Die Erfindung betrifft ein Verfahren und ein System zur Loka lisierung eines drahtlos kommunizierenden Objekt- Transponders, sowie ein Personen- oder Objektschutzsystem.

In Produktionssystemen werden häufig Schutzzäune zum Perso nenschutz eingesetzt, um beispielsweise Bedienungspersonal oder bewegte Objekte vor einem, in Betrieb befindlichen, be wegten Montage-Roboterarm zu schützen.

Schutzzäune benötigen allerdings Platz in der Produktionsan lage und können den Zugang zu Anlagen erschweren. Damit sind indirekt Produktionskosten verbunden, welche einen wirt schaftlichen Betrieb eines Produktionssystems unerwünscht be einträchtigen.

Beispielsweise kann mit einer Laserentfernungsmessung oder visueller Erkennung mit Kameras ein virtueller Schutzzaun für gefährliche Produktionsmaschinen realisiert werden, was je doch in der Regel sehr aufwändig, unflexibel und teuer ist.

Die Lokalisierung eines drahtlos kommunizierenden Objekt- Transponders, also die Berechnung einer absoluten Position im Raum (2D oder 3D) durch ein funkbasiertes Lokalisierungssys tem mit Standardkomponenten gilt im Stand der Technik aller dings als unsicher.

Die berechnete Position kann durch Hardware- und/oder Soft ware-Fehler der zum Einsatz kommenden Komponenten oder durch physikalische Effekte, welche beispielsweise durch den Funk kanal hervorgerufen werden können, verfälscht werden.

Solche Effekte können durch Funkkanäle, welche auf keiner di rekten Sichtverbindung basieren, hervorgerufen werden. Durch Signalreflektionen kann es zu Mehrwegausbreitung und in wei- terer Folge zum Mehrfachempfang desselben Sendesignals, je doch mit unterschiedlichen Laufzeiten kommen.

Eine Verbesserung der Laufzeitmessung kann durch das bekannte TWR-Verfahren (englisch „Two Way Ranging", Zweiwege- Entfernungsmethode) erreicht werden. Die Zweiwege- Entfernungsmethode bestimmt die Signallaufzeit (Flugzeit) des UWB-HF-Signals und berechnet dann die Entfernung zwischen den Knoten, indem die Zeit mit der Lichtgeschwindigkeit multipli ziert wird. Der TWR-Prozess wird zwischen einem Transponder und einem angeforderten Anker (auch als Anker-Gateway oder Anker-Transponder bezeichnet) angewendet, es soll zu einem bestimmten Zeitpunkt nur ein Anker am TWR beteiligt sein.

Unter einem Anker wird eine stationäre Funkeinheit mit be kannter Position verstanden.

In der Publikation US 2009/310585 Al ist ein Verfahren zur Bestimmung einer Schutzzone um einen drahtlos kommunizieren den Transceiver beschrieben, welches auf dem bekannten TOA- Verfahren beruht.

Die Schrift US 2014/038637 Al zeigt ein Verfahren zur Bestim mung einer Schutzzone um einen drahtlos kommunizierenden Transceiver .

Jedoch sind in beiden genannten Verfahren die ermittelten Po sitionsdaten des Transceivers nicht für sicherheitsrelevante Systeme nutzbar, da die verwendete konventionelle Rechenvor richtung nicht den hohen Erfordernissen an Datensicherheit genügt.

In der Veröffentlichung "Information technology - Real time locating Systems (RTLS) - Part 62: High rate pulse repetition frequency Ultra Wide Band (UWB) air interface", ISO/IEC 24730-62:2013, IEC, 3, RUE DE VAREMBE, PO BOX 131, CH-1211 GENEVA 20, SWITZERLAND, 26. August 2013 (2013-08-26), Sei ten 1-57, XP082006036, ist ein Verfahren beschrieben, wobei mindestens eine Anker-Objekt-Distanz zwischen einem drahtlos kommunizierenden Transponder und einem Infrastruktur-Knoten mit bekannter Position nach dem TWR-Prinzip durch eine Dis tanzmessungsvorrichtung ermittelt wird, welche lediglich die Datenübertragung gegen Fehler sichert.

Jedoch können durch dieses Verfahren nur Fehler in der Über tragung von Zeitstempeln erkannt werden und es wird nicht auf eine für Sicherheitsanwendungen geeignete fehlersichere Weise eine sichere Position bestimmt.

Es ist jedoch derzeit kein Ortungsverfahren mithilfe eines Funksystems bekannt, mit welchem sicherheitsrelevante Aufga ben, wie beispielsweise der Verzicht auf Schutzzäune bei Pro duktionsanlagen, realisiert werden können, da die Bestimmung insbesondere der Übertragungsparameter eines Funkkanals nicht hinreichend verlässlich ist, um beispielsweise in einem Pro duktionssystem eingesetzt zu werden und bei einem unerwünsch ten Eingriff das Produktionssystem abzuschalten und dadurch die Personen- bzw. Objektsicherheit zu gewährleisten.

Es ist Aufgabe der Erfindung ein Verfahren und ein System zur Bestimmung einer Schutzzone um einen drahtlos kommunizieren den Objekt-Transponder bereitzustellen, welches einen zuver lässigen und fehlersicheren Schutz von in der Schutzzone be findlichen Personen vor Objekten vorsieht bei gleichzeitig hoher Verfügbarkeit des Systems, welche in die Schutzzone eingreifen.

Dabei kann der drahtlos kommunizierende Objekt-Transponder beispielsweise von einer Person, das heißt dem Bedienungsper sonal, getragen werden. Natürlich kann auch ein Objekt, wie ein autonom fahrendes Fahrzeug mit einem Objekt-Transponder ausgestattet sein, um dieses Fahrzeug beispielsweise vor ei ner Kollision zu schützen. Die Schutzzone ist eine virtuelle Zone, durch welche sicher gestellt werden kann, dass bei Eingriff in diese Zone ein Schutzmechanismus aktiviert wird, beispielsweise indem des eingreifenden Objekts wie ein Roboterarm unmittelbar gestoppt wird. Mit anderen Worten beschreibt der Schutzradius der Schutzzone jenen minimalen Radius, in welcher sich der Trans ponder mit Sicherheit befindet, das heißt verlässlich nicht außerhalb befindet.

Dadurch können beispielsweise große Anlagen ohne Schutzzäune realisiert werden, in denen gefährliche Maschinen automatisch abgeschaltet werden, wenn sich ein Arbeiter, der mit einem Objekt-Transponder ausgestattet ist, der Maschine soweit nä hert, dass der Schutzradius den gefährlichen Bereich schnei det. Dies ist günstig, da nur jener Teil der Anlage mit der betroffenen Maschine und nicht die ganze Anlage von der Si cherheitsmaßnahme betroffen ist.

Eine fehlersicher arbeitende Recheneinheit (F-CPU) als si cherheitszertifizierte Komponente führt beispielweise mittels zweier unabhängiger Rechenvorrichtungen jeweils die gleichen Rechenoperationen aus, vergleicht deren Ergebnisse miteinan der und stellt bei einer Übereinstimmung ein als sicher gel tendes Ergebnis bereit. Eine fehlersicher arbeitende Rechen einheit kann sicherheits-relevante und nicht-sicherheits- relevante Anwendungsprogramme ausführen und ist bis zu SIL3 gemäß IEC 61508 und Cat4 PLd gemäß ISO 13849-1 zertifiziert.

Die IEC 61508 ist eine internationale Normenserie zur Ent wicklung von elektrischen, elektronischen und programmierba ren elektronischen Systemen, die eine Sicherheitsfunktion ausführen. Sie wird von der Internationalen Elektrotechni schen Kommission (IEC) herausgegeben und trägt den Titel Funktionale Sicherheit sicherheitsbezogener elektri scher/elektronischer/programmierbarer elektronischer Systeme. Die Norm EN ISO 13849 ist eine sicherheitsspezifische Norm, welche sich mit Gestaltungsleitsätzen zu sicherheitsbezogenen Teilen von Steuerungen beschäftigt.

Die erfindungsgemäße Aufgabe wird durch ein Verfahren ein gangs genannter Art gelöst, wobei folgende Schritte ausge führt werden: a) Ermitteln einer ersten, unsicheren Position des Objekt- Transponders durch ein erstes Lokalisierungssystem, b) Ermitteln von zumindest zwei sicheren Anker-Objekt- Distanzen zwischen dem Objekt-Transponder und zumindest zwei Anker-Gateways mit jeweils bekannter Position nach der Zweiwege-Entfernungsmethode durch eine sichere Dis- tanzmessungsVorrichtung, c) Ermitteln des Schutzradius mittels einer fehlersicheren Rechenvorrichtung, welche die erste Position vom ersten Lokalisierungssystem und die zumindest zwei sicheren An- ker-Objekt-Distanzen von der Distanzmessungsvorrichtung empfängt und daraus mithilfe der bekannten Positionen der zumindest zwei Anker-Gateways den Schutzradius bestimmt.

Durch die erfindungsgemäße Bildung eines virtuellen Schutz zauns um den Transponder wird ein Personen- oder Objektschutz erreicht.

Erst die Kombination des Einsatzes einer fehlersicheren Re chenvorrichtung und die entsprechende Wahl, an welcher Stelle im System eine solche fehlersicheren Rechenvorrichtung Anwen dung finden soll, sowie in diesem Zusammenhang geeignete Zeitstempel verwendet werden, erlaubt eine zuverlässige Posi tions-Bestimmung für den Einsatz in Personenschutzsystemen.

Während ähnliche Systeme beispielsweise eine aufwändige zeit liche Synchronisierung der Komponenten erfordern, kann erfin dungsgemäß darauf verzichtet werden, denn das vorgeschlagene Verfahren erreicht durch die günstige Anordnung der fehlersi- cheren Rechenvorrichtung und die entsprechende Wahl von Zeit stempeln eine sichere Positionsbestimmung.

Natürlich ist auch der Schutz des in die Schutzzone eingrei fenden Objekts, wie ein Produktionssystem, ein Aspekt, um die Sicherheit und Verfügbarkeit der gesamten Anlage zu gewähr leisten.

Durch Anwendung eines Schutzradius wird sichergestellt, dass nur die absolut notwendige Fläche für Schutzzone bestimmt wird, wodurch eine minimale Beeinträchtigung des Fläche auOerhalb der Schutzzone erreicht wird und die Verfügbarkeit eines derartigen Systems besonders groß ist.

In einer Weiterbildung der Erfindung ist es vorgesehen, dass von den zumindest zwei Anker-Objekt-Distanzen das Minimum als minimale Distanz bestimmt wird, und der jeweilige geometri sche Abstand zwischen einem Anker-Gateway und der ersten Po sition, sowie der Differenz zu den Anker-Objekt-Distanzen je weils ermittelt wird, und aus den Differenzen das Maximum als maximale Distanzdifferenz bestimmt wird, und der Schutzradius aus der minimalen Distanz und der maximalen Distanzdiffe renz bestimmt wird.

Dadurch kann auch eine Schutzzone für den Fall mit der un günstigsten Anordnung zwischen Transponder und Anker-Gateways bestimmt werden.

In einer Weiterbildung der Erfindung ist es vorgesehen, dass der Schutzradius r _p gemäß dem Zusammenhang bestimmt wird.

In einer Weiterbildung der Erfindung ist es vorgesehen, dass der Schutzradius aus dem jeweiligen Abstand zwischen den zu mindest zwei Anker-Objekt-Distanzen und der ersten Positi on ermittelt wird. Dadurch kann der Schutzradius entsprechend der genannten An ordnung reduziert werden.

In einer Weiterbildung der Erfindung ist es vorgesehen, dass um die zumindest zwei Anker-Gateways zumindest ein erster Schnittpunkt im Abstand der jeweiligen Anker-Objekt- Distanz gebildet wird, und der Schutzradius durch den größten Abstand von dem zumindest einen ersten Schnittpunkt zur ers ten Position bestimmt ist.

In einer Weiterbildung der Erfindung ist es vorgesehen, dass die Positionen von drei Anker-Gateways eine Dreiecksfläche in einer Dreiecksebene definiert, und eine gedachte Flächennor male auf die Dreiecksebene durch die erste Position des Transponders verläuft, und der Schnittpunkt zwischen der Flä chennormale und der Dreiecksebene eine projizierte Transpon der-Position darstellt, welche bei der Bestimmung des Schutz radius verwendet wird, und vorzugsweise eine Mehrdeutigkeit bei der Bestimmung des Schnittpunkts des Objekt- Transponders bei zwei Anker-Gateways durch eine Prüfung, ob eine ermittelte Position des Objekt-Transponders innerhalb der Dreieckfläche, welche durch den Objekt-Transponders und die zwei Anker-Gateways aufgespannt ist, gelegen ist, gelöst wird.

Durch die projizierte Transponder-Position kann eine Lage des Transponders außerhalb der Dreiecksebene berücksichtigt wer den.

Ferner kann eine Mehrdeutigkeit bei der Bestimmung des gebil deten Schnittpunkts mittels der sicheren Distanz auf einfache Weise gelöst werden.

In einer Weiterbildung der Erfindung ist es vorgesehen, dass folgende Schritte ausgeführt werden: a) Erfassen von Sende- und Empfangs-Zeitstempeln für eine jeweilige Kommunikations-Nachricht seitens des Transpon ders und zumindest zwei Anker-Gateways, b) Übertragen der jeweiligen Zeitstempel vom Transponder und den zumindest zwei Anker-Gateways mit zumindest einer je weiligen Zeitstempel-Kontrollinformation an eine fehler sichere Rechenvorrichtung, wobei die Zeitstempel- Kontrollinformation vorzugsweise eine Paritätsinformation ist c) Durchführen von zumindest einer Überprüfung durch die fehlersichere Rechenvorrichtung ausgewählt aus: cl) Überprüfung der Richtigkeit der jeweiligen Zeitstem pel anhand der zumindest einen Zeitstempel- Kontrollinformation, c2) Überprüfung der errechneten Zeitdauer für die Bearbei tungszeiten des Transponders und jener des einen Anker- Gateways anhand bekannter Erfahrungswerte, d) Bestimmen der sicheren Distanz mithilfe der überprüften Zeitstempel durch die fehlersichere Rechenvorrichtung. wobei bei der Erfassung der Zeitstempel Zeitstempel-Fehler nur durch den Transponder oder alternativ nur durch eines der zumindest zwei Anker-Gateways hervorgerufen werden.

Dadurch wird erreicht, dass die zu bestimmende Distanz feh lersicher berechnet wird, da jede Rechenoperation zur Bestim mung der Distanz in einer fehlersicher arbeitenden Rechenvor richtung durchgeführt werden. Die Erfassung der Basisdaten, das heißt der Zeitstempel erfolgt durch den Transponder be ziehungsweise die Anker-Gateways und die Übertragung der Zeitstempel wird durch eine jeweilige Zeitstempel- Kontrollinformation gesichert. Daher kann beispielsweise ein Fehler bei der Erzeugung, der Übertragung und der Berechnung festgestellt werden und eine Warnung ausgegeben werden, dass die Sicherheit einer durchgeführten Berechnung aktuell nicht sichergestellt ist.

In einer Weiterbildung der Erfindung ist es vorgesehen, dass ein Indikatorwert für eine sichere Distanzmessung durch fol- genden Zusammenhang mittels der fehlersicheren Rechenvorrich tung ermittelt wird, welcher ein Maß für die Sicherheit der berechneten sicheren Distanz ist:

_C , (T _{Roundl —} T _{GW REPLY} )— (T _{Round2 —} T _{TAG REPLY} ) safe twr value = - - - wobei

TRoundl ^— 2 TOF- _L + T _{GW REPLY} t, Round2 = 2 T0F ₂ + ¹ TAG_REPLY

T"GW REPLY — TS _{GW TX RESP} TS _{GW RX p0LL}

TTAG REPLY — TS _{TAG TX FINAL} — TS _{TAG RX RESP} und TOF-, beziehungsweise T0F ₂ die jeweilige Signallaufzeit zwischen dem Transponder und einem der zumindest zwei Anker- Gateway ist.

Dadurch kann auf eine einfache Weise festgestellt werden, dass die Erzeugung der Zeitstempel plausibel erfolgt ist.

In einer Weiterbildung der Erfindung ist es vorgesehen, dass der drahtlosen Kommunikation zwischen dem Objekt-

Transponder und dem jeweiligen Anker-Gateway für eine Lokali sierungs-Abfrage eine Abfrage-, eine Antwort- und eine End- Nachricht versendet und empfangen wird.

Dadurch kann das Verfahren auf ein einfaches und bekanntes Verfahren zur Zwei-Wege-Vermessung aufbauen.

In einer Weiterbildung der Erfindung ist es vorgesehen, dass eine Vorgangsnummer von der fehlersicheren Rechenvorrich tung erzeugt wird und von dieser mit der Antwort-Nachricht übertragen wird. In einer Weiterbildung der Erfindung ist es vorgesehen, dass die Vorgangsnummer eine Zufallszahl ist.

Dadurch wird die Manipulationssicherheit erhöht, da die Kenntnis der Zahl vonnöten ist, um sie einem Anker-Gateway zuordnen zu können.

In einer Weiterbildung der Erfindung ist es vorgesehen, dass die Zeitstempel-Kontrollinformation eine Paritätsinformation ist.

Dadurch wird eine technisch einfache Umsetzung erreicht, bei welcher Fehler oder Manipulationen bei der Übertragung der Zeitstempel entdeckt werden können, ohne die Zeitstempel selbst zu manipulieren, wie dies beispielsweise bei einer Verschlüsselung auftreten könnte und im Widerspruch zum er findungsgemäßen Ansatz steht, dass Berechnungen nur von einer fehlersicheren Rechenvorrichtung ausgeführt werden.

In einer Weiterbildung der Erfindung ist es vorgesehen, dass bei der Berechnung der Zeitstempel-Kontrollinformation eine Kommunikations-Adresse des Objekt-Transponders oder des zu mindest einen Anker-Gateways berücksichtigt wird.

Dadurch wird die Manipulationssicherheit weiter erhöht, da eine zusätzliche Überprüfung der im System bekannten Anker- Gateways erfolgen kann.

Die Aufgabe der Erfindung wird auch durch ein Warnsystem zur Bestimmung einer Schutzzone um einen drahtlos kommunizieren den Objekt-Transponder gelöst, umfassend eine sichere Dis tanzmessungsvorrichtung, eine fehlersichere Rechenvorrichtung mit einem Speicher, ein Lokalisierungssystem und zumindest zwei Anker-Gateways, wobei das Warnsystem dazu eingerichtet ist, das erfindungsgemäße Verfahren auszuführen, und die Schutzzone für den Objekt-Transponder zu bestimmen.

Die Aufgabe der Erfindung wird auch durch ein Schutzsystem für eine Person oder ein Objekt gelöst, umfassend ein Gefah- rensystem und ein erfindungsgemäßes Warnsystem mit einem drahtlos kommunizierenden Objekt-Transponder, welcher von ei ner Person getragen wird oder von einem Objekt umfasst ist, wobei das Schutzsystem dazu eingerichtet ist, wenn sich das Gefahrensystem in Betrieb befindet, mithilfe der von dem Warnsystem ermittelten Schutzzone (S) für den Objekt- Transponder für zumindest jenen Teil des Gefahrensystems ei nen Abbruchvorgang des Betriebs des Gefahrensystems auszulö sen, dessen Teil in die Schutzzone eingreift.

In einer Weiterbildung der Erfindung ist es vorgesehen, dass das Gefahrensystem ein industrielles Produktionssystem mit beweglichen Teilsystemen, wie Montage-Robotern, ist.

In einer Weiterbildung der Erfindung ist das Schutzsystem für ein Fahrzeug vorgesehen, umfassend ein Gefahrensystem und ein erfindungsgemäßes Warnsystem mit einem drahtlos kommunizie renden Objekt-Transponder, welcher von dem Fahrzeug umfasst ist, und welches Fahrzeug eine Fortbewegung ausführt, wobei das Schutzsystem dazu eingerichtet ist, mithilfe der von dem Warnsystem ermittelten Schutzzone für den Objekt-Transponder des Fahrzeugs einen Abbruchvorgang der Fortbewegung auszulö sen, sofern das Gefahrensystem in die Schutzzone eingreift.

In einer Weiterbildung der Erfindung ist es vorgesehen, dass das Gefahrensystem ein statisches Infrastrukturobjekt, bei spielsweise ein Gebäude, ist, und der Objekt-Transponder von einem Fahrzeug, beispielsweise ein Kraftfahrzeug, oder von einem fliegenden Verkehrsobjekt, beispielsweise ein Hub schrauber oder eine Drohne zur Personen- oder Güterbeförde rung, umfasst ist.

Die Erfindung wird nachfolgend anhand von in den beigeschlos senen Zeichnungen dargestellten Ausführungsbeispiele näher erläutert. In den Zeichnungen zeigt: Fig. 1 ein Ausführungsbeispiel für ein erfindungsgemäßes Warn- und Schutzsystem,

Fig. 2 ein Beispiel für ein Ablaufdiagramm zur sicheren Bestimmung der Distanz,

Fig. 3 ein Beispiel für eine Abfrage-Nachricht, Fig. 4 ein Beispiel für eine TWR-Antwort-Nachricht, Fig. 5 ein Beispiel für eine Antwort-Nachricht, Fig. 6 ein Beispiel für eine TWR-End-Nachricht, Fig. 7 ein Beispiel für eine End-Nachricht, Fig. 8 ein Beispiel für eine Anordnung in Aufsicht mit einem zu lokalisierenden Objekt-Transponder und drei Gateway-Transpondern,

Fig. 9 die Anordnung der Fig. 8 mit eingezeichneten, be kannten Distanzen,

Fig. 10 ein Ausführungsbeispiel für ein Flussdiagramm des erfindungsgemäßen Verfahrens,

Fig. 11 eine Darstellung der Distanzen und der dazugehö rigen Laufzeiten gemäß dem Beispiel der Fig. 8,

Fig. 12 eine Darstellung des geometrischen Zusammenhangs mit einem Berechnungsbeispiel des Schutzradius mit optimaler Größe,

Fig. 13 eine Darstellung des geometrischen Zusammenhangs mit einem Berechnungsbeispiel des Schutzradius, welcher größer als erforderlich ist,

Fig. 14-15 weitere Beispiele für den geometrischen Zusammen hang von Distanzen bei der Bestimmung des Schutz radius,

Fig. 16 eine Sektor-Darstellung um eine Position zur FCS- Bestimmung, Fig. 17-19 Beispiele für eine Sektor-Darstellung von, für

Gateways ermittelten Richtungen mit dazugehörigen Distanzen,

Fig. 20 ein Beispiel für eine Sektor-Darstellung mit ei ner ungünstigen Position des Objekt-Transponders,

Fig. 21 eine Illustration der berechneten Distanzen gemäß dem Beispiel der Fig. 20,

Fig. 22 ein Beispiel für eine Sektor-Darstellung mit ei ner günstigen Position des Objekt-Transponders,

Fig. 23 eine Illustration der berechneten Distanzen gemäß dem Beispiel der Fig. 22,

Fig. 24-26 eine Darstellung des geometrischen Zusammenhangs von verschiedenen Abständen für eine Anordnung analog zu Fig. 20 und Fig. 21,

Fig. 27-29 eine Darstellung des geometrischen Zusammenhangs für den Schutzradius dar für verschiedene Konfi gurationen.

In Fig . 1 ist ein Ausführungsbeispiel für ein erfindungsgemä ßes Warn- und Schutzsystem dargestellt.

Von einem Objekt-Transponder oder „Tag" T, welcher beispiels weise von einer Person P am Körper getragen wird, wird ein jeweiliges Abfrage-Signal P1-P3 in einen Funkkanal abge strahlt, welches eine Abfrage Nachricht MP (englisch „Poll") umfasst.

Das jeweilige Abfrage-Signal P1-P3 wird vom jeweiligen Gate way G1-G3 vom Funkkanal empfangen, weiterverarbeitet und als jeweiliges Antwort-Signal R1-R3 wieder abgestrahlt, welches eine jeweilige Antwort-Nachricht MR (englisch „response") um fasst.

Die Antwort-Signale R1-R3 werden vom Objekt-Transponder T empfangen, weiterverarbeitet und als jeweiliges End- Signal F1-F3 wieder in den Funkkanal abgestrahlt, welches die jeweilige Antwort-Nachricht MF (englisch „final") umfasst.

Die End-Signale F1-F3 werden vom jeweiligen Gateway G1-G3 empfangen und an eine fehlersicher rechnende Rechenvorrich tung F-CPU übergeben, welche den Schutzradius r _P einer Schutzzone S bestimmt.

Wenn sich ein Gefahrensystem beispielsweise in Form einer Produktionsanlage in Betrieb befindet, und dabei ein Roboter arm R der Produktionsanlage in die Schutzzone S eingreift, wird für den Roboterarm ein Abbruchvorgang für dessen Betrieb ausgelöst, wodurch der Roboterarm unverzüglich zum Stillstand kommt.

Der Eingriff in die Schutzzone S kann beispielsweise dadurch erfolgen, dass sich die Person P dem Roboterarm R unerlaubt nahe annähert, und der Personenschutz nicht mehr sicher ge währleistet ist.

Ein Verfahren zur Bestimmung einer sicheren Distanz d _TWR nach dem TWR-Prinzip zwischen einem drahtlos kommunizierenden Ob jekt-Transponder T und zumindest einem Anker-Gateway G1-G3, welche jeweils Mittel zur Erfassung von Zeitstempeln aufwei sen, wird im Weiteren anhand eines Ausführungsbeispiels der Erfindung beschrieben.

Allgemein werden dabei folgende Schritte ausgeführt: a) Erfassen von Sende- und Empfangs-Zeitstempeln TS _{TAG TX P0LL} , TSGW_RX_POLL TS _{GW TX resp} , TS _{TAG RX resp} , TS _{TAG TX FINAL} , TS _{GW RX FINAL} für eine jeweilige Kommunikations-Nachricht seitens des Transponders T und zumindest zwei Anker-Gateways G1-G3, b) Übertragen der jeweiligen Zeitstempel TS _{TAG TX P0LL} ,

TS _{GW RX P} OLL TS _{GW TX resp} , TS _{TAG RX resp} , TS _{TAG TX FINAL} , TS _{GW RX FINAL} vom Transponders T und den zumindest zwei Anker- Gateways G1-G3 mit zumindest einer jeweiligen Zeitstem- pel-Kontrollinformation CRC1, CRC2, beispielsweise eine Paritätsinformation, an eine fehlersichere Rechenvorrich tung F-CPU, c) Durchführen von zumindest einer Überprüfung durch die fehlersichere Rechenvorrichtung (F-CPU) ausgewählt aus: cl) Überprüfung der Richtigkeit der jeweiligen Zeitstem pel TS _{TAG TX P0LL} , TS _{gw rx poll} , TS _{gw tx resp} , TS _{TAG rx resp} , TS _T AG_TX_FINAL, TS _{GW RX FINAL} anhand der zumindest einen Zeitstempel-Kontrollinformation CRC1, CRC2, c2) Überprüfung der errechneten Zeitdauer für die Bearbei tungszeiten des Transponders T und jener des zumindest einen Anker-Gateways G1-G3 anhand bekannter Erfahrungs werte, d) Bestimmen der sicheren Distanz d _TWR mithilfe der über- prüften Zeitstempel TS _{tag tx poll} , TS _{gw rx poll} , TS _{gw tx resp} ,

TS _{TAG RX RESp} , TS _{TAG TX final} , TS _{GW RX FINAL} durch die fehlersiche re Rechenvorrichtung F-CPU, wobei bei der Erfassung der Zeitstempel TS _{TAG TX P0LL} ,

TS _G W_RX_POLL _I TS _{GW TX resp} , TS _{TAG RX resp} , TS _{TAG TX FINAL} , TS _{GW RX FINAL} Zeitstempel-Fehler nur durch den Transponder T oder alterna tiv nur durch eines der zumindest zwei Anker-Gateways G1-G3 hervorgerufen werden.

Daraus kann ein Indikatorwert safe_twr_value für eine sichere Distanzmessung durch folgenden Zusammenhang mittels der feh- lersicheren Rechenvorrichtung F-CPU ermittelt wird, welcher ein Maß für die Sicherheit der berechneten sicheren Distanz d _XWR ist:

_C , safe twr value wobei TRound _l = 2 TOF _x + T _GW REPLY

TRound ₂ ⁼ 2 TOF ₂ + T _TAG REPLY

TGW REPLY = TS _{GW TX RESP} — TS _{GW RX} p _0LL

TTAG REPLY = TS _{TAG TX FINAL} ^— TS _{TAG RX RESP} und TOFL beziehungsweise TOF ₂ die jeweilige Signallaufzeit zwischen dem Transponder T und einem der zumindest zwei An ker-Gateway G1-G3 ist.

Während der drahtlosen Kommunikation wird zwischen dem Ob jekt-Transponder T und dem zumindest einen Anker-Gateway GI GS für eine Lokalisierungs-Abfrage eine Abfrage-, eine Ant wort- und eine End-Nachricht MP, MR, MF versendet und empfan gen.

Außerdem kann eine Vorgangsnummer RNR von der fehlersicheren Rechenvorrichtung F-CPU erzeugt werden, welche mit der Ant wort-Nachricht MR von der fehlersicheren Rechenvorrichtung F- CPU übertragen wird. Die Vorgangsnummer RNR ist beispielswei se eine Zufallszahl.

Bei der Berechnung der Zeitstempel-Kontrollinformation CRC1, CRC2 kann ferner eine Adresse des Objekt-Transponder T oder des zumindest einen Anker-Gateway G1-G3 berücksichtigt wer den.

Fig . 2 stellt ein Beispiel für ein Ablaufdiagramm zur Bestim mung der sicheren Distanz d _TWR dar, anhand dessen die Erfin dung im Detail beschrieben wird.

Eine sichere Distanz ist eine Entfernung, welche ohne syste mische Fehler bei einer Laufzeitmessung ermittelt wird.

Unerwünschte Einflüsse, beispielsweise durch eine schwankende oder ungenaue Zeitbasis, welche bei einer Laufzeitmessung von Signalen auftreten können, werden durch eine entsprechende „sichere" Berechnung systemisch ausgeschlossen. Die Position des Objekt-Transponders T (auch englisch „tag") in einem dreidimensionalen Raum soll gemäß den weiteren Aus führungen ermittelt werden, wobei die Anker- beziehungsweise Gateway-Transponder Gl, G2, G3 mit bekannter Position heran- gezogen werden.

Die Abfragenachricht MP wird am Transponder T beziehungsweise Tag zu einem Zeitpunkt mit einem Zeitstempel TS _{TAG TX P0LL} abge sendet und am jeweiligen Anker-Gateway G1-G3 zu einem Zeit punkt mit einem Zeitstempel TS _{GW R} X_ _P OLL empfangen. Die Übertragung der Abfragenachricht MP im Funkkanal zwischen dem Transponder T und dem jeweiligen Gateway der drei Gate ways G1-G3 benötigt eine Dauer TOF _! (englisch „time-of- flight") .

Die Abfragenachricht MP wird vom Anker-Gateway innerhalb ei- ner Zeitspanne T _{GW REPLY} verarbeitet und eine entsprechende Antwortnachricht MR vom Anker-Gateway zum Transponder T zu einem Zeitpunkt mit einem Zeitstempel TS _{GW TX RE} sp gesendet und am Tag zu einem Zeitpunkt mit einem Zeitstempel TS _{TAG RX RESP} empfangen . Die Zeitspanne T _{GW REP} LY wird durch den Takt des Gateway-

Komponenten T _GW CLK bestimmt und ist innerhalb gewisser und bekannter Grenzen bekannt.

Somit kann angegeben werden:

Tcw REPLY = TS _{GW TX RESP} — TS _{GW RX P0LL} Die Zeitspanne T _Rouncji bezeichnet die Signallaufzeit zwischen dem Zeitstempel TS _{TAG TX P0LL} und dem Zeitstempel TS _{TAG RX RESP} .

T _R oun _dl ⁼ TS _{TAG RX RESP} — TS _{TAG TX P0LL}

Die Übertragung im Funkkanal benötigt die Dauer T0F ₂ . Falls der Transponder T nicht bewegt wurde, entspricht TOF _] = T0F ₂ . Die Antwortnachricht MR wird vom Tag innerhalb einer Zeit spanne T _{TAG REPLY} verarbeitet und eine entsprechende Endnach richt MF vom Anker-Gateway zum Transponder T zu einem Zeit punkt mit einem Zeitstempel TS _{TAG TX FINAL} gesendet. Die Zeitspanne T _TAG-REPLY wird durch den Takt des Gateway- Komponenten T _{TAG GLK} bestimmt und ist innerhalb gewisser und bekannter Grenzen bekannt.

Die Übertragung im Funkkanal benötigt die Dauer TOF ₃ . Falls der Transponder T nicht bewegt wurde, entspricht TOF _] = TOF ₂ = TOF ₃ .

Das Anker-Gateway empfängt die Endnachricht MF zu einem Zeit punkt mit einem Zeitstempel TS _{GW RX FINAL} ·

Die Zeitspanne T _Rouncj2 bezeichnet die Signallaufzeit zwischen dem Zeitstempel TS _{GW TX-RESP} und dem Zeitstempel TS _{GW RX FINAL} · T _Round2 = TS _{GW RX FINAL} — TS _{GW TX RESp}

Somit kann angegeben werden:

T _{TAG REPLY} = TS _{TAG TX FINAL} — TS _{TAG RX ESP}

Die Zeitstempel werden von einem Tag-Zähler CT im Objekt- Transponder beziehungsweise einem Gateway-Zähler CG im Anker- Gateway erfasst.

Aus den ermittelten Laufzeiten kann die Signallaufzeit im Funkkanal TOF = TOF-, = TOF ₂ = TOF ₃ und über die Lichtgeschwin digkeit c die entsprechende Distanz d _TW R bestimmt werden. d _TWR = c TOF

Die Rechenvorrichtung F-CPU kann nun einen ersten Fehler er kennen, sofern die für die Distanzberechnung benötigten Zeit- Stempel des Transponders und der Gateways falsifiziert wer den.

Dabei wird angenommen, dass nur Fehler seitens des Transpon ders T oder alternativ nur Fehler seitens eines der Gateways G1-G3 zur selben Zeit passieren, und nicht Fehler seitens des

Transponders und eines Gateways gleichzeitig.

Unter einem systemischen Fehler wird ein Fehler verstanden, welcher die Erzeugung oder Erfassung von Zeitstempeln ungüns tig beeinflusst, beispielsweise eine unerwünscht abweichende Zeitbasis in einem elektronischen Bauteil, welche durch wech selnde Temperatur, Alterung, Bauteiltoleranzen oder ähnliches hervorgerufen werden kann. Ein solcher Fehler kann zwischen einzelnen Komponenten in einem System, wie dem Transponder T und einem Gateway G1-G3 auftreten, indem sich eine lokale Zeitbasis in Form einer Takterzeugung für eine digitale Elektronikschaltung ungleichmäßig verändert.

Zeitstempel oder eine Drift eines jeweiligen Zeitgeber-Takts in einer Komponente wie dem Transponder TI oder den Gate ways G1-G3 sind voneinander unabhängig. Folglich beeinflusst ein Fehler nur den eigenen Zeitstempel und nicht jenen der anderen Komponenten.

TWR verfügt über eine integrierte Fehlererkennung. Dabei wird von folgenden Zusammenhängen ausgegangen:

TRoundl ^— 2 TOF- _L + T _GW-REPLY

TRound2 ^— 2 T0F ₂ + T _XAG REPLY

Eine Abweichung von TOF , also die Differenz zwischen TOF _! und T0F ₂ durch Fehler im Transponder oder im Anker-Gateway kann nun berechnet werden durch safe twr value Ein TWR-Ergebnis ist für safe _twl-value < safe_twr_value_limit mit safe_twr_value_limit = 825 ps gültig, ansonsten ist das Ergebnis un gültig.

Mit dem Wert safe_twr_value_limit = 825 ps ist eine Takt-Drift für den Transponder mit < +200 ppm beschränkt.

In der Figur ist ferner ein Programm P_T des Transponders T mit Verfahrensschritten PT1-PT3 für den Transponder T als Teil des Ablaufdiagramms vereinfacht dargestellt.

Außerdem ist ein Programm P_G eines jeweiligen Gateways G1-G3 mit Verfahrensschritten PG1-PG3 für das jeweilige Anker- Gateway G1-G3 erkennbar, sowie ein Programm P_F der fehlersi cher rechnenden Vorrichtung F-CPU mit Verfahrensschrit ten PF1-PF4 für die Rechenvorrichtung F-CPU.

Im Schritt PT1 wird die Abfrage-Nachricht MP durch den Trans ponder T initiiert und gesendet.

Das jeweilige Gateway empfängt im Schritt PG1 die Abfrage- Nachricht MP und bestimmt den Sendezeitpunkt für die Antwort nachricht MR.

Im Schritt PF1 wird eine Zufallszahl RNR durch die fehlersi cher rechnende Vorrichtung F-CPU erzeugt und an das jeweilige Gateway gesendet.

Das Gateway sendet eine Antwort-Nachricht MR im Schritt PG2 an den Transponder T, welche die Zufallszahl RNR enthält.

Die Antwort-Nachricht MR wird im Schritt PT2 durch den Trans ponder T empfangen und der Sendezeitpunkt für die End- Nachricht MF errechnet.

Der Transponder T bestimmt im Schritt PT3 aus den Zeitstem peln und der Adresse des Transponders T, und der Zufallszahl eine erste Prüfsumme CRC1 und sendet eine End-Nachricht MF vom Transponder T an das Gateway, welche die erste Prüfsum me CRC1 enthält. Im Schritt PG3 empfängt das Gateway die End-Nachricht MF und bestimmt aus den Zeitstempeln und der Adresse des Gateways und der ersten Prüfsumme CRC1 eine zweite Prüfsumme CRC2 und übermittelt die Zeitstempel und die Adresse des Gateways und des Transponders T, sowie die zweite Prüfsumme CRC2 an die Vorrichtung F-CPU.

Im Schritt PF2 errechnet die Vorrichtung F-CPU eine dritte Prüfsumme CRC3 und vergleicht sie mit der zweiten Prüfsum me CRC2.

Im Schritt PF3 errechnet die Vorrichtung F-CPU einen sicheren Wert safe_twr_value für die Entfernung zwischen dem Gateway und dem Transponder T mittels des TWR-Verfahrens und überprüft die Werte auf Plausibilität.

Im Schritt PF4 errechnet die Vorrichtung F-CPU die gesuchte sichere Distanz anhand des vorhergehenden Zusammenhangs hin sichtlich der Signallaufzeit im Funkkanal TOF.

Fig. 3 stellt beispielhaft eine Abfrage-Nachricht MP_TWR nach dem Stand der Technik für TWR dar, welche Datenelemente für eine Sequenznummer MPSN, eine Ziel-Adresse MPZA, eine Quell- Adresse MPQA und einen Funktions-Code MPFC umfasst, und bei spielsweise auch als Abfrage-Nachricht MP im erfindungsgemä ßen Verfahren verwendet werden kann.

Fig. 4 stellt beispielhaft eine Antwort-Nachricht MR_TWR nach dem Stand der Technik für TWR dar, welche Datenelemente für eine Sequenznummer MRSN, eine Ziel-Adresse MRZA, eine Quell- Adresse MRQA und einen Funktions-Code MRFC umfasst.

Fig. 5 stellt beispielhaft die erfindungsgemäße Antwort- Nachricht MR dar, welche Datenelemente für eine Sequenznum mer MRSN, eine Ziel-Adresse MRZA, eine Quell-Adresse MRQA und einen Funktions-Code MRFC umfasst. Der Funktions-Code MRFC kann sich vom Stand der Technik unterscheiden. Zusätzlich ist die Zufallszahl RNR enthalten.

Fig . 6 stellt beispielhaft die End-Nachricht MF nach dem Stand der Technik für TWR dar, welche Datenelemente für eine Sequenznummer MFSN, eine Ziel-Adresse MFZA, eine Quell- Adresse MFQA und einen Funktions-Code MFFC umfasst. Der Funk tions-Code MFFC kann sich von jenem aus dem Stand der Technik unterscheiden .

Zusätzlich weist die End-Nachricht MF ein Datenelement für eine Zeitdifferenz MFRXTX auf, welche die Zeitdauer zwischen dem Absenden der Abfrage-Nachricht MP und dem Empfangen der Antwort-Nachricht MR seitens des Transponders T bezeichnet.

Außerdem weist die End-Nachricht MF ein Datenelement für eine Zeitdifferenz MFTXRX auf, welche die Zeitdauer zwischen dem Empfangen der Antwort-Nachricht MR und dem Absenden der End- Nachricht MF seitens des Transponders T bezeichnet.

Fig . 7 stellt beispielhaft die erfindungsgemäße End- Nachricht MP dar, welche Datenelemente für eine Sequenznum mer MPSN, eine Ziel-Adresse MPZA, eine Quell-Adresse MPQA und einen Funktions-Code MPFC umfasst. Der Funktions-Code MFFC kann sich von jenem aus dem Stand der Technik unterscheiden.

Die End-Nachricht MP enthält ferner jeweils ein Datenelement in Form eines Zeitstempels für einen Abfrage- Sendezeitpunkt MF_PTX, einen Antwort Empfangszeit punkt MF_RRX, sowie einen End-Sendezeitpunkt MF_FTX.

Außerdem weist die End-Nachricht MP die erste Prüfsumme CRC1 auf, welche über die Zeitstempel des Transponders T und über die Zufallszahl RNR gebildet ist.

Fig . 8 zeigt ein Beispiel einer dreidimensionalen Anordnung mit einem zu lokalisierenden Objekt-Transponder T (auch eng lisch „tag") und drei Anker- beziehungsweise Gateway- Transpondern Gl, G2, G3 mit bekannter Position in einer zwei dimensionalen Aufsicht-Darstellung. Die Anker- bzw. Gateway-Transponder sind an folgenden Koordi naten angeordnet:

Tabelle 1: Positionen der Anker-Gateways

Die Gateway-Transponder G1-G3 sind alle in derselben Ebene bei 2.3m angeordnet. Es ist jedoch auch klar, dass auch im dreidimensionalen Raum eine Anordnung der Objekt-Transponder T und G1-G3 möglich ist, für welche die weiteren Ausführungen dementsprechend angewandt werden können.

Dabei muss eine entsprechende Transformation mittels einer Flächennormalen des Transponders T in jene Dreiecksebene be ziehungsweise Dreiecksfläche durchgeführt werden, welche durch drei Anker-Gateways G1-G3 aufgespannt wird. Für geringe Abstände zwischen der Dreiecksebene und einem davon beanstan deten Transponder T kann jedoch diese Transformation vernach- lässigt werden.

Mit bekannten Verfahren kann eine Positionsbestimmung des Ob jekt-Transponders T beispielsweise an der Position Tag_calc (10.0,11.0,1.6) erfolgen, wobei in diesem Beispiel die tatsächliche Position Tag_true (9.0,8.0,1.6) beträgt. Fig . 9 zeigt die Anordnung der Fig. 8, in welcher zusätzlich jene Distanzen in Form von Kreisen 101-103 um die Position des entsprechenden Gateways G1-G3 eingezeichnet sind, welche fehlersicher mittels der fehlersicher rechnenden Rechenvor richtung F-CPU bestimmt werden können. Diese Distanzmessungen werden einer zeitlichen Latenzkontrol le unterzogen, beispielsweise durch ein „Challenge Response"- Verfahren.

Fig . 10 ein Ausführungsbeispiel für ein Flussdiagramm des er ^¬ findungsgemäßen Verfahrens.

Ein unabhängiges Lokalisierungssystem führt beispielsweise mittel dem TDoA-Verfahren (englisch „Time Difference of Arri- val", TDoA) eine unsichere Berechnung 200 aus und ermittelt eine unsicher berechnete Position Tag_calc am Ort (x,y, z) .

Diese errechnete Position kann beispielsweise durch Fehler im Algorithmus oder in der zugrunde liegenden Rechenvorrichtung, wie Rundungsfehler oder ungenaue Berechnungen, hervorgerufen werden. Außerdem können physikalische Effekte, wie Mehrweg ^¬ ausbreitung oder unerwünschte Reflexionen des Funksignals zu Fehlern führen. Dadurch kann die berechnete Position Tag_calc am Ort (x _C a _l c _< yca _l c) von der tatsächlichen Position Tag_true am Ort (X _t rue-Y _t rue) des Objekt-Transponders T abwei ^¬ chen.

Eine falsche Position wird dadurch definiert, wenn die be ^¬ rechnete Position um mehr als die angegebene Genauigkeit des Lokalisierungssystems von der tatsächlichen Position des Ob jekt-Transponders T abweicht. Diese Genauigkeit kann bei ^¬ spielsweise bei einem Ultra-Wide-Band-basierten Lokalisie rungssystem etwa 30 cm betragen.

Fehler — (^calc ^— ^true) ² h (i ^d eale ^— Ytrue) ²

Die fehlersicher rechnenden Rechenvorrichtung F-CPU führt ei ne fehlersichere Berechnung 210 von Distanzmessungen mit be kannter Latenz aus und ermittelt fehlersicher berechnete Dis ^¬ tanzen 211-213.

Es werden Tupel (d _Gn , x _Gn ,y _Gn , Latenz _Gn ) für jedes Anker- Gateway G1-G3, also für n = 1. .3 erzeugt. Die unsicher berechnete Position 201 und die fehlersicher be rechneten Distanzen 211-213 werden durch eine Mehrdeutig- keitsbewertung 220 dahingehend geprüft und bewertet, ob Mehr deutigkeiten möglich sind.

Anschließend erfolgt eine Berechnung 230 eines Schutzradi us r _P . Der Schutzradius r _P beschreibt eine Schutzzone, in wel cher sich der Objekt-Transponder T sicher befindet.

Um die Berechnung des Schutzradius 240 durchführen zu können, werden auf Funkortungsbasis Distanzen zwischen den stationär festen Ankern bzw. Gateways und dem Objekt-Transponder T be stimmt.

Allgemein können folgende Verfahrensschritte zur Bestimmung einer Schutzzone S mit einem Schutzradius r _p um einen draht los kommunizierenden Objekt-Transponder T angegeben werden: a) Ermitteln einer ersten, unsicheren Position Tag_calc des Objekt-Transponders T durch ein erstes Lokalisierungssys tem, b) Ermitteln von zumindest zwei, in diesem Beispiel drei, sicheren Anker-Objekt-Distanzen d _TWR G _I/ d _TWRG2/ d _TWR G ₃ zwischen dem Objekt-Transponder T und zumindest zwei, in diesem Beispiel drei Anker-Gateways G1-G3 mit jeweils be kannter Position nach dem TWR-Prinzip durch eine sichere Distanzmessungs orrichtung, c) Ermitteln des Schutzradius r _p mittels einer fehlersiche ren Rechenvorrichtung F-CPU, welche die erste Positi on Tag_calc vom ersten Lokalisierungssystem und die zu mindest zwei sicheren Anker-Objekt-Distanzen d _TWR G _I ^ di _WR-G 2 d _{TWR G} 3 von der Distanzmessungsvorrichtung emp fängt und daraus mithilfe der bekannten Positionen der zumindest zwei Anker-Gateways G1-G3 den Schutzradius r _p bestimmt. Es werden drei Anker-Objekt-Distanzen d _{TWR G1} , d _{TWR G2} , d _{TWR G3} ermittelt, und deren Minimum als minimale Distanz d _TWRmjn be stimmt.

Es wird ferner der jeweilige geometrische Abstand zwischen einem Anker-Gateway G1-G3 und der ersten Position Tag_calc, sowie der Differenz zu den Anker-Objekt-Distanzen jeweils er mittelt, und aus den Differenzen das Maximum als maximale Distanzdifferenz delta _max bestimmt.

Der Schutzradius r _p wird aus der minimalen Distanz ( d _TWRmjn ) und der maximalen Distanzdifferenz ( delta _max ) gemäß dem Zusam menhang bestimmt.

Die Positionen der drei Anker-Gateways G1-G3 definieren eine Dreiecksfläche in einer Dreiecksebene.

Liegt der Transponder T nicht in der Dreiecksebene, verläuft durch die erste Position Tag_calc des Transponders (T) eine gedachte Flächennormale auf die Dreiecksebene.

Der Schnittpunkt zwischen der Flächennormale und der Drei ecksebene stellt eine projizierte Transponder-Position dar, welche bei der Bestimmung des Schutzradius r _p verwendet wird.

Aufgrund der geometrischen Anordnung in Bezug auf die unsi chere Position Tag_calc wird aus zwei der gemessenen Anker- Objekt-Distanzen d _{TWR Gi} , d _TWR-G2 , d _{TWR G3} , ein Schnittpunkt er mittelt.

Eine Mehrdeutigkeit bei der Bestimmung des Schnittpunkts des Objekt-Transponders T bei zwei Anker-Gateways G1-G3 wird durch eine Prüfung, ob eine ermittelte Position des Objekt- Transponders T innerhalb der Dreieckfläche, welche durch den Objekt-Transponders T und die zwei Anker-Gateways G1-G3 auf gespannt ist, gelegen ist, gelöst. Die Mehrdeutigkeit kann auch durch Zuhilfenahme eines dritten Anker-Gateways aufgelöst werden.

Wenn die Flächennormale auf oder außerhalb der Dreiecksfläche gelegen ist, wird der ermittelte Schutzradius um die maximale Distanzdifferenz delta _max vergrößert.

Die sicheren Anker-Objekt-Distanzen d _TW RGI _W d _TW R_G2 _/ d _TW RG3 zwischen dem Objekt-Transponder T und einem Anker-Gateway GI GS mit bekannter Position nach dem TWR-Prinzip kann durch die zuvor beschriebene sichere Distanzmessungsvorrichtung erfol- gen, wobei der Objekt-Transponder T sowie das Anker-

Gateway G1-G3 jeweils Mittel zur Erfassung von Zeitstempeln aufweisen.

Fig . 11 zeigt eine Darstellung der Distanzen und der dazuge hörigen Laufzeiten gemäß dem Beispiel der Fig. 1, welche in der nachstehenden Tabelle zusammengefasst sind:

Tabelle 1: Distanzen und Laufzeiten der Anker-Gateways Die Distanzen und Laufzeiten sind zueinander proportional.

Aus den Distanzen und Laufzeiten wird von der Rechenvorrich tung F-CPU mithilfe geometrischer Zusammenhänge bewertet, ob Mehrdeutigkeiten möglich sind und der Schutzradius r _P um die Position Tag_calc am Ort (x _Ta g_calc _< yTag_calc _< ^z Tag_calc) berechnet. Durch eine fehlersicher arbeitende Recheneinheit ohne Fehler bestimmte, sichere Distanz zwischen dem Objekt-Transponder und einem Anker-Gateway gilt:

^TWR ⁼ dTag_calc

Mit einem Lokalisierungsfehler gilt der Zusammenhang: error _TWR = d _{GW Tag-caic} — d _TWR

Der Schutzradius r _P kann um einen Korrekturwert vergrößert werden, welcher sich aus der Latenz der Distanzmessungen und der maximal definierten Geschwindigkeit des Objekt- Transponders T zusammensetzt.

Zur Bestimmung des Schutzradius r _P wird die Zweiwege- Entfernungsmethode (englisch „two way ranging") herangezogen, welche die Laufzeit eines UWB-HF-Signals bestimmt und dann die Entfernung zwischen den Knoten berechnet, indem die Zeit mit der Lichtgeschwindigkeit multipliziert wird. Der TWR- Prozess wird zwischen dem Objekt-Transponder und dem angefor derten Anker angewendet, es darf zu einem bestimmten Zeit punkt nur ein Anker am TWR beteiligt sein.

Der Schutzradius r _p für den ungünstigsten Fall kann durch den Zusammenhang von der F-CPU bestimmt werden, mit dTWRmin

In Fig . 12 ist der geometrische Zusammenhang dargestellt, welcher in der vorhergehenden Formel berücksichtigt wird, wenn die vom System berechnete Personen-Transponderposition falsch ist. Der berechnete Schutzradius r _p deckt exakt die Fläche um die tatsächliche Personen-Transponderposition Tag_true (10.0, 13.0, 1.6) ab, welche durch den Kreis 110 um die Position Tag_calc (10.0, 6.0, 1.6) angedeutet ist. Die Distanz d _true entspricht der Entfernung der tatsächlichen Personen-Transponderposition Tag_true (10.0, 13.0, 1.6) zur Anker-Position Gl (10.0, 10.2, 2.3).

Die Distanz d _TWR entspricht dem Radius des Kreises 111 um die verwendete Anker-Position Gl.

Der Kreis 112 hat seinen Mittelpunkt um die verwendete Anker- Position G2 (10.0, 9.8, 2.3).

In Fig. 13 ist der geometrische Zusammenhang dargestellt, welcher in der vorhergehenden Formel berücksichtigt wird, wenn die vom System berechnete Personen-Transponderposition korrekt ist. Der berechnete Schutzradius r _p ist größer als erforderlich und deckt die Fläche um die tatsächliche Perso nen-Transponderposition ab, welche durch den Kreis 120 um die Position Tag_calc (7.2, 9.1, 1.6) angedeutet ist. Die tat sächliche Position Tag_true (7.1, 9.2, 1.6) liegt knapp neben der berechneten Position Tag_calc.

Der Kreis 121 hat seinen Mittelpunkt um die verwendete Anker- Position Gl (10.0, 10.2, 2.3).

Der Kreis 122 hat seinen Mittelpunkt um die verwendete Anker- Position G2 (10.0, 9.8, 2.3).

Fig. 14 zeigt anhand eines Beispiels den geometrischen Zusam menhang von Distanzen bei der Bestimmung des Schutzradius r _p . Es wird dabei eine maximale Distanz delta _max durch die Rechen vorrichtung F-CPU berechnet.

Bei einer tatsächlichen Position Tag_true (6.0, 8.0, 1.6), Gatway Positionen Gl (10.0, 14.0, 2.3), G2 (10.0, 6.0, 2.3) und G3 (4.0, 10.0, 2.3), sowie der ermittelten Position Tag_calc (9.0, 10.1, 1.6) können die entsprechenden Distanzen ermittelt werden. Damit ergibt sich für diese Beispiel delta _max — delta _G1

Fig . 15 zeigt anhand eines weiteren Beispiels den geometri schen Zusammenhang von Distanzen bei der Bestimmung des Schutzradius r _p . Es wird dabei eine maximale Distanz delta _max durch die Rechenvorrichtung F-CPU berechnet.

Bei einer tatsächlichen Position Tag_true (12.0, 10.0, 1.6), Gateway Positionen Gl (10.0, 14.0, 2.3), G2 (10.0, 6.0, 2.3) und G3 (4.0, 10.0, 2.3), sowie der ermittelten Position Tag_calc (8.0, 10.0, 1.6) können die entsprechenden Distanzen ermittelt werden. delta _G1 = delta _{Tag G1} — d _{TWR G1} delta _G2 = delta _{Tag G2} — d _{TWR G2} delta _G3 = delta _{Tag G3} — d _{TWR G3}

Damit ergibt sich für diese Beispiel delta _max = delta _G3

Der Schutzradius r _p ist als Kreis 140 erkennbar.

Die gemessenen Distanzen zwischen dem Objekt-Transponder T und den Gateways G1-G3 sind als Kreise 141-143 um die Gate ways G1-G3 dargestellt Fig . 16 stellt anhand eines Beispiels Sektoren dar, welche um einen Objekt-Transponder T an der Positi on (x _T ag_calc _< yTag_calc _< ^z Tag_calc) als relativer Ursprung (0, 0) festge legt werden können, beispielsweise mit einer Winkelauflösung von 11.25°, wodurch ein Kreis in 32 gleich große Segmente be ziehungsweise Sektoren unterteilt wird. Allgemein kann die Anzahl an Sektoren jedoch N betragen.

Die Anwendung von Sektoren ist ein einfaches Verfahren zur Feststellung, ob der Transponder T innerhalb des Dreiecks be findet, welches durch die Anker-Gateways G1-G3 aufgespannt wird, oder nicht. Dies ist insbesondere bei der Verwendung einer kostengünstigen, jedoch leistungsschwachen fehlersiche ren Rechenvorrichtung F-CPU vorteilhaft, welche über eine re duzierte Instruktionsmenge verfügen kann.

Die Rechenvorrichtung F-CPU berechnet einen maximalen Zähler für freie, aufeinanderfolgende Sektoren FCS _{max (} englisch „Free Consecutive Sector count"), sowie die relevanten Sekto ren, welche berücksichtigt werden, um die Berechnung des Schutzradius r _p zu optimieren.

Der schlechteste Fall für eine Ermittlung des Schutzradius r _p kann durch Nebeneffekte der UWB-Technologie zu einem unerwar teten Ausschalten führen. Durch Verwendung jener Gateways, welche im Sinne einer bestmöglichen geometrischen Anordnung am besten passen, reduziert die Wahrscheinlichkeit von falsch bestimmten Distanzen und Richtungen.

Der Parameter FCS _max beschreibt die geometrische Situation durch eine entsprechende Anordnung mit gemessenen Distanzen zwischen verschiedenen Kombinationen von Gateways und dem Ob jekt-Transponder, zu dessen Bestimmung es notwendig ist, die Sektoren zu bestimmen, in welchen die Gateways angeordnet sind.

Fig . 17 zeigt beispielhaft die für das Gateway Gl an Positi on (x _GWi< y _GWi< ^Z _GWI ) ermittelte Richtung im Sektor 4, ausgehend vom Objekt-Transponder T gemäß der vorhergehenden Figur, und die dazugehörige Distanz C1 _GWITWR · Im gezeigten Beispiel ist FCS _max = 31 und die geometrische Si tuation ist schlecht.

Fig . 18 ergänzt das vorhergehende Beispiel um die für das Ga teway G3 an Position ( ^x _GW 3 _< y _GW 3 _< ^Z _GW 3) ermittelte Richtung im Segment 15, sowie die dazugehörige Distanz C! _GW3TWR ·

Im gezeigten Beispiel ist FCS _{GWI GW} 3 ⁼ 10 und FCS _{GW3 GWi} = 20, womit FCS _max = 20. Die geometrische Situation ist etwas besser als mit einem Gateway.

Fig . 19 ergänzt das vorhergehende Beispiel um die für das Ga teway G2 an Position (x _G w2,y _GW 2’ ^Z _GW 2) ermittelte Richtung im Segment 23, sowie die dazugehörige Distanz C1 _GW2-TWR ·

Im gezeigten Beispiel ist FCS _GWI-GW 3 ⁼ 10, FCS _GW 3 _G w2 ⁼ 7 und FCS _GW2 GWI = 12, womit FCS _max = 12. Die geometrische Situation ist besser als mit zwei Gateways.

Jene Gateways, welche FCS _max definieren werden zur Berechnung des Schutzradius r _p herangezogen.

In diesem Beispiel legen die Gateways Gl und G2 FCS _max fest.

AyGWn— yGWn yTag_calc

Die Parameter ^x cwn und ^x Tag_calc werden bei der Sektor- Bestimmung nicht verwendet.

Der Schutzradius r _p kann nun durch die Rechenvorrichtung F- CPU für

• FCS _max > / _2, in diesem Beispiel FCS _max > 16 bei 32 Segmen ten, d.h. 180° gemäß dem Zusammenhang berechnet werden.

Fig . 20 zeigt den Objekt-Transponder T an der berechneten Po sition Tag_calc (16.0, 12.0, 1.6) und an der tatsächlichen Position (6.0, 8.0, 1.6), sowie das Gateway Gl an der Positi on (10.0, 14.0, 2.3), das Gateway G2 an der Position (10.0, 6.0, 2.3) und das Gateway G3 an der Position (4.0, 10.0, 2.3) in einer Konfiguration, welche zu einem FCS _max = 26 führt.

In diesem Fall sind alle Gateways G1-G3 links von dem Objekt- Transponder T angeordnet, was zu einer schlechten geometri schen Situation der Distanzen zwischen Objekt-Transponder T und den Gateways G1-G3 führt.

Der Schutzradius r _p ist als Kreis 150 erkennbar.

Fig . 21 stellt den geometrischen Zusammenhang aus der vorher gehenden Formel dar. Die gemessenen Distanzen zwischen dem Objekt-Transponder T und den Gateways G1-G3 sind als Krei se 151-153 um die Gateways G1-G3 dargestellt, welche zu einem Schnittpunkt bezüglich der tatsächlichen Objekt- Transponderposition Tag_true führen.

In Fig . 22 ist eine Anordnung mit einem Objekt-Transponder T, welcher etwa mittig zwischen den Gateways G1-G3 angeordnet ist, gezeigt, was zu einer günstigen geometrischen Situation der Distanzen zwischen dem Objekt-Transponder T und den Gate ways G1-G3 führt.

Die Figur zeigt den Objekt-Transponder T an der berechneten Position Tag_calc (9.0, 10.2, 1.6) und an der tatsächlichen Position Tag_true (6.0, 8.0, 2.6), sowie das Gateway Gl an der Position (10.0, 14.0, 2.3), das Gateway G2 an der Positi on (10.0, 6.0, 2.3) und das Gateway G3 an der Position (4.0, 10.0, 2.3).

Die in diesem Beispiel gewählte Konfiguration führt zu einem

FCS _max = 12. Der Schutzradius r _p kann, im Unterschied zur vorher genannten Formel, durch die Rechenvorrichtung F-CPU für Beispiel FCS _max < 16 bei 32 Segmen- jedoch gemäß dem Zusammenhang berechnet werden.

Der Schutzradius r _p ist als Kreis 160 erkennbar. Fig . 23 stellt den geometrischen Zusammenhang nach der vor hergehenden Formel dar. Die gemessenen Distanzen zwischen dem Objekt-Transponder T und den Gateways G1-G3 sind als Krei se 161-163 um die Gateways G1-G3 dargestellt, welche zu einem Schnittpunkt bezüglich der tatsächlichen Objekt- Transponderposition Tag_true führen.

Fig . 24 stellt den geometrischen Zusammenhang für Abstände einer Anordnung analog zu Fig. 18 und Fig. 19 dar.

Dabei berechnet die Rechenvorrichtung F-CPU die Abstände h _TW R und h _{Tag caic} gemäß den mathematischen Zusammenhängen:

In diesem Beispiel ergibt sich daher: Fig. 25 stellt den geometrischen Zusammenhang für die zuvor genannte Formel dar, um den Abstand h _{Tag caic} zu bestimmen.

Fig. 26 stellt den geometrischen Zusammenhang für den Ab- stand y^ _ff dar, welcher von der Rechenvorrichtung F-CPU be stimmt wird.

Die Gateways sind an den Positionen Gl (10.0, 14.0, 2.3),

G2 (10.0, 6.0, 2.3) und G3 (4.0, 10.0, 2.3) angeordnet.

Der Objekt-Transponder ist an der tatsächlichen Position Tag_true (6.0, 8.0, 1.6) und der ermittelten Position Tag_calc (16.0, 12.0, 1.6) angeordnet.

Dazu werden die mathematischen Zusammenhänge bestimmt: YGI) ²

Solange alle Bedingungen gelten:

Gilt der Zusammenhang: Ydiff — yTWR_Gl yTag_Gl

Ansonsten wird der Schutzradius r _p bestimmt durch: rp = 2 * d _XWR + delta _max

Die Figur stellt den geometrischen Zusammenhang für den Ab- stand y^i _ff dar, wenn yTag_G2 ^ dcateways yTWR_G2 > dcateways

Der Schutzradius r _p ist als Kreis 150 erkennbar.

Die gemessenen Distanzen zwischen dem Objekt-Transponder T und den Gateways G1-G3 sind als Kreise 151-153 um die Gate ways G1-G3 dargestellt

Fig . 27 stellt für die Anordnung der vorhergehenden Figur den geometrischen Zusammenhang für den Schutzradius r _p dar, wenn yTag_G2 ^ dcateways yTWR_Gl > dcateways

Der Schutzradius r _p ist als Kreis 170 erkennbar.

Die gemessenen Distanzen zwischen dem Objekt-Transponder T und den Gateways G1-G3 sind als Kreise 171-173 um die Gate ways G1-G3 dargestellt Fig . 28 stellt den geometrischen Zusammenhang für den Schutz radius r _p dar, wenn yTag_G2 ^ dcateways yTWR_G2 < dcateways

Der Schutzradius r _p ist als Kreis 180 erkennbar. Die gemessenen Distanzen zwischen dem Objekt-Transponder T und den Gateways G1-G3 sind als Kreise 181-183 um die Gate ways G1-G3 dargestellt Fig . 29 stellt den geometrischen Zusammenhang für den Schutz radius r _p dar, wenn Der Schutzradius r _p ist als Kreis 190 erkennbar.

Die gemessenen Distanzen zwischen dem Objekt-Transponder T und den Gateways G1-G3 sind als Kreise 191-193 um die Gate ways G1-G3 dargestellt

Die Rechenvorrichtung F-CPU kann nun den Schutzradius r _p ge- maß dem folgenden Zusammenhang korrigieren: = r _p + V, maxTag At

Wobei At die Zeitdifferenz zur letzten erfolgreichen Durch führung einer Latenz-Überwachung, sowie der sicheren Berech nung von Distanz und Schutzradius r _p ist. Beispielsweise kann die Person P, welche den Objekt-

Transponder T bei sich trägt, sich mit einer Geschwindigkeit von v _maxTag bewegen, wenn die Zweiwege-Datenerfassung bei spielsweise alle 400 ms oder vorzugsweise alle 100 ms er folgt. Dabei ist der Schutzradius r _p möglicherweise nicht groß genug, um die Position des Objekt-Transponders T abzude cken.

Bezugszeichenliste :

1-32 Kreissegment

100, 110, 120, 130, 140,

150, 160, 170, 180, 190 Kreis um berechnete Objekt-

Transponder-Position

101-103, 111-112, 121-122, 131-133, 141-143, 151-153, 161-163, 171-173, 181-183, 191-193 Kreis um Gateway 200 Unsichere Berechnung der Position

210 Fehlersichere Berechnung der Posi tion

211-213 fehlersicher berechnete Distanzen

230 Mehrdeutigkeitsbewertung

240 Berechnung Schutzradius

250 Positionskorrektur

CG Zähler Anker-Transponder bzw. An ker-Gateway

CRC1, CRC2 Prüfsumme CT Zähler Objekt-Transponder delta max maximale Distanzdifferenz

^Gn' ^Gateways bekannte Distanz der Gateways dtrue Distanz zur tatsächlichen Position d _T WR sichere Distanz

^TWR_G1 r d _TW R_G2 r dTWR_G3 TWR-Distanz für Gateway (Radius um Gateway) d _GWi S _TWR Distanz für Gateway mittels TW dTag Giw d _{Tag G2} , d _{Tag G3} Distanz zwischen Objekt-Transponder und Gateway F-CPU fehlersichere Rechenvorrichtung maximaler Zähler für freie, aufei nanderfolgende Sektoren („Free Consecutive Sector count")

F1-F3 End-Signal

Gl, G2, G3 Ankerpunkt, Gateway, Anker- Transponder

GS Gefahrensystem

^Tag calc Abstand zum berechneter Objekt- Transponder-Position h _T WR TWR-Abstand

M Übertragungs-Medium, Funkkanal

MP, MP_TWR Abfrage-Nachricht, „Pull" MR, MR_TWR Antwort-Nachricht, „Response" MF_TWR End-Nachricht, „Final"

MPSN, MRSN, MFSN fortlaufende Nummer, Sequenznummer MPZA, MRZA, MFZA Ziel-Adresse MPQA, MRQA, MFQA Quell-Adresse MPFC, MRFC, MFFC Funktions-Code MFRXTX, MFTXRX Zeitdifferenz MF_PTX, MF_RRX, MF_FTX Zeitpunkt N Anzahl an Kreis-Sektoren P Person mit Objekt-Transponder

P_F-CPU, P_G, P_T Verfahren, Programm PF1-PF4 Verfahrensschritte in der F-CPU

PG1-PG3 Verfahrensschritte im Gateway PT1-PT3 Verfahrensschritte im Transponder/ Tag

P1-P3 Abfrage-Signal

R Roboter-Arm

RNR Zufallszahl, „random number" r _P Schutzradius r _P korrigierter Schutzradius

R1-R3 Antwort-Signal

S Schutzzone

SS Schutzsystem

T Objekt-Transponder

Tag_calc berechnete Objekt-Transponder- Position

Tag_true tatsächliche Objekt-Transponder- Position

TOF, TOFi, TOF ₂ ,

TOF _g1 , TOF _G2 , TOF _G3 "Time-of-Flight"- Signallaufzeit

TS _TAG-TX-POLL TS _{TAG rxresp} , TS TAG_TX_FINAL r TS _{GW RX P0LL} ,

TS _G w TX RES _{P I} TS _{GW RX FINAL} Zeitstempel

T _{TAG-REPLY /} T _{TAG clk} , T _{GW reply} , TGW_CLK r

TRound _l r T _Rouncj2 Signallaufzeit

TWR "Two-Way-Ranging"-Verfahren

WS Warnsystem x, y Achse

^X GW1 r ^X GW2 r ^X GW3 Gateway x-Koordinate ydiff Abstand in y-Richtung yGWl yGW2 yGW3 Gateway y-Koordinate yTag_Gl r yTag_G2 yTWR_Gl r yTWR_G2

^Z GW1 r Z _GW2 , Z _GW3 Gateway z-Koordinate