(57)【要約】      （修正有）【課題】要求を安全に入力及び出力して安全に記憶及び処理できるように、安全制御デバイスからセンサにセンサのデータをシリアル伝送するための方法を開発する。【解決手段】センサは、上記センサのデータ及び上記安全制御デバイスの要求データの両方を検査及び処理する２つのデータ処理ユニットを有する。上記安全制御デバイスの同一の上記要求データが各上記データ処理ユニットに同時に供給され、上記データ処理ユニットは、上記データの受信後に上記要求データのチェックを同時に実施する。上記データ処理ユニットは互いに独立して動作する。本発明はまた、センサ、安全制御デバイス、及び上記センサに関連付けられたデータ処理ユニットを有する、センサユニットに関する。上記安全制御デバイスは、共通のシリアルバスを介して上記データ処理ユニットに接続され、上記データ処理ユニットは互いに独立しており、データ処理を同時に実施するよう設計される。【選択図】図１
2019083007.tif 000002
【特許請求の範囲】
【請求項１】
センサ（１）のデータを安全制御デバイス（２）にシリアル伝送するための方法であって、
前記センサ（１）は供給された前記データを検証及び処理する２つのデータ処理ユニット（３、４）を有する、方法において：
各前記データ処理ユニット（３、４）に同一の前記データが同時に供給され；
前記２つのデータ処理ユニットは互いに独立して動作し；
前記データ処理ユニット（３、４）は、前記データの受信後に、前記供給されたデータの検証を同時に実施する
ことを特徴とする、方法。
【請求項２】
前記供給されたデータは、前記安全制御デバイス（２）の要求データ又は前記センサ（１）のプロセスデータであることを特徴とする、請求項１に記載の方法。
【請求項３】
前記データ処理ユニット（３、４）は、前記データ処理ユニット（３、４）の検証の結果を互いに比較し、前記結果が一致しない場合は、前記安全制御デバイス（２）にエラーを報告することを特徴とする、請求項１又は２に記載の方法。
【請求項４】
前記検証中に、受信した前記データのデータ整合性がチェックされることを特徴とする、請求項１〜３のいずれか１項に記載の方法。
【請求項５】
第１のデータ処理ユニット（３）から前記安全制御デバイス（２）及び第２のデータ処理ユニット（４）に応答データが同時に返され；
前記安全制御デバイス（２）及び前記第２のデータ処理ユニット（４）は、前記応答データの検証を同時に実施する
ことを特徴とする、請求項１〜４のいずれか１項に記載の方法。
【請求項６】
前記第２のデータ処理ユニット（４）及び前記安全制御デバイス（２）は、前記検証の結果を互いに比較し、一致が存在しない場合、前記応答データを誤りと判断することを特徴とする、請求項５に記載の方法。
【請求項７】
前記検証は、前記データのデータ整合性及び前記処理を包含することを特徴とする、請求項１〜６のいずれか１項に記載の方法。
【請求項８】
前記センサ（１）、即ち特に前記データ処理ユニット（３、４）の、前記安全制御デバイス（２）との通信は、ＩＯ−Ｌｉｎｋ安全規格、ＡＳ−ｉバス規格、ＣＡＮｏｐｅｎ安全規格又はＰｒｏｆｉｂｕｓ／ＰｒｏｆｉｎｅｔのためのＰｒｏｆｉｓａｆｅ規格を順守して行われることを特徴とする、請求項１〜７のいずれか１項に記載の方法。
【請求項９】
センサ（１）、安全制御デバイス（２）、及び前記センサ（１）に関連付けられたデータ処理ユニット（３、４）を有するセンサユニットであって、
前記センサユニットは：
前記安全制御デバイス（２）は共通のシリアルバスを介して前記データ処理ユニット（３、４）に接続され；
前記データ処理ユニットは互いに独立しており、供給されるデータの処理を同時に行うよう設計される
ことを特徴とする、センサユニット。
【請求項１０】
前記シリアルバスは双方向データ伝送用に設計されることを特徴とする、請求項９に記載のセンサユニット。
【請求項１１】
前記安全制御デバイス（２）は、共通のシリアルバスを介して前記データ処理ユニット（３、４）に接続され；
第２のデータ処理ユニット（４）及び前記安全制御デバイス（２）は、第１のデータ処理ユニットが前記第２のデータ処理ユニット（４）及び前記安全制御デバイス（２）に供給したデータのデータ整合性及び正確な処理を同時にチェックするよう設計される
ことを特徴とする、請求項９又は１０に記載のセンサユニット。
【請求項１２】
前記安全制御デバイス（２）及び前記データ処理ユニット（３、４）は、ＩＯ−Ｌｉｎｋ安全規格、ＡＳ−ｉバス規格、ＣＡＮｏｐｅｎ安全規格又はＰｒｏｆｉｂｕｓ／ＰｒｏｆｉｎｅｔのためのＰｒｏｆｉｓａｆｅ規格を用いて互いに通信するよう設計されることを特徴とする、請求項９又は１０に記載のセンサユニット。
【請求項１３】
前記センサ（１）はＲＦＩＤレシーバとして設計され、ＲＦＩＤトランスミッタの接近に反応することを特徴とする、請求項９〜１１のいずれか１項に記載のセンサユニット。
【請求項１４】
前記センサ（１）のプロセスデータは前記ＲＦＩＤトランスミッタに記憶されること；及び
前記ＲＦＩＤレシーバは、前記ＲＦＩＤレシーバの前記データ処理ユニット（３、４）において前記データを読み取って処理するよう適合されること
を特徴とする、請求項１３に記載のセンサユニット。
【請求項１５】
請求項９〜１３のいずれか１項に記載のセンサユニットを有する、生産施設の危険領域を保護するためのシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、請求項１の前提部分による、センサのデータを安全制御デバイスにシリアル伝送するための方法に関する。本発明はまた、請求項８の前提部分による、特に上記方法を実施するためのセンサユニット、及びこのようなセンサユニットを有するシステムに関する。
【背景技術】
【０００２】
安全センサは通常、安全領域を監視するか又は安全領域を保護して、上記安全領域の状態に関する情報を提供する。例えばこのような安全センサは、マシンツール用の又は特にロボットを有する工業生産設備用の安全扉において使用できる。このような機械において、安全要件は、機械の動作中に機械の作業領域に人が存在し得ないことである。この目的のために、例えばオペレータが機械を設定、調整又は保守するために留まらなければならない領域を、保護壁によって閉鎖する必要があり、アクセスは上記安全扉を介して行われる。
【０００３】
例えば安全センサは、接近物の非接触検出のための近接センサとしての機能を果たすセンサであってよい。この目的のために、所謂ＲＦＩＤ（ｒａｄｉｏ  ｆｒｅｑｕｅｎｃｙ  ｉｄｅｎｔｉｆｉｃａｔｉｏｎ：無線周波数識別）素子の使用が公知である。これらは、ＲＦＩＤタグとも呼ばれる大半がパッシブ型のＲＦＩＤトランスミッタと、ＲＦＩＤリーダと呼ばれることが多いＲＦＩＤレシーバとからなる。ＲＦＩＤトランスミッタがＲＦＩＤレシーバに接近すると、ＲＦＩＤトランスミッタは、ＲＦＩＤレシーバから放射される交番電磁場によって励起され、エネルギ供給を受ける。続いてＲＦＩＤトランスミッタのマイクロコントローラは、ＲＦＩＤレシーバが送信したコマンドをデコードでき、記憶されている情報の出力又は新たなメモリ内容の書き込みといった適切な動作を取ることができる。
【０００４】
安全扉は現在、例えば第１の扉要素にＲＦＩＤトランスミッタを、そして第２の扉要素にＲＦＩＤレシーバを取り付けることによって保護されている。安全扉が閉じている場合、ＲＦＩＤトランスミッタはＲＦＩＤレシーバの範囲内にあり、従ってＲＦＩＤトランスミッタ及びＲＦＩＤレシーバは連結され、コマンド及び情報の交換が可能である。安全扉が開いている場合、ＲＦＩＤレシーバはもはやＲＦＩＤトランスミッタの検出又は読み取りを行うことができなくなり、ＲＦＩＤレシーバはこれに対応する情報を安全制御デバイスに、従ってその後機械又は他の製造デバイスの高次制御デバイスに伝送し、この高次制御デバイスは、上記機械が始動して危険区域にいる可能性のある人に怪我をさせるのを防ぐ。安全制御デバイスは、複合プログラマブルロジックコントローラ（ＰＬＣ：ｐｒｏｇｒａｍｍａｂｌｅ  ｌｏｇｉｃ  ｃｏｎｔｒｏｌｌｅｒ）への比較的単純な安全リレーから形成できる。
【０００５】
このタイプの安全デバイスに関して、ＩＥＣ６１５０８規格に従って、安全インテグリティレベル３（ＳＩＬ３）を順守しなければならない。これらのデバイスは、二重安全を保証しなければならず、即ち例えば、データ伝送時又はデータ処理中に起こるエラーは、安全デバイスのいずれの誤作動ももたらさないという点で冗長である。従って、例えば第１のデータ処理ユニットにおいて安全センサによって決定されたデータを読み取って処理すること、続いて第２のデータ処理ユニットにおいて読取データを再度処理すること、又は処理されたデータをチェックすることが公知である。その結果、これら２つのデータ処理ユニットは、これらの結果を比較し、特に検証の結果が一致し、従ってデータ整合性が与えられると想定できる場合に、「扉が閉まっている（ｄｏｏｒ  ｉｓ  ｃｌｏｓｅｄ）」という情報等の安全関連情報（これは機械を始動させてよいことを高次制御デバイスに指示できる）を安全制御デバイス又は機械の高次制御デバイスに転送する。一般に、別個のデータ処理ユニットは、例えば異なる電子部品を使用することにより、異なるように構成されるが、データ処理ユニットが両方とも正確に動作していれば、同一の結果を生成する。
【０００６】
一般に、安全センサは、センサから感知したデータを安全コントローラ又は機械コントローラに迅速に転送して、リスク時間を最小化することを必要とする。上述の二段式連続検証はデータの確実な受信及び処理を保証するが、これは当然のことながら、コントローラの応答時間を短くするという目的に反する。
【０００７】
センサ又はアクチュエータと制御デバイス及び監視デバイスとの間の通信を可能とするために、様々な規格が確立されてきた。これらのうちの１つは、ＩＥＣ６１１３１−９に従った又はＩＯ−Ｌｉｎｋシステム概説書（Ｔｅｃｈｎｏｌｏｇｙ  ａｎｄ  Ａｐｐｌｉｃａｔｉｏｎ、２０１３年７月版、オーダー番号４．３９２）による、所謂ＩＯ−Ｌｉｎｋ規格であり、これは安全関連用途における使用にまで拡張されている。この拡張はＩＯ−Ｌｉｎｋ安全システム拡張仕様書、バージョン１．０、２０１７年４月、オーダー番号：１０．０９２によるＩＯ−Ｌｉｎｋ安全規格として公知である。安全関連用途に関する他の周知の規格としては：ＡＳ−ｉバス規格又はＣＡＮｏｐｅｎ安全規格が挙げられる。
【０００８】
これらの安全規格は、センサ又はアクチュエータと制御デバイス及び監視デバイスとの間の安全な通信を保証する。本発明に関して、これは、ＩＯ−Ｌｉｎｋ安全規格の順守により例えば、データが単一の伝送路を介して送信された場合でも、安全制御デバイスとセンサとの間の又は安全制御デバイスとセンサのデータ処理ユニットとの間のフェイルセイフ通信が得られることを意味する。従って、冗長性は回路設備等の二重実行によってもたらされないが、ＩＯ−Ｌｉｎｋ安全規格の順守により保証される。
【０００９】
従って伝送路はフェイルセイフであるものの、安全関連データ又はこれらの電気信号の、ＩＥＣ６１５０８の要件が（依然として）保証されるような安全な取り扱い、即ち入力又は出力並びに安全関連デバイス内での記憶及び処理の方法は、不明瞭なままである。ちなみに安全制御デバイスと高次システムとの間の通信は、公知のフィールドバスシステムの使用による公知の様式で行われる。
【００１０】
特許文献１は、車両中の機能性ユニットを監視するための方法及びデバイスを記載している。上記デバイスは：データバス；第１の評価ユニット、第２の評価ユニットを有する評価デバイス；測定値を検出するための少なくとも１つのセンサ；及び制御デバイスを備え、各評価ユニットは少なくとも１つのセンサに接続される。各評価ユニットは、少なくとも１つのセンサからデータを受信し、結果に関する演算及びプロージビリティチェックにより上記データを評価する。上記第２の評価ユニットは、結果の出力のために、データバスを介して上記制御デバイスに接続され、上記第１の評価ユニットも結果を読み取るために上記データバスに接続される。上記第１の評価ユニットは上記データバスから結果を読み取り、これを自身の結果と比較する。エラーが起こった場合、上記第１の評価ユニットは、上記データバス上での更なる結果の出力を阻止する。このような方法により、費用のかかる評価ユニット間の双方向通信ステップをなくすことができる。従って記載されている方法の主要な利点は、データバス上での結果の出力を、第２の評価ユニットへの通知及び制御デバイスへの通知のために兼用することにより、評価ユニット間の複雑な照合手順が省略されることである。
【００１１】
特許文献２は、入力信号に応答して浮動小数点値を決定する安全コントローラを動作させるための方法を開示している。決定された浮動小数点値は、信号ラインを介して２つの演算ユニットに転送され、上記２つの演算ユニットはそれぞれ、浮動小数点値の関数としての入力インターバルを決定する。結果インターバルは２つの独立した比較ユニットに転送され、上記２つの独立した比較ユニットはそれぞれ、更なるラインを介して他方の演算ユニットの結果インターバルを受信する。上記比較ユニット内では、結果インターバルが互いに比較される。結果インターバルが重複している場合、出力基準が満たされているかどうかチェックされる。結果インターバルが開いた安全扉に対応する共通の値を含む場合、出力基準は満たされる。この方法の利点は、浮動小数点値によって、整数演算に対する入力信号を検出時の安全制御デバイスの精度が上昇する点である。
【００１２】
特許文献３は、少なくとも１つのセンサ及び少なくとも１つのコントローラを有する建設機械のための制御システムを開示しており、ここで上記センサと上記コントローラとの間にはシリアル接続が存在している。センサ及びコントローラは好ましくは、２つ以上のチャネルを有する。センサ内では少なくとも２つのトランスデューサ及び少なくとも２つの処理ユニットが冗長構成を成して、及び／又は互いに異なるように、配設される。更に、上記センサの少なくとも２つの処理ユニットは、データ接続により互いに連結され、これらの処理ユニットは同期的に動作される。動作中、センサから生じた測定値は正確さに関して内部でチェックされ、その後、安全情報を備える測定値プロトコルのデータパケットに記憶される。この目的のために、測定値は個々の処理ユニット間で交換され、プロージビリティチェックが実施される。測定値の偏差が所定の許容誤差限界内にある場合、測定はプロージブルなものとして分類され、関与した上記処理ユニットは、全ての上記処理ユニットに該当する測定値について合意する。上記コントローラもまた好ましくは、２つの冗長に及び／又は異なるように配設された制御ユニットを有し、上記制御ユニットは、これらの間でデータ交換が可能となるように、いずれのバスシステムを介して互いに結合される。
【００１３】
実施形態のある変形例によると、１つの処理ユニットがバスを介して信号を送信し、全ての更なる処理ユニットが上記１つの処理ユニットによって上記バスに送信された伝送信号を聴取し、上記伝送信号を正確さに関してチェックする。センサの各チャネルに関して、製造元側で記憶されている個々のセンサについての説明も保存される。このセンサの説明は、使用される各センサの一意の個別の識別を表す。このセンサの説明に基づいて、各センサについて個別のキーを、指定されたアルゴリズムを用いて算出でき、これは好ましくはセンサからコントローラに測定値を伝送する際に追加で伝送される。測定値、タイムスタンプ及び符号化安全情報から、測定値プロトコルはデータパケットを生成し、上記符号化安全情報は有利には、上記センサの測定値、タイムスタンプ及び個別のキーから、安全及び／又は保護機能を用いて算出される。上記安全及び／又は保護機能により、伝送されたデータパケットの内容を評価した後、起こり得るデータ操作又は伝送エラーをレシーバ側で検出でき、特に好ましくはこれを補正できる。
【先行技術文献】
【特許文献】
【００１４】
【特許文献１】独国特許第１０  ２００７  ０１９  ８４６号
【特許文献２】独国特許第１０  ２０１１  １０２  ２７４号
【特許文献３】欧州特許公開第３３９  ４１５号
【発明の概要】
【発明が解決しようとする課題】
【００１５】
本発明の目的は、要求を安全に入力及び出力して安全に記憶及び処理できるように、安全制御デバイスからセンサにセンサのデータをシリアル伝送するための方法を開発することである。同様に、本発明の目的は、要求を安全に入力及び出力して安全に記憶及び処理できるような、生産施設を保護するためのセンサユニット及びシステムを開発することである。この場合、例えば設計及び計画時に考慮される生産施設全体のリスク時間を最小化するために、上記センサユニット又は上記システムの反応時間又は応答時間を最小限に低減するべきである。
【課題を解決するための手段】
【００１６】
上記目的は、請求項１の前提部分による方法に関して、同一のデータを同時に供給し、データ処理ユニットが受信したデータを同時にチェックすることによって達成され、上記データ処理ユニットは互いに独立して動作する。
【００１７】
特にセンサがＲＦＩＤトランスミッタの存在を検出するＲＦＩＤレシーバとして設計される場合、プロセスデータは、ＲＦＩＤトランスミッタのメモリに記憶され、また識別番号、ＲＦＩＤトランスミッタのタイプ又はトランスミッタ状態又はチェックサム等に関する情報といった情報を含んでよいことに留意されたい。従って、プロセスデータは、センサの診断データも含んでよい。要求データは特に、安全制御デバイスによる要求又はコマンドである。
【００１８】
好ましくは、データ処理ユニットは、これらのデータ処理ユニットの検証の結果を互いに比較し、一致しない場合は、安全制御デバイスにエラーを報告する。
【００１９】
第１のデータ処理ユニットからのフィードバック及び応答データは、安全制御デバイス及び第２のデータ処理ユニットに同時に返され、上記安全制御デバイス及び上記第２のデータ処理ユニットは、上記応答データの検証を同時に実施する。好ましくは、上記第２のデータ処理ユニット及び上記安全制御デバイスはこれらの検証の結果を互いに比較し、一致が存在しない場合、上記応答データを誤りと判断する。従って、上記第２のデータ処理ユニットは、データのプロージビリティチェックを上記安全制御デバイスと同時に実施して、偏差又は不整合が生じた場合に例外又はエラーを報告でき、相当な時間が節約される。
【００２０】
例えば、上記センサ、即ち特に上記データ処理ユニットの、上記安全制御デバイスとの通信は、ＩＯ−Ｌｉｎｋ安全規格、ＡＳ−ｉバス規格又はＣＡＮｏｐｅｎ安全規格を順守して行われ得る。
【００２１】
上述したように、上記２つのデータ処理ユニットは互いに独立してデータを読み取り、又は上記２つのデータ処理ユニットにデータを独立して出力する。本発明によると、これは２つのチャネル上で独立して起こる。データの入力、出力、処理は互いに独立しており、即ち上記データ処理ユニットは互いに独立していることに留意されたい。通常、上記データ処理ユニットは、その具体的なハードウェア実装に関しても異なっているものの、上記データ処理ユニットは例えば共通の電圧源を有してよく、それにもかかわらず本発明の趣旨の範囲内で互いに独立したものとすることができる。
【００２２】
上記目的は更に、請求項６の前提部分によるセンサユニットに関して、単一の共通のシリアルバスを介した上記安全制御デバイスの上記データ処理ユニットとの接続により達成される。
【００２３】
一実施形態では、本発明によるセンサユニットにおいて、安全制御デバイスは共通のシリアルバスを介してデータ処理ユニットに接続される。第２のデータ処理ユニット（４）及び上記安全制御デバイスは、第１のデータ処理ユニットがこれらに供給したデータのデータ整合性及び正確な処理を同時にチェックするよう設計される。これにより、データの迅速な処理及び検証が可能となる。
【００２４】
好ましい実施形態では、バスは双方向データ伝送用に設計され、そして更に安全制御デバイス及びデータ処理ユニットは互いに通信するよう、従ってＩＯ−Ｌｉｎｋ安全規格、ＡＳ−ｉバス規格又はＣＡＮｏｐｅｎ安全規格を使用するよう設計できる。
【００２５】
更に好ましい実施形態では、センサは、ＲＦＩＤトランスミッタの接近に反応するＲＦＩＤレシーバとして設計される。
【００２６】
一般に、様々な実施形態において上述した方法及びセンサの利点は特に、要求データ又は応答データの同時処理により時間が節約され、従って安全システム全体が極めて早い反応時間を有し、生産設備等の高次システムの安全関連設計に対して全体的にプラスの効果が得られることである。従ってセンサユニットは、生産設備の危険領域を保護するためのシステムにおいて有利に使用できる。
【００２７】
更に、本発明により実装される方法及びセンサを用いると、安全関連デバイスにおいて、ＩＯ−Ｌｉｎｋ安全規格又はＡＳ−ｉバス若しくはＣＡＮｏｐｅｎ  Ｓａｆｅｔｙといった他の安全通信プロトコルにより、ＳＩＬ３に関するＩＥＣ６１５０８の要件を順守して安全関連データを通信できる。
【図面の簡単な説明】
【００２８】
【図１】図１は、安全制御デバイスを有する本発明のセンサユニットを示す。
【発明を実施するための形態】
【００２９】
図１は、センサ１及び安全制御デバイス２を有する本発明によるセンサユニットのブロック図を示す。センサ１は、互いに独立した第１のデータ処理ユニット３及び第２のデータ処理ユニット４を有する。これら２つのデータ処理ユニット３、４は、これらのハードウェアの特定の設計において異なるが、これらの動作及び動作モードに関して機能的に同一である。データ処理ユニット３、４は、概略的にしか示されていない単一のバスを介して安全制御デバイス２に接続される。要求データ又は制御命令若しくはコマンドは、共通のバスを介して安全制御デバイスから処理ユニット３、４に、伝送方向５に送信され、センサ測定値、センサ識別番号等といった応答データは伝送方向６に伝送される。
【００３０】
第１のデータ処理ユニット４は、プロージビリティをチェックし、データ、即ち要求データ又は応答データを処理する、第１の処理ユニット８を有する。データの検証又はプロージビリティチェックは、例えばＣＲＣ法等の公知の検証方法により所謂チェックサムを用いて実施できる。
【００３１】
この第１の処理ユニット８の上流には、規格に従って、特にＩＯ−Ｌｉｎｋ安全規格に従ってデータをパック又はアンパックする、第１のデータ転送ユニット９が存在する。第１のデータ転送ユニット９の前に、データパケットをエンコード又はデコードする第１の伝送・受信ユニット１０が配設される。
【００３２】
これに対応して、第２のデータ処理ユニット３は上記と同一の構成で、第２の処理ユニット１１、第２のデータ転送ユニット１２及び第２の伝送・受信ユニット１３を有する。両データ処理ユニット３、４はメッセージラインを介して互いに接続され、このメッセージラインを介して、異なる検証結果等の例外メッセージが伝送される。
【００３３】
センサ１がＲＦＩＤレシーバとして設計される場合、ＲＦＩＤトランスミッタユニットは図１に示されていないことに留意されたい。
【００３４】
本明細書に記載の方法、本明細書に記載のシステム及び本明細書に記載のセンサは常に、機械及び生産施設のための安全扉に関連して説明されていることに留意されたい。言うまでもないことであるが、上記方法、システム及びセンサに関する本発明による解決法は、ある構成部品の別の構成部品への接近を検出しなければならない他の分野においても使用できる。例えば本発明を引き出し（開いているか閉まっているか）又はロボットアーム（近接度検証若しくはツール認識）に応用できる。
【符号の説明】
【００３５】
１    センサ
２    安全制御デバイス
３    第１のデータ処理ユニット
４    第２のデータ処理ユニット
５    要求データの伝送方向
６    応答データの伝送方向
７    例外データの伝送
８    第１の処理ユニット
９    第１のデータ転送ユニット
１０  第１の伝送・受信ユニット
１１  第２の処理ユニット
１２  第２のデータ転送ユニット
１３  第２の伝送・受信ユニット
【図１】
2019083007.tif 000003
【外国語明細書】
2019083007000001.pdf