CN115940096A - 用于监视电气开关装置的方法 - Google Patents

Abstract

为了给出相对于现有技术改进的用于监视具有至少两个通道(K₁、K₂)的电气开关装置(100)的方法，至少两个通道分别在构建电气供应变量(A₁、A₂)的条件下将为相应通道(K₁、K₂)供电的电源(V_cc)导电地连接到相应通道(K₁、K₂)的输出端(A₁、A₂)，除了从其为至少两个通道(K₁、K₂)分别生成内部安全信号(s_int,1、s_int,2)以便控制串联连接到相应通道(K₁、K₂)中的电压断路器(S₁、S₂)的外部安全信号(s_ext)之外，还向开关装置(100)馈送脉冲诊断信号(d)，该诊断信号叠加到内部安全信号(s_int,1、s_int,2)以便交替地断开连接到相应通道(K₁、K₂)中的电压断路器并且再次将其闭合，并且因此分别交替地中断在相应通道(K₁、K₂)中设置的供应变量(V₁、V₂)。

Description

用于监视电气开关装置的方法

技术领域

本发明涉及一种用于监视具有至少两个通道的电气开关装置的方法，该至少两个通道分别在构建电气供应变量的条件下将为相应通道供电的电源导电地连接到相应通道的输出端，其中，向开关装置馈送外部安全信号，从该外部安全信号为该至少两个通道分别生成内部安全信号，以便由此控制串联连接到相应通道中的电压断路器。

背景技术

现代技术***的复杂性不断增加，无论是在运输物流、工业自动化还是客运领域，导致功能安全领域中的问题数量不断增加。在此，功能安全作为技术***的安全设计的功能组成部分，旨在保护人和/或环境免受技术***的功能失效。在此，通常在安全设计中首先确定待保护的对象和/或待追求的保护目标，据此分析建设性的可能的损坏情景、功能失效和/或危险，在另外的步骤中评估其发生概率，并且最后规划措施和行动流程(所谓的“安全功能”)，这些措施和行动流程在发生损坏情景、功能失效或危险的情况下以损坏斗争和/或损坏遏制的目标来实施。

针对其中使用电气驱动器或电气驱动元件或电气驱动***来解决技术问题的技术***，在标准EN IEC 61800-5-2:2007中定义了多个安全功能。根据该标准，安全功能STO(“Safe torque off，安全扭矩关闭”)描述了在发生危险情况时立即中断对待保护的***中存在的驱动器的能源供应，其中驱动器不受控制地停止。驱动器在根据STO的关断之后不能再产生转矩，并且因此也不能再产生制动力矩。必要时，必要的制动在STO的范围内通常借助于单独的措施或机构，例如借助于机械的制动来执行，从而不发生不期望的滞后或超过预先给定的最终位置(例如，由于驱动轴)。安全功能STO的典型应用情况包括关断电气逆变器或执行通过具有紧急关断功能的主开关所触发的紧急停止。

反之，安全功能SS1(“安全停止1”)描述了驱动器到静止状态的受控的转换，并且随后才激活STO。另外的重要的安全功能是SS2(“安全停止2”)，其中待监视的驱动器以受控的方式转换到静止状态，但随后仍然保持能量供应。在此监视静止状态。

除了提到的安全功能STO、SS1和SS2之外，EN IEC 61800-5-2:2007还描述了功能SOS(“安全操作停止”)、SLS(“安全限速”)、SSM(“安全速度监视”)，SSR(“安全速度范围”)、SLP(“安全限制位置”)、SP(“安全位置”)、SDI(“安全方向”)和SBC/SBT(“安全制动控制、安全制动测试”)。

为了对所提到的安全功能进行分类，已经定义了所谓的停止类别，其中的停止类别0描述了向驱动器的能量馈送的立即分离，并且因此包括开头提到的STO。反之，停止类别1表示受控的停止，其中，首先将给定的驱动器置于安全状态中，并且随后才断开其能量供应。其中，安全功能SS1属于停止类别1。此外，还应提及停止类别2，其中包括如下安全功能：其中驱动器或机器仅处于安全状态，但不断开能量供应。对此的一个示例是安全功能SS2。

无论具体选择的安全功能如何，对于安全设计或其中定义的安全功能的实现，首先对损坏场景、危险以及一般对故障的检测是重要的，在其发生之后应当启动和实施预先给定的安全功能。对于这种检测，通常使用合适的安全传感器和/或合适的安全开关，例如光栅和/或紧急关断开关和/或安全光栅。在该情况下，安全传感器也被称为安全输出元件。优选地，安全传感器借助所谓的安全信号与所谓的安全开关装置通信，该安全开关装置例如呈待监视的技术***的控制单元的形式，其中，这种安全开关装置通常能够触发上述安全功能之一并且因此确保其执行。

如果由安全传感器识别出危险情况，则安全传感器通常根据安全信号(例如，通过安全信号的电平变化)将其通知给安全开关装置，由此控制单元可以触发开头提到的安全功能之一。与控制单元一样能够接收安全信号的安全开关装置在该情况下尤其也被称为安全接收元件。反之，由安全传感器输出的安全信号通常根据所选择的和待触发的安全功能来命名，在STO的情况下，例如名称“STO信号”是常见的。此外，在以下实施方案的过程中使用通用术语“安全组件”，以便概括地表示在安全接收元件之外的上述安全技术组件(例如，安全传感器、保护开关或用于连接它们的缆线)。

除了仅仅检测损坏场景、危险和一般的功能失效之外，在实施安全功能时同样要注意监视所使用的安全传感器本身、其例如至控制单元本身的信号线路、以及总体上使用的安全组件本身。因此，通常重要的是，能够以确定性排除在传输危险情况的检测时不会由于线缆断裂或安全组件的其他损坏而出现损害。

为此目的，主要有两种方案。在第一方案中，与此相关地基于安全组件的冗余的实施方案。然而，这种方法通常与增加的材料和成本耗费相关联，因此在许多情况下是不利的。反之，在第二方案中，基于在待监视的技术***的运行中连续执行的对安全组件的监视/诊断/测试。在此构想的是，尽可能直接地识别在给定的安全组件本身中的可能故障，并且在这种识别的情况下适当地作出反应，例如通过再次触发安全功能。

用于实现第二方案的重要方法基于使用所谓的诊断信号，例如以OSSD测试脉冲(“输出信号切换设备”测试脉冲)的形式。在通常的情况下，诊断信号、如尤其呈OSSD测试脉冲形式的诊断信号相比于所提到的安全信号是更高频率的信号。诊断信号多次叠加所给出的安全信号，以便根据其频率在安全信号中引起脉冲的电平变化。使用诊断信号、尤其是以OSSD测试脉冲的形式的诊断信号的前提条件是，将诊断信号叠加到安全信号上不损害与该安全信号相关联的安全功能。如果给出该前提条件，则诊断信号或与诊断信号叠加的安全信号通常经由待测试的安全组件的输入端作为输入诊断信号导入到待测试的安全组件中，如用于将安全传感器与控制单元连接的线缆那样。

在另外的步骤中，在待测试的安全组件的与输入端电气连接的输出端上执行对到达那里的输出诊断信号的测量。在此，检查输入诊断信号是否以预期的形式传输到输出端。在通常的情况下，这种输入诊断信号和输出诊断信号的充分一致性允许得出关于所测试的安全组件的功能完整性的结论。然而，如果输入诊断信号和输出诊断信号彼此不同，则可以推断出故障并且因此触发安全功能。诊断信号优选由安全传感器、即由安全输出元件本身产生。

一般的诊断信号和特别是由安全的输出元件产生的OSSD测试脉冲例如可以用于检测缆线中的短路和/或交叉连接。当然，也可以直接在安全的输出元件上或在接收元件的输入端上识别故障。根据它们的脉冲形式，OSSD测试脉冲包括高电平(OSSD高脉冲)和低电平(OSSD低脉冲)。在此，OSSD低脉冲在安全接收元件的输入端处多次被滤除；一方面，因为它们的主要目的是测试接收元件之外的外部安全组件，另一方面，为了不通过高频OSSD测试脉冲干扰安全的接收元件。OSSD测试脉冲的典型值例如是≤1.0ms的脉冲历时和≥500ms的周期历时。

根据上述实施方案和两个示出的方案，在功能安全领域中为了实现高安全水平或小概率的危险故障，可以冗余地实施尽可能多的安全组件，或者可以在其运行期间连续地测试或诊断这些安全组件。这种测试或诊断的质量通常通过所谓的诊断覆盖率(“DC值”)来描述。在此，诊断覆盖率表示所有检测到的危险故障的总和与所有危险故障的总数的关系。如果冗余地执行较少的电路部件，则可能需要监视/诊断更多数量的安全组件，以满足相同的安全技术要求。在此，安全技术要求例如根据标准IEC 61508/IEC61511也被称为安全要求等级、安全等级或安全完整性等级(英文“安全完整性等级”，简称SIL)，其中根据这些术语描述了关于安全功能和安全组件的可靠性来评估电气/电子/可编程电子(E/E/PE)***的度量。

类似的实施方案也可以从现有技术中得出。因此，EP 2733718 A2描述了一种用于在安全的接收元件中评估来自安全的输出元件的OSSD信号的方法和电路。

在所引用的文献中，虽然给出了用于OSSD信号的评估电路，但是没有进一步考虑如何能够根据给定的OSSD信号或一般根据诊断信号来引起诊断覆盖率的进一步提高。然而，鉴于在功能安全领域中的要求不断提高，诊断覆盖率的不断提高是经常提出的和重要的任务。特别是对安全的接收元件的诊断本身在现有技术中没有描述。因此，在现有技术中也没有描述如下方案：所述方案明确地以提高诊断覆盖率的目标来考虑位于安全接收元件内部的电路部件。这种情况构成了功能安全领域尚未填补的空白。

发明内容

因此，本发明的任务在于，提供一种用于提高安全的电气接收元件的诊断覆盖率的方法。

该任务通过本发明的独立权利要求的特征来解决。在此，从具有至少两个通道的电气开关装置出发，该至少两个通道分别在构建电气供应变量的条件下将为相应通道供电的电源导电地连接到相应通道的输出端，其中，向开关装置馈送外部安全信号，从该外部安全信号为该至少两个通道分别生成内部安全信号，以便由此控制串联连接到相应通道中的电压断路器。

根据本发明，针对这种开关装置规定，将脉冲诊断信号叠加在内部安全信号上，其中第一诊断信号电平和第二诊断信号电平交替，以形成两个在内部安全信号中交替的安全信号电平，以便通过利用第一安全信号电平的控制来断开连接到相应通道中的电压断路器，并且通过利用第二安全信号电平的控制来闭合该电压断路器，从而分别交替地中断在相应通道中设置的供应变量。

在相应的通道中设置的供应变量的“交替中断”在此可理解为在相应的信道中设置的相应供应变量中引起至少两个供应变量信号电平的时间序列。这可以意味着，相应的供应变量通过交替中断来首先采用第一供应变量信号电平，然后采用另外的第二供应变量信号电平，然后又采用第一供应变量信号电平，等等。在作为电压给出的供应变量的情况下，第一供应变量信号电平可以等于为电气开关装置供电的供电电压，并且第二供应变量信号电平可以等于分配给电气开关装置的参考电位。然而，通过交替的中断引起的、至少两个交替的供应变量信号电平也可以采用其他值。在许多情形中，在这种情况下有利的是，在相应的通道中设置的相应的供应变量同步地交替地中断。如果在相应的通道中设置的供应变量同步地交替地中断，则在相应的通道的供应变量中分别在相同的时刻引起从第一供应变量信号电平到第二供应变量信号电平的变化。

然而，也可以考虑供应变量的异步交替中断，其中，在相应的供应变量中分别在彼此不同的时刻引起从第一供应变量信号电平到第二供应变量信号电平的变化。在一些情况下，也可以考虑在相应的通道中设置的供应变量的互补交替的中断。在各个供应变量的互补交替地中断的情况下，每当第二供应变量具有第二供应变量信号电平时，可以将第一供应变量信号电平分配给第一供应变量，并且每当第二供应变量具有第一供应变量信号电平时，可以将第二供应变量信号电平分配给第一供应变量。供应变量的互补交替的中断同样可以同步地或异步地设计。

由此出发，根据本发明规定，在测量技术上检测交替中断的供应变量作为测量变量，并且将交替中断的供应变量的所检测到的测量变量相互比较，以便确定所检测的测量变量之间的偏差以用于监视电气开关装置。以特别有利的方式，可以考虑在待监视的开关装置外部生成的、即外部的诊断信号作为与内部的安全信号叠加的诊断信号。因此，可以将外部诊断信号用于在安全的电气开关装置中的内部监视，由此尤其可以提高可实现的诊断覆盖率。

在上述过程中，测量所传输的供应变量具有特别重要的意义。有利地，在此这样进行所传输的供应变量的测量，使得通过所检测的测量变量可靠地反映供应变量中的变化。所传输的供应变量的测量在此可以模拟地，但也可以数字地执行。如果以数字方式测量供应变量，则需要对待测量的供应变量进行采样。在对供应变量进行数字测量并因此对供应变量进行采样时，尤其重要的是选择在其处进行测量的测量时刻，因为必须确保供应变量中的变化也可以通过在测量时刻处检测的测量变量来反映。以有利的方式，交替中断的供应变量可以为此目的分别在诊断信号具有第一信号电平的至少一个测量时刻测量。附加地，经常有利的是，交替中断的供应变量附加地分别也在诊断信号具有第二信号电平的至少一个测量时刻测量。此外，在该情况下可以通过选择位于诊断信号的上升沿或下降沿内的至少一个测量时刻来进行测量时刻的另一有利选择，其中，在诊断信号的上升沿中进行诊断信号从第一信号电平到第二信号电平的过渡，并且在诊断信号的下降沿中进行诊断信号从第二信号电平到第一信号电平的过渡。以所描述的方式，可以可靠地检测在通道中出现的变化。

在待测量的供应变量的模拟测量的情况下，不必考虑待选择的测量时刻。因为在模拟测量的情况下不是在选定的、离散的采样时刻进行测量，而是连续地进行测量，所以在模拟测量的情况下，也自动地一并检测在供应变量中发生变化或预期发生变化的那些时刻。出于该原因，在本发明的范围内，通常也可以有利地使用模拟测量。

如果确定所检测到的测量变量之间的偏差，由此可以推断出通道之一中的故障，则可以按有利的方式适当地对该情况作出反应，其方式是使至少两个通道的输出端断电。为了在通道的输出端处实现无电流状态，可以按有利的方式断开设置在通道中的电压断路器，在通道的输出端处下降的输出电压(其可以在通过开关装置来为驱动器电路供电的情形中例如对应于所产生的驱动器供电电压)通过设置用于调节输出电压的电压调节器来使该输出电压为零，或者使用于为通道供电的电源停用。用于使通道的输出端断电的措施的具体设计在此不是决定性的，而是重要的是，关于通道中可能的故障的认知适当地结合到开关装置的安全设计中。

在正常运行中，即当在根据本发明诊断的通道中不存在故障时，此外在许多情况下有利的是，通过合适的附加措施进一步减小用于根据本发明的诊断的诊断信号的影响。为此，可以按有利的方式在通道中布置至少一个滤波元件，以便使供应变量平滑，特别是通过借助于至少一个滤波元件引起的供应变量的低通滤波来平滑供应变量。

通过根据本发明的方法能够实现：使诊断和由此监视的组件可被访问，对此而言在由现有技术描述的方法的范围内是不可能的。正是这种差异代表了相对于由现有技术已知的方法的重要改进。根据本发明的将外部诊断信号也用于对安全的接收元件进行内部测试的原理在此通常可以在功能安全的领域中应用。

附图说明

在下文中将参照图1至图5更详细地阐释本发明，图1至图4示例性、示意性地而非限制地示出本发明有利的设计构造。附图中示出：

图1以框图的形式示出了对电气负载的安全控制，

图2示出了根据本发明的开关装置的示意图，其简化为根据本发明的方法所需的组件，

图2a示出了用于将安全信号与外部诊断信号叠加的可能性，

图3示出了根据本发明的开关装置的有利的设计方案，

图4示出了故障情况下的信号走向，以及

图5示出了正常运行时的信号走向。

具体实施方式

图1示出了对电气负载4的安全控制，如其在安全功能STO的应用中常见的那样。在图1中示出的电路中，驱动模块201和202用于将作为PWM信号给出的控制信号PWM₁和PWM₂传输到开关信号p₁和p₂上，开关信号p₁和p₂又控制半导体开关T₁至T₄并且根据控制信号PWM₁和PWM₂来断开和闭合半导体开关T₁至T₄。在此，驱动模块201和202可以按已知的方式被实现为分立的或集成的电路，其中，代替术语“驱动模块”，术语“栅极驱动器”也是常见的。为了电流隔离，通常在驱动模块中设置光耦合器。然而，电流隔离不一定必须通过光耦合器进行，电感式、电容式和其他分离为此也是可能的。在不需要电流隔离的情况下，也可以完全放弃电流隔离。

原则上，针对每个半导体开关T₁至T₄使用自身的驱动模块，这些驱动模块分别通过驱动供电电压V_DD1或V_DD2来供电。与此相关，为了清楚起见，图1仅示出驱动模块201和202。驱动供电电压V_DD1和V_DD2在所示的情况下由开关装置100提供，为此，开关装置100又由电源供应供电电压V_CC。尤其在诸如在图1中示出的开关装置100之类的开关装置中可以有利地应用根据本发明的方法。为了能够在所示出的开关装置100中应用根据本发明的方法，在具体的情况下，外部的安全信号S_EXT被引导到开关装置100中。

安全功能STO(“STO功能”)基于以下事实：虽然将例如由调节器输出的脉冲信号PWM转发给驱动模块201、202，但是当激活STO功能时，驱动模块201、202的能量供应(例如，通过供电电压V_DD1、V_DD2)被中断，由此PWM信号不能被转发。这种中断可以在所示的情况下通过开关装置100进行。可以使用不同的信号调制作为脉冲信号PWM₁、PWM₂。脉冲宽度/脉冲宽度调制、脉冲历时调制和脉冲频率调制仅是示例性的并且不是进一步限制性的。

如此外在图1中可看出的那样，为了控制电气负载4，以已知的方式使用逆变器300，该逆变器每个相具有一个半桥，在此例如对于示例性的两相电气负载4，具有由半导体开关T₁和T₃组成的第一半桥和由半导体开关T₂和T₄组成的第二半桥。电气负载4在所示的情况下与第一节点301和第二节点302连接。节点301和302在此被布置为使得：第一节点301位于两个半导体开关T₁与T₃之间，第二节点302位于两个半导体开关T₂与T₄之间。在此，每个半导体开关T₁至T₄如上所述由自身的驱动模块控制。因为逆变器300的基本工作原理是充分已知的，所以在此不详细讨论。当然，电气负载4和逆变器300也可以按不同的相数来实现。

图2示出在图1中示出的开关装置100的示意图，该示意图减少到用于应用根据本发明的方法所需的构件上。原则上，所示出的开关装置100在此本身可以是安全的输入元件，或者除了安全的输入元件的其他组成部分之外是安全的输入元件的组成部分。在此，另外的组成部分例如可以通过与另外的、安全的以及非安全的设备的接口给出，或者也对应于用于与操作者通信的输入和/或输出元件。安全输入元件例如可以通过待监视的技术***的控制单元、如通过SPS(“可编程逻辑控制器”)、安全SPS、变流器控制器或具有集成控制器的紧凑型变流器等来给出。对于根据本发明的方法在开关装置100中的应用来说重要的是，在开关装置100中设置至少两个通道K₁和K₂，这些通道分别由电源供应供电电压V_CC，使得通道K₁和K₂分别将电气供应变量V₁，V₂从电源传输到相应通道的输出端A₁，A₂，例如以便提供驱动器供电电压(如V_DD1或V_DD2)，并且开关装置100被设计成用于接收外部安全信号s_ext，该外部安全信号尤其可以传输STO信号。在此，在通道中出现的电气供应变量V₁、V₂例如可以通过电流或通过电压给出。

在本发明的一种有利的实施方式中，外部安全信号s_ext也可以有助于实现其他安全功能，即例如传输SS1信号或SS2信号或SOS信号或SLS信号或SSM信号或SSR信号或SLP信号或SP信号或SDI信号或SBC/SBT信号或功能安全的其他信号。所提到的安全信号并且在此尤其是STO信号在此优选地被设计为使得高信号电平(“H电平”，“高电平”，例如24V或10V或5V)代表无故障情况，而低信号电平(“L电平”，“低电平”，例如0V)代表故障。通过这种选择，尤其也可以检测安全的输出元件的供电故障或缆线断裂。

外部安全信号s_ext在图2所示的情况下通过输入接口E_S被开关装置100接收。随后，由外部安全信号s_ext产生内部安全信号s_int,1和s_int,2，其中，在本发明的上下文中，内部安全信号s_int,1和s_int,2的产生通常可理解为根据外部安全信号s_ext产生/提供内部安全信号s_int,1、s_int,2。这一方面包括外部安全信号s_ext与用于内部安全信号s_int,1和s_int,2的信号线路的直接连接，如在图2中示出的那样，但另一方面也包括基于内部和外部安全信号之间的电流解耦来生成内部安全信号s_int,1和s_int,2。在此，例如可以借助于光耦合器实现电流解耦。如果外部安全信号s_ext如上所述传输STO信号，则该STO信号在其产生时也传输到内部安全信号s_int,1和s_int,2上并且因此也成为内部安全信号s_int,1和s_int,2的一部分。这尤其意味着，外部安全信号s_ext中的电平变化映射到内部安全信号s_int,1和s_int,2中的电平变化上。

内部安全信号s_int,1和s_int,2随后被引导至电压断路器S₁、S₂并且在那里用于控制电压断路器S₁、S₂。电压断路器S₁、S₂在此分别是通道K₁、K₂的中心组成部分。优选地，设置在通道K₁、K₂中的电压断路器S₁、S₂被实施为半导体开关，例如以纵向MOSFET的形式，或者以IGBT或其他半导体开关的形式。电压断路器S₁、S₂的主要目的在于在通道K₁、K₂中建立在提供供电电压V_CC的电源与输出端A₁、A₂之间的导电电气连接，并且如果需要，特别是如果触发安全功能，则能够再次断开该连接。电压断路器S₁、S₂为此目的通过内部安全信号s_int,1和s_int,2来控制并且相应地断开或闭合。通常，在内部安全信号s_int,1、s_int,2中为此目的设置有低的第一安全信号电平L_S以及高的第二安全信号电平H_S。如果在图2所示的情况下，高的第二安全信号电平H_S施加在电压断路器S₁、S₂上，则这些电压断路器闭合，而与此相对，如果低的安全信号电平L_S施加在电压断路器S₁、S₂上，则这些电压断路器断开。如所提及的，这些安全信号电平L_S、H_S根据外部安全信号s_ext的信号电平得出，由该外部安全信号s_ext产生内部安全信号s_int,1、s_int,2。如果外部安全信号s_ext中的低电平表明例如安全功能的故障或者用户或操作者对安全功能的要求，则该低电平映射到安全信号s_int,1、s_int,2中的低安全信号电平L_S上，该低安全信号电平随后断开电压断路器S₁、S₂。在优选的实施方式中，外部安全信号s_ext的电平和内部安全信号s_int的电平具有相同的电平高度，然而这对于本发明的应用不是强制性的。

然而，根据本发明，对于所示出的开关装置100规定，内部安全信号s_int,1、s_int,2不仅用于实现安全功能(如STO)，而且这些信号同样用于诊断和监视目的。为此，将较高频率的诊断信号d叠加在内部安全信号s_int,1、s_int,2上。这种处理方式与从现有技术中已知的方法明显相反，在现有技术中，诊断信号d(例如，所提到的外部OSSD信号)通常被阻止进入安全开关装置100的内部。如果诊断信号d已经是传入的安全信号s_ext的一部分(例如，因为诊断信号d已经在开关装置100之外与外部安全信号s_ext叠加)，则在现有技术中尽可能在安全开关装置100的输入端处从传入的安全信号s_ext中过滤掉该诊断信号。通常较高频率的诊断信号d在现有技术中以这种方式被阻止进入安全开关装置100的内部，由此试图阻止因较高频率的诊断信号d而产生的不期望的横向作用和对开关装置100的工作方式的负面影响。更令人惊讶的是，通过有意识地在安全开关装置100的内部使用较高频率的诊断信号d，与此相反，这种开关装置100的诊断覆盖率恰好可以提高，并且因此总体上可以改善开关装置100的鲁棒性、可靠性以及因此也改善开关装置100的工作方式。

为了实现用于诊断和监视目的的内部安全信号s_int,1、s_int,2的所描述的应用，根据本发明规定，在安全信号s_int,1、s_int,2中通过叠加脉冲的诊断信号d来设置脉冲的信号分量。这种诊断信号d在此优选通过(外部的)OSSD信号给出，该OSSD信号优选由(外部的)安全输出元件(如安全传感器、或安全光栅、或光栅)提供。在本发明的范围内，从诊断信号d出发，在该诊断信号d中，第一诊断信号电平L_d和第二诊断信号电平H_d交替。在第一诊断信号电平L_d和第二诊断信号电平H_d之间的这种变换也可以理解为OSSD测试脉冲的序列。如所提及的，OSSD测试脉冲的典型值例如是≤1.0ms的脉冲历时和≥500ms的周期历时。在此也适用的是，诊断信号电平H_d、L_d、安全信号电平H_s、L_s以及外部安全信号的电平(例如，STO电平)可以是相同的。然而，这并不构成应用本发明的先决条件。

以有利的方式，可以将脉冲诊断信号d叠加到内部安全信号s_int,1、s_int,2上，其方式是，外部的脉冲诊断信号d已经与外部安全信号s_ext一起输送，内部安全信号s_int,1、s_int,2根据该外部安全信号s_ext产生。当例如将脉冲诊断信号d叠加在STO信号上时，出现这种情况，这已经可以在安全的输出元件中进行。在此，这种叠加可以按有利的方式通过将STO信号与诊断信号d相乘来实现，其中，术语“叠加”不应被理解为限制性的。根据具体的应用情况，将信号相加、将它们彼此折叠、或者将待叠加的信号以另一种方式关联，也可以是目标导向的。图2a中示意性地示出了该步骤借助乘法的实现。内部安全信号s_int,1、s_int,2的如此得到的脉冲形式在图2中借助布置在信号箭头旁边的脉冲串定性地示出。然而，在本发明的范围内同样可以考虑的是，将诊断信号经由单独的信号输入端引导到开关装置100中，并且仅在开关装置100中执行将诊断信号d叠加到内部安全信号s_int,1、s_int,2上(例如,借助外部信号s_ext与诊断信号d的相乘)。在两个变型方案中，在诊断信号d中交替的第一诊断信号电平L_d和第二诊断信号电平H_d导致形成两个在内部安全信号s_int,1、s_int,2中交替的安全信号电平H_S、L_S。

根据本发明，现在使用内部安全信号s_int,1、s_int,2，其中第一诊断信号电平L_d和第二诊断信号电平H_d根据上述实施方式交替，以便以对应于交替的第一诊断信号电平L_d和第二诊断信号电平H_d的方式来控制设置在通道K₁、K₂中的电压断路器S₁、S₂，并且由此通过利用第一安全信号电平L_S的控制来断开电压断路器S₁、S₂，并且通过利用第二安全信号电平H_s的控制来再次闭合电压断路器S₁、S₂。如果电压断路器S₁、S₂闭合，则在通道K₁、K₂中在连接的供电电压V_CC与通道K₁、K₂的输出端A₁、A₂之间形成导电的电气连接，在该输出端处输出驱动器供电电压V_DD1和V_DD2。如果电压断路器S₁、S₂断开，则该连接断开，这直接影响在通道K₁、K₂中设定/产生的电气供应变量V₁、V₂。产生交替中断的供应变量V₁、V₂。

如已经阐述的那样，在相应的信道K₁、K₂中设置的供应变量V₁、V₂的“交替中断”可理解为在相应的信道中设置的相应供应变量V₁、V₂中引起至少两个供应变量信号电平的时间序列。这可以意味着，由于电压断路器S₁、S₂的切换而交替中断，相应的供应变量V₁、V₂首先采用第一供应变量信号电平，然后采用另外的第二供应变量信号电平，然后再次采用第一供应变量信号电平，依此类推。在此，第一供应变量信号电平可以对应于为电气开关装置100供电的供电电压V_CC，并且第二供应变量信号电平可以等于分配给电气开关装置100的参考电位。然而，如同样在开头已经阐述的那样，通过交替的中断引起的、至少两个交替的供应变量信号电平也可以被不同地选择。

为了实现根据本发明的对开关装置100的监视和/或诊断，在另一步骤中在测量技术上检测存在于通道K₁和K₂中的电气供应变量V₁、V₂，这在图2中示出的情况中借助用于电压测量装置的两个开关符号示出。由该测量得出测量变量V_m1和V_m2。如从测量技术中充分已知的那样，这种测量可以按离散采样的形式进行，例如以大于100Hz的采样率，或者以大于1kHz的采样率，或者也可以用大于10kHz的采样率进行。然而，所提到的测量也可以类似地进行。

在基于离散测量以及因此离散采样执行根据本发明的方法时，合适地选择测量时刻T_m是重要的，在该测量时刻处执行供应变量V₁、V₂的测量。在选择测量时刻T_m时，需要确保，由现在脉冲的内部安全信号s_int,1、s_int,2引起的供应变量V₁、V₂的变化实际上也通过测量来检测并且因此映射到所检测的测量变量V_m1、V_m2中。这可以通过以下方式实现：脉冲中断的供应变量V₁、V₂分别在至少一个测量时刻T_m被测量，在该测量时刻处诊断信号d具有第一诊断信号电平L_d。然而可以有利的是，脉冲中断的供应变量V₁、V₂分别在至少一个另外的测量时刻T_m被测量，在该测量时刻处诊断信号d具有第二诊断信号电平H_d。此外，通常有利的是，在内部安全信号s_int,1、s_int,2的边沿中执行测量。这可以通过以下方式实现：在诊断信号d的上升沿或下降沿之内设置至少一个测量时刻T_m，在该测量时刻处测量脉冲中断的供应变量V₁、V₂，其中，在诊断信号d的上升沿中进行诊断信号d从第一诊断信号电平L_d到第二诊断信号电平H_d的过渡，并且在诊断信号d的下降沿中进行诊断信号d从第二诊断信号电平H_d到第一诊断信号电平L_d的过渡。

如已经实施的那样，在待测量的供应变量V₁、V₂的模拟测量的情况下，不需要关于待选择的测量时刻T_m的考虑。因为在模拟测量的情况下不是在选定的、离散的采样时刻进行测量，而是连续地进行测量，所以在模拟测量的情况下，也自动地检测在供应变量中发生变化或预期发生变化的那些时刻。出于该原因，在本发明的范围内，模拟测量可以在许多方面被证明是有利的。

所提到的测量变量V_m1和V_m2在另一步骤中相互比较，其中，由此可以从测量变量V_m1和V_m2的偏差推断出通道K₁、K₂中的一者中的故障。根据本发明的测量变量V_m1和V_m2的比较例如可以借助于差形成或借助于除法进行。为了评估测量变量(如V_m1和V_m2)之间的偏差，可以按有利的方式预设偏差阈值。这种偏差阈值可以例如以绝对值的形式预先给定。在电压的情况下，绝对值例如可以是10V，或者优选1V，或者同样优选0.1V，测量信号V_m1和V_m2的差值或商或者测量信号V_m1和V_m2的差值或商的绝对值不应当超过该值。在作为电流存在的电气供应变量V₁、V₂的情况下，对于绝对值也可以考虑10A，或者优选1A，或者同样优选0.1A。同样可以构想的是，预设相对值作为偏差阈值，该相对值例如描述测量变量Vm1和Vm2中的一个测量变量的百分比份额，该百分比份额不能超过该测量变量的偏差。

优选地，对于这种相对值可以使用10％或1％或0.1％。

在本发明的一种优选的实施方式中，在产生内部安全信号s_int,1和s_int,2时同样确保，其彼此之间的偏差(其同样可以借助于差形成或借助于除法确定)也总是尽可能小，或者至少低于预先给定的偏差阈值。为此目的，偏差阈值也可以例如以绝对值的形式预先给定。在电压形式的安全信号s_int,1和s_int,2的情况下，该绝对值例如可以预设为10V，或者优选为1V，或者同样优选为0.1V。反之，在电流的情况下，可以再次使用10A，或优选1A，或同样优选0.1A。在此同样可以构想的是，预设相对值作为偏差阈值，该相对值例如描述内部安全信号s_int,1和s_int,2中的一者的百分比份额，该百分比份额不允许超过其偏差。优选地，10％或1％或0.1％可用于该相对值。

在图2中示出的实施方式中，在诊断单元111中进行测量变量V_m1和V_m2之间的所描述的比较。这种数字诊断单元111的可能的实现在此尤其通过基于微处理器的硬件、微控制器和集成电路(ASIC，FPGA)给出。

如果测量类似地进行，则根据本发明的比较例如可以通过形式为从电子电路技术中充分已知的比较器的诊断单元111来执行。

根据本发明的测量变量V_m1和V_m2的比较用于检测供应通道K₁、K₂中的差异，这些差异以彼此不同的测量变量V_m1、V_m2的形式表现出来。根据测量变量V_m1和V_m2之间的检测到的偏差，可以推断出故障(特别是在电压断路器S₁、S₂本身的情况下)在其与提供供电电压V_CC的电源的连接中或者在通道K₁、K₂中的另一位置处。这种比较应始终如此设计，使得所比较的测量变量V_m1、V_m2之间的小的/可忽略的差异被容忍，这些小的/可忽略的差异尤其可能由于构件公差或测量噪声而产生。然而，同时，在两个通道K₁、K₂中的一者中的故障情况下，所产生的差异应该能够被检测到并且触发相应的反应。在此，相应的反应尤其可理解为在通道K₁、K₂的输出端A₁、A₂处产生无电流状态。然而，在这一点上，负责特定情况的安全专家知道如何设计这种部分地高度依赖于个别情况的比较。

如所阐释的，测量变量V_m1和V_m2彼此比较(例如，基于差形成或基于除法)，以便检测通道K₁、K₂中(例如，在电压断路器S₁、S₂本身中)的功能失效在其与供电电压V_CC的连接中或者在通道K₁、K₂中的另一位置处。如果检测到功能失效，则作为保护和/或安全措施，例如可以断开电压断路器S1，S2，并且可以将开关装置100置于安全状态。在此，安全状态可以理解为开关装置100的如下状态：在该状态中实现根据安全设计限定的保护目标并且因此不存在对人和/或环境的危险。这尤其通过使通道K₁、K₂的输出端A₁、A₂断电来实现。

在图2中示出了该处理方式的可能的实施，其中诊断单元输出关断信号X_V。在图2所示的本发明的示例性实现变型中，当测量变量V_m1和V_m2的比较产生偏差并且因此在通道K₁、K₂中的一者中产生上述故障时，关断信号X_V被连接到电压断路器S₁、S₂，并且将用于断开电压断路器S₁、S₂的低电平分配给关断信号X_V。但是原则上，在故障情况下也可以按通常有利的方式使用其它的用于故障处理的措施，只要由此确保，由此使给定通道K₁、K₂的输出端A₁、A₂断电。

图3以更高的细节程度示出了根据本发明的开关装置的一种可能的实施方式。在此，在图3中示出的开关装置100包括差分输入端，该差分输入端具有电流隔离的变换器，具体地呈光耦合器102、102’的形式，该变换器实现根据外部安全信号s_ext产生内部安全信号s_int,1、s_int,2。所示电路的参考电位在此用G(“Ground，接地”)表示。

与图2中的实施方式不同，图3附加地示出块103、103’，这些块代表用于将通道K₁、K₂与供电电压V_CC连接的合适的电气技术设备。此外，与图2不同地设置二极管D、D’，以便在故障情况下防止可能损坏的电流反转。电容器C₁、C₂、C₁’、C₂’以及块104、104’用作滤波元件、特别是用于平滑/处理/调节所产生的驱动器供电电压V_DD1、V_DD2。下面将分别讨论这些构件。此外，在图3中示出的实施方式中，脉冲的外部诊断信号d和安全信号(如STO信号)已经在开关装置100外部相互关联，由此得出外部安全信号s_ext。

如所提及的，根据本发明的方法期望的是，诊断信号d的使用及其与内部安全信号s_int,1、s_int,2的叠加不影响与安全信号s_int,1、s_int,2关联的安全功能以及所诊断的技术***的正常运行。当外部诊断信号d(如外部OSSD测试脉冲)不像从现有技术中已知的那样仅用于测试外部安全组件，而是根据本发明被引导到安全接收元件(如本发明的开关装置100)中并且在那里出于诊断目的也影响功率传输通道K₁、K₂时，必须更加考虑该要求。

出于该原因，图3还设置在通道K₁、K₂中的电压缓冲，其中，在图3所示的实施方式中，电压缓冲借助电容C₁、C₂或C₁’、C₂’进行。然而，原则上也可以为此目的使用其他类型的蓄能器作为滤波元件，如扼流圈形式的电感。为了可靠地避免例如对被供电的驱动模块201、202的后续的不期望的影响，有利的是，这样设计这些能量存储器，使得桥接以最大允许的历时由诊断低脉冲(诊断信号d中具有低诊断信号电平L_d的区段)引起的供应变量V₁、V₂中的低脉冲。在此，这种最大允许的历时确定用于诊断目的的诊断低脉冲最大允许多长时间。滤波元件的上述设计的目的在于，只有在供应变量V₁、V₂中的低脉冲(其历时超过该最大历时)的情况下，才可见/允许对输出的驱动器供电电压V_DD1、V_DD2的影响。以此方式，可以避免对驱动器供电电压V_DD1、V_DD2的不期望的影响，但不会例如在STO故障情况下损害电压断路器S₁、S₂的作用。此外，即使在通道K₁、K₂中同步地出现过长的诊断低脉冲，供应变量V₁、V₂中的过长的低脉冲也可以同样是开关装置100中的故障的指示。

在图3中示出的情况下，通过块104和104’能够实现与此相关的进一步改进。在优选的实施方式中，块104和104’可以被实现为电压调节器，该电压调节器附加地重新调节已经通过电容C₁、C₂或C₁’、C₂’平滑的电压走向并且将所产生的输出电压V_DD1和V_DD2调节到预先给定的额定值上。在此，电压调节器104、104’尤其可理解为电气/电子电路/装置，其能够使输出的电压(在此为V_DD1和V_DD2)跟随期望的额定值。在此，在电压调节器104、104’中也可以测量输出的电压(在此为V_DD1和V_DD2)，这些电压随后如在调节技术中常见的那样作为实际值在调节回路中被反馈。为了设定输出的电压V_DD1、V_DD2，电压调节器104、104’例如可以像直流电压转换器那样使用周期性工作的电子(半导体)开关的周期性切换。以此方式，可以附加地减小根据诊断信号d的脉冲来断开和闭合的电压断路器S₁、S₂的影响。块104、104’以及电容C₁、C₂或C₁’、C₂’因此可以被理解为滤波元件，这些滤波元件使供应变量V₁、V₂平滑。

在将块104和104’实现为电压调节器的情况下，得到用于对在诊断的范围内识别出的通道K₁、K₂中的一者中的故障作出反应的另外的重要选项。因此，在识别出功能失效的情况下，输出电压V_DD1和V_DD2也可以借助电压调节器104和104’被带到零，并且输出端A₁、A₂因此被断电。当根据先前执行的诊断检测到电压断路器S₁、S₂中的一者中的故障时，这种用于故障处理的方法是特别有利的。在这种情况下，断开电压断路器S₁、S₂是不可能的。然而，此外同样可以考虑的是，通过停用提供用于为通道K₁、K₂供电的供电电压V_CC的电源来使至少两个通道K₁、K₂的输出端A₁、A₂无电流。

与已知的现有技术不同，根据本发明，由安全输出设备(如由光栅、安全光栅等)产生的外部诊断信号d(如OSSD测试脉冲)在开关装置100的内部继续使用。因此，OSSD低脉冲在输入端处不像其他常见的那样被滤除，而是通过电压断路器S₁、S₂被接收到两个通道K₁、K₂中。直到测量变量V_m1、V_m2被检测的测量点，通道K₁、K₂被非常动态地构造，在这种意义上，诊断信号d至100Hz，优选至1kHz，或特别优选至10kHz的频率分量可以根据测量变量V_m1、V_m2在没有明显失真的情况下被检测。根据上述描述，仅在测量点之后进行滤波，其中，特别是内部安全信号s_int,1、s_int,2的低脉冲从供应变量中被滤除。然而，通过诊断信号d预先给定的OSSD测试脉冲以尽可能未经滤波的方式传输至电压断路器S₁、S₂。

在图4和图5中示出了在使用根据本发明的方法的过程中在图3中示出的电路中可能出现的信号走向。所示出的信号d、V_m1、V_m2和V_DD2在此在为其给定的高电平(H_d、H_V)和低电平(L_d、L_V)内移动。相应的高电平H_d、H_V在此根据应用情况可以是相同的，但也可以是不同的。这同样适用于低电平L_d、L_V。具体地，图4首先在诊断时刻TD示出所示出的诊断信号d的下降沿，这导致内部安全信号s_int,1、s_int,2同样的下降沿。示出的测量信号V_m1也遵循该走向，由此可以推断出完好的第一通道K₁。然而，测量变量V_m2的走向可以推断出供应通道K₂中的缺陷，因为在这些走向中未实现下降沿。该情况在响应时刻T_r也被识别出，之后立即中断供电，并且通过电压调节器104、104’将供应变量V_DD1和V_DD2(仅示出V_DD2)拉至低电平L_V。

与此相反，图5示出信号走向，如其在供应通道K1，K2完好的情况下或者在开关装置1总体上完好的情况下得到的那样。两个测量变量V_m1和V_m2在此遵循通过内部安全信号s_int,1、s_int,2基于示出的诊断信号d预设的下降沿和上升沿。此外，根据图5可以看出，由于所描述的电压缓冲，不会对所产生的输出变量V_DD1和V_DD2产生不利影响。

根据本发明的方法可诊断的故障尤其包括供电电压V_CC中的故障、电压断路器S₁、S₂处的故障、供电通道K₁、K₂的导体中的故障，但也包括例如借助其产生内部安全信号s_int,1、s_int,2的光耦合器102、102’中的故障。通过能够发现这些故障，能够显著提高诊断覆盖率。因此，在硬件耗费相同的情况下，可以实现更好的安全特征值。

此外，与已知的现有技术相比，在本发明的范围内不需要用于产生测试脉冲的单独的附加电路。此外，在许多情况下，从一开始就测量和监视供应通道中的供应变量。为此目的已经设置的评估单元也可以按特别有利的方式用于实施根据本发明的方法。通常，通过根据本发明的诊断和测试类型可以实现更高的诊断覆盖率。由此可以改善所达到的安全等级与所需的硬件耗费的关系，并且由此避免经常是昂贵且破费的冗余的安全组件。

Claims (10)

1.一种用于监视具有至少两个通道(K₁、K₂)的电气开关装置(100)的方法，所述至少两个通道分别在构建电气供应变量(V₁、V₂)的条件下将为相应通道(K₁、K₂)供电的电源(V_cc)导电地连接到相应通道(K₁、K₂)的输出端(A₁、A₂)，其中，向所述开关装置(100)馈送外部安全信号(s_ext)，从所述外部安全信号为所述至少两个通道(K₁、K₂)分别生成内部安全信号(s_int,1、s_int,2)，以便由此控制串联连接到相应通道(K₁、K₂)中的电压断路器(S₁、S₂)，其特征在于，将脉冲诊断信号(d)叠加在所述内部安全信号(s_int,1、s_int,2)上，其中第一诊断信号电平(L_d)和第二诊断信号电平(H_d)交替，以形成两个在所述内部安全信号(s_int,1、s_int,2)中交替的安全信号电平(H_s、L_s)，以便通过利用第一安全信号电平(L_s)的控制来断开连接到相应通道(K₁、K₂)中的电压断路器(S₁、S₂)，并且通过利用第二安全信号电平(H_s)的控制来闭合所述电压断路器(S₁、S₂)，从而分别交替地中断在相应通道(K₁、K₂)中设置的供应变量(V₁、V₂)；在测量技术上检测交替中断的供应变量(V₁、V₂)作为测量变量(V_m1、V_m2)，并且将所述交替中断的供应变量(V₁、V₂)的所检测的测量变量(V_m1、V_m2)相互比较，以便确定所检测的测量变量(V_m1、V_m2)之间的偏差以用于监视所述电气开关装置(100)。

2.如权利要求1所述的方法，其特征在于，所述交替中断的供应变量(V₁、V₂)分别在至少一个测量时刻(T_m)被测量，在所述测量时刻处，所述诊断信号(d)具有所述第一诊断信号电平(L_d)。

3.如权利要求2所述的方法，其特征在于，所述交替中断的供应变量(V₁、V₂)分别在至少一个测量时刻(T_m)被测量，在所述测量时刻处，所述诊断信号(d)具有所述第二诊断信号电平(H_d)。

4.如上述权利要求中任一项所述的方法，其特征在于，至少一个测量时刻(T_m)位于所述诊断信号(d)的上升沿或下降沿之内，在所述测量时刻处测量所述交替中断的供应变量(V₁、V₂)，其中，在所述诊断信号(d)的上升沿中进行所述诊断信号(d)从所述第一诊断信号电平(L_d)到所述第二诊断信号电平(H_d)的过渡，并且在所述诊断信号(d)的下降沿中进行所述诊断信号(d)从所述第二诊断信号电平(H_d)到所述第一诊断信号电平(L_d)的过渡。

5.如上述权利要求中任一项所述的方法，其特征在于，在所述供应变量(V₁、V₂)的所检测的测量变量(V_m1、V_m2)的偏差超过预先给定的偏差阈值的情况下，使所述至少两个通道(K₁、K₂)的所述输出端(A₁、A₂)断电。

6.如权利要求5所述的方法，其特征在于，通过断开设置在所述通道(K₁、K₂)中的所述电压断路器(S₁、S₂)来使所述至少两个通道(K₁、K₂)的所述输出端(A₁、A₂)断电。

7.如权利要求5所述的方法，其特征在于，通过借助电压调节器(104、104’)使在所述通道(K₁、K₂)的所述输出端(A₁、A₂)处下降的输出电压(V_DD1、V_DD2)为零来使所述至少两个通道(K₁、K₂)的所述输出端(A₁、A₂)断电，所述电压调节器被设置成用于设置所述输出电压(V_DD1、V_DD2)。

8.如权利要求5所述的方法，其特征在于，通过停用用于为所述通道(K₁、K₂)供电的所述电源(V_cc)来使所述至少两个通道(K₁、K₂)的所述输出端(A₁、A₂)断电。

9.如上述权利要求中任一项所述的方法，其特征在于，所述电气供应变量(V₁、V₂)通过布置在所述电气开关装置(100)的所述通道(K₁、K₂)中的滤波元件来进行平滑。

10.一种电气开关装置(100)，所述电气开关装置(100)具有至少两个通道(K₁、K₂)、诊断单元(111)和输入接口(E_s)，所述至少两个通道分别在构建电气供应变量(V₁、V₂)的条件下将为相应通道(K₁、K₂)供电的电源(V_cc)导电地连接到相应通道(K₁、K₂)的输出端(A₁、A₂)，其中，所述输入接口(E_s)被设计成接收外部安全信号(s_ext)，从所述外部安全信号为所述至少两个通道(K₁、K₂)分别生成内部安全信号(s_int,1、s_int,2)，以便控制串联连接到相应通道(K₁、K₂)中的电压断路器(S₁、S₂)，其特征在于，所述电气开关装置(100)被设计成将所述内部安全信号(s_int,1、s_int,2)与脉冲诊断信号(d)相叠加，其中第一诊断信号电平(L_d)和第二诊断信号电平(H_d)交替，以形成两个在所述内部安全信号(s_int,1、s_int,2)中交替的安全信号电平(H_s、L_s)，并且通过利用第一安全信号电平(L_s)的控制来断开连接到相应通道(K₁、K₂)中的电压断路器(S₁、S₂)，并且通过利用第二安全信号电平(H_s)的控制来闭合所述电压断路器(S₁、S₂)，从而分别交替地中断在相应通道(K₁、K₂)中设置的供应变量(V₁、V₂)；并且所述诊断单元(111)被设计成在测量技术上检测交替中断的供应变量(V₁、V₂)作为测量变量(V_m1、V_m2)，以及将所述交替中断的供应变量(V₁、V₂)的所检测的测量变量(V_m1、V_m2)相互比较，以便确定所检测的测量变量(V_m1、V_m2)之间的偏差以用于监视所述电气开关装置(100)。

Images