(57)【要約】【課題】第１極(28)および第２極(32)を有する外部電力消費機器(34)のフェイルセーフな断路のための安全開閉装置(10)を提供する。【解決手段】安全開閉装置(10)は、第１電位を受ける第１端子(26)と、第２電位を受ける第２端子(30)と、第１端子(26)と外部電力消費機器(34)の第１極(28)との間に配設されている第１スイッチング要素(22)と、第２端子(30)と外部電力消費機器(34)の第２極(32)との間に配設されている第２スイッチング要素(24)と、入力(36)を介してスイッチオフ信号を受信し、スイッチオフ信号に従って、第１および第２のスイッチング要素(22,24)を作動させるように設計されている信号処理ユニット(14)と、内部電力消費機器(46)と、内部電力消費機器(46)を外部電力消費機器(34)に並列接続するように設計されている第３スイッチング要素(48)とを備え、試験装置(38)に、故障を特定するためのエラーパターンセット(104)が格納されているメモリ(52)を組み込んでいる。【選択図】図１
2019525694.tif 000002
【特許請求の範囲】
【請求項１】
第１極（２８）および第２極（３２）を有する外部電力消費機器（３４）のフェイルセーフな断路のための安全開閉装置（１０）であって、
第１電位を受ける第１端子（２６）と、
第２電位を受ける第２端子（３０）と、
前記第１端子（２６）と前記外部電力消費機器（３４）の前記第１極（２８）との間に配設されている第１スイッチング要素（２２）と、
前記第２端子（３０）と前記外部電力消費機器（３４）の前記第２極（３２）との間に配設されている第２スイッチング要素（２４）と、
入力（３６）を介してスイッチオフ信号を受信し、前記スイッチオフ信号に従って前記第１および第２のスイッチング要素（２２，２４）を作動させるように設計されている信号処理ユニット（１４）と、
内部電力消費機器（４６）と、
前記内部電力消費機器（４６）を前記外部電力消費機器（３４）に並列接続するように設計されている第３スイッチング要素（４８）とを備えており、
前記第１スイッチング要素（２２）と前記第１極（２８）との間に第１リードバックタップ（４２）が配設されており、前記第２スイッチング要素（２４）と前記第２極（３２）との間に第２リードバックタップ（４４）が配設されており、前記第３スイッチング要素（４８）と前記内部電力消費機器（４６）との間に第３リードバックタップ（５０）が配設されており、
前記信号処理ユニット（１４）は、試験装置（３８）と、第１エラーパターンセット（１０４）が格納されているメモリ（５２）とを備えており、
前記試験装置（３８）は、前記第１、第２および第３のリードバックタップ（４２，４４，５０）に連結されており、時間的に隔てられている最低３つの試験間隔（７８，８０，８２；８４）を有する第１開閉試験（１１０）を実行するように構成されており、
前記試験装置（３８）は、各試験間隔（７８，８０，８２；８４）で、第１試験パターン（８６）を生成するために、前記第１、第２および第３のリードバックタップ（４２，４４，５０）でそれぞれ１つのリードバック信号を受信するように設計されており、
前記試験装置（３８）は、故障（１０５）を特定するために、前記第１試験パターン（８６）を前記第１エラーパターンセット（１０４）と照合するようにさらに構成されている、安全開閉装置（１０）。
【請求項２】
前記試験装置（３８）は、前記互いに時間的に隔てられている各時間間隔（７８，８０，８２；８４）の後、前記第１、第２または第３のスイッチング要素（２２，２４，４８）の少なくとも１つの開閉状態を変えるように設計されている、請求項１に記載の安全開閉装置。
【請求項３】
故障タイプが第１エラーパターンセット（１０４）の各故障パターンに明確に割り当てられる、請求項１または請求項２のいずれか１項に記載の安全開閉装置。
【請求項４】
前記第１試験パターン（８６）は、ビットフィールド（１０２）で表わされる、請求項１〜請求項３のいずれか１項に記載の安全開閉装置。
【請求項５】
前記試験装置（３８）は、フォールトフリー動作を特定するために、前記第１試験パターン（８６）を別のパターンセットと照合するように構成されている、請求項１〜請求項４のいずれか１項に記載の安全開閉装置。
【請求項６】
前記第１開閉試験（１１０）は、互いに別々の４つの試験間隔（７８，８０，８２，８４）を含む、請求項１〜請求項５のいずれか１項に記載の安全開閉装置。
【請求項７】
前記試験装置（３８）は、前記開閉試験（１１０）について、第１間隔（７８）において前記第１および前記第２のスイッチング要素（２２，２４）のいずれも作動させず、第２間隔（８０）において前記第１スイッチング要素（２２）のみを作動させ、第３間隔（８４）において前記第２スイッチング要素（２４）のみを作動させ、第４間隔（８２）において前記第１および第２のスイッチング要素（２２，２４）を作動させるように設計されている、請求項１〜請求項６のいずれか１項に記載の安全開閉装置。
【請求項８】
前記第３スイッチング要素（４８）は、前記第４間隔（８２）においてのみ作動する、請求項７に記載の安全開閉装置。
【請求項９】
前記試験装置（３８）は、前記第１開閉試験（１１０）によって故障が明確に特定される場合、前記第１開閉試験（１１０）に基づいて、前記故障タイプを表す故障信号を生成するように構成されている、請求項１〜請求項８のいずれか１項に記載の安全開閉装置。
【請求項１０】
前記第１開閉試験（１１０）は、互いに時間的に隔てられている時間間隔（７８，８０，８２；８４）の数に関して構成可能である、請求項１〜請求項９のいずれか１項に記載の安全開閉装置。
【請求項１１】
前記試験装置（３８）は、前記第１開閉試験（１１０）の前に行う機能試験（１０８）を実行するように構成されている、請求項１〜請求項１０のいずれか１項に記載の安全開閉装置。
【請求項１２】
前記試験装置（３８）は、前記機能試験（１０８）のために、前記第１スイッチング要素（２２）および前記第２スイッチング要素（２４）を順次作動させ、前記第１スイッチング要素（２２）を作動させると、前記第１リードバックタップ（４２）でのリードバックによって、前記スイッチング要素（２２）の前記機能的能力を判定し、前記第２スイッチング要素（２４）を作動させると、前記第２リードバックタップ（４４）でのリードバックによって、前記第２スイッチング要素（２４）の前記機能的能力を判定するように設計されている、請求項１１に記載の安全開閉装置。
【請求項１３】
前記試験装置（３８）は、前記機能試験（１０８）で故障が検知された場合に、前記第１開閉試験（１１０）のみを実行するように設計されている、請求項１１または請求項１２のいずれか１項に記載の安全開閉装置。
【請求項１４】
前記試験装置（３８）は、前記第１開閉試験（１１０）に関して故障が明確に特定されなかった場合に、前記第１開閉試験（１１０）に加えて、第２試験パターンを生成するために、第２開閉試験（１１４）を実行するように設計されている、請求項１〜請求項１３のいずれか１項に記載の安全開閉装置。
【請求項１５】
前記試験装置（３８）は、前記第２開閉試験（１１４）について、第１間隔において前記第１および前記第２のスイッチング要素（２２，２４）のいずれも作動させず、第２間隔において前記第１スイッチング要素（２２）のみを作動させ、第３間隔において前記第２スイッチング要素（２４）のみを作動させ、第４間隔において前記第１および第２のスイッチング要素（２２，２４）を作動させるように設計されており、前記第１、第２、第３および第４の間隔において前記第３スイッチング要素（４８）が作動させられる、請求項１４に記載の安全開閉装置。
【請求項１６】
第２エラーパターンセットが前記メモリ（５２）に格納されており、前記試験装置（３８）は、故障の明確な特定を可能にするために、前記第２試験パターンと前記第２エラーパターンセットとの照合を実行するように設計されている、請求項１４または請求項１５のいずれか１項に記載の安全開閉装置。
【請求項１７】
前記試験装置（３８）は、前記第１開閉試験（１１０）によって故障が明確に特定されなかった場合に、前記第２開閉試験（１１４）に基づいて、前記故障タイプを表す故障信号を生成するように構成されている、請求項１４〜請求項１６のいずれか１項に記載の安全開閉装置。
【請求項１８】
前記故障タイプは、前記第２開閉試験（１１４）によって故障が明確に特定されなかった場合に、前記故障タイプは、内部ハードウェアの故障を表す、請求項１７に記載の安全開閉装置。
【請求項１９】
第１スイッチング要素（２２）を介して、第１電位を受ける第１端子（２６）に連結されている第１極（２８）と、第２スイッチング要素（２４）を介して、第２電位を受ける第２端子（３０）に連結されている第２極（３２）とを有する外部電力消費機器（３４）のフェイルセーフな断路のための方法であって、前記方法は、
スイッチオフ信号を受信する工程と、
前記スイッチオフ信号に従って前記第１および第２のスイッチング要素（２２，２４）を作動させる工程と、
内部電力消費機器（４６）および第３スイッチング要素（４８）を設ける工程であって、前記内部電力消費機器（４６）は、前記第３スイッチング要素（４８）を作動させることによって、前記外部電力消費機器（３４）と並列接続することができる、設ける工程と、
前記第１、第２および第３のスイッチング要素（２２，２４，４８）と前記外部および内部の電力消費機器（３４，４６）との間に第１、第２および第３のリードバックタップ（４２，４４，５０）を設ける工程と、
第１エラーパターンセット（１０４）を提供する工程と、
時間的に隔てられている最低３つの時間間隔（７８，８０，８２；８４）にわたって第１開閉試験（１１０）を実行する工程と、
前記時間的に隔てられている少なくとも３つの時間間隔（７８，８０，８２；８４）のそれぞれにおいて、前記第１、第２および第３のリードバックタップ（４２，４４，５０）でそれぞれ１つのリードバック信号をリードバックすることによって第１試験パターン（８６）を生成する工程と、
前記第１試験パターン（８６）を前記第１エラーパターンセット（１０４）と照合することによって故障（１０５）を特定する工程と、
を含む、方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、電力消費機器のフェイルセーフに断路するための装置に関し、特に第１極および第２極を有する外部電力消費機器のフェイルセーフな断路のための装置であって、第１電位を受ける第１端子と、第２電位を受ける第２端子と、第１端子と外部電力消費機器の第１極との間に配設されている第１スイッチング要素と、第２端子と外部電力消費機器の第２極との間に配設されている第２スイッチング要素と、入力を介してスイッチオフ信号を受信し、スイッチオフ信号に従って第１および第２のスイッチング要素を作動させるように設計されている信号処理ユニットとを備える装置に関するものである。
【背景技術】
【０００２】
この種の装置および方法は、下記の特許文献１から公知である。
【０００３】
一般的なこの種類の装置は、危険な状況がある場合に、技術設備の確実な、すなわちフェイルセーフな断路のために採用されている。具体的には、一般的なこの種類の装置は、電源の両極からの電力消費機器の断路に適している。専門用語では、この種の接続を２極接続といい、容量性および誘導性両方を持つ電力消費機器、たとえば、ソレノイド弁を安全かつ確実に断路できることを確保する。
【０００４】
特許文献１から、一般的なこの種類の装置は、適用される安全規格の要求事項を満たすために、それ自体の機能的能力を検証するために定期的な自己試験を実行することは公知である。故障の存在検知に加えて、一般的なこの種類の装置は、限られた範囲で、関係する故障の性質も示すことができる。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】独国特許出願公開公報第１０３５１８７３号明細書
【発明の概要】
【発明が解決しようとする課題】
【０００６】
自動化の拡大に鑑みて、一般的なこの種類の装置は、もはや単独で採用されるのではなく、通常は相互接続されており、関係する故障の性質の特定がますます重要になっている。
【０００７】
さらに、一般的なこの装置のネットワーク化の増大は、好ましくは、装置が、中央の場所から監視および評価されるべきであることを必要とする。このために、装置は、監視対象設備の安全な断路を確保するだけでなく、故障がある場合には、装置は、関係する故障の性質のできるだけ正確で詳細な表示および通知も与える必要がある。具体的には、故障の性質に応じて装置をフェイルセーフな状態に切り換えなければならないため、装置は、内部故障、すなわち、装置自体の故障の存在と、外部故障、たとえば配線故障または負荷遮断とを区別できなければならない。
【０００８】
したがって、本発明の目的は、装置の故障をより効果的かつより効率的に検知することができる前述の種類の新規な装置および方法の開示である。具体的には、本発明の目的は、自己試験により、これまでの装置よりも多くの故障を明確に特定することのできる装置の開示である。本発明の別の目的は、内部故障と外部故障とをより効果的に区別することができ、中央での評価および診断を可能にする装置の開示である。
【課題を解決するための手段】
【０００９】
この目的は、内部電力消費機器および第３スイッチング要素を有し、内部電力消費機器を外部電力消費機器に並列接続するように設計されている前述のタイプの安全開閉装置によって達成され、該安全開閉装置は、第１スイッチング要素と第１極との間に第１リードバックタップが配設されており、第２スイッチング要素と第２極との間に第２リードバックタップが配設されており、第３スイッチング要素と内部電力消費機器との間に第３リードバックタップが配設されており、信号処理ユニットは、試験装置と、第１エラーパターンセットが格納されているメモリとを備えており、試験装置は、第１、第２および第３のリードバックタップに連結されて、時間的に隔てられている最低３つの試験間隔を有する第１開閉試験を実行するように構成されており、試験装置は、各試験間隔において、第１試験パターンを生成するために、第１、第２および第３のリードバックタップでそれぞれ１つのリードバック信号を受信するように設計されており、試験装置は、故障を特定するために、第１試験パターンを第１エラーパターンセットと照合するようにさらに構成されている。
【００１０】
この目的はまた、第１スイッチング要素を介して、第１電位を受ける第１端子に連結されている第１極と、第２スイッチング要素を介して、第２電位を受ける第２端子に接続されている第２極とを有する外部電力消費機器のフェイルセーフな断路のための方法によって達成され、該方法は、スイッチオフ信号を受信する工程と、スイッチオフ信号に従って第１および第２のスイッチング要素を作動させる工程と、内部電力消費機器および第３スイッチング要素を設ける工程であって、内部電力消費機器は、第３スイッチング要素を作動させることによって、外部電力消費機器と並列接続することができる、設ける工程と、第１、第２および第３のスイッチング要素と外部および内部の電力消費機器との間に第１、第２および第３のリードバックタップを設ける工程と、第１エラーパターンセットを提供する工程と、時間的に隔てられている最低３つの時間間隔を有する第１開閉試験を実行する工程と、時間的に隔てられている少なくとも３つの時間間隔のそれぞれにおいて、第１、第２および第３のリードバックタップでそれぞれ１つのリードバック信号をリードバックすることによって第１試験パターンを生成する工程と、第１試験パターンを第１エラーパターンセットと照合することによって故障を特定する工程とを含む。
【００１１】
このように、新規な装置は、装置の故障を検証するための試験装置を組み込んでいる。試験装置は、個別のシステムとして、信号処理ユニットの一要素として、またはソフトウェアアプリケーションとして構成することができる。このように、試験装置は、また、信号の処理中に、入力に存在する入力信号を追加的に処理する制御プログラムまたは該制御プログラムの一要素として特に構成することができる。
【００１２】
新規な安全開閉装置には、別のスイッチング要素によって、接続される外部電力消費機器に並列接続することのできる内部電力消費機器が追加的に装備されている。内部電力消費機器は、シミュレートされた負荷として、すなわち、通例の外部電力消費機器の電気特性をシミュレートすることのできる電子コンポーネントまたは電子コンポーネントユニットとして構成される。このために、第３スイッチング要素は、一方の極で、シミュレートされた負荷を電力消費機器の第１極に接続するように構成されているのに対し、シミュレートされた負荷の別の極は、電力消費機器の第２極に接続される。
【００１３】
好適な実施態様とは独立して、このように、試験装置は、開閉試験を実行するために、第１、第２および第３のスイッチング要素を作動させるように設計されている。このように、試験装置は、印加されるスイッチオフ信号とは独立して、第１、第２および第３のスイッチング要素を開閉することができる。
【００１４】
リードバックタップによって、試験装置は、リードバックタップでリードバック信号を受信することによって、第１、第２および第３のスイッチング要素の作動に対する反応を特定することができる。リードバック信号は、１つのリードバックタップのそれぞれの電圧を表し、電圧は、アナログ・デジタル変換器によって別々の値に変換することができる。具体的には、電圧は、リードバック信号が２つの状態を表すバイナリ値になるように、閾値検知器によって２つの状態に細分することができる。
【００１５】
本発明によると、前述のシステムは、第１開閉試験で、スイッチング要素がさまざまな相互の設定に順次設定され、その過程で、リードバック信号がリードバックタップを介して読み取られるように組み合わせで動作する。故障の正確な特定を可能にするために、リードバック信号を組み合わせて試験パターンを生成し、それをさらに、メモリに格納されている故障パターンと比較する。
【００１６】
１回の開閉試験によって、装置上のさまざまな故障を簡単かつ効率的に検知し、明確に特定することができる。具体的には、この種の開閉試験は、制御プログラムの一要素として簡単に実行することができ、それによって試験装置を特にコスト効率よく構成することができる。さらに、明確な故障を割り当てることのできるさらなる故障パターンが特定される場合には、試験装置は、簡単に拡張可能である。さらに、開閉試験は、さらなる故障を特定することができるさまざまな試験ストラテジーの実施を可能にするために、都合よくかつ簡単に組み合わせることができる。したがって、試験パターンの適用は、安全開閉装置の故障を点検し、故障がある場合には診断を確立する、より簡単であるだけでなく、より融通の利く手段となる。総合すると、本発明による開閉試験によって、有利なことに、結果的に安全開閉装置の診断能力を向上させることができる。このように、前述の目的は完全に達成される。
【００１７】
好適な改良形態では、試験装置は、互いに時間的に隔てられている各時間間隔の後、第１、第２または第３のスイッチング要素の少なくとも１つの開閉状態を変えるように設計されている。各間隔の後で開閉状態を変えることによって、有利なことに、少なくとも第１および第２のスイッチング要素の開閉状態のすべてに関して、試験パターンを簡単に生成することができるように、考えられるすべての開閉状態を網羅的に並べ替えることができる。
【００１８】
別の改良形態において、第１エラーパターンセットの各故障パターンに、故障タイプが明確に割り当てられる。故障パターンを故障タイプに明確に割り当てることによって、そのように生成された試験パターンから、簡単に、装置上の故障を明確に特定することができる。
【００１９】
別の改良形態において、第１試験パターンは、ビットフィールドである。ビットフィールドは、非常に単純な機械的処理を可能にし、他のビットフィールドと比較することができる。迅速な照合によって、有利なことに試験の継続時間を短縮することができ、それによって、安全開閉装置の全体的な応答時間を短縮することができる。
【００２０】
別の改良形態において、試験装置は、フォールトフリー動作を特定するために、第１試験パターンを別のシリーズのパターンと照合するように構成されている。したがって、試験装置は、「良好なケース」、すなわち、安全開閉装置が正常に動作している状態を特定することもできる。好ましくは、迅速な照合を可能にするために、別のパターンセットを第１故障パターンセットに組み入れる。
【００２１】
別の改良形態において、第１開閉試験は、互いに別々の４つの試験間隔を含む。有利なことに、互いに別々の４つの試験間隔によって、第１および第２のスイッチング要素を相互に設定することができる、考えられるすべての開閉状態を１回のテストランで試験することができる。したがって、１回の試験パターンは、第１および第２のスイッチング要素のすべての相互の開閉状態を再現することができる。
【００２２】
別の改良形態において、第１開閉試験で、試験装置は、第１間隔において第１および第２のスイッチング要素のいずれも作動させず、第２間隔において第１スイッチング要素のみを作動させ、第３間隔において第２スイッチング要素のみを作動させ、第４間隔において第１および第２のスイッチング要素を作動させるように設計されており、第３スイッチング要素は、第４間隔においてのみ作動する。この開閉試験では、第１および第２のスイッチング要素は、考えられるそのすべての相互の開閉状態に設定され、第１および第２のスイッチング要素が同時に作動する場合にのみ、内部電力消費機器がオンになる。この種の開閉試験は、１回のテストランで、装置の短絡および交差接続の、ならびに負荷遮断の存在の点検を可能にする。１回のテストランで、このように、２極接続による安全開閉装置でもっとも一般的な故障を特定することができる。さらに、この種の開閉試験でのみ、「良好なケース」、すなわち、試験パターンが正しい動作を表す場合を追加的に特定することができる。第１、第２、第３および第４の間隔においてリードバックタップのリードバック信号が予期値に一致する場合に、これが当てはまる。
【００２３】
別の改良形態において、試験装置は、第１開閉試験によって故障が明確に特定される場合、第１開閉試験に基づいて、故障タイプを表す第１信号を生成するように構成されている。このように、故障を検知すれば直ちに故障出力が発生する。故障出力は、故障の表示もしくは通知を含み、および／またはアクション、たとえば、安全機能の引き外しの実行を組み入れることができる。「良好なケース」が第１開閉試験で特定される場合、その趣旨の出力が生成されることは理解される。
【００２４】
別の改良形態において、第１開閉試験は、互いに時間的に隔てられている時間間隔の数に関して構成可能である。有利なことに、試験間隔、したがって、第１、第２および第３のスイッチング要素によって相互にとることのできる、考えられる開閉状態を構成することができる。具体的には、接続される電力消費機器を考慮して、とるべきではない特別な開閉状態を避けることができる。この構成能力によって、安全開閉装置は、さまざまな外部電力消費機器にとって、格段に柔軟に採用することができる。
【００２５】
別の改良形態では、試験装置は、第１開閉試験の前に行う機能試験を実行するように設計されている。機能試験を参照して、故障の存在を容易に検知することができ、故障を特定するために、該故障を特定するための開閉試験を実行するべきかどうかを判定することができる。その後の開閉試験で、後者が「良好なケース」を検知する場合、機能試験の結果を「覆す」ことができるので、該当する場合、機能試験で故障が検知されても、その後の開閉試験が装置の正しい動作を示す場合には、必ずしも出力の断路にはならない。このことは、可用性に対して有益な影響を与えることができる。
【００２６】
別の改良形態において、試験装置は、機能試験のために、第１スイッチング要素および第２スイッチング要素を順次作動させ、第１スイッチング要素を作動させると、第１リードバックタップでのリードバックによって、第１スイッチング要素の機能的能力を判定し、第２スイッチング要素を作動させると、第２リードバックタップでのリードバックによって、第２スイッチング要素の機能的能力を判定するように設計されている。機能試験では、したがって、第１および第２のスイッチング要素は、順次作動されて点検される。故障が存在する場合、その後開閉試験を実行することができる。スイッチング要素の個々の機能試験は、非常に迅速に実行することができ、第１および第２のスイッチング要素は、シーケンシャルなプログラムサイクルでセキュアな動作も点検することができる。
【００２７】
別の改良形態において、試験装置は、機能試験で故障が検知された場合に、第１開閉試験のみを実行するように設計されている。機能試験により故障が示されるときにのみ開閉試験を実行することは、試験シーケンスを最初に機能試験にのみ制限し、必要がある場合にのみ別の開閉試験を実行することができるので、特に有利である。このように、有利なことに、試験の継続時間は、通常の状況においては非常に短いので、試験によって安全開閉装置の応答時間が損なわれるのはわずかのみである。
【００２８】
別の改良形態において、試験装置は、第１開閉試験に関して故障が明確に特定されなかった場合に、第１開閉試験に加えて、第２試験パターンを生成するために、第２開閉試験を実行するように設計されている。第２開閉試験によって、有利なことに、故障の性質が第１開閉試験で判断がつかないままである場合、さらなる故障を明確に特定することができる。
【００２９】
別の改良形態において、試験装置は、第２開閉試験について、第１間隔において第１および第２のスイッチング要素のいずれも作動させず、第２間隔において第１スイッチング要素のみを作動させ、第３間隔において第２スイッチング要素のみを作動させ、第４間隔において第１および第２のスイッチング要素を作動させるように設計されており、第１、第２、第３および第４の間隔において第３スイッチング要素が作動させられる。この開閉試験では、第１および第２のスイッチング要素は、考えられるそのすべての相互の開閉状態に設定され、内部電力消費機器は、開閉試験の継続時間中ずっと並列接続されている。この種の開閉試験は、負荷遮断と同時に、短絡または交差接続などの他の故障について、安全開閉装置を点検することができ、それによって有利なことに安全開閉装置の診断能力をさらに向上させる。
【００３０】
別の改良形態において、第２エラーパターンセットがメモリに格納されており、試験装置は、故障の明確な特定を可能にするために、第２試験パターンと第２エラーパターンセットとの照合を実行するように設計されている。第２エラーパターンセットによって、有利なことに、さらなる故障を特定することができる。特に有利なことに、エラーパターンセットは、各開閉試験について格納することができる。
【００３１】
別の改良形態において、試験装置は、第１開閉試験によって故障が明確に特定されなかった場合に、第２開閉試験に基づいて、故障タイプを表す故障信号を生成するように構成されている。
【００３２】
別の改良形態において、第２開閉試験）によって故障が明確に特定されなかった場合に、故障タイプは、内部ハードウェア故障を表す。有利なことに、このように、前の試験のいずれによっても故障が明確に特定されなかった場合にのみ、内部ハードウェア故障が想定される。このように、既知の故障がすべて除外された場合にのみ、結果として安全開閉装置がフェイルセーフ状態に切り換えられなければならない内部ハードウェア故障が想定される。
【００３３】
前述の特徴および以下で説明する特徴は、示されたそれぞれの組み合わせだけでなく、他の組み合わせ、または単独でも、本発明の範囲を逸脱することなく適用可能であることは理解される。
【００３４】
本発明の実施形態を図面に示し、以下の説明で、より詳細に説明する。
【図面の簡単な説明】
【００３５】
【図１】本発明の新規な装置の実施形態を示す模式図である。
【図２】（セキュアな）制御機能の周期的なプログラム実行を説明するためのフロー図を示す。
【図３】第１開閉試験の実施形態の模式図を示す。
【図４】第１試験パターンの実施形態の簡略図を示す。
【図５】第１エラーパターンセットの実施形態の模式図を示す。
【図６】好適な試験シーケンスのフロー図を示す。
【図７】好適な試験シーケンスの模式図を示す。
【発明を実施するための形態】
【００３６】
図１は、全体を参照符号１０で表す新規な安全開閉装置の実施形態を示す。安全開閉装置１０は、ここでは、例示のために、機能的要素のすべてが装置ハウジング１２にコンパクトに設置されている、独立して機能する安全開閉装置として表されている。
【００３７】
しかし、あるいは、たとえば安全目的で設計されているプログラマブルロジックコントローラ（ＰＬＣ）など、より複雑な安全制御モジュールを含めることもできるであろう。別の実施形態（ここでは個別に表していない）では、安全開閉装置１０は、たとえばバスシステムによって、相互接続されている、空間的に分散されているコンポーネントとともに構成することができるであろう。
【００３８】
安全開閉装置１０は、信号処理ユニット１４を有する。この場合、信号処理ユニット１４は、その予想される用途および関連する安全要件に従って、マルチチャネル設計である。具体的には、信号処理ユニット１４は、２つのマイクロプロセッサ（個別に表していない）を組み込んでおり、これらが互いに通信し、相互監視機能を実行する。
【００３９】
安全開閉装置１０の入力側には、安全性のために一次検知器要素を接続することができる。安全柵１６、光電バリア１８および非常停止スイッチ２０を、ここでは例示のために表している。信号処理ユニット１４は、１つまたは複数の一次検知器要素からの信号を、それ自体公知のフェイルセーフな態様で処理し、それを参照して１つまたは複数の出力側のスイッチング要素を制御する。
【００４０】
この場合、安全開閉装置１０は、２つの出力側スイッチング要素２２，２４を有し、これらは、ここでは２つのＭＯＳトランジスタとして表されている。第１スイッチング要素２２は、第１電位を安全開閉装置１０に送ることのできる第１端子２６を、第１出力端子２８に接続している。第２スイッチング要素２４は、安全開閉装置１０が第２電位を受けることのできる第２端子３０を、第２出力端子３２に接続している。
【００４１】
第１出力端子２８と第２出力端子３２との間に、外部電力消費機器３４が接続されており、これは、一次検知器要素１６，１８，２０によって送られる信号に従い、フェイルセーフな態様で安全開閉装置１０によって断路することができる。電力消費機器３４は、具体的には誘導性または容量性導体であり、ここでは例示のためにソレノイド弁として表されている。フェイルセーフな断路のために、エネルギーを蓄積するこの種の電力消費機器は、両極で電源から分離しなければならない。そのため、専門用語では、この種の接続を「２極接続」という。
【００４２】
正常な動作では、一次検知器要素１６，１８，２０は、安全開閉装置１０の入力３６で安全な状態を能動的に示す。対応する入力信号が存在すると、信号処理ユニット１４は、第１端子２６から外部電力消費機器３４経由で第２端子３０までの電流路が閉じられるように、第１および第２のスイッチング要素２２，２４を作動させる。したがって、外部電力消費機器３４への供給がほぼ動作電圧ＵＢになるように、第１端子２６は、たとえば、動作電圧ＵＢに接続されており、第２端子３０は接地端子に接続されている。
【００４３】
断路のために欠かせないコンポーネントに加えて、安全開閉装置１０は、これらのコンポーネントの検証のためのシステム、および自己試験の実行のためのシステムも組み込んでいる。具体的には、安全開閉装置１０は、対応する試験を実行する試験装置３８を組み込んでいる。
【００４４】
ここで表される試験装置３８は、信号処理ユニット１４のコンポーネントとみなすことができる。あるいは、試験装置３８は、信号処理ユニット１４とは分離しているスタンドアロン型ユニット、たとえば、スタンドアロン型マイクロコントローラとすることもできる。別の実施形態では、追加的に、試験装置３８は、専らソフトウェアアプリケーションとして存在することができ、信号処理ユニット１４のマイクロコントローラ４０上で稼働する。いずれの場合も、そのそれぞれの実施態様とは独立して、試験装置３８は、第１および第２のスイッチング要素２２，２４を作動させるように設計されている。
【００４５】
第１スイッチング要素２２と第１出力端子２８との間に、第１リードバックタップが配置されており、ここでは参照符号４２で識別される。第１リードバックタップ４２は、試験装置３８に連結されているタップオフとみなされる。タップオフによって、試験装置３８は、第１リードバックタップ４２に存在する電圧を判定することができる。好ましくは、試験装置３８は、閾値検知器を組み込んでおり、これが、第１リードバックタップ４２に存在する電圧をバイナリ信号に変換する。あるいは、試験装置３８は、アナログ・デジタル変換器を組み込むこともでき、これは、第１リードバックタップ４２に存在する電圧を離散値に変換する。
【００４６】
第２スイッチング要素２４と第２出力端子３２との間に配置されている第２リードバックタップは、ここでは参照符号４４によって識別される。第２リードバックタップ４４は、第１リードバックタップ４２と同様に構成されており、同じく試験装置３８に連結されている。
【００４７】
試験装置３８は、第１および第２のスイッチング要素２２，２４を作動させるように、かつ、第１および第２のリードバックタップ４２，４４のリードバック信号、好ましくはバイナリ信号、を同時に判定するように設計されている。より詳細に以下で説明するように、リードバック信号から試験パターンを生成することができる。
【００４８】
安全開閉装置は、追加的に、内部電力消費機器４６および第３スイッチング要素４８を組み込んでいる。
【００４９】
内部電力消費機器４６は、外部電力消費機器３４をシミュレートするように構成されている。言い換えると、内部電力消費機器４６は、好適な外部電力消費機器３４と同じかまたは類似の電気特性を有する電子コンポーネントである。内部電力消費機器４６は、たとえば、単純な電気抵抗器とすることができる。あるいは、または追加して、内部電力消費機器４６は、外部電力消費機器３４の電気的特徴をシミュレートするために、コイルまたはコンデンサなどの別の電子コンポーネントを備えることもできる。
【００５０】
この場合、「内部」という用語は、電力消費機器が安全開閉装置のコンポーネントであることを意味する。これは、内部電力消費機器が、ここで表されるように、安全開閉装置１０のハウジング１２内に恒久的に統合されていなければならないことを必ずしも意味するわけではない。あるいは、安全開閉装置１０は、「内部」電力消費機器を外部で利用可能にすることができる端子コネクタのみを装備することができる。これは、内部電力消費機器を、予想される外部電力消費機器に適応させられるという利点を有するであろう。別の実施形態では、内部電力消費機器は、試験装置３８が内部電力消費機器の電気特性を変え、必要に応じてかかる特性に適応できるように、可変設計とすることもできる。
【００５１】
内部電力消費機器４６の構成とは独立して、後者は、外部電力消費機器３４と並列して第３スイッチング要素４８に接続可能であり、すなわち、第３スイッチング要素４８および内部電力消費機器４６は、第１出力端子２８と第２出力端子３２との間に直列で配置されている。第３スイッチング要素４８と内部電力消費機器４６との間に第３リードバックタップが配置されており、ここでは参照符号５０で識別される。前述した第１および第２のリードバックタップ４２，４４の場合と同様に、電圧または指定の状態も同じく第３リードバックタップ５０の試験装置３８によって判定することができる。
【００５２】
安全開閉装置１０には、追加的に、メモリ５２が装備されている。この場合、メモリ５２は、信号処理ユニット１４に統合されている。あるいは、メモリ５２は、試験装置３８によってアクセスすることのできるスタンドアロン型コンポーネントとして構成することもできる。メモリ５２内に、試験装置３８によって探索を実行できる値および割り当て表を格納することができる。具体的には、所与の故障に明確に割り当てることができる故障パターンがメモリ５２に格納されている。
【００５３】
試験装置３８による安全開閉装置１０の試験の簡略図において、第１、第２および第３のスイッチング要素２２，２４，４８が作動させられ、リードバック信号がそれぞれ第１、第２および第３のリードバックタップ４２，４４，５０でリードバックされる。次いで、リードバック信号から試験パターンが生成されて、メモリ５２内に格納されている故障パターンと照合される。この照合プロセスから、安全開閉装置１０の機能的能力を、故障があった場合に、故障タイプと合わせて判別することができる。
【００５４】
単純かつ好適な試験ストラテジーを、図２から図７を参照して、より詳細に以下で説明する。
【００５５】
図２は、（セキュア）制御機能の周期的なプログラム実行に関するフロー図を示す。セキュア制御機能は、本開示の意味における１つまたは複数の安全開閉装置１０、またはさらに追加的な安全開閉装置を含むことができる。
【００５６】
原則として、本明細書で説明するセキュア制御機能は、ＩＰＯ原則（入力・処理・出力）によって、正常な制御機能の態様で動作する。新たなサイクル５４の始まりで、ここでは参照符号５６で示すように、すべての出力、タイマ、カウンタ、マーカがゼロに設定される。このリセット５６の後、工程５８で、入力のプロセス画像（ＰＩＩ）がログされるが、これは、信号ユニット１６，１８，２０の入力３６から送られる入力信号を反映する。ＰＩＩは、電流信号状態と合わせて、さらなる処理のために特定の制御メモリに保存される。
【００５７】
ＰＩＩの入力後、メモリに格納されている制御プログラムの実行が続き、ここでは工程６０で表されている。制御プログラムは、順次に、すなわち命令単位で実行される複数の命令６２を含む。命令の実行中、制御機能は、もはや入力に直接アクセスせずに、メモリ内に格納されているＰＩＩにのみアクセスする。プログラムの実行中に出力が調整されると、これは、最初に、特定のメモリエリア、「出力のプロセス画像」（ＰＩＯ）に発生する。制御プログラムが完全に実行された後でしか、ＰＩＯは実際の出力に転送されない。
【００５８】
この場合、制御プログラムは、追加で、試験プログラム６４を含む。試験プログラム６４は、別の命令６２の追加によってのみ制御プログラムを拡張することができ、または制御プログラムの最終命令６２に加えて実行されるスタンドアロン型ソフトウェアプログラムとみなすことができる。
【００５９】
各実施形態に関係なく、試験プログラム６４は、試験の実行と対応する試験結果の生成および送出とのために、安全開閉装置１０内の前述した試験装置と協働するように構成されている。制御プログラムの一要素としての試験プログラム６４は、ＰＩＯを介して、またはＰＩＩの修正によって出力の直接制御を実行することができ、次のプログラムサイクルに組み込まれるべき命令を制御プログラムに伝えることができることは理解される。試験プログラム６４が、１プログラムサイクル内で完全に完了する必要はない。試験プログラム６４は、いったん始まると、独立して複数のプログラムサイクルの実行にまで及ぶことができる。
【００６０】
最終命令６２に加えて、状態は、ＰＩＯから実際の出力６８に伝送される。これは、工程６６で発生する。その後、プロセスは工程５８から先を繰返し、ＰＩＩへの入力３６の読み取りを繰り返す。
【００６１】
プログラムサイクル中に入力の信号状態が変化すると、これは、ＰＩＩが次に構成されるときにのみ明らかになる。その結果、制御機能は応答時間に注目する。これは、もっとも好ましくない場合で、サイクル時間の２倍もの長さになることがある。制御プログラムの長さによっては、サイクル時間の継続時間は、たとえば、１，０００個の命令６２につき８ミリ秒となる可能性がある。試験プログラムの実行は、複数のＰＩＩおよびＰＩＯサイクルを包含することができ、ＰＩＩとその後のＰＩＯとの間に進める必要は必ずしもない。
【００６２】
図３を参照して、試験装置３８によって実行されるタイプの第１開閉試験を、より詳細に以下で説明する。
【００６３】
図３では、第１、第２および第３のスイッチング要素２２，２４，２８のそれぞれの開閉状態が、時間ｔにわたって表されている。参照符号７０で識別される上の線図は、第１スイッチング要素２２の開閉状態を表し、参照符号７２で識別される中央の線図は、第２スイッチング要素２４の開閉状態を表し、参照符号７４で識別される第３線図は、第３スイッチング要素４８の開閉状態を表す。第１、第２および第３の線図７０，７２，７４から分かるように、スイッチング要素２２，２４，４８は、作動状態または非作動状態をとることができる。ここでは、特定の試験期間７６を、長さの等しい４つの非重複試験間隔７８，８０，８２，８４に細分している。試験期間７６を４つの試験間隔７８，８０，８２，８４に分割することが好ましい。しかし、本開示の意味において、第１開閉試験は、３つの試験間隔のみを含むこともできる。
【００６４】
この場合、第１試験間隔７８において、第１スイッチング要素２２および第２スイッチング要素２４および第３スイッチング要素４８は、いずれも作動しない。第２試験間隔８０では、第１スイッチング要素２２は作動するのに対し、第２スイッチング要素２４および第３スイッチング要素４８は作動しない。第３試験間隔８２では、第１スイッチング要素２２および第２スイッチング要素２４は、第３スイッチング要素４８とともに作動する。第４試験間隔８４では、第２スイッチング２４が作動するのに対し、第１スイッチング要素２２および第３スイッチング要素４８は作動しない。
【００６５】
第１試験期間７６は、本開示の意味における第１開閉試験の好適な特徴を表す。好適な第１開閉試験において、第１から第４の試験間隔内で、このように第１および第２のスイッチング要素２２，２４の開閉状態は完全に並べ替えられるのに対し、第３スイッチング要素４８は、第１スイッチング要素２２および第２スイッチング要素２４がともに作動する場合にしか作動しない。ここで表される試験間隔７８，８０，８２，８４のシーケンスは例示的なものにすぎないことは理解される。試験間隔７８，８０，８２，８４のシーケンスは任意である。
【００６６】
各試験間隔７８，８０，８２，８４で、直ちに、または好ましくは１００ｕｓごとに、第１、第２および第３のリードバックタップ４２，４４，５０のそれぞれの状態を判定し、メモリ５２に保存する。第４試験間隔８４の完了に加えて、図４を参照してより詳細に説明するように、第１、第２および第３のリードバックタップ４２，４４，５０でそれぞれの試験間隔においてリードバックされた状態を組み合わせて第１試験パターン８６を作る。
【００６７】
図４は、第１試験パターン８６の実施形態の模式図を示す。試験パターン８６は、ここでは行列として表されており、列８８，９０，９２，９４は、第１、第２、第３および第４の試験間隔７８，８０，８２，８４に対応する。列８８，９０，９２，９４は三重項に対応し、対応する試験間隔中の第１、第２および第３のリードバックタップのそれぞれの状態が保存される。
【００６８】
この実施形態において、第１、第２および第３のリードバックタップ４２，４４，５０は、バイナリ状態として記録され、すなわち、それぞれのリードバックタップの第１状態と第２状態との区別がなされる。図４では、第１状態は対応する欄に×印で表され、一方、第２状態は空白欄で表されている。行９６，９８，１００は、第１、第２および第３のリードバックタップ４２，４４，５０を表す。したがって、それぞれの試験間隔７８，８０，８２，８４において第１リードバックタップ４２でリードバックされる状態は、第１行９６に表される。第２行９８は、第２リードバックタップ４４の対応する状態を表し、第３行１００は、それぞれの試験間隔中の第３リードバックタップ５０の状態を表す。
【００６９】
第１、第２および第３のリードバックタップ４２，４４，５０のリードバック信号がバイナリ状態に関係する場合、試験パターン８６は、格段に単純にビットフィールドとして表すことができる。表に提示される試験パターンを表すビットフィールドは、ここでは参照符号１０２で識別される。ビットシーケンスの各ビットは、試験間隔中のリードバックタップの状態を表す。上で示したように、試験間隔は、ここで表されたもの以外のシーケンスで実行することもできる。すると、試験パターンにおける状態のシーケンスは、それに応じて変わることになる。
【００７０】
他の実施形態において、第１、第２および第３のリードバックタップ４２，４４，５０のリードバック信号は、３つ以上の状態をとることもできることは理解される。すると、この場合、試験パターン８６は、これら個々の状態を表す記号の整列した配列とみなされるであろう。異なる状態を表すさまざまな記号は、さらに、２進法で表すことができ、この場合、ビットフィールド１０２は、単に拡張されるであろう。
【００７１】
第１試験期間７６の完了に加えて、第１試験パターン８６が生成されたらすぐに、試験装置３８は、安全開閉装置１０の故障を特定するために、第１試験パターン８６を第１エラーパターンセットと照合する。言い換えると、試験装置は、故障パターンの表で、試験パターンに対応するパターンの探索を実行し、各故障パターンは、所与の故障に明確に関連付けられている。試験パターンに対して故障パターンが特定できなければ、故障が定義されてない、すなわち、試験パターンに割り当てることのできる既知の故障はない。
【００７２】
エラーパターンセットが、「良好なケース」を表す１つまたは複数のパターンを含むことも可能である。「良好なケース」は、安全開閉装置のフォールトフリー状態、すなわち、第１および第２のスイッチング要素がフォールトフリーで動作しており、内部故障が存在しないことが確実に立証される状態を表す試験パターンをいう。好ましくは、「良好なケース」において、内部故障および外部故障の両方を除外することができる。
【００７３】
図５は、第１エラーパターンセット１０４を表す。本質的に、第１エラーパターンセットは割り当て表に対応し、これは、メモリ５２に保存されている。表において、対応する故障は、各既知の故障パターンに割り当てられている。好ましくは、本開示の意味における各開閉試験について、専用の故障パターンセットが利用できる。
【００７４】
試験装置３８は、第１エラーパターンセット１０４から、第１試験期間７６内に構成される試験パターン８６を特定し、存在する場合、対応する故障１０５の表示を提供し、または該故障に適切な対策を開始するように構成されている。
【００７５】
第１エラーパターンセット１０４は、劣決定（under-determined）することができる。すなわち、エラーパターンセット１０４に、考えられるすべてのパターン１０７を保存するのではなく、明確な故障を割り当てることができるパターンのみが保存される。故障パターン８６が第１エラーパターンセット１０４に掲載されていない場合、明確な故障を特定することができない。この場合、好ましくは、第２開閉試験が実行されて、第２試験期間内に、第１、第２および第３のスイッチング要素２２，２４，４８が異なる状態に切り換えられて、第２試験パターンが判定できるようにし、さらに第２エラーパターンセットと照合できるようにする。この種の好適な試験ストラテジーを、図６および図７を参照してより詳細に説明する。
【００７６】
図６は、好適な試験シーケンス１０６のフロー図を示す。
【００７７】
好適な試験シーケンス１０６では、第１および第２のスイッチング要素２２，２４の機能的能力を試験するために、まず機能試験１０８を実行する。
【００７８】
機能試験１０８で、第１および第２のスイッチング要素２２，２４の機能的能力が点検され、試験装置３８は、第１および第２のスイッチング要素２２，２４を交互に作動させる。機能試験１０８では、好ましくは、本開示の意味における完全な試験パターンは生成されないが、第１または第２のスイッチング要素２２，２４を作動させた直後に、対応する第１または第２リードバックタップ４２，４４からリードバック信号が取り出されて、期待値と直接比較される。
【００７９】
機能試験は、スイッチング要素２２，２４の現在の状態または出力のプロセス画像とは関係なく実行される。好ましくは、機能試験１０８は、図２に説明するプログラムサイクルごとに１回実行される。各サイクルで、第１または第２のスイッチング要素２２，２４のうちの一方のみをそれぞれ試験し、他方の各要素は、次のサイクルで試験することが特に好ましい。あるいは、１サイクル内で、第１および第２のスイッチング要素２２，２４を順次試験することもできる。開閉試験１１０，１１４の実行の継続時間は、多数のプログラムサイクルを包含することもできる。したがって、開閉試験の結果は、必ずしも各プログラムサイクルの後で入手できるわけではない。
【００８０】
機能試験において、第１または第２のスイッチング要素２２，２４の各開閉状態について、第１リードバックタップおよび第２リードバックタップ４２，４４で取り出されるリードバック信号に特定の期待値がある。リードバック信号がこれらの特定の期待値に一致する場合、試験シーケンス１０６は終了し、周期的プログラムの実行が図２に従って続く、すなわち、次のサイクルで別の機能試験１０８が実行される。
【００８１】
リードバック信号がこれらの期待値に一致しない場合、故障が存在し、故障の性質は、機能試験１０８自体からは特定することはできない。故障が存在する場合、その後第１開閉試験１１０が実行され、第１開閉試験１１０は、図３を参照して説明したタイプの第１開閉試験に対応する。
【００８２】
第１開閉試験１１０において、第１および第２のスイッチング要素２２，２４の開閉状態の、考えられるすべての組み合わせが試験される。しかし、内部電力消費機器４６は、断続的にオンにされるだけである。各組み合わせについて、第１、第２および第３リードバックタップ４２，４４，５０のリードバック信号には期待値がある。リードバック信号から、第１試験期間７６後、図４を参照して説明されたタイプの試験パターン８６が生成されて、明確な故障１０５の特定を可能にするために、第１エラーパターンセット１０４と照合する。試験パターンに対して明確な故障が特定できる場合、該故障は、工程１１２で通知される。
【００８３】
試験パターン８６は、「良好なケース」に対応することもできる。この場合、外部故障および内部故障のいずれも存在しない。この場合、構成１１１によって、前の機能試験の結果を無視することができ、または、好ましくは、機能試験１０８を再び実行することができる。
【００８４】
故障出力１１２および検知された故障の信号発信に加えて、直ちに別の対策を実施することもできる。たとえば、故障出力１１２は、ＰＩＯに対して直接的な影響を与えることができ、またはＰＩＩでのビットの設定によって、対応する故障を安全制御機能の制御プログラムに伝送することができる。たとえば、第１開閉試験１１０で特定された故障は、負荷遮断、すなわち、外部電力消費機器３４が安全開閉装置１０から分離されている状態に対応し、この状態は、安全開閉装置１０自体がセキュアな状態をとる必要なく、セキュアな制御機能に通知することができる。このことは、外部故障が直ちにフェイルセーフ状態１１６をとることにはならず、さらなる通知があるまで安全開閉装置がブロックされるという点において、優れた可用性をこのように確保することができるため、特に有利である。
【００８５】
この好適な試験ストラテジーに従い、故障がない場合、または「良好なケース」が第１開閉試験１１０で明確に特定される場合、この後には、故障出力１１２ではなく、第２開閉試験１１４が続く。第２開閉試験１１４では、第２試験パターンが生成され、第１、第２および第３スイッチング要素２２，２４，４８は、最低３つの試験間隔において、さまざまな開閉状態に切り換えられ、これらの試験間隔中に、第１、第２および第３のリードバックタップ４２，４４，５０でリードバック信号が取り出される。その後、明確な故障の特定を可能にするために、第２試験パターンが第２エラーパターンセットと照合される。故障を明確に特定することができる場合、故障出力は、工程１１２に従って進む。
【００８６】
第２試験パターンに割り当てることのできる明確な故障がない場合、内部欠陥が想定され、安全開閉装置１０は、工程１１６で、フェイルセーフ状態に切り換えられる。一般に、これは、セキュアな制御機能が安全モードをとり、監視対象設備の付近の人または物がもはや危険にさらされないことを意味する。慣例上、このことは、セキュアな制御機能の出力６８全部のオフに関わる。
【００８７】
好ましくは、第２開閉試験１１４も、時間的に隔てられている４つの間隔に分割され、その間に、第１および第２のスイッチング要素２２，２４は、互いに関して考えられるすべての開閉状態をとるのに対し、第３スイッチング要素４８は、継続的に作動する。第１開閉試験１１０のときと同様に、すべての開閉状態が網羅的に並べ替えられ、内部電力消費機器４６は、出力端子２８，３２に継続的に並列接続されている。第２開閉試験１１４によって、負荷遮断がある場合に、短絡または交差接続の存在を追加的に特定することができる。具体的には、第２開閉試験１１４によって、故障の区別を一層改善できるため、このように有利なことに安全開閉装置の診断能力が向上する。
【００８８】
図７を参照して、好適な試験シーケンス１０６中の第１、第２および第３のスイッチング要素２２，２４，４８の開閉状態をより詳細に以下で説明する。図７では、第１、第２および第３のスイッチング要素２２，２４，４８の開閉状態は、時間ｔに対してプロットされている。上の線図１１８は、好適な試験シーケンス１０６における第１スイッチング要素２２の開閉状態を表し、中央の線図１２０は、好適な試験シーケンス１０６内の第２スイッチング要素２４の開閉状態を表し、下の線図１２２は、好適な試験シーケンス１０６内の第３スイッチング要素４８の開閉状態を表す。
【００８９】
試験シーケンスは、機能試験１０８から始まり、この場合、２つのフェーズ１０８ａ，１０８ｂで実行される。第１フェーズ１０８ａにおいて、第２スイッチング要素２４が作動されるのに対し、第１スイッチング要素２２および第３スイッチング要素４８は作動されない。同時に、第２リードバックタップ４４で、リードバック信号が取り出され、期待値と比較される。第１フェーズ１０８ａにおいてリードバックされた信号が対応する期待値に一致しない場合、第１開閉試験１１０が直ちに続き、すなわち、ここで表される第２フェーズ１０８ｂが省略される。逆に、リードバック信号が指定の期待値に一致する場合、機能試験１０８の第２フェーズ１０８ｂが、同じプログラムサイクルにおいて、あるいは次のプログラムサイクルのいずれかにおいて実行される。
【００９０】
第２フェーズ１０８ｂにおいては、第１スイッチング要素２２が作動されるのに対し、第２スイッチング要素２４および第３スイッチング要素４８は作動されない。同時に、第１リードバックタップ４２で、リードバック信号が取り出されて、指定の期待値と比較される。リードバックされた信号が期待値と一致する場合、試験シーケンス１０６は終了し、次のサイクルが別の機能試験１０８から始まる。言い換えると、機能試験１０８によって故障が検知されるときまで、機能試験１０８のみが試験装置３８によって実行され、故障は、後続の開閉試験１１０，１１４でより綿密に特定される。
【００９１】
第１または第２のフェーズ１０８ａ，１０８ｂのリードバック信号が指定の期待値に一致しない場合、第１開閉試験１１０が機能試験１０８の直後に実行される。第１開閉試験１１０では、この好適な実施形態において、第１および第２のスイッチング要素２２，２４の開閉状態の、考えられるすべての組み合わせが試験される。第３スイッチング要素４８は、第１および第２のスイッチング要素２２，２４が作動されるときにのみ作動する。それ以外は、第３スイッチング要素４８は作動しない。第１試験期間７６の終了時、第１試験期間７６の個々の間隔において受け取られたリードバック信号から試験パターンが生成されて、故障を特定するために、第１エラーパターンセット１０４と比較される。
【００９２】
故障および「良好な状態」のいずれも、第１試験期間７６に加えて生成される第１試験パターン８６に明確に割り当てることができない場合、第２開閉試験１１４がその後直ちに実行される。
【００９３】
第２開閉試験１１４において、第１開閉試験１１０のときと同様に、好ましくは４つの試験間隔において、第１および第２のスイッチング要素２２，２４の開閉状態の、考えられるすべての組み合わせが試験されるのに対し、第３スイッチング要素４８は、第２試験期間１２４全体の間ずっと作動する。言い換えると、第２開閉試験１１４では、第１および第２の開閉状態のすべての開閉状態が網羅的に並べ替えられるのに対し、内部電力消費機器４６は恒久的にオンにされている。
【００９４】
第２試験期間１２４の後、故障の明確な特定を可能にするために、第２試験パターンが生成されて、第２エラーパターンセットと照合される。具体的には、第２開閉試験１１４は、負荷遮断と同時に発生するおそれのある故障の特定を可能にする。そのため、たとえば、負荷遮断が存在すると、スイッチング要素の短絡の存在を追加的に判定することができる。したがって、さらなる故障を特定することができ、それによって、故障状態のより効果的な診断を可能にする。
【００９５】
第２試験期間１２４で生成される試験パターンを所与の故障に明確に割り当てることができない場合、安全開閉装置１０に内部（不明な）欠陥が存在しており、この場合、安全開閉装置１０は、直ちにフェイルセーフ状態１１６に切り換えられなければならない。有利なことに、既知のありふれた故障を除外できる場合にのみこれが起こる。この実施形態による第２試験期間において、「良好なケース」は、もはや検知されることはない。
【００９６】
試験シーケンス１０６が好適な試験シーケンスを表すことは理解される。好適な実施形態において、構成により、個々の開閉試験は省略することができ、またはその特定の組み合わせのみを適用除外とすることができる。その結果、制限された故障診断のみが可能となるが、これは、開閉状態の特定の組み合わせが技術的に不可能である外部電力消費機器に対しても、安全開閉装置を採用することを可能にする。したがって、構成の便宜によって、有利なことに、新規な安全開閉装置は、複数の異なる外部電力消費機器３４に対して採用することができる。
【００９７】
好適な試験シーケンス１０６を使用すると、第１開閉試験１１０では、次の故障を具体的に特定し、区別することができる。すなわち、負荷遮断、個々のスイッチング要素２２，２４，４８の短絡もしくは同じ電位との交差接続、第１および第２のスイッチング要素での異なる電位との交差接続、スイッチング要素２２，２４，４８の遮断、および外部電力消費機器３４の短絡、または外部電力消費機器３４の過負荷。
【００９８】
追加で、第２開閉試験１１４によって、負荷遮断がある場合、他の前述の故障、すなわち、具体的には、短絡および交差接続を特定することができる。有利なことに、検知される故障は、さらなる処理のために制御プログラムに委ねることができる。たとえば、負荷遮断がある場合、次のプログラムサイクルで制御プログラムによって考慮されることになるＰＩＩに１ビットを設定することができる。
【００９９】
以上説明した新規な開閉試験によって、負荷遮断に加えて、他のすべてのありふれた故障を明確に特定することができ、内部故障または外部故障の存在を区別することもできる。これは、原則的に、外部故障を排除することができ、安全開閉装置１０がフェイルセーフ状態をとるが必要ないことから、安全開閉装置１０の可用性に特に関係する。また、負荷遮断と同時に、他のすべての故障を特定することができる。たとえば、負荷遮断がある場合、出力の交差接続を追加的に検知することができる。
【０１００】
新規な方法によって、第１または第２のスイッチング要素２２，２４および接続されている外部電力消費機器３４の交差接続（外部故障）、短絡および遮断などの故障を検知することができる。明確に特定できる故障がなく、「良好なケース」を想定することができない場合にのみ、内部（不明な）故障が診断される。したがって、有利なことに、安全開閉装置の可用性を向上させることができる。
【図１】
2019525694.tif 000003
【図２】
2019525694.tif 000004
【図３】
2019525694.tif 000005
【図４】
2019525694.tif 000006
【図５】
2019525694.tif 000007
【図６】
2019525694.tif 000008
【図７】
2019525694.tif 000009
【国際調査報告】
2019525694.tif 000010
2019525694.tif 000011
2019525694.tif 000012
2019525694.tif 000013