(57)【要約】  所定の規制を遵守しつつ任務を試行するために１つ以上のアクチュエータを制御するシステム及び方法を提供する。１つ以上のアクチュエータを制御するシステムは、１つ以上のアクチュエータの少なくとも１つを動作させるために、コマンドを送信する第１プロセッサ（１２）と、第１プロセッサに接続されている入力を有する第２プロセッサ（１４）と、アクチュエータに接続するように構成されている出力を有する第３プロセッサ（１６）とを含む。第２プロセッサ（１４）は、コマンドに基づいて第１信号を送信するように構成されており、第１信号は遵守コマンドを示す。第３プロセッサ（１６）は、第１信号に基づいて第２信号を送信するように構成されており、第２信号は保安コマンドを示す。１つのプロセッサ上において実行するソフトウェア区画を、ハードウェア・プロセッサの代用としてもよい。
2009527862.tif 000002
【特許請求の範囲】
【請求項１】
１つ以上のアクチュエータを制御するシステムであって、
前記１つ以上のアクチュエータの少なくとも１つを動作させるために、コマンドを送信するように構成されている第１プロセッサ（１２）と、
前記第１プロセッサ（１２）に接続されている入力と出力とを有する第２プロセッサ（１４）であって、前記コマンドに基づいて遵守コマンドを示す第１信号を送信するように構成されている第２プロセッサ（１４）と、
前記第２プロセッサ（１４）の前記出力に接続されている入力を有し、前記１つ以上のアクチュエータに接続するように構成されている出力を有する第３プロセッサ（１６）であって、前記第１信号に基づいて保安コマンドを示す第２信号を送信するように構成されている第３プロセッサ（１６）と
を備えていることを特徴とするシステム。
【請求項２】
請求項１記載のシステムにおいて、前記第１プロセッサ（１２）は、少なくとも１つのミッション（任務）を実行し、かつ該少なくとも１つのミッションを実行するときに前記コマンドを送信するために、１組の既定のインストラクション（命令）を備えていることを特徴とするシステム。
【請求項３】
請求項２記載のシステムにおいて、
前記第１プロセッサは、少なくとも１つのセンサに接続されており、前記少なくとも１つのセンサの内少なくとも１つは入力信号を生成するように構成されており、
前記第１プロセッサは、前記入力信号に基づいて、前記少なくとも１つのミッションを実行するように構成されている
ことを特徴とするシステム。
【請求項４】
請求項１記載のシステムにおいて、前記第２プロセッサは、前記コマンド及び前記少なくとも１つの所定の規制に基づいて、前記遵守コマンドを判定するために１組の既定のインストラクションを備えていることを特徴とするシステム。
【請求項５】
請求項２記載のシステムにおいて、前記１組の既定のインストラクションは、前記コマンドが前記少なくとも１つの所定の規制を遵守しない場合、前記コマンドを抑止することを特徴とするシステム。
【請求項６】
請求項１記載のシステムにおいて、前記第２プロセッサは更に、少なくとも１つのセンサに接続されており、前記少なくとも１つのセンサの内少なくとも１つは、入力信号を生成するように構成されており、前記第２プロセッサは、前記コマンド、少なくとも１つの所定の規制、及び前記入力信号に基づいて、前記遵守コマンドを判定するために１組の既定のインストラクションを備えていることを特徴とするシステム。
【請求項７】
請求項１記載のシステムにおいて、前記第３プロセッサは、前記第１信号及び少なくとも１つの所定の保安規格に基づいて、前記保安コマンドを判定するために１組の既定のインストラクションを備えており、前記１組の既定のインストラクションは、前記コマンドが前記少なくとも１つの所定の保安規格を超過する場合、前記コマンドを抑止するよう構成されていることを特徴とするシステム。
【請求項８】
請求項１記載のシステムにおいて、前記第３プロセッサは更に、少なくとも１つのセンサに接続されており、前記少なくとも１つのセンサの内少なくとも１つは、入力信号を生成するように構成されており、前記第３プロセッサは、前記コマンド、少なくとも１つの所定の保安規格、及び前記入力信号に基づいて、前記保安コマンドを判定するために１組の既定のインストラクションを備えている、システム。
【請求項９】
１つ以上のアクチュエータを動作させるコントローラであって、
複数の処理区画間において、１つ以上の信号を選択的に送出するように構成されているルータ（５２）と、
前記ルータと通信するように構成されており、更にコマンドを示す第１信号を生成するように構成されている、前記複数の処理区画の内の第１処理区画（５４）と、
前記ルータと通信するように構成されており、更に前記第１信号が１組の規制を満たす場合、第２信号を生成するように構成されている、前記複数の処理区画の内の第２処理区画（５８）と、
前記ルータと通信するように構成されており、更に前記第２信号が１組の規格を満たす場合、第３信号を生成するように構成されている、前記複数の処理区画の内の第３処理区画（６０）と、
前記ルータと通信するように構成されている第１入力と、前記１つ以上のアクチュエータに接続されている出力とを有する第４処理区画（６２）であって、前記第３信号を受信すると、前記コマンドを送信するように構成されている、第４処理区画（６２）と、
を備えていることを特徴とするコントローラ。
【請求項１０】
ミッションを実行するために１つ以上のアクチュエータを制御する方法であって、
前記ミッションの少なくとも一部を実行しつつ、コマンドを示す第１信号を生成するステップ（１０５）と、
前記コマンドが少なくとも１つの所定の規制を遵守する場合、前記第１信号に基づいて遵守コマンドを示す第２信号を生成するステップ（１１０）と、
前記第２信号が保安コマンドを示す少なくとも１つの所定の規格を満たす場合、前記１つ以上のアクチュエータに前記コマンドを送信するステップ（１１５）と、
を備えていることを特徴とする方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般的には、制御システムに関し、更に特定すれば、所定の規制及び規格を遵守してミッション（任務）機能(mission function)を実施する方法及びシステムに関する。
【背景技術】
【０００２】
自律システム（例えば、ある程度の自己動作を有するシステム）は、労働集約的作業を簡素化又は最小化するためには、特に便利である。ロボット・システムのような高信頼性システムは、適正な動作のためにかなりの量の人との相互作用を必要とするのが通例であり、このようなシステムにおいて人の相互作用を削減することは、例えば、労働資源を保存する又は労働資源を一層効率的に使用するためには望ましい。ロボット・システムと関連のある操作者の人数を削減するためには、自己動作システムに一定量の自律性を付与すればよい。しかしながら、自律システムは、一般に、非決定論的プロセスを実施し、本質的に何らかの予測不可能性を有する。自律性を高めることによって、システムが次に何をすればよいかについての絶対的決定が、不可能ではないにしても、増々困難になる。
【発明の開示】
【発明が解決しようとする課題】
【０００３】
１つ以上のエンティティによって規制されるプログラム又は車両、例えば、連邦航空管理局（ＦＡＡ：Federal Aviation Administration）によって規制される航空機において、何らかの制御システムが用いられている。これらの制御システムでは、労働削減の恩恵は魅力的であるが、これらのエンティティは、労働削減の恩恵と交換に、制御システムにおける決定論を犠牲にすることに不本意である場合もある。決定論的システムを保持することによって、制御システムの不適当な動作の場合に、人の制御又は無効化を行使することができる。自律システムの用途に提案できる例には、無人航空機、宇宙における自律組立を含む宇宙探査、無人ローバ、ならびに車両の自律ランデブー及びドッキング等が含まれるが、必ずしもこれらに限定される訳ではない。今後、これらの自律システムは、アメリカ航空宇宙局（ＮＡＳＡ）、１つ以上の軍事支部、ＦＡＡ、及びその他の政府エンティティによる証明を受けるようになることも考えられる。非決定論的システム、即ち、人間環境において非決定論的アルゴリズムを動作させるシステム（例えば、一人以上の人の面前において）は、現在、このようなエンティティによる証明が欠けている。
したがって、決定論的システムと関連のある規制に準拠した自律システムを制御する方法を提供することが望ましい。更に、本発明のその他の望ましい特徴及び特性は、添付図面及びこの発明の背景と関連付けた、以下に続く本発明の詳細な説明、及び特許請求の範囲から明らかとなるであろう。
【課題を解決するための手段】
【０００４】
本発明は、少なくとも１つの規制及び少なくとも１つの規格を遵守しつつ任務を試行するために１つ以上のアクチュエータを制御するシステム及び方法を提供する。実施形態の一例では、１つ以上のアクチュエータを制御するシステムを提供し、１つ以上のアクチュエータの少なくとも１つを動作させるために、コマンドを送信するように構成されている第１プロセッサと、第１プロセッサに接続されている入力と出力とを有する第２プロセッサと、第２プロセッサの出力に接続されている入力を有し、１つ以上のアクチュエータに接続するように構成されている出力を有する第３プロセッサとを備えている。第２プロセッサは、コマンドに基づいて第１信号を送信するように構成されており、第１信号は遵守コマンドを示す。第３プロセッサは、第１信号に基づいて第２信号を送信するように構成されており、第２信号は保安コマンドを示す。
【０００５】
別の実施形態例では、１つ以上のアクチュエータを動作させるコントローラを提供し、複数の処理区画間において、１つ以上の信号を選択的に送出するように構成されているルータと、ルータと通信するように構成されており、更にコマンドを示す第１信号を生成するように構成されている、複数の処理区画の内の第１処理区画と、ルータと通信するように構成されており、更に第１信号が１組の規制を満たす場合、第２信号を生成するように構成されている、複数の処理区画の内の第２処理区画と、ルータと通信するように構成されており、更に第２信号が１組の規格を満たす場合、第３信号を送信するように構成されている、複数の処理区画の内の第３処理区画と、ルータと通信するように構成されている第１入力と、１つ以上のアクチュエータに接続されている出力とを有する、福数の処理区画の内の第４処理区画とを備えている。第４処理区画は、第３信号を受信すると、コマンドを送信するように構成されている。
【０００６】
別の実施形態の一例では、任務を実行するために１つ以上のアクチュエータを制御する方法を提供し、任務の少なくとも一部を実行しつつコマンドを示す第１信号を生成するステップと、コマンドが少なくとも１つの所定の規制を遵守する場合、第１信号に基づいて遵守コマンドを示す第２信号を生成するステップと、第２信号が保安コマンドを示す少なくとも１つの所定の規格を満たす場合、１つ以上のアクチュエータに第1信号を送信するステップとを備えている。
【発明を実施するための最良の形態】
【０００７】
以下に、添付図面と関連付けて、本発明について説明する。図面では、同様の番号は同様の要素を示すこととする。
以下の本発明の詳細な説明は、性質上単なる一例に過ぎず、本発明又は発明の用途及び使用を限定することを意図するのではない。更に、先の発明の背景、又は以下の発明の詳細な説明において呈示するいずれの理論にも拘束されることも意図してはいない。
【０００８】
より基本的な実施形態では、本発明は、制御システム・アーキテクチャであり、下位保護アルゴリズムが上位コマンドに対する優先度を獲得する(command)。実施形態の一例では、制御システムは、ミッション（任務）・プログラム及びノンクリチカル(non-critical)・プログラムを個々に走らせ、これらのプログラムの実行中にコマンドを生成する第１レイヤと、第１レイヤから発生したコマンドの有効性を判断し、いずれかの該当する規制を適用する第２レイヤと、人が査定した規格に対する規制遵守コマンドの有効性を判断する第３レイヤとを備えている。ミッション・レイヤは、非決定論的アルゴリズムを含む。該当する規制を遵守しないコマンドはいずれも包摂される(subsume)か、又は抑止される。加えて、規制を順守するコマンドであっても、人が査定する規格を満たさなければ、いずれも包摂されるか、又は抑止される。
【０００９】
これより図面を参照すると、図１は、本発明の実施形態の一例による制御システム１０のブロック図である。制御システム１０は、１つ以上の任務アルゴリズムを実行し、個々のミッション・アルゴリズムに基づいてコマンドを生成するように構成されている第１プロセッサ１２即ちミッション・プロセッサと、第１プロセッサ１２に接続されている入力を有し、少なくとも１つの所定の規制（例えば、ＦＡＡ規制、軍事仕様等）に基づいて１つ以上のアルゴリズムを実行するように構成されている第２プロセッサ１４と、第２プロセッサ１４の出力に接続されている入力を有し、少なくとも１つの規格（例えば、人が査定した規格、保安規格等）に基づいて１つ以上のアルゴリズムを実行するように構成されている第３プロセッサ１６と、第３プロセッサ１６の出力に接続されており、第３プロセッサ１６からコマンドを受ける１つ以上のアクチュエータ１８とを備えている。この実施形態例では、制御システム１０のアーキテクチャにおいて、３つのレイヤが、それぞれ、第１、第２、及び第３プロセッサ１２、１４、及び１６に分離されている。第３プロセッサ１６は、コマンドが所定の規制を遵守し、第２及び第３プロセッサ１４及び１６がそれぞれ決定した所定の規格を満たすときに、コマンドをアクチュエータ１８に送信する。制御システム１０は、特定のアクチュエータ１８を制御するように説明するが、制御システム１０は、所望の行為又はタスクを実行するように構成されている装置又はシステムであれば任意のものに適用することができる。加えて、ミッション・アルゴリズムは、単独行為、一連のタスク、多数の行為及び／又はタスクによるミッション目標の遂行というように、その複雑性が広範囲に及ぶ場合もある。
【００１０】
プロセッサ１２、１４、１６の各々は、加えて、１つ以上のセンサ又は入力デバイス２１、２２、及び２３にも接続することができる。センサ２１、２２、２３の各々は、入力信号を供給する。この入力信号は、各プロセッサ１２、１４、１６が受け取り、それぞれのアルゴリズムの実行中に用いることができる。例えば、第１プロセッサ１２は、センサ２１、２２、及び２３に接続され、ミッション・アルゴリズムの実行中にセンサ２１、２２、及び２３からの入力信号の内少なくとも１つを処理することができ、第２プロセッサは、センサ２１、２２、及び２３に接続され、規制に基づいて、あるアルゴリズムの実行中にセンサ２１、２２、及び２３からの入力信号の内少なくとも１つを処理することができ、第３プロセッサ１６は、センサ２１、２２、及び２３に接続され、規格に基づいてあるアルゴリズムの実行中にセンサ２１、２２、及び２３からの入力信号の内少なくとも１つを処理することができる。冗長度を示すために３つのセンサについて記載したが、センサ２１、２２、２３の個数及び種類は、プロセッサ１２、１４、及び１６毎に異なっても良く、更に個々のミッション毎に異なってもよい。例えば、第１プロセッサ１２はセンサ２１、２２、２３の１つ以上からのデータを用いてコマンドを作成することができ、一方、第２及び第３プロセッサ１４及び１６は、同じ又は異なるセンサを用いてそれぞれの機能を実行することができる。
【００１１】
アクチュエータの任務又はタスクに基づいて、第１プロセッサ１２は、このようなミッション又はタスクを実施するコマンドを発信する。第１プロセッサ１２は、異なるミッション・アルゴリズムを含み、入力信号（例えば、センサ２１、２２、及び２３から）に基づいて対応するミッション・アルゴリズムを選択し、ミッション・アルゴリズムの実行中に制御システム１０が制御すべきアクチュエータ１８の種類に基づいて、コマンドを示す第１信号を生成する。ミッション・アルゴリズムは、種々のソースから得られることが考えられ、人の操作者からのリアル・タイム・コマンド、ミッション・タスクの計画及びスケジューリング、ミッション・目標を達成している間における環境条件に対するリアル・タイム応答等がそのソースに含まれるが、必ずしもこれらに限定される訳ではない。第２プロセッサ１４は、所定の規制に基づくアルゴリズムによって、第１プロセッサ１２から供給される第１信号を処理し、コマンドが該当する規制を遵守しているか否か判断する。通常、アクチュエータ１８は、所定の規制によって統御されている空間内において動作する。例えば、航空機はＦＡＡ規制によって統御されている。第２プロセッサ１４によるアルゴリズムの実行中に該当すると見なされる規制は、アクチュエータ１８の種類に基づいて異なり、既定の政府又は業界規制及びその他の追加規制（例えば、顧客指定要件又は性能要件）を含むこともある。例えば、自律的に国境調査航空機を飛ばすコマンドは、最小限の高度を維持し、国際的な国境を尊重するように規制される場合がある。この例では、センサ２１、２２、及び２３の１つ以上は、高度、大域的位置等のような、種々の飛行情報を検出する。
【００１２】
第２プロセッサ１４が、第１プロセッサ１２からの第１信号によって示されるコマンドが規制を遵守すると判断した場合（例えば、遵守コマンドを示す）、第２プロセッサ１４は第２信号を第３プロセッサ１６に送信する。第３プロセッサ１６は、所定の規格に基づくアルゴリズムによって第２信号を処理し、コマンドがこのような規格を満たすか否か判断する。実施形態の一例では、所定の規格は、アクチュエータ１８の、アクチュエータ１８が占有する空間の既定のエレメント（例えば、人、人が占有する構造体等）との接触を防止することに基づいて選択され、それにより安全性を高める。例えば、第３プロセッサ１６はアクチュエータ１８の全ての運動を制御して、アクチュエータ１８の既定のエレメント（例えば、人）との接触又は望ましくない接触を防止する。この例では、センサ２１、２２、及び２３は、既定のエレメントのアクチュエータ１８への近接を検知し、アクチュエータ１８が既定のエレメントに接触するときに伴う力を測定することができる。加えて、第３プロセッサ１６は、アクチュエータ１８の任意の運動の経路を判断し、アクチュエータ１８の人との潜在的な接触を予測するように構成されている。第３プロセッサ１６が実行するアルゴリズムは、デバイスが所定のレベルを超える力を出すことを禁止する（例えば、傷害を防止する）、又は接触を完全に回避するための論理規則を含む。第３プロセッサ１６が、コマンドが所定の規格を満たすと判断した場合、第３プロセッサ１６は、ミッション・アルゴリズムの実行中に生成したコマンドを、アクチュエータ１８に送信する。
【００１３】
この実施形態例では、プロセッサ１２、１４、１６は縦続接続されており、ミッション・アルゴリズムによって生成されたコマンドは第１プロセッサ１２において走り、遵守アルゴリズムを走らせている第２プロセッサ１４に流れる。該当する遵守基準を満たすコマンドは、いずれも、保安アルゴリズムを走らせている第３プロセッサ１６に供給される。この実施形態例では、第３プロセッサ１６は、アクチュエータ１８にアクセスすることができ、コマンドが所定の規制及び所定の規格の双方を満たす場合に、コマンドをアクチュエータに送信する。
【００１４】
図２は、本発明の別の実施形態例による制御システム３０のブロック図であり、図３は、図２に示すプロセッサの時間及び空間処理区画(partition)のブロック図である。制御システム３０は、プロセッサ３２と、プロセッサ３２の出力に接続されている１つ以上のアクチュエータ３４と、プロセッサ３２の入力に接続されている１つ以上のセンサ３６、３８、及び４０とを備えている。この実施形態例では、制御システム・アーキテクチャの３つの層が１つのプロセッサ３２の中に実装されている。また、３つの層は、冗長処理を有する二重プロセッサに実装することもできる。プロセッサ３２のハードウェア、ソフトウェア、及び動作ツールの組み合わせを用いることにより、プロセッサ３２は、多数の仮想コンピュータに区分することができる、１つの高スループット計算プラットフォームを設ける。例えば、区画は、プロセッサ３２の４つのドメイン、メモリ空間、計算時間、入力／出力（Ｉ／Ｏ）アクセス、及びバックプレーン・アクセスにおいて行われる。各仮想コンピュータは、専用リソースを、関連するソフトウェア・アプリケーションに供給する。このリソースを区画(partition)と呼ぶ。
【００１５】
この実施形態例では、プロセッサ３２は、オペレーティング・システム及びミドルウェア５２、オペレーティング・システム５２と通信し、任務アルゴリズムを動作するように構成されている１つ以上の区画（パーティション）５４、５６（例えば、ミッション区画１、・・・・・、ミッション区画ｎ）、オペレーティング・システム５２と通信し、所定の規制に基づいてアルゴリズムを動作するように構成されている区画５８（例えば、遵守区画）、所定の規格に基づいてアルゴリズムを動作するように構成されている区画６０（例えば、保安区画）、及びオペレーティング・システムと通信し、センサ３６、３８、４０に接続されている入力と、アクチュエータ３４に接続されている出力とを有する区画６２を備えている。プロセッサ３２は、加えて、種々のタスクを処理する別の区画６４も含むことができる。例えば、追加の区画は、ミッション区画５４、５６と遵守区画５８との間に、ユーザ・コマンドのために含ませることができる。この例では、追加の区画を用いて、緊急停止能力を追加することができる。
【００１６】
センサ３６、３８、及び４０からプロセッサ３２、及びプロセッサ３２からアクチュエータ３４へのデータの移動は、オペレーティング・システム５２によって制御する。加えて、区画５４、５６、５８、６０、及び６２間のデータ移動も、オペレーティング・システム５２のルーティング機能によって制御する（例えば、ミドルウェア内に設けられるルーティング機能）。所定の規制及び所定の規格を遵守するミッション・アルゴリズムから生成されるコマンド（例えば、規制及び保安要件を遵守するコマンド）をアクチュエータ３４に（例えば、区画６２を経由して）中継する。
【００１７】
プロセッサ３２を区画に分けて、オペレーティング・システム５２によってデータの移動を制御することにより、別の区画のコード、Ｉ／Ｏ、又はデータ記憶エリアの汚染(contamination)を最小限に抑える。加えて、各区画５４、５６、５８、６０、及び６２が、他のいずれの区画をも除外するように共有プロセッサ・リソースを消費することを防止し、他のいずれの区画をも除外するようにＩ／Ｏリソースを消費することを防止する。更に、他のいずれの区画に悪影響を及ぼす、特定の区画だけのハードウェア又はソフトウェア障害の確率も、区画化及びオペレーティング・システム５２によるデータ移動の制御によって、最小に抑えるか又は完全に防止する。１つのプロセッサ３２を用いることにより、計算エレメントの数が減少し、図１に示したセンサ経路やアクチュエータ経路のような、二重センサ／アクセス経路を最小に抑えるか、又は排除する。
【００１８】
図４は、本発明の実施形態の一例にしたがって１つ以上のアクチュエータを制御する方法１００のフロー図である。ステップ１０５においてミッション（任務）の少なくとも一部を実行しながら、第１信号を生成する。第１信号はコマンドを表す。ミッション・アルゴリズムは、ミッションを実行するための少なくとも１つのセンサ入力に基づいて選択することができる。ステップ１１０において、コマンドが少なくとも１つの所定の規制を遵守する場合、第１信号に基づく第２信号を生成する。第２信号は、遵守コマンドを表す。遵守アルゴリズムをランさせる、即ち、動作させて、第１信号を所定の規制と比較することもできる。ステップ１１５において、第２信号が、保安コマンドを示す、少なくとも１つの規格を満たす場合、コマンドをアクチュエータに送信する。保安アルゴリズムをランさせる、即ち、動作させて、第２信号を所定の規格と比較することもできる。
【００１９】
以上の本発明の詳細な説明では、少なくとも１つの実施形態例を紹介したが、多数の変形が可能であることは認められるであろう。また、前述の１つ又は複数の実施形態例は例に過ぎず、本発明の範囲、適用可能性、又は構成をいかようにも限定することは意図していないことも認められるであろう。逆に、前述の詳細な説明は、本発明の実施形態例を実施するために便利な手引きを、当業者に提供する。添付した特許請求の範囲に明記する発明の範囲から逸脱することなく、実施形態例に記載した要素の機能及び配列には、種々の変更を行うことが可能であることは言うまでもない。
【図面の簡単な説明】
【００２０】
【図１】本発明の実施形態例による制御システムのブロック図である。
【図２】本発明の別の実施形態例による制御システムのブロック図である。
【図３】図２に示すプロセッサの時間及び空間処理区画のブロック図である。
【図４】本発明の実施形態例にしたがって１つ以上のアクチュエータを制御する方法のフロー図である。
【図１】
2009527862.tif 000003
【図２】
2009527862.tif 000004
【図３】
2009527862.tif 000005
【図４】
2009527862.tif 000006
【国際調査報告】
2009527862.tif 000007
2009527862.tif 000008