CN101185040A - 安全、无混淆、唯一地将操作人员的指令授权对应到可控技术设备的方法和装置 - Google Patents

Abstract

本发明涉及用于采用移动操作装置(2)将操作人员(1)的指令授权与可控技术设备(60)安全、无混淆、独占和临时对应的方法以及合适的装置，该移动操作装置在技术上适用于交替操作多个可控技术设备(60)，该操作装置通常具有安全开关元件(38，39)如紧急情况开关、核准键和运行类型选择开关，并且为了数据技术地耦合到可控技术设备(60)只具有常用的数据传输装置(6)或网络技术而不需要特殊的特定于安全的结构。

Description

安全、无混淆、唯一地将操作人员的指令授权对应到可控技术设备的方法和装置

技术领域

本发明涉及用于通过利用移动操作装置将操作人员的指令授权安全、无混淆、唯一地暂时对应到可控技术设备的方法以及合适的装置。根据本发明的移动操作装置在技术上适用于以安全技术相关的危险可能性交替地操作多个可控技术设备。该移动操作装置具有通常被构造为安全开关元件的操作元件，如紧急开关、核准键和运行类型选择开关，它们用于单独地或与其它操作元件组合地输出安全关键的控制命令。尽管对于向可控技术设备传送安全关键的控制命令有特殊的安全技术要求，但是，通过中间连接通常的非特定的经安全认证的数据传输装置以及利用网络技术可以实现数据技术的耦合，并且通过根据本发明的操作装置以及相应的根据本发明的安全的数据传输接收机(Datenuebertragungsgegenstelle)的特殊构造保证所要求的安全性。借助于可电子获取的编码标记实现将操作人员或该操作人员的指令授权安全地空间对应到根据本发明的操作装置、以及将操作装置安全地空间及数据技术地对应到可控技术设备。操作人员、用于生成与可控技术设备的连接的准许的直拨位置(Einwahlposition)，以及用于输出安全关键的控制指令的准许的工作区配备有这样的编码标记。根据本发明的操作装置配备有用于电子获取该标记的读取装置，其中这样的获取仅与读取装置紧密相邻的区域内才可能。因此，错误的、否则通过物理装置可靠强制和唯一的对应由合适的数据技术的监控装置代替或补充。

背景技术

目前，广泛的工业制造设备、大型机器、协同合作的机械手和机床组统统具有高的自动化程度。

在这些设备的特定部件的局部区域中，可能在运行时出现对人员的明显危险，例如由于碰撞、挤压、其它的机械、热或化学影响或者辐射。大量的安全规则提供用于在这些设备自动由程序控制地运行时将对人员的危险降至最低的措施。其中例如包括针对各个处理点(Bearbeitungszell)或设备段(Anlagenabschnitte)的技术监控的保护围栏(Schutzumzaeunung)。

尽管有很高的自动化程度，但是仍然需要由专业人员进行定期的干预，尤其是在这些设备或设备部件启动、编程、维护和发生故障后修理时。在这样的工作中，即使在机器的直接影响和危险区域也需要有人员在场，也就是在设置的保护围栏内也要有人员在场，例如在所谓“教导”机器人时。其中，特别熟练的操作人员手动地控制至少单个机器功能，并且为此采用对应的操作装置。为此，优选采用移动的手工操作设备，以便在给出控制指令期间向操作人员提供足够的移动性以最佳地监视关键的机器或设备部件，如机器人的末端受动器。设备和在其影响区域内的人员的安全性在该阶段中决定性地受到操作人员的专注程度和仔细程度的影响。

虽然这些设备大多数时间都是自动运行，并且只在运行时间的一小部分期间需要手动控制，但是经过统计，大多数事故都发生在这一小部分时间内。为了将危险降至最低，有关安全规则通常在手动控制期间只允许以明显比自动化运行时更小的运动速度或驱动功率按照机器的所谓特殊操作类型进行受限的运行。另外，仅在操作人员确认在技术上特殊地构成为安全开关元件的核准键期间才可以使机器运动。此外，移动的手工操作设备通常还具有特殊的、被标识为符合标准的紧急开关，或相同或类似作用、但是被标识为替代的停止开关，其中操作人员可以在进入和识别出危险情况时利用该紧急开关或停止开关立即中断特定的相应设备段中所有运行的以及潜在有危险的机器操作，并产生安全的工作状态。用于在完全自动化的、由程序控制的运行和一个或多个用于至少部分通过操作人员手动控制的特殊操作类型之间手动切换可控技术设备的操作类型的操作类型选择开关通常也被实施为安全开关元件。

恰好在这些其中出现特殊操作状态；潜在的技术故障、如软件错误首次出现；或者设备的不同功能还根本没有完全进入运行状态和被测试，而且也特别容易和经常出现导致误操作的损坏的特殊的手动控制机器或设备的阶段内，该技术设备范围内的人员处于更大的危险中。相关的安全规定因此对构造从安全开关元件到可控技术设备的驱动器和执行器的整个信号路径定义了严格要求，其中这整个信号路径整体被统称为安全回路。与可控技术设备的正常功能性控制部件和信号部件相反，安全回路在技术上完全特别可靠地构建，从而各个错误不会导致失去安全性(所谓的单错误安全性)，并且能够识别存在的故障，也不会导致未识别的故障累积，这些故障累积最终可能导致失去安全性。

安全开关元件通常直接地或者通过对应实施的安全逻辑、例如安全SPS而作用于设备的驱动器或能量供应，并且即使在相应的功能性机器控制装置或手工操作设备由于技术缺陷或软件错误或外部干扰影响而不再是功能完全的(例如在悬挂时保留用于触发横切运动(Verfahrbewegung)的键)时也将其置于安全状态。为此，安全开关元件通常被构造为特别可靠的多回路的开关元件。此外，所谓的单错误安全性的概念沿着整个功能链(安全开关元件、传输路径、功率开关，...)被转换。其中，不允许整个信号链中的单个缺陷或故障导致失去安全性。设备即使在安全回路中出现单个缺陷时也必须能够进入安全的操作状态，并安全地禁止触发或继续安全关键的、即可能带来危险的机器操作。实际中，例如这样考虑单错误安全性，即至少双重地执行安全开关元件的接触，而且至少双重地通过独立的信号路径或数据路径传输信号。其中，安全开关元件主动、唯一和多回路地告知安全状态的出现。只要即使还只有一个回路不再告知安全的状态，则设备自动地转换到安全操作状态(例如通过断开驱动器)。

对安全性规定的严格要求与这种设备或可控技术设备的用户和运营商对尽可能高灵活性的追求经常是直接对立的。

优选的而且尤其是出于成本的原因，期望使用通用的手操作设备，它们能够与不同的机械或设备部件互换地使用。由于这些手操作设备仅在比较短的运行阶段在特定的位置上是必要的，因此可以通过使用这种通用的手操作设备明显降低所必需的设备的数量，而且由此也大大降低实施成本。通过限制类型的多面性可以减小仓库存放和替换零件的成本，改善操纵性，因为用户不必不断地根据不同的设备或机器使用完全不同的手操作设备。但由于手操作设备和设备的控制装置或安全回路之间的对应和数据技术的连接不在是固定的而是可变的，因此通过实际的对应出现了通过操作人员或者由于操作人员的错误而导致的操作设备的错误对应。其进一步的结果是提高了不期望地在不同于操作人员实际想要的其它地点触发对安全性关键的操作的危险性。

特别优选的以及对使用者来说期望的是，移动的手操作设备具有用于无线地连接到技术设备的相应功能性控制装置的无线数据连接，因为这在操作过程中没有电缆的障碍而实现了尽可能大的运动自由度，以及实现了在不同机器和设备部件之间的简单切换。但由此再次明显提高了错误对应的危险性，因为在建立这种无线连接时原理上可以在发送和接收区域中存在多个可能的对方或者目标，而且在此操作人员不能显而易见和没有误解地确定，实际上与哪台机器或者哪个设备部件建立了连接。

通过该无线的数据连接，由于操作人员在与可控技术设备建立了本身正确的连接之后接着带着机器或设备部件的操作装置移动，离开现有的工作区如制造位置，然后可能无意识地在技术设备上取消了至少出于安全原因不容许取消的控制命令，但根本没有看到出现了例如针对附近的其他人员的危险状况并且因此无法适当地反应，而导致其他危险的出现。

另一个危险来源在于所使用的传输装置可能存在技术缺陷。出于成本原因在广泛使用的设备中优先采用既有线又无线的数据网络或数据总线，以数据技术地连接各种控制和监控装置。从经济的观点来看有利的，出于企业内部的数据交换要统一和技术上贯穿始终的原因值得追求的的是采用传统的网络或无线传输标准，如互联网、无线LAN(WLAN)、蓝牙、ZigBee等等。它们实现了部件之间成本有利、灵活并且节省资源的连接。但是在此通常多个数据源和数据接收点几乎同时地使用一种特定的物理传输介质，或者在时间上交替的，或者同时通过不同调制的载波频率(例如无线电信道)。但是，与有线的真实或物理的点对点连接不同，特定的数据源不是唯一的而且物理上不强制与特定的数据接收点连接，而是仅在逻辑上通过特定的编码或地址与特定的数据接收点连接。即使该常见的传输介质正常情况下可靠地工作，也无法保证数据电报从发送方传送给有针对性的接收方，并且由于单个软件错误或硬件故障、由于用户地址中的错误配置或者由于电磁或其它干扰影响使得地址信息不可信而可能产生故障传递。常见的数据传输装置本身不具有在安全技术验收检验的框架内传输安全开关状态所需要的安全性，从而必须在数据终端设备中采取对应的、用于产生有保证的安全性的安全措施。

虽然在操作设备和一台机器或一个设备部件之间的对应在数据技术上没有错误时在技术设备一方也可以借助设备层的地址等等识别数据电报的来源，但是不能识别该消息的确切来源，即移动操作设备的放置地点。从而例如操作人员可以出于舒适性的目的从不能足够监视受控的设备部件的远程地点出发建立一个数据连接，由此该操作人员可能根本无法识别例如通过设备区域内的其它人员引起的可能危险状况。

出于安全原因重要的还有，安全临界的命令的触发仅允许由唯一的一个地点出发或由唯一的操作人员可靠地进行，多个操作设备和多个人员不能同时和近似并发地与一台机器的功能性控制装置或安全回路连接。因此保证了仅一个操作装置和一个可控技术设备之间的唯一的点对点连接。首先当已存在的数据连接由于某些干扰而暂时中断时可能会出现错误，但是这仅在两个通信伙伴的一个伙伴中导致连接的中断。由此可以在另一次登录时由第三通信用户建立至具有已中断连接的用户的连接，同时最初的通信用户在消除所述干扰之后可以重新向同一用户发送数据电报，或者从该同一用户接收数据电报。

如果例如在启动生产线时同时在相邻的设备部分或制造区域中有多个人员分别用相同类型的移动操作设备工作，而且例如进行编程工作或设置工作，则会出现其它可能的危险源。如果在已经存在数据连接的情况下暂时松开操作设备，以例如为手动操作腾出双手，则存在此后错误地拿起一个错误的操作设备并向错误的设备部件发送安全临界的命令的危险。对操作人员来说由于操作设备的同类型经常很难区分，也不能排除如上所述的混淆。类似的危险由于未经授权的人员的可能操作而产生，如果可以利用已经存在的数据连接对已松开的操作设备进行干预，或者可以简单地建立这样的数据连接的话。

所有迄今为止所示出的危险源都以这一现象为基础：多个可能的操作人员中的特定授权人员的指令授权与多个可控技术设备中的一个特定设备之间有意的、唯一的以及排他的对应被错误地建立，或者被错误或不可靠地更改。

在文献DE10110776A1中，描述了一种用于将无线的或者通过总线系统数据耦合的手操作设备安全地分配给多个可对应机器或设备中一个特定机器的方法，该文献的公开内容在此从文字表达上和内容上合并在本文件中。在此，采用具有有限的作用范围或限定的方向特征的、除了用于实际有用数据的传输信道之外的第二独立数据信道来分配给对方或机器上的登录地点。通过该第二数据信道交换通过有用数据信道进行登录和通信所需要的数据，如地址。由此手操作设备的使用者必须完全有意地在已标识的登录地点的近邻建立至一台机器的控制装置的数据连接，或者有针对性地找到这样的一个登录地点。登录地点在位置上对应于各机器或设备部件，从而为使用者在登录时实际去掉关于所选择的机器或设备部件的错误，或者关于地址的错误，以及排除从远方未授权地建立所述连接。

但是在由于技术原因导致的有错或错误传导的数据传输中仍然存在涉及安全技术的要求的明显风险。虽然通过相应的措施排除或者适当降低这种风险的经过安全技术认证的总线连接和无线连接，属于现有技术而且在市场上也能获得，但是出于成本原因只能局部有限地使用，或者只能按情况使用。相反，在已经采用和成本有利的标准数据网络如以太网、WLAN和蓝牙中，虽然通常具有良好的可靠性但是不能保证安全技术认证所需要的安全性或无错性。

在已经建立了至控制装置的数据连接之后无意中交换手操作设备的安全风险或者未授权启动的安全风险也没有被现有技术令人满意地排除。

不足的还有受监控的工作空间的构造方法，在该工作空间中操作人员必须在建立了至可控技术设备的对应之后停留在移动操作装置上以便能够中断相应的控制命令。

发明内容

因此本发明的任务是，提供或完成用于建立、监控和取消授权操作人员的指令授权与移动操作装置以及另外与可控技术设备的安全回路和与在该可控技术设备的环境中的工作区之间的安全和唯一的对应的方法，其中允许操作人员从该可控技术设备输出控制命令。本发明的另一个任务是完成用于将移动操作装置唯一、安全、临时地以数据技术连接至可控技术设备的安全回路，以及用于将操作装置安全、临时地以数据技术分配给工作区的方法，其中允许从该工作区向安全回路传送释放信号。本发明的任务还有完成适用于执行本发明方法的装置，尤其是安全的移动操作装置、安全的数据传输接收机以及合适的可电子获取的编码标记。

通过本发明的方法和装置，以令人吃惊的方式简单地、全面地解决了上面描述的危险和与此相关的安全任务，它们在现有技术中仅不令人满意或有选择地得到了解决。

本发明的解决方案在于，用技术上的监控装置来代替在可通用的移动操作装置中缺乏的、物理上强制的与可控技术设备的安全回路的对应，该对应在操作装置静止时通过固定连线的、受导线约束(leitungsgebunden)的唯一的点对点数据连接和操作装置的位置固定的安装给定。

为此设置可电子获取、不同编码、不同使用的标记。此外本发明的移动操作装置具有读取装置，用于优选无线地获取该标记或该标记的编码。该读取装置具有比较有限的获取范围或短的获取距离，从而通过安全地获取标记即使按照安全技术的度量也足够安全地设置该标记到读取装置的空间近邻。为了实现根据安全技术的度量来说安全的获取，操作装置具有至少两个处理器或获取开关电路，它们彼此独立并且防止单错误地通过读取装置读取、验证标记编码，并将该标记编码用于与可控技术设备的通信。除了安全地获取标记之外，所述至少两个处理器还继续独立和防止单个错误地分析在操作装置中设置的安全开关元件的开关状态或操作状态，并将这些状态分别独立地编码到数据电报中。该数据电报通过数据接口传送给可控技术设备。该数据电报具有相应的编码、信道信息和检验信息，以便能在接收器中对完整性、原始性、无错性和实时性进行检验。

作为数据技术的通信伙伴以及作为用于建立移动操作装置与可控技术装置的安全回路之间安全的点对点通信的接口，根据本发明设置相应实施的安全的数据传输接收机。该安全的数据传输接收机固定连线地连接到安全回路中。通过在移动操作装置方向上至中间连接的数据传输装置的数据接口，由操作装置接收安全编码的、并具有检验信息的数据电报，并且对应于操作装置地同样由至少两个处理器或监控电路接收，并且相互独立和防止单个错误地检验、分析，并将相应于该数据电报的内容和数据连接的安全状态的信号和数据传递到安全回路中。

所述可电子获取的标记在本发明的范围中用于3个不同的实施方式：

1)用作密钥标记：

为了识别授权的操作人员，向该操作人员分配下面称为密钥标记的个性化的标记，并由该操作人员随身携带。作为编码，一个密钥标记携带所属用户的至少一个唯一的用户标识，以及必要时还携带其它特定于用户的信息，如授权信息和密码信息。通过安全地获取一个特定的密钥标记，安全地设置了所属操作人员至移动操作装置的空间近邻。

2)用作直拨标记：

用可电子获取的标记(下面称为直拨标记)标识在位置上可一眼识别地恰好对应于一个特定的可控技术设备并且为了建立移动操作装置与该可控技术设备之间的唯一对应而被查找的特殊拨号位置。该直拨标记携带至少一个安全编码，该安全编码将连接到技术设备的安全回路中的安全的数据传输接收机唯一地标识为移动操作装置的通信伙伴。其它编码在直拨标记中的信息例如可以是地址和接入数据，用于数据技术地建立经过一个或可能多个中间连接的数据传输装置、尤其是经过数据网络的连接。另一个编码信息可以涉及为该拨号位置设置的工作区的对应，例如小区标识代码。通过安全地获取特定的直拨标记，安全地设置了移动操作装置至直拨标记的空间近邻。

3)用作小区标记：

在可控技术设备的空间环境中，在该空间环境中在建立了移动操作装置与该可控技术设备的相应数据技术对应之后可以向技术设备或该技术设备的安全回路发送安全临界的控制指令，下面将该空间环境称为工作区，通过一个或多个标记—下面称为小区标记—标识出，可以由该工作区内的移动操作装置的读取装置持续地可靠地获取至少一个这样的小区标记。该小区标记携带至少一个编码，下面称为小区编码，该编码以数据技术可识别地标识所述小区。通过安全地获取特定的小区标记，安全地设置了移动操作装置局部地停留在通过小区标记确定位置的小区内。可以通过小区标记的数量和安排灵活、比较简单和可理解地确定工作区的构造和延伸。

尤其适用于作为标记使用的是无源或有源的无线应答器，通常称为RFID。RFID是可电子获取的编码标记的广泛传播的、可靠的、价格有利的形式。

操作人员与本发明的操作装置的可靠和无混淆的对应是这样来实现的，即设置特殊的登录过程，在该登录过程中操作人员借助其密钥标记和必要时另外的密码输入在操作装置上得到识别，在此读取密钥标记的用户标识，并在有效的密码输入之后以及检验必要时分配的个人的用户授权之后在操作装置的存储器中登记为有效的用户标识。操作人员的这种对应首先完全独立于可能已存在或者随后进行的操作装置与特定可控技术设备的对应，或作为事先进行的和本身已结束的方法用于随后进行的将操作装置与特定可控技术设备对应的方法。

在一个有效的用户登记到操作装置中期间，由操作装置按照定期的时间间隔借助内置的读取装置重新获取已登记的用户的密钥标记。仅当定期地、安全地和独立地通过两个处理器或获取电路获取了该密钥标记之后，才释放各种控制功能，尤其是安全临界的控制命令。只要不再能可靠地获取密钥标记或者获取了具有与已登记用户标识不同的用户标识的密钥标记，则自动截止操作装置的至少一部分控制功能。这些控制功能将在重新安全地获取已登记用户的密钥标记之后才又自动释放。

此外所述登录方法这样实施，始终只有唯一的一个操作人员才能作为有效的操作人员登记，即仅当事先没有操作人员作为有效的用户在该操作装置中登记时才能执行该登录方法。在特殊的注销方法执行期间，已登记的有效用户标识才又从操作装置的存储器中删除或者标记为无效的，从而接着其它操作人员才能登录。为了让有效的用户绝对确信在成功登录之后只有他才能单独使用操作装置的功能，还可以仅当安全地获取了已登记用户的密钥标记之后才执行注销方法。此外，有效的用户标识优选存储在操作装置的非易失存储器中，从而即使在操作装置的供电被切断和重新恢复之后也能获得已进行的用户对应，由此其它操作人员无法使用操作装置。

由此同样可靠地防止了原则上没有被授权使用的人员错误地使用或滥用操作装置，如其它非已登记操作人员的人员错误的使用或滥用。因此错误地更换具有已存在的与可控技术设备的对应和数据连接的移动操作装置不会产生安全临界的结果。

至少部分类似地进行本发明移动操作装置与可控技术设备的安全回路或与安全的数据传输接收机之间可靠和无混淆的对应，该数据传输接收机固定连线地连接到该技术设备的安全回路中。

在此，设置至少一个拨号位置，在该拨号位置上基于至可控技术设备的空间位置或对应操作人员可以毫无怀疑和一眼就识别出所述对应。这种合适的拨号位置例如可以直接置于通往在自动化运行中借助围栏保护的机器人工作区的保护门之外。该拨号位置以及必要时的其它可替换设置的拨号位置通过可电子获取的直拨标记标识。所采用的直拨标记分别携带至少一个安全编码。

在技术设备的安全的数据传输接收机中，该直拨标记的安全编码近似永久地登记在非易失的存储器中。在存在多个可能的拨号位置的情况下，必要时可以登记该多个直拨标记的多个安全编码。所属的直拨标记或其安全编码的登记通常在安装或启动技术设备的过程中现场由特别授权的人员一次性进行，或者在运送该技术设备之前已经由制造商进行。

用于无混淆地将操作装置与技术设备对应的登录方法具有，操作人员带着该移动操作装置前往至少一个所属的拨号位置，并在该拨号位置启动对应方法或自动启动该对应方法。在此借助操作装置的读取装置由处理器或获取电路安全地获取直拨标记，尤其是存储在直拨标记中的安全编码。与该安全编码同时地还可以读取拨号编码的不同地址信息和接入信息，利用这些信息可以通过中间连接的数据传输装置如无线数据网络建立至所属的安全数据传输接收机的数据连接。从操作装置发送给数据传输接收机的数据分组由所读取的安全编码标识。由此可以在数据传输接收机中，借助在此永久登记的容许的安全编码通过处理器或监控电路从拨号编码的位置中独立地检验出数据电报的正确来源。在通过未经安全认证的数据传输装置传输的情况下可能的传输错误会导致向错误的数据传输接收机传送数据的结果，这种传输错误可以通过独立地借助读取装置加载到操作装置中并在所属的数据传输接收机中得到安全验证的安全编码来毫无疑问地识别。因此可靠的和与中间连接的数据传输装置的传输安全性无关地防止由于技术的原因产生的错误的连接。优选的，在登录方法进行过程中还在操作装置中产生和存储几乎一次性的连接标识代码，该连接标识代码例如作为由日期、时钟、设备标识、所读取的安全编码以及随机数构成的组合，该随机数唯一地标识操作装置和数据传输接收机之间新建立的对应，将该连接标识代码随着安全编码一起传送给数据传输接收机，在数据传输接收机中登记为有效的连接标识代码并存储在存储器中，接着用于标识和检验所发送和接收的数据电报。连接标识代码只在该对应的持续时间段内有效。如果该对应被取消，接着又重新建立起来，则产生和登记一个新的连接标识代码，并用于标识数据，从而用以前采用的连接标识代码标识的数据电报在任何情况下都会被识别为无效并遭到忽略。

如果所述连接被安全的数据传输接收机接受，则将连接标识代码和/或安全编码也登记在操作装置中，并将其中至少一个用于标识所发送的数据电报或用于检验所接收的数据电报。安全地识别出由于在未经安全认证的中间连接的数据传输装置中的技术错误而导致的数据电报的错误传送，并且忽略相应的数据电报而不会失去安全性。

操作装置以及数据传输接收机都这样构成，仅当还不存在已登记的连接时才建立连接。因此在成功建立新的对应之前，必须通过按照规定的注销方法取消事先存在的对应，并从相应的存储器中删除已登记的有效安全编码和必要时还删除连接标识代码，或者标记为无效。由此保证，操作装置和数据传输接收机之间始终只存在一对一的点对点连接，而且不能两个用户同时和并发地借助两个操作装置来传送控制指令，也不能一个用户用操作装置同时向两个数据传输接收机传送控制指令。

为了防止无意的、错误的或者由于技术错误而触发的已存在对应的注销或取消，出于安全原因优选仅在安全地获取了一个有效的直拨标记之后才能进行注销过程。另外，已登记和存储的连接数据在移动操作装置中和在安全的数据传输接收器中优选都存储在非易失存储器内，从而即使在相应的供电装置断开和重新接通之后也能可靠地保持已建立的对应。

总之，通过所述的对应方法在采用直拨标记的条件下几乎完全消除了错误建立与非操作人员想要的技术设备的数据技术对应的危险。另外，在建立连接时以及在其它通信中都能可靠防止由于技术原因产生的与安全有关的数据电报的错误传输而导致失去安全性。还防止由于在建立或取消连接时单个的技术错误而导致多个操作装置或多个数据传输接收机参与一个数据连接。

通过结合用于将操作人员与一个操作装置安全对应的方法和将移动操作装置与可控技术设备安全对应的方法，还可以建立操作人员或其指令授权与可控技术设备之间的安全和唯一的对应。在此，用户数据，尤其是在将操作人员与操作装置对应的过程中登记在操作装置中的唯一的用户标识，在建立移动操作装置与可控技术设备之间安全对应的过程中还被发送给相应的数据传输接收机，并在该数据传输接收机中登记为有效的用户标识并优选非易失地存储。出于安全原因，取消用户与技术设备之间的这种对应还是只能由已登记的人员亲自进行。如果继续在操作装置中借助读取装置从密钥标记中安全地获取了用户标识，并将该用户标识用于标识已传送的数据电报，则还可以在安全的数据传输接收机中几乎独立于操作装置地对已登记的用户不在该操作装置上这一情况做出反应，并且也可以在数据传输接收机中可靠地禁止由未授权或未登记的人员触发对安全很关键的控制命令和功能。将用户与可控技术设备对应的一个重要的安全技术的优点在于，在建立对应之后直到正常取消该对应为止其他非已登记用户的人员都不能在该技术设备上进行安全临界的操作处理。如果已登记的用户例如从自动化运行切换到专用运行类型，则一直选择该专用运行类型，直到已登记的用户亲自更改该选择为止。由此已登记的用户可以在较长的时间段期间无危险地在该技术设备上进行维护工作，而不会由于其它人员的未被观察到的或无意的操作处理而导致危险。目前在实践中还只是用运行类型选择开关来不足地解决该问题，该运行类型选择开关可以用钥匙定在特定的位置上。实施为多回路的安全开关元件并且通常对多个不同的专用运行类型具有多个开关位置的开关元件，一方面非常昂贵，另外也不安全，因为对一个开关几乎总是存在多把钥匙或替换钥匙，这是因为钥匙开关在工业应用中尤其是要遭受由于折断而导致损坏的危险，或者钥匙可能丢失。后一种情况通常导致钥匙要保留在开关内，因此不再存在防止不容许的操作处理的安全性。这种风险通过本发明操作人员与可控技术设备的安全对应，禁止所有其它人员的所有安全临界的操作处理，以及按照规定地、有意识地和安全地取消该对应来可靠地排除。

操作人员与可控技术设备的对应还可以专门地结合特殊的注销方法来有利地使用。在此操作人员虽然取消移动操作装置与第一技术设备之间的数据技术对应和作用连接，但仍然登记为该技术设备的有效和单独的用户。由此该操作人员可以用移动操作装置临时在另一个技术设备上如相邻的机器人区中进行操作处理，但在此期间仍一如既往可靠地防止对第一技术设备的不容许的启动。仅当将已经在第一技术设备中登记为有效用户的每个用户都在移动操作装置上登记为有效用户，移动操作装置与第一技术设备之间才能重新成功建立对应。

超越纯粹的安全性收益之外，通过在技术设备上安全地登记特定的用户还可以相应自动化地登记登录和注销过程以及已经进行操作处理，它们例如可以用于事后解释事故的发生过程、给于指导和将来避免类似事故。

在使用移动和优选可无线数据耦合的操作装置中对于安全性的另一个完全值得注意的改善在于可电子获取的标记作为小区标记用于设置容许的工作区的应用可能，从该工作区可以用按照规定对应于一个可控技术设备的操作装置发送安全临界的控制命令。

在已设置的容许的工作区内，这样来安排小区标记的位置和距离，使得用定位在该工作区内的移动操作装置始终能安全地借助内置的读取装置获取至少一个小区标记。同时还可以这样进行该小区标记的安排，使得用定位在工作区之外的操作装置在离该工作区的边界尽可能小的距离内也已经不能再获取小区标记。

用于设置特定的工作区的小区标记优选统统携带一个统一的小区编码，该小区编码唯一地标识该工作区，而且至少在成功建立操作装置与可控技术设备的对应之后将该工作区登记到移动操作装置中或者必要时还登记到数据传输接收机中。可替换地，用于设置工作区的小区标记还携带个性化的小区编码，并且可以在移动操作装置或者数据传输接收机中登记分配给该工作区的相应数量的小区编码。

可以在所设置的工作区内安全地获取的一个或必要时多个的小区编码，例如与直拨标记的安全编码类似地永久登记在数据传输接收机中，并且必要时在将移动操作装置与技术设备对应的过程中由数据传输接收机发送给操作装置。可替换地，小区编码还可以永久存储在直拨标记中，并从直拨标记传送给移动操作装置，并在必要时进一步传送给数据传输接收机，并分别登记和存储在其中。

在移动操作装置与技术设备之间并由此与安全的数据传输接收机之间，以及与设置的容许的工作区之间存在对应期间，由操作装置的处理器借助读取装置继续试图获取小区标记及其小区编码。安全获取的小区编码或者在操作装置中与登记的、容许的小区编码比较，或者发送给数据传输接收机并在那里与登记的、容许的小区编码比较。只要不能再获取到相应于已登记的、容许的小区编码的小区编码，就不再确信移动操作装置停留在所设置的工作区内，从而禁止至少一部分安全临界的操作功能。出于安全技术的考虑，所获取的小区编码的检验以及容许的小区编码的登记优选都在数据传输接收机中进行。

由此以简单的方式保证，安全临界的控制命令只能在所设置的工作区内给出或执行。由此，尽管至技术设备的数据连接继续存在仍然错误或滥用地将移动操作装置从工作区移出不会导致失去安全性。由此，相对于受导线约束的操作装置，无线数据耦合的移动操作装置能令人满意地解决迄今存在并且解决不足的安全技术任务。

再次总结如下：在按照本发明提供和使用比较简单、可靠和经济的技术装置的条件下能够全面和令人满意地解决安全技术的任务。

本发明的任务通过按照权利要求1的特征解决。

根据本发明，提供一种移动操作装置，其具有数据接口、至少两个处理器或获取电路以及用于获取可电子读取的标记的读取装置。通过数据接口从安全开关元件向可控技术设备传送控制命令和必要时传送操作状态，以及必要时从该可控技术装置接收用于在操作装置的输出装置上显示信息的可视化数据，必要时还交换其它信息。读取装置使得可以获取可电子读取的标记的标记编码，该标记编码或者定位在读取装置的附近，或者直接与读取装置接触。由于读取装置的有限获取区域，通过正确地获取特定的标记保证在该标记和操作装置之间的空间接近。如果获取到具有已知位置的、例如位置固定设置的、唯一或不可混淆的标记，则可以在获取时刻用该标记可靠地限制操作装置的位置。如果唯一或不可混淆的标记设置在人身上，则在获取这样的标记时保证该人员与操作设备的接近，以及保证人员的身份。

至少两个处理器或获取电路可以彼此独立地将消息编码为数据电报，并将该数据电报通过数据接口传送给可控技术设备。在此可以由两个处理器产生独立的数据电报并分开传输，也可以由每个处理器产生一个共同发送的数据电报的独立编码的部分。然后在数据技术的接收机中，由至少两个对应的处理器或者监控电路彼此独立地分析该数据电报。因此至少双重地获取、传输和分析对安全性关键的消息，如涉及安全开关元件的操作状态。由此单个的错误在整个传输链中不会导致无意地执行安全临界的控制命令。

如果现在另外用事先已通过读取装置从一个标记中读取出来的标记编码标识由两个处理器编码的数据电报，则可以在登记了所有数据传输接收机容许的标记编码的数据传输接收机中验证该消息的确切来源。该来源在此可以涉及操作装置的位置，也可以涉及使用该操作装置并且安排该消息的人员。由于该编码不是通过数据接口，而是只通过另外的读取装置独立的和几乎双重回路地获取到移动操作装置中，因此按照有关的安全技术度量可以可靠地排除由技术原因导致的、操作装置或操作人员与可控技术设备的错误对应。针对该对应的技术安全性在此完全与中间连接的传输信道如无线网络的安全性无关地实现，而且不需要采用特殊和昂贵的安全总线等等。

根据权利要求2的优选实施方式使得可以从所属的数据技术的接收机，如技术设备的控制装置，向移动操作装置传输数据，从而既可以使用更为可靠的通信协议，也可以将过程或可视数据、文件、配置参数、机器简档、用户简档、软件部件等等加载到操作装置中。

根据权利要求3的优选实施方式可以实现移动操作装置的无线运行，优选在采用常用和国际上允许的无线标准的条件下。

根据权利要求4的优选实施方式可以实现移动操作装置在常用和价格有利的网络上的运行。

根据权利要求5的优选实施方式可以实现至少间或独立地向移动操作装置的电子部件供电。从而操作装置可以作为移动的、无线数据耦合的操作装置运行，或者在受导线约束的数据耦合情况下交换连接端子而不必断开和又接通该操作装置。还可以当操作装置断电或与连接端子分离时，仅向缓冲和因此非易失的存储器部件或实时时钟供电。

根据权利要求6的优选实施方式具有安全开关元件，其适用于单独或与其它输入元件组合地安全地触发和禁止安全临界的命令和过程。操作状态由两个处理器或获取电路重复地获取，并彼此独立地传送给数据传输接收机。如果在数据传输接收机上没有以定期的时间间隔接收到具有所读取的安全开关元件的状态的有效数据电报，则自动假定未释放的操作状态，即未被操作的核准键或指令开关或已被操作的紧急情况开关。在以安全技术传送运行类型选择开关的开关状态的情况下，假定运行类型无效，并通报这一情况。

根据权利要求7的优选和特别安全的实施方式具有至少多回路的电安全开关元件。因此该安全开关元件具有至少两个触点，这些触点彼此独立地通报操作状态。由此也防止单个错误地构造出安全开关元件的电回路。

根据权利要求8的实施方式具有在工业自动化技术领域中常见的安全开关元件。

在根据权利要求9的优选实施方式中，在操作装置上设置多个安全开关元件。该安全开关元件可以是具有不同功能的开关元件，如停止开关和核准键，或者是多个作用相同的安全开关元件，如分配给一个移动手操作装置的不同干预区域并且根据不同的操作可替换或可选择地使用的两个核准键。

在根据权利要求10的优选实施方式中，具有相同功能的多个安全开关元件的操作状态，尤其是多个核准键的操作状态在设备内部逻辑地、正确地彼此关联，并作为一个操作状态编码到数据电报中和传送。由此移动操作装置根据不同的模型实施为一个或多个核准键，而不必在数据传输接收机一方或者在采用的数据协议中考虑这种情况。尤其合适的是在采用目前常用的具有操作状态“未操作/准许/应急停止”的三级核准键时的这种关联。

一个优选实施方式根据权利要求11给出。在此在第一和第二处理器或获取电路之间存在数据或信号连接，这两个部件中任一个通过该数据或信号连接告知另一个部件自己在内部确定的安全状态，如已获取的安全开关元件的操作状态，并且该另一个部件将告知的状态与自己获取的状态进行比较。仅当自己获取的以及所告知的操纵或安全状态标识释放状态时，该状态才由相应的处理器或获取电路也编码到数据电报中。

一个有利的实施方式通过权利要求12的特征完成。由此可以无干扰和近乎同时地获取位于获取范围内的多个标记，尤其是一个直拨标记以及同时一个密钥标记。

通过具有权利要求13和14的特征的实施方式，可以读取具有多个标记编码的标记。从而例如可以对两个处理器中的每个处理器分开地设置用于标识数据电报的不同编码，或者为了编码而设置附加信息如连接的地址、位置信息、详细的用户数据或授权数据。

通过根据权利要求15的优选实施方式，在技术上保证了在第一和第二处理器连续地访问读取装置或标记数据时，这些数据实际上始终来源于标记，并且绝不会由于缺陷或干扰而从读取装置的中间存储器中取出。

通过根据权利要求16的优选实施方式，在技术上保证了在操作装置接通之后，仅当用于有效地标识数据电报所需要的编码实际上也是借助读取装置从相应的标记中读取出的，该编码才能放置在操作装置中，而且绝不会还来自于已经过去的对应例如由于软件错误而留在存储器中。

通过根据权利要求17的优选实施方式，通过确定方向可以有选择性地选择特定的直拨标记或密钥标记，或者降低了错误地获取另一个位于附近的同类型标记的危险。

根据权利要求18至20之一的优选实施方式采用针对读取装置的公知的、常用的、可靠的技术方案。

根据权利要求21的优选实施方式可以在一定程度上防止取消或绕过密钥标记的安全功能，使得例如不是出于舒适性而将密钥标记几乎防止丢失地直接粘贴或者以其它方式固定在操作装置的外壳上，由此不再能够登记操作人员远离操作装置，或者任何人都能使用操作装置的功能。用于有效获取的临界最小距离优选这样设置，使得必须在标记和操作装置的外壳之间存在至少一个小的、可见的距离或空气间隙。

根据权利要求15的优选实施方式可以比基于单纯的获取灵敏度而单独实现的更为精确地限制读取装置的有效获取区域。此外，密钥标记和直拨标记虽然构造技术相同，但它们的的最大获取距离仍然设置得不同。

通过根据权利要求23的实施方式，两个处理器或获取电路可以基本上异步地运行，并且在访问读取单元时不必同时读取相同的数据流。

通过根据权利要求24的优选和特别安全的实施方式，保证由于干扰或电路错误或软件错误而导致的缺陷或故障不会同时出现在两个处理器或获取电路中，并维护了单个错误安全性的原理。

根据权利要求25的优选实施方式可以向操作人员输出信息。尤其是可显示图形的输出装置可以实现对机器和过程数据的高要求的显示，以及实现有利的操作概念如菜单和可视化的操作元件，尤其是在结合对触摸敏感的显示屏(触摸屏)的情况下。

最后通过根据权利要求26的实施方式实现了一种移动操作装置，其让尤其是机床和机器人特别适用于定位和设置过程，并实现了快速、同时又准确的定位过程。

本发明的另一个任务通过具有权利要求27的特征的可电子获取的标记。重要的是永久的、在标记与可控技术设备或与特定操作人员的对应方面唯一的编码。在技术上同类型的实施方式中，这些标记根据不同的编码而用作分配给操作人员的可携带的密钥标记，或者用作分配给可控技术设备的固定安装的直拨标记。由此也可以在操作装置中用同一个读取装置获取这两个标记类型。

通过根据权利要求28的实施方式，保证与可能需要的供电装置无关地获得所属的永久编码。

通过根据权利要求29的实施方式，实现了一种可以由读取装置无线地以及可靠地获取的标记。

根据权利要求30至32以及34和35之一的实施方式具有用于构造可电子获取的标记的合适的和常用的技术。其优点在于，这种标记尤其是可以用作密钥标记，同时也由其它系统如进入检查系统一起使用，或者一起用于获取工作时间。

通过根据权利要求33的实施方式，可以在操作装置中获取标记编码时通过两个处理器或获取电路以及必要时通过两个处理器或监控电路在数据传输接收机中无疑义地确定和保证，所读取的编码是当前读取的，不会因为软件错误或传输错误而从中间存储器中读取出以前的编码。

根据权利要求36的实施方式允许对获取的编码就无错和完整的获取进行数据技术的检验。未识别出有错编码获取的概率因此大大降低，或者在检验信息相应比较复杂的情况下，例如以CRC代码的形式，实际上排除了这种概率。

根据权利要求37的优选实施方式，实现了与操作人员的舒适和防止丢失的对应。

根据权利要求38的优选实施方式，实现了按照常见的个人指示的方式来构成密钥标记，并且还提供了关于密钥标记的拥有者的可视信息。

根据权利要求39的直拨标记的优选实施方式，实现了该标记与技术设备如机床、机器人、吊车、升降机(Hubzeug)或建筑机车等等的持续的空间对应。

通过根据权利要求40的实施方式，保证直拨标记不会被滥用，不会因为舒适原因远离其固定位置或远离其按照规定的位置，不会设置在出于安全原因不容许登录的位置上，也不会固定地与移动操作装置连接。

通过根据权利要求41的优选实施方式，在读取直拨标记之前就已经向操作人员给定除了纯粹的空间对应之外的、关于所属技术设备的信息。此外还可以输出本来电子获取的每条信息和编码的明文，从而在出现妨碍电子获取的技术缺陷的情况下，还能在由用户手动输入编码之后在操作装置和技术设备之间建立起数据连接。

通过根据权利要求42的优选实施方式，不再需要特殊的、用于定制分配给安全的数据传输接收机的直拨标记的编程，因为可电子获取的标记代码可以直接导线连接地从数据传输接收机传送给直拨标记。由此可以通过更改所采用的安全代码进一步改善安全性。

本发明的另一个任务通过根据权利要求43的特征解决，通过该特征实现了一种安全的数据传输接收机。

根据权利要求43的优选实施方式形成相对于根据权利要求1至26之一所述的移动操作装置的数据技术通信伙伴，并且与中间连接的传输介质无关地与操作装置一起建立了唯一的、安全技术保证的点对点连接。与移动操作装置类似，数据传输接收机也具有至少两个处理器或监控电路，该处理器或监控电路对通过数据连接传入的数据电报彼此独立地检验其来源和无错性，并分析嵌入数据电报中的消息，并将相应的信号或数据馈入技术设备的安全回路。通过该双回路性，又考虑了单个错误安全性的安全概念。重要的是，在建立起至移动操作装置的安全连接之前就已经向这些处理器或监控电路提供了安全代码，这些安全代码唯一地对应于直拨标记、小区标记或密钥标记的标记编码，并且可以通过所属的标记编码唯一地验证数据电报的有效标识。安全编码在最简单的情况下与所属的标记编码一致，并且可以通过简单的身份比较确定有效的标识。还可以采用复杂的标识机制，其中用相互一致的双代码来加密和解密数据电报。

通过根据权利要求44的优选实施方式，安全编码可以永久地保存在数据传输接收机中。尤其是，容许的安全编码可以由制造商固定地预先给出，而且直拨标记和数据传输接收机之间不可更改的配对由这些部件的制造商进行。

通过根据权利要求45的优选实施方式，数据传输接收机还可以用于安全地、对应地接收数据电报，这些数据电报的消息不仅涉及安全开关元件或安全回路，而且这些数据电报用于实际控制技术设备并且具有或没有标识和关于该控制的检验地传递给该技术设备。

通过根据权利要求46的实施方式，在数据传输接收机和技术设备的控制装置之间建立起唯一的、永久的、安全地数据技术对应。从移动操作装置发送给事先已经安全对应地传送给数据传输接收机的控制装置的消息由此同样也安全对应地传递给该控制装置。

通过根据权利要求47的结构实施方式，实现一种数据传输接收机，其可以节省空间地直接与技术设备的控制装置组合。此外由此还可以集成为模块化建成的控制装置概念，并且尤其是可以简单地事后装备已经存在的控制装置。这首先对用于设备构造的控制装置是有利的。

通过根据权利要求48的结构实施方式，可以将数据传输接收机节省空间和成本有利地集成到控制装置中。这尤其是对机床、机器人、浇铸机器等等领域的控制装置有利，在这些领域中为基本上相同的机器采用大量相同和专门优化的控制装置。

根据权利要求49和50的实施方式，实现了一个由多个用于转换本发明所需要或适用的部件组成的紧凑的结构单元，由此降低了安装费用。尤其是，这种结构单元适用于简单地事后替换已经存在的、用于受导线约束的移动操作装置的连接端子。

通过根据权利要求51至53之一的优选实施方式，提供了常用的接口，用于在技术上连接兼容地将数据传输接收机连接到技术设备的安全回路。

一个优选的实施方式由权利要求54给出。在此第一和第二处理器或监控电路之间设有数据或信号连接，两个部件中任一个通过该数据或信号连接分别告知另一个部件自己获取的安全状态，该另一个部件将告知的状态与自己获取的状态进行比较。仅当自己获取的和告知的安全状态都标识已操作了核准键或者未操作停止开关时，该状态才由相应的处理器或监控电路通报给安全回路。

通过根据权利要求55的优选和特别安全的实施方式，保证由于干扰或电路错误或软件错误而导致的缺陷或故障不会同时出现在两个处理器或获取电路中，并维护了单个错误安全性的原理。

通过根据权利要求56的优选实施方式，提高了技术可靠性和安全性。

根据权利要求57的优选实施方式实现了移动操作装置的无线技术连接，由此改善了灵活性和移动自由。此外，通过采用公知和全球通用的标准化无线标准，使用了成本有利的、可靠的和全球通用的技术。

通过根据权利要求58的优选实施方式，保证在数据传输接收机的供电断开或有缺陷时不会触发或执行安全临界的机器操作。

本发明的另一个任务通过具有权利要求59的特征的方法解决。

通过本发明的登录方法，至少为了输出控制指令而将操作人员的指令授权唯一的、安全地对应于操作装置。操作人员事先被分配了可电子获取的并且具有识别该用户的唯一的用户标识的密钥标记，该密钥标记例如粘贴在衣服上或固定在身体上，或者放入口袋中。除了用户标识之外还可以对其它信息、尤其是特定于用户的信息编码。用户标识由设置在操作装置中的读取装置电子地获取，并且检验其是否有权启动操作装置或是否有权输出控制命令，并相应地接通或截止可提供的控制命令。在操作人员成功登录到操作装置之后，该操作人员登记为有效用户，并至少存储其用户标识。由此可以将稍后读取的用户标识与登记的用户标识相比较，如果不一致或者如果没有获取到用户标识则禁止访问或禁止控制功能。读取装置的获取范围在此优选这样测定，使得在操作人员靠近操作装置或拿到可携带的移动操作装置时，能够可靠和自动地获取操作人员随身携带的密钥标记。由此保证，在操作人员成功登录以及对应之后到取消该对应为止，只有该操作人员能够访问操作装置的功能，从而排除未授权或错误的访问。

根据权利要求60的优选实施方式通过多回路地实施处理器或获取电路又考虑了单个错误安全性的安全概念，从而单个错误不会在一个部件或回路中导致失去安全性。

通过根据权利要求61的优选实施方式，保证只有授权的用户才能主动向安全回路发送核准信号，由此可以触发安全临界的命令。

根据权利要求62的优选实施方式，有效的登记用户的用户标识可访问地存储在存储器中，并由此提供用于与稍后读取的用户标识相比较，以继续验证该操作人员的身份。

通过根据权利要求63的优选实施方式，保证了在操作装置断开或没有被供能地接通时，已登录和已登记的操作人员也保持已登录状态。由此保证在成功登记之后其他人员无法访问操作装置，尤其是不能访问与操作装置以数据技术作用连接的技术设备。

根据权利要求64的方法保证，任何时刻只有唯一的(或没有)操作人员能够在操作装置上登录或登记。

通过根据权利要求65的方法，在操作人员登记之后不需要通过继续读取和检验用户标识来验证已登记用户的存在。而是从出于安全原因确定没有用户行为的比较短的时间段来推断出已登记操作人员不存在，并且禁止相应的安全临界的功能。在重新读取已登记的用户标识之后才重新释放这些功能。

在根据权利要求66的优选方法中，按照定期的时间间隔自动尝试重新获取已登记用户的用户标识。如果在一定的时间段内不能进行该获取，则至少禁止操作装置的安全临界的操作功能，并在成功地重新获取已登记用户的用户标识之后才又释放这些功能。

通过根据权利要求67的登录方法，可以更为精确地限制读取装置的有效获取范围，并且只能在操作装置的直接相邻区域中进行登录。由此避免偶然位于该附近的人员错误或滥用的对应。

通过根据权利要求68的优选方法，通过将密钥标记几乎防止丢失地与操作装置连接，而不是由操作人员佩戴在身体或衣服上，可以防止蓄意绕过技术上设置的安全机制。

通过根据权利要求69的方法，在多个同时位于读取装置的获取范围内的密钥标记中只读取或接受离操作装置最近并因此最早分配给真正的操作人员的密钥标记。由此降低了无意中让仅偶然位于附近的人员登录的危险。此外由此也不需要让操作人员从多个同时获取的用户身份中进行手动选择。

通过根据权利要求70的优选方法，可以集中管理用户数据、简档和授权。由此例如可以通过简单的方式，无需直接访问操作人员的各密钥标记就下达或提取授权，或者禁止使用各个密钥标记。此外可以通过设置用户组和授权组按照可概览的方式分发各种授权。密钥标记由此在数据技术上静态地实施而成，并且只具有单个的预先固定给定而且无混淆的唯一的标识。由此对用户数据的每次更改只对存储在服务器中的数据进行。

在根据权利要求71的优选方法中，除了用户标识之外还在密钥标记中存储其它特定于用户的信息，并从密钥标记直接加载到操作装置中。由此所有这些信息立即在操作装置中提供出来，而且与已经存在于操作装置中的用户简档或是否存在至具有用户简档的服务器的数据连接无关。

通过根据权利要求72的优选登录方法，实现了附加的、抵制滥用操作人员的身份的安全性。从而在没有有效输入所属的密码的条件下，不能使用滥用的或者通过交换而错误拥有的密钥标记。

根据权利要求73的登录方法可以为多个用户分发不同的个性化授权。

通过根据权利要求74的优选实施方式，随时都可以获得关于当前已登记操作人员的信息，这在操作装置没有有效注销就离开或断开时尤其有利。

通过根据权利要求75的方法，保证登录只能通过操作人员的有意识的操作进行。

针对特定的使用情况优选的、特别快速和舒适的登录方法通过权利要求76的特征实现。

增加了一个实际替换的登录方法根据权利要求77完成。由此可以不需要密钥标记或密码输入来实现简单和快速的登录，但是通过该登录所有安全临界的功能都被禁止。该快速和匿名的登录首先适用于只查询可控技术设备的运行或诊断数据的情况，但是在此过程中不会以安全技术的相关形式影响所述设备。

本发明的另一个任务通过具有权利要求78的特征的方法解决。由此实现了一种用于取消操作人员与操作装置之间的对应的安全的方法。为了让已登录并有效登记的操作人员可以信任，只有他才能触发安全临界的控制命令或释放相应的机器操作，还允许完全有意识地通过已登记的操作人员重新取消已存在的登录。本发明的方法因此在注销或取消所述对应时，要检查该操作人员的身份是否与已登记的操作人员的身份一致。

根据权利要求79的方法为专门授权的用户或管理员提供无需已登记操作人员的密钥标记就取消已存在的对应的可能。这在密钥标记在已存在的登录期间不可用或出现故障时，或者在操作人员结束其操作之后忘记注销并且在这期间不能再访问，由此操作装置或者整个可控技术设备可能被禁止或闭锁时是必要的。

通过根据权利要求80的优选方法，保证注销只能通过已登记操作人员的有意识的操作处理进行。

本发明的另一个任务通过具有权利要求81的特征的登录方法解决。在此借助读取装置将编码在直拨标记中的安全编码加载到移动操作装置中。直拨标记在空间上持续地对应于可控技术设备，并且安全编码作为容许的安全编码持续地登记在安全的数据传输接收机中，该数据传输接收机连接到技术设备的安全回路中。通过将安全编码从直拨标记读取到移动操作装置中，可以针对操作装置在登录时刻位于或已经位于直拨标记的直接空间近邻中实现可电子检验的登记。如果所读取的安全编码此后用于标识传送给数据传输接收机的数据电报，则可以在数据传输接收机中毫无疑义地验证登录位置。由此中间连接的数据传输接收机的可能的传输错误在最坏的情况下会导致无法完成的登录或数据传输，但是决不会导致安全临界的向错误机器或设备的传输。通过由至少两个处理器或获取电路独立地、多回路地获取安全代码，又考虑了单个错误安全性的安全概念，从而虽然一个回路中的单个缺陷会导致失去功能，但不会导致失去安全性。

通过根据权利要求82的优选方法，移动操作装置总是恰好对应于一个或没有登录位置，因此恰好对应于一个或没有数据传输接收机。

通过根据权利要求83的优选实施方式，在建立移动操作装置和数据传输接收机之间的连接时向数据传输接收机分配唯一的连接标识，并且登记在两个通信伙伴中。该标识在下面用于标识和保证通信。数据传输接收机实施为，总是只能登记唯一的一个连接标识代码。由此可以排除在特定时刻由两个移动操作装置向数据传输接收机发送有效的数据电报。两个先后从相同的操作装置的同一个拨号位置到同一个数据传输接收机建立的连接由此也可以毫无疑义地区分开来。

通过根据权利要求84和85的方法，保证只有在去掉已经存在的连接之后才可以建立新的连接。

通过根据权利要求86的优选方法，可以在不同的位置上为一个可控技术设备配置多个容许的直拨标记，这些位置虽然统统用于建立至同一个数据传输接收机和同一个控制装置的连接，但是可以为相应的登录位置优化或限制不同的操作功能或输出信息。

通过根据权利要求87的方法，从直拨标记中提取关于对应于一个直拨标记的工作区的信息，并存出在移动操作装置或安全的数据传输接收机中用于以后与从空间确定容许的工作区的小区标记中获取的位置信息进行数据技术的安全比较。

通过根据权利要求88的优选方法，所建立的连接不仅对应于设备数据、地址数据和位置数据，还对应于用户数据。由此可以将用户数据不仅用于另外标识和保证进一步的通信，还例如用于释放控制装置上的特殊功能。

通过根据权利要求89的方法，保证对应于一个连接的用户标识在能量供应出现短暂故障之后也能保持在数据传输接收机中。

通过根据权利要求90的优选方法，保证始终只有一个或没有操作人员在数据传输接收机中登记，而且已存在的登记只能由已登记的操作人员本人或由专门授权的管理员取消或更改。由此已登记的操作人员可以信任，由他在移动操作装置和数据传输接收机之间建立的连接不能在他不知道的情况下被取消或更改。

通过根据权利要求91的方法，向不同的操作人员提供控制装置或数据传输接收机的不同的授权或用户简档。

通过根据权利要求92的优选方法，不是通过分发密钥标记单独调整对授予访问权限的操作人员及其授权范围的选择，而是可以为每个可控技术设备确定该选择。由此可以简单地禁止已变成无效的或被告知已丢失的密钥标记或用户标识。

通过根据权利要求93的优选方法，集中进行用户管理。由此可以借助用户组和权限组快速和概览地向用户分配访问权限。在更改时，例如在新的或者已退出的合作的情况下，可以从单个位置出发快速地进行相应的更改。

根据权利要求94的优选方法，允许移动操作装置以及控制装置的性能与各个操作人员的个体愿望和要求灵活匹配。通过集中存储简档数据，将这些简档数据提供给在每个与服务器连接的可控技术设备或在每个连接的移动操作装置上的操作人员。优选的，在此将简档数据结构化地划分为对应于完全普通的特定技术设备类别的操作人员、特定操作装置类型的操作人员或者完全个性化的技术设备和操作装置的操作人员。

根据权利要求95的优选方法，可以依据操作人员或技术设备的相应要求加载各软件部件。由此尤其是可以紧凑和通用地保持包含在操作装置中的软件，因为不必事先考虑技术设备的每个可能的专门要求。一个特别的优点还在可能的软件改变时出现，由此该软件改变不必在任何操作装置中实现，而是可以在技术设备或甚至集中在服务器中一次性完成。

一种特别优选的方法根据权利要求96的特征实现。在此，从配置给技术设备的直拨标记中提取出特殊的地址信息、信道信息或对应信息，用于采用必要时多个数据传输装置来建立至数据传输接收机的连接。

通过根据权利要求97的优选方式，向操作人员给出关于被建立了连接的技术设备或数据传输接收机的信息。由此可以及时阐明操作人员关于所述对应的可能错误，并降低由于这种错误而进入危险状况的风险。这对检查新建立的对应来说，或者当操作装置的工作在其它已存在的对应中较长时间地中断，例如在午间休息时非常重要。

通过根据权利要求98的优选和安全的实施方式，引入附加的标识用于标识和保证数据电报的安全，通过该标识可以识别由于技术原因产生的错误对应或错误传输。

通过根据权利要求99的实施方式，又保证即使在短暂去掉供电装置之后，以前建立的对应也会继续保持。

通过根据权利要求100的优选和安全的实施方式，实现以下前提：随后发送的数据电报具有时间信息，并且可以在数据传输接收机中检查该时间信息。由此可以识别出以前的、具有可能不再当前的消息的数据电报，该消息涉及安全开关元件的操作状态，该数据电报由于某个技术错误或特殊条件而在中间连接的数据传输装置中长时间地保持或缓冲，并且排除对该数据电报的其它处理。

通过根据权利要求101或102的方法，保证通过建立移动操作装置的安全对应，中断可控技术设备的全自动的、由程序控制的运行，而且进一步的机器操作仅因为输入操作装置的相应指令才进行。典型地，通过从自动化运行转换为特殊运行类型，也启动或禁止了特定的安全功能，如驱动器的力限制或速度限制或安全开关的跨接，这些安全功能用于在自动化运行中监控保护门的闭合状态。

根据本发明，本发明的另一个任务通过权利要求103的特征部分的特征解决。由此提供一种用于安全地运行在移动操作装置和安全的数据传输接收机之间建立的连接的方法。通过该方法，中间连接的数据传输接收机中的技术错误或不足或者操作装置或数据传输接收机中的单个技术错误不会导致失去安全性。通过在操作装置中用事先读取和登记的安全编码标识所传送的数据电报，可以就操作装置的登录位置来说为数据传输接收机安全地检查出该数据电报的来源。同样可以用临时为该连接持续时间段产生的唯一的连接标识标识每个数据电报。如果在登记该连接标识时，在建立该连接的过程中一起传送和检查来自直拨标记的安全编码，从而随后该连接编码足以用于标识和检验该数据电报。

通过根据权利要求104的优选实施方式，保证至少安全临界的操作处理有保护地传输。

根据权利要求105的方法改善了在获取开关状态时抵制技术原因引起的错误的安全性。仅当自己获取的以及其它处理器告知的操作状态标识已操作了核准键或未操作停止开关时，该状态才由该处理器或获取电路编码到数据电报中。

通过根据权利要求106的特别安全的方法，实现连贯的多回路的信息传输，并由此考虑单个错误安全性的概念。

根据权利要求107的优选方法改善了在技术设备的安全回路中分析和馈入与安全有关的消息和信号时抵制技术原因引起的错误的安全性。仅当自己获取的以及其它处理器告知的消息内容标识已操作了核准键或未操作停止开关时，该状态才由该处理器或获取电路编码到数据电报中。

通过根据权利要求108的优选方法引入附加的检验标准，利用该检验标准识别以前的数据电报。由于中间连接的、不安全的数据传输装置也可以具有缓冲存储器，因此可能通过技术错误或特殊的运行条件发生单个数据电报延迟地到达接收器，而且例如告知已操作了核准键或未操作停止开关，虽然实际上在此期间存在其它操作状态并且编码在当前的数据电报中。

通过根据权利要求109的方法，同样引入一种附加的检验标准，利用该检验标准在一定范围内能识别出不再当前的数据电报。数据电报的继续编号实现了唯一的时间顺序，从而最后分析的有效的消息内容不会被以前的消息内容覆盖。

通过根据权利要求110的方法，引入另一种用于保护通信的检验标准，利用该检验标准可以防止例如由于以前的、错误的、即仅在数据传输接收机上取消的与另一个移动操作装置的连接而导致的错误对应。

通过根据权利要求111至113的优选方法，保证在操作装置和数据传输接收机之间的数据连接中断以及与此同时发生的数据传输接收机失去控制的情况下，与原因无关地立即中断所有正在运行的安全临界的过程，并且将技术设备转换到安全状态。

通过根据权利要求114的优选方法，保证在将操作人员成功地登录或对应到可控技术设备、安全的数据传输接收机和所属的容许的工作区之后，只转换在该工作区内输出的安全临界的控制命令。

本发明的另一个任务通过权利要求115的特征解决。由此完成一种注销方法，以用于按照规定地取消已经在本发明的移动操作装置和本发明的安全的数据传输接收机之间存在的数据技术的点对点作用连接。由此，同时实现了针对稍后容许的另一个数据技术的作用连接的基本前提。即使在两个通信站点之一中错误和不完整地取消该连接，也不能再由另一个站点错误地产生或接收以及处理安全临界的、并且用连接标识代码标识的数据电报，并且另一次成功的数据传输仅在重新执行了按照规定的登录方法之后才可以进行。

通过根据权利要求116的优选注销方法，保证为了重新建立数据技术的作用连接，只通过重新获取相应的直拨标记就能获得在此所需要的和经过检验的安全编码，并且移动操作装置由此必须位于直拨标记的获取范围内。

通过根据权利要求117的方法，在数据传输接收机中也从存储器中删除所存储的用户信息。由此，必要时其它作为检验数据用于连接的信息被去掉或者无效，从而不能再识别和处理来自以前存在的连接的错误接收的其它数据电报。

通过根据权利要求118的优选方法，保证锁定在操纵位置的安全开关元件，如用于技术设备的安全回路的紧急开关或停止开关的操作状态在数据连接断开之后仍然继续保持不变。由此可以在连接断开时安全地防止技术设备的无意的重新启动或者该设备的无意的关闭。

根据权利要求119的优选方法保证，在该连接断开之后不再从数据传输接收机向安全回路输入有效的核准信号。

通过根据权利要求120的优选和安全的方法，防止不想要和意外的注销。

通过根据权利要求121的优选方法，在经过相应的等待时间之后自动断开不起作用的连接。重新传输指令要在新的登录过程之后才可以进行。

通过根据权利要求122的特别优选和安全的方法，注销或取消移动操作装置的安全的数据技术对应与建立该对应一样只能局部地在相应的直拨标记的近邻区域内进行。由此明显降低了意外或无意识的注销的危险，并且在相应查找直拨标记的过程中保证，操作人员在注销时虽然停留在观察区域内，但是不再位于可控技术设备的直接危险区域内。

通过根据权利要求123的用于启动移动操作装置的安全的方法，保证为了传输与安全有关的命令而需要的、至数据传输接收机的数据连接可以局部地基于所属的直拨标记来进行，而且决不会例如由于软件错误而从任意其它位置进行。

通过根据权利要求124的特征解决了本发明的一个重要任务。通过将操作人员的指令授权安全和唯一地对应于移动操作装置，以及通过将该移动操作装置安全和唯一地对应于可控技术设备的安全回路，操作人员的指令授权也安全和唯一地对应于该安全回路。

本发明的另一个任务通过权利要求125的特征解决。

通过根据权利要求126的特征，实现了一种利用准确的用户信息和时间信息记录与安全有关的登录过程和注销过程以及安全临界的操作过程的方法。由此尤其是为解释可能的事故提供了重要的线索。此外由此还为特殊的工作时间获取提供数据。

附图说明

示出：

图1示出具有多个可控技术设备的工业制造系统的一段，作为本发明方法和装置的可能应用情况；

图2示意和举例地示出本发明的安全移动操作装置的重要部件；

图3示意和举例地示出本发明的安全数据传输接收机的重要部件；

图4a以简化的框图示出举例的直拨标记；

图4b以简化的框图示出举例的密钥标记；

图4c以简化的框图示出举例的小区标记。

具体实施方式

首先要坚持，在所描述的不同的实施方式中相同的部件具有相同的附图标记或相同的部件标记，其中包含在整个说明书中的公开内容按照含义可以转用于具有相同附图标记或相同部件标记的相同部件。在说明书中提到的位置说明，如上面、下面、侧面等等都参照直接描述以及显示的图，并且这些位置说明在位置变化时按照含义转用于新的位置。此外还可以从所示出和描述的不同实施例中为独立的、创造性的或者按照本发明的解决方案显示出单个特征或特征组合。

在图1中举例和示意性地简化示出用于与多个自动化的、由程序控制的操纵器11协作地制造或处理工件12的工业系统60的一段。工件12通过传输装置13从处理区66传送给下个处理区。

在所示例子中，每两个操纵器11由一个共用的控制装置10通过相应的控制和传感器连接18控制。当然该操纵器还可以替换地分别分配给单个的控制装置。

每两个一起控制的操纵器11分配给一个共用的安全小区14，该安全小区14在位置上通常与处理区66或处理站一致，并且大都通过相应的保护围栏、保护门、栅格或栅栏67相应可感知地限制。

在电路技术上该安全小区14是这样一个区域，向该区域分配至少一个或必要时多个按照紧急开关15形式的、通常固定连线的安全开关元件以及相应的针对安全性的信号传输装置，在此将它们一起显示为安全回路16。通过由人员触发所属的安全开关元件15，安全小区14中的所有操纵器11、机器部件和设备部件都可靠地和立即被置于安全的运行状态，尤其是静止状态。由此可以避开识别出已存在的或迫在眉睫的危险状况，或者安全地禁止不想要的机器操作。

在大型制造设备60中，多个处理区66的控制装置10通常借助数据网络20进行数据技术的相互连接，而且通常还与中央计算设备或服务器65例如为了集中获取运行数据的目的而连接。此外，通过这样的中央计算设备还可以执行远程维护或远程诊断，为控制装置10以及必要时为移动操作装置2执行集中组织的软件更新，以及设备重叠地管理特殊的参数组和数据组，尤其是用户简档、工具简档和机器简档。

所示出的制造系统还具有按照移动手操作装置形式的移动操作装置2，操作人员1可以利用该手操作装置交替地控制不同处理区66中的操纵器11和设备部件。在此期间，各处理区的设备部件不是处于能通过封闭的栅栏67保护安全的全自动运行状态，而是出于受保护的特殊运行类型，其中操作人员也能停留在栅栏67之内，例如为了精确地编程工作和设置工作或者为了维护任务。在受保护的特殊运行类型中，安全临界的机器操作只能在通过操作人员1在手操作装置2上主动操作核准键39期间才可以进行。此外，手操作装置具有停止开关或紧急开关38，在操作这些开关时各安全小区14内的所有机器部件都将立即转换到安全状态。

移动操作装置2以数据技术、优选无线地通过集成的无线接口23、无线数据连接6和相应固定安装的无线接收机3，并进一步通过固定连线的数据导线21与安全的数据传输接收机9连接。在此，数据传输接收机9可以分配给恰好一个无线接收机3，或者它们甚至可以结构上组合地构造，也可以为了实现安全的、覆盖平面的无线连接在广泛使用的设备60中实施多个借助数据网络22连接的无线接收机3和必要时多个安全的数据传输接收机9。

安全的数据传输接收机9固定连线地连接到各安全小区14或处理区66的安全回路16中。数据传输接收机9将当前以数据技术接入的移动操作装置2的安全开关元件38、39的操作状态或开关状态可靠地传递给安全回路16。

此外，优选在数据传输接收机9和控制装置10之间设置数据连接19。借助该数据连接19可以从移动操作装置2通过数据传输接收机9向控制装置传送通用的、非特定的安全临界的命令，并按情况用于保护同一机械结构的通信，还利用该命令保护安全临界的消息。数据当然也在相反的方向或双方向上从控制装置10通过数据传输接收机9传送给移动操作装置2，从而尤其是可以传送可视信息、运行信息和诊断信息，并通过移动操作装置2的合适的输出装置输出。数据连接19可以实施为恰好一个数据传输接收机9和恰好一个控制装置10之间的唯一的点对点连接，或者作为完整的网络20将多个控制装置10、数据传输接收机9以及必要时中央服务器65彼此连接。原理上，该数据连接19还可以完全去掉，如果控制装置10直接连接到网络22，而且去往和来自控制装置10的所有安全临界的信息不是通过数据传输接收机9，而是直接通过无线接收机3来自和传送给移动操作装置2。

各个处理区66在空间上分别对应于一个或多个可电子获取和编码的直拨标记4。这种空间对应在此这样进行，对于操作人员来说一眼就可以识别出特定的直拨标记对应于哪个处理区。同时，这些直拨标记以数据技术通过唯一的安全编码唯一地分别对应于恰好一个安全的数据传输接收机9，并由此唯一地对应于恰好一个安全小区14，所述安全编码既永久存储在直拨标记中也永久存储在数据传输接收机中。

操作人员1也在空间上以及数据技术地对应于一个同样可电子获取的密钥标记5。这种空间对应这样进行，密钥标记5挂在操作人员1身上，并由操作人员随身携带。该数据技术的对应通过密钥标记的唯一标识该人员的用户标记以及必要时通过所属的密码进行。

为了确定容许的工作区，从该工作区输出和执行安全临界的控制命令，在该工作区中设置多个小区标记68。这些小区标记与集成在操作装置2中的读取装置24之间存在特定的获取距离69，在该获取距离内可以安全地由读取装置24或移动操作装置2获取小区标记68。小区标记68设置在所设置的工作区中，使得小区标记的获取范围部分重叠，并且在工作区的每个位置上都能由移动操作装置2安全地获取至少一个小区标记68。

作为特殊的特征，移动操作装置具有读取装置24，该读取装置具有与有用数据连接6相比更短、局部有限的获取作用范围8。读取装置24既适用于获取直拨标记4，也用于获取密钥标记5和小区标记68，或分配给各标记的编码。

在图2中示例性示出本发明的移动操作装置2，包括其重要和典型的部件以及数据技术的连接。

为了临时地产生与可控技术设备的数据技术的作用连接6，操作装置2具有相应的接口，尤其是适用于无线的数据技术连接的无线接口23。当然可替换的还可以进行相应的导线连接的数据技术连接，例如通过以太网，这也是常用的。

除了用于实际的有用数据连接6的接口23之外，读取装置24具有局部有限的获取作用范围8用于电子获取直拨标记4、密钥标记5和小区标记68。优选读取装置24结合所采用的标记4、5、8一起用于无接触的获取。

此外，移动操作装置具有按照紧急开关或停止开关38的类型专门实施的安全开关元件，它们具有公知的、在操作了的位置上以及通过一个或多个核准键39的机械闭锁结构。核准键39在可控技术设备的特殊运行类型中执行安全临界的操作期间一直由操作人员1操作，从而核准键39优选集成在移动操作装置2的抓取范围内，而且同时能用拿着移动操作装置2的手操作。如果为了根据不同的状况而不同地握持操作装置2或者为了让右撇子和左撇子都能进行人机工程学的操作而设置多个抓取区域，则通常为每个抓取区域配置一个核准键39。如在图中所示，安全开关元件38、39大都实施为双重回路，因此具有同时和独立触发的连接。

此外，移动操作装置2具有第一处理器或获取电路33，其继续独立地通过信号导线44获取安全开关元件38、39的操作状态或开关状态，并且将该状态编码到相应的数据电报中以便于通过有用数据连接6发送。

与其并行地设置第二处理器或获取电路35，其继续独立地、与第一处理器34无关地通过信号导线获取安全开关元件38、39的开关状态，并且将该状态编码到相应的数据电报中以便于通过有用数据连接6发送。

两个处理器或获取电路33、34同样可以彼此独立地通过数据导线41访问读取装置24，或获取由读取装置24产生的数据流。代替可由两个处理器独立访问的读取装置，当然还可以替换地设置附加的第二读取装置，而且两个处理器中的每个处理器分别独占地访问一个读取装置。

为了存放特殊的、在本发明的登录方法过程中通过读取装置24从直拨标记4或密钥标记5中读取的安全编码，分别向两个处理器或获取电路34、35分配独立的存储器36、37。

优选的，两个处理器34和35不同地实施，属于不同的处理器系列，使用不同的软件和不同的技术。由此保证，由于硬件或软件错误或基于外部的干扰影响而产生的单个错误不会同时影响两个处理器，也不能发送两个同时的和有错的数据电报，其中一个数据电报标识未操作紧急或停止开关或已操作了核准键。

通常，处理器或获取电路之一34功率较高地实施，而且除了获取安全开关元件38、39的操作状态之外还与移动操作装置2的其它外围部件通信，如用于响应地显示机器状态和过程状态的图形显示器26、用于转换灵活和高要求的操作概念的与该显示器26在结构上组合的对触摸敏感的屏幕27、键盘28以及各种模拟输入装置如操纵杆29或手轮30。还可以设置接口31以便于使用某个扩展模块。该扩展模块例如可以是可更换的存储模块，尤其是致密闪存、USB记忆棒或以太网网络卡类型的专用接口模块。这些高功率的处理器还进行至少一大部分通过有用数据接口23的、用于控制数据技术连接的可控技术设备或用于可视化相应数据和状态的通信。相应于所需要的功率带宽，第一处理器大多具有分离设置的、更大的存储器36。

第二处理器或获取电路35通常具有较小的工作功率，并优选只用于附加的和独立地获取和编码安全开关元件38、39的操作状态。简单的微控制器以及已经集成在该微控制器中的小工作存储器37就足以应付。可替换地，第二处理器的任务可以例如通过可编程的逻辑部件来完成。

当然替换地，两个独立的、比较简单的处理器或获取电路还可以仅执行与安全有关的功能，以可视化为主题的、涉及所需要的计算功率的费事的功能由第三处理器执行。

在第一和第二处理器或获取电路之间优选还存在直接的数据或信号连接42。通过这些连接可以在处理器34和35之间交换信息，以例如交叉对比独立获取的安全开关元件的操作状态，并执行参数化过程或初始化过程。同样可以通过该数据连接从两个处理器之一向另一个处理器传送涉及安全的消息，该消息本身相应地通过安全编码标识并通过检验信息封装，然后由所述另一个处理器或者直接通过接口23输出，或者嵌入由该另一个处理器产生的其它数据电报中并一起传送。

其它基于处理器的、具有对可靠性的要求提高了的常用部件的装置如监视狗定时器等等，都是专业人员非常熟悉的，为了更好地了解概貌就不再示出。

由于本发明的移动操作装置优选实施为无线数据耦合的移动手操作装置，因此设置相应的能量存储器25，尤其是电化学能量存储器。由此该移动操作装置的部件至少有时与导线连接的供电装置无关地运行，从而保证操作人员最大可能的移动性。为了更好地了解概貌在图2中没有示出部件与供电装置的连接，反正这种连接对专业人员是公知的。对用于更换或重新产生能量存储器25或相应地提供所存储的能量的部件也是如此。

在图3中举例和示意性地同样示出本发明的安全的数据传输接收机9及其重要和典型的部件。

数据传输接收机9具有接口46用于临时建立至移动操作装置的数据连接21，以用于至少传输安全临界的操纵或信号状态。在此可以沿着该数据连接21中间连接各种数据传输装置，如无线电波的发送装置和接收装置，网络部件等等。

还设置两个开关输出端形式的接口52和53，用于将数据传输接收机固定连线地信号技术的连接到可控技术设备的安全回路16中。接口52连接到紧急安全回路54中，接口53连接到核准安全回路55中。如所采用的接口的符号所示意的，这些接口优选向外沿着安全回路16的方向以及向内沿着控制装置的方向都双重回路地、安全地实施。可替换地，代替象征显示的电磁开关输出端，还可以设置类似的、安全实施的电子开关输出端，或者替换或补充开关输出端52和53地设置一个专门安全地实施的数据接口，用于固定连线地、数据技术地连接到专用安全总线。所示出的电磁开关输出端除了可靠的电气隔离之外还具有以下优点：在数据传输接收机的供电装置出现故障时紧急回路54和核准回路55安全地断开，由此可控技术设备立即转换为安全的运行状态。

类似于在本发明的移动操作装置中通过第一和第二处理器或获取电路安全地、双重回路地获取和编码安全开关元件的操作状态，数据传输接收机9中的电子数据分析也可以双重回路地实施。在此，安全临界的信号状态由至少一个第三和第四处理器或监控电路48和49相应于通过接口46接收的数据电报独立地、双重回路地接收、检验并连接到安全回路中。

向两个处理器48和49分别配置相应的工作存储器50和51。此外，分别向两个处理器配置非易失的存储器45，在该非易失存储器中防止供能故障地存储至少一个或多个登记的安全编码以及关于已存在的、至移动操作装置和必要时至特定操作人员的有效数据技术连接的相应数据。所有提到的存储器既可以实施为独立的组件，又可以固定地集成到各处理器中。

在两个处理器48和49之间还可以设置专用的数据或信号连接57用于交换信息。该连接例如可用于继续交叉对比独立确定的操纵或信号状态或者在组件内部确定的安全状态。

通过附加的数据接口47，数据传输接收机的两个处理器中的至少一个可以与控制装置10交换数据，该数据也不是涉及安全临界的控制命令和可视功能，而且不是由数据传输站点专门地分析和处理内容，而是仅在移动操作装置和控制装置之间传递。由此移动操作装置2和数据传输接收机9之间的安全的点对点连接也能用于这些数据。优选的，数据传输接收机9和控制装置10之间的数据连接19设计为唯一的点对点连接而没有其它用户或者具有固定设计的按照协议的点对点对应的保护。由此通过操作装置与数据传输接收机9的唯一和独占的对应同时还保证了与控制装置10之间唯一和独占的对应。

其它常见部件如网络部件和电流连接端子或用于处理器的监视狗定时器，为了更好地了解概貌性没有在图3中示出，并且其结构、连接和作用都是技术人员非常熟悉的。

在图4a、4b、4c中举例和示意性示出可电子获取的直拨标记4、可电子获取的密钥标记5以及小区标记68。

直拨标记4以及密钥标记5、小区标记68在该示例中按照RF应答器标记的类型实施(RFID)，它们通过具有局部有限的作用范围8和69的电磁无线连接7由相应构造的读取装置电子获取。

在信号技术上，直拨标记以及密钥标记和小区标记都相同地构造，并且除了无线数据接口63之外还具有简单的处理器62以及非易失存储器64。这些部件的供能未在图中示出，可以相应于普遍公知的现有技术例如按照所谓的有源应答器的形式借助电化学能量存储器进行，或者象同样公知的无源应答器那样从直接作用到发送/接收装置内的外部电磁无线电信号中获取。

非易失存储器61永久存储标记的特殊编码64。

直拨标记4在非易失存储器61中存储至少一个安全编码(安全ID)以及必要时存储用于移动操作装置至对应于直拨标记4的数据传输接收机的数据连接的抵制信息(RF地址，BA地址)，或者还存储位置或小区信息(位置ID)。该位置信息在此一方面可以表示涉及直拨标记自己的位置的信息，另一方面还可以是对应于该直拨标记的工作区的标识，该工作区通过相应的小区标记确定并可以电子获取地标识。由此在拨号位置和容许的工作区之间建立起可靠的对应。

对于密钥标记5来说，在非易失存储器61中存储至少一个用户标识(用户ID)，以及必要时存储其它关于所属用户或者用于验证PIN输入或密码输入或者关于所属的个人用户权利的信息。

对于小区标记68，在非易失存储器61中存储至少一个位置或小区编码(位置ID)。该小区编码可以对一个特定工作区内或一个制造区内多个相邻设置的小区标记都相同，或者在一个工作区内通过分发不同的、必要时附加的位置信息来实现更为详细的位置确定。如果小区编码只标识一个特定的工作区，则可以通过分配多个小区编码定义不同的、而且部分重叠的工作区。

非易失存储器61既可以一次性编程地实施而成，也可以多次编程地实施而成，或者携带由制造商固定、不可更改地预先给定的一对一的编码。

最后为规范起见，要指出为了更好地理解所述装置的结构，所述部件部分未按比例和/或放大地和/或缩小地显示。

上述示例性实施的装置适用于执行给出的方法。最后的权利要求与本说明书的导言部分一起被看作是说明书的一部分。

独立的、创新的解决方案所基于的任务可以从说明书中提出。

首先在图1、2、3、4a、4b、4c中示出的各个实施方式形成独立的按照本发明的解决方案的内容。其涉及的本发明的任务和解决方案参照对附图的详细描述。

附图列表

1用户，操作人员              34第一处理器或获取电路

2移动操作装置                35第二处理器或获取电路

3无线接收机                  36工作存储器

4直拨标记，登录上网标记      37芯片上工作存储器

5密钥标记，Key Tag           38紧急开关，多回路安全开关元

                             件

6有用数据无线连接            39核准键，多回路安全开关元件

7登录数据无线连接，读取连接  40数据导线

8最大登录距离                41数据导线

9安全的数据传输接收机        42数据导线

10控制装置，功能控制装置     43数据导线，外围总线

11机器，机器人，操纵器         44信号导线

12工件                         45非易失存储器

13运输装置                     46连接无线接收机的数据接口

14安全小区                     47连接控制装置的数据接口

15固定连线的紧急安全数据网络   48第三处理器或监控电路

16固定连线的安全回路           49第四处理器或监控电路

17传输方向的工件               50工作存储器

18控制和传感器信号             51芯片山工作存储器

19控制数据导线                 52紧急接口

20控制数据网络                 53核准键安全回路

21无线站数据导线               54紧急安全回路

22无线站数据网络               55核准键安全回路

23有用数据无线接口，无线模块   56数据连接

24登录数据，无线接口，读取装   57数据连接

置，读取模块

25电压供电装置，蓄电池         58数据连接

26输出装置，显示器             60工业制造系统，可控技术设备，

                               设备

27输入装置，触摸屏             61非易失存储器

28输入装置，键，键盘，开关元   62处理器

件

29输入装置，操纵棒             63发送器/收发器

30输入装置，手轮，电位计       64标记编码

31可选扩展模块的接口或可选数   65服务器，计算设备

据接口

32可选数据连接                 66处理区

33处理器，CPU，获取电路        67栅栏

68小区标记

69小区标记的获取距离

Claims (126)

1.一种移动操作装置，尤其是移动手工操作设备，用于影响可控技术设备的至少一个部件，

具有至少一个用于由操作人员输出控制命令的操作元件，

具有至少一个数据接口，用于在中间连接至少一个标准化数据传输装置而没有物理上确保安全的用户的唯一点对点对应的情况下临时建立与对应于所述可控技术设备的安全的数据传输接收机的数据技术作用连接，

具有第一处理器或获取电路，用于将信息、消息或信号状态编码到多个第一数据电报中，以及

具有第二处理器或获取电路，用于将信息、消息或信号状态编码到多个第一数据电报或多个第二数据电报中，

其中所述第一数据电报以及可能的第二数据电报用于经由所述数据技术作用连接传送到安全的数据传输接收机，

其特征在于，

所述移动操作装置具有读取装置，所述读取装置适用于获取定位在所述操作装置的相邻区域内的直拨标记、密钥标记或小区标记的至少一个可电子读取的标记编码，所述第一和第二处理器或获取电路可以经由所述读取装置访问所获取的所述至少一个标记编码，受所获取的所述至少一个标记编码影响地产生、标注或发送所述第一和/或可能的第二数据电报。

2.根据权利要求1所述的移动操作装置，其特征在于，所述至少一个数据接口被构造用于双向数据传输。

3.根据权利要求1或2所述的移动操作装置，其特征在于，所述至少一个数据接口被构造用于建立无线数据连接，尤其是根据无线LAN(WLAN)、蓝牙或ZigBee标准的无线数据连接。

4.根据权利要求1或2所述的移动操作装置，其特征在于，所述至少一个数据接口被构造用于建立与受导线约束的网络或与具有多个用户的总线系统的连接，尤其是与以太网的连接。

5.根据权利要求1至4中任一项所述的移动操作装置，其特征在于，所述操作装置具有电化学或静电的能量存储器，尤其是蓄电池、电池、燃料电池或电容器，用于至少暂时地向所述电子部件的至少一部分提供能量。

6.根据权利要求1至5中任一项所述的移动操作装置，其特征在于，设置至少一个可由操作人员操作的安全开关元件，用于输出安全关键的控制命令或用于释放或禁止可能引起危险的机器操作，所述至少一个安全开关元件的操作状态由第一和第二处理器或获取电路重复地获取，而且所获取的操作状态被编码到第一数据电报以及可能的第二数据电报中。

7.根据权利要求6所述的移动操作装置，其特征在于，所述至少一个安全开关元件被构造为电气多回路的，尤其是双回路的。

8.根据权利要求7所述的移动操作装置，其特征在于，所述至少一个安全开关元件被构造为被标识为符合规范的紧急开关，被构造为被标识以替换的机器停止开关，被构造为核准键或被构造为安全的操作类型选择开关。

9.根据权利要求6至8中任一项所述的移动操作装置，其特征在于，设置多个安全开关元件。

10.根据权利要求9所述的移动操作装置，其特征在于，设置多个、尤其是两个分别具有相同功能的安全开关元件，所述安全开关元件的操作状态分别由第一和第二处理器或获取电路获取，所获取的操作状态对应于安全开关元件的功能而由第一和第二处理器或获取电路逻辑组合成总操作状态，并且所述总操作状态被编码到第一数据电报以及可能的第二数据电报中。

11.根据权利要求6至10中任一项所述的移动操作装置，其特征在于，在第一和第二处理器或获取电路之间设置信号连接或数据连接，其中通过所述信号连接或数据连接传输用于交叉比较所获取的所述至少一个安全开关元件的各操作状态的信息。

12.根据权利要求1至11中任一项所述的移动操作装置，其特征在于，所述读取装置适用于由于位于所述读取装置的获取范围内的多个直拨标记、小区标记或密钥标记而基本上同时获取多个标记编码。

13.根据权利要求1至12中任一项所述的移动操作装置，其特征在于，读取装置适用于从单个直拨标记、小区标记或密钥标记中基本上同时获取多个不同的标记编码。

14.根据权利要求13所述的移动操作装置，其特征在于，读取装置被构造用于获取多个安全编码，尤其是用于获取第一安全编码和不同于第一安全编码的第二安全编码，并且所述第一处理器或获取电路以及第二处理器或获取电路分别采用不同的安全编码来标识数据电报。

15.根据权利要求1至14中任一项所述的移动操作装置，其特征在于，读取装置不具有用于中间存储所读取的数据的装置，或只具有受限的用于中间存储所读取的数据的装置，其中所述受限的用于中间存储所读取的数据的装置决不允许完全存储包含标记编码的完整的具有检验信息的数据组。

16.根据权利要求1至15中任一项所述的移动操作装置，其特征在于，其可访问地存储所读取的安全编码的存储器被构造为易失存储器，并且在所述操作设备关断之后不可复原地删除可能存储的安全编码。

17.根据权利要求1至16中任一项所述的移动操作装置，其特征在于，读取装置具有有针对性的获取特性。

18.根据权利要求1至17中任一项所述的移动操作装置，其特征在于，读取装置被构造为应答器-接收装置。

19.根据权利要求1至17中任一项所述的移动操作装置，其特征在于，读取装置被构造为条形码读取器。

20.根据权利要求1至17中任一项所述的移动操作装置，其特征在于，读取装置被构造为用于脉冲式或经过调制的光、尤其是红外光的接收器。

21.根据权利要求1至20中任一项所述的移动操作装置，其特征在于，读取装置通报小于与获取范围中密钥标记、直拨标记或小区标记的最小距离，或者提供相应的距离信息。

22.根据权利要求1至21中任一项所述的移动操作装置，其特征在于，读取装置通报超过与获取范围中密钥标记、直拨标记或小区标记的最大距离，或者提供相应的距离信息。

23.根据权利要求1至22中任一项所述的移动操作装置，其特征在于，所述第一和第二处理器或获取电路可以彼此独立地访问读取装置。

24.根据权利要求1至23中任一项所述的移动操作装置，其特征在于，所述第一和第二处理器或获取电路被构造为不同的，以及在必要时，相应的软件装置或编程的逻辑连接被构造为不同的。

25.根据权利要求1至24中任一项所述的移动操作装置，其特征在于，设置至少一个输出装置，尤其是能显示图形的显示器形式的输出装置。

26.根据权利要求1至25中任一项所述的移动操作装置，其特征在于，设置至少一个模拟或准模拟作用的输入装置，尤其是触摸屏、操纵棒、手轮或电位计形式的输入装置。

27.与根据权利要求1至26中一个或多个所述的移动操作装置结合使用的直拨标记、小区标记或密钥标记，具有至少一个可由设置在所述操作装置中的读取装置电子获取的、永久分配的标记代码。

28.根据权利要求27所述的直拨标记、小区标记或密钥标记，其特征在于，设置非易失存储器，其中在所述非易失存储器中可访问地存储所述至少一个永久分配的标记代码。

29.根据权利要求27或28所述的直拨标记、小区标记或密钥标记，其特征在于，设置发送装置，用于在短的传输距离上向位于相邻区域中的读取装置无线地发送短的数据序列。

30.根据权利要求27至29中任一项所述的直拨标记、小区标记或密钥标记，其特征在于，所述直拨标记、小区标记或密钥标记被构造为无源RF应答器或被构造为SAW应答器。

31.根据权利要求27至29中任一项所述的直拨标记、小区标记或密钥标记，其特征在于，所述直拨标记、小区标记或密钥标记被构造为有源的RF应答器。

32.根据权利要求27至29中任一项所述的直拨标记、小区标记或密钥标记，其特征在于，所述直拨标记、小区标记或密钥标记被构造为有源的红外线发射杆。

33.根据权利要求31或32所述的直拨标记、小区标记或密钥标记，其特征在于，除了永久分配的标记代码之外，还发送时间信息或顺序信息。

34.根据权利要求27所述的直拨标记、小区标记或密钥标记，其特征在于，所述至少一个永久分配的标记代码可光学扫描地设置。

35.根据权利要求34所述的直拨标记、小区标记或密钥标记，其特征在于，所述至少一个标记代码被构造为条形码。

36.根据权利要求27至35中任一项所述的直拨标记、小区标记或密钥标记，其特征在于，所述标记代码具有附加的检验信息，其中利用所述检验信息可以数据技术地检验是否正确和完整地获取了标记代码。

37.根据权利要求27至35中任一项所述的密钥标记，其特征在于，设置可用作防丢失装置的固定装置，尤其是固定环或固定夹。

38.根据权利要求27至37中任一项所述的密钥标记，其特征在于，设置印记、文字或可视觉识别的标识，尤其是签名或照片式图像，它们使得可以推断对应于所述密钥标记的人员。

39.根据权利要求27至35中任一项所述的直拨标记或小区标记，其特征在于，设置固定装置，所述固定装置使得可以与可控技术设备或该设备的特殊部件持续地空间地对应。

40.根据权利要求39所述的直拨标记或小区标记，其特征在于，在固定装置松开时，导致直拨标记以及小区标记的破坏或修改，这防止对所存储的安全编码和/或小区编码的进一步电子获取。

41.根据权利要求27至36、39、40中任一项所述的直拨标记或小区标记，其特征在于，设置印记、文字或可视觉识别的标识，  它们使得可以推断对应于所述直拨标记或小区标记的可控技术设备或相应部件，尤其是可以推断该设备的相应安全区。

42.根据权利要求27至36和39至41中任一项所述的直拨标记或小区标记，其特征在于，在所述直拨标记或小区标记与对应于它的安全的数据传输接收机之间设置受导线约束的数据或信号连接，其中至少一个可电子获取的标记代码可以通过所述数据或信号连接从所述数据传输接收机传送到所述直拨标记或小区标记。

43.一种安全的数据传输接收机，用于将移动操作装置安全地、临时地、数据技术地至少耦接到可控技术设备的安全回路，并在必要时还耦接到所述技术设备的控制装置，

所述数据传输接收机具有第一数据接口，用于在中间连接至少一个数据传输装置而没有物理上确保安全的用户的唯一点对点对应的情况下，建立与移动操作装置的数据技术作用连接；具有一个或多个用于将数据传输接收机连接到所述技术设备的安全回路中的安全接口；具有用于通过第一数据接口接收多个第一数据电报的第一处理器或监控电路以及用于同时接收多个第一数据电报和/或必要时用于通过第一数据接口接收多个第二数据电报的第二处理器或监控电路，

其特征在于，

分别为第一和第二处理器或监控电路分配可访问的存储器，其中在所述存储器中存储至少一个登记的允许的安全代码，所述安全代码对应于空间上对应于所述可控技术设备的直拨标记或小区标记，或者所述安全代码对应于分配给操作人员的密钥标记，

所述第一和第二处理器或监控电路分别彼此独立地通过对应于所存储的允许的安全代码的标记代码来检验所接收的第一数据电报以及可能的第二数据电报的唯一标识，并且在标识被确定时分析所接收的数据电报的信息或消息，并且经由至少一个安全接口，根据所述信息或消息产生用于安全回路的信号状态或数据，或将所述信号状态或数据馈入安全回路。

44.根据权利要求43所述的安全的数据传输接收机，其特征在于，所述可访问的存储器至少部分地被构造为非易失存储器，其中在所述非易失存储器中永久或准永久地存储所述至少一个登记的允许的安全代码。

45.根据权利要求43或44所述的安全的数据传输接收机，其特征在于，设置第二数据接口，用于数据技术地耦接到所述技术设备的功能控制装置。

46.根据权利要求45所述的安全的数据传输接收机，其特征在于，所述第二数据接口被构造用于产生与所述技术设备的控制装置的唯一且安全的点对点数据连接。

47.根据权利要求43至46中任一项所述的安全的数据传输接收机，其特征在于，所述数据传输接收机可以在结构上与所述技术设备的功能控制装置组合，尤其可作为模块置入所述控制装置的外壳内或串接到所述控制装置的外壳上。

48.根据权利要求43至46中任一项所述的安全的数据传输接收机，其特征在于，所述数据传输接收机在结构上和功能上直接集成到所述技术设备的功能控制装置中。

49.根据权利要求43至48中任一项所述的安全的数据传输接收机，其特征在于，所述数据传输接收机在结构上和功能上与无线接收机组合。

50.根据权利要求43至49中任一项所述的安全的数据传输接收机，其特征在于，所述数据传输接收机在结构上和功能上与直拨标记组合。

51.根据权利要求43至50中任一项所述的安全的数据传输接收机，其特征在于，用于连接到技术设备的安全回路中的安全接口具有多回路构造的接触装置，用于馈送核准键信号状态、紧急或停止信号状态和/或操作类型信号状态。

52.根据权利要求43至51中任一项所述的安全的数据传输接收机，其特征在于，作为多回路构造的接触装置的替代或补充，用于连接到安全回路中的安全接口还具有相应多回路构造的非浮动的信号输出端。

53.根据权利要求43至47中任一项所述的安全的数据传输接收机，其特征在于，用于连接到安全回路中的安全接口被构造用于连接到安全总线。

54.根据权利要求43至53中任一项所述的安全的数据传输接收机，其特征在于，在所述第一和第二处理器或监控电路之间设置信号连接或数据连接，其中通过所述信号连接或数据连接可以交换用于交叉比较从第一和可能的第二数据电报中分析的信息或消息的信息。

55.根据权利要求43至54中任一项所述的安全的数据传输接收机，其特征在于，所述第一和第二处理器或监控电路被构造为不同的，以及必要时相应的软件装置或编程的逻辑连接被构造为不同的。

56.根据权利要求43至55中任一项所述的安全的数据传输接收机，其特征在于，所述第一和第二处理器或监控电路可以完全与相应的另一个处理器或监控电路独立地向安全接口通报不安全状态，尤其是通报缺乏核准或触发的紧急状态或机器停止状态。

57.根据权利要求43至57中任一项所述的安全的数据传输接收机，其特征在于，所述第一数据接口被构造为无线接口，尤其是WLAN接口、蓝牙接口或ZigBee接口。

58.根据权利要求43至57中任一项所述的安全的数据传输接收机，其特征在于，所述在安全的数据传输接收机关断或无能量状态下，为连接的安全回路通报未操作核准键、已操作紧急开关或停止开关、或无效的操作类型选择。

59.一种用于将用户的指令授权安全地、临时地对应到操作装置的登录方法，其特征在于，

为用户分配密钥标记，其中所述密钥标记配备有用户标识形式的可电子读取的编码，并且必要时还配备有其它关于用户的信息，

在登录过程中，借助于设置在操作装置中的读取装置获取所述用户标识以及可能的其它关于用户的信息，检验所获取的用户标识的有效性和/或对用于释放操作装置的取决于授权的功能的授权，在确定有效性和/或授权时，释放取决于授权的功能，并且将所读取的用户标识作为有效用户标识登记到操作装置中。

60.根据权利要求59所述的登录方法，其特征在于，从密钥标记所读取的信息或标识被多个、尤其是两个处理器或获取电路彼此独立地获取和分析或检验，并且仅当所有参与的处理器或获取电路将条件识别为满足时，才认为该条件得到满足。

61.根据权利要求59或60所述的登录方法，其特征在于，为取决于授权的功能至少分配安全开关元件、尤其是核准键的功能。

62.根据权利要求59至61中任一项所述的登录方法，其特征在于，在确定用户标识有效之后，至少将有效登记的用户标识可访问地保存在操作装置的存储器中。

63.根据权利要求62所述的登录方法，其特征在于，所述有效登记的用户标识可访问地保存在操作装置的非易失存储器中。

64.根据权利要求59至63中任一项所述的登录方法，其特征在于，仅当在操作装置中事先没有登记任何有效的用户标识时才执行所述登录过程。

65.根据权利要求59至64中任一项所述的登录方法，其特征在于，在经过其中不在操作装置上进行任何操作处理或操作装置不登记任何操作处理的限定的时间段之后，使至少一部分取决于授权的功能的释放失效，并在从密钥标记重新成功地读取对应于所登记的有效用户标识的用户标识之后才重新释放。

66.根据权利要求59至65中任一项所述的登录方法，其特征在于，在登记有效的用户标识之后，继续以短的时间间隔进行读取尝试，以获取密钥标记中对应于所登记的有效用户标识的用户标识，并且对于在一个特定的限定时间段内无法获取该用户标识的情况，使至少一部分取决于授权的功能的释放失效，并在重新成功地获取用户标识之后才重新释放。

67.根据权利要求59至66中任一项所述的登录方法，其特征在于，分析所述读取装置所提供的、关于所读取的密钥标记的空间距离的信息，并在所确定的距离超过最大距离时认为所读取的用户标识无效，或无权释放取决于授权的功能。

68.根据权利要求59至67中任一项所述的登录方法，其特征在于，分析所述读取装置所提供的、关于与所读取的密钥标记的空间距离的信息，并在所确定的距离小于最小距离时认为所读取的用户标识无效，或无权释放取决于授权的功能。

69.根据权利要求59至68中任一项所述的登录方法，其特征在于，分析所述读取装置所提供的、关于多个同时位于读取装置的获取范围内的密钥标记的空间距离的信息，并且只进一步处理至读取装置的距离最小的密钥标记的数据和标识。

70.根据权利要求59至69中任一项所述的登录方法，其特征在于，在登录过程中，从密钥标记所读取的用户标识通过数据网络被发送到中央服务器，随后所述服务器将其它用户信息、尤其是用户姓名、用于验证密码输入的安全信息或用于用户选择地释放控制功能的授权信息传送到操作装置，并且必要时将其存储在操作装置中。

71.根据权利要求59至70中任一项所述的登录方法，其特征在于，在登录过程中，从密钥标记读取的其它用户信息，尤其是用户姓名、用于验证密码输入的安全信息或用于用户选择释放控制功能的授权信息被传送到操作装置，并且必要时将其存储在操作装置中。

72.根据权利要求59至71中任一项所述的登录方法，其特征在于，操作人员在登录过程期间借助于设置在操作装置上的输入装置输入密码或PIN代码，利用至少临时存储在操作装置中的安全信息检验是否准许所述用户输入，并且仅在确定准许所述用户输入时才释放取决于授权的功能和/或登记有效的用户标识。

73.根据权利要求59至72中任一项所述的登录方法，其特征在于，释放取决于授权的功能的范围至少部分地由对应于用户信息的各个授权信息确定。

74.根据权利要求59至73中任一项所述的登录方法，其特征在于，在登记的有效用户标识存在期间，始终或按照需要可在操作装置的输出装置上调用地输出关于相应操作人员或相应密钥标记的信息。

75.根据权利要求59至74中任一项所述的登录方法，其特征在于，所述登录过程通过操作人员在操作装置上的人工指令输入来触发。

76.根据权利要求59至75中任一项所述的登录方法，其特征在于，只要密钥标记进入读取装置的获取范围内，就自动启动所述登录过程。

77.根据权利要求59至76中任一项所述的登录方法，其特征在于，另外，作为替换，还设置用于在没有密钥标记的情况下登录的选择可能，但是所述选择可能只导致释放对于可控技术设备不具有与安全相关的作用的功能，尤其是只用于观察运行状态的功能。

78.一种用于安全地取消操作人员的指令授权与操作装置的安全对应的注销方法，其特征在于，

为用户分配密钥标记，其中所述密钥标记配备有用户标识形式的可电子读取的编码，并且必要时还配备有其它用户信息，

在注销过程中，借助于设置在操作装置中的读取装置至少获取所述用户标识被在必要时还获取所述其它用户信息，检验所获取的用户标识是否与所登记的有效用户标识一致，并且在确定一致时删除所登记的有效用户标识或将其标识为无效，并且取消对操作设备的特定的取决于授权的功能的释放。

79.根据权利要求78所述的注销方法，其特征在于，在确定不一致时，或者从密钥标记中或者基于手动输入特定授权信息而获取操作人员的特定授权，并检验有效性，并且在确定有效时删除所登记的有效用户标识或将其标识为无效，并且取消对操作装置的特定的取决于授权的功能的释放。

80.根据权利要求78或79所述的注销方法，其特征在于，所述注销过程通过操作人员在操作装置上的手动指令输入来触发。

81.一种登录方法，用于在中间连接数据传输装置、尤其是总线系统或网络，而没有物理上确保安全的消息源和消息宿的唯一的点对点对应的情况下，以及在中间连接永久地连接到安全回路中的安全的数据传输接收机的情况下，安全地建立移动操作装置至少相对于可控技术设备的安全回路、并且必要时还相对于技术设备的控制装置的临时的数据技术的作用连接，其特征在于，

通过移动操作装置的第一处理器或获取电路以及通过第二处理器或获取电路，借助于设置在移动操作装置中的具有局部受限获取范围的读取装置获取设置在可控技术设备的相邻区域中的直拨标记的至少一个可电子获取的安全编码，所获取的所述至少一个安全编码作为有效的安全编码被登记在移动操作装置中，并且被可访问地存储在存储器中。

82.根据权利要求81所述的登录方法，其特征在于，所述登录方法仅在事先没有登记任何有效的安全编码时才执行。

83.根据权利要求81或82所述的登录方法，其特征在于，确定或产生至少一个连接标识代码，所述至少一个连接标识代码作为有效的连接标识代码被登记在移动操作装置中，并被可访问地存储在移动操作装置的存储器中，所述至少一个连接标识代码与所登记的所述至少一个安全编码一起、并且在必要时还与其它数据一起共同在一个数据电报中被传送到安全的数据传输接收机，所述至少一个连接标识代码作为有效的连接标识代码被登记在数据传输接收机中，并被可访问地存储在数据传输接收机的存储器中。

84.根据权利要求83所述的登录方法，其特征在于，所述登录方法仅在事先没有任何有效的连接标识代码被登记在移动操作装置的存储器中时才执行。

85.根据权利要求83或84所述的登录方法，其特征在于，仅在事先没有任何有效的连接标识代码被登记在数据传输接收机的存储器中时才可以将有效的连接标识代码登记在数据传输接收机中。

86.根据权利要求81至85中任一项所述的登录方法，其特征在于，移动操作装置还从直拨标记中读取位置信息，并且该位置信息在必要时被传送到安全的数据传输接收机和/或传送到与数据传输接收机数据技术连接的控制装置，并且根据所述位置信息，在移动操作装置或安全的数据传输接收机或控制装置上释放或提供不同的操作和/或可视化功能。

87.根据权利要求81至86中任一项所述的登录方法，其特征在于，移动操作装置还从直拨标记中读取小区信息，所述小区信息标识对应于直拨标记的工作区，该小区信息被可访问地存储在移动操作装置中和/或传送到安全的数据传输接收机和/或与数据传输接收机数据技术连接的可控技术设备的功能控制装置。

88.根据权利要求81至86中任一项所述的登录方法，其特征在于，从移动操作装置将关于安全对应的操作人员的用户信息、尤其是用户标识和授权信息传送到安全的数据传输接收机和/或传送到与数据传输接收机数据技术连接的控制装置，并且在必要时在那里被可访问地存储在存储器中。

89.根据权利要求88所述的登录方法，其特征在于，传送到安全的数据传输接收机的用户信息、尤其是用户标识作为有效的用户信息被登记在数据传输接收机中，并且被可访问地存储在非易失存储器中。

90.根据权利要求89所述的登录方法，其特征在于，仅在事先没有任何有效的用户信息被登记在数据传输接收机中时，或在登录方法期间所传送的用户信息与已经登记的有效用户信息一致时，或与用户信息一起传送的授权信息具有用于取消已存在的登记的特定授权时，才结束所述登录方法，并且在移动操作装置和数据传输接收机之间建立数据技术的对应。

91.根据权利要求88至90中任一项所述的登录方法，其特征在于，根据传送给数据传输接收机的用户信息，在移动操作装置或安全的数据传输接收机或控制装置上释放或提供不同的操作和/或可视化功能。

92.根据权利要求88至91中任一项所述的登录方法，其特征在于，在将用户信息传送到数据传输接收机和/或技术设备的控制装置之后，通过本地地可调用地保存在数据传输接收机或控制装置中的比较或验证数据以及用户列表，检验用户信息的有效性，并在必要时加以补充。

93.根据权利要求88至91中任一项所述的登录方法，其特征在于，在将用户信息传送到数据传输接收机和/或技术设备的控制装置之后，通过采用中央地可调用地保存在服务器中的比较或验证数据以及用户数据库，检验用户信息的有效性，并在必要时加以补充。

94.根据权利要求88至93中任一项所述的登录方法，其特征在于，在将用户信息传送到数据传输接收机和/或技术设备的控制装置之后，通过访问本地存储的或者中央存储在服务器中的数据组，简档数据被加载到移动操作装置中，和/或在必要时被加载到控制装置中，其中所述数据组对应于用户，以及在必要时对应于技术设备或特定直拨位置。

95.根据权利要求94所述的登录方法，其特征在于，所述对应的被加载的简档数据还包含特定软件部分。

96.根据权利要求81至95中任一项所述的登录方法，其特征在于，移动操作装置还从直拨标记中读取地址信息或对应信息，尤其是无线地址、信道号码或IP地址，将它们存储在移动操作装置中，并且用于将所传送的数据电报从操作装置寻址到安全的数据传输接收机。

97.根据权利要求81至96中任一项所述的登录方法，其特征在于，安全的数据传输接收机提供关于相应安全回路和/或关于可控技术设备的信息，该信息被传送到相应的移动操作装置，并在那里在输出装置上被输出或被可调用地输出。

98.根据权利要求81至97中任一项所述的登录方法，其特征在于，移动操作装置具有唯一的设备标识，该设备标识被发送到安全的数据传输接收机，并在那里作为有效登记的设备标识被可调用地存储。

99.根据权利要求98所述的登录方法，其特征在于，在安全的数据传输接收机中，所发送的设备标识可调用地被存储在非易失存储器中。

100.根据权利要求81至99中任一项所述的登录方法，其特征在于，在移动操作装置和数据传输接收机之间交换同步信息，用于协调各自的装置本地的系统时间。

101.根据权利要求81至100中任一项所述的登录方法，其特征在于，仅当可控技术设备或其控制装置处于安全的特殊操作类型中时，所述登录方法才被执行或才可以被启动或结束。

102.根据权利要求81至100中任一项所述的登录方法，其特征在于，可控技术设备或其控制装置在登录方法结束时被切换到安全的特殊操作类型中。

103.一种运行方法，用于在中间连接数据传输装置、尤其是总线系统或网络，而没有物理上确保安全的消息源和消息宿的唯一的点对点对应的情况下，以及在中间连接永久地连接到安全回路中的安全的数据传输接收机的情况下，安全地运行移动操作装置至少到可控技术设备的安全回路、并且必要时到技术设备的控制装置的临时的数据技术的作用连接，其特征在于，

移动操作装置的第一处理器或获取电路以及第二处理器或获取电路产生数据电报，该数据电报用事先从直拨标记所读取的并且登记在操作装置中的安全编码或用借助于所读取的安全编码检验和登记的连接标识来标识，所述数据电报被传送到安全的数据传输接收机，在安全的数据传输接收机中，对应于登记在数据传输接收机的存储器中的安全编码和/或对应于借助于安全编码所检验和登记的连接编码，检验所接收的数据电报的标识是否有效，并且在确定标识有效时，对应于数据电报的信息内容设置用于安全回路的信号或数据，以及将该信号或数据馈入安全回路中。

104.根据权利要求103所述的运行方法，其特征在于，所述第一和第二处理器或获取电路重复地且彼此独立地获取设置在移动操作装置中的安全开关元件的开关状态，尤其是电气多回路构造的安全开关元件的开关状态，并将其编码到所产生的数据电报中。

105.根据权利要求103或104所述的运行方法，其特征在于，在第一和第二处理器或获取电路之间交换用于交叉对比独立确定的安全开关元件的开关状态的信息或信号，并且为了确定编码在数据电报中的开关状态而考虑该信息或信号。

106.根据权利要求103至105中任一项所述的运行方法，其特征在于，第一和第二处理器或获取电路彼此独立地产生和标识数据电报，并且在数据传输接收机中相应地由对应配置的第三和第四处理器或监控电路分别彼此独立地检验该数据电报，并且只要独立工作的第三和第四处理器或监控电路之一借助于所检验的数据电报确定不安全状态，就向可控技术设备的安全回路通报不安全状态。

107.根据权利要求103至106中任一项所述的运行方法，其特征在于，在第三和第四处理器或监控电路之间交换用于交叉对比从数据电报中所确定的安全状态的信息或信号，并且对于馈入安全回路中的信号或数据，考虑该信息或信号。

108.根据权利要求103至107中任一项所述的运行方法，其特征在于，在移动操作装置中产生数据电报时，还结合时间信息，并且所述时间信息在安全的数据传输接收机中检验数据电报的标识时用作附加的检验标准。

109.根据权利要求103至108中任一项所述的运行方法，其特征在于，在移动操作装置中产生数据电报时，附加地结合顺序信息，尤其是连续的编号，并且所述顺序信息在安全的数据传输接收机中检验数据电报的标识时用作附加的检验标准。

110.根据权利要求103至109中任一项所述的运行方法，其特征在于，在移动操作装置中产生数据电报时，附加地结合单独分配给操作装置的一对一的设备编码，并且所述设备编码在安全的数据传输接收机中检验数据电报的标识时用作附加的检验标准。

111.根据权利要求103至110中任一项所述的运行方法，其特征在于，当在安全的数据传输接收机中出现标识为有效的数据电报且该数据电报具有关于移动操作装置的核准键的操作状态的信息时，重新启动具有特定运行时间的定时器，并且在所述定时器期满时，设置用于连接到安全回路中的信号状态或数据值，以便通报未操纵的核准键。

112.根据权利要求103至111中任一项所述的运行方法，其特征在于，当在安全的数据传输接收机中出现标识为有效的数据电报且该数据电报具有关于移动操作装置的紧急开关或停止开关的操作状态的信息时，重新启动具有特定运行时间的定时器，并且在所述定时器期满时，设置用于连接到安全回路中的信号状态或数据值，以便通报已操作的紧急开关或停止开关。

113.根据权利要求103至112中任一项所述的运行方法，其特征在于，当在安全的数据传输接收机中出现标识为有效的数据电报且该数据电报具有关于移动操作装置的操作类型选择开关的操作状态的信息时，重新启动具有特定运行时间的定时器，并且在所述定时器期满时，设置用于连接到安全回路的信号状态或数据值，以便通报无效的操作类型选择。

114.根据权利要求103至113中任一项所述的运行方法，其特征在于，持续地获取位于读取装置的获取范围中的小区标记，读取被编码在所述小区标记中的小区编码，检验小区编码是否属于登记在移动操作装置或安全的数据传输接收机中的允许的工作区，并且在确定所获取的所有小区编码都不属于时或者对于不能获取小区编码的情况，禁止执行安全关键的控制命令。

115.一种注销方法，用于在中间连接数据传输装置、尤其是总线系统或网络，而没有物理上确保安全的消息源和消息宿的唯一的点对点对应的情况下，以及在中间连接永久地连接到安全回路中的安全的数据传输接收机的情况下，安全地取消移动操作装置至少相对于可控技术设备的安全回路、并且在必要时相对于技术设备的控制装置的临时的数据技术的作用连接，其特征在于，可访问地存储在移动操作装置的存储器和数据传输接收机的存储器中的登记的有效连接标识代码被从相应的存储器中删除或被标识为无效。

116.根据权利要求115所述的注销方法，其特征在于，登记和存储在移动操作装置中的安全编码从存储器中被删除或被标识为无效，其中所述安全编码从可电子获取的直拨标记中被读取。

117.根据权利要求115或116所述的注销方法，其特征在于，登记和存储在安全的数据传输接收机中的有效的用户信息被从存储器中删除或被标识为无效。

118.根据权利要求115或117所述的注销方法，其特征在于，移动操作装置的紧急开关或停止开关的事先刚确定的操作或激活状态被存储在数据传输站的非易失存储器中，并在移动操作装置注销之后，用于可控技术设备的安全回路的相应信号状态或相应数据值被结合或被馈入安全回路中。

119.根据权利要求115至118中任一项所述的注销方法，其特征在于，对应于移动操作装置的核准键的操作状态的信号状态或用于安全回路的相应数据在注销之后作为无效或未操作地被连接到或馈入安全回路中。

120.根据权利要求115至119中任一项所述的注销方法，其特征在于，注销过程通过操作人员在操作装置上的手动指令输入来触发。

121.根据权利要求115至120中任一项所述的注销方法，其特征在于，在经过其中数据传输接收机没有从移动操作装置接收到标识为有效的数据电报的特定时间段之后，自动启动所述注销方法。

122.根据权利要求115至121中任一项所述的注销方法，其特征在于，仅在直拨标记位于移动操作装置的读取装置的获取范围内，而且所获取的直拨标记的安全编码与事先登记在移动操作装置或安全的数据传输接收机中的安全编码一致时，才完全执行所述注销方法。

123.一种用于安全地启动移动操作装置的接通方法，其特征在于，在初始化过程中，用于容纳所读取的安全编码或用于容纳连接标识代码的所有存储器都被清除或用唯一的无效值初始化。

124.一种登录方法，用于在中间连接数据传输装置、尤其是总线系统或网络，而没有物理上确保安全的消息源和消息宿的唯一的点对点对应的情况下，以及在中间连接永久地连接到安全回路中的安全的数据传输接收机的情况下，将移动操作装置的操作人员的指令授权安全地至少对应到可控技术设备的安全回路、并且在必要时安全地对应到该技术设备的控制装置，其特征在于，根据权利要求59至76中之一或多个所述的登录方法建立操作人员的指令授权与移动操作装置的安全对应，以及根据权利要求81至100之一或多个所述的登录方法建立移动操作装置到可控技术设备的安全回路的安全的数据技术的作用连接。

125.一种注销方法，用于在中间连接数据传输装置、尤其是总线系统或网络，而没有物理上确保安全的消息源和消息宿的唯一的点对点对应的情况下，以及在中间连接永久地连接到安全回路中的安全的数据传输接收机的情况下，安全地取消移动操作装置的操作人员的指令授权相对于可控技术设备的安全回路、并且在必要时相对于技术设备的控制装置的安全对应，其特征在于，根据权利要求115至121中任一项所述的注销方法取消移动操作装置到安全回路的安全的数据技术的作用连接，以及根据权利要求78至80中任一项所述的注销方法取消操作人员的指令授权与移动操作装置的安全对应。

126.一种用于记录与安全有关的信息的记录方法，所述信息用于具有至少一个安全的移动操作装置和至少一个安全的数据传输接收机的系统中，所述数据传输接收机连接到可控技术设备的安全回路，并且在必要时连接到该技术设备的控制装置，其特征在于，数据由移动操作装置和/或由安全的数据传输接收机和/或由技术设备的控制装置传送到中央服务器，并由所述中央服务器配置时间信息地、可按时间顺序重建和调用地记录，其中所述数据涉及用户与移动操作装置和/或与可控技术设备的安全对应的建立和取消，和/或所述数据涉及用户对潜在的安全关键的操作过程的触发。

Images