DE10033073A1

DE10033073A1 - Verfahren zur Fehleraufdeckung an sicherheitsgerichteten Sensoren

Info

Publication number: DE10033073A1
Application number: DE10033073A
Authority: DE
Inventors: Heiko Groenewold; Ronald Hauf
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2000-01-27
Filing date: 2000-07-07
Publication date: 2001-08-02

Abstract

Die Erfindung bezieht sich auf ein Verfahren zur Fehleraufdeckung beim Betrieb von Sensoren (Z) mit mindestens zwei kontaktbehafteten entkoppelten signalgebenden Elementen (K1, K2) mit geschlossener Leiterschleife, wobei ein erster Testausgang (A2) um eine definierte Schaltverzögerung (tx) gegenüber einem zweiten Testausgang (A1) verzögert geschaltet wird und die Eingangskanäle (E1, E2) entsprechend einer definierten Erwartungshaltung ausgewertet werden, wobei aus Abweichungen von tatsächlichen und erwarteten Signalverläufen sowie Zeitintervallen (tx) Rückschlüsse auf Fehler gezogen werden.

Description

Die vorliegende Erfindung bezieht sich auf ein Verfahren zur Fehleraufdeckung beim Betrieb von Sensoren mit mindestens zwei kontaktbehafteten entkoppelten signalgebenden Elementen mit geschlossener Leiterschleife, bei dem jedes signalgebende Element eingangsseitig über einen jeweils zugeordneten Test ausgang mit einem jeweiligen Signal beaufschlagt wird, wel ches ausgangsseitig einem jeweils zugeordneten Eingangskanal zugeleitet wird.

Bei Prozessen in der Sicherheitstechnik, etwa beim Einsatz von beispielsweise Not-Halt-Tastern oder Türschaltern zur Schutztürverriegelung bei Industrierobotern oder numerisch gesteuerten Werkzeugmaschinen, müssen unter anderem auch Sen soren sicherheitsgerichtet eingebunden und überwacht werden. Um eine einwandfreie Funktion zu gewährleisten, müssen Fehler auf den Sensoranschlussleitungen rechtzeitig aufgedeckt wer den. Sind die Anschlussleitungen geschützt im Schaltschrank oder in Anlagenteilen verlegt, so kann in der Regel davon ausgegangen werden, dass ein Fehler (Kurzschluss, Querschluss etc.) höchst unwahrscheinlich ist. Eine Norm (prEN 954-2) er laubt in diesem Fall, dass für die Anschlussleitung ein soge nannter Fehlerausschluss angenommen werden kann.

Herkömmlicherweise werden Sensoren überwiegend nach dem 3- Klemmenkonzept oder 4-Klemmenkonzept an eine Sicherheitssteu erung angeschlossen. Eine Auslegung des Sensors nach dem 3- Klemmenkonzept ist im Fall der Annahme eines Fehlerausschlus ses völlig ausreichend. Kann dies nicht durchgängig gewähr leistet werden oder werden, z. B. für einen Not-Halt-Taster, höhere Anforderungen gestellt, so ist der Anschluss des Sen sors nach dem 4-Klemmenkonzept erforderlich.

Gleichzeitig muss ein Konzept zur sicheren Fehleraufdeckung von Kurzschlüssen und Querschlüssen auf den Anschlusslei tungen entsprechend ausgelegt werden. Diese Erfindung be schreibt ein Verfahren, mit dem dies auf relativ einfache und wirtschaftliche Weise gewährleistet werden kann.

Für die sicherheitsgerichtete Ansteuerung eines Sensors gibt es nach dem bekannten Stand der Technik die bereits erwähnten grundsätzlichen beiden Möglichkeiten des 3-Klemmenkonzeptes und des 4-Klemmenkonzeptes. Beide sollen im folgenden anhand der in den Fig. 1 bis 4 gezeigten Prinzipskizzen näher erläu tert werden.

In der Darstellung nach Fig. 1 ist ein Sensoranschluss nach dem 3-Klemmenkonzept gezeigt. Grundsätzlich haben alle si cherheitsgerichteten Sensoren zwei entkoppelte signalgebende Elemente, in Fig. 1 als Kontakte K1 und K2 in einem Sensor Z (einem Not-Halt-Taster) dargestellt. Diese können sich in ei nem Bauteil (z. B. beim Not-Halt-Taster) befinden oder in zwei physikalisch getrennten Bauteilen, wie dies etwa in Türschal tern für eine Schutztürverriegelung möglich ist.

Der Sensor Z wird von einem Test-Ausgang A1, z. B. einem PLC (Programmable Logic Controller) mit 24 V Signalspannung, über einen Wurzelanschluss W mit einem Signal S1 angesteuert, wel ches an beide Kontakte K1 und K2 geführt ist. Die beiden Sig nale des Sensors Z werden an zwei Eingangs-Kanäle E1 und E2 einer sicherheitsgerichteten Steuerung (nicht gezeigt) ge führt. Zur weiteren Signalverarbeitung werden diese Signale beispielsweise über ein Bussystem B an eine zentrale Steuer einheit weitergeleitet.

Wie bereits erwähnt, können als Sensor kontaktbehaftete Si cherheitsbauteile z. B. Not-Halt-Taster oder auch kontaktbe haftete Standardbauteile wie Türschalter zur Schutztürverrie gelung usw. eingesetzt werden, wenn die beiden Kontakte me chanisch rückwirkungsfrei entkoppelt sind.

In Verbindung mit einem dem Fachmann bekannten kreuzweisen Datenvergleich und Zwangsdynamisierung können Fehler in den Anschlussleitungen aufgedeckt werden. Ein reiner Querschluss zwischen den beiden Eingängen E1 und E2 kann mit dem 3- Klemmenkonzept jedoch nicht aufgedeckt werden.

In der Darstellung nach Fig. 2 ist ein Sensoranschluss mit 4- Klemmenkonzept gezeigt. Der Sensor wird dazu anstelle über einen Wurzelanschluss von zwei Test-Ausgängen A1 und A2 über separate Signale S1 und S2 angesteuert. Die beiden Signale des Sensors Z werden an die beiden Eingangs-Kanäle E1 und E2 der sicherheitsgerichteten Steuerung geführt. Im übrigen ent spricht die Darstellung der nach Fig. 1.

Ein Grossteil der möglichen Fehler kann schon mit dem 3- Klemmenkonzept in Verbindung mit der Kanalüberwachung (Kreuzweiser Datenvergleich) der sicherheitsgerichteten Steuerung und einer Zwangsdynamisierung aufgedeckt werden.

- Ein Leitungsbruch an den Leitungen etwa kann über einen kreuzweisen Datenvergleich direkt erkannt werden.
- Ein Kurzschluss oder Querschluss gegen P-Potential (P steht für eine positive oder negative Spannung) kann mit Hilfe einer Zwangsdynamisierung noch innerhalb des Testzyklus erkannt werden.
- Ein Kurzschluss gegen M-Potential (M steht für Masse- Potential) lässt sich über eine Sicherung direkt aufdecken.
- Ein Querschluss gegen P-Potential kann mit Hilfe einer Zwangsdynamisierung noch innerhalb des Testzyklus erkannt werden.
- Ein Querschluss gegen M-Potential lässt sich über eine Si cherung direkt aufdecken.

Jedoch:

- Ein Querschluss zwischen den Eingangs-Kanälen E1 und E2 lässt sich nicht aufdecken.

Durch einen Querschluss zwischen Eingangs-Kanal E1 und E2 entsteht im System ein so genannter "schlafender Fehler". In der Darstellung nach Fig. 3 ist aufbauend auf der Darstellung nach Fig. 2 zusätzlich ist ein Querschluss Q zwischen den Sig nalleitungen zu E1 und E2 angedeutet.

Durch einen Zweitfehler, z. B. zusätzlichem P-Kurzschluss P - dargestellt in Fig. 4 -, kann es dann zum Ausfall der Sicher heitsfunktion kommen. Für eine Steuerungskategorie 3 ist dies dann noch akzeptabel, wenn die Fehleraufdeckung innerhalb des für diesen Teil der sicherheitsgerichteten Funktionen festge legten Testzyklusses (z. B. 8 Stunden) gewährleistet werden kann.

Herkömmlicherweise wurde z. B. der Not-Halt-Taster oder die Schutztürverriegelung über ein externes Sicherheitsschalt gerät angeschlossen. Diese Geräte haben die Überwachung der Anschlussleitungen inklusive einer Querschlussüberwachung in tegriert. Eine weitere Möglichkeit besteht heute auch, wenn die Sensoren an eine Sicherheits PLC angeschlossen werden. Dazu sind jedoch spezielle Peripheriebaugruppen erforderlich, in denen die Kurzschluss- und Querschlussüberwachung eben falls integriert sind. Eine Lösung, die nur mit Standardbau gruppen auskommt, gibt es derzeit nicht.

Denkbar ist der Schutz gegen Kurz- und Querschlüsse auch mit spezieller Verlegung und Ausführung der Verbindungsleitungen zum Sensor. Hierbei müssen die Leitungen einzeln geschirmt sein und der Schirm über eine Sicherung verbunden sein, um einen Schluss aufzudecken bevor dieser zum Versagen der Schutzfunktion führt. Eine derartige Lösung scheitert in der Praxis im Allgemeinen jedoch an fehlender Akzeptanz.

Die genannten bekannten externen Sicherheitsschaltgeräte er füllen zwar die Anforderungen bezüglich der Überwachung der Sensor-Anschlussleitung, sie können jedoch nur Leistung ab schalten und keine Maschine sicher stillsetzen. Das ist auch der Grund, warum diese Geräte speziell bei Industrierobotern und Werkzeugmaschinen mehr und mehr durch integrierte Sicher heitskonzepte abgelöst werden. Sie stellen damit keine zu kunftsweisende Alternative zur vorliegenden Erfindung dar.

Rein technisch gesehen ist das Problem zwar auch mit dem Ein satz einer Sicherheits-PLC lösbar. Eine Sicherheits-PLC kann einen Sensor bis Steuerungskategorie 4 (nach EN 954-1) an steuern. Die Elektronik in den Eingangsbaugruppen misst in die Leitung durch eine sogenannte Hell-/Dunkelschaltung hin ein. Dabei werden für wenige Millisekunden die Ausgänge auf getrennt und es wird an der Trennstelle gemessen. Kurzschlüs se und Querschlüsse werden somit sofort und parallel zum lau fenden Prozess hochwertig aufgedeckt. Diese Lösung ist jedoch mit Standard Eingabe/Ausgabe-Baugruppen nicht realisierbar. Aus Kostengründen finden bei Werkzeug- oder Produktionsma schinen daher heute die genannten Sicherheits-PLC's auch kei ne Anwendung. Dieser bekannte Lösungsansatz rentiert sich heute nur bei großen Anlagen mit sehr vielen (< 40) sicher heitsgerichteten Signalen und/oder wenn gleichzeitig die Aus führung in der Steuerungskategorie 4 erforderlich ist.

Ein anderes herkömmliches Verfahren zur Fehleraufdeckung bei sicherheitsgerichteten Signalen stellt ein wechselseitiges kanalspezifisches Ansteuern (Takten) des Sensors dar.

Es wird wechselweise einmal nur der Kanal E1 und einmal nur der Kanal E2 angesteuert. Dies darf jedoch zu keinem Zeit punkt zum Abschalten der Signalkette führen. Geprüft wird, ob es ein Übersprechen auf den nicht angesteuerten Kanal gibt. Während dieser Zeit muss ein implementierter Kreuzweise- Datenvergleich ausgeschaltet werden. Dadurch entsteht ein er höhtes Risiko. Es kann damit zwar prinzipiell das Ziel er reicht werden, doch ist der Aufwand in der Peripherie nicht geringer. Die Rückwirkungen auf den Kreuzweisen-Datenver gleich sind jedoch erheblich.

Eine weitere herkömmliche Methode zur Fehleraufdeckung bei sicherheitsgerichteten Signalen erfolgt über eine unter schiedliche kanalspezifische Polarität der Spannung. Bei die ser Lösung werden die Leiterschleifen der beiden Kontakte E1 und E2 mit Spannungen unterschiedlicher Polarität einge speist. Z. B. Kanal E1 mit +24 V und Kanal E2 mit -24 V. Dazu ist aber eine spezielle Stromversorgung vorzusehen. Eine sol che ist jedoch nicht standardmäßig an den Anlagen vorhanden und erhöht zusätzlich den Verdrahtungsaufwand.

Aufgabe der vorliegenden Erfindung ist es daher, ein Verfah ren zur Fehleraufdeckung bei sicherheitsgerichteten Signalen zu schaffen, welches auch in der Lage ist, sogenannte "schla fende Fehler" aufzudecken, und das weitmöglichst unter Ver wendung von kostengünstigen Standardbauelementen und -kompo nenten realisiert werden kann.

Insbesondere soll im Gegensatz zum 3-Klemmenkonzept in Ver bindung mit einer Zwangsdynamisierung eine Querschluss-Er kennung zwischen den beiden Kanälen E1 und E2 erreicht wer den.

Gemäß der vorliegenden Erfindung wird diese Aufgabe durch ein Verfahren zur Fehleraufdeckung beim Betrieb von Sensoren mit mindestens zwei kontaktbehafteten entkoppelten signalgebenden Elementen mit geschlossener Leiterschleife gelöst, bei dem jedes signalgebende Element eingangsseitig über einen jeweils zugeordneten Testausgang mit einem jeweiligen Signal beauf schlagt wird, welches ausgangsseitig einem jeweils zugeordne ten Eingangskanal zugeleitet wird, indem dieses dadurch wei tergebildet wird, dass

- jeder Testausgang so um eine definierte Zeit gegenüber den anderen Testausgängen verzögert geschaltet wird, dass die jeweiligen Signale mit einer entsprechenden Schaltverzöge rung an den jeweiligen signalgebenden Elementen anstehen und die jeweiligen Eingangskanäle einer definierten Abfolge von Signaländerungen mit einer festen zeitlichen Zuordnung folgen, und
- die Eingangskanäle gestützt auf diese Signalverläufe und das jeweilige Zeitintervall entsprechend einer definierten Erwartungshaltung ausgewertet werden, wobei aus Abweichun gen von tatsächlichen und erwarteten Signalverläufen und/oder Zeitintervallen Rückschlüsse auf vorliegende Feh ler gezogen werden.

In einer ersten vorteilhaften Ausgestaltung der vorliegenden Erfindung wird die vorangehend gestellte Aufgabe vor allem beim Betrieb von Sensoren mit überwiegend statischem Signal gelöst, indem das Verfahren im Rahmen einer Zwangsdynamisie rung durchgeführt wird.

Nach einer weiteren vorteilhaften Ausgestaltung der vorlie genden Erfindung wird das Verfahren beim Einschalten jedes Sensors durchgeführt.

Nach einer alternativen vorteilhaften Ausgestaltung der vor liegenden Erfindung wird das Verfahren beim Ausschalten jedes Sensors durchgeführt.

Zur Aufdeckung eines Querschlusses beim Betrieb von Sensoren mit zwei kontaktbehafteten entkoppelten signalgebenden Ele menten mit geschlossener Leiterschleife, wobei beide Testaus gänge in einem Ausgangszeitpunkt aktiviert sind, werden nach einer weiteren vorteilhaften Ausgestaltung der vorliegenden Erfindung folgende weiteren Verfahrensschritte durchgeführt:

- Deaktivieren eines ersten Testausgangs zu einem ersten Zeitpunkt,
- Generieren eines Fehlersignals der Kategorie 'Querschluss', sofern das Signal des dem ersten Testausgang zugeordneten Eingangskanals auf aktiviertem Signalzustand verbleibt.

Zur Aufdeckung eines reinen Querschlusses ohne Phasenkurz schluss werden nach einer weiteren vorteilhaften Ausgestaltung der vorliegenden Erfindung folgende weiteren Verfah rensschritte durchgeführt:

- Abwarten einer definierten Schaltverzögerung,
- Deaktivieren des zweiten Testausgangs zu einem Zeitpunkt nach Ablauf der Schaltverzögerung,
- Generieren eines Fehlersignals der Kategorie 'Querschluss ohne Phasenkurzschluss', sofern die Signale beider Ein gangskanäle zusammen erst nach Ablauf der Schaltverzögerung für den zweiten Testausgang den deaktivierten Signalzustand einnehmen.

Zur Aufdeckung eines Querschlusses beim Betrieb von Sensoren mit zwei kontaktbehafteten entkoppelten signalgebenden Ele menten mit geschlossener Leiterschleife, wobei beide Testaus gänge in einem Ausgangszeitpunkt deaktiviert sind, werden nach einer alternativen vorteilhaften Ausgestaltung der vor liegenden Erfindung folgende weiteren Verfahrensschritte durchgeführt:

- Aktivieren eines ersten Testausgangs zu einem ersten Zeit punkt,
- Abwarten einer definierten Schaltverzögerung,
- Generieren eines Fehlersignals der Kategorie 'Querschluss', sofern die Signale beider Eingangskanäle den aktivierten Signalzustand einnehmen und auch nach Ablauf der Schaltver zögerung aktiv verbleiben.

Nach einer weiteren vorteilhaften Ausgestaltung des voranste hend beschriebenen Verfahrens gemäß der vorliegenden Erfin dung wird zur Erkennung eines Leitungsbruches in einer Sig nalleitung zusätzlich ein kreuzweiser Datenvergleich zwischen den Signalen jeweils zweier Eingangskanäle durchgeführt.

Das vorgestellte erfindungsgemäße Konzept ist beim Einsatz von kontaktbehafteten Sensoren mit geschlossenen Leiter schleifen (Ruhestromprinzip) anwendbar. Bei Elektronik signalen muss die Leitungsüberwachung durch den Sensor si chergestellt werden. Dies ist bei höherwertigen Sensoren wie Lichtvorhängen und Scannern auch der Fall. Mit dem Verfahren dieser Erfindung kann nun erstmals mit Standardbaugruppen ei ne vollständige Fehleraufdeckung (inklusive Querschluss) auf den Sensor-Anschlussleitungen realisiert werden.

Der Sensor wird mit dem 4-Klemmenkonzept angeschlossen. Das heißt, es ist keine zusätzliche Verdrahtung erforderlich und es müssen keine Spezialbaugruppen mit integrierten sicher heitsgerichteten Funktionen eingesetzt werden. Neben dem zeitverzögerten Schalten der Test-Ausgänge ist vor allem die Art der Auswertung der Eingangs-Kanäle bedeutsam. Die Auswer tung mit definierter Erwartungshaltung stützt sich auf Sig nalverlauf und/oder Zeitintervall.

Weitere Details und Vorteile der vorliegenden Erfindung erge ben sich anhand der folgenden Beschreibung vorteilhafter Aus führungsformen und im Zusammenhang mit den Figuren. In den Figuren sind Merkmale mit gleicher Funktionalität der besse ren Übersichtlichkeit halber mit gleichen Bezugszeichen be zeichnet. Es zeigen im einzelnen:

Fig. 1 Sensoranschluss mit 3-Klemmenkonzept (z. B. für Not-Halt),

Fig. 2 Sensoranschluss mit 4-Klemmenkonzept (z. B. für Not-Halt),

Fig. 3 Querschluss in der Sensor-Anschlussleitung,

Fig. 4 Querschluss und P-Kurzschluss in der Sensor- Anschlussleitung,

Fig. 5 Signalverlauf ohne Fehler beim Ausschalten,

Fig. 6 Signalverlauf ohne Fehler beim Einschalten,

Fig. 7 Signalverlauf mit Querschluss beim Ausschalten und

Fig. 8 Signalverlauf mit Querschluss beim Einschalten.

Die Darstellungen nach den Fig. 1 bis 4 wurden bereits im Rah men der Beschreibungseinleitung zur Verdeutlichung der Prob lemstellung sowie zur Darstellung des Ausgangspunktes der Er findung und des bekannten Standes der Technik detailliert beschrieben. Die damit verbundenen Bezugszeichen wurden dabei bereits eingeführt, so dass im folgenden darauf aufgebaut werden kann. Erfindungsgemäß wird insbesondere auf der in Fig. 4 gezeigten Schaltungsstruktur aufgesetzt, indem diese nach dem im folgenden näher erläuterten Verfahren nach der Erfin dung betrieben wird.

Das Konzept der vorliegenden Erfindung beruht darauf, dass der Test-Ausgang A1 um eine definierte Zeit tx gegenüber dem Test-Ausgang A2 verzögert geschaltet wird. Der Test kann so wohl beim Ein- bzw. Ausschalten des Sensors oder einer damit verbundenen Anlage, als auch im Rahmen einer Zwangsdynami sierung durchgeführt werden. Z. B. ergibt sich beim definier ten Ausschalten der Test-Ausgänge im Rahmen einer Zwangsdyna misierung eine eindeutige Erwartungshaltung an den Eingangs kanälen E1 und E2. Die Eingangskanäle E1 und E2 folgen einer definierten Abfolge von Signaländerungen verbunden mit einer festen zeitlichen Zuordnung. Die Auswertung dieser Erwar tungshaltung kann für die Steuerungskategorie 3 (nach der Norm EN 954-1) einkanalig in einer nachgeschalteten PLC oder einer entsprechenden Hardware (z. B. einem anwenderspezifi zierten integrierten Schaltkreis ASIC) erfolgen, da es sich um die Testroutine der zweikanaligen Sensoranbindung handelt.

Damit können alle Kurz- und Querschlüsse sowie Leitungsbrüche in den Signalleitungen wirtschaftlich aufgedeckt werden.

Im folgenden soll nun der funktionale Ablauf einer Testrouti ne nach der vorliegenden Erfindung mit einer Zwangsdynamisie rung beim Ausschalten für den Fall 'ohne Fehler' dargestellt werden.

Die Darstellung nach Fig. 5 zeigt den dazugehörigen Signalver lauf ohne Fehler beim Ausschalten. Auf der vertikalen Achse ist eine Spannung (exemplarisch 24 Volt), auf der horizonta len Achse die Zeit mit im folgenden näher erläuterten Zeit punkten T0 bis t4 aufgetragen. Der Signalverlauf E1(t) für Kanal 1 ist durch eine durchgezogene Linie, der Signalverlauf E2(t) für Kanal 2 in Form einer gepunkteten Linie in das Ko ordinatensystem eingetragen. Der Schaltzustand "Ein" bzw. "1" entspricht einem Signal von 24 V, während der Schaltzustand "Aus" bzw. "0" 0 Volt entspricht, also auf der horizontalen Achse liegt. Dies gilt ebenso für die Darstellungen der übri gen Fig. 6 bis 8.

Es besteht die Erwartungshaltung für den Fall eines Signal verlaufes ohne Fehler beim Ausschalten, dass zu bestimmten Zeiten definierte Signale an den Eingangskanälen E1 und E2 anstehen und dass die Schaltverzögerung der Zeit tx ent spricht.

Gezeigt sind folgende Zeitmarken:
to = Test-Ausgänge A1 und A2 sind "Ein"
t1 = Test-Ausgang A2 wird "Aus"-geschaltet
tx = Test-Ausgang A1 Schaltverzögerung
t2 = Eingangs-Kanal E2 - Signal E2(t) geht auf "0"
t3 = Test-Ausgang A1 wird "Aus"-geschaltet
t4 = Eingangs-Kanal E1 - Signal E1(t) geht auf "0"

Dabei sind den aufgeführten Zeitmarken folgende Erwartungs haltungen zugeordnet.

Zeitpunkt t0

Beide Test-Ausgänge A1 und A2 sind "Ein"-geschaltet.

Erwartungshaltung: Signale E1(t) und E2(t) der Eingangs- Kanäle E1 und E2 liegen auf "1".

Zeitpunkt t1

Der Test-Ausgang A2 wird "Aus"-geschaltet, die Schaltverzö gerung tx läuft.

Zeit tx

Mit der Schaltverzögerungszeit tx steht eine reproduzierbare Referenz für den Signalvergleich zur Verfügung.

Zeitpunkt t2

Der Eingangs-Kanal E2 - Signal E2(t) geht auf "0".

Erwartungshaltung: Signal E1(t) des Eingangs-Kanals E1 bleibt auf "1".

Zeitpunkt t3

Der Test-Ausgang A1 wird nach Ablauf der Schaltverzögerung tx auf "Aus" geschaltet.

Erwartungshaltung: Signal E1(t) des Eingangs-Kanals E1 bleibt auf "1".

Zeitpunkt t4

Der Eingangs-Kanal E1 - Signal E1(t) geht auf "0".

Erwartungshaltung: Signale E1(t) und E2(t) der Eingangs- Kanäle E1 und E2 liegen auf "0".

Im weiteren wird der funktionale Ablauf einer Testroutine nach der vorliegenden Erfindung mit einer Zwangsdynamisierung beim Einschalten für den Fall 'ohne Fehler' dargestellt.

Die Darstellung nach Fig. 6 zeigt den dazugehörigen Signalver lauf ohne Fehler beim Einschalten. Es besteht wiederum die Erwartungshaltung, dass zu bestimmten Zeiten definierte Sig nale E1(t) und E2(t) an den Eingangs-Kanälen E1 und E2 anste hen und dass die Schaltverzögerung der Zeit tx entspricht.

Die Zeitmarken für diesen Fall sind wie folgt:
to = Test-Ausgang A1 und A2 sind "Aus"
t1 = Test-Ausgang A2 wird auf "Ein" geschaltet
tx = Schaltverzögerung für Test-Ausgang A1
t2 = Eingangs-Kanal E2 - Signal E2(t) geht auf "1"
t3 = Test-Ausgang 1 wird auf "Ein" geschaltet
t4 = Eingangs-Kanal E1 - Signal E1(t) geht auf "1"

Es wird nun der funktionale Ablauf einer Testroutine nach der vorliegenden Erfindung mit einer Zwangsdynamisierung beim Ausschalten für den Fall eines Querschlusses dargestellt.

Die Darstellung nach Fig. 7 zeigt den dazugehörigen Signalver lauf bei Vorliegen eines Querschlusses beim Ausschalten. Es besteht nun die Erwartungshaltung, dass sich bei einem Fehler mit Querschluss die typischen Signalverläufe E1(t), E2(t) an den Eingangs-Kanälen E1 und E2 nicht einstellen.

Die Zeitmarken unterscheiden sich für diesen Fall von den zu Fig. 5 zugehörigen wie folgt:

Zeitpunkt t2

Obwohl der Test-Ausgang A2 ausgeschaltet ist, bleibt der Ein gangs-Kanal 2 auf Signalzustand "1" stehen.

Erwartungshaltung ist nicht erfüllt - es muss ein Querschluss vorliegen.

Zeitpunkt t4

Erst mit dem Ausschalten von Test-Ausgang A1 nehmen beide Signale E1(t), E2(t) der Eingangs-Kanäle E1 und E2 den Sig nalzustand "0" ein. Daraus folgt, es muss ein reiner Quer schluss ohne P-Kurzschluss vorliegen.

Der funktionale Ablauf einer Testroutine nach der vorliegen den Erfindung mit einer Zwangsdynamisierung beim Einschalten für den Fall eines Querschlusses hingegen stellt sich folgen dermaßen dar.

Die Darstellung nach Fig. 8 zeigt den dazugehörigen Signalver lauf bei Vorliegen eines Querschlusses beim Einschalten. Es besteht die Erwartungshaltung, dass sich die typischen Sig nal-Pegel E1(t), E2(t) an den Testeingängen E1 und E2 nicht einstellen und das die Schaltverzögerung ungleich der Zeit tx ist.

Die Zeitmarken unterscheiden sich für diesen Fall von den zu Fig. 6 zugehörigen wie folgt:

Zeitpunkt t2

Obwohl nur der Test-Ausgang A2 eingeschaltet ist, nehmen bei de Eingangs-Kanäle E1, E2 den Signalzustand "1" ein. Die Schaltverzögerung tx ist wirkungslos. Die Erwartungshaltung ist nicht erfüllt - es muss ein reiner Querschluss vorliegen.

Mit dem Verfahren gemäß der vorliegenden Erfindung lassen sich demnach in Verbindung mit bekannten Verfahren zur Feh leraufdeckung folgende Fehlertypen aufdecken:

- Ein Leitungsbruch an den Leitungen etwa kann über einen kreuzweisen Datenvergleich direkt erkannt werden.
- Ein Kurzschluss oder Querschluss gegen P-Potential, P steht für eine positive oder negative Spannung, kann mit Hilfe einer Zwangsdynamisierung noch innerhalb des Testzyklus erkannt werden.
- Ein Kurzschluss gegen M-Potential, M steht für Masse- Potential, lässt sich über eine Sicherung direkt aufdecken.
- Ein Querschluss gegen P-Potential kann mit Hilfe einer Zwangsdynamisierung noch innerhalb des Testzyklus erkannt werden.
- Ein Querschluss gegen M-Potential lässt sich über eine Si cherung direkt aufdecken.
- Ein Querschluss zwischen den Eingangs-Kanälen E1 und E2 lässt sich ebenfalls aufdecken.

Ein Kreuzweiser-Datenvergleich zusammen mit einer Zwangs dynamisierung und dem Verfahren nach der vorliegenden Erfin dung ermöglichen eine lückenlose Fehleraufdeckung an den Sen soranschlussleitungen. Damit können die Anforderungen der Steuerungs-Kategorie 3 nach der Norm EN954-1 erfüllt werden.

Neben weiteren in den voranstehenden Ausführungen beschriebe nen Vorteilen erweisen sich besonders folgende Merkmale der Erfindung als vorteilhaft gegenüber dem bekannten Stand der Technik:

- der Einsatz von Standard Peripherie-Baugruppen wird mög lich.
- die beschriebene Testroutine kann auch einkanalig in einer PLC oder Hardware implementiert werden.
- bei überwiegend statischem Signal kann durch eine Zwangsdy namisierung die Testroutine angestoßen werden.
Die Zwangsdynamisierung dient dazu, um während der Zweit fehlereintrittszeit den Erstfehler aufzudecken
- die Verdrahtung zum Sensor ist Standard. Es ist keine be sondere Verlegung der Leitungen erforderlich.
- für sicherheitsgerichtete Sensoren kann nun, bei Anforde rung auf Querschlusssicherheit, eine wirtschaftliche Lösung angeboten werden. Die Kosten liegen hierfür erheblich unter denen herkömmlicher Lösungen.
- in Verbindung dem 4-Klemmenkonzept entsteht ein einheitli ches, durchgängiges Konzept.

Dieses Konzept gemäß der vorliegenden Erfindung lässt sich auch auf hardwarebasierte Systeme übertragen wie z. B. den Be reich der Befehls- und Meldegeräte für sicherheitsgerichtete Peripheriebaugruppen. Die Testroutine kann in ASIC's integ riert werden. Damit ist die Erfindung auch in dezentralen, autarken Systemen anwendbar.

Claims

1. Verfahren zur Fehleraufdeckung beim Betrieb von Sensoren (Z) mit mindestens zwei kontaktbehafteten entkoppelten sig nalgebenden Elementen (K1, K2) mit geschlossener Leiterschlei fe, wobei jedes signalgebende Element eingangsseitig über ei nen jeweils zugeordneten Testausgang (A1, A2) mit einem je weiligen Signal (S1, S2(tx)) beaufschlagt wird, welches aus gangsseitig einem jeweils zugeordneten Eingangskanal (E1, E2) zugeleitet wird, dadurch gekennzeich net, dass

- jeder Testausgang (A1, A2) so um eine definierte Zeit (tx) gegenüber den anderen Testausgängen verzögert geschaltet wird, dass die jeweiligen Signale (S1, S2) mit einer ent sprechenden Schaltverzögerung an den jeweiligen signalge benden Elementen (K1, K2) anstehen und die jeweiligen Ein gangskanäle (E1, E2) einer definierten Abfolge von Signal änderungen (ΔS) mit einer festen zeitlichen Zuordnung (tx) folgen, und
- die Eingangskanäle (E1, E2) gestützt auf diese Signalver läufe (ΔS) und das jeweilige Zeitintervall (tx) entspre chend einer definierten Erwartungshaltung ausgewertet wer den, wobei aus Abweichungen von tatsächlichen und erwarte ten Signalverläufen (ΔS) und/oder Zeitintervallen (tx) Rückschlüsse auf vorliegende Fehler gezogen werden.

2. Verfahren zur Fehleraufdeckung beim Betrieb von Sensoren (Z), insbesondere mit überwiegend statischem Signal, mit kon taktbehafteten entkoppelten signalgebenden Elementen (K1, K2) mit geschlossener Leiterschleife nach Anspruch 1, da durch gekennzeichnet, dass das Verfahren im Rahmen einer Zwangsdynamisierung (ZD) durchgeführt wird.

3. Verfahren zur Fehleraufdeckung beim Betrieb von Sensoren (Z) mit kontaktbehafteten entkoppelten signalgebenden Elemen ten (K1, K2) mit geschlossener Leiterschleife nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass das Verfahren beim Einschalten jedes Sensors (Z) durchgeführt wird.

4. Verfahren zur Fehleraufdeckung beim Betrieb von Sensoren (Z) mit kontaktbehafteten entkoppelten signalgebenden Elemen ten (K1, K2) mit geschlossener Leiterschleife nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass das Verfahren beim Ausschalten jedes Sensors (Z) durchgeführt wird.

5. Verfahren zur Aufdeckung eines Querschlusses (Q) beim Be trieb von Sensoren (Z) mit zwei kontaktbehafteten entkoppel ten signalgebenden Elementen (K1, K2) mit geschlossener Lei terschleife nach Anspruch 4, wobei beide Testausgänge (T1, T2) in einem Ausgangszeitpunkt (t0) aktiviert sind, ge kennzeichnet durch folgende weiteren Verfahrens schritte:

- Deaktivieren eines ersten Testausgangs (T2) zu einem ersten Zeitpunkt (t1),
- Generieren eines Fehlersignals der Kategorie 'Querschluss', sofern das Signal (E2(t)) des dem ersten Testausgang (T2) zugeordneten Eingangskanals (E2) auf aktiviertem Signalzu stand verbleibt.

6. Verfahren zur Aufdeckung eines Querschlusses (Q) ohne Pha senkurzschluss (P) beim Betrieb von Sensoren (Z) mit zwei kontaktbehafteten entkoppelten signalgebenden Elementen (K1, K2) mit geschlossener Leiterschleife nach Anspruch 5, ge kennzeichnet durch folgende weiteren Verfahrens schritte:

- Abwarten einer definierten Schaltverzögerung (tx),
- Deaktivieren des zweiten Testausgangs (T1) zu einem Zeit punkt (t3) nach Ablauf der Schaltverzögerung (tx),
- Generieren eines Fehlersignals der Kategorie 'Querschluss ohne Phasenkurzschluss', sofern die Signale (E1(t), E2(t)) beider Eingangskanäle (E1, E2) zusammen erst nach Ablauf der Schaltverzögerung (tx) für den zweiten Testausgang (T1) den deaktivierten Signalzustand einnehmen.

7. Verfahren zur Aufdeckung eines Querschlusses (Q) beim Be trieb von Sensoren (Z) mit zwei kontaktbehafteten entkoppel ten signalgebenden Elementen (K1, K2) mit geschlossener Lei terschleife nach Anspruch 3, wobei beide Testausgänge (T1, T2) in einem Ausgangszeitpunkt (t0) deaktiviert sind, ge kennzeichnet durch folgende weiteren Verfahrens schritte:

- Aktivieren eines ersten Testausgangs (T2) zu einem ersten Zeitpunkt (t1),
- Abwarten einer definierten Schaltverzögerung (tx),
- Generieren eines Fehlersignals der Kategorie 'Querschluss', sofern die Signale (E1(t), E2(t)) beider Eingangskanäle (E1, E2) den aktivierten Signalzustand einnehmen und auch nach Ablauf der Schaltverzögerung (tx) aktiv verbleiben.

8. Verfahren zur Fehleraufdeckung beim Betrieb von Sensoren (Z) mit kontaktbehafteten entkoppelten signalgebenden Elemen ten (K1, K2) mit geschlossener Leiterschleife nach einem der vorangehenden Ansprüche, dadurch gekenn zeichnet, dass zur Erkennung eines Leitungsbruches in einer Signalleitung zusätzlich ein kreuzweiser Datenver gleich (KDV) zwischen den Signalen (E1(t), E2(t)) jeweils zweier Eingangskanäle (E1, E2) durchgeführt wird.