Sicherheitsschaltgerät

Abstract

 Mit Hilfe eines Sicherheitsschaltgerätes (1) werden zwei Sensoren (2,2') überwacht, die bei einer Anlage dieselbe Funktion prüfen. Die beiden Sensoren (2,2') sind an zugehörige Eingänge (4,4') des Sicherheitsschaltgerätes (1) angeschlossen. Das Sicherheitsschaltgerät (1) enthält zwei Zeitüberwachungsschaltungen (9,9') von denen jede einem Eingang (4,4') zugeordnet ist. Die Zeitüberwachungsschaltungen (9,9') liefern nur dann ein Ausgangssignal, wenn die Signale an den Eingängen (4,4') des Sicherheitsschaltgerätes (1) innerhalb der realisierten Zeitfenster gleichzeitig auf den Arbeitswert ansteigen. Wenn dies der Fall ist, wird eine Rückführungsschaltung (11) wirksam, die die Wirkung der Zeitfenster zunächst unterdrückt, solange, bis an einem der Eingänge (4,4') das Signal von dem Wert im Arbeitszustand auf den Ruhezustand zurückkehrt.

Beschreibung

[0001] Die Erfindung betrifft ein Sicherheitsschaltgerät mit den Merkmalen des Oberbegriffes des Anspruches 1.

[0002] Aus der DE-OS 38 19 994 ist ein gattungsgemäßes Sicherheitsschaltgerät in Gestalt eines Drehzahlüberwachungsgerätes bekannt. Das Drehzahlüberwachungsgerät arbeitet mit zwei, beispielsweise eine Motordrehzahl überwachenden Sensoren zusammen, die an ihrem Ausgang ein der Drehzahl proportionales Analog-Signal abgeben. Mit jedem Sensor ist ein Analog-/Digital-Wandler verbunden, der an seinem Ausgang ein binäres Signal abgibt. Es werden auf diese Weise unabhängig voneinander zwei binäre Signale erzeugt, die anzeigen, ob der überwachte Motor unterhalb einer zulässigen Maximaldrehzahl läuft oder die Maximaldrehzahl überschritten hat. Die beiden Ausgangssignale der Analog-/Digital-Wandler werden in einer Schaltstufe miteinander verknüpft, die daraus insgesamt vier Inhibitsignale erzeugt, die in eine nachgeschaltete Schaltstufe gelangen. Die Schaltstufe enthält einen Oszillator, die über die Inhibiteingänge gesperrt werden kann. Die Ausgangsspannung des Oszillators dient nach einer Gleichrichtung der Stromversorgung von Relais, die im Steuerkreis des überwachten Gerätes liegen.

[0003] Sobald eine Drehzahlüberschreitung auftritt, erscheint wenigstens eines der Inhibitsignale und schaltet den Oszillator ab, so daß die Relais in den Ruhezustand zurückkehren, wodurch die Anlage stillgesetzt wird.

[0004] Bei dem bekannten Gerät wird die weitgehende Eigensicherheit mit Hilfe des Oszillators erreicht, der nur dann anschwingen kann, wenn die Versorgungsspannung vorhanden ist und alle vier Einhibiteingänge freigegeben sind. Gefährliche Zustände können jedoch auftreten, wenn eines der beiden Relais,die von dem Oszillator angesteuert werden, hängen bleibt, weil eine wechselweise Überwachung der Relaisschaltzustände nicht stattfindet.

[0005] Da mit dem bekannten Gerät nur das Überschreiten einer maximal zulässigen Motordrehzahl überwacht werden muß, kommt es auf die zeitliche Reihenfolge beim Auftreten der Fehlersignale nicht an. Das Gerät wertet deswegen auch nicht eine Zeitbedingung zwischen den Fehlersignalen aus.

[0006] Ausgehend hiervon ist es Aufgabe der Erfindung, ein Sicherheitsschaltgerät zu schaffen, das das Einschalten verhindert , wenn nur einer der Sensoren betätigt wird, während der andere ständig ein Signal entsprechend dem Arbeitswert abgibt.

[0007] Diese Aufgabe wird erfindungsgemäß durch das Sicherheitsschaltgerät mit den Merkmalen des Anspruches 1 gelöst.

[0008] Infolge der Verwendung von zwei Zeitüberwachungsschaltungen, von denen jede die Signale von beiden Eingängen des Sicherheitsschaltgerätes erhält, ergibt sich bereits eine weitgehende Sicherheit gegen Fehler, und zwar auch solche Fehler, die durch Störungen im Gerät selbst hervorgerufen werden. Wenn beispielsweise die Zugangstür in einem Schutzzaun für eine Maschine überwacht werden soll, entspricht es nicht mehr den Vorschriften, lediglich einen einzigen Türkontakt zu verwenden, um beim öffnen der Tür die von dem Schutzzaun umgebene Anlage oder Maschine stillzusetzen. Vielmehr werden heute zwei Türkontakte gefordert, um eine erhöhte Sicherheit zu gewährleisten. Mit Hilfe des neuen Sicherheitsschaltgerätes kann bei dem gewählten Beispiel festgestellt werden, ob eventuell einer der beiden Türkontakte seine Funktion verloren hat und ständig den Zustand geschlossene Tür simuliert. Da das Zeitfenster nach dem Schließen des Kontaktes beginnt und innerhalb einer festgelegten Zeit schließt, bleibt es auch geschlossen, so daß das Sicherheitsschaltgerät nicht mehr in den anderen Zustand umschalten kann. Andererseits geht es in einen selbsthaltenden Zustand über, wenn innerhalb der festgelegten Zeitfenster die an dem Eingang anliegenden Signale von dem Ruhewert auf den Arbeitswert umschalten. Andererseits können die Zeitfenster nur gestartet werden, wenn beide Signale an den Eingängen auf den Ruhewert zurückkehren.

[0009] Wenn mit dem Sicherheitsschaltgerät ein einziges Maschinenteil überwacht wird, ist es zweckmäßig, die Zeitfenster auf etwa gleiche Werte einzustellen. Die Länge des Zeitfensters hängt davon ab, innerhalb welcher Zeit erfahrungsgemäß beide Signale an den Eingängen von dem Ruhewert auf den Arbeitswert umschalten, wenn alle Teile einwandfrei funktionieren.

[0010] Eine verbesserte Sicherheit läßt sich erreichen, wenn zwischen jedem Eingang des Sicherheitsschaltgerätes und der jeweils zugehörigen Zeitüberwachungsschaltung ein Inverter geschaltet ist. Je nach Dimensionierung des Inverters und der nachfolgenden Schaltung können dadurch gefährliche Zustände oder der Selbstanlauf der Schaltung vermieden werden, wenn die Versorgungsspannung aus- und wieder eingeschaltet wird und die Signale an den Eingängen des Sicherheitsschaltgerätes beide den Arbeitswert aufweisen.

[0011] Die Zeitüberwachungsschaltung läßt sich am einfachsten durch ein nichtretriggerbares Monoflop verwirklichen, dessen Kippzeit die Länge des Zeitfensters festlegt und das nur dann gestartet wird, wenn an dem betreffenden Eingang das Eingangssignal von dem Ruhewert auf den Arbeitswert wechselt.

[0012] Die Rückführungsschaltung läßt sich am einfachsten mit Hilfe zweier Relais verwirklichen, von denen jedes zwangsgeführte Kontakte aufweist. Mit Hilfe der Kontakte der Relais kann sehr einfach der selbsthaltende Zustand des Sicherheitsschaltgerätes erreicht werden, so daß unabhängig von der Dauer des Zeitfensters der betreffende Ausgangszustand erhalten bleibt, solange an den Eingängen beide Signale den Arbeitswert aufweisen. Auch kann auf diese Weise in der jeweils anderen Zeitüberwachungsschaltung das Zeitfenster aktiviert werden, während eine erneute Aktivierung ausgeschlossen ist, falls das betreffende Relais hängen bleibt.

[0013] Infolge der Zwangsführung wird die Aktivierung des Zeitfensters in der jeweils anderen Zeitüberwachungsschaltung verhindert, wenn für die betrachtete Zeitüberwachungsschaltung an dem Hilfseingang ein Signal ansteht, das an sich ein Durchschalten ermöglicht, wenn am betreffenden Eingang des Sicherheitsschaltgerätes das Signal den Arbeitswert annimmt.

[0014] Eine sehr zuverlässige Verknüpfung der Ausgangssignale beider Zeitüberwachungsschaltungen wird erreicht, wenn die beiden angeschlossenen Relais zwei Arbeits- oder zwei Ruhekontakte aufweisen, die hintereinander- bzw. parallelgeschaltet sind und deren Schaltzustand das Ausgangssignal des Sicherheitsschaltgerätes repräsentiert.

[0015] In der Zeichnung ist ein Ausführungsbeispiel des Gegenstandes der Erfindung dargestellt. Es zeigen:

Fig. 1

ein Blockschaltbild des Sicherheitsschaltgerätes,

Fig. 2

ein Detailschaltbild zu dem in Fig. 1 veranschaulichten Blockschaltbild,

Fig. 3

ein Blockschaltbild für ein nach Spannungswiederkehr selbst anlaufendes Sicherheitsschaltgerät und

Fig. 4

ein Blockschaltbild für ein nach Spannungswiederkehr selbstanlaufendes Sicherheitsschaltgerät mit Überprüfung der Zuleitung auf Aderbruch.

[0016] In Fig. 1 ist ein Sicherheitsgerät 1 veranschaulicht, das dazu dient, die elektrischen Signale von Sensoren 2 und 2' auszuwerten, die zwecks Erhöhung der Redundanz und der Zuverlässigkeit ein und denselben Betriebsparameter einer Anlage überwachen. Im gezeigten Ausführungsbeispiel sind die beiden Sensoren 2 und 2' beispielsweise Türkontaktschalter, mit deren Hilfe festgestellt wird, ob eine Zugangstür in einem Schutzzaun für eine Anlage, beispielsweise einen Industrieroboter, geöffnet oder geschlossen ist. Nur im geschlossenen Zustand darf die Anlage hinter dem Schutzzaun in Betrieb genommen werden. Das Schließen der Tür wird dadurch angezeigt, daß die beiden die Sensoren darstellenden Schalter 2 und 2' geschlossen sind, während bei geöffneter Tür die Schalter ebenfalls geöffnet sind.

[0017] Anstelle der gezeigten Türkontaktschalter 2 und 2' können auch andere Sensoren, beispielsweise Drehzahlfühler, Lichtschranken u.dgl. angeschlossen sein, die an ihrem Ausgang ein elektrisches Binärsignal abgeben.

[0018] Das Sicherheitsschaltgerät 1 enthält im wesentlichen zwei gleich aufgebaute Kanäle 3 und 3' und es sind deswegen die einander entsprechenden Bauelemente und Baugruppen in den beiden Kanälen mit demselben Bezugszeichen versehen, wobei zur Unterscheidung im Falle des Kanals 3' an das Bezugszeichen ein Apostroph angehängt ist.

[0019] Der Kanal 3 weist einen Eingang 4 auf, in den das Signal des Sensors 2 eingespeist wird. Von dort gelangt das Eingangssignal zu einer Eingangsschaltung 5, die das ankommende Eingangssignal, beispielsweise auf den für die weitere Verarbeitung in dem Sicherheitsschaltgerät 1 geeigneten Signalpegel umsetzt, Maßnahmen enthalten kann, um Störsignale am Eingang 4 zu unterdrücken oder auch eine Widerstandsanpassung vornimmt.

[0020] Falls der angeschlossene Sensor 2 ein analoges Signal abgibt, kann die Eingangsschaltung 5 auch eine Analog-/Digital-Wandlung vornehmen, so daß erst an ihrem Ausgang 6 das zur Weiterverarbeitung erforderliche binäre Digital-Signal entsteht.

[0021] An den Ausgang 6 der Eingangsschaltung 5 ist ein Inverter 7 angeschlossen, dessen Ausgang 8 ein Signal abgibt, das einerseits in eine zu dem Kanal gehörende Zeitüberwachungsschaltung 9 sowie in eine Rückführungsschaltung 11 gelangt, das die beiden Kanäle 3 und 3' elektrisch miteinander verknüpft. In die Zeitüberwachungsschaltung 9 gelangen elektrische Signale über Eingänge 12 und 13 sowie einen Hilfseingang 14. Das Ausgangssignal der Zeitüberwachungsschaltung 9 wird über einen Ausgang 15 an eine Relaiswicklung 16 eines Relais 17 abgegeben.

[0022] Die Zeitüberwachungsschaltung 9 enthält ein nichtretriggerbares Monoflop 18, dessen invertierender Eingang gleichzeitig den Eingang 12 der Zeitüberwachungsschaltung 9 darstellt. Ausgangsseitig ist das Monoflop 18 mit einem Eingang 19 eines ODER-Gliedes 21 verbunden, dessen anderer Eingang 22 den Hilfseingang 14 darstellt. Wie sich aus der folgenden Funktionsbeschreibung ergibt, kann an Stelle des Monoflops 18 mit invertierendem Eingang auch eine Nachlaufschaltung mit invertierendem Eingang verwendet werden.

[0023] Ferner enthält die Zeitüberwachungsschaltung 9 ein UND-Glied 23 mit zwei Eingängen 24 und 25, wobei der Eingang 25 negiert ist,sowie einen Ausgang 26, der den Ausgang 15 der Zeitüberwachungsschaltung 9 bildet. Der Eingang 24 des UND-Gliedes 23 ist mit dem Ausgang des ODER-Gliedes 21 verbunden, während der negierte Eingang 25 an den Eingang 13 der Zeitüberwachungsschaltung 9 angeschlossen ist.

[0024] Der Kanal 3' hat identisch denselben Aufbau wie der Kanal 3 und er ist dem Sensor 2' zugeordnet.

[0025] Jedes der beiden Relais 17 und 17' enthält einen Ruhekontakt 17a bzw. 17a' und einen Arbeitskontakt 17b bzw. 17b', wobei der Arbeits- und der Ruhekontakt 17a und 17b bzw. 17a' und 17b' zwangsgeführt miteinander gekoppelt sind, derart, daß, wenn der Arbeitskontakt festgebrannt ist und nicht öffnet, der zugehörige Ruhekontakt nicht schließen kann bzw. umgekehrt. Ferner enthalten die beiden Relais 17 und 17' noch zwei Arbeitskontakte 28 bzw. 28', die hintereinandergeschaltet sind und einen potentialfreien Ausgang 29 des Sicherheitsschaltgerätes bilden. Der Schaltzustand der beiden hintereinandergeschalteten Arbeitskontakte 28 und 28' repräsentiert den Schaltzustand des Sicherheitsschaltgerätes 1. Die beiden Kontakte 28 und 28' sind mit den anderen beiden Kontakten 17a, 17b bzw. 17a' und 17b' ebenfalls zwangsgeführt. Die Kontakte 17a bis 17b' bilden die Rückführungsschaltung 11, und zwar in der Weise, daß der Ruhekontakt 17a in einer Verbindungsleitung 31 liegt, die den Ausgang 8 des Inverters 7 mit dem Eingang 12' verbindet, während eine Verbindungsleitung 31' den Ausgang 8' des Inverters 7' mit dem Eingang 12 verbindet. Ferner ist der Hilfseingang 14 über eine Leitung 32 und den Arbeitskontakt 17b an den Ausgang 6' der Eingangsschaltung 5' eingeschlossen, während der Arbeitskontakt 17b' in der Verbindungsleitung 32' liegt, die zwischen dem Ausgang 6 der Eingangsschaltung 5 und dem Hilfseingang 14' die Verbindung herstellt. Die notwendigen pull-up- oder pull-down-Widerstände sind nicht gezeigt und ergeben sich aus der Funktionsbeschreibung.

[0026] Das insoweit beschriebene sicherheitsschaltgerät 1 arbeitet wie folgt, wobei von dem in Fig. 1 gezeigten Ruhezustand ausgegangen wird, bei dem die beiden Sensoren 2 und 2' ein dem Ruhewert entsprechendes Signal abgeben, das dazu führt, daß auch die beiden Relais 17 und 17' abgefallen sind, so daß ihre Kontakte die gezeigten Ruhezustände annehmen, in denen die Ruhekontakte geschlossen und die Arbeitskontakte geöffnet sind. Ausgehend von dieser Situation sei angenommen, daß der den Sensor repräsentierende Türkontaktschalter 2 schließt, wodurch die positive Versorgungsspannung U_B an den Eingang 4 angeschaltet wird, was einem H-Signal entspricht. Dieses H-Signal gelangt unter entsprechender Pegelanpassung an den Ausgang 6 der Eingangsschaltung 5 und damit einmal zu der Rückführungsschaltung 11 und in den Inverter 7. Das H-Signal kann nicht zu der Zeitüberwachungsschaltung 9' gelangen, da der Arbeitskontakt 17b' geöffnet ist. Hingegen gelangt das Signal invertiert als L-Signal von dem Ausgang 8 in die Zeitüberwachungsschaltung 9, und zwar über den Eingang 13 zu dem invertierenden Eingang 25 des UND-Gliedes 23.

[0027] Zum betrachteten Zeitpunkt hat der Türkontaktschalter 2' noch nicht geschlossen, weshalb dort die Signale Ruhepotential haben. Folglich liegt auch an dem invertierenden Eingang des Monoflops 18 kein Impuls an. Das Monoflop 18 bleibt in seinem Ruhezustand mit L am Ausgang und da auch der andere Eingang 22 des ODER-Gliedes 21 wegen des geöffneten Arbeitskontaktes 17b kein H-Signal erhält, bleibt der Eingang 24 des UND-Gliedes 23 auf L und folglich auch das Signal an dem Ausgang 26.

[0028] Das Umschalten des Türkontaktschalters 2 führt allerdings zu einem Triggern des nichtretriggerbaren Monoflops 18', da das nach L gehende Signal an dem Ausgang 8 über den Ruhekontakt 17a, die Leitung 31 in den Eingang 12' und somit zu dem invertierenden Eingang des nichtretriggerbaren Monoflops 18' gelangt. Der Eingang 19' des ODER-Gliedes 21' erhält deswegen ein H-Signal und es geht auch der Ausgang nach H, womit das UND-Glied 23' vorbereitet wird. Schließt nun während der Kippzeit des nichtretriggerbaren Monoflops 18' auch der Türkontaktschalter 2', so wechselt das Signal an dem Ausgang 8' des Inverters 7' nach L und das UND-Glied 23' schaltet an seinem Ausgang 26' nach H um, wodurch das Relais 17' anzieht. In der für beide Kanäle 3 und 3' gemeinsamen Rückführungsschaltung 11, die für beide Kanäle 3 und 3' gemeinsam ist, schließt hierdurch der Arbeitskontakt 17b' und es öffnet der Ruhekontakt 17a'. Da das elektronische Signal jedoch wesentlich schneller läuft als sich der Schaltzustand des Relais 17' ändert, gelangt vorher noch über den geschlossenen Ruhekontakt 17a' das L-Signal aus dem Kanal 3' zu dem invertierenden Eingang des nichtretriggerbaren Monoflops 18, das daraufhin an seinem Ausgang auf H umschaltet. Dieses H-Signal gelangt über das ODER-Glied 21 zu dem UND-Glied 23, das nun ebenfalls an seinem Eingang in Zustände gelangt, die zu einem H-Signal an dem Ausgang 26 führen, wodurch auch das Relais 17 umgeschaltet wird. Auch die anderen beiden Kontakte 17a und 17b in der Rückführungsschaltung 11 kippen in den anderen Zustand um. In diesem Zustand sind nun die beiden Arbeitskontakte geschlossen, während die Ruhekontakte geöffnet sind. Dadurch bleiben die Signale an den invertierenden Eingangen der beiden Monoflops 18 und 18' nach wie vor ständig im L-Zustand und die Monoflops 18 und 18' schalten nach der ihnen eigenen Verzögerungszeit in den Ursprungszustand mit L am Ausgang zurück. Dieses Rückschalten in den L-Zustand hat jedoch keinen Einfluß, da das H-Signal, das an den Eingängen der beiden Inverter 7, 7' abgegriffen wird, über die geschlossenen Arbeitskontakte 17b und 17b' direkt in die ODER-Glieder 21 und 21' gelangt. Unabhängig vom zwischenzeitlich eingetretenen Rückschalten der beiden nichtretriggerbaren Monoflops 18 und 18' bleibt dadurch der H-Pegel an dem Ausgang 26 bzw. 26' erhalten, solange wie die beiden Türkontaktschalter 2 und 2' geschlossen bleiben.

[0029] Sollte nach dem Schließen des Türkontaktschalters 2 der Türkontaktschalter 2' erst schließen, nachdem die Kippzeit des Monoflops 18' abgelaufen ist, verschwindet das H-Signal an dem Eingang 24', womit nun ein verspätetes Schließen des Türkontakthalters 2' an dem invertierenden Eingang 25' ein L-Signal erzeugt, während andererseits der nichtinvertierende Eingang 24' des UND-Gliedes 23' bereits zu einem Sperren des UND-Gliedes 23' geführt hat. Das Schließen des Türkontaktschalters 2 führt zwar zu einem Triggern des Monoflops 18, wodurch ein H-Signal erzeugt wird, das über das ODER-Glied 21 zu dem UND-Glied 23 gelangt, was zum Anziehen des Relais 17 führt, doch bedingt dessen Umschalten nur ein Öffnen des Ruhekontaktes 17a, womit aber der bereits vorhandene L-Pegel auf der Leitung 31 für das Monoflop 18' erhalten bleibt. Es liefert als Folge des Umschalten des Relais 17 kein anderes Signal an seinem Ausgang als vorher, nachdem die Kippzeit abgelaufen ist. Da somit nur eines der beiden Relais 17, 17' angezogen hat, bleibt auch der Ausgang 29, 29' des Sicherheitsschaltgerätes 1 offen.

[0030] Wenn der eben beschriebene Fehler aufgetreten ist, kann das Sicherheitsschaltgerät 1 nur dadurch wieder zurückgesetzt werden, daß auch der vorher geschlossene Türkontaktschalter 2 öffnet, damit die Signale an den invertierenden Eingängen beider nichtretriggerbarer Monoflops 18 und 18' in den H-Zustand zurückkehren, um die Monoflops 18 und 18' für einen nächsten Triggervorgang vorzubereiten.

[0031] Die Zeitüberwachungschaltung 9 bzw. 9' definiert, wie sich aus der Beschreibung ergibt, mit Hilfe der in ihr enthaltenen Monoflops 18 und 18' jeweils ein Zeitfenster und es müssen, wie sich aus der obigen Beschreibung ergibt, beide Türkontaktschalter 2 und 2' innerhalb der Zeitfenster gleichzeitig in den geschlossenen Zustand umschalten, damit das Sicherheitsschaltgerät auch beide Relais 17 und 17' umschaltet. Bei dem gezeigten Ausführungsbeispiel entspricht der geöffnete Türkontaktschalter 2, 2' dem Ruhewert` wobei ein L-Potential an dem Eingang 4, 4' erzeugt wird, während der geschlossene Türkontaktschalter 2, 2' das dem Arbeitswert entsprechende Signal hervorruft.

[0032] Aus der gegebenen Funktionsbeschreibung läßt sich auch ableiten, wie die Schaltung im einzelnen auf verschiedene Störungen von Baugruppen reagiert. Die Erläuterung der unterschiedlichen Fehlerfälle würde hier den Rahmen sprengen.

[0033] Fig. 2 zeigt ein Detailschaltbild,wie das in Blockform in Fig. 1 angegebene und hinsichtlich seiner Funktion beschriebene Sicherheitsschaltgerät 1 ausgeführt werden kann. Bei der Ausführungsform nach Fig. 2 sind diskrete Bauelemente vorgesehen, wobei unter Umständen Logikfunktionen, denen in Fig. 1 ein Block zugeordnet ist, implizit durch bestimmte Schaltungsmaßnahmen verwirklicht sind. Eine weitere Vereinfachung und Erhöhung der Sicherheit wird auch dadurch erreicht, daß das Ausgangssignal der Eingangsschaltung gleichzeitig zur Stromversorgung für den Rest der beiden Kanäle 3 und 3' wird. Außerdem wird die Zeitfensterfunktion, wie sich aus der folgenden Beschreibung ergibt, etwas anders mit Hilfe der diskreten Bauelemente realisiert. Die Zeitfensterfunktion wird mit Hilfe der vorerwähnten Nachlaufschaltung erzeugt.

[0034] Soweit den Blöcken aus Fig. 1 unmittelbar Bauelemente in Fig. 2 entsprechen, sind hierfür die jeweiligen Bezugszeichen verwendet. Außerdem versteht sich, daß, ohne daß das Funktionsprinzip verlassen wird, die Polarität der Signale geändert werden kannt, wenn invertierende und nichtinvertierende Ein- bzw. Ausgänge getauscht werden und Ruhekontakte durch Arbeitskontakte ersetzt werden.

[0035] Der Kanal 3 enthält in seiner Eingangsschaltung 5 einen mit seinem Emitter an eine positive Versorgungsspannung 35 angeschlossenen Transistor 36, dessen Basis einerseits über einen Widerstand 37 an die positive Versorgungsspannung 35 und andererseits über einen Widerstand 38 an den Eingang 4 angeschlossen ist. Der Kollektor des Transistors 36 liegt über einen Widerstand 39 an der Schaltungsmasse. Ferner liegt an dem Kollektor des Transistors 36 ein Spannungsteiler aus Widerständen 41 und 42, die in Serie liegen und mit der positiven Versorgungsspannung 35 verbunden sind. Die mit Hilfe des Spannungsteilers 41, 42 heruntergeteilte Spannung gelangt in die Basis eines Transistors 43, der das aktive Glied des Inverters 7 ist. Der Transistor 43 liegt mit seinem Emitter an der positiven Versorgungsspannung 35, während sein Kollektor über einen Spannungsteiler aus Widerständen 44 und 45 zur Schaltungsmasse hin verbunden ist. Die mit dem Spannungsteiler 44, 45 erzeugte Spannung gelangt in den Eingang 13 der Zeitüberwachungsschaltung 9, wobei der Eingang 13 von der Basis eines Transistors 46 gebildet ist, der emitterseitig an der Schaltungsmasse liegt. An den Kollektor des Transistors 46 ist die Basis eines Transistors 47 angeschlossen, dessen Kollektor wiederum mit der Basis eines Transistors 48 verbunden ist. Die Transistoren 47 und 48 liegen emitterseitig ebenfalls an der Schaltungsmasse. Der Kollektor des Transistors 48 ist mit einem Ende der Relaiswicklung 16 verbunden, deren anderes Ende an zwei Widerstände 49 und 51 liegt. Der Widerstand 49 führt von der Relaiswicklung 16 zu dem Kollektor des Transistors 46 und der Widerstand 51 zu dem Kollektor des Transistors 47.

[0036] Zu der Serienschaltung aus der Relaiswicklung 16 und dem bipolaren NPN-Transistor 48 liegt ein zeitbestimmender Kondensator 52 parallel. Von dem heißen Ende des Kondensators 52 gehen zwei Widerstände 53 und 54 ab, von denen der eine die Verbindung zu dem Arbeitskontakt 17b und der andere die Verbindung zu dem Ruhekontakt 17a' herstellt.

[0037] Der Kanal 3' ist, soweit der Kanal 3 bisher beschrieben ist, identisch aufgebaut, weshalb für die Bauelemente des Kanals 3' dieselben Bezugszeichen ergänzt um ein Apostroph verwendet sind.

[0038] Zur Verknüpfung der beiden Kanäle 3 und 3' erfolgt von dem Kollektor des Transistors 36 über eine Diode 55 eine Verbindung zu dem Ruhekontakt 17a mittels einer Leitung 56. Die Leitung 56 hat eine Entsprechung 56', durch die der Kollektor des Transistors 36' über eine Diode 55' mit dem Ruhekontakt 17a' verbunden ist. Schließlich ist noch eine Verbindung 57 vorhanden, über die der Kollektor des Transistors 43 an den Arbeitskontakt 17b' angeschlossen ist. Entsprechend ist die Leitung 57' geschaltet. Zur Erläuterung der Funktionsweise der Schaltung nach Fig. 2 sei angenommen, daß die Sensoren, die in Fig. 2 weggelassen sind, mit negativer Logik arbeiten, d.h. im Falle von Türkontakten ist die Verbindung zu dem Eingang 4 bei geöffneter Tür geschlossen und bei geschlossener Tür offen, so daß der Eingang 4 bei offener Tür ein L-Signal bekommt.

[0039] Infolge des L-Signals an dem Eingang 4 ist der Transistor 36 leitend. Dadurch führt sein Kollektor praktisch die Spannung auf der Leitung 35, die über die in Durchlaßrichtung betriebene Diode 55 und den geschlossenen Ruhekontakt 17a dazu führt, daß über den Widerstand 54' der Kondensator 52' geladen wird. In umgekehrter Weise wird über den Transistor 36', der bei geöffneter Tür ebenfalls leitend ist, der Kondensator 52 geladen, womit an den heißen Enden der beiden Relaiswicklungen 16 und 16' die Versorgungsspannung angeschaltet ist. Das H-Potential am Kollektor des Transistors 36 führt zu einem Sperren des Transistors 43, womit in der Folge auch der Transistor 46 gesperrt ist. Hierdurch kann der Transistor 47 in den leitenden Zustand kommen, weil seine Basis über den Widerstand 49 aus der an dem Kondensator 52 anliegenden Spannung Strom erhält. Der leitende Zustand des Transistors 47 führt zu einem nahe dem Massepotential liegenden Potential an seinem Kollektor, wodurch der folgende Transistor 48 gesperrt ist und in der Folge kann auch kein Strom durch die Relaiswicklung 16 fließen.

[0040] Da sinngemäß dasselbe für den Kanal 3' gilt, sind beide Relais 17 und 17' abgefallen, so daß sich ihre Kontakte 17a...17b' in der gezeigten Ruhestellung befinden.

[0041] Wird, ausgehend von diesem Zustand, die Tür geschlossen, und einer der Schalterkontakte öffnet sich, beispielsweise der Schalterkontakt an dem Eingang 4, wird in der Folge der nachgeschaltete Transistor 36 gesperrt. Hierdurch wird verhindert, daß nunmehr weiterhin der Kondensator 52' über die Leitung 35 nachgeladen wird. Andererseits verhindert die Diode 55 ein Entladen des Kondensators 52' über den Widerstand 39 nach Masse.

[0042] Somit ist zunächst einmal die Nachladung des Kondensators 52' unterbrochen und er beginnt, sich über die Serienschaltung aus dem Widerstand 51' und dem nach wie vor durchgesteuerten Transistor 47' allmählich zu entladen.

[0043] Gleichzeitig wird durch das Sperren des Transistors 36 nun der Transistor 43 leitend und schaltet den Transistor 46 ein. Dadurch wird der Transistor 47 gesperrt und der Transistor 48 in den leitenden Zustand umgeschaltet, woraufhin das Relais 17 anzieht, da es sowohl über den geladenen Kondensator 52 als auch über den Widerstand 54, den geschlossenen Ruhekontakt 17a' und den zur Zeit noch leitenden Transistor 36' Strom erhält. Infolge des Anziehens des Relais 17 schließt sein Arbeitskontakt 17b und es öffnet sein Ruhekontakt 17a. Das Öffnen des Ruhekontaktes 17a hat auf die weitere Funktion im fehlerfreien Betrieb keinen Einfluß, da ohnehin die Nachladung des Kondensators 52' wegen des gesperrten Transistors 36 unterbrochen ist. Andererseits wird durch das Anziehen des Relais 17 das Schließen des Arbeitskontaktes 17b die Selbsthaltung vorbereitet, falls die Stromversorgung über den Ruhekontakt 17a' unterbrochen wird. Diese Unterbrechung geschieht in dem Augenblick, in dem auch der Kontakt an dem Eingang 4' öffnet, wodurch der Transistor 36' gesperrt wird. Dadurch wird die Stromversorgung über den noch geschlossenen Ruhekontakt 17a' unterbrochen, weil nun der Kollektor des Transistors 36' über den Widerstand 39' zur Masse hin verbunden ist. Gleichzeitig gelangt der Transistor 43' in den leitenden Zustand, so daß weiterhin die Stromversorgung des Relais 17 über den mittlerweile geschlossenen Arbeitskontakt 17b aus der Leitung 35 sichergestellt ist. Der leitende Zustand des Transistors 43' führt zu einem Durchschalten des Transistors 46', was wiederum den Transistor 47' in den Sperrzustand übergehen läßt. Infolge des Sperrens des Transistors 47' wird der Transistor 48' leitend, wodurch der Stromkreis durch die Magnetwicklung 16' eingeschaltet wird. Wenn zu diesem Zeitpunkt die Spannung am Kondensator 52' noch hoch genug ist, weil der vorher leitende Transistor 47' in Verbindung mit dem Widerstand 51' den Kondensator 52' nicht weit genug entladen konnte, reicht die Ladung aus, um das Relais 17' zum Anziehen zu bringen. Hierdurch wechseln auch seine Kontakte 17a' und 17b' in den anderen als den gezeigten Zustand, d.h. es entsteht eine elektrische Verbindung zwischen dem heißen Ende der Relaiswicklung 16' über den Vorwiderstand 53', den mittlerweile geschlossenen Arbeitskontakt 17b' und die Leitung 57 zu dem bereits durchgeschalteten Transistor 53, so daß die Spannung von der Versorgungsleitung 35 nach wie vor zu dem Kondensator 52' gelangen kann. Da auch der Arbeitskontakt 17b, wie vorerwähnt, geschlossen ist, werden beide Relais 17 und 17' aus der Versorgungsleitung 35 mit Strom versorgt, obwohl die Ruhekontakte 17a und 17a' geöffnet haben und auch die Verbindung zu der Versorgungsleitung 35 über die Leitungen 56 und 56' wegen der gesperrten Transistoren 36 bzw. 36' unterbrochen ist.

[0044] Das Anziehen der beiden Relais 17 und 17' führt zum Einschalten der Arbeitskontakte 28 und 28', womit der Ausgang des Sicherheitsschaltgerätes 1 zwischen den beiden Anschlüssen 29 und 29' galvanisch durchschaltet.

[0045] Falls das Öffnen des Schalters an dem Eingang 4' erfolgte zu einem Zeitpunkt, zu dem die Entladung des Kondensators 52' zu weit fortgeschritten war, kann das Relais 17' nicht mehr anziehen. Das Sicherheitsschaltgerät 1 gelangt dadurch in einen Zustand, bei dem nur eines der beiden Relais, nämlich im erläuterten Fall das Relais 17, angezogen hat, womit zwischen den Ausgangsklemmen 29 und 29' nur der Kontakt 28 geschlossen ist, während der Kontakt 28' offen bleibt.

[0046] Die Entladezeit des Kondensators 52' bzw. des Kondensators 52 im umgekehrten Falle definiert das Zeitfenster, innerhalb dessen die beiden Signale an den Eingängen 4 und 4' auf den Arbeitswert wechseln müssen. Wechselt eines der Signale außerhalb des Zeitfensters, so ist ein Umschalten des Sicherheitsschaltgerätes 1 in den Zustand mit durchgeschaltetem Ausgang nur möglich, wenn zwischenzeitlich auch das Signal an dem jeweils anderen Eingang verschwindet, denn andernfalls kann es nicht mehr zum Aufladen des betreffenden, mittlerweile entladenen Kondensators 52 oder 52' kommen.

[0047] Die in Fig. 1 gezeigte UND-Verknüpfung durch das UND-Glied 23 zwischen dem Signal an dem Eingang 4 und dem Ausgang des Monoflops 18 wird bei der Schaltung nach Fig. 2 dadurch erreicht, daß das Eingangssignal über die hintereinandergeschalteten Transistoren 43, 46, 47, 48 bzw. 43', 46' , 47' , 48' dem einen Ende der Relaiswicklung 16 bzw. 16' zugeführt wird, während das Ausgangssignal des Monoflops 18 in das andere Ende eingespeist wird. Das Monoflop 18 ist in diesen Falle zu einer rückfallverzögerten Schaltung abgewandelt,realisiert im wesentlichen durch den Kondensator 52' und den bei abgeschaltetem Relais 17 wirksamen Entladekreis über den Widerstand 51 und den Transistor 47; sinngemäß dasselbe gilt für den Kanal 3'.

[0048] In jedem Falle wird ein Zeitfenster realisiert, das mit dem Einschalten des Signals an einem der Eingänge 4, 4' beginnt und das sich schließt, wenn entweder die Kippzeit des Monoflops 18 abgelaufen ist oder der Kondensator 52, 52' so weit entladen ist, daß die Spannung nicht mehr ausreicht, um das Relais 17 oder 17' zum Anziehen zu bringen.

[0049] Eine genaue Analyse der Schaltung nach Fig. 2 zeigt, daß auch dann ein Einschalten der beiden Arbeitskontakte 28 und 28' mit Sicherheit verhindert wird, wenn eines der Bauelemente des Sicherheitsschaltgerätes 1 in der für das Bauelement typischen Weise ausfällt. Gleichzeitig ermöglichen es die in den Figuren gezeigten Sicherheitsschaltgeräte 1 redundant die an sie angeschlossenen Sensoren zu überwachen, so daß auch dann kein Einschalten am Ausgang des Sicherheitsschaltgerätes 1 zustandekommen kann, wenn die Sensoren außerhalb des vorgesehenen Zeitfensters nacheinander den "Gutzustand" signalisieren. Das Sicherheitsschaltgerät 1 geht davon aus, daß innerhalb des Zeitfensters beide an ihm angeschlossenen Sensoren in den "Gutzustand" wechseln müssen. Die Gleichzeitigkeit geht nur dann verloren, wenn einer der Sensoren versagt. Da die Zeitbedingung eingehalten werden muß, läßt sich ein mit dem neuen Sicherheitsschaltgerät 1 überwachtes Gerät auch dann nicht in Betrieb setzen, wenn der betreffende andere "Gutzustand" später eingestellt wird, weil die Zeitbedingung von Hand nicht eingehalten werden kann. Mit Hilfe des neuen Sicherheitsschaltgerätes 1 ist es dagegen möglich, eindeutig zu erkennen, wenn einer der Sensoren versagt hat und beispielsweise immer den "Gutzustand" anzeigt, also nicht in seinen Ruhewert zurückkehrt, sondern auf dem Arbeitswert hängen bleibt. Im Falle des Türkontaktschalters wäre dies der Zustand, der immer die geschlossene Tür signalisiert. Ohne die Gleichzeitigkeit würde die Anlage nur noch mit dem einen Kontakt gesteuert werden, was nach außen hin nicht zu erkennen wäre. Die Verwendung des Zeitfensters dagegen macht das Fehlverhalten nach außen hin erkennbar, weil durch den fehlenden Wechsel vom Arbeitswert in den Ruhewert an dem defekten Sensor in dem betreffenden Kanal 3 oder 3' das Zeitfenster nicht mehr gestartet wird und folglich auch das Sicherheitsschaltgerät 1 nicht mehr in einen Zustand mit durchgeschaltetem Ausgang zurückkehren kann.

[0050] Bei beiden Schaltungen, d.h. der Schaltung nach Fig. 1 und der Schaltung nach Fig. 2 schalten die Relais 17 und 17' in den Ruhezustand, wenn die Versorgungsspannung verschwindet. Bei der Schaltung nach Fig. 2 ist sichergestellt, daß auch bei der Wiederkehr der Versorgungsspannung die Relais 17 und 17' im abgefallenen Zustand bleiben, selbst dann, wenn die Sensoren an den Eingängen 4 und 4' ein Signal liefern, das an sich zum Anziehen der Relais 17 und 17' führen würde. Um die Relais 17, 17' tatsächlich einschalten zu können, ist es bei der Schaltung nach Fig. 2 notwendig, beide Sensoren an ihrem Ausgang zunächst einmal in den Ruhewert zu bringen und anschließend auf den Arbeitswert, so daß in beiden Kanälen 3 und 3' die Zeitfenster gestartet werden und der oben erläuterte Zyklus ablaufen kann. Erst dann wird das Sicherheitsschaltgerät 1 an seinem Ausgang scharfgeschaltet und die beiden Kontakte 28 und 28' sind durchgeschaltet.

[0051] Dieses Verhalten der Schaltung nach Spannungswiederkehr kann auch bei der Anordnung nach Fig. 1 realisiert werden und hängt davon ab, wo die Schaltschwellen der einzelnen logischen Glieder liegen. Wenn dieses Schaltverhalten unerwünscht ist, kann es durch entsprechende andere Wahl der Schaltpunkte der logischen Glieder bei der Schaltung nach Fig. 1 vermieden werden. Es ist auch möglich, den in Fig. 3 gezeigten Zusatz zu verwenden, derdie Spannung auf der Versorgungsleitung 35 überwacht und bei Spannungswiederkehr an den Eingängen 4 und 4' zunächst einmal den Ruhewert zwangsweise simuliert, selbst dann, wenn die Sensoren ein Signal entsprechend dem Arbeitswert liefern.

[0052] Bei der in Fig. 3 gezeigten Ausführungsform sei angenommen, daß das Sicherheitsschaltgerät 1 den in Fig. 2 gezeigten Aufbau hat. Die wiederum beispielhaft angenommenen Türkontaktschalter 2, 2' sind bei geöffneter Tür geschlossen und bei geschlossener Tür offen, d.h. Fig. 3 zeigt den Zustand mit geschlossener Tür, nämlich die beiden Kontakte 2 und 2' sind offen. Trotzdem würde bei der Schaltung nach Fig. 2 beieiner Spannungswiederkehr das Sicherheitsschaltgerät 1 nicht in den entsprechenden Schaltzustand übergehen, weil die Kondensatoren 52 und 52' entladen sind und nach der Spannungswiederkehr umgehend die Transistoren 36 und 36' abschalten, so daß eine Nachladung der Kondensatoren 52 und 52' nicht stattfinden kann. Da die Relais 17 und 17' abgefallen sind, erhalten sie auch keinen Strom über die leitend geschalteten Transistoren 43 und 43', weil die zugehörigen Arbeitskontakte 17b und 17b' geöffnet sind. Um dennoch ohne Betätigung der Tür den Einschaltzustand zu erreichen, liegt in einer Verbindungsleitung 61 bzw. 61' jeweils ein Umschalter 62 und 62'. Der Umschalter hat den in Fig. 3 gezeigten Ruhezustand, in dem der Eingang 4 mit dem Sensor 2 und der Eingang 4' mit dem Sensor 2' verbunden ist. Die beiden Umschalter 62 und 62' gehören zu einem Relais 63, dessen Relaiswicklung 63' einerseits mit der positiven Versorgungsspannung U_B verbunden ist und die andererseits an dem Kollektor eines bipolaren Transistors 64 angeschaltet ist. Der Emitter des Transistors 64 liegt an der Schaltungsmasse. Ein Basisableitwiderstand 65 liegt zu der Basis-Emitter-Strecke des Transistors 64 parallel. Schließlich ist noch ein Kondensator 66 vorhanden, der die Basis des Transistors 64 mit der positiven Versorgungsspannung U_B verbindet.

[0053] Zur Erläuterung der Funktionsweise sei angenommen, daß die positive Versorgungsspannung U_B hinreichend lange ausgeschaltet war, damit der Kondensator 66 zumindest weitgehend über die an der Versorgungsspannung U_B hängenden Verbraucher entladen ist. Kehrt nun die Versorgungsspannung wieder, lädt sich der Kondensator 66 über die Basis-Emitter-Strecke des Transistors 64 bzw. über den Widerstand 65 auf, was dazu führt, daß das Relais 63 anzieht. Hierdurch werden seine beiden Umschaltkontakte 62 und 62' in den anderen als den gezeigten Zustand umgeschaltet und erzeugen ein L-Potential an den beiden Eingängen 4 und 4', da der andere Kontakt der beiden Umschalter 62, 62' an der Schaltungsmasse liegt. Dieser L-Zustand entspricht dem Ruhewert, wie er auch erreicht werden würde, wenn die Tür geöffnet wird, weil dann die beiden als Sensoren dienenden Türkontaktschalter 2 und 2' schließen. Selbst bei geschlossener Tür wird auf diese Weise das Öffnen der Tür simuliert, was zweierlei zur Folge hat. Zum einen läuft bei störfreier Funktion der gesamten Anlage das Sicherheitsschaltgerät 1 an, ohne daß tatsächlich physisch die Tür bewegt zu werden braucht und andererseits wird hierdurch eine zwangsläufige Testung erreicht, durch die überprüft wird, ob die Türkontaktschalter 2, 2' und das Sicherheitsschaltgerät 1 einwandfrei arbeiten. Im Fehlerfall würde, wie sich aus den obigen Erläuterungen zur Funktionsweise des Sicherheitsschaltgerätes 1 ergibt, kein Einschalten der Arbeitskontakte 28 und 28' erreicht werden, wenn einer der Türkontaktschalter 2, 2' oder ein Bauelement in dem Sicherheitsschaltgerät 1 zwischenzeitlich ausgefallen ist.

[0054] In Fig. 4 ist eine Ausführungsform des Sicherheitsschaltgerätes 1 gezeigt, wie sie etwa Fig. 3 entspricht.

[0055] über die Leitungen 61 und 61' sind die Eingänge 4, 4' des Sicherheitsschaltgerätes 1 mit zwei Sensoren 2 und 2' verbunden, die im gezeigten Ausführungsbeispiel mit einer Welle gekoppelte Tachogeneratoren sind. Sie liefern an ihrem Ausgang, an dem die Leitung 61, 61' angeschlossen ist, ein Ausgangssignal, beispielsweise zwischen 0 und 5 V, abhängig von der Drehzahl. Dieses analoge Signal gelangt über die Leitung 61, 61' in das Sicherheitsschaltgerät 1, das eingangsseitig einen Analog-/Digital-Wandler enthält, beispielsweise in Gestalt eines Schmitt-Triggers, dessen Schaltschwelle auf 4 V eingestellt ist. Bei Eingangsspannungen unterhalb der Schallschwelle gelangt das Sicherheitsschaltgerät 1 in den EIN-Zustand, weil Spannungen kleiner 4 V den Arbeitswert repräsentieren, während Spannungen über 4 V dem Ruhewert entsprechen, bei dem das Sicherheitsschaltgerät 1 an seinen beiden Ausgangsklemmen 29, 29' in den AUS-Zustand gelangt.

[0056] Von den beiden Umschaltern 62, 62', die in der Leitung 61 liegen, wird nur der Ruhekontakt ausgenutzt, so daß bei abgefallendem Relais 63 die Verbindung zwischen den Eingängen 4 bzw. 4' mit den zugehörigen Sensoren 2 bzw. 2' hergestellt ist. Ferner ist jede der Verbindungsleitungen 61 über einen Pull-up-Widerstand 68 bzw. 68' mit der positiven Versorgungsspannung von 24 V verbunden. Die beiden Widerstände 68 und 68' sind groß gegenüber dem Innenwiderstand der beiden Sensoren 2 und 2', so daß die Spannung auf der Leitung 61 bei geschlossenem Kontakt 62, 62' praktisch nur von der Ausgangsspannung der beiden Sensoren 2, 2' bestimmt ist.

[0057] Die beschriebene Schaltung arbeitet wie folgt: Wenn nach der Spannungswiederkehr die überwachten Maschinenteile im Stillstand sind oder nur mit geringer Drehzahl laufen, liefern die beiden Sensoren 2, 2' auf der Leitung 61 eine Spannung kleiner 4 V. Da das Sicherheitsschaltgerät 1 jedoch, wie vorerwähnt, nicht selbst anlaufend ist, würde es ohne die Wirkung des Relais 63 ständig im AUS-Zustand bleiben. Nach der Spannungswiederkehr lädt sich jedoch zunächst einmal der Kondensator 66 über den Widerstand 65 auf, wodurch der Transistor 64, wie erwähnt, durchgesteuert wird, was das Anziehen des Relais 63 zur Folge hat. Dadurch werden die beiden Ruhekontakte 62 und 62' geöffnet, wodurch die Belastung der Widerstände 68, 68' wegfällt und an die Eingänge 4, 4' eine Spannung angelegt wird, die der Versorgungsspannung am heißen Ende der beiden Widerstände 68, 68' entspricht. Da diese Spannung größer ist als die gewählte Schaltschwelle von 4 V, erhält das Sicherheitsschaltgerät 1 an seinen beiden Eingängen 4 und 4' ein Eingangssignal, das dem vorerwähnten Ruhewert entspricht, bei dem das Sicherheitsschaltgerät 1 in jedem Falle in einen Zustand übergeht, bei dem ausgangsseitig die Verbindung zwischen den Anschlüssen 29 und 29' unterbrochen ist.

[0058] Sobald der Kondesator 66 aufgeladen ist, fällt das Relais 23 ab, weil der Transistor 64 in den Sperrzustand übergeht. Dadurch kehren die Ruhekontakte 62, 62' in die gezeigte Stellung zurück. Im Normalfall würde dadurch an beiden Eingängen 4 und 4' die Spannung innerhalb des gewählten Zeitfensters auf einen Wert kleiner 4 V zurückkehren, wenn die überwachte Maschine stillsteht oder mit einer Drehzahl läuft, die bei den Tachogeneratoren 2 und 2' eine Ausgangsspannung von kleiner 4 V erzeugt. Da diese Spannung definitionsgemäß dem Arbeitswert entspricht, und auch an beiden Eingängen 4 und 4' der Arbeitswert innerhalb des Zeitfensters auftritt, schaltet das Sicherheitsschaltgerät 1 an seinem Ausgang durch, d.h. es entsteht die galvanische Verbindung zwischen den Anschlüssen 29 und 29'.

[0059] Liegt jedoch ein Adernbruch in einer Zuführungsleitung zu einem der beiden Sensoren 2, 2' vor, dann bleibt auch nach der Rückkehr des Relais 63 in den Ruhezustand die betreffende Verbindung zu dem jeweiligen als Sensor wirkenden Tachogenerator 2 oder 2' unterbrochen. Im Ruhezustand des Relais 63 würde nur einer der beiden Eingänge 4, 4' innerhalb des Zeitfensters ein Signal entsprechend dem Arbeitswert erhalten. Aufgrund der oben gegebenen Erläuterung der Funktionsweise des Sicherheitsschaltgerätes 1 bliebe in diesem Falle der Ausgang offen, d.h. es käme nicht zu einer galvanischen Verbindung zwischen den Anschlüssen 29 und 29'.

[0060] Die gleiche Situation entsteht auch, wenn nach der Wiederkehr der Versorgungsspannung das Sicherheitsschaltgerät 1 zwar zunächst einschaltet, weil alle elektrischen Verbindungen eingangsseitig in Ordnung sind, aber im Verlauf des Betriebes die überwachte Maschine in einen Drehzahlbereich gelangt, bei der einer der Sensoren 2, 2' eine Ausgangsspannung von größer 4 V liefert. Da dies dem Ruhewert des Signals an dem betreffenden Eingang 4, 4' entspricht, kehrt umgehend das Sicherheitsschaltgerät 1 in den Zustand zurück, bei dem die Verbindung zwischen den beiden Ausgängen 29 und 29' offen ist.

[0061] Die in Fig. 4 gezeigte Schaltungsvariante ist also nicht nur dazu in der Lage, das betreffende Maschinenteil zu überwachen, sondern sie überwacht sich auch selbst und insbesondere überwacht sie die elektrische Verbindung zu den beiden Sensoren 4 und 4'. Der Betrieb wird nur dann freigegeben, wenn beide Sensoren nach der Rückkehr des Relais 63 in den Ruhezustand ein Signal liefern, das unterhalb der jeweils gewählten Schaltschwelle an Eingängen 4, 4' des Sicherheitsschaltgerätes 1 liegt.

Ansprüche

1. Sicherheitsschaltgerät (1 ) zum Auswerten von an elektrischen Ausgängen von Sensoren (2, 2') abgegebenen Signalen zur Überwachung von Anlagenbetriebszuständen, mit zwei Eingängen (4, 4') von denen jeder an den Ausgang eines zugehörigen Sensors (2, 2') angeschlossen ist, dessen analoges oder digitales Ausgangssignal einen Ruhewert und einen Arbeitswert aufweist, sowie mit einer Schaltungsanordnung (9, 9', 11) zum Verknüpfen der beiden an den Eingängen (4, 4') eingespeisten Signale zu einem digitalen binären Ausgangssignal, dadurch gekennzeichnet, daß die Schaltungsanordnung zwei Zeitüberwachungsschaltungen (9, 9') aufweist, von denen jede ein eigenes Zeitfenster definiert, daß jede Zeitüberwachungsschaltung (9, 9') die Signale von den beiden Eingängen (4, 4') erhält und lediglich dann ein Signal an ihrem Ausgang (15, 15') abgibt, wenn die Signale an den Eingängen (4, 4') innerhalb des Zeitfensters gleichzeitig von dem Ruhewert auf den Arbeitswert wechseln, und daß eine Rückführungsschaltung (11) vorhanden ist, die das Signal an dem Ausgang (15, 15') jeder Zeitüberwachungsschaltung (9, 9') mit dem Signal von dem Eingang (4, 4'), der der jeweils anderen Zeitüberwachungsschaltung (9,9')zugeordnet ist, verknüpft und in einen Hilfseingang (14, 14') der Zeitüberwachungsschaltung (9, 9') einspeist, die dadurch in einen anderen Zustand umschaltet, in dem das Zeitfenster wirkungslos ist.

2. Sicherheitsschaltgerät nach Anspruch 1, dadurch gekennzeichnet, daß die beiden Zeitfenster im wesentlichen gleich sind.

3. Sicherheitsschaltgerät nach Anspruch 1, dadurch gekennzeichnet, daß zwischen dem Eingang (4, 4') des Sicherheitsschaltgerätes (1) und einem Eingang der Zeitüberwachungsschaltung (9, 9') ein Inverter (7, 7') geschaltet ist.

4. Sicherheitsschaltgerät nach Anspruch 1, dadurch gekennzeichnet, daß die Zeitüberwachungssschaltung (9, 9') einen Schaltkreis mit der Charakteristik eines nichtretriggerbaren Monoflops enthält, dessen Kippzeit die Dauer des Zeitfensters festlegt.

5. Sicherheitsschaltgerät nach Anspruch 5, dadurch gekennzeichnet, daß der Eingang des Schaltkreises (18) mit der Charakteristik eines nichtretriggerbaren Monoflops einen Eingang (12, 12') der Zeitüberchungsschaltung (9, 9') bildet, der sein Signal von dem der anderen Zeitüberwachungsschaltung (9, 9') zugeordneten Eingang (4, 4') des Sicherheitsschaltgerätes (1 ) erhält.

6. Sicherheitsschaltgerät nach Anspruch 4, dadurch gekennzeichnet, daß der Schaltkreis (18) mit der Charakteristik des nichtretriggerbaren Monoflops einen Ausgang aufweist, dessen Signal mit dem Signal an dem Eingang (4, 4') des Sicherheitsschaltgerätes (1) der der anderen Zeitüberwachungsschaltung (9, 9') zugeordnet ist, ODER-verknüpft ist.

7. Sicherheitsschaltgerät nach Anspruch 6 , dadurch gekennzeichnet, daß das aus der ODER-Verknüpfung (21) erhaltene Signal mit dem Signal von dem Eingang (4, 4'), der der jeweiligen Zeitüberwachungsschaltung (9,9' zugeordnet ist, UND-verknüpft ist.

8. Sicherheitsschaltgerät nach Anspruch 1, dadurch gekennzeichnet, daß die Rückführungsschaltung (11) zwei Relais (17, 17') enthält, deren Magnetwicklungen (16, 16') mit den Ausgängen (15, 15') der zugehörigen Zeitüberwachungsschaltung (9, 9') verbunden sind und die Arbeits- und Ruhekontakte (17a...17b') enthalten.

9. Sicherheitsschaltgerät nach Anspruch 8, dadurch gekennzeichnet, daß zumindest das Signal, das von einem der Eingänge (4, 4') des Sicherheitsschaltgerätes (1) in den entsprechenden Eingang (12, 12') der dem anderen Eingang (4, 4') zugeordneten Zeitüberwachungsschaltung (9., 9') eingespeist wird, über einen Ruhekontakt (17a, 17a') eines der Relais (17, 17') geführt ist.

10. Sicherheitsschaltgerät nach Anspruch 9 , dadurch gekennzeichnet, daß der Ruhekontakt (17a, 17a') zu dem Relais (17, 17') gehört, das an den Ausgang (15, 15') der anderen Zeitüberwachungsschaltung (9, 9') angeschlossen ist.

11. Sicherheitsschaltgerät nach Anspruch 8 , dadurch gekennzeichnet, daß das Signal von dem Eingang (4, 4'), der der einen Zeitüberwachungsschaltung (9, 9') zugeordnet ist, über einen Arbeitskontakt (17b, 17b') dem Hilfseingang (14, 14') der anderen Zeitüberwachungsschaltung (9, 9') zugeführt wird, an deren Ausgang (15, 15') das Relais (17, 17'), das zu dem betreffenden Arbeitskontakt gehört, angeschlossen ist.

12. Sicherheitsschaltgerät nach Anspruch 8 , dadurch gekennzeichnet, daß die beiden Relais (17,17') zwei Arbeits- oder zwei Ruhekontakte (28, 28') aufweisen, die hintereinander- bzw. parallelgeschaltet sind und deren Schaltzustand das Ausgangssignal des Sicherheitsschaltgerätes (1 ) repräsentiert.

13. Sicherheitsschaltgerät nach Anspruch 4 , dadurch gekennzeichnet, daß der Schaltkreis mit der Charakteristik eines nichtretriggerbaren Monoflops einen Kondensator (52, 52') enthält, der über einen Widerstand (53,53') mit dem Ausgang (8, 8') des Inverters für die andere Zeitüberwachungsschaltung (9, 9') verbunden ist, und daß an den Kondensator (52,52') die Relaiswicklung (16, 16') des der Zeitüberwachungsschaltung (9,9') zugehörigen Relais (17, 17') angeschlossen ist.

14. Sicherheitsschaltgerät nach Anspruch 13, dadurch gekennzeichnet, daß ein weiterer Eingang der Zeitüberwachungsschaltung (9, 9') über einen Widerstand (54, 54') mit dem Kondensator (52, 52') verbunden ist.

15. Sicherheitsschaltgerät nach Anspruch 13, dadurch gekennzeichnet, daß zur Verwirklichung der UND-Verknüpfung ein Ende der Relaiswicklung (16, 16') an den zugehörigen Kondensator (52, 52') und ihr anderes Ende an einen Schalttransistor (48, 48') angeschlossen ist, der sein Signal von dem betreffenden Eingang (4, 4') des Sicherheitsschaltgerätes (1) erhält.

16. Sicherheitsschaltgerät nach Anspruch 13, dadurch gekennzeichnet, daß das Ausgangssignal jedes Inverters (7, 7'), der an den Eingang (4, 4') des Sicherheitsschaltgerätes (1) angeschlossen ist, gleichzeitig die Ladespannung für den Kondensator (52, 52') der jeweils anderen Zeitüberwachungsschaltung (9, 9') darstellt.

17. Sicherheitsschaltgerät nach Anspruch 15, dadurch gekennzeichnet, daß dem Transistor (48, 48'), der mit der Relaiswicklung (16, 16') des der betreffenden Zeitüberwachungsschaltung (9, 9') zugeordneten Relais (17,17') verbunden ist, eingangsseitig mit einem Ausgang eines zweistufigen Transistorverstärkers (46,47,46',47') verbunden ist, dessen Betriebsspannung von der an dem Kondensator (52, 52') anliegenden Spannung gebildet ist.

18. Sicherheitsschaltgerät nach Anspruch 1, dadurch gekennzeichnet, daß jedem Eingang (4, 4') ein Analog-/Digital-Wandler vorgeschaltet ist.

19. Sicherheitsschaltgerät nach Anspruch 1 , dadurch gekennzeichnet, daß eine Anlaufschaltung (63, 64) vorhanden ist, die mit den beiden Eingängen (4, 4') verbunden ist und die bei auf dem Arbeitswert liegenden Wert des Eingangssignals in Abhängigkeit von der Spannungswiederkehr bei der Stromversorgung auf den Ruhewert umschaltet.

20. Sicherheitsschaltgerät nach Anspruch 19, dadurch gekennzeichnet, daß die beiden Eingänge (4, 4') über hochohmige Widerstände (68, 68') an einer Versorgungsspannung liegen, die bei aktivierter Anlaufschaltung (63, 64) den Eingängen (4, 4') eine dem Ruhewert des Signals an den Eingängen (4, 4') entsprechende Spannung zuführen.

Zeichnung