REDUNDANTES SICHERHEITSSYSTEM EINES FAHRZEUGES

Beschreibung

[0001] Die Erfindung betrifft ein redundantes Sicherheitssystem eines Fahrzeuges, insbesondere einer fahrbaren Arbeitsbühne, gemäß den Merkmalen des Oberbegriffes des Patentanspruchs 1. Ein derartiges redundantes Sicherheitssystem eines Fahrzeuges ist aus der EP-A-1 026 120 bekannt.

[0002] Sicherheitssysteme sind bei Fahrzeugen, insbesondere bei Arbeitsfahrzeugen wie fahrbaren Arbeitsbühnen oder dergleichen, bekannt. Bei diesen Sicherheitssystemen wird dann, wenn ein Betriebsparameter einen vorgegebenen Bereich verläßt oder einen bestimmten Sollwert erreicht, ein Warnhinweis oder sogar eine Gegensteuerung durchgeführt, um sicherheitskritische Zustände zu vermeiden. Bei den fahrbaren Arbeitsbühnen kann z. B. der Winkel des Hauptarmes oder auch die Belastung des Arbeitskorbes erfaßt werden, wobei bei einer Überschreitung z. B. der Winkel oder die Korblast durch entsprechende gegensteuernde Maßnahmen reduziert werden muß. Aus Sicherheitsgründen sind im Regelfall die Sensoren, die die Betriebsparameter erfassen, doppelt, d. h. redundant ausgeführt, so daß für den Fall, daß ein Sensor defekt ist oder ausfällt, auf das Signal des noch weiterhin zur Verfügung stehenden Sensors zurückgegriffen werden kann.

[0003] Dies hat jedoch verschiedene Nachteile:

[0004] Zum einen ist es erforderlich, daß für die Erfassung eines Betriebsparameters mindestens zwei baugleiche oder verschiedene Sensoren eingesetzt werden, so daß sich die Kosten für ein solches redundantes Sicherheitssystem erhöhen. Zum anderen ist es nicht möglich, bei einem korrekten Betriebsparameter auf ein fehlerhaftes Ausgangssignal des Sensors zu schließen, da bei bekannten Sicherheitssystemen ein Vergleich der Signale der beiden Sensoren nicht stattfindet. Denn wenn die von beiden Sensoren erfaßten physikalischen Werte oder die Signale der Sensoren beeinflußt werden (wenn beides Mal gleichzeitig die gleiche Manipulation vorgenommen wurde), entsteht ein sicherheitskritischer Zustand. Somit kann ein solches System manipuliert werden, so daß bei Vorliegen eines sicherheitskritischen Betriebsparameters der betreffende Sensor ein unkritisches Signal abgibt.

[0005] Der Erfindung liegt daher die Aufgabe zugrunde, ein redundantes Sicherheitssystem eines Fahrzeuges bereitzustellen, welches die eingangs geschilderten Nachteile nicht aufweist und damit sicherheitskritische Zustände wirksam verhindert werden können und ein Schutz vor Manipulationen gegeben ist.

[0006] Diese Aufgabe ist durch die Merkmale des Patentanspruchs 1 gelöst.

[0007] Erfindungsgemäß ist vorgesehen, daß wenigstens zwei Sensoren zur Erfassung unterschiedlicher Parameter ausgebildet und die Signale der wenigstens zwei Sensoren getrennt voneinander in der zumindest einen Steuereinheit verarbeitbar und auswertbar sind. Dies hat zum einen den Vorteil, daß zur Erfassung eines Betriebsparameters nur ein einziger Sensor benötigt wird, während - wie im folgenden ausgeführt - es durch den Einsatz von zwei Sensoren sichergestellt ist, sicherheitskritische Zustände zu vermeiden.

[0008] So wird aus dem von dem ersten Sensor erfaßten Signal, das einen ersten Betriebsparameter darstellt, ein erstes Ausgangssignal berechnet. Gleiches gilt für den zweiten Sensor, der einen anderen Betriebsparameter erfaßt und ein diesen Betriebsparameter darstellendes Ausgangssignal erzeugt bzw. in der Steuereinheit berechnet wird. Die zumindest zwei Sensoren können gleicher Bauart sein, sind aber in besonders vorteilhafter Weise wegen der Manipuliersicherheit unterschiedlicher Bauart. Aus den beiden Ausgangssignalen der beiden Sensoren, wobei auch mehr als zwei Sensoren und Betriebsparameter vorhanden und erfaßt werden können, wird in der Steuereinheit jeweils ein zu vergleichender Istwert für den jeweiligen Betriebsparameter berechnet. Das heißt, daß auf unterschiedliche Berechnungsweise auf Basis der Ausgangssignale von gleichartigen oder unterschiedlichen Sensoren für voneinander verschiedene Betriebsparameter ein vergleichbarer Istwert gebildet wird. Diese vergleichbaren Istwerte werden miteinander verglichen, so daß bei Abweichung voneinander auf einen Fehler geschlossen werden kann. Dadurch wird ein schadhafter Sensor, ein fehlerhaftes Signal oder eine Manipulation sofort festgestellt, da die beiden vergleichbaren Istwerte auf Grundlage unterschiedlicher Betriebsparameter und unterschiedlicher Berechnungsweise gebildet werden.

[0009] In Weiterbildung der Erfindung ist vorgesehen, daß zwei Steuereinheiten vorhanden sind, denen jeweils die Signale einer Gruppe von Sensoren zuführbar sind, wobei die Steuereinheiten die Signale ihrer Gruppe unabhängig von der anderen Gruppe verarbeiten und auswerten. Hierbei wird durch das Vorhandensein von wenigstens einem Sensor oder einer Gruppe von Sensoren an jeweils einer Steuereinheit in der jeweiligen Steuereinheit der vergleichbare Istwert berechnet und der anderen Steuereinheit zugeführt, so daß bei Abweichungen der vergleichbaren Istwerte auf einen Fehler festgestellt werden kann. Dabei muß nicht unbedingt ein Vergleich zwischen den Istwerten der beiden Steuereinheiten durchgeführt werden; denkbar ist auch, daß die vergleichbaren Istwerte mit abgespeicherten Sollwerten verglichen werden, d. h., daß dann, wenn der berechnete Istwert einen vorgegebenen Sollwert unter- oder überschreitet oder einen bestimmten Sollwertebereich verläßt oder einen vorgebbaren Sollwertebereich erreicht, zumindest eine Fehlermeldung erzeugt wird. Es ist also vorgesehen, daß beiden Steuereinheiten (Rechner) mit teilweise unterschiedlich erfaßten physikalischen Werten auf unterschiedliche Rechenwegen zu vergleichbaren Ergebnissen kommen und diese miteinander vergleichen.

[0010] Das Vorhandensein von zwei oder mehr Steuereinheiten hat darüber hinaus den Vorteil, daß z. B. bei der fahrbaren Arbeitsbühne die eine Steuereinheit in der Fahrerkabine des Fahrzeuges der Arbeitsbühne installiert ist, während sich die zweite Steuereinheit in dem Korb der Arbeitsbühne befindet. Damit kann für den Fall, daß ein sicherheitskritischer Zustand kurz vor dem Erreichen steht oder schon erreicht ist, sowohl in der Fahrerkabine des Fahrzeuges als auch im Korb die Fehlermeldung angezeigt werden. Neben der Erzeugung und Anzeige einer Fehlermeldung können auch Aktuatoren (Antriebselemente) des Fahrzeuges derart angesteuert werden, daß ein sicherheitsunkritischer Zustand eingenommen wird. Das kann beispielsweise bei der fahrbaren Arbeitsbühne bedeuten, daß der Neigungswinkel des Hauptarmes in die Richtung verändert wird, daß ein Umkippen des Fahrzeuges vermieden wird.

[0011] Ein redundantes Sicherheitssystem ist zwecks Erläuterung der Erfindung am Beispiel einer fahrbaren Arbeitsbühne im folgenden beschrieben und anhand der Figuren erläutert. Auf die Anwendung bei einer fahrbaren Arbeitsbühne ist die Erfindung jedoch nicht beschränkt, sondern kann allgemein bei Fahrzeugen bzw. Arbeitsfahrzeugen Anwendung finden.

[0012] Es zeigen:

Figur 1

eine erste Ausführungsform eines redundantes Sicherheitssystemes,

Figur 2

eine zweite Ausführungsform eines redundanten Sicherheitssystemes und

Figur 3

Anwendung des redundanten Sicherheitssytemes bei einer fahrbaren Arbeitsbühne.

[0013] Figur 1 zeigt eine erste Ausführung eines redundanten Sicherheitssystemes eines Fahrzeuges, insbesondere eines Arbeitsfahrzeuges, welches eine Steuereinheit 1 aufweist. Diese Steuereinheit 1 umfaßt eine Eingabeeinheit 2, über die von außen Einfluß auf die Steuereinheit 1 (beispielsweise zur Vornahme eines Updates) genommen werden kann. Weiterhin umfaßt die Steuereinheit 1 eine Anzeigeeinheit 3, über die Betriebsparameter, berechnete Werte oder den Zustand der Steuereinheit 1 Auskunft gegeben werden kann. Über die Anzeigeeinheit 3 ist auch beispielsweise die Abgabe der Fehlermeldung möglich. Weiterhin umfaßt die Steuereinheit 1 eine Recheneinheit 4 sowie eine Speichereinheit 5, wobei die Recheneinheit 4 die ihr zugeführten Signale verarbeiten und in Zusammenarbeit mit der Speichereinheit 5 auswerten und den vergleichbaren Istwert bzw. mehrere vergleichbare Istwerte erzeugen kann.

[0014] An der Steuereinheit 1 sind zumindest zwei Sensoren angeschlossen, die gleichartig oder voneinander verschieden sein können, jedoch unterschiedliche Betriebsparameter des Fahrzeuges erfassen. So ist in Figur 1 beispielsweise gezeigt, daß an der Steuereinheit 1 eine erste Gruppe von Sensoren 6 bis 9 sowie eine zweite Gruppe von Sensoren 10 bis 13 angeschlossen sind. Die Anzahl der Gruppen bzw. die Anzahl der Sensoren selber richtet sich nach den Betriebsparametern, die beim Betrieb des Fahrzeuges zu erfassen sind.

[0015] Zur Steuerung des Fahrzeuges sind weiterhin gleichartige oder voneinander verschiedene Aktuatoren erforderlich, die in Figur 1 als eine erste Gruppe von Aktuatoren 14 bis 16 und als eine zweite Gruppe von Aktuatoren 17, 18 beispielhaft gezeigt sind. Auch hier richtet sich die Anzahl der jeweiligen Aktuatoren bzw. der Gruppen nach den zu steuernden Komponenten des Fahrzeuges.

[0016] Die Steuereinheit 1 ist dazu ausgebildet, z. B. aus den Signalen der Sensoren 6 bis 9 der ersten Gruppe auf eine erste Berechnungsweise einen ersten Istwert zu erzeugen.

[0017] Ebenso sind die Sensoren 10 bis 13 der zweiten Gruppe dazu ausgebildet, weitere Betriebsparameter zu erfassen und auf eine andere Berechnungsweise als bei den Sensoren 6 bis 9 der ersten Gruppe einen weiteren Istwert zu berechnen, wobei allerdings beide berechneten Istwerte miteinander vergleichbar sind, d. h., einen Betriebsparameter oder einen fiktiven Parameter darstellen. Somit werden durch Erfassung unterschiedlicher, tatsächlicher Betriebsparameter auf zumindest zwei voneinander unterschiedlichen Berechnungsmethoden in der Steuereinheit 1 vergleichbare Zielparameter bzw. Istwerte berechnet, die direkt miteinander vergleichbar sind. Wird bei dem Vergleich festgestellt, daß eine Abweichung voneinander vorliegt oder auch daß eine Abweichung eines einzelnen Istwertes von einem beispielsweise in der Speichereinheit 5 abgespeicherten Sollwert vorliegt, kann über die Anzeigeeinheit 3 eine Fehlermeldung an die Bedienperson des Fahrzeuges abgegeben werden oder zumindest einer der Aktuatoren 14 bis 18 derart angesteuert werden, daß der augenblickliche Zustand beibehalten wird (Abschaltfunktion) oder wieder ein sicherheitsunkritischer Zustand erzielt wird. Die Art und Weise, wie der zumindest eine Aktuator angesteuert wird, wenn ein sicherheitskritischer Zustand erreicht wurde, kann in der Speichereinheit 5 ebenfalls abgespeichert werden.

[0018] Figur 2 zeigt eine weitere Ausführungsform eines redundanten Sicherheitssystemes, mit zwei Steuereinheiten, wobei eine jede Steuereinheit jeweils eine Anzeigen- und Bedienkonsole 100, 200 (die die Anzeigeeinheit 3 sowie die Eingabeeinheit 2 umfaßt) und jeweils eine Mobilsteuerung 101, 201 umfaßt. Die Anzeige- und Bedienkonsole 100, 200 ist über eine Datenübertragungsstrecke 19, 20 mit der Mobilsteuerung 101, 201 verbunden. Ebenso sind die beiden Steuereinheiten, insbesondere die Mobilsteuerungen 101 und 201, über eine Datenübertragungsstrecke 21 zwecks Datenaustausch miteinander verbunden. An den Mobilsteuerungen 101, 201 ist wieder wenigstens ein Sensor, inbesondere eine Gruppe von Sensoren 22, 23 (mindestens zwei), sowie zumindest ein Aktuator, insbesondere eine Gruppe von Aktuatoren 24, 25 angeschlossen. Das in Figur 2 gezeigte Sicherheitssystem arbeitet nach dem gleichen Prinzip, wie es schon bei dem Sicherheitssystem gemäß Figur 1 beschrieben wurde. Die Ausgestaltung des Sicherheitssystems gemäß Figur 2 hat jedoch den Vorteil, daß z. B. die Anzeigen- und Bedienkonsolen 100 und 200 einmal in der Fahrerkabine und einmal in dem Korb der Arbeitsbühne installiert sein können, um an diesen Stellen den Bedienpersonen die entsprechenden Hinweise, insbesondere die Fehlermeldungen, geben zu können. Das Vorhandensein der Mobilsteuerungen 101 bzw. 201 hat den Vorteil, daß z. B. die Betätigung des Korbes (das Herauf- und Herabfahren sowie die Auslenkung des Armes der Arbeitsbühne) von einer sich neben dem Fahrzeug oder in dem Korb befindenden Person ferngesteuert werden kann. Außerdem kann gegebenenfalls von der weiteren Mobilsteuerung aus in den Steuerprozeß eingegriffen werden. Die Steuerungen 100/101 können auch jeweils als eine Steuereinheit (analog zu der Steuereinheit 1 aus Figur 1) ausgebildet sein.

[0019] Während sich die Erfindung auf beliebige Fahrzeuge, insbesondere jedoch bevorzugt auf Arbeitsfahrzeuge bezieht, ist in Figur 3 eine bevorzugte Anwendung der Erfindung bei einer fahrbaren Arbeitsbühne 26 gezeigt. Auf einem fahrbaren Fahrzeugchassis 27 mit Fahrerkabine ist eine Drehbühne 28 installiert, über die an einem teleskopierbaren Hauptarm 29 sowie über einen bewegbaren Korbarm 30 ein Korb 31 angeordnet ist. Im Betrieb der Arbeitsbühne 26 ist der Hauptarm 29 mittels eines Hydraulikzylinders 32 in seinem Neigungswinkel einstellbar. Ebenso sind Mittel vorhanden, um die Drehbühne 28 relativ zu dem Fahrzeugchassis 27 in eine Drehbewegung zu versetzen. Bei diesen Mitteln, genauso wie bei dem Hydraulikzylinder 32 sowie Mitteln zur Verstellung der Lage des Korbes 31 handelt es sich um die in den Figuren 1 und 2 gezeigten Aktuatoren. Außerdem sind in Figur 3 diejenigen Betriebsparameter (wie beispielsweise Winkelhauptarm, Neigungswinkel Korbarm, Kraftsensor Korblast usw.) gezeigt, die von den Sensoren, die in Figur 1 und 2 gezeigt und beschrieben sind, erfaßt werden. Ebenso können als Betriebsparameter die Länge bzw. der Druck der Abstützung von Hydraulikstützpfeilern 33 erfaßt und ausgewertet werden, die im Betrieb der Arbeitsbühne 26 für die Stabilität erforderlich sind.

[0020] Es wird noch darauf hingewiesen, daß die Steuereinheit(en) so ausgebildet sein können, daß sie Prozesse überwachen und steuern können (zum Beispiel den Betrieb des Fahrzeuges) oder den Prozess nur überwachen und dann eingreifen (zum Beispiel durch Ansteuerung eines Aktuators), wenn ein sicherheitskritischer Zustand erreicht wurde oder vor dem Erreichen steht, um diesen zu verhindern. So könnte zum Beispiel das Ausfahren des Korbes 31 gestoppt werden (Abschaltfunktion), wenn eine Kippgefahr droht.

[0021] Bezogen auf die Figur 2 werden also zwei Sicherheitssysteme derart kombiniert, daß auf unterschiedliche Berechnungsweise mit teilweise unterschiedlichen Sensoren ein vergleichbares Ergebnis erzielt wird:

1. Weg:

[0022] Hauptarm und Korbarm, Länge des / der Teleskoparme. Daraus wird, wie bei einer Lastmomentbegrenzung (LMB) üblich, die Sicherheitsabschaltung und die Korblast berechnet.

2. Weg:

[0023] Erfassung von Last und Position des Arbeitskorbes: Aus den o.g. Länge(n) und Winkeln sowie der direkt gemessenen Korblast wird ebenfalls das Kippmoment berechnet.

[0024] Die Besonderheit liegt eben darin, daß die Kraftsensoren hierbei nicht redundant ausgeführt sind, sondern in Druckmessung und Kraftmessung aufgeteilt werden.
Beide Steuereinheiten können durch Datenaustausch sowohl die zur Abschaltung führende Auslastungsberechnung vergleichen als auch die direkt gemessenen (Geometrie) bzw. die rückgerechneten Werte (Korblast aus Geometrie und Druck) vergleichen.

[0025] Alternativ hierzu ist auch ein System denkbar, bei dem alle Größen nur einfach erfasst werden und nur berechnete und gemessene (Korb-) Last verglichen werden. Bei der Forderung nach sofortigem Erkennen von Einfachfehlern wird trotzdem jeder einzelne Sensor überwacht. Ein Fehler in Druckerfassung oder Längenmessung oder Winkelmessung führt unweigerlich zu einer fehlerhaften Berechnung der Last und damit wird durch direkten Vergleich mit dem Messwert der Kraftmessung ein Fehler erkannt.

[0026] Besonderer Vorteil dieses Systems gegenüber der direkten redundanten Erfassung und Berechnung gleichartiger Messgrößen:

• unterschiedliche Softwareabläufe, Vermeidung von gleichartigen Fehlern im Programm,
• unterschiedliche Sensoren bzgl. Kraft- / Druckerfassung in Position und Bauart,
• das System ist praktisch nicht durch Manipulation an einem Sensor negativ in bezug auf Abschaltsicherheit zu beeinflussen,
• bisherige Systeme sind relativ einfach manipulierbar zwecks "Erhöhung" von Reichweite oder Belastung des Korbes.

[0027] Weitere Signale zur betriebsartenabhängigen Verringerung von Reichweite / Traglast müssen beiden Steuereinheiten weiterhin soweit gefordert getrennt zur Verfügung gestellt werden. Die ist insbesondere der Drehbereich, erfasst über Drehwinkelgeber oder -schalter, sowie die Abstützbasis.

[0028] Weiterhin kann dieses Grundkonzept auch auf das Unterfahrzeug ausgeweitet werden. Aus den erfassten Werten für Moment und Radius oder Last und Position (Radius) und Leermoment ist eine Berechnung des Schwerpunktes der kompletten Aufbauten oberhalb des Schwenktisches möglich. Aus dieser Angabe und der durch Drehwinkel erfassten Position kann auf die auftretenden Stützkräfte rückgerechnet werden. Hierbei geht auch die durch Schalter oder analoge Geber gemessene Länge der Schiebeholme mit ein (horizontale Stützenposition).

[0029] Per Druckmessung an allen vier Stützen kann direkt die tatsächliche Stützkraft erfasst werden und direkt mit dem berechneten Wert verglichen werden. Somit ist eine Überprüfung eines nur einfach ausgeführten Drehwinkelgebers möglich. Einfachfehler bei Stützdruck, Stützlänge oder falsche Position im Drehbereich werden erkannt. Dadurch ist ein zusätzlicher Schutz gegen Umkippen durch Messung der Stützkraft gegeben. Zumindest bei Annäherung an den Grenzbereich (das Fahrzeug steht nominal nur noch auf 3 Stützen) werden Fehler in dieser Berechnung durch "Verspannungen" im Chassis beherrschbar.

Ansprüche

1. Redundantes Sicherheitssystem einer fahrbaren Arbeitsbühne (26), mit Sensoren (6 bis 13, 22, 23) zur Erfassung von Betriebsparametern der Arbeitsbühne (26), deren Signale zumindest einer Steuereinheit (1) zwecks Verarbeitung und Auswertung zuführbar sind, dadurch gekennzeichnet, dass zwei Steuereinheiten (1; 100, 101; 200, 201) vorhanden sind, denen jeweils die Signale zumindest eines Sensors, insbesondere einer Gruppe von Sensoren (22, 23), zuführbar sind, wobei die Steuereinheiten (1; 100, 101; 200, 201) die Signale ihres Sensors, insbesondere ihrer Gruppe von Sensoren unabhängig von der anderen Gruppe von Sensoren, verarbeiten und auswerten, wobei wenigstens zwei Sensoren zur Erfassung unterschiedlicher Betriebsparameter ausgebildet sind und die Signale der wenigstens zwei Sensoren, insbesondere der Gruppen von Sensoren, getrennt voneinander in den Steuereinheiten (1: 100, 101; 200, 201) verarbeitbar und zur Erzeugung vergleichbarer Istwerte auswertbar sind.

2. Redundantes Sicherheitssystem nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß die zumindest eine Steuereinheit (1; 100, 101; 200, 201) zum Vergleich der ausgewerteten Signale mit weiteren erfaßten Signalen und/oder vorgebbaren Signalen bzw. Signalbereichen ausgebildet ist.

3. Redundantes Sicherheitssystem nach Anspruch 2 oder 3, dadurch gekennzeichnet, daß die ausgewerteten Signale der einen Steuereinheit der weiteren Steuereinheit und/oder umgekehrt zuführbar sind.

4. Redundantes Sicherheitssystem nach Anspruch 3 oder 4, dadurch gekennzeichnet, daß Mittel zur Abgabe einer Fehlermeldung im Sinne eines Warnhinweises vorhanden sind, wenn der Vergleich der Istwerte voneinander abweicht oder ein Istwert von einem vorgebbaren Vergleichsergebnis abweicht.

5. Redundantes Sicherheitssystem nach Anspruch 3 oder 4, dadurch gekennzeichnet, daß Mittel zur Ansteuerung zumindest einen Aktuators vorhanden sind, wenn der Vergleich der Istwerte voneinander abweicht oder wenn der Vergleich eines Istwertes mit einem vorgebbaren Vergleichsergebnis abweicht.

6. Redundantes Sicherheitssystem nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die wenigstens zwei Sensoren unterschiedlicher Bauart sind.

Claims

1. Redundant safety system of a drivable working platform (26), with sensors (6 to 13, 22, 23) for detecting operational parameters of the working platform (26), whose signals can be supplied to at least one control unit (1) for processing and evaluation purposes, characterized in that two control units (1; 100, 101; 200, 201) are provided, to which in each case the signals of at least one sensor, in particular a group of sensors (22, 23), can be supplied, the control units (1; 100, 101; 200, 201) processing and evaluating the signals of their sensor, in particular their group of sensors, independently of the other group of sensors, at least two sensors for detecting different operational parameters being formed, and the signals of the at least two sensors, in particular the groups of sensors, being capable of being processed and evaluated, for the purpose of generating comparable actual values, separately from one another in the control units (1; 100, 101; 200, 201).

2. Redundant safety system according to Claim 1, characterized in that the at least one control unit (1; 100, 101; 200, 201) is designed to compare the evaluated signals with further detected signals and/or predeterminable signals or signal ranges.

3. Redundant safety system according to Claim 1 or 2, characterized in that the evaluated signals of the one control unit can be supplied to the other control unit and/or vice versa.

4. Redundant safety system according to Claim 2 or 3, characterized in that means for outputting a fault message in the sense of a warning are provided if there is a discrepancy in the comparison of the actual values or an actual value differs from a predeterminable comparison result.

5. Redundant safety system according to Claim 2 or 3, characterized in that means for driving at least one actuator are provided if there is a discrepancy in the comparison of the actual values or if there is a discrepancy in the comparison of an actual value with a predeterminable comparison result.

6. Redundant safety system according to one of the preceding claims, characterized in that the at least two sensors have different designs.

Revendications

1. Système de sécurité redondant d'une plate-forme de travail déplaçable (26), comprenant des capteurs (6 à 13, 22, 23) pour détecter des paramètres de fonctionnement de la plate-forme de travail (26), dont les signaux peuvent être acheminés à au moins une unité de commande (1) à des fins de traitement et d'analyse, caractérisé en ce qu'il est prévu deux unités de commande (1 ; 100 ; 101 ; 200, 201) auxquelles les signaux d'au moins un capteur, en particulier d'un groupe de capteurs (22, 23) peuvent à chaque fois être acheminés, les unités de commande
(1 ; 100 ; 101 ; 200, 201) traitant et analysant les signaux de leur capteur, notamment de leur groupe de capteurs indépendamment de l'autre groupe de capteurs, au moins deux capteurs étant réalisés pour détecter des paramètres de fonctionnement différents et les signaux des au moins deux capteurs, en particulier des groupes de capteurs, pouvant être traités séparément les uns des autres dans les unités de commande (1 ; 100 ; 101 ; 200, 201) et pouvant être analysés pour produire des valeurs réelles comparables.

2. Système de sécurité redondant selon la revendication 1, caractérisé en ce que l'au moins une unité de commande (1 ; 100 ; 101 ; 200, 201) est réalisée pour comparer les signaux analysés avec d'autres signaux détectés et/ou des signaux prédéfinissables ou des plages de signaux prédéfinissables.

3. Système de sécurité redondant selon la revendication 1 ou 2, caractérisé en ce que les signaux analysés d'une unité de commande peuvent être acheminés à l'autre unité de commande et/ou inversement.

4. Système de sécurité redondant selon la revendication 2 ou 3, caractérisé en ce que l'on prévoit des moyens pour émettre une communication d'erreur dans le sens d'un avertissement, lorsque la comparaison entre les valeurs réelles indique un écart entre elles, ou lorsqu'une valeur réelle s'écarte d'un résultat de comparaison prédéfinissable.

5. Système de sécurité redondant selon la revendication 3 ou 4, caractérisé en ce que l'on prévoit des moyens pour commander au moins un actionneur lorsque la comparaison des valeurs réelles indique un écart entre elles ou lorsque la comparaison d'une valeur réelle s'écarte d'un résultat de comparaison prédéfinissable.

6. Système de sécurité redondant selon l'une quelconque des revendications précédentes, caractérisé en ce que les au moins deux capteurs sont de type différent.

Zeichnung