DE102019003206B3

DE102019003206B3 - Safety order

Info

Publication number: DE102019003206B3
Application number: DE102019003206.3A
Authority: DE
Inventors: Andreas HERZOG; Jörn Kaipf
Original assignee: Festo SE and Co KG
Current assignee: Festo SE and Co KG
Priority date: 2019-05-07
Filing date: 2019-05-07
Publication date: 2020-08-20
Anticipated expiration: 2039-05-08

Abstract

Sicherheitsanordnung umfassend: eine Eingangsschaltung mit einer ersten und eine Ausgangsschaltung mit einer zweiten Spannungsversorgung, die galvanisch voneinander getrennt sind, einen miteinander verbundenen ersten und zweiten Logikkanal in der Eingangsschaltung, mindestens ein mit den Logikkanälen verbundenes Eingangselement in der Eingangsschaltung, mindestens ein mit den beiden Logikkanälen über mindestens ein erstes Kopplungselement verbundenes Ausgangselement in der Ausgangsschaltung, wobei das Ausgangselement von den beiden Logikkanälen ansteuerbar ist, einen Hauptschalter in der Ausgangsschaltung zum Ein- und Ausschalten einer Verbindung zwischen der zweiten Spannungsversorgung und dem Ausgangselement, ein mit den Logikkanälen über mindestens ein zweites Kopplungselement und mit dem Hauptschalter verbundenes Sicherheitselement in der Ausgangsschaltung, das dazu vorgesehen ist, den Hauptschalter zu veranlassen, die Verbindung auszuschalten, wenn es von mindestens einem der Logikkanäle ein Fehlersignal empfängt, wobei das Ausgangselement mit dem Sicherheitselement mittels mindestens einer ersten Leitung verbunden ist und die erste Leitung dazu vorgesehen ist, mindestens ein Diagnosesignal vom Ausgangselement ans Sicherheitselement zu übertragen, und wobei das Sicherheitselement dazu vorgesehen ist, das Diagnosesignal über das zweite Kopplungselement an mindestens einen der beiden Logikkanäle weiterzuleiten.Safety arrangement comprising: an input circuit with a first and an output circuit with a second voltage supply, which are galvanically isolated from one another, an interconnected first and second logic channel in the input circuit, at least one input element connected to the logic channels in the input circuit, at least one to the two logic channels output element in the output circuit connected via at least one first coupling element, the output element being controllable by the two logic channels, a main switch in the output circuit for switching on and off a connection between the second voltage supply and the output element, one with the logic channels via at least one second coupling element and a safety element in the output circuit which is connected to the main switch and which is provided to cause the main switch to switch off the connection when it is activated by at least one of the Logi k channels receives an error signal, wherein the output element is connected to the security element by means of at least one first line and the first line is provided to transmit at least one diagnostic signal from the output element to the security element, and wherein the security element is provided to transmit the diagnostic signal via the second coupling element forward to at least one of the two logic channels.

Description

Die vorliegende Erfindung betrifft eine Sicherheitsanordnung gemäß dem Oberbegriff des Anspruchs 1. Die Sicherheitsanordnung umfasst eine Eingangs-Schaltung mit einer ersten Spannungsversorgung und eine Ausgangs-Schaltung mit einer zweiten Spannungsversorgung, welche galvanisch voneinander getrennt angeordnet sind, sowie einen ersten Logik-Kanal und einen zweiten Logik-Kanal, die beide in der Eingangs-Schaltung angeordnet und signalleitend miteinander verbunden sind. Zudem umfasst die Sicherheitsanordnung mindestens ein Eingangselement, welches in der Eingangsschaltung angeordnet und mit den beiden Logik-Kanälen signalleitend verbunden ist, und mindestens ein Ausgangselement, welches in der Ausgangsschaltung angeordnet und mit den beiden Logik-Kanälen signalleitend über mindestens ein erstes Kopplungselement verbunden ist, wobei das Ausgangselement von den beiden Logik-Kanälen ansteuerbar ist. Außerdem umfasst die Sicherheitsanordnung einen Hauptschalter, welcher in der Ausgangsschaltung angeordnet und zum Einschalten und Ausschalten einer stromleitenden Verbindung zwischen der zweiten Spannungsversorgung und dem Ausgangselement vorgesehen ist, sowie ein Sicherheitselement, welches in der Ausgangsschaltung angeordnet und mit den beiden Logik-Kanälen über mindestens ein zweites Kopplungselement und mit dem Hauptschalter signalleitend verbunden ist, wobei das Sicherheitselement dazu vorgesehen ist, den Hauptschalter zum Ausschalten der stromleitenden Verbindung zu veranlassen, wenn das Sicherheitselement von mindestens einem der beiden Logik-Kanäle ein Fehlersignal empfängt.The present invention relates to a safety arrangement according to the preamble of claim 1. The safety arrangement comprises an input circuit with a first voltage supply and an output circuit with a second voltage supply, which are arranged galvanically separated from one another, as well as a first logic channel and a second Logic channel, both of which are arranged in the input circuit and connected to one another in a signal-conducting manner. In addition, the safety arrangement comprises at least one input element which is arranged in the input circuit and is connected to the two logic channels in a signal-conducting manner, and at least one output element which is arranged in the output circuit and is connected to the two logic channels in a signal-conducting manner via at least one first coupling element, wherein the output element can be controlled by the two logic channels. In addition, the safety arrangement comprises a main switch, which is arranged in the output circuit and is provided for switching on and off a conductive connection between the second voltage supply and the output element, and a safety element, which is arranged in the output circuit and connected to the two logic channels via at least a second Coupling element and is connected to the main switch in a signal-conducting manner, the security element being provided to cause the main switch to switch off the current-conducting connection when the security element receives an error signal from at least one of the two logic channels.

Im Stand der Technik sind verschiedene derartige oder ähnliche Sicherheitsanordnungen bekannt. Üblicherweise weisen solche Anordnungen eine Eingangs-Schaltung bzw. Sensor-Baugruppe und eine Ausgangs-Schaltung bzw. Auswerte-Baugruppe auf, welche galvanisch voneinander getrennt angeordnet sind bzw. untereinander eine Potentialtrennung aufweisen.Various such or similar safety arrangements are known in the prior art. Such arrangements usually have an input circuit or sensor assembly and an output circuit or evaluation assembly, which are arranged galvanically separated from one another or have potential separation from one another.

Nachteilig an derartigem Stand der Technik ist, dass die bekannten Anordnungen einen sehr hohen Platzbedarf für eine Vielzahl von galvanischen Trennelementen erfordern, und zudem aufgrund solcher zusätzlich benötigten Komponenten sehr kostenintensiv sind.A disadvantage of such prior art is that the known arrangements require a very large amount of space for a large number of galvanic isolating elements and, in addition, are very cost-intensive due to such additionally required components.

Aus diesem Grund wurde im Stand der Technik bereits versucht, dieses Problem anzugehen. Beispielsweise ist eine Messanordnung mit einer oben beschriebenen Sicherheitsanordnung aus der Druckschrift DE 19730158 A1 bekannt, bei welcher in jede Verbindung zwischen einer Sensor-Baugruppe und einer Auswerte-Baugruppe eine Potentialtrennung eingefügt ist. Außerdem ist aus der Druckschrift DE 102016201141 B4 eine Sicherheitsanordnung bekannt, in welcher einer Datenverarbeitungseinheit eine Koppeleinheit nachgeschaltet ist, welche mindestens ein galvanisches Trennelement umfasst.For this reason, attempts have been made in the prior art to address this problem. For example, a measuring arrangement with an above-described safety arrangement is from the publication DE 19730158 A1 known, in which a potential separation is inserted into each connection between a sensor assembly and an evaluation assembly. It is also from the publication DE 102016201141 B4 a safety arrangement is known in which a data processing unit is followed by a coupling unit which comprises at least one galvanic isolating element.

In solchem neueren Stand der Technik wird das Problem des hohen Platzbedarfs für die galvanische Trennung dadurch abgemildert, dass ein oder mehrere Parallel-Seriell- und Seriell-Parallel-Wandler eingesetzt werden, um möglichst viele Signale nacheinander bzw. seriell über möglichst wenige galvanische Trennelemente, im Idealfall über ein einziges galvanisches Trennelement, führen zu können.In such more recent state of the art, the problem of the high space requirement for galvanic isolation is alleviated by using one or more parallel-to-serial and serial-to-parallel converters in order to convert as many signals as possible one after the other or in series via as few galvanic isolators, ideally via a single galvanic isolating element.

Dieser Lösungsgedanke bringt jedoch zwei neue Probleme mit sich. Erstens: Eine serielle Datenübertragung ist grundsätzlich langsamer und fehleranfälliger als eine parallele Datenübertragung. Die Fehleranfalligkeit kann zwar mithilfe von sogenannten Diagnosebits minimiert werden, wie in DE 102016201141 B4 beschrieben, was jedoch zu einer weiteren Verlangsamung der Datenübertragung führt. Gerade bei zeitkritischen Sicherheitsschaltungen ist dies ein erheblicher Nachteil. Zweitens: Für eine Aufbereitung bzw. das Zusammenführen und Trennen der einzelnen Signale sind mindestens zwei zusätzliche Bauteile notwendig, und zwar jeweils mindestens ein Wandler bzw. Umsetzer von parallel auf seriell und umgekehrt. Diese zusätzlichen Bauteile nehmen einen Teil des gewonnenen Bauraums wieder zurück, und verursachen zudem nicht unbeachtliche Herstellungsaufwände und -kosten. Ferner wird zum Stand der Technik auf die DE 10 2007 022 286 A1 verwiesen, die zwei voneinander getrennte Spannungsversorgungen aufweist, welche galvanisch voneinander getrennt sind. Aus der WO 95/30183 ist ein gesteuerter Schalter im Primärkreis eines Transformators zur Trennung des Primärkreises des Transformators von einer Spannungsversorgung bekannt. Der gesteuerte Schalter wird über einen Oszillator angesteuert, der über eine Koppelschaltung, die zur galvanischen Trennung dient, mit dem Schalter gekoppelt ist.However, this approach brings with it two new problems. First: A serial data transmission is fundamentally slower and more error-prone than a parallel data transmission. The susceptibility to errors can be minimized with the help of so-called diagnostic bits, as in DE 102016201141 B4 but this leads to a further slowdown in data transmission. This is a considerable disadvantage, especially with time-critical safety circuits. Second: At least two additional components are necessary for processing or merging and separating the individual signals, namely at least one converter or converter from parallel to serial and vice versa. These additional components take back part of the space gained, and also cause considerable manufacturing effort and costs. Furthermore, the prior art is referred to DE 10 2007 022 286 A1 referenced, which has two separate power supplies, which are galvanically separated from each other. From the WO 95/30183 a controlled switch in the primary circuit of a transformer for separating the primary circuit of the transformer from a voltage supply is known. The controlled switch is controlled via an oscillator which is coupled to the switch via a coupling circuit which is used for galvanic separation.

Um die Nachteile aus dem Stand der Technik zu überwinden, liegt der Erfindung die Aufgabe zugrunde, eine verbesserte Sicherheitsanordnung zu schaffen, welche den Platzbedarf für galvanische Trennelemente auf effiziente, also einfache und kostengünstige Weise minimiert.In order to overcome the disadvantages from the prior art, the invention is based on the object of creating an improved safety arrangement which minimizes the space requirement for galvanic isolating elements in an efficient, that is to say simple and inexpensive manner.

Erfindungsgemäß wird diese Aufgabe durch den Gegenstand des Anspruchs 1 gelöst. Vorteilhafte und zweckmäßige Ausgestaltungen der erfindungsgemäßen Sicherheitsanordnung sind in den Unteranspruchen angegeben.According to the invention, this object is achieved by the subject matter of claim 1. Advantageous and expedient embodiments of the safety arrangement according to the invention are specified in the subclaims.

Die Erfindung beruht auf dem Gedanken, dass das Ausgangselement mit dem Sicherheitselement mittels mindestens einer ersten Leitung signalleitend verbunden ist, und die erste Leitung dazu vorgesehen ist, mindestens ein Diagnosesignal von dem Ausgangselement an das Sicherheitselement zu übertragen, wobei das Sicherheitselement dazu vorgesehen ist, das Diagnosesignal über das zweite Kopplungselement an mindestens einen der beiden Logik-Kanäle weiterzuleiten.The invention is based on the idea that the output element with the Security element is connected in a signal-conducting manner by means of at least one first line, and the first line is provided to transmit at least one diagnostic signal from the output element to the security element, the security element being provided to transmit the diagnostic signal via the second coupling element to at least one of the two logic Forward channels.

Der Vorteil der erfindungsgemaßen Sicherheitsanordnung besteht darin, dass samtliche Diagnosesignale über das Sicherheitselement und deren Kopplungselement bzw. galvanisches Trennelement geführt werden. Aufgrund nicht mehr benötigter weiterer Kopplungselemente wird erheblicher Bauraum eingespart. Je mehr Diagnosesignale bzw. entsprechende erste Leitungen zu dem Sicherheitselement gefuhrt werden, desto größer wirkt sich dieser Vorteil aus. Gleichzeitig sind aufgrund der Verwendung eines bereits vorhandenen Bauelements, hier konkret des Sicherheitselements, keine neuen Bauelemente, wie zum Beispiel zusätzliche Wandler bzw. Umsetzer, notwendig, was zu deutlich geringeren Herstellungsaufwänden und -kosten führt.The advantage of the safety arrangement according to the invention is that all diagnostic signals are routed via the safety element and its coupling element or galvanic isolating element. Considerable installation space is saved due to the fact that further coupling elements are no longer required. The more diagnostic signals or corresponding first lines are routed to the security element, the greater the effect of this advantage. At the same time, due to the use of an already existing component, specifically the security element in this case, no new components, such as additional converters or converters, are necessary, which leads to significantly lower production outlay and costs.

Die Logik-Kanäle sind erfindungsgemäß vorteilhaft jeweils mittels eines eigenen Gleichspannungswandlers bzw. DC-DC-Wandlers mit der ersten Spannungsversorgung verbunden. Dabei liegt an der ersten Spannungsversorgung bevorzugt eine Spannung von 24 Volt an, welche mittels mindestens eines Gleichspannungswandlers in eine geeignete Versorgungspannung für die angeschlossenen Baugruppen, insbesondere die Logik-Kanäle, beispielsweise in eine Spannung von 3,3 Volt, gewandelt wird.According to the invention, the logic channels are advantageously each connected to the first voltage supply by means of their own DC voltage converter or DC-DC converter. A voltage of 24 volts is preferably applied to the first voltage supply, which is converted into a suitable supply voltage for the connected modules, in particular the logic channels, for example into a voltage of 3.3 volts, by means of at least one DC voltage converter.

Die Logik-Kanäle sind vorzugsweise jeweils als ein Mikrocontroller oder eine im Feld programmierbare Gatter-Anordnung ausgebildet. Der Mikrocontroller ist ein Halbleiterchip mit Prozessor und Peripheriefunktionen. Die im Feld programmierbare Gatter-Anordnung bzw. das Field Programmable Gate Array, kurz FPGA, ist ein integrierter Schaltkreis der Digitaltechnik, in welchen eine logische Schaltung geladen werden kann.The logic channels are preferably each designed as a microcontroller or a gate arrangement that can be programmed in the field. The microcontroller is a semiconductor chip with a processor and peripheral functions. The field programmable gate arrangement or the field programmable gate array, FPGA for short, is an integrated circuit of digital technology into which a logic circuit can be loaded.

Das Fehlersignal, welches von dem Sicherheitselement empfangbar ist, enthält bevorzugt eine Ausschaltanforderung oder die Information über einen Ausfall eines Logik-Kanals. Die Information über den Ausfall eines Logik-Kanals kann auch darin bestehen, dass von dem betreffenden Logik-Kanal keine oder erkennbar fehlerhafte Signale gesendet werden. Somit kann es sich beim Fehlersignal im Sinne dieser Erfindung auch um das Ausbleiben eines im Nicht-Fehlerfall erwarteten Signals handeln.The error signal, which can be received by the security element, preferably contains a switch-off request or the information about a failure of a logic channel. The information about the failure of a logic channel can also consist in the fact that the logic channel in question does not transmit any signals or signals that are recognizably faulty. Thus, in the context of this invention, the error signal can also be the absence of a signal expected in the event of a non-error.

Nach einer bevorzugten Ausführungsform ist das Sicherheitselement als ein dritter Logik-Kanal ausgebildet. Dabei ist der dritte Logik-Kanal vorzugsweise als ein Mikrocontroller oder ein FPGA ausgebildet. Derartige Ausbildungen von Logik-Kanälen wurden oben bereits beschrieben.According to a preferred embodiment, the security element is designed as a third logic channel. The third logic channel is preferably designed as a microcontroller or an FPGA. Such designs of logic channels have already been described above.

Nach einer besonders bevorzugten Ausfuhrungsform ist das Sicherheitselement als eine Fail-Safe-Einheit ausgebildet. Die Fail-Safe-Einheit bzw. Fail-Safe-Unit, kurz FSU, reagiert im Fall eines Fehlers in den Logikeinheiten 1 und 2, um einen Schaden in einer oder durch eine Maschine oder Anlage zu verhindern. Insbesondere kommt der FSU die Aufgabe zu, bei gleichartigen Fehlern in den Logikeinheiten 1 und 2, die dazu führen können, dass die Logikeinheiten 1 und 2 nicht mehr in der Lage sind, sich gegenseitig zu überwachen, den sicheren Zustand herbeizuführen. Die FSU, mittels derer die Sicherheitsanordnung in eine hohe Sicherheitskategorie nach DIN EN 13849-1 einzuordnen ist, kann dabei selbst als ein Mikrocontroller ausgebildet sein. Ein Vorteil bei einer Verwendung der FSU liegt in einer schnelleren Reaktionszeit der Sicherheitsanordnung auf Ereignisse bzw. Diagnosesignale, da diese zumindest teilweise direkt in der FSU verarbeitet werden können und somit nicht immer zu dem ersten und/oder zweiten Logik-Kanal überführt werden müssen. Zudem ist die FSU updatefähig, das heißt neue Funktionen können auch später per Softwareupdate nachgeliefert werden. Die gesamte Sicherheitsanordnung wird somit in ihrer Verwendung bzw. Anwendungsbreite flexibler.According to a particularly preferred embodiment, the security element is designed as a fail-safe unit. The fail-safe unit or fail-safe unit, FSU for short, reacts in the event of an error in logic units 1 and 2 in order to prevent damage to or from a machine or system. In particular, the FSU has the task of bringing about the safe state in the event of errors of the same type in logic units 1 and 2, which can lead to logic units 1 and 2 no longer being able to monitor each other. The FSU, by means of which the safety arrangement in a high safety category DIN EN 13849-1 is classified, can itself be designed as a microcontroller. One advantage of using the FSU is the faster response time of the safety arrangement to events or diagnostic signals, since these can at least partially be processed directly in the FSU and therefore do not always have to be transferred to the first and / or second logic channel. In addition, the FSU can be updated, which means that new functions can also be delivered later via software updates. The entire safety arrangement is thus more flexible in terms of its use or range of applications.

An dieser Stelle soll noch erwähnt werden, dass die FSU intern einkanalig sein kann und somit selbst nicht zwingend sicher sein muss. Die gilt im Übrigen grundsätzlich für jede Ausgestaltung des Sicherheitselements, welches für sich genommen nicht sicher sein muss und keine Sicherheitsnorm erfüllen muss. Stattdessen kann das Sicherheitselement ein normaler bzw. einfacher Bestandteil des gesamten Sicherheitskonzepts bzw. der Sicherheitsanordnung sein.At this point it should be mentioned that the FSU can be single-channel internally and therefore does not necessarily have to be secure itself. Incidentally, this applies in principle to every configuration of the security element, which in itself does not have to be secure and does not have to meet a security standard. Instead, the security element can be a normal or simple component of the overall security concept or security arrangement.

Gemäß einer weiteren bevorzugten Ausführungsform ist das Diagnosesignal zu Datenübertragung für eine Spannungsdiagnose, eine Schaltfahigkeitsdiagnose, eine Strommessung oder eine Temperaturmessung vorgesehen. Wie bereits erwähnt, wird jedes Diagnosesignal entsprechend einer Zuordnung zu einer bestimmten Diagnose bzw. Messung über eine eigene erste Leitung zu dem Sicherheitselement geführt. Somit ist die Sicherheitsanordnung beispielsweise in einer Ausführungsform möglich, bei welcher vier erste Leitungen von dem Ausgangselement zu dem Sicherheitselement führend angeordnet und zum Übertragen von Diagnosesignalen für die Spannungsdiagnose, die Schaltfähigkeitsdiagnose, die Strommessung und die Temperaturmessung vorgesehen sind.According to a further preferred embodiment, the diagnostic signal for data transmission is provided for a voltage diagnosis, a switching capability diagnosis, a current measurement or a temperature measurement. As already mentioned, each diagnostic signal is routed to the security element via its own first line in accordance with an assignment to a specific diagnosis or measurement. Thus, the safety arrangement is possible, for example, in an embodiment in which four first lines are arranged leading from the output element to the safety element and are provided for transmitting diagnostic signals for voltage diagnosis, switching capability diagnosis, current measurement and temperature measurement.

Gemäß einer zusätzlichen Ausführungsform ist das Diagnosesignal zur Datenübertragung mittels eines abgesicherten Protokolls, vorzugsweise Profisafe, vorgesehen. Ein abgesichertes Protokoll gewährleistet eine sichere Kommunikation zwischen zwei oder mehreren Komponenten bzw. Bauteilen über ein besonderes Format der Nutzdaten, hier konkret der Diagnosesignale. Profisafe definiert, wie sicherheitsgerichtete Geräte, zum Beispiel Not-Aus-Taster, über einen Kommunikationsstandard, hier Profinet oder Profibus, mit Sicherheitssteuerungen so sicher kommunizieren, dass sie in sicherheitsgerichteten Automatisierungsaufgaben bis zu einem Sicherheitintegritätslevel 3 bzw. Safety Integrity Level 3, kurz SIL3, eingesetzt werden können. According to an additional embodiment, the diagnostic signal is provided for data transmission by means of a secured protocol, preferably Profisafe. A secure protocol ensures secure communication between two or more components or parts using a special format of the user data, specifically the diagnostic signals here. Profisafe defines how safety-related devices, for example emergency stop buttons, communicate with safety controllers via a communication standard, here Profinet or Profibus, in such a way that they can be used in safety-related automation tasks up to Safety Integrity Level 3 or Safety Integrity Level 3, or SIL3 for short, can be used.

Der Hauptschalter ist vorzugsweise mit den beiden Logik-Kanälen signalleitend verbunden und dazu vorgesehen, an mindestens einen von dem ersten und dem zweiten Logik-Kanal mindestens ein Rücklesesignal zu senden.The main switch is preferably connected in a signal-conducting manner to the two logic channels and is provided to send at least one readback signal to at least one of the first and second logic channels.

Darauf aufbauend und in einer möglichen Ausführungsform ist der Hauptschalter über mindestens ein drittes Kopplungselement und mittels mindestens einer zweiten Leitung mit dem ersten und dem zweiten Logik-Kanal signalleitend verbunden. Diese Verbindung ist bevorzugt unidirektional in Richtung der Logik-Kanale ausgebildet. Dabei führt der so gebildete Rücklesepfad von dem Hauptschalter vorzugsweise zunächst über eine einzelne zweite Leitung zu dem dritten Kopplungselement, und wird anschließend über zwei separate zweite Leitungen zu dem ersten und zweiten Logikkanal geführt. Auf diese Weise ist nur ein einziges drittes Kopplungselement für den Rücklesepfad notwendig. Aufgrund der unidirektional ausgebildeten Verbindung ist zudem ein einfacher gestaltetes drittes Kopplungselement einsetzbar, als bei einer bidirektionalen Verbindung. Dies führt zu Kosteneinsparungen.Building on this, and in one possible embodiment, the main switch is connected in a signal-conducting manner to the first and the second logic channel via at least one third coupling element and by means of at least one second line. This connection is preferably unidirectional in the direction of the logic channels. The readback path formed in this way leads from the main switch preferably initially via a single second line to the third coupling element, and is then led via two separate second lines to the first and second logic channel. In this way, only a single third coupling element is necessary for the readback path. Because of the unidirectional connection, a simpler third coupling element can also be used than with a bidirectional connection. This leads to cost savings.

In einer besonders vorteilhaften und zu der vorhergehenden alternativen Ausführungsform ist der Hauptschalter mittels mindestens einer zweiten Leitung mit dem Sicherheitselement verbunden und die zweite Leitung dazu vorgesehen, das Rücklesesignal von dem Hauptschalter an das Sicherheitselement zu übertragen, wobei das Sicherheitselement dazu vorgesehen ist, das Rücklesesignal über das zweite Kopplungselement an mindestens einen von dem ersten und dem zweiten Logik-Kanal weiterzuleiten. Der Rücklesepfad wird also über das mit dem ersten und zweiten Logik-Kanal kommunizierende Sicherheitselement geführt, wodurch das zuvor beschriebene dritte Kopplungselement ebenfalls eingespart werden kann. Dies führt zu einer zusätzlichen Platz- und Kostenersparnis.In a particularly advantageous and alternative embodiment to the previous embodiment, the main switch is connected to the security element by means of at least one second line and the second line is provided to transmit the readback signal from the main switch to the security element, the security element being provided to transmit the readback signal via forward the second coupling element to at least one of the first and second logic channels. The read-back path is therefore guided via the security element communicating with the first and second logic channel, whereby the third coupling element described above can also be saved. This leads to additional space and cost savings.

Nach einer weiteren Ausführungsform weisen die Kopplungselemente jeweils mindestens ein galvanisches Trennelement auf. Zum besseren Verständnis soll an dieser Stelle kurz allgemein auf die Thematik galvanische Trennung, auch galvanische Entkopplung genannt, eingegangen werden. Hierbei ist grundsätzlich das Vermeiden einer elektrischen Leitung zwischen zwei Stromkreisen gemeint, zwischen denen Leistung oder Signale ausgetauscht werden sollen. Die elektrische Leitung wird dabei durch elektrisch nicht leitfähige Kopplungsglieder bzw. galvanische Trennelemente aufgetrennt.According to a further embodiment, the coupling elements each have at least one galvanic isolating element. For a better understanding, the topic of galvanic isolation, also called galvanic decoupling, should be briefly discussed at this point. This basically means avoiding electrical conduction between two circuits between which power or signals are to be exchanged. The electrical line is separated by electrically non-conductive coupling elements or galvanic separating elements.

In einer weiteren Ausführungsform ist mindestens eines der Kopplungselemente mit einem induktiven oder kapazitiven Übertrager ausgebildet. Bei einem solchen Übertrager handelt es sich ebenfalls um ein galvanisches Trennelement. Ein induktiver Übertrager ist beispielsweise ein Transformator. Ein kapazitiver Übertrager ist zum Beispiel ein Kondensator. Des Weiteren ist auch ein Relais als Übertrager einsetzbar, welches aufgrund seines hohen Isolationswiderstands und seiner hohen Sperrspannung der Schaltstrecke für eine sichere galvanische Trennung geeignet ist. Entsprechend ist gemäß einer weiteren bevorzugten Ausführungsform mindestens eines der Kopplungselemente mit einem Kondensator, Transformator oder Relais ausgebildet.In a further embodiment, at least one of the coupling elements is designed with an inductive or capacitive transformer. Such a transformer is also a galvanic isolating element. An inductive transmitter is a transformer, for example. A capacitive transformer is, for example, a capacitor. Furthermore, a relay can also be used as a transformer, which is suitable for safe galvanic isolation due to its high insulation resistance and high blocking voltage of the switching path. Correspondingly, according to a further preferred embodiment, at least one of the coupling elements is designed with a capacitor, transformer or relay.

In einer besonders bevorzugten Ausfuhrungsform ist mindestens eines der Kopplungselemente mit einem optischen Übertrager, vorzugsweise einem Optokoppler, ausgebildet. Bei einem solchen Übertrager handelt es sich ebenfalls um ein galvanisches Trennelement. Optokoppler sind grundsätzlich Bauelemente der Optoelektronik zur Übertragung eines Signals, hier des Diagnosesignals, zwischen zwei galvanisch getrennten Stromkreisen. Er besteht üblicherweise aus einer Leuchtdiode, kurz LED, oder einer Laserdiode, kurz LD, als optischem Sender und einer Fotodiode oder einem Fototransistor als optischem Empfänger. Das Sende- und das Empfängerbauelement sind dabei untereinander optisch gekoppelt in einem von außen lichtundurchlässigen Gehäuse untergebracht.In a particularly preferred embodiment, at least one of the coupling elements is designed with an optical transmitter, preferably an optocoupler. Such a transformer is also a galvanic isolating element. Optocouplers are basically components of optoelectronics for the transmission of a signal, here the diagnostic signal, between two galvanically separated circuits. It usually consists of a light-emitting diode, for short LED, or a laser diode, for short LD, as an optical transmitter and a photodiode or a phototransistor as an optical receiver. The transmitter and receiver components are optically coupled to one another and housed in a housing that is opaque from the outside.

In einer weiteren bevorzugten Ausführungsform ist das Ausgangselement von dem ersten und dem zweiten Logik-Kanal unidirektional ansteuerbar. Die Logik-Kanäle steuern dabei konkret ein in das Ausgangselement integriertes Power-Modul, kurz PM, an. Wie bereits erwähnt, sind die in der Eingangs-Schaltung angeordneten Logik-Kanäle mit dem in der Ausgangs-Schaltung angeordneten Ausgangselement über mindestens ein erstes Kopplungselement verbunden. Eine solche direkte Verbindung anstelle einer möglichen Verbindung über das Sicherheitselement ist notwendig, um eine sicherheitsrelevante Zweikanaligkeit der Sicherheitsanordnung zu gewährleisten. Aufgrund der unidirektionalen Ansteuerung ist aber eine einfachere Gestaltung des ersten Kopplungselements möglich, also beispielsweise bei einer bidirektionalen Verbindung. Dadurch werden Kosten eingespart.In a further preferred embodiment, the output element can be activated unidirectionally by the first and the second logic channel. The logic channels specifically control a power module, or PM for short, that is integrated into the output element. As already mentioned, the logic channels arranged in the input circuit are connected to the output element arranged in the output circuit via at least one first coupling element. Such a direct connection instead of a possible connection via the security element is necessary in order to ensure a security-relevant two-channel structure of the security arrangement. Due to the unidirectional control, however, a simpler design of the first coupling element is possible, ie for example with a bidirectional connection. This saves costs.

Bevorzugt ist der Hauptschalter von dem Sicherheitselement unidirektional ansteuerbar. Es besteht also eine unidirektionale Verbindung ausgehend vom Sicherheitselement in Richtung des Hauptschalters.The main switch can preferably be activated unidirectionally by the security element. There is therefore a unidirectional connection starting from the safety element in the direction of the main switch.

Erfindungsgemäß vorteilhaft sind das Sicherheitselement mit dem ersten und dem zweiten Logik-Kanal jeweils bidirektional signalleitend verbunden, sowie der erste mit dem zweiten Logik-Kanal bidirektional signalleitend verbunden. Dadurch ist ein umfassender und effizienter Datenaustausch zwischen diesen drei Komponenten gewährleistet. Zwischen dem ersten und dem zweiten Logik-Kanal erfolgt dabei eine sogenannte Interprozesskommunikation bzw. Interprocess Communication, kurz IPC. Dabei erfolgt ein Informationsaustausch zwischen verschiedenen Prozessen eines Systems, hier konkret zwischen den Prozessen der ersten und zweiten Logik-Kanale innerhalb der Eingangs-Schaltung der Sicherheitsanordnung.According to the invention, the security element is advantageously connected to the first and the second logic channel in a bidirectional signal-conducting manner, and the first is connected to the second logic channel in a bidirectional signal-conducting manner. This ensures a comprehensive and efficient exchange of data between these three components. So-called interprocess communication or interprocess communication, or IPC for short, takes place between the first and the second logic channel. An exchange of information takes place between different processes of a system, in this case specifically between the processes of the first and second logic channels within the input circuit of the safety arrangement.

Ein Ausführungsbeispiel der Erfindung ist in der Zeichnung dargestellt und wird im Folgenden näher beschrieben.An embodiment of the invention is shown in the drawing and is described in more detail below.

Es zeigt:

1 eine schematische Darstellung einer erfindungsgemäßen Sicherheitsanordnung.

It shows:

1 a schematic representation of a safety arrangement according to the invention.

Die 1 zeigt eine erfindungsgemäße Sicherheitsanordnung 100 mit einer Eingangs-Schaltung 110 und einer Ausgangs-Schaltung 120. Die beiden Schaltungen 110, 120 sind galvanisch voneinander getrennt, hier dargestellt durch einen zwischen den Schaltungen angeordneten Streifen 130. Die Pfeile in 1 stellen grundsätzlich elektrische Leitungsverbindungen zwischen den Komponenten der Sicherheitsanordnung 100 dar. Hier wird zwischen Spannungsversorgungsleitungen und Signalleitungen unterschieden. Spannungsversorgungsleitungen sind mittels dickerer Pfeillinien und Signalleitungen mittels schmalerer Pfeillinien gekennzeichnet.The 1 shows a safety arrangement according to the invention 100 with an input circuit 110 and an output circuit 120 . The two circuits 110 , 120 are galvanically separated from each other, shown here by a strip arranged between the circuits 130 . The arrows in 1 basically provide electrical line connections between the components of the safety arrangement 100 A distinction is made here between power supply lines and signal lines. Power supply lines are marked with thicker arrow lines and signal lines with narrower arrow lines.

In der Eingangs-Schaltung 110 sind sechs Komponenten schematisch in Form von Rechtecken abgebildet. Das obere bzw. breiteste Rechteck innerhalb der Eingangs-Schaltung 110 stellt eine erste Spannungsversorgung 140 dar. Diese erste Spannungsversorgung 140 ist mit einem ersten Gleichspannungswandler 150, einem zweiten Gleichspannungswandler 160 und einem Eingangselement 170 verbunden. Das Eingangselement 170 ist hier mit dem Signalausgang eines Sensors, der ein Eingangssignal 300 liefert, verbunden. Dabei erfasst das Eingangselement 170 insbesondere Spannungen oder Ströme, die einen Sensorwert repräsentieren können. Des Weiteren ist der erste Gleichspannungswandler 150 mit einem erste Logik-Kanal 180 und der zweite Gleichspannungswandler 160 mit einem zweiten Logik-Kanal 190 verbunden. Die beiden Logik-Kanäle 180, 190 sind bidirektional miteinander verbunden, hier mittels eines Doppelpfeils gekennzeichnet. Zudem ist das Eingangselement 170 sowohl mit dem ersten Logik-Kanal 180 als auch mit dem zweiten Logik-Kanal 190 jeweils unidirektional signalleitend verbunden.In the input circuit 110 six components are shown schematically in the form of rectangles. The upper or widest rectangle within the input circuit 110 provides a first power supply 140 This first power supply 140 is with a first DC / DC converter 150 , a second DC / DC converter 160 and an input element 170 connected. The input element 170 is here with the signal output of a sensor, which is an input signal 300 supplies, connected. The input element captures 170 in particular voltages or currents that can represent a sensor value. Furthermore is the first DC / DC converter 150 with a first logic channel 180 and the second DC / DC converter 160 with a second logic channel 190 connected. The two logic channels 180 , 190 are bidirectionally connected to each other, here marked with a double arrow. In addition, is the input element 170 both with the first logic channel 180 as well as with the second logic channel 190 each unidirectional connected to conduct signals.

Die Ausgangs-Schaltung 120 beinhaltet fünf Komponenten, welche ebenfalls schematisch in Form von Rechtecken abgebildet sind. Das obere bzw. breiteste Rechteck innerhalb der Ausgangs-Schaltung 120 stellt eine zweite Spannungsversorgung 200 dar. Die zweite Spannungsversorgung 200 ist mit einem Hauptschalter 210 und einem dritten Gleichspannungswandler 220 verbunden. Der Hauptschalter 210 ist zudem mit einem Ausgangselement 230 verbunden. Der dritte Gleichspannungswandler 220 ist sowohl mit einem Sicherheitselement 240, als auch mit dem Hauptschalter 210 und dem Ausgangselement 230 verbunden. Außerdem ist das Ausgangselement 230 signalleitend mit dem Sicherheitselement 240, und dieses wiederum signalleitend mit dem Hauptschalter 210 verbinden.The output circuit 120 contains five components, which are also shown schematically in the form of rectangles. The upper or widest rectangle within the output circuit 120 provides a second power supply 200 The second power supply 200 is with a main switch 210 and a third DC / DC converter 220 connected. The main switch 210 is also with an output element 230 connected. The third DC / DC converter 220 is both with a security element 240 , as well as with the main switch 210 and the output element 230 connected. Also is the starting element 230 signal-conducting with the security element 240 , and this in turn conducts signals with the main switch 210 connect.

Wie bereits erwähnt, gibt es zwischen den beiden Schaltungen 110, 120 der Sicherheitsanordnung 100 die galvanische Trennung 130 und somit keine elektrische Leitungsverbindung. Dennoch sind die beiden Schaltungen 110, 120 funktional miteinander gekoppelt, wie die Pfeile zwischen Komponenten der Eingangs-Schaltung 110 und der Ausgangs-Schaltung 120 und umgekehrt verdeutlichen. So stellen die Punkte, an denen die Pfeile bzw. Signalleitungen die galvanische Trennung 130 kreuzen, jeweils sogenannte Kopplungselemente 250, 260, 270 dar. Dabei sind die Logik-Kanäle 180, 190 mit dem Ausgangselement 230 über erste Kopplungselemente 250, mit dem Sicherheitselement 240 über zweite Kopplungselemente 260 und mit dem Hauptschalter 210 über ein drittes Kopplungselement 270 verbunden.As mentioned earlier, there is between the two circuits 110 , 120 the safety arrangement 100 galvanic isolation 130 and therefore no electrical line connection. Still, the two circuits are 110 , 120 functionally coupled with one another, like the arrows between components of the input circuit 110 and the output circuit 120 and vice versa. So represent the points at which the arrows or signal lines provide galvanic isolation 130 cross, each so-called coupling elements 250 , 260 , 270 Here are the logic channels 180 , 190 with the output element 230 via first coupling elements 250 , with the security element 240 via second coupling elements 260 and with the main switch 210 via a third coupling element 270 connected.

Zu Beschreibungszwecken sind hier die Signalleitungen bzw. dünneren Pfeile zwischen dem Ausgangselement 230 und dem Sicherheitselement 240 als erste Leitungen 280, und die Signalleitungen zwischen dem Hauptschalter 210 und den Logik-Kanälen 180, 190 als zweite Leitungen 290 bezeichnet.For descriptive purposes, the signal lines or thinner arrows between the output element are here 230 and the security element 240 as the first lines 280 , and the signal lines between the main switch 210 and the logic channels 180 , 190 as second lines 290 designated.

Im Betrieb der Sicherheitsanordnung 100 wird dem Eingangselement 170 in der Eingangs-Schaltung 110 ein Eingangssignal 300 zugeführt und anschließend in den Logik-Kanälen 180 und 190 ausgewertet. Je nach dem Ergebnis dieser Auswertung kann das Ausgangselement 230 das Ausgangssignal 310 sicher abschalten. Das Eingangssignal 300 ist mit einem neben dem Eingangselement 170 und mit diesem verbundenen Punkt dargestellt. In ähnlicher Weise ist das Ausgangssignal 310 mit einem neben dem Ausgangselement 230 und mit diesem verbundenen Punkt dargestellt.In operation of the safety arrangement 100 becomes the input element 170 in the input circuit 110 an input signal 300 and then in the logic channels 180 and 190 evaluated. Depending on the result of this evaluation, the output element 230 the output signal 310 switch off safely. The input signal 300 is with one next to the input element 170 and shown with this point connected. The output signal is similar 310 with one next to the starting element 230 and shown with this point connected.

Ein zentrales Merkmal der Erfindung besteht darin, dass das Ausgangselement 230 mit dem Sicherheitselement 240 mittels der ersten Leitungen 280 signalleitend verbunden ist. Dabei sind die ersten Leitungen 280 dazu vorgesehen, jeweils ein Diagnosesignal, hier als Rechteck in dem Ausgangselement 230 dargestellt, von dem Ausgangselement 230 an das Sicherheitselement 240 zu übertragen. Das Sicherheitselement 240 sorgt dafür, dass die Diagnosesignale über das zweite Kopplungselement 260 an die beiden Logik-Kanäle 180, 190 weitergeleitet werden. Somit wird nicht für jedes Diagnosesignal ein eigenes bzw. separates Kopplungselement benötigt.A central feature of the invention is that the output element 230 with the security element 240 by means of the first lines 280 is conductively connected. Here are the first lines 280 provided for this purpose, in each case a diagnostic signal, here as a rectangle in the output element 230 shown, from the output element 230 to the security element 240 transferred to. The security element 240 ensures that the diagnostic signals via the second coupling element 260 to the two logic channels 180 , 190 to get redirected. Thus, a separate or separate coupling element is not required for each diagnostic signal.

In einer weiteren - hier nicht gezeigten - Ausführungsform wird die zweite Leitung 290 bzw. ein von dem Hauptschalter 210 abgehendes Rücklesesignal nicht über das dritte Kopplungselement 270, sondern über das Sicherheitselement 240 gefuhrt und dann über die zweiten Kopplungselemente 260 an die Logik-Kanäle 180, 190 weitergeleitet. Dadurch kann das dritte Kopplungselement ebenfalls eingespart werden.In a further embodiment - not shown here - the second line 290 or one from the main switch 210 outgoing readback signal not via the third coupling element 270 , but about the security element 240 guided and then via the second coupling elements 260 to the logic channels 180 , 190 forwarded. As a result, the third coupling element can also be saved.

Alle in Verbindung mit einzelnen Ausführungsformen der Erfindung erläuterten und gezeigten Merkmale können in unterschiedlicher Kombination in dem erfindungsgemäßen Gegenstand vorgesehen sein, um gleichzeitig deren vorteilhafte Wirkungen zu realisieren.All the features explained and shown in connection with individual embodiments of the invention can be provided in different combinations in the subject matter of the invention in order to simultaneously realize their advantageous effects.

Der Schutzbereich der vorliegenden Erfindung ist durch die Ansprüche gegeben und wird durch die in der Beschreibung erläuterten oder den Figuren gezeigten Merkmale nicht beschränkt.The scope of protection of the present invention is given by the claims and is not restricted by the features explained in the description or shown in the figures.

BezugszeichenlisteList of reference symbols

100100: SicherheitsanordnungSafety order
110110: Eingangs-SchaltungInput circuit
120120: Ausgangs-SchaltungOutput circuit
130130: galvanische Trennunggalvanic isolation
140140: erste Spannungsversorgungfirst power supply
150150: erster Gleichspannungswandlerfirst DC voltage converter
160160: zweiter Gleichspannungswandlersecond DC / DC converter
170170: EingangselementInput element
180180: erster Logik-Kanalfirst logic channel
190190: zweiter Logik-Kanalsecond logic channel
200200: zweite Spannungsversorgungsecond power supply
210210: HauptschalterMain switch
220220: dritter Gleichspannungswandlerthird DC converter
230230: AusgangselementOutput element
240240: SicherheitselementSecurity element
250250: erstes Kopplungselementfirst coupling element
260260: zweites Kopplungselementsecond coupling element
270270: drittes Kopplungselementthird coupling element
280280: erste Leitungfirst line
290290: zweite Leitungsecond line
300300: EingangssignalInput signal
310310: AusgangssignalOutput signal

Claims

Safety arrangement (100), comprising: an input circuit (110) with a first voltage supply (140) and an output circuit (120) with a second voltage supply (200), which are arranged galvanically separated from one another, a first logic channel ( 180) and a second logic channel (190), which are both arranged in the input circuit (110) and connected to one another in a signal-conducting manner, at least one input element (170) which is arranged in the input circuit (110) and with the two Logic channels (180, 190) is connected to conduct signals, at least one output element (230) which is arranged in the output circuit (120) and to the two logic channels (180, 190) conducts signals via at least one first coupling element (250) is connected, the output element (230) being controllable by the two logic channels (180, 190), a main switch (210) which is arranged in the output circuit (120) and for switching on and off a str omleitenden connection between the second voltage supply (200) and the output element (230) is provided, a security element (240) which is arranged in the output circuit (120) and connected to the two logic channels (180, 190) via at least a second Coupling element (260) and connected to the main switch (210) in a signal-conducting manner, the security element (240) being provided to cause the main switch (210) to switch off the current-conducting connection when the security element (240) of at least one of the two logic Channels (180, 190) receives an error signal, characterized in that the output element (230) is connected to the security element (240) in a signal-conducting manner by means of at least one first line (280), and the first Line (280) is provided to transmit at least one diagnostic signal from the output element (230) to the security element (240), the security element (240) being provided to transmit the diagnostic signal via the second coupling element (260) to at least one of the two Forward logic channels (180, 190).

Safety arrangement according to Claim 1 , characterized in that the security element (240) is designed as a third logic channel.

Safety arrangement according to Claim 1 or 2 , characterized in that the security element (240) is designed as a fail-safe unit.

Safety arrangement according to one of the preceding claims, characterized in that the diagnostic signal is provided for data transmission for a voltage diagnosis, a switching capability diagnosis, a current measurement or a temperature measurement.

Safety arrangement according to one of the preceding claims, characterized in that the diagnostic signal is provided for data transmission by means of a secured protocol, preferably Profisafe.

Safety arrangement according to one of the preceding claims, characterized in that the main switch (210) is connected to the two logic channels (180, 190) in a signal-conducting manner and is provided to be connected to at least one of the first and second logic channels (180, 190 ) to send at least one readback signal.

Safety arrangement according to Claim 6 , characterized in that the main switch (210) is connected in a signal-conducting manner to the first and second logic channels (180, 190) via at least one third coupling element (270) and by means of at least one second line (290).

Safety arrangement according to Claim 6 , characterized in that the main switch (210) is connected to the security element (240) by means of at least one second line (290), and the second line (290) is provided to transmit the readback signal from the main switch (210) to the security element ( 240), the security element (240) being provided to forward the readback signal via the second coupling element (260) to at least one of the first and the second logic channel (180, 190).

Safety arrangement according to one of the preceding claims, characterized in that the coupling elements (250, 260, 270) each have at least one galvanic isolating element.

Safety arrangement according to one of the preceding claims, characterized in that at least one of the coupling elements (250, 260, 270) is designed with an inductive or capacitive transformer.

Safety arrangement according to one of the preceding claims, characterized in that at least one of the coupling elements (250, 260, 270) is designed with a capacitor, transformer or relay.

Safety arrangement according to one of the preceding claims, characterized in that at least one of the coupling elements (250, 260, 270) is designed with an optical transmitter, preferably an optocoupler.

Safety arrangement according to one of the preceding claims, characterized in that the output element (230) can be activated unidirectionally by the first and second logic channels (180, 190).

Safety arrangement according to one of the preceding claims, characterized in that the main switch (210) can be activated unidirectionally by the safety element (240).

Safety arrangement according to one of the preceding claims, characterized in that the security element (240) is bidirectionally connected to the first and second logic channel (180, 190) and the first is bidirectionally connected to the second logic channel (180, 190) is conductively connected.