JP2019036124A - 作業機械 - Google Patents

Abstract

【課題】業機械の連続稼働中にプルーフテストが実行できる技術を提供する。【解決手段】作業機械の動作を監視し、異常を検出すると作業機械を安全状態に移行させる安全装置と、安全装置が正常に機能しているかを確認するためのプルーフテストを実行するプルーフテスト装置と、を備えた作業機械であって、プルーフテスト装置は、作業機械の主電源が投入された状態で安全装置を停止させてプルーフテストを実行してもよいかを判定するためのテスト実行可能条件の充足又は非充足を判定し、充足していると判定すると安全装置を停止させてプルーフテストを実行するテスト実行部を備える。【選択図】図２

Description

本発明は作業機械に係り、特に作業機械の安全性をチェックする技術に関する。

近年、作業機械のように高い安全性が要求される機器を電気／電子／プログラマブルな電子的なシステム（以下、Ｅ／Ｅ／ＰＥＳ）で制御する場合には、機能安全への対応が必須となっている。具体的には、たとえば国際標準規格であるＩＥＣ ６１５０８では、制御対象機器のリスクを許容可能なレベルまで低減して安全な状態にするためのシステムを安全関連システムと呼び、その能力の尺度として安全度水準（ＳＩＬ：Ｓａｆｅｔｙ Ｉｎｔｅｇｒｉｔｙ Ｌｅｖｅｌ）を定義している。

このような安全度水準の算出方法として、例えば、特許文献１には、「ＳＩＬモデルを用いて安全関連機器の安全度水準を評価するために必要な安全関連機器の設計パラメータの値の入力を受け付ける設計パラメータ入力部と、安全関連機器の安全度水準の目標値の入力を受け付ける安全度水準目標値入力部と、設計パラメータ入力部に入力された各設計パラメータの値を用いてＳＩＬモデルに基づいて安全関連機器の安全度水準を計算し、この計算結果と、安全度水準目標値入力部に入力された目標値とを表示する表示部とを備えている（要約抜粋）」設計支援装置が開示されている。

特開２００４−３４１８１４号公報

工事現場や鉱山の掘削現場で用いられる作業機械にＳＩＬの安全度水準を適用しようとする場合、作業機械の安全装置が行う自己診断テストと、安全装置の機能が正常であるかをチェックするためのプルーフテストとを実行する必要がある。プルーフテストは、自己診断テストでは検出できないような隠れた危険側故障までも検出することを目的としたテストであり、一般には通常動作中に実行することはできず、その実行するタイミングには制約がある。

しかし、プルーフテストを実行するために作業機械を停止させることは、工事、掘削作業の中断を招き、工期遅延や生産性の低下につながる。よって、工事、掘削作業の妨げになることを極力抑制しつつ、作業機械に対してプルーフテストを実行して安全度水準を達成したいという要望がある。この点について特許文献１では、安全度水準の算出にとどまり、上記の要望については何ら考慮されていない。

本発明は上記課題に鑑みてなされたものであり、作業機械の連続稼働中にプルーフテストが実行できる技術を提供することを目的とする。

上記課題を解決するために本発明に係る作業機械は、作業機械の動作を監視し、異常を検出すると前記作業機械を安全状態に移行させる安全装置と、前記安全装置が正常に機能しているかを確認するためのプルーフテストを実行するプルーフテスト装置と、を備えた作業機械であって、前記プルーフテスト装置は、前記作業機械の主電源が投入された状態で前記安全装置を停止させて前記プルーフテストを実行してもよいかを判定するためのテスト実行可能条件の充足又は非充足を判定し、充足していると判定すると前記安全装置を停止させて前記プルーフテストを実行するテスト実行部を備える、ことを特徴とする。

本発明によれば、作業機械の連続稼働中にプルーフテストが実行できる技術を提供することができる。なお、上記した以外の目的、構成、効果は、以下の実施形態において明らかにされる。

油圧ショベルの構成を示す平面図 油圧ショベルの構成を示す左側面図 第一実施形態に係る油圧ショベルの制御系統を示す図 第一実施形態に係るレバーコントローラの機能構成を示すブロック図 レバーコントローラのハードウェア構成図 第一実施形態に係る作業機械における制御系統の動作フローチャート 第一実施形態に係るプルーフテスト処理の詳細を示す動作フローチャート 第一実施形態に係る警告表示の一例を示す図 第二実施形態に係る油圧ショベルの制御系統を示す図 第二実施形態に係るレバーコントローラの機能構成を示すブロック図 第二実施形態に係るプルーフテスト処理の詳細を示す動作フローチャート 第二実施形態に係る警告表示の一例を示す図

以下、図面を参照して、本発明の実施形態について説明する。全図において同一の構成、ステップには同一の符号をつけ、重複説明を省略する。

実施形態の具体的な説明に先だち、本実施形態におけるプルーフテストについて説明する。ＩＥＣ６１５０８では安全度水準はＳＩＬ１から４までの４段階あり、ＳＩＬ４が安全度の最高水準、ＳＩＬ１が最低水準となる。各レベルに対応して、安全関連システムを構成するハードウェアやソフトウェアに求められる様々な要件が規定されているが、その中のひとつに、目標機能失敗尺度（ｔａｒｇｅｔ ｆａｉｌｕｒｅ ｍｅａｓｕｒｅ）がある。

機能失敗尺度は、安全関連システム自身の不具合により安全機能が遂行できずに危険な状態になる確率を意味し、安全機能の動作頻度に応じて、危険側機能失敗時間平均確率（ＰＦＤａｖｇ）、又は時間平均危険側故障頻度（ＰＦＨ）のいずれかで表す。ＩＥＣ６１５０８には、ＰＦＤａｖｇやＰＦＨについての安全度水準ごとの目標値（最低値）が規定されており、高い安全度水準になるほど、より低い機能失敗尺度が求められる。このため、広範囲で高精度に不具合を検出することにより、未検出の不具合が安全機能の遂行を妨げる確率を低減することが必要であり、安全関連システムの設計段階で、構成部品の故障率、自己診断テストによる診断カバー率、又はプルーフテスト間隔等のパラメータを調整しなければならない。

安全関連システム自身の不具合が原因で安全機能が動作せず、制御対象機器が危険な状態になることを抑止するために、安全関連システム自身をテストして不具合を検出することが必要である。このチェックの方法は、一般に、自己診断テストとプルーフテストとの二種類に大きく分けられる。

自己診断テストとは、安全関連システムがオンラインの状態で自動で周期的に実行され、何らかの不具合を検出したら即座に安全状態に移行させるようなものをいう。この自己診断テストの周期は、不具合が発生してからシステムを安全状態に移行するまでに許容される時間であるプロセスセーフティタイム（Ｐｒｏｃｅｓｓ Ｓａｆｅｔｙ Ｔｉｍｅ）よりも短い必要がある。通常は例えば数十ミリ秒から数秒のオーダーとなる。また、オンラインで実行し、処理時間も限られるという制約から、検出できるのは一部の不具合に限られ、全ての不具合を検出できるものではない。このような自己診断テストにより検出された故障を危険側故障（通常、λＤＤで表す）という。

一方、プルーフテストは、自己診断テストでは検出できなかった隠れた危険側故障（通常、λＤＵで表す）を検出できるように設計されている。プルーフテスト中は、安全機能が働かないことが普通なので、このテストは一般的には、化学プラントのような設備で制御対象機器を停止してオフラインで実行するか、あるいは、自動車に搭載するコントローラ等では、機器の毎回の起動時に、起動時の初期診断として実行することが普通である。最後にプルーフテストを実行してから次にプルーフテストを実行するまでの許容時間であるテスト間隔閾値Ｔ１は、プロセスセーフティタイムよりはるかに長く、一般には数時間から数年のオーダーとなる。

テスト間隔閾値Ｔ１は、安全関連システムの安全度水準を算出するのに重要な要素である。安全機能の稼働が低頻度なときの一重系（１ｏｏ１）アーキテクチャの危険側機能失敗時間平均確率（ＰＦＤａｖｇ）を以下の式（１）で算出しており、テスト間隔閾値Ｔ１がＰＦＤａｖｇ、ひいては安全度水準ＳＩＬの決定に大きな影響を与えていることが分かる。
但し、ｔＣＥ＝λＤＵ・（Ｔ１／２＋ＭＲＴ）／λＤ＋λＤＤ・ＭＴＴＲ／λＤ
ＭＲＴ：平均修理時間(故障を検出してから修理が完了して運用再開するまでの時間：Mean Repair Time)

（第一実施形態）
図１Ａ、図１Ｂに作業機械の一例として油圧ショベル１０の構成を示す。図１Ａに示すように、油圧ショベル１０は左右一対のクローラ１１ａ及び１１ｂを備えた下部走行体、及び該下部走行体に旋回自在に支持される上部旋回体１２、及び該上部旋回体１２に取り付けられるキャブ１３及び該上部旋回体１２に上下揺動自在に支持されるブーム１４、該ブーム１４に上下揺動自在に支持されるアーム１５（図１Ｂ参照）、該アーム１５に揺動自在に支持されるバケット１６を備える。またクローラ１１ａ、及び１１ｂを用いた走行動作、上部旋回体１２の旋回動作、及びブーム１４、アーム１５、バケット１６の揺動動作を各々実行するために、アクチュエータである油圧モータや油圧シリンダを備えている。油圧モータは旋回動作等のために備えられ、油圧シリンダはブーム１４等の揺動動作のために備えられている。なお、ここでは油圧式を想定したがそれに拘るものでなく、例えば電動モータやリニアアクチュエータなど電動式でもよい。

また油圧ショベル１０は、アクチュエータの動作を監視し、異常を検出すると油圧ショベル１０を安全状態に移行させる安全装置、及び安全装置に対してプルーフテストを実行するプルーフテスト装置の機能を実装したレバーコントローラ１１０を備える。図１Ａ，図１Ｂに示すレバーコントローラ１１０の実装位置は一例に過ぎず、上部旋回体１２の別の部位又はキャブ１３内に備えてもよい。

図２は、油圧ショベル１０の制御系統を示す図である。油圧ショベル１０は、キャブ１３内に設けられた操作レバー１０１及び表示装置１２０と、パイロット油圧ポンプ（以下「パイロットポンプ」と略記する）１０２、メイン油圧ポンプ（以下「メインポンプ」と略記する）１０３、電磁比例弁１０４、制御弁１０５、油圧アクチュエータ１０６、ストロークセンサ１０７、動力源となるエンジン１０８、及びレバーコントローラ１１０を備える。

また、レバーコントローラ１１０内部は、安全装置２０及びプルーフテスト装置３０が構成される。安全装置２０、プルーフテスト装置３０は、油圧ショベル１０の安全性を高めるための安全関連システムの構成要素である。図２では１つのレバーコントローラ１１０に安全装置２０及びプルーフテスト装置３０を実装した状態を図示しているが、これら３つの装置を別部材として構成してもよい。例えば、レバーコントローラ１１０の主制御部１１１（後述する）を高機能な情報系マイクロコントローラに実装し、一方、安全装置２０及びプルーフテスト装置３０を、別の低機能・高信頼マイクロコントローラに実装してもよい。この場合は、２つのマイクロコントローラが必要になるが、一方で安全装置２０やプルーフテスト装置３０が主制御部１１１から影響を受けないようにするためのメモリ保護機能やオペレーティングシステムなどが不要となる。

操作レバー１０１には、油圧ショベル１０に備えられたアクチュエータに対するオペレータの操作が入力される。操作レバー１０１が受け付けた入力操作は、レバーコントローラ１１０において検出される。レバーコントローラ１１０は、たとえば所定のプログラムを実行するマイクロコントローラであり、オペレータが操作レバー１０１に入力した操作に基づいて、油圧アクチュエータを制御するための駆動電流を生成し、電磁比例弁１０４に出力する。なお、レバーコントローラ１１０の内部の動作の詳細については後述する。また、以上の説明では簡単のために、電磁比例弁１０４、制御弁１０５、及び油圧アクチュエータ１０６、ストロークセンサ１０７がそれぞれ一つずつあるように記したが、実際には複数系統備えてもよい。例えば、電磁比例弁１０４は制御弁１０５のスプールの位置を増減させるために正逆方向に一つずつ、計２つ設けるのが一般的である。また、油圧アクチュエータ１０６は、ブーム、アーム、バケット等のそれぞれに対して一つ以上設けることが一般的である。

図３は、第一実施形態に係るレバーコントローラの機能構成を示すブロック図である。図３に示すように、レバーコントローラ１１０は主制御部１１１、出力切替部１１３、ＣＡＮ（ＣＯＮＴＯＲＯＬＬＥＲ ＡＲＥＡ ＮＥＴＯＷＯＲＫ）通信部１１７、安全装置２０、プルーフテスト装置３０を備える。安全装置２０、プルーフテスト装置３０に含まれる各機能部、及びレバーコントローラ１１０の各機能は後述する。

図４は、レバーコントローラ１１０のハードウェア構成図である。

レバーコントローラ１１０は、ＣＰＵ５１、ＲＡＭ５２、ＲＯＭ５３、フラッシュメモリ５４、Ｉ／Ｆ５５、及びバス５６を含む。そして、ＣＰＵ５１、ＲＡＭ５２、ＲＯＭ５３、フラッシュメモリ５４、及びＩ／Ｆ５５がバス５６を介して互いに接続されて構成される。Ｉ／Ｆ５５はＣＡＮ６０に接続される。レバーコントローラ１１０は、ＣＡＮ６０を介して操作レバー１０１が入力操作に応じて生成したレバー操作信号、及びアクチュエータに設けられたストロークセンサ１０７からのストローク信号を受信する。

次に、図５、図６、及び図７を介して、レバーコントローラ１１０内部の制御系統の動作を説明する。図５は、第一実施形態に係る作業機械における制御系統の動作フローチャートである。図６は、第一実施形態に係るプルーフテスト処理の詳細を示す動作フローチャートである。図７は、第一実施形態に係る警告表示の一例を示す図である。

図５に示すように、油圧ショベル１０を始動する際には、油圧ショベル１０のオペレータがイグニッションキー１０９をキースロットに挿入し一段階回すと、油圧ショベル１０の電気系統の主電源がＯＮとなり（Ｓ１０１）レバーコントローラ１１０も起動する。以後、安全装置２０による監視・異常検出処理（Ｓ１０２〜Ｓ１０９）と、安全装置２０の自己診断部２１１による自己診断処理（Ｓ２０１〜Ｓ２０６）と、プルーフテスト装置３０によるプルーフテスト実行処理（Ｓ３００）とが並列して実行される。これら３つの処理は、次に主電源がＯＦＦとなるまで継続して実行される（Ｓ１１０／Ｎｏ）。主電源がＯＦＦとなると（Ｓ１１０／Ｙｅｓ）、油圧ショベル１０が停止する。

オペレータがイグニッションキー１０９を更に回すとエンジン１０８が始動する（Ｓ１０２）。これによりパイロットポンプ１０２及びメインポンプ１０３が起動し、油圧ショベル１０の各アクチュエータが駆動できる状態となる。

オペレータが操作レバー１０１を操作すると（Ｓ１０３）、主制御部１１１は、操作レバー１０１からのオペレータの操作入力量を示すレバー操作信号を取得する。主制御部１１１は、レバー操作信号に応じて油圧アクチュエータを制御するための電磁弁駆動電流を生成する（Ｓ１０４）。

出力遮断器１１４は、正常状態においては主制御部１１１と電磁比例弁１０４との間の電気回路を接続状態に維持し、安全装置２０又はプルーフテスト装置３０が異常を検出すると上記電気回路を遮断し、油圧アクチュエータの動作を停止させる。

出力遮断器１１４は、例えばリレーや、大電流用の電界効果トランジスタ等であり、出力遮断信号を受けると電磁比例弁１０４への駆動電流を遮断し、電磁比例弁１０４、及びこれ以降の制御弁１０５、油圧アクチュエータ１０６の動作を停止し、作業機械を安全な状態へ移行させて制御を終了する。安全な状態からの復帰は、例えばエンジン１０８を一度停止してから再開することなどを必要とするように構成してもよい。なお、上記したように、電磁比例弁１０４は実際には複数系統あるので、出力遮断器１１４もそれに対応して複数設置してもよいし、あるいは、主制御部１１１が駆動電流を生成するための複数の出力段トランジスタ（図示せず）への電源供給を一括して遮断する単独の遮断器のようにしても良い。

主制御部１１１は、レバーコントローラ１１０の主機能を担う物であり、例えば電磁比例弁１０４への電磁弁駆動電流をフィードバックしてＰＩＤ（比例−積分−微分）制御を行って安定化させたり、操作レバー１０１の操作量と電磁比例弁１０４への電磁弁駆動電流を非線形関係に対応させることでオペレータの操作性を向上させたりすることなどが行われる。

出力遮断器１１４が接続状態を維持していれば（Ｓ１０５／Ｙｅｓ）、主制御部１１１が生成した電磁弁駆動電流が出力遮断器１１４を介して電磁比例弁１０４へ印加される（Ｓ１０６）。

パイロットポンプ１０２とメインポンプ１０３は、エンジン１０８によって駆動されてそれぞれ圧油を吐出する。パイロットポンプ１０２からの吐出圧（パイロット一次圧と呼ぶ）は電磁比例弁１０４に導かれ、また、メインポンプ１０３からの吐出圧（メインポンプ圧と呼ぶ）は制御弁１０５に導かれる。電磁比例弁１０４では、レバーコントローラ１１０から印加される電磁弁駆動電流に応じてパイロット一次圧を減圧して、パイロット圧として制御弁１０５へ出力する。制御弁１０５に供給されたパイロット圧は、制御弁１０５内のスプールを移動させることで、油圧アクチュエータ１０６に供給されるメインポンプ圧の方向と流量を制御し、油圧アクチュエータ１０６をオペレータの意図通りに稼働させる（Ｓ１０７）。

油圧アクチュエータ１０６には、動作状態検出装置としてのストロークセンサ１０７が備えられる。ストロークセンサ１０７は、例えばロータリーエンコーダによりシリンダの相対位置を検出したり、磁歪現象を用いてシリンダの絶対位置を検出するもの等を用いる。ストロークセンサ１０７が検出したシリンダのストローク長を示すストローク信号は、レバーコントローラ１１０にＣＡＮ６０を介して送信される（Ｓ１０８）。その後、ステップＳ１１０へ進む。

一方、出力遮断器１１４が主制御部１１１と電磁比例弁１０４との間の電気回路を遮断している場合は（Ｓ１０５／Ｎｏ）、電磁弁駆動電流の出力が遮断されるのでアクチュエータが稼働しない（Ｓ１０９）。これにより、主制御部１１１からの駆動電流が電磁比例弁１０４へ印加されず、操作レバー１０１を操作してもアクチュエータが稼働しなくなる。その後、ステップＳ１１０へ進む。

（安全装置の動作）
安全装置２０は、ステップＳ１０３において操作レバー１０１からレバー操作信号を取得するとレバー操作信号記憶部２１２に一時的に記憶する（Ｓ２０１）。

安全装置２０にストロークセンサ１０７からストローク信号が入力される（Ｓ２０２）。

応答性算出部２１４は、レバー操作信号記憶部２１２からレバー操作信号を読み出し、ステップＳ２０２で取得したストローク信号のレバー操作信号に対する応答性（追従性と言い換えてもよい）を示す指標値を算出し、異常判定部２１５が異常判定閾値記憶部２１３に記憶された異常判定閾値と上記応答性指標値とを比較し、応答性指標値が異常判定閾値以上であれば正常であると判定し（Ｓ２０３／Ｙｅｓ）、応答性指標値が異常判定閾値未満であれば異常であると判定し（Ｓ２０３／Ｎｏ）、出力切替部１１３に対して異常信号を出力する。

本ステップにおいて、例えば、操作レバー１０１が中立であるにも関わらずシリンダが静止していないとか、操作レバー１０１の操作量とは逆方向にシリンダが動いている場合には、レバー操作信号に対するストローク信号の応答性指標値が正常時よりも著しく低くなり、異常として検出される。このような異常は、例えば主制御部１１１内の部品の故障や、ソフトウェアプログラムの不具合、又は電磁ノイズや中性子線による一時的な誤動作などの原因で発生する。

出力切替部１１３は、異常信号に応じて出力遮断器１１４に対して遮断信号を出力し、出力遮断器１１４が主制御部１１１及び電磁比例弁１０４を電気的に接続する回路を遮断する（Ｓ２０４）。

一方、ステップＳ２０３で応答性指標値が異常判定閾値以上であり異常を検出しなかった場合は（Ｓ２０３／Ｙｅｓ）、自己診断部２１１が定期的な自己診断テストを実行し（Ｓ２０５）、安全装置２０に故障が発生していないかを自己診断する。この自己診断テストは、先に述べたように、安全装置２０がオンラインの状態でも安全機能の遂行に影響のない範囲で行われる。例えば、マイクロコントローラの自己診断であれば、ペリフェラル制御レジスタの値を読み出して期待値と比較したり、操作レバー１０１からの操作信号（例えばアナログ電圧信号とする）を二重化して別々のＡ／Ｄ変換器に入力しておいて両者の値を比較したり、ＲＡＭやＦｌａｓｈメモリから読み出したデータに予め付加しておいたＥＣＣ（Ｅｒｒｏｒ Ｃｏｒｒｅｃｔｉｏｎ Ｃｏｄｅ）をチェックしてデータエラーを検出したりする。

ステップＳ２０５で安全装置２０の故障を検出した場合は（Ｓ２０６／Ｙｅｓ）、安全装置２０が安全機能を遂行する能力を失っているので、油圧ショベル１０をそれ以上稼働させることは安全の保障ができない。よって、ステップＳ２０４に進んで電磁弁駆動電流出力を遮断し安全状態に移行させる。これにより、安全装置２０に故障が発生したとしても油圧ショベル１０の安全が確保される。

故障が検出されない場合には（Ｓ２０６／Ｎｏ）、ステップＳ１１０へ進む。

安全装置２０による自己診断テストで検出できるのは、検出された危険側故障（λＤＤ）だけである。そこで、自己診断テストでは検出できなかった、所謂隠れた危険側故障（λＤＵ）への対処をするために、プルーフテスト装置３０によりプルーフテストを実行する。

図６に示すように、プルーフテスト装置３０は、主電源がＯＮされると、テスト後時間計測部３１１が最後にプルーフテストを実行してからの経過時間であるテスト後経過時間Ｔの計測を再開する（Ｓ３０１）。本実施形態では、テスト後時間計測部３１１として、バッテリバックアップ式のリアルタイムクロック（ＲＴＣ）を用いるが、マイクロコントローラのクロックに比例した周期でカウンタするカウンタの値を定期的にフラッシュメモリ等の不揮発メモリに記憶することで実現してもよい。このテスト後経過時間Ｔは、直近でプルーフテストを行ってからの経過時間を計測するものであり、最後にプルーフテストを行ってから油圧ショベル１０の主電源がＯＮの状態、即ち安全装置２０に電源が投入されている状態の累積時間を示す。

それと共に、操作後時間計測部３１２を初期化し、操作レバー１０１が最後に操作されからの経過時間である無操作時間の計測を開始する（Ｓ３０１）。本実施形態では操作後時間計測部３１２として、バッテリバックアップ式のリアルタイムクロック（ＲＴＣ）を用いるが、マイクロコントローラのクロックに比例した周期でカウンタするカウンタの値を定期的にフラッシュメモリ等の不揮発メモリに記憶することで実現してもよい。

操作後時間計測部３１２は、レバー操作信号を取得すると、再度初期化して計測を開始する処理を繰り返す。

時間閾値記憶部３１４には、プルーフテストを実行すべき時間間隔を定めたテスト間隔閾値Ｔ１、及びプルーフテストの実行を促す警告情報の出力要否の判定に用いる警告時間閾値Ｔｗａｒｍが記憶されている。警告時間閾値Ｔｗａｒｍは、本明細書で定義したパラメータであり、油圧ショベル１０のオペレータに対して、プルーフテストの実行を促す警告を表示するまでの時間として、警告時間閾値Ｔｗａｒｍ＜Ｔ１の関係を満たす範囲で設定する。

間隔判定部３１３は、テスト後時間計測部３１１が計測したテスト後経過時間Ｔとテスト間隔閾値Ｔ１とを比較する（Ｓ３０２）。

このようにして計測した前回からのテスト後経過時間Ｔが、プルーフテストを実行すべきテスト間隔閾値Ｔ１以上の場合は（Ｓ３０２／Ｙｅｓ）、隠れた危険側故障（λＤＵ）が発生している可能性が高くなり、所定の安全度水準に対応する機能失敗尺度の値を満足することができない状態にある。そこで、このような場合は、間隔判定部３１３はテスト間隔閾値Ｔ１以上となったことを示す信号をテスト実行部３１５に出力する。これを受けてテスト実行部３１５は、出力切替部１１３に対して遮断指示信号を出力し、出力切替部１１３が電磁弁駆動電流出力を遮断し安全状態に移行させる（Ｓ３０３）。

一方、まだテスト間隔閾値Ｔ１に達していない場合は（Ｓ３０２／Ｎｏ）、間隔判定部３１３は、テスト後経過時間Ｔが警告時間閾値Ｔｗａｒｍ以上であるかを判定する（Ｓ３０４）。

上記したように、ステップＳ３０２でテスト間隔閾値Ｔ１以上となると、強制的に安全状態に移行するのでそれ以上作業機械を使用することができなくなり不便である。そこで、テスト間隔閾値Ｔ１より前の警告時間閾値Ｔｗａｒｍ以上の場合は（Ｓ３０４／Ｙｅｓ）、間隔判定部３１３はその結果を警告部３１６へ出力し、警告部３１６がＣＡＮ通信部１１７を介して表示装置１２０に対して警告情報を出力し（Ｓ３０５）、ステップＳ３０６へ遷移する。

表示装置１２０は、例えばキャブ１３に取り付けられた液晶モニタであり、ここにプルーフテストの実行を促す内容の警告表示を行う。警告表示には、強制的に安全状態へ移行するまでの残り時間(Ｔ１−Ｔ)を含めても良い。図７は警告表示の一例である。

テスト後経過時間Ｔが警告時間閾値Ｔｗａｒｍ未満の場合は（Ｓ３０４／Ｎｏ）、警告情報表示をすることなく、ステップＳ３０６へ遷移する。以下のステップＳ３０６及びＳ３０７はプルーフテスト実行可能条件を充足しているかの判定処理に相当する。

テスト実行部３１５は、エンジン１０８が始動していない場合（Ｓ３０６／Ｎｏ）、及びエンジン１０８が始動していても（Ｓ３０６／Ｙｅｓ）、操作レバー１０１が最後に操作されてからの経過時間である操作後経過時間Ｔｏｐが、無操作時間閾値Ｔｉｄ以上である場合（Ｓ３０７／Ｙｅｓ）は、テスト実行可能条件を充足していると判定してプルーフテストを実行する（Ｓ３０８）。また、操作後経過時間Ｔｏｐが、無操作時間閾値Ｔｉｄ未満である場合（Ｓ３０７／Ｎｏ）は、テスト実行可能条件を非充足と判定してステップＳ１１０へ進む。

プルーフテストでは、例えばマイクロコントローラのプルーフテストであれば、ペリフェラル制御レジスタに任意の値をライトしてベリファイチェックしたり、ＲＡＭの広範囲な領域に対して、網羅的にリード／ライトを繰り返して隣接セルからの干渉が無いことを確認したりする。

テスト実行部３１５は、テスト後時間計測部３１１を初期化し、テスト後時間計測部３１１は直前のステップＳ３０８でプルーフテストを実行してからの経過時間の計測を開始する（Ｓ３０９）。

プルーフテストの結果、テスト実行部３１５が異常を検出しなければ（Ｓ３１０／Ｎｏ）、ステップＳ１１０へ進む。これに対して、テスト実行部３１５が異常を検出した場合は（Ｓ３１０／Ｙｅｓ）、ステップＳ３０３に進んで電磁弁駆動電流出力を遮断し安全状態に移行させる。

本実施形態によれば、油圧ショベル１０を通常動作、即ち、主電源を投入している間、更にはエンジンを始動している間であっても、プルーフテスト装置がプルーフテスト実行可能条件を充足しているか判定し、条件充足の場合にはプルーフテストを実行する。これにより、油圧ショベルをプルーフテストの実行目的で停止させる可能性を減らし、実質的な連続稼働時間を延ばすことができる。

また、プルーフテスト装置は、油圧ショベルの主電源投入後にプルーフテスト実行可能条件を満たすと判定すると、最後にプルーフテストを実行してからの経過時間によらず、プルーフテストを実行する。これにより、プルーフテストが実行できる機会があればプルーフテストを実行し、次にプルーフテストを行うまでのテスト後経過時間Ｔがテスト間隔閾値Ｔ１を超えるタイミングをより後にずらすことができる。

更に、テスト間隔閾値Ｔ１よりも前に、一定期間、すなわち警告時間閾値Ｔｗａｒｍ以上となると警告を行うことにより、突然油圧ショベルが停止してしまって不便を強いることを防止できる。

なお、本実施形態においては、安全機能として操作レバー１０１の操作量とストロークセンサ１０７からのストローク情報を比較することで異常を検出する場合を例に説明したが、これに限るものではない。例えば、電磁比例弁１０４からのパイロット圧を油圧センサで検出し、これと操作レバー１０１の操作量を比較してもよい。

（第二実施形態）
図８及び図９を参照して、第二実施形態に係る作業機械の構成について説明する。図８は、第二実施形態に係る作業機械における制御系統の構成を示す図である。図９は、第二実施形態に係るレバーコントローラの機能構成を示すブロック図である。

図８に示すように、第二実施形態に係る作業機械は、ゲートロック弁４０２を含む安全状態移行装置１５０ａ及びゲートロックレバー４０１を備える。ゲートロックレバー４０１のレバー操作信号がレバーコントローラ１１０ａに入力され、これを受けてレバーコントローラ１１０ａがゲートロック弁４０２を開閉制御する。

本実施形態に係るプルーフテスト装置３０ａは、テスト実行部３１５でのプルーフテスト実行可能条件として、第一実施形態における操作レバー１０１の無操作時間、及びエンジン始動状況に代わり、ゲートロックレバー４０１の開閉状態を用いる点に特徴がある。

そこで図９に示すように、レバーコントローラ１１０ａはゲートロックレバー４０１のレバー操作信号の入力に応じてゲートロック弁４０２を開閉するロック制御部４０３を備える。また、プルーフテスト装置３０ａのテスト実行部３１５にゲートロックレバー４０１のレバー操作信号が入力され、テスト実行部３１５がロック制御部４０３にゲートロック弁４０２の開閉信号を出力する。

ゲートロックレバー４０１は、キャブ１３入口に設けられたレバーであり、油圧アクチュエータの駆動を禁止するロック位置と、駆動を許可するロック解除位置とに切換えられるように構成されている。

ゲートロック弁４０２は、ロック制御部４０３からの駆動電流によりＯＮ／ＯＦＦ制御される電磁式の切換弁であり、パイロットポンプ１０２と電磁比例弁１０４との間に設置されている。ゲートロック弁４０２が閉じられると、電磁比例弁１０４へのパイロット油圧の供給が停止されるので、制御弁１０５が動作しないようになり、油圧アクチュエータ１０６の駆動が停止するようになっている。

オペレータは、交代などで席を離れるときやエンジン始動時などには、ゲートロックレバー４０１をロック位置となる上げ位置に操作する。また、キャブ１３内に着座してゲートロックレバー４０１をロック解除位置となる下げ位置に操作すると油圧アクチュエータが駆動できる状態になる。

ロック制御部４０３は、ゲートロックレバー４０１の操作位置に応じて、ゲートロック弁４０２を切替え制御するための駆動電流を出力する。ロック制御部４０３の制御手順の詳細は後述する。

次に図１０を参照して、第二実施形態に係るプルーフテスト実行処理の流れについて説明する。図１０は、第二実施形態に係るプルーフテスト処理の詳細を示す動作フローチャートである。図１０のフローチャートのうち、図６に示した第一実施形態のフローチャートと同じステップについては重複説明を省略する。

プルーフテスト実行処理の開始後、ステップＳ３０１〜Ｓ３０５は第一実施形態と同様である。なお、ステップＳ３０１において、操作後経過時間の計測開始は行わない。

本実施形態では、プルーフテスト実行可能条件が、ゲートロックレバー４０１が解除されていることとする。よって、テスト実行部３１５は、ゲートロックレバー４０１が上げ位置、即ち解除状態にあるか否かを判定する。ゲートロックレバー４０１が上げ位置にある場合は、ロック制御部４０３がゲートロック弁４０２を閉じて電磁比例弁１０４へのパイロット油圧の供給を止めているので、油圧アクチュエータ１０６の駆動が禁止されている。油圧アクチュエータ１０６の駆動が禁止される状態であれば、プルーフテストを実行するために安全装置２０の機能を停止しても油圧ショベル１０が稼働することによる危険は生じないため、プルーフテストが実行可能と条件づける。

そこで、テスト実行部３１５がゲートロックレバー４０１から解除信号を受信すると（Ｓ５０１）、テスト実行部３１５は、プルーフテストを複数ブロックに分割し、ブロック単位（プルーフテストの一部処理に相当する）で実行する（Ｓ５０２）。各ブロックが終了する度に後述するステップＳ５０５で行うゲートロックレバー解除検出を判定することで、ゲートロックレバーに動作禁止の解除の入力操作が行われたときの反応をできるだけ早くすることができる。ブロック単位とは、例えば、前述のようにマイクロコントローラのペリフェラル制御レジスタに対するベリファイチェックや、ＲＡＭ領域へのリード／ライトアクセスのテストであれば、読み書きする領域を分割することがあり、これにより一回あたりのテストにかかる時間を短くすることができる。

一つのブロックでプルーフテストを実行した結果、テスト実行部３１５が異常を検出しなかったが（Ｓ５０３／Ｎｏ）、未実行のブロックがあり、１回のプルーフテストが完了していなければ（Ｓ５０４／Ｎｏ）、テスト実行部３１５は、ゲートロックレバー４０１がまだ上げ位置即ち、ロック状態にあるか判定する。ロック状態であれば（Ｓ５０５／Ｎｏ）、ステップＳ５０２に戻って、残りのプルーフテストを継続実行する。

テスト実行部３１５が異常を検出すると（Ｓ５０３／Ｙｅｓ）、出力遮断を行い（Ｓ３０３）、ステップＳ１１０へ進む。

異常が検出されず（Ｓ５０３／Ｙｅｓ）、プルーフテストがすべて実行されると（Ｓ５０４／Ｙｅｓ）、ステップＳ１１０へ進む。

テスト実行部３１５が、ゲートロックレバー４０１は下げ位置に戻されている、即ち解除状態であると判定すると（Ｓ５０５／Ｙｅｓ）、間隔判定部３１３が前回のプルーフテスト完了からのテスト後経過時間Ｔがプルーフテスト中断不能時間Ｔｕｎｓｔｏｐ以上であるかを判定する（Ｓ５０６）。

従来の作業機械では、オペレータがゲートロックレバー４０１を解除した場合には、即座にゲートロック弁４０２を開けて油圧アクチュエータがオペレータによって駆動可能するようになっている。しかし、本実施形態の油圧ショベル１０では、プルーフテスト実行中にこのように即座に駆動可能とすることは危険なのでできないし、また、もしプルーフテストを中断してしまうと、その後で実際のプルーフテスト間隔がテスト間隔閾値Ｔ１を超過して所定の安全度水準を満たせなくなる可能性が高くなってしまう。そこで、本実施形態では、プルーフテスト中断不能時間Ｔｕｎｓｔｏｐなるパラメータを導入し、プルーフテスト実行中にオペレータの操作で中断させてもよいか否かの判定基準として、Ｔｕｎｓｔｏｐ＜Ｔ１の関係を満たす範囲で設定しておく。

間隔判定部３１３が、前回のプルーフテスト完了からのテスト後経過時間Ｔが、プルーフテスト中断不能時間Ｔｕｎｓｔｏｐ未満であると判定すると（Ｓ５０６／Ｎｏ）、オペレータの操作を優先して、テスト実行部３１５はプルーフテストを中断し（Ｓ５０７）、テスト実行部３１５はロック制御部４０３に対してロック解除を許可する信号を送信する。これを受けてロック制御部４０３は、ゲートロック弁４０２を開けて（Ｓ５０８）、電磁比例弁１０４へのパイロット圧を供給し、油圧アクチュエータ１０６の駆動を再開させる。

一方、間隔判定部３１３が、テスト後経過時間Ｔはプルーフテスト中断不能時間Ｔｕｎｓｔｏｐ以上であると判定すると（Ｓ５０６／Ｙｅｓ）、オペレータの操作に関らず、即ちゲートロックレバー４０１が受け付けた入力操作を無効にして、ゲートロック弁４０２をロック状態に維持してステップＳ５０７に進む。ステップＳ５０７では、警告部３１６がＣＡＮ通信部１１７を介して表示装置１２０にプルーフテストの実行を促す警告情報を出力する。これにより、表示装置１２０には、例えば図１１に示す警告表示画面が表示される。ここで図１１は、本実施形態における警告表示例を示す図である。この警告表示を通じて、プルーフテストを優先しているためにゲートロック解除が遅れることを通知する。

その後、ステップＳ５０２に戻って残りのプルーフテスト処理を実行する。この間、ロック制御部４０３では、ゲートロック弁をロック、即ちパイロットポンプ１０２と電磁比例弁１０４とをつなぐ油圧流路が閉じた状態を維持しておく。

本実施形態によれば、プルーフテスト実行可否の判定を、ゲートロックレバー４０１のロック判定で行うようにし、またロック制御部４０３では、プルーフテスト中には必ずゲートロック弁を閉じておくようにしたので、プルーフテスト中にレバーコントローラ１１０ａからどのような異常な制御信号が出力されても油圧ショベル１０がそれに反応して動作してしまうことがなく、安全を確保したままプルーフテストを実行することができる。

また、プルーフテスト実行中には、再びゲートロックレバー４０１が解除されても、プルーフテストが終了するまではゲートロック弁を開けずに、プルーフテストを継続できるようにしたので、作業機械を停止してプルーフテストを実行させる必要の生じる可能性を減らし、実質的な連続稼働時間を延ばすことができる。

上記各実施形態は、本発明を限定する趣旨ではなく、本発明の趣旨を逸脱しない様々な変形例は本発明に含まれる。例えば、作業機械は油圧アクチュエータを備える作業機械であれば油圧ショベルに限らず、例えばダンプトラックでもよい。その場合、安全状態へ移行させる態様として、油圧アクチュエータの稼働を停止するのではなく、ダンプトラックを走行路の路肩や安全地帯などに退避させてもよい。

また、上記第二実施形態においては、ステップＳ５０２のプルーフテスト処理の合間にステップＳ５０５でゲートロック解除をポーリングする方式にしたが、これに限るものではない。例えば、ロック解除判定を別タスクや割り込みで並行動作させたりしてもよい。

また、ステップＳ５０７でプルーフテストを中断するときには、分割したプルーフテスト処理のうちどこまでを完了したかを記憶しておき、次回のステップＳ５０２では、その続きから実行するようにしてもよい。これにより、オペレータがゲートロックレバーを頻繁に操作するような状況でも、少しずつプルーフテストをすすめることで、実質的な連続稼働時間を延ばすことができる。

また、第二実施形態においては、プルーフテスト中の安全を確保するためにゲートロック弁を閉じてパイロット圧の供給を止める場合を例に説明したが、これに限るものではない。例えば、レバーコントローラ１１０ａから電磁比例弁１０４に出力する駆動電流を遮断しても良い。あるいは、メインポンプ１０３を停止したり、メインポンプ１０３から制御弁１０５へのメインポンプ圧を止める弁を設けて、油圧アクチュエータ１０６を駆動する動力を遮断してもよい。あるいは、油圧アクチュエータ１０６の外側にシリンダやモータの動きを固定するブレーキ等を設置してもよい。

また上記各実施形態に係る作業機械において、プルーフテスト装置は、テスト間隔閾値、無操作時間閾値、警告時間閾値及び中断不能時間を予め定めた固定値ではなく、これらの任意の一つ又は組合せをユーザが設定可能とするプルーフテスト間隔調整部を備えてもよい。これにより、ユーザは、作業機械の使用場所や使用状況に合った安全度水準に対応してプルーフテストやそれに関連する各処理を実行することができる。

１０：油圧ショベル、２０：安全装置、３０：プルーフテスト装置、１０１：操作レバー、１０２：パイロットポンプ、１０３：メインポンプ、１０４：電磁比例弁、１０５：制御弁、１０６：油圧アクチュエータ、１０７：ストロークセンサ、１１０：レバーコントローラ

Claims (7)

1. 作業機械の動作を監視し、異常を検出すると前記作業機械を安全状態に移行させる安全装置と、前記安全装置が正常に機能しているかを確認するためのプルーフテストを実行するプルーフテスト装置と、を備えた作業機械であって、
   前記プルーフテスト装置は、
   前記作業機械の主電源が投入された状態で前記安全装置を停止させて前記プルーフテストを実行してもよいかを判定するためのテスト実行可能条件の充足又は非充足を判定し、充足していると判定すると前記安全装置を停止させて前記プルーフテストを実行するテスト実行部を備える、
   ことを特徴とする作業機械。
2. 請求項１に記載の作業機械において、
   前記プルーフテスト装置は、
   最後にプルーフテストを完了してからのテスト後経過時間を計測するテスト後時間計測部と、
   最後にプルーフテストを実行してから次にプルーフテストを実行するまでの許容時間を示すテスト間隔閾値を記憶する時間閾値記憶部と、
   前記テスト後経過時間が前記テスト間隔閾値以上であるかを判定する間隔判定部と、を更に備え、
   前記間隔判定部が前記テスト後経過時間は前記テスト間隔閾値以上であると判定した場合は、前記テスト実行部は、前記プルーフテストを実行することなく、前記安全装置に対して前記作業機械を安全状態に移行させる指示信号を出力し、前記間隔判定部が前記テスト後経過時間は前記テスト間隔閾値未満であると判定した場合は、前記プルーフテストを実行する、
   ことを特徴とする作業機械。
3. 請求項２に記載の作業機械において、
   前記作業機械は
   油圧アクチュエータと、
   前記油圧アクチュエータに圧油を供給する油圧ポンプと、
   前記油圧ポンプの動力源であるエンジンと、
   を更に備え、
   前記プルーフテスト装置は、
   前記エンジンが始動していない場合に前記テスト実行可能条件を充足していると判定する、
   ことを特徴とする作業機械。
4. 請求項２に記載の作業機械において、
   前記作業機械は
   油圧アクチュエータと、
   前記油圧アクチュエータに圧油を供給する油圧ポンプと、
   前記油圧ポンプの動力源であるエンジンと、
   前記油圧アクチュエータを稼働させるための入力操作を受け付ける操作レバーと、を更に備え、
   前記プルーフテスト装置は、
   前記操作レバーが最後に入力操作を受け付けてからの操作後経過時間を計測する操作後時間計測部を更に備え、
   前記時間閾値記憶部は、前記操作レバーが操作されていないと判定するための時間を規定した無操作時間閾値を更に記憶し、
   前記間隔判定部は、前記操作後経過時間が前記無操作時間閾値以上であるかを判定し、
   前記テスト実行部は、前記エンジンが始動しており、かつ前記間隔判定部が前記操作後経過時間は前記無操作時間閾値以上であると判定した場合に、前記テスト実行可能条件を充足していると判定する、
   ことを特徴とする作業機械。
5. 請求項２に記載の作業機械であって、
   前記プルーフテスト装置は、
   前記プルーフテストの実行を促す警告情報を出力する警告部を更に備え、
   前記時間閾値記憶部は、前記テスト間隔閾値よりも短い時間であって、前記警告情報の出力要否の判定に用いる警告時間閾値を更に記憶し、
   前記間隔判定部が前記テスト後経過時間は前記警告時間閾値以上であると判定すると、前記警告部は、前記警告情報を出力する、
   ことを特徴とする作業機械。
6. 請求項１に記載の作業機械であって、
   油圧アクチュエータと、
   前記油圧アクチュエータの動作禁止及び前記動作禁止の解除の入力操作を受け付けるゲートロックレバーと、
   を更に備え、
   前記テスト実行部は、前記ゲートロックレバーが前記動作禁止の入力操作を受け付けている場合は、前記テスト実行可能条件を充足していると判定する、
   ことを特徴とする作業機械。
7. 請求項６に記載の作業機械であって、
   最後にプルーフテストを完了してからのテスト後経過時間を計測するテスト後時間計測部と、
   最後にプルーフテストを実行してから次にプルーフテストを実行するまでの許容時間を示すテスト間隔閾値よりも短い時間であって、１回のプルーフテストを複数ブロックに分けて実行する際に、全てのブロックが完了する前に実行中のプルーフテストの中断を禁止するか否かの判定に用いる中断不能時間を記憶する時間閾値記憶部と、
   前記テスト後経過時間が前記中断不能時間以上であるかを判定する間隔判定部と、
   前記ゲートロックレバーの操作を無効にして実行中のプルーフテストを完了させる警告情報を出力する警告部と、を更に備え、
   前記テスト実行部が１回のプルーフテストに含まれる一つのブロックのテストを実行した後に前記ゲートロックレバーが動作禁止の解除の入力操作を受け付けると、前記間隔判定部は、前記テスト後経過時間及び前記中断不能時間を比較し、前記テスト後経過時間が前記中断不能時間以上であると判定すると、前記警告部は、前記警告情報を出力し、前記テスト実行部は、前記実行中のプルーフテストに含まれる残りのブロックを実行して当該プルーフテストを完了させる、
   ことを特徴とする作業機械。