DE3920791A1

DE3920791A1 - Safety circuit for proximity sensor - has duplicated processing arrangement to identify fault in sensor unit

Info

Publication number: DE3920791A1
Application number: DE19893920791
Authority: DE
Inventors: Thomas Dipl Ing Walter
Original assignee: Elan Schaltelemente GmbH and Co KG
Current assignee: Elan Schaltelemente GmbH and Co KG
Priority date: 1989-06-26
Filing date: 1989-06-26
Publication date: 1991-01-10
Also published as: FR2648903A1; FR2648903B1

Abstract

As non-contact proximity switch is used in detecting when a movable part is near to a fixed part, eg. door near to frame. In order to eliminate faults in sensing, a pair of test signal operators (7,8) providing the same outputs is used to provide a summed input (5) to the sensor (S) to the sensor (S). The output of inductive sensor is monitored (11) and is supplied to computer stages (12,13) that checks the signals against the original signal generator outputs. A logic circuit (14,15) interprets the results to identify any fault condition. USE/ADVANTAGE - Distinguishes between sensor fault and system condition. Protecting machine operator or dangerous area.

Description

Die Erfindung bezieht sich auf eine Sicherheitseinrichtung mit mindestens einem berührungslosen Geber zur Erfassung von mechanischen Bewegungsabläufen einer Vorrichtung.The invention relates to a safety device at least one contactless sensor for the detection of mechanical movements of a device.

Bei Maschinen und Anlagen, in denen für Leib und Leben der an diesen Maschinen arbeitenden Menschen Gefahren entstehen können, werden besondere Sicherheitsmaßnahmen getroffen. Mechanische Bewegungsabläufe in diesen Maschinen oder Vorrich tungen werden z.B. mit Gebern überwacht, die häufig berührungslos arbeiten. An die auf solchen Gebern beruhenden Sicherheitseinrichtungen werden besondere Anforderungen für dort auftretende Fehler gestellt, die bewirken sollen, daß bei jedem denkbaren (Einzel-) Fehler die Maschine in einen sicheren Zustand (in der Regel durch Abschalten) gebracht wird. Arbeits abläufe bzw. Schaltvorgänge an den Maschinen und Anlagen werden durch Geber bzw. Sensoren ausgelöst, z.B. von Grenz schaltern oder Näherungsschaltern, die deshalb ebenfalls ein spezifiziertes Ausfallverhalten aufweisen müssen. For machines and systems in which the life and limb of others hazards arise for these people special security measures are taken. Mechanical movements in these machines or jigs are e.g. monitored with donors that frequently work without contact. To those based on such donors Security devices will have special requirements for there appearing errors, which should cause that at every conceivable (individual) error the machine in a safe Condition (usually by switching off) is brought. Working processes or switching operations on the machines and systems are triggered by sensors or sensors, e.g. from border switches or proximity switches, which are therefore also on must have specified failure behavior.

Die vorliegende Erfindung betrifft Sicherheitsschalter (z.B. Näherungsschalter), die zur Betätigung keine Kraft oder Berüh rung erfordern und verschleißärmer sind.The present invention relates to safety switches (e.g. Proximity switch) that do not require any force or contact to be actuated require less wear and tear.

Es ist bekannt, daß durch redundante Auslegung eine Fehlersi cherheit erreicht werden kann. Übertragen auf einen elektro nischen Sicherheitsschalter bedeutet das, daß man die Ausgangs signale zweier der gleichen Meßgröße ausgesetzter Sensoren miteinander vergleicht, was wieder mit einem sicheren (redun danten) Vergleicher erfolgt. Ebenfalls ist bekannt, daß Fehler durch ständige Testung des Sensors festgestellt werden können, wobei der Tester wiederum vom Ausfall sicher sein muß. Die erste Lösung hat den Nachteil, daß jeder Sensor eine vollständige Auswerteelektronik und entsprechenden Raum benötigt, wobei sich gleichartige Sensoren möglicherweise gegenseitig stören. Außerdem besitzen konventionelle Sensoren keine ausreichende Selektivität gegenüber einem Betätigungselement (z.B. reagieren induktive Näherungssensoren auf die meisten Metalle). Bei der zweiten Lösung wird das Problem der Sicherheit nur auf die Testeinrich tung verschoben, die zudem zum vollen Test des Sensors die Meßgröße erzeugen können muß (z.B. den Abstand eines Gegen stücks beeinflussen).It is known that an error i security can be achieved. Transferred to an electro African safety switch it means that the output signals from two sensors exposed to the same measured variable compares with each other what again with a safe (redun danten) comparator. It is also known that errors can be determined by constant testing of the sensor, the tester, in turn, must be safe from failure. The first Solution has the disadvantage that each sensor is a complete one Evaluation electronics and corresponding space is required similar sensors may interfere with each other. Furthermore conventional sensors do not have sufficient selectivity compared to an actuator (e.g. react inductive Proximity sensors on most metals). The second Solving the security problem only on the test facility tion postponed, which in addition to the full test of the sensor Must be able to generate a measured variable (e.g. the distance of a counterpart influence)).

Der Erfindung liegt die Aufgabe zugrunde, eine Sicherheitsein richtung mit mindestens einem berührungslosen Geber zur Erfas sung von mechanischen Bewegungsabläufen einer Vorrichtung zu entwickeln, die besonders hohen sicherheitstechnischen Anforde rungen genügt und sowohl einen Fehler im Geber und den zum Geber verlegten Leitungen als auch in der Sicherheitseinrichtung selbst feststellen kann.The invention has for its object a security direction with at least one non-contact sensor for detection solution of mechanical movement sequences of a device develop the particularly high safety requirements suffices and both an error in the encoder and the Encoder installed cables as well as in the safety device can determine yourself.

Die Aufgabe wird erfindungsgemäß dadurch gelöst, daß von mindestens zwei unabhängig voneinander arbeitenden Sicherheits schaltungsteilen einem Eingang eines Gebers, der ein Übertra gungsverhalten zwischen mindestens dem einen Eingang und mindestens einem Ausgang für Signale aufweist, je ein Signal zugeführt wird, daß das Signal am Ausgang des Gebers von beiden Sicherheitsschaltungsteilen für sich mit dem Signal am Eingang geprüft und mit dem Prüfergebnis des jeweils anderen Sicherheitsschaltungsteils verglichen wird und daß bei Nichtüber einstimmung eine Fehlermeldung erzeugt wird.The object is achieved in that at least two independently working security circuit parts an input of an encoder, which is a transfer behavior between at least one input and has at least one output for signals, one signal each is supplied that the signal at the output of the encoder from two safety circuit parts for themselves with the signal on Received checked and with the test result of the other Safety circuit part is compared and that when not an error message is generated.

Die Erfindung beruht auf dem Prinzip, daß alle Komponenten der Sicherheitsschaltung, deren Ausfallsicherheit gefordert wird, redundant aufgebaut werden, also Komponenten zur Erzeugung einer Testfunktion, zur Prüfung des Vorhandenseins der Test funktion, zur Prüfung der Übertragungsfunktion des Gebers und zur Zusammenfassung der Prüfergebnisse vorhanden sein müssen. Gegebenenfalls kommt die Zusammenfassung der Schaltsignale mehrerer Geber hinzu, die ebenfalls sicher (redundant) erfolgt. Die gesamt redundant ausgeführte Sicherheitsschaltung wird dann vorzugsweise in zwei funktional identischen integrierten Schal tungen zusammengefaßt, die je einen von jedem doppelt benötigten Funktionsblock enthalten. Die beiden Sicherheitsschaltungsteile überprüfen den selben Geber bzw. Aufnehmer.The invention is based on the principle that all components of the Safety circuit whose reliability is required, redundant, i.e. components for generation a test function to check the existence of the test function, for checking the transfer function of the encoder and to summarize the test results must be available. If necessary, there is a summary of the switching signals several encoders, which is also safe (redundant). The overall redundant safety circuit is then preferably in two functionally identical integrated scarves summarized that each need one of each twice Function block included. The two safety circuit parts check the same encoder or transducer.

Vorzugsweise werden die von beiden Sicherheitsschaltungsteilen in den Geber eingespeisten Signale einander additiv überlagert, wobei das Signal am Ausgang des Gebers beiden Sicherheitsschal tungsteilen zugeführt wird. Insbesondere sind in den beiden Sicherheitsschaltungsteilen Filter für das vom Geber kommende Signal vorgesehen, die nur auf das richtige, eingespeiste Signal reagieren.Preferably, the two safety circuit parts in signals fed into the encoder are superimposed on one another, the signal at the output of the encoder two safety scarf tion parts is supplied. In particular, are in the two Safety circuit parts filter for that coming from the encoder Signal provided that only the correct, injected signal react.

Bei einer zweckmäßigen Ausführungsform werden dem Geber zeitlich veränderliche Signale von den Sicherheitsschaltungsteilen zugeführt, wobei der Geber bei einwandfreier Funktion die Pha senlage der eingespeisten Signale verändert. Insbesondere dreht der Geber die Phasenlage periodischer Signale um 180° bzw. 90° oder 270°. Da die in den Geber eingespeisten Signale mit dem Ausgangssignal verglichen werden, können Kurzschlüsse in oder am Geber daran erkannt werden, daß zwischen Eingangs- und Ausgangssignalen des Gebers keine Phasenverschiebung vorhan den ist. In an expedient embodiment, the donor time-varying signals from the safety circuit parts fed, with the encoder the Pha The position of the signals fed in changed. In particular turns the encoder the phase position of periodic signals by 180 ° or 90 ° or 270 °. Since the signals fed into the encoder with the Output signal can be compared, short circuits in or can be recognized on the encoder by the fact that between input and Output signals from the encoder no phase shift present that is.

Bei einer günstigen Ausführungsform enthält der Geber eine erste Spule, die mit einer abgeschirmten Induktivität in Reihe an einen Eingang gelegt ist, wobei eine weitere, mit einem Kondensator verbundene Spule des Gebers relativ zur ersten Spule beweglich angeordnet ist. Nähert man die weitere Spule der ersten, so wirken die beiden Spulen bei Unterschreitung eines Mindestab standes als Übertrager, wobei die an die Sekundärwicklung ge schaltete Kapazität einen kapazitiven Eingangswiderstand des Gebers bewirkt. Hierdurch wird eine Phasenverschiebung zwi schen Strom und Spannung erzeugt, die von der Sicherheitsschal tung überwacht wird. Wenn der Geber seine bestimmungsgemäße Überwachungsfunktion ausführt, ist eine ausreichend hohe transformatorische Kopplung zwischen den beiden Spulen vorhan den, z.B. durch einen bestimmten Mindestabstand zwischen den Spulen. Wird die Kopplung durch einen die Sicherheit einer Maschine und des Bedienungspersonals gefährdenden Vorgang unterbrochen oder hebt eine Geberstörung die Kopplung auf bzw. entfällt die Phasenverschiebung zwischen Ein- und Ausgangssi gnal, dann wird dies von der Sicherheitsschaltung erkannt.In a favorable embodiment, the transmitter contains a first one Coil connected to a shielded inductor in series Input is placed, another, with a capacitor connected coil of the encoder movable relative to the first coil is arranged. If you approach the further coil of the first one, see above the two coils act when the minimum is undershot stood as a transformer, the ge to the secondary winding switched capacitance a capacitive input resistance of the Effect. As a result, a phase shift between current and voltage generated by the safety scarf device is monitored. If the encoder does its intended work Monitoring function is a sufficiently high transformer coupling existing between the two coils the, e.g. by a certain minimum distance between the Do the washing up. If the coupling is due to the security of one Machine and the operating personnel endangering process interrupted or canceled an encoder failure or there is no phase shift between input and output si signal, then this is recognized by the safety circuit.

Bei einer zweckmäßigen Ausführungsform ist der Geber als Licht schranke ausgebildet, die bei freier Lichtübertragungsstrecke an ihrem Ausgang ein im Gegenphase zum Eingangssignal liegendes Ausgangssignal erzeugt. Dies hat den Vorteil, daß bei jeder Unterbrechung des Lichtweges wie bei auftretenden Fehlern kein Signal übertragen wird.In an expedient embodiment, the transmitter is in the form of light barrier designed to the free light transmission path their output is in phase opposition to the input signal Output signal generated. This has the advantage that with everyone No interruption of the light path like in the case of errors Signal is transmitted.

Vorteilhaft ist es auch, einen Geber mit zwei relativ zueinander mechanisch bewegbaren, transformatorisch koppelbaren Spulen an seiner sekundären Spule mit einer Lichtschranke zu verbinden, wobei die Spulen und/oder die Lichtschranke mit Mitteln zur Erzeugung der Phasenverschiebung von Eingangs- und Ausgangs signal verbunden sind. Hier wird Leistung von einer Spule in eine entfernte zweite übertragen, die eine Leuchtdiode im Takt der Ansteuerung zum Leuchten bringt, was von einem Fotoemp fänger erfaßt und ausgegeben wird. Auch hierbei ist zu errei chen, daß nur ein geeignetes Gegenstück die Phasenverschiebung hervorruft. Dabei es bei integrierten Schaltungen vorkommen kann, daß Signal oszillieren, wird die Verwendung von Schal tungen bevorzugt, die (Pseudo-) Zufallsfolgen erzeugen. Werden diese zeitlich versetzt ausgegeben, können Kurzschlüsse etc. erkannt werden.It is also advantageous to have an encoder with two relative to one another mechanically movable, transformer-connectable coils to connect its secondary coil to a light barrier, the coils and / or the light barrier with means for Generation of phase shift of input and output signal are connected. Here is power from a coil in a distant second transmit a light emitting diode in time the control lights up what is from a Fotoemp catcher is recorded and output. This can also be achieved Chen that only a suitable counterpart is the phase shift evokes. It happens with integrated circuits can that signal oscillate, the use of scarf preferred that generate (pseudo) random sequences. Will these are output at different times, can cause short circuits etc. be recognized.

Eine bevorzugt weitgehend digitale Signalverarbeitung erlaubt die Vereinfachung der Fehlerbetrachtung, wie sie bei analoger Bear beitung auch in bezug auf Bauteiledriften erforderlich wäre. So wird vorgesehen, daß Phasenverschiebungen anhand der Null durchgänge bestimmt werden. Werden die zu Testzwecken in den Aufnehmer eingespeisten Zufallsfolgen insbesondere phasenmoduliert, so kann man zur Dekodierung mit dem Träger digital demodulieren und jeweils über die Länge der Übertra gungsdauer eines Zeichens mitteln. Damit kann geprüft werden, ob das empfangene Signal mit dem Träger in Phase oder Gegen phase ist oder nicht korreliert (z.B. bei Unterbrechung). Wegen der Phasenmodulation ist auch der digitale Empfänger in die Prüfung einbezogen und so sicherheitsmäßig überwacht. In einer weiteren Stufe wird über die Anzahl empfangener Zeichen die Korrelation geprüft, um so kurzzeitige Störungen auszufiltern und ein statistisches Ausgangssignal der Prüfschaltung zu erhalten.A preferably largely digital signal processing allows Simplification of error analysis, as with analog Bear processing would also be required in relation to component drifts. So it is provided that phase shifts based on zero passages can be determined. Are the for testing purposes in the Random sequences fed in particular phase modulated, so you can decode with the carrier digitally demodulate and in each case over the length of the transmission Average duration of a character. It can be used to check whether the received signal with the carrier in phase or counter phase is or not correlated (e.g. in the event of an interruption). Because of the phase modulation is also the digital receiver in the Testing included and monitored for safety. In a Another step is the number of characters received Correlation checked in order to filter out short-term disturbances and to obtain a statistical output signal from the test circuit.

Da die Auswerteschaltung des Gebers in zwei Schaltkreisen be reits redundant realisiert ist, läßt sich darin gleichzeitig der sichere Vergleicher redundant aufbauen.Since the evaluation circuit of the encoder be in two circuits is already implemented redundantly, at the same time the Set up safe comparators redundantly.

Zusätzlich ist es günstig, für den Vergleicher jeder integrierten Schaltung und für die Nachfolgebeschaltung (z.B. Sicherheitsre lais) eine Anlauftestung in der jeweils anderen Schaltung vorzu sehen. Damit läßt sich bei jedem Anlauf ein Fehler simulieren, was im Betrieb wegen der dadurch erzwungenen Außerbetriebsetzung der Maschine nicht möglich wäre.In addition, it is cheap for the comparator everyone integrated Circuit and for the successor circuit (e.g. security re lais) a start-up test in the other circuit see. With this, an error can be simulated with every start-up in operation because of the forced decommissioning the machine would not be possible.

Ebenfalls ist es zweckmäßig, die verknüpfung der Schaltzustände mehrerer Sensoren sicher und redundant in den selben redundierten Schaltungen zu realisieren, gegebenenfalls durch vielfache Implementierung der Auswerteelektronik ergänzt. It is also useful to link the switching states several sensors safely and redundantly in the same to implement redundant circuits, if necessary by multiple implementation of the evaluation electronics added.

Das Ausgangssignal jeder integrierten Schaltung wird über antivalente Ausgänge ausgegeben (gegeneinander logisch inver tiert). Damit es zum einen möglich, Fehler der Ausgangsschaltung zu erkennen, zum anderen können aus den Ausgängen beider integrierter Schaltungen (ICs) antivalente Ausgänge der gesamten Schaltung gebildet werden, die wiederum eine sichere Signalisierung erlaufen.The output signal of each integrated circuit is over output equivalent outputs (against each other logically inverted animals). So on the one hand it is possible to fault the output circuit to recognize, on the other hand, from the exits of both integrated circuits (ICs) non-equivalent outputs of the entire Circuit are formed, which in turn is a safe Signaling run.

Durch gegenseitigen Austausch der Signale zwischen den integrierten Schaltungen ist es möglich, auch Vollausfälle einer integrierten Schaltung zu erkennen. Dabei wird vorzugsweise eine Zufallsfolge in einer integrierten Schaltung generiert und in beiden integrierten Schaltungen mit dem demodulierten Aufneh mersignal verglichen. Bei Verwendung zusätzlicher integrierter Schaltungen und einer geeigneten Weitergabe der Signalauswer tung (z.B. von der integrierten Schaltung 1 an 1 und 2, von integrierten Schaltung 2 an 2 und 3, von der integrierten Schal tung 3 an 3 und 1) ist auch eine Fehlertoleranz möglich, also die Erkennung des defekten integrierten Schaltung bei Erhalt der vollen Funktion.By mutually exchanging the signals between the integrated circuits, it is also possible to detect full failures of an integrated circuit. In this case, a random sequence is preferably generated in an integrated circuit and compared in both integrated circuits with the demodulated recording signal. If additional integrated circuits are used and the signal evaluation is passed on appropriately (e.g. from integrated circuit 1 to 1 and 2, from integrated circuit 2 to 2 and 3, from integrated circuit 3 to 3 and 1), a fault tolerance is also possible, that is, the detection of the defective integrated circuit when the full function is maintained.

Weitere Einzelheiten, Vorteile und Merkmale der Erfindung erge ben sich nicht nur aus den Ansprüchen, den diesen zu entneh menden Merkmalen - für sich und/oder in Kombination -, sondern auch aus der nachfolgenden Beschreibung von in der Zeichnung dargestellten Ausführungsbeispielen.Further details, advantages and features of the invention ben not only from the claims to be found characteristics - for themselves and / or in combination - but also from the following description of in the drawing illustrated embodiments.

Es zeigen:Show it:

Fig. 1 ein Blockschaltbild zweier an eine Sicherheitsschaltung angeschlossener Sensoren, Fig. 1 is a block diagram of two connected to a safety circuit sensors,

Fig. 2 ein Blockschaltbild einer Sicherheitsschaltung mit einem berührungslosen Geber, Fig. 2 is a block diagram of a safety circuit with a contactless transmitter,

Fig. 3 eine perspektivische Ansicht eines Gebers mit Phasenverschiebung des Ein- und Ausgangssignals, Fig. 3 is a perspective view of an encoder with a phase shift of the input and output signal,

Fig. 4 eine perspektivische Ansicht einer anderen Ausführungsform eines Gebers, Fig. 4 is a perspective view of another embodiment of an encoder,

Fig. 5 ein Schaltbild einer Sicherheitsschaltung aus zwei Sicherheitsschaltungsteilen und einem an die Sicher heitsschaltung angeschlossenen Geber und Fig. 5 is a circuit diagram of a safety circuit from two safety circuit parts and a sensor connected to the safety circuit and

Fig. 6 ein Schaltbild einer an mehrere Geber angeschlossenen Sicherheitsschaltung mit zwei benutzerprogrammierbaren, integrierten Schaltungen. Fig. 6 is a circuit diagram of a safety circuit connected to several sensors with two user-programmable, integrated circuits.

Um einen sicherheitsrelevanten Bewegungsablauf redundant zu überwachen, werden zwei Geber (1), (2) bzw. Sensoren für den gleichen Vorgang eingesetzt. Die beiden Geber (1), (2) sind je an zwei Überwachungsschaltungen (3), (4) angeschlossen, in denen die Ausgangssignale der Geber (1), (2) jeweils für sich miteinan der verglichen werden. Auf diese Weise können sowohl Fehler der Geber als auch interne Fehler der Überwachungsschaltungen (3), (4) festgestellt werden. Doppelfehler, d.h. gleichzeitige Fehler in den Gebern (1), (2) können nicht erkannt werden.In order to redundantly monitor a safety-relevant movement sequence, two encoders ( 1 ), ( 2 ) or sensors are used for the same process. The two sensors ( 1 ), ( 2 ) are each connected to two monitoring circuits ( 3 ), ( 4 ) in which the output signals of the sensors ( 1 ), ( 2 ) are compared with each other. In this way, errors of the sensors as well as internal errors of the monitoring circuits ( 3 ), ( 4 ) can be determined. Double errors, ie simultaneous errors in the encoders ( 1 ), ( 2 ) cannot be detected.

Gegenüber der in Fig. 1 dargestellten Anordnung wird durch die Erfindung eine Anordnung geschaffen, die besonders hohen sicherheitstechnischen Anforderungen genügt. Eine solche Anord nung ist z.B. in Fig. 2 dargestellt. Es wird mindestens ein Geber (5), mit dem mechanische Bewegungsabläufe in einer Vorrichtung erfaßt werden, mit zwei Sicherheitsschaltungsteilen überwacht, die zu einer Sicherheitsschaltung (6) gehören. Die Sicherheitsschal tung (6) enthält die für die Fehlererkennung und -überwachung bestimmten Teile doppelt. Dabei müssen die doppelten Sicherheits schaltungsteile nicht notwendigerweise vollkommen identisch sein. Sind sie nicht identisch, hat dies den Vorteil, daß keine zwei gleichartigen Fehler zugleich in ihnen auftreten können. Die Sicherheitsschaltung (6) enthält zwei Testfunktionsgeneratoren (7), (8), die an ihren Ausgängen jeweils gleiche Prüfsignale erzeugen. Die Prüfsignale werden einander überlagert, insbeson dere additiv, und in den Geber (5) eingespeist. Es wird ein Geber (5) verwendet, der einen Eingang (9) und einen Ausgang (10) und ein in verschiedenen Sensorzuständen unterschiedliches Übertragungsverhalten für das ihn durchlaufende Signal hat. Die an den Geber (5) eingespeisten Signale und das Übertragungs verhalten des Gebers (5) werden so aufeinander abgestimmt, daß ein Fehler in Geber (5) eine feststellbare Änderung des Signal verlaufs bzw. des Signals bewirkt, wobei das Signal nicht not wendigerweise unterbrochen sein muß. Dem Geber bzw. Sensor (5) ist eine Auswerteanordnung (11) nachgeschaltet, die die notwendigen Eingriffe in den Steuerungsablauf der Vorrichtung vornimmt und diese bei einem bestimmten Wert des Signals am Ausgang des Gebers (5) z.B. stillsetzt. Ein Signal der Auswerte anordnung (11) wird zwei Anordnungen (12), (13) zur Prüfung der Übertragungsfunktion zugeführt, denen auch zugleich jeweils beide Ausgangssignale der Testfunktionsgeneratoren (7), (8) zugeführt werden. Das Ausgangssignal der Auswerteanordnung (11) wird in jeder Prüfungsanordnung (12), (13) mit den Aus gangssignalen der Testfunktionsgeneratoren (7), (8) verglichen. Wird eine Abweichung der Signale beim Vergleich festgestellt, dann wird eine Fehlermeldung erzeugt. Eine Abweichung muß nicht nur durch einen Fehler im Geber (5) hervorgerufen worden sein. Ein Fehler kann auch in der Sicherheitsschaltung (6) selbst auftreten. Die Sicherheitsschaltung (6) wird hierdurch auf innere Fehler überwacht, d.h. sie überwacht sich selbst. Das Ver gleichsergebnis der beiden Prüfungsanordnungen (12), (13) wird gemeinsam zwei Verknüpfungsschaltungen (14), (15) zugeführt, die die Vergleichsergebnisse überprüfen und so Fehler in den Prüfungsanordnungen erkennen können. Die Verknüpfungsschal tungen (14), (15) führen UND-Verknüpfungen durch. Die Test funktionsgeneratoren (7), (8), die Prüfungsanordnungen (12), (13) und die Verknüpfungsschaltungen (14), (15) gehören je zwei unabhängig voneinander arbeitenden Sicherheitsschaltungsteilen an.Compared to the arrangement shown in FIG. 1, the invention creates an arrangement which meets particularly high safety requirements. Such an arrangement is shown for example in Fig. 2. At least one encoder ( 5 ), with which mechanical movement sequences are detected in a device, is monitored with two safety circuit parts which belong to a safety circuit ( 6 ). The safety circuit ( 6 ) contains the parts intended for error detection and monitoring in duplicate. The double safety circuit parts do not necessarily have to be completely identical. If they are not identical, this has the advantage that no two identical errors can occur in them at the same time. The safety circuit ( 6 ) contains two test function generators ( 7 ), ( 8 ) which each generate the same test signals at their outputs. The test signals are superimposed on one another, in particular additively, and fed into the encoder ( 5 ). An encoder ( 5 ) is used which has an input ( 9 ) and an output ( 10 ) and a different transmission behavior for the signal passing through it in different sensor states. The signals fed to the encoder ( 5 ) and the transmission behavior of the encoder ( 5 ) are coordinated so that an error in the encoder ( 5 ) causes a detectable change in the signal curve or the signal, the signal not necessarily being interrupted have to be. The transmitter or sensor ( 5 ) is followed by an evaluation arrangement ( 11 ), which carries out the necessary interventions in the control sequence of the device and, for example, stops it at a specific value of the signal at the output of the transmitter ( 5 ). A signal of the evaluation arrangement ( 11 ) is supplied to two arrangements ( 12 ), ( 13 ) for testing the transfer function, to which both output signals of the test function generators ( 7 ), ( 8 ) are also supplied at the same time. The output signal of the evaluation arrangement ( 11 ) is compared in each test arrangement ( 12 ), ( 13 ) with the output signals of the test function generators ( 7 ), ( 8 ). If a deviation of the signals is found during the comparison, an error message is generated. A deviation must not only have been caused by an error in the encoder ( 5 ). A fault can also occur in the safety circuit ( 6 ) itself. The safety circuit ( 6 ) is hereby monitored for internal errors, ie it monitors itself. The comparison result of the two test arrangements ( 12 ), ( 13 ) is jointly supplied to two logic circuits ( 14 ), ( 15 ) which check the comparison results and so on Can detect errors in the test arrangements. The logic circuits ( 14 ), ( 15 ) perform AND operations. The test function generators ( 7 ), ( 8 ), the test arrangements ( 12 ), ( 13 ) and the logic circuits ( 14 ), ( 15 ) each belong to two independently working safety circuit parts.

Ein für die Überwachung besonders geeigneter Geber (16) ist in Fig. 3 dargestellt. Der Geber (16) enthält einen auf einem nicht näher bezeichneten Sensorkopf angeordneten Halbschalenkern (17) aus ferromagnetischem Material. Der Halbschalenkern (17) trägt eine Wicklung (18), deren Enden in Reihe mit einer abgeschirmten Induktivität an eine Wechselspannungsquelle gelegt werden. Diese Wechselspannungsquelle sind z.B. die Testfunktionsgeneratoren (7), (8). Auf einem Gegenstück, das ebenfalls nicht näher be zeichnet ist, befindet sich ein zweiter Halbschalenkern (19) mit einer Spule (20), die an eine Kapazität (21) angeschlossen ist. In Serie mit der Spule (18) ist z.B. ein Shunt zur Erfassung des Stroms angeordnet, der den Ausgang des Gebers (16) bildet. Sensorkopf und Gegenstück sind relativ zueinander beweglich und an Maschinenteilen befestigt, deren Abstand oder Zwischenraum überwacht wird. Bei einem gewissen Abstand ist die transformatorische Kopplung zwischen den beiden Spulen (18), (19) so groß, daß der Kondensator (21) einen stark kapazitiven Eingangswiderstand des Gebers (16) bewirkt. Dieser Eingangswi derstand bleibt auch bei kleineren Abständen erhalten. Der mit dem Shunt erfaßbare Strom des Gebers (16) hat dann eine kapazitive Phasenverschiebung gegenüber der Eingangswechsel spannung. Überschreitet der Abstand den oben erwähnten Ab stand oder werden beide Spulen durch ein in den Abstand ein dringendes Teil abgeschirmt, dann geht die Kopplung zwischen den Spulen (18), (20) so stark zurück bzw. hört nahezu auf, daß ein stark induktiver Eingangswiderstand am Geber (16) vorhanden ist. In Abhängigkeit vom Abstand oder der Abschirmung herrscht eine als Kennzeichen für den Abstand bzw. die Abschirmung meßbare Phasenverschiebung zwischen Strom und Spannung. Eine Bedingung, bei der ein Betrieb einer Vorrichtung erlaubt sein soll, ist z.B. durch einen solchen Abstand gekennzeichnet, daß ein stark kapazitiver Eingangswiderstand mit in etwa 90° Phasen verschiebung vorliegt. Wird diese Phasenverschiebung induktiv, dann wird dies von der Sicherheitsschaltung erkannt und gemel det. Dies gilt auch für den Fall der Phasenverschiebung 0, die von einem Kurzschluß, also einem Fehler in Geber (16) hervorge rufen sein kann.A sensor ( 16 ) that is particularly suitable for monitoring is shown in FIG. 3. The transmitter ( 16 ) contains a half-shell core ( 17 ) made of ferromagnetic material which is arranged on a sensor head (not shown). The half-shell core ( 17 ) carries a winding ( 18 ), the ends of which are connected in series with a shielded inductor to an AC voltage source. These alternating voltage sources are, for example, the test function generators ( 7 ), ( 8 ). On a counterpart, which is also not shown, is a second half-shell core ( 19 ) with a coil ( 20 ) which is connected to a capacitor ( 21 ). A shunt for detecting the current, which forms the output of the transmitter ( 16 ), is arranged in series with the coil ( 18 ). Sensor head and counterpart are movable relative to each other and attached to machine parts whose distance or space is monitored. At a certain distance, the transformer coupling between the two coils ( 18 ), ( 19 ) is so large that the capacitor ( 21 ) causes a strong capacitive input resistance of the encoder ( 16 ). This input resistance is retained even with smaller distances. The detectable with the shunt current of the encoder ( 16 ) then has a capacitive phase shift with respect to the input AC voltage. Exceeds the distance from the above-mentioned Ab or both coils are shielded by an urgent part in the distance, then the coupling between the coils ( 18 ), ( 20 ) goes back so much or almost stops that a strong inductive input resistance is present on the encoder ( 16 ). Depending on the distance or the shielding, there is a phase shift between current and voltage which can be measured as a characteristic of the distance or shielding. A condition in which the operation of a device should be permitted is characterized, for example, by such a distance that there is a strong capacitive input resistance with a phase shift of approximately 90 °. If this phase shift is inductive, then this is recognized and reported by the safety circuit. This also applies to the case of phase shift 0, which can be caused by a short circuit, ie an error in encoder ( 16 ).

Ein weiterer Geber (22) enthält ebenso wie der Geber (16) zwei Halbschalenkerne (17), (19) eines Topfkerns mit den jeweiligen Wicklungen (18), (20). Die Halbschalenkerne (17), (19) sind wiederum je auf einem Sensorkopf und einem Gegenstück angeordnet. Die Spule (20) ist mit einer Leuchtdiode (23) auf dem Gegenstück verbunden. Der Leuchtdiode (23) steht ein Fotodetek tor (24) auf dem Sensorkopf gegenüber. Die Anschlüsse der Spule (18) sind die Eingänge des Gebers (22), dessen Ausgänge die Anschlüsse des Fotodetektors (24) sind.Another transmitter ( 22 ), like the transmitter ( 16 ), contains two half-shell cores ( 17 ), ( 19 ) of a pot core with the respective windings ( 18 ), ( 20 ). The half-shell cores ( 17 ), ( 19 ) are each arranged on a sensor head and a counterpart. The coil ( 20 ) is connected to a light emitting diode ( 23 ) on the counterpart. The light-emitting diode ( 23 ) faces a photodetector ( 24 ) on the sensor head. The connections of the coil ( 18 ) are the inputs of the encoder ( 22 ), the outputs of which are the connections of the photodetector ( 24 ).

Zwischen dem Signal an den Anschlüssen der Spule (18) und dem Signal am Ausgang des Fotodetektors (24) soll bei einem Grenzab stand bzw. einem geringen Abstand Gegenphasigkeit vorhanden sein, die durch eine Beschaltung wie beim Geber (16) oder durch eine Lichtschranke erzeugt wird, die einen entsprechenden Auf bau hat. Bei der Lichtschranke ist dies dadurch möglich, daß ein Optokoppler in einem Schwingkreis angeordnet ist. Beispielsweise ist ein Ausgangszweig vorgesehen, der Strom führt, wenn der Fotodetektor nicht beleuchtet wird. Eine entsprechende Licht schranke kann auch für sich, d.h. ohne induktiv arbeitenden Sensorbestandteil verwendet werden.Between the signal at the connections of the coil ( 18 ) and the signal at the output of the photodetector ( 24 ) should be at a Grenzab or a small distance, there should be an opposite phase, which is generated by a circuit such as the encoder ( 16 ) or by a light barrier will, which has a corresponding construction. With the light barrier, this is possible by arranging an optocoupler in an oscillating circuit. For example, an output branch is provided which carries current when the photodetector is not illuminated. A corresponding light barrier can also be used on its own, ie without an inductively operating sensor component.

Die Sicherheitsschaltung wird insbesondere in integrierter Technik ausgeführt. Die Sicherheitsschaltungsteile sind dabei vorzugsweise als zwei separate, integrierte Schaltungen ausgebildet. Da inte grierte Schaltungen oszillieren können, werden Schaltungen verwendet, mit denen Zufallsfolgen oder Pseudo-Zufallsfolgen erzeugt werden. Wenn diese zeitlich versetzt ausgegeben werden, können Kurzschlüsse in der Schaltung erkannt werden.The safety circuit is especially in integrated technology executed. The safety circuit parts are preferred formed as two separate, integrated circuits. Because inte circuits can oscillate, become circuits used with which random sequences or pseudo-random sequences be generated. If these are issued at different times, short circuits can be detected in the circuit.

Die Fig. 5 zeigt zwei benutzerprogrammierte Schaltungen (ASIC′s) jeweils als Sicherheitsschaltungsteile (25), (26), die je einen Ozillator (27), (28) enthalten. In dem Sicherheitsschaltungsteil (25), (26) befinden sich eine Anzahl von unten noch näher be schriebenen Funktionsbausteinen, die jeweils Signale verarbeiten, die von den Oszillatoren (27) oder (28) bestimmt werden. Die Funktionsbaugruppen sind durch Quadrate dargestellt, in denen jeweils eine Ecke schraffiert ist. Unterschiedliche Richtungen der Schraffur bedeuten eine Zuordnung zu einem der beiden Oszilla toren (27), (28). Wenn Funktionsbaugruppen gemäß Fig. 5 keine Schraffuren enthalten, verarbeiten sie sie Signale, die von beiden Oszillatoren bestimmt werden. Fig. 5 shows two user-programmed circuits (ASIC's) each as safety circuit parts ( 25 ), ( 26 ), each containing an oscillator ( 27 ), ( 28 ). In the safety circuit part ( 25 ), ( 26 ) there are a number of function blocks described in more detail below, each of which processes signals that are determined by the oscillators ( 27 ) or ( 28 ). The function modules are represented by squares in which a corner is hatched. Different directions of hatching mean an assignment to one of the two Oszilla gates ( 27 ), ( 28 ). If function modules according to FIG. 5 contain no hatching, they process signals that are determined by both oscillators.

Als Geber enthält die in Fig. 5 dargestellte Anordnung eine Lichtschranke (29), die eine Gegenphasigkeit zwischen Eingangs- und Ausgangssignal erzeugt, was z.B. durch einen Kondensator (30) am Ausgang der Lichtschranke bewirkt wird. Jedes Sicher heitsschaltungsteil (25), (26) enthält einen Zufallsgenerator (31), (32), der einen Modulator (33) , (34) speist. Die Modulatoren (33), (34) speisen ihre Ausgangssignale über nicht näher be zeichnete Widerstände in eine Leuchtdiode der Lichtschranke (29) ein. Das Ausgangssignal der Lichtschranke (29) gelangt zu zwei Demodulatoren (35), (36) in den Sicherheitsschaltungsteilen (25), (26). Die Demodulatoren (35), (36) sind jeweils Korrelatoren (37), (38) nachgeschaltet, die jeweils Maßzahlen für die Korrelation des demodulierten Eingangssignals erzeugen, z.B. eine negative oder positive Maßzahl für eine negative oder positive Korrelation. Die Maßzahlen des Korrelators (37) gelangen zu einem Vergleicher (39) im Sicherheitsschaltungsteil (25) und einem Vergleicher (40) im Sicherheitsschaltungsteil (26). Die Maßzahlen des Korrelators (37) gelangen zu einem Vergleicher (39) im Sicherheitsschaltungs teils (25) und einem Vergleicher (40) im Sicherheitsschaltungsteils (26). Die Maßzahlen des Korrelators (38) gelangen zu einem Vergleicher (41) im Sicherheitsschaltungsteil (26) und einem Vergleicher (42) im Sicherheitsschaltungsteil (25).The arrangement shown in FIG. 5 contains a light barrier ( 29 ), which generates a phase opposition between the input and output signals, which is caused, for example, by a capacitor ( 30 ) at the output of the light barrier. Each safety circuit part ( 25 ), ( 26 ) contains a random generator ( 31 ), ( 32 ) which feeds a modulator ( 33 ), ( 34 ). The modulators ( 33 ), ( 34 ) feed their output signals via unspecified resistors into a light-emitting diode of the light barrier ( 29 ). The output signal of the light barrier ( 29 ) reaches two demodulators ( 35 ), ( 36 ) in the safety circuit parts ( 25 ), ( 26 ). The demodulators ( 35 ), ( 36 ) are each followed by correlators ( 37 ), ( 38 ), which each generate measures for the correlation of the demodulated input signal, for example a negative or positive measure for a negative or positive correlation. The dimensions of the correlator ( 37 ) arrive at a comparator ( 39 ) in the safety circuit part ( 25 ) and a comparator ( 40 ) in the safety circuit part ( 26 ). The dimensions of the correlator ( 37 ) arrive at a comparator ( 39 ) in the safety circuit part ( 25 ) and a comparator ( 40 ) in the safety circuit part ( 26 ). The dimensions of the correlator ( 38 ) arrive at a comparator ( 41 ) in the safety circuit part ( 26 ) and a comparator ( 42 ) in the safety circuit part ( 25 ).

Der Vergleicher (39) erhält ein Ausgangssignal eines Modulators (43) im Sicherheitsschaltungsteils (26), der über eine Verzöge rungsschaltung (44) mit dem Zufallsgenerator (32) verbunden ist. Die Verzögerungsschaltung (44) speist auch den Vergleicher (40). Der Vergleicher (41) erhält ein Ausgangssignal von einem Modulator (45) im Sicherheitsschaltungsteil (25), der über eine Verzögerungsschaltung (46) mit dem Zufallsgenerator (31) ver bunden ist. Die Verzögerungsschaltung (46) speist auch den Vergleicher (42). Jedem Vergleicher (39), (40), (41), (42) ist ein eigener Korrelator (47), (48), (49), (50) nachgeschaltet. Die Korrelatoren (47), (50) speisen Eingänge eines UND-Gliedes (51), das über einen weiteren Eingang an eine Takttestschaltung (52) angeschlossen ist, die vom Ausgangssignal des Zufallsgenerators (31) beaufschlagt wird. Die Korrelatoren (48), (49) speisen Eingänge eines UND-Gliedes (53), das über einen weitern Eingang mit einer Takttestschaltung (54) verbunden ist, die vom Zufalls generator (32) gespeist wird.The comparator ( 39 ) receives an output signal of a modulator ( 43 ) in the safety circuit part ( 26 ) which is connected via a delay circuit ( 44 ) to the random generator ( 32 ). The delay circuit ( 44 ) also feeds the comparator ( 40 ). The comparator ( 41 ) receives an output signal from a modulator ( 45 ) in the safety circuit part ( 25 ), which is connected via a delay circuit ( 46 ) to the random generator ( 31 ). The delay circuit ( 46 ) also feeds the comparator ( 42 ). Each comparator ( 39 ), ( 40 ), ( 41 ), ( 42 ) is followed by its own correlator ( 47 ), ( 48 ), ( 49 ), ( 50 ). The correlators ( 47 ), ( 50 ) feed inputs of an AND gate ( 51 ) which is connected via a further input to a clock test circuit ( 52 ) which is acted upon by the output signal of the random generator ( 31 ). The correlators ( 48 ), ( 49 ) feed inputs of an AND gate ( 53 ) which is connected via a further input to a clock test circuit ( 54 ) which is fed by the random generator ( 32 ).

Weitere Eingänge der UND-Glieder (51), (53) sind jeweils an die Takttestschaltungen (54), (52) angeschlossen. In den Sicherheits schaltungsteilen (25), (26) sind je Anlauftestschaltungen (55), (56) vorgesehen, die untereinander und mit den Modulatoren (45), (43) verbunden sind. An den UND-Gliedern (51) und (53) stehen je zwei zueinander antivalente Ausgangssignale zur Verfü gung. Die Anlauftestschaltungen (55), (56) können je durch Reset-Signale gestartet werden.Further inputs of the AND gates ( 51 ), ( 53 ) are each connected to the clock test circuits ( 54 ), ( 52 ). In the safety circuit parts ( 25 ), ( 26 ) start-up test circuits ( 55 ), ( 56 ) are provided, which are connected to each other and to the modulators ( 45 ), ( 43 ). On the AND gates ( 51 ) and ( 53 ) there are two mutually equivalent output signals available. The startup test circuits ( 55 ), ( 56 ) can each be started by reset signals.

Den UND-Gliedern (51), (52) ist insbesondere eine die antivalente Signale vergleichende Anordnung nachgeschaltet, die bei Wegfall der Antivalenz eine Meldung erzeugt.The AND gates ( 51 ), ( 52 ) are followed in particular by an arrangement comparing the non-equivalent signals, which generates a message when the non-equivalent is removed.

Mit der in Fig. 5 dargestellten Schaltung werden Phasenverschie bungen durch die Nulldurchgänge erfaßt. Die Zufallsfolgen wer den phasenmoduliert. Die Träger werden digital demoduliert und über die Übertragungsdauer eines Zeichens gemittelt. Damit kann geprüft werden, ob daß von der Lichtschranke (29) ausgegebene Signal mit dem Träger in Phase oder in Gegenphase ist oder nicht korreliert (z.B. bei Unterbrechung). Aufgrund der Phasenmodu lation ist auch der digitale Empfänger in die Prüfung einbezogen. Danach wird über die Anzahl der empfangenen Zeichen die Korre lation geprüft, um so kurzzeitige Störungen auszufiltern und ein statisches Ausgangssignal zur Verfügung zu stellen.With the circuit shown in Fig. 5 phase shifts are detected by the zero crossings. The random sequences who modulate the phase. The carriers are digitally demodulated and averaged over the transmission duration of a character. It can thus be checked whether the signal output by the light barrier ( 29 ) is in phase or in phase opposition with the carrier or not correlated (for example in the event of an interruption). Due to the phase modulation, the digital receiver is also included in the test. The correlation is then checked based on the number of characters received in order to filter out short-term faults and to provide a static output signal.

Mit der Anlauftestschaltung läßt sich vor jedem Anlauf ein Fehler simulieren, was im Betrieb wegen der dadurch erzwungenen Außerbetriebsetzung der Maschine nicht möglich ist.With the start test circuit, an error can be made before each start simulate what is in operation because of the forced by it Decommissioning the machine is not possible.

Bei der in Fig. 6 dargestellten Anordnung werden die Ausgangs signale mehrerer Geber (57), (58), (59), (60) in zwei voneinan der getrennten integrierten Schaltungen (61), (62), die z.B. benutzerprogrammierte Schaltungen sind, geprüft. Bei den Gebern (57), (58), (59), (60) kann es sich um Gabellichtschranken, um induktive Koppler zur Transformation einer kapazitiven Reaktanz und um Lichtschranken zur Erzeugung eines gegenphasigen Ausgangssignals handeln. Schaltbilder dieser Arten von Gebern sind links in der Fig. 6 dargestellt. Jede Schaltung (61), (62) gibt zwei zueinander antivalente Signale aus, die z.B. Sicherheits relais (63), (64) speisen. Damit können Fehler der Ausgangs schaltungen erkannt und es können aus diesen Signalen antivalente Ausgänge für die weitere Prüfung gebildet werden. Weiterhin ist eine sichere Signalisierung und Steuerung der Sicherheitsrelais (63), (64) möglich. Durch gegenseiten Signalaus tausch der Signale zwischen den Schaltungen, z.B. den Sicher heitsschaltungsteilen (25), (26), ist es möglich, auch Vollausfälle einer Schaltung zu erkennen. Beispielsweise wird eine Zufallsfolge in einer integrierten Schaltung generiert und in beiden Schal tungen mit den demodulierten Gebersignalen verglichen. Bei der Verwendung zusätzlicher integrierter Schaltungen und einer Weitergabe der Signalauswertung (z.B. von einer Schaltung 1 an 1 und 2, von einer Schaltung 2 an 2 und 3, von einer Schaltung 3 an 3 und 1) ist auch Fehlertoleranz möglich, also die Erkennung defekter Schaltungen bei Erhalt der vollen Funktion.In the arrangement shown in Fig. 6, the output signals of a plurality of transmitters ( 57 ), ( 58 ), ( 59 ), ( 60 ) in two of the separate integrated circuits ( 61 ), ( 62 ), which are, for example, user-programmed circuits, checked. The sensors ( 57 ), ( 58 ), ( 59 ), ( 60 ) can be fork light barriers, inductive couplers for transforming a capacitive reactance and light barriers for generating an output signal in phase opposition. Circuit diagrams of these types of sensors are shown on the left in FIG. 6. Each circuit ( 61 ), ( 62 ) outputs two mutually equivalent signals that feed, for example, safety relays ( 63 ), ( 64 ). This allows errors in the output circuits to be detected and, from these signals, equivalent outputs can be formed for further testing. Safe signaling and control of the safety relays ( 63 ), ( 64 ) is also possible. By mutual signal exchange of the signals between the circuits, for example the safety circuit parts ( 25 ), ( 26 ), it is possible to detect complete failures of a circuit. For example, a random sequence is generated in an integrated circuit and compared in both circuits with the demodulated encoder signals. If additional integrated circuits are used and the signal evaluation is passed on (e.g. from a circuit 1 to 1 and 2, from a circuit 2 to 2 and 3, from a circuit 3 to 3 and 1), fault tolerance is also possible, i.e. the detection of defective circuits upon receipt of the full function.

Claims

1. Safety device with at least one non-contact sensor for detecting mechanical movements of a device, characterized in that at least two independently working safety circuit parts ( 25 , 26 ) have an input of a sensor ( 29 ) which has a transmission behavior between at least one input and Has at least one output for signals, a signal is supplied that the signal at the output of the encoder ( 29 ) from both safety circuit parts ( 25 , 26 ) checked for itself with the signal at the input and compared with the test result of the other safety circuit part and that if there is a mismatch, an error message is generated.

2. Safety device according to claim 1, characterized in that the two safety circuit parts ( 25 , 26 ) fed into the transmitter ( 29 ) signals are superimposed on one another and that the signal at the output of the transmitter ( 29 ) two safety circuit parts ( 25 , 26 ) is supplied.

3. Safety device according to claim 1 or 2, characterized in that the transmitter ( 5 , 16 , 22 , 29 ) temporally variable signals from the safety circuit parts ( 25 , 26 ) are supplied and that the transmitter ( 5 , 16 , 22 , 29 ) if the function works properly, the phase position of the fed signals changes.

4. Safety device according to one or more of the preceding claims, characterized in that the transmitter ( 16 ) contains a first coil ( 18 ) which is connected in series with a shielded inductor to an input and that a further, with a capacitor ( 21 ) connected coil ( 20 ) of the transmitter ( 16 ) is arranged to be movable relative to the first coil ( 18 ).

5. Safety device according to one or more of the preceding claims, characterized in that the transmitter ( 29 ) is designed as a light barrier which generates an output signal which is in phase opposition to the input signal at its output when the light transmission path is free.

6. Safety device according to one or more of the preceding claims, characterized in that a transmitter ( 22 ) has two coils ( 18 , 20 ) which can be moved relative to one another and can be coupled with a transformer and is connected to a light barrier on its secondary coil ( 20 ) and in that the coils ( 18 , 20 ) and / or the light barrier are connected to means for generating the phase shift of the input and output signals.

7. Safety device according to one or more of the preceding claims, characterized in that the signals fed by the safety circuit parts ( 25 , 26 ) into the transmitter ( 29 ) are phase-modulated and that the phase shift between the input and output signals of the transmitter ( 29 ) is determined by comparing the zero crossings of the signals.

8. Safety device according to one or more of the preceding claims, characterized in that the output signals of the transmitter ( 29 ) are digitally demodulated and that an average over the length of a transmitted character is formed.

9. Safety device according to one or more of the above claims, characterized, that over a predefinable number of transmitted characters Correlation is performed.

10. Safety device according to one or more of the preceding claims, characterized in that each safety circuit part ( 25 , 26 ) is arranged in a customer-programmable integrated circuit (ASIC).

11. Safety device according to one or more of the preceding claims, characterized in that for each safety circuit part ( 25 , 26 ) a random generator ( 31 , 32 ) is provided, which is connected to a modulator ( 33 , 34 ), to which an encoder is connected is, each safety circuit part ( 25 , 26 ) feeds a demodulator ( 35 , 36 ), which is followed by a correlator ( 37 , 38 ), are connected to the comparator ( 39, 40; 41, 42 ), each additionally by one are fed via a delay circuit ( 44; 46 ) and a modulator ( 43 , 45 ) of the same or different safety circuit part ( 25 , 26 ).

12. Safety device according to one or more of the preceding claims, characterized in that the comparators ( 39, 42; 40, 41 ) are followed by correlators ( 47 , 50 , 48 , 49 ) in pairs with AND gates ( 51 ; 53 ) are connected, to which the clock test signals of both random generators ( 31 , 32 ) can be fed.

13. Safety device according to one or more of the preceding claims, characterized in that each safety circuit part ( 25 , 26 ) has a start-up test circuit ( 55 , 56 ) which ver with the other start-up test circuit and with a modulator ( 45 , 43 ) is bound, which feeds a comparator ( 41, 39 ).