Die Umfeld-Erfassung im Arbeitsraum

Bild 2: Die Untersuchungen im Rahmen des EsIMiP-Projektes erfolgten auf Basis eines Reis-Roboters und Ultraschall-Sensoren von Microsonic. Die nächste Generation des Modells wird mit Sensoren von Bosch ausgestattet sein. © IFA

Für die Überwachung eines Arbeitsraums ist es wichtig, dass die Platzierung der Sensoren und deren Art zur Aufgabe passen, die das System erfüllen soll. Aus Gründen der Gebrauchstauglichkeit wurde daher auf Marker-behaftete Sensorik – zum Beispiel RFID – von vornherein verzichtet.

Was die Installation der Sensorik betrifft, standen grundsätzlich zwei Varianten zur Disposition: die allozentrische sowie die egozentrische Anbringung. Erstere überwacht den Raum aus einer äußeren Beobachterposition und verschafft somit einen guten Überblick über den Arbeitsraum. Je nach Platzierung der Sensoren und insbesondere der Konstellation des Menschen zum Roboter können dabei jedoch Informationslücken – respektive „blinde“ Zonen – auftreten. Eine egozentrische Anbringung, bei der sich die Sensorik direkt auf dem Roboter befindet, weist keine derartigen Zonen auf. Jedoch können auf diese Weise nur Informationen bis zum nächsten Hindernis gewonnen werden, weshalb diese Lösung allein für die Pfadplanung ungeeignet erscheint.

Vor diesem Hintergrund wurde – entsprechend den Anforderungen der Subsysteme OAK und SAK – die Sensorik untergliedert, um für die Pfadplanung und die sichere Geschwindigkeitsreduktion jeweils die beste Platzierung wählen zu können: Ultraschallsensoren für die egozentrische Wahrnehmung und Farb-/Tiefenkameras zur Überwachung aus der Beobachterposition.

Aus den Messwerten der Ultraschallsensoren wird die notwendige Reduktion der Robotergeschwindigkeit bestimmt. Die Sensoren sind um den Roboterarm herum angebracht und nach außen gerichtet. Konkret arbeiten im aktuellen Modell 18 Ultraschallsensoren in vier Reihen zusammen und decken damit ein Drittel des Roboterarms ab. Die Sensoren sind überlappend angeordnet, so dass ein Kategorie-3-Sensorsystem entsteht, das auch beim Ausfall eines einzelnen Sensors noch sicher arbeitet.

Zusammen mit Algorithmen zum Selbsttest konnte für das System ein PL d nach EN ISO 13849-1 bestimmt werden. Es erfüllt damit die Anforderungen der EN ISO 10218-1 an den kollaborierenden Betrieb. Die im Rahmen der Arbeiten am Institut für Arbeitsschutz der Deutschen Gesetzlichen Unfallversicherung errechnete PFH (Probability of Failure per Hour) von 1,01E-7 lässt dabei noch viel Spielraum für die in der Sicherheitskette nachfolgenden Geräte.

Als aktive Sensoren unterliegen Ultraschallsensoren dem Problem, dass sich mehrere Sensoren in einer Umgebung gegenseitig stören. Um das so weit wie möglich einzuschränken, werden die Sensoren gleichzeitig getriggert. Messverfälschungen treten damit nur bei den Sensoren auf, deren Schall aufgrund weiter entfernter Hindernisse einen längeren Laufweg hat.

Bild 3: Die Erfassungsbereiche des Ultraschallsensors bei unterschiedlichen Empfindlichkeiten: Grundlage die Objektbestimmung ist ein ideal geformter Kugelsektor innerhalb des kalibrierten Raumes. © Alexander Kirfel

Weiterhin haben Ultraschallsensoren einen unregelmäßigen Messraum, dessen exakte Bestimmung vom zu erkennenden Objekt abhängt. Das Rechnen mit diesem unregelmäßig geformten Bereich lässt sich aufgrund der Charakteristik der Laufzeitmessung auf einen ideal geformten Kugelsektor innerhalb des kalib­rierten Raums reduzieren. Da sich die Kugelsektoren der einzelnen Ultraschallsensoren überlappen, kommt es zu redundanten Informationen. Diese Redundanz wird für verschiedene Selbsttests genutzt, die dem System zu einem Diagnose-Deckungsgrad von 60 % nach EN ISO 13849-1 verhelfen.

Für die Bestimmung einer Kollision sind diese Redundanzen jedoch hinderlich. Ergo wurde ein Algorithmus entwickelt, der die Sensorwerte vor der Kollisionsprüfung in eine Oberfläche um den Roboterarm transformiert. Dieser „Schutzpanzer“ wird derart berechnet, dass er immer innerhalb aller Sensorkeulen liegt.

Bei diesen Umformungen gehen Räume verloren, die eigentlich als frei erkannt wurden. Der große Vorteil ist jedoch die rechentechnische Vereinfachung, die es erlaubt, die benötigten Rechenschritte für eine komplette Kollisionsbestimmung in weniger als einer Millisekunde durchzuführen. Zusammen mit typischen Kennwerten für die eingesetzten Ultraschallsensoren ergibt sich ein Schutzfeld, das ab 60 cm Abstand zum Menschen dazu führt, dass der Roboter abbremst und ab 20 cm Abstand stillsteht. Beim Verlassen des 20-cm-Raumes kann die Geschwindigkeit automatisch wieder erhöht werden.

Bild 4: Sensorkeulen und errechneter Schutzpanzer in der Computerdarstellung © Alexander Kirfel

Neben der egozentrisch angebrachten Sensorik der OAK wird – wie bereits angesprochen – die allozentrische Überwachung durch industrielle Farbkameras realisiert. Diese in den Ecken der Arbeitszelle im sogenannten „Birds-Eye-View“ angebrachten Sensoren ermitteln dynamisch die durch den Werker belegten Bereiche der Arbeitszelle, um davon ausgehend eine entsprechende Umplanung der Robotertrajektorie zu ermöglichen.

Die Aufnahmen aller Kameras werden durch zeitliche Synchronisierung (Triggerung) und die Kalibrierung der Kameras zueinander in Beziehung gesetzt. Mit Hilfe eines vorher erstellten Hintergrundmodells werden per Segmentierung und mittels des dreidimensionalen Schnitts im zeitlichen Verlauf belegte Bereiche errechnet. Für die Rekonstruktion findet dabei ein voxelbasierter Ansatz Verwendung, der die Zelle mit einer parametrisierbaren Anzahl von quaderförmigen Elementen darstellt. Dieser Ansatz ist im Vergleich zu polyedrischen Verfahren robuster gegenüber Kalibrations- und Segmentierungsfehlern und lässt sich effizient durch Ausnutzung der Parallelisierbarkeit implementieren.

Bild 5 : Links das Rekonstruktionsergebnis mit Farbkameras © Technische Universität München

Die Behandlung von in Form und Lage bekannten Hindernissen, wie etwa dem Roboter, erfolgt im Bildraum der Kameras. Die Form ist dabei durch das CAD-Modell des Herstellers gegeben, während zur Laufzeit die aktuellen Achsdaten über die Robotersteuerung zur Verfügung stehen und ausgewertet werden. Durch die Verwendung hochparallel arbeitender Grafikprozessoren (GPU) konnte die gesamte Berechnungszeit über alle Berechnungsschritte hinweg stark beschleunigt werden. Zum Test wurde dabei auf ein Setup von fünf Kameras mit einer Auflösung von 1292 × 964 Pixeln bei 30 fps zurückgegriffen. Auf einer Grafikkarte vom Typ Nvidia Geforce GTX 560 ließ sich eine Berechnungszeit von 16 ms bei einer räumlichen Auflösung von 128 × 128 × 64 „Voxelelementen“ ermitteln.

Ein beispielhaftes Rekonstruktionsergebnis bei Verwendung von lediglich zwei Kameras ist in Bild 5 ersichtlich. Das virtuelle Robotermodell ist dabei in Rot, die Rekonstruktion des sich im Arbeitsraum befindenden Menschen in Grün dargestellt. Die Markierung der Voxel wird für alle Bereiche vorgenommen, welche aus Sicht von mindestens zwei Kameras belegt sind. Die Markierungsbedingung lässt sich im Tool beliebig parametrieren. Auswirkungen einer fehlerhaften Segmentierung in einer Kamera sind – auch durch die Zusatzdaten der anderen Kameras – auf diese Weise reduzierbar.

Bild 6: Rechts das Rekonstruktionsergebnis unter Zunahme von Tiefeninformationen © Technische Universität München

Im Halsbereich der Person ist ersichtlich, dass oben aufgeführte Bedingung (jedes Element muss von mindestens zwei Kameras als belegt betrachtet werden) nicht zutrifft. In der Projektion der oberen rechten Kamera zum Roboter schlägt der Vergleich zum Hintergrundmodell fehl. Da aus der Lage und Form des Roboters jedoch bekannt ist, dass dieser den Hintergrund überdeckt, wird das entsprechende Volumen aus Sicht dieser Kamera als nicht sichtbar betrachtet. Die Markierungsbedingung von mindestens zwei Kameras kann dadurch nicht mehr erreicht werden. Umgehen lässt sich dies entweder durch die Verwendung mehrerer Kameras oder mittels einer Erweiterung um Tiefendaten. Die gemessene Tiefe wird dabei mit der errechneten Tiefe des Roboters zur Kamera verglichen. Ist diese Distanz kürzer, befindet sich vor dem Roboter ein Objekt. Das Berechnungsergebnis unter Zuhilfenahme von Tiefendaten ist in Bild 6 dargestellt. Die entstandene Darstellung der sich bewegenden Objekte im Arbeitsraum wird im Projekt für die Ableitung von geeigneten Kontrollstrategien verwendet.

Die Rolle der sicheren Antriebstechnik

Zur Gewährleistung der Sicherheitsfunktion muss neben der Sensorik eine sichere Aktorik vorhanden sein. Im Rahmen des Projektes hat die Firma Baumüller entsprechende Antriebs- und Steuerungstechnik in den Roboter von Reis Robotics integriert. Um die aktuellen Sicherheitsstandards – sprich SIL 3 nach IEC 61508 beziehungsweise den Performance Level PL e nach EN ISO 13849-1 – erfüllen zu können, war die Entwicklung eines eigenständigen im Antriebsregler (Aktorik) integrierten Safety-Drive-Controllers (SAF-002) erforderlich, und jeder Achsregler des Roboters wurde mit einem entsprechenden Safety-Modul ausgerüstet.

Die Sicherheitsfunktionen SLS (Safe Limited Speed) und SDI (Safe Direction) des Sicherheitsmoduls SAF-002 überwachen die Bewegungen des Roboters und schalten die Antriebe bei Gefährdung sicher ab. Dazu wurden die Funktionen SOS (Safe Operation Stop) und STO (Safe Torque Off) implementiert. Mit der Sicherheitssteuerung b maXX SafePLC werden die pro Achse einzuhaltenden sicheren Geschwindigkeiten und Drehrichtungen über einen sicheres Feldbus-Protokoll (Failsafe over Ethercat – FSoE) vorgegeben. Die SafePLC selbst erhält diese Daten direkt aus der Auswertung der am Roboter befindlichen Sensorik.

Bild 7: Anwählen verschiedener Geschwindigkeitskennlinien: Abhängig von der jeweiligen Position des Roboters werden über den sicheren Feldbus (FSoE) die Geschwindigkeitsgrenzwerte dynamisch in der OAK umgeschaltet. © Baumüller

Im aktuellen Modell der Steuerung sind für jede Achse des Roboters sieben frei parametrierbare Geschwindigkeitsbereiche über FSoE anwählbar, die es erlauben, die ausgeführten Bewegungen des Roboters zu überwachen. Bild 7 zeigt einen Geschwindigkeitsverlauf eines Motors über fünf Geschwindigkeitszonen. Zusammen mit der von Reis Robotics implementierten Schnittstelle für die Bewegungsprädiktion (Vorhersage der auszuführenden Bewegung über 10 ms) ergibt sich hier für die Sicherheitstechnik die Möglichkeit, dass nur die Bewegungen überwacht werden müssen, die auch geplant sind. Alle anderen Bewegungen lassen sich über FSoE unterbinden.

Die dynamische Sicherheitsfunktion berücksichtigt dabei unterschiedliche Szenarien.

Safety-Szenario 1:

• Mensch / Roboter kommen in die kritische Zone
• Sicherer Sensor löst aus
• SafePLC löst Safe Operation Stop (SOS) auf allen Achsen aus
• Roboter steht sicher
• Automatische Quittierung beim Verlassen der kritischen Zone

Safety Szenario 2:

• Überwachte Geschwindigkeit wird überschritten
• Sicherheitsmodul (SAF) des Reglers löst Safe Tourque Off (STO) auf allen Achsen aus
• Roboter ist sicher abgeschaltet
• Quittierung durch Bediener

Bei der Überwachung ist festzuhalten, dass eine sicher begrenzte Geschwindigkeit bei einem Roboter nicht ausreicht. Denn durch die komplexe Kinematik kann eine Achse, die sich zu langsam bewegt, ebenfalls zu einer gefährlichen Bewegung des Roboterarms führen. Beim Ausstrecken des Roboterarms ist es wichtig, ob dieser während dieses Vorganges seitlich am Objekt vorbeigeführt wird; ein Ausbleiben der seitlichen Bewegung führt zur Kollision.

Bild 8: Die Sicherheitsfunktion SSR sorgt dafür, dass sich ein Antrieb sicher zwischen einer unteren und einer oberen Geschwindigkeit bewegt. Bei einer ungewollten Über- bzw. Unterschreitung einer dieser Grenzen erfolgt eine sichere Abschaltung. © Baumüller

Aus diesem Grund kommt in einer Roboterkinematik die Sicherheitsfunktion SSR (Safe Speed Range) zum Einsatz, bei der sich eine obere und untere Geschwindigkeitsgrenze sicher parametrieren lässt. Durch den Einsatz der SSR ist es möglich, prozesstechnisch gewonnene Werte aus der Robotersteuerung über die geplante Bewegung des Roboters abzusichern.

Die Werte der Robotersteuerung werden mittels sicherer Ultraschallsensoren vor Ausführung auf Kollisionen geprüft und bei fehlenden Kollisionen durch die SSR freigegeben. Fehlerhafte Werte der Steuerung zur Planungszeit führen hierdurch trotzdem zur erlaubten kollisionsfreien Bewegung, fehlerhafte Werte zur Ausführungszeit zu einem Überschreiten der SSR-Grenzen und somit zum sicheren Stillstand. Durch diesen Ansatz muss die prozesstechnische Steuerung des Roboters im Sicherheitskonzept nicht betrachtet werden.

Die im Rahmen des Projektes ent­wickelten Sicherheitsmodule und Mechanismen sind nicht auf die Mensch-Roboter-Interaktion beschränkt. Vergleichbare Maschinensituationen gibt es bei stationären Bearbeitungszentren der Textilindustrie oder beim Rollenwechsel in der Druckrollenindustrie. Hier befinden sich die beschriebenen Sicherheitssteuerungen bereits im Einsatz.

Autoren:
Werner Düpjohann ist technischer Leiter für Antriebs- und Steuerungstechnik bei Baumüller, Nürnberg.
Björn Ostermann ist Mitarbeiter des IFA–Institut für Arbeitsschutz der Deutschen Gesetzlichen Unfallversicherung.
Dominik Stengel ist wissenschaftlicher Mitarbeiter am Lehrstuhl für Automatisierung und Informationssysteme (AIS) der TU München.