WO2024029211A1 - 自律制御システムおよび安全監視システム - Google Patents

自律制御システムおよび安全監視システム Download PDF

Info

Publication number
WO2024029211A1
WO2024029211A1 PCT/JP2023/022282 JP2023022282W WO2024029211A1 WO 2024029211 A1 WO2024029211 A1 WO 2024029211A1 JP 2023022282 W JP2023022282 W JP 2023022282W WO 2024029211 A1 WO2024029211 A1 WO 2024029211A1
Authority
WO
WIPO (PCT)
Prior art keywords
safety
autonomous control
control system
rules
layer
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2023/022282
Other languages
English (en)
French (fr)
Inventor
敏史 大塚
夏美 渡邉
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hitachi Ltd
Original Assignee
Hitachi Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hitachi Ltd filed Critical Hitachi Ltd
Priority to US18/870,848 priority Critical patent/US20250370414A1/en
Publication of WO2024029211A1 publication Critical patent/WO2024029211A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B9/00—Safety arrangements
    • G05B9/02—Safety arrangements electric
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B25—HAND TOOLS; PORTABLE POWER-DRIVEN TOOLS; MANIPULATORS
    • B25J—MANIPULATORS; CHAMBERS PROVIDED WITH MANIPULATION DEVICES
    • B25J19/00—Accessories fitted to manipulators, e.g. for monitoring, for viewing; Safety devices combined with or specially adapted for use in connection with manipulators
    • B25J19/06—Safety devices
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B25—HAND TOOLS; PORTABLE POWER-DRIVEN TOOLS; MANIPULATORS
    • B25J—MANIPULATORS; CHAMBERS PROVIDED WITH MANIPULATION DEVICES
    • B25J9/00—Program-controlled manipulators
    • B25J9/16—Program controls
    • B25J9/1674—Program controls characterised by safety, monitoring, diagnostic
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W60/00—Drive control systems specially adapted for autonomous road vehicles
    • B60W60/001—Planning or execution of driving tasks
    • B60W60/0015—Planning or execution of driving tasks specially adapted for safety
    • G—PHYSICS
    • G08—SIGNALLING
    • G08G—TRAFFIC CONTROL SYSTEMS
    • G08G1/00—Traffic control systems for road vehicles
    • G08G1/16—Anti-collision systems

Definitions

  • the present invention relates to an autonomous control system and a safety monitoring system.
  • Patent Document 1 Japanese Patent Publication No. 2022-516559
  • the publication states, ⁇ The present invention relates to a novel approach to managing the operation of autonomous vehicles.More specifically, the present invention provides a novel approach to managing the operation of autonomous vehicles.
  • the present invention relates to a method and system for improving the permissiveness of an autonomous vehicle, truck, aircraft, or other similar vehicle by implementing a computer-based system that alleviates safety constraints in certain situations. Are listed.
  • Another background technology is International Publication No. 2022/009900 (Patent Document 2).
  • the purpose is to provide an automatic driving device and a vehicle control method that can reduce the risk of confusing the user.
  • An example of an automatic driving device to achieve this purpose is is an automatic driving device that uses map data to create a control plan for autonomously driving a vehicle, which includes a map management unit that determines the acquisition status of map data, and a control unit that uses map data to create a control plan. and a planning section, and the control planning section is configured to change the content of the control plan according to the map data acquisition status determined by the map management section.''
  • the autonomous control system of the present invention includes a mobile body control system that controls the operation (e.g., movement, transportation, etc.) of a mobile body such as an automobile, a railway vehicle, a construction machine, an automatic guided vehicle, or a robot, and a field in which the mobile body operates.
  • This system is communicably connected to the safety monitoring system to be monitored.
  • Devices such as mobile objects controlled by autonomous control systems may coexist with people (for example, workers, pedestrians, etc.) in the environment in which they are used. To ensure human safety in such an environment, it is necessary for people and equipment (moving objects) to follow safety rules (e.g., stop temporarily when entering an intersection, obey traffic lights, come within a certain distance of equipment). If the autonomous control system understands the safety rules and performs control, it will be possible to ensure the safety of each operation.
  • safety rules it is best to set safety rules with sufficient leeway to accommodate the addition of equipment or changes in usage (for example, ensuring a wide space around the equipment), and as a result, each equipment It places unnecessary constraints on people and can reduce efficiency.
  • safety rules are set that are limited to the current equipment or intended use (for example, ensuring a minimum amount of space around the equipment based on the operating speed of the equipment), it may be difficult to add equipment or change the intended use. Failure to do so would require a large amount of man-hours to make changes, such as redesigning the system in response to a review of safety rules.
  • the present invention has been made in view of the above problems, and provides an autonomous control system that can appropriately reconstruct safety rules in accordance with the changed situations and design conditions even when various situations of the autonomous control system change. and safety monitoring system.
  • one embodiment of the present invention may use the technical idea described in the claims, for example. That is, one embodiment of the present invention includes a first safety layer that monitors and controls the safety of equipment based on safety rules in the field, and a first safety layer that detects deviations from system preconditions within design assumptions and and a second safety layer that performs reconfiguration.
  • the present invention it is possible to quickly and appropriately reconstruct safety in response to changes in the environment of an autonomous control system (e.g., evolution, change in use, etc.), and when various situations of the autonomous control system change.
  • safety rules can be appropriately restructured to suit changing circumstances and design conditions.
  • FIG. 1 is a diagram showing a configuration example of an autonomous control system including a safety monitoring system and a vehicle system according to a first embodiment.
  • 1 is a diagram showing an example of the overall configuration of an autonomous control system according to a first embodiment;
  • FIG. 3 is a diagram illustrating a processing flow in the safety monitoring system according to the first embodiment.
  • FIG. 3 is an explanatory diagram of an example of parameters of system prerequisites. It is a relationship diagram of a system prerequisite pattern and a safety design change pattern. It is a figure showing an example of composition of a safety rule.
  • FIG. 3 is a diagram illustrating a configuration example of a main functional layer and a first safety layer. It is a figure which shows the example of a structure of a 2nd safety layer.
  • FIG. 7 is a diagram illustrating a processing flow when updating a safety rule according to a second embodiment.
  • FIG. 7 is a diagram illustrating a configuration example of a second safety layer according to a third embodiment.
  • This example mainly describes an autonomous control system consisting of a safety monitoring system that monitors and controls the vehicle control system, and a vehicle system equipped with the vehicle control system.
  • a safety monitoring system that monitors and controls the vehicle control system
  • vehicle system equipped with the vehicle control system a vehicle system equipped with the vehicle control system.
  • the present invention is suitable for implementation in a safety monitoring system, it does not preclude application to autonomous control systems including other than vehicle control systems.
  • the vehicle system in the case of a warehouse transport system, the vehicle system is replaced with a forklift or goods transport equipment, and the object is replaced with a warehouse worker; in the case of an industrial system, the vehicle system is replaced with a work robot, and the object is replaced with a line worker.
  • a similar effect can be expected even if it is replaced with .
  • vehicle systems even if they are replaced with aviation equipment such as drones.
  • the objects to be controlled by this system are assumed to be robots in factories, existing systems such as railways, and three-dimensional moving objects such as air mobility.
  • FIG. 1 shows an overview of the field in which the autonomous control system according to the first embodiment is implemented.
  • the autonomous control system 100 includes a safety monitoring system 101, a vehicle system 102, and an information transmission device 105.
  • a safety monitoring system 101 a safety monitoring system
  • vehicle system 102 a vehicle system
  • information transmission device 105 an information transmission device
  • peripheral devices, people, etc. that are not controlled by the autonomous control system 100 (non-communication vehicle system 103, object 104).
  • the safety monitoring system 101 communicates with multiple control systems, such as a vehicle control system, and monitors a field that includes the vehicle system 102 and other objects (described below).
  • the vehicle system 102 includes a communication device and the like, and includes a vehicle control system that operates while communicating with the safety monitoring system 101 .
  • the non-communication vehicle system 103 is a vehicle system that does not have a communication device or the like and does not communicate with the safety monitoring system 101.
  • the object 104 is a pedestrian, a light vehicle (such as a bicycle), or the like.
  • the information transmission device 105 is a communication device such as a signal for controlling traffic or a smartphone, and transmits information to the object 104 such as a pedestrian and confirms the response thereof.
  • the safety monitoring system 101 includes a communication device 111 and a monitoring device 112.
  • the communication device 111 communicates with the vehicle control system, the information transmission device 105, and the like.
  • the monitoring device 112 is a sensor such as a camera, radar, or lidar that monitors the field.
  • FIG. 2 shows the overall architecture of the autonomous control system according to the first embodiment.
  • the autonomous control system 100 has a main functional layer 201, a first safety layer 202, a second safety layer 203, a third safety layer 204, and an object 205 as a logical structure.
  • the main function layer 201 is, for example, a part of the vehicle control system, and operates the vehicle system 102 in cooperation with other safety layers 202, 203, and 204.
  • the first safety layer 202 detects abnormalities in the main functional layer 201 and the field and performs control to maintain a safe state or transition to a safe state, according to safety rules in the field.
  • the second safety layer 203 detects deviations in system preconditions (described later) and that the deviations are within the design assumption range (in other words, deviations from the system preconditions within the design assumptions), and rewrites the corresponding safety rules. Performs configuration and overrides of controls performed by vehicle system 102.
  • the third safety layer 204 detects deviations in system preconditions and the fact that the deviations are outside the design range (in other words, deviations from system preconditions outside of design assumptions), and redesigns the corresponding safety rules. , implements an override of control of vehicle system 102.
  • the object 205 interacts with the respective safety layers 202, 203, 204 or the main functional layer 201, receives safety rule information transmission, and returns a response to the transmission. Furthermore, information such as motion and position of the object 205 is collected from the safety layers 202, 203, and 204 and the main function layer 201.
  • the system architecture in FIG. 2 is a logical structure, and the arrangement of each function in the physical configuration is not necessarily one-to-one.
  • the main functional layer 201 is arranged in the vehicle system 102 and the first to third safety layers 202, 203, and 204 are arranged in the safety monitoring system 101.
  • information is transmitted from each of the layers 201, 202, 203, and 204 to the object 205 via the information transmission device 105, for example.
  • a portion of the first safety layer 202 (vehicle fault diagnosis and safety functions) is located in the vehicle system 102.
  • reaction speed is improved because processing for failures does not involve communication, and functions related to vehicle failures can be integrated with the vehicle, making it easy to reuse the vehicle system 102 and safety monitoring system 101. becomes.
  • a system precondition deviation detection function in a safety layer (which is part of the functions of the safety layer) to be described later may be arranged in equipment such as the vehicle system 102. This eliminates the need to send data (sensing data, etc.) for determining system precondition deviation from the vehicle system 102, etc. to the safety monitoring system 101, and instead only sends information that a system precondition deviation has occurred. becomes possible. This can be expected to reduce the processing load on the safety layer and the network load.
  • FIG. 3 shows an overview of the processing of the safety monitoring system 101 according to the first embodiment.
  • the safety monitoring system 101 monitors the state of the field (including the state of equipment and objects) via, for example, the monitoring device 112 or the communication device 111 that the safety monitoring system 101 has, and detects a deviation (trigger) from the system preconditions. This flow is executed when the vehicle system 102 or the like receives information indicating that a trigger has been detected from the vehicle system 102 or the like.
  • the safety monitoring system 101 determines that the control target of the autonomous control system 100 and the surrounding environment do not deviate from the system preconditions (determination method will be described later) (no in S301). , no particular processing is performed (S302). If it is determined that the content of the trigger deviates from the system prerequisites (S301: yes), then it is determined whether the deviation of the system prerequisites is within the expected design range (determination method will be described later) (S303 ). As a result of the determination, if the deviation of the system preconditions is within the expected design range (S303: YES), the safety rules are reconfigured (S304), which will be described later.
  • the safety rules are redesigned (S305), which will be described later. In this way, the safety monitoring system 101 updates (reconfigures or redesigns) the safety rules according to the situation of the autonomous control system 100.
  • FIG. 4 shows an example of parameters for system prerequisites.
  • 401 shows an example of a parameter of an (autonomous control) device
  • 402 shows an example of a parameter of an object related to the autonomous control system 100
  • 403 shows an example of a parameter of an environment (context) in which the autonomous control system 100 is used.
  • examples of device parameters include device performance (moving/rotational speed, sensor detection range (including area shape), communication speed (throughput/latency), and safety-related performance (Fail-safe and Fail). -operational, presence or absence of safety mechanisms, etc.), features (equipment weight, size (height, width, depth), hardness (changes in risk of collision)), movable parts (shape, output strength of control operation) , the type of the device (vehicle type, etc.), the number of passengers (including 0), etc.
  • examples of objects include, for example, workers who cooperate with the autonomous control system 100 or pedestrians in the field, and as shown in 402, examples of the parameters include attributes (skill level (duration of work experience, position), etc.). , knowledge of safety rules, level of compliance with safety rules (whether the person is easy to follow), reaction speed to various instructions and situations (sound, video, light), various movement abilities (speed (movement, rotation), warning time) These include reaction movement speed), physical condition, material to be carried (weight and visibility), presence and location of protective equipment, etc.
  • examples of environmental parameters include area conditions (presence or absence of people, presence or absence of traffic lights, presence or absence of blind spots, speed limit), road surface conditions (road resistance, road surface type), and environmental conditions (weather, amount of light). , wind volume, snowfall, rainfall, noise), etc.
  • each table a combination of multiple tables may be used depending on the existing equipment, the type of assumed object, and the environment that the autonomous control system 100 supports (for example, assuming both outdoors and indoors).
  • one system prerequisite That is, the system prerequisites have information that affects safety design regarding equipment, people, and the environment, and each of the equipment, people, and environment information has a scope.
  • These parameters are parameters that are assumed when performing safety analysis and design, and are assumed to be parameters that, if changed, require changes in the results of safety analysis and design. For example, if the safety design is based on the assumption that the autonomous control system 100 will move at a low speed, and a new device that moves at high speed is added to the field, the expected risks will change and the risks will be reduced. As changes occur, safety analysis and design results may change. The same applies to changes in people or the environment, and in such cases, the autonomous control system 100 needs to perform safe control in accordance with the changes in the situation.
  • ⁇ Definition of inside and outside the expected design range> a method for determining whether or not it is within the design expected range will be explained using FIG. 5.
  • a plurality of patterns (A to C in this case) are designed for the system preconditions.
  • a corresponding safety design change pattern (here ⁇ to ⁇ ) is also designed. That is, as shown in FIG. 5, combinations of two or more system prerequisite patterns and corresponding safety design change patterns are designed as a table.
  • the parameters have a range (value range or list) (see FIG. 4), and if it is within that range, it is assumed that the system preconditions have not changed.
  • the parameter of the changed system precondition is included within the range of the system precondition parameter of another pattern (for example, if it is included within the range of the parameter of C). If the parameter of the changed system precondition is included within the range of the system precondition parameter of another pattern (for example, if it is included within the range of the parameter of C), it is determined that it is within the designed range. In other words, if the current system preconditions match the conditions of the system precondition pattern, it is determined that the system is within the expected design range. If the changed parameter of the system precondition is not included within the range of the parameter of the system precondition of another pattern, it is determined that the parameter is outside the designed range. In other words, a case where the current system preconditions do not match the conditions of the system precondition pattern is determined to be outside the design range.
  • safety design change pattern ⁇ is used to ensure safety as described below. Perform rule reconfiguration.
  • the safety design change pattern is constructed by a designer or the like performing safety analysis based on the system prerequisite pattern, performing hazard analysis and risk assessment under the system prerequisite conditions, and implementing safety design.
  • the system prerequisite pattern or safety design change pattern is held, for example, in the reconfiguration trigger determination unit 2031 (FIG. 8) or the redesign trigger determination unit 2041 (FIG. 9) for determination.
  • the second safety layer 203 or the third safety layer 204 may make an inquiry to an external database or the like regarding this information each time. By doing so, it becomes possible to reduce memory and easily update the information to the latest information (by updating the external database).
  • the system is designed so that there is always at least one safety design change pattern that corresponds to the system prerequisite pattern, but if it does not exist, it is determined that it is outside the design range.
  • the same safety design change pattern may be used in multiple system prerequisite patterns.
  • the same safety design change pattern ⁇ is used (designed) in two system prerequisite patterns A and B. In that case, there is no need to change the safety design pattern due to the transition between these system prerequisite patterns, the process of reconfiguring safety rules can be omitted, and unnecessary safety control implementation and processing load can be reduced. It becomes possible.
  • Figure 6 shows the structure of the safety rule.
  • the leftmost part of FIG. 6 shows an example of a hierarchy of safety rules, and control is performed so that higher-order safety rules have priority.
  • ⁇ no collisions'' is the highest safety rule, and in order to achieve this, ⁇ safety even in abnormal situations'' becomes a necessary safety rule.
  • the structure on the right in FIG. 6 is the content of the safety rule "safety even in abnormal situations" broken down.
  • the safety rule of "safety even in abnormal situations” the safety rule of "occlusion control” which basically ensures safety by preventing multiple objects from entering the same area
  • the safety rule of "remote OR (override) It is configured to include a safety rule that ensures safety by forcibly controlling the device remotely (for example, decelerating and stopping) if an object or the like that violates the occlusion control exists.
  • the safety rules for “occlusion control” include the safety rule “do not enter the secured area”, the safety rule “the size of the area is x1 [m]”, and the safety rule “the size of the area becomes xx [m] when condition yy” It consists of safety rules. Normally, it is controlled by these parameters.
  • the safety rules are updated and reconfigured. From then on, the entire autonomous control system 100 performs processing in accordance with the updated safety rules.
  • the safety rules updated by reconfiguration are transmitted to the main functional layer 201 and the first safety layer 202 logically, and physically to the entire device or object in the field by communication or other methods (by the information transmission device 105). notifications).
  • ⁇ Redesign of safety rules> If the changed system preconditions are not included within the range of the system precondition patterns, the safety rules will need to be redesigned. Redesigning safety rules is facilitated by notifying which parameters of changes in system prerequisites were out of range. In other words, the configuration is such that information about mismatch in system prerequisites is transmitted as a trigger for redesigning safety rules. As a result of this redesign, new system prerequisite patterns and safety design change patterns are added. By performing safety rule reconfiguration processing using these parameters, it becomes possible to safely control the autonomous control system 100 based on the new safety rules.
  • the main function layer 201 includes a recognition unit 2011 that creates a map showing the situation of a field, such as the vicinity of a device, based on information received from sensors, communication equipment, etc.; There is a judgment unit 2012 that creates an action plan and a control plan for the equipment, an operation unit 2013 that outputs signals to control actuators, etc. based on the action plan and control plan output from the judgment unit 2012, and a control unit 2013 that outputs signals for controlling actuators etc. It is comprised of an intervention control unit 2014 that receives an override instruction from the outside and intervenes in the control executed by the operation unit 2013 when the object falls into a dangerous state. Each part of the main function layer 201 receives notification of the safety rules for the main function layer 201 and performs corresponding control. For example, the control plan generated by the determination unit 2012 is generated so as not to violate safety rules.
  • the intervention control unit 2014 performs an important function for safety, it is placed in a highly reliable device (safety microcomputer), etc. among the installed devices.
  • Override involves controlling the vehicle to decelerate and stop, depending on the situation, steering the vehicle to avoid it, or temporarily stopping the system or standing still to maintain a low-risk state. The same applies to overrides during safety control below.
  • the first safety layer 202 diagnoses abnormalities in the main function layer 201 or non-safety events in the field (safety rule violations, etc.) by combining safety rules with information obtained via the monitoring device 112, communication device 111, etc.
  • the functional safety control unit 2021 includes a diagnostic unit 2022 and a functional safety control unit 2021 that performs corresponding control such as an override instruction on the main function layer 201 based on the diagnosis result of the diagnostic unit 2022.
  • the diagnosis unit 2022 receives safety rule update information from the second safety layer 203 or the third safety layer 204 regarding the updated safety rules, and performs diagnosis based on the updated safety rules. Implement.
  • the second safety layer 203 uses the method described in the above-mentioned reconfiguration of safety rules to determine deviations from system preconditions and judgments within and outside of the design assumption range.
  • a reconfiguration trigger determination unit 2031 performs a determination based on the current system preconditions detected using communication with the functional layer 201 and the monitoring device 112, and performs safety control (override, etc.) during reconfiguration using the determination result.
  • the third safety layer 204 uses the method described above to communicate with the main function layer 201, system precondition patterns and safety design change patterns that hold system precondition deviations and judgments within and outside of the design assumption range. and a redesign trigger determination unit 2041 that makes a determination based on the current system preconditions detected using the monitoring device 112, and a redesign safety control unit 2042 that performs safety control (override, etc.) during redesign using the determination result. and a safety rule redesign unit 2043 that redesigns safety rules using the determination results and the method described above, and notifies devices and objects in the field about the updated safety rules.
  • Example 2 Next, a method for maintaining safety control of the system until the deployment of safety rules is completed will be described using FIG. 10. This flow is implemented by the second safety layer 203 or the third safety layer 204. Here, the implementation procedure in the second safety layer 203 will be explained.
  • the reconfiguration trigger determining unit 2031 determines a trigger for reconfiguring safety rules. If it is determined that the safety rules need to be reconfigured, the entire autonomous control system 100 is notified of the safety rules (S1001). Specifically, the reconfiguration trigger determination unit 2031 instructs the safety rule reconfiguration unit 2033 to reconfigure the safety rule and notify the entire field of the safety rule update. Thereafter, the reconfiguration trigger determination unit 2031 instructs the reconfiguration safety control unit 2032 to execute safety control (override, etc.) (S1002).
  • the reconfiguration trigger determination unit 2031 confirms that the safety rules have been transmitted and received from each device in the autonomous control system 100 (for example, the vehicle system 102, the non-communication vehicle system 103) and the object 104.
  • the confirmation method is based on communication responses, human behavior (response signs), etc. In other words, it is checked whether agreement has been obtained from the entire autonomous control system 100. As a result, if responses have not been received from all devices or objects in the entire field (no in S1003), the safety control state is maintained. If responses can be received from all devices and objects (S1003: yes), the safety control state is canceled (S1004), and then the entire autonomous control system 100 is controlled in accordance with the updated safety rules. That is, the response of each device and object to the safety rule update notification is checked, and control based on the new safety rule is implemented.
  • FIG. 11 shows the configuration of the second safety layer 203 according to the third embodiment.
  • the second safety layer 203 in this embodiment includes a prerequisite difference determining unit 2034 that detects differences in system prerequisites related to grasping the safety rules of objects, and a prerequisite difference determining unit 2034 that detects differences in system prerequisites related to grasping safety rules of objects, and differences determined by the prerequisite difference determining unit 2034 (object safety a safety rule transmitting unit 2035 that transmits a safety rule (for example, a safety rule to stop at an intersection when the object does not know the rule for stopping at an intersection) for resolving the difference in understanding conditions of the rule; , has.
  • a safety rule for example, a safety rule to stop at an intersection when the object does not know the rule for stopping at an intersection
  • the reconfiguration trigger determination unit 2031 in the second safety layer 203 determines that the deviation of the system preconditions (object A's parameters (understanding safety rules) is based on the current system preconditions). conditions) and reconfigure the safety rules as described above.
  • the premise difference determination unit 2034 which has received the information regarding the deviation of the system preconditions (the system preconditions before the change and the system preconditions after the change) from the reconfiguration trigger determination unit 2031, determines that the object A is By understanding the safety rules that are the differences, it is determined that the system preconditions satisfy the system preconditions before the change. As a result, the premise difference determining unit 2034 instructs the safety rule transmitting unit 2035 to notify the safety rule of the difference to object A, and the safety rule transmitting unit 2035 transmits the safety rule to object A. Notice.
  • object A grasps the safety rules, and the reconfiguration trigger determination unit 2031 confirms that the system preconditions have changed again, and reconfigures the safety rules again. That is, in this embodiment, safety rule information is notified to object A that does not know the safety rules, and the safety rules are reconfigured based on the result.
  • the processing of the reconfiguration trigger determination unit 2031 is transferred to the reconfiguration trigger determination unit 2041, and the reconfiguration safety control unit 2032
  • the processing of the safety rule reconfiguration unit 2033 is replaced with the safety rule redesign unit 2043, and the premise difference determination unit 2034 and the safety rule transmission unit are replaced with the third safety layer 204.
  • the same can be achieved by arranging 2035.
  • Example 4 Next, an example in which the present invention is applied to industrial equipment will be described.
  • an autonomous control system including a transportation robot in a factory by replacing the vehicle system with a transportation robot and assuming a worker etc. as an object, safety rules can be observed as described in Examples 1 to 3. Control based on safety rules is possible through reconfiguration and redesign.
  • industrial equipment uses a large amount of energy, resulting in a high risk value, so careful safety design is required.
  • the system prerequisites include the robot arm's movable range, speed, sensor range, communication and response speed, and safety performance (presence or absence of a fail-safe mechanism, etc.), and the parameters of the worker as an object include skill level and safety rules. These include whether or not the object is grasped, height (location and possibility of contact), etc.
  • safety rules include maintaining a distance to prevent collisions, and the parameters for this distance are set according to the above conditions.
  • the first safety layer 202 maintains the distance described above through sensing and fault diagnosis, and the second safety layer 203 and the third safety layer 204 carry out the reconfiguration and redesign of safety rules as described above.
  • the first safety layer 202 monitors and controls the safety of equipment based on safety rules in the field, and detects deviations from system prerequisites within design assumptions and reproduces the safety rules.
  • the second safety layer 203 that performs configuration makes it possible to reconfigure the system to conform to the safety rules within the design assumptions and safely continue control even if the system premise conditions are deviated from.
  • the third safety layer 204 detects deviations from system preconditions that are not expected in the design and redesigns the safety rules. It becomes possible to redesign rules.
  • the amount of information transmitted can be reduced. becomes possible.
  • the safety rules can be easily redesigned.
  • a prerequisite difference determination unit 2034 that detects a difference in system prerequisite conditions related to grasping the safety rule, and transmits the difference in the grasping condition of the safety rule determined based on the difference.
  • a safety rule transmitting unit 2035 to notify the safety rule information to objects that do not know the safety rule, and based on the result, reconfigure or redesign the safety rule. This makes it possible for the entire autonomous control system 100 to operate under efficient system preconditions based on the understanding of safety rules.
  • the present invention is not limited to the above embodiments, and includes various modifications.
  • the embodiments described above are described in detail to explain the present invention in an easy-to-understand manner, and the present invention is not necessarily limited to having all the configurations described.
  • it is possible to replace a part of the configuration of one embodiment with the configuration of another embodiment and it is also possible to add the configuration of another embodiment to the configuration of one embodiment.
  • each of the above-mentioned configurations, functions, processing units, processing means, etc. may be partially or entirely realized by hardware, for example, by designing an integrated circuit. Further, each of the above-mentioned configurations, functions, etc. may be realized by software by a processor interpreting and executing a program for realizing each function. Information such as programs, tapes, and files that implement each function can be stored in a memory, a recording device such as a hard disk, an SSD (solid state drive), or a recording medium such as an IC card, SD card, or DVD.
  • a recording device such as a hard disk, an SSD (solid state drive), or a recording medium such as an IC card, SD card, or DVD.
  • control lines and information lines are shown that are considered necessary for explanation, and not all control lines and information lines are necessarily shown in the product. In reality, almost all components may be considered to be interconnected.

Landscapes

  • Engineering & Computer Science (AREA)
  • Mechanical Engineering (AREA)
  • Robotics (AREA)
  • Automation & Control Theory (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Human Computer Interaction (AREA)
  • Transportation (AREA)
  • Traffic Control Systems (AREA)
  • Manipulator (AREA)
  • Safety Devices In Control Systems (AREA)
  • Control Of Position, Course, Altitude, Or Attitude Of Moving Bodies (AREA)

Abstract

自律制御システムの各種状況が変化した場合でも、安全ルールを変化した状況や設計条件に合わせて適切に再構築することができる自律制御システムおよび安全監視システムを提供することを目的とする。上記課題は、フィールド内の安全ルールに基づき機器の安全を監視して制御する第１の安全レイヤ２０２と、設計想定内のシステム前提条件逸脱を検出し、安全ルールの再構成を行う第２の安全レイヤ２０３と、を有することにより解決可能である。

Description

自律制御システムおよび安全監視システム
　本発明は、自律制御システムおよび安全監視システムに関する。
　本技術分野の背景技術として、特表２０２２－５１６５５９号公報（特許文献１）がある。この公報には、「本発明は、自律運転ビークルの動作を管理するための新規なアプローチに関する。より具体的には、本発明は、全体的な動作の安全性を犠牲にすることなく、適切な場合に安全上の制約を緩和するコンピュータベースシステムを実装することによって、自律運転ビークル、トラック、航空機、又は他の同様な乗物の許容性（ｐｅｒｍｉｓｓｉｖｅｎｅｓｓ）を改善する方法及びシステムに関する。」ことが記載されている。また別の背景技術として、国際公開第２０２２／００９９００号（特許文献２）がある。この公報には、「その目的とするところは、ユーザを困惑させてしまう恐れを低減できる自動運転装置、車両制御方法を提供することにある。その目的を達成するための自動運転装置は、一例として、地図データを用いて車両の自律的に走行させる制御計画を作成する自動運転装置であって、地図データの取得状況を判定する地図管理部と、地図データを用いて制御計画を作成する制御計画部と、を備え、制御計画部は、地図管理部が判定した地図データの取得状況に応じて制御計画の内容を変更するように構成されている。」と記載されている。
特表２０２２－５１６５５９号公報 国際公開第２０２２／００９９００号
　本発明の自律制御システムは、自動車、鉄道車両、建設機械、無人搬送車又はロボット等の移動体の動作（例えば移動や搬送等）を制御する移動体制御システムと、移動体が動作するフィールドを監視する安全監視システムとが通信可能に接続されたシステムである。自律制御システムで制御される移動体などの機器は、使用される環境において人（例えば作業者や歩行者等）と混在する場合がある。そのような環境において人の安全性を確保する場合には、例えば人と機器（移動体）がそれぞれ安全ルール（例えば、交差点進入時は一時停止する、信号を守る、機器の一定距離以内に近づかない、等）に従い、自律制御システムも安全ルールを把握した上で制御を行うことで、それぞれの動作の安全性を確保することが可能になる。
　安全ルールについては、機器の追加や使用用途の変更などに対応するべく、余裕を持った安全ルールを設定する（例えば機器の周りに広く空間を確保する、等）と、結果としてそれぞれの機器や人に本来不要な制約を与え、効率を低下させかねない。一方で現状の機器や使用用途に限定的な安全ルールを設定した場合（例えば機器の周りの空間を、機器の動作速度を想定して最低限確保する）、機器の追加や使用用途の変更に対応が出来ず、安全ルールの見直しに伴うシステムの再設計など、変更に大きな工数がかかることとなる。
　本発明は、上記課題に鑑みてなされたものであり、自律制御システムの各種状況が変化した場合でも、安全ルールを変化した状況や設計条件に合わせて適切に再構築することができる自律制御システムおよび安全監視システムを提供することを目的とする。
　上記課題を解決するために、本発明の一実施の態様は、例えば特許請求の範囲に記載されている技術的思想を用いればよい。すなわち、本発明の一実施の態様は、フィールド内の安全ルールに基づき機器の安全を監視して制御する第１の安全レイヤと、設計想定内のシステム前提条件逸脱を検出し、前記安全ルールの再構成を行う第２の安全レイヤと、を有する。
　本発明によれば、自律制御システムの環境変化（進化、用途変更など）に対応した安全性の再構築を短時間で且つ適切に実現することができ、自律制御システムの各種状況が変化した場合でも、安全ルールを変化した状況や設計条件に合わせて適切に再構築することができる。
　上記以外の課題、構成および効果は、以下の実施形態の説明により明らかにされる。
実施例１にかかる安全監視システム、車両システムを含む自律制御システムの構成例を示す図である。 実施例１にかかる自律制御システムの全体像の構成例を示す図である。 実施例１にかかる安全監視システムにおける処理フローを説明する図である。 システム前提条件のパラメータ例の説明図である。 システム前提条件パターンと安全設計変更パターンの関係図である。 安全ルールの構成例を示す図である。 主機能レイヤおよび第１の安全レイヤの構成例を示す図である。 第２の安全レイヤの構成例を示す図である。 第３の安全レイヤの構成例を示す図である。 実施例２にかかる安全ルール更新時の処理フローを説明する図である。 実施例３にかかる第２の安全レイヤの構成例を示す図である。
　以下、本発明に好適な実施形態の例（実施例）を図面を用いて説明する。本実施例は、主には車両制御システムを監視して制御する安全監視システム、および車両制御システムを備えた車両システムにより構成される自律制御システムについて説明しており、車両制御システムを監視および制御する安全監視システムにおける実施に好適であるが、車両制御システム以外を含む自律制御システムへの適用を妨げるものではない。
　例えば倉庫内搬送システムの例であれば、車両システムをフォークリフトや物品搬送機器に、オブジェクトを倉庫内作業者に置き換え、産業システムの場合であれば、車両システムを作業ロボットに、オブジェクトをライン作業者と置き換えても同様の効果が想定できる。また車両システムは、ドローンなどの航空機器と置き換えても同様である。言い換えると、本システムの制御対象は、工場内ロボット、鉄道等の既存システム、エアモビリティ等の三次元移動体等も想定される。
［実施例１］
＜システム概要＞
　図１に、実施例１にかかる自律制御システムを実装したフィールドの概要を示す。自律制御システム１００は、安全監視システム１０１、車両システム１０２、情報伝達装置１０５から構成される。フィールド内には、自律制御システム１００の制御対象とならない周辺機器や人などがさらに存在する（非通信車両システム１０３、オブジェクト１０４）。
　安全監視システム１０１は、車両制御システム等、複数の制御システムと通信を行い、また車両システム１０２や他のオブジェクト（後述）を含むフィールドを監視する。車両システム１０２は、通信装置等を有し、前記安全監視システム１０１と通信を行いながら動作を行う車両制御システムを有する。非通信車両システム１０３は、通信装置等を有さず、前記安全監視システム１０１と通信を行わない車両システムである。オブジェクト１０４は、歩行者や軽車両（自転車等）等である。情報伝達装置１０５は、交通などを制御する信号やスマートフォンなどの通信装置等であり、歩行者等のオブジェクト１０４に対して情報の送信やその応答を確認する。
　安全監視システム１０１は、通信装置１１１と監視装置１１２を有する。通信装置１１１は、車両制御システムや情報伝達装置１０５等と通信を行う。監視装置１１２は、フィールドを監視する例えばカメラやレーダ、Ｌｉｄａｒなどのセンサである。
＜全体システムアーキテクチャ（論理）＞
　図２に、実施例１にかかる自律制御システムの全体アーキテクチャを示す。自律制御システム１００は、論理構造として、主機能レイヤ２０１、第１の安全レイヤ２０２、第２の安全レイヤ２０３、第３の安全レイヤ２０４、オブジェクト２０５から構成される。
　主機能レイヤ２０１は、例えば車両制御システムの一部であり、他の安全レイヤ２０２、２０３、２０４と連携して車両システム１０２を動作させる。第１の安全レイヤ２０２は、フィールド内の安全ルールに従い、主機能レイヤ２０１およびフィールドの異常を検出して安全状態を維持または安全状態に移行するための制御を行う。
　第２の安全レイヤ２０３は、後述するシステム前提条件の逸脱と、前記逸脱が設計想定範囲内であること（換言すると、設計想定内のシステム前提条件逸脱）を検出し、対応した安全ルールの再構成や、車両システム１０２で実行される制御のオーバーライドを実施する。第３の安全レイヤ２０４は、システム前提条件の逸脱と、前記逸脱が設計想定範囲外であること（換言すると、設計想定外のシステム前提条件逸脱）を検出し、対応した安全ルールの再設計や、車両システム１０２の制御のオーバーライドを実施する。
　オブジェクト２０５は、それぞれの安全レイヤ２０２、２０３、２０４または主機能レイヤ２０１とやり取りを行い、安全ルールの情報伝達を受け、その伝達に対する応答を返す。また、オブジェクト２０５は、安全レイヤ２０２、２０３、２０４や主機能レイヤ２０１から動作や位置等の情報を収集される。
＜機能配置の例＞
　図２のシステムアーキテクチャは論理的な構造であり、それぞれの機能の物理構成への配置は一対一とは限らない。機能配置の一例では、主機能レイヤ２０１は車両システム１０２に、第１から第３の安全レイヤ２０２、２０３、２０４は安全監視システム１０１に配置される。また、それぞれのレイヤ２０１、２０２、２０３、２０４からオブジェクト２０５への情報の伝達は、例えば情報伝達装置１０５を介して実施される。
　また別の配置例では、第１の安全レイヤ２０２の一部（車両の故障の診断および安全機能）は車両システム１０２に配置する。これにより、故障に対する処理が通信を介さないことで反応速度が向上され、また車両の故障に関する機能を車両と一体化することが可能になり、車両システム１０２ならびに安全監視システム１０１の再利用が容易となる。
　また別の配置例では、車両システム１０２等の機器に、後述する安全レイヤにおける（安全レイヤの機能の一部である）システム前提条件逸脱の検出機能を配置しても良い。これにより、システム前提条件逸脱の判定のためのデータ（センシングデータ等）を車両システム１０２等から安全監視システム１０１に送信する必要が無くなり、代わりにシステム前提条件逸脱が発生したという情報だけを送信することが可能になる。これにより、安全レイヤの処理負荷の低減とネットワーク負荷の低減が期待できる。
＜安全監視システムの処理＞
　次に実施例１にかかる安全監視システム１０１の処理の概要について図３に示す。安全監視システム１０１は、例えば安全監視システム１０１が有する監視装置１１２または通信装置１１１を介してフィールドの状態（機器およびオブジェクトの状態を含む）を監視し、システム前提条件の逸脱（トリガ）を検出した場合、または車両システム１０２等からトリガを検出した情報を受信した場合に本フローを実施する。
　安全監視システム１０１は、前記トリガの内容を判定した結果、自律制御システム１００の制御対象、周囲の環境がシステム前提条件を逸脱していないと判定（判定方法は後述）した場合（Ｓ３０１のｎｏ）、特に処理を行わない（Ｓ３０２）。前記トリガの内容がシステム前提条件を逸脱していると判定した場合（Ｓ３０１のｙｅｓ）、次に前記システム前提条件の逸脱が設計想定範囲内か否かを判定する（判定方法は後述）（Ｓ３０３）。判定の結果、前記システム前提条件の逸脱が設計想定範囲内であった場合（Ｓ３０３のｙｅｓ）、後述する安全ルールの再構成を行う（Ｓ３０４）。前記システム前提条件の逸脱が設計想定範囲内でなかった（設計想定範囲外であった）場合（Ｓ３０３のｎｏ）、後述する安全ルールの再設計を行う（Ｓ３０５）。このようにして、安全監視システム１０１は、自律制御システム１００の状況に応じた安全ルールのアップデート（再構成または再設計）を実施する。
＜システム前提条件の例ならびにシステム前提条件の逸脱＞
　図４に、システム前提条件のパラメータ例を示す。４０１は（自律制御）機器のパラメータ例、４０２は自律制御システム１００と関連するオブジェクトのパラメータ例、４０３は自律制御システム１００が使用される環境（コンテキスト）のパラメータ例を示す。
　４０１に示すように、機器のパラメータ例としては、機器の性能（移動・回転速度、センサの検出範囲（エリア形状含む）、通信速度（スループット・レイテンシ）、安全にかかわる性能（Ｆａｉｌ－ｓａｆｅやＦａｉｌ－ｏｐｅｒａｔｉｏｎａｌ、安全機構の有無、等））や、特徴（機器重量、サイズ（高さ、幅、奥行き）、硬度（衝突時のリスクが変化））、可動部（形状、制御動作の出力強度）、またその機器の種別（車両のタイプ等）、乗車人員（０含む）などが挙げられる。
　またオブジェクトの例として、例えば自律制御システム１００と連携する作業者、またはフィールドでの歩行者等があり、４０２に示すように、そのパラメータ例としては、属性（熟練度（作業経験期間や役職）、安全ルール知識の有無、安全ルールの順守度（守りやすい人か否か））、各種指示や状況（音・映像・光）に対する反応速度、各種移動能力（速度（移動・回転）、警告時等の反応移動速度）、体調、運搬物（重量や視界）、保護具の有無や箇所などが挙げられる。
　４０３に示すように、環境のパラメータ例としては、エリアの条件（人混在の有無、信号の有無、死角の有無、速度制限）、路面状態（路面抵抗、路面種別）、環境条件（天候、光量、風量、降雪量、雨量、騒音）などが挙げられる。
　それぞれのテーブルについては、存在している機器や想定しているオブジェクトの種類、自律制御システム１００が対応する環境（例えば、屋外と屋内の双方を想定）に応じて、それぞれ複数を合わせたものを、一つのシステム前提条件とする。すなわち、システム前提条件は、機器および人および環境に関して安全設計に影響を与える情報を持ち、その機器および人および環境に関する情報のそれぞれが範囲を有する。
　これらパラメータについては、安全分析ならびに設計を行う際に前提としたパラメータであり、例えば変化することにより、安全分析・設計の結果の変更が必要なパラメータを想定している。例えば自律制御システム１００の移動速度が低速なことを前提に安全設計をしていた場合で、高速に移動する機器がフィールドに新規に追加された場合、想定されるリスクの変化や、そのリスクの変化に伴って安全分析ならびに設計の結果が変化する可能性がある。人や環境の変化でも同様であり、その際に自律制御システム１００は状況の変化に合わせて安全な制御を実施する必要がある。
＜設計想定範囲内外の定義＞
　次に設計想定範囲内か否かの判定方法について図５を用いて説明する。まず、本実施例にかかる自律制御システム１００を設計する場合には、前記システム前提条件について複数のパターン（ここではＡからＣ）を設計する。また、それに対応する安全設計変更パターン（ここではαからβ）も設計する。すなわち、図５に示すように、システム前提条件パターンを２以上と、対応する安全設計変更パターンの組合せをテーブルとして設計する。それぞれのシステム前提条件パターンでパラメータは範囲（値域またはリスト）を持ち（図４参照）、その範囲内であればシステム前提条件は変化していないとみなす。一方で前記システム前提条件の範囲を逸脱した場合、その他のシステム前提条件パターン（例えばこの例でシステム前提条件パターンＡを逸脱した場合、ＢまたはＣ）のパラメータ範囲に含まれるかを確認する。他のパターンのシステム前提条件のパラメータの範囲内に、前記変化したシステム前提条件のパラメータが含まれる場合（例えばＣのパラメータの範囲内に含まれる場合）、ここでは設計想定範囲内と判定する。つまり、システム前提条件パターンの条件に現在のシステム前提条件が一致する場合を設計想定範囲内と判定する。他のパターンのシステム前提条件のパラメータの範囲内に、前記変化したシステム前提条件のパラメータが含まれない場合には、設計想定範囲外と判定する。つまり、システム前提条件パターンの条件に現在のシステム前提条件が一致しない場合を設計想定範囲外と判定する。
　システム前提条件を逸脱し、設計想定範囲内である場合（例えばシステム前提条件パターンＣの範囲内である場合）、対応する安全設計変更パターン（ここでは安全設計変更パターンβ）を用いて後述する安全ルールの再構成を実施する。
　また、システム前提条件を逸脱し、設計想定範囲内でない（設計想定範囲外である）場合、後述する安全ルールの再設計を行い、例えば図５に示すシステム前提条件Ｄの場合の安全設計変更パターンγを設計する。
　安全設計変更パターンは、システム前提条件パターンを基に、設計者等が安全分析を行い、前記システム前提条件下でのハザード分析やリスクアセスメントを行い、安全設計を実施することで構築される。
　システム前提条件パターンまたは安全設計変更パターンについては、例えば判定のために再構成トリガ判定部２０３１（図８）や再設計トリガ判定部２０４１（図９）にて保持される。またはこれら情報については毎回第２の安全レイヤ２０３または第３の安全レイヤ２０４が、外部のデータベース等に問い合わせを行う形でも良い。そのようにすることにより、メモリの削減や、最新の情報への容易な更新（外部データベースを更新すればよい）が可能になる。
　ここで、システム前提条件パターンに対応する安全設計変更パターンは必ず一つ以上存在するように設計するが、もしも存在しない場合には設計想定範囲外と判定する。
　また、複数のシステム前提条件パターンで、同じ安全設計変更パターンを使用しても良い。図５の例では、２つのシステム前提条件パターンＡ、Ｂで、同じ安全設計変更パターンαを使用（設計）する。その場合にはそれらのシステム前提条件パターン間の遷移で安全設計パターンを変更する必要が無くなり、安全ルールの再構成の処理を省略し、不要な安全制御の実施や処理の負荷を低減することも可能となる。
＜安全ルールの再構成＞
　図６に、安全ルールの構造を示す。図６の一番左は安全ルールの階層例を示しており、上位の安全ルールが優先となるように制御を行う。まず“衝突しない”ことが最上位の安全ルールであり、それを実現する中で、“異常時も安全”ということが安全ルールの中で必要になってくる。それらを満たしている上で、“最高速でタスクを実行する”という安全ルールに従い、安全性を維持した上で効率の良い作業を行う安全ルールが構成可能となる。
　この構成の中で、“異常時も安全”という安全ルールを分解した内容が図６の右の構造となる。ここでは、“異常時も安全”という安全ルールを、“閉塞制御”という基本的に同じエリアに複数の物体が進入しないことで安全性を確保する安全ルールと、“遠隔ＯＲ（オーバーライド）”という仮に閉塞制御に違反するオブジェクト等が存在した場合に、強制的に機器を遠隔から制御（例えば減速停止）する安全ルールで安全性を確保する安全ルールと、からなる構成としている。
　“閉塞制御”の安全ルールは、“確保されているエリアに進入しない”という安全ルールと、“エリアのサイズはｘ１［ｍ］”という安全ルール、さらに“条件ｙｙ時にｘｘ［ｍ］となる”という安全ルールから構成されている。通常時はこれらのパラメータにより制御される。
　ここで、システム前提条件が変更になった結果、対応する安全設計変更パターンにおいて、閉塞制御を行うエリアのサイズがｘ２［ｍ］であった場合、安全ルールを更新して再構成する。以降は自律制御システム１００全体が、更新された安全ルールに従い処理を行う。
　また別の例として、システム前提条件が変更となり、新たにオブジェクトの挙動として、アイコンタクト（オブジェクトと機器が安全性に関する意思疎通ができた、という動作）を実施する変更が起きたとする。その場合に対応する安全設計変更パターンが、“アイコンタクト実施時には、閉塞制御のエリアをｘ３［ｍ］（例えばｘ１＞ｘ３）にする”であった場合、その内容に安全ルールを更新して再構成する。
　“遠隔ＯＲ（オーバーライド）”の内容についても同様に、設計想定範囲内であるか否かを、システム前提条件の変更（例えば高速な機器の追加、搬送物に割れ物追加のために速度制限増加、人が成長したために安全マージン削減、等）に対応した安全設計変更パターンを参照して安全ルールの更新を行う。
　再構成により更新された安全ルールについては、論理的には主機能レイヤ２０１や第１の安全レイヤ２０２、物理的にはフィールドの機器またはオブジェクト全体に、通信やその他の方法（情報伝達装置１０５による通知を含む）を用いて通知される。
　このようにして、安全ルールの再構成を実施する。
＜安全ルールの再設計＞
　前記システム前提条件のパターンの範囲内に、変化した後のシステム前提条件が含まれていない場合には、安全ルールの再設計が必要になる。安全ルールの再設計については、システム前提条件の変化のどのパラメータが範囲外であったかを通知することで、再設計を容易とする。すなわち、安全ルールの再設計のトリガとして、システム前提条件の不一致の情報を伝達する構成とする。この再設計を行った結果、新たにシステム前提条件のパターンと安全設計変更パターンが追加される。それらのパラメータを用いて安全ルールの再構成処理を実施することで、新たな安全ルールに基づき自律制御システム１００の制御を安全に実施することが可能となる。
　再設計により更新された安全ルールについては、再構成に記載の内容と同様に通知される。
　また、安全ルールを再設計することにより、システム前提条件パターンまたは安全設計変更パターンが更新されることになる。
＜主機能レイヤおよび第１の安全レイヤ＞
　次に図７を用いて、主機能レイヤ２０１および第１の安全レイヤ２０２の概要について説明する。
　主機能レイヤ２０１は、センサや通信機器等から受信した情報を基に、主に機器周辺などのフィールドの状況を示すマップなどを作成する認知部２０１１、前記認知部２０１１から出力された情報を基に、機器の行動計画ならびに制御計画を作成する判断部２０１２、前記判断部２０１２から出力された行動計画並びに制御計画を基に、アクチュエータなどを制御する信号を出力する操作部２０１３、機器もしくは周囲のオブジェクトが危険な状態に陥った場合に、外部からのオーバーライド指示を受信して、操作部２０１３が実行する制御に介入する介入制御部２０１４から構成される。主機能レイヤ２０１の各部は、主機能レイヤ２０１に対する安全ルールの通知を受けて、対応した制御を行う。例えば判断部２０１２の生成する制御計画は、安全ルールに違反しないように生成される。
　ここで介入制御部２０１４は、安全に対して重要な機能を実施していることから、配置された機器の中でも高信頼な装置（セーフティマイコン）等に配置される。
　オーバーライドでは、車両を減速して停止、状況によっては操舵して回避する、という制御や、システムの一時停止、または静止等、リスクの少ない状態を維持する制御を実施する。以下の安全制御時のオーバーライドでも同様である。
　次に第１の安全レイヤ２０２の概要について説明する。
　第１の安全レイヤ２０２は、主機能レイヤ２０１の異常またはフィールドの非安全事象（安全ルール違反等）を、監視装置１１２や通信装置１１１等を介して得た情報と安全ルールを合わせて診断する診断部２０２２、前記診断部２０２２の診断結果を基に、主機能レイヤ２０１に対してオーバーライド指示などの対応する制御を実施する機能安全制御部２０２１から構成される。
　前記診断部２０２２は、安全ルールを把握するために、更新された安全ルールについて第２の安全レイヤ２０３または第３の安全レイヤ２０４からの安全ルール更新情報を受信し、更新した安全ルールに基づき診断を実施する。
＜第２の安全レイヤ＞
　第２の安全レイヤ２０３の概要について図８を用いて説明する。
　第２の安全レイヤ２０３は、前記安全ルールの再構成に記載の方法で、システム前提条件の逸脱および設計想定範囲内外の判定を、保持しているシステム前提条件パターンと安全設計変更パターン、そして主機能レイヤ２０１との通信および監視装置１１２を用いて検出した現在のシステム前提条件から判定を行う再構成トリガ判定部２０３１と、前記判定結果を用いて再構成時の安全制御（オーバーライド等）を行う再構成安全制御部２０３２と、前記判定結果ならびに前述の方法を用いて安全ルールの再構成を行い、更新された安全ルールについてフィールドの機器やオブジェクトへの通知を行う安全ルール再構成部２０３３と、から構成される。
　再構成時の安全制御については、前記の通りシステム前提条件パターンが変更になっても、安全設計変更パターンに変更が無い場合には、特に安全制御処理を実施しなくても良い。そのようにすることにより、不要なシステムの停止を防ぐことが可能になる。
＜第３の安全レイヤ＞
　第３の安全レイヤ２０４の概要について図９を用いて説明する。
　第３の安全レイヤ２０４は、前記記載の方法で、システム前提条件の逸脱および設計想定範囲内外の判定を、保持しているシステム前提条件パターンと安全設計変更パターン、そして主機能レイヤ２０１との通信および監視装置１１２を用いて検出した現在のシステム前提条件から判定を行う再設計トリガ判定部２０４１と、前記判定結果を用いて再設計時の安全制御（オーバーライド等）を行う再設計安全制御部２０４２と、前記判定結果ならびに前述の方法を用いて安全ルールの再設計を行い、更新された安全ルールについてフィールドの機器やオブジェクトへの通知を行う安全ルール再設計部２０４３と、から構成される。
　このように構成することにより、自律制御システム１００の環境変化（進化、用途変更など）に対応した安全性の再構築を短時間で且つ適切に実現することができ、自律制御システム１００の各種状況が変化した場合でも、安全ルールを変化した状況や設計条件に合わせて適切に再構築することができる。
［実施例２］
　次に、安全ルールの展開が完了するまでシステムの安全制御を維持する方法について、図１０を用いて説明する。本フローは、第２の安全レイヤ２０３または第３の安全レイヤ２０４により実施される。ここでは第２の安全レイヤ２０３での実施手順について説明する。
　まず第２の安全レイヤ２０３は、再構成トリガ判定部２０３１にて安全ルールの再構成のトリガを判定する。安全ルールの再構成が必要と判断した場合、自律制御システム１００全体に安全ルールの通知を行う（Ｓ１００１）。具体的には、再構成トリガ判定部２０３１から安全ルール再構成部２０３３に対して安全ルールの再構成とフィールド全体への安全ルール更新の通知を実施するように指示する。その後、再構成トリガ判定部２０３１は、再構成安全制御部２０３２に対して安全制御（オーバーライド等）の実行を指示する（Ｓ１００２）。
　その後、再構成トリガ判定部２０３１は、自律制御システム１００内の各機器（例えば車両システム１０２、非通信車両システム１０３）およびオブジェクト１０４から、安全ルールが送信され、受信されたことを確認する。確認の方法としては、通信の応答や、人の挙動（応答サイン）などから判定を行う。言い換えると、自律制御システム１００全体から合意を取得したか否かを確認する。結果として、フィールド全体の機器またはオブジェクト全てから応答を受信できていない場合（Ｓ１００３のｎｏ）は、安全制御状態の維持を行う。全ての機器およびオブジェクトから応答を受信できた場合には（Ｓ１００３のｙｅｓ）、安全制御状態を解除し（Ｓ１００４）、その後、自律制御システム１００全体が更新された安全ルールに従い制御を行う。すなわち、安全ルールの更新通知に対する各機器およびオブジェクトの応答を確認し、新規安全ルールでの制御を実施する。
　第３の安全レイヤ２０４で処理を行う場合にも、上記再構成トリガ判定部２０３１の処理を再設計トリガ判定部２０４１に、上記再構成安全制御部２０３２の処理を再設計安全制御部２０４２に、上記安全ルール再構成部２０３３の処理を安全ルール再設計部２０４３に置き換えることで、安全ルール再設計時の処理も同様に実現することが可能である。
　このようにすることにより、危険な事象の原因となりかねない安全ルールの不一致による処理の実行（例えばマージンの判断を間違ったことによる接触等）を防ぎ、安全ルールがフィールド全体で一致していることを確認した上で、安全に処理を行うことが可能となる。
［実施例３］
　次に、新規の機器や人がフィールドに参加した場合に、安全ルールを効率よく更新する方法について説明する。実施例３にかかる第２の安全レイヤ２０３の構成について図１１に示す。
　本実施例における第２の安全レイヤ２０３は、オブジェクトの安全ルールの把握に関わるシステム前提条件の差分を検出する前提差分判定部２０３４と、前記前提差分判定部２０３４により判定された差分（オブジェクトの安全ルールの把握条件の差分）を解消するための安全ルール（例えば、オブジェクトが交差点での一時停止のルールを知らない場合、交差点で一時停止を行うという安全ルール）について送信する安全ルール送信部２０３５と、を有する。
　まず、自律制御システム１００が管理するフィールドに、新規に安全ルールを把握していない人（オブジェクトＡとする）が進入した場合について例を示す。この場合に、第２の安全レイヤ２０３における再構成トリガ判定部２０３１は、実施例１、２で説明した通り、システム前提条件の逸脱（オブジェクトＡのパラメータ（安全ルールの把握）が現在のシステム前提条件と不一致）を確認し、前述の通り安全ルールの再構成を実施する。
　次に、前記システム前提条件の逸脱に関する情報（変化前のシステム前提条件ならびに変化後のシステム前提条件）を再構成トリガ判定部２０３１から受信した前提差分判定部２０３４は、その差分から、オブジェクトＡが差分である安全ルールを把握することにより、システム前提条件が変化前のシステム前提条件を満たすと判断する。その結果、前提差分判定部２０３４は、オブジェクトＡに対して差分の安全ルールを通知するように、安全ルール送信部２０３５に指示し、安全ルール送信部２０３５は、前記安全ルールをオブジェクトＡに対して通知する。
　通知の結果、オブジェクトＡが安全ルールを把握することにより、再構成トリガ判定部２０３１は、システム前提条件が再度変更したことを確認し、再度安全ルールの再構成を実施する。すなわち、本実施例では、安全ルールを把握していないオブジェクトＡに対して安全ルールの情報通知を行い、その結果を受けて安全ルールの再構成を実施する。
　このようにして、新たな人などのオブジェクトがフィールドに進入した場合、安全にルールを切り替えた後に、そのオブジェクトに対してルールを通知して把握させることにより、全員が安全ルールを把握した前提の、効率が良いシステム前提条件で動作することが可能になる。
　上記ではオブジェクトへの通知例について説明したが、機器の場合も同様に、安全ルールを通知して把握させたことを確認した上で、システム全体が安全ルールを把握した前提で処理を行うことが可能となる。
　また、安全ルールの把握以外でも、例えば荷物の運搬量が規定を超過している場合なども、該当オブジェクトまたは機器に通知を行い、運搬量を規定以下に下げることにより、全体が効率の良い安全ルールで動作をすることも可能となる。
　また再構成に代わり再設計を行うため、第３の安全レイヤ２０４で処理を行う場合にも、上記再構成トリガ判定部２０３１の処理を再設計トリガ判定部２０４１に、上記再構成安全制御部２０３２の処理を再設計安全制御部２０４２に、上記安全ルール再構成部２０３３の処理を安全ルール再設計部２０４３に、置き換え、同様に第３の安全レイヤ２０４に前提差分判定部２０３４と安全ルール送信部２０３５を配置することで同様に実現することが可能である。
［実施例４］
　次に、本発明を産業機器に適用した場合の例について説明する。まず工場内の搬送ロボなどを含む自律制御システムへの適用については、前記車両システムを搬送ロボに置き換え、オブジェクトとして作業員などを想定することにより、実施例１から３に記載の通り安全ルールの再構成および再設計による安全ルールに基づく制御が可能となる。一方で、産業機器は機器のエネルギーが大きく、結果としてリスク値が高くなるため、留意した安全設計が必要となる。
　ロボットアームなどの機器に適用する場合は、主なリスクがアームと作業者との共同作業や近接時の接触等となる。そのため、システム前提条件として、ロボットアームの可動範囲、速度、センサ範囲、通信および応答速度、安全性能（フェイルセーフ機構の有無等）があり、オブジェクトとしての作業者のパラメータとして、熟練度、安全ルールの把握有無、身長（接触する位置や可能性）などが挙げられる。また、安全ルールとしては、衝突防止のための距離維持があり、その距離のパラメータが上記条件により設定される形となる。また第１の安全レイヤ２０２は、上記した距離維持を、センシングや故障診断により実施し、第２の安全レイヤ２０３および第３の安全レイヤ２０４は、上記記載の通り安全ルールの再構成と再設計をそれぞれ実施することで、産業機器においても安全ルールに対応した安全制御をシステム前提条件の変化に応じて実施することが可能となる。
［実施例１～４のまとめ］
　以上説明した実施例によれば、フィールド内の安全ルールに基づき機器の安全を監視して制御する第１の安全レイヤ２０２と、設計想定内のシステム前提条件逸脱を検出し、前記安全ルールの再構成を行う第２の安全レイヤ２０３により、システム前提条件を逸脱した場合でも設計想定内で対応した安全ルールに再構成を行い、安全に制御を継続することが可能になる。
　また、上記構成に加え、設計想定外のシステム前提条件逸脱を検出し、前記安全ルールの再設計を行う第３の安全レイヤ２０４をさらに有することにより、設計想定外のシステム前提条件に対応した安全ルールの再設計を実施することが可能となる。
　また、システム前提条件逸脱を検出し、前記安全ルールの再構成または再設計を行う際に、前記フィールドの安全性を維持するための制御を実施することにより、安全ルール更新時の安全性の維持が可能となる。
　また、前記第２の安全レイヤ２０３または前記第３の安全レイヤ２０４の機能の一部であるシステム前提条件逸脱の検出機能が、前記機器に実装されることにより、情報の伝達量を削減することが可能になる。
　また、前記安全ルールの再設計のトリガとして、前記システム前提条件の不一致の情報を伝達することで、安全ルールの再設計が容易となる。
　また別の実施例では、前記安全ルールの更新通知に対する機器およびオブジェクトの応答を確認し、新規安全ルールでの制御を実施することで、安全ルールの不一致による危険事象の発生を防止することが可能になる。
　また別の実施例では、上記構成に加え、前記安全ルールの把握に関わるシステム前提条件の差分を検出する前提差分判定部２０３４と、前記差分により判定された前記安全ルールの把握条件の差分について送信する安全ルール送信部２０３５と、を有し、前記安全ルールを把握していないオブジェクトに対して安全ルールの情報通知を行い、その結果を受けて前記安全ルールの再構成または再設計を実施することで、自律制御システム１００全体が安全ルールを把握した前提の効率が良いシステム前提条件で動作することが可能になる。
　これにより、本実施例によれば、自律制御システムの環境変化（進化、用途変更など）に対応した安全性の再構築を短時間で且つ適切に実現することができ、自律制御システム１００の各種状況が変化した場合でも、安全ルールを変化した状況や設計条件に合わせて適切に再構築することができる。
　なお、本発明は上記の実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記の実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、或る実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、或る実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。
　また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路にて設計する等によりハードウェアによって実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアによって実現してもよい。各機能を実現するプログラム、テープ、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（solid state drive）等の記録装置、又は、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。
　また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。
１００　自律制御システム
１０１　安全監視システム
１０２　車両システム
１０３　非通信車両システム
１０４　オブジェクト
１０５　情報伝達装置
１１１　通信装置
１１２　監視装置
２０１　主機能レイヤ
２０２　第１の安全レイヤ
２０３　第２の安全レイヤ
２０４　第３の安全レイヤ
４０１　システム前提条件（機器）
４０２　システム前提条件（オブジェクト）
４０３　システム前提条件（環境）
２０１１　認知部
２０１２　判断部
２０１３　操作部
２０１４　介入制御部
２０２１　機能安全制御部
２０２２　診断部
２０３１　再構成トリガ判定部
２０３２　再構成安全制御部
２０３３　安全ルール再構成部
２０４１　再設計トリガ判定部
２０４２　再設計安全制御部
２０４３　安全ルール再設計部
２０３４　前提差分判定部
２０３５　安全ルール送信部

Claims (13)

  1. 　機器を動作させる主機能レイヤと、
    　フィールド内の安全ルールに基づき前記機器の安全を監視し、対応する制御を前記主機能レイヤに実施する第１の安全レイヤと、
    　設計想定内のシステム前提条件逸脱を検出し、前記安全ルールの再構成を行い、再構成により更新された前記安全ルールを通知する第２の安全レイヤと、を有する自律制御システム。
  2. 　請求項１に記載の自律制御システムにおいて、
    　設計想定外のシステム前提条件逸脱を検出し、前記安全ルールの再設計を行う第３の安全レイヤをさらに有する自律制御システム。
  3. 　請求項２に記載の自律制御システムにおいて、
    　システム前提条件逸脱を検出し、前記安全ルールの再構成または再設計を行う際に、前記フィールドの安全性を維持するための制御を実施することを特徴とした自律制御システム。
  4. 　請求項１に記載の自律制御システムにおいて、
    　システム前提条件パターンを２以上と、対応する安全設計変更パターンの組合せをテーブルとして有し、前記システム前提条件パターンの条件に現在のシステム前提条件が一致することを設計想定内と判定することを特徴とした自律制御システム。
  5. 　請求項４に記載の自律制御システムにおいて、
    　前記システム前提条件は、機器および人および環境に関して安全設計に影響を与える情報を持ち、前記情報のそれぞれが範囲を有することを特徴とした自律制御システム。
  6. 　請求項２に記載の自律制御システムにおいて、
    　前記安全ルールの再設計のトリガとして、前記システム前提条件の不一致の情報を伝達することを特徴とした自律制御システム。
  7. 　請求項３に記載の自律制御システムにおいて、
    　前記安全ルールの更新通知に対する機器およびオブジェクトの応答を確認し、新規安全ルールでの制御を実施することを特徴とした自律制御システム。
  8. 　請求項２に記載の自律制御システムにおいて、
    　前記第２の安全レイヤまたは前記第３の安全レイヤの機能の一部であるシステム前提条件逸脱の検出機能が、前記機器に実装されることを特徴とした自律制御システム。
  9. 　請求項２に記載の自律制御システムにおいて、
    　前記安全ルールの把握に関わるシステム前提条件の差分を検出する前提差分判定部と、前記差分により判定された前記安全ルールの把握条件の差分について送信する安全ルール送信部と、を有し、前記安全ルールを把握していないオブジェクトに対して前記安全ルールの情報通知を行い、その結果を受けて前記安全ルールの再構成または再設計を実施することを特徴とした自律制御システム。
  10. 　請求項２に記載の自律制御システムにおいて、
    　システム前提条件パターンを２以上と、対応する安全設計変更パターンの組合せをテーブルとして有し、前記システム前提条件パターンの条件に現在のシステム前提条件が一致しないことを設計想定外と判定することを特徴とした自律制御システム。
  11. 　フィールド内の安全ルールに基づき機器の安全を監視して制御する第１の安全レイヤと、
    　設計想定内のシステム前提条件逸脱を検出し、前記安全ルールの再構成を行う第２の安全レイヤと、を有する安全監視システム。
  12. 　請求項１１に記載の安全監視システムにおいて、
    　設計想定外のシステム前提条件逸脱を検出し、前記安全ルールの再設計を行う第３の安全レイヤをさらに有する安全監視システム。
  13. 　請求項１２に記載の安全監視システムにおいて、
    　システム前提条件逸脱を検出し、前記安全ルールの再構成または再設計を行う際に、前記フィールドの安全性を維持するための制御を実施することを特徴とした安全監視システム。
PCT/JP2023/022282 2022-08-03 2023-06-15 自律制御システムおよび安全監視システム Ceased WO2024029211A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US18/870,848 US20250370414A1 (en) 2022-08-03 2023-06-15 Autonomous control system and safety monitoring system

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2022-124006 2022-08-03
JP2022124006A JP2024021284A (ja) 2022-08-03 2022-08-03 自律制御システムおよび安全監視システム

Publications (1)

Publication Number Publication Date
WO2024029211A1 true WO2024029211A1 (ja) 2024-02-08

Family

ID=89848793

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2023/022282 Ceased WO2024029211A1 (ja) 2022-08-03 2023-06-15 自律制御システムおよび安全監視システム

Country Status (3)

Country Link
US (1) US20250370414A1 (ja)
JP (1) JP2024021284A (ja)
WO (1) WO2024029211A1 (ja)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003067045A (ja) * 2001-08-27 2003-03-07 Toshiba Corp プラント自動制御装置
JP2009026063A (ja) * 2007-07-19 2009-02-05 Yokogawa Electric Corp 安全制御システム
JP2021117935A (ja) * 2020-01-29 2021-08-10 株式会社日立製作所 系統制約調整支援装置および方法
WO2022009900A1 (ja) * 2020-07-08 2022-01-13 株式会社Soken 自動運転装置、車両制御方法
JP2022516559A (ja) * 2019-01-03 2022-02-28 エッジ ケース リサーチ，インコーポレイテッド 自律運転ビークルの安全性を確保しつつ許容性を向上させる方法及びシステム

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003067045A (ja) * 2001-08-27 2003-03-07 Toshiba Corp プラント自動制御装置
JP2009026063A (ja) * 2007-07-19 2009-02-05 Yokogawa Electric Corp 安全制御システム
JP2022516559A (ja) * 2019-01-03 2022-02-28 エッジ ケース リサーチ，インコーポレイテッド 自律運転ビークルの安全性を確保しつつ許容性を向上させる方法及びシステム
JP2021117935A (ja) * 2020-01-29 2021-08-10 株式会社日立製作所 系統制約調整支援装置および方法
WO2022009900A1 (ja) * 2020-07-08 2022-01-13 株式会社Soken 自動運転装置、車両制御方法

Also Published As

Publication number Publication date
JP2024021284A (ja) 2024-02-16
US20250370414A1 (en) 2025-12-04

Similar Documents

Publication Publication Date Title
CN111874001A (zh) 自动驾驶汽车的安全控制方法、电子设备及存储介质
Vanderhaegen A non-probabilistic prospective and retrospective human reliability analysis method—application to railway system
CN113619576B (zh) 车辆控制方法、装置、设备、存储介质及自动驾驶车辆
Lynas et al. Human factor issues with automated mining equipment
US8125109B2 (en) Modular safety switching system and method
CN102455704B (zh) 使用可疑事件图进行航空器系统诊断辅助的方法、装置
CN109116777A (zh) 汽车电子系统体系架构
CN104950740A (zh) 具有冗余计算机的用于交通工具的系统
Johnson A review of fault management techniques used in safety-critical avionic systems
JP2019180005A (ja) 通信遮断システム、通信遮断方法及びプログラム
CN112286220B (zh) 用于自主监测高度自动化的交通工具操作的系统和方法
Linz Testing autonomous systems
JP5119892B2 (ja) 電子制御システム
CN114872717A (zh) 自动驾驶车辆的控制系统、方法、装置及自动驾驶车辆
Dreany et al. A cognitive architecture safety design for safety critical systems
Ishimoto et al. Safety concept and architecture for autonomous haulage system in mining
WO2024029211A1 (ja) 自律制御システムおよび安全監視システム
CN113119994A (zh) 用于运行自动驾驶车辆的方法和设备
EP3738113B1 (en) System and method for providing a digital intersection
Johnsen et al. Risk-based regulation and certification of autonomous transport systems
Chronopoulos et al. Is smartness risky? A framework to evaluate smartness in cyber-physical systems
JP4755473B2 (ja) 信号制御システム
CN115830897B (zh) 一种自动驾驶系统的冗余实现方法、系统及车辆
KR102416612B1 (ko) 고립된 사용자컴퓨팅부를 갖는 제어시스템 및 그 제어방법
Lachter et al. Thinking outside the box: the human role in increasingly automated aviation systems

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 23849771

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 18870848

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 23849771

Country of ref document: EP

Kind code of ref document: A1

WWP Wipo information: published in national office

Ref document number: 18870848

Country of ref document: US