Verfahren zum Erzeugen von erstfehlersicheren und fehlerfesten Steuersignalen einer Bedienungseinheit und eine entsprechende Sicherheitsvorrichtung eines elektromotorischen Möbelantriebs

Abstract

 Ein Verfahren zum Erzeugen von erstfehlersicheren und fehlerfesten Steuersignalen mindestens einer Bedienungseinheit (7, 23, 24) eines elektromotorischen Antriebs für ein Möbel (21) mit einer Steuervorrichtung (27) und einer Sicherheitsvorrichtung (1), weist die folgenden Verfahrensschritte auf: Überwachen und Verarbeiten von Ausgangssignalen der Bedienungseinheit (7, 23, 24) mittels einer Zentraleinheit (2); und Erzeugen von erstfehlersicheren und fehlerfesten Steuersignalen anhand der verarbeiteten Ausgangssignale mittels der Zentraleinheit (2), wobei das Überwachen und Verarbeiten der Eingangssignale parallel durch zumindest zwei programmierbare Controllereinrichtungen (3, 4) erfolgt, welche sich gegenseitig überwachen. Weiterhin wird eine entsprechende Sicherheitsvorrichtung (1) und eine Steuerungsanordnung (30) bereitgestellt.

Beschreibung

[0001] Die Erfindung betrifft ein Verfahren zum Erzeugen von erstfehlersicheren und fehlerfesten Steuersignalen mindestens einer Bedienungseinheit und eine entsprechende Sicherheitsvorrichtung eines elektromotorischen Möbelantriebs.

[0002] Derartige Bedienungseinheiten für elektromotorische Antriebe für Möbel sind in unterschiedlichen Ausführungen bekannt, wie zum Beispiel in Ausgestaltung als Handbedienung für Betten. Derartige Möbel weisen bestimmte Möbelteile auf, welche durch einen oder mehrere elektromotorische Antriebe verstellbar sind. Die Verstellung wird durch Betätigung der Bedienungseinheit aktiviert und deaktiviert.

[0003] Bei Betten, zum Beispiel mit einem Einsatz im Pflegebereich, Krankenhaus und Intensivbereich, sind weitaus mehr Bewegungsvorgänge mit unterschiedlichen Antrieben zu steuern als bei einem Bett im Privatbereich. Weiterhin sind nicht alle Verstellvorgänge der gesamten Bettverstellung für den darin befindlichen Patienten verfügbar. Dazu ist dem elektromotorischen Antrieb eines solchen Bettes als Bedienungseinheit, ein so genannter Patientenhandschalter, zugeordnet, der nur eine für den Patienten bestimmte geringe Anzahl von Betätigungsfunktionen erlaubt. Ein derartiger Patientenhandschalter ist dazu in erreichbarer Nähe des Patienten an oder in dem Möbel angeordnet. Eine derartige Bedienungseinheit für den Patienten wird häufig in Seitengittern des Bettes eingebaut und zum Beispiel als Seitengitterschalter bezeichnet. Eine weitere Betätigungseinrichtung, die nur für das Pflegepersonal erreichbar bzw. von diesem betätigbar ist, ist außerhalb der Reichweite des Patienten angeordnet und wird zum Beispiel als Bedienungseinheit Pfleger benannt.

[0004] Das Pflegepersonal ist mittels der Bedienungseinheit Pfleger in der Lage, bestimmte Funktionen der Patientenbedienungseinheit für den Patienten freizugeben bzw. zu sperren. Dies erfolgt mit geeigneten Schaltmitteln, wie zum Beispiel Drehschalter, welche zum Sperren und Entsperren von Funktionen benutzt werden. Eine Möglichkeit zur Sperrung von Bewegungen einzelner Antriebskomponenten in einer Kombination, die zur einer Gefährdung führen können, beschreibt die DE 196 03 318 A1, wobei die Antriebe mit absoluten Weggebern zur Ermittlung der jeweiligen Antriebsstellung auch nach einem Spannungsausfall oder mechanischer Verstellung, zum Beispiel bei einem Notfall, ausgerüstet sind.

[0005] Im Medizin- und Pflegebereich gelten bestimmte Sicherheitsvorschriften und Normen, wobei eine so genannte Erstfehlersicherheit von zum Beispiel Schaltelementen der Bedienungseinheiten einzuhalten ist. Diese Erstfehlersicherheit ist bei bestimmten Schaltelementtypen herstellerseitig durch einen Nachweis einer mechanischen Schaltzuverlässigkeit gegeben. Bei anderen Schaltelementen ohne einen solchen Nachweis muss deren Erstfehlersicherheit durch zusätzliche Maßnahmen sichergestellt werden. Solche Schaltelemente können zum Beispiel Folientastaturen sein, welche für Seitengitterschalter verwendet werden, da solche Folientastaturen besonders leicht zu reinigen und zu desinfizieren sind, was im Krankenhausalltag eine übliche Anforderung darstellt.

[0006] Weiterhin werden Anforderungen im Hinblick auf eine so genannte Fehlerfestigkeit gestellt, welche einen Schaltprozess beim Bedienen betrifft. Das heißt, dass bei einer Fehlbedienung, wie zum Beispiel durch gleichzeitiges Betätigen von mehreren Tasten oder Ausführen einer nicht logisch nachvollziehbaren Betätigungsreihenfolge, der Bedienungseinheit keine Fehlfunktionen auftreten, welche eine Gefahr für den Patienten sein oder bewirken könnten.

[0007] Auch ein unbeabsichtigtes Betätigen von Schaltelementen durch den Patienten an einer Bedienungseinheit, insbesondere an einem Seitengitterschalter, darf zu keiner Gefährdung führen.

[0008] Der Einsatz von erstfehlersicheren Bauelementen stellt einerseits einen bestimmten Kostenaufwand dar, und andererseits ist es jedoch nicht immer möglich, derartige Bauelemente in dem zur Verfügung stehenden Platz unterzubringen. Weiterhin ergibt sich der Nachteil, dass umfangreiche und kostenaufwändige Maßnahmen notwendig sein können, um derartige Bauteile in ein System einzugliedern.

[0009] Es besteht deshalb ein Bedarf zur Verbesserung von Maßnahmen für den Einsatz von nicht erstfehlersicheren Bauelementen. Ein weiterer Bedarf besteht auch darin, die Sicherheit von Patientenbedienungseinheiten zu erhöhen.

[0010] Es ist daher die Aufgabe der vorliegenden Erfindung, ein Verfahren zum Erzeugen von erstfehlersicheren und fehlerfesten Steuersignalen von Bedienungseinheiten bereitzustellen, welches die oben aufgeführten Nachteile behebt und zusätzliche Vorteile liefert.

[0011] Weitere Aufgaben der vorliegenden Erfindung bestehen darin, dazu eine entsprechende Sicherheitsvorrichtung und eine Steuerungsanordnung zu schaffen.

[0012] Diese Aufgaben werden durch ein Verfahren mit den Merkmalen des Anspruchs 1, eine Sicherheitsvorrichtung mit den Merkmalen des Anspruchs 11 und eine Steuerungsanordnung mit den Merkmalen des Anspruchs 19 gelöst.

[0013] Ein Grundgedanke der Erfindung besteht darin, dass Ausgangssignale einer Bedienungseinheit parallel mit zwei programmierbaren, sich gegenseitig überwachenden Controllereinrichtungen zum Erzeugen von erstfehlersicheren und fehlerfesten Steuersignalen überwacht und verarbeitet werden. Eine Controllereinrichtung ist hier eine Steuereinrichtung mit einem Mikroprozessor oder ein Mikroprozessor.

[0014] Somit können alle von Bedienungseinheiten initiierten Schaltvorgänge mit nicht erstfehlersicheren Bauelementen überwacht, überprüft und erstfehlersicher weitergeleitet werden, wobei im Falle von Fehlern keine Weiterleitung erfolgt bzw. Gefahren ausgeschlossen werden.

[0015] Ein erfindungsgemäßes Verfahren zum Erzeugen von erstfehlersicheren und fehlerfesten Steuersignalen mindestens einer Bedienungseinheit eines elektromotorischen Antriebs für ein Möbel mit einer Steuervorrichtung und einer Sicherheitsvorrichtung weist die folgenden Verfahrensschritte auf:
Überwachen und Verarbeiten von Ausgangssignalen der mindestens einen Bedienungseinheit mittels einer Zentraleinheit; und
Erzeugen von erstfehlersicheren und fehlerfesten Steuersignalen anhand der verarbeiteten Ausgangssignale mittels der Zentraleinheit,
wobei das Überwachen und Verarbeiten der Eingangssignale parallel durch zumindest zwei programmierbare Controllereinrichtungen erfolgt, welche sich gegenseitig überwachen.

[0016] Signaleingänge der Controllereinrichtungen können seriell verschlüsselte Signale, zum Beispiel von einer Buseinrichtung, oder auch Einzelsignale in Form von logischen Schaltbefehlen verarbeiten. Dadurch ist ein großer Einsatzbereich geschaffen.

[0017] Eine erfindungsgemäße Sicherheitsvorrichtung zur Erzeugung von erstfehlersicheren und fehlerfesten Steuersignalen mindestens einer Bedienungseinheit eines elektromotorischen Antriebs für ein Möbel mit einer Steuervorrichtung weist Folgendes auf:
mindestens einen Eingangsanschluss zum Anschluss mindestens einer Bedienungseinheit; und
eine Zentraleinheit zur Überwachung und Verarbeitung von Ausgangssignalen der Bedienungseinheit und zur Erzeugung von Ansteuersignalen oder zur Erzeugung von Ansteuersignalen und geprüften Weiterleitung der Ausgangssignale zur Erzeugung der erstfehlersicheren und fehlerfesten Steuersignalen,
wobei die Zentraleinheit mindestens zwei programmierbare Controllereinrichtungen aufweist, welche zur gegenseitigen Überwachung miteinander über eine Kommunikationsverbindung verbunden sind.

[0018] Jede Controllereinrichtung erzeugt nach Überprüfung und gegenseitiger Überwachung mit der anderen Controllereinrichtung ein entsprechendes logisches Ansteuersignal an einem Ausgang. Diese Ausgangssignale werden in einer Ausführung jeweils einer Schalteinheit zugeführt, wobei diese Schalteinheiten in Reihe geschaltet sind und erst dann das weiterführende Steuersignal zur Ausführung der gewünschten Funktion ausgeben, wenn beide Controllereinrichtungen ein Ausgangssignal erzeugt haben.

[0019] In einer alternativen Ausführung ist vorgesehen, dass die Ansteuersignale einer ersten Controllereinrichtung einer Schalteinheit, zum Beispiel für eine Steuerspannung von Funktionsschaltern wie Relais für Motorfunktionen, zugeführt werden, wobei die Ansteuersignale der anderen Controllereinrichtung als geprüfte Ausgangssignale oder weitergeleitete Ausgangssignale dem jeweiligen Steuereingang des korrespondierenden Funktionsschalters zugeleitet werden. Auch hierbei werden die Ausgangssignale der Controllereinrichtungen gegenseitig überwacht.

[0020] Das gegenseitige Überwachen der beiden Controllereinrichtungen erfolgt in einer Ausführung über eine hardwaremäßige Kommunikationsverbindung. Die Controllereinrichtung kommunizieren miteinander, ob sie bei Vorliegen eines Eingangssignals oder mehrerer dasselbe Ausgangssignal für eine entsprechende Aktion eines zugehörigen Antriebs geben würden. Dabei wird auch gleichzeitig ihre Funktion überwacht. Weiterhin werden die gegebenen Ausgangssignale dergestalt überwacht, dass die vorgesehenen Signale auch wirklich an dem zugehörigen Ausgang auftreten.

[0021] Jede Controllereinrichtung überprüft das Auftreten von Eingangssignalen anhand einer in einem Speicher vorher festlegbaren Reihenfolge und Rangordnung bzw. Fehlergewichtung. Treten Eingangssignale gleichzeitig auf, zum Beispiel mit einer ungenügenden Fehlerfestigkeit, die bei Ausführung der korrespondierenden Funktionen eine Gefahr verursachen könnten, so werden keine Ausgangssignale erzeugt. Auch während der Ausführung einer Funktion kann die Erzeugung der Ausgangssignale unterbrochen werden, wenn im Verlauf von anstehenden Eingangssignalen eine ungenügende Erstfehlersicherheit bzw. Fehlerfestigkeit festgestellt wird.

[0022] In dem Speicher können auch weitere zur Verarbeitung notwendige Daten und Tabellen gespeichert sein. Weiterhin können Programme und dergleichen abgespeichert sein.

[0023] In einer bevorzugten Ausführung ist ein Erzeugen der Ansteuersignale erst nach einer Aktivierung mittels zumindest eines separaten Freigabesignals von einer Bedienungseinheit über eine separate Leitung zur Freigabe des Erzeugens der Ansteuersignale möglich. Dadurch wird erreicht, dass zum Beispiel eine irrtümliche Betätigung oder falsche Betätigungsweise, zu keiner Ansteuerung einer Funktion führt. Es muss zuvor eine Aktivierung durch das Aktivierungssignal bewusst, zum Beispiel über ein Freigabeelement in Form einer Taste, erfolgen. Dazu kann eine vorher festgelegte Betätigungsweise benutzt werden, indem zum Beispiel ein Loslassen der Freigabetaste innerhalb eines bestimmten Zeitfensters erfolgen muss, um eine Aktivierung zu ermöglichen. Andere Betätigungsweisen sind selbstverständlich möglich. Dadurch werden zum Beispiel Dauerbetätigungen des Freigabeelementes durch gewollte Blockierung verhindert. Eine separate Signalleitung für die Freigabesignale ergibt eine zusätzliche Sicherheit.

[0024] Ein großer Vorteil der Aktivierung, die nur für einen vorher festgelegten Zeitraum in Funktion ist, besteht darin, dass dadurch ein Schutz bei einem Defekt der Bedieneinheit, zum Beispiel bei einem defekten Bedienfeld oder Betätigungselement, besteht.

[0025] In einer weiteren Ausführung ist vorgesehen, dass das Erzeugen von erstfehlersicheren und fehlerfesten Steuersignalen für frei wählbare Funktionen mittels einer Sperr-/Entsperreinrichtung sperrbar/entsperrbar ist. Dabei ist zum Beispiel eine Sperr-/Entsperreinrichtung in einer Bedienungseinheit Pfleger vorgesehen, wodurch für den Patienten nicht zugelassene Bewegungsfunktionen sperrbar sind. Auch hierfür ist die Zentraleinheit vorteilhaft verwendbar. Ebenfalls kann hier eine separate Signalleitung verwendet werden, die zusätzliche Sicherheit bietet.

[0026] In weiterer Ausgestaltung ist vorgesehen, dass die Sicherheitsvorrichtung eine Meldeeinrichtung zur Meldung eines Fehlers und/oder einer Fehlerfreiheit aufweist.

[0027] In einer Ausführung weist die Sicherheitsvorrichtung einen separaten Eingangsanschluss zum Anschluss einer Bedienungseinheit mit zumindest einem Freigabeelement zur Aktivierung der Erzeugung von Ansteuersignalen auf. Damit wird eine zusätzliche Sicherheit geschaffen.

[0028] Auch ein Sperren/Entsperren von frei wählbaren Funktionen ist über diesen oder einen oder mehrere Eingangsanschlüsse durch eine geeignete Sperr-/Entsperreinrichtung möglich, wenn hierzu eine Bedieneinheit Pfleger angeschlossen ist.

[0029] Die Bedienungseinheit oder eine Bedienungseinheit Pfleger kann Bestandteil der Sicherheitsvorrichtung sein. Hiermit ist es möglich, Bedieneinheiten mit nicht erstfehlersicheren Bauelementen so zu gestalten, dass diese Bedieneinheiten erstfehlersichere Ausgangssignale liefern. Es ist aber auch möglich, dass die Sicherheitsvorrichtung Bestandteil der Steuervorrichtung ist, an welche die Bedieneinheiten angeschlossen sind.

[0030] Eine erfindungsgemäße Steuerungsanordnung eines elektromotorischen Antriebs für ein Möbel mit einer Steuervorrichtung weist die oben beschriebene Sicherheitsvorrichtung zur Durchführung des oben erläuterten Verfahrens auf.

[0031] Wie eingangs bereits beschrieben, kann in einer Ausführung das gegenseitige Überwachen der beiden Controllereinrichtungen über eine hardwaremäßige Kommunikationsverbindung erfolgen. Dabei weist jede Controllereinrichtung ein Programm oder einen Programmabschnitt auf, welches/welcher ein logisches Signal oder ein Zählersignal an die hardwaremäßige Kommunikationsverbindung legt. Dabei kann ein Zählersignal in einfachster Form die Größe eines Byte umfassen, so dass in einer Größenordnung von 0 bis 255 gezählt wird. Weiterhin ist das Programm oder der Programmabschnitt der ersten Controllereinrichtung derart ausgebildet, dass das Zählersignal in einer aufwärtszählenden Reihenfolge ausgebildet ist. Das Zählersignal der zweiten Controllereinrichtung ist dann in einer entgegengesetzten Reihenfolge ausgebildet, so dass eine abwärtszählende Reihenfolge durch das Programm oder durch den Programmabschnitt der zweiten Controllereinrichtung erfolgt.

[0032] In vorteilhafter Weiterbildung sind beide Controllereinrichtungen in Verbindung mit dem jeweiligen Programm derart ausgebildet, dass sie die Zählersignale der jeweils anderen Controllereinrichtung lesen, auswerten und überwachen können. Dabei wird die Zeitdauer zwischen jedem Zählschritt überwacht. Erhält beispielsweise die zweite Controllereinrichtung innerhalb eines Zeitfensters von der ersten Controllereinrichtung keine Signale oder Zählersignale mehr, so liegt ein Fehler vor, in Folge dessen ein Ansteuern einer Schalteinheit nicht erfolgt und ein Ansteuern einer optischen oder einer akustischen Meldeeinrichtung erfolgt.

[0033] Gemäß einer vorteilhaften Ausführungsform erfolgen 20 bis 30 Zählschritte pro Sekunde, so dass die Zählfrequenz zwischen 20 Hz und 30 Hz ausgebildet ist und dementsprechend die Schrittweite zwischen den Zählimpulsen zwischen 0,03 Sekunden und 0,05 Sekunden liegt. Gemäß diesem Ausführungsbeispiel kann das oben bereits erwähnte Zeitfenster eine Weite des zwei- bis fünffachen der Schrittweite betragen, beispielsweise 0,1 Sekunden.

[0034] Die Betriebsspannung der Controllereinrichtung kann 24 Volt betragen, kann jedoch auch bei einem netzunabhängigen Betrieb von anderen Faktoren, wie beispielsweise dem Ladezustand eines Akkumulators, abhängig sein. In vorteilhafter Weise ist die Betriebsspannung der Controllereinrichtungen und/oder der Zentraleinheit deutlich geringer als die Betriebsspannung der gesamten Steuervorrichtung ausgebildet und liegt beispielsweise bei 5 Volt. Hierzu sind der Controllereinrichtung und/oder der Zentraleeinrichtung Spannungsreduzierungsmittel vorgeschaltet, beispielsweise in Form von Spannungsreglern oder einer Trafowicklung. Da zumindest die Controllereinrichtung und/oder die Zentraleinrichtung Halbleiterbauelemente aufweist, ist zumindest diesen Bauteilen eine Überspannungsschutzbeschaltung vorgeschaltet, welche beispielsweise eine Suppressordiode und eine Schmelzsicherung aufweist.

[0035] Die Erfindung wird nun anhand von Ausführungsbeispielen mit Bezug auf die beigefügten Figuren näher erläutert. Hierbei zeigt:

Fig. 1

ein Blockschaltbild eines ersten Ausführungsbeispiels einer erfindungsgemäßen Sicherheitsvorrichtung;

Fig. 2

ein Blockschaltbild eines zweiten Ausführungsbeispiels der erfindungsgemäßen Sicherheitsvorrichtung;

Fig. 3

ein schematisches Schaltbild einer Motorschalteinheit;

Fig. 4

ein Blockschaltbild eines dritten Ausführungsbeispiels der erfindungsgemäßen Sicherheitsvorrichtung;

Fig. 5

ein Ausführungsbeispiel einer erfindungsgemäßen Schaltungsanordnung;

Fig. 6

ein beispielhaftes Möbel mit einer Bedieneinheit;

Fig. 7

ein Seitengitter des Möbels nach Fig. 6; und

Fig. 8

eine vergrößerte Darstellung eines Seitengitterschalters.

[0036] Gleiche oder ähnliche Funktionseinheiten sind in den Figuren mit gleichen Bezugszeichen versehen.

[0037] Fig. 1 zeigt ein Blockschaltbild eines ersten Ausführungsbeispiels einer erfindungsgemäßen Sicherheitsvorrichtung 1.

[0038] Die Sicherheitsvorrichtung 1 weist eine Zentraleinheit 2 mit zwei programmierbaren Controllereinrichtungen 3 und 4 auf. Weiterhin ist die Sicherheitsvorrichtung 1 mit zwei Schalteinheiten 5 und 6, sowie einer Speichereinrichtung 10, einer akustischen Meldeeinrichtung 33 und einer optischen Meldeeinrichtung 34 ausgerüstet.

[0039] An einem Anschluss e1 ist eine Bedienungseinheit 7 mit einer Tastatur 8 angeschlossen und mit der Zentraleinheit 2 mit der ersten Controllereinrichtung 3 mit einem Eingangsanschluss e31 und mit der zweiten Controllereinrichtung 4 mit einem Eingangsanschluss e41 verbunden. Diese Anschlüsse können entweder eine Busleitung oder eine logische Verdrahtung sein. Über einen separaten Anschluss e2 ist ein Freigabeelement 9 der Bedienungseinheit 7 mit der Zentraleinheit 2 mit einem Eingangsanschluss e32 der ersten Controllereinrichtung 3 und einem Eingangsanschluss e42 der zweiten Controllereinrichtung 4 verbunden.

[0040] Die Controllereinrichtungen 3 und 4 sind untereinander über eine Kommunikationsverbindung 31 verbunden, die mehrere Leitungen umfassen kann. Die erste Controllereinrichtung 3 weist einen Ausgangsanschluss a31 auf, der mit der ersten Schalteinheit 5 über einen Steuereingang St5 verbunden ist. In gleicher Weise ist ein Ausgangsanschluss a41 der zweiten Controllereinrichtung 4 über einen Steuereingang St6 mit der zweiten Schalteinheit 6 verbunden. Ein Prüfanschluss Pr5 der ersten Schalteinheit 5 ist mit einem Eingang e33 der ersten Controllereinrichtung 3 und mit einem Eingang e43 der zweiten Controllereinrichtung 4 verbunden. In gleicher Weise ist ein Prüfanschluss Pr6 der zweiten Schalteinheit 6 an einem Eingang e44 der zweiten Controllereinrichtung 4 und an einem Eingang e34 der ersten Controllereinrichtung 3 angeschlossen.

[0041] Der Eingangsanschluss e1 ist auf einen Ausgangsanschluss a1 geführt und jeweils ein Ausgangsanschluss a32, a42 der Controllereinrichtungen 3, 4 ist mit einem Ausgangsanschluss a2, a3 der Sicherheitsvorrichtung 1 verbunden.

[0042] Jede Schalteinheit 5, 6 weist einen Eingangsanschluss E5, E6 und einen Ausgangsanschluss A5, A6 auf.

[0043] Nun wird die Funktion der Sicherheitsvorrichtung 1 erläutert.

[0044] Ein in der Tastatur 8 der Bedieneinheit 7 durch ein betätigtes, nicht erstfehlersicheres Schaltelement erzeugtes Ausgangssignal zur Ausführung einer Funktion, zum Beispiel eines Antriebs eines Hospitalbetts (siehe Fig. 6) wird auf beide Controllereinrichtungen 3 und 4 der Zentraleinheit 2 der Sicherheitsvorrichtung 1 geleitet. Das Ausgangssignal wird anhand von in der Speichereinrichtung 10 abgelegten Kriterien und Prüfprogrammen von beiden Controllereinrichtungen 3, 4 geprüft und anstehende Ausgangssignale in ihrer Dauer überwacht. Sind mehrere Ausgangssignale gleichzeitig anstehend, so wird anhand der im Speicher 10 gespeicherten Daten ihrer Fehlerfestigkeit geprüft, das heißt, ob sie in dieser Kombination zugelassen sind oder eine Gefahr bewirken können.

[0045] Gleichzeitig überwachen sich die Controllereinrichtungen 3 und 4 untereinander über ihre Kommunikationsverbindung 31, zum Beispiel, ob sie bei einem anstehenden Ausgangssignal an ihren Eingängen beide das gleiche Freigabesignal für die gewünschte Funktion geben würden. Liegen keine erkennbaren Fehler vor, erzeugt jede Controllereinrichtung 3, 4 für sich ein Freigabesignal an dem jeweiligen Ausgangsanschluss a31 und a41, welches jeweils unabhängig voneinander an die zugehörige Schalteinheit 5, 6 geleitet wird. Dort wird es an dem jeweiligen Prüfanschluss Pr5, Pr6 wieder an den Eingangsanschluss e33, e43 der zugehörigen Controllereinrichtung 3, 4 und der anderen Controllereinrichtung 4, 3 zur Überprüfung geleitet. Es wird dabei geprüft, ob der ausgegebene Signalwert auch dem erzeugten Signalwert entspricht, wodurch eine zusätzliche Sicherheit geschaffen wird.

[0046] Werden bei anstehenden Ausgangssignalen Fehler während der Einschaltdauer festgestellt, so werden die Schalteinheiten und somit die schon eingeschaltete Funktion wieder ausgeschaltet. Eine Meldung kann über den Akustikmelder 33 und/oder durch die optische Meldeeinrichtung 34, zum Beispiel durch eine blinkende Lampe oder eine Fehlermeldung auf einem Display, erfolgen.

[0047] Die Schalteinheiten 5, 6 können in diesem ersten Ausführungsbeispiel mit ihren Eingangsanschlüssen E5, E6 und Ausgangsanschlüssen A5, A6 so beschaltet sein, dass sie die gewünschte Funktion nur dann einschalten, wenn beide Schalteinheiten 5 und 6 durch die Ansteuersignale an ihren Steuereingängen St5, St6 eingeschaltet worden sind.

[0048] Fig. 2 zeigt ein zweites Ausführungsbeispiel der erfindungsgemäßen Sicherheitsvorrichtung 1, wobei hier die Schalteinheiten 5 und 6 jeweils einen Transistor als erstes und zweites Schaltelement 15, 16 aufweisen. Die Schalteinheiten 5, 6 sind hier in Reihe geschaltet, das heißt, der Emitter des ersten Schaltelementes 15 ist mit dem Eingangsanschluss E5 und zum Beispiel einer Steuerspannung V_ST verbunden, sein Kollektor ist der Ausgangsanschluss A5, welcher mit dem Eingangsanschluss E6 des zweiten Schaltelementes 16, dem Emitter dieses Transistors und mit einem Widerstand verbunden ist. Der Kollektor des zweiten Schaltelementes 16 ist am Ausgang A6 zu einem Steuerspannungsanschluss V_11ST einer Motorschalteinheit 11 (siehe Fig. 3) geführt. An diesem Kollektor ist eine Leuchtdiode als optische Meldeeinrichtung 34' angeschlossen, welche durch Leuchten einen Funktionsvorgang als "in Ordnung" bestätigt.

[0049] Sind die Ausgangssignale der Bedieneinheit 7 als fehlerfrei von der Zentraleinheit 2 erachtet worden, erhalten beide Schalteinheiten 5 und 6 jeweils ein Freigabesignal von den Controllereinrichtungen 3 und 4, wodurch beide Transistoren, das heißt beide Schaltelemente 15 und 16 durchschalten, und somit die Steuerspannung V_ST auf den Ausgangsanschluss A6 zum Steuerspannungsanschluss V11STder Motorschalteinheit 11 durchschalten. Bei anliegender Steuerspannung VST kann das entsprechende Ausgangssignal der Bedieneinheit 7, das gleichzeitig an den Eingängen e31, e41 der Controllereinrichtungen 3, 4 und am Ausgangsanschluss a1 liegt, an Steuereingängen St111, St112 der Motorschalteinheit 11 (siehe Fig. 3) den Motor des Antriebs mit der gewünschten Funktion einschalten, solange die Steuerspannung V_11ST anliegt.

[0050] Zur besseren Verdeutlichung zeigt Fig. 3 die Motorschalteinheit 11 in einer beispielhaften Ausführung. Ein Motor 14 eines Antriebs ist über zwei Funktionsschalter 12, 13 mit einem Plus- und Minusanschluss V₁₁₊, V_11- einer Motorspannung V_M mit Plusleitung V_M+ und Minusleitung V_M- unterschiedlich über Leistungsschalter 19, 20 (hier Relais) verbindbar, dass er eine Links- oder Rechtsdrehung vollzieht, wenn der jeweilige Leistungsschalter 19 oder 20 über ein erstes oder zweites Funktionsschaltelement 17, 18 eingeschaltet ist. Die Funktionsschaltelemente 17, 18 sind hier Transistoren mit jeweils einem Steuereingang St111, St112, welche mit dem Ausgangsanschluss a1 (hier zwei Stück) verbunden sind, an welchen die Ausgangssignale der Bedienungseinheit 7 anliegen. Ist die Steuerspannung V_11ST vorhanden, so kann bei anliegendem Ausgangssignal an einem der Steuereingänge St111 oder St112, das jeweilige Relais und somit die zugehörige Antriebsfunktion des Motors M eingeschaltet werden. Tritt ein Fehler auf, wird wie oben beschrieben, auch bei anliegendem Ausgangssignal die Steuerspannung V_11ST über die Schalteinheiten 5, 6 unterbrochen, und die jeweilige Motorfunktion durch Abfall des eingeschalteten Relais (Leistungsschalter 19 oder 20) ausgeschaltet.

[0051] Ein drittes Ausführungsbeispiel wird nun im Zusammenhang mit Fig. 3 und Fig. 4 beschrieben. Fig. 4 zeigt dazu die Anordnung von Fig. 1 mit nur einer Schalteinheit 5, welche mit der ersten Controllereinrichtung 3 wie unter Fig. 1 beschrieben verbunden ist. Hierbei ist die Schalteinheit 5 jedoch als Leistungsschalter, zum Beispiel ein Relais, ausgeführt. Der Eingangsanschluss E5 der ersten Schalteinheit 5 ist mit der Minusleitung V_M- der Motorspannung V_M verbunden, und der Ausgangsanschluss A5 der Schalteinheit 5 ist an dem Minusanschluss V_11- der Motorschalteinheit 11 angeschlossen (Fig. 3). Der Ausgangsanschluss a42 (hier 2 Leitungen) ist mit dem Ausgangsanschluss a2 der Sicherheitsvorrichtung 1 verbunden, welcher an die Steuereingänge St111 und St112 der Motorschalteinheit 11 angeschlossen ist. Hierbei ist aus Gründen der Übersichtlichkeit nur eine Leitung dargestellt, wobei diese Verbindung aus mehr als einer Leitung bestehen kann, wie leicht vorstellbar ist.

[0052] Bei anliegendem fehlerfreien Ausgangssignal der Bedienungseinheit 7 erzeugt die erste Controllereinrichtung 3 wie oben beschrieben ein Freigabesignal, welches die erste Schalteinheit 5 einschaltet. Damit liegt der Minusanschluss V_11- der Motorschalteinheit 11 an der Minusleitung V_M- der Motorspannung V_M. Gleichzeitig erzeugt die zweite Controllereinrichtung 4 ein Freigabesignal, welches gemäß der gewünschten Funktion des anstehenden Ausgangssignals der Bedieneinheit 7 an dem Steuereingang St111 oder St112 anliegt und den zugehörigen Leistungsschalter 19, 20 der Motorschalteinheit 11 zur gewünschten Antriebsfunktion einschaltet. Im Fehlerfall wird entweder die Minusleitung V_M- der Motorspannung V_M, das Freigabesignal an dem Steuereingang St111 oder St112 oder beides unterbrochen.

[0053] Bei allen Ausführungsbeispielen nach Fig. 1, 2 und 4 kann die Erzeugung der Freigabesignale durch die Controllereinrichtung 3, 4 durch das Freigabeelement 9 der Bedieneinheit 7 aus Sicherheitsgründen nur für einen bestimmten Zeitraum freigegeben, das heißt aktiviert sein. Hierzu ist es erforderlich, vor einer Betätigung der Tastatur 8 das Freigabeelement 9, zum Beispiel für eine vorher festlegbare Zeitdauer, zu betätigen, die zum Beispiel 1,5 Sekunden lang ist. Wird das Freigabeelement 9 später losgelassen oder überhaupt nicht, wie es zum Beispiel bei einer Dauerbetätigung irrtümlicherweise oder durch bewusste Manipulation erfolgen kann, wird keine Aktivierung der Tastatur 8 ausgelöst. Dadurch wird eine hohe Sicherheitsstufe erreicht. Die Aktivierung erfolgt nur für eine bestimmte, vorher festlegbare Zeitdauer, zum Beispiel für 10 Sekunden. Auch bei einer defekten Tastatur 8 mit Dauerkontakt wird dieser nach der Aktivierungszeit wieder automatisch getrennt.

[0054] Diese Funktion ist dadurch gegeben, dass das Freigabeelement 9 über eine separate Leitung mit den Controllereinrichtungen 3, 4 zusammenwirkt. Die Zusammenwirkung beruht zum Beispiel darauf, dass bei nicht vorhandenem Freigabesignal des Freigabeelementes 9 keine Ansteuersignale an den Anschlüssen a31, a41 der Controllereinrichtungen 3, 4 erzeugt werden. Die Betätigungsdauer und Aktivierungsdauer können in der Speichereinrichtung 10 festgelegt sein.

[0055] Fig. 5 zeigt ein Ausführungsbeispiel einer erfindungsgemäßen Schaltungsanordnung 30 und weist ein Gehäuse 26 auf, an welchem zwei Bedienungseinheiten Patient 23, zwei Fußbedienungseinheiten 25, zwei Bedienungseinheiten Pfleger 24, eine Leuchte 29 und eine Steuervorrichtung 27 angeschlossen sind. Das Gehäuse 26 weist in diesem Beispiel die Sicherheitsvorrichtung 1 auf. Zum Beispiel sind nach dem Ausführungsbeispiel nach Fig. 2 die Anschlüsse e1, e2 mit den Bedienungseinheiten 23, 24, 25 verbunden. Ein Verbindungskabel 28 zur Steuervorrichtung 27 umfasst Steuerleitungen der Ausgangsanschlüsse (zum Beispiel nach Fig. 2) a1, a2, a3, A6 und Eingangsanschluss E5. Eine Bedienungseinheit Pfleger 24 besitzt die Sperr-/Entsperreinrichtung 249. Alle Bedienungseinheiten Patient 23 sind mit Tastaturen Patient 238 und alle Bedienungseinheiten Pfleger 24 sind mit Tastaturen Pfleger 248 ausgerüstet, wobei die Bedienungseinheiten Pfleger 24 Sondertastaturen Pfleger 241, zum Beispiel zur Einstellung von Sperr-/Entsperrfunktionen, aufweisen. Alle Bedienungseinheiten 23 und 24 besitzen Schnittstellen 230 und 240 für eine Buseinrichtung. An einer Anschlussleiste 271 sind Antriebe (nicht gezeigt) angeschlossen. Eine der Bedienungseinheiten 23 (oder auch beide) kann als Seitengitterschalter ausgebildet sein, wie er in Fig. 6 bis 8 dargestellt und verdeutlicht ist.

[0056] Fig. 6 zeigt ein beispielhaftes Möbel 21, zum Beispiel ein Hospitalbett, mit einer Bedieneinheit Patient 23, die in einem Seitengitter 22 des Betts angebracht ist, wie Fig. 7 und 8 als Vergrößerung des Bereiches X in Fig. 6 noch näher verdeutlichen. Der Seitengitterschalter weist eine Tastatur 8 mit 4 Tastelementen und eine Anzeige 32 auf. Eines der Tastelemente der Tastatur 8 oder ein zusätzliches, nicht gezeigtes, kann die Funktion des Freigabeelementes 9 besitzen. Da sich der Seitengitterschalter und somit die Tastatur 8 in unmittelbarer Nähe eines in dem Bett befindlichen Patienten befindet, kann sie mit einer hohen Wahrscheinlichkeit durch diesen, zum Beispiel während des Schlafs durch einen Arm, dauerbetätigt sein. Aus diesem Grund ist die oben beschriebene Aktivierung über das Freigabeelement 9 innerhalb eines vorher festlegbaren Zeitfensters und die begrenzte Aktivierungsdauer von großer Bedeutung. Im Zusammenhang mit der Sicherheitseinrichtung 1 zur Erzeugung von erstfehlersicheren und fehlerfesten Steuersignalen wird eine hohe Sicherheit geschaffen.

[0057] Die Erfindung ist nicht auf das erläuterte Ausführungsbeispiel beschränkt, sondern im Rahmen der beigefügten Ansprüche modifizierbar.

[0058] Selbstverständlich können auch erstfehlersichere Bedieneinheiten an der Sicherheitsvorrichtung 1 angeschlossen sein, wodurch sich eine höhere Sicherheit ergibt.

[0059] Die Motorschalteinheit 11 kann auch mit Leistungsschalter 19, 20 in Form von Leistungshalbleitern aufweisen. Sie kann auch in anderer Weise aufgebaut sein, wie leicht vorstellbar ist.

[0060] Mittels der Bedienungseinheit Pfleger 24 können auch Funktionen gesperrt oder entsperrt werden. Dazu kann die Sperr-/Entsperrtastatur 249 mit der Zentraleinheit 2 ähnlich dem Freigabeelement 9 verbunden sein, wobei die Aktivierungsdauer für frei wählbare Funktionen zur Sperrung zum Beispiel auf eine Zeit von 0 Sekunden einstellbar ist oder das Freigabesignal des Freigabeelementes 9 bei dieser zu sperrenden Funktion ohne Wirkung bleibt.

Bezugszeichenliste

[0061] 

1

Sicherheitsvorrichtung

2

Zentraleinheit

3

Erste Controllereinrichtung

4

Zweite Controllereinrichtung

5

Erste Schalteinheit

6

Zweite Schalteinheit

7

Bedienungseinheit

8

Tastatur

9

Freigabeelement

10

Speichereinrichtung

11

Motorschalteinheit

12

Erster Funktionsschalter

13

Zweiter Funktionsschalter

14

Motor

15

Erstes Schaltelement

16

Zweites Schaltelement

17

Erstes Funktionsschaltelement

18

Zweites Funktionsschaltelement

19

Erster Leistungsschalter

20

Zweiter Leistungsschalter

21

Möbel

22

Seitengitter

23

Bedienungseinheit Patient

24

Bedienungseinheit Pfleger

25

Fußbedienungseinheit

26

Gehäuse

27

Steuervorrichtung

28

Verbindungskabel

29

Beleuchtung

30

Steuerungsanordnung

31

Kommunikationsverbindung

32

Anzeige

33

Meldeeinrichtung akustisch

34

Meldeeinrichtung optisch

230

Schnittstelle

238

Tastatur Patient

240

Schnittstelle

241

Sondertastatur Pfleger

248

Tastatur Pfleger

249

Sperr-/Entsperreinrichtung

271

Anschlussleiste

A1...5

Ausgangsanschlüsse

a31...32

Ausgänge erste Controllereinrichtung

a41...42

Ausgänge zweite Controllereinrichtung

e 1

Anschluss Bedienungseinheit

e2

Anschluss Freigabeelement

E5...6

Eingangsanschlüsse Schalteinheiten

e31...34

Eingänge erste Controllereinrichtung

e41...44

Eingänge zweite Controllereinrichtung

Pr5... 6

Prüfanschlüsse Schalteinheiten

St5, St6

Steuereingänge Schalteinheiten

St111...112

Steuereingänge Funktionsschalter

V_M+

Motorspannung, Plusleitung

V_M-

Motorspannung, Minusleitung

V₁₁₊

Motorschalteinheit, Plusanschluss

V_11-

Motorschalteinheit, Minusanschluss

V_11ST

Motorschalteinheit, Steuerspannungsanschluss

V_ST

Steuerspannung

Ansprüche

1. Verfahren zum Erzeugen von erstfehlersicheren und fehlerfesten Steuersignalen mindestens einer Bedienungseinheit (7, 23, 24) eines elektromotorischen Antriebs für ein Möbel (21) mit einer Steuervorrichtung (27) und einer Sicherheitsvorrichtung (1), wobei das Verfahren die folgenden Verfahrensschritte aufweist:

(i) Überwachen und Verarbeiten von Ausgangssignalen der mindestens einen Bedienungseinheit (7, 23, 24) mittels einer Zentraleinheit (2); und

(ii) Erzeugen von erstfehlersicheren und fehlerfesten Steuersignalen anhand der verarbeiteten Ausgangssignale mittels der Zentraleinheit (2),

wobei das Überwachen und Verarbeiten der Eingangssignale parallel durch zumindest zwei programmierbare Controllereinrichtungen (3, 4) erfolgt, welche sich gegenseitig überwachen.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass beim Erzeugen der erstfehlersicheren und fehlerfesten Steuersignale eine der zumindest zwei programmierbaren Controllereinrichtungen (3) Ansteuersignale für eine erste Schalteinheit (5) erzeugt, die andere der zumindest zwei programmierbaren Controllereinrichtungen (3) Ansteuersignale für eine zweite Schalteinheit (6) erzeugt, wobei die erste Schalteinheit (5) und die zweite Schalteinheit (6) in Reihe geschaltet sind, und ein Weiterleiten der Ausgangssignale der Bedienungseinheit (7, 23, 24) als Steuersignale erfolgt.

3. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass beim Erzeugen der erstfehlersicheren und fehlerfesten Steuersignale eine der zumindest zwei programmierbaren Controllereinrichtungen (3) Ansteuersignale für eine erste Schalteinheit (5) erzeugt und die andere der zumindest zwei programmierbaren Controllereinrichtungen (3) die Ausgangssignale der Bedienungseinheit (7, 23, 24) weiterleitet.

4. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass beim gegenseitigen Überwachen der zumindest zwei programmierbaren Controllereinrichtungen (2, 3) ein gegenseitiges Überwachen der erstfehlersicheren und fehlerfesten Steuersignale erfolgt.

5. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass das gegenseitige Überwachen der zumindest zwei programmierbaren Controllereinrichtungen (2, 3) über eine Kommunikationsverbindung (31) erfolgt.

6. Verfahren nach einem der Ansprüche 2 bis 5, dadurch gekennzeichnet, dass bei einem Auftreten eines ersten Fehlers oder einer ungenügenden Fehlerfestigkeit kein Erzeugen von Ansteuersignalen von der Zentraleinheit (2) bei der korrespondierenden Funktion ausgeführt wird.

7. Verfahren nach Anspruch 6, dadurch gekennzeichnet, dass bei einem Auftreten eines ersten Fehlers oder einer ungenügenden Fehlerfestigkeit in Abhängigkeit von einer vorher festlegbaren Fehlergewichtung ein Erzeugen von Ansteuersignalen unterbrochen bzw. kein Erzeugen ausgeführt wird.

8. Verfahren nach einem der Ansprüche 2 bis 7, dadurch gekennzeichnet, dass ein Erzeugen der Ansteuersignale nach einer Aktivierung mittels zumindest eines separaten Freigabesignals von einer Bedienungseinheit (7, 24) über eine separate Leitung zur Freigabe des Erzeugens der Ansteuersignale erfolgt.

9. Verfahren nach einem Anspruch 8, dadurch gekennzeichnet, dass das Freigabesignal mittels zumindest eines separaten Freigabeelementes (9) in einem vorher festgelegten Zeitfenster und durch eine vorher festlegbare Betätigungsweise für eine vorher festlegbare Zeitdauer erzeugt wird.

10. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass das Erzeugen von erstfehlersicheren und fehlerfesten Steuersignalen für frei wählbare Funktionen mittels einer Sperr-/Entsperreinrichtung sperrbar/entsperrbar ist.

11. Sicherheitsvorrichtung (1) zur Erzeugung von erstfehlersicheren und fehlerfesten Steuersignalen mindestens einer Bedienungseinheit (7, 23, 24) eines elektromotorischen Antriebs für ein Möbel (21) mit einer Steuervorrichtung (27), welche Folgendes aufweist:

- mindestens einen Eingangsanschluss (e1) zum Anschluss mindestens der mindestens einen Bedienungseinheit (7, 23, 24); und

- eine Zentraleinheit (2) zur Überwachung und Verarbeitung von Ausgangssignalen der Bedienungseinheit (7, 23, 24) und zur Erzeugung von Ansteuersignalen oder zur Erzeugung von Ansteuersignalen und Weiterleitung der Ausgangssignale zur Erzeugung der erstfehlersicheren und fehlerfesten Steuersignale,

wobei die Zentraleinheit (2) mindestens zwei programmierbare Controllereinrichtungen (3, 4) aufweist, welche zur gegenseitigen Überwachung miteinander über eine Kommunikationsverbindung (31) verbunden sind.

12. Sicherheitsvorrichtung (1) nach Anspruch 11, dadurch gekennzeichnet, dass die Sicherheitsvorrichtung (1) weiterhin mindestens zwei Schalteinheiten (5, 6) zur Entsperrung oder Sperrung von Funktionen des elektromotorischen Antriebs in Abhängigkeit von den Ansteuersignalen der Zentraleinheit (2) aufweist, wobei eine der mindestens zwei Schalteinheiten (5) mit der einen der mindestens zwei programmierbaren Controllereinrichtungen (3) und die andere der mindestens zwei Schalteinheiten (6) mit der anderen der mindestens zwei programmierbaren Controllereinrichtungen (4) verbunden ist.

13. Sicherheitsvorrichtung (1) nach Anspruch 12, dadurch gekennzeichnet, dass die mindestens zwei Schalteinheiten (5, 6) in Reihe geschaltet sind.

14. Sicherheitsvorrichtung (1) nach einem der Ansprüche 11 bis 13, dadurch gekennzeichnet, dass die Sicherheitsvorrichtung (1) weiterhin eine Speichereinrichtung (10) zur Speicherung von Programmdaten und weiteren Datenwerten aufweist.

15. Sicherheitsvorrichtung (1) nach einem der Ansprüche 11 bis 14, dadurch gekennzeichnet, dass die Sicherheitsvorrichtung (1) weiterhin eine Meldeeinrichtung (33, 34) zur Meldung eines Fehlers und/oder einer Fehlerfreiheit aufweist.

16. Sicherheitsvorrichtung (1) nach einem der Ansprüche 11 bis 15, dadurch gekennzeichnet, dass die Sicherheitsvorrichtung (1) einen separaten Eingangsanschluss (e2) zum Anschluss einer Bedienungseinheit (7, 24) mit zumindest einem Freigabeelement (9) zur Aktivierung der Erzeugung von Ansteuersignalen aufweist.

17. Sicherheitsvorrichtung (1) nach einem der Ansprüche 11 bis 16, dadurch gekennzeichnet, dass die Bedienungseinheit (7) Bestandteil der Sicherheitsvorrichtung (1) ist.

18. Sicherheitsvorrichtung (1) nach einem der Ansprüche 11 bis 17, dadurch gekennzeichnet, dass die Sicherheitsvorrichtung (1) Bestandteil der Steuervorrichtung (27) ist.

19. Steuerungsanordnung (30) eines elektromotorischen Antriebs für ein Möbel (21) mit einer Steuervorrichtung (27) und einer Sicherheitsvorrichtung (1), wobei die Sicherheitsvorrichtung (1) nach einem der Ansprüche 11 bis 18 ausgebildet ist.

Zeichnung