EP0505774B1 - Sicherheitsschaltgerät - Google Patents

Sicherheitsschaltgerät Download PDF

Info

Publication number
EP0505774B1
EP0505774B1 EP92103648A EP92103648A EP0505774B1 EP 0505774 B1 EP0505774 B1 EP 0505774B1 EP 92103648 A EP92103648 A EP 92103648A EP 92103648 A EP92103648 A EP 92103648A EP 0505774 B1 EP0505774 B1 EP 0505774B1
Authority
EP
European Patent Office
Prior art keywords
switching device
input
signal
security switching
time monitoring
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Lifetime
Application number
EP92103648A
Other languages
English (en)
French (fr)
Other versions
EP0505774A1 (de
Inventor
Karl Stipak
Udo Ratey
Hubert Strobel
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Pilz GmbH and Co KG
Original Assignee
Pilz GmbH and Co KG
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Pilz GmbH and Co KG filed Critical Pilz GmbH and Co KG
Publication of EP0505774A1 publication Critical patent/EP0505774A1/de
Application granted granted Critical
Publication of EP0505774B1 publication Critical patent/EP0505774B1/de
Anticipated expiration legal-status Critical
Expired - Lifetime legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G08—SIGNALLING
    • G08B—SIGNALLING OR CALLING SYSTEMS; ORDER TELEGRAPHS; ALARM SYSTEMS
    • G08B29/00—Checking or monitoring of signalling or alarm systems; Prevention or correction of operating errors, e.g. preventing unauthorised operation
    • G08B29/18—Prevention or correction of operating errors
    • G08B29/185—Signal analysis techniques for reducing or preventing false alarms or for enhancing the reliability of the system
    • G—PHYSICS
    • G08—SIGNALLING
    • G08B—SIGNALLING OR CALLING SYSTEMS; ORDER TELEGRAPHS; ALARM SYSTEMS
    • G08B29/00—Checking or monitoring of signalling or alarm systems; Prevention or correction of operating errors, e.g. preventing unauthorised operation
    • G08B29/16—Security signalling or alarm systems, e.g. redundant systems

Definitions

  • the invention relates to a safety switching device with the features of the preamble of claim 1.
  • a generic safety switching device in the form of a speed monitoring device works with two sensors, for example monitoring an engine speed, which emit an analog signal proportional to the speed at their output.
  • An analog / digital converter is connected to each sensor and outputs a binary signal at its output. In this way, two binary are independent of each other Generates signals that indicate whether the monitored motor is running below a permissible maximum speed or has exceeded the maximum speed.
  • the two output signals of the analog / digital converters are linked to one another in a switching stage, which generates a total of four inhibit signals which reach a subsequent switching stage.
  • the switching stage contains an oscillator that can be locked via the inhibit inputs. After rectification, the output voltage of the oscillator is used to supply power to relays that are in the control circuit of the monitored device.
  • At least one of the inhibit signals appears and switches the oscillator off, so that the relays return to the idle state, as a result of which the system is shut down.
  • the device Since with the known device only the exceeding of a maximum permissible engine speed has to be monitored, the chronological order when the error signals occur does not matter. Therefore, the device does not evaluate a time condition between the error signals.
  • the time window begins after the contact closes and closes within a specified time, it also remains closed, so that the safety switching device can no longer switch to the other state. On the other hand, it changes to a self-holding state if the signals present at the input switch from the idle value to the work value within the defined time window. On the other hand, the time windows can only be started when both signals at the inputs return to the idle value.
  • time windows are set to approximately the same values.
  • the length of the time window depends on the time within which experience has shown that both signals at the inputs switch from the idle value to the work value if all parts function properly.
  • Improved safety can be achieved if an inverter is connected between each input of the safety switching device and the associated time monitoring circuit. Depending on the dimensioning of the inverter and the subsequent circuit, dangerous states or the self-start of the circuit can be avoided if the supply voltage is switched off and on again and the signals at the inputs of the safety switching device both have the working value.
  • the easiest way to implement the time monitoring circuit is to use a non-triggerable monoflop, the flip time of which determines the length of the time window and which is only started when the input signal at the relevant input changes from the idle value to the working value.
  • the easiest way to implement the feedback circuit is to use two relays, each of which has positively driven contacts. With the help of the contacts of the relays, the self-holding state of the safety switching device can be achieved very easily, so that regardless of the duration of the time window, the relevant initial state is maintained as long as both signals have the working value at the inputs. In this way, the time window can also be activated in the other time monitoring circuit. while reactivation is excluded if the relevant relay gets stuck.
  • the activation of the time window in the respective other time monitoring circuit is prevented when a signal is present at the auxiliary input for the time monitoring circuit under consideration which, in itself, enables switching through when the signal at the relevant input of the safety switching device assumes the work value.
  • a very reliable combination of the output signals of both time monitoring circuits is achieved if the two connected relays have two make contacts or two normally closed contacts, which are connected in series or in parallel and whose switching state represents the output signal of the safety switching device.
  • the safety device 1 illustrates a safety device 1 which is used to evaluate the electrical signals from sensors 2 and 2 ', which monitor one and the same operating parameter of a system in order to increase the redundancy and reliability.
  • the two sensors 2 and 2 ' are, for example, door contact switches with the aid of which it is determined whether an access door in a protective fence for a system, for example an industrial robot, is open or closed.
  • the system behind the protective fence may only be put into operation when it is closed.
  • the closing of the door is indicated by the fact that the two switches 2 and 2 'representing the sensors are closed, while the switches are also open when the door is open.
  • door contact switches 2 and 2 'shown instead of the door contact switches 2 and 2 'shown, other sensors, for example speed sensors, light barriers and the like, can also be used. be connected, which emit an electrical binary signal at their output.
  • sensors for example speed sensors, light barriers and the like, can also be used. be connected, which emit an electrical binary signal at their output.
  • the safety switching device 1 essentially contains two channels 3 and 3 'of the same structure and therefore the corresponding components and assemblies in the two channels are provided with the same reference number, an apostrophe being appended to the reference number in the case of channel 3'.
  • Channel 3 has an input 4, into which the signal of sensor 2 is fed. From there, the input signal arrives at an input circuit 5 which can contain the incoming input signal, for example to the signal level suitable for further processing in the safety switching device 1, to suppress interference signals at the input 4 or also makes a resistance adjustment.
  • the input circuit 5 can also carry out an analog / digital conversion, so that the binary digital signal required for further processing only arises at its output 6.
  • An inverter 7 is connected to the output 6 of the input circuit 5, the output 8 of which emits a signal which, on the one hand, arrives in a time monitoring circuit 9 belonging to the channel and in a feedback circuit 11 which electrically connects the two channels 3 and 3 'to one another. Electrical signals enter the time monitoring circuit 9 via inputs 12 and 13 as well as an auxiliary input 14. The output signal of the time monitoring circuit 9 is emitted via an output 15 to a relay winding 16 of a relay 17.
  • the time monitoring circuit 9 contains a non-triggerable monoflop 18, the inverting input of which simultaneously represents the input 12 of the time monitoring circuit 9.
  • the monoflop 18 is connected to an input 19 of an OR gate 21, the other input 22 of which represents the auxiliary input 14.
  • a tracking circuit with an inverting input can also be used instead of the monoflop 18 with an inverting input.
  • the time monitoring circuit 9 contains an AND gate 23 with two inputs 24 and 25, the input 25 being negated, and an output 26, which forms the output 15 of the time monitoring circuit 9.
  • the input 24 of the AND gate 23 is connected to the output of the OR gate 21, while the negated input 25 is connected to the input 13 of the time monitoring circuit 9.
  • Channel 3 ' has the same structure as channel 3 and is assigned to sensor 2'.
  • Each of the two relays 17 and 17 ' contains a normally closed contact 17a or 17a' and a normally open contact 17b or 17b ', the normally open and normally closed contacts 17a and 17b or 17a' and 17b 'being positively coupled to one another such that , if the work contact is burnt down and does not open, the associated break contact cannot close or vice versa.
  • the two relays 17 and 17 ' also contain two normally open contacts 28 and 28', which are connected in series and form a potential-free output 29 of the safety switching device. The switching state of the two working contacts 28 and 28 'connected in series represents the switching state of the safety switching device 1.
  • the two contacts 28 and 28' are also positively guided with the other two contacts 17a, 17b or 17a 'and 17b'.
  • the contacts 17a to 17b ' form the feedback circuit 11 in such a way that the normally closed contact 17a lies in a connecting line 31 which connects the output 8 of the inverter 7 to the input 12', while a connecting line 31 'connects the output 8' of the inverter 7 'connects to the input 12.
  • the auxiliary input 14 is connected via a line 32 and the normally open contact 17b to the output 6 'of the input circuit 5', while the normally open contact 17b 'lies in the connecting line 32' which between the output 6 of the input circuit 5 and the auxiliary input 14 ' Establishes connection.
  • the necessary pull-up or pull-down resistors are not shown and result from the functional description.
  • the safety switching device 1 described so far operates as follows, starting from the idle state shown in FIG. 1, in which the two sensors 2 and 2 'emit a signal corresponding to the idle value, this leads to the fact that the two relays 17 and 17 'have dropped out, so that their contacts assume the idle states shown, in which the normally closed contacts are closed and the working contacts are open. Based on this situation, it is assumed that the door contact switch 2 representing the sensor closes, as a result of which the positive supply voltage U B is connected to the input 4, which corresponds to an H signal.
  • This H signal reaches the output 6 of the input circuit 5 with a corresponding level adjustment and thus once to the feedback circuit 11 and into the inverter 7.
  • the H signal cannot reach the time monitoring circuit 9 'since the normally open contact 17b' is open.
  • the signal reaches the time monitoring circuit 9 inverted as an L signal from the output 8, specifically via the input 13 to the inverting input 25 of the AND gate 23.
  • the door contact switch 2 At the time in question, the door contact switch 2 'has not yet closed, which is why the signals there have potential for rest. Consequently, there is no pulse at the inverting input of the monoflop 18 either.
  • the monoflop 18 remains in its idle state with L at the output and since the other input 22 of the OR gate 21 does not receive an H signal due to the open normally open contact 17b, the input 24 of the AND gate 23 remains at L and consequently also the signal at exit 26.
  • the normally open contact 17b ' closes and the normally closed contact 17a' opens.
  • the L signal from the channel 3' reaches the inverting input of the non-triggerable monoflop 18 via the closed normally closed contact 17a ', which is then at its output switches to H.
  • This H signal passes through the OR gate 21 to the AND gate 23, which now also has states at its input which lead to an H signal at the output 26, as a result of which the relay 17 is also switched over.
  • the other two contacts 17a and 17b in the feedback circuit 11 also flip over to the other state.
  • the door contact switch 2 If, after the door contact switch 2 has been closed, the door contact switch 2 'only closes after the tilting time of the monoflop 18' has elapsed, the H signal at the input 24 'disappears, which means that the door contact holder 2' is now closed at the inverting input 25 '. generates an L signal, while, on the other hand, the non-inverting input 24 'of the AND gate 23' has already resulted in the AND gate 23 'being blocked.
  • Closing the door contact switch 2 triggers the monoflop 18, whereby an H signal is generated, which reaches the AND gate 23 via the OR gate 21, which leads to the relay 17 being pulled, but only requires its switching an opening of the normally closed contact 17a, whereby the existing L level on the line 31 for the monoflop 18 'is retained.
  • the switching of the relay 17 it does not provide a different signal at its output than before after the flipping time has expired. Since only one of the two relays 17, 17 'has thus picked up, the output 29, 29' of the safety switching device 1 also remains open.
  • the safety switching device 1 can only be reset by also opening the previously closed door contact switch 2, so that the signals at the inverting inputs of both non-retriggerable monoflops 18 and 18 'return to the H state in order to Prepare monoflops 18 and 18 'for a next trigger.
  • the time monitoring circuit 9 and 9 ' defines, as is apparent from the description, with the help of the monoflops 18 and 18' contained therein, each a time window and, as can be seen from the above description, both door contact switches 2 and 2 'within the Switch the time window into the closed state at the same time so that the safety switching device also switches over both relays 17 and 17 '.
  • the open door contact switch 2, 2 ' corresponds to the idle value', an L potential being generated at the input 4, 4 ', while the closed door contact switch 2, 2' produces the signal corresponding to the work value.
  • FIG. 2 shows a detailed circuit diagram of how the safety switching device 1 specified in block form in FIG. 1 and described with regard to its function can be implemented.
  • discrete components are provided, whereby under certain circumstances logic functions to which a block is assigned in FIG. 1 are implicitly implemented by certain circuit measures.
  • a further simplification and increase in security is also achieved in that the output signal of the input circuit simultaneously becomes the power supply for the rest of the two channels 3 and 3 '.
  • the time window function is implemented somewhat differently with the aid of the discrete components. The time window function is generated with the help of the aforementioned overrun circuit.
  • the channel 3 contains in its input circuit 5 a transistor 36 with its emitter connected to a positive supply voltage 35, the base of which is connected on the one hand to the positive supply voltage 35 via a resistor 37 and on the other hand to the input 4 via a resistor 38.
  • the collector of transistor 36 is connected to the circuit ground via a resistor 39.
  • a voltage divider made up of resistors 41 and 42 which are connected in series and are connected to positive supply voltage 35. The voltage divided down by means of the voltage divider 41, 42 reaches the base of a transistor 43, which is the active element of the inverter 7.
  • the transistor 43 has its emitter connected to the positive supply voltage 35, while its collector is connected to the circuit ground via a voltage divider made up of resistors 44 and 45.
  • the voltage generated by the voltage divider 44, 45 enters the input 13 of the time monitoring circuit 9, the input 13 being formed by the base of a transistor 46 which is on the emitter side of the circuit ground.
  • the base of a transistor 47 is connected to the collector of transistor 46, the collector of which is in turn connected to the base of a transistor 48.
  • Transistors 47 and 48 are also on the emitter side of the circuit ground.
  • the collector of transistor 48 is connected to one end of relay winding 16, the other end of which is connected to two resistors 49 and 51. Resistor 49 leads from relay winding 16 to the collector of transistor 46 and resistor 51 leads to the collector of transistor 47.
  • a time-determining capacitor 52 is connected in parallel with the series circuit comprising the relay winding 16 and the bipolar NPN transistor 48.
  • Two resistors 53 and 54 extend from the hot end of the capacitor 52, one of which connects to the normally open contact 17b and the other connects to the normally closed contact 17a '.
  • the channel 3 ' insofar as the channel 3 has been described so far, has an identical structure, which is why the same reference symbols are used for the components of the channel 3', supplemented by an apostrophe.
  • a connection is made from the collector of the transistor 36 via a diode 55 to the normally closed contact 17a by means of a line 56.
  • the line 56 has a correspondence 56' through which the collector of the transistor 36 'via a Diode 55 'is connected to the normally closed contact 17a'.
  • transistor 36 is conductive.
  • its collector practically carries the voltage on line 35, which leads via diode 55, which is operated in the forward direction, and closed normally closed contact 17a, that capacitor 52 'is charged via resistor 54'.
  • the capacitor 52 is charged via the transistor 36 ', which is also conductive when the door is open, and the supply voltage is switched on at the hot ends of the two relay windings 16 and 16'.
  • the H potential at the collector of the transistor 36 leads to a blocking of the transistor 43, with the result that the transistor 46 is also blocked.
  • the transistor 47 can come into the conductive state because its base receives current from the voltage across the capacitor 52 via the resistor 49.
  • the conductive state of the transistor 47 leads to a potential close to the ground potential at its collector, as a result of which the following transistor 48 is blocked and consequently no current can flow through the relay winding 16 either.
  • both relays 17 and 17' have dropped out, so that their contacts 17a ... 17b 'are in the rest position shown.
  • the door is closed and one of the switch contacts opens, for example the switch contact at input 4, the downstream transistor 36 is subsequently blocked. This prevents the capacitor 52 'from being recharged via the line 35.
  • the diode 55 prevents the capacitor 52 'from discharging to ground via the resistor 39.
  • transistor 43 now becomes conductive and switches transistor 46 on.
  • transistor 47 is blocked and transistor 48 is switched to the conductive state, whereupon relay 17 picks up, since it is connected via charged capacitor 52 as well as via resistor 54, closed normally closed contact 17a 'and transistor 36, which is still conductive 'Receives electricity.
  • its normally open contact 17b closes and its normally closed contact 17a opens.
  • the opening of the normally closed contact 17a has no influence on the further function in the fault-free operation, since the recharging of the capacitor 52 'is interrupted anyway because of the blocked transistor 36.
  • the closing of the normally open contact 17b is prepared for self-holding if the power supply via the normally closed contact 17a 'is interrupted.
  • This interruption occurs at the moment when the contact at the input 4 'also opens, whereby the transistor 36' is blocked.
  • the power supply via the still closed normally closed contact 17a ' is interrupted because the collector of transistor 36' is now connected to ground via resistor 39 '.
  • the transistor 43 ' comes into the conductive state, so that the power supply to the relay 17 via the now closed normally open contact 17b from the line 35 is also ensured.
  • transistor 43 ' The conductive state of transistor 43 'causes transistor 46' to turn on, which in turn causes transistor 47 'to switch to the off state.
  • the transistor 48' becomes conductive, as a result of which the circuit is switched on by the magnetic winding 16 '. If at this point in time the voltage across capacitor 52 'is still high enough because previously conductive transistor 47' in conjunction with resistor 51 'could not discharge capacitor 52' far enough, the charge is sufficient to enable relay 17 'to To put on. This also causes its contacts 17a 'and 17b' to change to the state other than that shown, i.e.
  • the relay 17 ' can no longer pick up.
  • the safety switching device 1 thereby comes into a state in which only one of the two relays, namely the relay 17 in the case explained, has picked up, so that only the contact 28 is closed between the output terminals 29 and 29 ', while the contact 28' remains open .
  • the discharge time of the capacitor 52 'or the capacitor 52 in the opposite case defines the time window within which the two signals at the inputs 4 and 4' must change to the working value. If one of the signals changes outside the time window, it is only possible to switch the safety switching device 1 to the state with the output switched through if the signal at the other input disappears in the meantime, because otherwise it can no longer charge the relevant, now discharged capacitor 52 or 52 'come.
  • the AND link shown in FIG. 1 by the AND gate 23 between the signal at the input 4 and the output of the monoflop 18 is achieved in the circuit according to FIG. 2 in that the input signal via the transistors 43, 46, 47, 48 or 43 ', 46', 47 ', 48' is fed to one end of the relay winding 16 or 16 ', while the output signal of the monoflop 18 is fed into the other end.
  • the monoflop 18 is modified to a release-delayed circuit, realized essentially by the capacitor 52 ′ and the discharge circuit effective when the relay 17 is switched off resistor 51 and transistor 47; the same applies analogously to channel 3 '.
  • a time window is realized which begins when the signal is switched on at one of the inputs 4, 4 'and which closes when either the flip-over time of the monoflop 18 has expired or the capacitor 52, 52' has discharged to such an extent that the voltage is no longer sufficient to attract relay 17 or 17 '.
  • a precise analysis of the circuit according to FIG. 2 shows that switching on of the two working contacts 28 and 28 'is also prevented with certainty if one of the components of the safety switching device 1 fails in the manner typical for the component.
  • the safety switching devices 1 shown in the figures make it possible to monitor the sensors connected to them redundantly, so that no switching on at the output of the safety switching device 1 can occur even if the sensors signal the "good state" one after the other outside the intended time window.
  • the safety switching device 1 assumes that both sensors connected to it must change to the "good state" within the time window. Simultaneity is only lost if one of the sensors fails.
  • the new safety switching device 1 Since the time condition must be observed, a device monitored with the new safety switching device 1 cannot be put into operation even if the other "good condition" in question is set later because the time condition cannot be maintained by hand. With the help of the new safety switching device 1, however, it is possible to clearly to recognize when one of the sensors has failed and, for example, always shows the "good condition", i.e. does not return to its idle value, but sticks to the work value. In the case of the door contact switch, this would be the state that always signals the closed door. Without the simultaneity, the system would only be controlled with one contact, which would not be visible from the outside.
  • time window makes the malfunction recognizable from the outside, because due to the missing change from the work value to the idle value at the defective sensor in the relevant channel 3 or 3 ', the time window is no longer started and consequently the safety switching device 1 no longer in can return to a state with the output switched through.
  • This behavior of the circuit after voltage recovery can also be realized in the arrangement according to FIG. 1 and depends on where the switching thresholds of the individual logic elements are. If this switching behavior is undesirable, it can be avoided by a correspondingly different selection of the switching points of the logic elements in the circuit according to FIG. 1. It is also possible to use the addition shown in FIG. 3, which monitors the voltage on the supply line 35 and initially forcibly simulates the idle value when the voltage returns to the inputs 4 and 4 ', even if the sensors produce a signal corresponding to the work value deliver.
  • the safety switching device 1 has the structure shown in FIG. 2.
  • the door contact switches 2, 2 ' again assumed by way of example, are closed when the door is open and open when the door is closed, ie FIG. 3 shows the state with the door closed, namely the two contacts 2 and 2' are open.
  • the safety switching device 1 when the voltage returns, the safety switching device 1 would not change over to the corresponding switching state, because the capacitors 52 and 52 'are discharged and immediately switch off the transistors 36 and 36' after the voltage return, so that the capacitors 52 are recharged and 52 'cannot take place.
  • the changeover switch has the idle state shown in FIG. 3, in which the input 4 is connected to the sensor 2 and the input 4 'to the sensor 2'.
  • the emitter of transistor 64 is connected to the circuit ground.
  • a base leakage resistor 65 is parallel to the base-emitter path of transistor 64.
  • there is also a capacitor 66 which connects the base of transistor 64 to the positive supply voltage U B.
  • This L state corresponds to the idle value as it would also be achieved if the door was opened, because then the two door contact switches 2 and 2 'serving as sensors then close. In this way, even when the door is closed, the opening of the door is simulated, which has two consequences.
  • the safety switching device 1 starts up when the entire system is functioning properly, without the door actually having to be physically moved, and on the other hand, this leads to an inevitable test by which it is checked is whether the door contact switches 2, 2 'and the safety relay 1 are working properly.
  • FIG. 4 shows an embodiment of the safety switching device 1, which corresponds approximately to FIG. 3.
  • the inputs 4, 4' of the safety switching device 1 are connected to two sensors 2 and 2 ', which in the exemplary embodiment shown are tachometer generators coupled to a shaft. At their output to which the line 61, 61 'is connected, they supply an output signal, for example between 0 and 5 V, depending on the speed.
  • This analog signal reaches the safety switching device 1 via the line 61, 61 ', which contains an analog / digital converter on the input side, for example in the form of a Schmitt trigger, the switching threshold of which is set to 4 V.
  • the safety switching device 1 comes into the ON state because voltages less than 4 V represent the work value, while voltages above 4 V correspond to the idle value, at which the safety switching device 1 at its two output terminals 29, 29 'in the OFF position. Condition arrived.
  • each of the connecting lines 61 is connected to the positive supply voltage of 24 V via a pull-up resistor 68 or 68 '.
  • the two resistors 68 and 68 ' are large compared to the internal resistance of the two sensors 2 and 2', so that the voltage on the line 61 when the contact 62, 62 'is closed is practically determined only by the output voltage of the two sensors 2, 2'.
  • the circuit described works as follows: If the monitored machine parts are at a standstill or only run at low speed after the voltage recovery, the two sensors 2, 2 'on line 61 deliver a voltage of less than 4 V. However, as mentioned above, the safety switching device 1 , does not start itself, it would remain in the OFF state without the action of relay 63. After the voltage recovery, however, the capacitor 66 is first charged via the resistor 65, as a result of which the transistor 64, as mentioned, is turned on, which results in the relay 63 being pulled up.
  • the safety switching device 1 receives at its two inputs 4 and 4 'an input signal which corresponds to the above-mentioned idle value, in which the safety switching device 1 changes to a state in which the output side the connection between the connections 29 and 29 'is interrupted.
  • the safety switching device 1 switches through at its output, i.e. there is the galvanic connection between the connections 29 and 29 '.
  • the safety switching device 1 immediately switches on because all electrical connections are OK on the input side, but during operation the monitored machine reaches a speed range in which one of the sensors 2, 2 ' provides an output voltage greater than 4 V. As this corresponds to the idle value of the signal at the relevant input 4, 4 ', the safety switching device 1 immediately returns to the state in which the connection between the two outputs 29 and 29' is open.
  • the circuit variant shown in FIG. 4 is therefore not only able to monitor the machine part in question, but also monitors itself and in particular monitors the electrical connection to the two sensors 4 and 4 '. Operation is only enabled if both sensors return a signal after the relay 63 returns to the idle state, which is below the respectively selected switching threshold at inputs 4, 4 'of the safety switching device 1.

Description

  • Die Erfindung betrifft ein Sicherheitsschaltgerät mit den Merkmalen des Oberbegriffes des Anspruches 1.
  • Aus der DE-OS 38 19 994 ist ein gattungsgemäßes Sicherheitsschaltgerät in Gestalt eines Drehzahlüberwachungsgerätes bekannt. Das Drehzahlüberwachungsgerät arbeitet mit zwei, beispielsweise eine Motordrehzahl überwachenden Sensoren zusammen, die an ihrem Ausgang ein der Drehzahl proportionales Analog-Signal abgeben. Mit jedem Sensor ist ein Analog-/Digital-Wandler verbunden, der an seinem Ausgang ein binäres Signal abgibt. Es werden auf diese Weise unabhängig voneinander zwei binäre Signale erzeugt, die anzeigen, ob der überwachte Motor unterhalb einer zulässigen Maximaldrehzahl läuft oder die Maximaldrehzahl überschritten hat. Die beiden Ausgangssignale der Analog-/Digital-Wandler werden in einer Schaltstufe miteinander verknüpft, die daraus insgesamt vier Inhibitsignale erzeugt, die in eine nachgeschaltete Schaltstufe gelangen. Die Schaltstufe enthält einen Oszillator, die über die Inhibiteingänge gesperrt werden kann. Die Ausgangsspannung des Oszillators dient nach einer Gleichrichtung der Stromversorgung von Relais, die im Steuerkreis des überwachten Gerätes liegen.
  • Sobald eine Drehzahlüberschreitung auftritt, erscheint wenigstens eines der Inhibitsignale und schaltet den Oszillator ab, so daß die Relais in den Ruhezustand zurückkehren, wodurch die Anlage stillgesetzt wird.
  • Bei dem bekannten Gerät wird die weitgehende Eigensicherheit mit Hilfe des Oszillators erreicht, der nur dann anschwingen kann, wenn die Versorgungsspannung vorhanden ist und alle vier Inhibiteingänge freigegeben sind. Gefährliche Zustände können jedoch auftreten, wenn eines der beiden Relais,die von dem Oszillator angesteuert werden, hängen bleibt, weil eine wechselweise Überwachung der Relaisschaltzustände nicht stattfindet.
  • Da mit dem bekannten Gerät nur das Überschreiten einer maximal zulässigen Motordrehzahl überwacht werden muß, kommt es auf die zeitliche Reihenfolge beim Auftreten der Fehlersignale nicht an. Das Gerät wertet deswegen auch nicht eine Zeitbedingung zwischen den Fehlersignalen aus.
  • Ausgehend hiervon ist es Aufgabe der Erfindung, ein Sicherheitsschaltgerät zu schaffen, das das Einschalten verhindert , wenn nur einer der Sensoren betätigt wird, während der andere ständig ein Signal entsprechend dem Arbeitswert abgibt. Ein Gerät, welches einen Alarm nur dann abgibt, wenn zwei Sensoren innerhalb einer bestimmten Zeitspanne betätigt werden, ist aus US-A-4 195 286 bekannt.
  • Diese Aufgabe wird erfindungsgemäß durch das Sicherheitsschaltgerät mit den Merkmalen des Anspruches 1 gelöst.
  • Infolge der Verwendung von zwei Zeitüberwachungsschaltungen, von denen jede die Signale von beiden Eingängen des Sicherheitsschaltgerätes erhält, ergibt sich bereits eine weitgehende Sicherheit gegen Fehler, und zwar auch solche Fehler, die durch Störungen im Gerät selbst hervorgerufen werden. Wenn beispielsweise die Zugangstür in einem Schutzzaun für eine Maschine überwacht werden soll, entspricht es nicht mehr den Vorschriften, lediglich einen einzigen Türkontakt zu verwenden, um beim Öffnen der Tür die von dem Schutzzaun umgebene Anlage oder Maschine stillzusetzen. Vielmehr werden heute zwei Türkontakte gefordert, um eine erhöhte Sicherheit zu gewährleisten. Mit Hilfe des neuen Sicherheitsschaltgerätes kann bei dem gewählten Beispiel festgestellt werden, ob eventuell einer der beiden Türkontakte seine Funktion verloren hat und ständig den Zustand "geschlossene Tür" simuliert. Da das Zeitfenster nach dem Schließen des Kontaktes beginnt und innerhalb einer festgelegten Zeit schließt, bleibt es auch geschlossen, so daß das Sicherheitsschaltgerät nicht mehr in den anderen Zustand umschalten kann. Andererseits geht es in einen selbsthaltenden Zustand über, wenn innerhalb der festgelegten Zeitfenster die an dem Eingang anliegenden Signale von dem Ruhewert auf den Arbeitswert umschalten. Andererseits können die Zeitfenster nur gestartet werden, wenn beide Signale an den Eingängen auf den Ruhewert zurückkehren.
  • Wenn mit dem Sicherheitsschaltgerät ein einziges Maschinenteil überwacht wird, ist es zweckmäßig, die Zeitfenster auf etwa gleiche Werte einzustellen. Die Länge des Zeitfensters hängt davon ab, innerhalb welcher Zeit erfahrungsgemäß beide Signale an den Eingängen von dem Ruhewert auf den Arbeitswert umschalten, wenn alle Teile einwandfrei funktionieren.
  • Eine verbesserte Sicherheit läßt sich erreichen, wenn zwischen jedem Eingang des Sicherheitsschaltgerätes und der jeweils zugehörigen Zeitüberwachungsschaltung ein Inverter geschaltet ist. Je nach Dimensionierung des Inverters und der nachfolgenden Schaltung können dadurch gefährliche Zustände oder der Selbstanlauf der Schaltung vermieden werden, wenn die Versorgungsspannung aus- und wieder eingeschaltet wird und die Signale an den Eingängen des Sicherheitsschaltgerätes beide den Arbeitswert aufweisen.
  • Die Zeitüberwachungsschaltung läßt sich am einfachsten durch ein nichtretriggerbares Monoflop verwirklichen, dessen Kippzeit die Länge des Zeitfensters festlegt und das nur dann gestartet wird, wenn an dem betreffenden Eingang das Eingangssignal von dem Ruhewert auf den Arbeitswert wechselt.
  • Die Rückführungsschaltung läßt sich am einfachsten mit Hilfe zweier Relais verwirklichen, von denen jedes zwangsgeführte Kontakte aufweist. Mit Hilfe der Kontakte der Relais kann sehr einfach der selbsthaltende Zustand des Sicherheitsschaltgerätes erreicht werden, so daß unabhängig von der Dauer des Zeitfensters der betreffende Ausgangszustand erhalten bleibt, solange an den Eingängen beide Signale den Arbeitswert aufweisen. Auch kann auf diese Weise in der jeweils anderen Zeitüberwachungsschaltung das Zeitfenster aktiviert werden, während eine erneute Aktivierung ausgeschlossen ist, falls das betreffende Relais hängen bleibt.
  • Infolge der Zwangsführung wird die Aktivierung des Zeitfensters in der jeweils anderen Zeitüberwachungsschaltung verhindert, wenn für die betrachtete Zeitüberwachungsschaltung an dem Hilfseingang ein Signal ansteht, das an sich ein Durchschalten ermöglicht, wenn am betreffenden Eingang des Sicherheitsschaltgerätes das Signal den Arbeitswert annimmt.
  • Eine sehr zuverlässige Verknüpfung der Ausgangssignale beider Zeitüberwachungsschaltungen wird erreicht, wenn die beiden angeschlossenen Relais zwei Arbeits- oder zwei Ruhekontakte aufweisen, die hintereinander- bzw. parallelgeschaltet sind und deren Schaltzustand das Ausgangssignal des Sicherheitsschaltgerätes repräsentiert.
  • In der Zeichnung ist ein Ausführungsbeispiel des Gegenstandes der Erfindung dargestellt. Es zeigen:
    • Fig. 1
    ein Blockschaltbild des Sicherheitsschaltgerätes,
    Fig. 2
    ein Detailschaltbild zu dem in Fig. 1 veranschaulichten Blockschaltbild,
    Fig. 3
    ein Blockschaltbild für ein nach Spannungswiederkehr selbst anlaufendes Sicherheitsschaltgerät und
    Fig. 4
    ein Blockschaltbild für ein nach Spannungswiederkehr selbstanlaufendes Sicherheitsschaltgerät mit Überprüfung der Zuleitung auf Aderbruch.
  • In Fig. 1 ist ein Sicherheitsgerät 1 veranschaulicht, das dazu dient, die elektrischen Signale von Sensoren 2 und 2' auszuwerten, die zwecks Erhöhung der Redundanz und der Zuverlässigkeit ein und denselben Betriebsparameter einer Anlage überwachen. Im gezeigten Ausführungsbeispiel sind die beiden Sensoren 2 und 2' beispielsweise Türkontaktschalter, mit deren Hilfe festgestellt wird, ob eine Zugangstür in einem Schutzzaun für eine Anlage, beispielsweise einen Industrieroboter, geöffnet oder geschlossen ist. Nur im geschlossenen Zustand darf die Anlage hinter dem Schutzzaun in Betrieb genommen werden. Das Schließen der Tür wird dadurch angezeigt, daß die beiden die Sensoren darstellenden Schalter 2 und 2' geschlossen sind, während bei geöffneter Tür die Schalter ebenfalls geöffnet sind.
  • Anstelle der gezeigten Türkontaktschalter 2 und 2' können auch andere Sensoren, beispielsweise Drehzahlfühler, Lichtschranken u.dgl. angeschlossen sein, die an ihrem Ausgang ein elektrisches Binärsignal abgeben.
  • Das Sicherheitsschaltgerät 1 enthält im wesentlichen zwei gleich aufgebaute Kanäle 3 und 3' und es sind deswegen die einander entsprechenden Bauelemente und Baugruppen in den beiden Kanälen mit demselben Bezugszeichen versehen, wobei zur Unterscheidung im Falle des Kanals 3' an das Bezugszeichen ein Apostroph angehängt ist.
  • Der Kanal 3 weist einen Eingang 4 auf, in den das Signal des Sensors 2 eingespeist wird. Von dort gelangt das Eingangssignal zu einer Eingangsschaltung 5, die das ankommende Eingangssignal, beispielsweise auf den für die weitere Verarbeitung in dem Sicherheitsschaltgerät 1 geeigneten Signalpegel umsetzt, Maßnahmen enthalten kann, um Störsignale am Eingang 4 zu unterdrücken oder auch eine Widerstandsanpassung vornimmt.
  • Falls der angeschlossene Sensor 2 ein analoges Signal abgibt, kann die Eingangsschaltung 5 auch eine Analog-/Digital-Wandlung vornehmen, so daß erst an ihrem Ausgang 6 das zur Weiterverarbeitung erforderliche binäre Digital-Signal entsteht.
  • An den Ausgang 6 der Eingangsschaltung 5 ist ein Inverter 7 angeschlossen, dessen Ausgang 8 ein Signal abgibt, das einerseits in eine zu dem Kanal gehörende Zeitüberwachungsschaltung 9 sowie in eine Rückführungsschaltung 11 gelangt, das die beiden Kanäle 3 und 3' elektrisch miteinander verknüpft. In die Zeitüberwachungsschaltung 9 gelangen elektrische Signale über Eingänge 12 und 13 sowie einen Hilfseingang 14. Das Ausgangssignal der Zeitüberwachungsschaltung 9 wird über einen Ausgang 15 an eine Relaiswicklung 16 eines Relais 17 abgegeben.
  • Die Zeitüberwachungsschaltung 9 enthält ein nichtretriggerbares Monoflop 18, dessen invertierender Eingang gleichzeitig den Eingang 12 der Zeitüberwachungsschaltung 9 darstellt. Ausgangsseitig ist das Monoflop 18 mit einem Eingang 19 eines ODER-Gliedes 21 verbunden, dessen anderer Eingang 22 den Hilfseingang 14 darstellt. Wie sich aus der folgenden Funktionsbeschreibung ergibt, kann an Stelle des Monoflops 18 mit invertierendem Eingang auch eine Nachlaufschaltung mit invertierendem Eingang verwendet werden.
  • Ferner enthält die Zeitüberwachungsschaltung 9 ein UND-Glied 23 mit zwei Eingängen 24 und 25, wobei der Eingang 25 negiert ist, sowie einen Ausgang 26, der den Ausgang 15 der Zeitüberwachungsschaltung 9 bildet. Der Eingang 24 des UND-Gliedes 23 ist mit dem Ausgang des ODER-Gliedes 21 verbunden, während der negierte Eingang 25 an den Eingang 13 der Zeitüberwachungsschaltung 9 angeschlossen ist.
  • Der Kanal 3' hat identisch denselben Aufbau wie der Kanal 3 und er ist dem Sensor 2' zugeordnet.
  • Jedes der beiden Relais 17 und 17' enthält einen Ruhekontakt 17a bzw. 17a' und einen Arbeitskontakt 17b bzw. 17b', wobei der Arbeits- und der Ruhekontakt 17a und 17b bzw. 17a' und 17b' zwangsgeführt miteinander gekoppelt sind, derart, daß, wenn der Arbeitskontakt festgebrannt ist und nicht öffnet, der zugehörige Ruhekontakt nicht schließen kann bzw. umgekehrt. Ferner enthalten die beiden Relais 17 und 17' noch zwei Arbeitskontakte 28 bzw. 28', die hintereinandergeschaltet sind und einen potentialfreien Ausgang 29 des Sicherheitsschaltgerätes bilden. Der Schaltzustand der beiden hintereinandergeschalteten Arbeitskontakte 28 und 28' repräsentiert den Schaltzustand des Sicherheitsschaltgerätes 1. Die beiden Kontakte 28 und 28' sind mit den anderen beiden Kontakten 17a, 17b bzw. 17a' und 17b' ebenfalls zwangsgeführt. Die Kontakte 17a bis 17b' bilden die Rückführungsschaltung 11, und zwar in der Weise, daß der Ruhekontakt 17a in einer Verbindungsleitung 31 liegt, die den Ausgang 8 des Inverters 7 mit dem Eingang 12' verbindet, während eine Verbindungsleitung 31' den Ausgang 8' des Inverters 7' mit dem Eingang 12 verbindet. Ferner ist der Hilfseingang 14 über eine Leitung 32 und den Arbeitskontakt 17b an den Ausgang 6' der Eingangsschaltung 5' eingeschlossen, während der Arbeitskontakt 17b' in der Verbindungsleitung 32' liegt, die zwischen dem Ausgang 6 der Eingangsschaltung 5 und dem Hilfseingang 14' die Verbindung herstellt. Die notwendigen pull-up- oder pull-down-Widerstände sind nicht gezeigt und ergeben sich aus der Funktionsbeschreibung.
  • Das insoweit beschriebene Sicherheitsschaltgerät 1 arbeitet wie folgt, wobei von dem in Fig. 1 gezeigten Ruhezustand ausgegangen wird, bei dem die beiden Sensoren 2 und 2' ein dem Ruhewert entsprechendes Signal abgeben, das dazu führt, daß auch die beiden Relais 17 und 17' abgefallen sind, so daß ihre Kontakte die gezeigten Ruhezustände annehmen, in denen die Ruhekontakte geschlossen und die Arbeitskontakte geöffnet sind. Ausgehend von dieser Situation sei angenommen, daß der den Sensor repräsentierende Türkontaktschalter 2 schließt, wodurch die positive Versorgungsspannung UB an den Eingang 4 angeschaltet wird, was einem H-Signal entspricht. Dieses H-Signal gelangt unter entsprechender Pegelanpassung an den Ausgang 6 der Eingangsschaltung 5 und damit einmal zu der Rückführungsschaltung 11 und in den Inverter 7. Das H-Signal kann nicht zu der Zeitüberwachungsschaltung 9' gelangen, da der Arbeitskontakt 17b' geöffnet ist. Hingegen gelangt das Signal invertiert als L-Signal von dem Ausgang 8 in die Zeitüberwachungsschaltung 9, und zwar über den Eingang 13 zu dem invertierenden Eingang 25 des UND-Gliedes 23.
  • Zum betrachteten Zeitpunkt hat der Türkontaktschalter 2' noch nicht geschlossen, weshalb dort die Signale Ruhepotential haben. Folglich liegt auch an dem invertierenden Eingang des Monoflops 18 kein Impuls an. Das Monoflop 18 bleibt in seinem Ruhezustand mit L am Ausgang und da auch der andere Eingang 22 des ODER-Gliedes 21 wegen des geöffneten Arbeitskontaktes 17b kein H-Signal erhält, bleibt der Eingang 24 des UND-Gliedes 23 auf L und folglich auch das Signal an dem Ausgang 26.
  • Das Umschalten des Türkontaktschalters 2 führt allerdings zu einem Triggern des nichtretriggerbaren Monoflops 18', da das nach L gehende Signal an dem Ausgang 8 über den Ruhekontakt 17a, die Leitung 31 in den Eingang 12' und somit zu dem invertierenden Eingang des nichtretriggerbaren Monoflops 18' gelangt. Der Eingang 19' des ODER-Gliedes 21' erhält deswegen ein H-Signal und es geht auch der Ausgang nach H, womit das UND-Glied 23' vorbereitet wird. Schließt nun während der Kippzeit des nichtretriggerbaren Monoflops 18' auch der Türkontaktschalter 2', so wechselt das Signal an dem Ausgang 8' des Inverters 7' nach L und das UND-Glied 23' schaltet an seinem Ausgang 26' nach H um, wodurch das Relais 17' anzieht. In der für beide Kanäle 3 und 3' gemeinsamen Rückführungsschaltung 11, die für beide Kanäle 3 und 3' gemeinsam ist, schließt hierdurch der Arbeitskontakt 17b' und es öffnet der Ruhekontakt 17a'. Da das elektronische Signal jedoch wesentlich schneller läuft als sich der Schaltzustand des Relais 17' ändert, gelangt vorher noch über den geschlossenen Ruhekontakt 17a' das L-Signal aus dem Kanal 3' zu dem invertierenden Eingang des nichtretriggerbaren Monoflops 18, das daraufhin an seinem Ausgang auf H umschaltet. Dieses H-Signal gelangt über das ODER-Glied 21 zu dem UND-Glied 23, das nun ebenfalls an seinem Eingang in Zustände gelangt, die zu einem H-Signal an dem Ausgang 26 führen, wodurch auch das Relais 17 umgeschaltet wird. Auch die anderen beiden Kontakte 17a und 17b in der Rückführungsschaltung 11 kippen in den anderen Zustand um. In diesem Zustand sind nun die beiden Arbeitskontakte geschlossen, während die Ruhekontakte geöffnet sind. Dadurch bleiben die Signale an den invertierenden Eingangen der beiden Monoflops 18 und 18' nach wie vor ständig im L-Zustand und die Monoflops 18 und 18' schalten nach der ihnen eigenen Verzögerungszeit in den Ursprungszustand mit L am Ausgang zurück. Dieses Rückschalten in den L-Zustand hat jedoch keinen Einfluß, da das H-Signal, das an den Eingängen der beiden Inverter 7, 7' abgegriffen wird, über die geschlossenen Arbeitskontakte 17b und 17b' direkt in die ODER-Glieder 21 und 21' gelangt. Unabhängig vom zwischenzeitlich eingetretenen Rückschalten der beiden nichtretriggerbaren Monoflops 18 und 18' bleibt dadurch der H-Pegel an dem Ausgang 26 bzw. 26' erhalten, solange wie die beiden Türkontaktschalter 2 und 2' geschlossen bleiben.
  • Sollte nach dem Schließen des Türkontaktschalters 2 der Türkontaktschalter 2' erst schließen, nachdem die Kippzeit des Monoflops 18' abgelaufen ist, verschwindet das H-Signal an dem Eingang 24', womit nun ein verspätetes Schließen des Türkontakthalters 2' an dem invertierenden Eingang 25' ein L-Signal erzeugt, während andererseits der nichtinvertierende Eingang 24' des UND-Gliedes 23' bereits zu einem Sperren des UND-Gliedes 23' geführt hat. Das Schließen des Türkontaktschalters 2 führt zwar zu einem Triggern des Monoflops 18, wodurch ein H-Signal erzeugt wird, das über das ODER-Glied 21 zu dem UND-Glied 23 gelangt, was zum Anziehen des Relais 17 führt, doch bedingt dessen Umschalten nur ein Öffnen des Ruhekontaktes 17a, womit aber der bereits vorhandene L-Pegel auf der Leitung 31 für das Monoflop 18' erhalten bleibt. Es liefert als Folge des Umschalten des Relais 17 kein anderes Signal an seinem Ausgang als vorher, nachdem die Kippzeit abgelaufen ist. Da somit nur eines der beiden Relais 17, 17' angezogen hat, bleibt auch der Ausgang 29, 29' des Sicherheitsschaltgerätes 1 offen.
  • Wenn der eben beschriebene Fehler aufgetreten ist, kann das Sicherheitsschaltgerät 1 nur dadurch wieder zurückgesetzt werden, daß auch der vorher geschlossene Türkontaktschalter 2 öffnet, damit die Signale an den invertierenden Eingängen beider nichtretriggerbarer Monoflops 18 und 18' in den H-Zustand zurückkehren, um die Monoflops 18 und 18' für einen nächsten Triggervorgang vorzubereiten.
  • Die Zeitüberwachungschaltung 9 bzw. 9' definiert, wie sich aus der Beschreibung ergibt, mit Hilfe der in ihr enthaltenen Monoflops 18 und 18' jeweils ein Zeitfenster und es müssen, wie sich aus der obigen Beschreibung ergibt, beide Türkontaktschalter 2 und 2' innerhalb der Zeitfenster gleichzeitig in den geschlossenen Zustand umschalten, damit das Sicherheitsschaltgerät auch beide Relais 17 und 17' umschaltet. Bei dem gezeigten Ausführungsbeispiel entspricht der geöffnete Türkontaktschalter 2, 2' dem Ruhewert` wobei ein L-Potential an dem Eingang 4, 4' erzeugt wird, während der geschlossene Türkontaktschalter 2, 2' das dem Arbeitswert entsprechende Signal hervorruft.
  • Aus der gegebenen Funktionsbeschreibung läßt sich auch ableiten, wie die Schaltung im einzelnen auf verschiedene Störungen von Baugruppen reagiert. Die Erläuterung der unterschiedlichen Fehlerfälle würde hier den Rahmen sprengen.
  • Fig. 2 zeigt ein Detailschaltbild,wie das in Blockform in Fig. 1 angegebene und hinsichtlich seiner Funktion beschriebene Sicherheitsschaltgerät 1 ausgeführt werden kann. Bei der Ausführungsform nach Fig. 2 sind diskrete Bauelemente vorgesehen, wobei unter Umständen Logikfunktionen, denen in Fig. 1 ein Block zugeordnet ist, implizit durch bestimmte Schaltungsmaßnahmen verwirklicht sind. Eine weitere Vereinfachung und Erhöhung der Sicherheit wird auch dadurch erreicht, daß das Ausgangssignal der Eingangsschaltung gleichzeitig zur Stromversorgung für den Rest der beiden Kanäle 3 und 3' wird. Außerdem wird die Zeitfensterfunktion, wie sich aus der folgenden Beschreibung ergibt, etwas anders mit Hilfe der diskreten Bauelemente realisiert. Die Zeitfensterfunktion wird mit Hilfe der vorerwähnten Nachlaufschaltung erzeugt.
  • Soweit den Blöcken aus Fig. 1 unmittelbar Bauelemente in Fig. 2 entsprechen, sind hierfür die jeweiligen Bezugszeichen verwendet. Außerdem versteht sich, daß, ohne daß das Funktionsprinzip verlassen wird, die Polarität der Signale geändert werden kannt, wenn invertierende und nichtinvertierende Ein- bzw. Ausgänge getauscht werden und Ruhekontakte durch Arbeitskontakte ersetzt werden.
  • Der Kanal 3 enthält in seiner Eingangsschaltung 5 einen mit seinem Emitter an eine positive Versorgungsspannung 35 angeschlossenen Transistor 36, dessen Basis einerseits über einen Widerstand 37 an die positive Versorgungsspannung 35 und andererseits über einen Widerstand 38 an den Eingang 4 angeschlossen ist. Der Kollektor des Transistors 36 liegt über einen Widerstand 39 an der Schaltungsmasse. Ferner liegt an dem Kollektor des Transistors 36 ein Spannungsteiler aus Widerständen 41 und 42, die in Serie liegen und mit der positiven Versorgungsspannung 35 verbunden sind. Die mit Hilfe des Spannungsteilers 41, 42 heruntergeteilte Spannung gelangt in die Basis eines Transistors 43, der das aktive Glied des Inverters 7 ist. Der Transistor 43 liegt mit seinem Emitter an der positiven Versorgungsspannung 35, während sein Kollektor über einen Spannungsteiler aus Widerständen 44 und 45 zur Schaltungsmasse hin verbunden ist. Die mit dem Spannungsteiler 44, 45 erzeugte Spannung gelangt in den Eingang 13 der Zeitüberwachungsschaltung 9, wobei der Eingang 13 von der Basis eines Transistors 46 gebildet ist, der emitterseitig an der Schaltungsmasse liegt. An den Kollektor des Transistors 46 ist die Basis eines Transistors 47 angeschlossen, dessen Kollektor wiederum mit der Basis eines Transistors 48 verbunden ist. Die Transistoren 47 und 48 liegen emitterseitig ebenfalls an der Schaltungsmasse. Der Kollektor des Transistors 48 ist mit einem Ende der Relaiswicklung 16 verbunden, deren anderes Ende an zwei Widerstände 49 und 51 liegt. Der Widerstand 49 führt von der Relaiswicklung 16 zu dem Kollektor des Transistors 46 und der Widerstand 51 zu dem Kollektor des Transistors 47.
  • Zu der Serienschaltung aus der Relaiswicklung 16 und dem bipolaren NPN-Transistor 48 liegt ein zeitbestimmender Kondensator 52 parallel. Von dem heißen Ende des Kondensators 52 gehen zwei Widerstände 53 und 54 ab, von denen der eine die Verbindung zu dem Arbeitskontakt 17b und der andere die Verbindung zu dem Ruhekontakt 17a' herstellt.
  • Der Kanal 3' ist, soweit der Kanal 3 bisher beschrieben ist, identisch aufgebaut, weshalb für die Bauelemente des Kanals 3' dieselben Bezugszeichen ergänzt um ein Apostroph verwendet sind.
  • Zur Verknüpfung der beiden Kanäle 3 und 3' erfolgt von dem Kollektor des Transistors 36 über eine Diode 55 eine Verbindung zu dem Ruhekontakt 17a mittels einer Leitung 56. Die Leitung 56 hat eine Entsprechung 56', durch die der Kollektor des Transistors 36' über eine Diode 55' mit dem Ruhekontakt 17a' verbunden ist. Schließlich ist noch eine Verbindung 57 vorhanden, über die der Kollektor des Transistors 43 an den Arbeitskontakt 17b' angeschlossen ist. Entsprechend ist die Leitung 57' geschaltet. Zur Erläuterung der Funktionsweise der Schaltung nach Fig. 2 sei angenommen, daß die Sensoren, die in Fig. 2 weggelassen sind, mit negativer Logik arbeiten, d.h. im Falle von Türkontakten ist die Verbindung zu dem Eingang 4 bei geöffneter Tür geschlossen und bei geschlossener Tür offen, so daß der Eingang 4 bei offener Tür ein L-Signal bekommt.
  • Infolge des L-Signals an dem Eingang 4 ist der Transistor 36 leitend. Dadurch führt sein Kollektor praktisch die Spannung auf der Leitung 35, die über die in Durchlaßrichtung betriebene Diode 55 und den geschlossenen Ruhekontakt 17a dazu führt, daß über den Widerstand 54' der Kondensator 52' geladen wird. In umgekehrter Weise wird über den Transistor 36', der bei geöffneter Tür ebenfalls leitend ist, der Kondensator 52 geladen, womit an den heißen Enden der beiden Relaiswicklungen 16 und 16' die Versorgungsspannung angeschaltet ist. Das H-Potential am Kollektor des Transistors 36 führt zu einem Sperren des Transistors 43, womit in der Folge auch der Transistor 46 gesperrt ist. Hierdurch kann der Transistor 47 in den leitenden Zustand kommen, weil seine Basis über den Widerstand 49 aus der an dem Kondensator 52 anliegenden Spannung Strom erhält. Der leitende Zustand des Transistors 47 führt zu einem nahe dem Massepotential liegenden Potential an seinem Kollektor, wodurch der folgende Transistor 48 gesperrt ist und in der Folge kann auch kein Strom durch die Relaiswicklung 16 fließen.
  • Da sinngemäß dasselbe für den Kanal 3' gilt, sind beide Relais 17 und 17' abgefallen, so daß sich ihre Kontakte 17a...17b' in der gezeigten Ruhestellung befinden.
  • Wird, ausgehend von diesem Zustand, die Tür geschlossen, und einer der Schalterkontakte öffnet sich, beispielsweise der Schalterkontakt an dem Eingang 4, wird in der Folge der nachgeschaltete Transistor 36 gesperrt. Hierdurch wird verhindert, daß nunmehr weiterhin der Kondensator 52' über die Leitung 35 nachgeladen wird. Andererseits verhindert die Diode 55 ein Entladen des Kondensators 52' über den Widerstand 39 nach Masse.
  • Somit ist zunächst einmal die Nachladung des Kondensators 52' unterbrochen und er beginnt, sich über die Serienschaltung aus dem Widerstand 51' und dem nach wie vor durchgesteuerten Transistor 47' allmählich zu entladen.
  • Gleichzeitig wird durch das Sperren des Transistors 36 nun der Transistor 43 leitend und schaltet den Transistor 46 ein. Dadurch wird der Transistor 47 gesperrt und der Transistor 48 in den leitenden Zustand umgeschaltet, woraufhin das Relais 17 anzieht, da es sowohl über den geladenen Kondensator 52 als auch über den Widerstand 54, den geschlossenen Ruhekontakt 17a' und den zur Zeit noch leitenden Transistor 36' Strom erhält. Infolge des Anziehens des Relais 17 schließt sein Arbeitskontakt 17b und es öffnet sein Ruhekontakt 17a. Das Öffnen des Ruhekontaktes 17a hat auf die weitere Funktion im fehlerfreien Betrieb keinen Einfluß, da ohnehin die Nachladung des Kondensators 52' wegen des gesperrten Transistors 36 unterbrochen ist. Andererseits wird durch das Anziehen des Relais 17 das Schließen des Arbeitskontaktes 17b die Selbsthaltung vorbereitet, falls die Stromversorgung über den Ruhekontakt 17a' unterbrochen wird. Diese Unterbrechung geschieht in dem Augenblick, in dem auch der Kontakt an dem Eingang 4' öffnet, wodurch der Transistor 36' gesperrt wird. Dadurch wird die Stromversorgung über den noch geschlossenen Ruhekontakt 17a' unterbrochen, weil nun der Kollektor des Transistors 36' über den Widerstand 39' zur Masse hin verbunden ist. Gleichzeitig gelangt der Transistor 43' in den leitenden Zustand, so daß weiterhin die Stromversorgung des Relais 17 über den mittlerweile geschlossenen Arbeitskontakt 17b aus der Leitung 35 sichergestellt ist.
  • Der leitende Zustand des Transistors 43' führt zu einem Durchschalten des Transistors 46', was wiederum den Transistor 47' in den Sperrzustand übergehen läßt. Infolge des Sperrens des Transistors 47' wird der Transistor 48' leitend, wodurch der Stromkreis durch die Magnetwicklung 16' eingeschaltet wird. Wenn zu diesem Zeitpunkt die Spannung am Kondensator 52' noch hoch genug ist, weil der vorher leitende Transistor 47' in Verbindung mit dem Widerstand 51' den Kondensator 52' nicht weit genug entladen konnte, reicht die Ladung aus, um das Relais 17' zum Anziehen zu bringen. Hierdurch wechseln auch seine Kontakte 17a' und 17b' in den anderen als den gezeigten Zustand, d.h. es entsteht eine elektrische Verbindung zwischen dem heißen Ende der Relaiswicklung 16' über den Vorwiderstand 53', den mittlerweile geschlossenen Arbeitskontakt 17b' und die Leitung 57 zu dem bereits durchgeschalteten Transistor 53, so daß die Spannung von der Versorgungsleitung 35 nach wie vor zu dem Kondensator 52' gelangen kann. Da auch der Arbeitskontakt 17b, wie vorerwähnt, geschlossen ist, werden beide Relais 17 und 17' aus der Versorgungsleitung 35 mit Strom versorgt, obwohl die Ruhekontakte 17a und 17a' geöffnet haben und auch die Verbindung zu der Versorgungsleitung 35 über die Leitungen 56 und 56' wegen der gesperrten Transistoren 36 bzw. 36' unterbrochen ist.
  • Das Anziehen der beiden Relais 17 und 17' führt zum Einschalten der Arbeitskontakte 28 und 28', womit der Ausgang des Sicherheitsschaltgerätes 1 zwischen den beiden Anschlüssen 29 und 29' galvanisch durchschaltet.
  • Falls das Öffnen des Schalters an dem Eingang 4' erfolgte zu einem Zeitpunkt, zu dem die Entladung des Kondensators 52' zu weit fortgeschritten war, kann das Relais 17' nicht mehr anziehen. Das Sicherheitsschaltgerät 1 gelangt dadurch in einen Zustand, bei dem nur eines der beiden Relais, nämlich im erläuterten Fall das Relais 17, angezogen hat, womit zwischen den Ausgangsklemmen 29 und 29' nur der Kontakt 28 geschlossen ist, während der Kontakt 28' offen bleibt.
  • Die Entladezeit des Kondensators 52' bzw. des Kondensators 52 im umgekehrten Falle definiert das Zeitfenster, innerhalb dessen die beiden Signale an den Eingängen 4 und 4' auf den Arbeitswert wechseln müssen. Wechselt eines der Signale außerhalb des Zeitfensters, so ist ein Umschalten des Sicherheitsschaltgerätes 1 in den Zustand mit durchgeschaltetem Ausgang nur möglich, wenn zwischenzeitlich auch das Signal an dem jeweils anderen Eingang verschwindet, denn andernfalls kann es nicht mehr zum Aufladen des betreffenden, mittlerweile entladenen Kondensators 52 oder 52' kommen.
  • Die in Fig. 1 gezeigte UND-Verknüpfung durch das UND-Glied 23 zwischen dem Signal an dem Eingang 4 und dem Ausgang des Monoflops 18 wird bei der Schaltung nach Fig. 2 dadurch erreicht, daß das Eingangssignal über die hintereinandergeschalteten Transistoren 43, 46, 47, 48 bzw. 43', 46' , 47' , 48' dem einen Ende der Relaiswicklung 16 bzw. 16' zugeführt wird, während das Ausgangssignal des Monoflops 18 in das andere Ende eingespeist wird. Das Monoflop 18 ist in diesen Falle zu einer rückfallverzögerten Schaltung abgewandelt,realisiert im wesentlichen durch den Kondensator 52' und den bei abgeschaltetem Relais 17 wirksamen Entladekreis über den Widerstand 51 und den Transistor 47; sinngemäß dasselbe gilt für den Kanal 3'.
  • In jedem Falle wird ein Zeitfenster realisiert, das mit dem Einschalten des Signals an einem der Eingänge 4, 4' beginnt und das sich schließt, wenn entweder die Kippzeit des Monoflops 18 abgelaufen ist oder der Kondensator 52, 52' so weit entladen ist, daß die Spannung nicht mehr ausreicht, um das Relais 17 oder 17' zum Anziehen zu bringen.
  • Eine genaue Analyse der Schaltung nach Fig. 2 zeigt, daß auch dann ein Einschalten der beiden Arbeitskontakte 28 und 28' mit Sicherheit verhindert wird, wenn eines der Bauelemente des Sicherheitsschaltgerätes 1 in der für das Bauelement typischen Weise ausfällt. Gleichzeitig ermöglichen es die in den Figuren gezeigten Sicherheitsschaltgeräte 1 redundant die an sie angeschlossenen Sensoren zu überwachen, so daß auch dann kein Einschalten am Ausgang des Sicherheitsschaltgerätes 1 zustandekommen kann, wenn die Sensoren außerhalb des vorgesehenen Zeitfensters nacheinander den "Gutzustand" signalisieren. Das Sicherheitsschaltgerät 1 geht davon aus, daß innerhalb des Zeitfensters beide an ihm angeschlossenen Sensoren in den "Gutzustand" wechseln müssen. Die Gleichzeitigkeit geht nur dann verloren, wenn einer der Sensoren versagt. Da die Zeitbedingung eingehalten werden muß, läßt sich ein mit dem neuen Sicherheitsschaltgerät 1 überwachtes Gerät auch dann nicht in Betrieb setzen, wenn der betreffende andere "Gutzustand" später eingestellt wird, weil die Zeitbedingung von Hand nicht eingehalten werden kann. Mit Hilfe des neuen Sicherheitsschaltgerätes 1 ist es dagegen möglich, eindeutig zu erkennen, wenn einer der Sensoren versagt hat und beispielsweise immer den "Gutzustand" anzeigt, also nicht in seinen Ruhewert zurückkehrt, sondern auf dem Arbeitswert hängen bleibt. Im Falle des Türkontaktschalters wäre dies der Zustand, der immer die geschlossene Tür signalisiert. Ohne die Gleichzeitigkeit würde die Anlage nur noch mit dem einen Kontakt gesteuert werden, was nach außen hin nicht zu erkennen wäre. Die Verwendung des Zeitfensters dagegen macht das Fehlverhalten nach außen hin erkennbar, weil durch den fehlenden Wechsel vom Arbeitswert in den Ruhewert an dem defekten Sensor in dem betreffenden Kanal 3 oder 3' das Zeitfenster nicht mehr gestartet wird und folglich auch das Sicherheitsschaltgerät 1 nicht mehr in einen Zustand mit durchgeschaltetem Ausgang zurückkehren kann.
  • Bei beiden Schaltungen, d.h. der Schaltung nach Fig. 1 und der Schaltung nach Fig. 2 schalten die Relais 17 und 17' in den Ruhezustand, wenn die Versorgungsspannung verschwindet. Bei der Schaltung nach Fig. 2 ist sichergestellt, daß auch bei der Wiederkehr der Versorgungsspannung die Relais 17 und 17' im abgefallenen Zustand bleiben, selbst dann, wenn die Sensoren an den Eingängen 4 und 4' ein Signal liefern, das an sich zum Anziehen der Relais 17 und 17' führen würde. Um die Relais 17, 17' tatsächlich einschalten zu können, ist es bei der Schaltung nach Fig. 2 notwendig, beide Sensoren an ihrem Ausgang zunächst einmal in den Ruhewert zu bringen und anschließend auf den Arbeitswert, so daß in beiden Kanälen 3 und 3' die Zeitfenster gestartet werden und der oben erläuterte Zyklus ablaufen kann. Erst dann wird das Sicherheitsschaltgerät 1 an seinem Ausgang scharfgeschaltet und die beiden Kontakte 28 und 28' sind durchgeschaltet.
  • Dieses Verhalten der Schaltung nach Spannungswiederkehr kann auch bei der Anordnung nach Fig. 1 realisiert werden und hängt davon ab, wo die Schaltschwellen der einzelnen logischen Glieder liegen. Wenn dieses Schaltverhalten unerwünscht ist, kann es durch entsprechende andere Wahl der Schaltpunkte der logischen Glieder bei der Schaltung nach Fig. 1 vermieden werden. Es ist auch möglich, den in Fig. 3 gezeigten Zusatz zu verwenden, derdie Spannung auf der Versorgungsleitung 35 überwacht und bei Spannungswiederkehr an den Eingängen 4 und 4' zunächst einmal den Ruhewert zwangsweise simuliert, selbst dann, wenn die Sensoren ein Signal entsprechend dem Arbeitswert liefern.
  • Bei der in Fig. 3 gezeigten Ausführungsform sei angenommen, daß das Sicherheitsschaltgerät 1 den in Fig. 2 gezeigten Aufbau hat. Die wiederum beispielhaft angenommenen Türkontaktschalter 2, 2' sind bei geöffneter Tür geschlossen und bei geschlossener Tür offen, d.h. Fig. 3 zeigt den Zustand mit geschlossener Tür, nämlich die beiden Kontakte 2 und 2' sind offen. Trotzdem würde bei der Schaltung nach Fig. 2 beieiner Spannungswiederkehr das Sicherheitsschaltgerät 1 nicht in den entsprechenden Schaltzustand übergehen, weil die Kondensatoren 52 und 52' entladen sind und nach der Spannungswiederkehr umgehend die Transistoren 36 und 36' abschalten, so daß eine Nachladung der Kondensatoren 52 und 52' nicht stattfinden kann. Da die Relais 17 und 17' abgefallen sind, erhalten sie auch keinen Strom über die leitend geschalteten Transistoren 43 und 43', weil die zugehörigen Arbeitskontakte 17b und 17b' geöffnet sind. Um dennoch ohne Betätigung der Tür den Einschaltzustand zu erreichen, liegt in einer Verbindungsleitung 61 bzw. 61' jeweils ein Umschalter 62 und 62'. Der Umschalter hat den in Fig. 3 gezeigten Ruhezustand, in dem der Eingang 4 mit dem Sensor 2 und der Eingang 4' mit dem Sensor 2' verbunden ist. Die beiden Umschalter 62 und 62' gehören zu einem Relais 63, dessen Relaiswicklung 63' einerseits mit der positiven Versorgungsspannung UB verbunden ist und die andererseits an dem Kollektor eines bipolaren Transistors 64 angeschaltet ist. Der Emitter des Transistors 64 liegt an der Schaltungsmasse. Ein Basisableitwiderstand 65 liegt zu der Basis-Emitter-Strecke des Transistors 64 parallel. Schließlich ist noch ein Kondensator 66 vorhanden, der die Basis des Transistors 64 mit der positiven Versorgungsspannung UB verbindet.
  • Zur Erläuterung der Funktionsweise sei angenommen, daß die positive Versorgungsspannung UB hinreichend lange ausgeschaltet war, damit der Kondensator 66 zumindest weitgehend über die an der Versorgungsspannung UB hängenden Verbraucher entladen ist. Kehrt nun die Versorgungsspannung wieder, lädt sich der Kondensator 66 über die Basis-Emitter-Strecke des Transistors 64 bzw. über den Widerstand 65 auf, was dazu führt, daß das Relais 63 anzieht. Hierdurch werden seine beiden Umschaltkontakte 62 und 62' in den anderen als den gezeigten Zustand umgeschaltet und erzeugen ein L-Potential an den beiden Eingängen 4 und 4', da der andere Kontakt der beiden Umschalter 62, 62' an der Schaltungsmasse liegt. Dieser L-Zustand entspricht dem Ruhewert, wie er auch erreicht werden würde, wenn die Tür geöffnet wird, weil dann die beiden als Sensoren dienenden Türkontaktschalter 2 und 2' schließen. Selbst bei geschlossener Tür wird auf diese Weise das Öffnen der Tür simuliert, was zweierlei zur Folge hat. Zum einen läuft bei störfreier Funktion der gesamten Anlage das Sicherheitsschaltgerät 1 an, ohne daß tatsächlich physisch die Tür bewegt zu werden braucht und andererseits wird hierdurch eine zwangsläufige Testung erreicht, durch die überprüft wird, ob die Türkontaktschalter 2, 2' und das Sicherheitsschaltgerät 1 einwandfrei arbeiten. Im Fehlerfall würde, wie sich aus den obigen Erläuterungen zur Funktionsweise des Sicherheitsschaltgerätes 1 ergibt, kein Einschalten der Arbeitskontakte 28 und 28' erreicht werden, wenn einer der Türkontaktschalter 2, 2' oder ein Bauelement in dem Sicherheitsschaltgerät 1 zwischenzeitlich ausgefallen ist.
  • In Fig. 4 ist eine Ausführungsform des Sicherheitsschaltgerätes 1 gezeigt, wie sie etwa Fig. 3 entspricht.
  • Über die Leitungen 61 und 61' sind die Eingänge 4, 4' des Sicherheitsschaltgerätes 1 mit zwei Sensoren 2 und 2' verbunden, die im gezeigten Ausführungsbeispiel mit einer Welle gekoppelte Tachogeneratoren sind. Sie liefern an ihrem Ausgang, an dem die Leitung 61, 61' angeschlossen ist, ein Ausgangssignal, beispielsweise zwischen 0 und 5 V, abhängig von der Drehzahl. Dieses analoge Signal gelangt über die Leitung 61, 61' in das Sicherheitsschaltgerät 1, das eingangsseitig einen Analog-/Digital-Wandler enthält, beispielsweise in Gestalt eines Schmitt-Triggers, dessen Schaltschwelle auf 4 V eingestellt ist. Bei Eingangsspannungen unterhalb der Schallschwelle gelangt das Sicherheitsschaltgerät 1 in den EIN-Zustand, weil Spannungen kleiner 4 V den Arbeitswert repräsentieren, während Spannungen über 4 V dem Ruhewert entsprechen, bei dem das Sicherheitsschaltgerät 1 an seinen beiden Ausgangsklemmen 29, 29' in den AUS-Zustand gelangt.
  • Von den beiden Umschaltern 62, 62', die in der Leitung 61 liegen, wird nur der Ruhekontakt ausgenutzt, so daß bei abgefallendem Relais 63 die Verbindung zwischen den Eingängen 4 bzw. 4' mit den zugehörigen Sensoren 2 bzw. 2' hergestellt ist. Ferner ist jede der Verbindungsleitungen 61 über einen Pull-up-Widerstand 68 bzw. 68' mit der positiven Versorgungsspannung von 24 V verbunden. Die beiden Widerstände 68 und 68' sind groß gegenüber dem Innenwiderstand der beiden Sensoren 2 und 2', so daß die Spannung auf der Leitung 61 bei geschlossenem Kontakt 62, 62' praktisch nur von der Ausgangsspannung der beiden Sensoren 2, 2' bestimmt ist.
  • Die beschriebene Schaltung arbeitet wie folgt: Wenn nach der Spannungswiederkehr die überwachten Maschinenteile im Stillstand sind oder nur mit geringer Drehzahl laufen, liefern die beiden Sensoren 2, 2' auf der Leitung 61 eine Spannung kleiner 4 V. Da das Sicherheitsschaltgerät 1 jedoch, wie vorerwähnt, nicht selbst anlaufend ist, würde es ohne die Wirkung des Relais 63 ständig im AUS-Zustand bleiben. Nach der Spannungswiederkehr lädt sich jedoch zunächst einmal der Kondensator 66 über den Widerstand 65 auf, wodurch der Transistor 64, wie erwähnt, durchgesteuert wird, was das Anziehen des Relais 63 zur Folge hat. Dadurch werden die beiden Ruhekontakte 62 und 62' geöffnet, wodurch die Belastung der Widerstände 68, 68' wegfällt und an die Eingänge 4, 4' eine Spannung angelegt wird, die der Versorgungsspannung am heißen Ende der beiden Widerstände 68, 68' entspricht. Da diese Spannung größer ist als die gewählte Schaltschwelle von 4 V, erhält das Sicherheitsschaltgerät 1 an seinen beiden Eingängen 4 und 4' ein Eingangssignal, das dem vorerwähnten Ruhewert entspricht, bei dem das Sicherheitsschaltgerät 1 in jedem Falle in einen Zustand übergeht, bei dem ausgangsseitig die Verbindung zwischen den Anschlüssen 29 und 29' unterbrochen ist.
  • Sobald der Kondesator 66 aufgeladen ist, fällt das Relais 23 ab, weil der Transistor 64 in den Sperrzustand übergeht. Dadurch kehren die Ruhekontakte 62, 62' in die gezeigte Stellung zurück. Im Normalfall würde dadurch an beiden Eingängen 4 und 4' die Spannung innerhalb des gewählten Zeitfensters auf einen Wert kleiner 4 V zurückkehren, wenn die überwachte Maschine stillsteht oder mit einer Drehzahl läuft, die bei den Tachogeneratoren 2 und 2' eine Ausgangsspannung von kleiner 4 V erzeugt. Da diese Spannung definitionsgemäß dem Arbeitswert entspricht, und auch an beiden Eingängen 4 und 4' der Arbeitswert innerhalb des Zeitfensters auftritt, schaltet das Sicherheitsschaltgerät 1 an seinem Ausgang durch, d.h. es entsteht die galvanische Verbindung zwischen den Anschlüssen 29 und 29'.
  • Liegt jedoch ein Adernbruch in einer Zuführungsleitung zu einem der beiden Sensoren 2, 2' vor, dann bleibt auch nach der Rückkehr des Relais 63 in den Ruhezustand die betreffende Verbindung zu dem jeweiligen als Sensor wirkenden Tachogenerator 2 oder 2' unterbrochen. Im Ruhezustand des Relais 63 würde nur einer der beiden Eingänge 4, 4' innerhalb des Zeitfensters ein Signal entsprechend dem Arbeitswert erhalten. Aufgrund der oben gegebenen Erläuterung der Funktionsweise des Sicherheitsschaltgerätes 1 bliebe in diesem Falle der Ausgang offen, d.h. es käme nicht zu einer galvanischen Verbindung zwischen den Anschlüssen 29 und 29'.
  • Die gleiche Situation entsteht auch, wenn nach der Wiederkehr der Versorgungsspannung das Sicherheitsschaltgerät 1 zwar zunächst einschaltet, weil alle elektrischen Verbindungen eingangsseitig in Ordnung sind, aber im Verlauf des Betriebes die überwachte Maschine in einen Drehzahlbereich gelangt, bei der einer der Sensoren 2, 2' eine Ausgangsspannung von größer 4 V liefert. Da dies dem Ruhewert des Signals an dem betreffenden Eingang 4, 4' entspricht, kehrt umgehend das Sicherheitsschaltgerät 1 in den Zustand zurück, bei dem die Verbindung zwischen den beiden Ausgängen 29 und 29' offen ist.
  • Die in Fig. 4 gezeigte Schaltungsvariante ist also nicht nur dazu in der Lage, das betreffende Maschinenteil zu überwachen, sondern sie überwacht sich auch selbst und insbesondere überwacht sie die elektrische Verbindung zu den beiden Sensoren 4 und 4'. Der Betrieb wird nur dann freigegeben, wenn beide Sensoren nach der Rückkehr des Relais 63 in den Ruhezustand ein Signal liefern, das unterhalb der jeweils gewählten Schaltschwelle an Eingängen 4, 4' des Sicherheitsschaltgerätes 1 liegt.

Claims (20)

  1. Sicherheitsschaltgerät (1 ) zum Auswerten von an elektrischen Ausgängen von Sensoren (2, 2') abgegebenen Signalen zur überwachung von Anlagenbetriebszuständen, mit zwei Eingängen (4, 4') von denen jeder an den Ausgang eines zugehörigen Sensors (2, 2') angeschlossen ist, dessen analoges oder digitales Ausgangssignal einen Ruhewert und einen Arbeitswert aufweist, sowie mit einer Schaltungsanordnung (9, 9', 11) zum Verknüpfen der beiden an den Eingängen (4, 4') eingespeisten Signale zu einem digitalen binären Ausgangssignal, wobei die Schaltungsanordnung zwei Zeitüberwachungsschaltungen (9, 9') aufweist, von denen jede ein eigenes Zeitfenster definiert, und wobei jede Zeitüberwachungsschaltung (9, 9') die Signale von den beiden Eingängen (4, 4') erhält und lediglich dann ein Signal an ihrem Ausgang (15, 15') abgibt, wenn die Signale an den Eingängen (4, 4') innerhalb des Zeitfensters gleichzeitig von dem Ruhewert auf den Arbeitswert wechseln, dadurch gekennzeichnet, daß eine Rückführungsschaltung (11) vorhanden ist, die das Signal an dem Ausgang (15, 15') jeder Zeitüberwachungsschaltung (9, 9') mit dem Signal von dem Eingang (4, 4'), der der jeweils anderen Zeitüberwachungsschaltung (9,9') zugeordnet ist, verknüpft und in einen Hilfseingang (14, 14') der Zeitüberwachungsschaltung (9, 9') einspeist, die dadurch in einen anderen Zustand umschaltet, in dem das Zeitfenster wirkungslos ist, und in dem das Ausgangssignal (15, 15') solange beibehalten wird, solange das jeweilige Eingangssignal nicht auf den Ruhewert zurückkehrt.
  2. Sicherheitsschaltgerät nach Anspruch 1, dadurch gekennzeichnet, daß die beiden Zeitfenster im wesentlichen gleich sind.
  3. Sicherheitsschaltgerät nach Anspruch 1, dadurch gekennzeichnet, daß zwischen dem Eingang (4, 4') des Sicherheitsschaltgerätes (1) und einem Eingang der Zeitüberwachungsschaltung (9, 9') ein Inverter (7, 7') geschaltet ist.
  4. Sicherheitsschaltgerät nach Anspruch 1, dadurch gekennzeichnet, daß die Zeitüberwachungssschaltung (9, 9') einen Schaltkreis (18, 18') mit der Charakteristik eines nichtretriggerbaren Monoflops enthält, dessen Kippzeit die Dauer des Zeitfensters festlegt.
  5. Sicherheitsschaltgerät nach Anspruch 4, dadurch gekennzeichnet, daß der Eingang des Schaltkreises (18, 18') mit der Charakteristik eines nichtretriggerbaren Monoflops einen Eingang (12, 12') der Zeitüberchungsschaltung (9, 9') bildet, der sein Signal von dem der anderen Zeitüberwachungsschaltung (9, 9') zugeordneten Eingang (4, 4') des Sicherheitsschaltgerätes (1) erhält.
  6. Sicherheitsschaltgerät nach Anspruch 4, dadurch gekennzeichnet, daß der Schaltkreis (18) mit der Charakteristik des nichtretriggerbaren Monoflops einen Ausgang aufweist, dessen Signal mit dem Signal an dem Eingang (4, 4') des Sicherheitsschaltgerätes (1) der der anderen Zeitüberwachungsschaltung (9, 9') zugeordnet ist, ODER-verknüpft ist.
  7. Sicherheitsschaltgerät nach Anspruch 6 , dadurch gekennzeichnet, daß das aus der ODER-Verknüpfung (21) erhaltene Signal mit dem Signal von dem Eingang (4, 4'), der der jeweiligen Zeitüberwachungsschaltung (9,9' zugeordnet ist, UND-verknüpft ist.
  8. Sicherheitsschaltgerät nach Anspruch 1, dadurch gekennzeichnet, daß die Rückführungsschaltung (11) zwei Relais (17, 17') enthält, deren Magnetwicklungen (16, 16') mit den Ausgängen (15, 15') der zugehörigen Zeitüberwachungsschaltung (9, 9') verbunden.sind und die Arbeits- und Ruhekontakte (17a...17b') enthalten.
  9. Sicherheitsschaltgerät nach Anspruch 8, dadurch gekennzeichnet, daß zumindest das Signal, das von einem der Eingänge (4, 4') des Sicherheitsschaltgerätes (1) in den entsprechenden Eingang (12, 12') der dem anderen Eingang (4, 4') zugeordneten Zeitüberwachungsschaltung (9., 9') eingespeist wird, über einen Ruhekontakt (17a, 17a') eines der Relais (17, 17') geführt ist.
  10. Sicherheitsschaltgerät nach Anspruch 9, dadurch gekennzeichnet, daß der Ruhekontakt (17a, 17a') zu dem Relais (17, 17') gehört, das an den Ausgang (15, 15') der anderen Zeitüberwachungsschaltung (9, 9') angeschlossen ist.
  11. Sicherheitsschaltgerät nach Anspruch 8 , dadurch gekennzeichnet, daß das Signal von dem Eingang (4, 4'), der der einen Zeitüberwachungsschaltung (9, 9') zugeordnet ist, über einen Arbeitskontakt (17b, 17b') dem Hilfseingang (14, 14') der anderen Zeitüberwachungsschaltung (9, 9') zugeführt wird, an deren Ausgang (15, 15') das Relais (17, 17'), das zu dem betreffenden Arbeitskontakt gehört, angeschlossen ist.
  12. Sicherheitsschaltgerät nach Anspruch 8 , dadurch gekennzeichnet, daß die beiden Relais (17,17') zwei Arbeits- oder zwei Ruhekontakte (28, 28') aufweisen, die hintereinander- bzw. parallelgeschaltet sind und deren Schaltzustand das Ausgangssignal des Sicherheitsschaltgerätes (1) repräsentiert.
  13. Sicherheitsschaltgerät nach Anspruch 4 , dadurch gekennzeichnet, daß der Schaltkreis mit der Charakteristik eines nichtretriggerbaren Monofiops einen Kondensator (52, 52') enthält, der über einen Widerstand (53,53') mit dem Ausgang (8, 8') des Inverters für die andere Zeitüberwachungsschaltung (9, 9') verbunden ist, und daß an den Kondensator (52,52') die Relaiswicklung (16, 16') des der Zeitüberwachungsschaltung (9,9') zugehörigen Relais (17, 17') angeschlossen ist.
  14. Sicherheitsschaltgerät nach Anspruch 13, dadurch gekennzeichnet, daß ein weiterer Eingang der Zeitüberwachungsschaltung (9, 9') über einen Widerstand (54, 54') mit dem Kondensator (52, 52') verbunden ist.
  15. Sicherheitsschaltgerät nach Anspruch 13, dadurch gekennzeichnet, daß eur Verwirklichung der UND-Verknüpfung ein Ende der Relaiswicklung (16, 16') an den zugehörigen Kondensator (52, 52') und ihr anderes Ende an einen Schalttransistor (48, 48') angeschlossen ist, der sein Signal von dem betreffenden Eingang (4, 4') des Sicherheitsschaltgerätes (1) erhält.
  16. Sicherheitsschaltgerät nach Anspruch 13, dadurch gekennzeichnet, daß das Ausgangssignal jedes Inverters (7, 7'), der an den Eingang (4, 4') des Sicherheitsschaltgerätes (1) angeschlossen ist, gleichzeitig die Ladespannung für den Kondensator (52, 52') der jeweils anderen Zeitüberwachungsschaltung (9, 9') darstellt.
  17. Sicherheitsschaltgerät nach Anspruch 15, dadurch gekennzeichnet, daß dem Transistor (48, 48'), der mit der Relaiswicklung (16, 16') des der betreffenden Zeitüberwachungsschaltung (9, 9') zugeordneten Relais (17,17') verbunden ist, eingangsseitig mit einem Ausgang eines zweistufigen Transistorverstärkers (46,47,46',47') verbunden ist, dessen Betriebsspannung von der an dem Kondensator (52, 52') anliegenden Spannung gebildet ist.
  18. Sicherheitsschaltgerät nach Anspruch 1, dadurch gekennzeichnet, daß jedem Eingang (4, 4') ein Analog-/Digital-Wandler vorgeschaltet ist.
  19. Sicherheitsschaltgerät nach Anspruch 1 , dadurch gekennzeichnet, daß eine Anlaufschaltung (63, 64) vorhanden ist, die mit den beiden Eingängen (4, 4') verbunden ist und die bei auf dem Arbeitswert liegenden Wert des Eingangssignals in Abhängigkeit von der Spannungswiederkehr bei der Stromversorgung auf den Ruhewert umschaltet.
  20. Sicherheitsschaltgerät nach Anspruch 19, dadurch gekennzeichnet, daß die beiden Eingänge (4, 4') über hochohmige Widerstände (68, 68') an einer Versorgungsspannung liegen, die bei aktivierter Anlaufschaltung (63, 64) den Eingängen (4, 4') eine dem Ruhewert des Signals an den Eingängen (4, 4') entsprechende Spannung zuführen.
EP92103648A 1991-03-09 1992-03-03 Sicherheitsschaltgerät Expired - Lifetime EP0505774B1 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE4107668A DE4107668C2 (de) 1991-03-09 1991-03-09 Sicherheitsschaltgerät
DE4107668 1991-03-09

Publications (2)

Publication Number Publication Date
EP0505774A1 EP0505774A1 (de) 1992-09-30
EP0505774B1 true EP0505774B1 (de) 1996-11-27

Family

ID=6426924

Family Applications (1)

Application Number Title Priority Date Filing Date
EP92103648A Expired - Lifetime EP0505774B1 (de) 1991-03-09 1992-03-03 Sicherheitsschaltgerät

Country Status (4)

Country Link
EP (1) EP0505774B1 (de)
AT (1) ATE145746T1 (de)
DE (2) DE4107668C2 (de)
ES (1) ES2097227T3 (de)

Families Citing this family (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE19510332A1 (de) * 1995-03-22 1996-10-02 Pilz Gmbh & Co Schaltungsanordnung und Verfahren zum Testen von nicht intermittierenden Gebern
DE19525217A1 (de) * 1995-07-11 1997-01-16 Teves Gmbh Alfred Erfassung und Auswertung von sicherheitskritischen Meßgrößen
DE19707241C2 (de) 1997-02-25 2000-05-31 Pilz Gmbh & Co Modulares Sicherheitsschaltgerät
DE19954460C2 (de) 1999-11-12 2002-02-28 Pilz Gmbh & Co Sicherheitsschaltgerät zum Ein- und sicheren Ausschalten eines elektrischen Verbrauchers, insbesondere einer elektrisch angetriebenen Maschine
DE10020074C5 (de) 2000-04-22 2010-04-29 Pilz Gmbh & Co. Kg Modulares Sicherheitsschaltgeräte-System
DE10045651B4 (de) * 2000-09-15 2007-08-02 Pilz Gmbh & Co. Kg Sicherheitsschaltgerät
ES2257913B1 (es) * 2004-02-27 2007-07-16 Gtg Ingenieros, S.L. Mando inalambrico de seguridad.
DE102008045265B4 (de) * 2008-09-01 2022-05-05 Magna powertrain gmbh & co kg Verfahren und Vorrichtung zur zweikanaligen Überwachung von sicherheitsrelevanten Sensorsignalen
GB2506423B (en) * 2012-09-28 2014-12-31 Sevcon Ltd Motor safety control

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2340570A1 (fr) * 1976-02-04 1977-09-02 Regie Autonome Transports Perfectionnements aux dispositifs de securite pour systemes ou appareils, notamment des vehicules, propres a fonctionner de facon sequentielle
US4195286A (en) * 1978-01-06 1980-03-25 American District Telegraph Company Alarm system having improved false alarm rate and detection reliability
US4280164A (en) * 1979-07-24 1981-07-21 Ims Ltd. Fail-safe relay system
DE3128256A1 (de) * 1981-07-17 1983-02-03 Richard Hirschmann Radiotechnisches Werk, 7300 Esslingen Bewegungsmelder zur raumueberwachung
DE3140252A1 (de) * 1981-10-09 1983-04-28 Langenstein & Schemann Ag, 8630 Coburg Elektrische sicherungsanordnung eines hammer-schlagventiles
EP0112837A1 (de) * 1982-02-11 1984-07-11 Zf-Herion-Systemtechnik Gmbh Elektronische steuerung mit sicherheitseinrichtungen
US4611197A (en) * 1985-02-19 1986-09-09 Sansky Michael J Malfunction-detecting status monitoring system
DE3819994A1 (de) * 1988-06-11 1989-12-14 Dirar Najib Schaltungsanmeldung zur ueberwachung wenigstens eines parameters eines betriebsmittels

Also Published As

Publication number Publication date
EP0505774A1 (de) 1992-09-30
ES2097227T3 (es) 1997-04-01
DE4107668A1 (de) 1992-09-17
DE4107668C2 (de) 1994-11-03
DE59207567D1 (de) 1997-01-09
ATE145746T1 (de) 1996-12-15

Similar Documents

Publication Publication Date Title
EP1269274B2 (de) Sicherheitsschaltgerät und verfahren zur einstellung eines betriebsmodus eines sicherheitsschaltgeräts
EP0185667B1 (de) Rücksetzschaltung für mikroprozessoren
EP1493064B1 (de) Vorrichtung zum fehlersicheren abschalten eines elektrischen verbrauchers, insbesondere in industriellen produktionsanlagen
EP1627402B1 (de) Sicherheitsschaltgerät zum fehlersicheren abschalten eines elektrischen verbrauchers sowie entsprechendes verfahren
EP0301442B1 (de) Schaltungsanordnung zur Überprüfung der Zuleitungen eines Schalters oder Sensors
DE102006034837B4 (de) Maschinenanlasser und Maschinenstartverfahren
EP0563787B1 (de) Überwachungsschaltung für computergesteuerte Sicherheitsgeräte
EP2208215B1 (de) Schaltanordnung und verfahren zum ansteuern eines elektromagnetischen relais
DE2923511C3 (de) Elektronische Einrichtung zur Überwachung einer Mehrzahl laufender Fäden an einer Textilmaschine
EP0279168B1 (de) Schaltungsanordnung zur Stromversorgung einer Vielzahl von Verbrauchern
DE4242792C2 (de) Sicherheitsschalteranordnung
DE2443339C2 (de) Fehlerdetektorschaltung zum Abschalten eines elektrischen Antriebssystems
EP0505774B1 (de) Sicherheitsschaltgerät
EP3043220B1 (de) Vorrichtung und verfahren zur funktionsüberwachung eines sicherheitsschaltmittels
DE2208045A1 (de) Einrichtung zur steuerung und kontrolle des andrehmotors einer brennkraftmaschine
EP0546244B1 (de) Schaltungsanordnung für ein Zugfahrzeug
DE102015207783A1 (de) Gegen Überspannung geschütztes elektronisches Steuergerät
EP3857664A1 (de) Schaltgerät zum sicheren abschalten eines elektrischen verbrauchers von einem energieversorgungsnetz sowie ein sicherheitsschaltsystem
WO2012084002A1 (de) Ansteuerschaltung für ein elektromagnetisches relais
DE102009050692B4 (de) Sicherheits-Kommunikationssystem zur Signalisierung von Systemzuständen
EP1480239B1 (de) Verfahren und Schaltungsanordnung zur Funktionsüberwachung eines elektronisch-mechanischen Positionsschalters
DE4322841C2 (de) Gefahrenmeldeanlage
DE60017311T2 (de) Verfahren zur Überwachung der Endstellung eines mobilen Elements und Vorrichtung zur Durchführung des Verfahrens
DE3030057C2 (de)
DE3513357A1 (de) Schaltungsanordnung, insbesondere fuer einen sicherheitskoppelschalter im untertagebergbau

Legal Events

Date Code Title Description
PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AT BE CH DE DK ES FR GB GR IT LI LU MC NL PT SE

17P Request for examination filed

Effective date: 19930224

GRAG Despatch of communication of intention to grant

Free format text: ORIGINAL CODE: EPIDOS AGRA

17Q First examination report despatched

Effective date: 19960226

GRAH Despatch of communication of intention to grant a patent

Free format text: ORIGINAL CODE: EPIDOS IGRA

GRAH Despatch of communication of intention to grant a patent

Free format text: ORIGINAL CODE: EPIDOS IGRA

GRAH Despatch of communication of intention to grant a patent

Free format text: ORIGINAL CODE: EPIDOS IGRA

GRAA (expected) grant

Free format text: ORIGINAL CODE: 0009210

AK Designated contracting states

Kind code of ref document: B1

Designated state(s): AT BE CH DE DK ES FR GB GR IT LI LU MC NL PT SE

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: DK

Effective date: 19961127

Ref country code: GR

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 19961127

Ref country code: NL

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 19961127

REF Corresponds to:

Ref document number: 145746

Country of ref document: AT

Date of ref document: 19961215

Kind code of ref document: T

REF Corresponds to:

Ref document number: 59207567

Country of ref document: DE

Date of ref document: 19970109

ITF It: translation for a ep patent filed

Owner name: JACOBACCI & PERANI S.P.A.

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: PT

Effective date: 19970227

REG Reference to a national code

Ref country code: CH

Ref legal event code: NV

Representative=s name: KIRKER & CIE SA

GBT Gb: translation of ep patent filed (gb section 77(6)(a)/1977)

Effective date: 19970224

ET Fr: translation filed
PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: BE

Effective date: 19970331

Ref country code: LU

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 19970331

REG Reference to a national code

Ref country code: ES

Ref legal event code: FG2A

Ref document number: 2097227

Country of ref document: ES

Kind code of ref document: T3

NLV1 Nl: lapsed or annulled due to failure to fulfill the requirements of art. 29p and 29m of the patents act
PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: MC

Effective date: 19970930

PLBE No opposition filed within time limit

Free format text: ORIGINAL CODE: 0009261

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: NO OPPOSITION FILED WITHIN TIME LIMIT

26N No opposition filed
REG Reference to a national code

Ref country code: GB

Ref legal event code: IF02

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: CH

Payment date: 20030218

Year of fee payment: 12

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: GB

Payment date: 20030226

Year of fee payment: 12

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: AT

Payment date: 20030304

Year of fee payment: 12

Ref country code: SE

Payment date: 20030304

Year of fee payment: 12

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: FR

Payment date: 20030314

Year of fee payment: 12

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: ES

Payment date: 20030320

Year of fee payment: 12

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: GB

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20040303

Ref country code: AT

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20040303

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: ES

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20040304

Ref country code: SE

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20040304

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: CH

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20040331

Ref country code: LI

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20040331

GBPC Gb: european patent ceased through non-payment of renewal fee
EUG Se: european patent has lapsed
REG Reference to a national code

Ref country code: CH

Ref legal event code: PL

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: FR

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20041130

REG Reference to a national code

Ref country code: FR

Ref legal event code: ST

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: IT

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES;WARNING: LAPSES OF ITALIAN PATENTS WITH EFFECTIVE DATE BEFORE 2007 MAY HAVE OCCURRED AT ANY TIME BEFORE 2007. THE CORRECT EFFECTIVE DATE MAY BE DIFFERENT FROM THE ONE RECORDED.

Effective date: 20050303

REG Reference to a national code

Ref country code: ES

Ref legal event code: FD2A

Effective date: 20040304

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: DE

Payment date: 20100423

Year of fee payment: 19

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: DE

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20111001

REG Reference to a national code

Ref country code: DE

Ref legal event code: R119

Ref document number: 59207567

Country of ref document: DE

Effective date: 20111001