SICHERHEITSSCHALTVORRICHTUNG ZUM SICHEREN ABSCHALTEN EINES ELEKTRISCHEN VERBRAUCHERS

Beschreibung

[0001] Die vorliegende Erfindung betrifft eine Sicherheitsschaltvorrichtung zum sicheren Abschalten eines elektrischen Verbrauchers, insbesondere in einer automatisiert arbeitenden Anlage, mit zumindest einem Eingang zum Anschließen eines Meldegerätes, mit einer Auswerte- und Steuereinheit, und mit zumindest einem Schaltelement, das von der Auswerte- und Steuereinheit ansteuerbar ist, um einen Stromversorgungspfad zu dem Verbraucher zu unterbrechen, wobei die Auswerte- und Steuereinheit dazu ausgebildet ist, zu definierten Zeitpunkten Funktionstests durchzuführen, um eine Schaltfunktion des zumindest einen Schaltelements zu überprüfen.

[0002] Eine solche Sicherheitsschaltvorrichtung ist beispielsweise aus DE 103 25 363 A1 bekannt.

[0003] Sicherheitsschaltvorrichtungen im Sinne der vorliegenden Erfindung werden dazu verwendet, eine technische Anlage oder ein technisches Gerät ganz oder teilweise abzuschalten, wenn dies erforderlich ist, um beispielsweise eine Gefährdung für Bedienpersonal der Anlage oder des Gerätes zu vermeiden. Die Sicherheitsschaltvorrichtungen besitzen eingangsseitig einen oder mehrere Anschlüsse zum Anschließen von einem oder mehreren Meldegeräten, wie zum Beispiel Not-Aus-Tastern, Schutztürschaltern oder Lichtschranken. Ausgangsseitig besitzen die Sicherheitsschaltvorrichtungen zumindest ein Schaltelement, mit dessen Hilfe ein Stromversorgungspfad zu der Anlage oder dem Gerät unterbrochen werden kann. Die Auswerte- und Steuereinheit dient typischerweise dazu, den gesamten Sicherheitskreis einschließlich der angeschlossenen Meldegeräte zu überwachen und ggf. eine Sicherheitsabschaltung auszulösen.

[0004] Es ist leicht einzusehen, dass der technische Aufwand für die Realisierung von Sicherheitsschaltvorrichtungen steigt, je höher die jeweiligen Sicherheitsanforderungen sind. Beispielsweise muss eine Sicherheitsschaltvorrichtung im Sinne der vorliegenden Erfindung auch dann noch in der Lage sein, die Anlage oder das Gerät abzuschalten, wenn das ausgangsseitige Schaltelement der Sicherheitsschaltvorrichtung versagt. Es können bei einem Relais zum Beispiel die Kontakte verschweißen, so dass sich das Relais nicht mehr öffnen lässt. Ein Transistor kann durchlegieren und dadurch einen Kurzschluss verursachen, der ein Unterbrechen des Stromversorgungspfades zu dem Verbraucher verhindert. Um derartige Fehler zu beherrschen, werden Sicherheitsschaltvorrichtungen in der Regel mehrkanalig-redundant aufgebaut, so dass beispielsweise bei Ausfall eines Schaltelements ein in Serie dazu angeordnetes, redundantes Schaltelement den Stromversorgungspfad unterbrechen kann. Eine redundante Realisierung gewährleistet für sich genommen jedoch noch keine absolute Fehlersicherheit, wenn die Funktionsfähigkeit der einzelnen Kanäle nicht regelmäßig getestet wird.

[0005] Die eingangs genannte DE 103 25 363 A1 offenbart eine Sicherheitsschaltvorrichtung mit einer Auswerte- und Steuereinheit (dort als Signalverarbeitungsteil bezeichnet), die im Betrieb regelmäßige Abschalttests durchführt, um zu überprüfen, ob die ausgangsseitigen Schaltelemente noch in der Lage sind, den Stromversorgungspfad zu dem Verbraucher zu unterbrechen. Die Auswerte- und Steuereinheit ist zweikanalig-redundant aufgebaut, um eventuelle Fehler im Signalverarbeitungsteil der Sicherheitsschaltvorrichtung zu beherrschen.

[0006] Ein anderes Beispiel für eine zweikanalig-redundante Sicherheitsschaltvorrichtung ist aus DE 100 11 211 A1 bekannt. Auch in diesem Fall ist die Auswerte- und Steuereinheit, die die eingangsseitigen Meldegeräte auswertet und überwacht und die Schaltelemente ansteuert, zweikanalig-redundant aufgebaut.

[0007] Die beiden bekannten Sicherheitsschaltvorrichtungen sind typische Beispiele für Realisierungen, die die Anforderungen der Kategorie 3 und sogar der Kategorie 4 der europäischen Norm EN 954-1 oder vergleichbare Sicherheitsanforderungen nach ISO 13849-1 oder IEC 61508 erfüllen. Der durchgehend redundante Aufbau der bekannten Sicherheitsschaltvorrichtungen ist allerdings aufwändig und teuer.

[0008] Die Anmelderin der vorliegenden Erfindung bietet unter der Bezeichnung PNOZ® X1 ein Not-Aus-Schaltgerät an, das ausgangsseitig redundante (in Serie zueinander liegende) Relaiskontakte aufweist, um den Stromversorgungspfad zu einem Verbraucher zu unterbrechen. Im übrigen ist das PNOZ® X1 allerdings einkanalig und ohne besondere Diagnosemöglichkeiten ausgebildet. Daher ist das PNOZ® X1 ohne zusätzliche Maßnahmen nur für Anwendungen bis zur Sicherheitskategorie 2 der EN 954-1 zugelassen.

[0009] Vor diesem Hintergrund ist es eine Aufgabe der vorliegenden Erfindung, eine Sicherheitsschaltvorrichtung der eingangs genannten Art anzugeben, mit der sich zumindest die Anforderungen der Kategorie 2 der europäischen Norm EN 954-1 (oder vergleichbare Sicherheitsanforderungen) erfüllen lassen, die jedoch kostengünstiger und kleinbauender realisiert werden kann als bisherige Sicherheitsschaltvorrichtungen, die diese Anforderungen erfüllen.

[0010] Gemäß einem Aspekt der Erfindung wird diese Aufgabe durch eine Sicherheitsschaltvorrichtung der eingangs genannten Art gelöst, bei der der zumindest eine Eingang zum Anschließen des Meldegerätes außerdem als Eingang zum Zuführen einer Versorgungsspannung ausgebildet ist, die für den Betrieb des zumindest einen Schaltelements erforderlich ist.

[0011] Die neue Sicherheitsschaltvorrichtung zeichnet sich also dadurch aus, dass der Eingang zum Anschließen des Meldegerätes gleichzeitig auch der Eingang zum Zuführen der Versorgungsspannung ist, die für den Betrieb des zumindest einen Schaltelements benötigt wird. Ein Meldegerät wird also so an die neue Sicherheitsschaltvorrichtung angeschlossen, dass mit der Betätigung des Meldegerätes automatisch auch die Versorgungsspannung für das zumindest eine Schaltelement unterbrochen wird. Dies ist besonders einfach für Meldegeräte zu realisieren, die einen oder mehrere Öffnerkontakte aufweisen, die bei Betätigung des Meldegerätes geöffnet werden. Die Erfindung ist hierauf jedoch nicht beschränkt und kann beispielsweise auch für Meldegeräte realisiert werden, die ein potentialgebundenes Ausgangssignal liefern.

[0012] Bei der neuen Sicherheitsschaltvorrichtung laufen die Informationen (Meldesignal vom Meldegerät) und die Energie für den Betrieb des zumindest einen Schaltelements zeitgleich und auf demselben Weg. Der Wegfall der Versorgungsspannung für das zumindest eine Schaltelement ist mit der Information, dass eine Sicherheitsanforderung vorliegt, identisch. Im Gegensatz dazu wird die Versorgungsspannung für die ausgangsseitigen Schaltelemente bei manchen herkömmlichen Sicherheitsschaltvorrichtungen, die höhere Sicherheitskategorien erfüllen, getrennt von der Versorgungsspannung für das ausgangsseitige Schaltelement geführt. Da die Information (Meldesignal vom Meldegerät) und die Energie dann getrennt voneinander geführt sind, werden relativ aufwändige Auswerte- und Steuereinheiten benötigt, die ein Unterbrechen des Stromversorgungspfades zu dem Verbraucher gewährleisten, sobald die entsprechende Information (Meldesignal vom Meldegerät) vorliegt. Da die Auswertung des Meldesignals eine sicherheitskritische Aufgabe ist, sind die Auswerte- und Steuereinheiten der bekannten Sicherheitsschaltvorrichtungen typischerweise mehrkanalig-redundant aufgebaut. Dieser Aufwand ist bei der neuen Sicherheitsschaltvorrichtung nicht erforderlich, die daher deutlich kostengünstiger realisiert werden kann.

[0013] Andererseits verfügt die neue Sicherheitsschaltvorrichtung über eine Auswerte- und Steuereinheit, die dazu ausgebildet ist, Funktionstests durchzuführen, um die Schaltfunktion des zumindest einen Schaltelements zu überwachen. Hierdurch unterscheidet sich die neue Sicherheitsschaltvorrichtung von einfachen Geräten, wie beispielsweise dem oben genannten PNOZ® X1. Da die (im Gegensatz zum PNOZ® X1) neue Auswerte- und Steuereinheit erfindungsgemäß jedoch nicht mehr alleine für die Übertragung der Information vom Meldegerät an das ausgangsseitige Schaltelement verantwortlich ist, kann die Auswerte- und Steuereinheit einkanalig und damit relativ preisgünstig ausgebildet sein.

[0014] Insgesamt lassen sich mit der neuen Sicherheitsschaltvorrichtung zumindest die Anforderungen der Kategorie 3 der europäischen Norm EN 954-1 (oder vergleichbare Sicherheitsanforderungen) erfüllen, da sowohl eine redundante Abschaltung als auch definierte Funktionstests der Schaltelemente vorgesehen sind. Andererseits kann die Auswerte- und Steuereinheit der neuen Sicherheitsschaltvorrichtung, die für die Durchführung der Funktionstests verantwortlich ist, deutlich einfacher und kostengünstiger realisiert werden als bei vergleichbaren Sicherheitsschaltvorrichtungen.

[0015] Die oben genannte Aufgabe ist daher vollständig gelöst.

[0016] In einer Ausgestaltung ist der zumindest eine Eingang außerdem zum Zuführen einer Versorgungsspannung ausgebildet, die für den Betrieb der Auswerte- und Steuereinheit erforderlich ist.

[0017] Grundsätzlich wäre es denkbar, die Versorgungsspannung für die Auswerte- und Steuereinheit über einen anderen (weiteren) Eingang zuzuführen. Dies würde es ermöglichen, dass die Auswerte- und Steuereinheit in Betrieb bleibt, auch wenn das Meldegerät eine Sicherheitsanforderung signalisiert und damit gemäß der vorliegenden Erfindung die Versorgungsspannung für das zumindest eine Schaltelement unterbricht. Die bevorzugte Ausgestaltung ist jedoch einfacher zu realisieren. Sie ermöglicht außerdem eine Realisierung mit weniger Anschlussklemmen, so dass beispielsweise die Gehäusebreite der neuen Sicherheitsschaltvorrichtung reduziert werden kann. Darüber hinaus hat diese Ausgestaltung zur Folge, dass die Auswerte- und Steuereinheit nach jeder Sicherheitsanforderung zwangsläufig wieder initialisiert werden muss, was in vorteilhafter Weise dazu genutzt werden kann, die Auswerte- und Steuereinheit einem Selbsttest zu unterziehen.

[0018] In einer weiteren Ausgestaltung beinhaltet die Sicherheitsschaltvorrichtung ein Entkoppelungsnetzwerk, das dazu ausgebildet ist, die Versorgungsspannung für das zumindest eine Schaltelement und die Versorgungsspannung für die Auswerte- und Steuereinheit voneinander zu entkoppeln.

[0019] Mit dieser Ausgestaltung wird eine Rückwirkung vom Lastkreis auf die Auswerte- und Steuereinheit vermieden. Die Auswerte- und Steuereinheit ist dadurch besser gegen Störeinflüsse von außen und dadurch hervorgerufene Fehlfunktionen geschützt.

[0020] In einer weiteren Ausgestaltung beinhaltet das Entkoppelungsnetzwerk ein erstes Zeitglied, um die Versorgungsspannung für das zumindest eine Schaltelement relativ zu der Versorgungsspannung für die Auswerte- und Steuereinheit zu verzögern.

[0021] In dieser Ausgestaltung sind die Versorgungsspannungen für das zumindest eine Schaltelement und die Auswerte- und Steuereinheit nicht nur schaltungstechnisch voneinander entkoppelt, sondern auch zeitlich voneinander getrennt. Da die Auswerte- und Steuereinheit ihre Versorgungsspannung nach dieser Ausgestaltung "früher" erhält als das zumindest eine Schaltelement, ist gewährleistet, dass die Auswerte- und Steuereinheit interne Selbsttests abschließen kann, bevor sie das zumindest eine Schaltelement ansteuert. Eine fehlerhafte Freigabe des Stromversorgungspfades zu dem Verbraucher wird hierdurch noch besser vermieden.

[0022] In einer weiteren Ausgestaltung beinhaltet die Sicherheitsschaltvorrichtung eine Resetschaltung, die dazu ausgebildet ist, die Auswerte- und Steuereinheit bei jeder erneuten Wiederkehr der Versorgungsspannung in einen definierten Startzustand zu bringen.

[0023] Diese Ausgestaltung erleichtert die Realisierung der Auswerte- und Steuereinheit mit einem (einkanaligen) Mikrocontroller, Mikroprozessor oder dergleichen. Ein Reset, der bei jeder erneuten Spannungswiederkehr erzwungen wird, gewährleistet, dass die Auswerte- und Steuereinheit stets aus derselben definierten Startposition beginnt. Dadurch ist sichergestellt, dass die Auswerte- und Steuereinheit ihre Selbsttests jedes Mal vollständig durchläuft, bevor der Stromversorgungspfad zu dem Verbraucher geschlossen wird. Aufgrund dessen kann die Auswerte- und Steuereinheit ohne weiteres einkanalig realisiert werden.

[0024] In einer weiteren Ausgestaltung ist die Auswerte- und Steuereinheit einkanalig ausgebildet.

[0025] Diese Ausgestaltung profitiert von den zuvor beschriebenen Möglichkeiten und sie ermöglicht eine besonders kostengünstige Realisierung der neuen Sicherheitsschaltvorrichtung.

[0026] In einer weiteren Ausgestaltung beinhaltet die Auswerte- und Steuereinheit einen Mikrocontroller, der dazu ausgebildet ist, die Funktionstests zu den definierten Zeitpunkten, insbesondere vor dem Schließen des Stromversorgungspfades zu dem Verbraucher, durchzuführen.

[0027] Der Begriff "Mikrocontroller" wird hier synonym für vergleichbare Bauelemente verwendet, deren Funktionsumfang zumindest herstellerseitig festgelegt werden kann. Er ist also nicht auf Mikrocontroller im engeren Sinne beschränkt, sondern umfasst beispielsweise auch Mikroprozessoren mit oder ohne externen Speicher oder andere programmierbare Bauelemente. Diese Ausgestaltung ermöglicht eine besonders einfache und kostengünstige Realisierung der neuen Sicherheitsschaltvorrichtung, wobei der jeweilige Funktionsumfang individuell festgelegt werden kann. Dadurch können beispielsweise Sicherheitsschaltvorrichtungen kostengünstig realisiert werden, die für verschiedene Arten von Meldegeräten und/oder in Verbindung mit verschiedenen Arten von Schaltelementen vorgesehen sind.

[0028] In einer weiteren Ausgestaltung beinhaltet die Sicherheitsschaltvorrichtung ein zweites Zeitglied, das dazu ausgebildet ist, eine Verbindung zwischen der Auswerte- und Steuereinheit und dem zumindest einen Schaltelement für eine definierte Zeitspanne, gemessen von dem Anlegen der Versorgungsspannung an, zu sperren.

[0029] Auch diese Ausgestaltung trägt dazu bei, ein vorzeitiges und/oder fehlerhaftes Schließen des Stromversorgungspfades zu dem Verbraucher zu verhindern, selbst wenn das zumindest eine Schaltelement mit einer einkanaligen Auswerte- und Steuereinheit angesteuert wird. In Kombination mit den bereits zuvor beschriebenen Ausgestaltungen wird eine noch höhere Sicherheit bei der Inbetriebnahme des Verbrauchers erreicht.

[0030] In einer weiteren Ausgestaltung beinhaltet die neue Sicherheitsschaltvorrichtung zumindest zwei Schaltelemente, die in Reihe zueinander angeordnet sind, um den Stromversorgungspfad zu dem Verbraucher redundant zu unterbrechen, wobei die Auswerte- und Steuereinheit dazu ausgebildet ist, ein erstes dynamisches Steuersignal für ein erstes der zumindest zwei Schaltelemente zu erzeugen, sowie ein zweites, insbesondere statisches, Steuersignal für ein zweites der zumindest zwei Schaltelemente.

[0031] Diese Ausgestaltung der Erfindung verwendet im Lastkreis redundante Schaltelemente, um ein Abschalten des Verbrauchers selbst dann zu ermöglichen, wenn eines der Schaltelemente beim Schaltvorgang versagt. Darüber hinaus werden die zumindest zwei redundanten Schaltelemente jedoch noch diversitär zueinander angesteuert, das heißt mit zwei voneinander verschiedenen Steuersignalen. Fehlfunktionen der neuen Sicherheitsschaltvorrichtung sind dadurch noch unwahrscheinlicher. Besonders bevorzugt ist es, wenn eines der Steuersignale ein dynamisches Signal ist, während das andere Steuersignal ein statisches Signal ist. Beide Arten von Steuersignalen lassen sich nämlich sehr einfach mit einem Mikrocontroller oder einem vergleichbaren Bauelement erzeugt werden, wobei aufgrund der unterschiedlichen Natur der Steuersignale eine zeitgleiche Fehlsteuerung der redundanten Schaltelemente äußerst unwahrscheinlich ist.

[0032] In einer weiteren Ausgestaltung ist das zumindest eine Schaltelement ein Wechselschalter mit zumindest zwei zueinander alternativen Schaltpfaden, wobei ein erster Schaltpfad im Stromversorgungspfad zu dem Verbraucher liegt, und wobei ein zweiter Schaltpfad zu einer Überwachungseinheit führt.

[0033] Diese Ausgestaltung, die auch für sich genommen eine erfinderische Weiterbildung bekannter Sicherheitsschaltvorrichtungen darstellt, ermöglicht eine besonders kostengünstige Realisierung der neuen Sicherheitsschaltvorrichtung, insbesondere mit potentialfreien Ausgängen. Durch die Verwendung eines Wechselschalters ist es nämlich in diesem Fall möglich, "einfache" Wechslerrelais anstelle von wesentlich teureren und größeren Relais mit zwangsgeführten Schließer- und Öffnerkontakten einzusetzen. Diese Ausgestaltung erlaubt daher eine besonders kostengünstige und kleinbauende Sicherheitsschaltvorrichtung, mit der sich trotzdem zumindest die Kategorie 3 der europäischen Norm EN 954-1 bzw. eine vergleichbare Sicherheitsstufe erreichen lässt.

[0034] Es versteht sich, dass die vorstehend genannten und die nachstehend noch zu erläuternden Merkmale nicht nur in der jeweils angegebenen Kombination, sondern auch in anderen Kombinationen oder in Alleinstellung verwendbar sind, ohne den Rahmen der vorliegenden Erfindung zu verlassen.

[0035] Ausführungsbeispiele der Erfindung sind in der Zeichnung dargestellt und werden in der nachfolgenden Beschreibung näher erläutert. Es zeigen:

Figur 1

einen Roboter als Beispiel für eine automatisiert arbeitende Anlage mit der neuen Sicherheitsschalt- vorrichtung,

Figur 2

eine schematische Darstellung eines ersten Aus- führungsbeispiels der neuen Sicherheitsschaltvorrich- tung, und

Figur 3

mehrere Zeitdiagramme zur Erläuterung der Funktions- weise eines Ausführungsbeispiels der neuen Sicher- heitsschaltvorrichtung.

[0036] In Figur 1 ist eine automatisiert arbeitende Anlage, in der die neue Sicherheitsschaltvorrichtung zum Einsatz kommt, in ihrer Gesamtheit mit der Bezugsziffer 10 bezeichnet.

[0037] Die Anlage 10 beinhaltet hier einen Roboter 12, dessen Arbeitsraum durch einen Schutzzaun mit einer Schutztür 14 gesichert ist. Die geöffnete oder geschlossene Position der Schutztür 14 wird mit einem Schutztürsensor 16 detektiert. Der Schutztürsensor beinhaltet einen ersten Teil 16a, der an dem beweglichen Teil der Schutztür 14 befestigt ist, sowie einen zweiten Teil 16b am feststehenden Rahmen der Schutztür 14. In einem Ausführungsbeispiel enthält der erste Teil 16a einen Transponder, der nur bei geschlossener Schutztür von dem zweiten Teil 16b (Lesegerät) erkannt und ausgewertet werden kann. Die Erfindung ist jedoch nicht auf diese Art von Schutztürsensoren und darüber hinaus auch nicht auf Schutztürsensoren als Meldegeräte beschränkt. Die Erfindung kann gleichermaßen mit anderen Meldegeräten, insbesondere Not-Aus-Tastern, sowie Drehzahlsensoren, Lichtschranken und anderem verwendet werden.

[0038] Mit der Bezugsziffer 18 ist eine Sicherheitsschaltvorrichtung nach der vorliegenden Erfindung bezeichnet. Sie dient dazu, den Roboter 12 beim Öffnen der Schutztür 14 abzuschalten.

[0039] Die Anlage 10 ist hier ferner mit einem Not-Aus-Taster 20 als weiterem Meldegerät dargestellt. Der Not-Aus-Taster 20 wird mit einer weiteren Sicherheitsschaltvorrichtung 22 nach der vorliegenden Erfindung ausgewertet. Die Sicherheitsschaltvorrichtungen 18 und 22 besitzen in dem gezeigten Ausführungsbeispiel jeweils potentialfreie Ausgänge (wird nachfolgend anhand Figur 2 näher erläutert), die in Serie miteinander verbunden sind, um eine logische UND-Verknüpfung aufzubauen.

[0040] An einem Ende der logischen Kette, in diesem Fall am Ausgang der Sicherheitsschaltvorrichtung 22, sind zwei Schütze 24, 26 angeordnet, deren Arbeitskontakte wiederum seriell zueinander in einem Stromversorgungspfad 28 zu dem Roboter 12 liegen. Bei den Arbeitskontakten der beiden Schütze 24, 26 handelt es sich um Schließerkontakte, die also nur geschlossen sind, wenn die Eingangskreise der Schütze 24, 26 mit einer Arbeitsspannung angeregt sind, die höher als die Anzugs- bzw. Haltespannung der Schütze 24, 26 ist. Die Arbeitsspannung 30 beträgt beispielsweise 24 Volt und wird in diesem Ausführungsbeispiel über die in Serie geschalteten Ausgangskontakte der Sicherheitsschaltvorrichtungen 18 und 22 zu den Schützen 24, 26 geschleift. Beim Öffnen der Schutztür 14 und/oder beim Betätigen des Not-Aus-Tasters 20 unterbrechen die Sicherheitsschaltvorrichtungen 18, 22 den Strompfad, über den die Eingangskreise der Schütze 24, 26 mit der Arbeitsspannung 30 verbunden sind. Dadurch fallen die Schütze 24, 26 ab, der Roboter 12 wird abgeschaltet. Die Schütze 24, 26 und (mittelbar) der Roboter 12 sind damit Verbraucher im Sinne der vorliegenden Erfindung.

[0041] Es versteht sich, dass die Anlage 10 hier in vereinfachter Weise gezeigt ist. Insbesondere sind hier nur zwei einfache Sicherheitskreise zum Abschalten des Roboters 12 dargestellt. In der Praxis sind typischerweise weitere Sicherheitskreise vorhanden. Beispielsweise haben die Schütze 24, 26 typischerweise noch zwangsgeöffnete Öffner-Kontakte, die auf zumindest eine der Sicherheitsschaltvorrichtungen 18, 22 zurückgeführt sind, um ein Einschalten des Roboters 12 zu verhindern, wenn einer der Schütze 24, 26 verschweißt ist. Des Weiteren ist typischerweise eine Betriebssteuerung (hier nicht dargestellt) vorgesehen, die den normalen Betriebsablauf des Roboters 12 steuert.

[0042] Figur 2 zeigt die Sicherheitsschaltvorrichtung 22 in weiteren Details. Die Sicherheitsschaltvorrichtung 18 kann grundsätzlich in gleicher Weise aufgebaut sein, oder auch eine zweikanalige Auswerte- und Steuereinheit sowie potentialfreie Ausgänge in konventioneller Bauart besitzen.

[0043] Die Komponenten der Sicherheitsschaltvorrichtung 22 sind in an sich bekannter Weise in einem kompakten Gerätegehäuse 36 angeordnet. Das Gehäuse 36 besitzt Anschlüsse, beispielsweise in Form von Schraub- oder Federklemmen. Mit den Bezugsziffern 38, 40 sind zwei Anschlüsse bezeichnet, die hier sowohl zum Anschließen des Not-Aus-Tasters 20 als auch zum Zuführen einer Versorgungsspannung 42 für die Sicherheitsschaltvorrichtung 22 dienen. Die Versorgungsspannung 42 ist hier als Gleichspannung dargestellt, und sie ist über jeweils einen Öffnerkontakt des Not-Aus-Tasters 20 an die Anschlüsse 38, 40 angeschlossen. Alternativ hierzu könnte die Spannung 42 grundsätzlich auch eine Wechselspannung sein.

[0044] Mit der Bezugsziffer 46, 48 sind zwei weitere Anschlussklemmen bezeichnet, an die eine Reihenschaltung aus einem Starttaster 50 und zwei Öffnerkontakten 52, 54 angeschlossen ist. Der Öffnerkontakt 52 gehört zu dem Schütz 24 aus Figur 1 und ist mit den Schließerkontakten des Schützes 24 zwangsgeführt. In gleicher Weise ist der öffnerkontakt 54 mit den Schließerkontakten des Schützes 26 zwangsgeführt.

[0045] Die Sicherheitsschaltvorrichtung 22 ist hier mit insgesamt vier Schaltelementen 56, 56', 58, 58' dargestellt. Die Schaltelemente 56, 58 bzw. 56', 58' sind jeweils in Serie zueinander angeordnet, und sie bilden zwei Stromversorgungspfade aus, über die die beiden Schütze 24, 26 angeregt werden können. Der zweite Stromversorgungspfad mit den Schaltelementen 56', 58' ist dabei aus Gründen der Übersichtlichkeit nur teilweise dargestellt, nämlich ohne die Details der Ansteuerung der Schaltelemente 56', 58'. Die Ansteuerung der Schaltelemente 56', 58' erfolgt jedoch in gleicher Weise wie die Ansteuerung der Schaltelemente 56, 58. Deswegen beziehen sich die nachfolgenden Erläuterungen gleichermaßen auch auf die Schaltelemente 56', 58', sofern nichts anderes angegeben ist.

[0046] Die Schaltelemente 56, 58 sind hier als Wechselschalter realisiert. Jedes Schaltelement 56, 58 besitzt drei Anschlüsse 60, 62, 64, die hier aus Gründen der Übersichtlichkeit nur beim Schaltelement 56 bezeichnet sind. Die drei Anschlüsse 60, 62, 64 bilden zwei zueinander alternative Schaltpfade aus. Ein erster Schaltpfad 66 verläuft zwischen den Anschlüssen 62 und 64 (in Figur 2 in gestrichelter Linie dargestellt). Ein zweiter, alternativer Schaltpfad 68 verläuft von dem Anschluss 60 zum Anschluss 64 (in durchgezogener Linie dargestellt). Der Anschluss 64 bildet somit eine gemeinsame Wurzel der alternativen Schaltpfade 66, 68. Zu einem Zeitpunkt kann jeweils nur einer der Schaltpfade 66, 68 geschlossen sein. Der andere ist in diesem Fall geöffnet.

[0047] Die Wechselschalter 56, 58 sind in einem Ausführungsbeispiel der Erfindung Wechslerrelais mit jeweils einem Kontakt, der zwischen den Anschlüssen 60, 62 umgeschaltet wird. In weiteren Ausführungsbeispielen können die Wechselschalter jedoch auch als oder zumindest mit Hilfe von Haltleiterschaltelementen realisiert sein.

[0048] Der Anschluss 62 des Schaltelements 56 ist mit einem Anschluss 70 am Gehäuse 36 der Sicherheitsschaltvorrichtung 22 verbunden. In gleicher Weise ist der Anschluss 66 des Schaltelements 58 mit einem externen Anschluss 72 der Sicherheitsschaltvorrichtung 22 verbunden. Die Wurzeln 64 der beiden Schaltelemente 56, 58 sind in Reihe zueinander verbunden. Damit stellen die ersten Schaltpfade 66 der beiden Schaltelemente 56, 58 einen Stromversorgungspfad zwischen den Anschlüssen 70, 72 der Sicherheitsschaltvorrichtung 22 bereit, der abhängig von der Schaltstellung der Schaltelemente 56, 58 geschlossen oder unterbrochen sein kann. In gleicher Weise stellen die Schaltelemente 56', 58' einen zweiten Stromversorgungspfad zwischen Anschlussklemmen 74, 76 der Sicherheitsschaltvorrichtung 22 bereit. An die Anschlussklemmen 72, 76 sind in der Anwendung gemäß Figur 1 die Schütze 24, 26 angeschlossen. An den Anschlüssen 70, 74 liegt die Arbeitsspannung 30 an, die ggf. in gleicher Weise, wie hier beschrieben, durch die Sicherheitsschaltvorrichtung 18 geschleift wird.

[0049] Die zweiten Schaltpfade 68 aller vier Schaltelemente 56, 56', 58, 58' sind in diesem Ausführungsbeispiel in Reihe miteinander verbunden, und diese Reihenschaltung ist mit einer Überwachungseinheit verbunden, die in Figur 2 mit der Bezugsziffer 78 bezeichnet ist. Die Überwachungseinheit 78 kann zweikanalig ausgebildet sein, was in Figur 2 schematisch angedeutet ist. Es ist jedoch auch möglich, die Überwachungseinheit 78 einkanalig auszubilden. Aufgabe der Überwachungseinheit 78 ist, ein Testsignal 80 in die Reihenschaltung der zweiten Schaltpfade 68 der Schaltelemente 56, 58, 56', 58' einzuspeisen. Wenn die Überwachungseinheit 78 das Testsignal 80 über die genannten Schaltpfade zurücklesen kann, bedeutet dies, dass sich sämtliche Schaltelemente in der in Figur 2 gezeigten Schaltposition befinden. Die Stromversorgungspfade zu den Schützen 24, 26 sind daher unterbrochen.

[0050] Die Überwachungseinheit 78 steht mit einem Mikrocontroller 82 in Verbindung, der eine Auswerte- und Steuereinheit im Sinne der vorliegenden Erfindung darstellt. Gemäß einem bevorzugten Ausführungsbeispiel ist nur ein Mikrocontroller 82 vorhanden, wenngleich die Erfindung hierauf nicht beschränkt ist. Der Mikrocontroller 82 ist dazu ausgebildet, die Schaltposition der Schaltelemente 56, 58, 56', 58' einzustellen. Außerdem führt er in der nachfolgend beschriebenen Weise Funktionstests durch, um die Schaltfunktion der Schaltelemente 56, 58, 56', 58' zu überprüfen.

[0051] Die Schaltelemente 56, 58 benötigen zum Umschalten eine Versorgungsspannung, die an einer Leitung 84 bzw. einem Kondensator 86 anliegt. Die Versorgungsspannung 84, 86 entspricht hier weitgehend der Versorgungsspannung 42, die an den Anschlüssen 38, 40 der Sicherheitsschaltvorrichtung 22 anliegt. Die Spannung auf der Leitung 84 ist über den Eingangskreis der Schaltelemente 56, 58 sowie jeweils einen Transistor 90, 92 geführt. Mit Hilfe der Transistoren 90, 92 kann der Mikrocontroller 82 den Erregerkreis zu jedem Schaltelement 56, 58 schließen oder unterbrechen. Bei geschlossenem Erregerkreis und einer Versorgungsspannung am Kondensator 86 bzw. der Leitung 84, die höher ist als die Anzugsspannung der Schaltelemente 56, 58, schalten die Wechselschalter auf den ersten Schaltpfad 66 um. Fehlt entweder die Versorgungsspannung auf der Leitung 84 (oder sinkt die Spannung hier unter die Haltespannung der Schaltelemente) oder unterbricht der Mikrocontroller 82 den Erregerkreis mit Hilfe der Transistoren 90, 92, fallen die Schaltelemente in ihre Default-Schaltposition zurück, in der der zweite Schaltpfad 68 geschlossen ist. Die Stromversorgungspfade zu den Schützen 24, 26 sind dann unterbrochen.

[0052] Mit der Bezugsziffer 88 ist eine Spannungs- und Resetschaltung bezeichnet. Diese beinhaltet hier einen Spannungsregler (nicht gesondert dargestellt), der aus der allgemeinen Versorgungsspannung 42 eine individuelle Versorgungsspannung für den Mikrocontroller 82 erzeugt. Außerdem sorgt die Spannungs- und Resetschaltung 88 dafür, dass der Mikrocontroller 38 nach jeder Spannungswiederkehr an den Anschlüssen 38, 40 in einer definierten Weise startet (Resetfunktion). In einem Ausführungsbeispiel beinhaltet die Spannungs- und Resetschaltung daher noch einen Impulsgenerator (nicht gesondert dargestellt), der mit einem Reseteingang des Mikrocontrollers 82 verbunden ist. Die Versorgungsspannungen für den Mikrocontroller 82 und für die Schaltelemente 56, 58 werden also beide aus der Versorgungsspannung 42 erzeugt, die an dem Eingang der Sicherheitsschaltvorrichtung 22 anliegt. Zur Entkopplung der beiden intern getrennten Versorgungsspannungen ist ein Entkopplungsnetzwerk 94 vorgesehen, das im vorliegenden Ausführungsbeispiel eine Diode und einen Widerstand 95 beinhaltet, die zusammen mit dem Kondensator 86 ein RC-Glied bilden. Der Widerstand 95 bestimmt die Ladezeit bis zum vollständigen Aufladen des Kondensators 86. Daher bildet das RC-Glied aus dem Widerstand 95 und dem Kondensator 86 ein Zeitglied, das dafür sorgt, dass die versorgungsspannung für die Schaltelemente 56, 58 erst mit einer gewissen Verzögerung, gemessen von dem Anlegen der Versorgungsspannung 42 an die Anschlüsse 38, 40, erreicht ist.

[0053] Mit der Bezugsziffer 96 ist ein sogenannter Watchdog bezeichnet, der ein zweites Zeitglied beinhaltet. Der Watchdog 86 dient einerseits dazu, die Funktion des Mikrocontrollers 82 in an sich bekannter Weise zu überwachen. Hierzu wartet der Watchdog 96 auf regelmäßig wiederkehrende Impulse, die von dem Mikrocontroller 82 geliefert werden müssen. Darüber hinaus ist der Watchdog 86 mit mehreren UND-Gliedern 98 verbunden, mit deren Hilfe er eine Übertragung der Steuersignale vom Mikrocontroller 82 zu den Transistoren 90, 92 unterbinden kann.

[0054] Die Ansteuerung der Schaltelemente 56, 58 erfolgt in diesem Ausführungsbeispiel diversitär, das heißt mit voneinander verschiedenen Steuersignalen. Die Ansteuerung des Schaltelements 56 (und des Schaltelements 56') erfolgt hier mit einem dynamischen Steuersignal (definierte Impulsfolge), das der Mikrocontroller 82 an einem Ausgang 100 bereitstellt. Das Steuersignal 100 ist über ein UND-Glied sowie einen Kondensator 102 zu dem Transistor 90 geführt. Der Transistor 90 wird nur dann leitfähig, wenn der Mikrocontroller 82 die Impulsfolge am Ausgang 100 mit der vorgesehenen Frequenz und Amplitude erzeugt, und wenn der Watchdog 96 diese Impulsfolge auf den Kondensator 102 durchschaltet.

[0055] Demgegenüber werden die Schaltelemente 58, 58' vom Mikrocontroller 82 mit einem statischen Signal 104 angesteuert. Alternativ hierzu könnten die Schaltelemente 56, 58 auch jeweils mit einem dynamischen oder jeweils einem statischen Signal angesteuert werden, wobei es generell bevorzugt ist, wenn sich die Steuersignale 100, 104 voneinander unterscheiden.

[0056] Bei einer Fehlerbetrachtung der Wechselschalter 56, 58 nach IEC 62061 sind folgende Fehler zu berücksichtigen:

1. Die Wechselschalter 56, 58 verbleiben in der angeregten (ersten) Schaltposition 66, obwohl der Eingangskreis entregt (nicht angesteuert) ist.

2. Die Wechselschalter 56, 58 gehen trotz Anregung des Eingangskreises nicht in die erste Schaltposition 66 über, sondern verbleiben in der zweiten Default-Schaltposition 68.

3. Es besteht ein Schluss zwischen allen Anschlüssen 60, 62, 64.

[0057] Diese Fehler lassen sich beherrschen, indem die Überwachungseinheit 78 die Schaltfunktion der Wechselschalter 56, 58 zusammen mit dem Mikrocontroller 82 testet, bevor der Stromversorgungspfad zu dem Verbraucher geschlossen wird. Dazu erzeugt die Überwachungseinheit 78 das Testsignal 80 und speist es in die Reihenschaltung der zweiten Schaltpfade 68 ein. Wenn sich alle angeschlossenen Wechselschalter in ihrem entregten Default-Zustand befinden, muss die Überwachungseinheit 78 das Testsignal 80 zurücklesen können. Im nächsten Schritt wird nun beispielsweise der Wechselschalter 56 von dem Mikrocontroller 82 umgeschaltet. Das Testsignal 80 darf sich nun nicht mehr zurücklesen lassen, wenn das Umschalten des Wechselschalters fehlerfrei funktionierte und kein Kurzschluss zwischen den Anschlüssen 60, 62, 64 vorliegt. Ist dieser Test bestanden, prüft die Überwachungseinheit der Reihe nach die weiteren Wechselschalter. Lässt sich das Testsignal 80 in einem der Testfälle zurücklesen, liegt einer der oben genannten Fehler vor. Die Überwachungseinheit 78 informiert den Mikrocontroller 82 entsprechend und ein Schließen des Stromversorgungspfades zu den Schützen 24, 26 wird verhindert. Bestehen hingegen sämtliche Wechselschalter den Test, kann der Stromversorgungspfad zu den Schützen 24, 26 geschlossen werden. Sollte ein Wechselschalter dabei nicht auf den ersten Schaltpfad 66 umschalten, würde der angeschlossene Verbraucher nicht einschalten können. Trotz des (nicht getesteten) Fehlers wäre also ein sicherer Zustand gewährleistet.

[0058] Diese Funktionsweise ist anhand der Zeitdiagramme in Figur 3 nochmals bildlich dargestellt. Der oberste Zeitverlauf 110 zeigt das Anlegen der Versorgungsspannung 42 an die Sicherheitsschaltvorrichtung 22, sei es beim Einschalten der gesamten Anlage oder beim Schließen des Not-Aus-Tasters 20. Es sei angenommen, dass der Not-Aus-Taster 20 zu einem Zeitpunkt t₁ betätigt wird, so dass die Versorgungsspannung 42 von der Sicherheitsschaltvorrichtung 22 abgetrennt wird.

[0059] Der zweite Zeitverlauf 112 zeigt die Versorgungsspannung für den Mikrocontroller 82, die mit Hilfe der Spannungs- und Resetschaltung 88 erzeugt wird. Während einer ersten Zeitspanne 114 nach dem Anlegen der Versorgungsspannung an den Mikrocontroller 82 (bzw. nach einem Reset) führt der Mikrocontroller 82 interne Funktionstests durch, wie dies vom Betrieb von Mikrocontrollern in Sicherheitsschaltvorrichtungen bekannt ist.

[0060] Der dritte Zeitverlauf 116 zeigt den Verlauf der Versorgungsspannung an den Erregerkreisen der Schaltelemente 56, 58. Die Versorgungsspannung steigt hier zu Beginn langsamer an, was auf das Zeitverhalten des RC-Gliedes 95, 86 zurückzuführen ist. Die Dimensionierung der Bauelemente ist so gewählt, dass die Versorgungsspannung an den Schaltelementen 56, 58 erst dann voll anliegt, wenn der Mikrocontroller 82 seine internen Selbsttests beendet hat.

[0061] Der vierte Zeitverlauf 118 ist das Ausgangssignal am Watchdog 96. Mit diesem Signal werden die Ausgänge 100, 104 des Mikrocontrollers 82 zu den Transistoren 90, 92 an den Schaltelementen 56, 58 durchgeschaltet. Erst ab dem Zeitpunkt t₂ ist der Mikrocontroller 82 also in der Lage, die Schaltelemente 56, 58 anzusteuern.

[0062] Der fünfte Verlauf zeigt das Testsignal 80, das von der Überwachungseinheit 78 in den Kreis der zweiten Schaltpfade 68 eingespeist wird.

[0063] In den beiden nächsten Verläufen sind dann die Steuersignale 100 und 104 für die Schaltelemente 56, 58 gezeigt. Zunächst wird jeweils ein Steuersignal für eine Zeitspanne 120 bzw. 122 aktiviert, wobei die Zeitspannen 120, 122 versetzt zueinander sind. Außerdem liegen die Steuersignale in den Zeitspannen 120, 122 zeitgleich zu dem Testsignal 80. Wenn das Testsignal 80 während der Zeitspannen 120 bzw. 122 von der Überwachungseinheit 78 nicht mehr zurückgelesen werden kann, was in Figur 3 schematisch angedeutet ist, war das Umschalten des entsprechenden Schaltelements 56, 58 erfolgreich. Nach erfolgreichem Abschluss der Tests kann der Mikrocontroller 82 die Schaltelemente 56, 58 in ihre erste Schaltposition 66 umschalten und die Stromversorgungspfade zu den Schützen 24, 26 dadurch schließen (Zeitpunkt t₃).

[0064] Das unterste Diagramm zeigt schließlich den Verlauf 124 der Arbeitsspannung 30 an den Eingangskreisen der Schütze 24, 26. Die Schütze 24, 26 können ab dem Zeitpunkt t₃ anziehen, der Roboter 12 kann in Betrieb gehen. Wird zum Zeitpunkt t₁ der Not-Aus-Taster 20 betätigt, fällt (nach einer hier nicht berücksichtigten Entladezeit für den Kondensator 86) die Versorgungsspannung für die Schaltelemente 56, 58 weg. Außerdem entfallen die Steuersignale 100, 104 für die Schaltelemente 56, 58. beide Ereignisse bewirken, dass der Stromversorgungspfad zu den Schützen 24, 26 unterbrochen wird.

[0065] In weiteren Ausführungsbeispielen kann die Funktionalität der Überwachungseinheit 78 in den Mikrocontroller 82 zumindest teilweise integriert sein. Bevorzugt ist es beispielsweise, wenn das Testsignal 80 von dem Mikrocontroller 82 über einen Optokoppler, eine kapazitive oder eine induktive Kopplung in den Überwachungskreis der zweiten Schaltpfade eingekoppelt wird. Der hier als Überwachungseinheit 78 bezeichnete Teil kann dann beispielsweise den Optokoppler oder einen Übertrager beinhalten.

[0066] Des Weiteren können Ausführungsbeispiele der Erfindung beinhalten, dass die Wechselschalter 56, 58 jeweils mehrere parallele Schaltkontakte besitzen. In diesem Fall können die Rücklesepfade der Überwachungseinheit 78 parallel geführt werden.

[0067] Weiterhin kann vorgesehen sein, dass die Wechselschalter 56, 58 eine eigene Überwachungseinheit 78 besitzen, die ein für den jeweiligen Wechselschalter individuelles Testsignal erzeugt. Die Vielzahl der Überwachungseinheiten kann dann mit dem Mikrocontroller 82 verbunden sein, um die Ergebnisse der Funktionstests dem Mikrocontroller 82 zu melden. Außerdem können die zweiten Schaltpfade der Wechselschalter 56, 58 in Reihe zueinander verbunden sein, während die zweiten Schaltpfade der Wechselschalter 56', 58' eine zweite Reihenschaltung bilden, die getrennt von der Reihenschaltung der Wechselschalter 56, 58 ausgebildet ist.

[0068] Schließlich kann die vorliegende Erfindung auch mit "konventionellen" Schaltelementen am Ausgang der Sicherheitsschaltvorrichtung 22 realisiert sein, sei es mit zwangsgeführten Relais oder mit Halbleiterschaltelementen, wie sie in DE 100 11 211 A1 gezeigt sind.

Ansprüche

1. Sicherheitsschaltvorrichtung zum sicheren Abschalten eines elektrischen Verbrauchers (24, 26), insbesondere in einer automatisiert betriebenen Anlage (10), mit zumindest einem Eingang (38, 40) zum Anschließen eines Meldegerätes (16; 20), mit einer Auswerte- und Steuereinheit (82), und mit zumindest einem Schaltelement (56, 58), das von der Auswerte- und Steuereinheit (82) ansteuerbar ist, um einen Stromversorgungspfad zu dem Verbraucher (24, 26) zu unterbrechen, wobei die Auswerte- und Steuereinheit (82) dazu ausgebildet, ist, zu definierten Zeitpunkten Funktionstests (120, 122) durchzuführen, um eine Schaltfunktion des zumindest einen Schaltelements (56, 58) zu überprüfen, dadurch gekennzeichnet, dass der zumindest eine Eingang (38, 40) zum Anschließen des Meldegerätes (16; 20) außerdem als Eingang zum Zuführen einer Versorgungsspannung (42) ausgebildet ist, die für den Betrieb des zumindest einen Schaltelements (56, 58) erforderlich ist.

2. Sicherheitsschaltvorrichtung nach Anspruch 1, dadurch gekennzeichnet, dass der zumindest eine Eingang (38, 40) außerdem zum Zuführen einer Versorgungsspannung (42) ausgebildet ist, die für den Betrieb der Auswerte- und Steuereinheit (82) erforderlich ist.

3. Sicherheitsschaltvorrichtung nach Anspruch 2, gekennzeichnet durch ein Entkopplungsnetzwerk (94), das dazu ausgebildet ist, die Versorgungsspannung (84) für das zumindest eine Schaltelement (56, 58) und die Versorgungsspannung für die Auswerte- und Steuereinheit (82) voneinander zu entkoppeln.

4. Sicherheitsschaltvorrichtung nach Anspruch 3, dadurch gekennzeichnet, dass das Entkopplungsnetzwerk (94) ein erstes Zeitglied (86, 95) beinhaltet, um die Versorgungsspannung (84) für das zumindest eine Schaltelement (56, 58) relativ zu der Versorgungsspannung für die Auswerte- und Steuereinheit (82) zu verzögern.

5. Sicherheitsschaltvorrichtung nach einem der Ansprüche 1 bis 4, gekennzeichnet durch eine Resetschaltung (88), die dazu ausgebildet ist, die Auswerte- und Steuereinheit (82) bei jeder erneuten Wiederkehr der Versorgungsspannung (42) in einen definierten Startzustand zu bringen.

6. Sicherheitsschaltvorrichtung nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, dass die Auswerte- und Steuereinheit (82) einkanalig ausgebildet ist.

7. Sicherheitsschaltvorrichtung nach einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, dass die Auswerte- und Steuereinheit (82) einen Mikrocontroller beinhaltet, der dazu ausgebildet ist, die Funktionstests (120, 122) zu den definierten Zeitpunkten, insbesondere vor dem Schließen des Stromversorgungspfades zu dem Verbraucher (24, 26), durchzuführen.

8. Sicherheitsschaltvorrichtung nach einem der Ansprüche 1 bis 7, gekennzeichnet durch ein zweites Zeitglied (96), das dazu ausgebildet ist, eine Verbindung zwischen der Auswerte- und Steuereinheit (82) und dem zumindest einen Schaltelement (56, 58) für eine definierte Zeitspanne, gemessen von dem Anlegen der Versorgungsspannung (42) an, zu sperren.

9. Sicherheitsschaltvorrichtung nach einem der Ansprüche 1 bis 8, gekennzeichnet durch zumindest zwei Schaltelemente (56, 58), die in Reihe zueinander angeordnet sind, um den Stromversorgungspfad zu dem Verbraucher (24, 26) redundant zu unterbrechen, wobei die Auswerte- und Steuereinheit (82) dazu ausgebildet ist, ein erstes dynamisches Steuersignal (100) für ein erstes (56) der zumindest zwei Schaltelemente zu erzeugen, sowie ein zweites, insbesondere statisches, Steuersignal (104) für ein zweites (58) der zumindest zwei Schaltelemente.

10. Sicherheitsschaltvorrichtung nach einem der Ansprüche 1 bis 9, dadurch gekennzeichnet, dass das zumindest eine Schaltelement (56, 58) ein Wechselschalter mit zumindest zwei zueinander alternativen Schaltpfaden (66, 68) ist, wobei ein erster Schaltpfad (66) im Stromversorgungspfad zu dem Verbraucher (24, 26) liegt, und wobei ein zweiter Schaltpfad (68) zu einer Überwachungseinheit (78) führt.

Claims

1. A safety switching apparatus for safe disconnection of an electrical load (24, 26), in particular in an automated installation (10), comprising at least one input (38, 40) for connecting a signaling device (16; 20), comprising an evaluation and control unit (82), and comprising at least one switching element (56, 58) which can be controlled by the evaluation and control unit (82) in order to interrupt an electrical power supply path to the load (24, 26), with the evaluation and control unit (82) being designed to carry out functional tests (120, 122) at defined instances of time in order to check a switching function of the at least one switching element (56, 58), characterized in that the at least one input (38, 40) for connecting the signaling device (16; 20) is further designed as an input for supplying a supply voltage (42) required for operation of the at least one switching element (56, 58).

2. The safety switching apparatus of claim 1, characterized in that the at least one input (38, 40) is further designed for supplying a supply voltage (42) required for operation of the evaluation and control unit (82).

3. The safety switching apparatus of claim 2, characterized by a decoupling network (94) which is designed to decouple the supply voltage (84) for the at least one switching element (56, 58) and the supply voltage for the evaluation and control unit (82) from one another.

4. The safety switching apparatus of claim 3, characterized in that the decoupling network (94) comprises a first delay element (86, 95) in order to delay the supply voltage (84) for the at least one switching element (56, 58) relative to the supply voltage for the evaluation and control unit (82).

5. The safety switching apparatus of one of claims 1 to 4, characterized by a reset circuit (88) which is designed to reset the evaluation and control unit (82) into a defined start state whenever the supply voltage (42) returns.

6. The safety switching apparatus of one of claims 1 to 5, characterized in that the evaluation and control unit (82) is a single channel evaluation and control unit.

7. The safety switching apparatus of one of Claims 1 to 6, characterized in that the evaluation and control unit (82) comprises a microcontroller which is designed to carry out the functional tests (120, 122) at the defined instances of time, and in particular prior to closing the electrical power supply path to the load (24, 26).

8. The safety switching apparatus of one of claims 1 to 7, characterized by a second delay element (96) which is designed to block a connection between the evaluation and control unit (82) and the at least one switching element (56, 58) for a defined time interval measured from the application of the supply voltage (42).

9. The safety switching apparatus of one of claims 1 to 8, characterized by at least two switching elements (56, 58) which are arranged in series with one another in order to interrupt the electrical power supply path to the load (24, 26) on a redundant basis, with the evaluation and control unit (82) being designed to produce a first dynamic control signal (100) for a first (56) of the at least two switching elements, and a second, in particular a static, control signal (104) for the second (58) of the at least two switching elements.

10. The safety switching apparatus of one of claims 1 to 9, characterized in that the at least one switching element (56, 58) is a changeover switch with at least two mutually alternative switching paths (66, 68), with a first switching path (66) being located in the electrical power supply path to the load (24, 26), and with a second switching path (68) leading to a monitoring unit (78).

Revendications

1. Dispositif de commutation de sécurité pour la mise hors circuit sécurisée d'une charge électrique (24, 26), notamment dans un équipement (10) à fonctionnement automatique, comprenant au moins une entrée (38, 40) pour raccorder un appareil de signalisation (16 ; 20), comprenant une unité d'interprétation et de commande (82) et comprenant au moins un élément de commutation (56, 58) qui peut être commandé par l'unité d'interprétation et de commande (82) afin d'interrompre un trajet d'alimentation électrique vers la charge (24, 26), l'unité d'interprétation et de commande (82) étant configurée pour effectuer des tests de fonctionnement (120, 122) à des instants donnés afin de contrôler une fonction de commutation de l'au moins un élément de commutation (56, 58), caractérisé en ce que l'au moins une entrée (38, 40) pour raccorder un appareil de signalisation (16 ; 20) est en outre configurée comme entrée pour acheminer un tension d'alimentation (42) qui est nécessaire pour le fonctionnement de l'au moins un élément de commutation (56, 58).

2. Dispositif de commutation de sécurité selon la revendication 1, caractérisé en ce que l'au moins une entrée (38, 40) est en outre configurée pour acheminer une tension d'alimentation (42) qui est nécessaire pour le fonctionnement de l'unité d'interprétation et de commande (82).

3. Dispositif de commutation de sécurité selon la revendication 2, caractérisé par un réseau de découplage (94) qui est configuré pour découpler l'une de l'autre la tension d'alimentation (84) pour l'au moins un élément de commutation (56, 58) et la tension d'alimentation pour l'unité d'interprétation et de commande (82).

4. Dispositif de commutation de sécurité selon la revendication 3, caractérisé en ce que le réseau de découplage (94) contient un premier temporisateur (86, 95) pour retarder la tension d'alimentation (84) pour l'au moins un élément de commutation (56, 58) par rapport à la tension d'alimentation pour l'unité d'interprétation et de commande (82).

5. Dispositif de commutation de sécurité selon l'une des revendications 1 à 4, caractérisé par un circuit de réinitialisation (88) qui est configuré pour amener l'unité d'interprétation et de commande (82) dans un état de départ défini à chaque rétablissement de la tension d'alimentation (42).

6. Dispositif de commutation de sécurité selon l'une des revendications 1 à 5, caractérisé en ce que l'unité d'interprétation et de commande (82) est réalisée avec un seul canal.

7. Dispositif de commutation de sécurité selon l'une des revendications 1 à 6, caractérisé en ce que l'unité d'interprétation et de commande (82) contient un microcontrôleur qui est configuré pour effectuer les tests de fonctionnement (120, 122) aux instants donnés, notamment avant la fermeture du trajet d'alimentation électrique vers les charges (24, 26).

8. Dispositif de commutation de sécurité selon l'une des revendications 1 à 7, caractérisé par un deuxième temporisateur (96) qui est configuré pour bloquer une liaison entre l'unité d'interprétation et de commande (82) et l'au moins un élément de commutation (56, 58) pendant un intervalle de temps donné, mesuré à partir de l'application de la tension d'alimentation (42).

9. Dispositif de commutation de sécurité selon l'une des revendications 1 à 8, caractérisé par au moins deux éléments de commutation (56, 58) qui sont disposés en série l'un de l'autre afin de réaliser une interruption redondante du trajet d'alimentation électrique vers les charges (24, 26), l'unité d'interprétation et de commande (82) étant configurée pour générer un premier signal de commande (100) dynamique pour le premier (56) des au moins deux éléments de commutation ainsi qu'un deuxième signal de commande (104), notamment statique, pour un deuxième (58) des au moins deux éléments de commutation.

10. Dispositif de commutation de sécurité selon l'une des revendications 1 à 9, caractérisé en ce que l'au moins un élément de commutation (56, 58) est un inverseur comprenant au moins deux trajets de commutation (66, 68) alternatifs l'un de l'autre, un premier trajet de commutation (66) se trouvant dans le trajet d'alimentation électrique vers les charges (24, 26) et un deuxième trajet de commutation (68) menant vers une unité de surveillance (78).

Zeichnung