DE4242792C2 - Sicherheitsschalteranordnung - Google Patents

Description

Die Erfindung betrifft eine Sicherheitsschalteranordnung zum Ein- und Ausschalten der Stromversorgung nach dem Oberbe­ griff des Patentanspruchs 1. Bei den Aktoren handelt es sich vorzugsweise um Relais, die gemeinsam ein Arbeitsgerät in dem Sinne ansteuern, daß lediglich dann, wenn beide Aktoren aktiv sind, das Arbeitsgerät eingeschaltet ist. Ist einer der Aktoren inaktiv, wird das Arbeitsgerät in jedem Fall abgeschaltet. Bei dem Arbeitsgerät kann es sich z. B. um eine gefährliche Arbeitsmaschine handeln, die nur bei Aktivierung beider Aktoren in Betrieb ist, während sie in ihre ungefähr­ liche, vorzugsweise ausgeschaltete Position gebracht ist, wenn ein oder beide Aktoren inaktiv geworden sind.

Bei einer gattungsgemäßen Sicherheitsschalteranordnung (DE 28 31 089 C2) sind an der Schnittstelle zwischen einem beispielsweise als Lichtschranke ausgebildeten Sensor und einer Maschinensteuerung mindestens zwei kontaktbehaftete Schaltausgänge vorzusehen, welche durch wenigstens zwei unabhängig voneinander abschaltbare Relais mit vorzugsweise zwangsgeführten Kontakten gebildet werden. Hierbei wird ein durch den Sensor detektierter gefährlicher Zustand in einen Stoppbefehl umgesetzt, welcher durch Öffnung der Schaltaus­ gänge für die nachgeschaltete Maschinensteuerung übertragen wird. Die Maschinensteuerung überführt das gesteuerte System daraufhin vom gefahrbringenden Betriebszustand in einen aus­ geschalteten sicheren Betriebszustand, bei dem die beiden Schaltausgänge offen sind.

Bei der bekannten Sicherheitsschalteranordnung wird die Sicherheit durch redundante Ausführung der Schaltpfade und dadurch erreicht, daß normalerweise während des andauernden gefahrbringenden Zustandes (Einschaltung des Arbeitsgerätes) höchstens ein Abschaltpfad infolge eines eingetretenen Feh­ lers die Abschaltfunktion verliert. Vor jeder Einleitung des gefahrbringenden, eingeschalteten Zustands der Maschine bzw. des Arbeitsgerätes können die beiden Abschaltpfade dahin­ gehend geprüft werden, daß jeder den sicheren Betriebszu­ stand anzeigt. Wird ein Fehler, wie z. B. ein verschweißter Schaltausgang oder ein Kurzschluß in den Verbindungsleitun­ gen vom Schaltausgang zur Maschinensteuerung aufgedeckt, wird durch eine Verriegelungsschaltung der fehlerfreie zwei­ te Abschaltpfad unabhängig vom Sensorsignal im sicheren Schaltzustand gehalten.

Die bekannte Sicherheitsschalteranordnung hat den Nachteil, daß Fehler in der Ausgangsschaltung, die während des konti­ nuierlichen Betriebes im gefahrbringenden Zustand (einge­ schaltetes Arbeitsgerät) auftreten, nicht detektiert werden. Durch Fehlerhäufung besteht die Gefahr, daß die Maschine beim Erscheinen eines Stoppsignals vom Sensor her nicht in den sicheren Betriebszustand überführt, d. h. abgeschaltet wird. Insbesondere ist nachteilig, daß die Prüfung der Ab­ schaltpfade nicht automatisch in einem definierten Zeitab­ stand erfolgt, sondern durch administrative Anweisungen an eine Bedienungsperson erfolgen muß.

Kurzschlüsse zwischen den Verbindungsleitungen zur Maschinen­ steuerung können durch die bekannte Lösung nicht aufgedeckt werden. Dieser Fehlerfall ist lediglich durch restriktive Applikationsvorschriften teilweise beherrschbar, welche je­ doch teilweise im Widerspruch zu technischen Regelwerken stehen.

Kontaktbehaftete Schalter haben, einen Verschleiß, infolge dessen regelmäßige Reparaturkosten und Maschinenausfallzei­ ten entstehen.

Schließlich müssen mechanische Kontakte gegen Abbrand durch Lichtbogenbildung beim Abschalten induktiver Lasten geschützt werden, um brauchbare Standzeiten für die Kontakte zu gewährleisten. Hierdurch entstehen weitere Kosten und mög­ liche Fehlerquellen.

Bei einem Verfahren zur Überwachung von Abschalteinrichtung­ gen für Endstufen von Steuergeräten ist es bekannt, mit Hil­ fe einer ersten Abschalteinrichtung die Endstufe wiederholt kurzzeitig abzuschalten, die Ausgangsspannung der abgeschal­ teten Endstufe zu messen und in Abhängigkeit von der Ausgangs­ spannung eine zweite Abschalteinrichtung anzusteuern (DE 37 32 718 A1). Zur Überprüfung und Abschaltung sind also in nachteiliger Weise zwei Abschalteinrichtungen erforderlich.

Weiter ist ein Verfahren und eine Vorrichtung zur Überwa­ chung des funktionsfähigen Zustands von Endstufenschaltungen für elektromotorische bzw. elektromagnetische Stellglieder bekannt (DE 37 34 431 A1), bei denen ein elektromotorischer Antrieb, der vorzugsweise für eine Drosselklappe einer elek­ trischen Gemischzufuhreinrichtung bestimmt ist, durch zwei parallel geschaltete Treibertransistoren wahlweise in der einen oder anderen Bewegungsrichtung, z. B. für Vorwärts- oder Rückwärtslauf der Drosselklappe betätigt wird. Ein Mikrocomputer sorgt über zwei auf den Basiskreis der Trei­ bertransistoren einwirkende Operationsverstärker für das erforderliche Schaltverhalten der Treibertransistoren. Zu­ sätzlich ist parallel an die Basen der Treibertransistoren ein weiterer Transistorschalter vorgesehen, der die Basen der Treibertransistoren so ansteuert, daß der jeweils ein­ geschaltete Treibertransistor periodisch so kurzzeitig ab­ geschaltet wird, daß der Antrieb dadurch nicht oder nur in einer vernachlässigbar geringen Weise beeinflußt wird. Durch eine an die Kollektoren der Treibertransistoren angeschlos­ sene Rückkopplungsschaltung wird dem Mikrocomputer gemeldet, wenn ein in dieser Weise angesteuerter Treibertransistor nicht öffnet. Dieser bewirkt dann entweder an einer Anzeige­ einheit eine Meldung, ein Abschaltsignal an den Treiber­ transistoren oder eine Unterbrechung der Betriebsspannung der Antriebsvorrichtung.

Zur Prüfung des Einschaltvermögens bei ausgeschalteten Trei­ bertransistoren kann eine periodisch betätigte Transistor­ schaltung in Reihe mit den Betriebsspannungsanschlüssen der Operationsverstärker gelegt werden, so daß die Treibertran­ sistoren im Takte der Prüffrequenz kurzzeitig eingeschaltet werden. Die Dauer der Einschaltung wird auch hierbei so ge­ wählt, daß der Antrieb nicht oder nur in nicht ins Gewicht fallender Weise reagiert.

Da den Treibertransistoren der bekannten Vorrichtung zur Überwachung des funktionsfähigen Zustands von Endstufenschal­ tungen für elektromotorische bzw. elektromagnetische Stellglie­ der jeweils eine unterschiedliche Schaltfunktion zukommt, kann der Antrieb z. B. bei durchlegierter Emitter-Kollektor-Strecke eines Treibertransistors nur durch Abschaltung der Betriebsspannung des Antriebs herbeigeführt werden, was des­ wegen problematisch ist, weil der hierfür vorgesehene Schal­ ter nur in einem der an sich äußerst seltenen Störfälle be­ nötigt wird und dann wegen im allgemeinen äußerst langen Nichtgebrauchs und mangelnder ständiger Überprüfung mit einem sicherheitstechnisch nicht hinnehmbaren Wahrscheinlich­ keitsgrad versagen kann. In Sicherheitsschaltanordnungen ist die bekannte Vorrichtung daher nicht verwendbar.

Weiter ist bereits eine Sicherheitseinrichtung für eine elektrische Stellvorrichtung bekannt (DE 31 35 888 C2), die eine transistorgesteuerte Umschaltvorrichtung für den Rechtslauf/Linkslauf eines Stellmotors enthält und jeweils einen am Steueranschluß eines Transistors liegenden Steuer­ eingang für den Rechtslauf bzw. für den Linkslauf und eine Fehlererkennungslogik aufweist, die bei Nichtvorliegen von Steuersignalen an beiden Steuereingängen der beiden Transi­ storen und bei einem gleichzeitig auftretenden, dem Schalt­ signal entsprechenden Signal zum Betätigen des Stellmotors am Ausgang wenigstens eines der beiden Transistoren ein Fehlersignal erzeugt, das eine Abschaltung des Stellmotors auslöst.

Das Ziel der vorliegenden Erfindung besteht darin, eine Sicherheitsschalteranordnung der eingangs genannten Gattung zu schaffen, welche auch bei beliebig lange dauerndem Ein­ schaltzustand des Arbeitsgerätes, also bei beliebig langem Anhalten des gefährlichen Schaltzustandes des Arbeitsgerätes bzw. der Maschine das sofortige Erkennen von Fehlern, insbe­ sondere in den beiden Hauptschaltern, und dauerhaftes Abschal­ ten des Arbeitsgerätes gewährleistet.

Zur Lösung dieser Aufgabe sind die Merkmale des Patentan­ spruchs 1 vorgesehen.

Der Grundgedanke der Erfindung ist also darin zu sehen, daß die beiden Hauptschalter in relativ kurz aufeinanderfolgen­ den Zeitabständen ein kurzzeitiges Öffnungssignal erhalten und daß in der Zeit zwischen zwei aufeinanderfolgenden kurz­ zeitigen Öffnungen der Hilfsschalter, welche im folgenden als Testpause bezeichnet wird, automatisch durch elektroni­ sche Überwachungsmittel geprüft wird, ob die Schalter da­ durch tatsächlich geöffnet sind oder nicht. Wird bei einem der Hauptschalter während der Testpause eine Nicht-Öffnung festgestellt, so wird der andere Hauptschalter geöffnet und dafür gesorgt, daß dieser zweite Hauptschalter auch nach der Testpause geöffnet bleibt. Wichtig ist, daß die Testpausen so kurz bemessen sind, daß die Aktoren diese Unterbrechung wegen ihrer Trägheit nicht erkennen und daher bis zum Ende der Testpause aktiv bleiben. Nur dann, wenn innerhalb der Testpause ein Nichtöffnen eines der Hauptschalter festge­ stellt wird, wird der andere Hauptschalter nach der Test­ pause, wenn seine Trägheit überwunden ist, geöffnet und ver­ bleibt in diesem Zustand, bis der aufgetretene Fehler beho­ ben worden ist. Im Gegensatz zu der bekannten Vorrichtung nach der DE 37 34 431 A1 wird also erfindungsgemäß der Steuereingang der Hauptschalter von unabhängig voneinander arbeitenden Steuerquellen, nämlich einem Sensoreingang und einem speziellen Testgenerator beaufschlagt. Da beide Haupt­ schalter periodisch auf Funktionsfähigkeit überprüft werden, ist ein besonders hohes Maß an Sicherheit gewährleistet, denn ein gleichzeitiges Versagen beider Hauptschalter ist wegen der ständigen Überprüfung äußerst unwahrscheinlich.

Die Betriebssicherheit der erfindungsgemäßen Anordnung wird weiter durch die Maßnahmen des Anspruches 2 erhöht.

Vorteilhafte Testfrequenzen und Testpausendauern sind den Ansprüchen 3 und 4 zu entnehmen.

Eine vorteilhafte Ausführungsform, die mit einer Ausgangs­ strommeßstufe arbeitet, ist durch Anspruch 5 definiert. Es kann jedoch entweder alternativ oder zur Schaffung einer Redundanz zusätzlich gemäß Anspruch 6 eine Ausgangsspannungs­ meßstufe vorgesehen sein.

Zwei vorteilhafte praktische Ausbildungen entnimmt man den Ansprüchen 7 und 8.

Zweckmäßig ist die Anordnung eines Tiefpasses nach den An­ sprüchen 9 bis 13, um das Ein- und/oder Austreten von Stör­ impulsen am Ausgang der erfindungsgemäßen Sicherheitsschal­ teranordnung zu vermeiden.

Um die Beschädigung oder Zerstörung der Hauptschalter durch vom Ausgang her in die Schaltung eindringende Störimpulse, die z. B. durch Blitzschlag verursacht sein können, zu vermei­ den, sind die Supressordioden nach Anspruch 14 oder 15 zweck­ mäßig.

Um nun auch die Supressordioden auf einwandfreie Funktion ständig überprüfen zu können, wird erfindungsgemäß nach An­ spruch 16 vorgegangen. Die Testschaltung nach Anspruch 16 braucht lediglich Unterbrechungen in den Supressordioden festzustellen, da ein Durchlegieren bereits durch die erste Testschaltung erkannt wird, denn dann gelangt durch die Su­ pressordioden hindurch die Versorgungsspannung an die Aus­ gangsleitung, liegt dann also auch beim Öffnen des zugeord­ neten Hauptschalters noch vor, was über die erste Testschal­ tung bereits zum Abschalten des anderen Hauptschalters führt. Durch die Testschaltung nach Anspruch 16 wird aber, wie gesagt, zusätzlich auch noch eine Unterbrechung der Supressordiode oder beispielsweise einer Unterbrechung eines ihrer Anschlüsse während der Testpause festgestellt.

Zweckmäßig wird die Testpause nach Anspruch 17 in zwei Teile zerlegt, wodurch z. B. die gleiche Ausgangsstrommeßstufe nach Anspruch 19 für die Überwachung der einwandfreien Funktion der Supressordioden herangezogen werden kann.

Eine vorteilhafte praktische Ausgestaltung der zweiten Test­ schaltung entnimmt man Anspruch 18.

In den einzelnen Testschaltungen sind nach Anspruch 20 vor­ zugsweise Komparatoren bzw. Operationsverstärker vorgesehen.

Eine weitere vorteilhafte Ausbildung offenbart Anspruch 21.

Während die Überwachung des Laststromes in der Testpause zweckmäßigerweise im ersten Testpausenteil vorgenommen wird, erfolgt die Überwachung des Teststromes durch die Supressor­ diode hindurch im zweiten Testpausenteil. Alle Testsignale werden gemäß Anspruch 22 in den Hilfsschaltern durch eine UND-Verknüpfung verbunden, so daß der betreffende Hilfsschal­ ter nach einer Testpause dann und nur dann geschlossen bleibt, wenn kein Fehlersignal erscheint.

Eine vorteilhafte Schaltung zur momentanen Erzeugung eines Teststromes ist im Anspruch 23 definiert.

Die Erfindung wird im folgenden beispielsweise anhand der Zeichnung beschrieben; in dieser zeigt:

Fig. 1 ein Blockschaltbild einer erfindungsgemäßen Sicher­ heitsschalteranordnung,

Fig. 2 ein Impuls-Zeitdiagramm der verschiedenen Schaltstu­ fen in Fig. 1 bei fehlerfreiem Betrieb, und

Fig. 3 ein entsprechendes Impuls-Zeitdiagramm wie Fig. 2, jedoch bei Annahme eines Unterbrechungsfehlers in der Supressordiode.

Die erfindungsgemäße Sicherheitsschalteranordnung besteht aus zwei parallelgeschalteten Schaltpfaden 40a, 40b, deren Sensoreingängen 15a, 15b jeweils ein identisches Sen­ sorschaltsignal 13a, 13b zugeführt wird, welches beispiels­ weise von einer Lichtschranke stammt, die vor einer gefähr­ lichen Arbeitsmaschine (Arbeitsgerät) 22 angeordnet ist, um beim Eintreten einer Bedienungsperson in den Lichtschrankenstrahl ein Sen­ sorschaltsignal 13a, 13b an die Sensoreingänge 15a, 15b abzugeben, worauf dann die gefährliche Arbeitsmaschine 22 abgeschaltet werden soll. Dies geschieht bei dem darge­ stellten Ausführungsbeispiel dadurch, daß der Antrieb der Arbeitsmaschine 22 mit zwei Relaiskontakten 23a, 23b in Reihe an eine Stromversorgung 41 angeschlossen ist, wobei der eine Relaiskontakt 23a durch ein am Ausgang des einen Schaltpfades 40a vorgesehenes Relais 12a und der andere Relaiskontakt 23b durch ein am Ausgang des anderen Schaltpfades 40b vorgesehenes Relais 12b beaufschlagt wird. Die beiden Relaiskontakte 23a, 23b sind Schließkontakte, d. h. daß sie schließen, wenn die Re­ lais 12a, 12b, die auch als Aktoren bezeichnet werden kön­ nen, unter Strom gesetzt werden, d. h. aktiv sind.

Man erkennt, daß ein Betrieb des Arbeitsgerätes bzw. der Arbeitsmaschine 22 nur dann möglich ist, wenn beide Relais­ kontakte 23a und 23b geschlossen, d. h. beide Relais 12a und 12b unter Strom gesetzt sind. Wird nur einer der Relaiskon­ takte 23a oder 23b geöffnet, wird die Arbeitsmaschine 22 stillgesetzt.

Die Sensoreingänge 15a, 15b sind über jeweils einen gesteuerten Halbleiter-Hilfsschalter 16a, 16b an einen Steuer­ eingang 42a, 42b eines Halbleiter-Hauptschalters 14a, 14b angelegt, der im Falle des Vorliegens eines Steuersignals am Steuereingang 42a, 42b eine Stromversorgung 11 über eine Aus­ gangsleitung 26a, 26b einen Ausgangswiderstand 27a, 27b und einen Tiefpaß 17a, 17b an das geerdete Relais 12a, 12b an­ legt. Die Relais 12a, 12b können sich außerhalb der eigent­ lichen Sicherheitsschalteranordnung befinden und durch Steck­ kontakte 43a, 43b bzw. 44a, 44b mit der Sicherheitsschalter­ anordnung verbunden sein.

Beiden Schaltpfaden 40a, 40b gemeinsam ist ein Testgenerator 45, welcher alle 16 ms einen Testzyklus auslöst, der mit einem Zeitversatz von 8 ms jeweils auf den Schaltpfaden 40a bzw. 40b die Zeit zwischen zwei aufeinanderfolgenden kurz­ zeitigen Öffnungen der Hilfsschalter 16a, 16b auf 50 µs festlegt. Diese Zeit wird im folgenden als Testpause bezeichnet.

Über Steuerleitungen 46a, 46b beaufschlagt der Testgenerator 45 einen ersten Steuereingang 19a, 19b der Hilfsschalter 16a, 16b, um diese am Beginn der je­ weils zugeordneten Testpause zu öffnen. Die Öffnung der Hilfsschalter 16a, 16b entspricht einem O-Signal am Sensor­ eingang, so daß daraufhin der angeschlossene Haupt­ schalter 14a, 14b öffnen müßte.

Um nun zu prüfen, ob der Hauptschalter 14a, 14b tatsächlich geöffnet ist, ist an den Ausgangswiderstand 27a, 27b ein Operationsverstärker 36a, 36b angeschlossen, welcher an seinem Ausgang ein für die Spannung am Ausgangswiderstand 27a, 27b repräsentatives Signal, d. h. auch ein dem Strom Ia, Ib auf der Ausgangsleitung 26a, 26b entsprechendes Signal liefert. Dieses Signal wird an den Steuereingang jeweils eines Komparators 21a, 21b angelegt, an dessen Referenzeingang eine feste Bezugsspannung Urefn geführt ist. Die Dimensio­ nierung der Referenzspannung Urefn ist derart, daß beim Unterschreiten des bei eingeschaltetem Hauptschalter 14a, 14b vorhandenen geringsten Laststromes der Komparator 21a, 21b am Ausgang den L-Pegel annimmt, welcher durch Anlegen an zweite Steuereingänge 20b bzw. 20a an den Hilfsschaltern 16b bzw. 16a diese veranlaßt, im geschlossenen Zustand zu verhar­ ren. Bleibt dagegen wegen eines beispielsweise durchlegier­ ten Hauptschalters 14a oder 14b der Laststrom auf der Aus­ gangsleitung 26a, 26b aufrechterhalten, so nimmt der Ausgang der Komparatoren 21a, 21b den O-Pegel an, was dem jeweils anderen Hilfsschalter 16b oder 16a über den zweiten Steuereingang 20b, 20a signalisiert, daß der betreffende Hauptschalter 14a oder 14b nicht in Ordnung ist, worauf der Hilfsschalter 16b oder 16a geöffnet wird und in diesem Zustand verbleibt.

Wesentlich ist, daß der Ausgang des Komparators 21a mit dem zweiten Steuereingang 20b des Hilfsschalters 16b und der Aus­ gang des Komparators 21b mit dem zweiten Steuereingang 20a des ersten Hilfsschalters 16a verbunden ist, so daß ein Feh­ ler in dem einen Schaltpfad, beispielsweise 40a, das Öffnen des anderen Schaltpfades, beispielsweise 40b, zur Folge hat.

Der Komparator 21a und Operationsverstärker 36a bzw. Kompara­ tor 21b bzw. Operationsverstärker 36b bilden zusammen eine Ausgangsstrommeßstufe 18a, 18b mit einer Schwelle, die es gestattet, zwischen dem beim Einschalten des Hauptschalters 14a, 14b vorhandenen normalen Laststrom und einem unter­ brochenen Strom zu unterscheiden.

Der in die Ausgangsleitung 26a, 26b nach dem Ausgangs­ widerstand 27a, 27b eingeschaltete Tiefpaß 17a, 17b besteht aus zwei hintereinandergeschalteten Induktivitäten 28a, 28b und 29a, 29b, wobei die Verbindungsleitung 31a, 31b zwischen den beiden Induktivitäten mit einem geerdeten Kondensator 30a, 30b verbunden ist. Der Tiefpaß 17a, 17b ist unmittelbar vor den positiven Steckkontakt-Ausgangsklemmen 43a, 43b angeordnet, so daß sowohl das Ein- als auch das Auskoppeln von hochfrequen­ ter Störstrahlung wirksam vermieden wird.

An die Verbindungsleitung 31a, 31b des Tiefpasses 17a, 17b ist weiter eine Ausgangsspannungsmeßstufe 24a, 24b ange­ schlossen, die als wesentlichen Bestandteil ebenfalls einen Komparator enthält, der am Referenzeingang eine Referenz­ spannung Urefv erhält, die eine Spannungsschwelle von bei­ spielsweise 3 V festlegt.

Liegt die tatsächlich gemessene Spannung Ua, Ub über 3 V, nimmt der Ausgang des Komparators der Ausgangsspannungsmeßwerte 24a den Null-Pegel an. Der Ausgang des Komparators der Ausgangsspannungsmeßstufe 24a ist an einen dritten Steuereingang 25b des zweiten Hilfsschalters 16b geführt, während der Ausgang des Komparators der Ausgangsspannungsmeßstufe 24b einem dritten Steuereingang 25a des ersten Hilfsschalters 16a zugeführt ist. Bei O-Pegel am Ausgang der Ausgangsspannungsmeß­ stufen 24a, 24b wird der jeweils andere Hilfsschalter 16b bzw. 16a im geschlossenen Zustand gehalten.

Wird von der Ausgangsspannungsmeßstufe 24a, 24b auf der Aus­ gangsleitung 26a, 26b eine Spannung größer 3 V während der Testpause festgestellt, wird der jeweils andere Hilfsschal­ ter 16b bzw. 16a geöffnet, wodurch die Arbeitsmaschine 22 abgeschaltet wird.

Zwischen die Stromversorgung 11 und den Ausgangsleitungs­ abschnitt zwischen dem Ausgangswiderstand 27a, 27b und dem Tiefpaß 17a, 17b ist jeweils eine Supressordiode 32a, 32b ge­ schaltet, welche über die Ausgangsbuchsen, d. h. Steckkontakte, 43a, 43b eingekop­ pelte und für die Hauptschalter 14a, 14b gefährliche Stör­ impulse ableiten sollen. Dies ist wichtig, weil derartige Störimpulse häufig gleichzeitig auftreten und in einem sol­ chen Falle beide Hauptschalter durchlegieren könnten.

Während ein Durchlegieren der Supressordioden 32a, 32b bereits durch die bisher beschriebenen Testschaltungen erfaßt wird, muß auch noch eine Maßnahme für den Fall geschaffen werden, daß die Supressordioden 32a, 32b unter­ brochen werden oder einer ihrer Anschlußdrähte bricht.

Zu diesem Zweck ist innerhalb der Testpause ein weiterer kür­ zerer Test SA, SB vorgesehen, der ebenfalls vom Testgenera­ tor 45 gesteuert wird.

Zunächst erzeugt der Testgenerator 45 im zweiten Teil der Testpause einen Teststrom auf folgende Weise:
Durch ein Netzgerät 47a, 47b wird schon während des ersten Testpausenteils ein Kondensator 39a, 39b innerhalb einer Teststromquelle 33a, 33b aufgeladen.

Während der Testpause beim Test SA, SB wird dieser Kondensa­ tor 39a, 39b über jeweils eine Ladungspumpe 38a, 38b umgela­ den. Hierbei fließt ein Teststrom über die Supressordiode 32a, 32b und den Ausgangswiderstand 27a, 27b, und zwar in umgekehrter Richtung wie der Laststrom Ia, Ib.

Am Eingang des Operationsverstärkers 36a, 36b entsteht hierdurch eine umgekehrte Spannung als beim Fließen des Laststromes Ia, Ib, was durch einen weiteren Komparator (Teststromkomparator) 34a, 34b erkannt werden kann, dessen Referenzeingang eine Referenzspannung Urefp zu­ geführt ist. Sofern die Supressordiode 32a, 32b intakt ist und ein vorgegebener Teststrom fließt, erscheint am Ausgang des Teststromkomparators 34a, 34b aufgrund einer geeignet gewählten Referenzspannung Urefp ein L-Pegel, der dem jeweils anderen Hilfsschalter 16b bzw. 16a über einen vierten Steuereingang 35b bzw. 35a signalisiert, daß die Supressordiode 32a, 32b in Ordnung ist. Der betreffende Hilfsschalter 16b, 16a wird somit geschlossen gehalten.

Ist eine der Supressordioden 32a, 32b unterbrochen, so fließt der vorgesehene Teststrom nicht, und am Ausgang der Teststromkomparatoren 34a, 34b entsteht ein O-Pegel, wodurch dem angeschlossenen anderen Hilfsschalter 16b bzw. 16a ein entsprechender L Fehler signalisiert wird und der betreffende Hilfsschalter 16b bzw. 16a auf Dauer öffnet und so die Arbeitsmaschine 22 dauerhaft stillsetzt.

Nachdem der Laststromtest bei abgeschaltetem Hauptschalter 14a, 14b während der gesamten Testpause und der Supressor­ diodentest im beispielsweise auf 1/4 verkürzten Testpausen­ teil durchgeführt wird, müssen nicht nur die beiden an den Eingängen 20a, 35a bzw. 20b, 35b auftretenden Steuersignale, sondern auch die Steuersignale an den Eingängen 25a, 25b durch eine UND-Verknüpfung 37a, 37b verbunden werden, damit der Hilfsschalter 16a, 16b dann und nur dann geschlossen bleibt, wenn an den Ausgängen aller Komparatoren 21a, des Komparators in der Ausgangsspannungsmeßstufe 24a 34a bzw. 21b, des Komparators in der Ausgangsspannungsmeßstufe 24b, 34b ein L-Pegel erscheint.

Aufgrund des erfindungsgemäßen definierten einmaligen kurz­ zeitigen Öffnens der Hauptschalter 14a, 14b während eines durch den Testgenerator 45 vorgegebenen. Zyklus wird also geprüft,

• - ob die Hauptschalter 14a, 14b geöffnet werden können bzw. vor Einleiten eines gefahrbringenden Zustandes, der einem In-Betrieb-Setzen der Arbeitsmaschine 22 entspricht, wird geprüft, ob beide Hauptschalter 14a, 14b geöffnet sind,
• - ob die zu prüfenden Ausgangsleitungen 26a, 26b frei von Fremdpotentialen sind, indem die Potentiale auf den Aus­ gangsleitungen 26a, 26b gemessen werden, während der jeweilige Hauptschalter 14a, 14b geöffnet ist,
• - ob die Ausgangsleitungen 26a, 26b frei von Querverbindun­ gen zueinander, d. h. gegeneinander isoliert sind, wofür das zeitversetzte Testen der beiden Hauptschalter 14a, 14b erforderlich ist, und
• - ob die Funktion der Überspannungsschutz-Netzwerke, d. h. der Supressordioden 32a, 32b gegeben ist, indem ein Spannungsstoß definierter Höhe und Energie auf die Supres­ sordioden 32a, 32b gegeben und der dadurch hervorgerufene Teststrom gemessen wird.

Von besonderer Bedeutung für die Erfindung ist es also, daß die beschriebenen Tests A/SA und B/SB deutlich zeitversetzt vor sich gehen, d. h., daß der Schaltpfad 40a sich im Nor­ malbetrieb befindet, wenn im Schaltpfad 40b ein Schnell­ test durchgeführt wird und umgekehrt.

Beim Auftreten eines negativen Testergebnisses (Fehler in einem der Schaltpfade 40a oder 40b) wird der nicht fehlerhaf­ te Schaltpfad 40b bzw. 40a dauerhaft abgeschaltet. Das Arbeitsgerät bzw. die Arbeitsmaschine 22 wird somit schon beim Eintreten des ersten Fehlers am Ende des laufenden Test­ zyklus abgeschaltet, so daß kein gefahrbringender Zustand mehr vorliegt. Das erneute Einschalten des Arbeitsgerätes 22 und damit das erneute Auftreten des gefahrbringenden Zustan­ des wird solange unmöglich gemacht, bis der aufgetretene Feh­ ler behoben ist.

Aufgrund des durch den Testgenerator 45 vorgegebenen Prüf­ zyklus ist die Fehlerlatenzzeit auf das Testintervall bzw. die Testpause begrenzt. Administrative Maßnahmen bezüglich der Prüfung der Schaltpfade 40a, 40b bzw. Abhängigkeiten von den Arbeitszyklen der Arbeitsmaschine 22 entfallen. Aufgrund des defi­ nierten Testintervalls wird das Restrisiko bezüglich des Feh­ lerausschlusses minimiert, da die Prüfung nun erzwungen periodisch und nicht mehr oder weniger willkürlich erfolgt.

Sämtliche die Sicherheit tangierenden Fehler, ebenso Verdrah­ tungsfehler bei der Installation, werden durch die erfindungs­ gemäßen Testschaltungen aufgedeckt. Ein mechanischer Ver­ schleiß entfällt aufgrund der Verwendung von Halbleiterbau­ elementen.

Der Testgenerator 45 beinhaltet eine vom angeschlossenen Sensor unabhängige Zeitbasis, aus welcher die Testperioden Test A, Test SA und Test B, Test SB abgeleitet werden, wobei Testdauer, Anzahl der Testimpulse je Periode, Periodendauer und zeitlicher Versatz von Test A/SA zu Test B/SB entspre­ chend dem anstehenden Sicherheitsproblem vorgewählt werden können.

Zweckmäßigerweise findet für jeweils jeden Schaltpfad 40a, 40b alle 16 ms eine Testpause von 50 ms statt, wobei die Testpausen jeweils 8 ms zueinander versetzt ausgeführt werden.

Die Komparatoren in der Ausgangsspannungsmeßstufe 24a, 24b einerseits und 21a, 21b andererseits arbeiten bezüglich des Schaltzustandes des jeweiligen Hauptschalters 14a, 14b redundant. Wesentlich ist, daß die redundante Information jeweils unabhängig aus dem Laststrom über die Komparatoren 21a, 21b bzw. direkt aus dem Spannungspegel auf der Ausgangsleitung 26a, 26b der Ausgangsspannungsmeßstufe 24a, 24b gebildet wird. Diese Redundanz wird einerseits zur Erhöhung der Sicherheit genutzt, während andererseits Fehler wie Leitungsunter­ brechungen eindeutig unterscheidbar sind von Fremdspannungs­ einflüssen.

Für die Pegel der einzelnen Signale werden folgende Verein­ barungen getroffen:

Sensorsignal: O-Pegel = Stopp
L-Pegel = Freigabe des Ausganges
Testabschaltung des Ausganges über den ersten Steuereingang 19a, 19b:

O-Pegel = Test inaktiv
L-Pegel = Testabschaltung erfolgt
Spannungspegel am Ausgang der Ausgangsspannungsmeßstufe:

O-Pegel = Ua < 3 V
L-Pegel = Ua < 3 V
Ausgang der Teststromkomparatoren 34a, 34b beim Test S:

O-Pegel = Fehler
L-Pegel = Supressordiode 32a, 32b in Ordnung
Ausgangskomparator 21a, 21b:

O-Pegel = Laststrom größer als minimaler Last­ strom
L-Pegel = Laststrom kleiner als minimaler Laststrom
Steuersignal für Hauptschalter 14a, 14b:

O-Pegel = Schalter offen
L-Pegel = Schalter geschlossen.

Vor der ersten Freigabe ist zu prüfen, ob der jeweils andere Schaltpfad 40a, 40b den sicheren Zustand (spannungs- und stromlos) anzeigt. Ebenso sind die Überspannungsschutz­ netzwerke auf Funktion zu prüfen.

Wie aus der beiliegenden Fig. 1 hervorgeht, werden die Ergebnisse der einzelnen Tests eines Schaltpfades 40a, 40b jeweils dem Hilfsschalter 16b, 16a des anderen Schaltpfades 40b, 40a zugeführt. Wird ein zu prüfendes Merkmal des einen Schaltpfades 40a, 40b nicht erfüllt, wird oder bleibt der andere Schaltpfad 40b, 40a verriegelt. Nur bei positivem Testergebnis werden beide Ausgänge durch den L-Pegel des Sensorsignals freigegeben.

Der Tiefpaß 17a bzw. 17b ist so zu bemessen, daß während des zweiten Tests zur Überprüfung der Supressordioden 32a, 32b mittels der Teststromquelle 32a, 33b die Aktoren (z. B. Relais) 12a, 12b effektiv abgekoppelt sind. Somit gewährleistet der Tiefpaß 17a, 17b, daß der durch die Teststromquelle 33a, 33b gelie­ ferte Umladestrom über die Supressordiode 32a, 32b geleitet wird, da der Tiefpaß 17a, 17b so dimensioniert ist, daß er den Umladestrom gegen den angeschlossenen Aktor 12a, 12b sperrt.

In Fig. 2 sind die verschiedenen Impuls-Zeitdiagramme an den am Anfang jedes Diagramms mit Bezugszahlen bzw. Buchstaben gekennzeichneten Stellen wiedergegeben. Während des Zeit­ raums 48 liegt an den beiden Sensoreingängen 15a, 15b ein O-Signal an, was über den Hilfsschalter 16a am Steuereingang 42a des Hauptschalters 14a ebenfalls ein O-Signal zur Folge hat. Dementsprechend liegt auch an der Ausgangsklemme 43a ein O-Signal an, das Relais 12a ist nicht aktiviert. Während einer Zeit t3 von 50 µm gibt der Testgenerator 45 ein L-Signal aus. Innerhalb dieser so definierten Testpause t3 gibt der Testgenerator 45 an die Teststromquelle 33a einen gegenüber der Zeit t3 auf eine deutlich kürzere Zeit t4 verkürzten weiteren Testimpuls ab. Während des Testes SA fließt durch den Widerstand 27a der Teststrom IT, was wieder­ um am Ausgang des Teststromkomparators 34a ein L-Signal ebenfalls der Zeitdauer t4 zur Folge hat.

Da jedoch in diesem Betriebszustand die Arbeitsmaschine 22 durch Inaktivierung des Relais 12a ohnehin abgeschaltet ist, hat der Test A/SA keine Auswirkungen auf den Ausgang.

Nach einer Zeit t1 von beispielsweise 8 ms erfolgt in ganz entsprechender Weise der Test B.

Es sei nun angenommen, daß zu einem Zeitpunkt 49 an den Sen­ soreingängen 15a, 15b von der Lichtschranke her ein L-Signal, also ein Freigabesignal erscheint. Dies führt auch am Steuereingang 42a zu einem L-Signal und hat weiter die aus dem Diagramm nach Fig. 2 ersichtlichen Pegeländerungen an den einzelnen Stellen der Schalteranordnung zur Folge.

Wird nun nach einer Zeit t2 von beispielsweise von 8 ms ein Test A durchgeführt, so hat dies am Steuereingang 42a ein O-Signal zur Folge, welches den Hauptschalter 14a kurzzei­ tig, d. h. für die Zeit t3, abschaltet. Während des innerhalb der Zeit t3 durchgeführten Testes SA fließt dann entgegen dem zunächst vorhanden gewesenen Ausgangsstrom Ia kurzzeitig der Teststrom IT.

An den Ausgängen der Komparatoren 34a, 21a und des Komparators in der Ausgangsspannungsmeßstufe 24a liegt dann jeweils ein L-Signal an, weil nirgends ein Fehler vorliegt.

Am Ausgang 43a entsteht ebenfalls kurzzeitig ein O-Signal, welches jedoch wegen seiner Kürze nicht zur Deaktivierung des Relais 12a ausreicht.

Auf jeden Fall bleibt der Hilfsschalter 16b des Schaltpfades 40b geschlossen, weil kein Fehler gemeldet wird.

Beim Diagramm nach Fig. 3 sei ein Fehler F der Supressor­ diode 32a angenommen, welcher dazu führt, daß während des Testes SA der im fehlerfreien Zustand fließende negative Teststrom IT ausfällt.

Durch entsprechende logische Beschaltung der Hilfsschalter 16a, 16b kann bereits dieses Fehlen des negativen Testimpul­ ses IT dazu genutzt werden, den Hilfsschalter 16b zu veran­ lassen, in den geöffneten Zustand zu gelangen, so daß beim Erscheinen eines L-Signals an den Sensoreingängen 15a, 15b trotz des dann erfolgenden Schließens des Hauptschalters 14a (siehe Signal am Steuereinganq 42a) der Hauptschalter 14b abgeschaltet bleibt (siehe das auf 0 bleibende Signal am Steuereingang 42b, welches - wie bei 51 angedeutet ist - im Gegensatz zum fehlerfreien Zustand (siehe 52 in Fig. 2) auf 0 bleibt.

Selbst wenn während der Stoppzeit 48 der Hilfsschalter 16b noch nicht geöffnet sein sollte, so wird er spätestens dann geöffnet, wenn während der Freigabezeit 50 beim Test SA der Fehler F auftritt, denn dadurch fällt der negative Teststrom IT im Widerstand 27a aus, was bedeutet, daß an den Eingängen 20b, 25b, 35b des Schaltpfades 40b die UND-Bedingung nicht mehr erfüllt ist, weil nur zwei Eingänge (20b, 25b) ein L-Signal erhalten, der Eingang 35b dagegen ein O-Signal.

Die Arbeitsmaschine 22 bleibt also bis zur Beseitigung des Fehlers F dauerhaft abgeschaltet.

Claims (23)

1. Sicherheitsschalteranordnung zum Ein- und Ausschalten der Stromversorgung (11) von zwei beim Einschalten des Stromes gemeinsam ein Arbeitsgerät (22) in Betrieb setzenden Aktoren (12a, 12b) in Abhängigkeit von einem an einem Sensoreingang (15a, 15b) anstehenden Sensor­ schaltsignal (13a, 13b) mit zwei zwischen der Stromver­ sorgung (11) und jedem Aktor (12a, 12b) angeordneten Hauptschaltern (14a, 14b), dadurch gekennzeichnet, daß zwischen dem Sensoreingang (15a, 15b) und den Haupt­ schaltern (14a, 14b) jeweils ein steuerbarer Hilfsschal­ ter (16a, 16b) angeordnet ist, der bei durch Anlegen eines Sensor-Schließsignals geschlossenem Hauptschalter (14a, 14b) von einem Testgenerator (45) über einen ersten Steuereingang (19a, 19b) des Hilfsschalters (14a, 14b) in regelmäßigen Zeitabständen zeitversetzt zu dem jeweils anderen Hilfsschalter (16b, 16a) aus dem Schließ­ zustand so kurzzeitig geöffnet wird, daß die dadurch bewirkte kurzzeitige Öffnung des zugeordneten Hauptschal­ ters (14a, 14b) aufgrund der Trägheit der Aktoren (12a, 12b) nicht ausreicht, das angeschlossene Arbeitsgerät (22) außer Betrieb zu setzen, daß eine Testschaltung (21a, 21b; 24a, 24b; 27a, 27b; 36a, 36b) vorgesehen ist, welche prüft, ob auch der dem jeweiligen geöffneten Hilfsschalter (16a, 16b) zugeordnete Hauptschalter (14a, 14b) geöffnet ist, und daß bei Nichtöffnung eines Hauptschalters (14a, 14b) der jeweils andere Hilfsschal­ ter (16b, 16a) aus dem Schließzustand in den Öffnungszu­ stand gesetzt und dauerhaft in diesem gehalten wird.

2. Sicherheitsschalteranordnung nach Anspruch 1, dadurch gekennzeichnet, daß die Hauptschalter (14a, 14b) und/oder die Hilfsschal­ ter (16a, 16b) gesteuerte Halbleiterschalter sind, wobei die Hauptschalter (14a, 14b) mit einem integrierten Überlastschutz versehen sind.

3. Sicherheitsschalteranordnung nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß die Testfrequenz zur kurzzeitigen Öffnung der Hilfs­ schalter (16a, 16b) in der Größenordnung von 10 bis 100 Hz liegt.

4. Sicherheitsschalteranordnung nach einem der vorhergehen­ den Ansprüche, dadurch gekennzeichnet, daß die Zeit zwischen zwei aufeinanderfolgenden kurzzei­ tigen Öffnungen der Hilfsschalter (16a, 16b) kleiner als 200 µs, vorzugsweise 30 bis 70 und insbesondere etwa 50 µs lang ist.

5. Sicherheitsschalteranordnung nach einem der vorhergehen­ den Ansprüche, dadurch gekennzeichnet, daß an jedem Hauptschalter (14a, 14b) eine Ausgangsstrom­ meßstufe (18a, 18b) vorgesehen ist, deren Ausgang an einen zweiten Steuereingang (20b, 20a) des Hilfsschal­ ters (16b, 16a) des jeweils anderen Hauptschalters (14b, 14a) angeschlossen ist und die einen Komparator (21a, 21b) aufweist, dessen Schwellenwert (Urefn) für den kleinsten vorgesehenen Laststrom (Ia, Ib) am Ausgang des geschlossenen Hauptschalters (14a, 14b) repräsentativ ist, bei dessen Unterschreitung während der Zeit zwi­ schen zwei aufeinanderfolgenden kurzzeitigen Öffnungen der Hilfsschalter (16a, 16b) der andere Hilfsschalter (16b, 16a) geschlossen bleibt, während er bei dessen Überschreitung während der Zeit zwischen zwei aufeinan­ derfolgenden kurzzeitigen Öffnungen der Hilfsschalter (16a, 16b) über den zweiten Steuereingang (20b, 20a) des Hilfsschalters (16b, 16a) dauernd geöffnet wird, wodurch das Arbeitsgerät (22) abgeschaltet wird.

6. Sicherheitsschalteranordnung nach einem der vorhergehen­ den Ansprüche, dadurch gekennzeichnet, daß an jedem Hauptschalter (14a, 14b) eine Ausgangsspan­ nungsmeßstufe (24a, 24b) vorgesehen ist, deren Ausgang an einen dritten Steuereingang (25a, 25b) des Hilfsschal­ ters (16b, 16a) des jeweils anderen Hauptschalters (14b, 14a) angeschlossen ist und deren Schwellenwert für die die höchste Ausgangsspannung (Urefv), bei der die Akto­ ren (12a, 12b) gerade noch nicht in den aktiven, das Arbeitsgerät (22) einschaltenden Zustand gelangen bzw. in diesem verharren, repräsentativ ist und bei deren Unterschreitung während der Zeit zwischen zwei aufeinan­ derfolgenden kurzzeitigen Öffnungen der Hilfsschalter (16b, 16a) der Hilfsschalter (16b, 16a) des jeweiligen anderen Hauptschalters (14b, 14a) geschlossen bleibt, während er bei deren Überschreitung während der Zeit zwischen zwei aufeinanderfolgenden kurzzeitigen Öffnun­ gen der Hilfsschalter (16b, 16a) über den dritten Steuer­ eingang (25b, 25a) des besagten Hilfsschalters (16b, 16a) dauernd geöffnet ist, wodurch das Arbeitsgerät (22) abgeschaltet wird.

7. Sicherheitsschalteranordnung nach Anspruch 5 und 6, dadurch gekennzeichnet, daß die Ausgangsspannungsmeßstufe (24a, 24b) an der Ausgangsleitung (26a, 26b) des Hauptschalters (14a, 14b) nach der Ausgangsstrommeßstufe (18a, 18b) angeordnet ist.

8. Sicherheitsschalteranordnung nach Anspruch 5 oder 7, dadurch gekennzeichnet, daß die Ausgangsstrommeßstufe (18a, 18b) an einen in die Ausgangsleitung (26a, 26b) des Hauptschalters (14a, 14b) geschalteten Ausgangswiderstand (27a, 27b) angeschlossen ist.

9. Sicherheitsschalteranordnung nach einem der vorhergehen­ den Ansprüche, dadurch gekennzeichnet, daß zwischen jeden Hauptschalter (14a, 14b) und jeden Aktor (12a, 12b) ein Tiefpaß (17a, 17b) geschaltet ist.

10. Sicherheitsschalteranordnung nach Anspruch 9, dadurch gekennzeichnet, daß der Tiefpaß (17a, 17b) zur Verhinderung von Hochfre­ quenzströmen zwischen Aktor (12a, 12b) und Hauptschalter (14a, 14b) ausgebildet ist.

11. Sicherheitsschalteranordnung nach Anspruch 5 und Anspruch 9 oder 10, dadurch gekennzeichnet, daß der Tiefpaß (17a, 17b) nach der Ausgangsstrommeß­ stufe (18a, 18b) in der Ausgangsleitung (26a, 26b) des Hauptschalters (14a, 14b) angeordnet ist.

12. Sicherheitsschalteranordnung nach einem der Ansprüche 9 bis 11, dadurch gekennzeichnet, daß der Tiefpaß (17a, 17b) aus zwei hintereinanderge­ schalteten Induktivitäten (28a, 28b; 29a, 29b) und einem zwischengeschalteten geerdeten Kondensator (30a, 30b) besteht.

13. Sicherheitsschalteranordnung nach Anspruch 6 oder 7 und Anspruch 12, dadurch gekennzeichnet, daß die Ausgangsspannungsmeßstufe (24a, 24b) an den Tief­ paß (17a, 17b), und zwar an die Verbindungsleitung (31a, 31b) zwischen den beiden Induktivitäten (28a, 28b; 29a, 29b) angeschlossen ist.

14. Sicherheitsschalteranordnung nach einem der vorhergehen­ den Ansprüche, dadurch gekennzeichnet, daß zwischen die Stromversorgung (11) und die Ausgangs­ leitung (26a, 26b) des Hauptschalters (14a, 14b) jeweils eine Supressordiode (32a, 32b) derart eingeschaltet ist, daß sie auf der Ausgangsleitung (26a, 26b) erscheinende Störimpulse ableitet und so von den Hauptschaltern (14a, 14b) fernhält.

15. Sicherheitsschalteranordnung nach Anspruch 8 und 14, dadurch gekennzeichnet, daß die Supressordiode (32a, 32b) nach dem Ausgangswider­ stand (27a, 27b) und/oder vor dem Tiefpaß (17a, 17b) an die Ausgangsleitung (26a, 26b) des Hauptschalters (14a, 14b) angelegt ist.

16. Sicherheitsschalteranordnung nach Anspruch 14 oder 15, dadurch gekennzeichnet, daß eine weitere, vom Testgenerator (45) angesteuerte Testschaltung (33a, 33b; 34a, 34b) zur Prüfung der Funktion der Supressordioden (32a, 32b) während der Zeit zwischen zwei aufeinanderfolgenden kurzzeitigen Öffnun­ gen der Hilfsschalter (16a, 16b) vorgesehen ist.

17. Sicherheitsschalteranordnung nach Anspruch 16, dadurch gekennzeichnet, daß die weitere Testvorrichtung (33a, 33b; 34a, 34b) innerhalb der Zeit zwischen zwei aufeinanderfolgenden kurzzeitigen Öffnungen der Hilfsschalter (16a, 16b), vorzugsweise während einer kürzeren Zeit als die erste Testschaltung (21a, 21b; 24a, 24b; 27a, 27b; 36a, 36b), aktiviert ist, derart, daß innerhalb der Zeit zwischen zwei aufeinanderfolgenden kurzzeitigen Öffnungen der Hilfsschalter (16a, 16b) sowohl die Testung nach den Ansprüchen 1 bis 15 als auch die Testung nach Anspruch 16 durchführbar ist.

18. Sicherheitsschalteranordnung nach Anspruch 17, dadurch gekennzeichnet, daß die weitere Testvorrichtung (33a, 33b; 34a, 34b) eine vom Testgenerator (45) angesteuerte Teststromquelle (33a, 33b) aufweist, die nur während der Zeit zwischen zwei aufeinanderfolgenden kurzzeitigen Öffnungen der Hilfsschalter (16a, 16b) eine Spannung an die Ausgangs­ leitung (26a, 26b) des Hauptschalters (14a, 14b) anlegt, welche bei intakter Supressordiode (32a, 32b) einen vorbestimmten Teststrom zur Folge hat, während bei mehr oder weniger unterbrochener Supressordiode (32a, 32b) kein oder nur ein stark herabgesetzter Teststrom fließt, und daß eine Teststrommeßstufe (34a, 34b) vorgesehen ist, deren Schwellenwert (Urefp) für einen bei nicht unterbrochener Supressordiode (32a, 32b) gerade noch zulässigen Teststrom repräsentativ ist.

19. Sicherheitsschalteranordnung nach Anspruch 18, dadurch gekennzeichnet, daß der Teststrom und der Ausgangsstrom (Ia, Ib), die entgegengesetzte Richtung aufweisen, von der Ausgangs­ strommeßstufe (18a, 18b) gemessen werden, in der als Teststrommeßstufe (34a, 34b) ein weiterer Komparator vorgesehen ist, dessen Schwellenwert (Urefp) für den geringst zulässigen Test­ strom repräsentativ ist und bei dessen Überschreitung während der Zeit zwischen zwei aufeinanderfolgenden kurzzeitigen Öffnungen der Hilfsschalter (16a, 16b) der andere Hilfsschalter (16b, 16a) geschlossen bleibt, während er bei dessen Unterschreitung während der Zeit zwischen zwei aufeinanderfolgenden kurzzeitigen Öffnun­ gen der Hilfsschalter (16a, 16b) über einen vierten Steuereingang (35b, 35a) des Hilfsschalters (16b, 16a) dauernd geöffnet wird.

20. Sicherheitsschalteranordnung nach Anspruch 19, dadurch gekennzeichnet, daß die Ausgangsstrommeßstufe (18a, 18b) und die Aus­ gangsspannungsmeßstufe (24a, 24b) Komparatoren (21a, 21b, 24a, 24b, 34a, 34b) und/oder Operationsverstärker (36a, 36b) aufweisen.

21. Sicherheitsschalteranordnung nach einem der Ansprüche 5 bis 20, dadurch gekennzeichnet, daß die Ausgangsstrommeßstufe (18a, 18b) zwei Kompara­ toren (21a, 21b; 34a, 34b) zur Messung des Laststroms bzw. des Teststroms aufweist.

22. Sicherheitsschalteranordnung nach einem der Ansprüche 5 bis 21, dadurch gekennzeichnet, daß die Ausgänge aller Komparatoren (21a, 21b; 24a, 24b; 34a, 34b) im jeweils anderen Hilfsschalter (16b, 16a) durch eine logische UND-Verknüpfung (37b, 37a) derart verbunden sind, daß der Hilfsschalter (16b, 16a) nach der Zeit zwischen zwei aufeinanderfolgenden kurzzeitigen Öffnungen der Hilfsschalter (16a, 16b) nur dann geschlos­ sen bleibt, wenn kein Fehler vorliegt.

23. Sicherheitsschalteranordnung nach einem der Ansprüche 18 bis 22, dadurch gekennzeichnet, daß die Teststromquelle (33a, 33b) eine Ladungspumpe (38a, 38b) und einen umladbaren Kondensator (39a, 39b) aufweist.