DE4441070A1 - Sicherheitsschalteranordnung - Google Patents

Description

Die Erfindung betrifft eine Sicherheitsschalteranordnung gemäß dem Oberbegriff des Anspruchs 1.

Derartige Sicherheitsschalteranordnungen werden insbesondere bei gefahrbrin­ genden Arbeitsmitteln eingesetzt. Die Arbeitsmittel können von Arbeitsmaschi­ nen gebildet sein, von denen eine Gefährdung des Bedienpersonals ausgeht. Um eine ungewollte und gegebenenfalls gefahrbringende Aktivierung des Arbeits­ mittels zu verhindern, ist die Zuführung des Sensorsignals zum Arbeitsmittel zweikanalig ausgelegt. Das Sensorsignal kann von einer Lichtschranke geliefert werden, die beispielsweise den Vorraum des Arbeitsmittels überwacht. Ist der Strahlengang der Lichtschranke frei, d. h. es befindet sich keine Person im Strah­ lengang, wird durch das Sensorsignal das Arbeitsmittel eingeschaltet.

Zur Erhöhung der Betriebssicherheit der Anordnung wird das Sensorsignal dem Arbeitsmittel über zwei Auswertekanäle mit jeweils einem Schalter und einem Aktor zugeführt. Dabei wird das Arbeitsmittel nur dann aktiviert, wenn beide Aktoren aktiviert sind.

Durch diese Maßnahme ist gewährleistet, daß bei Fehlfunktion innerhalb eines Auswertekanals, beispielsweise durch einen Kurzschluß, das Arbeitsmittel nicht unkontrolliert aktiviert wird.

Eine Sicherheitsschalteranordnung der eingangs genannten Art ist in der DE- OS 42 42 792 beschrieben. Die Aktoren sind bei dieser Anordnung vorzugswei­ se von Relais gebildet. Jedem Relais ist ein steuerbarer Hilfsschalter und ein Hauptschalter vorgeschaltet. Bei Anlegen eines Sensorschließ-Signals ist der Hauptschalter bestimmungsgemäß ebenfalls geschlossen. Der Hilfsschalter wird von einem Testgenerator zur Schaffung einer Testpause in regelmäßigen Zeitab­ ständen zeitversetzt zu dem anderen Hilfsschalter so kurzzeitig geöffnet, daß die dadurch bewirkte kurzzeitige Öffnung des zugeordneten Hauptschalters aufgrund der Trägheit der Relais nicht ausreicht, das angeschlossene Arbeitsmittel außer Betrieb zu setzen.

Mittels einer Testschaltung wird während der Testpause überprüft, ob bei Nicht­ öffnung eines Hauptschalters der jeweils andere Hilfsschalter in den Öffnungs­ zustand gesetzt und dauerhaft in diesem gehalten wird. Mittels dieser Anord­ nung ist das Erkennen von Fehlern insbesondere in den beiden Hauptschaltern gewährleistet.

Der zur Realisierung dieser Sicherheitsschalteranordnung erforderliche Schal­ tungsaufwand ist erheblich. Ferner ist die Anordnung hauptsächlich zur Funk­ tionsüberprüfung von Relais konzipiert. Der Einsatz von Relais ist mit dem Nachteil behaftet, daß deren Kontakte verschleißanfällig sind, was häufige Serviceeinsätze mit sich bringt.

Der Erfindung liegt die Aufgabe zugrunde, eine Sicherheitsschalteranordnung so auszubilden, daß diese eine möglichst geringe Verschleißanfälligkeit aufweist und daß diese mit möglichst geringem Schaltungsaufwand vollständig auf ihre Funktionssicherheit überprüfbar ist.

Zur Lösung dieser Aufgabe sind die Merkmale des Anspruchs 1 vorgesehen. Zweckmäßige Ausführungsformen und vorteilhafte Weiterbildungen der Erfin­ dung sind in den Ansprüchen 2-15 beschrieben.

Erfindungsgemäß weisen die Aktoren aus Halbleiterelementen bestehende schalterartige Mittel auf. Diese Halbleiterelemente weisen im Gegensatz zu Relais keine verschleißanfälligen Kontakte auf.

Zur Durchführung der Funktionsüberprüfung der Aktoren ist in jedem Aus­ wertekanal eine Rechnereinheit vorgesehen, wobei jede Rechnereinheit über zwei bidirektionale Zuleitungen mit dem Aktor verbunden ist. Die Rechner­ einheiten, die vorzugsweise als Controller ausgebildet sind, können als Stan­ dardprodukte kostengünstig ohne zusätzlichen Schaltungsaufwand den Aktoren vorgeschaltet werden. In einer Vielzahl von Sensoren sind bereits Rechner­ einheiten zur Steuerung der Sensorfunktionen integriert. In diesem Fall können diese Rechnereinheiten die für die Sicherheitsschalteranordnung notwendigen Funktionen zusätzlich abarbeiten, so daß der Schaltungsaufwand des Sensors weiter reduziert wird.

Zur Überwachung der Rechnereinheiten sind diese über eine bidirektionale Zuleitung verbunden.

Die komplette Ansteuerung und Funktionsüberwachung der Aktoren erfolgt zentral in den Rechnereinheiten. Damit die Funktionsüberwachung von der Übermittlung der Sensorschaltsignale physikalisch getrennt ist, sind erfindungs­ gemäß zur Übermittlung der Schaltimpulse des Sensors und zur Übermittlung von Testimpulsen zur Funktionsüberprüfung von der Rechnereinheit an den Aktor separate bidirektionale Zuleitungen vorgesehen, was die Funktionssicher­ heit der Anordnung erhöht. Die bidirektionalen Zuleitungen übertragen die Schaltimpulse und Testimpulse nicht nur an den Aktor sondern erhalten von diesem eine Rückmeldung. Aus dieser Rückmeldung werden zusätzlich Informa­ tionen gewonnen, ob die Funktionen des Aktors und der Zuleitungen fehlerfrei sind. Aufgrund der verschiedenen Rückmeldungen können eventuell auftretende Fehler schnell und sicher lokalisiert und klassifiziert werden.

Zur Funktionsüberprüfung der Sicherheitsschalteranordnung werden von den Rechnereinheiten kurzzeitig die Schaltzustände geändert und die Rückmeldun­ gen in die Rechnereinheiten dahin überprüft, ob die Funktionen der Auswerteka­ näle und der Aktoren fehlerfrei sind. Diese Änderung der Schaltzustände erfolgt so kurzzeitig, daß sich der Betriebszustand des Arbeitsmittels nicht ändert, d. h. der Betrieb des Arbeitsmittels wird durch die Funktionsüberprüfung nicht beein­ trächtigt. Ein weiterer Vorteil dieser Anordnung besteht darin, daß die Parameter der Funktionsüberprüfung über die Rechnereinheiten einfach einstellbar sind.

Vorteilhafterweise sind die bidirektionalen Zuleitungen gemäß Anspruch 2 von jeweils einer Signalleitung zum Aktor und von einer Rückleseleitung, die zur Rechnereinheit führt, gebildet.

Gemäß einer Anspruch 3 ist die Rückleseleitung eines Auswertekanals nicht nur zu der Rechnereinheit des entsprechenden Auswertekanals sondern auch auf die zweite Rechnereinheit geführt. Dadurch kann ein Querschluß der Auswertekanä­ le auf einfache Weise erkannt werden.

Gemäß Anspruch 4 ist die Hardware der Rechnereinheiten identisch aufgebaut, so daß diesbezüglich eine homogene Redundanz geschaffen ist. Entsprechend sind in den Rechnereinheiten die Steuerprogramme unterschiedlich ausgebildet, so daß die Software der Rechnereinheiten diversitär ausgebildet. Auf diese Weise wird verhindert, daß ein in den Rechnereinheiten identisch auftretender Fehler nicht erkannt wird.

Die Erfindung wird im nachstehenden anhand der Zeichnungen erläutert. Es zeigen

Fig. 1 Ein Blockschaltbild der Sicherheitsschalteranordnung,

Fig. 2 Bin Blockschaltbild des Aktors,

Fig. 3 Bin Impulsdiagramm der Signalzustände der bidirektionalen Zulei­ tungen,

• a) bei inaktivem Zustand des Sensors
• b) bei aktivem Zustand des Sensors.

In Fig. 1 zeigt eine Sicherheitsschalteranordnung 1 zum Ein- und Ausschalten der Stromversorgung eines nicht dargestellten Arbeitsmittels. Das Ein- und Ausschalten des Arbeitsmittels erfolgt mittels eines Sensorsignals S. Der Sensor ist vorzugsweise als Lichtschranke ausgebildet, in dessen Gehäuse die komplette Sicherheitsschalteranordnung integriert ist.

Der Sensor kann beispielsweise zur Überwachung eines Schutzfeldes im Bereich des Arbeitsmittels eingesetzt werden. Er weist zwei Signalzustände auf, nämlich Schutzfeld frei (Sensor aktiv) und Schutzfeld nicht frei (Sensor inaktiv).

Das binäre Sensorsignal S wird den beiden Auswertekanälen 2 der Sicherheits­ schalteranordnung 1 zugeführt. In jedem Auswertekanal ist ein Aktor 3 mit aus Halbleiterelementen bestehenden schalterartigen Mitteln vorgesehen. Dem Aktor 3 ist eine Rechnereinheit 4 vorgeschaltet, die als Controller, vorzugsweise als Microcontroller, ausgebildet ist.

Die Rechnereinheiten 4 sind über eine bidirektionale Zuleitung 5 gekoppelt. Die bidirektionale Zuleitung 5 ist in Form zweier Handshake-Leitungen ausgebildet. Die Hardware der Controller ist identisch aufgebaut, während deren Software unterschiedlich ausgebildet ist. Bezüglich der Hardware sind die Controller demzufolge homogen redundant aufgebaut, während die Software diversitär ausgebildet ist. Die Ein- und Ausgangssignale liegen bei den Controllern auf unterschiedlichen Schnittstellenelementen (Ports). Auf diese Weise ist gewähr­ leistet, daß Systemfehler, beispielsweise Fertigungsfehler, die in den beiden Controllern gleichermaßen vorhanden sind, bei deren Betrieb sofort in den Rechnereinheiten 4 aufgrund des unterschiedlichen Ansprechverhaltens der Rechnereinheiten 4 aufgedeckt werden. Hierzu wird fortlaufend eine gegen­ seitige Abfrage der Rechnereinheiten 4 über die Handshake-Leitungen durch­ geführt.

Zur Funktionsüberprüfung des Aktors 3 ist diese mit der Rechnereinheit 4 über zwei bidirektionale Zuleitungen 5a, 5b und 6a, 6b gekoppelt. Über die erste Zu­ leitung 5a, 5b werden rücklesbar die Schaltimpulse, die dem aktuellen Signalzu­ stand des Sensors entsprechen, an den Aktor 3 übertragen. Über die zweite Zuleitung 6a, 6b werden Testimpulse an den Aktor 3 zu dessen Funktionsüber­ prüfung übertragen. Die bidirektionalen Zuleitungen 5a, 5b, 6a, 6b bestehen jeweils aus einer Signalleitung 5a, 6a zur Übertragung von Informationen an den Aktor 3 und einer Rückleseleitung 5b, 6b zur Rückmeldung vom Aktor 3 an die Rechnereinheit 4. Von jeder Rückleseleitung 5b, 6b zweigt eine zweite Rückleseleitung 6c zur Rechnereinheit 4 des jeweils anderen Auswertekanals 2 ab. Durch Auswertung der über die Rückleseleitung 6c eintreffenden Informa­ tion können Querschlüsse zwischen verschiedenen Leitungen erkannt werden.

Jeder Aktor 3 weist einen Schaltausgang 7 auf. Nur wenn beide Schaltausgän­ ge 7 aktiv sind, d. h. wenn beide Schaltausgänge 7 den Signalzuständen "Schalt­ feld frei" des Sensors entsprechen, wird das Arbeitsmittel eingeschaltet.

In Fig. 2 ist ein Blockschaltbild eines Aktors 3 dargestellt. Der Aktor 3 weist einen Transistor 8 auf, der das schalterartige Mittel bildet. Dieser Transistor 8 ist als PNP-Transistor ausgebildet und mit einem zweiten Transistor 9 zur Funktionsüberwachung, der als NPN-Transistor ausgebildet ist, in Reihe ge­ schaltet. Der Schaltausgang 7 zweigt von der Zuleitung zwischen den beiden Transistoren 8, 9 ab. Das schalterartige Mittel ist über einen Widerstand 10 und eine Sicherung 10′ an die Versorgungsspannung U_B angeschlossen, der zweite Transistor 9 ist über einen Widerstand 11 auf das Massepotential GND geführt.

Zum Anschluß der Signalleitungen 5a, 6a weist der Aktor 3 Empfangselemente 12, 13 auf, die von NPN-Transistoren aufweisenden Optokopplern gebildet sind. Das Empfangselement 12 zum Anschluß der Signalleitung 5a zur Übertragung der Schaltimpulse ist über einen Widerstand 14 an die Versorgungsspannung U_B angeschlossen und über einen Widerstand 15 mit dem schalterartigen Mittel ver­ bunden. Das Empfangselement 13 zum Anschluß der Signalleitung 6a zur Funktionsüberprüfung der Aktoren 3 ist über einen Widerstand 16 an den NPN- Transistor 9 angeschlossen und über einen zweiten Widerstand 17 auf das Massepotential GND geführt.

Zum Anschluß der Rückleseleitungen 5b, 6b, weist der Aktor 3 Sendeelemente auf, die von Optokopplern 18, 19 gebildet sind. Dem Optokoppler 18 für die erste Rückleseleitung 5b ist ein Widerstand 20 und ein PNP-Transistor 21 vorgeschaltet, dessen Basis über einen weiteren Widerstand 22 auf die Zuleitung zwischen dem Widerstand 10 und dem schalterartigen Mittel geführt ist.

Der zweite Optokoppler 19 ist über einen NPN-Transistor 23, auf dessen Basis ein Widerstand 24 geführt ist, mit dem Massepotential GND verbunden. Der Widerstand 24 ist auf die Zuleitung zwischen dem Widerstand 11 und dem Transistor 9 geführt. Dem Optokoppler 19 ist ein Widerstand 25 vorgeschaltet, der auf die Versorgungsspannung U_B geführt ist.

Die Funktion der Sicherheitsschalteranordnung 1 wird im folgenden anhand der Impulsdiagramme (Fig. 3a, b) erläutert. Fig. 3a zeigt den Fall, daß der Sensor im inaktiven Zustand ist, Fig. 3b zeigt dem Fall, daß der Sensor im aktiven Zustand ist.

Das schalterartige Mittel des Aktors 3 wird über den Transistor 12 angesteuert. Der das Empfangselement bildende Transistor des Empfangselements 12 wieder­ um wird über die Rechnereinheit 4 über die Signalleitung 5a angesteuert. Wird über diese Signalleitung 5a der Signalzustand "Sensor inaktiv" übertragen, reicht die am Transistor des Empfangselements 12 anliegende Spannung nicht aus, damit der das schalterartige Mittel bildende Transistor 8 leitend wird, so daß der Schaltausgang 7 ebenfalls inaktiv bleibt. Dieser Fall ist als Anfangsbedingung im 1. Zeitintervall in Fig. 3a dargestellt, wobei der Signalzustand "0" dem Signalzustand "inaktiv" entspricht.

Gleichzeitig wird von der Rechnereinheit 4 während des Zeitintervalls "1" die Signalleitung 6a aktiviert. Die Rückleseleitungen 5b, 6b bleiben während des Zeitintervalls "1" inaktiv.

Wird der Sensor in den aktiven Zustand versetzt, wird von der Rechnereinheit 4 der Signalzustand "1" über die Signalleitung 5a an den Transistor des Emp­ fangselements 12 übertragen, wodurch der Transistor 8 leitend wird und der Schaltausgang 7 aktiviert wird (Fig. 3b, 1. Zeitintervall).

Gleichzeitig wird die Signalleitung 6a über die Rechnereinheit inaktiviert, die Rückleseleitungen 5b, 6b bleiben ebenfalls im inaktiven Zustand.

Die Signalzustände im Zeitintervall "1" und ebenso in den Zeitintervallen "7" und "8" in Fig. 3a, b entsprechen dem Normalbetrieb der Sicherheitsschalter­ anordnung 1. Mit Hilfe des Widerstands 10 kann der Strom durch den Transi­ stor 8 überwacht werden. Übersteigt der Spannungsabfall am Widerstand 10 die Basis-Emitterspannung am Transistor 21 wird dieser leitend, wodurch ein Kurz­ schluß bewirkt werden kann. Dies wird durch einen Signalwechsel am Opto­ koppler 18 über die Rückleseleitung 5b an die Rechnereinheit 4 zurückgemeldet.

Um ein eventuelles gleichzeitiges Versagen der in Reihe geschalteten Transisto­ ren 8, 9 aufgrund von Überspannung und Überstrom aufdecken zu können, sind diese komplementär geschaltet, d. h. ein Transistor 8 oder 9 ist leitend während der andere Transistor 9 oder 8 sperrt.

Zur weiteren Funktionsüberprüfung ist die Sicherung 10′ in der Schaltungs­ anordnung des Aktors 3 vorgesehen. Im Falle des Versagens des Transistors 8 wird die Sicherung 10′ durch Einschalten des Transistors 9 zum Ansprechen gebracht, wodurch der Schaltausgang 7 inaktiviert wird, d. h. in den sicheren Zustand übergeht, da dadurch das Arbeitsmittel ausgeschaltet wird. In diesem Zustand wird der Schaltausgang 7 bis zum Abschalten der Versorgungsspan­ nung U_B gehalten.

Die vorgenannten Funktionsprüfungen erfolgen fortlaufend während der gesam­ ten Betriebsdauer der Sicherheitsschalteranordnung 1. Zusätzlich sind zyklische Funktionsüberprüfungen vorgesehen, die in den Fig. 3a, b in den Zeitinter­ vallen "2" bis "6" dargestellt sind.

Zur zyklischen Funktionsüberwachung werden die Signalzustände der Signallei­ tungen 5a, 6a kurzzeitig geändert. Die einzelnen Zeitintervalle "2" bis "6" liegt im Bereich von 50-150 µs. Diese Zeitintervalle sind somit so kurz, daß die in­ nerhalb dieser Intervalle durchgeführten Änderungen der Signalleitungen 5a, 6b aufgrund der Trägheit des Arbeitsmittels keine Änderung dessen Betriebszustan­ des bewirken können. Die Wiederholdauer der zyklischen Funktionsüberwa­ chung liegt im Bereich 5-15 ms, vorzugsweise beträgt sie 10 ms. Besonders vorteilhaft ist, daß die zyklische Funktionsüberwachung von den Rechnereinhei­ ten 4 gesteuert wird. Über die Software in den Rechnereinheiten 4 kann die Wiederholdauer der zyklischen Funktionsüberwachung variiert werden, bei­ spielsweise um eine Überlastung der Rechnereinheiten 4 zu vermeiden. Die Variation der Wiederholdauer erfolgt zweckmäßigerweise durch Einfügen von Pausen zwischen den einzelnen Testabschnitten (Zeitintervalle "2" bis "6" in Fig. 3a, 3b).

In Fig. 3a ist in den Zeitintervallen "2" bis "6" die zyklische Funktionsüber­ wachung für den Signalzustand "Sensor inaktiv" im fehlerfreien Fall dargestellt. Im normalen Betriebszustand (Zeitintervall "1") ist die Signalleitung 5a inaktiv, die Signalleitung 6a aktiv, während die Rückleseleitungen 5b, 6b inaktiv sind. Während der Zeitintervalle "2, 3" erfolgt die Funktionsüberprüfung des ersten Auswertekanals 2, wonach eine Pause (Zeitintervall "4") folgt. Danach findet während der Zeitintervalle "5, 6" die Funktionsüberprüfung des zweiten Aus­ wertekanals 2 statt. Abschließend arbeitet die Sicherheitsschalteranordnung 1 wieder im Normalbetrieb (Zeitintervalle "7, 8") bis die zyklische Funktionsüber­ prüfung von neuem gestartet wird.

Im Zeitintervall "2" wird neben der Signalleitung 6a auch die Signalleitung 5a kurzzeitig aktiviert, wodurch im fehlerfreien Betrieb die Rückleseleitungen 5b, 6b aktiviert werden. Durch diesen Test wird die Versorgungsspannung U_B oder ein Schluß gegen Masse (GND) überprüft. Zudem kann eine fehlerhafte Rück­ meldung der Rückleseleitungen 5b, 6b durch einen Querschluß zwischen den Auswertekanälen bedingt sein. Desweiteren kann im Fehlerfall ein Fehler direkt in den Rückleseleitungen 5b, 6b oder den Sendeelementen vorliegen.

Im Zeitintervall "3" wird die Signalleitung 5a aktiviert, die Signalleitung 6a deaktiviert. Im fehlerfreien Fall sind die Rückleseleitungen 5b, 6b inaktiv. Wird im Fehlerfall die Rückleseleitung 5b aktiv, liegt ein Fehler im Transistor 13 vor oder der Schaltausgang 7 ist gegen Masse (GND) kurzgeschlossen.

Im Zeitintervall "4" wird der normale Betriebszustand wie in Zeitintervall "1" eingestellt. Die Dauer dieser Pause kann von den Rechnereinheiten 4 variabel vorgegeben werden.

Während der Zeitintervalle "5, 6" erfolgt die Überprüfung des zweiten Aus­ wertekanals 2 auf dieselbe Weise wie für den ersten Auswertekanal.

In Fig. 3b ist in den Zeitintervallen "2" bis "6" die zyklische Funktionsüber­ wachung für den Signalzustand "Sensor aktiv" im fehlerfreien Fall dargestellt.

Im normalen Betriebszustand (Zeitintervall "1") ist die Signalleitung 5a aktiv, die Signalleitung 6a inaktiv, während die Rückleseleitungen 5b, 6b inaktiv sind.

Während der Zeitintervalle "2, 3" erfolgt die Funktionsüberprüfung des ersten Auswertekanals 2, wonach eine Pause folgt (Zeitintervall "4"). Danach findet während der Zeitintervalle "5, 6" die Funktionsüberprüfung des zweiten Aus­ wertekanals 2 statt. Anschließend arbeitet die Sicherheitsschalteranordnung 1 wieder im Normalbetrieb (Zeitintervall "7, 8").

Im Zeitintervall "2" wird die Signalleitung 5a deaktiviert und die Signalleitung 6a aktiviert. Im fehlerfreien Fall bleiben die Rückleseleitungen 5b, 6b inaktiv. Ist dies nicht der Fall, so liegt ein Schluß gegen die Versorgungsspannung U_B vor oder der Transistor 12 ist durchlegiert.

Im Zeitintervall "3" sind die Signalleitungen 5a, 6a aktiv. Im fehlerfreien Fall müssen dann auch die Rückleseleitungen 5b, 6b aktiv sein. Ist dies nicht der Fall, so ist die Spannungsversorgung (U_B) fehlerhaft oder es liegt ein Schluß gegen Masse (GND) vor. Desweiteren kann ein Fehler direkt in den Rück­ leseleitungen 5b, 6b oder in den Sendeelementen vorliegen.

Im Anschluß dann folgt wiederum eine Pause (Zeitintervall "4"), worauf der zweite Auswertekanal 2 überprüft wird (Zeitintervalle "5, 6"), die wiederum mit der Überprüfung des ersten Auswertekanals 2 identisch ist.

Claims (15)

1. Sicherheitsschalteranordnung zum Ein- und Ausschalten der Stromversor­ gung eines Arbeitsmittels mittels eines Sensorsignals, welches dem Ar­ beitsmittel über zwei Auswertekanäle mit jeweils einem Aktor zugeführt wird, dadurch gekennzeichnet, daß die Aktoren (3) aus Halbleiterelemen­ ten bestehende schalterartige Mittel aufweisen, daß jedem Aktor (3) eine Rechnereinheit (4) vorgeschaltet ist, die mit dem Aktor (3) über zwei bidi­ rektionale Zuleitungen (5a, 5b, 6a, 6b) verbunden ist, wobei über die erste Zuleitung (5a, 5b) rücklesbar Schaltimpulse von der Rechnereinheit (4) zum Aktor (3) übertragen werden und dort einen Schaltvorgang auslösen, und wobei über die zweite Zuleitung (6a, 6b) rücklesbar Testimpulse von der Rechnereinheit (4) zum Aktor (3) zu dessen Funktionsüberprüfung übertragen werden, daß die Rechnereinheiten (4) über eine bidirektionale Zuleitung (5) zu deren Funktionsüberprüfung verbunden sind, und daß von den Rechnereinheiten (4) zur Funktionsüberprüfung der Aktoren (3) die Schaltzustände der schalterartigen Mittel so kurzzeitig geändert werden, daß sich der Betriebszustand des Arbeitsmittels aufgrund seiner Trägheit nicht ändert.

2. Sicherheitsschalteranordnung nach Anspruch 1, dadurch gekennzeichnet, daß die bidirektionalen Zuleitungen (5a, 5b, 6a, 6b) jeweils von einer Sig­ nalleitung (5a, 6a), über die Informationen von einer Rechnereinheit (4) ausgesendet werden, und einer Rückleseleitung (5b, 6b), über die Informa­ tionen in die Rechnereinheit (4) zurückgelesen werden, gebildet sind.

3. Sicherheitsschalteranordnung nach Anspruch 2, dadurch gekennzeichnet, daß die von der Rückleseleitung (5b, 6b) jeweils eine zweite Rückleselei­ tung (6c) zur Rechnereinheit (4) des jeweils anderen Auswerteelements (2) abzweigt.

4. Sicherheitsschalteranordnung nach einem der Ansprüche 1-3, dadurch gekennzeichnet, daß die Rechnereinheiten (4) von identisch aufgebauten Controllern gebildet sind, auf denen unterschiedliche Steuerprogramme in­ stalliert sind.

5. Sicherheitsschalteranordnung nach einem der Ansprüche 1-4, dadurch ge­ kennzeichnet, daß die schalterartigen Mittel in den Aktoren (3) von je­ weils einem Transistor (8) gebildet sind.

6. Sicherheitsschalteranordnung nach Anspruch 5, dadurch gekennzeichnet, daß der das schalterartige Mittel bildende Transistor (8) mit einem zwei­ ten Transistor (9) in Reihe geschaltet ist, so daß jeweils ein Transistor (8, 9) leitend ist, während der andere nicht leitend ist.

7. Sicherheitsschalteranordnung nach Anspruch 6, dadurch gekennzeichnet, daß der das schalterartige Mittel bildende Transistor (8) über eine Siche­ rung (10′) an die Versorgungsspannung (U_B) des Aktors (3) angeschlossen ist.

8. Sicherheitsschalteranordnung nach einem der Ansprüche 1-7, dadurch gekennzeichnet, daß die Aktoren (3) zum Anschluß der Signalleitungen (5a, 6a) Empfangselemente (12, 13) bildende Optokoppler aufweisen.

9. Sicherheitsschalteranordnung nach einem der Ansprüche 1-8, dadurch ge­ kennzeichnet, daß die Aktoren (3) zum Anschluß der Rückleseleitungen (5b, 6b) Sendeelemente bildende Optokoppler (18, 19) aufweisen.

10. Sicherheitsschalteranordnung nach einem der Ansprüche 1-9, dadurch gekennzeichnet, daß die die Rechnereinheiten (4) verbindende bidirektio­ nale Zuleitung (5) von zwei Handshake-Leitungen gebildet ist.

11. Sicherheitsschalteranordnung nach einem der Ansprüche 1-10, dadurch gekennzeichnet, daß zur Funktionsüberprüfung der Aktoren (3) über die bidirektionalen Zuleitungen (5a, 5b, 6a, 6b) zyklisch binäre Signalfolgen mit den Signalzuständen "aktiv" und "inaktiv" gesendet werden, wobei die Wiederholdauer der zyklischen Funktionsüberprüfung im Bereich von 5- 15 ms liegt.

12. Sicherheitsschalteranordnung nach Anspruch 11, dadurch gekennzeichnet, daß zur Funktionsüberprüfung in jedem Auswertekanal (2) nacheinander Signalzustände der Signalleitungen (5a, 6a) verändert werden und die dadurch bewirkten Signaländerungen an dem Rückleseleitungen (5b, 6b) in den Rechnereinheiten (4) zur Funktionsüberprüfung der Aktoren (3) verwendet werden.

13. Sicherheitsschalteranordnung nach Anspruch 12, dadurch gekennzeichnet, daß die Dauer der Änderungen der Signalzustände der Signalleitungen (5a, 6a) und die dadurch bewirkte Dauer der Schaltzustandsänderungen der schalterartigen Mittel jeweils im Bereich von 50-150 µs liegt.

14. Sicherheitsschalteranordnung nach Anspruch 12 oder 13, dadurch gekenn­ zeichnet, daß die Pausen zwischen Funktionsüberprüfungen der beiden Auswertekanäle durch die Rechnereinheiten (4) vorgebbar sind.

15. Sicherheitsschalteranordnung nach einem der Ansprüche 1-14, dadurch gekennzeichnet, daß diese in dem das Sensorsignal liefernden Sensor integriert ist.