-
Die vorliegende Erfindung betrifft ein Verfahren zum Überprüfen einer technischen Vorrichtung sowie eine Recheneinheit und ein Computerprogramm zu dessen Durchführung.
-
Hintergrund der Erfindung
-
Zur Überwachung bzw. Überprüfung von technischen Vorrichtungen wie Maschinen oder Anlagen kann ein Sicherheitsprogramm vorgesehen sein, welches einzelne Komponenten der technischen Vorrichtungen überwachen sowie Fehlerzustände dieser Komponenten definieren kann. Ein derartiges Sicherheitsprogram kann in einer Recheneinheit der Vorrichtung ausgeführt werden, beispielsweise in einem Sicherheitssteuergerät (engl.: „Safety Control Unit“, SCU), um während des laufenden Betriebs einzelne Komponenten der technischen Vorrichtung auf Fehler zu überwachen.
-
Offenbarung der Erfindung
-
Erfindungsgemäß werden ein Verfahren zum Überprüfen einer technischen Vorrichtung sowie eine Recheneinheit und ein Computerprogramm zu dessen Durchführung mit den Merkmalen der unabhängigen Patentansprüche vorgeschlagen. Vorteilhafte Ausgestaltungen sind Gegenstand der Unteransprüche sowie der nachfolgenden Beschreibung. Vorteile und vorteilhafte Ausgestaltungen der erfindungsgemäßen Vorrichtung und des erfindungsgemäßen Verfahrens ergeben sich aus der vorliegenden Beschreibung in entsprechende Weise.
-
Als technische Vorrichtung sei in diesem Zusammenhang insbesondere eine Einheit oder ein System verschiedener Einheiten zu verstehen zum Ausführen eines technischen Prozesses, insbesondere eines regelungs- und/oder steuerungstechnischen Prozesses. Die technische Vorrichtung kann insbesondere als eine Maschine ausgebildet sein, also insbesondere als eine Vorrichtung zur Energie- bzw. Kraftumsetzung. Ferner kann die technische Vorrichtung auch insbesondere als eine Anlage ausgebildet sein, also insbesondere als ein System aus einer Vielzahl von Einheiten, die jeweils beispielsweise Maschinen sein können.
-
Die technische Vorrichtung weist insbesondere eine Vielzahl von Komponenten auf, beispielsweise eine automatisch bewegbare, verfahrbare, drehbare, schwenkbare Komponenten wie automatisch bewegbare (Roboter-) Arme, automatisch bewegbare (Roboter-) Fahrzeuge usw.
-
Im Rahmen der vorliegenden Erfindung wird ein Überprüfungsablauf zum Durchführen einer Überprüfung bzw. eines Systemtests einer Komponente der technischen Vorrichtung bestimmt bzw. erstellt, insbesondere einer Überprüfung auf eine funktionale Sicherheit und/oder auf Fehlerzustände der Komponente. Dieser Überprüfungsablauf wird abhängig von einem Programm bzw. einem Sicherheitsprogramm einer Recheneinheit, insbesondere eines Sicherheitssteuergeräts der technischen Vorrichtung bestimmt. Dieses Programm überwacht die Komponente der technischen Vorrichtung und definiert Fehlerzustände der Komponente.
-
Die Recheneinheit ist insbesondere als Sicherheitssteuergerät (engl.: „Safety Control Unit“, SCU) zur Überprüfung bzw. Überwachung einer funktionalen Sicherheit der Vorrichtung und deren Komponenten ausgebildet. Das (Sicherheits-)Programm stellt insbesondere eine Programmierung bzw. ein Steuerprogramm dieser Recheneinheit bzw. dieses Sicherheitssteuergerät dar. Zur Beurteilung der funktionalen Sicherheit beschreibt, charakterisiert bzw. definiert das (Sicherheits-)Programm insbesondere die einzelnen Komponenten der technischen Vorrichtung sowie mögliche Fehlerzustände der einzelnen Komponenten und insbesondere einen fehlerfreien Betrieb sowie einen fehlerhaften Betrieb der einzelnen Komponenten.
-
Abhängig von dem bestimmten Überprüfungsablaufwird die Überprüfung bzw. der Systemtest der Komponente durchgeführt. Beispielsweise kann die Komponente im Zuge dieser Überprüfung auf das Eintreten von Fehlerzuständen oder auf das Gewährleisten der funktionalen Sicherheit überprüft werden. Beispielsweise können im Zuge der Überprüfung Fehlerfälle oder Fehlerzustände absichtlich unter kontrollierten Rahmenbedingungen ausgelöst werden und eine Reaktion der Komponente kann überwacht werden, insbesondere dahingehend, ob eine funktionale Sicherheit der Komponente und der gesamten Vorrichtung auch beim Eintreten derartiger Fehlerfälle bzw. Fehlerzustände gewährleistet ist.
-
Abhängig von dieser durchgeführten Überprüfung wird eine Risikobewertung durchgeführt. Im Zuge einer derartigen Risikobewertung können insbesondere eine Eintrittswahrscheinlichkeit von möglichen Fehlerzuständen bestimmt werden sowie ferner insbesondere Auswirkungen auf die funktionale Sicherheit der Vorrichtung beim Eintreten derartiger Fehlerzustände analysiert und bewertet werden. Beispielsweise kann beurteilt werden, ob ein derartiges Risiko akzeptabel und tragbar ist. Insbesondere wird eine Dokumentation bzw. Prüfdokumentation erstellt, in welcher die Ergebnisse dieser Risikobewertung und ferner insbesondere die Ergebnisse der Überprüfungen gemäß dem Überprüfungsablauf hinterlegt sind. Die Risikobewertung bzw. diese Prüfdokumentation kann insbesondere als Nachweis bzw. für eine Zertifizierung der Vorrichtungssicherheit für eine Prüfstelle oder Prüfgesellschaft vorgesehen sein.
-
Die vorliegende Erfindung ermöglicht es, Risikobewertungen der technischen Vorrichtung automatisch oder zumindest teilweise automatisch, effektiv und aufwandsarm durchzuführen, basierend auf dem (Sicherheits-)Programm des Sicherheitssteuergeräts der Vorrichtung. Aus dem Programm bzw. der Programmierung des Sicherheitssteuergeräts können zur Beurteilung der funktionalen Sicherheit der jeweiligen Komponente nötige bzw. sinnvoll durchzuführende Überprüfungen der Komponente automatisch softwarebasiert extrahiert werden. Die entsprechenden Überprüfungen können insbesondere automatisch oder zumindest teilweise automatisiert durchgeführt werden. Ferner können die Risikobewertung und die Prüfdokumentation automatisch durchgeführt und bereitstellt werden.
-
Die Risikobewertung kann mit geringem oder minimalem Aufwand für einen Benutzer bzw. Bediener der Vorrichtung durchgeführt werden und erfordert besonders zweckmäßig kein detailliertes Fachwissen über die Vorrichtung und über die Aspekte der funktionalen Sicherheit der Vorrichtung, da die benötigten Informationen über die Vorrichtung automatisch aus dem (Sicherheits-)Programm der Recheneinheit ausgelesen werden. Es ist daher insbesondere nicht nötig, die Risikobewertung durch einen ausgebildeten Experten durchzuführen. Stattdessen wird es auch regulären Bedienern ermöglicht, die Risikobewertung zumindest teilweise automatisch durchzuführen. Insbesondere kann somit initial im Zuge der Entwicklung der Vorrichtung ein Zertifizierungsprozess mit der dazu nötigen Systemdokumentation auch durch einfache Bediener vorgenommen werden. Besteht beispielsweise Bedarf an einem erneuten oder auch einem wiederholten, z.B. periodischen Nachweis der Systemsicherheit, ist ein wiederholter Systemtest mitsamt Risikobewertung und Prüfdokumentation aufwandsarm und ohne tieferes Systemverständnis möglich.
-
Besonders zweckmäßig kann die Erfindung in Form eines Algorithmus, Computerprogramms, Software-Werkzeugs oder einer Software realisiert werden. Besonders zweckmäßig kann dieses Software-Werkzeug in die Recheneinheit bzw. in das Sicherheitssteuergerät selbst integriert und dort ausgeführt werden. Ferner kann das Software-Werkzeug auch von einer weiteren Recheneinheit ausgeführt werden, welche mit dem Sicherheitssteuergerät in Kommunikationsverbindung steht. Das Software-Werkzeug stellt besonders zweckmäßig eine Schnittstelle für eine zumindest teilweise automatische Durchführung der Risikobewertung bereit, insbesondere eine Schnittstelle zwischen der Recheneinheit bzw. dem Sicherheitssteuergerät, dem Benutzer der technischen Vorrichtung und ferner insbesondere weiteren Steuereinheiten der Vorrichtung.
-
Die vorliegende Erfindung stellt somit eine Möglichkeit bereit, um den zugehörigen und aus der Programmierung des Sicherheitssteuergeräts automatisch abgeleiteten Überprüfungsablauf und den teilweise automatisiert mit Hilfe eines geeignet ausgelegten Sicherheitssteuergeräts durchgeführten Systemtest in eine konsolidierte Risikobewertung und Prüfdokumentation zu übertragen.
-
Gemäß einer vorteilhaften Ausführungsform werden für das Durchführen der Risikobewertung ein Leistungsgrad der technischen Vorrichtung bzw. deren Komponenten bestimmt und/oder es wird eine Fehlzustandsart- und Fehlerauswirkungsanalyse durchgeführt und/oder es wird eine Rate von erkannten gefährlichen Fehlerzuständen im Vergleich zu allen gefährlichen Fehlerzuständen bestimmt und/oder es wird eine mittlere Betriebsdauer bis zum Ausfall bestimmt.
-
Mit Hilfe des Leistungsgrads (engl.: „Performance Level“, PL) kann insbesondere eine Zuverlässigkeit der Steuerung der technischen Vorrichtung bestimmt werden. Der Leistungsgrad definiert insbesondere eine Fähigkeit der Steuerung, Sicherheitsfunktionen unter vorhersehbaren Bedingungen auszuführen. Je größer das Risiko bzw. die Gefahrensituation für die technische Vorrichtung ist, desto höher sind die sicherheitsbezogenen Anforderungen an die Steuerung. Diese Gefahrensituation werden insbesondere in fünf Leistungsgrade eingeteilt, von dem niedrigsten Grad „PL a“ bis zu dem höchsten Grad „PL e“. Der Leistungsgrad der Vorrichtung kann insbesondere im Rahmen einer Risikobeurteilung nach EN ISO 13849-1 ermittelt und zugeordnet werden.
-
Die Fehlzustandsart- und Fehlerauswirkungsanalyse (engl.: „Failure Mode and Effects Analysis“, FMEA, oder „Failure Modes, Effects, and Diagnostic Analysis“, FMEDA) kann insbesondere gemäß der Norm DIN EN 60812 durchgeführt werden. Insbesondere kann eine derartige FMEA bzw. FMEDA analytische Methoden der Zuverlässigkeitstechnik umfassen, welche qualitative und/oder quantitative Aussagen über Fehlerzustände der technischen Vorrichtung ermöglichen. Ferner kann im Zuge einer derartigen Analyse eine Bewertung von möglichen Fehlern nach deren Bedeutung für einen Betreiber der Vorrichtung sowie ferner nach deren Auftretenswahrscheinlichkeiten und Entdeckungswahrscheinlichkeiten jeweils mit einer Kennzahl erfolgen.
-
Ferner kann im Zuge einer derartigen FMEA bzw. FMEDA insbesondere die Rate von erkannten gefährlichen Fehlerzuständen zu allen gefährlichen Fehlerzuständen als sog. Diagnosedeckungsgrad (engl.: „Diagnostic Coverage“) bestimmt werden. Ferner kann beispielsweise auch ein Anteil von erkannten nicht-gefährlichen Fehlern im Vergleich zu allen Fehlern als sog. sichere Fehlerrate (engl.: „Safe Failure Fraction“) bestimmt werden. Diese Deckungsgrade bzw. Raten werden insbesondere in den Normen IEC 61508 und EN ISO 13849 beschrieben.
-
Die mittlere Betriebsdauer bis zum Ausfall (engl.: „Mean Time To Filure“, MTTF) oder mittlere Lebensdauer kann als ein Erwartungswert einer Zeitdauer bis zu einem Ausfall der technischen Vorrichtung bestimmt werden, siehe hierzu die Normen IEC 60050 (191) oder EN ISO 13849-1.
-
Vorteilhafterweise wird im Zuge der Überprüfung der Komponente eine Überprüfung bzw. experimentelle Überprüfung, insbesondere eine Plausibilitätsprüfung bzw. Validierung, der funktionalen Sicherheit der technischen Vorrichtung durchgeführt. Beispielsweise kann im Zuge dessen eine Verschaltung der technischen Vorrichtung bzw. der einzelnen Komponenten der Vorrichtung überprüft werden.
-
Alternativ oder zusätzlich wird im Zuge der Überprüfung das Programm der Recheneinheit überprüft, insbesondere experimentell überprüft. Insbesondere können somit das Sicherheitsprogramm und die darin hinterlegten Informationen bezüglich der Vorrichtungskomponente und deren Fehlerzustände auf deren Richtigkeit überprüft werden. Beispielsweise kann im Zuge der Überprüfung ein entsprechender Fehlerzustand ausgelöst werden und eine Reaktion der Komponente kann überwacht werden. Ferner kann die Komponenten beispielsweise gemäß ihrer regulären Bestimmung betrieben werden und es kann überprüft werden, ob im Zuge dessen auch kein Fehlerzustand ausgelöst wird.
-
Alternativ oder zusätzlich wird im Zuge der Überprüfung eine Steuereinheit der technischen Vorrichtung überprüft, insbesondere experimentell überprüft. Zweckmäßigerweise können eine Programmierung bzw. ein entsprechendes Steuerprogramm der jeweiligen Steuereinheit auf Fehler überprüft werden. Ferner kann überprüft werden, ob die jeweilige Steuereinheit die Vorrichtung gemäß vorgegebenen Richtlinien ansteuert. Beispielsweise kann ferner eine Reaktion der Recheneinheit bzw. des Sicherheitssteuergeräts im Falle einer Fehlprogrammierung der Steuereinheit überprüft und verifiziert werden.
-
Die zur Durchführung entsprechender oben erläuterter Überprüfungen notwendigen Information werden insbesondere aus dem Sicherheitsprogramm der Recheneinheit entsprechend extrahiert und in den Überprüfungsablauf übertragen.
-
Gemäß einer bevorzugten Ausführungsform umfasst das Überprüfen ein Ausgeben von Anweisungen bzw. von Befehlen an einen Benutzer, Bediener oder Anwender der technischen Vorrichtung zum Durchführen von manuellen bzw. manuell auszuführenden Überprüfungsschritten. Beispielsweise können diese Anweisungen visuell an einem Bildschirm und/oder akustisch über einen Lautsprecher ausgegeben werden. Der Benutzer wird somit insbesondere menügesteuert instruiert und schrittweise angeleitet, entsprechende Schritte durchzuführen, welche nicht automatisch von der Recheneinheit oder von anderen elektronischen Steuereinheiten der Vorrichtung durchgeführt werden können. Besonders zweckmäßig kann somit auch ein weniger qualifizierter Benutzer ausführlich und detailliert durch die für die Risikobewertung nötigen manuell auszuführenden Überprüfungsschritte geleitet werden. Somit wird besonders zweckmäßig ein zumindest teilweise automatisches, insbesondere ein so weit wie möglich automatisches Überprüfen der Komponente ermöglicht.
-
Alternativ oder zusätzlich umfasst das Überprüfen bevorzugt ein Ausgeben von Anweisungen bzw. von Befehlen an eine Steuerung bzw. Steuereinheit der technischen Vorrichtung zum Durchführen von automatischen Überprüfungsschritten. Insbesondere stellt das vorgestellte Software-Werkzeug zum Erstellen und Durchführen des Überprüfungsablaufs eine Schnittstelle bzw. Kommunikationsschnittstelle zu der Steuereinheit bereit, um diese für die jeweiligen Überprüfungsschritte entsprechend anweisen zu können. Beispielsweise kann eine Reaktion der Recheneinheit bzw. des Sicherheitssteuergeräts im Falle einer Fehlprogrammierung der Steuereinheit überprüft werden. Herkömmlicherweise kann für eine derartige Überprüfung oftmals eine manuelle Umprogrammierung der jeweiligen Steuereinheit erforderlich sein. Durch die vorliegende Software bzw. deren Schnittstelle zur Steuereinheit kann eine derartige Umprogrammierung vermieden werden. Beispielseise kann die Steuereinheit direkt angewiesen werden, sich zu Testzwecken entsprechend absichtlich fehlerhaft zu verhalten, um die Reaktion des Sicherheitssteuergeräts zu überprüfen.
-
Vorzugsweise umfasst das Überprüfen ein Bestimmen von Istwerten der technischen Vorrichtung. Beispielsweise können Sensorwerte als diese Istwerte direkt erfasst werden. Ferner können die Istwerte beispielsweise auch aus derartigen Sensorwerten abgeleitet werden. Die bestimmten Istwerte werden vorzugsweise mit abhängig von dem Programm der Recheneinheit vorgegebenen Sollwerten verglichen. Die Sollwerte werden insbesondere im Zuge des Erstellens des Überprüfungsablaufs aus dem Sicherheitsprogramm extrahiert. Zweckmäßigerweise werden während der Abarbeitung des Überprüfungsablaufs elektrische Signale und Zustandsinformationen aufgezeichnet, z.B. von dem Sicherheitssteuergerät und/oder von einer Steuereinheit, und mit dem vorgegebenen Überprüfungsablauf abgeglichen. Insbesondere zeichnen das Sicherheitssteuergerät und/oder eine Steuereinheit der Vorrichtung elektrische Signale auf, damit diese in Echtzeit oder nachträglich mit einem gemäß dem Überprüfungsablauf erwarteten Ergebnis abgeglichen werden können.
-
Besonders vorteilhaft kann die Überprüfung gemäß dem bestimmten Überprüfungsablauf derart durchgeführt werden, wie es in der verwandten Patentanmeldung mit dem Titel „Verfahren zum Überprüfen einer bewegbaren Komponente einer technischen Vorrichtung“ beschrieben wird, die von der Anmelderin am selben Tag wie die vorliegende Patentanmeldung eingereicht wurde. Als Überprüfung bzw. als entsprechende manuell oder automatisch auszuführende Überprüfungsschritte können besonders zweckmäßig Überprüfung-Bewegungsabläufe durchgeführt werden, wie sie in der verwandten Patentanmeldung beschrieben werden, und es kann zweckmäßigerweise überprüft werden, ob entsprechende Bewegungen der Komponente vorgegebene Sicherheitskriterien erfüllen, wie es in der verwandten Patentanmeldung beschrieben wird. Hinsichtlich weiterer Details zu derartigen Überprüfung-Bewegungsabläufen sei an dieser Stelle vollumfänglich auf die verwandte Patentanmeldung verwiesen, deren Offenbarung auch zum Inhalt dieser Anmeldung gemacht wird.
-
Vorzugsweise umfasst das vorliegende Verfahren ferner das Bestimmen bzw. Erzeugen oder Erstellen des Programms der Recheneinheit. Anschließend kann zweckmäßigerweise das Bestimmen des Überprüfungsablaufs erfolgen. Insbesondere kann somit im Zuge der Programmierung des Sicherheitssteuergeräts zumindest teilweise automatisiert die Risikobewertung der Vorrichtung durchgeführt werden. Besonders zweckmäßig erlaubt es die Erfindung daher, die Risikobewertung und Prüfdokumentation automatisiert und parallel während der Programmerstellung für das Sicherheitssteuergerät und während der Durchführung des Systemtests der Anlage bzw. Maschine auch durch reguläre Bediener durchzuführen.
-
Besonders vorteilhaft kann das Programm derart erzeugt werden, wie es in der verwandten Patentanmeldung mit dem Titel „Verfahren zum Erzeugen eines Sicherheitsprogramms für eine Recheneinheit einer technischen Vorrichtung“ beschrieben wird, die von der Anmelderin am selben Tag wie die vorliegende Patentanmeldung eingereicht wurde. Hinsichtlich weiterer Details zu einer derartigen Erzeugung des Sicherheitsprogramms sei an dieser Stelle vollumfänglich auf diese verwandte Patentanmeldung verwiesen, deren Offenbarung auch zum Inhalt dieser Anmeldung gemacht wird.
-
Insbesondere kann das Software-Werkzeug zur Umsetzung des vorliegenden Verfahrens modular ausgestaltet sein und eine Vielzahl einzelner Softwaremodule umfassen. So kann beispielsweise ein erstes Softwaremodul zum Erstellen des Programms bzw. Sicherheitsprogramms vorgesehen sein, ein zweites Softwaremodul z.B. zum Bestimmen des Überprüfungsablaufs und zum Überprüfen und ein drittes Softwaremodul beispielsweise zum Durchführen der Risikobewertung und zum Erstellen der Prüfdokumentation.
-
Die vorliegende Erfindung eignet sich in vorteilhafter Weise für eine Vielzahl verschiedener technischer Vorrichtungen, beispielsweise für Tunnelbohrmaschinen, Hydraulik-Stanzen/Pressen, allgemeine Automatisierungen, Semiconductor-Handling, Robotik usw. Besonders eignet sich das Verfahren für Werkzeugmaschinen, wie beispielsweise ein Schweißsystem, ein Schraubsystem, eine Drahtsäge oder eine Fräsmaschine, oder eine Bahnbearbeitungsmaschine, wie z.B. eine Druckmaschine (z.B. Zeitungsdruckmaschine, Tiefdruck-, Siebdruckmaschine, Inline-Flexodruckmaschine) oder eine Verpackungsmaschine, oder eine (Band-) Anlage zur Herstellung eines Automobils oder zur Herstellung von Komponenten eines Automobils (z.B. Verbrennungsmotoren oder Steuergeräte).
-
Eine erfindungsgemäße Recheneinheit, ist, insbesondere programmtechnisch, dazu eingerichtet, ein erfindungsgemäßes Verfahren durchzuführen.
-
Auch die Implementierung eines erfindungsgemäßen Verfahrens in Form eines Computerprogramms oder Computerprogrammprodukts mit Programmcode zur Durchführung aller Verfahrensschritte ist vorteilhaft, da dies besonders geringe Kosten verursacht, insbesondere wenn ein ausführendes Steuergerät noch für weitere Aufgaben genutzt wird und daher ohnehin vorhanden ist. Geeignete Datenträger zur Bereitstellung des Computerprogramms sind insbesondere magnetische, optische und elektrische Speicher, wie z.B. Festplatten, Flash-Speicher, EEPROMs, DVDs u.a.m. Auch ein Download eines Programms über Computernetze (Internet, Intranet usw.) ist möglich.
-
Weitere Vorteile und Ausgestaltungen der Erfindung ergeben sich aus der Beschreibung und der beiliegenden Zeichnung.
-
Es versteht sich, dass die vorstehend genannten und die nachfolgend noch zu erläuternden Merkmale nicht nur in der jeweils angegebenen Kombination, sondern auch in anderen Kombinationen oder in Alleinstellung verwendbar sind, ohne den Rahmen der vorliegenden Erfindung zu verlassen.
-
Die Erfindung ist anhand von Ausführungsbeispielen in der Zeichnung schematisch dargestellt und wird im Folgenden unter Bezugnahme auf die Zeichnung ausführlich beschrieben.
-
Figurenbeschreibung
-
- 1 zeigt schematisch eine technische Vorrichtung, die einer bevorzugten Ausführungsform eines erfindungsgemäßen Verfahrens zugrunde liegen kann.
- 2 zeigt schematisch eine bevorzugte Ausführungsform eines erfindungsgemäßen Verfahrens als ein Blockdiagramm.
-
Detaillierte Beschreibung der Zeichnung
-
In 1 ist eine technische Vorrichtung schematisch dargestellt und mit 100 bezeichnet. Beispielsweise kann die Vorrichtung 100 als eine Werkzeugmaschine zum Bearbeiten eines Werkstücks ausgebildet sein.
-
Die Maschine 100 umfasst eine bewegbare Komponente, beispielsweise einen automatisch bewegbaren Roboterarm 101. Der Roboterarm 101 kann beispielsweise eine Vielzahl von Gelenken bzw. Drehachsen 102 umfassen, so dass der Roboterarm 101 innerhalb eines vorgegebenen Bewegungs- bzw. Arbeitsbereichs relativ zu einem zu bearbeitenden Werkstück bewegt werden kann. An einer Spitze bzw. einem freien Ende des Roboterarms 101 ist ein Werkzeug 103 zur entsprechenden Bearbeitung des Werkstücks vorgesehen, z.B. zum Schweißen, Stanzen, Pressen usw.
-
Die Vorrichtung 100 umfasst ferner eine Vielzahl von Sensoren 110 und Aktoren 120 zur Steuerung der Bewegung des Roboterarms 101. Beispielsweise können die einzelnen Aktoren 120 jeweils als Servomotoren zur Bewegung der einzelnen Glieder bzw. Abschnitte des Roboterarms 101 ausgebildet sein, insbesondere um die einzelnen Abschnitte um die jeweiligen Drehachsen drehen bzw. schwenken zu können. Die Sensoren 110 können z.B. Positionssensoren zur Bestimmung einer Lage des Roboterarms 101 im Raum bzw. relativ zu einem Bezugspunkt umfassen sowie ferner beispielsweise Stromsensoren zum Erfassen von Strömen der einzelnen Servomotoren 120. Ferner können die Sensoren 110 einen Scanner oder Laserscanner umfassen, der einen vorgegebenen Bereich bzw. Sichtbereich um den Roboterarm 101 herum auf Hindernisse überwacht. Ferner kann als Sensor 110 beispielsweise eine Lichtschranke vorgesehen sein, um zu detektieren, ob eine Person einen vorgegebenen Bereich um den Roboterarm 101 herum betritt.
-
Ferner ist eine Steuereinheit bzw. Maschinensteuerung 130 vorgesehen, um mit Hilfe der Sensoren 110 und Aktoren 120 die Bewegung des Roboterarms 101 zu steuern. Die Steuereinheit 130 umfasst eine Vielzahl von Eingängen 131 und Ausgängen 132, an welchen die einzelnen Sensoren 110 bzw. Aktoren 120 angeschlossen werden können.
-
Ferner ist eine Recheneinheit bzw. ein Sicherheitssteuergerät 140 vorgesehen, um die Maschine 100 bzw. den Roboterarm 101 zu überwachen und Fehlerzustände bzw. einen fehlerhaften Betrieb erkennen zu können. Zu diesem Zweck wird von dem Sicherheitssteuergerät 140 ein Sicherheitsprogramm 150 ausgeführt, wobei dieses Sicherheitsprogramm 150 den Roboterarm 101 im Allgemeinen überwacht sowie Fehlerzustände bzw. einen fehlerhaften Betrieb und einen fehlerfreien Betrieb des Roboterarms 101 im Speziellen definiert.
-
Gemäß einer bevorzugten Ausführungsform der vorliegenden Erfindung wird das Sicherheitsprogramm 150 verwendet, um zumindest teilweise automatisch eine Überprüfung und eine Risikobewertung der Maschine 100 durchzuführen. Zu diesem Zweck ist in dem Sicherheitssteuergerät 140 ferner ein Software-Werkzeug 160 zum Durchführen einer bevorzugten Ausführungsform des erfindungsgemäßen Verfahrens vorgesehen, wie nachfolgend in Bezug auf die 1 und 2 erläutert werden soll.
-
2 zeigt schematisch eine derartige bevorzugte Ausführungsform des erfindungsgemäßen Verfahrens als ein Blockdiagramm.
-
In einem Schritt 201 wird das Sicherheitsprogramm 150 für das Sicherheitssteuergerät 140 von dem Software-Werkzeug 160 erstellt. Im Zuge dessen können beispielsweise Zusammenhänge zwischen der Ansteuerung des Roboterarms 101 bzw. der Ansteuerung der Aktoren 120, dem Empfang von Sensordaten der Sensoren 110, den einzelnen Eingängen 131 und Ausgängen 132 der Steuereinheit 130 sowie dem fehlerfreien und fehlerhaften Betrieb des Roboterarms 101 erlernt werden. Beispielsweise kann das Sicherheitsprogramm 150 derart erstellt werden, wie es in der weiter oben erläuterten verwandten Patentanmeldung mit dem Titel „Verfahren zum Erzeugen eines Sicherheitsprogramms für eine Recheneinheit einer technischen Vorrichtung“ beschrieben wird.
-
In einem Schritt 202 wird von dem Software-Werkzeug 160 abhängig von dem Sicherheitsprogramm 150 ein Überprüfungsablauf zum Überprüfen des Roboterarms 101 bestimmt. Aus den in dem Sicherheitsprogramm 150 hinterlegten Informationen über den Roboterarm 101 und dessen mögliche Fehlerzustände extrahiert das Software-Werkzeug 160 automatisch eine sinnvoll durchzuführende Überprüfung, um die funktionale Sicherheit der Maschine 100 beurteilen zu können.
-
In einem Schritt 203 wird die Überprüfung des Roboterarms 101 abhängig von dem bestimmten Überprüfungsablauf durchgeführt. Beispielsweise können zu diesem Zweck Überprüfungsbewegungsabläufe des Roboterarms 101 durchgeführt und es kann überprüft werden, ob diese durchgeführten Überprüfungsbewegungsabläufe vorgegebene Sicherheitskriterien erfüllen. Als derartiges Sicherheitskriterium kann beispielsweise überprüft werden, ob der Roboterarm 101 bei Eintritt eines sicherheitskritischen Ereignisses in einen sicheren Zustand überführt werden kann.
-
Ein derartiges sicherheitskritisches Ereignis kann beispielsweise das Detektieren eines Objekts oder einer Person innerhalb eines vorgegebenen Bereichs um den Roboterarm 101 herum sein, beispielsweise mit Hilfe des Laserscanners oder der Lichtschranke. Der sichere Zustand kann dann ein Stoppen der aktuellen Bewegung des Roboterarms 101 innerhalb eines vorgegebenes Zeitintervalls nach Eintritt des sicherheitskritischen Ereignisses sein, so dass es zu keiner Kollision des Roboterarms 101 mit dem Objekt bzw. der Person kommt. Für eine derartige Überprüfung kann das Software-Werkzeug 160 in Schritt 203 einen Benutzer bzw. Bediener der Vorrichtung anweisen, manuelle Überprüfungsschritte durchzuführen, beispielsweise um ein Test-Objekt als ein simuliertes Hindernis innerhalb eines vorgegeben Bewegungsbereichs um den Roboterarm 101 herum zu platzieren, welcher beispielsweise mittels der Lichtschranke bzw. des Laserscanners überwacht wird. Beispielsweise kann das Software-Werkzeug 160 diese Anweisungen an den Benutzer über visuelle Anzeigen an einem Bildschirm und/oder über akustische Mitteilungen über einen Lautsprecher ausgegeben. Daraufhin kann das Software-Werkzeug 160 die Steuereinheit 130 anweisen, automatische Überprüfungsschritte durchzuführen, beispielsweise um Ansteuersignale auszugeben, um den Roboterarm 101 innerhalb des Bewegungsbereichs mit vorgegebener Geschwindigkeit in Richtung des Test-Objekts zu bewegen und anschließend abzubremsen. Im Zuge dessen können von den Sensoren 110 empfangene Sensorsignale, Sensorwerte bzw. Istwerte an den einzelnen Eingängen 131 der Steuereinheit empfangen und gesammelt werden, welche das Bewegungs- und Abbremsverhalten des Roboterarms 101 beschreiben. Abgängig von diesen Sensorsignalen, Sensorwerten bzw. Istwerten kann das Software-Werkzeug 160 dann überprüfen, ob das Abbremsen des Roboterarms 101 dem vorgegebenen Sicherheitskriterium genügt, so dass es zu keiner Gefahr oder Beschädigung des Roboterarms 101 und des Test-Objekts kommt. Beispielsweise kann das Software-Werkzeug 160 zu diesem Zweck die Istwerte mit aus dem Sicherheitsprogramm 150 abgeleiteten Sollwerten vergleichen.
-
Ferner kann das sicherheitskritische Ereignis beispielsweise auch ein Fehler in der Programmierung der Steuereinheit 130 oder ein Kurzschluss in der Maschine 100 sein. Der sichere Zustand kann dann beispielsweise ein Deaktivieren einer Stromversorgung des Roboterarms 101, insbesondere der Aktoren 120, innerhalb eines vorgegebenes Zeitintervalls sein, um den Roboterarm 101 in einen deaktivierten, stromlosen Zustand zu überführen. Für eine derartige Überprüfung kann das Software-Werkzeug 160 in Schritt 203 die Steuereinheit 130 anweisen, als automatische Überprüfungsschritte Ansteuersignale auszugeben und den Roboterarm 101 mit einer vorgegebenen Geschwindigkeit zu bewegen. Das Software-Werkzeug 160 kann die Steuereinheit 130 dann anweisen, einen derartigen Fehler oder Kurzschluss zu simulieren und die Stromversorgung zu deaktivieren. Im Zuge dessen können von den Sensoren 110 empfangene Sensorsignale, Sensorwerte bzw. Istwerte bezüglich des Stromverlaufs der Aktoren empfangen und gesammelt werden. Das Software-Werkzeug 160 kann diese Sensorsignale auswerten und überprüfen, ob das Überführen in den stromlosen Zustand gemäß dem vorgegebenen Sicherheitskriterium ausgeführt wurde, beispielsweise durch Vergleichen der Istwerte mit aus dem Sicherheitsprogramm 150 abgeleiteten Sollwerten.
-
In einem Schritt 204 wird durch das Software-Werkzeug 160 abhängig von dieser in Schritt 203 durchgeführten Überprüfung eine Risikobewertung durchgeführt. Beispielsweise kann im Zuge der Risikobewertung eine Fehlzustandsart- und Fehlerauswirkungsanalyse (FMEA b zw. FMEDA) durchgeführt werden, wobei abhängig von den in Schritt 203 durchgeführten Überprüfungen mögliche Fehlerzustände des Roboterarms 101 qualitativ und/oder quantitativ bewertet werden können, z.B. nach deren Bedeutung, Auftretenswahrscheinlichkeiten und Entdeckungswahrscheinlichkeiten. Im Zuge dieser Analyse kann ferner beispielsweise eine Rate von erkannten gefährlichen Fehlerzuständen zu allen gefährlichen Fehlerzuständen als sog. Diagnosedeckungsgrad („Diagnostic Coverage“) bestimmt werden. Ferner kann im Zuge der Risikobewertung beispielsweise eine mittlere Betriebsdauer bis zum Ausfall (MTTF) der Maschine 100 bestimmt werden. Ferner kann der Maschine 100 abhängig von den in Schritt 203 durchgeführten Überprüfungen ein Leistungsgrad (PL) zugeordnet werden, welcher die Fähigkeit der Steuereinheit 130 definiert, Sicherheitsfunktionen unter vorhersehbaren Bedingungen auszuführen.
-
In einem Schritt 205 wird durch das Software-Werkzeug 160 eine Prüfdokumentation erstellt, in welcher die Ergebnisse der Risikobewertung aus Schritt 204 und ferner die Ergebnisse der Überprüfungen aus Schritt 203 hinterlegt werden. Diese Prüfdokumentation kann beispielsweise als Nachweis bzw. für eine Zertifizierung der funktionalen Sicherheit der Maschine 100 für eine Prüfstelle oder Prüfgesellschaft erstellt werden.
