DE4041550C3 - Sicherheitseinrichtung mit mindestens einem berührungslosen Geber - Google Patents

Description

Die Erfindung bezieht sich auf eine Sicherheitseinrich­ tung mit mindestens einem berührungslosen Geber zur Er­ fassung von mechanischen Bewegungsabläufen einer Vor­ richtung.

Bei Maschinen und Anlagen, in den für Leib und Leben der an diesen Maschinen arbeitenden Menschen Gefahren entstehen können, werden besondere Sicherheitsmaßnah­ men getroffen. Mechanische Bewegungsabläufe in diesen Maschinen oder Vorrichtungen werden z. B. mit Gebern überwacht, die häufig berührungslos arbeiten. An die auf solchen Gebern beruhenden Sicherheitseinrichtungen wer­ den besondere Anforderungen für dort auftretende Fehler gestellt, die bewirken sollen, daß bei jedem denkbaren (Ein­ zel-) Fehler die Maschine in einen sicheren Zustand (in der Regel durch Abschalten) gebracht wird. Arbeitsabläufe bzw. Schaltvorgänge an den Maschinen und Anlagen werden durch Geber bzw. Sensoren ausgelöst, z. B. von Grenzschal­ tern oder Näherungsschaltern, die deshalb ebenfalls ein spe­ zifiziertes Ausfallverhalten aufweisen müssen.

Die vorliegende Erfindung betrifft Sicherheitsschalter (z. B. Näherungsschalter), die zur Betätigung keine Kraft oder Berührung erfordern und verschleißärmer sind.

Es ist bekannt, daß durch redundante Auslegung eine Fehlersicherheit erreicht werden kann. Übertragen auf einen elektronischen Sicherheitsschalter bedeutet das, daß man die Ausgangssignale zweier der gleichen Meßgröße ausge­ setzten Sensoren miteinander vergleicht, was wieder mit ei­ nem sicheren (redundanten) Vergleicher erfolgt.

Ein solcher elektronischer Sicherheitsschalter ist in Form eines Sicherheits-Näherungsschalters aus DE 39 14 387 A1 bekannt. Der Sicherheits-Näherungsschalter weist zwei Os­ zillatorspulen auf, die je an eine einen Oszillator enthaltende Schalterelektronik angeschlossen sind, welche über ge­ trennte Kanäle mit einer Auswerteeinheit zu verbinden sind. Die Oszillatoren haben unterschiedliche Frequenzen und die beiden Oszillatorspulen sind auf einem gemeinsamen Kern angeordnet.

Ebenfalls ist es bekannt, daß Fehler durch ständige Te­ stung des Sensors festgestellt werden können, wobei der Te­ ster wiederum vom Ausfall sicher sein oder zyklisch aufge­ rufen werden muß.

Beispielsweise ist aus DE 38 15 698 A1 ein selbstprüfen­ der, fehlersicherer Näherungsschalter bekannt, bei dem ein­ gangsseitig Prüfimpulse angekoppelt werden, um die ein­ wandfreie Funktion des Schalters zu überwachen. Dabei wird bei einem kapazitiven Näherungsschalter das Einkop­ peln der mit Hilfe einer Prüfimpulsquelle erzeugten Prüfim­ pulse an dem mit der Sensorelektrode verbundenen Steuer­ eingang des Oszillatorverstärkers vorgenommen.

Die erste Lösung hat den Nachteil, daß jeder Sensor eine vollständige Auswerteelektronik und entsprechenden Raum benötigt, wobei sich gleichartige Sensoren möglicherweise gegenseitig stören. Außerdem besitzen konventionelle Sen­ soren keine ausreichende Selektivität gegenüber einem Be­ tätigungselement (z. B. reagieren induktive Näherungssen­ soren auf die meisten Metalle). Bei der zweiten Lösung wird das Problem der Sicherheit nur auf die Testeinrichtung ver­ schoben, die zudem zum vollen Test des Sensors die Meß­ größe erzeugen können muß (z. B. den Abstand eines Ge­ genstückes beeinflussen).

Der Erfindung liegt die Aufgabe zugrunde, eine Sicher­ heitseinrichtung mit mindestens einem berührungslosen Ge­ ber zur Erfassung von mechanischen Bewegungsabläufen einer Vorrichtung zu entwickeln, die besonders hohen si­ cherheitstechnischen Anforderungen genügt und sowohl ei­ nen Fehler im Geber und den zum Geber verlegten Leitun­ gen als auch in der Sicherheitseinrichtung selbst feststellen kann.

Die Aufgabe wird erfindungsgemäß durch die Merkmale des Anspruchs 1 gelöst.

Die Erfindung beruht auf dem Prinzip, daß alle Kompo­ nenten der Sicherheitsschaltung, deren Ausfallsicherheit ge­ fordert wird, redundant aufgebaut werden, also Komponen­ ten zur Prüfung des Vorhandenseins einer Testfunktion in Form des Signals am Gebereingang zur Prüfung der Über­ tragungsfunktion des Gebers und zur Zusammenfassung der Prüfergebnisse. Gegebenenfalls kommt die Zusammenfas­ sung der Schaltsignale mehrerer Geber (welche andere si­ cherheitsrelevante Zustände überprüfen können) hinzu, die ebenfalls sicher (redundant) erfolgt. Die insgesamt redun­ dant ausgeführte Sicherheitsschaltung wird dann vorzugs­ weise in zwei funktional identischen integrierten Schaltun­ gen (IC's) zusammengefaßt, die je einen von jedem doppelt benötigten Funktionsblock enthalten. Die beiden Sicher­ heitsschaltungsteile überprüfen den selben Geber bzw. Auf­ nehmer.

Werden von beiden Sicherheitsschaltungen Signale in den Geber eingespeist, so werden sie vorzugsweise einander ad­ ditiv überlagert, wobei das Signal am Ausgang des Gebers beiden Sicherheitsschaltungsteilen zugeführt wird. Insbe­ sondere sind in den beiden Sicherheitsschaltungsteilen Filter für das vom Geber kommende Signal vorgesehen, die nur auf das richtige eingespeiste Signal reagieren.

Bei einer zweckmäßigen Ausführungsform werden dem Geber zeitlich veränderliche Signale von Testfunktionsge­ neratoren zugeführt, wobei der Geber bei einwandfreier Funktion die Phasenlage der eingespeisten Signale verän­ dert. Insbesondere dreht der Geber die Phasenlage peri­ odischer Signale in Abhängigkeit von der Meßgröße. Da die in den Geber eingespeisten Signale mit dem Ausgangssignal verglichen werden, können Kurzschlüsse in und am Geber daran erkannt werden, daß zwischen Eingangs- und Aus­ gangssignalen des Gebers keine Phasenverschiebung vor­ handen ist.

Bei einer günstigen Ausführungsform enthält der Geber eine erste Spule, die mit z. B. einem Widerstand in Reihe an den vom Signal beaufschlagten Eingang gelegt ist, wobei eine weitere, mit einem Kondensator verbundene Spule des Gebers relativ zur ersten Spule beweglich angeordnet ist. Nähert man die weitere Spule der ersten, so wirken die bei­ den Spulen bei Unterschreitung eines Mindestabstandes als Übertrager, wobei die an die Sekundärwicklung geschaltete Kapazität einen kapazitiven Eingangswiderstand des Gebers bewirkt. Hierdurch wird eine Phasenverschiebung zwischen Strom und Spannung erzeugt, die von der Sicherheitsschal­ tung überwacht wird. Wenn der Geber seine bestimmungs­ gemäße Überwachungsfunktion ausführt, ist eine ausrei­ chend hohe transformatorische Kopplung zwischen den bei­ den Spulen vorhanden, z. B. durch einen bestimmten Min­ destabstand zwischen den Spulen. Wird die Kopplung durch einen die Sicherheit einer Maschine oder des Bedienungs­ personals gefährdenden Vorgang unterbrochen oder hebt eine Geberstörung die Kopplung auf bzw. entfällt die rich­ tige Phasenverschiebung zwischen Ein- und Ausgangssi­ gnal, dann wird dies von der Sicherheitsschaltung erkannt.

Der ausfallsichere Geber kann in seiner Funktion verbes­ sert und auch gegen eventuelle fehlerhafte Oszillationen von IC-Anschlüssen unempfindlich gemacht werden, indem er nicht mit einer festen Frequenz, sondern z. B. mit einer va­ riablen (gesweepten) Frequenz arbeitet. Dadurch durchläuft der Frequenzbereich bei Anwesenheit des Gegenstückes Be­ reiche mit unterschiedlichen Phasenverschiebungen, wo­ durch das Sensorverfahren auch von möglichen Schwan­ kungen des Kapazitätswertes des an das Gegenstück gekoppelten Kondensators unabhängig wird und auch erhöhte Un­ empfindlichkeit gegenüber Überlistungsversuchen be­ kommt. Den Frequenzbereich wählt man so, daß zwischen tiefster und höchster Frequenz die Serien- und Parallelreso­ nanz des Systems aus den beiden Spulen und dem Konden­ sator liegt. Dadurch erhält man eine Phasenbeziehung zwi­ schen Strom und Spannung, die von nacheilend (induktiv) über 0 Grad in voreilend (kapazitiv) über 0 Grad wieder in nacheilend sich ändert. Dabei sind zwar die absoluten Fre­ quenzen der Nulldurchgänge auch von dem Wert des Kon­ densators abhängig, nicht jedoch das Frequenzverhältnis der beiden Nulldurchgänge, die nur von der magnetischen Kopplung abhängen und deshalb ein sehr genaues Maß für den Abstand der beiden Spulenkörper darstellen.

Bei einer anderen zweckmäßigen Ausführungsform ist der Geber als Lichtschranke ausgebildet, die bei freier Lichtübertragungsstrecke an ihrem Ausgang ein in Gegen­ phase zum Eingangssignal liegendes Ausgangssignal er­ zeugt. Dies hat den Vorteil, daß bei jeder Unterbrechung des Lichtweges wie bei auftretenden Fehlern kein Signal über­ tragen wird.

Vorteilhaft ist es auch, einen Geber mit zwei relativ zuein­ ander mechanisch bewegbaren, transformatorisch koppelba­ ren Spulen an seiner sekundären Spule mit einer Licht­ schranke zu verbinden, wobei die Spulen und/oder die Lichtschranke zur Erzeugung der Phasenverschiebung von Eingangs- und Ausgangssignal geeignet verbunden sind. Hier wird Leistung von einer Spule in eine in dem Gegen­ stück befindliche entfernte zweite übertragen, die dort eine Leuchtdiode im Takt der Ansteuerung zum Leuchten bringt, was wiederum von einem Fotoempfänger im Geber erfaßt und ausgegeben wird. Auch hierbei ist zu erreichen, daß nur ein geeignetes Gegenstück die Phasenverschiebung hervor­ ruft.

Eine bevorzugt weitgehend digitale Signalverarbeitung erlaubt die Vereinfachung der Fehlerbetrachtung, wie sie bei analoger Bearbeitung auch in bezug auf Bauteiledriften er­ forderlich wäre. So wird vorgesehen, daß Phasenverschie­ bungen anhand der Nulldurchgänge bestimmt werden. Wer­ den die zu Testzwecken in den Aufnehmer eingespeisten Si­ gnale digital demoduliert und jeweils über die Länge der Übertragungsdauer gemittelt, so kann geprüft werden, ob das Signal mit dem Träger in Phase oder Gegenphase ist oder nicht korreliert ist (z. B. bei Unterbrechung). Wegen der Phasenmodulation ist auch der digitale Empfänger in die Prüfung einbezogen und so sicherheitsmäßig überwacht. In einer weiteren Stufe kann über die Anzahl empfangener Zei­ chen die Korrelation geprüft werden, um so kurzzeitige Stö­ rungen auszufiltern und ein statisches Ausgangssignal der Prüfschaltung zu erhalten.

Da die Auswerteschaltung des Gebers in zwei Schaltkrei­ sen bereits redundant realisiert ist, läßt sich darin gleichzei­ tig ein sicherer Vergleicher redundant aufbauen.

Zusätzlich ist es günstig, für den Vergleicher jeder inte­ grierten Schaltung und für die Nachfolgebeschaltung (z. B. Sicherheitsrelais) eine Anlauftestung in der jeweils anderen Schaltung vorzusehen. Damit läßt sich bei jedem Anlauf ein Fehler simulieren, was im Betrieb wegen der dadurch er­ zwungenen Außerbetriebsetzung der Maschine nicht mög­ lich wäre.

Ebenfalls ist es zweckmäßig, die Verknüpfung der Schalt­ zustände mehrerer Sensoren sicher und redundant in den selben redundanten Schaltungen zu realisieren, gegebenen­ falls durch vielfache Implementierung der Auswerteelektro­ nik ergänzt.

Das Ausgangssignal jeder integrierten Schaltung (IC) wird über antivalente Ausgänge ausgegeben (gegeneinander logisch invertiert). Damit ist es zum einen möglich, Fehler der Ausgangsschaltung zu erkennen, zum anderen können aus den Ausgängen beider integrierter Schaltungen (ICs) an­ tivalente Ausgänge der gesamten Schaltung gebildet wer­ den, die wiederum eine sichere Signalisierung erlauben.

Durch gegenseitigen Austausch der Signale zwischen den integrierten Schaltungen ist es möglich, auch Vollausfälle einer integrierten Schaltung zu erkennen. Bei Verwendung zusätzlicher integrierter Schaltungen und einer geeigneten Weitergabe der Signalauswertung (z. B. von IC 1 an IC 1 und 2, von IC 2 an IC 2 und 3, von IC 3 an IC 3 und 1) ist auch eine Fehlertoleranz möglich, also die Erkennung der defekten integrierten Schaltung bei Erhalt der vollen Funk­ tion.

Weitere Vorteile der Erfindung ergeben sich nicht nur aus den Ansprüchen, den diesen zu entnehmenden Merkmalen - für sich und/oder in Kombination -, sondern auch aus der nachfolgenden Beschreibung von in der Zeichnung darge­ stellten Ausführungsbeispielen.

Es zeigen.

Fig. 1 ein Blockschaltbild zweier an eine Sicherheits­ schaltung angeschlossener Sensoren nach dem Stand der Technik,

Fig. 2 ein Blockschaltbild einer Sicherheitsschaltung mit einem berührungslosen Geber,

Fig. 3 eine perspektivische Ansicht eines Gebers mit Pha­ senverschiebung des Ein- und Ausgangssignals,

Fig. 4 eine perspektivische Ansicht einer anderen Ausführungsform ei­ nes Gebers,

Fig. 5 ein Schaltbild einer Sicherheitsschaltung aus zwei Sicherheitsschaltungsteilen und einem an die Sicherheits­ schaltung angeschlossenen Geber und

Fig. 6 ein Schaltbild einer an mehrere Geber angeschlos­ senen Sicherheitsschaltung mit zwei benutzerprogrammier­ baren, integrierten Schaltungen.

Um einen sicherheitsrelevanten Bewegungsablauf redun­ dant zu überwachen, werden nach der DE 39 14 387 A1 zwei Geber (1), (2) bzw. Sensoren für den gleichen Vorgang eingesetzt. Die beiden Geber (1), (2) sind je an zwei Über­ wachungsschaltungen (3), (4) angeschlossen, in denen die Ausgangssignale der Geber (1), (2) jeweils für sich mitein­ ander verglichen werden. Auf diese Weise können sowohl Fehler der Geber als auch interne Fehler der Überwachungs­ schaltung (3), (4) festgestellt werden. Doppelfehler, d. h. gleichzeitige Fehler in den Gebern (1), (2) können nicht er­ kannt werden.

Gegenüber der in Fig. 1 dargestellten bekannten Anord­ nung wird durch die Erfindung eine Anordnung geschaffen, die besonders hohen sicherheitstechnischen Anforderungen genügt. Eine solche Anordnung ist z. B. in Fig. 2 dargestellt. Es wird mindestens ein Geber (5), mit dem mechanische Be­ wegungsabläufe in einer Vorrichtung erfaßt werden, mit ei­ ner Sicherheitsschaltung (6) überwacht. Die Sicherheits­ schaltung (6) enthält die für die Fehlererkennung und -über­ wachung bestimmten Teile doppelt. Dabei müssen die dop­ pelten Sicherheitsschaltungsteile nicht notwendigerweise vollkommen identisch sein. Sind sie nicht identisch, hat dies den Vorteil, daß keine zwei gleichartigen Fehler zugleich in ihnen auftreten können. Die Sicherheitsschaltung (6) enthält zwei unabhängig voneinander arbeitende Sicherheitsschal­ tungsteile mit Testfunktionsgeneratoren (7), (8), die an ihren Ausgängen Prüfsignale erzeugen. Mindestens ein Prüfsignal eines Testfunktionsgenerators wird in den Geber (5) einge­ speist. Es wird ein Geber (5) verwendet, der einen Eingang (10A) und einen Ausgang (10B) und ein in verschiedenen Sensorzuständen unterschiedliches Übertragungsverhalten für das ihn durchlaufende Signal hat. Die in den Geber (5) eingespeisten Signale und das Übertragungsverhalten des Gebers (5) werden so aufeinander abgestimmt, daß ein Fehler im Geber (5) eine feststellbare Änderung des Signalver­ laufes bzw. des Signals bewirkt, wobei das Signal nicht not­ wendigerweise unterbrochen sein muß. Dem Geber bzw. Sensor (5) ist eine Auswerteanordnung (11) nachgeschaltet, welche die notwendigen Eingriffe in den Steuerungsablauf der Vorrichtung vornimmt und diese bei einem bestimmten Wert des Signals am Ausgang (10B) des Gebers (5) z. B. stillsetzt. Ein Signal der Auswerteanordnung (11) wird zwei Anordnungen (12), (13) in der Sicherheitsschaltungsanord­ nung (6) zur Prüfung der Übertragungsfunktion zugeführt, denen auch zugleich jeweils die entsprechenden Ausgangs­ signale der Testfunktionsgeneratoren (7), (8) zugeführt wer­ den. Das Ausgangssignal der Auswerteanordnung (11) wird in jeder Prüfungsanordnung (12), (13) mit den jeweils ver­ wendeten Ausgangssignalen der Testfunktionsgeneratoren (7), (8) verglichen. Wird eine Abweichung der Signale bei diesem Vergleich festgestellt, dann wird eine Fehlermel­ dung erzeugt. Eine Abweichung muß nicht nur durch einen Fehler im Geber (5) hervorgerufen worden sein. Ein Fehler kann auch in der Sicherheitsschaltung (6) selbst auftreten. Die Sicherheitsschaltung (6) wird hierdurch auf innere Feh­ ler überwacht, d. h. sie überwacht sich selbst. Das Ver­ gleichsergebnis der beiden Prüfungsanordnungen (12), (13) wird zwei Verknüpfungsschaltungen (14), (15) der Sicher­ heitsschaltungsanordnung (6) zugeführt, welche die Ver­ gleichsergebnisse überprüfen und so Fehler in den Prü­ fungsanordnungen erkennen können. Außerdem werten die Verknüpfungsschaltungen (14), (15) die Informationen aus zwei Signalmonitoren (9A), (9B) der Sicherheitsschaltungs­ anordnung aus. Diese Signalmonitoren überprüfen jeweils durch Vergleich der von den Testsignalgeneratoren (7), (8) gelieferten Signale, ob ein Testsignal womöglich ausgefal­ len ist. Dann könnte nämlich in dem Sensorsignalfluß ein Fehler nicht mehr erkannt werden. Deshalb werden solche Zustände ebenfalls überwacht und bei Signalausfall über die Signalmonitore (9A), (9B) ein Fehlerzustand an die Ver­ knüpfungsschaltungen (14), (15) gemeldet.

Die Ausgangssignale der Verknüpfungsschaltungen (14), (15) werden in geeigneter Weise, beispielsweise mit Sicher­ heitsrelais (hier nicht gezeigt) entsprechend dem Stand der Technik der weiterverarbeitenden Maschinensteuerung zur Verfügung gestellt.

Ein für die Überwachung besonders geeigneter Geber (16) ist in Fig. 3 dargestellt. Der Geber (16) enthält einen auf einem nicht näher bezeichneten Sensorkopf angeordneten Halbschalenkern (17) aus ferromagnetischem Material. Der Halbschalenkern (17) trägt eine Wicklung (18), deren Enden in Reihe mit z. B. einem Widerstand (Shunt) an eine Wech­ selspannungsquelle gelegt werden. Diese Wechselspan­ nungsquelle sind z. B. die Testfunktionsgeneratoren (7), (8). Auf einem Gegenstück, das ebenfalls nicht näher bezeichnet ist, befindet sich ein zweiter Halbschalenkern (19) mit einer Spule (20), die an eine Kapazität (21) angeschlossen ist. In Serie mit der Spule (18) ist z. B. ein Shunt zur Erfassung des Stroms angeordnet, der den Ausgang des Gebers (16) bildet. Sensorkopf und Gegenstück sind relativ zueinander beweg­ lich und an Maschinenteilen befestigt, deren Abstand oder Zwischenraum überwacht wird. Bei einem gewissen Ab­ stand ist die transformatorische Kopplung zwischen den Spulen (18), (20) so groß, daß der Kondensator (21) einen stark kapazitiven Eingangswiderstand des Gebers (16) be­ wirkt. Dieser Eingangswiderstand bleibt auch bei kleineren Abständen erhalten. Der mit dem Shunt erfaßbare Strom des Gebers (16) hat dann eine kapazitive Phasenverschiebung gegenüber der Eingangswechselspannung. Überschreitet der Abstand den oben erwähnten Abstand oder werden beide Spulen durch ein in den Abstand eindringendes Teil abgeschirmt, dann geht die Kopplung zwischen den Spulen (18), (20) so stark zurück bzw. hört nahezu auf, daß ein stark induktiver Eingangswiderstand am Geber (16) vorhanden ist. In Abhängigkeit vom Abstand oder der Abschirmung so­ wie der Meßfrequenz herrscht eine als Kennzeichen für den Abstand bzw. die Abschirmung meßbare Phasenverschie­ bung zwischen Strom und Spannung. Eine Bedingung, bei der ein Betrieb einer Vorrichtung erlaubt sein soll, ist z. B. durch einen solchen Abstand gekennzeichnet, daß ein stark kapazitiver Eingangswiderstand mit etwa 90 Grad Phasen­ verschiebung vorliegt. Wird diese Phasenverschiebung in­ duktiv, dann wird dies von der Sicherheitsschaltung erkannt und gemeldet. Dies gilt auch für den Fall der Phasenver­ schiebung null Grad, die von einem Kurzschluß, also einem Fehler im Geber (16) hervorgerufen sein kann. Dabei ist es für die Erfindung unerheblich, ob die Erkennung des kapazi­ tiven oder induktiven Verhaltens bei einer festen Frequenz oder durch Messung in einem Frequenzbereich erfolgt, wo­ bei sich die Änderung der Impedanz als Amplituden- oder Phasenfrequenzgang bemerkbar macht.

Ein weiterer Geber (22) enthält (siehe Fig. 4) ebenso wie der Geber (16) zwei Halbschalenkerne (17), (19) eines Topf­ kerns mit den jeweiligen Wicklungen (18), (20). Die Halb­ schalenkerne (17), (19) sind wiederum je auf einem Sensor­ kopf und einem Gegenstück angeordnet. Die Spule (20) ist mit einer Leuchtdiode (23) auf dem Gegenstück verbunden. Der Leuchtdiode (23) steht ein Fotodetektor (24) auf dem Sensorkopf gegenüber. Die Anschlüsse der Spule (18) sind die Eingänge des Gebers (22), dessen Ausgänge die An­ schlüsse des Fotodetektors (24) sind. Zwischen dem Signal an den Anschlüssen der Spule (18) und dem Signal am Aus­ gang des Fotodetektors (24) soll bei einem Grenzabstand bzw. einem geringen Abstand Gegenphasigkeit vorhanden sein, die durch entsprechende Beschaltung erzeugt wird. Beispielsweise ist ein Ausgangszweig vorgesehen, der Strom führt, wenn der Fotodetektor beleuchtet wird. Eine entsprechende Lichtschranke kann auch für sich, d. h. ohne induktiv arbeitenden Sensorbestandteil verwendet werden.

Die Sicherheitsschaltung wird inbesondere in integrierter Technik ausgeführt. Die Sicherheitsschaltungsteile sind da­ bei vorzugsweise als zwei separate, integrierte Schaltungen (IC) ausgebildet.

Die Fig. 5 zeigt als bevorzugte Ausführungsform zwei benutzerprogrammierte Schaltungen (ASICs) jeweils als Si­ cherheitsschaltungsteile (25), (26) einer Sicherheitsschal­ tungsanordnung (6), die je einen Oszillator (27), (28) enthal­ ten. In den Sicherheitsschaltungsteilen (25), (26) befinden sich eine Anzahl von unten noch näher beschriebenen Funk­ tionsbausteinen, die jeweils Signale verarbeiten, die von den Oszillatoren (27) oder (28) bestimmt werden. Als Geber ent­ hält die in Fig. 5 dargestellte Anordnung einen Sensor (29) nach Fig. 3 oder 4, der eine Phasenverschiebung zwischen Eingangs- und Ausgangssignal am Eingang (10A) und am Ausgang (10B) erzeugt. Jedes Sicherheitsschaltungsteil (25), (26) enthält als Testfunktionsgenerator einen vom Os­ zillator (27), (28) gespeisten Signalgenerator (31), (32). Von den Signalgeneratoren (31), (32) speist mindestens einer den Sensor (29). Das Ausgangssignal des Sensors (29) ge­ langt zu zwei Phasendetektoren (35), (36) in den Sicher­ heitsschaltungsteilen (25), (26). Die Ausgangssignale der Phasendetektoren (35), (36) gelangen jeweils zu einer Ab­ stands-Logikschaltung (37), (38), welche aus der Phase den Abstand des Gegenstücks bestimmt und so entscheidet, wel­ chen Wert das Ausgangssignal aufweisen soll.

Die Verknüpfungsschaltungen (51), (53) kombinieren die Resultate der Abstands-Logikbausteine (37), (38) mit den Signalen von Monitoren (52), (54), welche das Vorhanden­ sein der Sensorprüfsignale verifizieren. So wird gewährlei­ stet, daß Fehlfunktionen einer Auswertebaugruppe (25), (26) ebenfalls zum Ausschalten der Sicherheitsschaltung führt.

In den Sicherheitsschaltungsteilen (25), (26) können An­ lauftestschaltungen (hier nicht gezeigt) vorgesehen werden. An den Verknüpfungsschaltungen (51), (53) stehen je zwei zueinander antivalente Ausgangssignale zur Verfügung. An die Verknüpfungsschaltungen sind Synchronisierschaltun­ gen (55), (56) angeschlossen.

Um zu vermeiden, daß etwaige unterschiedliche Schalt­ zeitpunkte der Abstandslogiken (37), (38) zu unterschiedli­ chen Ausgangssignalen der Schaltkreise (25), (26) führen, die als Fehlfunktion bewertet werden könnten, sorgen die Synchronisierschaltungen (55), (56) dafür, daß z. B. eine Ausgangssignaländerung der Abstands-Logik (37) erst dann zu einer Ausgangssignaländerung der Synchronisierschal­ tung (55) führt, wenn auch die Abstands-Logikschaltung (38) ein geändertes Ausgangssignal aufweist.

Den Sicherheitsschaltungskreisen (25), (26) werden dem Stand der Technik entsprechend gegenseitig verriegelte Si­ cherheitsrelais (39), (40) nachgeschaltet, welche die Aus­ gangssignale der Sicherheitsschaltkreise (25), (26) auf Gleichheit überprüfen und in geeigneter Weise die mit der Meßgröße oder einer etwaigen Fehlfunktion des Sensors verbundene Gefährdung weitermelden.

Mit der in Fig. 5 dargestellten Schaltung werden Phasen­ verschiebungen durch die Nulldurchgänge erfaßt. Damit kann geprüft werden, ob das vom Sensor (29) ausgegebene Signal mit dem Testsignal in Phase oder Gegenphase ist oder nicht korreliert ist (z. B. bei Unterbrechung). Aufgrund der Phasenmessung und der Überprüfung bei Frequenzen mit unterschiedlicher Phasenverschiebung ist auch der digi­ tale Empfänger in die Prüfung einbezogen.

Mit einer zusätzlich möglichen Anlauftestschaltung läßt sich vor jedem Anlauf ein Fehler simulieren, was im Betrieb wegen der dadurch erzwungenen Außerbetriebsetzung der Maschine nicht möglich ist. Die Anlauftestschaltung er­ zeugt z. B. bestimmte Signale, die auf die Verknüpfungs­ schaltungen (51), (53) einwirken.

Bei der in Fig. 6 dargestellten Anordnung werden die Ausgangssignale mehrerer Geber (57), (58), (59), (60) in zwei voneinander getrennte integrierte Schaltungen (61), (62), die z. B. benutzerprogrammierte Schaltungen sind, ge­ prüft. Bei den Gebern (57), (58), (59), (60) kann es sich da­ bei um Gabellichtschranken, um induktive Koppler zur Transformation einer kapazitiven Reaktanz und um Übertra­ ger-Lichtschranken zur Erzeugung eines gegenphasigen Ausgangssignals handeln. Schaltbilder dieser Arten von Ge­ bern sind links in Fig. 6 dargestellt. Jede Schaltung (61), (62), die zur sicheren Funktion wie in Fig. 5 gezeigt aufge­ baut und verschaltet ist, gibt zwei zueinander antivalente Si­ gnale aus, die z. B. Sicherheitsrelais (63), (64) speisen (hier ist deren Beschaltung nur symbolisch gezeigt. In der Praxis wird man eine der bekannten Schaltungen mit gegenseitiger Verriegelung benutzen).

Bei der Verwendung zusätzlicher integrierter Schaltungen und einer geeigneten Zusammenschaltung ist auch eine Feh­ lertoleranz möglich, also die Erkennung defekter Schaltun­ gen bei Erhalt der vollen Funktion.

Claims (13)

1. Sicherheitseinrichtung mit mindestens einem berührungslo­ sen Geber zur Erfassung von mechanischen Bewegungsab­ läufen einer Vorrichtung, mit
einem Geber (29), der mindestens einen Eingang (10A) und mindestens einen Ausgang (10B) aufweist,
einer Sicherheitsschaltungsanordnung (6), die einem Ein­ gang (10A) des Gebers (29) mindestens ein geberein­ gangsseitig auf Ausfall überwachtes Testsignal zuführt, wobei der Geber (29) in verschiedenen Geberzuständen für die Testsignale ein unterschiedliches Übertragungsver­ halten aufweist,
einem ersten und wenigstens einem zweiten Sicherheits­ schaltungsteil (25, 26) der Sicherheitsschaltungsanord­ nung (6), die das Signal am Ausgang (10B) des Ge­ bers (5, 29) überprüfen, mit dem Testsignal am Ein­ gang (10A) des Gebers (29) vergleichen und daraus Ab­ weichungen gegenüber dem Testsignal am Eingang (10A) feststellen, wobei,
von den beiden Sicherheitsschaltungsteilen (25, 26) fest­ gestellte Abweichungen miteinander verglichen werden
und bei Nichtübereinstimmung der Abweichungen eine Fehlermeldung erzeugt wird.

2. Sicherheitseinrichtung nach Anspruch 1, dadurch gekennzeichnet, daß zwei Testfunktionsgeneratoren (7, 8) vorgesehen sind, von denen einer den Geber (5) speist, der ausgangsseitig mit einer Auswertanordnung (11) verbunden ist, an die zwei Prüfanordnungen (12, 13) für die Prüfung der Übertragungsfunktion ange­ schlossen sind, die weiterhin an den das Signal für den Geber (5) erzeugenden Testfunktionsgenerator (7) an­ geschlossen sind, daß die Testfunktionsgeneratoren (7, 8) je mit einem Signalmonitor (9A, 9B) verbunden sind und daß die Ausgänge der Signalmonitoren (9A, 9B) mit Eingängen von Verknüpfungsanordnungen (14, 15) verbunden sind, die weitere, je an die Prüfanordnungen (12, 13) angeschlossene Eingänge aufweisen und an deren Ausgängen im Fehlerfalle entsprechende Signale erzeugt werden.

3. Sicherheitseinrichtung nach Anspruch 1, dadurch gekennzeichnet, daß die Sicherheitsschaltungsanord­ nung zwei Testfunktionsgeneratoren aufweist, die je­ weils Signale erzeugen, die einander additiv überlagert in den Geber eingespeist werden, dessen Ausgangssi­ gnal beiden Sicherheitsschaltungsteilen zugeführt wird.

4. Sicherheitseinrichtung nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeich­ net, daß dem Geber (5, 16, 22, 29) zeitlich veränderli­ che Signale von mindestens einem Testfunktionsgene­ rator (31) zugeführt werden und daß der Geber (5, 16, 22, 29) bei einwandfreier Funktion die Phasenlage der eingespeisten Signale verändert.

5. Sicherheitseinrichtung nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeich­ net, daß der Geber (16) eine erste Spule (18) enthält, die mit dem vom Signal beaufschlagten Eingang ver­ bunden ist und daß eine weitere, mit einem Kondensa­ tor (21) verbundene Spule (20) des Gebers (16) relativ zur ersten Spule (18) beweglich angeordnet ist.

6. Sicherheitseinrichtung nach einem oder mehreren der Ansprüche 1 bis 4, dadurch gekennzeichnet, daß der Geber (29) als Lichtschranke ausgebildet ist, die bei freier Lichtübertragungsstrecke an ihrem Ausgang ein in Gegenphase zum Eingangssignal liegendes Aus­ gangssignal erzeugt.

7. Sicherheitseinrichtung nach einem oder mehreren der Ansprüche 1 bis 4, dadurch gekennzeichnet, daß der Geber (22) zwei relativ zueinander bewegbare, transformatorisch koppelbare Spulen (18, 20) aufweist und an seiner sekundären Spule (20) mit einer Licht­ schranke verbunden ist und daß die Spulen (18, 20) und/oder die Lichtschranke mit Mitteln zur Erzeugung der Phasenverschiebung von Eingangs- und Ausgangs­ signal verbunden sind.

8. Sicherheitseinrichtung nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeich­ net, daß die von der Sicherheitsschaltungsanordnung (6) in den Geber (29) eingespeisten Signale phasenmo­ duliert sind und daß die Phasenverschiebung zwischen den Eingangs- und den Ausgangssignalen des Gebers (29) durch Vergleich der Nulldurchgänge der Signale festgestellt wird.

9. Sicherheitseinrichtung nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeich­ net, daß die Ausgangssignale des Gebers (29) digital demoduliert werden und daß ein Mittelwert über die Länge eines übertragenen Zeichens gebildet wird.

10. Sicherheitseinrichtung nach einem oder mehreren der Ansprüche 1 bis 4, dadurch gekennzeichnet, daß die von der Sicherheitsschaltungsanordnung (6) in den Geber (29) eingespeisten Signale in ihrer Frequenz zwischen einem oberen und einem unteren Grenzwert verändert werden, daß die Resonanzfrequenzen der den Geber (29) enthaltenden Anordnung innerhalb des von den Grenzwerten eingeschlossenen Bereichs liegen und daß die durch den Geber (29) bei der Frequenzän­ derung verursachte Phasenverschiebung von Strom und Spannung ausgewertet wird.

11. Sicherheitseinrichtung nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeich­ net, daß die Sicherheitsschaltungsanordnung (6) zwei Sicherheitsschaltungsteile (25, 26) aufweist, die je ei­ nen von einem Oszillator (27, 28) gespeisten Signalge­ nerator (31, 32) enthalten, daß ein Signalgenerator (31) den Geber (29) speist, daß jedem Signalgenerator (31, 32) ein vom Ausgangssignal des jeweils anderen Si­ gnalgenerators (32, 31) beaufschlagter Monitor (52, 54) nachgeschaltet ist, daß in jedem Sicherheitsschal­ tungsteil (25, 26) ein vom Ein- und Ausgangssignal des Gebers (29) beaufschlagter Phasendetektor vorgesehen ist, dem eine Logikschaltung (37, 38) zur Bestimmung des Abstands zwischen den relativ zueinander bewegli­ chen Teilen des Gebers (29) nachgeschaltet ist, an die eine Verknüpfungsschaltung (51, 53) angeschlossen ist, die weiterhin mit dem Monitor (53, 54) verbunden ist, daß je Sicherheitsschaltungsteil (25, 26) eine von beiden Verknüpfungsschaltungen (51, 53) gespeiste Synchronisierungsschaltung (55, 56) vorgesehen ist, der ein Sicherheitsrelais (39, 40) nachgeschaltet ist, und daß der Ausgang jedes Sicherheitsrelais (39, 40) mit dem Eingang des anderen Sicherheitsrelais (40, 39) verbunden ist.

12. Sicherheitseinrichtung nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeich­ net, daß die Sicherheitsschaltungsteile (25, 26) mit den Oszillatoren (27, 28), den Signalgeneratoren (31, 32), den Monitoren (52, 54), den Phasendetektoren (35, 36), den Logikschaltungen (37, 38), den Verknüpfungs­ schaltungen (51, 53) und den Synchronisierschaltun­ gen (55, 56) je in einer kundenspezifischen Schaltung (ASIC) angeordnet sind.

13. Sicherheitseinrichtung nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeich­ net, daß jedes Sicherheitsschaltungsteil (25, 26) eine Anlauftestschaltung aufweist.