DE102012107717B3

DE102012107717B3 - Non-contact safety switch has secondary computer which is arranged to execute security check of data received from actuator and passed on to secondary computer, independent of the primary computer

Info

Publication number: DE102012107717B3
Application number: DE201210107717
Authority: DE
Inventors: Klaus Wehmeyer; Marcus Scholz; Georg Zwirkowski
Original assignee: Bernstein AG
Current assignee: Bernstein AG
Priority date: 2012-08-22
Filing date: 2012-08-22
Publication date: 2013-09-12
Anticipated expiration: 2032-08-23

Abstract

The safety switch (1) has two computers (11,21) which are connected with the communication unit (30) for establishing wireless data communication with the actuator (9). The primary computer (21) is adapted for data exchange with the actuator over the communication unit. The primary computer is adapted to receive the data from actuator and to transmit the data to secondary computer (11). The secondary computer is arranged to execute a security check of the data received from the actuator and passed on to secondary computer, independent of the primary computer.

Description

Die Erfindung betrifft einen berührungslos arbeitenden Sicherheitsschalter gemäß Anspruch 1.The invention relates to a non-contact safety switch according to claim 1.

Ein berührungslos arbeitender Sicherheitsschalter ist z. B. aus der DE 198 40 620 C1 bekannt. Der Sicherheitsschalter ist zum Zusammenwirken mit einem Betätiger eingerichtet. Mit der Anordnung aus Sicherheitsschalter und Betätiger kann z. B. überwacht werden, ob eine Schutztür einer Maschine geöffnet oder geschlossen ist. Da bei geöffneter Schutztür aus Sicherheitsgründen in der Regel kein Betrieb der Maschine zulässig ist, kann mittels des Sicherheitsschalters die Maschine über den Schaltausgang des Sicherheitsschalters abgeschaltet werden, wenn in Folge eines zu großen Abstands zwischen dem Sicherheitsschalter und dem Betätiger erkannt wird, dass die Schutztür geöffnet ist oder geöffnet wird.A non-contact safety switch is z. B. from the DE 198 40 620 C1 known. The safety switch is designed to interact with an actuator. With the arrangement of safety switch and actuator z. B. monitored whether a protective door of a machine is open or closed. For safety reasons, as the safety door is normally not permitted to operate the machine, the safety switch can be used to switch off the machine via the switch output of the safety switch, if the safety door is opened as a result of the distance between the safety switch and the actuator being too large is or is opened.

Aus der DE 10 2004 020 997 A1 geht eine Sicherheitsschalteinrichtung hervor. Die Sicherheitsschalteinrichtung besitzt einen Steuerteil zum Verarbeiten eines Eingangssignals und zumindest ein Schaltelement mit zumindest einem aktiven und einem inaktiven Schaltzustand. Der Steuerteil ist dazu ausgebildet, das Schaltelement anzusteuern, um ein vom Eingangssignal abhängiges Ausgangssignal zu erzeugen. Außerdem besitzt die Sicherheitsschalteinrichtung eine Diagnosefunktionalität zum Erkennen eines Funktionsfehlers, wobei der Steuerteil dazu ausgebildet ist, das Schaltelement in den inaktiven Zustand zu steuern, wenn ein Funktionsfehler erkannt ist. Gemäß einem Aspekt der Erfindung ist der Steuerteil ferner dazu ausgebildet, mit Hilfe des Schaltelements ein Datentelegramm zu erzeugen, das von dem erkannten Funktionsfehler abhängt.From the DE 10 2004 020 997 A1 goes out a safety switching device. The safety switching device has a control part for processing an input signal and at least one switching element having at least one active and one inactive switching state. The control part is designed to control the switching element in order to generate an output signal that is dependent on the input signal. In addition, the safety switching device has a diagnostic functionality for detecting a malfunction, wherein the control part is adapted to control the switching element in the inactive state when a malfunction is detected. According to one aspect of the invention, the control part is further designed to generate a data telegram with the aid of the switching element, which depends on the recognized functional error.

Aus der DE 101 09 864 A1 ist eine Sicherheitsschaltvorrichtung bekannt. Die Sicherheitsschaltvorrichtung ist mit einem sicheren Ausgang versehen, über den eine Kaskadierung mit weiteren Sicherheitsschaltvorrichtungen gleicher Bauart mittels einer einadrigen Leitung ermöglicht wird. Hierzu ist die Sicherheitsschaltvorrichtung mit einem sicheren potentialgebundenen einkanaligen Eingang ausgestattet, der von redundant aufgebauten Auswerteschaltungen überwacht wird, die den Potentialzustand des Eingangs auswerten und davon abhängig elektronische Schalter ansteuern. Der Eingang ermöglicht somit eine Kaskadierung von mehreren Sicherheitsschaltvorrichtungen mit nur geringem Montageaufwand.From the DE 101 09 864 A1 a safety switching device is known. The safety switching device is provided with a safe output, via which a cascading with other safety switching devices of the same type by means of a single-core line is made possible. For this purpose, the safety switching device is equipped with a safe potential-bound single-channel input, which is monitored by redundant evaluation circuits that evaluate the potential state of the input and depending on electronic switches trigger. The input thus allows a cascading of several safety switching devices with little installation effort.

Der Erfindung liegt die Aufgabe zugrunde, einen demgegenüber verbesserten Sicherheitsschalter anzugeben, der mit verringertem Schaltungs- und Softwareaufwand die einschlägigen Sicherheitsvorschriften erfüllt.The invention has for its object to provide a contrast improved safety switch, which meets the relevant safety regulations with reduced circuit and software costs.

Diese Aufgabe wird durch den im Patentanspruch 1 angegebenen Sicherheitsschalter gelöst.This object is achieved by the safety switch specified in claim 1.

Der erfindungsgemäße Sicherheitsschalter weist wenigstens eine softwaregesteuerte Steuerschaltung auf. Die softwaregesteuerte Steuerschaltung weist mindestens einen Rechner auf, der die Software ausführt und dabei die nachfolgend beschriebenen Funktionen des Sicherheitsschalters realisiert. Der Rechner kann z. B. als Mikroprozessor, Mikrocontroller, ASIC oder FPGA ausgeführt sein. Sofern mehrere Rechner in dem Sicherheitsschalter vorhanden sind, können diese auch aus verschiedenen der zuvor genannten Bauteile gebildet werden. Die Einführung einer softwaregesteuerten Steuerschaltung des Sicherheitsschalters hat den Vorteil, dass ein Sicherheitsschalter mit erweiterter Funktionalität bereitgestellt werden kann, die ohne eine solche Softwaresteuerung bisher praktisch nicht oder nur mit unpraktikablem Aufwand realisierbar war. Insbesondere kann der Sicherheitsschalter hinsichtlich seiner Funktionen konfigurierbar ausgebildet sein, so dass er von einem Anwender bezüglich der auszuführenden Funktionen an einen gewünschten Anwendungsfall angepasst werden kann. Zudem erlaubt die softwaregesteuerte Steuerschaltung das Vorsehen von Diagnosefunktionen, mit denen Fehler z. B. mittels eines Diagnosegeräts einfach und komfortabel ermittelbar sind.The safety switch according to the invention has at least one software-controlled control circuit. The software-controlled control circuit has at least one computer which executes the software and thereby realizes the functions of the safety switch described below. The calculator can z. B. be executed as a microprocessor, microcontroller, ASIC or FPGA. If several computers are present in the safety switch, they can also be formed from various of the aforementioned components. The introduction of a software-controlled control circuit of the safety switch has the advantage that a safety switch can be provided with extended functionality that was previously practically impossible without such a software control or only with impractical effort was feasible. In particular, the safety switch can be designed to be configurable with respect to its functions, so that it can be adapted by a user with regard to the functions to be performed to a desired application. In addition, the software-controlled control circuit allows the provision of diagnostic functions with which errors z. B. can be determined easily and conveniently by means of a diagnostic device.

Gemäß einer vorteilhaften Ausführungsform betrifft die Erfindung einen berührungslos arbeitenden Sicherheitsschalter, der zum berührungslosen Zusammenwirken mit einem Betätiger eingerichtet ist, wobei der Sicherheitsschalter dazu eingerichtet ist, an einem Schaltausgang des Sicherheitsschalters ein Abschaltsignal zu erzeugen, wenn der Abstand zwischen dem Sicherheitsschalter und dem Betätiger einen vorbestimmten Grenzwert über- oder unterschreitet, dadurch gekennzeichnet, dass

a) der Sicherheitsschalter wenigstens einen Abschalteingang aufweist,
b) der Sicherheitsschalter mit weiteren Sicherheitsschaltern kaskadierbar ist, indem ein Schaltausgang eines Sicherheitsschalters mit einem Abschalteingang eines nachgeordneten Sicherheitsschalters verbunden ist,
c) der Sicherheitsschalter wenigstens ein als elektronisches Hardware-Bauteil ausgebildetes Logikgatter aufweist, wobei der Schaltausgang des Sicherheitsschalters mit dem Ausgang des Logikgatters verbunden ist, und wobei ein erster Eingang des Logikgatters mit einer softwaregesteuerten Steuerschaltung des Sicherheitsschalters, die zur Durchführung einer Datenkommunikation mit dem Betätiger eingerichtet ist, verbunden ist und ein zweiter Eingang des Logikgatters unter Umgehung der softwaregesteuerten Steuerschaltung mit dem Abschalteingang des Sicherheitsschalters verbunden ist, wobei das Logikgatter dazu eingerichtet ist, bei Empfang eines Abschaltsignals am Abschalteingang unabhängig vom am ersten Eingang anliegenden Signal sofort an dem Schaltausgang des Sicherheitsschalters das Abschaltsignal zu erzeugen.

According to an advantageous embodiment, the invention relates to a non-contact safety switch, which is adapted for non-contact cooperation with an actuator, wherein the safety switch is adapted to generate at a switching output of the safety switch, a shutdown signal when the distance between the safety switch and the actuator a predetermined Limit above or below, characterized in that

a) the safety switch has at least one switch-off input,
b) the safety switch can be cascaded with further safety switches by connecting a switching output of a safety switch to a switch-off input of a downstream safety switch,
c) the safety switch has at least one logic gate formed as an electronic hardware component, wherein the switching output of the safety switch is connected to the output of the logic gate, and wherein a first input of the logic gate with a software-controlled control circuit of the safety switch, which is to perform data communication with the actuator is set up, is connected and a second input of the logic gate, bypassing the software-controlled control circuit connected to the turn-off input of the safety switch, wherein the logic gate is configured to generate the shutdown signal at the switching output of the safety switch immediately upon receipt of a shutdown signal at the turn-off input regardless of the signal applied to the first input.

Diese Ausführungsform hat den Vorteil, dass eine rein hardwaremäßig bewirkte Schnellabschaltung aller Schaltausgänge der Kaskade von Sicherheitsschaltern sichergestellt ist. Auch der letzte Schaltausgang in der Kaskade kann praktisch verzögerungsfrei abgeschaltet werden. Durch das hardwaremäßig ausgeführte Logikgatter können Abschaltsignale von einem Sicherheitsschalter zum nächsten direkt weitergegeben werden, ohne dass auf eine entsprechende Verarbeitung in der Software und entsprechende softwaremäßige Abschaltsignale gewartet werden muss. Hierdurch können auch eine größere Zahl von Sicherheitsschaltern kaskadiert werden, z. B. bis zu 32 Sicherheitsschalter. Dennoch ist die Durchlaufzeit eines Abschaltsignals vom ersten bis zum letzten Sicherheitsschalter äußerst gering. So kann z. B. eine Worst-Case-Reaktionszeit von 20 Millisekunden eingehalten werden. Gegenüber einer anderweitigen hardwaremäßigen Verknüpfung von Schaltsignalen, z. B. durch Relais oder ähnliches, hat der zuvor erwähnte Sicherheitsschalter den Vorteil, dass keine externe Beschaltung erforderlich ist und insbesondere auf Relais und ähnliches verzichtet werden kann. Vielmehr kann eine Schnellabschaltung bei einer Kaskadierung von Sicherheitsschaltern durch das in den jeweiligen Sicherheitsschalter integrierte Logikgatter sichergestellt werden.This embodiment has the advantage that a purely hardware-induced rapid shutdown of all switching outputs of the cascade of safety switches is ensured. Even the last switching output in the cascade can be switched off practically without delay. By means of the hardware-implemented logic gate, shutdown signals can be passed on directly from one safety switch to the next, without having to wait for appropriate processing in the software and corresponding software shutdown signals. As a result, a larger number of safety switches can be cascaded, z. For example, up to 32 safety switches. Nevertheless, the turnaround time of a shutdown signal from the first to the last safety switch is extremely low. So z. B. a worst-case response time of 20 milliseconds are respected. Compared to another hardware connection of switching signals, z. B. by relays or the like, the aforementioned safety switch has the advantage that no external wiring is required and can be dispensed in particular relays and the like. Rather, an emergency shutdown when cascading safety switches can be ensured by the logic gates integrated in the respective safety switch.

Das Abschaltsignal kann z. B. AUS-Signal sein, d. h. ein Signal, mit dem eine am Schaltausgang angeschlossene Einrichtung ausgeschaltet wird. Das Abschaltsignal kann z. B. eine Unterbrechung der Stromversorgung der angeschlossenen Einrichtung, ein Digitalsignal mit niedrigem Pegel oder eine sonstige Unterbrechung eines elektrischen Signals sein.The shutdown signal can z. B. OFF signal, d. H. a signal that turns off a device connected to the switch output. The shutdown signal can z. Example, an interruption of the power supply of the connected device, a digital signal with a low level or other interruption of an electrical signal.

Gemäß einer vorteilhaften Ausführungsform ist das Logikgatter ein Logikgatter mit zwei Eingängen und einem Ausgang. Im Falle positiver Logik kann das Logikgatter als UND-Gatter ausgeführt sein, im Falle negativer Logik als ODER-Gatter.According to an advantageous embodiment, the logic gate is a logic gate with two inputs and one output. In the case of positive logic, the logic gate may be implemented as an AND gate, in the case of negative logic as an OR gate.

Der Sicherheitsschalter kann auch weitere Schaltausgänge aufweisen, ebenso weitere Abschalteingänge, wobei auch hier jeweils eines der genannten Logikgatter zur Sicherstellung der Schnellabschaltung im Falle einer Kaskadierung von Sicherheitsschaltern vorgesehen sein kann.The safety switch can also have other switching outputs, as well as other turn-off inputs, in each case one of said logic gates can be provided to ensure the rapid shutdown in case of cascading safety switches.

Gemäß einer vorteilhaften Ausführungsform weist der Sicherheitsschalter eine Diagnoseschnittstelle auf. Dies hat den Vorteil, dass mittels eines Diagnosegeräts, z. B. über ein serielles Datenprotokoll, mit dem Sicherheitsschalter Diagnoseinformationen ausgetauscht werden können und hierbei insbesondere Fehlermeldungen und Defekterkennungen ausgelesen und dargestellt werden können. Über die Diagnoseschnittstelle können außerdem Parametrierungen des Sicherheitsschalters durchgeführt werden können, d. h. es können Parameter des Sicherheitsschalters eingestellt werden, um dessen Funktionen wie gewünscht einzustellen.According to an advantageous embodiment, the safety switch has a diagnostic interface. This has the advantage that by means of a diagnostic device, for. B. via a serial data protocol, with the safety switch diagnostic information can be exchanged and this particular error messages and defect identifications can be read and displayed. Parameterization of the safety switch can also be carried out via the diagnostic interface, ie. H. parameters of the safety switch can be set to set its functions as desired.

Gemäß einer vorteilhaften Ausführungsform ist der Sicherheitsschalter über die Diagnoseschnittstelle hinsichtlich seiner Funktion konfigurierbar. Insbesondere können über die Diagnoseschnittstelle unterschiedliche im Sicherheitsschalter softwaremäßig vorgesehene Funktionen aktiviert oder deaktiviert werden. Zudem können bestimmte Funktionsparameter der Funktionen über die Diagnoseschnittstelle auf gewünschte Werte eingestellt werden, wie z. B. Reaktionszeiten auf bestimmte Eingangssignale.According to an advantageous embodiment, the safety switch can be configured with regard to its function via the diagnostic interface. In particular, different functions provided by the software in the safety switch can be activated or deactivated via the diagnostic interface. In addition, certain function parameters of the functions can be set to desired values via the diagnostic interface, such as: B. Response times to certain input signals.

Gemäß einer vorteilhaften Ausführungsform weist der Sicherheitsschalter als Diagnoseschnittstelle wenigstens einen Diagnoseeingang und wenigstens einen Diagnoseausgang auf, wobei der Diagnoseausgang zur Übertragung von nicht sicherheitsgerichteten internen Statusinformationen des Sicherheitsschalters an ein externes Gerät und der Diagnoseeingang zum Empfang und zur Weiterleitung nicht sicherheitsgerichteter Statusinformationen, die über den Diagnoseeingang empfangen werden, an eine softwaregesteuerte Steuerschaltung des Sicherheitsschalters eingerichtet ist. Dies hat den Vorteil, dass separate Anschlüsse für den Diagnoseeingang und den Diagnoseausgang zur Verfügung stehen, so dass im Falle einer Kaskadierung mehrerer Sicherheitsschalter auch die Diagnoseschnittstellen in der Art kaskadiert werden können, dass ein Diagnoseausgang eines Sicherheitsschalters mit einem Diagnoseeingang eines nachgeordneten Sicherheitsschalters verbunden werden kann. Die softwaregesteuerte Steuerschaltung des Sicherheitsschalters kann dann dazu eingerichtet sein, die am Diagnoseeingang empfangenen Daten ganz oder teilweise an dem Diagnoseausgang des Sicherheitsschalters wieder auszugeben, insbesondere wenn die Daten nicht für den Sicherheitsschalter selbst, sondern für einen anderen, z. B. nachgeordneten Sicherheitsschalter bestimmt sind.According to an advantageous embodiment, the safety switch has at least one diagnostic input and at least one diagnostic output as a diagnostic interface, the diagnostic output for transmitting non-safety-related internal status information of the safety switch to an external device and the diagnostic input for receiving and forwarding non-safety-related status information via the diagnostic input are received, is set to a software-controlled control circuit of the safety switch. This has the advantage that separate connections for the diagnostic input and the diagnostic output are available, so that in case of cascading several safety switches and the diagnostic interfaces can be cascaded in such a way that a diagnostic output of a safety switch can be connected to a diagnostic input of a downstream safety switch , The software-controlled control circuit of the safety switch can then be set up to output all or part of the data received at the diagnostic input to the diagnostic output of the safety switch again, especially if the data is not for the safety switch itself, but for another, eg. B. downstream safety switch are determined.

Gemäß einer vorteilhaften Ausführungsform weisen der Sicherheitsschalter und der Betätiger eindeutige Codierungen auf, die einander zugeordnet sind, wobei der Sicherheitsschalter derart eingerichtet ist, dass er nur mit einem entsprechend codierten Betätiger hinsichtlich seiner vollen Funktion zusammenwirkt. Wird kein zugeordneter Betätiger mit zum Sicherheitsschalter passender Codierung erkannt, kann der Sicherheitsschalter z. B. den Schaltausgang dauerhaft im abgeschalteten Zustand belassen oder dann abschalten. Die Codierungen können z. B. derart ausgeführt sein, dass im Betätiger ein Sicherheitscode gespeichert ist und in dem Sicherheitsschalter ein Soll-Sicherheitscode eines zum Sicherheitsschalter zugehörigen Betätigers gespeichert ist. Es kann auch vorgesehen sein, dass im Sicherheitsschalter der Sicherheitscode gespeichert ist und in dem Betätiger der Soll-Sicherheitscode eines zum Betätiger zugehörigen Sicherheitsschalters gespeichert ist. Wird erkannt, dass der Sicherheitscode und der Soll-Sicherheitscode übereinstimmen, dann passen der Sicherheitsschalter und der Betätiger zusammen und können ihre volle Funktion wahrnehmen.According to an advantageous embodiment, the safety switch and the actuator have unique codes, which are associated with each other, wherein the safety switch is set up so that it cooperates only with a correspondingly coded actuator in terms of its full function. If no assigned actuator is detected with matching the safety switch coding, the safety switch z. B. leave the switch output permanently in the off state or then shut down. The codings can z. B. be executed such that in the actuator a security code is stored and in the safety switch a target security code of an associated safety switch actuator is stored. It can also be provided that the safety code is stored in the safety switch and the desired safety code of a safety switch belonging to the actuator is stored in the actuator. If it is detected that the security code and the target security code match, then the safety switch and the actuator match and can perform their full function.

Die Prüfung, ob der Sicherheitscode mit dem Soll-Sicherheitscode übereinstimmt, kann wahlweise in dem Sicherheitsschalter oder in dem Betätiger ausgeführt werden. Je nach Art der Ausführung werden entweder der Sicherheitscode vom Betätiger zum Sicherheitsschalter übertragen und dort mit einem im Sicherheitsschalter gespeicherten Soll-Sicherheitscode verglichen, oder der Sicherheitscode wird vom Sicherheitsschalter an den Betätiger übertragen und im Betätiger mit einem im Betätiger gespeicherten Soll-Sicherheitscode verglichen. Wenn der Vergleich ergibt, dass der Sicherheitscode mit dem Soll-Sicherheitscode übereinstimmt, dann setzen der Sicherheitsschalter und der Betätiger ihre drahtlose Datenkommunikation fort und können ihre volle Funktion aufnehmen. Sofern der Betätiger den Vergleich ausführt, kann er das Ergebnis des Vergleichs im Sinne eines Gut/Schlecht-Signals anschließend dem Sicherheitsschalter mitteilen.The check as to whether the security code matches the target security code can optionally be carried out in the safety switch or in the actuator. Depending on the type of execution either the security code is transmitted from the actuator to the safety switch and there compared with a stored in the safety switch desired security code, or the security code is transmitted from the safety switch to the actuator and compared in the actuator with a stored in the actuator target security code. If the comparison shows that the security code matches the target security code, then the security switch and actuator continue their wireless data communication and can begin their full function. If the actuator performs the comparison, he can then tell the result of the comparison in the sense of a good / bad signal the safety switch.

Gemäß einer vorteilhaften Ausführungsform betrifft die Erfindung einen berührungslos arbeitenden Sicherheitsschalter, der zum berührungslosen Zusammenwirken mit einem Betätiger eingerichtet ist, wobei der Sicherheitsschalter dazu eingerichtet ist, an einem Schaltausgang des Sicherheitsschalters ein Abschaltsignal zu erzeugen, wenn der Abstand zwischen dem Sicherheitsschalter und dem Betätiger einen vorbestimmten Grenzwert über- oder unterschreitet, insbesondere ein Sicherheitsschalter der zuvor beschriebenen Art, wobei der Sicherheitsschalter dazu eingerichtet ist, mit einem in Reichweite der drahtlosen Datenkommunikation befindlichen Betätiger einen Sicherheitscode mit einer bestimmten Datenblocklänge auszutauschen, wobei der Sicherheitscode in Codeabschnitten, die kleiner als die volle Datenblocklänge sind, abschnittsweise zwischen dem Betätiger und dem Sicherheitsschalter übertragen wird.According to an advantageous embodiment, the invention relates to a non-contact safety switch, which is adapted for non-contact cooperation with an actuator, wherein the safety switch is adapted to generate at a switching output of the safety switch, a shutdown signal when the distance between the safety switch and the actuator a predetermined Limit exceeds or falls below, in particular a safety switch of the type described above, wherein the safety switch is adapted to exchange with a located within range of the wireless data communication actuator a security code with a specific data block length, the security code in code sections that are smaller than the full data block length are transmitted in sections between the actuator and the safety switch.

Dies hat den Vorteil, dass der Sicherheitsschalter und/oder der Betätiger schneller erkennen kann, ob der in Reichweite der drahtlosen Datenkommunikation befindliche Betätiger ein dem Sicherheitsschalter zugeordneter Betätiger ist oder nicht. Es kann somit durch den Sicherheitsschalter und/oder den Betätiger schneller entschieden werden, ob die Kommunikation zwischen dem Sicherheitsschalter und dem Betätiger abgebrochen werden kann und der Sicherheitsschalter ggf. in einen sicheren Zustand übergeht, in dem am Schaltausgang das Abschaltsignal erzeugt ist. Hierdurch kann die Zugriffszeit verringert werden. Beispielsweise kann bei einer vorgegebenen Datenblocklänge von 32 Bit für den Sicherheitscode dieser in Codeabschnitten von jeweils 4 Bit übertragen werden.This has the advantage that the safety switch and / or the actuator can detect more quickly whether the actuator located within range of the wireless data communication is an actuator assigned to the safety switch or not. It can thus be decided more quickly by the safety switch and / or the actuator, if the communication between the safety switch and the actuator can be canceled and the safety switch, if necessary, goes into a safe state in which the shutdown signal is generated at the switching output. This can reduce the access time. For example, given a given data block length of 32 bits for the security code, this code can be transmitted in code sections of 4 bits each.

Die Übertragung der Codeabschnitte von dem Betätiger zu dem Sicherheitsschalter kann z. B. derart ausgebildet sein, dass der Sicherheitsschalter jeweils einen bestimmten Codeabschnitt mit einer bestimmten Abschnittsnummer vom Betätiger abfragt, der Betätiger den angeforderten Codeabschnitt an den Sicherheitsschalter überträgt und der Sicherheitsschalter dann diesen Codeabschnitt mit einem Soll-Codeabschnitt des im Sicherheitsschalter gespeicherten Soll-Sicherheitscodes vergleicht. Im Fall der umgekehrten Übertragungsrichtung der Codeabschnitte, d. h. einer Übertragung von dem Sicherheitsschalter zu dem Betätiger, kann der Betätiger jeweils einen bestimmten Codeabschnitt mit einer bestimmten Abschnittsnummer vom Sicherheitsschalter abfragen, der Sicherheitsschalter den angeforderten Codeabschnitt an den Betätiger übertragen und der Betätiger dann diesen Codeabschnitt mit einem Soll-Codeabschnitt des im Betätiger gespeicherten Soll-Sicherheitscodes vergleichenThe transmission of the code sections from the actuator to the safety switch may e.g. B. be configured such that the safety switch each queries a particular section of code with a specific section number from the actuator, the actuator transmits the requested code section to the safety switch and the safety switch then compares this code section with a desired code portion of the stored in the safety switch desired security codes. In the case of the reverse transfer direction of the code sections, i. H. a transmission from the safety switch to the actuator, the actuator can each interrogate a certain section of code with a specific section number from the safety switch, the safety switch transmit the requested code section to the actuator and the actuator then this code section with a desired code section of the setpoint stored in the actuator Compare security codes

Gemäß einer vorteilhaften Ausführungsform sind zwischen den Codeabschnitten des Sicherheitscodes jeweils Übertragungspausen bei der drahtlosen Datenkommunikation vorgesehen. Dies hat den Vorteil, dass dasjenige Element (Sicherheitsschalter oder Betätiger), das den Vergleich des entsprechenden Codeabschnitts mit einem Soll-Codeabschnitt durchführt, für diesen Vergleich ausreichende Bearbeitungszeit hat.According to an advantageous embodiment, transmission intervals in the wireless data communication are respectively provided between the code sections of the security code. This has the advantage that the element (safety switch or actuator) which performs the comparison of the corresponding code section with a desired code section has sufficient processing time for this comparison.

Gemäß einer vorteilhaften Ausführungsform ist vorgesehen, dass der Sicherheitsschalter dazu eingerichtet ist, einen vom Betätiger übertragenen Sicherheitscode nach jedem übertragenen Codeabschnitt auf Übereinstimmung mit einem entsprechenden Codeabschnitt eines Soll-Sicherheitscodes, der im Sicherheitsschalter gespeichert ist, zu überprüfen und die weitere Datenübertragung des Sicherheitscodes abzubrechen, sobald ein vom Betätiger übertragener Codeabschnitt nicht mit dem entsprechenden Codeabschnitt des Soll-Sicherheitscodes übereinstimmt, und in diesem Fall an dem Schaltausgang des Sicherheitsschalters das Abschaltsignal zu erzeugen. Sofern der Codevergleich vom Betätiger durchgeführt wird, kann in einer vorteilhaften Ausführungsform vorgesehen sein, dass der Betätiger einen vom Sicherheitsschalter übertragenen Sicherheitscode nach jedem übertragenen Codeabschnitt auf Übereinstimmung mit einem entsprechenden Codeabschnitt eines Soll-Sicherheitscodes, der im Betätiger gespeichert ist, überprüft und die weitere Datenübertragung des Sicherheitscodes abbricht, sobald ein vom Sicherheitsschalter übertragener Codeabschnitt nicht mit dem entsprechenden Codeabschnitt des Soll-Sicherheitscodes übereinstimmt. Infolge des Abbruchs der Datenübertragung erkennt auch der Sicherheitsschalter einen Fehler und kann dann an dem Schaltausgang das Abschaltsignal erzeugen.According to an advantageous embodiment, it is provided that the safety switch is set up to transmit a security code transmitted by the actuator after each transmitted code section To check compliance with a corresponding code portion of a target security code stored in the security switch and to stop further data transmission of the security code as soon as a code portion transmitted by the actuator does not match the corresponding code portion of the target security code, and in this case at the switching output the safety switch to generate the shutdown signal. If the code comparison is carried out by the actuator, it can be provided in an advantageous embodiment that the operator checks a safety code transmitted by the safety switch after each transmitted code section for compliance with a corresponding code section of a desired safety code stored in the actuator, and the further data transmission of the security code as soon as a code section transmitted by the security switch does not coincide with the corresponding code section of the target security code. As a result of the termination of data transmission, the safety switch detects an error and can then generate the shutdown signal at the switching output.

Gemäß einer vorteilhaften Ausführungsform ist der Sicherheitsschalter dazu eingerichtet, im Fall einer fehlerhaften Übertragung eines Codeabschnitts eine oder ggf. mehrere wiederholte Übertragungen des Codeabschnitts auszuführen, solange eine vorbestimmte Maximalübertragungszeit für die Übertragung des Sicherheitscodes nicht überschritten ist. Hierdurch kann ohne Beeinträchtigung der Sicherheit des Systems die Verfügbarkeit erhöht werden, insbesondere in Umgebungen mit Störungsüberlagerungen. Sofern der Codevergleich vom Betätiger durchgeführt wird, kann eine solche Wiederholfunktion in dem Betätiger realisiert sein.According to an advantageous embodiment, the safety switch is set up to carry out one or possibly several repeated transmissions of the code section in the case of a faulty transmission of a code section, as long as a predetermined maximum transmission time for the transmission of the security code is not exceeded. This can increase availability without compromising the security of the system, especially in environments with interference overlays. If the code comparison is performed by the actuator, such a repeat function can be realized in the actuator.

Die Erfindung betrifft einen berührungslos arbeitenden Sicherheitsschalter, der zum berührungslosen Zusammenwirken mit einem Betätiger eingerichtet ist, wobei der Sicherheitsschalter dazu eingerichtet ist, an einem Schaltausgang des Sicherheitsschalters ein Abschaltsignal zu erzeugen, wenn der Abstand zwischen dem Sicherheitsschalter und dem Betätiger einen vorbestimmten Grenzwert über- oder unterschreitet, insbesondere ein Sicherheitsschalter der zuvor beschriebenen Art, wobei der Sicherheitsschalter eine redundant aufgebaute softwaregesteuerte Steuerschaltung aufweist, die wenigstens zwei Rechner aufweist, die dazu eingerichtet sind, beim Betrieb des Sicherheitsschalters untereinander Daten auszutauschen, wobei nur ein erster der zwei Rechner mit einer Kommunikationseinheit des Sicherheitsschalters verbunden ist, die zur drahtlosen Datenkommunikation mit dem Betätiger eingerichtet ist, wobei der erste Rechner dazu eingerichtet ist, über die Kommunikationseinheit Daten mit dem Betätiger auszutauschen, wobei der erste Rechner dazu eingerichtet ist, wenigstens einen Teil der von dem Betätiger empfangenen Daten an den zweiten Rechner weiterzuleiten und der zweite Rechner dazu eingerichtet ist, eine Sicherheitsüberprüfung der von dem Betätiger empfangenen und an den zweiten Rechner weitergeleiteten Daten unabhängig vom ersten Rechner auszuführen.The invention relates to a non-contact safety switch, which is adapted for non-contact interaction with an actuator, wherein the safety switch is adapted to generate at a switching output of the safety switch, a shutdown signal when the distance between the safety switch and the actuator over a predetermined limit or falls below, in particular a safety switch of the type described above, wherein the safety switch has a redundantly constructed software controlled control circuit having at least two computers, which are adapted to exchange data with each other during operation of the safety switch, wherein only a first of the two computers with a communication unit of Security switch is connected, which is adapted for wireless data communication with the actuator, wherein the first computer is adapted to communicate with the data via the communication unit Actuator to exchange, wherein the first computer is adapted to forward at least a portion of the data received from the actuator to the second computer and the second computer is adapted to a security check of the data received from the actuator and forwarded to the second computer data independent of the first Execute computer.

Hierdurch kann eine sogenannte serielle Redundanz in dem Sicherheitsschalter realisiert werden, die den Vorteil hat, dass mit geringem Schaltungs- und Softwareaufwand die einschlägigen Sicherheitsvorschriften für solche Sicherheitsschalter erfüllt werden können. Der Sicherheitsschalter ist redundant ausgebildet, ohne dass jeder der zwei Rechner direkt mit der Kommunikationseinheit verbunden sein muss. Vielmehr reicht es, nur den ersten Rechner mit der Kommunikationseinheit zu verbinden. Der zweite Rechner kann dann mit über die Kommunikationseinheit empfangenen Daten versorgt werden, indem diese vom ersten Rechner über eine zwischen dem ersten und dem zweiten Rechner gebildete Datenkommunikationsverbindung an den zweiten Rechner weitergegeben werden. Über diese interne Datenkommunikationsverbindung kann z. B. ein Sicherheitscode von dem Betätiger beiden Rechnern zur Verfügung gestellt werden, so dass sowohl in dem ersten Rechner als auch in dem zweiten Rechner unabhängig voneinander der Sicherheitscode von dem Betätiger auf Übereinstimmung mit einem Soll-Sicherheitscode, der in dem Sicherheitsschalter gespeichert ist, geprüft werden. Die interne Datenkommunikationsverbindung zwischen dem ersten und dem zweiten Rechner hat den weiteren Vorteil, dass während des Betriebs des Sicherheitsschalters eine Kreuzkommunikation zwischen den Rechnern erfolgen kann, über die sich die Rechner gegenseitig überwachen können. Es kann z. B. gewisse Kommunikationszeitpunkte geben, an denen Daten ausgetauscht werden müssen. Hierdurch kann der erste Rechner den zweiten Rechner und umgekehrt sowohl auf Korrektheit der ausgetauschten Daten als auch auf den korrekten zeitlichen Ablauf der Softwareausführung hin überwachen.In this way, a so-called serial redundancy in the safety switch can be realized, which has the advantage that the relevant safety regulations for such safety switches can be met with little circuit and software effort. The safety switch has a redundant design without each of the two computers having to be connected directly to the communication unit. Rather, it is sufficient to connect only the first computer with the communication unit. The second computer can then be supplied with data received via the communication unit by being forwarded by the first computer via a data communication connection formed between the first and the second computer to the second computer. About this internal data communication connection z. For example, a security code may be provided by the operator to both computers so that both in the first computer and in the second computer the security code from the actuator is independently checked for compliance with a desired security code stored in the security switch become. The internal data communication connection between the first and the second computer has the further advantage that during the operation of the security switch, a cross-communication between the computers can take place, over which the computers can monitor each other. It can, for. B. give certain communication times at which data must be exchanged. As a result, the first computer can monitor the second computer and vice versa, both for correctness of the exchanged data and for the correct timing of the software execution.

Gemäß einer vorteilhaften Ausführungsform ist der zweite Rechner dazu eingerichtet, die Sicherheitsüberprüfung des von dem Betätiger empfangenen und an den zweiten Rechner weitergeleiteten Sicherheitscodes anhand eines unabhängig vom ersten Rechner in dem zweiten Rechner oder einem damit verbundenen, dem zweiten Rechner zugeordneten Speicher gespeicherten Soll-Sicherheitscodes auszuführen. Insbesondere kann ein exklusiv dem zweiten Rechner zugeordneter Speicher für die Speicherung des Soll-Sicherheitscodes verwendet werden, der für die Sicherheitsüberprüfung durch den zweiten Rechner verwendet wird. Dies hat den Vorteil, dass die Speichermittel zur Speicherung des Soll-Sicherheitscodes redundant ausgebildet sein können.According to an advantageous embodiment, the second computer is set up to carry out the security check of the security code received from the operator and forwarded to the second computer on the basis of a setpoint security code stored independently of the first computer in the second computer or a memory associated with the second computer , In particular, a memory allocated exclusively to the second computer can be used for storing the desired security code which is used for the security check by the second computer. This has the advantage that the storage means for storing the desired security code can be designed to be redundant.

Gemäß einer vorteilhaften Ausführungsform weist der Sicherheitsschalter einen ersten Schaltausgang auf, an dem nur von dem ersten Rechner ein Abschaltsignal erzeugbar ist, und einen zweiten Schaltausgang, an dem nur von dem zweiten Rechner unabhängig von dem ersten Rechner ein Abschaltsignal erzeugbar ist. Hierdurch kann der Sicherheitsschalter vollständig zweikanalig ausgebildet werden, wobei die zwei Kanäle unabhängig voneinander betrieben werden können. Selbstverständlich kann der Sicherheitsschalter in der zuvor beschriebenen Weise auch mit mehr als zwei Kanälen ausgebildet werden.According to an advantageous embodiment, the safety switch has a first switching output, to which only a shutdown signal can be generated by the first computer, and a second switching output, to which a shutdown signal can be generated only by the second computer independently of the first computer. As a result, the safety switch can be formed completely two-channel, wherein the two channels can be operated independently. Of course, the safety switch in the previously described manner are also formed with more than two channels.

Gemäß einer vorteilhaften Ausführungsform weist der Sicherheitsschalter einen ersten Abschalteingang auf, der mit dem ersten Rechner verbunden ist und einen zweiten Abschalteingang, der unabhängig vom ersten Abschalteingang mit dem zweiten Rechner verbunden ist. Hierdurch kann der Sicherheitsschalter auch im Hinblick auf die Abschalteingänge vollständig zweikanalig ausgebildet werden.According to an advantageous embodiment, the safety switch has a first turn-off input, which is connected to the first computer and a second turn-off input, which is connected to the second computer independently of the first turn-off input. As a result, the safety switch can also be designed with two channels in terms of the turn-off inputs.

Gemäß einer vorteilhaften Ausführungsform sind der erste und der zweite Rechner dazu eingerichtet, den Schaltausgang bzw. die Schaltausgänge des Sicherheitsschalters abzuschalten, sobald ein interner Fehler in der Datenkommunikation zwischen ersten und dem zweiten Rechner, ein Fehler in der Datenkommunikation mit dem Betätiger oder ein zu großer Abstand zwischen dem Betätiger und dem Sicherheitsschalter festgestellt wurde. Der Sicherheitsschalter geht dann in den sogenannten sicheren Zustand über, in dem der Schaltausgang bzw. die Schaltausgänge abgeschaltet sind und damit entsprechende, mit den Schaltausgängen verbundene Maschinen ebenfalls abgeschaltet sind.According to an advantageous embodiment, the first and the second computer are set up to switch off the switching output or the switching outputs of the safety switch as soon as an internal error in the data communication between the first and the second computer, an error in the data communication with the actuator or too large Distance between the actuator and the safety switch has been detected. The safety switch then goes into the so-called safe state, in which the switching output or the switching outputs are switched off and thus corresponding, connected to the switching outputs machines are also switched off.

Die Erfindung wird nachfolgend anhand von Ausführungsbeispielen unter Verwendung von Zeichnungen näher erläutert.The invention will be explained in more detail by means of embodiments using drawings.

Es zeigen:Show it:

1 – einen Sicherheitsschalter mit einem zugeordneten Betätiger in einer ersten Ausführungsform und 1 A safety switch with an associated actuator in a first embodiment and

2 – jeweils zwei Sicherheitsschalter mit zugeordneten Betätigern in einer zweiten Ausführungsform. 2 - Two safety switches with associated actuators in a second embodiment.

Die 1 zeigt in schematischer Darstellung einen Sicherheitsschalter 1 und einen Betätiger 9 mit einer zwischen dem Sicherheitsschalter 1 und dem Betätiger 9 gebildeten drahtlosen Datenkommunikationsstrecke 8. Der Betätiger 9 wird berührungslos bezüglich des Sicherheitsschalters 1 betrieben. Beispielsweise kann der Sicherheitsschalter 1 an einem Absperrzaun einer Maschine befestigt sein, und der Betätiger 9 an einer z. B. für Zwecke der Wartung der Maschine zu öffnenden Tür des Absperrzauns. Hierbei sind der Sicherheitsschalter 1 und der Betätiger 9 an Positionen anzubringen, das ihr Abstand D voneinander bei geschlossener Tür relativ gering ist, und zwar so gering, dass sich der Betätiger 9 in Reichweite der Datenkommunikation mit dem Sicherheitsschalter 1 befindet, so dass über die Datenkommunikationsstrecke 8 Daten zwischen dem Betätiger 9 und dem Sicherheitsschalter 1 ausgetauscht werden können. Wird der Betätiger 9 dann vom Sicherheitsschalter 1 fortbewegt, z. B. durch Öffnen der Tür, vergrößert sich der Abstand D so weit, dass keine Datenkommunikation über die Datenkommunikationsstrecke 8 mehr möglich ist. Hieran kann der Sicherheitsschalter 1 erkennen, dass ein sicherheitsrelevanter Abschaltzustand vorliegt, nämlich die geöffnete Tür des Sicherheitszauns, und kann entsprechende Abschaltsignale an seinen nachfolgend noch erläuterten Schaltausgängen abgeben.The 1 shows a schematic representation of a safety switch 1 and an actuator 9 with one between the safety switch 1 and the actuator 9 formed wireless data communication link 8th , The actuator 9 becomes contactless with respect to the safety switch 1 operated. For example, the safety switch 1 be attached to a shut-off fence of a machine, and the actuator 9 at a z. B. for purposes of maintenance of the machine to open the gate of Absperrzauns. Here are the safety switch 1 and the actuator 9 To install at positions that their distance D from each other when the door is relatively low, so small that the actuator 9 within reach of the data communication with the safety switch 1 is located so that over the data communication link 8th Data between the actuator 9 and the safety switch 1 can be exchanged. Will the actuator 9 then from the safety switch 1 moved, z. B. by opening the door, the distance D increases so far that no data communication over the data communication link 8th more is possible. This can be done by the safety switch 1 recognize that a safety-relevant shutdown state is present, namely the open door of the security fence, and can deliver appropriate shutdown signals to his subsequently explained switching outputs.

Der Sicherheitsschalter 1 weist gemäß der beispielhaften Darstellung der 1 sechs äußere elektrische Anschlüsse auf, nämlich einen ersten Abschalteingang 3, einen zweiten Abschalteingang 2, einen ersten Schaltausgang 5, einen zweiten Schaltausgang 4, einen Diagnoseeingang 6 und einen Diagnoseausgang 7. Der Sicherheitsschalter 1 weist z. B. einen gemeinsamen Steckverbinder für die Anschlüsse 2, 3, 4, 5, 6, 7 auf, die dann über einen externen Stecker kontaktiert werden können. Der Sicherheitsschalter 1 kann ggf. noch weitere äußere elektrische Anschlüsse zur Stromversorgung des Sicherheitsschalters aufweisen. Alternativ kann der Sicherheitsschalter 1 zur Stromversorgung auch mit einer eingebauten Batterie oder einem Akkumulator ausgestattet sein, oder drahtlos mit elektrischer Energie versorgt werden.The safety switch 1 according to the exemplary illustration of the 1 six external electrical connections, namely a first turn-off input 3 , a second disconnect input 2 , a first switching output 5 , a second switching output 4 , a diagnostic input 6 and a diagnostic output 7 , The safety switch 1 has z. B. a common connector for the connections 2 . 3 . 4 . 5 . 6 . 7 on, which can then be contacted via an external plug. The safety switch 1 may possibly have other external electrical connections for the power supply of the safety switch. Alternatively, the safety switch 1 for power supply also be equipped with a built-in battery or a rechargeable battery, or be supplied with electrical energy wirelessly.

Der Sicherheitsschalter 1 weist eine mit dem ersten Abschalteingang 3 verbundene erste Eingangsschaltung 20 auf. Die erste Eingangsschaltung 20 ist ausgangsseitig mit einem ersten Rechner 21 verbunden. Der erste Rechner 21 empfängt hierüber Eingangssignale vom ersten Abschalteingang 3 und verarbeitet diese nach vorgegebenen Funktionen, ggf. unter Berücksichtigung weiterer über andere Signalpfade empfangene Signale und gibt ein hieraus bestimmtes Ausgangssignal an einen ersten Eingang eines ersten Logikgatters 23 ab. Der Ausgang der ersten Eingangsschaltung 20 ist über einen Bypass-Signalpfad 25, der den ersten Rechner 21 umgeht, zusätzlich direkt mit einem zweiten Eingang des ersten Logikgatters 23 verbunden. Das erste Logikgatter 23 kann z. B. als UND-Gatter ausgebildet sein. Der Ausgang des ersten Logikgatters 23 ist auf eine erste Ausgangsschaltung 24 geführt, die das insoweit vorliegende, interne Logik-Signal des Sicherheitsschalters 1 in ein am ersten Schaltausgang 5 abzugebendes Schaltsignal wandelt und am ersten Schaltausgang 5 abgibt. Die erste Ausgangsschaltung 24 kann z. B. einen Leistungs-Schalttransistor beinhalten, mit dem auch vergleichsweise große Lasten ein- und ausgeschaltet werden können.The safety switch 1 has one with the first disconnect input 3 connected first input circuit 20 on. The first input circuit 20 is the output side with a first computer 21 connected. The first computer 21 receives input signals from the first disconnect input 3 and processes them according to given functions, if necessary under consideration further signals received via other signal paths and outputs an output signal determined therefrom to a first input of a first logic gate 23 from. The output of the first input circuit 20 is via a bypass signal path 25 who is the first calculator 21 bypasses, in addition directly to a second input of the first logic gate 23 connected. The first logic gate 23 can z. B. be designed as an AND gate. The output of the first logic gate 23 is on a first output circuit 24 led, which is present in this respect, internal logic signal of the safety switch 1 in one at the first switching output 5 to be issued switching signal converts and the first switching output 5 emits. The first output circuit 24 can z. B. include a power switching transistor with which comparatively large loads can be switched on and off.

Der zweite Abschalteingang 2 ist über eine zweite Eingangsschaltung 10 mit einem zweiten Rechner 11 verbunden. Der zweite Rechner 11 empfängt hierüber Eingangssignale vom zweiten Abschalteingang 2 und verarbeitet diese nach vorgegebenen Funktionen, ggf. unter Berücksichtigung weiterer über andere Signalpfade empfangene Signale und gibt ein hieraus bestimmtes Ausgangssignal an einen ersten Eingang eines zweiten Logikgatters 13 ab. Der Ausgang der zweiten Eingangsschaltung 10 ist über einen den zweiten Rechner 11 umgehenden Bypass-Signalpfad 15 mit einem zweiten Eingang des zweiten Logikgatters 13 verbunden. Der Ausgang des zweiten Logikgatters 13 ist mit einer zweiten Ausgangsschaltung 14 verbunden. Die zweite Ausgangsschaltung 14 ist ausgangsseitig mit dem zweiten Schaltausgang 4 verbunden. Die zweite Eingangsschaltung 10 kann in gleicher Weise wie die erste Eingangsschaltung 20 ausgebildet sein. Der zweite Rechner 11 kann in gleicher Weise wie der erste Rechner 21 ausgebildet sein. Das zweite Logikgatter 13 kann in gleicher Weise wie das erste Logikgatter 23 ausgebildet sein. Die zweite Ausgangschaltung 14 kann in gleicher Weise wie die erste Ausgangsschaltung 24 ausgebildet sein.The second disconnection input 2 is via a second input circuit 10 with a second computer 11 connected. The second computer 11 receives input signals from the second disconnect input 2 and processes them according to predetermined functions, possibly taking into account further signals received via other signal paths, and outputs an output signal determined therefrom to a first input of a second logic gate 13 from. The output of the second input circuit 10 is about a second computer 11 immediate bypass signal path 15 with a second input of the second logic gate 13 connected. The output of the second logic gate 13 is with a second output circuit 14 connected. The second output circuit 14 is the output side with the second switching output 4 connected. The second input circuit 10 can be the same as the first input circuit 20 be educated. The second computer 11 can work in the same way as the first computer 21 be educated. The second logic gate 13 can be done in the same way as the first logic gate 23 be educated. The second output circuit 14 can be the same as the first output circuit 24 be educated.

Die Rechner 11, 21 können über internen flüchtigen und nichtflüchtigen Speicher verfügen. Zusätzlich können die Rechner 11, 12 mit ihnen jeweils zugeordneten, externen flüchtigen bzw. nichtflüchtigen Speichern 12, 22 verbunden sein. Die nichtflüchtigen Speicher können z. B. als EEPROM oder Flash-Speicher ausgebildet sein. Im nichtflüchtigen Speicher kann insbesondere ein Soll-Sicherheitscode gespeichert sein, der mit einem vom Betätiger 9 empfangenen Sicherheitscode verglichen wird.The calculator 11 . 21 can have internal volatile and non-volatile memory. In addition, the calculator can 11 . 12 associated with each external, external volatile or non-volatile memory 12 . 22 be connected. The non-volatile memory can z. B. be designed as EEPROM or flash memory. In particular, a desired security code can be stored in the nonvolatile memory, which is provided with a signal from the actuator 9 received security code is compared.

Zwischen dem ersten Rechner 21 und dem zweiten Rechner 11 ist eine interne Datenkommunikationsverbindung 31 gebildet, z. B. dadurch, dass jeweilige serielle Schnittstellenanschlüsse der Rechner 11, 21 miteinander verbunden sind, oder dadurch, dass verschiedene Portanschlüsse der Rechner miteinander verbunden sind, so dass eine Parallelschnittstelle realisiert wird. Über die Datenkommunikationsverbindung 31 kontrollieren sich die Rechner 11, 21 gegenseitig und tauschen Daten miteinander aus, wie z. B. einen vom Betätiger empfangenen Sicherheitscode.Between the first computer 21 and the second computer 11 is an internal data communication connection 31 formed, z. B. in that respective serial interface ports of the computer 11 . 21 are interconnected, or in that different port connections of the computer are connected to each other, so that a parallel interface is realized. Via the data communication connection 31 Control the computers 11 . 21 each other and exchange data with each other, such. B. a received from the actuator security code.

Der erste Rechner 21 ist zudem mit einer Kommunikationseinheit 30 verbunden. Über die Kommunikationseinheit 30 kann der erste Rechner bidirektional über die Datenübertragungsstrecke 8 Daten mit dem Betätiger 9 austauschen. Hierzu weist der Betätiger 9 z. B. eine als Gegenstück zur Kommunikationseinheit 30 ausgebildete Kommunikationseinheit 90 auf. Die Kommunikationseinheit 90 ist mit einem Rechner 91 des Betätigers 9 verbunden. Der Rechner 91 kann ebenfalls einen internen flüchtigen oder nichtflüchtigen Speicher aufweisen, und/oder einen externen nichtflüchtigen und/oder flüchtigen Speicher 92. In dem nichtflüchtigen Speicher kann insbesondere der Sicherheitscode gespeichert sein, der für die Erkennung dient, ob der Betätiger 9 dem Sicherheitsschalter 1 zugeordnet ist.The first computer 21 is also with a communication unit 30 connected. About the communication unit 30 The first computer can bidirectionally over the data transmission path 8th Data with the actuator 9 change. For this purpose, the actuator points 9 z. B. one as a counterpart to the communication unit 30 trained communication unit 90 on. The communication unit 90 is with a calculator 91 of the actuator 9 connected. The computer 91 may also have internal volatile or nonvolatile memory, and / or external nonvolatile and / or volatile memory 92 , In particular, the security code which serves for the detection, whether the actuator is stored in the non-volatile memory 9 the safety switch 1 assigned.

Der Betätiger 9 kann ggf. äußere elektrische Anschlüsse zur Stromversorgung des Betätigers aufweisen. Alternativ kann der Betätiger 9 zur Stromversorgung auch mit einer eingebauten Batterie oder einem Akkumulator ausgestattet sein, oder drahtlos mit elektrischer Energie versorgt werden.The actuator 9 may optionally have external electrical connections for powering the actuator. Alternatively, the actuator 9 for power supply also be equipped with a built-in battery or a rechargeable battery, or be supplied with electrical energy wirelessly.

Die Kommunikationseinheiten 30, 90 können grundsätzlich in beliebiger Art ausgebildet sein, die eine drahtlose bzw. berührungslose Datenkommunikation über die Datenübertragungsstrecke 8 erlaubt. Die Kommunikation kann z. B. durch optische Signale, z. B. im sichtbaren oder nicht sichtbaren Bereich des Lichts, über elektromagnetische Wellen oder reine Magnetfelder erfolgen. Geeignet ist z. B. eine Funkkommunikation zwischen den Kommunikationseinheiten 30, 90.The communication units 30 . 90 can basically be designed in any way that a wireless or contactless data communication over the data transmission link 8th allowed. The communication can z. B. by optical signals, eg. B. in the visible or non-visible region of the light, via electromagnetic waves or pure magnetic fields. Suitable is z. B. a radio communication between the communication units 30 . 90 ,

Der Diagnoseeingang 6 ist über einen Signalpfad 60 sowohl an den ersten Rechner 21 als auch an den zweiten Rechner 11 herangeführt, so dass beide Rechner 11, 21 die über den Diagnoseeingang 6 eingespeisten Daten empfangen können. Der Diagnoseausgang 7 ist über einen Signalpfad 70 jedoch nur mit dem ersten Rechner 21 verbunden, so dass nur der erste Rechner 21 Daten über den Diagnoseausgang 7 ausgeben kann. Sofern von dem zweiten Rechner 11 erzeugte Daten über den Diagnoseausgang 7 ausgegeben werden sollen, sind diese vom zweiten Rechner 11 über die interne Datenkommunikationsverbindung 31 zum ersten Rechner 21 zu übertragen. Der erste Rechner 21 kann dann die Daten über den Diagnoseausgang 7 abgeben.The diagnostic input 6 is via a signal path 60 both to the first computer 21 as well as to the second computer 11 introduced so that both computers 11 . 21 via the diagnostic input 6 can receive input data. The diagnostic output 7 is via a signal path 70 but only with the first computer 21 connected, leaving only the first computer 21 Data about the diagnostic output 7 can spend. If from the second computer 11 generated data via the diagnostic output 7 are to be output, these are from the second computer 11 via the internal data communication connection 31 to the first computer 21 transferred to. The first computer 21 can then read the data via the diagnostic output 7 submit.

Zur weiteren Erhöhung der Sicherheit und der Redundanz können sowohl die Eingangsschaltungen 10, 20 als auch die Ausgangsschaltungen 14, 24 von den Rechnern 11, 21 überwacht werden. Es kann z. B. eine kreuzweise Überwachung derart vorgesehen sein, dass der zweite Rechner 11 über einen Signalpfad 16 die erste Eingangsschaltung 20 und über einen Signalpfad 27 die erste Ausgangsschaltung 24 überwacht. Der erste Rechner 21 überwacht dann über einen Signalpfad 26 die zweite Eingangsschaltung 10 sowie über einen Signalpfad 17 die zweite Ausgangsschaltung 14.To further increase safety and redundancy, both the input circuits 10 . 20 as well as the output circuits 14 . 24 from the computers 11 . 21 be monitored. It can, for. B. a crosswise monitoring be provided such that the second computer 11 via a signal path 16 the first input circuit 20 and via a signal path 27 the first output circuit 24 supervised. The first computer 21 then monitors over a signal path 26 the second input circuit 10 as well as via a signal path 17 the second output circuit 14 ,

Die 2 zeigt anhand zweier Sicherheitsschalter 100, 200 die Kaskadierung von erfindungsgemäßen Sicherheitsschaltern. Die Sicherheitsschalter 100, 200 können in gleicher Weise ausgebildet sein wie der Sicherheitsschalter 1 gemäß 1. Zur Vereinfachung der Darstellung ist in der 2 ein Ausführungsbeispiel wiedergegeben, bei dem die Sicherheitsschalter 100, 200 einkanalig wiedergegeben sind, d. h. mit einem jeweiligen Abschalteingang 120, 220 und einem jeweiligen Schaltausgang 140, 240. Hierbei wird an dem Abschalteingang 120 des ersten Sicherheitsschalters 100 ein Eingangssignal empfangen, z. B. ein Einschaltsignal für eine einzuschaltende Maschine 300. Der Schaltausgang 140 des ersten Sicherheitsschalters 100 ist mit dem Abschalteingang 220 des zweiten Sicherheitsschalters 200 verbunden. Der Schaltausgang 240 des zweiten Sicherheitsschalters ist mit der ein- bzw. auszuschaltenden Maschine 300 verbunden. In diesem Fall sind somit die Sicherheitsschalter 100, 200 kaskadiert angeordnet. Grundsätzlich können auch mehr als die dargestellten zwei Sicherheitsschalter in der beschriebenen Art kaskadiert werden.The 2 shows by means of two safety switches 100 . 200 the cascading of safety switches according to the invention. The safety switches 100 . 200 can be designed in the same way as the safety switch 1 according to 1 , To simplify the illustration is in the 2 reproduced an embodiment in which the safety switch 100 . 200 are reproduced in a single channel, ie with a respective turn-off input 120 . 220 and a respective switching output 140 . 240 , This is at the turn-off input 120 of the first safety switch 100 receive an input signal, e.g. B. a turn-on signal for a machine to be switched 300 , The switching output 140 of the first safety switch 100 is with the turn-off input 220 of the second safety switch 200 connected. The switching output 240 of the second safety switch is with the on or off machine 300 connected. In this case, therefore, the safety switches 100 . 200 cascaded arranged. In principle, more than the illustrated two safety switches can be cascaded in the manner described.

Beide Sicherheitsschalter 100, 200 sind mit der zuvor bereits beschriebenen Schnellabschaltung versehen, d. h. sie weisen jeweilige Bypass-Signalpfade 106, 206 auf, durch die die jeweiligen Rechner 102, 202 umgangen werden. Hierüber kann ein jeweiliges Ausgangssignal der Eingangsschaltungen 101, 201 direkt an einen Eingang eines Logikgatters 104, 204 geführt werden und vom Logikgatter 104, 204 an eine jeweilige Ausgangsschaltung 105, 205 abgegeben werden, wobei die Ausgangsschaltungen 105, 205 wiederum mit den jeweiligen Schaltausgängen 140, 240 verbunden sind. Im Übrigen entspricht der Aufbau der Sicherheitsschalter 100, 200 dem zuvor beschriebenen Sicherheitsschalter 1. Der jeweilige Rechner 102, 202 kann mit einem externen Speicher 103, 203 verbunden sein. Zudem ist der jeweilige Rechner 102, 202 der Sicherheitsschalter 100, 200 mit einer jeweiligen Kommunikationseinheit 107, 207 verbunden. Über die Kommunikationseinheit 107, 207 kann der jeweilige Sicherheitsschalter 100, 200 über eine berührungslose Datenkommunikationsstrecke 108, 208 mit einem ihm zugeordneten Betätiger 110, 210 kommunizieren. Die Betätiger 110, 210 können ebenfalls wie der zuvor bereits erläuterte Betätiger 9 aufgebaut sein, d. h. mit einer jeweiligen Kommunikationseinheit 111, 211, einem damit jeweils verbundenen Rechner 112, 212 sowie ggf. mit einem mit dem Rechner 112, 212 verbundenen externen Speicher 113, 213.Both safety switches 100 . 200 are provided with the previously described rapid shutdown, ie they have respective bypass signal paths 106 . 206 on, through which the respective computers 102 . 202 to be bypassed. This can be a respective output signal of the input circuits 101 . 201 directly to an input of a logic gate 104 . 204 and logic gate 104 . 204 to a respective output circuit 105 . 205 are discharged, wherein the output circuits 105 . 205 again with the respective switching outputs 140 . 240 are connected. Incidentally, the structure corresponds to the safety switch 100 . 200 the safety switch described above 1 , The respective computer 102 . 202 can with an external memory 103 . 203 be connected. In addition, the respective computer 102 . 202 the safety switch 100 . 200 with a respective communication unit 107 . 207 connected. About the communication unit 107 . 207 can the respective safety switch 100 . 200 via a non-contact data communication link 108 . 208 with an associated actuator 110 . 210 communicate. The actuators 110 . 210 can also be like the previously explained actuator 9 be constructed, ie with a respective communication unit 111 . 211 , a computer connected to it 112 . 212 as well as possibly with one with the computer 112 . 212 connected external memory 113 . 213 ,

Wird durch einen der Sicherheitsschalter 100, 200 der Kette von Sicherheitsschaltern ein Abschaltsignal an dem jeweiligen Schaltausgang abgegeben, so wird dieses an der Softwarefunktion der Rechner 102, 202 vorbei über die jeweiligen Bypass-Signalpfade 106, 206 sowie die Logikgatter 104, 204 direkt zu der abzuschaltenden Maschine 300 übertragen, so dass die Maschine praktisch verzögerungsfrei abgeschaltet werden kann.Is through one of the safety switches 100 . 200 the chain of safety switches issued a shutdown signal to the respective switching output, so this is the software function of the computer 102 . 202 over the respective bypass signal paths 106 . 206 as well as the logic gates 104 . 204 directly to the machine to be switched off 300 transferred, so that the machine can be switched off virtually instantaneously.

Claims

Non-contact safety switch ( 1 . 100 . 200 ) for non-contact interaction with an actuator ( 9 . 110 . 210 ), the safety switch ( 1 . 100 . 200 ) is adapted to a switching output ( 4 . 5 . 140 . 240 ) of the safety switch ( 1 . 100 . 200 ) to generate a shutdown signal when the distance (D) between the safety switch ( 1 . 100 . 200 ) and the actuator ( 9 . 110 . 210 ) exceeds or falls below a predetermined limit, the safety switch ( 1 . 100 . 200 ) a redundantly constructed software-controlled control circuit ( 11 . 21 . 102 . 202 ) comprising at least two computers ( 11 . 21 . 102 . 202 ), which are adapted to operate during operation of the safety switch ( 1 . 100 . 200 ) exchange data with each other, whereby only a first of the two computers ( 11 . 21 . 102 . 202 ) with a communication unit ( 30 . 107 . 207 ) of the safety switch ( 1 . 100 . 200 ) for wireless data communication with the actuator ( 9 . 110 . 210 ), the first computer ( 21 . 107 . 207 ) is set up to communicate with the actuator via the communication unit ( 9 . 110 . 210 ), whereby the first computer ( 21 . 107 . 207 ) is adapted to at least a part of the by the actuator ( 9 . 110 . 210 ) received data to the second computer ( 11 ) and the second computer ( 11 ) is set up to perform a safety check by the operator ( 9 . 110 . 210 ) and to the second computer ( 11 ) forwarded data independently of the first computer ( 21 . 107 . 207 ).

Safety switch ( 1 . 100 . 200 ) according to claim 1, characterized in that the second computer ( 11 ) is set up to perform the safety check of the 9 . 110 . 210 ) and to the second computer ( 11 ) forwarded security codes by means of an independent in the second computer ( 11 ) or an associated, the second computer ( 11 ) associated memory ( 12 ) stored desired security code.

Safety switch ( 1 . 100 . 200 ) according to one of claims 1 to 2, characterized in that the safety switch ( 1 . 100 . 200 ) a first switching output ( 5 . 140 . 240 ), on which only from the first computer ( 21 . 107 . 207 ) a shutdown signal is generated, and a second switching output ( 4 ), on which only from the second computer ( 11 ) independent of the first computer ( 21 . 107 . 207 ) A shutdown signal can be generated.

Safety switch ( 1 . 100 . 200 ) according to one of claims 1 to 3, characterized in that the safety switch ( 1 . 100 . 200 ) a first turn-off input ( 3 . 120 . 220 ) associated with the first computer ( 21 . 107 . 207 ) and a second shutdown input ( 2 ), which is independent of the first shutdown input ( 3 . 120 . 220 ) with the second computer ( 11 ) connected is.

Safety switch ( 1 . 100 . 200 ) according to one of claims 1 to 4, characterized in that the first and the second computer ( 11 . 12 . 102 202 ) are adapted to the switching output ( 4 . 5 . 140 . 240 ) or the switching outputs of the safety switch ( 1 . 100 . 200 ) as soon as an internal error in the data communication between the first and the second computer ( 11 . 12 . 102 . 202 ), an error in the data communication with the actuator ( 9 . 110 . 210 ) or too large a distance between the actuator ( 9 . 110 . 210 ) and the safety switch ( 1 . 100 . 200 ) was detected.

Safety switch ( 1 . 100 . 200 ) according to one of the preceding claims, characterized in that a) the safety switch ( 1 . 100 . 200 ) at least one turn-off input ( 2 . 3 . 120 . 220 ), b) the safety switch ( 1 . 100 . 200 ) with additional safety switches ( 1 . 100 . 200 ) can be cascaded by a switching output ( 4 . 5 . 140 . 240 ) of a safety switch ( 1 . 100 . 200 ) with a turn-off input ( 2 . 3 . 120 . 220 ) of a downstream safety switch ( 1 . 100 . 200 ), c) the safety switch ( 1 . 100 . 200 ) at least one designed as an electronic hardware component logic gate ( 13 . 23 . 104 . 204 ), wherein the switching output ( 4 . 5 . 140 . 240 ) of the safety switch ( 1 . 100 . 200 ) with the output of the logic gate ( 13 . 23 . 104 . 204 ), and wherein a first input of the logic gate ( 13 . 23 . 104 . 204 ) with a software-controlled control circuit ( 11 . 21 . 102 . 202 ) of the safety switch ( 1 . 100 . 200 ) used to perform data communication with the actuator ( 9 . 110 . 210 ) is connected, and a second input of the logic gate ( 13 . 23 . 104 . 204 ) bypassing the software controlled control circuit ( 11 . 21 . 102 . 202 ) with the turn-off input ( 2 . 3 . 120 . 220 ) of the safety switch ( 1 . 100 . 200 ), the logic gate ( 13 . 23 . 104 . 204 ) is set up, upon receipt of a shutdown signal at the turn-off input ( 2 . 3 . 120 . 220 ) regardless of the signal present at the first input immediately at the switching output ( 4 . 5 . 140 . 240 ) of the safety switch ( 1 . 100 . 200 ) to generate the shutdown signal.

Safety switch ( 1 . 100 . 200 ) according to claim 6, characterized in that in one embodiment of the logic gate ( 13 . 23 . 104 . 204 ) in positive logic the logic gate ( 13 . 23 . 104 . 204 ) as an AND gate and in an execution of the logic gate ( 13 . 23 . 104 . 204 ) in negative logic the logic gate ( 13 . 23 . 104 . 204 ) is formed as an OR gate.

Safety switch ( 1 . 100 . 200 ) according to one of the preceding claims, characterized in that the safety switch ( 1 . 100 . 200 ) a diagnostic interface ( 6 . 7 ) having.

Safety switch ( 1 . 100 . 200 ) according to claim 8, characterized in that the safety switch ( 1 . 100 . 200 ) as a diagnostic interface ( 6 . 7 ) at least one diagnostic input ( 6 ) and at least one diagnostic output ( 7 ), the diagnostic output ( 7 ) for transmission of non-safety-related internal status information of the safety switch ( 1 . 100 . 200 ) to an external device and the diagnostic input ( 6 ) for receiving and forwarding non-safety-related status information that is sent via the diagnostic input ( 6 ) to a software controlled control circuit ( 11 . 21 . 102 . 202 ) of the safety switch ( 1 . 100 . 200 ) is set up.

Safety switch ( 1 . 100 . 200 ) according to claim 8 or 9, characterized in that the safety switch ( 1 . 100 . 200 ) via the diagnostic interface ( 6 . 7 ) is configurable in terms of its function.

Safety switch ( 1 . 100 . 200 ) according to one of the preceding claims, characterized in that the safety switch ( 1 . 100 . 200 ) is set up with an actuator (within range of wireless data communication) ( 9 . 110 . 210 ) to exchange a security code with a specific data block length, the security code in sections of code that are smaller than the full data block length, sections between the actuator ( 9 . 110 . 210 ) and the safety switch ( 1 . 100 . 200 ) is transmitted.

Safety switch ( 1 . 100 . 200 ) according to claim 11, characterized in that between the code sections of the security code each transmission pauses in the wireless data communication are provided.

Safety switch ( 1 . 100 . 200 ) according to claim 11 or 12, characterized in that the safety switch ( 1 . 100 . 200 ) is adapted to receive a signal from the operator ( 9 . 110 . 210 ) transmitted code after each transmitted code section to coincide with a corresponding code portion of a target security code in the safety switch ( 1 . 100 . 200 ) and to stop further data transmission of the security code as soon as 9 . 110 . 210 ) is not coincident with the corresponding code section of the desired security code, and in this case at the switching output ( 4 . 5 . 140 . 240 ) of the safety switch ( 1 . 100 . 200 ) to generate the shutdown signal.

Safety switch ( 1 . 100 . 200 ) according to claim 13, characterized in that the safety switch ( 1 . 100 . 200 ) is configured to execute one or possibly several repeated transmissions of the code section in the case of a faulty transmission of a code section, as long as a predetermined maximum transmission time for the Transmission of the security code is not exceeded.