-
Die Erfindung betrifft ein sicherheitsgerichtetes ASi-Slave-Modul gemäß dem Oberbegriff des Anspruchs 1.
-
Nähere Angaben zu dem Bussystem
-
ASi findet man in „ASi das Aktor-Sensor-Interface für die Automation, Professor Dr. W. Kriesel und Dr. O. W. Madelung, Hanser-Verlag München Wien 1994 bzw. „AS-Interface die Lösung in der Automation“ herausgegeben von der AS-International Association 2002. Beim AS-i-Bussystem erfolgt der Buszugriff nach dem Master-Slave-Prinzip, bei dem ein Master die an den Bus angeschlossenen Slaves zyklisch über Mastertelegramme abfrägt (cyclic polling) und die Slaves mit entsprechenden Slavetelegrammen antworten. Die Reaktionszeit des Bussystems liegt im Bereich von Millisekunden. Die maximale Anzahl der an den Bus anschließbaren Slaves ist in der Regel beschränkt, sie beträgt bei AS-i 31 im Standardadressmodus bzw. 62 in einem erweiterten Adressmodus.
-
Sicherheitsgerichtete ASi-Slave-Module werden bei sicherheitskritischen Anwendungen eingesetzt. Wie die sichere Datenübertragung bei dem ASi-Bussystem erfolgt, ist unter anderem aus der Dokumentation „Leuze Elektronik Spezifikation der sicheren ASi-Übertragung Version 2.0“ vom 12.05.2000 Autor Bernhard Müller bekannt. Das in dieser Dokumentation gezeigte sicherheitsgerichtete ASi-Slave-Modul (Seite 8) weist zwei sichere Eingangskanäle auf, an die eine Sensorik bzw. Schalter angeschlossen werden. Aus der europäischen Patentanmeldung
EP 2 066 079 , die auf die Anmeldung zurückgeht, ist ein sicherheitsgerichtetes Slave-Modul bekannt, das mit vier Schaltern verbunden werden kann. Die ASi-Spezifikation selbst sehen bei sicherheitsgerechte Slave-Module jedoch nur zwei Kanäle vor.
-
Für sicherheitsgerichtete ASi-Slave-Module sind sowohl sichere Eingänge wie auch sichere Ausgänge bekannt, diese werden auch als sichere Eingangsslave bzw. Ausgangsslaves bezeichnet.
-
Bei sicherheitsgerichteten AS-i Slave Modulen mit sichereren Eingängen übernimmt ein AS-i Sicherheitsmonitor die Überwachung der der Datenübertragung zwischen Master und den sicheren AS-i Slave Modulen. Anders als bei den sicheren Eingangsslaves generiert der ASi-Sicherheitsmonitor bei sicheren Ausgangsslaves aus einer Codetabelle einen Wechselcode. Der sichere Ausgangsslave des Aktuators kontrolliert den Wechselcode. Der ASi-Sicherheitsmonitor arbeitet als Codesender und der sichere Ausgangsslave als Codeempfänger.
-
Die Ausgangsslave steuern bei sicherheitskritischen Anwendungen häufig Motoren als Aktuatoren an.
-
ASi-Slave-Module mit sicheren Ausgängen sind jedoch aufwendig zu realisieren. Aufgabe der Erfindung ist es, ein sicherheitsgerichtetes ASi-Slave Modul anzugeben, das in sicherheitskritischen Anwendungen ein einfaches Ansteuern von Aktuatoren ermöglicht.
-
Gelöst wird diese Aufgabe durch die im Anspruch 1 angegebenen Merkmale.
-
Die wesentliche Idee der Erfindung ist es, bei einem sicherheitsgerichteten ASi-Slave Modul mit einem Relaisausgang, das Relais des Relaisausgangs nicht sicher anzusteuern aber den Schaltzustand des Relais sicher zurückzulesen.
-
Damit können die Sicherheitsanforderungen bei einem sicherheitsgerichteten ASi-Slave Modul mit einem nicht sicheren Ausgang und einem sicheren Eingang einfach realisiert werden.
-
Nachfolgend ist die Erfindung anhand eines in der Zeichnung dargestellten Ausführungsbeispiels näher erläutert.
-
Es zeigen:
-
1 prinzipieller Aufbau eines ASi-Bussystems
-
2 Blockdiagramm eines sicherheitsgerichtete ASi-Slave Moduls mit zwei sicheren Eingängen und zwei nicht sicheren Ausgängen (z. B. AC009S Firma ifm electronic gmbh)
-
3 vereinfachte Darstellung eines ASi-Bussystems mit einem erfindungsgemäßen sicherheitsgerichteten ASi-Slave-Modul und einem Aktor
-
4 Blockdiagramm eines erfindungsgemäßen sicherheitsgerichteten ASi-Slave Moduls mit zwei nicht sicheren Relaisausgängen und zwei sicheren Eingängen.
-
5 Detaildarstellung einer Inverterschaltung eines erfindungsgemäßen ASi.Slave Moduls
-
1 zeigt den prinzipieller Aufbau eine AS-i Bussystem mit einem Master, der mit einem Hostrechner zum Beispiel einer speicherprogrammierbaren Steuerung SPS kommuniziert, einem Sicherheitsmonitor, einem AS-i Netzteil, einem nicht sicherheitsgerichteten Slave, einem ersten sicherheitsgerichteten Slave und einem zweiten sicherheitsgerichteten Slave, der als Bockdiagramm dargestellt ist. Der AS-i Slave weist einen Kommunikationsschaltkreis ASi-IC auf, der zur Kommunikation mit dem ASi-Bussystem dient. Die vier Dateneingänge D0, D1, D2, D3 des Kommunikationsschaltkreises ASi-IC sind über vier Datenleitungen L0, L1, L2, L3 mit den Datenausgängen D0, D1, D2, D3 eines Codefolge-Generators verbunden. In den vier Leitungen sind jeweils Optokoppler U1, U2, U3, U4 angeordnet, die als Schalter wirken und die die Datenübertragung in der betreffenden Datenleitung erlauben oder unterbinden. Die Optokoppler werden von einem Auswerteblock AW1 bzw. AW2 angesteuert, der den Zustand jeweils eines Schalters prüft. Die Schalter S1. S2 mit den Anschlussleitungen werden als Kanäle K1 bzw. K2 bezeichnet. Ein offener Kontakt führt dazu, dass die entsprechenden Optokoppler die Datenübertragung auf den jeweiligen Datenleitungen unterbrechen und der Wechselcode nicht vollständig an den kommunikationsschaltkreis ASi-IC übertragen wird. Wird der vom Code-Folgegenerator gelieferte 4 Bit-Code nicht ordnungsgemäß an den Kommunikationsschaltkreis ASi-IC übertragen, so hat mindestens einer der beiden Schalter S1 bzw. S2 ausgelöst. Der an den ASi-Bus angeschlossene Sicherheitsmonitor erkennt dies und leitet die notwendigen Reaktionen ein. Die Schalter S1 bzw. S2 repräsentieren z. B. Sicherheitsschalter wie induktive oder kapazitive Näherungsschalter oder einfache NOT-Aus Taster. Sie arbeiten als Öffner, d. h. in sicherheitskritischen Situationen wir der Schalter geöffnet.
-
2 zeigt ein Blockdiagramm eines sicherheitsgerichteten Slave-Moduls gemäß dem Stand der Technik (z. B. AC009S Fa. ifm electronic) mit zwei nicht sicheren Relaisausgängen O3 und O4 und zwei sicheren Eingängen I1 und I2. Der sichere Eingang I1 weist vier Anschlussklemmen I+, S11, S12 und I- auf. Die Anschlussklemmen I+ und I- dienen z. B. zur Versorgung eines Sicherheitsschalters, dessen Schaltausgang mit den Anschlussklemmen S11 und S12 verbunden wird. Der Sicherheitsschalter muss als Öffner arbeiten. In diesem Blockdiagramm sind zwei Blöcke evaluation channel 1 bzw. evaluation channel 2 dargestellt, die jeweils einem Auswerteblock AW, einem Teil des Codefolge Generators und zwei Optokopplern entsprechen. Die zwei Blöcke evaluation channel 1 bzw. evaluation channel 2 funktionieren so, dass bei geschlossenen Schaltern S1, S2 die Wechselcodefolge zum Kommunikationsschaltkreis ASi-IC übertragen wird. In diesem Fall eine 4-Bit-Wechselcodefolge XXXX. Wenn die Schalter S1 und S2 offen sind, ist die Übertragung unterbrochen und der Kommunikationsschaltkreis ASi-IC empfängt nur den statischen Code 0000.
-
3 zeigt eine vereinfachte Darstellung eines ASi-Bussystems mit einem erfindungsgemäßen sicherheitsgerichteten ASi-Slave-Modul und einem Aktor (Motor). Der ASi-Master und die Steuerung SPS sind als eine Einheit dargestellt. Bei der Steuerung SPS handelt es sich um eine sichere Steuerung. Die Steuerung SPS weist ein Relais R1 auf, mit dem im Fehlerfall eine Notabschaltung des Motors durchgeführt werden kann. Das Relais R1 unterbricht dabei die Spannungsversorgung des Motors. Zur Verbindung mit dem ASi-Bus dient der Kommunikationsschaltkreis AS-IC. Das sicherheitsgerichtete ASi-Slave-Modul ist im Prinzip drei Einheiten aufgeteilt; eine Relaiseinheit, eine sichere Eingangseinheit und eine nicht sichere Ein-/Ausgangseinheit auf. Wobei die nicht sichere Ein-/Ausgangseinheit nicht erfindungsrelevant ist.
-
4 zeigt ein Blockdiagramm eines erfindungsgemäßen ASi-Slave-Moduls. Beide Relaiseingänge der Relais O3, O4 sind mit der Versorgungsspannung AUX verbunden. Von den Relaisausgängen sind nur die Ausgänge S1 und S2 belegt. Von den beiden Relaisausgängen S1, S2 führt jeweils eine Verbindungsleitung L1, L2 zu den Eingängen S12 bzw. S22 der Blöcke evaluation channel 1´ bzw. evaluation channel 2´.
-
Die Relaisausgänge S1, S2 sind somit zum Zurücklesen des Schaltzustandes des Relais R2 mit den sicheren Eingängen S12 bzw. S22 verbunden. Wie sich die beiden Blöcke evaluation channel 1´ bzw. evaluation channel 2´ von den in 2 dargestellten Blöcken unterscheiden wird anhand 5 erläutert. Die beiden Blöcke evaluation channel 1´ bzw. evaluation channel 2´ weisen eine Invertierschaltung auf, die den Zustand des Relais R2 invertieren. Bei offenen Relais wird die Wechselcodefolge und bei geschlossenen Relais der statische 0000 Code übertragen. Wie die Inverterschaltung aufgebaut ist und genau funktioniert wird anhand eines Bits in 5 erläutert.
-
Ein Bit-Ausgang des Codefolge Generators ist über einen Widerstand R mit einem Phototransistor T verbunden. Der Phototransistor T ist Teil eines Optokopplers U1´. Die LED des Optokopplers U1´ ist über einen Widerstand W mit des Relaisausgang S1 verbunden.
-
Ist das Relais R2 geschlossen, d. h. der Motor ist in Betrieb leuchtet die LED und der Phototransistor T ist durchgeschaltet. In diesem Fall liegt der Eingang DI0 des Kommunikationsschaltkreises auf Bezugspotential und die Übertragung des ersten Bits der Codefolge ist unterbrochen.
-
Ist dagegen das Relais R2 geöffnet, d. h. der Motor ist abgeschaltet, was den sicheren Zustand darstellt, so ist die LED aus und der Transistor T sperrt. In diesem Fall wird das erste Bit der Codefolge ordnungsgemäß vom Codefolgegenerator an den Eingang DI0 übertragen. Der Übersichtlichkeit halber ist von den vier Optokopplern nur einer, nämlich der Optokoppler U1´ dargestellt. Die Optokoppler U2´, U3´und U4´ in den beiden evaluation channels sind entsprechend aufgebaut.
-
Die Auswerteschaltung AW1´ zur Teilfolgenabschaltung arbeitet somit invertierend. Im offenen Zustand des Relais R2 wird die Codefolge korrekt übertragen. Nachfolgend ist die Funktionsweise der Erfindung näher erläutert. Die Steuerung SPS verlangt einen Motorstart. Das Relais in der Steuerung SPS ist geschlossen und die Versorgungsspannung liegt am ASi-Slave-Modul an. Die Steuerung SPS fordert den Master auf einen entsprechenden Befehl an das ASi-Slave-Modul zu geben. Der Master sendet einen entsprechenden Befehl und das Slave-Modul schließt das Relais R2, woraufhin der Motor gestartet wird. Die beiden Relaisausgänge werden über die Eingänge der sicheren Eingangseinheit zurückgelesen. Wenn der Motor läuft gibt das Slave-Modul die Codefolge 0000 aus, die dem Master und der Steuerung SPS signalisiert dass der Motor läuft.
-
Fordert die Steuerung SPS einen Motorstillstand so wird ein entsprechendes Telegramm vom Master an das Slave-Modul gesendet. Woraufhin das Slave-Modul die Versorgung des Motors über das Relais R2 unterbricht. Der Motorstillstand ist der sichere Zustand. In diesem Fall wird der sichere Zustand über eine wechselnde Codefolge zum Beispiel 0101 an den Master und die Steuerung übertragen. Die wesentliche Idee der Erfindung ist es, nicht den Ein-Zustand des Aktors über eine Wechselcodefolge sicher an den Master zu übertragen, sondern den Aus-Zustand des Aktors. Hierzu dient die Inverterschaltung, der die Übertragung der Codefolge vom Codefolgengenerator zum digitalen Eingang des Kommunikationsschaltkreises ermöglicht, wenn der Aktor nicht eingeschaltet ist.
-
Ein alternatives Beispiel zeigt 3a. Bei einer Betätigung eines NOT-AUS-Tasters, der in dieser Figur gegenüber der 3 zusätzlich an den ASI-Bus angeschlossen ist, muss der Aktor in einen sicheren Zustand, das heißt Motorabschaltung, gebracht werden. Der Master M steuert deshalb die Relaiseinheit R2 entsprechend an. Die Ansteuerung der Relaiseinheit R2 erfolgt über im Modus „nicht sicher“. Damit gewährleistet ist, dass die Betätigung des NOT-AUS-Tasters tatsächlich zur Motorabschaltung führt, werden die Relaisausgänge auf eine sichere Eingangseinheit zurückgelesen und im Modus „sicher“ an die SPS übertragen. Im Master M bzw. in der SPS wird dann überprüft, ob der an die Relaiseinheit R2 gesendete Befehl „Motorabschaltung“ tatsächlich einer Motorabschaltung geführt hat. Im Normalfall trifft dies auch zu. Wenn jedoch in einem Fehlerfall der Befehl nicht ausgeführt, kann die SPS über eine Notabschaltung über das Relais R1, die gesamte Anlage in den sicheren Zustand bringen. Die Erfindung betrifft auch ein Verfahren zur sicherheitsgerichteten Ansteuerung eines Aktors mittels eines ASi-Slave-Modul und einer ASi-Master-Steuerung. Das ASi-Slave-Modul hat mindestens einen nicht sicheren Ausgang S1, der den Aktor ansteuert, und mindestens einen sicheren Eingang E1. Erfindungsgemäß wird der Schaltzustand des nicht sicheren Ausgangs S1 auf den sicheren Eingang E1 invertiert zurückgelesen und über einen sicheren Datenkanal als Ist-Zustandsinformation an die ASi-Master-Steuerung übertragen. In der ASi-Master-Steuerung erfolgt ein Vergleich des Soll-Zustandes des sicheren Ausgangs S1 mit dem über den sicheren Eingang E1 gelieferten Ist-Zustand und wenn eine Abweichung festgestellt wird eine Notabschaltung des Aktors. Es sei noch darauf hingewiesen, dass die Relais-Einheit nicht notwendigerweise zwangsgeführte Kontakte aufweisen muss, es wären auch zwei Transistor-Ausgänge denkbar.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
