EP3191901A1 - Verfahren zur überwachung der funktionsfähigkeit eines gerätesystems - Google Patents

Verfahren zur überwachung der funktionsfähigkeit eines gerätesystems

Info

Publication number
EP3191901A1
EP3191901A1 EP15762961.9A EP15762961A EP3191901A1 EP 3191901 A1 EP3191901 A1 EP 3191901A1 EP 15762961 A EP15762961 A EP 15762961A EP 3191901 A1 EP3191901 A1 EP 3191901A1
Authority
EP
European Patent Office
Prior art keywords
monitoring unit
transmitted
security code
unit
control
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
EP15762961.9A
Other languages
English (en)
French (fr)
Inventor
Wilfried Kaneider
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hilti AG
Original Assignee
Hilti AG
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hilti AG filed Critical Hilti AG
Publication of EP3191901A1 publication Critical patent/EP3191901A1/de
Withdrawn legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Program-control systems
    • G05B19/02—Program-control systems electric
    • G05B19/04—Program control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/042—Program control other than numerical control, i.e. in sequence controllers or logic controllers using digital processors
    • G05B19/0428—Safety, monitoring
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Program-control systems
    • G05B19/02—Program-control systems electric
    • G05B19/04—Program control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/05—Programmable logic controllers, e.g. simulating logic interconnections of signals according to ladder diagrams or function charts
    • G05B19/058—Safety, monitoring
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B9/00—Safety arrangements
    • G05B9/02—Safety arrangements electric
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L1/00—Arrangements for detecting or preventing errors in the information received
    • H04L1/22—Arrangements for detecting or preventing errors in the information received using redundant apparatus to increase reliability
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F16—ENGINEERING ELEMENTS AND UNITS; GENERAL MEASURES FOR PRODUCING AND MAINTAINING EFFECTIVE FUNCTIONING OF MACHINES OR INSTALLATIONS; THERMAL INSULATION IN GENERAL
    • F16P—SAFETY DEVICES IN GENERAL; SAFETY DEVICES FOR PRESSES
    • F16P3/00—Safety devices acting in conjunction with the control or operation of a machine; Control arrangements requiring the simultaneous use of two or more parts of the body
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/21—Pc I-O input output
    • G05B2219/21102—Pc control of device over normal remote control connected between them
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/23—Pc programming
    • G05B2219/23431—Change program on detection of deviations
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/24—Pc safety
    • G05B2219/24003—Emergency stop
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/25—Pc structure of the system
    • G05B2219/25274—Communication processor, link interface

Definitions

  • the present invention relates to a method for monitoring the functionality of a device system during operation according to the preamble of claim 1 and to a device system for carrying out such a method according to the preamble of claim 10.
  • Device systems with a motor-driven feed unit must have an emergency stop switch according to the Machinery Directive in order to transfer the power tool to a safe state within a prescribed period of time in the event of a fault.
  • the operation of device systems with a motorized feed unit is increasingly carried out via remote controls.
  • the transmission of control signals and data between the remote control and the tool device via wired and wired communication links, which are referred to as communication cable, or via wireless and wireless communication links, such as wireless connections.
  • cable connections are also provided for a communication cable, as wireless and wireless communication in certain areas, such as wireless communication, may be required. in the airport or hospital, is not allowed.
  • the Machinery Directive requires a high degree of reliability for the transmission of safety-related control signals, such as an emergency stop switch, which must be proven by the device manufacturer as part of the device approval.
  • safety-related control signals such as an emergency stop switch
  • no additional evidence is required.
  • special communication cables for device systems with a motorized feed unit have, in addition to one or more data lines, a certified control line for the transmission of the emergency stop control signal.
  • the object of the present invention is, in a device system with a tool device and a remote control, which can be connected via a wireless and wireless communication connection or a communication cable without certified control line to comply with the required by the Machinery Directive reliability.
  • the method for monitoring the functionality of a device system during operation comprises the steps:
  • a safety-relevant control signal is sent from a control of the remote control to a first control unit of the remote control
  • control signal is arranged by the first control unit together with a security code in a data packet and transmitted via a communication link from the first control unit to a second control unit of the power tool,
  • the transmitted security code is removed from the second control unit from the data packet and routed to call a monitoring unit to the monitoring unit,
  • the transmitted security code is compared by the monitoring unit with a comparison code
  • the tool unit is switched to a safe state by the monitoring unit if the transmitted security code deviates from the comparison code.
  • the advantage of the method according to the invention for monitoring the functionality of a device system during operation is that the functional reliability is realized with the aid of hardware components and no certification of a software is required.
  • the tool unit is switched to a safe state by the monitoring unit if the transmitted security code deviates from the comparison code, the cause of the interference being irrelevant.
  • Possible causes may be faults in the first control unit, which stores the security code incorrectly or incompletely in the data packet, faults in the communication connection that changes or does not transmit the security code, or faults in the second control unit that changes the security code or does not transfer it to the monitoring unit.
  • the reliability Over the length of the security code, which is stored in the first control unit, the reliability can be set; the longer the security code, the higher the reliability.
  • a request to the second control unit is preferably transmitted by the monitoring unit with a preset frequency to forward the transmitted security code to the monitoring unit.
  • the monitoring unit is the controlling component in the monitoring.
  • the security code transmitted to the second control unit is forwarded to the monitoring unit only when requested by the second control unit.
  • the second control unit has only the task of forwarding the transmitted security code, there is no processing or storage by the second control unit instead.
  • the tool device is switched by the monitoring unit in a safe state, if the transmitted security code was not forwarded to the monitoring unit within a preset period of time after the request completely.
  • the time taken for the transmission is an important factor influencing the reliability.
  • the tool device can only be brought to a safe state within the predetermined period if the transmission times are short enough.
  • control signals are arranged by the first control unit together with a first security code and a second security code in the data packet and transmitted via the communication connection to the second control unit.
  • the reliability of the device system can be increased by using redundant systems.
  • the use of two independent security codes increases the reliability. Storing the first and second security codes in different areas of the remote control can reduce the risk that both security code memory elements will be subject to the same failure.
  • Redundancy refers to the presence of functionally equal or comparable resources of a technical system, which are not required for trouble-free operation.
  • resources can be redundant information, motors, assemblies, complete devices, control lines, and power reserves. As a rule, these additional resources serve to increase reliability, functional reliability and operational safety.
  • the transmitted first and second security codes are taken from the data packet by the second control unit and the transmitted first security code is sent to the first monitoring unit at the request of a first monitoring unit and the transmitted second security code is requested at the request of a second monitoring unit. forwarded to the second monitoring unit.
  • the first security code is compared by the first monitoring unit with a first comparison code
  • the second security code is compared by the second monitoring unit with a second comparison code.
  • the functionality of the device system is checked twice independently.
  • the first security code is checked by a first monitoring unit and the second security code by a second monitoring unit.
  • the monitoring units compare the string of the transmitted security code with the stored comparison code.
  • the tool device is switched to a safe state by the first and / or second monitoring unit if the transmitted first security code deviates from the first comparison code and / or the transmitted second security code deviates from the second comparison code. As soon as one of the two monitoring units detects a deviation between the transmitted security code and the comparison code, the power tool is brought to a safe state. The tool device will only continue to operate if both monitoring units detect no deviation.
  • the first monitoring unit transmits at a first frequency a first request to the second control unit to forward the transmitted first security code to the first monitoring unit
  • the second monitoring unit transmits a second request to the second control unit, the transmitted second security code, at a second frequency forward to the second monitoring unit.
  • the tool device is switched to a safe state by the first and / or second monitoring unit if the transmitted first security code has not been completely forwarded to the first monitoring unit within a pre-set first time period after the request and the transmitted second security code is not within a preset second time period the request has been fully forwarded to the second monitoring unit.
  • the tool device is brought to a safe state by the first and / or second monitoring unit if the transmitted security codes have not been completely forwarded to the monitoring units within a period of time following the request.
  • the frequencies at which the monitoring units send a request to the second control unit may differ, as well as the times within which the transmitted security codes must be forwarded to the monitoring units.
  • the tool device will only continue to operate if both monitoring units half of the preset periods, the transmitted security codes have been forwarded completely and without errors.
  • the device system comprises a monitoring unit which monitors the functional reliability of the device system during operation.
  • the first control unit arranges the control signals of the control together with a security code in a data packet and transmits them via the communication connection to the second control unit and that the monitoring unit compares the transmitted security code with a comparison code and checks for deviations.
  • the monitoring unit switches the device system to a safe state if the transmitted security code deviates from the comparison code.
  • the device system has a first monitoring unit, which monitors the functionality of the device system during operation, and a second monitoring unit, which monitors the functionality of the device system during operation, wherein the first and second monitoring units are of redundant construction.
  • FIG. 1 shows a device system according to the invention, which is designed as a wall saw system, with a tool device, a remote control and a communication connection between the tool device and the remote control;
  • FIG. FIG. 2 shows the interaction between the remote control and the tool device in the form of a block diagram with a monitoring unit
  • FIG. 3 shows a further development with a first and a second monitoring unit.
  • FIG. 1 shows an inventive device system 10, which is designed as a wall saw system.
  • the wall sawing system 10 comprises a guide rail 11, a tool device 12 displaceably arranged on the guide rail 11 and a remote control 13.
  • the tool device is designed as a wall saw 12 and comprises a machining unit 14 and a motorized feed unit 15.
  • the machining unit is designed as a saw head 14 and comprises a formed as a saw blade machining tool 16 which is fixed to a saw arm 17 and is driven by a drive motor 18 about a rotation axis 19.
  • the saw blade 16 may be surrounded by a blade guard, which is secured by means of a blade protection holder on the saw arm 17.
  • the saw arm 17 is formed by a pivot motor 21 about a pivot axis 22 pivotally.
  • the swivel angle of the saw arm 17 determines, with a saw blade diameter of the saw blade 16, how deep the saw blade 16 dips into a workpiece 23 to be machined.
  • the drive motor 18 and the pivot motor 21 are arranged in a device housing 24.
  • the motor-driven feed unit 15 comprises a guide carriage 25 and a feed motor 26, which is likewise arranged in the device housing 24.
  • the saw head 14 is mounted on the guide carriage 25 and formed on the feed motor 26 along the guide rail 11 in a feed direction 27 slidably.
  • In the device housing 24 is next to the Motors 19, 21, 25, a control unit 28 for controlling the saw head 14 and the motor feed unit 15 is arranged.
  • At the device housing 24 at least one handle 29 is provided.
  • the remote control 13 comprises a device housing 31, an input device 32, a display device 33 and a control unit 34, which is arranged in the interior of the device housing 31.
  • the control unit 34 converts the inputs of the input device 32 into control signals and data, which are transmitted to the wall saw 12 via a communication link.
  • the remote control 13 has a designed as an emergency stop switch control 35.
  • the communication connection is designed as a wireless and wireless communication connection 36 or as a communication cable 37.
  • the wireless and wireless communication link is formed in the embodiment as a radio link 36, which is formed between a first radio unit 38 on the remote control 13 and a second radio unit 39 on the power tool 12.
  • the communication cable 37 is primarily used when wireless and wireless communication is prohibited for security reasons, such as in hospitals and airports, or when sources of interference interfere with wireless and wireless communication.
  • FIG. 2 shows the interaction between the remote control 13 and the tool device 12 in the form of a block diagram.
  • the control unit 34 of the remote control 13 is connected via the radio link 36 or via the communication cable 37 to the control unit 28 of the tool device 12.
  • the control unit 34 of the remote control 13 is referred to below as the first control unit 34 and the control unit 28 of the power tool 12 as the second control unit 28.
  • the emergency stop switch 35 generates at a frequency a control signal 41, which is transmitted to the first control unit 34.
  • the control signal 41 contains the information about the logical state (0 or 1) of the emergency-stop switch 35. In this case, the state "0" corresponds to the non-actuated emergency-stop switch 35 and the state "1" corresponds to the actuated emergency stop. Off switch 35.
  • the device system 10 can only be operated safely if it is ensured that the control signal 41 is transmitted to the second control unit 28.
  • a security code SC stored in the first control unit 34 by the first control unit 34 together with the control signal 41 of the emergency stop switch 35 and control signals and data of the input device 32 in a data packet 42 is arranged.
  • the data packet 42 is transmitted from the first control unit 34 via the communication link 36, 37 to the second Control unit 28 forwarded.
  • the second control unit 28 does not know the security code SC itself, but it knows the position and length of the security code SC in the data packet 42 and extracts this data section 43 with the transmitted security code from the data packet 42.
  • the tool device 12 has a monitoring unit 44 in which a comparison code VC is stored.
  • the comparison code VC corresponds to the security code SC stored in the first control unit 34.
  • the monitoring unit 44 sends a request to the second control unit 28 with a preset polling frequency f a to transmit the data portion 43 with the transmitted security code within a predetermined time period T to the monitoring unit 44. After expiration of the time period T, the monitoring unit 44 checks whether a data section 43 has been transmitted. When a data section 43 has been transmitted, the monitoring unit 44 compares the data section 43 with the comparison code VC.
  • the monitoring unit 44 decides that the remote control 13 or the communication connection 36, 37 has a fault and causes the power tool 12 to be switched to a safe state by the second control unit 28.
  • the safe state for example, by interrupting the power supply to the motors 19, 21, 25 done.
  • FIG. 3 shows a further development of a device system 50 according to the invention, which, like the device system 10 of FIG. 1 is designed as a wall saw system and the guide rail 11, the tool device 12 and the remote control 13 includes.
  • the device system 50 differs in the structure of the control units of the tool device 12 and the remote control 13 from the device system 10.
  • the remote control 3 comprises a first control unit 51 and the tool device 12, a second control unit 52, via the wireless and wireless communication link 36 or the communication cable 37 are connectable.
  • the second control unit 52 includes a first monitoring unit 53 and a second monitoring unit 54, which are redundant and operate independently .
  • the first and second monitoring units 53, 54 correspond in structure to the monitoring unit 44 of the device system 10 and can replace the monitoring unit 44.
  • a first security code SC-1 and a second security code SC-2 are stored in the first control unit 51. Over the length of the security codes SC-1, SC-2, which are stored in the first control unit 51, the functional reliability of the straight-line be set tesystems; the longer the security codes SC-1, SC-2 are, the higher the functional reliability.
  • the emergency stop switch 35 generates the control signal 41 at a predetermined frequency, which is transmitted to the first control unit 51.
  • the control signal 41 is arranged by the first control unit 51 together with the first security code SC-1 and the second security code SC-2 in a data packet 55, wherein the first security code SC-1 is stored at a first preset position in the data packet 55 and the second Security code SC-2 at a second preset position.
  • the data packet 55 is transmitted from the first control unit 51 via the communication connection 36, 37 to the second control unit 52.
  • the first and second security codes SC-1, SC-2 are unknown to the second control unit 52.
  • the second control unit 28 knows the first position and length of the first security code SC-1 in the data packet 55 and the second position and length of the second security code SC-2 in the data packet 55.
  • the corresponding data sections with the security codes are from the second control unit 28 from the data packet taken and forwarded on request to the first and second monitoring unit 53, 54.
  • the data section with the first security code SC-1 is referred to as the first data section 56 and the data section with the second security code SC-2 as the second data section 57.
  • the first monitoring unit 53 transmits with a first frequency fi a first request to the second control unit 28 to forward the first data section 56 to the first monitoring unit 53.
  • the first monitoring unit 53 compares the first data section 56 with a first comparison code VC-1 stored in the first monitoring unit 53. When the first data section 56 deviates from the stored first comparison code VC-1, the first monitoring unit 53 causes the power tool 12 to be switched to a safe state. If the first data section 56 matches the stored first comparison code VC-1, the first monitoring unit 53 checks whether the first security code SC-1 has been completely forwarded to the first monitoring unit 53 within a preset first time T n after the request.
  • the tool device 12 is switched to a secure state. If the first security code SC-1 has not been forwarded completely to the first monitoring unit 53 within the first time period T 1 after the request, the tool device 12 is switched to a secure state. If the first security code SC-1 has been completely forwarded to the first monitoring unit 53 within the first time period ⁇ , the check by the first monitoring unit 53 is completed.
  • the second monitoring unit 54 communicates with a second frequency f 2 a second request to the second control unit 28 to forward the second data portion 57 to the second monitoring unit 54.
  • the second monitoring unit 54 compares the second data section 57 with a second comparison code VC-2 stored in the second monitoring unit 54. If the second data section 57 deviates from the stored second comparison code VC-2, the second monitoring unit 54 causes the power tool 12 to be switched to a safe state.
  • the second monitoring unit 54 checks whether the second security code SC-2 was completely forwarded to the second monitoring unit 54 within a preset second time period T 2 after the request. If the second security code SC-2 has not been forwarded completely to the second monitoring unit 54 within the second time period T 2 , the power tool 12 is switched to a secure state. If the second security code SC-2 has been completely forwarded to the second monitoring unit 54 within the second time period T 2 , the check by the second monitoring unit 54 is completed.

Landscapes

  • Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Automation & Control Theory (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Safety Devices In Control Systems (AREA)
  • Selective Calling Equipment (AREA)

Abstract

Verfahren zur Überwachung der Funktionsfähigkeit eines Gerätesystems mit einem Werkzeuggerät (12) und einer Fernbedienung (13) während des Betriebes, mit den Schritten: ein sicherheitsrelevantes Steuersignal (41) wird von einem Steuerelement (35) der Fembedienung (13) an eine erste Kontrolleinheit (34) der Fernbedienung (13) gesandt, das Steuersignal (41) wird von der ersten Kontrolleinheit (34) zusammen mit einem Sicherheitscode (SC) in einem Datenpaket (42) angeordnet und über eine Kommunikationsverbindung (36, 37) von der ersten Kontrolleinheit (34) an eine zweite Kontroleinheit (28) des Werkzeuggerätes (12) übertragen, der übertragene Sicherheitscode (43) wird von der zweiten Kontrolleinheit (28) aus dem Datenpaket (42) entnommen und auf Aufforderung einer Überwachungseinheit (44) an die Überwachungseinheit (44) weitergeleitet, der übertragene Sicherheitscode (43) wird von der Überwachungseinheit (44) mit einem Vergleichscode (VC) verglichen und das Werkzeuggerät (12) wird von der Überwachungseinheit (44) in einen sicheren Zustand geschaltet, wenn der übertragene Sicherheitscode (43) vom Vergleichscode (VC) abweicht.

Description

Verfahren zur Überwachung der Funktionsfähigkeit eines Gerätesystems Technisches Gebiet
Die vorliegende Erfindung betrifft ein Verfahren zur Überwachung der Funktionsfähigkeit eines Gerätesystems während des Betriebes gemäß dem Oberbegriff des Anspruchs 1 sowie ein Gerätesystem zur Durchführung eines derartigen Verfahrens gemäß dem Oberbegriff des Anspruchs 10.
Stand der Technik
Gerätesysteme mit einer motorischen Vorschubeinheit müssen nach der Maschinenrichtlinie einen Not-Aus-Schalter aufweisen, um das Werkzeuggerät bei einer Störung innerhalb einer vorgeschriebenen Zeitdauer in einen sicheren Zustand zu überführen. Die Bedienung von Gerätesystemen mit einer motorischen Vorschubeinheit wird immer häufiger über Fernbedienungen durchgeführt. Dabei erfolgen die Übertragung von Steuersignalen und Daten zwischen der Fernbedienung und dem Werkzeuggerät über draht- und kabelgebundene Kommunikationsverbindungen, die als Kommunikationskabel bezeichnet werden, oder über draht- und kabellose Kommunikationsverbindungen, wie beispielsweise über Funkverbindungen. Bei Gerätesystemen, die eine draht- und kabellose Kommunikation erlauben, sind auch Kabelanschlüsse für ein Kommunikationskabel vorgesehen, da eine draht- und kabellose Kommunikation in bestimmten Bereichen, wie z.B. im Flughafen oder Krankenhaus, nicht erlaubt ist.
Die Maschinenrichtlinie fordert für die Übertragung von sicherheitsrelevanten Steuersignalen, wie von einem Not-Aus-Schalter, eine hohe Zuverlässigkeit, die im Rahmen der Gerätezulassung vom Gerätehersteller nachzuweisen ist. Bei der Verwendung von bewährten Bauteilen, für die die Einhaltung von Sicherheitsstandards nachgewiesen wurde, ist kein zusätzlicher Nachweis erforderlich. Daher weisen beispielsweise spezielle Kommunikationskabel für Gerätesysteme mit einer motorischen Vorschubeinheit neben einer oder mehreren Datenleitungen eine zertifizierte Steuerleitung für die Übertragung des Not-Aus-Steuersignals auf.
Darstellung der Erfindung Die Aufgabe der vorliegenden Erfindung besteht darin, bei einem Gerätesystem mit einem Werkzeuggerät und einer Fernbedienung, die über eine draht- und kabellose Kommunikationsverbindung oder über ein Kommunikationskabel ohne zertifizierte Steuerleitung verbindbar sind, die von der Maschinenrichtlinie geforderte Funktionssicherheit einzuhalten.
Diese Aufgabe wird bei dem eingangs genannten Verfahren zur Überwachung der Funktionsfähigkeit eines Gerätesystems während des Betriebes erfindungsgemäß durch die Merkmale des unabhängigen Anspruchs 1 gelöst und bei dem Gerätesystem zur Durchführung eines derartigen Verfahrens durch die Merkmale des unabhängigen Anspruchs 10. Vorteilhafte Weiterbildungen sind in den abhängigen Ansprüchen angegeben.
Erfindungsgemäß weist das Verfahren zur Überwachung der Funktionsfähigkeit eines Gerätesystems während des Betriebes die Schritte auf:
■ ein sicherheitsrelevantes Steuersignal wird von einem Steuerelement der Fernbedienung an eine erste Kontrolleinheit der Fernbedienung gesandt,
■ das Steuersignal wird von der ersten Kontrolleinheit zusammen mit einem Sicherheitscode in einem Datenpaket angeordnet und über eine Kommunikationsverbindung von der ersten Kontrolleinheit an eine zweite Kontrolleinheit des Werkzeuggerätes übertragen,
■ der übertragene Sicherheitscode wird von der zweiten Kontrolleinheit aus dem Datenpaket entnommen und auf Aufforderung einer Überwachungseinheit an die Überwachungseinheit weitergeleitet,
■ der übertragene Sicherheitscode wird von der Überwachungseinheit mit einem Vergleichscode verglichen und
■ das Werkzeuggerät wird von der Überwachungseinheit in einen sicheren Zustand geschaltet, wenn der übertragene Sicherheitscode vom Vergleichscode abweicht.
Der Vorteil des erfindungsgemäßen Verfahrens zur Überwachung der Funktionsfähigkeit eines Gerätesystems während des Betriebes besteht darin, dass die Funktionssicherheit mit Hilfe von Hardwarekomponenten realisiert wird und keine Zertifizierung einer Software erforderlich ist. Das Werkzeuggerät wird von der Überwachungseinheit in einen sicheren Zustand geschaltet, wenn der übertragene Sicherheitscode vom Vergleichscode abweicht, wobei die Ursache der Störung keine Rolle spielt. Mögliche Ursachen können Störungen in der ersten Kontrolleinheit sein, die den Sicherheitscode fehlerhaft oder unvollständig im Datenpaket speichert, Störungen der Kommunikationsverbindung, die den Sicherheitscode verändert oder nicht überträgt, oder Störungen in der zweiten Kontrolleinheit, die den Sicherheitscode verändert oder nicht an die Überwachungseinheit überträgt. Über die Länge des Sicherheitscodes, der in der ersten Kontrolleinheit gespeichert wird, kann die Funktionssicherheit eingestellt werden; je länger der Sicherheitscode ist, umso höher ist die Funktionssicherheit. Bevorzugt wird von der Überwachungseinheit mit einer voreingestellten Frequenz eine Aufforderung an die zweite Kontrolleinheit übermittelt, den übertragenen Sicherheitscode an die Überwachungseinheit weiterzuleiten. Die Überwachungseinheit ist die steuernde Komponente bei der Überwachung. Der an die zweite Kontrolleinheit übertragene Sicherheitscode wird erst nach Aufforderung von der zweiten Kontrolleinheit an die Überwachungseinheit weitergeleitet. Die zweite Kontrolleinheit hat lediglich die Aufgabe, den übertragenen Sicherheitscode weiterzuleiten, es findet weder eine Verarbeitung noch eine Speicherung durch die zweite Kontrolleinheit statt.
Besonders bevorzugt wird das Werkzeuggerät von der Überwachungseinheit in einen sicheren Zustand geschaltet, wenn der übertragene Sicherheitscode nicht innerhalb einer voreingestellten Zeitdauer nach der Aufforderung vollständig an die Überwachungseinheit weitergeleitet wurde. Neben der Zeichenfolge des Sicherheitscodes ist die Zeit, die die Übertragung in Anspruch nimmt, eine wichtige Einflussgröße für die Funktionssicherheit. Das Werkzeuggerät kann bei betätigtem Not-Aus-Schalter nur dann innerhalb der vorgegebenen Zeitspanne in einen sicheren Zustand gebracht werden, wenn die Übertragungszeiten kurz genug sind.
In einer bevorzugten Weiterentwicklung des Verfahrens werden die Steuersignale von der ersten Kontrolleinheit zusammen mit einem ersten Sicherheitscode und einem zweiten Sicherheitscode im Datenpaket angeordnet und über die Kommunikationsverbindung an die zweite Kontrolleinheit übertragen. Die Funktionssicherheit des Gerätesystems kann durch die Verwendung redundanter Systeme erhöht werden. Durch die Verwendung von zwei unabhängigen Sicherheitscodes wird die Funktionssicherheit erhöht. Wenn der erste und zweite Sicherheitscode in verschiedenen Bereichen der Fernbedienung gespeichert werden, kann das Risiko verringert werden, dass beide Speicherelemente für die Sicherheitscode der gleichen Störung unterliegen.
Redundanz bezeichnet das Vorhandensein funktional gleicher oder vergleichbarer Ressourcen eines technischen Systems, wobei diese bei einem störungsfreien Betrieb nicht benötigt werden. Ressourcen können beispielsweise redundante Informationen, Motoren, Baugruppen, komplette Geräte, Steuerleitungen und Leistungsreserven sein. In der Regel dienen diese zusätzlichen Ressourcen zur Erhöhung der Ausfallsicherheit, der Funktionssicherheit und der Betriebssicherheit.
Bevorzugt werden die übertragenen ersten und zweiten Sicherheitscodes von der zweiten Kontrolleinheit aus dem Datenpaket entnommen und der übertragene erste Sicherheitscode wird auf Aufforderung einer ersten Überwachungseinheit an die erste Überwachungseinheit und der übertragene zweite Sicherheitscode wird auf Aufforderung einer zweiten Überwa- chungseinheit an die zweite Überwachungseinheit weitergeleitet. Dabei wird der erste Sicherheitscode von der ersten Überwachungseinheit mit einem ersten Vergleichscode verglichen und der zweite Sicherheitscode wird von der zweiten Überwachungseinheit mit einem zweiten Vergleichscode verglichen. Die Funktionsfähigkeit des Gerätesystems wird unabhängig voneinander zweifach geprüft. Der erste Sicherheitscode wird von einer ersten Überwachungseinheit geprüft und der zweite Sicherheitscode von einer zweiten Überwachungseinheit. Die Überwachungseinheiten vergleichen die Zeichenfolge des übertragenen Sicherheitscodes mit dem gespeicherten Vergleichscode.
Das Werkzeuggerät wird von der ersten und/oder zweiten Überwachungseinheit in einen sicheren Zustand geschaltet, wenn der übertragene erste Sicherheitscode vom ersten Vergleichscode abweicht und/oder der übertragene zweite Sicherheitscode vom zweiten Vergleichscode abweicht. Sobald eine der beiden Überwachungseinheiten eine Abweichung zwischen dem übertragenen Sicherheitscode und dem Vergleichscode feststellt, wird das Werkzeuggerät in einen sicheren Zustand gebracht. Das Werkzeuggerät wird nur dann weiter betrieben, wenn beide Überwachungseinheiten keine Abweichung feststellen.
In einer Weiterentwicklung übermittelt die erste Überwachungseinheit mit einer ersten Frequenz eine erste Aufforderung an die zweite Kontrolleinheit, den übertragenen ersten Sicherheitscode an die erste Überwachungseinheit weiterzuleiten, und die zweite Überwachungseinheit übermittelt mit einer zweiten Frequenz eine zweite Aufforderung an die zweite Kontrolleinheit, den übertragenen zweiten Sicherheitscode an die zweite Überwachungseinheit weiterzuleiten. Das Werkzeuggerät wird von der ersten und/oder zweiten Überwachungseinheit in einen sicheren Zustand geschaltet, wenn der übertragene erste Sicherheitscode nicht innerhalb einer voreingestellten ersten Zeitdauer nach der Aufforderung vollständig an die erste Überwachungseinheit weitergeleitet wurde und der übertragene zweite Sicherheitscode nicht innerhalb einer voreingestellten zweiten Zeitdauer nach der Aufforderung vollständig an die zweite Überwachungseinheit weitergeleitet wurde.
Neben der Zeichenfolge der Sicherheitscodes ist die Zeit, die die Übertragung in Anspruch nimmt, eine wichtige Einflussgröße für die Funktionssicherheit. Das Werkzeuggerät wird von der ersten und/oder zweiten Überwachungseinheit in einen sicheren Zustand gebracht, wenn die übertragenen Sicherheitscodes nicht innerhalb einer Zeitdauer nach der Aufforderung vollständig an die Überwachungseinheiten weitergeleitet wurden. Die Frequenzen, mit denen die Überwachungseinheiten eine Aufforderung an die zweite Kontrolleinheit senden können sich voneinander unterscheiden, ebenso wie die Zeitdauern, innerhalb der die übertragenen Sicherheitscodes an die Überwachungseinheiten weitergeleitet werden müssen. Das Werkzeuggerät wird nur dann weiter betrieben, wenn bei beiden Überwachungseinheiten inner- halb der voreingestellten Zeitdauern die übertragenen Sicherheitscodes vollständig und fehlerlos weitergeleitet wurden.
Zur Durchführung des erfindungsgemäßen Verfahrens umfasst das Gerätesystem eine Überwachungseinheit, die die Funktionssicherheit des Gerätesystems während des Betriebes überwacht. Erfindungsgemäß ist vorgesehen, dass die erste Kontrolleinheit die Steuersignale des Steuerelementes zusammen mit einem Sicherheitscode in einem Datenpaket anordnet und über die Kommunikationsverbindung an die zweite Kontrolleinheit überträgt und dass die Überwachungseinheit den übertragenen Sicherheitscode mit einem Vergleichscode vergleicht und auf Abweichungen überprüft.
Bevorzugt schaltet die Überwachungseinheit das Gerätesystem in einen sicheren Zustand, wenn der übertragene Sicherheitscode vom Vergleichscode abweicht.
In einer bevorzugten Weiterentwicklung weist das Gerätesystem eine erste Überwachungseinheit, die die Funktionsfähigkeit des Gerätesystems während des Betriebes überwacht, und eine zweite Überwachungseinheit, die die Funktionsfähigkeit des Gerätesystems während des Betriebes überwacht, auf, wobei die erste und zweite Überwachungseinheit redundant aufgebaut sind.
Durch die Verwendung redundanter Systeme kann die Funktionssicherheit erhöht werden. Funktionelle Redundanz zielt darauf ab, sicherheitstechnische Systeme mehrfach parallel auszulegen, damit beim Ausfall einer Komponente die anderen den Dienst gewährleisten. Eine zusätzliche räumliche Trennung der redundanten Systeme kann das Risiko minimieren, dass die Systeme einer gemeinsamen Störung unterliegen. Durch die Verwendung von Komponenten unterschiedlicher Hersteller kann vermieden werden, dass ein systematischer Fehler mehrere redundante Systeme ausfallen lässt (diversitäre Redundanz).
Ausführungsbeispiele
Ausführungsbeispiele der Erfindung werden nachfolgend anhand der Zeichnung beschrieben. Diese soll die Ausführungsbeispiele nicht notwendigerweise maßstäblich darstellen, vielmehr ist die Zeichnung, wo zur Erläuterung dienlich, in schematischer und/oder leicht verzerrter Form ausgeführt. Im Hinblick auf Ergänzungen der aus der Zeichnung unmittelbar erkennbaren Lehren wird auf den einschlägigen Stand der Technik verwiesen. Dabei ist zu berücksichtigen, dass vielfältige Modifikationen und Änderungen betreffend die Form und das Detail einer Ausführungsform vorgenommen werden können, ohne von der allgemeinen Idee der Erfindung abzuweichen. Die in der Beschreibung, der Zeichnung sowie den Ansprüchen offenbarten Merkmale der Erfindung können sowohl einzeln für sich als auch in beliebiger Kombination für die Weiterbildung der Erfindung wesentlich sein. Zudem fallen in den Rahmen der Erfindung alle Kombinationen aus zumindest zwei der in der Beschreibung, der Zeichnung und/oder den Ansprüchen offenbarten Merkmale. Die allgemeine Idee der Erfindung ist nicht beschränkt auf die exakte Form oder das Detail der im Folgenden gezeigten und beschriebenen bevorzugten Ausführungsform oder beschränkt auf einen Gegenstand, der eingeschränkt wäre im Vergleich zu dem in den Ansprüchen beanspruchten Gegenstand. Bei gegebenen Bemessungsbereichen sollen auch innerhalb der genannten Grenzen liegende Werte als Grenzwerte offenbart und beliebig einsetzbar und beanspruchbar sein. Der Einfachheit halber sind nachfolgend für identische oder ähnliche Teile oder Teile mit identischer oder ähnlicher Funktion gleiche Bezugszeichen verwendet.
Es zeigen:
FIG. 1 ein erfindungsgemäßes Gerätesystem, das als Wandsägesystem ausgebildet ist, mit einem Werkzeuggerät, einer Fernbedienung und einer Kommunikationsverbindung zwischen dem Werkzeuggerät und der Fernbedienung;
FIG. 2 das Zusammenwirken zwischen der Fernbedienung und dem Werkzeuggerät in Form eines Blockdiagramms mit einer Überwachungseinheit; und
FIG. 3 eine Weiterentwicklung mit einer ersten und zweiten Überwachungseinheit.
FIG. 1 zeigt ein erfindungsgemäßes Gerätesystem 10, das als Wandsägesystem ausgebildet ist. Das Wandsägesystem 10 umfasst eine Führungsschiene 11 , ein an der Führungsschiene 11 verschiebbar angeordnetes Werkzeuggerät 12 und eine Fernbedienung 13. Das Werkzeuggerät ist als Wandsäge 12 ausgebildet und umfasst eine Bearbeitungseinheit 14 und eine motorische Vorschubeinheit 15. Die Bearbeitungseinheit ist als Sägekopf 14 ausgebildet und umfasst ein als Sägeblatt ausgebildetes Bearbeitungswerkzeug 16, das an einem Sägearm 17 befestigt ist und von einem Antriebsmotor 18 um eine Drehachse 19 angetrieben wird.
Zum Schutz des Bedieners kann das Sägeblatt 16 von einem Sägeblattschutz umgeben sein, der mittels eines Blattschutzhalters am Sägearm 17 befestigt wird. Der Sägearm 17 ist von einem Schwenkmotor 21 um eine Schwenkachse 22 schwenkbar ausgebildet. Der Schwenkwinkel des Sägearms 17 bestimmt mit einem Sägeblattdurchmesser des Sägeblattes 16, wie tief das Sägeblatt 16 in ein zu bearbeitendes Werkstück 23 eintaucht. Der Antriebsmotor 18 und der Schwenkmotor 21 sind in einem Gerätegehäuse 24 angeordnet. Die motorische Vorschubeinheit 15 umfasst einen Führungsschlitten 25 und einen Vorschubmotor 26, der ebenfalls im Gerätegehäuse 24 angeordnet ist. Der Sägekopf 14 ist auf dem Führungsschlitten 25 befestigt und über den Vorschubmotor 26 entlang der Führungsschiene 11 in einer Vorschubrichtung 27 verschiebbar ausgebildet. Im Gerätegehäuse 24 ist neben den Motoren 19, 21 , 25 eine Kontrolleinheit 28 zur Steuerung des Sägekopfes 14 und der motorischen Vorschubeinheit 15 angeordnet. Am Gerätegehäuse 24 ist mindestens ein Handgriff 29 vorgesehen.
Die Fernbedienung 13 umfasst ein Gerätegehäuse 31 , eine Eingabeeinrichtung 32, eine Anzeigeeinrichtung 33 und eine Kontrolleinheit 34, die im Inneren des Gerätegehäuses 31 angeordnet ist. Die Kontrolleinheit 34 wandelt die Eingaben der Eingabeeinrichtung 32 in Steuersignale und Daten um, die über eine Kommunikationsverbindung an die Wandsäge 12 übermittelt werden. Neben der Eingabeeinrichtung 32 weist die Fernbedienung 13 ein als Not-Aus-Schalter ausgebildetes Steuerelement 35 auf.
Die Kommunikationsverbindung ist als draht- und kabellose Kommunikationsverbindung 36 oder als Kommunikationskabel 37 ausgebildet. Die draht- und kabellose Kommunikationsverbindung ist im Ausführungsbeispiel als Funkverbindung 36 ausgebildet, die zwischen einer ersten Funkeinheit 38 an der Fernbedienung 13 und einer zweiten Funkeinheit 39 am Werkzeuggerät 12 entsteht. Das Kommunikationskabel 37 wird vor allem eingesetzt, wenn eine draht- und kabellose Kommunikation aus Sicherheitsgründen untersagt ist, wie beispielsweise in Krankenhäusern und auf Flughäfen, oder wenn Störquellen die draht- und kabellose Kommunikation behindern.
FIG. 2 zeigt das Zusammenwirken zwischen der Fernbedienung 13 und dem Werkzeuggerät 12 in Form eines Blockdiagramms. Im Ausführungsbeispiel der FIG. 1 ist die Kontrolleinheit 34 der Fernbedienung 13 über die Funkverbindung 36 oder über das Kommunikationskabel 37 mit der Kontrolleinheit 28 des Werkzeuggerätes 12 verbunden. Zur Unterscheidung der Kontrolleinheiten 28, 34 wird die Kontrolleinheit 34 der Fernbedienung 13 im Folgenden als erste Kontrolleinheit 34 und die Kontrolleinheit 28 des Werkzeuggerätes 12 als zweite Kontrolleinheit 28 bezeichnet.
Der Not-Aus-Schalter 35 erzeugt mit einer Frequenz ein Steuersignal 41 , das an die erste Kontrolleinheit 34 übermittelt wird. Das Steuersignal 41 beinhaltet die Information über den logischen Zustand (0 oder 1 ) des Not-Aus-Schalters 35. Dabei entspricht der Zustand "0" dem nicht-betätigten Not-Aus-Schalter 35 und der Zustand "1" dem betätigten Not-Aus- Schalter 35. Das Gerätesystem 10 kann nur dann sicher betrieben werden, wenn sichergestellt ist, dass das Steuersignal 41 an die zweite Kontrolleinheit 28 übertragen wird.
Um die Funktionsfähigkeit des Gerätesystems 10 zu überprüfen, ist in der ersten Kontrolleinheit 34 ist ein Sicherheitscode SC gespeichert, der von der ersten Kontrolleinheit 34 zusammen mit dem Steuersignal 41 des Not-Aus-Schalters 35 sowie Steuersignalen und Daten der Eingabeeinrichtung 32 in einem Datenpaket 42 angeordnet wird. Das Datenpaket 42 wird von der ersten Kontrolleinheit 34 über die Kommunikationsverbindung 36, 37 an die zweite Kontrolleinheit 28 weitergeleitet. Die zweite Kontrolleinheit 28 kennt den Sicherheitscode SC selbst nicht, sie kennt jedoch die Position und Länge des Sicherheitscodes SC im Datenpaket 42 und entnimmt diesen Datenabschnitt 43 mit dem übertragenen Sicherheitscode aus dem Datenpaket 42.
Das Werkzeuggerät 12 weist eine Überwachungseinheit 44 auf, in der ein Vergleichscode VC gespeichert ist. Der Vergleichscode VC entspricht dem Sicherheitscode SC, der in der ersten Kontrolleinheit 34 gespeichert ist. Die Überwachungseinheit 44 sendet mit einer voreingestellten Abfragefrequenz fa eine Aufforderung an die zweite Kontrolleinheit 28, den Datenabschnitt 43 mit dem übertragenen Sicherheitscode innerhalb einer vorgegebenen Zeitdauer T an die Überwachungseinheit 44 zu übermitteln. Nach Ablauf der Zeitdauer T prüft die Überwachungseinheit 44, ob ein Datenabschnitt 43 übertragen wurde. Wenn ein Datenabschnitt 43 übertragen wurde, vergleicht die Überwachungseinheit 44 den Datenabschnitt 43 mit dem Vergleichscode VC. Weicht der Datenabschnitt 43 vom Vergleichscode VC ab, entscheidet die Überwachungseinheit 44, dass die Fernbedienung 13 oder die Kommunikationsverbindung 36, 37 eine Störung aufweist und veranlasst, dass das Werkzeuggerät 12 von der zweiten Kontrolleinheit 28 in einen sicheren Zustand geschaltet wird. Bei Gerätesystemen, wie dem Wandsägesystem 10, mit einem Not-Aus-Schalter kann der sichere Zustand beispielsweise durch eine Unterbrechung der Stromzufuhr zu den Motoren 19, 21 , 25 erfolgen.
FIG. 3 zeigt eine Weiterentwicklung eines erfindungsgemäßen Gerätesystems 50, das wie das Gerätesystem 10 der FIG. 1 als Wandsägesystem ausgebildet ist und die Führungsschiene 11 , das Werkzeuggerät 12 und die Fernbedienung 13 umfasst. Das Gerätesystem 50 unterscheidet sich im Aufbau der Kontrolleinheiten des Werkzeuggerätes 12 und der Fernbedienung 13 vom Gerätesystem 10. Die Fernbedienung 3 umfasst eine erste Kontrolleinheit 51 und das Werkzeuggerät 12 eine zweite Kontrolleinheit 52, die über die draht- und kabellose Kommunikationsverbindung 36 oder das Kommunikationskabel 37 verbindbar sind.
Um die Funktionssicherheit des Gerätesystems 50 während des Betriebs zu erhöhen und bei einer Störung ein Umschalten des Werkzeuggerätes 12 in einen sicheren Zustand zu erreichen, umfasst die zweite Kontrolleinheit 52 eine erste Überwachungseinheit 53 und eine zweite Überwachungseinheit 54, die redundant aufgebaut sind und unabhängig voneinander arbeiten. Die erste und zweite Überwachungseinheit 53, 54 entsprechen im Aufbau der Überwachungseinheit 44 des Gerätesystems 10 und können die Überwachungseinheit 44 ersetzen. In der ersten Kontrolleinheit 51 sind ein erster Sicherheitscode SC-1 und ein zweiter Sicherheitscode SC-2 gespeichert. Über die Länge der Sicherheitscodes SC-1 , SC-2, die in der ersten Kontrolleinheit 51 gespeichert werden, kann die Funktionssicherheit des Gera- tesystems eingestellt werden; je länger die Sicherheitscodes SC-1 , SC-2 sind, umso höher ist die Funktionssicherheit.
Der Not-Aus-Schalter 35 erzeugt mit einer vorgegebenen Frequenz das Steuersignal 41 , das an die erste Kontrolleinheit 51 übermittelt wird. Das Steuersignal 41 wird von der ersten Kontrolleinheit 51 zusammen mit dem ersten Sicherheitscode SC-1 und dem zweiten Sicherheitscode SC-2 in einem Datenpaket 55 angeordnet, wobei der erste Sicherheitscode SC-1 an einer ersten voreingestellten Position im Datenpaket 55 gespeichert wird und der zweite Sicherheitscode SC-2 an einer zweiten voreingestellten Position. Das Datenpaket 55 wird von der ersten Kontrolleinheit 51 über die Kommunikationsverbindung 36, 37 an die zweite Kontrolleinheit 52 übertragen.
Der erste und zweite Sicherheitscode SC-1 , SC-2 sind für die zweite Kontrolleinheit 52 unbekannt. Die zweite Kontrolleinheit 28 kennt die erste Position und Länge des ersten Sicherheitscodes SC-1 im Datenpaket 55 sowie die zweite Position und Länge des zweiten Sicherheitscodes SC-2 im Datenpaket 55. Die entsprechenden Datenabschnitte mit den Sicherheitscodes werden von der zweiten Kontrolleinheit 28 aus dem Datenpaket entnommen und auf Anforderung an die erste und zweite Überwachungseinheit 53, 54 weitergeleitet. Der Datenabschnitt mit dem ersten Sicherheitscode SC-1 wird als erster Datenabschnitt 56 bezeichnet und der Datenabschnitt mit dem zweiten Sicherheitscode SC-2 als zweiter Datenabschnitt 57.
Die erste Überwachungseinheit 53 übermittelt mit einer ersten Frequenz f-i eine erste Aufforderung an die zweite Kontrolleinheit 28, den ersten Datenabschnitt 56 an die erste Überwachungseinheit 53 weiterzuleiten. Die erste Überwachungseinheit 53 vergleicht den ersten Datenabschnitt 56 mit einem ersten Vergleichscode VC-1 , der in der ersten Überwachungseinheit 53 gespeichert ist. Wenn der erste Datenabschnitt 56 vom gespeicherten ersten Vergleichscode VC-1 abweicht, veranlasst die erste Überwachungseinheit 53, dass das Werkzeuggerät 12 in einen sicheren Zustand geschaltet wird. Wenn der erste Datenabschnitt 56 mit dem gespeicherten ersten Vergleichscode VC-1 übereinstimmt, prüft die erste Überwachungseinheit 53, ob der erste Sicherheitscode SC-1 innerhalb einer voreingestellten ersten Zeitdauer Tn nach der Aufforderung vollständig an die erste Überwachungseinheit 53 weitergeleitet wurde. Wurde der erste Sicherheitscode SC-1 nicht innerhalb der ersten Zeitdauer T, nach der Aufforderung vollständig an die erste Überwachungseinheit 53 weitergeleitet, wird das Werkzeuggerät 12 in einen sicheren Zustand geschaltet. Wenn der erste Sicherheitscode SC-1 innerhalb der ersten Zeitdauer ΊΊ vollständig an die erste Überwachungseinheit 53 weitergeleitet wurde, ist die Überprüfung durch die erste Überwachungseinheit 53 abgeschlossen. Die zweite Überwachungseinheit 54 übermittelt mit einer zweiten Frequenz f2 eine zweite Aufforderung an die zweite Kontrolleinheit 28, den zweiten Datenabschnitt 57 an die zweite Überwachungseinheit 54 weiterzuleiten. Die zweite Überwachungseinheit 54 vergleicht den zweiten Datenabschnitt 57 mit einem zweiten Vergleichscode VC-2, der in der zweiten Überwachungseinheit 54 gespeichert ist. Wenn der zweite Datenabschnitt 57 vom gespeicherten zweiten Vergleichscode VC-2 abweicht, veranlasst die zweite Überwachungseinheit 54, dass das Werkzeuggerät 12 in einen sicheren Zustand geschaltet wird. Wenn der zweite Datenabschnitt 57 mit dem zweiten Vergleichscode VC-2 übereinstimmt, prüft die zweite Überwachungseinheit 54, ob der zweite Sicherheitscode SC-2 innerhalb einer voreingestell- ten zweiten Zeitdauer T2 nach der Aufforderung vollständig an die zweite Überwachungseinheit 54 weitergeleitet wurde. Wurde der zweite Sicherheitscode SC-2 nicht innerhalb der zweiten Zeitdauer T2 vollständig an die zweite Überwachungseinheit 54 weitergeleitet, wird das Werkzeuggerät 12 in einen sicheren Zustand geschaltet. Wenn der zweite Sicherheitscode SC-2 innerhalb der zweiten Zeitdauer T2 vollständig an die zweite Überwachungs- einheit 54 weitergeleitet wurde, ist die Überprüfung durch die zweite Überwachungseinheit 54 abgeschlossen.

Claims

Patentansprüche
1. Verfahren zur Überwachung der Funktionsfähigkeit eines Gerätesystems (10; 50) mit einem Werkzeuggerät (12) und einer Fernbedienung (13) während des Betriebes, mit den Schritten:
ein sicherheitsrelevantes Steuersignal (41) wird von einem Steuerelement (35) der Fernbedienung (13) an eine erste Kontrolleinheit (34; 51) der Fernbedienung (13) gesandt,
■ das Steuersignal (41) wird von der ersten Kontroll einheit (34; 51) zusammen mit einem Sicherheitscode (SC; SC-1 , SC-2) in einem Datenpaket (42; 55) angeordnet und über eine Kommunikationsverbindung (36, 37) von der ersten Kontrolleinheit (34; 51 ) an eine zweite Kontrolleinheit (28; 52) des Werkzeuggerätes (12) übertragen,
■ der übertragene Sicherheitscode (43; 56, 57) wird von der zweiten Kontrolleinheit (28;
52) aus dem Datenpaket (42; 55) entnommen und auf Aufforderung einer Überwachungseinheit (44; 53, 54) an die Überwachungseinheit (44; 53, 54) weitergeleitet,
■ der übertragene Sicherheitscode (43; 56, 57) wird von der Überwachungseinheit (44;
53, 54) mit einem Vergleichscode (VC; VC-1 , VC-2) verglichen und
das Werkzeuggerät (12) wird von der Überwachungseinheit (44; 53, 54) in einen sicheren Zustand geschaltet, wenn der übertragene Sicherheitscode (43; 56, 57) vom Vergleichscode (VC; VC-1 , VC-2) abweicht.
2. Verfahren nach Anspruch , dadurch gekennzeichnet, dass von der Überwachungseinheit (44; 53, 54) mit einer voreingestellten Frequenz (f; f^ f2) eine Aufforderung an die zweite Kontrolleinheit (28; 52) übermittelt wird, den übertragenen Sicherheitscode (43; 56, 57) an die Überwachungseinheit (44; 53, 54) weiterzuleiten.
3. Verfahren nach Anspruch 2, dadurch gekennzeichnet, dass das Werkzeuggerät (12) von der Überwachungseinheit (44; 53, 54) in einen sicheren Zustand geschaltet wird, wenn der übertragene Sicherheitscode (SC) nicht innerhalb einer voreingestellten Zeitdauer (T) nach der Aufforderung vollständig an die Überwachungseinheit (44; 53, 54) weitergeleitet wurde.
4. Verfahren nach Anspruch 1 , dadurch gekennzeichnet, dass die Steuersignale von der ersten Kontrolleinheit (51) zusammen mit einem ersten Sicherheitscode (SC-1 ) und einem zweiten Sicherheitscode (SC-2) im Datenpaket (55) angeordnet und über die Kommunikationsverbindung (36, 37) an die zweite Kontrolleinheit (52) übertragen werden.
5. Verfahren nach Anspruch 4, dadurch gekennzeichnet, dass die übertragenen ersten und zweiten Sicherheitscodes (56, 57) von der zweiten Kontrolleinheit (52) aus dem Daten- paket (55) entnommen werden und der übertragene erste Sicherheitscode (56) auf Aufforderung einer ersten Überwachungseinheit (53) an die erste Überwachungseinheit (53) und der übertragene zweite Sicherheitscode (57) auf Anforderung einer zweiten Überwachungseinheit (54) an die zweite Überwachungseinheit (54) weitergeleitet werden.
6. Verfahren nach Anspruch 5, dadurch gekennzeichnet, dass der übertragene erste Sicherheitscode (56) von der ersten Überwachungseinheit (53) mit einem ersten Vergleichscode (VC-1 ) verglichen wird und der übertragene zweite Sicherheitscode (57) von der zweiten Überwachungseinheit (54) mit einem zweiten Vergleichscode (VC-2) verglichen wird.
7. Verfahren nach Anspruch 6, dadurch gekennzeichnet, dass das Werkzeuggerät (12) von der ersten und/oder zweiten Überwachungseinheit (53, 54) in einen sicheren Zustand geschaltet wird, wenn der übertragene erste Sicherheitscode (56) vom ersten Vergleichscode (VC-1 ) abweicht und/oder der übertragene zweite Sicherheitscode (57) vom zweiten Vergleichscode (VC-2) abweichen.
8. Verfahren nach einem der Ansprüche 5 bis 7, dadurch gekennzeichnet, dass die erste Überwachungseinheit (53) mit einer ersten Frequenz (f,) eine erste Aufforderung an die zweite Kontrolleinheit (52) übermittelt, den übertragenen ersten Sicherheitscode (56) an die erste Überwachungseinheit (53) weiterzuleiten, und die zweite Überwachungseinheit (54) mit einer zweiten Frequenz (f2) eine zweite Aufforderung an die zweite Kontrolleinheit (52) übermittelt, den übertragenen zweiten Sicherheitscode (57) an die zweite Überwachungseinheit (54) weiterzuleiten.
9. Verfahren nach Anspruch 8, dadurch gekennzeichnet, dass das Werkzeuggerät (12) von der ersten und/oder zweiten Überwachungseinheit (53, 54) in einen sicheren Zustand geschaltet wird, wenn der übertragene erste Sicherheitscode (56) nicht innerhalb einer voreingestellten ersten Zeitdauer (T,) nach der Aufforderung vollständig an die erste Überwachungseinheit (53) weitergeleitet wurde und/oder der übertragene zweite Sicherheitscode (57) nicht innerhalb einer voreingestellten zweiten Zeitdauer (T2) nach der Aufforderung vollständig an die zweite Überwachungseinheit (54) weitergeleitet wurde.
10. Gerätesystem (10; 50) zur Durchführung eines Verfahrens nach einem der Ansprüche 1 bis 9, aufweisend:
■ eine Fernbedienung (13) mit einem sicherheitsrelevanten Steuerelement (35), einer Eingabeeinrichtung (32) und einer ersten Kontrolleinheit (34; 51), die die Eingaben der Eingabeeinrichtung (32) in Steuersignale und Daten umwandelt, ■ ein Werkzeuggerät (12) mit einem Bearbeitungswerkzeug (16), einem Antriebsmotor (18), der das Bearbeitungswerkzeug (16) antreibt, und einer zweiten Kontrolleinheit (28; 52), die das Werkzeuggerät (12) steuert,
■ eine Kommunikationsverbindung (36, 37), über die die erste Kontrolleinheit (34; 51) der Fernbedienung (13) mit der zweiten Kontrolleinheit (28; 52) des Werkzeuggerätes (12) verbindbar ist, und
■ eine Überwachungseinheit (44; 53, 54), die die Funktionsfähigkeit des Gerätesystems (10; 50) während des Betriebes überwacht, dadurch gekennzeichnet, dass die erste Kontrolleinheit (34; 51) das Steuersignal (41 ) des sicherheitsrelevanten Steuerelementes (35) zusammen mit einem Sicherheitscode (SC; SC-1 , SC-2) in einem Datenpaket (42, 55) anordnet und über die Kommunikationsverbindung (36, 37) an die zweite Kontrolleinheit (28; 52) überträgt und dass die Überwachungseinheit (44; 53, 54) den übertragenen Sicherheitscode (43; 56, 57) mit einem Vergleichscode (VC; VC-1 , VC-2) vergleicht und auf Abweichungen überprüft.
11. Gerätesystem nach Anspruch 10, dadurch gekennzeichnet, dass die Überwachungseinheit das Gerätesystem (10; 50) in einen sicheren Zustand schaltet, wenn der übertragene Sicherheitscode (43; 56, 57) vom Vergleichscode (VC; VC-1 , VC-2) abweicht.
12. Gerätesystem nach einem der Ansprüche 10 bis 11 , dadurch gekennzeichnet, dass das Gerätesystem (50) eine erste Überwachungseinheit (53), die die Funktionsfähigkeit des Gerätesystems (50) während des Betriebes überwacht, und eine zweite Überwachungseinheit (54), die die Funktionsfähigkeit des Gerätesystems (50) während des Betriebes überwacht, aufweist, wobei die erste und zweite Überwachungseinheit (53, 54) redundant aufgebaut sind.
EP15762961.9A 2014-09-08 2015-09-02 Verfahren zur überwachung der funktionsfähigkeit eines gerätesystems Withdrawn EP3191901A1 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
EP14003098.2A EP2993535A1 (de) 2014-09-08 2014-09-08 Verfahren zur Überwachung der Funktionsfähigkeit eines Gerätesystems
PCT/EP2015/070033 WO2016037914A1 (de) 2014-09-08 2015-09-02 Verfahren zur überwachung der funktionsfähigkeit eines gerätesystems

Publications (1)

Publication Number Publication Date
EP3191901A1 true EP3191901A1 (de) 2017-07-19

Family

ID=51625760

Family Applications (2)

Application Number Title Priority Date Filing Date
EP14003098.2A Withdrawn EP2993535A1 (de) 2014-09-08 2014-09-08 Verfahren zur Überwachung der Funktionsfähigkeit eines Gerätesystems
EP15762961.9A Withdrawn EP3191901A1 (de) 2014-09-08 2015-09-02 Verfahren zur überwachung der funktionsfähigkeit eines gerätesystems

Family Applications Before (1)

Application Number Title Priority Date Filing Date
EP14003098.2A Withdrawn EP2993535A1 (de) 2014-09-08 2014-09-08 Verfahren zur Überwachung der Funktionsfähigkeit eines Gerätesystems

Country Status (4)

Country Link
US (1) US20170255179A1 (de)
EP (2) EP2993535A1 (de)
JP (1) JP2017529788A (de)
WO (1) WO2016037914A1 (de)

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP2993015A1 (de) * 2014-09-08 2016-03-09 HILTI Aktiengesellschaft Verfahren zur Steuerung eines Wandsägesystems beim Erstellen eines Trennschnittes
US10979334B1 (en) * 2015-10-02 2021-04-13 MyDigitalShield, Inc. Systems and methods for monitoring network traffic
AT518665B1 (de) * 2016-05-06 2017-12-15 Keba Ag Steuerungssystem für elektrisch gesteuerte Anlagen
JP2019042831A (ja) * 2017-08-31 2019-03-22 株式会社山本金属製作所 研切削加工装置用の測定・管理装置
CN113478494B (zh) * 2021-09-07 2021-11-30 成都博恩思医学机器人有限公司 机器人及其信号处理方法、信号处理系统和信号处理装置

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS6171798A (ja) * 1984-09-14 1986-04-12 Seiko Instr & Electronics Ltd 無線コントロ−ル装置
DE19920299B4 (de) * 1999-05-03 2008-01-03 Siemens Ag Verfahren sowie Vorrichtung zur Erfassung, Übertragung und Verarbeitung sicherheitsgerichteter Signale
JP2002176682A (ja) * 2000-12-08 2002-06-21 Omron Corp リモートコントロール装置
JP3950832B2 (ja) * 2002-10-08 2007-08-01 ファナック株式会社 ロボット制御装置
JP4292404B2 (ja) * 2004-01-07 2009-07-08 株式会社安川電機 駆動軸操作システム
DE102007028709B4 (de) * 2007-06-21 2017-03-09 Pepperl + Fuchs Gmbh Datenübertragungsvorrichtung und Verfahren zur Übertragung von Daten
DE102009026124A1 (de) * 2009-07-07 2011-01-13 Elan Schaltelemente Gmbh & Co. Kg Verfahren und System zur Erfassung, Übertragung und Auswertung sicherheitsgerichteter Signale

Also Published As

Publication number Publication date
JP2017529788A (ja) 2017-10-05
WO2016037914A1 (de) 2016-03-17
EP2993535A1 (de) 2016-03-09
US20170255179A1 (en) 2017-09-07

Similar Documents

Publication Publication Date Title
EP3191901A1 (de) Verfahren zur überwachung der funktionsfähigkeit eines gerätesystems
EP0113383B1 (de) Fernsteuerung für Baumaschinen, insbesondere für mit einem Verteilermast zusammenwirkende Betonpumpe
DE102016100175B4 (de) Robotersystem, welches mit einer Mehrzahl von Controllern vorgesehen ist, die eine Mehrzahl von Industrierobotern betätigen
EP3455681B1 (de) Feldbusmodul und verfahren zum betreiben eines feldbussystems
EP2020626B1 (de) Verfahren zur Verwaltung von mobilen Bediengeräten
EP2859226B1 (de) Sicherheitssystem für eine windenergieanlage
DE19718284A1 (de) Verfahren und Vorrichtung zum Überwachen einer Anlage mit mehreren Funktionseinheiten
WO2019110841A1 (de) Steuervorrichtung für eine fördervorrichtung
DE102014004099B4 (de) Synchronsteuereinheit zum Synchronisieren von zwei Wellen miteinander
EP0978775B1 (de) Verfahren zur sicheren Datenübertragung zwischen einer numerischen Steuerung und einem räumlich getrennten Gerät
DE112014006106B4 (de) Sicherheitssteuersystem und Sicherheitssteuergerät
EP3706962B1 (de) Redundante diversitäre kollisionsüberwachung
EP2835699A1 (de) Vorrichtung und Verfahren zum Konfigurieren und/oder Programmieren einer Sicherheitssteuerung
EP1128241B1 (de) Verfahren und Vorrichtung zur Sicherheitsüberwachung einer Steuereinrichtung
EP1051669B1 (de) Verfahren und schaltungsanordnung zur überwachung von maschinenparametern
WO2016102552A1 (de) Verfahren zur eindeutigen zuordnung einer fernbedienung zu einem gerätesystem
EP2433184A1 (de) Steuerungssystem zum steuern eines prozesses
DE19826875A1 (de) Numerische Steuerung mit einem räumlich getrennten Eingabegerät
EP3980223B1 (de) Verfahren und system zur automatischen absicherung eines mittels einer mobilen bedienvorrichtung gesteuerten betriebs eines robotersystems
WO2001001541A1 (de) Bussystem mit abgesicherten ausgängen
WO2005062146A2 (de) Verfahren zum steuern und überwachen von maschinen
EP4303670A1 (de) Werkzeugnmaschine und verfahren zur steuerung einer werkzeugmaschine
WO2025082983A1 (de) Vorrichtung und verfahren zur laserleistungsüberwachung
DE102019109753A1 (de) Industrieanlage
EP1921525B1 (de) Verfahren zum Betrieb einer sicherheitsgerichteten Anlage

Legal Events

Date Code Title Description
PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

17P Request for examination filed

Effective date: 20170410

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

AX Request for extension of the european patent

Extension state: BA ME

DAV Request for validation of the european patent (deleted)
DAX Request for extension of the european patent (deleted)
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE APPLICATION IS DEEMED TO BE WITHDRAWN

18D Application deemed to be withdrawn

Effective date: 20171107