DE3303791C2

DE3303791C2 - Elektronische Steuerung mit Sicherheitseinrichtungen

Info

Publication number: DE3303791C2
Application number: DE19833303791
Authority: DE
Inventors: Thomas Dipl.-Ing. 7992 Tettnang Voss
Original assignee: ZF Herion Systemtechnik GmbH
Current assignee: Herion Systemtechnik GmbH
Priority date: 1982-02-11
Filing date: 1983-02-04
Publication date: 1992-04-16
Also published as: DE3303791A1

Abstract

Eine elektronische Steuerung mit Sicherheitseinrichtungen für eine Vorrichtung mit mechanischen Bewegungsabläufen mit zwei unterschiedlich aufgebauten Sicherheitskanälen, von denen der erste Sicherheitskanal mit fest verdrahteter Schaltungslogik und der zweite Sicherheitskanal in Mikrocomputertechnik ausgeführt ist, besitzt für beide Sicherheitskanäle eine gemeinsame Sicherheitsstufe, die bei Auftreten unterschiedlicher Ausgangssignale an den Sicherheitskanälen die Vorrichtung in einen sicheren Zustand versetzt. Eine derartige Steuerung soll für den Einsatz bei taktmäßig arbeitenden Vorrichtungen bezüglich der Sicherheit und Verfügbarkeit der Vorrichtung verbessert werden. Gleichzeitig soll ein möglichst geringer Bauaufwand erreicht werden. Zu diesem Zweck übernehmen die Sicherheitskanäle gleichzeitig gleichartige Steuerfunktionen. Ferner verfügt jeder Sicherheitskanal über Selbstüberwachungseinrichtungen, deren Signale zusammen mit dem Vergleichsergebnis aus einem Vergleich der Ausgangssignale der beiden Sicherheitskanäle auf eine Sicherheitsstufe wirken, die bei Auftreten von Fehlern die Vorrichtung in einen sicheren Zustand versetzt.

Description

a) der er;te Sicherheitskanal (2) und der zweite Sicherheitskanal (3) gleichzeitig gleichartige Steuerfunktionen haben und auf jeweils zugeordnete Stellglieder (12A \2B) wirken,

b) die Selbstüberwachungseinrichtung (34, 60, 61, 59) die Überwachung mit Hilfe eines Überwachungsprogrammes über einen Mikrocomputer (34, 60, 61) und eine Kontrollschaltung (59) bewirkt,

c) der erste Sicherheitskanal (2) eine andere Selbstüberwachungseinrichtung (42, 43; 81, 82 bzw. 86, äi) aufweist,

d) die beiden Selb.-.tübens-.chungseinrichtungen (34, 60, 61, 5? und 42, 43; 81, 82 bzw. 86, 99) zyklisch innerhalb der Takt; iten arbeiten,

e) den Ausgängen der beiden Sicherheitskanäle (2 und 3) jeweils einer der Verstärker (7, 8) zugeordnet ist, deren Ausgangssignale durch einen gemeinsamen Vergleicher (6) auf Gleichheit und Gleichzeitigkeit überwacht werden,

Γ) das Ausgangssignal des Vergleichers (6) und die Ausgangssignale der beiden Selbstüberwachungseinrichtungen (34, 60, 61, 59 und 42, 42; 81, 82 bzw. 86, 99) auf die gemeinsame Sicherheitsstufe (9) wirken.

2. Elektronische Steuerung nach Anspruch 1, dadurch gekennzeichnet, daß die Selbstüberwachungseinrichtung (42, 43; 81, 82 bzw. 86, 99) des ersten Sicherheitskanals (2) aus einer Überwachungseinrichtung (42, 43) besteht, die ein eingegebenes Prüfsignal mit dem am Ausgang des ersten Sicherheitskanals (2) ankommenden Signal vergleicht.

3. Elektronische Steuerung nach Anspruch I. dadurch gekennzeichnet, daß die Selbstüberwachungseinrichtung (42, 43; 81, 82 bzw. 86, 99) aus einer Vergleichsschaltung (81; 86) besteht, durch welche die Ein- bzw. Ausgangspotentiale der Bauelemente des ersten Sicherheitskanals (2) mit entsprechenden Bezugspotentialen verglichen wen den.

4. Elektronische Steuerung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß jeweils zwischen den beiden Sicherheitskanälen (2 und 3) und den beiden Stellgliedern (12a und \2B) diesen zugeordnete Kontrollkontakte (13/4, 13S^ angeordnet sind, die durch ein einziges von der Sicherheitsstufe (9) angesteuertes Relais (13) betätigbar sind, daß die beiden Kontrollkontakte (13-4 und i3B) des Relais (13) zur gleichzeitigen Betätigung zwangsgeführt sind und daß ein weiterer Kontakt (13C) des Relais (13) als Testkontakt zur Überwachung der Funktion des Relais (13) vorgesehen ist.

5. Elektronische Steuerung nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, daß die beiden Stellglieder (12Λ und \2B) in einem Pressensicherheitsventil (33) eingebaut sind,

ίο das zwei Ventilwicklungen (33Λ und 33B) aufweist, von denen jede einem der beiden Sicherheitskanäle (2 und 3) zugeordnet ist.

6. Elektronische Steuerung nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, daß der Vergleicher (6) durch eine Gleichrichterbrückenschaltung (64—67) gebildet ist, in deren gleichgerichtetem Brückenzweig das Relais (13) und in deren anderen Brückenzweig die beiden Ventilwicklungen (33Λ, 33B) angeordnet sind.

7. Elektronische Steuerung nach Ansprach 6, dadurch gekennzeichnet, daß der ohmsche Widerstand der beiden Ventilwicklungen (33Λ und 33B) erheblich kleiner ist als der ohmsche Widerstand des Relais (13).

8. Elektronische Steuerung nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, daß bei n-facher Anordnung der elektronischen Steuerung eine Auswahlschaltung m aus π gebildet wird, wobei m Weiner η ist.

9. Elektronische Steuerung nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, daß das Überwachungsprogramm so ausgelegt ist, daß der Fehleraufdeckungsgrad 70% bis 90% beträgt.

Die Erfindung bezieht sich auf eine elektronische

■to Steuerung nach dem Oberbegriff des ersten Anspruches.

Eine derartige elektronische Steuerung ist beispielsweise aus »Die BG«, März 1980, Seite 220-224. Dipl.-Ing. W. Wienandts: »Sicherheitste^hnische Anforderungen an elektronische Steuerungen« bekannt.

Es sind besonders hohe sicherheitstechnische Anforderungen an Steuerungen zu stellen, wenn Steuerungsfehler Verletzungen von Personen zur Folge haben können. Zur Erhöhung der Sicherheit elektronisch gesteuerter Arbeitsmaschinen sind zahlreiche Möglichkeiten bekannt. Bild 2 der genannten Literaturstelle zeigt eine Pressensteuerung mit zwei gleich aufgebauten Steuerkanälen, deren Einzelstufen von einem Sicherheitskanal durch Vergleich überwacht werden.

Der Sicherheitskanal seinerseits verfügt über eine Selbstüberwachungseinrichtung. Bei einem derartigen System sind systematische Fehler, z. B. Projektierungsfehler, möglich, die nicht erkannt werden. Sie verfügt daher nicht über die notwendige Sicherheit.

Bild 6 der genannten Druckschrift zeigt den systematischen Aufbau einer elektronischen Steuerung für eine Fahrtreppe. Sie besitzt einen Steuerkanal und zwei Sicherheitskanäle, von denen einer mit fest verdrahteter Schaltungslogik und der andere in Mikrocomputcrtechnik ausgeführt ist. Durch die unterschiedlichen angewandten Technologien bei der Signalverarbeitung nimmt die Wahrscheinlichkeit, daß sich system»tische Fehler gleichzeitig und gleichartig in beiden Sieuerka-

nälen auswirken, erheblich ab. Trotzdem ist die Wahrscheinlichkeit, daß Fehler im ersten und zweiten Sicherheitskanal gleichzeitig auftreten, unzulässig hoch, da wegen der großen Vielzahl integrierter Bauelemente in dem Sicherheitskanal mit Mikrocomputertechnik für diesen Sicherheitskanal eins große Fehlerwahrscheinlichkeit besteht Selbstüberwachungseinrichtungen in diesem Sicherheitskanal können die Auswirkungen der Fehlerhäufigkeit vermindern. Eine Selbstüberwachung mit einem hohen Fehlererkennungsgrad nimmt jedoch eine Zeit in Anspruch, die. je nach den Umständen, bis zu mehreren Sekunden dauern kann. Diese Überwachungszeit kann die Taktzeit bei taktmäßig arbeitenden Vorrichtungen und zyklischer Überwachung dieser Vorrichtung unerwünscht verlängern und die Verfügbarkeit und Nutzung der Vorrichtung herabsetzen.

Der Erfindung liegt die Aufgabe zugrunde, eine elektronische Steuerung mit Sicherheitseinrichtungen für takimäßig arbeitende Vorrichtungen zu schaffen, die die Taktzeit nicht oder nur unwesentlich be^nflußt und ein hohes Maß an Sicherheit bewirkt

Diese Aufgabe wird erfindungsgemäß durch die Merkmale des kennzeichnenden Teiles des ersten Anspruches gelost

Dadurch, daß die Sicherheitskanäle gleichzeitig gleichartige Steuerfunktionen haben und auf jeweils eigene Stellglieder wirken, wird mit einfachen Mitteln und geringem Bauaufwand ein redundantes diversiiäres System sowohl auf der Steuerseite als auch auf der Sicherheitsseite realisiert, so daß das gleichzeitige Auftreten von Fehlern in beiden Kanälen weitgehend vermieden ist. Die Selbstüberwachungseinrichtung zum Überwachen des gesamten zweiten Sicherheitskanals mit Hilfe eines Überwachungsprogramms läßt die Modifizierung des Überwachungsprogramms zu, so daß kürzere Überwachungszeiten bei einem hohen Fehlererkennungsgrad gewährleistet sind. Das Überwachungsprog; amm kann dabei auf die sicherheitsrelevanten Teile des Sicherheitskanals zugeschnitten werden.

Negative Auswirkungen auf die Sicherheit der Vorrichtung sind nur dann zu erwarten, wenn trotz der unterschiedlichen Sicherheitskanäle in beiden Sicherheitskanälen gleichzeitig ein Fehler entsteht, der nicht erkannt Wird. Durch die zusätzliche Selbstüberwachung des ersten Sicherheitskanals wird die Wahrscheinlichkeit des Zusammentreffens zweier unerkannter Fehler in den beiden Sicherheitskanälen weiter vermindert. Zu diesem Zweck wirken cus Ausgangssignal des Vergleichers und die Ausgangssignale der Selbstüberwachungseimichtungen auf eine gemeinsame Sicherheitsstufe.

Die Merkmale der Ansprüche 2 und 3 zeigen Möglichkeiten zur Selbstüberwachung des ersten Sicherheitskanals auf.

Gemäß einer weiteren Ausgestaltung der Erfindung wird vorgeschlagen, daß zwischen den Sicherheitskanälen und den Stellgliedern Kontakte angeordnet sind, die durch ein einziges, von der Sicherheitsstufe gesteuertes Relais betätig werden. Die vom Aufwand her wünschenswerte Verwendung eines einzigen Relais ist unter Sicherheitsgesichtspunkten möglich, da das Relais zwangsgeführt und mit einem Testkontakt versehen ist.

Der Bauaufwand wird ebenfalls verringert, wenn die Stellglieder zu einem Pressensicherheitsventil vereinigt sind, das zwei Ventilw; .'klungen aufweist, von denen jeweils eine von einem der Sicherheitskanäle angesteuert ist. Gemäß einer weiteren Ausgestaltung der Erfindung wird der Vt.^'eicher durch eine Gleichrichterbrückenschaltung gebildet, in deren gleichgerichtetem Brückenzweig das Relais und in deren anderem Brückenzweig die Stellglieder angeordnet sind. Dies ergibt eine baugünstige Ausführung des Vergleichers, der gleichzeitigen die Verbindungsleitungen zu den Stellgliedern und deren elektrischem Teil auf Kurzschluß und Unterbrechung überwacht

Um den Störungsabstand zwischen dem Relais und den Stellgliedern möglichst groß zu halten ist es

n> zweckmäßig, daß der ohmsche Widerstand der Stellglieder erheblich kleiner gewählt wird als der ohmsche Widerstand des Relais.

Die elektronische Steuerung kann auch in Mehrfachanordnung verwendet werden. Bei n-facher Anordnung der Steuerung ist dabei zweckniäßigerweise eine Auswahlschaltung m aus η zu bilden, wobei m kleiner η ist

Aufgrund des Zusammenwirkens ier Selbstüberwachün**seinrichtun^tT im ersten und zwei»**" Sicherheitsks-

2« nal kann die Sicherheit des Gesamtsystems ausreichen, wenn das Überwachungsprogramm so ausgelegt ist, daß der Fehleraufdeckungsgrad 70% bis 90% beträgt. Dabei wird unter Fehleraufdeckungsgrad die Wahrscheinlichkeit verstanden, mit der ein Fehler erkannt wird.

Die Erfindung wird an Ausführungsbeispielen anhand von Zeichnungen erläutert, die den Gegenstand der Erfindung darstellen. Es zeigt

F i g. 1 ein Prinzipschaltbild einer erfindungsgemäßen elektronischen Steuerung für eine Vorrichtung mit

jo mechanischen Bewegungsabläufen mit zwei im Aufbau unterschiedlichen Sicherheitskanälen,

F i g. 2 eine Ausführung der elektronischen Steuerung gemäß Fig. 1 in einer Prinzipdarstellung für eine Exzenterpresse mit Handeinlegebetrieb und ein Zwei-

handpult zur Durchführung einer Einzelhubsteuerung,

Fig.3 das Ausführungsbeispiel gemäß Fig 2 mit

detailiertem Aufbau der Sicherheits- und Steuerkanäle und mit Nockenschaltern zur OT-Abschaltung bzw. zur Sel^usthaltung eines Einschaltkontakts,

F i g. 4 einen Stromablauf eines Ausführungsbeispieles eines Vergleichers der Ausgangssignale der Sicherheitskanäle,

F i g. 5 einen gegenüber F i g. 2 abgewandelten Stromlauf eines anderen Prinzips einer Selbstüberwachung des ersten Sicherheitskanals,

Fig.6 einen Stromlauf einer Schaltung zur Selbstüberwachung des ersten Sicherheitskanals, nach dem anhand von F i g. 5 erläuterten Prinzip.

Die erfindungsgemäße elektronische Steuerung

so (Fig. 1) ist für eine taktmäßig arbeitende Vorrichtung mit mechanischen Bewegungsabläufen, wie z. B. eine Exzenterpresse, eine Hydraulikpresse, eine Liftsteuerung, Werkzeugmaschinen, Spritzgußmaschinen, Handhabungsgeräte oder ähnliche Vorrichtungen, verwendbar. Dabei soll die Vorrichtung vor jedem Arbeitstakt auf einen sicheren, störungsfreien Betrieb überwacht werden. Die Tatzeiten können sich periodisch in gleichen Abständen und mit gleicher Taktlänge oder aperiodisch in unterschiedlichen Abständen oder mit verschiedener Dauer wiederholen.

Einem Geber 1 der z. B. entweder handbedienbare Schalter, Zeitschalter oder Sensoren umfaßt, sind ein erster Sicherheitskanal 2 mit fest verdrahteter Schaltungslogik und ein zweiter Sicherheitskanal 3 in Mikrocomputertechnik nachgeschaltet, die nebeneinander gleichartige Steuerfunktionen haben und damit ein redundantes Steuersystem bilden. Die Ausgänge der beiden Sicherheitskanäle 2 und 3 sind über Leitungen 4

bzw. 5 und Verstärker 7 bzw. 8 an einen Vergleicher 6 angeschlossen, in dem die Ausgangssignale auf Gleichheit und Gleichzeitigkeit überwacht werden. Die Ausgänge der beiden Verstärker 7 und 8 sind ferner über Leitungen 10 bzw. 11 und über zu einem Relais 13 gehörende Kontrollkontakte 13/4 bzw. 13ß an Stellglieder 124 bzw. 12ß angeschlossen, die beispielsweise im Falle einer Extruderpresse Pressensicherheitsventile oder im Falle eines Lifts Schütze zum Betrieb des Liftmotors sein können.

Das Relais 13 ist Bestandteil einer Sicherheitsstufe 9, auf die die verstärkten Ausgangssignale der beiden Sicherheitskanäle 2 und 3 sowie das Ausgangssignal des Vergleichers 6 wirken.

Das Ausführungsbeispiel nach F i g. 2 bezieht sich auf eine elektronische Steuerung für eine Exzenterpresse mit Handeinlegebetrieb, wobei de·· Pressenhub über ein Zweihandpult 15 ausgelöst wird. Dieses umfaßt Taster 16 und 17, deren eine Kontakte 16A, 17/4 über Anschlüsse 18, 19, 20 arn ersten Sicherheitskanal 2 und deren andere Kontakte I6ß, YiBüber Anschlüsse 21,22, 23 an dem zweiten Sicherheitskanal 3 angeschlossen sind. Die Steuerung ist so ausgelegt, daß beide Taster 16 und 17 innerhalb eines vorgegebenen Zeitraumes, z. B. von maximal 0,5 s, gedrückt werden müssen, um am Ausgang der Schaltung eine Betätigung eines Pressensicherheitsventils 33 zu bewirken. Wird der vorgenannte Zeitraum überschritten, so reagiert der Ausgang nicht.

Das Pressensicherheitsventil 33 besteht aus einem Magnetventil mit zwei Ventilwicklungen 33/4 und 33ß, die über Leitungen 27, 28 bzw. 29, 30 mit dem Verstärker 7 bzw. 8 verbunden sind. Dabei ist die eine Leitung 28 über den einen Kontrollkontakt 13Λ, die andere Leitung 29 über den anderen Kontakt 13ß geführt. Die Kontrollkontakte 13-4, 13ß sind zunächst geschlossen und werden nur bei auftretender Störung gemeinsam von der Sicherheitsstufe 9 betätigt.

Der erste Sicherheitskanal 2 (Fig.3) umfaßt im wesentlichen eine Steuereinheit 40 und einen ihr zugeordneten Oszillator 24, der zur Weiterschaltung der Steuereinheit 40 dient und ein Prüfsignal am Eingang des ersten Sicherheitskanals 2 erzeugt, ferner ein Netzgerät 41 und einen Wandler 42, der aus dem Prüfsignal am Ausgang des ersten Sicherheitskanals 2 und der Versorgungsspannung aus dem Neztgerät 41 eine sowohl prüffrequenz- als auch versorgungsspannungsproportionale Steuerspannung für eine Überwachungseinheit 43 liefert. Diese löst bei Unterschreiten eines Schwellwertes die Sicherheitsstufe 9 aus. Ein Mono-Flop 44. also ein monostabiler Multivibrator mit einer Schaltzeit von 0,5 s sorgt dafür, daß eine Betätigung der beiden Taster 16 und 17 nur auf den Ausgang wirkt, wenn sie innerhalb der Schaltzeit erfolgt. Zwei Flip-Flops 45, 46 wirken über ein erstes ODER-Gatter 78 auf einen als Verstärker 7 dienenden ersten Transistor 47. Die genannten Bausteine sind durch UND- bzw. ODER-Gatter bzw. Inverter logisch mit den Steuereingängen verknüpft.

Neben den beiden Tastern 16 und 17 gehören zu den Steuereingängen zwei Nockenschalter 51 bzw. 52 (F i g. 3), deren Nockenscheiben drehfest auf einer Welle 80 angebracht sind, deren Drehbewegung vom Hub der Presse abgeleitet ist. Sie dienen der Abschaltung im oberen Totpunkt der Exz.cnterpresse. Der zweite Nockenschalter 52 hält zusätzlich die Presse ab einer Stelle E unabhängig von der Stellung der beiden Taster 16 oder 17 im eingeschalteten Zustand. Ferner gehört zu den Steuereingängen ein Drehmomentschalter 53 für die Bremsüberwachung, der ein Quittierungssignal dann liefert, wenn die Haupt- und die Zusatzbremse der Presse das erforderliche Bremsmoment tatsächlich aufbringt.

Die Kontakte der beiden Taster 16 und 17 der beiden Nockenschalter 51 und 52 und des Drehmomentschalters 53 sind über Schutzwiderstände 102 mit den Eingängen des ersten Sicherheitskanals 2 und eines Peripherieadapters 54 des zweiten Sicherheitskanals 3

ίο verbunden. Dabei wirkt der eine Kontakt MA über einen Inverter 73 sowohl auf ein erstes UND-Gatter 75 als auch auf ein zweites ODER-Gatter 74, während der eine Kontakt 16,4 auf das zweite ODER-Gatter 74 und auf das erste UND-Gatter 75 wirkt. Das zweite

is ODER-Gatter 74 wirkt über das Mono-Flop 44 ebenfalls auf das UND-Gatter 75. Am Ausgang des ersten UND-Gatters 75 ist nur dann ein Signal vorhanden, wenn beide Taster 16 und 17 betätigt sind und die Betätigung innerhalb einer Zeitspanne von 0,5 s erfolgte. Das Ausgangssignal des UND-Gatters 75 erzeugt über ein Differenzierglied, bestehend aus einem Kondensator 103 und einem Widerstand 104, einen Set-Befehl im ersten Flip-Flop 45. Falls kein Ausgangssignal am UND-Gatter 75 vorhanden ist. erfolgt über einen Inverter 76 und ein drittes ODER-Gatter 77 ein Reset-Befehl am ersten Flip-Flop 45.

Der s:sie Nockenschalter 51 wirkt über einen Inverter 70 und ein viertes ODER-Gatter 79 auf den Reset-Eingang des zweiten Flip-Flop 46, so daß der zweite Flip-Flop 46 bei geöffneten ersten Nockenschalter 51 in der Reset-Stellung sich befindet. Der zweite Nockenschalter 52 wirkt über das dritte ODER-Gatter

77 auf den Reset-Eingang des ersten Flip-Flop 45, über ein Differenzierglied, bestehend aus dem Kondensator 103 und dem Widerstand 104, auf den Set-Eingang des zweiten Flip-Flop 46 und über einen Inverter 71 und das vierte ODER-Gatter 79 auf den Reset-Eingang des zweiten Flip-Flop 46. Dadurch erhält der zweite Flip-Flop 46 bei geöffnetem ersten Nockenschalter 51 einen Reset-Befehl, während der erste Flip-Flop 45 bei geöffnetem zweiten Nockenschalter 52 einen Reset-Befehl erhält. Bei geschlossenem zweiten Nockenschalter 52 erhält der erste Flip-Flop 45 einen Reset-Befehl, während der zweite Flip-Flop 46 über c*as Differenzierglied 103, 104 einen Set-Befehl bekommt. Die beiden Flip-Flops 45 und 46 sind über das erste ODER-Gatter

78 mit dem Wandler 42 und mit dem ersten Transistor 47 verbunden.

Der zweite Nockenschalter 52 wirkt ferner über ein NOR-Glied 68 und ein zweites UND-Gatter 69 a.v die Sicherheitsstufe 9. Der zweite Eingang des zweiten UND-Gatters 69 ist mit dem Drehmomentschalter 53 verbunden. Dadurch spricht die Sicherheitsstufe 9 an, wenn der zweite Nockenschalter 52 geöffnet ist und gleichzeitig der Drehmomentschalter 53 schließt.

Der zweite Sicherheitskanal 3 umfaßt im wesentlichen den Peripherieadapter 54, Programmspeicher (PROM) 34, 58, eine Kontrollschaltung 59, einen Mikroprozessor 61 und einen Arbeitsspeicher (RAM) 60, die alle untereinander über Steuerleitungen 55, einen Adreßbus 56 und einen Datenbus 57 verbunden sind. Ferner gehören noch eine Startschaltung 62 sowie ein Adressendecoder 14 dazu. Die Eingänge des Peripherieadapters 54 sind mit den Kontakten der beiden Taster 16 und 17, der beiden Nockenschalter 51 und 52 und des Drehmomentschalters 53 verbunden, während die Ausgänge unmittelbar auf die Sicherheitsstufe 9 bzw. über einen zweiten Transistor 48, der als Verstärker 8

dient, wirken. Zwischen dem Ausgang des ersten Sicherheitskanals 2 und des zweiten Sicherheitskanals 3 ist der Vergleicher 6 angeordnet, der die Signale auf Gleichheit und Gleichzeitigkeit überprüft und das Ergebnis der Sicherheitsstufe 9 übermittelt.

Die beiden Transitoren 47 und 48 schalten den Strompreis für die beiden Ventilwicklungen 33/4 und 33ß des Pressensicherheitsventils 33, der über die beiden Kontrollkontakte 13/1 und 13ß das Relais 13 geführt ist. Diese Kontakte werden geöffnet, sobald das Relais 13 infolge einer Fehlermeldung der Sicherheitsstufe 9 abfällt. Eine solche Fehlermeldung kann aus dem Signalvergleich des Vergleichers 6 oder aus Signalen der Überwachungseinrichtungen der beiden Sicherhf itskanäle 2 und 3 resultieren.

Die Selbstüberwachung des ersten Sicherheitskanals 2 erfolgt in den Taktpausen zwischen den einzelnen Hubbewegungen. Hierzu werden vom Oszillator 24 über Differenzierglieder 100, 101 kurze Nadelimpulse definierter Frequenz durch die Steuereinheit 40 nacheinander auf die Signaleingänge des ersten Sicherheitskanals 2 gegeben. Sofern der erste Sicherheitskanal 2 funktionsfähig ist, wirkt an seinem Ausgang eine definierte Impulsfrequenz auf den Wandler 42. Durch Verwendung von Nadelimpulsen und entsprechende Schaltungsauslegung gewährleistet man, daß die Testfrequenz keine Steuerfunktion auslöst. Bei fehlender oder abweichender Frequenz hingegen reagiert die Sicherheitsstufe 9 und verhindert ein weiteres Arbeiten der Fresse.

Die Überwachung des zweiten Sicherheitskanals 3 geschieht mittels eines Sicherheitsprogramms, das in einem Programmspeicher 34 bzw. 58 abgelegt ist. Der Mikroprozessor 61 befindet sich entweder im Sicherheitszyklus oder er bewältigt nicht sicherheitsrelevante Zusaizaufgabcn, nach deren Erledigung er unmittelbar wieder in den Sicherheitszyklus zurückkehrt. Dabei ist das Überwachungsprogramm aktiv. Die Summe der sich aus den Programmen der Programmspeicher 34 bzw. 58 ergebenden Werte und weitere charakteristische! Werte wird fortlaufend gebildet und mit einer Sollwertkontrollzahl verglichen, die z. B. durch galvanische Brücken dargestellt ist. Bei fehlerhaftem Ergebnis oder Ausbleiben der Ergebnismeldung wird die Sicherheitsstufe 9 ausgelöst.

Bei einer Signalgabe aus der Steuerung an den Peripherieadapter 54 wird der Rechner sofort durch einen Interrupt-Befehl an den Mikroprozessor 61 für die Steuerung zur Verfügung gestellt. Er verarbeitet die Steuerbefehle entsprechend seinem Steuerprogramm, bis von dem ersten Nockenschalter 51 und dem Drehmomentschalter 53 das Hubende signalisiert und das Überwachungsprogramm reaktiviert werden. Kehrt der Rechner nicht in den Sicherheitszyklus zurück, wird ebenfalls die Sicherheitsstufe 9 ausgelöst, die Vorrichtung fällt in den sicheren Zustand zurück.

In den beiden Ventilwicklungen 33/4 und 33ß können Fehler auftreten, die nicht leicht bzw. nicht sicher erfaßt werden können. Dies trifft z. B. für Kurzschlüsse in beiden Ventilwicklungen 33/4 und 33ß zu, weil diese ohnehin sehr niederohmig sind. In einem solchen Störungsanfall unterbrechen in den Ansteuerkreisen vorgesehene Sicherungen 49, 50 (Fig.3) dann, wenn eine Ansteuerung erfolgt Danach wird die Sicharheitsstufe 9 ausgelöst, die die verschiedenen Störmeldungen verknüpft und bei ihrer Aktivierung ein Abfallen des Relais 13 bewirkt.

Der sicherheitsrelevante Teil der Sicherheitsstufe 9 ist in Failsafe-Technik ausgeführt. Das Relais 13 hat zwangsgeführte Kontakte, wodurch es sicher überwacht werden kann. Sicherheitsstufe 9 und Relais 13 werden zyklisch überwacht, indem nach jeder Hubabschaltung ein Funktionstest eingeleitet wird, wobei auch eine Relaisabschaltung erfolgt. Eine automatische Wiedereinschaltung erfolgt bei diesem Test nur dann, wenn die Sicherheitsstufe 9 nicht gestört ist, der Drehmomentschalter 53 ein ausreichendes Bremsmoment registriert,

ic keine Störmeldungen aus einem der beiden Sicherheitskanäle 2 und 3 bzw. der beiden Verstärker 7 und 8 vorliegt und das Relais 13 durch einen weiteren Kontakt 13C der als Testkontakt wirkt, ein sicheres Abfallen des Relais 13 bestätigt hat. Nach einer störungsbedingten Abschaltung wird eine automatische Wiedereinschaltung selbst dann sicher verhindert, wenn die Störung nicht mehr besteht.

bin Ausführungsbeispiei einer Ausgangsstufenüberwachung, also einer Überwachung der beiden Transistoren 47 und 48(F i g. 4), umfaßt neben dem Pressensicherheitsventil 33 eine Brückenschaltung aus Dioden 64,65, 66, 67 und die im gleichgerichteten Zweig der Brückenschaltung liegende Wicklung des Relais 13. Die beiden zu letzterem gehörenden Koniroilkontakte 13/4 und 135 sind zwischen dem einen Anschluß der einen Ventilwicklung 33A und dem Kollektor des Transistors 47 einerseits und zwischen dem einen Anschluß der anderen Ventilwicklung 33ß im Pressensicherheitsventil 33 und dem Emitter des Transistors 48 andererseits

jo angeordnet.

Die Stromversorgung erfolgt über Anschlüsse 105, 106, wobei am Anschluß 106 Null-Potential anliegt. Im Ruhezustand fließt der Strom über den einen Kontakt 13,4, die eine Ventilwicklung 33/4, die Diode 67, das Relais 13, die Diode 64, die andere Ventilwicklung 33ß ,.nA rlon «nrla-on linnloll 1IfI Γ»-» Ate DoUIo 11 ..~Λ A.„ iiit\i ü^ä! wtiUwi Cat ä^uiiiuni »·***· i^u uuj iiviuu ■«* utiu vtiw beiden Ventilwicklungen 33Λ und 33ß in Reihe liegen, können sie so aufeinander abgestimmt werden, daß nur das Relais 13 anspricht. Werden die beiden Transistoren 47 und 48 über Leitungen 107,108 angesteuert, sind das Relais 13 und die beiden Ventilwicklungen 33/4 und 33ß parallel geschaltet, so daß nun der Spannungsabfall an den beiden Ventilwicklungen 33/4 und 33ß ausreicht, daß das Pressensicherheitsventil 33 anspricht. Bei einem Defekt an den beiden Transistoren 47 und 48 oder einem Kurzschluß oder Leitungsbruch in den Ventilwicklungen 33/4,330 bzw. den zugehörigen Leitungen fällt das Relais 13 ab und die beiden Kontrollkontakte 13/4 und 13ß öffnen. Damit sind diese Bauelemente ebenfalls in die Überwachung einbezogen.

Eine andere Ausführungsform zur Überwachung des ersten Sicherheitskanals 2 (Fig.5) umfaßt eine Vergleichsschaltung 81, die über Leitungen 85 mit allen Gatterein- und -ausgängen (Fig.6) verbunden ist, wobei einige Gattereingänge mit anderen Gatterausgängen identisch sein können. Die elektrischen Werte an den Gatterein- und -ausgängen werden über Leitungen 84 (Fig.5) niit einem Bitmuster in einer Bitmustereinheit 82 verglichen. Das Bitmuster entspricht dem Ruhezustand der Gatterein- und -ausgänge. Hierdurch sind alle Fehler erkennbar, die an einem beliebigen Gatter im Sicherheitskanal 2 meßbar sind. Die Vergleichsschaltung 81 weist einen Ausgang auf, an dem eine Leitung 83 angeschlossen ist Das am Ausgang erscheinende Potential wechselt zyklisch, z. B. in Anwendung auf eine Presse würde am Ausgang während einer Hubphase eine elektrische Spannung von +5V erscheinen, während der Durchführung eines

Hubs eine solche von 0 V. Die Leitung 83 führt zu der Sicherheitsstufe 9, die zyklische Potentialänderungen am Ausgang des Vergleichers 6 überwacht.

Die Leitungen 85 (F i g. 5) sind als Leitungen 87 bis 98 in Fig.6 einzeln ausgeführt. Aus dieser Schaltung ist auch ersichtlich, an welchen Stellen ein H-Potential (High-Potential) und gleichzeitig ein L-Potential (Low-Potential) erscheint oder umgekehrt. Die aus Fig. 6 ersichtlichen Potentialangaben beziehen sich auf den Schaltungsruhezustand, der z. B. der Hubpause der Presse entspricht.

Die Bitmustereinheh 82 (F i g. 5) wird durch galvanische Brücken 99, z. B. Lötbrücken oder Leiterbahnen, gebildet.

Hierzu 4 Blatt Zeichnungen

Claims

Patentansprüche:

1. Elektronische Steuerung mit Sicherheitseinrichtungen für eine Vorrichtung mit mechanischen Bewegungsabläufen, mit zwei unterschiedlich aufgebauten Sicherheitskanälen, von denen der erste Sicherheitskanal mit fest verdrahteter Schaltungslogik und der zweite SicherheitskanaS in Mikrocomputertechnik ausgeführt ist und mit einer gemeinsamen Sicherheitsstufe, die bei Auftreten unterschiedlicher Ausgangssignale der beiden Sicherheitskanäle die Vorrichtung in einen sicheren Zustand versetzt, sowie mit einer Selbstüberwachungseinrichtung für den zweiten Sicherheitskanal, die ebenfalls auf die gemeinsame Sicherheitsstufe einwirkt, dadurch gekennzeichnet, daß bei taktmäßig arbeitenden Vorrichtungen