具体实施方式

鉴于仅旨在说明本发明原理的示例性实施方案描述了本发明。技术人员将能够在权利要求的范围内提供若干实施方案。在整个说明书中，提供类似效果的类似元件的参考标号具有相同的后两位。此外，应当理解，在实施方案包括多个相同特征的情况下，仅一些特征可以由参考标号标记。

图1示出了机器人臂101，该机器人臂包括多个机器人关节103a、103b、103c、103d、103e、103f，该多个机器人关节连接机器人基座105和机器人工具凸缘107。基座关节103a被构造成使机器人臂绕基座轴线111a(以短划虚线示出)旋转，如旋转箭头113a所示；肩部关节103b被构造成使机器人臂绕肩部轴线111b(示出为指示轴线的十字)旋转，如旋转箭头113b所示；肘部关节103c被构造成使机器人臂绕肘部轴线111c(示出为指示轴线的十字)旋转，如旋转箭头113c所示，第一腕关节103d被构造成使机器人臂绕第一腕轴线111d(示出为指示轴线的十字)旋转，如旋转箭头113d所示，并且第二腕关节103e被构造成使机器人臂绕第二腕轴线111e(以短划虚线示出)旋转，如旋转箭头113e所示。机器人关节103f是包括机器人工具凸缘107的工具关节，该机器人工具凸缘能够围绕工具轴线111f(以点划线示出)旋转，如旋转箭头113f所示。因此，所示的机器人臂是具有六个自由度的六轴机器人臂，然而，应当注意，本发明可以设置在包括更少或更多机器人关节的机器人臂中，进一步应当理解，机器人关节还可包括平移关节或旋转关节和平移关节的组合。

每个关节包括相对于机器人关节可旋转的输出凸缘，并且该输出凸缘直接或经由本领域已知的臂部分连接至相邻的机器人关节。机器人关节包括关节马达，该关节马达被配置为例如经由传动装置或直接连接至马达轴来旋转输出凸缘。另外，机器人关节包括提供传感器信号的至少一个关节传感器，该传感器信号指示以下参数中的至少一个参数：输出凸缘的角位置、关节马达的马达轴的角位置、关节马达的马达电流或试图旋转输出凸缘或马达轴的外力。例如，输出凸缘的角位置可由输出编码器诸如光学编码器、磁性编码器指示，这些输出编码器可指示输出凸缘相对于机器人关节的角位置。类似地，关节马达轴的角位置可由输入编码器诸如光学编码器、磁性编码器提供，这些输入编码器可指示马达轴相对于机器人关节的角位置。应当注意，可提供指示输出凸缘的角位置的输出编码器和指示马达轴的角位置的输入编码器两者，这在已提供传动装置的实施方案中使得可以确定该传动装置的输入侧与输出侧之间的关系。还可将关节传感器提供为指示通过关节马达的电流的电流传感器，并且因此该关节传感器用于获得由马达提供的扭矩。例如，结合多相马达，可提供多个电流传感器以获得通过该多相马达的每个相位的电流。

在示例性实施方案中，一个或多个关节各自包括两个传感器和两个关节控制器。这样，可在不影响机器人控制器的情况下建立关节特定的计算和测量，由此减小其发生故障的风险，在关节和机器人控制器之间并且通常通过执行分布式测量和处理进行的数据通信增加系统响应时间。此外，关节中的冗余减小了故障风险，即如果一个传感器或关节控制器发生故障，则存在可使用的附加传感器或关节控制器。

机器人臂包括至少一个机器人控制器，该机器人控制器布置在机器人控制箱109中并且被构造成通过基于机器人臂的动力学模型、重力做功方向112和关节传感器信号控制提供给关节马达的马达扭矩来控制机器人关节。机器人控制器可作为包括界面装置104的计算机而提供，该界面装置使得用户能够与机器人进行通信，例如对机器人臂进行控制和编程。控制器可作为例如布置在如图1所示的机器人控制箱109中的外部装置、作为集成到机器人臂中的装置或作为它们的组合来提供。界面装置可例如作为工业机器人领域中已知的示教器而提供，该示教器可经由有线或无线通信协议与机器人控制器进行通信。界面装置可例如包括显示器106和多个输入装置108，诸如按钮、滑块、触摸板、操纵杆、轨迹球、手势识别装置、键盘等。显示器可作为既充当显示器又充当输入装置的触摸屏而提供。

图2示出了图1所示的机器人臂的简化结构图。机器人关节103a、103b和103f已经以结构形式示出，并且为了附图简单起见，已经省略了机器人关节103c、103d、103e。此外，机器人关节以独立元件示出；然而应当理解，它们如图1所示互相连接。机器人关节包括输出凸缘216a、216b、216f和关节马达217a、217b、217f，其中输出凸缘216a、216b、216f能够相对于机器人关节旋转，并且关节马达217a、217b、217f被构造成经由输出轴218a、218b、218f旋转输出凸缘。在该实施方案中，工具关节103f的输出凸缘216f包括工具凸缘107。至少一个关节传感器219a、219b、219f提供传感器信号222a、222b、222f，这些传感器信号指示相应的关节的至少一个关节传感器参数J_{传感器，a}、J_{传感器，b}、J_{传感器，f}。关节传感器参数(也一般称为操作参数)至少指示姿势参数中的至少一个姿势参数，姿势参数指示输出凸缘相对于机器人关节的位置和取向，例如：输出凸缘的角位置、关节马达的轴的角位置、关节马达的马达电流。例如，输出凸缘的角位置可由输出编码器诸如光学编码器、磁性编码器指示，这些输出编码器可指示输出凸缘相对于机器人关节的角位置。类似地，关节马达轴的角位置可由输入编码器诸如光学编码器、磁性编码器提供，这些输入编码器可指示马达轴凸缘相对于机器人关节的角位置。

机器人控制器202(也称为机器人过程控制器)包括控制器处理器220和控制器存储器221，并且被构造成通过向关节马达提供马达控制信号223a、223b、223f来控制机器人关节的关节马达。马达控制信号223a、223b、223f指示每个关节马达应提供给输出凸缘的马达扭矩T_马达，a、T_马达，b和T_马达，f，并且机器人控制器被构造成基于现有技术中已知的机器人臂的动态模型来确定马达扭矩。该动态模型使得控制器可以计算为使机器人臂执行期望的移动，关节马达应向关节马达中的每一个提供关节马达的扭矩。机器人臂的动态模型可存储在控制器存储器221中并且可基于关节传感器参数J_{传感器，a}、J_{传感器，b}、J_{传感器，f}进行调节。例如，关节马达可以多相电动马达的形式提供，并且机器人控制器可被构造成通过调节通过多相电动马达的相位的电流来调整由关节马达提供的马达扭矩，如马达调节领域中已知的。

机器人系统包括监测机器人臂的安全系统225，并且包括安全处理器227(也称为机器人安全控制器)和安全存储器228。安全系统被配置成基于由安全系统评估的至少一个安全功能使机器人臂进入安全状态226。安全状态由停止(STOP)标志示出，该停止标志指示一个安全模式可以是机器人臂进入静止状态的模式，例如通过激活被配置成制动机器人臂的移动部件的制动系统、通过关闭对机器人臂的供电等。然而，应当理解，安全模式可以是机器人臂被认为相对于人类是安全的任何操作模式，例如可指示机器人低速移动，以提供向人类警告已发生错误的指示信号(视觉信号、听觉信号、触觉信号等或它们的组合)。

如所提及的，可使机器人臂处于若干不同的停止模式。机器人安全控制器的主要目的是监测机器人臂的操作，以及如果发生违反一个或多个安全限值的情况，并且机器人过程控制器不处理这种情况，则使机器人臂处于安全模式。如果这种情况发生并且未由过程控制器处理，则安全控制器能够使机器人臂处于的安全模式中的一者是所谓的违规停止模式。违规停止与紧急停止是相当的，因为关节中的制动器被激活以及对机器人关节的供电被切断。然而，可通过按钮经由I/O在外部触发以及通过向过程控制器发送软件命令在内部触发紧急停止。当过程控制器停止机器人臂时，可通过指示关节马达将机器人臂保持在固定位置、通过为关节马达供电和/或接合机械制动器来停止机器人臂。然而，安全控制器仍然以正常模式运行，并且用户可快速地再次重新启动机器人臂并继续使用机器人臂。这与当安全控制器检测到违反安全限值时(例如，如果TCP(TCP；工具中心点)的速度高于安全限值“TCP速度”)由安全控制器在内部触发的违规停止相反。然后，过程控制器停止机器人臂，机器人臂断电，接合机械制动器，并且安全控制器现在处于违规模式，并且用户必须在用户可再次对机器人臂通电之前重置安全控制器(通过GUI完成)，如下所述。

应当指出的是，安全系统225还可与界面装置104直接通信。此类通信可包括安全限值、状态信号等的更新。

此外，应当指出的是，为了增加安全性，安全系统225的机器人安全处理器227可被实现为两个独立的安全处理器。此类两个独立安全控制器的至少任务子集可以是相同的，即获得安全系统中的冗余。参考图3解释了具有两个独立安全控制器的本发明的更具体的示例性实施方案。

机器人控制器202和安全系统225设置在不同的硬件上，例如以不同的计算机主板、微控制器、处理器、计算机服务器和/或集成电路的形式。

现在将参考图3描述本发明的示例性实施方案。图3示出了如上文参考图1和图2所述的机器人臂301，并且类似的元件和特征采用与图1和图2中相同的附图标号，并且将不进一步描述。

在图3上，机器人臂301配备有附接到机器人工具凸缘107的机器人工具314。机器人工具314可包括被配置为执行预定任务的多种致动器和传感器315。应当指出的是，在示例性实施方案中，机器人工具315可以是独立式传感器，即不一定与对象进行物理交互。

如上所述，通过基本控制软件来控制机器人臂301的基本操作。这意味着用户可向机器人控制器302提供路点和移动命令(例如，经由界面装置104)，并且然后基于该输入，机器人控制器能够基于基本控制软件来控制机器人臂的关节以根据所提供的指令在路点之间移动。由于基本控制软件被开发成有利于机器人的通用操作，因此其不能够例如控制连接到机器人工具凸缘104的机器人工具315。它可移动此类机器人工具315，但不可操作它。因此，如果机器人工具314是夹持器，则夹持操作不能由基本控制软件控制。为了能够控制此类工具操作，需要附加的软件，并且该附加的软件在本文档中被称为过程控制软件。

过程控制软件可以是基本控制软件的任何补充，从路点坐标到复杂软件程序(包括用于优化例如根据基本控制软件执行的机器人臂301的操作的精度的软件)。过程控制软件可在外部数据处理单元324处开发，并且然后上载到包括机器人控制器202的机器人控制系统334和安全系统325两者，以用于与基本控制软件一起执行。通常，过程控制软件是所提供的附加软件层，其利用基本控制软件中可用的功能或所提及的操作参数(诸如路点坐标或限值)以用于机器人臂301的操作。

如所提及的，控制软件(基本或过程)控制机器人臂的操作，并且因此还控制何时应根据安全限值的正常值或过程值来评估操作参数。何时使用正常值和过程值中的哪一者的非限制性示例是如果需要附加的安全性，即如果机器人需要在例如当机器人臂处于运行时模式或机器人臂需要搬运易碎对象时允许人处于的区域中较慢地移动或以较小的马达扭矩移动。可以建立虚拟壁，仅允许机器人根据减小的正常值在该虚拟壁之外操作。另选地，在虚拟壁之外，在该示例中，过程值被用作速度和扭矩的安全限值的值。

在另一个非限制性示例中，第一虚拟壁可借助于传感器建立成与机器人臂相距三米，并且第二虚拟壁可借助于传感器建立成与根部臂相距一米。当人跨过第一虚拟壁时，安全限值的值从正常值改变为减小的正常值，并且当人跨过第二虚拟壁时，机器人臂应当停止。因此，当人在第一虚拟壁之外时，过程控制软件根据安全限值的正常值来操作机器人臂。在第一虚拟壁和第二虚拟壁之间，机器人臂根据减小的正常值和过程值中的最受限制值来操作，并且当用户跨过第二虚拟壁时，过程控制器激活紧急停止。如所提及的，过程值的使用使得机器人臂的操作为灵活的，因为它们可在运行时进行调整，并且为安全的，因为这些值与正常值/正常减小值进行比较以确保根据最受限制值来控制机器人臂。因此，机器人安装的安全性增加，因为可向现有安全批准和认证的安全系统添加附加的安全限值，并且这不经历在每次安全限值改变时批准系统的复杂过程。

无论使用的是正常值、减小的正常值还是过程值，机器人控制器和/或安全控制器都将确保使机器人臂处于违规停止模式。违规停止模式应被理解为如果评估导致违反安全限值中的一个安全限值，即如果机器人系统自动检测到某些情况不正确，则自动应用的安全停止布置。通常，如果过程控制器在违反安全限值时不作出反应，则安全控制器使机器人臂处于违规模式。此外，检测例如人超过虚拟壁的出现或紧急停止的传感器或开关也可触发，从而使机器人臂进入停止模式。例如，如果按压紧急停止按钮335，则机器人控制器应在指定时间段内停止机器人的移动，在一个示例中，该指定时间段介于100ms和1000ms之间，诸如200ms、300ms、400ms或500ms。应当指出的是，停止时间是用户定义的，并且因此取决于机器人臂的应用，并且因此它可以是该范围之内或之外的任何值，然而优选地在1000ms内。如果安全控制器检测到机器人臂在该时间段已经过之后仍然在移动，则安全控制器将使机器人处于违规停止模式，其中它将使机器人臂断电，从而致使机械制动器接合。

应当提及的是，根据本发明，紧急停止(如违规停止，机器人臂的马达断电并且机械制动器接合)和保护停止(机器人臂停止移动但保持通电)的激活可由基本和/或过程控制软件基于外部输入来触发。通常，这些停止模式被称为二进制限值，其在现有技术中通过以下方式来激活：通过按压按钮或激活传感器来改变I/O模块上的输入。利用本发明，这些停止模式连同在减小模式下的操作可由处理器在内部触发，即不仅基于来自I/O模块的输入。此外，用于触发这些模式的值可在运行时改变。

如所提及的，仅过程值的值可实时改变。在示例性实施方案中，将距离传感器添加到机器人臂，该距离传感器被配置为确定从机器人工具到对象的距离。允许机器人臂以最大速度(安全限值的正常值)朝向对象移动，但是当接近对象(超过虚拟壁)时，必须减小速度(安全限值的减小的正常值)。出于安全原因，用户想要在超过虚拟壁减小速度，但要确保速度随时间推移而减小，虚拟壁被建立成与对象相距一定距离(包括安全裕度)。为了允许尽可能长时间的快速操作，在过程控制软件中，用户指定虚拟壁从对象经过特定距离，其中该距离由距离传感器测量。因为距离被测量，所以不再需要添加安全裕度，并且因此允许机器人臂在更靠近对象时以正常速度值操作。

在该示例中，用户想要能够改变距离并且由此改变壁位置。此外，在壁之外，用户想要能够调节机器人臂的速度。这由本发明在运行时允许，因为用户已经在过程控制软件中对在何处使用例如滑动条来改变过程值的可能性进行编程。为了确保不允许比安全限值的正常或正常减小值相比更少受限制的值，将过程值与正常值进行比较，并且如果用户错误地选择了与操作参数的正常值相比更少受限制的过程值，则机器人控制器使用正常值。因此，获得了机器人臂的更灵活的控制和更快的循环时间。这是有利的，因为它具有这样的效果，即在不深入了解机器人臂的设计限值的情况下，用户可安全地指定和调整安全限值的过程值。不会发生危险情况，因为如果定义速度的过程值例如高于正常值，则机器人臂的操作根据正常值进行。

在本文档中，一组预定限值被指定为安全限值。这些限值的值被称为正常值或过程值，并且在基本和/或过程控制软件中指定。通常，限值定义最大允许速度、力、方向、距离、位置、定时器等。因此，当操作机器人臂301时，这些安全限值的值限制机器人臂301的操作。如果违反了基本控制软件中指定的安全限值，则机器人控制系统334中断机器人臂301的操作并确保机器人臂301处于所谓的违规停止模式。

然而，可能有利的是，机器人臂301不以违规停止模式结束，因为这导致断电、制动机器人并且需要重置安全控制器。过程控制器负责机器人的操作，并且如果该控制器估计将违反安全限值，则其应使机器人臂进入保护停止模式。由于某种原因，如果机器人控制器处理器220未能观察到此类违规并且机器人臂违反安全限值，则机器人安全系统225接管并确保机器人臂处于安全模式，例如，违规停止模式。

更具体地讲，在示例性实施方案中，机器人控制器将采取其最好的措施来遵守安全限值。如果它基于其当前速度和轨迹来计算出不可能遵守安全限值中的一者，则它将主动进行“保护停止”，该保护停止基本上仅阻止机器人移动并且经由界面104向用户显示警告，但马达仍然被通电并且制动器未被接合。如果它实际上违反安全限值中的一者(因为保护停止失败或例如外力比预期更快地移动机器人)，则机器人安全控制器将使机器人臂进入违规停止模式。当机器人安全控制器使机器人臂处于违规停止模式时，它通知机器人控制器，并且后者将计算用于使机器人处于完全停止(在时间限值内)的轨迹并发出断电命令。如果机器人控制器未能在限值内停止机器人，则无论臂是否仍然在移动，机器人安全控制器都将接合机械制动器。

在示例性实施方案中，机器人控制器220从机器人臂301的传感器接收输入和/或基于例如描述机器人臂301的实时操作的当前消耗操作参数的测量结果来计算。基于所建立的操作参数，机器人控制器202针对给定操作参数评估其值是否违反相关联的安全限值的值减去偏移。安全限值减去偏移以避免机器人控制器220和安全处理器227中的必须使机器人臂处于违规停止模式的哪一者之间的冲突。

在另选的示例性实施方案中，如果评估或估计了安全限值减去偏移是否被违反或将被违反，则机器人控制器使机器人臂处于保护停止模式。

在另选的示例性实施方案中，关节控制器336a、336b执行冗余计算、冗余测量等，并且如果这些冗余计算/测量之间没有完全对准，则关节控制器将指示这一点的信号发送到机器人控制器和/或机器人安全控制器。在接收到该信号时，机器人控制器开始使机器人臂处于停止模式。应当提及的是，当完全使用术语时，应当理解，由于定时、测量噪声、传感器分辨率等，测量中的特定公差是可接受的。

对于上述示例，真实的是，如果机器人控制器不设法在给定时间段内停止机器人臂，则机器人安全控制器基于直接来自机器人安全控制器的通信或经由过程控制器迫使机器人臂处于违规停止。通过释放机械制动器并使机器人臂断电来实现违规停止。

使用安全控制器作为过程控制器的备份是机器人臂的经认证安全系统的一部分，从而确保机器人臂的安全操作，即，在危险情况发生之前或至少在危险情况导致机器人臂周围的个人和货物的严重伤害之前使机器人臂处于安全模式。根据安全系统的认证，不允许在不使机器人臂断电的情况下改变其任何安全限值或任何硬件配置并且重新启动安全系统。因此，通常不允许用户在运行时(即在机器人臂的操作期间)改变安全限值。在现有技术中，用户必须使机器人臂断电以能够改变非二进制值，并且还有如果这是经由上载新的过程控制软件来完成的话。应当提及的是，在一个实施方案中，机器人安全控制器可比机器人控制器高至少一个安全级别，并且进一步为了增加安全性，安全控制器可以被实现为确保安全控制器任务中的冗余的两个独立控制器。

对安全级别的引用可以指硬件(即，控制器)的平均故障概率。因此，高级别安全控制器具有比过程控制器更低的平均故障概率。可包括硬件和软件两者的高级别安全系统可根据SIL(SIL；安全完整性级别)1级至4级进行分类，其中4为最高。

因此，如所解释的，当将过程控制软件上载到机器人控制器时，与其相关联的安全限值与基本控制软件结合使用以控制机器人臂。在基本控制软件中提供指定例如肘部速度或力的限值，但出于不同原因，机器人臂的用户可能想要调整这些限值以使机器人臂移动得更慢或允许更小的扭矩。因此，代替允许由基本控制软件的安全限值限定的机器人工具的2m/s的速度，所允许的速度可通过过程控制软件的安全限值来减小到1m/s。

在示例性实施方案中，基本控制软件存储在控制器存储器221上，从该控制器存储器由机器人控制器执行基本控制软件，并且安全控制器也从该控制器存储器访问至少安全限值。应当提及的是，机器人安全控制器还具有对非二进制限值的访问，以便能够使机器人臂处于安全模式(在过程控制器不能这样做的情况下)。另选地或除此之外，基本控制软件和过程控制软件的一部分位于安全存储器228上。通常，这部分将包括安全限值。

在过程控制软件正控制机器人工具的情况下，致动器和传感器电连接到与机器人控制器相关联的I/O端口。当这样做并且将过程控制软件上载到机器人控制器时，基于基本控制软件和过程控制软件的组合，机器人控制器能够控制包括最终机器人工具的机器人臂。当上载时，包括过程控制软件的安全限值的操作值的至少一部分是可改变的，而不将机器人臂的模式改变为断电模式。

确保了当根据过程控制软件的安全限值来控制机器人臂时，这些限值不允许机器人臂的操作违反基本控制软件的不可改变的安全限值。这通过用由基本控制软件和过程控制软件提供的该操作参数的安全限值的最受限制值评估操作参数的建立值来完成。以这种方式，确保了如果由过程控制软件指定的安全限值的值例如太高，则机器人臂的操作根据基本控制软件中指定的安全限值的值来进行。这样，始终确保了机器人臂的操作符合经认证的安全系统的安全要求，即使允许过程控制软件改变与其相关联的安全限值的值。

操作参数诸如关节速度和力、TCP速度和力、肘部速度和力、停止距离和时间、功率、扭矩和工具方向是直接测量的或基于测量结果导出的。这些值相对于安全限值进行评估，并且如果违反了安全限值，则使机器人臂处于违规停止模式。按照评估结果(即，使机器人臂处于保护停止模式或违规停止模式)所需的动作由机器人过程控制器或机器人安全控制器进行。然而，可例如在本地关节控制器诸如关节控制器处进行评估，并且然后将结果发送到过程和安全控制器。

在示例性实施方案中，与机器人控制器相比，在过程控制器中不同地通过对应安全限值的值评估操作参数的值。这是为了避免两个控制器中的应使机器人臂处于违规模式的哪一者之间的冲突(如果必要的话)。为了避免这种情况，过程控制器通过对应安全限值减去偏移来评估操作参数的建立值。偏移应当足够大以使过程控制器作出反应，但仍然足够小以有利于机器人臂在尽可能大的操作窗口内的操作。偏移取决于安全限值的类型，并且可被设置为安全限值的固定值或百分比。例如，结合关节角速度，安全限值偏移可为12,5rad/秒的固定值，其中安全限值可为192rad/秒。这产生安全限值的值的1-15％范围内的适当偏移。

在示例性实施方案中，如果过程控制软件允许其，则用户能够经由界面装置104改变安全限值的过程值。可在机器人臂处于操作(即取决于特定的过程控制软件而移动或处于停止模式)时进行这种改变。另选地，机器人工具或其传感器可用于改变安全限值的值。机器人工具和对象之间的最小距离的安全限值可通过从工具传感器读取的值来更新。这可能要求机器人臂处于教导模式，其中允许安全限值的此类更新。

图4示出了机器人臂操作的曲线451(实线)。该曲线表示操作参数的实时建立值，其值由正常值452(长虚线)、减小的正常值453(两划一点线)和过程值454(短虚线)所限定的安全限值限制。操作参数可以是力、距离、速度等。应当注意，如上所述，在示例性实施方案中，操作参数的值由机器人控制器控制为比安全限值的指定值低偏移455。因此，只要不违反安全限值的不同值，机器人臂的操作就继续。如果违反了值减去偏移，则过程控制器应使机器人臂处于停止模式，并且如果没有发生这种情况，则安全控制器应使机器人臂处于违规模式。

如图所示，根据安全限值的正常值和过程值的最受限制值来控制机器人臂。正常值452和减小的正常值453不改变，而过程值454的值在所示的操作循环部分期间改变若干次。此外，示出了过程控制器将机器人臂的速度控制为比如实线(在该线上方具有阴影区域，这在上文也解释了)所示的活动安全限值456a至456i低偏移。机器人臂在过程值高于正常值的正常模式下开始，并且因此最初按照图4所示的顺序，过程控制器根据由正常值定义的活动安全限值456a来控制机器人臂。过程值与正常值和减小的正常值的评估或比较在操作期间是连续的，通过过程值的修改、控制软件中的状态变化、操作模式的变化等来触发。

在曲线451可反映机器人臂的速度的情况下，如所指出的，机器人臂以正常速度(如活动安全限值456所指示)操作直到时间T1。

在时间T1处，通过来自机器人工具的输入、外部传感器或通过控制软件来触发减小模式(被示为阴影区域)。因此，活动安全限值456b改变为减小的正常值，在时间T1和T2之间基于该减小的正常值控制机器人臂。减小的正常值也比过程值454低(更受限制)，并且因此，根据由减小的正常值453限定的活动安全限值456b来控制机器人臂。

在时间T2处，机器人臂切换回到正常模式，因此活动安全限值456c的值再次为正常值452，因为这与过程值454相比仍然更受限制。

在时间T3处，机器人臂仍处于正常模式，并且过程值被修改。将过程值454的新值对于正常值452的评估导致新活动安全限值456d更受限制，并且因此这用于限制时间T3和T4之间的速度。

在时间T4处，将过程值再次更新为新值。正常值452和新过程值454的评估的结果仍然相同，并且因此机器人臂继续根据过程值454进行控制，并且活动安全值456e被更新为新过程值。

在时间T5处，机器人臂的操作模式改变为减小模式(示为阴影区域)，即进行安全限值的值的新评估，这次介于减小的正常值453和过程值454之间。评估的结果是过程值454是最受限制的，并且因此过程控制器继续根据活动安全值456e进行控制。

在时间T6处，将过程值再次修改为新值454，操作模式仍为减小模式，并且减小的正常值453保持不变。安全限值的评估的结果仍然是过程值454为最受限制的，并且因此活动安全值456f被更新为新过程值。

在时间T7处，将过程值再次修改为新值，操作模式仍为减小模式，并且减小的正常值453保持不变。评估的结果现在正在改变，因为新过程值高于减小的正常值。因此，活动安全值456G被更新为减小的正常模式值。

在时间T8处，操作模式改变回正常模式，并且因此评估现在将正常值与过程值进行比较。其结果是过程值是最受限制的，并且因此活动安全限值546h被更新为过程值。

在时间T9处，再次将过程值修改为新值，同时操作模式保持正常模式。评估结果现在示出了正常值比新过程值更受限制，并且因此活动安全限值546i被更新为正常值。

在时间T10处，观察到违反活动安全限值456i的正常值452。更具体地讲，该违规未被过程控制器及时观察到或作出反应，并且因此被安全控制器处理。示出了这一点，因为曲线451所示的操作参数的值增加到正常值减去偏移以上。当达到正常值时，安全控制器将模式改变为如上所述的违规停止，其停止机器人臂的操作。在该示例性实施方案中，安全控制器将立即接合机械制动器并使机器人断电。大多数时候，在安全控制器使机器人臂处于违规停止模式之前，过程控制器使机器人臂处于保护停止。

对安全限值的值的评估至少是两个值(正常值与过程值或减小的正常值与过程值)之间的比较。如所提及的，可以针对一个或多个安全限值具有若干过程值，因此评估可包括将若干对的正常值/减小的正常值与过程值进行比较。

从图4中可以看出，只有过程值可在运行时进行修改。不能在运行时对正常值和减小的正常值进行修改，因为它需要停止操作。如所解释的，本发明通过允许用户引入并然后修改过程值来解决这个问题，从而确保如果这些过程值分别比正常值和减小的正常值更受限制，则仅根据这些过程值来控制机器人臂。

应当提及的是，在机器人臂的一个操作周期期间，各自具有其自身的安全限值的过程值的多个不同过程控制软件可同时运行和/或彼此跟随地运行。为了说明这一点，下表1示出了对于基本控制软件和不同过程控制软件具有不同值的若干安全限值。

图5示出了根据本发明的示例性实施方案的监测如上所述的机器人系统的方法的流程图。方法包括初始步骤S1，即建立可根据基本控制软件控制的机器人臂。基于例如基本控制软件的移动命令，机器人控制器能够在笛卡尔坐标系中移动机器人臂。移动序列由机器人臂的编程者或用户确定并且通常是重复序列。

至少一些机器人工具需要由机器人控制器控制的专用控制软件。该工具特定控制软件被称为过程控制软件并且在步骤2S2中建立。过程控制软件可从附接到机器人的传感器接收输入，并且取决于机器人工具的类型向致动器、阀等提供输出。因此，基于基本和过程控制软件的组合，机器人控制器能够控制包括机器人工具的机器人臂以执行特定操作。

过程控制软件可通过使用机器人控制器202来直接开发，并且因此存储在控制器存储器221上。另选地，过程控制软件的至少一部分在机器人控制器的外部开发并且然后上载到控制器存储器221，机器人控制器可从该控制器存储访问该过程控制软件并且该过程控制软件也可用于安全处理器227。通常，如果过程控制软件主要独立于机器人控制器开发，则在上传到存储器并安装机器人臂时，机器人臂需要集成在其操作环境中。无论如何开发过程控制软件，在步骤3S3中将其存储在控制器存储器221上。

如上所述，机器人臂通过基本控制软件承载，该基本控制软件包括预定义的安全限值，从而限制例如速度、力、停止距离、工具方向等的操作(在表1中提供了更多示例)。对于每个安全限值，指定了被称为正常值的默认值，其限制机器人臂的操作。取决于机器人工具和机器人臂需要执行的操作任务，这些限值可能需要不同于正常值，并且为了适应这一点，过程控制软件引入一个或多个安全限值的过程值。当机器人臂处于操作模式时，可在运行时调整这些过程值的值，而仅在机器人臂断电时才允许改变正常值。

仅能够在断电期间改变正常值的原因是，这些值是机器人的经认证安全系统的一部分，从而确保机器人臂相对于由机器人臂搬运的对象及其周围环境(包括人)安全地操作。因此，每当改变正常值时，机器人控制器就需要批准新值以确保没有违反设计限值等。如果否，则接受新值，并且然后根据安全限值的新值来控制机器人臂。

在步骤4S4中，如所指示的，将机器人臂集成并准备好在其本地环境中操作，并且在集成之后，它能够根据基本控制软件和过程控制软件的组合(包括若干安全限值的正常值和过程值)来进行控制以执行专用操作任务。

在步骤5S5中，在机器人臂的操作期间，机器人控制器建立操作参数的实时值。操作参数可直接从机器人臂的传感器提供或从传感器输入导出。

如所提及的，可在机器人臂的操作期间实时调整过程值。这是有利的，因为例如可使机器人臂的集成更快，因为在机器人臂处于操作模式时可实时调整对安全限值的值的改变。

然而，由于安全限值是安全系统的一部分，因此值存在边界，并且为了避免通过将过程值调整到允许范围之外而损害安全性，将其变化与正常值和最安全值进行比较，即，通常选择过程值和正常值的最受限制值作为机器人臂的操作的限值。在步骤6S6中由机器人控制器实时执行该比较或评估，其中安全控制器也监测机器人臂的操作。如果操作值违反安全限值，则机器人控制器在预定时间内使机器人臂处于停止模式。

应当提及的是，除此之外或另选地，机器人关节控制器可执行包括计算或比较在内的评估，并且如果例如两个关节控制器关于传感器输入、计算或比较不达成一致，则将反映此的信号提供给机器人和安全控制器。在接收到此类信号时，机器人控制器应使机器人臂处于停止模式，该停止模式再次由安全控制器监测。

由安全控制器执行的监测可包括建立(例如计算、接收等)操作参数并将其与相关联的安全限值的值进行比较。此外，安全控制器可监测机器人控制器是否在预定停止时间内使机器人臂处于停止模式。如果情况不是这样，则安全控制器使机器人臂处于违规停止模式。

附图标号简述