(57)【要約】【課題】安全性が高められ、より経済的な修理を可能にする、電源装置付きの安全開閉装置を提供する。【解決手段】入力信号を受信する入力と、入力信号に従って危険な設備(10)の電源をオンオフするための出力信号を生成するために、入力信号を処理するフェールセーフ制御評価ユニット(28)と、少なくとも１つの動作電圧を制御評価ユニット(28)に供給する電源装置(50)とから成る危険な設備(10)の電源を安全にオンオフする安全開閉装置(1)。電源装置(50)は、入力電圧(Ue)を、動作電圧に相当する規定出力電圧値の出力電圧(Ua)に変換する電圧変換器(52)と、電圧変換器(52)の故障状態を検出する故障検出器(54)とを有する。故障検出器(54)は、現在存在する出力電圧(Ua)を規定基準電圧と比較する比較器(56)を有し、かつ基準電圧からの特定の偏差を検知すれば、故障状態信号を提供する。電源装置(50)は、故障状態信号が存在するとき電圧変換器(52)の入力電圧(Ue)を切断するスイッチ(60)を有する。【選択図】図２
2015513885.tif 000002
【特許請求の範囲】
【請求項１】
危険な設備（１０）の電源を安全確実にオンオフする安全開閉装置（１）であって、
入力信号を受信する入力部と、
前記入力信号に従って前記危険な設備（１０）の電源をオンオフするための出力信号を生成するために、前記入力信号を処理するフェールセーフ制御評価ユニット（２８）と、
少なくとも１つの動作電圧を前記制御評価ユニット（２８）に供給する電源装置（５０）であって、入力電圧（Ｕｅ）を前記動作電圧に相当する規定出力電圧値の出力電圧（Ｕａ）に変換する電圧変換器（５２）を有する電源装置（５０）とを備え、
前記電源装置（５０）は、前記電圧変換器（５２）の故障状態を検出する故障検出器（５４）を有し、前記故障検出器（５４）は、現在存在する出力電圧（Ｕａ）を規定基準電圧と比較する比較器（５６）を有しかつ前記基準電圧からの特定の偏差を検知すれば、故障状態信号を提供し、
前記電源装置（５０）は、前記故障状態信号が存在するとき前記電圧変換器（５２）の前記入力電圧（Ｕｅ）を切断するスイッチ（６０）を有することを特徴とする安全開閉装置（１）。
【請求項２】
前記故障検出器（５４）は、前記故障状態信号を記憶し、前記比較器（５６）に接続される第１入力（５８ａ）と、前記スイッチ（６０）を作動させる少なくとも１つの出力（５８ｃ）とを有するメモリ（５８）をさらに備えることを特徴とする請求項１に記載の安全開閉装置。
【請求項３】
前記メモリ（５８）は、前記入力電圧（Ｕｅ）の電源が入れば、前記故障状態信号の記憶を終了させるための信号を受信する第２入力（５８ｂ）をさらに有することを特徴とする請求項２に記載の安全開閉装置。
【請求項４】
前記メモリ（５８）は、双安定フリップフロップであり、前記第１入力（５８ａ）は、前記双安定フリップフロップのリセット入力（Ｒ）であることおよび／または、前記第２入力（５８ｂ）は前記双安定フリップフロップのセット入力（Ｓ）であることを特徴とする請求項２または請求項３に記載の安全開閉装置。
【請求項５】
前記故障検出器（５４）は、前記基準電圧の特定の超過を検出すれば故障状態信号を提供し、前記故障状態は前記出力電圧（Ｕａ）の過電圧に相当することを特徴とする請求項１ないし請求項４のいずれか１項に記載の安全開閉装置。
【請求項６】
前記故障検出器（５４）は、前記基準電圧の特定の不足を検出すれば故障状態信号を提供し、前記故障状態は前記出力電圧（Ｕａ）の不足電圧に相当することを特徴とする請求項１ないし請求項５のいずれか１項に記載の安全開閉装置。
【請求項７】
前記スイッチ（６０）は、前記電圧変換器（５２）の入力への電流経路に配置され、前記故障状態信号が存在するとき、前記スイッチ（６０）は前記電圧変換器（５２）の入力への電流供給を遮断することを特徴とする請求項１ないし請求項６のいずれか１項に記載の安全開閉装置。
【請求項８】
前記電圧変換器（５２）は、前記出力電圧（Ｕａ）を前記規定出力電圧値に保つために、前記電圧変換器（５２）を通る電流の流れを調整するスイッチングレギュレータ（６６）を有し、前記入力電圧（Ｕｅ）を切断する前記スイッチ（６０）は、前記スイッチングレギュレータ（６６）のスイッチングトランジスタであることを特徴とする請求項１ないし請求項７のいずれか１項に記載の安全開閉装置。
【請求項９】
前記スイッチングレギュレータ（６６）は、スイッチングレギュレータ供給電圧用の入力（６７）を有し、前記スイッチ（６０）は前記スイッチングレギュレータ供給電圧用の入力（６７）への電流経路に配置され、前記故障状態信号が存在するとき、前記スイッチ（６０）は前記スイッチングレギュレータ（６６）の前記入力への電流供給を遮断することを特徴とする請求項８に記載の安全開閉装置。
【請求項１０】
前記フェールセーフ制御評価ユニット（２８）に接続され、かつ前記電圧変換器（５２）の入力電圧（Ｕｅ）を切断するために、前記フェールセーフ制御評価ユニット（２８）の故障状態を検出すれば、前記スイッチ（６０）に故障状態信号を送出する少なくとも１つのウォッチドッグ（７０、７１）をさらに備えたことを特徴とする請求項１ないし請求項９のいずれか１項に記載の安全開閉装置。
【請求項１１】
前記フェールセーフ制御評価ユニット（２８）は、互いに冗長的に前記入力信号を処理し、かつ前記入力信号に従って前記出力信号を生成するために、論理信号の組み合わせを実行する少なくとも２つの処理装置（２８ａ、２８ｂ）を有することを特徴とする請求項１ないし請求項１０のいずれか１項に記載の安全開閉装置。
【請求項１２】
前記電源装置（５０）は、前記フェールセーフ制御評価ユニット（２８）に対して複数の動作電圧を生成するために設計され、前記電源装置（５０）は、前記入力電圧（Ｕｅ）を、それぞれ規定出力電圧値を有する数個の出力電圧（Ｕ１、Ｕ２、Ｕ３、Ｕ４）に変換するために、数個の電圧変換器を有し、前記出力電圧（Ｕ１、Ｕ２、Ｕ３、Ｕ４）は、前記フェールセーフ制御評価ユニット（２８）に対するそれぞれの動作電圧に相当することを特徴とする請求項１ないし請求項１１のいずれか１項に記載の安全開閉装置。
【請求項１３】
前記複数の動作電圧（Ｕ１、Ｕ２、Ｕ３、Ｕ４）の合計に相当する総電圧（Ｕｓｕｍ）を提供する加算器（８０）をさらに備え、前記総電圧（Ｕｓｕｍ）は、前記比較器（５６）に対する前記現在存在する出力電圧（Ｕａ）であることを特徴とする請求項１２に記載の安全開閉装置。
【請求項１４】
前記少なくとも２つの処理装置（２８ａ、２８ｂ）は、前記電源装置（５０）が生成する前記複数の動作電圧とは異なる動作電圧を使用することを特徴とする請求項１１に従属する、請求項１２または請求項１３に記載の安全開閉装置。
【請求項１５】
前記フェールセーフ制御評価ユニット（２８）は、前記電圧変換器（５２）の故障状態が検出されれば、前記故障検出器（５４）が生成するステータス信号を受信する入力を有し、前記フェールセーフ制御評価ユニット（２８）は、前記ステータス信号を受信すれば、対応する故障入力を記憶するメモリを有することを特徴とする請求項１ないし請求項１４のいずれか１項に記載の安全開閉装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、安全装置に関し、特に、入力信号を受信する入力と、それに応じて潜在的に危険な設備の電源をオンオフするための出力信号を生成するために入力信号を処理するフェールセーフ制御評価ユニットと、少なくとも１つの動作電圧を制御評価ユニットに供給する電源装置とから成る、確実に安全に前記危険な設備の電源をオンオフするための安全開閉装置に関するものである。該電源装置は、入力電圧を、動作電圧に対応する規定出力電圧値の出力電圧に変換する電圧変換器を有する。
【背景技術】
【０００２】
安全開閉装置およびフェールセーフ制御評価ユニットは、それぞれ、共通安全規格、特に、少なくともカテゴリ３と好ましくはカテゴリ４および／またはＥＮ  ＩＳＯ  １３８４９−１による対応ＰＬ（性能水準）および／またはＥＮ／ＩＥＣ  ６２０６１または先ごろ失効した欧州規格ＥＮ９５４−１など同等の安全規格による対応ＳＩＬ（安全度水準）の要件を満たす任意の安全開閉装置およびフェールセーフ制御評価ユニット（例えば、ＣＰＵまたはマイクロコントローラ）である。
【０００３】
これには、特に、工業生産環境の分野において安全を最重視すべき作業を制御し実行するために使用される安全リレー、安全制御装置、およびセンサー・アクチュエータモジュールが含まれる。
【０００４】
これに関連して、詳細には、緊急停止ボタンまたは防護扉の動作位置や、例えば光バリアの動作状態を監視し、それに応じて機械や機械設備の電源を切る安全リレーが知られている。このような安全開閉装置の故障は、機械担当者にとって生命にかかわる結果をもたらす可能性があり、そのため、安全開閉装置は当該監督官庁（例えば、ドイツの専門職団体）に認定された場合にのみ使用される。
【０００５】
先行技術の安全開閉装置は、例えば、電気負荷を確実にオフにする安全開閉装置に関する特許文献１で知られている。この安全開閉装置は、信号装置を接続する入力と、負荷を確実にオフにするための、出力におけるスイッチング要素と、信号装置に対応してスイッチング要素を駆動する制御評価ユニットと、動作電圧を供給する電源装置とを有する。
【０００６】
一般的に、電源装置は、制御評価ユニットなどの装置またはアセンブリに特定の動作電圧、特に、電力系統によって供給される電圧とは異なる電圧を供給するために使用される。電源装置は、入力電圧を、求められる動作電圧に対応する出力電圧に変換する電圧変換器（変圧器とも呼ばれる）を有する。出力電圧または動作電圧は、通常、直流電圧である。概してケーブルを介して装置に接続される外部電源装置と、装置内に配置または装置に一体化される内部電源装置とに区別される。
【０００７】
外部電源装置の場合、例えば公益企業によって供給される入力端部の電源電圧を、既存の電源電圧では動作できない電気または電子装置のために、出力電圧または動作電圧に変換する。例えば、電源装置は、ＡＣ（交流電圧）２３０Ｖの電源電圧から、特定の装置を動作させるために必要なＤＣ（直流電圧）２４Ｖの動作電圧を生成する。
【０００８】
安全開閉装置の場合、通常、構成要素の故障がある場合でも人体に害のない値を越えない最大出力電圧を有する外部電源装置、例えば、ＰＥＬＶ（保護特別低電圧）またはＳＥＬＶ（安全特別低電圧）を有する電源装置を、危険な人体電流に対する保護のために使用する必要がある。外部から安全開閉装置に流れ込む可能性がある過電圧は、接点保護のために約６５Ｖと想定しなければならない。公称電圧は通常２４Ｖである。したがって、安全開閉装置用の電源装置の場合、入力電圧は通常、電源電圧より低い電圧である。例えば、２４Ｖの入力電圧は、例えば５Ｖまたはそれより低い値といった、より低い出力電圧に変換させてもよい。
【０００９】
安全開閉装置の電源装置は、例えば、最大で６５Ｖが流れ込んでも例えば２４Ｖの公称電圧で過負荷状態にならないように寸法設定することができる。したがって、外部で発生する過電圧は、適した回路構成および対応する構成要素の選択によって制御することができる。しかしながら、電源装置における構成要素の不具合または構成要素の故障の場合、例えば流れ込んだ６５Ｖの電圧は、電源装置によって供給される内部構成要素に達し得る。よって、たとえば公称動作電圧が５Ｖ以下なら、内部構成要素の不具合／故障がある場合、構成要素は破壊される可能性がある。これは、安全開閉装置が安全でない状態を招く可能性がある。したがって、電源装置における内部構成要素の故障によって引き起こされるこれらの過電圧を制御するための対策を設けることが望ましい。
【００１０】
過電圧が（特に電源装置の外部または後方の）装置の入力で検出されると、この装置への電流経路が遮断される安全開閉装置用の過電圧監視装置が知られている。例えば、特許文献２は、電流切断の選択肢が設けられた、安全モジュールが確実に動作するための安全モジュール用過電圧監視装置を開示している。この電流切断には高い信頼性が求められるため、電流切断は、電気的に駆動可能な電流切替手段と入力電圧比較手段とを用いて、安全モジュールへの電流経路が比較の結果に応じて遮断されるように実施される。別の種類の電圧監視が、例えば特許文献３に開示されている。また、さらに別の種類が特許文献４で知られている。
【００１１】
従来から知られている安全開閉装置では、構成要素の不具合により引き起こされる過電圧といった電源装置の障害は、電源装置の外部の対策によって制御されていた。電源装置により送り込まれる構成要素を破壊し得る過電圧は、監視対策や（例えば、電源装置の後方の）出力のフェールセーフ駆動によって受け入れ制御されていた。
【００１２】
一般的な電源装置の場合、電源装置内の過電圧監視装置や電源装置の入力に接続された過電圧監視装置も知られている。例えば、クランプ回路（クローバー）を使用する過電圧切断が知られている（非特許文献１）。
【００１３】
クランプ回路は、主に低圧直流給電システムにおける過電圧に対する保護として使用される電子回路である。これに関連して、供給電圧は、特定の電圧に達すると低インピーダンスで短絡し、その結果、ヒューズを作動させて電源装置を遮断することができる。クランプ回路はほとんどの場合、２個の主端子（カソードおよびアノード）で供給電圧に直接接続されるスイッチング要素としてのサイリスタまたはトライアックである。臨界過電圧レベルに達すると、サイリスタはトリガー回路によってゲートを介してトリガーされ、供給電圧の短絡を起こす。結果として発生する短絡電流がヒューズ素子、ほとんどの場合、給電路のヒュージブル(fusible)リンクをトリガーし、恒久的に電源装置を遮断する。このヒュージブルリンクは、サイリスタの損傷を防ぐために十分迅速に作動しなければならない。ヒュージブルリンクを使用する場合、作動した後に交換しなければならない。
【先行技術文献】
【特許文献】
【００１４】
【特許文献１】独国特許出願公開公報第１０ ２００６ ００４ ５５８号明細書
【特許文献２】独国特許出願公開公報第１０ ２００８ ０５１ ５１４号明細書
【特許文献３】独国特許出願公開公報第４４  ４３  ８６２号明細書
【特許文献４】独国特許出願公開公報第１９６ ３３  ９５２号明細書
【特許文献５】独国特許出願公開公報第１０ ２００４ ０２０ ９９５号明細書
【非特許文献】
【００１５】
【非特許文献１】独国ウィキペディアKlemmschaltung (Stromversorgung) 〈URL：http://de.wikipedia.org/wiki/Klemmschaltung_(Stromversorgung)〉
【発明の概要】
【発明が解決しようとする課題】
【００１６】
これらを背景に、本発明は、安全性が高められ、および／またはより経済的な修理を可能にする、電源装置付きの安全開閉装置を提供することを目的としている。
【課題を解決するための手段】
【００１７】
本発明の第１の態様によれば、この目的は、電源装置が電圧変換器の故障状態を検出する故障検出器を有し、この故障検出器は、現在存在する出力電圧を規定基準電圧と比較する比較器を有しかつ基準電圧からの特定の偏差を検知すれば、故障状態信号を提供し、電源装置は、故障状態信号が存在するとき、電圧変換器の入力電圧を切断するスイッチを有する、電源装置付き安全開閉装置によって達成される。
【００１８】
したがって、本発明の安全開閉装置は、故障（特に、電源装置の構成部品不具合／故障）がある場合に電圧変換器の入力電圧の電源を切るために、電圧変換器の出力電圧の監視を使用する。これは、入力から出力までの電源装置の電流または信号の流れる方向でみると、切断が電圧測定または電圧監視の上流（特に、出力電圧が測定または監視される箇所の上流）で生じることを意味する。電圧測定または電圧監視の下流での切断に比して、低い電流を切り替えればよいため、切断はより簡単になる。故障の場合、安全開閉装置自身が、電源装置の電源または入力電圧をオフにする。故障状態検出および切断は、電源装置内で発生する。故障状態が検出されたとき、電源装置は自身の電源を切る。電源装置の不具合または電圧変換器の不具合によって引き起こされる危険要因は、発端箇所、つまり電源装置または電圧変換器において直接電源が切られる。したがって、故障状態（特に、過電圧または不足電圧）を引き起こした電圧切替部分は電源が切られる。つまり、故障状態の原因が排除される。とりわけ、過電圧または不足電圧は、発端となり得る位置で検出され、そこで電源が直接切られる。この上流での切断によって、動作中の欠陥のある電源装置により生じ得る後続故障、例えば温度過昇や火災さえも、安全な状態がもはや保証されない安全開閉装置において回避される。そのため、本発明の安全開閉装置は、高い安全性を提供し、とりわけ電源装置における構成要素の不具合または構成要素の故障の場合に、経済的な修理を提供する。
【００１９】
通例、周知の安全開閉装置は、電源装置の外部または後ろに、供給される要素の入力に過電圧監視装置を有する。これは、電源装置における構成要素など、故障状態を引き起こしている回路部分がまだ電源に接続されているという危険を負い、安全性リスクを示す。他方、供給電圧の過電圧が検出されたとき供給電圧が短絡する、入力にクランプ回路を使用した電源装置が知られている。しかしながら、例えば外乱による誤った引き外しがある場合、ヒュージブルリンクを取り換えなければならないという問題がある。
【００２０】
したがって、全体的にみて、本発明の安全開閉装置は高い安全性を提供する。よって、前記目的は完全に達成される。
【００２１】
好適な改良点において、故障検出器は故障状態信号を記憶するメモリをさらに有する。詳細には、メモリは比較器に接続される入力と、スイッチを作動させる少なくとも１つの出力とを有することができる。
【００２２】
この改良点において、故障状態（例えば、過電圧または不足電圧）の検出後に出力電圧の電源が切られたとき、入力電圧は確実に切断されたままである。したがって、安全性をさらに増大できる。同時に、メモリは、１つまたはわずかの安価な追加構成要素によって設けることができる。したがって、追加費用および追加コストが低い。
【００２３】
別の改良点において、メモリは、入力電圧の電源が入ると故障状態信号の記憶を終了させるための信号を受信する第２入力を有する。
【００２４】
この改良点において、パワーオンリセットが電源装置自身によって開始される。例えば、故障の原因が排除された後、電源装置は、入力電圧の電源を再び入れるか再起動させることで再び動作させることができる。これにより、安全開閉装置の可用性が増大する。第２入力は入力電圧に接続することができる。第２入力は、例えば、入力電圧に応じて記憶を終了させるための信号、特にセット信号またはセットパルスを生成する信号発生機器に接続することができる。
【００２５】
別の改良点において、メモリは双安定フリップフロップである。詳細には、第１入力は、双安定フリップフロップのリセット入力であり、および／または、第２入力はセット入力であってもよい。あるいは、第１入力が双安定フリップフロップのセット入力で、および／または第２入力がリセット入力になるように入力を交換することもできる。
【００２６】
この改良点において、双安定フリップフロップはメモリを簡単に実現させる。双安定フリップフロップは特に費用対効果の大きい追加構成要素である。双安定フリップフロップ（フリップフロップとも呼ばれ、特にＲＳフリップフロップ）は、２つの安定状態のうち一方を推定し、長期にわたってその状態を記憶することができる電子回路である。詳細には、故障状態が検出されたときリセット入力が比較器からリセット信号を受信することおよび／または、入力電圧の電源が入ったときセット入力がセット信号を受信することができる。あるいは、上述したように、入力を交換してもよい。
【００２７】
好適な改良点において、故障検出器は、基準電圧の特定の超過を検出すれば、故障状態信号を提供するので、故障状態は出力電圧の過電圧に相当する。
【００２８】
この改良点では、過電圧に対する監視が行われる。詳細には、故障検出器は、電源装置によって供給される構成要素にとって危険な過電圧を検出する。その結果、例えば、構成要素の破壊を防ぐことができる。
【００２９】
別の改良点において、故障検出器は、基準電圧の特定の不足を検出すれば、故障状態信号を提供するので、故障状態は出力電圧の不足電圧に相当する。
【００３０】
この改良点において、不足電圧に対する監視が行われる。詳細には、故障検出器は、電源装置によって供給される構成要素にとって危険な不足電圧を検出する。それにより、例えば、構成要素の発振を防ぐことができる。本実施形態は、前記の実施形態との併用で特に有利である。
【００３１】
別の改良点において、スイッチが電圧変換器の入力への電流経路に配置されているので、故障状態信号が存在するときに、スイッチは電圧変換器の入力への電流供給を遮断する。
【００３２】
この改良点において、入力電圧は直接切断される。したがって、切断は、とりわけ簡単かつ効果的に行われる。
【００３３】
別の改良点において、電圧変換器は、出力電圧を規定出力電圧値に保つために、電圧変換器を通る電流の流れを調整するスイッチングレギュレータを有する。詳細には、入力電圧を切断するスイッチは、スイッチングレギュレータのスイッチングトランジスタとすることができる。
【００３４】
この改良点において、スイッチングレギュレータ付きのスイッチング電源装置が提供される。したがって、電源装置はスイッチング電源装置であり、一定の、よって確実な出力電圧を提供する。その結果、安全開閉装置の信頼性および安全性は増大し、さらに高効率をもたらす。スイッチングレギュレータのスイッチングトランジスタを入力電圧の切断に使用する場合、すでに存在するスイッチングトランジスタを入力電圧の切断に使用することができる。したがって、追加のスイッチング要素は必要とされず、それによりコストは最小限に抑えられる。
【００３５】
別の改良点において、スイッチングレギュレータは、スイッチングレギュレータ供給電圧用の入力を有し、スイッチをスイッチングレギュレータ供給電圧用の入力の電流経路に配置して、故障状態信号が存在するとき、スイッチがスイッチングレギュレータの入力への電流供給を遮断する。
【００３６】
この改良点において、スイッチングレギュレータ付きのスイッチング電源装置を使用することで、入力電圧は間接的に切断される。したがって、切断はとりわけ効果的に行われる。
【００３７】
別の改良点において、安全開閉装置は、フェールセーフ制御評価ユニットに接続された少なくとも１つのウォッチドッグをさらに有する。詳細には、ウォッチドッグは、電圧変換器の入力電圧を切断するために、制御評価ユニットの故障状態を検出すれば、スイッチに故障状態信号を送出する。
【００３８】
この改良点において、制御評価ユニットの付加的な故障監視がウォッチドッグという形で提供される。ウォッチドッグは応答後、入力電圧が切断された状態にする。ウォッチドッグは、一般に、装置の１以上の構成要素の動作を監視する該装置の構成要素である。ここでは、ウォッチドッグは、例えばソフトウェア障害による装置の機能不全を防止するために、制御評価ユニットを監視するために使用される。したがって、ウォッチドッグは、制御評価ユニット（例えば、ＣＰＵやマイクロコントローラ）の正確な操作性を監視するために使用される。監視している制御評価ユニットの故障状態を検出すれば、ウォッチドッグは応答する。そして、ウォッチドッグは、電圧変換器の入力電圧を切断することで安全な反応を起こす。したがって、入力電圧または電源装置を切断することは、例えば、安全開閉装置の出力ドライブにおけるドライバの発振といった後続故障を防ぐことができる。
【００３９】
詳細には、ウォッチドッグは、ハードウェアウォッチドッグ（ＨＷウォッチドッグ）とすることができる。例えば、ウォッチドッグは、制御評価ユニットと通信する（制御評価ユニットの外部の）別個の構成要素とするか、制御評価ユニットに組み込むことができる。あるいは、ウォッチドッグはソフトウェアウォッチドッグ（ＳＷウォッチドッグ）とすることもできる。ＳＷウォッチドッグは通常、制御評価ユニットに組み込まれ、特に、制御評価ユニットの正確なソフトウェアプログラムシーケンスを監視するために使用される。
【００４０】
別の改良点において、フェールセーフ制御評価ユニットは、互いに冗長的に入力信号を処理し、かつそれに従って出力信号を生成するために、論理信号の組み合わせを実行する少なくとも２つの処理装置を有する。
【００４１】
この改良点において、関連する安全規格の要件を満たすように、それぞれ（少なくとも）１つの処理装置を有する２つの冗長信号処理チャンネルが設けられる。したがって、マルチチャンネルまたは２チャンネル安全開閉装置が設けられる。これにより、求められる安全規格の少なくともカテゴリ３を満たす安全開閉装置を提供することができる。
【００４２】
別の改良点において、電源装置は、フェールセーフ制御評価ユニットに対して複数の動作電圧を生成するために設計されている。詳細には、電源装置は、入力電圧を、それぞれ規定出力電圧値を有する数個の出力電圧に変換するために、数個の電圧変換器を有し、これらの出力電圧は、それぞれ、制御評価ユニットに対する動作電圧に相当する。
【００４３】
この改良点において、電源装置は、複数の動作電圧を制御評価ユニットに提供する。詳細には、同一の入力電圧から複数の異なる出力電圧値を生成する数個の電圧変換器が使用される。数個の電圧変換器の場合、安全性を保証するために、１個の共通入力電圧のみが切断可能であればよい。したがって、数個の動作電圧があっても、装置は費用対効果のあるやり方で実現することができる。
【００４４】
別の改良点において、安全開閉装置は、複数の動作電圧の合計に相当する総電圧を提供する加算器をさらに有する。詳細には、総電圧は、比較器に対する現在存在する出力電圧である。
【００４５】
この改良点において、数個の動作電圧を使用する場合、簡単に電圧監視が行われる。詳細には、総電圧の監視は、個々の電圧を監視するより簡単である。出力電圧および動作電圧の個々の値が追加され、その合計が監視される。従って、数個の動作電圧が設けられていても、装置は費用対効果のあるやり方で実現することができる。
【００４６】
別の改良点において、前記少なくとも２つの処理装置は、電源装置が生成する複数の動作電圧とは異なる動作電圧を使用する。
【００４７】
この改良点において、マルチチャンネル安全開閉装置（すなわち、数個の信号処理チャンネル付き）に数個の別々の電圧を提供してもよい。異なる信号処理チャンネルの処理装置は異なる動作電圧を使用することから、故障によって影響を受けない処理装置または故障によって影響を受けない信号処理チャンネルの連続動作が可能である。これにより、安全開閉装置の安全性はさらに増大する。
【００４８】
別の改良点において、フェールセーフ制御評価ユニットは、電圧変換器の故障状態が検出されれば、故障検出器が生成するステータス信号を受信する入力を有する。詳細には、フェールセーフ制御評価ユニットは、ステータス信号を受信すれば、対応する故障入力を記憶するメモリを有することができる。
【００４９】
この改良点において、安全開閉装置の故障または障害の原因を後に読み出し、確認することができる。これにより、供給障害対策が施された、供給電圧障害メッセージの記憶を提供することができる。故障検出器が故障状態を検出したかまたは電圧監視装置を作動させた場合、故障検出器は、制御評価ユニット（例えば、ＣＰＵやマイクロコントローラ）へのステータス信号という形で、対応するメッセージを提供する。電源装置において緩衝するエネルギーにより、メモリ、例えばエラースタックに対応故障入力を記憶するには十分な時間が残っている。故障状態が制御評価ユニットの永久破損を招かなければ、すなわち、一時的な外乱のみであれば、または電源装置を取り替えることができれば、安全開閉装置の故障の原因は、例えば装置を再起動した後にメモリ（例えば、エラースタック）から読み出すことができる。これにより、装置の利便性が向上し、さらに安全性を増大させることができる。
【００５０】
別の改良点において、安全開閉装置、特に故障検出器およびスイッチは、故障の際に発生する最大過電圧用に設計されている。例えば、故障の際に最大に発生する過電圧は６０Ｖまたは６５Ｖとなる可能性がある。この実施形態では、外部から安全開閉装置に流れ込む過電圧は、故障の際に発生する最大過電圧まで許容される。したがって、安全開閉装置の接点の保護または接点の安全性が提供される。故障の際に発生する最大過電圧は、使用者が安全開閉装置または電源装置を負傷または損傷なく触れることができるように選択される（たとえば、６５Ｖ）。これにより、負傷の危険性が低減する。
【００５１】
別の改良点において、電源装置は、その出力に出力フィルタをさらに有する。詳細には、故障検出器は出力フィルタの前に配置されている。すなわち、詳細には、故障検出器（または出力電圧が測定される箇所）に続いて出力フィルタがある。したがって、電圧監視装置または故障検出器は、電源装置内かつ出力フィルタの前に配置されている。したがって、故障状態または電圧エラーは、発端位置に対して最も近い箇所で（例えば、電圧変換器において）検出される。これにより、故障応答時間ができるだけ短くなる。
【００５２】
上述した特徴および次に説明する特徴は、本発明の文脈から逸脱しない範囲で、それぞれ特定された組み合わせだけでなく他の組み合わせにおいても、あるいは単独で適用できることは言うまでもない。
【００５３】
本発明の代表的な実施形態を図に示し、次の明細書本文でさらに詳細に説明する。
【図面の簡単な説明】
【００５４】
【図１】安全開閉装置の実施形態を示す簡略図である。
【図２】本発明の安全開閉装置における電源装置の第１実施形態を示す簡略ブロック図である。
【図３】本発明の安全開閉装置における電源装置の第２実施形態を示す簡略ブロック図である。
【図４】図３の実施形態の第１実施態様を示すブロック図である。
【図５】図３の実施形態の第２実施態様を示すブロック図である。
【図６】本発明の安全開閉装置における電源装置の別の実施形態を示す簡略ブロック図である。
【図７】ウォッチドッグの実施態様を示す回路図である。
【図８】本発明の安全開閉装置の実施形態の一部を示す簡略ブロック図である。
【図９】加算器の実施態様の回路図を示す。
【図１０】セット信号発生器の実施態様の回路図を示す。
【発明を実施するための形態】
【００５５】
図１は、危険な設備１０の電源を安全に確実にオンオフする安全開閉装置１の実施形態を示す簡略図である。
【００５６】
安全開閉装置１は、安全作業のために使用される。設備１０は、一例として、ロボット１２から成り、その動作モード時の動きは、ロボット１２の動作範囲内にいる人間にとって危険である。そのため、ロボット１２の動作範囲は、防護扉１４を有する防護柵で保護されている。防護扉１４は、例えば保守作業や設定作業のためにロボット１２の操作室へのアクセスを可能にする。しかしながら、通常の動作モードでは、ロボット１２は、防護扉１４が閉まっているときに動作することが可能であるだけで、防護扉１４が開くとすぐにロボット１２は切断または別の適した方法で安全な状態にされなければならない。
【００５７】
防護扉１４の閉鎖状態を検出するために、扉部１６とフレーム部１８とを有する防護扉スイッチが防護扉１４に取り付けられている。フレーム部１８は、ライン１９を介して本発明の安全開閉装置１に供給される防護扉信号をライン１９上に生成する。
【００５８】
安全開閉装置１は、入力信号を受信する少なくとも１つの入力、例えばライン１９を介して送信された防護扉信号を受信する少なくとも１つの第１入力を有する。本実施形態において、安全開閉装置１は、複数の入力および出力を備えたＩ／Ｏ部２４を有する。入力および出力は接点という形で設計されている。一部の実施形態において、接点は、安全開閉装置１におけるハウジング２７のハウジング側に配置された端子または端子台であり、例えば、ばね式端子やねじ式端子でもよい。他の実施形態では、接点は、それぞれが接続を形成する多数の接触要素（ピン）を収容するプラグまたはソケットであってもよい。５本の接触ピンを有するＭ８ソケットが、現場レベルで信号装置または他のセンサを接続するために頻繁に使用されている。それに応じて、本発明の安全開閉装置１は、ロボット１２に空間的に近接した開閉器キャビネットの外部に配置されるフィールドデバイスとするか、あるいはそれを包含することができる。
【００５９】
また、安全開閉装置１はフェールセーフ制御評価ユニット２８を有する。制御評価ユニット２８は、入力信号、例えばライン１９を介して送信された防護扉信号に従って危険な設備１０の電源をオンオフするための出力信号を生成するために、入力信号を処理する。
【００６０】
本実施形態において、フェールセーフ制御評価ユニット２８は２つの処理装置２８ａ、２８ｂを有する。処理装置２８ａ、２８ｂは、例えば、マイクロコントローラという形で設けることができる。ここでは処理装置２８ａ、２８ｂはそれぞれＩ／Ｏ部２４に接続されている。処理装置２８ａ、２８ｂは、互いに冗長的に入力信号を処理し、それに従って出力信号を生成するために、論理信号の組み合わせを（例えば、図１の矢印２９を用いて示す信号を比較することで）実行する。したがって、本実施形態では、安全開閉装置１は２つの冗長信号処理チャンネルを有する。
【００６１】
処理装置は、例えば、マイクロコントローラという形で設けることができる。２つのマイクロコントローラの代わりに、マイクロプロセッサ、ＡＳＩＣ、ＦＰＧＡ、および／または他の信号処理回路を使用することができる。出力信号は、ロボット１２を切断するスイッチング要素を作動させるために使用される。したがって、このような安全開閉装置１は、確実に安全に、設備１０、この場合はロボット１２を切断するために使用することができる。
【００６２】
ここに示す例では、安全開閉装置１は２個の冗長スイッチング要素３０ａ、３０ｂを有する。これら２個のスイッチング要素３０ａ、３０ｂはそれぞれ、接触器４０ａ、４０ｂへの電流の流れを提供、またはこの電流の流れを遮断するために、高電圧電位を安全開閉装置１の出力すなわち装置接続３８ａ、３８ｂに至るまで切り換えることができる。したがって、各スイッチング要素３０は接触器や電磁弁などのアクチュエータを切断することができる。
【００６３】
接触器４０ａ、４０ｂはそれぞれ常時開接点４２ａ、４２ｂを有する。ここでは常時開接点４２ａ、４２ｂは、電源装置４４からロボット１２への電源供給路において直列に配置されている。安全開閉装置１が接触器４０ａ、４０ｂを切断するとすぐに接点４２が外れ、ロボット１２に対する電源供給が切断される。当該の専門家は、このような「基本的な」切断は一例であることを認識している。ここから逸脱して、安全要件がある場合、ロボット１２の他の部分は動作可能のままである一方で、ロボット１２の一部、例えば危険な駆動装置だけを切断できる。遅延切断も考えられるため、駆動装置が切断される前にロボット１２を制御された形で減速してもよい。
【００６４】
本実施形態において、安全開閉装置１は、ライン１９上の防護扉スイッチの信号および緊急停止ボタン４６からの更なる入力信号に従ってスイッチング要素３０ａ、３０ｂを作動させる。また、緊急停止ボタン４６は、ラインを介して安全開閉装置１の装置接続に接続されている。
【００６５】
詳細には、安全開閉装置は、緊急停止ボタン４６からの入力信号を受信する第２入力を有する。各入力信号は、冗長して存在するのが好ましく、それぞれ２本の入力線と出力線または接続を設けることができる（図１には図示せず）。したがって、図１に示す実施例では、緊急停止ボタン４６からの１つの入力信号を提供する２本の入力線または２個の入力を緊急停止ボタン４６に設けることができる。これは、保護扉スイッチの信号にも同様に当てはまる。
【００６６】
一部の実施形態において、安全開閉装置１は、個々の信号装置に供給される出力信号を生成する。例えば、このような出力信号は、線４８を介して防護扉スイッチのフレーム部１８へ伝送される。フレーム部１８は、扉部１６がフレーム部１８の近傍にあるとき、つまり、防護扉１４が閉鎖しているとき、安全開閉装置１の出力信号を線４８からライン１９へループさせる。したがって、安全開閉装置１は、線４８の出力信号を用いて、またライン１９の入力信号を用いて、防護扉スイッチを監視することができる。同様に、安全開閉装置１はここで緊急停止ボタン４６を監視する。
【００６７】
図１の表示から離れて、別個の信号線を介して信号装置に伝えられ、この信号装置を経由して安全開閉装置１に戻ってくる安全開閉装置１の２つの冗長出力信号が実際には頻繁に使用される。このような実施態様の一例として、特許文献５を参照するが、本公報は、そのような信号装置の冗長監視の詳細に関して参照により組み込まれる。実際には、緊急停止ボタン４６も、上述のように冗長入力線および出力線を用いて頻繁に監視される。
【００６８】
安全開閉装置１は、少なくとも１つの動作電圧を制御評価ユニット２８に供給する電源装置を有する。
【００６９】
図２は、本発明の安全開閉装置１における電源装置５０の第１実施形態の簡略図を示す。電源装置５０は、入力電圧Ｕｅを動作電圧に対応する規定出力電圧値の出力電圧Ｕａに変換する電圧変換器５２を有する。詳細には、電圧変換器５２は、入力電圧Ｕｅとしての直流電圧を出力電圧Ｕａとしての直流電圧に変換する直流電圧変換器（ＤＣ−ＤＣ変換器）である。電圧変換器５２は例えば、規定出力電圧値が入力電圧の電圧値より低いステップダウンコンバータ（ダウンコンバータとも呼ばれる）とすることができる。電圧変換器は例えば、電気的遮蔽を有する遮断変圧器（昇降圧コンバータとも呼ばれる）とすることができる。あるいは、電圧変換器は電気的遮蔽がなくてもよい（例えば、電気的遮蔽のないステップダウンコンバータ）。
【００７０】
電源装置５０は、電圧変換器５２の故障状態を検出する故障検出器５４を有する。故障検出器５４は、現在存在する出力電圧Ｕａを規定基準電圧と比較する比較器を有する。故障検出器５４またはその出力はそれぞれ電気接続５３を介して電圧変換器５２の出力電圧Ｕａまたは出力に接続されている。基準電圧からの特定の偏差を検出すれば、故障検出器５４およびその出力はそれぞれ故障状態信号を送出する。
【００７１】
詳細には、故障検出器５４は、基準電圧の特定の超過を検出すれば、すなわち、故障状態を検出すれば、故障状態信号を送出することができる。したがって、故障状態は、出力電圧Ｕａの過電圧に相当する。これにより過電圧監視が得られる。選択的または累積的に、故障検出器５４は、基準電圧を下回る特定の不足を検出すれば、故障状態信号を送出することができる。この故障状態は、出力電圧Ｕａの不足電圧に相当する。これにより、過電圧監視または過不足電圧監視がそれぞれ得られる。
【００７２】
また、電源装置５０はスイッチ６０を有する。スイッチ６０と故障検出器５４は、電気接続５５を介して相互に接続されている。基準電圧からの特定の偏差を検出すれば、すなわち、故障状態を検出すれば、故障検出器５４は故障状態信号を電気接続５５を介してスイッチ６０に送出する。故障状態信号が存在する場合、スイッチ６０は電圧変換器５２の入力電圧Ｕｅを切断する。
【００７３】
したがって、故障状態検出および切断は電源装置５０内で起こる。故障状態を検出すれば、または、故障状態信号が存在する場合、電源装置５０は自身を切断する。
【００７４】
本発明の安全開閉装置は、故障の場合または故障状態信号が（特に、電源装置における構成要素の不具合／故障などが原因で）存在する場合に電圧変換器５２の入力電圧Ｕｅを切断するために、電圧変換器５２の出力電圧Ｕａの監視を用いる。電源装置５０の電流または信号の流れ（入力から出力）の方向を基準として、切断は故障検出器５４の上流または電圧Ｕａが監視される箇所で発生する。電源装置または電圧変換器の不具合によって引き起こされる危険要因は、それぞれの発端箇所、つまり、電源装置または電圧変換器において直接電源を切られる。したがって、故障状態（特に、過電圧または不足電圧）を引き起こしている電圧回路部分は切断される。つまり、故障状態の原因が排除される。
【００７５】
任意で、電源装置５０は、その入力に、入力電圧Ｕｅ’を入力電圧Ｕｅに変換またはフィルタ処理する入力フィルタ６２（図２に破線で示す）を備えることができる。入力フィルタ６２は、例えば、ＥＭＣフィルタなどとすることができる。当然のことながら、入力電圧ＵｅおよびＵｅ’は相互に交換可能に使用することができる。任意で、電源装置５０は、その出力に、特に緩衝器とともに、出力電圧Ｕａを出力電圧Ｕａ’に変換またはフィルタ処理する出力フィルタ６４（図２に破線で示す）を備えることができる。出力フィルタ６４は、例えば、平滑フィルタとすることができる。当然のことながら、出力電圧ＵａおよびＵａ’は相互に交換可能に使用することができる。
【００７６】
図２に示す実施形態において、故障検出器５４は、電源装置５０の電流または信号の流れ（入力から出力）の方向を基準として、出力フィルタ６４の上流に配置されている。言い換えれば、故障検出器５４、特に出力電圧Ｕａが故障検出器５４または比較器５４に測定または選択される箇所に続いて出力フィルタ６４がある。電圧監視装置または故障検出器５４はそれぞれ、電源装置５０内で出力フィルタ６４の前に配置されている。したがって、故障状態または電圧故障はそれぞれ、その発端位置に最も近い箇所、例えば、電圧変換器５２で検出される。
【００７７】
安全開閉装置、特に故障検出器５４およびスイッチ６０は、故障の際に発生する最大過電圧用に設計することができる。例えば、故障の際に発生する最大過電圧は、６０Ｖまたは６５Ｖとなる可能性がある。これにより、安全開閉装置の接点保護が得られる。故障の際に発生する最大過電圧は、使用者が安全開閉装置または電源装置を負傷または損傷なく触れることができるように選択される。
【００７８】
図３は、本発明の安全開閉装置における電源装置の第２実施形態の簡略図を示す。図３の第２実施形態は、図２の第１実施形態に基づいているため、図２に関する説明は、図３にも適用される。
【００７９】
図３の実施形態において、故障検出器５４は、比較器５６の他に、故障状態信号を記憶するメモリ５８も有する。比較器５６またはその入力はそれぞれ、電気接続５３を介して出力電圧Ｕａに接続されている。メモリ５８は、比較器５６に接続された第１入力５８ａと、スイッチ６０を作動させる少なくとも１個の出力５８ｃを有する。故障状態を検出すれば、故障状態信号を電気接続５５を介してスイッチ６０に送出するために、出力５８ｃは電気接続５５を介してスイッチ６０に接続されている。
【００８０】
また、メモリ５８は、電気接続５９を介して入力電圧Ｕｅに接続された第２入力５８ｂを有する。入力電圧Ｕｅに再び電源が入ったら、メモリ５８は、故障状態信号の記憶を終了させるための信号を電気接続５９を介して受信し、パワーオンリセットが実行される。メモリ５８は、例えば、双安定フリップフロップ、特にＲＳフリップフロップという形で実現することができる。しかしながら、その他適切な種類の故障状態信号の記憶も考えられる。
【００８１】
図４は、図３の実施形態の第１実施態様の回路図を示し、図５は、図３の実施形態の第２実施態様の回路図を示す。しかし、当然のことながら、図４および図５の実施態様は例示に過ぎず、その他適切な種類の実施を提供することができる。
【００８２】
図４または図５の実施態様において、比較器５６は、比較増幅器という形で実現される。本実施態様では、比較器は、相互に接続されて比較器を形成する演算増幅器ＯＰ１である。比較器５６は、２個の入力を有する演算増幅器ＯＰ１を備え、その第１入力には閾値スイッチング要素Ｚ２が接続され、第２入力には分圧抵抗器Ｒ４、Ｒ５を有する分圧器が接続されている。さらに、別の抵抗器Ｒ３が、閾値スイッチング要素Ｚ２とともに分圧器を形成する第１入力に接続されている。閾値スイッチング要素Ｚ２は、基準電圧を送出するか、それを規定する。本実施例では、閾値スイッチング要素Ｚ２はツェナーダイオードである。しかし、当然のことながら、その他適切な種類の閾値スイッチング要素を設けることができる。
【００８３】
図４または図５の実施態様において、メモリ５８は、双安定フリップフロップである。この実施例において、メモリ５８の第１入力５８ａは、双安定フリップフロップのリセット入力Ｒであり、メモリ５８の第２入力５８ｂは、双安定フリップフロップのセット入力Ｓである。スイッチ６０を作動させるメモリの出力は、本実施態様では、双安定フリップフロップの一方の出力である。双安定フリップフロップの他方の出力Ｑは、本実施例では使用されない。双安定フリップフロップのリセット入力Ｒは比較器５６に、さらに正確には、演算増幅器ＯＰ１の出力における駆動段（トランジスタＴ１３付き）に接続されている。したがって、リセット入力Ｒは、故障状態が検出されれば、比較器５６からリセット信号を受信する。セット入力Ｓは、入力電圧Ｕｅの電源が入ったときにセット信号を受信し、双安定フリップフロップは、パワーオンリセットをこのように開始するために“反転する”。
【００８４】
本実施形態において、安全開閉装置は、入力電圧Ｕｅに従ってセット信号を生成する信号発生器６５を有する。例えば、セット信号発生器６５は、入力電圧Ｕｅにおいて特定の、例えばランプ上昇を有するセット信号を生成するために設計することができる。セット信号発生器６５の実施態様は、図１０を参照して後説する。
【００８５】
双安定フリップフロップ（フリップフロップとも呼ばれる）は、２つの安定状態を持ち、長期にわたって１ビットの情報一式を記憶することができる電子回路である。詳細には、双安定フリップフロップは、図３または図４の実施態様に示されるようなＲＳフリップフロップとすることができる。ＲＳフリップフロップという形での双安定フリップフロップは、Ｈ（高）が高レベルを意味し、Ｌ（低）が低レベルを意味する次のレベル表を有する。当然のことながら、ＲおよびＳ入力の場合は特に、低レベルＬは、例えばトランジスタが遮断されているために“高インピーダンス”も意味する。
【００８６】
【表１】
2015513885.tif 000003
【００８７】
図４または図５の実施態様において、過電圧監視が実現される。故障状態がなければ、出力電圧Ｕａは規定出力電圧値と一致し、故障状態が存在するとき、出力電圧Ｕａは規定出力電圧値より高いことが想定される。したがって、故障状態は、出力電圧Ｕａの過電圧に相当する。つまり、故障状態検出器５４は、本実施態様では閾値スイッチング要素またはツェナーダイオードＺ２によって規定された基準電圧の特定の超過を検出すれば、故障状態信号を送出する。ツェナーダイオードは、本実施態様では、破壊電圧が出力電圧Ｕａの規定出力電圧値未満になるように選択される。
【００８８】
故障状態が存在しない場合、出力電圧Ｕａは破壊電圧より大きく、破壊電圧は、基準電圧としてのツェナーダイオードＺ２全体にわたって降下する。そして、演算増幅器ＯＰ１の非反転入力には、反転入力よりも大きな電圧が存在する。言い換えれば、分配器Ｒ４、Ｒ５により、抵抗器Ｒ５全体にわたる電圧、すなわち反転入力における電圧より高い電圧が非反転入力に存在する。したがって、演算増幅器ＯＰ１の非反転入力および反転入力間の電圧は正極性である。これに対応して、演算増幅器ＯＰ１の出力には、高レベル（Ｈ）が存在する。その結果、駆動段のトランジスタまたはオプトカプラ出力Ｔ３は、演算増幅器ＯＰ１の出力で遮断される。双安定フリップフロップ５８の第１ｎｐｎトランジスタＴ４は遮断され、双安定フリップフロップ５８の第２ｎｐｎトランジスタＴ５は導通して、出力を、スイッチ６０のｐｎｐトランジスタＴ６が導通できる低レベル（Ｌ）にする。そのため、故障がない場合、電圧変換器５２には常に入力電圧Ｕｅが存在する。
【００８９】
Ｕａにおける過電圧により故障状態または故障の問題が発生した場合、抵抗器Ｒ５全体にわたる（分圧器Ｒ４、Ｒ５を介して整合された）電圧はツェナーダイオードＺ２の破壊電圧以上に上昇する。そして、ＯＰ１の非反転入力には、反転入力における電圧よりも低い電圧が存在する。したがって、演算増幅器ＯＰ１の非反転入力および反転入力間の電圧は負極性になる。その結果、演算増幅器ＯＰ１の出力には低レベル（Ｌ）が存在する。これにより、ＯＰ１の出力における駆動段のトランジスタまたはオプトカプラ出力Ｔ３が導通する。そのため、リセット入力Ｒは有効になる。第１ｎｐｎトランジスタＴ４に印加される電圧は、トランジスタＴ４を導通させ、出力Ｑを低レベル（Ｌ）に、出力をスイッチ６０のｐｎｐトランジスタＴ６を遮断する高レベル（Ｈ）にする。したがって、故障状態または故障の問題があるとき、電圧変換器５２には入力電圧Ｕｅが存在しない。
【００９０】
リセット出力Ｒが低レベル（Ｌ）にあるか、高インピーダンスを有している限り、故障状態が存在し、セット入力Ｓもまた低レベル（Ｌ）にあるかまたは高インピーダンスを有していても、出力Ｑおよび出力にはレベルの変化はない。双安定フリップフロップは、その推定状態を保持するので、故障状態を保存する記憶装置として機能する。セット信号発生器６５に高レベル（Ｈ）が発生し、セット入力Ｓに印加されるのは、入力電圧Ｕｅの電源が再び入ったときだけである。したがって、その地点は低レベル（Ｌ）になる。つまり、この場合、双安定フリップフロップは、“反転する”。その結果、スイッチ６０のトランジスタＴ６も再び導通する。
【００９１】
図１０は、単に例示的に、セット信号発生器６５の実施態様の回路図を示す。しかし、当然のことながら、図１０の実施態様は例示に過ぎず、その他適切な種類の実施を提供することができる。図１０のセット信号発生器６５は、２個の（ｐｎｐ）トランジスタＴ１０、Ｔ１１と、２個のツェナーダイオードＺ６、Ｚ７から成る。ツェナーダイオードＺ６、Ｚ７は、本実施態様では、逆方向に動作させる。入力電圧ＵｅがツェナーダイオードＺ６、Ｚ７の破壊電圧より低い場合、ツェナーダイオードＺ６、Ｚ７は遮断される。破壊電圧を越える場合、ツェナーダイオードＺ６、Ｚ７は、逆方向に導通して、破壊電圧またはツェナーダイオード電圧をほぼ一定に保つ。破壊電圧および印加電圧または入力電圧間の電圧差は、先行する抵抗器全体にわたって減少する。単に例示的に、トランジスタＴ１０、Ｔ１１はエミッタ・ベース間電圧が約１Ｖの場合に導通するものとする。
【００９２】
（例えば、入力フィルタ６２における）容量および限られた入力電流により、入力電圧Ｕｅは、電源投入後、ランプ状に上昇する。入力電圧Ｕｅが、ツェナーダイオードＺ６の破壊電圧（例えば、８Ｖ）より低ければ、前記回路の電流経路はすべて無電流状態である。そして、セット信号Ｓは低レベル（Ｌ）にあるか、高インピーダンスを有する。ツェナーダイオードＺ６の破壊電圧を若干上回る入力電圧Ｕｅ以上で（例えば、８Ｖの破壊電圧とともに約９Ｖ以上で）または特定のエミッタ・ベース間電圧（例えば、１Ｖ）で、トランジスタＴ１０は導通している。したがって、入力信号Ｓは、入力電圧Ｕｅを呈するか高レベル（Ｈ）にある。ツェナーダイオードＺ７の破壊電圧を若干上回る入力電圧Ｕｅ以上で（例えば、１３Ｖの破壊電圧とともに約１４Ｖ以上で）または特定のエミッタ・ベース間電圧（例えば、１Ｖ）で、トランジスタＴ１１は導通している。その結果、トランジスタＴ１０のエミッタ・ベース間電圧は短絡してトランジスタＴ１０が遮断状態にリセットされる。そのため、セット信号Ｓは再び低レベル（Ｌ）になるか、高インピーダンスを有する。セットパルスとも呼ばれるこのように生成されたセット信号Ｓを用いて、出力は、双安定フリップフロップまたはＲＳフリップフロップにおいてそれぞれ低レベル（Ｌ）または接地電位に設定される。その結果、スイッチ６０のトランジスタＴ１０は導通し始め、スイッチ６０の電源が入る。このように、セット信号Ｓは、本実施態様では、入力電圧に特定の（ランプ状の）上昇を伴って生成される。
【００９３】
図４の実施態様において、電圧変換器は、電気的遮蔽のないステップダウンコンバータである。図５の実施態様において、電圧変換器は、変圧器６８という形での電気的遮蔽を有する遮断変圧器（昇降圧コンバータ）である。したがって、この図４または図５の実施態様において、電圧変換器５２は、従来の電圧変換器の形で実施されるため、電圧変換器の構造の詳細な説明は現時点では省略する。しかしながら、図４または図５の実施態様において、電圧変換器５２は、出力電圧Ｕａを規定出力電圧値に保つために、電圧変換器５２を通る電流の流れを調整するスイッチングレギュレータ６６を有することを留意すべきである。
【００９４】
図４の実施態様において、スイッチ６０は、電圧変換器５２の入力への電流経路に配置されているので、スイッチ６０は、故障状態信号が存在するとき、電圧変換器５２への電源供給を遮断する。これにより、入力電圧Ｕｅが直接切断される。上述したように、図４の実施態様において、電圧変換器は電気的遮蔽のないステップダウンコンバータである。図４の実施態様では、例えば、スイッチングレギュレータ６６または分圧器Ｒ１、Ｒ２における不具合によって出力電圧Ｕａの過電圧が引き起こされる可能性がある。通例、他の構成要素の故障は出力電圧Ｕａの過電圧または電源装置５０の過電圧を引き起こさない。故障状態または出力電圧Ｕａの過電圧が検出されたとき、入力電圧Ｕｅはスイッチングレギュレータ６６より前のスイッチ６０またはトランジスタＴ６によって切断される。したがって、電圧変換器５２またはステップダウンコンバータは、もはや蓄積チョークＬ１に電流を送ることができず、出力電圧Ｕａの電源が切られる。過電圧が検出されて出力電圧Ｕａの電源が切られた場合でも入力電圧Ｕｅは切断されたままである。これは、上述したように、比較器５６の後の双安定フリップフロップという形でのメモリ５８によって実行される。再び入力電圧Ｕｅの電源が入った後、電圧変換器５２またはステップダウンコンバータの入力電圧の電源を再び入れるようにしている。
【００９５】
図５の実施態様において、スイッチングレギュレータ６６は、スイッチングレギュレータ供給電圧用の入力６７を有し、スイッチ６０はスイッチングレギュレータ供給電圧用の入力６７の電流経路に配置されているため、故障状態信号が存在するときスイッチ６０はスイッチングレギュレータ６６の入力６７への電流供給を遮断する。上述したように、図５の実施態様では、電圧変換器は、変圧器６８という形での電気的遮蔽を有する遮断変圧器（または昇降圧コンバータ）である。
【００９６】
図５の実施態様では、例えば、スイッチングレギュレータ６６、可変型ツェナーシャントレギュレータＺ１、または分圧器Ｒ１、Ｒ２における不具合によって出力電圧Ｕａの過電圧が引き起こされる可能性がある。通例、他の構成要素の故障は、排除するか、結果的に電源供給を害のない状態にすることができる。例えば、変圧器６８を通る一次電流の電源をオンオフする電界効果トランジスタ（ＦＥＴ）Ｔ７が機能しなくなった場合、交流電圧はもはや生成されず、変圧器６８の出力において電圧は上昇しない。検出された故障状態または出力電圧Ｕａの過電圧がある場合、スイッチングレギュレータ６６の前の入力電圧Ｕｅは、スイッチ６０またはトランジスタＴ６によって切断される。したがって、電圧変換器５２または遮断変圧器のＦＥＴＴ７はもはや作動できず、出力電圧Ｕａの電源は切られる。過電圧が検出されて出力電圧Ｕａの電源が切られた場合でも入力電圧Ｕｅは切断されたままである。これは、先に記述したように、比較器５６の後の双安定フリップフロップという形でのメモリ５８によって実行される。再び入力電圧Ｕｅの電源が入った後にのみ、電圧変換器５２の入力電圧の電源を再び入れるようにしている。
【００９７】
当然のことながら、図４または図５の実施態様を参照して、アナログ回路技術について先に記載したが、デジタル回路技術を用いても同様の機能が実現する。
【００９８】
図６は、本発明の安全開閉装置１における電源装置５０の別の実施形態の簡略図を示す。図６の実施形態は図３の実施形態に基づいているため、図２および図３に関連がある説明は図６にも適用される。
【００９９】
この図６の実施形態において、安全開閉装置１は少なくとも１つのウォッチドッグを有する。さらに正確には、この実施形態では第１ウォッチドッグ７０と第２ウォッチドッグ７１とが設けられている。第１および第２ウォッチドッグ７０、７１はそれぞれ、電気接続７０ａ、７１ａを介してフェールセーフ制御評価ユニット２８（図６には図示せず）に接続されている。
【０１００】
図６の実施形態において、ウォッチドッグ７０、７１は、それぞれ電気接続７０ａ、７１ａを介してフェールセーフ制御評価ユニットと通信する（制御評価ユニットの外部の）別個の構成要素である。例えば、前述した２つの異なる冗長信号処理チャンネルの処理装置２８ａ、２８ｂといった制御評価ユニット２８の第１処理装置２８ａに第１ウォッチドッグを接続し、第２ウォッチドッグ７１を第２処理装置２８ｂに接続することができる。電圧変換器５２の入力電圧Ｕｅを切断するために、第１および第２ウォッチドッグ７０、７１はそれぞれ、制御評価ユニット２８の故障状態が検出されれば、故障状態信号をスイッチ６０に送出する。このように、制御評価ユニット２８の付加的な故障監視が、ウォッチドッグ７０、７１という形で提供される（例えば、ソフトウェア障害による装置の機能不全に備えて）。ウォッチドッグ７０、７１は、監視している制御評価ユニット２８の故障状態を検出すれば応答し、応答後は、入力電圧Ｕｅを切断させる。図６のウォッチドッグ７０、７１は、例えば、ハードウェアウォッチドッグ（ＨＷウォッチドッグ）とすることができる。
【０１０１】
図７は、単に例示的に、ＨＷウォッチドッグという形でのウォッチドッグの実施態様のブロック図を示す。しかし、当然のことながら、図７の実施態様は、例示にすぎず、その他適切な種類の実施を提供することができる。図７の実施例において、ウォッチドッグは、演算増幅器ＯＰ１０と、先行するコンデンサＣ１０およびＣ２０と、トランジスタＴ９とを有する。トランジスタＴ９はウォッチドッグの入力に位置し、演算増幅器ＯＰ１０はウォッチドッグの出力に位置する。制御評価ユニット２８からトランジスタＴ９への短いトリガーパルスＴＲはコンデンサＣ１０を放電させる。トリガープロセスが終了したら、２個のコンデンサＣ１０およびＣ２０の直列回路は供給電圧Ｖまで自身を充電する。コンデンサＣ１０の容量は、コンデンサ２０のそれより非常に大きい。容量分圧器の法則によれば、充電工程終了後は、ほぼすべての供給電圧Ｖが、非常に小さいコンデンサＣ２０全体にわたって存在する。ここで、コンデンサＣ２０は抵抗器Ｒ２１を介して放電し、ダイオードＤ２０が切断される。
【０１０２】
高インピーダンス抵抗器Ｒ２１は、コンデンサＣ２０のゆっくりとした放電を引き起こす。コンデンサＣ２０が、ツェナーダイオードＺ１０によって定められた閾値に相当する電圧まで放電したとき、演算増幅器ＯＰ１０はその出力状態を変更し、低レベル（Ｌ）に切り換える。したがって、ウォッチドッグが応答し、故障状態を検出する。そして、ウォッチドッグは故障状態信号を送出する。故障がないか、障害のない動作の場合、ウォッチドッグの応答は、トランジスタ段が遅れずにトリガーされることによって防がれている。
【０１０３】
安全開閉装置１の別の実施形態（図示せず）において、フェールセーフ制御評価ユニット２８は、電圧変換器５２の故障状態を検出すれば故障検出器５４が生成するステータス信号を受信する入力を有する。また、フェールセーフ制御評価ユニット２８は、ステータス信号を受信すれば対応する故障入力を記憶するメモリを有する。
【０１０４】
電源装置５０は、１つの出力電圧Ｕａまたは動作電圧を供給するように上述したが、電源装置５０は多数の動作電圧の供給にも適している。図８は、本発明の安全開閉装置１の実施形態の一部の簡略図を示す。本実施形態において、電源装置５０は、フェールセーフ制御評価ユニット２８に対して多数の動作電圧を生成するために構成されている。したがって、電源装置５０は、入力電圧Ｕｅを、それぞれ規定出力電圧値を有する数個の出力電圧Ｕ１、Ｕ２、Ｕ３に変換する多数の電圧変換器（図８には図示せず）を有する。つまり、各電圧変換器は１つの入力電圧Ｕｅを特定の出力電圧に変換する。各出力電圧Ｕ１、Ｕ２、Ｕ３は、各々制御評価ユニット２８に対する動作電圧に相当する。各出力電圧Ｕ１、Ｕ２、Ｕ３または動作電圧は、各々対応する電気接続を介して制御評価ユニット２８の対応する供給電圧出力２８’、２８’’、２８’’’に供給される。
【０１０５】
また、安全開閉装置１は、数個の動作電圧Ｕ１、Ｕ２、Ｕ３の合計に相当する総電圧Ｕｓｕｍを提供する加算器８０を有する。本実施形態では、総電圧Ｕｓｕｍは瞬間的に存在する比較器５６に対する出力電圧Ｕａである。そのため、総電圧Ｕｓｕｍは故障検出器５４に供給される。したがって、総電圧Ｕｓｕｍは、特に過電圧または不足電圧のために監視される。多数の電圧変換器の場合、安全性を保証するために、１個の共通入力電圧のみが切断可能であればよい。図９は、単に例示的に、加算器８０の実施態様のブロック図を示す。図９における加算器８０は、相互に接続されて加算器を形成する演算増幅器ＯＰａである。図８および図９はそれぞれ、３個または４個の出力電圧を示しているが、当然のことながら、その他の任意の数の電圧を追加することができる。
【０１０６】
制御評価ユニット２８が少なくとも２つの処理装置２８ａ、２８ｂを有する場合、その少なくとも２つの処理装置２８ａ、２８ｂは、電源装置５０が生成する数個の動作電圧とは異なる動作電圧を有することができる。マルチチャンネル安全開閉装置（すなわち、多数の信号処理チャンネルを有する）の場合、数個の別々の電圧供給を提供することができる。異なる信号処理チャンネルの処理装置は異なる動作電圧を受け取ることから、故障によって影響を受けない処理装置または信号処理チャンネルは動作し続けることができる。したがって、安全開閉装置の安全性はさらに増大する。あるいは、少なくとも２つの処理装置２８ａ、２８ｂは、同一の１または複数個の動作電圧を有することができる。これにより、さらに簡単かつ安価な実施が提供される。
【０１０７】
当然、前述したウォッチドッグ７０、７１（図８に破線で示す）を図８の実施例において任意に使用することもできる。ウォッチドッグ７０は電気接続７０ａを介して制御評価ユニット２８に接続され、制御評価ユニットと通信する。制御評価ユニット２８の故障状態が検出されれば、ウォッチドッグ７０は、前述したように電圧変換器５２の入力電圧Ｕｅを切断するために、スイッチ６０（図８には図示せず）に故障状態信号を送出する。
【０１０８】
最後に、一般的にかつ一例として、本発明の安全開閉装置のリスク配慮が行われる。電圧変換器の一部の構成要素、例えば出力電圧Ｕａを調整するための構成要素（例えば、スイッチングレギュレータの構成要素）は、故障した際、過電圧を引き起こす可能性がある。このような構成要素の故障の確率は、危険性を増大させる。危険性を増大させる構成要素の故障率を加算することで、過電圧による危険要因の危険性を定量化することができる。その値を変数Ｒａで示すものとする。この危険性を補償するために、安全な電源装置には電源装置の出力電圧を監視するための対策と入力電圧の切断が組み込まれている。過電圧の危険を制御するための対策に必要とされるすべての構成要素の故障率を加算することで、過電圧の危険を制御するための対策が機能しない危険性を定量化することもできる。その値を変数Ｒｂで示すものとする。過電圧による危険要因は、確率Ｒａが存在すると発生し、確率Ｒｂが存在すると機能しない対策によって制御される。両確率ＲａおよびＲｂが存在する場合、過電圧による危険要因が生じて制御することができない。この確率は、Ｒｃ＝Ｒａ×Ｒｂと一致する。２つの低い確率を乗じても、結果は通常、無視できるほど低い確率である。安全装置の危険を伴う故障の全確率は、残存危険性を規定する許容値を下回らなければならない。残存危険性に対する許容値は、異なる安全カテゴリに適用される規格において求めることができる。過電圧による危険を伴う故障の確率には、許容しうる全確率の一部（例えば、１％）が極限値として適用される。
【図１】
2015513885.tif 000004
【図２】
2015513885.tif 000005
【図３】
2015513885.tif 000006
【図４】
2015513885.tif 000007
【図５】
2015513885.tif 000008
【図６】
2015513885.tif 000009
【図７】
2015513885.tif 000010
【図８】
2015513885.tif 000011
【図９】
2015513885.tif 000012
【図１０】
2015513885.tif 000013
【国際調査報告】
2015513885.tif 000014
2015513885.tif 000015
2015513885.tif 000016
2015513885.tif 000017