CN113820946A - 安全相关控制系统 - Google Patents

Abstract

安全相关控制系统包括经由现场总线连接的至少一个安全传感器单元和安全执行器单元以及编程装置。通过安全传感器单元提供用于连接安全传感器与现场总线的传感器接头，其中将其与安全线相关联。编程装置显示可用的安全线，并且接收用户输入，其中用户输入将至少一个选择的安全线与可通过安全执行器单元实施的选择的安全反应相关联。编程装置将选择的安全线和选择的安全反应之间的关联作为安全配置存储在安全执行器单元中。通过安全传感器单元借助发送线激活信号可以独立激活安全线。安全执行器单元经由现场总线直接从安全传感器单元接收线激活信号，并且在接收激活的安全线的线激活信号时，独立实施针对激活的安全线存储在安全配置中的安全反应。

Description

安全相关控制系统

技术领域

本发明涉及一种安全相关控制系统和一种用于运行安全相关控制系统的方法。

背景技术

安全相关控制系统在方法和自动化技术中用于保护带来危险的设备部件，并且因此防止人或材料受损。为此，通常使用所谓的安全功能，该安全功能借助安全相关传感器、例如借助紧急切断按键、光栅等触发。在实施安全功能的情况下，带来危险的设备部件被转换到安全状态，例如停止运转或在排除危险的安全的参数范围内运行。借助安全功能转换到安全状态在此表示安全相关反应或安全反应。

通常以这种受保护的方式实施安全功能，即故障情况导致自动回到带来危险的设备部件的安全状态。在不同的国家和国际标准中规定了允许的安全功能及其设计方案。

为了实施安全功能，安全相关控制系统通常除了安全相关传感器以外还具有安全相关执行器，安全相关执行器实施安全反应。这种执行器例如可以被构造为中断向带来危险的设备部件的能量输入的接触器，或被构造为受保护的驱动器，所述驱动器将带来危险的设备部件的位置和/或运动受保护地限制在安全的参数范围内。此外可以通过驱动器实施的安全反应例如是不受控的停止运转(STO-safe torque off也即安全力矩关闭)、具有安全受限的速度(SLS-safely limited speed)的运行、或安全调节的停止运转(safestop)。

安全相关传感器和用于实施安全功能的执行器的信号技术链接此外借助固定布线的安全继电器实现，其中，各个执行器分别借助单独的线路与用于触发的传感器连接。然而，这种解决方案是非常不灵活的，并且导致高的布线费用。此外，设备只能以高的费用被划分为具有不同的安全要求和安全反应的区域。

除了固定布线的安全继电器以外，还可以使用专用的安全控制装置，所述专用的安全控制装置例如经由现场总线与设备或设备区域的安全相关传感器和执行器连接，并且基于通过安全相关传感器提供的输入信号的逻辑链接来控制安全相关执行器。这种安全控制装置通常需要复杂的编程和对逻辑链接的验证。此外，在一方面中央安全控制装置与另一方面安全相关传感器和执行器之间的数据传输需要具有足够大的带宽的通信通道。

发明内容

本发明所要解决的技术问题在于，除了别的之外如下地改进一种安全相关控制系统和一种用于运行安全相关控制系统的方法，使得可以简单和安全地配置并且实施安全功能。

该技术问题通过根据本发明的安全相关控制系统和用于运行安全相关控制系统的方法来解决。扩展方案分别在从本发明中说明。

说明了一种安全相关控制系统，其具有经由现场总线相互连接的至少一个安全传感器单元和至少一个安全执行器单元，并且具有编程装置。通过至少一个安全传感器单元提供用于将安全传感器连接至现场总线的传感器接头，其中，将传感器接头与安全线相关联。编程装置被设计用于，经由输出接口向用户显示可用的安全线，并且经由输入接口接收用户的用户输入，其中，用户输入将至少一个选择的安全线与可通过安全执行器单元实施的选择的安全反应相关联。编程装置此外被设计用于，将选择的安全线和选择的安全反应之间的关联作为安全配置存储在安全执行器单元中。通过至少一个安全传感器单元借助发送各个安全线的线激活信号，独立激活与各个传感器接头相关联的安全线。安全执行器单元被设计用于，经由现场总线直接从至少一个安全传感器单元接收线激活信号，并且在接收激活的安全线的线激活信号时，独立实施针对激活的安全线存储在安全配置中的安全反应。

也就是，在这种安全相关控制系统中，连接至现场总线的安全执行器单元的各个安全反应不是通过中央安全控制装置控制，而是由至少一个安全传感器单元借助安全线经由现场总线直接在安全执行器单元中被触发。在此，为了实施安全反应所需的链接逻辑以安全配置的形式分布式存储在安全执行器单元中，并且当安全执行器单元经由现场总线直接从至少一个安全传感器单元接收线激活信号时，安全执行器单元独立地、即在没有中间连接的控制单元参与的情况下实施关联的安全反应。可通过至少一个安全传感器单元经由现场总线激活的安全线因此分别形成安全执行器单元与至少一个安全传感器单元的传感器接头之间的直接的固定的布线或链接，该传感器接头分别与各个安全线相关联。

借助预配置的安全线经由现场总线直接触发安全反应减小了现场总线上的为了实施安全反应所需的带宽，因为针对每个安全线，仅必须经由现场总线传输单个线激活信号，所述线激活信号随后可以直接在原则上任意多的安全执行器单元中触发安全反应。因此例如不需要针对每个由激活的安全线响应的安全执行器单元或针对每个安全反应产生并且经由现场总线传输单独的输出信号。

在要求保护的安全相关控制系统中，通过安全执行器单元的简单的配置可以确定通过安全执行器单元实施的安全反应，其方法是，各个安全线分别与安全执行器单元的安全反应相关联，并且随后作为安全配置存储在安全执行器单元中。就此而言，可以取消耗费地建立控制程序，该控制程序描绘安全相关控制系统的所有的安全反应并且例如是中央安全控制装置所需要的。就此而言，减少了在启动控制系统时的开销和易出错性。此外减少了在持续运行时的维护开销，因为在安全相关控制系统改变时，例如在添加或移除各个安全执行器单元或安全传感器单元时，仅须改变各个配置，而不必改变复杂的控制程序。

经由编程装置的输出接口来输出可用的安全线，并且经由输入接口借助用户输入来对安全反应进行配置以将安全反应和安全线相关联，具有以下技术效果，即提供用户接口，所述用户接口能够实现安全反应的简单的和安全的配置。因此，这种用户接口模拟对于本领域技术人员已经已知的对具有各个安全传感器的安全继电器的单独的布线，并且因此以特别的方式匹配于对于本领域技术人员常用的各个安全电路的设计。这使得即使是没有经验的用户也能够以安全相关的方式快速并且简单地配置控制系统。

例如，经由输出接口显示的安全线模拟各个安全电路，用户可以借助经由输入接口接收的用户输入将安全执行器单元“夹到”该安全电路上。在此，相对于固定布线给出由此扩展的配置可能性，从而可以将安全线与任意的可通过安全执行器单元实施的安全反应相关联。这种安全反应例如也可以包括安全受限的速度(SLS)或安全调节的停止运转(SS1/SS2)，并且因此并不局限于安全的未调节的切断(STO)，在简单的安全继电器中例如是这样的情况。

安全相关控制系统可以除了要求保护的安全执行器单元以外还包括另外的安全执行器单元，所述另外的安全执行器单元与现场总线连接，并且以与要求保护的安全执行器单元相同的方式来配置。在此，编程装置可以针对每个安全执行器单元经由输入接口接收至少一个用户输入，所述用户输入将至少一个安全线与可通过相关的安全执行器单元实施的选择的安全反应相关联，并且安全线和安全反应之间的各个关联可以分别作为安全配置存储在各个安全执行器单元中。在此，与各个安全执行器单元相关联的安全反应可以彼此不同。

要求保护的至少一个安全传感器单元可以具有单个传感器接头或多个传感器接头。尤其在要求保护的至少一个安全传感器单元仅具有单个传感器接头的情况下，但也在所有其他的情况下，安全相关控制系统可以除了要求保护的至少一个安全传感器单元以外还包括另外的安全传感器单元。在此，各个安全传感器单元分别具有至少一个用于将安全传感器连接至现场总线的安全传感器接头，其中，安全传感器例如可以是紧急切断按键、光栅、光格栅、温度传感器等。安全传感器单元随后将安全传感器的传感器信号转换为线激活信号，因此在触发连接至其安全传感器接头的安全传感器的情况下经由现场总线发送与传感器接头相关联的线激活信号。

连接至现场总线的安全传感器单元的各个传感器接头分别可以与不同的安全线相关联。但替换地，连接至现场总线的安全传感器单元的多个传感器接头也可以与单个安全线相关联，从而与连接至多个传感器接头的安全传感器中的哪个被激活无关地，经由现场总线发送与单个安全线相关联的线激活信号。与相同的安全线相关联的传感器接头可以构造在单个安全传感器单元中，或分别构造在不同的安全传感器单元中。

各个传感器接头与安全线的关联在此可以与传感器类型和/或与连接至各个传感器接头的安全传感器的空间布置有关。例如，连接至相同的传感器类型的安全传感器、例如紧急切断按键的所有传感器接头；和/或其安全传感器保护相同的保护区域的传感器接头；和/或构造在相同的安全传感器单元上的传感器接头，可以与相同的安全线相关联。

连接至现场总线的安全传感器单元的各个传感器接头可以分别与刚好一个安全线相关联。替换地，各个传感器接头也可以与多个安全线相关联，从而在激活连接至相关的传感器接头的安全传感器的情况下，经由现场总线发送多于一个线激活信号。

线激活信号可以作为二进制信号经由现场总线被传输。这种二进制的线激活信号以特别简单的和节约数据的方式说明了，是否已激活相关的安全线。

至少一个安全传感器单元可以被构造用于，对通过安全传感器接头接收的安全传感器数据实施故障安全的预处理，以便决定，是否激活与安全传感器接头相关联的安全线，并且是否发送相应的线激活信号。安全传感器数据例如可以是模拟的或数字的数据。安全传感器数据可以在包括多于两个状态的数据区域内改变。例如，安全传感器数据可以是受安全相关控制系统影响的机器的速度或转速。

可以在故障安全的预处理中根据一个标准或根据多个标准、例如根据一个阈值或根据多个阈值来检验安全传感器数据，以确定它们是否位于安全的值范围内，并且当安全传感器数据位于安全的值范围以外时，可以激活安全线。安全的值范围可以例如是受控的机器的预设的允许的速度或转速范围。预处理例如可以如下地以故障安全的方式进行，即冗余地实施该预处理。

对安全传感器数据的故障安全的预处理也可以包括对产生安全传感器数据的电路的故障检验。这种故障检验例如可以包括短路检验或接地故障检验。在该情况下，安全的值范围例如可以通过电路的安全的电阻或阻抗范围形成。故障检验也可以包括在电路中存在的安全传感器的功能检验，其中，安全的值范围通过显示安全传感器的功能性的安全传感器数据形成。

安全执行器单元用于将安全的执行器连接至现场总线，其中，安全的执行器例如可以是驱动器、继电器、阀等。安全执行器单元根据经由现场总线接收的控制信号来控制安全执行器，并且在此在接收线激活信号时将执行器置于安全状态，该安全状态通过与线激活信号相关联的安全反应来定义。

为了实施安全反应，安全执行器单元可以具有故障安全的、例如冗余实施的安全模块。安全模块可以与安全执行器单元的非故障安全的标准模块在安全技术上分离地构造，该标准模块通过安全相关控制系统的标准控制单元来控制。故障安全的安全模块例如可以借助故障安全的硬件和/或借助故障安全的软件来构造。

安全模块可以独立并且与标准模块无关地从至少一个安全传感器单元经由现场总线接收线激活信号。安全模块例如可以具有自身的现场总线地址，和/或借助自身的总线接线连接至现场总线。安全反应可以包含的是，安全执行器单元内的安全模块以故障安全的方式监控通过标准模块输出的输出信号。在输出信号与安全信号参数范围存在对于安全重要的偏差的情况下，安全模块于是可以将相关的输出端置于安全状态，例如切断该相关的输出端。

现场总线可以是基于以太网的现场总线、例如具有实时能力的基于以太网的现场总线、例如SERCOS(serial real time communication specification，串行实时通信协议)现场总线、例如SERCOS III现场总线。现场总线也可以被构造为TSN网络(Time-Sensitive Networking，时间敏感网络)上的UPC UA。

安全传感器单元和安全传感器以及安全执行器单元和安全执行器分别可以构造为故障安全的(fail safe)，例如借助多样性、冗余和/或在使用静态电流原理的情况下构造。可以借助故障安全传输协议、例如借助CIP safety进行线激活信号经由现场总线的传输。故障安全传输协议可以采取措施来保护经由现场总线传输的数据信号、例如时间戳和时间维护、消息ID、安全校验和、冗余消息等。

编程装置可以经由现场总线与安全传感器单元和安全执行器单元连接。在此，编程装置可以直接连接在现场总线中，或通过中央控制单元、例如不安全的标准控制单元与现场总线连接。编程装置可以被设计用于，借助经由现场总线的传输将安全配置存储在安全执行器单元中。

编程装置可以被实施为软件模块，软件模块实施在与现场总线连接的数据处理单元上、例如计算机上。但编程装置也可以作为软件模块实施在控制系统的标准控制单元上。输出接口和/或输入接口可以是物理接口，例如用于连接显示装置、例如屏幕或输入装置、例如键盘。输出接口和/或输入接口也可以是可以借助单独的用户装置通过网络访问的远程访问接口、例如网络接口。

编程装置可以被设计用于，直接经由现场总线查询连接至现场总线的安全传感器单元。然而，编程装置也可以从连接到现场总线的其他的单元、例如不安全的标准控制单元或主动器单元接收关于可用的安全传感器单元的信息。编程装置可以被设计用于，除了可用的安全线以外还经由输出接口显示可通过安全执行器单元实施的安全反应、例如作为与各个安全线链接的选择列表。

根据一种实施方式，可通过安全执行器单元实施的安全反应存储在安全执行器单元中，并且可以由编程装置例如经由现场总线调取，以供用户进行选择。由此，以简单的和安全的方式可以确保的是，用户仅选择也可通过连接的安全执行器单元实施的安全反应。在替换的实施方式中，安全反应也可以存储在编程装置本身中。与存储的位置无关地，安全反应分别可以存储在数据库中。

根据一种实施方式，安全执行器单元的可通过用户输入选择的安全反应存储为可参数化的程序块。将安全反应存储为可参数化的程序块能够特别安全和有效地建立安全配置，因为用户仅能够改变各个参数，并且必须在安全技术上检验各个参数。为了进一步提高安全性可以例如借助校验和来受保护地存储程序块。由此，可以识别和防止对程序块的危害安全的改变。附加地，程序块可以被设计用于，仅在预设的安全的参数范围内进行参数化。在此，可以如程序块本身那样受保护地存储参数范围。

根据一种实施方式，编程装置被设计用于，在选择安全反应之后，经由输出接口向用户显示选择的安全反应的可通过用户改变的配置参数，并且经由输入接口接收另外的用户输入，其中，另外的用户输入给选择的安全反应分派显示的配置参数中的至少一个。这能够实现对安全反应的特别简单和安全的配置。

根据一种实施方式，编程装置被设计用于，经由输入接口接收用于选择连接至现场总线的安全执行器单元的用户输入，并且经由输出接口向用户显示可用的安全线和可通过选择的安全执行器单元实施的安全反应。借助用于选择安全执行器单元的用户输入，例如可以从所有连接至现场总线的安全执行器单元选择该安全执行器单元。这能够实现对安全执行器单元的简单的和清楚的配置。通过在选择之后在输出接口中向用户显示可用的安全线和可通过选择的安全执行器单元实施的安全反应，能够实现安全反应与各个安全线的简单的和无故障的关联，并且进一步减小配置的易出错性。

根据一种实施方式，编程装置被设计用于，经由输入接口接收用于对连接至现场总线的不安全的标准控制单元的不安全的标准控制程序进行编程的用户输入，其中，编程装置此外被设计用于，借助分离的编程模块执行和/或在分离的输出区域中经由输出接口显示对标准控制程序的编程和用于建立安全配置的安全配置实施。

通过也用于安全配置实施的编程装置来对标准控制程序的编程简化了安全相关控制系统的整个配置。通过在分离的编程模块中实施或在分离的输出区域中显示对标准控制程序的编程和安全配置实施，实现对于安全不重要的编程和与安全相关的安全配置实施的分离，并且因此提高在配置整个控制系统时的安全性。

可以借助安全编程模块进行安全配置实施，安全编程模块在安全技术上检验安全反应的选择和/或参数化，并且例如检验和验证用于安全配置实施的可参数化的程序块。分离的输出区域例如可以是分离的显示元件、如窗口、标签等，它们例如只能交替显示。

根据一种实施方式，编程装置被设计用于，仅当编程装置针对每个安全线接收具有用户定义的选择的用户输入时，才将选择的安全反应存储在安全执行器单元中。由此可以确保的是，针对每个安全线，预先确定安全执行器单元的特性，并且在安全相关控制系统运行期间不会出现未定义的状态。用户定义的选择例如可以确定安全反应，或也确定不应当进行安全反应，安全执行器单元因此不应当与相关的安全线链接。

根据一种实施方式，安全传感器单元的一个传感器接头或多个传感器接头与安全线的关联存储在安全传感器单元中。通常，每个单个传感器接头与安全线的关联分别可以存储在包括相关的传感器接头的安全传感器单元中。由此，可靠地并且在不需要用户干预的情况下可以确保的是，每个传感器接头与安全线相关联，在随后的安全配置实施时也显示所述安全线。编程装置可以被构造用于，由安全传感器单元例如经由现场总线、例如直接经由现场总线或经由连接至现场总线并且与编程装置连接的标准控制单元或主动器单元来查询存储的安全线。

通过将传感器接头与安全线的关联存储在安全传感器单元中，还可以以预配置的方式提供和/或交付各个安全传感器单元。安全相关控制系统、安全传感器单元和/或安全执行器单元可以被构造用于，在安全传感器单元和安全执行器单元连接至现场总线之后，独立和自动地、尤其在不需要用户输入的情况下将安全线投入使用。这可以以如下方式实现，即将传感器接头与各个安全线的关联存储在安全传感器单元中，并且将与各个安全线或线激活信号相关联的安全反应作为安全配置存储在安全执行器单元中。

编程装置可以被构造用于，基于用户输入改变存储在安全传感器单元中的在传感器接头与安全线之间的关联。为此，编程装置可以被构造用于，借助明确的标志经由输出接口示出连接至现场总线的安全传感器单元的各个传感器接头。这种明确的标志例如分别可以包括表示安全传感器单元中的一个的子标志和表示相关的安全传感器单元的单个传感器接头的另外的子标志。

安全传感器单元和编程装置可以被构造用于，将存储在安全传感器单元中的、各个传感器接头与安全线的关联经由现场总线传输至编程装置。一旦经由现场总线建立了安全传感器单元和编程装置之间的连接，那么例如可以实现这一点。编程装置可以被构造用于，借助经由现场总线的传输将安全传感器单元的各个传感器接头与安全线的改变的关联存储在相关的安全传感器单元中。例如可以基于例如经由输入接口实现的用户输入进行各个传感器接头与安全线的改变的关联。

安全相关控制系统可以被构造用于，在启动时实施存储在各个安全传感器单元中的、传感器接头与各个安全线的关联和用户定义的、传感器接头与各个安全线的关联之间的比较。这种用户定义的传感器接头与各个安全线的关联也可以被称为线配置。例如可以提前借助编程装置建立了线配置。线配置可以集中存储在安全相关控制系统中、例如连接至现场总线的控制单元中、例如连接至现场总线的标准控制单元中，或与现场总线连接的编程装置中。线配置例如可以存储在控制单元的控制程序中、例如控制单元的标准控制程序中。

如果在比较时确定存储在各个安全传感器单元中的关联与线配置存在偏差，那么可以重新配置存储在各个安全传感器单元中的、各个传感器接头与安全线的关联。例如可以通过控制单元、例如标准控制单元或对现场总线上的通信进行控制的主动器单元进行比较和/或重新配置。在重新配置时，可以将存储在各个安全传感器单元中的关联改变为集中存储在线配置中的、各个安全传感器单元的传感器接头与安全线的关联。

存储在至少一个安全执行器单元中的安全配置也可以包括各个安全传感器单元和/或其传感器接头与各个安全线的关联。安全执行器单元可以被构造用于，经由现场总线，例如通过接收通过安全传感器单元周期性地发送的并且由安全执行器单元所期待的信息，来监控与各个安全传感器单元的通信连接，所述安全传感器单元可以在安全执行器单元中触发安全反应。此外，安全执行器单元可以被构造用于，在与安全传感器单元中的一个的通信连接发生故障时，实施针对可由相关的安全传感器单元触发的安全线存储的安全反应。

根据替换的实施方式，编程装置被设计用于，在连接至现场总线时自动识别各个安全传感器单元，并且将每个识别的安全传感器单元自动分别与一个安全线相关联。在该情况下，也可以在没有存储的传感器接头与各个安全线的关联的情况下实施各个安全传感器单元。在编程装置中的传感器接头与安全线的关联能够实现，将安全线特别灵活地与各个传感器接头相关联，并且例如根据各个连接至现场总线的安全传感器单元或安全传感器实施关联。

根据一种实施方式，至少一个安全传感器单元具有多个用于连接安全传感器的安全传感器接头，其中，每个传感器接头与自身的安全线相关联，并且其中，安全传感器单元被设计用于，在操作各个安全传感器时，分别经由现场总线发送单独的线激活信号。这降低了安全相关控制系统的复杂性和成本，因为单个安全传感器单元可以用于连接多个安全传感器。

根据一种实施方式，安全相关控制系统包括连接至现场总线的另外的安全执行器单元。编程装置在此被设计用于，经由输出接口显示可通过另外的安全执行器单元实施的安全反应，并且经由输入接口接收附加的用户输入，其中，附加的用户输入将选择的安全线与可通过另外的安全执行器单元实施的选择的另外的安全反应相关联。

通过使编程装置被设计用于接收用户输入(其将安全线与一方面安全执行器单元和另一方面另外的安全执行器单元的不同的安全反应相关联)，可以特别灵活地配置安全相关控制系统。例如，安全执行器单元和另外的安全执行器单元可以布置在受保护的设备的不同的保护区域上、例如材料输送设备上和产品卸料设备上，其中，在不同的保护区域中出现不同的危险。在该情况下，可以针对各个保护区域确定分别匹配于危险的安全反应，例如针对直接危险的材料输送设备确定安全的停止运转，并且针对仅间接危险的生产卸料设备确定以安全降低的速度的运行。

例如在事后扩展已经包括安全执行器单元的控制系统的情况下，例如在另外的安全执行器单元第一次连接至现场总线时可以实施配置另外的安全执行器单元。以该方式，控制系统可以简单和灵活地扩展了另外的安全执行器单元。

根据一种实施方式，安全执行器单元被设计用于，实施针对第一安全线存储的安全反应，其具有比针对第二安全线存储的安全反应更高的激活优先级。因此，在同时激活第一和第二安全线时实施具有更高的激活优先级的安全反应、即针对第一安全线存储的安全反应，并且安全地解决冲突。各个激活优先级例如可能与在实施安全反应时还保留的剩余危险有关。因此，与具有更高的剩余危险的安全反应、例如以安全受限的速度的运行相比，可以以更高的激活优先级实施具有更小的剩余危险的安全反应、例如安全的停止运转。

替换地或附加地，控制系统可以被设计用于，以比第二安全线的第二线激活信号更高的传输优先级经由现场总线传输第一安全线的第一线激活信号。由此可以进一步提高控制系统中的安全性。例如可以从与各个安全线相关联的安全反应的激活优先级推导出与各个线激活信号相关联的优先级。如果将第一安全线与具有更高的激活优先级的安全反应、例如安全的停止运转相关联，并且将第二安全线与具有更小的激活优先级的安全反应、例如以安全受限的速度的运行相关联，那么可以以比第二安全线的线激活信号更高的传输优先级来传输第一安全线的线激活信号。

根据一种实施方式，编程装置被设计用于，经由用户接口接收链接用户输入，其中，链接用户输入将可通过安全执行器单元实施的选择的安全反应与逻辑链接相关联，该逻辑链接是选择的安全线与另外的选择的安全线之间的逻辑链接。编程装置被设计用于，将逻辑链接和选择的安全反应作为安全配置存储在安全执行器单元中，并且安全执行器单元被设计用于，在接收选择的安全线和/或选择的另外的安全线的线激活信号时独立评估逻辑链接。

通过多个安全线的逻辑链接，也可以实现复杂的安全反应。逻辑链接可以例如是“和”链接、“或”链接等。在“和”链接中，仅在激活两个安全线的情况下，例如在同时打开保护门并且中断光栅的情况下实施选择的安全反应，而在激活仅一个安全线的情况下，不实施安全反应或其他的安全反应。

根据一种实施方式，控制系统包括连接至现场总线的不安全的标准控制单元，其中，标准控制单元被设计用于，接收安全线的激活信号作为输入数据，并且进行处理，并且其中，在标准控制单元中存储有所有针对安全执行器单元选择的安全反应。标准控制单元此外被设计用于，在接收激活的安全线的线激活信号时，根据针对激活的安全线选择的安全反应来控制安全执行器单元，并且安全执行器单元被设计用于，在独立实施安全反应的范围内，独立安全地监控通过标准控制单元实现的控制。

通过在激活安全线之后通过标准控制单元来控制安全执行器单元，可以为了实施安全反应而使用标准控制单元的资源、例如标准控制单元的逻辑单元，并且相对简单地构造安全执行器单元。为了监控通过标准控制单元对安全执行器单元的非故障安全的控制，安全执行器单元可以具有与标准模块分离实施的安全模块。

根据一种实施方式，控制系统具有主动器单元，其中，主动器单元被设计用于，根据主从方法控制对现场总线的总线访问。安全执行器单元和/或安全传感器单元作为从动器单元连接至现场总线，并且控制系统被设计用于，经由现场总线，在没有安全相关的中间处理的情况下的直接的交叉通信(Querverkehr)中，通过主动器单元将线激活信号从安全传感器单元传输到安全执行器单元。

借助主动器单元，可以确保确定性的总线访问，并且因此例如确保经由现场总线实现的实时的数据传输。通过在没有中间处理的情况下通过主动器单元传输线激活信号，能够实现与激活的安全线链接的安全反应的特别快速的触发。例如可以如下地实现直接的交叉通信，即安全执行器单元或安全执行器单元的安全模块直接从由安全传感器单元填充的现场总线报文中读取线激活信号。替换地，直接的交叉通信也可以包括将来自通过安全执行器单元填充的现场总线报文的线激活信号复制到单独的、由安全执行器单元读取的现场总线报文中，其中，在没有进一步读取或评估线激活信号的情况下通过主动器单元进行复制。

直接的交叉通信也可以借助发布者/订阅者通信来实现，其中，安全传感器单元经由现场总线发送线激活信号，使得安全传感器单元提供线激活信号，用以通过安全执行器单元或通过安全执行器单元的安全模块调取；并且其中，安全执行器单元或安全模块直接经由现场总线接收线激活信号，使得安全执行器单元或安全模块从安全传感器单元独立地调取线激活信号。通过安全传感器单元提供线激活信号，和/或通过安全执行器单元调取线激活信号，例如可以周期性地和/或以确定性的时间间隔进行。替换地，通过安全传感器单元提供线激活信号也可以以事件受控的方式进行，其中，触发提供的事件例如可以是通过关联的传感器接头接收的传感器信号的状态改变。通过TSN上的UPC UA的发布者/订阅者通信例如可以用于交叉通信。

用于运行安全相关控制系统的方法(所述安全相关控制系统具有经由现场总线相互连接的至少一个安全传感器单元和至少一个安全执行器单元，并且具有编程装置)包括以下步骤：

-将通过至少一个安全传感器单元提供的传感器接头与安全线相关联，该传感器接头用于连接安全传感器和现场总线；

-经由编程装置的输出接口显示可用的安全线；

-经由编程装置的输入接口接收用户输入，其中，用户输入将至少一个选择的安全线与可通过安全执行器单元实施的选择的安全反应相关联；

-借助编程装置将选择的安全线和选择的安全反应之间的关联作为安全配置存储在安全执行器单元中；

-通过安全传感器单元通过经由现场总线发送线激活信号，独立激活与安全传感器单元的传感器接头相关联的安全线；

-通过安全执行器单元经由现场总线直接接收来自安全传感器单元的线激活信号；

-在接收线激活信号时，通过安全执行器单元独立实施针对激活的安全线存储在安全配置中的安全反应。

该方法尤其可以用于运行根据本发明的安全相关控制系统。就此而言，结合根据本发明的安全相关控制系统描述的所有技术效果和实施方式也涉及根据本发明的方法，反之亦然。

附图说明

本发明随后根据附图阐述。在此分别在示意图中：

图1示出了安全相关控制系统；

图2示出了控制系统的编程装置的第一用户输出；

图3示出了编程装置的第二用户输出；

图4示出了编程装置的第三用户输出；

图5示出了编程装置的第四用户输出；

图6示出了用于运行安全相关控制系统的方法的第一部分；并且

图7示出了用于运行安全相关控制系统的方法的第二部分。

具体实施方式

图1示出了一种安全相关控制系统1，其具有第一安全传感器单元11、第二安全传感器单元12、第一安全执行器单元21、第二安全执行器单元22和第三安全执行器单元23。安全传感器单元11、12和安全执行器单元21、22、23经由现场总线50相互连接。第一安全元件传感器单元11包括第一安全传感器接头14和第二安全传感器接头15，在第一安全传感器接头14和第二安全传感器接头15上分别连接安全传感器10。第二安全传感器单元12包括单个第三安全传感器接头16和连接在其上的另外的安全传感器10。经由安全执行器单元21、22、23分别将安全执行器20连接至现场总线50，其中，安全执行器20分别被构造为驱动器。

连接至第一安全传感器单元11的安全传感器10用于保护第一保护区域，并且连接至第二安全传感器单元12的安全传感器10用于保护第二保护区域。在第一保护区域内，由连接至第一安全执行器单元21的安全执行器20驱动的机器部件实施带来危险的运动。在第二保护区域内，由连接至第二和第三安全执行器单元22、23的安全执行器20驱动的机器部件实施带来危险的运动。

第一安全传感器单元11被设计用于，当连接至第一传感器接头14的安全传感器10被激活时，经由现场总线50发送用于激活第一安全线30的第一线激活信号，并且当连接至第二传感器接头15的安全传感器10被激活时，经由现场总线50发送用于激活第二安全线31的第二线激活信号。类似地，第二安全传感器单元12被设计用于，当连接至第三传感器接头16的安全传感器10被激活时，发送用于激活第三安全线32的第三线激活信号。

连接至第一安全传感器单元11的第一传感器接头14的安全传感器10被构造为转动传感器，其经由第一传感器接头14将传感器数据传输到第一安全传感器单元11，该传感器数据代表布置在第一保护区域中的机器部件的转速。第一安全传感器单元11实施对转动传感器的传感器数据的故障安全的预处理，并且检验传感器数据是否超出允许的值范围。在超过允许的值范围时，第一安全传感器单元11激活与第一传感器接头14相关联的第一安全线。

连接至第二和第三传感器接头15、16的安全传感器10分别被构造为开关，其经由第二或第三传感器接头15、16将二进制的传感器信号分别发送到安全传感器单元11、12。一旦经由关联的传感器接头15、16接收的二进制的传感器信号用信号通知操作相应的开关，那么第二或第三安全传感器单元11、12经由现场总线50分别发送第二或第三线激活信号。

在第一安全执行器单元21中存储有第一安全配置131，在第二安全执行器单元22中存储有第二安全配置132，并且在第三安全执行器单元23中存储有第三安全配置133。第一安全配置131将第一和第二安全线30、31分别与可通过第一安全执行器单元21实施的选择的具有第一配置参数P11、P12的第一安全反应R11、R12相关联，并且没有将第三安全线32与第一安全执行器单元21的安全反应相关联。第二和第三安全配置132、133将各个安全线30、31、32与可通过第二安全执行器单元22实施的选择的具有第二配置参数P21、P22、P23的第二安全反应R21、R22、R23和可通过第三安全执行器单元23实施的选择的具有第三配置参数P31、P32、P33的第三安全反应R31、R32、R33相关联。

此外，在现场总线50上连接不安全的标准控制单元40和两个不安全的标准传感器单元42。在此，标准控制单元40经由主动器单元52连接至现场总线50。不安全的标准传感器单元42用于连接不安全的标准传感器44，并且基于所连接的标准传感器44的传感器数据建立对于安全不重要的输入数据，其随后经由现场总线50传输至标准控制单元40以进一步处理。标准控制单元40根据存储在标准控制单元40中的标准控制程序140处理输入数据，并且基于输入数据产生非安全相关的输出数据。借助非安全相关的输出数据，图1中的标准控制单元40对未示出的不安全的标准执行器单元进行控制。

控制系统1此外包括编程装置100，其经由标准控制单元40和主动器单元52连接至现场总线50，并且与安全执行器单元21、22、23连接。编程装置100包括用于建立安全配置131、132、133的安全编程模块105和用于建立标准控制程序140的标准编程模块107。此外，编程装置100包括输出接口110以及输入接口120，输入接口具有连接在其上的显示装置111，输出接口具有连接在其上的输入装置121。

图2示出了经由输出接口110在显示装置111上示出的、编程装置100的第一用户输出。所示的用户输出包括具有标准编程查询118和安全执行器查询113的菜单树，通过该标准编程查询可以借助标准编程模块107选择标准控制程序140的编程，在该安全执行器查询中各个安全执行器单元21、22、23被列出并且可以借助用户输入进行选择，以进一步配置。

在图2所示的图示中，选择了第一安全执行器单元21，并且编程装置100的安全编程模块105在安全输出区域112中示出借助选项卡(Reiter)101可选择的安全编程查询119，通过该安全编程查询可以借助安全编程模块105建立第一安全配置131。类似地，在安全执行器查询113中选择第二或第三安全执行器单元22、23的情况下，编程装置100的安全编程模块105示出分别借助选项卡101可选择的用于第二或第三安全执行器单元22、23的安全编程查询，通过该安全编程查询可以借助安全编程模块105建立第二和第三安全配置132、133。通过在图2中示出的另外的选项卡可以实施所选择的安全执行器单元21的非安全的标准参数的非安全的配置。

在安全编程查询119的情况下，编程装置100的安全编程模块105在安全输出区域112中示出分别具有安全反应查询116的可用的安全线30、31、32，以便能够借助用户输入将可通过第一安全执行器单元21实施的安全反应分别与各个安全线30、31、32相关联。安全反应查询116分别示出为借助用户输入可选择的选择菜单。

图3示出了第二用户输出，在编程装置100的安全编程模块105分别接收了用户输入之后，经由输出接口110在编程装置100的显示装置111上示出第二用户输出，所述用户输入作为一个选择将第一安全线30与第一安全执行器单元21的第一安全反应R11、即连接的驱动器10的安全力矩关闭(STO)相关联，并且作为另一选择没有将第三安全线32与第一安全执行器单元21的安全反应相关联。同时，编程装置100的安全编程模块105在第二用户输出中在选择列表中示出可通过第一安全执行器单元21实施的安全反应114，第二安全线31可以与所述安全反应相关联。

图4示出了第三用户输出，在编程装置100的安全编程模块105接收了用户输入之后，经由输出接口110在编程装置100的显示装置111上示出第三用户输出，所述用户输入将第二安全线31与第一安全执行器单元21的第二安全反应R12、即连接的驱动器10的安全受限的速度(STO)相关联。在此，安全编程模块105针对两个所选择的安全反应R11、R12分别示出用于输入安全反应R11、R12的配置参数的参数查询117，所述参数查询被构造为选择菜单。

图5示出了编程装置100的经由输出接口110在显示装置111上示出的第三用户输出，用于参数化第二安全反应R12。在通过参数查询117示出的选择菜单中示出第二安全反应R12的各个配置参数115，所述配置参数可以借助用户输入改变。

图6示出了用于运行安全相关控制系统1的方法300的第一部分，在其中，对标准控制程序140进行编程并且建立安全反应单元21、22、23的安全配置131、132、133。

方法300首先包括在安全传感器单元11、12内将通过安全传感器单元11、12提供的传感器接头14、15、16与安全线30、31、32相关联307。随后，方法300包括经由现场总线50通过编程装置100识别305安全传感单元11、12和存储的安全线30、31、32。借助用户输入，随后要么选择310对安全执行器单元21、22、23进行配置，要么选择400对标准控制程序140进行编程。在选择400对标准控制程序140进行编程的情况下，接收405用于对标准控制程序140进行编程的用户输入。随后可以重新进行用于对安全执行器单元21、22、23进行配置的选择310或用于对标准控制程序140进行编程的选择400。

在用于对安全执行器单元21、22、23进行配置的选择310之后，接收315用于选择要配置的安全执行器单元21、22、23的用户输入，并且调取317可通过选择的安全执行器单元21、22、23实施的并且存储在选择的安全执行器单元21、22、23中的安全反应114。随后，方法300包括显示320可用的安全线30、31、32和在安全输出区域112中显示325可实施的安全反应114。

随后，接收330用于将可实施的安全反应114与可用的安全线30、31、32中的一个相关联的用户输入。在此可选地，也可以接收(332)链接用户输入，其例如借助“和”链接或者“或”链接将两条可用的安全线30、31、32逻辑地链接为附加的安全线。

方法300还包括接收335用于将配置参数115与选择的安全反应114相关联的另外的用户输入。随后，检验338选择的安全执行器单元21、22、23的完整的配置，其中，除了别的之外检验是否针对每个可用的安全线30、31、32借助用户输入做出了以下选择，即各个安全线30、31、32是否并且可能与哪个安全反应114相关联。最后，选择的安全反应114作为安全配置131、132、133存储340在选择的安全执行器单元21、22、23中，并且将选择的安全反应114存储342在标准控制单元40中。

图7示出了方法300的第二部分，在其中，在安全相关控制系统1的正常运行中激活(350)安全线30、31、32。随后，以通过相关的安全传感器单元11、12经由现场总线50提供线激活信号以进行调取的方式，来经由现场总线50发送(352)与激活的安全线30、31、32相关联的线激活信号；并且以由安全执行器单元21、22、23从提供的安全传感器单元11、12调取线激活信号的方式，由安全执行器单元21、22、23在直接的交叉通信中经由现场总线50接收(360)所述线激活信号。

在各个安全执行器单元21、22、23中，随后可选地评估362多个安全线30、31、32的逻辑链接，并且独立实施370与激活的安全线30、31、32相关联的安全反应114。平行地，在标准控制单元40中接收365线激活信号，随后，标准控制单元40根据分别存储的安全反应114来控制(375)安全执行器单元21、22、23，并且在实施370安全反应114的范围内，在安全执行器单元21、22、23中，以故障安全的方式监控通过标准控制单元40实现的控制375。

附图标记列表

1 安全相关控制系统

10 安全传感器

11 第一安全传感器单元

12 第二安全传感器单元

14 第一传感器接头

15 第二传感器接头

16 第三传感器接头

20 安全执行器

21 第一安全执行器单元

22 第二安全执行器单元

23 第三安全执行器单元

30 第一安全线

31 第二安全线

32 第三安全线

40 标准控制单元

42 标准传感器单元

44 标准传感器

50 现场总线

52 主动器单元

100 编程装置

101 选项卡

105 安全编程模块

107 标准编程模块

110 输出接口

111 显示装置

112 安全输出区域

113 安全执行器查询

114 安全反应

115 配置参数

116 安全反应查询

117 参数查询

118 标准编程查询

119 安全编程查询

120 输入接口

121 输入装置

131 第一安全配置

132 第二安全配置

133 第三安全配置

140 标准控制程序

300 方法

305 识别安全传感器单元

307 关联安全线

310 选择对安全执行器单元进行配置

315 接收用于选择安全执行器单元的用户输入

317 调取可实施的安全反应

320 显示可用的安全线

325 显示可实施的安全反应

330 接收用于关联安全线的用户输入

332 接收链接用户输入

335 接收用于关联配置参数的另外的用户输入

338 检验完整的配置

340 将选择的安全反应存储在安全执行器单元中

342 将选择的安全反应存储在标准控制单元中

350 激活安全线

352 发送线激活信号

360 接收线激活信号

362 评估逻辑链接

365 在标准控制单元中接收线激活信号

370 实施安全反应

375 根据选择的安全反应进行控制

400 选择对标准控制程序进行编程

405 接收用于对标准控制程序进行配置的用户输入

Claims (15)

1.一种安全相关控制系统(1)，具有经由现场总线(50)相互连接的至少一个安全传感器单元(11，12)和至少一个安全执行器单元(21，22，23)，以及具有编程装置(100)，

其中，通过至少一个安全传感器单元(11，12)提供用于连接安全传感器(10)与现场总线(50)的传感器接头(14，15，16)，并且将所述传感器接头(14，15，16)与安全线(30，31，32)相关联，

其中，所述编程装置(100)被设计用于，经由输出接口(110)向用户显示可用的安全线(30，31，32)，

其中，所述编程装置(100)被设计用于，经由输入接口(120)接收用户的用户输入，其中，所述用户输入将至少一个选择的安全线(30，31，32)与可通过安全执行器单元(21，22，23)实施的选择的安全反应(114)相关联，

其中，所述编程装置(100)被设计用于，将选择的安全线(30，31，32)与选择的安全反应(114)之间的关联作为安全配置(131，132，133)存储在所述安全执行器单元(21，22，23)中，

其中，通过至少一个安全传感器单元(11，12)借助经由现场总线(50)发送各个安全线(30，31，32)的线激活信号，能够独立激活与各个传感器接头(14，15，16)相关联的安全线(30，31，32)，

其中，所述安全执行器单元(21，22，23)被设计用于，经由现场总线(50)直接从至少一个安全传感器单元(11，12)接收线激活信号，并且在接收激活的安全线(30，31，32)的线激活信号时，独立实施针对激活的安全线(30，31，32)存储在安全配置(131，132，133)中的安全反应(114)。

2.根据权利要求1所述的安全相关控制系统(1)，其中，可通过安全执行器单元(21，22，23)实施的安全反应(114)存储在所述安全执行器单元(21，22，23)中，并且通过编程装置(100)调取，用以供用户进行选择。

3.根据前述权利要求中任一项所述的安全相关控制系统(1)，其中，可借助用户输入选择的安全执行器单元(21，22，23)的安全反应(114)存储为可参数化的程序块。

4.根据前述权利要求中任一项所述的安全相关控制系统(1)，

其中，所述编程装置(100)被设计用于，在选择安全反应(114)之后，经由输出接口(110)向用户显示选择的安全反应(114)的可通过用户改变的配置参数(115)，

其中，所述编程装置(100)被设计用于，经由输入接口(120)接收另外的用户输入，其中，另外的用户输入给选择的安全反应(114)分派显示的配置参数(115)中的至少一个。

5.根据前述权利要求中任一项所述的安全相关控制系统(1)，

其中，所述编程装置(100)被设计用于，经由输入接口(120)接收用于选择连接至现场总线(50)的安全执行器单元(21，22，23)的用户输入，

其中，所述编程装置(100)被设计用于，经由输出接口(110)向用户显示可用的安全线(30，31，32)和可通过选择的安全执行器单元(21，22，23)实施的安全反应(114)。

6.根据前述权利要求中任一项所述的安全相关控制系统(1)，

其中，所述编程装置(100)被设计用于，经由输入接口(120)接收用于对连接至现场总线(50)的不安全的标准控制单元(40)的不安全的标准控制程序(140)进行编程的用户输入，

其中，所述编程装置(100)被设计用于，借助分离的编程模块(105，107)执行和/或在分离的输出区域(112)中经由输出接口(110)显示对标准控制程序(140)的编程和用于建立安全配置(131，132，133)的安全配置实施。

7.根据前述权利要求中任一项所述的安全相关控制系统(1)，其中，所述编程装置(100)被设计用于，仅当所述编程装置(100)针对每个安全线(30，31，32)接收了具有用户定义的选择的用户输入时，才将选择的安全反应(114)存储在安全执行器单元(21，22，23)中。

8.根据前述权利要求中任一项所述的安全相关控制系统(1)，其中，将安全传感器单元(11，12)的一个传感器接头(14，15，16)或多个传感器接头(14，15，16)与安全线(30，31，32)的关联存储在安全传感器单元(11，12)中。

9.根据前述权利要求中任一项所述的安全相关控制系统(1)，

其中，至少一个安全传感器单元(11，12)具有多个用于连接安全传感器(10)的安全传感器接头(14，15，16)，

其中，将每个传感器接头(14，15，16)与自身的安全线(30，31，32)相关联，

其中，所述安全传感器单元(11，12)被设计用于，在操作各个安全传感器(10)时，分别经由现场总线(50)发送单独的线激活信号。

10.根据前述权利要求中任一项所述的安全相关控制系统(1)，其具有连接至现场总线(50)的另外的安全执行器单元(21，22，23)，

其中，所述编程装置(100)被设计用于，经由输出接口(110)显示可通过另外的安全执行器单元(21，22，23)实施的安全反应(114)，

其中，所述编程装置(100)被设计用于，经由输入接口(120)接收附加的用户输入，其中，所述附加的用户输入将选择的安全线(30，31，32)与可通过另外的安全执行器单元(21，22，23)实施的选择的另外的安全反应(114)相关联，

其中，所述另外的安全反应(114)与针对安全执行器单元(21，22，23)选择的安全反应(114)不同。

11.根据前述权利要求中任一项所述的安全相关控制系统(1)，其中，所述安全执行器单元(21，22，23)被设计用于，实施针对第一安全线(30，31，32)存储的安全反应(114)，所述安全反应具有比针对第二安全线(30，31，32)存储的安全反应(114)更高的激活优先级。

12.根据前述权利要求中任一项所述的安全相关控制系统(1)，

其中，所述编程装置(100)被设计用于，经由用户接口接收链接用户输入，

其中，所述链接用户输入将可通过安全执行器单元(21，22，23)实施的选择的安全反应(114)与逻辑链接相关联，所述逻辑链接是选择的安全线(30，31，32)与另外的选择的安全线(30，31，32)之间的逻辑链接，

其中，所述编程装置(100)被设计用于，将所述逻辑链接和选择的安全反应(114)作为安全配置(131，132，133)存储在安全执行器单元(21，22，23)中，

其中，所述安全执行器单元(21，22，23)被设计用于，在接收选择的安全线(30，31，32)和/或选择的另外的安全线(30，31，32)的线激活信号时独立评估所述逻辑链接。

13.根据前述权利要求中任一项所述的安全相关控制系统(1)，

其中，所述控制系统(1)包括连接至现场总线(50)的不安全的标准控制单元(40)，

其中，所述标准控制单元(40)被设计用于，接收安全线(30，31，32)的激活信号作为输入数据，并且进行处理，

其中，在所述标准控制单元(40)中存储有所有针对安全执行器单元(21，22，23)选择的安全反应(114)，

其中，所述标准控制单元(40)被设计用于，在接收激活的安全线(30，31，32)的线激活信号时，根据针对激活的安全线(30，31，32)选择的安全反应(114)来控制安全执行器单元(21，22，23)，

其中，所述安全执行器单元(21，22，23)被设计用于，在独立实施安全反应(114)的范围内，独立安全地监控通过标准控制单元(40)实现的控制。

14.根据前述权利要求中任一项所述的安全相关控制系统(1)，

其中，所述控制系统(1)具有主动器单元(52)，

其中，所述主动器单元(52)被设计用于，根据主从方法控制对现场总线(50)的总线访问，

其中，所述安全执行器单元(21，22，23)和/或所述安全传感器单元(11，12)作为从动器单元连接至现场总线(50)，

其中，所述控制系统(1)被设计用于，经由现场总线(50)，在没有安全相关的中间处理的情况下的直接的交叉通信中，通过主动器单元(52)将线激活信号从安全传感器单元(11，12)传输到安全执行器单元(21，22，23)。

15.一种用于运行安全相关控制系统(1)的方法(300)，所述安全相关控制系统具有经由现场总线(50)相互连接的至少一个安全传感器单元(11，12)和至少一个安全执行器单元(21，22，23)，并且具有编程装置(100)，

其中，所述方法(300)具有以下步骤：

-将通过至少一个安全传感器单元(11，12)提供的传感器接头(14，15，16)与安全线(30，31，32)相关联(307)，所述传感器接头用于连接安全传感器(10)和现场总线(50)；

-经由编程装置(100)的输出接口(110)显示(325)可用的安全线(30，31，32)；

-经由编程装置(100)的输入接口(120)接收(300)用户输入，其中，所述用户输入将将至少一个选择的安全线(30，31，32)与可通过安全执行器单元(21，22，23)实施的选择的安全反应(114)相关联；

-借助编程装置(100)将选择的安全线(30，31，32)和选择的安全反应(114)之间的关联作为安全配置(131，132，133)存储(340)在安全执行器单元(21，22，23)中；

-通过安全传感器单元(11，12)通过经由现场总线(50)发送线激活信号，独立激活(350)与安全传感器单元(11，12)的传感器接头(14，15，16)相关联的安全线(30，31，32)；

-通过安全执行器单元(21，22，23)经由现场总线(50)直接接收(360)来自安全传感器单元(11，12)的线激活信号；

-在接收线激活信号时，通过安全执行器单元(21，22，23)独立实施(370)针对激活的安全线(30，31，32)存储在安全配置(131，132，133)中的安全反应(114)。

Images