Sicherheitsgerät und System

Abstract

 Sicherheitsgerät mit einer Steuer- und Auswerteeinheit (2, 2'), wenigstens einem sicherheitsgerichteten Ausgang (OSSD_LG1, OSSD_LG2) zum Schalten eines Aktors, wobei die Steuer- und Auswerteeinheit (2, 2') ausgebildet ist, Schaltsignale auf dem sicherheitsgerichteten Ausgang (OSSD_LG1, OSSD_LG2) auszugeben. Die Steuer- und Auswerteeinheit (2, 2') weist eine Rückleseeinheit (OSSD_MON1, OSSD_MON2) auf, um Schaltsignale auf dem sicherheitsgerichteten Ausgang (OSSD_LG1, OSSD_LG2) rückzulesen und die Steuer- und Auswerteeinheit (2, 2') ist ausgebildet, Steuerinformationen auf der Steuerleitung (TOKEN) einzulesen und/oder auszugeben und der sicherheitsgerichtete Ausgang (OSSD_LG1, OSSD_LG2) nicht nur dazu ausgelegt ist, die Schaltsignale, nämlich ein Objektfeststellungssignal oder ein Freisignal, auszugeben, sondern auch dazu ausgelegt ist, einen potentialfreien Zustand einzunehmen.
System mit wenigstens zwei Sicherheitsgeräten (1, 1') zum Erzeugen sicherheitsgerichteter Signale. Die Sicherheitsgeräte (1, 1') sind über ihre sicherheitsgerichteten Ausgänge (OSSD_LG1, OSSD_LG2) miteinander verbindbar.

Beschreibung

[0001] Die Erfindung betrifft ein Sicherheitsgerät nach dem Oberbegriff des Anspruchs 1.

[0002] Derartige Sicherheitsgeräte werden verwendet zum sicheren Ausschalten von elektrischen Verbrauchern, insbesondere einer elektrisch angetriebenen Maschine, um insbesondere Gefahr bringende Situationen zu vermeiden und die Maschine vorher gegebenenfalls abzuschalten. Die Gefahr bringenden Situationen werden durch entsprechende Sensoren oder Schalter überwacht und erkannt und an mit den Sensoren verbundene Schaltgeräten weitergeleitet. Mit dem Begriff Sicherheitsgerät sollen im Weiteren derartige sichere Sensoren, Sicherheitsschaltgeräte oder Sicherheitssteuerungen verstanden werden.

[0003] Derartige Sicherheitsgeräte im Sinne dieser Anmeldung sind vorzugsweise als sichere Geräte, Sensoren, Sicherheitsschaltgeräte oder Sicherheitssteuerungen im Sinne von Maschinensicherheit ausgebildet, was bedeutet, dass diese Geräte oder die mit ihnen verbundenen Auswerte- und/oder Steuereinheiten den einschlägigen Normen EN 954, die eine Einstufung in Sicherheitskategorien beispielsweise Kategorie 2 bis 4, vorschreibt oder nach EN 61508, die Sicherheitslevel beispielsweise SIL 1 bis SIL 3, vorschreibt oder anderen Sicherheitsnormen, genügen. Diese Normen und Vorschriften schreiben beispielsweise eine bestimmte Manipulationssicherheit und Fehlersicherheit vor.

[0004] Aus der EP 1 493 064 B1 und der EP 1 262 021 B1 sind Vorrichtungen bekannt zum fehlersicheren Abschalten elektrischer Verbraucher, insbesondere in industriellen Produktionsanlagen, mit einem ersten und zumindest einem zweiten Sicherheitsschaltgerät, wobei die Sicherheitsschaltgeräte in Reihe geschaltet sind und der Ausgang des ersten Schaltgeräts auf einen Eingang des zweiten Schaltgerätes verbunden wird. Nachteilig hierbei ist das Vorsehen zusätzlicher Eingänge und einer Steuer- und Auswerteeinheit je Sicherheitsschaltgerät zur Verarbeitung der eingehenden Signale.

[0005] Es ist Aufgabe der vorliegenden Erfindung, ein verbessertes Sicherheitsgerät bereitzustellen.

[0006] Die Aufgabe wird erfindungsgemäß nach Anspruch 1 gelöst mit einem Sicherheitsgerät mit einer Steuer- und Auswerteeinheit und wenigstens einem sicherheitsgerichteten Ausgang zum Schalten eines Aktors, wobei die Steuer- und Auswerteeinheit ausgebildet ist, Schaltsignale auf dem sicherheitsgerichteten Ausgang auszugeben. Die Steuer- und Auswerteeinheit weist eine Rückleseeinheit auf, um Schaltsignale auf dem sicherheitsgerichteten Ausgang rückzulesen.

[0007] Die Aufgabe wird weiter gelöst durch ein System mit wenigstens zwei Sicherheitsgeräten zum Erzeugen sicherheitsgerichteter Signale. Die Sicherheitsgeräte sind über ihre sicherheitsgerichteten Ausgänge miteinander verbindbar.

[0008] Dadurch können Ausgänge von Sicherheitsgeräten direkt miteinander verbunden werden. Die sicherheitsgerichteten Ausgänge werden, ähnlich wie bei einem Bussystem, auf einer gemeinsamen Leitung zusammengefasst, die zur Steuerung eines gemeinsamen Aktors dient. Es handelt sich dabei um eine 'Oder'-Verknüpfung der sicherheitsgerichteten Ausgänge der Sicherheitsgeräte. Sobald eines der Geräte ein Schaltsignal zur Abschaltung einer gefahrbringenden Bewegung ausgibt, wird dieses Signal an den Aktor weitergegeben. Durch die Verknüpfung der sicherheitsgerichteten Ausgänge auf eine gemeinsame Leitung verringert sich der Verdrahtungsaufwand zwischen den Sicherheitsgeräten erheblich. Es muss somit nur noch eine einzige Leitung zu einem Aktor geführt werden. Durch die 'Oder'-Verknüpfung der sicherheitsgerichteten Ausgänge verkürzt sich auch eine Ansprechzeit erheblich, da jeder sicherheitsgerichtete Ausgang sich direkt auf den Aktor auswirkt.

[0009] Damit jedes Sicherheitsgerät den aktuellen Signalzustand des sicherheitsgerichteten Ausgangs erkennt, ist in der Steuer- und Auswerteeinheit eine Rückleseeinheit vorgesehen, die dazu ausgebildet ist, den Schaltzustand des sicherheitsgerichteten Ausgangs rückzulesen. Eine Rückleseleitung ist dabei direkt mit dem sicherheitsgerichteten Ausgang verbunden. Damit ist gewährleistet, dass ein von einem anderen Sicherheitsgerät ausgegebenes Schaltsignal nicht unzulässig verändert wird, so dass beispielsweise sicher verhindert ist, dass ein Objektfeststellungssignal durch ein Freisignal überschrieben wird.

[0010] Der sicherheitsgerichtete Ausgang ist derart ausgelegt, wenigstens zwei Schaltsignale, nämlich ein Objektfeststellungssignal und ein Freisignal auszugeben. In einem besonderen Zustand kann der sicherheitsgerichtete Ausgang potentialfrei geschaltet werden. Das Schaltsignal Objektfeststellungssignal wird ausgegeben, wenn ein Ereignis festgestellt wurde und eine gefahrbringende Bewegung abzuschalten ist. Umgekehrt wird das Freisignal ausgegeben, wenn kein Ereignis festgestellt wurde und eine gefahrbringende Bewegung nicht gestoppt werden soll. Zusätzlich ist der Zustand vorgesehen, wobei der sicherheitsgerichtete Ausgang potentialfrei ist. Dies ist der Fall, wenn das Sicherheitsgerät inaktiv ist und keine Schutzfeld- oder Ereignisauswertung vornimmt. Dies ist beispielsweise notwendig, wenn die Sicherheitsgeräte für bestimmte Zeitpunkte keine sicherheitstechnische Überprüfung vornehmen sollen, also inaktiv sind, da das Sicherheitsgerät beispielsweise in einem Zeitschlitzverfahren mit einem zweiten Sicherheitsgerät arbeitet und sich die Sicherheitsgeräte bei gleichzeitiger Aktivierung gegenseitig stören würden.

[0011] Vorteilhaft ist die Steuer- und Auswerteeinheit ausgebildet, Steuerinformationen auf einer Steuerleitung einzulesen und/oder auszugeben. Die Steuerleitung ist vorgesehen, um Informationen an ein zweites Sicherheitsgerät weiterzugeben. So kann eine zeitlich abhängige Abfolge der Sicherheitsgeräte vorgesehen sein, wie bei einem Zeitschlitzverfahren, um die Signalzustände auf den sicherheitsgerichteten Ausgang auszugeben. Hierzu werden mit Hilfe der Steuerleitung Signale, beispielsweise ein Token, also ein Bitmuster zur zeitlichen Steuerung der Sicherheitsgeräte ausgetauscht. Hierbei übernimmt eines der Sicherheitsgeräte eine Master- oder Hostfunktion, wenn dieses Sicherheitsgerät den Token besitzt. Die anderen Sicherheitsgeräte übernehmen eine Slave- oder Guestfunktion.

[0012] Jedoch kann es auch vorgesehen sein, dass die Sicherheitsgeräte gleichzeitig ihre Sicherheitsfunktion ausführen und zeitgleich Signale an die sicherheitsgerichteten Ausgänge ausgeben. Dann werden auf der Steuerleitung Informationen bezüglich einer Koordination der Signalausgabe auf den sicherheitsgerichteten Ausgängen ausgetauscht. Dadurch ist es möglich, dass die anderen Sicherheitsgeräte Ihre Signale an die bereits anliegenden Signale der sicherheitsgerichteten Ausgänge anpassen können. So ist es erfindungsgemäß zu vermeiden, dass unnötig entgegengesetzte Signalpegel durch unterschiedliche Sicherheitsgeräte aufgeschaltet werden, da sonst unnötige Ströme auf der gemeinsamen Ausgangsleitung zwischen den Sicherheitsgeräten fließen.

[0013] In einer bevorzugten Ausführung weist der sicherheitsgerichtete Ausgang eine Schaltspannung von 0 V bis 3,5 Volt auf, wenn ein Objektfeststellungssignal anliegt und eine Schaltspannung von 24 Volt mit einer Toleranz von +-2,5 Volt auf, wenn ein Freisignal ausgegeben wird, bei einem Schaltstrom von 0 bis 600 mA. Dadurch ist es vorteilhaft möglich, mit dem sicherheitsgerichteten Ausgang direkt Relais oder Schaltschütze anzusteuern. Mehrere Sicherheitsgeräte können damit auf ein einziges Relais wirken, um eine gefahrbringende Bewegung abzuschalten. Die vorgesehenen Schaltpegel sind jedoch auch geeignet, Eingänge gemäß der Norm EN/IEC61131 zu schalten. Speicherprogrammierbare Steuerungen weisen beispielsweise solche Eingänge auf.

[0014] In Weiterbildung der Erfindung ist das Freisignal eines ersten bzw. zweiten sicherheitsgerichteten Ausgangs durch das Objektfeststellungssignal eines zweiten bzw. ersten sicherheitsgerichteten Ausgangs überschreibbar. So ist es vorgesehen, wenn von allen Sicherheitsgeräten ein Freisignal ausgegeben wird, also ein Pegel von 24 V anliegt, dass dieses Signal durch ein Objektfeststellungssignal mit dem Pegel 0 V überschrieben wird. Dadurch kann der resultierende gemeinsame sicherheitsgerichtete Ausgang mit dem zur Abschaltung einer gefahrbringenden Bewegung notwendigen Signal direkt beaufschlagt werden, ohne die Signale der übrigen Sicherheitsgeräte feststellen oder berücksichtigen zu müssen. Dies führt zu einer schnellen und unverzüglichen Abschaltung. Umgekehrt ist es aber nicht vorgesehen, dass ein Objektfeststellungssignal durch ein Freisignal überschrieben wird. Dies muss sogar verhindert werden gemäß der vorliegenden Erfindung, da hierdurch ein gefährlicher Zustand herbeigeführt werden kann.

[0015] In Weiterbildung der Erfindung weist die Steuer- und Auswerteeinheit eine Halbleiterschaltung mit wenigstens zwei Schalteinheiten auf, wobei eine erste Schalteinheit zum Schalten des Objektfeststellungssignals ausgebildet ist und eine zweite Schalteinheit zum Schalten des Freisignals ausgebildet ist. Ist die erste Schalteinheit betätigt und die zweite Schalteinheit nicht betätigt, so liegt an dem sicherheitsgerichteten Ausgang ein Objektfeststellungssignal an. Ist jedoch die erste Schalteinheit nicht betätigt und die zweite Schalteinheit betätigt, so liegt ein Freisignal an. Ist keine der Schalteinheiten betätigt, so liegt kein Signal an dem sicherheitsgerichteten Schaltausgang an, so dass dieser potentialfrei ist. Sind beide Schalteinheiten gleichzeitig geschaltet, so wird zur Sicherheit ein Objektfeststellungssignal ausgegeben, jedoch ist dieser Fall zu vermeiden, da dadurch ein unnötiger Strom zwischen den beiden Schalteinheiten fließt.

[0016] In einer weiteren Ausführungsform ist die Steuer- und Auswerteeinheit zweikanalig ausgeführt. Die Steuer- und Auswerteeinheit kann dabei redundant und/oder auch diversitär ausgeführt sein. Durch die Zweikanaligkeit ist sichergestellt, dass auftretende Einfachfehler nicht zu einer Fehlfunktion innerhalb der Steuer- und Auswerteeinheit führen. Vielmehr werden auftretende Einfachfehler erkannt und es kann nicht zu einer Fehlerhäufung und damit zu einem unsicheren Zustand kommen.

[0017] Erfindungsgemäß ist die Steuer- und Auswerteeinheit dazu ausgelegt, den sicherheitsgerichteten Ausgang mit Testpulsen zu beaufschlagen. Durch die Testpulse werden die Signale des sicherheitsgerichteten Ausgangs kurzzeitig wiederholend auf einen entgegengesetzten Spannungspegel umgeschaltet, um zu prüfen, ob eine Umschaltung auf den entgegengesetzten Pegel möglich wäre. Die Testpulse sind dabei so kurz, dass ein angeschlossener Aktor oder ein angeschlossenes Signalverarbeitungsgerät aufgrund seiner Reaktionsträgheit nicht durch die Testpulse schaltet. Die Testpulse weisen dabei eine Pulsdauer von 100µ bis 400µs auf und die Testpulse treten zwei- bis zehnmal pro Sekunde auf.

[0018] Gemäß der Erfindung werden die Testpulse durch die Steuer- und Auswerteeinheit von den Sicherheitsgeräten ausgegeben. Dabei wird von jedem Sicherheitsgerät beispielsweise abwechselnd geprüft, ob der gemeinsame sicherheitsgerichtete Ausgang auf ein Objektfeststellungssignal schaltbar wäre. Entweder prüft oder testet nur der Master/Host, der im Besitz des Token ist und gibt periodisch den Token an die Slave/Guest weiter, die dann ihre Schaltung testen, oder die Slave/Guest testen ihre erste Schalteinheit parallel zu dem Master/Host. Zur Synchronisation der Abläufe zwischen den Sicherheitsgeräten werden die Testpulse von der jeweiligen Auswerteeinheit entsprechend ausgewertet.

[0019] In Weiterbildung der Erfindung sind die Sicherheitsgeräte Sicherheitsschaltgeräte oder Sicherheitssteuerungen. Dadurch ist es möglich, Sicherheitsschaltgeräte und Sicherheitssteuerungen mit den sicherheitsgerichteten Ausgängen miteinander zu verbinden, zum Schalten eines gemeinsamen Aktors.

[0020] In einer besonderen Ausführungsform sind die Sicherheitsgeräte optische Sensoren, insbesondere Lichtschranken oder Lichtgitter. Dadurch ist es möglich, die sicherheitsgerichteten Ausgänge von Sensoren direkt miteinander zu verbinden. Ist beispielsweise der Zugangsbereich zu einer Roboterzelle von mehreren Sicherheitssensoren abgesichert, so führt jedes Objektfeststellungssignal des jeweiligen Sensors zu einem Abschalten der Roboterzelle. Dabei können die Lichtschranken oder Lichtgitter zur Erzeugung von großen Schutzfeldern oder von Schutzfeldern in mehreren Ebenen nebeneinander angeordnet werden. Die sicherheitsgerichteten Ausgänge der einzelnen Lichtgitter werden nun erfindungsgemäß verknüpft, um ein gemeinsames Abschaltsignal auszugeben. Damit sich die Lichtgitter nicht gegenseitig stören, aktivieren sich die Lichtgitter in Abstimmung zueinander. Weiter ist es auch vorgesehen, Sensoren, Sicherheitsschaltgeräte oder Sicherheitssteuerungen über die sicherheitsgerichteten Ausgänge miteinander zu verbinden, um einen gemeinsamen Aktor anzusteuern.

[0021] Im Folgenden wird die Erfindung an Hand von Ausführungsbeispielen unter Bezugnahme auf die Zeichnung im Einzelnen erläutert.

[0022] In der Zeichnung zeigt:

Figur 1

eine schematische Darstellung von zwei Lichtgittern, die miteinander verbunden sind;

Figur 2

ein Zeitdiagramm zu den Signalabläufen eines sicherheitsgerichteten Ausgangs.

[0023] Figur 1 zeigt zwei Sicherheitsgeräte 1, in diesem Ausführungsbeispiel zwei Lichtgitter LG1 und LG2, die nebeneinander angeordnet sind. Lichtgitter LG1 und LG2 werden eingesetzt, um Personen vor gefahrbringenden Bewegungen zu schützen. Zwischen einem Sender und einem Empfänger eines Lichtgitters LG1 und LG2 wird ein Schutzfeld gebildet, bei dessen Verletzung durch einen Eingriff ein Abschaltsignal auf einem sicherheitsgerichteten Ausgang OSSD_LG1 bzw. OSSD_LG2 ausgegeben wird. Um einen Gefahrenbereich umfassend abzusichern, ist es meist notwendig, mehrere Lichtgitter LG1 und LG2 miteinander zu verbinden, um ein Schutzfeld zu verlängern oder Schutzfelder an verschiedenen Positionen vorzusehen. Dazu müssen die sicherheitsgerichteten Ausgänge OSSD_LG1 und OSSD_LG2 der einzelnen Lichtgitter LG1 und LG2 miteinander verknüpft werden. Erfindungsgemäß wird diese Verknüpfung ohne zusätzlichen Verdrahtungsaufwand durchgeführt. Die sicherheitsgerichteten Ausgänge OSSD_LG1 und OSSD_LG2 der einzelnen Lichtgitter LG1 und LG2 werden hierzu einfach elektrisch miteinander verbunden zu einem gemeinsamen sicherheitsgerichteten Ausgang OSSD zur Steuerung von einem Relais/Schaltschütz oder zur Ansteuerung eines Aktors, Relais oder Schaltschütz.

[0024] Die Abkürzung OSSD steht für Output Signal Switching Device und benennt den Teil einer berührungslos wirkenden Schutzeinrichtung, in diesem Fall das Lichtgitter LG1 oder LG2, der mit einer Maschinensteuerung verbunden ist und der in einen Abschaltzustand übergeht, wenn das Lichtgitter LG1 oder LG2 ein Objekt detektiert. Die Lichtgitter LG1 und LG2 sind über eine gemeinsame Spannungsversorgung miteinander verbunden. Die Spannungsversorgung weist die Signale Funktionserde FE, 24 V, und 'Ground' GND oder 0V auf.

[0025] Innerhalb der Lichtgitter LG1 und LG2 ist der sicherheitsgerichtete Ausgang OSSD_LG1 und OSSD_LG2 mit je zwei Schalteinheiten CTRH1und CTRL1 bzw. CTRH2 und CTRL2 einer Halbleiterschaltung 6 bzw. 6' verbunden. Eine erste Schalteinheit CTRH1 erlaubt es, den sicherheitsgerichteten Ausgang OSSD_LG1 mit 24V zu verbinden und damit ein Freisignal auszugeben. Der sicherheitsgerichtete Ausgang OSSD_LG1 ist mit der zweiten Schalteinheit CTRL1 verbunden, wodurch der sicherheitsgerichtete Ausgang OSSD_LG1 mit 0V beaufschlagbar ist. Dies entspricht der Ausgabe von einem Objektfeststellungssignal. Sind beide Schalteinheiten CTRH1 und CTRL1 geöffnet, liegt auf dem sicherheitsgerichteten Ausgang OSSD_LG1 kein Signal und somit ein potentialfreier Zustand. Das Signal auf einem gemeinsamen sicherheitsgerichteten Ausgang OSSD kann somit von beiden Lichtgittern beeinflusst werden.

[0026] Sollte der sicherheitsgerichtete Ausgang OSSD_LG1 noch ein Objektfeststellungssignal, verursacht durch das Lichtgitter LG1 aufweisen, so kann dieser Zustand aus sicherheitstechnischen Gründen nur von dem gleichen Lichtgitter LG1 zurückgesetzt werden mit dem Freisignal. Dies ist deshalb notwendig, da nur das Gerät, welches das Objektfeststellungssignal erzeugt hat, dies auch wieder aufheben kann, um zu gewährleisten, dass ein detektierter gefährlicher Zustand wieder aufgehoben ist.

[0027] Weiter ist der sicherheitsgerichtete Ausgang OSSD_LG1 mit einer Rückleseeinheit OSSD_MON1 verbunden, wodurch die Steuer- und Auswerteeinheit 2 des Lichtgitters LG1 in der Lage ist, das jeweilige Signal des sicherheitsgerichteten Ausgangs OSSD_LG1 rückzulesen und zu überprüfen. Eine Rückleseleitung ist dabei direkt mit dem sicherheitsgerichteten Ausgang OSSD_LG1 verbunden. Durch die direkte Verbindung ist gewährleistet dass, die rückgelesenen Signale den Signalen des sicherheitsgerichteten Ausgang OSSD_LG1 entsprechen. Beispielsweise ist es möglich, über die Rückleseeinheit OSSD_MON1 zu überprüfen, ob ein Objektfeststellungssignal oder ein Freisignal an dem sicherheitsgerichteten Ausgang OSSD_LG1 anliegt.

[0028] Das Lichtgitter LG1 weist jeweils einen Steuereingang TOKEN_IN und einen Steuerausgang TOKEN_OUT auf. Der Steuerausgang TOKEN_OUT des ersten Lichtgitters LG1 wird mit dem Steuereingang TOKEN_IN des zweiten Lichtgitters LG2 verbunden. Es ist jedoch auch vorgesehen, auf einer Steuerleitung TOKEN sowohl Steuersignale auszugeben wie auch einzulesen, also eine bidirektionale Verbindung vorzusehen. Damit würde der Steuereingang TOKEN_IN und der Steuerausgang TOKEN_OUT einen gemeinsamen Anschluss bilden.

[0029] In einem ersten Ausführungsbeispiel ist es vorgesehen, dass die Lichtgitter LG1 und LG2 jeweils wechselseitig ihre Lichtgitterfunktionen ausführen. Dadurch können sich die Lichtgitter LG1 und LG2 nicht gegenseitig optisch beeinflussen. Das Lichtgitter LG1 und das Lichtgitter LG2 arbeiten also abwechselnd nacheinander in einem sogenannten Zeitschlitzverfahren. Das Lichtgitter LG1 überprüft seinen Schutzfeldzustand und gibt auf den sicherheitsgerichteten Ausgang OSSD_LG1 bei nicht verletztem Schutzfeld das Freisignal aus. Zu diesem Zeitpunkt wird von dem Lichtgitter LG2 kein Signal auf dem sicherheitsgerichteten Ausgang OSSD_LG2 ausgegeben, also ein potentialfreier Zustand, somit ist das ausgegebene Signal des Lichtgitters LG1 das entscheidende. An dem sicherheitsgerichteten Ausgang OSSD liegt damit ein Signal von 24 V an. Wenn das Lichtgitter LG1 die Auswertung seines Schutzfeldes beendet hat, wird über die Steuerleitung 8 dem Lichtgitter LG2 mitgeteilt, dass das Lichtgitter LG2 mit der Auswertung seines Schutzfeldes beginnen kann. Hierzu liest das Lichtgitter LG2 zunächst über die Rückleseeinheit OSSD_MON2 den Signalzustand des sicherheitsgerichteten Ausgangs OSSD.

[0030] Liegt jedoch ein Freisignal an dem sicherheitsgerichteten Ausgang OSSD an, kann das Lichtgitter LG2 nach Auswertung seines Schutzfeldes das Ergebnis der Schutzfeldauswertung auf dem sicherheitsgerichteten Ausgang OSSD_LG2 ausgeben. Ist das Schutzfeld des Lichtgitters LG2 durch ein Objekt verletzt worden, so wird nun von dem Lichtgitter LG2 das Objektfeststellungssignal auf dem sicherheitsgerichteten Ausgang OSSD_LG2 ausgegeben. Hierzu wird über die Schalteinheit CTRL2 des Lichtgitters LG2 das Objektfeststellungssignal auf den sicherheitsgerichteten Ausgang OSSD_LG2 geschaltet. Im Falle, dass kein Objekt detektiert wurde, wird das Freisignal auf dem sicherheitsgerichteten Ausgang OSSD_LG2 ausgegeben. Hierzu wird von der internen Schalteinheit CTRH2 der Signalpegel von 24 V auf den sicherheitsgerichteten Ausgang OSSD_LG2 geschaltet.

[0031] In einem zweiten Ausführungsbeispiel ist es nun vorgesehen, dass das Lichtgitter LG1 und das Lichtgitter LG2 gleichzeitig ihre Schutzfelder auswerten und gleichzeitig ihre Schaltsignale auf die sicherheitsgerichteten Ausgänge OSSD_LG1 und OSSD_LG2 ausgeben. Dies ist beispielsweise dann möglich, wenn sich die Lichtgitter LG1 und LG2 nicht gegenseitig optisch stören können. Das kann beispielsweise dadurch bewerkstelligt werden, dass die Sender zweier Lichtgitter LG1 und LG2 derart montiert werden, dass ihre Strahlrichtungen entgegengesetzt zueinander verlaufen, so dass das Sendelicht des Senders des Lichtgitters LG1 nicht in einen Empfänger des Lichtgitters LG2 gelangen kann oder indem die einzelnen Sender unterschiedliche Strahlkodierungen aufweisen.

[0032] Auch hier muss, sobald ein Lichtgitter LG1 oder LG2 ein Objekt in seinem Schutzfeld detektiert, ein Objektfeststellungssignal auf dem gemeinsamen sicherheitsgerichteten Ausgang OSSD ausgegeben werden. Wird von dem Lichtgitter LG1 ein Objekt in dem Schutzfeld festgestellt, so liegt ein Objektfeststellungssignal mit dem Pegel von 0 V an dem sicherheitsgerichteten Ausgang OSSD_LG1 an. Dieses Signal braucht in diesem Fall auch nur von einem einzigen Lichtgitter LG1 auf den sicherheitsgerichteten Ausgang geschaltet werden. Das Lichtgitter LG2 kann durch die Rückleseeinheit OSSD_MON2 dieses Signal feststellen und mit seinem eigenen vorgesehenen Signal für den sicherheitsgerichteten Ausgang OSSD_LG2 vergleichen. Wenn das Lichtgitter LG2 ein Objekt detektiert, würde es auch den Signalpegel von 0 V auf den sicherheitsgerichteten Ausgang OSSD_LG2 schalten. Da dies aber bereits durch das Lichtgitter LG1 geschehen ist, werden die Schaltstufen des Lichtgitters LG2 nicht betätigt, so dass der sicherheitsgerichtete Ausgang OSSD_LG2 potentialfrei geschaltet wird. Wird jedoch durch das Lichtgitter LG2 ein Objekt detektiert, so schaltet das Lichtgitter LG2 durch die interne Schalteinheit CTRH2 einen Pegel von 0 V auf den sicherheitsgerichteten Ausgang OSSD_LG2. Dieser Pegel von 0 V überschreibt den Pegel von 24 V, welcher von dem Lichtgitter LG1 auf den sicherheitsgerichteten Ausgang OSSD_LG1 geschaltet würde, wenn dieses kein Objekt detektieren würde. Dadurch ist gewährleistet, dass ein Aktor von dem sicherheitsgerichteten Ausgang OSSD abgeschaltet wird. Über die Steuerleitung TOKEN wird dabei dem Lichtgitter LG1 mitgeteilt, dass ein Objektfeststellungssignal auf dem sicherheitsgerichteten Ausgang OSSD ausgegeben wurde. Das Lichtgitter LG1 kann daraufhin die interne Schalteinheit CTRH1 zurückschalten, um das Freisignal zurückzunehmen. Dadurch wird vermieden, dass unnötige Ströme von dem Lichtgitter LG1 über den sicherheitsgerichteten Ausgang OSSD zu dem anderen Lichtgitter LG2 fließen.

[0033] Liegt an den sicherheitsgerichteten Ausgängen OSSD_LG1 und OSSD_LG2 ein Freisignal von 24 V an, ist erfindungsgemäß vorgesehen, dass die Steuer- und Auswerteeinheit 2 bzw. 2' eines der Lichtgitter LG1 und LG2 auf den sicherheitsgerichteten Ausgang OSSD Testpulse ausgibt. Diese Testpulse führen dazu, dass der sicherheitsgerichtete Ausgang OSSD für kurze Zeit, beispielsweise eine Zeitspanne von 50 bis 300 µs und in einem Zeitintervall von 2 bis 10 mal pro Sekunde kurzzeitig auf 0 V geschaltet wird. Dadurch ist gewährleistet, dass der sicherheitsgerichtete Ausgang OSSD den Schaltzustand Objektfeststellungssignal von 0 V einnehmen könnte. Wäre beispielsweise durch einen Kurzschluss der Signalpegel konstant unveränderbar, so würde dieser Kurzschluss durch diesen Testpuls erkannt werden. Die Testpulse werden durch die Rückleseeinheit OSSD_MON1 bzw. OSSD_MON2 eingelesen und durch die Steuer- und Auswerteeinheit 2 bzw. 2' ausgewertet.

[0034] In Figur 2 sind die Signale der sicherheitsgerichteten Ausgänge OSSD_LG1, OSSD_LG2 bzw. OSSD sowie die Steuerleitung 8 der beiden Lichtgitter LG1 und LG2 aus Figur 1 in einem Zeitdiagramm entsprechend dem zweiten Ausführungsbeispiel, wonach beide Lichtgitter LG1 und LG2 gleichzeitig eine Schutzfeldauswertung vornehmen, wiedergegeben. Hierbei übernimmt das Lichtgitter LG1 zunächst eine Master- oder Hostfunktion und das Lichtgitter LG2 eine Slave- oder Guestfunktion. Das Signal SF_LG1 gibt den Zustand des Schutzfeldes des Lichtgitters LG1 an. Das Signal SF_LG1 kann zwei Zustände Schutzfeld 'frei' und Schutzfeld 'verletzt' annehmen. Das Signal S_OSSD_LG1 gibt den Zustand des sicherheitsgerichteten Ausgangs OSSD_LG1 des Lichtgitters LG1 an. Dieses Signal S_OSSD_LG1 kann zwei Signale, nämlich 0 V, 24 V, und einen potentialfreien Zustand annehmen. In der dritten Zeile ist das Schutzfeldsignal SF_LG2 des Lichtgitters LG2 angegeben. Wie bei dem Lichtgitter LG1 kann dieses Signal die Zustände frei oder verletzt annehmen. In der vierten Zeile ist das Signal S_OSSD_LG2 des sicherheitsgerichteten Ausgangs OSSD_LG2 des Lichtgitters LG2 angegeben. In Zeile 5 sind die Signale S_TOKEN der Steuerleitung TOKEN zwischen den beiden Lichtgittern LG1 und LG2 angegeben. Die Signale S_TOKEN der Steuerleitung TOKEN können entweder die Zustände logisch NULL oder EINS annehmen. Auf der Steuerleitung TOKEN wird dabei von dem Lichtgitter LG2 ein dynamisches Signalmuster ausgegeben, solange das Schutzfeld des Lichtgitters LG2 nicht verletzt ist. Sobald jedoch ein Objekt durch das Lichtgitter LG2 detektiert wird, wird auf der Steuerleitung TOKEN ein dauerhafter Pegel 'NULL' ausgegeben zur Mitteilung an das Lichtgitter LG1. In der letzten Zeile des Zeitdiagramms ist der Zustand S_OSSD des verbundenen gemeinsamen sicherheitsgerichteten Ausgangs OSSD der beiden Lichtgitter LG1 und LG2 angegeben. Der sicherheitsgerichtete gemeinsam verbundene Ausgang OSSD kann hierbei die Zustände Objektfeststellungssignal, also 0 V, und Freisignal, 24 V, annehmen.

[0035] In Spalte A ist das Schutzfeld SF_LG1 des Lichtgitters LG1 frei und auch das Schutzfeld SF_LG2 des Lichtgitters LG2 zeigt den Zustand frei an. Das Lichtgitter LG1 gibt zu diesem Zeitpunkt ein Freisignal an dem Ausgang OSSD_LG1 aus. Das Lichtgitter LG2 gibt auf seinem sicherheitsgerichteten Ausgang OSSD_LG2 einen potentialfreien Zustand aus, was in Praxis auch als 'Tristate', entsprechend einem dritten Zustand neben 24 V und 0 V, bezeichnet wird. Der gemeinsame sicherheitsgerichtete Ausgang OSSD weist dadurch ein Signalpegel von 24 V auf, was dem Freisignal entspricht. Dieser Zustand wird in den Spalten B und C beibehalten.

[0036] In Spalte D ist der Zustand angegeben, bei dem das Schutzfeld SF_LG1 des Lichtgitters LG1 durch ein Objekt verletzt wird. Daraufhin schaltet das Lichtgitter LG1 seinen sicherheitsgerichteten Ausgang OSSD_LG1 auf den Zustand Objektfeststellungssignal, nämlich 0 V, wodurch auch das Signal S_OSSD des verbundenen gemeinsamen sicherheitsgerichteten Ausgangs OSSD auf 0 V geschaltet wird. Ein angeschlossener Aktor wird daraufhin abgeschaltet und eine gefahrbringende Bewegung stillgesetzt. Von dem Lichtgitter LG2 wird weiterhin kein Signal S_OSSD_LG2 auf dem sicherheitsgerichteten Ausgang OSSD_LG2 ausgegeben, da keine Änderung des Schutzfeldzustandes vorliegt. Dieser Zustand ist in den Spalten E und F beibehalten.

[0037] Gemäß Spalte G und H ist das Schutzfeld des Lichtgitters LG1 wieder frei geworden, wodurch der zugehörige sicherheitsgerichtete Ausgang OSSD_LG1 wieder auf das Freisignal geschaltet wird, in diesem Fall 24 V, wird auch der gemeinsame sicherheitsgerichtete Ausgang OSSD wieder freigeschaltet. Liegt eine Schutzfeldverletzung des Lichtgitters LG2 vor, entsprechend der Darstellung in Spalte I, wird dies dem Lichtgitter LG1 über die Steuerleitung TOKEN mitgeteilt, indem keine dynamischen Signalmuster mehr als Signale S_TOKEN auf der Steuerleitung ausgegeben werden. Der sicherheitsgerichtete Ausgang OSSD_LG2 des Lichtgitters LG2 wird nun mit 0 V beaufschlagt, was dem Objektfeststellungssignal entspricht. Parallel reagiert das Lichtgitter LG1 auf das Fehlen des dynamischen Signalmusters, indem es ein Objektfeststellungssignal an seinem sicherheitsgerichteten Ausgang OSSD_LG1 ausgibt. Ausgehend von der Objektdetektion des Lichtgitters LG2 wird der gemeinsame sicherheitsgerichtete Ausgang OSSD mit 0 V beaufschlagt. Dieser Zustand wird für die Spalten I bis M beibehalten. Ein zusätzliches Objektfeststellungssignal an dem Ausgang OSSD_LG1 durch das Lichtgitter LG1 in den Spalten J bis L hat letztendlich keine Auswirkung, da der gemeinsame sicherheitsgerichtete Ausgang OSSD bereits ein Objektfeststellungssignal aufweist. Auch in Spalte M, in der das Schutzfeld des Lichtgitters LG1 wieder frei ist, bleibt das Objektfeststellungssignal des verbundenen gemeinsamen sicherheitsgerichteten Ausgangs OSSD erhalten, da das Schutzfeld des Lichtgitters LG2 immer noch verletzt ist.

[0038] In Spalte N sind die Schutzfelder von beiden Lichtgittern LG1 und LG2 wieder frei. Das Lichtgitter LG1 gibt auf dem sicherheitsgerichteten Ausgang OSSD_LG1 das zugehörige Signal S_OSSD_LG1 von 24 V aus, wenn das eigene Schutzfeld frei ist und es vom Lichtgitter LG2 das dynamische Signalmuster als Signale S_TOKEN erhält, wonach das Schutzfeld des Lichtgitters LG2 frei ist. Dieser Zustand bleibt entsprechend Spalte O erhalten. Entsprechend Spalte P kommt es jedoch zu einer Unterbrechung des Schutzfeldes des Lichtgitters LG2, wodurch der sicherheitsgerichtete Ausgang OSSD_LG2 des Lichtgitters LG2 mit 0 V beaufschlagt wird und dadurch der gemeinsame sicherheitsgerichtete Ausgang OSSD ein Spannungspegel von 0 V aufweist, was zu dem Abschalten des Aktors führt.

[0039] Eine Überwachung des sicherheitsgerichteten Ausgangs wird prinzipiell durch zwei unabhängige Maßnahmen überprüft. Erstens flanken- oder pegelgesteuert über die gemeinsamen sicherheitsgerichteten Ausgänge. Nur der Host/Master kann ein Freisignal auf seinem sicherheitsgerichteten Ausgang ausgeben. Die Ausgabe des Freisignals erfolgt dabei über die Halbleiterschaltung mit einer Strombegrenzung, so dass jeder Slave/Guest in der Lage ist, diesen Pegel des Freisignals von 24 V zu überschreiben. Hierbei wird durch die Steuer- und Auswerteeinheit ein OSSD Anforderungssignal erzeugt. Durch den Master/Host wird der gemeinsame sicherheitsgerichtete Ausgang überwacht und reagiert auf ein Absinken des Spannungspegels, indem der Master/Host seine zweite Schalteinheit öffnet und das 24 V Signal nicht mehr auf den gemeinsamen sicherheitsgerichteten Ausgang aufschaltet. Dadurch ist ein sicherer Betrieb der Sicherheitsgeräte gewährleistet.

[0040] Zweitens ist zur Erhöhung der Zuverlässigkeit und zur Vermeidung von hohen Querströmen zwischen den Sicherheitsgeräten auf dem gemeinsamen sicherheitsgerichteten Ausgang die Steuerleitung vorgesehen zwischen dem Master/Host und dem Slave/Guest. Der Guest meldet dem Host seinen Schutzfeldzustand. Melden der oder die Guests, dass ihre Schutzfelder frei sind, so sind die Schaltstufen der Guests nicht betätigt und es wird ein potentialfreier Zustand eingenommen, so dass der gemeinsame sicherheitsgerichtete Ausgang nur von dem Host und mit dessen Schaltstufen bestimmt und bedient wird.

[0041] Meldet der Guest nicht mehr, dass sein Schutzfeld frei ist, so hat der Host eine definierte Zeit, in dem er seine zweite Schalteinheit deaktivieren kann, da nach Ablauf dieser Zeit der Guest seine erste Schalteinheit aktiviert und ein Objektfeststellungssignal mit dem Wert 0 V auf den gemeinsamen sicherheitsgerichteten Ausgang schaltet. Damit wird ein Querstrom zwischen Host und Guest vermieden.

[0042] Sollte der Host nicht auf die vom Guest abgegebenen Signale auf der Steuerleitung reagieren, dann wird der gemeinsame sicherheitsgerichtete Ausgang jedoch unverzüglich vom Guest überschrieben. Hierbei fließt zwar ein Querstrom vom Host zum Guest, jedoch erfolgt eine unverzügliche Abschaltung durch ein Absinken des Spannungspegels und das ausgegebene Objektfeststellungssignal.

[0043] Bleiben die Signale von dem Guest auf der Steuerleitung weiterhin aus und der Spannungspegel auf dem sicherheitsgerichteten Ausgang sinkt ab, so schaltet auch der Host als Tokenbesitzer aktiv die erste Schalteinheit, um ein Objektfeststellungssignal von 0 V auf den sicherheitsgerichteten Ausgang zu schalten.

[0044] Ist das Schutzfeld des Guests wieder frei, so schaltet der Guest seine erste Schaltstufe wieder aus, so dass ein potentialfreier Zustand von dem Guest ausgeht. Weiter sendet der Guest auf der Steuerleitung wieder gültige Signale aus. Werden diese Signale von dem Master erkannt, so schaltet dieser seinen sicherheitsgerichteten Ausgang im Falle eines freien Schutzfeldes wieder auf ein Freisignal von 24 V.

Bezugszeichenliste:

[0045] 

1, 1' Sicherheitsgerät

2 Steuer- und Auswerteeinheit

4 System

LG1 Lichtgitter 1

LG2 Lichtgitter 2

SF_LG1 Signal Schutzfeld Lichtgitter 1

SF_LG2 Signal Schutzfeld Lichtgitter 2

OSSD_LG1 sicherheitsgerichteter Ausgang Lichtgitter 1

OSSD_LG2 sicherheitsgerichteter Ausgang Lichtgitter 2

S_OSSD_LG1 Signal sicherheitsgerichteter Ausgang Lichtgitter 1

S_OSSD_LG2 Signal sicherheitsgerichteter Ausgang Lichtgitter 2

TOKEN_IN Steuereingang

TOKEN_OUT Steuerausgang

TOKEN Steuerleitung

S_TOKEN Signal

OSSD sicherheitsgerichteter Ausgang

S_OSSD Signal sicherheitsgerichteter Ausgang

OSSD_MON1, OSSD_MON2 Rückleseeinheit

A bis Q Spalten

Ansprüche

1. Sicherheitsgerät mit

- einer Steuer- und Auswerteeinheit (2, 2'),

- wenigstens einem sicherheitsgerichteten Ausgang (OSSD_LG1, OSSD_LG2) zum Schalten eines Aktors, wobei die Steuer- und Auswerteeinheit (2, 2') ausgebildet ist, Schaltsignale auf dem sicherheitsgerichteten Ausgang (OSSD_LG1, OSSD_LG2) auszugeben,

dadurch gekennzeichnet,

- dass die Steuer- und Auswerteeinheit (2, 2') eine Rückleseeinheit (OSSD_MON1, OSSD_MON2) aufweist, um Schaltsignale auf dem sicherheitsgerichteten Ausgang (OSSD_LG1, OSSD_LG2) rückzulesen und

- der sicherheitsgerichtete Ausgang (OSSD_LG1, OSSD_LG2) nicht nur dazu ausgelegt ist, die Schaltsignale, nämlich ein Objektfeststellungssignal oder ein Freisignal, auszugeben, sondern auch dazu ausgelegt ist, einen potentialfreien Zustand einzunehmen.

2. Sicherheitsgerät nach Anspruch 1, dadurch gekennzeichnet, dass die Steuer- und Auswerteeinheit (2, 2') ausgebildet ist, Steuerinformationen auf einer Steuerleitung (TOKEN) einzulesen und/oder auszugeben.

3. Sicherheitsgerät nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass der sicherheitsgerichtete Ausgang (OSSD_LG1, OSSD_LG2) nicht nur dazu ausgelegt ist, die Schaltsignale, nämlich ein Objektfeststellungssignal oder ein Freisignal, auszugeben, sondern auch dazu ausgelegt ist, einen potentialfreien Zustand einzunehmen.

4. Sicherheitsgerät nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass der sicherheitsgerichtete Ausgang (OSSD_LG1, OSSD_LG2) eine Schaltspannung von 0 V bis 3,5 V aufweist, wenn ein Objektfeststellungssignal anliegt und eine Schaltspannung von 24 V mit einer Toleranz von +-2,5 V aufweist, wenn ein Freisignal ausgegeben wird, bei einem Schaltstrom von 0 bis 600 mA.

5. Sicherheitsgerät nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Steuer- und Auswerteeinheit (2, 2') eine Halbleiterschaltung (6, 6') aufweist mit wenigstens je zwei Schalteinheiten (CTRL1, CTRH1, CTRL2, CTRH2), wobei eine erste Schalteinheit (CTRL1, CTRL2) zum Schalten des Objektfeststellungssignals ausgebildet ist und eine zweite Schalteinheit (CTRH1, CTRH2) zum Schalten des Freisignals ausgebildet ist.

6. Sicherheitsgerät nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Steuer und Auswerteeinheit (2, 2') zweikanalig ausgeführt ist.

7. Sicherheitsgerät nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Steuer- und Auswerteeinheit (2, 2') ausgelegt ist, den sicherheitsgerichteten Ausgang (OSSD_LG1, OSSD_LG2) mit Testpulsen zu beaufschlagen.

8. Sicherheitsgerät nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass dies Sicherheitsschaltgeräte oder Sicherheitssteuerungen sind.

9. Sicherheitsgerät nach einem der vorhergehenden Ansprüche 1 bis 6, dadurch gekennzeichnet, dass dies optische Sensoren, insbesondere Lichtschranken oder Lichtgitter (LG1, LG2) sind.

10. System mit wenigstens zwei Sicherheitsgeräten (1, 1') zum Erzeugen sicherheitsgerichteter Signale, wobei die Sicherheitsgeräte mit

- einer Steuer- und Auswerteeinheit (2, 2') und mit

- wenigstens einem sicherheitsgerichteten Ausgang (OSSD_LG1, OSSD_LG2) zum Schalten eines Aktors ausgebildet sind, wobei die Steuer- und Auswerteeinheit (2, 2') ausgebildet ist, Schaltsignale auf dem sicherheitsgerichteten Ausgang (OSSD_LG1, OSSD_LG2) auszugeben,

dadurch gekennzeichnet,
dass die Steuer- und Auswerteeinheit (2, 2') eine Rückleseeinheit (OSSD_MON1, OSSD_MON2) aufweist, um Schaltsignale auf dem sicherheitsgerichteten Ausgang (OSSD_LG1, OSSD_LG2) rückzulesen und die Sicherheitsgeräte (1, 1') über ihre sicherheitsgerichteten Ausgänge (OSSD_LG1, OSSD_LG2) miteinander verbindbar sind.

11. System nach Anspruch 10, dadurch gekennzeichnet, dass die Sicherheitsgeräte über eine Steuerleitung (TOKEN) miteinander verbindbar sind.

12. System nach Anspruch 11, dadurch gekennzeichnet, dass ein Freisignal des ersten bzw. zweiten sicherheitsgerichteten Ausgangs (OSSD_LG1) durch ein Objektfeststellungssignal des zweiten bzw. ersten sicherheitsgerichteten Ausgangs (OSSD_LG2) überschreibbar ist.

13. System nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass Testpulse durch die Steuer- und Auswerteeinheiten (2, 2') jeweils abwechselnd nur von einem einzigen Sicherheitsgerät (1) ausgegeben werden.

Zeichnung