DE102012205289A1

DE102012205289A1 - Method for operating e.g. inductive safety sensor used for detecting safety critical conditions to monitor e.g. system in industrial field, involves performing cross-circuiting detection during delay time by reading back voltage signal

Info

Publication number: DE102012205289A1
Application number: DE201210205289
Authority: DE
Inventors: Adrian Wissmann; Jean-Luc LaMarche
Original assignee: IFM Electronic GmbH
Current assignee: IFM Electronic GmbH
Priority date: 2011-03-31
Filing date: 2012-03-30
Publication date: 2012-10-04

Abstract

The method involves emitting a switching enable signal (SFS) by a switching output. A diagnosing enable signal (DFS) is emitted by a diagnosing output when a safety sensor efficiently functions and the switching enable signal lies at the switching output. The diagnosing enable signal is delayed relative to the switching enable signal. A cross-circuiting detection step is performed during a delay time (delta T) by reading back a voltage signal at the diagnosing output, where the delay time is approximately 300 microseconds or less. A diagnose signal is generated by a diagnosing unit. An independent claim is also included for a device for operating a safety sensor.

Description

Die Erfindung betrifft einen Sicherheitssensor insbesondere einen induktiven Sichercheitsschalter gemäß dem Oberbegriff des Anspruchs 1. The invention relates to a safety sensor, in particular an inductive safety switch according to the preamble of claim 1.

In vielen Industriebereichen müssen Anlagen bzw. Anlageteile sicherheitstechnisch überwacht werden, um insbesondere eine Gefährdung von Menschen und Maschinen auszuschließen. Zur Erfassung von sicherheitskritischen Zuständen in Anlagen werden spezielle Sicherheitssensoren eingesetzt, die entsprechenden Sicherheitsstandards z. B. der europäischen Sicherheitsnorm EN61508 oder der EN61496 genügen. In many industrial sectors, systems or plant components must be monitored in terms of safety, in order to exclude risks to people and machines in particular. To record safety-critical conditions in plants special safety sensors are used, the corresponding safety standards z. B. the European Safety standard EN61508 or the EN61496 suffice.

In der Regel sind Sicherheitssensoren mit übergeordneten Auswerteeinheiten bzw. Steuerungen (SPS) verbunden. Die Anlage bzw. das Anlagenteil kann nur betrieben werden oder in Betrieb genommen werden, wenn der entsprechende Sicherheitssensor ein so genanntes Freigabesignal ausgibt. As a rule, safety sensors are connected to higher-level evaluation units or controllers (PLC). The system or system part can only be operated or put into operation if the corresponding safety sensor outputs a so-called enable signal.

Insbesondere induktive Sicherheitssensoren sind bei der Endlagenüberwachung an bewegten Maschinenteilen im Einsatz. Verschiedene Sicherheitssensoren (induktiv, optisch, etc.) werden von der Anmelderin hergestellt und vertrieben. In particular, inductive safety sensors are used in end position monitoring on moving machine parts. Various safety sensors (inductive, optical, etc.) are manufactured and sold by the applicant.

Sicherheitsschalter werden unter anderenvielfach als 4-Leiter-Geräte betrieben, wobei zwei Anschlussleitungen zur Spannungsversorgung dienen und zwei separate Ausgangsleitungen zu Signalisierung vorgesehen sind. Insbesondere bei einem gültigen Signal (z.B. bei einer Bedämpfung des induktiven Sensors in der Freigabezone) und bei der einwandfreien Funktion des Sicherheitsschalters liegen an den beiden Ausgängen entsprechende Freigabesignale an, die über die beiden Anschlussleitungen an die Steuerung weitergeleitet werden. Die Freigabesignale sind Stromsignale. Sie entsprechen einer logischen „1“. Bei einer bevorzugten Ausführungsform gibt der erste Ausgang im Prinzip das Schaltsignal des induktiven Sensors aus. Der zweite Ausgang gibt das von einer Diagnoseeinheit generierte Diagnosesignal aus. Among other things, safety switches are often operated as 4-wire devices, whereby two connection lines are used for power supply and two separate output lines are provided for signaling. In particular, in the case of a valid signal (for example, when the inductive sensor in the release zone is damped) and when the safety switch functions properly, appropriate release signals are applied to the two outputs, which are forwarded to the controller via the two connecting lines. The enable signals are current signals. They correspond to a logical "1". In a preferred embodiment, the first output in principle outputs the switching signal of the inductive sensor. The second output outputs the diagnostic signal generated by a diagnostic unit.

Befindet sich der Sensor nicht im Freigabezustand (z.B. im entdämpften Zustand bei einem induktiven Sensor) bleiben beide Ausgänge im ausgeschalteten stromlosen Zustand (logische „0“). Der sichere Zustand ist der ungeschaltete Zustand von mindestens einem der Ausgänge. Ist einer der Ausgänge des Sicherheitssensors ausgeschaltet, muss die nachgeschaltete sicherheitsgerichtete Steuereinheit (SPS) das Gesamtsystem in den als sicher definierten Zustand bringen. Durch Querschlüsse zwischen den beiden Ausgänge bzw. einem der Ausgänge und der Spannungsversorgung kann es zu einer fehlerhaften Signalisierung des Zustandes des Sicherheitssensors kommen und die Steuereinheit schaltet die Anlagen unter Umständen nicht in den sicheren Zustand. If the sensor is not in the enable state (for example, in the de-steamed state with an inductive sensor), both outputs remain in the de-energized state (logic "0"). The safe state is the unswitched state of at least one of the outputs. If one of the outputs of the safety sensor is switched off, the downstream safety-related control unit (PLC) must bring the complete system to the safe state. Cross-circuits between the two outputs or one of the outputs and the power supply may result in faulty signaling of the status of the safety sensor and the control unit may not switch the systems to the safe state.

Als Stand der Technik zur Querschlusserkennung ist bekannt, die Ausgänge, wenn ein Diagnosefreigabesignal anliegt, kurzfristig mit periodischem Abschaltimpulse anzusteuern und die Spannung am Diagnoseausgang in eine Diagnoseeinheit zurück zu lesen, um ggf den noch gültigen Ausgang entsprechend abzuschalten.. Steuerungen reagieren in der Regel nur, wenn die Signalpegel an ihren Eingängen länger als 1–5 Millisekunden anliegen. Kurze Pegeländerungen werden von den Steuerungen ignoriert. Um eine schnelle Reaktionszeit bei Vorliegen eines Querschlusses zu garantieren, muss die Wiederholrate der Abschaltimpulse entsprechend hoch sein (ca. 80 Millisekunden). Da die Steuerungen teilweise auch derartige Verfahren zur Querschlusserkennung mittels kurzer Abschaltimpulse einsetzen, kann es zu einer zufälligen „Kollision“ von Abschaltimpulsen kommen, was unter Umständen einen unbeabsichtigten Anlagenstillstand zur Folge hat. Periodische Abschaltimpulse sind auch aus anderen Gründen (EMV etc.) störend. As state of the art for cross-circuit detection is known to control the outputs when a diagnostic enable signal, short term with periodic shutdown pulses and read the voltage at the diagnostic output back to a diagnostic unit to turn off if necessary the valid output accordingly .. Controls usually react only when the signal levels at their inputs are longer than 1-5 milliseconds. Short level changes are ignored by the controllers. To guarantee a fast response time in the presence of a cross-circuit, the repetition rate of the switch-off pulses must be correspondingly high (about 80 milliseconds). Since some of the controllers also use such methods for cross-circuit detection by means of short turn-off pulses, there may be a random "collision" of turn-off pulses, which may result in an unintentional system standstill. Periodic shutdown pulses are also disturbing for other reasons (EMC etc.).

Aufgabe der Erfindung ist es deshalb ein Verfahren zur Querschlusserkennung bei Sicherheitssensoren anzugeben, das eine einfache Querschlusserkennung erlaubt, wobei eine schnelle Reaktionszeit gewährleistet wird und unbeabsichtigte Anlagenstillstände insbesondere aufgrund von Kollisionen von Abschaltimpulsen vermieden werden. The object of the invention is therefore to provide a method for cross-circuit detection in safety sensors, which allows a simple cross-circuit detection, with a fast response time is guaranteed and unintentional system downtime especially due to collisions of shutdown pulses are avoided.

Gelöst wird diese Aufgabe durch die im Anspruch 1 angegebenen Merkmale. Vorteilhafte Weiterentwicklungen der Erfindungen sind in den Unteransprüchen angegeben. Die wesentliche Idee der Erfindung besteht darin, bei einem Sicherheitssensor zur Querschlusserkennung den Diagnoseausgang und den Signalausgang mit dem Diagnosefreigabesignal zeitverzögert anzusteuern und während dieses Zeitintervalls die Spannung am Diagnoseausgang auszuwerten, um eventuell vorliegende Querschlüsse zu erkennen. This object is achieved by the features specified in claim 1. Advantageous further developments of the inventions are specified in the subclaims. The essential idea of the invention is, with a safety sensor for cross-circuit detection, to activate the diagnostic output and the signal output with the diagnostic enable signal in a time-delayed manner and to evaluate the voltage at the diagnostic output during this time interval in order to detect possible cross-circuits.

Es sind deshalb keine periodischen Abschaltimpulse notwendig und die Reaktionszeit ist minimal, da unmittelbar vor dem beim Setzen des Diagnoseausgangs in den Zustand 1 (Diagnosefreigabesignal) eine Prüfung auf Querschluss erfolgt. There are therefore no periodic shutdown pulses necessary and the reaction time is minimal, as immediately before the setting of the diagnostic output in the state 1 (diagnostic enable signal), a check for cross-circuit.

In vorteilhafter Weise beträgt die Verzögerungszeit ca. 300 Mikrosekunden oder weniger. Advantageously, the delay time is about 300 microseconds or less.

Desgleichen kann die Verzögerung beim Abschalten invers zeitverzögert werden, um andere Querschlüsse zu erkennen Likewise, the stall delay may be inversely delayed to detect other cross-shorts

Nachfolgend ist die Erfindung anhand eines in der Zeichnung dargestellten Ausführungsbeispiels näher erläutert. The invention is explained in more detail with reference to an embodiment shown in the drawing.

Es zeigen: Show it:

1 induktiver Sicherheitssensor in schematischer Darstellung, 1 inductive safety sensor in a schematic representation,

1a optischer Sicherheitssensor in schematischer Darstellung 1a optical safety sensor in a schematic representation

2 Blockschaltbild eines induktiven Sicherheitssensors gemäß dem Stand der Technik, 2 Block diagram of an inductive safety sensor according to the prior art,

3 Signalverlauf für den Schaltausgang und den Diagnoseausgang eines induktiven Sicherheitsschalters gemäß dem Stand der Technik, 3 Signal curve for the switching output and the diagnostic output of an inductive safety switch according to the prior art,

4 zeitliche Signalverläufe für den Schaltausgang und den Diagnoseausgang eines induktiven Sicherheitsschalters gemäß der Erfindung 4 temporal waveforms for the switching output and the diagnostic output of an inductive safety switch according to the invention

1 zeigt einen induktiven Sicherheitssensor 1, der mit einer Steuerung z. B. einer SPS verbunden ist. Vor dem Sicherheitssensor 1 ist eine Freigabezone F schematisch dargestellt. Der Schaltzustand des Sicherheitssensors 1 ist abhängig von einem metallischen Bedämpfungselement 5. Befindet sich das Bedämpfungselement 5 in der Freigabezone F wird ein Freigabesignal ausgegeben. Die Steuerung steuert aufgrund des Freigabesignals z. B. den Motor einer Presse an. Weiterhin gibt es eine Nahbereichszone 2 und den gesicherten Ausschaltabstand 4. 1 shows an inductive safety sensor 1 with a control z. B. a PLC is connected. In front of the security sensor 1 a release zone F is shown schematically. The switching state of the safety sensor 1 is dependent on a metallic damping element 5 , Is the damping element 5 in the release zone F, a release signal is output. The controller controls due to the enable signal z. B. to the engine of a press. There is also a short-range zone 2 and the safe switch-off distance 4 ,

1a zeigt einen optischen Sicherheitssensor AOPD (Active Optoelectronic Protection Device) am Beispiel einer diffuse Reflexion nutzenden aktiven opto-elektronischen Schutzeinrichtung AOPDDR (Active Opto-electronic Protective Device responsive to Diffuse Reflection) 1a, die mit einer speicherprogrammierbaren Steuerung (SPS) verbunden ist. 1a shows an optical safety sensor AOPD (Active Optoelectronic Protection Device) using the example of a diffuse reflection using active opto-electronic protective device AOPDDR (Active Optoelectronic Protective Device Responsive to Diffuse Reflection) 1a , which is connected to a programmable logic controller (PLC).

Das Schutzfeld ist mit 3a bezeichnet. Davor befindet sich eine erste Toleranzzone 2a und dahinter eine zweite Toleranzzone 4a. Der Probekörper 5a befindet sich in diesem Fall außerhalb der Schutzzone zwischen der zweiten Toleranzzone 4a und dem einen ungünstigen Reflexionsfaktor aufweisenden Hintergrund 6a. The protective field is with 3a designated. Before that there is a first tolerance zone 2a and behind it a second tolerance zone 4a , The test piece 5a is in this case outside the protection zone between the second tolerance zone 4a and the background having an unfavorable reflection factor 6a ,

Das Schutzfeld beginnt hinter der ersten Toleranzzone 2a und endet an der Toleranzzone 4a, ab der keine sichere Detektion mehr gewährleistet ist. Der Hintergrund 6a befindet sich in gesichertem Ausschaltabstand, d.h. er ist in entsprechender Entfernung angeordnet und weist einen derart ungünstigen Reflexionsfaktor auf, dass er keinesfalls von dem optischen Sicherheitssensor 1a detektiert werden kann. The protective field starts behind the first tolerance zone 2a and ends at the tolerance zone 4a , from which safe detection is no longer guaranteed. The background 6a is located in a secured switch-off, ie it is located at a suitable distance and has such an unfavorable reflection factor that he under no circumstances from the optical safety sensor 1a can be detected.

Gelangt ein Target 5a, ein Objekt mit ausreichendem Reflexionsfaktor, in das Schutzfeld 3a, wird ein Signal an die SPS gegeben. Bei optischen Sicherheitssensoren wird in der Regel eine Maschinenfunktion angehalten. Es besteht aber auch die Möglichkeit in Analogie zu dem oben betrachteten induktiven Sicherheitssensor ein Freigabesignal auszugeben, weil beispielsweise eine Tür oder eine Klappe geschlossen ist. In diesem Fall wird das Schutzfeld 3a zur Freigabezone. Get a target 5a , an object with sufficient reflection factor, into the protective field 3a , a signal is given to the PLC. Optical safety sensors usually stop a machine function. However, it is also possible in analogy to the above-considered inductive safety sensor to issue a release signal, because, for example, a door or a flap is closed. In this case, the protective field becomes 3a to the release zone.

Obwohl sich die 2 auf einen induktiven Sicherheitssensor bezieht, ist die nachfolgende Beschreibung auch für optische Sicherheitssensoren anwendbar. Although the 2 refers to an inductive safety sensor, the following description is also applicable to optical safety sensors.

2 zeigt ein Blockschaltbild eines als 4-Leiter-Gerät ausgebildeten induktiven Sicherheitssensors gemäß 1. Über zwei Versorgungsleitungen L+ und L– wird der Sicherheitssensor 1 mit Spannung versorgt. Der Sicherheitssensor 1 besteht aus einem induktiven Sensor 10, einer Diagnoseeinheit 20 und aus einer Spannungsversorgungseinheit 40 mit Entstörgliedern. 2 shows a block diagram of a designed as a 4-wire device inductive safety sensor according to 1 , Two supply lines L + and L- become the safety sensor 1 energized. The safety sensor 1 consists of an inductive sensor 10 , a diagnostic unit 20 and from a power supply unit 40 with suppressors.

Zur Signalisierung des Zustandes des Sicherheitssensors 1 dienen zwei sichere Schaltausgänge, ein Schaltausgang A1 und ein Diagnoseausgang A2, die über zwei Transistoren T1 bzw. T2 geschaltet werden. Der Transistor T1 ist mit dem Sensor 10 verbunden. Am Ausgang A1 liegt das Schaltsignal SS (des Sensors 10 an. Der Transistor T2 ist mit der Diagnoseeinheit 20 verbunden, an dessen Ausgang A2 liegt das Diagnosesignal DS an. Die Transistoren T1, T2 symbolisieren eigentlich Schaltendstufen, die auch als OSSD1 bzw. OSSD2 bezeichnet werden (output signal switching device). For signaling the state of the safety sensor 1 serve two safe switching outputs, a switching output A1 and a diagnostic output A2, which are connected via two transistors T1 and T2. The transistor T1 is connected to the sensor 10 connected. At the output A1 is the switching signal SS (of the sensor 10 at. The transistor T2 is connected to the diagnostic unit 20 connected to the output A2 is the diagnostic signal DS. The transistors T1, T2 actually symbolize switching output stages, which are also referred to as OSSD1 or OSSD2 (output signal switching device).

In der bevorzugten Ausführung sind beide Transistoren T1 und T2 in Reihe geschaltet und je mit der Versorgungsleitung L+ bzw. über einen Widerstand R mit der Versorgungsleitung L– verbunden. Über eine Rückleseleitung RL ist der Ausgang A2 mit der internen Diagnoseeinheit 20 verbunden. In the preferred embodiment, both transistors T1 and T2 are connected in series and each connected to the supply line L + and via a resistor R to the supply line L-. Via a read-back line RL is the output A2 with the internal diagnostic unit 20 connected.

Nachfolgend ist die Funktion einer Querschlusserkennung gemäß dem Stand der Technik anhand der 2 und 3 erläutert. Nähert sich ein Bedämpfungselement 5 der Freigabezone so steuert die Sensoreinheit 10 den Transistor T1 an, wenn das Bedämpfungselement 5 die Freigabezone F erreicht. Der Schaltausgang des Sensors 10 schaltet und der Ausgang A1 liegt auf positivem Potenzial „1“ (Schaltfreigabesignal). Dieser Zustand bleibt erhalten solange sich das Bedämpfungselement in der Freigabezone F befindet. The following is the function of a cross-circuit detection according to the prior art with reference to 2 and 3 explained. Approaches a damping element 5 the release zone controls the sensor unit 10 the transistor T1, when the damping element 5 reaches the release zone F. The switching output of the sensor 10 switches and output A1 is at positive potential "1" (switching enable signal). This state is maintained as long as the damping element is in the release zone F.

Stellt die Diagnoseeinheit 20 keinen Sensorfehler fest, so steuert sie den Transistor T2 an und der Ausgang A2 liegt ebenfalls auf positivem Potenzial, „1“ (Diagnosefreigabesignal) Represents the diagnostic unit 20 detects no sensor error, it controls the transistor T2 and output A2 is also at positive potential, "1" (diagnostic enable signal)

Zur Querschlusserkennung unterbricht die Diagnoseeinheit 20 während das Schaltfreigabesignal anliegt, die Ansteuerung des Transistors T2 kurzfristig über entsprechende periodische Abschaltimpulse AI. Damit liegt der Ausgang A2 kurzfristig auf negativem Potenzial „0“. Dies ist aber nur dann der Fall, wenn kein Querschluss von A2 nach A1 bzw. A2 nach L+ vorliegt. Über die Rückleseleitung RL wird die Spannung am Ausgang A2 in der Diagnoseeinheit 20 überprüft. Wenn ein Querschluss vorliegt, so weicht die Spannung am Ausgang A2 von dem erwarteten Spannungspegel ab, was in der Diagnoseeinheit 20 registriert wird. In diesem Fall wird die Ansteuerung des Transistors T2 unterbrochen und am Ausgang A2 liegt kein Diagnosefreigabesignal mehr an. Dies hat zur Folge, dass die Steuerung die Anlage in den sicheren Zustand bringt. Die Reaktionszeit, bis ein Querschluss erkannt wird, ist durch das Intervall T gegeben. Wie die 3 zeigt, werden innerhalb eines Intervalls in dem der Sicherheitssensor ein Schaltfreigabesignal ausgibt, mehrere Abschaltimpulse AI generiert. For cross-circuit detection, the diagnostic unit interrupts 20 while the switching enable signal is present, the control of the transistor T2 short term via corresponding periodic shutdown pulses AI. Thus, output A2 is at short notice negative potential "0". However, this is only the case if there is no cross-circuit from A2 to A1 or A2 to L +. The voltage at the output A2 in the diagnostic unit is sent via the readback line RL 20 checked. If there is a cross-circuit, the voltage at the output A2 deviates from the expected voltage level, which is in the diagnostic unit 20 is registered. In this case, the control of the transistor T2 is interrupted and at the output A2 is no diagnostic enable signal on. This has the consequence that the controller brings the system in the safe state. The reaction time until a cross-circuit is detected is given by the interval T. As the 3 shows, within an interval in which the safety sensor outputs a switching enable signal, a plurality of shutdown pulses AI generated.

Gemäß der Erfindung wird das Diagnosefreigabesignal DFS gegenüber dem Schaltfreigabesignal SFS um eine Verzögerungszeit ∆T verzögert ausgegeben. Während dieses Zeitintervalls erfolgt eine Querschlusserkennung. Dabei wird das Spannungssignal am Diagnoseausgang zurückgelesen und in der Diagnoseeinheit 20 ausgewertet (4). Wird kein Querschluss innerhalb des Intervals ∆T detektiert, so schaltet die Diagnoseeinheit 20 den Transitor T2 durch. Die Ansteuerung des Transistors T2 erfolgt also zeitverzögert gegenüber der Ansteuerung des Transistors T1. Die Zeitverzögerung ∆T beträgt ca. 300 Mikrosekunden. Desgleichen kann der Transistor T2 zeitverzögert bei einer Sicherheitsanforderung abgeschaltet werden, um andere Querschlüsse zu erkennen. According to the invention, the diagnostic enable signal DFS is output delayed with respect to the shift enable signal SFS by a delay time ΔT. During this time interval a cross-circuit detection takes place. The voltage signal is read back at the diagnostic output and in the diagnostic unit 20 evaluated ( 4 ). If no cross-circuit is detected within the interval ΔT, the diagnostic unit switches 20 through the Transitor T2. The control of the transistor T2 is thus delayed with respect to the control of the transistor T1. The time delay ΔT is about 300 microseconds. Similarly, the transistor T2 can be switched off with a delay in a safety request to detect other cross-circuits.

Durch die Erfindung kann auf die periodischen Abschaltimpulse AI verzichtet werden, da der Querschluss spätestens bei einer Sicherheitsanforderung erkannt wird und die Reaktionszeit bei einem Querschluss wird erheblich verringert. Die erfindungsgemäßen Sicherheitssensoren erfüllen die SILII Norm (Sicherheits-Integritätslevel. By the invention can be dispensed with the periodic shutdown pulses AI, since the cross-circuit is detected at the latest at a safety request and the reaction time at a cross-circuit is significantly reduced. The safety sensors according to the invention fulfill the SILII standard (safety integrity level.

ZITATE ENTHALTEN IN DER BESCHREIBUNG QUOTES INCLUDE IN THE DESCRIPTION

Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.This list of the documents listed by the applicant has been generated automatically and is included solely for the better information of the reader. The list is not part of the German patent or utility model application. The DPMA assumes no liability for any errors or omissions.

Zitierte Nicht-PatentliteraturCited non-patent literature

Safety standard EN61508 [0002]
EN61496 [0002]

Claims

Method for operating a safety sensor 1 which has a switching output A1 and a diagnostic output A2, the switching output A1 outputting a switching enable signal SFS and the diagnostic output A2 outputting a diagnostic enable signal DFS if the sensor is functioning properly and a switching enable signal FS is present at the switching output A1, characterized in that the diagnostic output A2 is opposite to the Switching output A1 delayed is controlled and during this delay time .DELTA.T a cross-circuit detection takes place by the voltage signal at the output A2 is read back.

A method according to claim 1, characterized in that the delay time ΔT is about 300 microseconds or less.

A method according to claim 1, characterized in that the diagnostic signal DS from a diagnostic unit 20 is generated, which drives a transistor T2, which is connected to the diagnostic output A2.

Apparatus for carrying out the method according to one of the preceding claims.