SICHERHEITSSCHALTERANORDNUNG.
Die Erfindung betrifft eine Sicherheitsschalteranordnung gemäß der deutschen Patentanmeldung P 44 41 070.0-32.
Die dort beschriebene zweikanalige Sicherheitsschalteranordnung weist Aktoren mit aus Halbleiterelementen bestehenden schalterartigen Mitteln auf. Diese Halbleiterelemente weisen im Gegensatz zu Relais keine verschleißanfälligen Kontakte auf.
Zur Durchführung der Funktionsüberprüfung der Aktoren ist in jedem Auswer¬ tekanal eine Rechnereinheit vorgesehen, wobei jede Rechnereinheit über zwei bidirektionale Zuleitungen mit dem Aktor verbunden ist. Die Rechnereinheiten, die vorzugsweise als Controller ausgebildet sind, können als Standardprodukte kostengünstig ohne zusätzlichen Schaltungsaufwand den Aktoren vorgeschaltet werden. In einer Vielzahl von Sensoren sind bereits Rechnereinheiten zur Steu¬ erung der Sensorfunktionen integriert. In diesem Fall können diese Rechnerein¬ heiten die für die Sicherheitsschalteranordnung notwendigen Funktionen zusätz¬ lich abarbeiten, so daß der Schaltungsaufwand des Sensors weiter reduziert wird.
Zur Überwachung der Rechnereinheiten sind diese über eine bidirektionale Zu¬ leitung verbunden.
Die komplette Ansteuerung und Funktionsüberwachung der Aktoren erfolgt zentral in den Rechnereinheiten. Damit die Funktionsüberwachung von der
Übermittlung der Sensorsignale physikalisch getrennt ist, sind zur Übermittlung der Schaltimpulse des Sensors und zur Übermittlung von Testimpulsen zur Funk¬ tionsüberprüfung von der Rechnereinheit an den Aktor separate bidirektionale Zuleitungen vorgesehen, was die Funktionssicherheit der Anordnung erhöht. Die bidirektionalen Zuleitungen übertragen die Schaltimpulse und Testimpulse nicht nur an den Aktor sondern erhalten von diesem eine Rückmeldung. Aus dieser Rückmeldung werden zusätzlich Informationen gewonnen, ob die Funktionen
des Aktors und der Zuleitungen fehlerfrei sind. Aufgrund der verschiedenen Rückmeldungen können eventuell auftretende Fehler schnell und sicher lokali¬ siert und klassifiziert werden.
Zur Funktionsübeφrüfung der Sicherheitsschalteranordnung werden von den
Rechnereinheiten kurzzeitig die Schaltzustände geändert und die Rückmeldun¬ gen in den Rechnereinheiten dahin übeφriift, ob die Funktionen der Auswerte¬ kanäle und der Aktoren fehlerfrei sind. Diese Änderung der Schaltzustände er¬ folgt so kurzzeitig, daß sich der Betriebszustand des Arbeitsmittels nicht ändert, d.h. der Betrieb des Arbeitsmittels wird durch die Funktionsübeφrüfung nicht beeinträchtigt. Ein weiterer Vorteil dieser Anordnung besteht darin, daß die Parameter der Funktionsübeφrüfung über die Rechnereinheiten einfach einstell¬ bar sind.
Der Erfindung liegt die Aufgabe zugrunde, den Umfang der Funktionsüber¬ prüfung bei möglichst geringem Schaltungsaufwand zu erhöhen.
Zur Lösung dieser Aufgabe sind die Merkmale des Anspruchs 1 vorgesehen. Vorteilhafte Ausführungsformen und zweckmäßige Weiterbildungen sind in den Ansprüchen 2 - 9 beschrieben.
Mittels der Spannungsüberswachungseinheit, die auf die Schalter in den Zulei¬ tungen geführt sind, welche auf die Aktoren führen, werden die Betriebsspan¬ nungen der Rechnereinheiten übeφriift, so daß von den Rechnereinheiten aus- gehende fehlerhafte Steuersignale aufgrund von Über- oder Unterspannungen, die zu einem gefährlichen Ausfall der Schalter führen können, aufgedeckt werden können.
Die Funktionsüberwachung kann vorteilhafterweise so durchgeführt werden, daß die Rückleseleitungen nicht mehr auf beide Rechnereinheiten zurückgeführt werden müssen, wodurch sich der Schaltungsaufwand verringert. Vorteilhafter¬ weise ist der Sensor über eine zweikanalige Zuleitung mit jeder Rechnereinheit
verbunden, wodurch die vom Sensor zu der Rechnereinheit gelangenden Signale überwacht werden können.
Ferner ist vorteilhaft, daß die Funktionsübeφrüfung unabhängig vom Signalzu- stand der Sensoren erfolgt.
Die Erfindung wird im nachstehenden anhand der Zeichnung erläutert. Es zeigen:
Fig.l Ein Blockschaltbild der Sicherheitsschalteranordnung
Fig. 2 Ein Blockschaltbild des Aktors
Fig. 3 Ein Impulsdiagramm der Signalzustände der bidirektionalen Zulei- tungen.
Fig. 1 zeigt eine Sicherheitsschalteranordnung 1 zum Ein- und Ausschalten der Stromversorgung eines nicht dargestellten Arbeitsmittels. Das Ein- und Aus¬ schalten des Arbeitsmittels erfolgt mittels eines Sensorsignals S. Der Sensor ist vorzugsweise als Lichtschranke ausgebildet, in dessen Gehäuse die komplette
Sicherheitsschalteranordnung integriert ist.
Der Sensor kann beispielsweise zur Überwachung eines Schutzfeldes im Bereich des Arbeitsmittels eingesetzt werden. Er weist zwei Signalzustände auf. nämlich Schutzfeld frei (Sensor aktiv) und Schutzfeld nicht frei (Sensor inaktiv).
Das binäre Sensorsignal S wird den beiden Auswertekanälen 2 der Sicherheits¬ schalteranordnung 1 zugeführt. Jeder Auswertekanal 2 weist eine Zuleitung 2a, 2b auf, welche den Sensor direkt mit einem Aktor 3 verbindet. Der Aktor 3 weist aus Halbleiterelementen bestehende schalterartige Mittel auf. Dem Aktor
3 ist eine Rechnereinheit 4 vorgeschaltet, die als Controller, vorzugsweise als Microcontroller, ausgebildet ist. Jede Rechnereinheit 4 ist über eine separate Zu-
leitung 2a, 2b mit dem Sensor verbunden, wodurch das Sensorsignal über die Rechnereinheiten 4 überwacht werden kann.
Die Rechnereinheiten 4 sind über eine bidirektionale Zuleitung 5 gekoppelt. Die Hardware der Controller ist identisch aufgebaut, während deren Software unter¬ schiedlich ausgebildet ist. Bezüglich der Hardware sind die Controller demzu¬ folge homogen redundant aufgebaut, während die Software diversitär ausgebil¬ det ist. Die Rechnereinheiten 4 arbeiten im Master-Slave Betrieb, wobei der Master die Kommunikation der Rechnereinheiten 4 steuert. Die gegenseitige Kontrolle der Rechnereinheiten 4 erfolgt vorteilhafterweise in einem asynchro¬ nen Betrieb zeitversetzt.
Zur Funktionsübeφrüfung des Aktors 3 ist dieser mit der Rechnereinheit 4 über zwei bidirektionale Zuleitungen 5a, 5b und 6a, 6b gekoppelt. Über die erste Zu- leitung 5a, 5b werden rücklesbar die Schaltimpulse, die dem aktuellen Signalzu¬ stand des Sensors entsprechen, an den Aktor 3 übertragen. Über sämtliche Zu¬ leitungen 5a, 5b, 6a, 6b werden Testimpulse an den Aktor 3 zu dessen Funk¬ tionsübeφrüfung übertragen. Die bidirektionalen Zuleitungen 5a, 5b, 6a, 6b bestehen jeweils aus einer Signalleitung 5a, 6a zur Übertragung von Informatio- nen an den Aktor 3 und einer Rückleseleitung 5b, 6b zur Rückmeldung vo
Aktor 3 an die Rechnereinheit 4.
Jeder Aktor 3 weist einen Schaltausgang 7 auf. Nur wenn beide Schaltausgänge
7 aktiv sind, d.h. wenn beide Schaltausgänge 7 den Signalzuständen "Schutzfeld frei" des Sensors entsprechen, wird das Arbeitsmittel eingeschaltet.
Die Sicherheitsschalteranordnung 1 weist eine Spannungsüberwachungseinheit
8 auf, auf deren Eingänge Zuleitungen 9a von Ausgängen der Rechnereinheiten 4 geführt sind. Die Spannungsüberwachungseinheit 8 ist vorzugsweise von einem integrierten Schaltkreis (IC) gebildet. Eine weitere Zuleitung 9b ist von einem Eingang der Spannungüberwachungseinheit 8 auf ein Referenzspannungs¬ potential Urcl geführt. Von einem Ausgang der Spannungsüberwachungseinheit
8 ist eine Zuleitung 10 auf Schalter 11 in den Signalleitungen 5a geführt. Die Schalter 11 sind vorzugsweise als Transistoren ausgebildet.
Mittels der Spannungsüberwachungseinheit 8 wird übeφriift, ob sich die Be- triebs Spannungen der Rechnereinheiten 4 in einem vorgegebenen Sollwertbe¬ reich befinden. Ist dies nicht der Fall, so werden über die Zuleitung 10 die beiden Schalter 1 1 geöffnet, das Arbeitsmittel demnach deaktiviert. Dadurch wird gewährleistet, daß von den Rechnereinheiten 4 keine fehlerhaften Steuersi¬ gnale aufgrund von Über- bzw Unterspannungen ausgehen.
In Fig. 2 ist ein Blockschaltbild eines Aktors 3 dargestellt. An der Ausgangs¬ seite des Aktors 3 sind ein Varistor 12, ein Widerstand 13 und eine Supressor- diode 14 zum Schutz von transienten Überspannungen vorgesehen. Der Wider¬ stand 13 dient zur zeitlichen Verzögerung von Überspannungspulsen, so daß die schnellere Supressordiode 14 nicht vor dem Varistor 12 anspricht. Von diesem
Überspannungsschutz führt über einen Widerstand 15 eine Zuleitung zu einem P-Kanal MOS-Feldeffekttranssistor 16, der das schalterartige Mittel bildet. Das schalterartige Mittel ist über einen Widerstand 17 auf den Schaltausgang 7 geführt. Desweiteren führt vom Widerstand 17 eine Zuleitung zu einem Transi- stör 19, der auf Massepotential GND geführt ist. Der Transistor 19 wird durch eine Supressordiode 18 von Überspannungen geschützt.
Der Tansistor 16 ist durch die Widerstände 15 und 20 als eine erste Konstant¬ stromquelle beschaltet, wodurch bei Kurzschlußtests der Strom auf einen Maxi- malwert begrenzt ist.
Der Widerstand 20 ist ebenso wie die Diode 21 und Widerstände 22, 23 auf das schalterartige Mittel geführt. Widerstände 24 und 25 sind auf den Schaltausgang 7 geführt. Widerstände 26 und 27 sind auf den Transistor 19 geführt. Wider- stände 28 und 29 sind zwischen dem Widerstand 15 und einem Transistor 30 geschaltet. Der Transistor 30 regelt über die Diode 21 und den Widerstand 22 den Transistor 16, so daß sich eine zweite Konstantstromquelle ergibt, die über
die Diode 32 auf die Rückleseleitung 5b geführt ist.
Zur Messung der Spannung am Kollektor des Transistors 19 ist ein Transistor 31 vorgesehen. Zusätzlich stellt der Transistor 31 eine Anlaufstrombegrenzung für den Transistor dar, d.h. er begrenzt den Stromfluß des Transistors 19, falls ein Kurzschluß des Schalterausgangs 7 gegen die Versorgungsspannung UB vor¬ liegen würde. Dadurch wird der Transistor 19 vor Zerstörung geschützt.
Mittel einer Zenerdionde 33 und einer Diode 34 wird im Fehlerfall der Schalt- ausgang 7 auf Massepotential GND geschaltet.
Widerstände 36 und 37 sind den Sendeelementen für die Rückleseleitungen 5b, 6b vorgeschaltet. Den Empfangselementen der Signalleitungen 5a, 5b sind Widerstände 23, 38 nachgeschaltet.
Die Sendeelemente für die Rückleseleitungen 6b bzw 5b sind von Optokopplern 39, 40 gebildet. Die Empfangselemente für die Signalleitungen 5a, 6a sind von Optokopplern 41 und 42 gebildet.
Die Signalleitungen 5a, 6a sind so geschaltet, daß im Reset-Zustand der Rech¬ nereinheiten 4 die Transistoren 16 und 19 hochohmig sind. Somit kann keiner dieser Transistoren 16, 19 durch einen externen Kurzschluß zerstört werden, be¬ vor die Rechnereinheiten 4 in Betrieb sind.
Die Funktionen der Sicherheitsschalteranordnung 1 werden im folgenden anhand von Fig. 3 erläutert.
Die Funktionsübeφrüfung der Auswertekanäle 2 erfolgt unabhängig vom aktuel¬ len Sensorzustand, d.h. unabhängig davon ob der Sensor aktiv oder inaktiv ist. Dies ist durch die schraffierten Flächen in Fig. 3 angedeutet. Die Durchführung der Funktionsübeφrüfung wird von den Rechnereinheiten 4 gesteuert.
Die Rechnereinheiten arbeiten im Master-Slave Betrieb. Dies bedeutet, daß eine Rechnereinheit 4 als Master die Kommunikation über die Zuleitungen 5 steuert. Die Kommunikation erfolgt in Form einer Zwei-Bit-Parallelkommunikation, d.h. jede Rechnereinheit 4 weist eine Sende- und Empfangsleitung 5 auf.
Die Funktionskontrolle der Rechnereinheiten 4 erfolgt gegenseitig über eine time-out Funktion. Wenn eine Rechnereinheit 4 auf ein Signal der anderen Rechnereinheit 4 nicht rechtzeitig antwortet, so wird die fehlende Anwort als Fehler inteφretiert.
Wie aus Fig. 3 ersichtlich ist, erfolgt die Funktionsübeφrüfung in den beiden Auswertekanälen zeitversetzt. Zweckmäßigerweise erfolgt die Freigabe einer Rechnereinheit 4 zur Durchführung der Funktionsübeφrüfung durch den Master. Der Übersichtlichkeit halber ist die Zeitverzögerung zwischen zwei Funktions- übeφrüfungen in Fig. 3 nicht dargestellt.
Die Funktionsübeφrüfung gliedert sich in Testabschnitte I, II. III, IV. Während der ersten drei Testabschnitte I, II, III wird übeφriift, ob im Aktor 3 selbst eine Störung vorliegt. Im Testabschnitt IV wird die Funktion der Spannungsüber- wachungseinheit 8 und der Schalter 1 1 übeφrtift.
Die in Fig. 3 dargestellten Signalfolgen stellen den fehlerfreien Fall dar.
Im Testabschnitt I werden die Signalleitungen 5a, 6a aktiviert. Bei diesem Kurz- schlußtest muß im fehlerfreien Fall die Rückleseleitung 5b den Zustand aktiv und die Rückleseleitung 6b den Zustand inaktiv einnehmen.
Um den Stromfluß beim Kurzschlußtest zu begrenzen, ist der Transistor 16 durch die Widerstände 15 und 20 als Konstantstromquelle beschaltet. Zudem ist ein Kondensator 43 als Energiespeicher vorgesehen, so daß das versorgende
Netzteil hiervon nicht belastet ist.
In den Testabschnitten ü und HI werden die Signalleitungen 5 a, 6a zeitversetzt aktiviert. Im fehlerfreien Fall bleibt die Rückleseleitung 5b im inaktiven Zu¬ stand, während die Rückleseleitung 6b nur während des Testabschnitts HI in¬ aktiv ist, nicht jedoch während des Testabschnitts π.
Im Fehlerfall ergeben sich für die Rückleseleitungen 5b, 6b während der Test¬ abschnitte I, ü, m Schaltzustände, die von den in Fig. 3 dargestellten Zuständen abweichen.
In diesem Fall können die Transistoren 16, 19 durchlegiert oder hochohmig sein. Ebenso kann ein Schluß gegen Massepotential GND oder die Versor¬ gungsspannung UB vorliegen. Schließlich kann die Spannungsüberwachungsein¬ heit 8 defekt sein oder ein Querschluß der Schaltausgänge 7 zueinander vorlie¬ gen.
Ist der Transistor 16 im Fehlerfall durchlegiert und läßt sich nicht mehr ab¬ schalten, so fließt beim Einschalten des Transistors 19 solange Strom, bis der eine Sicherung bildende Widerstand 17 anspricht und den Schaltausgang 7 von der Versorgungsspannung UB abtrennt. Vor Ansprechen der Sicherung kann so- mit der gestörte Auswertekanal 2 noch in den sicheren Zustand übergehen, d.h. das Arbeitsmittel abschalten.
Um einen Kurzschluß des Schaltausgangs 7 nach U„ von den anderen Fehlerfäl¬ len zu unterscheiden, kann ein weiterer, in Fig. 3 nicht dargestellter Testab- schnitt angefügt werden. In diesem Testabschnitt werden die Transistoren 16 und 19 hochohmig geschaltet. Über den Optokoppler 39 wird geprüft, ob Spannung am Schaltausgang 7 anliegt.
Ist dies nicht der Fall, so liegt kein externer Kurzschluß vor und der Schaltaus- gang 7 wird über den Transistor 19 auf Massepotential GND geschaltet.
Im Testabschnitt IV wird die Spannungsüberwachung der Rechnereinheit 4
übeφriift. Die Rechnereinheit 4 simuliert hierzu einen Überspannungsimpuls (Signalleitungen 5 a, 6a aktiv), worauf die Zuleitung 9a im fehlerfreien Fall aktiviert wird.
Zur zyklischen Funktionsüberwachung werden die Schaltzustände der Signallei¬ tungen 5a, 6a kurzzeitig geändert. Die einzelnen Zeitintervalle "1 " bis "8" liegen im Bereich von 50 - 150 μs. Diese Zeitintervalle sind somit so kurz, daß die innerhalb dieser Intervalle durchgeführten Änderungen der Schaltzustände auf den Signalleitungen 5a, 6b aufgrund der Trägheit des Arbeitsmittels keine Än- derung dessen Betriebszustandes bewirken können. Die Wiederholdauer der zyklischen Funktionsüberwachung liegt im Bereich 5 - 15 ms, vorzugsweise be¬ trägt sie 10 ms. Besonders vorteilhaft ist, daß die zyklische Funktionsüber¬ wachung von den Rechnereinheiten 4 gesteuert wird. Über die Software in den Rechnereinheiten 4 kann die Wiederholdauer der zyklischen Funktionsüberwa- chung variiert werden, beispielsweise um eine Überlastung der Rechnereinheiten
4 zu vermeiden.