Ein der Erfindung zugrundeliegendes, als"fluidtechnisch"be- zeichnetes System kann beispielsweise als pneumatisches Sys- tem mit Hilfe von Druckluft oder als hydraulisches System mit Hilfe von Hydrauliköl als Druckmedium (="Fluid") betrieben werden. Dabei steuert eine elektrische Steuerungseinrichtung über Steuermittel, z. B. Ventile, den Fluss des Druckmedium zur Betätigung des oder der fluidtechnischen Aktoren. Ein

solcher Aktor ist beispielsweise ein Arbeitszylinder. Der je- weilige Betriebszustand des fluidtechnischen Systems wird da- bei mit Hilfe eines Sensors überwacht. Es kann z. B. an dem fluidtechnischen Aktor eine Positions-Sensorik angebracht sein, die der Steuerungseinrichtung Informationen über die jeweilige Position des Aktors mitteilt, so dass diese z. B. anhand der Information die Position des Aktors durch geeigne- te Beaufschlagung des Aktors mit dem Druckmedium beeinflussen kann.

Bei bekannten fluidtechnischen Systemen wird jedoch davon ausgegangen, dass durch geeignete Ausgestaltung des fluid- technischen Systems ein sicherheitskritischer Zustand inner- halb des jeweiligen fluidtechnischen Systems nicht auftritt.

Ein Schutz gegen unbeabsichtigte Zustands-oder Positionsän- derungen des fluidtechnischen Systems, beispielsweise ein plötzliches Verfahren eines Kolbens in einem Arbeitszylinder aufgrund eines Defektes eines den Arbeitszylinder ansteuern- den Ventils, ist jedoch nicht vorgesehen.

Es ist daher Aufgabe der Erfindung, Sicherheitsfunktionen für fluidtechnische Systeme vorzusehen.

Diese Aufgabe wird durch ein fluidtechnisches System zur si- cherheitsorientierten Steuerung zumindest eines fluidtechni- schen Aktors gelöst, mit zumindest einer lokalen Steuerungs- einrichtung zur Steuerung des fluidtechnischen Aktors über Steuermittel des fluidtechnischen Systems, wobei zumindest ein Sensor zur Übermittlung zumindest einer Information über zumindest einen Betriebszustand des fluidtechnischen Systems

an die lokale Steuerungseinrichtung vorgesehen ist, dadurch gekennzeichnet, dass die lokale Steuerungseinrichtung derart ausgestaltet ist, dass sie zumindest eine Information zur Er- mittlung zumindest eines sicherheitskritischen Zustandes aus- werten kann und dass sie bei Vorliegen des zumindest einen sicherheitskritischen Zustandes zumindest eine vorbestimmte Folgeaktion ausführt.

Die Aufgabe wird ferner gelöst durch einen fluidtechnischen Aktor gemäß der technischen Lehre des Anspruchs 16, eine Steuerungseinrichtung gemäß der technischen Lehre des An- spruchs 17, ein Software-Modul gemäß der technischen Lehre des Anspruchs 18 sowie ein Verfahren gemäß der technischen Lehre des Anspruchs 19.

Der Erfindung liegt dabei der Gedanke zugrunde, in das fluid- technische System zur Steuerung des Aktors Sicherheitsfunkti- onen zu integrieren, die einfache und auch hohe sogenannte Anforderungsklassen z. B. der europäischen Norm EN 941-1 er- füllen. Der fluidtechnische Aktor kann z. B. eine Ventilanord- nung, ein pneumatischer Antrieb oder eine Wartungseinheit sein. Die Steuermittel können z. B. aus einer Ventilanordnung bestehen, die durch ein elektronisches Steuerungsmodul als lokale Steuerungseinrichtung angesteuert werden. Tritt inner- halb der Steuermittel, der lokalen Steuerungseinrichtung oder an dem gesteuerten fluidtechnischen Aktor eine sicherheits- kritische Fehlfunktion auf, so erkennt die lokale Steuerungs- einrichtung dieses Problem und löst zu dessen Behebung eine Folgeaktion aus.

Die lokale Steuerungseinrichtung sorgt dafür, dass ein si- cherheitskritischer Zustand nicht unerkannt bleibt. Die Über- wachung der Sicherheitsfunktion kann dabei auf das jeweilige fluidtechnische System, insbesondere auch auf den zu steuern- den Aktor optimal abgestimmt werden. Ohnehin vorhandene Sen- sorik kann dabei auch für Sicherheitsfunktionen mit genutzt werden. Es ist jedoch auch möglich, dass mit Hilfe einiger zusätzlicher Sensoren höhere Sicherheitskriterien erfüllt werden. Ferner kann das fluidtechnische System als komplette, kompakte und vorgefertigte Einheit eingesetzt werden, die be- reits integrierte Sicherheitsfunktionen aufweist, die z. B. mit einer übergeordneten Steuerungseinrichtung zusammenwirken können. Diese braucht dann nicht auf die lokal benötigten Si- cherheitsfunktionen aufwendig abgestimmt werden. Die lokale Steuerungseinrichtung kann auch speziell für die Meldung von sicherheitsrelevanten Informationen und für die Gabe von si- cherheitsrelevanten Befehlen gestaltete Nachrichten senden und empfangen.

Das erfindungsgemäße sicherheitsorientierte fluidtechnische System kann als Bestandteil eines fluidtechnischen Aktors ausgebildet sein. So kann beispielsweise das fluidtechnische System in eine lokal gesteuerte Ventilanordnung integriert sein, die ein Einzelventil oder eine Ventilgruppe, also eine sogenannte Ventilinsel, sein kann. Ferner kann das erfin- dungsgemäße sicherheitsorientierte fluidtechnische System Be- standteil eines fluidtechnischen Antriebes, beispielsweise eines pneumatischen Greifers, eines pneumatischen Zylinders oder einen pneumatischen Linearantriebes sein. Auch ein Ein- schaltventil, ein Wartungsgerät, z. B. ein Öler, oder ein

llpneumatischer Notaus"kann durch ein erfindungsgemäßes ex- ternes oder integriertes fluidtechnisches System sicherheits- orientiert gesteuert werden. So können erfindungsgemäß auch beispielsweise in einen pneumatischen Zylinder integrierte Sperrventile sicherheitsorientiert gesteuert werden.

Beispielsweise kann die Steuerungseinrichtung erfindungsgemäß eine Information, die ein Sensor zur Überwachung der Bewe- gungsgeschwindigkeit des Aktors liefert, daraufhin überprü- fen, ob eine vorbestimmte Bewegungsgeschwindigkeit des Aktors überschritten ist. In einem solchen Fall kann der Sensor so- gar für mehrere Funktionen genutzt werden, einerseits für die Steuerung der Bewegungsgeschwindigkeit auf einen vorbestimm- ten und andererseits zur Überwachung, ob der Aktor eine si- cherheitskritische Bewegungsgeschwindigkeit überschritten hat.

Weitere Vorteile der Erfindung ergeben sich aus den abhängi- gen Ansprüchen sowie aus der Beschreibung.

Nachdem die lokale Steuerungseinrichtung ein Vorliegen eines sicherheitskritischen Zustandes ermittelt hat, kann sie bei- spielsweise als Folgeaktion den fluidtechnischen Aktor zur Einnahme eines sicheren Betriebszustandes ansteuern, z. B. ei- ne sogenannte"Nothalt"-Funktion auslösen, bei der der Aktor angehalten wird.

Weiterhin kann die lokale Steuerungseinrichtung z. B. über ei- ne Leuchtdiode oder einen Lautsprecher das Vorliegen des si- cherheitskritischen Zustandes signalisieren und so eine Feh-

lersuche durch einen Bediener erleichtern. Ferner kann die lokale Steuerungseinrichtung einer übergeordneten Steuerungs- einrichtung eine Nachricht über das Vorliegen des sicher- heitskritischen Zustandes zusenden, wenn die lokale Steue- rungseinrichtung z. B. als sogenannter"Slave"an einem Bus agiert und von der als"Master"arbeitenden übergeordneten Steuerungseinrichtung gesteuert und überwacht wird. Dabei ist es auch möglich, dass die übergeordnete Steuerungseinrichtung die lokale Steuerungseinrichtung zur Ansteuerung des fluid- technischen Aktors in einen sicheren Betriebszustandes an- weist, also beispielsweise zu der bereits erwähnten "Nothalt"-Funktion.

In einer besonders bevorzugten Variante der Erfindung, weist das fluidtechnische System von der lokalen Steuerungseinrich- tung ansteuerbare, insbesondere fluidisch und/oder elektrisch betätigbare Abschaltmittel zur Abschaltung der Wirkfunktion der Steuermittel auf den fluidtechnischen Aktor auf. Die Ab- schaltmittel sind z. B. zwischen die Steuermittel und den Ak- tor geschaltete Sperrventile. Damit ist es möglich, dass die Steuermittel abgeschaltet und damit von dem Aktor abgekoppelt werden, wenn in den Steuermitteln ein Fehler auftritt. So kann beispielsweise ein Ventil undicht sein, so dass der Ak- tor möglicherweise eine undefinierte, unerwünschte Position einnimmt. Die lokale Steuerungseinrichtung kann einen solchen Fehler z. B. durch mit ihr zusammenwirkende Steuer- Überprüfungsmittel, z. B. Drucksensoren, zur Überprüfung der Steuermittel ermitteln.

Ferner ist es durch die Abschaltmittel möglich, dass die lo- kale Steuerungseinrichtung zunächst die Wirkfunktion der Steuermittel mit Hilfe der Abschaltmittel zumindest teilweise abschaltet und dann eine Überprüfung der Steuermittel vor- nimmt. Dabei können dann die Steuermittel ohne unerwünschte Beeinflussung des Aktors betätigt werden und z. B. einen Prüf- zyklus durchlaufen. Ein solcher Prüfzyklus wird z. B. jeweils vor Betätigung der Steuermittel durchlaufen, so dass die Steuermittel nur dann zur Betätigung des Aktors eingesetzt werden, wenn sie korrekt funktionieren. Die Steuermittel kön- nen auch zyklisch überprüft werden, so dass auch dann ein korrektes Funktionieren der Steuermittel bei Bedarf sicherge- stellt wird, wenn diese zuvor über längere Zeit an sich nicht gebraucht worden sind.

In einer weiteren Variante der Erfindung werden auch die Ab- schaltmittel überprüft, indem z. B. Sensoren an den Abschalt- mitteln angeordnet sind, die Zustandsänderungen der Abschalt- mittel erfassen und an die lokale Steuerungseinrichtung mel- den. Die lokale Steuerungseinrichtung ermittelt dann, ob die gemeldeten Zustandsänderungen vorbestimmten, erwarteten Zu- standsänderungen entsprechen oder ob eine-eventuell sicher- heitskritische-Fehlfunktion der Abschaltmittel vorliegt.

Die lokale Steuerungseinrichtung kann diese Fehlfunktion dann z. B. an die übergeordnete Steuerungseinrichtung melden oder eine"Nothaltg-Funktion auslösen. Die Steuerungseinrichtung kann auch die Überprüfung der Abschaltmittel zyklisch vorneh- men oder jeweils nach Betätigung der Steuermittel oder der Abschaltmittel.

Das fluidtechnische System kann auch von der übergeordneten Steuerungseinrichtung mit einer Überprüfungsanweisung dazu angewiesen werden, die Steuermittel sowie auch die Abschalt- mittel zyklisch oder jeweils pro empfangener Überprüfungsan- weisung zu überprüfen.

Die Erfindung wird im Folgenden anhand von Ausführungsbei- spielen unter Zuhilfenahme der Zeichnungen dargestellt. Es zeigen : Figur l ein erstes Ausführungsbeispiel der Erfindung mit einem fluidtechnischen System, das durch eine loka- le Steuerungseinrichtung gesteuert wird und auf ei- nen Arbeitszylinder wirkt, Figur 2 eine Tabelle mit einem Prüfablauf des Ausführungs- beispiels aus Figur l bei eingefahrenem Arbeitszy- linder, Figur 3 eine Tabelle wie in Figur 2 mit einem weiteren Prüfablauf, jedoch bei ausgefahrenem Arbeitszylin- der, Figur 4 ein zweites Ausführungsbeispiel der Erfindung, mit im Vergleich zu Figur 1 teilweise geänderten oder fehlenden Komponenten.

Figur l zeigt einen Arbeitszylinder 10 als fluidtechnischem Aktor mit einem Kolben 11 und einer Kolbenstange 12, die sich in einem Arbeitsraum 13 hin und her bewegen können. Ein Fluid

als Druckmedium, im vorliegenden Fall Druckluft, kann über eine am Lagerdeckel, der der Kolbenstange 12 zugewandten Stirnseite des Arbeitsraumes 13, mündende Leitung 14 in den Arbeitsraum 13 einströmen. Dadurch"fährt der Kolben 11 ein", die Kolbenstange 12 bewegt sich also in den Arbeitsraum 13 hinein, wenn auf der entgegengesetzten, der Kolbenfläche des Kolbens 11 zugewandten Stirnseite, dem Abschlussdeckel des Arbeitsraumes 13 über eine Leitung 15 durch den sich bewegen- den Kolben 11 verdrängte Luft entweichen kann, der Arbeits- raum 13 entlüftet wird. Wenn über die Leitung 15 Druckluft in den Arbeitsraum 13 einströmt,"fährt der Kolben 11 aus", die Kolbenstange 12 bewegt sich also aus dem Arbeitsraum 13 her- aus, sofern über die Leitung 14 Luft entweichen kann. Ein Sensor 16 erfasst, ob der Kolben 11 ausgefahren ist, und ein Sensor 17 erfasst, ob der Kolben 11 eingefahren ist. Anstatt des Arbeitszylinders 10 kann auch beispielsweise ein Linear- antrieb, eine Wartungseinheit zur Aufbereitung von Druckluft oder ein pneumatisch angesteuertes Ventil als fluidtechni- schem Aktor eingesetzt werden.

Die Leitung 14 kann über ein Wegeventil 20, die Leitung 15 über ein Wegeventil 21 gesperrt werden, wobei dann weder Druckluft in den Arbeitsraum 13 einströmen noch durch den Kolben 11 verdrängte Luft aus dem Arbeitsraum 13 entweichen kann. Die Wegeventile 20 und 21 wirken demnach als Abschalt- mittel und sind sogenannte 2/2-Wegeventile. Ein 2/2- Wegeventil hat einen Eingang und einen Ausgang, die entweder durch eine Sperrstellung des jeweiligen Wegeventils voneinan- der getrennt sind oder in einer Durchlassstellung des jewei- ligen Wegeventils miteinander verbunden sind. Der Ausgang des

Wegeventils 20 ist mit der Leitung 14, der Ausgang des Wege- ventils 21 mit der Leitung 15 verbunden. Die Wegeventile 20 und 21 sind durch eine Leitung 22 mit Druckluft beaufschlag- bar und bewegen sich dann in Durchlassstellung. In dem Schaltzustand in Figur 1, der Sperrstellung, sind die Wege- ventile 21 und 22 jedoch nicht mit Druckluft beaufschlagt und werden jeweils durch eine angedeutete Feder in der Sperrstel- lung gehalten. An dieser Stelle sei bereits darauf hingewie- sen, dass die Bauform der in Figur 1 gezeigten Bauelemente lediglich symbolisch ist. Die Wegeventile 20 und 21 können beispielsweise auch elektrisch angetrieben sein, durch Druck- luft in Ruhestellung gehalten werden oder durch andere ab- sperrend wirkende Ventilanordnungen ersetzt werden.

Die Leitung 22 wird über ein Wegeventil 23 mit Druckluft be- aufschlagt oder entlüftet. Das Wegeventil 23 ist ein 3/2- Wegeventil mit einem Arbeitsausgang für die Leitung 22, einem Eingang der mit einer Druckquelle 24 verbunden ist und einem Entlüftungsausgang 25. Das Wegeventil 23 ist in Figur 1 in Entlüftungsstellung als Ruhestellung gezeigt, angedeutet durch eine Feder, bei der die Leitung 22 durch den Entlüf- tungsausgang 25 entlüftet wird. Durch einen elektrischen An- trieb 26, z. B. einen Spulenantrieb, kann das Wegeventil 23 in Schaltstellung gebracht werden, wobei dann Druckluft von der Druckquelle 24 in die Leitung 22 einströmt und die Wegeventi- le 20 und 21 in Durchlassstellung bewegt werden. An die Lei- tung 22 ist ferner ein Drucksensor 27 angeschlossen, der den auf der Leitung 22 vorhandenen Druck erfasst. Der Drucksensor 27 dient als Abschalte-Überprüfungsmittel zur Überprüfung der als Abschaltmittel wirkenden Wegeventile 20, 21 und 22. An-

statt des Drucksensors 27 könnten als Abschalte- Überprüfungsmittel auch beispielsweise Sensoren zur Stel- lungserfassung an den Wegeventilen 20, 21 und 22 angebracht sein.

Als Steuermittel zur Ansteuerung des Arbeitszylinders 10 wirkt ein Wegeventil 30, das im vorliegenden Fall ein 5/3- Wegeventil ist mit drei Stellungen, einer Ruhestellung 31, einer (Kolben-) Ausfahrstellung 32 und einer (Kolben-) Ein- fahrstellung 33 sowie insgesamt fünf Ein-/Ausgängen, von de- nen ein Eingang mit einer Druckquelle 34 zur Speisung mit Druckluft verbunden ist, je ein Ausgang 35 und 36 zur Entlüf- tung dient sowie ein Ein-/Ausgang über eine Leitung 37 mit dem Wegeventil 20 und ein Ein-/Ausgang über eine Leitung 38 mit dem Wegeventil 21 verbunden ist.

Die Wegeventile 20 und 22 seien für der folgenden Erklärung der Funktion des Wegeventils 30 in Durchlassstellung. Die Leitungen 14 und 37 sowie die Leitungen 15 und 38 sind dabei jeweils miteinander verbunden. In der gezeigten Ruhestellung 31, beispielhaft erzielt durch an dem Wegeventil 30 angeord- nete Federn, sind alle fünf Ein-und Ausgänge des Wegeventils 30 voneinander getrennt, so dass der keine steuernden Druck- luftkräfte oder Entlüftungskräfte auf den Arbeitszylinder 10 einwirken und dieser seine jeweilige Stellung im Wesentlichen beibehält. Wenn ein an dem Wegeventil 30 angeordneter Antrieb 39 aktiviert wird, wird das Wegeventil 30 in die Ausfahrstel- lung 32 bewegt, bei der Druckluft in die Leitungen 38 und 15 einströmt und Luft über die Leitungen 14 und 37 sowie den Ausgang 35 entweichen kann. Die Kolbenstange 12 fährt dabei

aus dem Arbeitszylinder 10 heraus. Wird ein ebenfalls an dem Wegeventil 30 angeordneter Antrieb 40 aktiviert, wird das We- geventil 30 in die Einfahrstellung 33 gebracht, so dass Druckluft einerseits in die Leitungen 14 und 37 einströmt und andererseits über die Leitungen 38 und 15 entweichen kann.

Die Kolbenstange 12 fährt dabei in den Arbeitszylinder 10 hinein. Statt dem Wegeventil 30 sind auch andere Ventilanord- nungen möglich. So könnten z. B. anstatt des Wegeventils 30 an die Leitungen 37 und 38 jeweils ein 3/3-Wegeventile ange- schlossen sein, mit denen jeweils ein Belüften, ein Entlüften sowie ein Sperren der Leitungen 37 und 38 möglich ist.

Zur Überprüfung der jeweiligen Druckverhältnisse ist ein Drucksensor 41 an die Leitung 37, ein weiterer Drucksensor 42 an die Leitung 38 angeschlossen. Die Drucksensoren 41 und 42 wirken als Steuer-Überprüfungsmittel. Ferner könnte als Steu- er-Überprüfungsmittel auch eine Sensorik, beispielsweise in Form von Endschaltern, zur Überwachung der Funktion des Wege- ventils 30 an diesem angeordnet sein.

Die Wegeventile 20, 21 und 23, untereinander verbunden durch die Leitung 22 und versorgt durch die Druckquelle 24, sind Abschaltmittel zur Abschaltung der Wirkfunktion des als Steu- ermittel wirkenden Wegeventils 30.

Die Funktionen der Wegeventile 23 und 30 werden über die je- weiligen Antriebe 26 sowie 39 und 40 von einer lokalen Steue- rungseinrichtung 50 gesteuert. Die lokale Steuerungseinrich- tung 50 weist ein Ein-/Ausgabemodul 51, einen Prozessor 52, Speichermittel 53 sowie Schnittstellenmodule 54 und 55 als

Verbindungsmittel auf, die jeweils durch nicht gezeigte Ver- bindungen untereinander verbunden sind. Die lokale Steue- rungseinrichtung 50 wird durch ein Betriebssystem sowie durch Software-Module betrieben, die in dem Speichermittel 53 ge- speichert sind und deren Programmcode-Sequenzen durch den Prozessor 52 ausgeführt werden. Das Speichermittel 53 umfasst beispielsweise RAM-Module (RAM = Random Access Memory) für temporär zu speichernde Daten sowie Flash-Memory-Module und/oder ROM-Module (ROM= Read Only Memory) für langfristig zu speichernde Daten.

Über das mit einem Bus 56 verbundene Schnittstellenmodul 54 ist die lokale Steuerungseinrichtung 50 mit einer übergeord- neten Steuerungseinrichtung 57 verbunden, von der die Steue- rungseinrichtung 50 Stellbefehle erhalten kann und an die die Steuerungseinrichtung 50 Meldungen senden kann. Der Bus 56 kann ein Feldbus sein, z. B. ein AS-i Bus (AS-i = Actor Sensor Interface), CAN-Bus oder ein Profibus. Die übergeordnete Steuerungseinrichtung 57 ist im vorliegenden Beispiel ein Bus-Master, während die lokale Steuerungseinrichtung 50 Bus- Slave ist. Es ist auch möglich, dass die lokale Steuerungs- einrichtung 50 auch ohne die übergeordnete Steuerungseinrich- tung 57 eingesetzt wird oder dass weitere Ventile oder An- triebe an die Steuerungseinrichtung 50 angeschlossen werden.

Die übergeordnete Steuerungseinrichtung 57 kann auch ganz entfallen. Ferner kann die lokale Steuerungseinrichtung 50 mit der übergeordneten Steuerungseinrichtung 57 auch über di- gitale Ein-und Ausgänge verbunden sein.

Ferner ist das Schnittstellenmodul 55 über Verbindungsleitun- gen 58 mit einem Anzeige-und Befehlseingabe-Modul 59 verbun- den. Von dem Anzeige-und Befehlseingabemodul 59 kann die Steuerungseinrichtung 50 z. B. über elektrische Handtaster eingegebene Stellbefehle empfangen. Weiter kann die Steue- rungseinrichtung 50 an das Modul 59 Meldungen ausgeben, die das Modul 59 beispielsweise über Leuchtdioden anzeigen kann.

Es ist auch möglich, dass das Modul 59 in die Steuerungsein- richtung 50 integriert ist oder ganz entfällt.

Das Ein-/Ausgabemodul 51 ist über eine Verbindung 61 mit dem Antrieb 39, über eine Verbindung 62 mit dem Antrieb 40 sowie über eine Verbindung 63 mit dem Antrieb 26 verbunden. Über die Verbindungen 61, 62 und 63 kann die Steuerungseinrichtung 50 die jeweils angeschlossenen Antriebe aktivieren. Ferner meldet der Drucksensor 41 über eine Verbindung 64, der Druck- sensor 42 über eine Verbindung 65 und der Drucksensor 27 über eine Verbindung 66 die jeweils erfassten Druckwerte an das Ein-/Ausgabemodul 51 und damit an die Steuerungseinrichtung 50. Weiter übermittelt der Sensor 16 über eine Verbindung 67 und der Sensor 17 über eine Verbindung 68 seine jeweils an dem Arbeitszylinder 10 erfassten Werte an die Steuerungsein- richtung 50. Die (Überwachungs-) Verbindgungen 64, 65, 66, 67 und 68sowie die (Steuer-) Verbindungen 61, 62 und 73 können diskrete Leitungen sein oder auch über einen Bus führen.

Im Folgenden wird anhand der Figuren 2 und 3 jeweils ein bei- spielhafter Prüfzyklus zur Überprüfung der sicheren Funktion der Anordnung aus Figur 1 dargestellt. Die Figuren 2 und 3 zeigen jeweils eine Tabelle, in deren linker, mit"ST"über-

schriebener Spalte Prüf-oder Arbeitsschritte eingetragen sind.

In den mit "31", "32" und "33' überschriebenen Spalten sind die Ruhestellung 31, die Ausfahrstellung 32 und die Einfahr- stellung 33 des Wegeventils 30 zur Betätigung des Arbeitszy- linders 10 eingezeichnet. Dabei bedeutet"0"in den Spalten "31", "32" und "33", dass das Wegeventil 30 die jeweilige Stellung nicht eingenommen hat. Ferner bedeutet"0ol"in der Spalte"32", dass der Antrieb 39 aktiviert wird und das Wege- ventil 30 die Ausfahrstellung 32 einnimmt und bei"1"er- reicht hat. In der Spalte"33"heisst"0ol", dass der An- trieb 40 aktiviert wird und das Wegeventil 30 die Einfahr- stellung 33 einnimmt und bei"l"erreicht hat. In der Spalte "31" eingetragene Werte stehen dafür, ob das Wegeventil 30 die Ruhestellung 31-durch Federkraft und Nicht-Aktivierung der Antriebe 39 oder 40-einnimmt ("O--l"), eingenommen hat ("l"), wieder verlässt ("lu0") oder schon verlassen hat ("0").

Analog wie die Spalten "32" und "33" sind die Spalten"20", "21"und"23"zu lesen. In der Spalte"23"heisst"0", dass der Antrieb 26 nicht durch die Steuerungseinrichtung 50 akti- viert ist und daher das Wegeventil 23 in Entlüftungsstellung (= Ruhestellung) ist. Die Wegeventile 20 und 21, deren An- steuerung durch die Druckluft auf der Leitung 22 in den Spal- ten"20"bzw."21"gezeigt ist, sind dabei in Ruhelage, also in Sperrstellung (11011). Wird der Antrieb 26 durch die Steue- rungseinrichtung 50 aktiviert ("0#1"), geht das Wegeventil 23 in Schaltstellung ("1"). Dadurch werden auch die Wegeven-

tile 20 und 21 angesteuert und gehen in Durchlassstellung (1").

Die Spalten"27", §41gs und"42"zeigen die von den Drucksen- soren 27, 41 und 42 an die Steuerungseinrichtung 50 gemelde- ten Signale, wobei"0"bedeutet"kein Druck liegt an"und"l" "Steuerdruck liegt an". Bei den im vorliegenden Fall digital arbeitenden Drucksensoren steht ein"X"für einen undefinier- ten Zwischenwert des anliegenden Druckes. Die digitale Melde- weise ("0"oder"1") ist jedoch nur beispielhaft zu verste- hen, denn die Drucksensoren 27, 41 und 42 können bei entspre- chender Ausgestaltung auch genaue Zwischenwerte des jeweils an ihnen anliegenden Druckes melden.

Die Spalten"16"und"17"zeigen die Meldungen der Sensoren 16 und 17. Dabei steht"0"dafür, dass der Kolben 11 von dem jeweiligen Sensor entfernt ist und der jeweilige Sensor ein digitales Signal"0"an die Steuerungseinrichtung 50 meldet, während sich der Kolben 11 bei"1"auf kürzester Distanz zu dem jeweiligen Sensor befindet.

Figur 2 zeigt einen Prüfzyklus beginnend mit einem Schritt 200 bei vollständig"eingefahrenem"Kolben 11. Der Sensor 17 gibt dabei das Signal"1", der Sensor 16 das Signal"0". Fer- ner sind das Wegeventil 23 und davon abhängig die Wegeventile 20 und 21 aktiviert und der Drucksensor 27 misst das Signal "1", so dass durch das Wegeventil 30 bei aktiver (="1") Ein- fahrstellung 33 Druckluft über die Leitungen 37 und 14 in den Arbeitszylinder 10 einströmen kann. Der Drucksensor 41 gibt

daher das Signal"l"aus, während der an die momentan entlüf- teten Leitung 38 angeschlossene Drucksensor"0"ausgibt.

In einem Schritt 201 wird zunächst der Arbeitszylinder 10 von den zu dem Wegeventil 30 führenden Leitung 37 und 38 und da- mit von einer unerwünschten Druckbeaufschlagung und Entlüf- tung getrennt. Die Steuerungseinrichtung 50 steuert dabei das Wegeventil 23 zur Einnahme der Entlüftungsstellung an, so dass die Leitung 22 entlüftet wird, der Drucksensor 27 auf "0"gehenden Druck meldet ("lu0") und die Wegeventile 20 und 21 in Sperrstellung gehen ("lu0"). In der Übergangsphase bis zur der Einnahme der Entlüftungsstellung des Wegeventils 23 geben Drucksensoren 41 und 42 ein undefiniertes Signal IlX''.

In einem Schritt 202 werden dann die Wegeventile 20 und 21 sowie die Drucksensoren 41 und 42 geprüft. Da die Wegeventile 20 und 21 in Sperrstellung sind, kann nun ohne Beeinflussung des Arbeitszylinders 10 das Wegeventil 30 betätigt werden.

Die Steuerungseinrichtung 50 aktiviert dazu den Antrieb 39 und deaktiviert den Antrieb 40, so dass das Wegeventil von der Einfahrstellung 33 in die Ausfahrstellung 32 umschaltet, der Drucksensor 42 wegen in die Leitung 38 einströmender Druckluft ein von"0"nach"1"wechselndes, der Drucksensor 41 wegen der nunmehr sich entlüftenden Leitung 37 ein von Z nach"0"wechselndes Signal meldet. Ist dies nicht der Fall, liegt an ein Fehler vor, den die Steuerungseinrichtung 50 er- kennt und beispielsweise an die übergeordnete Steuerungsein- richtung 57 meldet.

In einem Schritt 203 wird dann das Wegeventil 30 in Ruhestel- lung 31 gebracht, indem die Steuerungseinrichtung 50 auch den Antrieb 39 deaktiviert. Die Leitungen 37 und 38 und damit auch die Kammern des Arbeitszylinders 10 werden dann sowohl durch die Wegeventile 20 und 21 als auch durch das Wegeventil 30 von einer Druckbeaufschlagung oder einer Entlüftung ge- trennt.

Daher können ohne weitere Auswirkung auf den Arbeitszylinder 10 in einem Schritt 204 das Wegeventil 23 und davon abhängig die Wegeventile 20 und 21 aktiviert werden. Deren jeweilige Stellsignale gehen wie auch der von dem Drucksensor 27 gemes- sene Wert von"0"auf"1". Sofern dies nicht der Fall ist, liegt ein Fehler bei den Abschaltmitteln vor, den die Steue- rungseinrichtung 50 erkennt. Es ist auch möglich, dass in den Wegeventilen 23, 20 und 21 jeweils mit der Steuerungseinrich- tung 50 verbundene Sensoren angeordnet sind, deren Signale die Steuerungseinrichtung 50 bei dem Schritt 203 überprüft.

Wenn dabei ein Fehler auftritt, kann die Steuerungseinrich- tung 50 daraus auf einen sicherheitskritischen Zustand schliessen und eine Gegenmaßnahme vornehmen, z. B. eine weite- re Betätigung des Wegeventils 30 verhindern. Wenn bei dem Schritt 204 das Wegeventil 20 in Durchlassstellung geht, kann noch in Arbeitszylinder 10 lagerdeckelseitig sowie in der Leitung 14 befindliche Druckluft in die Leitung 37 einströ- men, so dass der Drucksensor 41 von"0"auf"l"wechselnde Werte signalisiert, die von der Steuerungseinrichtung 50 als zu erwartende Werte überwacht werden und bei deren Nichtvor- liegen die Steuerungseinrichtung 50 einen sicherheitskriti- schen Zustand ermittelt.

Ist der Schritt 204 fehlerlos abgearbeitet, steuert die Steu- erungseinrichtung 50 in einem Schritt 205 das Wegeventil 30 wieder in Einfahrstellung 33 und zwar durch Aktivierung des Antriebes 40, also durch Gabe eines von"0"nach"1"wech- selnden Stellsignales. Dadurch wird die Leitung 15 über die Leitung 38 und den Entlüftungsausgang 36 entlüftet, der Drucksensor 42 meldet bei störungsfreiem Betrieb von"1"auf "0"wechselnde Werte.

Der Prüfzyklus bei"eingefahrenem"Arbeitszylinder 10 ist da- mit beendet. Ein solcher Prüfzyklus kann jederzeit auch bei Nichtbewegen des Arbeitszylinders 10, z. B. in festen Zeitin- tervallen, wiederholt werden sowie auch beispielsweise nach- dem der Arbeitszylinder 10"eingefahren"worden ist. oder be- vor der Arbeitszylinder 10"ausgefahren"wird. Ein solcher "Ausfahrvorgang"ist in einem Schritt 206 dargestellt. Dabei aktiviert die Steuerungseinrichtung 50 den Antrieb 39 durch Gabe eines von"0"nach"1"wechselnden Stellsignales.

Zugleich deaktiviert die Steuerungseinrichtung 50 den Antrieb 40, so dass die Leitung 14 über die Leitung 37 und den Ent- lüftungsausgang 35 entlüftet wird und der Drucksensor 41 bei störungsfreiem Betrieb von"1"auf W0"wechselnde Werte mel- det, während die Leitungen 38 und 15 mit Druckluft beauf- schlagt werden, der Drucksensor 42 von "0" nach "1" wachseln- de Werte meldet und der Kolben 11 aus dem Arbeitszylinder 10 "ausfährt". Hat der Kolben 11 die Lagerdeckelseite erreicht, meldet der Sensor 16 ein Signal"1", der Sensor 17 ein Signal 11011.

Die dann erreichte Ausfahr-Endstellung ist zugleich die in Figur 3 dargestellte Ausgangslage, dort als Schritt 300 be- zeichnet. Auch in Ausfahr-Endstellung kann ein Prüfzyklus durchlaufen werden, wie im Folgenden dargestellt wird.

In einem dem Schritt 201 entsprechenden und gleichwirkenden Schritt 301 wird zunächst der Arbeitszylinder 10 von den zu dem Wegeventil 30 führenden Leitungen 37 und 38 und damit von einer unerwünschten Druckbeaufschlagung und Entlüftung ge- trennt.

In einem dem Schritt 202 entsprechenden Schritt 302 werden dann die Wegeventile 20 und 21 sowie die Drucksensoren 41 und 42 geprüft. Die Wegeventile 20 und 21 sind in Sperrstellung und das Wegeventil 30 kann daher von der Steuerungseinrich- tung 50 ohne Beeinflussung des Arbeitszylinders 10 von der Ausfahrstellung 32 in die Einfahrstellung 33 umschaltet wer- den. Die Steuerungseinrichtung 50 aktiviert dazu den Antrieb 40 und deaktiviert den Antrieb 39, so dass der Drucksensor 41 wegen in die Leitung 37 einströmender Druckluft ein von"0" nach"1"wechselndes, der Drucksensor 42 wegen der nunmehr sich entlüftenden Leitung 38 ein von"1"nach'10ll wechselndes Signal meldet. Ist dies nicht der Fall, liegt ein sicher- heitskritischer Fehler vor, den die Steuerungseinrichtung 50 erkennt und beispielsweise eine Warn-Leuchtdiode an dem An- zeige-und Befehlseingabemodul 59 ansteuert.

In einem Schritt 303 deaktiviert die Steuerungseinrichtung 50 auch den Antrieb 40, so dass das Wegeventil 30 in Ruhestel- lung geht und die Leitungen 37 und 38 weder entlüftet noch

extern mit Druckluft beaufschlagt werden können. Dann können in einem Schritt 204 das Wegeventil 23 und davon abhängig die Wegeventile 20 und 21 wieder aktiviert werden und dabei in Durchlassstellung gehen, so dass noch im Arbeitszylinder 10 abschlussdeckelseitig sowie in der Leitung 15 befindliche Druckluft in die Leitung 38 einströmen und der Drucksensor 42 von"0"auf"l"wechselnde Werte signalisiert. Diese werden von der Steuerungseinrichtung 50 als zu erwartende Werte ü- berwacht, so dass die Steuerungseinrichtung 50 bei einer Stö- rung einen sicherheitskritischen Fehler meldet.

In einem Schritt 305 aktiviert die Steuerungseinrichtung 50 wieder den Antrieb 39, so dass das Wegeventil 30 wieder in Ausfahrstellung geht und in den Leitungen 14 und 37 befindli- che Druckluft entweichen kann. Der Drucksensor 41 meldet dann von"1"auf"0"wechselnde Werte. Auch dieser nunmehr abge- schlossene Prüfzyklus kann jederzeit wiederholt werden.

Ein Schritt 306 zeigt, wie der Kolben 11 wieder §§eingefahren" werden kann. Dabei wird der Antrieb 39 deaktiviert, der An- trieb 40 aktiviert. Der Drucksensor 42 meldet durch Entlüf- tung sinkende Druckwerte, der Drucksensor 41 durch Beauf- schlagung mit Druckluft steigende Druckwerte. Nachdem der Kolben 11 den Abschlussdeckel erreicht hat, gibt der Sensor 17 das Signal"1", der Sensor 16 das Signal"0"aus.

Die Steuerungseinrichtung 50 kann die anhand von Figur 2 und Figur 3 dargestellten Prüfschritte nach vorbestimmten, z. B. durch Konfigurationsdaten festgelegten Kriterien selbständig durchführen. Es ist auch möglich, dass der Steuerungseinrich-

tung 50 an dem Anzeige-und Befehlseingabe-Modul 59 oder von der übergeordneten Steuerungseinrichtung 57 ein Befehl zur Durchführung der Prüfschritte gegeben wird. Ferner kann die Steuerungseinrichtung 50 von dort auch einen sicherheitsori- entierten Befehl empfangen, in dem die Steuerungseinrichtung 50 dazu angewiesen wird, einen sicherheitskritischen Zustand zu beenden, indem die Steuerungseinrichtung 50 beispielsweise die Wegeventile 20 und 21 in Sperrstellung bringt.

Figur 4 zeigt im Wesentlichen die aus Figur 1 bekannte Anord- nung, wobei gleiche oder gleichwirkende Komponenten mit den- selben Bezugszeichen versehen sind. Allerdings sind die als Abschaltmittel eingesetzten Komponenten, insbesondere die We- geventile 20, 21 und 23 nebst Leitungen, sowie der als Ab- schalte-Überprüfungsmittel eingesetzte Drucksensor 27 nicht mehr enthalten. Ferner entfällt auch der Sensor 17, während der Sensor 16 nunmehr als Abstandssensor ausgebildet ist, der den Abstand des Kolbens 11 vom Lagerdeckel des Arbeitszylin- ders 10 erfasst. Weiter ist ein Drucksensor 70 gezeigt, der den Druck der von der Druckquelle 34 gelieferten und über die Leitung 69 zu dem Wegeventil 30 geführten Druckluft erfasst und über eine Verbindung 71 an die Steuerungseinrichtung 50 meldet. Die Steuerungseinrichtung 50 kann den von der Druck- quelle 34 in die Leitung 69 eingespeisten Druck über ein Drosselventil 72 einstellen, das über eine Steuer-Verbindung 73 an das Ein-/Ausgabemodul 51 angeschlossen ist. Das Dros- selventil 72 ist damit Bestandteil der Steuermittel.

Durch Steuerung des Wegeventils 30 bestimmt die Steuerungs- einrichtung 50, wie bereits oben erläutert, die Bewegungs-

richtung des Kolbens 11, durch Steuerung des Drosselventils 72 dessen Haltekräfte sowie dessen Bewegungsgeschwindigkeit.

Die Bewegungsgeschwindigkeit kann die Steuerungseinrichtung 50 anhand der von dem Sensor 16 gemessenen, bei Bewegung des Kolbens 11 sich verändernden Abstandes des Kolbens 11 von dem Lagerdeckel ermitteln.

Ist die Bewegungsgeschwindigkeit des Kolbens 11 zu groß, ver- mindert die Steuerungseinrichtung 50 über das Drosselventil 72 den Druck auf der Leitung 69, ist die Bewegungsgeschwin- digkeit zu klein, erhöht sie den Druck. Nun kann jedoch an dem Drosselventil ein Defekt auftreten, so dass beispielswei- se Druckluft mit ungehindert hohem Druck auf den Kolben 11 einwirkt und dieser mit zerstörerischer Geschwindigkeit be- wegt wird. Die Steuerungseinrichtung 50 erkennt jedoch mit Hilfe des Sensors 16 einen solchen sicherheitskritischen Zu- stand und steuert daher in einer"Notaus-Funktion"das Wege- ventil 30 in die Ruhestellung 31, so dass der Arbeitsraum 13 von der Druckquelle 34 getrennt und zugleich an einer Entlüf- tung gehindert ist und deshalb der Kolben 11 abgebremst wird.

Auch wenn an dem Wegeventil 30 ein sicherheitskritischer Feh- ler auftritt, kann die Steuerungseinrichtung 50 diesen erken- l nen und eine Folgereaktion zu dessen Abhilfe bewirken. Wenn nämlich das Wegeventil 30 beispielsweise in Ausfahrstellung 32 ist, so müssen von dem Drucksensor 42 und dem Drucksensor 70 übereinstimmende Druckwerte ermittelt werden, die wesent- lich höher sind, als die von dem Drucksensor 41 in Folge der Entlüftung der Leitung 14 gemessenen Werte. Ist dies nicht der Fall, erkennt die Steuerungseinrichtung 50 dieses Problem

und signalisiert das Problem in einer Sicherheitswarnmeldung an die übergeordnete Steuerungseinrichtung 57. Diese kann dann beispielsweise die Steuerungseinrichtung 50 in einem Si- cherheits-Notbefehl dazu anweisen, das Drosselventil 72 kom- plett zu schliessen.

Es ist auch möglich, dass die Steuerungseinrichtung 50 eine nicht gezeigte untergeordnete Steuerungseinrichtung in der dargestellten Weise sicherheitsorientiert ansteuert und z. B. auf eine von dieser gesendeten Warn-Meldungen den Arbeitszy- linder 10 in einer"Notaus-Funktion"absperrt.