JP5435621B2 - 安全制御装置、ロボット、システム、プログラム、及び、記録媒体 - Google Patents

Description

本発明は、ロボット、及び、ロボットと併用する安全制御装置に関する。また、それらの装置を含むシステム、コンピュータをそれらの装置として動作させるためのプログラム、及び、それらのプログラムを記録した記録媒体に関する。

稼動領域を人間の存在領域と共有する次世代ロボットの開発が進められている。次世代ロボットの用途は多岐に渡り、産業用ロボットのみならず、掃除ロボット、警備ロボット、チャイルドケアロボット、インテリジェント車椅子などの実用化が期待されている。

次世代ロボットが人間に危害を及ぼすリスクを軽減するために、安全制御装置が併用される。安全制御装置とは、危険状態（ロボットが人間に危害を及ぼし得る状態）にあることを検知したときに危険を回避するようロボットを制御する装置を指す。

このような安全制御装置としては、例えば、特許文献１に記載のセーフティーコントローラが挙げられる。このセーフティーコントローラは、ロボットと作業者との間に設けられた侵入禁止領域にロボットまたは作業者が侵入したことを検知すると、作業者との衝突を回避するようロボットを停止または減速させる。

また、次世代ロボットが人間に危害を及ぼすリスクを更に軽減するために、多重化された安全制御装置が併用される。多重化された安全制御装置とは、２以上の安全制御手段（危険状態にあることを検知したときに危険を回避するよう制御する手段）を備えた安全制御装置を指す。

このような多重化された安全制御装置としては、例えば、ＥＬＡＮ社製のESALAN Safety Controllerが挙げられる。なお、２以上の安全制御手段を、ロボットに内蔵してもよい。このようなロボットとしては、例えば、ＫＵＫＡ社製の協調ロボットが挙げられる。

特開２００７−２８３４５０（公開日：２００７年１１月 １日）

しかしながら、上述した従来の構成には、以下のような問題があった。

安全制御手段を安全制御装置に内蔵した場合、安全制御手段とロボットとの間の通信速度が、通信インタフェースの上限速度以下に制限されてしまう。また、安全制御手段とロボットとの間で同時に送受信可能な情報の種類が、通信インタフェースのチャンネル数以下に制限されてしまう。このため、上述したESALAN Safety Controllerのように、２つの安全制御手段を安全制御装置に内蔵する従来の構成においては、きめ細かな安全制御を行なうことが困難であるという問題があった。

この問題は、上述した協調ロボットのように２つの安全制御手段をロボットに内蔵する構成を採用することによって解決することができる。しかしながら、このような構成を採用すると、２つの安全性制御手段をロボットと別個に使用することができず、安全性を確保する必要がなくなったときにこれら２つの安全制御手段が無駄になるという新たな問題が生じる。

本発明は、上記問題点に鑑みてなされたものであり、その目的は、安全制御手段を内蔵したロボットと併用することによって、該安全制御手段を２重化することができ、また、該ロボットと別個に使用することができる安全制御装置を実現することにある。

上記課題を解決するために、本発明に係る安全制御装置は、センサにより検出された外界の状態に応じて内部状態を遷移させ、内部状態が予め設定された特定の状態にあるときにサーボ機構への電力供給を絶つ第１の安全制御手段を備えたロボットと併用される安全制御装置において、上記センサにより検出された外界の状態に応じて内部状態を遷移させ、内部状態が予め設定された特定の状態にあるとき、及び、内部状態が上記第１の安全制御手段の内部状態と同期していないときに、上記サーボ機構への電力供給を絶つ第２の安全制御手段を備えている、ことを特徴としている。

上記ロボットが備えている上記第１の安全制御手段は、上記センサにより検出された外界の状態に応じて内部状態を遷移させ、内部状態が予め設定された特定の状態（ロボットが人間に危害を及ぼし得る状態に対応する内部状態）にあるときにサーボ機構への電力供給を絶つ。したがって、上記第１の安全制御手段の不具合によって、外界の状態がロボットが人間に危害を及ぼし得る状態にあるにも関わらず、上記第１の安全制御手段の内部状態を上記特定の状態以外の状態に遷移させてしまうと、上記サーボ機構に電力が供給され続け、上記サーボ機構により引き起こされる上記ロボットの動作が人間に危害を及ぼすリスクが生じる。

しかしながら、上記安全制御装置が備えている上記第２の安全制御手段は、内部状態上記第１の安全制御手段の内部状態と同期していないときに、サーボ機構への電力供給を断つ。このため、上記第１の安全制御手段の不具合によって、外界の状態がロボットが人間に危害を及ぼし得る状態にあるにも関わらず、上記第１の安全制御手段の内部状態を予め設定された特定の状態以外の状態に遷移させてしまっても、上記安全制御装置が備えている上記第２の安全制御手段が正常に動作していれば、上記サーボ機構により引き起こされるロボットの動作が人間に危害を及ぼすリスクを回避することができる。

すなわち、上記安全制御装置を上記ロボットと併用することによって、上記ロボットが備えている上記第１の安全制御手段を２重化し、その耐性を向上させることができる。

しかも、上記安全制御装置は、上記ロボットと別個に使用することができる。したがって、あるロボットが備えている安全制御手段を２重化する必要がなくなったら、他のロボットが備えている安全制御手段を２重化するために上記安全制御装置を使用することができる。

本発明に係る安全制御装置においては、上記特定の条件として、上記第１の安全制御手段が内部状態を遷移させるための条件とは異なる条件が設定されている、ことが好ましい。

例えば、上記特定の条件（上記第２の安全制御手段が上記サーボ機構への電力供給を遮断させるための条件）として、上記第１の安全制御手段が内部状態を遷移させるための条件より簡単または大まかな条件が設定されている場合、上記ロボットに内蔵された上記第１の安全制御性手段によって、より複雑またはきめ細かな安全制御を行い、上記ロボットに接続された上記第２の安全制御手段によって、より簡単または大まかな安全制御を行なうという、最適な機能分担を実現することができる。

本発明に係る安全制御装置において、上記第２の安全制御手段は、当該第２の安全制御手段の内部状態を上記第１の安全制御手段の内部状態と同期させるときに加え、上記第１の安全制御手段から供給されるウォッチドッグ信号が一定期間検出されなかったときに、上記サーボ機構への電力供給を絶つ、ことが好ましい。

上記構成によれば、上記第１の安全制御手段が正常に動作しなくなったときに、上記ロボットが備えているサーボ機構への電力供給を絶つことができる。したがって、上記第１の安全制御手段が正常に動作していないことに起因して生じる、上記ロボットの動作が人間に危害を及ぼすリスクを回避することができる。

上記課題を解決するために、本発明に係るロボットは、センサにより検出された外界の状態に応じて内部状態を遷移させ、内部状態が予め設定された特定の状態にあるときにサーボ機構への電力供給を絶つ第２の安全制御手段を備えた安全制御装置と併用される、上記サーボ機構を備えたロボットにおいて、上記センサにより検出された外界の状態に応じて内部状態を遷移させ、内部状態が予め設定された特定の状態にあるとき、及び、内部状態が上記第２の安全制御手段の内部状態と同期していないときに、サーボ機構への電力供給を絶つ第１の安全制御手段を備えている、ことを特徴としている。

上記構成によれば、上記ロボットを上記安全制御装置とを併用することによって、上記ロボットが備えている上記第１の安全制御手段を２重化し、その耐性を向上させるという効果を奏する。しかも、上記安全制御装置は、上記ロボットと別個に使用することができる。

上記課題を解決するために、本発明に係るシステムは、第１の安全制御手段を備えたロボットと、第２の安全制御手段を備えた安全制御装置とを含むシステムにおいて、上記第１の安全制御手段は、センサにより検出された外界の状態に応じて内部状態を遷移させ、内部状態が予め設定された特定の状態にあるとき、及び、内部状態が上記第２の安全制御手段の内部状態と同期していないときに、上記ロボットのサーボ機構への電力供給を絶つものであり、上記第２の安全制御手段は、上記センサにより検出された外界の状態に応じて内部状態を遷移させ、内部状態が予め設定された特定の状態にあるとき、及び、内部状態が上記第１の安全制御手段の内部状態と同期していないときに、上記サーボ機構への電力供給を断つものである、ことを特徴としている。

上記構成によれば、上記ロボットを上記安全制御装置とを併用することによって、上記ロボットが備えている上記第１の安全制御手段を２重化し、その耐性を向上させるという効果を奏する。しかも、上記安全制御装置は、上記ロボットと別個に使用することができる。

また、本発明に係る安全制御装置は、コンピュータによって実現してもよい。この場合、コンピュータを上記各手段として動作させることにより、上記安全制御装置をコンピュータにおいて実現するプログラム、および、そのプログラムを記録したコンピュータ読み取り可能な記録媒体も、本発明の範疇に入る。

また、本発明に係るロボットも、コンピュータによって実現してもよい。この場合、コンピュータを上記各手段として動作させることにより、上記ロボットをコンピュータにおいて実現するプログラム、および、そのプログラムを記録したコンピュータ読み取り可能な記録媒体も、本発明の範疇に入る。

本発明に係る安全制御装置は、センサにより検出された外界の状態に応じて内部状態を遷移させ、内部状態が予め設定された特定の状態にあるとき、及び、内部状態がロボットが備えている第１の安全制御手段の内部状態と同期していないときに、上記サーボ機構への電力供給を絶つ第２の安全制御手段を備えている。また、本発明に係るロボットは、センサにより検出された外界の状態に応じて内部状態を遷移させ、内部状態が予め設定された特定の状態にあるとき、及び、内部状態が安全制御装置が備えている第２の安全制御手段の内部状態と同期していないときに、サーボ機構への電力供給を絶つ第１の安全制御手段を備えている。

このため、上記ロボットを上記安全制御装置とを併用することによって、上記ロボットが備えている上記第１の安全制御手段を２重化し、その耐性を向上させるという効果を奏する。しかも、上記安全制御装置は、上記ロボットと別個に使用することができる。

本発明の実施形態を示すものであり、ロボットおよび安全制御装置の構成を示すブロック図である。 本発明の実施形態を示すものであり、ロボットおよび安全制御装置の動作を示す状態遷移図である。 本発明の実施形態を示すものであり、ロボットおよび安全制御装置をシステムの概要を示す図である。

本実施形態に係るロボットおよび安全制御装置について、図面に基づいて説明すれば以下のとおりである。

（システムの構成）
まず、本実施形態に係るロボット１および安全制御装置２を含むシステムの概要について、図３を参照して説明する。図３は、本実施形態に係るロボット１および安全制御装置２を含むシステムの概要を示す図である。

本システムに含まれるロボット１は、必要なときに必要な部品を作業者５に供給することによって、組み立て作業を支援する産業用ロボットである。本システムにおいては、ロボット１の作業空間と作業者５の作業空間とが重複するため、共有空間６（ロボット１の作業空間と作業者５の作業空間との重複部分）においてロボット１と作業者５とが接触するリスクがある。

そこで、本システムにおいては、ロボット１と作業者５とが同時に共有空間６に侵入したときにロボット１を停止させるという保護方策を採る。このような保護方策を採るために、本システムにおいては、共有空間６の作業者側およびロボット側の境界に設けられたライトカーテン７およびライトカーテン８を用いる。

ライトカーテン７は、光源７ａと、光源７ａから発せられた光線を受光するセンサ７ｂとからなり、センサ７ｂの出力信号は、ロボット１および安全制御装置２に供給される。同様に、ロボット側のライトカーテン８は、光源８ａと、光源８ａから発せられた光線を受光するセンサ８ｂとからなり、センサ８ｂの出力信号はロボット１の制御部１１および安全制御装置２に供給される。

もう少し具体的に言うと、センサ７ｂは、作業者５が共有空間６内に侵入しているか否かを示す出力信号（例えば、作業者５が共有空間６内に侵入しているときに値１、そうでないときに値０をとる出力信号）を、ロボット１の制御部１１および安全制御装置２に供給する。一方、センサ８ｂは、ロボット１が共有空間６内に侵入しているか否かを示す出力信号（例えば、ロボット１が共有空間６内に侵入しているときに値１、そうでないときに値０をとる出力信号）を、ロボット１の制御部１１および安全制御装置２に供給する。

後述するように、ロボット１の制御部１１および安全制御装置２は、センサ７ｂおよび８ｂからの出力信号を参照して危険状態（ロボット１が共有空間６に侵入しており、かつ、作業者５が共有空間６内に侵入している状態）にあることを検知すると、ロボット１のサーボ機構１２への電力供給を絶つように構成されている。これにより、共有空間６においてロボット１と作業者５とが接触するリスクを回避することができる。

なお、本システムにおいては、ロボット１の状態を、ライトカーテン８によって検知しているが、ロボット１の状態を、ロボット１内に設けられた関節センサによって検知するようにしてもよい。また、本システムにおいては、作業者５の状態を、ライトカーテン７によって検知するようにしているが、作業者５が押すボタンにより検知するようにしてもよい。

（ロボット１および安全制御装置２の構成）
次に、本実施形態に係るロボット１および安全制御装置２の構成について、図１を参照して説明する。図１は、ロボット１および安全制御装置２の構成を示すブロック図である。

ロボット１は、図１に示したように、制御部１１と、サーボ機構１２と、電源部１３と、通信インタフェース１４および１５とを備えている。また、制御部１１は、通信インタフェース１４を介して安全制御装置２と接続されており、また、通信インタフェース１５を介してセンサ７ｂおよび８ｂと接続されている。

ロボット１の制御部１１は、記憶部（不図示）とＣＰＵ（不図示）とを備えており、記憶部から読み出した主制御プログラムの命令をＣＰＵにて実行することによって、ロボット１のサーボ機構１２を制御する主制御手段１１ａとして機能する。また、制御部１１は、記憶部から読み出した安全制御プログラムの命令をＣＰＵにて実行することによって、第１の安全制御手段１１ｂとして機能する。なお、安全制御プログラムは、主制御プログラムに対するプラグインとなっている。安全制御手段１１ｂの動作については、参照する図面を代えて後述する。

一方、安全制御装置２は、図１に示したように、第２の安全制御手段として機能するＦＰＧＡ基板（Field Programmable Gate Array）２１と、電源部１３からサーボ機構１２へ電力を供給するか否かを切り替えるリレー基板（リレースイッチ）２２と、通信インタフェース２３および２４とを備えている。また、ＦＰＧＡ基板２１は、通信インターフェース２３を介してロボット１の制御部１１と接続されており、通信インタフェース２４を介してセンサ７ｂおよび８ｂと接続されている。ＦＰＧＡ基板２１の動作については、参照する図面を代えて後述する。

（安全制御手段１１ｂおよびＦＰＧＡ基板２１の動作）
次に、ロボット１の安全制御手段１１ｂ、および、安全制御装置２のＦＰＧＡ基板２１の動作について、図２を参照して説明する。図２は、ロボット１の安全制御手段１１ｂの動作を示す状態遷移図である。

安全制御手段１１ｂは、起動処理手段１１ｃと、状態監視手段１１ｃとを含んでおり、内部状態を遷移させながら、そのときの内部状態に応じた動作を行なう。安全制御手段１１ｂが取り得る内部状態は、図２に示したように、サーボ機構１２に電力を供給しないサーボＯＦＦ状態Ｓ１０と、サーボ機構１２に電力を供給するサーボＯＮ状態Ｓ２０とに大別される。そして、サーボＯＦＦ状態Ｓ１０は、起動準備状態Ｓ１１と、危険状態Ｓ１２と、異常検知状態Ｓ１３とを含み、サーボＯＮ状態２０は、通常稼働状態Ｓ２１と、ロボット侵入状態Ｓ２２とを含む。なお、ＦＰＧＡ基板２１も、内部状態を遷移させながら、そのときの内部状態に応じた動作を行なう。ＦＰＧＡ基板２１が取り得る内部状態は、安全制御手段１１ｂが取り得る内部状態と同一である。

ロボット１の主制御手段１１ａは、サーボ機構１２の動作を開始させる前に安全制御手段１１ｂに起動許可を求める。主制御手段１１ａは、起動許可要求に対する応答として、起動処理手段１１ｃから起動許可を得ると、サーボ機構１２の動作を開始させる。

安全制御手段１１ｂの起動処理手段１１ｃは、主制御手段１１ａから起動許可を求められると、センサ７ｂおよび８ｂの出力信号を参照し、ロボット１および作業者５が共有空間６に侵入しているか否かを判定する。そして、ロボット１も作業者５も共有空間６に侵入していないと判定した場合、（１）リレースイッチ２２を導通状態に切り替え、（２）内部状態を起動準備状態Ｓ１１から通常稼動状態Ｓ２１へと遷移させ、（３）状態監視手段１１ｃに状態監視の開始を指示し、（４）安全制御装置２に対して起動コマンドを発行する。

一方、ＦＰＧＡ基板２１の起動処理手段２２ａは、安全制御手段１１ｂから起動コマンドが発行されると、センサ７ｂおよび８ｂの出力信号を参照し、ロボット１および作業者５が共有空間６に侵入しているか否かを判定する。そして、ロボット１も作業者５も共有空間６に侵入していないと判定した場合、（１）リレースイッチ２２を導通状態に切り替え、（２）内部状態を起動準備状態Ｓ１１から通常稼動状態Ｓ２１へと遷移させ、（３）ＦＰＧＡ基板２１の状態監視手段２２ｂに状態監視の開始を指示し、（４）起動コマンドに対する応答として、内部状態を通常稼動状態Ｓ２１に遷移させたことを安全制御手段１１ｂに通知する。一方、ロボット１または作業者５が共有空間６に侵入していると判定した場合、上記の処理を行うことなく、（４’）起動コマンドに対する応答として、内部状態を通常稼動状態Ｓ２１に遷移させなかったことを安全制御手段１１ｂに通知する。

安全制御手段１１ｂの起動処理手段１１ｃは、起動コマンドに対する応答として、ＦＰＧＡ基板２１の内部状態を通常稼動状態Ｓ２１に遷移させたことが通知されると、主制御手段１１ａに対して起動許可を与える。逆に、起動コマンドに対する応答として、ＦＰＧＡ基板２１の内部状態を通常稼動状態Ｓ２１に遷移させなかったことが通知されると、主制御手段１１ａに対して起動許可を与えずに、リレースイッチ２２を遮断状態に切り替え、内部状態を異常検知状態Ｓ１３に遷移させる。

このような手順を踏むことにより、安全制御手段１１ｂおよびＦＰＧＡ基板２１の少なくとも何れか一方が正常に動作している限り、ロボット１または作業者５が共有空間６に侵入しているにもかかわらずロボット１が動作を開始することはない。

安全制御手段１１ｂの状態監視手段１１ｃは、起動処理手段１１ｃから状態監視の開始を指示されると、センサ８ｂの出力信号の監視を開始する。そして、通常可能状態Ｓ２１において、ロボット１が共有空間６に侵入したことを検知すると、内部状態を通常稼動状態Ｓ２１からロボット侵入状態Ｓ２２へと遷移させ、センサ７ｂおよびセンサ８ｂの出力信号の監視を開始する。ロボット侵入状態Ｓ２２において、ロボット１が共有空間６から退去したことを検知すると、内部状態をロボット侵入状態Ｓ２２から通常稼動状態Ｓ２１へと遷移させ、センサ８ｂの出力信号の監視を再開する。一方、ロボット侵入状態Ｓ２２において、作業者５が共有空間６に侵入したことを検知すると、リレースイッチ２２を遮断状態に切り替え、内部状態をロボット侵入状態Ｓ２２から危険状態Ｓ１２へと遷移させる。

ＦＰＧＡ基板２１の状態監視手段２２ｂも、安全制御手段１１ｂの状態監視手段１１ｃと同様に動作する。したがって、安全制御手段１１ｂまたはＦＰＧＡ基板２１の何れか一方に不具合があっても、ロボット１と作業者５との両方が共有空間６に侵入すれば、リレースイッチ２２が遮断状態となりロボット１のサーボ機構１２が停止する。

さらに、安全制御手段１１ｂの状態監視手段１１ｃは、内部状態をある状態（例えば、危険状態Ｓ２２）に遷移させたときに、内部状態をその状態（例えば、危険状態Ｓ２２）に遷移させたことを、ＦＰＧＡ基板２１に通知する。また、ＦＰＧＡ基板２１の状態監視手段２２ｂは、内部状態をある状態（例えば、危険状態Ｓ２２）に遷移させたときに、内部状態をその状態（例えば、危険状態Ｓ２２）に遷移させたことを、安全制御手段１１ｂに通知する。

そして、安全制御手段１１ｂの状態監視手段１１ｃは、（自らの）内部状態をある状態（例えば、危険状態Ｓ２２）に遷移させたときに、ＦＰＧＡ基板２１からの通知に基づいてＦＰＧＡ基板２１の内部状態がその状態（例えば、危険状態Ｓ２２）に遷移しているかを判定し、遷移していないと判定した場合には、リレースイッチ２２を遮断状態に制御したうえ、内部状態を異常検知状態Ｓ１３に遷移させる。また、ＦＰＧＡ基板２１の状態監視手段２２ｂは、（自らの）内部状態をある状態（例えば、危険状態Ｓ２２）に遷移させたときに、ＦＰＧＡ基板２１からの通知に基づいて、ＦＰＧＡ基板２１の内部状態がその状態（例えば、危険状態Ｓ２２）に遷移しているかを判定し、遷移していないと判定した場合には、リレースイッチ２２を遮断状態に制御したうえ、内部状態を異常検知状態Ｓ１３に遷移させる。このように、内部状態の遷移（例えば、危険状態Ｓ２２への遷移）が安全制御手段１１ｂとＦＰＧＡ基板２１との間で同期しているか否かを確認する構成を採用することによって、一方に不具合が生じた不具合を他方において検知することができる。

なお、安全制御手段１１ｂを、ＦＰＧＡ基板２１にウォッチドッグ信号を送信するように構成し、ＦＰＧＡ基板２１を、ウォッチドッグ信号を正常に受信できなかった（ウォッチドッグ信号を一定期間検出できなかった）ときに、リレースイッチ２２を遮断状態に切り替え、内部状態を異常検知状態Ｓ１３に遷移させるように構成してもよい。同様に、ＦＰＧＡ基板２１を、安全制御装置１１ｂにウォッチドッグ信号を送信するように構成し、安全制御手段１１ｂを、ウォッチドッグ信号を正常に受信できなかったときに、リレースイッチ２２を遮断状態に切り替え、内部状態を異常検知状態Ｓ１３に遷移させるように構成してもよい。

また、緊急停止ボタンを設け、安全制御手段１１ｂおよびＦＰＧＡ基板２１を、通常稼動状態Ｓ２１において緊急停止ボタンが押下されたときに、リレースイッチ２２を遮断状態に切り替え、内部状態を起動準備状態Ｓ１１に遷移させるように構成してもよい。

また、ＦＰＧＡ基板２１が、センサ７ｂおよび８ｂによって検出された状態が危険状態であるか否かを判定する判定基準は、安全制御手段１１ｂが、外部センサ３ａによって検出された状態が危険状態であるか否かを判定する判定基準と同一であってもよいし、異なっていてもよい。たとえば、ＦＰＧＡ基板２１においては、より簡単なアルゴリズムで、より大まかな判定をし、安全制御手段１１ｂにおいては、より複雑なアルゴリズムで、よりきめ細かな判定をすることなどが考えられる。また、ＦＰＧＡ基板２１が、センサ７ｂおよび８ｂによって検出された状態が危険状態であるか否かを判定する時間間隔を、安全制御手段１１ｂが、センサ７ｂおよび８ｂによって検出された状態が危険状態であるか否かを判定する時間間隔よりも長くすることによって、ＦＰＧＡ基板２１においては、より大まかな判定をし、安全制御手段１１ｂにおいては、よりきめ細かな判定をすることなども考えられる。

また、本実施形態において取り得る内部状態は、図３に示したシステムに即して定めたものであり、これに限定されるわけではない。すなわち、取り得る内部状態をシステムに即して適宜変更したものも本発明の範疇に含まれる。

（プログラムおよび記録媒体）
最後に、制御部１１に含まれている主制御手段１１ａおよび安全制御手段１１ｂは、上述したとおり、ＣＰＵ（Central Processing Unit）を用いてソフトウェアによって実現してもよいし、そうではなくて、ハードウェアロジックによって構成してもよい。また、安全制御装置２の安全制御機能は、上述したとおり、ＦＰＧＡ基板２１に書き込んだハードウェアロジックとして構成してもよいし、そうではなくて、ＣＰＵを用いてソフトウェアによって実現してもよい。

すなわち、主制御手段１１ａおよび安全制御手段１１ｂは、各機能を実現するプログラムの命令を実行するＭＰＵなどのＣＰＵ、このプログラムを格納したＲＯＭ（Read Only Memory）、上記プログラムを実行可能な形式に展開するＲＡＭ（Random Access Memory）、および、上記プログラムおよび各種データを格納するメモリ等の記憶装置（記録媒体）を備えている。

そして、本発明の目的は、主制御手段１１ａおよび安全制御手段１１ｂのプログラムメモリに固定的に担持されている場合に限らず、上記プログラムのプログラムコード（実行形式プログラム、中間コードプログラム、または、ソースプログラム）を記録した記録媒体を光ディスクドライブ１００に供給し、光ディスクドライブ１００が上記記録媒体に記録されている上記プログラムコードを読み出して実行することによっても、達成可能である。

上記記録媒体は、特定の構造または種類のものに限定されない。すなわちこの記録媒体は、たとえば、磁気テープやカセットテープ等のテープ系、フロッピー（登録商標）ディスク／ハードディスク等の磁気ディスクやＣＤ−ＲＯＭ／ＭＯ／ＭＤ／ＤＶＤ／ＣＤ−Ｒ等の光ディスクを含むディスク系、ＩＣカード（メモリカードを含む）／光カード等のカード系、あるいはマスクＲＯＭ／ＥＰＲＯＭ／ＥＥＰＲＯＭ／フラッシュＲＯＭ等の半導体メモリ系などとすることができる。

また、主制御手段１１ａおよび安全制御手段１１ｂ（または光ディスクドライブ１００）を通信ネットワークと接続可能に構成しても、本発明の目的を達成できる。この場合、上記のプログラムコードを、通信ネットワークを介して主制御手段１１ａおよび安全制御手段１１ｂに供給する。この通信ネットワークは主制御手段１１ａおよび安全制御手段１１ｂにプログラムコードを供給できるものであればよく、特定の種類または形態に限定されない。たとえばインターネット、イントラネット、エキストラネット、ＬＡＮ、ＩＳＤＮ、ＶＡＮ、ＣＡＴＶ通信網、仮想専用網（Virtual Private Network）、電話回線網、移動体通信網、衛星通信網等であればよい。

この通信ネットワークを構成する伝送媒体も、プログラムコードを伝送可能な任意の媒体であればよく、特定の構成または種類のものに限定されない。たとえばＩＥＥＥ１３９４、ＵＳＢ、電力線搬送、ケーブルＴＶ回線、電話線、ＡＤＳＬ（Asymmetric Digital Subscriber Line）回線等の有線でも、ＩｒＤＡやリモコンのような赤外線、Ｂｌｕｅｔｏｏｔｈ（登録商標）、８０２．１１無線、ＨＤＲ、携帯電話網、衛星回線、地上波デジタル網等の無線でも利用可能である。なお本発明は、上記プログラムコードが電子的な伝送で具現化された、搬送波に埋め込まれたコンピュータデータ信号の形態でも実現され得る。

安全制御装置２が有している安全制御機能についても同様である。

（付記事項）
本発明は上述した実施形態に限定されるものではなく、請求項に示した範囲で種々の変更が可能であり、異なる実施形態にそれぞれ開示された技術的手段を適宜組み合わせて得られる実施形態についても本発明の技術的範囲に含まれる。

本発明は、ロボット、および、ロボットと併用される安全制御装置一般に適用することができる。とくに、稼動領域を人間の存在領域と共有する次世代ロボット、および、次世代ロボットと併用される安全制御装置に取り分け好適に利用することができる。

１ ロボット
１１ ＰＣ（第１の安全制御手段）
１２ サーボ機構
１３ 電源部
１４、１５ 通信インタフェース
２ 安全制御装置
２１ ＦＰＧＡ基板（第２の安全制御手段）
２２ リレー基板
２３、２４ 通信インタフェース

Claims (8)

1. センサにより検出された外界の状態に応じて内部状態を遷移させ、内部状態が予め設定された特定の状態にあるときにサーボ機構への電力供給を絶つ第１の安全制御手段を備えたロボットと併用される安全制御装置において、
   上記センサにより検出された外界の状態に応じて内部状態を遷移させ、内部状態が予め設定された特定の状態にあるとき、及び、内部状態が上記第１の安全制御手段の内部状態と同期していないときに、上記サーボ機構への電力供給を絶つ第２の安全制御手段を備えている、ことを特徴とする安全制御装置。
2. 上記第２の安全制御手段が内部状態を上記特定の状態に遷移させる条件として、上記第１の安全制御手段が内部状態を上記特定の状態に遷移させる条件と異なる条件が設定されている、ことを特徴とする請求項１に記載の安全制御装置。
3. 上記第２の安全制御手段は、上記第１の安全制御手段から供給されるウォッチドッグ信号が一定期間検出されなかったときにも、上記サーボ機構への電力供給を絶つことを特徴とする請求項１または２に記載の安全制御装置。
4. センサにより検出された外界の状態に応じて内部状態を遷移させ、内部状態が予め設定された特定の状態にあるときにサーボ機構への電力供給を絶つ第２の安全制御手段を備えた安全制御装置と併用される、上記サーボ機構を備えたロボットにおいて、
   上記センサにより検出された外界の状態に応じて内部状態を遷移させ、内部状態が予め設定された特定の状態にあるとき、及び、内部状態が上記第２の安全制御手段の内部状態と同期していないときに、上記サーボ機構への電力供給を絶つ第１の安全制御手段を備えている、ことを特徴とするロボット。
5. 第１の安全制御手段を備えたロボットと、第２の安全制御手段を備えた安全制御装置とを含むシステムにおいて、
   上記第１の安全制御手段は、センサにより検出された外界の状態に応じて内部状態を遷移させ、内部状態が予め設定された特定の状態にあるとき、及び、内部状態が上記第２の安全制御手段の内部状態と同期していないときに、上記ロボットのサーボ機構への電力供給を絶つものであり、
   上記第２の安全制御手段は、上記センサにより検出された外界の状態に応じて内部状態を遷移させ、内部状態が予め設定された特定の状態にあるとき、及び、内部状態が上記第１の安全制御手段の内部状態と同期していないときに、上記サーボ機構への電力供給を断つものである、ことを特徴とするシステム。
6. コンピュータを請求項１から３までの何れか１項に記載の安全制御装置が備えている上記第２の安全制御手段として機能させるプログラム。
7. コンピュータを請求項４に記載のロボットが備えている上記第１の安全制御手段として機能させるためのプログラム。
8. 請求項６または７に記載のプログラムが記録されたコンピュータ読み取り可能な記録媒体。

Images