DE102010048369A1

DE102010048369A1 - Verfahren und Vorrichtung zur Sicherheitsüberwachung eines Manipulators

Info

Publication number: DE102010048369A1
Application number: DE201010048369
Authority: DE
Inventors: Dipl.-Ing. M.Sc. Haddadin Sami; Dr. Kurth Johannes; Jonas Rümping
Original assignee: Deutsches Zentrum fuer Luft und Raumfahrt eV; KUKA Laboratories GmbH
Current assignee: Deutsches Zentrum fuer Luft und Raumfahrt eV; KUKA Deutschland GmbH
Priority date: 2010-10-13
Filing date: 2010-10-13
Publication date: 2012-04-19

Abstract

Nach einem erfindungsgemäßen Verfahren zur Sicherheitsüberwachung wenigstens eines Manipulators, insbesondere eines Roboters, ist die Sicherheitsüberwachung als Zustandsmaschine (1 ↔ 2; 3.1 ↔ 4.1 ↔ 5.1; 3.2 ↔ 4.2 ↔ 5.2) implementiert, welche zwischen wenigstens zwei Zuständen (1, 2; 3.1, 4.1, 5.1; 3.2, 4.2, 5.2) wechseln kann, in denen je wenigstens eine Sicherheitsfunktionalität (6–8) überwacht wird.

Description

Die vorliegende Erfindung betrifft ein Verfahren und eine Vorrichtung zur Sicherheitsüberwachung wenigstens eines Manipulators, insbesondere eines Roboters, wobei wenigstens eine Sicherheitsfunktionalität überwacht wird.
Insbesondere Industrieroboter, die teilweise mit hoher Geschwindigkeit und hohem Eigengewicht große Lasten oder gefährliche Werkzeuge führen, können ihre Umgebung, insbesondere Menschen, gefährden, wenn diese unvorhergesehen in die Bahn des Roboters geraten oder die Robotersteuerung eine Fehlfunktion aufweist. Daher wird in der Praxis bisher der Arbeitsraum eines Roboters durch einen Schutzzaun abgesperrt. Diese Lösung steht jedoch einem effizienten und flexiblen Einsatz von Manipulatoren, insbesondere einer Kooperation mit Menschen oder mobilen Manipulatoren, entgegen.
Neuere Ansätze sehen eine Sicherheitsüberwachung vor, die verschiedene Sicherheitsfunktionalitäten wie beispielsweise eine sichere Geschwindigkeitsbegrenzung des TCPs überwacht. Die WO 99/29474 zeigt exemplarisch eine solche Sicherheitsüberwachung. Dabei wird bisher jede Sicherheitsfunktionalität, beispielsweise eine Geschwindigkeits-, eine Arbeitsraum- und eine Motorstromüberwachung, einzeln konfiguriert. Die Abstimmung der einzelnen Sicherheitsfunktionalitäten aufeinander ist bereits für einfache, deterministische Abläufe in vollautomatisierten Einzelzellen komplex und damit gleichermaßen aufwändig und fehleranfällig. Prozessabläufe, beispielsweise die Zu und Abfuhr von Werkstücken, können nur rudimentär durch explizites Zu- bzw. Abschalten einzelner Sicherheitsfunktionalitäten berücksichtigt werden.
Während bisherige Konzepte also bereits für den einfachen automatisierten Betrieb Schwierigkeiten bereiten, ist eine Sicherheitsüberwachung eines flexiblen Manipulatoreinsatzes, insbesondere einer Mensch-Maschine-Kooperation, nahezu unmöglich.
Aufgabe der vorliegenden Erfindung ist es, eine verbesserte Sicherheitsüberwachung zur Verfügung zu stellen, die wenigstens eines der oben genannten Probleme verringert.
Diese Aufgabe wird durch ein Verfahren mit den Merkmalen des Anspruchs 1 gelöst. Anspruch 14 stellt eine Vorrichtung, Anspruch 15 ein Computerprogrammprodukt zur Durchführung eines Verfahrens nach Anspruch 1 unter Schutz. Die Unteransprüche betreffen vorteilhafte Weiterbildungen.
Eine erfindungsgemäße Sicherheitsüberwachung ist zur Überwachung eines oder mehrerer Manipulatoren, insbesondere Roboter wie Industrie-, mobile und/oder Leichtbauroboter, vorgesehen.
Dabei werden eine oder mehrere Sicherheitsfunktionalitäten überwacht. Eine Sicherheitsfunktionalität im Sinne der vorliegenden Erfindung bildet vorzugsweise genau eine elementare physikalische Größe oder Funktionalität ab, beispielsweise den Zustand bzw. Ausgang eines Schalters, Sensors oder einer Berechnungseinheit. Eine elementare physikalische Größe bzw. Funktionalität kann dabei auch mehrdimensional sein und dementsprechend auch durch mehrere Schalter, Sensoren und/oder Berechnungseinheiten gebildet sein. So kann beispielsweise eine auf den Manipulator wirkende externe Kraft, insbesondere am TCP, eine elementare physikalische Größe bzw. Funktionalität darstellen, die entsprechend durch eine Sicherheitsfunktionalität „Kraft am TCP” abgebildet und beispielsweise auf Vorhandensein bzw. Über- oder Unterschreiten eines Grenzwertes überwacht werden kann. Zur knapperen Darstellung werden vorliegend auch antiparallele Kräftepaare, d. h. Drehmomente, verallgemeinernd als Kräfte bezeichnet. Die Sicherheitsfunktionalität „Kraft am TCP” kann also beispielsweise gleichermaßen eindimensional eine Kraft oder ein Drehmoment, zum Beispiel in einer bzw. um eine Stoßrichtung, aber auch eine dreidimensionale Kraft und/oder ein dreidimensionales Drehmoment in bzw. um kartesische Achsen abbilden und beispielsweise durch einen oder mehrere Kraftsensoren, etwa an einem Werkzeug(flansch), an Manipulatorgliedern, in Gelenken oder Antrieben, erfasst werden. Mehrere elementare physikalische Funktionalitäten bzw. Größen, etwa eine Kraft am TCP und eine Position des TCPs, werden entsprechend vorzugsweise durch mehrere elementare bzw. atomare Sicherheitsfunktionalitäten abgebildet, wobei die Abgrenzung zwischen einzelnen Sicherheitsfunktionalitäten bevorzugt auf Basis des Anwenders, des zu überwachenden Manipulators und/oder Prozesses erfolgt, d. h. eine Sicherheitsfunktionalität aus Sicht des Anwenders bei dem jeweiligen Manipulator bzw. Prozess eine eigenständige, nicht mehr sinnvoll weiter zu zerlegende Funktionalität bzw. Größe wie insbesondere eine Kraft, eine Position oder einen Raum beschreibt.
Bevorzugt kann eine solche elementare bzw. atomare Sicherheitsfunktionalität eine Kontaktdetektion, insbesondere durch Erfassung einer ein- oder mehrdimensionalen Kontaktkraft, eine Kollisionsdetektion, insbesondere durch Erfassung von Kräften in Manipulatorgelenken oder -antrieben, eine Achsbereichsüberwachung, eine Bahntreue, insbesondere ein Schlauch um die kartesischen Trajektorie, ein kartesischer Arbeitsraum, eine Sicherheitszone, eine Bremsrampe, ein Bremsen vor einer oder mehrerer Sicherheitszonen oder Raumgrenzen, eine Manipulator-Konfiguration, eine Werkzeugorientierung, eine Achsgeschwindigkeit, eine Ellbogengeschwindigkeit, eine Werkzeuggeschwindigkeit, eine maximale externe Kraft bzw. ein maximales externes Drehmoment, eine Distanz zur Umgebung oder einer Person, eine Haltekraft oder dergleichen sein.
Vorzugsweise werden Sicherheitsfunktionalitäten in sicherer Technik, insbesondere redundant und vorzugsweise diversitär oder mit einem Sicherheitsprotokoll überwacht. Bevorzugt werden hierzu ein oder mehrere Parameter, beispielsweise Ausgaben von Sensoren oder Berechnungseinheiten, unabhängig von einer Arbeitssteuerung des jeweiligen Manipulators erfasst und, insbesondere nach Weiterverarbeitung in einer Berechnungseinheit, beispielsweise einer Koordinatentransformation, gegen die Überschreitung von Grenzwerten, überwacht. Kann wenigstens einer der zu erfassenden Parameter, beispielsweise aufgrund eines Sensorausfalls, nicht sicher erfasst werden, spricht in einer bevorzugten Ausführung die entsprechende Sicherheitsfunktionalität an.
Erfindungsgemäß ist die Sicherheitsüberwachung nun als Zustandsmaschine (auch Zustandsautomat bzw. „(finite) state machine”) implementiert, welche zwischen zwei oder mehr Zuständen wechseln kann, in denen jeweils eine oder mehrere der vorstehend erläuterten Sicherheitsfunktionalitäten überwacht werden, die für diesen Zustand vorgegeben sind. Die Implementierung kann dabei insbesondere durch eine entsprechende Programmierung und/oder einen entsprechenden Programmablauf, insbesondere als sogenannte Virtuelle Zustandsmaschine („Virtual (finite) state machine”) umgesetzt sein, d. h. ein Computerprogramm, welches eine erfindungsgemäßes Verfahren durchführt, wenn es auf einer erfindungsgemäß eingerichteten Vorrichtung, insbesondere einem Rechner, abläuft, kann gleichermaßen als Zustandsmaschine programmiert werden und/oder als Zustandsmaschine ablaufen, die – insbesondere eingabe-, ereignis- und/oder zustandsgesteuert, zwischen einzelnen Zuständen umschaltet und in diesen, wiederum insbesondere eingabe-, ereignis- und/oder zustandsgesteuert, eine oder mehrere (Re)Aktionen ausführt.
So kann beispielsweise ein Zustand „Stillstandsüberwachung” implementiert sein. Wird die Sicherheitsüberwachung, beispielsweise nach Ausführen eines Nothalts, in diesen Zustand geschaltet, kann zum Beispiel vorgesehen sein, dass im Zustand „Stillstandsüberwachung” die elementaren Sicherheitsfunktionalitäten „sichere Gelenkwinkel”, „sichere TCP-Geschwindigkeit” und „sichere Ellbogen-Geschwindigkeit” überwacht werden, indem jeweilige Sensorwerte, gegebenenfalls mehrdimensional, in sicherer Technik erfasst, transformiert und gegen das Überschreiten unterschiedlicher Grenzwerte überwacht werden. Bei Ansprechen wenigstens einer der Sicherheitsfunktionalitäten, also beispielsweise beim Überschreiten eines Grenzwertes, kann in dem Zustand „Stillstandsüberwachung” eine geeignete Reaktion, etwa das Einfallen von Bremsen, vorgesehen sein. Allgemein können in verschiedenen Zuständen der Sicherheitsüberwachung unterschiedliche Reaktionen auf das Ansprechen von Sicherheitsfunktionalitäten vorgesehen sein. Gleichermaßen ist es auch möglich, dass in mehreren oder allen Zuständen dieselbe Reaktion vorgesehen ist, etwa ein STOP 0.
Die erfindungsgemäße Implementierung als Zustandsmaschine kann verschiedene Vorteile bieten: zum einen kann eine Sicherheitsüberwachung einer, insbesondere komplexeren, Automatisierungslösung einfacher und damit insbesondere zuverlässiger erstellt bzw. konfiguriert und vorzugsweise auf Konsistenz, insbesondere Abgeschlossenheit geprüft werden. So stellt eine endliche Zustandsmaschine sicher, dass für jeden möglichen Zustand des zu überwachenden Systems mit einem oder mehreren Manipulatoren geeignete Sicherheitsfunktionalitäten und Reaktionen vorgesehen sind. Zum anderen ist eine als Zustandsmaschine implementierte Sicherheitsüberwachung besser für nicht-deterministische Situationen geeignet, wie sie insbesondere in der Mensch-Maschine-Kooperation oftmals auftreten.
Ein weiterer Vorteil kann in einer erhöhten Verfügbarkeit des bzw. der Manipulatoren und einer höheren Fehlertoleranz liegen: in bisherigen Sicherheitsüberwachungen werden stets alle je benötigten Sicherheitsfunktionalitäten überwacht, unabhängig davon, ob dies im jeweiligen Zustand erforderlich ist oder nicht. Kann eine Sicherheitsfunktionalität nicht mehr sicher überwacht werden, wird das System stillgesetzt, was zu Ausfall bzw. erhöhtem Wiederinbetriebnahmeaufwand führt.
Bei einer erfindungsgemäßen Implementierung als Zustandsmaschine werden in den jeweiligen Zuständen nur die jeweils zur Überwachung dieses Zustands erforderlichen Sicherheitsfunktionalitäten vorgegeben. Fällt dann beispielsweise ein Sensor einer Sicherheitsfunktionalität aus, die in einem bestimmten Zustand nicht vorgesehen ist, kann dieser Zustand weiter aktiv bleiben, ohne dass die Sicherheitsüberwachung eine Reaktion auslöst. Fällt beispielsweise bei einem robotergeführten Instrument in der mikroinvasiven Telechirurgie ein Momentensensor aus, dessen Ausgabe in einer Sicherheitsfunktionalität „Kollisionsdetektion” überwacht wird, kann in einen Zustand „Instrumentenentfernung” geschaltet werden, in dem das Instrument unter sicherer Überwachung der Bewegungsbahn automatisch aus dem Patienten entfernt wird. In dem Zustand „Instrumentenentfernung” überwacht die Sicherheitsüberwachung dann beispielsweise nur die Sicherheitsfunktionalität „sichere Bewegungsbahn”, die bei einem zu großen Abweichen von der vorgegebenen Ausfuhrbewegung anspricht. Die Sicherheitsfunktionalität „Kollisionsdetektion” wird hingegen in diesem Zustand nicht überwacht, so dass der Ausfall des Momentensensors die Überwachung des Roboters bei der Entfernung des Instruments nicht beeinträchtigt und so den geordneten Abbruch der Operation ermöglicht. Allgemein ist daher in einer bevorzugten Ausführung vorgesehen, dass in zwei oder mehr Zuständen jeweils unterschiedliche Sicherheitsfunktionalitäten überwacht werden, wobei sowohl unterschiedliche Anzahlen von Sicherheitsfunktionalitäten, als auch unterschiedliche Sicherheitsfunktionalitäten sowie auch artgleiche, jedoch unterschiedlich konfigurierte Sicherheitsfunktionalitäten überwacht werden können. So kann beispielsweise in einem Zustand „Werkstück fügen” eine Geschwindigkeitsüberwachungen einen niedrigeren Grenzwert aufweisen als in einem Zustand „Werkstücktransfer”.
Als weiterer Vorteil der vorliegenden Erfindung kann ein Zustandswechsel vorzugsweise auch in nicht-sicherer Technik und damit insbesondere durch Eingabemittel wie Sensoren oder dergleichen ausgelöst werden, die nicht in sicherer Technik ausgebildet und entsprechend günstiger und kompakter sind. Hierzu ist es vorteilhaft, wenn die einzelnen Zustände jeder für sich autonom sind und den bzw. die Manipulatoren eigenständig und sicher überwachen, so dass zur Sicherung nur in einen dieser Zustände geschaltet sein muss. Allgemein wird daher in einer bevorzugten Ausführung ein Zustand überprüft, wenn in ihn gewechselt wird. Dabei kann insbesondere geprüft werden, ob alle Sicherheitsfunktionalitäten des Zustandes bereit sind und nicht angesprochen haben. Vorzugsweise wird hierzu überprüft, ob Erfassungsmittel wie Sensoren und/oder Berechnungseinheiten, deren Ausgabe die Sicherheitsfunktionalität, gegebenenfalls nach Weiterverarbeitung, beispielsweise Koordinatentransformation, überprüft, vorhanden sind und fehlerfrei funktionieren. Wird dann, gegebenenfalls in nicht sicherer Technik, in einen Zustand gewechselt, ohne dass dieser bereit ist, kann insbesondere eine Sicherheitsreaktion, beispielsweise ein Stillsetzen eines Manipulators, erfolgen. Auf diese Weise können Zustandswechsel auch in nicht sicherer Technik eingeleitet bzw. ausgelöst werden.
In einer bevorzugten Ausführung kann ein Anwender eine Sicherheitsfunktionalität, insbesondere beschränkt, konfigurieren und/oder parametrieren. Insbesondere kann vorgesehen sein, dass er einen oder mehrere limitierende Parameter der Sicherheitsfunktionalität, gegebenenfalls innerhalb vorgegebener Grenzen, verändern bzw. vorgeben darf, etwa eine Maximalgeschwindigkeit oder -kraft. Auf diese Weise können elementare Sicherheitsfunktionalitäten vom Hersteller sicher vorkonfiguriert und vom Anwender einfach und zuverlässig an die jeweilige Situation angepasst werden.
Vorzugsweise wählt der Anwender bei der Implementierung bzw. Konfiguration der Sicherheitsüberwachung einen oder mehrere Zustände aus einer Mehrzahl vorhandener Zustände aus, für die die zu überwachenden Sicherheitsfunktionalitäten und die entsprechenden Reaktionen bereits vorgegeben und gegebenenfalls, insbesondere beschränkt, konfigurier- bzw. parametrierbar sind. Zusätzlich oder alternativ kann auch vorgesehen sein, dass der Anwender selbst einen oder mehrere Zustände definiert und hierzu für jeden dieser Zustände eine oder mehrere zu überwachende Sicherheitsfunktionalitäten aus einer Mehrzahl vorhandener Sicherheitsfunktionalität auswählt, die er wiederum vorzugsweise, insbesondere beschränkt, konfigurieren und/oder parametrieren kann.
In einer bevorzugten Weiterbildung spricht eine Sicherheitsfunktionalität an, wenn wenigstens eine Erfassungseinrichtung einen Parameter nicht mehr sicher erfasst, der, gegebenenfalls nach Weiterverarbeitung in einer Berechungseinheit, mit einem limitierenden Parameter der Sicherheitsfunktionalität verglichen wird. In einem Zustand werden dann die limitierenden Parameter all seiner Sicherheitsfunktionalitäten überwacht. Wird dann in diesen Zustand geschaltet, obwohl wenigstens einer der benötigten Parameter nicht sicher erfasst wird, spricht die entsprechende Sicherheitsfunktionalität an und in dem Zustand wird eine entsprechende Reaktion ausgelöst. Auf diese Weise kann auch in nicht sicherer Technik in verschiedene Zustände geschaltet werden, da in jedem Zustand gewährleistet ist, dass er den bzw. die Manipulatoren sicher überwacht.
Um einerseits den Anwender bei der Implementierung bzw. Konfiguration der Sicherheitsüberwachung zu unterstützen und andererseits die Zuverlässigkeit der Sicherheitsüberwachung zu erhöhen, kann bei der Konfiguration bzw. Parametrierung von Sicherheitsfunktionalitäten und/oder der Definition bzw. Konfiguration von Zuständen automatisch auf Konsistenz geprüft werden. So kann insbesondere geprüft werden, ob zwei für einen Zustand ausgewählte Sicherheitsfunktionalitäten miteinander kompatibel sind oder nicht. Wählt der Anwender beispielsweise sowohl die Sicherheitsfunktionalität „Kollisionserfassung”, die das Fehlen von externen Kräften voraussetzt, als auch die Sicherheitsfunktionalität „Fügekraftüberwachung”, die gerade das Vorhandensein externer Fügekräfte voraussetzt, kann automatisch auf diese Inkonsistenz hingewiesen und so eine konsistente Sicherheitsüberwachung sichergestellt werden.
Insbesondere, wenn in einem Zustand nur die limitierenden Parameter seiner Sicherheitsfunktionalitäten überwacht werden, kann die Konsistenz seiner Sicherheitsfunktionalitäten bei der Konfiguration des Zustandes einfach überprüft werden, indem alle limitierenden Parameter der Sicherheitsfunktionalitäten eines Zustands als dessen gemeinsame Menge von limitierenden Parameter definiert bzw. zusammengefasst werden. Inkonsistenzen zwischen Sicherheitsfunktionalitäten spiegeln sich dann in Inkonsistenzen zwischen ihren limitierenden Parametern. Im obigen Beispiel ergibt sich beispielsweise eine Inkonsistenz zwischen den Sicherheitsfunktionalitäten „Kollisionserfassung” und „Fügekraftüberwachung”, da die eine einen limitierenden Parameter „(maximale) Fügekraft”, d. h. die Erfassung einer externen Kraft voraussetzt, während die andere eine solche Kraft bzw. einen entsprechenden limitierenden Parameter für diese nicht zulässt.
Limitierende Parameter einer Sicherheitsfunktionalität sind vorzugsweise in der jeweiligen Sicherheitsfunktionalität hinterlegt. Dabei ist in einer bevorzugten Ausführung vorgesehen, dass die limitierenden Parameter einer Sicherheitsfunktionalität dieser alle Informationen liefern, sich selbst zu überwachen und somit eine eigenständige, sichere Einheit zu bilden. Beispielsweise kann eine einfache Sicherheitsfunktionalität „Schutztür geschlossen” neben der Information, ob ein Schutztürschalter offen oder geschlossen ist, noch die Information benötigen, ob der Schutztürschalter korrekt funktioniert. Seine limitierenden Parameter können dann beispielsweise den Öffnungszustand und den Funktionszustand des Schalters beschreiben.
Eine Konsistenzprüfung der Sicherheitsfunktionalitäten eines Zustandes kann zusätzlich oder alternativ noch einen weiteren Aspekt beinhalten: es kann überprüft werden, dass – insbesondere nachfolgend erläuterte prozessabhängige – Zustände inhärent sicher sind, indem sie geeignete Kombination von Sicherheitsfunktionalitäten aufweisen. Beispielsweise kann in einem Zustand „Bewegung im freien Raum” zusätzlich zur Sicherheitsfunktionalität „Geschwindigkeitsüberwachung” eine Sicherheitsfunktionalität „Kollisionsdetektion” erforderlich sein. Dies wird vorzugsweise (teil)automatisch und/oder durch den Anwender gewährleistet.
Ein Zustand kann vorzugsweise prozessabhängig sein. Insbesondere kann in Abhängigkeit von einem Prozess, den der Manipulator ausführt, zwischen Zuständen der Sicherheitsüberwachung umgeschaltet werden und/oder ein Zustand der Sicherheitsüberwachung für einen bestimmten Prozesszustand vorgegeben sein. So kann beispielsweise für einen Fügeprozess zwischen den zu dessen Überwachung vorgesehenen Zuständen „Werkstück aufnehmen”, „Transfer” und „Werkstück fügen” mit jeweils unterschiedlichen zu überwachenden Sicherheitsfunktionalitäten umgeschaltet werden.
Zusätzlich oder alternativ kann ein Zustand situationsabhängig sein. Insbesondere kann in Abhängigkeit von einer Situation, in der der Manipulator oder dessen Umgebung sich befindet, zwischen Zuständen der Sicherheitsüberwachung umgeschaltet werden und/oder ein Zustand der Sicherheitsüberwachung für eine bestimmte Situation vorgegeben sein. So kann beispielsweise zwischen der Situation „sichere Abwesenheit von Personen im Arbeitsraum” und „(mögliche) Anwesenheit einer Person im Arbeitsraum” unterschieden werden. Entsprechend kann etwa der oben genannte Zustand „Transfer” in der einen Situation unter anderem die Sicherheitsfunktionalität „Geschwindigkeitsüberwachung” enthalten, in der anderen nicht, so dass für beide Situationen unterschiedliche Zustände „Transfer” vorgesehen sind. Allgemein können für verschiedene Situationszustände verschiedene Prozesszustände bzw. Prozesszustandsmaschinen vorgesehen sein, die als Teilzustandsmaschinen zusammen eine hierarchische Zustandsmaschine mit Situations- und Prozessebene bilden. Prozesszustände in unterschiedlichen Situationszuständen können insbesondere unterschiedliche Sicherheitsfunktionalitäten aufweisen, etwa die vorstehend erläuterte Sicherheitsfunktionalität „Geschwindigkeitsüberwachung” in Prozesszuständen des Situationszustandes „(mögliche) Anwesenheit einer Person im Arbeitsraum”. Dies kann in einer bevorzugten Ausführung dadurch implementiert sein, dass ein Situationszustand eine oder mehrere Sicherheitsfunktionalitäten in einem oder mehreren seiner Prozesszustände ausschaltet bzw. deaktiviert, also beispielsweise der Situationszustand „sichere Abwesenheit von Personen im Arbeitsraum” die an sich vorgesehene Sicherheitsfunktionalität „Geschwindigkeitsüberwachung” in seinen Prozesszuständen deaktiviert.
In einer bevorzugten Ausführung wird ein aktiver Zustand angezeigt, beispielsweise auf einer Ausgabeeinrichtung einer erfindungsgemäßen Vorrichtung zur Sicherheitsüberwachung. Dies erleichtert dem Anwender insbesondere die Überprüfung. Vorzugsweise zum Testen der Sicherheitsüberwachung kann vorgesehen sein, dass ein Manipulator bei einem Zustandswechsel anhält und dieses dadurch anzeigt.
Weitere Vorteile und Merkmale ergeben sich aus den Unteransprüchen und den Ausführungsbeispielen. Hierzu zeigt, teilweise schematisiert:
1: ein situationsabhängiges Zustandsdiagramm einer als Zustandsmaschine implementierten Sicherheitsüberwachung nach einer Ausführung der vorliegenden Erfindung; und
2A, 2B: je ein prozessabhängiges Zustandsdiagramm der Sicherheitsüberwachung der 1.
1 zeigt ein situationsabhängiges Zustandsdiagramm einer als Zustandsmaschine implementierten Sicherheitsüberwachung nach einer Ausführung der vorliegenden Erfindung. Man erkennt, dass die Sicherheitsüberwachung situationsabhängig zwischen zwei Zuständen umschalten kann, dem Zustand 1 = „sichere Abwesenheit von Personen im Arbeitsraum” und dem hierzu komplementären Zustand 2 = „(mögliche) Anwesenheit von Personen im Arbeitsraum”. Zwischen diesen Zuständen wird automatisch durch eine Arbeitsraumüberwachung umgeschaltet, die beispielsweise den Arbeitsraum eines Roboters optisch überwacht.
Arbeitsraumüberwachung und die Umschaltung zwischen den beiden Situationszuständen erfolgt jeweils in sicherer Technik.
In jedem Situationszustand bilden mehrere Prozesszustände jeweils eine Teilzustandsmaschine, die die drei Prozesszustände 3.1 bzw. 3.2 = „Werkstück aufnehmen”, 4.1 bzw. 4.2 = „Transfer” sowie 5.1 bzw. 5.2 = „Werkstück fügen” umfasst. Die gesamte Sicherheitsüberwachung ist somit als Situationszustandsmaschine (1) mit den beiden Prozesszustandsmaschinen als Teilzustandsmaschinen ausgebildet. 2A zeigt vergrößert die Prozesszustandsmaschinen 3.1 ↔ 4.1 ↔ 5.1 des Situationszustandes 1 = „sichere Abwesenheit von Personen im Arbeitsraum”, 2B entsprechend die Prozesszustandsmaschinen 3.2 ↔ 4.2 ↔ 5.2 des Situationszustandes 2 = „(mögliche) Anwesenheit von Personen im Arbeitsraum”.
Der Prozesszustand 5.1 bzw. 5.2 („Werkstück fügen”) weist in dem zur kompakteren Darstellung vereinfachten Ausführungsbeispiel die elementare Sicherheitsfunktionalität 6 = „Kraftüberwachung” auf, der Prozesszustand „Transfer” die elementare Sicherheitsfunktionalität 7 = „Kollisionsdetektion”. In der Teilzustandsmaschine des Situationszustandes „(mögliche) Anwesenheit von Personen im Arbeitsraum” (vgl. 2B) weisen beide Prozesszustände „Kraftüberwachung” und „Transfer” zusätzlich die elementare Sicherheitsfunktionalität 8 = „Geschwindigkeitsüberwachung” auf.
Die Sicherheitsfunktionalität „Kraftüberwachung” überwacht in sicherer Technik die Ausgabe einer Berechnungseinheit, die aus den Ausgaben von drei Kraft- und drei Momentensensoren am Werkzeugflansch des Roboters eine am TCP wirkende Fügekraft ermittelt und gegen das Überschreiten einer Maximalfügekraft überwacht.
Die Sicherheitsfunktionalität „Kollisionsdetektion” überwacht in sicherer Technik die Gelenkdrehmomente des Roboters, aus denen unter Berücksichtigung seiner Dynamik an ihm angreifende externen Kräfte ermittelt und gegen das Überschreiten einer Schwellwertes für eine Kollision überwacht werden.
Die Sicherheitsfunktionalität „Geschwindigkeitsüberwachung” überwacht in sicherer Technik die zeitliche Änderung der Gelenkpositionen des Roboters, aus der durch Vorwärtstransformation die kartesische Geschwindigkeit seines TCPs ermittelt und gegen das Überschreiten einer Maximalgeschwindigkeit überwacht wird.
Spricht eine der vorgenannten Sicherheitsfunktionalitäten an, so erfolgt stets dieselbe Reaktion, beispielsweise ein bahntreuer STOP 2 (nicht dargestellt). Eine Sicherheitsfunktionalität spricht dabei auch dann an, wenn eine Störung, beispielsweise ein Ausfall, eines Sensors festgestellt wird, dessen Ausgabe in der Sicherheitsfunktionalität, gegebenenfalls indirekt nach Weiterverarbeitung in einer Berechnungseinheit, überwacht wird, also beispielsweise eines Momentensensors am Werkzeugflansch, eines Gelenkdrehmomentsensors bzw. eines Gelenkpositionssensors.
Zwischen den Prozesszuständen der Sicherheitsüberwachung wird jeweils, wie in 2A, 2B strichpunktiert angedeutet, in nicht sicherer Technik durch die Robotersteuerung umgeschaltet, wenn der Roboter den jeweiligen Prozessabschnitt abarbeitet, also beispielsweise vom Transfer des Werkstücks zur Fügeanfangspose zum Fügen übergeht.
An dem Ausführungsbeispiel werden einige der Vorteile der erfindungsgemäßen Implementierung der Sicherheitsüberwachung als Zustandsmaschine deutlich: so sind in jedem Zustand nur die jeweils zu dessen Sicherheitsüberwachung erforderlichen Sicherheitsfunktionalitäten vorgesehen, etwa die Geschwindigkeitsüberwachung nur bei potentieller Personenanwesenheit und die Kraftüberwachung nur während des Fügens. Daher führt beispielsweise ein Ausfall der sicheren Gelenkpositionserfassung durch die Sicherheitsüberwachung nur dann zu einem Ansprechen der Sicherheitsfunktion „Geschwindigkeitsüberwachung”, wenn die Zustandsmaschine sich in dem Zustand „(mögliche) Anwesenheit von Personen im Arbeitsraum” befindet und sicherstellen muss, dass der TCP eine kartesische Maximalgeschwindigkeit nicht überschreitet. Befindet sich die Sicherheitsüberwachung hingegen im Zustand „sichere Abwesenheit von Personen im Arbeitsraum”, kann der Roboter weiter arbeiten und dabei sicher überwacht werden.
Die Sicherheitsüberwachung kann durch einen Anwender einfach, flexibel und zuverlässig konfiguriert werden. Hierzu muss er nur die beiden Situationszustände und in diesen jeweils die drei Prozesszustände sowie den Übergang zwischen diesen definieren. Dabei kann er aus vorgegebenen elementaren Sicherheitsfunktionalitäten, zum Beispiel „Kraftüberwachung”, „Kollisionsdetektion” und „Geschwindigkeitsüberwachung” auswählen und diese in begrenzten Umfang parametrieren, zum Beispiel Grenzwerte für die Fügekraft, eine als Kollision zu bewertende Kraft bzw. eine zulässige TCP-Geschwindigkeit vorgeben. Hierbei unterstützt ihn ein erfindungsgemäßes Computerprogramm in einer bevorzugten Ausführung, indem es die für einen Zustand ausgewählten elementaren Sicherheitsfunktionalitäten auf Konsistenz überprüft. Wählt der Anwender beispielsweise für den Zustand „Transfer” zusätzlich zur Sicherheitsfunktionalität „Kollisionsdetektion” auch die Sicherheitsfunktionalität „Kraftüberwachung”, die – im Gegensatz zur Kollisionsdetektion – gerade das Vorhandensein einer externen Kraft voraussetzt, meldet das Programm eine Inkonsistenz.
Die limitierenden Parameter und damit die zu erfassenden Sensorwerte für einen Zustand ergeben sich automatisch aus den limitierenden Parametern der Sicherheitsfunktionalität(en) des Zustandes. So setzt beispielsweise der Prozesszustand „Transfer” im Situationszustand „(mögliche) Anwesenheit von Personen im Arbeitsraum” mit seinem beiden Sicherheitsfunktionalitäten „Kollisionsdetektion” und „Geschwindigkeitsüberwachung” das Vorhandensein von sowohl Gelenkmoment- als auch -positionserfassung voraus. Wird in den Zustand geschaltet, weil beispielsweise die Arbeitsraumüberwachung ein Betreten des Arbeitsraums erfasst, und ist ein Gelenkpositionssensor ausgefallen, spricht die Sicherheitsüberwachung aufgrund der Fehlfunktion eines benötigten Sensors an und führt einen STOP 2 durch. Daher kann das Umschalten zwischen Zuständen in nicht sicherer Technik ausgeführt werden, da jeder Zustand für sich eine sichere Überwachung gewährleistet.
Bezugszeichenliste

1: Zustand „sichere Abwesenheit von Personen im Arbeitsraum”
2: Zustand „(mögliche) Anwesenheit von Personen im Arbeitsraum”
3: Zustand „Werkstück aufnehmen”
4: Zustand „Transfer”
5: Zustand „Werkstück fügen”
6: Sicherheitsfunktionalität „Kraftüberwachung”
7: Sicherheitsfunktionalität „Kollisionsdetektion”
8: Sicherheitsfunktionalität „Geschwindigkeitsüberwachung”

ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

WO 99/29474 [0003]

Claims

Verfahren zur Sicherheitsüberwachung wenigstens eines Manipulators, insbesondere eines Roboters, wobei wenigstens eine Sicherheitsfunktionalität (6–8) überwacht wird, dadurch gekennzeichnet, dass die Sicherheitsüberwachung als Zustandsmaschine (1 ↔ 2; 3.1 ↔ 4.1 ↔ 5.1; 3.2 ↔ 4.2 ↔ 5.2) implementiert ist, welche zwischen wenigstens zwei Zuständen (1, 2; 3.1, 4.1, 5.1; 3.2, 4.2, 5.2) wechseln kann, in denen je wenigstens eine Sicherheitsfunktionalität (6–8) überwacht wird.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass in zwei Zuständen unterschiedliche Sicherheitsfunktionalitäten überwacht werden.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass ein Zustandswechsel in nicht-sicherer Technik auslösbar ist.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass ein Zustand bei einem Zustandswechsel überprüft wird.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass eine Sicherheitsfunktionalität, insbesondere beschränkt, konfigurier- und/oder parametrierbar ist.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass eine Sicherheitsfunktionalität wenigstens einen limitierenden Parameter aufweist.
Verfahren nach Anspruch 6, dadurch gekennzeichnet, dass in einem Zustand nur die limitierenden Parameter seiner Sicherheitsfunktionalitäten überwacht werden.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass ein Zustand prozess- und/oder situationsabhängig ist.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass ein aktiver Zustand angezeigt wird.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass ein Manipulator, insbesondere während eines Tests, bei einem Zustandswechsel anhält.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass eine Sicherheitsfunktionalität eine elementare physikalische Funktionalität oder Größe abbildet.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass wenigstens eine zu überwachende Sicherheitsfunktionalität eines Zustandes aus einer Mehrzahl vorhandener Sicherheitsfunktionalität ausgewählt wird.
Verfahren nach Anspruch 12, dadurch gekennzeichnet, dass Sicherheitsfunktionalitäten eines Zustandes auf Konsistenz geprüft werden.
Vorrichtung zur Sicherheitsüberwachung wenigstens eines Manipulators, insbesondere eines Roboters, mit wenigstens einem Sicherheitsfunktionalitätsmittel, insbesondere einem Sensor und/oder einer Berechnungseinheit, zur Überwachung einer Sicherheitsfunktionalität, dadurch gekennzeichnet, dass die Vorrichtung zur Durchführung eines Verfahrens nach einem der vorhergehenden Ansprüche eingerichtet ist.
Computerprogrammprodukt mit auf einem maschinenlesbaren Träger gespeicherten Programmcode, der ein Verfahren nach einem der vorhergehenden Ansprüche 1 bis 13 ausführt, wenn er in einer Vorrichtung nach Anspruch 14 abläuft.