Dispositivo de entrada de una unidad de seguridad.

Una unidad (1A) esclava de seguridad adaptada para ser conectada a una pluralidad de dispositivos de entrada (4),

para recibir, procedentes de los dispositivos de entrada cuando está conectada a ellos, señales de entrada y para ser conectada a un controlador (2) de seguridad a través de una red (3) de manera que transmita las señales de entrada a un maestro de comunicación del controlador (2) de seguridad, comprendiendo la unidad (1A) esclava de seguridad:

una parte (101) de terminal de entrada que tiene una pluralidad de terminales de entrada adaptado cada uno para recibir una señal de entrada que tiene un valor lógico bruto procedente de un dispositivo de entrada (4) conectado de manera correspondiente que es activado cuando existe un peligro, en que el valor lógico bruto indica la presencia o ausencia de activación del dispositivo de entrada (4) conectado de manera correspondiente; y

una parte (102) de diagnóstico de error que diagnostica un error de corte o de cortocircuito de cableados entre cada terminal de entrada y el dispositivo de entrada (4) conectado de manera correspondiente, y genera, para cada terminal de entrada, datos de estado de diagnosis que tienen un valor lógico "Alto" durante la ausencia del error y un valor lógico "Bajo" durante la presencia del error; y

un medio de tratamiento (103) adaptado para convertir, para cada terminal de entrada, la señal de entrada dada al terminal de entrada correspondiente en datos de mando que tiene un valor lógico que refleja el valor lógico bruto, caracterizado porque

el valor lógico de los datos de control es cambiado obligatoriamente, independientemente del valor lógico bruto de la señal de entrada dada al terminal de entrada correspondiente, al valor lógico correspondiente a la presencia de activación del dispositivo de entrada (4) conectado de manera correspondiente cuando los datos de estado de diagnóstico del terminal de entrada son un "Bajo" lógico, y el valor lógico de los datos de control no es cambiado cuando los datos de estado de diagnosis del terminal de entrada son un "Alto" lógico; y

una parte (104) de transmisión de datos adaptada para transmitir, a dicho maestro de comunicación de dicho controlador (2) de seguridad cuando está conectado, un par del valor lógico de los datos de control y del valor lógico de los datos de estado de diagnosis correspondientes; en el que

el esclavo (1A) de seguridad está adaptado para ejecutar un tratamiento inicial después de que la alimentación del esclavo (1A) de seguridad sea activada, en el que para cada terminal, el valor lógico de los datos de estado de diagnosis es establecido inicialmente a "Bajo" de manera que el valor lógico de los datos de control sea obligatoriamente establecido al valor lógico correspondiente a la presencia de activación del dispositivo de entrada (4) conectado de manera correspondiente.

Dispositivo de entrada de una unidad de seguridad

ANTECEDENTES DEL INVENTO

1. Campo del Invento

El presente invento se refiere a un dispositivo de entrada de una unidad de seguridad preferible como un medio de entrada de la unidad de seguridad tal como un controlador de seguridad y un terminal de seguridad remoto.

2. Descripción de la Técnica Relacionada

Se ha desarrollado una variedad de controladores de seguridad con una conciencia intensificada actualmente para trabajar con seguridad. El controlador de seguridad asegura una alta fiabilidad incorporando una función de autodiagnóstico para la seguridad además de una función de operación aritmética lógica similar al controlador programable general (PLC) y a la función de control de I/O. Este controlador de seguridad tiene una función de controlar el lado de seguridad obligatoriamente de modo que impida que su propio control lleve a un peligro si se ha detectado una anormalidad como un resultado de la auto-diagnosis. Más específicamente, la seguridad mencionada aquí incluye una norma de seguridad especificada. La norma incluye por ejemplo, la IEC61508, una norma EN y similar. La norma IEC61508 (Comisión Electrotécnica Internacional relativa a la seguridad funcional de un sistema electrónico programable) ha definido el peligro de la probabilidad de fallo por hora (probabilidad de fallo por hora) y ha clasificado el nivel de integridad de seguridad (SIL) en cuatro etapas dependiendo de esta probabilidad. La EN (Norma Europea) evalúa la gravedad del riesgo de máquina y obliga a tomar una medida que reduzca el riesgo y la EN954-1 estipula cinco categorías de seguridad. El controlador de seguridad del presente invento satisface cualquiera de estas normas de seguridad.

Desde antes, es bien conocido un sistema de control de seguridad en el que un controlador 2 de seguridad y un esclavo 1 de seguridad están conectados con una red 3 como se ha mostrado en la fig. 11. El esclavo 1 de seguridad asegura una alta fiabilidad incorporando una función de auto-diagnóstico tanto para la entrada como para la salida además de la misma función que un esclavo en un PLC corriente. El controlador 2 de seguridad tiene la función maestra de comunicación de ejecutar una comunicación con el esclavo 1 de seguridad a través de la red y es llamado a veces maestro de seguridad. El esclavo 1 de seguridad es llamado a veces terminal de seguridad remoto y tiene una función de comunicación de red (función de esclavo controlado por el maestro) con la función maestra de comunicación del controlador 2 de seguridad. El esclavo de seguridad tiene un terminal de conexión y al menos uno de un dispositivo de entrada tal como un interruptor para emitir la señal ACTIVADO/DESACTIVADO y un dispositivo de salida que actúa como un destino de salida de la señal de control está conectado a ese terminal de conexión (aunque la fig. 11 muestra un ejemplo del dispositivo de salida mientras un interruptor SW de parada de emergencia está conectado al mismo, una cortina o persiana, un interruptor de puerta, un interruptor de 2 manos y similar pueden estar conectados. Se ha omitido la representación del dispositivo de salida. El dispositivo de salida incluye un relé de seguridad, contactor y similar) . Estos dispositivos de entrada y salida cumplen con las normas de seguridad. El esclavo de seguridad genera datos de control basándose en una señal introducida desde un dispositivo de aplicación de seguridad conectado y transmite los datos de control generados al controlador de seguridad a través de la red. El esclavo de seguridad recibe los datos de control desde el controlador de seguridad mediante comunicación con el controlador de seguridad a través de la red. A continuación, el controlador 2 de seguridad recibe una señal de entrada desde un dispositivo de entrada introducida desde el esclavo 1 de seguridad a través de comunicación por red, ejecuta la operación lógica de ACTIVADO/DESACTIVADO de la señal de entrada de acuerdo con un programa lógico almacenado preliminarmente y emite una señal de salida basándose en un resultado de la operación lógica al esclavo 1 de seguridad a través de comunicación por red. El esclavo de seguridad emite la señal de salida a un dispositivo de salida. Como resultado de ejecutar tal serie de operaciones repetidamente, el controlador de seguridad controla el sistema completo. El ciclo de comunicación entre el controlador 2 de seguridad y el esclavo 1 de seguridad puede ser síncrono con el ciclo de ejecución repetitivo del controlador de seguridad o puede ser asíncrono. El dispositivo de salida está conectado a un robot operativo, a una máquina de tratamiento, a una herramienta de corte o similar y cuando el relé de seguridad del dispositivo de seguridad o un punto del contactor es ACTIVADO, el robot operativo es accionado y cuando el punto de contacto es DESACTIVADO, el robot operativo es detenido. El controlador de seguridad controla el robot operativo o similar como un objeto de control controlando el ACTIVADO/DESACTIVADO del dispositivo de salida. Es decir, si el controlador 2 de seguridad ha sido notificado de que el interruptor SW de parada de emergencia es hecho funcionar apropiadamente cuando controla un objeto de control (no mostrado) por el esclavo de seguridad a través de comunicación, DESACTIVA el dispositivo de salida o controla el estado al lado de seguridad, obligatoriamente, con el fin de impedir que el objeto de control realice una acción peligrosa de modo que adopte una medida de seguridad necesaria inmediatamente. Además si el controlador de seguridad recibe un resultado de diagnóstico que indica que el interruptor SW de parada de emergencia u otro dispositivo de entrada (no mostrado) tiene un error cuando controla un objeto de control (no mostrado) , desactiva el dispositivo de salida o controla el estado al lado de seguridad, obligatoriamente, para detener la operación del objeto de control con el fin de impedir que el objeto de control realice una acción peligrosa independientemente de si el interruptor SW de parada de emergencia es accionado o el dispositivo de entrada es ACTIVADO/DESACTIVADO, de modo que se adopte una medida de seguridad necesaria inmediatamente.

En el sistema de control de seguridad de tipo maestro/esclavo en el que el controlador de seguridad es un puesto maestro de comunicación y el esclavo de seguridad es un puesto esclavo de comunicación como se ha mostrado en la fig. 11, si un resultado de diagnóstico que indica que un terminal de entrada al que está conectado un interruptor (SW) de aplicación de seguridad que cumple la norma de seguridad tiene un error como resultado de la operación de la función de auto-diagnóstico del esclavo 1 de seguridad, se adoptan algunas contramedidas selectivamente por el lado del esclavo de seguridad con el fin de garantizar la seguridad de la operación en el lado del maestro de seguridad.

Una primera contramedida en el lado del esclavo de seguridad es establecer el valor de los datos de control (datos de entrada cuya seguridad está asegurada) que han de ser transmitidos al maestro 2 de seguridad correspondiente al terminal para DESACTIVAR (“BAJO”) obligatoriamente y transmitir DESACTIVADO (“BAJO”) al controlador 2 de seguridad. Una segunda contramedida es bloquear los datos de control erróneo que están siendo transmitidos al controlador de seguridad cortando la comunicación a través de la red.

De acuerdo con la primera contramedida, si se ha diagnosticado que el interruptor (SW) de aplicación de seguridad tiene un error en el lado del esclavo 1 de seguridad, el valor de los datos de control correspondiente al interruptor (SW) de aplicación de seguridad es obligatoriamente establecido al estado DESACTIVADO (“BAJO”) del mismo modo que cuando el interruptor de aplicación de seguridad es apretado y por consiguiente, el lado del controlador 2 de seguridad que recibe los datos de control puede adoptar inmediatamente una medida de seguridad necesaria.

Sin embargo, de acuerdo con la primera contramedida, el lado del maestro 2 de seguridad no puede determinar si cuando el valor de los datos de control está en estado DESACTIVADO (”BAJO”) , está en el estado DESACTIVADO (“BAJO”) como resultado de que el interruptor (SW) de aplicación de seguridad está siendo apretado realmente o está en estado DESACTIVADO (“BAJO”) como resultado de estar obligatoriamente establecido al estado porque el resultado del diagnóstico indica que existe un error. Por ello, el lado del maestro de seguridad que recibe los datos de control tiene un problema tal que no puede adoptar una contramedida suficiente porque requiere tiempo y trabajo restaurar el sistema después eso. La razón es porque incluso si el... [Seguir leyendo]

1. Una unidad (1A) esclava de seguridad adaptada para ser conectada a una pluralidad de dispositivos de entrada (4) , para recibir, procedentes de los dispositivos de entrada cuando está conectada a ellos, señales de entrada y para ser conectada a un controlador (2) de seguridad a través de una red (3) de manera que transmita las señales de entrada a un maestro de comunicación del controlador (2) de seguridad, comprendiendo la unidad (1A) esclava de seguridad:

una parte (101) de terminal de entrada que tiene una pluralidad de terminales de entrada adaptado cada uno para recibir una señal de entrada que tiene un valor lógico bruto procedente de un dispositivo de entrada (4) conectado de manera correspondiente que es activado cuando existe un peligro, en que el valor lógico bruto indica la presencia o ausencia de activación del dispositivo de entrada (4) conectado de manera correspondiente; y

una parte (102) de diagnóstico de error que diagnostica un error de corte o de cortocircuito de cableados entre cada terminal de entrada y el dispositivo de entrada (4) conectado de manera correspondiente, y genera, para cada terminal de entrada, datos de estado de diagnosis que tienen un valor lógico "Alto" durante la ausencia del error y un valor lógico "Bajo" durante la presencia del error; y

un medio de tratamiento (103) adaptado para convertir, para cada terminal de entrada, la señal de entrada dada al terminal de entrada correspondiente en datos de mando que tiene un valor lógico que refleja el valor lógico bruto, caracterizado porque el valor lógico de los datos de control es cambiado obligatoriamente, independientemente del valor lógico bruto de la señal de entrada dada al terminal de entrada correspondiente, al valor lógico correspondiente a la presencia de activación del dispositivo de entrada (4) conectado de manera correspondiente cuando los datos de estado de diagnóstico del terminal de entrada son un "Bajo" lógico, y el valor lógico de los datos de control no es cambiado cuando los datos de estado de diagnosis del terminal de entrada son un "Alto" lógico; y

una parte (104) de transmisión de datos adaptada para transmitir, a dicho maestro de comunicación de dicho controlador (2) de seguridad cuando está conectado, un par del valor lógico de los datos de control y del valor lógico de los datos de estado de diagnosis correspondientes; en el que el esclavo (1A) de seguridad está adaptado para ejecutar un tratamiento inicial después de que la alimentación del esclavo (1A) de seguridad sea activada, en el que para cada terminal, el valor lógico de los datos de estado de diagnosis es establecido inicialmente a "Bajo" de manera que el valor lógico de los datos de control sea obligatoriamente establecido al valor lógico correspondiente a la presencia de activación del dispositivo de entrada (4) conectado de manera correspondiente.