安全性・信頼性の保証とは？リスクアセスメントを極めた3D距離画像センサ

創造力でリスクを洗い出す

本プロジェクトでは、車いす搭乗型ロボットの実用化を目指していました。この搭乗型ロボットが、一般の町なかを走行する際に安全を保証する“技術”をどうすれば開発することができるのか？　それにはまずロボットの走行・使用中に、どのようなリスクに出くわす可能性があるのか、それを漏れなく洗い出さなくてはなりませんでした。

プロジェクト内で実際にその作業に当たった猪俣さんは、「“安全技術”といわれても最初は何のことかわかりませんでした。しかし、いろいろと話を聞くうちに安全の研究も面白そうだと思うようになりました」と当時の心境を振り返ります。

「ところが最初に参加した二泊三日の合宿で、“大変なことをすることになってしまった”と、面食らいました。リスクを可能な限り洗い出すための合宿でしたが、二泊三日だけでは時間が足りず、メンバー全員が、かなりの宿題を持ち帰えらなければならなくなりました」（猪俣さん）

リスクの一例を挙げると、町中の電信柱があります。ロボットがそれを障害物として認識できずに衝突してしまったら？　大きさ、表面の質感、光沢などが異なる場合に、それを「アンフィニソレイユ」が同じように検知できるのか？　もし電信柱には衝突しなかったとしても、次の障害物が隠れていて、それもロボットが認識して回避できるのか？

このように発生の可能性があるリスクを網羅的に挙げていくと、その項目はどんどん枝分かれして行って数千にも及ぶことになります（図6）。

図6　リスクの洗い出し例（イメージ）（資料提供：日本信号）

「リスク項目の洗い出しには優れた創造力が必要です。そうでないと可能性を網羅できません。技術者としてスキルが試されるときです」と川崎さん。一方、実際に洗い出しを行った猪俣さんは、「いつになったら終わるともわからない、気の遠くなる作業でした」と言います。

次に、洗い出されたリスク項目を検討しますが、項目全てを検討することはできませんから、優先順位を付ける必要が出てきます。

具体的には、リスク項目の「①影響度合い」「②発生度合い」「③検出度合い」の三つについて評価して、点数を付けてゆき、それを掛け合わせた数字が大きいものを “処置すべきリスク項目”としました。

もっともこの点数付けもリスク項目判断基準も、あらかじめ決まった方式があったわけではなく、参加者たちで、その方法論の是非から議論して、リスク項目の検討作業を進めました。

そして、検討・処置すべきだと判断されたリスク項目については、茨城県のつくば市にある「生活支援ロボット安全検証センター」の安全確認施設を使って、実際に安全検証実験を行いました（写真4）。

写真4　茨城県つくば市にある「生活支援ロボット安全検証センター」で行われる安全性試験（イメージ）

参照：NEDOプロジェクト実用化ドキュメント「安全安心な生活支援ロボットの開発を支える規格と認証体制を整備」

「検証センターで試験すると、障害物に近づくと時速1㎞まで減速するはずが、スピードが落ちなかったことがありました。理由は障害物を『アンフィニソレイユ』が上手く検知できなかったからでした」（猪俣さん）

このように実際に試験をしてみると新たな課題が見つかることもありましたが、「アンフィニソレイユ」が関わる課題の多くは、装置そのものを改良することなく、センサを動かすプログラムのアルゴリズムを書き換えることで解決できました。

「アンフィニソレイユ」自体が故障したら？　自己健全性モニタの必要性が明らかに

徹底的にリスクアセスメントを行う中で、前述の「電信柱」のような走行時の外部環境に関するもの以外に、もう一つ重要な検討事項があることを見出しました。それは「アンフィニソレイユ」自体が壊れた場合、その事態をどうやって発見し、どのように安全を確保するかという点です。

「アンフィニソレイユ」はおおまかに言って、「レーザ」「MEMS光スキャナ」「受光素子」（前掲の図3参照）から構成されています。各部それぞれに不具合が起こる可能性があるため、リスクを網羅するには、「①レーザは設計通りに放射しているか」「②MEMS光スキャナのミラーが設計通りに動作しているか」「③受光素子が機能しているか」の3点の健全性を保証しなければなりません。

一例を挙げると、もしレーザ放射出力の低下で返ってくる反射光の強度が下がったり、MEMS光スキャナの走査振れ角が小さくなったりした場合、今まで見えていたものが見えなくなります。そうなると検知範囲が想定より小さくなり、最悪、障害物を見逃してしまうことにもつながります。

ホームドアのように取り付け場所が固定されていて移動しなければ、あらかじめホーム上の柱などを対象物に決めて、受光側の出力を見てこのような現象が観察されるかどうかを調べ、「アンフィニソレイユ」が健全に動作しているかを確認できます。

しかし移動する搭乗型ロボットの場合は、自己健全性を確認するための目印（対象物）を、あらかじめ決めておくことはできません。そこで川崎さんらがたどり着いた解決策は「アンフィニソレイユ」自体に自己健全性をセルフチェックする機能を内蔵することでした。

簡易な「自己健全性モニタ」で、セルフチェック実現

いくつかの試行錯誤を経て行き着いたその仕組みは極めてシンプルなものに集約されました。外部の柱の代わりに「アンフィニソレイユ」の正面ガラスに反射物を付け加えて、それを自己健全性確認のための目印（対象物）とすることにしました。

最新型のFX10sの正面ガラスの右下には、三角形のシールのようなものが貼られています。ここに投光したレーザが反射、受光部でその状況をモニタすることで「アンフィニソレイユ」の自己健全性をチェックしています（写真5）。

写真5　自己健全性モニタを搭載する最新型「アンフィニソレイユFX10s」。正面ガラスの右下の三角形が自己健全性チェックのために貼られた特殊シール

原理を文字で読んでしまえば何気ないことですが、この形状に至るまでには、「NEDOプロジェクトで身につけた、安全性やリスクアセスメントの知見が総動員されている」と川崎さんは説明します。

2013年のプロジェクト終了後から2020年の現在まで、この自己健全性のセルフチェック機能は、改良に改良が重ねられてきました。わかりやすい例が外観です。FX10sは、プロジェクト当時のFX8から2世代を経て、正面ガラスが曲面から平面に変更されています。

川崎さんは、「平面ガラスは曲面ガラスより加工コストがかからないという理由もありますが、自己健全性モニタを内蔵するにあたって、平面ガラスの方が有利だったことが最大の理由です」と説明します。

そもそもFX8の正面ガラスが曲面だったのは、投光したレーザがガラス面に正反射して受光素子に入らないようにするためでした。平面ガラスだと正反射を避けるには、レーザに対してガラスを斜めに設置する必要があり、装置筐体の大型化が懸念されました。

「アンフィニソレイユ」は単独で利用される装置ではなく、ホームドアなどに取り付けられて使用するため、少しでも小型化することが、FX8までの最優先課題でした。しかしNEDOプロジェクトでの安全性研究を経て、自己健全性のモニタリングの重要さを理解した川崎さんらは、あえて平面ガラスの使用に踏み切りました。

移動体に搭載された「アンフィニソレイユ」が自己健全性をモニタリングするためには、前述のとおり外部ではなく、「アンフィニソレイユ」内部にセンシングする対象物を置く必要があります。しかし、対象物の設置位置によっては、測定範囲に自己健全性モニタ用の対象物が陰を作り出し、外環境をセンシングできない無効になってしまう画素が生じてしまいます。

投光部・受光部からモニタ用対象物を少しでも遠くに置ければ、無効になってしまう画素を減らすことができますが、曲面ガラスではそれが難しいため平面ガラスへと変更しました（図7）。

曲面ガラスの時には10％ほどだった無効になってしまう画素は、平面ガラスにしたことで3％にまで抑えられました。一方、筐体を大きくしたくなかった川崎さんらは、電気回路部分を改良、FX8とさほど変わらない大きさまで小型化できるように努力しました。

図7　曲面ガラスと平面ガラスの反射・投光距離の違い

コロンブスの卵のような発想で実現した「自己健全性モニタ」ですが、その簡易さから、製品価格や堅牢性、重量、既存品との互換性などにも優れていて、「アンフィニソレイユ」のシェアの拡大と維持に貢献しています。