在安全控制系统中合并。例如，特定于安全变送器的参数以电子数据表的形式传送至安全控制系统，而特定于应用的参数直接在安全控制器处设置。在这种情况下，在“故障安全”系统中安全地进行安全关键参数的每个传送，如基于图4通过实施例的方式更详细地说明的。

图4示意性描绘了可以如何将信号参数72传送至新的安全控制系统的设置单元70。如基于图1至图3的示例实施方式所描述的，此处由附图标记40、60指示的主动式安全变送器或被动式安全变送器与安全控制系统10交互。特定于安全变送器的数据被合并到电子数据表84中。

电子数据表被安全地传送至配置系统80。为了确保传送，电子数据表84可以具有校验和，基于该校验和，配置系统80可以校验电子数据表84是否在没有修改的情况下被传送。可替选地，电子数据表84也可以在存储在配置系统的存储器中的库中得到，从而安全传送不是必需的。

特定于应用的数据76也在配置系统80上被提供，优选地经由配置系统80处的用户直接输入。配置系统80将特定于应用的数据76和电子数据表84的特定于安全变送器的数据合并到传感器定义文件78中。在合并时，配置系统80还进行真实性校验。基于该真实性校验，配置单元80校验用户输入的特定于应用的数据76和电子数据表的特定于安全变送器的数据是否导致安全控制系统10的有效配置。随后，传感器定义文件78被经由安全连接传送至安全控制系统10并存储在设置单元70中。

在替选示例实施方式中，配置系统80也可以被集成到安全控制系统10中。为此目的，安全控制系统优选地具有输入单元，经由该输入单元可以进行特定于应用的数据和/或特定于安全变送器的数据的输入。在另外的实施方式中，特定于应用的数据也可以与特定于安全变送器的数据单独地提供，例如，特定于安全变送器的数据被从安全控制系统外部提供而特定于应用的数据被在安全控制系统处直接输入。

可替选地，也可以将网络连接或者用于便携式存储介质的接口考虑为通信接口82。另外，除了上述校验及评估外，其它方法也可以用于可靠的传输和验证。

Claims (11)

1.一种用于开启及安全地关闭至少一个致动器的安全控制系统(10)，包括用于评估安全变送器的输入信号(58)以及用于生成输出信号的至少一个输入模块(20)，以及用于根据所述输入模块(20)的所述输出信号对所述致动器进行安全致动的至少一个输出模块(30)，

其中，所述输入信号(58)具有根据安全变送器的种类而不同的信号参数(72)，其中，所述安全控制系统包括具有存储器的设置单元(70)，在所述存储器中存储用于所述输入模块(20)的所述信号参数(72)，其中所述输入模块(20)根据所述信号参数(72)评估所述输入信号(58)。

2.根据权利要求1所述的安全控制系统，其中所述输入信号(58)是具有测试脉冲(66)的动态时钟信号，并且其中第一信号参数表示所述测试脉冲之间的测试周期并且第二信号参数表示测试脉冲持续时间。

3.根据权利要求1或权利要求2所述的安全控制系统，其中所述输入模块(20)具有用于连接所述安全变送器的第一输出端和用于连接另外的安全变送器的至少一个第二输入端，其中第一组信号参数可存储在所述设置单元(70)中用于所述安全变送器，并且第二组信号参数可存储在所述设置单元(70)中用于所述另外的安全变送器。

4.根据权利要求1至权利要求3之一所述的安全控制系统，其中所述安全控制系统具有用于提供测试信号(48)的至少一个测试输出端(46)，并且所述安全变送器根据所述测试信号(48)生成具有延迟时间Δt的输入信号(58)，其中所述延迟时间Δt是所述信号参数(72)中的参数。

5.根据权利要求1至权利要求4之一所述的安全控制系统，其中所述安全变送器经由具有特定特性的电线(22)连接至所述安全控制系统，其中所信号参数(72)具有表示所述特定特性的另外的参数。

6.根据权利要求1至权利要求5之一所述的安全控制系统，其中所述安全控制系统具有配置系统，所述配置系统具有用于配置所述设置单元(70)的通信接口(82)，可经由所述通信接口将一组信号参数(72)传送至所述设置单元(70)。

7.根据权利要求6所述的安全控制系统，其中所述信号参数(72)被针对所述安全变送器组合成组并且被存储在传感器定义文件(78)中，其中所述传感器定义文件包括具有所述安全变送器的特定于安全变送器的参数的传感器数据部分(74)和具有特定于应用的参数的应用数据部分(76)。

8.根据权利要求7所述的安全控制系统，其中所述传感器定义文件具有单独的校验和，并且所述配置系统(80)基于所述校验和来认证所述传感器定义文件(78)。

9.根据权利要求6至权利要求8之一所述的安全控制系统，其中所述配置系统具有用于校验真实性的至少一个校验算法，所述校验算法针对传感器数据部分校验所述应用数据部分(76)。

10.一种用于开启及安全地关闭至少一个致动器的方法，包括步骤：

-提供安全变送器(40，60)，所述安全变送器用于根据要监视的安全关键过程生成输入信号(58)；

-提供安全控制系统(10)，所述安全控制系统具有至少一个输入模块(20)和一个输出模块(30)；

-将根据安全变送器(40，60)的类型的所述输入信号(58)的信号参数(72)存储在所述安全控制系统(10)的设置单元(70)中；

-根据所述设置单元(70)中存储的所述信号参数(72)经由所述输入模块(20)评估所述输入信号(58)；

-根据所述评估生成所述输出模块(30)的输出信号(68)；

-根据所述输出信号(68)经由所述输出模块(30)对所述致动器进行致动。

11.根据权利要求10所述的方法，包括另外的步骤：

-检测传感器定义文件(78)中的安全变送器(40，60)的信号参数(72)；

-确定所述传感器定义文件(78)的校验和；

-将所述传感器定义文件(78)传送至所述安全控制系统；

-基于所述校验和来认证所述传感器定义文件(78)。