DE102012107715B3

DE102012107715B3 - Berührungslos arbeitender Sicherheitsschalter

Info

Publication number: DE102012107715B3
Application number: DE201210107715
Authority: DE
Inventors: Klaus Wehmeyer; Marcus Scholz; Georg Zwirkowski
Original assignee: Bernstein AG
Current assignee: Bernstein AG
Priority date: 2012-08-22
Filing date: 2012-08-22
Publication date: 2013-09-12
Anticipated expiration: 2032-08-23

Abstract

Die Erfindung betrifft einen berührungslos arbeitenden Sicherheitsschalter (1, 100, 200), der zum berührungslosen Zusammenwirken mit einem Betätiger (9, 110, 210) eingerichtet ist, wobei der Sicherheitsschalter (1, 100, 200) dazu eingerichtet ist, an einem Schaltausgang (4, 5, 140, 240) des Sicherheitsschalters (1, 100, 200) ein Abschaltsignal zu erzeugen, wenn der Abstand (D) zwischen dem Sicherheitsschalter (1, 100, 200) und dem Betätiger (9, 110, 210) einen vorbestimmten Grenzwert über- oder unterschreitet.

Description

Die Erfindung betrifft einen berührungslos arbeitenden Sicherheitsschalter gemäß Anspruch 1.
Ein berührungslos arbeitender Sicherheitsschalter ist z. B. aus der DE 198 40 620 C1 bekannt. Der Sicherheitsschalter ist zum Zusammenwirken mit einem Betätiger eingerichtet. Mit der Anordnung aus Sicherheitsschalter und Betätiger kann z. B. überwacht werden, ob eine Schutztür einer Maschine geöffnet oder geschlossen ist. Da bei geöffneter Schutztür aus Sicherheitsgründen in der Regel kein Betrieb der Maschine zulässig ist, kann mittels des Sicherheitsschalters die Maschine über den Schaltausgang des Sicherheitsschalters abgeschaltet werden, wenn in Folge eines zu großen Abstands zwischen dem Sicherheitsschalter und dem Betätiger erkannt wird, dass die Schutztür geöffnet ist oder geöffnet wird.
Aus der DE 102 22 186 C1 ist ein Sicherheitsschalter mit einer Erkennungseinrichtung für einen Betätiger bekannt, die an eine Schalteinrichtung gekoppelt ist und ein Sendeelement zum Emittieren elektromagnetischer Signale und eine Auswerteschaltung umfasst, welche in Abhängigkeit von an einem Empfangselement induzierten elektrischen Signalen ein Schaltsignal zum Aktivieren der Schalteinrichtung erzeugt, wobei die Auswerteschaltung einen Integrator, der zum Erfassen der während einer dem Emittieren folgenden Zeitspanne im Empfangselement induzierten elektrischen Energiemenge an einen Zeitgeber gekoppelt ist, und eine Vergleichseinrichtung umfasst, die das Schaltsignal bereitstellt, wenn die Energiemenge einen vorbestimmten Schwellenwert über- oder unterschreitet.
Aus der DE 10 2008 063 244 A1 ist eine Schaltung zur Ansteuerung eines Elektromotors bekannt. Die Schaltung umfasst einen Eingangsanschluss zum Anschließen eines Sicherheitsschaltkontakts, wobei in Abhängigkeit von einem Schaltzustand des Sicherheitsschaltkontakts an dem Eingangsanschluss ein Sicherheitsabschaltsignal mit einem Abschaltpegel bzw. einem Freigabepegel ansteht, eine Motorsteuereinheit, die mit dem Eingangsanschluss verbunden ist, die ein Motordrehzahlstellsignal empfängt und die dazu ausgebildet ist, ein Ansteuersignal für den Elektromotor in Abhängigkeit von dem Sicherheitsabschaltsignal zu erzeugen, wobei ein deaktiviertes Ansteuersignal erzeugt wird, das einem stillstehenden Motor entspricht, wenn das Sicherheitsabschaltsignal den Abschaltpegel aufweist und die Motorsteuereinheit fehlerfrei arbeitet, und ein aktiviertes Ansteuersignal erzeugt wird, das einem bewegten Motor entspricht, wenn das Sicherheitsabschaltsignal den Freigabepegel aufweist und das Motordrehzahlstellsignal aktiv ist, und eine erste Sicherheitsschaltung, die mit dem Eingangsanschluss verbunden ist, die zwischen die Motorsteuereinheit und den Motor eingeschleift ist und die ein durch die Motorsteuereinheit aufgrund eines fehlerhaften Betriebs aktiviertes Ansteuersignal deaktiviert, wenn das Sicherheitsabschaltsignal den Abschaltpegel aufweist.
Die EP 1 363 306 A2 offenbart einen Sicherheitsschalter mit zwei zwischen jeweils einen Eingangskontakt für ein Freigabesignal und jeweils einen Ausgangskontakt geschalteten elektronischen Schaltern und einen Sensor für einen Betätiger, wobei eine Steuerung zum Aktivieren der elektronischen Schalter in Reaktion auf eine Betätigung des Sensors, die an die Ausgangskontakte zum Erkennen von mit dem Schaltzustand unvereinbaren Signalen an den Ausgangskontakten gekoppelt ist, und durch eine Sicherheitslogik zum Abchalten der elektronischen Schalter bei einer Fehlfunktion.
Aus der DE 10 2004 020 997 A1 ist eine Sicherheitsschalteinrichtung bekannt. Die Sicherheitsschalteinrichtung besitzt ein Steuerteil zum Verarbeiten eines Eingangssignals und zumindest ein Schaltelement mit zumindest einem aktiven und einem inaktiven Schaltzustand. Der Steuerteil ist dazu ausgebildet, das Schaltelement anzusteuern, um ein vom Eingangssignal abhängiges Ausgangssignal zu erzeugen. Außerdem besitzt die Sicherheitsschalteinrichtung eine Diagnosefunktionalität zum Erkennen eines Funktionsfehlers, wobei der Steuerteil dazu ausgebildet ist, das Schaltelement in den inaktiven Zustand zu steuern, wenn ein Funktionsfehler erkannt ist. Gemäß einem Aspekt der Erfindung ist der Steuerteil ferner dazu ausgebildet, mit Hilfe des Schaltelements ein Datentelegramm zu erzeugen, das von dem erkannten Funktionsfehler abhängt.
Der Erfindung liegt die Aufgabe zugrunde, einen Sicherheitsschalter mit verbesserter Kaskadierbarkeit anzugeben.
Diese Aufgabe wird durch den im Patentanspruch 1 angegebenen Sicherheitsschalter gelöst.
Der erfindungsgemäße Sicherheitsschalter weist wenigstens eine softwaregesteuerte Steuerschaltung auf. Die softwaregesteuerte Steuerschaltung weist mindestens einen Rechner auf, der die Software ausführt und dabei die nach folgend beschriebenen Funktionen des Sicherheitsschalters realisiert. Der Rechner kann z. B. als Mikroprozessor, Mikrocontroller, ASIC oder FPGA ausgeführt sein. Sofern mehrere Rechner in dem Sicherheitsschalter vorhanden sind, können diese auch aus verschiedenen der zuvor genannten Bauteile gebildet werden. Die Einführung einer softwaregesteuerten Steuerschaltung des Sicherheitsschalters hat den Vorteil, dass ein Sicherheitsschalter mit erweiterter Funktionalität bereitgestellt werden kann, die ohne eine solche Softwaresteuerung bisher praktisch nicht oder nur mit unpraktikablem Aufwand realisierbar war. Insbesondere kann der Sicherheitsschalter hinsichtlich seiner Funktionen konfigurierbar ausgebildet sein, so dass er von einem Anwender bezüglich der auszuführenden Funktionen an einen gewünschten Anwendungsfall angepasst werden kann. Zudem erlaubt die softwaregesteuerte Steuerschaltung das Vorsehen von Diagnosefunktionen, mit denen Fehler z. B. mittels eines Diagnosegeräts einfach und komfortabel ermittelbar sind.
Die Erfindung betrifft einen berührungslos arbeitenden Sicherheitsschalter, der zum berührungslosen Zusammenwirken mit einem Betätiger eingerichtet ist, wobei der Sicherheitsschalter dazu eingerichtet ist, an einem Schaltausgang in Form eines äußeren elektrischen Anschlusses des Sicherheitsschalters ein Abschaltsignal zu erzeugen, wenn der Abstand zwischen dem Sicherheitsschalter und dem Betätiger einen vorbestimmten Grenzwert über oder unterschreitet, dadurch gekennzeichnet, dass

a) der Sicherheitsschalter wenigstens einen Abschalteingang in Form eines äußeren elektrischen Anschlusses des Sicherheitsschalters aufweist,
b) der Sicherheitsschalter mit weiteren Sicherheitsschaltern kaskadierbar ist, indem ein Schaltausgang des Sicherheitsschalters mit einem Abschalteingang eines nachgeordneten Sicherheitsschalters verbunden ist,
c) der Sicherheitsschalter wenigstens ein als elektronisches Hardware-Bauteil ausgebildetes Logikgatter aufweist, wobei der Schaltausgang des Sicherheitsschalters mit dem Ausgang des Logikgatters verbunden ist, und wobei ein erster Eingang des Logikgatters mit einer softwaregesteuerten Steuerschaltung des Sicherheitsschalters, die zur Durchführung einer Datenkommunikation mit dem Betätiger eingerichtet ist, verbunden ist und ein zweiter Eingang des Logikgatters unter Umgehung der softwaregesteuerten Steuerschaltung mit dem Abschalteingang des Sicherheitsschalters verbunden ist, wobei das Logikgatter dazu eingerichtet ist, bei Empfang eines Abschaltsignals am Abschalteingang des Sicherheitsschalters unabhängig vom am ersten Eingang des Logikgatters anliegenden Signal sofort an dem Schaltausgang des Sicherheitsschalters das Abschaltsignal zu erzeugen.

Diese Ausführungsform hat den Vorteil, dass eine rein hardwaremäßig bewirkte Schnellabschaltung aller Schaltausgänge der Kaskade von Sicherheitsschaltern sichergestellt ist. Auch der letzte Schaltausgang in der Kaskade kann praktisch verzögerungsfrei abgeschaltet werden. Durch das hardwaremäßig ausgeführte Logikgatter können Abschaltsignale von einem Sicherheitsschalter zum nächsten direkt weitergegeben werden, ohne dass auf eine entsprechende Verarbeitung in der Software und entsprechende softwaremäßige Abschaltsignale gewartet werden muss. Hierdurch können auch eine größere Zahl von Sicherheitsschaltern kaskadiert werden, z. B. bis zu 32 Sicherheitsschalter. Dennoch ist die Durchlaufzeit eines Abschaltsignals vorn ersten bis zum letzten Sicherheitsschalter äußerst gering. So kann z. B. eine Worst-Case-Reaktionszeit von 20 Millisekunden eingehalten werden. Gegenüber einer anderweitigen hardwaremäßigen Verknüpfung von Schaltsignalen, z. B. durch Relais oder ähnliches, hat der zuvor erwähnte Sicherheitsschalter den Vorteil, dass keine externe Beschaltung erforderlich ist und insbesondere auf Relais und ähnliches verzichtet werden kann. Vielmehr kann eine Schnellabschaltung bei einer Kaskadierung von Sicherheitsschaltern durch das in den jeweiligen Sicherheitsschalter integrierte Logikgatter sichergestellt werden.
Das Abschaltsignal kann z. B. AUS-Signal sein, d. h. ein Signal, mit dem eine am Schaltausgang angeschlossene Einrichtung ausgeschaltet wird. Das Abschaltsignal kann z. B. eine Unterbrechung der Stromversorgung der angeschlossenen Einrichtung, ein Digitalsignal mit niedrigem Pegel oder eine sonstige Unterbrechung eines elektrischen Signals sein.
Gemäß einer vorteilhaften Ausführungsform ist das Logikgatter ein Logikgatter mit zwei Eingängen und einem Ausgang. Im Falle positiver Logik kann das Logikgatter als UND-Gatter ausgeführt sein, im Falle negativer Logik als ODER-Gatter.
Der Sicherheitsschalter kann auch weitere Schaltausgänge aufweisen, ebenso weitere Abschalteingänge, wobei auch hier jeweils eines der genannten Logikgatter zur Sicherstellung der Schnellabschaltung im Falle einer Kaskadierung von Sicherheitsschaltern vorgesehen sein kann.
Gemäß einer vorteilhaften Ausführungsform weist der Sicherheitsschalter eine Diagnoseschnittstelle auf. Dies hat den Vorteil, dass mittels eines Diagnosegeräts, z. B. über ein serielles Datenprotokoll, mit dem Sicherheitsschalter Diagnoseinformationen ausgetauscht werden können und hierbei insbesondere Fehlermeldungen und Defekterkennungen ausgelesen und dargestellt werden können. Über die Diagnoseschnittstelle können außerdem Parametrierungen des Sicherheitsschalters durchgeführt werden können, d. h. es können Parameter des Sicherheitsschalters eingestellt werden, um dessen Funktionen wie gewünscht einzustellen.
Gemäß einer vorteilhaften Ausführungsform ist der Sicherheitsschalter über die Diagnoseschnittstelle hinsichtlich seiner Funktion konfigurierbar. Insbesondere können über die Diagnoseschnittstelle unterschiedliche im Sicherheitsschalter softwaremäßig vorgesehene Funktionen aktiviert oder deaktiviert werden. Zudem können bestimmte Funktionsparameter der Funktionen über die Diagnoseschnittstelle auf gewünschte Werte eingestellt werden, wie z. B. Reaktionszeiten auf bestimmte Eingangssignale.
Gemäß einer vorteilhaften Ausführungsform weist der Sicherheitsschalter als Diagnoseschnittstelle wenigstens einen Diagnoseeingang und wenigstens einen Diagnoseausgang auf, wobei der Diagnoseausgang zur Übertragung von nicht sicherheitsgerichteten internen Statusinformationen des Sicherheitsschalters an ein externes Gerät und der Diagnoseeingang zum Empfang und zur Weiterleitung nicht sicherheitsgerichteter Statusinformationen, die über den Diagnoseeingang empfangen werden, an eine softwaregesteuerte Steuerschaltung des Sicherheitsschalters eingerichtet ist. Dies hat den Vorteil, dass separate Anschlüsse für den Diagnoseeingang und den Diagnoseausgang zur Verfügung stehen, so dass im Falle einer Kaskadierung mehrerer Sicherheitsschalter auch die Diagnoseschnittstellen in der Art kaskadiert werden können, dass ein Diagnoseausgang eines Sicherheitsschalters mit einem Diagnoseeingang eines nachgeordneten Sicherheitsschalters verbunden werden kann. Die softwaregesteuerte Steuerschaltung des Sicherheitsschalters kann dann dazu eingerichtet sein, die am Diagnoseeingang empfangenen Daten ganz oder teilweise an dem Diagnoseausgang des Sicherheitsschalters wieder auszugeben, insbesondere wenn die Daten nicht für den Sicherheitsschalter selbst, sondern für einen anderen, z. B. nachgeordneten Sicherheitsschalter bestimmt sind.
Gemäß einer vorteilhaften Ausführungsform weisen der Sicherheitsschalter und der Betätiger eindeutige Codierungen auf, die einander zugeordnet sind, wobei der Sicherheitsschalter derart eingerichtet ist, dass er nur mit einem entsprechend codierten Betätiger hinsichtlich seiner vollen Funktion zusammenwirkt. Wird kein zugeordneter Betätiger mit zum Sicherheitsschalter passender Codierung erkannt, kann der Sicherheitsschalter z. B. den Schaltausgang dauerhaft im abgeschalteten Zustand belassen oder dann abschalten. Die Codierungen können z. B. derart ausgeführt sein, dass im Betätiger ein Sicherheitscode gespeichert ist und in dem Sicherheitsschalter ein Soll-Sicherheitscode eines zum Sicherheitsschalter zugehörigen Betätigers gespeichert ist. Es kann auch vorgesehen sein, dass im Sicherheitsschalter der Sicherheitscode gespeichert ist und in dem Betätiger der Soll-Sicherheitscode eines zum Betätiger zugehörigen Sicherheitsschalters gespeichert ist. Wird erkannt, dass der Sicherheitscode und der Soll-Sicherheitscode übereinstimmen, dann passen der Sicherheitsschalter und der Betätiger zusammen und können ihre volle Funktion wahrnehmen.
Die Prüfung, ob der Sicherheitscode mit dem Soll-Sicherheitscode übereinstimmt, kann wahlweise in dem Sicherheitsschalter oder in dem Betätiger ausgeführt werden. Je nach Art der Ausführung werden entweder der Sicherheitscode vom Betätiger zum Sicherheitsschalter übertragen und dort mit einem im Sicherheitsschalter gespeicherten Soll-Sicherheitscode verglichen, oder der Sicherheitscode wird vom Sicherheitsschalter an den Betätiger übertragen und im Betätiger mit einem im Betätiger gespeicherten Soll-Sicherheitscode verglichen. Wenn der Vergleich ergibt, dass der Sicherheitscode mit dem Soll-Sicherheitscode übereinstimmt, dann setzen der Sicherheitsschalter und der Betätiger ihre drahtlose Datenkommunikation fort und können ihre volle Funktion aufnehmen. Sofern der Betätiger den Vergleich ausführt, kann er das Ergebnis des Vergleichs im Sinne eines Gut/Schlecht-Signals anschließend dem Sicherheitsschalter mitteilen.
Gemäß einer vorteilhaften Ausführungsform betrifft die Erfindung einen berührungslos arbeitenden Sicherheitsschalter, der zum berührungslosen Zusammenwirken mit einem Betätiger eingerichtet ist, wobei der Sicherheitsschalter dazu eingerichtet ist, an einem Schaltausgang des Sicherheitsschalters ein Abschaltsignal zu erzeugen, wenn der Abstand zwischen dem Sicherheitsschalter und dem Betätiger einen vorbestimmten Grenzwert über- oder unterschreitet, insbesondere ein Sicherheitsschalter der zuvor beschriebenen Art, wobei der Sicherheitsschalter dazu eingerichtet ist, mit einem in Reichweite der drahtlosen Datenkommunikation befindlichen Betätiger einen Sicherheitscode mit einer bestimmten Datenblocklänge auszutauschen, wobei der Sicherheitscode in Codeabschnitten, die kleiner als die volle Datenblocklänge sind, abschnittsweise zwischen dem Betätiger und dem Sicherheitsschalter übertragen wird.
Dies hat den Vorteil, dass der Sicherheitsschalter und/oder der Betätiger schneller erkennen kann, ob der in Reichweite der drahtlosen Datenkommunikation befindliche Betätiger ein dem Sicherheitsschalter zugeordneter Betätiger ist oder nicht. Es kann somit durch den Sicherheitsschalter und/oder den Betätiger schneller entschieden werden, ob die Kommunikation zwischen dem Sicherheitsschalter und dem Betätiger abgebrochen werden kann und der Sicherheitsschalter ggf. in einen sicheren Zustand übergeht, in dem am Schaltausgang das Abschaltsignal erzeugt ist. Hierdurch kann die Zugriffszeit verringert werden. Beispielsweise kann bei einer vorgegebenen Datenblocklänge von 32 Bit für den Sicherheitscode dieser in Codeabschnitten von jeweils 4 Bit übertragen werden.
Die Übertragung der Codeabschnitte von dem Betätiger zu dem Sicherheitsschalter kann z. B. derart ausgebildet sein, dass der Sicherheitsschalter jeweils einen bestimmten Codeabschnitt mit einer bestimmten Abschnittsnummer vom Betätiger abfragt, der Betätiger den angeforderten Codeabschnitt an den Sicherheitsschalter überträgt und der Sicherheitsschalter dann diesen Codeabschnitt mit einem Soll-Codeabschnitt des im Sicherheitsschalter gespeicherten Soll-Sicherheitscodes vergleicht. Im Fall der umgekehrten Übertragungsrichtung der Codeabschnitte, d. h. einer Übertragung von dem Sicherheitsschalter zu dem Betätiger, kann der Betätiger jeweils einen bestimmten Codeabschnitt mit einer bestimmten Abschnittsnummer vom Sicherheitsschalter abfragen, der Sicherheitsschalter den angeforderten Codeabschnitt an den Betätiger übertragen und der Betätiger dann diesen Codeabschnitt mit einem Soll-Codeabschnitt des im Betätiger gespeicherten Soll-Sicherheitscodes vergleichen Gemäß einer vorteilhaften Ausführungsform sind zwischen den Codeabschnitten des Sicherheitscodes jeweils Übertragungspausen bei der drahtlosen Datenkommunikation vorgesehen. Dies hat den Vorteil, dass dasjenige Element (Sicherheitsschalter oder Betätiger), das den Vergleich des entsprechenden Codeabschnitts mit einem Soll-Codeabschnitt durchführt, für diesen Vergleich ausreichende Bearbeitungszeit hat.
Gemäß einer vorteilhaften Ausführungsform ist vorgesehen, dass der Sicherheitsschalter dazu eingerichtet ist, einen vom Betätiger übertragenen Sicherheitscode nach jedem übertragenen Codeabschnitt auf Übereinstimmung mit einem entsprechenden Codeabschnitt eines Soll-Sicherheitscodes, der im Sicherheitsschalter gespeichert ist, zu überprüfen und die weitere Datenübertragung des Sicherheitscodes abzubrechen, sobald ein vom Betätiger übertragener Codeabschnitt nicht mit dem entsprechenden Codeabschnitt des Soll-Sicherheitscodes übereinstimmt, und in diesem Fall an dem Schaltausgang des Sicherheitsschalters das Abschaltsignal zu erzeugen. Sofern der Codevergleich vom Betätiger durchgeführt wird, kann in einer vorteilhaften Ausführungsform vorgesehen sein, dass der Betätiger einen vom Sicherheitsschalter übertragenen Sicherheitscode nach jedem übertragenen Codeabschnitt auf Übereinstimmung mit einem entsprechenden Codeabschnitt eines Soll-Sicherheitscodes, der im Betätiger gespeichert ist, überprüft und die weitere Datenübertragung des Sicherheitscodes abbricht, sobald ein vom Sicherheitsschalter übertragener Codeabschnitt nicht mit dem entsprechenden Codeabschnitt des Soll-Sicherheitscodes übereinstimmt. Infolge des Abbruchs der Datenübertragung erkennt auch der Sicherheitsschalter einen Fehler und kann dann an dem Schaltausgang das Abschaltsignal erzeugen.
Gemäß einer vorteilhaften Ausführungsform ist der Sicherheitsschalter dazu eingerichtet, im Fall einer fehlerhaften Übertragung eines Codeabschnitts eine oder ggf. mehrere wiederholte Übertragungen des Codeabschnitts auszuführen, solange eine vorbestimmte Maximalübertragungszeit für die Übertragung des Sicherheitscodes nicht überschritten ist. Hierdurch kann ohne Beeinträchtigung der Sicherheit des Systems die Verfügbarkeit erhöht werden, insbesondere in Umgebungen mit Störungsüberlagerungen. Sofern der Codevergleich vom Betätiger durchgeführt wird, kann eine solche Wiederholfunktion in dem Betätiger realisiert sein.
Gemäß einer vorteilhaften Ausführungsform betrifft die Erfindung einen berührungslos arbeitenden Sicherheitsschalter, der zum berührungslosen Zusammenwirken mit einem Betätiger eingerichtet ist, wobei der Sicherheitsschalter dazu eingerichtet ist, an einem Schaltausgang des Sicherheitsschalters ein Abschaltsignal zu erzeugen, wenn der Abstand zwischen dem Sicherheitsschalter und dem Betätiger einen vorbestimmten Grenzwert über- oder unterschreitet, insbesondere ein Sicherheitsschalter der zuvor beschriebenen Art, wobei der Sicherheitsschalter eine redundant aufgebaute softwaregesteuerte Steuerschaltung aufweist, die wenigstens zwei Rechner aufweist, die dazu eingerichtet sind, beim Betrieb des Sicherheitsschalters untereinander Daten auszutauschen, wobei nur ein erster der zwei Rechner mit einer Kommunikationseinheit des Sicherheitsschalters verbunden ist, die zur drahtlosen Datenkommunikation mit dem Betätiger eingerichtet ist, wobei der erste Rechner dazu eingerichtet ist, über die Kommunikationseinheit Daten mit dem Betätiger auszutauschen, wobei der erste Rechner dazu eingerichtet ist, wenigstens einen Teil der von dem Betätiger empfangenen Daten an den zweiten Rechner weiterzuleiten und der zweite Rechner dazu eingerichtet ist, eine Sicherheitsüberprüfung der von dem Betätiger empfangenen und an den zweiten Rechner weitergeleiteten Daten unabhängig vom ersten Rechner auszuführen.
Hierdurch kann eine sogenannte serielle Redundanz in dem Sicherheitsschalter realisiert werden, die den Vorteil hat, dass mit geringem Schaltungs- und Softwareaufwand die einschlägigen Sicherheitsvorschriften für solche Sicherheitsschalter erfüllt werden können. Der Sicherheitsschalter ist redundant ausgebildet, ohne dass jeder der zwei Rechner direkt mit der Kommunikationseinheit verbunden sein muss. Vielmehr reicht es, nur den ersten Rechner mit der Kommunikationseinheit zu verbinden. Der zweite Rechner kann dann mit über die Kommunikationseinheit empfangenen Daten versorgt werden, indem diese vom ersten Rechner über eine zwischen dem ersten und dem zweiten Rechner gebildete Datenkommunikationsverbindung an den zweiten Rechner weitergegeben werden. Über diese interne Datenkommunikationsverbindung kann z. B. ein Sicherheitscode von dem Betätiger beiden Rechnern zur Verfügung gestellt werden, so dass sowohl in dem ersten Rechner als auch in dem zweiten Rechner unabhängig voneinander der Sicherheitscode von dem Betätiger auf Übereinstimmung mit einem Soll-Sicherheitscode, der in dem Sicherheitsschalter gespeichert ist, geprüft werden. Die interne Datenkommunikationsverbindung zwischen dem ersten und dem zweiten Rechner hat den weiteren Vorteil, dass während des Betriebs des Sicherheitsschalters eine Kreuzkommunikation zwischen den Rechnern erfolgen kann, über die sich die Rechner gegenseitig überwachen können. Es kann z. B. gewisse Kommunikationszeitpunkte geben, an denen Daten ausgetauscht werden müssen. Hierdurch kann der erste Rechner den zweiten Rechner und umgekehrt sowohl auf Korrektheit der ausgetauschten Daten als auch auf den korrekten zeitlichen Ablauf der Softwareausführung hin überwachen.
Gemäß einer vorteilhaften Ausführungsform ist der zweite Rechner dazu eingerichtet, die Sicherheitsüberprüfung des von dem Betätiger empfangenen und an den zweiten Rechner weitergeleiteten Sicherheitscodes anhand eines unabhängig vom ersten Rechner in dem zweiten Rechner oder einem damit verbundenen, dem zweiten Rechner zugeordneten Speicher gespeicherten Soll-Sicherheitscodes auszuführen. Insbesondere kann ein exklusiv dem zweiten Rechner zugeordneter Speicher für die Speicherung des Soll-Sicherheitscodes verwendet werden, der für die Sicherheitsüberprüfung durch den zweiten Rechner verwendet wird. Dies hat den Vorteil, dass die Speichermittel zur Speicherung des Soll-Sicherheitscodes redundant ausgebildet sein können.
Gemäß einer vorteilhaften Ausführungsform weist der Sicherheitsschalter einen ersten Schaltausgang auf, an dem nur von dem ersten Rechner ein Abschaltsignal erzeugbar ist, und einen zweiten Schaltausgang, an dem nur von dem zweiten Rechner unabhängig von dem ersten Rechner ein Abschaltsignal erzeugbar ist. Hierdurch kann der Sicherheitsschalter vollständig zweikanalig ausgebildet werden, wobei die zwei Kanäle unabhängig voneinander betrieben werden können. Selbstverständlich kann der Sicherheitsschalter in der zuvor beschriebenen Weise auch mit mehr als zwei Kanälen ausgebildet werden.
Gemäß einer vorteilhaften Ausführungsform weist der Sicherheitsschalter einen ersten Abschalteingang auf, der mit dem ersten Rechner verbunden ist und einen zweiten Abschalteingang, der unabhängig vom ersten Abschalteingang mit dem zweiten Rechner verbunden ist. Hierdurch kann der Sicherheitsschalter auch im Hinblick auf die Abschalteingänge vollständig zweikanalig ausgebildet werden.
Gemäß einer vorteilhaften Ausführungsform sind der erste und der zweite Rechner dazu eingerichtet, den Schaltausgang bzw. die Schaltausgänge des Sicherheitsschalters abzuschalten, sobald ein interner Fehler in der Datenkommunikation zwischen ersten und dem zweiten Rechner, ein Fehler in der Datenkommunikation mit dem Betätiger oder ein zu großer Abstand zwischen dem Betätiger und dem Sicherheitsschalter festgestellt wurde. Der Sicherheitsschalter geht dann in den sogenannten sicheren Zustand über, in dem der Schaltausgang bzw. die Schaltausgänge abgeschaltet sind und damit entsprechende, mit den Schaltausgängen verbundene Maschinen ebenfalls abgeschaltet sind.
Die Erfindung wird nachfolgend anhand von Ausführungsbeispielen unter Verwendung von Zeichnungen näher erläutert.
Es zeigen:
1 – einen Sicherheitsschalter mit einem zugeordneten Betätiger in einer ersten Ausführungsform und
2 – jeweils zwei Sicherheitsschalter mit zugeordneten Betätigern in einer zweiten Ausführungsform.
Die 1 zeigt in schematischer Darstellung einen Sicherheitsschalter 1 und einen Betätiger 9 mit einer zwischen dem Sicherheitsschalter 1 und dem Betätiger 9 gebildeten drahtlosen Datenkommunikationsstrecke 8. Der Betätiger 9 wird berührungslos bezüglich des Sicherheitsschalters 1 betrieben. Beispielsweise kann der Sicherheitsschalter 1 an einem Absperrzaun einer Maschine befestigt sein, und der Betätiger 9 an einer z. B. für Zwecke der Wartung der Maschine zu öffnenden Tür des Absperrzauns. Hierbei sind der Sicherheitsschalter 1 und der Betätiger 9 an Positionen anzubringen, das ihr Abstand D voneinander bei geschlossener Tür relativ gering ist, und zwar so gering, dass sich der Betätiger 9 in Reichweite der Datenkommunikation mit dem Sicherheitsschalter 1 befindet, so dass über die Datenkommunikationsstrecke 8 Daten zwischen dem Betätiger 9 und dem Sicherheitsschalter 1 ausgetauscht werden können. Wird der Betätiger 9 dann vom Sicherheitsschalter 1 fortbewegt, z. B. durch Öffnen der Tür, vergrößert sich der Abstand D so weit, dass keine Datenkommunikation über die Datenkommunikationsstrecke 8 mehr möglich ist. Hieran kann der Sicherheitsschalter 1 erkennen, dass ein sicherheitsrelevanter Abschaltzustand vorliegt, nämlich die geöffnete Tür des Sicherheitszauns, und kann entsprechende Abschaltsignale an seinen nachfolgend noch erläuterten Schaltausgängen abgeben.
Der Sicherheitsschalter 1 weist gemäß der beispielhaften Darstellung der 1 sechs äußere elektrische Anschlüsse auf, nämlich einen ersten Abschalteingang 3, einen zweiten Abschalteingang 2, einen ersten Schaltausgang 5, einen zweiten Schaltausgang 4, einen Diagnoseeingang 6 und einen Diagnoseausgang 7. Der Sicherheitsschalter 1 weist z. B. einen gemeinsamen Steckverbinder für die Anschlüsse 2, 3, 4, 5, 6, 7 auf, die dann über einen externen Stecker kontaktiert werden können. Der Sicherheitsschalter 1 kann ggf. noch weitere äußere elektrische Anschlüsse zur Stromversorgung des Sicherheitsschalters aufweisen. Alternativ kann der Sicherheitsschalter 1 zur Stromversorgung auch mit einer eingebauten Batterie oder einem Akkumulator ausgestattet sein, oder drahtlos mit elektrischer Energie versorgt werden.
Der Sicherheitsschalter 1 weist eine mit dem ersten Abschalteingang 3 verbundene erste Eingangsschaltung 20 auf. Die erste Eingangsschaltung 20 ist ausgangsseitig mit einem ersten Rechner 21 verbunden. Der erste Rechner 21 empfängt hierüber Eingangssignale vom ersten Abschalteingang 3 und verarbeitet diese nach vorgegebenen Funktionen, ggf. unter Berücksichtigung weiterer über andere Signalpfade empfangene Signale und gibt ein hieraus bestimmtes Ausgangssignal an einen ersten Eingang eines ersten Logikgatters 23 ab. Der Ausgang der ersten Eingangsschaltung 20 ist über einen Bypass-Signalpfad 25, der den ersten Rechner 21 umgeht, zusätzlich direkt mit einem zweiten Eingang des ersten Logikgatters 23 verbunden. Das erste Logikgatter 23 kann z. B. als UND-Gatter ausgebildet sein. Der Ausgang des ersten Logikgatters 23 ist auf eine erste Ausgangsschaltung 24 geführt, die das insoweit vorliegende, interne Logik-Signal des Sicherheitsschalters 1 in ein am ersten Schaltausgang 5 abzugebendes Schaltsignal wandelt und am ersten Schaltausgang 5 abgibt. Die erste Ausgangsschaltung 24 kann z. B. einen Leistungs-Schalttransistor beinhalten, mit dem auch vergleichsweise große Lasten ein- und ausgeschaltet werden können.
Der zweite Abschalteingang 2 ist über eine zweite Eingangsschaltung 10 mit einem zweiten Rechner 11 verbunden. Der zweite Rechner 11 empfängt hierüber Eingangssignale vom zweiten Abschalteingang 2 und verarbeitet diese nach vorgegebenen Funktionen, ggf. unter Berücksichtigung weiterer über andere Signalpfade empfangene Signale und gibt ein hieraus bestimmtes Ausgangssignal an einen ersten Eingang eines zweiten Logikgatters 13 ab. Der Ausgang der zweiten Eingangsschaltung 10 ist über einen den zweiten Rechner 11 umgehenden Bypass-Signalpfad 15 mit einem zweiten Eingang des zweiten Logikgatters 13 verbunden. Der Ausgang des zweiten Logikgatters 13 ist mit einer zweiten Ausgangsschaltung 14 verbunden. Die zweite Ausgangsschaltung 14 ist ausgangsseitig mit dem zweiten Schaltausgang 4 verbunden. Die zweite Eingangsschaltung 10 kann in gleicher Weise wie die erste Eingangsschaltung 20 ausgebildet sein. Der zweite Rechner 11 kann in gleicher Weise wie der erste Rechner 21 ausgebildet sein. Das zweite Logikgatter 13 kann in gleicher Weise wie das erste Logikgatter 23 ausgebildet sein. Die zweite Ausgangschaltung 14 kann in gleicher Weise wie die erste Ausgangsschaltung 24 ausgebildet sein.
Die Rechner 11, 21 können über internen flüchtigen und nichtflüchtigen Speicher verfügen. Zusätzlich können die Rechner 11, 12 mit ihnen jeweils zugeordneten, externen flüchtigen bzw. nichtflüchtigen Speichern 12, 22 verbunden sein. Die nichtflüchtigen Speicher können z. B. als EEPROM oder Flash-Speicher ausgebildet sein. Im nichtflüchtigen Speicher kann insbesondere ein Soll-Sicherheitscode gespeichert sein, der mit einem vom Betätiger 9 empfangenen Sicherheitscode verglichen wird.
Zwischen dem ersten Rechner 21 und dem zweiten Rechner 11 ist eine interne Datenkommunikationsverbindung 31 gebildet, z. B. dadurch, dass jeweilige serielle Schnittstellenanschlüsse der Rechner 11, 21 miteinander verbunden sind, oder dadurch, dass verschiedene Portanschlüsse der Rechner miteinander verbunden sind, so dass eine Parallelschnittstelle realisiert wird. Über die Datenkommunikationsverbindung 31 kontrollieren sich die Rechner 11, 21 gegenseitig und tauschen Daten miteinander aus, wie z. B. einen vom Betätiger empfangenen Sicherheitscode.
Der erste Rechner 21 ist zudem mit einer Kommunikationseinheit 30 verbunden. Über die Kommunikationseinheit 30 kann der erste Rechner bidirektional über die Datenübertragungsstrecke 8 Daten mit dem Betätiger 9 austauschen. Hierzu weist der Betätiger 9 z. B. eine als Gegenstück zur Kommunikationseinheit 30 ausgebildete Kommunikationseinheit 90 auf. Die Kommunikationseinheit 90 ist mit einem Rechner 91 des Betätigers 9 verbunden. Der Rechner 91 kann ebenfalls einen internen flüchtigen oder nichtflüchtigen Speicher aufweisen, und/oder einen externen nichtflüchtigen und/oder flüchtigen Speicher 92. In dem nichtflüchtigen Speicher kann insbesondere der Sicherheitscode gespeichert sein, der für die Erkennung dient, ob der Betätiger 9 dem Sicherheitsschalter 1 zugeordnet ist.
Der Betätiger 9 kann ggf. äußere elektrische Anschlüsse zur Stromversorgung des Betätigers aufweisen. Alternativ kann der Betätiger 9 zur Stromversorgung auch mit einer eingebauten Batterie oder einem Akkumulator ausgestattet sein, oder drahtlos mit elektrischer Energie versorgt werden.
Die Kommunikationseinheiten 30, 90 können grundsätzlich in beliebiger Art ausgebildet sein, die eine drahtlose bzw. berührungslose Datenkommunikation über die Datenübertragungsstrecke 8 erlaubt. Die Kommunikation kann z. B. durch optische Signale, z. B. im sichtbaren oder nicht sichtbaren Bereich des Lichts, über elektromagnetische Wellen oder reine Magnetfelder erfolgen. Geeignet ist z. B. eine Funkkommunikation zwischen den Kommunikationseinheiten 30, 90.
Der Diagnoseeingang 6 ist über einen Signalpfad 60 sowohl an den ersten Rechner 21 als auch an den zweiten Rechner 11 herangeführt, so dass beide Rechner 11, 21 die über den Diagnoseeingang 6 eingespeisten Daten empfangen können. Der Diagnoseausgang 7 ist über einen Signalpfad 70 jedoch nur mit dem ersten Rechner 21 verbunden, so dass nur der erste Rechner 21 Daten über den Diagnoseausgang 7 ausgeben kann. Sofern von dem zweiten Rechner 11 erzeugte Daten über den Diagnoseausgang 7 ausgegeben werden sollen, sind diese vom zweiten Rechner 11 über die interne Datenkommunikationsverbindung 31 zum ersten Rechner 21 zu übertragen. Der erste Rechner 21 kann dann die Daten über den Diagnoseausgang 7 abgeben.
Zur weiteren Erhöhung der Sicherheit und der Redundanz können sowohl die Eingangsschaltungen 10, 20 als auch die Ausgangsschaltungen 14, 24 von den Rechnern 11, 21 überwacht werden. Es kann z. B. eine kreuzweise Überwachung derart vorgesehen sein, dass der zweite Rechner 11 über einen Signalpfad 16 die erste Eingangsschaltung 20 und über einen Signalpfad 27 die erste Ausgangsschaltung 24 überwacht. Der erste Rechner 21 überwacht dann über einen Signalpfad 26 die zweite Eingangsschaltung 10 sowie über einen Signalpfad 17 die zweite Ausgangsschaltung 14.
Die 2 zeigt anhand zweier Sicherheitsschalter 100, 200 die Kaskadierung von erfindungsgemäßen Sicherheitsschaltern. Die Sicherheitsschalter 100, 200 können in gleicher Weise ausgebildet sein wie der Sicherheitsschalter 1 gemäß 1. Zur Vereinfachung der Darstellung ist in der 2 ein Ausführungsbeispiel wiedergegeben, bei dem die Sicherheitsschalter 100, 200 einkanalig wiedergegeben sind, d. h. mit einem jeweiligen Abschalteingang 120, 220 und einem jeweiligen Schaltausgang 140, 240. Hierbei wird an dem Abschalteingang 120 des ersten Sicherheitsschalters 100 ein Eingangssignal empfangen, z. B. ein Einschaltsignal für eine einzuschaltende Maschine 300. Der Schaltausgang 140 des ersten Sicherheitsschalters 100 ist mit dem Abschalteingang 220 des zweiten Sicherheitsschalters 200 verbunden. Der Schaltausgang 240 des zweiten Sicherheitsschalters ist mit der ein- bzw. auszuschaltenden Maschine 300 verbunden. In diesem Fall sind somit die Sicherheitsschalter 100, 200 kaskadiert angeordnet. Grundsätzlich können auch mehr als die dargestellten zwei Sicherheitsschalter in der beschriebenen Art kaskadiert werden.
Beide Sicherheitsschalter 100, 200 sind mit der zuvor bereits beschriebenen Schnellabschaltung versehen, d. h. sie weisen jeweilige Bypass-Signalpfade 106, 206 auf, durch die die jeweiligen Rechner 102, 202 umgangen werden. Hierüber kann ein jeweiliges Ausgangssignal der Eingangsschaltungen 101, 201 direkt an einen Eingang eines Logikgatters 104, 204 geführt werden und vom Logikgatter 104, 204 an eine jeweilige Ausgangsschaltung 105, 205 abgegeben werden, wobei die Ausgangsschaltungen 105, 205 wiederum mit den jeweiligen Schaltausgängen 140, 240 verbunden sind. Im Übrigen entspricht der Aufbau der Sicherheitsschalter 100, 200 dem zuvor beschriebenen Sicherheitsschalter 1. Der jeweilige Rechner 102, 202 kann mit einem externen Speicher 103, 203 verbunden sein. Zudem ist der jeweilige Rechner 102, 202 der Sicherheitsschalter 100, 200 mit einer jeweiligen Kommunikationseinheit 107, 207 verbunden. Über die Kommunikationseinheit 107, 207 kann der jeweilige Sicherheitsschalter 100, 200 über eine berührungslose Datenkommunikationsstrecke 108, 208 mit einem ihm zugeordneten Betätiger 110, 210 kommunizieren. Die Betätiger 110, 210 können ebenfalls wie der zuvor bereits erläuterte Betätiger 9 aufgebaut sein, d. h. mit einer jeweiligen Kommunikationseinheit 111, 211, einem damit jeweils verbundenen Rechner 112, 212 sowie ggf. mit einem mit dem Rechner 112, 212 verbundenen externen Speicher 113, 213.
Wird durch einen der Sicherheitsschalter 100, 200 der Kette von Sicherheitsschaltern ein Abschaltsignal an dem jeweiligen Schaltausgang abgegeben, so wird dieses an der Softwarefunktion der Rechner 102, 202 vorbei über die jeweiligen Bypass-Signalpfade 106, 206 sowie die Logikgatter 104, 204 direkt zu der abzuschaltenden Maschine 300 übertragen, so dass die Maschine praktisch verzögerungsfrei abgeschaltet werden kann.

Claims

Berührungslos arbeitender Sicherheitsschalter (1, 100, 200), der zum berührungslosen Zusammenwirken mit einem Betätigen (9, 110, 210) eingerichtet ist, wobei der Sicherheitsschalter (1, 100, 200) dazu eingerichtet ist, an einem Schaltausgang (4, 5, 140, 240) in Form eines äußeren elektrischen Anschlusses des Sicherheitsschalters (1, 100, 200) ein Abschaltsignal zu erzeugen, wenn der Abstand (D) zwischen dem Sicherheitsschalter (1, 100, 200) und dem Betätiger (9, 110, 210) einen vorbestimmten Grenzwert über- oder unterschreitet, dadurch gekennzeichnet, dass a) der Sicherheitsschalter (1, 100, 200) wenigstens einen Abschalteingang (2, 3, 120, 220) in Form eines äußeren elektrischen Anschlusses des Sicherheitsschalters aufweist, b) der Sicherheitsschalter (1, 100, 200) mit weiteren Sicherheitsschaltern (1, 100, 200) kaskadierbar ist, indem ein Schaltausgang (4, 5, 140, 240) des Sicherheitsschalters (1, 100, 200) mit einem Abschalteingang (2, 3, 120, 220) eines nachgeordneten Sicherheitsschalters (1, 100, 200) verbunden ist, c) der Sicherheitsschalter (1, 100, 200) wenigstens ein als elektronisches Hardware-Bauteil ausgebildetes Logikgatter (13, 23, 104, 204) aufweist, wobei der Schaltausgang (4, 5, 140, 240) des Sicherheitsschalters (1, 100, 200) mit dem Ausgang des Logikgatters (13, 23, 104, 204) verbunden ist, und wobei ein erster Eingang des Logikgatters (13, 23, 104, 204) mit einer softwaregesteuerten Steuerschaltung (11, 21, 102, 202) des Sicherheitsschalters (1, 100, 200), die zur Durchführung einer Datenkommunikation mit dem Betätiger (9, 110, 210) eingerichtet ist, verbunden ist und ein zweiter Eingang des Logikgatters (13, 23, 104, 204) unter Umgehung der softwaregesteuerten Steuerschaltung (11, 21, 102, 202) mit dem Abschalteingang (2, 3, 120, 220) des Sicherheitsschalters (1, 100, 200) verbunden ist, wobei das Logikgatter (13, 23, 104, 204) dazu eingerichtet ist, bei Empfang eines Abschaltsignals am Abschalteingang (2, 3, 120, 220) des Sicherheitsschalters (1, 100, 200) unabhängig vom am ersten Eingang des Logikgatters (13, 23, 104, 204) anliegenden Signal sofort an dem Schaltausgang (4, 5, 140, 240) des Sicherheitsschalters (1, 100, 200) das Abschaltsignal zu erzeugen.
Sicherheitsschalter (1, 100, 200) nach Anspruch 1, dadurch gekennzeichnet, dass bei einer Ausführung des Logikgatters (13, 23, 104, 204) in positiver Logik das Logikgatter (13, 23, 104, 204) als UND-Gatter und bei einer Ausführung des Logikgatters (13, 23, 104, 204) in negativer Logik das Logikgatter (13, 23, 104, 204) als ODER-Gatter ausgebildet ist.
Sicherheitsschalter (1, 100, 200) nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass der Sicherheitsschalter (1, 100, 200) eine Diagnoseschnittstelle (6, 7) aufweist.
Sicherheitsschalter (1, 100, 200) nach Anspruch 3, dadurch gekennzeichnet, dass der Sicherheitsschalter (1, 100, 200) als Diagnoseschnittstelle (6, 7) wenigstens einen Diagnoseeingang (6) und wenigstens einen Diagnoseausgang (7) aufweist, wobei der Diagnoseausgang (7) zur Übertragung von nicht sicherheitsgerichteten internen Statusinformationen des Sicherheitsschalters (1, 100, 200) an ein externes Gerät und der Diagnoseeingang (6) zum Empfang und zur Weiterleitung nicht sicherheitsgerichteter Statusinformationen, die über den Diagnoseeingang (6) empfangen werden, an eine softwaregesteuerte Steuerschaltung (11, 21, 102, 202) des Sicherheitsschalters (1, 100, 200) eingerichtet ist.
Sicherheitsschalter (1, 100, 200) nach Anspruch 3 oder 4, dadurch gekennzeichnet, dass der Sicherheitsschalter (1, 100, 200) über die Diagnoseschnittstelle (6, 7) hinsichtlich seiner Funktion konfigurierbar ist,
Sicherheitsschalter (1, 100, 200) nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass der Sicherheitsschalter (1, 100, 200) dazu eingerichtet ist, mit einem in Reichweite der drahtlosen Datenkommunikation befindlichen Betätiger (9, 110, 210) einen Sicherheitscode mit einer bestimmten Datenblocklänge auszutauschen, wobei der Sicherheitscode in Codeabschnitten, die kleiner als die volle Datenblocklänge sind, abschnittsweise zwischen dem Betätiger (9, 110, 210) und dem Sicherheitsschalter (1, 100, 200) übertragen wird.
Sicherheitsschalter (1, 100, 200) nach Anspruch 6, dadurch gekennzechnet, dass zwischen den Codeabschnitten des Sicherheitscodes jeweils Übertragungspausen bei der drahtlosen Datenkommunikation vorgesehen sind.
Sicherheitsschalter (1, 100, 200) nach Anspruch 6 oder 7, dadurch gekennzeichnet, dass der Sicherheitsschalter (1, 100, 200) dazu eingerichtet ist, einen vom Betätiger (9, 110, 210) übertragenen Sicherheitscode nach jedem übertragenen Codeabschnitt auf Übereinstimmung mit einem entsprechenden Codeabschnitt eines Soll-Sicherheitscodes, der im Sicherheitsschalter (1, 100, 200) gespeichert ist, zu überprüfen und die weitere Datenübertragung des Sicherheitscodes abzubrechen, sobald ein vom Betätiger (9, 110, 210) übertragener Codeabschnitt nicht mit dem entsprechenden Codeabschnitt des Soll-Sicherheitscodes übereinstimmt, und in diesem Fall an dem Schaltausgang (4, 5, 140, 240) des Sicherheitsschalters (1, 100, 200) das Abschaltsignal zu erzeugen.
Sicherheitsschalter (1, 100, 200) nach Anspruch 8, dadurch gekennzeichnet, dass der Sicherheitsschalter (1, 100, 200) dazu eingerichtet ist, im Falls einer fehlerhaften Übertragung eines Codeabschnitts eine oder ggf. mehrere wiederholte Übertragungen des Codeabschnitts auszuführen, solange eine vorbestimmte Maximalübertragungszeit für die Übertragung des Sicherheitscodes nicht überschritten ist.
Sicherheitsschalter (1, 100, 200) nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass der Sicherheitsschalter (1, 100, 200) eine redundant aufgebaute softwaregesteuerte Steuerschaltung (11, 21, 102, 202) aufweist, die wenigstens zwei Rechner (11, 21, 102, 202) aufweist, die dazu eingerichtet sind, beim Betrieb des Sicherheitsschalters (1, 100, 200) untereinander Daten auszutauschen, wobei nur ein erster der zwei Rechner (11, 21, 102, 202) mit einer Kommunikationseinheit (30, 107, 207) des Sicherheitsschalters (1, 100, 200) verbunden ist, die zur drahtlosen Datenkommunikation mit dem Betätiger (9, 110, 210) eingerichtet ist, wobei der erste Rechner (21, 107, 207) dazu eingerichtet ist, über die Kommunikationseinheit Daten mit dem Betätigen (9, 110, 210) auszutauschen, wobei der erste Rechner (21, 107, 207) dazu eingerichtet ist, wenigstens einen Teil der von dem Betätigen (9, 110, 210) empfangenen Daten an den zweiten Rechner (11) weiterzuleiten und der zweite Rechner (11) dazu eingerichtet ist, eine Sicherheitsüberprüfung der von dem Betätiger (9, 110, 210) empfangenen und an den zweiten Rechner (11) weitergeleiteten Daten unabhängig vom ersten Rechner (21, 107, 207) auszuführen.
Sicherheitsschalter (1, 100, 200) nach Anspruch 10, dadurch gekennzeichnet, dass der zweite Rechner (11) dazu eingerichtet ist, die Sicherheitsüberprüfung des von dem Betätiger (9, 110, 210) empfangenen und an den zweiten Rechner (11) weitergeleiteten Sicherheitscodes anhand eines unabhängig in dem zweiten Rechner (11) oder einem damit verbundenen, dem zweiten Rechner (11) zugeordneten Speicher (12) gespeicherten Soll-Sicherheitscodes auszuführen.
Sicherheitsschalter (1, 100, 200) nach einem der Ansprüche 10 bis 11, dadurch gekennzeichnet, dass der Sicherheitsschalter (1, 100, 200) einen ersten Schaltausgang (5, 140, 240) aufweist, an dem nur von dem ersten Rechner (21, 107, 207) ein Abschaltsignal erzeugbar ist, und einen zweiten Schaltausgang (4), an dem nur von dem zweiten Rechner (11) unabhängig vom ersten Rechner (21, 107, 207) ein Abschaltsignal erzeugbar ist.
Sicherheitsschalter (1, 100, 200) nach einem der Ansprüche 10 bis 12, dadurch gekennzeichnet, dass der Sicherheitsschalter (1, 100, 200) eine ersten Abschalteingang (3, 120, 220) aufweist, der mit dem ersten Rechner (21, 107, 207) verbunden ist, und einen zweiten Abschalteingang (2), der unabhängig vom ersten Abschalteingang (3, 120, 220) mit dem zweiten Rechner (11) verbunden ist.
Sicherheitsschalter (1, 100, 200) nach einem der Ansprüche 10 bis 13, dadurch gekennzeichnet, dass der erste und der zweite Rechner (11, 12, 102 202) dazu eingerichtet sind, den Schaltausgang (4, 5, 140, 240) bzw. die Schaltausgänge des Sicherheitsschalters (1, 100, 200) abzuschalten, sobald ein interner Fehler in der Datenkommunikation zwischen dem ersten und dem zweiten Rechner (11, 12, 102, 202), ein Fehler in der Daten kommunikation mit dem Betätiger (9, 110, 210) oder ein zu großer Abstand zwischen dem Betätiger (9, 110, 210) und dem Sicherheitsschalter (1, 100, 200) festgestellt wurde.