CN1198375A - 用于监控具有多个功能单元的设备的方法和装置 - Google Patents

Abstract

为了提高具有多个功能单元的设备,例如加工设备的安全监控,本发明考虑一种方法,在用这种方法时每个功能单元单独地分别通过一个安全装置进行监测,其中安全装置不断地相互交流它们的监测状况,同时当出现功能差错时至少一个功能单元或安全装置操作至少一个与安全有关的执行环节。为了达到这一目的本装置设想,给每个功能单元分别配设一个自己的安全装置,并且这些安全装置这样地相互连接,使得在出现功能差错时至少有一个功能单元或安全装置操作至少一个与安全有关的执行环节。

Description

用于监控具有多个功能单元的设备的方法和装置

本发明涉及一种用于监控具有多个功能单元的设备，例如加工设备的方法和装置。

对于设备，例如作为本发明出发点的加工设备，可能涉及到一台或几台相互组合的机器，例如机器人。机器或机器人由许多不同的功能单元组成，例如控制单元和操作单元的电源部分(电源模块Power module)。在一台作为本发明出发点的设备中有可能有多台具有所述功能单元的那种机器共同工作和相互连接。其次还可能存在外设，例如轨道，机器例如机器人在它上面移动；或者龙门架，它使机器或机器人沿待加工“工件”例如船舶，行驶。

迄今为止在控制装置中采用并行的急停布线系统，它在继电器技术中应用。这里在编程手动装置(操作单元)方面存在安全问题，它的柔性的连接电缆出现许多影响，使得急停导线之间短路不能可靠地排除。此外必需的双通道结构使电缆变得僵硬、厚而且重。并联布线安全回路是根据使用要求特殊设计的，没有灵活性，功能的改变只有通过重新设计才有可能。虽然急停回路和操作者保护回路可以扩展，但是如果机器控制系统的安全回路内信号发生器断开，则没有诊断的可能性。其次这种安全装置不直观，而且维护困难，其中安全逻辑线路中大量的接点恰恰地对运行的可靠性产生不利影响。

因此本发明的目的在于：制造一种方法和装置，在例如上面简单介绍的复杂设备时借助于这种方法和装置可以简单和直观地提高安全性。

按照本发明这个目的通过开头所述这一类的方法来解决，其中每个功能单元分别地通过各自固有的冗余的、双通道安全装置进行监测，安全装置不断地相互交流它们的监测状况，当一个功能出现差错时至少有一个功能单元或安全装置操作与安全有关的执行环节。在按本发明的装置中每个功能单元分别配设一个固有的冗余的，双通道安全装置，并且安全装置这样地相互连接，使得当至少一个功能单元或安全装置的功能出错时操作至少一个与安全装置相关的执行环节。

本发明提供了分布的安全逻辑电路，其中每个安全装置具有要求的全部安全功能。因此可以得到高分辨的诊断。安全装置相互连接，或者说相互通讯，使得也可以相互监控，一个安全装置可以发现另一个安全装置的故障，从而可以发出与安全有关的信号，以操作执行环节。

在一种第一优先结构方案中考虑，安全装置具有一个控制器芯片和一个接口布线。由此安全装置可以做得非常简单和直观。

这里在优先结构方案中考虑，安全装置相互串连通讯，或者说安全装置相互串连连接。通过串连连接并行布线变成多余的了。可以减少必需的导线截面积，这对于便携式器械，如操作或编程的手动器械，特别有好处。

在另一种优先结构方案中考虑，安全装置借助于一个环形规程相互通讯，或者说安全装置相互连接在一个环内。因此整个安全装置可以方便地任意扩展。例如当设备含有另外的功能单元时，那么它可以毫无困难地方便地集成在所属的安全装置内。由此可保证与不同设备方便和直观的匹配性。这里定址在实体上可以通过在总线内的布置进行。在环形规程扩展时也可以迅速地达到可靠的反应。

基本上可以考虑，每个安全装置具有至少一个微处理器。按照一种优先的具体结构考虑，每个安全装置至少具有两个微处理器。另一种优先结构方案设想，每个安全装置具有一个诊断输入端，其中特别是诊断输入与和安全有关的输入的测试开关循环同步，或者说安全装置不断地对附属于它的功能单元进行诊断，从而也对设备进行诊断。其次可以对整个设备进行永久的监控和诊断。

在另一种优先结构方案中考虑，在安全装置中所含有的微处理器周期地监测它的处理图形和由此计算出来的结果和/或存贮器内的内容，其中特别是监测信号输入(端)和信号发生器正确的连接和功能，由于安全装置的按上面简单介绍的冗余的结构方案微处理器可以相互地，并且对周围的硬件周期性地监测，这里同时可以对运行的程序进行测试。这里在环形规程时在整个环进行微处理器的内容比较。

按本发明装置的另一种结构方案设想，每个安全装置至少具有一个与安全有关的输出和/或每个安全装置具有多个与安全有关的输入。

如果在具体结构中考虑，安全装置相互做成一样，整个安全结构就会变得简单和价格特别便宜，其中集成在相同的安全装置内的基础软件最好也是一样的，匹配仅仅通过软件模块或软件开关进行。

按照本发明的方法和按本发明的解决方案具有明显的优点。整个监控装置的环形结构只有当所有功能单元和附属于它的多个安全装置都处于运行之中时才闭合。如果安全装置显示功能差错，那么通讯中断；在一个这种持续的故障时产生断开，整个系统进入一种安全状态。

另一个优点在于：通过本发明所达到的分散结构如上所述可以灵活地扩展，而且在很小的位置占用要求和很低的费用的情况下达到可靠的运行安全性。通过按本发明的解决方案布线费用下降，诊断性能得到改善。按本发明的安全装置很容易集成在现有器械中。

本发明的其他特征由权利要求和下述说明得到，在下面的叙述中参照附图对本发明的优先结构形式作具体的说明，其中表示：

图1  在待监控设备上的按本发明的安全装置的结构示意图；

图2  按本发明装置的安全装置的示意图；

图3  通过本发明确保的按本发明的装置的运行状况的图表。

按本发明的装置用来监控设备A，例如加工设备；这种设备例如具有一个电源单元(Leistungseinheit)1，它包含一台机器或一台机器人的电源电子装置和机械元件。电源单元1附设有一个控制单元，它包含用来控制电源单元1的信号电路，并且可以做成纯粹的硬件回路或者按照希望的档次带有一定的软件，直到完全的计算机控制。目前在机器人中电源单元1和控制单元2通常在结构方面和空间方面都是分开设置的。其次作为本发明出发点的设备可以具有一个操作单元3，例如它可以是一个手动编程器，在具体情况下它可以用于机器人如控制单元2的编程，在这种情况下它也做得在空间和结构方面与控制单元分开。

其次这种设备可以具有外设4，5，例如电源单元(电源模块)1的运动装置，或者在例如船舶制造工业中的一个龙门架，它上面设有多个电源单元1。

现在本发明考虑，给每个功能单元1至5配设一个单独的安全装置6.1-6.5。安全装置6.1-6.5有利地做得都一样，因此图2中仅仅以标号6表示，安全装置6(至少)具有两个微型控制器。它们具有足够的内置RAM或ROM，以及至少一个串行接口(点)。这可以维持安全回路的双通道性，直到进入处理装置。冗余系统的双通道不断地进行比较。根据应用场合的不同设有不同的接口布线。安全装置6.1-6.5通过输入输出接口及导线7，8相互连接。此外这种连接最好做成具有输出输入导线7、8的环形结构。

按本发明的安全装置6除用于连接另一个安全装置的串行接口及导线7，8以外还具有与安全相关的输入端10-14，它们分别和功能单元和其各个操作元件相连，用来读入与安全相关的信号。与安全相关的输入要不无条件地输入一个停止，要不就是输入一个这种停止的 条件。输入端11-14做成双重的，使得每个微型控制器具有带相同功能的独立的输入端。其次输入可以不带安全功能。这也叫做诊断输入，它对于两个控制器具有不同的含义。所有与安全有关的输入11-14通过两个微型控制器并行地处理。这样一个输入端可以和一个同意按钮，另一个输入端可以和一个停急按钮连接，再一个输入端可和一个选择按钮连接以进行调试或自动运行。此外还设有一个用来连接其他的操作者保护装置的输入端。不必在每个功能单元内设置全部的输入。例如特别是在操作单元中设置上述第一种输入，而最后一种输入端(操作者保护)设置在电源单元和各个外围单元中。

具体而言：

·局部急停＝LNA

这是局部急停的输入，它通过操作KCP上机器人的急停(按钮)或者通过其他的急停条件而触发。它在任何情况下都导致停机，切断机器人以及装有机器人的整个设备的电源。

·外部急停要求＝eNAA

这个输入在任何情况下都导致关掉机器人。在这种情况下急停要求不再传到设备去，因为这样会导致设备的联锁。

·操作者保护＝BS

操作者保护-输入-联锁(用于保护的技术措施)只停止安全保护区本身。这里安全保护区理解为动态运动时可能引起危险的区域。对于机器人保护区这例如是由保护栅栏围成的机器人本身工作区以及可能引起危险运动的附加轴的工作区。

如果控制系统在自动运行模式下工作，那么操作者保护是起作用的。等候处理的操作者保护信号与安全保护区防护栅栏的关闭具有同样的意义。

1.受限制(qualifiziert)的输入1(调试/自动)＝QEI

用于调试/自动的输入13是一个受限制的信号。在调试运行模式时操作者保护断开，为此同意按钮起作用。在自动运行模式时操作者保护起作用，这时不查询同意按钮。安全保护区既可以处于调试运行模式也可以处于自动运行模式下。这两种运行模式几乎不可能同时进行，也不可能两种模式都没有。这里很难遵循闭路电源原理，因为两种调整都是有效调整。因此采用反向并联电平是有意义的。产生这样的情况，在微型控制器中信号一会儿作为自动的，一会儿作为非自动的输入。下面代替非自动采用调试这个符号。

2.受限制的输入2＝QE2

对于输入14存在和输入1一样的情况。这个输入用于这种控制系统，即在调试运行模式时它必须跨接操作者保护。在自动运行模式时跨接保护装置就同操作者保护受到侵犯一样使安全保护区停机。

此外设有输出15，16，它们用来控制与安全有关的执行环节，并从而使设备停止或在安全状态下运动。非常规输入17做成单通道的。整个安全网路也应该可以用外界电压供电。由此每个安全装置6需要一个电压输入。为了这一目的和通讯线路一起设置一个电压输入线路。这个电压输入线路的额定电压为24V。每个芯片通过一个自有的逻辑电压发生器供电。

具体而言这里也有：

·与安全有关的输出：

与安全有关的输出是那些其规定功能是用来强制切断设备电源的输出。

驱动装置接通＝AE

通过驱动装置接通信号来控制驱动装置电网保护属于与安全有关的输出。这个输出在每个安全装置上都有，并且是安全的。

·急停＝NA

急停输出的功能是把局部急停要求连接在整台设备的急停回路中。为了得到无电势接触，接点做成带有一个安全继电器组合件。

·操作者保护＝BS

操作者保护理解为用来保护操作者的装置。其中包括防护栅栏，它的监控装置及根据运行模式的不同也包括同意开关。这种装置的全部输出汇总在接点内。操作者保护输出的功能是，使对操作者保护的侵犯对于有关的设备部分起作用。为了得到无电势接触，接点上可以连接一个安全继电器组合件。

此外还设有非常规或控制输入，和非常规输出：

·非常规输入

非常规的或者控制输入17是那些对于机器人的正常运行所必须的输入。这些输入和安全无关并可以自由地应用。它仅仅提供诊断信息。输入是和有关安全的信号的测试开关操作循环同步的。这样在接触点之间也可以引入互连的急停按钮。

·驱动装置激活＝AA

“驱动装置激活”信号是一个可以接通驱动装置的脉冲，使驱动装置接通直到与安全要求不出现矛盾为止。这个信号不允许保持永久有效。

·驱动装置释放＝AF

“驱动装置释放”信号的功能是通过撤掉而切断驱动装置或者防止驱动装置接通。

·急停信息＝NAI/操作者保护信息＝BSI

局部急停或操作者保护回路可以用这些输入在接点之间引出，以便在中断时在安全要求的位置得到信息。

·非常规输出：

非常规输出是那些为了表示安全网路状况的输出。非常规输出可以汇总到一个记录器接口上。在连接其中不存在与安全有关的执行环节的控制计算机时，与安全有关的输出也可以用于信息的目的。

·I急停＝iNA

急停信息的功能是将局部急停要求通知控制系统或指示灯。这个信号是所有急停条件的或门连接，但外部急停要求信号除外。

I内部差错信息＝iFi

差错信号给出答复，在KUSIBA网路内部是否出现导致关断电源的差错。

在电源部分1中使用一个安全装置6的输出15，作为用来控制网路保护的“驱动装置接通”的输出。也存在这样的可能性，在相应的差错状态下直接触发急停。

在控制单元2中的安全装置提供控制软件安全回路的所有信息和状况。这里也设置了一个带急停的输出，以便在控制单元2内触发急停。

操作单元3内的安全装置6.1主要是急停信号发生器、运行模式选择开关和驱动装置通断开关的载体。可以通过控制软件和显示器进行显示。

外设4，5内的安全装置6.4和6.5可以提供集成在保护回路内的伺服开关的驱动能源，以及在保护回路内接入信号发生器，如光帘和伸出的运动件上的附加的急停按钮。为了显示，在相应的操作面板上也可以内置一个同样的安全装置。

在图3中表示按本发明的安全装置的运行状态示意图。

操作者保护装置可以打开也可以关上。可以操作同意按钮(是)或者不操作(非)。可以选择自动或调试运行模式。在自动运行时，正如由表格中可以看到的，只有在操作者保护装置关上时才能运行。在选择“调试”时操作者保护装置打开和关上时都能运行，但是只有同时操作同意按钮时才行。

运行状态可以借助另外的输入根据不同的应用目的加以扩展。

在安全装置6，6.1-6.5中首先进行两个微型控制器的局部结果的比较，并检测偏差。如果存在差别，可变化的“比较不合格”(Vf)就会增加。它显示两个通道的结果相互不一致的通讯循环的次数。如果结果保持相一致，Vf数就会下降或减小。如果两个通道之间超过由V_fmax确定的允许的最大通道延滞时间，那么就会触发“急停”开关，并锁定网路。

用作比较的信息通道是相同的串联通道，它也可以用于安全装置之间的通讯。

在连续的通讯过程中进行比较：一步相当于一个微型控制器中的数据量(Datenumfang)。为了比较设有滑步(Schiebeschritt)，它与每次通讯第一个或最后一个安全装置的微型控制器的位置有关。在这一步中输入和输出图象与同一安全装置中并联的微型控制器图象相比较。

另一个比较在通讯开始或通讯中间进行。这里检测处理图象的比较以及Vf的引导是否也可以在下一个安全装置中进行。这样在此期间进行一种中间通讯的比较只能持续两个滑步。在第一步内每个微型控制器传递自己的处理数据。现在安全装置的每第二个微型控制器已经可以进行比较了。第一个微型控制器首先各自记下前一个微型控制器的处理图象，在第二个滑步以后进行比较。这个微型控制器的Vf计数器对于预先设置在安全回路内的安全芯片也是适用的。

其次进行作为安全回路固有功能的互连：一方面由各个单个安全装置的输入建立一个自己的结果；另一方面在执行(修正)以前在局部结果中考虑其它安全装置的结果。有两种求出输出结果的可能性：可以在通讯时交换全部的处理图象，因此全部急停(信号)中的每一个并联地但却以不同的顺序连接。(也)可以发出一个执行指令，在这个指令中所有安全装置把它们的结果联系起来，所有输出按照这个指令都接通。

安全停机区别为不同的类型：

急停功能可以由不同的信号发生器触发。这里所有连接在一起的信号发生器是双通道连接的。当急停联锁释开时两个通道之间可以接受无限的同步性。

在不同的运行模式时急停产生不同的反应。

其中在自动运行时网路关断延迟并且是安全的。输入的急停(信号)被控制系统识别并立即产生一个急停斜坡信号(stop-rampe)。用这个停止斜坡信号使机器人留在所编程序的轨迹上。机器人在一个计算机的位置(点)停止下来。

在调试运行中当急停要求出现时电源立即被切断。只要不出现驱动差错，驱动装置的释开一直保持有效。这样确保机器人以尽可能短的制动路程，从而能最快地进入安全状态。

现在操作者保护使局部设备移动到安全状态。在不同的运行模式时操作者保护必须与不同的信号连接：

BS-释开＝防护栅栏关闭和自动运行模式+按同意按钮和调试运行模式

操作者保护总是毫不延迟地通过主要的保护措施切断电源。机器或者机器人的切断动作设计成这样，使得始终达到最短的制动路程。

安全装置之间的通讯顺序进行，并穿过两个微型控制器，使得每个微型控制器都可以通过通讯环给其它微型控制器提供进行比较的处理图形。通讯用来在双通道输入时对通道进行比较，并在整个总线上决定性地调节修正输出图形。每次通讯都在滑步中进行，一步相当于一个微型控制器中的数据量。每次通讯中的第一个或最后一个滑步是为比较设置的。所有其他滑步用来求出各个安全装置中网路的总的处理图形。这里只接受来自由两个控制器相同地传递的其它安全装置的处理图形。

Claims (17)

1.用来监控具有多个功能单元的设备，如那些加工设备的方法，其中每个功能单元分别单独通过自己的、冗余的双通道安全装置进行测试，安全装置不断相互交流它们的测试状况，当至少一个功能单元或安全装置出现功能差错时则操作至少一个与安全有关的执行环节。

2.按权利要求1的方法，其特征在于：安全装置相互串接通讯。

3.按权利要求1或2的方法，其特征在于：安全装置借助于一个环形规程相互通讯。

4.按上述权利要求之任一项的方法，其特征在于：安全装置不断地对配属于它的功能单元，从而也对设备进行诊断。

5.按权利要求1至4之任一项的方法，其特征在于：在安全装置内所含有的微处理器周期地检测它的处理图形和由此计算出来的结果和/或存贮器的内容。

6.按上述权利要求之任一项的方法，其特征在于：检测信号输入及信号发生器的正确的功能和连接。

7.用来监控具有多个功能单元(1-5)的设备，如加工设备的装置，其中每个功能单元(1-5)分别配设一个自己的，冗余的双通道安全装置(6；6.1-6.5)，同时安全装置(6；6.1-6.5)这样地相互连接，使它在至少一个功能单元(1-5)或安全装置(6；6.1-6.5)出现功能差错时操作至少一个与安全有关的执行环节。

8.按权利要求7的装置，其特征在于：安全装置(6；6.1-6.5)具有一个控制器芯片和一个接口布线。

9.按权利要求7或8的装置，其特征在于：安全装置(6；6.1-6.5)相互串连连接。

10.按权利要求7至9之任一项的装置，其特征在于：安全装置(6；6.1-6.5)相互连接成一个环。

11.按权利要求7至10之任一项的装置，其特征在于：每个安全装置至少具有一个微处理器。

12.按权利要求11的装置，其特征在于：每个安全装置(6；6.1-6.5)至少具有两个微处理器。

13.按权利要求7至12之任一项的装置，其特征在于：每个安全装置至少具有一个与安全有关的输出端(15、16)。

14.按权利要求7至13之任一项的装置，其特征在于：每个安全装置具有多个与安全有关的输入端(11-14)。

15.按权利要求7至14之任一项的装置，其特征在于：每个安全装置(6；6.1-6.5)具有一个诊断输入端(17)。

16.按权利要求15的装置，其特征在于：诊断输入(17)和与安全有关的输入(11-14)的测试开关循环同步。

17.按权利要求7至16之任一项的装置，其特征在于：安全装置(6；6.1-6.5)相互做得一样。