MELDEGERÄT FÜR EINE SICHERHEITSSCHALTUNG

Beschreibung

[0001] Die vorliegende Erfindung betrifft einen Sensor (andere Bezeichnung: Meldegerät, Signalgeber) für eine Sicherheitsschaltung, mit einem Eingangsteil zum Aufnehmen einer externen Zustandsgröße, mit zumindest einem Schaltelement mit einem Eingang und einem Aus gang, und mit einem Steuerteil, der dazu ausgebildet ist, in Abhängigkeit von der externen Zustandsgröße das zumindest eine Schaltelement so anzusteuern, dass ein am Eingang anliegendes Signal zum Ausgang durchgeschaltet ist, also am Ausgang erscheint.

[0002] Die Erfindung betrifft ferner eine Sicherheitsschaltung zum sicheren Abschalten einer gefahrbringenden Anlage, mit einer Sicherheitssteuerung, die dazu ausgebildet ist, die Anlage fehlersicher abzuschalten, und mit einem ersten und zumindest einem zweiten Meldegerät der zuvor genannten Art, die in Reihe zueinander an die Sicherheitssteuerung angeschlossen sind.

[0003] Ein solches Meldegerät und eine solche Sicherheitsschaltung sind aus EP 1 363 306 A2 bekannt.

[0004] Die Betriebsabläufe von modernen technischen Anlagen, wie etwa industriellen Produktionsanlagen und Fertigungsstraßen, Transport- und Förderanlagen, Fahrgeschäften und dergleichen, werden zunehmend vollautomatisch gesteuert. Eine Betriebssteuerung erhält Soll- und Prozessgrößen der Anlage und bildet daraus mit Hilfe eines vorgegebenen Steuerprogramms Steuersignale, die Aktoren der Anlage betätigen. Neben der Steuerung des vorgesehenen Betriebsablaufs gewinnen Sicherheitsaspekte, d.h. die Vermeidung von Gefahren für Personen, die sich im Bereich der Anlage aufhalten, zunehmende Beachtung. Beispielsweise werden Anlagen, die automatisierte Bewegungen durchführen, heutzutage in aller Regel durch Schutzzäune, Lichtschranken, Trittmatten und dergleichen abgeschirmt. Des weiteren ist es bekannt, technische Anlagen mit Not-Aus-Tastern auszurüsten, bei deren Betätigung die Anlage (oder zumindest ein Teil davon) abgeschaltet oder anderweitig in einen gefahrlosen Zustand gebracht werden soll. Derartige sicherheitsrelevante Meldegeräte, die also rein für die Absicherung der Anlage relevante Zustandssignale erzeugen und bereitstellen, werden in aller Regel nicht mit der "normalen" Betriebssteuerung der Anlage ausgewertet, sondern einer sogenannten Sicherheitssteuerung oder in einfacheren Fällen einem sogenannten Sicherheitsschaltgerät zugeführt. Der Einfachheit halber wird im folgenden nicht weiter zwischen komplexer Sicherheitssteuerung und einfacherem Sicherheitsschaltgerät unterschieden, d.h. der Begriff "Sicherheitssteuerung" umfasst sowohl einfachere Sicherheitsschaltgeräte, wie sie beispielsweise von der vorliegenden Anmelderin unter der Bezeichnung PNOZ^® angeboten werden, als auch komplexe Sicherheitssteuerungen, wie etwa die SPS-basierte PSS^® der Anmelderin.

[0005] Sicherheitssteuerungen unterscheiden sich allerdings von "normalen" Betriebssteuerungen dadurch, dass sie durch Maßnahmen wie redundante Signalverarbeitungskanäle, regelmäßige Selbsttests und dergleichen eigenfehlersicher aufgebaut sind. Einfache Betriebssteuerungen besitzen zwar in gewissem Rahmen auch Fehlererkennungs- und Fehlervermeidungsmaßnahmen, diese sind jedoch in aller Regel nicht ausreichend, um das sichere Abschalten der Anlage unter allen Umständen zu gewährleisten. Zur Abgrenzung von "einfachen" Steuerungen und "einfachen" Meldegeräten betrifft die vorliegende Erfindung Meldegeräte, Sicherheitssteuerungen und daraus aufgebaute Sicherheitsschaltungen, die zumindest die Kategorie 3 der Europäischen Norm EN 954-1, bevorzugt die höchste Kategorie 4, oder vergleichbare Sicherheitsanforderungen erfüllen.

[0006] Die eingangs genannte EP 1 363 306 A2 beschreibt einen sogenannten Sicherheitsschalter, d.h. ein Meldegerät, zur Positionsüberwachung von Schutzgittern, Schutztüren, Maschinenverkleidungsteilen und ähnlichen Schutzeinrichtungen. Derartige Sicherheitsschalter besitzen einen Betätiger, mit dessen Hilfe die Öffnungs- oder Schließposition der Schutztür fehlersicher bestimmt werden kann. Bis heute sind derartige Sicherheitsschalter in der Praxis in aller Regel elektromechanisch aufgebaut und die erforderlichen Funktionstests und Fehlerüberwachungen, wie etwa Querschlusserkennung, werden von oder zumindest mit Hilfe der übergeordneten Sicherheitssteuerung durchgeführt. Entsprechende Sicherheitsschalter erhalten daher üblicherweise nur in Kombination mit der Sicherheitssteuerung eine Zulassung gemäß EN 954-1 oder vergleichbaren Normen.

[0007] Um für den Sicherheitsschalter selbst eine höhere Sicherheitskategorie zu ermöglichen, schlägt die EP 1 363 306 A2 vor, eine Sicherheitslogik in den Sicherheitsschalter zu integrieren, wie dies von Lichtschranken, Lichtgittern und anderen "intelligenten" Meldegeräten schon bekannt ist. In den beschriebenen Ausführungsbeispielen besitzen die vorgeschlagenen Sicherheitsschalter zwei zueinander redundante elektronische Schaltelemente, die von einem fehlersicheren Steuerteil angesteuert werden. Über die Schaltelemente wird ein externes Freigabesignal geschleift, das letztlich der übergeordneten Sicherheitssteuerung zugeführt ist. Das Freigabesignal kann damit von dem Steuerteil unterdrückt werden, was der Sicherheitssteuerung signalisiert, dass die überwachte Anlage in einen sicheren Zustand gebracht werden soll. Das Freigabesignal kann auch durch mehrere, in Reihe hintereinander geschaltete Sicherheitsschalter geschleift werden, so dass jeder dieser Sicherheitsschalter das Freigabesignal unterdrücken kann.

[0008] Eine solche Reihenschaltung von Meldegeräten wurde in der Praxis auch schon mit elektromechanischen Meldegeräten realisiert, wobei das Freigabesignal in diesen Fällen von der Sicherheitssteuerung erzeugt und über die in Reihe geschalteten Relaiskontakte der einzelnen Meldegeräte zurückgeschleift wurde.

[0009] Der in EP 1 363 306 A2 beschriebene Aufbau der Sicherheitsschalter ermöglicht eine schnelle Reaktion der übergeordneten Sicherheitssteuerung, selbst wenn eine größere Anzahl an Meldegeräten in Reihe zueinander an die Sicherheitssteuerung angeschlossen sind. Andererseits begrenzt das Durchschleifen des Freigabesignals die maximale räumliche Verteilung der in Reihe geschalteten Meldegeräte. Darüber hinaus ist aus Sicht der übergeordneten Sicherheitssteuerung die gesamte Reihe "tot", wenn eines der Meldegeräte das Freigabesignal unterdrückt, sei es aufgrund einer Veränderung des Betätigers (Öffnen der Schutztür oder ähnliches) oder aufgrund eines intern detektierten Funktionsfehlers. Die Flexibilität und Leistungsfähigkeit der beschriebenen Sicherheitsschalter geht damit nicht über das hinaus, was bereits seit langem mit vergleichbaren relaisbasierten Meldegeräten möglich ist.

[0010] DE 600 01 235 T2 offenbart ein Meldegerät und eine Sicherheitsschaltung mit einer Reihenschaltung von Meldegeräten, wobei das Meldegerät ein Näherungsschalter zum Überwachen einer Schutztür ist. Der Näherungsschalter besitzt einen Signaleingang, an dem ein digitales oder gepulstes Eingangssignal zugeführt werden kann. Er moduliert eine Hochfrequenzträgerwelle mit dem zugeführten Eingangssignal nach Art einer Amplitudenumtastung (Amplitude Shift Keying). Die modulierte Trägerwelle dient dazu, einen Betätiger anzuregen, der eine zweite amplitudenmodulierte Hochfrequenzträgerwelle mit einer anderen Frequenz erzeugt. Der Näherungsschalter kann die zweite amplitudenmodulierte Trägerwelle empfangen, wenn sich der Betätiger in der Nähe des Näherungsschalters befindet. Auf diese Weise kann er die Anwesenheit des Betätigers überwachen. Wenn der Näherungsschalter die zweite Trägerwelle empfängt, wird mithilfe einer Gleichrichterschaltung das digitale oder gepulste Modulationssignal rekonstruiert und über einen Inverter an einem Ausgang des Näherungsschalters zur Verfügung gestellt. Das Ausgangssignal des Näherungsschalters entspricht also dem invertierten Eingangssignal, sofern sich der Betätiger in der Nähe des Näherungsschalters befindet.

[0011] DE 100 11 211 AI offenbart ein Sicherheitsschaltgerätesystem, bei dem mehrere Sicherheitsschaltgeräte in Reihe zueinander angeordnet sind. EP 0 803 632 B1 offenbart eine Anordnung mit mehreren Sensoren, die parallel an eine Türsteuerung angeschlossen sind. Die Sensoren können Fehlerinformationen über die Anschlussleitung an die Türsteuerung übertragen. DE 102 16 226 A1 offenbart eine Vorrichtung zum fehlersicheren Abschalten eines elektrischen Verbrauchers in industriellen Produktionsanlagen. Sie besitzt ein erstes und zumindest ein zweites Sicherheitsschaltgerät. Das erste Sicherheitsschaltgerät weist eine erste Auswerte- und Steuereinheit, einen Ausgang und ein elektronisches Schaltelement auf, das in Abhängigkeit von der ersten Auswerte- und Steuereinheit ein potentialbezogenes Schaltsignal an dem Ausgang erzeugt. Das zweite Sicherheitsschaltgerät weist eine zweite Auswerte- und Steuereinheit sowie einen Eingang auf, der mit der zweiten Auswerte- und Steuereinheit und mit dem Ausgang des ersten Sicherheitschaltgerätes verbunden ist. Das erste und das zweite Sicherheitsschaltgerät sind hier über eine einkanalige Verbindungsleitung) miteinander verbunden und das zweite Sicherheitsschaltgerät weist zumindest zwei Eingangskreise auf, denen das potentialbezogene Schaltsignal des ersten Sicherheitsschaltgerätes redundant zueinander zugeführt ist.

[0012] Vor diesem Hintergrund ist es eine Aufgabe der vorliegenden Erfindung, einen Sensor der eingangs genannten Art anzugeben, der eine flexiblere Verwendung, insbesondere in einer Reihenanordnung ermöglicht.

[0013] Es ist ferner eine Aufgabe der Erfindung, eine Sicherheitsschaltung mit einer Reihenanordnung derartiger Sensoren anzugeben, die eine flexiblere Reaktion auf ein Meldeereignis ermöglicht.

[0014] Gemäß einem Aspekt der Erfindung werden diese Aufgaben durch einen Sensor nach Anspruch 1 und eine Sicherheitsschaltung nach den Anspruch 9 gelöst.

[0015] Schaltungstechnisch betrachtet unterscheidet sich das neue Meldegerät also von dem aus EP 1 363 306 A2 bekannten Sicherheitsschalter dadurch, dass ein Freigabesignal nicht mehr durch das zumindest eine Schaltelement hindurchgeschleift wird. Vielmehr wird das Freigabesignal nun in jedem Meldegerät neu erzeugt. Dabei berücksichtigt der Steuerteil eines stromabwärts liegenden, zweiten Meldegerätes einer Reihenschaltung allerdings das Ausgangssignal des vor ihm stromaufwärts liegenden Meldegerätes. Es ist damit leicht möglich, das Durchschleifen eines Freigabesignals durch mehrere Meldegeräte so nachzubilden, dass aus Sicht der übergeordneten Sicherheitssteuerung kein Unterschied erkennbar ist. Andererseits sind die einzelnen Meldegeräte in einer Reihenanordnung jedoch nicht "tot", wenn ein stromaufwärts liegendes Meldegerät das Freigabesignal unterdrückt hat. Aufgrund der Erfindung ist es möglich, dass ein stromabwärts liegendes Meldegerät anderen nachfolgenden Meldegeräten und/oder der übergeordneten Sicherheitssteuerung durch ein Datentelegramm oder dergleichen eine Nachricht zukommen lässt, die eine flexible Reaktion der gesamten Sicherheitsschaltung ermöglicht Dabei kann das Datentelegramm über die vorhandenen Anschlüsse übertragen werden, d.h. der Verdrahtungsaufwand ist trotz gestiegener Flexibilität gering.

[0016] Unabhängig davon übernimmt jedes Meldegerät aufgrund der neuen Verschaltung eine Repeater-Funktion, und es können daher erheblich größere Abstände zwischen den in Reihe zueinander angeordneten Meldegeräten realisiert werden. Auch dies ermöglicht eine flexiblere Anlagenplanung. Auch eine Gruppenabschaltung lässt sich aufgrund der neuen Funktionalität der Meldegeräte einfach realisieren, da jedes Meldegerät der Reihenanordnung unabhängig von den stromaufwärts liegenden Meldegeräten an seinem Ausgang ein Meldesignal erzeugen kann.

[0017] Die genannte Aufgabe ist daher vollständig gelöst.

[0018] In einer Ausgestaltung ist das zum Ausgang des zumindest einen Schaltelements durchgeschaltete Signal dem Steuerteil des Meldegerätes zugeführt.

[0019] Mit anderen Worten wird das Ausgangssignal des Schaltelements (und damit zumindest mittelbar auch das Ausgangssignal des Meldegerätes) auf den Steuerteil zurückgekoppelt. Der Steuerteil ist damit in der Lage, geräteinterne Funktionsfehler zu detektieren. Diese Ausgestaltung ist für sich genommen auch aus EP 1 363 306 A2 und auch seit langem von Lichtschranken und anderen "intelligenten" Meldegeräten und Sicherheitsschaltgeräten bekannt. Die Vorteile dieser Ausgestaltung kommen jedoch erst aufgrund der vorliegenden Erfindung voll zur Geltung, da jedes Meldegerät einer Reihenanordnung einen internen Funktionsfehler unabhängig von dem Zustand stromaufwärtsliegender Meldegeräte weitergeben kann.

[0020] In einer weiteren Ausgestaltung ist der Steuerteil des Meldegerätes dazu ausgebildet, einen geräteinternen Funktionsfehler zu detektieren und mit Hilfe des zumindest einen Schaltelements ein Datentelegramm an dessen Ausgang zu erzeugen.

[0021] Der besondere Vorteil liegt darin, dass das neue Meldegerät Diagnosedaten über die vorhandenen Anschlüsse an die übergeordnete Sicherheitssteuerung übertragen kann, d.h. es müssen keine zusätzlichen Anschlüsse und Leitungen zum Übertragen von Diagnosedaten bereitgestellt werden. Dementsprechend vereinfacht sich die Verdrahtung und sowohl beim Meldegerät als auch bei der Sicherheitssteuerung können Bauraum und Kosten für zusätzliche Anschlüsse eingespart werden.

[0022] In bevorzugten Ausgestaltungen ist das Datentelegramm ein Pulstelegramm, d.h. der Steuerteil schaltet das zumindest eine Schaltelement pulsweise an und aus.

[0023] Auf diese Weise können Nachrichten mit einem Informationsgehalt von mehreren Bits auf den vorhandenen Signalleitungen sehr kostengünstig und variabel übertragen werden. Damit ist die effiziente Weitergabe von sehr detaillierten Diagnoseinformationen möglich. Auch eine dem Meldegerät zugewiesene Adresse kann in dieser Ausgestaltung mit geringem Aufwand an die übergeordnete Steuerung übertragen werden, so dass die Sicherheitssteuerung jedes Meldegerät einer Reihenschaltung einzeln identifizieren kann.

[0024] In einer weiteren Ausgestaltung besitzt jedes Meldegerät zumindest zwei redundante Schaltelemente mit je einem Eingang und einem Ausgang, wobei jedes der zumindest zwei redundanten Schaltelemente eingangsseitig mit dem festen Potential belegt ist.

[0025] Diese für sich genommene bereits von Sicherheitssteuerungen bekannte Ausgestaltung besitzt in Kombination mit der vorliegenden Erfindung den Vorteil, dass das Meldegerät einen internen Funktionsfehler auf den vorhandenen Signalleitungen an die übergeordnete Sicherheitssteuerung melden kann, selbst wenn eines der Schaltelemente Ursache des Funktionsfehlers ist. Die bei den bekannten Sicherheitsschaltgeräten aus Sicherheitsgründen vorgesehene Redundanz führt hier also auch zu einer höheren Verfügbarkeit.

[0026] In einer weiteren Ausgestaltung besitzt das Meldegerät einen Eingang zum Zuführen einer Betriebsspannung, wobei die Betriebsspannung dem zumindest einen Schaltelement als festes Potential zugeführt ist.

[0027] Diese Ausgestaltung ist besonders vorteilhaft im Hinblick auf die oben beschriebene Repeater-Funktion des neuen Meldegerätes. Indem das zumindest eine Schaltelement eingangsseitig mit der Betriebsspannung verbunden ist, können große Strecken zwischen mehreren Meldegeräten einfach überbrückt werden.

[0028] In einer weiteren Ausgestaltung beinhaltet das Meldegerät einen beweglichen Betätiger, der zwischen einer ersten und zumindest einer zweiten Raumposition bewegbar ist, wobei die externe Zustandsgröße eine aktuelle Raumposition ist. In einer besonders bevorzugten Ausgestaltung ist der Betätiger ein Transponder.

[0029] In dieser Ausgestaltung ist das neue Meldegerät insbesondere ein Schutztürschalter, ein Not-Aus-Taster, ein End- oder Positionsschalter, ein Sensor für eine Trittmatte oder ein handbetätigter Start- oder Befehlstaster. Der Betätiger kann dabei in das Meldegerät integriert sein oder auch vom Meldegerät getrennt ausgeführt sein, wie dies beispielsweise bei Schutztürschaltern üblich ist. Die Anbindung des Betätigers an das Meldegerät kann optisch, induktiv, kapazitiv oder auf eine beliebige andere Weise erfolgen. Diese Ausgestaltung ist bevorzugt, weil es sich bei den genannten Meldegeräten um relativ einfache Komponenten handelt, die bislang praktisch keine eigene Signalverarbeitung besessen haben. Der erweiterte Funktionsumfang kommt daher bei diesen Meldegeräten besonders stark zur Geltung. Die Verwendung der vorliegenden Erfindung bei derartigen "einfachen" Meldegeräten kann zudem auch den Einsatz einer übergeordneten Sicherheitssteuerung für kleinere Anwendungsfälle überflüssig machen, indem das Meldegerät einen Aktor ohne zwischengeschaltete Sicherheitssteuerung über seine Ausgänge aktiviert.

[0030] Daher ist es in einer weiteren Ausgestaltung bevorzugt, wenn das neue Meldegerät einen Rückleseeingang zum Zuführen eines externen Rücklesesignals von einem Aktor besitzt.

[0031] Das Meldegerät dieser Ausgestaltung vereint damit die bislang getrennten Funktionen "Zustandsgröße erfassen" (Sensor) und "Anlage Abschalten" (Signalverarbeitung). Kleine sicherheitstechnische Anwendungen lassen sich damit sehr kostengünstig realisieren.

[0032] In einer weiteren Ausgestaltung ist der Eingangsteil dazu ausgebildet, eine physikalische Messgröße, insbesondere eine Drehzahl, eine Spannung und/oder einen Strom, als externe Zustandsgröße aufzunehmen.

[0033] Sensoren zum Aufnehmen derartiger Zustandsgrößen werden üblicherweise in einem Schaltschrank verbaut, während Not-Aus-Taster, End- oder Positionsschalter, Schutztürschalter und ähnliche Meldegräte üblicherweise an der Anlage installiert sind. Die zuvor erwähnten Vorteile lassen sich jedoch in gleicher Weise auch auf solche messenden Sensoren als Meldegeräte übertragen. Beispielsweise können mehrere Drehzahlwächter in der hier beschriebenen Weise in Reihe geschaltet werden, so dass sich mehrere bewegte Achsen einer Anlage sehr kostengünstig sicherheitstechnisch überwachen lassen.

[0034] Es versteht sich, dass die vorstehend genannten und die nachstehend noch zu erläuternden Merkmale nicht nur in der jeweils angegebenen Kombination, sondern auch in anderen Kombinationen oder in Alleinstellung verwendbar sind, ohne den Rahmen der vorliegenden Erfindung zu verlassen.

[0035] Ausführungsbeispiele der Erfindung sind in der Zeichnung dargestellt und werden in der nachfolgenden Beschreibung näher erläutert. Es zeigen:

Fig. 1

eine vereinfachte Darstellung einer Anlage, bei der ein Meldegerät gemäß der vorliegenden Erfindung zur Absicherung eingesetzt wird,

Fig. 2

eine schematische Darstellung eines Ausführungsbeispiels des neuen Meldegerätes,

Fig. 3

eine Sicherheitsschaltung mit zwei Meldegeräten der in Fig. 2 gezeigten Art in einer Reihenanordnung,

Fig. 4

eine Zeitdiagramm mit Signalverläufen beim Initialisieren einer Sicherheitsschaltung gemäß Fig. 3, und

Fig. 5

ein weiteres Ausführungsbeispiel eines neuen Meldegerätes.

[0036] In Fig. 1 ist eine Anlage, die mit Hilfe der Erfindung abgesichert wird, in ihrer Gesamtheit mit der Bezugsziffer 10 bezeichnet.

[0037] Die Anlage 10 beinhaltet hier einen Roboter 12, dessen automatisierte Bewegungen für eine Person (hier nicht dargestellt), die sich im Bewegungsbereich des Roboters 12 aufhalten würde, gefährlich wären. Daher ist der Bewegungsbereich des Roboters 12, wie an sich bekannt, mit einer Schutztür 14 und Schutzzäunen abgesichert. An der Schutztür 14 ist ein Betätiger 16 befestigt. An einem feststehenden Rahmen, an dem die Schutztür 14 in geschlossenem Zustand anliegt, befindet sich ein Sicherheitsschalter 18, allgemeiner also der feststehende Teil eines Meldegerätes gemäß der vorliegenden Erfindung. Der Sicherheitsschalter 18 ist über mehrere Leitungen mit einer Sicherheitssteuerung 20 verbunden. Die Sicherheitssteuerung 20 steuert ausgangsseitig zwei Schütze 22, 24, deren Kontakte die Stromversorgung 26 zum Roboter 12 unterbrechen können.

[0038] Die Anlage 10 ist hier vereinfacht dargestellt. Wie den einschlägigen Fachleuten bekannt ist, wird die Schutztür 14 in der Praxis üblicherweise mit zumindest zwei Sicherheitsschaltern 18 und entsprechenden Betätigern 16 ausgerüstet, wobei einer der Sicherheitsschalter häufig verdeckt angeordnet wird, um Manipulationen zu erschweren. Darüber hinaus enthält eine solche Anlage häufig weitere Meldegeräte, wie beispielsweise Not-Aus-Taster oder weitere Schutztürschalter (hier nicht gezeigt). Außerdem ist hier die erforderliche Betriebssteuerung für den Roboter 12 der Einfachheit halber nicht dargestellt. Um einen eingeschränkten Betrieb bei geöffneter Schutztür zu ermöglichen, können ein oder mehrere Drehzahlwächter (hier nicht gezeigt) mit den Antrieben und/oder den bewegten Achsen des Roboters verbunden sein.

[0039] Die Sicherheitssteuerung 20 kann in einem einfachen Szenario ein Sicherheitsschaltgerät sein, wie es von der Anmelderin unter der Bezeichnung PNOZ^® angeboten wird. Wenn zahlreiche sicherheitstechnische Meldegeräte zur Absicherung der Anlage 10 benötigt werden, ist es jedoch vorteilhaft, eine komplexere Sicherheitssteuerung einzusetzen, wie etwa die unter der Bezeichnung PSS^® von der Anmelderin vertriebenen Sicherheitssteuerungen. Zumindest im letztgenannten Fall besitzt die Sicherheitssteuerung 20 üblicherweise einen Feldbusanschluss und weitere Schnittstellen zur Kommunikation mit der hier nicht gezeigten Betriebssteuerung und/oder zur Kommunikation mit einem übergeordneten Leitrechner.

[0040] In dem bevorzugten Ausführungsbeispiel gemäß Fig. 2 ist der Sicherheitsschalter 18 zweikanalig-redundant aufgebaut. Dementsprechend besitzt der Sicherheitsschalter 18 hier zwei redundante Mikrocontroller 30, 32, die sich gegenseitig überwachen, was durch einen Doppelpfeil zwischen den Mikrocontrollern dargestellt ist. In bevorzugten Ausführungsbeispielen sind die Mikrocontroller unterschiedlich, d.h. der Sicherheitsschalter 18 ist diversitär aufgebaut.

[0041] Mit den Bezugsziffern 34, 36 sind zwei elektronische Schaltelemente bezeichnet, die hier als Feldeffekttransistoren dargestellt sind. Alternativ können jedoch auch bipolare Transistoren oder andere, vorzugsweise elektronische Schaltelemente eingesetzt werden.

[0042] Der Steueranschluss (Gate) des Schaltelements 34 ist mit dem Mikrocontroller 30 verbunden. Der Eingang 38 (Source) ist mit einer Leitung 40 verbunden, an der im Betrieb des Sicherheitsschalters 18 eine Betriebsspannung U_B anliegt. Der Ausgang 42 (Drain) ist mit einem Anschluss 44 verbunden, an dem der Sicherheitsschalter 18 extern verdrahtet werden kann. Damit bildet der Ausgang 42 des Schaltelements 34 ein Ausgangssignal des Sicherheitsschalters 18.

[0043] Das zweite Schaltelement 36 ist an seinem Steueranschluss (Gate) mit dem Mikrocontroller 32 verbunden. Sein Eingang 38 liegt über die Leitung 40 ebenfalls an Betriebsspannung U_B-Sein Ausgang 42 ist einem zweiten Ausgangsanschluss 46 des Sicherheitsschalters 18 zugeführt.

[0044] Die Signale an den Ausgängen 42 der Schaltelemente 34, 36 sind über zwei Spannungsteiler 48, 50 auf die Mikrocontroller 30, 32 zurückgekoppelt. Damit ist es den Mikrocontrollern 30, 32 möglich, den jeweiligen Schaltzustand der Schaltelemente 34, 36 zu überwachen.

[0045] Mit der Bezugsziffer 52 ist ein Eingangsteil bezeichnet, mit dessen Hilfe die Mikrocontroller 30, 32 den aktuellen Zustand des Betätigers 16, hier also seine Raumposition, bestimmen. In dem hier gezeigten, bevorzugten Ausführungsbeispiel ist der Betätiger 16 ein Transponder mit einem Signalerzeugungsschaltkreis 54 und einer Sende- und Empfangsspule 56. In dem Signalerzeugungsschaltkreis 54 ist eine individuelle Codierung 58 abgespeichert. Der Eingangsteil 52 besitzt eine Sende- und Empfangsspule (hier nur symbolisch dargestellt), über die er ein Abfragesignal aussendet. Sobald sich der Transponder 16 im Nahbereich des Eingangsteils 52 befindet (Schutztür geschlossen), wird der Signalerzeugungsschaltkreis 54 im Betätiger 16 aktiviert. Der Betätiger 16 sendet dann die abgespeicherte Codierung 58 an den Eingangsteil 52 zurück. Dort wird die Codierung 58 aus dem empfangenen Signal demoduliert und den Mikrocontrollern 30, 32 zur Verfügung gestellt.

[0046] Ist die Schutztür 14 hingegen geöffnet, befindet sich der Betätiger 16 außerhalb der Sende- und Empfangsreichweite des Eingangsteils 52, was in Fig. 2 bei der Position 16' dargestellt ist. In diesem Fall findet zwischen Betätiger 16 und Eingangsteil 52 keine Kommunikation statt. Die Mikrocontroller 30, 32 erhalten folglich keine Codierung, was als geöffnete Schutztür 14 interpretiert wird. Ist ein zweiter Schütztürschalter oder zumindest ein zweiter Betätiger (nicht dargestellt) vorhanden, kann auch ein Defekt des Betätigers 16 oder des Eingangsteils 52 erkannt werden.

[0047] In anderen Ausführungsbeispielen kann der Eingangsteil 52 für andere Arten von Betätigern ausgebildet sein. Dabei kann der Betätiger auch im Sicherheitsschalter 18 integriert sein. Beispielsweise könnte der Sicherheitsschalter 18 ein Not-Aus-Taster sein und der Betätiger wäre in diesem Fall der Stößel des Tasters. In weiteren Ausführungsbeispielen beinhaltet der Eingangsteil 52 induktive, kapazitive, optische oder anderweitige Sensoren zum Bestimmen einer aktuellen Position eines mechanisch beweglichen Betätigers. Darüber hinaus kann die Erfindung grundsätzlich auch bei Lichtschranken und anderen Meldegeräten angewendet werden, die zwischen zumindest zwei Zuständen unterscheiden. In weiteren Ausführungsbeispielen ist der Eingangsteil zur messenden Aufnahme einer physikalischen Zustandsgröße ausgebildet, wie weiter unten anhand Fig. 5 näher erläutert ist.

[0048] Eingangsseitig besitzt der Sicherheitsschalter 18 hier drei Anschlüsse 60, 62, 64, die jeweils als Sicherheitseingänge ausgebildet sind und redundant mit den beiden Mikrocontrollern 30, 32 verbunden sind. Über die Anschlüsse 60 bis 64 können den Mikrocontrollern 30, 32 externe Freigabesignale redundant zugeführt werden. Außerdem ist in an sich bekannter Weise ein Anschluss 66 zum Zuführen einer Betriebsspannung U_B und ein Masseanschluss 68 vorhanden. Es versteht sich, dass die genannten Anschlüsse jeweils an der Außenseite eines Gehäuses 70 des Sicherheitsschalters 18 zugänglich sind.

[0049] In Fig. 3 ist eine Sicherheitsschaltung mit zwei der beschriebenen Sicherheitsschalter 18 in ihrer Gesamtheit mit der Bezugsziffer 80 bezeichnet. Im übrigen bezeichnen gleiche Bezugszeichen dieselben Elemente wie zuvor. Die beiden Sicherheitsschalter sind zur gegenseitigen Unterscheidung mit 18a und 18b bezeichnet.

[0050] Der Sicherheitsschalter 18a ist an seinen Anschlüssen 60, 62 mit Ausgängen der Sicherheitssteuerung 20 verbunden, an denen zwei Taktsignale unterschiedlicher Frequenz und/oder Phase anliegen, so dass eine Querschlusserkennung sowohl im Sicherheitsschalter 18a als auch (durch Rücklesen, hier nicht gezeigt) in der Sicherheitssteuerung 20 möglich ist. Außerdem ist der Sicherheitsschalter 18a an den Anschlüssen 66, 68 mit Betriebsspannung U_B bzw. Masse verbunden. Ausgangsseitig sind die Anschlüsse 44, 46 des Sicherheitsschalters 18a auf die Anschlüsse 60, 62 des nachfolgenden Sicherheitsschalters 18b geführt. Die beiden Sicherheitsschalter 18a, 18b sind also in Reihe zueinander angeordnet. Betriebsspannung erhält der Sicherheitsschalter 18b in der gezeigten Anordnung ebenfalls vom Sicherheitsschalter 18a. Alternativ hierzu könnte der Sicherheitsschalter 18b jedoch auch mit einer anderen Quelle für die Betriebsspannung U_B verbunden sein.

[0051] Die beiden Ausgangssignale des Sicherheitsschalters 18b, d.h. die an dessen Anschlüssen 44, 46 anliegenden Signale, sind Sicherheitseingängen der Sicherheitssteuerung 20 zugeführt. Ausgangsseitig ist die Sicherheitssteuerung 20 zwischen die Stromversorgung 26 und einen abzuschaltenden Antrieb 82, beispielsweise einen Stellantrieb des Roboters 12, geschaltet. Außerdem ist hier schematisch dargestellt, dass die Sicherheitssteuerung 20 über einen Feldbus 84 mit einer Betriebssteuerung 86 für den Roboter 12 und/oder einem übergeordneten Leitrechner verbunden ist. Die zu den Sicherheitsschaltern 18a, 18b gehörenden Betätiger sind aus Gründen der Übersichtlichkeit in Fig. 3 nicht gezeigt.

[0052] Die Funktionsweise der Sicherheitsschaltung 80 ist wie folgt:

[0053] Nach der Inbetriebnahme erzeugt die Sicherheitssteuerung 20 an ihren Ausgängen zwei Taktsignale 88, 90, die dem Sicherheitsschalter 18a als Freigabesignale zugeführt sind. Die Mikrocontroller 30, 32 des Sicherheitsschalters 18a überwachen mit Hilfe des Eingangsteils 52 den aktuellen Zustand des zugehörigen Betätigers. Befindet sich der Betätiger im Bereich des Eingangsteils 52 und werden die Freigabesignale 88, 90 einwandfrei empfangen, erzeugen die Mikrocontroller 30, 32 mit Hilfe der Schaltelemente 34, 36 zwei Ausgangssignale, die den Freigabesignalen 88, 90 nachgebildet sind. Sie könnten sich jedoch auch von den Taktsignalen 88, 90 unterscheiden, beispielsweise hinsichtlich ihrer Frequenz. Der zweite Sicherheitsschalter 18b empfängt die nachgebildeten Freigabesignale und bildet diese seinerseits am Ausgang nach, wenn er ebenfalls eine geschlossene Schutztür und einwandfreie Funktion feststellt. Die Sicherheitssteuerung 20 erhält die nachgebildeten Freigabesignale über die Leitungen 92, 94.

[0054] Wenn nun der Sicherheitsschalter 18a das Öffnen der ihm zugeordneten Schutztür detektiert, d.h. wenn der zugeordnete Betätiger seinen Zustand wechselt, öffnen die Mikrocontroller 30, 32 die Schaltelemente 34, 36. Der nachfolgende Sicherheitsschalter 18b erhält folglich nicht mehr die nachgebildeten Freigabesignale. Dies wird von den Mikrocontrollern im Sicherheitsschalter 18b erkannt und durch Abschalten der Schaltelemente 34, 36 an die Sicherheitssteuerung 20 gemeldet. Diese kann daraufhin den Antrieb 82 abschalten.

[0055] In gleicher Weise erfolgt der Signalfluss, wenn der Sicherheitsschalter 18a einen Funktionsfehler detektiert, beispielsweise einen Querschluss an den eingangs- oder ausgangsseitigen Anschlüssen, ein Durchlegieren eines der Schaltelemente 34, 36 oder einen sonstigen Funktionsfehler. Nach einer kurzen Wartezeit, die in den Mikrocontrollern aller Sicherheitsschalter 18a, 18b und der Sicherheitssteuerung 20 hinterlegt ist, erzeugt der Sicherheitsschalter 18a ein Datentelegramm 96 auf zumindest einer seiner Ausgangsleitungen, indem er zumindest eines der Schaltelemente 34, 36 pulsweise schließt und wieder öffnet. Der nachfolgende Sicherheitsschalter 18b empfängt dieses Datentelegramm und gibt es an die Sicherheitssteuerung 20 in gleicher Weise weiter. Bei Bedarf kann er auch weitere Informationen in das Datentelegramm 96 integrieren.

[0056] In einem Ausführungsbeispiel ist das Datentelegramm 96 wie bei einer asynchronen, seriellen Schnittstelle realisiert, d.h. es beginnt mit einem definierten Startbit und endet mit einem definierten Stoppbit. Dazwischen liegt eine beliebige oder festgelegte Anzahl an Datenbits. In einem anderen Ausführungsbeispiel beinhaltet jedes Datentelegramm 96 eine festgelegte Anzahl an Impulsen mit definierter Impulsdauer. Die Bedeutung jedes einzelnen Impulses hängt von dem Protokoll ab, das zwischen den Sicherheitsschaltern 18 und der Sicherheitssteuerung 20 festgelegt ist.

[0057] In gleicher Weise erzeugt der Sicherheitsschalter 18b ein eigenes Datentelegramm 96, wenn er seinerseits einen Funktionsfehler feststellt. Im Unterschied zu der bekannten Anordnung kann der Sicherheitsschalter 18b seine Datentelegramme unabhängig davon erzeugen, ob der Sicherheitsschalter 18a die Schaltelemente 34, 36 geöffnet oder geschlossen hat.

[0058] Hier beinhalten die Datentelegramme der Sicherheitsschalter 18a, 18b eine Adressinformation, die denjenigen Sicherheitsschalter identifiziert, der eine Information an die übergeordnete Sicherheitssteuerung 20 melden möchte. Die jeweilige Adresse kann den Sicherheitsschalter 18a, 18b auf verschiedene Weise zugeordnet werden. Beispielsweise kann jeder Sicherheitsschalter 18a, 18b mit einem mehrstufigen Adresswahlschalter (hier nicht gezeigt) versehen sein, an dem die zugeordnete Adresse eingestellt wird. In einem anderen Ausführungsbeispiel verwenden die Sicherheitsschalter 18a, 18b als Adresse jeweils die Codierung 58 der ihnen zugeordneten Betätiger 16.

[0059] In einem weiteren Ausführungsbeispiel wird den in Reihe geschalteten Sicherheitsschaltern 18a, 18b in einem Initialisierungsmodus nach Inbetriebnahme der Sicherheitsschaltung 80 eine Adresse zugewiesen. Ein bevorzugtes Verfahren, wie diese Adresszuweisung erfolgt, ist anhand Fig. 4 dargestellt.

[0060] Fig. 4 zeigt die Signaldiagramme für diesen Initialisierungsmodus. Die oberste Impulsfolge 100 ist das Einschalten der Betriebsspannung U_B für sämtliche Komponenten der Sicherheitsschaltung 80. Bei Bezugsziffer 102 ist das Signal am ersten Taktausgang der Sicherheitssteuerung 20, d.h. das Signal auf der Leitung 88 dargestellt. Bei Bezugsziffer 104 ist das Signal am zweiten Taktausgang der Sicherheitssteuerung 20, d.h. das Signal auf Leitung 90 dargestellt. Der erste Sicherheitsschalter 18 erhält also nach dem Einschalten der Betriebsspannung U_B an seinem Eingang 60 ein Dauer-High und an seinem Eingang 62 einen einzelnen Impuls. Sobald er diesen erkennt, bildet er das an seinem Anschluss 60 anliegende Signal (Dauer-High) an seinem Ausgang 44 nach (Bezugsziffer 106). Nach einer Wartezeit T erzeugt er dann an seinem Ausgang 46 zwei Impulse, wie bei Bezugsziffer 108 dargestellt. Die Wartezeit T dient zum Erkennen, ob weitere Impuls eingangsseitig empfangen werden.

[0061] Das zweite Sicherheitsschaltgerät 18b empfängt an seinen Eingängen 60, 62 die Signale 106, 108 und bildet diese an seinen Ausgängen 44, 46 nach. Dabei fügt es den Einzelimpulsen 108, die es am Anschluss 62 empfängt, einen weiteren Einzelimpuls hinzu. An den Ausgängen des zweiten Sicherheitsschalters 18b liegen folglich die Impulsfolgen an, die bei den Bezugsziffern 110, 112 dargestellt sind. In gleicher Weise würden weitere Sicherheitsschaltgeräte 18c, 18d etc. (in Fig. 3 nicht dargestellt) auf der einen Signalleitung ein Dauer-High nachbilden (Bezugsziffer 114) und auf der zweiten Signalleitung eine Impulsfolge, und jeder Sicherheitsschalter würde die Impulsfolge um einen Impuls erhöht.

[0062] Am Ende der Kette erhält die Sicherheitssteuerung 20 die Signale gemäß den Bezugsziffern 114, 116. Aus dem Signal 114 erkennt die Sicherheitssteuerung 20, dass die Verdrahtung des Kanals A stimmt. Aus der Impulsfolge 116 erkennt die Sicherheitssteuerung 20, dass die Verdrahtung des Kanals B stimmt. Außerdem kann sie die Anzahl der in Reihe angeordneten Sicherheitsschalter 18a, 18b etc. aus der Anzahl der Impulse (minus 1) bestimmen. In gleicher Weise kann jeder Sicherheitsschalter 18a, 18b seine Adresse aus der Anzahl der empfangenen Impulse erkennen. Auf diese Weise kann beim Einschalten der Sicherheitsschaltung 80 eine individuelle Adresse an jeden in Reihe angeordneten Sicherheitsschalter automatisch zugewiesen werden. Wird die Sicherheitsschaltung 80 später verändert, erfolgt eine erneute und korrekte Adresszuordnung an die dann vorhandene Konfiguration automatisch beim Wiedereinschalten.

[0063] Die Flexibilität der neuen Meldegeräte wird hier noch weiter durch den bislang nicht erläuterten Eingangsanschluss 64 erhöht. Dieser Anschluss kann verwendet werden, um ein externes Rückkopplungssignal in den Sicherheitsschalter 18 einzuspeisen. Damit ist es beispielsweise möglich, dass der Sicherheitsschalter 18 einen Schütz mit zwangsgeführten Kontakten eigenständig, d.h. ohne ein bislang übliches Sicherheitsschaltgerät oder eine entsprechende Sicherheitssteuerung ansteuert. Es genügt, wenn der zwangsgeführte Öffnerkontakt des Schützes auf den Rückkoppeleingang 64 des Sicherheitsschalters 18 geführt ist.

[0064] In weiteren Ausführungsbeispielen besitzen Meldegeräte, wie der gezeigte Sicherheitsschalter 18, einen weiteren Eingangsanschluss zum Anlegen eines Startsignals. Damit ist es ohne die bislang übliche Sicherheitssteuerung möglich, auch einen überwachten Wiederanlauf der Anlage zu realisieren.

[0065] Des weiteren kann die jeweilige Funktion der Meldegeräte 18 über den Eingangsanschluss 64 parametriert werden, wie dies beispielsweise in DE 100 16 712 A1 beschrieben ist. Außerdem kann eine Parametrierung von außen mit Hilfe unterschiedlicher Transpondercodierungen erfolgen.

[0066] Fig. 5 zeigt ein Ausführungsbeispiel eines neuen Meldegerätes 100 als Drehzahlwächter. Gleiche Bezugszeichen bezeichnen dabei dieselben Elemente wie zuvor.

[0067] Das Meldegerät 100 unterscheidet sich von dem Meldegerät 18 aus Fig. 2 im wesentlichen in Bezug auf den Eingangsteil 102, der hier im Unterschied zum Eingangsteil 52 zum messtechnischen Erfassen einer Drehzahl ausgebildet ist. Die Drehzahlerfassung erfolgt in diesem Ausführungsbeispiel geberlos, indem der Eingangsteil 102 die Motorspannungen eines Drehantriebes 104 abgreift und hinsichtlich ihrer Frequenz auswertet. In einer besonderen Ausführung ist das Meldegerät 100 als Stillstandswächter ausgebildet, d.h. es überwacht das Erreichen und die Einhaltung einer Drehzahl Null. Dies kann geschehen, indem der Eingangsteil 102 die vom auslaufenden Drehantrieb 104 erzeugten Generatorspannungen abgreift und überwacht, wie dies an sich von Stillstandswächtern für sicherheitstechnische Anwendungen bekannt ist.

[0068] In weiteren Ausführungsbeispielen erfasst der Eingangsteil 102 eine Spannung, einen Strom oder eine andere physikalische Größe messtechnisch und die Mikrocontroller steuern die Schaltelemente 34, 36 in Abhängigkeit von der erfassten Größe, insbesondere in Abhängigkeit davon, dass die erfasste Größe einen vorgegebenen Sollwert einhält.

Ansprüche

1. Sensor für eine Sicherheitsschaltung, mit einem Eingangsteil (52) zum Aufnehmen einer externen Zustandsgröße, mit zumindest einem Schaltelement (34, 36) mit einem Eingang (38) und einem Ausgang (42), und mit einem Steuerteil (30, 32), der dazu ausgebildet ist, in Abhängigkeit von der externen Zustandsgröße das zumindest eine Schaltelement (34, 36) so anzusteuern, dass ein am Eingang (38) anliegendes Signal zum Ausgang (42) durchgeschaltet ist, wobei der Eingang (38) des Schaltelements (34, 36) intern mit einem festen Potential, vorzugsweise einem High-Potential (U_B), belegt ist, ferner mit zumindest einem redundanten Sicherheitseingang (60, 62) für ein externes Freigabesignal (88, 90), das dem Steuerteil (30, 32) zugeführt ist, wobei der Steuerteil (30, 32) das zumindest eine Schaltelement (34, 36) auch in Abhängigkeit von dem Freigabesignal (88, 90) ansteuert, und wobei der Steuerteil (30, 32) dazu ausgebildet ist, einen geräteinternen Funktionsfehler zu detektieren und mit Hilfe des zumindest einen Schaltelements (34, 36) ein Datentelegramm (96) an dessen Ausgang (42) zu erzeugen.

2. Sensor nach Anspruch 1, dadurch gekennzeichnet, dass das zum Ausgang (42) des zumindest einen Schaltelements (34, 36) durchgeschaltete Signal dem Steuerteil (30, 32) zugeführt ist.

3. Sensor nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass das Datentelegramm ein Pulstelegramm ist.

4. Sensor nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass zumindest zwei redundante Schaltelemente (34, 36) mit je einem Eingang (38) und je einem Ausgang (42) vorhanden sind, wobei jedes der zumindest zwei redundanten Schaltelemente (34, 36) eingangsseitig mit dem festen Potential belegt ist.

5. Sensor nach einem der Ansprüche 1 bis 4, gekennzeichnet durch einen Eingang (66) zum Zuführen einer Betriebsspannung (U_B), wobei die Betriebsspannung dem zumindest einen Schaltelement (34, 36) als festes Potential zugeführt ist.

6. Sensor nach einem der Ansprüche 1 bis 5, gekennzeichnet durch einen beweglichen Betätiger (16), der zwischen einer ersten und zumindest einer zweiten Raumposition (16') bewegbar ist, insbesondere einen Transponder, wobei die externe Zustandsgröße eine aktuelle Raumposition des Betätigers (16) ist.

7. Sensor nach einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, dass der Eingangsteil (52) dazu ausgebildet ist, eine physikalische Messgröße, insbesondere eine Drehzahl, eine variable Spannung und/oder einen variablen Strom, als externe Zustandsgröße aufzunehmen.

8. Sensor nach einem der Ansprüche 1 bis 7, gekennzeichnet durch einen Rückleseeingang (64) zum Zuführen eines externen Rücklesesignals von einem Aktor (22, 24).

9. Sicherheitsschaltung zum sicheren Abschalten einer gefahrbringenden Anlage (10), mit einer übergeordneten Sicherheitssteuerung (20), die dazu ausgebildet ist, die Anlage (10) fehlersicher abzuschalten, und mit einem stromaufwärts liegenden ersten und zumindest einem stromabwärts liegenden zweiten Sensor (18a, 18b), die in Reihe zueinander an die übergeordnete Sicherheitssteuerung (20) angeschlossen sind, wobei jeder Sensor (18a, 18b) einen Eingangsteil (52) zum Aufnehmen einer externen Zustandsgröße, zumindest zwei redundante Schaltelemente (34, 36) mit je einem Eingang (38) und je einem Ausgang (42) sowie einen Steuerteil (30, 32) besitzt, der dazu ausgebildet ist, in Abhängigkeit von der externen Zustandsgröße die zumindest zwei redundanten Schaltelemente (34, 36) so anzusteuern, dass ein am Eingang (38) anliegendes Signal zum Ausgang (42) durchgeschaltet ist, wobei der Eingang (38) der zumindest zwei Schaltelemente (34, 36) in jedem Sensor intern jeweils mit einem festen Potential, vorzugsweise einem High-Potential, belegt ist, wobei dem Steuerteil (30, 32) des ersten Sensors (18a) von der übergeordneten Sicherheitssteuerung (20) zwei Taktsignale als Freigabesignale (88, 90) zugeführt sind, wobei der Steuerteil (30, 32) des ersten Sensors (18a) die zumindest zwei Schaltelemente (34, 36) des ersten Sensors (18a) auch in Abhängigkeit von den zwei Freigabesignalen (88, 90) ansteuert, wobei der jeweilige Ausgang (42) der zumindest zwei Schaltelemente (34, 36) in dem ersten Sensor (18a) dem Steuerteil (30, 32) des zweiten Sensors (18b) zugeführt ist, und wobei der Steuerteil (30, 32) des zweiten Sensors (18b) die zumindest zwei Schaltelemente (34, 36) des zweiten Sensors (18b) auch in Abhängigkeit von dem ersten Sensor (18a) ansteuert, wobei ein Durchschleifen der Freigabesignale (88, 90) durch mehrere Sensoren (18a, 18b) zur Sicherheitssteuerung (12) so nachgebildet wird, dass aus Sicht der übergeordneten Steuerung (20) kein Unterschied erkennbar ist, indem die Freigabesignale (88, 90) nicht durch die Schaltelemente (34, 36) durchgeschleift werden, sondern in jedem Sensor (18a, 18b) neu erzeugt werden, wobei der Steuerteil (30, 32) des zweiten Sensors (18b) die Ausgangssignale des ersten Sensors (18a) berücksichtigt.

10. Sicherheitsschaltung nach Anspruch 9, dadurch gekennzeichnet, dass der Steuerteil (30, 32) in jedem Sensor (18a, 18b) dazu ausgebildet ist, einen geräteinternen Funktionsfehler zu detektieren und mit Hilfe von zumindest einem der Schaltelemente (34, 36) ein Datentelegramm (96) an dessen Ausgang (42) zu erzeugen.

Claims

1. A sensor for a safety circuit, comprising an input part (52) for receiving an external state variable, comprising at least one switching element (34, 36) having an input (38) and an output (42), and comprising a control part (30, 32) designed to control the at least one switching element (34, 36) as a function of the external state variable, such that a signal applied to the input (38) is communicated to the output (42), wherein the input (38) of the switching element (34, 36) is internally connected to a fixed potential, preferably a fixed High potential (U_B), further comprising a redundant safety input (60, 62) for an external enable signal (88, 90) which is supplied to the control part (30, 32), the control part (30, 32) also controlling the at least one switching element (34, 36) as a function of the enable signal (88, 90), and wherein the control part (30, 32) is designed to detect a device-internal fault condition and to use the at least one switching element (34, 36) to produce a data message (96) at its output (42).

2. The sensor of claim 1, characterized in that the signal communicated to the output (42) of the at least one switching element (34, 36) is supplied to the control part (30, 32).

3. The sensor of claim 1 or 2, characterized in that the data message is a pulse message.

4. The sensor of one of claims 1 to 3, characterized by at least two redundant switching elements (34, 36) each having a respective input (38) and a respective output (42), with each of the at least two redundant switching elements (34, 36) having the fixed potential applied to its input.

5. The sensor of one of claims 1 to 4, characterized by an input (66) for supplying an operating voltage (U_B), the operating voltage being supplied to the at least one switching element (34, 36) as the fixed potential.

6. The sensor of one of claims 1 to 5, characterized by a moveable control element (16) which can move between a first and at least one second spatial position (16'), particularly a transponder, the external state variable being a present spatial position of the control element (16).

7. The sensor of one of claims 1 to 6, characterized in that the input part (52) is designed to pick up a physical measured variable, particularly a rotational speed, a variable voltage and/or a variable current, as external state variable.

8. The sensor of one of claims 1 to 7, characterized by a feedback input (64) for supplying an external feedback signal from an actuator (22, 24).

9. A safety arrangement for safely turning off a hazardous installation (10), comprising a superordinate safety controller (20) designed to turn off the installation (10) in a failsafe fashion, and comprising an upstream first and at least one downstream second sensor (18a, 18b) which are connected in series with one another to the superordinate safety controller (20), with each sensor (18a, 18b) comprising an input part (52) for receiving an external state variable, at least two redundant switching elements (34, 36) each having an input (38) and an output (42), and a control part (30, 32) designed to control the at least two switching elements (34, 36) as a function of the external state variable, such that a signal applied to the input (38) is communicated to the output (42), wherein the input (38) of the at least two switching elements (34, 36) in each sensor is internally connected to a respective fixed potential, preferably a High potential, wherein the control part (30, 32) of the first sensor (18a) is supplied with two clock signals from the superordinate safety controller (20) as enable signals (88, 90), wherein the control part (30, 32) of the first sensor (18a) controls the at least two switching elements (34, 36) of the first sensor (18a) also as a function of the two enable signals (88, 90), wherein the respective output (42) of the at least two switching elements (34, 36) in the first sensor (18a) is supplied to the control part (30, 32) of the second sensor (18b), and wherein the control part (30, 32) of the second sensor (18b) also actuates the at least two switching elements (34, 36) of the second sensor (18b) as a function of the first sensor (18a), wherein looping of the enable signals (88, 90) through a plurality of sensors (18a, 18b) to a safety controller (12) is reproduced, such that it is not possible to tell any difference from the point of view of the superordinate controller (20), not by looping the enable signals (88, 90) through the switching elements (34, 36), but producing them again in each sensor (18a, 18b), wherein the control part (30, 32) of the second sensor (18b) takes into account the output signals from the first sensor (18a).

10. The safety arrangement of claim 9, characterized in that the control part (30, 32) in each sensor (18a, 18b) is designed to detect a device-internal fault condition and to use at least one of the switching elements (34, 36) to produce a data message (96) at its output (42).

Revendications

1. Détecteur pour un circuit de protection, avec un élément d'entrée (52) pour réceptionner un paramètre d'état externe, avec au moins un élément de commutation (34, 36) avec une entrée (38) et une sortie (42), et avec un élément de commande (30, 32) réalisé, en fonction du paramètre externe, pour commander cet élément de commande (34, 36) au moins au nombre de un de manière à ce qu'un signal appliqué à l'entrée (38) soit directement transféré vers la sortie (42), l'entrée (38) de l'élément de commutation (34, 36) étant occupée en interne par un potentiel fixe, de préférence un potentiel élevé (U_B), en outre avec au moins une entrée de protection redondante (60, 62) pour un signal d'autorisation externe (88, 90) qui est acheminé vers l'élément de commande (30, 32), l'élément de commande (30, 32) commandant cet élément de commutation (34, 36) au moins au nombre de un également en fonction du signal d'autorisation (88, 90) et l'élément de commande (30, 32) étant conçu pour détecter un défaut de fonctionnement interne à l'appareil et pour produire, à l'aide de l'au moins un élément de commande (34, 36), un télégramme de données (96) au niveau de sa sortie (42).

2. Détecteur selon la revendication 1, caractérisé en ce que le signal transféré directement vers la sortie (42) de cet élément de commutation (34, 36) au moins au nombre de un est acheminé vers l'élément de commande (30, 32).

3. Détecteur selon la revendication 1 ou 2, caractérisé en ce que le télégramme des données est un télégramme à impulsions.

4. Détecteur selon l'une des revendications 1 à 4, caractérisé en ce qu'il y a au moins deux éléments de commutation redondants (34, 36) avec respectivement une entrée (38) et respectivement une sortie (42), chacun des au moins deux éléments de commutation redondants (34, 36) étant occupé du côté d'entrée par le potentiel fixe.

5. Détecteur selon l'une des revendications 1 à 4, caractérisé par une entrée (66) pour l'alimentation d'une tension de service (U_B), la tension de service étant acheminée vers cet élément de commutation (34, 36) au moins au nombre de un en tant que potentiel fixe.

6. Détecteur selon l'une des revendications 1 à 5, caractérisé par un actionneur mobile (16) lequel peut se mouvoir entre une première et au moins une deuxième position dans l'espace (16'), en particulier un transpondeur, le paramètre d'état externe étant une position actuelle dans l'espace de l'actionneur (16).

7. Détecteur selon l'une des revendications 1 à 6, caractérisé en ce que l'élément d'entrée (52) est réalisé pour réceptionner une grandeur mesurée physique, en particulier un nombre de tours, une tension variable et/ou un courant variable, en guise de paramètre d'état externe.

8. Détecteur selon l'une des revendications 1 à 7, caractérisé par une entrée de lecture de retour (64) pour acheminer un signal de lecture de retour externe d'un actionneur (22, 24).

9. Circuit de protection pour la déconnexion sûre d'une installation devenue dangereuse (10), avec un dispositif de commande de sécurité (20) maître réalisé pour mettre l'installation (10) hors circuit de manière conforme, et avec un premier détecteur situé en amont et au moins un deuxième détecteur situé en aval (18a, 18b), lesquels sont raccordés en série l'un par rapport à l'autre au dispositif de commande de sécurité (20) maître, chaque détecteur (18a, 18b) possédant un élément d'entrée (52) pour réceptionner un paramètre d'état externe, au moins deux éléments de commutation (34, 36) redondants avec respectivement une entrée (38) et respectivement une sortie (42) ainsi qu'un élément de commande (30, 32), lequel est réalisé, en fonction du paramètre externe, pour commander les au moins deux éléments de commande (34, 36) redondants de manière à ce qu'un signal appliqué à l'entrée (38) soit directement transféré vers la sortie (42), l'entrée (38) des au moins deux éléments de commutation (34, 36) étant respectivement occupée en interne dans chaque détecteur par un potentiel fixe, de préférence un potentiel élevé, deux signaux d'horloge prenant la forme de signaux d'autorisation (88, 90) étant acheminés vers l'élément de commande (30, 32) du premier détecteur (18a) depuis le dispositif de commande de sécurité (20) maître, l'élément de commande (30, 32) du premier détecteur (18a) commandant les au moins deux éléments de commande (34, 36) du premier détecteur (18a) également en fonction des deux signaux d'autorisation (88, 90), la sortie (42) respective des au moins deux éléments de commutation (34, 36) dans le premier détecteur (18a) étant acheminée vers l'élément de commande (30, 32) du deuxième détecteur (18b), et l'élément de commande (30, 32) du deuxième détecteur (18b) commandant les au moins deux éléments de commutation (34, 36) du deuxième détecteur (18b) également en fonction du premier détecteur (18a), un bouclage des signaux d'autorisation (88, 90) étant simulé par plusieurs détecteurs (18a, 18b) à destination du dispositif de commande de sécurité (12) pour que du point de vue du dispositif de commande (20) maître, aucune différence ne puisse être distinguée en ce que les signaux d'autorisation (88, 90) ne peuvent être mis en boucle par les éléments de commutation (34, 36) mais sont de nouveau produits dans chaque détecteur (18a, 18b), l'élément de commande (30, 32) du deuxième détecteur (18b) prenant en compte les signaux de sortie du premier détecteur (18a).

10. Circuit de protection selon la revendication 9, caractérisé en ce que l'élément de commande (30, 32) dans chaque détecteur (18a, 18b) est réalisé pour détecter une erreur de fonctionnement interne de l'appareil et pour générer, grâce à cet élément de commutation (34, 36) au moins au nombre de un, un télégramme des données (96) à la sortie (42) de celui-ci.

Zeichnung