CN111781891B - 机器人安全逻辑控制系统 - Google Patents

Abstract

本发明提供一种机器人安全逻辑控制系统，其包括相互连接的伺服驱动模块、安全单元以及总线传输主站，安全单元和总线传输主站之间相互监测，安全单元和伺服驱动模块之间建立第一安全回路，总线传输主站和伺服驱动模块之间建立第二安全回路。当安全单元接收到异常输入信号、监测到总线传输主站出现故障或者其自身出现故障时第一安全回路内产生第一安全控制信号以关闭伺服驱动模块的输出；同时，当总线传输主站接收到安全单元输出的异常输入信号、其自身出现故障或者监测到安全单元出现故障时第二安全回路内产生第二安全控制信号以关闭伺服驱动模块的输出。

Description

机器人安全逻辑控制系统

技术领域

本发明涉及机器人控制领域，且特别涉及一种机器人安全逻辑控制系统。

背景技术

随着工业自动化的不断推进，大多生产产线实现自动化，各种类型的工业机器人被运用到不同产品的生产线上以适用不同的应用场景，从而节省了大量人力、财力，也大大提高了工作效率。

对于工业机器人而言，安全是第一位的。在现有的工业机器人控制系统中，安全逻辑主要由机器人控制柜中的独立模块(即安全单元)来实现的；譬如，当外部输入急停信号或者示教器输入急停信号时，安全单元输出安全信号以关闭伺服驱动模块的输出，从而实现机器人动作的急停以确保安全。在现有的这种逻辑控制中，安全逻辑的控制完全由安全单元这一独立模块来执行。一旦安全单元或传输安全信号的安全回路出现故障，这种控制方式将完全失效，机器人将无法响应急停信号而急停。因此，存在安全等级低的问题。

此外，现有的机器人控制系统中，安全单元独立于控制单元，当控制单元内两个操作模块发生死机等故障时，安全单元无法对这些故障进行响应。

发明内容

本发明为了克服现有工业机器人控制系统安全等级低的问题，提供一种多模块互锁以提供多重保护机制的机器人安全逻辑控制系统。

为了实现上述目的，本发明提供一种机器人安全逻辑控制系统，其包括相互连接的伺服驱动模块、安全单元以及总线传输主站，安全单元和总线传输主站之间相互监测，安全单元和伺服驱动模块之间建立第一安全回路，总线传输主站和伺服驱动模块之间建立第二安全回路。

当安全单元接收到异常输入信号、监测到总线传输主站出现故障或者其自身出现故障时第一安全回路内产生第一安全控制信号以关闭伺服驱动模块的输出；

同时，当总线传输主站接收到安全单元输出的异常输入信号、其自身出现故障或者监测到安全单元出现故障时第二安全回路内产生第二安全控制信号以关闭伺服驱动模块的输出。

根据本发明的一实施例，伺服驱动模块包括与总线传输主站匹配的传输从站，传输从站通过第一安全回路监测总线传输主站的状态，当监测到总线传输主站出现故障时传输从站输出第一安全控制信号以关闭伺服驱动模块的输出。

根据本发明的一实施例，机器人安全逻辑控制系统还包括控制单元，控制单元内的实时操作模块连接于总线传输主站；当实时操作模块出现故障时：

总线传输主站通过第一安全回路输出第一安全控制信号以关闭伺服驱动模块的输出，同时将实时操作模块的故障信号输出至安全单元；

安全单元通过第二安全回路输出第二安全控制信号以关闭伺服驱动模块的输出。

根据本发明的一实施例，控制单元内还包括非实时操作模块；当非实时操作模块出现故障时，实时操作模块获取非实时操作模块的故障信号并输出至总线传输主站，总线传输主站通过第一安全回路和第二安全回路关闭伺服驱动模块的输出。

根据本发明的一实施例，控制单元内还具有存储模块，实时操作模块和非实时操作模块共享存储模块，两者通过共享的存储模块分别获取对方的心跳信号以监测对方的状态。

根据本发明的一实施例，非实时操作模块连接于安全单元且安全单元监听非实时操作模块的状态；

当实时操作模块出现故障时，非实时操作模块将故障信号输出至安全单元，安全单元输出第一安全控制信号以关闭伺服驱动模块的输出；

当非实时操作模块出现故障时，安全单元监听到故障信号后输出第一安全控制信号以关闭伺服驱动模块的输出。

根据本发明的一实施例，当安全单元接收到异常输入信号时将异常输入信号传输至非实时操作模块，非实时操作模块通过存储模块将该异常输入信号传输至实时操作模块，实时操作模块触发总线传输主站输出第二安全控制信以关闭伺服驱动模块的输出。

根据本发明的一实施例，为控制单元供电的电源模块具有断电保护功能时，机器人安全逻辑控制系统还包括连接于控制单元的时序管理模块；在电源模块处于断电保护输出且主电路再次上电时，时序管理模块管理控制单元的上电时序使关闭后的实时操作模块和非实时操作模块基于主电路的再次上电而重新启动。

根据本发明的一实施例，时序管理模块在主电路断电后再次上电时：

判断电源模块的输出状态；

当电源模块处于断电保护输出时，判断机器人控制器是否关机；

若是，输出上电触发信号至机器人控制器以使其重新启动操作系统；

若否，实时监测机器人控制器内示教器程序的状态或机器人控制器主板的断电信号；

当监测到示教器程序已关闭后延时一预设时间以使机器人控制器关机，延时结束后输出上电触发信号至机器人控制器以使其重新启动操作系统；

或者，当接收到机器人控制器主板的断电信号后输出上电触发信号至机器人控制器以使其重新启动操作系统。

根据本发明的一实施例，时序管理模块计算主电路再次上电和上一次断电之间的时间间隔，当该时间间隔小于机器人控制器正常关机的时间时，则判断电源模块处于断电保护输出且机器人控制器未关机。

根据本发明的一实施例，当机器人控制器关机后，时序管理模块断开电源模块和机器人控制器之间的通路后又闭合，为机器人控制器提供一具有上升沿的上电触发信号。

根据本发明的一实施例，电源模块包括电源转换电路、控制器电源模块、网压检测模块以及储能模块。电源转换电路连接于主电路。控制器电源模块连接于电源转换电路且为机器人控制器供电。网压检测模块连接于电源转换电路以检测电源转换电路的输入电压，当电源转换电路的输入电压低于设定阈值时，电源模块输出断电触发信号至电源时序管理单元，电源时序管理单元将该断电触发信号输出至机器人控制器。储能模块连接于控制器电源模块且在主电路正常供电工作时储能；当主电路断电时储能模块输出能量以维持控制器电源模块正常工作，控制器电源模块为机器人控制器供电以使其基于断电信号完成断电存储。

根据本发明的一实施例，储能模块包括连接于电源转换电路的正负母线之间的电容，电源转换电路正常供电时为电容充电；当电源转换电路的输入电压低于设定阈值时电容释放能量至控制器电源模块以使其正常工作。

根据本发明的一实施例，主电路上具有一控制主电路通断的交流接触器，安全单元连接于交流接触器且与交流接触器间建立第三安全回路，安全单元通过第一安全回路关闭伺服驱动模块输出的同时还通过第三安全回路输出第三安全控制信号至交流接触器，断开主电路的输入。

根据本发明的一实施例，总线传输主站为EtherCAT传输总站，伺服驱动模块上具有匹配的EtherCAT从站，安全单元上具有EtherCAT输入/输出口，EtherCAT传输总站分别通过EtherCAT总线连接于安全单元和伺服驱动模块。

综上所述，本发明提供的机器人安全逻辑控制系统中安全单元、总线传输主站以及伺服驱动模块三者相互连接。系统不仅在安全单元和伺服驱动模块之间建立第一安全回路而且总线传输主站和伺服驱动模块之间还具有第二安全回路。当有异常输入信号或故障时，伺服驱动模块除了接收来自第一安全回路的安全信号外还同时接收来自第二安全回路的安全信号；多安全回路的控制确保伺服驱动模块能准确响应异常输入或故障，从而实现急停。进一步的，由于安全单元和总线传输主站之间相互监测，当安全单元或总线传输主站任一出现故障时，伺服驱动模块能对该故障进行响应，实现多模块的安全互锁控制，大大提高了安全控制等级。

为让本发明的上述和其它目的、特征和优点能更明显易懂，下文特举较佳实施例，并配合附图，作详细说明如下。

附图说明

图1所示为本发明一实施例提供的机器人安全逻辑控制系统。

图2所示为图1中电源模块、上电时序管理单元以及控制单元的电路原理框图。

图3所示为本发明一实施例提供的机器人安全逻辑控制系统中安全单元在断电保护状态下主电路再次上电时的时序控制方法流程图。

图4所述为本发明另一实施例提供的机器人安全逻辑控制系统中安全单元在断电保护状态下主电路再次上电时的时序控制方法流程图。

图5所示为非保护状态下主电路再次上电的时序图。

图6所示为断电保护状态下控制单元已关机时主电路再次上电的时序图。

图7所示为断电保护状态下控制单元未关机时主电路再次上电的时序图。

具体实施方式

如图1所示，本实施例提供的安全逻辑控制系统包括相互连接的伺服驱动模块1、安全单元2以及总线传输主站3，安全单元2和总线传输主站3之间相互监测，安全单元2和伺服驱动模块1之间建立第一安全回路10，总线传输主站3和伺服驱动模块1之间建立第二安全回路20。当安全单元2接收到异常输入信号、监测到总线传输主站3出现故障或者其自身出现故障时第一安全回路10内产生第一安全控制信号K1以关闭伺服驱动模块的输出。同时，当总线传输主站3接收到安全单元2输出的异常输入信号、其自身出现故障或者监测到安全单元2出现故障时第二安全回路20内产生第二安全控制信号K2以关闭伺服驱动模块1的输出。

本实施例提供的安全逻辑控制系统中第一安全回路10和第二安全回路20的设置不仅为伺服驱动模块1提供了双重安全控制，当其中一路安全回路出现故障时，伺服驱动模块1仍能通过另一安全回路来获得故障或异常信号，从而确保机器人的安全运行。进一步的，安全单元2和总线传输主站3之间相互监测彼此的运行状态。当安全单元2出现故障时，总线传输主站3会基于该故障信号通过第二安全回路20关闭伺服驱动模块1的输出；同样的，当总线传输主站3出现故障时，响应于该故障，安全单元2通过第一安全回路10关闭伺服驱动模块1的输出。安全单元2和总线传输主站3形成互锁的安全逻辑，大大提高了安全逻辑控制系统的安全等级。

于本实施例中，伺服驱动模块1包括与总线传输主站3匹配的传输从站11，传输从站11通过第二安全回路20监测总线传输主站3的状态，当监测到总线传输主站3出现故障时传输从站11输出第二安全控制信号K2以关闭伺服驱动模块1的输出。而当总线传输主站3正常时，第二安全回路20中的第二安全控制信号K2将由总线传输主站3输出至传输从站11。同样的，安全单元2上具有与总线传输主站3相匹配的输入输出接口21，当总线传输主站3出现故障时，输入输出接口21输出第一安全控制信号K1至伺服驱动模块1。

于本实施例中，总线传输主站3为EtherCAT传输总站，伺服驱动模块1上具有匹配的EtherCAT从站，安全单元2上具有EtherCAT输入输出接口，EtherCAT传输总站分别通过EtherCAT总线连接于安全单元2和伺服驱动模块1。安全单元2通过EtherCAT输入输出接口与总线传输主站3之间传输心跳信号的同时也传输其它故障或异常信号。伺服驱动模块1通过EtherCAT从站监听总线传输主站3的心跳信号或接收总线传输主站3输出的第一安全控制信号。在图1中，心跳信号的传输线采用LS表示(Live Signal)，错误信号的传输线采用ES表示(Error Signal)。所述心跳信号指的是每个模块内应用程序的心跳信号。譬如，对于控制单元而言，心跳信号可为示教器程序的心跳信号；而对于安全单元和总线传输主站而言则通过内置应用程序以实现双方心跳信号的监测。

于本实施例中，如图1所示，机器人安全逻辑控制系统还包括控制单元4。控制单元4包括实时操作模块41且实时操作模块41连接于总线传输主站3。当实时操作模块41出现故障时，总线传输主站3通过第二安全回路20关闭伺服驱动模块1输出的同时触发安全单元2通过第一安全回路10关闭伺服驱动模块1。

于本实施例中，总线传输主站3集成于实时操作模块41内，利用实时操作模块41内的CPU进行数据处理，故两者可通过共用的CPU来实现状态的相互监测。然而，本发明对此不作任何限定。于其它实时中，总线传输主站也可采用独立的CPU进行控制。此时，总线传输主站和实时操作模块之间采用心跳信号的传输线和错误信号进行通信。

于本实施例中，控制单元4内还包括非实时操作模块42，如windows系统。当非实时操作模块42出现故障时，实时操作模块41获取非实时操作模块42的故障信号并输出至总线传输主站3，总线传输主站3通过第一安全回路10和第二安全回路20关闭伺服驱动模块1的输出。进一步的，非实时操作模块42连接于安全单元2且安全单元2监听非实时操作模块42的状态。当安全单元2监听到实时操作模块41或非实时操作模块42出现故障时会通过第一安全回路10关闭伺服驱动模块1的输出。该设置使得控制单元4内的两个操作模块不仅可基于总线传输主站3输出故障信号，同步的还通过安全单元2输出故障信号，从而实现双重保护。

同样的，当安全单元2接收到异常输入信号时将异常输入信号传输至非实时操作模块42，非实时操作模块42将该异常输入信号传输至实时操作模块41，实时操作模块41触发总线传输主站3输出第二安全控制信K2以关闭伺服驱动模块1的输出。该设置同样为安全单元2提供的双重保护，此时若安全单元2和总线传输主站3之间的连接出现故障时，安全单元3也可提供过非实时操作模块42→实时操作模块41→总线传输主站3→第二安全回路20→伺服驱动模块1的方式来实现伺服驱动模块的关闭。

于本实施例中，控制单元4内还具有存储模块43，实时操作模块41和非实时操作模块42共享存储模块43，实时操作模块41和非实时操作模块42不仅通过共享的存储模块43获取对方的心跳信号以监测对方的状态；同时两者也通过存储模块43进行通信，譬如当非实时操作模块42接收到安全单元2输入的异常输入信号后经存储模块43传输至实时操作模块41。

于本实施例中，安全单元3通过RS总线连接于非实时操作模块42并监测非实时操作模块42的心跳信号。然而，本发明对此不作任何限定。于其它实施例中，两者也可采用其它的总线进行通信。

进一步的，于本实施例中，主电路上具有一控制主电路通断的交流接触器8。安全单元2连接于交流接触器8且与交流接触器8间建立第三安全回路30，安全单元2通过第一安全回路10关闭伺服驱动模块1输出的同时还通过第三安全回路30输出第三安全控制信号K3至交流接触器8，断开主电路的输入，进而实现伺服驱动模块1的关闭。在第一安全回路10和第二安全回路20中伺服驱动模块1的关闭是基于输入的安全控制信号以软件控制的方式来实现输出的关闭。而第三安全回路30中，安全单元2对交流接触器8的控制不仅在输入端且是采用硬件的方式。该设置使得即使伺服驱动模块1出现故障而无法响应第一安全回路10和第二安全回路20输入的安全控制信号时，安全单元2也可通过控制交流接触器8来实现输入端的强制切断，进一步提高安全等级。然而，本发明对此不作任何限定。于其它实施例中，当伺服驱动模块具有自检功能时也可不设置第三安全回路。

以下将结合图1来详细描述本实施例提供的机器人安全逻辑控制系统的工作原理。

首先，当安全单元2接收到外部急停信号或示教器输入的急停信号时：①安全单元2通过第一安全回路10输出第一安全控制信号K1至伺服驱动模块1以关闭伺服驱动模块1的输出。②安全单元2通过第三安全回路30输出第三安全控制信号K3切断交流接触器8，伺服驱动模块1从主电路上断开，其输出对应的关闭。③安全单元2将故障信号经输入输出接口21传输至总线传输主站3，总线传输主站3传输至实时控制模块41，实时控制模块41处理后经总线传输主站3和第二安全回路20输出第二安全控制信号K2至伺服驱动模块1。④安全单元2通过RS总线将急停信号传输至非实时操作模块42，非实时操作模块42经存储模块43将急停信号传输至实时操作模块41。基于接收到的急停信号，实时控制模块41触发总线传输主站3通过第二安全回路20关闭伺服驱动模块1。此外，当安全单元本身出现故障时，总线传输主站3和非实时操作模块也会通过检测安全单元的心跳信号而通过第一安全回路关闭伺服驱动模块1。

其次，当总线传输主站3死机时：①安全单元2内的输入输出接口21在设定时间内未能接收到总线传输主站3的心跳信号，输入输出接口21输出安全触发信号，安全单元2基于该安全触发信号通过第一安全回路10输出第一安全控制信号K1至伺服驱动模块1以关闭伺服驱动模块1的输出。②安全单元2通过第三安全回路30输出第三安全控制信号K3切断交流接触器8，伺服驱动模块1从主电路上断开，其输出对应的关闭。③伺服驱动模块1内的传输从站11在设定时间内未能接收到总线传输主站3的心跳信号后输出第二安全控制信号K2，基于该第二安全控制信号K2伺服驱动模块1关闭其输出。④实时操作模块41通过总线传输主站3内的软件实时监测总线传输主站3的状态，当其发现总线传输主站3死机后，通过存储模块43发送安全触发信号至非实时操作模块42，非实时操作模块42通过RS总线将安全触发信号输出至安全单元2内，安全单元2同时通过第一安全回路10和第三安全回路30关闭伺服驱动模块1的输出。

再次，当实时操作模块41死机时：①于本实施例中，由于总线传输主站3集成于实时操作模块41内故当实时操作模块41死机时，安全单元2内的输入输出接口21在设定时间内未能接收到总线传输主站3的心跳信号，输入输出接口21输出安全触发信号，安全单元2基于该触发信号通过第一安全回路10输出第一安全控制信号K1至伺服驱动模块1以关闭伺服驱动模块1的输出。②安全单元2通过第三安全回路30输出第三安全控制信号K3切断交流接触器8，伺服驱动模块1从主电路上断开，其输出对应的关闭。③总线传输主站3的诊断程序监测到实时操作模块41死机后通过第二安全回路20输出第二安全控制信号K2以关闭伺服驱动模块的输出。④非实时两个操作模块42通过存储模块43无法获取到实时操作模块41的心跳信号后通过RS总线输出安全触发信号至安全单元2，安全单元2同时通过第一安全回路10和第三安全回路30关闭伺服驱动模块1的输出。

最后，当非实时操作模块42死机时：①安全单元2无法通过RS总线获取到非实时操作模块42的心跳信号，安全单元2通过第一安全回路10输出第一安全控制信号K1至伺服驱动模块1以关闭伺服驱动模块1的输出。②安全单元2通过第三安全回路30输出第三安全控制信号K3切断交流接触器8，伺服驱动模块1从主电路上断开，其输出对应的关闭。③实时操作模块41通过存储模块43无法获取到非实时操作模块42的心跳信号后通过总线传输主站3和第二安全回路20输出第二安全控制信号K2至伺服驱动模块1。④实时操作模块41通过存储模块43无法获取到非实时操作模块42的心跳信号后通过总线传输主站3输出安全触发信号至安全单元2，安全单元2通过第一安全回路10或第三安全回路30关闭伺服驱动模块1的输出。

如上文所述，本实施例提供的机器人安全逻辑控制系统中，安全单元2、总线传输主站3、实时操作模块41以及非实时操作模块42之间相互监测以形成安全互锁，大大提高了系统的安全等级；而软件安全控制和硬件安全控制的相互结合也进一步提高了可靠性。此外，本实施例提供的机器人安全逻辑控制系统是基于现有的机器人控制系统内的各功能模块而开发，其无需增加任何的硬件器件，因此，大大减小了安全逻辑控制设计的成本。

此外，在机器人执行过程中，主电路断电时，控制单元4内的实时操作模块41和非实时操作模块42发生非正常关闭，这及其容易造成两个操作模块内数据的损坏，机器人重启后将无法再继续执行当前的作业。为解决这一问题，于本实施例中，采用具有断电保护功能的电源模块5来为控制单元4供电。如图2所示，电源模块5包括电源转换电路51、控制器电源模块52、网压检测模块53以及储能模块54。电源转换电路51连接于主电路。控制器电源模块52连接于电源转换电路51且为控制单元4供电。网压检测模块53连接于电源转换电路51以检测电源转换电路的输入电压，当电源转换电路51的输入电压低于设定阈值时，电源模块5输出断电触发信号至安全单元2。所述断电触发信号作为急停信号输入至安全单元2后，安全单元2将按照图1中的安全逻辑断开伺服驱动模块1的输出，从而使机器人暂停。

储能模块54连接于控制器电源模块52且在主电路正常供电工作时储能；当主电路断电时储能模块54输出能量以维持控制器电源模块52正常工作，控制器电源模块52继续为控制单元4供电以使实时操作模块41和非实时操作模块42能基于断电触发信号完成断电存储。于本实施例中，储能模块54还为安全单元2供电，以使其在主电路断电后能正常工作。

于本实施例中，储能模块54包括连接于电源转换电路51正负母线之间的电容C1，电源转换电路51正常供电时输入电压通过正负母线为电容C1充电，充电后的电容C1两端电压为U1。当电源转换电路51的输入电压低于设定阈值时电容C1释放能量至控制器电源模块52。电容C1储存的能量将继续维持控制器电源模块52正常工作，直至电容C1储存的能量不足以维持控制器电源模块52正常运行，控制器电源模块52停止工作。电容C1的容量大小决定了断电触发信号B触发后控制单元4用于存储数据并进行正常关机的工作时间。优选的，于本实施例中，设置电容C1的容量可为控制单元4提供30秒的数据存储时间，该时间大于控制单元正常的关机时间△T。然而，本发明对储能模块的结构不作任何限定。于其它实施例中，储能模块也可采用电感等其它储能元件来实现。

如图2所示，于本实施例中，电源模块5还包括跨接于控制器电源模块52的输出端的输出电容C2，输出电容C2在电源转换电路51正常工作时储能，当电源转换电路51的输入电压低于设定阈值时输出电容C2放电，释放的能量与电容C1输出能量相叠加后输出至控制单元4。在断电时，输出电容C2对电容C1的补充叠加使得连接在电源转换电路51上的电容C1的容量可以设置得较小，从而减小电容C1的体积，进而实现电源转换电路51的小型化。然而，本发明对此不作任何限定。

电源转换电路51通过输入侧开关Kin连接于市电，输入端输入的是交流市电，电容C1两端的电压U1与输入的交流电压的峰值相关(U1＝Uin*1.414，而其中Uin为输入交流电压的有效值)。故设置网压检测模块53连接于电源转换电路51的正负母线之间且位于电容C1的输出侧，网压检测模块53通过检测电容C1两端的电压U1来判断输入电压值。具体而言，当电源转换电路51输入端的的交流电压有效值低于180V时，即电容C1两端的电压U1低于180×1.414＝254V时，网压检测模块53输出断电触发信号B至安全单元2，安全单元2将该断电触发信号经总线传输主站3输出至控制单元4。然而，本发明对此不不作任何限定。于其它实施例中，网压检测模块也可连接于电容的输入侧以直接检测电源转换电路的输入电压。或者网压检测模块也可直接输出断电触发信号至控制单元。或者当网压检测模块检测到主电路断电时，关闭电源模块的支路电源模块的输出，支路电源模块关闭的同时通过一继电器开关将断电触发信号输出至控制单元。所述支路电源模块包括为示教器供电的示教器电源模块和为安全单元内输入输出接口供电的输入输出电源模块等。本发明对此不作任何限定。

于本实施例中，控制单元4为工业控制计算机(简称IPC)。然而，本发明对此不作任何限定。

具有断电保护的电源模块5在主电路断电时为控制单元4提供了数据存储的时间，从而实现异常断电下数据的安全存储。然而在具有断电保护功能的电源模块5中，主电路断电后电源模块5仍持续为控制单元4供电以使实时操作模块41和非实时操作模块42基于断电触发信号进行断电存储，从而实现断电保护。在断电保护状态下，电源模块5的持续输出使得控制单元4的输入端一直维持高电平。在该状态下主电路若再次上电控制单元4的输入端电平不会改变，控制单元4将维持关机状态，两个操作模块也就无法重启。故在断电保护状态下一旦控制单元4关机将会出现无法再重启的故障问题。有鉴于此，于本实施例中，机器人安全逻辑控制方法还提供了一种上电时序控制方法以解决上述问题。

如图3所示，本实施例提供的上电时序控制方法包括：如图1所示，本实施例提供的机器人时序控制方法包括：在主电路断电后再次上电时，判断电源模块的输出状态(步骤S10)。当电源模块处于断电保护输出时，判断机器人控制器是否关机(步骤S20)。若是，输出上电触发信号至机器人控制器以使其重新启动操作系统(步骤S30)。若否，实时监测机器人控制器内示教器程序的状态(步骤S41)。当监测到示教器程序已关闭后延时一预设时间以使机器人控制器关机(步骤S42)。延时结束后输出上电触发信号至机器人控制器以使其重新启动操作系统(步骤S30)。以下将结合图5至图7来详细介绍本实施例提供的上电时序控制方法。

本实施例提供的上电时序控制方法始于步骤S10，在主电路断电后再次上电时，判断电源模块5的输出状态。在具有断电保护功能的机器人控制系统中，主电路断电后电源模块5将切换至断电保护输出状态以继续为控制单元4供电以实现断电存储。当控制单元4完成断电存储并关机且电源模块5也不再为控制单元4供电时，如图5所示，控制单元4的输入端VIPC将处于低电平，△T为控制单元4正常关机的时间。此时，若主电路再次上电时，连接于主电路的电源模块5将主电路上的市电进行转换后输出至控制单元4，控制单元4的输入端从低电平变化为高电平，输入端电平的跳变触发两个操作模块正常重启。此时，上电时序控制方法不对该状态起作用，其适用于电源模块处于断电保护输出且主电路再次上电时的状态，故在主电路上电后需对电源模块的状态进行检测。在图5至图7中，VIN表示主电路的输入电压；VCPS为电源模块的输出电压；B为断电触发信号；A为上电触发信号；VIPC为控制单元4输入端电压。

于本实施例中，电源模块5中采用电容C1来为控制单元4提供断电保护，故可通过检测电容两端的电压来判断电源模块5的状态。当电容C1两端的电压U1低于设定阈值(该阈值为维持控制单元4工作的最低电压)时，则认为电源模块5处于断电保护状态。然而，本发明对此不作任何限定。于其它实施例中，也可采用计时的方式来判断。具体而言，计算主电路再次上电和上一次断电之间的时间间隔，当该时间间隔小于控制单元4正常关机的时间△T(譬如10秒)时，则判断电源模块处于断电保护输出且控制单元4未关机。或者，于其它实施例中，也可通过检测电源模块的输出来直接判断其状态。

当主电路再次上电且步骤S10检测到电源模块5处于断电保护输出状态时，执行步骤S20，判断控制单元是否已经关机。若控制单元已经关机，如图6所示，电源时序管理单元输出上电触发信号A至控制单元4以使其重新启动两个操作模块(步骤S30)。于本实施例中，电源时序管理单元通过断开电源模块5和控制单元4之间的通路后又闭合来为控制单元4的输入端提供一具有上升沿的上电触发信号A，控制单元4基于该上电触发信号的上升沿而重启两个操作模块。然而，本发明对此不作任何限定。于其他实施例中，也可在控制单元4内设置一强制使能端，电源时序管理单元也可将上电触发信号输出至强制使能端，以使控制单元4响应主电路再次上电而重启两个操作模块。

对于控制单元4状态的判断，当主电路再次上电和上一次断电之间的时间间隔△t小于控制单元4正常关机的时间△T(譬如10秒)时(如图7所示)，显然，控制单元4仍处于断电存储状态而未关机。若时间间隔△t大于或等于控制单元4正常关机△T的时间(如图6所示)，正常情况下控制单元4是处于关机状态的。然而，于其它实施例中，为了准确确认控制单元4的状态，电源时序管理单元也可向控制单元4发送一心跳查询信号，若控制单元4未能返回心跳信号，则可确认控制单元4已关机。本发明对此不作任何限定。

在步骤S20中，若判断机器人控制器仍处于断电存储状态时，执行步骤S41，实时监测机器人控制器内示教器程序的状态。具体而言，电源时序管理单元每间隔一段时间向机器人控制器发送一心跳查询信号来确认机器人控制器内示教器程序输出的心跳信号。当在预设的间隔时间内未能接收到心跳信号则判断示教器程序已关闭。譬如预设的时间间隔为3S～5S，若心跳查询信号发送5S后仍未能接收到操作系统返回的心跳信号，则判断示教器程序已关闭。然而，本发明对此不作任何限定。当确认示教器程序在T1时刻已经关闭后，执行步骤S42，延时一预设时间△T2以使机器人控制器关机，时序图如图7所示。延时结束且确认机器人控制器已关机后输出上电触发信号A至机器人控制器以使其重新启动操作系统(步骤S30)。

本实施例提供的机器人时序控制方法实现了在电源模块处于断电保护输出时机器人控制器内操作系统在主电路再次上电时的正常启动，确保机器人控制器运行的安全和稳定。本实施例提供的机器人时序控制方法中，当电源模块处于断电保护输出且机器人控制器为关机时是通过监测机器人控制器内示教器程序的心跳信号再结合延时的方式来确认机器人控制器何时完成断电存储且关机的。该方法采用纯软件的形式来实现机器人控制器关机状态的检测，无需更改现有机器人控制系统内的任何硬件，设计非常的方便。然而，本发明对此不作任何限定。于其它实施例中，如图4所示，在主电路断电再次上电时，判断电源模块的输出状态，当电源模块处于断电保护输出且机器人控制器为关机时：检测机器人控制器主板的断电信号(步骤S41’)；接收到机器人控制器主板的断电信号(步骤S42’)；输出上电触发信号至机器人控制器以使其重新启动操作系统(步骤S30)。

于本实施例中，图5至图7还展示了主电路断电后的电路时序图。上电时序控制方法包括：在主电路断电时，电源模块5进入断电保护输出状态并输出断电触发信号B。控制单元4在断电触发信号B的作用下进行断电存储。电源模块的输出电压VCPS(电容两端的电压)开始逐渐下降；而控制单元4上的输入电压VIPC也跟随其逐渐下降。

与上述上电时序控制方法相对应的，如图2所示，电源时序管理单元6包括电源判断模块61、控制器判断模块62以及时序控制模块63。电源判断模块61在主电路断电后再次上电时，判断电源模块5的输出状态。当电源模块5处于断电保护输出时，控制器判断模块62判断控制单元4是否关机。当控制单元4已关机时，时序控制模块63输出上电触发信号至控制单元4以使其重新启动两个操作模块；当控制单元4仍未关机时，时序控制模块63实时监测机器人控制器内示教器程序的状态，当监测到示教器程序在T1时刻已关闭后延时一预设时间△T2以使控制单元4关机(T1+△T2≈△T)；延时结束后时序控制模块63输出上电触发信号至控制单元4以使其重新启动两个操作模块。

本实施例提供的电源时序管理单元6的工作原理如上述上电时序控制方法中的步骤S10～步骤S42，在此不作赘述。

于本实施例中，电源模块4和控制单元4之间具有控制开关7，时序控制模块63输出信号至控制开关7以断开控制单元4的输入；之后又迅速闭合控制开关7。控制开关7的快速断开后又关闭在控制单元4的输入端形成了一具有上升沿且可被两个操作模块识别的上电触发信号A；基于该上电触发信号A两个操作模块正常启动。然而本发明对此不作任何限定。于其它实施例中，也可在控制单元4上设置独立于输入端的强制使能端，电源时序管理单元输出上电触发信号至强制使能端以使两个操作模块启动。

于本实施例中，当电源模块5处于断电保护输出且控制单元4仍未关机时，时序控制模块63每间隔一段时间监测并确认控制单元4内示教器程序的心跳信号，当在预设的间隔时间内未能接收到心跳信号则判断两个操作模块已关闭。然而，本发明对此不作任何限定。

于本实施例中，电源判断模块61为连接于电容C1的比较器，电源判断模块61通过检测电容C1两端的电压U1来判断电源模块5的状态；当电容C1两端的电压U1来低于设定阈值(该阈值为维持控制单元4工作的最低电压)时，则认为电源模块处于断电保护状态。控制器判断模块62则为一计时器，当主电路再次上电和上一次断电之间的时间间隔△t小于控制单元4正常关机的时间△T(譬如10秒)时，显然控制单元4仍处于断电存储状态而未关机。若时间间隔△t大于或等于控制单元4正常关机的时间△T，正常情况下控制单元4是处于关机状态的；此时为了准确确认控制单元4的状态，时序控制模块63也可向控制单元4发送一心跳查询信号，若控制单元4未能返回心跳信号，则可确认控制单元4已关机。然而，本发明对此不作任何限定。

于本实施例中，电源时序管理单元6集成于安全单元2内，时序控制模块63利用安全单元内的CPU以软件程序的形式来实现机器人状态的确认、时序的控制以及上电触发信号的输出。然而，本发明对此不作任何限定。于其它实施例中，电源时序管理单元也可采用独立的CPU进行设计。

具有断电保护功能的电源模块5和电源时序管理单元6实现了异常断电下数据的安全存储和控制单元4的正常重启，进一步提高系统的使用安全性。

综上所述，本发明提供的机器人安全逻辑控制系统中安全单元、总线传输主站以及伺服驱动模块三者相互连接。系统不仅在安全单元和伺服驱动模块之间建立第一安全回路而且总线传输主站和伺服驱动模块之间还具有第二安全回路。当有异常输入信号或故障时，伺服驱动模块除了接收来自第一安全回路的安全信号外还同时接收来自第二安全回路的安全信号；多安全回路的控制确保伺服驱动模块能准确响应异常输入或故障，从而实现急停。进一步的，由于安全单元和总线传输主站之间相互监测，当安全单元或总线传输主站任一出现故障时，伺服驱动模块能对该故障进行响应，实现多模块的安全互锁控制，大大提高了安全控制等级。

虽然本发明已由较佳实施例揭露如上，然而并非用以限定本发明，任何熟知此技艺者，在不脱离本发明的精神和范围内，可作些许的更动与润饰，因此本发明的保护范围当视权利要求书所要求保护的范围为准。

Claims (15)

1.一种机器人安全逻辑控制系统，其特征在于，包括：相互连接的伺服驱动模块、安全单元以及总线传输主站，安全单元和总线传输主站之间相互监测，安全单元和伺服驱动模块之间建立第一安全回路，总线传输主站和伺服驱动模块之间建立第二安全回路；

当安全单元接收到异常输入信号、监测到总线传输主站出现故障或者其自身出现故障时第一安全回路内产生第一安全控制信号以关闭伺服驱动模块的输出；

同时，当总线传输主站接收到安全单元输出的异常输入信号、其自身出现故障或者监测到安全单元出现故障时第二安全回路内产生第二安全控制信号以关闭伺服驱动模块的输出。

2.根据权利要求1所述的机器人安全逻辑控制系统，其特征在于，伺服驱动模块包括与总线传输主站匹配的传输从站，传输从站通过第一安全回路监测总线传输主站的状态，当监测到总线传输主站出现故障时传输从站输出第一安全控制信号以关闭伺服驱动模块的输出。

3.根据权利要求1所述的机器人安全逻辑控制系统，其特征在于，所述机器人安全逻辑控制系统还包括控制单元，控制单元内的实时操作模块连接于总线传输主站；当实时操作模块出现故障时：

总线传输主站通过第一安全回路输出第一安全控制信号以关闭伺服驱动模块的输出，同时将实时操作模块的故障信号输出至安全单元；

安全单元通过第二安全回路输出第二安全控制信号以关闭伺服驱动模块的输出。

4.根据权利要求3所述的机器人安全逻辑控制系统，其特征在于，所述控制单元内还包括非实时操作模块；当非实时操作模块出现故障时，实时操作模块获取非实时操作模块的故障信号并输出至总线传输主站，总线传输主站通过第一安全回路和第二安全回路关闭伺服驱动模块的输出。

5.根据权利要求4所述的机器人安全逻辑控制系统，其特征在于，控制单元内还具有存储模块，实时操作模块和非实时操作模块共享存储模块，两者通过共享的存储模块分别获取对方的心跳信号以监测对方的状态。

6.根据权利要求4或5所述的机器人安全逻辑控制系统，其特征在于，非实时操作模块连接于安全单元且安全单元监听非实时操作模块的状态；

当实时操作模块出现故障时，非实时操作模块将故障信号输出至安全单元，安全单元输出第一安全控制信号以关闭伺服驱动模块的输出；

当非实时操作模块出现故障时，安全单元监听到故障信号后输出第一安全控制信号以关闭伺服驱动模块的输出。

7.根据权利要求6所述的机器人安全逻辑控制系统，其特征在于，当安全单元接收到异常输入信号时将异常输入信号传输至非实时操作模块，非实时操作模块通过存储模块将该异常输入信号传输至实时操作模块，实时操作模块触发总线传输主站输出第二安全控制信以关闭伺服驱动模块的输出。

8.根据权利要求4所述的机器人安全逻辑控制系统，其特征在于，为控制单元供电的电源模块具有断电保护功能时，机器人安全逻辑控制系统还包括连接于控制单元的时序管理模块；在电源模块处于断电保护输出且主电路再次上电时，时序管理模块管理控制单元的上电时序使关闭后的实时操作模块和非实时操作模块基于主电路的再次上电而重新启动。

9.根据权利要求8所述的机器人安全逻辑控制系统，其特征在于，所述时序管理模块在主电路断电后再次上电时：

判断电源模块的输出状态；

当电源模块处于断电保护输出时，判断机器人控制器是否关机；

若是，输出上电触发信号至机器人控制器以使其重新启动操作系统；

若否，实时监测机器人控制器内示教器程序的状态或机器人控制器主板的断电信号；

当监测到示教器程序已关闭后延时一预设时间以使机器人控制器关机，延时结束后输出上电触发信号至机器人控制器以使其重新启动操作系统；

或者，当接收到机器人控制器主板的断电信号后输出上电触发信号至机器人控制器以使其重新启动操作系统。

10.根据权利要求9所述的机器人安全逻辑控制系统，其特征在于，时序管理模块计算主电路再次上电和上一次断电之间的时间间隔，当该时间间隔小于机器人控制器正常关机的时间时，则判断电源模块处于断电保护输出且机器人控制器未关机。

11.根据权利要求9所述的机器人安全逻辑控制系统，其特征在于，当机器人控制器关机后，时序管理模块断开电源模块和机器人控制器之间的通路后又闭合，为机器人控制器提供一具有上升沿的上电触发信号。

12.根据权利要求8所述的机器人安全逻辑控制系统，其特征在于，所述电源模块包括：

电源转换电路，连接于主电路；

控制器电源模块，连接于电源转换电路且为机器人控制器供电；

网压检测模块，连接于电源转换电路以检测电源转换电路的输入电压，当电源转换电路的输入电压低于设定阈值时，电源模块输出断电触发信号至电源时序管理单元，电源时序管理单元将该断电触发信号输出至机器人控制器；

储能模块，连接于控制器电源模块且在主电路正常供电工作时储能；当主电路断电时储能模块输出能量以维持控制器电源模块正常工作，控制器电源模块为机器人控制器供电以使其基于断电信号完成断电存储。

13.根据权利要求12所述的机器人安全逻辑控制系统，其特征在于，所述储能模块包括连接于电源转换电路的正负母线之间的电容，电源转换电路正常供电时为电容充电；当电源转换电路的输入电压低于设定阈值时电容释放能量至控制器电源模块以使其正常工作。

14.根据权利要求1所述的机器人安全逻辑控制系统，其特征在于，主电路上具有一控制主电路通断的交流接触器，

安全单元连接于交流接触器且与交流接触器间建立第三安全回路，安全单元通过第一安全回路关闭伺服驱动模块输出的同时还通过第三安全回路输出第三安全控制信号至交流接触器，断开主电路的输入。

15.根据权利要求1所述的机器人安全逻辑控制系统，其特征在于，所述总线传输主站为EtherCAT传输总站，伺服驱动模块上具有匹配的EtherCAT从站，安全单元上具有EtherCAT输入/输出口，EtherCAT传输总站分别通过EtherCAT总线连接于安全单元和伺服驱动模块。

Images