JP2019030218A - 人型ロボットなどのサイバーフィジカルシステムにおける物理機能例外処理方式 - Google Patents

Abstract

【課題】サイバーフィジカルシステム（ＣＰＳ）はネット世界と物理世界を跨り、市民の生活支援等の社会課題を物理的に解決するサービスを提供するシステムであり、電車、自動車等の自動運転、各種ロボット、キオスク、人型ロボット等が含まれる。ＣＰＳでは、最終的なサービスを物理的に行うため、必ず電動機、アクチュエータ、モータを使う必要があり、モータの機械部と電子制御部を一体化した機電一体型モータが物理サービスには欠かせない。ロボット１体について６００者機電一体型モータを使うため、機電一体型モータの維持保全をする機構を考案しなければ、ロボット修理に多くの人的リソースが必要となる。【解決手段】サイバーフィジカルシステムの物理サービスを提供する機電一体型を含むモータの信頼性と保守性を向上するため、インバータシステムのパワートランジスタを保護する機能をデジタル的に構成する方法を提供する。【選択図】図３

Description

自動車のテレマティクス機能、自動車、電車等の自動運転、遠隔キオスク、産業用ロボット、ヒューマノイドロボット等は、ネットワークにつながり動作し、センサ、カメラ等の認識機能とアクチュエータ、サーボモータ、トランスデューサ等を介して物理作業を行うサイバー空間と物理空間を繋げるサイバーフィジカルシステムである。サイバーフィジカルシステムは、電動機を制御駆動するパワーエレクトロニクス、アナログ／デジタル（Ａ／Ｄ）変換器、デジタル／アナログ（Ｄ／Ａ）変換器、リチウムイオン電池、インダクタンス、キャパシタンス、制御用半導体、ネットワーク接続機能から構成される。本発明は、サイバーフィジカルシステムで起こる、多様な動作例外事象を検出し１マイクロ秒以下の瞬時の応答時間で最適な措置を行なうシステム関するものである。

従来システムでは、過電流または過電圧を制限するために断路するのが通例である。クレーン等では、応用面のニーズからパワーエレクトロニクスの故障を防ぐためには、断路せずに過電流または過電圧を制限するための非常保護回路装置も考案されている。電動機（モータ）においては、雷等による過度的な異常状態、衝撃や加速度の急激な変化、物理的衝突等による過電流、過電圧、過負荷、異常温度、電気的装置、電線または構成要素の短絡、ケーブル、伝送線、または回路網故障、断線、漏電、誤接続等の多様な問題が存在する。電動機が多用されるに従い、故障原因を瞬間的に分析し電流保護回路装置等を使い瞬時に応答対処する方法が特許文献２及び特許文献３等で開示されている。人型ロボット等の二本足歩行等のユースケースでは、本来不安定な物理世界ダイナミックスの物体制御が必要で動作中断もできない状況が多い。システム内でのモータの使われ方が複雑化多数化多様化するため、プログラム性を持たない高速固定論理や、マイコンによる応答時間の遅い動作例外検出対処技術の組み合わせでは対処できない領域にサイバーフィジカルシステム応用が到達している。このための機能安全等ニーズに応えるためにも新規技術が必要になっている。

特開２０１４-１２８１４６号公報 特開２０１１-２１７４７４号広報 特開２０１１-２１７４７３号広報

「環境放射線による電子装置の ソフトエラー・障害対策の現状と取り組み」、伊部 英史、日立評論、2014.07-08。 「EPS用駆動２系統MCU」、大橋正幸、DENSO TECHNICAL REVIEW Vol.21 2016。 「高速で高効率的な車載用モータ制御マイコン」、吉田和義他、東芝レビュー、Vol.69 No.8(2014) pp.9。 「モータ・ドライブ及び制御ソリューション」、テキサスインツルメント社、2014年、pp.7。

内閣府の進めている「Society 5.0」では、サイバー空間とフィジカル空間を高度に融合させることにより、潜在的なニーズに決め細かに対応したモノやサービスを提供することで人間中心の社会を作る構想を実現しようという構想である。サイバーフィジカルシステム（Cyber Physical System：以下、ＣＰＳ）は実世界（Physical System）の物理情報をシステムのセンサ情報から取り込み、サイバー空間（Cyber System）のコンピューティング能力と結びつけ、社会課題を実現する物理的サービスを提供するシステムである。

高齢化社会で直裁的に有用なサービスは市民生活を物理的に支援するサービスである。物理的サービスには危険が伴う。多くのアクチュエータ（モータ）を使ったシステムのサービスを有用なものとするためには、セーフティ（機能安全）の要求に応える必要がある。物理的サービスが普及すると、その後におこりうる副作用としてセキュリティ問題も懸念される。「つながる」ことの裏側にある潜在的なセキュリティ問題もはからず社会問題となる。本発明は、サイバーフィジカルシステムのセキュリティを内包するサイバーフィジカルシステムの提案をすることである。

図１に示すように、サイバーフィジカルシステムが実社会課題の実用解となるためには、５つの構成要件を満たす必要がある。１つは、自動運転、監視カメラ等で研究されているＡＩによる画像認識能機能と３次元空間理解機能である。２つ目は、高品位（例：高画質、高品質、高サンプリングレート）のセンサ機能である。３つ目はアクチュエータを瞬間瞬間の使用目的に適合した方法で駆動する技術である。４つ目はサービスコストを適切に配賦する課金サービスを護れるレベルのセキュリティ機能である。５つ目は、産業機械レベルのセーフティ機能である。本発明の目的は、このような要件を満たすサイバーフィジカルシステムの構成を提示することである。

サイバーフィジカルシステムとして登場が期待されるシステムの具体例として人型ロボットがある。国内モータ大手企業は、２０５０年には、社会福祉のため、世界人口の３倍くらいの１８０億台のロボットが働いており、２０３０年代から人型ロボット市場が立ち上がると予想している。米国国防省が研究開発を進める人型ロボットは、人間、人間の持ち物を護るために、人間の居住空間で動作する。２本足歩行が可能で、高度な反射神経と運動性能を持つ。例えば、船などの軍事施設内の消火活動などで消化や人命救助などの危険なタスクを使命とする。しかし、現在のところ、周囲の人間の安全を保証できる機能安全を達成しておらず、人間は最低でも人型ロボットとの間に３メートルの距離をおくルールなどが決められている。例えば、軍用人型ロボットを人間居住空間で自律的に行動させる実験を行うと、人間、人間の持ち物、居住施設を傷つける事象が頻繁に起こる。

人型ロボットのみならず、自動車の自動運転等での機能安全を達成するには、こうしたＣＰＳに価値序列を与えることが必要となる。科学小説家アシモフが考案したロボット工学三原則が知られている。
第一条 ロボットは人間に危害を加えてはならない。また、その危険を看過することによって、人間に危害を及ぼしてはならない。
第二条 ロボットは人間にあたえられた命令に服従しなければならない。ただし、あたえられた命令が、第一条に反する場合は、この限りでない。
第三条 ロボットは、前掲第一条および第二条に反するおそれのないかぎり、自己をまもらなければならない。
出典：『われはロボット』アイザック・アシモフ著、小尾芙佐訳（1983年）

碁、将棋、画像認識、電車、自動車の自動運転等の応用で目覚ましい進歩を遂げている画像認識等の人工知能（ＡＩ）技術を活用し、２０３０年には、ネット通信でクラウドＡＩから運行支援情報や機械学習情報を得ながら、居住空間中の空間認識能力や自律行動能力を備え、人間の生活支援等に適用できる人型ロボットが完成したと想定する。「第一条：ロボットは人間に危害を加えてはならない。また、その危険を看過することによって、人間に危害を及ぼしてはならない。」「第二条：ロボットは人間にあたえられた命令に服従しなければならない。ただし、あたえられた命令が、第一条に反する場合は、この限りでない。」という原則を実装することも可能であろう。しかしながら、人体、所有物、居住施設、公共施設で物理的社会課題を解決する人型ロボット等のサイバーフィジカルシステムで機能安全を担保するには、システムの中央制御装置に機能安全を実装するのみでは不足で、物理世界機能を実現するアクチュエータにも機能安全を分担させる必要がある。

本発明では人型ロボット等のサイバーフィジカルシステムに使われるモータ機械部とモータ電子制御部とのネットワーク機能を一体化した「機電一体型モータ」を電子制御する半導体の構成方法とこれに使われる電子駆動制御方式を開示する。モータを「機電一体型」とすることでワイヤーハーネス（電源供給と制御用の体内電線）重量を減らすことができ、機能分担が効率化される。機電一体型モータを自律性を持った１個のサイバーフィジカルシステム見立てると、人型ロボット全体が自律分散型システムとなり、モータは中央処理装置と通信しつつアクチュエータ（モータ）を駆動する自律的なシステムとなる。自律分散型制御の方が、複数システムが同時に冗長に機能を実現するので、異常状況を検出するのも容易となり機能安全を実現しやすい。

機電一体型モータが誤動作すると人災の可能性があるので、アクチュエータを駆動するモータ電子制御部には、高い機能安全性を実装する必要がある。動作前に、モータの欠相故障や短絡故障等の接続故障、インバータ部（スイッチ素子）の故障、リレーと整流ダイオードの故障、機械ブレーキの故障、さらにはデジタル半導体素子に結線損傷や永久故障がないことを確認する。

デジタルＬＳＩ回路において、他の故障に比較して最も高い頻度で発生するのは環境放射線が起因するソフトエラーが引き起こすデジタル回路の偶発的反転である。機能安全上を徹底するためには、モータ電子制御部で生じたソフトエラー起因の偶発的反転をできる限り検出し修正する必要が生じる。

インバータ用パワートランジスタの電流をあらかじめ設定した１つの閾値と比較し過電流を検出する回路を設け、閾値を電流が超えた場合インバータ部パワートランジスタのドライブをオフする、保護論理をマイコン処理と並列に装着する方式は古くから知られている。しかしながら、インバータ用パワートランジスタの過電流は様々な要因とシナリオで起こるので、一律に電流閾値を超えるという１つのクライテリアで画一的にインバータ用パワートランジスタを護れる応用も存在するであろうが、人型ロボット二本足走行のような本来不安定なシステムを制御することが必要な応用では機能を損なう閾値を設定するか、インバータ用パワートランジスタ破壊を容認するかの二者択一になってしまう、近年のシステムでは状況分析をしてよりき目細かい制御をするニーズがある。

毎分１２００００回転する超高速モータですら、電子制御部の速度に比較してモータ機械部は遅い。モータ機械部の動作不具合検出と破壊予防に対してはＣＰＵで処理すれば十分間に合う。毎秒２０００回転＝毎分１２００００回転では、モータ機械部は５００マイクロ秒で１回転する。モータ電子制御回路のインバータ部パワートランジスタは１マイクロ秒過電流が流れれば破壊される。サブマイクロ秒の動作不具合検出と破壊予防対処は必須である。また、モータ電子制御部（インバータ回路）の過電流の原因は複数ある。ロータ回転の阻害、電気ブレーキシステム等との関連での誤ったパワーオン順序、誤ったシャットオフ順序、サージ電流、ロータの高速回転、等、故障発生に至るシーケンスは複数ありメカニズムは複雑であるが、マイクロ秒以下で不具合検出ができれば、電子制御回路破壊の多くを救済できる。過電流等がなければ半導体の動作寿命は長い。エレベータ用モータ応用でインバータ電子制御部の故障が頻繁に起こるので、解析していくと電子ブレーキを動作させたまま、モータを動作させていたことが判明し、これが起こらないようにマイコンプログラムを工夫したところインバータ電子制御部の故障がほぼゼロとなったという報告もある。

自動車応用の場合、安全性を重視し故障を容認する。部品交換のシステムが存在するからだ。運転者が、タイヤが路肩にぶつかった状態で電子ステアリングを据え切りした場合、インバータの過電流をあえて見過ごす。６００個機電一体型モータが組み込まれる人型ロボット等では状況が異なる。モータ故障を許容すると維持保守費が高騰し、経済性がなくなり、サービスが成り立たなくなる。「馬鹿力」という言葉があるが、ロボットが重いものを持ち上げるときと、人と握手する場合では、同じモータの駆動方法に違いがある。その時の状況によって、動作不具合検出と破壊予防のシナリオも異なる。

アシモフのロボット工学三原則「第三条 ロボットは、前掲第一条および第二条に反するおそれのないかぎり、自己をまもらなければならない。」に対応し、人型ロボット応用では、構成する６００個のモータの動作機能の故障予防も必須要件である。モータ１個の年間平均故障率がＮパーセントでも、６００個のモータのシステムではＮ×６００パーセントとなる。人型ロボットは機械的、電気的に複雑なので、その信頼性技術を更新しないと信頼性に問題が出る。少ない人的資源で、市民生活の福祉の一環である物理的サービスを補填するために人型ロボットを造るのだが、このロボットを維持保全するために多くの人的労働力を投入することが必要となるのでは、本来の人手不足という社会課題が解決できない。このため人型ロボットでは故障予防がとても重要である。

パワートランジスタが破壊する原因となるメカニズムは多様である：（１）モータ負荷（ロード）が増えるとモータのコイル電流が増加し、過電流によりパワートランジスタが破壊する。（２）単一イベントバーンアウト（Single Event Burnout）によりパワートランジスタに過電流が生じ破壊する。（３）雷等による過度的な異常状態、衝撃や加速度の急激な変化、過電流、過電圧、過負荷、異常温度、電気的装置、電線または構成要素の短絡、ケーブル、伝送線、または回路網の故障、断線、漏電、誤接続等の問題が存在する時。これらが故障要因となる。自動車の電子ステアリングシステムでは、機電一体型モータでは、頻繁に起こる故障要因は、モータ制御半導体であるインバータ用パワートランジスタの過電流による破壊である。モータのコイル電流は、力学負荷（トルク）が増えると激増する。モータがスタック状態にすると、インバータ用パワートランジスタの過電流による破壊が起こることがある。破壊が起こるのに必要な時間は１マイクロ秒以下が目安と言われる。マイコンでは１マイクロ秒の１０分の１以下、つまり１０〜１００ナノ秒という応答時間で、上記（１）〜（３）のような状況を分析し、即座に対処することは難しい。マイクロ秒以上の時間がかかると、インバータ用パワートランジスタの過電流による破壊が起こる。

自動車のモータ応用では、ユースケースを絞り込み、モータ機能の使われ方を管理することで安全性を担保できる。自動車用エンジン制御用アクチュエータを駆動するモータ電子制御、電気自動車用動力モータでは、モータが駆動する機械部可動部分が人間の居住空間と物理的に隔離されている。であるがゆえにモータが故障しても乗員や周囲の歩行者の安全が確保される。乗員の居住空間にはモータ動作が影響を及ぼすことはない。モータの誤動作が起こった場合にも、直裁的に人災に繋がらない。窓の自動開閉、シート移動、エアバグ起動、等でも、モータ電子制御でアクチュエートされる可動部分が人間の居住空間にあるが、居住空間の物理空間に鑑みて、可動部分動作範囲を規定することで人間の安全性を管理する。初期の機能で人災事故が有ったが、現在までに因果関係が分析され、利用シナリオが絞り込まれている。これに対して、人型ロボット等では、人間居住空間をあらかじめ規定することができないため、そのアクチュエータの駆動方法、および動作例外の規定についても多様なシナリオで動作例外を検出する必要がある。

人型ロボット応用等に使われるアクチュエータを構成する機電一体型モータは、自律性を持つサイバーフィジカルシステム（ＣＰＳ）としてみなせる。機電一体型モータは中央処理装置と体内ネットワークを介して通信する。ロボットの脳に当たる中央処理装置は、ネットワークを介してコマンドを機電一体型モータに発信し、モータ駆動を指示し、モータ駆動状況の情報を得る。本発明の機電一体型モータでは、既存の過電流検出用のバイパス論理回路による高応答動作例外対処、マイクロプロセサのＣＰＵによるきめ細かい動作例外対処に加えて、モータの動作不具合分析対応をサブマイクロ秒で行うＣＡＭ, ＲＡＭ、ノンボラタイルメモリ、レジスタ等に保存されたデータで規定される条件と、有限状態機械論理（ＦＳＭ）を含んだ論理（コプロセサ）で動作不具合条件を分析しマイクロ秒ないしはそれ以下の時間で対応する。動作例外の検出分析と対処を複合的に柔軟かつ高速に検出するのである。人型ロボットの人災予防には、機電一体型モータのモータ電子制御部でも動作不具合を管理することが必要である。

モータ電子制御部は、１つのサイバーフィジカルシステムを形成し、実時間機能安全マイコン、物理世界動作機能例外検出機能、セキュリティ機能、基本周辺機能を備える。システムブート、ストーレージ用ノンボラタイルメモリを備える。ネットワーク機能を介してサイバー世界と繋がることができ、アナログ回路や周辺ハブ論理を介してフィジカル世界と繋がる。デジタル中央機能として、ネットワーク応用プロセサ、実時間処理を行う機能安全マイコン、プログラマブルな動作例外検出機能、セキュリティ機能、基本周辺機能を持つ。公開鍵暗号を使い本ＣＰＳの生涯鍵管理を行い、デジタル中央機能内のセキュリティ機能を使いＣＰＳのネット通信セキュリティ、物理セキュリティを確保する。サイバー・物理世界を包括する応用に適した節電ＡＰＩを備える。

動作例外検出機能ブロックを説明する。プログラマビリティを持たせるためにマルチポートＲＡＭ、ＣＡＭ、ノンボラタイルメモリ、レジスタ等のメモリ素子を使いシステム応用に合わせ動作例外検出方法をプログラムできる機能を持たせる。この方式により、動作例外検出をサブマイクロ秒で実施し、さらにそれをシステムに反映することができる。

このプログラム可能な動作機能例外検出対処モジュールをサイバーフィジカルシステムに使えば、通常の実装技術を持ってすれば、例外検出に２０サイクルから５０サイクル程度で機能例外を検出できる。動作例外検出モジュールの動作周波数を１００ＭＨｚから５００ＭＨｚとすると、４０ナノ秒から５００ナノ秒程度の応答時間で機能例外状況を分析し、記録したパターンに該当する必要な処理を実施できる。この高速性により、インバータ部分のパワートランジスタの破壊を予防できる。パワートランジスタが過電流等による破壊に耐えられる時間は１マイクロ秒前後とされる。

この動作機能例外検出対処モジュールを使うと、図６Ａの５０９として示したバイパス論理回路に比較して、応用の目的を損なわずによりきめ細かくパワートランジスタの破壊を予防することができる。条件遷移シーケンスにより機能例外を定義できるので、応用の性質、使用するパワー電子素子、電圧、電流等の素子の使用環境、モータの特性、コイルの破壊特性、等を考慮して、その応用に最適な条件で例外を認識し、擬似例外を効果的に排除できる。

物理的生活支援用サイバーフィジカルシステム（ＣＰＳ）要件定義 サイバーフィジカルシステム（ＣＰＳ）構成 モータ（アクチュエータ）電子制御方式 人型ロボットトルソ部構造 人型ロボットアクチュエータ 従来モータ電子制御の動作例外対処方法 人型ロボット応用モータ電子制御の動作例外対処方法 ワンチップ型ＢＬＤＣモータ電子制御素子での構成例 モータ電子制御ソフトウエア構成 モータ動作例外電子検出モジュール 動作タイミングチャート データ内容で選択可能なメモリブロック-コンテンツアドレッサブルメモリ（ＣＡＭ）での構成例 落雷時サージ電流波形例 動作例外電子検出コプロセサ情報エンコード例 動作例外電子検出コプロセサ情報エンコード例-データと時間情報のエンコードフォーマット コプロセサにおけるＣＡＭ比較方法と周辺論理例 動作不具合例外要因と対処処理方式

発明を実施するには図７に示したようなワンチップ型で構成することができる。図２に示した複数チップによる構成とすることもできる。

図３にモータ制御信号の流れを記す。モータ動作例外検出コプロセサ８０５の不具合例外検出に使う情報をＣＰＵ８０７を介しＡＩによる機械学習機能８０８に送付する機能を持つ。機械学習させることもできる。ＡＩは人型ロボットシステム中に存在してもクラウドに存在しても良い。

図４に、アメリカ海軍の資金で、バージニア工科大学が設計した船上火災自動消火活動用ロボットSAFFiRの腰、太腿、膝の部位を後ろから写した図を示す。左太腿外側アクチュエータ５０２は、骨盤左外側関節５０５と左外側膝間接５０７を駆動ポイントとする。左太腿内側アクチュエータ５０１は、骨盤左内側関節５０６と左内側膝間接５０８を支点として駆動する。これらの２つのモータにより前後、左右の２つの運動自由度を確保している。右太腿も同じ構造であり、こちらも前後、左右の２つの運動自由度を確保している。人型ロボットSAFFiRでは、３０ｍｍ口径のＢＬＤＣモータを使いスピンドル（ネジが切ってあるシャフト）を回転させてアクチュエータを伸縮させる。アクチュエータは人間の筋肉の伸縮を模擬する。ロボットは人間の体を模擬することで、人間のフォームファクタ（体格）を踏襲し、人間の居住空間内で、人間が行う仕事を代行できる。人型ロボットSAFFiRの場合、身長１８０センチ、体重６４キログラムとし、米国男性の典型的な体格、重量に合わせた。SAFFiRの体重は、３０分間の戦場での消火活動を行えるだけの電池の重さを含む。

人型ロボット用アクチュエータ実装ついて説明する。図５に、ロボット用超小型アクチュエータの構造を示す。大きくは、モータ機械部４０２、モータ電子制御部４０９、減速用ギアボックス部４０１、スピンドル４０３、スピンドルナット４０４よりなる。モータ機械部４０２、電子制御装置４０９、減速用ギアボックス４０１は互いに固定されており、これの右端を１つの駆動支点とする。スピンドルナット４０４をもう１つの駆動支点とする。モータ４０２が回転するとこれが減速用ギアボックス４０１に伝達され、減速され増強されたトルクがスピンドルを回転させる。スピンドルにはネジ溝が切ってあり、回転方向によりスピンドルナットは図５で左右に移動する。これによりアクチュエータの長さが短縮したり伸張したりすることでロボットの運動をモータが駆動できる。超小型のアクチュエータ商品として、モータ４０２、減速用ギアボックス４０１を合わせ口径６ｍｍ、長さが２２．５ｍｍの大きさを持ち消費電力０．３Ｗのアクチュエータが市場に存在する。この場合スピンドルナットの移動速度は毎秒１５ｍｍ程度である。モータ機械部４０２には、ホールセンサ４１１、温度計４０８、ギアボックス部４０１には、ＭＥＭＳマイク４０５、加速度計４０６、温度計４０７、のセンサを装備する。これらのセンシング情報は、配線４１０を介してモータ電子制御部４０９に伝達され、動作運転状況のモニタリング、故障不具合要因解析に活用される。各センサは温度グリースや特殊樹脂を使い、ギアボックス部４０１やモータ機械部４０２に密着させ、対象モータ部分の情報を効率よく取得できる。

モータ電子制御での動作故障不具合の従来の対処方法を図６Ａ、本発明が提唱する方法を図６Ｂに記す。人型ロボット用モータ電子制御での動作故障不具合への対処の仕方５０１は、大きく４つに分かれる。最も迅速に対処しなくてはならない故障は電気的に装置故障を防止するナノ秒からマイクロ秒以下で対応が必要なものは直接電気回路で行う。この方法は現在でも行われており公知で有る（５０９）。さらに、マイクロコントローラ等で動作例外処理を検出対処する方法も公知で有り、数百マイクロ秒、ミリ秒での応答性を確保できる。これを５０３として示す。さらに、ＡＩによる動作例外認識予兆認識を含む動作例外検出処理も提唱されている。これを５０４として示す。これらに加えて、本発明では、ＣＡＭ等のメモリを含んだコプロセサによりモータ等のデバイスの複合的な動作例外の検出を1マイクロ秒以下で行う方法を開示する。これを５０３に示す。

図７に、人型ロボットの指などに使われる超小型モータの制御に使うワンチップ型のブラッシュレスＤＣ（ＢＬＤＣ）モータ電子制御チップのブロック図を示す。このシステムは、図面右にあるＢＬＤＣモータ機械部に示された１チップ（６１）で構成され、この１チップにＩ２Ｃ、ＳＰＩ、ＵＡＲＴ、ＣＡＮ ＦＤ等のシリアルインタフェースを介してモータ制御シリアル通信コマンドを送ることにより、モータ６２の回転状態を電子制御することができる。２０３０年のＢＬＤＣモータが５００から６００も使うロボットでは、シリアル通信よりはパケット方式のネットワーク通信を使うこともあるだろう。ドローン等の２０１０年代の応用ではシリアル通信が支配的である。その時代には、イーサネット（登録商標）制御や、応答時間制限等のあるイーサネット（登録商標）制御を備えることとする。モータ制御シリアル通信コマンドにはモータの状態等をモニタする機能もある。人型ロボットの中央処理用プロセサからシリアル通信することでロボットの各所の状況を知ることもできる。

チップ６１の左側にある点線で囲まれた部分全体がデジタルマクロセルコア１０５（チップ内のブロック）であり。マイクロコントローラに見られる機能のデジタル部分が１０５に集約してある。チップ６１の右手にはブラシレスＤＣ（ＢＬＤＣ）モータ機械部６２があり、Ｕコイル５７、Ｖコイル５８、Ｗコイル５９がスター状にチップ６１のＵ端子６４、Ｖ端子６５、Ｗ端子６６に接続されている。図７では、ＢＬＤＣモータ機械部はニュートラルポイント（中立点）を持ち、これがチップ６１のニュートラルポイント（ＮＰ）端子１３８に接続される。ＮＰ端子はチップ内部のアナログデジタル変換器のレファレンス電位を供給している。多くのＢＬＤＣモータは、ニュートラルポイント配線をしていないが、その場合には、Ｕ６４、Ｖ６５、Ｗ６７端子に抵抗と容量をつないで仮装ニュートラルポイントを作り、これをチップ６１のニュートラルポイント（ＮＰ）端子１３に接続することもできる。

図７では、ホールセンサ６３を持ったモータを想定している。ホールセンサを３つもち、ロータの位置極めを正確にしたいロボット応用を想定しているからである。図４では、ホールセンサがアナログ出力と想定し、チップが３．３Ｖ端子５０から参照電圧を出すようにしてある。ホールセンサ５４、５５、５６の３つの入力をＨｕ端子５１、Ｈｖ端子５２、Ｈｗ端子５３にアナログ入力し、これをアナログデジタルコンバータのホールド回路４７、４８、４９で測定して、この情報を元にＣＰＵ７、８の制御でパルス幅モジュレーションＰＷＭ１１を操作して、モータ機械部６２のコミュテーションを行う構造としている。多くの市販のホールセンサを装備するモータでは、中にシュミットトリガーを持ち、ホールセンサはデジタル信号を出力する構造にしてある。その場合には、３つの入力をＨｕ端子５１、Ｈｖ端子５２、Ｈｗ端子５３は汎用Ｉ／Ｏ（ＧＰＩＯ）として設定することができる。

チップ６１は、ホールセンサがないセンサレスＢＬＤＣモータもサポートできる。端子ＮＰ１３８を参照電圧として、Ｕ６４、Ｖ６５、Ｗ６６の相対電位をアナログデジタル回路３４、３５、３６で測定できる。さらにバッテリ電源ＶＢＡＴ６６の電位すなわちＶＢＡＴ端子７０の電位を参照することにより、ＶＢＡＴ６６からＵ６４、Ｖ６５、Ｗ６６に至る抵抗６７、６８、６９の電圧降下から、ＭＯＳＦＥＴ１２９、１３０、１３１に流れる電流も算出することができる。抵抗１００、１０１、１０２の数値が一定であるため、Ｕ６４、Ｖ６５、Ｗ６６とグラウンド間の相対電位をアナログホールド回路３７、３８、３９で測定することでＭＯＳＦＥＴ７６、７７、７８に流れる電流も測定できる。これらの情報を総合して広い回転数域の逆起電力Back-EMFを測定することができる。センサレスＢＬＤＣモータとしてコミュテーションを行うことができる。

ＢＬＤＣモータ機械部の下に、アクセラロメータ１４２や、２個のアナログＭＥＭＳマイクロフォン１４０、２個の温度センサ１４１が簡易的に描かれている。これらは、モータやギアボックス等の状態をＲＩＳＣ ＣＰＵ７、８やコプロセサ２１（図４中ではＤＦＤＣコプロセサと書いてある）がアクセスできるようにするためである。チップ６１の実施例では、ボディダイオードが付随した６個のコイルドライバ用ＭＯＳＦＥＴ（１２９、１３０、１３１、１３２、１３３、１３４）がＢＬＤＣモータを駆動する。これらの６個のコイルドライバ用ＭＯＳＦＥＴは、Ｈｉ、Ｌｏサイドを持つゲートドライバ４２、４３、４４により駆動される。ゲートドライバ４２、４３、４４は、ＰＷＭ１１によりコントロールされる。ＰＷＭの波形幅と、コミュテーション用のオンオフは、ＣＰＵによりコントロールされている。

フィールドビルトインテストユニット（Ｆ−ＢＩＳＴ）１は、ＣＰＵをテストすることができる。システム用のフィールドビルトインテスト（Ｆ−ＢＩＳＴ）２では、ＣＰＵとマイコンブロック以外の部分のセルフテストを実施できる。はじめとしたチップ全体のデジタル部全体のテストを行うことができる。製造工程でウエハができた後、プローブテストをする時使う。ウエハをダイシングしてペレットとしこれをパッケージに封じた後にもテストを行う。この自己診断機能は、その２回に渡って使うことができる。Ｆ−ＢＩＳＴでチップ論理ゲートの良し悪しをチップ自身でテストする。このためにテスト用スキャンパスを設計時に作り込んでおく。回路中にある数百万のゲートをテストするために、期待値データをチップ上に搭載してスキャンテストを実施し製造時のゲート故障をくまなく検出する。車載応用等の機能安全を要求される応用のために、チップが通電されるたびに、外部ピンであるＦ−ＢＩＳＴ Ｉ／Ｏｓ １２２や、ＳＦＢＩＳＴ Ｉ／Ｏ １２３からＦ−ＢＩＳＴを起動しテスト結果をＬＥＤに表示すしたりマスタープロセサからテスト結果を知ることができる。それ以外に、ＣＰＵからＩ／Ｏレジスタを介してＦ−ＢＩＳＴ １やＳＦ−ＢＩＳＴ ２を起動してチップ全体機能の論理機能が正常に動作しているかを毎回チェックすることもできる。このような機能は欧州の機能安全規格で要求仕様となっている。

ＲＩＳＣ ＣＰＵ ７とＲＩＳＣ ＣＰＵ ８、ＤＭＡコントローラ（ＤＭＡＣ） ６は、ＡＨＢという業界標準規格のチップ内インターコネクト（図４の３）のマスターとして定義されている。また、ＲＩＳＣ ＣＰＵ ８、ＲＩＳＣ ＣＰＵ ９、ＤＭＡＣのうち１つは、ＡＨＢを介してフラッシュメモリ５に毎サイクルアクセスできる。これらのどれがフラッシュメモリにアクセスできるかはバスアービタが決める。バスアービタはバスマスターにプライオリティをつけたり、ラウンドロビンといって交代でバスを獲得できたりすることもできる。ＲＩＳＣ ＣＰＵ ７と８のどちらかを止めてＤＰＲＡＭ ４にアクセスする。ＡＨＢには、もう一つの業界標準規格のチップ内インターコネクトのＡＰＢインターコネクトが結合される。ＲＩＳＣ ＣＰＵ ７とＲＩＳＣ ＣＰＵ ８、ＤＭＡコントローラ（ＤＭＡＣ）はＡＨＢインターコネクトにマスターとして結合する。ＡＨＢバスはＡＰＢバスに変換され、ＡＰＢバスに、ＵＡＲＴシリアル１２、コンペアマッチタイマ１３、ウオッチドッグタイマ１４、CAN FD Extension１５、ＳＰＩ／Ｉ２Ｃ １３５、プラットフォームレベル割り込みコントローラ（ＰＬＩＣ）９、パルスウィズモジュレータ（ＰＷＭ）１１、セキュアコプロセサ１７、ＡＤ変換器２８がスレーブとして接続する。インサーキットエミュレータ（ＩＣＥ）１０は、ＲＩＳＣ ＣＰＵ ７、８上で動作するソフトウエアのデバッグをする際に便利なハード機能である。インサーキットエミュレータ（ＩＣＥ）１０には、トレース機能を持たせる。トレース機能をエネーブルすることもできる。プラットフォームレベル割り込みコントローラ（ＰＬＩＣ＝Platform Level Interrupt Controller）は、マルチＣＰＵ構成に対応した割り込みコントローラである。割り込みソースとなる各デバイスの割り込みを、ＲＩＳＣ ＣＰＵ ７、ＲＩＳＣ ＣＰＵ ８のどちらにもエネーブルすることができる。割り込みソースに関連して、一連の外部割り込みピンが存在する。図７ではこれらを要約してＩＮＴ Ｐｉｎｓ １２３として表現している。

さて、人型ロボットは乗っ取られると凶器に使われる可能性を持っている。機能安全を保証するためには、フラッシュメモリに格納されたファームウエアを書きかえれない、物理セキュリティやネットセキュリティを護る機構がなくてはならない。ＩＳＣ ＣＰＵ ７はノーマルモードのみで動作する。ＲＩＳＣ ＣＰＵ ８はノーマルモード、トラストモードのどちらでも動作可能である。トラストモードでは、命令、データが暗号化するので、ＤＰ−ＲＡＭ、フラッシュメモリ上のデータを外に読み出してもその実行内容を解析することはできない。デジタルコピーライトマネージメント（ＤＰＭ）等の電子機器上のコンテンツ（映画や音楽）の無制限な利用を防ぐ応用にも使うことができる。

デジタルマクロセルコア１０５には、セキュアコプロセサ１７がＡＰＢバスに結合されている。セキュアコプロセサ１７は、自身のノンボラタイルメモリ１８に物理的にアクセスできない（通常の解析方法では）パブリック鍵、プライベート鍵のペアを格納している。また、モジュロ演算器の機能を持っており、先述のユニークな公開鍵、秘密鍵を使って、データサーバ等とも公開鍵暗号インフラとやりとりをすることにより、モータ制御チップのアイデンティティを立証することができる。また、自身のアイデンティティを盗まれることもない耐タンパ性を備えている。

図７の左下に、動的不具合検出コプロセサ（コプロセサ）２１があり、その中にはコンテンツアドレッサブルメモリ（Contents Addressable Memory＝ＣＡＭ）２２と、有限状態機械論理（Finite State Machine Logic）１２１、状態レジスタ１３２が含まれる。その右側には、サージ電圧検出回路２４、ヒートロック防止回路２１、温度シャットダウン回路４０、モータロック検出回路２６、モータロック防止回路２７、過電流検出回路２９が接続されており、これらの回路の出力がコプロセサ２１に入力され、それと動作状態レジスタ１３２にＣＰＵが書き込んだ動作状態がコプロセサの動的不具合検出への入力となる。コプロセサの出力の多くは、図には書き込まれていないが、MOSFET Gate Driver ４２、４３、４４や、ＰＷＭ出力等にも影響を及ぼすことができる。電子制御チップ各部やコプロセサＩ／Ｏ １２０に到達し、不具合対処を行う。

人型ロボット等に使われるモータ電子制御ソフトウエアの構成を図８に示す。ロボット等のモータ電子制御をつかさどるソフトウエアは、大きく（１）モータ制御デバイスソフトウエア３２１、（２）ロボットの中枢機能をつかさどるロボットシステムホストデバイスソフトウエア３２２、（３）データセンタモータ制御関連ソフトウエア３２３に分類される。（１）と（２）は、システム内チップ間通信手段（シリアル、イーサネット（登録商標）、ＳＥＲＤＥＳ通信等）３２５を介して接続される。（２）と（３）はＷＩＦＩやモバイルネットワーク等のセキュアなインターネット接続３２６を介して接続される。

動作不具合検出コプロセサを含むシステム全体の動作フローを図９に示す。コプロセサを使用した場合のモータの動作不具合例外処理時間５１１は、（１）前処理（故障因子測定）５１２と（２）コプロセサ検索処理時間（動作故障不具合要因認識特定）５１３、（３）後処理（故障要因対応）５１４の３つの区分に分かれる。

動作不具合検出コプロセサの入力となるモータ機械部と電子制御部の状態のデータについて述べる。まず、ホールセンサの出力５３３によりモータのロータの回転位置情報が入力として入る。モータピンＵ、Ｖ、Ｗの電流成分から、モータの運転状況、コイルドライバの状況等がわかる。ホールセンサの参照電位５４４、ホールセンサのグランド電位５４５、モータ電源正極側５４３も入力となっている。これらは何かの故障が起こったことを知るために必要なデータである。

前処理（故障因子測定）５１２では、故障要因情報を含む電圧電流波形が、チップ入力パッド５３２、５３３から入力された後、例として、アナログデジタル変換器５１５から数値比較論理５１６、コイル電圧検出回路５２１を介して過電圧検出予知論理５２５、コイル電流検出回路５２２を介して過電流検出論理５２６、チップ温度検出回路５２４を介して熱暴走検出論理５２８に伝達される。（１）前処理（故障因子測定）の出力信号は、動作不具合検出コプロセサ（コプロセサ）５１７に入力される。動作不具合検出コプロセサ５１７は、バイパス論理５４１、有限状態機械論理５０８、レジスタ５４２、ＣＡＭ５０９、ＲＡＭ５１０に分割される。バイパス論理５４１は、サージ電流、電圧対応、過電流処置等の論理回路のみで瞬時に決済されるべき単純な故障要因に対する対処を行う。

図９には、モータ動作例外検出コプロセサの制御レジスタ、データレジスタ５４２が示されている。ＣＰＵが、ＣＡＭ等の内容を読みだしたり、書き込んだりするためには、ＣＡＭの構造上いくつかのＣＰＵのメモリ空間にマップされたレジスタが必要となる。ＲＡＭはある程度ＣＰＵのメモリ空間にマップされる。コプロセサの有限状態機械論理５０８は、ＣＡＭによる不具合検索で複数マッチが生じた際、これらの複数マッチを１不具合ごとに処理していくシーケンス論理処理を行い不具合対処を行う。レジスタ５４２は、ＣＰＵにより読み書きされ、コプロセサの初期設定に使われるほか、ＣＰＵソフトウエアが認識する人型ロボット用モータ運行状況に関するデータを付帯情報として設定するのに使われる。

ＣＰＵソフト処理による動作例外検出５２９は、ソフトによる有限状態機械５３０を含む。オプショナルには線形代数、ＡＩ処理等を行う「数値演算ＡＩコプロセサ５４９」を含む構成も可能である。図１１、図１２に述べるように、動作不具合解析コプロセサのデータを使ってのオフライン、データセンタで行うモータ制御に関するＡＩ処理への媒介はＣＰＵが行う。

図１０に、動作不具合検出コプロセサの解析部ＣＡＭ−ＲＡＭメモリアレイブロック構成を示す。動作不具合検出コプロセサに使われるメモリアレイ構成を図７に示す。図左側にデコーダ・エネーブルドライバ部４５０があり、これがＣＡＭ、ＲＡＭセルカラムの選択を行う。図下の探索データレジスタと制御部が４５１を介して検索データ、マッチデータの入出力が行われる。マッチライン（ＭＬ）４５３、４５４、４５５、４５６をＣＡＭセルがオープンドレインでネゲートすることによりマッチが検出され、その結果がマッチラッチ４６１、４６２、４６３、４６４にストアされる。マッチ拉致に１がセットされているものについて、コプロセサの有限状態機械論理が１エントリ毎に、動作不具合に該当するかをシーケンシャルにチェックしていく。これらのＲＡＭ、ＣＡＭをどのように活用するかについては図９Ａ、９Ｂ、１０で説明する。

図１１に雷などによって起こるサージ電流の波形例を示す。サージ電流の立ち上がりは、極めて急峻な傾斜９０４を持っている。これに対処するためには、０．５マイクロ秒以下の高応答性を持って検出対処をする必要がある。

図１２Ａにコプロセサにおける動作故障不具合情報のエンコード方式を示す。Ｘ軸に時間の流れを示す。コプロセサは、この時間を一定のサンプリング時間でサンプルして毎サイクルＣＡＭを検索しあらかじめプログラムされたパターンと一致するか否かを判定する。モータのセンサ状態は時間を経て遷移するが、遷移する際にグリッチ１１０１が生じる。このグリッチは、シンクナイザ回路を使いクリーンにすることができる。シンクロナイザ回路に供給されるクロックは固定サンプル周期１１０２より高い周波数で動作する。固定サンプル周期でサンプルされたデータは図９下部に示されたような格好でＲＩＮＧバッファ等のＦＩＦＯ型アレイメモリに格納される。さらに、モータのセンサ状態情報に対応して、状態が継続した時間情報が固定サンプル周期の数あるいはその倍数、除数として格納される。

図１３に、コプロセサにおけるＣＡＭの比較方式を示す。この比較処理は概ね毎固定サンプル時間ごとに行われる。図９に示したアレイデータが図１０の上部に示してある。モータのセンサ状態情報は、以下のように使われる。まず「モータセンサ状態(Motor Sensor State K)」とＣＰＵによりコプロセサのレジスタにセットされた「時間、場所、場合コンテキスト情報(Time Place and Occasion Context)」がＣＡＭに入力される。図７に示した機構を持つＣＡＭが、２者がマッチするか否かを判断する。図１２左側に示された「状態継続時間情報（Timing Data T(K)）」、モータセンサ状態(Motor Sensor State K)」中に複数の数値情報があるが、コプロセサＲＡＭ（W.O.L.G.でCAMでも良い）に格納された各数値情報に対応した「最大値、最小値（Max, Min Values）」と「比較クライテリア情報（Comparison “Criteria” for Each Fields in RAM Data e.g. GT, EQ, LT etc.）」が数値的に比較される。ＧＴはコプロセサＲＡＭ中の数値情報より大きい。ＬＴはコプロセサＲＡＭの数値情報より小さい。ＥＱはコプロセサＲＡＭ中の情報と等価をマッチング条件とする。さらにＧＴ、ＥＱ、ＬＴ以外に、ＤＣ（Don’t Care）というクライテリアもあり、この場合は比較じたいが行われない。CAM Match Mechanismの該当判定と、数値比較機構（Numerical Comparison Based Upon “Criteria”）機構の双方のマッチが得られると動作故障不具合検出が成功する。ＣＡＭの性質上複数の同時マッチが可能であるから複数マッチが合った場合にはプライオリティの順に処理する必要がある。コプロセサ中の１番目の有限状態機械（Finite State Machine）がＣＡＭ／ＲＡＭフィールドに存在する（図には示されていないが）プライオリティ情報に基づいて、最も重要な動作故障不具合要因を選び出し、これが２番目の有限状態機械（Finite State Machine）に対し機能例外認識番号を(Functional Exception ID)を送り、２番目の有限状態機械（Finite State Machine）が、この機能例外認識番号に応じたあらかじめ２番目の有限状態機械内のメモリにプログラムされた処方箋にしたがって動作不具合に対する処置を執り行う。これが終わると、第２以下のプライオリティを持つ機能例外認識番号が第２の不具合要因が２番目の有限状態機械に送られて処理される。この際に、同時にコプロセサ内のＣＡＭ−ＲＡＭメモリの内容に応じてはＣＰＵに割り込みを送ることもできる。図には示していないが直接メモリアクセス制御（ＤＭＡＣ=Direct Memory Access Controller）へＤＭＡ要求も出すことができる。

図１４に、コプロセサ内の数値データを含む動作不具合処理内容やヒストリがどのようにＡＩに使われるかを示す。ＣＰＵは、コプロセサから割り込みやＤＭＡ要求等を受けてコプロセサの様々な活動情報を得て、必要に応じてＡＩに情報を流す。ＡＩでは、コプロセサの収集した様々な情報を機械学習で解析して、より良い制御方法、より良いコプロセサやＣＰＵでの制御の仕方を構築することができる。

本システムは、内閣府のSociety 5.0プロジェクトなどに使用される、サイバーフィジカルシステム全般に使われる。サイバーフィジカルシステム以外のネットワーク接続を含まないシステムにも使える。

Claims (10)

1. 物理世界とつながるセンサとアクチュエータに結合されるアナログ回路機能を持ち、
   マイクロコントローラ等によるソフトウエアプログラムによる制御機構と、
   クラウドコンピュータ群とネットを介した推論制御機構と、
   プログラマブルでかつ１マイクロ秒以下で機能例外条件を検出し対処する機構の、
   ３つの動作例外への適応制御機構を持つサイバーフィジカルシステムおよびその構成方法。
2. 前記動作例外適応制御機構に、パワートランジスタ電流が敷居値を超過したことを判定するバイパス論理回路機構を加えた、４つからなる請求項１記載のサイバーフィジカルシステムおよびその構成方法。
3. モータ、サーボ等のアクチュエータ電子制御システムにおいて、センシング機能の一部を集積回路上にもち、緊急検索対処が必要な動作不具合検出要因をコンテンツアドレッサブルメモリ（ＣＡＭ）、ランダムアクセスメモリ（ＲＡＭ）、ノンボラタイルメモリ、レジスタ等のプログラム可能な素子に格納し、これを高速に検索し、これ以外の中速で対処しても問題ない動作例外要因はＣＰＵ上のソフトウエアで分析対処することを特徴とするシステム、集積回路、この集積回路を含むソフトウエア。
4. 請求項３のアクチュエータ電子制御システムにおいて、故障予兆、運転状況等をチップ上の処理機能ないしは通信によりシステム上の別チップないしは遠隔地のデータセンタ等でＡＩ等のデータ処理を行い分析対処することを特徴とする集積回路、この集積回路を含むシステム、この集積回路の個別緊急不具合要因設定に使用する開発ツール。
5. モータ、サーボ等のアクチュエータ電子制御システムにおいて、センシング機能の一部を集積回路上にもち、アクチュエータシステム初期化時にコンテンツアドレッサブルメモリ（ＣＡＭ）、ランダムアクセスメモリ（ＲＡＭ）、ノンボラタイルメモリ、レジスタ等のメモリ素子をＣＰＵでプログラムし、アクチュエータ動作時にはメモリ素子とその周辺論理方式で１マイクロ秒以下で要因検索を行い自動対処する機能を持つ、集積回路、集積回路を含むシステム、及び、この集積回路の個別緊急不具合要因設定に使用する開発ツール。
6. 請求項５のアクチュエータ電子制御システムにおいて、コンテンツアドレッサブルメモリ（ＣＡＭ）、ランダムアクセスメモリ（ＲＡＭ）、ノンボラタイルメモリ、レジスタ等のメモリ素子にプログラムされる内容項目に、緊急度プライオリティ等のパラメータを持たせ、より緊急性の高い不具合から対処する機能。
7. 請求項５のアクチュエータ電子制御システムにおいて、コンテンツアドレッサブルメモリ（ＣＡＭ）、ランダムアクセスメモリ（ＲＡＭ）、ノンボラタイルメモリ、レジスタ等のメモリ素子にプログラムされるデータ内容項目に遷移時間等の時間パラメータを持たせ、検索後に、この付加データを使い該当エントリを１マイクロ秒以下で論理回路で選別することを特徴とする集積回路、この集積回路を含むシステム、この集積回路の個別緊急不具合要因設定に使用するソフトウエア。
8. 請求項５のアクチュエータ電子制御において、アクチュエータコイルの電圧か電流を測定するセンシング機能の一部をオンチップに持ち、アクチュエータの故障、応用不具合、外部事故等をこのセンシングデータを解析判断する機能を持った集積回路、この集積回路を含むシステム、及び、この集積回路の個別緊急不具合要因設定に使用するソフトウエア。
9. モータ、サーボ等のアクチュエータ電子制御システムにおいて、温度計、加速度計、ジャイロ、マイクロフォン、磁気検出装置等のセンシング素子部品をアクチュエータ機械部に実装し、これら素子部品からのセンサデータをアナログないしはデジタルデータとして電線や基板配線を介して直接アクチュエータ電子制御部を形成する集積回路に接続し、ＣＰＵのソフトウエア処理を介せずこれらのデータを直接取り込み、緊急検索対処が必要な不具合要因について、ＣＡＭ、ＲＡＭ、ノンボラタイルメモリ、レジスタ素子を使うプログラム可能な高速検索論理方式で不具合対処することを特徴とする集積回路、この集積回路を含むシステム、この集積回路の個別緊急不具合要因設定に使用するソフトウエア。
10. ネットワーク機能、実時間処理を行う機能安全マイコン、プログラマブルな動作例外検出機能、セキュリティ鍵を保持するノンボラタイルメモリ、基本周辺機能を持つＣＰＳシステム。