DE102012204763A1

DE102012204763A1 - Modulares Sicherheitssystem

Info

Publication number: DE102012204763A1
Application number: DE201210204763
Authority: DE
Inventors: Klaus Aufschneider; Herbert Haller; Andreas Kneidl; Kyoung-Jin Lee-Hof
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2012-03-26
Filing date: 2012-03-26
Publication date: 2013-04-25

Abstract

Die Erfindung betrifft ein modulares Sicherheitssystem mit einem ersten und einem zweiten Modul (1, 20) sowie ein Verfahren zum Erkennen einer Sicherheitseingangserweiterung innerhalb des modularen Sicherheitssystems. Um ein verbessertes modulares Sicherheitssystem bereitzustellen, werden folgende Schritte vorgeschlagen: – Koppeln des ersten Moduls (1) mit dem zweiten Modul (20), – Ausgeben eines ersten Signals über den ersten Ausgang (2) – Überprüfen, ob am dritten Eingang (22) das erste Signal empfangen wird, – Ausgeben eines dritten Signals über den zweiten und dritten Ausgang (23, 24), – Überprüfen, ob ein drittes Signal am ersten und zweiten Eingang (3, 4) empfangen wird, – Ausgeben eines zweiten Signals über den ersten Ausgang (2) durch das erste Modul (1).

Description

Die Erfindung betrifft ein modulares Sicherheitssystem mit einem ersten und einem zweiten Modul sowie ein Verfahren zum Erkennen einer Sicherheitseingangserweiterung innerhalb des modularen Sicherheitssystems.
Modulare Sicherheitssysteme finden insbesondere im Bereich der industriellen Automatisierungstechnik ihre Anwendung und dienen dem sicheren Einlesen von Sensorsignalen und Ansteuern von Verbrauchern. Zum sicheren Einlesen eines Sensorsignals umfasst das Sicherheitssystem mindestens einen Sicherheitseingang. An dem mindestens einen Sicherheitseingang des Sicherheitssystems wird ein Befehls- und Meldegeräte (z.B. Positionsschalter, Sicherheitslichtschranken, Not-Halt) angeschlossen. Zum Ansteuern eines Verbrauchers umfasst das Sicherheitssystem mindestens einen Sicherheitsausgang. Über diesen Sicherheitsausgang kann insbesondere ein Verbraucher, z.B. ein Ventil oder ein Schaltgeräte, sicher angesteuert werden. Sicherheitseingänge und Sicherheitsausgänge werden insbesondere durch ein Basismodul des Sicherheitssystems bereitgestellt. Werden für das Sicherheitssystem jedoch mehr Sicherheitseingänge benötigt, als sie durch das Basismodul selbst bereitgestellt werden, so kann das Sicherheitssystem mit einem Erweiterungsmodul, welches selbst mindestens einen Sicherheitseingang umfasst, erweitert werden. Hierfür wird das Basismodul mit dem Erweiterungsmodul gekoppelt, so dass das Sicherheitssystem mit den Sicherheitseingängen des Erweiterungsmoduls erweitert wird. Durch das Erweiterungsmodul liegt eine Sicherheitseingangserweiterung vor.
Eine Aufgabe der vorliegenden Erfindung ist es ein verbessertes modulares Sicherheitssystem bereitzustellen. Insbesondere soll das Erkennen einer Sicherheitseingangserweiterung innerhalb des modularen Sicherheitssystems verbessert werden.
Diese Aufgabe wird gelöst durch ein Verfahren nach Anspruch 1, d.h. durch ein Verfahren zum Erkennen einer Sicherheitseingangserweiterung innerhalb eines modularen Sicherheitssystems mit einem ersten Modul und einem zweiten Modul, wobei das erste Modul einen ersten Ausgang und einen ersten und zweiten Eingang umfasst und das zweite Modul einen dritten Eingang, einen zweiten und dritten Ausgang und einen Sicherheitseingang umfasst, mit folgenden Schritten:

– Koppeln des ersten Moduls mit dem zweiten Modul, so dass der erste Ausgang mit dem dritten Eingang, der erste Eingang mit dem dritten Ausgang und der zweite Eingang mit dem zweiten Ausgang elektrisch leitend verbunden ist,
– Ausgeben eines ersten Signals über den ersten Ausgang durch das erste Modul,
– Überprüfen, ob am dritten Eingang das erste Signal empfangen wird, durch das zweite Modul,
– sofern am dritten Eingang das erste Signal empfangen wird, ausgeben eines dritten Signals über den zweiten und dritten Ausgang durch das zweite Modul,
– nach dem Ausgeben des ersten Signals überprüfen, ob ein drittes Signal am ersten und zweiten Eingang empfangen wird, durch das erste Modul,
– sofern nach dem Ausgeben des ersten Signals das dritte Signal am ersten und zweiten Eingang empfangen wird, ausgeben eines zweiten Signals über den ersten Ausgang durch das erste Modul,

Vorteilhafte Weiterbildungen der Erfindung sind in den abhängigen Ansprüchen 2 bis 11 sowie 13 angegeben.
Wird kein drittes Signal am ersten und zweiten Eingang empfangen, so erkennt das erste Modul, dass keine Sicherheitseingangserweiterung vorliegt bzw. sofern ein fehlerhaftes Signal am ersten und zweiten Eingang empfangen wird, dass ein Fehler vorliegt. Wird hingegen das dritte Signal am ersten und zweiten Eingang empfangen, so erkennt das erste Modul, dass es mit einem zweiten Modul ordnungsgemäß verbunden ist und durch das zweite Modul eine Sicherheitseingangserweiterung vorliegt. Durch die Ausgabe des zweiten Signals bestätigt das erste Modul, dass es die Sicherheitseingangserweiterung und somit das zweite Modul erkannt hat.
Das Senden der Signale erfolgt vorzugsweise während des Gerätehochlaufs des ersten und zweiten Moduls. Das erste Modul nimmt vorzugsweise seinen Normalbetrieb nach dem Ausgeben des zweiten Signals oder nach dem Ermitteln, dass keine Sensorerweiterung vorliegt, ein. Wird ein Fehler festgestellt, so nimmt das erste Modul vorzugsweise seinen Fehlerbetrieb ein.
In einer vorteilhaften Ausführungsform der Erfindung überprüft das zweite Modul nach dem Ausgeben des dritten Signals, ob am dritten Eingang das zweite Signal empfangen wird, und gibt sofern nach dem Ausgeben des dritten Signals am dritten Eingang das zweite Signal empfangen wird ein viertes Signal über den zweiten und dritten Ausgang aus.
Das zweite Modul wechselt vorzugsweise nach bzw. unmittelbar während des Ausgebens des vierten Signals seinen Betriebszustand vom Gerätehochlauf in den Normalbetrieb. Durch das Ausgeben des vierten Signals durch das zweite Modul signalisiert das zweite Modul dem ersten Modul, dass es aus dem Gerätehochlauf in den Normalbetrieb wechselt.
In einer weiteren vorteilhaften Ausführungsform der Erfindung überprüft das erste Modul nach dem Ausgeben des zweiten Signals, ob ein viertes Signal am ersten und zweiten Eingang empfangen wird.
Vorzugsweise wird durch das vierte Signal der Betriebszustand, insbesondere ein Wechsel vom Gerätehochlauf in den Normalbetrieb, des zweiten Moduls signalisiert. Sofern nach dem Ausgeben des zweiten Signals das viertes Signal am ersten und zweiten Eingang empfangen wird, erkennt das erste Modul, dass sich das zweite Modul im Normalbetrieb befindet. Der erste und zweite Eingang wird daraufhin insbesondere hinsichtlich des vierten oder eines fünften Signals überwacht.
In einer weiteren vorteilhaften Ausführungsform der Erfindung sendet das zweite Modul im Normalbetrieb in Abhängigkeit des vorliegenden Signals an seinem Sicherheitseingang das vierte oder ein fünftes Signal über den zweiten und dritten Ausgang an das erste Modul. Das zweite Modul analysiert vorzugsweise selbstständig seinen Sicherheitseingang bzw. seine Sicherheitseingänge. In Abhängigkeit der Parametrierung des zweiten Moduls gibt es bei einem Erfassen einer Zustandsänderung an seinem Sicherheitseingang über den zweiten und dritten Ausgang das vierte oder das fünfte Signal aus. Das vierte Signal ist insbesondere ein negatives Freigabesignal und das fünfte Signal ein positives Freigabesignal des zweiten Moduls.
Das fünfte Signal ist insbesondere ein inverses Signal (zweiter Ausgang Low und dritter Ausgang High oder zweiter Ausgang High und dritter Ausgang Low). Das vierte Signal ist vorzugsweise invers zum fünften Signal ausgebildet.
Durch die Ausgabe des vierten oder fünften Signals wird vorzugsweise eine Zustandsänderung am Sicherheitsausgang des Sicherheitssystems herbeigeführt.
In einer weiteren vorteilhaften Ausführungsform der Erfindung ist das erste, zweite, dritte, vierte und/oder fünfte Signal ein statisches Signal. Ein statisches Signal ist insbesondere ein Signal, welches durch einen einmaligen Wechsel von einem High Pegel auf einen Low Pegel oder umgekehrt charakterisiert ist. Ein Low Pegel ist beispielsweise 0 V und ein High Pegel ist zwischen 2 Volt und 40 Volt, insbesondere 24 Volt.
Das erste Signal ist vom zweiten Signal unterschiedlich. Das dritte Signal ist vom vierten und fünften Signal unterschiedlich und das vierte Signal ist vom fünften Signal unterschiedlich.
In einer weiteren vorteilhaften Ausführungsform der Erfindung werden durch das erste Signal ein Low Pegel und das zweite Signal ein High Pegel am ersten Ausgang ausgegeben.
In einer weiteren vorteilhaften Ausführungsform der Erfindung werden durch das dritte Signal ein High Pegel am zweiten Ausgang und ein High Pegel am dritten Ausgang und sofern vorhanden durch das vierte Signal ein Low Pegel am zweiten Ausgang und ein High Pegel am dritten Ausgang ausgegeben. Da das fünfte Signal invers zum vierten Signal ausgebildet ist, wäre somit ein High Pegel am zweiten Ausgang und ein Low Pegel am dritten Ausgang.
Ebenso ist es denkbar, dass sofern das dritte Signal ein High Pegel am zweiten und dritten Ausgang ist das vierte Signal ein High Pegel am zweiten Ausgang und ein Low Pegel am dritten Ausgang ist. Das fünfte Signal wäre somit ein Low Pegel am zweiten Ausgang und ein High Pegel am dritten Ausgang. Im ersten und zweiten Modul müssen lediglich die ordnungsgemäßen Signale hinterlegt sein.
Im gekoppelten Zustand ist der dritte Ausgang insbesondere dem ersten Eingang und der zweite Ausgang dem zweiten Eingang zugeordnet.
In einer weiteren vorteilhaften Ausführungsform der Erfindung umfasst zur Erweiterung des Sicherheitssystems um einen Sicherheitseingang das Sicherheitssystem ein drittes Modul, wobei das zweite Modul einen vierten Ausgang und einen vierten und fünften Eingang umfasst und das dritte Modul einen sechsten Eingang, einen fünften und sechsten Ausgang und den Sicherheitseingang umfasst, mit folgenden Schritten:

– Koppeln des zweiten Moduls mit dem dritten Modul,
– Ausgeben eines ersten Signals über den vierten Ausgang durch das zweite Modul,
– Überprüfen, ob am sechsten Eingang das erste Signal empfangen wird, durch das dritte Modul,
– sofern am sechsten Eingang das erste Signal empfangen wird, ausgeben eines dritten Signals über den fünften und sechsten Ausgang durch das dritte Modul,
– nach dem Ausgeben des ersten Signals überprüfen, ob ein drittes Signal am vierten und fünften Eingang empfangen wird, durch das zweite Modul,
– sofern nach dem Ausgeben des ersten Signals das dritte Signal am vierten und fünften Eingang empfangen wird, Ausgeben eines zweiten Signals über den vierten Ausgang durch das zweite Modul.

In einer weiteren vorteilhaften Ausführungsform der Erfindung umfasst das Verfahren folgende weiteren Schritte:

– Nach dem Ausgeben des dritten Signals überprüfen, ob am sechsten Eingang das zweite Signal empfangen wird, durch das dritte Modul,
– sofern nach dem Ausgeben des dritten Signals am sechsten Eingang das zweite Signal empfangen wird, ausgeben eines vierten Signals über den fünften und sechsten Ausgang durch das dritte Modul,
– nach dem Ausgeben des zweiten Signals überprüfen, ob ein viertes Signal am vierten und fünften Eingang empfangen wird, durch das zweite Modul.

Vorzugsweise ist das dritte Modul analog zum zweiten Modul ausgebildet, so dass es sich insbesondere hinsichtlich der Eingänge, Ausgänge, ersten, zweiten, dritten, vierten und fünften Signale äquivalent zum zweiten Modul verhält.
Die Analyse hinsichtlich einer Sicherheitseingangserweiterung zwischen dem zweiten und dritten Modul erfolgt somit analog zur Analyse hinsichtlich einer Sicherheitseingangserweiterung zwischen dem ersten und zweiten Modul. Die Analyse zwischen dem zweiten und dritten Modul erfolgt insbesondere vor dem Ausgeben des vierten Signals durch das zweite Modul an das erste Modul.
In einer weiteren vorteilhaften Ausführungsform der Erfindung umfasst das erste Modul eine erste Verarbeitungseinheit, das zweite Modul eine zweite Verarbeitungseinheit und sofern vorhanden das dritte Modul eine dritte Verarbeitungseinheit, wobei das Ausgeben und Überprüfen der Signale durch die entsprechende Verarbeitungseinheit des jeweiligen Moduls erfolgt.
Das Ausgeben der Signale (erstes, zweites Signal) des ersten Moduls sowie das Überprüfen des Empfangs der Signale (drittes, viertes, fünftes Signal) des zweiten Moduls erfolgt insbesondere durch die erste Verarbeitungseinheit des ersten Moduls. Das Ausgeben der Signale (drittes, viertes, fünftes Signal) des zweiten Moduls sowie das Überprüfen des Empfangs der Signale (erste, zweite Signal) des ersten Moduls erfolgt insbesondere durch die zweite Verarbeitungseinheit des zweiten Moduls.
Ist das zweite Modul mit einem dritten Modul gekoppelt so erfolgt das Ausgeben der Signale (erstes, zweites Signal) des zweiten Moduls sowie das Überprüfen des Empfangs der Signale (drittes, viertes, fünftes Signal) des dritten Moduls insbesondere durch die zweite Verarbeitungseinheit des zweiten Moduls. Das Ausgeben der Signale (drittes, viertes, fünftes Signal) des dritten Moduls sowie das Überprüfen des Empfangs der Signale (erstes, zweites Signal) des zweiten Moduls erfolgt insbesondere durch die dritte Verarbeitungseinheit des dritten Moduls.
In einer weiteren vorteilhaften Ausführungsform der Erfindung ist das erste Modul ein Basismodul des Sicherheitssystems und das zweite Modul ein erstes Erweiterungsmodul des Sicherheitssystems und sofern vorhanden das dritte Modul ein zweites Erweiterungsmodul des Sicherheitssystems.
Das Basismodul umfasst vorzugsweise einen Sicherheitseingang und einen Sicherheitsausgang.
Im Folgenden werden die Erfindung und Ausgestaltungen der Erfindung anhand der in den Figuren dargestellten Ausführungsbeispiele näher beschrieben und erläutert. Es zeigen:
1 Eine schematische Darstellung eines modularen Sicherheitssystems, und
2 eine schematische Darstellung der Schritte zum Erkennen einer Sicherheitseingangserweiterung innerhalb des Sicherheitssystems nach 1.
1 zeigt eine schematische Darstellung des modularen Sicherheitssystems. Das modulare Sicherheitssystem umfasst als erstes Modul 1 ein Basismodul 1, als zweites Modul 20 ein erstes Erweiterungsmodul 20 und als drittes Modul 30 ein zweites Erweiterungsmodul 30. Das Basismodul 1 umfasst einen Sicherheitseingang 9, einen Sicherheitsausgang 10, eine erste Verarbeitungseinheit 5, einen ersten Ausgang 2, einen ersten Eingang 3 und einen zweiten Eingang 4. Das erste und zweite Erweiterungsmodul 20, 30 ist baugleich ausgebildet. Das erste Erweiterungsmodul 20 umfasst zwei Sicherheitseingänge 29, einen dritten Eingang 22, einen vierten Eingang 27, einen fünften Eingang 28, einen zweiten Ausgang 24, einen dritten Ausgang 23, eine vierten Ausgang 26, und eine zweite Verarbeitungseinheit 25. Das zweite Erweiterungsmodul 30 umfasst zwei Sicherheitseingänge 39, einen sechsten Eingang 32, einen siebten Eingang 37, einen achten Eingang 38, einen fünften Ausgang 34, einen sechsten Ausgang 33, eine siebten Ausgang 36 und eine dritte Verarbeitungseinheit 35.
Im gekoppelten Zustand zwischen dem Basismodul 1 und dem ersten Erweiterungsmodul 20 ist der erste Ausgang 2 mit dem dritten Eingang 22, der erste Eingang 3 mit dem dritten Ausgang 23 und der zweite Eingang 4 mit dem zweiten Ausgang 24 elektrisch leitend verbunden. Im gekoppelten Zustand zwischen dem ersten Ereweiterungsmodul 20 und dem zweiten Erweiterungsmodul 30 ist der vierte Ausgang 26 mit dem sechsten Eingang 32, der vierte Eingang 27 mit dem sechsten Ausgang 33 und der fünfte Eingang 27 mit dem fünften Ausgang 34 elektrisch leitend verbunden.
Die Verbindung der einzelnen Module 1, 20, 30 untereinander erfolgt durch eine Einzelverdrahtung. Es ist jedoch ebenso denkbar, dass die elektrische Verbindung der Module 1, 20, 30 untereinander mittels eines Verbindungssteckers erfolgt.
Der Umfang des Sicherheitssystems wird insbesondere durch die Anzahl der benötigten Sicherheitseingänge 9, 29, 39 und Sicherheitsausgänge 10 bestimmt. Werden für das Sicherheitssystem mehr Sicherheitseingänge 9 benötigt, als sie durch das Basismodul 1 selbst bereitgestellt werden, so kann das Sicherheitssystem mit entsprechenden Erweiterungsmodulen 20, 30 mit Sicherheitseingängen 29, 39 erweitert werden. Hierfür wird das Basismodul 1 mit dem ersten Erweiterungsmodul 20, welches selbst Sicherheitseingänge 29 umfasst, gekoppelt, d.h. die entsprechenden Eingänge 3, 4, 22 und Ausgänge 2, 23, 24 werden miteinander verbunden. Das Sicherheitssystem wird somit mit den Sicherheitseingängen 29 des ersten Erweiterungsmoduls 20 erweitert. Werden innerhalb des Sicherheitssystems nach dem Koppeln des Basismoduls 1 mit dem ersten Erweiterungsmodul 20 wiederum mehr Sicherheitseingänge 9, 29 benötigt, als sie durch das Basismodul 1 und dem bereits gekoppelten ersten Erweiterungsmodul 20 bereitgestellt werden, so kann das Sicherheitssystem durch das zweite Erweiterungsmodul 30 mit dessen Sicherheitseingängen 39 erweitert werden. Hierfür wird das bereits mit dem Basismodul 1 gekoppelte erste Erweiterungsmodul 20 mit dem zweiten Erweiterungsmodul 30 gekoppelt. Dem Basismodul 1 können somit durch den Einsatz der zwei Erweiterungsmodule 20, 30 zusätzliche Sicherheitseingänge 29, 39 bereitgestellt werden.
Im Normalbetrieb erfolgt die Verarbeitung der an den einzelnen Sicherheitseingängen 9, 29, 39 eingehenden Sensorsignale im jeweiligen Modul 1, 20, 30 des Sicherheitseingangs 9, 29, 39 selbst, durch dessen Verarbeitungseinheit 5, 25, 35. Das entsprechende Modul 1, 20, 30 wertet das Sensorsignal aus und gibt in Abhängigkeit seiner Parametrierung ein viertes oder ein fünftes Signal an das nebengeordnete Modul 1, 20, 30 aus. Das vierte Signal ist ein negatives Freigabesignal und das fünfte Signal ein positives Freigabesignal. Ist ein Modul durch ein weiteres Modul erweitert worden, so wird der eigene Sicherheitseingang zusammen mit dem vierten oder fünften Signal des vorgeschalteten Moduls (links angeschlossenen) ausgewertet (UND-Verknüpfung) und das Ergebnis als viertes oder fünftes Signal an das nachgeschaltete (rechts angeschlossene) nächste Modul gesendet. Diese UND-Verknüpfung der vierten bzw. fünften Signale erfolgt bis hin zum Basisgerät 1. Dort wird das resultierende UND-Verknüpfte vierte bzw. fünfte Signale aller angeschlossenen Module zusammen mit den eigenen Sicherheitseingängen 9 ausgewertet (UND-Verknüpft) und je nach Ergebnis die Freigabekreise (Relais- und/oder Halbleiter-Ausgänge) der Sicherheitsausgänge 10 des Sicherheitssystems geschaltet.
Auf diese Weise erfolgt eine kaskadierte Verschaltung der einzelnen Module 1, 20, 30, welche jeweils für sich Sensorsignale und sofern vorhanden empfangene vierte bzw. fünfte Signale mittels ihrer Verarbeitungseinheit 5, 25, 35 auswerten und entsprechend ihrer Parametrierung selbst ein viertes bzw. fünftes Signal an das nachgeschaltete Modul 1, 20 ausgeben bzw. im Fall des Basismoduls den Freigabekreis ansteuern.
Durch das Ausgeben des vierten Signals (negatives Freigabesignal) wird ein Aktivieren eines über den Sicherheitsausgang 10 des Sicherheitssystems angesteuerten Verbrauchers unterbunden. Durch das Ausgeben des fünften Signals (positives Freigabesignal) wird der über den Sicherheitsausgang 10 des Sicherheitssystems angesteuerte Verbraucher aktiviert bzw. im Betrieb gehalten.
Sofern sich alle Module 1, 20, 30 im Normalbetrieb befinden gibt das Erweiterungsmodul 30 nach Auswertung seiner Sicherheitseingänge 39 entsprechend seiner Parametrierung über seinen fünften und sechsten Ausgang 33, 34 das vierte bzw. das fünfte Signal an das nebengeordnete nachgeschaltete erste Erweiterungsmodul 20 aus. Das erste Erweiterungsmodul 20, insbesondere dessen Verarbeitungseinheit 25, wertet seine Sicherheitseingänge 29 sowie seine vierten und fünften Eingänge 27, 28 entsprechend seiner Parametrierung aus und gibt ein viertes bzw. fünftes Signal an das Basismodul 1 aus. Das Basismodul 1 wertet seinen Sicherheitseingang 9 sowie das vierte bzw. fünfte Signal des ersten Erweiterungsmoduls 20 entsprechend seiner Parametrierung aus und schaltet entsprechend die Freigabekreise der Sicherheitsausgänge 10 des Sicherheitssystems.
An die Sicherheitseingänge 9, 29, 39 des Sicherheitssystems werden insbesondere Befehls- und Meldegeräte (z.B. Positionsschalter, Sicherheitslichtschranken, Not-Halt) angeschlossen. Über den jeweiligen Sicherheitseingang 9, 29, 39 können Sensorsignale der Befehls- und Meldegeräte sicher empfangen werden. Diese Sensorsignale werden im jeweiligen Modul 1, 20, 30 ausgewertet. Ist ein Befehls- und Meldegerät über den Sicherheitseingang 29, 39 eines der Erweiterungsmodule 20, 30 mit dem Sicherheitssystem verbunden, so wird das Sensorsignal zunächst im entsprechenden Erweiterungsmodul 20, 30 empfangen und ausgewertet. In Abhängigkeit der Parametrierung des Erweiterungsmoduls, welches das Sensorsignal empfängt, wird das vierte bzw. fünfte Signal sicher an das nebengeordnete nachgeschaltete Modul 20, 1 übertragen. Das sichere Übertragen des vierten und fünften Signals erfolgt mittels eines inversen Signals über den zweiten und dritten Ausgangs 23, 24 bei dem ersten Erweiterungsmodul 20 bzw. des fünften und sechsten Ausgangs 33, 34 des zweiten Erweiterungsmoduls 30. Das vierte Signal ist invers zum fünften Signal ausgebildet. Das Basismodul 1 liest die an dem ersten und zweiten Eingang 3, 4 und an dem Sicherheitseingang 9 anliegenden Signale sicher ein und steuert entsprechend der in seiner Verarbeitungseinheit 5 hinterlegten Parametrierung die entsprechenden Sicherheitsausgänge 10 des Sicherheitssystems sicher an. Über die Sicherheitsausgänge 10 des Sicherheitssystems werden insbesondere Verbraucher, z.B. Ventile, Schaltgeräte, sicher angesteuert.
Da es sich bei dem Sicherheitssystem um ein sicherheitsgerichtetes System handelt, werden spezielle Anforderungen an das Sicherheitssystem gestellt. Hierfür müssen spezielle im Bereich der industriellen Automatisierungstechnik geltenden Sicherheitsvorschriften erfüllt werden. Der Sicherheitsausgang 10 des Sicherheitssystems wird hierfür mittels zwei intern verbauten in Serie geschalteten Schaltelementen 11 gesteuert, so dass nur durch eine einheitliche Zustandsänderung der Schaltelemente 11 ein Signal am Sicherheitsausgang 10 ausgegeben werden kann. Sofern die durch das Basismodul 1 bereitgestellte Anzahl an Sicherheitsausgängen 10 nicht genügt, so kann das Sicherheitssystem mit Erweiterungsmodulen, welche Sicherheitsausgänge umfassen, erweitert werden. Die Ansteuerung der Schaltelemente 11 des jeweiligen Sicherheitsausgangs des Sicherheitssystems erfolgt zentral durch das Basismodul 1. Vor dem Ansteuern der Schaltelemente des Sicherheitsausgangs erfolgt zunächst durch das Basismodul 1 eine Überprüfung der vorliegenden Schaltstellung der anzusteuernden Schaltelemente 11 des Sicherheitsausgangs; der Rückführkreis wird ausgewertet. Hierbei wird kontrolliert, ob die vorliegende Schaltstellung der anzusteuernden Schaltelemente 11 der erwarteten ordnungsgemäßen Schaltstellung entspricht oder nicht. Liegt eine ordnungsgemäße Schaltstellung an den anzusteuernden Schaltelementen 11 vor, so wird von dem Basismodul 1 das Schaltsignal an die Schaltelemente 11 ausgegeben und die beiden Schaltelemente 11 des anzusteuernden Sicherheitsausgangs 10 werden geschaltet. Am Sicherheitsausgang 10 wird ein entsprechendes Signal erzeugt. Wird hingegen festgestellt, dass keine erwartete ordnungsgemäße Schaltstellung bei den Schaltelementen 11 vorliegt, so unterbleibt die Ansteuerung der Schaltelemente 11 des anzusteuernden Sicherheitsausgangs 10, so dass am Sicherheitsausgang 10 das vorliegende Signal beibehalten wird.
Die logische Verschaltung der Sicherheitseingänge 9, 29, 39 mit den Sicherheitsausgängen 10 des Sicherheitssystems erfolgt über das Basismodul 1.
Zur Inbetriebnahme eines derart modularen Sicherheitssystems muss dem Basismodul 1 zunächst mitgeteilt werden, ob es eine Sicherheitseingangserweiterung umfasst (d.h. mit einem ersten Erweiterungsmodul 20 gekoppelt ist) oder nicht. Ferner muss sichergestellt werden, dass sofern das Basismodul 1 eine Sicherheitseingangserweiterung 29, 29, 39, 39 umfasst das Erweiterungsmodul 20 bzw. die Erweiterungsmodule 20, 30 ordnungsgemäß mit dem Basismodul 1 verbunden ist/sind.
2 zeigt eine schematische Darstellung der Schritte zum Erkennen einer Sicherheitseingangserweiterung innerhalb des Sicherheitssystems nach 1. Hierbei wird speziell auf den Abgleichvorgang zwischen dem Basismodul 1 und dem ersten Erweiterungsmodul 20 eingegangen.
Zu Beginn der Inbetriebnahme des Sicherheitssystems nach 1 wird in einem ersten Schritt 100 das Basismodul 1 mit dem ersten Erweiterungsmodul 20 gekoppelt. Hierfür wird der erste Ausgang 2 mit dem dritten Eingang 22, der erste Eingang 3 mit dem dritten Ausgang 23 und der zweite Eingang 4 mit dem zweiten Ausgang 24 elektrisch leitend verbunden.
Daraufhin wird der Gerätehochlauf 50 des Basismoduls 1 und ersten Erweiterungsmoduls 20 aktiviert und somit begonnen.
In einem zweiten Schritt 200 gibt das Basismodul 1 ein Low Signal (erstes Signal) über den ersten Ausgang 2 aus. Dieser Vorgang startet automatisch während des Gerätehochlaufs des Basismoduls 1.
In einem dritten Schritt 300 überprüft das erste Erweiterungsmodul 20, ob an seinem dritten Eingang 22 das Low Signal (erste Signal) empfangen wird. Dieser Vorgang startet automatisch während des Gerätehochlaufs des ersten Erweiterungsmoduls 20.

A) Wird am dritten Eingang 22 ein High Signal empfangen, so stellt das erste Erweiterungsmodul 20 einen Fehler fest. Der Empfang eines High Signal deutet insbesondere auf einen Kurzschluss hin. Das erste Erweiterungsmodul 20 nimmt daraufhin seinen Fehlerbetrieb 60 ein und gibt ein Fehlersignal aus. Der Abgleichvorgang wird beendet.
B) Wird am dritten Eingang 22 ein Low Signal (das erste Signal) empfangen, so gibt das erste Erweiterungsmodul 20 automatisch in einem vierten Schritt 400 ein drittes Signal über den zweiten und dritten Ausgang 23, 24 aus. Das dritte Signal ist ein High Signal am zweiten Ausgang 23 und ein High Signal am dritten Ausgang 24.

In einem fünften Schritt 500 überprüft das Basismodul 1, ob an seinem ersten und zweiten Eingang 3, 4 das dritte Signal empfangen wird. Hierfür muss am ersten Eingang 3 und am zweiten Eingang 4 jeweils ein High Signal anliegen. Dieser Vorgang startet automatisch nach dem zweiten Schritt 200.

A) Wird am ersten Eingang 3 ein Low Signal und am zweiten Eingang 4 ein High Signal oder am ersten Eingang 3 ein High Signal und am zweiten Eingang 4 ein Low Signal empfangen, so stellt das Basismodul 1 einen Fehler fest. Ein derartiger Empfang deutet insbesondere auf einen Kurzschluss hin. Das Basismodul 1 nimmt daraufhin seinen Fehlerbetrieb 61 ein und gibt ein Fehlersignal aus. Der Abgleichvorgang wird beendet.
B) Wird am ersten Eingang 3 ein Low Signal und am zweiten Eingang 4 ein Low Signal empfangen, so stellt das Basismodul 1 fest, dass es keine Sicherheitssensorerweiterung umfasst. Das Basismodul 1 nimmt daraufhin seinen Normalbetrieb ohne Sicherheitssensorerweiterung 71 ein. Vorzugsweise gibt das Basismodul 1 weiterhin ein Low Signal über den ersten Ausgang 2 aus, bis es das dritte Signal am ersten und zweiten Eingang 3, 4 empfängt.
C) Wird am ersten Eingang 3 ein High Signal und am zweiten Eingang 4 ein High Signal (und somit das dritte Signal) empfangen, so stellt das Basismodul 1 fest, dass eine Sicherheitssensorerweiterung vorhanden ist. Das Basismodul 1 nimmt daraufhin seinen Normalbetrieb mit Sicherheitssensorerweiterung 73 ein. Ferner bestätigt das Basismodul 1 in einem sechsten Schritt 600 automatisch den Empfang des dritten Signals und gibt ein zweites Signal über den ersten Ausgang 2 aus. Das zweite Signal ist ein High Signal am ersten Ausgang 2. Das zweite Signal kann ebenso bereits vor dem Einnehmen des Normalbetriebs mit Sicherheitssensorerweiterung 73 durch das Basismodul 1 ausgegeben werden.

In einem siebten Schritt 700 überprüft das erste Erweiterungsmodul 20, ob an seinem dritten Eingang 22 das High Signal (zweite Signal) empfangen wird. Dieser Vorgang startet automatisch nach dem Ausgeben des dritten Signals.
Wird am dritten Eingang 22 ein High Signal (das zweite Signal) empfangen, so gibt das erste Erweiterungsmodul 20 in einem achten Schritt 800 ein viertes Signal, welches ein Low Signal am zweiten Ausgang 23 und ein High Signal am dritten Ausgang 24 (negatives Freigabesignal) ist, über den zweiten und dritten Ausgang 23, 24 aus, sofern es abschließend ermittelt hat, ob es mit einem weiteren vorgeschalteten Erweiterungsmodul (linksseitig) verbunden ist.
Das erste Erweiterungsmodul 20 überprüft hierfür selbstständig in einem separaten Prüfzyklus, ob es mit einem weiteren Erweiterungsmodul 30 ordnungsgemäß gekoppelt ist oder nicht. Dieser Prüfzyklus erfolgt analog zum Abgleichvorgang zwischen dem Basismodul 1 und dem ersten Erweiterungsmodul 20 und erfolgt parallel zu diesem. Das erste Erweiterungsmodul 20 gibt somit zunächst ein erstes Signal (Low Pegel) über seinen vierten Ausgang 26 aus und überprüft, ob es an seinem vierten und fünften Eingang ein drittes Signal empfängt.
Wird ein Low Pegel empfangen, so erkennt das erste Erweiterungsmodul 20, dass es mit keinem Erweiterungsmodul (linksseitig) gekoppelt ist, gibt das vierte Signal aus und nimmt seinen Normalbetrieb 70 ein.
Ermittelt das Erweiterungsmodul 20 hingegen, dass es mit einem weiteren Erweiterungsmodul 30 linksseitig ordnungsgemäß verbunden ist, so gibt es das vierte Signal aus und nimmt den Normalbetrieb 70 ein.
Das Koppeln der Module 1, 20, 30 untereinander erfolgt insbesondere vor dem Aktivieren der einzelnen Geräte und somit vor deren Gerätehochlauf.
In einem neunten Schritt 900 überprüft das Basismodul 1, ob an seinem ersten und zweiten Eingang 3, 4 das vierte Signal empfangen wird. Hierfür muss am ersten Eingang 3 ein Low Signal und am zweiten Eingang 4 ein High Signal anliegen. Dieser Vorgang startet automatisch nach dem sechsten Schritt 600.

A) Wird am ersten Eingang 3 ein High Signal und am zweiten Eingang 4 ein High Signal empfangen, so stellt das Basismodul 1 einen Fehler fest. Ein derartiger Empfang deutet insbesondere auf einen Kurzschluss hin. Das Basismodul 1 nimmt daraufhin seinen Fehlerbetrieb 62 ein und gibt ein Fehlersignal aus. Der Abgleichvorgang wird beendet.
B) Wird sowohl im fünften Schritt 500 als auch im neunten Schritt 900 am ersten Eingang 3 ein Low Signal und am zweiten Eingang 4 ein Low Signal empfangen (Low/Low), so stellt das Basismodul 1 fest, dass es keine Sicherheitssensorerweiterung umfasst. Das Basismodul 1 nimmt daraufhin seinen Normalbetrieb ohne Sicherheitssensorerweiterung 72 ein und der Abgleichvorgang wird beendet. Wurde im fünften Schritt 500 ein High/High Signal (drittes Signal) erkannt, so wird im neunten Schritt 900 ein Low/Low beim vierten Signal als Kurzschluss interpretiert (da es eigentlich ein High/Low erwartet). Das Basismodul 1 würde daraufhin seinen Fehlerbetrieb 62 einnehmen und ein Fehlersignal ausgeben. Der Abgleichvorgang wird beendet.
C) Wird am ersten Eingang 3 ein High Signal und am zweiten Eingang 4 ein Low Signal (d.h. das vierte Signal) empfangen, so stellt das Basismodul 1 fest, dass es durch das nebengeordnete Erweiterungsmodul 20 eine Sensorerweiterung umfasst und das nebengeordnete Erweiterungsmodul 20 seinen Normalbetrieb eingenommen hat. Der Abgleichvorgang wird beendet 80.

Der Zustand 71, 72 (Basismodul ohne Sicherheitssensorerweiterung) und/oder 73 (Basismodul mit Sicherheitssensorerweiterung) wird in einem Speicher (z.B. EEPROM) des Basismoduls 1 abgespeichert. Während des Normalbetriebs 71, 72, 73 des Basismoduls 1 untersucht das Basismodul 1 zyklisch ob es eine Veränderung hinsichtlich der Sicherheitssensorerweiterung durch das erste Erweiterungsmodul 20 (des linksseitigen Geräteaufbaus) gab oder nicht. Ein Entfernen des ersten Erweiterungsmoduls 20 kann auf diese Weise detektiert werden, so dass ein Fehlersignal ausgegeben werden kann.
Der Prüfzyklus des ersten Erweiterungsmoduls 20, durch welchen ermittelt wird ob ein zweites Erweiterungsmodul 30 sicher und ordnungsgemäß mit dem ersten Erweiterungsmodul 20 verbunden ist, ist analog zu den Schritten 100 bis 900 und somit zum Abgleichvorgang zwischen dem Basismodul 1 und dem ersten Erweiterungsmodul 20 ausgebildet. Das erste Erweiterungsmodul 20 kann somit ebenso den Zustand ohne Sicherheitssensorerweiterung oder mit Sicherheitssensorerweiterung durch das zweite Erweiterungsmodul 30 in einem Speicher (z.B. EEPROM) des ersten Erweiterungsmoduls 20 ablegen. Während des Normalbetriebs des ersten Erweiterungsmoduls 20 untersucht es zyklisch, ob es eine Veränderung hinsichtlich der Sicherheitssensorerweiterung durch das zweite Erweiterungsmodul 30 (des linksseitigen Geräteaufbaus) gab oder nicht. Ein Entfernen des zweiten Erweiterungsmoduls 30 kann auf diese Weise detektiert werden, so dass ein Fehlersignal ausgegeben werden kann.
Das Senden und Überprüfen der einzelnen Signale erfolgt durch die geräteinterne Verarbeitungseinheit 5, 25, 35 des jeweiligen Moduls 1, 20, 30. Die geräteinterne Verarbeitungseinheit 5, 25, 35 wird ferner zum Überwachen des Sicherheitseingangs 9, 29, 39 des jeweiligen Moduls 1, 20, 30 verwendet.
Ein Vorteil besteht insbesondere darin, dass das Basismodul 1 selbständig erkennen kann, ob eine Sicherheitseingangserweiterung durch das erste Erweiterungsmodul 20 vorliegt oder nicht. Ferner kann das Basismodul 1 selbständig erkennen, ob der Normalbetrieb des nebengeordneten Erweiterungsmoduls 20 bzw. der nebengeordneten Erweiterungsmodule 20, 30 vorliegt oder nicht.
Das Basismodul 1 kann insbesondere folgende Betriebszustände aufweisen: Gerätehochlauf 50, Normalbetrieb 71, 72, 73 und Fehlerbetrieb 61. Wird das Basismodul aktiviert, so erfolgt zunächst der Gerätehochlauf 50. Während des Gerätehochlaufs 50 wird seitens des Basismoduls 1 automatisch erkannt, ob es eine Sicherheitseingangserweiterung durch das erste Erweiterungsmodul 20 vorliegt oder nicht. Ergibt die Überprüfung, dass keine Sicherheitseingangserweiterung vorliegt, so wird der Normalbetrieb 71, 72 eingenommen. Ergibt die Überprüfung, dass ein fehlerhaftes Signal am ersten und zweiten Eingang 3, 4 empfangen wird, so nimmt das Basismodul 1 den Fehlerbetrieb 61, 62 ein. Im Fehlerbetrieb 61, 62 wird ein Fehlersignal durch das Basismodul 1 ausgegeben. Ein Fehlersignal ist beispielsweise ein optisches Signal oder ein Warnsignal an eine übergeordnete Steuerung. Ergibt die Überprüfung, dass eine Sicherheitseingangserweiterung ordnungsgemäß an das Basismodul 1 angeschlossen ist, so wird dies in dem Speicher hinterlegt und der Normalbetrieb 73 wird eingenommen. Im Normalbetrieb 73 des Basismoduls 1 liest das Basismodul 1 die an seinem Sicherheitseingang 9 (Sensorsignal) und seinem ersten und zweiten Eingang 3, 4 anliegenden Signale (viertes oder fünftes Signal) sicher ein und steuert mittels der in seiner Verarbeitungseinheit 5 hinterlegten Parametrierung den Sicherheitsausgang 10 des Sicherheitssystems sicher an.
Das erste und/oder das zweite Erweiterungsmodul 20, 30 kann ebenso die Betriebszustände Gerätehochlauf, Normalbetrieb und Fehlerbetrieb einnehmen.
Das erste Erweiterungsmodul 20 bleibt solange im Gerätehochlauf 50, bis es durch den Prüfzyklus abschließend ermittelt hat, ob eine Sicherheitseingangserweiterung durch ein zweites Erweiterungsmodul 30 vorliegt oder nicht und im siebten Schritt 700 am dritten Eingang 22 das High Signal (= zweite Signal) empfangen wird (= Bestätigung durch das Basismodul, dass die Eingangserweiterung erkannt wurde). Erst danach nimmt es den Normalbetrieb 70 ein.

Claims

Verfahren zum Erkennen einer Sicherheitseingangserweiterung innerhalb eines modularen Sicherheitssystems mit einem ersten Modul (1) und einem zweiten Modul (20), wobei das erste Modul (1) einen ersten Ausgang (2) und einen ersten Eingang (3) und einen zweiten Eingang (4) umfasst und das zweite Modul (20) einen dritten Eingang (22), einen zweiten Ausgang (23), einen dritten Ausgang (24) und einen Sicherheitseingang (29) umfasst, mit folgenden Schritten: – Koppeln des ersten Moduls (1) mit dem zweiten Modul (20), so dass der erste Ausgang (2) mit dem dritten Eingang (22), der erste Eingang (3) mit dem dritten Ausgang (23) und der zweite Eingang (4) mit dem zweiten Ausgang (24) elektrisch leitend verbunden ist, – Ausgeben eines ersten Signals über den ersten Ausgang (2) durch das erste Modul (1), – Überprüfen, ob am dritten Eingang (22) das erste Signal empfangen wird, durch das zweite Modul (20), – sofern am dritten Eingang (22) das erste Signal empfangen wird, Ausgeben eines dritten Signals über den zweiten und dritten Ausgang (23, 24) durch das zweite Modul (20), – nach dem Ausgeben des ersten Signals überprüfen, ob ein drittes Signal am ersten und zweiten Eingang (3, 4) empfangen wird, durch das erste Modul (1), – sofern nach dem Ausgeben des ersten Signals das dritte Signal am ersten und zweiten Eingang (3, 4) empfangen wird, ausgeben eines zweiten Signals über den ersten Ausgang (2) durch das erste Modul (1).
Verfahren nach Anspruch 1, wobei das zweite Modul (20) nach dem Ausgeben des dritten Signals überprüft, ob am dritten Eingang (22) das zweite Signal empfangen wird, und sofern nach dem Ausgeben des dritten Signals am dritten Eingang (20) das zweite Signal empfangen wird ein viertes Signal über den zweiten und dritten Ausgang ausgibt.
Verfahren nach Anspruch 2, wobei das erste Modul (1) nach dem Ausgeben des zweiten Signals überprüft, ob ein viertes Signal am ersten und zweiten Eingang (3, 4) empfangen wird.
Verfahren nach einem der vorhergehenden Ansprüche, wobei das zweite Modul (20) im Normalbetrieb in Abhängigkeit des vorliegenden Signals an seinem Sicherheitseingang (29) das vierte oder ein fünftes Signal über den zweiten und dritten Ausgang (23, 24) an das erste Modul (1) sendet.
Verfahren nach einem der vorhergehenden Ansprüche, wobei das erste, zweite, dritte und/oder sofern vorhanden vierte Signal ein statisches Signal ist.
Verfahren nach einem der vorhergehenden Ansprüche, wobei durch das erste Signal ein Low Pegel und durch das zweite Signal ein High Pegel am ersten Ausgang (2) ausgegeben werden.
Verfahren nach einem der vorhergehenden Ansprüche, wobei durch das dritte Signal ein High Pegel am zweiten Ausgang (24) und ein High Pegel am dritten Ausgang (23) und sofern vorhanden durch das vierte Signal ein Low Pegel am zweiten Ausgang (24) und ein High Pegel am dritten Ausgang (23) ausgegeben werden.
Verfahren nach einem der vorhergehenden Ansprüche, wobei zur Erweiterung des Sicherheitssystem um einen Sicherheitseingang (39) das Sicherheitssystem ein drittes Modul (30) umfasst, wobei das zweite Modul (20) einen vierten Ausgang (26) und einen vierten und fünften Eingang (27, 28) umfasst und das dritte Modul (30) einen sechsten Eingang (32), einen fünften und sechsten Ausgang (33, 34) und den Sicherheitseingang (39) umfasst, mit folgenden Schritten: – Koppeln des zweiten Moduls (20) mit dem dritten Modul (30), – Ausgeben eines ersten Signals über den vierten Ausgang (26) durch das zweite Modul (20), – Überprüfen, ob am sechsten Eingang (32) das erste Signal empfangen wird, durch das dritte Modul (30), – sofern am sechsten Eingang (32) das erste Signal empfangen wird, ausgeben eines dritten Signals über den fünften und sechsten Ausgang (33,34) durch das dritte Modul (30), – nach dem Ausgeben des ersten Signals überprüfen, ob ein drittes Signal am vierten und fünften Eingang (27, 28) empfangen wird, durch das zweite Modul (20).
Verfahren nach Anspruch 8, mit folgenden weiteren Schritten: – Sofern nach dem Ausgeben des ersten Signals das dritte Signal am vierten und fünften Eingang (27, 28) empfangen wird, ausgeben eines zweiten Signals über den vierten Ausgang (26) durch das zweite Modul (20), – nach dem Ausgeben des dritten Signals überprüfen, ob am sechsten Eingang (32) das zweite Signal empfangen wird, durch das dritte Modul (30), – sofern nach dem Ausgeben des dritten Signals am sechsten Eingang (32) das zweite Signal empfangen wird, Ausgeben eines vierten Signals über den fünften und sechsten Ausgang (33, 34) durch das dritte Modul (30), – nach dem Ausgeben des zweiten Signals überprüfen, ob ein viertes Signal am vierten und fünften Eingang (27, 28) empfangen wird, durch das zweite Modul (20).
Verfahren nach einem der vorhergehenden Ansprüche, wobei das erste Modul (1) eine erste Verarbeitungseinheit (5), das zweite Modul (20) eine zweite Verarbeitungseinheit (25) und sofern vorhanden das dritte Modul (30) eine dritte Verarbeitungseinheit (35) umfasst, wobei das Ausgeben und Überprüfen der Signale durch die entsprechende Verarbeitungseinheit (5, 25, 35) des jeweiligen Moduls (1, 20, 30) erfolgt.
Verfahren nach einem der vorhergehenden Ansprüche, wobei das erste Modul (1) ein Basismodul des Sicherheitssystems und das zweite Modul (20) ein erstes Erweiterungsmodul des Sicherheitssystems und sofern vorhanden das dritte Modul (30) ein zweits Erweiterungsmodul des Sicherheitssystems ist.
Modulares Sicherheitssystem mit einem ersten Modul (1) und einem zweiten Modul (20), wobei das erste Modul (1) einen ersten Ausgang (2) und einen ersten und zweiten Eingang (3, 4) umfasst und das zweite Modul (20) einen dritten Eingang (22), einen zweiten und dritten Ausgang (23, 24) und einen Sicherheitseingang (29) umfasst, wobei das erste und zweite Modul (1, 20) derart ausgebildet sind, das Verfahren nach einem der Ansprüche 1 bis 11 durchzuführen.
Modulares Sicherheitssystem nach Anspruch 12, wobei das erste Modul (1) mit dem zweiten Modul (20) und sofern vorhanden das dritte Modul (30) mit dem zweien Modul (20) gekoppelt ist.