JP5281396B2 - フェイルセーフ遠隔制御 - Google Patents

Description

本発明は、厳しい安全要求事項を有する環境内でのフェイルセーフインターフェースに関する。

本発明はまた、フェイルセーフインターフェースを必要とする遠隔制御に関する。

特に、本発明は、医療環境における患者テーブル内の動きを制御することができる一方、誤った状態による安全性の配慮を十分尽くしつつ品目の調整をなす必要があるシステムに用いることができる無線遠隔制御に関する。このような環境は、病院の手術及び検査室を含み、これらはＸ線機器やＭＲＩスキャナなどの幅広い機器とともに用いるための調整可能な患者テーブルを有するものである。

２０００年、ＩＥＣは、人や設備を危険な状況から守るためのＳＩＳ（Safety Instrumented Systems；安全性装備システム）を用いた会社をサポートするＩＥＣ６１５０８規格（"Functional Safety of Electrical/Electronic/Programmable Electronic Safety-Related System"）を認可した。ＩＥＣ６１５０８により４つの安全性インテグリティレベル（ＳＩＬ、レベル１〜４）が規定され、処理要求が生じたときにＳＩＳのインテグリティを統計的に表すようにしている。ＳＩＬは、装置インテグリティ、アーキテクチャ、ボーティング（voting）、診断、体系化された共通原因故障、テスティング、手術及びメンテナンスを考慮に入れている。ＳＩＬは、リスク低下のためのマグニチュード目標の順序を確立する。この目標異常対策は、要求に関する安全機能を行うための異常の平均確率（低い要求の動作の場合）か、時間当たりの危険な異常の確率（高い要求又は連続モードの動作の場合）に関して特定される安全性インテグリティ要件の観点で達成されるよう危険なモード異常の意図された確率である。ＳＩＬが高いほど、異常のインパクトは大きく、これにより、許容可能な異常レートが低くなる。ＳＩＬ指定を得るために用いられる方法は、よく確立された方法を用いて慎重にドキュメント化されなければならない。ＳＩＬを判定又は指定する第１のステップは、処理ハザード分析（ＰＨＡ；process hazards analysis）を行うことである。ＩＥＣ６１５０８の方法体系は、実際の評価の多くを、各個人に対して起こりうる負傷や災害、その他のリスクに絞るものである。

物品が有線又は無線遠隔制御を用いて調整される必要がある環境では、リレーにより切り換えられるアクチュエータが用いられることがある。特に当該物品が病院の患者テーブルであるときには、安全性に関する事項は、優先度が高い。

代表的な実施例において、マイクロコントローラは、無線遠隔制御のキーボード及び／又は移動可能な患者テーブルを制御するために用いられるフットスイッチの入力を読み取る。人が当該遠隔のものを制御するときには、そのマイクロプロセッサの出力はリレーを制御することになる。普通は、リモートコントロールにおけるマイクロコントローラは、エラーの状況になりうる。出力がスタック状態になると、患者テーブルは、非常に危険なものとなる可能性があり避けなければならない制御不能なものを動かす可能性がある。

マイクロコントローラがリレーに接続されている場合、半導体及びソフトウェアが絡まないので、エラー解析を行うのは難しい。このため、エラー又は異常状態を常に検出できるわけではない。安全性に関連した用途の場合、これは深刻な問題である。しかし、エラー状態が生じるときには、ダメージ、又はもっと悪ければ患者の負傷を回避するために、動きを直ちに停止するようにするのが望ましい。

また、従来より知られており周知の（確実な）動作を有するフェイルセーフシステムにおいて部品を用いることも望まれる。

したがって、本発明の目的は、遠隔制御のための安全性インターフェースを提供することである。

また、本発明の他の目的は、エラー状態が検出された場合にどんな動きも停止するようにした患者テーブルを調整するための遠隔制御のための安全性フィルタを提供することである。

一実施例において、マイクロコントローラは、安全性フィルタを用いたリレーを制御している。

他の実施例において、安全性フィルタは、当該マイクロコントローラが或る特定の周波数範囲内にある主要な成分の信号を出力するときにのみリレー制御起動信号を出力する帯域フィルタを有する。好適実施例において、この安全性フィルタは、フェイルセーフシステムにおいて用いられるのに十分に信頼性の高いものとすべき従来より知られている変圧器を有する。

他の実施例において、本発明は、当該テーブルを調整するようアクチュエータを制御するためのフェイルセーフ無線遠隔制御部を有する調整可能型患者テーブル（１００）を提供する。

好適実施例において、本発明は、安全性に関連した機能を制御するための遠隔制御部（１６０）を提供する。これは、第１のユーザ入力信号パス及び第２のユーザ入力信号パスと、当該第１の信号パスからの第１の信号及び当該第２の信号パスからの第２の信号を送信する送信器（１１０）と、当該第１の信号及び当該第２の信号を受信するための受信器（１２０）と、有効になった第１の信号に応答して第１のスイッチ制御出力信号を出力することのできる第１のスイッチ制御部と、有効となった第２の信号に応答して第２のスイッチ制御出力信号を出力することのできる安全性フィルタ（１５０）を有する第２のスイッチ制御部と、を有する。安全性に関連した機能は、第１のスイッチ制御部が有効となった第１のスイッチ制御出力信号を出力し、当該安全性フィルタが有効となった第２のスイッチ制御出力信号を出力するときにのみ起動可能である。

本発明のこれらの態様及びその他の態様は、次に説明する実施例に基づいて明らかとなる。

以下においては、添付図面を参照しつつ例示により詳しく本発明を説明する。

図面を通じて、同じ参照番号は、同じ要素、すなわち実質的に同じ機能を行う要素を指し示すものである。

図１は、本発明による安全性関連システム１００における遠隔制御システム１６０のブロック図を示している。システム１００は、キーボードスキャナ１０２と、フットスイッチ１０４（オフ状態で開放接点を持つ）と、遠隔制御システム１６０と、安全性関連装置１９０とを有する。遠隔制御システム１６０は、二重実行の冗長信号パス（第１パス（１ｓｔ）１０３及び第２パス（２ｎｄ）１０５として示されている）を有し、マイクロコントローラ１０６，１０８，１２２，１２４と、送信器１１０と、伝送パス１１５と、受信器１２０と、リレースイッチドライバ１４４と、増幅器１４０と、安全性フィルタ１５０とを有する。装置１９０は、リレー１７０及び１７２とモータ１８０とを有する。モータ１８０は、リレー１７０及び１７２の双方が起動されたときにのみ起動させられる。リレー１７０は、有効となった第１のスイッチ制御信号１５３によってのみ起動可能であり、リレー１７２は、有効となった第２のスイッチ制御信号１５５によってのみ起動可能である。

装置１９０の例は、例えば、アクチュエータの一部としてモータ１８０を用いて上下に移動可能な患者テーブルである。但し、システム１００が、少なくとも不稼働状態にあるリレー１７０及び１７２によりエラー状態に入ろうとするときには、いかなる動きも即座に停止させられることになる。さもなければ、例えば当該テーブル上に横たわる患者に対して危険の伴う状況を招きうる。

安全性関連システム１００における機能を安全に制御するため、制御ラインは二重に実行されるのが普通であり、第１のものに対して第２のものが冗長なものである。これは、機能当たり２つの出力ラインを有するフットスイッチ１０４及びキーボード１０２で始まる。マイクロコントローラ１０６及び１０８は、第１のパス１０３上の信号及び第２のパス１０５上の信号のインテグリティをチェックし、互いの状態もチェックする。異常状態の場合、マイクロコントローラは、動作を行うことができる信号を出力しない。マイクロコントローラ１０６及び１０８の他のタスクは、送信器１１０による送信のためのそれぞれの入力信号を生成することである。受信器１２０は、多重の送信信号を受信することになり、マイクロコントローラ１２２及び１２４に対してそれらをそれぞれの出力信号において分離することになる。送信パス１１５は、無線（例えばラジオ周波数、ＲＦ）、赤外線（ＩＲ）又は（例えば、同一の伝導キャリア上に変調された当該第１の信号及び第２の信号により）ケーブル伝導とすることができる。マイクロコントローラ１２２及び１２４は、各対応の入力信号のインテグリティをチェックすることになり、また、（好ましくはハンドシェークにより）異常状態について互いをチェックすることになる。ここでもエラー状態が検出されない場合は、マイクロコントローラ１２２は、リレースイッチドライバ１４４のための第１の制御信号１２６を出力することになる。また、ここでもエラー状態が検出されないと、マイクロコントローラ１２２は、第２の制御信号１２８を増幅器１４０に出力することになる。第２の制御信号１２８は、Ｆ１とＦ２との間のグランド周波数（通常はＦ０）成分を持つ（ブロック形の形状を持つ）周期的パルス列信号を有する。本思想は、マイクロコントローラがエラー状態にあるときには、そのような普通はソフトウェアで発生されるブロック形形状の信号を出力することができない、というものである。Ｆ１は、０Ｈｚよりも大きくなり、Ｆ２は、マイクロコントローラ１２４のタクト周波数よりも小さいものとなる。

かかるパルス列信号は、リレー１７０を制御するために用いられることになる。しかし、このパルス列が当該リレーに達する前に、増幅器１４０を通過しその後に（好ましくは狭帯域）フィルタ１５０を通過することになる。マイクロコントローラ１２４から到来する信号１２８は、普通はフィルタ１５０を通過した後にリレー１７０を駆動するのに十分強力なものではないので、増幅器が必要になることがある。この帯域通過フィルタは、専ら、パルス列が帯域通過フィルタと整合する主周波数成分を有するときに（つまり、Ｆ１＜周波数＜Ｆ２）、十分な信号を出力することになる。

図２は、本発明による安全性関連システム１００における遠隔制御システム１００に用いられる安全性フィルタ１５０のベストモード実現形態を示している。

フィルタ１５０は、キャパシタＣ０及び変圧器Ｔ０を有するＬＣバンドパスフィルタ１５２と、整流ダイオードＤ１と、キャパシタＣ１とを含む。能動動作において、フィルタ１５０は、ブロック波信号を受信し、この信号は、キャパシタＣ０及び変圧器Ｔ０を有する選択変圧器により帯域通過フィルタリング処理が施され、次いでダイオードＤ１及びキャパシタＣ１により実質的に整流されることになる。結果として得られるＣＤ出力信号は、リレー１７０を駆動することにより当該スイッチを閉成するのに十分強力なものになる。

図３は、本発明によるベストモードの実施例による、安全性フィルタ１５０の周波数応答３１０と、当該安全性フィルタ応答に対するリレー１７０の感応性３２０を示している。ＬＣバンドパスフィルタ１５２は、「３１０」におけるような特性を持つ狭帯域フィルタとして振る舞う。Ｆ１＜周波数＜Ｆ２の主周波数成分を有するパルス列がフィルタ１５０に供給されるとき、ＤＣ信号は、リレースイッチ１７０を活性化するのに十分に大きなフィルタ１５０の出力に現われることになる。このフィルタは、Ｄ１及びＣ１によってフィルタ後のパルス列を整流する。エラー状態（マイクロコントローラ内のソフトウェアエラー又はハードウェアエラー）の場合、当該専用周波数は、マイクロコントローラ１２４により伝送されないものとなる。

Ｆ０よりも著しく高いか又は低い周波数の信号は、当該（帯域）フィルタを実質的に通過することはなく、リレー１７０を稼働させない。構成部Ｃ０，Ｔ０，Ｄ１及びＣ１は、注意深く選択されるのがよく、また、非常に信頼性高くかつ予測可能なものとして知られているのがよい。これら構成部は、受動型なので、異常分析のために考慮に入れる必要のあるエラー状態の数は、大幅に限定され、これにより、ＩＥＣ６１５０８のような安全規準に準拠した動作を実現することができる。

最も信頼性の高いフェイルセーフ動作を保証するため、システム１００において用いられる全ての構成部は、高い信頼性でかつ簡単なものに選定されるのがよい。そのために、可能なかぎり周知のもので検査を受けた部品を用いることが推奨される。全てのこうした構成部の挙動は知られているので、全てのエラーのケースを分析しかつ設計段階においてシミュレーションすることができる。

フェイルセーフの有線又は無線遠隔制御は、ケーブルが危険なものとなり医療機器の操作をぎこちないものとする医療セッティングにおいて非常に有用なものとなる。遠隔制御は、例えば患者テーブルの動きを制御するために用いることができる。それは例えば、テーブルに横たわる患者を検査するために医療システムに対してテーブルを操縦するときに有益なものとすることができる。遠隔制御は、安全性事項が役割を果たす場合に非常に広い領域の使用において当該遠隔制御が適用可能なシステムにおいて遠隔制御により患者テーブルの垂直／水平移動を制御するために良好に用いることができる。

当業者であれば、説明した制御及び／又はシステムにおいて改変することによりフェイルセーフ遠隔制御をなすよう代替えの方策を考案することが可能であることが分かる筈である。例えば、予めプログラムされた状態マシンは、マイクロコントローラ１０６，１０８，１２２及び１２４を置換することができる。モータを制御することに代えて、他の機能を、Ｘ線機器の照射の活性化又はその使用が安全規則を有する他の機能の活性化（又は不活性化）するなどの、リレー１７０及び１７２を用いたスイッチとすることもできる。

上述では本発明の原理を示したに過ぎない。したがって、当業者であれば、ここでは明確に説明しなかったり図示しなかったものの本発明の原理を具現化しこれによりその精神及び範囲内にある様々な構成を考案することができることとなる。

例えば、複数の独立したフットスイッチ及び／又はキーボード信号は、異なる（例えば安全性に関連した）機能を制御するためにマイクロコントローラ１０６及び１０８に接続可能である。したがって、マイクロコントローラ１２２及び１２４は、異なる機能を制御するために複数の信号を出力することができる。機能毎に、異なる安全性フィルタ１５０を異なる通過帯域作用にて創出することもできる。

本発明による安全性関連システム１００における遠隔制御システム１６０のブロック図。 本発明による安全性関連システム１００における遠隔制御システム１００において用いられる安全性フィルタ１５０のベストモード実現形態を示す図。 本発明によるベストモードの実施例による安全性フィルタ１５０の周波数応答及び安全性フィルタ応答に対するリレー１７０の感応性を示す図。

Claims (9)

1. 安全性関連機能を制御する遠隔制御装置であって、
   第１の入力信号パス及び第２の入力信号パスと、
   前記第１の信号パスからの第１の信号と前記第２の信号パスからの第２の信号とを送信する送信器と、
   前記第１の信号及び前記第２の信号を受信する受信器と、
   前記第１の信号に基づいてエラー状態が存在するかどうか検出し、前記エラー状態が検出されない場合、前記安全性関連機能を機能させるための第１のスイッチ制御信号を出力することのできる第１のスイッチ制御部と、
   安全性フィルタを有する第２のスイッチ制御部であって、前記第２の信号に基づいてエラー状態が存在するかどうか検出し、前記エラー状態が検出されない場合に制御信号を出力し、前記安全性フィルタによって、前記制御信号を帯域フィルタリングして前記安全性関連機能を機能させるための第２のスイッチ制御信号を出力する、第２のスイッチ制御部と、
   を有し、
   前記安全性関連機能は、前記第１のスイッチ制御部が有効な第１のスイッチ制御信号を出力し前記安全性フィルタが有効な第２のスイッチ制御信号を出力するときにのみ起動可能とされ、
   前記第１のスイッチ制御信号は、前記安全性関連機能を制御するために第１のスイッチに結合可能であり、
   前記第２のスイッチ制御部は、前記安全性関連機能を制御するために第２のスイッチに結合可能であり、
   前記安全性フィルタは、変圧器を有する帯域通過フィルタを有する、遠隔制御装置。
2. 請求項１に記載の遠隔制御装置であって、前記第１及び第２のスイッチのうちの少なくとも一方は、リレーを有する、装置。
3. 請求項１又は２に記載の遠隔制御装置であって、無線遠隔制御部を有する装置。
4. 当該デバイスを調整するモータを有するデバイスと、
   オペレータが前記デバイスを所望の状態に調整することを可能にするための請求項１に記載の遠隔制御装置と、
   を含む安全性関連システムであって、
   前記モータは、当該有効な第１のスイッチ制御信号及び当該有効な第２のスイッチ制御信号が存在するときにのみ起動可能とされる、
   システム。
5. 請求項４に記載の安全性関連システムであって、前記遠隔制御装置は、無線遠隔制御部を有する、システム。
6. 当該デバイスを調整するためのモータを有するデバイスと、
   オペレータが前記デバイスを所望の状態に調整することを可能にするための請求項２に記載の遠隔制御装置と、
   を含む安全性関連システムであって、
   前記モータは、当該有効な第１のスイッチ制御信号が前記第１のスイッチを起動し当該有効な第２のスイッチ制御信号が前記第２のスイッチを起動するときにのみ起動可能とされる、
   システム。
7. 請求項６に記載の安全性関連システムであって、前記第１及び第２のスイッチのうちの少なくとも一方は、リレーを有する、システム。
8. 請求項７に記載の安全性関連システムであって、前記デバイスは、調整可能な患者テーブルを有する、システム。
9. 請求項７又は８に記載の安全性関連システムであって、前記遠隔制御装置は、無線遠隔制御部を有する、システム。

Images