Roboter sind aus der modernen Automatisierungstechnik nicht mehr wegzudenken. Gemäß der Statistik World Robotics 2015 des internationalen Robotik-Verbandes IFR wurden im Jahr 2014 mehr als 200.000 Industrieroboter verkauft. Der größte Wachstumsmarkt ist Asien, mit rund 140.000 verkauften Robotern, was einer Steigerung von 40 % gegenüber 2013 entspricht. Was aber ist eigentlich ein ­Roboter? Gemäß der DIN EN ISO 10218-1 ist ein Industrieroboter definiert als ein „automatisch gesteuerter, frei programmierbarer Mehrzweck-Manipulator, der in drei oder mehr Achsen programmierbar ist und zur Verwendung in der Automatisierungstechnik an einem festen Ort oder beweglich angeordnet sein kann“.

Das Bild, dass die meisten dabei vor Augen haben werden, ist der klassische 6-Achs-Knickarmroboter, der an der Karosserie eines Autos Schweiß- oder Montage-Arbeiten durchführt. Für diese Roboter gibt es von den bekannten Herstellern ausgereifte Steuerungen, die zudem den Aspekt der Funktionalen Sicherheit berücksichtigen. Der Begriff Industrieroboter ist aber wesentlich weiter gefasst. Hierzu zählen beispielsweise auch die Portalroboter, die typischerweise beim Palettieren (Stapeln von Produkten) und Kommissionieren (Zusammenstellen von Produkten) zum Einsatz kommen.

Häufig finden sich Portalroboter in der Intralogistik, der Verpackungstechnik sowie Montage- und Handhabungstechnik. Eine Herausforderung hierbei ist die Vielfalt der Anwendungen: Portal­roboter können Arbeitsbereiche bis zu 100 m × 10 m × 3 m abdecken. Je nach Applikation betragen die Lasten 1 kg bis 1000 kg. Typische Werte für Geschwindigkeit und Beschleunigung liegen bei 3 m/s beziehungsweise 5 m/s².

Mit standardisierten Softwaremodulen ist es heute möglich, Portalroboter einfach und ohne spezielles Robotik-Wissen zu realisieren. Im Fall der so genannten ‚Fast Application Software Toolbox‘ von Lenze etwa, basieren diese auf dem offenen Standard PLCopen Motion Control und Coordinated Motion. Zusätzlich sind jedoch die Aspekte der Funktionalen Sicherheit zu berücksichtigen – unter anderem mit Fokus auf die sicheren Funktionen des Antriebs.

Normative Hintergründe

Portalroboter (Industrieroboter) sind Maschinen im Sinne der EG-Maschinenrichtlinie 2006/42/EG. Deren Anhang I enthält die grundlegenden Sicherheits- und Gesundheitsanforderungen für die Konstruktion und den Bau von Maschinen. Hier wird vorgeschrieben, dass der Hersteller im Rahmen ­einer Risikobeurteilung die geltenden Anforderungen für die Maschine er­mitteln muss.

Hilfreich bei diesem Vorgehen sind die sogenannten harmonisierten Normen gemäß Artikel 7 der EG-Maschinenrichtlinie. Für Industrieroboter sind das:

■ DIN EN ISO 10218-1:2011 (Industrieroboter – Sicherheitsanforderungen – Teil 1: Roboter)
■ DIN EN ISO 10218-2:2011 (Industrieroboter – Sicherheitsanforderungen – Teil 2: Robotersysteme und Inte­gration)
■ DIN EN ISO 13482:2014 (Roboter und Robotikgeräte – Sicherheitsanforderungen für persönliche Assistenzroboter)

Die DIN EN ISO 13482 betrachtet persönliche Assistenzroboter und ist für diesen Artikel nicht relevant. Die DIN EN ISO 10218-2 betrachtet Inte­gration und Einbau des Roboters in ­Industrieroboterzellen und -linien und beschreibt die Verantwortung des ­Systemintegrators. Im Weiteren wird also nur der Industrieroboter beziehungsweise das Industrierobotersystem – wie in der DIN EN ISO 10218-1 beschrieben – betrachtet.

Die Beurteilung des Risikos

Bild 1. Risikograf für den Sicherheitshalt, Lenze

© Lenze

Technische Schutzmaßnahmen werden in der Regel mit Hilfe eines hardware-/softwarebasierten Steuerungssystems realisiert. Für die sicherheitsbezogene Leistungsfähigkeit des Steuerungssystems schreibt die DIN EN ISO 10218-1 einen Performance Level d mit einer Struktur der Kategorie 3 vor. Die ­De­finition des Performance Level findet sich in der DIN EN ISO 13849-1 (Sicherheit von Maschinen – Sicherheitsbezogene Teile von Steuerungen). Der Performance Level drückt die ­Fähigkeit aus, eine Sicherheitsfunktion auszuführen. Er liegt in den Abstu­fungen a bis e vor, wobei a den niedrigsten und e den höchsten Performance Level darstellt.

Für jede in der Risikobeurteilung ermittelte Gefährdung lässt sich mit Hilfe des Risikografen der DIN EN ISO 13849-1 ein Performance Level be­stimmen (Bild 1) und zwar anhand der folgenden Risikoparameter:

■ Schwere der Verletzung;
■ Häufigkeit und/oder Dauer der Gefährdungsexposition;
■ Möglichkeit zur Vermeidung der Gefährdung oder Begrenzung des Schadens.

Zurück zum Beispiel des Portal­roboters: Betrachten wir beispielsweise den Sicherheitshalt für Lasten bis 500 kg. Um eine Störung zu be­seitigen, muss eine Schutztür geöffnet werden. Solange diese Schutztür ge­öffnet ist, dürfen sich die Achsen nicht bewegen, um das Wartungsper­sonal nicht zu gefährden. Eine Bewegung der Achsen unter Schwerkrafteinfluss wird hier nicht betrachtet. Bei dieser (stark vereinfachten) Betrachtung liefert der Risikograf die folgenden Ergebnisse:

■ Schwere der Verletzung: Bei einer Quetschung, ausgelöst durch eine Achse, ist mit ernsten (üblicherweise irreversiblen Verletzungen einschließlich Tod) zu rechnen. Dies führt zu Parameter S2.
■ Häufigkeit der Gefährdungsexposition: Hier wird von einem ‚seltenen Fall‘ (Wartung) ausgegangen. Dies führt zu Parameter F1.
■ Möglichkeit zur Vermeidung der Gefährdung oder Begrenzung des Schadens: Der Portalroboter bewegt sich mit einer Geschwindigkeit, die deutlich über der sicher reduzierten Geschwindigkeit von 0,25 m/s liegt. Es wird auch nicht immer möglich sein, dem Portalroboter auszuweichen. Das heißt, eine Vermeidung des Schadens ist kaum möglich. Dies führt zu dem Parameter P2.

Setzt man diese Werte in den Risikografen ein, so erhält man den Performance Level d. Wäre die Häufigkeit der Gefährdungsexposition hoch – zum Beispiel bei einem kollaborierenden Betrieb –, würde Performance Level e gefordert werden.

Die positionsabhängige ­sichere Geschwindigkeit

Auch für Antriebe gibt es eine harmonisierte Norm, und zwar die DIN EN 61800-5-2 (Elektrische Leistungsantriebssysteme mit einstellbarer Drehzahl – Teil 5-2: Anforderungen an die Sicherheit). Jeder Antrieb, der sich auf diese Norm bezieht, verfügt damit über eindeutig definierte Funktionen. Den Unterlagen des Antriebs kann der Performance Level der Sicherheitsfunktionen entnommen werden. Typischerweise ist dieser d oder e. Entscheidende weitere Optimierungen ergeben sich, wenn man die in der DIN EN 61800-5-2 angegebenen Funktionen erweitert.

Ansatz sind hier die Achsbegrenzungen. Die DIN EN ISO 10218 schreibt vor, dass Maßnahmen vorzusehen sind, mit denen der Raum, in dem sich der Industrieroboter bewegen kann, begrenzt werden kann. Natürlich ist es möglich, die Position einer Achse sicher zu überwachen und bei Überschreiten von festgelegten Positionen abzuschalten. Dabei ist jedoch zu ­bedenken, dass die restliche kinetische Energie sehr hoch sein kann. Um dies zu berücksichtigen, müssen entweder die Nachlaufwege entsprechend groß gestaltet oder die mechanischen Begrenzungen so ausgelegt sein, dass die Energie sicher aufgefangen werden kann.

Eine der wesentlichen Einschränkungen der Funktionen der DIN EN 61800-5-2 ist, dass sie nicht miteinander in Beziehung gebracht werden können. So kann zum Beispiel eine sicher begrenzte Geschwindigkeit (SLS) nicht abhängig von einer sicher begrenzten Position (SLP) geändert werden. Eine Lösung bietet die Funktion ‚Position-dependent Safe Speed‘.

Zulässige Geschwindigkeit wird überwacht

Diese Funktion passt – in Abhängigkeit von der absoluten Achs-Position p – die zu überwachende, sicher begrenzte Geschwindigkeit v_lim an (Bild 2). Das heißt: In Form einer Hüllkurve wird die zulässige maximale Geschwindigkeit der Achse überwacht. Die Hüllkurve muss oberhalb der tatsächlichen Bahnkurve liegen, da es in der Regel nicht zu ver­meiden sein wird, dass Schleppfehler oder Überschwinger auftreten. Dieses Verhalten ist bei der Auslegung der Hüllkurve zu berücksichtigen.

Bild 2. Positionsabhängige ­Geschwindigkeitsüberwachung durch ‚Position-dependent Safe Speed‘: Darstellung der Hüllkurve der überwachten Geschwindigkeit in Bezug zur Position

© Lenze

Wird die Geschwindigkeit v_lim überschritten, kommt es sofort zur Auslösung einer Fehlerreaktion (mechanische Bremsung). Dies stellt sicher, dass die Achse vor der Achsbegrenzung sicher zum Stillstand kommt, beziehungsweise mit deutlich reduzierter Geschwindigkeit auf die Achsbegrenzung fährt.

Um diese Funktion zu realisieren, ist eine sichere Erfassung der Position an jeder Achse erforderlich. Zu einer ­sicheren Positionsüberwachung gehört dabei die Auswertung von Gebern, ­üblicherweise dem externen Positionsgeber und – als redundantes System – dem am Motor angebauten Geber. Die Signale der Geber werden kontinuierlich in der Sicherheitsbaugruppe miteinander verglichen. Weichen die beiden Signale zu sehr voneinander ab, zum Beispiel im Falle eines Kabelbruchs bei einem der Positionsgeber, so wird der Fehler erkannt und es kommt zu einer Abschaltung.

Aus dem sicheren Positionssignal wird die Position in der Normierung der Maschine errechnet. Der Abgleich der Positionsgeber miteinander und mit der ‚wirklichen‘ Welt erfolgt durch das Anfahren einer externen Referenzposition. Die Werte der Referenzposition sind sicher hinterlegt und werden, nach erfolgreichem Referenzieren, für die weiteren Berechnungen übernommen. Das Setzen der Referenzposition muss speziellen Randbedingungen genügen, um auch hier die Anforderungen an die Funktionale Sicherheit zu erfüllen. Typischerweise wird in diesem Fall eine Kombination von Zeitüberwachung und Erwartungshaltung gewählt.

Ziel ist, die Referenzposition so selten wie möglich, im ‚best case‘ nur einmal, anzufahren. Eine beson­dere Herausforderung stellt der Fall ‚Power Off / Power On‘ dar. Beim ­Power Off werden alle Positionsdaten sicher gespeichert, es besteht damit die Möglichkeit nach einem Power On direkt weiterzuarbeiten. Im konkreten Einzelfall ist zu bewerten, wie groß die Wahrscheinlichkeit einer ­unentdeckten Bewegung im spannungslosen Zustand ist.

Somit ermöglicht die Funktion ‚Position-dependent Safe Speed‘ nicht nur eine Kosteneinsparung durch eine einfachere Auslegung der Endanschläge, sondern bietet zudem die Möglichkeit, Platz durch Reduzierung von Nachlaufwegen einzusparen.

Autor: Michael Niehaus ist Technology Manager Functional Safety bei Lenze Automation.