ES2324236T3 - Dispositivo de conmutacion de seguridad modular y procedimiento de conmutacion de seguridad. - Google Patents

Abstract

Dispositivo de conmutación de seguridad (10) modular, que presenta al menos un módulo de salida (14) y un control central (28) unido a todos los módulos de salida (14) a través de un bus (22), y que constituye un módulo de control, en el que el módulo de salida (14) está realizado para la recepción de datos de entrada de al menos un sensor (16) o interruptor (16a) y tiene al menos una salida (14b) para un actuador (18), estando realizado el control central (28) para la recepción de al menos una parte de los datos de entrada y para evaluarlos para la determinación de datos de salida en la salida (14b), caracterizado porque el módulo de salida (14) presenta su propio control (20) de módulo de salida que está realizado para la evaluación compleja de los datos de entrada de un sensor de monitorización, siendo este sensor de monitorización capaz de determinar tamaños de objetos, posiciones de objetos y movimientos de objetos detectados como modelos de señal dependientes del tiempo, estando el módulo de control de salida (20) realizado junto con el control central (28) para la determinación por medio de funciones lógicas de seguridad complejas de los datos de salida en la salida (14b) y porque el control (20) de módulo de salida puede transmitir una señal de desconexión instantánea a un actuador (18) asociado.

Description

Dispositivo de conmutación de seguridad modular y procedimiento de conmutación de seguridad.

La invención se refiere a un dispositivo de conmutación de seguridad modular y a un procedimiento de conmutación de seguridad según los preámbulos de las reivindicaciones 1 ó 21.

Los aparatos de conmutación de seguridad sirven para en caso de entrar en contacto con una señal de peligro reaccionar sin fallos a un tipo predeterminado. Una aplicación típica de la técnica de seguridad es la protección de una máquina peligrosa, como por ejemplo una prensa o una fresadora que deben ser desconectadas inmediatamente cuando personal operario se acerca de forma no autorizada. Para ello está previsto un sensor que reconoce la aproximación, como por ejemplo una barrera de luz o una rejilla de luz. Si tal sensor reconoce un peligro, entonces un circuito subordinado a él debe generar con seguridad absoluta una señal de desconexión.

En la práctica, un sensor individual no monitoriza una máquina individual, sino que la mayoría de las veces debe ser monitorizada una serie completa de fuentes de peligro. Debe ser entonces configurada la pluralidad correspondiente de sensores respectivos, que en cada caso pueden definir un suceso de conmutación y medidas adecuadas para la eliminación de peligros. En el caso más simple puede bastar hacer reaccionar a cada suceso de conmutación en un circuito lógico-O. En el caso de una máquina que esté detrás de una puerta protegida por una rejilla de luz y que tenga un interruptor de parada de emergencia, tanto la apertura de la puerta como un contacto en la rejilla de luz o un accionamiento del interruptor de parada de emergencia deberían conducir a una protección. Para escenarios más complicados este esquema no es válido.

Una posibilidad convencional de configuración de un aparato de conmutación de seguridad se da a conocer en el documento DE 100 200 75 C2. En él está prevista una serie de módulos de entrada y de salida, obteniendo cada módulo de entrada datos de un sensor y pudiendo cada módulo de salida accionar un actuador que desconecta una fuente de peligro. La asignación correcta de sensores a un actuador se realiza de manera que las posiciones, en las que están dispuestos los módulos en la serie, determinan una asignación unívoca a un módulo de salida. Las posiciones predeterminan pues las reglas de conmutación y por la introducción de los módulos pueden seleccionarse qué sensores y de qué manera son unidos a un actuador con estas reglas de conmutación. Esto ahorra un programa, aunque no posibilita la realización de tareas de control de seguridad complejas. Así, el empleo está limitado a un ámbito de aplicación pequeño en máquinas sencillas.

En un perfeccionamiento de la configuración convencional, los módulos están unidos a un módulo de control que contiene una tabla de asignación. Todos los módulos están así unidos entre sí con un bus. Las operaciones lógicas, con las que se decide por un actuador, en cuanto a si debe ser conmutado o no, se realizan en el módulo de control. Es desfavorable en esta solución el tiempo de duración de la comunicación de datos. Al aumentar la complejidad se necesita cada vez más tiempo de cálculo sólo para la comunicación al bus de datos limitado.

Los sistemas de este tipo, por tanto, sólo son adecuados para aplicaciones críticas en el tiempo con ciertas limitaciones y deben ser realizados además con gran despliegue técnico y altos costes con microcontroladores potentes. Incluso si se tiene en cuenta el problema del tiempo de respuesta para una aplicación determinada es necesario de nuevo esfuerzo adicional o es completamente imposible añadir a la serie modular otro módulo de salida.

En el caso de sistemas de control de seguridad modulares es además conocido comunicar hacia fuera informaciones de estado de las entradas, de las salidas y resultados lógicos. Para ello la serie de módulos puede ser acoplada a una electrónica externa con ayuda de una pasarela a través de un bus de campo u otro bus. Las informaciones de estado sirven para monitorizar la capacidad funcional de los sensores o para poner a disposición de la electrónica subordinada los datos de sensores para otras aplicaciones. También aquí se presenta el problema de que las pasarelas acceden a las informaciones de representación de proceso de un módulo de control, y esto falla cuando la potencia del módulo de control ya no es suficiente.

Además de la técnica de seguridad es conocido por el documento US 5 068 778 un sistema de control industrial que presenta varias carcasas enchufables para respectivamente varias tarjetas electrónicas E/S. Cada carcasa enchufable, una de las cuales funciona como maestra, presenta su propio procesador que con diferentes lenguajes de programación contribuye a un control multitarea.

Es, por tanto, el objeto de la invención indicar un sistema de conmutación de seguridad modular ampliable que pueda controlar también aplicaciones de seguridad con alto grado de exigencia.

Este objeto se lleva a cabo por un dispositivo de conmutación de seguridad modular y un procedimiento de conmutación de seguridad según la reivindicación 1 ó 21. La solución tiene la ventaja de que son posibles también operaciones lógicas complejas con diferentes prioridades y dependencias, así como variaciones temporales de la acción sobre un actuador o una parada guiada de un movimiento peligroso en una máquina. Aplicaciones críticas en el tiempo se llevan a cabo con un tiempo de respuesta reducido. El usuario puede sin esfuerzo añadir otras unidades si por ejemplo las entradas o salidas ya no son suficientes, porque existen sensores o actuadores adicionales. Si posteriormente deben ser aseguradas partes de máquina adicionales, entonces pueden ser añadidas simplemente a la serie modular ya configurada.

Mientras que los módulos de salida controlen ellos mismos los actuadores asociados a ellos, la estructura modular puede ser accionada en consecuencia. No sólo las conexiones, también la "inteligencia" necesaria, esto es las evaluaciones lógicas, pueden ser estar compuestas de forma modular. De este modo pueden ser combinadas a discreción tareas de evaluación no sólo fáciles, sino también complejas y ser adaptadas a nuevas aplicaciones sin un esfuerzo especial para el usuario. Con ayuda de un procesamiento en paralelo en los controles de modulo de salida y el control central pueden ser llevadas a cabo tareas de monitorización complejas de forma rápida. Así son evaluados dinámicamente datos de sensores para el control del actuador. Un ejemplo de ello es la monitorización del proceso de desconexión de una máquina que tiene una marcha en inercia, o para después diferenciar clases de sucesos por si necesitan o no un accionamiento del actuador. Otros ejemplos son las evaluaciones de una cámara de seguridad o de una rejilla de luz, en los que dinámicamente pueden ser extraídas zonas fuera del campo de protección. Tales extracciones, esto es contactos permitidos de forma conocida, pueden ser herramientas con modelos de movimiento conocidos o paletas que se atraviesen.

Así, la solución según la invención parte de la idea base de llevar a cabo las evaluaciones para el control del actuador con los recorridos de datos más cortos posibles para reducir los tiempos de respuesta. Las evaluaciones muy complejas deben estar asociadas directamente al actuador que las provoca o a su módulo de salida. Estas evaluaciones son llevadas a cabo al menos de forma parcial directamente en el módulo de salida, mientras que el control central conoce todas las evaluaciones pendientes del dispositivo de conmutación de seguridad y éstas son distribuidas para el procesamiento en paralelo al propio control central y a los módulos de salida.

Preferiblemente el control del módulo de salida para la evaluación es configurable. Para ello se puede emplear de forma flexible un módulo de salida y puede ser programado para una pluralidad de tareas. Por tanto, la serie modular no tiene que ser modificada, sino sólo configurada de nuevo.

Ventajosamente la configuración está almacenada en una unidad de memoria del módulo de salida respectivo o de la unidad de memoria central y esta unidad de memoria es en particular recambiable. Esto facilita considerablemente la configuración, ya que por una parte no se pierde y por otra puede ser ajustada de nuevo por simple recambio de la unidad de memoria. Así, cada módulo de salida puede tener su propia unidad de memoria, así como puede ser cambiada la configuración de una unidad de memoria sólo del control central o sólo de algunos y no todos los módulos de salida.

Así preferiblemente la unidad de almacenamiento está unida a través de un transpondedor al control del módulo de salida o al control central. Este es un tipo especialmente sencillo y cómodo de facilitar sin contacto el recambio de la unidad de memoria y, por tanto, de la configuración.

Preferiblemente el sensor es un sensor de monitorización, en particular un escáner láser o una cámara de seguridad, una rejilla de luz o un escáner láser, el interruptor es un interruptor de parada de emergencia o un interruptor de puerta; el actuador, un dispositivo de desconexión para una máquina o un dispositivo de alarma y el control del módulo de salida es configurable para la evaluación para uno o varios de estos sensores y/o actuadores. Con ello la serie modular cubre un amplio espectro de la mayoría de los componentes conocidos que se pueden conectar.

Preferiblemente está previsto al menos un módulo de entrada que presenta entradas para sensores y/o interruptores, estando unido cada módulo de entrada a al menos uno de los módulos de salida a través del bus o por medio de uniones configurables. Los módulos de entrada pueden ser hechos a la medida del sensor al que se va a unir y con sus formatos comunicar realizando para ello preparativos sencillos como filtros o similares. Pueden también simplemente servir para aumentar el número de conexiones del módulo de salida modularmente por medio de la conexión de uno o varios módulos de entrada.

Ventajosamente el módulo de salida presenta entradas para sensores y/o interruptores. De esta forma el módulo de salida puede reaccionar a las entradas sin pérdida de tiempo y en particular en aplicaciones especialmente sencillas en un caso individual junto con el control central sustituir incluso a toda la serie modular.

Preferiblemente el control central constituye un módulo de control. Después sin otro despliegue puede ser también integrado en la serie modular en cuanto a su aspecto óptico y su necesidad de espacio.

Preferiblemente está previsto un módulo de pasarela por medio del cual los módulos de entrada, los módulos de salida y/o el módulo de control están unidos a un bus externo, en particular un bus de campo, estando el bus externo unido a un control externo. Por tanto, los datos de la serie modular pueden hacerse disponibles externamente para fines de pruebas y visualización y el control externo puede asumir las tareas de control de forma redundante o adicional. La serie modular se puede integrar así de forma muy sencilla en un esbozo de control y además los datos de los sensores pueden ser empleados también para evaluaciones que no tienen que ver directamente con el control de actuadores. Entre ellas figura por ejemplo una indicación de los estados de los sensores.

Ventajosamente el control externo está realizado para un test de funcionamiento de los módulos y de los sensores conectados. La revisión de la seguridad del trabajo del dispositivo es igualmente un requisito de la técnica de seguridad.

Es preferible que el control externo esté realizado para un control externo de uno o de algunos actuadores, actuando el control sólo sobre el actuador cuando el control central y/o el control del módulo de salida aceptan el control de un módulo de salida asociado a un actuador. El control externo asume, por tanto, al menos en parte el control de los actuadores para el funcionamiento habitual. Al dispositivo de conmutación de seguridad no le conciernen normalmente estos controles necesarios para el funcionamiento habitual. Pero en el caso de que el dispositivo de conmutación de seguridad haya reconocido un estado de excepción relevante para la seguridad, debido a la aprobación siempre necesaria puede impedir un control. Tiene casi la última palabra para garantizar la seguridad, pero no tiene que tener que ver con el funcionamiento normal.

Ventajosamente una señal de conmutación del control del módulo de salida puede actuar en el actuador asociado tras una liberación del control central y/o del control externo. La señal de conmutación será emitida muy rápidamente por el camino más corto para reaccionar en seguida ante un peligro. La decisión de si está eliminado el problema que causó el peligro no puede ser tomada necesariamente solo por el módulo de salida. Por tanto, en esta forma de realización se espera una señal de un control de mayor importancia. El ejemplo típico es una liberación tras una revisión de la instalación debido a una desconexión precedente, que a menudo tampoco debe ser autorizada por el propio personal de servicio, sino por alguien responsable de la seguridad, por ejemplo por contraseña o
clave.

Preferiblemente el control de módulo de salida está realizado para una evaluación diversa y/o redundante distribuida al control central. Esto puede servir por un lado para la aceleración de la evaluación, por otra parte posibilita formas de construcción sencillas de los controles del módulo de salida. Una evaluación diversa o redundante reduce posibles errores y cumple con ello requisitos de la técnica de seguridad.

Ventajosamente el módulo de entrada, el módulo de salida, el control central y el bus están realizados seguros frente a averías en particular por la realización de doble canal. Esto es de nuevo un requisito en la seguridad frente a fallos de la serie modular, representando la realización de doble canal una transformación robusta.

Preferiblemente cada módulo está dispuesto en una carcasa del mismo tipo con, respectivamente, un enchufe y un zócalo para la interconexión. Una carcasa de este tipo se adapta al principio de estructura modular especialmente bien y posibilita en todo momento y de forma fácil una ampliación o reordenación de la serie modular.

Preferiblemente el control del módulo de salida y/o el control central pueden ser configurados por medio de un interruptor giratorio o un elemento de mando. Estos pueden estar colocados en la carcasa, de manera que ésta se pueda fabricar compacta y sencilla y al mismo tiempo haga que los elementos de mando sean accesibles al usuario.

Ventajosamente el módulo de salida y/o el control central puede presentar una conexión para un teléfono móvil, un ordenador o una PDA, por medio de la cual el control del módulo de salida y/o el control central pueden ser configurados a través de una interfaz gráfica. De esta forma el usuario sin conocimientos muy profundos de la estructura interna puede construir y adaptar la serie modular de forma flexible para su aplicación especial.

Preferiblemente la conexión es una conexión fija, como por ejemplo una interfaz serie o una conexión sin hilos en particular a través de bluetooth, wLAN, GSM, UMTS o infrarrojos. Todas estas son conexiones probadas que ofrecen, por una parte, en caso de una unión fija, una unión barata y segura y, por otra parte, en el caso de una unión sin hilos, una solución especialmente de fácil manejo para el usuario.

Preferiblemente el control central y/o el control del módulo de salida presentan un servidor de web. Los servidores de web están disponibles como soluciones completas y ofrecen una posibilidad cómoda y flexible de configuración con acceso a través de un explorador de web común en lugar de un software de configuración propietario.

El procedimiento según la invención puede ser perfeccionado con características análogas como las que se indican en las reivindicaciones subordinadas adjuntas a modo de ejemplo, y no de forma taxativa, y muestran al mismo tiempo ventajas semejantes.

La invención se explicará en detalle a continuación también en cuanto a otras características y ventajas a modo de ejemplo en virtud de formas de realización y con referencia al dibujo adjunto. Las representaciones del dibujo muestran en:

Fig. 1, un diagrama de bloques de una primera forma de realización del dispositivo de conmutación de seguridad según la invención;

Fig. 2a, un diagrama de bloques de un módulo de entrada con salidas de comunicación de módulos configuradas;

Fig. 2b, un diagrama de bloques de un módulo de entrada con conexión en un bus interno;

Fig. 3a, un diagrama de bloques de un módulo de salida con entradas de comunicación de módulos configuradas;

Fig. 3b, un diagrama de bloques de un módulo de salida con conexión de los sensores a través del bus interno;

Fig. 3c, un diagrama de bloques de un módulo de salida con entradas de sensor propias; y

Fig. 4, un diagrama de bloques de una segunda forma de realización del dispositivo de conmutación de seguridad según la invención con un módulo de pasarela para la conexión a un bus de campo.

Una primera forma de realización del dispositivo de conmutación de seguridad 10 según la invención está representada en la Fig. 1. El dispositivo de conmutación de seguridad 10 tiene aquí a modo de ejemplo una estructura de cuatro módulos de entrada 12 y tres módulos de salida 14.

Cada módulo de entrada 12 tiene al menos una entrada monocanal o multicanal o una posibilidad de conexión para uno o varios sensores 16. Como sensor 16 puede estar previsto un sensor de monitorización, como por ejemplo una barrera de luz, una rejilla de luz, un escáner láser o una cámara de seguridad, aunque también un interruptor, como por ejemplo un interruptor de posición de puerta o un interruptor de parada de emergencia. El módulo de entrada 12 se explicará con más precisión posteriormente en relación con la Fig. 2.

Correspondientemente cada módulo de salida 14 tiene al menos una salida monocanal o multicanal para un actuador 18. Este actuador 18 puede ser un robot, un motor, una conducción de corriente o una máquina, como por ejemplo una fresadora o una prensa. Por accionamiento del actuador 18 no debe entenderse aquí su funcionamiento normal, sino un control particular por el dispositivo de conmutación de seguridad 10 para llevar al actuador 18 a un estado seguro. Esto puede ser una simple desconexión, pero también un aviso de alarma o el paso controlado a una posición de estacionamiento segura. Si el actuador 18 no es accionado, eso no significa estado de reposo, sino funcionamiento normal, no perturbado. También el módulo de salida 14 se explicará más adelante con mayor detalle en relación con la Fig. 3. Este hecho no impide que también otros controles vayan desde o a través del módulo de salida 14 al actuador 18, como está descrito más adelante en relación con un control externo adicional según la Fig. 4.

Los módulos de entrada 12 están unidos respectivamente a módulos de salida 14 determinados. Esta asignación depende de la aplicación, pues cada actuador 18 debe ser accionado dependiendo de los estados de determinados sensores 16.

Por ejemplo, un módulo de entrada 12 con un sensor de monitorización 16 conectado y un segundo módulo de entrada 12 con un interruptor de posición de puerta 16 conectado pueden estar conectados a un módulo de salida 14 que puede llevar una máquina peligrosa 18 a un estado no peligroso. Esto corresponde a la situación en la que la máquina 18 peligrosa está asegurada tanto por una puerta que se debe mantener cerrada, como por un sensor de monitorización. Así, cada módulo de entrada 12 puede estar conectado también a varios módulos de salida 14, por ejemplo, una respuesta del interruptor de posición de puerta 16 podría no sólo desconectar la máquina peligrosa 18, sino
también disparar al mismo tiempo una alarma a través de otra o una segunda salida del mismo módulo de salida 14.

Alternativamente los módulos de entrada 12 pueden también estar conectados a un bus 22, al que transfieren sus datos, decidiéndose entonces en cada módulo de salida 14 si los datos son relevantes para este módulo de salida. Independientemente de si los datos son intercambiados a través de uniones establecidas por operaciones lógicas o por medio del bus 22, puede ser configurada la asignación correcta por el usuario. En los casos más simples esto se realiza con ayuda de interruptores giratorios en los módulos 12, 14. Más cómodo y flexible es un programa por medio de una herramienta de programación preferentemente con interfaz de usuario gráfica que se describirá más adelante.

Cada módulo de salida 14 presenta su propio control 20 de módulo de salida (en la Fig. 1 designado con "Lógica"). Este control 20 de módulo de salida evalúa los dados de los sensores 16 transmitidos a través de los módulos de entrada 12 conectados para decidir si hay que accionar el actuador 18 correspondiente. El tipo de evaluación es así configurable.

Evaluaciones complejas necesitan que el control 20 del módulo de salida tenga una potencia de cálculo suficiente. Así pueden tenerse en cuenta acuses de recibo del actuador 18 que también pueden ser monitorizados por el propio sensor 16 y su módulo de entrada 14.

Un ejemplo para tareas complejas del control 20 de módulo de salida es una monitorización de movimiento, en la que un robot o cualquier otra máquina debe incluir un esquema de movimiento predeterminado. Si el movimiento se descontrola o se hace demasiado rápido, entonces el dispositivo de conmutación de seguridad 10 debe poder reaccionar inmediatamente. Otro caso es un sensor de monitorización 16, que no simplemente debe reaccionar al registrar un objeto, sino que clasifica el objeto en primer lugar según su tamaño, posición o movimiento. Con ello pueden estar previstos escenarios en los que estén permitidos contactos de objetos determinadas. Entre ellos están modelos de movimiento conocidos de herramientas o máquinas, el paso de una paleta, ignorar movimientos muy lentos o el tratamiento diferente de objetos en las proximidades, respecto a objetos muy alejados del personal de servicio. Otros ejemplos son los llamados "Muting/Blanking" de barreras de luz o rejillas de luz, la monitorización de conmutadores de levas de prensas o la monitorización del número de revoluciones o estado de reposo de motores. Todas estas tareas de monitorización pueden ser realizadas también con una cámara de seguridad que suministra cantidades de datos muy grandes que son evaluados en tiempo real. La complejidad se eleva cuando la cámara reconstruye la distancia y suministra una imagen tridimensional. Para ello puede servir una cámara estereoscópica, aunque también una cámara que triangularice o que determine el tiempo de paso de luz.

Para implementar tales reglas de evaluación complejas, el control 20 de módulo de salida puede ser establecido específicamente para la aplicación, de manera que lleve a cabo ya en conjunto las funciones de lógica de seguridad complejas de este tipo. Tal solución específica para la aplicación puede entonces ser preconfigurada ya de fábrica o ser ofrecida al usuario para que la configure para la evaluación. El control 20 de módulo de salida no está pues sólo en situación de acometer operaciones lógicas sencillas, sino que puede también reconocer, clasificar y comparar modelos de señal dependientes del tiempo complicadas en las entradas de comunicación de módulos.

Para ello en una forma de realización particular cada módulo de salida 14 presenta un módulo de memoria no representado en la figura. En su interior está almacenada la configuración para la evaluación. Sólo por cambio del módulo de memoria puede ser ajustado el control 20 de módulo de memoria a una tarea completamente nueva. El intercambio de datos con el módulo de memoria puede así ser realizado con contacto de enchufe o sin contacto usando un transpondedor. Alternativamente puede presentar sólo una parte del módulo de salida 14 o sólo el control central 28, un módulo de memoria de este tipo. La configuración comunica entonces a través del bus 22 los módulos de salida competentes.

Junto a los módulos de entrada 12 y los módulos de salida 14 está previsto un módulo de control 28 central en el dispositivo de conmutación de seguridad 10. El módulo de control 28 está unido a las entradas del módulo de entradas 12 y a los controles 20 del módulo de salida a través del bus de datos 22. Mientras que los controles del módulo de salida asumen todas las evaluaciones que se relacionan con los sensores 16 y los actuadores 18 respectivos de su módulo de salida, el módulo de control 28 puede dar ordenes "de maestro" como por ejemplo una parada de emergencia en todos los módulos de salida 14. A través del bus 22 los controles 20 de módulo de salida puede contribuir a la evaluación distribuida redundante o descargada y asignar tareas. Si, por ejemplo, el control 20 de un módulo de salida 14 está sobrecargado, entonces pueden ser transmitidas tareas individuales al control central 28 o a otro módulo de salida 14 que devuelve los resultados. El módulo de control 28 posibilita pues como complemento a la evaluación modular estricta en los controles 20 de módulo de salida individuales, un control jerárquico. Las tareas de evaluación, según cómo de críticas en el tiempo y complejas sean son distribuidas al módulo de control 28 y a los controles 20 de módulo de salida. Para ello pueden ser intercambiadas reglas de evaluación, evaluaciones y evaluaciones parciales a través del bus de datos 22 entre los controles 20 de módulo de salida y con el módulo de control 20. Además, el módulo de control 28 puede cumplir tareas adicionales, tales como la monitorización de la capacidad de funcionamiento de los módulos 12, 14 con sus sensores 16 y actuadores 18 conectados.

La comunicación de módulos entre los módulos de entrada 12 y los módulos de salida 14 puede realizarse por un lado como se describió antes por una asignación configurable de entradas y salidas. Alternativamente, no obstante, pueden estar conectados también todos los módulos 12, 14 a un bus interno 22. En este caso las reglas de evaluación deciden en el control 20 de módulo de salida sobre la asignación entre módulos de entrada 12 y módulos de salida 14 y entre sensores 16 y actuadores 18. Los datos seleccionados de esta forma son pasados a través del bus 22 desde un módulo de entrada 12 al módulo de salida 14 asociado.

A través del bus 22 los controles 20 del módulo de salida 14 pueden intercambiarse reglas de evaluación también sin rodeos a través del módulo de control 28 y configurarse mútuamente, pero también resultados lógicos, esto es resultados intermedios de la evaluación. De esta forma es posible una evaluación distribuida o redundante para la aceleración o para elevar la seguridad. Un sensor 16 que evalúe de forma especialmente compleja como por ejemplo una cámara de seguridad puede ser aprovechado para elevar la potencia de cálculo incluso de varios módulos de salida 14 o sus controles 20 de módulo de salida.

Cada módulo 12, 14, 28 está alojado en una carcasa del mismo tipo según una forma de realización. La carcasa puede ser así un sistema de carcasa IP20, en el que los módulos individuales están unidos entre sí con un bus de pared trasera como bus de datos 22. Alternativamente según se requiera la carcasa puede estar realizada también con una clase de protección más alta, como por ejemplo IP65. Las carcasas están provistas respectivamente de un enchufe y un zócalo para la interconexión. De esta forma puede ser enchufada una serie modular de la estructura deseada y de la longitud deseada de forma fácil.

El dispositivo de conmutación de seguridad 10 por su estructura modular se puede adaptar fácilmente a aplicaciones nuevas o modificadas. Según cuántas salidas, entradas o qué tipo de funciones lógicas o evaluaciones sean necesarias, pueden ser añadidos otros módulos 12, 14 al dispositivo de conmutación de seguridad 10.

Para la adaptación a la aplicación son necesarias entonces dos etapas de configuración: en primer lugar debe ser determinado a qué módulo de salida 14 son conectados los módulos de entrada 12 o qué sensores 16 hay que tener en cuenta en la decisión sobre la conmutación de qué actuador 18 y en segundo lugar qué reglas de evaluación emplea cada módulo de salida 14 en la evaluación. Para pocas configuraciones complejas pueden estar previstos en los módulos de salida 14 interruptores giratorios u otros elementos de mando.

Como alternativa en particular para configuraciones más complejas está prevista una herramienta de programación con una interfaz gráfica de usuario. La interfaz de usuario ofrece para ello representaciones gráficas para una serie de bloques como módulos de entrada 12 o módulos de salida 14 que pueden ser compuestos y unidos en la pantalla a la serie deseada. Las reglas de evaluación para el control 20 de módulo de salida están disponibles para la selección en la interfaz de usuario. Pueden ser combinadas en la pantalla de la forma deseada y asignadas al módulo de salida 14.

La unión a la interfaz de usuario puede realizarse por conexión de un ordenador, un teléfono móvil, una PDA o un aparato semejante en el que pueda ejecutarse la herramienta de programación con la interfaz de usuario. La unión puede ser una unión fija a través de una interfaz serie, como por ejemplo RS232 o USB, alternativamente una unión sin hilos a través de bluetooth, infrarrojos o wLAN. Para el manejo sencillo y cómodo para el usuario la conversión a una aplicación deseada, esto es la selección y distribución de las reglas de evaluación concretas a los diferentes módulos de salida 14 puede realizarse automáticamente con ayuda de la herramienta de programación. El usuario prevé así en una etapa de abstracción relativamente alta los objetivos de evaluación y no necesariamente qué módulos 12, 14 son necesarios para ello, cómo asignarlos y cómo configurarlos.

Según la experiencia del usuario la implementación concreta en los controles 20 de módulo de salida, así como la asignación concreta a un módulo de salida 14 determinado puede ser acometida también de forma escalonada hasta el último detalle de acuerdo con la experiencia.

Para una forma de realización particular de la herramienta de programación está implementado en cada control 20 de módulo de salida su propio servidor de web. Después la herramienta de programación puede ser invocada por el ordenador, teléfono móvil o PDA con ayuda de un explorador de web común. Por tanto, ya no es necesario un aparato de mantenimiento implementado especialmente, todas las propiedades específicas de la herramienta de programación pueden ser implementadas en el control 20 del módulo de salida y su servidor de web.

En las figuras 2a y 2b está representado un módulo de entrada 12. Los mismos símbolos de referencia designan aquí y en lo que sigue las mismas características. A las entradas 12a pueden ser unidos sensores 16. Éste puede ser un sensor 16 propiamente dicho o un interruptor 16a. Ejemplos de ello se han indicado antes. El módulo de entrada 12 representado presenta cuatro entradas 12a, de las que son empleadas dos. Naturalmente son posibles formas de realización con un número diferente de entradas 12a.

El módulo de entrada 12 tiene además un número de salidas 12b de comunicación de módulos. A modo de ejemplo en la forma de realización según la Fig. 2a están unidas cuatro salidas 12b de comunicación de módulos a módulos de salida 14 dispuestos a la izquierda y una salida 12b de comunicación de módulos a un módulo de salida 14 dispuesto a la derecha. La Fig. 2b muestra una forma de realización alternativa, en la que las salidas 12b de la comunicación de módulo están unidas al bus de datos 22. Las asignaciones a módulos de salida 14 encuentran entonces los controles 20 del módulo de salida correspondientes.

Al bus de datos 22 pueden también estar unidas las entradas 12a. Todos los datos de los sensores 16, no sólo los datos interesantes para el accionamiento de actuadores 18, están disponibles también por fuera del módulo de entrada 12. Esto puede ser aprovechado por ejemplo para verificar la capacidad de funcionamiento de los sensores 16 o indicar sus datos de estado.

Las figuras 3a-c muestran un módulo de salida 14. En sus entradas 14a de comunicación de módulo, el módulo de salida 14 está unido a los módulos de entrada 12. En la forma de realización representada en la Fig. 3a el módulo de salida 14 tiene uniones 14c por la izquierda a dos módulos de entrada 12 y por la derecha una unión 14d a otro módulo de entrada 12. El control 20 de módulo de salida está conectado el mismo para la comunicación a otros módulos de salida 14 y al control central 28 en el bus de datos 22. En la forma de realización representada en la Fig. 3b está realizada también la unión a los módulos de entrada 12 a través del bus de datos 22, en lugar de a través de entradas 14a de comunicación directa de módulos.

El control 20 del módulo de salida recibe datos de los módulos de entrada 12 asociados (o selecciona el mismo los datos necesarios, que son recibidos a través del bus de datos 22) a través de las entradas 14a de comunicación de módulos. El control 20 de módulo de salida está realizado en correspondencia a las exigencias para productos de seguridad por medio de una estructura de microcontrolador de dos canales, que además de un procesamiento de entrada y salida realiza los cálculos lógicos y eventualmente la comunicación de datos con el bus de datos 22. Puesto que el control 20 del módulo de salida tiene que realizar sólo las tareas de evaluación de su módulo de salida 14, al seleccionar el microcontrolador puede recurrir a clases de potencia más baratas. La excepción son los módulos de salida para evaluaciones especialmente complejas como cámaras de seguridad o la preparación de una "memoria de cálculo" para la evaluación distribuida junto con otros módulos de salida y/o el control central 28. Es pensable también una arquitectura de seguridad de un canal con un microcontrolador potente que lleve a cabo evaluaciones internas diversas, redundantes o de otra manera seguras. Los requisitos de seguridad correspondientes para la categoría de control están fijados en la norma EN 954-1 ó ISO 13849 (performance level). El nivel seguridad que es posible con ello y los otros requisitos de seguridad en una aplicación están definidos en la norma EN 61508 o EN 62061.

Según sus reglas de evaluación y la asignación, el control 20 del módulo de salida decide si hay que accionar la salida 14b del actuador 18. Esto está indicado por un interruptor 18a. El módulo de salida 14 está representado, respectivamente, con un actuador 18 y la salida 14b asociada a él. Es posible también naturalmente conectar varios actuadores 18 a un módulo de salida 14 y tener esto en cuenta correspondientemente en el control 20 del módulo de salida.

La Fig. 3c muestra una forma de realización del módulo de salida 14 que está unida directamente a través de sus propias entradas 14e a un sensor 16 o un interruptor 16a. El módulo de salida 14 puede de esta forma asumir al mismo tiempo tareas del módulo de entrada 12. Para aplicaciones especialmente sencillas este módulo de salida 14 junto con el módulo de control 20 puede sustituir ya a toda la serie modular. Es posible también que en una forma mixta junto a las entradas 14e directas para sensores existan también entradas 14a de comunicación de módulos. La forma de realización según la Fig. 3c hace que se pueda prescindir de uno de los módulos de entrada 12 para determinadas aplicaciones.

Para satisfacer los requisitos de la técnica de seguridad en cuanto a seguridad frente a fallos, las entradas y salidas de los módulos 12, 14 están realizadas seguras frente a fallos. Una posibilidad robusta y sencilla de implementación son las entradas y salidas de dos canales. En una forma de realización alternativa puede pensarse también en realizar el sistema completo de un canal. Después, por redundancia o por otro diseño particular en el control 20 del módulo de salida y/o del control central 28 puede ser garantizada la alta seguridad. Los requisitos en la seguridad de conmutación son conocidos y pueden ser extraídos de nuevo de las normas mencionadas como la EN 954-1. En la forma de realización con un bus de datos 22 ésta debería ser realizada con la seguridad correspondiente.

La Fig. 4 muestra otra forma de realización de la invención. Esta forma de realización se diferencia de la que fue descrita con referencia a la Fig. 1 por un módulo de pasarela 24 adicional. A través del módulo de pasarela 24 el dispositivo de conmutación de seguridad 10 puede ser unido a un bus de campo 26 externo. El bus de datos 22 interno está pues acoplado al bus de campo 26 a través del módulo de pasarela para poder acceder a través del bus de campo 26 a los datos de todos los módulos de salida 14 o sus controles 20 de módulo de salida, todos los módulos de entrada 12 o los datos de sus sensores 16 conectados y el módulo de control 28. Alternativamente también el bus de datos 22 puede estar realizado como bus de campo. Con ello se simplifica una forma de realización como sistema distribuido, descentralizado. El bus de campo 26 facilita también posibilidades de comunicar al exterior un cuadro de estado del dispositivo de conmutación de seguridad 10 y todos los sensores 16 y actuadores 18 conectados y allí evaluarlos y mostrarlos.

En otra forma de realización de la invención es posible que parte o partes de las tareas del módulo de control 28 sean asumidas en lugar de por un control externo 30 en un bus de campo 26. Esto se refiere en primera línea a tareas de control que no son relevantes para la seguridad, esto es el funcionamiento habitual de los sensores 16 y actuadores 18. El control 30 externo puede controlar por ejemplo el funcionamiento en marcha de un motor como actuador 18, sin que esto sea relevante para el dispositivo de conmutación de seguridad 10. Pero, tan pronto como un módulo de salida 14 asociado al actuador 18 o el control central 28 ha reconocido un peligro, el control desde el control externo 30 debe quedar sin efecto. Los controles del circuito externo 30 precisan, por tanto, una conformidad del módulo de salida 14 y/o del control central 28. Esto puede realizarse por ejemplo en forma de un interruptor, una operación lógica u otra señal de conformidad necesaria. La comunicación se realiza así entre el módulo de salida 14, el control central 28 y el control externo 30 a través del bus de campo 26 y el módulo de pasarela 24 o internamente a través del bus de datos 22.

Recíprocamente pueden ser dados datos de los sensores 16 y actuadores 18 sobre estos recorridos de datos también en el control externo 30 para mostrar un cuadro de estado de la instalación, configurarlo o comprobar la instalación o sus componentes en cuanto a su funcionamiento.

Para que un módulo de salida 14 pueda reaccionar muy rápidamente a un peligro, se conmuta en una realización ventajosa un actuador asociado 18 sin acuse de recibo del control central 28 ni del control externo 30 que en el caso normal no se ocupa de controles relevantes para la seguridad. El recorrido de conmutación extremadamente corto posibilita una reacción muy rápida en un tiempo de respuesta mínimo. Recíprocamente al conmutar o retroceder a un estado de funcionamiento después de un proceso de desconexión de este tipo, el módulo de salida 14 no debe decidir el sólo que el funcionamiento sea iniciado de nuevo. El suceso por el cual fue activada la desconexión, puede tener que ver con otras unidades y debe al menos ser considerado como eliminado por una unidad de mayor importancia como por ejemplo el control central 28 o el control externo 30. Es pensable también que en principio sea acometida una liberación por una persona responsable de la seguridad. Por tanto, una orden de conmutación del módulo de salida 14 actúa sobre el actuador 18 cuando también desde la unidad de mayor importancia se realiza una liberación. Esto puede conseguirse por ejemplo por una operación lógica-Y de una primera señal de conmutación del módulo de salida 14 y una segunda señal de conmutación de la unidad de mayor importancia.

La desconexión directa y rápida según la forma de realización descrita en último lugar se combina de forma especialmente ventajosa con el módulo de salida 14 descrito anteriormente, que presenta el mismo entradas 14e para sensores 16 o el interruptor 16a, porque entonces todos los recorridos de conmutación, incluso los datos relevantes para conservar, son importantes y por tanto posibilitan un tiempo de respuesta especialmente corto.

Por la distribución de las tareas lógicas individuales sobre el módulo de salida 14 se producen pequeñas unidades lógicas (módulo de evaluación lógico), que con poco despliegue técnico y pocos costes de fabricación puede llevar a cabo tareas de sistema incluso complejas. Se produce una alta granularidad, que posibilita al usuario emplear en todo momento los componentes óptimos para él, esto es sensores 16 y actuadores 18 y así aprovechar la potencia de un sistema de control de seguridad 10 modular programable con sus posibilidades de reconstrucción y ampliación sencillas.

Los altos costes de instalación para tareas pequeñas en caso de un dispositivo de conmutación de seguridad modular conocido convencional se reducen a una medida adecuada para la tarea. Así el usuario puede llevar a cabo con sólo un sistema modular las tareas de seguridad de su ancho espectro de máquina. El espectro del usuario va desde funciones de seguridad sencillas, como por ejemplo una parada de emergencia hasta funciones de seguridad complejas que se relacionan entre sí, como la seguridad de acceso por medio de escáner láser y la monitorización de estado de reposo de los motores. Asimismo no tienen que ser empleadas por el usuario tecnologías diferentes, ni entrenadas, ni mantenidas. Esto disminuye los costes de personal, reduce los errores de aplicación y reduce el almacenamiento. El dispositivo de conmutación de seguridad 10 cubre el espectro de aplicación que va desde relés de seguridad hasta sistemas de control libremente programables de forma óptima en cuanto a costes. Otra ventaja consiste en el tiempo de respuesta reducido del sistema. Así pueden ser procesadas señales de entrada críticas en el tiempo directamente y en un tiempo óptimo por el módulo de salida 14 y ser asignadas a los actuadores 18 conectados inmediatamente. La evaluación que debe realizar el control 20 del módulo de salida está hecha a medida de los actuadores 18, por tanto puede ser realizada con menos esfuerzo y más rápidamente que sólo en una unidad de control central. Además, el tiempo de respuesta no se prolonga cuando el dispositivo de conmutación de seguridad 10 es ampliado por añadir módulos 12, 14 adicionales.

Por un procesamiento paralelo en la evaluación la complejidad se distribuye al control central 28 y al control 20 de módulo de salida. Así puede ser diferenciado también según el sensor 16 que sirve de base. Una cámara de seguridad necesita por ejemplo mucha potencia de cálculo local que proporcionen uno o varios controles 20 de módulo de salida y el control central 28, en el que precisamente las operaciones críticas en el tiempo al menos reforzadas permanecen en el control 20 del módulo de salida dispuesto en la proximidad inmediata. Por otra parte, hay "evaluaciones maestras", como por ejemplo una parada de emergencia general, que se puede asignar al control central 28. De esta forma las tareas de evaluación son distribuidas ventajosamente para el procesamiento en paralelo.

Aún cuando las características de la invención han sido descritas en relación con una forma de realización, la invención comprende también otras combinaciones de las características descritas. Esto es válido en especial para los módulos que están diseñados para ser intercambiables.

Claims (21)

1. Dispositivo de conmutación de seguridad (10) modular, que presenta al menos un módulo de salida (14) y un control central (28) unido a todos los módulos de salida (14) a través de un bus (22), y que constituye un módulo de control, en el que el módulo de salida (14) está realizado para la recepción de datos de entrada de al menos un sensor (16) o interruptor (16a) y tiene al menos una salida (14b) para un actuador (18), estando realizado el control central (28) para la recepción de al menos una parte de los datos de entrada y para evaluarlos para la determinación de datos de salida en la salida (14b), caracterizado porque el módulo de salida (14) presenta su propio control (20) de módulo de salida que está realizado para la evaluación compleja de los datos de entrada de un sensor de monitorización, siendo este sensor de monitorización capaz de determinar tamaños de objetos, posiciones de objetos y movimientos de objetos detectados como modelos de señal dependientes del tiempo, estando el módulo de control de salida (20) realizado junto con el control central (28) para la determinación por medio de funciones lógicas de seguridad complejas de los datos de salida en la salida (14b) y porque el control (20) de modulo de salida puede transmitir una señal de desconexión instantánea a un actuador (18) asociado.

2. Dispositivo de conmutación de seguridad (10) según la reivindicación 1, en el que el control (20) del módulo de salida es configurable para la evaluación.

3. Dispositivo de conmutación de seguridad (10) según la reivindicación 2, en el que la configuración está almacenada en una unidad de memoria del módulo de salida (14) respectivo o en el control central (28) y esta unidad de memoria es, en particular, recambiable.

4. Dispositivo de conmutación de seguridad (10) según la reivindicación 3, en el que la unidad de memoria está unida al control (20) de módulo de salida o al control central (28) por medio de un transpondedor.

5. Dispositivo de conmutación de seguridad (10) según una de las reivindicaciones anteriores, en el que el sensor (16) es un sensor de monitorización, en particular, un escáner láser o una cámara de seguridad, una barrera de luz, una rejilla de luz o un escáner láser, el interruptor (16a) es un interruptor de parada de emergencia o un interruptor de puerta y el actuador (18) es un dispositivo de desconexión para una máquina o un dispositivo de alarma y el control (20)
de módulo de salida puede ser configurado para la evaluación de uno o más de estos sensores (16) y/o actuadores (18).

6. Dispositivo de conmutación seguridad (10) según una de las reivindicaciones anteriores, en el que está previsto al menos un módulo de entrada (12), que presenta entradas (12a) para sensores (16) y/o interruptores (16a) y en el que cada módulo de entrada (12) está unido a al menos uno de los módulos de salida (14) por medio del bus (22) o por medio de conexiones (12b-d) configurables.

7. Dispositivo de conmutación de seguridad (10) según una de las reivindicaciones anteriores, en el que el módulo de salida (14) presenta entradas para sensores (16) y/o interruptores (16a).

8. Dispositivo de conmutación de seguridad (10) según una de las reivindicaciones anteriores, en el que está previsto un módulo de pasarela (24) a través del cual los módulos de entrada (12), los módulos de salida (14) y/o el módulo de control (28) están unidos a un bus externo (26), en particular un bus de campo, y estando el bus externo unido a un control externo (30).

9. Dispositivo de conmutación de seguridad (10) según la reivindicación 8, en el que el control central (28) o el control externo (30) está realizado para un test de funcionamiento de los módulos (12, 14) y de los sensores (16) conectados.

10. Dispositivo de conmutación de seguridad (10) según la reivindicación 8 ó 9, en el que el control externo (30) está realizado para un control externo de uno o varios actuadores (18), en el que el control actúa sólo sobre el actuador (18) cuando el control central (28) y/o el control (20) del módulo de salida acepta el control de un módulo de salida (14) asociado al actuador (18).

11. Dispositivo de conmutación de seguridad (10) según una de las reivindicaciones 8 a 10, en el que una señal de conmutación del control (20) del módulo de salida puede actuar en el actuador (18) asociado sólo después de una liberación por parte del control central (28) y/o del control externo (30).

12. Dispositivo de conmutación de seguridad (10) según una de las reivindicaciones anteriores, en el que el control (20) de módulo de salida está realizado para una evaluación diversa y/o redundante distribuida al control central (28).

13. Dispositivo de conmutación de seguridad (10) según una de las reivindicaciones anteriores, en el que el módulo de entrada (12), el módulo de salida (14), el control central y el bus (22) están diseñados para ser seguros frente a averías por una realización de doble canal.

14. Dispositivo de conmutación de seguridad (10) según una de las reivindicaciones anteriores, en el que cada módulo (12, 14, 24, 28) está dispuesto es una carcasa de un tipo similar con, respectivamente, un enchufe y un zócalo para la interconexión.

15. Dispositivo de conmutación de seguridad (10) según una de las reivindicaciones anteriores, en el que el control (20) de módulo de salida y/o el control central (28) pueden ser configurados por medio de un interruptor giratorio o un elemento de mando.

16. Dispositivo de conmutación de seguridad (10) según una de las reivindicaciones anteriores, en el que el módulo de salida (14) y/o el control central (28) presentan una conexión para un teléfono móvil, un ordenador o una PDA, por medio de la cual el control (20) de módulo de salida y/o el control central (28) pueden ser configurados a través de una interfaz gráfica.

17. Dispositivo de conmutación de seguridad (10) según la reivindicación 16, en el que la conexión es una conexión fija, como por ejemplo una interfaz serie o una conexión sin hilos, en particular a través de bluetooth, wLan, GSM, UMTS o infrarrojos.

18. Dispositivo de conmutación de seguridad (10) según una de las reivindicaciones anteriores, en el que el control central (28) y/o el control (22) de módulo de salida presentan un servidor de web.

19. Procedimiento de conmutación de seguridad por medio de una serie de módulos unidos entre sí a través de un bus (22) formada por al menos un módulo de salida (14) y un módulo de control (28), en el que el módulo de salida (14) recibe datos de entrada de al menos un sensor (16) o interruptor (16a) y conmuta o no conmuta un actuador (18), en el que al menos una parte de los datos de entrada son recibidos por el módulo de control (28), allí son evaluados y el resultado de la evaluación es devuelto al módulo de salida (14), caracterizado porque el módulo de salida (14) presenta su propio control (30) que determina los datos de entrada de un sensor de monitorización (16), los tamaños de los objetos detectados, las posiciones de los objetos y los movimientos de los objetos como modelos de señal dependiente del tiempo y los evalúa por medio de funciones de lógica de seguridad complejas, y porque el módulo de control (20) dependiendo de la evaluación compleja emite una señal de conmutación instantánea a un actuador (18) asociado.

20. Procedimiento de conmutación de seguridad según la reivindicación 19, en el que es configurada la evaluación del control (20) de módulo de salida y del módulo de control (28).

21. Procedimiento de conmutación de seguridad según la reivindicación 19, en el que la evaluación por teléfono móvil, ordenador o PDA es configurada por medio de una interfaz gráfica, en particular sin hilos o por medio de un servidor de web del módulo de salida (14) y/o del módulo de control (28).