安全性と協働ロボット（コボット）

安全柵を外すという設計転換

産業用ロボットは長年、可動範囲全体を安全柵で囲い、人が侵入するとロボットを止めるという単純な隔離戦略で安全を確保してきました。ロボットの停止判定は柵の開閉やライトカーテンの遮光という二値信号だけで足り、ロボット自体の制御は安全とは独立に設計できました。協働ロボット（コボット）はこの前提を崩し、柵なしで人とロボットが同じ空間を共有することを狙います。すると安全機能は「ロボットの外」ではなく「ロボットの制御そのもの」に組み込む必要が生まれ、駆動・センシング・制御アルゴリズムのすべてが安全設計の対象になります。この転換を体系的に規定するのがISO 10218（産業用ロボットの安全要求事項）とISO/TS 15066（協働運転の技術仕様）です。

安全機能を定量化するPLとカテゴリ

協働運転を許可する前提として、ロボットシステムはリスクアセスメントに基づき必要な安全性能を数値で満たさなければなりません。ここで使われる枠組みがISO 13849-1のパフォーマンスレベル（PL）です。PLは安全機能が危険側に故障する確率を時間あたりの頻度で表した指標で、PL a（最も低い）からPL e（最も高い）まで5段階に分かれます。協働ロボットの安全定格モニタ機能（安全定格監視停止・安全定格速度監視など）には、一般にPL d以上が要求されます。

PLと1時間あたりの危険側故障確率PFHの対応（概略）:

  PL a : PFH ~ 1e-5 以上           （簡易な保護のみ）
  PL b : 3e-6 以上 〜 1e-5 未満
  PL c : 1e-6 以上 〜 3e-6 未満
  PL d : 1e-7 以上 〜 1e-6 未満     ← 協働運転の安全機能で要求される水準
  PL e : 1e-8 以上 〜 1e-7 未満     （最高水準、冗長構成が前提）

PLを達成する手段として、ISO 13849-1は5つのカテゴリ（Cat.B, 1, 2, 3, 4）を定義します。カテゴリは「単一の部品故障が安全機能の喪失に直結するか」を分類する構造上の要件で、Cat.3以上では単一故障が起きても安全機能は失われず、次の要求（点検や別故障の重畳）まで安全は保持されます。協働ロボットの停止機能は通常、二重化したセンサ・演算経路とクロスチェックを持つCat.3または4の構成で実装され、これによってPL dやPL eが担保されます。IEC 61508系のSIL（Safety Integrity Level）も同様の考え方で、SIL1〜4がPFHのオーダーにほぼ対応します。

安全定格制御：安全機能を制御ループの中に埋め込む

安全柵に依存しない協働運転では、「安全機能」は独立した遮断回路ではなく、ロボットの通常の制御ループと並走する監視系として実装されます。これを安全定格制御（safety-rated control）と呼びます。代表的な安全機能は次の通りです。

代表的な安全定格モニタ機能:

  SLS (Safely-Limited Speed)    : 手先・関節速度が上限を超えないか監視
  SLP (Safely-Limited Position) : 可動域を境界内に制限
  SOS (Safe Operating Stop)     : トルクは保持したまま停止を維持
  STO (Safe Torque Off)         : 駆動トルクを物理的に遮断
  SS1 / SS2                     : 制御停止後にSTO(SS1)/SOSへ移行(SS2)

重要なのは、これらの監視は主制御用のプロセッサとは独立した安全プロセッサ（多くは2チャネル冗長）で実行され、位置・速度のフィードバック値も安全用に独立して取得される点です。主制御が暴走しても安全プロセッサが速度超過や領域逸脱を検出すればSTOやSS1へ強制的に遷移させられる、という構造的な独立性がPL達成の前提になります。ソフトウェアだけで「速度を計算して閾値と比較する」処理を書いても、それが主制御と同じCPU・同じセンサ経路に同居していれば、単一故障で監視ごと機能を失う危険があり、安全定格とは呼べません。

4つの協働運転モードと選択基準

ISO/TS 15066はリスクアセスメントの結果に応じて選べる4種の協働運転を定義します。

現場では単一モードだけでなく、通常は速度・分離監視で高速に動作し、人が一定距離まで接近すると動力・力の制限モードへ切り替える、といった組み合わせ運用も一般的です。

速度・分離監視（SSM）：保護距離を時間軸で設計する

速度・分離監視は、人とロボットの間に常に「安全に止まれる距離」を確保し続けるという発想です。ISO/TS 15066はこの保護距離Sを、人の接近速度・ロボットの停止時間・センサの検出遅れなどから逆算する計算式を示します。

保護距離の考え方（ISO/TS 15066の分離距離モデルを簡略化）:

  S = S_h + S_r + S_s + C + Z_d + Z_r

  S_h : 人が保護距離の間に接近し得る移動量（人の速度 × 反応猶予）
  S_r : ロボットが停止指令から実際に止まるまでに進む距離（ロボットの停止時間 × 速度）
  S_s : センサの検出遅延・処理遅延により生じる距離
  C   : 侵入余裕（センサ検出後に人がさらに侵入し得る最小距離）
  Z_d, Z_r : センサ・ロボット位置の測定不確かさ

この式が示す本質は、保護距離は固定値ではなく、ロボットの速度が上がるほどS_rが増え、結果として必要な保護距離も伸びるという関係です。したがってSSMを実装するロボットは、監視対象までの距離に応じて速度上限を連続的に絞り込み（距離が縮まるほど遅く動き、一定距離を下回ったら安全定格停止に落とす）ことで、常に「今の速度なら間に合う距離」を確保し続けます。距離の計測には安全定格のエリアスキャナ（2Dライダー）や3D深度センサ、床面圧力マットなどが用いられ、これらも前述のPL要求を満たす安全定格品である必要があります。

動力・力の制限（PFL）：接触を前提に伝達エネルギーを抑える

速度・分離監視が「接触そのものを避ける」戦略であるのに対し、動力・力の制限（Power and Force Limiting）は「接触は起こり得るという前提のもとで、接触時に人体へ伝わる力・圧力・エネルギーを許容範囲に収める」戦略です。ISO/TS 15066は身体の部位（頭部・胸部・手指など、痛覚や損傷の閾値が異なる）ごとに許容される最大接触力・最大接触圧力の参照値を規定しています。これを満たすため、ロボット側は次のような設計・制御手段を組み合わせます。

PFLを実現する代表的手段:

  - アクチュエータの出力・トルクをタスクに必要な最小限に制限
  - 関節や表面に受動的な弾性コンプライアンスを持たせ衝突エネルギーを吸収
  - 力/トルクセンサによる接触検知と即時の安全定格停止（SOS/STO）
  - アーム表面の丸み・パッド材で接触圧力（力÷面積）を下げる
  - 準静的接触（挟み込み）と過渡接触（衝突）を区別した許容値の適用

ここで力学的に踏まえておくべき点は、接触で伝達されるエネルギーは速度の2乗と実効質量（アームの慣性がツール先端に与える見かけの質量）に比例するという関係です。したがってPFLの設計は単にトルクを絞るだけでなく、速度・実効質量・剛性の3変数を同時に管理する必要があります。実効質量は姿勢によって変化するため、ロボットアームの構造設計（軽量化、質量分布の最適化）そのものが安全設計の一部になります。

まとめ

協働ロボットの安全性は「柔らかく動く」という表面的な特徴ではなく、リスクアセスメントに基づき定量化された安全機能を制御アーキテクチャへ組み込むという工学です。要点は、(1) ISO 10218とISO/TS 15066が協働運転の枠組みを定め、ISO 13849-1のPLとカテゴリが安全機能の信頼性を確率と構造の両面で規定すること、(2) 安全定格制御は主制御と独立した冗長経路で実装されて初めてPL d以上を満たせること、(3) 速度・分離監視は人の接近速度とロボットの停止時間から保護距離を時間軸で設計し、動力・力の制限は接触時のエネルギー伝達を力・圧力の軸で抑えるという、補完し合う2つの戦略であること、(4) 非常停止はあくまで最終防御線であり、衝突回避の主役はセンサに基づく自律的な速度・力の管理であること。この原理は、力覚センサやインピーダンス制御といった個々の要素技術を、規格が要求する定量的な安全性能へと束ねる土台になります。