DE19813389A1 - Sicherheitsgerichtete Ansteuerschaltung - Google Patents

Description

Die Erfindung bezieht sich auf eine sicherheitsgerichtete Ansteuerschaltung für zumindest einen elektrischen Verbraucher wie Schütz oder Relais umfassend einen ersten Kanal mit einer programmierbaren Steuereinheit zur Ansteuerung von zumindest einem ersten elek­ tronischen Schaltelement und einen zweiten Kanal mit einer programmierbaren Steuereinheit zur Ansteuerung von zumindest einem zweiten elektronischen Schaltelement, wobei der zu­ mindest eine elektrische Verbraucher über das erste und/oder zweite elektronische Schalt­ element mit Betriebsspannung verbindbar ist.

Aus dem Stand der Technik sind sicherheitsgerichtete Ansteuerschaltungen bzw. Sicher­ heitsschaltungen bekannt, die einen zwei-kanaligen Aufbau in gleicher Technologie auf­ weisen, wobei jeder Kanal eine Mikrocomputer-Schaltung umfaßt. Wahlweise können die Kanäle elektronische Bauteile unterschiedlicher Herstellung beinhalten und/oder einen strukturell anderen Aufbau aufweisen.

Grundsätzlich sind die Kanäle dabei jedoch als funktionell eigenständige Systeme ausgelegt. Die Kanäle, im Folgenden als Kanal A und B bezeichnet, weisen jeweils Ein-/Ausgangs­ ebenen auf, an die Sicherheitssignalgeber angeschlossen sind, deren Eingangssignale in den jeweiligen Kanälen verarbeitet werden. Im Falle zwei-kanaliger Sicherheitssignalgeber wirkt ein erstes Eingangssignal zumindest auf den Kanal A und ein zweites Eingangssignal zumindest auf den Kanal B. Die Ankopplung der Eingangssignale kann zusätzlich auch kreuzweise erfolgen.

Zwischen den beiden Kanälen A und B erfolgt fortlaufend ein dynamischer gegenseitiger Informationsaustausch und eine gegenseitige Überwachung des vollzogenen Informations­ austausches über eine Verbindungsleitung, im Folgenden Link genannt.

Über den Link verfügen beide Kanäle regelmäßig über den gleichen Informationsstand, wobei auch eine etwaige Störung oder ein Ausfall in einer angeschlossenen Peripherie eingeschlos­ sen ist. Da eine Freigabe einer z. B. gefahrbringenden Bewegung in Sicherheitsstromkreisen in einer bestimmen Konstellation von zwei Eingangssignalen - im Regelfall von zwei geschlossenen Kontakten - abhängig ist, würde dies von der Sicherheitsschaltung erkannt werden und zu einer Betriebshemmung des betreffenden Steuerungsteils führen, d. h. der Ausgangssignale, die erzeugt werden sollen, unterbleiben.

Eine Besonderheit bei der Fehlerbetrachtung stellen Fehlerursachen dar, die zum gleichen Zeitpunkt auf alle Kanäle in gleicher Ausfallrichtung einwirken. Bei sogenannten "Common Mode"-Fehlern wirkt die Maßnahme des Vergleichs über einen Link im Falle eines sicher­ heitsgerichteten Verhaltens nicht mehr.

Der sogenannte "Common Mode"-Fehler wird bevorzugt in der Fehlerbetrachtung von Schaltungen, die mit elektronischen Bauteilen aufgebaut sind, angenommen. Im Falle von Schaltungen, die mit elektromechanischen Bauteilen aufgebaut sind, werden Fehler dieser Art regelmäßig nicht betrachtet, weil hier zusätzliche Maßnahmen, wie z. B. galvanische Tren­ nung von Kontakten und/oder zwangsöffnende oder zwangsgeführte Kontakte, vorgesehen sind.

Bekannte Maßnahmen zur Beherrschung von "Common Mode"-Fehlern sind z. B. diversitär aufgebaute Schaltungen, d. h. der Aufbau von mehrkanaligen Sicherheitsschaltungen mit unterschiedlichem Arbeitsprinzip, wobei z. B. Kanal A mit elektronischer Arbeitsweise und Kanal B mit elektromechanischer Arbeitsweise aufgebaut ist. In diesem Fall begibt man sich aber der spezifischen Vorteile elektronischer Technik, wie z. B. Verschleißfreiheit, Schnel­ ligkeit und ähnliches.

Eine weitere anerkannte Möglichkeit zur Beherrschung von "Common Mode"-Fehlern sind dynamische Fehlerüberwachungsfunktionen wie z. B. fortlaufende CRC-Checks der beteilig­ ten Mikrocomputer und/oder diversitäre Hard-/Software derselben.

Desweiteren kann ein dynamischer Test der Ausgangshalbleiter im Rahmen des Trägheits­ moments nachgeordneter Schaltgeräte erfolgen, indem die Prozessoren Ausgangshalbleiter fortlaufend in einer zeitlichen Sequenz, die kleiner als das Trägheitsmoment z. B. nachgeord­ neter mechanischer Kontakte ist, ein- und ausschalten, wobei dabei deren ordnungsgemäße Arbeitsweise überprüft wird.

Trotz all dieser Maßnahmen wird ein "Common-Mode"-Fehler, der die elektronischen Schaltelemente wie Leistungshalbleiter im Sinne eines Durchlegierens (Leistungshalbleiter bleibt auch nach Abschaltung durchgeschaltet) betrifft, jedoch nicht beherrscht. Zwar wird bei den bekannten Maßnahmen ein solcher Fehler von den Prozessoren bzw. Mikrocomputern der Sicherheitsschaltung erkannt, jedoch wäre dennoch die Abschaltung einer zum Beispiel gefahrbringenden Bewegung nicht möglich, wenn zum Beispiel die ausgangsseitigen Lei­ stungshalbleiter trotz eines beaufschlagten Abschaltsignals durchgeschaltet bleiben.

Davon ausgehend liegt der vorliegenden Erfindung das Problem zu Grunde, eine sicherheits­ gerichtete Ansteuerschaltung dahingehend weiterzubilden, daß durch einfache Maßnahmen eine Beherrschung von "Common-Mode"-Fehlern erreicht wird.

Das Problem wird erfindungsgemäß dadurch gelöst, daß die Ansteuerschaltung zumindest ein elektromechanisches Schaltelement aufweist, daß das zumindest eine elektromechanische Schaltelement von der ersten programmierbaren Steuereinheit und/oder von der zweiten programmierbaren Steuereinheit in Abhängigkeit von dem Schaltzustand zumindest eines elektronischen Schalteelementes ansteuerbar ist und daß zumindest ein Schaltkontakt des zumindest einen elektromechanischen Schaltelementes in Reihe jeweils zu dem ersten und/oder zweiten elektronischen Schaltelement liegt.

Im Gegensatz zu den bekannten Sicherheitsschaltungen erfolgt bei der erfindungsgemäßen sicherheitsgerichteten Ansteuerschaltung durch die in Reihe zu den elektronischen Schalt­ elementen angeordneten mechanischen Schaltkontakte ein sicheres Abschalten des elek­ trischen Verbrauchers. Im Gegensatz zu handelsüblichen Relais-Sicherheits-Kombinationen wird die Sicherheitsfunktion dieser Schaltung aber nur in einem Fehlerfall der Ausgangs­ halbleiter aktiviert, d. h. wenn bei einer Überprüfung der ausgangsseitigen elektronischen Schaltelemente durch die programmierbaren Steuereinheiten festgestellt wurde, daß die elektronischen Schaltelemente durchlegiert sind und nicht mehr abschalten können. Diese Art Fehler wurde von den Schaltungen nach dem Stand der Technik zwar auch erkannt, da die Ausgangshalbleiter jedoch durchlegiert sind, konnte das gewünschte Ausfallverhalten im Sinne einer Abschaltung einer gefahrbringenden Bewegung nicht erreicht werden.

Bei einer besonders bevorzugten Ausführungsform ist vorgesehen, daß die Ansteuerschaltung zumindest zwei elektromechanische Schaltelemente aufweist, daß ein erstes elektromecha­ nisches Schaltelement von der ersten programmierbaren Steuereinheit und/oder ein zweites elektromechanisches Schaltelement von der zweiten programmierbaren Steuereinheit in Abhängigkeit von dem Schaltzustand zumindest eines elektronischen Schaltelementes ansteuerbar ist, und daß eine Reihenschaltung aus jeweils einem Schaltkontakt des ersten und zweiten elektromechanischen Schaltelementes in Reihe jeweils zu dem ersten und/oder zweiten elektronischen Schaltelement liegt.

Zur unmittelbaren Beherrschung eines "Common mode"-Fehlers würde ein übergeordnetes elektromechanisches Schaltelement genügen, auf das einer oder beide Prozessoren Zugriff hätten, wenn im Rahmen des "Link" ein solcher Fehler festgestellt würde. Man kann nun aber auch dem Schaltelement wiederum eine Fehlerhaftigkeit unterstellen, zum Beispiel ver­ schweißte Ausgangskontakte, mechanisches Verklemmen des Ankers etc. Aus diesem Grunde ist die übergeordnete Schaltung mit zwei Relais mit zwangsgeführten Kontakten selbstüberwachend aufgebaut. Je nach sicherheitstechnischen Anforderungen ist dies nicht zwingend erforderlich, da nicht überall, d. h. in allen sicherheitstechnischen Anforderungs­ stufen mit einer Fehlerhäufung gerechnet zu werden braucht.

Vorzugsweise sind die elektromechanischen Schaltelemente als Relais und die Schaltkontakte als zwangsgeführte Kontakte ausgebildet. Das Merkmal der zwangsgeführten Kontakte stellt sicher, daß unter dem Gesichtspunkt der Fehlerbetrachtung einer solchen Schaltung keine weiteren Maßnahmen erforderlich sind, die sicherheitsgerichteten Ansteuerschaltungen sicherzustellen. Zwangsgeführte Kontakte stellen sicher, daß im Falle eines elektrischen oder mechanischen "Hängen" eines Relais dies erkannt und ein Wiedereinschalten verhindert wird.

Durch den Einsatz von programmierbaren Steuereinheiten wie Mikrocomputer ist die sicher­ heitsgerichtete Ansteuerschaltung ständig in den steuerungstechnischen Ablauf eines Gesamt­ systems, wie z. B. eines Bussystems involviert. Dies bedeutet, daß jede Zustandsveränderung der angeschlossenen Peripherie auch eine Zustandsänderung der sicherheitsgerichteten Ansteuerungsschaltung bewirkt. Dies bedeutet, daß die übergeordnete Relaisebene nur im Fehlerfall aktiviert wird. Da die Schaltung in programmierbarer elektronischer Technik ausge­ führt ist, arbeitet diese einerseits verschleißfrei, um auch zugunsten von Verfügbarkeit bzw. Standzeit und andererseits mit einer immanenten Schnelligkeit (zugunsten der angestrebten Sicherheitsfunktion). Die besonderen Vorteile dieser Lösung bestehen darin, daß ein "Com­ mon Mode"-Fehler ausgangsseitig im elektronischen Schaltelement wie Leistungstransistor der Sicherheitsschaltung nicht nur erkannt, sondern auch beherrscht werden. Auch besteht die Möglichkeit, daß sich mehrere elektronische Sicherheitsschaltungen dieser Art über eine solche handelsübliche Relais-Sicherheitskombination überwachen lassen.

Um zu erreichen, daß eine möglichst lange Standzeit erreicht wird ist vorgesehen, daß die Schaltkontakte der Relais während des Betriebs geschlossen sind. Das heißt, die Relais-Sicherheitskombination ist betriebsmäßig nicht in die Arbeit involviert, wodurch kein Verschleiß eintritt.

Auch wird eine schnellere Reaktionszeit gegenüber Sicherheitsstromkreisen erreicht, deren Kanäle zumindest teilweise mit mechanischem Arbeitsprinzip ausgebildet sind.

Als weiterer Vorteil ist zu erwähnen, daß sich fehlerbeherrschende und/oder fehlertolerante Verhaltensweisen durch eine intelligente Zuordnung der Relais-Sicherheitskombinations­ schaltungen zu elektronischen Sicherheitsschaltungen nur partiell wirken bzw. sich partiell wirkend steuern lassen, d. h. - sowohl im Sinne von Verfügbarkeit bzw. Zuverlässigkeit als auch im Sinne von Sicherheit - sich nicht unbedingt auf das gesamte System beziehen müssen.

Zur Ansteuerung der Relais ist vorgesehen, daß ein erster Anschluß des ersten/zweiten Relais mit einem Ausgang des ersten/zweiten Mikrocomputers und ein zweiter Anschluß des ersten/zweiten Relais mit einem Eingang des zweiten/ersten Mikrocomputers verbunden ist. Auf diese Weise ist sichergestellt, daß ein Relais nur dann einschaltet, wenn Steuersignale von beiden Mikrocomputern erzeugt werden. Bei einer besonders bevorzugten Ausführungs­ form ist ein Ausgang eines elektronischen Schaltelementes des Kanals A mit einem Eingang des Mikrocomputers des Kanals B verbunden und umgekehrt.

Weitere Einzelheiten, Vorteile und Merkmale der Erfindung ergeben sich nicht nur aus den Ansprüchen, den diesen zu entnehmenden Merkmalen - für sich und/oder inKombination -, sondern auch aus der nachfolgenden Beschreibung eines den Figuren zu entnehmenden bevor­ zugten Ausführungsbeispiels.

Es zeigen:

Fig. 1 prinzipieller Aufbau eines Sicherheitsbussystems,

Fig. 2 prinzipieller Aufbau einer Master-Station mit zwei Kanälen,

Fig. 3 Schaltungsanordnung eines ersten Kanals der Master-Station gemäß Fig. 2,

Fig. 4 prinzipieller Aufbau einer Ein- und/oder Ausgangs-Station,

Fig. 5 prinzipieller Aufbau einer Bus-Abschluß-Station,

Fig. 6 Schaltungsaufbau eines Sicherheitsschaltkreises,

Fig. 7 eine Bus-Ausgangsstation mit externer Beschaltung,

Fig. 8 einen Strompfad der Bus-Ausgangsstation mit externer Beschaltung gemäß Fig. 7.

Fig. 1 zeigt ein sicherheitsgerichtetes Steuerungssystem 10, das in dem hier dargestellten Ausführungsbeispiel als strangförmiges Bussystem ausgebildet wird. Das Bussystem weist eine Vielzahl von miteinander in Verbindung stehender Ein- und/oder Ausgänge aufweisender zentraler und/oder dezentraler Stationen 12, 14, 16, 18, 20 auf. Dabei ist eine erste Station 12 als Bus-Anfangsstation bzw. als Bus-Master mit einem Busanschluß 22 und eine letzte Station 20 als Bus-Abschluß-Station mit einem Buseingang 24 ausgebildet. Die weiteren Stationen 14, 16, 18 besitzen jeweils einen Buseingang 26, 28, 30 und einen Busausgang 32, 34, 36. Zwischen einem Busausgang 22, 32, 34, 36 einer Bus-Station und einem Buseingang 26, 28, 30 ist jeweils eine einkanalige Busleitung 38, 40, 42, 44 angeordnet. Auf diese Weise kann das Bussystem 10 einen Strang mit bis zu 64 Stationen aufweisen.

Das Übertragungsmedium bzw. die einkanalige Busleitung 38, 40, 42, 44 besteht aus einer Datenleitung 46 und einer Energieversorgungsleitung 48. Dabei sind sowohl die Datenleitung als auch die Energieversorgungsleitung zweiadrig ausgebildet.

Zur Energieversorgung ist der Bus-Master 12 über eine Zuleitung 50 mit einem Trans­ formator 52 verbunden, der seinerseits mit Netzspannung verbunden ist und eine berührungs­ sichere Versorgungswechselspannung von vorzugsweise 42 V AC zur Verfügung stellt. Sowohl die Datenleitung 46 als auch die Energieversorgungsleitung 48 werden innerhalb der die Busein- und -ausgänge 26, 32; 28, 34; 30, 36 aufweisenden Stationen intern durch­ geschliffen. Grundsätzlich weist jede Station 12, 14, 16, 18, 20 des Bussystems 10 zwei voneinander unabhängige Teilsysteme bzw. Knoten A, B auf, die im Folgenden als Kanal A und Kanal B bezeichnet werden. Durch die zweikanalige Ausbildung wird ein redundantes System aufgebaut. Dabei hat jeder Kanal A, B innerhalb der Station 12-20 die Möglichkeit, selbständig auf den Bus 38-44 zuzugreifen. Mit anderen Worten arbeitet jeder Kanal A, B nach dem Multi-Master-Prinzip selbständig. Grundsätzlich weisen die Stationen 12-20 einen im wesentlichen identischen Hardware-Aufbau auf.

In Fig. 2 ist der Aufbau des Bus-Masters 12 dargestellt. Die Kanäle A und B weisen jeweils ein Netzteil 54, 56 auf, das eingangsseitig mit der Vorsorgungsleitung 50 verbunden sind. Ein erster Ausgang 58, 60 des Netzteils 54, 56 ist mit einer programmierbaren Steuereinheit 62, 64 wie Mikrocomputer verbunden. Die Mikrocomputer 62, 64 sind über Leitungen 66, 68 mit Bus-Controllern 70, 72 verbunden, die über weitere Leitungen 74, 76 mit Buskopplern 78, 80 mit der Bus-Datenleitung 46 verbunden sind. Die Buskoppler 78, 80 weisen eine separate Spannungsversorgung auf und sind mit einem zweiten Ausgang 82, 84 des Netzteils 54, 56 verbunden.

Über eine Verbindungsleitung bzw. einen Link 86 zwischen den Mikrocomputern 62, 64 erfolgt ein Datenaustausch zwischen den Kanälen A und B zur gegenseitigen Überprüfung. Dabei handelt es sich um eine galvanisch entkoppelte, serielle Schnittstelle. Desweiteren sind in den Mikrocomputern 62, 64 serielle Schnittstellen 88, 90 wie RS232- oder CAN-Schnitt­ stelle vorgesehen, die über jeweils eine Verbindungsleitung mit einer Ausgangsebene 92 des Kanals B und einer Ausgangsebene 94 des Kanals A verbunden sind, um eine Ver­ bindung zu einem externen Programmiergerät wie Personalcomputer zur Programmierung des Bussystems herzustellen. Auch können weitere Schnittstellen zur Ankopplung an andere Busebenen vorgesehen sein. Die Ausgangsebenen 92, 94 weisen jeweils bis zu acht Halblei­ terausgänge auf.

In Fig. 3 ist eine Schaltungsanordnung des Kanals A der Master-Station 12 gemäß Fig. 2 im Detail dargestellt. Dabei weist der Kanal A einen an sich nach dem Stand der Technik typi­ schen Schaltungsaufbau auf. Das Netzteil 56 umfaßt zwei Transformatoren 96, 98, deren Primärwicklungen 100, 102 primärseitig in Reihe an Versorgungsspannung liegen. Die Trans­ formatoren 96, 98 weisen jeweils eine Sekundärwicklung 104, 106 auf, die jeweils über einen Gleichrichter 108, 110 und über einen Spannungsregler 112, 114 eine geregelte Ausgangs­ spannung für den Mikrocomputer 64 bzw. den Buskoppler 80 zur Verfügung stellen. Der Mikrocomputer 64 weist zudem externe Speicherbausteine 116, 118 wie RAM und ROM auf sowie einen Watchdog 120. Die beiden Mikrocomputer 62, 64 der Master-Station 12 können unabhängig voneinander auf den Bus 38, 40, 42, 44 über jeweils den Buskoppler 78, 80 zu greifen. Über den Link 86 ist ein Datenaustausch für Kontrollzwecke möglich. Die Verbindung ist optoelektronisch entkoppelt.

Durch den zentralen Leistungstransformator 52 wird die Netzspannung von UN = 230 V AC auf eine Versorgungsspannung U_V = 42 V AC transformiert. Die Versorgungsspannung U_V liegt am Eingang des Netzteils 54, 56 an und ist mit den Eingangswicklungen der Trans­ formatoren 96, 98 verbunden. An den Ausgangswicklungen 104, 106 liegt eine Spannung von ca. 8 V AC an, die über den Gleichrichter 108, 110 und zugeordnete Spannungsregeler 112, 114 auf ca. 5 V begrenzt wird. Die Spannung wird mit Hilfe des Watchdog 120 überwacht.

Der ROM-Baustein 118 dient zur Speicherung von Firmware. Der ROM-Baustein 118 ist als EPROM ausgebildet und wird mit Hilfe einer Checksummenbildung 16 Bit (CRC-Check) zyklisch überprüft. Anwenderspezifische Daten werden in einem Flash-EPROM gespeichert. Die Programmierung des Flash-EPROMS erfolgt über die serielle Schnittstelle 90. Mit Hilfe eines Schalters und verschiedener Sicherungsmechanismen können die Anwenderdaten über­ nommen werden. Die Prüfung des Flash-EPROMS erfolgt mit Hilfe des oben beschriebenen CRC-Check.

Das externe RAM 116 ist zusätzlich zu einem prozessorinternen RAM vorgesehen. Dieser RAM-Baustein 116 beinhaltet eine RTC (Real Time Clock). Für den Mikrocomputer 62 ist ebenfalls ein externes RAM vorgesehen, das allerdings keine RTC aufweist.

Fig. 4 zeigt beispielhaft den Aufbau einer der Stationen 14, 16, 18. Die Stationen 14, 16, 18 weisen im wesentlichen den gleichen internen Aufbau auf wie die Master-Station 12. Ein wesentlicher Unterschied besteht in der Ausbildung einer Ein- und/oder Ausgangsebene 124, 122. So kann die Bus-Station als Bus-Ausgangsstation mit bis zu acht Halbleiterausgängen oder als Bus-Eingangsstation mit Halbleitereingängen ausgebildet sein, an der ein bis vier Not-Aus-Taster oder wahlweise ein bis acht Befehlsgeräte wie Verriegelungs- oder Entriege­ lungsgeräte angeschlossen sind. Die Kontaktelemente werden dabei an eine Klemme gelegt und intern - über Optokoppler getrennt - mit den Eingängen der beiden Mikrocomputersyste­ me verbunden. Zur Überprüfung der Leitungen auf Querschluß werden zur Testung die Leitungen periodisch mit Signalen beaufschlagt.

In Fig. 5 ist ein Aufbau der Bus-Abschluß-Station 20 dargestellt. Im Unterschied zu den Bus-Stationen 14, 16, 18 weist die Bus-Abschluß-Station nur den Buseingang 24 und keinen weiteren Busausgang auf. Die Bus-Abschluß-Station 20 kann ebenfalls über Ein- und/oder Ausgänge 126, 128 verfügen. Die technische Funktion der Bus-Abschluß-Station 20 soll später erläutert werden.

In Fig. 6 ist beispielhaft eine Schaltungsanordnung der Ausgangsebene 92, 94 der Kanäle A und B, des Bus-Masters 12 dargestellt. Dabei besteht die Ausgangsebene 94 des Kanals A aus einer Vielzahl von NPN-Transistoren T1-T4, die emitterseitig über Widerstände R1-R4 mit Bezugspotential verbunden sind. Kollektorseitig sind die Transistoren T1-T4 über zwei in Reihe liegende Schließerkontakte 130, 132 mit positiver Betriebsspannung U_B+ verbunden.

Die Ausgangsebene 92 des Kanals B weist eine Vielzahl von PNP-Transistoren T5-T8 auf, die emitterseitig miteinander verbunden und über zwei in Reihe liegende Schließerkontakte 134, 136 mit negativer Betriebsspannung U_B- verbunden sind. Kollektorseitig sind die Transistoren T5-T8 über Widerstände R5-R8 mit Bezugspotential verbunden. Zur An­ steuerung der Transistoren T1 bis T4 weist der Mikrocomputer 90 Ausgänge 138 auf, die vorzugsweise über Optokoppler mit einer Basis der Transistoren T1-T4 verbunden sind. Auch der Mikrocomputer 62 weist entsprechende Ausgänge 140 auf, mit denen die Transisto­ ren T5-T8 angesteuert werden können. Zur Überwachung der Schaltfunktionen der Transi­ storen T1-T4 einerseits und der Transistoren T5-T8 andererseits weist der Mikrocomputer 64 Eingänge 142 auf, die mit Ausgängen E1-E4 der Transistoren T5-T8 verbunden sind. Gleiches gilt für den Mikrocomputer 62, der Eingänge 144 aufweist, die mit Ausgängen E5-E8 der Transistoren T1-T4 verbunden sind. Vorzugsweise sind alle Verbindungen zwischen den Microcomputern 62, 64 über Optokoppler (nicht dargestellt) galvanisch getrennt.

Desweiteren umfaßt die Schaltung zwei Relais 146, 148, wobei das Relais 146 mit einem ersten Anschluß an einem Ausgang 150 des Mikrocomputers 64 und mit einem zweiten Anschluß an einem Eingang 152 des Mikrocomputers 62 anliegt. Entsprechend liegt das Relais 148 mit einem ersten Anschluß an einem Ausgang 154 des Mikrocomputers 62 und einem zweiten Anschluß an einem Eingang 156 des Mikrocomputers 64 an.

Der Ausgang 158 der Ausgangsebene 94 ist mit einer Wicklung 160 eines elektromechani­ schen Schaltelementes wie Motorschützes verbunden, das seinerseits über einen weiteren Anschluß mit dem Ausgang 162 der Ausgangsebene 92 verbunden ist. Werden aufgrund von Steuerbefehlen der Mikrocomputer 63, 64 die Transistoren T1 und T5 leitend geschaltet und sind die Relais 146, 148 angezogen, so wird das Motorschütz 160 bestromt und zieht an.

Um eine sichere Funktion dieser Schaltungsanordnung zu gewährleisten, sind die Relais 146, 148 als zwangsgeführte Relais ausgeführt, welche im Einschaltaugenblick über ein Zeitfen­ ster elektrisch miteinander verriegelt sind. Die Relaisspulen 146, 148 werden über einen Transistor direkt von jeweils einem Mikrocomputer 62, 64 angesteuert. Die Verschaltung der Relaiskontakte 130, 132, 134, 136 der zwangsgeführten Relais 146, 148 entspricht einem "sicheren Vergleicher".

Selbstverständlich können auch weitere Stationen 14, 16, 18 Ausgänge zum Ansteuern verschiedener Aktoren besitzen. Dabei ist vorgesehen, daß jede Ausgangsstation 122, 124 acht N-schaltende und acht P-schaltende Transistoren aufweist.

In Fig. 7 ist eine entsprechende Bus-Ausgangsstation 14 dargestellt, die wahlweise an einen externen Verbraucher 164 in einkanaliger Ausführung angeschlossen ist oder wobei zwei Verbraucher 166, 168 eine redundante Anschaltung bilden.

Bei der einkanaligen Anschlußweise liegt der elektrische Verbraucher 164 mit seinem ersten Anschluß an einem Ausgang eines Transistors des Kanals A und mit einem zweiten An­ schluß an einem Ausgang eines Transistors des Kanals B. Über den Transistor des Kanals A und die Schließerkontakte 130, 132 liegt der erste Anschluß des Verbrauchers 164 an positiver Betriebsspannung, und über den Transistor des Kanals A, B sowie weitere Schlie­ ßerkontakte 134, 136 liegt ein zweiter Anschluß des Verbrauchers 164 an negativer Be­ triebsspannung.

Bei redundanter Ausführungsform des Verbrauchers liegt der erste Verbraucher 166 mit einem ersten Anschluß an positiver Betriebsspannung und mit einem zweiten Anschluß über einen Transistor des Kanals B an negativer Betriebsspannung. Hingegen liegt der zweite Ver­ braucher 168 mit einem Anschluß an negativer Betriebsspannung und mit einem weiteren Anschluß über einem Transistor des Kanals A an positiver Betriebsspannung.

Zur prinzipiellen Beschreibung der Funktion der Schaltkreise gemäß Fig. 6 und 7 ist ein Strompfad in Fig. 8 dargestellt. Bei der einkanaligen Betriebsweise liegt der Verbraucher 164 mit einem ersten Anschluß 182 über eine Klemme 184 an einem Kollektor 186 des Transi­ stors T0A. Dessen Emitter 188 liegt über die Schließerkontakte 174, 176 an positivem Potential der Betriebsspannung.

Ein zweiter Anschluß 190 des Verbrauchers 164 liegt über eine Klemme 192 an einem Kollektor 194 des NPN-Transistors T0B. Ein Emitter 196 des Transistors T0B liegt über die Schließerkontakte 178, 180 an Bezugspotential der Betriebsspannung.

Wie schon mit Bezug zu Fig. 6 erläutert, wird ein erster Anschluß 198 des Relais 170 über einen Optokoppler 200 von einem Ausgang des Mikrocomputers des Kanals A angesteuert. Ein weiterer Anschluß 202 des Relais 170 liegt über einen Optokoppler 204 an einem Ausgang des Mikrocomputers des Kanals B. Eine Basis 206 des Transistors T0A ist über einen Optokoppler 208 mit einem Ausgang des Mikrocomputers Kanal A verbunden. Zur Überprüfung bzw. Überwachung des Ausgangs 184 bzw. der Funktion des Transistors T0A ist der Kollektor 186 über einen Optokoppler 210 zum Rücklesen mit einem Ausgang des Mikrocomputers Kanal B verbunden.

Gleiches gilt für die Ausgangsebene des Kanals b. Hier wird der Ausgang 192 bzw. der Kollektor 194 über einen Optokoppler 212 mit einem Ausgang des Mikrocomputers Kanal A zum Rücklesen verbunden. Der Transistor T0B wird über einen Optokoppler 214 und einen Ausgang des Mikrocomputers Kanal B angesteuert. Das Relais 172 ist ebenfalls mit einem ersten Anschluß 216 über einen Optokoppler 218 mit einem Plusausgang des Mikro­ computers Kanal B und mit einem zweiten Anschluß 220 und einem Optokoppler 222 mit einem Minusausgang des Mikrocomputers Kanal A verbunden.

Nachdem jeder Kanal A, B nach dem Einschalten einen Selbsttest durchgeführt hat, werden die Relais 170, 172 von den Mikrocomputern Kanal A und Kanal B angesteuert. Die Schlie­ ßer 176-180 schalten die extern angelegte Spannung auf die noch nicht angesteuerten Ausgangstransistoren T0A, T0B durch. Wird eine Freigabe durch beide Mikrocomputer Kanal A, Kanal B erteilt, schalten die Transistoren T0A, T0B ebenfalls durch und der Strompfad für den extern angeschlossenen Verbraucher 164 wird geschlossen.

Im Betrieb werden die Ausgänge 184, 192 getestet, indem der Mikrocomputer Kanal A den zugehörigen Ausgangstransistor T0A kurzzeitig abschaltet. Die Zeit des kurzzeitigen Ab­ schaltens muß kleiner sein als die Reaktionszeit des angeschlossenen Verbrauchers, um eine Reaktion auf die kurzzeitige Stromunterbrechung zu vermeiden. Über den Rücklesepfad 210 erhält der Mikrocomputer Kanal B die Information, ob der Ausgangstransistor T0A tatsächlich seine Funktion erfüllt hat. Sollte er diese Funktion nicht korrekt erfüllt haben, so würde Mikrocomputer Kanal B sein übergeordnetes Sicherheitsrelais 172 zum Abschalten zwingen.

Durch Abschalten des Relais 172 wird das Relais 170 elektrisch verriegelt. Zusätzlich findet ein Datenaustausch über das Schaltverhalten der Ausgangstransistoren T0A, T0B über die zwischen den Mikrocomputern angeordnete Übertragungsleitung 86 bzw. über den "Link" statt. Diese Daten werden somit parallel von zwei Prozessoren verarbeitet. Die Testfunktion wird anschließend von dem Mikrocomputer des Kanals B initialisiert, wobei die Kontroll­ funktion in diesem Fall beim Mikrocomputer des Kanals A liegt.

Claims (8)

1. Sicherheitsgerichtete Ansteuerschaltung für zumindest einen elektrischen Verbraucher (160) wie Schütz oder Relais umfassend einen ersten Kanal A mit einer program­ mierbaren Steuereinheit (64) zur Ansteuerung von zumindest einem ersten elek­ tronischen Schaltelement (T1-T4) und einen zweiten Kanal B mit einer program­ mierbaren Steuereinheit (62) zur Ansteuerung von zumindest einem zweiten elek­ tronischen Schaltelement (T5-T8), wobei der zumindest eine elektrische Verbraucher (160) über das erste und/oder zweite elektronische Schaltelement (T1-T8) mit Betriebsspannung U_B verbindbar ist, dadurch gekennzeichnet, daß die Ansteuerschaltung zumindest ein elektromechanisches Schaltelement (146, 148) aufweist, daß das zumindest eine elektromechanische Schaltelement (146) von der ersten programmierbaren Steuereinheit (64) und/oder von der zweiten program­ mierbaren Steuereinheit (64) in Abhängigkeit von dem Schaltzustand zumindest eines elektronischen Schaltelementes (T1-T8) ansteuerbar ist, und daß zumindest ein Schaltkontakt (130, 132; 134, 136) des zumindest einen elektromechanischen Schalt­ elementes (146, 148) in Reihe jeweils zu dem ersten und/oder zweiten elektronischen Schaltelement (T1-T8) liegt.

2. Sicherheitsgerichtete Ansteuerschaltung nach Anspruch 1, dadurch gekennzeichnet, daß die Ansteuerschaltung zumindest zwei elektromechanische Schaltelemente (146, 148) aufweist, daß ein erstes elektromechanisches Schaltelement (146) von der ersten programmierbaren Steuereinheit (64) und/oder ein zweites elektromechanisches Schaltelement (148) von der zweiten programmierbaren Steuereinheit (64) in Ab­ hängigkeit von dem Schaltzustand zumindest eines elektronischen Schaltelementes (T1-T8) ansteuerbar ist, und daß eine Reihenschaltung aus jeweils einem Schaltkontakt (130, 132; 134, 136) des ersten und zweiten elektromechanischen Schaltelementes (146, 148) in Reihe jeweils zu dem ersten und/oder zweiten elektronischen Schalt­ element (T1-T8) liegt.

3. Sicherheitsgerichtete Ansteuerschaltung nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß die elektromechanischen Schaltelemente (146, 148) als Relais und die Schaltkon­ takte (130-134) als zwangsgeführte Schließerkontakte ausgebildet sind.

4. Sicherheitsgerichtete Ansteuerschaltung nach einem oder mehreren der vorhergehen­ den Ansprüche, dadurch gekennzeichnet, daß die programmierbaren Steuereinheiten (62, 64) jede Zustandsänderung einer angeschlossenen Peripherie wie Bus-System oder weiterer Ein- und/oder Ausgänge erfassen, um eine Zustandsänderung der sicherheitsgerichteten Ansteuerschaltung bewirken.

5. Sicherheitsgerichtete Ansteuerschaltung nach einem oder mehreren der vorhergehen­ den Ansprüche, dadurch gekennzeichnet, daß die Schaltkontakte (130-134) während des Betriebs geschlossen sind.

6. Sicherheitsgerichtete Ansteuerschaltung nach einem oder mehreren der vorhergehen­ den Ansprüche, dadurch gekennzeichnet, daß ein erster Anschluß des ersten/zweiten Relais (146, 148) mit einem Ausgang des ersten/zweiten Mikrocomputers (62, 64) und ein zweiter Anschluß des ersten/zweiten Relais (146, 148) mit einem Eingang des zweiten/ersten Mikrocomputers (64, 62) verbunden ist.

7. Sicherheitsgerichtete Ansteuerschaltung nach einem oder mehreren der vorhergehen­ den Ansprüche, dadurch gekennzeichnet, daß die ersten elektronischen Schaltelemente (T1-T4) als NTN-Transistoren ausge­ bildet sind und daß die zweiten elektronischen Schaltelemente (T5-T8) als PNP-Transistoren ausgebildet sind.

8. Sicherheitsgerichtete Ansteuerschaltung nach einem oder mehreren der vorhergehen­ den Ansprüche, dadurch gekennzeichnet, daß ein Ausgang des ersten und/oder zweiten elektronischen Schaltelementes (T1-T8) mit jeweils einem Eingang des zweiten/ersten Mikrocomputers zur Überwachung verbunden ist.