-
Die
Erfindung betrifft eine optoelektronische Vorrichtung zur Erfassung
von Objekten in einem Überwachungsbereich.
-
Derartige
optoelektronische Vorrichtungen können generell in Form von Lichtschranken,
Lichttastern, Lichtgittern oder dergleichen gebildet sein. Weiterhin
können
die optoelektronische Vorrichtungen als Distanzsensoren ausgebildet
sein.
-
Ein
derartiger Distanzsensor ist beispielsweise aus der
DE 198 502 70 A1 bekannt.
Dieser Distanzsensor weist ein nach dem Triangulationsprinzip arbeitendes
Sensorelement, bestehend aus einem Sendelichtstrahlen emittierenden
Sender und einem Empfangslichtstrahlen empfangenden Empfänger, auf.
Der Sender ist bevorzugt von einer Laserdiode gebildet. Der Empfänger ist
als ortsauflösender
Detektor ausgebildet und besteht aus einer CCD-Zeile. Zur Distanzbestimmung
wird der Auftreffpunkt der von einem Objekt zurückreflektierten Empfangslichtstrahlen
auf der CCD-Zeile ausgewertet. Der dabei in einer Rechnereinheit
ermittelte Distanzwert wird typischerweise als analoges Ausgangssignal
ausgegeben.
-
In
zahlreichen Applikationen müssen
die optoelektronischen Vorrichtungen bestimmten Sicherheitsanforderungen
genügen
und einen entsprechend sicherheitsrelevanten Aufbau aufweisen. Ein Beispiel
hierfür
sind optoelektronische Vorrichtungen wie insbesondere Distanzsensoren,
die mit Laserdioden als Sendern arbeiten. Bei derartigen optoelektronischen
Vorrichtungen ist durch eine geeignete Überwachung des Betriebs des
Senders sicherzustellen, dass die Strahlungsstärke des von der Laserdiode emittierten
Laserlichts nicht die für die
Augensicherheit der optoelektronischen Vorrichtung vorgeschriebenen
Grenzwerte überschreitet.
-
Ein
weiteres Beispiel ist der Einsatz von optoelektronischen Vorrichtungen
zur Überwachung von
Gefahrenbereichen an einem Arbeitsmittel. Um Gefährdungen von Personen zu vermeiden,
müssen diese
von der optoelektronischen Vorrichtung bei Eintritt in den Gefahrenbereich
erkannt werden, wodurch von der optoelektronischen Vorrichtung ein Ausgangssignal
generiert wird, welches das Arbeitsmittel, von welchem eine Gefährdung einer
Person ausgeht, abgeschaltet wird. Derartige optoelektronische Vorrichtungen
müssen
selbst einen sicheren Aufbau aufweisen, um die jeweils geforderten
Sicherheitsanforderungen zu erfüllen.
-
Um
die jeweiligen Sicherheitsanforderungen zu erfüllen, weisen die optoelektronischen
Vorrichtungen typischerweise redundante Rechnereinheiten auf, die
zur Auswertung der in den Sensorelementen generierten Messwerte
eingesetzt werden. Zudem ist es erforderlich, dass sowohl bei einkanalig
als auch zweikanalig aufgebauten Rechnereinheiten die dort implementierte
Software sicher ist. Damit die Software die jeweiligen Sicherheitsanforderungen
erfüllt, muss
diese nach vorgegebenen Sicherheitskriterien erstellt und geprüft werden.
Zudem müssen
in der Software sicherheitsrelevante Module zur Durchführung von
Tests, wie zum Beispiel Speichertests, implementiert werden.
-
Mit
der Erstellung der sicheren Software ist somit ein erheblicher Aufwand
verbunden, der zu einer beträchtlichen
Erhöhung
der Herstellkosten derartiger optoelektronischer Vorrichtungen führt.
-
Der
Erfindung liegt die Aufgabe zugrunde eine optoelektronische Vorrichtung
der eingangs genannten Art bereitzustellen, bei welcher bei geringem konstruktiven
Aufwand ein sicherheitsrelevanter Aufbau gegeben ist.
-
Zur
Lösung
dieser Aufgabe sind die Merkmale des Anspruchs 1 vorgesehen. Vorteilhafte
Ausführungsformen
und zweckmäßige Weiterbildungen
der Erfindung sind in den Unteransprüchen beschrieben.
-
Die
erfindungsgemäße optoelektronische Vorrichtung
dient zur Erfassung von Objekten in einem Überwachungsbereich und weist
ein Sensorelement zur Generierung von Messwerten auf. Ebenso umfasst
die erfindungsgemäße optoelektronische Vorrichtung
eine Rechnereinheit zur Auswertung der Messwerte des Sensorelements.
Weiterhin weist diese optoelektronische Vorrichtung wenigstens einen Peripheriebaustein
zur Speicherung von sicherheitsrelevanten Daten für die Objekterfassung
auf. Die erfindungsgemäße optoelektronische
Vorrichtung weist eine Schaltungsanordnung zum Einlesen der Daten in
den Peripheriebaustein auf. Diese Schaltungsanordnung umfasst eine
Generatoreinheit zur Generierung eines Steuersignals für die Rechnereinheit,
mittels dessen die optoelektronische Vorrichtung in einen sicheren
Zustand versetzbar ist. Ebenso beinhaltet die Schaltungsanordnung
wenigstens ein Schaltmittel, welches durch das Steuersignal in einen
ersten Schaltzustand versetzbar ist, in welchem eine Übertragung
von Daten von der Rechnereinheit in den Peripheriebaustein freigegeben
ist. Schließlich weist
die Schaltungsanordnung ein in der Rechnereinheit implementiertes
sicheres Programm-Modul auf, welches durch das Steuersignal aktiviert
ist. Mittels des sicheren Programm-Moduls werden die Daten in den
Peripheriebaustein eingelesen. Schließlich wird mittels des sicheren
Programm-Moduls das Schaltmittel nach Einlesen der Daten in einen
zweiten Schaltzustand versetzt, in welchem der Peripheriebaustein
verriegelt ist.
-
Der
Grundgedanke der Erfindung besteht darin, die die Sicherheitsfunktion
der optoelektronischen Vorrichtung definierenden Daten über eine Verriegelungsschaltung
bildende Schaltungsanordnung sicher in einem Peripheriebaustein
zu hinterlegen und dann vor einem weiteren Zugriff zu schützen. Durch
die sichere Hinterlegung der sicherheitsrelevanten Daten in dem
Peripheriebaustein ist gewährleistet,
dass die auf der Basis der im Peripheriebaustein gespeicherten Daten
durchgeführten
Sicherheitsfunktion der optoelektronischen Vorrichtung fehlerfrei
und ausfallsicher durchgeführt
wird.
-
Ein
wesentlicher Vorteil des erfindungsgemäßen Sicherheitskonzepts besteht
darin, dass die hierzu notwendigen konstruktiven Maßnahmen
mit einem geringen Aufwand durchführbar sind.
-
Der
Eingabevorgang von sicherheitsrelevanten Daten von der Rechnereinheit
in den Peripheriebaustein wird von der Generatoreinheit der Schaltungsanordnung
mittels eines Steuersignals ausgelöst. Das Steuersignal kann dabei
in der Generatoreinheit bei Inbetriebnahme der optoelektronischen Vorrichtung
oder insbesondere nach einem Spannungseinbruch der Versorgungsspannung
der optoelektronischen Vorrichtung generiert werden. Alternativ
kann das Steuersignal durch einen Benutzerbefehl generiert werden.
-
Das
Steuersignal bewirkt ein Übergehen
der optoelektronischen Vorrichtung in den sicheren Zustand. Beispielsweise
kann dies dadurch erfolgen, dass das Sensorelement, insbesondere
dessen Sender deaktiviert wird. Für den Fall, dass der Sender von
einer Laserdiode gebildet ist, wird dadurch erreicht, dass von der
optoelektronischen Vorrichtung keine gefahrbringende Laserstrahlen
während
des Eingabevorgangs der sicherheitsrelevanten Daten in den Peripheriebaustein
emittiert werden.
-
Weiterhin
bewirkt das Steuersignal ein Umschalten des Schaltmittels, wodurch
eine Übertragung
der sicherheitsrelevanten Daten in den Peripheriebaustein freigegeben
ist. Für
den Fall, dass die optoelektronische Vorrichtung ein Sensorelement
mit einer Laserdiode als Sender aufweist, können als sicherheitsrelevante
Daten Parameterwerte in ein Potentiometer eingelesen werden, mittels
dessen die Funktion der Laserdiode kontrolliert werden kann.
-
Wesentlich
ist, dass das in der Rechnereinheit implementierte Programm-Modul zum Einlesen der
Daten in den Peripheriebaustein sicher ist, so dass der Einlesevorgang
der Daten in den Peripheriebaustein der geforderten Sicherheitskategorie
entspricht. Mittels des sicheren Programm-Moduls wird der Einlesevorgang
der Daten beendet, wobei hierzu von der Rechnereinheit aus das Schaltmittel
umgesteuert wird, so dass die Datenübertragungsstrecke zwischen
der Rechnereinheit und dem Peripheriebaustein für die nachfolgende Betriebsphase
der optoelektronischen Vorrichtung verriegelt ist. Durch diese Verriegelung
ist gewährleistet,
dass die im Peripheriebaustein hinterlegten sicherheitsrelevanten Daten
während
der auf den Einlernvorgang folgenden Betriebsphase der optoelektronischen
Vorrichtung nicht mehr verändert
werden können.
Dadurch ist gewährleistet,
dass die mit den sicherheitsrelevanten Daten bewerkstelligte Sicherheitsfunktion ohne
Einschränkung
erhalten bleibt.
-
Ein
wesentlicher Vorteil hierbei besteht darin, dass mit Ausnahme des
sicheren Programm-Moduls, welches den Einlesevorgang der sicherheitsrelevanten
Daten in den Peripheriebaustein steuert, der gesamte restliche Teil
der auf der Rechnereinheit implementierten Software nicht sicher
sein muss. Weiterhin kann die Rechnereinheit einen einkanaligen
Aufbau aufweisen, da durch die Schaltungsanordnung gewährleistet
ist, dass nur mit dem sicheren Programm-Modul ein Zugriff auf den Peripheriebaustein erfolgen
kann. Damit kann der Aufwand zur Gewährleistung der Sicherheitsfunktion
der optoelektronischen Vorrichtung äußerst gering gehalten werden.
-
Ein
weiterer Vorteil der erfindungsgemäßen optoelektronischen Vorrichtung
besteht darin, dass durch einen geeigneten Ausbau der Schaltungsanordnung
die Sicherheitsfunktionen mit geringem Aufwand erweitert werden
können.
-
Im
einfachsten Fall weist die Schaltungsanordnung einen einkanaligen
Aufbau auf und dient zum Eingeben von sicherheitsrelevanten Daten
in einen Peripheriebaustein. Gemäß einer
ersten Erweiterungsform können
mit der Schaltungs anordnung auch sicherheitsrelevante Daten in mehrere
Peripheriebausteine eingegeben werden. Gemäß einer weiteren Ausgestaltung
kann die Schaltungsanordnung einen mehrkanaligen Aufbau aufweisen.
Während mit
einer einkanaligen Schaltungsanordnung eine Einfehlersicherheit
erzielbar ist, können
mit mehrkanaligen Schaltungsanordnungen mehrfehlersichere Systeme
realisiert werden.
-
Die
erfindungsgemäße optoelektronische Vorrichtung
ist bevorzugt als Distanzsensor ausgebildet. Alternativ kann die
optoelektronische Vorrichtung von einer Lichtschranke, einem Lichtgitter,
einem Lichttaster oder dergleichen gebildet sein.
-
Die
Erfindung wird im Nachstehenden anhand der Zeichnungen erläutert. Es
zeigen:
-
1:
Schematische Darstellung einer optoelektronischen Vorrichtung zur
Erfassung von Objekten in einem Überwachungsbereich.
-
2:
Schaltungsanordnung für
die optoelektronische Vorrichtung gemäß 1 zur Eingabe von
sicherheitsrelevanten Daten in einem Peripheriebaustein.
-
1 zeigt
schematisch ein Ausführungsbeispiel
einer optoelektronischen Vorrichtung 1 zur Erfassung von
Objekten in einem Überwachungsbereich.
Die optoelektronische Vorrichtung 1 ist im vorliegenden
Fall als Distanzsensor ausgebildet und weist ein Sensorelement zur
Generierung von Messwerten auf, die in einer Auswerteeinheit zur
Erzeugung eines Ausgangssignals ausgewertet werden.
-
Das
Sensorelement besteht aus einem Sendelichtstrahlen 2 emittierenden
Sender 3 und einem Empfangslichtstrahlen 4 empfangenden
Empfänger 5.
Der Sender 3 ist von einer Laserdiode gebildet, der Empfänger 5 besteht
aus einem ortsauflösenden Empfänger 5,
im vorliegenden Fall aus einer CCD-Zeile. Der Sender 3 und
der Empfänger 5 sind an
eine die Auswerteeinheit bildende Rechnereinheit 6 angeschlossen.
Die Rechnereinheit 6 weist einen einkanaligen Aufbau auf
und ist im vorliegenden Fall von einem Microcontroller gebildet.
Mit der Rechnereinheit 6 wird zum einen der Sender 3 angesteuert. Im
vorliegenden Fall wird der Sender 3 im Pulsbetrieb betrieben,
so dass dieser Sendelichtstrahlen 2 in Form von Sendelichtimpulsen
mit einem vorgegebenen Puls-Pausen-Verhältnis emittiert.
Weiterhin werden in der Rechnereinheit 6 die am Ausgang
des Empfängers 5 anstehenden
Messwerte des Sensorelements bildenden Empfangssignale ausgewertet. Dabei
wird mittels der optoelektronischen Vorrichtung 1 nach
dem Triangulationsprinzip die Distanz eines nicht dargestellten
Objekts zur optoelektronischen Vorrichtung 1 bestimmt.
-
Hierzu
wird in der Rechnereinheit 6 aus den Empfangssignalen der
Auftreffpunkt der von einem Objekt als Empfangslichtstrahlen 4 zurückreflektierten
Sendelichtstrahlen 2 auf dem Empfänger 5 bestimmt und
daraus die Objektdistanz berechnet. Von der Rechnereinheit 6 kann
als analoges Ausgangssignal direkt der ermittelte Distanzwert ausgegeben werden.
Alternativ kann der ermittelte Distanzwert in der Rechnereinheit 6 mit
wenigstens einem Schwellwert bewertet werden. Das dadurch generierte
binäre Ausgangssignal
gibt an, ob sich ein Objekt innerhalb eines durch den Schwellwert
definierten Überwachungsbereichs
befindet oder nicht.
-
Bei
der optoelektronischen Vorrichtung 1 gemäß 1 muss
als Sicherheitsfunktion die Augensicherheit des Sensorelements gewährleistet
und überwacht
werden. Zur Erfüllung
der Augensicherheit darf von dem Sender 3 pro Zeiteinheit
nur eine bestimmte maximale Strahlungsmenge an Laserstrahlung abgegeben
werden.
-
Zur
Erfüllung
dieser Anforderung ist der Laserdiode eine Monitordiode 7 zugeschaltet,
auf die ein definierter Teil der von der Laserdiode emittierten Laser strahlung
geführt
ist. Zur Kontrolle der auf die Monitordiode 7 auftreffenden
Strahlungsmenge wird der Ausgang der Monitordiode 7 und
der Ausgang eines digital arbeitenden Potentiometers 8 auf
einen Komparator 9 geführt.
-
In
dem Potentiometer 8 sind als sicherheitsrelevante Daten
Sollwerte abgespeichert, welche als Vergleichswerte für die Ausgangssignale
der Monitordiode 7 dienen.
-
Der
Vergleich der Sollwerte des Potentiometers 8 und der Ausgangssignale
erfolgt im Komparator 9. Das Ausgangssignal des Komparators 9 wird zur
Steuerung eines Schalters 10 an der Eingangsseite des Senders 3 verwendet.
-
Im
fehlerfreien Fall liegen die Ausgangssignale der Monitordiode 7 unterhalb
der Sollwerte. Dann steuert der Komparator 9 den Schalter 10 so an,
dass dieser geschlossen ist. Damit wird der Sender 3 von
der Rechnereinheit 6 angesteuert, so dass dieser Sendelichtstrahlen 2 zur
Detektion von Objekten emittiert. Im Fehlerfall liegen die Ausgangssignale
der Monitordiode 7 oberhalb der Sollwerte. In diesem Fall
wäre die
Augensicherheit der optoelektronischen Vorrichtung 1 nicht
mehr gewährleistet.
Daher wird der Schalter 10 über den Komparator 9 geöffnet und
der Sender 3 von der Rechnereinheit 6 dadurch getrennt
und deaktiviert, das heißt
die optoelektronische Vorrichtung 1 geht in einen sicheren
Zustand über.
-
Damit
die Augensicherheit der optoelektronischen Vorrichtung 1 während deren
gesamten Betriebsphase sicher eingehalten wird, ist es notwendig,
die sicherheitsrelevanten Daten in das einen Peripheriebaustein
bildende Potentiometer 8 sicher einzulesen. Zudem muss
gewährleistet
sein, dass die sicherheitsrelevanten Daten im Peripheriebaustein während der
Betriebsphase der optoelektronischen Vorrichtung 1 nicht
verändert
werden.
-
Hierzu
ist dem Potentiometer 8 eine Schaltungsanordnung 11 zugeordnet,
die in 2 detailliert dargestellt ist.
-
Die
Schaltungsanordnung 11 gemäß 2 umfasst
eine Generatoreinheit 12 und ein Schaltmittel 13,
wobei diese Komponenten eine Verriegelungsschaltung zum sicheren
Einlesen von sicherheitsrelevanten Daten von der Rechnereinheit 6 in das
einen sicherheitsrelevanten Peripheriebaustein bildende Potentiometer 8 bilden.
Der Datentransfer erfolgt im vorliegenden Fall über einen seriellen Bus, insbesondere
einen seriellen SPI-Bus. Dabei können auch
weitere nicht sicherheitsrelevante Peripheriebausteine an den seriellen
Bus angeschlossen sein. In 2 ist beispielhaft
eine derartige nicht sicherheitsrelevante Einheit 14 dargestellt.
-
Als
Busleitungen des seriellen Busses sind zwischen den Peripheriebausteinen
und der Rechnereinheit 6 Chip-Select-Leitungen 15, 15a,
Datenleitungen 16, 16a sowie Clock-Leitungen 17, 17a vorgesehen.
-
Die
Generatoreinheit 12 ist von einem Reset-Generator gebildet,
mittels dessen ein Reset-Signal als Steuersignal generierbar ist,
welches über eine
Steuerleitung 18 in die Rechnereinheit 6 eingebbar
ist. Das Steuersignal kann bei Inbetriebnahme oder nach einem Spannungseinbruch
der Versorgungsspannung der optoelektronischen Vorrichtung 1 im
Reset-Generator selbsttätig
erzeugt werden. Alternativ kann das Steuersignal durch einen Benutzerbefehl
generiert werden.
-
Das
Schaltmittel 13 ist von einem Flip-Flop gebildet. Auf einen
Eingang (SET) des Flip-Flops ist das Steuersignal des Reset-Generators
auf der Steuerleitung 18 geführt. Auf einen weiteren Eingang
(RESET) des Flip-Flops ist eine Zuleitung 19 von einem beliebigen
Portpin des die Rechnereinheit 6 bildenden Microcontrollers
geführt.
Der Ausgang Q des Flip-Flops ist auf einen ersten Eingang eines UND-Glieds 20 geführt. Auf
den zweiten Eingang des UND-Gliedes 20 ist
die Clock-Leitung 17 geführt.
-
Mit
der Generierung des Steuersignals wird der Einlesevorgang der sicherheitsrelevanten
Daten in das Potentiometer 8 eingeleitet. Der Einlesevorgang
wird durch ein sicheres Programm-Modul im Microcontroller gesteuert.
Zur Erstellung des sicheren Programm-Moduls werden in bekannter
Weise Maßnahmen
zur Fehlervermeidung und zur Fehlerbeherrschung durchgeführt. Maßnahmen
zur Fehlervermeidung sind von Entwicklungswerkzeugen und Entwicklungsmaßnahmen
gebildet, mittels derer ein geprüfter
Software-Code als Programm-Modul
erstellt wird. Als Maßnahmen
zur Fehlerbeherrschung sind beispielsweise Speichertests, wie zum
Beispiel RAM-Tests und ROM-Tests, vorgesehen. Mit Ausnahme des sicheren
Programm-Moduls ist im Microcontroller keine weitere sichere Software
integriert. Insbesondere ist die Software zum Betrieb der optoelektronischen
Vorrichtung 1 nach erfolgtem Einlesevorgang nicht sicher,
so dass die Maßnahmen
zur Fehlervermeidung und Fehlerbeherrschung allein auf das sichere
Programm-Modul bezogen sind.
-
Durch
die Generierung des Steuersignals im Reset-Generator geht die optoelektronische
Vorrichtung 1 zunächst
in den sicheren Zustand über.
Im vorliegenden Fall wird dies durch Öffnen des Schalters 10 erreicht,
so dass die optoelektronische Vorrichtung 1 keine gefahrbringende
Laserstrahlung mehr emittiert.
-
Weiterhin
wird mit dem Steuersignal des Rest-Generators das Flip-Flop in einen
Schaltzustand versetzt, in welchem das Flip-Flop die Datenübertragung
von dem Microcontroller zu dem sicherheitsrelevanten Peripheriebaustein
bildenden Potentiometer 8 freigibt.
-
Schließlich wird
mit dem Steuersignal im Microcontroller das sichere Programm-Modul
aktiviert, mittels dessen die Sollwerte als sicherheitsrelevante Daten
von dem Microcontroller in das Potentiometer 8 eingelesen
werden. Da die Datenübertragung
mittels des sicheren Programm-Moduls erfolgt, ist ein sicheres,
im vorliegenden Fall ein einfehlersicheres Einlesen der sicherheitsrelevanten
Daten in das Potentiometer 8 gewährleistet.
-
Nachdem
der Einlesevorgang beendet ist, wird in dem sicheren Programm-Modul ein Schaltsignal
generiert, welches über
die Zuleitung 19 an das Flip-Flop ausgegeben wird. Dadurch wird der
Schaltzustand des Flip-Flops umgesteuert, so dass dieses die Datenübertragung
zum Potentiometer 8 sperrt.
-
Dieser
Schaltzustand des Flip-Flops wird für die nachfolgende Betriebsphase
der optoelektronischen Vorrichtung 1 beibehalten, so dass
während der
gesamten Betriebsphase, die mit dem nicht sicheren Teil der Software
des Microcontrollers gesteuert wird, kein Zugriff auf die Daten
im sicherheitsrelevanten Peripheriebaustein, das heißt im Potentiometer 8,
mehr möglich
ist.
-
Damit
ist trotz des einkanaligen Ausbaus der Rechnereinheit 6 und
trotz der nicht sicheren Software zur Steuerung der optoelektronischen
Vorrichtung 1 während
der Betriebsphase gewährleistet,
dass die sicherheitsrelevanten Daten im Potentiometer 8 unverändert erhalten
bleiben. Dies bedeutet, dass eine fehlerfreie Funktion der sicherheitsrelevanten Überwachung
der Laserdiode durch die Monitordiode 7 auf der Basis der
im Potentiometer 8 vorgegebenen Sollwerte gewährleistet
ist.
-
- 1
- Optoelektronische
Vorrichtung
- 2
- Sendelichtstrahlen
- 3
- Sender
- 4
- Empfangslichtstrahlen
- 5
- Empfänger
- 6
- Rechnereinheit
- 7
- Monitordiode
- 8
- Potentiometer
- 9
- Komparator
- 10
- Schalter
- 11
- Schaltungsanordnung
- 12
- Generatoreinheit
- 13
- Schaltmittel
- 14
- Nicht
sicherheitsrelevante Einheit
- 15,
15a
- Chip-Select-Leitungen
- 16,
16a
- Datenleitungen
- 17,
17a
- Clock-Leitungen
- 18
- Steuerleitung
- 19
- Zuleitung
- 20
- UND-Glied
- SET
- Eingang
des Flip-Flops
- RESET
- Eingang
des Flip-Flops
- Q,
Q
- Ausgänge des
Flip-Flops