DE4432768C2 - Schaltungsanordnung zur Überwachung sicherheitsrelevanter Maschinenparameter und Betriebszustände bei Bewegungsvorgängen - Google Patents

Description

Die Erfindung betrifft eine Schaltungsanordnung zur Überwachung sicherheitsrelevanter Maschinenparameter und Betriebszustände bei Bewegungsvorgängen.

Komplexe prozeßgesteuerte CNC-Anlagen sowie Industrieroboter stellen besondere Anforderungen an die Arbeitssicherheit. Insbesondere für den Schutz von Personen gelten hohe Anforderungen.

Neben der direkten Überwachung der Anlage über die Maschinensteuerung sind Überwachungseinrichtungen zur zweikanaligen Überwachung von Kriech- und Drehbewegungen einer Maschinenachse auf limitierte Drehzahlwerte in den Betriebsarten,
Stillstandsüberwachung,
manueller/Einrichtbetrieb,
Automatikbetrieb
in Form separater Geräte bekannt, wobei bei Überschreitung der jeweils zulässigen Grenzwerte mit der durch die entsprechenden Richtlinien geforderten Sicherheit ein Stillsetzen der Maschine durch Abschalten der Antriebsenergie erfolgt. Die Erfassung des Bewegungszustandes geschieht dabei über Rechteckimpulsfolgen von Gebern, die den Bewegungszustand der Anlage eindeutig beschreiben. Zusätzliche Einrichtungen überwachen dabei den Gefahrenbereich der Maschine, insbesondere den Zustand der Schutztüren des Bearbeitungsraumes (Schutztürwächter).

Moderne Bearbeitungszentren erfordern jedoch die Überwachung von mehr als einer Maschinenachse.

Es sind bereits Verfahren und Vorrichtungen zur Sicherheitsüberwachung bei Schutzeinrichtungen mit normaler und überhöhter Sicherheit von mehrachsigen Drehbewegungen ausführenden Maschinen bekannt (EP 0465710 A1, DE 38 37 218 A1 sowie Artikel "Alle Achsen im Griff", elektroanzeiger 46, JG. Nr. 1, Januar 1993). Sie arbeiten mit Abschaltschützen im Stromversorgungsbereich der Maschine sowie einem externen Überwachungskreis für Schutzhauben, Kontakt- und manueller Zustimmung für limitierte Drehbewegungen und bestehen aus einem Grundgerät mit einer Stromversorgungseinheit sowie einer Kontrolleinheit in jeweils getrennten Teilgehäusen, wobei zwischen beiden eine Steckkontaktanordnung, die auftrennbar ist, vorhanden ist und der Zwischenanreihung weiterer Ergänzungsüberwachungseinheiten dient. Jede Überwachungseinheit überwacht bestimmte Achskreise der Zielanlage und sendet ihre Ausgangssignale parallel auf durchgehende über die jeweiligen Steckkontaktmittel geführte Querverbindungsleitungen zur Stromversorgungseinheit. Diese steuert über ein Ausgangsrelais die im Leistungsteil der Zielanlage angeordneten Abschaltschütze an. Das Gerät verfügt über drei verschiedene Funktionsarten, die über den entsprechenden Betriebszustand der Zielanlage am Gerät angewählt werden, wobei die Stellung der Schutztürhaube als steuernde Größe dient. Die 2fache elektronische unabhängige Auswertung des angewählten Betriebszustandes und die durch zwei unterschiedliche Encoder erzeugten Signale der Drehbewegung ermöglichen dabei einen ständigen internen Funktionstest.

Nachteile dieser Lösungen sind, daß zur Auswahl der Betriebsart eine Schutzeinrichtung der Maschine benutzt wird, d. h. die Maschinenregelung wird in die Überwachung nicht mit eingeschlossen. Damit ist die Vorrichtung eine reine Überwachungsvorrichtung für Drehbewegungen, wobei diese auf ausschließlich feste Grenzwerte überwacht werden. Eine flexible Anpassung an unterschiedliche Bearbeitungsprozesse, die eine Änderung des Drehzahlgrenzwertes während des Prozesses erfordern, ist nicht möglich. Nachteilig ist weiterhin, daß durch die Verwendung der Schutzeinrichtung als steuerndes Element für die Betriebsart die Überwachungszustände "Stillstandsüberwachung" und "Stillstandsüberwachung als Sonderbetrieb" an die geöffnete Gefahrenzone geknüpft sind. Außerdem wird im Fehlerfall nur die Antriebsenergie abgeschaltet, eine gleichzeitige Abbremsung der Antriebselemente erfolgt nicht.

In den Patentschriften DE 41 06 009 C1 und EP 0501218 A2 wird eine Schaltungsanordnung einer Tür- oder Schutzhaubenverriegelungssteuerung für eine Schutzeinrichtung mit normaler und überhöhter Sicherheit bei insbesondere Drehbewegungen durchführenden Maschinen (Zielanlage) mit Abschaltschützen im Stromversorgungsbereich der Zielanlage, mindestens einem Türkontaktkreis und einem von einer Bedienperson manuell betätigbaren Zustimmkontaktkreis sowie ferner mit Drehbewegungssignale auswertenden Meßsystemen für jede Achse, dadurch gekennzeichnet, daß zur Einbeziehung einer redundanten Drehbewegungs-Signalauswertung auch für die Türsteuerung, in die ein Verriegelungsmechanismus integriert ist, dessen Position unter Verzicht auf eigene Drehbewegungssensorik von mindestens einem, der eine jeweilige Achse auf Drehbewegung überwachenden Meßsystem bestimmt ist, vorgestellt.

In dem Artikel "Sichere Bewegungsüberwachung bei Industrierobotern" in VDI-Z 132/1990 Nr. 11 wird ein Konzept zur redundanten Ausführung sicherheitsrelevanter Überwachungsmechanismen zur sicheren Ansteuerung von Roboterachsen vorgestellt. Mittels eines Überwachungsrechners, der der Robotersteuerung beigestellt ist, oder einer zweikanaligen Ausführung der Achsrechner der Steuerung, werden Fehler im Lageregelkreis erkannt und im Gefahrenfall wird der Roboter umgehend stillgesetzt. Nachteile dieses Konzeptes sind, daß zur sicheren Überwachung eine zusätzliche Rechnereinheit benötigt wird und keine steuerungsunabhängige, mit wenig Aufwand nachrüstbare Lösung für konventionelle bereits existierende Anlagen zur Verfügung steht.

Bei einer anderen Vorrichtung zur Steuerung der Bewegungsabläufe von Handlingssystemen oder Robotern (DE 39 02 247 A1) sind die Abgriffe im Regelkreis dreifach redundant vorgesehen. Die Sicherheitsschaltung spricht auf Signalabweichung zwischen den redundanten Abgriffen an oder eleminiert ein fehlerhaftes Signal. Über gewonnene Lagesignale wird ein Soll-/Istwert-Vergleich durchgeführt und bei Abweichung werden die Stellmotoren stillgesetzt. Nachteile dieser Lösung sind das zusätzliche Anbringen eines inertialen Lagemeßsystems sowie kein unbedingtes Zurückführen der Anlage in den sicheren Zustand. Des weiteren ist diese Lösung steuerabhängig und für konventionelle, bereits existierende Anlagen nicht nachrüstbar.

Moderne Bearbeitungszentren erfordern aber in zunehmendem Maße nicht nur die Überwachung drehender Maschinenteile, sondern die Überwachung der gesamten im Arbeitsprozeß auftretenden Bewegungen der Maschine sowie die Einhaltung der in den jeweiligen Betriebsmodi geltenden Sicherheitsbedingungen für den gesamten Maschinenraum.

Aufgabe der Erfindung ist es, eine Schaltungsanordnung zur Überwachung sicherheitsrelevanter Maschinenparameter und Betriebszustände bei Bewegungsvorgängen zu schaffen, die entsprechend den gesetzlichen Anforderungen für Personen keine Gefahr entstehen läßt, im Fehlerfall möglichen Sachschaden minimiert und sowohl eine Überwachung von Bewegungsvorgängen als auch der den Maschinenraum abgrenzenden Schutzeinrichtungen ermöglicht, wobei beim Auftreten gefährlicher Zustände eine der Zustandsart angepaßte Steuerung der Maschine erfolgt.

Erfindungsgemäß wird diese Aufgabe durch eine Schaltungsanordnung mit den Merkmalen des Hauptanspruchs gelöst. Weitere Merkmale der Erfindung sind in den Unteransprüchen dargestellt.

Der Vorteil der Erfindung besteht in der Kombination der Überwachung von rotatorischen und translatorischen Bewegungsvorgängen einer Maschine mit der Überwachung der den Maschinenraum abgrenzenden Schutzeinrichtungen, insbesondere Schutztüren, Lichtvorhänge, Fußkontaktmatten u. a. Die Überwachungsparameter, die alle Grenzwerte enthalten, sind einstellbar, sie können wahlweise aus innerhalb der Überwachungseinheiten angeordneten Festwertspeichern, den Überwachungsparameterspeichern, abgerufen oder über eine serielle Schnittstelle von der Steuerung flexibel eingelesen werden. Dies ist insbesondere für solche Einsatzfälle von Interesse, wo mit werkzeugabhängig wechselnden Drehzahlen gearbeitet wird oder sich ein variabler Bewegungsgrenzwert durch den Einsatz von Schaltgetrieben ergibt. Die vorgeschlagene Erfindung gestattet durch ein modulares Konzept die Überwachung aller sicherheitsrelevanten Größen der zu überwachenden Anlage. Sie ist in der Lage, gemäß der aktuellen Maschinenkonfiguration eine unterschiedliche Zahl von Achsen und Schutzeinrichtungen zu überwachen. Im Gefahrenfall erfolgt ein schnellstmögliches sicheres Stillsetzen der Anlage durch Abschalten der Antriebsenergie und gleichzeitiges Abbremsen der Bewegung durch Sperrung der Reglerfreigabe oder durch Nullsetzung des Sollwertes. Weitere Vorteile sind im Ausführungsbeispiel aufgezeigt.

Die Erfindung wird nachfolgend anhand eines in einer Zeichnung in vereinfachter Weise dargestellten Ausführungsbeispiels näher erläutert. Dabei zeigen:

Fig. 1 das Blockschaltbild der erfindungsgemäßen Schaltungsanordnung in Verbindung mit der zu überwachenden Anlage bzw. Maschine,

Fig. 2 das Blockschaltbild einer Abschalteinheit und

Fig. 3 das Blockschaltbild einer Überwachungseinheit.

In Fig. 1 ist das Blockschaltbild einer zu überwachenden Anlage bzw. Maschine mit Maschinensteuerung und erfindungsgemäßer Schaltungsanordnung dargestellt. Von der Anlage bzw. Maschine sind ein Gefahrenzonenmelder, z. B. ein Türkontakt 1, ein Betriebsartenwahlschalter 2, ein Maschinenantrieb 3 und sowohl ein erster Geber 4 und ein zweiter Geber 5 einer ersten Achse als auch ein dritter Geber 6 und ein vierter Geber 7 einer zweiten Achse dargestellt.

Die Schaltungsanordnung stellt einen Sicherheitsmodul dar, der modular aufgebaut ist und sowohl als Stand-alone-Gerät als auch in Form von Einzelkomponenten im Schaltschrank betrieben werden kann. Er besteht aus einer dreikanaligen Abschalteinheit 8 und aus einer - der Anzahl der zu überwachenden Bewegungsvorgänge entsprechenden - Anzahl dreikanaliger Überwachungseinheiten, wobei jeweils ein Kanal der Abschalteinheit 8 mit dem entsprechenden Kanal aller Überwachungseinheiten verknüpft ist und alle wesentlichen Überwachungsfunktionen durch anwenderspezifische integrierte Schaltkreise, ASIC′s, realisiert sind sowie einem Netzteil 11 zur maschinenunabhängigen Spannungsversorgung. Anstelle der ASIC′s sind aber auch andere Baugruppen, beispielsweise Prozessoren, einsetzbar.

In diesem Beispiel sind vier Geber 4 bis 7 zweier Achsen dargestellt, weshalb im Ausführungsbeispiel also eine erste Überwachungseinheit 9 für den ersten und zweiten Geber 4 und 5 der ersten Achse und eine zweite Überwachungseinheit 10 für den dritten und vierten Geber 6 und 7 der zweiten Achse angeordnet sind. Jeder Achse sind also zwei Geber 4, 5 bzw. 6, 7 zugeordnet, die unabhängig voneinander über Leitungen GA11/GA12 oder GA21/GA22 mit der ihnen zugeordneten Überwachungseinheit verbunden sind.

Eine Maschinensteuerung 12 ist über einen bidirektionalen Bus Status/Fehler mit der Abschalteinheit 8, der ersten Überwachungseinheit 9 und der zweiten Überwachungseinheit 10 verbunden. Die Übergabe der Überwachungsparameter erfolgt über die Leitung Überwachungsparameter von der Maschinensteuerung 12 zur ersten Überwachungseinheit 9 und zur zweiten Überwachungseinheit 10.

Die Abschalteinheit 8 ist über eine Reglerfreigabeleitung RFG und einen zweikanaligen Not-Aus-Interface-Kreis NA1, NA2, NA3 und NA4 mit dem Maschinenantrieb 3 verbunden und über Leitungen ZBUS mit den Überwachungseinheiten 9 und 10. Ein Bus zur Übertragung der Signale P (P1, P2 und P3) verbindet die Abschalteinheit 8 mit der zweiten Überwachungseinheit 10, die wiederum über Leitungen zur Übertragung der Signale AB und SSM mit der ersten Überwachungseinheit 9 verbunden ist. Die Signale AB und SSM werden von der ersten Überwachungseinheit 9 weiter an die Abschalteinheit 8 gegeben.

Zum Start des Sicherheitsmoduls ist ein Start-Taster 13 und zum unbedingten Abschalten ein Ende-Taster 14 vorhanden, die mit der Abschalteinheit 8 verbunden sind. Weiterhin kann der Abschaltbefehl durch einen externen Not-Aus-Taster 32 ausgelöst werden, der ebenfalls mit der Abschalteinheit 8 verbunden ist.

Fig. 2 zeigt die dreikanalige Abschalteinheit 8. Das Eingangsinterface 15 der Abschalteinheit 8 erhält alle Signale, die für den Betriebszustand und den Zustand der Sicherheitseinrichtungen des Maschinenraumes maßgeblich sind. Im Ausführungsbeispiel sind das:

• - Betriebsartenwahlschaltersignale B1. . .B6 (B1, B2 - manueller Betrieb, B3, B4 - Stillstand, B5, B6 - Automatik)
• - Start-Signal S1, S2
• - Ende-Signal E1, E2
• - externes NOT-AUS-Signal
• - Türpositionssignale T1, T2
• - Zustandssignal der Türverriegelung TZU.

Diese Signale werden allen anwenderspezifischen integrierten Schaltkreisen, den Abschalt-ASIC′s 16, 17, 18 zugeführt. Alle drei Abschalt-ASIC′s 16, 17, 18 übertragen den aktuellen Überwachungsstatus und Fehlerinformationen in ein gemeinsames erstes Status-Fehlerregister 19. Zusätzlich generiert jeder Abschalt-ASIC 16, 17, 18 Reglerfreigabesignale RFG1, RFG2 und RFG3, die über ein UND-Glied 20 zu einem gemeinsamen Signal RFG verknüpft sind. Abschaltbefehle AS1, AS2 und AS3 der Abschalt-ASIC′s 16, 17, 18 schalten jeweils eins von drei in einem Not-Aus-Interface-Kreis der Maschine befindlichen zwangsgeführten Relais 21, 22, 23.

Die Abschalteinheit 8 übernimmt also folgende Funktionen:

• - Festlegung des Überwachungszustandes der Maschine aus der Stellung des Betriebsartenwahlschalters 2 sowie Weiterleitung dieses Überwachungsmodus an alle angeschlossenen Überwachungseinheiten 9 und 10 über den ZBUS-Vektor,
• - Überwachung aller statischen Meldesignale über den Zustand des Maschinenraumes,
• - Erzeugung der dynamischen Signale P1, P2, P3 für die zweite Überwachungseinheit 10 und Auswertung der dynamischen Signale SSM1, SSM2, SSM3 und AB1, AB2, AB3,
• - Abschalten der Antriebsenergie der Anlage bzw. Maschine über Öffnung der Relaiskontakte K1 bis K6 der Relais 21, 22 und 23 sowie Erzeugung des Signals RFG zur Sperrung der Reglerfreigabe im Fehlerfall,
• - Speicherung aller Betriebs- und Fehlerzustände im ersten von außen abrufbaren Status-Fehlerregister 19.

Fig. 3 zeigt eine der dreikanaligen Überwachungseinheiten 9 bzw. 10. Das Eingangsinterface 24, z. B. das der ersten (zweiten) Überwachungseinheit 9 (10), ist mit den beiden Ausgangsleitungen GA11 und GA12 (GA21 und GA22) der Geber 4 und 5 (6 und 7) zur Überwachung der ersten (zweiten) Achse verbunden. Die Ausgangssignale GA11 und GA12 (GA21 und GA22) der Geber 4 und 5 (6 und 7) werden jedem anwenderspezifischen integrierten Schaltkreis der betreffenden Überwachungseinheit 9 (10), den Überwachungs-ASIC′s 25, 26, 27 zugeführt. Alle drei Überwachungs-ASIC′s 25, 26, 27 sind mit einem zweiten Status-Fehlerregister 28 und jeweils mit einem Überwachungsparameterspeicher 29, 30, 31 verbunden.

Die Überwachungseinheiten 9 bzw. 10 besitzen folgende Aufgaben:

• - Übernahme der für den jeweiligen Betriebsmodus maximal zulässigen Bewegungsgrenzwerte aus den auf der Überwachungseinheit 9 bzw. 10 angeordneten Überwachungsparameterspeichern 29, 30, 31 oder wahlweise über eine serielle Schnittstelle von der Maschinensteuerung 12,
• - Auswertung der Bewegungsinformation der angeschlossenen Geber 4, 5 bzw. 6, 7, wobei diese mit getrennten Spannungsquellen versorgt werden,
• - Setzen der von der Abschalteinheit 8 kommenden und durch die Überwachungseinheiten 9 bzw. 10 zur Abschalteinheit 8 rückgeführten dynamischen Signale auf einen statischen Wert zur Detektierung von Fehlerzuständen, hervorgerufen durch die Überschreitung der jeweils maximal zulässigen Grenzwerte der einzelnen Betriebsmodi der Anlage bzw. Maschine,
• - Konsistenzprüfung der Gebersignale GA11, GA12, GA21, GA22 sowie Erkennung nicht angeschlossener oder defekter Geber auch im Stillstand,
• - Speicherung aller Betriebs- und Fehlerzustände im von außen abrufbaren zweiten Status-Fehlerregister 28.

Im folgenden sollen die Arbeitsweise und die Funktion der Schaltungsanordnung zur Überwachung und Steuerung (gezieltes Abschalten der Anlage/Maschine im Gefahrenfall) sicherheitsrelevanter Maschinenparameter erklärt werden. Erfindungswesentlich ist die Kombination der Überwachung von rotatorischen und translatorischen Bewegungsvorgängen der Maschine mit der Überwachung der den Maschinenraum abgrenzenden Schutzeinrichtungen. Dabei werden die Überwachungsparameter, z. B. Grenzwerte, entweder fest in internen Überwachungsparameterspeichern 29, 30, 31 abgelegt oder über eine serielle Schnittstelle von der Steuerung flexibel bereitgestellt. Durch ein modulares Konzept erfolgt für eine unterschiedliche Anzahl von Achsen und Schutzeinrichtungen im Gefahrenfall ein schnellstmögliches, sicheres Stillsetzen der Anlage. Dies geschieht durch Abschalten der Antriebsenergie und gleichzeitiges Abbremsen der Bewegung durch Sperrung der Reglerfreigabe oder durch Nullsetzung des Sollwertes. Dabei erfolgt eine Überwachung in den Betriebszuständen Stillstand, Einricht-/manueller Betrieb und Automatikbetrieb mit dem Betriebsartenwahlschalter 2 der Anlage als steuernde Größe auf die zu prüfenden Bedingungen. Durch implementierte Selbsttests innerhalb des gesamten Sicherheitsmoduls findet eine ständige Eigenüberwachung statt, so daß ein interner Fehler, der die Überwachungsfunktion beeinträchtigt, erkannt wird und ebenfalls zum Stillsetzen der Anlage führt. Vorteilhaft ist es, wenn alle wesentlichen Überwachungsfunktionen durch ASIC′s realisiert werden. Durch implementierte Selbsttests innerhalb der ASIC′s findet ständig eine Eigenüberwachung statt, so daß ein interner Fehler der ASIC′s, der die Überwachungsfunktion beeinträchtigt, erkannt wird und ebenfalls zum Stillsetzen der Anlage führt. Die Erfassung der Eingangsgrößen für die Überwachungseinrichtung sowohl für den Zustand der Schutzeinrichtung als auch für die Bewegungsinformation erfolgt über jeweils zwei unabhängige Kanäle. Die Auswertung der den Maschinenzustand beschreibenden Signale sowie die Abschaltung der Antriebsenergie erfolgt in jeweils drei voneinander unabhängigen Kanälen. Alle von der Abschalteinheit 8 erzeugten und über die verbun­ denen Überwachungseinheiten 9, 10 zu ihr rückgeführten Signale sind dynamisch und werden im Fehlerfall der Anlage auf einen statischen Wert gesetzt. Die Fehlerursache wird durch den Sicherheitsmodul selbsttätig erkannt und zur Auswertung zwischengespeichert.

Der Start der Schaltungsanordnung bzw. des Sicherheitsmoduls erfolgt über die Betätigung des Start- Tasters 13, ein unbedingtes Abschalten des Sicherheitsmoduls und damit der Maschinenantriebsenergie über den Ende-Taster 14.

Beim Einschalten des Sicherheitsmoduls werden nach erfolgtem Selbsttest über die Signale AS1, AS2, AS3 die Relaiskontakte K1 bis K6 der zwangsgeführten Relais 21, 22 und 23 im Not-Aus-Interface-Kreis der Maschine geschlossen und damit die Maschine ans Netz geschaltet.

Die Abschalteinheit 8 wertet den Zustand des Betriebsartenwahlschalters 2 aus und teilt über den dreistelligen ZBUS-Vektor den aktuellen Überwachungsmodus den angeschlossenen Überwachungseinheiten 9 und 10 mit. Gleichzeitig werden die dynamischen Signale P1, P2, P3 in jeweils einen Überwachungskanal der Überwachungseinheit 10 eingespeist. Bei Verwendung dynamischer Signale ist die Information des Signals nicht durch den Pegel festgelegt sondern durch den zeitlichen Verlauf, so daß Kurzschlüsse und Unterbrechungsfehler sicher erkennbar sind. Bei fehlerfreiem Betrieb gelangen diese Signale als Stillstandsmeldesignal SSM und Abschaltsignal AB über die zweite zwischengeschaltete Überwachungseinheit 9 unverändert zur Abschalteinheit 8 zurück. Bei Bewegung einer Achse wird das Signal SSM jedes Kanals durch die Überwachungseinheit der betreffenden Achse auf einen statischen Wert gesetzt, bei Überschreitung des im angewählten Betriebszustand maximal zulässigen Bewegungsgrenzwertes werden die Signale AB1, AB2, AB3 jedes Kanals durch die Überwachungseinheit der Achse, bei der die Drehzahlüberschreitung auftrat, auf einen statischen Wert gesetzt. Bei Erfüllung einer Fehlerbedingung schaltet die Abschalteinheit 8 die Maschine energiefrei und sperrt die Reglerfreigabe des Maschinenantriebs 12. Ein Wiederanlaufist nur durch einen neuen Start-Befehl nach Beseitigung der Fehlerursache möglich, die über das Status-Fehlerregister 19 von außen abgefragt werden kann.

Die Abschalteinheit 8 überprüft außerdem den Zustand der Schutztüren des Maschinenraumes. Tritt hier ein im angewählten Betriebsmodus unzulässiger Wert der Türpositionssignale T1 und T2 oder des Verriegelungsmeldesignals TZU auf, erfolgt ebenfalls ein Abschalten.

Dabei gelten für die Signale der Maschinenraumsicherung folgende Bedingungen:

• - Stillstandsüberwachung und manueller Betrieb: Schutztüren können beliebigen Zustand aufweisen,
• - Automatikbetrieb: Schutztüren müssen geschlossen und verriegelt sein.

Ein Abschaltbefehl kann zusätzlich durch Betätigen des externen Not-Aus-Tasters 32 oder des Ende-Tasters 14 ausgelöst werden.

Die Überwachungseinheiten 9 und 10 erhalten neben den bereits genannten ZBUS- und dynamischen Signalen P1, P2, P3 von der Abschalteinheit 8 über ihr Eingangsinterface 24 die Drehzahlvektoren GA11, GA12 (Achse 1) bzw. GA21, GA22 (Achse 2) der angeschlossenen Geber.

Mit dem Start-Befehl werden alle für die jeweiligen Betriebsmodi gültigen Grenzwerte von den Übertragungsparameterspeichern 29, 30, 31 bzw. von der Maschinensteuerung 12 über die serielle Schnittstelle in die internen Register der Überwachungs-ASIC′s 25, 26, 27 eingeschrieben und während des Betriebes zyklisch überprüft. Gleichzeitig wird getestet, ob beide Geber 4 und 5 (Achse 1) bzw. 6 und 7 (Achse 2) angeschlossen sind und korrekte Eingangssignale anliegen. Bereits das Auftreten eines unerlaubten Zustandes in einem Kanal einer der Überwachungseinheiten 9 oder 10 ist ausreichend, um über"das Abschaltsignal einen Abschaltbefehl in der Abschalteinheit 8 auszulösen.

Im Gegensatz zu den im Stand der Technik beschriebenen Lösungen, die den eigentlich zu überwachenden Schutztürzustand der Maschine als steuernde Größe verwenden, wird beim vorgeschlagenen Sicherheitsmodul gemäß den Forderungen der einschlägigen DIN-Vorschriften und Prüfgrundsätze der Berufsgenossenschaften der Betriebsartenwahlschalter der Anlage als steuernde Größe genutzt. Dabei sind zu unterscheiden:

• - Stillstand (Stillstand aller bewegten Teile zwingend vorgeschrieben, Maschinenraum zugänglich),
• - manueller/Einrichtbetrieb (Bewegungen mit sicher reduzierter Geschwindigkeit, Maschinenraum zugänglich),
• - Automatikbetrieb (Bewegungen mit bis zu maximal zulässiger Geschwindigkeit, Maschinenraum gesperrt).

In allen Betriebsarten wird der Zustand aller Sicherungseinrichtungen des Maschinenraumes und der Bewegungszustand der Achsen überwacht. Sowohl bei Überschreiten der in den Betriebsmodi jeweils maximal zulässigen Bewegungswerte als auch bei Verletzung des Sollzustandes der Sicherheitseinrichtungen erfolgt ein schnellstmögliches Stillsetzen der Maschine über Abschalten der Antriebsenergie.

Eine alleinige Abschaltung über den NOT-AUS-Kreis, wie sie herkömmliche Drehzahlüberwachungsgeräte aufweisen, bringt bei vielen Anwendungen nur eine unzureichende Einschränkung der Fehlerauswirkung, da auf diese Weise lediglich ein energieloses Auslaufen der Antriebe bewirkt wird. Durch zusätzliches Sperren der Reglerfreigabe oder definiertes Nullsetzen des Sollwertes ergeben sich eine wesentlich verringerte Stillsetzzeit und ein verkleinerter Stillsetzweg. Eine Zeitverzögerung zwischen Beginn der elektrischen Bremsung und Abschaltung der Energiezufuhr kann durch die Zwischenschaltung eines Zeitgliedes realisiert werden und damit bei noch korrekt arbeitenden Antrieben ein schnelleres Abbremsen der Bewegung der Anlage oder Maschine erreicht werden. In allen Fällen wird ein selbsttätiges Wiedereinschalten der Energie solange verhindert, bis der Fehler beseitigt ist und die Vorrichtung über einen Neustart wieder in Betrieb gesetzt wird.

Die Erfassung der Eingangsgrößen für die Überwachungseinrichtung geschieht zweikanalig, d. h. es sind jeweils zwei voneinander unabhängige Kontaktsätze für den Zustand der Schutzeinrichtungen bzw. Geber für die Bewegungsinformation vorhanden. Für die Erfassung der Bewegungsinformation kommen sowohl die Ausgangsgrößen von Drehgebern als auch jede physikalische Größe, die die Bewegungsinformation eindeutig abbildet, in Frage.

Zur Gewährleistung der in den entsprechenden Vorschriften geforderten sicheren Stillsetzung der Maschine im Gefahrenfall erfolgt die Auswertung der den Maschinenzustand beschreibenden Signale in drei voneinander unabhängigen Kanälen. Die Abschaltung der Antriebsenergie geschieht über die drei voneinander unabhängigen zwangsgeführten Relais 21, 22, 23 im Not-Aus-Interface-Kreis der Maschine. Alle von der Abschalteinheit 8 erzeugten und über die verbundenen Überwachungseinheiten 9 und 10 zu ihr rückgeführten Signale sind dynamisch und werden im Fehlerfall der Anlage auf einen statischen Wert gesetzt, so daß Unterbrechungen und Kurzschlüsse in den Verbindungsleitungen und den integrierten Bauelementen sicher erkannt werden.

Über eine serielle Schnittstelle in der Abschalteinheit 8 ist die Abfrage des aktuellen Überwachungszustandes bzw. im Fehlerfall die Erkennung der Fehlerursache oder die Ursache des Abschaltens durch die Abschalteinheit 8 möglich.

Durch intern implementierte Selbsttests und die für ASIC′s typische erhöhte Zuverlässigkeit wird dabei den erhöhten Sicherheitsforderungen an den Sicherheitsmodul in besonderem Maße Rechnung getragen und eine ständige Eigenüberwachung der Vorrichtung gewährleistet, so daß ein interner Fehler, der die Überwachungsfunktion beeinträchtigt, ebenfalls zum Stillsetzen der Maschine führt. Der Sicherheitsmodul enthält weiterhin eine unabhängige Betriebsspannungsversorgung sowie eine interne Schaltungsanordnung, die die Funktion herkömmlicher Not-Aus-Schaltgeräte übernehmen kann. Alle Funktionsgruppen sind über eine gemeinsame Rückverdrahtung miteinander verbunden.

Claims (5)

1. Schaltungsanordnung zur Überwachung sicherheitsrelevanter Maschinenparameter und Betriebszustände bei Bewegungsvorgängen von einen Türkontakt, einen Maschinenantrieb und einen Betriebsartenwahlschalter enthaltenden Maschinen und von den Maschinenraum abgrenzenden Schutzeinrichtungen bestehend aus

• a) einer - der Anzahl der zu überwachenden Bewegungsvorgänge der Maschine entsprechenden - Anzahl dreikanaliger Überwachungseinheiten (9, 10), durch welche für den jeweiligen Betriebsmodus maximal zulässige Bewegungsgrenzwerte aus auf ihnen angeordneten Überwachungsparameterspeichern (29, 30, 31) oder wahlweise über eine serielle Schnittstelle von der Maschinensteuerung (12) übernehmbar sind,
• b) jeweils zwei Gebern (4, 5 bzw. 6, 7) für jeden zu überwachenden Bewegungsvorgang, die unabhängig voneinander über Leitungen (GA11, GA12 bzw. GA21, GA22) mit der ihnen zugeordneten Überwachungseinheit (9 bzw. 10) verbunden sind,
• c) einer dreikanaligen Abschalteinheit (8), die über eine Reglerfreigabeleitung (RFG) und einen zweikanaligen Not- Aus-Interface-Kreis (NA1, NA2, NA3 und NA4) mit dem Maschinenantrieb (3) und über die Leitungen (ZBUS) mit den Überwachungseinheiten (9 und 10) verbunden ist,
• d) einer Verbindung zur Maschinensteuerung (12), die sowohl aus einem bidirektionalen Bus (Status/Fehler) mit der Abschalteinheit (8) und den Überwachungseinheiten (9 und 10) als auch aus einer Leitung (Überwachungsparameter) mit den Überwachungseinheiten (9 und 10) besteht,
• e) einem Start-Taster (13) zum Start der Schaltungsanordnung, einem externen Ende-Taster (14) zu deren unbedingtem Abschalten, und zusätzlich einem externen Not-Aus-Taster (32), die alle mit der Abschalteinheit (8) verbunden sind,
• f) wobei der Betriebsartenwahlschalter (2) der Abschalteinheit (8) mittels Signalen (B1 bis B6) die jeweils eingestellte Betriebsart meldet und wobei
• g) ein Gefahrenzonenmelder der Abschalteinheit (8) über Signale (T1, T2, TZU) einen vorhandenen Gefahrenzustand meldet.

2. Schaltungsanordnung nach Anspruch 1, dadurch gekennzeichnet, daß sie als Stand-alone-Gerät ausgeführt ist.

3. Schaltungsanordnung nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß sie in Form von Einzelkomponenten ausgeführt ist.

4. Schaltungsanordnung nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß in der dreikanaligen Abschalteinheit (8) eine serielle Schnittstelle zur Abfrage eines Status-Fehlerregisters (19) für Diagnosezwecke vorgesehen ist.

5. Schaltungsanordnung nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß alle wesentlichen Überwachungsfunktionen durch ASIC′s realisiert sind.