DE4041550A1 - Sicherheitseinrichtung mit mindestens einem beruehrungslosen geber - Google Patents

Description

Die Erfindung bezieht sich auf eine Sicherheitseinrichtung mit mindestens einem berührungslosen Geber zur Erfassung von mechanischen Bewegungsabläufen einer Vorrichtung.

Bei Maschinen und Anlagen, in den für Leib und Leben der an diesen Maschinen arbeitenden Menschen Gefahren entstehen können, werden besondere Sicherheitsmaßnahmen getroffen. Mechanische Bewegungsabläufe in diesen Maschinen oder Vorrichtungen werden z. B. mit Gebern überwacht, die häufig berührungslos arbeiten. An die auf solchen Gebern beruhenden Sicherheitseinrichtungen werden besondere Anforderungen für dort auftretende Fehler gestellt, die bewirken sollen, daß bei jedem denkbaren (Einzel-) Fehler die Maschine in einen sicheren Zustand (in der Regel durch Abschalten) gebracht wird. Arbeitsabläufe bzw. Schaltvorgänge an den Maschinen und Anlagen werden durch Geber bzw. Sensoren ausgelöst, z. B. von Grenzschaltern oder Näherungsschaltern, die deshalb ebenfalls ein spezifiziertes Ausfallverhalten aufweisen müssen.

Die vorliegende Erfindung betrifft Sicherheitsschalter (z. B. Näherungsschalter), die zur Betätigung keine Kraft oder Berührung erfordern und verschleißärmer sind.

Es ist bekannt, daß durch redundante Auslegung eine Fehlersicherheit erreicht werden kann. Übertragen auf einen elektronischen Sicherheitsschalter bedeutet das, daß man die Ausgangssignale zweier der gleichen Meßgröße ausgesetzten Sensoren miteinander vergleicht, was wieder mit einem sicheren (redundanten) Vergleicher erfolgt. Ebenfalls ist bekannt, daß Fehler durch ständige Testung des Sensors festgestellt werden können, wobei der Tester wiederum vom Ausfall sicher sein oder zyklisch aufgerufen werden muß. Die erste Lösung hat den Nachteil, daß jeder Sensor eine vollständige Auswerteelektronik und entsprechenden Raum benötigt, wobei sich gleichartige Sensoren möglicherweise gegenseitig stören. Außerdem besitzen konventionelle Sensoren keine ausreichende Selektivität gegenüber einem Betätigungselement (z. B. reagieren induktive Näherungssensoren auf die meisten Metalle). Bei der zweiten Lösung wird das Problem der Sicherheit nur auf die Testeinrichtung verschoben, die zudem zum vollen Test des Sensors die Meßgröße erzeugen können muß (z. B. den Abstand eines Gegenstückes beeinflussen).

Der Erfindung liegt die Aufgabe zugrunde, eine Sicherheitseinrichtung mit mindestens einem berührungslosen Geber zur Erfassung von mechanischen Bewegungsabläufen einer Vorrichtung zu entwickeln, die besonders hohen sicherheitstechnischen Anforderungen genügt und sowohl einen Fehler im Geber und den zum Geber verlegten Leitungen als auch in der Sicherheitseinrichtung selbst feststellen kann.

Die Aufgabe wird erfindungsgemäß dadurch gelöst, daß von einer Sicherheitsschaltungsanordnung einem Eingang eines Gebers, der ein Übertragungsverhalten zwischen mindestens dem einen Eingang und mindestens einem Ausgang für Signale aufweist, mindestens ein auf Ausfall überwachtes Signal zugeführt wird, daß das Signal am Ausgang des Gebers von mindestens zwei Sicherheitsschaltungsteilen mit dem Signal am Eingang und einem dem Signal am Eingang entsprechenden Signal geprüft und mit einem Prüfergebnis des jeweils anderen Sicherheitsschaltungsteils verglichen wird und daß bei Nichtübereinstimmung eine Fehlermeldung erzeugt wird. Führt die Sicherheitsschaltungsanordnung dem Geber nur ein Signal zu, dann wird dessen Funktion vorzugsweise von beiden Sicherheitsschaltungsteilen überprüft.

Die Erfindung beruht auf dem Prinzip, daß alle Komponenten der Sicherheitsschaltung, deren Ausfallsicherheit gefordert wird, redundant aufgebaut werden, also Komponenten zur Prüfung des Vorhandenseins einer Testfunktion in Form des Signals am Gebereingang zur Prüfung der Übertragungsfunktion des Gebers und zur Zusammenfassung der Prüfergebnisse. Gegebenenfalls kommt die Zusammenfassung der Schaltsignale mehrerer Geber (welche andere sicherheitsrelevante Zustände überprüfen können) hinzu, die ebenfalls sicher (redundant) erfolgt. Die insgesamt redundant ausgeführte Sicherheitsschaltung wird dann vorzugsweise in zwei funktional identischen integrierten Schaltungen (IC′s) zusammengefaßt, die je einen von jedem doppelt benötigten Funktionsblock enthalten. Die beiden Sicherheitsschaltungsteile überprüfen den selben Geber bzw. Aufnehmer.

Werden von beiden Sicherheitsschaltungen Signale in den Geber eingespeist, so werden sie vorzugsweise einander additiv überlagert, wobei das Signal am Ausgang des Gebers beiden Sicherheitsschaltungsteilen zugeführt wird. Insbesondere sind in den beiden Sicherheitsschaltungsteilen Filter für das vom Geber kommende Signal vorgesehen, die nur auf das richtige eingespeiste Signal reagieren.

Bei einer zweckmäßigen Ausführungsform werden dem Geber zeitlich veränderliche Signale von Testfunktionsgeneratoren zugeführt, wobei der Geber bei einwandfreier Funktion die Phasenlage der eingespeisten Signale verändert. Insbesondere dreht der Geber die Phasenlage periodischer Signale in Abhängigkeit von der Meßgröße. Da die in den Geber eingespeisten Signale mit dem Ausgangssignal verglichen werden, können Kurzschlüsse in und am Geber daran erkannt werden, daß zwischen Eingangs- und Ausgangssignalen des Gebers keine Phasenverschiebung vorhanden ist.

Bei einer günstigen Ausführungsform enthält der Geber eine erste Spule, die mit z. B. einem Widerstand in Reihe an den vom Signal beaufschlagten Eingang gelegt ist, wobei eine weitere, mit einem Kondensator verbundene Spule des Gebers relativ zur ersten Spule beweglich angeordnet ist. Nähert man die weitere Spule der ersten, so wirken die beiden Spulen bei Unterschreitung eines Mindestabstandes als Übertrager, wobei die an die Sekundärwicklung geschaltete Kapazität einen kapazitiven Eingangswiderstand des Gebers bewirkt. Hierdurch wird eine Phasenverschiebung zwischen Strom und Spannung erzeugt, die von der Sicherheitsschaltung überwacht wird. Wenn der Geber seine bestimmungsgemäße Überwachungsfunktion ausführt, ist eine ausreichend hohe transformatorische Kopplung zwischen den beiden Spulen vorhanden, z. B. durch einen bestimmten Mindestabstand zwischen den Spulen. Wird die Kopplung durch einen die Sicherheit einer Maschine oder des Bedienungspersonals gefährdenden Vorgang unterbrochen oder hebt eine Geberstörung die Kopplung auf bzw. entfällt die richtige Phasenverschiebung zwischen Ein- und Ausgangssignal, dann wird dies von der Sicherheitsschaltung erkannt.

Der ausfallsichere Geber kann in seiner Funktion verbessert und auch gegen eventuelle fehlerhafte Oszillationen von IC-Anschlüssen unempfindlich gemacht werden, indem er nicht mit einer festen Frequenz, sondern z. B. mit einer variablen (gesweepten) Frequenz arbeitet. Dadurch durchläuft der Frequenzbereich bei Anwesenheit des Gegenstückes Bereiche mit unterschiedlichen Phasenverschiebungen, wodurch das Sensorverfahren auch von möglichen Schwankungen des Kapazitätswertes des an das Gegenstück gekoppelten Kondensators unabhängig wird und auch erhöhte Unempfindlichkeit gegenüber Überlistungsversuchen bekommt. Den Frequenzbereich wählt man so, daß zwischen tiefster und höchster Frequenz die Serien- und Parallelresonanz des Systems aus den beiden Spulen und dem Kondensator liegt. Dadurch erhält man eine Phasenbeziehung zwischen Strom und Spannung, die von nacheilend (induktiv) über 0 Grad in voreilend (kapazitiv) über 0 Grad wieder in nacheilend sich ändert. Dabei sind zwar die absoluten Frequenzen der Nulldurchgänge auch von dem Wert des Kondensators abhängig, nicht jedoch das Frequenzverhältnis der beiden Nulldurchgänge, die nur von der magnetischen Kopplung abhängen und deshalb ein sehr genaues Maß für den Abstand der beiden Spulenkörper darstellen.

Bei einer anderen zweckmäßigen Ausführungsform ist der Geber als Lichtschranke ausgebildet, die bei freier Lichtübertragungsstrecke an ihrem Ausgang ein in Gegenphase zum Eingangssignal liegendes Ausgangssignal erzeugt. Dies hat den Vorteil, daß bei jeder Unterbrechung des Lichtweges wie bei auftretenden Fehlern kein Signal übertragen wird.

Vorteilhaft ist es auch, einen Geber mit zwei relativ zueinander mechanisch bewegbaren, transformatorisch koppelbaren Spulen an seiner sekundären Spule mit einer Lichtschranke zu verbinden, wobei die Spulen und/oder die Lichtschranke zur Erzeugung der Phasenverschiebung von Eingangs- und Ausgangssignal geeignet verbunden sind. Hier wird Leistung von einer Spule in eine in dem Gegenstück befindliche entfernte zweite übertragen, die dort eine Leuchtdiode im Takt der Ansteuerung zum Leuchten bringt, was wiederum von einem Fotoempfänger im Geber erfaßt und ausgegeben wird. Auch hierbei ist zu erreichen, daß nur ein geeignetes Gegenstück die Phasenverschiebung hervorruft.

Eine bevorzugt weitgehend digitale Signalverarbeitung erlaubt die Vereinfachung der Fehlerbetrachtung, wie sie bei analoger Bearbeitung auch in bezug auf Bauteiledriften erforderlich wäre. So wird vorgesehen, daß Phasenverschiebungen anhand der Nulldurchgänge bestimmt werden. Werden die zu Testzwecken in den Aufnehmer eingespeisten Signale digital demoduliert und jeweils über die Länge der Übertragungsdauer gemittelt, so kann geprüft werden, ob das Signal mit dem Träger in Phase oder Gegenphase ist oder nicht korreliert ist (z. B. bei Unterbrechung). Wegen der Phasenmodulation ist auch der digitale Empfänger in die Prüfung einbezogen und so sicherheitsmäßig überwacht. In einer weiteren Stufe kann über die Anzahl empfangener Zeichen die Korrelation geprüft werden, um so kurzzeitige Störungen auszufiltern und ein statisches Ausgangssignal der Prüfschaltung zu erhalten.

Da die Auswerteschaltung des Gebers in zwei Schaltkreisen bereits redundant realisiert ist, läßt sich darin gleichzeitig ein sicherer Vergleicher redundant aufbauen.

Zusätzlich ist es günstig, für den Vergleicher jeder integrierten Schaltung und für die Nachfolgebeschaltung (z. B. Sicherheitsrelais) eine Anlauftestung in der jeweils anderen Schaltung vorzusehen. Damit läßt sich bei jedem Anlauf ein Fehler simulieren, was im Betrieb wegen der dadurch erzwungenen Außerbetriebsetzung der Maschine nicht möglich wäre.

Ebenfalls ist es zweckmäßig, die Verknüpfung der Schaltzustände mehrerer Sensoren sicher und redundant in den selben redundanten Schaltungen zu realisieren, gegebenenfalls durch vielfache Implementierung der Auswerteelektronik ergänzt.

Das Ausgangssignal jeder integrierten Schaltung (IC) wird über antivalente Ausgänge ausgegeben (gegeneinander logisch invertiert). Damit ist es zum einen möglich, Fehler der Ausgangsschaltung zu erkennen, zum anderen können aus den Ausgängen beider integrierter Schaltungen (ICs) antivalente Ausgänge der gesamten Schaltung gebildet werden, die wiederum eine sichere Signalisierung erlauben.

Durch gegenseitigen Austausch der Signale zwischen den integrierten Schaltungen ist es möglich, auch Vollausfälle einer integrierten Schaltung zu erkennen. Bei Verwendung zusätzlicher integrierter Schaltungen und einer geeigneten Weitergabe der Signalauswertung (z. B. von IC1 an IC1 und 2, von IC2 an IC2 und 3, von IC3 an IC3 und 1) ist auch eine Fehlertoleranz möglich, also die Erkennung der defekten integrierten Schaltung bei Erhalt der vollen Funktion.

Weitere Einzelheiten, Vorteile und Merkmale der Erfindung ergeben sich nicht nur aus den Ansprüchen, den diesen zu entnehmenden Merkmalen -für sich und/oder in Kombination-, sondern auch aus der nachfolgenden Beschreibung von in der Zeichnung dargestellten Ausführungsbeispielen.

Es zeigt

Fig. 1 ein Blockschaltbild zweier an eine Sicherheitsschaltung angeschlossener Sensoren,

Fig. 2 ein Blockschaltbild einer Sicherheitsschaltung mit einem berührungslosen Geber,

Fig. 3 eine perspektivische Ansicht eines Gebers mit Phasenverschiebung des Ein- und Ausgangssignals,

Fig. 4 eine perspektivische Ansicht einer anderen Ausführungsform eines Gebers,

Fig. 5 ein Schaltbild einer Sicherheitsschaltung aus zwei Sicherheitsschaltungsteilen und einem an die Sicherheitsschaltung angeschlossenen Geber und

Fig. 6 ein Schaltbild einer an mehrere Geber angeschlossenen Sicherheitsschaltung mit zwei benutzerprogrammierbaren, integrierten Schaltungen.

Um einen sicherheitsrelevanten Bewegungsablauf redundant zu überwachen, werden zwei Geber (1), (2) bzw. Sensoren für den gleichen Vorgang eingesetzt. Die beiden Geber (1), (2) sind je an zwei Überwachungsschaltungen (3), (4) angeschlossen, in denen die Ausgangssignale der Geber (1), (2) jeweils für sich miteinander verglichen werden. Auf diese Weise können sowohl Fehler der Geber als auch interne Fehler der Überwachungsschaltung (3), (4) festgestellt werden. Doppelfehler, d. h. gleichzeitige Fehler in den Gebern (1), (2) können nicht erkannt werden.

Gegenüber der in Fig. 1 dargestellten Anordnung wird durch die Erfindung eine Anordnung geschaffen, die besonders hohen sicherheitstechnischen Anforderungen genügt. Eine solche Anordnung ist z. B. in Fig. 2 dargestellt. Es wird mindestens ein Geber (5), mit dem mechanische Bewegungsabläufe in einer Vorrichtung erfaßt werden, mit einer Sicherheitsschaltung (6) überwacht. Die Sicherheitsschaltung (6) enthält die für die Fehlererkennung und -überwachung bestimmten Teile doppelt. Dabei müssen die doppelten Sicherheitsschaltungsteile nicht notwendigerweise vollkommen identisch sein. Sind sie nicht identisch, hat dies den Vorteil, daß keine zwei gleichartigen Fehler zugleich in ihnen auftreten können. Die Sicherheitsschaltung (6) enthält zwei unabhängig voneinander arbeitende Sicherheitsschaltungsteile mit Testfunktionsgeneratoren (7), (8), die an ihren Ausgängen Prüfsignale erzeugen. Mindestens ein Prüfsignal eines Testfunktionsgenerators wird in den Geber (5) eingespeist. Es wird ein Geber (5) verwendet, der einen Eingang (10A) und einen Ausgang (10B) und ein in verschiedenen Sensorzuständen unterschiedliches Übertragungsverhalten für das ihn durchlaufende Signal hat. Die in den Geber (5) eingespeisten Signale und das Übertragungsverhalten des Gebers (5) werden so aufeinander abgestimmt, daß ein Fehler im Geber (5) eine feststellbare Änderung des Signalverlaufes bzw. des Signals bewirkt, wobei das Signal nicht notwendigerweise unterbrochen sein muß. Dem Geber bzw. Sensor (5) ist eine Auswerteanordnung (11) nachgeschaltet, welche die notwendigen Eingriffe in den Steuerungsablauf der Vorrichtung vornimmt und diese bei einem bestimmten Wert des Signals am Ausgang (10B) des Gebers (5) z. B. stillsetzt. Ein Signal der Auswerteanordnung (11) wird zwei Anordnungen (12), (13) in der Sicherheitsschaltungsanordnung (6) zur Prüfung der Übertragungsfunktion zugeführt, denen auch zugleich jeweils die entsprechenden Ausgangssignale der Testfunktionsgeneratoren (7), (8) zugeführt werden. Das Ausgangssignal der Auswerteanordnung (11) wird in jeder Prüfungsanordnung (12), (13) mit den jeweils verwendeten Ausgangssignalen der Testfunktionsgeneratoren (7), (8) verglichen. Wird eine Abweichung der Signale bei diesem Vergleich festgestellt, dann wird eine Fehlermeldung erzeugt. Eine Abweichung muß nicht nur durch einen Fehler im Geber (5) hervorgerufen worden sein. Ein Fehler kann auch in der Sicherheitsschaltung (6) selbst auftreten. Die Sicherheitsschaltung (6) wird hierdurch auf innere Fehler überwacht, d. h. sie überwacht sich selbst. Das Vergleichsergebnis der beiden Prüfungsanordnungen (12), (13) wird zwei Verknüpfungsschaltungen (14), (15) der Sicherheitsschaltungsanordnung (6) zugeführt, welche die Vergleichsergebnisse überprüfen und so Fehler in den Prüfungsanordnungen erkennen können. Außerdem werten die Verknüpfungsschaltungen (14), (15) die Informationen aus zwei Signalmonitoren (9A), (9B) der Sicherheitsschaltungsanordnung aus. Diese Signalmonitoren überprüfen jeweils durch Vergleich der von den Testsignalgeneratoren (7), (8) gelieferten Signale, ob ein Testsignal womöglich ausgefallen ist. Dann könnte nämlich in dem Sensorsignalfluß ein Fehler nicht mehr erkannt weiden. Deshalb werden solche Zustände ebenfalls überwacht und bei Signalausfall über die Signalmonitore (9A), (9B) ein Fehlerzustand an die Verknüpfungsschaltungen (14), (15) gemeldet.

Die Ausgangssignale der Verknüpfungsschaltungen (14), (15) werden in geeigneter Weise, beispielsweise mit Sicherheitsrelais (hier nicht gezeigt) entsprechend dem Stand der Technik der weiterverarbeitenden Maschinensteuerung zur Verfügung gestellt.

Ein für die Überwachung besonders geeigneter Geber (16) ist in Fig. 3 dargestellt. Der Geber (16) enthält einen auf einem nicht näher bezeichneten Sensorkopf angeordneten Halbschalenkern (17) aus ferromagnetischem Material. Der Halbschalenkern (17) trägt eine Wicklung (18), deren Enden in Reihe mit z. B. einem Widerstand (Shunt) an eine Wechselspannungsquelle gelegt werden. Diese Wechselspannungsquelle sind z. B. die Testfunktionsgeneratoren (7), (8). Auf einem Gegenstück, das ebenfalls nicht näher bezeichnet ist, befindet sich ein zweiter Halbschalenkern (19) mit einer Spule (20), die an eine Kapazität (21) angeschlossen ist. In Serie mit der Spule (18) ist z. B. ein Shunt zur Erfassung des Stroms angeordnet, der den Ausgang des Gebers (16) bildet. Sensorkopf und Gegenstück sind relativ zueinander beweglich und an Maschinenteilen befestigt, deren Abstand oder Zwischenraum überwacht wird. Bei einem gewissen Abstand ist die transformatorische Kopplung zwischen den Spulen (18), (20) so groß, daß der Kondensator (21) einen stark kapazitiven Eingangswiderstand des Gebers (16) bewirkt. Dieser Eingangswiderstand bleibt auch bei kleineren Abständen erhalten. Der mit dem Shunt erfaßbare Strom des Gebers (16) hat dann eine kapazitive Phasenverschiebung gegenüber der Eingangswechselspannung. Überschreitet der Abstand den oben erwähnten Abstand oder werden beide Spulen durch ein in den Abstand eindringendes Teil abgeschirmt, dann geht die Kopplung zwischen den Spulen (18), (20) so stark zurück bzw. hört nahezu auf, daß ein stark induktiver Eingangswiderstand am Geber (16) vorhanden ist. In Abhängigkeit vom Abstand oder der Abschirmung sowie der Meßfrequenz herrscht eine als Kennzeichen für den Abstand bzw. die Abschirmung meßbare Phasenverschiebung zwischen Strom und Spannung. Eine Bedingung, bei der ein Betrieb einer Vorrichtung erlaubt sein soll, ist z. B. durch einen solchen Abstand gekennzeichnet, daß ein stark kapazitiver Eingangswiderstand mit etwa 90 Grad Phasenverschiebung vorliegt. Wird diese Phasenverschiebung induktiv, dann wird dies von der Sicherheitsschaltung erkannt und gemeldet. Dies gilt auch für den Fall der Phasenverschiebung null Grad, die von einem Kurzschluß, also einem Fehler im Geber (16) hervorgerufen sein kann. Dabei ist es für die Erfindung unerheblich, ob die Erkennung des kapazitiven oder induktiven Verhaltens bei einer festen Frequenz oder durch Messung in einem Frequenzbereich erfolgt, wobei sich die Änderung der Impedanz als Amplituden- oder Phasenfrequenzgang bemerkbar macht.

Ein weiterer Geber (22) enthält (siehe Fig. 4) ebenso wie der Geber (16) zwei Halbschalenkerne (17), (19) eines Topfkerns mit den jeweiligen Wicklungen (18), (20). Die Halbschalenkerne (17), (19) sind wiederum je auf einem Sensorkopf und einem Gegenstück angeordnet. Die Spule (20) ist mit einer Leuchtdiode (23) auf dem Gegenstück verbunden. Der Leuchtdiode (23) steht ein Fotodetektor (24) auf dem Sensorkopf gegenüber. Die Anschlüsse der Spule (18) sind die Eingänge des Gebers (22), dessen Ausgänge die Anschlüsse des Fotodetektions (24) sind. Zwischen dem Signal an den Anschlüssen der Spule (18) und dem Signal am Ausgang des Fotodetektors (24) soll bei einem Grenzabstand bzw. einem geringen Abstand Gegenphasigkeit vorhanden sein, die durch entsprechende Beschaltung erzeugt wird. Beispielsweise ist ein Ausgangszweig vorgesehen, der Strom führt, wenn der Fotodetektor beleuchtet wird. Eine entsprechende Lichtschranke kann auch für sich, d. h. ohne induktiv arbeitenden Sensorbestandteil verwendet werden.

Die Sicherheitsschaltung wird inbesondere in integrierter Technik ausgeführt. Die Sicherheitsschaltungsteile sind dabei vorzugsweise als zwei separate, integrierte Schaltungen (IC) ausgebildet.

Die Fig. 5 zeigt als bevorzugte Ausführungsform zwei benutzerprogrammierte Schaltungen (ASICs) jeweils als Sicherheitsschaltungsteile (25), (26) einer Sicherheitsschaltungsanordnung (6), die je einen Oszillator (27), (28) enthalten. In den Sicherheitsschaltungsteilen (25), (26) befinden sich eine Anzahl von unten noch näher beschriebenen Funktionsbausteinen, die jeweils Signale verarbeiten, die von den Oszillatoren (27) oder (28) bestimmt werden. Als Geber enthält die in Fig. 5 dargestellte Anordnung einen Sensor (29) nach Fig. 3 oder 4, der eine Phasen­ verschiebung zwischen Eingangs- und Ausgangssignal am Eingang (10A) und am Ausgang (10B) erzeugt. Jedes Sicherheitsschaltungsteil (25), (26) enthält als Testfunktionsgenerator einen vom Oszillator (27), (28) gespeisten Signalgenerator (31), (32). Von den Signalgeneratoren (31), (32) speist mindestens einer den Sensor (29). Das Ausgangssignal des Sensors (29) gelangt zu zwei Phasendetektoren (35), (36) in den Sicherheitsschaltungsteilen (25), (26). Die Ausgangssignale der Phasendetektoren (35), (36) gelangen jeweils zu einer Abstands-Logikschaltung (37), (38), welche aus der Phase den Abstand des Gegenstücks bestimmt und so entscheidet, welchen Wert das Ausgangssignal aufweisen soll.

Die Verknüpfungsschaltungen (51), (53) kombinieren die Resultate der Abstands- Logikbausteine (37), (38) mit den Signalen von Monitoren (52), (54), welche das Vorhandensein der Sensorprüfsignale verifizieren. So wird gewährleistet, daß Fehlfunktionen einer Auswertebaugruppe (25), (26) ebenfalls zum Ausschalten der Sicherheitsschaltung führt.

In den Sicherheitsschaltungsteilen (25), (26) können Anlauftestschaltungen (hier nicht gezeigt) vorgesehen werden. An den Verknüpfungsschaltungen (51), (53) stehen je zwei zueinander antivalente Ausgangssignale zur Verfügung. An die Verknüpfungsschaltungen sind Synchronisierschaltungen (55), (56) angeschlossen.

Um zu vermeiden, daß etwaige unterschiedliche Schaltzeitpunkte der Abstandslogiken (37), (38) zu unterschiedlichen Ausgangssignalen der Schaltkreise (25), (26) führen, die als Fehlfunktion bewertet werden könnten, sorgen die Synchronisierschaltungen (55), (56) dafür, daß z. B. eine Ausgangssignaländerung der Abstands-Logik (37) erst dann zu einer Ausgangssignaländerung der Synchronisierschaltung (55) führt, wenn auch die Abstands-Logikschaltung (38) ein geändertes Ausgangssignal aufweist.

Den Sicherheitsschaltungskreisen (25), (26) werden dem Stand der Technik entsprechend gegenseitig verriegelte Sicherheitsrelais (39), (40) nachgeschaltet, welche die Ausgangssignale der Sicherheitsschaltkreise (25), (26) auf Gleichheit überprüfen und in geeigneter Weise die mit der Meßgröße oder einer etwaigen Fehlfunktion des Sensors verbundene Gefährdung weitermelden.

Mit der in Fig. 5 dargestellten Schaltung werden Phasenverschiebungen durch die Nulldurchgänge erfaßt. Damit kann geprüft werden, ob das vom Sensor (29) ausgegebene Signal mit dem Testsignal in Phase oder Gegenphase ist oder nicht korreliert ist (z. B. bei Unterbrechung). Aufgrund der Phasenmessung und der Überprüfung bei Frequenzen mit unterschiedlicher Phasenverschiebung ist auch der digitale Empfänger in die Prüfung einbezogen.

Mit einer zusätzlich möglichen Anlauftestschaltung läßt sich vor jedem Anlauf ein Fehler simulieren, was im Betrieb wegen der dadurch erzwungenen Außerbetriebsetzung der Maschine nicht möglich ist. Die Anlauftestschaltung erzeugt z. B. bestimmte Signale, die auf die Verknüpfungsschaltungen (51), (53) einwirken.

Bei der in Fig. 6 dargestellten Anordnung werden die Ausgangssignale mehrerer Geber (57), (58), (59), (60) in zwei voneinander getrennte integrierte Schaltungen (61), (62), die z. B. benutzerprogrammierte Schaltungen sind, geprüft. Bei den Gebern (57), (58), (59), (60) kann es sich dabei um Gabellichtschranken, um induktive Koppler zur Transformation einer kapazitiven Reaktanz und um Übertrager-Lichtschranken zur Erzeugung eines gegenphasigen Ausgangssignals handeln. Schaltbilder dieser Arten von Gebern sind links in Fig. 6 dargestellt. Jede Schaltung (61), (62), die zur sicheren Funktion wie in Fig. 5 gezeigt aufgebaut und verschaltet ist, gibt zwei zueinander antivalente Signale aus, die z. B. Sicherheitsrelais (63), (64) speisen (hier ist deren Beschaltung nur symbolisch gezeigt. In der Praxis wird man eine der bekannten Schaltungen mit gegenseitiger Verriegelung benutzen).

Bei der Verwendung zusätzlicher integrierter Schaltungen und einer geeigneten Zusammenschaltung ist auch eine Fehlertoleranz möglich, also die Erkennung defekter Schaltungen bei Erhalt der vollen Funktion.

Claims (13)

1. Sicherheitseinrichtung mit mindestens einem berührungslosen Geber zur Erfassung von mechanischen Bewegungsabläufen einer Vorrichtung, dadurch gekennzeichnet, daß von einer Sicherheitsschaltungsanordnung (6) einem Eingang (10A) eines Gebers (29), der ein Übertragungsverhalten zwischen mindestens dem einen Eingang (10A) und mindestens einem Ausgang (10B) für Signale aufweist, mindestens ein auf Ausfall überwachtes Signal zugeführt wird, daß das Signal am Ausgang des Gebers (5, 29) von mindestens zwei Sicherheitsschaltungsteilen (25, 26) je mit dem Signal am Eingang und einem dem Signal am Eingang entsprechenden Signal geprüft und mit einem Prüfergebnis des jeweils anderen Sicherheitsschaltungsteils verglichen wird und daß bei Nichtübereinstimmung eine Fehlermeldung erzeugt wird.

2. Sicherheitseinrichtung nach Anspruch 1, dadurch gekennzeichnet, daß zwei Testfunktionsgeneratoren (7, 8) vorgesehen sind, von denen einer den Geber (5) speist, der ausgangsseitig mit einer Auswertanordnung (11) verbunden ist, an die zwei Prüfanordnungen (12, 13) für die Übertragungsfunktion angeschlossen sind, die weiterhin an den das Signal für den Geber (5) erzeugenden Testfunktionsgenerator (7) angeschlossen sind, daß die Testfunktionsgeneratoren (7, 8) je mit einen, Signalmonitor (9A, 9B) verbunden sind und daß die Ausgänge der Signalmonitoren (9A, 9B) mit Eingängen voll Verknüpfungsanordnungen (14, 15) verbunden sind, die weitere, je an die Prüfanordnungen angeschlossene Eingänge aufweisen und an deren Ausgängen im Fehlerfalle entsprechende Signale erzeugt werden.

3. Sicherheitseinrichtung nach Anspruch 1, dadurch gekennzeichnet, daß die Sicherheitsschaltungsanordnung zwei Testfunktionsgeneratoren aufweist, die jeweils Signale erzeugen, die einander additiv überlagert in den Geber eingespeist werden, dessen Ausgangssignal beiden Sicherheitsschaltungsteilen zugeführt wird.

4. Sicherheitseinrichtung nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß dem Geber (5, 16, 22, 29) zeitlich veränderliche Signale von mindestens einem Testfunktionsgenerator (31) zugeführt werden und daß der Geber (5, 16, 22, 29) bei einwandfreier Funktion die Phasenlage der eingespeisten Signale verändert.

5. Sicherheitseinrichtung nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß der Geber (16) eine erste Spule (18) enthält, die mit dem vom Signal beaufschlagten Eingang verbunden ist und daß eine weitere, mit einem Kondensator (21) verbundene Spule (20) des Gebers (16) relativ zur ersten Spule (18) beweglich angeordnet ist.

6. Sicherheitseinrichtung nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß der Geber (29) als Lichtschranke ausgebildet ist, die bei freier Lichtübertragungsstrecke an ihrem Ausgang ein in Gegenphase zum Eingangssignal liegendes Ausgangssignal erzeugt.

7. Sicherheitseinrichtung nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß ein Geber (22) zwei relativ zueinander bewegbare, transformatorisch koppelbare Spulen (18, 20) aufweist und an seiner sekundären Spule (20) mit einer Lichtschranke verbunden ist und daß die Spulen (18, 20) und/oder die Lichtschranke mit Mitteln zur Erzeugung der Phasenverschiebung von Eingangs­ und Ausgangssignal verbunden sind.

8. Sicherheitseinrichtung nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die von der Sicherheitsschaltungsanordnung (6) in den Geber (29) eingespeisten Signale phasenmoduliert sind und daß die Phasenverschiebung zwischen dem Eingangs- und den Ausgangssignalen des Gebers (29) durch Vergleich der Nulldurchgänge der Signale festgestellt wird.

9. Sicherheitseinrichtung nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Ausgangssignale des Gebers (29) digital demoduliert werden und daß ein Mittelwert über die Länge eines übertragenen Zeichens gebildet wird.

10. Sicherheitseinrichtung nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die von der Sicherheitsschaltungsanordnung (6) in den Geber (29) eingespeisten Signale in ihrer Frequenz zwischen einem oberen und einem unteren Grenzwert verändert werden, daß die Resonanzfrequenzen der den Geber (29) enthaltenden Anordnung innerhalb des von den Grenzwerten eingeschlossenen Bereichs liegen und daß die durch den Geber (29) bei der Frequenzänderung verursachte Phasenverschiebung von Strom und Spannung ausgewertet wird.

11. Sicherheitseinrichtung nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Sicherheitsschaltungsanordnung (6) zwei Sicherheitsschaltungsteile (25, 26) aufweist, die je einen von einem Oszillator (27, 28) gespeisten Signalgenerator (31, 32) enthalten, daß ein Signalgenerator (31) den Geber (29) speist, daß jedem Signalgenerator (31, 32) ein vom Ausgangssignal des jeweils anderen Signalgenerators (32, 31) beaufschlagter Monitor (52, 54) nachgeschaltet ist, daß in jedem Sicherheitsschaltungsteil (25, 26) ein vom Ein- und Ausgangssignal des Gebers (29) beaufschlagter Phasendetektor vorgesehen ist, dem eine Logikschaltung (37, 38) zur Bestimmung des Abstands zwischen den relativ zueinander beweglichen Teilen des Gebers (29) nachgeschaltet ist, an die eine Verknüpfungsschaltung (51, 53) angeschlossen ist, die weiterhin mit dem Monitor (53, 54) verbunden ist, daß je Sicherheitsschaltungsteil (25, 26) eine von beiden Verknüpfungsschaltungen (51, 53) gespeiste Synchronisierungsschaltung (55, 56) vorgesehen ist, der ein Sicherheitsrelais (39, 40) nachgeschaltet ist, und daß der Ausgang jedes Sicherheitsrelais (39, 40) mit dem Eingang des anderen Sicherheitsrelais (40, 39) verbunden ist.

12. Sicherheitseinrichtung nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Sicherheitsschaltungsteile (25, 26) mit den Oszillatoren (27, 28), den Signalgeneratoren (31, 32), den Monitoren (52, 54), den Phasendetektoren (35, 36), den Logikschaltungen (37, 38), den Verknüpfungsschaltungen (51, 53) und den Synchronisierschaltungen (55, 56) je in einer kundenspezifischen Schaltung (ASIC) angeordnet sind.

13. Sicherheitseinrichtung nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß jedes Sicherheitsschaltungsteil (25, 26) eine Anlauftestschaltung aufweist.