DE112016000264T5

DE112016000264T5 - Sicherheitssteuersystem und Verfahren zum Betrieb eines Sicherheitssteuersystems

Info

Publication number: DE112016000264T5
Application number: DE112016000264.5T
Authority: DE
Inventors: Fan Dai; Björn Matthias; Hao Ding; Christoph Byner; Yauheni Veryha
Original assignee: ABB AG Germany
Current assignee: ABB AG Germany
Priority date: 2015-03-04
Filing date: 2016-02-26
Publication date: 2017-09-28
Also published as: US20170329321A1; WO2016139147A1; CN107407919B; US10599137B2; CN107407919A

Abstract

Ein Sicherheitssteuersystem (1), das eine Steuereinheit (3), eine Sicherheitssensoranordnung (4) und eine Maschinenanordnung (5) beinhaltet, die in verschiedenen Betriebsmodi (F0, FN, F1, F2) betreibbar sind, wobei jeder eine andere Produktivität (P0, PN, P1, P2) der Maschinenanordnung (5) aufweist, wobei die Steuereinheit (3) einen Betriebsmodus (F0, FN, F1, F2) der Maschinenanordnung (5) aktiviert, wobei die mindestens eine Sicherheitssensoranordnung (4) zwei funktionell redundante Untersysteme (6, 7) aufweist, eine Eingabe in die Steuereinheit (3) Informationen (8) beinhaltet, die eine Verfügbarkeit der Untersysteme (6, 7) angeben, die Steuerlogik (3) einen normalen Betriebsmodus (FN) mit normaler Produktivität (PN) aktivieren kann, falls alle Untersysteme (6, 7) verfügbar sind, einen Ausfall-Stopp-Betriebsmodus (F0) mit einer Null-Produktivität (P0) bei einer Nichtverfügbarkeit aller Untersysteme (6, 7) aktivieren kann und einen Ausfall-Funktionieren-Betriebsmodus (F1, F2) mit einer Produktivität, die von Null verschieden und niedriger als normal ist, bei einer Nichtverfügbarkeit von mindestens einem und einer Verfügbarkeit von mindestens einem anderen Untersystem (6, 7) aktivieren kann.

Description

Die vorliegende Erfindung behandelt gemäß einer Präambel von Anspruch 1 ein Sicherheitssteuersystem, wobei das System eine Steuereinheit, die Sicherheitssteuerlogik enthält, beinhaltet, ferner mindestens eine Sicherheitssensoranordnung beinhaltet, ferner mindestens eine Maschinenanordnung, die in verschiedenen Betriebsmodi betreibbar ist, beinhaltet, wobei jeder Betriebsmodus durch eine andere Produktivität der Maschinenanordnung charakterisiert ist, wobei die Steuereinheit eine Eingabe von der mindestens einen Sicherheitssensoranordnung empfängt und evaluiert und als Reaktion auf das Ergebnis der Evaluierung einen Betriebsmodus der Maschinenanordnung, wie durch die Sicherheitssteuerlogik bestimmt, aktiviert.
Die vorliegende Erfindung behandelt auch ein Verfahren zum Betrieb eines Sicherheitssteuersystems, wobei das System eine Steuereinheit, die Sicherheitssteuerlogik enthält, beinhaltet, ferner mindestens eine Sicherheitssensoranordnung beinhaltet, ferner mindestens eine Maschinenanordnung, die in verschiedenen Betriebsmodi betreibbar ist, beinhaltet, wobei jeder Betriebsmodus durch eine andere Produktivität der Maschinenanordnung charakterisiert ist, wobei die Steuereinheit eine Eingabe von der mindestens einen Sicherheitssensoranordnung empfängt und evaluiert und als Reaktion auf das Ergebnis der Evaluierung einen Betriebsmodus der Maschinenanordnung, wie durch die Sicherheitssteuerlogik bestimmt, aktiviert.
Allgemein gesagt, behandelt die Erfindung eine Sicherheitssteuerung in einer diskreten Fertigungsumgebung oder einem Fertigungsstandort. Der Ausdruck „Maschine” soll eine beliebige individuelle Maschine oder ein beliebiges individuelles Untersystem eines Fertigungsstandorts umfassen, zum Beispiel einen Roboter, eine Montageanlage, eine Fertigungszelle oder sogar ein automatisiertes geführtes Fahrzeug (AGV), das in Fertigungsstandorten verwendet wird, um sich automatisch zwischen verschiedenen Fertigungszellen oder Untersystemen zu bewegen.
Die Sicherheitssteuerung bei der diskreten Fertigung weist das vorrangige Ziel auf, Menschen vor Gefahren zu schützen, wenn sie bei Fertigungsstandorten arbeiten oder diese betreten. Grundsätzlich werden Sensoren oder Schalter verwendet, um einer Sicherheitssteuereinrichtung das Vorhandensein von Menschen in spezifischen Zonen oder deren Versuch, derartige Zonen zu betreten, zu melden. Basierend auf dem tatsächlichen Status des automatisierten Fertigungsprozesses, wird bzw. werden die Fertigungslinie oder individuelle Einrichtungen in einen Zustand versetzt, der potentielle Gefahren auf einen spezifizierten akzeptablen Umfang verringert oder begrenzt. Dies wird sehr häufig durch Stoppen der Maschinen erzielt, aber manchmal reicht es auch aus, die Bewegungsgeschwindigkeit zu reduzieren oder den Bewegungsraum von bestimmten Mechanismen, z. B. Industrierobotern oder Maschinenwerkzeugen, zu begrenzen.
In den wichtigsten Fällen wird das Stoppen der Maschine implementiert, während Antriebe mit sicherer Stoppfunktion (STO) verwendet werden. Im Fall von Industrierobotern führt die Robotersteuerung auch die Sicherheitssteuerung des Roboters aus, wo die Überwachung der Roboterwerkzeugposition und -geschwindigkeit üblicherweise implementiert wird. Es ist auch bekannt, dass Antriebe, die eine Sicherheitsgeschwindigkeits- oder Positionssteuerung anbieten, verwendet werden.
Im Fall von (potentiellen) schwerwiegenden Gefahren wird ein Notstopp erteilt, z. B. über eine Notstopptaste oder entsprechende Sensoreinrichtungen. Dies versetzt die Maschine in einen sicheren Stopp-Zustand, der eine dedizierte Bestätigung zum Neustarten der Maschine benötigt.
Die Sicherheitssteuerung zum Erzielen des vorrangigen Ziels des Schützens von Menschen vor Gefahren ist auf die Verfügbarkeit des richtigen Funktionierens von Sensoren und Schaltern angewiesen.
Aber Sensoren und Schalter könnten ausfallen, zum Beispiel falls eine interne Diagnosefunktion einen Stromausfall detektiert. Oder die Kommunikation zwischen den Sensoren oder Schaltern und der Steuerlogik kann fehlerhaft sein. Wenn die Sicherheitssteuerung implementiert wird, muss daher die Steuerlogik ein Sicherheitskonzept zum Behandeln von Situationen aufweisen, wenn die Sensoren oder Schalter nicht verfügbar sind, zum Beispiel im Falle eines internen Stopps, der auch Passivierung genannt werden kann.
Ein weiterer Grund kann darin bestehen, dass die Kommunikation zwischen den Sensoren und Schaltern und der Steuerlogik fehlerhaft ist. Eine Passivierung, oder mit anderen Worten die Nichtverfügbarkeit von Sensoren oder Schaltern oder eine gestörte Kommunikation zwischen Sensoren oder Schaltern und der Steuerlogik, wird mit dem Ausdruck „Ausfallsituation” zusammengefasst, so dass sie sich von der zuvor erläuterten „Gefahrensituation” unterscheidet.
Die Steuerlogik umfasst auch bei einer derartigen Ausfallsituation eine vordefinierte Reaktion.
Beim bekannten Stand der Technik ist die Reaktion auf eine Ausfallsituation die gleiche wie die Reaktion auf eine Gefahrensituation. Falls demnach eine fehlerhafte Kommunikation zu einem Sicherheitssensor oder ein Ausfall in der Sensoreinrichtung selbst detektiert wird, wird ein entsprechender Notfunktionsmodus aktiviert, selbst wenn keine Gefahrensituation detektiert worden ist. Dies ist ein Maschinen-Stopp gemäß einer Stopp-Kategorie 0 oder 1 kombiniert mit einem manuellen Zurücksetzen/Neustart der Maschine. Die Produktivität der Maschine wird reduziert.
Aber häufig ist eine Ausfallsituation, zum Beispiel die Nichtverfügbarkeit des Sensors, nur temporär und wird mehr oder weniger automatisch innerhalb einer bestimmten Zeit geklärt. Beim Stand der Technik wird die Maschine nichtsdestotrotz gestoppt, was unnötige Produktionsausfälle verursacht.
Demnach ist es die Aufgabe der vorliegenden Erfindung, ein Sicherheitssteuersystem und ein Verfahren zum Betreiben eines Sicherheitssteuersystems zum Steuern einer Maschine auf eine derartige Weise zu verbessern, dass im Falle einer wie oben beschriebenen Ausfallsituation Produktionsausfälle verringert werden.
Die Aufgabe bezüglich der Verbesserung des Sicherheitssteuersystems wird gemäß der Erfindung durch ein Sicherheitssteuersystem mit den Merkmalen von Anspruch 1 erzielt. Demnach weist die mindestens eine Sicherheitssensoranordnung gemäß der Erfindung mindestens zwei funktionell redundante Untersysteme auf und eine Eingabe in die Steuereinheit beinhaltet Informationen, die eine Verfügbarkeit der mindestens zwei funktionell redundanten Untersysteme angeben, wobei die Steuerlogik zum Aktivieren eines normalen Betriebsmodus, der durch eine normale Produktivität charakterisiert ist, konfiguriert ist, falls die Eingabe eine Verfügbarkeit aller funktionell redundanter Untersysteme angibt, und zum Aktivieren eines Ausfall-Stopp-Betriebsmodus, der durch eine Null-Produktivität charakterisiert ist, konfiguriert ist, falls die Eingabe eine Nichtverfügbarkeit aller funktionell redundanter Untersysteme angibt, und zum Aktivieren eines Ausfall-Funktionieren-Betriebsmodus mit einer Produktivität, die geringer als normal ist, aber über Null liegt, konfiguriert ist, falls die Eingabe eine zumindest temporäre Nichtverfügbarkeit von mindestens einem und die Verfügbarkeit von mindestens einem anderen der funktionell redundanten Untersysteme angibt.
Hier in dieser Anmeldung wird zusätzlich auch der Ausdruck erste und zweite Sicherheitseinrichtung für die funktionell redundanten Untersysteme der Sicherheitssensoranordnung verwendet. Dies kann zwei oder mehr Sicherheitssensoreinrichtungen beinhalten, zum Beispiel einen Annäherungssensor, der eine erste Sicherheitszone überwacht, die eine kritischere Sicherheitszone ist, und eine Kamera, die eine zweite oder zweite oder dritte oder N-te Sicherheitszone überwacht, die weniger kritisch sind, wobei die erste Sicherheitszone eine Teilmenge der zweiten oder dritten oder N-ten Sicherheitszone ist. Dies kann auch eine Sensoreinheit mit zwei oder mehr verschiedenen Überwachungszonen sein, zum Beispiel ein Laserscanner oder eine Kamera, der bzw. die zum Überwachen einer ersten Sicherheitszone nahe der Maschinenanordnung mit einer hohen Auflösung und einer zweiten oder dritten oder N-ten Sicherheitszone, die weiter weg von der Maschinenanordnung hinausreicht, mit einer geringeren Auflösung oder dergleichen konfiguriert ist. Demnach wird der Ausdruck erste und zweite Sicherheitseinrichtung verwendet, um entweder einen Sensor oder ein Sensorsystem oder eine funktionelle Untereinheit eines komplexeren Sensors oder Sensorsystems zu beschreiben. Der Ausdruck „zweite Sicherheitseinrichtung” soll eine funktionelle Art bezeichnen, demnach soll eine zweite Sicherheitseinrichtung einen oder zwei oder drei oder N Sensoren oder Sensorfunktionen zusätzlich zur ersten Sensoreinrichtung bezeichnen.
Für den Ausdruck „erster oder zweiter Ausfall-Funktionieren-Modus” im Zusammenhang dieser Anmeldung wird zusätzlich auch der Ausdruck „erster oder zweiter Sicherheitsfunktionsmodus” verwendet.
Mit anderen Worten stellt die Erfindung ein Sicherheitssteuersystem bereit, das eine zweite Sicherheitseinrichtung zum Detektieren einer zweiten Gefahrensituation in einer zweiten Sicherheitszone aufweist oder alternativ dazu in der Lage ist, einen temporären sicheren Zustand, zum Beispiel mit sicherheitsbegrenzter Geschwindigkeit, zu erzielen, aus dem gewöhnlicherweise nach einer bestimmten vordefinierten Zeit ausgetreten werden muss. Im Falle einer zweiten Sicherheitseinrichtung interagiert die Steuerlogik mit der ersten und der zweiten Sicherheitseinrichtung, um eine Ausfallsituation in einer der Sicherheitseinrichtungen zu detektieren und als Reaktion auf eine Ausfallsituation in einer der Sicherheitseinrichtungen zu der anderen Sicherheitseinrichtung umzuschalten oder einen der Ausfallfunktionsmodi anzuwenden. Im zweiten Fall vesetzt die Steuerlogik das System in einen temporären sicheren Zustand, aus dem gewöhnlicherweise nach einer bestimmten vordefinierten Zeit ausgetreten werden muss.
Gemäß einer bevorzugten Ausführungsform beinhaltet das Sicherheitssteuersystem eine Maschine oder Maschinenanordnung mit einer Nennproduktivität, beinhaltet ferner eine erste Sicherheitszone und eine zweite Sicherheitszone, wobei die erste Sicherheitszone eine Teilmenge der zweiten Sicherheitszone ist, beinhaltet ferner ein erstes funktionell redundantes Untersystem, das zum Detektieren eines ersten Gefahrenereignisses in der ersten Sicherheitszone konfiguriert ist, beinhaltet ferner ein zweites funktionell redundantes Untersystem, das zum Detektieren eines zweiten Gefahrenereignisses in der zweiten Sicherheitszone konfiguriert ist, wobei ein erster Ausfall-Funktionieren-Modus zu einer ersten reduzierten Maschinenproduktivität führt, die größer als Null aber kleiner als die normale Produktivität ist, und ein zweiter Ausfall-Funktionieren-Modus zu einer zweiten reduzierten Maschinenproduktivität führt, die größer als Null aber kleiner als die Nennproduktivität und höher als die erste reduzierte Maschinenproduktivität ist, wobei die Steuerlogik den zweiten Ausfall-Funktionieren-Modus aktiviert, falls die Eingabe in die Steuerlogik eine Verfügbarkeit beider funktionell redundanter Untersysteme und ein zweites Gefahrenereignis in der zweiten Sicherheitszone aber kein Gefahrenereignis in der ersten Sicherheitszone angibt, und wobei die Steuerlogik den ersten Ausfall-Funktionieren-Modus aktiviert, falls die Eingabe in die Steuerlogik eine temporäre Nichtverfügbarkeit des ersten funktionell redundanten Untersystems aber eine Verfügbarkeit des zweiten funktionell redundanten Untersystems und ein zweites Gefahrenereignis in der zweiten Sicherheitszone angibt.
Gemäß einer weiteren bevorzugten Ausführungsform aktiviert die Steuerlogik den zweiten Ausfall-Funktionieren-Modus, falls die Eingabe in die Steuerlogik eine Verfügbarkeit des ersten funktionell redundanten Untersystems und eine zumindest temporäre Nichtverfügbarkeit des zweiten redundanten Untersystems und kein erstes Gefahrenereignis in der ersten Sicherheitszone angibt.
Gemäß einer weiteren bevorzugten Ausführungsform aktiviert die Steuerlogik den ersten Ausfall-Funktionieren-Modus, falls die Eingabe in die Steuerlogik eine zumindest temporäre Nichtverfügbarkeit des zweiten redundanten Untersystems und ein erstes Gefahrenereignis in der ersten Sicherheitszone angibt.
Gemäß einer weiteren bevorzugten Ausführungsform aktiviert die Steuerlogik den ersten Ausfall-Funktionieren-Modus, falls die Eingabe in die Steuerlogik eine Verfügbarkeit von sowohl dem ersten als auch dem zweiten redundanten Untersystem und ein erstes und ein zweites Gefahrenereignis in sowohl der ersten als such der zweiten Sicherheitszone angibt.
Gemäß einer weiteren bevorzugten Ausführungsform aktiviert die Steuerlogik den normalen Betriebsmodus, falls die Eingabe in die Steuerlogik eine Verfügbarkeit des zweiten redundanten Untersystems und eine temporäre Nichtverfügbarkeit des ersten redundanten Untersystems und kein Gefahrenereignis in der zweiten Sicherheitszone angibt.
Gemäß einer weiteren bevorzugten Ausführungsform ist die Maschine oder die Maschinenanordnung ein Roboter oder ein autonomes geführtes Fahrzeug (AGV) oder ein diskretes Fertigungssystem oder eine Fertigungszelle.
Gemäß einer weiteren bevorzugten Ausführungsform ist die Produktivität der Maschine oder der Maschinenanordnung die Geschwindigkeit von sich bewegenden Teilen der Maschine oder der Maschinenanordnung.
Gemäß einer weiteren bevorzugten Ausführungsform ist das erste oder das zweite redundante Untersystem ein Annäherungssensor oder eine Lichtschranke oder ein Laserscanner oder eine Kamera.
Gemäß einer weiteren bevorzugten Ausführungsform wird die temporäre Nichtverfügbarkeit eines funktionell redundanten Untersystems durch einen temporären Kommunikationsfehler wie einen zyklischen Redundanzfehler (CRC-Fehler) oder einen Watchdog-Fehler verursacht.
Demnach wird die Aufgabe gemäß der Erfindung erzielt, indem ein Failover-Konzept zur Sicherheitssteuerung eingeführt wird, was unnötige Maschinenstopps in Fällen vermeidet, bei denen eine Ausfallsituation in einer Sicherheitseinrichtung auftritt.
Failover bezeichnet ein Umschalten zu einer redundanten Einrichtung oder Funktion, wenn eine dedizierte Einrichtung oder Funktion ausfällt.
Im hierarchischen Sicherheitssteuersystem gemäß der Erfindung ist die Hierarchie mit zunehmender Kritikalität durch die Sequenz gegeben, dass die eine oder die mehreren zweiten oder dritten oder in einem allgemeinen Fall N-ten weniger kritischen Sicherheitszonen, die durch die zweite Sicherheitseinrichtung beaufsichtigt wird bzw. werden, die eine oder mehrere zweite oder dritte oder in einem allgemeinen Fall N-te Gefahrensituationen in der einen oder den mehreren zweiten oder dritten oder in einem allgemeinen Fall N-ten Sicherheitszonen detektiert bzw. detektieren, einen oder mehrere zweite oder dritte oder in einem allgemeinen Fall N-te Sicherheitsfunktionsmodi auslöst, der bzw. die die Maschine nicht stoppt, und die anschließende erste, kritische Sicherheitszone, die durch die erste Sicherheitseinrichtung beaufsichtigt wird, die eine erste Gefahrensituation in der ersten, kritischen Sicherheitszone detektiert, einen ersten Sicherheitsfunktionsmodus auslöst, der die Maschine vorzugsweise stoppt. Demnach werden die hierarchisch angeordnete erste und zweite Sicherheitseinrichtung gemäß der Erfindung so verwendet, als ob sie redundante Einrichtungen wären.
Hinsichtlich der Reaktion des Sicherheitssteuersystems bezüglich eines Ausfallmodus in einer der Sicherheitseinrichtungen, d. h. Sensoren oder Schalter oder dergleichen, liegt der Vorteil des Sicherheitssteuersystems gemäß der vorliegenden Erfindung darin, dass die Steuerlogik in einem derartigen Ausfallmodus nicht den Notfunktionsmodus auslöst, sondern zu der anderen Sicherheitseinrichtung umschaltet und einen Ausfallfunktionsmodus (anstatt des schwerwiegenden Notfunktionsmodus) anwendet, indem sie den weniger kritischen Ausfallfunktionsmodus, der immer noch die Sicherheitsanforderungen erfüllt, aus zwei Ausfallfunktionsmodi auswählt. Dies wird aus der Erfindung ersehen, indem die erste Sicherheitseinrichtung, falls sich die zweite Sicherheitseinrichtung in einer Ausfallsituation befindet, anstatt der zweiten Sicherheitseinrichtung verwendet wird, aber der weniger kritische zweite Sicherheitsfunktionsmodus angewendet wird. Dies ist eine überraschende Feststellung, da die normale Weise darin bestehen würde, die kritischere erste Sicherheitsfunktion zusammen mit der ersten Sicherheitseinrichtung anzuwenden. Ein Vorteil der Erfindung besteht darin, dass die Produktivität der Maschine durch das Verwenden der weniger kritischen zweiten Sicherheitsfunktion im Vergleich zum Anwenden der kritischen ersten Sicherheitsfunktion weniger reduziert wird, aber weiterhin ein hohes und angemessenes Sicherheitsniveau aufrechterhalten wird.
Mit anderen Worten ist ein typisches Gefahrenereignis, dass ein Mensch in eine definierte Zone, wo eine sich in Betrieb befindliche Maschine den Menschen schwer verletzen kann, eintritt. Herkömmlicherweise wird die Maschine gestoppt, falls ein derartiges Ereignis detektiert wird.
Das Konzept der hierarchischen Sicherheitssteuerung berücksichtigt, dass die Schwere einer derartigen Gefahr unterschiedlich sein kann, so dass die Maschine manchmal mit einer sicher reduzierten Geschwindigkeit laufen kann, anstatt gestoppt zu werden, so dass die Gesamtproduktivität der Maschine verbessert werden kann.
Beispielsweise kann eine „Zone 1” um einen Industrieroboter herum definiert werden, wo die Verletzung dieser Zone zum unmittelbaren Stoppen des Roboters führt, aber falls sich der Mensch in der Nähe außerhalb dieser Zone befindet, kann der Roboter mit einer reduzierten Geschwindigkeit laufen, so dass der Roboter in der Lage ist, zu stoppen, wenn der Mensch in die „Zone 1” eintritt. Dies ist ein Beispiel für eine hierarchische Steuerstruktur gemäß der Erfindung.
Ein anderes Beispiel könnte ein AGV sein, das mit reduzierter Geschwindigkeit laufen könnte, falls sich Hindernisse oder ein menschlicher Arbeiter innerhalb eines bestimmten aber größeren Bereichs befinden bzw. befindet, und stoppt, wenn der Abstand kritisch wird, wie „Zone 1” im obigen Beispiel.
Auf eine allgemeinere Weise kann die Sicherheitsreaktion auch vom genaueren Erfassen der Position, der Größe und der Geschwindigkeit des Menschen oder der Hindernisse abhängen. Und die Sicherheitsreaktion kann auch bestimmte Teile einer Fertigungslinie stoppen, wobei Teile der Linie mit variabler Geschwindigkeit laufen usw.
Die erste oder die zweite Sicherheitseinrichtung kann erste oder zweite Sicherheitsgefahrendetektionsmittel aufweisen, die zum Beispiel Sensoren oder Schalter sein können, die zum Melden des Vorhandenseins eines Menschen in spezifischen Zonen oder deren Versuch, in derartige Zonen einzutreten, an eine Sicherheitslogik, auch Sicherheitssteuereinrichtung genannt, verwendet werden. Beispielsweise kann eine nahe Umgebung um eine Maschine, zum Beispiel einen Roboter oder ein AGV, herum als eine erste, kritische Sicherheitszone definiert sein, da eine kritische Gefährdung vorhanden ist, dass ein Mensch durch die Maschine schwer verletzt wird, wenn er in diese erste Zone eintritt. Demnach ist das Vorhandensein eines Menschen in einer derartigen ersten, kritischen Zone ein Beispiel für ein Gefahrenereignis gemäß der vorliegenden Erfindung.
Eine weitreichendere Umgebung um die Maschine, zum Beispiel den Roboter oder das AGV, herum würde als eine zweite, weniger kritische Sicherheitszone definiert sein. Hier besteht weiterhin ein Risiko, dass ein Mensch verletzt wird, wenn er sich innerhalb dieser Zone befindet, aber es ist weniger wahrscheinlich, und es ist ein größerer Sicherheitsabstand zu den gefährlichen Teilen der Maschine mit mehr Reaktionszeit vorhanden. Demnach wird das Vorhandensein eines Menschen in einer derartigen zweiten Sicherheitszone auch als ein Gefahrenereignis gemäß der vorliegenden Erfindung angesehen, aber es wird weniger schwerwiegende Konsequenzen haben.
Die erste Sicherheitszone ist gewöhnlicherweise eine Teilmenge der zweiten Sicherheitszone.
Basierend auf dem tatsächlichen Status des automatisierten Fertigungsprozesses wird ausgelöst, dass die Fertigungslinie oder die individuellen Einrichtungen bei der Detektion eines Gefahrenereignisses eine erste oder zweite Sicherheitsfunktion ausführt bzw. ausführen. Dies bedeutet, dass sie zum Beispiel in einen Zustand versetzt werden, der potentielle Gefahren zu einem spezifizierten akzeptablen Umfang verringert oder begrenzt. Dies wird sehr häufig durch ein Stoppen der Maschinen erzielt, aber manchmal reicht es auch aus, die Bewegungsgeschwindigkeit zu verringern oder den Bewegungsraum von bestimmten Mechanismen, z. B. Industrierobotern oder Maschinenwerkzeugen, zu begrenzen.
Eine erste Sicherheitsfunktion würde zum Beispiel eine recht drastische Reduzierung der Bewegungsgeschwindigkeit oder Begrenzung des Bewegungsraums bedeuten und würde ausgelöst werden, falls detektiert wird, dass sich ein Mensch innerhalb der ersten Sicherheitszone befindet.
Eine zweite Sicherheitsfunktion würde zum Beispiel eine weniger drastische Reduzierung der Bewegungsgeschwindigkeit oder Begrenzung des Bewegungsraums bedeuten und würde ausgelöst werden, falls detektiert wird, dass sich ein Mensch innerhalb der zweiten, weniger kritischen Sicherheitszone befindet.
Gemäß einer weiteren bevorzugten Ausführungsform der vorliegenden Erfindung interagiert die Sicherheitssteuerlogik mit der Maschinenanordnung, um die Maschinenanordnung zum normalen Funktionsmodus im Falle des Auftretens eines Ausfalls in der ersten Sicherheitseinrichtung und des Nichtvorhandenseins einer durch die zweite Sicherheitseinrichtung detektierten Gefahrensituation anzusteuern.
Gemäß einer weiteren bevorzugten Ausführungsform der vorliegenden Erfindung interagiert die Sicherheitssteuerlogik mit der Maschine, um die Maschine zum ersten Funktionsmodus im Falle des Auftretens einer Ausfallsituation in der ersten Sicherheitseinrichtung und der Detektion einer Gefahrensituation durch die zweite Sicherheitseinrichtung anzusteuern.
Gemäß einer weiteren bevorzugten Ausführungsform der vorliegenden Erfindung interagiert die Steuerlogik mit der Maschine, um die Maschine zum ersten Sicherheitsfunktionsmodus im Falle des Auftretens einer Ausfallsituation in der zweiten Sicherheitseinrichtung und der Detektion einer Gefahrensituation durch die erste Sicherheitseinrichtung anzusteuern.
Gemäß einer weiteren bevorzugten Ausführungsform der vorliegenden Erfindung interagiert die Steuerlogik mit der Maschine, um die Maschine zum Notsicherheitsfunktionsmodus im Falle des Auftretens einer Ausfallsituation in der ersten und der zweiten Sicherheitseinrichtung anzusteuern.
Gemäß einer weiteren bevorzugten Ausführungsform der vorliegenden Erfindung interagiert die Steuerlogik mit der ersten und der zweiten Sicherheitseinrichtung, um Kommunikationsfehler in der ersten und der zweiten Sicherheitseinrichtung zu detektieren, wobei die Ausfallsituation in einer der Sicherheitseinrichtungen der Kommunikationsfehler ist, zum Beispiel ein CRC- oder zyklischer Redundanzprüffehler oder Watchdog-Fehler.
Gemäß der Erfindung ist ein Verfahren des Betriebs eines Sicherheitssteuersystems, wobei das System eine Steuereinheit beinhaltet, die Sicherheitssteuerlogik enthält, ferner mindestens eine Sicherheitssensoranordnung beinhaltet, ferner mindestens eine Maschinenanordnung beinhaltet, die in verschiedenen Betriebsmodi betreibbar ist, wobei jeder Betriebsmodus durch eine andere Produktivität der Maschinenanordnung charakterisiert ist, wobei die Steuereinheit eine Eingabe von der mindestens einen Sicherheitssensoranordnung empfängt und evaluiert und als Reaktion auf das Ergebnis der Evaluierung einen Betriebsmodus der Maschinenanordnung, wie durch die Sicherheitssteuerlogik bestimmt, aktiviert, wobei die mindestens eine Sicherheitssensoranordnung mindestens zwei funktionell redundante Untersysteme aufweist, wobei die Eingabe in die Steuereinheit Informationen, die eine Verfügbarkeit der mindestens zwei funktionell redundanten Untersysteme angeben, beinhaltet, durch die Schritte der Aktivierung eines normalen Betriebsmodus, der durch eine normale Produktivität charakterisiert ist, falls die Eingabe eine Verfügbarkeit aller funktionell redundanter Untersysteme angibt, und der Aktivierung eines Ausfall-Stopp-Betriebsmodus, der durch eine Null-Produktivität charakterisiert ist, falls die Eingabe eine Nichtverfügbarkeit aller funktionell redundanter Untersysteme angibt, und der Aktivierung eines Ausfall-Funktionieren-Betriebsmodus mit einer Produktivität, die geringer als normal ist, aber über Null liegt, falls die Eingabe eine zumindest temporäre Nichtverfügbarkeit von mindestens einem und eine Verfügbarkeit von mindestens einem anderen der funktionell redundanten Untersysteme angibt, charakterisiert ist.
Demnach lehrt die Erfindung bezüglich eines Verfahrens des Betriebs eines Sicherheitssteuersystems zum Steuern einer Maschine, wobei das System eine hierarchische Sicherheitssteuerstruktur mit einer Steuerlogik, eine erste Sicherheitseinrichtung zum Detektieren einer ersten Gefahrensituation in einer ersten Sicherheitszone und, als Reaktion darauf, zum Auslösen eines ersten Sicherheitsfunktionsmodus, eine zweite Sicherheitseinrichtung zum Detektieren einer zweiten Gefahrensituation in einer zweiten Sicherheitszone und, als Reaktion darauf, zum Auslösen eines zweiten Sicherheitsfunktionsmodus, aufweist, dass das Verfahren die folgenden Schritte umfasst:

– die Steuerlogik detektiert, ob eine Ausfallsituation in einer der Sicherheitseinrichtungen vorhanden ist;
– falls eine Ausfallsituation in einer der Sicherheitseinrichtungen vorhanden ist, schaltet die Steuerlogik zu der anderen Sicherheitseinrichtung um oder wendet einen der Ausfallfunktionsmodi an.

Gemäß einer weiteren bevorzugten Ausführungsform der vorliegenden Erfindung ist die Maschine zumindest in einem normalen Funktionsmodus und in einem Notfunktionsmodus betreibbar, wobei das Sicherheitssteuersystem eine Steuerlogik, die kommunikativ mit der Maschine gekoppelt ist, eine erste Sicherheitseinrichtung, die kommunikativ mit der Steuerlogik gekoppelt ist, wobei die Steuerlogik die erste Sicherheitseinrichtung zum Detektieren einer ersten Gefahrensituation in einer ersten, kritischen Sicherheitszone verwendet, und eine zweite Sicherheitseinrichtung, die kommunikativ mit der Steuerlogik gekoppelt ist, aufweist, wobei die Steuerlogik mit der Maschine auf eine Weise interagiert, so dass sie beim Nichtvorhandensein einer Gefahrensituation im normalen Funktionsmodus arbeitet, mit den weiteren folgenden Schritten:

– die Steuerlogik verwendet die zweite Sicherheitseinrichtung anstatt der ersten Sicherheitseinrichtung, falls eine Ausfallsituation in der ersten Sicherheitseinrichtung detektiert worden ist, und die Steuerlogik löst den zweiten Sicherheitsfunktionsmodus aus, falls eine Ausfallsituation in der zweiten Sicherheitseinrichtung detektiert worden ist und keine Gefahrensituation durch die erste Sicherheitseinrichtung detektiert worden ist.

Gemäß einer weiteren bevorzugten Ausführungsform der vorliegenden Erfindung umfasst das Verfahren den weiteren Schritt, dass die Sicherheitssteuerlogik den normalen Funktionsmodus im Falle auslöst, dass eine Ausfallsituation in der ersten Sicherheitseinrichtung detektiert worden ist und keine Gefahrensituation durch die zweite Sicherheitseinrichtung detektiert worden ist.
Gemäß einer weiteren bevorzugten Ausführungsform der vorliegenden Erfindung umfasst das Verfahren den weiteren Schritt, dass die Steuerlogik den ersten Funktionsmodus im Falle auslöst, dass eine Ausfallsituation in der ersten Sicherheitseinrichtung detektiert worden ist und eine Gefahrensituation durch die zweite Sicherheitseinrichtung detektiert worden ist.
Gemäß einer weiteren bevorzugten Ausführungsform der vorliegenden Erfindung umfasst das Verfahren den weiteren Schritt, dass die Steuerlogik den ersten Sicherheitsfunktionsmodus im Falle auslöst, dass eine Ausfallsituation in der zweiten Sicherheitseinrichtung detektiert worden ist und eine Gefahrensituation durch die erste Sicherheitseinrichtung detektiert worden ist.
Gemäß einer weiteren bevorzugten Ausführungsform der vorliegenden Erfindung umfasst das Verfahren den weiteren Schritt, dass die Steuerlogik den Notsicherheitsfunktionsmodus im Falle auslöst, dass eine Ausfallsituation in der ersten und der zweiten Sicherheitseinrichtung detektiert worden ist.
Die Erfindung wird durch die Beschreibung von drei Ausführungsformen unter Bezugnahme auf die begleitenden Zeichnungen ausführlicher beschrieben, wobei
1 eine beispielhafte und schematische Repräsentation eines Sicherheitssteuersystems gemäß der Erfindung ist,
2 eine beispielhafte und schematische Repräsentation einer weiteren Ausführungsform eines Sicherheitssteuersystems gemäß der Erfindung ist,
3 ein Beispiel einer hierarchischen Sicherheitszone für eine Roboterzelle darstellt,
4 ein Beispiel mit einer hierarchischen Sicherheitszone für ein AGV darstellt,
5 das verallgemeinerte Szenario eines Sicherheitssteuersystems mit elementarer Sicherheitslogik schematisch darstellt,
6 ein Schema von Failover und Wiederherstellung für CRC-Fehler darstellt,
7a–c eine schematische Repräsentation einer Ausführungsform der Erfindung bei verschiedenen Ausfallsituationen darstellen.
1 stellt eine beispielhafte und schematische Repräsentation eines Sicherheitssteuersystems gemäß der Erfindung dar. Das Sicherheitssteuersystem 1 beinhaltet eine Steuereinheit 3, die Sicherheitssteuerlogik beinhaltet. Die Steuereinheit 3 empfängt eine Eingabe von einem Prozess über eine Prozesssensoranordnung 4. Der Prozess kann ein beliebiger technischer Prozess sein, zum Beispiel eine Fertigungszelle, ein Roboter oder ein Robotersystem mit mehreren Robotern oder ein autonomes geführtes Fahrzeug (AGV) oder eine chemische Verarbeitungsanlage oder ein Untersystem einer chemischen Verarbeitungsanlage oder dergleichen. Der Ausdruck Prozess wird hier im Zusammenhang dieser Erfindung somit auch zum Beschreiben einer Maschine verwendet.
Der Prozess oder die Maschine weist bestimmte sicherheitskritische Zonen auf, die durch die Sicherheitssensoranordnung 4 erfasst werden. Dies wird im Folgenden im Zusammenhang der 2, 3, 4 und 7a–c ausführlicher erläutert.
Die Steuereinheit 3 empfängt Signale, die Informationen von der Sicherheitssensoranordnung 4 enthalten, und evaluiert die empfangene Eingabe. Für diesen Zweck beinhaltet die Steuereinheit 3 mindestens eine Eingabe-/Ausgabe-Einheit (E/A-Einheit). Die Sicherheitssteuerlogik veranlasst die Evaluierung der am Eingang empfangenen Informationen und die Erzeugung von jeweiligen Ausgangssignalen, die jeweilige Ausgangsinformationen enthalten, für den Prozess oder die Maschine, hier in 1 schematisch als Maschinenanordnung 5 repräsentiert. Die Maschinenanordnung 5 oder die Maschine oder der Prozess ist in verschiedenen Betriebsmodi betreibbar. Falls die Maschinenanordnung zum Beispiel ein AGV ist, können die verschiedenen Betriebsmodi verschiedene Geschwindigkeiten sein, von Null oder Stopp, langsamer Geschwindigkeit, etwas schnellerer Geschwindigkeit bis zu normaler Geschwindigkeit. Das gleiche trifft zu, wenn die Maschinenanordnung ein Roboter mit mindestens einem Roboterarm ist. Hier können die verschiedenen Betriebsmodi auch die Bewegungsgeschwindigkeit des Roboterarms oder der Roboterarme oder sogar das Gebiet, das durch den Roboterarm oder die Roboterarme abgedeckt wird, sein, von Stillstand über nur ein kleines Segment, ein größeres Segment bis zur vollständigen Betriebszone. Jeder Betriebsmodus ist mit einer bestimmten Produktivität der Maschine oder der Maschinenanordnung oder des Prozesses assoziiert. Falls der Roboter zum Beispiel stillsteht, ist die Produktivität Null. Falls er sich nur langsam bewegt, ist die Produktivität gering. Falls er sich mit normaler Geschwindigkeit bewegt, ist die Produktivität normal.
Die oben gegebenen Beispiele mit dem Roboter oder dem AGV sind nur ein beispielhaftes Beispiel. Es versteht sich, dass für alle Prozessarten, einschließlich unter anderem Fertigungsprozesse mit verschiedenen anderen Arten von Maschinen oder chemischen Herstellungsprozessen, auf eine äquivalente Weise verschiedene Betriebsmodi mit zugewiesenen verschiedenen Produktivitäten definiert werden können.
In 1 ist das oben Erläuterte auf eine abstrakte Weise als eine Maschinenanordnung 5 veranschaulicht, die Betriebsmodi sind schematisch als Funktionsblöcke oder Untersysteme F₀ mit Bezugszahl 11, F_N mit Bezugszahl 12, F₁ mit Bezugszahl 13, F₂ mit Bezugszahl 14 angegeben. Jedem Funktionsblock oder Untersystem ist eine spezifische Produktivität zugewiesen. Der Funktionsblock oder das Untersystem F₀ ist durch eine Produktivität P₀ charakterisiert, der Funktionsblock oder das Untersystem F_N ist durch eine Produktivität P_N charakterisiert, der Funktionsblock oder das Untersystem F₁ ist durch eine Produktivität P₁ charakterisiert, der Funktionsblock oder das Untersystem F₂ ist durch eine Produktivität P₂ charakterisiert. Die Produktivität P_N ist die normale Produktivität. Die Produktivität P₀ ist die Null-Produktivität, die äquivalent zu einem Systemstopp ist. Die Produktivität P₁ ist geringer als die normale Produktivität P_N, aber größer als Null.
Die Produktivität P₂ ist größer als P₁, aber kleiner als die normale Produktivität P_N.
Die Sicherheitssensoranordnung 4 weist zwei funktionell redundante Untersysteme 6, 7 auf. Es könnten sogar mehr als zwei sein. Die Funktion der Sicherheitssensoranordnung 4 ist die Überwachung von Sicherheitszonen im Prozess oder in der Nähe einer Maschine oder Maschinenanordnung 5. Überwachung bedeutet, dass die Sicherheitssensoranordnung 4 mit den funktionell redundanten Untersystemen 6, 7 potentiell gefahrvolle Ereignisse H₁, H₂ in den Sicherheitszonen detektiert. Ein Gefahrenereignis kann zum Beispiel ein Hindernis im Weg eines AGV oder eine menschliche Person innerhalb der Betriebszone eines Roboters oder Robotersystems in Reichweite des Roboterarms oder der Roboterarme sein. Funktionell redundant bedeutet, dass beide Untersysteme 6, 7 für die Sicherheitsüberwachung oder die Detektion derartiger Gefahrenereignisse redundant verwendet werden können. Dies kann zum Beispiel bedeuten, dass zwei Sicherheitszonen um die Maschine 5 herum vorhanden sind, eine kritische und eine weniger kritische. Die kritische Sicherheitszone ist zum Beispiel darin charakterisiert, dass eine hohe potentielle Gefahr für die Maschine vorhanden ist, falls sich ein Hindernis innerhalb dieser Zone befindet, oder ein hohes potentielles Sicherheitsrisiko für eine menschliche Person vorhanden ist, die sich potentiell innerhalb dieser Zone aufhält.
Demnach können funktionell redundante Untersysteme zum Beispiel zwei Untersysteme sein, die jeweils verschiedene Sicherheitszonen erfassen. Dies kann durch einen Sensor, der zwei oder mehr Überwachungsmodi für verschiedene Zonen aufweist, oder durch zwei verschiedene Sensoren, einen für die erste Zone und einen für die andere Zone, realisiert werden.
Jedes der funktionell redundanten Untersysteme 6, 7 übermittelt Informationen bezüglich eines Vorhandenseins oder Nichtvorhandenseins eines Gefahrenereignisses innerhalb seines Überwachungsgebiets unter Verwendung von ersten Signaleingangsleitungen 15, 16 zur Steuereinheit 3. Außerdem übermittelt jedes der funktionell redundanten Untersysteme 6, 7 zusätzlich dazu Informationen bezüglich seiner Verfügbarkeit unter Verwendung von verfügbarkeitsangebenden Eingangsleitungen 8, 8' zur Steuereinheit 3. Die Verfügbarkeit eines funktionellen redundanten Untersystems der Sensoranordnung 4 kann entweder aufgrund einer Fehlfunktion des Untersystems 6, 7 selbst oder aufgrund einer gestörten Kommunikation zwischen dem Untersystem 6, 7 und der Steuereinheit 3 begrenzt oder lückenhaft sein.
Das Fehlen der Verfügbarkeit eines Sicherheitssensoruntersystems ist ein potentielles Sicherheitsrisiko. Daher wird der betreffende Funktionsblock oder das betreffende Untersystem in der Maschinenanordnung bei herkömmlichen Sicherheitssteuersystemen auf Notstopp, das heißt, Null-Produktivität, gesetzt, sobald eine Verfügbarkeit einer Sicherheitssensoranordnung oder eines Sicherheitssensoruntersystems nicht mehr gegeben ist. Bei einer wesentlichen Anzahl von Fällen würde dies nicht notwendig sein, da die Verfügbarkeit des jeweiligen Sicherheitssensors oder Sicherheitssensoruntersystems automatisch nach einer kurzen Zeit wiederhergestellt wird.
Daher ist die Steuerlogik 3 im Sicherheitssteuersystem 1 gemäß der Erfindung, wie in 1 dargestellt, zum Aktivieren eines normalen Betriebsmodus F_N, der durch eine normale Produktivität P_N charakterisiert ist, konfiguriert, falls die Eingabe eine Verfügbarkeit aller funktionell redundanter Untersysteme 6, 7 angibt, und ist zum Aktivieren eines Ausfall-Stopp-Betriebsmodus F₀, der durch eine Null-Produktivität P₀ charakterisiert ist, konfiguriert, falls die Eingabe 8 eine Nichtverfügbarkeit aller funktionell redundanter Untersysteme 6, 7 angibt, und ist ferner zum Aktivieren eines Ausfall-Funktionieren-Betriebsmodus F₁, F₂ mit einer Produktivität, die geringer als normal ist, aber über Null liegt, konfiguriert, falls die Eingabe 8 eine temporäre Nichtverfügbarkeit von mindestens einem und eine Verfügbarkeit von mindestens einem anderen der funktionell redundanten Untersystemene 6, 7 angibt. Demnach wird der Ausfall-Stopp-Modus mit Null-Produktivität nur aktiviert, falls alle Untersysteme nicht verfügbar sind. Im Falle einer temporären Nichtverfügbarkeit von einem der Untersysteme, so lange wie mindestens eines der redundanten Untersysteme verfügbar ist, wird die Maschinenanordnung in einen Zustand mit lediglich reduzierter Produktivität, nicht Null-Produktivität, versetzt, was die Gesamtverfügbarkeit der sicherheitsgesteuerten Maschinenanordnung 5 in hohem Maße erhöht.
Jetzt 2 betrachtend, stellt diese eine beispielhafte und schematische Repräsentation einer weiteren Ausführungsform eines Sicherheitssteuersystems 11 gemäß der Erfindung dar. 2 stellt ein Sicherheitssteuersystem 1' zum Steuern einer Maschine 2 schematisch dar. Die Maschine 2 kann ein Roboter, ein AGV oder eine beliebige andere Maschine, die in einem diskreten Fertigungssystem oder einer Fertigungszelle verwendet wird, sein. Bezüglich der Maschine 2 sind eine erste, kritische Sicherheitszone Z₁ und eine zweite, weniger kritische Sicherheitszone Z₂ definiert. Die erste Sicherheitszone Z₁ befindet sich näher an der Maschine 2 als die zweite Sicherheitszone Z₂. Die erste, kritische Sicherheitszone Z₁ ist eine Teilmenge der zweiten, weniger kritischen Sicherheitszone Z₂.
Das Sicherheitssteuersystem 1 umfasst ferner eine Steuereinheit 3, die eine Sicherheitslogik beinhaltet und kommunikativ mit der Maschine 2 verknüpft ist. Ferner ist eine erste Sicherheitseinrichtung D₁, Bezugszahl 6, vorhanden, die kommunikativ mit der Sicherheitslogik 3 verknüpft ist. Sie weist ein erstes Gefahrendetektionsmittel auf, das zum Detektieren eines Gefahrenereignisses H₁ in der ersten Sicherheitszone Z₁ konfiguriert ist. Ferner ist eine zweite Sicherheitseinrichtung D₂, Bezugszahl 7, vorhanden, die kommunikativ mit der Sicherheitslogik 3 verknüpft ist. Sie weist ein zweites Gefahrendetektionsmittel auf, das zum Detektieren eines Gefahrenereignisses H₂ in der zweiten Sicherheitszone Z₂ konfiguriert ist. Die Sicherheitseinrichtungen 6, 7 mit den Gefahrendetektionsmitteln können eine beliebige Art von Sensoren sein, die dafür bekannt sind, für diesen Zweck verwendet zu werden, zum Beispiel Annäherungssensoren, eine Lichtschranke, ein Laserscanner oder dergleichen. Die Sicherheitseinrichtungen 6, 7 sind Beispiele dafür, was der allgemeinere und abstrakte Ausdruck „funktionell redundante Sensoruntersysteme 6, 7 einer Sicherheitssensoranordnung 4” bezeichnet. Hier in 2 bilden das erste und das zweite Gefahrendetektionsmittel 6, 7 zusammen eine Art von virtueller Sicherheitssensoranordnung 4.
Die Maschine 2 beinhaltet ferner ein erstes Aktorsystem mit einem ersten Sicherheitsfunktionsmittel, das dazu konfiguriert ist, ausgelöst zu werden, um eine erste Sicherheitsfunktion durch die Sicherheitslogik 3 auszuführen.
Die Maschine 2 beinhaltet ferner ein zweites Aktorsystem mit einem zweiten Sicherheitsfunktionsmittel, das dazu konfiguriert ist, ausgelöst zu werden, um eine zweite Sicherheitsfunktion durch die Sicherheitslogik 3 auszuführen.
Das erste und das zweite Aktorsystem können zum Beispiel die Antriebe für die Roboterachsen oder die Antriebe zum Fahren des AGV oder dergleichen sein. Die Sicherheitsfunktionen in diesem Beispiel würden dann zum Beispiel verschiedene Antriebsdrehzahlen sein, die Notfunktion würde in diesem Beispiel der Stopp der Antriebe sein.
Die Steuereinheit 3 weist ferner ein Eingabeevaluierungsmittel 10 auf, das zum Bestimmen des Funktionsstatus und/oder der Verfügbarkeit der ersten und der zweiten Sicherheitseinrichtung 6, 7 konfiguriert ist. Die Steuereinheit 3 weist ferner ein Aktivierungsmittel 9 auf, das zum Auslösen oder Aktivieren des ersten Aktorsystems, um die erste Sicherheitsfunktion beim Detektieren eines Gefahrenereignisses in der ersten Sicherheitszone Z₁ auszuführen, und zum Auslösen oder Aktivieren des zweiten Aktorsystems, um die zweite Sicherheitsfunktion beim Detektieren eines Gefahrenereignisses in der zweiten Sicherheitszone Z₂ auszuführen, konfiguriert ist, falls die erste und die zweite Sicherheitseinrichtung 6, 7 funktionieren und zur Verfügung stehen. Das Eingabeevaluierungsmittel 10 und das Aktivierungsmittel 9 können zum Beispiel als E/A-Einrichtungen und assoziierte Programmroutinen als Teil eines Steuerbetriebsprogramms, das in Speichern in einem Mikrocomputer als Teil der Steuereinheit 3 und ihrer Steuerlogik gespeichert wird und durch diesen ausgeführt wird, implementiert werden.
Das Aktivierungsmittel 9 ist zum Auslösen oder Aktivieren des ersten Aktorsystems konfiguriert, um die erste Sicherheitsfunktion F₁ bei der Bestimmung einer Fehlfunktion und/oder Nichtverfügbarkeit der ersten Sicherheitseinrichtung 6 und des Funktionierens und der Verfügbarkeit der zweiten Sicherheitseinrichtung 7 und beim Detektieren eines Gefahrenereignisses in der zweiten Sicherheitszone Z₂ auszuführen.
Das Aktivierungsmittel 9 ist ferner zum Auslösen oder Aktivieren des zweiten Aktorsystems konfiguriert, um die zweite Sicherheitsfunktion F₂ auszuführen, falls das Eingabeevaluierungsmittel 10 eine Fehlfunktion und/oder Nichtverfügbarkeit der zweiten Sicherheitseinrichtung 7 bestimmt und das Funktionieren und die Verfügbarkeit der ersten Sicherheitseinrichtung 6 bestimmt, so lange wie das erste Sicherheitsmittel oder das Gefahrendetektionsmittel 6 keine Gefahr in der ersten Sicherheitszone Z₁ detektiert.
Das Aktivierungsmittel 9 ist ferner zum Auslösen oder Aktivieren des zweiten Aktorsystems konfiguriert, um die zweite Sicherheitsfunktion F₂ auszuführen, falls das Eingabeevaluierungsmittel 10 eine Fehlfunktion und/oder Nichtverfügbarkeit der zweiten Sicherheitseinrichtung 7 und das Funktionieren und die Verfügbarkeit der ersten Sicherheitseinrichtung 6 bestimmt, falls das erste Gefahrendetektionsmittel oder die erste Sicherheitseinrichtung 6 eine Gefahr in der ersten Sicherheitszone Z₁ detektiert.
Das Aktivierungsmittel 9 ist ferner zum logischen Auslösen der Maschine 2 für einen Übergang in einen sicheren Zustand, d. h. zum Beispiel ein Notstopp, konfiguriert, falls das Eingangsevaluierungsmittel 10 eine Fehlfunktion und/oder Nichtverfügbarkeit der ersten und der zweiten Sicherheitseinrichtung 6, 7 bestimmt.
Im Folgenden wird das Konzept einer hierarchischen Sicherheitssteuerung, wie es im Sicherheitssteuersystem gemäß der Erfindung angewendet wird, erläutert.
Ein typisches Gefahrenereignis besteht darin, dass ein Mensch in eine definierte Zone, wo eine sich in Betrieb befindliche Maschine den Menschen schwer verletzen kann, eintritt. Herkömmlicherweise wird die Maschine gestoppt, falls ein derartiges Ereignis detektiert wird. Die Schwere einer derartigen Gefahr kann jedoch unterschiedlich sein, so dass die Maschine manchmal mit einer reduzierten Geschwindigkeit laufen kann, anstatt gestoppt zu werden, so dass die Gesamtproduktivität der Maschine erheblich verbessert werden kann.
Beispielsweise, siehe 2 oder 3, kann eine erste, kritische Sicherheitszone Z₁ um eine Maschine 2 oder eine Maschinenanordnung 5, zum Beispiel einen Industrieroboter, herum definiert werden, wo die Verletzung dieser Zone zum unmittelbaren Stoppen des Roboters führt, aber falls sich der Mensch in der Nähe außerhalb dieser Zone Z₁ befindet, kann der Roboter mit einer reduzierten Geschwindigkeit laufen, so dass der Roboter in der Lage ist, zu stoppen, wenn der Mensch in die Zone Z₁ eintritt.
Ein anderes Beispiel könnte ein AGV sein, siehe 4, das mit reduzierter Geschwindigkeit laufen könnte, falls sich Hindernisse oder ein menschlicher Arbeiter innerhalb eines bestimmten aber größeren Bereichs Z₂ befinden bzw. befindet, und stoppt, wenn der Abstand kritisch wird, wie Zone Z₁ im obigen Beispiel, wie in 4 dargestellt.
Auf eine allgemeinere Weise kann die Sicherheitsreaktion auch vom genaueren Erfassen der Position, der Größe und der Geschwindigkeit des Menschen oder der Hindernisse abhängen. Und die Sicherheitsreaktion kann auch bestimmte Teile einer Fertigungslinie stoppen, wobei Teile der Linie mit variabler Geschwindigkeit laufen usw.
All diese führen zu einem hierarchischen Sicherheitssteuerungsschema, das hinsichtlich verbesserter Produktivität vorteilhaft ist, während das gleiche Sicherheitsniveau gewährleistet wird.
Auf eine vereinfachte und verallgemeinerte Weise wird das folgende Szenario angenommen:
D₁ := Sicherheitseinrichtung 1
H₁ := Lokalisiertes Gefahrenereignis, das durch D₁ detektiert werden soll
F₁ := (Sicherheits-)Funktion 1 (z. B. sicherer Stopp)
P₁ := Produktivität, wenn mit F₁ gearbeitet wird
D₂ := Sicherheitseinrichtung 2
H₂ := Weniger lokalisiertes Gefahrenereignis, das durch D₂ detektiert werden soll
F₂ := (Sicherheits-)Funktion 2 (z. B. reduzierte Geschwindigkeit)
P₂ := Produktivität, wenn mit F₂ gearbeitet wird
mit 100% = P_N > P₂ > P₁ ≥ P₀ = 0 und
H₁ ist eine Teilmenge von H₂,
was bedeutet, dass H₁ die gleiche Art wie H₂ ist und durch H₂ abgedeckt wird, aber lokalisierter und detaillierter ist.
Im Roboter-Beispiel, 3 oder 2, würde D₁ ein lokaler Sensor sein, der den Arbeitsraum des Roboters schützt, und würde D₂ ein Sensor sein, der die Umgebung überwacht. Und beim AGV-Beispiel könnte D₁ ein lokaler Sensor (z. B. Laserscanner) sein, der den Vorderbereich nach vorne erfasst, und könnte D₂ eine Fernkamera sein, die die Arbeitszelle überwacht.
Die Sicherheitssteuerlogik würde Folgendes sein:

5 veranschaulicht dieses verallgemeinerte Szenario mit entsprechender elementarer Sicherheitslogik, wo jegliche detektierten oder implizierten Sicherheitseinrichtungsfehler zu einem Notstopp führen. Die entsprechende Sicherheitssteuerimplementierung kann den folgenden Regeln folgen:

D₁-Status	H₁ detektiert	D₂-Status	H₂ detektiert	F_x	P_x	Bemerkung
OK	falsch	OK	falsch	-	P_N	Keine Sicherheitshandlung
OK	falsch	OK	wahr	F₂	P₂	z. B. reduzierte Geschwindigkeit
OK	wahr	OK	wahr	F₁	P₁	z. B. niedrigere Geschwindigkeit oder Stopp
OK	wahr	OK	falsch	F_E	P₀	Notstopp, nicht übereinstimmend mit „H₁ ist eine Teilmenge von H₂”
NOK	beliebige	OK	beliebige	F_E	P₀	Notstopp
OK	beliebige	NOK	beliebige	F_E	P₀	Notstopp
NOK	beliebige	NOK	beliebige	F_E	P₀	Notstopp

NOK bedeutet entweder eine Fehlfunktion oder Nichtverfügbarkeit der Sicherheitseinrichtung aufgrund eines beliebigen Grundes, einschließlich eines temporären Kommunikationsfehlers.
Im Folgenden wird das Konzept eines Failovers, wie es im Sicherheitssteuersystem gemäß der Erfindung angewendet wird, erläutert.
Allgemein gesagt, bezeichnet Failover ein Umschalten zu einer redundanten Einrichtung oder Funktion, wenn eine dedizierte Einrichtung oder Funktion ausfällt.
Wie oben beschrieben, würde es, falls H₁ aufgrund einer Fehlfunktion von D₁ oder anderer Gründe, z. B. eines Kommunikationsfehlers, nicht detektiert werden kann, die Aktivierung des Notstopps F_e bewirken, wodurch die Maschine mit P₀ läuft.
Nach F_e muss das System Fehlerdiagnosen und eine Wiederherstellung durchlaufen und muss neu gestartet werden. Der durchschnittliche Zeitraum für diesen Prozess würde T_e sein.
Aber im Falle einer temporären Nichtverfügbarkeit der Einrichtung, das heißt, falls die Funktion der Einrichtung nach einem akzeptablen Zeitraum wiederhergestellt wird, ohne das System manuell reparieren und neu starten zu müssen, kann versucht werden, diesen Zeitraum durch die Verwendung redundanter Einrichtungen oder Funktionen zu überbrücken.
Angenommen, dass H₁ indirekt durch H₂ abgedeckt wird, somit ist H₁ eine Teilmenge von H₂. Es ist dann möglich, die Logik unter Verwendung von D₂ als Failover-Einrichtung von D₁ zu ändern, wie folgt:
In diesem Fall würde die Maschine mit 100% laufen, falls keine Sicherheitszonenverletzung detektiert wird. Falls somit D₁ nicht funktioniert, bleibt die Sicherheitssteuerung mit dem Umschalten von (H₂ impliziert F₂) zu (H₂ impliziert F₁) intakt und läuft mit 100%, falls keine Sicherheitszonenverletzung vorliegt, oder zumindest mit P₁, wenn H₂. Die Produktivität ist geringer, wie wenn D₁ funktioniert, aber höher im Vergleich zum ständigen Stoppen der Maschine, falls D₁ nicht funktioniert.
Falls D₂ zumindest temporär nicht verfügbar ist, ist die Situation leicht anders. H₂ wird nur teilweise durch H₁ abgedeckt und D₁ kann nicht als Failover-Einrichtung zum Detektieren von H₂ verwendet werden. Wir können jedoch F₂ als Failover-Funktion für (D₂ ist NOK) in Verbindung mit H₁ dann F₁ verwenden, somit F₂, sobald D₂ NOK ist, aktivieren und F₁ aktivieren, wenn H₁ durch D₁ detektiert wird. Da H₁ eine Teilmenge von H₂ ist, wird H₂ mit dieser Failover-Strategie ausreichend in Betracht gezogen.

Die resultierende Sicherheitssteuerimplementierung folgt den folgenden Regeln:

D₁-Status	H₁ detektiert	D₂-Status	H₂ detektiert	F_x	P_x	Bemerkung
OK	falsch	OK	falsch	-	P_N	Keine Sicherheitshandlung
OK	falsch	OK	wahr	F₂	P₂	z. B. reduzierte Geschwindigkeit
OK	wahr	OK	wahr	F₁	P₁	z. B. niedrigere Geschwindigkeit oder Stopp
OK	wahr	OK	falsch	F_E	P₀	Nicht übereinstimmend mit H₁ ist eine Teilmenge von H₂
NOK	beliebige	OK	falsch	-	P_n	Failover zu (D₂, H₂->F₁)
NOK	beliebige	OK	wahr	F₁	P₁	Failover zu (D₂, H₂->F₁)
OK	falsch	NOK	beliebige	F₂	P₂	Failover zu (D₂ NOK)->F₂
OK	wahr	NOK	beliebige	F₁	P₁	H₂ in Betracht gezogen mit H₁ ist eine Teilmenge von H₂
NOK	beliebige	NOK	beliebige	F_E	P₀	Notstopp

Im Folgenden wird ein Beispielszenario beschrieben, bei dem die Ausfallsituation ein CRC-Fehler (zyklischer Redundanzprüffehler) ist.
Im Beispielszenario wird angenommen, dass sie Sicherheitseinrichtung D₁ entfernt über PROFINET (mit PROFIsafe-Protokoll) verbunden ist und temporäre Kommunikationsfehler wie CRC- oder Watchdog-Fehler auftreten können, die in der gegenwärtigen Praxis zu einem Notstopp des Systems führen. Im Folgenden wird beschrieben, wie das Failover-Konzept bei derartigen Szenarios angewendet werden kann.
Tatsächlich ist ein Failover nur eine temporäre Lösung, um die Maschine am Laufen zu halten, bis eine Wiederherstellung vom partiellen Ausfall durchgeführt wird.
Typischerweise, falls eine Sicherheitseinrichtung ausfällt, wird ein manueller Eingriff benötigt, um eine Wiederherstellung vom Ausfall durchzuführen, z. B. Austauschen der Einrichtung und Neustarten der Sicherheitssteuerung. Aber in manchen Fällen ist der Ausfall nur temporär.
In diesem Szenario werden CRC-Fehler näher betrachtet, die typische Beispiele für temporäre Ausfälle der Kommunikation zur Sicherheitseinrichtung sind. CRC-Fehler können durch die Sicherheitssteuerung detektiert werden. Gemäß dem Stand der Technik vor der vorliegenden Erfindung würde ein gelegentlicher einzelner CRC-Fehler ein Notstopp verursachen, falls keine zusätzliche Maßnahme implementiert wird, um diese Situation in der Sicherheitsprotokollimplementierung abzudecken.
Aber in den meisten Fällen verschwinden CRC-Fehler nach einem kurzen Zeitraum und eine stabile Kommunikation mit der Einrichtung wird wieder hergestellt. In einer derartigen Situation, wenn das oben beschriebene Failover-Konzept angewendet wird, muss das System nicht bei einem einzelnen CRC-Fehler gestoppt werden, da eine redundante Sicherheitseinrichtung vorhanden ist, und kann sich selbst automatisch wiederherstellen, indem es zu den normalen Sicherheitsfunktionen zurückschaltet, wenn das nächste Telegramm gültig wird, siehe 6.
Mehrere CRC-Fehler innerhalb eines definierten Zeitintervalls werden als ein ernsthafter Ausfall interpretiert, wobei in diesem Fall die Maschine gestoppt werden muss, siehe auch 6. Das üblicherweise angewendete Zeitintervall zur Detektion einer CRC-Fehleransammlung beträgt gegenwärtig 100 Stunden.
Ein CRC-Fehler kann durch eine Beweisführung der Prüfsumme detektiert werden. Daher registriert die Sicherheitssteuerung den Kommunikationsausfall und interpretiert ihn als eine Fehlfunktion der entsprechenden Sicherheitseinrichtung, falls CRC-Fehler wiederholt auftreten.
Im Falle eines Ausfalls der Sicherheitseinrichtung selbst ist eine automatische Wiederherstellung leider nicht möglich. Die Sicherheitssteuerung muss neu gestartet werden.
Im Folgenden wird ein Beispielszenario beschrieben, bei dem die Ausfallsituation ein Watchdog-Fehler ist.
Ein anderes typisches Beispiel für einen temporären Kommunikationsfehler sind Watchdog-Fehler. Diese Fehler können in Abhängigkeit von den verwendeten Parametern jede Minute oder sogar noch häufiger erfolgen. Die Watchdog-Zeit definiert den Kompromiss zwischen der Sicherheitsfunktionsreaktionszeit und der Verfügbarkeit. Je kleiner die Watchdog-Zeit eingestellt ist, was näher an die Black-Channel-Leistungsfähigkeit herankommt, desto höher ist die Wahrscheinlichkeit, dass die Maschine aufgrund einer plötzlichen Black-Channel-Leistungsfähigkeit-Unzulänglichkeit gestoppt werden muss.
Beim gegenwärtigen Stand der Technik, der ausgeübt wurde, bevor die Erfindung hergestellt wurde, gibt es keine Beschränkung an der Häufigkeit des Auftretens eines Watchdog-Fehlers. Aber jedes Mal würde gestoppt werden, ähnlich zu einem CRC-Fehler, falls nichts geschieht, um dies auf der Anwendungsebene zu bearbeiten.
Ein Failover-Konzept für den Watchdog-Fehler gemäß der vorliegenden Erfindung ist insbesondere für automatische geführte Fahrzeuge (AGV) in automatischen Lagerabwicklungssystemen vorteilhaft. Derartige AGVs sind sehr häufig über drahtlose Netzwerke verbunden und werden von der Zentralstelle gesteuert.
Im Falle, dass die drahtlose Verbindung plötzlich zu langsam ist, durch eine Störung oder eine blockierende Wand, die den Datentransfer beeinträchtigt, usw., dann verliert das AGV-Steuersystem die Kommunikation zur Zentralstelle und zeigt einen Watchdog-Fehler an, da die Kommunikation über die drahtlose Verbindung zu langsam ist. Anstatt das AGV zu stoppen, könnte im Falle eines Watchdog-Fehlers ein Timer gestartet werden. Falls die Kommunikation nicht innerhalb von z. B. 3 Sekunden wieder einsatzfähig ist, wird das AGV gestoppt. Ansonsten verwendet es die lokalen Sicherheitssensoren, z. B. einen Laserscanner, als Failover-Einrichtungen.
In diesem Szenario ist der lokale Sensor D₁, äquivalent zur ersten Sicherheitseinrichtung 6, der das Vorhandensein von Hindernissen oder Menschen an der unmittelbaren Vorderseite des Fahrzeugs detektiert und einen kontrollierten Stopp auslöst. Des Weiteren überwacht D₂, äquivalent zur zweiten Sicherheitseinrichtung 7, das größere Gebiet und ist über eine drahtlose Kommunikation mit der lokalen AGV-Steuerung verbunden. Falls D₂ temporär nicht verfügbar ist, kann das lokale AGV zu einer reduzierten Geschwindigkeit umschalten und für einen akzeptablen Zeitraum auf den lokalen Sensor angewiesen sein.
Natürlich muss die konkrete Implementierung einer Sicherheitssteuerung mit Failover von Einrichtungen oder Funktionen alle Aspekte in Betracht ziehen, die einen Einfluss auf die erreichbare Sicherheitseinstufung haben.
7a–c stellen eine schematische Repräsentation einer Ausführungsform der Erfindung in verschiedenen Ausfallsituationen als ein Beispiel für eine bevorzugte Ausführungsform des Steuersystems gemäß der vorliegenden Erfindung dar.
7a stellt auf eine schematische und beispielhafte Weise ein Sicherheitssteuersystem 1, das dem in 1 dargestellten ähnelt, dar. Die 7a–c veranschaulichen das Verfahren zum Betreiben eines Sicherheitssteuersystems gemäß der Erfindung. 7a stellt die Situation dar, bei der beide Sicherheitssensoruntersysteme 6, 7 verfügbar sind und funktionieren.
Falls das erste Sicherheitssensoruntersystem 6, D₁, eine Gefahrensituation, H₁, in Zone Z₁, die sicherheitskritischere Zone, detektiert, dann aktiviert die Sicherheitslogik in der Steuereinheit 3 die Maschinenanordnung 5, den jeweiligen Aktor, in den ersten Betriebsmodus F₁ mit stark reduzierter Produktivität P₁, wobei F₁ und P₁ wie oben definiert und erläutert sind.
Falls das zweite Sicherheitssensoruntersystem 7, D₂, eine Gefahrensituation, H₂, in Zone Z₂, die nebenbei Z₁ beinhaltet, da Z₁ eine Untereinheit von Z₂ ist, die weniger sicherheitskritische Zone, detektiert, dann aktiviert die Sicherheitslogik in der Steuereinheit 3 die Maschinenanordnung 5, den jeweiligen Aktor, in den zweiten Betriebsmodus F₂ mit weniger stark reduzierter Produktivität P₂, wobei F₂ und P₁ wie oben definiert und erläutert sind.
7b stellt die Situation dar, bei der das Sicherheitssensoruntersystem 6 nicht verfügbar ist, was durch die gestrichelten Linien symbolisiert ist, aber das Sicherheitssensoruntersystem 7 verfügbar ist. In diesem Szenario wird ein Failover von D₁ zu D₂ mit einem Failover von F₂ zu F₁ angewendet. Dies bedeutet, falls das zweite Sicherheitssensoruntersystem 7, D₂, ein Gefahrenereignis detektiert, aktiviert die Sicherheitslogik in der Steuereinheit 3 die Maschinenanordnung 5, den jeweiligen Aktor, in den ersten Betriebsmodus F₁ mit stark reduzierter Produktivität P₁. Dies ist in dem Sinne ein Failover, dass die restriktivere Sicherheitsfunktion F₁ aus Sicherheitsgründen für eine Gefahrensituation, die durch das die weniger kritische Sicherheitszone Z₂ überwachende Untersystem D₂ detektiert wird, angewendet wird. Da aber Z₂ Z₁ enthält, könnte es sein, dass die durch D₂ detektierte Gefahrensituation in der Sicherheitszone Z₁ aufgetreten ist, und demnach ist es im Sinne der Sicherheitssteuerung sinnvoll, die restriktivere Sicherheitsfunktion F₁ zu aktivieren. Demnach wird das Kombinationsuntersystem 1.2–2, 3.1 oder 7-F₁ als ein Failover bereitgestellt.
7c stellt die Situation dar, bei der das Sicherheitssensoruntersystem 7, D₂, nicht verfügbar ist, was durch die gestrichelten Linien symbolisiert ist, aber das Sicherheitssensoruntersystem 6, D₁, verfügbar ist. Im Falle der Nichtverfügbarkeit von D₂ gibt es kein explizites Failover der Einrichtungsfunktion. Stattdessen wird die Sicherheitsfunktion für H₂ als eine allgemeine Failover-Funktion angenommen, d. h. F₂ wird ausgelöst, falls (D₂ NOK) ist. Mit anderen Worten, falls D₂ NOK ist, dann wird F₂ aus Sicherheitsgründen und Vorsichtsmaßnahmen ausgelöst, was die Geschwindigkeit und die Produktivität von P₀ zu P₂ reduziert, selbst wenn D₁ keine Gefahrensituation detektiert. Falls dann D₁ zusätzlich eine Gefahrensituation in Zone Z₁ detektiert, wird F₁ ausgelöst, was die Geschwindigkeit und Produktivität weiter zu P₁ reduziert.
Bezugszeichenliste

1: Sicherheitssteuersystem
1': Sicherheitssteuersystem
3: Steuereinheit
4: Sicherheitssensoranordnung
5: Maschinenanordnung
6: erstes Sicherheitssensoruntersystem D₁
7: zweites Sicherheitssensoruntersystem D₂
8: Informationen, die die Verfügbarkeit des Untersystems angeben
8': Informationen, die die Verfügbarkeit des Untersystems angeben
9: Aktivierungsmittel
10: Eingabeevaluierungsmittel
11: Funktionsblock/Funktionsuntersystem
12: Funktionsblock/Funktionsuntersystem
13: Funktionsblock/Funktionsuntersystem
14: Funktionsblock/Funktionsuntersystem
15: erste Signaleingangsleitung
16: zweite Signaleingangsleitung
Z1: erste, kritische Sicherheitszone
Z2: zweite, weniger kritische Sicherheitszone

Claims

Sicherheitssteuersystem (1), wobei das System Folgendes beinhaltet: a) eine Steuereinheit (3), die Sicherheitssteuerlogik beinhaltet, b) mindestens eine Sicherheitssensoranordnung (4), c) mindestens eine Maschinenanordnung (5), die in verschiedenen Betriebsmodi (F₀, F_N, F₁, F₂) betreibbar ist, wobei jeder Betriebsmodus durch eine andere Produktivität (P₀, P_N, P₁, P₂) der Maschinenanordnung (5) charakterisiert ist, wobei d) die Steuereinheit (3) eine Eingabe von der mindestens einen Sicherheitssensoranordnung (4) empfängt und evaluiert und e) als Reaktion auf das Ergebnis der Evaluierung einen Betriebsmodus (F₀, F_N, F₁, F₂) der Maschinenanordnung (5), wie durch die Sicherheitssteuerlogik (3) bestimmt, aktiviert, dadurch gekennzeichnet, dass (1) die mindestens eine Sicherheitssensoranordnung (4) mindestens zwei funktionell redundante Untersysteme (6, 7) aufweist, (2) die Eingabe in die Steuereinheit (3) Informationen (8) beinhaltet, die eine Verfügbarkeit der mindestens zwei funktionell redundanten Untersysteme (6, 7) angeben, (3) die Steuerlogik (3) zu Folgendem konfiguriert ist: i. Aktivieren eines normalen Betriebsmodus (F_N), der durch eine normale Produktivität (P_N) charakterisiert ist, falls die Eingabe eine Verfügbarkeit aller funktionell redundanter Untersysteme (6, 7) angibt, ii. Aktivieren eines Ausfall-Stopp-Betriebsmodus (F₀), der durch eine Null-Produktivität (P₀) charakterisiert ist, falls die Eingabe (8) eine Nichtverfügbarkeit aller funktionell redundanter Untersysteme (6, 7) angibt, iii. Aktivieren eines Ausfall-Funktionieren-Betriebsmodus (F₁, F₂) mit einer Produktivität, die niedriger als normal ist, aber über Null liegt, falls die Eingabe (8) eine zumindest temporäre Nichtverfügbarkeit von mindestens einem und eine Verfügbarkeit von mindestens einem anderen der funktionell redundanten Untersysteme (6, 7) angibt.
Sicherheitssteuersystem (1) nach Anspruch 1, wobei das System Folgendes beinhaltet: – eine Maschine (2) oder Maschinenanordnung (5), die eine Nennproduktivität (P_N) aufweist, – eine erste Sicherheitszone (Z₁) und eine zweite Sicherheitszone (Z₂), wobei die erste Sicherheitszone (Z₁) eine Teilmenge der zweiten Sicherheitszone (Z₂) ist, – ein erstes funktionell redundantes Untersystem (D₁, 6), das zum Detektieren eines ersten Gefahrenereignisses (H₁) in der ersten Sicherheitszone (Z₁) konfiguriert ist, – ein zweites funktionell redundantes Untersystem (D₂, 7), das zum Detektieren eines zweiten Gefahrenereignisses (H₂) in der zweiten Sicherheitszone (Z₂) konfiguriert ist, wobei ein erster Ausfall-Funktionieren-Modus (F₁) zu einer ersten reduzierten Maschinenproduktivität (P₁) führt, die größer als Null aber kleiner als die normale Produktivität (P_N) ist, und ein zweiter Ausfall-Funktionieren-Modus (F₂) zu einer zweiten reduzierten Maschinenproduktivität (P₂) führt, die größer als Null aber kleiner als die Nennproduktivität (P_N) und höher als die erste reduzierte Maschinenproduktivität (P₁) ist, wobei die Steuerlogik den zweiten Ausfall-Funktionieren-Modus (F₂) aktiviert, falls die Eingabe in die Steuerlogik eine Verfügbarkeit beider funktionell redundanter Untersysteme (D₁, 6; D₂, 7) und ein zweites Gefahrenereignis (H₂) in der zweiten Sicherheitszone (Z₂) aber kein erstes Gefahrenereignis in der ersten Sicherheitszone (Z₁) angibt, und wobei die Steuerlogik den ersten Ausfall-Funktionieren-Modus (F₁) aktiviert, falls die Eingabe in die Steuerlogik eine temporäre Nichtverfügbarkeit des ersten funktionell redundanten Untersystems (D₁, 6) aber eine Verfügbarkeit des zweiten funktionell redundanten Untersystems (D₂, 7) und ein zweites Gefahrenereignis (H₂) in der zweiten Sicherheitszone (Z₂) angibt.
Sicherheitssteuersystem (1) nach Anspruch 1, wobei die Steuerlogik den zweiten Ausfall-Funktionieren-Modus (F₂) aktiviert, falls die Eingabe in die Steuerlogik eine Verfügbarkeit des ersten funktionell redundanten Untersystems (D₁, 6) und eine zumindest temporäre Nichtverfügbarkeit des zweiten redundanten Untersystems (D₂, 7) und kein erstes Gefahrenereignis (H₁) in der ersten Sicherheitszone (Z₁) angibt.
Sicherheitssteuersystem (1) nach Anspruch 1, wobei die Steuerlogik den ersten Ausfall-Funktionieren-Modus (F₁) aktiviert, falls die Eingabe in die Steuerlogik eine zumindest temporäre Nichtverfügbarkeit des zweiten redundanten Untersystems (D₂, 7) und ein erstes Gefahrenereignis (H₁) in der ersten Sicherheitszone (Z₁) angibt.
Sicherheitssteuersystem (1) nach Anspruch 1, wobei die Steuerlogik den ersten Ausfall-Funktionieren-Modus (F₁) aktiviert, falls die Eingabe in die Steuerlogik eine Verfügbarkeit von sowohl dem ersten als auch dem zweiten redundanten Untersystem (D₁, 6; D₂, 7) und ein erstes und ein zweites Gefahrenereignis (H₁, H₂) in sowohl der ersten als auch der zweiten Sicherheitszone (Z₁, Z₂) angibt.
Sicherheitssteuersystem (1) nach Anspruch 1, wobei die Steuerlogik den normalen Betriebsmodus (F_N) aktiviert, falls die Eingabe in die Steuerlogik eine Verfügbarkeit des zweiten redundanten Untersystems (D₂, 7) und eine temporäre Nichtverfügbarkeit des ersten redundanten Untersystems (D₁, 6) und kein erstes Gefahrenereignis in der zweiten Sicherheitszone (Z₂) angibt.
Sicherheitssteuersystem (1) nach einem der vorangegangenen Ansprüche, wobei die Maschine (2) oder die Maschinenanordnung (5) ein Roboter oder ein autonomes geführtes Fahrzeug oder ein diskretes Fertigungssystem oder eine Fertigungszelle ist.
Sicherheitssteuersystem (1) nach einem der vorangegangenen Ansprüche, wobei die Produktivität der Maschine (2) oder der Maschinenanordnung (5) die Geschwindigkeit von sich bewegenden Teilen der Maschine (2) oder der Maschinenanordnung (5) ist.
Sicherheitssteuersystem (1) nach einem der vorangegangenen Ansprüche, wobei das erste oder das zweite redundante Untersystem (D₁, 6; D₂, 7) ein Annäherungssensor oder eine Lichtschranke oder ein Laserscanner oder eine Kamera ist.
Sicherheitssteuersystem (1) nach einem der vorangegangenen Ansprüche, wobei die temporäre Nichtverfügbarkeit eines funktionell redundanten Untersystems durch einen temporären Kommunikationsfehler wie einen zyklischen Redundanzfehler (CRC-Fehler) oder einen Watchdog-Fehler verursacht wird.
Verfahren zum Betrieb eines Sicherheitssteuersystems (1), wobei das System Folgendes beinhaltet: – eine Steuereinheit (3), die Sicherheitssteuerlogik beinhaltet, – mindestens eine Sicherheitssensoranordnung (4), – mindestens eine Maschinenanordnung (5), die in verschiedenen Betriebsmodi (F₀, F_N, F₁, F₂) betreibbar ist, wobei jeder Betriebsmodus durch eine andere Produktivität (P₀, P_N, P₁, P₂) der Maschinenanordnung (5) charakterisiert ist, wobei – die Steuereinheit (3) eine Eingabe von der mindestens einen Sicherheitssensoranordnung (4) empfängt und evaluiert und – als Reaktion auf das Ergebnis der Evaluierung einen Betriebsmodus (F₀, F_N, F₁, F₂) der Maschinenanordnung (5), wie durch die Sicherheitssteuerlogik (3) bestimmt, aktiviert, – die mindestens eine Sicherheitssensoranordnung (4) mindestens zwei funktionell redundante Untersysteme (6, 7) aufweist, – die Eingabe in die Steuereinheit (3) Informationen (8) beinhaltet, die eine Verfügbarkeit der mindestens zwei funktionell redundanten Untersysteme (6, 7) angeben, durch die folgenden Schritte gekennzeichnet: – Aktivierung eines normalen Betriebsmodus (F_N), der durch eine normale Produktivität (P_N) charakterisiert ist, falls die Eingabe eine Verfügbarkeit aller funktionell redundanter Untersysteme (6, 7) angibt, – Aktivierung eines Ausfall-Stopp-Betriebsmodus (F₀), der durch eine Null-Produktivität (P₀) charakterisiert ist, falls die Eingabe (8) eine Nichtverfügbarkeit aller funktionell redundanter Untersysteme (6, 7) angibt, – Aktivierung eines Ausfall-Funktionieren-Betriebsmodus (F₁, F₂) mit einer Produktivität, die niedriger als normal ist, aber über Null liegt, falls die Eingabe (8) eine zumindest temporäre Nichtverfügbarkeit von mindestens einem und eine Verfügbarkeit von mindestens einem anderen der funktionell redundanten Untersysteme (6, 7) angibt.