WO2017125247A1

WO2017125247A1 - Sicherheitssteuerung

Info

Publication number: WO2017125247A1
Application number: PCT/EP2017/000068
Authority: WO
Inventors: Kristof SCHLEMMER; Jörg EBERSOHL
Original assignee: Hydac System Gmbh
Priority date: 2016-01-22
Filing date: 2017-01-20
Publication date: 2017-07-27

Abstract

Eine Sicherheitssteuerung, die dem Zweck einer schnellen Druckentlastung eines hydraulischen Verbrauchers dient, mit mindestens einem Paar von Steuerventilen, die fluidführend miteinander verbindbar sind, ist dadurch gekennzeichnet, dass das jeweilige Paar von Steuerventilen (A1, C2; B1, A2; C1, B2) leckagefrei zwischen einem Druckversorgungs(P)- und einem Tankanschluss (T) angeordnet ist, und dass jedes Steuerventil (A1, C2; B1, A2; CT1, B2) elektrisch ansteuerbar ist.

Description

Hydac System GmbH, Industriegebiet, 66280 Sulzbach/Saar

Sicherheitssteuerung

Die Erfindung betrifft eine Sicherheitssteuerung, die dem Zweck einer schnellen Druckentlastung eines hydraulischen Verbrauchers dient, mit mindestens einem Paar von Steuerventilen, die fluidführend miteinander verbindbar sind.

Eine dahingehende Sicherheitssteuerung ist Gegenstand der Gebrauchsmusterschrift DE 20 2005 021 076 U1. Diese Gebrauchsmusterschrift betrifft eine Sicherheitssteuerung in Form einer Ventilanordnung zur Ansteuerung eines hydraulischen Verbrauchers mit drei Eingangsschaltventilen, durch die ein durckbeaufschlagtes Medium leitbar ist, die auf deren Zulaufseite durch Zulaufleitungen mit einer Druckversorgung verbunden sind und die strömungstechnisch parallel zueinander angeordnet sind, und mit einem Verbindungselement für den Verbraucher, welches Verbindungselement durch Druckleitungen mit Ablaufseiten aller Eingangsschaltventile verbun- den ist, wobei eine mit dem Medium beaufschlagte Steuerleitung an die Druckversorgung angeschlossen ist, wobei mit der Steuerleitung drei Schaltventilgruppen ansteuerbar sind, wobei jeder Schaltventilgruppe zwei . Schaltventile und eines der Eingangsschaltventile zugeordnet sind, wobei zwischen einer Schaltventilgruppe und der Steuerleitung jeweils ein An- Steuerventil zwischengeschaltet ist, mit welchem Ansteuerventil die Schalthandlungen der Schaltventile und des Eingangsventils der entsprechenden Schaltventilgruppe ermöglicht sind, wobei zwischen einer Ablaufstelle für das Medium und dem Verbindungselement drei strömungstechnisch parallel geschaltete Ablaufleitungen für das Medium angeordnet sind, wobei in jeder der Ablaufleitungen zwei Schaltventile in Serienschaltung angeordnet sind, und wobei die Schaltventile einer jeden Ablaufleitung von verschie- denen Ansteuerventilen betätigt sind.

Mit der bekannten Lösung ist eine Sicherheitssteuerung geschaffen zur An- steuerung eines hydraulischen Verbrauchers, wie einem Arbeitszylinder, die eine Überwachungsmöglichkeit für jede einzelne Komponente der Si- cherheitssteuerung bietet.

Ventilanordnungen dieser Art als Sicherheitssteuerung sind allgemein bekannt. Zum Beispiel werden solche Ventil anordnungen als sogenannte Trip- Blöcke mit einer„zwei von drei" (2oo3) Verschaltung bezeichnet, und sind z.B. zur Schnellschlussauslösung eines Schnellschlussventils, insbesondere von Gas-oder Dampfturbinen, bekannt. Die Bezeichnung„zwei von drei" sagt dabei aus, dass von drei vorhandenen Signalkanälen wenigstens zwei betätigt und intakt sein müssen, um das Schnellschlusssignal auszulösen. Dabei haben sich insbesondere die Anordnungen auf hydraulischer Basis durchgesetzt, d.h. das Steuermedium zur Auslösung des Schnellschlusssignals ist in der Regel ein Hydrauliköl.

Bei der bekannten Lösung besteht zwischen der genannten Ablaufstelle für das Medium und dem Verbindungselement mit angeschlossenem Sammel- rohr für die einzelnen Ventilgruppen eine unerwünschte Leckagestelle. Ferner handelt es sich bei der bekannten Lösung um eine rein hydraulische Ansteuerung für die einzelnen Schalt- und Ansteuerventile, was zum einen technisch aufwändig in der Realisierung ist und zum anderen zu Zeitverzögerungen beim Ansteuern der Ventile führen kann. Ferner sind im Stand der Technik Konzepte oder Architekturen einer hydraulischen Sicherheitssteuerung bekannt, die dem Zweck der schnellen Druckentlastung dienen sollen. Solche Konzepte sind unter den Bezeichnungen 1oo1, 1oo2, 1oo3, 2oo2 und 2oo3 bekannt geworden (siehe hierzu Norm IEC 61508-6 so wie Hydac-Prospekt„EHS Elektrohydraulische Sicherheitssteuerung" (D/E 2.800.2/04.1 1)) und werden heute bedarfsweise im Markt frei verwendet. Die verwendete Kurzform„1oo1 " steht dabei für „1 out of 1 "; die Angabe„1oo2" für„1 out of 2" etc.. So besteht das gebräuchliche 2oo3-Konzept sicherheitstechnisch gesehen aus drei redundan- ten, gleichartigen Steuerungskanälen, die einem Mehrheitsentscheider zugeführt werden und somit aus drei Eingangssignalen ein einziges Ausgangssignal zur Ausführung der Sicherheitsfunktion erzeugen. Der Mehrheitsentscheider ist dabei derart gestaltet, dass mindestens zwei der drei Eingangssignale vorliegen müssen, damit das Ausgangssignal gesetzt wird. Das da- hingehende Konzept besitzt damit eine Hardwarefehlertoleranz von HFT2003 = 1 .

Die hydraulische Realisierung dieser Konzeptlösung sieht dabei üblicherweise drei hydraulische Kanäle und drei 4/2-Wege-Schieberventile vor, die so angeordnet sind, dass jeder hydraulische Kanal nacheinander durch zwei verschiedene Ventile führt. Dabei nutzt jeder Kanal je Ventil nur eine der beiden Steuerkanten (P— >A bzw. B-*T) am Schieber, so dass ein Ventil jeweils zwei separate hydraulische Verbindungen gleichzeitig steuert. Es existieren somit sechs gesteuerte Öffnungen, die für die Umsetzung der 2oo3- Funktion erforderlich sind, die aber paarweise mechanisch über die Ventilschieber gekoppelt sind, so dass lediglich drei Freiheitsgrade in Form der Ventilschaltstellungen verbleiben.

Die eigentliche 2oo3-Konzeptlogik ist in der hydraulischen Verschaltung der drei Ventile enthalten und sorgt dafür, dass eine Druckentlastung des Verbrauchers stattfindet, wenn wenigstens ein hydraulischer Kanal frei ge- geben wird; dies ist dann der Fall, wenn wenigstens zwei elektrische Steuerstränge funktionieren und somit zwei Ventile stromlos geschaltet werden. Bei der bekannten Lösung ist die Sicherheitsfunktion erfüllt, solange wenigstens in einem Kanal ein durchgehender Pfad aus ausschließlich funktionsfä- higen Ventilelementen existiert. Die Besonderheit bei dieser bekannten Lösung liegt darin, dass die Ventilsteueröffnungen paarweise miteinander gekoppelt sind, so dass diese keine unabhängigen Elemente darstellen und ihr Ausfall stellen keine unabhängigen Ereignisse dar. Ausgehend von diesem Stand der Technik liegt der Erfindung die Aufgabe zugrunde, eine Sicherheitssteuerung zur Verfügung zu stellen, die die beschriebenen Nachteile im Stand der Technik nicht aufweist und dabei die hydraulische 2oo3-Konzeptarchitektur verbessert. Eine dahingehende Aufgabe löst eine Sicherheitssteuerung mit den Merkmalen des Patentanspruchs 1 in seiner Gesamtheit.

Dadurch, dass das jeweilige Paar von Steuerventilen leckagefrei zwischen einem Druckversorgungs- und einem Tankanschluss angeordnet ist und dass jedes Steuerventil elektrisch ansteuerbar ist, lassen sich die in Rede stehenden vorzugsweise insgesamt vorgesehenen sechs Steueröffnungen der Ventilpaare separat durch diese Ventile, insbesondere in Form von 2/2- Wege-Sitzventilen, kontrollieren, von denen jeweils zwei in Serie in jedem der drei Hydraulikkanäle angeordnet sind. Dabei werden die Ventile mit gemeinsamer Ansteuerlogik auch nur von einem gemeinsamen Steuersignal elektrisch angesteuert, was in einfacher und fehlersicherer Weise durch eine feste Klemmverbindung der Schaltstromzuführungen erfolgen kann. Auf diese Weise verhält sich das erfindungsgemäße Sicherheitssteuerungssystem steuerungsseitig wie eine 2oo3-Logik und kann in gleicher Weise wie bis- her angesteuert werden. Werden mindestens zwei der Ventil paare bei entsprechender Mehrventilanordnung entströmt, wird eine hydraulische Ver- bindung zwischen dem Verbraucheranschluss und dem Tank freigegeben, so dass der Verbraucher unmittelbar entlastet ist.

Aus dem Blickwinkel der Zuverlässigkeit ist das erfindungsgemäße Sicher- heitsteuerungssystem erfindungsgemäß insbesondere durch folgende Merkmale gekennzeichnet:

Bei der hier vorliegenden erfindungsgemäßen Lösung sind zwei ganz bestimmte (nämlich beide innerhalb eines hydraulischen Kanals) bis hin zu vier beliebigen Ventilen erforderlich, damit auf jeden Fall ein hydraulischer Kanal zwei funktionsfähige Ventile enthält. Diese Architektur soll als gegenüber der herkömmlichen 2oo3-Struktur verbesserte Lösung, wie folgt mit 2oo3plus bezeichnet werden. Günstigere Ausfallmechanismen und Ausfallraten sind durch die Anwendung der Sitzventiltechnik erreichbar im Vergleich zu konventionellen Schieberventilen, die mit Nachteilen behaftet sind, beispielsweise hinsichtlich Verschmutzungsempfindlichkeit, oder Silting. Der erfindungsgemäße scheibenförmig aufgebaute Ventilblock ist im Normalbetrieb technisch leckölfrei.

Bei entsprechender Sechsventilausgestaltung als Konzept 2oo3plus hat der Ausfall eines Ventils geringere Konsequenzen als bei der herkömmlichen 2oo3-Architektur. Zu einem Gesamtausfall kommt es erst bei wenigstens drei Ventilausfällen (einem je hydraulischem Kanal), günstigstenfalls erst ab fünf Ventilausfällen.

Die bereits angesproche Hardwarefehlertoleranz HFT2oo3_Pius beträgt zwischen 2 bis 4, je nach Ausfallkonstellation. Auf der sicheren Seite kann mit HFT2oo3_Pius = 2 gerechnet werden (äquivalent 1oo3-Konzept). Die Verdoppelung der Komponentenanzahl, inklusive der Ausfallraten, ist daher unkritisch. Behandlung als 2oo3 mit 2oo2 Konzept (—► doppelte Ausfallrate) je Kanal wäre unzutreffend, da ein Ventilausfall nicht den Ausfall eines ganzen Kanals zur Folge hat.

Die Anfälligkeit gegenüber Common Cause Failure (CCF) sinkt, da es mit steigender Komponentenzahl zunehmend unwahrscheinlicher wird, dass alle Elemente zeitgleich unerkannt ausfallen. Hierzu gibt es unterschiedliche probabi listische Modelle, die dies begründen und stärker redundante Systeme bevorzugen.

Im Vergleich zu dem 2oo3-Konzept bietet das 2oo3plus-Konzept eine höhere Sicherheit, insbesondere aufgrund der größeren Hardwarefehlertoleranzen. Auch werden bessere Probability of Failure on Demand (PFD)- Werte erzielt, die in erster Linie dadurch zu begründen sind, dass hier der Common Cause Failure (CCF)-Anteil dominiert, während der eigentliche Anteil der Logik deutlich geringer ausfällt als bei dem bekannten 2oo3- Konzept. Der CCF-Anteil ist zudem niedriger als bei der 2oo3-Konzeptlogik und auch als bei dem 1 oo3-Konzept, durch den dort regelmäßig nicht vor- handenen Kanaltest.

Im Vergleich zu dem 2oo3-Konzept bietet das 2oo3plus-Konzept eine höhere Verfügbarkeit, da bei einer Mehrventillösung mindestens zwei statt ein sicherer Fehler toleriert werden, bevor das System ungewollt in den siche- ren Zustand geht. Dies auch nur bei zwei ganz bestimmten sicheren Fehlern, (beide in einem hydraulischen Kanal), günstigstenfalls sind wiederum vier sichere Fehler nötig.

Weitere vorteilhafte Ausführungsformen sind Gegenstand der sonstigen Un- teransprüche. Im Folgenden wird die erfindungsgemäße Lösung anhand eines Ausführungsbeispieles nach der Zeichnung näher erläutert. Dabei zeigen in prinzipieller und nicht maßstäblicher Darstellung die

Fig. 1 in der Art eines hydraulischen Schaltplanes den Aufbau der

Sicherheitssteuerung nebst Druckversorgung und fluidischer Ansteuerung eines hydraulischen Verbrauchers, hier in Form eines hydraulischen Arbeitszylinders;

Fig. 2 wiederum in der Art eines Schaltplans die wesentlichen Komponenten der Sicherheitssteuerung nach der Fig. 1 mit den einzelnen elektrisch ansteuerbaren Paaren von Steuerventilen;

Fig. 3 in der Art eines Blockdiagramms eine Erläuterung der Zuverlässigkeit des sogenannten 2oo3plus-Konzepts; und

Fig. 4 in der Art eines weiteren hydraulischen Schaltplans die wesentlichen Komponenten eines weiteren Ausführungsbeispiels der Sicherheitssteuerung nach der Fig. 1.

Die Fig. 1 zeigt die erfindungsgemäße Sicherheitssteuerung als Blockdar- Stellung 10, die an einen Druckversorgungsanschluss P und einen Tankan- schluss T oder sonstige Drucksenke angeschlossen ist. Ferner ist die Sicherheitssteuerung über einen Verbraucheranschluss X in fluidführender Verbindung mit dem hydraulischen Verbraucher 12 in Form eines üblichen Arbeitszylinders mit dem Dampf- oder Turbinenventile (nicht dargestellt) oder sonstige Schalt- und Steuereinrichtungen (nicht dargestellt) betätigbar sind. Zwischen dem hydraulischen Verbraucher 12 und dem Verbraucheranschluss X mit nachfolgender Sicherheitssteuerung ist im gezeigten Beispiel eine weitere zusätzliche Sicherheitsventilsteuerung vorhanden, die wiederum als symbolischer Block 14 dargestellt ist. Eine solche Sicherheits- Ventilsteuerung ist jedoch je nach Antrieb nicht erforderlich. Zur Druckversorgung der Gesamtanordnung dient eine übliche Motor-Pumpeneinheit 16 sowie eine Ventilsteuerung 18 und Speicherversorgungseinrichtungen 20 in Form üblicher Hydrospeicher. Ansonsten sind in der Fig. 1 weitere hydraulische Komponenten ersichtlich, wie sie bei solchen hydraulischen Versorgungskreisläufen üblich sind. Durch Betätigen der Ventilsteuerung 18 in der ein oder anderen Richtung lässt sich der Arbeitszylinder 12 dann aus- bzw. einfahren.

Die in Fig. 1 in Blockdarstellung 10 prinzipiell dargestellte Sicherheitssteuerung ist in der Fig. 2 im Einzelnen aufgezeigt. Die dahingehende Sicher- heitssteuerung nach der Fig. 2 dient dem Zweck einer schnellen Druckentlastung des hydraulischen Verbrauchers 12, hier in Form des Arbeitszylinders.

Die Fig. 2 zeigt Paare A1 , C2; B 1 , A2; C1 , B2, die leckagefrei zwischen dem Druckversorgungsanschluss P und dem Tankanschluss T angeordnet sind. Jedes Steuerventil A1 , C2, BT, A2, C1 , B2 ist dabei elektrisch ansteuerbar; wofür eine elektrische Steuerung eingesetzt ist, die in der Fig. 2 als Blockdarstellung 22 wiedergegeben ist. Der Druckversorgungsanschluss P mündet über eine Versorgungsleitung 24 mit Drossel- oder Blendenstel le BP und über eine Versorgungsleitung 26 in den Verbrauc eranschluss X. Ferner bildet die dahingehende Versorgungsleitung 26 die Fluidversorgung auf der Eingangsseite 2 der Ventile A1 , B1 und C1 aus. Der Tankanschluss T mündet in eine Ablaufleitung 28 an die die Ausgänge 1 der Ventile C2, A2 und B2 angeschlossen sind.

Somit ist das jeweils eine Steuerventil AI , B1 , C1 an den Druckversorgungsanschluss P und das jeweils andere korrespondierende Steuerventil C2, A2, B2 an den Tankanschluss T angeschlossen. Ferner sind jeweils beide einander benachbart gegenüberliegende Steuerventile A1 , C2; B1 , A2 und C1 , B2 über eine gemeinsame Verbindungsleitung 30 miteinander verbunden. Je nach Ausgestaltung kann die Sicherheitssteuerung mit nur einem Paar von Steuerventilen A1, C2 aufgebaut sein, mit zwei Paaren von Steuerventilen AI , C2 und Bl, A2 oder mit drei Paaren von Steuerventilen AI , C2; B1 , A2 und C1 , B2 oder mit 1 bis 3 einzelnen Ventilen (1 Ventil je Scheibe).

Die logische Verschaltung der Steuerventile A1, C2; B1 , A2 und C1 , B2 in je einem Hydraulikkanal 32, 34, 36 ist in Fig. 3 in der Art eines Blockschaltbildes wiedergegeben. Jeder Hydraulikkanal 32, 34, 36 ist wiederum endseitig an den Druckversorgungsanschluss P und den Tankanschluss T angeschlossen. Zwischen der Ausgangsseite der Kanäle 32, 34, 36 und dem Tankanschluss T ist ein sogenannter CCF-Block 38 geschaltet zwecks Aus- und Bewertung von gemeinsamen Fehlerursachen.

Ferner ergibt sich die Zusammenschaltung der einzelnen Ventile in Betäti- gungsgruppen AI , A2; B1, B2 und C1 , C2 aus der Darstellung nach der Fig. 3. Die jeweilige Betätigungsgruppe A, B und C mit ihren Steuerventilen A1 , A2; B1, B2 und C1 , C2 werden gemeinsam von der Steuerungseinheit 22 elektrisch angesteuert. Wenn mindestens zwei der Betätigungsgruppen A, B oder B, C oder A, C mit ihren Steuerungsventilen AI , A2; B1 , B2 oder O , C2 entströmt werden, erfolgt eine hydraulische Verbindung zwischen dem Verbraucheranschluss X, der an die Druckversorgung P angeschlossen ist und dem Tankanschluss T derart, dass der hydraulische Verbraucher 12 entlastet ist und in einen ein- oder ausgefahrenen Ausgangszustand je nach Ausgestaltung zurückverfährt, um dergestalt in jedem Fall eine angeschlos- sene Einrichtung, wie ein Turbinenventil, sicher abzuschalten.

Wie sich des Weiteren aus der Fig. 2 ergibt, sind die jeweiligen Steuerventilpaare AI , C2; Bl , A2 und C1, B2 an eine gemeinsame Ringleitung 40 angeschlossen, wobei diese Steuerventil paare dann über Drosseln oder Blenden BZA; BZB, BZC und Rückschlagventile RVA, RVB und RVC derart voneinander entkoppelt sind, dass das Hydraulikfluid immer nur in einer Richtung fließen kann; bei der Ausführungsform nach der Fig. 2 in Blickrichtung auf die Fig. gesehen von links nach rechts. Nach dem letzten Rückschlagventil RVC mündet die Ringleitung 40 wieder in die erste Verbindungsleitung 30 zwischen den Ventilen A1 und C2 ein. Die Rück- schlagventile RVA, RVB und RVC sind federbelastet in ihrer Schließstellung in Richtung auf die vorangehende Verbindungsleitung 30 zugehalten. Eine solche Überwachung mit Ringleitung 40 kann entfallen, wenn eine Stellungsüberwachung der Ventile mit Näherungsschaltern erfolgt. Das jeweilige Steuerventil AI , C2; Bl , A2 und C1 , B2 ist aus einem Schaltventil, insbesondere einem 2/2-Wege-Sitzventil gebildet, das federbelastet in der Durchgangsstellung gemäß der Darstellung nach der Fig. 2 jeweils gehalten ist und wird das jeweilige Ventil über die Steuereinrichtung 22 bestromt, gelangt das Ventil in seine sperrende Stellung und die Verbin- dungsleitung 30 ist dann nicht mehr länger über den Druckversorgungsan- schluss P mit Druckmedium vorgebbaren Druckes versorgt. Mithin sind also die Steuerventile bestromt in ihrem sperrenden Zustand und entströmt im geöffneten Zustand gemäß der Darstellung nach der Fig. 2. Besonders bevorzugt ist das jeweilige Steuerventil paar AI , C2; B1 , A2 und C1 , B2 in der Art einer Art Blockscheibe ausgebildet, so dass insgesamt eine Modulweise mit drei Blockscheiben realisierbar ist. Ferner sind Druckschaltergruppierungen A3, B3 und C3 gemäß der Darstellung nach der Fig. 2 in die Ringleitung 40 zwischen je zwei benachbarten Ventilpaaren geschaltet. Bei der 2oo3plus-Architektur kann der Kanaltest nach zwei Prinzipien erfolgen, entweder durch direkte Stellungsüberwachung der Ventilschließelemente oder indirekt durch Drucküberwachung der Zwischendrücke zwischen den beiden Ventilen eines hydraulischen Kanals. Auch bei der indirekten Diagnose erzeugt der Testaufbau im Normalbetrieb, anders als bei bekannten Vergleichslösungen, keine Leckage. Zum Zwecke des indirekten Kanal-Diagnosetests ist jeder Ventilzwischenraum über eine Ringleitung mit den Zwischenräumen seiner beiden benachbarten hydraulischen Kanäle verbunden, dabei aber durch die vorstehend näher bezeichneten Blenden und Rückschlagventile derart entkoppelt, dass in der Ringleitung 40 immer nur in eine Richtung Öl gedrosselt in den Ventilzwischenraum des in dieser Richtung benachbarten hydraulischen Kanals abfließen kann. Die Ringleitung 40 erfüllt somit keinen anderen Zweck als den drucküberwachten Diagnosetest und kann theoretisch entfallen oder verschlossen werden, wenn dieser stattdessen über Stellungsüber- wachung der Venti le erfolgt.

Ein prinzipieller Ablauf eines Kanaltests über die Ringleitung 40 stellt sich wie folgt dar. Im Normalbetrieb sind alle Ventile bestromt und geschlossen. In der Reihenfolge herrscht in der jeweils vorangehenden Ventilreihe Sys- temdruck und hinter der danach folgenden Reihe Tankdruck und in den Zwischenräumen, d.h. in der gesamten Ringleitung 40 ein Mitteldruck. Es fließt kein Volumenstrom. Ein elektrisch gekoppeltes Ventilpaar, bspw. aus den Ventilen A1 und A2 bestehend, wird entströmt und öffnet dabei, während die beiden anderen Paare B1, B2; C1 , C2 im bestromten Zustand sind und damit geschlossen bleiben. Es fließt nun ein definierter, geringer Leckagestrom über die Blende BP, das Ventil AI , die Blende BZA, das Rückschlagventil RVA und das Ventil A2 zum Tank T hin ab.

Der Systemdruck pflanzt sich dabei annähernd mit einem geringen Verlust am Ventil A1 bis an die Blende BZA fort und wird dort abgebaut. Damit stellt sich im Raum zwischen BZA, RVB, B1 und A2 bei geringem Staudruck am Ventil A2 annähernd der Tankdruck ein. Das Rückschlagventil RVB bleibt geschlossen, da stromaufwärts Tankdruck herrscht und stromabwärts der höhere Mitteldruck vorliegt. Das Rückschlagventil RVC bleibt geschlossen, da stromaufwärts der Mitteldruck und stromabwärts der höhere Systemdruck vorliegt. Beim Wiedereinschalten der Ventile A1 und A2 des genannten Ventilpaares, wird der Ringleitungsraum wieder abgesperrt, und es findet dort ein interner Druckausgleich statt, d.h. der höhere Druck im linken Zwischen- räum (A1/C2) baut sich zum mittleren Zwischenraum (B1/A2) hin ab, und der Druck dort steigt. Gegebenenfalls findet auch ein Ausgleichsstrom mit dem rechten Zwischenraum (C1/B2) statt. Schließlich liegt im gesamten Ringleitungsraum der Ringleitung 40 wieder ein annähernd gleicher Mitteldruck vor, wobei mögliche Unterschiede in der Größenordnung der Öff- nungsdrücke der einzelnen Rückschlagventile vorliegen können.

Über die genannten Druckschalter A3 und B3 kann dann das erfolgreiche Öffnen und Schließen der Ventile A1 und A2 im Laufe der Prozedur eindeutig festgestellt werden mit Drucksollwerten bei Schaltfolge zu - auf - zu: neutral/neutral - high/low - neutral/neutral.

Die genannte Messung von high- oder low-Werten an irgendeinem Druckschalter während des Normalbetriebs weist auf Leckage oder ein Verlassen der geschlossen Schaltstellung hin, was eine Online-Überwachung ermög- licht. Die Abstimmung der Blenden ist„robust", da es nur auf das gut einstellbare Verhältnis BP/BZA, BP/BZB und BP/BZC ankommt, nicht aber auf die Druckabbaugeschwindigkeit im kleineren Zwischenraum. Diese hängt vom absoluten Widerstand von BZA, BZB und BZC im Verhältnis zum Volumen ab, so dass BZA, BZB und BZC sehr genau im Bereich kleinster Wi- derstände eingestellt werden müsste, was schwierig und verschmutzungsanfälliger ist. Mit einer sehr einfachen Logik, bspw. in Form von UND- Verknüpfungen, könnten die beiden Rückmeldesignale eines Druckschalters zu einem einzigen Signal zusammengeführt werden, so dass sich die Testprozedur gegenüber einem herkömmlichen 2oo3-Block mit drei Stel- lungsschaltern gar nicht ändert. Ein weiteres Ausführungsbeispiel für eine hydraulische Umsetzung der erfindungsgemäßen Lösung ist aus Fig. 4 ersichtlich, wobei die dahingehende Ausgestaltung vom Grundprinzip her im Wesentlichen der Lösung nach der Fig. 2 entspricht, so dass der Gegenstand nach der Fig. 4 nur noch insofern erläutert wird, als er sich wesentlich von der Ausführungsform nach der Fig. 2 unterscheidet. Die sechs Steueröffnungen werden wiederum separat durch 3 Paare von 2/2-Wege-Sitzventilen A1 , C2; B1 , A2 und C1 , B2 kontrolliert, von denen wie dargestellt jeweils zwei in Serie in jedem der drei Hydraulikkanäle oder Verbindungsleitungen 30 angeordnet sind. Die mit gleichen Buchstaben und entsprechenden Umrahmungen beschrifteten Ventile gemäß der Darstellung nach der Fig. 4 werden von einem gemeinsamen, zugeordneten Steuersignal betätigt, was in einfacher und fehlersicherer Weise durch eine feste Klemmverbindung (nicht dargestellt) der Schaltstromzuführungen erfolgen kann. Auf diese Weise verhält sich das System steuerungsseitig wie eine 2003-Logik und kann in gleicher Weise wie bisher angesteuert werden. Werden mindestens zwei der Ventilpaare entströmt, wird eine hydraulische Verbindung zwischen dem Versorgungs- anschluss X und dem Tank T freigegeben und so der zugehörige Verbraucher entlastet. Der Versorgungsanschluss X ist dabei über die Blende oder Drossel BP druck- und medienführend an die Druckversorgungsquelle P angeschlossen.

Zum Zwecke des bereits angesprochenen Kanal-Diagnosetests ist jeder Ventilzwischenraum diesmal über je eine Blende BZA, BTA; BZB, BTB; BZC, BTC und eine zugeordnete zusätzliche Verbindungsleitung 41 mit der

Druckseite P und der Tankseite T verbunden. Die genannten Blenden sind so aufeinander abgestimmt, dass sich im Ventilzwischenraum ein mittlerer Druck aufbaut. Die geänderte Lösung nach der Fig. 4 benötigt somit nicht die Rückschlagventile RVA, RVB und RVC. Ferner sind die jeweiligen Blen- den paarweise mit ihren einander benachbart zugeordneten Anschlüssen an eine weitere Verbindungsleitung PA3, PB3 und PC3 angeschlossen, die jeweils zum einen in die zuordenbare Druckschaltergruppierung A3, B3 und C3 ausmünden und zum anderen in die Verbindungsleitung 30 zwischen den einzelnen Ventilpaaren A1 , C2; B1 , A2 und C1, B2. Um die gewünschte Leckagefreiheit erreichen zu können, ist bei dem Ausführungsbeispiel nach der Fig. 4 vor den Blenden BZA, BZB und BZC auf der Druckseite ein sitzdichtes Magnetventil 42 geschaltet, das den Zulauf zu den genannten Blenden erst zum Ventiltest freigibt. Das Magnetventil 42 in Form eines sitzdichten 2/2-Wegeventils wird elektromagnetisch über die elektrische Steuerungseinheit 22 geschaltet. Der Eingang des Magnetventils 42 ist an die Versorgungsleitung 26 hinter der Drossel- oder Blendenstelle BP und dem Druck- oder Versorgungsansehl uss X geschaltet. Ist das Magnetventil 42 in seine Fluid durchlassende Stellung geschaltet, gelangt über die Druckversorgungsquelle P und die Blende oder Drossel BP Fluid unter Druck über die Anschlussleitung 43 und die zusätzlichen Verbindungsleitungen 41 zu den einzelnen, an diese Leitungen angeschlossene Blenden.

Die hydraulische Kanalführung kann wie dargelegt in einer einfachen, kompakten Ventilscheibe mit geringen Strömungsverlusten ausgeführt sein. Dabei werden die Toträume innerhalb der Ventilreihenschaltung entsprechend minimiert, um einen störenden Druckeinbruch am Verbraucheran- schluss X beim Öffnen der Ventile A1, B1 und C1 zu vermeiden. Ein besonders geringer Bau- und Montageaufwand lässt sich ferner dadurch erreichen, dass die gemeinsam genutzten Anschlüsse P, X, T, sowie die Blende BP in einer separaten Anschlussplatte untergebracht werden, so dass dann nur noch die kanalzugehörigen Elemente innerhalb der jeweiligen Scheibe anzuordnen sind. Nicht benötigte Anschlüsse können mittels Einschraubstopfen, Verschlussplatten etc. (nicht dargestellt) verschlossen werden. Ein Vorteil der bekannten 2oo3-Architektur besteht in der Möglichkeit des Diagnosetests bei dem jeder Kanal einzeln und in kurzen regelmäßigen Abständen auf Funktionsfähigkeit getestet wird. Dies erfolgt in der Regel über eine Stellungsüberwachung des Ventilschiebers im jeweils eingesetz- ten 4/2-Wegeventil.

Bei der erfindungsgemäßen 2oo3plus-Architektur kann der Kanaltest hingegen nach zwei Prinzipien erfolgen. Einmal durch Stellungsüberwachung der Ventilschließelemente oder indirekt durch Drucküberwachung der Zwi- schendrücke zwischen den beiden Ventilen A1 , C2; B1, A2 und C1 , B2 eines jeweils zuordenbaren hydraulischen Kanals 32, 34 und 36. In beiden Fällen erzeugt der Testaufbau im Normalbetrieb keine Leckage.

Durch Kombination mehrerer Scheiben mit den einzelnen Paaren von Steuerventilen können somit nicht nur 2oo3plus-Architekturen sondern in Verbindung mit einer flexiblen elektrischen Ansteuerung 22 jede beliebige Redundanzstruktur realisiert werden. Dabei ist es auch möglich, Ventile ganz wegzulassen und die Einbauräume mit Stopfen zu verschließen oder kurzzuschließen. Die nachfolgende Übersicht gibt einen Überblick über die möglichen Kombinationen.

Logik Anzahl Ventilpositionen Kanaltest

Scheiben AI B1 C1

C2 A2 B2

1oo1 1 X nicht möglich

1 - -

1 oo1 plus 1 X - - erfordert Einzelansteuerung

(1oo1 x 2oo2) X - - der Ventile beim Test

2oo2 1 X - - einzelnes Abschalten der

Y - - Ventile

2oo2plus 2 X Y - ■ analog wie beschrieben Y X -

1 oo2 2 X Y nicht möglich

I I -

1oo2plus 2 X Y - erfordert Einzelansteuerung

(1 oo2 x 2oo2) X Y - der Ventile beim Test

1oo3 3 X Y z nicht möglich

I I I

1oo3plus 3 X Y z erfordert Einzelansteuerung

(1oö3 x 2oo2) X Y z der Ventile beim Test

2oo3plus 3 X Y z wie beschrieben

z X Y

Aufgrund des modularen Aufbaus und des einfachen Ventilaufbaus ist das erfindungsgemäße System hervorragend Größenskalierbar. Scheibengröße, Schnittstellen und Anschlussplatte können ausreichend für alle Baugrößen dimensioniert werden, so dass nur die Kanalscheiben an die Ventilgröße angepasst werden müssen, was einen modularen Baukastenaufbau erlaubt. Auch geeignete Plattenaufbauventile (nicht dargestellt) sind bei entsprechender Anpassung des Blocks einsetzbar.

Bei Bedarf können auch Lösungen für größere Volumenströme entweder über einen Einsatz des Sicherheitsblocks als Vorsteuerung zu einer gemeinsamen Logikventil-Hauptstufe (nicht dargestellt) realisiert werden oder über Verwendung von den genannten sechs Logikventilen mit sechs Vorsteuerventilen innerhalb der beanspruchten 2oo3plus-Architektur.

Claims

P a t e n t a n s p r ü c h e

Sicherheitssteuerung, die dem Zweck einer schnellen Druckentlastung eines hydraulischen Verbrauchers (12) dient, mit mindestens einem Paar von Steuerventilen, die fluidführend miteinander verbindbar sind, dadurch gekennzeichnet, dass das jeweilige Paar von Steuerventilen (A1 , C2; B1 , A2; C1 , B2) leckagefrei zwischen einem Druckversor- gungs(P)- und einem Tankanschluss (T) angeordnet ist, und dass jedes Steuerventil (A1 , C2; B1 , A2; C1 , B2) elektrisch ansteuerbar ist.

Sicherheitssteuerung nach Anspruch 1 , dadurch gekennzeichnet, dass das eine Steuerventil (A1 , B1 , C1) an den Druckversorgungsanschluss (P) und das andere Steuerventil (C2, A2, B2) an den Tankanschluss (T) angeschlossen ist und dass beide Steuerventile (A1 , C2; B1 , A2; C1 , B2) eines jeden Paares über eine gemeinsame Verbindungsleitung (30) miteinander verbunden sind.

3. Sicherheitssteuerung nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass zwei Paare (A1, C2; B1 , A2), bevorzugt, drei Paare (A1, C2; B1 , A2; C1 , B2) von Steuerventilen, vorhanden sind.

4. Sicherheitssteuerung nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass je zwei in Serie zusammengeschaltete Steuerventile (AI , C2; B1 , A2; C1, B2) in je einem Hydraulikkanal (32, 34, 36) verlaufen, der endseitig zum einen an den Druckversorgungsanschluss (P) und zum anderen an den Tankanschluss (T) angeschlossen ist.

Sicherheitssteuerung nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass in Betätigungsgruppen (AI , A2; B1 , B2; C1 , C2) zusammengefasste Steuerventile, die verschiedenen, insbesondere benachbarten Hydraulikkahälen (32, 34, 36) zugeordnet sind, von einem gemeinsamen Steuersignal (A, B, C) einer Steuerungseinheit (22) ansteuerbar sind.

Sicherheitssteuerung nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass wenn mindestens eine Betätigungsgruppe (AI , A2; B1, B2; C1, C2) mit ihren Steuerventilen entströmt wird eine hydraulische Verbindung zwischen einem Verbraucheranschluss (X), der an den Druckversorgungsanschluss (P) angeschlossen ist, und dem Tank- anschluss (T) derart freigegeben ist, dass der hydraulische Verbraucher (12) entlastet ist.

Sicherheitssteuerung nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass die jeweiligen Steuerventil paare (A1 , C2; B1 , A2; C1, B2) auf ihrer benachbarten, einander zugewandten Seite an eine Ringleitung (40) angeschlossen und über Blenden (BZA, BZB, BZC) und/oder Rückschlagventile (RVA, RVB, RVC) derart voneinander entkoppelt sind, dass das Hydraulikfluid immer nur in einer Richtung fließt.

Sicherheitssteuerung nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass die einander benachbart gegenüberliegenden Steuerventile (A1 , C2; B1 , A2; C1 , B2) jeweils paarweise über eine gemeinsame Verbindungsleitung (30) miteinander verbunden sind, dass zwischen zwei benachbarten Verbindungsleitungen (30) ein Teil der Ringleitung (40) angeschlossen ist, und dass in der Richtung des Fluid- flusses in der Ringleitung (40) zwischen den beiden benachbarten Verbindungsleitungen (30) zuerst die Drucküberwachungseinrichtung, vorzugsweise in Form eines Druckschalters (A3, B3, C3) angeschlossen ist, dann die jeweilige zuordenbare Blende (BZA, BZB, BZC) und anschließend das jeweilige Rückschlagventil (RVA, RVB, RVC).

Sicherheitssteuerung nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass zusätzliche Verbindungsleitungen (41 ) zwischen einer zumindest zu Testzwecken druckführenden Anschlussleitung (43) und einer Ablaufleitung (28) angeordnet sind sowie jedem Ventil (AI , C2; B1 , A2; C1 , B2) zugeordnet eine eigene Blende (BZA, BTA; BZB, BTB; BZC und BTC) in die zuordenbare Verbindungsleitung (41) ge- schaltet ist.

10. Sicherheitssteuerung nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass die jeweilige zusätzliche Verbindungsleitung (41) zwischen den Paaren von Blenden (BZA, BTA; BZB, BTB; BZC, BTC) an eine weitere Verbindungsleitung (PA3, PB3, PC3) angeschlossen ist, die mit ihrem einen Ende an einen zuordenbaren Druckschalter (A3, B3, C3) ausmündet und mit ihrem anderen Ende an die Verbindungsleitung (30) an einer Stelle zwischen den Ventilpaaren (AI , C2; B1 , A2 und C1, B2) angeschlossen ist.

1 1. Sicherheitssteuerung nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass zum Herstellen einer Leckagefreiheit ein Magnetventil (42) dient, das eingangsseitig an die Druckversorgungsquelle (P) angeschlossen ist und ausgangsseitig in die Anschlussleitung (43) mündet, an die die zusätzlichen Verbindungsleitungen (41 ) angeschlossen sind.

12. Sicherheitssteuerung nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass das jeweilige, vorzugsweise federbelastete, Rück- schlagventil (RVA, RVB, RVC) in Richtung der vorangehenden Blende

(BZA, BZB, BZC) schließt und in der entgegengesetzten Richtung öffnet.

13. Sicherheitssteuerung nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass die Ringleitung (40) nach dem letzten Rückschlagventil (RVC) zurückgeführt in die erste Verbindungsleitung (30) zwischen dem ersten Steuerventil paar (A1 , C2) einmündet und in dieser Rückführung an keine weitere Verbindungsleitung (30) angeschlossen ist.

14. Sicherheitssteuerung nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass das jeweilige Steuerventil (AI , A2; B1 , B2; C1 ,

C2) aus einem Schaltventil, insbesondere einem 2/2-Wege-Sitzventil gebildet ist.

15. Sicherheitssteuerung nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass alle Steuerventile (AI , A2; B1 , B2; C1 , C2) bestromt in ihrem sperrenden und entströmt im geöffneten Zustand sind oder stromlos geschlossen und bestromt geöffnet sind.

16. Sicherheitssteuerung nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass das jeweilige Steuerventil paar (A1 , C2; B1 , A2;

C1 , B2) in der Art einer Blockscheibe ausgebildet ist, so dass insgesamt eine Modulbauweise mit bis zu drei Blockscheiben realisiert ist.