CN109070348A - 用于控制机器人的***和方法 - Google Patents

Abstract

本发明涉及一种用于控制机器人(102)的***，包括：提供由一个或多个传感器(100)检测到的数据DAT(t)的接口(101)，数据DAT(t)表示机器人(102)的当前的状态ZUS(t)；与接口(101)连接的第一处理器(103)，其设置用于通过第一算法基于数据DAT(t)和表示机器人(102)的仅被允许的状态的预设的状态空间Z来检查是否为：ZUS(t)∈Z，在的情况下，产生第一停止信号Sig1；经数据连接(104)与第一处理器(103)连接、用于产生第二停止信号Sig2的单元(105)，当单元(105)接收到第一停止信号Sig1或当单元(105)确定数据连接(104)中断时，单元(105)随即产生第二停止信号Sig2；与接口(101)和第一处理器(103)连接的或仅与第一处理器(103)连接的第二处理器(106)，其设置用于通过第二算法基于数据DAT(t)和预设的状态空间Z‘或状态空间Z‘的限制来检查是否为：ZUS(t)∈Z‘，在的情况下，第二处理器(106)促使断路器(114)中断第一处理器(103)和单元(105)之间的数据连接(104)；和与单元(105)连接的、用于控制机器人(102)的控制单元(107)，当存在第二停止信号Sig2时，控制单元(107)将机器人(102)控制/调整到预设的安全状态。

Description

用于控制机器人的***和方法

技术领域

本发明涉及一种用于控制机器人的***和方法。本发明还涉及一种具有这种***的机器人。本发明所提出的***和方法特别是在机器人的运行过程中用于提高功能安全性。

背景技术

具有可移动的部分(一个或多个机器人操纵器)的机器人现在越来越多地用于需要完成机器人与人的交互任务的领域。在这种情况下必要的是，以这样的方式设计机器人，使得其具有高的功能安全性和高的安全完整性。

发明内容

本发明的目的在于提供一种用于控制机器人的***和方法，其实现了在运行期间机器人的改进的功能安全性和安全完整性。

本发明可以由独立权利要求的特征得出。有利的扩展方案和设计为从属权利要求的主题。本发明的其他特征、应用可能性以及优点可以由以下的描述以及对本发明的实施例(在附图中示出)的说明中得出。

本发明的第一个方面涉及一种用于控制机器人的***。该机器人包括：提供由一个或多个传感器检测到的数据DAT(t)的接口，该数据DAT(t)表示机器人的当前的状态ZUS(t)；与接口连接的第一处理器，该第一处理器设置用于，通过第一算法基于数据DAT(t)和预设的状态空间Z来检查是否为： 其中，在的情况下，产生第一停止信号Sig1，预设的状态空间Z表示机器人的仅被允许的状态；经数据连接与第一处理器连接的、用于产生第二停止信号Sig2的单元，其中，当单元接收到第一停止信号Sig1时或者当数据连接中断时，所述单元随即产生第二停止信号Sig2；与接口和第一处理器连接的或仅与第一处理器连接的第二处理器，所述第二处理器设置用于，通过第二算法基于数据DAT(t)和预设的状态空间Z来检查是否为：其中，在的情况下，中断第一处理器和单元之间的数据连接；和与单元连接的、用于控制机器人的控制单元，当存在第二停止信号时，控制单元控制机器人达到预设的安全状态。

在发明中应广义地理解术语“机器人的当前的状态ZUS(t)”。其特别是包括静态的和/或动态的、机械的和/或电气的机器人的当前的状态ZUS(t)。此外，该术语还包括机器人与其周围环境的机械的或电气的相互作用的状态。用于检测定义当前的状态ZUS(t)的参数并用于产生相应的数据DAT(t)的相应的传感器在现有技术中是已知的。当前的状态ZUS(t)特别是应理解为具有单个状态参数的多维向量。数据DAT(t)表示定义状态ZUS(t)的状态参数的数值。当前的状态ZUS(t)和对应的数据DAT(t)都是与时间相关的，其中t表示时间。

定义当前的状态ZUS(t)的数据DAT(t)经接口提供给第一处理器。此外，还向第一处理器提供状态空间Z或状态空间Z的限制，其中，状态空间Z表示机器人的仅被允许的状态。状态空间Z也可以作为对被允许的状态的参数化描述而提供给第一处理器。由第一处理器执行第一算法，该第一算法基于数据DAT(t)和预设的状态空间Z检查当前的状态ZUS(t)是否是状态空间Z的元素。如果在该检查过程中确定当前的状态ZUS(t)不是状态空间Z的元素，则产生第一停止信号。该第一停止信号优选是电信号或光信号。

此外，第一处理器还经数据连接与用于产生第二停止信号的单元连接。该数据连接有利地实施用于电信号或光信号的信号传导。该数据连接优选地作为以太网连接实施。该数据连接特别是被设置和实施用于将由第一处理器产生的第一停止信号发送到该单元。根据本发明，该单元还被实施和设置用于，一旦其检测到由第一处理器发出的第一停止信号或者一旦该单元确定与第一处理器的数据连接已中断，则该单元产生第二停止信号。为此，该单元有利地设置用于，例如基于借助于安全数据协议的数据传输来监测第一处理器和该单元之间的不间断数据连接的存在。

根据本发明，第二停止信号被发送到机器人的控制单元，控制单元将机器人控制到预设的安全状态。在本发明中，控制单元特别是控制机器人的能够致动器驱动的元件的致动器。有利地，控制单元是整个机器人的中央控制单元，其因此控制或调节机器人的所有可控功能和状态。控制单元还可以包括局部分布的控制单元，其例如分别包括局部对应于机器人的致动器的控制电子单元。

在本发明中，应广义地理解术语“安全状态”。其包括例如将机器人所有可移动的部分制动到预设的姿势，或将机器人所有可移动的部分制动到未预设姿势的状态，或者将机器人可移动的部分的移动速度降低到预设的速度等。“安全状态”还可以包括电气和/或数据技术的安全状态。因此，例如，通过控制单元在接收到第二停止信号之后，可以启动数据备份和/或关闭机器人***的特定的子单元等。在一个变型中，将第二停止信号传输到机器人的致动器单元。安全状态有利地根据机器人的任务来相应地预设，并且有利地满足这样的条件，即，在机器人的安全状态下对其周围环境或者机器人本身没有危险。

按照本发明，第二处理器与接口和第一处理器连接或者仅与第一处理器连接，从而第二处理器可以从接口或从第一处理器获得定义当前的状态ZUS(t)的数据DAT(t)。第二处理器执行第二算法，通过该第二算法，基于预设的状态空间Z‘检查当前的状态ZUS(t)是否是状态空间Z‘的元素。如果在此确定，当前的状态不是状态空间Z‘的元素，第二处理器使第一处理器和单元之间的数据连接中断。为此，有利的是，第二处理器控制中断元件(例如开关)，该中断元件有利地以物理的方式使数据连接中断。代替数据连接的物理式的中断，还可以例如通过针对预设的固定电位使数据连接的所有电线发生短路而产生数据连接的中断。

状态空间Z和Z‘有利地这样选择，使得确保通过第一处理器和第二处理器的状态ZUS(t)的检查导致一致的结果。状态空间Z和Z‘也可以是相同的。

本发明提出的***的一个有利扩展方案的特征在于，第二处理器设置用于监测第一算法在第一处理器上的执行，其中，第二处理器在确定第一算法的错误执行的情况下有利地使数据连接中断。

第二处理器对第一处理器的监测有利地包括首先监视第一处理器是否正在执行第一算法，其次监视第一处理器是否正确地执行第一算法。有利地，在第一处理器未执行第一算法(例如，因为算法已累积错误或处理器有损坏)的情况下，或者在第一处理器错误地执行第一算法的情况下，第一处理器或者在第一处理器错误执行第一算法的情况下，中断第一处理器和单元之间的数据连接。如上所述，这种情况导致产生第二停止信号，并且因此导致机器人采取安全状态。

本发明提出的***的一个有利扩展方案的特征在于，第一处理器设置用于监测第二算法在第二处理器上的执行，其中，第一处理器在确定第二算法的错误执行(有利地包括未执行)的情况下产生第一停止信号和/或警告信号。一旦产生第一停止信号，则将其发送到单元并在那里产生第二停止信号，结果使机器人采取安全状态。警告信号有利地传输到输出单元，该输出单元实施和设置用于将警告信号作为能够视觉和/或听觉感知的信号输出。如果在该扩展方案中的第二处理器由于在执行第二算法过程中的错误而使第一处理器和单元之间的数据连接中断，则机器人的控制是功能上安全的。如果在第二算法的执行过程中由第二处理器发现错误，但该错误没有导致第一处理器和单元之间的数据连接中断，则在该扩展方案中这可以由第一处理器发现，从而第一处理器产生第一停止信号并且通过数据连接发送至单元，以使得单元产生使机器人转变至安全状态中的第二停止信号。

本发明提出的***的一个有利扩展方案的特征在于，为了中断第一处理器和单元之间的数据连接，还存在由第二处理器控制的开关。有利地，该开关作为电开关或光学开关实施。开关还可以在对应于数据连接的中断的开关状态下产生电数据线的短路。有利地，数据连接通过开关以物理的方式被中断。有利地，数据连接是对称加密的数据连接。通过这些数据连接确保了安全的数据传输。

有利地，第二处理器设置在单元(例如插件卡或扩展模块)上，该单元默认作为第一处理器的扩展。

本发明提出的***的一个特别有利的扩展方案的特征在于，第二处理器的第二芯片组通过PCI连接、PCI-X连接或PCIe连接或类似的技术方案与第一处理器的第一芯片组连接。在本发明中，在术语“PCI”(Peripherical Component Interconnect)代表用于将***设备连接到处理器的芯片组的总线标准。有利地，第二处理器设置在PCI卡上，该PCI卡插到第一处理器的主板上。有利地，第一芯片组和第二芯片组设置在集成的处理器芯片上。

另外，有利的是，第一处理器和第二处理器是不同的处理器类型。

另外，有利的是，第一算法和第二算法是不同的算法或至少是在同一算法中的不同的编程。通过不同的处理器类型或不同的算法可以显着提高用于控制机器人的***的功能安全性。如果第一算法和第二算法不同，则在一般情况下需要不同的状态空间Z和Z′。如上所述，有利地选择所述状态空间，从而确保通过第一处理器和第二处理器对状态ZUS(t)的检查导致一致的结果。

特别地，通过本发明提出的方法可能的是，通过简单和低成本的***实现了在功能安全性方面对机器人控制的持续提高的要求。

如果第二个处理器作为PCI卡实施，则具有以下优点：

-较低的安装成本，因为不需要电缆并且可以使用集成电源，

-不存在与其他连接(例如以太网连接)混淆的可能性，因为不需要额外的连接，

-实现了更高的数据吞吐量，这进一步又实现了在没有显着时间延迟的情况下交换复杂的数据，从而实现复杂的安全检查，以及

-由于高数据吞吐量实现了使用两个处理器(第一处理器和第二处理器)来提高计算能力，

有利地，第一处理器和单元之间的连接作为以太网连接实施。有利地，用于控制机器人的现场总线的以太网控制器设置在第二处理器上，但在逻辑上与第一处理器相关。因此，可以使用来自第一处理器的标准控制器，从而不需要改变第一处理器上用于数据连接的软件(透明耦合)。有利地，预设由第二处理器控制的模拟开关，以用于中断第一处理器和单元之间的以太网连接。该模拟开关可以以物理的方式断开以太网连接。因此，绕过以太网控制器的关闭是不可能的。通过由第二处理器控制模拟开关，***中存在用于第二通道真正的独立硬件路径。与用于控制机器人的安全数据包的分布式计算的解决方案相比，由此产生更低的延迟。通过关闭或中断第一处理器和单元之间的通信来生成安全信号。有利地，第二处理器不必在总线循环内向控制单元提供输出数据。特别地，所提出的***实现了简单地处理机器人的安全关闭。机器人无论如何必须能够处理通信中断的情况，因为其可能是由连接电缆中的错误引起的。在这种情况下，机器人自动采用安全状态。

本发明提出的***整体上实现了具有更高的功能安全性的机器人控制。

本发明的另一个方面涉及具有上述***的机器人。

本发明的另一个方面涉及用于(安全地)控制机器人地方法。所述方法具有以下步骤。

在第一步骤中，通过接口提供数据DAT(t)，所述数据DAT(t)表示由一个或多个传感器检测到的机器人的当前的状态ZUS(t)。在下一个步骤中，借助在第一处理器上执行的第一算法，基于数据DAT(t)和预设的状态空间Z或状态空间Z的限制来检查是否为：ZUS(t)∈Z，其中，在的情况下，产生第一停止信号Sig1，预设的状态空间Z表示机器人的仅被允许的状态。在下一个步骤中，当经数据连接与第一处理器连接的单元接收到第一停止信号Sig1时或者当数据连接中断时，通过该单元产生第二停止信号Sig2。在下一个步骤中，通过与接口和第一处理器连接的或仅与第一处理器连接的第二处理器，借助在第二处理器上执行的第二算法，基于数据DAT(t)和预设的状态空间Z‘来检查是否为：ZUS(t)∈Z‘，其中，在的情况下，中断第一处理器和单元之间的数据连接。在下一个步骤中，通过与单元连接的、用于控制机器人的控制单元，当由控制单元接收到第二停止信号Sig2时，控制机器人达到预设的安全状态。

本发明提出的方法的优点和有利的扩展方案可以由以上结合所提出的***做出的陈述的相似和类似的转移而得出。

此外，本发明的目的通过一种具有数据处理装置的计算机***得以实现，其中，数据处理装置设计用于，在数据处理装置上执行如上所述的方法。

此外，本发明的目的通过一种具有电子可读控制信号的数字存储介质得以实现，其中，控制信号与能够编程的计算机***协作，以执行如上所述的方法。

此外，本发明的目的通过一种具有存储在机器可读载体上的程序代码的计算机程序产品得以实现，该计算机程序产品用于当程序代码在数据处理装置上执行时执行如上所述的方法。

最后，本发明还涉及一种具有程序代码的计算机程序，用于当在数据处理装置上运行该程序代码时执行如上所述的方法。为此，数据处理装置可以设计为现有技术中已知的任何计算机***。

附图说明

其他的优点、特征和细节可以从以下描述中得出，其中，(在必要时参考附图)详细地描述了至少一个实施例。相同的、相似的和/或功能相同的部件设置有相同的附图标记。其中：

图1示出了所提出的方法的一种变型的示意图。

具体实施方式

图1示出了用于控制机器人102的本发明提出的***的一个变型的示意图。在本发明中，机器人102具有多区段的、能够致动器驱动的机器人操纵器。该***还具有接口101，其提供由多个传感器100检测到的数据DAT(t)，数据DAT(t)表示机器人操纵器的当前的状态ZUS(t)。在本实施例中，状态ZUS(t)表示在机器人操纵器的单个区段处出现的力和转矩、从外部作用在该单个区段上动量以及该单个区段的位置、取向、速度和加速度。

接口101与第一处理器103连接。因此，表示当前的状态ZUS(t)的数据DAT(t)被提供给第一处理器103。通过该第一处理器103执行第一算法，该第一算法基于所提供的数据DAT(t)和表示机器人102或机器人操纵器的仅被允许的状态的预设的状态空间Z来检查当前的状态ZUS(t)是否是状态空间Z的一个元素(∈)：ZUS(t)∈Z。如果在此确定：则产生第一电停止信号Sig1。

该***还包括通过数据连接104与第一处理器103连接的单元105，该单元105用于产生第二电停止信号Sig2，其中，当单元105接收到第一停止信号Sig1时或者当单元105确定数据连接104中断时，该单元随即产生第二停止信号Sign2。

接口101还与第二处理器106连接，该第二处理器106具有其他的芯片组或具有与第一处理器103不同的处理器构架的处理器。因此，第一处理器103和第二处理器106具有不同的结构类型。通过接口101，时间平行地为第二处理器106提供数据DAT(t)。第二处理器106设置用于，通过第二算法，基于数据DAT(t)和预设的状态空间Z‘来检查是否：ZUS(t)∈Z‘，其中，在 的情况下，通过触发模拟开关114而中断第一处理器103和单元105之间的数据连接104。在此，第一算法不同于第二算法，但是两种算法均执行以上实施的检查。

最后，该***包括与单元105连接的、用于控制机器人102的控制单元107，该控制单元107在接收到第二停止信号Sig2时控制机器人102达到预设的安全状态。

尽管本发明是通过优选实施方案而进一步说明和描述的，但是本发明并不由所公开的实例所限制，并且在不脱离本发明的保护范围的条件下，本领域技术人员能够推导出其他的变型。因此，还存在多种的变型可能。同样还清楚的是，示例性提及的实施方式实际上仅仅为示例，其并不以任何方式作为本发明的保护范围、应用可能性或配置的限定。更确切地，在不脱离由权力要求书及其法律等同物限定的保护范围的条件下，以上的描述和附图说明能够使本领域技术人员具体地转化示例性的实施方式，其中，本领域技术人员在获悉所公开的本发明构思的情况下能够例如对示例性实施方式中提及的各个元件的功能和设置进行多种多样的改变。

附图标记列表

100 传感器

101 接口

102 机器人

103 第一处理器

104 第一处理器和单元之间的数据连接

105 单元

106 第二处理器

107 控制单元

114 断路器/开关

Claims (10)

1.一种用于控制机器人(102)的***，包括：

-接口(101)，所述接口(101)提供由一个或多个传感器(100)检测到的数据DAT(t)，其中，所述数据DAT(t)表示所述机器人(102)的当前的状态ZUS(t)，

-与所述接口(101)连接的第一处理器(103)，所述第一处理器(103)设置用于，通过第一算法基于所述数据DAT(t)和预设的状态空间Z或所述状态空间Z的限制来检查是否为：ZUS(t)∈Z，其中，在的情况下，产生第一停止信号Sig1，预设的所述状态空间Z表示所述机器人(102)的仅被允许的状态，

-经数据连接(104)与所述第一处理器(103)连接的单元(105)，所述单元(105)用于产生第二停止信号Sig2，当所述单元(105)接收到所述第一停止信号Sig1时或者当所述单元(105)确定所述数据连接(104)中断时，所述单元(105)随即产生所述第二停止信号Sig2，

-与所述接口(101)和所述第一处理器(103)连接的或仅与所述第一处理器(103)连接的第二处理器(106)，所述第二处理器(106)设置用于，通过第二算法基于所述数据DAT(t)和预设的状态空间Z‘或所述状态空间Z‘的限制来检查是否为：ZUS(t)∈Z‘，其中，在的情况下，所述第二处理器(106)促使断路器(114)中断所述第一处理器(103)和所述单元(105)之间的所述数据连接(104)，和

-与所述单元(105)连接的、用于控制所述机器人(102)的控制单元(107)，当存在所述第二停止信号Sig2时，所述控制单元(107)将所述机器人(102)控制/调整到预设的安全状态。

2.根据权利要求1所述的***，其中，所述第二处理器(106)设置用于监测所述第一算法在所述第一处理器(103)上的执行，其中，所述第二处理器(106)在确定所述第一算法的错误执行的情况下中断所述数据连接(104)。

3.根据权利要求1或2所述的***，其中，所述第一处理器(103)设置用于监测所述第二算法在所述第二处理器(106)上的执行，其中，所述第一处理器(103)在确定所述第二算法的错误执行的情况下产生第一停止信号Sig1和/或警告信号。

4.根据权利要求3所述的***，其中，还存在输出单元，所述输出单元设置和实施用于将所述警告信号作为视觉和/或听觉能够察觉的信号输出。

5.根据权利要求1至4中任一项所述的***，其中，所述断路器(114)是由所述第二处理器(106)控制的开关。

6.根据权利要求1至5中任一项所述的***，其中，所述第二处理器(106)的第二芯片组通过PCI连接、PCI-X连接或PCIe连接与所述第一处理器(103)的第一芯片组连接。

7.根据权利要求1至6中任一项所述的***，其中，所述第一处理器(103)和所述第二处理器(106)是不同的处理器类型。

8.根据权利要求1至7中任一项所述的***，其中，所述第一算法和所述第二算法是不同的算法。

9.一种用于控制机器人(102)的方法，包括以下步骤：

-通过接口(101)提供数据DAT(t)，所述数据DAT(t)表示由一个或多个传感器(100)检测到的所述机器人(102)的当前的状态ZUS(t)，

-借助在第一处理器(103)上执行的第一算法，基于所述数据DAT(t)和预设的状态空间Z或所述状态空间Z的限制来检查是否为：ZUS(t)∈Z，其中，在的情况下，产生第一停止信号Sig1，所述预设的状态空间Z表示所述机器人(102)的仅被允许的状态，

-通过经数据连接(104)与所述第一处理器(103)连接的单元(105)，当所述单元(105)接收到所述第一停止信号Sig1时或者当所述数据连接(104)中断时，产生第二停止信号Sig2，

-通过与所述接口(101)和所述第一处理器(103)连接的或仅与第一处理器(103)连接的第二处理器(106)，借助在所述第二处理器(106)上执行的第二算法，基于所述数据DAT(t)和预设的状态空间Z‘或所述状态空间Z‘的限制来检查是否为：ZUS(t)∈Z‘，其中，在的情况下，中断所述第一处理器(103)和所述单元(105)之间的所述数据连接(104)，以及

-通过与所述单元(105)连接的、用于控制所述机器人(102)的控制单元(107)，当由所述控制单元(107)接收到所述第二停止信号Sig2时，将所述机器人(102)控制/调整到预设的安全状态。

10.一种具有根据权利要求1至8中任一项所述的***的机器人。