DE19508841A1 - Sicherheitsschalteranordnung - Google Patents

Description

Die Erfindung betrifft eine Sicherheitsschalteranordnung gemäß Hauptpatent (Patentanmeldung P 44 41 070.0-32).

Die dort beschriebene zweikanalige Sicherheitsschalteranordnung weist Aktoren mit aus Halbleiterelementen bestehenden schalterartigen Mitteln auf. Diese Halbleiterelemente weisen im Gegensatz zu Relais keine verschleißanfälligen Kontakte auf.

Zur Durchführung der Funktionsüberprüfung der Aktoren ist in jedem Auswer­ tekanal eine Rechnereinheit vorgesehen, wobei jede Rechnereinheit über zwei bidirektionale Zuleitungen mit dem Aktor verbunden ist. Die Rechnereinheiten, die vorzugsweise als Controller ausgebildet sind, können als Standardprodukte kostengünstig ohne zusätzlichen Schaltungsaufwand den Aktoren vorgeschaltet werden. In einer Vielzahl von Sensoren sind bereits Rechnereinheiten zur Steu­ erung der Sensorfunktionen integriert. In diesem Fall können diese Rechnerein­ heiten die für die Sicherheitsschalteranordnung notwendigen Funktionen zusätz­ lich abarbeiten, so daß der Schaltungsaufwand des Sensors weiter reduziert wird.

Zur Überwachung der Rechnereinheiten sind diese über eine bidirektionale Zu­ leitung verbunden.

Die komplette Ansteuerung und Funktionsüberwachung der Aktoren erfolgt zentral in den Rechnereinheiten. Damit die Funktionsüberwachung von der Übermittlung der Sensorsignale physikalisch getrennt ist, sind zur Übermittlung der Schaltimpulse des Sensors und zur Übermittlung von Testimpulsen zur Funk­ tionsüberprüfung von der Rechnereinheit an den Aktor separate bidirektionale Zuleitungen vorgesehen, was die Funktionssicherheit der Anordnung erhöht. Die bidirektionalen Zuleitungen übertragen die Schaltimpulse und Testimpulse nicht nur an den Aktor sondern erhalten von diesem eine Rückmeldung. Aus dieser Rückmeldung werden zusätzlich Informationen gewonnen, ob die Funktionen des Aktors und der Zuleitungen fehlerfrei sind. Aufgrund der verschiedenen Rückmeldungen können eventuell auftretende Fehler schnell und sicher lokali­ siert und klassifiziert werden.

Zur Funktionsüberprüfung der Sicherheitsschalteranordnung werden von den Rechnereinheiten kurzzeitig die Schaltzustände geändert und die Rückmeldun­ gen in den Rechnereinheiten dahin überprüft, ob die Funktionen der Auswerte­ kanäle und der Aktoren fehlerfrei sind. Diese Änderung der Schaltzustände er­ folgt so kurzzeitig, daß sich der Betriebszustand des Arbeitsmittels nicht ändert, d. h. der Betrieb des Arbeitsmittels wird durch die Funktionsüberprüfung nicht beeinträchtigt. Ein weiterer Vorteil dieser Anordnung besteht darin, daß die Parameter der Funktionsüberprüfung über die Rechnereinheiten einfach einstell­ bar sind.

Der Erfindung liegt in Weiterbildung des Gegenstands des Hauptpatents die Aufgabe zugrunde, den Umfang der Funktionsüberprüfung bei möglichst gerin­ gem Schaltungsaufwand zu erhöhen.

Zur Lösung dieser Aufgabe sind die Merkmale des Anspruchs 1 vorgesehen. Vorteilhafte Ausführungsformen und zweckmäßige Weiterbildungen sind in den Ansprüchen 2-6 beschrieben.

Mittels der Spannungsüberwachungseinheit, die auf die Schalter in den Zulei­ tungen geführt sind, welche auf die Aktoren führen, werden die Betriebsspannun­ gen der Rechnereinheiten überprüft, so daß von den Rechnereinheiten ausgehen­ de fehlerhafte Steuersignale aufgrund von Über- oder Unterspannungen, die zu einem gefährlichen Ausfall der Schalter führen können, aufgedeckt werden können.

Die Funktionsüberwachung kann vorteilhafterweise so durchgeführt werden, daß die Rückleseleitungen nicht mehr auf beide Rechnereinheiten zurückgeführt werden müssen, wodurch sich der Schaltungsaufwand verringert. Vorteilhafter­ weise ist der Sensor über eine zweikanalige Zuleitung mit jeder Rechnereinheit verbunden, wodurch die vom Sensor zu der Rechnereinheit gelangenden Signale überwacht werden können.

Die Erfindung wird im nachstehenden anhand der Zeichnung erläutert. Es zeigen:

Fig. 1 Ein Blockschaltbild der Sicherheitsschalteranordnung,

Fig. 2 Ein Blockschaltbild des Aktors,

Fig. 3 Ein Impulsdiagramm der Signalzustände der bidirektionalen Zulei­ tungen.

Fig. 1 zeigt eine Sicherheitsschalteranordnung 1 zum Ein- und Ausschalten der Stromversorgung eines nicht dargestellten Arbeitsmittels. Das Ein- und Aus­ schalten des Arbeitsmittels erfolgt mittels eines Sensorsignals S. Der Sensor ist vorzugsweise als Lichtschranke ausgebildet, in dessen Gehäuse die komplette Sicherheitsschalteranordnung integriert ist.

Der Sensor kann beispielsweise zur Überwachung eines Schutzfeldes im Bereich des Arbeitsmittels eingesetzt werden. Er weist zwei Signalzustände auf, nämlich Schutzfeld frei (Sensor aktiv) und Schutzfeld nicht frei (Sensor inaktiv).

Das binäre Sensorsignal S wird den beiden Auswertekanälen 2 der Sicherheits­ schalteranordnung 1 zugeführt. Jeder Auswertekanal 2 weist eine Zuleitung 2a, 2b auf, welche den Sensor direkt mit einem Aktor 3 verbindet. Der Aktor 3 weist aus Halbleiterelementen bestehende schalterartige Mittel auf. Dem Aktor 3 ist eine Rechnereinheit 4 vorgeschaltet, die als Controller, vorzugsweise als Microcontroller, ausgebildet ist. Jede Rechnereinheit 4 ist über eine separate Zu­ leitung 2a, 2b mit dem Sensor verbunden, wodurch das Sensorsignal über die Rechnereinheiten 4 überwacht werden kann.

Die Rechnereinheiten 4 sind über eine bidirektionale Zuleitung 5 gekoppelt. Die Hardware der Controller ist identisch aufgebaut, während deren Software unter­ schiedlich ausgebildet ist. Bezüglich der Hardware sind die Controller demzu­ folge homogen redundant aufgebaut, während die Software diversitär ausgebil­ det ist. Die Rechnereinheiten 4 arbeiten im Master-Slave Betrieb, wobei der Master die Kommunikation der Rechnereinheiten 4 steuert. Die gegenseitige Kontrolle der Rechnereinheiten 4 erfolgt vorteilhafterweise in einem asynchro­ nen Betrieb zeitversetzt.

Zur Funktionsüberprüfung des Aktors 3 ist dieser mit der Rechnereinheit 4 über zwei bidirektionale Zuleitungen 5a, 5b und 6a, 6b gekoppelt. Über die erste Zu­ leitung 5a, 5b werden rücklesbar die Schaltimpulse, die dem aktuellen Signalzu­ stand des Sensors entsprechen, an den Aktor 3 übertragen. Über sämtliche Zu­ leitungen 5a, 5b, 6a, 6b werden Testimpulse an den Aktor 3 zu dessen Funk­ tionsüberprüfung übertragen. Die bidirektionalen Zuleitungen 5a, 5b, 6a, 6b bestehen jeweils aus einer Signalleitung 5a, 6a zur Übertragung von Informatio­ nen an den Aktor 3 und einer Rückleseleitung 5b, 6b zur Rückmeldung vom Aktor 3 an die Rechnereinheit 4.

Jeder Aktor 3 weist einen Schaltausgang 7 auf. Nur wenn beide Schaltausgänge 7 aktiv sind, d. h. wenn beide Schaltausgänge 7 den Signalzuständen "Schutzfeld frei" des Sensors entsprechen, wird das Arbeitsmittel eingeschaltet.

Die Sicherheitsschalteranordnung 1 weist eine Spannungsüberwachungseinheit 8 auf, auf deren Eingänge Zuleitungen 9a von Ausgängen der Rechnereinheiten 4 geführt sind. Die Spannungsüberwachungseinheit 8 ist vorzugsweise von einem integrierten Schaltkreis (IC) gebildet. Eine weitere Zuleitung 9b ist von einem Eingang der Spannungsüberwachungseinheit 8 auf ein Referenzspannungs­ potential U_ref geführt. Von einem Ausgang der Spannungsüberwachungseinheit 8 ist eine Zuleitung 10 auf Schalter 11 in den Signalleitungen 5a geführt. Die Schalter 11 sind vorzugsweise als Transistoren ausgebildet.

Mittels der Spannungsüberwachungseinheit 8 wird überprüft, ob sich die Be­ triebsspannungen der Rechnereinheiten 4 in einem vorgegebenen Sollwertbe­ reich befinden. Ist dies nicht der Fall, 50 werden über die Zuleitung 10 die beiden Schalter 11 geöffnet, das Arbeitsmittel demnach deaktiviert. Dadurch wird gewährleistet, daß von den Rechnereinheiten 4 keine fehlerhaften Steuersi­ gnale aufgrund von Über- bzw. Unterspannungen ausgehen.

In Fig. 2 ist ein Blockschaltbild eines Aktors 3 dargestellt. An der Ausgangs­ seite des Aktors 3 sind ein Varistor 12, ein Widerstand 13 und eine Supressor­ diode 14 zum Schutz von transienten Überspannungen vorgesehen. Der Wider­ stand 13 dient zur zeitlichen Verzögerung von Überspannungspulsen, so daß die schnellere Supressordiode 14 nicht vor dem Varistor 12 anspricht. Von diesem Überspannungsschutz führt über einen Widerstand 15 eine Zuleitung zu einem P-Kanal MOS-Feldeffekttransistor 16, der das schalterartige Mittel bildet. Das schalterartige Mittel ist über einen Widerstand 17 auf den Schaltausgang 7 geführt. Desweiteren führt vom Widerstand 17 eine Zuleitung zu einem Transi­ stor 19, der auf Massepotential GND geführt ist. Der Transistor 19 wird durch eine Supressordiode 18 von Überspannungen geschützt.

Der Transistor 16 ist durch die Widerstände 15 und 20 als eine erste Konstant­ stromquelle beschaltet, wodurch bei Kurzschlußtests der Strom auf einen Maxi­ malwert begrenzt ist.

Der Widerstand 20 ist ebenso wie die Diode 21 und Widerstände 22, 23 auf das schalterartige Mittel geführt. Widerstände 24 und 25 sind auf den Schaltausgang 7 geführt. Widerstände 26 und 27 sind auf den Transistor 19 geführt. Wider­ stände 28 und 29 sind zwischen dem Widerstand 15 und einem Transistor 30 geschaltet. Der Transistor 30 regelt über die Diode 21 und den Widerstand 22 den Transistor 16, so daß sich eine zweite Konstantstromquelle ergibt, die über die Diode 32 auf die Rückleseleitung 5b geführt ist.

Zur Messung der Spannung am Kollektor des Transistors 19 ist ein Transistor 31 vorgesehen. Zusätzlich stellt der Transistor 31 eine Anlaufstrombegrenzung für den Transistor dar, d. h. er begrenzt den Stromfluß des Transistors 19, falls ein Kurzschluß des Schalterausgangs 7 gegen die Versorgungsspannung U_B vor­ liegen würde. Dadurch wird der Transistor 19 vor Zerstörung geschützt.

Mittel einer Zenerdiode 33 und einer Diode 34 wird im Fehlerfall der Schalt­ ausgang 7 auf Massepotential GND geschaltet.

Widerstände 36 und 37 sind den Sendeelementen für die Rückleseleitungen 5b, 6b vorgeschaltet. Den Empfangselementen der Signalleitungen 5a, 5b sind Widerstände 23, 38 nachgeschaltet.

Die Sendeelemente für die Rückleseleitungen 6b bzw. 5b sind von Optokopplern 39, 40 gebildet. Die Empfangselemente für die Signalleitungen 5a, 6a sind von Optokopplern 41 und 42 gebildet.

Die Signalleitungen 5a, 6a sind so geschaltet, daß im Reset-Zustand der Rech­ nereinheiten 4 die Transistoren 16 und 19 hochohmig sind. Somit kann keiner dieser Transistoren 16, 19 durch einen externen Kurzschluß zerstört werden, be­ vor die Rechnereinheiten 4 in Betrieb sind.

Die Funktionen der Sicherheitsschalteranordnung 1 werden im folgenden anhand von Fig. 3 erläutert.

Die Funktionsüberprüfung der Auswertekanäle 2 erfolgt unabhängig vom aktuel­ len Sensorzustand, d. h. unabhängig davon ob der Sensor aktiv oder inaktiv ist. Dies ist durch die schraffierten Flächen in Fig. 3 angedeutet. Die Durchführung der Funktionsüberprüfung wird von den Rechnereinheiten 4 gesteuert.

Die Rechnereinheiten arbeiten im Master-Slave Betrieb. Dies bedeutet, daß eine Rechnereinheit 4 als Master die Kommunikation über die Zuleitungen 5 steuert.

Die Kommunikation erfolgt in Form einer Zwei-Bit-Parallelkommunikation, d. h. jede Rechnereinheit 4 weist eine Sende- und Empfangsleitung 5 auf.

Die Funktionskontrolle der Rechnereinheiten 4 erfolgt gegenseitig über eine time-out Funktion. Wenn eine Rechnereinheit 4 auf ein Signal der anderen Rechnereinheit 4 nicht rechtzeitig antwortet, so wird die fehlende Antwort als Fehler interpretiert.

Wie aus Fig. 3 ersichtlich ist, erfolgt die Funktionsüberprüfung in den beiden Auswertekanälen zeitversetzt. Zweckmäßigerweise erfolgt die Freigabe einer Rechnereinheit 4 zur Durchführung der Funktionsüberprüfung durch den Master. Der Übersichtlichkeit halber ist die Zeitverzögerung zwischen zwei Funktions­ überprüfungen in Fig. 3 nicht dargestellt.

Die Funktionsüberprüfung gliedert sich in Testabschnitte I, II, III, IV. Während der ersten drei Testabschnitte I, II, III wird überprüft, ob im Aktor 3 selbst eine Störung vorliegt. Im Testabschnitt IV wird die Funktion der Spannungsüber­ wachungseinheit 8 und der Schalter 11 überprüft.

Die in Fig. 3 dargestellten Signalfolgen stellen den fehlerfreien Fall dar.

Im Testabschnitt I werden die Signalleitungen 5a, 6a aktiviert. Bei diesem Kurz­ schlußtest muß im fehlerfreien Fall die Rückleseleitung 5b den Zustand aktiv und die Rückleseleitung 6b den Zustand inaktiv einnehmen.

Um den Stromfluß beim Kurzschlußtest zu begrenzen, ist der Transistor 16 durch die Widerstände 15 und 20 als Konstantstromquelle beschaltet. Zudem ist ein Kondensator 43 als Energiespeicher vorgesehen, so daß das versorgende Netzteil hiervon nicht belastet ist.

In den Testabschnitten II und III werden die Signalleitungen 5a, 6a zeitversetzt aktiviert. Im fehlerfreien Fall bleibt die Rückleseleitung 5b im inaktiven Zu­ stand, während die Rückleseleitung 6b nur während des Testabschnitts III in­ aktiv ist, nicht jedoch während des Testabschnitts II.

Im Fehlerfall ergeben sich für die Rückleseleitungen 5b, 6b während der Test­ abschnitte I, II, III Schaltzustände, die von den in Fig. 3 dargestellten Zuständen abweichen.

In diesem Fall können die Transistoren 16, 19 durchlegiert oder hochohmig sein. Ebenso kann ein Schluß gegen Massepotential GND oder die Versor­ gungsspannung U_B vorliegen. Schließlich kann die Spannungsüberwachungsein­ heit 8 defekt sein oder ein Querschluß der Schaltausgänge 7 zueinander vorlie­ gen.

Ist der Transistor 16 im Fehlerfall durchlegiert und läßt sich nicht mehr ab­ schalten, so fließt beim Einschalten des Transistors 19 solange Strom, bis der eine Sicherung bildende Widerstand 17 anspricht und den Schaltausgang 7 von der Versorgungsspannung U_B abtrennt. Vor Ansprechen der Sicherung kann so­ mit der gestörte Auswertekanal 2 noch in den sicheren Zustand übergehen, d. h. das Arbeitsmittel abschalten.

Um einen Kurzschluß des Schaltausgangs 7 nach U_B von den anderen Fehlerfäl­ len zu unterscheiden, kann ein weiterer, in Fig. 3 nicht dargestellter Testab­ schnitt angefügt werden. In diesem Testabschnitt werden die Transistoren 16 und 19 hochohmig geschaltet. Über den Optokoppler 39 wird geprüft, ob Spannung am Schaltausgang 7 anliegt.

Ist dies nicht der Fall, so liegt kein externer Kurzschluß vor und der Schaltaus­ gang 7 wird über den Transistor 19 auf Massepotential GND geschaltet.

Im Testabschnitt IV wird die Spannungsüberwachung der Rechnereinheit 4 überprüft. Die Rechnereinheit 4 simuliert hierzu einen Überspannungsimpuls (Signalleitungen 5a, 6a aktiv), worauf die Zuleitung 9a im fehlerfreien Fall aktiviert wird.

Zur zyklischen Funktionsüberwachung werden die Schaltzustände der Signallei­ tungen 5a, 6a kurzzeitig geändert. Die einzelnen Zeitintervalle "1" bis "8" liegen im Bereich von 50-150 µs. Diese Zeitintervalle sind somit so kurz, daß die innerhalb dieser Intervalle durchgeführten Änderungen der Schaltzustände auf den Signalleitungen 5a, 6b aufgrund der Trägheit des Arbeitsmittels keine Än­ derung dessen Betriebszustandes bewirken können. Die Wiederholdauer der zyklischen Funktionsüberwachung liegt im Bereich 5-15 ms, vorzugsweise be­ trägt sie 10 ms. Besonders vorteilhaft ist, daß die zyklische Funktionsüber­ wachung von den Rechnereinheiten 4 gesteuert wird. Über die Software in den Rechnereinheiten 4 kann die Wiederholdauer der zyklischen Funktionsüberwa­ chung variiert werden, beispielsweise um eine Überlastung der Rechnereinheiten 4 zu vermeiden.

Claims (6)

1. Sicherheitsschalteranordnung (1) zum Ein- und Ausschalten der Stromver­ sorgung eines Arbeitsmittels mittels eines Sensorsignals, welches dem Ar­ beitsmittel über zwei Auswertekanäle (2) zugeführt wird, wobei jeder Aus­ wertekanal einen Aktor (3) mit aus Halbleiterelementen bestehenden schal­ terartigen Mitteln aufweist, welchem eine Rechnereinheit (4) vorgeschaltet ist, die mit dem Aktor (3) über zwei bidirektionale Zuleitungen (5a, 6b, 6a, 6b) verbunden ist, wobei über die erste Zuleitung (5a, 5b) rücklesbar Schalt­ impulse von der Rechnereinheit (4) zum Aktor (3) übertragen werden und dort einen Schaltvorgang auslösen, und wobei über die zweite Zuleitung (6a, 6b) rücklesbar Testimpulse von der Rechnereinheit (4) zum Aktor (3) zu dessen Funktionsüberprüfung übertragen werden, wobei die Rechnereinhei­ ten (4) über eine bidirektionale Zuleitung (5) zu deren Funktionsüberprüfung verbunden sind, und wobei von den Rechnereinheiten (4) zur Funktionsüber­ prüfung der Aktoren (3) die Schaltzustände der schalterartigen Mittel so kurzzeitig geändert werden, daß sich der Betriebszustand des Arbeitsmittels aufgrund seiner Trägheit nicht ändert, nach Patent . . . /Patentanmeldung P 44 41 070.0-32, dadurch gekennzeichnet, daß die Zuleitungen (5a) jeweils einen Schalter (11) aufweisen, die mittels einer Spannungsüber­ wachungseinheit (8) geöffnet werden, sobald sich die Betriebsspannung der Rechnereinheiten (4) außerhalb eines vorgegebenen Sollwertbereichs befin­ den.

2. Sicherheitsschalteranordnung nach Anspruch 1, dadurch gekennzeichnet, daß die Schalter (11) von jeweils einem Transistor gebildet sind.

3. Sicherheitsschalteranordnung nach Anspruch 1 oder 2, dadurch gekenn­ zeichnet, daß von jeder Rechnereinheit (4) eine Zuleitung (2a, 2b) zum Sensor geführt ist.

4. Sicherheitsschalteranordnung nach Anspruch 1-3, dadurch gekennzeichnet, daß die Rechnereinheiten (4) im Master-Slave Betrieb arbeiten.

5. Sicherheitsschalteranordnung nach einem der Ansprüche 1-4, dadurch ge­ kennzeichnet, daß die Funktionsüberprüfung unabhängig vom Signalzustand des Sensors erfolgt.

6. Sicherheitsschalteranordnung nach einem der Ansprüche 1-5, dadurch ge­ kennzeichnet, daß die Funktionsüberprüfung aus vier nacheinander ablau­ fenden Testabschnitten besteht, wobei die ersten drei Testabschnitte zur Überprüfung des Aktors (3) vorgesehen sind und der vierte Testabschnitt zur Überprüfung der Betriebsspannungen der Rechnereinheiten (4) vorgesehen ist.