ES2557520T3

ES2557520T3 - Dispositivo de seguridad para el control de varios canales de una instalación técnica de seguridad

Info

Publication number: ES2557520T3
Application number: ES08773927.2T
Authority: ES
Inventors: Henning Frevert
Original assignee: Phoenix Contact GmbH and Co KG
Current assignee: Phoenix Contact GmbH and Co KG
Priority date: 2007-07-12
Filing date: 2008-07-09
Publication date: 2016-01-26
Anticipated expiration: 2028-07-09
Also published as: US20100207720A1; WO2009007104A1; EP2202592A2; EP2171549B1; US8692420B2; CN101689042A; EP2171549A1; DE102007032827A1; EP2202592B1; EP2202592A3; CN101689042B

Abstract

Dispositivo de seguridad para el control de varios canales de una instalación técnica de seguridad (40), con una primera instalación de control (70) controlada por microprocesador, que presenta una instalación de generación de señales (71) para la generación de una primera señal de supervisión, que indica el estado actual de funcionamiento de la primera instalación de control (70), con una segunda instalación de control (80) basada en hardware, con una instalación de conmutación (90), que puede ser activada por la primera y segunda instalación de control (70, 80), que puede conectar la instalación técnica de seguridad (30, 40) o puede llevarla a un estado seguro, en el que la segunda instalación de control (80) presenta una instalación de conmutación (85) basada en hardware que, como reacción a l señal de supervisión activa la instalación de conmutación (90), de tal manera que la instalación (30, 40) técnica de seguridad puede ser conducida a un estado seguro en el caso de un funcionamiento erróneo de la primera instalación de control (70), caracterizado por una instalación (50, 101) asociada a la primera instalación de control (70), para la generación de una señal de liberación para la segunda instalación de control (80), en el que la instalación de conmutación (90) presenta un primer relé de seguridad (100) asociado a la primera instalación de control (70) y un segundo relé de seguridad (110) asociado a la segunda instalación de control (80), en el que cada relé de seguridad presenta al menos un contacto de apertura (101; 111) y un contacto de cierre (102; 112), que están acoplados rígidamente entre sí, y en el que la señal de liberación solamente es generada en el caso de una función libre de fallo del primer relé de seguridad (100).

Description

imagen1

DESCRIPCIÓN

Dispositivo de seguridad para el control de varios canales de una instalación técnica de seguridad

La invención se refiere a un dispositivo de seguridad para el control de varios canales de una instalación técnica de seguridad de acuerdo con la solicitud de patente Nº 10 2006 001805.

5 La solicitud de patente Nº 10 2006 001805 publica un dispositivo de seguridad de varios canales, con el que se puede desplazar una instalación técnica de seguridad, como por ejemplo un robot industrial, como componente de una instalación de automatización, o la instalación de automatización completa a un estado seguro. Existe un estado seguro, por ejemplo, cuando se desconecta la alimentación de corriente del robot industrial o de la instalación de automatización o se bloquea una puerta de seguridad, que impide el acceso al robot industrial. El dispositivo de

10 seguridad presenta una instalación de control controlada con un microprocesador y otra instalación de control basada puramente en hardware. La instalación de control basada en hardware se caracteriza porque no es controlada por un microprocesador, sino que utiliza una realización técnica de circuito, con preferencia un monofliop como unidad de conmutación o de control. A ambas instalaciones de control se alimenta una señal de entrada modulada. La señal de modulación indica si la instalación de control controlada por el microprocesador trabaja sin

15 fallos. En particular, la señal de modulación indica si el microprocesador procesa correctamente programas o partes de programas relevantes para la seguridad. Un programa relevante para la seguridad puede ejecutar un procedimiento de diagnosis, verificar la alimentación de corriente de la instalación de control, consultar parámetros del sistema, como por ejemplo las posiciones de contacto de un relé activado por las instalaciones de control, consultar cíclicamente el estado de funcionamiento de la instalación de control basada en hardware y similares.

20 Cuando el microprocesador no procesa programas o partes del programa relevantes para la seguridad, que pueden ser también subprogramas, como está especificado, la señal de modulación permanece en un estado estático, que corresponde a un nivel alto o nivel bajo constante. Por ejemplo, la instalación de control emite un nivel alto como señal de modulación, cuando no se inicia un programa relevante para la seguridad. Un nivel bajo puede ser generado entonces por la instalación de control como señal de modulación, cuando un programa relevante para la

25 seguridad no es terminado como está especificado. En el funcionamiento reglamentario, la instalación de control controlada por el microprocesador genera una señal de modulación dinámica, como se muestra, por ejemplo, en la figura 2. Solamente cuando se aplica una señal dinámica en la entrada de la instalación de control basada en hardware, se activa una instalación de conmutación de tal manera que se puede accionar correctamente una instalación técnica de seguridad, por ejemplo un robot industrial, una instalación de automatización y similar. Si se

30 aplica una señal estática en la instalación de control basada en hardware, se desactiva la instalación de conmutación, de manera que el robot industrial es conducido a un estado seguro. Gracias al dispositivo de seguridad de varios canales, se puede conducir una instalación técnica de seguridad por la instalación de control basada en hardware a un estado seguro, aunque la instalación de control controlada por el microprocesador trabaje erróneamente. Si se utiliza un monoflop en la instalación de control basada en hardware como unidad de control, el

35 mono tiempo no puede ser más largo que el tiempo de desconexión de seguridad especificado. Los errores críticos para la seguridad en la instalación de control basada en hardware pueden ser reconocidos por la instalación de control controlada por microprocesador, puesto que conoce la función de transmisión de la instalación de control basada en hardware, por ejemplo la función de transmisión del monoflop y, además, se alimenta a ella la señal de entrada y la señal de salida de la instalación de control basada en hardware. A partir de la función de transmisión y

40 de la señal de entrada de la instalación de control basada en hardware, la instalación de control controlada por microprocesador puede calcular la señal de salida previsible de la instalación de control basada en hardware y puede compararla entonces con la señal de salida reacoplada. Si las dos señales no coinciden entre sí, la instalación de control controlada por microprocesador conecta la instalación de conmutación, de tal manera que se puede llevar la instalación técnica de seguridad al estado seguro.

45 Un dispositivo de seguridad de varios canales de este tipo se conoce igualmente a partir del documento WO2007/014725 A, que forma el preámbulo de la reivindicación 1.

Las instalaciones de automatización comprenden, en general, sistemas de bus de acampo, en los que pueden estar conectados actuadores, sensores así como instalaciones de control y de supervisión de orden superior y/o subordinadas. Un requerimiento importante planteado a instalaciones de automatización de este tipo es que

50 especialmente en el caso de aparición de un fallo, se pueda llevar un componente técnico de la seguridad erróneo, por ejemplo un actuador o incluso toda la instalación de automatización, a un estado seguro. Para posibilitar una desconexión segura de la instalación de automatización o de un actuador erróneo, debe asegurarse que una señal de entrada definida, que debe conducir a la instalación de automatización al estado seguro, sea interpretada siempre como una señal de desconexión.

55 En instalaciones y aparatos, que pertenecen a una categoría de seguridad determinada, se utilizan, por ejemplo, sistemas de supervisión de varios canales, que contienen subsistemas que trabajan de manera independiente unos de los otros, los cuales pueden conducir en cada caso por sí la instalación o aparatos individuales a un estado seguro. Los sistemas de supervisión de varios canales o constituidos de forma redundante están configurados, además, de tal manera que los subsistemas pueden supervisar la capacidad funcional del otro subsistema respectivo. La supervisión mutua se realiza, en general, a través de un intercambio bidireccional de datos de estado. En los sistemas de supervisión de varios canales conocidos, cada subsistema presenta un microprocesador propio, pudiendo llevar cada subsistema a la instalación a un estado seguro.

imagen2

Un aparato de alarma de varios canales correspondiente para un circuito de seguridad se conoce a partir del 5 documento DE 10 2004 020 995 A1.

La presente invención tiene el cometido de crear un dispositivo de seguridad para el control de varios canales de una instalación técnica de seguridad, que puede activar una instalación técnica de seguridad de una manera más fiable que hasta ahora.

De acuerdo con otro punto de vista de la invención, el dispositivo de seguridad puede cumplir las condiciones de la 10 Cat. 4 de la DIN EN 954.

Cat. 4 de la DIN EN 954 requiere, entre otras cosas, que se reconozcan fallos en las líneas hacia y desde un sensor, por ejemplo una tecla de desconexión de emergencia. Tales fallos pueden ser cortocircuitos en las líneas de entrada

o de salida hacia la tensión de funcionamiento o después de humedad o también conexiones cruzadas entre los conductores. Además, Cat. 4 de la DIN EN 954 exige que un fallo en la instalación de control controlada por

15 microprocesador sea reconocido durante el cambio de estado, en particular durante la conexión de la instalación técnica de seguridad, por la otra instalación de control.

La idea central de la invención se puede ver en preparar medidas, con las que se puede desactivar la instalación de seguridad basada en hardware, cuando durante la puesta en marcha o arranque de la instalación técnica de seguridad, la instalación de control controlada por microprocesador no está ya en condiciones de conducir la 20 instalación técnica de seguridad a un estado seguro. En este caso, las instalación de control basada en hardware mantiene la instalación técnica de seguridad en el estado seguro, es decir, que no se puede accionar la instalación técnica de seguridad. En este lugar hay que indicar que por una instalación de control controlada por microprocesador se entiende una instalación, que decide por medio de un microprocesador controlado por programa si la instalación técnica de seguridad se pone en funcionamiento, por ejemplo se arranca, o debe llevarse a un

25 estado seguro. Por una instalación de control basada en hardware se entiende una instalación que contiene, en lugar de un microprocesador un circuito electrónico, por ejemplo un monoflop, que genera una señal de salida predeterminada cuando se aplica una señal de entrada.

El problema técnico mencionado anteriormente se soluciona por la invención, por una parte, con las características de la reivindicación 1.

30 De acuerdo con ello, está previsto un dispositivo de seguridad para el control de varios canales de una instalación técnica de seguridad.

En este lugar hay que indicar que en una instalación técnica de seguridad se trata de un actuador de una instalación de automatización, por ejemplo de un robot industrial, una aplicación técnica de seguridad ejecutable y/o de una instalación de automatización propiamente dicha. A tal fin, está prevista una primera instalación de control 35 controlada por microprocesador, que presenta una instalación de generación de señales para la generación de una primera señal de supervisión. La primera señal de supervisión muestra el estado actual de funcionamiento de la primera instalación de control. Con preferencia, la primera señal de supervisión indica si el microprocesador de la primera instalación de control trabaja de una manera especificada. Además, están previstas una segunda instalación de control así como una instalación de conmutación que puede ser activada por la primera y la segunda instalación 40 de control. La instalación de conmutación puede conectar la instalación técnica de seguridad o puede llevarla a un estado seguro. En este lugar se menciona que de manera más ventajosa la instalación de conmutación conecta la instalación técnica de seguridad, cuando es activada por las dos instalaciones de control, en cambio la instalación técnica de seguridad se puede llevar a un estado seguro cuando se desactiva por al menos una de las dos instalaciones de control. La segunda instalación de control presenta una instalación de conmutación basada en 45 hardware que, como reacción a la señal de supervisión, activa la instalación de conmutación de tal manera que la instalación técnica de seguridad se puede llevar a un estado seguro en el caso de un funcionamiento erróneo de la primera instalación de control. En una forma de realización conveniente, esto se realiza cuando el microprocesador no ejecuta ya las funciones especificadas. Además, la primera instalación de control es una instalación para la generación de una señal de liberación para la segunda instalación de control. De esta manera se asegura que, por

50 ejemplo, en el caso de que se solicite una conexión de la instalación técnica de seguridad, la conexión solamente se realiza cuando la primera instalación de control controlada por microprocesador trabaja correctamente. En el caso de fallo, no se aplica ninguna señal de liberación a la segunda instalación de control, de manera que la instalación técnica de seguridad permanece en el estado seguro. Existe un caso de fallo, por ejemplo, cuando la primera instalación de control no puede desconectar ya, en general, la instalación técnica de seguridad.

55 La instalación de conmutación presenta un primer relé de seguridad asociado a la primera instalación de control y un segundo relé de seguridad asociado a la segunda instalación de control. Hay que indicar que la primera instalación de control y el primer relé de seguridad asociado a ella se pueden designar como canal 1 y la segunda instalación de

imagen3

control y el segundo relé de seguridad asociado a ella se pueden designar como canal 2 del dispositivo de seguridad de varios canales. Cada relé de seguridad presenta contactos guiados de manera forzada. Esto significa que cada relé de seguridad presenta al menos un contacto de apertura y un contacto de cierre, que están acoplados rígidamente entre sí. Esto conduce a que forzosamente un contacto esté abierto y el otro contacto esté cerrado. La 5 señal de liberación solamente se genera en el caso de función libre de error del primer relé de seguridad. De esta manera, se asegura que la segunda instalación de control pueda reconocer un fallo crítico para la seguridad en el canal 1, especialmente cuando en el caso de un cambio de estado no se abre ya el contacto de cierre del primer relé de seguridad. Por un cambio de estado se entiende un cambio del tipo de funcionamiento de la instalación, por ejemplo cuando debe acelerarse la instalación técnica de seguridad. En este lugar hay que indicar ya que la

10 segunda instalación de control solamente recibe la señal de liberación en el caso de un cambio de estado, cuando el primer relé de seguridad, que está asociado a la primera instalación de control, trabaja correctamente. En caso negativo, la segunda instalación de control no recibe ninguna señal de liberación, lo que conduce a que la segunda instalación de control no active el segundo relé de seguridad asociado a ella, de manera que la instalación técnica de seguridad permanece en el estado seguro.

15 Las formas de realización ventajosas son objeto de las reivindicaciones dependientes.

Para poder reconocer un funcionamiento erróneo o un funcionamiento libre de fallos de la primera instalación de control, la instalación de generación de señales genera una señal intermitente cuando la primera instalación de control, en particular el microprocesador, trabaja libre de fallos, en cambio se genera una señal continua cuando la primera instalación de control, con preferencia el microprocesador trabaja de forma errónea.

20 Para poder construir una segunda instalación de control económica, la instalación de conmutación basada en hardware presenta un monoflop.

El monoflop presenta una entrada de reposición maestra para la aplicación de la señal de liberación y una entrada de disparo, a la que se puede alimentar directamente la primera señal de supervisión o indirectamente, como se explica todavía a continuación. El monoflop de la segunda instalación de control activa el segundo relé de seguridad

25 asociado al mismo solamente cuando tanto se aplica la señal de liberación como también ha sido generada una señal de supervisión, que indica el estado de funcionamiento correcto de la primera instalación de control, en particular el estado de funcionamiento correcto del microprocesador.

Para que el monoflop permanezca activado también durante el funcionamiento reglamentario, al monoflop está activado un circuito para la retención de la entrada de reposición maestra en el nivel de la señal de liberación. El

30 monoflop se repone automáticamente, cuando en la entrada de disparo no se aplica ninguna señal o una señal estática, que indica un funcionamiento erróneo, en particular del microprocesador de la primera instalación de control.

Para que el dispositivo de seguridad de varios canales pueda trabajar también como aparato autónomo, a la primera y a la segunda instalación de control está asociada una fase de entrada, que está configurada para la modulación de

35 una señal de entrada que procede desde una instalación de sensor que puede ser activada externamente con la `primera señal de supervisión generada por la instalación de generación de señales. En este caso, en la instalación de sensor se trata de un sensor activo, que puede generar él mismo una señal de salida. Un sensor activo puede ser una puerta de protección. A diferencia de ello, un pulsador de desconexión de emergencia forma un sensor pasivo.

La primera instalación de control y/o la segunda instalación de control pueden controlar, como reacción a la señal de

40 entrada modulada, la instalación técnica de seguridad a un estado seguro, estando aplicada la primera señal de entrada modulada a la entrada de disparo de la instalación de circuito basada en hardware. En el caso de un funcionamiento erróneo de la primera instalación de control, la señal de entrada modulada es una señal estática, que es reconocida por el microprocesador de la primera instalación de control como señal de fallo, después de lo cual el microprocesador desactiva el primer relé de seguridad asociado a la primera instalación de control. El monoflop de la

45 segunda instalación de control es desactivado por la señal de entrada estática, de manera que también se desactiva

o permanece desactivado el segundo relé de seguridad asociado a la segunda instalación de control.

Para poder reconocer cortocircuitos en las líneas de entrada y de salida de un sensor pasivo conmutable externamente y para poder reconocer cortocircuitos en las líneas de salida de un sensor activo, la instalación de generación de señales de la primera instalación de control está configurada para la generación de una segunda 50 señal de supervisión. La segunda señal de supervisión señaliza de la misma manera el estado actual de funcionamiento de la primea instalación de control, especialmente del microprocesador. Las dos señales de supervisión se diferencian solamente en que se trata de una señal intermitente, un desplazamiento de fases entre las dos señales de supervisión. La fase de entrada está configurada en este caso para la modulación de una segunda señal de entrada, que procede de la primera instalación de sensor conectable, con la segunda señal de 55 supervisión generada por la instalación de generación de señales. La segunda señal de entrada modulada es alimentada solamente a la primera instalación de control. De esta manera, se pueden reconocer cortocircuitos de las líneas de entrada y de salida por la primera y/o la segunda instalación de control, mientras que se reconocen

imagen4

conexiones cruzadas entre las líneas de sensores de entrada y de salida por dos instalaciones de control, puesto que en este caso, la señal de entrada emitida por el sensor es una señal estática, que es reconocida tanto por el microprocesador de la primera instalación de control como también por el monoflop de la segunda instalación de control como fallo. Como reacción a una conexión cruzada o un cortocircuito en las líneas de sensores de entrada

5 y/o de salida, se desactivan los relés de seguridad asociados a la primera y a la segunda instalación de control, con lo que la instalación técnica de seguridad es conducida a un estado seguro, en el que, por ejemplo, se desconecta la alimentación de corriente.

De manera ventajosa, la fase de entrada presenta a tal fin una primera instalación de enlace para el enlace-Y de la primera señal de entrada con la primera señal de supervisión y una segunda instalación de enlace para el enlace-Y

10 de la segunda señal de entrada con la segunda señal de supervisión.

Para el caso de que la instalación de sensor presente un sensor pasivo, como por ejemplo un pulsador de desconexión de emergencia, la instalación de generación de la señal suministra una segunda señal de supervisión, de manera que la primera señal de supervisión es conducida a través del sensor pasivo conectado externamente hacia la primera y la segunda instalación de control, mientras que la segunda señal de supervisión es conducida a

15 través del sensor conectado externamente solamente hacia la primera instalación de control, sin que sea necesaria para ello una instalación de enlace.

Para que la primera instalación de control pueda supervisar el estado de funcionamiento de la segunda instalación de control, presenta una memoria, en la que está registrada la función de supervisión de la instalación de conmutación basada en hardware. El microprocesador está en condiciones de calcular el estado de funcionamiento 20 de la segunda instalación de control utilizando la primera señal de entrada modulada de la segunda instalación de control y la segunda función registrada. Puesto que a partir de la señal de entrada conocida y de la función de transmisión registrada, el microprocesador puede calcular la señal de entrada esperada de la segunda instalación de control, más exactamente de la instalación de conmutación basada en hardware. Si la señal de salida reacoplada y la señal de salida calculada de la segunda instalación de control no coinciden, entonces existe un fallo. De acuerdo

25 con la configuración del dispositivo de seguridad, a continuación la primera instalación de seguridad desactiva el primer relé de seguridad asociado a ella y/o el segundo relé de seguridad asociado a la segunda instalación de control, lo que conduce a que la instalación técnica de seguridad sea conducida o mantenida en un estado seguro.

En determinadas aplicaciones, es conveniente o necesario que la modificación de la señal de salida de la segunda instalación de control se lleve a cabo desplazada en un tiempo determinado para la modificación de la señal de 30 entrada. Esto se puede conseguir porque está prevista una instalación para el ajuste del tiempo de reacción del monoflop. Para que el monoflop pueda supervisar el tiempo de reacción ajustado, la primera instalación de control presenta una memoria `para la deposición del tiempo de reacción del monoflop. Puesto que se conducen al microprocesador de la primera instalación de control tanto la señal de entrada como también la señal de salida de la segunda instalación de control, puede calcular el tiempo de reacción real del monoflop. Si no coincide con el tiempo

35 de reacción depositado, la primera instalación de control puede ocuparse de que se desactiven el primero y/o el segundo relés de seguridad. El tiempo de reacción puede ser depositado manualmente en una memoria de la primera instalación de control o puede ser leído de forma automática por el microprocesador de la primera instalación de control desde la instalación de ajuste. El técnico conoce realizaciones técnicas de circuito para una lectura automática del tiempo de reacción y no son objeto de la invención.

40 A continuación se explica en detalle la invención con la ayuda de dos ejemplos de realización en conexión con los dibujos adjuntos. En este caso:

La figura 1 muestra un diagrama de bloques esquemático de un dispositivo de seguridad para el control de varios canales de una instalación técnica de seguridad, en la que se genera una señal de liberación.

La figura 2 muestra la curva de tiempo de una señal de supervisión,

45 conectada tanto con la instalación de generación de la señal de supervisión 71, con el conmutador 76 como también con la memoria 74. La instalación de generación de la señal de supervisión 71 genera una señal de supervisión, que tiene, en el funcionamiento reglamentario del microprocesador el desarrollo mostrado en la figura 2. El microprocesador 82 realiza, por ejemplo, funciones de diagnosis y/o de supervisión predefinidas, que durante la realización reglamentaria conducen a la señal intermitente mostrada en la figura 2. Por ejemplo, se genera una señal

50 alta, tan pronto como el microprocesador 72 realiza una rutina de supervisión relevante para la seguridad, siendo generado un nivel alto hasta que se ejecuta la rutina de supervisión. Durante la rutina de supervisión, el microprocesador 72 puede consulta interfaces predefinidas, el contenido de la memoria 74 y según la implementación otros puntos de control. Si no se termina una rutina relevante para la seguridad iniciada, entonces la señal de supervisión permanecen el estado estática, que representa una señal continua. De manera similar, la

55 instalación de generación de la señal de supervisión 71 genera un nivel bajo estático, si no se inicia, en general, una rutina de supervisión.

En la memoria 74 se encuentran, por ejemplo, las instrucciones para el microprocesador 72 para la realización de 5

imagen5

las rutinas de supervisión relevantes para la diagnosis y la seguridad. La señal de salida de la instalación de generación de la señal de supervisión 71, que es con preferencia una señal digital, se aplica en una segunda entada de la puerta-Y 72 de la fase de entrada.

Además de la instalación de control 70 controlada por microprocesador, la instalación de seguridad 10 presenta una

5 segunda instalación de control 80 constituida puramente de hardware, que presenta como realización de hardware en el presente ejemplo un monoflop 82. La señal de salida modulada por la puerta-Y es alimentada como señal de entrada al microprocesador 72 de la primera instalación de control 70 y a una entada de disparo del monoflop 85 de la segunda instalación de control 80. Para poder conectar y desconectar la instalación técnica de seguridad 30, el dispositivo de seguridad 10 presenta una instalación de conmutación 90 activable, llamada también fase de salida.

10 La fase de salida 90 presenta un primer relé de seguridad 100, que se puede activar a través del conmutador 76 de la primera instalación de control 70. La primera instalación de control 70 y el relé de seguridad 100 forman conjuntamente el canal 1 de la instalación de control 10 de varios canales. El relé de seguridad 100 presenta unos contactos 101 y 102 guiados de manera forzada, de modo que el contacto 101 funciona como contacto de apertura y el contacto 102 funciona como contacto de cierre. Por contactos guiados de manera forzada se entienden contactos,

15 que nunca pueden adoptar el mismo estado. Si el contacto 101 está cerrado, entonces forzosamente el contacto 102 está abierto y a la inversa. Los contactos 101 y 102 del relé de seguridad 100 representado de forma simbólica en la figura 1, pueden ser activados a través del conmutador 76 de la primera instalación de control, de manera que el conmutador 76 se encuentra en el circuito de activación del relé de seguridad 100, mientras que el contacto de cierre 102 se encuentra en el circuito de carga del relé de seguridad 100. En el contacto de apertura 101, una fuente de

20 alimentación de energía identificada con Vcc está cerrada, la cual acondiciona, por ejemplo, una tensión de 25 voltios. La fuente de alimentación de energía 50 se puede conectar a través del contacto de apertura 101 con la entrada de reposición maestra del monoflop 85.

A la segunda instalación de control 80 está asociado de la misma manera un relé de seguridad 110, que está dispuesto en la fase de salida 90. El segundo relé de seguridad 110 presenta de la misma manera unos contactos 25 guiados de manera forzada. Los contactos guiados de manera forzada presentan un contacto de apertura 111 así como un contacto de cierre 112, que está conectado con la instalación técnica de seguridad 30. El contacto de cierre 102 del relé de seguridad 100 y el contacto de cierre 112 del relé de seguridad 110 están conectados en serie, de manera que la instalación de control 30 solamente se puede poner en funcionamiento cuando ambos contactos de cierre están cerrados, es decir, cuando tanto la primera instalación de control 70 como también la segunda 30 instalación de control 80 controlan los contactos de cierre 102 y 112 en el estado cerrado. La instalación de control 80 presenta de manera similar a la instalación de control 70 un conmutador 86, que se encuentra en el circuito de activación del relé de seguridad 110. La señal de control es recibida por el conmutador 86 desde el monoflop 85 y, en concreto, a través de su salida Q. El contacto de cierre 112 se encuentra en el circuito de cargadle relé de seguridad 110. El contacto abridor 111 está conectado con la fuente de alimentación de energía 50 y con el

35 microprocesador 72 de la primera instalación de control 70. De esta manera, el microprocesador 72 puede supervisar el modo de funcionamiento del relé de seguridad 110. Cuando, por ejemplo, la fuente de alimentación de energía 50 no está conectada con el microprocesador 71, en el caso de un cambio de estado del relé de seguridad 110, se supone un fallo del relé de seguridad 110. La segunda instalación de control 80 y el relé de seguridad 110 forman el canal 2 del dispositivo de seguridad 10.

40 La fuente de alimentación 50 puede proporcionar la alimentación de energía necesaria para las instalaciones de control 70 y 80.

A continuación se explica en detalle el modo de funcionamiento del dispositivo de seguridad 10 mostrado en la figura

1.

Se supone que la instalación técnica de seguridad 30 debe ponerse en funcionamiento. Por consiguiente, a través

45 del sensor 20 se aplica un nivel alto en la puerta-Y 62. Además, se supone que el microprocesador 72 trabaja reglamentariamente, de manera que la instalación de generación de la señal de supervisión 71 genera la señal discontinua mostrada en la figura 2 y se aplica en la segunda entrada de la puerta-Y 62. En la salida de la puerta-Y 62 aparece la señal de supervisión dinámica, que se alimenta tanto al microprocesador 72 como también a la entrada de disparo del monoflop 85. Si el relé de seguridad 100 trabaja reglamentariamente, en el estado de reposo

50 la fuente de alimentación de energía 50 está aplicada en la entrada de reposición maestra MR del monoflop 85, como se representa en detalle en la figura 5. Puesto que la señal de entrada modulada que procede desde la puerta-Y 62 es una señal discontinua, el monoflop 85 activa el conmutador 86, que cierra a continuación el contacto de cierre 112 el relé de seguridad 110 y abre el contacto de apertura 111. Puesto que también el microprocesador 72 interpreta la señal de entrada modulada recibida como libre de fallo, el microprocesador induce al conmutador 76 a

55 cerrar el contacto de cierre 102 del relé de seguridad 100 y a abrir el contacto de apertura 101. Puesto que ambos contactos de cierre 102 y 112 están cerrados, se conecta el robot industrial 40 en la tensión de funcionamiento V. El contacto de apertura 101 del relé de seguridad 100 está abierto, de manera que en la entrada MR del monoflop 85 no se aplica ya ninguna tensión. Puesto que el monoflop 85 solamente activa el contacto de cierre 111 cuando se aplica también una señal de liberación en la entrada MR, está previsto un circuito de auto-retención, que se explica

60 en detalle en la figura 5. El circuito de auto-retención presenta un conmutador 87, que está realizado, por ejemplo,

6 como transistor NPN. El colector del conmutador 87 está puesto a masa a través de una resistencia 88. La tensión de funcionamiento Vcc está aplicada en la entrada del emisor. A través de una resistencia 86 se conecta la base del transistor 87 con la salida-Q del monoflop 85. Un nivel bajo lógico en la salida-Q, que se aplica durante el funcionamiento del monoflop, se ocupa de que la tensión de funcionamiento Vcc sea reacoplada sobre la entrada

imagen6

5 MR del monoflop 85, de manera que la tensión de funcionamiento se encuentra también en la entrad-MR cuando contacto de apertura 101 del relé de seguridad 100 está abierto.

A continuación se supone un caso de emergencia, en el que el sensor 20 señaliza, por ejemplo, una apertura no deseada de una puerta de protección. Esto tiene como consecuencia que en la salida del sensor 20 se genere un nivel bajo lógico, que coloca la salida de la puerta-Y 62 de la misma manera en el nivel bajo lógico. El monoflop 85

10 genera a continuación en la salida-Q un nivel bajo, que activa el conmutador 86 de tal manera que se abre el contacto de cierre 112, a continuación se desconecta la instalación técnica de seguridad 30. El microprocesador 72 reconoce de la misma manera con la ayuda de la señal de entrada modulada, que el sensor 20 ha señalizado un caso de emergencia y controla a través del conmutador 76 el contacto de cierre 102 al estado abierto. Por lo tanto, en el presente ejemplo, la instalación técnica de seguridad 30 es desconectada por las dos instalaciones de control

15 70 y 80.

Para el caso de que el relé de seguridad 100 funcione correctamente, se cierra en este caso el contacto de apertura 101 guiado de manera forzada y se aplica la tensión de funcionamiento 50 en la entrada de reposición maestra del monoflop 85. Cuando el sensor 20 genera de nuevo un nivel alto, el robot industrial puede ser conectado de nuevo, como se ha descrito anteriormente, en la tensión de funcionamiento V. Sin embargo, cuando el relé de seguridad 20 100 está defectuoso, es decir, que no se abre ya el contacto de cierre 102, el contacto de apertura 101 permanece en el estado abierto y no se aplica ninguna señal de liberación en el monoflop 85. Por consiguiente, ya no se puede conectar la instalación técnica de seguridad conectada una vez. Puesto que en este caso, el monoflop 85 mantiene el contacto de cierre 112 del relé de seguridad 110 en el estado abierto. Con otras palabras, la instalación de control 80 activa el contacto de cierre 112 solamente en el estado cerrado cuando, por una parte, el microprocesador 72 de

25 la primera instalación de control trabaja correctamente y de esta manera la instalación de generación de la señal de supervisión 72 genera una señal intermitente y, por otra parte, el relé de seguridad 100 funciona correctamente, de manera que a través del contacto de apertura 101 se aplica la señal de liberación en el monoflop 85.

Es importante indicar todavía que el monoflop 85 mostrado en la figura 5 se repone por si mismo de nuevo después de la desconexión del robot industrial 40. Cuando después de corto espacio de tiempo se aplica de nuevo una señal

30 intermitente en la entrada de disparo del monoflop 85, el monoflop 85 solamente puede activar el relé de seguridad 110 de nuevo cuando se aplica también la señal de liberación a través del contacto de apertura 101 en la entrada MR.

Ya en este lugar hay que mencionar que el monoflop 85 dispone de un tiempo de reacción regulable. A tal fin, por ejemplo, un miembro-RC está conectado con el monoflop 85, que puede estar constituido por un potenciómetro 135

35 y un condensador. Este circuito se muestra en la figura 6. A través del potenciómetro 135 se puede ajustar el tiempo de reacción del monoflop. El tiempo de reacción está depositado, por ejemplo, en la memoria 74 de la primera instalación de control 70.

La salida de la instalación de control 80 está conectada a través de una línea 105 con el microprocesador 72. El microprocesador 72 puede supervisar el comportamiento de funcionamiento de la instalación de control 80, de 40 manera que a partir de la señal de entrada modulada recibida de la puerta-Y 62 y de la función de transmisión del monoflop 85 puede calcular su señal de salida. La función de transmisión está depositada, por ejemplo, en la memoria 74. Si la señal de salida reacoplada del monoflop 85 coincide con la señal de salida calculada, entonces la instalación de control 80 funciona correctamente. En otro caso, existe un fallo. Si el microprocesador 72 reconoce tal fallo, puede abrir a través del conmutador 76 el contacto de cierre 102 del relé de seguridad 100, de manera que se

45 desconecta la instalación 30 técnica de seguridad. De manera alternativa u opcional, el microprocesador 72 puede activar también el conmutador 86, para abrir el contacto de cierre 112 del relé de seguridad 110.

La figura 3 muestra otro dispositivo de seguridad de varios canales 10’, que se diferencia del dispositivo de seguridad 10 mostrado en la figura 1 porque la instalación de generación de la señal de supervisión 71 de la primera instalación de control 70 suministra dos señales de supervisión y un sensor pasivo 20, por ejemplo un pulsador de 50 desconexión de emergencia, está conectado a través de conexiones digitales (no representadas) en el dispositivo de seguridad 10’. Cuando el microprocesador 72 ejecuta correctamente sus funciones específicas, la instalación de generación de la señal de supervisión 71 genera las señales intermitentes mostradas en la figura 4, que solamente están desfasadas entre sí. De esta manera, el sensor pasivo 20 conectado en el dispositivo de seguridad 10’ puede ser consultado en dos canales, para poder reconocer de esta manera cortocircuitos y conexiones cruzadas en las 55 líneas de entrada 151 y 152 y en sus líneas de salida 150 y 155. La fase de entrada 60 presenta, además de la puerta-Y 62, otra puerta-Y 64. La primera señal de supervisión es aplicada por la instalación de generación de la señal de supervisión 71 internamente en la entrada de la puerta-Y y es alimentada a través de una de las salidas digitales y a través de la línea de entrada 152 a una entrada del sensor 20. La primera señal de supervisión es alimentada, además, a través de un pulsador interno 21 del sensor 20 y a través de la línea de salida 150 a otra

imagen7

entrada de la puerta-Y 62. De manera similar, la segunda señal de supervisión es aplicada desde la instalación de generación de la señal de supervisión 71 internamente a una entrada de la puerta-Y 64 y a través de la otra salida digital así como a través de la línea de entrada 151 a otra entrada del sensor 20. La segunda señal de supervisión es alimentada, además, a través de un pulsador interno 22 del sensor 20 y a través de la línea de salida 155 del

5 sensor 20 a otra entrada de la puerta-Y 64. Solamente la señal de salida de la puerta-Y 64 es alimentada hacia el microprocesador 72, mientras que la salida de la puerta-Y 6 está conectada tanto con el microprocesador 72 como también con la entrada de disparo del monoflop 85 de la segunda instalación de control.

El modo de funcionamiento del dispositivo de seguridad 10’ mostrado en la figura 3 corresponde esencialmente al modo de funcionamiento del dispositivo de seguridad 10 mostrado en la figura 1, pudiendo establecerse 10 adicionalmente, como ya se ha mencionado, conexiones cruzadas entre las líneas de salida 150 y 155 y las líneas de entrada 151 y 152 así como cortocircuitos de las líneas de salida 150 y 155 y/o de las líneas de entrada 151 y

152. Por ejemplo, si se produce un cortocircuito de la línea de salida 155 y masa o de la línea de entrada 151 y masa, entonces se aplica en la entrada correspondiente de la puerta-Y 64 un nivel bajo, que conduce a que también la salida de la puerta-Y 64 esté en un nivel bajo. Este estado es señalizado al microprocesador 72, que reconoce un

15 fallo a partir del estado anunciado. A continuación, el microprocesador activa el conmutador 76 en el circuito de activación del relé de seguridad 100, de tal manera que el contacto de cierre 102 se abre y, por lo tanto, se puede desconectar la instalación técnica de seguridad 30.

De manera similar, la entrada de la puerta-Y 62 conectada con la línea de conexión 150 está colocada baja, cuando se ha producido un cortocircuito con relación a la línea 150 ó 152 hacia masa. Un cero lógico en la entrada de la 20 puerta-Y 62 se ocupa de que también la salida esté en cero lógico, de manera que el monoflop 85 suministra de la misma manera un cero lógico en la salida. Como reacción a la señal de salida del monoflop 85 se activa el conmutador 86, de tal manera que el contacto de cierre 112 se abre y de este modo se desconecta la instalación técnica de seguridad 30. Además, el microprocesador 72, como reacción al cero lógico en la salida de la puerta-Y 62, activa el conmutador 76, de tal manera que el contacto de cierre 102 se abre y de este modo se desconecta la

25 instalación técnica de seguridad 30.

Si se produce un cortocircuito entre las líneas de entrada 151 y 152 o entre las líneas de salida 150 y 155, entonces se aplican señales estáticas con el mismo potencial en las entradas de la puerta-Y 62 y 64. Por consiguiente, la señal estática que se aplica en la salida de la puerta-Y 62 conduce a que el monoflop 85 active el conmutador 86 de tal manera que el contacto de cierre 112 se abra y, por lo tanto, desconecte la instalación técnica de seguridad 30.

30 Además, la señal estática que se aplica en la salida de la puerta-Y 62 y/o 64 puede conducir a que el microprocesador 72 active el conmutador 76, de tal manera que el contacto de cierre 102 se abre y de esta manera se desconecta la instalación técnica de seguridad 30.

A continuación se considera el caso en el que la línea de salida 150 y/o la línea de entrada 152 son cortocircuitadas contra la tensión de funcionamiento. En este caso, se aplican de nuevo dos señales estáticas del mismo potencial en

35 la puerta-Y 62, lo que conduce a que la señal de salida estática de la puerta-Y 62 active el monoflop 85 y con ello el conmutador 86, de tal manera que el contacto de cierre 112 se abre y, por lo tanto, se desconecta la instalación técnica de seguridad 30. Además, la señal estática que se aplica en la salida de la puerta-Y 62 puede conducir a que el microprocesador 72 active el conmutador 76 de tal manera que el contacto de cierre 102 se abre y, por lo tanto, se desconecta la instalación técnica de seguridad 30.

40 Además, se considera el caso en el que la línea de salida 155 y/o la línea de entrada 151 se cortocircuitan hacia la tensión de funcionamiento. En este caso, existen de nuevo dos señales estáticas del mismo potencial en la puerta-Y

64. Como reacción a la señal de salida estática de la puerta-Y 62, el microprocesador 72 activa el conmutador 76 de tal manera que, el contacto de cierre 102 se abre y con ello se desconecta la instalación técnica de seguridad 30.

Para el caso de que en el sensor 20 se trate de un sensor activo, fallan las dos líneas de conexión 151 y 152, de

45 manera que las dos señales de supervisión generadas por la instalación de generación de la señal de supervisión 71 no son alimentadas al sensor 20.

Gracias al dispositivo de seguridad, ahora es posible que la segunda instalación de control 80 basada en hardware pueda controlar el modo de funcionamiento correcto del relé de seguridad 100 asociado a la primera instalación de control 70 y en el caso de aparición de un fallo puede ocuparse de que la instalación técnica de seguridad 30 se

50 desconecte. De esta manera se asegura también que la segunda instalación de control 80 solamente asuma el funcionamiento cuando la señal de liberación del canal 1 se encuentra en la entrada MR.

Claims

imagen1

REIVINDICACIONES

1.-Dispositivo de seguridad para el control de varios canales de una instalación técnica de seguridad (40), con una primera instalación de control (70) controlada por microprocesador, que presenta una instalación de generación de señales (71) para la generación de una primera señal de supervisión, que indica el estado actual de funcionamiento 5 de la primera instalación de control (70), con una segunda instalación de control (80) basada en hardware, con una instalación de conmutación (90), que puede ser activada por la primera y segunda instalación de control (70, 80), que puede conectar la instalación técnica de seguridad (30, 40) o puede llevarla a un estado seguro, en el que la segunda instalación de control (80) presenta una instalación de conmutación (85) basada en hardware que, como reacción a l señal de supervisión activa la instalación de conmutación (90), de tal manera que la instalación (30, 40) 10 técnica de seguridad puede ser conducida a un estado seguro en el caso de un funcionamiento erróneo de la primera instalación de control (70), caracterizado por una instalación (50, 101) asociada a la primera instalación de control (70), para la generación de una señal de liberación para la segunda instalación de control (80), en el que la instalación de conmutación (90) presenta un primer relé de seguridad (100) asociado a la primera instalación de control (70) y un segundo relé de seguridad (110) asociado a la segunda instalación de control (80), en el que cada

15 relé de seguridad presenta al menos un contacto de apertura (101; 111) y un contacto de cierre (102; 112), que están acoplados rígidamente entre sí, y en el que la señal de liberación solamente es generada en el caso de una función libre de fallo del primer relé de seguridad (100).
2.-Dispositivo de seguridad de acuerdo con la reivindicación 1, caracterizado porque la instalación de generación de señales (71) genera una señal intermitente, cuando la primera instalación de control (70) trabaja libre de fallos, y

20 genera una señal continua cuando la primera instalación de control (70) trabaja libre de fallos.
3.-Dispositivo de seguridad de acuerdo con la reivindicación 2, caracterizado porque la instalación de conmutación

(85) basada en hardware presenta un monoflop.
4.-Instalación de seguridad de acuerdo con la reivindicación 2, caracterizada porque el monoflop (85) presenta una entrada de reposición maestra para la aplicación de la señal de liberación y una entrada de disparo.

25 5.-Dispositivo de seguridad de acuerdo con la reivindicación 4, caracterizado por un circuito (86, 87, 88) asociado al monoflop (85) para la retención de la entrada de reposición maestra sobre el nivel de la señal de liberación, en el que el monoflop (85) es repuesto cuando en la entrada de disparo no se aplica ninguna señal o una señal estática.
6.-Dispositivo de seguridad de acuerdo con una de las reivindicaciones anteriores, caracterizado por una fase de entrada (60), conectada con la primera instalación (70) controlada por microprocesador y con la segunda instalación 30 de control (80), que está configurada para la modulación de una señal de entrada, que procede desde una instalación de sensor (20) que puede ser conectada externamente, con la primera señal de supervisión generada por la instalación de generación de señales (71), en el que la primera instalación de control (70) controlada por microprocesador y/o la segunda instalación de control (80) pueden controlar, como reacción a la señal de entrada modulada, la instalación técnica de seguridad (40) a un estado seguro, en el que la primera señal de entrada

35 modulada está aplicada en una entrada de disparo de la instalación de circuito (80, 85) basada en hardware.
7.-Dispositivo de seguridad de acuerdo con la reivindicación 6, caracterizado porque la instalación de generación de señales (71) suministra una segunda señal de supervisión, la fase de entrada (60) está configurada para la modulación de una segunda señal de entrada que procede de la instalación de sensor (20) que se puede conectar externamente con la segunda señal de supervisión generada por la instalación de generación de señales (71), en el

40 que la segunda señal de entrada modulada es alimentada para la evaluación solamente a la primera instalación de control (70).
8.-Dispositivo de seguridad de acuerdo con la reivindicación 7, caracterizado porque la fase de entrada (60) presenta una primera instalación de enlace (62) para el enlace-Y de la primera señal de entrada con la primera señal de supervisión y una segunda instalación de enlace (64) para el enlace-Y de la segunda señal de entrada con la

45 segunda señal de supervisión.
9.-Dispositivo de seguridad de acuerdo con una de las reivindicaciones 1 a 6, caracterizado porque la instalación de generación de señales (71) suministra una segunda señal de supervisión, la primera señal de supervisión es conducida a través de un sensor pasivo conectado externamente hacia la primera y segunda instalación de control (70, 80) y porque la segunda señal de supervisión es conducida a través del sensor (20) conectado externamente

50 hacia la primera instalación de control (70).
10.-Dispositivo de seguridad de acuerdo con una de las reivindicaciones anteriores, caracterizado porque la primera instalación de control (70) presenta una memoria (74), en la que está registrada la función de transmisión de la instalación de conmutación (80, 85) basada en hardware, y en el que el microprocesador (72) de la primera instalación de control (70) calcula, utilizando la primera señal de entrada modulada, a la señal de salida de la 55 segunda instalación de control (80) y a la función de transmisión, el estado de funcionamiento de la segunda

9

imagen2

instalación de control (80).
11.-Dispositivo de seguridad de acuerdo con la reivindicación 3, caracterizado por una instalación (130, 135) para el ajuste del tiempo de reacción del monoflop, en el que la primera instalación de control (70) presenta una memorias para la deposición del tiempo de reacción actual del monoflop (85) y en el que el microprocesador (71) está configurado para la supervisión del tiempo de reacción del monoflop (85).

10