包括多个机器人和多个安全传感器的工业机器人系统的制作方法

本发明涉及一种工业机器人系统，该工业机器人系统包括多个机器人和多个安全传感器，该安全传感器被配置为检测在机器人附近的危险情况。

背景技术：

出于安全的原因，工业机器人通常被放置在机器人单元中。机器人单元可以包括一个或多个机器人。机器人单元将存在与机器人的碰撞的风险的危险区域围起。为了满足安全要求，机器人单元通常由使门道/门具有安全监测的栅栏围起。栅栏的目的是防止人们在机器人工作时进入机器人单元。然而，用栅栏将机器人单元围起存在多个缺点。

为了避免在机器人单元周围的栅栏，被配置为检测在机器人附近的危险情况的一个或多个安全传感器结合包括安全机器人监督系统的安全控制单元来使用。每个机器人具有被配置为检测在机器人附近的安全事件的至少一个安全传感器。例如，安全传感器是适于产生传感器数据的摄像头、光幕和光检测器。已知相对于机器人中的每个机器人限定一个或多个安全区域，并且安全传感器被布置为检测人是否正进入安全区域中的任何安全区域。安全机器人监督系统适于基于传感器数据来检测安全事件(诸如人在机器人附近)，并且监督检测到的人的运动和机器人的运动。安全控制单元被配置为在检测到人正进入安全区域中的任何安全区域时调整机器人的速度。例如，如果存在多于一个安全区域并且人进入最靠近机器人的安全区域，则机器人的速度可以被降低到零。安全传感器还可以检测在机器人附近的其他危险情况。

现今，机器人利用可编程逻辑控制器(plc)作为安全控制单元。机器人单元中的每个机器人以及安全传感器被连接至安全plc。该安全plc被配置为实施安全动作，诸如使机器人单元中的一个或多个机器人停止。来自安全传感器的传感器数据被发送给安全plc，该安全plc处理安全数据并且基于传感器数据来生成安全命令。例如，安全命令被发送给诸如断路器的安全致动器，其被配置为在接收停止命令时断开去往机器人中的一个或多个机器人的马达的功率供应。例如，安全plc可以向安全致动器发送使机器人停止的命令，或者向机器人发送降低机器人的速度的命令。安全plc包括安全逻辑单元，该安全逻辑单元被配置为从安全传感器接收传感器数据并且基于接收的传感器数据来生成安全命令。安全plc的缺点在于：其是昂贵的并且导致在传感器中的任何传感器检测到安全事件和实施安全动作之间的时间延迟。因此，希望在机器人系统中保持高度安全性的同时省略安全plc。

技术实现要素：

本发明的目的是至少部分地克服上述问题并且提供一种改进的机器人系统。

通过如在权利要求1中限定的工业机器人系统来实现该目的。

该机器人系统包括：多个机器人，每个机器人包括用于控制机器人的运动的机器人控制器；以及至少一个安全传感器，被配置为检测在机器人附近的危险情况，并且产生传感器数据。该系统还包括信息共享装置，信息共享装置被连接到至少一个安全传感器并且被连接到机器人控制器，并且信息共享装置被配置为将来自至少一个安全传感器的传感器数据分配给机器人控制器。这些机器人控制器中的每个机器人控制器包括被配置为基于来自至少一个安全传感器的传感器数据来生成安全命令的安全逻辑单元。

例如，机器人可以被定位在相同的机器人单元中，或者机器人可以被定位在相邻机器人单元中。

一个或多个安全传感器被连接至信息共享装置(诸如开关或者路由器)，信息共享装置将来自一个或多个安全传感器的传感器数据分配给机器人控制器。本发明允许来自一个或多个安全传感器的传感器数据被广播给若干机器人控制器。机器人控制器中的每个机器人控制器具有其自己的安全逻辑单元，其自己的安全逻辑单元被配置为从一个或多个安全传感器接收传感器数据，基于接收到的传感器数据来做出安全决定，并且基于安全决定来生成安全命令。因此，可以省略现有技术机器人系统中的安全plc。例如，安全逻辑单元中的每个安全逻辑单元被允许基于传感器数据来做出使机器人中的一个或多个机器人的运动停止的决定。

由于机器人控制器中的每个机器人控制器具有其自己的安全逻辑单元这一事实，信息共享装置不需要具有任何智能，并因此可以使用廉价的装置(诸如简单的开关)作为信息共享装置。本发明使得能够按照高效的方式来共享来自一个或多个安全传感器的传感器数据。如果一个机器人单元中的若干机器人之间可以共享一个或多个安全传感器，则由于对传感器、电缆和外部安全控制器(诸如安全plc)的需求较少，因此，可以降低机器人单元的总安装成本。还可以减少设置安全传感器所花费的时间以及对机器人单元中的若干机器人的安全输入，即，可以减少机器人单元的整合时间。

本发明的另一优点是：与传感器数据首次被传输给安全plc时相比较，在机器人控制器可以对来自安全传感器的传感器数据采取行动之前的时间延迟显著减少。这意味着：机器人控制器可以更快地对安全事件采取行动。例如，如果在机器人单元的内部检测到人并且要降低机器人的速度，或者为了避免事故而要使机器人停止，则这会是至关重要的。

根据本发明的机器人系统包括至少两个机器人。然而，该系统还可以包括其他装置和机器，诸如传送器和可移动的固定装置，这些其他装置和机器也可以被连接至信息共享装置，使得它们将从安全传感器接收传感器数据。那些其他装置还可以包括被配置为基于来自安全传感器的传感器数据来做出安全决定的安全逻辑单元。

具有“安全命令”是指包括安全信息的消息，例如用于执行安全动作的指令、关于实施安全动作的决定的信息、关于当前安全状态的信息或者一切正常的消息。

根据本发明的实施例，机器人系统包括被配置为检测在机器人附近的危险情况并且产生传感器数据的多个安全传感器。安全传感器被连接至信息共享装置，并且信息共享装置被配置为将来自安全传感器的传感器数据分配给机器人控制器。机器人控制器中的每个机器人控制器被允许从安全传感器中的多于一个安全传感器接收传感器数据，并且安全逻辑单元被配置为基于来自安全传感器中的多于一个安全传感器的传感器数据来生成安全命令。

安全传感器中的每个安全传感器被连接至信息共享装置，该信息共享装置将来自安全传感器的传感器数据分配给机器人控制器。该机器人控制器可以从安全传感器中的多于一个安全传感器接收传感器数据。例如，机器人控制器中的每个机器人控制器从安全传感器中的所有安全传感器接收传感器数据，并且机器人控制器选择使用哪个传感器数据。本发明的该实施例允许来自若干安全传感器的传感器数据被广播给若干机器人控制器。机器人控制器选择与局部安全功能(即，控制器特定的安全功能)和/或机器人单元的整体安全功能相关的传感器数据。安全逻辑单元中的每个安全逻辑单元被配置为从多于一个安全传感器接收传感器数据，并且基于接收到的传感器数据来做出安全决定。本发明的该实施例使得能够按照高效的方式来共享来自不同安全传感器的传感器数据。如果可以在一个机器人单元中的若干机器人之间共享多个安全传感器，则由于对传感器的需求较少，因此可以降低机器人单元的总安装成本。

根据本发明的实施例，信息共享装置被配置为将来自安全传感器中的每个安全传感器的传感器数据分配给机器人控制器中的每个机器人控制器。因此，机器人控制器中的每个机器人控制器接收来自安全传感器中的每个安全传感器的传感器数据。机器人控制器可以被配置为选择哪个传感器数据被转发给安全逻辑单元。在该实施例中，所有传感器数据都被分配给机器人控制器中的所有机器人控制器，并且机器人控制器可以选择使用哪个传感器数据。该实施例使得可以使用简单并且廉价的开关作为信息共享装置。

根据本发明的实施例，机器人控制器中的每个机器人控制器包括订阅模块，该订阅模块被配置为允许机器人控制器订阅来自安全传感器中的任何安全传感器的传感器数据，并且安全逻辑单元被配置为接收订阅的传感器数据，并且信息共享装置被配置为将来自相应的一个或多个安全传感器的传感器数据分配给订阅了传感器数据的机器人控制器中的每个机器人控制器。该实施例允许机器人控制器中的每个机器人控制器订阅来自所选择的安全传感器的传感器数据。

根据本发明的实施例，安全传感器中的至少一个安全传感器被配置为检测在机器人附近的区域中的人。该安全传感器包括：例如摄像头、ir传感器、超声波检测器或者光幕。

根据本发明的实施例，安全逻辑单元被配置为基于传感器数据来做出降低机器人的速度的决定。例如，安全逻辑单元被配置为基于传感器数据来做出使机器人的运动停止的决定。

根据本发明的实施例，信息共享装置被配置为从机器人控制器接收安全命令并且将安全命令分配给机器人控制器，并且安全逻辑单元中的每个安全逻辑单元被配置为基于从其他机器人控制器接收到的安全命令来做出安全决定。由于机器人控制器中的每个机器人控制器被允许从其他机器人控制器接收安全命令并且基于从其他机器人控制器接收到的命令来做出安全决定，因此，机器人控制器可以快速地对检测到的安全事件采取行动。例如，如果机器人控制器中的一个机器人控制器的安全逻辑单元决定使机器人紧急停止，则相邻机器人的安全逻辑单元可以决定也实施紧急停止，并且因此相邻机器人的运动也停止。该实施例提高了机器人系统的安全性。

根据本发明的实施例，机器人控制器中的每个机器人控制器包括能够使机器人的运动停止的安全停止单元，并且安全逻辑单元中的每个安全逻辑单元被配置为基于从其他机器人控制器接收到的传感器数据和接收到的安全命令来做出使机器人的运动停止的决定。例如，安全逻辑单元可以适于在检测到安全事件时生成用于使机器人的运动停止的停止信号，并且安全停止单元可以被配置为在接收到来自安全单元的停止信号时断开去往机器人的马达的功率供应、和/或机械地制动机器人的马达。该实施例减少了在已经检测到安全事件和已经使机器人的运动停止的时间点之间的时间延迟，并因此提高了机器人系统的安全性。

根据本发明的实施例，该系统包括被配置为基于来自机器人控制器的安全命令来实施安全动作的至少一个安全致动器。例如，安全致动器能够基于安全命令来使机器人中的每个机器人处于安全状态。安全命令可以通过机器人控制器或者经由信息共享装置被直接传输给安全致动器。安全动作可以是断开去往机器人中的所有机器人的马达的功率供应和/或产生警报(诸如打开警告灯或者通知机器人操作员)。

根据本发明的实施例，机器人控制器被配置为将安全命令发送给信息共享装置，该信息共享装置被配置为从机器人控制器接收安全命令并且将接收到的安全命令传输给安全致动器。信息共享装置可以被配置为将安全命令发送给安全致动器和其他机器人控制器。因此，机器人控制器以及安全致动器也可以对命令采取行动。因此，在机器人系统中进一步提高了安全性。

根据本发明的实施例，安全传感器中的每个安全传感器被配置为在第一时间间隔内重复地向信息共享装置发送安全数据，机器人控制器中的每个机器人控制器被配置为：如果安全数据在第二时间间隔内已经被接收到，则在第二时间间隔内重复地向信息共享装置发送安全命令，并且安全致动器被配置为：如果在限定的时间限制内没有从机器人中的一个机器人接收到安全命令，则实施安全动作。如果不需要任何安全动作，即，没有检测到需要安全动作的危险情况，则机器人在第二时间间隔内向安全致动器发送安全命令，该安全命令包括一切状况良好并且不需要安全动作的信息。在该实施例中，安全致动器被设置有看门狗，如果在限定的时间限制内没有从机器人中的一个机器人接收到安全命令，则该看门狗适于实施安全动作，诸如使机器人中的一个或多个机器人停止。该实施例增加了在机器人系统中的安全程度，因为如果传感器、信息共享装置、机器人和安全致动器之间的信息传递链中的任何信息传递链被断开，则自动执行安全动作。例如，如果传感器中的一个传感器发生故障并且无法传送任何传感器数据，或者如果信息共享装置不工作并且将不能将传感器数据分配给机器人和/或将不能向安全致动器发送安全命令，则是这种情况。

根据本发明的实施例，所述第二时间间隔比第一时间间隔长，并且限定的时间限制比第二时间间隔长。因此，当设置第二时间间隔和时间限制时，可以考虑在信息共享装置和机器人控制器中的数据传递的时间延迟。该实施例确保安全致动器不会由于在信息共享装置和机器人控制器中的延迟而执行无意的安全动作。适当地，第二时间间隔比第一时间间隔长至少20％，以确保机器人控制器已经从传感器接收到传感器数据。适当地，限定的时间限制比第二时间间隔长至少20％，以确保安全致动器已经从机器人控制器接收到安全命令。

根据本发明的实施例，安全致动器可以被配置为：如果在限定的时间限制内没有从机器人中的一个机器人接收到安全命令，则使机器人中的一个或多个机器人的运动停止。例如，安全致动器被配置为：如果在限定的时间限制内没有从机器人接收到安全命令，则使机器人的运动停止。在限定的时间限制内没有接收到安全命令的事实表明安全系统出现问题，并且为了避免事故，机器人中的一个或多个机器人被停止。

根据本发明的实施例，机器人中的每个机器人包括多个马达，并且安全致动器能够断开去往机器人中的每个机器人的马达的功率供应。安全致动器还可以被配置为关断去往机器人单元中的其他装置和设备的功率供应。

根据本发明的实施例，信息共享装置被配置为使用网络协议来与机器人控制器、安全传感器和安全致动器通信。

附图说明

现在将通过对本发明的不同实施例的描述并且参照附图来更加详细地说明本发明。

图1示出了包括多个安全传感器的机器人单元的示例。

图2示出了根据本发明的第一实施例的工业机器人系统的示例的框图。

图3示出了根据本发明的第二实施例的工业机器人系统的示例的框图。

具体实施方式

图1示出了机器人单元的示例。机器人单元包括多个机器人1a-1e和被配置为检测在机器人附近的危险情况的多个安全传感器2a-2d。机器人1a-1e中的每个机器人包括操纵器3和用于控制操纵器的运动的机器人控制器4。操纵器包括可绕着多个机器人接头相对于彼此移动的多个臂5、和用于移动臂的多个马达6。机器人单元还包括其他装置，诸如传送器8和用于在机器人对物体执行工作时保持物体的可旋转固定装置10。安全传感器2a-2d中的至少一些安全传感器被配置为监督机器人单元并且检测人是否正进入机器人单元。例如，安全传感器2a-2d是人员感测装置(psd)，诸如摄像头、雷达、激光扫描仪、超声波传感器以及检测光束被中断的时间的光传感器。例如，可以相对于安全传感器中的一些安全传感器限定具有不同安全级别的不同安全区域，并且安全传感器检测人是否正进入安全区域中的任何安全区域。安全传感器产生传感器数据，并且优选地产生离散数据。例如，安全传感器可以被配置为提供包括传感器数据的数据包。

图2示出了根据本发明的第一实施例的工业机器人系统的示例的框图。工业机器人系统包括多个机器人控制器4、和被配置为检测在机器人1a-1e附近的安全事件的多个安全传感器2a-2d。例如，安全事件是：检测进入机器人单元或者进入安全区的人。该系统包括被连接至安全传感器2a-2d和机器人控制器4的信息共享装置12。例如，信息共享装置12是具有多个输入和输出端口的网络开关。安全传感器中的每个安全传感器被连接至开关的输入端口中的一个输入端口，并且机器人控制器中的每个机器人控制器被连接至开关的输出端口中的一个输出端口。备选地，信息共享装置12可以是路由器。适当地，信息共享装置被配置为使用网络协议来与机器人控制器和安全传感器通信。

信息共享装置12被配置为将来自安全传感器2a-2d的传感器数据分配给机器人1a-1e的机器人控制器4。机器人控制器中的每个机器人控制器被允许从安全传感器的多于一个安全传感器接收传感器数据。在该实施例中，信息共享装置被配置为将来自安全传感器2a-2d中的每个安全传感器的传感器数据分配给机器人控制器4中的每个机器人控制器。来自传感器的输出被广播给机器人控制器。因此，机器人控制器4中的每个机器人控制器可以从安全传感器中的所有安全传感器接收传感器数据。然后，机器人控制器4选择要使用哪个传感器数据。在备选实施例中，机器人控制器中的每个机器人控制器可以被设置有订阅模块，该订阅模块被配置为允许机器人控制器订阅来自安全传感器中的一个或多个安全传感器的传感器数据，并且信息共享装置被配置为将来自相应的一个或多个安全传感器的传感器数据分配给机器人控制器中订阅了传感器数据的每个机器人控制器。订阅模块可以是在机器人控制器上运行的软件模块。

其他装置(例如紧急停止单元、断路器到门道以及用于机器人单元中的机器的安全设备)也可以被连接至信息共享装置12，并且来自这些装置的输出可以按照与传感器数据相同的方式被广播给机器人控制器。如果紧急停止单元被连接至信息共享装置12，则所有机器人控制器4都被允许对来自紧急停止单元的输出作出反应，并且例如使相应的一个或多个机器人的运动停止。因此，减少了反应时间，这提高了机器人单元的安全性。

机器人控制器4包括软件以及硬件，诸如输入和输出装置、包括一个或多个中央处理单元(cpu)的处理器单元、数据存储装置和程序存储装置，用于处理机器人控制器的主要功能，诸如执行机器人控制程序、执行路径规划、提供关于操纵器的移动的命令(诸如参考机器人的马达引起马达)。机器人控制器4的每个机器人控制器包括安全逻辑单元14，安全逻辑单元被配置为基于从安全传感器2a-2d接收到的传感器数据来做出安全决定，并且基于安全决定来生成安全命令。适当地，安全逻辑单元14是软件模块，该软件模块被存储在机器人控制器的程序存储装置中，并且由机器人控制器4上的处理器单元执行。

安全逻辑单元14被允许基于传感器数据来决定是否要降低机器人的速度。安全逻辑单元14还可以被配置为基于传感器数据来决定立即使机器人停止。例如，如果传感器检测到安全关键物体，则安全逻辑单元基于机器人的当前位置、检测到的安全关键物体的位置和预定义的安全规则来做出安全决定。例如，如果传感器中的一个或多个传感器已经检测到安全关键物体(诸如人)，并且机器人臂远离已经检测到安全关键物体的区域，则安全逻辑单元可以做出使机器人以相同的速度继续进行其工作的决定。如果机器人臂的当前位置与安全关键物体之间的距离小于第一极限值，则安全逻辑单元可以做出降低机器人的速度的决定，并且如果机器人臂的当前位置与安全关键物体之间的距离小于第二极限值，则安全逻辑单元可以做出立即使机器人停止的决定。然而，可以实施关于在安全关键物体相对于机器人位于不同位置时应该如何控制机器人的不同规则。

在本发明的一个实施例中，安全逻辑单元14中的一个安全逻辑单元被配置为主安全逻辑单元，该主安全逻辑单元接收所有传感器数据并且被允许基于传感器数据来做出立即使机器人中的所有机器人停止的决定，并且生成使机器人停止的命令。在该实施例中，每个安全逻辑单元被允许降低速度，并且使被连接至包括逻辑单元的机器人控制器的操纵器的运动停止。然而，仅主安全逻辑单元被允许决定使其他机器人停止，例如以生成切断去往机器人中的所有机器人的马达的功率供应的命令。

在本发明的一个实施例中，机器人控制器中的每个机器人控制器被配置为将安全命令发送给信息共享装置12，并且信息共享装置12被配置为接收来自机器人控制器4的安全命令并且将安全命令发送给机器人控制器。因此，来自机器人控制器中的任何机器人控制器的安全命令被广播给被连接至信息共享装置12的其他机器人控制器。因此，机器人控制器4中的每个机器人控制器可以从其他机器人控制器接收安全命令，并且基于来自其他机器人控制器4的安全命令来进行动作。机器人控制器4的安全逻辑单元被配置为做出安全决定并且基于从其他机器人控制器接收到的安全命令来生成安全命令。例如，如果机器人中的一个机器人的安全逻辑单元由于检测到的安全事件而已经决定使机器人的运动停止并且已经生成停止命令，则机器人单元中的其他机器人将接收停止命令，并且可以进行决定并且生成使其自己的运动停止的命令。

在本发明的该实施例中，机器人控制器4中的每个机器人控制器包括能够使机器人的运动停止的安全停止单元15。该安全停止单元15被配置为在从安全逻辑单元14接收到停止命令时使机器人的运动停止，例如以断开去往机器人的马达的功率供应和/或机械地制动机器人的马达。安全停止单元15包括用于提供机器人运动的安全停止的硬件。根据本发明的该实施例，机器人控制器4的安全逻辑单元14中的每个安全逻辑单元被允许基于从被连接至信息共享装置12的其他机器人控制器接收到的传感器数据和接收到的安全命令来做出使被连接至相应机器人控制器的机器人的运动停止的决定，并且向安全停止单元15发送停止命令。

图3示出了根据本发明的第二实施例的工业机器人系统的示例的框图。在该实施例中，机器人系统包括被配置为基于安全命令来实施安全动作的安全致动器16。该安全致动器16被布置为单独的单元，并且不是机器人控制器中的任何机器人控制器的一部分。在该实施例中，安全致动器被连接至信息共享装置12，并且机器人控制器4经由信息共享装置12来与安全致动器通信。安全致动器16被配置为从机器人控制器4接收安全命令并且基于安全命令来使机器人中的每个机器人处于安全状态。例如，安全致动器16能够断开去往机器人中的每个机器人的马达的功率供应。在一个实施例中，安全致动器16包括被配置为接通和关断去往机器人的马达的功率供应的断路器18(诸如继电器)。备选地，安全致动器16可以包括多个断路器，即，每个机器人一个断路器。因此，安全致动器16可以单独地接通和关断去往机器人的马达的功率供应以及关断去往机器人中的所有机器人的功率供应。在一个实施例中，安全逻辑单元14中的每个安全逻辑单元被允许基于传感器数据来做出使机器人中的一个或多个机器人停止的决定并且生成包括关于机器人中的哪个机器人被停止的信息的停止命令，并且安全致动器被配置为在接收到停止命令时断开去往机器人中的一个或多个机器人的马达的功率供应。

进一步地，安全致动器16可以包括被配置为与机器人控制器4通信并且针对(多个)断路器18生成一个或多个控制信号的数据处理单元20。在该实施例中，数据处理单元20经由信息共享装置12来与机器人控制器14通信。机器人控制器的至少一些安全逻辑单元14被配置为基于接收到的传感器数据来针对安全致动器生成安全命令。例如，安全命令是使机器人中的一个或多个机器人停止或者切断去往机器人的马达6的功率供应的命令。

信息共享装置被配置为从机器人控制器接收安全命令并且将安全命令发送给安全致动器。在本发明的一个实施例中，机器人控制器4被配置为将安全命令发送给信息共享装置12，并且信息共享装置被配置为从机器人控制器接收安全命令并且将接收到的安全命令发送给安全致动器16和机器人控制器4。因此，信息共享装置12被配置为将来自机器人控制器4的安全命令广播给被连接至信息共享装置12的其他装置，即，广播给安全致动器16和机器人控制器4。该实施例允许机器人控制器对来自其他机器人控制器的安全命令采取行动。机器人控制器中的所有机器人控制器共享来自安全传感器的输出以及来自控制器中的每个控制器的安全逻辑的输出。

备选地，可以存在从机器人控制器向安全致动器的直接通信链路，并且机器人控制器可以将命令直接传输给安全致动器。

安全传感器2a-2d中的每个安全传感器被配置为在第一时间间隔内重复地向信息共享装置12发送安全数据。例如，第一时间间隔在10ms和50ms之间。进一步地，机器人控制器被配置为：如果安全数据在第二时间间隔内已经被接收到，则在第二时间间隔内重复地向安全致动器16发送安全命令。机器人控制器被配置为：如果安全数据在第二时间间隔内没有被接收到，则不向安全致动器16发送任何安全命令。第二时间间隔应该比第一时间间隔长，以考虑到在传感器和机器人控制器之间的数据传递中的时间延迟并且确保机器人控制器有足够的时间来接收传感器数据。例如，第二时间间隔在60ms和150ms之间。在该实施例中，安全致动器16包括看门狗模块22，该看门狗模块22被配置为检测在限定的时间限制内已经从机器人控制器中的每个机器人控制器接收到安全命令。例如，看门狗模块22是由数据处理单元20执行的软件模块。限定的时间限制应该比第二时间间隔长，以考虑到在机器人控制器和安全致动器之间的数据传递中的时间延迟并且确保安全致动器有足够的时间接收传感器数据并且由此避免不必要地使机器人停止。例如，限定的时间限制在150ms和300毫秒之间。

安全致动器16被配置为实施安全动作，使得机器人处于安全状态，例如如果在限定的时间限制内没有从机器人接收到安全命令，则制动去往机器人的马达的功率供应。机器人控制器中的至少一个机器人控制器(以及适当地，被连接至信息共享装置12的机器人控制器中的所有机器人控制器)被配置为：在第二时间间隔内重复地向安全致动器16发送安全命令，并且安全致动器被配置为检测机器人控制器中的任何机器人控制器是否缺少安全命令。安全致动器16被配置为：如果在限定的时间段内没有从机器人接收到安全命令，则使机器人处于安全状态。例如，安全命令是具有一切正常的信息的消息。

备选地，安全致动器16可以被配置为：如果在限定的时间限制内没有从机器人中的一个机器人接收到安全命令，则断开去往机器人单元中的所有机器人的马达的功率供应。例如，断路器18是被配置为高态有效的继电器，并且从数据处理单元20到继电器的控制信号较高，只要看门狗模块22从机器人控制器中的所有机器人控制器接收到安全命令，并且如果在限定的时间限制内没有从机器人中的一个机器人接收到安全指令，则控制信号变得较低。