JP7565166B2 - エネルギー効率よく安全機能を実行するための装置および方法 - Google Patents

Description

本発明は、エネルギー効率よく安全機能を実行するための装置および方法に関する。

ドイツ工業規格DIN EN ISO 13849-1およびDIN EN ISO 12100によれば、安全機能(safety function)という用語は、機械の安全に関連し、機械から発現される危険率を許容可能なレベルまで低下させる制御機能を意味する。

安全機能を実施するためには、特に機械および工業設備の危険区域を保護するために、危険な機械へのアクセスを遮断する機械的な障壁が、最初は使われた。

やがて時間の経過とともに、これらの固定的なおよび柔軟性のないシステムは、機械の特定の要求、特に増大している人間と機械との相互作用の要求に柔軟に適応できる複合的な制御システムに置き換えられ、または該制御システムで補充されるようになった。

複合的な制御システムは、複数のセンサ、複数のアクチュエータならびに通信および制御装機器を含み、危険な機械または設備の近くで、状況またはきっかけとなる事象(triggering event)（例えば所定の安全区域への侵入）を検出して、対応する安全に関連する反応(reaction)を誘発するように設計されている。安全に関連する反応とは、機械の近くで人間または物体に対する脅威を除去するか、または許容可能な水準まで下げる制御機能であってもよい。

人間および物体を保護するこの種の複合的な制御システムの使用は、制御システムの機能性が保証されて、常に証明可能なことが要求される。

これらの制御システム（フェイルセーフ（FS）制御システムとも言われる）の、個々のセンサ、アクチュエータならびに通信および制御機器への要求は、したがって、通常の制御システム（基準システムとも言われる）のそれより高い。そして、これらの制御システムは意図された機能に関して、設備または機械を制御する。

多くの国において、フェイルセーフ制御システムへの要求は、基準および命令において特定されている。

さらにまた、安全に関連する機器のために、エネルギー効率がますます注目されている。数多くの指令および基準が、製造業者に、彼らの製品をできるだけ省エネ型に設計することを要求している。

例えば、できるだけ小さい電力を消費する電子部品を用いなければならない。エネルギー効率は、基本的な回路設計の段階ですでに考慮されなければならない。

これらの一般の手段は、安全に関連する機器のため個々のセンサの増大しつつある複雑さのため、増大するエネルギー需要をかろうじて補償でき、実際の省エネルギーに大きく寄与することは難しい。

この点に関して特許文献1には、通信バス上の個々のバスを選択的にまたは合一的にスイッチオン／オフする動作によってエネルギーの消費を低下させる基準制御システム（ＰＬＣ）が開示されている。この技術的な具体化は、例えば、特許文献2に見出すことができる。しかしながら、いずれの開示においても安全面への考慮がなされているわけではない。

特許文献3および特許文献４は、現場に設置される装置において、省エネルギーがどのように成し遂げることができるかを示す。ここで、エネルギーを節約するために、通信ユニットを必要な場合にだけ起動させることが示唆される。しかしながら、安全に関連する側面は、この場合も考慮されていない。

独国特許出願公開第10 2009 047 805 A1号明細書 欧州特許出願公開第2 187 281 A1号明細書 欧州特許出願公開第2 199 881 A1号明細書 欧州特許出願公開第2 256 566 A1明細書

以上の技術的背景に対して、エネルギー効率良く安全機能を実行するための装置および方法を提供することが本発明の目的である。それは省エネルギーの態様で使用することができ、高度な柔軟性を保証し、同時に技術的な設備または機械の基準に対応する。

本発明の一態様では、技術的な設備を保護するために使用される安全機能を、エネルギー効率よく実行するための装置が提供される。

本装置は、安全機能のきっかけとなる事象を検出するための安全装置と、安全装置による検出に基づいて安全機能による安全関連応答(safety related reaction)を実行するための処理ユニットとを備える。

本装置は、第１の動作モードまたは第２の動作モードで、選択的に動作可能であり、第１の動作モードでは、安全装置および処理ユニットは、第1の品質水準にしたがって動作するように構成され、第2の動作モードでは、安全装置および処理ユニットの少なくともいずれかが、第2の品質水準にしたがって動作するように構成される。

第2の品質水準は、第1の品質水準よりも安全の水準が低く、安全装置および処理ユニットの少なくともいずれかは、第2の動作モードにおいて、エネルギーを節約するように、低下した能力(reduced capacity)によって動作する。

本発明の別の態様では、技術的な設備を保護するために使用される安全機能をエネルギー効率よく運用するための方法が提供される。

当該方法は、安全機能のきっかけとなる事象を検出するための安全装置を用意し、安全装置による検出に基づいて安全機能の安全関連応答を実行するための処理ユニットを用意する。安全装置および処理ユニットを、第１の動作モードおよび第２の動作モードで動作させる。

すなわち安全装置および処理ユニットは、第１の動作モードで、第1の品質水準にしたがって動作し、安全装置および処理ユニットの少なくともいずれかは、第2の動作モードで、第2の品質水準にしたがって動作する。

第2の品質水準は、第1の品質水準よりも安全の水準が低く、安全装置および処理ユニットの少なくともいずれかは、第2の動作モードにおいて、エネルギーを節約するように、低下した能力によって動作する。

したがって、省エネルギーのために第2の動作モードを実施させることが、本発明の着想である。そこにおいて、安全装置および／または処理ユニットは、低下した電力により動作することができる。

第2の動作モードにおいて、意図された機能の一部（すなわち安全機能の提供）は、低下した範囲で保持される。第2の動作モードは、したがって、低下した動作モード(reduced operation mode)とも呼ばれ、待機モード(standby mode)とは異なる。待機モードでは、実際の安全機能は、もはや実行されることができない。

低下した動作モードは、監視されるシステムの基本的な保護が確実にされるという点で、待機モードと区別される。それによって、含まれる部品がより少ないエネルギーを消費するように、監視（質）の範囲または種類が構成される。

省エネルギーは、さまざまな手段により達成される。例えば、通常動作で高いエネルギー所要量を有する安全装置および／または処理ユニットの場合、ハードウェアまたはソフトウェアの一部がスイッチオフされるかまたは低下した電源で動作することによってエネルギーを節約できる。

本発明者は、通常動作および待機動作に加えて、安全機能の質が可変的に調整され得る、質に依存する動作モードを実施することが有利であると認めた。

特にそれは、安全機能の質が、監視される設備の動作モードまたは状態に基づいて調整され得る場合に有利である。

安全機能の質は、きっかけとなる事象が安全装置によって検出される範囲、または検出を処理して安全に関連する反応を引き起こす可能性を、記述する。

安全機能への要求が、とりわけ、監視される設備の動作状態に依存するので、安全機能の質をそれぞれの動作状態に可変的に適応させることもできる。例えば、異なる要求が、通常動作でない、製造停止もしくは設備の休憩時間の場合の安全機能に課される。

一般に、製造停止が生じた場合、要求は低い。なぜなら、技術システムまたはその部品が休止状態にあるので、危険がなく、またはわずかな危険だけが存在するからである。

一方では、より高い要求が、いわゆるセットアップ動作または設備の保守の間、安全機能に課される。これは操作者が技術的な設備の危険区域に直接立ち入らなければならないからである。

技術的な設備の動作モードと安全機能の要求との間における上述したリンクは、1つの実施例にすぎないものと理解される。

原則として、安全機能または可変性の要求への品質は、個々の安全評価に依存する。
それによって、技術的な設備の動作モードの他の、さらなるパラメータが、要求される品質を決定するために関連する。

省エネルギーは、可変的に調整可能である品質水準のために、安全に関連する機器において、遂行される。

特に非生産期間に、エネルギーは、安全機能を完全に失わずに節約され得る。

加えて、低下した動作はセンサシステムの有効寿命またはその保全間隔に有益な影響を及ぼすこともできる。すなわち、寿命が延長され、または間隔が増える。

同時に、この節約にもかかわらず、基準に対応する安全性は、安全評価の低下した動作を考慮して、提供される。

このようにして、最初に言及した本発明の目的は、このように完全に解決される。

さらなる改良において、第1の品質水準および第２の品質水準が、動作時間ならびに／または安全装置および／もしくは処理ユニットの検出能力によって定義される。そして、第2の動作モードで、動作時間および／または検出能力は、低下させられる。

動作時間および検出能力は、安全機能の質を定める2つのパラメータである。

例えば、光センサは異なる解像度により動作し得るが、低い解像度は取得したデータの処理を単純化して、より少ない計算資源によって実行され得る。したがって、安全機能の実行のために、より少ないエネルギーで済む。同様に、動作時間が増加する場合、計算負荷は少なくなり、より多くの時間を評価に用いることができる。

低下した検出能力または長期の動作時間はこのように、省エネルギーにつながることができる低下した質の例である。しかし同時に、技術的な設備の状態がそれを許容する場合、安全性に関して補償され得る。すなわちシステムは、安全機能の低下した質が、関連する基準に照らして十分に安全である状態にある。

さらなる改良において、本装置は、任意的に、安全装置による検出および／または処理ユニットによる実行が停止される第3の動作モードで動作してもよい。

好ましくは、第1の動作モード（通常動作）および第2の動作モード（低下した動作）に加えて、本装置は、第3の動作モード（待機または待機動作）で動作できる。

この待機モードにおいて、本装置の機能は一時的に無効にされるが、急速に復活できる。

待機モードのエネルギー消費は、低下したモードよりさらに低いが、待機モードでは安全性が保証されることができないので、待機モードは技術的な設備のいくつかの選択された状態のためにのみ想定される。

通常、待機動作は、技術的な設備がスイッチオフされた場合にのみ、想定される。ただし、これも個々の安全評価に依存する。

原則として、さらなる動作モード（すなわち低下した動作モード）のため、省エネルギーの柔軟性は増加し、そして、さらなる節約の可能性が期待できる。

さらなる改良において、安全装置および／または処理ユニットの低下した能力は、クロック周波数の低下、１つまたはそれ以上のプロセッサコアの停止、ファン回転速度の低下および／またはソフトウェアモジュールの無効化を含む。

能力、したがってエネルギー消費を減らすために、さまざまな公知の方法を用いることができる。

都合のよいことに、安全機能の要求を下げること、すなわち第２の動作モードを想定することは、ハードウェアおよびソフトウェアが特定の方法で低下した要求に反応するので、自動的に所望のエネルギーの節約をもたらす。

したがって、低下した動作において、ハードウェアおよびソフトウェアの修正なしに、もしくはわずかな修正だけで、エネルギーの節約を実行することができる。そして、完全に低下した動作モードの安全に関連する定義および必要なパラメータの決定に、焦点が当てられる。

さらなる改良において、安全装置および／または処理ユニットは、多重チャンネル設計であり、安全装置および／または処理ユニットの能力の低下は、１つまたはそれ以上のチャンネルの停止により達成される。

安全に関連する機器は、冗長性を確実にするために、通常、多重チャンネルにより設計される。各チャンネルは、他のチャンネルと独立して、安全に関連する反応を遂行できる。

同時に、1本のチャンネルは、好ましくは他のチャンネルの機能性を点検できる。

エネルギーを節約するために、1本のチャンネルは、この好適な改良にしたがって停止されることができる。その結果、基本的な機能がまず最初に確保され、冗長性は少なくとも部分的に省かれる。

１つのチャンネルを完全に停止させることによって、安全に関連する観点において安全性の分類が変えられる。それは技術的な設備のリスク分析に応じた特定の状況において、受け入れ可能なことである。チャンネルを停止させることは、特に容易であり、低下した動作モードを特に容易に実行できるようにする。

さらなる改良において、本装置は、離れた処理装置から制御コマンドを受信して、制御コマンドに基づいて第1の動作モードまたは第2の動作モードを選択するように、構成される。

この改良において、個々の動作モード間の移行が管理される。すなわち、本装置は、技術的な設備のより上位の制御システムから情報を受け取って、例えば製造停止または故障が生じた場合に低下した動作モード（または待機動作）を設定する。

情報は、安全機能の安全度の水準が変えられるにつれて、安全バスシステムまたはネットワークを介して送信される。

制御を委任することによって、低下した動作モードは、安全装置および／または処理ユニット上のさらなる追加なしで実現される。

さらなる改良において、本装置は、第1の動作モードおよび第2の動作モードの間を自動的に切り替える手段を備えている。

この改良において、本装置が所与の状況でどの動作モードを採用するかを自動的に認識するので、個々の動作モード間の移行はこのように自動で行われる。

本装置は、このように柔軟に、かつ、高速に動作できる。さらに省エネルギーの可能性を提供する。

特に、本装置は、選択された動作モードに関する情報を他の装置に報告するように構成されてもよい。

このことにより、他の機器（安全および非安全な機器）は、低下した動作モードに対応することができて、それに応じて動作できる。例えば、他の装置は、本装置を能動的に通常動作に戻すための起動信号(wake-up call)を送ることができる。また、追加のエネルギーを節約するために、それ自身を、低下した動作モードへ切り替えることができる。

さらなる改良において、安全装置は、少なくとも一つの画像センサを備えている。

画像センサは、実際の安全機能のために必要であるより多くの情報を常時撮像することができる。より多くの情報は、追加的に、必要な動作モードを自動的に認識するために用いることができる。

さらにまた、画像センサは、その解像度を変えることによって、可変的に調整され得る。

解像度を変えることによって、評価のための努力(effort)が影響を受け、したがってエネルギー需要も影響を受ける。

このことにより、安全機能の質は、安全装置の設定パラメータを介して、容易にかつ迅速に変化し得る。

さらなる改良において、安全装置は、安全機能が定められた所定の安全空間の外側で物体の変化を検出して、この検出に応じて第1の動作モードと第2の動作モードの間を切り替えるように構成される。

この改良において、安全装置、例えば画像センサは、安全装置の監視領域において、動きがあるかどうか調べることができる。

より長い期間、技術的な設備の環境に動きがない場合、製造停止または休憩時間を想定することができる。そのとき、本装置は、低下した動作モードに切り替わるようにできる。

同様に、再び動きが環境で生じる場合、それを合図にして、低下した動作モードから通常動作に変わることができ、再び製造が開始される。

動作モード間の移行はこのように、容易に、柔軟に、そして、自動的になされる。そして、省エネルギーはさらに最適化される。

さらなる改良において、安全装置は、輝度情報を検出して、この検出に基づいて第１の動作モードおよび第２の動作モードの間を切り替えるように構成される。

この改良において、輝度情報は、1つの動作モードからもう一方への移行を引き起こすことに関連する。例えば、安全装置は技術的な設備の照明の急激な変化を記録することができて、これによって、例えばホールの照明が点灯または消灯されることによって、製造停止または再開をすることができる。

自動的な点灯または消灯は、すでに多くの製造設備において確立したエネルギー節約策であるので、この改良によって、追加的なエネルギーの節約ができる。

さらなる改良において、安全装置は、特に非接触のやり方で、人の所定の動きを検出して、この検出に基づいて第１の動作モードおよび第２の動作モードの間を切り替えるように構成される。

この改良において、1つの動作モードからもう一方への移行が、設備の操作者によって、能動的に行われる。

都合のよいことに、安全装置の複数のセンサを、操作者の所定の動きを検出するために用いることができる。

追加的な装置はこのように必要とされない。例えば、操作者は、物品の破壊が差し迫っていること、または、製造が続けられるであろうことを本装置に知らせるために、所定のアームの動作を利用できる。

この改良は、柔軟性の増加に、このように関与する。

さらなる改良において、安全機能が実行される所定の安全空間は、可変的に調整可能であり、当該空間は少なくとも第1の安全空間および第2の安全空間を含む。

安全装置は、第1の動作モードで、第1の安全空間および第2の安全空間においてきっかけとなる事象を検出するように構成され、第2の動作モードでは、第1の安全空間のみにおいてきっかけとなる事象を検出するように構成される。

この改良によれば、監視を、特定の空間に制限することができる。これは監視を柔軟に設定することができるという効果があり、保護区域の一部のみが監視されることを必要とするので、エネルギーを節約できる。

この改良によれば、さらなる省エネルギーの可能性が期待できる。

さらなる改良において、本装置は、きっかけとなる事象が第1の安全空間において検出された場合に、第2の動作モードから第1の動作モードへ切り替えるように構成される。

この改良によれば、例えば、機械へのアクセス区域だけは（設備のすべての安全空間ではない）、低下した動作モードで監視される。

アクセス区域で起こったきっかけとなる事象は、本装置を、低下した動作モードから通常動作へと切り替えさせることができ、機械の安全空間の監視が始まる。この自動化によって、さらなる省エネルギーの可能性が期待できる。

さらなる改良において、第1の動作モードまたは第２の動作モードの選択は、動作モードおよび／または技術的な設備の条件に依存する。

この改良において、本装置の動作モードの選択は、動作モードおよび／または技術的な設備の条件と関連する。

安全に関わる評価が主に技術的な設備の条件に依存するので、安全機能の質は実際の、この安全に関連する要求に直接関係する。

本装置は、このように必要とされる安全に関連する諸条件に柔軟に適合することができて、所与の状態において、この状態で必要とされる安全性を保証できる。このことにより、さらに省エネルギーの可能性が期待できる。

前述した、および以下に説明される諸事項は、各場合で示された組合せでのみ用いられることはなく、他の組合せでも、または、単独でも、本発明の範囲を出ない限り用いられることは、言うまでもない。

本発明の実施の形態は、図面に示され、以下の説明において、さらに詳細に説明される。

好ましい実施の形態による、本発明の装置を示す概略図である。 好ましい実施の形態による、本発明の方法を示す概略図である。 本発明の実施の形態による装置および方法の適用場面を示す。

図１は、安全機能をエネルギー効率よく実行するための、本発明の実施の形態に係る装置を示す。本装置の全体は、参照番号10によって示される。

本装置は、安全機能を起動するきっかけとなる事象を検出するための安全装置12、ならびに安全装置12による検出に基づいて安全に関連する反応を実行するための処理ユニット14を備えている。

加えて、本装置は、入出力ユニット16および／または、安全機能を実行するために処理ユニット14により使用される通信インタフェース18を備える。

例えば、入出力ユニット16は、処理ユニットにより示される危険な状態が生じた場合それのスイッチを切るかまたはそれをシャットダウンするために、監視されるべき技術的な設備に本装置を直接接続する。

あるいは、処理ユニット14により提供される情報は、どんな危険もそこから拡散しないというような方法で機械の運動に影響を与えることができる機械処理装置に、通信インタフェース18（例えば安全なバスまたはネットワークインターフェース）を介して伝送される。与える影響とは、運動速度の低下、運動方向の変化、機械の部分的なまたは完全な停止であり、それらは、きっかけとなる事象の種類にしたがって変化してもよい。

図1に示すように、安全装置12は、所定の安全区域における安全機能のためのきっかけとなる事象を光学的に検出する画像センサ20を含むセンサユニットを備える。

特に、画像センサ20は、ステレオスコープを用いて空間の安全区域を検出するために互いにオフセットされた２台またはそれ以上のカメラ20a、20bを備えていてもよい。

きっかけとなる事象は、例えば、安全区域への物体または人の侵入であってもよい。

複数のカメラ20a、20bを有する画像センサ20の場合、工場でする補正を有効にするために、これらは共通ハウジング22に好ましくは配置される。

本装置10の他の部品も、共通ハウジング24に、一緒に配置されることもできる。

さらに、各個別部品が、異なる装置において機能的に、または、構造的に分配されることも、考えられる。

処理ユニット14は、安全装置12により記録されるデータを処理して対応する動作を出力するコンピュータユニットであってもよい。コンピュータユニットは、入出力、メモリおよび中央演算処理装置（CPU）を備えている。

例えば、コンピュータユニットは、一体化したユニットの、マイクロ処理装置またはシステム上のチップ（SoC）として構成される。特に、コンピュータユニットは冗長に設計され、互いに独立に動作できる2本以上のパラレル処理チャンネルを提供してもよい。

データ処理は特に画像処理であってもよく、それは安全装置により提供される画像データを周期的に評価する。その評価は、画像データの変化の検出および解釈を含むことができる。そして、それに基づいて、所定の安全区域の具体的な状況について結論が出される。

このように画像処理は、安全装置により検出される事象を具体化して分類することを可能にし、それによって、安全に関連する反応の状況依存的な実行を可能にする。

安全装置12による取得および処理ユニット14による取得データの処理は、質の異なる複数の水準で行われてもよい。

例えば、安全装置12は、異なる解像度により動作することができて、このように異なる精度で、きっかけとなる事象を検出できる。例えば、第1の解像度（第1の質）を有する検出は人の手のサイズの物体を検出でき、その一方で、第２の解像度（第2の低下した質）を伴う検出は人の全体を検出できるだけである。

なお、異なる解像度は、異なる質の一実施例にすぎないと理解されるべきである。

同様に、処理ユニット14の処理は、質の度合い(degree of quality)を変化させて行ってもよい。例えば画像データを、ピクセルごとでなく、より大きなクラスタごとに処理してもよく、あるいは、より少ない処理資源を提供することにより全体の処理速度を遅くして行ってもよい。

本実施の形態に従った、低下した質による安全装置12または処理ユニット14の動作を、低下した動作(reduced operation)と呼ぶ。

低下した動作は、安全性に関連した機能が保持されるという事実によって、特徴づけられる。限定された範囲ではあるが、技術的な設備は、低下した動作に関連した基準にしたがって保護される。

同時に、低下した動作の間、安全に関連する機器で、省エネルギーにつながる手段をとることができる。この場合、低下した動作モードは、直接省エネルギーにつながるか、または全体のエネルギー消費を減らす他のエネルギー節約策を有効にすることができる。

エネルギー節約策は、例えば、プロセッサのクロック周波数を低下させること、
個々のプロセッサコアをスイッチオフすること、ファンを低下させもしくはスイッチオフすること、および／または、もはや必要とされないハードウェアおよびソフトウェアモジュールを停止すること、を含む。

安全に関連する機器のエネルギーを節約する他の方策は、個々のまたはいくつかの処理チャンネルをスイッチオフすることによって、達成できる。

低下した動作モードでの省エネルギーの結果は、個々の安全に関連する要求が部分的に、すなわち、完全ではなく満たされるということであり、その結果、低下した動作モードは、安全に関連する評価において、切り離して評価されなければならない。

通常、低下した動作モードでは、応答時間が延長され、または、それぞれの安全分類は変更される。

しかしながら、当該設備のリスク分析に基づいて、これは、特定の状況において受け入れられ得る。

低下した動作モードの他に、本装置が待機モードに変化することも、考えられる。

待機モードにおいて、例えば安全出力のスイッチを切ることによって、安全に関連する機能は停止する。これにより、電力消費をさらに減らすことができる。

例えば、すべての必要とされない部品のスイッチを切ることによって、安全に関連する機器の電力消費は、通常の消費の2～10％に低下できる。

特にプロセッサベースシステムで、例えば、現在の状態をメインメモリに格納することができ、プロセッサは、ほとんどエネルギーを必要としない、そして、冷却を停止できる「スリープ」モードに入ることができる。

通常動作へのクィックスタートは、このようにいつでも可能で、短い時間において達成される。

しかしながら、安全機能は、待機モードの間、保証されることができない。

個々の動作モード間の移行は、外部から管理されることもでき、本装置自体によって始めることもできる。

この明細書で「管理」とは、本装置が、より上位の制御システムによって各動作モードに入ることを言う。これは、安全に関連する機器の低下した動作モードを中央で制御できるという効果がある。

その代わりに、または、それに加えて、本装置は、例えば安全装置の検出範囲で変化が生じたかどうか調べることによって、それぞれの動作モードを自動的に検出することもできる。

画像センサ20を使用するときに、例えば、運動が、その視野において検出されるかどうか調べることができる。

自動製造システムは、所定の部品（例えばロボットアーム）が連続的に動いているという事実によって、特徴づけられる。

設備の特性は、材料が連続的に追加されるということであり、または、操作者が機械の側に存在することである。

運動が、視野において、長い間検出されない場合、本装置は、生産の停止または休憩時間を推定することができて、まず最初に、低下した動作モードへ切り替えることができ、可能ならば、より長い期間の後に、待機モードにすることができる。

安全装置12は、基本的に画像センサとして例示されたが、その一方、他の実施の形態において、他の安全装置も考えられる。

特に、安全装置を始動する事象の検出に加えて、さらに他の情報を得ることができる他の安全装置を用いることも可能である。

例えば、安全装置は安全マットであることもできる。それは、実際の動作に加えて、動作の位置を決定することもできる。

安全カメラと同様に、さまざまな領域を定義することが可能であり、それによって
質の水準を、所定の領域のサイズまたは数によって決定することができる。

図2は、模式的な図であり、本発明の好適な実施の形態に従った本装置の評価サイクルを示す。

スタート（ステップ102）の後、評価サイクル100はループを作って循環する。ステップ104において、まず、どの動作モードが起動されることになっているか調べる。

動作モードは、安全なバスまたはネットワークを経て外部処理装置によって指定されるか、または、例えば所定の安全空間の運動を検出することによって安全装置はそれぞれの動作モードを決定できる。

ここで示される実施の形態において、本装置は、3つの動作モードを想定している。通常の動作モード106、低下した動作モード108、および待機動作モード110である。

通常の動作モード106において、デフォルトの設定が最初になされる。これは例えば、所定の安全空間を、それらの初期の位置およびサイズに設定する（ステップ112）。さらにまた、すべてのエネルギー節約策を停止する（ステップ114）。その後、安全空間の監視が始まる（ステップ116）。それは、物体または人が安全空間の中にいるかどうか検出することを含む。

安全空間の侵害がない場合、本装置は、例えば安全な出力を起動させるかまたはそれらをスイッチオン状態に置くことによって、通常動作にセットされる（ステップ118）。

しかしながら、安全空間への侵害が生じた場合、通常の動作モードは停止され、すなわちいかなる安全な出力もスイッチオフとなり、それは例えば、設備の停止に至る（ステップ120）。

出力のスイッチをオフすることは、1つの実施例に過ぎず、他の安全に関連する手段が同じようにとられることも可能であると理解されたい。

選択の後、評価サイクル100を繰り返し、まず、動作モードを変えるべきかどうか調べる（ステップ104）。

これは、前述のように、外部から特定されるか、または本装置自体により決定される。

低下した動作モード108を設定するために満たすべき十分な条件が現在ある場合、監視をこの低下した動作モードに合わせるために、可能な安全空間の適合が最初に行われる（ステップ122）。

特に、低下した動作モードによって惹き起こされてもよい、より長い応答時間を補償し得るように、安全空間を拡張できる。概して、安全距離が増加するほど、その結果、安全空間は危険源から離れてより遠くに配置されなければならない。

その後、エネルギー節約策（例えばファン回転速度の低下、プロセッサコアの停止、診断機能の休止など）を起動する（ステップ124）。

本装置は、その後も、しかし低下した質で、安全機能を実行し続ける。その結果、より多くの時間が検出および処理のために必要とされる。しかしながら、技術的な設備は、運転を始めることができる（ステップ118）。

本装置は、任意的であるが、評価サイクル100のさらなるループで、安全機能が完全に停止する待機モード110に入ることもできる。

この場合、人または物体に対する脅威が技術的な設備から発せられないことを確実にするために、すべての安全出力は停止される（ステップ126）。

さらにまた、低下した動作108と比べて、追加的なエネルギー節約策、例えば処理ユニットを待機モードに切り替えること、が起動される（ステップ128）。

待機モード110から正常モード106または低下した動作モード108への移行は、システムが「安全な状態」にあり、そして、すべての運動が止められているならば、外部信号によってのみ行われる。

前述の3つの動作モードに加えて、さらに別の動作モードが考えられることは、言うまでもない。

特に、混合した形態が考えられる。例えば、本装置のいくつかの部分が低下した動作モード108であり、他の部分は待機モード110であってもよい。

例えば、安全に関連する機器の処理チャンネルは低下した動作モード108であってもよく、よって評価サイクル100を素通り(pass through)するが、その一方で、他のチャンネルは待機モード110である。この場合、本装置が通常の動作モード106または低下した動作モード108に戻ることができるように、1本のチャンネルが他のチャンネルを「目覚めさせる」ことができる。このことにより、省エネルギーの可能性がさらに高まる。

図3は、本発明の実施の形態に従った、装置および方法の応用例を示す。

図3に示すように、技術的な設備26の実施例として、ここでの開示に従った本装置10によって監視される工業的な生産プラントが示されている。

ここで、本装置は安全カメラシステム28であり、それは技術的な設備26の上部に配置され、鳥瞰的に設備およびその周囲の写真を撮る少なくとも2つの画像センサを有する。

さらにまた、本装置は、安全カメラシステムにより提供された画像データを評価する処理ユニット（図示せず）を有する。

評価は、人が技術的な設備26の安全区域に入ったかどうか決定するために撮られた画像の、特定の区域における変化を検出することに、集中される。

例えば、第1の安全区域30は、ここでは、技術的な設備26のすぐ前の立方体の空間の形で示される。

2台のカメラおよび立体的な評価を用いて、3次元の安全空間30を定めることができる。

人が安全空間30に入るとすぐに、画像データは変化し、処理ユニットは安全に関連する反応を提起できる。

例えば、動作を停止させるか、または遅くするように、技術的な設備26の処理装置に信号を伝送することができる。あるいは、処理ユニットは、技術的な設備を直ちにシャットダウンするために、技術的な設備26の電源を直接制御するようにしてもよい。

一般の安全上の条件を満たすために、処理ユニットは、2本の回線を備えている。その各々が、互いに独立して画像データを評価する。

もし1本のチャンネルが故障した場合、安全に関連する反応は、残ったチャンネルを介して実行される。

加えて、各チャンネルは、互いの機能性を点検できる。

安全機能の要求は、リスクアセスメントによって決定される。安全機能のための異なる要求が、技術的な設備の異なる動作状態において定められることがある。

本開示による本装置は、これらの異なる要求に適応できる。

例えば、本装置10の低下した動作モードで、監視を、技術的な設備26のアクセス区域32に限定してもよい。アクセス区域は、この開示の意味で、第2の安全空間となる。

これと同時に、低下した動作モードにおいて、人の全体のみがアクセス区域32のきっかけとなる事象として検出されるように、解像度を低下させることも考えられる。通常の動作モードでは、第1の安全区域30で、より小さなサイズの物体をきっかけとなる事象として検出する。

人がアクセス区域32に入るとすぐに、本装置10は通常の動作モードへ切り替えることができて、設備12のすぐ前で安全空間30を監視し始めることができる。

その代わりに、またはそれに加えて、低下した動作モードで、本装置10の2本の処理チャンネルのうちの1本を停止してもよい。その結果、本装置のいくつかの部品は、スイッチ・オフされる。

また、本装置を、他の安全に関連する機器、例えば技術的な設備26のアクセス区域32の安全ゲート34に結合することも考えらる。その結果、低下した動作モードから通常の動作モードへの移行は、このさらなる安全に関連する機器からの信号により提起される。

前述した応用例の提示は、本発明に従って本装置を使用するにあたっての1つの実施例を示すものと理解される。さらなるエネルギー節約策が用いら得る、または、安全性の質が適用され得る、他の応用例も考えられる。

Claims (15)

1. 技術的な設備（26）を保護するために使用される安全機能をエネルギー効率よく運用するための装置（10）であって、
   安全機能のきっかけとなる事象を検出するための安全装置（12）と、前記安全装置（12）による検出に基づいて安全機能の安全関連応答を実行するための処理ユニット（14）とを備え、
   本装置は、第１の動作モード（106）または第２の動作モード（108）で、選択的に動作可能であり、
   前記安全装置（12）および前記処理ユニット（14）は、前記第１の動作モード（106）で、第1の品質水準にしたがって動作するように構成され、
   前記安全装置（12）および前記処理ユニット（14）の少なくともいずれかは、前記第2の動作モード（108）で、第2の品質水準にしたがって動作するように構成され、
   前記第2の品質水準は、前記第1の品質水準よりも水準が低く、前記安全装置（12）および前記処理ユニット（14）の少なくともいずれかは、前記第2の動作モード（108）において、エネルギーを節約するように低下した能力によって動作し、
   前記安全機能が実行される所定の安全空間を変更可能に調節でき、当該安全空間は少なくとも第1の安全空間および第2の安全空間を含み、
   前記安全装置（12）は、前記第1の動作モード（106）で、前記第1の安全空間および前記第2の安全空間においてきっかけとなる事象を検出するように構成され、前記第２の動作モード（108）では、第1の安全空間のみにおいてきっかけとなる事象を検出するように構成されている、装置。
2. 前記第1の品質水準および前記第2の品質水準は、動作時間ならびに／または安全装置および／もしくは処理ユニットの検出能力により定義され、前記第2の動作モード（108）において、前記動作時間および／または前記検出能力は低下している、請求項1に記載の装置。
3. 本装置は、任意的に、前記安全装置（12）による検出および／または前記処理ユニット（14）による実行が停止される第3の動作モード（110）においても動作可能である、請求項1または請求項2に記載の装置。
4. 前記安全装置（12）および／または前記処理ユニット（14）の能力の低下は、クロック周波数の低下、１つまたはそれ以上のプロセッサコアの停止、ファン回転速度の低下および／またはソフトウェアモジュールの無効化を含む、請求項1または請求項2に記載の装置。
5. 前記安全装置（12）および／または前記処理ユニット（14）は、多重チャンネルに設計されたものであり、前記安全装置（12）および／または前記処理ユニット（14）の能力の低下は、１つまたはそれ以上のチャンネルを停止することによって達成される、請求項1または請求項2に記載の装置。
6. 離れた別の処理装置から制御コマンドを受信して、その制御コマンドに基づいて前記第1の動作モード（106）または前記第2の動作モード（108）を選択するようにさらに構成される、請求項1または請求項2に記載の装置。
7. 前記第1の動作モード（106）と前記第2の動作モード（108）との間で自動的に切り替わるように構成されている、請求項1または請求項2に記載の装置。
8. 前記選択された動作モードに関する情報を、他の装置に報告するようにさらに構成される、請求項6に記載の装置。
9. 前記安全装置（12）は少なくとも１つの画像センサ（20）を備える、請求項1または請求項2に記載の装置。
10. 前記安全装置（12）は、輝度情報を検出して、この検出に基づいて前記第1の動作モード（106）と前記第2の動作モード（108）とを切り替えるように構成される、請求項1または請求項2に記載の装置。
11. 前記安全装置（12）は、人の所定の動作を検出し、この検出に基づいて、前記第1の動作モード（106）と前記第２の動作モード（108）とを切り替えるように構成される、請求項1または請求項2に記載の装置。
12. 前記安全装置（12）は、非接触の方法で、人の所定の動作を検出する、請求項11に記載の装置。
13. 前記第2の動作モード（108）できっかけとなる事象が前記第1の安全空間において検出されたときに、前記第2の動作モード（108）から前記第1の動作モード（106）へ切り替えるように構成される、請求項1または請求項2に記載の装置。
14. 前記第1の動作モード（106）または前記第2の動作モード（108）の選択が、技術的な設備の動作状態に基づいて行われる、請求項1または請求項2に記載の装置。
15. 技術的な設備を保護するために使用される安全機能をエネルギー効率よく運用する方法であって、
    安全機能のきっかけとなる事象を検出するための安全装置（12）を用意し、
    前記安全装置（12）による前記検出に基づいて安全機能の安全関連応答を実行するための処理ユニット（14）を用意し、
    前記安全装置および前記処理ユニットは、第１の動作モード（106）および第２の動作モード（108）で動作し、
    前記安全装置（12）および前記処理ユニット（14）は、前記第１の動作モード（106）で、第1の品質水準にしたがって動作し、
    前記安全装置（12）および前記処理ユニット（14）の少なくともいずれかは、前記第2の動作モード（108）で、第2の品質水準にしたがって動作し、
    前記第2の品質水準は、前記第1の品質水準よりも水準が低く、前記安全装置（12）および前記処理ユニット（14）の少なくともいずれかは、前記第2の動作モード（108）において、エネルギーを節約するように低下した能力によって動作し、
    前記安全機能が実行される所定の安全空間を変更可能に調節でき、当該安全空間は少なくとも第1の安全空間および第2の安全空間を含み、
    前記安全装置（12）は、前記第1の動作モード（106）で、前記第1の安全空間および前記第2の安全空間においてきっかけとなる事象を検出し、前記第２の動作モード（108）では、第1の安全空間のみにおいてきっかけとなる事象を検出する、方法。

Images