CN109709835A

CN109709835A - 用于检测数字或模拟的输入或输出信号的可配置的安全模块

Info

Publication number: CN109709835A
Application number: CN201811185861.6A
Authority: CN
Inventors: 克里斯托夫·谢乐; 沃特·纳萨尔
Original assignee: BACHMANN Co Ltd
Current assignee: BACHMANN Co Ltd; BACHMANN GmbH
Priority date: 2017-10-11
Filing date: 2018-10-11
Publication date: 2019-05-03
Also published as: DE102017123615B4; US20220100163A1; US11281181B2; DE102017123615A1; US20190107818A1

Abstract

用于可编程控制器(SPS)的安全模块(1)，其中，安全模块(1)构造成部件，其由多个带有多个功能块(2‑4,12,13,17,25,26,35,36)的模块(2,3,4,14,53,54,55,62)构成，这些模块经由至少一个内部总线(7,7a,8,8a)相连接且具有至少一个CPU(9,10)且经由至少一个接口(5,6)可与外部的电传感器(以及开关/按键)和执行器(以及光学/声学指示器和显示器/监视器)相连接以用于检测至少一个测量信号，其中，安全模块(1)双通道地工作且执行自测试。

Description

用于检测数字或模拟的输入或输出信号的可配置的安全模块

技术领域

以自己的申请DE 20 2010 018 269 U1或DE 10 2010 050 186 A1的对象已知一种用于可编程控制器的输入和输出模块，其通过外部提供的信号可自由配置。

背景技术

如下是该现有技术的缺点，即，这样的模块不在使用安全标准的情形下来构建，因为这样的模块的故障检查是不可能的。

发明内容

因此本发明基于如下目的，即，此时以可自由配置的模块扩展由DE 20 2010 018269 U1已知的技术且将额外的安全功能关联于该模块。

所提出的目的的解决方案通过有效的权利要求1的特征实现。

如下是本发明的特征，即，模块此时双通道地工作且自测试被执行。

完全可配置模块的设计此时通过引入创新的用于在安全关键***中的使用的测试方法来扩展。

直到目前为止不存在适合用于安全相关用途的、用于模拟和数字量的完全可配置的输入和输出模块。

如下是根据本发明的模块的另一核心特性，即，测量信号被多级式检测。快速采样适合使得测量量可供非安全相关标准SPS规程使用。下游的较缓慢的采样相对安全控制的循环同步地实现且在信号技术上使得故障安全值可供使用。

因此，本发明是一种用于安全相关***的可配置的数字和模拟输入与输出模块，其特征在于

1.不同物理测量量(电压、电流和频率)以同一电路被检测。

2.不同物理输出量(电压和电流)以同一电路被输出。

3.待检测且待输出的测量量经由软件被配置。

4.电压和电流检测处理模拟以及数字信号。

5.输入信号的滤波是完全可配置的。

6.用于安全相关设备的信号检测使用符合第1和第2点的装置。

7.通过相同电路产生测试信号，在该相同电路中有效信号与测试信号一起被评估。

8.冗余通道在不带有输入信号中断的情形中的测试以及测量精度的维持。

9.测量量对于在信号技术上故障安全的再处理而言通过面向安全的SPS且对于在信号技术上非故障安全的再处理而言通过标准SPS的同时检测。在此，用于非故障安全的再处理的采样可以相比用于面向安全的再处理的采样更高的采样率实现。

10.在模块上的模拟输入量的决策特征，其特征在于

a.可配置的测量值预处理

b.可配置的表决模式(Votingmodus)。

对于数据的故障安全的检测、输出、预处理和通讯而言，数据处理原则上在两个独立的冗余通道中实现，带有可选地在下游的比较器(表决器)(在EN/ISO 13849的意义中第3类和4类***)。一种备选的模式是带有通道的相应频繁的测试的信号的单通道的检测和输出(在EN/ISO 13849的意义中的第2类***)。朝向外部的信号接口通过相应布置的且完全可配置的相同结构形式的ASIC来实现。在完成电流隔离之后，信号在两个独立CPU中被再处理且紧接着经由通讯接口根据黑通道原理(Black-Channel Prinzip)被发送。对于输出量而言，信号流在相反方向上实现。该模块的基本特性是每个单独的信号通道完全通过使用者可配置的输入和输出模式。

在根据本发明的故障安全模块的实现的情形中的关键点(在功能安全性的意义中)是定期自行测试其能力以便于提早识别出可能的在模块中出现的故障，且因此经由两个冗余通道防止故障累积(Fehlerakkumulation)。如果出现这样的累积，下游的比较器(表决器)可能作出假正决策。

下面对各个模式和所应用的测试方法作进一步说明：

在面向安全的部件中必要的自测试根据下面的原理实现：相对交替地各一个通道的测量信号被增加合适的调谐于ASIC的输入滤波器的测试信号，其由相同结构形式的分开的ASIC产生。在通过ASIC完成采样和滤波之后，测试信号通过下游的CPU被再次去除且因此获得的信号与冗余的第二信号的那些相比较。如果两个信号在可配置的公差带内相同，该测试被认为已通过。在下一测试循环中，测试信号被增加至另一测量信号且因此另一ASIC被测试。

备选于测试的该方法如下是同样可能的，即，可由此实现该测试，即，两个通道被加载以相应地在信号技术上反转的测量信号。

备选于测试的该方法如下是同样可能的，即，通过通道测量范围的临时转换检查ADC转换器特征曲线的直线性。

对于温度借助于合适的测量传感器的面向安全的检测而言，必要的测试通过测量电流在ASIC中可实现的且匹配于可配置的输入滤波器的调制来执行。紧接着，测试信号被CPU计算出且因此获得的信号与第二通道的那些相比较。

如下在根据本发明的故障安全的数字输入的情形中是重要的，即，持续测试是否输入仍正确地响应于“Low”信号，因为负的布尔值在输入端处是根据闭合电路原理(Ruhestromprinzip)的安全要求。在图3中示出如下，即，这又通过由相同结构形式的单独的ASIC所产生的信号的馈入和减去实现。两个通道的测试交替地实现。

在数字输出的情形中如下被关键地确保，即，这些输出可随时被断电，以便于可实施安全功能。因此一般而言实现双重切断，首先在单个输出通道的层面上，且如果该切断不成功，上一级对于模块的整个输出通道而言。由于被监控的外部过程的影响未设置详尽的测试。

在频率测量模式中的ASIC的功能性测试(编码器运行和计数器运行)通过测量通道以已知频率的交替加载实现，其同样可在ASIC中以PWM运行模式来产生。

备选地，该测试同样可被取消且可仅通过两个冗余通道的交叉对比(Kreuzvergleich)实现。

该模块同样特征在于如下，即，信号以较高的采样率被检测且可供非故障安全的SPS使用。该操作方法使得不带有单独数据采集模块的要求的快速调节的执行成为可能。同时，信号可配置地经由安全循环在测量技术上被压缩(最小值、最大值、平均值)且紧接着可选地在模块中被表决。同样地对于该表决而言，不同的可配置的模式可供使用。因此，两个通道的平均值、安全相关SPS的最大值或最小值可被传输。通过该两阶段的操作方式实现如下，即，同样地信号的面向安全的检测不具有混叠效应(AliasingEffekte)，虽然在ASIC中的初级滤波器被配置用于较高的采样率。

在本发明的情形中如下处在背景中，即，由构造成安全控制器的控制器出发(其双通道地构造且具有自测试功能)，此时根据本发明安全模块是可自由编程的。

可自由编程性涉及两个彼此平行布置的信号检测模块，其根据其配置具有用于电流或者电压的输入端、用于频率检测的输入端、用于温度检测的输入端和任意其它可配置的信号输入端，从而使得这些输入端普遍地构造成模拟的输入端。

如下在本发明的情形中是重要的，即，安全模块双通道地来构建且具有两个彼此分开的通道且因此同样地附属的信号检测模块相应地关联于一个通道。

信号检测模块是根据本发明的安全模块的组成部分且所有模块布置在唯一的插槽上。

如下是信号检测模块在连续的同一电路板上布置的优点，即，插槽的数量由此被减少且用户仅需要唯一的模块，其然而多功能地工作。

本发明的发明对象不仅由各个专利权利要求的对象，而且由各个专利权利要求彼此的组合得出。

所有在附件(包含摘要)中所公开的说明和特征、尤其在附图中示出的空间构造作为对于本发明而言重要的被要求保护，只要其单独地或组合地相对现有技术是新的。

附图说明

下面，本发明借助示出仅一种实施途径的附图作进一步说明。在此，由附图和其说明得悉本发明的进一步的对于本发明而言重要的特征和优点。

图1：显示了可自由编程模块的安全架构的框图

图2：显示了在根据图1的模块化构造中用于检测电压和电流的测试电路

图3：显示了用于温度的面向安全的检测的测试电路

图4：显示了用于数字输入端的测试的测试电路

图5：显示了用于模拟输出端的测试的测试电路

图6：显示了例如在编码器或计数器的情形中用于频率测量的测试电路、用于经由安全通道的测量数据预处理的框图。

具体实施方式

在根据图1的实施例中，安全模块1包括两个彼此平行的信号检测模块3,4，其根据本发明可被自由配置。

结果，整个安全模块1的且因此同样地信号检测模块3,4的可配置性经由布置在输出端处的安全控制器70实现。

“安全控制器”的概念表示如下，即，该机器控制器同样根据符合标准的安全标准来构建，这也就是说其由两个相互校验的通道和自测试构成，该自测试使得如下成为可能，即，识别出且补偿安全控制器70的信号传递或信号产生的可能的故障。

两个在优选的实施形式中示出的彼此平行的通道然而不依赖于如下，即，至这些通道的输入端同样相同地构造。其于是不是处在信号检测模块的输入端处的相同模拟信号的冗余检测，而是该信号检测模块同样可检测不同形式、然而相同种类的信号，例如电流/电压/温度或类似的。

这是一种可选的解决方案，其中，然而在另一设计方案中相同信号的并行检测是同样可能的。

相同或类似信号的检测取决于在安全模块1中所要求的安全级别(Sicherheitsstufe)的形式。

模块1的左侧部分大致由数据检测模块2构成，在其中布置有两个可自由配置的信号检测模块3,4。

其输入端相应地由接口5,6构成，在其处存在之后借助另一附图还被说明的模拟信号。

在模拟的数据采集之后，在各一个信号检测模块3,4中实现到数字信号的转换，且信号检测模块的输出信号经由各一条数字总线7,8被输出到电流隔离12,13上。

在此，电流隔离可构造成光耦或类似物。

如下是重要的，即，在电流隔离12,13这边布置有数据分析模块14，在其中布置有两个彼此分开工作的CPU 9,10。

经由时钟线11，CPU 1其构造成时钟发生器)将时钟信号经由电流隔离传递到紧接着的时钟线11上且将该时钟脉冲供应给信号检测模块3。

并行地，经由分支11a时钟脉冲同样经由处在该处的时钟线11被传输到第二信号检测模块4处。

在本发明的一种改进方案中作如下设置，即，由CPU 9所产生的时钟信号同样可经由I/O总线18被同步。

基于两个信号检测模块3,4的同步时钟，此时数据经由数字总线7和8以精确同步的方式被传输到相应的CPU 9和10上。

CPU 10在接通所谓的表决模式的情形中用于校验和比较相应地由信号检测模块3和4所产生的数据。

经由数字总线15，数据比较被告知给CPU 9且相应地CPU 9将如此产生的且经检测的数据经由黑通道16传输到相关联的逻辑模块17处。

该逻辑模块17可自由编程且执行信号匹配，以便于因此将所产生的且经检测的信号以安全的方式输出到I/O总线18上，在其处这些信号被馈入到安全控制器70中。

平行于黑通道16还设置有另一非故障安全的数据通道19，从而使得安全模块1具有如下可能性，即，仅且只实现故障安全数据例如经由黑通道16的数据传递或同样平行地经由非故障安全的数据通道19传递另外的数据。

在此应指出如下，即，CPU 9和10大致相同地构造且这在图7中作进一步说明。

因此，不仅在表决模式中作为校验机构工作的CPU 10中可布置有决策模块62，而且这样的带有表决机构的决策模块同样可布置在CPU 9中。

图2显示了第一测试电路20的一个实施例，该第一测试电路用于校验处在模拟输入端21,22处的电流或电压信号。

相应的模拟输入端21,22被联接到各一个加法器23,24上，其中，来自于信号发生器25,26的附加信号相应地经由导线28,28a被接合至模拟输入端21,22的信号。

相应的信号发生器25,26由相关联的CPU 9和10被如此地编程，即，其产生确定的测试信号，该测试信号经由导线28和28a被输出到相应的加法器23,24上。

经由导线36,37然后实现经如此相加的信号到信号检测模块3,4的相应的输入端中的馈入。

通过测试信号的相加，此时在ASIC检测(信号检测模块3,4)中可实现额外的控制。相应的信号发生器25,26可产生可自由编程的模拟信号，例如锯齿、矩形信号、正弦或其它信号形状。

因此，相应的模拟信号在输入端21,22处被加上精确定义的附加信号且经如此编程的信号检测模块3,4经由相应的数字总线7,8将人工改变的输入信号传输到CPU 9和10处，其此时校验是否输入信号以正确的方式与额外的测试信号被叠加且被正确接收。

如果产生好的校验结果(Gutbefund)，输出信号经由黑通道16以故障安全的方式被传输到另一数据处理装置处。

如下还须被指出，即，根据图2,3,4和5的上述测试电路示出了根据本发明的信号检测模块3,4的编程可能性。通过在图3至5中示出的可能的测试电路的多样性得出信号检测模块3和4的可自由编程性。

在图3中显示了另一测试电路，其在信号检测模块3,4中可以可自由编程的方式被调整。测试电路涉及两个处在模拟温度输入端31,32处的不同温度值的处理。

同样地此处，由相应的CPU 9和10经由调制线29和30相关联的测试信号被加调制到相应的信号检测模块3,4的模拟输入端上且输出信号相应地经由数字总线7,8被供应给CPU 9,10以用于校验。同样地此处，CPU 9和10的相互匹配经由数字总线15实现且仅当存在经检测的信号的一致性时，经检测的信号经由黑通道16被传递给另外的数据处理装置。

在图4中示出了两个根据本发明的信号检测模块3,4的可自由编程性的第三种可行性方案。

在该情况中，故障安全的数字输入被校验且被测试。

在数字输入端33,34处存在各一个待校验的数字信号，其例如可以是逻辑1或逻辑0。

该信号被接合到相应的加法器23,24上且经由相关联的导线28,28a加上额外的测试信号。

相应的测试信号在相关联的信号发生器35和36中以逻辑1和0信号的形式经由导线28,28a被传递给相应的加法器23,24。

由加法器23,24所引出的导线37,37a然后将如此产生的经改变的信号传输到相关联的信号检测模块3,4处，且经由相应的数字总线7和8该经如此改变的信号被传输到两个CPU 9和10处且在这些CPU中被校验。

只有在以好的校验结果结束的相应的安全校验的情形中，经如此检测的信号经由黑通道被传输到紧接着的数据处理装置处。

当相应的CPU 9,10将测试信号又由有效信号去除时，实现输出信号在黑通道16上的输出。

图5显示了信号检测模块3,4的可编程性的第四种实施形式，在其处可辩认出如下，即，此时模拟的输出须被检查。

相应的加法器23,24处在测量接口38,38a上且模拟输出39由导线28分出地被供应给下部的加法器24。

同样地，模拟输出40由导线28a分出地被接合到加法器23上。

相应地，不仅在图4中而且在图5中实现信号到相应的加法器23,24上的交叉接合。

本发明然而不被限制于此。作为交叉接合的替代同样可实现信号到相应的加法器23,24上的直接接合。

如果在附图中显示了这样的交叉连接，这仅用于讨论在该处示出的实施例。然而其可作如下设置，即，取消这样的交叉电路或实现到相应的加法器23,24上的直接连接。

在所显示的实施例中，相应地模拟输出40经由导线28a被接合到加法器23上且经由导线37,37a经如此改变的模拟输出信号由相应的信号检测模块3,4被检测。

如下是重要的，即，CPU 9,10经由其导线27,27a将模拟输出信号直接传递给信号发生器35,36，其然而不产生自己的信号，而是将该模拟输出信号直接输出到导线28,28a上。

相应地，经由在图5中的上部分支仅模拟输出信号在输出端39处被归因于信号检测模块4，其仅比较是否在信号检测模块3中所产生的输出信号3与被引回的输出信号一致。

一致性又通过两个CPU 9和10的相应的比较在接通数字总线15的情形下被检查。

如果产生好的校验结果，由模拟输出信号所产生的数字信号经由黑通道16被传输。

在同样指出两个信号检测模块3,4的可自由编程性的根据图6的实施例中作如下设置，即，由两个CPU 9,10经由导线27,27a相应地实现信号发生器35,36的操控，该信号发生器产生脉宽调制(PWM)，然而这仅被理解为示例。

信号发生器可使用任意其它的调制方法，或者幅度频率调制或相位调制。

频率发生器的输出经由导线28和28a被供应到各一个布置在输入侧的开关41,42上。

因此，相应的开关41,42在其时钟脉冲中由两个CPU 9,10来操控。

相应地，在频率输入端43,44处相应地存在根据开关41,42的时钟脉冲被转换的频率信号。相应地，在两个频率输入端43,44之间相应地按时钟脉冲被转换且如此所产生的信号经由导线37a,37被传递给相应的信号检测模块3,4的输入端。

因此，信号检测模块3,4被自行测试，因为其以此实现相同指向的测量数据处理。

当在上部的信号检测模块3和相关联的频率发生器35中产生确定的信号时，如下被期望，即，相同的信号同样由下部的信号检测模块4与频率发生器36相联系地来产生。

仅在这两个信号比较的好的校验结果的情形中，CPU 10连接CPU 9且不带有测试信号的数字信号以黑通道16被输出。

如已在概览说明中所说明的那样，在一个实施例中数字输出同样可被测试。相应地，在根据图5的实施例中同样可以相同的措施校验数字输出。对于图5对于两个模拟输出而言给予的说明相应地按意义同样适用于数字输出。

在图7中概览地示出了各一个在先前的实施例中所描述的CPU 9和10的模块化的结构。

在两个CPU相同地构造之后，相同的说明适用于各一个CPU。

在图7中概览地示出如下，即，在输入通道47,48处相应地布置有采样装置63，其例如以某一KHz的采样来采样相应的输入通道47,48。

如此产生的信号经由根据本发明的可自由编程的信号检测模块3,4被检测且被传输到输出总线49,50上。

如下仅被示意性地示出，即，在输出总线49处布置有一些列总线接口51,51a,51b，从而以此指出如下可能性，即，由输出总线49出发可可选地操控不同的计算模块53,54,55。

此外如下可被辩认出，即，经由相应的总线接口51,52可实现在信号检测模块3,4的输出端处所产生的数字信号直接到输出端、即黑通道16或非故障安全的数据通道19上的连接。

可选地，不同的计算模块53,54,55可相应地经由相应的编程通过相应的CPU 9,10***控且在计算模块53中实现在信号检测模块3,4的输出端处所产生的数字信号的平均值的形成。

可选地，经由计算模块54同样可产生在所谓的安全循环上的最小值或经由计算模块55可产生在安全循环上的最大化。

所有由计算模块53,55所产生的信号可经由相关联的输出线60,61通过模式开关58,59来调取且被传导到决策模块62的输入端上。

当通道65被称作通道A而通道66被称作通道B时，于是在模式开关58,59的输出端处所联接的导线此时一起被称作通道A'和B'。

这些通道信号相应地被供应给双通道的决策模块62，其根据编程状态此时输出黑通道集67。

决策模块的状态可选地经由黑通道16或经由非故障安全的数据通道19被输出。

在此，带有黑通道集67的产生的决策模块62的输出可涉及由A'和B'构成的平均值或由A和B构成的最大值或由A和B构成的最小值。

所有实现的信号同样可选地经由黑通道16或非故障安全的通道19被输出。

相应地实现根据意义经由两个通道到下游可编程逻辑模块17中的输出且在其输出端处经由I/O总线18到安全控制器70上的输出。

在图7中在上部示出的安全循环46还被使用。在此实现带有1KHz的频率采样的经采样的信号57且相应地如此产生的经采样的信号由这些信号构成平均值、最小值或最大值。

相应地，先前所提及的计算模块53-55***控且将其经确定的输出值经由输出导线60,61传输到相关联的模式开关58,59上。

相应地，这样的值作为平均值或最小值或最大值可选地根据模式开关58,59的开关位置被供应给决策模块62，且因为其是两个彼此分开的通道65,66，所以在决策模块62中实现如下决策，即，通道65,66的信号精确相同且同步地延伸且然后才实现经检测的数字信号可选地或一起经由黑通道16或非故障安全的数据线19的输出。

附图标记列表

1 安全模块

2 数据采集模块

3 信号检测模块(可配置)

4 信号检测模块(可配置)

5 接口

6 接口

7 数据总线7a

8 数据总线8a

9 CPU1(时钟发生器)

10 CPU2(校验)

11 时钟线

12 电流隔离

13 电流隔离

14 数据分析模块

15 数据总线

16 黑通道(故障安全)

17 逻辑模块(可编程)

18 I/O总线

19 数据通道(非故障安全)

20 测试电路

21 模拟输入端

22 模拟输入端

23 加法器

24 加法器

25 信号发生器

26 信号发生器

27 导线27a

28 导线28a

29 调制线

30 调制线

31 温度输入

32 温度输入

33 数字输入端(逻辑1)

34 数字输入端

35 信号发生器

36 信号发生器

37 导线37a

38 测量接口38a

39 模拟输出端

40 模拟输出端

41 开关

42 开关

43 频率输入端

44 频率输入端

45 采样

46 采样

47 输入通道

48 输入通道

49 输出总线

50 输出总线

51 总线接口

52 总线接口

53 计算模块

54 计算模块

55 计算模块

56 安全循环

57 采样信号

58 模式开关

59 模式开关

60 输出线

61 输出线

62 决策模块

63 采样

64 采样

65 通道A 65'

66 通道B 66'

67 黑通道集

68

69

70 安全控制器

Claims

1.用于可编程控制器(SPS)的安全模块(1)，其中，所述安全模块(1)构造成部件，其由多个带有多个功能块(2-4,12,13,17,25,26,35,36)的模块(2,3,4,14,53,54,55,62)构成，这些模块经由至少一个内部总线(7,7a,8,8a)相连接且具有至少一个CPU(9,10)且经由至少一个双向接口(5,6)可与外部的电传感器(以及开关/按键)和执行器(以及光学/声学指示器和显示器/监视器)相连接以用于检测至少一个测量信号，其特征在于，所述安全模块(1)双通道地工作且执行自测试。

2.根据权利要求1所述的安全模块(1)，其特征在于，所述信号检测模块(3,4)可由使用者自由配置。

3.根据权利要求1或2所述的安全模块(1)，其特征在于，在所述至少两个模块(2,14)之间存在电流隔离(12,13)。

4.根据权利要求1至3中任一项所述的安全模块(1)，其特征在于，在完成电流隔离之后所述信号在两个独立的CPU中被再处理。

5.根据权利要求3或4所述的安全模块(1)，其特征在于，经处理的信号经由通讯接口(例如I/O总线)根据黑通道原理被发送。

6.根据权利要求1至5中任一项所述的安全模块(1)，其特征在于，所述测量信号是模拟的或数字的。

7.用于运行用于可编程控制器(SPS)的安全模块(1)的方法，其中，所述安全模块(1)构造成部件，其由多个带有多个功能块(2-4,12,13,17,25,26,35,36)的模块(2,3,4,14,53,54,55,62)构成，这些模块经由至少一个内部总线(7,7a,8,8a)相连接且具有至少一个CPU(9,10)且经由至少一个接口(5,6)可与外部的电传感器(以及开关/按键)和执行器(以及光学/声学指示器和显示器/监视器)相连接以用于检测至少一个测量信号，其特征在于，对每个测量信号添加调谐于信号检测模块(ASIC)(3,4)的输入滤波器的测试信号，该测试信号由相同结构形式的分开的信号检测模块(ASIC)(3,4)来产生，且在通过所述第一信号检测模块(ASIC)(3,4)完成采样和滤波之后所述测试信号通过下游的CPU(9,10)又被去除且因此获得的信号与冗余的第二信号的那些以如下方式相比较，是否两个信号处在一个可配置的公差带内且在通过测试之后在下一测试循环中测试信号被增加至另一测量信号且因此另一ASIC(3,4)被测试。