Die Erfindung betrifft ferner Sicherheitsschaltgeräte zur Ver- wendung in einer solchen Vorrichtung, die einerseits einen Ein- gang zum Aufnehmen eines potentialbezogenen Schaltsignals sowie eine Auswerte-und Steuereinheit aufweisen, die mit dem Eingang verbunden ist und/oder andererseits eine Auswerte-und Steuer- einheit, einen Ausgang sowie ein elektronisches Schaltelement aufweisen, das in Abhängigkeit von der Auswerte-und Steuerein- heit ein potentialbezogenes Schaltsignal an dem Ausgang er- zeugt.

Eine solche Vorrichtung und entsprechende Sicherheitsschaltge- räte sind aus der WO 01/67610 A1 bekannt.

Sicherheitsschaltgeräte der hier verwendeten Art werden vor al- lem in industriellen Produktionsumgebungen verwendet, um Ma- schinen, wie bspw. eine hydraulische Presse oder ein Fräswerk- zeug, zuverlässig und sicher abzuschalten, wenn dies für die Sicherheit von Bedienpersonen oder aus anderen Gründen erfor- derlich ist. Die gattungsgemäßen Sicherheitsschaltgeräte besit- zen einen oder mehrere Eingänge, an die Stellelemente wie bspw.

Not-Aus-Taster, Zwei-Hand-Taster, Schutztüren oder Lichtschran- ken angeschlossen werden können. Die Auswerte-und Steuerein- heit wertet die Eingangssignale dieser Stellglieder auf fehler- sichere Art und Weise aus und erzeugt in Abhängigkeit davon wiederum auf fehlersichere Art und Weise ein ausgangsseitiges Schaltsignal. Dieses Schaltsignal betätigt Aktoren, insbesonde- re Schütze, mit denen die Maschine wiederum fehlersicher abge- schaltet wird.

Der Begriff"fehlersicher"bedeutet in diesem Zusammenhang, daß ein Abschalten der Maschine unter allen Umständen gewährleistet sein muß, und zwar auch dann, wenn innerhalb der Kette aus Stellelement, Sicherheitsschaltgerät und Aktor ein Funktions- fehler auftritt. Sicherheitsschaltgeräte müssen daher so ausge- legt sein, daß auch bei Ausfall eines Bauelements, bei Kabel- brüchen oder bei anderen Funktionsstörungen stets ein sicherer Zustand der überwachten Maschine gewährleistet ist. Dementspre- chend werden mit dem Begriff Sicherheitsschaltgerät hier nur solche Einrichtungen und Geräte bezeichnet, die zumindest die Kategorie 3 der europäischen Norm EN 954-1 oder vergleichbare Anforderungen erfüllen.

Konventionell wurden und werden gattungsgemäße Sicherheits- schaltgeräte bis heute vielfach mit diskreten Bauteilen und mit elektromechanischen Schaltelementen (Relais) aufgebaut. Erst seit wenigen Jahren geht man dazu über, Sicherheitsschaltgeräte auch unter Verwendung elektronischer Bauelemente und insbeson- dere elektronischer Schaltelemente (Bipolar-und/oder Feldef- fekttransistoren) aufzubauen. In der WO 01/67610 AI sind Si- cherheitsschaltgeräte sowie Vorrichtungen mit kombinierten Si- cherheitsschaltgeräten beschrieben, die am Ausgang potentialbe- zogene Schaltsignale liefern. Im Gegensatz dazu verwenden die herkömmlichen Sicherheitsschaltgeräte potentialfreie Ausgänge.

Aufgrund der potentialbezogenen Ausgänge ist es mit den Sicher- heitsschaltgeräten der WO 01/67610 Al nicht mehr sinnvoll, die Ausgänge mehrerer Sicherheitsschaltgeräte in einer Reihe mit- einander zu verschalten, um ein Sicherheitsschaltgeräte-System zu erhalten. Die WO 01/67610 AI schlägt daher eine neue Mög- lichkeit vor, um Sicherheitsschaltgeräte mit potentialbezogenen Ausgängen zu einem System zu kombinieren. Dabei werden die po- tentialbezogenen Ausgänge eines ersten Sicherheitsschaltgerätes mit speziellen Eingängen eines nachfolgenden, zweiten Sicher- heitsschaltgerätes verbunden. Insgesamt ergibt sich dadurch ei- ne Vorrichtung, die sehr flexibel und vielseitig einsetzbar ist. Bei der bekannten Vorrichtung ist es allerdings zum Errei- chen einer maximalen Fehlersicherheit erforderlich, jeweils zu- mindest zwei potentialbezogene Ausgänge des ersten Sicherheits- schaltgerätes parallel mit zumindest zwei entsprechenden Ein- gängen des zweiten Sicherheitsschaltgerätes zu verbinden.

Aus der DE 100 37 737 AI sind ein Verfahren und eine Vorrich- tung zur sicheren einkanaligen Auswertung von Sensorsignalen bekannt. Dabei werden aus redundant erzeugten Sensorsignalen weitere Redundanzsignale abgeleitet. Sämtliche Signale werden anschließend digitalisiert, in ein einkanaliges digitales Sig- nal umgesetzt und an eine übergeordnete Verarbeitungseinheit übertragen. Das beschriebene Verfahren ist jedoch nicht geeig- net, um mehrere Sicherheitsschaltgeräte der oben beschriebenen Art zu einem System von Sicherheitsschaltgeräten zu kombinie- ren, wie es aus der WO 01/67610 Al bekannt ist.

Es ist daher eine Aufgabe der vorliegenden Erfindung, die ein- gangs beschriebene Vorrichtung mit kombinierten Sicherheits- schaltgeräten derart weiterzubilden, daß ein einfacherer und schnellerer Aufbau und damit eine schnellere Installation in einer Produktionsanlage möglich ist. Es ist ferner Aufgabe der Erfindung, entsprechend geeignete Sicherheitsschaltgeräte an- zugeben.

Diese Aufgabe wird bei der eingangs genannten Vorrichtung da- durch gelöst, daß das erste und das zweite Sicherheitsschaltge- rät über eine einkanalige Verbindungsleitung miteinander ver- bunden sind, und daß das zweite Sicherheitsschaltgerät zumin- dest zwei Eingangskreise aufweist, denen das potentialbezogene Schaltsignal des ersten Sicherheitsschaltgerätes redundant zu- einander zugeführt ist. Dementsprechend genügt es, wenn der Ausgang des ersten Sicherheitsschaltgerätes einkanalig zum Anschluß an eine einkanalige Verbindungsleitung ausgelegt ist.

Das zweite Sicherheitsschaltgerät ist dadurch gekennzeichnet, daß zumindest zwei Eingangskreise vorhanden sind, denen das po- tentialbezogene Schaltsignal von dem einen Eingang redundant zueinander zugeführt ist.

Die Erfindung beruht auf der überraschenden Erkenntnis, daß bei der eingangs beschriebenen Vorrichtung eine ausreichende Feh- lersicherheit auch mit einer einkanaligen Verbindungsleitung zwischen dem ersten und zweiten Schaltgerät gewährleistet wer- den kann. Dies war im vorhinein nicht zu erwarten, da bei der Auslegung und Konstruktion von Sicherheitsschaltvorrichtungen grundsätzlich eine durchgehende Redundanz in allen Schaltungs- bestandteilen für erforderlich gehalten wurde. Im vorliegenden Fall kann die Verbindungsleitung zwischen den beiden Sicher- heitsschaltgeräten jedoch einkanalig ausgeführt werden, da si- cherheitskritische Situationen in Folge von Bauteilversagen und dergleichen anderweitig abgefangen werden. Werden nämlich an die einkanalige Verbindungsleitung zusätzlich zu dem zweiten Sicherheitsschaltgerät noch ein oder mehrere Schütze ange- schlossen, kann das Ein-und Abschalten der Schütze dadurch fehlersicher überwacht werden, daß die zwangsgeführten Hilfs- kontakte der Schütze in an sich bekannter Weise auf einen Ein- gang des ersten Sicherheitsschaltgerätes zurückgeführt werden.

Es ist in diesem Fall nicht erforderlich, die Schütze an zwei getrennte, redundante Verbindungsleitungen anzuschließen.

Werden demgegenüber in einer praktischen Realisierung keine Schütze an die einkanalige Verbindungsleitung angeschlossen, entfällt diese Möglichkeit, das potentialbezogene Schaltsignal am Ausgang des ersten Schaltgeräts zu überwachen. Es hat sich jedoch gezeigt, daß auf eine solche Überwachung in diesem Fall auch verzichtet werden kann, da ein Schaltvorgang nur noch am Ausgang des zweiten Sicherheitsschaltgerätes erfolgt. Es genügt daher, das potentialbezogene Schaltsignal auf fehlersichere Art und Weise, d. h. in aller Regel zweikanalig, am Eingang des zweiten Schaltgerätes auszuwerten. Dementsprechend weist das zweite Sicherheitsschaltgerät hier die zumindest zwei zueinan- der redundanten Eingangskreise auf.

Bei der neuen Vorrichtung sind das erste und das zweite Sicher- heitsschaltgerät daher nur noch über die einkanalige Verbin- dungsleitung miteinander verbunden, wodurch der Verdrahtungs- aufwand bei der Installation reduziert wird. Dementsprechend ist die Installation einfacher und schneller möglich. Darüber hinaus benötigt das erste Sicherheitsschaltgerät weniger Aus- gangsanschlüsse und das zweite Sicherheitsschaltgerät weniger Eingangsanschlüsse. Infolgedessen kann die Baugröße der Sicher- heitsschaltgeräte verkleinert werden oder es stehen bei glei- cher Baugröße zusätzliche Anschlüsse für andere Verwendungen zur Verfügung. Die vorliegende Erfindung führt daher auch zu einer Kostenreduktion bei der Konstruktion und Produktion von erfindungsgemäßen Sicherheitsschaltgeräten.

Die genannte Aufgabe ist daher vollständig gelöst.

In einer bevorzugten Ausgestaltung weist das erste Sicherheits- schaltgerät einen Modulator auf, der das potentialbezogene Schaltsignal mit einem statischen Signalanteil und einem dyna- mischen Signalanteil versieht.

In dieser Ausgestaltung ist das erste Sicherheitsschaltgerät in der Lage, dem nur einkanalig übertragenen Schaltsignal zwei ei- genständige Signalinformationen aufzuprägen. Hierdurch ist es möglich, trotz der nur einkanaligen Verbindungsleitung zueinan- der redundante Informationen an das zweite Sicherheitsschaltge- rät zu übertragen. Dies ist für eine fehlersichere Realisierung selbst nach der (höchsten) Sicherheitskategorie 4 der europäi- schen Norm EN 954-1 aus den bereits oben erläuterten Gründen zwar nicht zwingend erforderlich, es erleichtert jedoch eine derartige Realisierung. Insbesondere kann in dieser Ausgestal- tung eine größere Flexibilität bei der externen Beschaltung der Sicherheitsschaltgeräte mit Aktoren, insbesondere Schützen, zu- gelassen werden. Dadurch vereinfacht sich die Installation der neuen Vorrichtung noch weiter.

In einer weiteren Ausgestaltung ist der statische Signalanteil ein positiver Signalpegel und der dynamische Signalanteil bein- haltet zumindest einen zyklisch wiederkehrenden Impuls, der den positiven Signalpegel verändert. Grundsätzlich kann der Impuls positiv oder negativ sein. Bevorzugt ist die Dauer des zyklisch wiederkehrenden Impulses sehr kurz im Vergleich zu der Dauer, während der das potentialbezogene Schaltsignal den positiven Signalpegel aufweist. In praktischen Versuchen haben sich Im- pulsdauern von 1 ms und weniger als vorteilhaft erwiesen.

Diese Ausgestaltung erlaubt es, Schütze direkt, d. h. ohne wei- tere Interface-Schaltungen, an die einkanalige Verbindungslei- tung zwischen dem ersten und dem zweiten Sicherheitsschaltgerät anzuschließen. Das zweite Sicherheitsschaltgerät und ggf. wei- tere nachfolgende Sicherheitsschaltgeräte können damit Schalt- vorgänge auslösen, die die genannten Schütze nicht beeinflus- sen. Dies ermöglicht den einfachen Aufbau einer hierarchischen Steuerung, mit der verschiedene Teile einer Gesamtanlage in un- terschiedlichen Gruppen abgeschaltet werden können. So ist es bspw. möglich, bei Betätigung eines Not-Aus-Schalters, der am ersten Schaltgerät angeschlossen ist, die gesamte Maschinenan- lage stromlos zu machen, während beim Öffnen einer Schutztür, die an einem zweiten Sicherheitsschaltgerät angeschlossen ist, nur ein Ventil oder ein einzelner Antrieb abgeschaltet wird.

Solange die Dauer eines einzelnen Impulses kurz gegenüber der Abfallzeit der verwendeten Schütze ist, wird die Schaltfunktion der Schütze durch den dynamischen Signalanteil selbst dann nicht beeinflußt, wenn die Impulse negativ sind.

In einer weiteren Ausgestaltung weisen die zumindest zwei Ein- gangskreise des zweiten Sicherheitsschaltgerätes zumindest zwei zueinander redundante Schwellwertvergleicher auf.

In dieser Ausgestaltung wertet das zweite Sicherheitsschaltge- rät im wesentlichen den statischen Signalanteil, insbesondere den anliegenden Signalpegel des potentialbezogenen Schaltsig- nals, aus. Aufgrund der Redundanz erfolgt diese Auswertung hier in einer Art und Weise, die die Anforderungen der Kategorie 4 der EN 954-1 erfüllt. Die Maßnahme stellt eine einfache und kostengünstige Möglichkeit dar, um trotz der nur einkanaligen Verbindungsleitung eine hohe Fehlersicherheit zu erreichen.

In einer weiteren Ausgestaltung weist zumindest ein Eingangs- kreis einen Schwellwertvergleicher und ein anderer Eingangs- kreis einen Impulsdetektor auf.

In dieser Ausgestaltung ist das zweite Sicherheitsschaltgerät in der Lage, sowohl einen statischen als auch einen dynamischen Signalanteil des potentialbezogenen Schaltsignals auszuwerten.

Dementsprechend ist das zweite Sicherheitsschaltgerät in dieser Ausgestaltung besonders geeignet, um redundante Signalinforma- tionen, die von dem ersten Sicherheitsschaltgerät einkanalig übertragen werden, vollständig auszuwerten. Die Maßnahme stellt eine weitere, einfache Möglichkeit dar, um die gewünschte Feh- lersicherheit der Gesamtanordnung zu gewährleisten. Darüber hinaus erfolgt die Auswertung in dieser Ausgestaltung diversi- tär, was bekanntermaßen zu einer noch höherer Fehlersicherheit führt.

In einer weiteren Ausgestaltung weist das erste Sicherheits- schaltgerät zumindest einen Schwellwertvergleicher, bevorzugt sogar zumindest zwei zueinander redundante Schwellwertverglei- cher, auf. Dem bzw. den Schwellwertvergleichern ist/sind ein- gangsseitig das potentialbezogene Schaltsignal zugeführt und ausgangsseitig sind sie mit der ersten Auswerte-und Steuerein- heit verbunden.

In dieser Ausgestaltung ist das erste Sicherheitsschaltgerät in der Lage, den Pegel des potentialbezogenen Schaltsignals am Ausgang eigenständig zu überwachen. In der bevorzugten Ausges- taltung erfolgt dies aufgrund der zueinander redundanten Schwellwertvergleicher sogar gemäß den Anforderungen der Kate- gorie 4 der EN 954-1. Die Ausgestaltung vereinfacht den Anschluß von externen Schützen an die einkanalige Verbindungs- leitung, da entsprechend weniger externe Sicherungsmaßnahmen durchgeführt werden müssen.

In einer weiteren Ausgestaltung sind an die einkanalige Verbin- dungsleitung ferner zumindest zwei externe Schaltelemente, ins- besondere Schütze, angeschlossen.

In dieser Ausgestaltung macht die neue Vorrichtung von den be- reits oben erläuterten Vorteilen Gebrauch. Die Ausgestaltung ermöglicht den einfachen Aufbau einer hierarchischen Steuerung, bei der die einzelnen Hierarchieebenen allein durch die Positi- on der externen Schaltelemente in der Kette der Sicherheits- schaltgeräte bestimmt wird. Im Vergleich zu komplexen Sicher- heitssteuerungen entfällt jeglicher Programmieraufwand.

In einer weiteren Ausgestaltung sind die externen Schaltelemen- te elektromechanische Schaltelemente mit jeweils zumindest zwei durch eine Zwangsführung verbundenen Schaltkontakten.

Auch diese Ausgestaltung knüpft an die bereits oben erläuterten Vorteile an. Die zwangsgeführten Hilfskontakte können in dieser Ausgestaltung sehr einfach für eine zusätzliche Rückkopplung auf den Eingang des ersten Sicherheitsschaltgerätes genutzt werden, wodurch die Fehlersicherheit der gesamten Vorrichtung weiter erhöht ist.

In einer weiteren Ausgestaltung ist jeweils einer der durch die Zwangsführung verbundenen Schaltkontakte auf einen Eingang des ersten Sicherheitsschaltgerätes verbunden.

Diese Ausgestaltung macht von den durch die zwangsgeführten Hilfskontakte gegebenen Möglichkeiten in vorteilhafter Weise Gebrauch. Daher kann in besonders einfacher Weise eine Vorrich- tung realisiert werden, die den Anforderungen der (höchsten) Sicherheitskategorie 4 der EN 954-1 oder vergleichbaren Anfor- derungen genügt.

In einer weiteren Ausgestaltung sind die externen Schaltelemen- te getrennt von dem ersten Sicherheitsschaltgerät mit einem Be- zugspotential verbunden.

In dieser Ausgestaltung sind die externen Schaltelemente ge- trennt von dem ersten Sicherheitsschaltgerät an eine Masse- schiene oder dergleichen angeschlossen. Alternativ hierzu ist es grundsätzlich möglich und in der Praxis durchaus verbreitet, externe Schaltelemente über eine Klemme des ersten Sicherheits- schaltgerätes mit dem Bezugspotential (Masse) zu verbinden. Die bevorzugte Ausgestaltung bietet demgegenüber eine erhöhte Si- cherheit, da in diesem Fall selbst ohne zusätzliche Sicher- heitsmaßnahmen, wie bspw. die Verwendung redundanter Signalin- formationen, eine unbeabsichtigte Schaltreaktion des zweiten Sicherheitsschaltgerätes ausgeschlossen ist. Die Fehlersicher- heit der gesamten Vorrichtung wird hierdurch weiter erhöht.

In einer weiteren Ausgestaltung weist das zweite Sicherheits- schaltgerät zumindest einen weiteren Eingang zum Aufnehmen ei- nes weiteren Schaltsignals sowie eine Verknüpfungseinheit auf, die das weitere Schaltsignal mit dem potentialbezogenen Schalt- signal logisch verknüpft.

Die logische Verknüpfung ist bevorzugt eine UND-Verknüpfung, sie kann aber auch eine ODER-Verknüpfung oder eine andere logi- sche Verknüpfung sein. Das zweite Sicherheitsschaltgerät ver- knüpft das weitere Schaltsignal, das bspw. von einem externen Stellelement oder einem anderen Sicherheitsschaltgerät erzeugt wird, mit dem potentialbezogenen Schaltsignal des ersten Si- cherheitsschaltgerätes. In dieser Ausgestaltung ist eine beson- ders flexible und variantenreiche Realisierung der neuen Vor- richtung möglich.

Es versteht sich, daß die vorstehend genannten und die nach- stehend noch zu erläuternden Merkmale nicht nur in der jeweils angegebenen Kombination, sondern auch in anderen Kombinationen oder in Alleinstellung verwendbar sind, ohne den Rahmen der vorliegenden Erfindung zu verlassen.

Ausführungsbeispiele der Erfindung sind in der Zeichnung dargestellt und werden in der nachfolgenden Beschreibung näher erläutert. Es zeigen : Fig. 1 ein Ausführungsbeispiel einer erfindungsgemäßen Vor- richtung in einer schematischen Darstellung, Fig. 2 Details des ersten und zweiten Sicherheitsschaltgerä- tes in dem Ausführungsbeispiel gemäß Fig. 1, und Fig. 3 Details des ersten und zweiten Sicherheitsschaltgerä- tes in einem weiteren Ausführungsbeispiel der Erfin- dung.

In Fig. 1 ist eine erfindungsgemäße Vorrichtung in ihrer Ge- samtheit mit der Bezugsziffer 10 bezeichnet.

Die Vorrichtung 10 beinhaltet im vorliegenden Ausführungsbei- spiel drei Sicherheitsschaltgeräte 12,14, 16, die in der nach- folgend erläuterten Weise zu einem Sicherheitsschaltgeräte- System kombiniert sind. Das Sicherheitsschaltgerät 12 ist ein erstes Sicherheitsschaltgerät in der Terminologie der vorlie- genden Erfindung. Es besitzt einen Eingang 18, an dem hier ein Not-Aus-Taster 20 zweikanalig angeschlossen ist. Ein weiterer Eingang ist mit der Bezugsziffer 22 bezeichnet. Hier ist in der nachfolgend näher beschriebenen Art und Weise ein Rückführsig- nal angeschlossen.

Das Sicherheitsschaltgerät 12 besitzt des weiteren einen einka- naligen Ausgang 24, an dem eine einkanalige Verbindungsleitung 26 angeschlossen ist.

Das Sicherheitsschaltgerät 14 ist im Grundsatz ähnlich aufge- baut wie das Sicherheitsschaltgerät 12. Es unterscheidet sich von letzterem jedoch in Details, insbesondere dadurch, daß es hier zum Anschluß einer Schutztür ausgebildet ist. Hierzu be- sitzt das Sicherheitsschaltgerät 14 einen Eingang 28, an den eine Schutztür 30 zweikanalig angeschlossen ist. Ein weiterer Eingang ist mit der Bezugsziffer 32 bezeichnet. Der Eingang 32 ist einkanalig ausgebildet und über die Verbindungsleitung 26 mit dem Ausgang 24 des Sicherheitsschaltgerätes 12 verbunden.

Dementsprechend ist das Sicherheitsschaltgerät 14 hier ein zweites Sicherheitsschaltgerät in der Terminologie der vorlie- genden Erfindung. Darüber hinaus besitzt das Sicherheitsschalt- gerät 14 hier jedoch auch die Funktion eines ersten Sicher- heitsschaltgerätes im Sinne der vorliegenden Erfindung, da es dem Sicherheitsschaltgerät 16 wiederum vorgeschaltet ist.

Das Sicherheitsschaltgerät 14 besitzt dementsprechend ebenfalls einen einkanaligen Ausgang, der hier mit der Bezugsziffer 34 bezeichnet ist. An den Ausgang 34 ist eine wiederum einkanalige Verbindungsleitung 36 angeschlossen.

Das Sicherheitsschaltgerät 16 entspricht in seinem Aufbau dem Sicherheitsschaltgerät 14. Es ist im vorliegenden Ausführungs- beispiel ebenfalls ein Schutztürüberwachungsgerät. Dementspre- chend besitzt es einen Eingang 38, an den hier wiederum zweika- nalig eine Schutztür 40 angeschlossen ist. Ein weiterer Eingang ist mit der Bezugsziffer 42 bezeichnet. Der Eingang 42 ist ein- kanalig ausgebildet und über die Verbindungsleitung 36 mit dem Ausgang 34 des Sicherheitsschaltgerätes 14 verbunden. Ein ein- kanaliger Ausgang des Sicherheitsschaltgerätes 16 ist mit der Bezugsziffer 44 bezeichnet. An den Ausgang 44 ist eine einkana- lige Verbindungsleitung 46 angeschlossen. Ein weiterer Eingang ist mit der Bezugsziffer 48 bezeichnet. Hier ist in nachfolgend näher erläuterter Weise eine Rückführung angeschlossen.

Die Ausbildung der Sicherheitsschaltgeräte 12,14, 16 als Not- Aus-bzw. Schutztürüberwachungsgeräte ist hier beispielhaft zu verstehen. Es könnte sich hier ebenfalls um Zwei-Hand-Taster- Überwachungsgeräte, Drehzahlüberwachungsgeräte, Lichtschranken- überwachungsgeräte oder beliebige andere sicherheitsgerichtete Schaltgeräte handeln. Darüber hinaus könnten die Schaltgeräte auch eine integrierte Sensorfunktion haben. Beispielsweise könnte das erste Sicherheitsschaltgerät die Ausgangsstufe einer Lichtschranke sein.

Alle genannten Sicherheitsschaltgeräte besitzen in der Praxis weitere Eingänge und Ausgänge, die hier der Übersichtlichkeit halber nicht alle dargestellt sind. Unter anderem dienen diese Eingänge zum Anlegen einer Betriebsspannung UB sowie zum Anle- gen eines Bezugspotentials (Masse). Darüber hinaus besitzt bspw. das Sicherheitsschaltgerät 14 einen weiteren hier nicht gezeigten Eingang, der dem Eingang 22 bzw. 48 der Schaltgeräte 12 und 16 entspricht.

In dem dargestellten Ausführungsbeispiel sind an die einkanali- ge Verbindungsleitung 26 zwei Schütze Kl und K2 parallel ange- schlossen. Diese werden im weiteren mit den Bezugsziffern 50 und 52 bezeichnet. Der zweite Anschluß der Schütze 50,52 ist getrennt vom ersten Sicherheitsschaltgerät 12 mit dem Bezugspo- tential (Masse) verbunden. Bei dem hier dargestellten Ausfüh- rungsbeispiel ist diese Realisierung nicht unbedingt erforder- lich. Die Schütze 50,52 könnten hier auch mit dem Mas- seanschluß des Sicherheitsschaltgeräts 12 verbunden sein wie dies in Fig. 2 gezeigt ist.

Die Schütze 50,52 besitzen jeweils zumindest einen Hauptkon- takt 54 und einen Hilfskontakt 56, die in an sich bekannter Weise starr miteinander verbunden sind (zwangsgeführte Kontak- te). Der Hauptkontakt 54 ist, wie üblich, als Schließer ausge- bildet, der Hilfskontakt 56 als Öffnerkontakt. Die Hauptkontak- te 54 der Schütze 50, 52 sind in Reihe zueinander angeordnet.

An einem Ende der Reihenschaltung ist ein abzuschaltendes Ele- ment, bspw. ein Pumpenantrieb für eine hydraulische Presse, an- geschlossen. Am anderen Anschluß der Reihenschaltung liegt eine Versorgungsspannung Uv für den Pumpenantrieb an. Diese kann mit Hilfe der Hauptkontakte 54 der Schütze 50,52 fehlersicher ab- geschaltet werden.

Die Hilfskontakte 56 der Schütze 50,52 sind ebenfalls in Reihe geschaltet. An einem Ende dieser Reihenschaltung liegt die Be- triebsspannung UB an. Das andere Ende dieser Reihenschaltung ist mit dem Eingang 22 des Sicherheitsschaltgerätes 12 verbun- den. Aufgrund der Zwangsführung der Kontakte kann das Sicher- heitsschaltgerät 12 die Schaltstellung der Schütze 50,52 über- prüfen.

In ähnlicher Weise sind an die Verbindungsleitung 46 am Ausgang des Schaltgeräts 16 zwei weitere Schütze K3, K4 parallel ange- schlossen. Die Schütze K3, K4 werden nachfolgend mit den Be- zugsziffern 60,62 bezeichnet. Die Haupt-und Hilfskontakte 54 bzw. 56 der Schütze 60,62 sind wiederum in Reihe geschaltet.

Die Hauptkontakte 54 sind mit einem weiteren abzuschaltenden Element, hier bspw. einem Ventil 64, sowie einer Versorgungs- spannung Uv verbunden. Die Hilfskontakte 56 führen ähnlich wie beim Schaltgerät 12 eine Betriebsspannung UB an den Eingang 48 des Sicherheitsschaltgerätes 16 zurück.

Die Vorrichtung 10 dient hier zum sicheren Abschalten einer hydraulischen Presse. Wird der Not-Aus-Taster 20 betätigt, schalten die Schütze 50,52 den Pumpenantrieb 58 ab, d. h. die Presse (hier nicht dargestellt) wird vollständig stillgesetzt.

Wird hingegen eine der beiden Schutztüren 30,40 geöffnet, wird über die beiden Schütze 60,62 nur das Ventil 64 abgeschaltet (geschlossen). Der Pumpenantrieb 58 bleibt in diesem Fall in Betrieb. Die Vorrichtung 10 realisiert daher ohne aufwendige Programmiermaßnahmen eine hierarchische Steuerung, bei der ver- schiedene Stellelemente unterschiedliche Funktionsbereiche der überwachten Presse beeinflussen.

Es versteht sich, daß die Vorrichtung 10 in anderen Ausfüh- rungsbeispielen wesentlich mehr Sicherheitsschaltgeräte 12,14, 16 beinhalten kann, die mit zahlreichen Stellelementen und Sensoren (Not-Aus-Taster, Zwei-Hand-Taster, Schutztüren, Dreh- geber etc. ) sowie Aktoren (Schützen oder dergleichen) kombi- niert sind. Charakteristisch ist dabei die Möglichkeit, die Schaltgeräte untereinander über einkanalige Verbindungsleitun- gen 26,36, 46 zu verbinden. Je nach Bedarf können an die ein- kanaligen Verbindungsleitungen Aktoren angeschlossen werden, wie dies in Fig. 1 am Beispiel der Schütze 50,52 bzw. 60,62 gezeigt ist.

Bei der nachfolgenden Beschreibung von weiteren Details der Vorrichtung 10 sowie weiteren Ausführungsbeispielen bezeichnen gleiche Bezugszeichen dieselben Elemente wie in Fig. 1.

In Fig. 2 sind die Schaltgeräte 12 und 14 mit einigen Details schematisch dargestellt, wobei hier beim Schaltgerät 12 aus Gründen der Übersichtlichkeit im wesentlichen der ausgangssei- tige Teil dargestellt ist, während beim Schaltgerät 14 der ein- gangsseitige Teil gezeigt ist.

Das Sicherheitsschaltgerät 12 besitzt eine zweikanalige Auswer- te-und Steuereinheit 70, die gemäß einem bevorzugten Ausfüh- rungsbeispiel zwei diversitäre Mikroprozessoren 72a, 72b bein- haltet. Mit der Bezugsziffer 74 ist eine Schaltelementekombina- tion bezeichnet, die hier aus der Reihenschaltung eines elekt- romechanischen Schaltelements (Relais 76) und eines elektroni- schen Schaltelements (Feldeffekttransistor 78) gebildet ist.

Statt des Relais könnte hier grundsätzlich auch ein weiteres elektronisches Schaltelement verwendet sein. Des weiteren kön- nen die elektronischen Schaltelemente auch bipolare Transisto- ren sein.

Mit der Bezugsziffer 80 ist ein Schwellwertvergleicher bezeich- net, der in dem hier dargestellten Ausführungsbeispiel außerdem ein vorgeschaltetes Tiefpaßfilter beinhaltet. Mit Hilfe des Schwellwertvergleichers 80 kann die Auswerte-und Steuereinheit 70 den statischen Signalpegel des Schaltsignals am Ausgang 24 des Sicherheitsschaltgerätes 12 überwachen.

Mit der Bezugsziffer 82 ist hier symbolisch der Innenwiderstand des Sicherheitsschaltgerätes 12 dargestellt. Wie dem Fachmann bekannt ist, ist dieser Innenwiderstand nicht als ein einzelnes körperliches Element in dem Sicherheitsschaltgerät 12 vorhan- den, sondern er ergibt sich als resultierende Größe aus der Ge- samtheit aller vorhandenen Komponenten. Der Innenwiderstand 82 spielt eine Rolle bei der nachfolgenden Analyse möglicher Feh- ler, die die Fehlersicherheit der Vorrichtung 10 beeinträchti- gen können.

Die Bezugsziffer 84 bezeichnet einen weiteren, hier ebenfalls nur schematisch dargestellten Widerstand 84. Der Widerstand 84 verbindet den Drain-Anschluß des Feldeffekttransistors 78 mit dem Bezugspotential Masse. In einer bevorzugten praktischen Re- alisierung ist der Widerstand 84 Bestandteil der im Schwell- wertvergleicher 80 integrierten Filterschaltung. Dies ist je- doch nicht für alle Ausführungsbeispiele erforderlich. Darge- stellt ist der Widerstand 84 hier im wesentlichen, um zu ver- deutlichen, daß am Ausgang 24 des Schaltgeräts 12 ein auf das Massepotential bezogenes Schaltsignal anliegt, das mit Hilfe des Feldeffekttransistors 78 erzeugt wird. Im vorliegenden Aus- führungsbeispiel besitzt das potentialbezogene Schaltsignal am Ausgang 24 entweder einen High-Pegel, der im wesentlichen der Betriebsspannung U, entspricht, oder einen Low-Pegel, der im wesentlichen dem Massepotential entspricht.

Das Sicherheitsschaltgerät 14 besitzt eine zweite Auswerte-und Steuereinheit, die hier mit der Bezugsziffer 86 bezeichnet ist.

Die Auswerte-und Steuereinheit 86 besitzt ebenfalls zwei di- versitäre Mikroprozessoren 88a, 88b. Sie entspricht in ihrem Aufbau und ihrer Gesamtfunktion im Prinzip der Auswerte-und Steuereinheit 70 des ersten Sicherheitsschaltgerätes 12. Unter- schiede bestehen im wesentlichen in der speziellen Auswertung der an die Eingänge anschließbaren Stellelemente. Außerdem ist die Auswerte-und Steuereinheit 86 hier vor allem im Hinblick auf ihre Beteiligung beim Einlesen des potentialbezogenen Schaltsignals dargestellt, während die Darstellung der Auswer- te-und Steuereinheit 70 hier vor allem die Erzeugung dieses Schaltsignals betrifft.

Mit den Bezugsziffern 90 und 92 sind zwei zueinander redundante Eingangskreise bezeichnet, denen das am Eingang 32 anliegende potentialbezogene Schaltsignal parallel zueinander zugeführt ist. Das Schaltsignal selbst ist in der Fig. 2 mit der Bezugs- ziffer 94 bezeichnet.

Das Schaltsignal 94 besitzt hier einen statischen und einen dy- namischen Signalanteil. Der statische Signalanteil ist der be- reits angesprochene High-Pegel, mit dem u. a. auch die Schütze 50,52 eingeschaltet werden. Der High-Pegel ist von kurzzeiti- gen negativen Impulsen der Dauer Tp unterbrochen, die mit Hilfe der Auswerte-und Steuereinheit 70 durch entsprechendes Tasten des Feldeffekttransistors 78 erzeugt werden. Die Impulsdauer Tp ist hier kürzer als die Abfallzeit der Schütze 50,52, so daß die Schaltstellung der Schütze 50,52 durch die Impulse nicht beeinflußt wird. Gemäß einem bevorzugten Ausführungsbeispiel sind die dem statischen Signalanteil überlagerten Impulse Ab- schaltimpulse, wie sie bei gattungsgemäßen Sicherheitsschaltge- räten mit Halbleiterausgängen bereits bekannt sind. Bei gat- tungsgemäßen Sicherheitsschaltgeräten werden die Abschaltimpul- se verwendet, um die Abschaltfähigkeit des Sicherheitsschaltge- räts 12 intern überprüfen zu können.

Gemäß einem weiteren bevorzugten Ausführungsbeispiel erzeugt die Auswerte-und Steuereinheit 70 die Impulse nach einem vor- gegebenen Schema im Sinne einer Pulscodemodulation und/oder Pulsdauermodulation. In einem Ausführungsbeispiel repräsentie- ren die einzelnen Impulsfolgen Zahlen, die zunächst kontinuier- lich hoch und dann wieder heruntergezählt werden. Insgesamt kann das potentialbezogene Schaltsignal hierdurch mit einer re- dundanten Information versehen werden, die vom zweiten Sicher- heitsschaltgerät 14 auf Plausibilität überprüft wird, um eine nochmals erhöhte Fehlersicherheit zu erreichen. Die erste Aus- werte-und Steuereinheit 70 übernimmt hier insofern auch eine Modulatorfunktion.

Der erste Eingangskreis 90 des zweiten Sicherheitsschaltgerätes 14 beinhaltet einen Impulsdetektor, der allein die im Schalt- signal 94 enthaltenen Impulse auswertet. Bei jedem Impuls wird ein Interrupt ausgelöst, der in der Auswerte-und Steuereinheit 86 eine vorgegebene Interrupt-Routine startet. Der Eingangs- kreis 92 beinhaltet beim vorliegenden Ausführungsbeispiel dem- gegenüber einen Schwellwertvergleicher ähnlich dem Schwellwert- vergleicher 80. Die Schaltschwelle des Schwellwertvergleichers 92 ist jedoch erheblich höher als diejenige des Schwellwert- vergleichers 80, und sie entspricht im wesentlichen dem High- Pegel des Schaltsignals 94.

Die Funktionsweise der beiden Sicherheitsschaltgeräte 12 und 14 ist im Rahmen der Vorrichtung 10 wie folgt : Im normalen Betrieb der überwachten Anlage, in dem Beispiel ge- mäß Fig. 1 also der hydraulischen Presse, erzeugt das Sicher- heitsschaltgerät 12 das in Fig. 2 dargestellte Schaltsignal 94.

Dieses besitzt einen statischen Signalanteil, der dem High- Pegel entspricht. Die Schütze 50,52 sind dadurch eingeschaltet und der Pumpenantrieb 58 arbeitet. Das Sicherheitsschaltgerät 14 wertet mit Hilfe der beiden Eingangskreise 90,92 sowie der Auswerte-und Steuereinheit 86 das Schaltsignal 94 aus und er- zeugt an seinem Ausgang (hier nicht dargestellt) ein vergleich- bares Schaltsignal. Dieses ist entsprechend Fig. 1 dem dritten Sicherheitsschaltgerät 16 zugeführt. Das Sicherheitsschaltgerät 16 erzeugt wiederum in vergleichbarer Weise ein weiteres Schaltsignal 94, aufgrund dessen die Schütze 60,62 eingeschal- tet sind, so daß auch das Ventil 64 geöffnet ist. Wird nun der Not-Aus-Taster 20 betätigt oder erkennt die Aus- werte-und Steuereinheit 70 einen internen Fehler des Sicher- heitsschaltgerätes 12, sperrt die Auswerte-und Steuereinheit 70 den Feldeffekttransistor 78. Infolgedessen nimmt das Schalt- signal 94 einen stationären Low-Pegel an, was im Sicherheits- schaltgerät 14 mit Hilfe des Eingangskreises 92 festgestellt wird. Daraufhin sperrt die Auswerte-und Steuereinheit 86 die ihr zugeordnete Schaltelemente-Kombination (hier nicht darge- stellt). Das Abschaltsignal wird dann an das dritte Sicher- heitsschaltgerät 16 weitergegeben, das daraufhin die Schütze 60,62 abschaltet. Damit ist die gesamte überwachte Anlage nach der Betätigung des Not-Aus-Tasters 20 abgeschaltet.

Wird anstelle des Not-Aus-Tasters 20 eine der beiden Schutztü- ren 30,40 betätigt, schaltet das entsprechende daran ange- schlossene Sicherheitsschaltgerät 14,16 das an seinem Ausgang anliegende Schaltsignal auf den Low-Pegel. Dadurch werden wie- derum alle nachfolgenden Komponenten der Kette abgeschaltet.

Die dem aktivierten Sicherheitsschaltgerät vorausgehenden Kom- ponenten, im Ausführungsbeispiel gemäß Fig. 1 also das Sicher- heitsschaltgerät 12 sowie die Schütze 50,52, bleiben jedoch eingeschaltet.

Den Erfolg des Abschaltvorgangs kann die Auswerte-und Steuer- einheit 70 des ersten Sicherheitsschaltgerätes 12 einerseits mit Hilfe des Schwellwertvergleichers 80 und andererseits auf- grund der auf den Eingang 22 zurückgeführten Hilfskontakte 56 der Schütze 50,52 überprüfen. Die Schaltstellung der Schütze 50,52 wird hier also auch beim Abschaltvorgang anhand der Hilfskontakte überprüft. Dies erlaubt eine einfehlersichere Ü- berwachung des Abschaltvorgangs am Ausgang des Sicherheits- schaltgerätes 12. Sollte bspw. der Feldeffekttransistor 78 trotz des Abschaltbefehls von der Auswerte-und Steuereinheit 70 das Potential am Ausgang 24 nicht auf Masse ziehen können, kann die Auswerte-und Steuereinheit 70 mit Hilfe des Relais 76 den Abschaltvorgang redundant bewirken. Damit ist sowohl der Abschaltvorgang als auch dessen Überwachung durchgehend zweika- nalig.

Das Sicherheitsschaltgerät 14 wertet das Vorhandensein oder Nicht-Vorhandensein des Schaltsignals 94 ebenfalls zweikanalig aus. Insgesamt ist damit eine Einfehlersicherheit im Sinne der Kategorie 4 der EN 954-1 gewährleistet.

In Fig. 3 sind Details eines weiteren Ausführungsbeispiels dar- gestellt, dessen grundsätzlicher Aufbau ebenfalls dem aus Fig.

1 entspricht. Gleiche Bezugszeichen bezeichnen wiederum diesel- ben Elemente wie zuvor.

Im Unterschied zu dem Ausführungsbeispiel gemäß Fig. 2 besitzt das erste Sicherheitsschaltgerät 12 hier zwei zueinander redun- dante Schwellwertvergleicher 100a, 100b. Ferner besitzt das zweite Sicherheitsschaltgerät 14 zwei Eingangskreise 102a, 102b, die ebenfalls jeweils einen Schwellwertvergleicher auf- weisen. Die Schwellwertvergleicher 100a, 100b sind redundant zueinander auf eine Schaltschwelle abgestimmt, die geringfügig über, jedoch nahe bei 0 V liegt (in etwa gleich Massepotenti- al). Die Schwellwertvergleicher in den Eingangskreisen 102a, 102b sind redundant zueinander auf eine Schaltschwelle abge- stimmt, die in etwa dem High-Pegel des vom Sicherheitsschaltge- rät 12 erzeugten Schaltsignals entspricht. Da beide Schwell- wertüberwachungen zweikanalig ausgeführt sind, ist wiederum ei- ne Einfehlersicherheit erreicht. Daher kann grundsätzlich so- wohl auf die Erzeugung und Auswertung von dynamischen Signalan- teilen, d. h. von dem Schaltsignal überlagerten Impulsen, als auch auf die Zurückführung der Hilfskontakte 56 der Schütze 50, 52 verzichtet werden. Diese in den Figuren 1 und 2 gezeigten Maßnahmen können jedoch auch in Ergänzung zu der in Fig. 3 dar- gestellten Realisierung verwendet werden. Des weiteren ist eine Kombination der hier gezeigten Alternativen möglich. Bspw. kann also in weiteren Ausführungsbeispielen das Sicherheitsschaltge- rät 12 am Ausgang so aufgebaut sein, wie in Fig. 2 dargestellt, während der Eingang des Sicherheitsschaltgerätes 14 dem in Fig.

3 gezeigten entspricht. Des weiteren kann das Sicherheits- schaltgerät 12 am Ausgang der in Fig. 3 gezeigten Darstellung entsprechen, wobei mit Hilfe der Auswerte-und Steuereinheit 70 oder mit Hilfe eines hier nicht dargestellten Modulators die dynamischen Signalanteile im Schaltsignal erzeugt werden. Das Sicherheitsschaltgerät 14 entspricht dann der in Fig. 2 darge- stellten Alternative.

Eine Einschränkung ergibt sich bei diesen verschiedenen Permu- tationen, wenn das Massepotential der Schütze 50,52 mit dem Masseanschluß des Sicherheitsschaltgerätes 12 verbunden wird, wie dies in Fig. 2 dargestellt ist. Wenn in diesem Fall nämlich aufgrund eines Kabelbruchs, der in den Figuren 2 und 3 mit dem Pfeil 104 angedeutet ist, der Masseanschluß verloren geht, könnte über den Innenwiderstand 82 des Sicherheitsschaltgerätes 12 sowie über die Schütze 50,52 ein Strom in den Eingang 32 des Sicherheitsschaltgerätes 14 fließen, und zwar selbst dann, wenn der Ausgang 24 des Sicherheitsschaltgerätes 12 abgeschal- tet ist (Schaltsignal auf Low-Pegel). Hierdurch würden das Si- cherheitsschaltgerät 14 und alle nachfolgenden Sicherheits- schaltgeräte nicht abschalten, obwohl das Sicherheitsschaltge- rät 12 abgeschaltet hat. Dieser Fehler läßt sich abfangen, wenn die Schütze 50,52 getrennt vom ersten Sicherheitsschaltgerät 12 mit dem Massepotential verbunden werden. Alternativ und/oder ergänzend läßt sich dieser Fehler auch abfangen, wenn dynami- sche Signalanteile im Schaltsignal 94 mit Hilfe des Impulsde- tektors 90 ausgewertet werden.

Der Vollständigkeit halber sei abschließend erwähnt, daß das Sicherheitsschaltgerät 12 ebenso wie die weiteren Schaltgeräte 14,16 mehrere einkanalige Ausgänge der hier beschriebenen Art aufweisen kann. Dies ist in den Figuren 2 und 3 anhand des schematisch dargestellten Ausgangs 106 angedeutet. An den Aus- gang 106 können weitere Sicherheitsschaltgeräte und/oder weite- re Schütze angeschlossen werden, die von der Auswerte-und Steuereinheit 70 unabhängig von denjenigen Komponenten ange- steuert werden, die am Ausgang 24 angeschlossen sind.

Des weiteren ist es grundsätzlich möglich, die hier dargestell- ten Ausführungsbeispiele auch mit Realisierungen zu kombinie- ren, wie sie in der WO 01/67610 A1 gezeigt sind.