Bussvstem und Verfahren zum Betreiben eines solchen
Technisches Gebiet:
Die Erfindung betrifft ein Bussystem, insbesondere AS-Interface-Bussystem, und ein Verfahren zum Betreiben eines solchen.
Stand der Technik:
In vielen Bereichen der Industrie ist es aus Sicherheitsgründen erforderlich, dass ein
Verbraucher sicher abgeschaltet werden kann, d.h. es muss weitestgehend ausgeschlossen werden, dass der Verbraucher trotz Betätigung eines Schalters, mittels welchem der Verbraucher abgeschaltet werden soll, auf Grund einer Fehlfunktion ungewollt weiterhin in Betrieb bleibt. Ein Beispiel für Verbraucher, bei denen dieser Sicherheitsaspekt oft höchst relevant ist, sind Roboter, welche in so genannten Sicherheitszellen betrieben werden und dort z.B. Montage- oder Schweißarbeiten vornehmen. Der Aufenthalt im Arbeitsbereich von in Betrieb befindlichen Robotern kann für Menschen lebensgefährlich sein. Derartige Sicherheitszellen dürfen daher von Menschen nicht betreten werden, solange der Roboter in Betrieb ist. Aus diesem Grund sind die Zugänge derartiger Sicherheitszellen meist mit Türschaltern ausgestattet, welche durch Öffnen der Zugangstür betätigt werden, was zum Abschalten des Roboters führt.
Der Schaltzustand des Türschalters oder der Türschalter (betätigt oder unbetätigt, bzw. geöffnet oder geschlossen) wird hierbei in vielen Fällen, insbesondere in großen Industrie-Fertigungsanlagen mit zahlreichen Sicherheitszellen und Robotern darin, vorteilhaft über ein gemeinsames AS-Interface-Bussystem überwacht, welches zugleich auch noch verschiedene andere Aufgaben erfüllen kann. Der Türschalter ist hierbei in der Regel an einen so genannten Eingangsslave angeschlossen, welcher in zyklischer Abfolge den Schaltzustand des Türschalters abfragt und das Ergebnis der Abfrage in Form einer Bitfolge auf den AS-Interface-Bus aufgibt. Dem Schaltzustand "Tür ist geschlossen" entspricht dabei eine bestimmte Bitfolge. Bei Änderung des Schaltzustandes des Türschalters ändert sich die vom Eingangsslave auf den AS-Interface-Bus gesendete Bitfolge; dieser gibt dann also nicht mehr die ursprüngliche, sondern eine neue Bitfolge auf den AS-Interface-Bus ab.
Die Stromversorgung des Roboters erfolgt in der Regel über ein Starkstrom-Schütz oder sonstigen steuerbaren Schalter. Dessen Steuereingang ist mit dem Ausgang eines so genannten Ausgangsslaves verbunden. Der Datenverkehr auf dem AS- Interface-Bus wird vom Ausgangsslave mitgelesen.
Der Ausgangsslave öffnet und schließt den Schütz oder steuerbaren Schalter mittels eines Steuersignals in Abhängigkeit vom Datenverkehr auf dem AS-Interface-Bus: Die ursprüngliche Bitfolge wird vom Ausgangsslave als "Tür geschlossen" interpretiert und veranlasst den Ausgangsslave, den Schütz zu schließen bzw. weiterhin geschlossen zu halten. Die neue Bitfolge wird vom Ausgangsslave als "Tür geöffnet" interpretiert und veranlasst den Ausgangsslave, den Schütz zu öffnen und hierdurch den Roboter abzuschalten.
Jedoch sind z.B. durch Programmfehler, Alterung, Verschleiß, Verschmutzung oder Beschädigung von Bauteilen und Kontakten, elektromagnetische Störfelder oder andere Störeinflüsse Fehlfunktionen möglich, welche dazu führen können, dass bei Öffnung der Sicherheitszellen-Tür fälschlich keine Abschaltung des Roboters erfolgt.
Aus der DE 199 28 984 A1 ist ein Bussystem mit Slaves mit abgesicherten Ausgängen bekannt, über welche Verbraucher an eine Energieversorgung zu- und abschaltbar sind. Hierbei vergleicht ein im Bussystem installierter Sicherheitsmonitor die Soll-Schaltzustände der Ausgänge mit deren Ist-Schaltzuständen, welche auf den Bus zurückgemeldet werden. Allen Verbrauchern ist ein gemeinsamer steuerbarer Schalter vorgeschaltet, über welchen alle Verbraucher an eine elektrische Energieversorgung angeschlossen sind. Der Sicherheitsmonitor ist in der Lage, den Ist- und den Soll-Schaltzustand zu vergleichen und bei Feststellung einer Abweichung zwischen Ist- und Sollzustand den Schalter so zu steuern, dass dieser öffnet, wodurch alle Verbraucher gemeinsam von der Energieversorgung getrennt und somit abgeschaltet werden.
Zur Erhöhung der Sicherheit ist also gemäß der Lehre der DE 199 28 984 A1 zusätzlich ein Sicherheitsmonitor an den Bus angeschlossen, welcher den
Datenverkehr auf dem AS-Interface-Bus mitliest. Der Slave ist hierbei so programmiert, dass er den Ist-Schaltzustand seines Ausgangs auf den AS-Interface- Bus zurückmeldet. Der Sicherheitsmonitor liest im Datenverkehr des AS-Interface- Busses auch diese Rückmeldung mit.
Im Sicherheitsmonitor ist der Soll-Schaltzustand des Ausgangs gespeichert. Der Sicherheitsmonitor liest die Rückmeldung des Ist-Schaltzustands des Slaves mit, vergleicht ihn mit dem Soll-Schaltzustand und löst seinerseits eine Unterbrechung der Stromversorgung aller Verbraucher aus, falls bei dem Vergleich eine Diskrepanz zwischen Soll-Schaltzustand und Ist-Schaltzustand des Slaves festgestellt wird.
Nachteilig ist hierbei, dass im Fall einer Fehlfunktion der Slave seinen Ausgang bereits ungewollt durchschalten kann, während der Sicherheitsmonitor den Vergleich noch nicht beendet hat und auf die Fehlfunktion somit noch nicht reagieren konnte. In der Zwischenzeit kann somit der Verbraucher kurzzeitig Strom erhalten, was unmittelbar zu einer Gefährdung von Menschen führen kann und daher höchst problematisch ist.
Der Erfindung liegt daher die Aufgabe zu Grunde, ein Bussystem und ein Verfahren zum Betreiben eines solchen zu schaffen, mit welchen der genannte Nachteil überwunden wird und welches kostengünstig, mit geringem Aufwand an Hardware, unkomplizierter Software und geringer Prozessorleistung realisierbar ist sowie und rationell und effektiv z.B. zur Verbesserung des Arbeitsschutzes eingesetzt werden kann, und welches mit allenfalls geringem Zusatzaufwand auch dazu geeignet sein soll, mehrere Verbraucher unabhängig voneinander abzuschalten.
A1; Die Aufgabe wird gelöst durch ein Bussystem, mit einem Bus, insbesondere AS- Interface-Bus, an welchen wenigstens ein Master, ein Ausgangsslave und ein Sicherheitsmonitor angeschlossen sind, wobei a) an den Ausgangsslave ein Ausgangsschalter angeschlossen ist, welchen der
Ausgangsslave in den geöffneten und in den geschlossenen Schaltzustand versetzen kann,
b) an den Sicherheitsmonitor ein Hauptschalter angeschlossen ist, welchen der Sicherheitsmonitor öffnen und schließen kann und welcher mit dem Ausgangsschalter in Reihe geschaltet ist, c) über den Hauptschalter und den Ausgangsschalter ein Verbraucher an eine Stromversorgung angeschlossen ist, d) in dem Master ein Programmzyklus abläuft und der Master dem Ausgangsslave zyklisch, vorzugsweise einmal pro Zyklus, per Steuerbefehl über den Bus entweder einen ersten Soll-Schaltzustand vorgibt, gemäß welchem sich der Ausgangsschalter im geöffneten Zustand befinden soll, oder einen zweiten Soll-Schaltzustand vorgibt, gemäß welchem sich der Ausgangsschalter im geschlossenen Zustand befinden soll, e) der Ausgangsslave den Steuerbefehl einliest, den darin enthaltenen Soll- Schaltzustand in einem Rückmelde-Code auf den Bus zurückmeldet, und ein Zeitglied aufweist, welches die Ausführung des Steuerbefehls für eine vorgegebene Wartezeit verzögert, f) der Sicherheitsmonitor über den Bus den Rückmelde-Code einliest und diesem den darin angegebenen Soll-Schaltzustand entnimmt, und entweder eine positive Bewertung vornimmt, wonach der im Rückmelde-Code gemeldete Soll-Schaltzustand zulässig ist, oder eine negative Bewertung vornimmt, wonach der im Rückmelde-Code gemeldete Soll-Schaltzustand unzulässig ist, und bei negativer Bewertung den Hauptschalter öffnet und somit den Verbraucher von der Stromversorgung trennt, g) wobei die Wartezeit so lang bemessen ist, dass bei negativer Bewertung der Hauptschalter bereits geöffnet ist, bevor der Ausgangsschalter auf die Ausführung des Steuerbefehls durch den Ausgangsslave anspricht.
Mit Zyklus ist der im Master ablaufende Programmzyklus gemeint. Sofern eine negative Bewertung erfolgt und der Hautschalter bereits geöffnet ist (z.B. weil er bereits im vorhergehenden Zyklus geöffnet wurde), belässt der Sicherheitsmonitor den Hauptschalter im geöffneten Zustand.
AJJg Die Aufgabe wird des weiteren gelöst durch ein Verfahren zum Betreiben eines Bussystems, mit einem Bus, insbesondere AS-Interface-Bus, an welchen wenigstens
ein Master, ein Ausgangsslave und ein Sicherheitsmonitor angeschlossen sind, wobei
A) an den Ausgangsslave ein Ausgangsschalter angeschlossen ist, welchen der Ausgangsslave in den geöffneten und in den geschlossenen Schaltzustand versetzen kann,
B) an den Sicherheitsmonitor ein Hauptschalter angeschlossen ist, welchen der Sicherheitsmonitor öffnen und schließen kann und welcher mit dem Ausgangsschalter in Reihe geschaltet ist,
C) über den Hauptschalter und den Ausgangsschalter ein Verbraucher an eine Stromversorgung angeschlossen ist,
D) in dem Master ein Programmzyklus abläuft und dem Ausgangsslave durch den Master zyklisch, vorzusweise einmal pro Zyklus, per Steuerbefehl über den Bus entweder ein erster Soll-Schaltzustand vorgegeben wird, gemäß welchem sich der Ausgangsschalter im geöffneten Zustand befinden soll, oder ein zweiter Soll-Schaltzustand vorgegeben wird, gemäß welchem sich der
Ausgangsschalter im geschlossenen Zustand befinden soll,
E) vom Ausgangsslave der Steuerbefehl eingelesen wird, der in dem Steuerbefehl enthaltene Soll-Schaltzustand in einem Rückmelde-Code auf den Bus zurückgemeldet wird, und die Ausführung des Steuerbefehls für eine vorgegebene Wartezeit verzögert wird,
F) vom Sicherheitsmonitor über den Bus der Rückmelde-Code eingelesen und diesem der darin angegebene Soll-Schaltzustand entnommen wird, vom Sicherheitsmonitor entweder eine positive Bewertung vorgenommen wird, wonach der im Rückmelde-Code gemeldete Soll-Schaltzustand zulässig ist, oder eine negative Bewertung vorgenommen wird, wonach der im Rückmelde-
Code gemeldete Soll-Schaltzustand unzulässig ist, und vom Sicherheitsmonitor bei negativer Bewertung der Hauptschalter geöffnet und somit den Verbraucher von der Stromversorgung getrennt wird,
G) wobei die Wartezeit so lang gewählt wird, dass bei negativer Bewertung der Hauptschalter bereits geöffnet ist, bevor der Ausgangsschalter auf die
Ausführung des Steuerbefehls durch den Ausgangsslave anspricht.
Der Rückmelde-Code kann für einen der beiden möglichen Soll-Schaltzustände (nämlich "Ausgangsschalter soll geöffnet sein" oder "Ausgangsschalter soll geschlossen sein") insbesondere ein Nullsignal oder ein Dauer-Lowsignal bzw. eine Folge von logischen Nullen sein; d.h. der Rückmelde-Code kann für einen der beiden möglichen Soll-Schaltzustände darin bestehen, dass vom Ausgangsslave für eine bestimmte Dauer kein Signal oder ein für eine bestimmte Zeit andauerndes Lowsignal bzw. eine Folge von Low-Bis oder logischen Nullen auf den Bus zurückgesendet wird. Beispielsweise kann also der Soll-Schaltzustand "Ausgangsschalter soll geschlossen sein" dadurch vom Ausgangsslave auf den Bus zurückgemeldet werden, dass der entsprechende Rückmelde-Code ein Nullsignal ist, also kein Signal oder ein für eine bestimmte Zeit andauerndes Lowsignal vom Ausgangslave auf den Bus zurückgesendet wird, und dies vom Sicherheitsmonitor als Rückmeldung "Ausgangsschalter soll geschlossen sein" interpretiert wird.
Ebeno kann der Rückmelde-Code für einen der beiden möglichen Soll- Schaltzustände ein Dauerstrich sein; d.h. der Rückmelde-Code kann für diesen Soll- Schaltzustand darin bestehen, dass vom Ausgangsslave für eine bestimmte Dauer ein Dauerstrich-Signal (z.B. Dauer-Highsignal bzw. Folge von High-Bits oder logischen Einsen) auf den Bus zurückgesendet wird. Beispielsweise kann also der Soll-Schaltzustand "Ausgangsschalter soll geöffnet sein" dadurch vom Ausgangsslave auf den Bus zurückgemeldet werden, dass der entsprechende Rückmelde-Code ein für eine bestimmte Zeit andauernder Dauerstrich oder ein für eine bestimmte Zeit andauerndes Highsignal ist, und dies vom Sicherheitsmonitor als Rückmeldung "Ausgangsschalter soll geöffnet sein" interpretiert wird.
Auch durch derartige Signale können somit Rückmelde-Codes sein und somit zur Rückmeldung des im Steuerbefehl enthaltenen Soll-Schaltzustands vom Ausgangsslave auf den Bus dienen.
Generell genügt es für den Betrieb eines erfindungsgemäßen Bussystems und zur Durchführung des erfindungsgemäßen Verfahrens, wenn der Soll-Schaltzustand in solcher Weise im Rückmelde-Code enthalten ist, dass der Sicherheitsmonitor dem Rückmelde-Code den darin zurückgemeldeten Soll-Schaltzustand in irgend einer
Weise entnehmen kann. Die Soll-Schaltzustände brauchen daher in den Rückmelde- Codes insbesondere nicht mit den gleichen Bitfolgen codiert zu sein wie in den Steuerbefehlen.
Sofern bei Durchführung des Schrittes F) der Hautschalter bereits geöffnet ist (z.B. weil er bereits im vorhergehenden Zyklus geöffnet wurde), wird der Hauptschalter im Schritt F) im geöffneten Zustand belassen.
Der Ausgangsschalter kann Teil des Ausgangsslaves sein und z.B. in diesen baulich integriert sein.
Ä2 Gemäß einer Variante verzögert das Zeitglied die Ausführung des Steuerbefehls nur dann, wenn der Steuerbefehl ein solcher zum Schließen des Ausgangsschalters ist, wogegen das Zeitglied die Ausführung des Steuerbefehls nicht verzögert, wenn der Steuerbefehl ein solcher zum Öffnen des Ausgangsschalters ist.
AI 7 Bevorzugt wird die Ausführung des Steuerbefehls nur dann verzögert, wenn der Steuerbefehl ein solcher zum Schließen des Ausgangsschalters ist, und die Ausführung des Steuerbefehls nicht verzögert, wenn der Steuerbefehl ein solcher zum Öffnen des Ausgangsschalters ist.
Der Sicherheitsmonitor überwacht erfindungsgemäß den Rückmelde-Code und zieht diesen für die Bewertung heran, beeinflusst aber den Ausgangsschalter und dessen Soll-Schaltzustand nicht. Der Rückmelde-Code enthält eine Aussgage über den SoII- Schaltzustand des Ausgangsschalters. Der Sicherheitsmonitor bewertet bzw. entscheidet anhand dieser Aussgage selbständig, ob dieser Soll-Schaltzustand zulässig ist oder nicht, d.h. die Bewertung betrifft die Zulässigkeit des Soll- Schaltzustandes. Bewertet wird also der im Rückmelde-Code gemeldete Soll- Schaltzustand. Falls der Sicherheitsmonitor den Soll-Schaltzustand für unzulässig erachtet, d.h. eine negative Bewertung vornimmt, öffnet er den Hauptschalter, so dass der Verbraucher stromlos geschaltet wird und es auf den tatsächlichen Schaltzustand des Ausgangsschalters nicht mehr ankommt.
Erfindungsgemäß geschieht dies, noch bevor sich der Schaltzustand des Ausgangsschalters ändern kann; zu diesem Zweck ist das Zeitglied vorgesehen, welches die Ausführung des Steuerbefehls entsprechend verzögert. Diese Maßnahme hat ihren Grund darin, dass der Zeitpunkt, zu dem der Ausgangsslave den Steuerbefehl erhält, früher liegt als der Zeitpunkt, zu dem der Sicherheitsmonitor den Rückmelde-Code erhält, und vom Sicherheitsmonitor dann noch Zeit benötigt wird, um zu bewerten, ob er den im Rückmelde-Code angekündigten Soll- Schaltzustand für zulässig erachtet oder nicht. In der Zwischenzeit könnte ohne entsprechende Gegenmaßnahme der Ausgangsslave den Steuerbefehl bereits ausgeführt und den Ausgangsschalter geschlossen haben. Der Verbraucher würde also sogar dann, wenn der Sicherheitsmonitor den geschlossenen Schaltzustand des Ausgangsschalters für unzulässig erachtet, kurzzeitig an seine Stromversorgung angeschlossen werden, nämlich so lange, bis der Sicherheitsmonitor den Hauptschalter öffnet. In der Praxis liegen diese Zeiträume typischerweise in der Größenordnung von einigen zehn bis zu einigen hundert Millisekunden, was ausreichen kann, um Menschen in der Nähe des Verbrauchers bzw. Roboters zu gefährden.
Erfindungsgemäß wird durch das Zeitglied die Ausführung des Steuerbefehls durch den Ausgangsslave so lange verzögert, bis der Sicherheitsmonitor den Rückmelde- Code eingelesen, seine Bewertung vorgenommen und den Hauptschalter ggf. geöffnet hat, so dass die genannte Gefahr nicht mehr besteht.
Der Verbraucher kann z.B. ein Roboter sein, welcher in einer Sicherheitszelle arbeitet, wobei diese nur durch eine einzige Tür zugänglich ist und welche aus
Sicherheitsgründen nur dann von Menschen betreten werden darf, wenn der Roboter außer Betrieb, d.h. abgeschaltet ist. Der Verbraucher ist von seiner Stromversorgung getrennt, d.h. abgeschaltet, wenn entweder der Ausgangsschalter oder der
Hauptschalter geöffnet ist, da Ausgangsschalter und Hauptschalter in Serie geschaltet sind. Der Ausgangsschalter ist durch den Ausgangsslave mittels
Steuersignalen steuerbar. Ebenso ist der Hauptschalter durch den
Sicherheitsmonitor mittels Steuersignalen steuerbar.
Gemäß einer abweichenden, alternativen Variante des Bussystems ist der Sicherheitsmonitor so eingerichtet, das er bei negativer Bewertung den Hauptschalter nicht öffnet, sondern schließt, wobei die Wartezeit so lang bemessen ist, dass bei negativer Bewertung der Hauptschalter bereits geschlossen ist, bevor der Ausgangsschalter auf die Ausführung des Steuerbefehls durch den Ausgangsslave anspricht. Sofern bei dieser Variante eine negative Bewertung erfolgt und der Hautschalter bereits geschlossen ist (z.B. weil er bereits im vorhergehenden Zyklus geschlossen wurde), belässt der Sicherheitsmonitor den Hauptschalter im geschlossenen Zustand. Bevorzugt schließt bei dieser Variante der Sicherheitsmonitor den Hauptschalter nur dann, wenn der Zusatz-Soll-Schaltzustand der geschlossene Schaltzustand des Ausgangsschalters ist.
Gemäß einer abweichenden, alternativen Variante des erfindungsgemäßen Verfahrens wird bei negativer Bewertung der Hauptschalter vom Sicherheitsmonitor im Schritt F) nicht geöffnet, sondern statt dessen geschlossen, und die Wartezeit so lang gewählt, dass bei negativer Bewertung der Hauptschalter bereits geschlossen ist, bevor der Ausgangsschalter auf die Ausführung des Steuerbefehls durch den Ausgangsslave anspricht. Sofern bei dieser Variante bei Durchführung des Schrittes F) der Hautschalter bereits geschlossen ist (z.B. weil er bereits im vorhergehenden Zyklus geöffnet wurde), wird der Hauptschalter im Schritt F) im geschlossenen Zustand belassen. Bevorzugt wird bei dieser Variante der Hauptschalter vom Sicherheitsmonitor nur dann geschlossen, wenn der Zusatz-Soll-Schaltzustand der geschlossene Schaltzustand des Ausgangsschalters ist. Bevorzugt wird bei dieser Variante der Hauptschalter vom Sicherheitsmonitor nur dann geschlossen, wenn der Zusatz-Soll-Schaltzustand der geschlossene Schaltzustand des Ausgangsschalters ist.
A2> Gemäß einer weiteren abweichenden, alternativen Variante des Bussystems ist der Hauptschalter mit dem Ausgangsschalter nicht in Reihe, sondern zu diesem parallel geschaltet, so dass der Verbraucher sowohl über den Hauptschalter als auch über den Ausgangsschalter mit der Stromversorgung verbunden ist, wobei der Sicherheitsmonitor bei negativer Bewertung den Hauptschalter nicht öffnet, sondern schließt, und die Wartezeit so lang bemessen ist, dass bei negativer Bewertung der
Hauptschalter bereits geschlossen ist, bevor der Ausgangsschalter auf die Ausführung des Steuerbefehls durch den Ausgangsslave anspricht.
Sofern bei dieser Variante eine negative Bewertung erfolgt und der Hautschalter bereits geschlossen ist (z.B. weil er bereits im vorhergehenden Zyklus geschlossen wurde), belässt der Sicherheitsmonitor den Hauptschalter im geschlossenen Zustand.
A4 Bevorzugt verzögert das Zeitglied die Ausführung des Steuerbefehls nur dann, wenn der Steuerbefehl ein solcher zum Öffnen des Ausgangsschalters ist, und verzögert die Ausführung des Steuerbefehls nicht, wenn der Steuerbefehl ein solcher zum Schließen des Ausgangsschalters ist.
Ä18 Gemäß einer abweichenden, alternativen Variante des erfindungsgemäßen Verfahrens ist der Hauptschalter mit dem Ausgangsschalter nicht in Reihe, sondern zu diesem parallel geschaltet, so dass der Verbraucher sowohl über den
Hauptschalter als auch über den Ausgangsschalter mit der Stromversorgung verbunden ist, wobei der Hauptschalter vom Sicherheitsmonitor bei negativer
Bewertung nicht geöffnet, sondern geschlossen wird, und wobei die Wartezeit so lang gewählt wird, dass bei negativer Bewertung der Hauptschalter bereits geschlossen ist, bevor der Ausgangsschalter auf die Ausführung des Steuerbefehls durch den Ausgangsslave anspricht.
Sofern bei dieser Variante bei Durchführung des Schrittes F) der Hautschalter bereits geschlossen ist (z.B. weil er bereits im vorhergehenden Zyklus geöffnet wurde), wird der Hauptschalter im Schritt F) im geschlossenen Zustand belassen.
Der Verbraucher V kann bei dieser alternativen Variante der Erfindung also bei geöffnetem Ausgangsschalter AS durch Schließen des Hauptschalters HS mit der Stromversorgung Q verbunden werden.
Diese alternative Variante der Erfindung eignet sich insbesondere für solche Anwendungen, bei denen ein ungewolltes Abschalten des Verbrauchers V unbedingt
vermieden werden soll. Beispielsweise kann der Verbraucher V ein Roboter sein, welcher einen Farbauftrag auf eine Autokarosse aufbringt, wobei dieser Vorgang keinesfalls unterbrochen werden soll, um die einwandfreie Homogenität des Farbauftrages zu gewährleisten. Ein Programmfehler oder eine Fehlfunktion des Masters oder des Ausgangsslaves, welche zu einen ungewollten Öffnen des Ausgangsschalters führen, ziehen somit keine Unterbrechung des Farbauftrag- Vorgangs nach sich, da die Unterbrechung vom Sicherheitsmonitor als ungewollt erkannt und durch rechtzeitiges Schließen des Hauptschalters verhindert wird. Wenn der Vorgang des Farbauftrags vor seiner Fertigstellung unterbrochen wird, kann dies unter Umständen dazu führen, dass die Autokarosse nicht mehr verwendet werden kann. Mit Hilfe dieser alternativen Variante der Erfindung kann also in derartigen Fällen auf sehr einfache Weise erheblicher Schaden vermieden werden.
A19 Gemäß einer Variante wird die Ausführung des Steuerbefehls nur dann verzögert, wenn der Steuerbefehl ein solcher zum Öffnen des Ausgangsschalters ist, und die Ausführung des Steuerbefehls nicht verzögert, wenn der Steuerbefehl ein solcher zum Schließen des Ausgangsschalters ist.
Der Master gibt dem Ausgangsslave den Soll-Schaltzustand, in welchem sich der Ausgangsschalter befinden soll, vor. D.h., der Master gibt vor, ob der Ausgangsschalter geöffnet oder geschlossen sein soll. Zu diesem Zweck sendet der Master (vorzugsweise einmal pro Zyklus) über den Bus einen Steuerbefehl an den Ausgangsslave, wobei der Steuerbefehl die Information für den Ausgangsslave enthält, ob der Ausgangsschalter geöffnet oder geschlossen sein soll.
Die Vorgabe, ob der Ausgangsschalter geöffnet oder geschlossen sein soll, wird vom Master auf den Bus aufgegeben. Beispielsweise können in dem Master oder einem damit verbundenen Speicher vorgegebene Daten gespeichert sein, anhand welcher der Master den Soll-Schaltzustand intern festgelegt. Die Vorgabe, ob der Ausgangsschalter geöffnet oder geschlossen sein soll, kann z.B. von der Zeit abhängen.
Eine andere Möglichkeit besteht darin, dass die Vorgabe von außen beeinflusst wird. Z.B. kann der Master mit einem Eingabeelement, z.B. Taster, verbunden sein, über welches Eingaben in den Master von außen möglich sind, wobei der Master in Abhängigkeit von diesen Eingaben festlegt, welchen Soll-Schaltzustand er dem Ausgangsslave vorgibt. Ebenso kann der Master eine Schnittstelle zu einem Rechner oder zu einer speicherprogrammierbaren Steuerung (SPS) aufweisen, über welche er in einen übergeordneten Prozessablauf eingebunden ist, und über die Schnittstelle Daten erhalten, wobei der Master in Abhängigkeit von diesen Daten festlegt, welchen Soll-Schaltzustand er dem Ausgangsslave vorgibt.
A20 Erfindungsgemäß kann ferner ein an den Bus angeschlossener Eingangsslave verwendet werden, an welchen ein Eingangsschalter angeschlossen ist, wobei vom Eingangsslave zyklisch, vorzugsweise in jedem Zyklus, abgefragt wird, ob sich der Eingangsschalter in geöffnetem oder in geschlossenem Schaltzustand befindet, wobei das Abfrageergebnis vom Eingangsslave zyklisch, vorzugsweise in jedem Zyklus, in Form eines Eingangs-Codes auf den Bus aufgegeben wird.
A20 Alternativ oder zusätzlich kann ein an den Bus angeschlossener Eingangsslave verwendet werden, an welchen ein Eingangssensor angeschlossen ist, welcher einen Messwert abgibt, wobei vom Eingangsslave in jedem Zyklus der Messwert abgefragt wird statt dessen oder abgefragt wird, ob der Messwert größer oder kleiner ist als ein vorgegebener Grenzwert, wobei das Abfrageergebnis vom Eingangsslave zyklisch, vorzugsweise in jedem Zyklus, in Form eines Eingangs-Codes auf den Bus aufgegeben wird.
Ä5 An den Bus kann ein Eingangsslave angeschlossen sein, an welchen ein Eingangssensor angeschlossen ist, welcher einen Messwert abgibt, wobei der Eingangsslave zyklisch, vorzugsweise in jedem Zyklus, den Messwert abfragt oder statt dessen abfragt, ob der Messwert größer oder kleiner ist als ein vorgegebener Grenzwertes, und der Eingangsslave das Abfrageergebnis zyklisch, vorzugsweise in jedem Zyklus, in Form eines Eingangs-Codes auf den Bus aufgibt.
Der Eingangssensor kann z.B. ein Temperatursensor sein, welcher die Temperatur des Verbrauchers erfasst, wobei der Master für den Ausgangsschalter den Soll- Schaltzustand "geschlossen" festlegt, solange der Eingangsslave als Abfrageergebnis meldet, dass die Temperatur des Verbrauchers unter einem Grenzwert liegt, und den Soll-Schaltzustand "geöffnet" festlegt, wenn der Eingangsslave meldet, dass die Temperatur des Verbrauchers über dem Grenzwert liegt. Auf diese Weise kann der Verbraucher vor Übertemperatur bewahrt werden.
Der Verbraucher kann insbesondere ein Roboter sein. Der Eingangssensor kann z.B. ein Bewegungsmelder sein, welcher anspricht, wenn sich ein Mensch im Arbeitsbereich des Roboters aufhält, wobei der Master für den Ausgangsschalter den Soll-Schaltzustand "geschlossen" festlegt, solange der Eingangsslave als Abfrageergebnis meldet, dass der Bewegungsmelder nicht anspricht, und andernfalls den Soll-Schaltzustand "geöffnet" festlegt. Auf diese Weise kann der Roboter automatisch abgeschaltet werden, sobald ein Mensch in seine Nähe kommt.
A5 Insbesondere kann an den Bus ein Eingangsslave angeschlossen sein, an welchen ein Eingangsschalter angeschlossen ist, wobei der Eingangsslave zyklisch, vorzugsweise in jedem Zyklus, abfragt, ob sich der Eingangsschalter in geöffnetem oder in geschlossenem Schaltzustand befindet, und der Eingangsslave das Abfrageergebnis in jedem Zyklus in Form eines Eingangs-Codes auf den Bus aufgibt.
Der Eingangsschalter kann z.B. ein Türschalter sein, welcher an der Zugangstür der Sicherheitszelle eines Roboters angeordnet ist, bei geschlossener Tür geschlossen ist und öffnet, sobald die Tür geöffnet wird, wobei der Master für den Ausgangsschalter den Soll-Schaltzustand "geschlossen" festlegt, solange der Eingangsslave als Abfrageergebnis meldet, dass die Zugangstür geschlossen ist, und andernfalls den Soll-Schaltzustand "geöffnet" festlegt. Auf diese Weise kann der Roboter automatisch abgeschaltet werden, sobald jemand die Zugangstür öffnet.
A6 Gemäß einer Variante liest der Master zyklisch, vorzugsweise in jedem Zyklus, den Eingangs-Code über den Bus ein, und legt in Abhängigkeit vom Inhalt des Eingangs-Codes den Soll-Schaltzustand des Ausgangsschalters fest und gibt dem
Ausgangsslave diesen Soll-Schaltzustand über den Bus vor. A21 Verfahrensmäßig wird gemäß einer Variante vom Master zyklisch, vorzugsweise in jedem Zyklus, der Eingangs-Code über den Bus eingelesen und in Abhängigkeit vom Inhalt des Eingangs-Codes der Soll-Schaltzustand des Ausgangsschalters festgelegt und dem Ausgangsslave über den Bus vorgegeben.
A7, A22 Gemäß einer Variante der Erfindung ist der Master mit einer Rechenanlage oder mit einer speicherprogrammierbaren Steuerung verbunden und kommuniziert mit dieser.
A8 Gemäß einer Variante liest der Master zyklisch, vorzugsweise in jedem Zyklus, den Eingangs-Code über den Bus ein und gibt den Inhalt des Eingangs-Codes an die Rechenanlage oder die speicherprogrammierbare Steuerung weiter, wobei die Rechenanlage oder die speicherprogrammierbare Steuerung den Soll-Schaltzustand des Ausgangsschalters in Abhängigkeit vom Inhalt des Eingangs-Codes festlegt und an den Master übermittelt, und der Master den Soll-Schaltzustand des Ausgangsschalters dem Ausgangsslave über den Bus vorgibt.
A23 Verfahrensmäßig wird gemäß einer Variante der Eingangs-Code vom Master zyklisch, vorzugsweise in jedem Zyklus, über den Bus eingelesen, der Inhalt des
Eingangs-Codes vom Master an die Rechenanlage oder die speicherprogrammierbare Steuerung weitergegeben, der Soll-Schaltzustand des
Ausgangsschalters von der Rechenanlage oder von der speicherprogrammierbaren
Steuerung in Abhängigkeit vom Inhalt des Eingangs-Codes festgelegt und an den Master übermittelt, und der Soll-Schaltzustand des Ausgangsschalters vom Master dem Ausgangsslave über den Bus vorgegeben.
Die Festlegung des Soll-Schaltzustandes braucht also nicht zwingend durch den Master selbst zu erfolgen. Gemäß der beiden letztgenannten Varianten erhält der Master die Vorgabe, ob sich der Ausgangsschalter im geöffneten oder im geschlossenen Zustand befinden soll, von der Rechenanlage oder von der speicherprogrammierbaren Steuerung, d.h. die Entscheidung, ob sich der Ausgangsschalter im geöffneten oder im geschlossenen Zustand befinden soll, wird
nicht vom Master selbst, sondern von der Rechenanlage oder von der speicherprogrammiebaren Steuerung getroffen und an den Master ausgegeben, welcher diese Vorgabe auf den Bus weitergibt.
Der Master kann somit z.B. den vom Eingangsslave gelieferten Eingangs-Code an die Rechenanlage oder die speicherprogrammierbare Steuerung weiterleiten; dort kann dann die Festlegung des Soll-Schaltzutands in Abhängigkeit vom Inhalt des Eingangs-Codes erfolgen. Auch im Fall von derartigen Beeinflussungen des Masters von außen durch die Rechenanlage oder die speicherprogrammierbare Steuerung erhält der Ausgangsslave die Vorgabe über den Soll-Schaltzustand des Ausgangsschalters immer über den Bus direkt vom Master; stets ist es dieser, der dem Ausgangsslave den Soll-Schaltzustand vorgibt. Dies gilt insbesondere auch dann, wenn die Festlegung des Soll-Schaltzustands nicht durch den Master selbst, sondern z.B. durch die Rechenanlage oder durch die SPS erfolgt. In derartigen Fällen gibt der Master dem Ausgangsslave einen außerhalb des Mastes festgelegten Soll-Schaltzustand vor.
Die Entscheidung darüber, ob der Hauptschalter geöffnet oder geschlossen sein soll, wird vom Sicherheitsmonitor selbständig getroffen. Diese Entscheidung ist das Ergebnis der Bewertung. Beispielsweise können im Sicherheitsmonitor Daten gespeichert sein, welche der Sicherheitsmonitor mit dem Rückmelde-Code vergleicht oder auf sonstige Weise in Beziehung setzt, so dass der Sicherheitsmonitor unter Heranziehung der gespeicherten Daten und des eingelesenen Rückmelde-Codes die Entscheidung trifft.
Gemäß einer sehr vorteilhaften und daher bevorzugten Variante zieht der Sicherheitsmonitor für die Bewertung neben dem Rückmelde-Code den vom Eingangsslave gelieferten Eingangs-Code heran und prüft in Abhängigkeit vom letzteren selbständig, in welchem Schaltzustand sich der Ausgangsschalter befinden soll.
A9 Gemäß einer bevorzugten Variante liest daher der Sicherheitsmonitor zyklisch, vorzugsweise in jedem Zyklus, selbständig den Eingangs-Code mit und legt in
Abhängigkeit von dessen Inhalt entweder einen ersten Zusatz-Soll-Schaltzustand fest, gemäß welchem sich der Ausgangsschalter im geöffneten Zustand befinden soll, oder einen zweiten Zusatz-Soll-Schaltzustand fest, gemäß welchem sich der Ausgangsschalter im geschlossenen Zustand befinden soll, wobei der Sicherheitsmonitor den dem Rückmelde-Code entnommenen Soll-Schaltzustand mit dem Zusatz-Soll-Schaltzustand vergleicht, und die negative Bewertung vornimmt, wenn dieser Vergleich keine Übereinstimmung ergibt.
A24 Verfahrensmäßig wird bevorzugt vom Sicherheitsmonitor zyklisch, vorzugsweise in jedem Zyklus, selbständig der Eingangs-Code mitgelesen und in Abhängigkeit von dessen Inhalt entweder ein erster Zusatz-Soll-Schaltzustand festgelegt, gemäß welchem sich der Ausgangsschalter im geöffneten Zustand befinden soll, oder ein zweiter Zusatz-Soll-Schaltzustand festgelegt wird, gemäß welchem sich der
Ausgangsschalter im geschlossenen Zustand befinden soll, der dem Rückmelde- Code entnommene Soll-Schaltzustand mit dem Zusatz-Soll-Schaltzustand verglichen wird, und die negative Bewertung vorgenommen wird, wenn dieser Vergleich keine
Übereinstimmung ergibt.
Auf diese Weise definiert der Sicherheitsmonitor also unabhängig vom Master selbstständig ebenfalls einen hier als Zusatz-Soll-Schaltzustand bezeichneten Schaltzustand für den Ausgangsschalter, wobei Zusatz-Soll-Schaltzustand aber nur der Kontrolle dient, nur innerhalb des Sicherheitsmonitors eine Rolle spielt, nicht auf den Bus gelangt und den Ausgangsschalter bzw. dessen Schaltzustand nicht beeinflusst. Der Zusatz-Soll-Schaltzustand dient nämlich lediglich als Vergleichsgrundlage gegenüber dem vom Rückmelde-Code angegebenen Soll- Schaltzustand; anhand des Vergleichsergebnisses wird die Bewertung vorgenommen, ob vom Rückmelde-Code angegebene Soll-Schaltzustand als zulässig oder als unzulässig erachtet wird.
A10 Bevorzugt nimmt der Sicherheitsmonitor die negative Bewertung nur unter der Bedingung vor, dass der Zusatz-Soll-Schaltzustand der offene Schaltzustand des Ausgangsschalters ist. A25 Bevorzugt wird die negative Bewertung vom
Sicherheitsmonitor nur unter der Bedingung vorgenommen, dass der Zusatz-Soll- Schaltzustand der offene Schaltzustand des Ausgangsschalters ist.
A11 Gemäß einer anderen bevorzugen Ausführungsform nimmt der Sicherheits- monitor die negative Bewertung nur unter der Bedingung vor, dass der Zusatz-Soll- Schaltzustand der geschlossene Schaltzustand des Ausgangsschalters ist. A26 Gemäß einer Variante wird die negative Bewertung vom Sicherheitsmonitor nur unter der Bedingung vorgenommen, dass der Zusatz-Soll-Schaltzustand der geschlossene Schaltzustand des Ausgangsschalters ist.
Zur weiteren Erläuterung wird nochmals auf obiges Beispiel Bezug genommen, gemäß welchem die Zugangstür einer Sicherheitszelle mit einem darin arbeitenden Roboter mittels eines Türschalters überwacht wird. Der Schaltzustand des Türschalters ist im Eingangs-Code enthalten. Durch Mitlesen des Eingangs-Codes ist der Sicherheitsmonitor also jederzeit selbständig darüber unterrichtet, ob die Zugangstür geöffnet oder geschlossen ist. Ausgehend von dieser Information nimmt der Sicherheitsmonitor die Bewertung vor:
Ein Eingangs-Code mit der Information "Zugangstür geschlossen" bedeutet in diesem Beispiel, dass der Roboter eingeschaltet sein darf und ein geschlossener
Ausgangsschalter daher zulässig ist. Diese Information wird sowohl vom Master als auch unabhängig davon vom Sicherheitsmonitor eingelesen. In diesem Fall gibt der
Master bei ordnungsgemäßer Funktion dem Ausgangsslave per Steuerbefehl den geschlossenen Schaltzustand als Soll-Schaltzustand vor; der Ausgangsslave wird daraufhin bei ordnungsgemäßer Funktion den Empfang dieses Soll-Schaltzustands
"Ausgangsschalter soll geschlossen sein" im Rückmelde-Code auf den Bus zurückmelden. Der Rückmelde-Code mit der Information "Ausgangsschalter soll geschlossen sein" löst daher in dieser Situation eine positive Bewertung durch den
Sicherheitsmonitor aus; der Hauptschalter wird nicht geöffnet, so dass der Roboter weiter in Betrieb bleibt.
Ein Eingangs-Code mit der Information "Zugangstür offen" bedeutet in diesem Beispiel hingegen, dass der Roboter abgeschaltet sein muss und ein geschlossener
Ausgangsschalter daher unzulässig ist. Falls keine Fehlfunktion vorliegt, muss der Master nunmehr dem Ausgangsslave per Steuerbefehl den geöffneten Schaltzustand als Soll-Schaltzustand vorgeben; der Ausgangsslave muss daraufhin den Empfang dieses Soll-Schaltzustands "Ausgangsschalter soll geöffnet sein" im Rückmelde- Code auf den Bus zurückmelden. Ein Rückmelde-Code mit der gegenteiligen Information "Ausgangsschalter soll geschlossen sein" wäre daher in dieser Situation ein Indikator für eine Fehlfunktion und würde daher erfindungsgemäß eine negative Bewertung durch den Sicherheitsmonitor auslösen; der Hauptschalter würde sicherheitshalber geöffnet, so dass der Roboter abgeschaltet wird.
A12 Gemäß einer vorteilhaften Variante nimmt der Sicherheitsmonitor die negative Bewertung auch dann vor, falls er feststellt, dass er dem Rückmelde-Code den Soll- Schaltzustand nicht oder nicht eindeutig entnehmen kann, oder falls er feststellt, dass er den Zusatz-Soll-Schaltzustand nicht oder nicht eindeutig festlegen kann.
A27 Verfahrensmäßig wird gemäß einer vorteilhaften Variante die negative Bewertung vom Sicherheitsmonitor auch dann vorgenommen, falls er feststellt, dass er dem Rückmelde-Code den Soll-Schaltzustand nicht oder nicht eindeutig entnehmen kann, oder dass er den Zusatz-Soll-Schaltzustand nicht oder nicht eindeutig festlegen kann.
Hierdurch werden auch solche Fehlfunktion abgedeckt, welche nicht zu einem falschen Soll-Schaltzustand führen, sondern zu einem solchen Rückmelde-Code, welcher keinen Schaltzustand eindeutig bezeichnet (z.B. beide Schaltzustände zugleich enthält), oder überhaupt keinen Schaltzustand bezeichnet. Die Fehlfunktion kann z.B. durch einen Defekt des Masters oder des Ausgangsslaves verursacht sein; erfindungsgemäß kann die Fehlfunktion nicht dazu führen, dass der Verbraucher ungewollt eingeschaltet wird oder eingeschaltet bleibt.
A10 Gemäß einer abgewandelten Variante nimmt der Sicherheitsmonitor die negative Bewertung nur unter der Bedingung vor, dass der Zusatz-Soll- Schaltzustand der offene Schaltzustand des Ausgangsschalters ist. A25 Verfahrensmäßig wird bevorzugt die negative Bewertung vom Sicherheitsmonitor nur
unter der Bedingung vorgenommen, dass der Zusatz-Soll-Schaltzustand der offene Schaltzustand des Ausgangsschalters ist.
Diese Varianten können insbesondere dann vorteilhaft sein, wenn mit einer Fehlfunktion, durch welche der Ausgangsschalter ungewollt geöffnet wird, keine Gefahr verbunden ist, oder bei nicht sicherheitsrelevanten Masterfunktionen, durch welche der Ausgangsschalter geöffnet wird, die aber dem Sicherheitsmonitor nicht bekannt sind.
Zur Erläuterung dieser Varianten wird erneut auf obiges Beispiel Bezug genommen, gemäß welchem die Zugangstür einer Sicherheitszelle mit einem darin arbeitenden Roboter mittels eines Türschalters überwacht wird. Sofern der Master dem Ausgangsslave den Soll-Schaltzustand "Ausgangsschalter soll geschlossen sein" vorgibt, wegen einer Fehlfunktion der Rückmelde-Code aber die falsche Information "Ausgangsschalter soll geöffnet werden" auf den Bus zurückmeldet, so besteht unter Umständen keine zwingende Notwendigkeit für den Sicherheitsmonitor, den Hauptschalter zu öffnen, da der Ausgangsschalter geöffnet und der Roboter damit ohnehin abgeschaltet wird.
Auf Grund des Zeitgliedes erfolgt die Öffnung des Ausgangsschalters aber verzögert. Wenn diese Verzögerung aus Sicherheitsgründen problematisch sein sollte, ist es zweckmäßig, obige Bedingung (wonach die negative Bewertung vom Sicherheitsmonitor nur vorgenommen wird, wenn der Zusatz-Soll-Schaltzustand der offene Schaltzustand des Ausgangsschalters ist), nicht einzuführen.
Eine andere Möglichkeit besteht zur Vermeidung dieses Sicherheitsproblems, welches mit der Zeitverzögerung verbunden sein kann, darin, bei der Öffnung des Ausgangsschalters auf die Zeitverzögerung zu verzichten, also als Wartezeit T=O zu wählen. A2 Gemäß einer Variante verzögert daher das Zeitglied die Ausführung des Steuerbefehls nur dann, wenn der Steuerbefehl ein solcher zum Schließen des Ausgangsschalters ist, wogegen das Zeitglied die Ausführung des Steuerbefehls nicht verzögert, wenn der Steuerbefehl ein solcher zum Öffnen des Ausgangsschalters ist. A17 Gemäß einer Verfahrensvariante wird die Ausführung
des Steuerbefehls nur dann verzögert, wenn der Steuerefehl ein solcher zum Schließen des Ausgangsschalters ist, wogegen die Ausführung des Steuerbefehls nicht verzögert wird, wenn der Steuerbefehl ein solcher zum Öffnen des Ausgangsschalters ist.
Die Prüfung, ob der Steuerbefehl ein solcher zum Schließen oder ein solcher zum Öffnen des Ausgangsschalters ist, kann insbesondere im Ausgangsslave selbst vorgenommen werden.
Selbstverständlich kann der vom Master vorgegebene Soll-Schaltzustand in jedem Zyklus wechseln. In vielen Fällen wird sich aber in der Praxis der Soll-Schaltzustand über eine Mehrzahl von Zyklen nicht ändern. A13 Gemäß einer von den bisher erläuterten Varianten des erfindungsgemäßen Bussystems abweichenden Variante sendet der Master nur dann einen die Information über den Soll-Schaltzustand enthaltenden Steuerbefehl an den Ausgangsslave, wenn sich der Schaltzustand des Ausgangsschalters ändern soll. A28 Gemäß einer von den bisher erläuterten Varianten abweichenden Verfahrensvariante wird vom Master nur dann ein die Information über den Soll-Schaltzustand enthaltender Steuerbefehl an den Ausgangsslave gesendet, wenn sich der Schaltzustand des Ausgangsschalters ändern soll. Wenn der Soll-Schaltzustand gegenüber den vorigen Zyklus unverändert bleiben soll, wird also bei diesen Varianten nicht erneut die gleiche Information über den Soll-Schaltzustand an den Ausgangsslave gesendet.
Der Sicherheitsmonitor braucht nicht direkt an den Bus angeschlossen zu sein, sondern kann über den Master an den Bus angeschlossen sein. A14 Der
Sicherheitsmonitor braucht nicht notwendigerweise ein separates Bauteil zu sein; vielmehr kann er Bestandteil des Masters sein, bzw. Sicherheitsmonitor und Master können zu einem einzigen Bauteil vereinigt sein. Ä29 Verfahrensmäßig kann als
Sicherheitsmonitor ein solcher verwendet werden, welcher Bestandteil des Masters ist. Der Master kann somit so eingerichtet sein, dass er zugleich auch die Funktion des Sicherheitsmonitors erfüllt.
A15 Gemäß einer Ausführungsform ist der Ausgangsslave imstande, den Ist- Schaltzustand des Ausgangsschalters zu detektieren, und den geöffneten Schaltzustand des Ausgangsschalters sowohl dann im Rückmelde-Code auf den Bus zurückzumelden, wenn der Soll-Schaltzustand des Ausgangsschalters der geöffnete Schaltzustand ist, als auch dann, wenn der Ist-Schaltzustand des Ausgangsschalters der geöffnete Schaltzustand ist, und/oder den geschlossenen Schaltzustand des Ausgangsschalters sowohl dann im Rückmelde-Code auf den Bus zurückzumelden, wenn der Soll-Schaltzustand des Ausgangsschalters der geschlossene Schaltzustand ist, als auch dann, wenn der Ist-Schaltzustand des Ausgangsschalters der geschlossene Schaltzustand ist.
A30 Gemäß einer Variante wird der Ist-Schaltzustand des Ausgangsschalters vom Ausgangsslave detektiert und der geöffnete Schaltzustand des Ausgangsschalters sowohl dann im Rückmelde-Code auf den Bus zurückgemeldet, wenn der SoII- Schaltzustand des Ausgangsschalters der geöffnete Schaltzustand ist, als auch dann, wenn der Ist-Schaltzustand des Ausgangsschalters der geöffnete Schaltzustand ist, und/oder der geschlossene Schaltzustand des Ausgangsschalters sowohl dann im Rückmelde-Code auf den Bus zurückgemeldet, wenn der Soll-Schaltzustand des Ausgangsschalters der geschlossene Schaltzustand ist, als auch dann, wenn der Ist-Schaltzustand des Ausgangsschalters der geschlossene Schaltzustand ist.
Die Erfindung eignet sich zur kostengünstigen Realisierung von so genannten "sicheren" Ausgängen eines AS-Interface-Busses, d.h. von Schaltausgängen, welche durch eine zusätzliche, unabhängig arbeitende Kontrolle gegen Fehlfunktion gesichert sind, und kann daher insbesondere vorteilhaft zur Verbesserung der Arbeitssicherheit und zur Verringerung der Unfallgefahr z.B. beim Betrieb von Robotern, Antrieben oder Ventilen eingesetzt werden. Erfindungsgemäß wird die zusätzliche Kontrolle durch den Sicherheitsmonitor vorgenommen. Der Ausgangsslave braucht daher nicht imstande zu sein, seine eigene Funktion mittels aufwändiger interner Kontrollverfahren oder zusätzlicher Hardware zu überwachen. Der Ausgangsslave benötigt daher zur Realisierung der erfindungsgemäßen Lehre keine aufwändige Parametrierung. Hierdurch können der Hardware-Aufwand, der
Software-Aufwand, der Arbeitsauufwand und damit auch die Kosten zur Realisierung "sicherer" Ausgänge erheblich vemindert werden.
Weitere Vorteile eines erfindungsgemäßen Bussystems bestehen darin, dass dieses mit geringer Prozessorleistung auskommt und gänzlich ohne Sicherheitssoftware realisiert werden kann, und dass der Sicherheitsmonitor keine Slave-Adresse belegt, also die Zahl der an den Bus anschließbaren Slaves nicht vermindert. Als Sicherheitsmonitor sind alle handelsüblichen Sicherheitsmonitore geeignet.
Gemäß einer bevorzugten Variante der Erfindung werden der Ausgang bzw. die einzelnen Ausgänge nicht aktiv vom Sicherheitsmonitor freigeschaltet, sondern nur überwacht. Die Ausgänge des Ausgangsmoduls werden bevorzugt betriebsmäßig von der Steuerung über die Ausgangsdatenbits des AS- Interface- 1 Cs (das ist die Schnittstelle des Slaves zur Kommunikation mit dem Bus) geschaltet. Sind alle Ausgänge abgeschaltet, sendet der Ausgangsslave bevorzugt eine sichere Codefolge zurück, die vom Sicherheitsmonitor überwacht wird. Sind die Ausgänge eingeschaltet oder defekt, wird die sichere Codefolge bevorzugt von einer sicheren Überwachungsschaltung abgeschaltet bzw. verfälscht. Empfängt der Sicherheitsmonitor vom Ausgangsslave eine konstante 0x0, geht er bevorzugt davon aus, dass ein oder mehrere Ausgänge eingeschaltet sind. Er entscheidet dann gemäß einer bevorzugten Variante anhand seines Prozessabbilds, ob das Einschalten zum gegenwärtigen Zeitpunkt erlaubt ist. Ist das nicht der Fall schaltet der Monitor gemäß einer bevorzugten Variante ab, d.h. er schaltet die Hilfsenergie ab, aus der der Ausgangsslave die Ausgänge versorgt. Damit ein kurzzeitiges Einschalten der Ausgänge unterbleibt, verzögert der Ausgangsslave das Einschalten der Ausgänge nach dem Sperren der Codefolge gemäß einer bevorzugten Variante der Erfindung noch so lange, bis der Sicherheitsmonitor im Fehlerfall die Hilfsspannung abschalten kann. Damit sind die Ausgänge energielos, bevor sie schalten können.
Ferner ist es ohne weiteres möglich, einen weiteren Ausgangsslave an den Bus anzuschließen, welcher an einen weiteren Ausgangsschalter angeschlossen ist, über welchen ein weiterer Verbraucher an eine Stromversorgung angeschlossen ist. Der weitere Ausgangsslave erhält ebenfalls Steuerbefehle vom Master, und zwar mit
einer darin enthaltenen Information über den Soll-Schaltzustand des weiteren Ausgangsschalters. Der weitere Ausgangsslave meldet diese Information ebenfalls in einem Rückmelde-Code auf den Bus zurück. Die Rückmelde-Codes können Kennungen enthalten, welche den Ausgangsslave, von welchem der Rückmelde- Code stammt, jeweils identifizieren.
Hierbei kann insbesondere auch der weitere Ausgangsschalter mit dem Hauptschalter in Serie geschaltet sein, wobei der Sicherheitsmonitor über den Bus auch den Rückmelde-Code des weiteren Ausgangsslaves einliest und diesem den darin angegebenen Soll-Schaltzustand entnimmt, und entweder eine positive Bewertung vornimmt, wonach der in diesem Rückmelde-Code gemeldete Soll-Schaltzustand zulässig ist, oder eine negative Bewertung vornimmt, wonach der in diesem Rückmelde-Code gemeldete Soll-Schaltzustand unzulässig ist, und bei negativer Bewertung den Hauptschalter öffnet (bzw. schließt) und somit den Verbraucher zusammen mit dem weiteren Verbraucher von der Stromversorgung trennt (bzw. an die Stromversorgung anschließt), wobei auch der weitere Ausgangsslave ein Zeitglied aufweist, welches die Ausführung des vom Master an den weiteren Ausgsngsslave gesandten Steuerbefehls für eine vorgegebene Wartezeit verzögert, welche so lang gewählt ist, dass bei negativer Bewertung der Hauptschalter bereits geöffnet bzw. geschlossen ist, bevor der weitere Ausgangsschalter auf die Ausführung dieses Steuerbefehls durch den weiteren Ausgangsslave anspricht.
Dieses Prinzip kann völlig entsprechend auch auf mehr als zwei Ausgangsslaves angewandt werden.
Der Sicherheitsmonitor kann gemäß einer weiteren Variante insbesondere so eingerichtet sein, dass er nicht nur den Hauptschalter zu steuern imstande ist, sondern unabhängig hiervon auch einen weiteren Hauptschalter, welcher anstelle des Hauptschalters mit dem weiteren Ausgangsschalter in Serie geschaltet ist. Der Rückmelde-Code des weiteren Ausgangsslaves kann in diesem Fall ebenfalls in erfindungsgemäßer Weise mittels des Sicherheitsmonitors überwacht werden: der von dem weiteren Ausgangsslave stammende Rückmelde-Code wird vom Sicherheitsmonitor ebenfalls mitgelesen. Der Sicherheitsmonitor bewertet diese
Information und öffnet (bzw. schließt) den weiteren Hauptschalter bei negativer Bewertung, und schaltet somit bei negativer Bewertung den weiteren Verbraucher ab (bzw. ein), wobei auch der weitere Ausgangsslave ein Zeitglied aufweist, welches die Ausführung des vom Master an den weiteren Ausgangsslave gesandten Steuerbefehls für eine vorgegebene Wartezeit verzögert, welche so lang gewählt ist, dass bei negativer Bewertung der weitere Hauptschalter bereits geöffnet bzw. geschlossen ist, bevor der weitere Ausgangsschalter auf die Ausführung dieses Steuerbefehls durch den weiteren Ausgangsslave anspricht.
Auf diese Weise wird vorteilhaft erreicht, dass im Fall einer Fehlfunktion nur eines der beiden Ausgangsslaves nur ein Verbraucher abgeschaltet wird. Der andere Verbraucher kann ungestört in Betrieb bleiben. Eine Abschaltung des Gesamtsystems bzw. aller Verbraucher ist erfindungsgemäß nicht notwendig. Sofern der Sicherheitsmonitor imstande ist, noch weitere Hauptschalter einzeln zu steuern, können nach diesem Prinzip in gleicher Weise noch weitere Ausgangsslaves überwacht und weitere Verbraucher in Abhängigkeit vom Ergebnis der Überwachung ab- bzw. eingeschaltet werden.
Alternativ kann zur Steuerung des weiteren Hauptschalters ein weiterer Sicherheitsmonitor verwendet werden. Der von dem weiteren Ausgangsslave stammende Rückmelde-Code wird in diesem Fall von dem weiteren
Sicherheitsmonitor mitgelesen. Der weitere Sicherheitsmonitor bewertet diese
Information und öffnet (bzw. schließt) den weiteren Hauptschalter bei negativer
Bewertung. Beide Sicherheitsmonitore können völlig unabhängig voneinander arbeiten, wobei auch der weitere Ausgangsslave ein Zeitglied aufweist, welches die
Ausführung des vom Master an den weiteren Ausgangsslave gesandten
Steuerbefehls für eine vorgegebene Wartezeit verzögert, welche so lang gewählt ist, dass bei negativer Bewertung der weitere Hauptschalter bereits geöffnet bzw. geschlossen ist, bevor der weitere Ausgangsschalter auf die Ausführung dieses Steuerbefehls durch den weiteren Ausgangsslave anspricht.
Auch auf diese Weise wird vorteilhaft erreicht, dass im Fall einer Fehlfunktion nur eines der beiden Ausgangsslaves nur ein Verbraucher abgeschaltet wird und der
andere Verbraucher ungestört in Betrieb bleiben kann. Selbstverständlich können auch nach diesem Prinzip in gleicher Weise noch weitere Ausgangsslaves und Sicherheitsmonitore an den Bus angeschlossen und weitere Verbraucher über weitere Hauptschalter betrieben werden.
Kurzbeschreibung der Zeichnung, in welcher schematisch zeigen: Figur 1 ein Blockschaltbild einer bevorzugten Ausführungsform eines erfindungsgemäßen Bussystems, mit einem Master, einem Sicherheitsmonitor, wenigstens einem Eingangsslave und wenigstens einem Ausgangsslave, welcher einen Ausgangsschalter steuert, über den ein Verbraucher an eine Stromversorgung angeschlossen ist, Figur 2 ein Blockschaltbild einer Ausführungsform eines erfindungsgemäßen Bussystems, welches sich von demjenigen von Figur 1 dadurch unterscheidet, dass der Sicherheitsmonitor Bestandteil des Masters ist, Figur 3 ein Blockschaltbild einer weiteren bevorzugten Ausführungsform eines erfindungsgemäßen Bussystems, welches sich von demjenigen von Figur 1 durch einen weiteren Ausgangsslave unterscheidet, welcher einen Ausgangsschalter steuert, über den ein weiterer Verbraucher an die Stromversorgung angeschlossen ist, Figur 4 ein Blockschaltbild einer weiteren bevorzugten Ausführungsform eines erfindungsgemäßen Bussystems, welches sich von demjenigen von Figur 1 durch einen über einen weiteren Eingangsslave angeschlossenen Notausschalter unterscheidet, und Figur 5 ein Blockschaltbild eines Ausgangslaves und eines daran angeschlossenen Ausgangsschalters gemäß einer Ausführungsform der Erfindung,
Figur 6 ein Blockschaltbild eines Ausgangslaves und eines daran angeschlossenen Ausgangsschalters gemäß einer anderen Ausführungsform der Erfindung, und Figur 7 ein Blockschaltbild eines Ausgangslaves und eines daran angeschlossenem Ausgangsschalters gemäß einer weiteren Ausführungsform der Erfindung.
Figur 1 zeigt schematisch als Blockschaltbild eines erfindungsgemäßen AS- Interface-Bussystems, mit einerm AS-Interface-Bus B, an welchen ein Master M, ein Ausgangsslave A und ein Sicherheitsmonitor SiM angeschlossen sind.
An den Ausgangsslave A ist ein Ausgangsschalter AS angeschlossen, welchen der Ausgangsslave A über eine Steuerleitung SL1 in den geöffneten und in den geschlossenen Schaltzustand versetzen kann. An den Sicherheitsmonitor SiM ist ein Hauptschalter HS angeschlossen, welchen der Sicherheitsmonitor SiM über eine Steuerleitung SL2 öffnen und schließen kann und welcher mit dem Ausgangsschalter AS in Reihe geschaltet ist. Über den Hauptschalter HS und den damit in Reihe geschalteten Ausgangsschalter AS ist ein Verbraucher V, welcher im vorliegenden Beispiel ein Roboter ist, mittels Leitungen L1 , L2 an eine Stromversorgung Q angeschlossen. Der Verbraucher bzw. Roboter V kann daher sowohl durch Öffnen des Ausgangsschalters AS wie auch durch Öffnen des Hauptschalters HS von der Stromversorgung Q getrennt und somit abgeschaltet werden.
An den Bus B ist ferner ein Eingangsslave E angeschlossen, an welchen über Leitungen L3.L4 ein Eingangsschalter ES angeschlossen ist, wobei der Eingangsslave E in jedem Zyklus abfragt, ob sich der Eingangsschalter ES in geöffnetem oder in geschlossenem Schaltzustand befindet. Der Eingangsschalter ES ist im vorliegenden Beispiel ein Türschalter ES, welcher öffnet, sobald die Zugangstür ZT zu einer Sicherheitszelle SiZ geöffnet wird. Bei geschlossener Zugangstür ZT ist der Eingabeschalter ES geschlossen. Die z.B. käfigartig mit Gitterwänden ausgebildete Sicherheitszelle SiZ umschließt allseitig einen Raum, in welchem sich der Roboter V befindet, und welcher nur durch die Zugangstür ZT zugänglich ist. Die Sicherheitszelle SiZ dient dazu, Menschen davor zu bewahren, unbeabsichtigt in den Arbeitsbereich des Roboters V zu geraten und sich hierdurch in Gefahr zu begeben.
An den Bus B können für weitere Funktionen weitere Ausgangsslaves A1 und weitere Eingangsslaves E1 angeschlossen sein; diese sind für das vorliegende Ausführungsbeispiel ohne Belang und daher gestrichelt dargestelt.
Das Abfrageergebnis, ob der Eingangsschalter ES geöffnet oder geschlossen ist, gibt der Eingangsslave E in jedem Zyklus in Form eines Eingangs-Codes auf den Bus B auf. Der Master M liest in jedem Zyklus den Eingangs-Code über den Bus B ein und informiert sich somit über den Schaltzustand des Eingangsschalters ES.
In dem Master M läuft ein Programmzyklus ab. Der Master M ist über eine bidirektionale Kommunikationsverbindung K mit einer speicherprogrammierbaren Steuerung SPS verbunden. In jedem Zyklus liest der Master M den vom Eingangsslave E über den Bus B gesendeten Eingangs-Code ein und gibt dessen Inhalt über die Kommunikationsverbindung K an die speicherprogrammierbare Steuerung SPS weiter. Diese wertet den Inhalt des Eingangs-Codes aus und legt in Abhängigkeit von diesem Inhalt ein Soll-Schaltzustand des Ausgangsschalters AS fest:
Bei geschlossenem Eingangsschalter ES (entspricht geschlossener Zugangstür ZT) entscheidet die speicherprogrammierbare Steuerung SPS, dass der Roboter V in Betrieb sein darf, also der Ausgangsschalter AS zum Zweck der Stromversorgung des Roboters V geschlossen sein soll. Die speicherprogrammierbare Steuerung SPS legt in diesem Fall daher als Soll-Schaltzustand für den Ausgangsschalter den geschlossenen Schaltzustand fest.
Bei geöffnetem Eingangsschalter ES (entspricht geöffneter Zugangstür ZT) entscheidet die speicherprogrammierbare Steuerung SPS hingegen, dass der Roboter V nicht in Betrieb sein darf, also der Ausgangsschalter AS zum Zweck der Unterbrechung der Stromversorgung für den Roboters V geöffnet sein soll. Die speicherprogrammierbare Steuerung SPS legt in diesem Fall daher als Soll- Schaltzustand für den Ausgangsschalter AS den geöffneten Schaltzustand fest.
Nachdem die speicherprogrammierbare Steuerung SPS den Soll-Schaltzustand des Ausgangsschalters AS festgelegt hat, übermittelt sie diesen über die Kommunikationsverbindung K an den Master M. Dieser gibt den Soll-Schaltzustand in einem an den Ausgangsslave A gerichteten Steuerbefehl auf den Bus B auf, wodurch der Master M den Soll-Schaltzustand des Ausgängsschalters AS dem Ausgangsslave A vorschreibt.
Der Master M gibt dem Ausgangsslave A somit pro Zyklus per Steuerbefehl über den Bus B entweder einen ersten Soll-Schaltzustand vor, gemäß welchem sich der Ausgangsschalter AS im geöffneten Zustand befinden soll, oder einen zweiten SoII- Schaltzustand vor, gemäß welchem sich der Ausgangsschalter AS im geschlossenen Zustand befinden soll.
Der Ausgangsslave A liest den Steuerbefehl ein und meldet den darin enthaltenen Soll-Schaltzustand in einem Rückmelde-Code auf den Bus B zurück, um dem Sicherheitsmonitor SiM die Kontrolle des im Rückmelde-Code enthaltemem Soll- Schaltzustandes zu ermöglichen. Der Ausgangsslave A weist ein Zeitglied Z auf, welches die Ausführung des Steuerbefehls (Ausgangsschalter AS öffnen oder Ausgangsschalter AS schließen) für eine vorgegebene Wartezeit T verzögert.
Der Sicherheitsmonitor SiM liest über den Bus B den Rückmelde-Code selbständig ein und entnimmt diesem den darin angegebenen Soll-Schaltzustand.
Der Sicherheitsmonitor SiM liest des weiteren auch den Eingangs-Code mit und legt in Abhängigkeit von dessen Inhalt entweder als Zusatz-Soll-Schaltzustand für den Ausgangsschalter AS fest, dass sich dieser im geöffneten Zustand befinden soll, oder als Zusatz-Soll-Schaltzustand für den Ausgangsschalter AS fest, dass sich dieser im geschlossenen Zustand befinden soll.
Bei geschlossenem Eingangsschalter ES (entspricht geschlossener Zugangstür ZT) entscheidet der Sicherheitsmonitor SiM, dass der Roboter V in Betrieb sein darf, also der Ausgangsschalter AS geschlossen sein soll, und legt in diesem Fall daher als Zusatz-Soll-Schaltzustand für den Ausgangsschalter AS den geschlossenen Schaltzustand fest.
Bei geöffnetem Eingangsschalter ES (entspricht geöffnetener Zugangstür ZT) entscheidet der Sicherheitsmonitor SiM hingegen, dass der Roboter V nicht in Betrieb sein darf, also der Ausgangsschalter AS geöffnet sein soll, und legt in diesem
Fall daher als Zusatz-Soll-Schaltzustand für den Ausgangsschalter AS den geöffneten Schaltzustand fest.
Die Festlegung des Zusatz-Soll-Schaltzustandes hängt nur vom Inhalt des Eingangs- Codes ab und ist somit vom Soll-Schaltzustand völlig unabhängig.
Der Sicherheitsmonitor SiM vergleicht, nachdem er den Zusatz-Soll-Schaltzustand festgelegt hat, diesen mit dem aus dem Rückmelde-Code entnommenen Soll- Schaltzustand, und nimmt, falls dieser Vergleich eine Übereinstimmung zwischen Soll-Schaltzustand und Zusatz-Soll-Schaltzustand ergibt, eine positive Bewertung vor, wonach der im Rückmelde-Code gemeldete Soll-Schaltzustand zulässig ist, oder andernfalls eine negative Bewertung, wonach der im Rückmelde-Code gemeldete Soll-Schaltzustand unzulässig ist. Eine negative Bewertung erfolgt z.B. dann, wenn der Ausgangsschalter AS gemäß Soll-Schaltzustand offen und zugleich gemäß Zusatz-Soll-Schaltzustand geschlossen sein soll, oder umgekehrt.
Der Sicherheitsmonitor SiM nimmt die negative Bewertung vorzugsweise auch dann vor, falls er dem Rückmelde-Code den Soll-Schaltzustand nicht oder nicht eindeutig entnehmen kann, oder falls er den Zusatz-Soll-Schaltzustand nicht oder nicht eindeutig festlegen kann. Gemäß einer Untervariante nimmt der Sicherheitsmonitor SiM die negative Bewertung nur unter der Bedingung vor, dass der Zusatz-Soll- Schaltzustand der offene Schaltzustand des Ausgangsschalters AS ist.
Im Fall einer positiven Bewertung schließt der Sicherheitsmonitor SiM den Haupt- Schalter HS, oder belässt ihn, falls dieser bereits geschlossen ist, im geschlossenen Zustand. Im Fall einer negativen Bewertung öffnet der Sicherheitsmonitor den Hauptschalter und trennt somit den Verbraucher von der Stromversorgung Q, oder belässt ihn, falls dieser bereits geöffnet ist, im geöffneten Zustand.
Die Wartezeit T ist erfindungsgemäß so lang bemessen, dass bei negativer Bewertung der Hauptschalter HS bereits geöffnet ist, bevor der Ausgangsschalter AS auf die Ausführung des Steuerbefehls durch den Ausgangsslave A anspricht, also bevor der Ausgangsschalter AS ungewollt schließen kann.
Gemäß einer nicht gezeigten Abwandlung des Bussystems von Figur 1 hängt der Schaltzustand des Eingangsschalters (geschlossen oder geöffnet) zur weiteren Verbesserung der Sicherheit nicht allein davon ab, ob die Zugangstür geöffnet oder geschlossen ist, sondern zusätzlich auch vom Ausgangssignal eines Sensors, welcher z.B. ein Infrarotsensor oder Bewegungsmelder sein kann und auf die Anwesenheit eines Menschen in der Sicherheitszelle anspricht. Der Eingangsschalter öffnet hierbei sowohl dann, wenn die Zugangstür geöffnet wird, als auch dann, wenn der Sensor anspricht; in beiden Fällen wird der Roboter abgeschaltet.
Gemäß einer weiteren nicht gezeigten Abwandlung des Bussystems von Figur 1 hängt der Schaltzustand des Eingangsschalters (geschlossen oder geöffnet) nicht davon ab, ob die Zugangstür geöffnet oder geschlossen ist, sondern ausschließlich vom Ausgangssignal eines derartigen Sensors. Der Eingangsschalter öffnet hierbei nur dann, wenn der Sensor anspricht; in diresem Fall wird der Roboter abgeschaltet.
Gemäß einer weiteren nicht gezeigten Abwandlung des Bussystems von Figur 1 ist der Sensor über einen eigenen Slave an den Bus B angeschlossen und meldet die Anwesenheit eines Menschen über den Bus B an die speicherprogrammierbare Steuerung SPS. Diese legt stets den geöffneten Zustand als Soll-Schaltzustand des Ausgangsschalters AS fest, wenn der Sensor die Anwesenheit eines Menschen in der Sicherheitszelle auf den Bus B meldet, gleichgültig, ob der Eingangsschalter ES geöffnet oder geschlossen ist. Bei geöffnetem Eingangsschalter ES (entspricht geöffneter Zugangstür ZT) legt die speicherprogrammierbare Steuerung ebenfalls stets den geöffneten Zustand als Soll-Schaltzustand des Ausgangsschalters AS fest, gleichgültig, ob der Sensor die Anwesenheit eines Menschen in der Sicherheitszelle meldet oder nicht. Ebenso liest der Sicherheitsmonitor SiM die Meldungen des Sensors mit und legt stets den geöffneten Zustand als Zusatz-Soll-Schaltzustand des Ausgangsschalters AS fest, wenn entweder der Sensor die Anwesenheit eines Menschen in der Sicherheitszelle auf den Bus B meldet oder der Eingangsschalter ES geöffnet ist.
Gemäß einer weiteren Abwandlung nicht gezeigten Abwandlung des Bussystems von Figur 1 wird der Soll-Schaltzustand und der Zusatz-Soll-Schaltzustand des
Ausgangsschalters AS jeweils mit Hilfe einer komplexen Logik festgelegt, welche die auf den Bus B aufgebebenen Meldungen oder Schaltzustände mehrerer Sensoren und/oder Schalter miteinander verknüpft.
Figur 2 zeigt ein Blockschaltbild einer Ausführungsform eines erfindungsgemäßen Bussystems, welches sich von demjenigen von Figur 1 nur dadurch unterscheidet, dass der Sicherheitsmonitor SiM Bestandteil des Masters M ist.
Figur 3 zeigt ein Blockschaltbild einer weiteren bevorzugten Ausführungsform eines erfindungsgemäßen Bussystems, welches sich von demjenigen von Figur 1 durch einen weiteren an den Bus B angeschlossenen Ausgangsslave A1 unterscheidet, welcher einen Ausgangsschalter AS1 steuert, über den mittels Leitungen L5, L6 ein weiterer Verbraucher V1 an die Stromversorgung Q angeschlossen ist. Die Leitung
L6 zweigt von der Leitung L2 ab. Die Leitung L5 zweigt zwischen dem Hauptschalter HS und dem Ausgangsschalter AS von der Leitung L1 ab.
Der Ausgangsslave A1 kann den Ausgangsschalter AS1 über eine Steuerleitung SL3 in den geöffneten und in den geschlossenen Schaltzustand versetzen. Der Ausgangsschalter AS1 ist in der Leitung L5 zwischengeschaltet und somit ebenso wie der Ausgangsschalter AS mit dem Hauptschalter HS in Reihe geschaltet. Der Verbraucher V1 ist im vorliegenden Beispiel ebenfalls ein Roboter V1 in einer Sicherheitszelle SiZL Der Verbraucher bzw. Roboter V1 kann sowohl durch Öffnen des Ausgangsschalters AS1 als auch durch Öffnen des Hauptschalters HS von der Stromversorgung Q getrennt und somit abgeschaltet werden.
Der Funktionsablauf innerhalb des Bussystems von Figur 3 schließt den Funktionsablauf des Bussytems von Figur 1 ein, geht aber darüber hinaus:
An den Bus B ist im Beispiel von Figur 3 ferner ein Eingangsslave E1 angeschlossen, an welchen über Leitungen L7.L8 ein Eingangsschalter ES1 angeschlossen ist, wobei der Eingangsslave E1 in jedem Zyklus abfragt, ob sich der Eingangsschalter ES1 in geöffnetem oder in geschlossenem Schaltzustand befindet. Der Eingangsschalter ES1 ist im vorliegenden Beispiel ein Türschalter ES1 , welcher
öffnet, sobald die Zugangstür ZT 1 zu der Sicherheitszelle SiZ1 geöffnet wird. Bei geschlossener Zugangstür ZT 1 ist der Eingangsschalter ES1 geschlossen.
Das Abfrageergebnis, ob der Türschalter ES1 geöffnet oder geschlossen ist, gibt der Eingangsslave E1 in jedem Zyklus in Form eines Eingangs-Codes auf den Bus B auf. In jedem Zyklus liest der Master M auch den vom Eingangsslave E1 über den Bus B gesendeten Eingangs-Code ein und gibt auch dessen Inhalt über die Kommunikationsverbindung K an die speicherprogrammierbare Steuerung SPS weiter. Diese wertet auch den Inhalt des vom Eingangsslave E1 stammenden Eingangs-Codes aus und legt in Abhängigkeit von diesem Inhalt einen Soll- Schaltzustand des Ausgangsschalters AS1 fest:
Bei geschlossenem Türschalter ES1 (entspricht geschlossener Zugangstür ZT1) entscheidet die speicherprogrammierbare Steuerung SPS, dass der Roboter V1 in Betrieb sein darf, also der Ausgangsschalter AS1 zum Zweck der Stromversorgung des Roboters V geschlossen sein soll. Die speicherprogrammierbare Steuerung SPS legt in diesem Fall daher als Soll-Schaltzustand für den Ausgangsschalter den geschlossenen Schaltzustand fest.
Bei geöffnetem Türschalter ES1 (entspricht geöffneter Zugangstür ZT1) entscheidet die speicherprogrammierbare Steuerung SPS hingegen, dass der Roboter V nicht in Betrieb sein darf, also der Ausgangsschalter AS1 zum Zweck der Unterbrechung der Stromversorgung für den Roboters V1 geöffnet sein soll. Die speicherprogrammierbare Steuerung SPS legt in diesem Fall daher als Soll-Schaltzustand für den Ausgangsschalter AS1 den geöffneten Schaltzustand fest.
Nachdem die speicherprogrammierbare Steuerung SPS den Soll-Schaltzustand des Ausgangsschalters AS1 festgelegt hat, übermittelt sie diesen über die Kommunikationsverbindung K an den Master M. Dieser gibt den Soll-Schaltzustand in einem an den Ausgangsslave A1 gerichteten Steuerbefehl auf den Bus B auf, wodurch der Master M den Soll-Schaltzustand des Ausgangsschalters AS1 dem Ausgangsslave A1 vorschreibt.
Der Master M gibt dem Ausgangsslave A1 somit pro Zyklus per Steuerbefehl über den Bus B entweder einen ersten Soll-Schaltzustand vor, gemäß welchem sich der Ausgangsschalter AS1 im geöffneten Zustand befinden soll, oder einen zweiten Soll- Schaltzustand vor, gemäß welchem sich der Ausgangsschalter AS1 im geschlossenen Zustand befinden soll.
Der Ausgangsslave A1 liest den Steuerbefehl ein und meldet den darin enthaltenen Soll-Schaltzustand in einem Rückmelde-Code auf den Bus B zurück, um dem Sicherheitsmonitor SiM die Kontrolle des im Rückmelde-Code enthaltemem SoII- Schaltzustandes zu ermöglichen. Der Ausgangsslave A1 weist ein Zeitglied Z1 auf, welches die Ausführung des Steuerbefehls (Ausgangsschalter AS1 öffnen oder Ausgangsschalter AS 1 schließen) für eine vorgegebene zweite Wartezeit verzögert.
Der Sicherheitsmonitor SiM liest über den Bus B den Rückmelde-Code selbständig ein und entnimmt diesem den darin angegebenen Soll-Schaltzustand.
Der Sicherheitsmonitor SiM liest des weiteren auch den vom Eingangsslave E1 stammenden Eingangs-Code mit und legt in Abhängigkeit von dessen Inhalt entweder als Zusatz-Soll-Schaltzustand für den Ausgangsschalter AS1 fest, dass sich dieser im geöffneten Zustand befinden soll, oder als Zusatz-Soll-Schaltzustand für den Ausgangsschalter AS1 fest, das sich dieser im geschlossenen Zustand befinden soll.
Bei gschlossenem Türschalter ES1 (entspricht geschlossener Zugangstür ZT1) entscheidet der Sicherheitsmonitor SiM, dass der Roboter V1 in Betrieb sein darf, also der Ausgangsschalter AS1 geschlossen sein soll, und legt in diesem Fall daher als Zusatz-Soll-Schaltzustand für den Ausgangsschalter AS1 den geschlossenen Schaltzustand fest.
Bei geöffnetem Türschalter ES1 (entspricht geöffnetener Zugangstür ZT1 ) entscheidet der Sicherheitsmonitor SiM hingegen, dass der Roboter V1 nicht in Betrieb sein darf, also der Ausgangsschalter AS1 geöffnet sein soll, und legt in
diesem Fall daher als Zusatz-Soll-Schaltzustand für den Ausgangsschalter AS1 den geöffneten Schaltzustand fest.
Der Sicherheitsmonitor SiM vergleicht diesen Zusatz-Soll-Schaltzustand mit dem vom Ausgangsslave AS1 zurückgemeldeten Soll-Schaltzustand, und nimmt, falls dieser Vergleich eine Übereinstimmung ergibt, eine positive Bewertung vor, oder andernfalls eine negative Bewertung.
Die zweite Wartezeit ist erfindungsgemäß so lang bemessen, dass bei negativer Bewertung der Hauptschalter HS bereits geöffnet ist, bevor der Ausgangsschalter AS1 auf die Ausführung des Steuerbefehls durch den Ausgangsslave A1 anspricht, also bevor der Ausgangsschalter AS1 ungewollt schließen kann.
Der Sicherheitsmonitor SiM nimmt somit im vorliegenden Beispiel pro Zyklus zwei Bewertungen vor, wovon die eine die Zulässigkeit des Soll-Schaltzustandes für den Ausgangsschalter AS und die andere die Zulässigkeit des Soll-Schaltzustandes für den Ausgangsschalter AS1 betrifft.
Der Hauptschalter HS wird vom Sicherheitsmonitor SiM nur dann geschlossen, bzw. im geschlossenen Zustand belassen, wenn beide Bewertungen positiv ausgefallen sind, d.h. sowohl der Vergleich zwischen dem vom Ausgangsslave AS zurückgemeldete Soll-Schaltzustand für den Ausgangsschalter AS und dem Zusatz-Soll- Schaltzustand für den Ausgangsschalter AS zu einer positiven Bewertung - als auch der Vergleich zwischen dem vom Ausgangsslave AS1 zurückgemeldete Soll-Schaltzustand für den Ausgangsschalter AS1 und dem Zusatz-Soll-Schaltzustand für den Ausgangsschalter AS1 zu einer positiven Bewertung geführt haben. Sofern auch nur eine der Bewertungen negativ ausfällt, öffnet der Sicherheitsmonitor SiM den Hauptschalter HS, bzw. belässt ihn im geöffneten Zustand, sofern er bereits geöffnet ist.
Diese Vorgehensweise kann völlig entsprechend auf noch weitere Ausgangsslaves mit weiteren Ausgangsschaltern erweitert werden.
Figur 4 zeigt ein Blockschaltbild einer weiteren bevorzugten Ausführungsform eines erfindungsgemäßen Bussystems, welches sich von demjenigen von Figur 1 durch einen Notausschalter N unterscheidet, welcher über zwei Leitungen L9.L10 an einen weiteren Eingangsslave E2 angeschlossen ist. Der Eingangsslave E2 ist ebenfalls an den Bus B angeschlossen und fragt in jedem Zyklus ab, ob sich der Notausschalter N betätigt ist oder nicht.
Das Abfrageergebnis, ob der Notausschalter N betätigt ist oder nicht, gibt der Eingangsslave E2 in jedem Zyklus in Form eines weiteren Eingangs-Codes auf den Bus B auf. Der Master M liest in jedem Zyklus auch diesen Eingangs-Code über den Bus B ein und informiert sich somit über den Schaltzustand des Notausschalters N, und gibt den Inhalt dieses Eingangs-Codes über die Kommunikationsverbindung K an die speicherprogrammierbare Steuerung SPS weiter. Diese wertet den Inhalt dieses Eingangs-Codes aus und legt in Abhängigkeit von diesem Inhalt ein Soll- Schaltzustand des Ausgangsschalters AS fest:
Bei unbetätigtem Notausschalter N wird der Soll-Schaltzustand des Ausgangsschalters AS nicht beeinflusst, d.h. dessen Soll-Schaltzustand hängt weiterhin allein von dem Eingangs-Code ab, welchen der Eingangsslave E liefert.
Bei betätigtem Notausschalter N hingegen entscheidet die speicherprogrammierbare Steuerung SPS, dass der Roboter V nicht in Betrieb sein darf, also der
Ausgangsschalter AS zum Zweck der Unterbrechung der Stromversorgung für den
Roboters V geöffnet sein soll. Die speicherprogrammierbare Steuerung SPS legt in diesem Fall daher als Soll-Schaltzustand für den Ausgangsschalter AS den geöffneten Schaltzustand fest, und zwar unabhängig von dem Eingangs-Code, welchen der Eingangsslave E liefert.
Der Sicherheitsmonitor SiM liest auch den vom Eingangsslave E2 stammenden Eingangs-Code mit. Bei unbetätigtem Notausschalter N wird der Zusatz-Soll-
Schaltzustand des Ausgangsschalter AS nicht beeinflusst, d.h. dessen Soll- Schaltzustand hängt weiterhin allein von dem Eingangs-Code ab, welchen der Eingangsslave E liefert. Bei betätigtem Notausschalter N hingegen legt der Sicherheitsmonitor als Zusatz-Soll-Schaltzustand für den Ausgangsschalter AS fest, dass sich dieser im geöffneten Zustand befinden soll, gleichgültig ob der Türschalter ES geöffnet oder geschlossen ist.
Der übrige Funktionsablauf des Bussystems von Figur 4 gleicht demjenigen des Bussystems von Figur 1. Der Unterschied der Funktionsabläufe der Bussysteme von Figur 1 und Figur 4 besteht also darin, dass in dem Bussystem von Figur 4 der Soll- Schaltzustand und der Zusatz-Soll-Schaltzustand des Ausgangsschalters AS nur dann vom Schaltzustand des Eingabeschalters E bestimmt werden, wenn der Notausschalter N unbetätigt ist. Andernfalls bestimmt allein der Schaltzustand des Notausschalters N den Soll-Schaltzustand und den Zusatz-Soll-Schaltzustand des Ausgangsschalters AS, und zwar sind in diesem Fall der Soll-Schaltzustand und der Zusatz-Soll-Schaltzustand des Ausgangsschalters AS immer der geöffnete Schaltzustand.
Im Ergebnis bedeutet dies, dass der Roboter V durch Betätigen des Notausschalters immer abgeschaltet werden kann, gleichgültig, ob die Zugangstür ZT geöffnet oder geschlossen ist, und dass auch hierbei eine erfindungsgemäße Absicherung gegen Fehlfunktion gegeben ist.
Figur 5 zeigt ein Blockschaltbild einer Ausführungsform eines Ausgangslaves A2 mit daran angeschlossenem Ausgangsschalter AS2. Die Ausgangsslaves A der Figuren 1 bis 4 können jeweils durch einen Ausgangsslave A2, wie er in Figur 5 gezeigt ist, gebildet sein. Ebenso können die Ausgangsschalter AS der Figuren 1 bis 4 jeweils durch einen Ausgangsschalter AS2, wie er in Figur 5 gezeigt ist, gebildet sein. Der Ausgangsschalter AS2 ist vorzugsweise ein funktional sicherer Schalter.
Der Ausgangsslave A2 weist eine Schnittstelle 1 (auch als "Bus-Protokollbaustein" oder "AS-Interface-IC" bezeichnet), eine Kontrolleinheit 2 (auch als "Überwachung" bezeichnet), einen Codegenerator 3 sowie das bereits oben erläuterte Zeitglied Z
(auch als "Verzögerung" bezeichnet) auf, welches über die Steuerleitung SL1 an den Ausgangsschalter AS2 angeschlossen ist. Dieser enthält einen Transistor T1, dessen Emitter-Kollektor-Strecke in der ebenfalls bereits oben erläuterten, vom Hauptschalter HS zum Verbraucher V führenden Leitung L1 zwischengeschaltet ist (anstelle des Transistors T1 kann prinzipiell jede andere Art von elektrisch bzw. elektronisch steuerbarem Schalter verwendet werden).
Von einem Ausgang der Schnittstelle 1 führt eine Leitung L11 zum Zeitglied Z; von der Leitung L1 1 zweigt eine Leitung L12 ab, welche zu einem Eingang der Kontrolleinheit 2 führt. Vom Ausgang der Kontrolleinheit 2 führt eine Leitung L13 zum Steuereingang eines steuerbaren Schalters STS. Vom Ausgang des Codegenerators 3 führt eine Leitung L14 über den steuerbaren Schalter STS zu einem Eingang der Schnittstelle 1 ; somit ist die Leitung L14 bei geschlossenem Schalter STS durchgängig und bei geöffnetem Schalter STS unterbrochen.
Der Codegenerator 3 erzeugt einen bestimmten, sich fortlaufend wiederholenden Bitcode und gibt diesen ständig wiederkehrend auf die Leitung L14 auf. Der Bitcode enthält vorzugsweise eine Kennung, welche den Ausgangsslave A2 identifiziert. Der Bitcode erreicht die Schnittstelle 1 nur dann, wenn der Schalter STS geschlossen ist; bei geöffnetem Schalter STS wird der Bitcode vom Codegenerator 3 zwar erzeugt, aber nicht an die Schnittstelle 1 übertragen.
Zur weiteren Erläuterung der erfindungsgemäßen Funktionsweise des Ausgangs- slaves A2 wird nun der Fall betrachtet, dass der Master M (z.B. Figur 1) über den Bus B einen Steuerbefehl an den Ausgangsslave A2 sendet, wonach der Ausangsschalter AS2 geschlossen sein soll. Der Steuerbefehl wird von der Schnittstelle 1 eingelesen. Die Schnittstelle 1 erkennt das im Steuerbefehl 1 enthaltene Kommando, den Ausgangsschalter AS2 zu schließen, und setzt als Folge davon die Leitung L11 auf "high". Hierdurch wird erfindungegemäß das Zeitglied Z veranlasst, erst nach Ablauf der Wartezeit über die Steuerleitung SL1 ein Signal an die Basis des Transistors T1 zu senden, welches die Emitter-Kollektor-Strecke des Transitors T1 durchschaltet und somit den Ausgangsschalter AS2 nach Ablauf der Wartezeit schließt, wodurch der Verbraucher V (z.B. Figur 1) eingeschaltet wird.
Gleichzeitig mit der Leitung L11 wird auch die mit dieser verbundene Leitung L12 auf "high" gesetzt. Hierdurch wird die Kontrolleinrichtung 2 veranlasst, ein Steuersignal auf die Leitung L13 aufzugeben, welches den steuerbaren Schalter STS öffnet, so dass die Leitung 14 unterbrochen wird und der Bitcode des Codegenerators 3 nicht mehr an die Schnittstelle 1 gelangt.
Die Schnittstelle 1 ist so eingerichtet, dass sie einen Bitcode, welchen sie über die Leitung L14 empfängt, als Rückmelde-Code auf den Bus B sendet. Wenn die Schnittstelle 1 ein Nullsignal (=kein Signal) über die Leitung 14 erhält, sendet sie als Rückmelde-Code für eine bestimmte Zeitdauer ein Low-Signal auf den Bus B. Dieses Low-Signal wird vom Sicherheitsmonitor SiM (z.B. Figur 1) als Rückmelde-Code "Ausgangsschalter AS2 soll geschlossen sein" interpretiert und in der oben bereits erläuterten Weise bewertet. Die Rückmeldung des im vorliegenden Steuerbefehl enthaltenden Soll-Schaltzustandes "Schalter AS2 soll geschlossen sein" auf den Bus B erfolgt also dadurch, dass die Schnittstelle 1 das Low-Signal an den Bus B sendet.
Nun wird der Fall betrachtet, dass der Master M (z.B. Figur 1) über den Bus B einen Steuerbefehl an den Ausgangsslave A2 sendet, wonach der Ausangsschalter AS2 geöffnet sein soll. Die Schnittstelle 1 erkennt das in diesem Steuerbefehl 1 enthaltene Kommando, den Ausgangsschalter AS2 zu öffnen, und setzt als Folge davon die Leitung L11 auf "low". Hierdurch wird erfindungegemäß das Zeitglied Z veranlasst, die Steuerleitung SL1 , vorzugsweise ohne Zeitverzögerung, spannungslos werden zu lassen, wodurch die Emitter-Kollektor-Strecke des Transitors T1 gesperrt, somit der Ausgangsschalter AS2 geöffnet und der Verbraucher V (z.B. Figur 1) abgeschaltet wird.
Gleichzeitig mit der Leitung L11 wird auch die mit dieser verbundene Leitung L12 auf "low" gesetzt. Hierdurch wird die Kontrolleinrichtung 2 veranlasst, ein solches Steuersignal auf die Leitung L13 aufzugeben, welches den steuerbaren Schalter STS schließt, so dass der Bitcode des Codegenerators 3 wieder an die Schnittstelle 1 gelangt.
Wenn die Schnittstelle 1 den Bicode über die Leitung 14 erhält, gibt sie diesen als Rückmelde-Code auf den Bus B weiter. Dies wird vom Sicherheitsmonitor SiM (z.B. Figur 1) als Rückmelde-Code "Ausgangsschalter AS2 soll geöffnet sein" interpretiert und ebenfalls in der oben bereits erläuterten Weise bewertet. Die Rückmeldung des im nun vorliegenden Steuerbefehl enthaltenen Soll-Schaltzustandes "Schalter AS2 soll geöffnet sein" auf den Bus B erfolgt also dadurch, dass die Schnittstelle 1 die Bitfolge an den Bus B sendet.
In Figur 6 ist gemäß einer weiteren Ausführungsform der Erfindung ein Blockschaltbild gezeigt, welches sich von demjenigen von Figur 5 dadurch unterscheidetr, dass der Ausgangsslave A2 von Figur 5 durch einen Ausgangsslave A21 ersetzt ist, der Ausgangsschalter AS2 von Figur 5 durch einen Ausgangsschalter AS21 ersetzt ist und eine zusätzliche Leitung L15 vorhanden ist, welche vom Ausgangsschalter AS21 zum Ausgangsslave A21 führt.
Der Ausgangsschalter AS21 von Figur 6 unterscheidet sich vom Ausgangsschalter AS2 von Figur 5 dadurch, dass der Ausgangsschalter AS21 zusätzlich einen Rückmeldeausgang RA aufweist, über welchen der Ist-Schaltzustand des Ausgangsschalters AS2' ("Ausgangsschalter As2' ist geöffnet" oder "Ausgangs- Schalter AS21 ist geschlossen") zurückgemeldet wird. Die Ausgangsschalter AS der Figuren 1 bis 4 können jeweils durch einen Ausgangsschalter AS21, wie er in Figur 6 gezeigt ist, gebildet sein. Der Ausgangsschalter AS21 ist vorzugsweise ein funktional sicherer Schalter.
Der Ausgangsslave A21 von Figur 6 unterscheidet sich vom Ausgangsslave A2 von Figur 5 dadurch, dass der Ausgangsslave A2' anstelle der Kontrolleinheit 2 eine Kontrolleinheit 2' aufweist, welche im Vergleich zur Kontrolleinheit 2 einen Zusatzeingang EZ aufweist, welcher über die Leitung L15 mit dem Rückmeldeausgang RA verbunden ist und über welchen die Kontrolleinheit 2' den Ist-Schaltzustand des Ausgangsschalters AS21 einzulesen imstande ist. Die Ausgangsslaves A der Figuren 1 bis 4 können jeweils durch einen Ausgangsslave A2', wie er in Figur 6 gezeigt ist, gebildet sein.
Die Kontrolleinheit 2' ist so eingerichtet, dass sie den steuerbaren Schalter STS, unabhängig vom Soll-Schaltzustand des Ausgangsschalters AS21, auch dann über die Leitung L13 öffnet, wenn der Ausgangsschalter AS21 über den Rückmeldeausgang RA, die Leitung L15 und den Zusatzeingang EZ meldet, dass der Ausgangsschalter AS21 geschlossen ist. Somit wird der Schalter STS sowohl dann geöffnet, wenn der Steuerbefehl den Soll-Schaltzustand "Ausgangsschalter AS21 soll geschlossen sein" über die Leitung L12 gemeldet wird, als auch dann, wenn der Ist-Zustand "Ausgangsschalter AS21 ist geschlossen" über die Leitung L15 gemeldet wird. In beiden Fällen wird die Bitfolge auf Leitung 14 durch den Schalter STS blockiert, so dass die Schnittstelle 1 ein Low-Signal auf den Bus B zurückmeldet, was vom Sicherheitsmonitor (Figur 1) in der oben erläuterten Weise interpretiert und bewertet wird.
Nun dann, wenn sowohl über die Leitung L12 der Soll-Schaltzustand "Ausgangsschalter AS2' soll geöffnet sein" als auch über die Leitung 15 der Ist- Zustand "Ausgangsschalter AS21 ist geöffnet" an die Kontrolleinheit 21 gemeldet wird, schließt diese den Schalter STS, so dass die Bitfolge auf Leitung 14 an die die Schnittstelle 1 gelangt und von dort auf den Bus B zurückmeldet wird.
Zusätzlich zum Soll-Schaltzustand wird gemäß dieser Ausführungsform der Erfindung also auch der Ist-Schaltzustand des Ausganggschalters berücksichtigt. Auf diese Weise wird der Verbraucher auch dann abgeschaltet, wenn sich Soll- und Ist- Schaltzustand des Ausgangsschalters widersprechen.
Die Interpretation der von der Schnittstelle 1 auf den Bus B gesandten Rückmelde- Codes durch den Sicherheitsmonitor SiM und dessen Reaktionen hierauf wurden bereits oben erläutert.
Gemäß einer nicht gezeigten Abwandlung des Ausgangsschalters von Figur 6 ist der Transistor T1 nicht selbst in der Leitung L1 zwischengeschaltet, sondern steuert einen Schütz, welcher in der Leitung L1 zwischengeschaltet ist, wobei der Schütz dann geöffnet ist, wenn die Emitter-Kollektor-Strecke des Transistors T1 gesperrt ist, und andernfalls geschlossen ist. Diese Ausführungsform ist insbesondere dann
sinnvoll, wenn der Verbraucher V (z.B. Figur 1) eine hohe elektrische Leistung benötigt. Der Schütz kann seinerseits ebenfalls einen Rückmeldeausgang aufweisen, über welchen er seinen Ist-Schaltzustand meldet. Die Kontrolleinrichtung kann einen weiteren Zusatz-Eingang aufweisen, welcher über eine weitere Leitung mit dem Rückmelde-Ausgang des Schützes verbunden ist, wobei die Kontrolleinrichtung den Schalter STS auch dann öffnet, wenn der Rückmelde-Ausgang des Schützes als seinnen Ist-Schaltzustand meldet: "Schütz ist geschlossen". Nun dann, wenn sowohl der Soll-Schaltzustand "Ausgangsschalter soll geöffnet sein" als auch der Ist-Zustand "Emitter-Kollektor-Strecke von Transistor T1 sperrt" als auch der Ist-Zustand "Schütz ist geöffnet" an die Kontrolleinheit gemeldet werden, schließt diese den Schalter STS, so dass die Bitfolge über die Leitung 14 an die die Schnittstelle 1 gelangt und von dort auf den Bus B zurückmeldet wird. Zusätzlich wird gemäß dieser Ausführungsform der Erfindung also auch der Ist-Schaltzustand des Schützes berücksichtigt.
Gemäß einer weiteren nicht gezeigten Abwandlung der Ausführungsform von Figur 6 ist die Kontrolleinheit zusätzlich imstande, den Ist-Schaltzustand des Ausgangsschalters AS21 mit dessen Soll-Schaltzustand zu vergleichen. Ist der Ausgangsschalter AS21 unaufgefordert eingeschaltet, modifiziert die Kontrolleinheit die Bitfolge des Codegenerators, anstatt anstatt sie durch Öffnen des Schalters STS zu blockierten. Die modifizierte Bitfolge kann dem Sicherheitsmonitor SiM als Information dienen, den Hauptschalter HS auch dann zu öffnen, wenn das Schließen des Ausgangsschalters gegenwärtig erlaubt wäre, also kein direktes Sicherheitsproblem entstehen würde.
Gemäß einer ebenfalls nicht gezeigten Untervariante hiervon wird der Vergleich zwischen dem Soll-Schaltzustand und dem Ist-Schaltzustand des Ausgangsschalters vom Sicherheitsmonitor SiM direkt vorgenommen. Er muss dazu das Signal auf Leitung L11 auf dem Bus B mithören. Meldet diese Leitung den Soll-Schaltzustand "Ausgangsschalter soll ausgeschaltet sein", während der Schalter STS geöffnet ist, kann der Sicherheitsmonitor wie in der vorigen Variante beschrieben durch Öffnen des Hauptschalters HS reagieren.
Gewerbliche Anwendbarkeit:
Die Erfindung ist gewerblich anwendbar unter anderem zum Zweck des Arbeitsschutzes im Bereich der elektronisch gesteuerten Arbeits- und Fertigungsprozesse und deren Steuerungstechnik und Automatisierung, z.B. zur sicherheitsgerichteten Ansteuerung von Robotern, Antrieben und Ventilen, insbesondere zur Verbesserung des Arbeitsschutzes.
Liste der Bezugszeichen:
1 Schnittstelle 2,2" Kontrolleinheiten
3 Codegenerator
A,A',A1 ,A2,A2' Ausgangsslaves
AS,AS1 ,AS2,AS2' Ausgangsschalter
B Bus E,E1 ,E2,E' Eingangsslaves
ES.ES1 Eingabeschalter
EZ Zusatzeingang von 2'
HS Hauptschalter
K Kommunikationsverbindung L1-L8, L11-L15 Leitungen
M Master
Q Stromquelle
RA Rückmeldeausgang von AS21
SiM Sicherheitsmonitor SiZ1SiZI Sicherheitszellen
SL1 ,SL2,SL3 Steuerleitungen
SPS speicherprogrammierbare Steuerung
STS steuerbarer Schalter in A
T1 Transistor V,V1 Verbraucher, z.B. Roboter
Z,Z1 Zeitglieder
ZT.ZT1 Zugangstüren