RSJ2014AC2N2-07

ロボット介護機器の階層的な安全分析と設計○中坊嘉宏（産総研）
1. はじめに
少子高齢化の進展にともなってロボット技術で介護サービスを支援するロボット介護機器のニーズが高まっている。経産省は、平成 25 年度から 5 カ年の計画でロボット介護機器開発・導入促進事業をスタートさせ、50 社近い介護機器開発者が、移乗介助機器（装着型/非装着型）、移動支援機器（屋外型/屋内型）、排泄支援機器，入浴支援機器、見守り支援機器（介護施設型/在宅介護型）の 8 種 5 分野の機器を開発している。同時に基準策定・評価事業では図1 に示す V 字モデルに基づいた機器の効果と安全性の評価を行っている[1,2]。
本研究では、メタモデルに基づいた階層的な安全分析と設計を提案し、V 字モデルにあてはめる。これによって従来のリスクアセスメントや機能安全の考え方を統合し、さらに人が関わる部分に拡張できることを示す。

2. ロボット介護機器の V 字モデルと安全設計
2.1 ロボット介護機器の V 字モデル開発
一般にシステムやソフトウェアの開発で V 字モデルが重要とされている。本研究で注目するのは、V字モデルの左側、設計から実現に至る部分のそれぞれの階層間での上下の関係である。この部分の上位と下位は、要求に対する実現の関係となっており、上位で示された要求、あるいは抽象的な仕様が、下位では具体的に実装として実現される。
図１に示すロボット介護機器の V 字モデルでは、V 字の下半分に要件定義から始まって実機の開発と検証に至る、いわゆる従来のシステム開発が示される一方、V 字の上半分の「人との関係」として示される部分は、本事業で新たに追加し、提案した、人が関わる部分の開発コンセプト、および効果の検証を示している。この部分を特に重視して開発することが本事業の特色となっている。
2.2 ロボット介護機器のリスクアセスメント
同時に、ロボット介護機器の安全性を確保するため、国際安全規格に基づくリスクアセスメントを適用することも重要である。すなわち ISO 12100 に示された危険源の同定とリスクの見積もり、そして残留リスクを許容リスク水準以下に下げるための、3ステップ法に基づく本質安全化設計と安全防護が本事業においても求められる。さらにセンサ情報等に基づいて、ソフトウェア、および電気的、電子的機能により安全防護を実現する場合は、IEC 61508に示される機能安全についても考慮する必要がある。

第32回日本ロボット学会学術講演会（2014年9月4日～6日）①②③

図 1 ロボット介護機器の V 字モデル開発（一部）
ここで従来のリスクアセスメントは、主に機械と人とが関わる部分で、機械のリスクを対象とするものであった。またそこで見つかったリスクを下げるためには、まず機械による安全防護を行うことが重要とされていた。
一方、本事業で示した、図 1 の拡張した V 字モデ
ルでは、上半分の人に関わる部分のリスクも大きな割合を占めると考えられる。すなわち機器として十分安全と考えられる場合でも、人が間違った使い方をする、あるいは適用すべき範囲を超えた人（禁忌）に適用してしまうと安全とは言えなくなる。また安全防護についても、一般的な介護の現場を考えると、そもそも要介護者の生活の中でのリスクに対処するために介護者が介護をしているのであり、ロボット介護機器を用いたからといって機械だけで無理をしてリスクを下げようとするよりも、介護者を含む人と機械との関わりの中で安全防護を考える方が、より現実的である場合も多いと考えられる。
以上のような場合について、ISO 12100 だけを参考にしてリスクアセスメントを行い、安全分析と設計を行おうとすると困難であることがわかる。例えば ISO 12100 の危険源リストでは機械のもつ危険源が様々に分類され、網羅的に示されているのと対照的に、図 2 に示すように、人が関わる危険についてはヒューマンエラーなどとしてひとくくりになって少し載っているだけである。そのため、上で述べたような、人が関わる部分に拡張した V 字モデルを考えた場合、人が原因となるリスクを網羅的にアセスメントしようとすると困難である。
そこで本研究では V 字モデルにおける安全分析と設計のメタモデルを提案し、それを今回のロボット介護機器の V 字モデルに適用して人が関わる部分のRSJ2014AC2N2-07

図 2 ISO 12100 に示された危険源リスト（一部）
リスクアセスメントを系統的に実施する方法を提案する。

3. メタモデルに基づく階層的な安全分析と設計
3.1 安全分析と設計のメタモデル
V 字開発モデルにおいて、上位から下位へと要求を具体化した際に、実現した実装は、要求だけを満たすものではなく、要求以外の性質も持つのが普通である。すなわち実装において実現した性質の中には、本来望ましくない性質も包含している可能性がある。これを図 3 に示す。V 字開発した要求が実装の中で実現されている以外に、望ましくない影響や負の側面も現れていることが、ベン図で示されている。
ここで、望ましくない影響や負の側面が無視できない程度に大きいものであった場合は、これを解決するための新たな設計が必要となる。すなわち、設計の手順としては、図 3 の望ましくない影響や負の図 3 要求と実現、望ましくない影響のベン図

図 4 安全分析と設計のメタモデル

第32回日本ロボット学会学術講演会（2014年9月4日～6日）

側面がどの程度であるかの分析と、それを解決するための対策を、もとの要求に追加する手順が必要になる。これを図 4 に示す。すなわち、①もとの要求から実装を実現し、②その妥当性を確認したあと、③の分析と、④の対策を実行して、新たに負の側面を解消するような要求仕様を追加する。その後、変更された要求に対して、ふたたび①から③を繰り返し、望ましくない影響や負の側面が十分小さくなるまで、図 4 の手順を繰り返すことになる。
3.2 リスクアセスメントと機能安全のメタモデル
ここで、3.1 節で示したモデルは、いわゆる ISO
12100 のリスクアセスメントと 3 ステップ法を、一般化して説明したものと言える。すなわちリスクアセスメントにおいて望ましくない影響や負の側面とは、危険源とリスクそのものであり、その対策とは 3 ステップ法における本質安全設計や安全防護である。
本モデルの①から④を繰り返すということは、ISO12100 に示されるリスクアセスメントと安全設計のプロセスを抽象化したものと言える。
一方、このモデルは IEC 61508 などの機能安全において、安全機能に対する故障と、自己診断や冗長化による安全機能の喪失を防ぐ高信頼化設計にも当てはめることができる。この場合は、要求される安全機能を実現した機能モジュールに対して、故障による安全機能の喪失は望ましくない影響、モジュールの負の側面であり、その影響に対処するために、自己診断や冗長化の設計を行うものである。すなわち本モデルの①から④の手順は、機能安全の安全設計と実装のプロセスに対応している。
以上の二つの例から、3.1 節で示したモデルは、図1 の V 字モデルにおいて、それぞれ点線で囲んだ②機械システムのリスクアセスメントと、③システムモジュールの機能安全設計のメタモデルになっていると言える。メタモデルとは、二つ以上のモデルを抽象化し、モデルのモデルとして表現し、当てはめることができるものを指す。
3.2 V 字モデル開発におけるメタモデルの適用
以上は、従来から行われている ISO 12100 や IEC

RSJ2014AC2N2-07
参 考 文 献61508 などの国際安全規格で示された安全分析と設計の方法を、メタモデルを用いて統一的に説明したものである。一方、本研究の課題である人が関わる[1] 介護ロボットポータルサイト: http://robotcare.jp
部分での安全の分析と設計についても、提案するメ[2] 中坊嘉宏，ロボット介護機器プロジェクトにおタモデルが適用できる。
ける実用化への試み，信学技報 IEICE 113(248),
具体的には図 1 における上半分について、点線で45-48, 2013-10-17
囲んだ①の部分に図 4 のメタモデルを適用すれば良[3] 中坊 嘉宏，SysML によるロボット介護機器のい。すなわち、開発コンセプトに基づいて課題の明モデル化，ロボティクス・メカトロニクス講演
確化を行い、最終的にロボット介護機器によって要会 2014（富山, 2014.5.26-28）, 1P2-D01
素動作を実現する場合に、している活動の要求に対[4] 中坊嘉宏, 山田陽滋: 人と共存するロボットのする実装としてのロボット介護機器全体がもつ望まためのオブジェクト指向によるリスクアセスメ
しくない影響や負の側面を分析し、人との関わりをントのモデリング, 日本機械学会ロボティク中心にその対策を決定すれば良い。これには、ロボス・メカトロニクス講演会'08 (長野, 2008.6.5-7) /ット介護機器開発・導入促進事業の基準策定・評価
講演論文集, 2A1-A19
事業コンソーシアムが示している、開発コンセプトにおける適用と禁忌、長期的や短期的なメリットやデメリットが当てはまる。
ここで、図 1 の②に示すリスクアセスメントや安全防護と、①で示した人が関わる部分との区別が重要である。図１の V 字モデルで明確に示されるように、①の部分はロボット介護機器の細かな動きや操作については、あまり考慮せず、むしろ機器全体としてどのような要素動作により課題を解決するか、またそれを介護者との連携でどのように実現するかのレベルで分析し、対策を考えるべきである。これについては、文献[3]の SysML によるロボット介護機器のモデル化が有用である。V 字モデルの上半分に限定した SysML のコンテキスト図やユースケース図、アクティビティ図を使うことで、それ以上詳細な機器の仕様を考慮せずに、分析と対策を検討することが可能になると考えられる。
逆に図１の②の部分の従来型のリスクアセスメン
トについては、機械を操作したり使ったりする場面だけに着目し、機器と人とが直接的にどう関わるかに限定してアセスメントを行えば良い。このときも同様に、上記よりも詳細レベルの機器の SysML モデルを作成し、機器を利用するシナリオや危険源の同定を細かく分析することができる[4]。
以上のように、階層的に異なる 2 つのレベルで２回のリスクアセスメントと対策を行うことを提案する。またその結果については、２種類のリスクアセスメント表を作成しても良いし、ひとつのリスクアセスメント表にまとめても良い。異なるレベルでのリスクアセスメントを行うことで、ロボット介護機器で本質的な、異なる 2 つの視点での網羅的な安全の分析と対策、設計が実現できる。
4. おわりに
本稿では、ロボット介護機器の安全開発を実現するための、新しいメタモデルとそれに基づく階層的な分析手法を提案した。今後はこれらの手法を実際の機器の開発に適用し、研究を進める予定である。

第32回日本ロボット学会学術講演会（2014年9月4日～6日）