DE102021128648A1

DE102021128648A1 - Security system and method for monitoring the operation of a device to be secured with a security server

Info

Publication number: DE102021128648A1
Application number: DE102021128648.4A
Authority: DE
Inventors: Christian Uhlenbrock
Original assignee: KA Schmersal Holding GmbH and Co KG
Current assignee: KA Schmersal Holding GmbH and Co KG
Priority date: 2021-11-03
Filing date: 2021-11-03
Publication date: 2023-05-04

Abstract

Die Erfindung betrifft ein Sicherheitssystem und ein Verfahren zur Überwachung des Betriebs einer zu sichernden Vorrichtung 12. Mindestens ein Sensor 16, 18 überwacht die zu sichernde Vorrichtung 12 und liefert ein Sensorsignal S. Eine mit dem Sensor 16, 18 verbundene Mobilfunkeinrichtung 20 übermittelt das Sensorsignal S drahtlos an einen entfernten Sicherheits-Server 28. Der Sicherheits-Server 28 umfasst mindestens einen Speicher mit einem Verarbeitungsprogramm und eine Ausführungseinheit zur Ausführung des Verarbeitungsprogramms. Mindestens der Speicher und/oder die Ausführungseinheit des Sicherheits-Servers 28 sind sicherheitstechnisch ausgelegt. Das Verarbeitungsprogramm ist dazu ausgebildet ist, das Sensorsignal S so zu verarbeiten, dass das Vorliegen eines sicheren Zustands festgestellt wird, bzw. das Vorliegen oder Nicht-Vorliegen des sicheren Zustands signalisiert wird.

The invention relates to a security system and a method for monitoring the operation of a device 12 to be secured. At least one sensor 16, 18 monitors the device 12 to be secured and supplies a sensor signal S. A mobile radio device 20 connected to the sensor 16, 18 transmits the sensor signal S wirelessly to a remote security server 28. The security server 28 comprises at least one memory with a processing program and an execution unit for executing the processing program. At least the memory and/or the execution unit of the security server 28 are designed in terms of security. The processing program is designed to process the sensor signal S in such a way that the presence of a safe state is determined, or the presence or absence of the safe state is signaled.

Description

Die Erfindung betrifft ein Sicherheitssystem und ein Verfahren zur Überwachung des Betriebs einer zu sichernden Vorrichtung.The invention relates to a security system and a method for monitoring the operation of a device to be secured.

In verschiedenen Bereichen sind zur Absicherung von zu sichernden Vorrichtungen, bspw. industriellen Anlagen, Maschinen oder Fahrzeugen, Schutzeinrichtungen erforderlich, sowohl um Menschen vor von der betreffenden Vorrichtung ausgehenden Gefahren zu schützen als auch um umgekehrt den Betrieb einer zu sichernden Vorrichtung vor äußeren Eingriffen abzusichern.In various areas, protective devices are required to protect devices to be secured, for example industrial systems, machines or vehicles, both to protect people from dangers emanating from the device in question and, conversely, to protect the operation of a device to be secured from external intervention.

An Schutzeinrichtungen sind beispielsweise trennende Schutzeinrichtungen bekannt wie Zäune und Absperrungen. Da zumeist ein Zugang zur zu sichernden Vorrichtung erforderlich ist, weisen solche trennende Schutzeinrichtungen zumeist überwachte Zugänge wie Türen mit entsprechendem Überwachungssensor auf. Ebenso sind Überwachungssysteme mit anderen Typen von Sensoren bekannt, bspw. optische Sensoren wie Lichtschranken, Lichtgitter etc.Protective devices such as fences and barriers are known, for example. Since access to the device to be secured is usually required, such separating protective devices usually have monitored access points such as doors with a corresponding monitoring sensor. Monitoring systems with other types of sensors are also known, e.g. optical sensors such as light barriers, light grids, etc.

Ausgehend von einem potentiellen Risiko, dass aus dem Signal der Sensoren erkennbar ist, kann eine Risikobewertung erfolgen und der Betrieb der zu sichernden Vorrichtung bei Erkennung von Gefahren entsprechend angepasst werden. Beispielsweise kann eine industrielle Anlage ohne Einschränkung betrieben werden, solange ein Türsensor den geschlossenen Zustand des einzigen Zugangs signalisiert. Ist aus dem Signal eines oder mehrerer Sensoren aber eine eventuelle Gefährdung erkennbar (bspw. durch Unterbrechen einer Lichtschranke), ist aus Sicherheitsgründen eine Unterbrechung oder zumindest Anpassung des Betriebs einer zu sichernden Vorrichtung erforderlich.Based on a potential risk that can be identified from the signal from the sensors, a risk assessment can be carried out and the operation of the device to be protected can be adjusted accordingly when dangers are identified. For example, an industrial plant can be operated without restrictions as long as a door sensor signals the closed state of the only access. However, if the signal from one or more sensors indicates a potential hazard (e.g. due to the interruption of a light barrier), the operation of a device to be protected must be interrupted or at least adjusted for safety reasons.

Bekannte Sicherheitssysteme und Betriebsüberwachungsverfahren nutzen zumeist lokale Erfassungsmittel am Ort der zu überwachenden Vorrichtung sowie unmittelbar daran angeschlossene, lokale Steuereinrichtungen.Known security systems and operational monitoring methods mostly use local detection means at the location of the device to be monitored and local control devices connected directly to it.

Erfassungsmittel, die physikalische Größen erfassen können, die zur Feststellung eines sicheren oder unsicheren Zustands genutzt werden können, werden vereinfacht zusammengefasst im Folgenden als „Sensoren“ bezeichnet. Dabei ist es bereits bekannt, Sensoren sicherheitstechnisch auszulegen, d.h. so zu konstruieren, dass das gelieferte Sensorsignal verlässlich und eine Fehlsignalisierung ausgeschlossen ist, bspw. durch Redundanz, Selbsttests usw.Recording means that can record physical quantities that can be used to determine a safe or unsafe state are referred to below as “sensors” in a simplified manner. It is already known to design sensors in terms of safety, i.e. to construct them in such a way that the sensor signal supplied is reliable and incorrect signaling is excluded, e.g. through redundancy, self-tests, etc.

Es kann als Aufgabe angesehen werden, ein Sicherheitssystem und ein Betriebsüberwachungssystem für eine zu sichernde Vorrichtung vorzuschlagen, mit dem sich besonders effizient verschiedenste Anforderungen an Betriebssicherheit erfüllen lassen.It can be seen as an object to propose a safety system and an operational monitoring system for a device to be secured, with which a wide variety of operational safety requirements can be met particularly efficiently.

Diese Aufgabe wird gelöst durch ein Sicherheitssystem gemäß Anspruch 1 und ein Verfahren zur Überwachung des Betriebs einer zu sichernden Vorrichtung gemäß Anspruch 13. Abhängige Ansprüche beziehen sich auf vorteilhafte Ausführungsformen der Erfindung.This object is achieved by a security system according to claim 1 and a method for monitoring the operation of a device to be secured according to claim 13. Dependent claims relate to advantageous embodiments of the invention.

Die zu überwachende Vorrichtung kann verschiedensten Typs sein von einer Art, für die ein Betriebsrisiko identifizierbar ist, d.h. beispielsweise die Möglichkeit vom Personen- oder Sachschaden bei gestörtem Betrieb. Die zu sichernde Vorrichtung kann bspw. ein einzelnes Gerät sein, eine (industrielle) Anlage, eine Maschine, ein Land-, Wasser- oder Luftfahrzeug etc.The device to be monitored can be of the most varied type of a kind for which an operational risk is identifiable, i.e. for example the possibility of personal injury or damage to property in the event of malfunctioning. The device to be secured can be, for example, a single device, an (industrial) plant, a machine, a land, water or air vehicle, etc.

Das erfindungsgemäße Sicherheitssystem umfasst als Hauptkomponenten einen oder mehrere Sensoren, einen entfernten Sicherheits-Server und dazwischen eine Übertragungsstrecke mit mindestens einem Mobilfunkabschnitt.The main components of the security system according to the invention include one or more sensors, a remote security server and a transmission link with at least one mobile radio section in between.

Ein oder mehrere Sensoren dienen erfindungsgemäß zur Erfassung physikalischer Größen, die für eine Risikobewertung relevant sein können, wie bspw. (Relativ-)Position, Abstand, Anwesenheit von Stoffen oder Objekten, Lage oder Beschleunigung, Temperatur, Feuchtigkeit, elektrische Größen etc. Das Messprinzip der Sensoren kann beispielsweise mechanisch sein (z. B. Schalter, Trittmatten, Öffnungssensoren), chemisch (Stoff-, Gas- oder Flüssigkeitssensoren), elektrisch (bspw. kapazitiv, induktiv, resistiv), optisch (bspw. Kameras, Lichtschranken, Lichtgitter), akustisch (bspw. Ultraschall- Abstandssensoren) oder beruhend auf einer zusammenwirkenden Verwendung mehrerer dieser Messprinzipien.According to the invention, one or more sensors are used to detect physical quantities that can be relevant for a risk assessment, such as (relative) position, distance, presence of substances or objects, position or acceleration, temperature, humidity, electrical quantities, etc. The measuring principle The sensors can be, for example, mechanical (e.g. switches, safety mats, opening sensors), chemical (material, gas or liquid sensors), electrical (e.g. capacitive, inductive, resistive), optical (e.g. cameras, light barriers, light grids) , acoustically (e.g. ultrasonic distance sensors) or based on the combined use of several of these measuring principles.

Der bzw. die erfindungsgemäßen Sensoren können bspw. sicherheitstechnisch ausgelegt sein, d.h. sie können bspw. über eine redundante Auslegung und/oder ständige Selbst-Überprüfung verfügen. Allerdings können auch Sensoren verwendet werden, die nicht über sicherheitstechnische Auslegung verfügen. Sensoren mit und ohne sicherheitstechnische Auslegung können auch gemischt vorhanden sein. Bevorzugt wird in dieser Anmeldung unter sicherheitstechnisch ausgelegt eine Auslegung bzw. ein Design verstanden, die funktionale Sicherheit zuverlässig gewährleisten und Risiken einer Fehlfunktion minimieren, insbesondere gemäß einem Sicherheits-Integritätslevel SIL einer der Stufen 1-4 der Sicherheitsnormen EN 61508 bzw. IEC 61508.The sensor(s) according to the invention can, for example, be designed in terms of safety, i.e. they can have a redundant design and/or constant self-checking. However, sensors that do not have a safety-related design can also be used. Sensors with and without a safety-related design can also be mixed. In this application, safety-related design is preferably understood to mean an interpretation or design that reliably ensures functional safety and minimizes the risk of a malfunction, in particular in accordance with a safety integrity level SIL of levels 1-4 of the safety standards EN 61508 or IEC 61508.

Die Verarbeitung der Signale des Sensors bzw. der Sensoren erfolgt durch einen Sicherheits-Server. Dieser kann bspw. einen programmierbaren Computer oder mehrere Computer umfassen. Er ist entfernt von der zu sichernden Vorrichtung angeordnet, bspw. in einem Rechenzentrum, und über die Übertragungsstrecke mindestens mit dem Sensor/ den Sensoren gekoppelt, bevorzugt zudem mit einer Ansteuerschnittstelle der zu sichernden Vorrichtung. Unter „entfernt“ ist zu verstehen, dass aufgrund der flexiblen Übertragungsstrecke keine feste, lokale Relativ-Anordnung zur zu sichernden Vorrichtung nötig ist, während die konkrete Entfernung von bspw. 100 m oder mehr, bevorzugt 1 km oder mehr keine Rolle spielt.The signals from the sensor or sensors are processed by a security server. This can, for example, include a programmable computer or multiple computers. It is arranged at a distance from the device to be secured, for example in a computer center, and is coupled via the transmission path at least to the sensor(s), preferably also to a control interface of the device to be secured. “Remote” means that, due to the flexible transmission path, no fixed, local arrangement relative to the device to be secured is necessary, while the specific distance of, for example, 100 m or more, preferably 1 km or more, is irrelevant.

Der Sicherheits-Server umfasst mindestens einen Speicher (bspw. bekannte flüchtige oder nicht-flüchtige Speicher wie RAM, ROM, Flash-Speicher, Festplatten etc.) und mindestens eine Ausführungseinheit zur Ausführung des Verarbeitungsprogramms (wie bspw. eine CPU/Mikroprozessor). Der Sicherheits-Server, zumindest dessen Speicher und/oder Ausführungseinheit, sind dabei sicherheitstechnisch ausgelegt, d.h. durch Redundanz und/oder Selbst-Überprüfung gegen Fehlfunktionen abgesichert. Beispielsweise kann mindestens eine sichere Ausführungseinheit vorgesehen sein, bspw. eine Ausführungseinheit für Lockstep-Betrieb, bei dem mehrere gleichartige Einheiten wie CPUs oder CPU-Kerne vorhanden sind, die - ggfs. zeitlich geringfügig versetzt - gleiche Operationen ausführen, wobei eine Einrichtung zum Abgleich der Resultate vorgesehen ist. Die sicherheitstechnische Auslegung des Sicherheits-Servers kann ggfs. durch weitere, durch entsprechende Normen geforderte Sicherheits-Komponenten ergänzt werden, so dass seine Eignung für Safety-Anwendungen des gewünschten Sicherheits-Levels gewährleistet ist. Voraussetzungen für eine sichere Steuerung sind für lokale, unmittelbar an der zu sichernden Vorrichtung angeordnete Steuerungen an sich bekannt.The security server comprises at least one memory (e.g. known volatile or non-volatile memory such as RAM, ROM, flash memory, hard disks, etc.) and at least one execution unit for executing the processing program (e.g. a CPU/microprocessor). The security server, at least its memory and/or execution unit, is designed in terms of security, i.e. protected against malfunctions by redundancy and/or self-checking. For example, at least one secure execution unit can be provided, e.g. an execution unit for lockstep operation, in which several units of the same type such as CPUs or CPU cores are present, which - possibly slightly offset in time - execute the same operations, with a device for aligning the results is provided. The safety-related design of the safety server can, if necessary, be supplemented by other safety components required by the corresponding standards, so that its suitability for safety applications of the desired safety level is guaranteed. Prerequisites for secure control are known per se for local controls arranged directly on the device to be secured.

Die Übertragungsstrecke umfasst zumindest abschnittsweise eine Mobilfunkstrecke, bevorzugt eine digitale drahtlose Datenübertragung zwischen einem Endgerät und einem Netzknoten. Hierzu ist eine unmittelbar oder mittelbar mit dem Sensor verbundenen Mobilfunkeinrichtung vorgesehen, bevorzugt eine möglichst direkt oder mit geringem Abstand von bspw. weniger als 10m, bevorzugt 1m oder weniger zum Sensor vorgesehene Mobilfunkeinrichtung. Bevorzugt handelt es sich um eine Mobilfunkeinrichtung nach dem 5g-Standard bzw. zukünftigen Mobilfunkstandards; ersatzweise kann auch eine andere Form der Mobildatenübertragung bspw. nach 2g, 3g oder 4g-Standard infrage kommen.At least in sections, the transmission path includes a mobile radio path, preferably digital wireless data transmission between a terminal device and a network node. For this purpose, a mobile radio device connected directly or indirectly to the sensor is provided, preferably a mobile radio device provided as directly as possible or at a small distance of, for example, less than 10 m, preferably 1 m or less, from the sensor. It is preferably a mobile radio device based on the 5g standard or future mobile radio standards; alternatively, another form of mobile data transmission, for example according to the 2g, 3g or 4g standard, can also be considered.

Das Verarbeitungsprogramm, das auf dem Sicherheits-Server ausgeführt wird, ist dazu ausgebildet, das vom Sensor erfasste und über die Mobilfunkeinrichtung übertragene Sensorsignal zu verarbeiten. Das Sensorsignal wird dabei so verarbeitet, dass das Vorliegen oder Nicht-Vorliegen eines sicheren Zustands festgestellt und durch den Sicherheits-Server signalisiert wird. Als sicherer Zustand wird ein Zustand angesehen, in dem der Betrieb der zu sichernden Vorrichtung gemäß der vorliegenden Sensordaten problemlos erfolgen kann. Das Nicht-Vorliegen eines sicheren Zustands kann festgestellt werden bspw. anhand von Sensordaten, die eine Fehlfunktion der zu überwachenden Vorrichtung oder einen stattfindenden oder bevorstehenden Eingriff von außen möglich erscheinen lassen, oder auch für den Fall, dass empfangene Sensordaten auf eine nicht gesichert fehlerfreie Funktion des Sensors oder der Übertragungsstrecke hindeuten, bspw. wenn Sensordaten, insbesondere von nicht sicherheitstechnisch ausgelegten Sensoren, Plausibilitätskriterien nicht erfüllen.The processing program, which runs on the security server, is designed to process the sensor signal detected by the sensor and transmitted via the mobile radio device. The sensor signal is processed in such a way that the presence or absence of a safe state is determined and signaled by the security server. A safe state is considered to be a state in which the device to be secured can be operated without problems according to the available sensor data. The non-existence of a safe state can be determined, for example, using sensor data that make a malfunction of the device to be monitored or an external intervention that is taking place or imminent appear possible, or also in the event that received sensor data indicate a non-secure error-free function of the sensor or the transmission path, e.g. if sensor data, in particular from sensors that are not designed to be safety-related, do not meet plausibility criteria.

Die daraus folgende Signalisierung kann eine beliebige Form der Anzeige oder Alarmierung sein, entweder zur Wahrnehmung durch einen menschlichen Bediener oder, bevorzugt, zur automatischen Auslösung von Sicherheitsfunktionen wie dem Stilllegen oder Versetzen der zu überwachenden Vorrichtung in einen sicheren Betriebszustand.The resulting signaling can be any form of indication or alarm, either for perception by a human operator or, preferably, for the automatic triggering of safety functions such as shutting down or putting the device to be monitored into a safe operating state.

Das erfindungsgemäße Sicherheitssystem und Betriebsüberwachungsverfahren bieten eine hohe Flexibilität. Der Sicherheits-Server kann an beliebigem Ort angeordnet sein und eine einzelne Vorrichtung oder bevorzugt eine Vielzahl von Vorrichtungen an beliebigen Orten überwachen. Das erfindungsgemäße System und Verfahren ist zur Verwendung mit allen denkbaren Typen von zu überwachenden Vorrichtungen, Sensoren und Arten der Sensordatenverarbeitung nutzbar. Das Sicherheitssystem ist gut skalierbar, so kann bspw. der Sicherheits-Server die Verarbeitung für eine Mehrzahl von zu sichernden Vorrichtungen an unterschiedlichen Orten übernehmen. So ist es bspw. möglich, die sicherheitstechnische Betriebsüberwachung von Vorrichtungen als Dienstleistung anzubieten.The security system and operation monitoring method according to the invention offer a high degree of flexibility. The security server can be located anywhere and monitor a single device or, preferably, multiple devices at any location. The system and method according to the invention can be used with all conceivable types of devices to be monitored, sensors and types of sensor data processing. The security system is easily scalable, for example the security server can take over the processing for a number of devices to be secured at different locations. For example, it is possible to offer the safety-related operational monitoring of devices as a service.

Das erfindungsgemäße Sicherheitssystem und Betriebsüberwachungsverfahren ermöglichen durch den Sicherheits-Server, der bevorzugt ein sicherheitstechnisch ausgelegter Cloud-Server ist, den Aufbau eines sicheren Kreises bis zu den Sensoren. Durch geeignete Auswertung kann selbst für nicht sicherheitstechnisch ausgelegte Sensoren ein verlässlicher Betrieb ermöglich werden. Hierfür ist bevorzugt, die Sensoren - besonders wenn sie nicht sicherheitstechnisch ausgelegt sind - zyklisch hoch dynamisch abzufragen. Die erhaltenen Signale der Sensoren können in der Verarbeitung plausibilisiert werden, um eventuelle Fehlfunktionen zu erkennen. Bspw. kann gefordert werden, dass sich, bedingt durch Einflüsse wie bspw. Rauschen, von Abfrage zu Abfrage eine Veränderung in mindestens einem Sensorsignal ergibt, andernfalls ist ein Fehlerzustand anzunehmen („eingefrorene“ Sensorsignale).The security system and operational monitoring method according to the invention enable a secure circle to be set up right down to the sensors by means of the security server, which is preferably a security-designed cloud server. Suitable evaluation can enable reliable operation even for sensors that are not designed to be safety-related. For this purpose, it is preferred that the sensors—particularly if they are not designed in terms of safety—are cyclically polled in a highly dynamic manner. The signals received from the sensors can be checked for plausibility during processing in order to detect any malfunctions. For example, it can be required that, due to influences such as noise, there is a change in at least one sensor signal from query to query, otherwise an error status (“frozen” sensor signals) is to be assumed.

Gemäß einer Weiterbildung der Erfindung kann die Mobilfunkeinrichtung ausgebildet sein für sicherheitstechnisch ausgelegte Datenübertragung. Bereits bestehende Mobilfunkstandards sehen Prüfmechanismen zur Absicherung der Integrität der Datenübertragung vor. Darüber hinaus kann die Mobilfunkeinrichtung sicherheitstechnisch ausgelegt sein, bspw. gemäß einem Sicherheits-Integritätslevel SIL gemäß der Norm, bspw. durch eine Kombination von Absicherungsmaßnahmen gegen Bitfehler, Übertragungsfehler, Prüfsummenfehler o.Ä., die die jeweilige Sicherheitsnorm erfordern.According to a development of the invention, the mobile radio device can be designed for safety-related data transmission. Existing mobile radio standards provide for test mechanisms to ensure the integrity of data transmission. In addition, the mobile radio device can be designed in terms of safety, for example according to a safety integrity level SIL according to the standard, for example using a combination of safeguards against bit errors, transmission errors, checksum errors or the like, which the respective safety standard requires.

Bevorzugt weist die zu sichernde Vorrichtung eine Ansteuerschnittstelle auf, so dass sie durch geeignete Ansteuerung über die Ansteuerschnittstelle in verschiedene Betriebszustände versetzt werden kann. Dies können im einfachsten Fall der ausgeschaltete Zustand und der normale Betriebszustand sein, je nach Ausbildung kann aber auch ein sicherer Betriebszustand ansteuerbar sein, bei dem bspw. bestimmte risikobehaftete Betriebsweisen wie die Bewegung eines mechanischen Arms unterbunden sind, der Betrieb im Übrigen aber ermöglicht wird. Die Ansteuerschnittstelle kann Teil der Steuerung der zu sichernden Vorrichtung sein und/oder die Form eines Moduls annehmen. Sie kann selbst sicherheitstechnisch ausgelegt sein. Eine solche sichere Ansteuerschnittstelle - im einfachsten Fall ein Abschaltmodul - kann räumlich direkt an der zu sichernden Vorrichtung angebracht sein oder bevorzugt darin integriert. Die Ansteuerschnittstelle arbeitet bevorzugt gesteuert durch Steuerdaten des Sicherheitsservers und kann somit bspw. einen Relay-Baustein darstellen. Die Ansteuerschnittstelle kann dabei auch selbst die erhaltenen Steuerdaten des Sicherheitsservers prüfen und plausibilisieren, etwa bei fehlender Plausibilität (oder längerem Ausbleiben von Signalen) selbst einen unsicheren Zustand annehmen und entsprechende Maßnahmen treffen (Abschaltung, Umschaltung in sicheren Betriebszustand). Die Ansteuerschnittstelle bzw. ein Abschaltmodul kann so ausgelegt sein, dass die erfolgte Ansteuerung (bspw. Abschaltung) an den Sicherheitsserver zurückgemeldet wird, so dass mittels einer geschlossenen Schleife der Erfolg der Sicherheitsmaßnahme überprüfbar und gesichert ist.The device to be secured preferably has a control interface, so that it can be put into different operating states by suitable control via the control interface. In the simplest case, this can be the switched-off state and the normal operating state, but depending on the design, a safe operating state can also be controlled in which, for example, certain risky operating modes such as the movement of a mechanical arm are prevented, but the operation is otherwise possible. The drive interface may be part of the controller of the device to be secured and/or take the form of a module. It can itself be designed in terms of safety. Such a secure control interface—in the simplest case a switch-off module—can be physically attached directly to the device to be secured or preferably integrated therein. The control interface works preferably controlled by control data from the security server and can thus represent a relay module, for example. The control interface can also check and validate the control data received from the security server itself, for example in the event of a lack of plausibility (or a longer absence of signals) it can itself assume an unsafe state and take appropriate measures (switching off, switching to a safe operating state). The activation interface or a shutdown module can be designed in such a way that the activation (e.g. shutdown) that has taken place is reported back to the security server, so that the success of the security measure can be checked and secured by means of a closed loop.

Das Verarbeitungsprogramm ist bevorzugt dazu ausgelegt, abhängig vom Vorliegen oder Nicht-Vorliegen des sicheren Zustands Steuerdaten zu erzeugen zur Übermittlung an die Ansteuerschnittstelle. Somit kann im Fall eines erkannten Risikos die Fortsetzung des Normalbetriebs automatisch durch entsprechende Ansteuerung unterbunden werden und die zu sichernde Vorrichtung ausgeschaltet oder in einen sicheren Betriebszustand versetzt werden.The processing program is preferably designed to generate control data for transmission to the control interface depending on the presence or absence of the safe state. Thus, if a risk is identified, the continuation of normal operation can be automatically prevented by appropriate control and the device to be protected can be switched off or put into a safe operating state.

In der Kombination des sicherheitstechnisch ausgelegten Sicherheits-Servers mit einer sicherheitstechnisch ausgelegten Mobilfunkverbindung und ggfs. einer sicherheitstechnisch ausgelegten Ansteuerschnittstelle (bspw. Abschaltmodul) kann eine sichere Kette gebildet werden, auch für nicht sicherheitstechnisch ausgebildete Sensoren.In the combination of the security server designed for security with a mobile radio connection designed for security and, if necessary, a control interface designed for security (e.g. shutdown module), a secure chain can be formed, even for sensors that are not trained for security.

Bevorzugt kann die durchgeführte Verarbeitung eine Risikobewertung umfassen. Hierfür kann das Verarbeitungsprogramm dazu ausgelegt sein, durch Analyse des Sensorsignals eines Sensors oder bevorzugt von mehreren Sensoren im Rahmen einer Risikobewertung festzustellen, ob ein Risikozustand vorliegt, der eine Unterbrechung oder Änderung des Betriebs der zu sichernden Vorrichtung erfordert.The processing carried out can preferably include a risk assessment. For this purpose, the processing program can be designed to analyze the sensor signal from a sensor or preferably from a number of sensors as part of a risk assessment to determine whether there is a risk condition that requires an interruption or change in the operation of the device to be protected.

Für die Verarbeitung des Sensorsignals können verschiedene Verarbeitungsalgorithmen eingesetzt werden, bspw. Wertevergleiche mit Schwellenwerten. Dabei ist es auch möglich, dass die Verarbeitung mittels eines Algorithmus der künstlichen Intelligenz erfolgen kann. Hierfür kann das Verarbeitungsprogramm zu einer entsprechenden KI-Verarbeitung ausgelegt sein. Die Verarbeitung kann bspw. wissensbasiert oder durch Mustererkennung erfolgen. Bspw. kann ein künstliches neuronales Netz eingesetzt werden.Various processing algorithms can be used to process the sensor signal, for example value comparisons with threshold values. It is also possible that the processing can take place by means of an artificial intelligence algorithm. For this purpose, the processing program can be designed for a corresponding AI processing. The processing can, for example, be knowledge-based or by pattern recognition. For example, an artificial neural network can be used.

Eine mögliche Technik der Verarbeitung des Signals eines Sensors oder mehrerer Sensoren umfasst eine Plausibilitätsprüfung. Die Plausibilitätsprüfung kann bspw. so ausgelegt sein, dass für ein Signal oder eine Mehrzahl von Signalen ein Wertebereich für den Signalwert, eine Änderung des Signalwerts oder eine Kombination von Signalwerten vorgegeben ist oder ermittelt wird, die im regulären Zustand als plausibel angesehen werden. Wird bei der Analyse eines oder mehrerer Signale dieser Bereich verlassen, so liegt kein plausibler Zustand vor und es ist von einem irregulären Zustand oder einer Fehlfunktion auszugehen, bspw. bei der Erfassung oder Übertragung. Das Verarbeitungsprogramm kann dann bevorzugt so ausgelegt sein, dass die Plausibilitätsprüfung durchgeführt und bei Fehlschlagen derselben das Nicht-Vorliegen des sicheren Zustands festgestellt wird.One possible technique of processing the signal from one or more sensors includes a plausibility check. The plausibility check can, for example, be designed such that a value range for the signal value, a change in the signal value or a combination of signal values that are considered plausible in the regular state is specified or determined for a signal or a plurality of signals. If one or more signals leave this range during the analysis, then there is no plausible state and an irregular state or a malfunction must be assumed, e.g. during acquisition or transmission. The processing program can then preferably be designed in such a way that the plausibility check is carried out and, if it fails, the non-existence of the safe state is determined.

Gemäß einer Weiterbildung der Erfindung kann bei der Verarbeitung die Identifikation einer Person berücksichtigt werden. So kann eine Beurteilung unterschiedlich ausfallen, je nachdem welche Person identifiziert wird, bspw. als Bediener der zu sichernden Vorrichtung oder als potentiell durch den Betrieb der zu sichernden Vorrichtung gefährdete Person. Bspw. können bestimmte Bedienungen der zu sichernden Vorrichtung einer dafür ausgebildeten bzw. dazu berechtigten Person vorbehalten sein, oder der Mindestabstand, den eine Person von einer zu sichernden Vorrichtung halten muss, damit diese weiter betrieben werden kann, kann unterschiedlich sein je nach Aufgabe, Berechtigungen oder Ausbildungsstand der Person.According to a development of the invention, the identification of a person can be taken into account during processing. An assessment can be different, depending on which person is identified, e.g. as the operator of the securing device or as a person potentially endangered by the operation of the device to be secured. For example, certain operations of the device to be secured can be reserved for a person trained or authorized to do so, or the minimum distance that a person must keep from a device to be secured so that it can continue to be operated can vary depending on the task and authorizations or level of education of the person.

Bspw. kann der Sicherheits-Server eine Benutzer-Datenbank umfassen oder mit einer solchen zugriffsmäßig verbunden sein. In der Benutzer-Datenbank können Informationen zu Identifikation von Personen gespeichert sein. Als Sensor kann mindestens eine Person-Erkennungsvorrichtung vorgesehen sein zur Identifikation einer Person, die die zu sichernde Vorrichtung bedient oder sich in einem Gefahrenbereich der zu sichernden Vorrichtung aufhält. Hierbei kann es sich bspw. um ein Lesegerät für ein Benutzermerkmal handeln (bspw. Transponder-Erkennung oder Bilderkennung). Das übermittelte Sensorsignal kann dann eine Identifikation der Person enthalten und der Sicherheits-Server dazu ausgelegt sein, Informationen über die so identifizierte Person in der Benutzer-Datenbank abzurufen.For example, the security server can include a user database or be connected to such for access. Information for identifying persons can be stored in the user database. At least one person-recognition device can be provided as a sensor for identifying a person who operates the device to be secured or is in a danger area of the device to be secured. This can, for example, be a reading device for a user feature (e.g. transponder recognition or image recognition). The transmitted sensor signal can then contain an identification of the person and the security server can be designed to call up information about the person identified in this way in the user database.

Bevorzugt können in der Benutzer-Datenbank zu gespeicherten Personen zugeordnete Benutzungs-Berechtigungen der zu sichernden Vorrichtung gespeichert sein und der Sicherheits-Server dazu ausgelegt sein, die zu sichernde Vorrichtung so anzusteuern, dass ein Betrieb nur gemäß den Benutzungs-Berechtigungen der identifizierten Person ermöglicht ist.Use authorizations of the device to be secured that are assigned to stored persons can preferably be stored in the user database and the security server can be designed to control the device to be secured in such a way that operation is only possible in accordance with the use authorizations of the identified person .

Eine Ansteuerung bzw. Freigabe des Betriebs der zu sichernden Vorrichtung kann von der mittels des Sensorsignals erkannten Art der Benutzung abhängig gemacht werden. Gemäß einer bevorzugten Ausführungsform kann als Sensor mindestens eine Erkennungsvorrichtung, bevorzugt mehrere Erkennungsvorrichtungen vorgesehen sein zur Erkennung einer Betriebsart, Lage, Position, Bewegung oder eines sonstigen sicherheitsrelevanten Zustands der zu sichernden Vorrichtung. Der Sicherheits-Server kann dazu ausgelegt sein, das Sensorsignal bzw. die Sensorsignale der Erkennungsvorrichtungen so zu verarbeiten, dass ein zweckmäßiger Gebrauch oder Betrieb der zu sichernden Vorrichtung erkannt und von einem unzweckmäßigen, irregulären und/oder unzulässigen Betrieb unterschieden wird. Der Sicherheits-Server kann bevorzugt weiter dazu ausgelegt sein, die zu sichernde Vorrichtung so anzusteuern, dass ein Betrieb der zu sichernden Vorrichtung nur bei Erkennung des zweckmäßigen Gebrauchs oder Betriebs ermöglicht ist. So können unsichere Benutzungsarten unterbunden werden, bspw. Verwendung eines nicht ausreichend elektrisch isolierten Geräts in einer zu feuchten Umgebung, Betrieb eines Geräts in nicht spezifikationsgemäßer Lage, bspw. in Schräglage, etc.Controlling or releasing the operation of the device to be secured can be made dependent on the type of use detected by means of the sensor signal. According to a preferred embodiment, at least one detection device, preferably a plurality of detection devices, can be provided as a sensor for detecting an operating mode, location, position, movement or another security-relevant state of the device to be secured. The security server can be designed to process the sensor signal or the sensor signals of the detection devices in such a way that appropriate use or operation of the device to be secured is detected and differentiated from inappropriate, irregular and/or impermissible operation. The security server can preferably also be designed to control the device to be secured in such a way that operation of the device to be secured is only possible if appropriate use or operation is detected. In this way, unsafe types of use can be prevented, e.g. using a device that is not sufficiently electrically insulated in an environment that is too humid, operating a device in a position that does not comply with the specification, e.g. at an angle, etc.

In einer weiter bevorzugten Ausführung kann der Sicherheits-Server dazu ausgelegt sein, ein Überschreiten einer Betriebsdauer, eines Wartungsintervalls und/oder einer Lastbeschränkung der zu sichernden Vorrichtung zu erkennen und diese bei Erkennung so anzusteuern, dass ein weiterer Betrieb der zu sichernden Vorrichtung nicht ermöglich ist. So kann bspw. ein unzulässiger Überlastbetrieb oder Weiterbetrieb der zu sichernden Vorrichtung nach Überschreiten einer maximalen Betriebsdauer oder eines Wartungsintervalls unterbunden werden.In a further preferred embodiment, the security server can be designed to detect when an operating time, a maintenance interval and/or a load limit of the device to be secured has been exceeded and, upon detection, to control it in such a way that further operation of the device to be secured is not possible . For example, impermissible overload operation or continued operation of the device to be secured after a maximum operating time or a maintenance interval has been exceeded can be prevented.

Nachfolgend werden Ausführungsformen der Erfindung anhand von Zeichnungen näher beschrieben. Dabei zeigen:

1 In schematischer Darstellung ein Sicherheitssystem mit einem Industrie-roboter als zu sichernder Vorrichtung;
2 In schematischer Darstellung ein Teil eines Sicherheitssystems für Maschinen in einem Verarbeitungsbetrieb;
3 In schematischer Darstellung ein Teil eines Sicherheitssystems für Kraftfahrzeuge;
4 In schematischer Darstellung ein Teil eines Sicherheitssystems für ein Fahrrad.

Embodiments of the invention are described in more detail below with reference to drawings. show:

1 A schematic representation of a security system with an industrial robot as the device to be secured;
2 A schematic representation of part of a safety system for machines in a processing plant;
3 A schematic representation of part of a safety system for motor vehicles;
4 A schematic representation of part of a safety system for a bicycle.

1 zeigt beispielhaft für eine erste Ausführungsform Komponenten eines Sicherheitssystems 10 mit einem Industrieroboter 12 als Beispiel einer zu sichernden Vorrichtung. 1 shows an example of a first embodiment of components of a security system 10 with an industrial robot 12 as an example of a device to be secured.

Der Industrieroboter 12 stellt in Betrieb eine potentielle Gefahr dar für Personen, die sich innerhalb eines Risikobereichs 14 aufhalten. Um derartige Risiken erkennen zu können, sind verschiedene Typen von Sensoren im Bereich der zu sichernden Vorrichtung 12 angeordnet, hier beispielhaft eine Lichtschranke 16 zur Überwachung des Zugangs zum Risikobereich 14 und eine Überwachungskamera 18 zur optischen Überwachung des Risikobereichs 14.During operation, the industrial robot 12 poses a potential hazard for people who are within a risk area 14 . In order to be able to detect such risks, various types of sensors are arranged in the area of the device 12 to be secured, here by way of example a light barrier 16 for monitoring access to the risk area 14 and a surveillance camera 18 for optical monitoring of the risk area 14.

Die Sensoren 16, 18 sind hier rein beispielhaft genannt; je nach Anwendung können verschiedene Arten und Kombinationen von Sensoren eingesetzt werden, um potentielle Gefahrensituationen erkennen zu können. Die jeweils verwendeten Sensoren 16, 18 können dabei sicherheitstechnisch ausgelegt sein, insbesondere gemäß einem Sicherheits-Integritätslevel SIL der Sicherheitsnormen EN61508 bzw. IEC61508. Alternativ können einer, mehrere oder alle der Sensoren 16, 18 über keine sicherheitstechnische Auslegung verfügen; in diesem Fall sind in der Verarbeitung bevorzugt entsprechende Maßnahmen vorzusehen, um Signale von potentiell „unsicheren“ (d.h. nicht normgerecht sicherheitstechnisch ausgelegten Sensoren) zu verarbeiten.The sensors 16, 18 are mentioned here purely by way of example; Depending on the application, different types and combinations of sensors can be used to detect potentially hazardous situations. The sensors 16, 18 used in each case can be designed in terms of safety, in particular in accordance with a safety integrity level SIL of safety standards EN61508 or IEC61508. Alternatively, one, more or all of the sensors 16, 18 have no security have technical design; in this case, appropriate measures should preferably be provided in the processing in order to process signals from potentially "unsafe" sensors (ie sensors that are not designed in accordance with the safety standards).

Die Sensoren 16, 18 liefern jeweils ein Sensorsignal S, das einen sicheren Zustand anzeigt (d. h. im Fall der Lichtschranke 16 keine Unterbrechung auf der Strecke, im Fall der VideoKamera 18 kein fremdes Objekt im Risikobereich 14) bzw. im Fall einer Detektion eines Risikos oder im Fall eines intern festgestellten Fehlerzustands einen nicht-sicheren Zustand.The sensors 16, 18 each supply a sensor signal S, which indicates a safe state (i.e. in the case of the light barrier 16 no interruption on the route, in the case of the video camera 18 no foreign object in the risk area 14) or in the case of detection of a risk or a non-safe state in the event of an internally determined error state.

Die Sensoren 16, 18 verfügen jeweils über ein Mobilfunkmodul 20, bspw. nach 5G-Standard. Das Mobilfunkmodul 20 steht in Datenverbindung zu einem Mobilfunknetz, hier symbolisiert durch eine Basisstation 22.The sensors 16, 18 each have a mobile radio module 20, for example according to the 5G standard. The mobile radio module 20 has a data connection to a mobile radio network, symbolized here by a base station 22.

Das Mobilfunknetz ist über ein Daten-Netzwerk, hier symbolisiert durch Cloud 24, verbunden mit einem Rechenzentrum 26 mit einem sicheren Server 28.The mobile network is connected via a data network, symbolized here by cloud 24, to a data center 26 with a secure server 28.

Über die so gebildete Übertragungsstrecke 32 werden die Sensorsignale S von den Sensoren 16, 18 mittels der Mobilfunk-Module 20, des Mobilfunk-Netzwerks 22 und der Cloud-Verbindung 24 zum Server 28 übertragen und können dort ausgewertet werden. Dabei ist die Übertragungsstrecke 32 bidirektional: umgekehrt sendet der Server 28 ein Steuersignal C über die Cloud-Verbindung 24 und das Mobilfunk-Netz 22 zu einem Mobilfunk-Modul 20 an einer Maschinen-Steuerung 30. Die Maschinen-Steuerung 30 steuert die zu sichernde Vorrichtung - hier Industrie-Roboter 12 - an und kann diese bspw. von einem normalen Betriebsmodus in einen inaktiven Betriebsmodus versetzen oder in einen sicheren Betriebsmodus, bei dem bspw. die Bewegung der Arme verlangsamt oder sonstwie eingeschränkt ist.The sensor signals S are transmitted from the sensors 16, 18 via the transmission path 32 formed in this way by means of the mobile radio modules 20, the mobile radio network 22 and the cloud connection 24 to the server 28 and can be evaluated there. The transmission path 32 is bidirectional: vice versa, the server 28 sends a control signal C via the cloud connection 24 and the mobile radio network 22 to a mobile radio module 20 on a machine controller 30. The machine controller 30 controls the device to be secured - Here industrial robot 12 - and can put them, for example, from a normal operating mode into an inactive operating mode or into a safe operating mode in which, for example, the movement of the arms is slowed down or restricted in some other way.

Der Server 28 ist sicherheitstechnisch ausgelegt, d. h. gegen Fehlfunktionen gesichert. The server 28 is designed in terms of security, i. H. secured against malfunctions.

Hierfür verfügt der Server 28 über redundant ausgelegte Komponenten, sowohl Speicher (RAM, Massespeicher) als auch CPUs sind redundant ausgeführt, wobei die redundanten Komponenten einen gegenseitigen Abgleich durchführen (Lockstep-Betrieb).For this purpose, the server 28 has redundant components, both memories (RAM, mass storage) and CPUs are redundant, with the redundant components carrying out a mutual adjustment (lockstep operation).

Durch den Server 28 wird ein Programm ausgeführt, mittels dem die Sensorsignale S verarbeitet und das Steuersignal C generiert wird.A program is executed by the server 28, by means of which the sensor signals S are processed and the control signal C is generated.

Das auf dem Server 28 ausgeführte Verarbeitungsprogramm führt dabei eine ständige Plausibilitätsprüfung der Sensorsignale S durch. Insbesondere bei nicht sicherheitstechnisch ausgebildeten Sensoren 16, 18 kann eine spezielle Verarbeitung durch zyklische, hoch dynamische Abfragen der Sensorsignale S angewendet werden und die Sensorsignale S durch verschiedene Prüfungen plausibilisiert werden, u.a. durch Vergleich mit zeitlich vorausgehenden Werten, so dass ein „eingefrorenes“ Sensorsignal erkannt werden kann.The processing program running on the server 28 carries out a constant plausibility check of the sensor signals S. In the case of sensors 16, 18 that are not designed to be safety-related, special processing can be used by cyclic, highly dynamic queries of the sensor signals S and the sensor signals S can be checked for plausibility by various tests, including by comparing them with values that precede them, so that a “frozen” sensor signal is detected can be.

Können die Sensorsignale nach Durchlaufen der Plausibilitätsprüfung als verlässlich angenommen werden, erfolgt durch das Verarbeitungsprogramm eine Risikobewertung anhand der vorliegenden Sensorsignale S. Dies kann im einfachsten Fall, bspw. bei Verarbeitung des Signals S der Lichtschranke 16 die Überwachung eines einzelnen Signals daraufhin sein, ob dieses einen risikofreien Zustand anzeigt (keine Unterbrechung der Lichtschranke) oder nicht (bspw. Unterbrechung der Lichtschranke, Signalisierung einer Fehlfunktion oder Ausbleiben des Signals S). Die Verarbeitung kann aber auch erheblich komplexer sein und bspw. parallel mehrere Sensorsignale S auswerten, insbesondere bzgl. verschiedener Signalkombinationen. Die Verarbeitung kann bspw. eine Mustererkennung von einem Signal S oder einer Mehrzahl von Signalen S umfassen, wobei für die Mustererkennung zur Risikobewertung Algorithmen der künstlichen Intelligenz wie bspw. ein künstliches neuronales Netzwerk eingesetzt werden können.If the sensor signals can be assumed to be reliable after passing the plausibility check, the processing program carries out a risk assessment based on the available sensor signals S indicates a risk-free state (no interruption of the light barrier) or not (e.g. interruption of the light barrier, signaling of a malfunction or absence of the S signal). However, the processing can also be considerably more complex and, for example, evaluate a number of sensor signals S in parallel, in particular with regard to different signal combinations. The processing can include, for example, pattern recognition of a signal S or a plurality of signals S, with algorithms of artificial intelligence such as an artificial neural network being able to be used for pattern recognition for risk assessment.

Die Auswertung innerhalb des Servers 28 kann die Sensordaten S auf Plausibilität und ständige Korrektheit überwachen. Dabei kann bei der Verarbeitung verschiedener Sensorsignale S einer Mehrzahl von Sensoren Rückschlüsse auf die Fehlersicherheit gezogen werden. So können aus bekannten Abhängigkeiten bspw. Erwartungshaltungen abgeleitet werden, z. B. für den Fall der Änderung eines Parameters, aus der dann entsprechende Änderungen in mehreren der verarbeiteten Sensorsignale S erwartet werden. Sollten die tatsächlich festgestellten Signale den erwarteten Signalen nicht plausibel entsprechen oder gar fehlerhaft sein, so kann daraus der Server 28 einen unsicheren Zustand ableiten und vorsichtshalber Sicherungsmaßnahmen durch ein entsprechendes Steuersignal C einleiten.The evaluation within the server 28 can monitor the sensor data S for plausibility and constant correctness. When processing different sensor signals S from a plurality of sensors, conclusions can be drawn about the fail-safety. For example, expectations can be derived from known dependencies, e.g. B. in the case of a change in a parameter, from which corresponding changes in several of the processed sensor signals S are then expected. If the actually determined signals do not plausibly correspond to the expected signals or are even faulty, the server 28 can derive an unsafe state from this and, as a precaution, initiate safety measures by means of a corresponding control signal C.

Erkennt der Server 28 bei der Verarbeitung der Sensorsignale S einen risikolosen Zustand, so übermittelt er als Steuersignal C über die Übertragungsstrecke 32 ein Freigabesignal an die Maschinensteuerung 30 zur Fortsetzung des Betriebs der zu sichernden Vorrichtung 12. Bei Erkennung eines Risikos wird als Steuersignal C ein Stopp-Signal gesendet, das die Steuerung 30 zur Stilllegung des Betriebs der zu sichernden Vorrichtung 12 veranlasst, oder alternativ ein Warnsignal, das die Vorrichtung 12 in einen sicheren Betriebszustand versetzt. Die Maschinensteuerung 30 kann nach erfolgter Abschaltung bzw. Umschaltung der zu sichernden Vorrichtung 12 eine entsprechende Rückmeldung an den Server 28 übermitteln, so dass dort der Erfolg der Maßnahme registriert werden kann.If the server 28 detects a risk-free state when processing the sensor signals S, it transmits a release signal as a control signal C via the transmission path 32 to the machine controller 30 to continue the operation of the device 12 to be secured. If a risk is detected, the control signal C is a stop -Sent signal that causes the controller 30 to shut down the operation of the device 12 to be secured, or alternatively a warning signal that the Vorrich device 12 is placed in a safe operating state. After the device 12 to be secured has been switched off or switched over, the machine control 30 can transmit corresponding feedback to the server 28 so that the success of the measure can be registered there.

Das Sicherheitssystem 10 ist dadurch gekennzeichnet, das sicherheitsrelevante Entscheidungen nicht vor Ort in der Nähe der zu sichernden Vorrichtung 12 durch lokale Komponenten, sondern entfernt im Rechenzentrum 26 getroffen werden, wobei eine Kopplung mit hoher Datenrate über die möglichst latenzfreie Übertragungsstrecke 32 erfolgt. Die zur Übertragung von hochdynamischen Datensignalen S, C geeignete Übertragungsstrecke 32 sowie die durch den sicheren Server gewährleistete schnelle und gesicherte Signalauswertung können in Verbindung mit den lokalen Sensoren 16, 18 und einem lokalen Aktor 30 den sicheren Betrieb der zu sichernden Vorrichtung 12 gewährleisten.The security system 10 is characterized in that security-related decisions are not made on-site in the vicinity of the device 12 to be secured by local components, but rather remotely in the data center 26, with coupling at a high data rate taking place via the transmission path 32 with as little latency as possible. The transmission path 32 suitable for the transmission of highly dynamic data signals S, C and the fast and secure signal evaluation guaranteed by the secure server can, in conjunction with the local sensors 16, 18 and a local actuator 30, ensure the secure operation of the device 12 to be secured.

Nachfolgend werden weitere Ausführungsformen der Erfindung erläutert, insbesondere anhand von 2-4. Diesen Beispielen ist jeweils gemeinsam der über eine Übertragungsstrecke 32 unter Nutzung von Mobilfunk angebundene Sicherheits-Server 28, zu dem Sensordaten hoch dynamisch geschickt werden und der die Sensordaten verarbeitet. Die Verarbeitung umfasst bspw. eine Prüfung auf Plausibilität und ständige Korrektheit, wobei bevorzugt nicht nur die Daten eines Sensors, sondern mehrerer Sensoren verwendet werden, um auf die Fehlersicherheit der Sensordaten Rückschlüsse ziehen zu können. Der Verarbeitung kann bspw. als Annahme zugrunde gelegt werden, dass die Änderung eines Parameters stets zu einer erkennbaren Reaktion in den Sensordaten führen muss. So kann eine Erwartungshaltung definiert werden. Bspw. kann bei einem Eingriff in die Lenkung eines Fahrzeugs (z.B. mittels eines Stellmotors) erwartet werden, dass sich die Position des Fahrzeugs in Abhängigkeit von der Geschwindigkeit sowie der Stärke des Lenkeingriffs ändert. Der Server bzw. das darauf laufende Verarbeitungsprogramm kann für den jeweiligen Anwendungsfall diese Erwartungshaltungen überwachen. Sollten Erwartungswerte(bereiche) nicht plausibel erfüllt werden, so kann der Server 28 eine Sicherheitsfunktion auslösen, bspw. mittels eines Steuersignals C bspw. ein Not-Abschaltmodul ansteuern, um einen sicheren Zustand zu erreichen.Further embodiments of the invention are explained below, in particular with reference to FIG 2-4 . In each case, these examples have in common the security server 28 connected via a transmission link 32 using mobile radio, to which sensor data are sent in a highly dynamic manner and which processes the sensor data. The processing includes, for example, a check for plausibility and constant correctness, with preferably not only the data from one sensor but from a number of sensors being used in order to be able to draw conclusions about the fail-safety of the sensor data. The processing can, for example, be based on the assumption that changing a parameter must always lead to a recognizable reaction in the sensor data. This is how expectations can be defined. For example, when an intervention is made in the steering of a vehicle (eg by means of a servomotor), it can be expected that the position of the vehicle will change as a function of the speed and the strength of the steering intervention. The server or the processing program running on it can monitor these expectations for the respective application. If expected values (ranges) are not plausibly fulfilled, the server 28 can trigger a safety function, for example using a control signal C to control an emergency shutdown module, for example, in order to achieve a safe state.

Im Beispiel von 2 verfügen drei Maschinen 40 eines Betriebs, bspw. eines holzverarbeitenden Betriebs, jeweils über ein Sicherheitsmodul 42 mit einem Mobilfunkmodul 20. Durch das Sicherheitsmodul 42 werden über das Mobilfunkmodul 20 Sensordaten an den Server 28 zur Auswertung übermittelt und vom Server 28 übermittelte Steuerbefehle C werden vom Sicherheitsmodul 42 ausgeführt, bspw. durch Ansteuerung der Maschinen 40.In the example of 2 three machines 40 of a company, e.g 42 executed, e.g. by controlling the machines 40.

Im Beispiel von 3 sind eine Mehrzahl autonomer Fahrzeuge 50 jeweils mit einem Sicherheitsmodul 42 mit einem Mobilfunkmodul 20 ausgerüstet. Sensordaten der Fahrzeuge 50 werden über das Mobilfunkmodul 20 an den Server 28 übermittelt und dort ausgewertet. Im Fall der Erkennung eines Risikos kann der Server 28 mittels Steuerbefehlen C das jeweils lokale Sicherheitsmodul 42 jedes Fahrzeugs 50 ansteuern, um einen sicheren Betrieb bzw. einen Not-Halt auszulösen.In the example of 3 a plurality of autonomous vehicles 50 are each equipped with a security module 42 with a mobile radio module 20 . Sensor data from the vehicles 50 are transmitted to the server 28 via the mobile radio module 20 and evaluated there. If a risk is identified, the server 28 can use control commands C to control the respective local safety module 42 of each vehicle 50 in order to trigger safe operation or an emergency stop.

Das Beispiel von 4 bezieht sich auf den Betrieb autonomer Fahrzeuge 50 und E-Bikes 60 in einem gemeinsamen Verkehrsraum. Insbesondere bei elektrisch betriebenen Fahrzeugen 50 besteht eine erhöhte Gefährdung wegen der durch den Wegfall des Geräusches eines Verbrennungsmotors verminderten Wahrnehmung. Bei eingeschränkter Sicht, bspw. durch ein Hindernis wie ein Haus an einer Straßenkreuzung, kann eine Kollisionsgefahr mit einem Fahrzeug 50 bestehen, die vom Fahrer eines E-Bikes 60 ggf. nicht erkannt werden kann.The example of 4 refers to the operation of autonomous vehicles 50 and e-bikes 60 in a common traffic space. In the case of electrically operated vehicles 50 in particular, there is an increased risk due to the reduced perception due to the absence of the noise of an internal combustion engine. If visibility is limited, for example due to an obstacle such as a house at a street crossing, there may be a risk of collision with a vehicle 50 which the driver of an e-bike 60 may not be able to detect.

Vorgeschlagen wird am ohnehin elektrisch versorgten E-Bike 60 ein Sicherheitsmodul 42 mit einem Mobilfunkmodul 20. Vom Sicherheitsmodul 42 werden über das Mobilfunkmodul 20 an den Server 28 stets Daten geliefert wie bspw. Position, Richtung und/oder Geschwindigkeit des E-Bikes 60. Über Sicherheitsmodule 42 an den autonom gesteuerten Fahrzeugen 50 ist deren jeweilige Position, Richtung und Geschwindigkeit ebenfalls bekannt. A security module 42 with a cellular module 20 is proposed on the e-bike 60, which is already electrically powered Safety modules 42 on the autonomously controlled vehicles 50 also know their respective position, direction and speed.

Der Server 28 kann nun eine permanente Überwachung eventueller Kollisionsrisiken für das E-Bike 60 durchführen, einschließlich einer Umfeldüberwachung nach Art eines Radars. Im Falle einer durch die Verarbeitung der Daten erkannten Gefahr steuert der Server 28 das Sicherheitsmodul 42 am E-Bike 60 und/oder am Fahrzeug 50 so an, dass ein Signalton ausgegeben und/oder eine Not-Bremsung im autonomen Fahrzeug 50 und/oder im E-Bike 60 ausgelöst wird.The server 28 can now carry out permanent monitoring of possible collision risks for the e-bike 60, including monitoring the surroundings in the manner of a radar. If a hazard is identified through the processing of the data, the server 28 controls the safety module 42 on the e-bike 60 and/or on the vehicle 50 in such a way that a signal tone is emitted and/or emergency braking is performed in the autonomous vehicle 50 and/or in the E-Bike 60 is triggered.

In weiteren Beispielen kann bei einer zu überwachenden Vorrichtung, bspw. einem durch eine Risikobewertung als potentiell gefährlich erkannten Arbeitsgerät wie z.B. eine Handkreissäge, eine permanente Überwachung folgender Zustände ausgeführt werden:

- Benutzung durch berechtigte Person
- Zweckmäßige Verwendung des Geräts
- Ordnungsgemäßer Service / Wartung
- Erfassung der Betriebsstunden
- Erkennung möglicher Überlast

In further examples, a device to be monitored, e.g. a working device such as a hand-held circular saw that has been identified as potentially dangerous by a risk assessment, can be permanently monitored for the following states:

- Use by authorized person
- Appropriate use of the device
- Proper service/maintenance
- Recording of operating hours
- Detection of possible overload

Ein bspw. akku- oder netzbetriebenes Arbeitsgerät umfasst bspw. ein Sicherheitsmodul mit einem Mobilfunkmodul zur Anbindung an den Server 28 über eine Übertragungsstrecke 32. Geeignete Sensordaten werden durch das Sicherheitsmodul und das Mobilfunkmodul übermittelt, so dass bei der Verarbeitung durch den Server 28 die Identität und Berechtigung des Benutzers und/oder die zweckmäßige Verwendung des Geräts beurteilt werden kann. Bei der zweckmäßigen Verwendung kommt es auf den Typ der abzusichernden Vorrichtung an. Beispielsweise bei der Verwendung einer Kreissäge ist eine zweckmäßige Verwendung nur bei Arbeiten mit Sicherheitsschild und einer zugelassenen Betriebsart, nicht aber in unzulässigen Betriebsarten (bspw.: über Kopf) gegeben. Dies kann erkannt werden z.B. durch Sensoren wie bspw. Beschleunigungssensoren und Lagesensoren sowie durch einen Sensor, der die Schutzeinrichtung (Sicherheitsschild) am Gerät überprüft. Erst wenn die an den Server übermittelten Signale aller Sensoren einen Zustand signalisieren, der eine ordnungsgemäße Handhabung sowie einen bestimmungsgemäßen Einsatz signalisieren, wird vom Server an das Sicherheitsmodul des Geräts eine Freigabe übermittelt, so dass das Gerät, bspw. Kreissäge, in Betrieb genommen werden kann.A battery-operated or mains-operated working device, for example, includes, for example, a security module with a mobile radio module for connection to the server 28 via a transmission path 32. Suitable sensor data are transmitted by the security module and the mobile radio module, so that during processing by the server 28 the identity and Authorization of the user and/or the appropriate use of the device can be assessed. Proper use depends on the type of device to be secured. For example, when using a circular saw, appropriate use is only given when working with a safety shield and an approved mode of operation, but not in impermissible modes of operation (e.g. overhead). This can be detected, for example, by sensors such as acceleration sensors and position sensors, as well as by a sensor that checks the protective device (safety shield) on the device. Only when the signals from all sensors transmitted to the server indicate a state that indicates proper handling and intended use, does the server transmit a release to the safety module of the device so that the device, e.g. circular saw, can be put into operation .

Ein weiteres Beispiel betrifft ein Notrufsystem. Ziel ist es, bspw. bei alleinlebenden Menschen zu vermeiden, dass bedrohliche Situationen u.U. über längere Zeiträume unerkannt bleiben. Hierfür kann eine Person am Körper ein Sicherheitsmodul mit einem Mobilfunkmodul tragen. Durch Sensoren können Daten erfasst werden wie bspw. der körperliche Zustand der Person (z.B. Pulsfrequenz) oder ein Sensor kann z.B. Lage, Bewegung oder Beschleunigung erfassen, so dass ein Sturz oder eine längere Bewegungslosigkeit erkannt werden. Die Sensordaten werden mittels eines Mobilfunkmoduls über eine Übertragungsstrecke zum Server übermittelt und dort ausgewertet. Ein mögliches Risiko kann bei der Verarbeitung der Sensordaten erkannt werden bspw. durch Anomalien im Bewegungsprofil, die Erfassung eines Sturzes, eine ungewöhnliche Herzfrequenz oder einer Kombination solcher Faktoren. Im Fall der Erkennung eines Risikos kann ein Notruf ausgelöst werden, dass der Zustand der Person überprüft werden sollte.Another example relates to an emergency call system. The aim is, for example, to prevent threatening situations in people living alone from remaining undetected for long periods of time. For this purpose, a person can wear a security module with a mobile radio module on their body. Sensors can record data such as the physical condition of the person (e.g. pulse rate) or a sensor can record position, movement or acceleration, for example, so that a fall or prolonged immobility can be detected. The sensor data is transmitted to the server by means of a mobile radio module via a transmission path and evaluated there. A possible risk can be detected when processing the sensor data, for example, through anomalies in the movement profile, the detection of a fall, an unusual heart rate or a combination of such factors. In case of detection of a risk, an emergency call can be triggered that the condition of the person should be checked.

Als weiteres Beispiel kann ein sicherheitstechnisch ausgelegter, an eine Cloud angeschlossener Server dazu genutzt werden, Risiken für im Straßenbau beschäftigte Personen zu erkennen, bspw. ein Fahrzeug auf Kollisionskurs. Die auf einer Straßenbaustelle beschäftigten Personen tragen Sicherheitsmodule mit Mobilfunkmodulen. An der Straßenbaustelle sind geeignete Sensoren aufgestellt, bspw. eine sichere ToF (Time-of-Flight) Kamera als 3D-Sensor zur Überwachung des Verkehrsflusses. Die Sensoren übermitteln ihre Daten mittels eines Mobilfunkmoduls an den Server 28, wo die Daten ausgewertet werden. Ungewöhnliche Fahrzeugbewegungen, bspw. ein die Fahrbahn verlassendes Fahrzeug, können so erkannt werden. Der Server kann im Risikofall ein Signal an die Sicherheitsmodule der Personen senden, so dass eine Warnung bspw. durch akustische Signale, Leuchtsignale oder Vibration erfolgt.As another example, a security-engineered server connected to a cloud can be used to identify risks for people involved in road construction, e.g. a vehicle on a collision course. People working on a road construction site wear security modules with cellular modules. Suitable sensors are set up at the road construction site, e.g. a secure ToF (time-of-flight) camera as a 3D sensor to monitor the flow of traffic. The sensors transmit their data to the server 28 by means of a mobile radio module, where the data is evaluated. Unusual vehicle movements, such as a vehicle leaving the lane, can be detected in this way. In the event of a risk, the server can send a signal to the security modules of the person, so that a warning is given, for example by acoustic signals, light signals or vibration.

Für alle der genannten Beispiele kann derselbe sicherheitstechnisch ausgelegte Server 28 genutzt werden, um jeweils für den Anwendungszweck passende Verarbeitungsprogramme auszuführen. So können die Ressourcen im Rechenzentrum 26 sehr effizient genutzt werden. Der Betreiber hat die Möglichkeit, die Verarbeitung der Signale durch den Server 28 als Dienstleistung anzubieten. Somit sind lokal jeweils nur ein Sensor oder mehrere Sensoren sowie ggfs. eine vom Server über die Übertragungsstrecke 32 ansteuerbare Einheit wie die Steuerung 30 bzw. das Sicherheitsmodul 42 notwendig.The same security-engineered server 28 can be used for all of the examples mentioned in order to execute processing programs suitable for the respective application. In this way, the resources in the computer center 26 can be used very efficiently. The operator has the option of offering the processing of the signals by the server 28 as a service. Only one sensor or a plurality of sensors and possibly a unit that can be controlled by the server via the transmission link 32, such as the controller 30 or the security module 42, are therefore required locally.

Claims

security system, with - at least one sensor (16, 18) for monitoring a device (12) to be secured and for delivering a sensor signal (S), - A mobile radio device (20) connected to the sensor (16, 18) for wireless transmission of the sensor signal (S) to a remote security server (28), - wherein the security server (28) has at least one memory with a processing program and an execution unit for executing the processing program, wherein at least the memory and/or the execution unit of the security server (28) are designed in terms of security, - and wherein the processing program is designed to process the sensor signal (S) in such a way that the presence of a safe state is determined, and the processing program is designed to signal the presence or absence of the safe state.

Security system according to claim 1 , in which - the mobile radio device (20) is designed for safety-related data transmission.

Security system according to one of the preceding claims, in which - the sensor (16, 18) is designed in terms of safety.

Security system according to one of the preceding claims, in which - the device (12) to be secured has a control interface (30), so that it can be set to different operating states by suitable control, - and the processing program is designed to, depending on the presence or absence of the secure state, control data (C) to generate, for transmission to the control interface (30).

Security system according to one of the preceding claims, in which - the processing program is designed to carry out a risk assessment by analyzing the sensor signal (S) from a sensor (16, 18) or preferably from a plurality of sensors (16, 18).

Security system according to one of the preceding claims, in which - the processing program is designed to process the sensor signal (S) by means of an artificial intelligence algorithm.

Security system according to one of the preceding claims, in which - The processing program is designed to carry out a plausibility check when processing the sensor signal (S) and, if the plausibility check fails, to determine that the safe state is not present.

Security system according to one of the preceding claims, in which - the processing program is designed to compare the sensor signal (S) with one or more expected values or value ranges when processing the sensor signal (S) and, in the event of a deviation, to determine that the safe state is not present.

Security system according to one of the preceding claims, in which - the security server (28) has a user database or is connected to access such a user database, information for identifying persons being stored in the user database, - wherein at least one person-recognition device is provided as a sensor for identifying a person who operates the device (12) to be secured or is in a danger area (14) of the device (12) to be secured, - wherein the sensor signal (S) contains an identification of the person, - and wherein the processing program is adapted to retrieve information about the identified person in the user database.

Security system according to claim 9 , in which - user authorizations of the device (12) to be secured that are assigned to stored persons are stored in the user database, - the processing program being designed to control the device (12) to be secured in such a way that operation is only in accordance with the Permissions to use the identified person is enabled.

Security system according to one of the preceding claims, in which - at least one detection device, preferably several detection devices, are provided as a sensor for detecting an operating mode, location, position, movement or other security-relevant state of the device (12) to be secured, - the processing program being designed to process the sensor signal (S) or the sensor signals (S) of the detection devices in such a way that appropriate use or operation of the device (12) to be secured is detected, - Wherein the processing program is further designed to control the device (12) to be secured in such a way that operation of the device (12) to be secured is only enabled if appropriate use or operation is recognized.

Security system according to one of the preceding claims, in which - the processing program is designed to detect that an operating time, a maintenance interval, and/or a load limit of the device (12) to be secured has been exceeded and, upon detection, to control the device (12) to be secured so that further operation of the device to be secured can continue (12) is not allowed.

Method for monitoring the operation of a device (12) to be secured, in which - the device (12) to be secured is monitored using at least one sensor (16, 18) which supplies a sensor signal (S), - the sensor signal (S) using a mobile radio device (20) connected to the sensor (16, 18) via an at least partially wireless transmission path (32) to a remote security server (28), - the security server (28) having at least one memory with a processing program and an execution unit for executing the processing program, wherein at least the memory and/or the execution unit are designed in terms of security, - and wherein the security server (28) processes the sensor signal (S) when the processing program is executed in such a way that the presence of a secure State is determined, and the Vorlie gen or non-existence of the safe state is signaled.