(57)【特許請求の範囲】
【請求項１】
少なくとも１個の携帯、移動あるいは固定の装置（１２）を備えるとともに、少なくとも１個の中央、又は非中央制御ユニット（３６）及び運動過程を実行するために該制御ユニットに少なくとも１つのデータ回線を介して接続された駆動ユニット（２４−３０）を備え、安全性が要求される技術設備（１０）の監視のため、該駆動ユニット（２４−３０）の状態の評価及び処理を実行する監視・制御装置（３８）において、
該制御ユニット（３６）と該監視・制御装置（３８）は、少なくとも１つのデータ回線（ＣＡＮ＿Ａ）を介して接続された物理的に分離された別個の装置であり、
該監視・制御装置（３８）は、保護ドアの切換え接点、非常用遮断器、又は近接スイッチよりなる安全スイッチ装置（２０，２２）の切換え状態を評価するための入力部（９４）と、前記駆動ユニット（２４−３０）への電力を供給又は遮断の間で切換えるように主接触器（Ｋ１，Ｋ２）を制御する出力部（９２）を含み、
該技術設備（１０）で少なくとも１つの該運動過程を行なわせるために、該安全スイッチ装置（２０，２２）及び該駆動ユニット（２４-３０）が安全技術上の要求に合致する状態にあるならば、当該監視・制御装置（３８）が少なくとも１個の動作解除信号を該制御ユニット（３６）に伝送し、
該動作解除信号が該運動過程を起動し、前記制御ユニット（３６）により、それぞれの駆動ユニット（２４−３０）の、前記運動過程を規定する位置基準値又は位置基準値の値範囲が計算されるとともに、この値又は値範囲の信号がシリアルバスとして構成された前記データ回線（ＣＡＮ＿Ａ）を介して該駆動ユニットの駆動制御部（５０）及び該監視・制御装置（３８）へ連続的に又は１回だけ伝送され、
該駆動制御部（５０）によって位置実際値の信号が該制御ユニット（３６）及び当該監視・制御装置（３８）へ伝送され、
該各駆動制御部（５０）の位置実際値が、当該監視・制御装置（３８）において、記憶された位置基準値又は位置基準値の値範囲と比較され、それによって、各位置基準値又は位置基準値の値範囲に当該監視・制御装置（３８）の前記出力部（９２）の少なくとも１個の安全に関する出力が割当てられ、
位置実際値がそれぞれの位置基準値又は位置基準値の値範囲を逸脱する場合にはエラーと判定し、前記主接触器（Ｋ１，Ｋ２）を制御して前記駆動ユニット（２４−３０）への電力の供給を遮断するように、少なくとも１つの更なる信号が該出力部（９２）の少なくとも１個の安全に関する出力によって発生され、これによって該技術設備を安全な状態に移すこと、を特徴とする監視・制御装置。
【請求項２】
当該監視・制御装置（３８）が夫々少なくとも１個のマイクロコンピュータ（５９，６０）を備えた２個のチャネルを有し、該一方のマイクロコンピュータ（５９）がバスコントローラ（６２）及びバス（ＣＡＮ＿Ｂ）を介して２つのチャネルを有する駆動制御部（５０）の第２のチャネル（５４）に接続されるとともに他のバスコントローラ（６４）及びシリアルバス（ＣＡＮ＿Ａ）として構成されたデータ回線を介して他方のマイクロコンピュータ（６０）が該駆動制御部（５０）の第１のチャネル（５２）に接続されていることを特徴とする請求項１に記載の監視・制御装置。
【請求項３】
当該監視・制御装置（３８）がそれぞれマイクロコンピュータ（５９，６０）を備えた２個のチャネルを有し、該マイクロコンピュータ（５９，６０）が相互のデータ交換のためにデータ交換回線（８８）を介して互いに接続されていることを特徴とする請求項１に記載の監視・制御装置。
【請求項４】
前記駆動制御部（５０）から伝送された位置実際値に識別子が表記され、当該監視・制御装置が有するマイクロコンピュータ（５９，６０）でこの識別子を受信すると割込みが起動され、該位置実際値が所定の期間内に読取られることを特徴とする請求項１に記載の監視・制御装置。
【請求項５】
該それぞれの駆動ユニット（２４−３０）のための前記位置基準値又は位置基準値の値範囲がプログラム可能であることを特徴とする請求項１に記載の監視・制御装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は少なくとも１個の携帯、移動あるいは固定の装置からなり、少なくとも１個の好ましくは中央ないしは非中央制御ユニット及びこれに接続された危険な動作の実施のためのアクチュエータを具備する、高い安全性が要求される技術設備、特に保護装置の中に配設されたマニピュレータの監視のための監視・制御装置に関する。
【０００２】
また本発明は駆動ユニットの少なくとも１個の軸の安全に関する監視、特に少なくとも１個の携帯、移動あるいは固定の装置からなり、少なくとも１個の好ましくは中央ないしは非中央制御ユニット及びこれに接続された危険な動作の実施のためのアクチュエータを有する、高い安全性が要求される技術設備、特に保護装置の中に配設されたマニピュレータの監視のための装置に関する。
【０００３】
また本発明は軸と連結され、解析のために２チャネル駆動制御部に接続された位置実際値検出器を具備する技術設備の、駆動ユニットにより駆動される軸の安全に関する監視のための装置に関する。
【０００４】
最後に本発明は技術設備、特にマニピュレータの空間運動可能なマニピュレータ固有の点、好ましくはロボットフランジ又は工具中心点（TCP）の速度の監視のための装置に関する。
【０００５】
【従来の技術及び発明が解決しようとする課題】
ドイツ特許公開第3902247号明細書では人の近傍でも操作できるようにマニピュレータを構成するために、位置の応答のための実際値検出器及び制御回路を冗長に構成し、さらに冗長なタップの間に信号偏差があれば応答する監視・安全回路を設けることが提案される。
【０００６】
監視・安全回路は冗長な実際値検出器の間の信号偏差に応答するが、外部の安全対策は検査に組み入れられない。また公知の監視・安全回路では、ハンドリングマシンの一連の運動プロセスないしシーケンス、すなわち運動過程に積極的に介入するように構成されていない。
【０００７】
別個のプロセッサ・実際値検出系と、信号比較テスト及び強制運動によるエラー検出とを備えた機械軸の安全に関する監視のための装置がドイツ実用新案第29620592号明細書で知られている。装置は２個の別個の実際値検出系を有し、これらの系は実際値を夫々別個のプロセッサへ送る。プロセッサで実際値と上限値と下限値が比較される。
【０００８】
マニピュレータ駆動装置の制動装置の制御と監視のために、係員がトルクの発生のために制動装置を閉じて駆動装置に電流を送り、制動装置が閉じたときに駆動装置が動くか否かを目視検査することが先行技術で知られている。この方法は不正確であり、各軸ごとに別個に実施しなければならない。
【０００９】
また直交座標空間での所定の点の運動過程を位置と速度に関して監視することはこれまで先行技術で知られていない。
【００１０】
本発明の根底にあるのは、とりわけフレキシブルに使用することができ、かつ技術設備の安全性を高める、技術設備の運動過程の監視のための安全回路を提供する問題である。
【００１１】
また本発明の根底には、高い安全指向の要求のために１チャネル実際値検出センサの実現が可能になるように、駆動ユニットの軸の安全に関する監視のための装置を改良する問題がある。
【００１２】
また本発明の根底には、自動的監視又は検査が簡単にできるように制動装置の制御と監視の装置を改良する問題がある。
【００１３】
また本発明の根底には、技術設備の装置の所定の点の直交座標空間での運動過程を監視する問題がある。
【００１４】
【課題を解決するための手段及び発明の効果】
基本問題の解決のために下記のことを提案する。
−監視・制御装置をセンサないしはアクチュエータに接続し、その状態を解析、処理及び制御し、
−監視・制御装置を制御ユニットに接続し、センサないしはアクチュエータの状態に応じて、技術設備で少なくとも１つの動作を可能にするために少なくとも１個の動作解除信号（release signal）を制御ユニットへ伝送し、
−少なくとも１つの動作の実施を監視・制御装置が監視し、
−エラーの場合は、設備を安全な状態に移す少なくとも１個の別の信号を発生する。
【００１５】
技術設備の危険な動作、特に危険な三次元運動を安全又は人員保護向きに監視するために、監視・制御装置をさらに市販の中央ないしは非中央数値制御に組み入れることができるように構成した。動作の実行にエラーがあれば、設備を安全な状態に移す信号が発生され、いわゆるフエールセーフ（fail−safe）がなされる。
【００１６】
監視・制御装置と既存の中央制御ユニットを場合によっては１本のバスで結合するために、監視・制御装置はセンサないしはアクチュエータを接続した入出力部を有する。
【００１７】
好適な実施形態では監視・制御装置がロボット制御部に接続されている。その場合少なくとも１個のアクチュエータないしは少なくとも１個のセンサが技術設備を安全な状態に移す安全装置として構成されている。特にアクチュエータは所属の駆動制御部を有する駆動ユニットとして、又は技術設備もしくは駆動制御部と電源を結合するコンタクタとして構成されている。
【００１８】
すべてのアクチュエータないしはセンサが安全技術上の要求に合致した状態にあるならば、監視・制御装置の動作解除信号によって動作、例えば一連の運動のプロセスあるいはシーケンス、すなわち運動過程が起動され、この動作を監視・制御装置が好ましくは記憶ないしは設定された値、例えば実行ないしは機能ないしはプラウジビリティ設定値又は運動過程と比較して監視する。
【００１９】
監視・制御装置をフレキシブルに使用することができるように、制御ユニットが少なくとも１本のデータ回線、好ましくはシリアルバスを介して少なくとも１個のアクチュエータないしはセンサ及び監視・制御装置に接続された構成とする。特に制御ユニットと監視・制御装置は実質的に別個の装置として構成されている。
【００２０】
運動過程の安全監視のために本発明に基づき制御ユニットから位置基準値信号が連続的に又は１回だけ少なくとも１個の接続された駆動制御部ないしは監視・制御装置へ、また少なくとも１個の駆動制御部から位置実際値信号が少なくとも制御ユニットへ、好ましくは制御ユニットと監視・制御装置の双方へ伝送され、各駆動制御部の位置実際値信号が、監視・制御装置に記憶され制御ユニットから伝送された駆動装置固有の値ないしは値範囲と比較され、当該の値ないしは値範囲を逸脱するときは別の信号が発生されるように構成した。
【００２１】
なるべく高い安全性を得るために、駆動制御部と監視・制御装置は夫々少なくとも２つのチャネルを有し、これらのチャネルがバスCAN_A 及び別のバス CAN_Bによって互いに接続され、バス CAN_Aを経て制御信号ないしは実際値情報が、バス CAN_Bを経て冗長な実際値情報が伝送される。電気機械式安全スイッチ又は類似のセンサの解析のため及び外部開閉装置又はアクチュエータの制御のために、監視・制御装置は２チャネル入出力部を有し、監視・制御装置を上位の安全バスに接続できるように、少なくとも２個の別のバス接続端子が設けられている。
【００２２】
好適な実施形態においては駆動制御部から伝送された位置実際値に識別子が表記され、監視・制御装置の各マイクロコントローラでこの識別子が受信されると割込みが起動され、所定の期間内に位置実際値が読取られる。また各値ないしは値範囲に監視・制御装置の少なくとも１個の安全に関する信号の出力ないしは入力が割当てられ、これらの出力ないしは入力が受動ないしは能動スイッチ素子例えば電気機械式安全スイッチないしはコンタクタ及び継電器と組合わせられる。
【００２３】
サービス作業の実施及び技術設備の初期設定のために、中央制御ユニットが所定の位置、例えばSAFE位置、SYNC位置に到達するための位置基準値情報を駆動ユニット及び監視・制御装置へ伝送し、その際所定の位置に駆動装置固有の値が割当てられ、この値が監視・制御装置へ伝送され、駆動ユニットの検出された位置実際値と比較されるように構成した。
【００２４】
本発明によれば技術設備にはハードウエア・リミットスイッチ、例えばカムがなく、軸固有の「電子カム」が設定されている。特に駆動ユニット又は駆動軸に関して多数の値範囲が設定され、これらが監視・制御装置によって駆動上特別に監視され、各値ないしは値範囲に監視・制御装置の単数個又は複数個の出力が割当てられる。値ないしは値範囲を軸固有にプログラムすることができる。位置値範囲を超えたとき技術設備を遮断できるように、監視・制御装置の単数個又は複数個の出力がセットされる。
【００２５】
駆動ユニットの少なくとも１個の軸の安全に関する監視のための方法において、少なくとも１個の軸の位置実際値信号を検出して解析し、その際位置実際値信号が２個の互いに移相した周期的信号からなり、信号の夫々の振幅のべき乗の和を作り、値範囲の中の値と比較し、この和が所定の値範囲内になければエラー信号を発生するという方法で問題を解決する。
【００２６】
高い安全性を有する方法においては、少なくとも１個の軸の位置実際値信号を１チャネルで検出して２チャネルで解析し、位置実際値信号が２個の互いに移相した周期的信号からなり、各チャネルで振幅の自乗の和を作り、定値又は値範囲の中の値と比較し、和が所定の値と一致しないか又は値範囲内にないときはエラー信号を発生し、位置実際値信号を別の２チャネル監視・制御装置へ送り、監視・制御装置が駆動制御部の各チャネルで作られた振幅の自乗の和を互いに、ないしは定値又は値範囲の中の値と比較するように構成されている。
【００２７】
位置実際値信号は正弦及び余弦信号からなることが好ましい。その場合各チャネルで実際値信号の、プラウジビリティ制御（plausibility  control）に基づくプラウジビリティ検査が行なわれ、各サンプリング点の出力振幅の自乗の和が所定の値x、すなわちxが0.9≦x≦1.1の範囲にあり、好ましくはx =（sinφ）2+ （ cosφ）2である値ｘと一致するか否かが検査される。ここに云う「プラウジビリティ制御」は、監視対象から得られる信号について、理論上あり得ない値がえられてしまう等、監視対象内に設けたセンサの故障が疑われるような事態が発生していないか否かをチエックすること、を意味する。以下の説明において「プラウジビリティ検査」の用語も出てくるが、本願において「プラウジビリティ制御」と同義である。
【００２８】
エラー回避ないしはエラー克服対策として、回転数又は位置の基準値の方向依存性信号を発生し、回転数又は位置の実際値の方向依存性信号と１又は２チャネルで比較し、１ないし２チャネルで発生された値が監視・制御装置へ送られ、そこで互いに比較されるように構成した。
【００２９】
また各チャネルの間、好ましくはマイクロコンピュータの間で検出された値の内部相互比較が行なわれ、エラーの場合はパルスゲートが発生されるように構成した。
【００３０】
駆動ユニットのための通常のエネルギー供給がない、すなわち、パワーダウンモードのときには停止監視を行ない、各チャネルで実際値を監視し、設定された許容差範囲を超えて実際値が変化するときは「マーカ」をセットし、通常のエネルギー供給の再接続の後に監視・制御装置へ伝送し、記憶された基準値と比較する。
【００３１】
軸と連結され、解析のために２チャネル駆動制御部に接続された位置実際値検出器を具備する技術設備の、駆動ユニットにより駆動される軸の安全に関する監視のための配列構成ないし装置において、位置実際値検出器が１チャンネルに構成され、少なくとも２個の出力を有し、軸の回転の際にこれらの出力から２個の互いに移相した周期的信号を取り出すことができ、各出力が駆動制御部の夫々一方のチャネルに接続され、受信した実際値信号の比較のために駆動制御部の個々のチャネルが一方では上位の中央又は非中央制御ユニットと、他方では２チャネル監視・制御装置に接続されることによって問題を解決する。
【００３２】
駆動装置の駆動ユニットが時間値の検出を許さない場合は、位置実際値検出器に接続された２チャネル駆動制御部を監視・制御装置の一体の構成部分として又は独立のユニットとして駆動ユニットから独立に駆動ユニットに前置した構成とする。
【００３３】
実際値検出器を実際値信号のための２個のアナログ出力と基準信号のための入力を有するレゾルバとして構成し、これらの出力を夫々ＡＤ変換器を介して駆動制御部の１つのチャネルに接続し、基準信号のための入力を基準発生器に接続する。この基準発生器はコントロールユニットを介してチャネルの制御ユニットに接続することが好ましい。
【００３４】
実際値検出の制御のために第２のチャネルのＡＤ変換器を第１の接続端子により信号処理装置の割込み入力に接続し、第１チャネルのＡＤ変換器を第２の接続端子によりドライバモジュールの入力に接続し、ドライバモジュールの出力をマイクロコントローラの割込み入力に接続する。
【００３５】
レゾルバの駆動軸と検出器軸が１チャネルの場合、機械的分離のエラーを抑制するために、駆動ユニットを被駆動電気駆動系の中間回路、好ましくは交流サーボモータとして実現した構成とする。
【００３６】
技術設備、例えばマニピュレータに配属され、定格トルク（ MNENN）を有する制動装置の制御と監視のための方法において、自動監視又は検査を可能にするために、停止トルクに相当する駆動ユニットの停止電流（IH）を制動装置の開放時に測定して記憶し、制動装置の閉鎖時に制動装置の定格トルク（ MNENN）に等しいか又はこれより小さいトルクを制動装置に負荷する軸固有の電流値（ ITEST）を駆動ユニットへ送り、同時に駆動装置の停止を監視するように構成した。
【００３７】
本発明に係る方法によって制動装置の自動監視又は検査が行なわれる。制動装置を閉じて通電したときに駆動装置の停止が監視される。軸又は駆動装置が運動すれば、直ちに停止監視により制動装置の欠陥を指示するエラー信号が発生される。制動装置を閉じてすべての駆動装置にある電流値を働かせることにより、特にマニピュレータのすべての制動装置を同時に監視することが可能である。
【００３８】
電流値（ITEST ）は関係式
ITEST = IH± IOFFSET
により、測定された停止電流（IH）とオフセット電流（IOFFSET ）から得られることが好ましい。ここに
IOFFSET = x・IN
0．6≦x≦1．0、 好ましくは x = 0．8
INは制動装置の最大定格トルクに相当する定格トルクを発生する電流
【００３９】
検査される軸又は検査される駆動装置が重力が負荷された軸であるならば、制動装置に例えばロボットアームの重力に基づきあるトルクが負荷される。これは停止トルクに相当する。切断装置のテストのために、重力によって生じるトルクのほかにその方向に作用するトルクを発生する電流値を駆動装置に働かせる。
【００４０】
別の実施形態によれば、電流値ITEST が駆動装置に定格トルクの60ないし90％、好ましくは定格トルクの80％のトルクを生じるように構成されている。
【００４１】
また重力の荷重がない軸の場合は、制動装置が外部切換え接点を介して解除され、外部補助エネルギーで駆動されるように構成した。この操作方式は非常の場合にだけ適用される。その場合は上位の制御ユニットないしは監視装置を遮断することができる。この状態で例えば挟まった人を解放するために、ロボット機構を手操作で動かすことができる。
【００４２】
製造の故障を取り除くために、重力がまったく又はおおむね負荷されない軸群例えば頭部軸のグループの制動装置を個別に解除して、重力が負荷される残りの軸の停止を監視するように構成した。この操作方式は例えば電源の故障の後に溶接ロボットが焼き付いた溶接線により加工品の到達しにくい場所に引っ掛かっている場合に好都合である。この場合は重力が負荷されない軸のグループで制動装置をゆるめて、軸を手操作で見やすい位置へ動かすことができる。
【００４３】
好適な方法においては制動装置の電源が外部監視・制御装置を経て接続され、制動装置に接続された駆動制御部が１つの軸の制動装置を開放し又はゆるめる信号を発生する。それによって高い安全性とともに、接続された多数のモータ又はブレーキの融通性も高められる。
【００４４】
また本発明は技術設備特にマニピュレータの、空間運動可能な点の速度の監視方法に関する。
【００４５】
所定の点の直交座標空間での運動過程を監視することができるように、駆動ユニットの位置実際値信号を検出し、位置実際値信号から変換操作により点の直交座標を計算し、計算された直交座標と記憶された値ないしは値範囲を比較して、変換された直交座標が値ないしは値範囲を超えたならば、装置の停止信号を発生する。
【００４６】
好適な本発明の装置においてはマニピュレータ固有の点に関して安全減速速度の検査を行ない、第１のサンプリング時期の第１の直交座標セットを第２のサンプリング時期の第２の直交座標セットから引き算することにより差分ベクトルを算出し、第１及び第２のサンプリング時期の間の時間差に関して点の直交座標速度を算定し、算出された速度が所定の最大速度を超えるときは駆動ユニットの停止信号を発生する。
【００４７】
別の好適な本発明の装置ではいわゆるブレーキランプ監視が行なわれ、装置の停止信号の発信の後に点の初期速度を検出して記憶し、ある期間の後に実際速度を検出して初期速度と比較し、この期間の後の実際速度が初期速度に等しいか又はこれより大きければ、装置の即時停止信号を発生する。
【００４８】
その他の実施形態は従属請求項で明らかである。本発明の特異な発明的構成の少なくとも一部が従属請求項に見られる
【００４９】
本発明のその他の細部、利点及び特徴は請求項及び請求項に見られる特徴−単独でないしは組合わせとして−だけでなく、下記の図の説明に見られる実施例からも明らかである。
【００５０】
【発明の実施の形態】
図１に高い安全性が要求される技術設備10の概略図を示す。上記の実施例で技術設備10は、携帯、移動あるいは固定の装置としてのマニピュレータ12を備える。マニピュレータ12は所属の保護ドア20、22を経て装着することができる２つの装着場所 16、18とともに安全装置例えば保護室14の中に配設されている。マニピュレータ12は以下でロボット12と称する。
【００５１】
ここで説明する実施例でロボット12は少なくとも４個の軸 23、25、27、29の周りで回転することができる。各軸23、25、27、29にアクチュエータ 24、26、28、30が配属される。本実施例ではアクチュエータを駆動ユニット 24、26、28、30と称する。もちろんアクチュエータは駆動ユニット 24、26、28、30にエネルギーを供給するコンタクタであることも可能である。例えば停電の後にロボット12を同期化することができるように、保護室14の中に同期点又は接点32が設けられている。
【００５２】
ロボット12が装着場所18の上の位置にあるならば、装着場所16に装着するために保護ドア20を開くことができる。この段階の間にロボット12の位置が下記のように監視される。その場合ロボット12が装着場所18の上の位置を所定の安全範囲内で退出すれば遮断が行なわれるように、センサ、例えば保護ドア20の切換え接点、とロボット12の位置実際値信号が組合わせられている。
【００５３】
中央ないしは非中央制御ユニット、例えば、制御ユニットをなすロボット制御部36、駆動ユニット24ないし30及び監視・制御装置38（以下「安全コントローラ38」と称する）からなる制御系34を図２に示す。ロボット制御部36はインタフェース40を介して手動プログラム装置46に、またバス CAN_Aを介して駆動ユニット24ないし30及び安全コントローラ38に１本の綱のように接続される。また安全コントローラ38は接続線44を介して手動プログラム装置46に接続される。手動プログラム装置46はロボット制御部36のプログラミングのために使用することもでき、そのために安全コントローラ38のインタフェース42はバスCAN_C及びCANインタフェース40を介してロボット制御部36に接続される。
【００５４】
駆動ユニット24ないし30は同じ構造を有する。これを駆動ユニット24の例で説明する。位置実際値信号の検出のために駆動ユニット24はレゾルバ48を有する。レゾルバ48は冗長に構成された駆動制御部50に接続される。駆動制御部50は２つのチャネル又は回路 52、54を有し、各チャネルは独自のCANコントローラ 56、58を包含する。CANコントローラ56は操作のためのバスCAN_A によって互いに接続される。バス CAN_Aは駆動制御部50を一方ではロボット制御部36に、他方では安全コントローラ38に接続する。バスコントローラであるCANコントローラ58は別のバスCAN_B で互いに接続され、バス CAN_Bはコントローラ58を安全コントローラ38に接続する。また駆動ユニット24はモータ、出力部、場合によっては変速装置及びブレーキユニット（図示せず ）を具備する。
【００５５】
安全コントローラ38も２チャネルに構成され、各チャネルに独立のマイクロコンピュータ59、60を有する。マイクロコンピュータ 59、60は夫々CANコントローラ 62、64を介してバスCAN_B又はバスCAN_Aに接続される。またマイクロコンピュータ59、60 は安全入力及び出力を接続し又は読み取るために、入出力部66に接続される。入出力部66の安全入力及び出力は、例えば保護室14の保護ドア20、22 の接点に接続される。その他のデータ交換のためにマイクロコンピュータ59、60 を別のCANコントローラ 68、70及びインタフェース72を経て上位の安全バスと結合することができる。
【００５６】
ロボット制御部36はすべての中央開ループ及び閉ループ制御の課題を受持ち、安全技術的な見方に支配されない。特にロボット制御部36は安全コントロ−ラ38から実質的に独立であるから、運転に関するプロセスないしシーケンスは別個の装置で進行する。安全コントローラは入出力部66を介して保護ドア20、22 のセンサ又は切換え接点に、またバス CAN_A及びCAN_Bを介してアクチュエータ又は駆動ユニット 24、26、28、30に接続され、その状態を解析し、処理し、制御する。保護ドア 20、22の切換え接点ないしは駆動ユニット 24、26、28、30の状態に応じて安全コントローラは少なくとも１個の動作解除信号をロボット制御部36へ伝送するから、ロボット12は動作を行なうことができる。続いて安全コントローラの少なくとも１つの動作の実行が連続的に監視される。エラーの場合は、設備10を安全な状態へ移す少なくとも１個の別の信号が発生される。
【００５７】
別の信号とは“STOP-1”機能である。即ち制御された停止がこの信号によって開始される。停止を実現し、停止に達したときに初めてエネルギー供給を中断するために、駆動ユニットへのエネルギー供給が保持される。
【００５８】
ロボット制御部36で夫々の駆動ユニット24ないし30のすべての位置基準値が計算され、バス CAN_Aを経て駆動ユニット24ないし30へ順次伝送される。駆動ユニット24ないし30は夫々位置実際値をバスCAN_Bを経てロボット制御部へ返送する。これに対してロボット制御部36でスリップ及び引きずり距離等の値を計算することができる。
【００５９】
位置実際値の検出のために、モータ軸によりモータに機械的に直結されたレゾルバ48が設けられている。レゾルバ48の出力にアナログ実際値信号があり、駆動制御部50でデジタル化される。レゾルバ48は軸固有のプロセス制御のための情報を駆動制御部50へ送出する。特にモータを駆動する出力部のための電流制御が駆動制御部50によって得られる。しかし実際値情報はバス CAN_Aを経てロボット制御部36へ伝送されるだけでなく、バスCAN_A及びバスCAN_Bを経て安全コントローラ38にも冗長に伝送され、そこで監視される。
【００６０】
図３に安全コントローラ38の詳細な構造を示す。安全コントローラ38は外部電源装置74からエネルギーを供給される。電源装置74に接続した独自の電源部76、78が各マイクロコンピュータ59、60に配属される。CANコントローラ 62、64はトランシーバ80、82 を介してバスCAN_A及びCAN_Bに接続される。またマイクロコンピュータ59、60が別のCANコントローラ68、70及びトランシーバ 84、86を介して上位の安全バスに接続される。手動プログラム装置46のためのインタフェース42はバスCAN_C を経て一方ではロボット制御部36に、他方では手動プログラム装置46に接続され、その際バス CAN_Cは安全コントローラ38の内部で実質的に貫通接続されている。
【００６１】
マイクロコンピュータ59、60はデータ交換回線88を介して互いに接続される。このようにして個々のチャネルで受信された実際値を互いに比較することができる。
【００６２】
手動プログラム装置46の代案として、安全コントローラ38ないしは制御装置36を制御盤（図示せず）で操作することもできる。制御盤のインタフェースは安全コントローラ38の構成部分であり、マイクロコンピュータ59、60 の少なくとも一方に接続される。
【００６３】
入出力ユニット66は出力ないし出力部92と入力ないし入力部94からなる。出力部はマイクロコンピュータ59、60により駆動されるスイッチトランジスタを具備する。入力部94は安全スイッチ装置、例えば非常用遮断器又はその他の切換え接点を接続することができる入力部を具備する。安全スイッチ装置は第１及び第２のマイクロコンピュータ59、60の夫々一方の入力の間又は第１及び第２のマイクロコンピュータ59、60の出力の間に接続される。入力は各マイクロコンピュータ59、60の読取り入力であり、出力は夫々マイクロコンピュータ59、60の書込み出力である。
動作解除信号の接続のために、出力部92にアクチュエータ、例えばコンタクタを接続するができる。入力部94はセンサ、例えば切換え接点、非常用遮断器、近接スイッチ等を接続するために設けられている。
【００６４】
所属の制御部36及び駆動ユニット24ないし30による技術設備12の制御は、原則として監視・制御装置38の出力に直結したコンタクタ又は主接触器K1、K2 を介して行なわれる。
【００６５】
代案として図４の構成により制御を行なうこともできる。この場合は監視・制御装置38の出力を節減することができる。
【００６６】
図４に駆動ユニット24ないし30の出力ユニットの制御の単結線図を示す。なお保護ドア 20、22の監視用切換え接点は第１の安全継電器モジュール96に接続される。安全コントローラ38の出力は第２の安全継電器モジュール98に接続される。安全継電器モジュールの出力は互いに結合され、電力スイッチ100の主接触器 K1、K2を制御する。主接触器 K1、K2を経て駆動ユニットにエネルギーが供給される。主接触器K1、K2の制御は安全コントローラ38又は保護ドア20、22 により又は２つの信号の組合わせによって行なわれる。
【００６７】
ロボット制御部36は全体として24個の駆動ユニットを制御し、その際安全コントローラ38はこの数の軸を監視することができる。
【００６８】
安全コントローラ38はバスCAN_A 及びCAN_B から夫々の駆動ユニット24ないし30の位置実際値を受領する。２つのバスは冗長な位置実際値検出のために利用される。バスCAN_Aはロボット制御部36のための操作用バスであり、バスCAN_B は冗長を得るために系に組み入れられた補助伝送区間である。この場合は２つの独立の伝送媒体が取扱われるから、２つの伝送区間の一方でハードウエア・エラーを発見するには二次エラー発生時間が決定的である。バスCAN_A 又はCAN_Bを経て伝送されるすべての情報は別個のCANコントローラ 62、64で処理され、夫々のマイクロコンピュータ59、60に提供される。上位のマイクロコンピュータ59、60も減結合（デカップリング）されている。従って取扱われるのはまったく冗長な系である。このことは伝送媒体にも受信された情報の処理にも関係する。
【００６９】
すべての安全関連信号は入力部94の入力に印加される。こうして安全コントローラ38は監視課題のほかにセンサ、例えば安全スイッチの解析も受け持つ。出力部92によってアクチュエータ、例えば外部の電気機械式継電器組合わせを駆動することができる。そこでアクチュエータは外部信号、例えば保護ドア信号と組合わされ、又は安全コントローラ38の出力がコンタクタK1、K2 に直結される。
【００７０】
図５にレゾルバ48を含む駆動制御部50のブロック構成図を示す。駆動制御部50は冗長な回路52及び54からなる。回路52はマイクロコンピュータ102 を有する。マイクロコンピュータ102は一体の構成部分として CANコントーラ56及びチップを有する。CANコントローラ56はトランシーバ104 を介して、データ回線CAN_A_H及びCAN_A_LからなるバスCAN_Ａに接続される。またマイクロコンピュータ102 は内部SRAM 106、IO制御部108及びIR処理部110を有し、バス 112を経てアナログデジタル（ＡＤ）変換器に接続される。アナログデジタル変換器114の出力116 は一方ではマイクロコンピュータ 102に直結され、他方では分周器117を経てマイクロコンピュータ 102に接続される。
【００７１】
第２のチャネル54は内部SRAM記憶装置と内部IR処理部124を含む第１の信号処理装置120を有する。第１の信号処理装置120はDPRAM126を介して第２の信号処理装置128に接続される。一方第２の信号処置装置128はDPRAM130を介してマイクロコンピュータ102と結合される。信号処理装置128はCANコントローラ58を制御する制御部132に接続される。CANコントローラ58はトランシーバ134を経て、線路CAN_B_H 及びCAN_B_L からなるバスCAN_B に接続される。
【００７２】
信号処理装置120はバスを経て一方ではアナログデジタル変換器136に、他方ではタイマ、計数装置及び状態発生器を含む制御装置138に接続される。また制御装置138はバスを経てマイクロコンピュータ102に接続される。また制御装置138はバスを経て、レゾルバ48の基準信号を発生する周波数発生器140 に接続される。そのために周波数発生器140の出力はレゾルバの入力部142に接続される。最後に制御装置138 は、信号SOC変換開始がある別の出力を有する。この出力はアナログデジタル変換器114、136 の入力に接続される。
【００７３】
レゾルバは正弦信号を取り出せる第１の出力部144を有する。第１の出力144 は増幅器を介してアナログデジタル変換器114、136（以下、「AD変換器」とも称する）の入力部に夫々接続される。またレゾルバは余弦信号を取り出せる第２の出力部146を有する。第２の出力部146は増幅器を介してアナログデジタル変換器114、136の入力部に夫々接続される。レゾルバ48は軸148 を介してモータ 150と結合される。その場合、レゾルバ48はモータの位相に同期するように調整されている。
【００７４】
図２に関して、駆動制御部50は独立のユニットであって、安全コントローラ38は駆動制御部50に全く影響を及ぼさないことを付言しなければならない。駆動制御部50がエラーを検出すると、このメッセージが安全コントローラ38へ直接報告され、又は駆動制御部50でパルスゲートが作動される。即ち実際値情報の送信が中止される。安全コントローラ38は実際値信号に対する時間予測回路を有するから、この実際値信号がなければ主接触器K1及びK2が安全コントローラ38によって遮断され、こうして設備が安全な状態へ移される。
【００７５】
入力部142を経てレゾルバ48に基準信号を送ることによって、実際値の発生が行なわれる。基準信号は制御装置138により制御される基準周波数発生器140で発生される。制御装置138には、計数段及びこれに接続された状態発生器のためのパルスを発生するタイマが組み入れられている。基準電圧の頂点にアナログデジタル変換器114、136のための信号SOC（変換開始）がある。レゾルバ48は基準信号が送られるコイルのほかに、好ましくはモータ軸と結合され、正弦及び余弦電圧を取り出すことができる２個の別のコイルを有する。
【００７６】
基準コイルに対して基準信号が設定される。基準信号は正弦及び余弦コイルに誘導結合される。正弦又は余弦コイルの位置に応じて出力部144、146で一定の振幅と周波数の正弦又は余弦信号が得られる。ロータの位置によっては基準信号と正弦又は余弦信号の間に移相（0・・・360°）が生じる。基準信号又は基準電圧の頂点で正弦又は余弦信号がサンプリングされ、２つの振幅の比からレゾルバの１回転の間の実際位置が計算される。12ビットの分解能で０ないし360°の回転角φは０ないし4096増分の実際値に相当する。最大トルクを送出するために、レゾルバ48をモータの位相に同期して調整しなければならない。即ち位相角φ＝０に調整しなければならない。位相角が大きくなると、モータのトルクが減少し、φ＝＋90°及びφ＝−90°でちょうどゼロである。位相角がφ＝±90°を超えると、作用方向の逆転が生じる。即ち正の回転数設定値がモータを負の方向へ回転させる。こうして制御回路が不安定状態に陥り、モータは制御不能となる。
【００７７】
このような作用方向の逆転を認識するために、モータ制御部に回転数プラウジビリティ検査が設けられる。その場合回転数又は位置基準値の符号を絶えず回転数又は位置実際値の符号と比較する。２つの符号が所定の期間にわたり相反するならば、作用方向の逆転が起こっていると想定することができる。操作のための制御振動で監視が応答しないことを防止するために、所定の期間にわたる観察が必要である。
【００７８】
レゾルバ48の出力144、148 に印加される正弦又は余弦信号はアナログデジタル変換器140、136へ送られる。変換が行なわれた後、アナログデジタル変換器 136は信号EOC（変換終了）を送出する。それによって信号処理装置 120の操作系のサイクルが起動される。操作系のサイクルが規定どおりに進行するときだけ、当該の位置実際値がDPRAM126を経て信号処理装置128へ転送される。信号処理装置 128はこの実際値を制御部132、CANコントローラ38及びトランシーバ134 を経てバスCAN_Bへ伝送する。実際値はバスCAN_Bを経て安全コントローラ38へ伝送される。操作系のサイクルが規定どおりに起動されないときは、信号“STOP-0" 即ち安全な操作停止がバスCAN_Bを経て安全コントローラ38へ送られる。エラーメッセージ“STOP-0”は駆動ユニットへのエネルギー供給の即時遮断により設備を停止させる。これは不制御停止とも呼ばれる。
【００７９】
ＡＤ変換器 114は入力信号を首尾よく変換した後、信号EOCを送出する。この信号はタイマ118を経てマイクロコンピュータ102の割込み入力へ送られる。周波数標準、好ましくは7．5kHからの基準周波数の偏り又は、例えば中央タイマの停電の場合の基準周波数の完全な消失を確かめるために、到着した２つのEOC 割込みの間の時間を内部で測定する。この場合パルスゲートが作動され、信号“STOP-0”がバスCAN_A を経て安全コントローラ38へ送られる。
【００８０】
信号処理装置122 が信号EOC を受領すると、直ちに内部タイマが起動される。内部タイマは操作系のサイクル管理部で低減され、計数状態が値ゼロに達すると、即ち信号 EOCが消滅すると応答する。この場合もパルスゲートが作動する。パルスゲートによってモータは「トルクなし」に切換えられる。ウォッチドッグが応答するとハードウエア・テストが起動され、安全コントローラ38が設備12を安全な状態へ移す。
【００８１】
またエラーの認識及びエラーの処理のための多数の対策が設けられている。アナログデジタル変換器114、136、基準周波数発生器 140及びレゾルバ48の出力144、146 の検査のためにプラウジビリティ検査が行なわれる。プラウジビリティ検査はレゾルバ48の正弦及び余弦信号の２つの振幅について、振幅の自乗の和（sinφ）2＋（cosφ）2が理想的には和ｘ、すなわち和xが0．9≦x≦1．1の範囲にあり、好ましくはx=1となり和xとなるようにして行なう。信号線の故障、例えば雑音によるプラウジビリティ検査の応答を抑制するために、和ｘに所定の許容差範囲を設ける。プラウジビリティ検査の前提は正弦及び余弦信号の正規化である。この信号は一旦確定されると、その後はもはや変更されない。
【００８２】
正弦及び余弦信号の振幅にプラウジビリティ（plausibility）がなければ、各チャネル 52、54が別個に信号“STOP-0”を安全コントローラ38へ送る。実際値の形成とプラウジビリティ検査はマイクロコンピュータ 102、120で冗長に行なわれ、マイクロコンピュータ102 は冗長な検出率で動作する。32サイクルごとに１回の検出は32×132μs=4．2ms（最大6000回転／分で10ms/回転）に相当する。マイクロコンピュータ102は実際値をバス CAN_Aを経て、マイクロコンピュータ 120は実際値を信号処理装置及びバスCAN_Bを経て安全コントローラ38へ送る。安全コントローラ38は安全比較器として受信した値を検査する。同時にマイクロコンピュータ102及び 120、128は DPRAM 130を介して内部相互比較を行ない、エラーの場合はモータブレーキを操作し、パルスゲートを作動し、バスCAN_A及びCAN_Bxを介して信号“STOP-0”を伝送することにより反応する。ここで、パルスゲートの作動は安全コントローラ38より迅速にモータを停止することを付言しておこう。
【００８３】
検出器とモータ軸の間の静的不整合の監視とレゾルバ48の誤調整の検査及びレゾルバ48とモータ軸148 の間の動的非制御スリップの検査のために、回転数プラウジビリティ検査が行なわれる。回転数プラウジビリティ検査もマイクロコンピュータ 102、120で冗長に行なわれる。監視が応答する場合、２つのマイクロコンピュータ 102、120は互いに独立に信号“STOP-0”をバスCAN_A及びCAN_Bを経て安全コントローラ38へ送る。回転数プラウジビリティ検査は、位置及び回転数制御が働いているときだけ、即ち接続された駆動装置が正常運転の場合にだけ動作することができる。
【００８４】
いわゆる「パワーダウンモード」即ち駆動装置が使用電圧に接続していない場合は、マイクロコンピュータ 102、120が駆動装置の実際値を検出して停止検査を行なう。所定の許容差範囲を超えて実際値が変化するときは、マイクロコンピュータでマーカ「機械非同期」がセットされる。再始動の後に２つのマーカが安全コントローラ38へ送られて比較される。
【００８５】
また駆動装置の作用方向の逆転を認識するために、回転数プラウジビリティ検査が行なわれる。その場合回転数又は位置の基準値の符号が回転数又は位置の実際値の符号と絶えず比較される。２つの符号が所定の期間にわたり相反するならば、逆の作用方向が現われていると想定することができる。運転に関連するハンティングで監視が応答することを防止するには、所定の期間にわたる観察が不可欠である。許容ハンティングを規定しなければならない。
【００８６】
レゾルバ48とモータ軸148の間の±90°未満の移相の場合及びモータ軸148 の上のレゾルバの動的非制御スリップの場合に、信号処理装置 128及びマイクロコンピュータ 102で２チャネル引きずり距離監視が応答する。まず位置実際値と位置基準値の差（制御偏差）が作られる。検出された制御偏差が許容範囲内にあるか否かの検査が続いて行なわれる。許容範囲を超えるときは、マイクロコンピュータ102と信号処理装置 128が安全コントローラ38の信号“STOP-0”を要求する。好ましくは2msの位置制御クロックごとに引きずり距離検査が行なわれる。
【００８７】
またマイクロコンピュータ102 及びマイクロコンピュータ120 に内部エラー発見機構がある。ＡＤ変換器114の信号EOCが２つの割込み入力 152、154を経てマイクロコンピュータ102へ送られる。入力 152には信号EOCが直接送られるが、入力部154は好ましくは分周比1:32のプログラマブル分周器118を通った上で信号 EOCを受領する。正常運転の場合は入力154だけが働く。分周器モジュール118は「パワーダウンモード」で切断されているから、「パワーダウンモード」では割込み入力 152だけが働く。正常運転では２つの操作系通過の間の時間が好ましくは2msで、２つのEOC信号の間の好ましくは 4msの時間より小さい。信号EOCが割込み入力部154に印加されると、割込みルーチンが作動される。このルーチンで次の動作が実行される。まず割込みマーカをセットし、次にカウンタ（値範囲0・・・2000ms）を読出し、ファイルし、続いてバス 112から送られるデジタル値を読取り、記憶する。事前に割込みがあったか否かを検査するために、操作系は通過のつど割込みマーカをテストする。割込みが行なわれていなければ、操作系サイクルカウンタが増加されるだけである。これに対して割込みが行なわれているときは、タイマ・カウンタ（現在）−タイマ・カウンタ（先行）の差及び操作系サイクル数から２つの信号 EOCの間の正確な時間、それとともに周波数が決定される。さらにファイルされた変換デジタル値が処理され、操作系サイクルカウンタと割込みマーカがゼロにセットされる。所定の回数の操作系通過の後に割込みが記録されなければハードウエア・エラーが中央タイマ 138にあると想定される。
【００８８】
マイクロコンピュータ120では信号EOCの周波数検査が行なわれないで、信号EOCの有無の検査だけがソフトウエア・ウォッチドッグにより行なわれる。信号EOCがマイクロコンピュータ120に到着すると割込みが行なわれるから、内部タイマの計数が増加する。内部タイマは操作系のサイクル管理部（割込み待機）で低減され、タイマがゼロの状態になると、即ち信号 EOCが消失すると、応答する。この場合はパルスゲートが作動される。
【００８９】
パルスゲートが作動すると、IGBT出力部の制御入力が取消されるから、駆動装置が「トルクなし」になる。この制御入力のためにハードウエアでチャネル52とチャネル54の制御信号に論理操作が行なわれる。チャネル52、54 の制御信号が取消されると、IGBTにパルスゲートがセットされる。パルスゲートの制御は２チャネルであり、ハードウエアの論理操作の後に初めて１チャネルになる。
【００９０】
安全コントローラ38による実際値の受領について次のことに触れておかなければならない。安全コントローラ38の冗長な実際値受領のための第１のチャネルとして操作用のバス CAN_Aが使用される。このバスで実際値信号のほかに操作関連データも伝送される。伝送速度は1 Mbit/s以下である。バスは92％まで読み出すことができるから、より高いレベルのデータビッツの保護は行なわれない。安全コントーラ38は到来する情報から実際値信号をふるい分ける。
【００９１】
第２のチャネルは実質的に分離された補助バス CAN_Bである。その機能は、実際値検出のために駆動ユニットの第２のチャネル54を安全コントローラ38の第２のチャネルに接続することである。駆動制御部50のチャネル54で発生されたデータはチャネル52にかかわりなくバスCAN_B に印加される。こうして安全コントローラ38へ冗長な独立のデータ伝送が行なわれる。安全コントローラ38でこのデータは別個のトランシーバ 80、82によって受領され、別個のCANコントローラ 62、64によって処理される。
【００９２】
情報がトランシーバ80、82 に印加されると、これが CANコントローラ62、64 に報告される。CANコントローラ 60、64は、この情報が実際値情報として表記した識別子で始まるか否かを判定する。この識別子で始まる場合は、それがマイクロコンピュータ59、60に割込みを起動する。マイクロコンピュータ59、60が所定の時間内にすべての実際値を受領しているならば、変換ルーチンがスタートする。この過程は２つのマイクロコンピュータ59、60 で独立に行なわれる。
【００９３】
ロボット制御部36ないしは安全コントローラ38は手動プログラム装置46によってプログラムされる。プログラム作成命令を手動プログラム装置46からロボット制御部36へ伝送するために、手動プログラム装置46はたわみ線44を経て安全コントローラ38及びバスCAN_C に接続される。このバスは安全コントーラ38の内部で貫通接続しており、内部部品例えば安全コントローラ38のマイクロコンピュータとの電気的結合がない。
【００９４】
手動プログラム装置46は操作のための機能キーのほかに安全に関するスイッチ又は押ボタン、例えば非常用遮断器、モード選択スイッチ、許可ボタン、オン・ボタン及びオフ・ボタンを具備する。手動プログラム装置46の安全関連スイッチ素子の構成を図６ないし９に基づいて説明する。
【００９５】
手動プログラム装置46に組み入れられた非常用遮断器156 （図６）は、リード線44に強い負担がかかるので短絡を監視する。短絡の認識はスイッチ素子158、160が発生するパルスにより夫々１つのチャネル162、164で実行される。チャネル又は線路162、164はスイッチ素子158、160を経て手動プログラム装置46の中で外部電源電圧に接続される。線路162、164は安全コントローラ38の入力部168、170に接続される。スイッチ素子は安全コントローラ38の半導体群内の線路のテストのためのクロックパルスを発生する。安全コントーラ38は発生されたクロックパルスに対して時間予測挙動を有する。チャネル 162、164にクロックパルスが送られると、その他のすべての入力部168、170の入力状態変化が監視される。手動プログラム装置46が非常用チャネル 162、164を経て夫々のパルスを送り、時間予測がセットされた上で、初めて出力の解放が許される。
【００９６】
また手動プログラム装置46はキー操作式スイッチとして構成されたモード選択スイッチ 172（図７）を有する。手動プログラム装置はクロックパルス発生器174により非常装置のクロックパルスと異なるクロックパルスを発生する。モード選択スイッチ 172の位置についてプラウジビリティ検査が行なわれる。ここで説明する実施例でモード選択スイッチは３つのメーク接点 176、178、180を有し、モード選択スイッチ 172の１つのメーク接点は常時閉、２つのメーク接点は常時開でなければならない。モード選択スイッチの１つの位置だけが受け入れられる。全体として３種類の機能をセットすることができる。その場合、機能“AUTO”（自動）は閉じた保護格子（20、22）によってのみ可能である。機能“EINRICHTEN”（準備）は後述のように安全減速速度を監視し、機能“AUTO-TEST”（自動−テスト）は許可ボタン182 によってのみ実行することができる。
【００９７】
図８に許可ボタン 182の機能の原理を示す。許可ボタンはクロックパルス発生器 184を経て電源電圧166に接続される。安全コントローラ38の入力186 はクロックパルス発生器
184のクロックパルスを監視する。許可ボタンは１チャネル３段ボタンとして構成されている。その場合中間段（EIN［入］）だけが利用される。
【００９８】
駆動装置は手動プログラム装置46の市販の非安全向き押ボタンスイッチ188 により接続される。情報がCAN_Cを経てロボット制御部36に読取られ、バスCAN_Aを経て安全コントローラ38に報告される。機能“ANTRIEB AUS”（駆動、切）が開路機能をもつ市販の押ボタンスイッチにより起動される。この機能は任意の多数の場所から行なってよい。情報が安全コントローラ38に読取られ、バスCAN _Aを経てロボット制御部に報告される。
【００９９】
前述のように安全コントローラ38ないしはロボット制御部36を手動プログラム装置46によりプログラムすることができる。手動プログラム装置には操作又はユーザー・ソフトウエアが納められている。取扱い者は完全にパラメータ設定を行なった上で受領試験を行ない、安全関連機能をテストしなければならない。不変の安全関連データは基本パラメータ設定としてロードしなければならないものであって、パーソナルコンピュータにより直列インタフェースを経てロードすることができる。ロードされたすべてのデータはユーザーによる確認のために別のフォーマットと表示で安全コントローラ38からパーソナルコンピュータへ返送される。ユーザーは受領したデータを確認しなければならない。
【０１００】
先行技術によれば、マニピュレータは夫々の安全範囲を保証する機械式カムを有する。このカムはロボット軸上に直接あるか、又はリニアモータが扱われる場合はこのカムが例えば軌道の末端のリミットスイッチとして構成される。
【０１０１】
本発明によれば、軸の周りのロボット12の運動が「電子カム」によって保護される構成になっている。その場合「電子カム」は値範囲として安全コントローラ38のマイクロコンピュータ59、60の記憶装置に記憶されており、この値範囲にロボットの所定の運動範囲が割当てられ、記憶された値がバスCAN_A 及びCAN_Bにより伝送された位置実際値と比較される。駆動装置即ち位置実際値が電子カムの所定の範囲内にある限り、これは適正な機能と規定される。監視される軸は基準位置にある。電子カム即ち記憶された値範囲を逸脱する場合は軸が基準位置から出ており、安全コントローラ38がこの値範囲に割当てられた出力を取消す。この出力は主接触器K1、K2に直接作用することができ、又は継電器組合わせを経て外部保護装置、例えば保護ドア接点20、22 と組合わせることができる。
【０１０２】
係員が保護室4 に立入りたいと思うときは、安全位置又は“SAFE  POSITION”を始動する。この場合はすべての軸23ないし29の停止が監視される。安全位置を選択し又は自動的に要求することができ、ロボット制御部36が要求する場合は監視・制御装置によって自動的にこの機能の積極的な監視が行なわれる。
【０１０３】
ロボット制御部36が安全位置を要求すると、ロボット12は所  定の位置へ移動する。すべての駆動ユニット24ないし30又はすべての軸23ないし29が停止すると、安全コントローラ38が出力部92に出力をセットする。この出力は、例えば保護ドア 20、22の安全接点と組合わされている。ロボット12の停止が監視されるから、エラーメッセージで遮断が行なわれることなく、保護ドア 20、22を開くことができる。駆動ユニット24ないし30の１つ又は軸の１つが監視位置を退出すると、安全コントローラ38は予めセットされた出力を取消す。この出力はＥＮ［欧州規格]954-1による制御カテゴリ３により外部で保護ドア 20、22と組合わされる。単数個又は複数個の駆動ユニット24ないし30が運動する間に保護ドア20、22 が開かれると、安全コントーラ38の出力が低下し、主接触器K1及びK2はそれ以上通電されない。
【０１０４】
図１０に安全位置（SAFE POSITION ）の設定のための順序段階を表示する流れ図を示す。安全コントローラ80のマイクロコンピュータ59、60 の場合、プログラムの流れは冗長である。マイクロコンピュータ59（CPU 1）のプログラムの流れに基づいて説明する。第１ステップ段階192でロボット制御部36がバスCAN_A を経て安全位置を要求する。バスCAN_A、 CAN_Bにより入力部194、194'を経て夫々のマイクロコンピュータ59、60に冗長な位置実際値が送られる。ステップ196、196'ではロボット制御部の要求の受信がプログラムの流れをスタートする。第２ステップ198、198'では安全位置の要求の有無を問合わせる。要求が来ていれば、次のプログラムステップ200、200'ですべての軸の現在の位置実際値と安全位置が比較される。次のプログラムステップ202、202'で、位置実際値が安全位置の範囲内にあるか否かを確かめる。範囲内になければ、プログラムステップ204、204'でエラーメッセージが作られ、それによって安全位置がリセットされ、駆動装置が遮断される。
【０１０５】
位置実際値が安全位置の範囲内にあれば、次のプログラムステップ206、206'でマイクロコンピュータ59からマイクロコンピュータ60へ及びその逆に状態の転送が行なわれる。プログラムステップ208、208'で、マイクロコンピュータ59の状態とマイクロコンピュータ60の状態及びその逆が一致するか否かの比較が行なわれる。一致しなければプログラムステップ210、210'でエラーメッセージが発生し、ロボットが安全な状態へ移される。マイクロコンピュータ59の状態とマイクロコンピュータ60の状態及びその逆が一致すれば、プログラムステップ212、212'で各マイクロコンピュータ59、60 が出力部92に夫々出力“SAFE POS_1”及び“SAFE POS_2”をセットする。続いてプログラムステップ214、214'でマイクロコンピュータ59による出力“SAFE POS_2”の逆読取り又はマイクロコンピュータ60による出力“SAFE POS_1”の逆読取りが行なわれる。プログラムステップ216、216'では、出力“SAFE POS_1”及び“SAFE POS_2”が同じ状態を有するか否かが検査される。同じ状態を有する場合は、このことがプログラムステップ218、218'により入力 198へ返答される。そうでない場合はプログラムステップ220、220'でエラーメッセージが発生され、出力がリセットされ、駆動装置が遮断される。
【０１０６】
ロボット制御部の始動の際に安全な同期位置が必要である。同期位置の調整のための流れ図を図１１に示す。接続又は“POWER ON"の後に駆動制御部50の冗長なマイクロコンピュータ102、120が、遮断時にフラッシュメモリー 111、125に格納された位置実際値を相互に検査する。レゾルバ48は１回転だけで完全に動作するから、補助ルーチンでロボット12の機械的位置をこの位置実際値に確実に同期させなければならない。これは同期位置32の始動によって行なわれる。安全コントーラによって解析が行なわれる。これを図１１に流れ図 222に基づいて示す。まず第１のプログラムステップ224、224'で接続の後に位置実際値がバスCAN_A及びCAN_Bを経て夫々のマイクロコンピュータ59、60に報告される。
【０１０７】
プログラムステップ226、226'によりスタートした後に次のプログラムステップ228、228'で、ロボット12の自動操作が“POWER ON”の後に使用可能でないことを確認する。次のプログラムステップ230で、同期位置の調整の要求がバス CAN_Aによって行なわれているか否かを照会する。続いてプログラムステップ 232でマイクロコンピュータ59からマイクロコンピュータ60へ同期位置の設定の要求が行なわれる。これに対してマイクロコンピュータ60ではプログラムステップ 234で問合せをスタートする。同期位置の設定が要求されていなければ、プログラムステップ228、228'へ移行し、ロボット12の自動操作は“POWER ON”の後に使用可能にならない。
【０１０８】
同期位置の設定の要求が入力されているならば、次のプログラムステップ236、236'で、同期位置に到達しているか否かが検査される。この位置に到達していなければ、プログラムステップ238、238'でエラーメッセージが発生され、ロボットは安全な状態に移動される。同期位置に到達していれば、プログラムステップ240、240'でマイクロコンピュータ59、60の間の状態転送が開始される。続いてプログラムステップ242、242'で、マイクロコンピュータ59の状態とマイクロコンピュータ60の状態が一致するか否かの検査が行なわれる。状態が一致しなければ、プログラムステップ244、244'でエラーメッセージが発生され、ロボットは安全な状態に切換えられる。状態が一致するならば、プログラムステップ246、246'でマイクロコンピュータ59の入力SYNC POS_1又はマイクロコンピュータ60の入力SYNC POS_1が検査される。入力に信号が来ていなければ、プログラムステップ248、248'で、エラーのある同期スイッチによりロボットが同期しないことを指示するエラーメッセージが発生される。他方、ロボットが同期していれば、プログラムステップ250、250'で自動操作が使用可能になる。
【０１０９】
ここで述べた実施例で同期位置は同期スイッチ32により確定される。同期位置に到達したときにロボット12によって同期スイッチ32を作動することができ、あるいは係員が同期位置を手操作で確認することができる。同期位置は明確でなければならない。ロボット軸の別の角度の組合わせによって同期位置に到達することがあってはならない。安全スイッチの約 5ないし10mmの誤差は人身の安全上容認することができる。
【０１１０】
いずれにせよロボットが同期位置又は同期スイッチへ移動するときに保護ドア20、22が閉じていなければならず、あるいは許可スイッチによりロボットの運動が行なわれなければならない。プログラムステップ250、250'により正しい同期が確実に表示されたときに初めてすべての監視が働く。ロボット制御部がロボットを同期位置に配置すると、直ちにロボット制御部36及びバスCAN_A により安全コントローラ38に対して、同期位置を監視することが要求される。
【０１１１】
所定の角範囲で軸固有なプログラマブル「電子カム」264ないし274 を有する軸252ないし262の移動範囲の概略図を図１２に示す。このカム264ないし274は夫々の軸252ないし274にだけ有効である。個々の軸の電子カム264ないし274は安全コントーラ38により図１４に示す流れ図276に従って恒久的に監視される。
【０１１２】
プログラムステップ 278で軸固有のカムが実際値表に入力される。またプログラムステップ280、280'で各マイクロコンピュータ59、60に個々の駆動ユニット24ないし30又は所属の軸252ないし262の位置実際値が送られる。プログラム・スタート282、282'の後に、例えば軸252の位置実際値と、カム264を確定する当該の数値表の比較が行なわれる。例えば軸252の位置実際値が電子カム264の範囲内にあるならば、プログラムステップ286、286'で、マイクロコンピュータ59又はマイクロコンピュータ60への状態転送をプログラムステップ288、288'で行なうことが決定される。プログラムステップ290、290'で、マイクロコンピュータ59の状態とマイクロコンピュータ60の状態及びその逆が一致するか、を検査する。この決定がノーの場合はプログラムステップ292、292'でエラーメッセージが発生され、ロボット12は安全な状態をとる。そうでない場合はプログラムステップ294、294'で、カム 264に割当てられた第１の出力“Nocken 262_1”がマイクロコンピュータ59により、また第２の出力“Nocken 262_2”がマイクロコンピュータ60によりセットされる。その後のプログラムステップ296、296'で出力の相互逆読取りが行なわれる。これらの出力が同じ状態を有する場合は、安全なカムが得られたという信号がプログラムステップ298、298'で発生され、そうでない場合はプログラムステップ300、300'でエラーメッセージが発生され、カムがリセットされ、駆動装置が遮断される。
【０１１３】
安全コントローラ38の出力の数は夫々の用途による。各軸252 ないし262 の電子カムはユーザーが自由にプログラムすることができる。図１３に直交座標カムの原理を示す。直交座標カム 302はロボット12の全移動範囲内に立体区域をなす、好ましくは直方体を形成する。その場合、運動学的変換によりマニピュレータ固有の点304 、例えばロボットフランジ又はTCP（Tool Center Point[工具中心点］）に対して位置実際値が算定される。適当な変換ルーチンがマイクロコンピュータ59又は60にある。受信した位置実際値から行列演算により直交座標空間の直交座標が計算される。適当な行列、例えば、デナビット・ハーデンベルク（Denavit-Hardenberg）行列でロボット軸の連鎖、例えば垂直屈折ロボット又は水平旋回腕ロボット等が形成される。異なるロボット運動機構でこれらの行列は相違する。しかし変換のアルゴリズムはすべての運動機構に対して同じである。
【０１１４】
直交座標カム 302によってロボット軸252 ないし262 の監視が可能であり、ロボット12が所定の位置又は空間内の所定の範囲にあるならば、安全コントローラ38の出力部92の出力が作動される。ロボット12が所望の位置に到達していないか又は当該の範囲にない場合は、所定の出力は作動しない。
【０１１５】
直交座標カム 302はユーザーが任意にプログラムすることができる。その場合複数個の直交座標カムをプログラムすることができる。カムの数は安全コントローラ38の安全な入出力の最大の拡張で決まる。直交座標カムの計算及び設定は夫々の軸の制動距離を考慮して行なう。前述のように、電子カムは図１２に示すように各軸で個別に、また図１３に示すようにすべての軸の総和に対して直交座標ベースで確定することができる。カムのプログラミングは夫々表によって行なわれる。各軸ごとに表及び直交座標監視のための補助表が設けられる。各表で最大16個のカムをプログラムすることができる。軸がプログラムしたカムの上にあるか、又は直交座標位置がカムの上にあるかを検査するために、サイクルごとに各表を実行する。カムの上にあれば、同じく表でプログラムした出力がセットされる。次例でこれを説明する。
【０１１６】
【実施例】
【表１】
0005062925.tif 000002
【０１１７】
【表２】
0005062925.tif 000003
【０１１８】
直交座標カムの監視又は調整を図１５の流れ図 306で説明する。安全直交座標カムの値又は値範囲がプログラムステップ308でマイクロコンピュータ59、60に報告される。プログラムステップ310、310'で安全な位置実際値がバスを経てマイクロコンピュータへ送られる。プログラムステップ312、312'によるスタートの後にプログラムステップ314、314'でまず特に最大2×9=18個の軸を含むロボット運動機構が変換され、点304の直交座標実際値が計算される。点 304の計算された直交座標実際値がプログラムステップ316、316'で夫々他方のマイクロコンピュータへ伝送される。さもなければプログラムステップ318、318'で、マイクロコンピュータ59、60の直交座標実際値が一致するか否かの比較が行なわれる。直交座標実際値が相違するならばプログラムステップ320、320'でエラーメッセージが発生され、ロボットが安全な状態に切換えられる。続いてプログラムステップ 322、322'でTCP（工具中心点）の位置実際値と表に記憶された当該のカムの実際値の比較が行なわれる。プログラムステップ324、324'で、位置実際値が当該のカムの区域にあるか否かが判定される。この区域にあるならば、プログラムステップ326、326'で各マイクロコンピュータ59、60により夫々のカムに割当てられた出力がセットされる。そうでない場合はプログラムステップ314、314'へ伝送される。プログラムステップ318、318'で夫々の出力が相互に逆読取りされる。２つの出力がセットされていれば、プログラムステップ330、330'により、安全なカムが得られたと判定される。出力の状態が同じでなければ、プログラムステップ332、332'でエラーメッセージが発生され、カムがリセットされ、駆動装置が遮断される。
【０１１９】
いわゆる「準備操作」でロボット又はロボットフランジが安全減速速度で移動される。安全減速速度の基礎は軸252ないし262の安全な位置実際値である。位置実際値を時間的に等しい間隔で検出し、運動学的変換により空間直交座標に変換し、点304に対して算定する。夫々２つの変換された位置値から微分により点304の直交座標速度を計算し、最大許容速度と比較する。最大許容速度を超えるときは、直ちに被監視機能例えば“STOP-1”が開始される。その場合駆動ユニット24ないし30ができる限り迅速に停止されるが、駆動ユニットへのエネルギー供給は保持される。関係規格によれば準備操作でTCPを最大250mm/sの速度で移動することが許される。
【０１２０】
監視ソフトウエアを周期的に修整しなければならない。その場合サイクルタイム（エラー許容時間）を超えてはならない。同じく遮断時間を有するトランジスタドライバと主接触器K1、K2が遮断分岐にある。モードEINRICHTEN（準備）及びAUTOTESTで到達可能な最大速度、ロボット運動機構の不利な軸位置、例えば大きな到達距離、及び所定のエラー許容時間に応じてサイクルタイムを確定しなければならない。有効停止時間は慣用の接点形スイッチ装置の程度である。
【０１２１】
運動機構の調整、即ち連鎖、軸長、変速機データ等の確定と最大移動速度（最大250mm）の調整は初期設定段階でロボット制御部36のランアップのときに１回行なわれる。その場合、初期設定データが安全コントローラ38のマイクロコンピュータ59、60によって受領され、確実に記憶され、書込みアクセスから保護されることを保証しなければならない。パラメータはその場でロボット制御部36によって計測され、計算され、続いて係員がこれを検証し、確認しなければならない。
【０１２２】
前述のように、点304の制御された迅速な減速のための機能“STOP-1”は、次のように監視される。即ち本発明に基づきブレーキランプ監視が行なわれる。直交座標ブレーキランプ監視で、“STOP-1”又は“STOP-2”機能の起動の後にロボット12が速度を減少するか否かを確かめる。このために時間間隔をおいて軸の回転数又は位置の実際値を読取り、直交座標に変換する。それによって、例えば実際にセットされた工具の工具中心点（TCP）又は工具先端の空間直交座標が計算される。第１のサンプリング時期のデータレコードを第２のサンプリング時期のデータレコードから差し引くことにより差分ベクトルが生じる。２つのサンプリング点の間に生じる時間差から工具先端の空間の直交座標速度を決定することができる。この計算された速度は、例えばストップボタン又は非常用遮断器によって起動される“STOP-1”又は“STOP-2”機能の認識の後に減少しなければならない。そうでない場合は機能“STOP-0" を実行しなければならない。
【０１２３】
図１６に示す線図334によりブレーキランプ監視を説明する。横軸336に時間tをとり、縦軸338に回転数nをとる。時期T0にストップ機能が起動され、この時期に測定された回転数Nxが記憶される。線図334ではこの回転数を横軸 336に対する平行線340で示す。Tmaxは主接触器K1、K2を切ってからnサイクルの後の時期である。線342は実際の回転数又は速度を示す。これは時期T0で回転数n=Nxに、また時期Tmaxで速度n=0 に相当する。
【０１２４】
時期T1で実際回転数と初期回転数Nxを比較する。時期T1でこれらの回転数から計算した直交座標速度がNxから計算した初期速度と等しいか又はこれより大きければ、直ちに機能“STOP-0”が起動される。しかし時期T1の速度が初期速度より小さければ、時期Tmaxまで機能“STOP-1”が行なわれる。時期Tmaxの後は自動的に機能“STOP-0”が行なわれる。
【０１２５】
予期せぬ始動を防止するために、図１７に示す対策が設けられている。まずキー操作式選択スイッチ 178を位置“EINRICHTEN”（準備）にセットし、すべての移動キーの「不作動」を検査する。この時点で安全な操作停止が監視される。許可ボタン 182を１回操作することによって安全コントローラ38による安全減速速度の監視が開始される。規格に基づく移動キーによるロボット12の移動がこの時点から可能である。しかしロボット12が期間Txより長く休止位置にあるとき、即ち移動キーが操作されなかったときは、再び安全な操作停止が監視される。再び移動するときは、許可ボタン182 を再操作しなければならない。
【０１２６】
図１８に示す流れ図 344は安全減速速度の監視を示す。第１のプログラムステップ346、346'で安全コントローラ38のマイクロコンピュータ59、60 に安全な位置実際値が伝送される。プログラムステップ348、348'でマイクロコンピュータをスタートした後、プログラムステップ350、350'で位置実際値の運動学的変換が行なわれ、点又はロボットフランジ 304の実際速度が計算される。続いてプログラムステップ 352、 352'では計算された実際速度がマイクロコンピュータ59からマイクロコンピュータ60へ、またその逆に伝送される。プログラムステップ354、354'では、マイクロコンピュータ59、60で夫々計算された実際速度が同一であるか否かが照会される。速度が同一でなければプログラムステップ356、356'でエラーメッセージが発生され、駆動装置が遮断される。そうでない場合は、プログラムステップ358、358'によって安全減速速度の検査が終了する。
【０１２７】
用途によっては、例えばロボット12に塗装仕事を行なわせる場合、準備操作でロボットを使用速度で移動することが必要である。まず係員が手動プログラム装置46に組み入れられたキー操作式スイッチによりモード“ AUTO-TEST”を選択しなければならない。次の段階で３段式許可ボタン 182を中間位置へ動かすことが必要である。そこでロボットが運動を始める。即ちスタート用移動ボタン 360が操作されると、直ちに動作解除信号362がセットされる。スタート移動ボタン 360から手を離すと動作解除信号 362がリセットされ、ロボットが機能“STOP-2”により停止される。機能“STOP-2”は制御された停止を意味する。その場合駆動ユニットへのエネルギー供給は維持される。
【０１２８】
スタート用移動ボタン360 を操作したとき許可ボタン182 が中間位置を出ると、直ちにいわゆる“ TIPPBETRIEB”（軽いタッチ操作）で安全コントローラ38が機能“STOP-1”を起動する。まずスタート用移動ボタン360、続いて許可ボタン 182から手を離すと、自動的にロボット12の停止即ち機能“STOP-2”が監視される。
【０１２９】
図２０に示すいわゆる“PULSBETRIEB"（パルス操作）では、動作解除信号を接続するために、キー操作式スイッチを投入し、許可ボタン182を中間位置に操作し、スタート用移動ボタン360を操作してから、移動ボタン360を１回操作することが必要である。
【０１３０】
またキー操作式スイッチ 176によりモード“AUTOBETRIEB"（自動操作）を選択することができる。このモードは保護ドア 20、22を閉じたときだけ実行することができる。このモードでは安全コントローラ38に対して特別な要求はない。
【０１３１】
図２１に本発明に係るブレーキ制御の単結線図 364を示す。ブレーキ制御は安全コントローラ38によって行なわれる。安全コントローラ38に安全入力368、370 を介して電気機械式安全スイッチをなすサービスモジュール366が接続される。安全出力 372、374により直列の接触器接点が操作される。これらの接点は外部制御用変圧器380を経て 24Vブレーキ給電電圧を駆動ユニット24ないし30に送る。駆動ユニット24ないし30は夫々電子スイッチ素子382、384を有する。電子スイッチ素子 382、384はAND素子 386、388を経て駆動制御部50の冗長回路又はチャネル 52、54に接続される。駆動ユニット24ないし30の出力390、392は夫々の駆動ユニットの制動装置394、396に接続される。重力の荷重がかからない軸又は駆動ユニットも、ロボット制御部の主スイッチで遮断されない外部 24Vブレーキ給電電圧に非常用スイッチ398を介して接続される。ロボット制御部のためのエネルギー供給が主スイッチにより遮断されても、接続された制動装置を非常用スイッチ 398でゆるめることができる。ブレーキ給電電圧の外部開閉装置をなす電力スイッチ 376、378は外部に設置されている。このため接続されるモータ又はブレーキの数と電力消費に対して柔軟性が高められる。通常のモードで出力 372、374はコンタクタK1、K2の制御のための出力と並列である。別のモードが必要でなければ、スイッチ素子376、378がコンタクタ K1、K2の接点であることも可能である。
【０１３２】
サービス技術者がロボット、特に変速機又はその他の機械要素の運動特性を調べるために、ロボットをモード“SERVICE MODE”（サービスモード）に切換える。そのために例えば調べる軸の制動装置を手操作でゆるめなければならない。サービスモードでロボット12はサービス技術者の観察下にある。サービスモードは種々のレベル（危険等級）で作動させることができる。一方ではサービスモードを手動プログラム装置46でメニュー選択によりセットすることができ、他方では安全入力 368、370に接続されたサービスモジュール366を操作して、エネルギー例えば制動用電力を利用可能にすることができる。
【０１３３】
モード“SERVICE MODE”即ち手操作によるブレーキ作動のために次の操作が設けられている。まず手動プログラム装置46で操作メニューを選択する。個々の停止ブレーキ 394、396をゆるめることができる個々のボタンを確定し又は使用可能にする。続いてサービスモードの調整のために例えばキー操作式スイッチにより安全コントローラの安全入力368、370にサービスモジュール 366をセットする。この状況で安全コントローラ38は切換え接点376、378 により制動電力を遮断する。しかしその場合ブレーキ 394、396はまだゆるめられていない。次の段階で駆動ユニット24ないし30の内部の駆動制御部50が内部ブレーキスイッチ 382、394の切換えにより当該の軸の制動装置 394、396をゆるめることができる。ロボット自体はこのモードで機能しない。ロボットはもっぱら手操作により又は重力で運動させることができる。“SERVICE MODE”のリセットによって初めて通常操作への復帰が可能である。
【０１３４】
製造上の障害を取り除くためにモード“GRUPPENSTEUERUNG”（群制御）が設けられている。例えば加工品の到達しにくい場所で焼き付いた溶接線により、電源の故障の後に溶接ロボット12が挟まったまま動かない場合、駆動ユニット24ないし30が誤って遮断された。不慣れな取扱い者の場合、準備操作でロボット軸を移動することは衝突の危険が高いことと同義である。ところが例えば重力の荷重が全く又はほとんどない軸、例えば頭部軸で手動プログラム装置 394、396による命令で制動装置 394、396を迅速かつ簡単にゆるめ、手操作で軸を見やすい位置に移動さなければならい。約6 kgの重力の荷重がかかる軸はこのモードでゆるめることができる。
【０１３５】
この特殊なモードのために次の操作が設けられている。第１段階でこの群が機械データの安全関連領域にファイルされる。第２段階では手動プログラム装置で操作メニューが選択され、その際“ TIPPENBETRIEB”（軽いタッチ操作）で停止ブレーキ群をゆるめるボタンが確定され又は使用可能にされる。第３段階で安全コントローラ38が切換え接点 376、378によりブレーキ電力を遮断するから、第４段階で内部ブレーキスイッチ 382、384の切換えにより軸の停止ブレーキをゆるめることができる。
【０１３６】
このモードでもロボットは機能しない。ブレーキがゆるめられた軸はもっぱら手操作で動かすことができる。危険な又は重力が負荷された軸は群の定義に含まれない。使用可能にされない軸はこのモードの間停止を監視される。例えばサーボ増幅器と呼ぶこともできる駆動ユニット24ないし30の１チャネル・ブレーキスイッチ 382、384の欠陥により意図せぬ切換えが起こると、重力が負荷された軸のブレーキもゆるめることになり、軸が移動する恐れがある。この場合は安全コントローラ38がブレーキ電力を遮断する。手動プログラム装置により所望のモード“VERFAHREN ”（移動）を選択することによって正常な運転への復帰が行なわれる。制御ロボット運動のために駆動装置を接続しなければならない。
【０１３７】
外部電源400と非常用スイッチ398が制動装置群を外部からゆるめることも可能である。制動装置を外部からゆるめる操作はもっぱら非常用に設けられている。この場合はロボット制御部36又は安全コントローラ38が遮断されるが、外部補助エネルギーが利用可能である。近づきやすいボタン398の操作（軽いタッチ操作）により重力が負荷されないすべての軸で制動装置 394をゆるめることができる。この状態で例えば挟まった人を解放するために、ロボット機構を手操作で動かすことができる。安全な軸の選択は内部配電盤の配線によって行なわれ、その場合ブレーキだけが外部補助エネルギー400 に接続される。
【０１３８】
本発明に基づき制動装置394、396の制動効果を検査することも可能である。このブレーキ検査は駆動装置の接続のつど実施される。まず主スイッチを投入し、ロボット制御部36と安全コントローラ38をランアップする。続いて駆動装置を接続し、制動装置 394、396をゆるめる。最後に軸の保持電流IHを測定する。その場合ロボット軸は種々の荷重のもとで空間の任意の位置にあることができる。また制動装置394、396は内部ブレーキスイッチ 382、384の切換えによって操作され、軸固有の電流値ITEST ＝IH±IOFFSETが出力段から送出される。ここにIOFFSET=  x・INENN 、xは0．6≦x≦1．0の範囲、好ましくは0．8、INENNは制動装置の定格トルクMNENN に相当する電流値である。またすべての軸の停止が検査される。必要ならば安全コントローラ38の安全な運転停止を検査することができる。次に電流基準値のオフセット割増を取消し、停止ブレーキをゆるめ、正常運転に移行する。
【０１３９】
制動装置の定格トルクMNENNはモータの大きさとともに変化するから、電流オフセット値、特に値INENNの計算のためにこの情報を機械データにアナログでファイルする。
【０１４０】
サーボ増幅器と呼ぶこともできる駆動制御部50の電子装置は、使用状態に応じて異なる電源から給電される。まず各駆動制御部50は電源スイッチ部を有する。主スイッチが「入」で駆動装置が接続の使用状態で、出力部と能動パルス幅逓倍器を有するモータ制御部50の電子装置一式が電源スイッチ部により給電される。電線網に直接接続する外部電源スイッチ部は、使用状態「入」ただし駆動装置遮断で出力部のないモータ制御部の電子装置一式に給電する。また主スイッチが切断されているときは、外部電源スイッチ部がレゾルバ−電子解析装置にだけ給電する。停電の場合もレゾルバ−解析用論理回路だけが蓄電池と外部電源スイッチ部により給電される。
【０１４１】
様々な使用状態で停電が起こることがある。その場合システムは最小のエネルギーで連続的に使用状態に移行する。図２２の流れ図 402にノンストップ・ルーチンが示されている。第１のプログラムステップで、停電が信号ACFALL又はロボット制御部36もしくは安全コントローラの遮断のいずれによって認識されたか、が解析される。停電又はロボット制御部の遮断が認識されたならば、プログラムステップ406、406'により回路52及び54でマイクロコンピュータ102、120 がノンストップ・ルーチンをスタートする。ロボット制御部36と安全コントーラ38が短時間の間給電されないから、回路52ではもはや必要でないモジュール例えばCANインタフェース56、発光ダイオード表示器及びその他のモジュールが遮断される。モータ制御部の外部電源スイッチ部の信号ACFALLにより停電が、またバスCAN_Aの基準値の不在により制御部の遮断が認識される。別のプログラムステップ410、410'では、軸が停止しているかが検査される。軸が停止していなければプログラムステップ412、412'でまず軸が停止するように制御される。そのために減速時にモータの発電エネルギーが消費される。位置制御の標準チャネルが使用される。ロボット制御部がもはや動作しないから、プログラムした軌道を退出する。ロボット運動機構に応じて軸の停止が1ないし1．5秒持続する。
【０１４２】
停止に到達した後のその後のプログラムステップは回路 52、54で冗長に実行される。次のプログラムステップ414、414'では２つの回路で停止ブレーキが作動され、プログラムステップ416、416'では待機時間の後に、ブレーキが利いているかが検査される。これはプログラムステップ418、418'で、変化が許されない幾つかの実際値の比較によって行なわれる。続いて加算された回転とレゾルバの値からなる位置実際値がプログラムステップ420、420'で夫々のシステムフラグ111、123にファイルされる。位置実際値をフラグ 111、123に首尾よく書込んだ後に軸は同期としてマークされる。即ちシステムフラグがセットされる。プログラムステップ422、422'でノンストップ・ルーチンが終る。通常の場合は中間回路のコンデンサが停止まで充電されるから、この時点まで出力部の電源スイッチ部が作動する。中間回路の放電の後は、プログラムステップ424、424'が起動されるので、外部電源スイッチ部と蓄電池バッファがエネルギー供給を受け持つ。
【０１４３】
蓄電池使用時の駆動制御部50の挙動は図２３の流れ図 426で明らかである。停電の場合は蓄電池により給電が行なわれ、レゾルバ−電子解析装置にだけ給電される。さらにバッファ時間の延長のためにもはや必要でない負荷機器、例えばマイクロコンピュータ102のSRAM106、マイクロコンピュータ122及び分周器118、DP
RAM130、DP RAM116が遮断される。
【０１４４】
残る能動的ハードウエアを図24に示す。プログラムステップ428、428'でモータ制御部の回路 52、54で「パワーダウン・ルーチン」がスタートする。プログラムステップ430、430'で不要なすべての負荷機器が前述のように遮断される。冗長マイクロコンピュータ120及び120はシステムフラグ111、123 及び内部SRAM106、122 でだけ動作する。消費を最小にするために、測定間隔でだけ基準電圧を作動させる。
【０１４５】
プログラムステップ 432で周期的なレゾルバ解析のための時間順序が回路52即ちマイクロコンピュータ102 で設定される。プログラムステップ 434でタイマ時間を照会する。プログラムステップ436で200msごとに信号“Start-Resolver”（レゾルバスタート）が発生され、この信号により回路54でレゾルバ解析サイクルが要求される。プログラムステップ438 により回路54で回路52の周期的要求が監視される。プログラムステップ438が200ms以内に信号“Start-Resolver”を検出しなければ、回路52の停止が認識され、プログラムステップ 440でエラーメッセージが発生される。回路54が軸を非同期とマークする。即ち同期フラグが取消され、安全コントローラ38との連絡を待機する。
【０１４６】
周期的要求が適正であればプログラムステップ 442で回路54が基準周波数発生器をスタートし、回路52、54 のアナログデジタル変換器に対して信号SOC（変換開始）をセットする。プログラムステップ444で回路52が信号SOC を待機する。首尾よく変換された後プログラムステップ446で信号SOCが回路52で認識されなければならない。回路52は同じエラーリアクションを示す回路54の機能を監視する。プログラムステップ 448では回路54で正弦又は余弦信号のアナログデジタル変換がスタートする。続いてプログラムステップ450、450'で位置実際値の計算が行なわれる。この位置実際値がプログラムステップ452、452'で最後のサイクルの位置実際値と比較される。２つの位置実際値は等しくなければならない。即ち軸が移動してはならない。位置実際値が同一でなければ、プログラムステップ454でエラーメッセージを発生する。回路 52、54でエラーが認識されると、周期的処理が中止される。それによって冗長なパートナーも必然的にエラー状態になる。エラーが認識されなければ、プログラムステップ456、456'で２つのマイクロコンピュータ 102、120は検出された位置実際値を夫々のプロセッサ内部のSRAM106、122にファイルする。この時点までエラーが現われなかったときは、プログラムステップ458、458'で同期フラグをセットすることにより、軸が同期としてマークされる。続いてプログラムステップ460、460'で、システムがなおパワーダウンモードに残らなければならないかを検査する。イエスならば、プログラムステップ 434又は 438で続行する。ノーならば、プログラムステップ462、462'により標準モードに移行する。
【０１４７】
能動的蓄電池バッファの場合は、電源電圧が回復しても直ちにハードウエアのリセットを行なわない。２つの回路 52、54でプロセッサ内部のSRAM 106、122にファイルされた位置実際値と状態情報は、プログラムステップ462、462'により標準モードにジャンプした後、２つの回路から安全コントローラ38へ伝送される。双方にエラーが現われず、２つの位置実際値が同一であるならば、軸は安全コントローラにより絶対値と同期してセットされ、自動運転に復帰する。蓄電池バッファが働かないか又は例えば蓄電池が放電してバッファ電圧が崩壊する場合は、再始動の後にフラッシュにファイルされた位置実際値に戻り、相互に比較される。同期位置が首尾よく始動した後に初めて軸は安全コントローラにより絶対値と同期してセットされる。
【０１４８】
パワーダウンモードで働くハードウエアを示す単結線図464を図２４に示す。パワーダウンモードではレゾルバ−電子解析装置だけが働く。これはレゾルバ、アナログデジタル変換器 114、136、基準値発生器138 及びマイクロコンピュータ102、122と所属のフラッシュ 111、123からなる。主スイッチが遮断されると、外部電源スイッチ部66が電源電圧に直接接続し、ロボット制御部のスイッチによる切換えは不可能である。電源スイッチ部 466は、停電の場合にレゾルバ−電子解析装置に給電する蓄電池468に接続される。電源スイッチ部 466は組み入れられたACFAIL監視装置470により監視される。停電の場合は IR-ACFAIL信号が発生し、マイクロコンピュータ102及び制御装置 138へ送られる。その後の経過は図２２による流れ図で明らかである。
【０１４９】
停電の場合は別個の監視プログラムIC（図示せず）により各回路 52、54でハードウエアのリセットが起動される。次に２つの回路 52、54が新たにブートされ、初期設定される。それによって内部SRAM 106、122に記憶された状態情報が消去される。夫々のシステムフラッシュ 111、123にファイルされた位置実際値と同期フラグが夫々の CAN_Bバスを経て安全コントローラ38へ伝送される。安全コントローラ38では、２つの回路 52、54の位置実際値が等しいか、２つの回路に同期フラグがセットされているか、が判定される。次に軸がロボット制御部36により同期位置へ移動され、続いて正しい軸実際値で同期位置入力が判明したならば、安全コントローラ38が自動運転への解放をセットする。
【０１５０】
２つの回路 52、54の位置実際値が相違するか又は同期フラグがセットされていなければ、軸は非同期であり、係員が同期化しなければならない。そのために軸はやはりロボット制御部によって同期位置へ移動され、続いて正しい軸実際値で同期位置入力が判明したならば、安全コントローラ38が自動運転への解放をセットする。
【０１５１】
蓄電池バッファで電源が回復したならば、ハードウエアのリセットは行なわない。夫々の内部SRAM 106、122にファイルされた状態情報（同期／非同期）と位置実際値は２つの回路から安全コントローラ38へ伝送される。安全コントローラでは、２つの回路 52、54の位置実際値が等しいか、２つの回路で同期フラグがセットされたか、を検査する。位置実際値が等しく、同期フラグがセットされている場合は、安全コントローラ38が自動運転への解放をセットする。その場合は同期位置へ移動しないでよい。２つの位置実際値が相違するか又は同期フラグがセットされていない場合は、軸は非同期であり、係員が同期化しなければならない。そのために軸はロボット制御部36により同期位置へ移動される。続いて正しい軸位置で同期位置入力が認識されたならば、安全コントローラ38が自動運転への解放をセットする。
【図面の簡単な説明】
【図１】保護室内に配設したマニピュレータを含む技術設備の概略図である。
【図２】マニピュレータの開ループないしは閉ループ制御のための制御系のブロック構成図である。
【図３】監視・制御装置のブロック構成図である。
【図４】出力レベルの制御のブロック構成図である。
【図５】駆動制御部のブロック構成図である。
【図６】手動プログラム装置に内蔵された安全スイッチ素子の基本的回路構成図である。
【図７】手動プログラム装置に内蔵された安全スイッチ素子の基本的回路構成図である。
【図８】手動プログラム装置に内蔵された安全スイッチ素子の基本的回路構成図である。
【図９】手動プログラム装置に内蔵された安全スイッチ素子の基本的回路構成図である。
【図１０】機能“SAFEPOSITION”（安全位置）の流れ図である。
【図１１】機能“SYNCHRONPOSITION”（同期位置）の流れ図である。
【図１２】軸固有のプログラマブル「電子カム」の原理図である。
【図１３】直交座標カムの原理図である。
【図１４】軸固有の電子カムの監視のための流れ図である。
【図１５】直交座標カムの監視のための流れ図である。
【図１６】機能「ブレーキランプ監視」を示す回転数線図である。
【図１７】機能「安全減速速度」の解放の説明のためのパルス線図である。
【図１８】機能「安全減速速度」の説明のための流れ図である。
【図１９】機能“TIPPBETRIEB ”（ 軽いタッチ操作）の説明のためのパルス線図である。
【図２０】機能“PULSBETRIEB ”（パルス操作）の説明のためのパルス線図である。
【図２１】ブレーキユニットの制御のブロック構成図である。
【図２２】機能“NOT-STOP-ROUTINE”（ノンストップ・ ルーチン）の流れ図である。
【図２３】機能“POWER DOWNMODE”（ パワーダウンモード）の流れ図である。
【図２４】停電の場合に働くハードウエア素子のブロック構成図である。
【図１】
0005062925.tif 000004
【図２】
0005062925.tif 000005
【図３】
0005062925.tif 000006
【図４】
0005062925.tif 000007
【図５】
0005062925.tif 000008
【図６】
0005062925.tif 000009
【図７】
0005062925.tif 000010
【図８】
0005062925.tif 000011
【図９】
0005062925.tif 000012
【図１０】
0005062925.tif 000013
【図１１】
0005062925.tif 000014
【図１２】
0005062925.tif 000015
【図１３】
0005062925.tif 000016
【図１４】
0005062925.tif 000017
【図１５】
0005062925.tif 000018
【図１６】
0005062925.tif 000019
【図１７】
0005062925.tif 000020
【図１８】
0005062925.tif 000021
【図１９】
0005062925.tif 000022
【図２０】
0005062925.tif 000023
【図２１】
0005062925.tif 000024
【図２２】
0005062925.tif 000025
【図２３】
0005062925.tif 000026
【図２４】
0005062925.tif 000027