ES2929014T3 - Procedimiento para programar un control de seguridad - Google Patents

Abstract

Un método para programar un controlador de seguridad (1), diseñado para encender y apagar de forma segura un consumidor eléctrico de acuerdo con una normativa de seguridad, con entradas de conmutación (24, 26, 28, 30, 104, 106, 108, 110) y/ o las salidas de conmutación (32, 34, 36, 38) del controlador de seguridad (1) están unidas lógicamente, con las entradas de conmutación (24, 26, 28, 30, 104, 106, 108, 110) que comprenden dos entradas de conmutación de señal analógica (104, 106, 108, 110), está destinado a permitir el procesamiento de señales analógicas y su combinación lógica compleja con una baja probabilidad de errores durante la programación. Para ello, la operación lógica comprende un módulo de funciones (120) que tiene al menos dos entradas (122, 124), cada una de las cuales está diseñada para recibir una señal de entrada preprocesada de una de las entradas de conmutación de señales analógicas (104, 124). 106, 108, 110), con un primer Ratio para las señales presentes en las entradas (122, 124), y el módulo de función (120) tiene una salida (126), cuya señal se forma en función de la primera relación especificada. (Traducción automática con Google Translate, sin valor legal)

Description

DESCRIPCIÓN

Procedimiento para programar un control de seguridad

La invención se refiere a un procedimiento para programar un control de seguridad que está concebido para conectar y desconectar un consumidor eléctrico de forma segura de acuerdo con una norma de seguridad y en el que entradas de conmutación y/o salidas de conmutación del control de seguridad se vinculan lógicamente y en el que las entradas de conmutación comprenden dos entradas de conmutación de señal analógica.

Los controles de seguridad se usan principalmente en el sector industrial para conectar y desconectar de forma segura consumidores eléctricos que entrañen un potencial de peligro para las personas y los materiales. Estos consumidores eléctricos son, por ejemplo, prensas, herramientas de fresado, quemadores, etc. Para ello, el suministro de corriente para el consumidor eléctrico es controlado a través de las salidas de conmutación del control de seguridad, que están concebidas para cumplir con las normas y certificaciones de seguridad pertinentes con respecto a la seguridad funcional (EN ISO 13849, EN/IEC 61508, EN/IEC 61511, EN/IEC 62061, etc.). Para ello, los circuitos internos suelen estar realizados típicamente de forma redundante, por ejemplo, los de conexión y desconexión del consumidor eléctrico a través de dos relés conectados en serie y controlados por circuitos eléctricos separados.

Los controles de seguridad habitualmente presentan un número de entradas y salidas de conmutación para la conexión de los contactos de trabajo de un elemento de conmutación de seguridad. El elemento de conmutación de seguridad puede ser, por ejemplo, un conmutador de parada de emergencia, un sistema de supervisión de posición, por ejemplo, de una puerta de seguridad, una barrera de luz, una estera de conmutación, etc. El elemento de conmutación de seguridad tiene habitualmente una posición "segura", por ejemplo, barrera de luz no interrumpida, es decir, ninguna persona en la zona de peligro, y una posición "no segura", por ejemplo, posición abierta de puerta de protección, es decir, peligro, que han de ser determinadas según la aplicación. Típicamente, el suministro de corriente al consumidor eléctrico debe interrumpirse cuando el elemento de conmutación de seguridad deja de estar en la posición "segura".

Los controles de seguridad frecuentemente también están estructurados de forma modular, de manera que se pueden conectar varios elementos de conmutación de seguridad de diferentes tipos. Además, pueden ser excitados varios consumidores eléctricos de forma selectiva. En este tipo de controles de seguridad de mayor tamaño, ya sean de estructura modular o no modular, ya no es viable la programación solo mediante conmutadores de ajuste manual. Por lo tanto, en estos casos, frecuentemente se recurre a la programación en un ordenador digital, como también se conoce, por ejemplo, del ámbito de los controles lógicos programables (PLC).

Dado que las entradas y salidas de señales suelen estar conmutadas con señales lógicas/binarias (por ejemplo, 24 V = lógico 1 / 0 V = lógico 0), la interfaz de programación proporciona bloques de funciones lógicos, por ejemplo, bloques simples como "Y" u "O", que a partir de dos o más valores de entrada binarios generan un único valor de salida, o bloques de funciones con valores de parámetros almacenados, que modifican una señal de entrada en función del respectivo valor de parámetro o generan una señal de salida predefinida a base del valor de parámetro.

Sin embargo, no todos los estados relevantes para la seguridad de un sistema pueden ser representados en señales de entrada digitales. A menudo la seguridad de un proceso depende de determinados parámetros como la temperatura, la densidad, etc. dentro del sistema. Para poder utilizar las señales correspondientes dentro de un control de seguridad, o bien se requieren aparatos adicionales para el preprocesamiento, lo que, sin embargo, supone una mayor complejidad en cuanto al hardware, o bien el control de seguridad debe equiparse con entradas de conmutación de señal analógica a través de módulos correspondientes o similares, que puedan leer en señales analógicas, es decir, generalmente valores de corriente o tensión.

De Klaus Kroner y col., "Luft/Gas-Verhaltnisregelung an industriellen Beheizungseinrichtungen", GASWÁRME International (55) No. 4/2006, (20060401), págs. 263 a 269 se conocen principios de evaluación de regulaciones de proporción. En el "User Manual for PLC Programming with CoDeSys 2.3 CoDeSys 2.3" se conocen principios de la programación de controles lógicos programables.

Ante estos antecedentes, la invención tiene el objetivo de proporcionar un procedimiento del tipo mencionado al principio, que haga posible el procesamiento de señales analógicas y su compleja vinculación lógica con una baja probabilidad de errores durante la programación.

Según la invención, este objetivo se consigue de tal forma que la vinculación lógica comprende un bloque de funciones que presenta al menos dos entradas que están realizadas respectivamente para recibir una señal de entrada preprocesada de una de las entradas de conmutación de señal analógica, en el que se predefine una primera relación para las señales presentes en las entradas, y el bloque de funciones presenta una salida, cuya señal es formada en función de la primera relación predefinida, y el comportamiento del bloque de funciones está representado por la ecuación

la ^{1 i i 1}

la, 2 ^{i i ,}

y en el que la salida es una salida digital, y en el que, en caso de un rebase por exceso o por defecto de la primera relación predefinida, es decir, en el caso del rebase por exceso, cuando la relación Ia1 * n2 > Ia2 * n1 se hace verdad y no lo era antes o, en el caso del rebase por defecto, cuando la relación Ia1 * n2 < Ia2 * n1 se hace verdad y no lo era antes, la salida cambia de valor y adopta un primer valor predefinido, representando Ia1 la primera señal de entrada analógica y representando Ia2 la segunda señal de entrada analógica y siendo n1 y n2 números enteros positivos.

La invención se basa en la consideración de que se podría lograr un procesamiento de señales analógicas y su compleja vinculación lógica, evitando errores durante la programación, si para este fin, en la interfaz de programación del control de seguridad, en la que tiene lugar la vinculación lógica de las señales de entrada con las señales de salida, se prevén también directamente bloques de funciones correspondientes para la evaluación de señales de entrada analógicas.

De esta manera, el procesamiento y la conversión de señales analógicas en señales lógicas y su posterior procesamiento también pueden realizarse dentro de la lógica dentro de una interfaz de programación de manera clara, de modo que se minimicen los errores.

Sin embargo, resulta el problema adicional de que en las interfaces de programación para controles de seguridad (al contrario de los PLC no funcionalmente seguros), no es posible una programación completamente libre, ya que no se puede comprobar cualquier programación en cuanto al cumplimiento de las normas y certificaciones de seguridad mencionadas. En su lugar, la programación debe realizarse con bloques de funciones predefinidos que pueden parametrizarse dentro de un marco predefinido. Los bloques de funciones individuales proporcionados en la interfaz gráfica de programación deben ser probados y certificados con su respectivo código de software generalmente por una entidad de certificación. Para cada nuevo bloque de funciones es necesaria una certificación de seguridad de este tipo.

Para reunir el requisito antes mencionado de minimizar la susceptibilidad a los errores durante el proceso de programación con el requisito de procesar señales analógicas y su compleja vinculación lógica de la forma más completa posible, deben definirse y proporcionarse por tanto bloques de funciones que sean adecuados para cumplir los requisitos del sistema en cuanto a la seguridad funcional, por un lado, y que también hagan posible la certificación correspondiente, por otro lado.

Ha resultado que esto es posible, en particular, mediante un módulo de comparación que compara las señales analógicas de dos entradas de señales analógicas y a partir de la comparación forma un valor para su posterior procesamiento. Un bloque de funciones de este tipo es especialmente flexible si se puede especificar una relación entre la primera señal y la segunda señal, es decir, si se puede depositar como parámetro en el bloque de funciones, sobre cuya base se crea el valor de salida. Un bloque de funciones de este tipo permite un uso flexible del control de seguridad en una multitud de aplicaciones.

El comportamiento del bloque de funciones está representado por la ecuación

la ^{1 %}

la ^{2 t i ,}

donde Ia1 representa la primera señal de entrada analógica e Ia2 representa la segunda señal de entrada analógica. n1 y n2 son números enteros positivos. La relación de las señales de entrada Ia1/Ia2 se compara con la relación de los números enteros parametrizados n1 y n2 y a partir de ello se genera de manera adecuada una señal de salida en una salida del bloque de funciones. La especificación de números enteros hace posible una parametrización especialmente sencilla en la interfaz de programación.

Además, la salida del bloque de funciones es una salida digital. Esto significa que la propia salida del bloque de funciones proporciona una señal digital, es decir, un 1 lógico o un 0 lógico, que puede ser utilizada y procesada en la programación lógica posterior, donde se generan finalmente señales de salida digitales para que los actuadores conmuten el consumidor eléctrico. El bloque de funciones constituye por tanto una posibilidad práctica y flexible de generar señales digitales a partir de señales de entrada analógicas. Por regla general, un valor digital corresponderá a un estado bueno, es decir, funcionalmente seguro, y el otro valor digital al estado malo, es decir, no seguro.

En caso de un rebase por exceso o por defecto de la primera relación predefinida, la salida del bloque de funciones cambia de valor y adopta un primer valor predefinido. En otras palabras: El estado de la salida del bloque de funciones se hace dependiente del rebase por exceso o por defecto de la relación parametrizada. De la transformación de la ecuación anterior en

la ^{i * b 2 =} Ia2 ^{* %}

resulta, por tanto, en el caso del rebase por exceso: Si la relación Ia1 * n2 > Ia2 * n i se hace verdad (y antes no lo era), la salida cambia de valor y adopta un primer valor, por ejemplo el valor 0 o BAJO (según la designación de los valores digitales). En el caso del rebase por defecto, por el contrario: Si la relación la l * n2 < Ia2 * n i se hace verdad (y antes no lo era), la salida cambia de valor y adopta un primer valor. Si la relación vuelve a adoptar el valor anterior durante el funcionamiento, es decir, si se revierte el rebase por exceso o por defecto, la salida puede volver a adoptar el valor opuesto (pero, dado el caso, no inmediatamente, véase más adelante en relación con la histéresis).

En otra realización ventajosa del procedimiento, también puede especificarse una ventana de relación que se utiliza para la determinación del valor de la salida. Para ello, se predefine de manera ventajosa una segunda relación, y la señal de la salida se forma además en función de la segunda relación predefinida.

Si la salida es una salida digital como la descrita anteriormente, en el caso de la definición de una ventana de relación de este tipo, en el caso del rebase por exceso de la primera relación predefinida o en el caso del rebase por defecto de la segunda relación predefinida, y adopta el primer valor predefinido. En otras palabras: Se parametrizan dos relaciones que difieren entre sí (respectivamente, de manera ventajosa, a través de una relación de números enteros), una de las cuales (la primera) es mayor que la otra (la segunda). De este modo, las relaciones parametrizadas forman una ventana de valores para la relación de las señales de entrada analógicas. El primer valor predefinido, por ejemplo ALTO/1 o estado bueno, solo se genera si la relación de las señales de entrada analógicas está dentro de la ventana, es decir, si no se supera una primera relación configurable (n1/n2) y no se rebasa por defecto una segunda relación (n3/n4). En cuanto se sobrepasa la primera relación n1/n2 o no se alcanza la segunda relación n3/n4, la salida cambia de valor.

En otra realización ventajosa del procedimiento, la "conmutación hacia atrás" al valor anterior tiene lugar después de una reversión de la superación de la primera relación con corrección por una histéresis definida. En otras palabras: Después del rebase por exceso o por defecto de la primera relación predefinida (y el cambio de valor relacionado, véase más arriba), de manera ventajosa la salida solo vuelve a cambiar de valor después del rebase por defecto de la primera relación predefinida menos un primer valor de histéresis predefinido (en el caso del rebase por exceso anterior), o solo después del rebase por exceso de la primera relación predefinida más un primer valor de histéresis predefinido (en el caso del rebase por defecto anterior). Si la salida cambia de valor, por ejemplo, al estado malo después del rebase por exceso de la relación n1/n2, este cambio no se revierte inmediatamente en caso de un nuevo rebase por defecto de la relación, sino solo después del rebase por defecto de un valor n1/n2 - x.

Lo mismo ocurre en el caso de la definición de dos relaciones en forma de ventana: De manera ventajosa, después de un rebase por defecto de la segunda relación predefinida, la salida solo vuelve a cambiar de valor después del rebase por exceso de la segunda relación predefinida más un segundo valor de histéresis predefinido. Los valores de histéresis pueden ser independientes o iguales.

En una realización particularmente ventajosa, el primer o el segundo valor de histéresis se indican como porcentaje de la primera o la segunda relación, respectivamente. Por lo tanto, si para la relación n1/n2 se especifica una histéresis del 10%, el valor de la salida no se restablece al valor anterior tras rebasar por exceso n1/n2 hasta que la relación rebase por defecto la relación 0,9*n1/n2. Esta indicación porcentual hace posible una programación especialmente sencilla y sin errores.

En otra realización ventajosa, el primer valor predefinido corresponde a un estado malo y se realiza una prueba de plausibilidad para determinar si el valor de la primera relación predefinida es mayor que el valor de la segunda relación predefinida. Esta prueba de plausibilidad proporciona una medida de seguridad adicional durante la programación: Si se especifica una ventana dentro de la cual debe situarse el valor de la relación analógica registrada, se comprueba automáticamente si la relación configurada para un rebase por exceso (es decir, el estado malo de la salida en caso de rebase por exceso) es realmente mayor en valor que la relación configurada para un rebase por defecto. Si no es el caso, se emite un error y/o no se permite la programación para el usuario de esta manera.

En una realización ventajosa del procedimiento, las señales analógicas registradas por las entradas de conmutación de señal analógica indican flujos másicos de gas o de aire. Precisamente en el ámbito de la medición de los flujos másicos de aire y gas, el bloque de funciones descrito ofrece ventajas particulares en la programación, ya que en los quemadores el flujo másico de aire/oxígeno debe estar siempre en una relación con el flujo másico de gas que pueda encenderse con seguridad y que garantice una combustión estable y segura en cada quemador individual en todo el rango de funcionamiento. La norma de producto EN 746-2 exige una función de seguridad del control de relación en una instalación de termoprocesamiento. Mediante el procedimiento y el bloque de funciones descritos, esta supervisión de relación segura puede integrarse en un control de seguridad, eliminando la necesidad de componentes separados.

Un producto de programa de ordenador que puede cargarse directamente en la memoria interna de un ordenador digital con una pantalla comprende de manera ventajosa secciones de código de software que, cuando se ejecutan en el ordenador, permiten a este ejecutar el procedimiento según una de las reivindicaciones anteriores, siendo visualizada la interfaz gráfica de usuario de manera ventajosa en la pantalla del ordenador. Un producto de programa de ordenador es un software de programación que, por medio del hardware del ordenador, como la pantalla y las interfaces, permite la creación de una programación mediante la representación gráfica descrita de las entradas y salidas de conmutación del control de seguridad y proporciona las herramientas correspondientes para la creación de vinculaciones lógicas con los bloques de funciones descritos.

De manera ventajosa, un producto de programa de ordenador de este tipo está cargado a una la memoria interna de un ordenador digital. Dicho ordenador puede ser un ordenador personal habitual, pero con una interfaz adecuada también es posible adaptar dicho software para tabletas o incluso smartphones. También otro tipo de sistemas propietarios pueden estar equipados con el software correspondiente. Todos estos sistemas se reúnen bajo el término de ordenador digital.

Un producto de programa de ordenador que puede cargarse directamente en la memoria interna de un control de seguridad comprende de manera ventajosa secciones de código de software creadas por medio del procedimiento descrito. A este respecto, la programación creada por medio del software para el ordenador digital se carga en la memoria del control de seguridad para que pueda funcionar de forma independiente y autónoma.

Un control de seguridad concebido para la conexión y desconexión de un consumidor eléctrico de forma segura de acuerdo con una norma de seguridad está programado de manera ventajosa con el procedimiento descrito.

Las ventajas logradas con la invención consisten en particular en que, proporcionando un bloque de funciones que según una relación de señales analógicas y el rebase por exceso o por defecto de relaciones límite definidas genera una señal digital, se puede integrar una multiplicidad de objetivos en un control de seguridad con entradas de señales analógicas y se puede prescindir de dispositivos / componentes separados. Dado que el procesamiento de las señales analógicas se parametriza y se programa en la misma interfaz de programación que la vinculación lógica posterior, se reduce la complejidad y se minimizan las fuentes de error.

Un ejemplo de realización de la invención se explica con más detalle con referencia a los dibujos. En este muestran:

la figura 1 una representación esquemática de un control de seguridad modular,

la figura 2 una representación esquemática del control de seguridad modular en un modo de funcionamiento con un conmutador redundante,

la figura 3 una representación esquemática del control de seguridad con un ordenador digital equipado para la programación,

la figura 4 una representación esquemática de una interfaz de programación para crear un diagrama lógico, la figura 5 una representación esquemática de un módulo analógico para el control de seguridad modular de entradas de señal para señales analógicas, y

la figura 6 una representación esquemática de un fragmento de la interfaz de programación para crear un diagrama de circuito lógico con la representación de un bloque de funciones para la supervisión de una relación de valores en las entradas de conmutación de señal analógica.

Las piezas idénticas están provistas de los mismos signos de referencia en todos los dibujos.

La figura 1 muestra esquemáticamente un control de seguridad 1 modular que comprende un módulo de cabeza 2, un módulo de expansión de entrada 4 y un módulo de expansión de salida 6 que a través de un bus posterior 8 están interconectados en términos de datos. En el módulo de cabeza 2 está dispuesta una unidad de control 10 central que procesa las señales de entrada y a partir de ello genera señales de salida. El control de seguridad 1 es un control lógico programable que adicionalmente está realizado de acuerdo con la norma EN ISO 13849-1, es decir, es funcionalmente seguro. Además de otras medidas, esto queda garantizado por la llamada redundancia supervisada, es decir, la unidad de control 2 comprende dos microcontroladores de funcionamiento redundante, no representados con más detalle, cuyos resultados son comparados permanentemente y son comprobados en cuanto a su coherencia.

El control de seguridad 1 presenta una multiplicidad de bornes 12 a 38, de los cuales seis bornes 12 a 22 están dispuestos en el módulo de cabeza 2, cuatro bornes 24 a 30 están dispuestos en el módulo de expansión de entrada 4 y cuatro bornes 32 a 38 están dispuestos en el módulo de expansión de salida 6. La unidad de control 10 puede controlar o recuperar cualquiera de los bornes 12 a 38 a través del bus posterior 8 y, dado el caso, unidades de procesamiento adicionales en los módulos de expansión 4, 6.

Los bornes 32 a 38 del módulo de expansión de salida 6 pueden conectarse por pares al suministro de corriente de un actuador que no se muestra con más detalle y que conmuta un consumidor eléctrico que tiene un potencial de peligro y que, por lo tanto, debe desconectarse de forma segura. Para ello, en la conexión entre los bornes 32, 34 o 36, 38 están conectados en serie dos relés 40, 42 o 44, 46. Para mantener el flujo de corriente, ambos relés 40, 42 o 44, 46 deben estar en estado cerrado, es decir, que son redundantes. Los relés 40, 42 o 44, 46 son controlados independientemente por los microcontroles redundantes de la unidad de control 10.

Para interrumpir o al menos influir en el funcionamiento del consumidor eléctrico en caso de peligro, pueden conectarse al control de seguridad 1 diversos transmisores, mostrados a modo de ejemplo en la siguiente la figura 2 pero no en la figura 1. Pueden ser, por ejemplo, conmutadores de parada de emergencia, barreras de luz, conmutadores de posición de puertas, etc. Para conectar estos transmisores, el control de seguridad 1 presenta, además de los bornes 24 a 30 en el módulo de expansión de entrada 4, también los bornes 12 a 22 que pueden suministrar corriente a los transmisores. En el ejemplo de la realización, en algunos de estos bornes 12 a 22 está siempre presente una pequeña tensión continua positiva, aunque esto no es obligatorio, por ejemplo, en el caso de las llamadas salidas de colector abierto o triestado. Alternativamente, en otros de estos bornes 12 a 22 también pueden estar previstas señales de prueba con impulsos de comprobación cíclicos, pulsados para la comprobación de conducción y de cortocircuito, que ajustan respectivamente durante una corta duración 0 voltios por encima de la tensión básica obtenida por otro lado. Alternativamente, los impulsos de comprobación también pueden ser emitidos en respuesta a un disparador como, por ejemplo, una solicitud de comprobación iniciada manual o automáticamente. Todos los bornes 12 a 38 pueden estar realizados de forma discrecional en el lado del hardware, por ejemplo, como bornes roscados o de resorte.

La figura 2 muestra un ejemplo de aplicación del control de seguridad 1 en el estado bueno. Para mayor claridad, no se muestran todas las partes del control de seguridad 1 y solo se muestra un fragmento del control de seguridad.

La figura 2 muestra un conmutador de parada de emergencia 48 que comprende dos canales redundantes con dos conmutadores 50, 52 conectados mecánicamente. Los conmutadores 50, 52 son equivalentes, es decir, ambos están cerrados en el estado bueno y abiertos en el estado de solicitud de función de seguridad. En este caso, el conmutador de parada de emergencia 48 está conectado al control de seguridad 1 de forma que el borne 16 está conectado al borne 26 a través de uno de los conmutadores 50, y el borne 14 está conectado al borne 24 a través del otro conmutador 52. En los bornes 24, 26, en caso de habilitación resulta la combinación de señales más, más, en el estado de solicitud de función de seguridad resulta la combinación de señales cero, cero. Otras combinaciones de señales indican un error. En estos dos últimos casos mencionados, una interrupción del suministro de corriente al circuito eléctrico vinculado al conmutador de parada de emergencia 48 respectivamente por la programación lógica que aún se explicará más adelante, por ejemplo entre los bornes 36 y 38, es iniciada en el módulo de expansión de salida 6.

El ejemplo de las figuras 1 y 2 sirve solo para ilustrar el funcionamiento del control de seguridad 1 y, por tanto, está muy simplificado. En realidad, el sistema será mucho más complejo, es decir, habrá muchos más módulos y módulos de otro tipo (por ejemplo, los llamados módulos de pasarela para interfaces hacia buses de campo), y habrá una multitud de otros bornes en diferentes módulos que pueden conmutar una multiplicidad de consumidores eléctricos y a los que se pueden conectar una multiplicidad de transmisores y actuadores de diversos tipos. Los bornes no tienen que cumplir necesariamente una sola función, sino que, dado el caso, también pueden utilizarse de forma variable como bornes de entrada o de salida.

La asignación de bornes y, por lo tanto, las combinaciones de señales que se esperan en los bornes, así como la vinculación lógica entre las señales del transmisor y del actuador, deben almacenarse en la unidad de control 10 del control de seguridad 1, de manera que inicie la desconexión de los consumidores eléctricos correctos en caso de la señalización correspondiente. Esto se hace transfiriendo una configuración correspondiente a un firmware depositado en la unidad de control 10. Dado que la configuración determina en última instancia todos los vínculos lógicos entre los transmisores y los actuadores, en lo sucesivo, para mayor facilidad, se denomina programa.

La creación de este programa se realiza en un ordenador digital 54 mostrado en la figura 3. El ordenador 54 presenta aparatos de entrada como un teclado 56 y un ratón 58, y una pantalla 60 como dispositivo de salida. Se conecta al control de seguridad 1 a través de una interfaz serie o paralela o, por ejemplo, a través de Ethernet. En el ordenador 54, un usuario crea el programa en una interfaz gráfica de programación sobre la base de la combinación prevista de transmisor y actuador, así como la vinculación lógica deseada, y a continuación, lo comprueba y lo transfiere a la unidad de control 10 del control de seguridad 1. En una forma de realización alternativa no mostrada, el ordenador digital 54 también puede estar realizado una tableta con pantalla táctil. Cuando en lo sucesivo en el ejemplo de realización se habla de un clic del ratón o de un movimiento del ratón, esto se realizaría en el caso de una tableta tocando y arrastrando correspondientemente el dedo.

En la figura 4 se muestra una interfaz de programación 62 representada en una pantalla 60. La interfaz de programación 62 presenta un primer área parcial 64 en la que están representados los bloques de funciones 66, 68, 70. Los bloques de funciones 66, 68, 70 están agrupados en tres grupos. El primer grupo comprende bloques de funciones 66, a los que está asignado respectivamente un transmisor, por ejemplo, un conmutador de parada de emergencia de un canal, un conmutador de parada de emergencia de dos canales, etc. Estos bloques de funciones 66 simbolizan una señal de entrada de un transmisor de este tipo, por lo que en la programación lógica la redundancia realizada en el lado del hardware (véase más arriba) ya no es visible para el usuario, ya que la supervisión de errores es realizada por el firmware del propio control de seguridad 1 incluso sin programación separada. El usuario solo debe definir en el marco de la programación qué efecto tiene el accionamiento de dicho transmisor. Así, en el caso del conmutador de parada de emergencia de dos canales mostrado en la figura 2, aunque comprende dos canales redundantes en términos reales, solo se mostraría una única señal de salida en la programación de la lógica en la interfaz de programación 62, que luego se sigue vinculando en la lógica.

En consecuencia, el segundo grupo de bloques de funciones 68 comprende tales símbolos que simbolizan las señales de salida a los actuadores. Lo anterior es válido aquí de forma análoga. Por último, el tercer grupo comprende los bloques de funciones 70, que son bloques lógicos. Pueden ser simples combinaciones lógicas como "Y" u "O", evaluadores más complejos como flip-flops, generadores de reloj o bloques de funciones 70 específicos de la aplicación para retardos de desconexión, presiones, etc. En ejemplos de realización no mostrados, los bloques de funciones 66, 68, 70 también pueden estar subagrupados según otros criterios de contenido.

El usuario selecciona ahora un bloques de funciones 66, 68, 70 en el marco de la programación lógica. La selección se realiza moviendo el puntero del ratón, no representado en detalle, hasta el bloques de funciones 66, 68, 70 deseado y un clic sencillo del ratón en el respectivo bloques de funciones 66, 68, 70 deseado. La selección mediante un clic del ratón da lugar a la creación de una instancia 72 a 84 del bloque de funciones 66, 68, 70, que se adhiere al puntero del ratón.

La instancia 72 a 84 se crea porque pueden requerirse varios bloques de funciones 66, 68, 70 y, por lo tanto, puede ser necesario seleccionar el mismo bloques de funciones 66, 68, 70, dado el caso, varias veces seguidas. La instancia 72 a 84 puede ser idéntica a la del bloque de funciones 66, 68, 70, pero no tiene por qué serlo. En el ejemplo de realización, las instancias 72 a 84 son significativamente más anchas y más planas que el bloques de funciones 66, 68, 70 para, dado el caso, representar texto en ellas, si es necesario. En algunas formas de realización, si el bloque de funciones 66, 68, 70 contiene un pictograma caracterizador, este pictograma también puede representarse en la instancia 72 a 84, posiblemente de forma ampliada o reducida.

Para la definición de la vinculación lógica sirve un diagrama lógico 88 representado en la segunda área parcial 86 de la interfaz de programación 62, creado por el programador utilizando las instancias 72 a 84. En el diagrama lógico 88, la programación se realiza mediante símbolos gráficos que se vinculan lógicamente mediante el trazado de líneas. Las señales de entrada de transmisores representados por instancias 72, 74, 76 de los símbolos del bloque de funciones 66 son procesadas por bloques lógicos en las instancias 78, 80 y procesadas en señales de salida para los actuadores representados por la instancia 84. El depósito de las instancias 72 a 84 se realiza una vez seleccionados los bloques de funciones 66, 68, 70 (véase más arriba) mediante un sencillo procedimiento de arrastrar y soltar. Mediante una simple conexión de las entradas y salidas de señal de cada bloque de funciones 66, 68, 70 a las líneas 90 a 100, las señales pueden ser transferidas como se desee. Mediante la selección y combinación hábil de los bloques de funciones 66, 68, 70 y la conexión correspondiente de las instancias 72 a 84, se genera por tanto un diagrama lógico 88 que define la lógica de conmutación. Adicionalmente, se determinan las asignaciones de bornes, es decir, para aquellos bloques de funciones 66, 68, 70 que deben recibir señales directas de bornes de entrada físicos o generar tales señales para bornes de salida físicos del control de seguridad 1, se determina mediante la correspondiente asignación de una designación de borne en cuanto a de qué borne debe recibirse la señal correspondiente o a qué borne debe enviarse.

Sin embargo, no todos los sistemas relevantes para la seguridad pueden ser comprobados con transmisores binarios como el conmutador de parada de emergencia 48 mostrado en la figura 2. A menudo es necesaria una supervisión segura (es decir, generalmente, también redundante) de las temperaturas, las corrientes, etc. Para ello, a menudo hay que prever sistemas separados para ello, lo que aumenta la complejidad de la supervisión. Por otro lado, esto se simplifica enormemente si el propio control de seguridad 1 puede adquirir y procesar señales de entrada analógicas. Para ello se dispone de un módulo analógico 102, que se muestra esquemáticamente en la figura 5 y que puede conectarse al control de seguridad 1 mostrado en la figura 1, a través del bus posterior 8.

El módulo analógico 102 está conectado a los demás módulos 2, 4, 6 a través del bus posterior 8 en el lado de los datos. Presenta cuatro bornes 104 a 110 como entradas de señal para señales analógicas. Esto significa que los bornes 104 a 110 no están diseñados para procesar, por ejemplo, señales de 24 V o pulsos de prueba, sino para detectar, por ejemplo, valores de corriente o tensión generados por sensores analógicos, como sensores de temperatura o similares.

En un ejemplo que no se muestra en detalle en los dibujos, el módulo analógico 102 y el control de seguridad 1 se utilizan para comprobar el flujo másico de aire y el flujo másico de gas hacia un quemador. La norma EN 746-2 exige aquí que el flujo másico de aire esté siempre en una relación con el flujo másico de gas que pueda encenderse de forma segura y garantice una combustión estable y segura en cada quemador individual en todo el rango de funcionamiento. Los fallos o el mal funcionamiento deben hacer que el sistema tienda a un mayor exceso de aire o que se produzca una desconexión por fallo si la relación aire/gas conduce a un estado inseguro.

Para ello, se conectan a los bornes 104 -110 sensores adecuados para medir los flujos másicos hacia el quemador. Los sensores (redundantes) se conectan a los bornes 104 y 106 para medir el flujo másico de aire hacia el quemador. Los sensores (también redundantes) se conectan a los bornes 108 y 110 para medir el flujo másico de gas hacia el quemador. Todos los sensores emiten una señal proporcional al flujo másico, en el ejemplo de realización una corriente entre 4 y 20 mA. De esta manera, el control de seguridad 1 dispone, a través del módulo analógico 102, de los flujos másicos de gas y aire, respectivamente de forma redundante.

Las señales generadas de esta manera deben ser procesadas posteriormente dentro de la lógica de la programación del control de seguridad 1. Para ello, en la interfaz de programación 62 se proporcionan módulos/bloques de funciones adecuados para este fin, que se muestran en la figura 6. En primer lugar, se proporcionan símbolos de bloques de funciones para entradas de conmutación de señal analógica redundantes en la primera área. La figura 6 muestra una sección del área derecha 86 de la interfaz de programación 62, a la que se han arrastrado dos instancias 112, 114 de estos símbolos de bloque de funciones. La primera instancia 112 ha sido parametrizada para evaluar las señales detectadas en los bornes 104, 106, es decir, el flujo másico de aire. La segunda instancia 114 se ha parametrizado de forma que evalúa las señales detectadas en los bornes 108, 110, es decir, el flujo másico de gas.

Como se ha explicado anteriormente, en la programación lógica, la redundancia realizada en el lado del hardware por los sensores presentes de forma duplicada ya no es evidente para el usuario, ya que la supervisión de errores, es decir, una desviación de los dos canales redundantes de los sensores redundantes respectivamente, es proporcionada por el firmware del propio control de seguridad 1. Por lo tanto, las salidas 116, 118 de las instancias 112, 114 solo proporcionan el valor analógico de la magnitud medida para la programación, es decir, aquí 4 a 20 mA. Además, hay que tener en cuenta que la redundancia de hardware mostrada solo es necesaria para categorías de seguridad especialmente altas. Para las categorías de seguridad inferiores, también puede ser suficiente una simple señalización con un solo sensor respectivamente.

Para utilizar un módulo analógico 102 y procesar las señales proporcionadas en las salidas 116, 118 en la programación lógica, se requieren ahora bloques de funciones, con los que las señales analógicas se convierten en señales digitales que puedan ser procesadas posteriormente de forma lógica. Dado que, a diferencia de los PLC no seguros, para ello no es posible la programación libre, sino que cada bloque de funciones más complejo debe ser probado y certificado en cuanto a su seguridad funcional, para ello es necesario disponer de una selección adecuada de bloques de funciones que cubra el mayor número posible de casos de aplicación.

El caso de aplicación descrito anteriormente y otros (por ejemplo, comprobaciones de temperatura) están cubiertos por el bloque de funciones representado como instancia 120 en la figura 6, que se explica con más detalle a continuación: El bloque de funciones tiene dos entradas 122, 124, que están conectadas con líneas 126, 128 respectivamente a las salidas 116, 118 de las instancias 112, 114. Así, las señales de los sensores analógicos son suministradas por tanto a las entradas 122, 124 y procesadas en la instancia 120 del módulo de funciones. En concreto, el bloque de funciones forma una relación Ia1/Ia2 de las señales en las entradas 122, 124.

Al insertar la instancia 120 en la interfaz de programación 62 o también posteriormente, se pueden depositar parámetros. En primer lugar, la instancia 120 puede parametrizarse con dos relaciones n1/n2 y n3/n4 que forman una ventana dentro de la cual se emite en la salida 126 una señal digital que representa un estado bueno, por ejemplo, ALTO o 1. Esta señal digital puede ser procesada posteriormente en el diagrama lógico 88 mediante la combinación con otros bloques de funciones. En este caso, los valores n1-n4 se indican como números enteros positivos.

Sin embargo, la instancia 120 también puede parametrizarse solo con una relación n1/n2 para el rebase por exceso o por defecto, es decir, si la relación Ia1/Ia2 de las instancias 112, 114 rebasa por exceso o por defecto la relación parametrizada, el estado bueno se cancela y se emite una señal digital que representa un estado malo, por ejemplo BAJO o 0.

En ambos casos, se puede parametrizar un valor de histéresis. El valor de histéresis se indica en porcentaje, relacionado con la relación parametrizada. La relación ajustada corresponde al 100%. El valor de histéresis evita que, en cuanto la relación vuelve al rango bueno, se vuelva a emitir inmediatamente un estado bueno en la salida 126. Más bien, la relación debe tener una distancia, definida por el valor de histéresis, con respecto a la relación definida n1/n2 o n3/n4.

En un ejemplo, se parametriza una relación de n1=1, n2=2, es decir que resulta una relación de 1/2=0,5. Esto corresponde al 100%, con la instancia 120 configurada para el rebase por exceso. Ahora se parametriza una histéresis adicional del 10%, de modo que resulta un valor de corrección de 0,05. Esto significa que si la relación está configurada para el rebase por exceso, el sistema se desconecta con una relación de 0,5, es decir, se emite un estado malo en la salida 126. Si la relación Ia1/Ia2 vuelve a caer durante el funcionamiento, solo se conecta de nuevo cuando la relación varía por el valor de histéresis de 0,5 a 0,05 = 0,45, es decir, la salida 126 pasa a un estado bueno.

Además, el bloque de funciones presenta una prueba de plausibilidad para el caso de que se definan dos relaciones, es decir, una ventana, lo que se explica en otro ejemplo. En este ejemplo, se van a comparar dos temperaturas. Los sensores para la primera temperatura en los bornes 104, 106 son sensores de corriente de temperatura que emiten corrientes de 0 a 20 mA, que corresponden linealmente a temperaturas de 100 a 230 °C. Los sensores para la segunda temperatura en los bornes 106 son sensores de corriente de temperatura que emiten corrientes de 0 a 20 mA. Por otro lado, los termómetros de resistencia que pueden medir temperaturas de 50 a 200 °C se conectan a los bornes 108, 110. Esta información se deposita en la instancia 120.

Se parametrizan las siguientes relaciones: n1=50, n2=200, es decir, n1/n2=0,25 para el rebase por defecto; n3=200, n4=250, es decir, n3/n4=0,8 para el rebase por exceso. La prueba de plausibilidad del bloque de funciones ahora comprueba si realimente se configuró el valor de relación más alto como rebase por exceso y el valor de relación más bajo como rebase por defecto. Este es el caso aquí, de lo contrario se emitiría un error. Por lo tanto, el dispositivo está ahora configurado para emitir un estado bueno en la salida 126 cuando la relación de las entradas 122, 124 se sitúa entre 0,25 y 0,8. Para ambos límites, es decir, las relaciones superior e inferior, se puede definir un valor de histéresis como se ha descrito anteriormente.

El bloque de funciones presenta además una entrada digital 128 para el silenciamiento, es decir, para la supresión de la desconexión, que también puede ser limitada en el tiempo. Además, el bloque de funciones presenta una entrada digital 130 para el reseteo. Si aquí está presente una señal ALTO, la instancia 120 se resetea.

Además, el bloque de funciones presenta dos salidas que en caso de un error, por ejemplo, la detección de un error dentro de la redundancia, o en caso de advertencia emiten respectivamente una señal ALTO.

Proporcionando el bloque de funciones descrito en la interfaz de programación 62, es posible representar una multiplicidad de aplicaciones con respecto a la seguridad funcional y las señales analógicas dentro de un control de seguridad 2 con módulo analógico 102.

Lista de signos de referencia

1 Control de seguridad

2 Módulo de cabeza

4 Módulo de expansión de entrada

6 Módulo de expansión de salida

8 Bus posterior

10 Unidad de control

12 a 38 Borne

40 a 46 Relés

48 Conmutador de parada de emergencia

50, 52 Conmutador

54 Ordenador

56 Teclado

58 Ratón

60 Pantalla

62 Interfaz de programación

64 Primer área parcial

66, 68, 70 Símbolo del bloque de funciones

72 a 84 Instancia

86 Segunda área parcial

88 Diagrama lógico

90 a 100 Línea

102 Módulo analógico

108 a 110 Borne

112, 114 Instancia

116, 118 Salida

120 Instancia

122, 124 Entrada

126 Salida

128, 130 Entrada

132, 134 Salida

Claims (12)

REIVINDICACIONES

1. Procedimiento para programar un control de seguridad (1), concebido para conectar y desconectar un consumidor eléctrico de forma segura de acuerdo con una norma de seguridad, en el que las entradas de conmutación (24, 26, 28, 30, 104, 106, 108, 110) y/o las salidas de conmutación (32, 34, 36, 38) del control de seguridad (1) se vinculan lógicamente,

en el que las entradas de conmutación (24, 26, 28, 30, 104, 106, 108, 110) comprenden dos entradas de conmutación de señal analógica (104, 106, 108, 110),

en el que la vinculación lógica comprende un bloque de funciones (120) que presenta al menos dos entradas (122, 14) que están realizadas respectivamente para recibir una señal de entrada preprocesada de una de las entradas de conmutación de señal analógica (104, 106, 108, 110),

en el que se predefine una primera relación para las señales presentes en las entradas (122, 124), y el bloque de funciones (120) presenta una salida (126), cuya señal se forma en función de la primera relación predefinida,

en el que el comportamiento del bloque de funciones (120) está representado por la ecuación

la ^{1 i i 1}

la, 2 ^{i i ,}

en el que la salida (126) es una salida digital (126),

en el que, en caso de un rebase por exceso o por defecto de la primera relación predefinida, es decir, en el caso del rebase por exceso, cuando la relación Ia1 * n2 > Ia2 * n1 se hace verdad y no lo era antes o, en el caso del rebase por defecto, cuando la relación Ia1 * n2 < Ia2 * n1 se hace verdad y no lo era antes, la salida (126) cambia de valor y adopta un primer valor predefinido, representando Ia1 la primera señal de entrada analógica y representando Ia2 la segunda señal de entrada analógica y siendo n1 y n2 números enteros positivos.

2. Procedimiento según la reivindicación 1, en el que se predefine una segunda relación, y

la señal de la salida (126) se forma además en función de la segunda relación predefinida.

3. Procedimiento según la reivindicación 2, en el que la salida (126) cambia de valor en caso del rebase por exceso de la primera relación predefinida o del rebase por defecto de la segunda relación predefinida, adoptando el primer valor predefinido.

4. Procedimiento según la reivindicación 1, en el que, tras un rebase por exceso o por defecto de la primera relación predefinida, la salida (126) no vuelve a cambiar su valor, en el caso del rebase por exceso, hasta después de rebasar por defecto la primera relación predefinida menos un primer valor de histéresis predefinido, o

en el caso del rebase por defecto, hasta después de rebasar por exceso la primera relación predefinida más un primer valor de histéresis predefinido.

5. Procedimiento según la reivindicación 3 o 4, en el que, tras un rebase por defecto de la segunda relación predefinida, la salida (126) no vuelve a cambiar de valor hasta después de rebasar por exceso la segunda relación predefinida más un segundo valor de histéresis predefinido.

6. Procedimiento según la reivindicación 4 o 5, en el que el primer o segundo valor de histéresis se indica como un porcentaje de la primera o segunda relación.

7. Procedimiento según la reivindicación 3 o una reivindicación referida a la reivindicación 3, en el que el primer valor predefinido corresponde a un estado malo y se realiza una prueba de plausibilidad en cuanto a si el valor de la primera relación predefinida es mayor que el valor de la segunda relación predefinida.

8. Procedimiento según una de las reivindicaciones anteriores, en el que las señales analógicas detectadas por las entradas de conmutación de señal analógica (104, 106, 108, 110) indican flujos másicos de gas o de aire.

9. Producto de programa de ordenador que puede cargarse directamente en la memoria interna de un ordenador digital (54) y que comprende secciones de código de software que, cuando se ejecutan en el ordenador (54), permiten al ordenador (54) ejecutar el procedimiento según una de las reivindicaciones anteriores.

10. Ordenador digital (54), en cuya memoria interna está cargado el producto de programa de ordenador según la reivindicación 9.

11. Producto de programa de ordenador que puede cargarse directamente en la memoria interna de un control de seguridad (1) y que comprende secciones de código de software que han sido creadas por medio del procedimiento según una de las reivindicaciones 1 a 8.

12. Control de seguridad (1), concebido para conectar y desconectar un consumidor eléctrico de forma segura de acuerdo con una norma de seguridad, y programado con el procedimiento según una de las reivindicaciones 1 a 8.